内容

はじめに

概要

はじめに

このドキュメントでは、コネクタによってデフォルトで読み取られるウィンドウイベント/イベントIDについて説明します。

概要

技術的には、Umbrella仮想アプライアンス(VA)は、DNSクエリの送信元IPアドレスのみを表示します。ユーザをDNS要求に関連付けるために、VAはコネクタと連携して動作し、その結果、ユーザとIPのマッピングが行われます。

コネクタは、ドメインコントローラのセキュリティイベントログから特定のイベントIDを持つイベントを読み取ります。次に、これらのイベントが解析され、ユーザ名と送信元IPアドレスがVAに送信されます。VAは、その送信元IPとユーザ間のマッピングを作成します。

これらのイベントがドメインコントローラによって監査されていない場合、VAのマッピングプロセスは正しく実行されません。この記事では、コネクタがデフォルトで監視するイベントIDのタイプについて詳しく説明します。

イベントID

説明

4624

イベント4624は、ログオンの種類、ユーザーの場所、またはアカウントの種類に関係なく、ローカルコンピューターへのログオン試行が成功するたびに記録されます。

528

イベント528は、ネットワークログオンの場合を除き、アカウントがローカルコンピュータにログオンするたびにログに記録されます。ログオンに使用されるアカウントがローカルSAMアカウントであるか、ドメインアカウントであるかにかかわらず、イベント528が記録されます。

540

イベント540は、ネットワーク上の他の場所にいるユーザーが、このコンピュータ上のサーバーサービスによって提供されるリソース（共有フォルダなど）に接続するとログに記録されます。

4768

このイベントはドメインコントローラにのみ記録され、このイベントの成功および失敗の両方のインスタンスが記録されます。

4769

このイベントIDは、成功したサービスチケット要求と失敗したサービスチケット要求の両方に使用されます。

コネクタがドメインコントローラのセキュリティイベントログから直接イベントを読み取ることができない場合は、Umbrellaを使用してサポートチケットを発行し、これをWMIサブスクリプションに変更するように依頼することができます。WMIサブスクリプションの場合、コネクタは上記のすべてのイベントをサブスクライブします。また、コネクタは、次に示すようにEventIDを使用してログオフイベントをサブスクライブします。デフォルトでは、コネクタはセキュリティイベントログからこれらのログオフイベントを読み取らないことに注意してください。

イベントID

説明

538

ネットワーク接続、対話型ログオン、またはその他の種類のログオンのいずれからログオフするかに関係なく、イベント538が常にログに記録されます(ログオンの種類のグラフについては、イベント528を参照してください)。

4647

このイベントはログオンセッションの終了を通知し、ログオンIDを使用してログオンイベント4624に関連付けることができます。

4634

また、このイベントはログオンセッションの終了を通知し、ログオンIDを使用してログオンイベント4624に関連付けることができます。