イベントID（EVT / EVTX）	イベント	説明	カテゴリー
4670	オブジェクト権限の変更	オブジェクトアクセス：権限が変更されました。	ファイルアクセス
4907	オブジェクトの監査設定の変更	オブジェクトアクセス：監査設定が変更されました。	ファイルアクセス
4913	オブジェクトの集約型アクセスポリシーの変更	オブジェクトアクセス：CAPが変更されました。	ファイルアクセス

イベントID（EVT / EVTX）

イベント

説明

カテゴリー

4670

オブジェクト権限の変更

オブジェクトアクセス：権限が変更されました。

ファイルアクセス

4907

オブジェクトの監査設定の変更

オブジェクトアクセス：監査設定が変更されました。

ファイルアクセス

4913

オブジェクトの集約型アクセスポリシーの変更

オブジェクトアクセス：CAPが変更されました。

ファイルアクセス

次のSMBイベントを監査できます。

イベントID（EVT / EVTX）	イベント	説明	カテゴリー
540/4624	アカウントがログオンに成功	ログオン / ログオフ：ネットワーク（SMB）ログオン。	ログオンおよびログオフ
529/4625	アカウントがログオンに失敗	ログオン / ログオフ：ユーザー名が不明またはパスワードが無効です。	ログオンおよびログオフ
530/4625	アカウントがログオンに失敗	ログオン / ログオフ：アカウントログオンの時間制限です。	ログオンおよびログオフ
531/4625	アカウントがログオンに失敗	ログオン / ログオフ：アカウントは現在無効です。	ログオンおよびログオフ
532/4625	アカウントがログオンに失敗	ログオン / ログオフ：ユーザーアカウントの有効期限が切れています。	ログオンおよびログオフ
533/4625	アカウントがログオンに失敗	ログオン / ログオフ：ユーザーはこのコンピューターにログオンできません。	ログオンおよびログオフ
534/4625	アカウントがログオンに失敗	ログオン / ログオフ：ユーザーはログオンを許可されていません。	ログオンおよびログオフ
535/4625	アカウントがログオンに失敗	ログオン / ログオフ：ユーザーのパスワードの有効期限が切れています。	ログオンおよびログオフ
537/4625	アカウントがログオンに失敗	ログオン / ログオフ：上記の理由以外でログオンが失敗しました。	ログオンおよびログオフ
539/4625	アカウントがログオンに失敗	ログオン / ログオフ：アカウントがロックアウトされました。	ログオンおよびログオフ
538/4634	アカウントがログオフ	ログオン / ログオフ：ローカルまたはネットワークユーザーのログオフ。	ログオンおよびログオフ
560/4656	オブジェクトのオープン / オブジェクトの作成	オブジェクトアクセス：オブジェクト（ファイルまたはディレクトリー）が開かれました。	ファイルアクセス
563/4659	削除するためのオブジェクトのオープン	オブジェクトアクセス：削除するためにオブジェクト（ファイルまたはディレクトリー）へのハンドルが要求されました。	ファイルアクセス
564/4660	オブジェクトの削除	オブジェクトアクセス：オブジェクト（ファイルまたはディレクトリー）が削除されました。ONTAPはWindowsクライアントがオブジェクト（ファイルまたはディレクトリー）の削除を試みるとこのイベントを生成します。	ファイルアクセス
567/4663	オブジェクトの読み取り / オブジェクトの書き込み / オブジェクトの属性の取得 / オブジェクトの属性の設定	オブジェクトアクセス：オブジェクトへのアクセス（読み取り、書き込み、属性の取得、属性の設定）が試行されました。注：このイベントでは、ONTAPは、オブジェクトに対する最初のSMB読み取り操作とSMB書き込み操作（の成功または失敗）のみを監査します。これにより、同じクライアントがあるオブジェクトを開いて多数の読み取りまたは書き込み処理みを連続して行っても、大量のログエントリが作成されることはありません。	ファイルアクセス
NA / 4664	ハードリンク	オブジェクトアクセス：ハードリンクの作成が試行されました。	ファイルアクセス
NA / 4818	提案された集約型アクセスポリシーで現在の集約型アクセスポリシーと同じアクセス権限が許可されない	オブジェクトアクセス：集約型アクセスポリシーのステージング。	ファイルアクセス
NA / NA Data ONTAP イベントID 9999	オブジェクトの名前変更	オブジェクトアクセス：オブジェクトの名前が変更されました。これはONTAPのイベントです。Windowsでは、現在単一のイベントとしてはサポートされていません。	ファイルアクセス
NA / NA Data ONTAP イベントID 9998	オブジェクトのリンク解除	オブジェクトアクセス：オブジェクトのリンクが解除されました。これはONTAPのイベントです。Windowsでは、現在単一のイベントとしてはサポートされていません。	ファイルアクセス

イベントID（EVT / EVTX）

イベント

説明

カテゴリー

540/4624

アカウントがログオンに成功

ログオン / ログオフ：ネットワーク（SMB）ログオン。

ログオンおよびログオフ

529/4625

アカウントがログオンに失敗

ログオン / ログオフ：ユーザー名が不明またはパスワードが無効です。

ログオンおよびログオフ

530/4625

アカウントがログオンに失敗

ログオン / ログオフ：アカウントログオンの時間制限です。

ログオンおよびログオフ

531/4625

アカウントがログオンに失敗

ログオン / ログオフ：アカウントは現在無効です。

ログオンおよびログオフ

532/4625

アカウントがログオンに失敗

ログオン / ログオフ：ユーザーアカウントの有効期限が切れています。

ログオンおよびログオフ

533/4625

アカウントがログオンに失敗

ログオン / ログオフ：ユーザーはこのコンピューターにログオンできません。

ログオンおよびログオフ

534/4625

アカウントがログオンに失敗

ログオン / ログオフ：ユーザーはログオンを許可されていません。

ログオンおよびログオフ

535/4625

アカウントがログオンに失敗

ログオン / ログオフ：ユーザーのパスワードの有効期限が切れています。

ログオンおよびログオフ

537/4625

アカウントがログオンに失敗

ログオン / ログオフ：上記の理由以外でログオンが失敗しました。

ログオンおよびログオフ

539/4625

アカウントがログオンに失敗

ログオン / ログオフ：アカウントがロックアウトされました。

ログオンおよびログオフ

538/4634

アカウントがログオフ

ログオン / ログオフ：ローカルまたはネットワークユーザーのログオフ。

ログオンおよびログオフ

560/4656

オブジェクトのオープン / オブジェクトの作成

オブジェクトアクセス：オブジェクト（ファイルまたはディレクトリー）が開かれました。

ファイルアクセス

563/4659

削除するためのオブジェクトのオープン

オブジェクトアクセス：削除するためにオブジェクト（ファイルまたはディレクトリー）へのハンドルが要求されました。

ファイルアクセス

564/4660

オブジェクトの削除

オブジェクトアクセス：オブジェクト（ファイルまたはディレクトリー）が削除されました。ONTAPはWindowsクライアントがオブジェクト（ファイルまたはディレクトリー）の削除を試みるとこのイベントを生成します。

ファイルアクセス

567/4663

オブジェクトの読み取り / オブジェクトの書き込み / オブジェクトの属性の取得 / オブジェクトの属性の設定

オブジェクトアクセス：オブジェクトへのアクセス（読み取り、書き込み、属性の取得、属性の設定）が試行されました。

注：このイベントでは、ONTAPは、オブジェクトに対する最初のSMB読み取り操作とSMB書き込み操作（の成功または失敗）のみを監査します。これにより、同じクライアントがあるオブジェクトを開いて多数の読み取りまたは書き込み処理みを連続して行っても、大量のログエントリが作成されることはありません。

ファイルアクセス

NA / 4664

ハードリンク

オブジェクトアクセス：ハードリンクの作成が試行されました。

ファイルアクセス

NA / 4818

提案された集約型アクセスポリシーで現在の集約型アクセスポリシーと同じアクセス権限が許可されない

オブジェクトアクセス：集約型アクセスポリシーのステージング。

ファイルアクセス

NA / NA Data ONTAP イベントID 9999

オブジェクトの名前変更

オブジェクトアクセス：オブジェクトの名前が変更されました。これはONTAPのイベントです。Windowsでは、現在単一のイベントとしてはサポートされていません。

ファイルアクセス

NA / NA Data ONTAP イベントID 9998

オブジェクトのリンク解除

オブジェクトアクセス：オブジェクトのリンクが解除されました。これはONTAPのイベントです。Windowsでは、現在単一のイベントとしてはサポートされていません。

ファイルアクセス

イベント4656に関する補足情報

監査 XML イベント内の HandleID タグには、アクセスされたオブジェクト（ファイルまたはディレクトリー）のハンドルが格納されています。EVTX 4656イベントの HandleID タグに格納される情報は、オープンイベントが新規オブジェクトを作成するためのものか、既存のオブジェクトを開くためのものかによって異なります。

オープンイベントが新規オブジェクト（ファイルまたはディレクトリー）を作成するためのオープン要求の場合、監査XMLイベント内の HandleID タグは空の HandleID を表示します（例：<Data Name="HandleID">00000000000000;00;00000000;00000000</Data>）。

HandleID が空になっているのは、（新規オブジェクト作成のための）オープン要求の監査は、実際のオブジェクト作成が行われる前、かつハンドルが存在する前に行われるからです。同じオブジェクトの以降の監査対象イベントでは、HandleID タグに適切なオブジェクトハンドルが格納されます。
オープンイベントが既存のオブジェクトを開くためのオープン要求である場合、監査イベントでは、HandleID タグにそのオブジェクトの割り当て済みハンドルが格納されます（例：<Data Name="HandleID">00000000000401;00;000000ea;00123ed4</Data>）。