Windows イベント ビューアーの攻撃面縮小イベント

イベント ビューアーでのイベントの確認は、攻撃面の縮小機能を評価するときに役立ちます。 たとえば、機能または設定の監査モードを有効にし、それらが完全に有効になっている場合の動作を確認できます。 攻撃面の縮小機能が完全に有効になっている場合の効果を表示することもできます。

この記事では、Windows イベント ビューアーを使用して、攻撃面の縮小 (ASR) 機能からイベントを表示する方法について説明します。

• 攻撃面の減少ルール
• フォルダー アクセスの制御 (CFA)
• エクスプロイト保護
• ネットワーク保護

攻撃面の縮小イベントを表示するには、この記事の残りの部分で説明されているように、次のオプションがあります。

• Windows イベント ビューアーで攻撃面の縮小イベントを参照する: イベント ビューアーの攻撃面縮小イベントに移動する方法と、各攻撃面の縮小機能のイベント ID。
• Windows イベント ビューアーでカスタム ビューを使用して攻撃面の縮小イベントを表示する: カスタム ビューを作成またはインポートして、特定の ASR 機能とすぐに使用できる XML クエリ テンプレートのイベント ビューアーをフィルター処理する方法。

Windows イベント ビューアーで攻撃面の縮小イベントを参照する

すべての攻撃面の縮小イベントは、 アプリケーションとサービス ログにあります。 攻撃面の縮小イベントを表示するには、次の手順を実行します。

1. [スタート] を選択し、「イベント ビューアー」と入力し、Enter キーを押してイベント ビューアーを開きます。

2. イベント ビューアーで、[アプリケーションとサービス ログ>Microsoft>Windows] を展開します。

3. ASR ルール イベント、制御されたフォルダー アクセス イベント、Exploit Protection イベント、またはネットワーク保護イベントのパスを引き続き展開します。

4. ASR ルール イベントのイベント ID テーブル、制御されたフォルダー アクセス イベント、Exploit Protection イベント、ネットワーク保護イベント セクションを使用するか、またはイベント ビューアーでカスタム ビューを作成して、表示するイベントを検索してフィルター処理します。

ASR ルール イベント

ASR ルール イベントは、Windows Defender>Operational ログにあります。

フォルダー アクセスの制御イベントを表示する

フォルダーアクセスの制御イベントは、 Windows Defender>Operational にあります。

Exploit Protection イベントを表示する

次のエクスプロイト保護イベントは、 Security-Mitigations>Kernel Mode と Security-Mitigations>User Mode ログにあります。

次のエクスプロイト保護イベントは 、WER-Diagnostics>Operational ログにあります。

次のエクスプロイト保護イベントは、 Win32k>Operational ログにあります。

ネットワーク保護イベントを表示する

ネットワーク保護イベントは、 Windows Defender>Operational にあります。

Windows イベント ビューアーでカスタム ビューを使用して攻撃面の縮小イベントを表示する

Windows イベント ビューアーでカスタム ビューを作成して、特定の攻撃面の縮小機能のイベントのみを表示できます。 最も簡単な方法は、カスタム ビューを XML ファイルとしてインポートすることです。 XML をイベント ビューアーに直接コピーすることもできます。

すぐに使用できる XML テンプレートについては、「 攻撃面の縮小イベント用のカスタム XML テンプレート 」セクションを参照してください。

既存の XML カスタム ビューをインポートする

既存の XML カスタム ビューをイベント ビューアーにインポートするには、次の手順を実行します。

1. 空の .txt ファイルを作成し、使用するカスタム ビューの XML を .txt ファイルにコピーします。 使用するカスタム ビューごとに、この手順を実行します。 ファイルの名前を次のように変更します (型を .txt から .xml に変更してください)。

   • フォルダー アクセスイベントのカスタム ビューの制御: cfa-events.xml
   • Exploit Protection イベント用カスタム ビュー: ep-events.xml
   • 攻撃面縮小イベントのカスタム ビュー: asr-events.xml
   • ネットワーク保護イベントのカスタム ビュー: np-events.xml

2. [スタート] を選択し、「イベント ビューアー」と入力し、Enter キーを押してイベント ビューアーを開きます。

3. [ アクション>Import Custom View...] を選択します。

   

4. 目的のカスタム ビューの XML ファイルに移動して選択します。

5. [開く]を選択します。

カスタム ビューは、選択した攻撃面の縮小機能に関連するイベントのみを表示するようにフィルター処理します。

XML を直接 イベント ビューアー にコピーする

XML をカスタム ビューに直接貼り付けるには、次の手順を実行します。

1. [スタート] を選択し、「イベント ビューアー」と入力し、Enter キーを押してイベント ビューアーを開きます。

2. [操作] ウィンドウで、[カスタム ビューの作成]を選択します。

3. [XML] タブに移動します。 [クエリの編集] を手動で選択した場合、[ フィルター ] タブを使用して後でクエリを編集することはできません。[ クエリを手動で編集] を選択し、[ はい ] を選択して確認します。

4. 攻撃面の減少ルール、フォルダー アクセスの制御、エクスプロイト保護、または カスタム XML テンプレート からのネットワーク保護の XML コードを XML セクションに貼り付けます。

5. [OK] を選択します。 フィルターの名前を指定します。 カスタム ビューは、選択した攻撃面の縮小機能に関連するイベントのみを表示するようにフィルター処理します。

攻撃面の縮小イベント用のカスタム XML テンプレート

次の XML テンプレートを使用して、攻撃面の縮小機能ごとにイベント ビューアーにカスタム ビューを作成します。 これらのテンプレートは XML ファイルとしてインポートすることも、イベント ビューアーに直接貼り付けることもできます。

攻撃面の縮小ルール イベントの XML

次の XML クエリは、ASR ルール イベント (イベント ID 1121、1122、1129、5007) のWindows Defender操作ログをフィルター処理します。

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1121 or EventID=1122 or EventID=1129 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1121 or EventID=1122 or EventID=1129 or EventID=5007)]]</Select>
  </Query>
</QueryList>

制御されたフォルダー アクセス イベントの XML

次の XML クエリは、制御されたフォルダー アクセス イベント (イベント ID 1123、1124、1127、1128、5007) のWindows Defender操作ログをフィルター処理します。

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
   <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1123 or EventID=1124 or EventID=1127 or EventID=1128 or EventID=5007)]]</Select>
   <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1123 or EventID=1124 or EventID=1127 or EventID=1128 or EventID=5007)]]</Select>
  </Query>
</QueryList>

エクスプロイト保護イベント用の XML

次の XML クエリでは、Security-Mitigations、WER-Diagnostics、Win32k プロバイダー (イベント ID 1 ~ 24、5、および 260) 全体の悪用防止イベントのカスタム ビューが作成されます。

<QueryList>
  <Query Id="0" Path="Microsoft-Windows-Security-Mitigations/KernelMode">
   <Select Path="Microsoft-Windows-Security-Mitigations/KernelMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Concurrency">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Contention">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Messages">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Operational">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Power">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Render">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/Tracing">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Win32k/UIPI">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="System">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
   <Select Path="Microsoft-Windows-Security-Mitigations/UserMode">*[System[Provider[@Name='Microsoft-Windows-Security-Mitigations' or @Name='Microsoft-Windows-WER-Diag' or @Name='Microsoft-Windows-Win32k' or @Name='Win32k'] and ( (EventID &gt;= 1 and EventID &lt;= 24)  or EventID=5 or EventID=260)]]</Select>
  </Query>
</QueryList>

ネットワーク保護イベントの XML

次の XML クエリは、ネットワーク保護イベント (イベント ID 1125、1126、および 5007) のWindows Defender操作ログをフィルター処理します。

<QueryList>
 <Query Id="0" Path="Microsoft-Windows-Windows Defender/Operational">
  <Select Path="Microsoft-Windows-Windows Defender/Operational">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
  <Select Path="Microsoft-Windows-Windows Defender/WHC">*[System[(EventID=1125 or EventID=1126 or EventID=5007)]]</Select>
 </Query>
</QueryList>

関連コンテンツ

• 攻撃面の縮小機能の概要
• 攻撃面の縮小 (ASR) ルールの概要
• フォルダー アクセスの制御 (CFA) の概要
• エクスプロイトからデバイスを保護する
• ネットワーク保護