監査証跡の改変を示すイベント(1102/4719)

監査ログの消去(1102)と監査ポリシー自体の変更(4719)を記録する監査イベント。証跡そのものが操作されたかを切り分ける手がかりになる。

概念URI

https://comcomponent.com/knowledge/audit-trail-tampering-events/

最終確認日

2026-08-01

機械可読データ

JSON-LD

この概念が関わる関係

• 詳細な監査ポリシーは監査証跡の改変を示すイベント(1102/4719)で確認できます。監査設定自体が変更されるとイベント4719が記録されるため、詳細側の設定が基本設定に上書きされた場合や、監査が無効化された場合を後から追える。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Securityイベントログは監査証跡の改変を示すイベント(1102/4719)で確認できます。Securityログの消去は必ずイベント1102を残すので、「ログが空になっている」ときに事故か操作かを切り分けられる。 / 確度: 確立した関係 / 確認日: 2026-08-01 出典

この概念を扱う記事

• Windowsセキュリティ監査ポリシーとイベントログ調査の実務 ── 4625を読める情シスになる(言及)

一次資料

• https://learn.microsoft.com/previous-versions/windows/it-pro/windows-10/security/threat-protection/auditing/event-1102
• https://learn.microsoft.com/windows-server/identity/ad-ds/manage/component-updates/command-line-process-auditing

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。