4625はログオン失敗の記録です。しかし、同じイベントが何度もあるだけでは、入力ミスか、自動処理の設定か、不審な試行かを判断できません。まず失敗したアカウント、時刻、ログオンの種類、失敗コードを並べましょう。
この記事のログはすべて説明用に作成した抜粋です。実機で取得した結果ではなく、項目を比較しやすいように整理しています。アカウント名とアドレスも架空です。
どこを見ればよいか
イベントビューアーの「Windowsログ」→「セキュリティ」でイベントID 4625を探します。記録されるかどうかは監査設定や発生箇所に依存します。見つからない場合は、対象コンピューター、期間、監査設定を確認してください。
| 見る項目 | 読み取ること |
|---|---|
| TimeCreated / Computer | いつ、どのコンピューターが記録したか |
| TargetUserName / TargetDomainName | 失敗した対象アカウント |
| LogonType | どの種類のログオンか |
| Status / SubStatus | 失敗理由と補足 |
| IpAddress | 記録されていれば送信元を調べる手掛かり |
Subject側のアカウントを、失敗した対象アカウントと混同しないようにします。Logon Typeの2は対話、3はネットワーク、4はバッチ、5はサービスです。Status/SubStatusの0xC000006Aは誤ったパスワード、0xC0000064は誤ったユーザー名などの手掛かりになります。Microsoftの4625仕様
例1：人が操作した直後に失敗している
説明用ログ・抜粋：
TimeCreated: 2026-09-08 09:00:10 +09:00 Computer: LAB-PC01 EventID: 4625 TargetUserName: lab-user TargetDomainName: LAB-PC01 LogonType: 2 Status: 0xC000006D SubStatus: 0xC000006A IpAddress: -
ここで分かるのは、対話ログオンでパスワードに関係する失敗があったことです。入力した人や意図までは分かりません。
担当者が同じ時刻にログオンを試したか確認します。後で成功したか調べる場合も、時刻だけでなくアカウント、端末、ログオンの種類を合わせて見ます。近くに4624があるという理由だけで、この失敗と同じ操作だったとは断定しません。
例2：5分間隔で同じアカウントが失敗する
説明用ログ・複数イベントの要約：
09:00:00 +09:00 LAB-PC02 4625 task-user Type=4 Status=0xC000006D SubStatus=0xC000006A 09:05:00 +09:00 LAB-PC02 4625 task-user Type=4 Status=0xC000006D SubStatus=0xC000006A 09:10:00 +09:00 LAB-PC02 4625 task-user Type=4 Status=0xC000006D SubStatus=0xC000006A
一定間隔とバッチ型のログオンは、自動処理を調べるきっかけになります。タスクの実行時刻、使用アカウント、直近のパスワード変更を確認します。ただし、この三行だけではタスクが原因とは確定できません。
設定を直す場合は、処理の所有者と影響範囲を確認します。修正後には、次の実行が成功し、同じ失敗が止まったかを確認します。イベントを消すことは原因の修正になりません。
例3：同じ送信元から複数の名前で失敗する
説明用ログ・複数イベントの要約：
10:10:00 +09:00 LAB-SRV01 4625 test-user1 Type=3 Source=192.0.2.25 SubStatus=0xC0000064 10:10:02 +09:00 LAB-SRV01 4625 test-user2 Type=3 Source=192.0.2.25 SubStatus=0xC0000064 10:10:04 +09:00 LAB-SRV01 4625 test-user3 Type=3 Source=192.0.2.25 SubStatus=0xC0000064
192.0.2.25は文書用のアドレスです。ここでは複数の対象名への失敗が短時間にあると読めます。不審な試行を考える材料ですが、許可されたテストや設定不備の可能性も残ります。
送信元の所有者、予定された作業、同じ時間帯の接続記録を確認します。特定できない場合はイベントを保全し、組織の対応窓口へ引き継ぎます。IPアドレスは接続元の手掛かりであって、人の身元を証明するものではありません。
調査メモを残して改善後も見る
| 記録すること | 記入例 |
|---|---|
| 事実 | 同じ対象アカウントで5分間隔の失敗 |
| 仮説 | 定期タスクの資格情報が古い可能性 |
| 次の確認 | タスクの所有者と変更履歴を確認 |
| 実施した変更 | 担当者が設定を修正 |
| 確認結果 | 次回実行結果と同じ条件の失敗件数を確認 |
件数の比較は、同じ端末、同じ期間幅、同じ対象で行います。一時的に記録が減っても、監査や収集が止まっていないか確認してください。
よくある質問
送信元が「-」ならおかしいですか？
認証方式や記録状況によって情報が得られない場合があります。端末名、ログオンの種類、プロセスなど他の項目を併せて確認します。
何件から攻撃ですか？
一律の件数では決められません。平常時との差、アカウントの重要性、送信元、発生間隔などを合わせて判断します。
成功の記録もあれば侵入されたのですか？
正規の操作である可能性もあります。失敗と成功が同じ操作の流れかを確認し、その後の操作も含めて調べます。
関連する解説は技術検証ラボにまとめています。
