【Windows】会社PCでセキュリティ設定の変更履歴を確認する方法

会社PCのセキュリティ設定が突然変わってしまい、何が起きたのかわからないまま業務を続けなければならない場面は少なくありません。特に、ファイアウォールのルールが無効化されたり、監査ポリシーが停止されていると、セキュリティインシデントの兆候を見逃す恐れがあります。この記事では、Windowsに標準搭載されているイベントビューアーや監査機能を使って、セキュリティ設定の変更履歴を自力で確認する手順を解説します。会社のセキュリティベースラインと実際の設定を比較し、管理者へ報告すべき情報を整理する方法もあわせて紹介します。

1. セキュリティ設定変更履歴を確認するための事前準備

変更履歴の確認にはイベントビューアーを使用します。その前に、現在のPCで監査ポリシーが有効になっているかどうかを確認してください。監査が無効だと変更イベントが記録されず、履歴がまっさらになってしまいます。まずは以下の手順で監査ポリシーの状態をチェックしましょう。

1. キーボードの「Windowsキー」を押しながら「R」キーを押し、「ファイル名を指定して実行」ダイアログを開きます。
2. 「secpol.msc」と入力し、Enterキーを押します。ローカルセキュリティポリシーウィンドウが開きます。
3. 左ペインで「セキュリティの設定」→「ローカルポリシー」→「監査ポリシー」を展開します。
4. 右ペインに表示される各ポリシー(例:「監査アカウントログオンイベント」「監査オブジェクトアクセス」など)の「セキュリティの設定」列が「成功」「失敗」または「成功、失敗」になっていることを確認します。
5. もし「監査しない」になっている項目があれば、その項目に関する変更履歴は記録されていません。管理者に連絡し、適切な監査ポリシーを適用してもらう必要があります。

会社のセキュリティベースラインでは、通常「成功」と「失敗」の両方が監査対象に含まれていることが多いです。特に「監査プロセスイベント」や「監査ポリシー変更」はセキュリティ設定の変更を追跡するうえで重要です。これらの監査が有効でない場合、後述するイベントIDでの検索がほぼ意味をなさなくなります。

1-1. 監査ポリシーが無効だった場合の対処

監査ポリシーが無効であることは、それ自体がセキュリティ上の問題です。多くの会社ではグループポリシーで監査設定を強制しているため、ローカルで無効にできないようになっています。しかし、何らかの理由で無効になっている場合は、以下の2つの可能性が考えられます。

• 意図しない設定変更が行われた(バグ、マルウェア、ユーザー操作)。
• 管理者が意図的に無効にしたが、その記録がない。

いずれにせよ、管理者へ報告して再設定を依頼してください。監査ポリシーを自分で有効に変更することは可能ですが、会社のポリシーに反する可能性があるため、事前に確認が必要です。

2. イベントビューアーを使って変更履歴を確認する基本手順

イベントビューアーは、Windowsに内蔵されたログ管理ツールです。セキュリティ関連の変更は主に「Windowsログ」→「セキュリティ」に記録されます。ここで特定のイベントIDをフィルタリングすることで、設定変更の痕跡を探せます。

1. 「eventvwr.msc」を実行してイベントビューアーを起動します。
2. 左ペインで「Windowsログ」→「セキュリティ」を選択します。
3. 右ペインの「操作」から「現在のログをフィルター…」をクリックします。
4. 「フィルター」タブの「<すべてのイベント ID>」欄に、調べたい変更の種類に応じたイベントIDを入力します。代表的なIDは後述の表を参照してください。
5. 「OK」をクリックすると、該当するイベントのみが表示されます。各イベントをダブルクリックして詳細を確認し、変更が行われた日時、アカウント、プロセスを特定します。

イベントIDには次のようなものがあります。これらを覚えておくと効率的です。

変更内容	イベントID	説明
セキュリティポリシーの変更	4719	監査ポリシーやユーザー権利の割り当てが変更されたときに記録されます。
ファイアウォールルールの変更	4950～4958	Windows Defender ファイアウォールのルール追加・変更・削除時に記録されます(詳細なサブIDあり)。
システム時刻の変更	4616	時刻同期を含むシステム時刻の変更が記録されます。
監査ポリシー自体の変更	4902,4904,4907	監査ポリシーの設定変更や監査イベントのクリアに使用されます。
セキュリティログのクリア	1102	セキュリティログが消去されたことを示します。怪しい操作の可能性があります。

上記のイベントID以外にも、グループポリシーの適用に関連するイベント(ID 5016など)があります。関心のある設定に応じて、マイクロソフトの公式ドキュメントでさらに調べるとよいでしょう。

3. セキュリティベースラインとの差分を確認する方法

会社のセキュリティベースラインと現在のPCの設定を比較するには、グループポリシーの結果を出力する方法が便利です。ローカルグループポリシーエディターだけでなく、コマンドラインツールの「gpresult」も活用できます。

1. コマンドプロンプトを管理者として開きます(「cmd」を右クリック→「管理者として実行」)。
2. 次のコマンドを入力し、Enterキーを押します:gpresult /H C:\report.html　　これで現在のポリシー設定がHTMLレポートとして保存されます。
3. エクスプローラーで「C:\report.html」を開き、ブラウザで表示します。「セキュリティの設定」セクションで、各項目の「設定」と「優先GPO」を確認できます。
4. 会社から配布されているセキュリティベースラインの基準値と実際の値を1つずつ比較します。差分がある場合は、その項目をメモしておきましょう。
5. 特に「Windows ファイアウォール:保護の種類」「ユーザーアカウント制御:管理者承認モード」「監査:サブカテゴリの強制」などの重要な設定がベースラインと異なっていないか重点的にチェックします。

差分が見つかった場合、それがローカルポリシーによるものなのか、ドメインのグループポリシーによるものなのかを切り分ける必要があります。gpresultレポートの「優先GPO」列に「ローカルグループポリシー」と表示されていれば、その設定はこのPCだけで変更された可能性が高いです。逆に「Default Domain Policy」などドメインのポリシー名が書かれていれば、管理者側で設定されたものです。

3-1. よくある差分パターンとその意味

例えば、ファイアウォールの「パブリックプロファイル」で「受信接続」が「許可」になっている場合、ベースラインでは「ブロック」が期待されます。これはセキュリティリスクを高めるため、すぐに管理者へ報告すべきです。また、監査ポリシーの「監査アカウントログオンイベント」が「成功」のみで「失敗」が無効になっていると、不正ログイン試行を見逃す可能性があります。このような差分が複数ある場合は、PCが何らかの攻撃を受けているか、設定が意図せず変更された可能性を疑います。

4. ファイアウォール設定の変更履歴を追跡する

Windows Defender ファイアウォールの変更履歴は、イベントビューアーのセキュリティログで追跡できます。ただし、ファイアウォールのルール変更は大量に発生するため、特定のイベントIDでフィルタリングすることが重要です。

ファイアウォールルールの変更に関するイベントIDは4950～4958で、それぞれ以下の意味を持ちます。

• 4950: Windows ファイアウォールの設定が変更された
• 4954: グループポリシーがファイアウォール設定に適用された
• 4956: ファイアウォールが有効/無効にされた
• 4957: ファイアウォールルールが追加された
• 4958: ファイアウォールルールが削除された

これらのイベントを検索するときは、「<すべてのイベント ID>」欄に「4950-4958」のように範囲指定することもできます。また、各イベントの詳細には「変更後の値」や「ルールID」が含まれているため、どのような設定が行われたか具体的に把握できます。

4-1. ファイアウォール設定変更の失敗パターン

よくある失敗は、サードパーティ製セキュリティソフトがWindowsファイアウォールを自動で無効化してしまうケースです。その場合、イベントビューアーにID 4956(ファイアウォールが無効)が記録されます。ただし、セキュリティソフトによっては独自のログにのみ記録し、Windowsのイベントログに書き込まないものもあります。その場合は、セキュリティソフトの管理コンソールを確認する必要があります。また、ユーザーが意図せずファイアウォールを無効にするためにコントロールパネルから変更した場合も、イベントが記録されます。ただし、変更を行ったユーザーアカウントがAdministratorsグループに属している必要があります。

5. 時刻同期の変更履歴を確認する

システム時刻の変更は、認証やログのタイムスタンプに影響を与えるため、セキュリティ上も重要です。イベントID 4616でシステム時刻の変更が記録されます。このイベントの詳細には、変更前と変更後の時刻、変更を行ったプロセスやユーザーアカウントが含まれます。

会社PCでは通常、ドメインコントローラーとの時刻同期が自動で行われており、ユーザーが手動で時刻を変更することは想定されていません。もし手動変更のイベントが頻発している場合、次のような原因が考えられます。

• CMOSバッテリー切れによる時刻リセット
• ユーザーによる意図的な改ざん
• マルウェアによる時刻操作(一部のランサムウェアは時刻を変更して証明書を無効化する)
• NTPサーバーとの通信障害による自動同期の失敗

管理者へ報告する際には、どの程度の頻度で時刻変更が発生しているか、および変更幅が大きいかどうか(例:数時間以上のずれ)を伝えると、問題の深刻度を判断しやすくなります。

6. 管理者へ報告すべき情報と再発防止策

ここまでの手順で特定した情報を、管理者へ報告する際には以下の点を整理するとスムーズです。

• 変更が発生した日時とイベントID:イベントビューアーからコピーしたタイムスタンプとID。
• 変更された設定項目:ファイアウォールのルール名、監査ポリシーの種類など。
• 変更を行ったアカウント:イベントの「Subject」欄に表示されるユーザー名とドメイン。
• 変更を引き起こしたプロセス:イベントの「Process Name」に記録されている実行ファイルのパス。
• 現在の設定とベースラインの差分:gpresultレポートなどで確認した差異の一覧。
• ログの完全性:セキュリティログがクリアされていないか(イベントID 1102の有無)。

再発防止策としては、以下のような対策が考えられます。

• 監査ポリシーを強化し、すべての重要な設定変更を強制的に記録する。
• グループポリシーを使ってローカル管理者権限を制限し、一般ユーザーがセキュリティ設定を変更できないようにする。
• 定期的にセキュリティベースラインとの自動比較ツール(Microsoft Security Compliance Toolkit など)を実行する。
• イベントログを集中管理サーバー(SIEM)に転送し、異常な変更をリアルタイムで検知する。

これらの対策は管理者側で実施する必要がありますが、ユーザー側から提案することで、組織全体のセキュリティ向上につながります。

7. よくある質問(FAQ)

Q: イベントビューアーを開こうとしたら「アクセスが拒否されました」と表示されます。

A: セキュリティログの閲覧には管理者権限が必要です。会社PCで管理者権限がない場合は、IT部門に依頼してログをエクスポートしてもらうか、リモートで確認してもらってください。

Q: 監査ポリシーがすべて無効になっているようです。自分で有効にしてもいいですか?

A: 会社のセキュリティポリシーに違反する可能性があるため、自己判断で有効にしないことをおすすめします。まずは管理者に連絡し、適切な設定を依頼してください。もし緊急で有効にする必要がある場合は、変更前後のスクリーンショットを撮り、事後報告を徹底しましょう。

Q: イベントID 4719が大量に出てきます。何か問題ですか?

A: 4719はセキュリティポリシーの変更イベントです。大量に出る場合、何らかのスクリプトやツールが頻繁にポリシーを変更している可能性があります。イベントの詳細で「変更後の値」を確認し、不審な変更がないか調べましょう。また、ログの肥大化を防ぐため、管理者にフィルタリングルールの検討を依頼することも検討してください。

Q: gpresultのレポートと実際の動作が違うように思えます。

A: gpresultは適用されているポリシー設定のスナップショットを表示しますが、一部の設定は複数のポリシーがマージされた結果として動作します。また、ポリシーの適用に時間がかかる場合や、gpresultの実行タイミングによっては最新の状態が反映されていないことがあります。念のため、実際の動作を確認するためには、該当する設定画面(ファイアウォールの状態など)を直接確認することをおすすめします。

まとめ

会社PCのセキュリティ設定変更履歴は、イベントビューアーのセキュリティログとgpresultのレポートを組み合わせることで、効率的に特定できます。重要なのは、監査ポリシーが有効であることを事前に確認し、適切なイベントIDでフィルタリングすることです。ファイアウォールや時刻同期など、変更がセキュリティに与える影響が大きい設定は特に注意深く確認してください。もし問題のある変更を見つけた場合は、この記事で紹介した報告ポイントを整理して管理者に伝え、再発防止策の提案まで行えると理想的です。日頃からログを定期的に確認する習慣をつけることで、セキュリティインシデントの早期発見につながります。

💻

Windowsトラブル完全解決データベース 起動不能、更新の不具合、動作が重い、設定の消失など、Windows 10/11のあらゆるトラブル解決手順を網羅しています。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。