Windows 11/10のワークグループモードでユーザーアクティビティを追跡する方法

マルチユーザー機能窓学校、大学、オフィスなどの公共の場所で便利に使用できるようになりました。これらの場所には通常、管理者がいて、そこで働くユーザーの活動を監視しています。場合によっては、ユーザーが制限を超えて、ワークグループ モードで構成されたアカウントを変更することがあります。これはセキュリティに影響を与える可能性があるため、次のように設定する必要があります。窓ユーザーのアクティビティを追跡するため。

ユーザー アクティビティを監視するように Windows を構成することにより、管理のセキュリティを向上させることができ、犯罪が発生した場合には被害者の記録を監視して被害ユーザーを罰することもできます。この記事では、ユーザーのアクティビティを追跡する方法を説明します。Windows 11/10/8.1/8/7監査ポリシーを使用します。その方法は次のとおりです。

ワークグループ モードの監査ポリシーを使用してユーザー アクティビティを追跡する

1.プレスWindowsキー+R組み合わせ、タイププットsecpol.mscで走るダイアログボックスを押して、入力を開くにはローカルセキュリティポリシー。

2.でローカルセキュリティポリシーウィンドウ、拡大するセキュリティ設定>ローカルポリシー>監査ポリシー。これで、次のようなウィンドウが表示されるはずです。

3.わかりました9 監査…右側のペインに表示されるのは、政策は監査なしとして事前に定義されたセキュリティ設定。すべてのポリシーを 1 つずつクリックし、選択を行います成功そして失敗、 クリック適用するに続く

ポリシーごとに。

このようにして、ユーザーのアクティビティを追跡するように Windows を構成しました。

トレースされたレコードを取得するには、次の手順に従います。

イベント ビューアを使用したユーザー アクティビティのトレースイベントビューア1.プレスWindowsキー+R組み合わせ、タイププットイベントvwrで走るダイアログボックスを押して、入力を開くには

。安全2.さて、イベントビューr ウィンドウの左側のペインから、Windows ログ>

。ここで、Windows はセキュリティに関するあらゆるイベントの記録を保持します。3.

中央のペインで任意のイベントをクリックすると、その情報が表示されます。

ユーザーの作成:ここで、ワークグループ モードでのアカウントのユーザー アクティビティをカバーするイベント ID のリストを次に示します。1.

• 以下は、ユーザーの作成時に記録されるイベント ID です。説明：イベントID:4728 |タイプ：監査の成功 |カテゴリ：セキュリティグループ管理 |

• セキュリティが有効なグローバル グループにメンバーが追加されました。説明：イベントID:4720 |タイプ：監査の成功 |カテゴリ：ユーザーアカウント管理 |

• ユーザーアカウントが作成されました。説明：イベントID:4722 |タイプ：監査の成功 |カテゴリ：ユーザーアカウント管理 |

• ユーザーアカウントが有効になりました。説明：イベントID:4738 |タイプ：監査の成功 |カテゴリ：ユーザーアカウント管理 |

• ユーザーアカウントが変更されました。説明：イベントID:4732 |タイプ：監査の成功 |カテゴリ：セキュリティグループ管理 |

ユーザーの削除:セキュリティが有効なローカル グループにメンバーが追加されました。2.

• 以下は、ユーザーが削除されたときに記録されるイベント ID です。説明：イベントID:4733 |タイプ：監査の成功 |カテゴリ：セキュリティグループ管理 |

• セキュリティが有効なローカル グループからメンバーが削除されました。説明：イベントID:4729 |タイプ：監査の成功 |カテゴリ：セキュリティグループ管理 |

• セキュリティが有効なグローバル グループにメンバーが追加されました。説明：イベントID:4726 |タイプ：監査の成功 |カテゴリ：ユーザーアカウント管理 |

ユーザーアカウントが無効になりました:ユーザーアカウントが削除されました。3.

• 以下は、ユーザーが無効になったときにログに記録されるイベント ID です。説明：イベントID:4725 |タイプ：成功の監査 |カテゴリ：ユーザーアカウント管理 |

• ユーザー アカウントが無効になりました。説明：イベントID:4738 |タイプ：監査の成功 |カテゴリ：ユーザーアカウント管理 |

ユーザーアカウントが有効になっています:ユーザーアカウントが変更されました。4.

• 以下は、ユーザーが有効になっているときにログに記録されるイベント ID です。説明：イベントID:4722 |タイプ：監査の成功 |カテゴリ：ユーザーアカウント管理 |

• ユーザーアカウントが有効になりました。説明：イベントID:4738 |タイプ：監査の成功 |カテゴリ：ユーザーアカウント管理 |

ユーザーアカウントのパスワードのリセット:ユーザーアカウントが変更されました。5.

• 以下は、ユーザー アカウントのパスワードがリセットされたときに記録されるイベント ID です。説明：イベントID:4738 |タイプ：監査の成功 |カテゴリ：ユーザーアカウント管理 |

• ユーザーアカウントが変更されました。説明：イベントID:4724 |タイプ：監査の成功 |カテゴリ：ユーザーアカウント管理 |

ユーザー アカウント プロファイル パス セット:アカウントのパスワードをリセットしようとしました。6.

• 以下は、ユーザー アカウントのプロファイル パスが設定されたときに記録されるイベント ID です。説明：イベントID:4738 |タイプ：監査の成功 |カテゴリ：ユーザーアカウント管理 |

ユーザーアカウントの名前変更:ユーザーアカウントが変更されました。7.

• 説明：以下は、ユーザー アカウントの名前が変更されたときに記録されるイベント ID です。イベントID:4781 |タイプ：監査の成功 |カテゴリ：ユーザーアカウント管理 |

• アカウント名が変更されました。説明：イベントID:4738|タイプ：監査の成功 |カテゴリ：ユーザーアカウント管理 |

ローカルグループを作成します。ユーザーアカウントが変更されました。8.

• 以下は、ローカル グループの作成時に記録されるイベント ID です。説明：イベントID:4731 |タイプ：監査の成功 |カテゴリ：セキュリティグループ管理 |

• セキュリティが有効なローカル グループが作成されました説明：イベントID:4735 |タイプ：成功の監査 |カテゴリ：セキュリティグループ管理 |

ユーザーをローカル グループに追加します。セキュリティが有効なローカル グループが変更されました9.

• 以下は、ユーザーがローカル グループに追加されたときに記録されるイベント ID です。説明：イベントID:4732 |タイプ：監査の成功 |カテゴリ：セキュリティグループ管理 |

ローカル グループからユーザーを削除します。セキュリティが有効なローカル グループにメンバーが追加されました10.

• 以下は、ユーザーがローカル グループから削除されたときに記録されるイベント ID です。説明：イベントID:4733 |タイプ：監査の成功 |カテゴリ：セキュリティグループ管理 |

ローカルグループを削除します:セキュリティが有効なローカル グループからメンバーが削除されました11.

• 以下は、ローカル グループが削除されたときに記録されるイベント ID です。説明：イベントID:4734 |タイプ：成功の監査 |カテゴリ：セキュリティグループ管理 |

ローカルグループの名前を変更します:セキュリティが有効なローカル グループが削除されました12.

• 以下は、ローカル グループの名前が変更されたときに記録されるイベント ID です。説明：イベントID:4781 |タイプ：成功の監査 |カテゴリ：ユーザーアカウント管理 |

• アカウント名が変更されました説明：イベントID:4735 |タイプ：成功の監査 |カテゴリ：セキュリティグループ管理 |

セキュリティが有効なローカル グループが変更されました

このようにして、ユーザーのアクティビティを追跡できます。この記事は、ワークグループ モードの Windows 11/10/8.1 に適用されます。 Active Directory ドメインの場合は手順が異なります。ワークグループモードでローカル管理者アカウントを有効にするこちらもお読みください:方法