NTLM/Operationalログ
NTLM監査の記録先ログ。ドメインコントローラーのイベント8004、メンバーサーバーの8003、クライアントの8001などが記録され、対応するセキュリティ監査イベントポリシーは存在しない。
- 概念URI
https://comcomponent.com/knowledge/ntlm-operational-log/- 別名・表記
- Microsoft-Windows-NTLM/Operational
- 最終確認日
- 2026-08-01
- 機械可読データ
- JSON-LD
この概念が関わる関係
- 「NTLMを制限する」ポリシー群はNTLM/Operationalログで確認できます。監査・拒否イベントは対応するセキュリティ監査イベントポリシーを持たず、Microsoft-Windows-NTLM/Operationalログに記録される / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- NTLM/OperationalログはGet-WinEventで確認できます。大量のイベントはGet-WinEventのFilterHashtableで「接続先×呼び出し元プロセス」単位に集計する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- NTLM/OperationalログはProcess Monitor(procmon.exe)で確認できます。SMB経由の通信はPIDが常に4(SYSTEM)になるため、相手サーバーのコンピューター名とIPアドレスでパスをフィルターしたProcess Monitorと、サーバー側イベント8003のタイムスタンプを突き合わせて呼び出し元プロセスを特定する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- ドメインアカウントはNTLM/Operationalログで確認できます。ドメインアカウントの認証は、DCのイベント8004(セキュアチャネル名)→メンバーサーバーの8003(PID)→クライアントの8001(ターゲットサーバー・クライアントプロセス名)の順にたどって原因アプリを特定できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- NTLM/OperationalログはSMBクライアント側のNTLMブロックより先に行うべきです。NTLM/Operationalログでの監査結果を裏取りしてから、SMBクライアント側のNTLMブロックをパイロット展開するのが定石 / 確度: 確立した関係 / 確認日: 2026-08-01 出典
- 「NTLMを制限する」ポリシー群はNTLM/Operationalログで確認できます。Restrict NTLMの監査・拒否イベントはNTLM/Operationalログ(イベント8001・8003・8004)に記録される / 確度: 確立した関係 / 確認日: 2026-08-01 出典
この概念を扱う記事
一次資料
このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。