セキュリティイベント 4625 の RDP 除外

• セキュリティイベント 4625 について
• RDP の除外を設定する
• 除外ルールの構文と例

RdpGuard は Windows イベント 4625 でログイン失敗を検出します。リモートデスクトップ、ネットワーク共有、サービス、タスクスケジューラなどが発生元となります。このエンジンの検出は、他の Windows ログオン種別でもダッシュボードに RDP と表示されます。

特定のフィールドで正当な操作を識別できる場合は、除外を使用します。RDP エンジンは一致したイベントを無視します。信頼できる IP を全面的に除外するには、許可リストを使用してください。

Event Viewer, Windows Logs, Security でイベント ID 4625を開きます。

1. RdpGuard ダッシュボードを開き、監視対象のプロトコルで RDP をクリックします。

   

2. RDP 設定で除外...をクリックします。

   除外を編集するには、RDP 保護を有効にするがオンになっている必要があります。

   

3. RDP の除外に 1 行に 1 つのルールを入力し、OK をクリックします。

   ルールの書き方は、以下の構文と例をご覧ください。

   

4. RDP 設定で保存をクリックして除外を適用します。

1 行に 1 つのルールを入力し、条件をコンマで区切ります。いずれかのルールのすべての条件に一致すると、イベントを除外します。

IpAddress=192.0.2.25,TargetUserName=backup-user
IpAddress=198.51.100.20,TargetUserName=svc-*

1 行目は 192.0.2.25 からの backup-user を除外します。2 行目は 198.51.100.20 からの、svc- で始まるユーザーを除外します。対象イベントの値に置き換えてください。

ルールの一致条件

• = は値またはワイルドカードパターンとの一致、!= は不一致を表します。
• * は任意の長さの文字列、? は任意の 1 文字を表します。
• コンマで区切った条件は AND、別々の行は OR で評価します。
• フィールド名と値は大文字と小文字を区別します。XML の表記を正確にコピーしてください。
• フィールドがない場合、その条件は != でも一致しません。
• # で始まる行はコメントです。

例えば IpAddress=192.0.2.25,TargetUserName!=backup-user は、その IP の他のユーザーに一致します。同時に満たす必要がある条件は同じ行に書いてください。IP とユーザーを別の行にすると、独立した 2 つの除外になります。

RDP の除外で使用できるフィールド

Details, XML View を開き、EventData の名前と値を使用します。例えば <Data Name="LogonType">3</Data> では、フィールド LogonType の値は ~1011~ です。

上記イベントの XML 例:

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing"
      Guid="{54849625-5478-4994-a5ba-3e3b0328c30d}" />
    <EventID>4625</EventID>
    <Version>0</Version>
    <Level>0</Level>
    <Task>12544</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8010000000000000</Keywords>
    <TimeCreated SystemTime="2026-09-29T08:06:12.6465802Z" />
    <EventRecordID>27682099</EventRecordID>
    <Correlation
      ActivityID="{96b13ecf-444f-0004-fa3e-b1964f44dd01}" />
    <Execution ProcessID="764" ThreadID="140" />
    <Channel>Security</Channel>
    <Computer>SERVER01</Computer>
    <Security />
  </System>
  <EventData>
    <Data Name="SubjectUserSid">S-1-0-0</Data>
    <Data Name="SubjectUserName">-</Data>
    <Data Name="SubjectDomainName">-</Data>
    <Data Name="SubjectLogonId">0x0</Data>
    <Data Name="TargetUserSid">S-1-0-0</Data>
    <Data Name="TargetUserName">Admin</Data>
    <Data Name="TargetDomainName">.</Data>
    <Data Name="Status">0xc000006d</Data>
    <Data Name="FailureReason">%%2313</Data>
    <Data Name="SubStatus">0xc0000064</Data>
    <Data Name="LogonType">3</Data>
    <Data Name="LogonProcessName">NtLmSsp</Data>
    <Data Name="AuthenticationPackageName">NTLM</Data>
    <Data Name="WorkstationName">-</Data>
    <Data Name="TransmittedServices">-</Data>
    <Data Name="LmPackageName">-</Data>
    <Data Name="KeyLength">0</Data>
    <Data Name="ProcessId">0x0</Data>
    <Data Name="ProcessName">-</Data>
    <Data Name="IpAddress">95.47.156.55</Data>
    <Data Name="IpPort">0</Data>
  </EventData>
</Event>

すべてのイベントで、各フィールドに有用な値があるとは限りません。XML の値を使用してください。FailureReason には、全般タブの説明ではなく %%2313 のようなコードが入ることがあります。詳細は Microsoft のイベント 4625 リファレンスをご覧ください。

他の除外でこの構文を使用する

カスタムアクションとログのログイン成功の除外にも、同じ構文を使用します。利用できるフィールドは、イベントと適用箇所によって異なります。

ログイン成功の通知では、RdpGuard が Protocol、TargetUserName、IpAddress を提供します。Windows イベントでは EventData の各フィールドも使用できます。例えば Protocol=FTP,TargetUserName=backup-user は、そのアカウントの FTP ログイン成功通知を除外します。

Protocol は RdpGuard が追加する値です。4625 の EventData フィールドではなく、RDP の除外では使用できません。