Microsoftのイベント4740の説明では、利用者アカウントがロックされたときに生成され、ドメインコントローラー、メンバーサーバー、ワークステーションで記録され得るとされています。4740がない場合は、対象環境、監査設定、収集範囲を確認し、記録されていないことを原因の不存在と同一視しません。

1. 4740の対象と時刻を確定する

Securityログの4740で、イベント時刻、記録したコンピューター、Account That Was Locked Outのアカウント名とドメイン、Caller Computer Nameを確認します。Caller Computer Nameは、Microsoftの説明ではロックアウトにつながったログオン試行を受け取ったコンピューター名です。単独で実行者や攻撃元の身元を示すものではありません。空欄や想定外の名前なら、別のログや資産台帳で補います。

表には実在のアカウント名、端末名、IPアドレスを掲載しません。調査記録の共有範囲は組織の規則に従います。

2. 同じ時間帯の4625を探す

Microsoftの4625の説明では、ログオン試行に失敗したコンピューターにイベントが生成されるとされています。4740の前後で、対象アカウントと時間帯を合わせ、失敗理由、ログオン種別、端末名や送信元情報を確認します。4740と4625が必ず同じコンピューターにあるとは決めつけません。 認証経路、監査、転送方式によって観測できる場所が異なります。

4625の一般的な読み方はログオン失敗が繰り返されるときの記事を、4625自体が見つからない場合は記録されないときの確認項目を参照してください。本記事では4740から調査を始める順番に絞ります。

3. 原因を一つに決めつけず、影響と対応を整理する

短時間の失敗が見つかっても、入力ミス、古い保存資格情報、サービスやタスクに残った設定、第三者の試行など複数の可能性があります。利用者へ状況を確認し、対象端末・アプリケーションの管理担当と照合します。不審な試行が疑われる場合は、安易なロック解除やログ削除より先に、組織のインシデント対応手順に従って証跡を保全します。

次は説明用の架空の記入例です。実測ログや診断結果ではありません。

この例だけで原因を確定せず、実環境では確認済み事実と仮説を分けて記録します。ロックアウトを再現する検証が必要な場合も、本番環境のアカウントへ失敗試行を重ねず、安全な技術検証環境の作り方を確認し、管理下の隔離環境で実施します。

まとめ

4740は「ロックされた」という起点です。対象、時刻、記録場所、関連する4625、利用者と端末の状況を揃えてから原因と対応を決めます。見つからないログをゼロ件の証拠として扱わず、監査と収集経路も確認します。

参考資料

• Microsoft：イベント4740
• Microsoft：イベント4625

IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、情報の重要性に応じて認証方法と管理ルールを定め、多要素認証を活用する方針を示しています。MFAを入れれば不正アクセスがなくなる、という意味ではありません。

1. 対象のアカウントを棚卸しする

まず、メール、会計、クラウドストレージ、サイト管理など、停止時の影響が大きいサービスを挙げます。各サービスについて利用者、管理者、委託先、共用の有無を確認し、どこから導入するかを決めます。退職時の権限確認は退職者アカウントの確認表で扱っています。ここでは在職中の認証方法と復旧責任に絞ります。

表にパスワード、回復コード、認証用QRコードを記載しません。保管が必要な秘密情報は組織の承認された保管方法へ分離します。

2. 予備の方法と本人確認の流れを決める

認証アプリを入れたスマートフォンを紛失した場合に備え、サービスが認める別の認証方法や復旧手段を確認します。MicrosoftのMFA導入資料も、主たる方法が使えない場合に備えて複数の方法を有効にするよう勧めています。ただし、利用できる方法はサービスと契約によって異なります。

「連絡を受けたら即座にMFAを解除する」という運用にはしません。申請者の本人確認、承認者、作業記録、復旧後の再登録を決めます。管理者自身が入れない場合の連絡先も用意します。緊急手段を設ける場合は、常用せず、アクセス範囲と利用記録を管理します。

3. 小さく試してから対象を広げる

利用者の少ないサービスか管理下のテスト用アカウントで、登録、通常のサインイン、端末交換時の連絡を確認します。実在の認証情報を記事や検証記録に載せません。業務時間帯の一斉切替は避け、失敗時の相談先と戻し方を関係者へ伝えてから対象を広げます。具体的な操作は各サービスの公式手順と組織の変更管理に従います。

この表は説明用の運用例であり、特定企業での導入実績ではありません。

まとめ

MFA導入の準備は、製品選びだけでなく、対象、予備手段、本人確認、復旧担当を揃えることです。決められない項目は「未確認」と残し、無理に完了扱いしません。外部へ相談する場合はセキュリティ相談前の整理シートにサービスと未決事項をまとめてください。

参考資料

• IPA：中小企業の情報セキュリティ対策ガイドライン第4.0版
• Microsoft：MFA導入時の考慮事項

以下の制度情報は2026年10月13日にIPAの令和8年度前期試験案内で確認しました。科目A-1・A-2の実施期間は10月17日〜27日、科目Bは11月11日〜23日です。同じ「直前1週間」でも自分が予約した科目と日時を起点にしてください。 会場・予約内容・本人確認書類の最新条件は受験前に公式案内と申込先で再確認します。

7日前：予約と会場を確認する

申込先に表示される科目、予約日、開始時刻、会場を確認し、移動時間も含めて予定表に残します。科目A群と科目B群は別の実施期間です。片方の予約をもう片方にも当てはめないでください。受験票は送付されず、当日は有効な本人確認書類が必要とIPAが案内しています。書類の種類と有効期限は申込先が示す本人確認書類の条件から確認します。

表には申込番号や本人確認書類の画像を公開しないでください。自分用の記録でも必要以上の個人情報を複製しません。

3日前：学習の対象を絞る

新しい分野を広く増やすより、これまでの演習で繰り返し間違えた論点を見直します。科目A群なら誤答の理由を短く説明できるか、科目Bなら設問の要求と本文の根拠が対応しているかを確認します。過去問復習ノートと科目Bの根拠を拾う読み方を使い、残り時間に合う範囲へ絞ります。

これは学習の提案であり、得点や合格を保証する方法ではありません。科目Bの時間配分を練習するなら演習記録の記事を参照し、公式の推奨時間と誤解しないようにしてください。

前日：会場でのルールを公式案内で確かめる

IPAの現行案内では、試験画面上のメモ・電卓機能に加え、試験室入室時にメモ用紙1枚と筆記用具が配布されると記されています。これは過去の案内から変更された点です。自分で持ち込める物、配布物の扱い、画面操作は最新の試験案内とリンク先の説明で確認してください。旧方式の経験や古い記事だけで判断しません。

持ち物を一律に列挙する代わりに、本人確認書類、会場案内、受験時の注意事項を公式情報と突き合わせます。体調と移動を優先し、前夜に新しい教材や画面操作を一度に詰め込まないようにします。

当日：科目と予約内容を再確認する

会場では案内に従い、本人確認と受付を済ませます。科目A群と科目B群の予約日時を混同しないよう、出発前に申込先の表示を再確認します。試験画面の操作やトラブル時の連絡方法は主催者と会場の案内に従ってください。

直前の確認は、学習をやり直す計画ではなく、準備漏れを見つけるためのものです。今後の学習順を整理したい場合はSC攻略ロードマップへ戻れます。

参考資料

• IPA：令和8年度前期試験について（受験申込み）
• IPA：情報処理安全確保支援士試験

Microsoftのイベント4625の説明では、ログオン試行が行われたコンピューターにイベントが生成されるとされています。ドメイン環境の認証先と実際にログオンを試みた端末を混同せず、どの機器のSecurityログを見るべきかを先に決めます。認証方式や処理によって関連イベントが異なることもあるため、「どこにも4625がない＝失敗は起きていない」とは断定できません。

1. 対象端末・時刻・フィルターを揃える

申告された失敗の日時、タイムゾーン、利用者、操作した端末、接続先を確認します。イベントビューアーの「Windowsログ → セキュリティ」で、対象端末と時間帯を合わせて探します。以前に設定したフィルターが残っていないかも確認します。中央の収集基盤だけで探しているなら、まず元の端末での有無を確かめ、生成と転送を分離します。

作業メモには実在のパスワードを残しません。障害対応中のログは証跡になるため、安易に削除したり収集設定を止めたりしないでください。

2. 監査の「失敗」が有効か確認する

MicrosoftのAudit Logonは、ログオン試行の監査を説明し、4625を失敗イベントに挙げています。監査ポリシーの説明では、ローカル設定とグループポリシーによる構成が示されています。対象端末で、関連するLogon/LogoffのAudit Logonなどの失敗監査が有効か、管理者と確認します。ドメインの認証イベントを調べるときはAccount Logon側の監査も区別します。

設定の読み取りには、権限がある管理端末で次のコマンドを使えます。これは監査設定を変更しない確認用コマンドです。

auditpol /get /category:*

表示される項目名はOSの言語により異なります。結果の見方や必要権限はMicrosoftのauditpol /get資料を参照してください。監査設定を変更する場合は、ログ量、収集容量、組織のポリシーへの影響を見積もり、管理者の変更手順に従います。記事のために本番の監査を無効化したり、失敗ログオンを多数発生させたりしません。

3. 保存・転送のどこまで届いたかを確認する

元の端末のSecurityログに4625があるのに中央基盤にない場合は、収集対象、転送エージェント、フィルター、遅延、受信先の順に確認します。元の端末にもない場合は、対象端末、監査設定、検索期間の確認へ戻ります。保存期間内に見つからない場合は、イベントログ保持の確認を参照してください。ただし、保持期間が原因だったと決めつけず、証跡と設定の両方で判断します。

この表は切り分け方の説明であり、実測ログや特定環境の診断結果ではありません。

検証は管理下の隔離環境で

変更の影響を見たい場合は、所有・管理する隔離環境で、事前の設定と記録先を残してから少数の動作を確認します。本番アカウントや実在の認証情報を記事用の実験に使いません。安全な範囲の決め方は技術検証環境の作り方で確認できます。

参考資料

• Microsoft：イベント4625
• Microsoft：Audit Logon
• Microsoft：高度な監査ポリシー
• Microsoft：auditpol /get

IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は「バックアップを取ろう！」を基本対策に加えています。同ガイドライン本文は、目標復旧時間（RTO）と目標復旧時点（RPO）に合わせた取得・手順整備と、訓練による実効性の検証を示しています。自社の目標値は業務や契約に応じて決めるもので、一律の数字は置けません。

最初に「何を戻せないと困るか」を決める

共有ファイル、会計データ、顧客対応に必要な情報などを、業務が止まる順に挙げます。保存場所が分からないもの、クラウドサービス側にどこまで復元機能があるか未確認のものは、できていると見なさず「未確認」と書きます。バックアップの取得日時だけでなく、戻したい時点と業務再開までに許される時間も担当者と話し合います。

表にパスワードや秘密鍵、顧客データそのものは記入しません。管理者が不明なら、復元テストの前に権限と契約先を確認します。

本番データを上書きしない確認から始める

復元確認を始める前に、対象、作業時間、テスト用の復元先、戻し方を合意します。可能なら少量の非機密テストデータや、適切に扱えるデータのコピーを使い、本番の保存先を上書きせずに取り出せるかを確かめます。製品・サービスによって操作と影響範囲が異なるため、実際の手順は提供元の資料と保守契約に従います。障害や侵害が疑われるときは、通常の練習として本番に戻さず、社内の対応手順と専門窓口を優先します。

成功・失敗の二択にせず、「取得は成功したが復元は未実施」「ファイルは取り出せたが業務で開けるか未確認」も分けて残します。クラウドに保存されていることだけでは、自社が必要な時点のデータを取り出せるとは限りません。

そのまま使える結果欄

次は説明用の架空の記入例であり、実際の復元実績ではありません。

実際にテストした場合は、実施日時、利用した世代、かかった時間、開けた範囲、失敗した箇所を記録します。確認した範囲だけを「確認済み」とし、全システムを復元できると一般化しません。

相談へつなげる

「バックアップの有無」から一歩進め、何をいつまでに戻したいか、試せる場所があるか、誰が実施できるかを整理すると、保守先や外部専門家に依頼する内容が明確になります。未確認点はセキュリティ相談前の準備シートにまとめてください。最初の優先順位から考える場合は中小企業の最初の30日点検も参照できます。

参考資料

• IPA：中小企業の情報セキュリティ対策ガイドライン
• IPA：同ガイドライン第4.0版本文

IPAの情報処理安全確保支援士試験案内では、2026年度の科目Bは記述式、試験時間150分、4問から2問を解答すると示されています。CBT方式の画面操作や会場固有の条件を、過去の紙の問題だけから断定することはできません。受験前に必ず最新の公式案内を確認してください。

最初の見比べは「知っている分野」だけで決めない

演習では4問の冒頭と設問を一度見渡し、解答する2問を仮に選びます。分野名だけでなく、システム構成を追えるか、設問が何を求めているか、図表や条件を読めるかを確認します。聞き慣れたテーマでも、設問の前提がつかめなければ時間がかかります。

判断に迷うときは、候補ごとに「設問の要求が分かる」「図表の関係が追える」「根拠を本文から探せる」を○・△・×で記録します。○の数が多い問題を機械的に選ぶ方法ではなく、自分が詰まりやすい箇所を可視化する練習です。短い下見の段階で、細部まで解き始めないようにします。

150分を練習用の枠に分ける

次の配分は公式の推奨時間ではなく、演習のための説明用の例です。最初の10分で4問を見比べ、選んだ2問に各60分、答案の確認に15分、予備に5分を置くと計150分です。2問の長さや得手不得手で60分ずつが合わなければ、自分の演習記録に合わせて変えます。

時計だけを見て解答を急ぐのではなく、どの段階で時間を使ったかを残すことが目的です。解答中の設問と根拠の結び方は科目Bの根拠を拾う読み方で確認できます。

解いた後は「時間不足」の内訳を書く

「時間が足りなかった」だけでは、次回の対策を決めにくくなります。演習が終わったら、下見、本文読解、答案作成、見直しのうち、どこに予定外の時間を使ったか記録します。

この表は架空の演習例であり、実際の試験結果や採点データではありません。IPAの過去問題・解答例・採点講評を使い、選択や時間の記録とともに答案の根拠も振り返ります。過去問復習ノートには解答後の見落としを残せます。

まとめ

時間配分は固定の正解を暗記するものではありません。4問を見比べた理由、2問の各段階で使った時間、見直しで見つけた不足を記録し、次の演習で一つずつ調整します。学習全体の順序を整えたい方はSC攻略ロードマップから確認してください。特定の得点や合格を保証する方法ではありません。

参考資料

• IPA：情報処理安全確保支援士試験
• IPA：過去問題

起動前：ネットワークの接続先を目で確認する

VMのネットワークアダプターを一覧し、ブリッジ接続や不要な2枚目のアダプターがないか確認します。VMwareの公式説明では、ブリッジは物理ネットワークに接続し、Host-onlyはホストと共有する仮想ネットワークを作ります。Host-onlyはインターネットからの分離に役立っても、ホストから完全に隔離する設定ではありません。 ホストにも接続させたくない目的なら、ネットワークを無効にするなど、目的に合う構成を選びます。NATもホスト側を通じて外部通信が可能なため、検証目的なしに有効化しません。

ネットワーク設定を変更した後は、意図した仮想ネットワークに接続しているか、VMとホストの設定画面を再確認します。外部公開や社内LAN接続の疑いがあれば、検証を始めずVMを停止します。

検証中：変更点と範囲を残す

開始前に復元できるスナップショットを取り、対象VM、ネットワーク、作業目的、開始時刻を記録します。スナップショットを取っただけでは隔離は保証されません。作業中にアダプターを増やしたり、共有フォルダーやクリップボード経由で実データを持ち込んだりしないよう注意します。認証情報は検証専用のものを使い、実在の業務用認証情報を投入しません。

この記事には侵入手順、攻撃コマンド、実際の脆弱性を突く操作は載せません。観察の例を掲載する場合は「説明用の例」と明記し、実測ログであるかのように扱わない方針です。

終了後：停止と撤収までを検証に含める

検証を終えたらVMを停止し、外部接続が残っていないか確認します。必要な学習メモだけを残し、スナップショットやコピーの保管先・共有範囲を点検します。次回のために保存する場合も、脆弱なVMを常時起動したままにしないことを運用ルールにします。検証環境全体の考え方は、安全な技術検証環境の作り方で確認できます。

参考資料

• Rapid7：Metasploitable 2 Exploitability Guide
• Broadcom：VMware Workstationのネットワーク方式

IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、異動や退職に伴う権限の変更・削除漏れを防ぐため、アクセス権を見直すルールと付与状況の管理を勧めています。以下はその考え方を小規模組織向けに具体化した例で、各サービスの契約条件や社内規程に代わるものではありません。

退職連絡から完了確認までを一件として扱う

最初に、退職日、最終出勤日、引継ぎ先、停止すべき時点を人事と管理者で確認します。早く止めすぎると引継ぎが止まり、遅すぎると不要なアクセスが残ります。停止時刻と例外の承認者を記録し、作業担当者だけの判断で放置しないようにします。

確認表には少なくとも次の欄を用意します。

この表は説明用の例です。実在の社員名、ID、パスワードや認証トークンを記事・共有資料に書かないでください。削除すると監査記録や引継ぎ資料に影響するサービスでは、先に保存要件と代替管理者を確認します。アカウントの停止・削除・データ移管は、各サービスの正規の管理機能と社内承認に従います。

実務用の台帳には、対象ごとに「作業担当」「停止予定日時」「実施結果」「確認者」「未完了時の次の確認日」を追加します。外部委託先へ依頼した項目は、依頼送信だけで完了にせず、相手側の完了連絡まで追跡します。

「停止したつもり」を残さない

担当者が実行したことと、別の担当者が状態を確認したことを分けて記録します。外部サービスの完了待ちなら「未完了」として期限を付け、済んだ扱いにしません。共有IDが残る場合は、所有者を決めて個別IDへの移行も検討します。例外は理由、期限、承認者を残します。

既に相談事項が多い会社は、初回相談前の整理シートに未完了の権限と担当をまとめてください。最初の対策順序を広く見直す場合は、中小企業のセキュリティ対策・最初の30日も参照できます。

参考資料

• IPA：中小企業の情報セキュリティ対策ガイドライン第4.0版

IPAの情報処理安全確保支援士試験の案内では、科目Bは記述式、試験時間150分、4問から2問を解答すると案内されています。制度・出題形式は受験前に必ず公式ページで再確認してください。IPAは過去問題、解答例、採点講評も公開しています。過去の紙の試験問題は読み方の練習に使えますが、CBT本番の画面や操作を再現するものではありません。

先に「何を答えるか」を決める

設問の末尾を見て、「原因」「理由」「対策」「確認すべき情報」のどれを求めているかを丸で囲みます。次に対象を特定します。同じ認証の話でも、「誰が」「どのシステムに」「いつ」アクセスしたかで答えは変わります。技術的に正しい一般論でも、対象や条件が違えば問いへの答えになりません。

例えば「A社の管理者が、退職後も有効だったアカウントを発見した。再発防止のため、どの運用を見直すか」という設問なら、一般的なパスワード強化だけを並べる前に、退職連絡から権限停止までの担当と確認記録を探します。この設問は説明用の架空の例であり、IPAの実際の問題文ではありません。

本文の根拠を一つずつ対応させる

演習では、設問ごとに小さな三列メモを作ります。

説明用の架空の設問に当てはめると、「再発防止の運用」が要求、「退職後もアカウントが有効」が本文の根拠、「退職連絡と停止の担当・完了確認を決める」が解答に入れる要素になります。これは実際のIPA問題の解答例ではありません。

根拠が見つからないときは、自分の知識で穴を埋める前に、図の凡例、注記、時系列を読み直します。反対に、本文にない前提を足すなら「推測」と区別してください。解答例と表現が一致することだけにこだわらず、要求された対象と根拠が対応しているか確認します。

解答前の30秒チェック

1. 設問が求める種類（原因・理由・対策など）に答えているか。
2. 対象の人、システム、時点が本文と一致しているか。
3. 本文にない断定や、条件を超えた一般論を入れていないか。
4. 字数や形式の指定を満たしているか。

解いた後は、過去問復習ノートで「どの根拠を見落としたか」を記録すると、次の問題につながります。学習全体の順序から見直したい方は、SC攻略ロードマップを参照してください。

参考資料

• IPA：情報処理安全確保支援士試験
• IPA：過去問題

この記事は、管理している検証機または承認済みの管理対象で、設定を読み取る順序を説明します。表示例は説明用です。ログの消去や保持方針の変更は、組織の記録要件と承認手順を確認してから行ってください。

先に「どのログの、いつの記録か」を決める

Security、System、Applicationでは、必要な記録と保存量が異なります。探したい事象の時刻、対象端末、対象ログ、調査目的を一行にします。目的が曖昧なまま容量だけを増やしても、必要な記録が残るとは限りません。

読み取り専用で現在値を確認する

管理者が許可した端末で、次のコマンドによりSecurityログの設定を確認できます。

wevtutil gl Security

出力内では、最大サイズ、保持方式、保存先を確認します。環境により値や表示名は異なります。設定を変えるコマンドではないため、まず現状を記録する用途に向いています。

Microsoft Learnでは、イベントログの最大サイズと保持方針を管理できること、上限到達時に保持設定によっては新しいイベントが記録されないことを説明しています。Securityログの最大サイズは、端末管理ポリシーで指定される場合もあります。

見つからない原因を3つに分ける

1. 上書きされている

古いイベントを上書きする設定なら、保存期間はイベント量と最大サイズに左右されます。障害や調査の頻度が増えた時期は、以前より早く記録が入れ替わることがあります。

2. 上限到達後、新しい記録が残っていない

保持を優先する設定では、上限に達した後の新しいイベントが記録されない場合があります。記録を守る目的と、監視で新しい事象を見逃さない目的を分けて検討します。

3. 別の場所で保管・収集されている

Windows Event Forwarding、SIEM、バックアップ、MDMなどで別に収集している場合、イベントビューアーだけを見て結論を出せません。収集先、転送の最終成功時刻、保持期間を確認します。

変更前に残す4項目

設定変更が必要と判断した場合でも、先に次を残します。

1. 対象端末と対象ログ
2. 現在の最大サイズ・保持方式・保存先
3. 変更理由と想定する保存期間
4. 承認者、実施時刻、戻し方

Securityログを無計画に消去すると、調査や監査に必要な記録を失うおそれがあります。削除を切り分け手段にせず、まず読み取り、必要なら保管・変更・検証の手順を管理者と決めます。

記録の確認結果を一行で残す

対象：検証用Windows端末 / Securityログ
確認日時：2026-09-23 10:00
目的：9月20日以降のログオン失敗記録の保存状況を確認
結果：最大サイズ・保持方式を確認。設定変更は未実施
次の確認：ログ転送先と保持期間を管理者へ確認

ログオン失敗の内容を読む場合は、Windowsのログオン失敗4625が繰り返されるときを参照してください。安全な検証と記録の考え方は技術検証ラボにまとめています。