マイクロソフトサーバー製品の...

[Active Directory 上の各種操作における監査]

ホワイトペーパー

発行日 : 2007 年 6月 12日

最新の情報 http://www.microsoft.com/ja/jp/

マイクロソフトサーバー製品のログ監査ガイド

2 マイクロソフトサーバー製品のログ監査ガイド

注意事項：

マイクロソフト（米国 Microsoft Corporation、及び同社が直接または間

接に所有する法人を含みます。以下同じ。）は、本書の内容及び本書を

使用した結果について明示的にも黙示的にも一切の保証を行いません。

また、マイクロソフトは、本書を使用した結果に関し、(i)金融商品取引

法、税法その他関係法令の遵守、(ii)その正確性、完全性及びその他の一

切について、当該利用者及びその組織に対し、直接間接を問わず、いか

なる責任も負担するものではありません。

お客様ご自身の責任において、適用されるすべての著作権関連法規に従

ったご使用を願います。このドキュメントのいかなる部分も、米国

Microsoft Corporation の書面による許諾を受けることなく、その目的を

問わず、どのような形態であっても、複製または譲渡することは禁じら

れています。ここでいう形態とは、複写や記録など、電子的な、または

物理的なすべての手段を含みます。

ただしこれは、著作権法上のお客様の権利を制限するものではありませ

ん。マイクロソフトは、このドキュメントに記載されている内容に関し、

特許、特許申請、商標、著作権、またはその他の無体財産権を有する場

合があります。別途マイクロソフトのライセンス契約上に明示の規定の

ない限り、このドキュメントはこれらの特許、商標、著作権、またはそ

の他の知的財産に関する権利をお客様に許諾するものではありません。

© 2007 Microsoft Corporation. All rights reserved.

Microsoft、Windows、 Windows ロゴ、および Windows Server は米国

Microsoft Corporation の米国またはその他の国における登録商標または

商標です。

このドキュメントに記載されている会社名、製品名には、各社の商標を

含むものもあります。

本書で使用した環境は次のとおりです。

・Windows Server 2003 R2, Standard Edition

3

はじめに .................................................................................................................................................. 5

ドキュメント構成 .................................................................................................................................. 6

概要 .......................................................................................................................................................... 7

監査設定及び監査手順 .......................................................................................................................... 8

監査設定の確認 /追加 ...................................................................................... 8 ドメインコントローラセキュリティポリシーの確認 ....................................................................... 8 監査ポリシーの設定（グループポリシー） ............................................................................... 10 監査ポリシーの設定（ローカルセキュリティポリシー） .............................................................. 12 監査エントリの追加 ............................................................................................................... 14

ユーザーに関する操作..................................................................................... 18 ユーザーの作成 ................................................................................................................... 18 ユーザーの削除 ................................................................................................................... 19 ユーザーの無効化 ................................................................................................................ 20 ユーザーの有効化 ................................................................................................................ 21 パスワードリセット ................................................................................................................. 22 ドメインへのログオン .............................................................................................................. 23 ドメインからのログオフ ........................................................................................................... 24

セキュリティグループに関する操作 ...................................................................... 27 ドメインローカルセキュリティグループの作成 ........................................................................ 27 ドメインローカルセキュリティグループの削除 ........................................................................ 28 ドメインローカルセキュリティグループへのメンバ追加 ........................................................... 29 ドメインローカルセキュリティグループからのメンバ削除 ......................................................... 30 ドメインローカルセキュリティグループの管理者の変更 .......................................................... 32 ドメインローカルセキュリティグループのアカウント名の変更 .................................................. 33 グローバルセキュリティグループの作成 ................................................................................ 34 グローバルセキュリティグループの削除 ................................................................................ 35 グローバルセキュリティグループへのメンバ追加.................................................................... 36 グローバルセキュリティグループからのメンバ削除 ................................................................. 37 グローバルセキュリティグループの管理者の変更 .................................................................. 38 グローバルセキュリティグループのアカウント名の変更 ........................................................... 40

Administrators, Domain Admins, Enterprise Adminsセキュリティグループに関する操作

............................................................................................................... 42 Administratorsセキュリティグループへのメンバ追加 ........................................................... 42 Administratorsセキュリティグループからのメンバ削除 ........................................................ 43 Administratorsセキュリティグループの管理者の変更 ......................................................... 45 Domain Admins, Enterprise Adminsセキュリティグループへのメンバ追加 ........................ 46 Domain Admins, Enterprise Adminsセキュリティグループからのメンバ削除 ...................... 47 Domain Admins, Enterprise Adminsセキュリティグループの管理者の変更 ....................... 49 Domain Admins, Enterprise Adminsセキュリティグループのアカウント名の変更 ................ 50

目次


グループポリシーに関する操作 .......................................................................... 52 グループポリシーの内容の変更 ............................................................................................ 52 グループポリシーの状態の変更 ............................................................................................ 53 グループポリシーの委任の変更 ............................................................................................ 54 グループポリシーのスコープ（リンク）の変更 ........................................................................... 56 グループポリシーのスコープ（フィルタ）の変更 ....................................................................... 57

取得ログ項目一覧 .......................................................................................... 60 ユーザーに関する操作 ......................................................................................................... 60 セキュリティグループに関する操作 ........................................................................................ 65 Administrators, Domain Admins, Enterprise Adminsセキュリティグループに関する操作 72 グループポリシーに関する操作 ............................................................................................ 77

注意事項 ................................................................................................................................................ 80

おわりに ................................................................................................................................................ 81

付録 1：イベントログ一覧 ................................................................................................................ 82

付録 2：関連情報 ................................................................................................................................ 91

ADSI Edit .................................................................................................. 92 Support Toolsのインストール ............................................................................................... 92 ADSI Editを使用したグループポリシー表示名の確認 ......................................................... 94

はじめに 5

はじめにこのガイドは、マイクロソフトのサーバー製品を利用している企業の IT 担当者が、様々な法令や規制などの遵守にあたり、マイクロソフトのサーバー製品の標準機能を利用したログの収集及び監査について、その手順を記述するものです。

このガイドを利用することで、コンプライアンスにおいて IT 環境を評価する作業を効率化することを目的としています。

現在、経営/事業における IT の位置づけは、ますます重要度を増しつつあります。

金融商品取引法による財務報告の信頼性を確保するための内部統制や、企業にとって重要な資産である個人情報を漏えいしないための統制など、企業において幅広いコンプライアンスと内部統制環境の構築が求められています。

国内だけではなく、現在のグローバルな経営環境においては、国内の法令や規制だけではなく、ビジネスを展開する様々な国や団体の法令や規制に遵守する必要があります。

現在の経営環境において、企業の内外における IT 環境は、ますます重要度を増しており、グローバルなビジネスを展開している企業では、ネットワークは世界中に張り巡らされています。こうした環境においては、一つ一つのコンプライアンスの為の IT 基盤を構築するのではなく、将来のコンプライアンスに備えた IT 統制のプロセスと基盤を構築していく必要があります。

適切な IT 統制を行うためには、システム状態を把握するための管理基盤の確立、システムを利用するユーザーのアクセスコントロールは勿論のこと、不正利用などの有事に備えたログの記録及び監査が必要です。

しかしながら、システムの稼働状態やユーザーの操作について、すべてのログを収集し、内容を確認することは、実際の業務を行う上で現実的とは言えません。監査にかかる経費や人手の問題だけでなく、膨大なログのなかに重要な情報が埋もれてしまう危険性も考えられるためです。

そのような事態を回避するためには、本当に必要なログは何であるのか、またどのような手順でどのような点を確認する必要があるのかについて、明確にしておく必要があります。


ドキュメント構成マイクロソフトサーバー製品におけるログ監査ガイドは、マイクロソフトサーバー製品群のログ監査を支援するために、監査が必要となる項目、及び監査手順を提示します。

本ガイドを構成するドキュメントは、次の通りです。

ファイルサーバー上のファイル操作における監査

対象製品：Windows 2000 Server /Windows Server 2003

プログラムファイル、設定ファイル等のローカルファイル、及びファイルサーバー上のドキュメント等のネットワーク共有されたファイルについて、誰がどのファイルに対してどのような操作を行ったのか監査する手順を示します。

印刷ジョブについての監査


プリントサーバーが管理するプリンタにて、誰がどのようなファイルを印刷したのか監査する手順を示します。

タスクについての監査


タスクスケジューラー、AT コマンドにより、誰がどのようなタスクを登録、または実行したのか監査する手順を示します。

Active Directory 上の各種操作における監査

対象製品：Windows Server 2003

このドキュメントです。

Active Directory 上でどのようなユーザー、グループが作成または削除されたのか、Domain Admins 等の強力な権限を持つセキュリティグループに対し、どのようなユーザーが追加されたのか、またグループポリシーに対してどのような変更が行われたのか監査する手順を示します。

データベースサーバーにおける監査

対象製品：SQL Server 2005

データベースのどのオブジェクトに対し、誰がどのような操作を行ったのか監査する手順を示します。

概要 7

概要 Active Directory には、ユーザー、セキュリティグループなどのアカウント情報をはじめ、管理者用の強力な権限を持つセキュリティグループ、グループポリシー、共有プリンタ等の重要な情報が保持されています。

ドメインコントローラは、既定のポリシーによって一般のアカウントのログオンが制限されていますが、それにくわえてログの取得及び監査を行うことで、不正利用を抑止し、また有事への対策強化をはかることができます。

監査対象とする操作の一例を、次に示します。

ユーザーに関する操作

セキュリティグループに関する操作

Administrators, Domain Admins, Enterprise Admins セキュリティグループに関する操作

グループポリシーに関する操作

また、本書では、監査対象環境の例示として、次の環境を想定します。


監査設定及び監査手順 Windows Server 2003 では、Active Directory 上の各種操作について、標準のイベント

ログより監査を行うことができます。

本章では、実際の監査設定及び監査手順について記述します。

監査設定の確認 /追加 Active Directory 上の各種操作について監査を行うためには、まず監査ログを出力するための設定を行う必要があります。

監査設定の確認 /追加手順を、次に示します。

ドメインコントローラセキュリティポリシーの確認


Windows Server 2003 Active Directory のドメインコントローラセキュリティポリシーは、既定で各種操作の成功をセキュリティログに出力するよう構成されています。

ただし、ドメインコントローラセキュリティポリシーを既定から変更して利用している場合、または操作の成功だけでなく失敗も監査したいという場合には、設定の確認及び追加が必要となります。

設定手順を、次に示します。

1. 管理者アカウントにて、ドメインコントローラにログオンします。

2. [スタート]メニューより、[すべてのプログラム]－[管理ツール]と展開し、[ドメインコントローラセキュリティポリシー]をクリックします。

3. [既定のドメインコントローラセキュリティの設定]が開いたら、左ペインのツリーより、[セキュリティの設定]－[ローカルポリシー]と展開して[監査ポリシー]をクリックします。

右ペインにて、次の項目の[ポリシー設定]が、[成功]、または[成功, 失敗]に設定されていることを確認します。

監査設定及び監査手順 9

アカウントログオンイベントの監査

アカウント管理の監査

システムイベントの監査

ディレクトリサービスのアクセスの監査

ポリシーの変更の監査

ログオンイベントの監査

4. 前項の項目のうち、1 つまたは複数のポリシーが[監査しない]に設定されていた場合、もしくは[成功]に設定されている項目について、[失敗]も監査するよう設定を変更したい場合には、対象項目をダブルクリックしてプロパティを開きます。

5. 監査のプロパティが開いたら、[これらのポリシーの設定を定義する]のチェックをオンにして、[成功]、または[成功]と[失敗]の両方にチェックを入れ、[OK]

をクリックします。


6. 任意のポリシーについて、№4～5 の手順を繰り返し、[成功]と[失敗]を監査するよう設定を行います。

以上で、ドメインコントローラセキュリティポリシーの確認は終了となります。

監査ポリシーの設定（グループポリシー）


コンピュータのシャットダウンによるユーザーのログオフを監査するためには、監査ポリシーの設定が必要となります。

コンピュータのシャットダウンによるユーザーのログオフの監査に使用するイベントログは、実際にシャットダウン操作を行ったコンピュータに出力されるため、グループポリシー、またはローカルセキュリティポリシーにて、監査対象とするすべてのコンピュータにポリシーを適用する必要があります。

ここでは、グループポリシーを設定する手順を記述します。

ローカルセキュリティポリシーから設定を行いたい場合には、p.12「監査ポリシーの設定（ローカルセキュリティポリシー）」を参照して下さい。




2. [スタート]メニューより、[すべてのプログラム]－[管理ツール]と展開し、[Active Directory ユーザーとコンピュータ]をクリックします。

3. [Active Directory ユーザーとコンピュータ]が開いたら、左ペインのツリーより、ポリシーを適用したいドメイン、または OU を右クリックして、[プロパティ]を選択します。

4. プロパティが開いたら、[グループポリシー]タブをクリックします。

ここでは、例として、[Default Domain Policy]を編集し、監査ポリシーの設定を行います。

[Default Domain Policy]を選択して、[編集]をクリックします。


5. [グループポリシーオブジェクトエディタ]が開いたら、左ペインのツリーより、[コンピュータの構成]－[Windows の設定]－[セキュリティの設定]－[ローカルポリシー]と展開し、[監査ポリシー]をクリックし、右ペインの一覧より[システム

イベントの監査]をダブルクリックします。

6. [システムイベントの監査のプロパティ]が開いたら、[成功]、または[成功]と[失敗]の両方のチェックをオンにして、[OK]をクリックします。

以上で、グループポリシーの設定は終了となります。

監査ポリシーの設定（ローカルセキュリティポリシー）


コンピュータのシャットダウンによるユーザーのログオフを監査するための監査ポリシーは、ローカルセキュリティポリシーからも設定することができます。


1. 管理者アカウントにて、コンピュータのシャットダウンによるユーザーのログオフを監査するコンピュータにログオンします。


2. [スタート]メニューより、[すべてのプログラム]－[管理ツール]と展開し、[ローカルセキュリティポリシー]をクリックします。

3. [ローカルセキュリティの設定]が開いたら、左ペインのツリーにて、[セキュリティの設定]－[ローカルポリシー]と展開して、[監査ポリシー]をクリックし、右ペインの一覧より[システムイベントの監査]をダブルクリックします。

4. [システムイベントの監査のプロパティ]が開いたら、[成功]、または[成功]と[失敗]の両方のチェックをオンにして、[OK]をクリックします。

本書では、例として、[成功]のみにチェックを入れます。

以上で、ローカルセキュリティポリシーの追加手順は終了となります。


監査エントリの追加


監査ポリシーの設定が完了したら、続いて監査対象とするセキュリティグループに対して監査エントリの追加を行います。

この手順は、セキュリティグループの管理者の変更を監査するために必要となります。

監査ポリシーの設定のみでは、セキュリティグループの管理者の変更に対する監査ログは出力されないことに注意して下さい。

また、本書における「セキュリティグループの管理者の変更」とは、セキュリティ

グループのプロパティの[管理者]タブにて、[名前]テキストボックスに指定したユーザーを変更し、かつ[管理者がメンバシップ一覧を変更できる]チェックボックスをオンにすることを指します。

[管理者がメンバシップ一覧を変更できる]チェックボックスがオフになっている場合には、[名前]テキストボックスに指定したユーザーに対する権限の変更は行われないため、監査ログは出力されません。

なお、Administrators, Domain Admins, Enterprise Admins セキュリティグループについては、既定で管理者の変更に対する監査ログが出力されるため、監査エントリの追加を行う必要はありません。



2. [スタート]メニューより、[すべてのプログラム]－[管理ツール]と展開し、[Active Directory ユーザーとコンピュータ]をクリックします。

3. [Active Directory ユーザーとコンピュータ]が開いたら、メニューバーにて[表示]

－[拡張機能]をクリックします。


4. 監査対象とするセキュリティグループをダブルクリックして、プロパティを開きます。

5. セキュリティグループのプロパティが開いたら、[セキュリティ]タブにて、[詳細設定]をクリックします。


6. [セキュリティの詳細設定]が開いたら、[監査]タブにて[追加]をクリックします。

7. [ユーザー、コンピュータまたはグループの選択]が開いたら、監査対象とするユーザーまたはグループを入力して、[OK]をクリックします。

本書では、例として、すべてのユーザーの操作を監査できるよう、”Everyone”

を設定します。

8. [監査エントリ]が開いたら、[プロパティ]タブの[アクセス]リストボックスより、[管理者の書き込み]の[成功]、または[成功]、[失敗]の両方にチェックを入れます。

本書では、例として、[成功]のみにチェックを入れます。

また、[これらの監査エントリを、このコンテナの中にあるオブジェクトやコンテナにのみ適用する]のチェックをオンにして、[OK]をクリックします。


9. [セキュリティの詳細設定]に戻り、[監査エントリ]リストボックスに追加された設定内容を確認して、[OK]をクリックします。

10. セキュリティグループのプロパティに戻り、[OK]をクリックします。

以上で、監査エントリの追加手順は終了となります。


ユーザーに関する操作本節では、ユーザーに関する操作を監査する手順について記述します。

対象とする操作は、次の通りです。

ユーザーの作成

ユーザーの削除

ユーザーの無効化

ユーザーの有効化

パスワードリセット

ドメインへのログオン

ドメインからのログオフ

なお、次の操作については、p.42「Administrators, Domain Admins, Enterprise Admins

セキュリティグループに関する操作」の各項を参照して下さい。

Administrators, Domain Admins, Enterprise Admins セキュリティグループに対するユーザーの追加 /削除

各操作の監査手順について、次に示します。

ユーザーの作成


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からユーザーの作成を行った場合の監査について記述します。

ユーザーの作成が行われると、ドメインコントローラのセキュリティイベントログに、[ID624]イベントログが出力されます。

[ID624]イベントログにて確認する項目は、次の通りです。


日付：操作が行われた日付

時刻：操作が行われた時刻

ユーザー：操作を実行したユーザー

※ 説明－呼び出し側ユーザー名 /呼び出し側ドメインからも確認できます。

説明－新しいアカウント名：作成されたユーザーのアカウント名

説明－新しいドメイン：ユーザーが作成されたドメイン

以上で、ユーザーの作成の監査は終了となります。

ユーザーの削除


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からユーザーの削除を行った場合の監査について記述します。

ユーザーの削除が行われると、ドメインコントローラのセキュリティイベントログに、[ID630]イベントログが出力されます。






説明－対象アカウント名：削除されたユーザーのアカウント名

説明－対象ドメイン：ユーザーが削除されたドメイン

以上で、ユーザーの削除の監査は終了となります。


ユーザーの無効化


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からユーザーの無効化を行った場合の監査について記述します。

ユーザーの無効化が行われると、ドメインコントローラのセキュリティイベント

ログに、次のイベントログが出力されます。

[ID629]イベントログ

ユーザーの無効化が行われた場合に出力されるイベントログです。


ユーザーに対し、何らかの変更が行われた場合に出力されるイベントログです。

ユーザーの無効化の監査では、[ID629]イベントログを使用して監査を行います。

[ID642]イベントログの内容については、p.82「付録 1：イベントログ一覧」を参照して下さい。






説明－対象アカウント名：無効化されたユーザーのアカウント名

説明－対象ドメイン：無効化されたユーザーの所属ドメイン

以上で、ユーザーの無効化の監査は終了となります。


ユーザーの有効化


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からユーザーの有効化を行った場合の監査について記述します。

ユーザーの有効化が行われると、ドメインコントローラのセキュリティイベント

ログに、次のイベントログが出力されます。


ユーザーの有効化が行われた場合に出力されるイベントログです。



ユーザーの有効化の監査では、[ID626]イベントログを使用して監査を行います。







説明－対象アカウント名：有効化されたユーザーのアカウント名

説明－対象ドメイン：有効化されたユーザーの所属ドメイン

以上で、ユーザーの有効化の監査は終了となります。


パスワードリセット


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からパスワードリセットを行った場合の監査について記述します。

パスワードリセットが行われると、ドメインコントローラのセキュリティイベントログに、次のイベントログが出力されます。


パスワードリセットが行われた場合に出力されるイベントログです。



パスワードリセットの監査では、[ID628]イベントログを使用して監査を行います。







説明－対象アカウント名：パスワードリセットされたユーザーのアカウント名

説明－対象ドメイン：パスワードリセットされたユーザーの所属ドメイン

以上で、パスワードリセットの監査は終了となります。


ドメインへのログオン


本項では、ユーザーがドメインに所属するコンピュータより、ドメインへログオンを行った場合の監査について記述します。

ドメインへのログオンが行われると、ドメインコントローラ、及び実際にログオン操作を行ったコンピュータのセキュリティイベントログに、次のイベントログが出力されます。


ドメインへのログオンが行われた場合に、出力されるイベントログです。

※ このイベントログは、ユーザーがログオン操作を行ったコンピュータのイベントログに出力されます。


ドメインへのログオンが行われた場合に、出力されるイベントログです。

※ このイベントログは、ドメインコントローラのイベントログに出力されます。

ドメインへのログオンの監査では、[ID540]イベントログを使用して監査を行います。





説明－ユーザー名：ドメインへログオンしたユーザーのアカウント名

説明－ドメイン：ユーザーがログオンしたドメイン

説明－ソースネットワークアドレス：ユーザーがログオンしたサーバー /クライアント端末の IP アドレス

1/2 2/2


以上で、ドメインへのログオンの監査は終了となります。



本項では、ユーザーがドメインに所属するコンピュータにて、ドメインからのログオフを行った場合の監査について記述します。

ドメインからのログオフが行われると、ドメインコントローラのセキュリティイベントログに、[ID538]イベントログが出力されます。




説明－ユーザー名：ドメインからログオフしたユーザーのユーザー名

説明－ドメイン：ユーザーがログオフしたドメイン

ただし、コンピュータのシャットダウンによってユーザーのログオフが行われた場合には、[ID538]イベントログは出力されない場合があります。

参考情報

[ID538]イベントログは、実際のユーザーのログオフ操作から時間が経過してから記録される場合があります。

これは、[ID538]イベントログが、ユーザーがログオンする際に生成したログオンセッションが削除されたタイミングで出力されるためです。システム内部では、ログオンセッション情報を[ログオン ID]として保持するトークンオブジェクトが複数存在します。ログオンセッションでは、関連付けられたトークンオブジェクトの参照数に関連する情報（参照カウンタ）を保持しており、これらのトークンオブジェクトからの参照がすべてなくなった時点（0 になった時点）で、ログオンセッションは削除されます。


これは、イベントログへの出力を行うサービスが、シャットダウンによるユーザーのログオフが行われる前に停止するためです。

よって、シャットダウンによるユーザーのログオフを監査するためには、シャットダウンが行われたコンピュータに出力される[ID551]イベントログを使用します。

[ID551]イベントログの対象製品は、Windows Server 2003、および Windows XP

Professional です。

※ [ID551]イベントログは、ドメインコントローラには出力されないことに注意して下さい。

なお、 [ID551]イベントログを監査するためには、p.10「監査ポリシーの設定（グループポリシー）」、または p.12「監査ポリシーの設定（ローカルセキュリティ

ポリシー）」の手順に従って、監査ポリシーの設定が行われている必要があります。

[ID551]イベントログで確認する項目は、次の通りです。



コンピュータ：操作が行われたコンピュータのコンピュータ名

説明－ユーザー名：ドメインからログオフしたユーザーのアカウント名

説明－ドメイン：ユーザーがログオフしたドメイン

以上で、ドメインからのログオフの監査は終了となります。

参考情報

コンピュータのシャットダウンによるログオフの詳細については、次のURL をご参照下さい。

<http://support.microsoft.com/kb/828857/ja>

http://support.microsoft.com/kb/828857/ja


また、ドメインへのログオン /ログオフによって出力されるイベントログと、出力先のコンピュータについて、次にまとめます。

コンピュータログオンログオフ

ドメインコントローラ [ID540]イベントログ [ID538]イベントログ

操作を実行したコンピュータ [ID528]イベントログ [ID551]イベントログ


セキュリティグループに関する操作本節では、セキュリティグループに関する操作を監査する手順について記述します。


ドメインローカルセキュリティグループの作成

ドメインローカルセキュリティグループの削除

ドメインローカルセキュリティグループへのメンバ追加

ドメインローカルセキュリティグループからのメンバ削除

ドメインローカルセキュリティグループの管理者の変更

ドメインローカルセキュリティグループのアカウント名の変更

グローバルセキュリティグループの作成

グローバルセキュリティグループの削除

グローバルセキュリティグループへのメンバ追加

グローバルセキュリティグループからのメンバ削除

グローバルセキュリティグループの管理者の変更

グローバルセキュリティグループのアカウント名の変更

なお、次の操作については、p.42「Administrators, Domain Admins, Enterprise Admins

セキュリティグループに関する操作」の各項を参照して下さい。

Administrators, Domain Admins, Enterprise Admins セキュリティグループに対するグローバルセキュリティグループの追加 /削除


ドメインローカルセキュリティグループの作成


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からドメインローカルセキュリティグループの作成を行った場合の監査について記述します。

ドメインローカルセキュリティグループの作成が行われると、ドメインコントローラのセキュリティイベントログに、[ID635]イベントログが出力されます。







説明－新しいアカウント名：作成されたドメインローカルセキュリティグループのアカウント名

説明－新しいドメイン：ドメインローカルセキュリティグループが作成されたドメイン

以上で、ドメインローカルセキュリティグループの作成の監査は終了となります。

ドメインローカルセキュリティグループの削除


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からドメインローカルセキュリティグループの削除を行った場合の監査について記述します。

ドメインローカルセキュリティグループの削除が行われると、ドメインコントローラのセキュリティイベントログに、[ID638]イベントログが出力されます。







説明－対象アカウント名：削除されたドメインローカルセキュリティグループのアカウント名

説明－対象ドメイン：ドメインローカルセキュリティグループが削除されたドメイン

以上で、ドメインローカルセキュリティグループの削除の監査は終了となります。

ドメインローカルセキュリティグループへのメンバ追加


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からドメインローカルセキュリティグループへのメンバ追加を行った場合の監査について記述します。

ドメインローカルセキュリティグループへのメンバ追加が行われると、ドメイン

コントローラのセキュリティイベントログに、次のイベントログが出力されます。


ドメインローカルセキュリティグループへのメンバ追加が行われた場合に出力されるイベントログです。


ドメインローカルセキュリティグループに対し、何らかの変更が行われた場合に出力されるイベントログです。

ドメインローカルセキュリティグループへのメンバ追加の監査では、[ID636]イベントログを使用して監査を行います。








説明－メンバ ID：ドメインローカルセキュリティグループに追加されたアカウントの ID

説明－対象アカウント名：メンバが追加されたドメインローカルセキュリティ

グループのアカウント名

説明－対象ドメイン：メンバが追加されたドメインローカルセキュリティグループの所属ドメイン

以上で、ドメインローカルセキュリティグループへのメンバ追加の監査は終了となります。

ドメインローカルセキュリティグループからのメンバ削除


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からドメインローカルセキュリティグループからのメンバ削除を行った場合の監査について記述します。

ドメインローカルセキュリティグループからのメンバ削除が行われると、ドメインコントローラのセキュリティイベントログに、次のイベントログが出力されます。



ドメインローカルセキュリティグループからのメンバ削除が行われた場合に出力されるイベントログです。



ドメインローカルセキュリティグループへのメンバ削除の監査では、[ID637]イベントログを使用して監査を行います。







説明－メンバ ID：ドメインローカルセキュリティグループから削除されたアカウントの ID

説明－対象アカウント名：メンバが削除されたドメインローカルセキュリティ


説明－対象ドメイン：メンバが削除されたドメインローカルセキュリティグループの所属ドメイン

以上で、ドメインローカルセキュリティグループからのメンバ削除の監査は終了となります。


ドメインローカルセキュリティグループの管理者の変更


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からドメインローカルセキュリティグループの管理者の変更を行った場合の監査について記述します。

なお、ドメインローカルセキュリティグループの管理者の変更を監査するためには、p.14「監査エントリの追加」の手順にて、監査対象とするドメインローカルセキュリティグループに対し、監査エントリの追加が行われている必要があります。

ドメインローカルセキュリティグループの管理者の変更が行われると、ドメイン



オブジェクトに対し、何らかの操作が行われた場合に出力されるイベントログです。



ドメインローカルセキュリティグループの管理者の変更の監査では、[ID566]イベントログを使用して監査を行います。






※ 説明－クライアントユーザー名 /クライアントドメインからも確認できます。

1/2 2/2


説明－オブジェクトの名前：管理者が変更されたドメインローカルセキュリティグループの識別名

説明－プロパティの書き込み：操作内容

※ “managedBy”は管理者の変更を表します。

以上で、ドメインローカルセキュリティグループの管理者の変更の監査は終了となります。

ドメインローカルセキュリティグループのアカウント名の変更


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からドメインローカルセキュリティグループのアカウント名の変更を行った場合の監査について記述します。

ドメインローカルセキュリティグループのアカウントの変更が行われると、ドメインコントローラのセキュリティイベントログに、次のイベントログが出力されます。



SAM アカウント名（Windows 2000 以前）の値を変更した場合に出力されます。


アカウント名の変更が行われた場合に出力されるイベントログです。

ドメインローカルセキュリティグループのアカウント名の変更の監査では、[ID685]イベントログを使用して監査を行います。








説明－古いアカウント名：アカウント名が変更されたドメインローカルセキュリティグループの変更前のアカウント名

説明－新しいアカウント名：アカウント名が変更されたドメインローカルセキュリティグループの変更後のアカウント名

説明－対象ドメイン：アカウント名が変更されたドメインローカルセキュリティグループの所属ドメイン

以上で、ドメインローカルセキュリティグループのグループ名の変更の監査は終了となります。

グローバルセキュリティグループの作成


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からグローバルセキュリティグループの作成を行った場合の監査について記述します。

グローバルセキュリティグループの作成が行われると、ドメインコントローラのセキュリティイベントログに、[ID631]イベントログが出力されます。







説明－新しいアカウント名：作成されたグローバルセキュリティグループのアカウント名

説明－新しいドメイン：グローバルセキュリティグループが作成されたドメイン

以上で、グローバルセキュリティグループの作成の監査は終了となります。

グローバルセキュリティグループの削除


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からグローバルセキュリティグループの削除を行った場合の監査について記述します。

グローバルセキュリティグループの削除が行われると、ドメインコントローラのセキュリティイベントログに、[ID634]イベントログが出力されます。







説明－対象アカウント名：削除されたグローバルセキュリティグループのアカウント名

説明－対象ドメイン：グローバルセキュリティグループが削除されたドメイン

以上で、グローバルセキュリティグループの削除の監査は終了となります。

グローバルセキュリティグループへのメンバ追加


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からグローバルセキュリティグループへのメンバ追加を行った場合の監査について記述します。

グローバルセキュリティグループへのメンバ追加が行われると、ドメインコントローラのセキュリティイベントログに、次のイベントログが出力されます。


グローバルセキュリティグループへのメンバ追加が行われた場合に出力されるイベントログです。


グローバルセキュリティグループに対し、何らかの変更が行われた場合に出力されるイベントログです。

グローバルセキュリティグループへのメンバ追加の監査では、[ID632]イベントログを使用して監査を行います。








説明－メンバ ID：グローバルセキュリティグループに追加されたアカウントの ID

説明－対象アカウント名：メンバが追加されたグローバルセキュリティグループのアカウント名

説明－対象ドメイン：メンバが追加されたグローバルセキュリティグループの所属ドメイン

以上で、グローバルセキュリティグループへのメンバ追加の監査は終了となります。

グローバルセキュリティグループからのメンバ削除


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からグローバルセキュリティグループからのメンバ削除を行った場合の監査について記述します。

グローバルセキュリティグループからのメンバ削除が行われると、ドメインコントローラのセキュリティイベントログに、次のイベントログが出力されます。


グローバルセキュリティグループからのメンバ削除が行われた場合に出力されるイベントログです。




グローバルセキュリティグループからのメンバ削除の監査では、[ID633]イベント

ログを使用して監査を行います。







説明－メンバ ID：グローバルセキュリティグループから削除されたアカウントの ID

説明－対象アカウント名：メンバが削除されたグローバルセキュリティグループのアカウント名

説明－対象ドメイン：メンバが削除されたグローバルセキュリティグループの所属ドメイン

以上で、グローバルセキュリティグループからのメンバ削除の監査は終了となります。

グローバルセキュリティグループの管理者の変更



本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からグローバルセキュリティグループの管理者の変更を行った場合の監査について記述します。

なお、グローバルセキュリティグループの管理者の変更を監査するためには、p.14

「監査エントリの追加」の手順にて、監査対象とするグローバルセキュリティグループに対し、監査エントリの追加が行われている必要があります。

グローバルセキュリティグループの管理者の変更が行われると、ドメインコントローラのセキュリティイベントログに、次のイベントログが出力されます。





グローバルセキュリティグループの管理者の変更の監査では、[ID566]イベントログを使用して監査を行います。







説明－オブジェクトの名前：管理者が変更されたグローバルセキュリティグループの識別名



1/2 2/2


以上で、グローバルセキュリティグループの管理者の変更の監査は終了となります。

グローバルセキュリティグループのアカウント名の変更


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等からグローバルセキュリティグループのアカウント名の変更を行った場合の監査について記述します。

グローバルセキュリティグループのアカウント名の変更が行われると、ドメイン







グローバルセキュリティグループのグループ名の変更の監査では、[ID685]イベントログを使用して監査を行います。








説明－古いアカウント名：アカウント名が変更されたグローバルセキュリティ

グループの変更前のアカウント名

説明－新しいアカウント名：アカウント名が変更されたグローバルセキュリティグループの変更後のアカウント名

説明－対象ドメイン：アカウント名が変更されたグローバルセキュリティグループの所属ドメイン

以上で、グローバルセキュリティグループのアカウント名の変更の監査は終了となります。


Administrators, Domain Admins, Enterprise Admins セキュ

リティグループに関する操作本節では、Administrators, Domain Admins, Enterprise Admins セキュリティグループに関する操作を監査する手順について記述します。


Administrators セキュリティグループへのメンバ追加

Administrators セキュリティグループからのメンバ削除

Administrators セキュリティグループの管理者の変更

Domain Admins, Enterprise Admins セキュリティグループへのメンバ追加

Domain Admins, Enterprise Admins セキュリティグループからのメンバ削除

Domain Admins, Enterprise Admins セキュリティグループの管理者の変更

Domain Admins, Enterprise Admins セキュリティグループのアカウント名の変更


Administrators セキュリティグループへのメンバ追加


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等から Administrators セキュリティグループへのメンバ追加を行った場合の監査について記述します。

Administrators セキュリティグループへのメンバ追加が行われると、ドメインコントローラのセキュリティイベントログに、次のイベントログが出力されます。


ドメインローカルセキュリティグループへのメンバ追加が行われた場合に出力されるイベントログです。





Administrators セキュリティグループへのメンバ追加の監査では、[ID636]イベント

ログを使用して監査を行います。

[ID639]、及び[ID566]イベントログの内容については、p.82「付録 1：イベントログ一覧」を参照して下さい。







説明－メンバ ID：Administrators セキュリティグループに追加されたアカウントの ID

説明－対象アカウント名：メンバが追加されたドメインローカルセキュリティ


※ 今回の場合では、”Administrators”

説明－対象ドメイン：メンバが追加されたドメインローカルセキュリティグループの所属ドメイン

※ ビルトイングループの場合は、”Builtin”と表示されます。

以上で、Administrators セキュリティグループへのメンバ追加の監査は終了となります。

Administrators セキュリティグループからのメンバ削除


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等から Administrators セキュリティグループからのメンバ削除を行った場合の監査について記述します。

Administrators セキュリティグループからのメンバ削除が行われると、ドメインコントローラのセキュリティイベントログに、次のイベントログが出力されます。


ドメインローカルセキュリティグループからのメンバ削除が行われた場合に出力されるイベントログです。






Administrators セキュリティグループからのメンバ削除の監査では、[ID637]イベントログを使用して監査を行います。

[ID639] 、及び[ID566]イベントログの内容については、p.82「付録 1：イベントログ一覧」を参照して下さい。






説明－メンバ ID：ドメインローカルセキュリティグループから削除されたアカウントの ID

説明－対象アカウント名：メンバが削除されたドメインローカルセキュリティ


※ 今回の場合は、”Administrators”

説明－対象ドメイン：メンバが削除されたドメインローカルセキュリティグループの所属ドメイン

※ ビルトイングループの場合は、”Builtin”と表示されます。

以上で、Administrators セキュリティグループからのメンバ削除の監査は終了となります。


Administrators セキュリティグループの管理者の変更


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等から Administrators セキュリティグループの管理者の変更を行った場合の監査について記述します。

Administrators セキュリティグループの管理者の変更が行われると、ドメインコントローラのセキュリティイベントログに、次のイベントログが出力されます。

[ID566]イベントログ（1 つ目）


アカウントに対する権限の書き込みに対して出力されるイベントログで、説明欄の[プロパティの書き込み]に、”WRITE_DAC”と記録されます。


同じく、オブジェクトに対し、何らかの操作が行われた場合に出力されるイベントログです。

アカウントのプロパティの変更に対して出力されるイベントログで、説明欄の[プロパティの書き込み]に、”managedBy”と記録されます。



Administrators セキュリティグループの管理者の変更の監査では、2 つ目の[ID566]イベントログを使用して監査を行います。





1/2 2/2




説明－オブジェクトの名前：管理者が変更されたドメインローカルセキュリティグループの識別名

※ 今回の場合は、”Administrators”



以上で、Administrators セキュリティグループの管理者の変更の監査は終了となります。

Domain Admins, Enterprise Admins セキュリティグループへのメンバ追加


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等から Domain Admins, Enterprise Admins セキュリティグループへのメンバ追加を行った場合の監査について記述します。

Domain Admins, Enterprise Admins セキュリティグループへのメンバ追加が行われると、ドメインコントローラのセキュリティイベントログに、次のイベントログが出力されます。


グローバルセキュリティグループへのメンバ追加が行われた場合に出力されるイベントログです。





Domain Admins, Enterprise Admins セキュリティグループへのメンバ追加の監査では、[ID632]イベントログを使用して監査を行います。








説明－メンバ ID：グローバルセキュリティグループに追加されたアカウントの ID

説明－対象アカウント名：メンバが追加されたグローバルセキュリティグループのアカウント名

※ 今回の場合は、”Domain Admins”、または”Enterprise Admins”

説明－対象ドメイン：メンバが追加されたグローバルセキュリティグループの所属ドメイン

以上で、Domain Admins, Enterprise Admins セキュリティグループへのメンバ追加の監査は終了となります。

Domain Admins, Enterprise Admins セキュリティグループからのメンバ削除


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等から Domain Admins, Enterprise Admins セキュリティグループからのメンバ削除を行った場合の監査について記述します。

Domain Admins, Enterprise Admins セキュリティグループからのメンバ削除が行われると、ドメインコントローラのセキュリティイベントログに、次のイベントログが出力されます。


グローバルセキュリティグループからのメンバ削除が行われた場合に出力されるイベントログです。






Domain Admins, Enterprise Admins セキュリティグループからのメンバ削除の監査では、[ID633]イベントログを使用して監査を行います。







説明－メンバ ID：グローバルセキュリティグループから削除されたアカウントの ID

説明－対象アカウント名：メンバが削除されたグローバルセキュリティグループのアカウント名


説明－対象ドメイン：メンバが削除されたグローバルセキュリティグループの所属ドメイン

以上で、Domain Admins, Enterprise Admins セキュリティグループからのメンバ削除の監査は終了となります。


Domain Admins, Enterprise Admins セキュリティグループの管理者の変更


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等から Domain Admins, Enterprise Admins セキュリティグループの管理者の変更を行った場合の監査について記述します。

Domain Admins, Enterprise Admins セキュリティグループの管理者の変更が行われると、ドメインコントローラのセキュリティイベントログに、次のイベントログが出力されます。



アカウントに対する権限の書き込みに対して出力されるイベントログで、説明欄の[プロパティの書き込み]に、”WRITE_DAC”と記録されます。



アカウントのプロパティの変更に対して出力されるイベントログで、説明欄の[プロパティの書き込み]に、”managedBy”と記録されます。



Domain Admins, Enterprise Admins セキュリティグループの管理者の変更の監査では、2 つ目の[ID566]イベントログを使用して監査を行います。





1/2 2/2




説明－オブジェクトの名前：管理者が変更されたグローバルセキュリティグループの識別名




以上で、Domain Admins, Enterprise Admins セキュリティグループの管理者の変更の監査は終了となります。

Domain Admins, Enterprise Admins セキュリティグループのアカウント名の変更


本項では、[Active Directory ユーザーとコンピュータ]管理コンソール、及びスクリプト等から Domain Admins, Enterprise Admins セキュリティグループのアカウント名の変更を行った場合の監査について記述します。

Domain Admins, Enterprise Admins セキュリティグループのアカウント名の変更が行われると、ドメインコントローラのセキュリティイベントログに、次のイベント

ログが出力されます。



説明欄の[プロパティの書き込み]に、”Public Information”と記録されます。



説明欄の[プロパティの書き込み]に、”General Information”と記録されます。






Domain Admins, Enterprise Admins セキュリティグループのグループ名の変更の監査では、[ID685]イベントログを使用して監査を行います。

[ID641]、及び[ID566]イベントログの内容については、p.82「付録 1：イベントログ一覧」を参照して下さい。







説明－古いアカウント名：アカウント名が変更されたグローバルセキュリティ

グループの変更前のアカウント名

説明－新しいアカウント名：アカウント名が変更されたグローバルセキュリティグループの変更後のアカウント名

説明－対象ドメイン：アカウント名が変更されたグローバルセキュリティグループの所属ドメイン

以上で、Domain Admins, Enterprise Admins セキュリティグループのアカウント名の変更の監査は終了となります。


グループポリシーに関する操作本節では、グループポリシー管理コンソール（GPMC）からのグループポリシーの操作を監査する手順について記述します。

GPMC とは、グループポリシーに関連する管理作業を集約した管理コンソールで、次の URL よりダウンロードすることができます。

<http://www.microsoft.com/downloads/details.aspx?displaylang=ja&FamilyID=0a6d4c24-

8cbd-4b35-9272-dd3cbfc81887>


グループポリシーの内容の変更

グループポリシーの状態の変更

グループポリシーの委任の変更

グループポリシーのスコープ（リンク）の変更

グループポリシーのスコープ（フィルタ）の変更


グループポリシーの内容の変更


本項では、[グループポリシーの管理]コンソール等からグループポリシーの内容の変更を行った場合の監査について記述します。

グループポリシーの内容の変更が行われると、ドメインコントローラのセキュリティイベントログに、[ID566]イベントログが出力されます。




1/2 2/2

http://www.microsoft.com/downloads/details.aspx?displaylang=ja&FamilyID=0a6d4c24-8cbd-4b35-9272-dd3cbfc81887

http://www.microsoft.com/downloads/details.aspx?displaylang=ja&FamilyID=0a6d4c24-8cbd-4b35-9272-dd3cbfc81887




説明－オブジェクトの名前：変更されたグループポリシーの識別名

※ 識別名から表示名を確認する方法については、p.91「付録 2：関連情報」を参照して下さい。


※ “versionNumber”はグループポリシーの内容の変更を表します。

以上で、グループポリシーの内容の変更の監査は終了となります。

グループポリシーの状態の変更


本項では、[グループポリシーの管理]コンソールからグループポリシーの状態の変更を行った場合の監査について記述します。

上図…GPMC によるグループポリシーの状態（[有効]、[ユーザーの構成の設定が無効]、[す

べての設定が無効]、[コンピュータの構成の設定が無効]）の変更

参考情報

また、グループポリシーオブジェクトがどのように変更されたかについては、[Microsoft Advanced Group Policy Management]を利用して確認することができます。

[Microsoft Advanced Group Policy Management]の詳細については、次のURL を参照して下さい。

<http://www.microsoft.com/japan/windows/products/windowsvista/buyoru

pgrade/optimizeddesktop/default.mspx>

http://www.microsoft.com/japan/windows/products/windowsvista/buyorupgrade/optimizeddesktop/default.mspx




グループポリシーの状態の変更が行われると、ドメインコントローラのセキュリティイベントログに、[ID566]イベントログが出力されます。









※ “flags”はグループポリシーの状態の変更を表します。

以上で、グループポリシーの状態の変更の監査は終了となります。

グループポリシーの委任の変更


本項では、[グループポリシーの管理]コンソール等からグループポリシーの委任の変更を行った場合の監査について記述します。

1/2 2/2


上図…GPMC による委任の変更（ユーザー、グループに対する、グループポリシーオブジェ

クトの[読み取り]、[設定の編集]、[設定の編集、削除、及びセキュリティの変更]アクセス許

可の割り当ての変更）

グループポリシーの委任の変更が行われると、ドメインコントローラのセキュリティイベントログに、[ID566]イベントログが出力されます。








説明－プロパティ：操作内容

※ “WRITE_DAC”はグループポリシーの委任の変更（権限の変更）を表します。

1/2 2/2


以上で、グループポリシーの委任の変更の監査は終了となります。

グループポリシーのスコープ（リンク）の変更


本項では、[グループポリシーの管理]コンソール等からグループポリシーのスコープ（リンク）の変更を行った場合の監査について記述します。

上図…GPMC によるリンクの変更（Active Directoryのサイト、ドメイン、OUに対するグル

ープポリシーオブジェクトのリンクの変更）

注意

グループポリシーの委任の変更では、グループポリシーに対するアクセス権の変更が行われます。よって、[ID566]イベントログの[プロパティの書き込み]に、オブジェクトのアクセス権（DACL）が変更されたことを示す、”WRITE_DAC”が記録されます。

ただし、グループポリシーのスコープ（フィルタ）の変更でも、[プロパティの書き込み]に”WRITE_DAC”が記録された[ID566]イベントログが出力されるため、これら 2 つの操作を Windows Server 2003 のイベント

ログから識別することはできません。

注意

“WRITE_DAC”は、権限の変更だけでなく、権限の読み取りが行われた場合にも出力される場合があります。

詳細については、以下の URL を参照して下さい。

<http://support.microsoft.com/kb/225246/en-us>

http://support.microsoft.com/kb/225246/en-us


グループポリシーのスコープ（リンク）の変更が行われると、ドメインコントローラのセキュリティイベントログに、[ID566]イベントログが出力されます。






説明－オブジェクトの名前：新しくグループポリシーオブジェクトにリンクされた、ドメイン、組織単位（OU）等の識別名


※ “gPLink”はグループポリシーのスコープ（リンク）の変更を表します。

以上で、グループポリシーのスコープ（リンク）の変更の監査は終了となります。

グループポリシーのスコープ（フィルタ）の変更


本項では、[グループポリシーの管理]コンソール等からグループポリシーのスコープ（フィルタ）の変更を行った場合の監査について記述します。

1/2 2/2


上図…GPMC によるフィルタの変更（グループポリシーオブジェクトを適用するユーザー、

およびコンピュータの変更）

グループポリシーのスコープ（フィルタ）の変更が行われると、ドメインコントローラのセキュリティイベントログに、[ID566]イベントログが出力されます。








1/2 2/2



※ “WRITE_DAC”はグループポリシーのスコープ（フィルタ）の変更（権限の変更）を表します。

以上で、グループポリシーのスコープ（フィルタ）の変更の監査は終了となります。

注意

グループポリシーのスコープ（フィルタ）の変更では、ユーザーに対するグループポリシーの読み取り、及び適用権限の削除が行われます。

よって、[ID566]イベントログの[プロパティの書き込み]に、オブジェクトのアクセス権（DACL）が変更されたことを示す、”WRITE_DAC”が記録されます。ただし、グループポリシーの委任の変更でも、[プロパティの書き込み]に”WRITE_DAC”が記録された[ID566]イベントログが出力されるため、これら 2 つの操作を Windows Server 2003 のイベントログから識別することはできません。

注意

“WRITE_DAC”は、権限の変更だけでなく、権限の読み取りが行われた場合にも出力される場合があります。

詳細については、以下の URL を参照して下さい。

<http://support.microsoft.com/kb/225246/en-us>

http://support.microsoft.com/kb/225246/en-us


取得ログ項目一覧 Active Directory 上の各種操作における監査について、監査対象、監査要素をまとめたマトリクスを、次に示します。

ユーザーに関する操作


凡例：○…識別可能、△…操作内容の識別は不可能、×…識別不可能

監査対象操作内容監査要素識別可否備考

ユーザー作成誰が操作を実行したか ○ [ID624]の[ユーザー]、または[呼び出し側ユーザー名]/[呼び出し側ドメイン]より確認可能。

いつ操作を実行したか ○ [ID624]の[日付]、[時刻]より確認可能。

どんな操作を実行したか ○ [ID624]はユーザーの作成を表す。

どのアカウントに対して操作を実行したか

対象アカウント名 ○ [ID624]の[新しいアカウント名]より確認可能。

対象アカウントの所属ドメイン

○ [ID624]の[新しいドメイン]より確認可能。

削除誰が操作を実行したか ○ [ID630]の[ユーザー]、または[呼び出し側ユーザー名]/[呼び出し側ドメイン]より確認可能。




どんな操作を実行したか ○ [ID630]はユーザーの削除を表す。


対象アカウント名 ○ [ID630]の[対象アカウント名]より確認可能。


○ [ID630]の[対象ドメイン]より確認可能。

無効化誰が操作を実行したか ○ [ID629]の[ユーザー]、または[呼び出し側ユーザー名]/[呼び出し側ドメイン]より確認可能。


どんな操作を実行したか ○ [ID629]はユーザーの無効化を表す。





有効化誰が操作を実行したか ○ [ID626]の[ユーザー]、または[呼び出し側ユーザー名]/[呼び出し側ドメイン]より確認可能。


どんな操作を実行したか ○ [ID626]はユーザーの有効化を表す。

どのアカ対象アカウント名 ○ [ID626]の[対象アカウント名]より確認可能。



ウントに対して操作を実行したか



パスワードリセット誰が操作を実行したか ○ [ID628]の[ユーザー]、または[呼び出し側ユーザー名]/[呼び出し側ドメイン]より確認可能。


どんな操作を実行したか ○ [ID628]はパスワードリセットを表す。





ドメインへのログオン誰が操作を実行したか ○ [ID540]の[ユーザー]、または[ユーザー名]/[ドメイン]より確認可能。

（[ID540]はドメインコントローラに出力される）



どんな操作を実行したか ○ [ID540]はドメインへのログオンを表す。





（通常のログオフ）

誰が操作を実行したか ○ [ID538]の[ユーザー名]/[ドメイン]より確認可能。


いつ操作を実行したか ○※ [ID538]の[日付]、[時刻]より確認可能。


※[ID538]は、実際のユーザーのログオフ操作から時間が経過してから記録される場合があります。詳細については、p.24「ドメインからのログオフ」を参照して下さい。

どんな操作を実行したか ○ [ID538]はドメインからのログオフを表す。



（コンピュータのシャット

ダウンによるログオフ）

対象製品：Windows Server

2003 /Windows XP Professional

誰が操作を実行したか ○ [ID551]の[ユーザー名]/[ドメイン]より確認可能。

（[ID551]は実際に操作が行われたコンピュータに出力される）





どんな操作を実行したか ○ [ID551]はコンピュータのシャットダウンによるログオフを表す。



セキュリティグループに関する操作




ドメインローカルセキュリティグループ

作成誰が操作を実行したか ○ [ID635]の[ユーザー]、または[呼び出し側ユーザー名]/[ 呼び出し側ドメイン]より確認可能。


どんな操作を実行したか ○ [ID635]はドメインローカルセキュリティグループの作成を表す。





削除誰が操作を実行したか ○ [ID638]の[ユーザー]、または[呼び出し側ユーザー名]/[ 呼び出し側ドメイン]より確認可能。


どんな操作を実行したか ○ [ID638]はドメインローカルセキュリティグループの削除を表す。

どのアカウン対象アカウント名 ○ [ID638]の[対象アカウント名]より確認可能。



トに対して操作を実行したか



メンバ追加誰が操作を実行したか ○ [ID636]の[ユーザー]、または[呼び出し側ユーザー名]/[ 呼び出し側ドメイン]より確認可能。


どんな操作を実行したか ○ [ID636]はドメインローカルセキュリティグループへのメンバの追加を表す。





追加されたメンバのアカウント名

○ [ID636]の[メンバ ID]より確認可能。

追加されたメンバの所属ドメイン


メンバ削除誰が操作を実行したか ○ [ID637]の[ユーザー]、または[呼び出し側ユーザー名]/[ 呼び出し側ドメイン]より確認可能。


どんな操作を実行したか ○ [ID637]はドメインローカルセキュリティグループからのメンバの削除を表す。







削除されたメンバのアカウント名


削除されたメンバの所属ドメイン


管理者変更誰が操作を実行したか ○ [ID566]の[ユーザー]、または[クライアントユーザー名]/[ クライアントドメイン]より確認可能。


どんな操作を実行したか ○ [ID566]の[プロパティの書き込み]より確認可能。（”managedBy”と記録される）


対象アカウント名 ○ [ID566]の[オブジェクトの名前]より確認可能。


○ [ID566]の[オブジェクトの名前]より確認可能。

管理者に指定されたユーザーのアカウント名

×

管理者に指定されたユーザーの所属ドメイン

×



アカウント名変更誰が操作を実行したか ○ [ID685]の[ユーザー]、または[呼び出し側ユーザー名]/[ 呼び出し側ドメイン]より確認可能。


どんな操作を実行したか ○ [ID685]はアカウント名の変更を表す。


対象アカウント名

（変更前）

○ [ID685]の[古いアカウント名]より確認可能。


（変更後）

○ [ID685]の[新しいアカウント名]より確認可能。



グローバルセキュリティグループ

作成誰が操作を実行したか ○ [ID631]の[ユーザー]、または[呼び出し側ユーザー名]/[ 呼び出し側ドメイン]より確認可能。


どんな操作を実行したか ○ [ID631]はグローバルセキュリティグループの作成を表す。







削除誰が操作を実行したか ○ [ID634]の[ユーザー]、または[呼び出し側ユーザー名]/[ 呼び出し側ドメイン]より確認可能。


どんな操作を実行したか ○ [ID634]はグローバルセキュリティグループの削除を表す。







どんな操作を実行したか ○ [ID632]はグローバルセキュリティグループへのメンバの追加を表す。













どんな操作を実行したか ○ [ID633]はグローバルセキュリティグループからのメンバの削除を表す。












どのアカウントに対して操




作を実行したか




×


×






（変更前）



（変更後）





Administrators, Domain Admins, Enterprise Admins セキュリティグループに関する操作




Administrators セキュリティグループ



どんな操作を実行したか ○ [ID636]はドメインローカルセキュリティグループへのメンバの追加を表す。













どんな操作を実行したか ○ [ID637]はドメインローカルセキュリティグループからのメンバの削除を表す。

















×




×

Domain Admins,

Enterprise Admins

セキュリティ

グループ



どんな操作を実行したか ○ [ID632]はグローバルセキュリティグループへのメンバの追加を表す。











どんな操作を実行したか ○ [ID633]はグローバルセキュリティグループからのメンバの削除を表す。

どのアカウ対象アカウント名 ○ [ID633]の[対象アカウント名]より確認可能。



ントに対して操作を実行したか















×


×








（変更前）



（変更後）





グループポリシーに関する操作




グループポリシー

内容の変更誰が操作を実行したか ○ [ID566]の[ユーザー]、または[クライアントユーザー名]/[ クライアントドメイン]より確認可能。


どんな操作を実行したか ○ [ID566]の[プロパティの書き込み]より確認可能。（”versionNumber”と記録される）

どのグループポリシーに対して操作を実行したか


状態の変更誰が操作を実行したか ○ [ID566]の[ユーザー]、または[クライアントユーザー名]/[ クライアントドメイン]より確認可能。


どんな操作を実行したか ○ [ID566]の[プロパティの書き込み]より確認可能。（”flags”と記録される）





委任の変更誰が操作を実行したか ○ [ID566]の[ユーザー]、または[クライアントユーザー名]/[ クライアントドメイン]より確認可能。


どんな操作を実行したか △ [ID566]が出力される。

権限の変更（プロパティに”WRITE_DAC”と表示される）までの情報となり、スコープ（フィルタ）の変更との識別はできない。



スコープ（リンク）の

変更

誰が操作を実行したか ○ [ID566]の[ユーザー]、または[クライアントユーザー名]/[ クライアントドメイン]より確認可能。


どんな操作を実行したか ○ [ID566]の[プロパティの書き込み]より確認可能。（”gPLink”と記録される）

どのドメイン、組織単位（OU）等に対して操作を実行したか


スコープ（フィルタ）の変更

誰が操作を実行したか ○ [ID566]の[ユーザー]、または[クライアントユーザー名]/[ クライアントドメイン]より確認可能。






どんな操作を実行したか △ [ID566]が出力される。

権限の変更（プロパティに”WRITE_DAC”と表示される）までの情報となり、委任の変更との識別はできない。


注意事項 Windows Server 2003 にてログの収集及び監査を行う場合に、注意すべき項目については、別冊「マイクロソフトサーバー製品のログ監査ガイド－ファイルサーバー上のファイル操作における監査」をご参照下さい。

おわりに 81

おわりに以上の各章にて、Active Directory 上の各種操作における監査について、監査可能な要素、および手順を記載してきました。

IT 統制における監査は、必ずしも専用のソリューション製品の導入や専門機関への委託なしに実現不可能なものではありません。

また、無作為なログの収集は、結果的に監査に必要となるコスト、時間、人員を増大させるのみならず、監査結果の信頼性を低める事態にも繋がる可能性があります。

適切かつ有効な監査を実施するためには、まず監査すべき情報や手順を明確化することが重要です。

監査対象とする要素の性質を把握し、それに見合った監査を検討されるにあたり、本書がその手助けとなりましたら幸いです。


付録 1：イベントログ一覧対象製品：Windows Server 2003

No. Source ID Message 備考

1. Security 528 ログオンの成功：

ユーザー名：%1

ドメイン：%2

ログオン ID：%3

ログオンの種類：%4

ログオンプロセス：%5

認証パッケージ：%6

ワークステーション名：%7

ログオン GUID：%8

呼び出し側ユーザー名：%9

呼び出し側ドメイン：%10

呼び出し側ログオン ID：%11

呼び出し側プロセス ID：%12

移行されたサービス：%13

ソースネットワークアドレス：%14

ソースポート：%15

%1…ログオンしたユーザーのユーザー名

%2…ログオンしたユーザーの所属ドメイン

%14…ユーザーがログオンしたサーバー /クライアント端末の IP アドレス

2. Security 538 ユーザーのログオフ：


ドメイン：%2



%1…ログオフしたユーザーのユーザー名

%2…ログオフしたユーザーの所属ドメイン

3. Security 540 ネットワークログオンの成功：


ドメイン：%2



ログオンプロセス：%5

認証パッケージ：%6

ワークステーション名：%7

ログオン GUID：%8




%1…ログオンしたユーザーのユーザー名

%2…ログオンしたユーザーの所属ドメイン

%14…ユーザーがログオンしたサーバー /クライアント端末の IP アドレス

付録 1：イベントログ一覧 83


呼び出し側プロセス ID：%12

移行されたサービス：%13

ソースネットワークアドレス：%14

ソースポート：%15

4. Security 551 ログオフを開始したユーザー：


ドメイン：%2


%1…操作を実行したユーザー

%2…操作を実行したユーザーの所属ドメイン

5. Security 566 オブジェクトの操作：

オブジェクトのサーバー：%1

操作の種類：%2

オブジェクトの種類：%3

オブジェクトの名前：%4

ハンドル ID：%5

プライマリユーザー名：%6

プライマリドメイン：%7

プライマリログオン ID：%8

クライアントユーザー名：%9

クライアントドメイン：%10

クライアントログオン ID：%11

アクセス数：%12

プロパティ：%13

追加情報 1：%14

追加情報 2：%15

アクセスマスク：%16

%4…操作対象オブジェクト



6. Security 624 ユーザーアカウントの作成：

新しいアカウント名：%1

新しいドメイン：%2

新しいアカウント ID：%3




特権：%7

属性：

SAM アカウント名：%8

表示名：%9

ユーザープリンシパル名：%10

ホームディレクトリ：%11

ホームドライブ：%12

%1…作成されたユーザーのアカウント名

%2…作成されたユーザーの所属ドメイン





スクリプトパス：%13

プロファイルパス：%14

ユーザーワークステーション：%15

最後に設定されたパスワード：%16

アカウントの有効期間終了日：%17

プライマリグループ ID：%18

許可された委任先：%19

旧 UACの値：%20

新 UACの値：%21

ユーザーアカウント制御：%22

ユーザーパラメータ：%23

SID 履歴：%24

ログオン時間：%25

7. Security 626 ユーザーアカウントの有効化：

対象アカウント名：%1

対象ドメイン：%2

対象アカウント ID：%3




%1…有効化されたユーザーのアカウント名

%2…有効化されたユーザーの所属ドメイン



8. Security 628 ユーザーアカウントパスワードの設定：







%1…パスワードリセットされたユーザーのアカウント名

%2…パスワードリセットされたユーザーの所属ドメイン



9. Security 629 ユーザーアカウントの無効化： %1…無効化された









ユーザーのアカウント名

%2…無効化されたユーザーの所属ドメイン



10. Security 630 ユーザーアカウントの削除：







特権：%7

%1…削除されたユーザーのアカウント名

%2…削除されたユーザーの所属ドメイン



11. Security 631 セキュリティが有効なグローバルグループの作成：







特権：%7

属性：


SID 履歴：%9

%1…作成されたグローバルセキュリティグループのアカウント名

%2…作成されたグローバルセキュリティグループの所属ドメイン



12. Security 632 セキュリティが有効なグローバルグループ

メンバが追加されました：

%2…グローバルセキュリティグループのメンバに追加



メンバ名：%1

メンバ ID：%2







特権：%9

されたアカウントの ID

%3…メンバにアカウントが追加されたグローバルセキュリティグループのアカウント名

%4…メンバにアカウントが追加されたグローバルセキュリティグループの所属ドメイン



13. Security 633 セキュリティが有効なグローバルグループ

メンバが削除されました：

メンバ名：%1

メンバ ID：%2







特権：%9

%2…グローバルセキュリティグループのメンバから削除されたアカウントの ID

%3…メンバからアカウントが削除されたグローバルセキュリティグループのアカウント名

%4…メンバからアカウントが削除されたグローバルセキュリティグループの所属ドメイン



14. Security 634 セキュリティが有効なグローバルグループが削除されました：

%1…削除されたグローバルセキュリ









特権：%7

ティグループのアカウント名

%2…削除されたグローバルセキュリティグループの所属ドメイン



15. Security 635 セキュリティが有効なローカルグループの作成：







特権：%7

属性：


SID 履歴：%9

%1…作成されたドメインローカルセキュリティグループのアカウント名

%2…作成されたドメインローカルセキュリティグループの所属ドメイン



16. Security 636 セキュリティが有効なローカルグループメンバが追加されました：

メンバ名：%1

メンバ ID：%2







特権：%9

%2…ドメインローカルセキュリティ

グループのメンバに追加されたアカウントの ID

%3…メンバにアカウントが追加されたドメインローカルセキュリティグループのアカウント名

%4…メンバにアカウントが追加されたドメインローカルセキュリティグ



ループの所属ドメイン



17. Security 637 セキュリティが有効なローカルグループメンバが削除されました：

メンバ名：%1

メンバ ID：%2







特権：%9

%2…ドメインローカルセキュリティ

グループのメンバから削除されたアカウントの ID

%3…メンバからアカウントが削除されたドメインローカルセキュリティ


%4…メンバからアカウントが削除されたドメインローカルセキュリティ

グループの所属ドメイン



18. Security 638 セキュリティが有効なローカルグループが削除されました：







特権：%7

%1…削除されたドメインローカルセキュリティグループのアカウント名

%2…削除されたドメインローカルセキュリティグループの所属ドメイン





19. Security 639 セキュリティが有効なローカルグループが変更されました：







特権：%7

変更された属性：


SID 履歴：%9

%1…変更されたドメインローカルセキュリティグループのアカウント名

%2…変更されたドメインローカルセキュリティグループの所属ドメイン



20. Security 641 セキュリティが有効なグローバルグループが変更されました：







特権：%7



SID 履歴：%9

%1…変更されたグローバルセキュリティグループのアカウント名

%2…変更されたグローバルセキュリティグループの所属ドメイン



21. Security 642 ユーザーアカウントの変更：







特権：%7


%1…変更されたユーザーのアカウント名

%2…変更されたドメインローカルユーザーの所属ドメイン

%4…操作を実行し




表示名：%9

ユーザープリンシパル名：%10

ホームディレクトリ：%11

ホームドライブ：%12

スクリプトパス：%13

プロファイルパス：%14

ユーザーワークステーション：%15

最後に設定されたパスワード：%16

アカウントの有効期間終了日：%17

プライマリグループ ID：%18

許可された委任先：%19

旧 UACの値：%20

新 UACの値：%21

ユーザーアカウント制御：%22

ユーザーパラメータ：%23

SID 履歴：%24

ログオン時間：%25

たユーザー


22. Security 685 アカウント名が変更されました：

古いアカウント名：%1







特権：%8

%1…変更前のアカウント名

%2…変更後のアカウント名

%3…アカウント名が変更されたアカウントの所属ドメイン



付録 2：関連情報 91

付録 2：関連情報 Active Directory 上の各種操作の監査に関連する、次の情報について記述します。

ADSI Edit

ADSI Edit を用いて、イベントログに記録されたグループポリシーの識別名から表示名を確認する方法について記述します。

また、Windows Server 2003 におけるイベントログ収集及び監査に関する次の情報については、別冊「マイクロソフトサーバー製品のログ監査ガイド－ファイルサーバー上のファイル操作における監査」をご参照ください。

イベントログのファイル出力

[イベントビューア]より、イベントログをファイル出力する手順について記述しています。

Excel を使用したイベントログの確認

CSV ファイルに出力したイベントログ情報を、Excel のオートフィルタ機能を使用して確認する手順について記述しています。

Log Parser 2.2

マイクロソフトより無償で提供されている[Log Parser 2.2]のインストール手順、及び[Log Parser 2.2]を使用したイベントログの収集手順について記述しています。

Dump Event Log

Windows 2000 Server リソースキットより提供されている[Dump Event Log]のインストール手順、及び[Dump Event Log]を使用したイベントログの出力手順について記述しています。


ADSI Edit 対象製品：Windows Server 2003

ADSI Edit を使用して、イベントログに出力されたグループポリシーの識別名から表示名を確認することができます。

Support Tools のインストール

ADSI Edit は、Windows Server 2003 の Support Tools に含まれています。

Support Tools のインストール手順を、次に示します。


2. CD-ROM ドライブに Windows Server 2003 のインストール CD を挿入し、「CD-

ROM Drive:\SUPPORT\TOOLS」ディレクトリにある[SUPTOOLS.exe]をダブルクリックして実行します。

3. [Welcome to the Windows Support Tools Setup Wizard]が開いたら、[Next]をクリックします。

4. [End User License Agreement]に遷移したら、内容を確認して[I Agree]を選択し、[Next]をクリックします。


5. [User Information]に遷移したら、任意のユーザー情報を入力して、[Next]をクリックします。

6. [Distination Directory]に遷移したら、任意のインストール先ディレクトリを指定して、[Install Now]をクリックし、インストールを開始します。

7. [Completing the Windows Support Tools Setup Wizard]に遷移したら、[Finish]をクリックします。


以上で、Support Tools のインストール手順は終了となります。

ADSI Edit を使用したグループポリシー表示名の確認

Support Tools のインストールが完了したら、ADSI Edit を使用して、イベントログに記録されたグループポリシーの識別名から、表示名を特定します。

手順を、次に示します。

1. 管理者アカウントにてドメインコントローラにログオンし、[ID566]イベント

ログのプロパティより、対象とするグループポリシーの識別名を確認します。

※ グループポリシーの識別名の確認方法については、p.52「グループポリシーに関する操作」を参照して下さい。

2. [スタート]メニューより[ファイル名を指定して実行]をクリックし、[名前]に「adsiedit.msc」と入力して、[OK]をクリックします。


3. [ADSI Edit]が開いたら、左ペインのツリーより、[ADSI Edit]－[Domain]－[対象ドメインの DN 名]－[CN=System]と展開し、[CN=Policies]をクリックします。

4. 右ペインの一覧より、№1 で確認したグループポリシーの識別名を右クリックして、[プロパティ]を選択します。


5. プロパティが開いたら、[Attributes]リストボックスより、[displayName]の値を確認します。

以上で、ADSI Edit を使用した表示名の確認は終了となります。

マイクロソフト サーバー製品の...

Documents

マイクロソフトサーバー製品の...