LPSLibrary_CDI.XML

<?xml version="1.0" encoding="utf-8"?>
<ArrayOfLPQuery xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema">
  <LPQuery>
    <QueryName>【AD】Kerberosサービスチケット(ST)要求 </QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4769のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,0,'|') AS ユーザ,
 EXTRACT_TOKEN(Strings,1,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,9,'|') AS ログオンGUID,
 EXTRACT_TOKEN(Strings,2,'|') AS サービス名,
 EXTRACT_TOKEN(Strings,3,'|') AS サービスID,
 EXTRACT_TOKEN(Strings,4,'|') AS チケットオプション,
 EXTRACT_TOKEN(Strings,8,'|') AS エラーコード,
 EXTRACT_TOKEN(Strings,5,'|') AS 暗号化の種類,
 EXTRACT_TOKEN(Strings,6,'|') AS ソースIP,
 EXTRACT_TOKEN(Strings,7,'|') AS ソースポート
FROM '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID=4769

</QueryData>
    <QueryID>d0d60bb0-5430-41c1-a11b-9806fa8157c3</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-08-17T19:21:48.457157+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【AD】Kerberos事前認証失敗</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4771のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,0,'|') AS ユーザ,
 EXTRACT_TOKEN(Strings,1,'|') AS SID,
 EXTRACT_TOKEN(Strings,2,'|') AS サービス名,
 EXTRACT_TOKEN(Strings,3,'|') AS チケットオプション,
 EXTRACT_TOKEN(Strings,4,'|') AS エラーコード,
 EXTRACT_TOKEN(Strings,5,'|') AS 認証種類,
 EXTRACT_TOKEN(Strings,6,'|') AS ソースIP,
 EXTRACT_TOKEN(Strings,7,'|') AS ソースポート
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID=4771</QueryData>
    <QueryID>29c30bd9-73aa-46ae-880a-cde3e50cf99b</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-08-17T19:22:12.6889302+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【AD】Kerberos認証チケット(TGT)要求</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4768のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,0,'|') AS ユーザ,
 EXTRACT_TOKEN(Strings,1,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,2,'|') AS SID,
 EXTRACT_TOKEN(Strings,3,'|') AS サービス名,
 EXTRACT_TOKEN(Strings,5,'|') AS チケットオプション,
 EXTRACT_TOKEN(Strings,6,'|') AS 結果コード,
 EXTRACT_TOKEN(Strings,7,'|') AS 暗号化の種類,
 EXTRACT_TOKEN(Strings,8,'|') AS 事前認証の種類,
 EXTRACT_TOKEN(Strings,9,'|') AS ソースIP,
 EXTRACT_TOKEN(Strings,10,'|') AS ソースポート
FROM '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID=4768
</QueryData>
    <QueryID>9df308bd-cb6a-4923-9685-b8f3f53ff631</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-08-17T19:22:39.257197+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【Misc】ネットワーク共有</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 5140のレコードを抽出する。デフォルトでは有効になっていないため出力されない可能性が高い。同ソース、イベントIDでも出力するフィールドの内容が異なるパターンがあることを確認しているため、レコードによっては正しく出力されない可能性がある。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,0,'|') AS SID(),
 EXTRACT_TOKEN(Strings,1,'|') AS ユーザ,
 EXTRACT_TOKEN(Strings,2,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,3,'|') AS ログオンID, 
 EXTRACT_TOKEN(Strings,4,'|') AS ソースIP, 
 EXTRACT_TOKEN(Strings,5,'|') AS ソースポート, 
 EXTRACT_TOKEN(Strings,6,'|') AS 共有名
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID = 5140
</QueryData>
    <QueryID>5b964430-01a9-458b-882f-baf5883dd3b9</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-02-09T16:23:40.4490758+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【Misc】プロセス生成</QueryName>
    <QueryDescription>イベントID 4688のレコードを抽出する。デフォルトでは有効になっていないため出力されない可能性が高い。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名, 
 Strings
FROM
 '[LOGFILEPATH]'
WHERE
 EventID = 4688
</QueryData>
    <QueryID>023282ce-7ca9-4461-94c4-a004c807c4bd</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2015-08-26T12:26:33.3562377+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【Misc】ログオフイベントのないログオン</QueryName>
    <QueryDescription>SIDを基準にして、イベントID 4624があり、4634が残っていないレコードを抽出する。to_dateを解析したい日付に変更する必要がある。</QueryDescription>
    <QueryData>SELECT
 resolve_sid(sid) AS User,
 extract_token(strings, 5, '|') AS UserName,
 eventid,
 timegenerated
FROM
 '[LOGFILEPATH]'
WHERE eventid='4624'
 AND to_date(timegenerated)='2016-03-01 00:00:00'
 AND sid not in
 (
 SELECT DISTINCT
  sid
 FROM '[LOGFILEPATH]'
 WHERE eventtype='4634'
  AND to_date(timegenerated)='2016-03-01 00:00:00'
 )
</QueryData>
    <QueryID>e74c25bb-997c-4340-9ff9-b0903a3a88b9</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-06-30T17:54:27.2212319+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【Misc】ログ消去</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Eventlog、イベントID 104(Security以外)と1102(Security)のレコードを抽出する。ユーザ名と消去イベントログファイル名を表示する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 CASE EventID
  WHEN 104 THEN SID 
  WHEN 1102 THEN EXTRACT_TOKEN(Strings,0,'|') 
 END AS SID,
 CASE EventID
  WHEN 104 THEN EXTRACT_TOKEN(Strings,0,'|') 
  WHEN 1102 THEN EXTRACT_TOKEN(Strings,1,'|') 
 END AS ユーザ,
 CASE EventID
  WHEN 104 THEN EXTRACT_TOKEN(Strings,2,'|') 
  WHEN 1102 THEN 'Security' 
 END AS 消去ログ名
FROM 
 '[LOGFILEPATH]'
WHERE
 SourceName='Microsoft-Windows-Eventlog' AND
 (
 EventID='104' OR
 EventID='1102'
 )

</QueryData>
    <QueryID>ae09be97-0ce3-4bf1-a44c-17b19db126b9</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2016-01-05T10:18:50.2193853+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【Misc】全レコード </QueryName>
    <QueryDescription>指定イベントログファイルの全レコード、全カラムを抽出する。 </QueryDescription>
    <QueryData>SELECT * FROM '[LOGFILEPATH]'</QueryData>
    <QueryID>eff80c8d-8af8-45ee-a684-dca1c640b0a8</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2016-01-12T15:28:40.084411+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【PowerShell】プロバイダの開始</QueryName>
    <QueryDescription>ソース PowerShell、イベントID600のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EventID,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'ProviderName='),0,'NewProviderState') AS ProviderName,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'NewProviderState='),0,'SequenceNumber') AS NewProviderState,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'SequenceNumber='),0,'HostName') AS SequenceNumber,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'HostName='),0,'HostVersion') AS HostName,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'HostVersion='),0,'HostId') AS HostVersion,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'HostId='),0,'HostApplication') AS HostId,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'HostApplication='),0,'EngineVersion') AS HostApplication,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'EngineVersion='),0,'RunspaceId') AS EngineVersion,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'RunspaceId='),0,'PipelineId') AS RunspaceId,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'PipelineId='),0,'CommandName') AS PipelineId,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'CommandName='),0,'CommandType') AS CommandName,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'CommandType='),0,'ScriptName') AS CommandType,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'ScriptName='),0,'CommandPath') AS ScriptName,
 EXTRACT_TOKEN(EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'CommandPath='),0,'CommandLine') AS CommandPath,
 EXTRACT_TOKEN(TRIM(EXTRACT_TOKEN(Strings,2,'|')),1,'CommandLine=') AS CommandLine
FROM 
 '[LOGFILEPATH]'
WHERE
 SourceName='PowerShell' AND EventID = 600</QueryData>
    <QueryID>af476ef8-a75b-46d3-980f-e41576c36429</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-08-19T18:18:19.0693969+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【PowerShell】全レコード</QueryName>
    <QueryDescription>ソース PowerShellとMicrosoft-Windows-PowerShellのレコードを抽出する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 *
FROM 
 '[LOGFILEPATH]'
WHERE
 SourceName='PowerShell' OR SourceName = 'Microsoft-Windows-PowerShell'</QueryData>
    <QueryID>6f51d1b1-264d-4209-8b1d-e151c3832c99</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-08-19T18:14:54.2776469+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【RDP】リモートデスクトップユーザ認証</QueryName>
    <QueryDescription>ソース Microsoft-Windows-TerminalServices-RemoteConnectionManager、イベントID 1149のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,0,'|') AS ユーザ,
 EXTRACT_TOKEN(Strings,1,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,2,'|') AS ソースIP
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-TerminalServices-RemoteConnectionManager' AND
 EventID = 1149
</QueryData>
    <QueryID>52102249-34c8-4788-aaf6-df4e0fde06ed</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-07-03T09:31:17.129808+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【RDP】リモートデスクトップログオン</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4624、ログオンタイプ 10のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,4,'|') AS SID,
 EXTRACT_TOKEN(Strings,5,'|') AS ユーザ,
 EXTRACT_TOKEN(Strings,6,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,7,'|') AS ログオンID,
 EXTRACT_TOKEN(Strings,9,'|') AS ログオンプロセス,
 EXTRACT_TOKEN(Strings,10,'|') AS 認証パッケージ,
 EXTRACT_TOKEN(Strings,11,'|') AS ワークステーション名,
 EXTRACT_TOKEN(Strings,12,'|') AS ログオンGUID,
 EXTRACT_TOKEN(Strings,16,'|') AS プロセスID,
 EXTRACT_TOKEN(Strings,17,'|') AS プロセス名, 
 EXTRACT_TOKEN(Strings,18,'|') AS IPアドレス
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID = 4624 AND
 EXTRACT_TOKEN(Strings,8,'|') = '10'
</QueryData>
    <QueryID>3b9ed513-cf97-4f92-b5d7-49b92449a3ad</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-07-03T09:31:56.2370884+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【RDP】リモートデスクトップ全般</QueryName>
    <QueryDescription>ソース Microsoft-Windows-TerminalServices-LocalSessionManager、イベントID 21(ログオン)、23(ログオフ)、24(切断)、25(再接続)のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,0,'|') AS アカウント,
 EXTRACT_TOKEN(Strings,1,'|') AS セッション,
 CASE EventID
  WHEN 21 THEN 'ログオン成功'
　WHEN 22 THEN 'シェル開始通知'
　WHEN 23 THEN 'ログオフ成功'
　WHEN 24 THEN 'セッション切断'
　WHEN 25 THEN '再接続成功'
 END AS [内容],
 EXTRACT_TOKEN(Strings,2,'|') AS IPアドレス
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-TerminalServices-LocalSessionManager' AND
　(EventID = 21 OR EventID = 23 OR EventID = 24 OR EventID = 25)
</QueryData>
    <QueryID>5044f5f6-e9d4-4ce9-8dd4-6d1436404cf1</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2018-12-25T17:49:28.6402198+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【アカウント】ユーザ作成　</QueryName>
    <QueryDescription>イベントID 4722、イベントタイプ Success Autdit eventのレコードを抽出する。</QueryDescription>
    <QueryData>SELECT
 TimeGenerated as 日時,
 ComputerName as コンピュータ名,
 EXTRACT_TOKEN(Strings,0,'|') AS 新規アカウント,
 EXTRACT_TOKEN(Strings,2,'|') AS 新規アカウントSID,
 EXTRACT_TOKEN(Strings,1,'|') AS ドメイン
 FROM '[LOGFILEPATH]'
WHERE 
 SourceName='Microsoft-Windows-Security-Auditing' AND
 EventID='4722'
</QueryData>
    <QueryID>b16eab9e-000c-46df-a36f-0bf14e382324</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-07-03T09:30:16.9945316+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【アカウント】ユーザ削除</QueryName>
    <QueryDescription>イベントID 4726、イベントタイプ Success Autdit eventのレコードを抽出する。</QueryDescription>
    <QueryData>SELECT
 TimeGenerated as 日時,
 ComputerName as コンピュータ名,
 EXTRACT_TOKEN(Strings,0,'|') AS 削除アカウント,
 EXTRACT_TOKEN(Strings,2,'|') AS 削除アカウントSID,
 EXTRACT_TOKEN(Strings,1,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,4,'|') AS 実行アカウント,
 EXTRACT_TOKEN(Strings,3,'|') AS 実行アカウントSID,
 EXTRACT_TOKEN(Strings,5,'|') AS 実行アカウントドメイン
 FROM '[LOGFILEPATH]'
WHERE 
 SourceName='Microsoft-Windows-Security-Auditing' AND
 EventID='4726'
</QueryData>
    <QueryID>be434fac-17a7-4264-92ff-82bd900c6a19</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-07-03T09:30:07.9534799+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【サービス】インストール</QueryName>
    <QueryDescription>イベントID 7045のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名, 
 SID, 
 EXTRACT_TOKEN(Strings,0,'|') AS サービス名,
 EXTRACT_TOKEN(Strings,1,'|') AS サービスファイル名,
 EXTRACT_TOKEN(Strings,2,'|') AS 種類,
 EXTRACT_TOKEN(Strings,3,'|') AS 開始の種類,
 EXTRACT_TOKEN(Strings,4,'|') AS アカウント
FROM
 '[LOGFILEPATH]'
WHERE
 EventID = 7045
</QueryData>
    <QueryID>d24f6579-8eed-436b-9de4-698b04bcb4e4</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-01-26T14:56:58.6070465+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【サービス】開始の種類変更</QueryName>
    <QueryDescription>イベントID 7040のレコードを抽出する。サービスの開始の種類の変更がわかる。
</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名, 
 EXTRACT_TOKEN(Strings,0,'|') AS サービス名,
 EXTRACT_TOKEN(Strings,1,'|') AS 変更前タイプ,
 EXTRACT_TOKEN(Strings,2,'|') AS 変更後タイプ,
 EXTRACT_TOKEN(Strings,3,'|') AS 関連サービス
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Service Control Manager' AND
 EventID = 7040
</QueryData>
    <QueryID>10a3bfc6-5532-484f-9ebd-41e808f6b64e</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-06-30T10:42:17.4211849+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【サービス】強制終了</QueryName>
    <QueryDescription>イベントID 7034のレコードを抽出する。強制終了したサービス名と終了回数がわかる。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名, 
 EXTRACT_TOKEN(Strings,0,'|') AS サービス名,
 EXTRACT_TOKEN(Strings,1,'|') AS 回数
FROM
 '[LOGFILEPATH]'
WHERE
 EventID = 7034
</QueryData>
    <QueryID>db19cc5e-6e8b-4e8a-a1ac-4b66c076cf96</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-02-09T16:32:33.0543004+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【サービス】状態変更</QueryName>
    <QueryDescription>ソース Service Control Mager、イベントID 7036のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名, 
 SID, 
 EXTRACT_TOKEN(Strings,0,'|') AS サービス名,
 EXTRACT_TOKEN(Strings,1,'|') AS 状態
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Service Control Manager' AND
 EventID = 7036


</QueryData>
    <QueryID>71b85e41-42e4-48d8-b075-b9e22426c311</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-06-30T17:50:05.8634362+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【サービス】登録/実行(リモート)</QueryName>
    <QueryDescription>イベントID 4697のレコードを抽出する。デフォルトでは有効になっていないため出力されない可能性が高い。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名, 
 Strings
FROM
 '[LOGFILEPATH]'
WHERE
 EventID = 4697</QueryData>
    <QueryID>8851673d-10fe-44e7-ac80-d365b2e90a8c</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2015-08-26T12:24:47.71578+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【タスク】タスク/ジョブ関連</QueryName>
    <QueryDescription>イベントID 100, 106, 140, 141, 200のレコードを抽出する。処理内容(開始、登録、更新、削除)とジョブ名、ユーザ名、プログラム名を表示する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 SID,
 EXTRACT_TOKEN(Strings,0,'|') AS ジョブ名,
 EXTRACT_TOKEN(Strings,1,'|') AS ユーザ/プログラム,
 CASE EventID
  WHEN 100 THEN '開始(ユーザ)'
  WHEN 106 THEN '登録'
  WHEN 140 THEN '更新'
  WHEN 141 THEN '削除'
  WHEN 200 THEN '開始(プログラム)'
 END AS 理由
FROM 
 '[LOGFILEPATH]'
WHERE
 SourceName='Microsoft-Windows-TaskScheduler' AND 
 (EventID='100' OR EventID='106' OR EventID='140' OR EventID='141' OR EventID='200')
</QueryData>
    <QueryID>05ea47de-c8a6-4fe3-8abc-a6c24e58c8e7</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-06-30T17:48:44.1534117+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【稼働状況】システム異常終了</QueryName>
    <QueryDescription>ソース EventLog、イベントID 6008のレコードを抽出する。
</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 SID,
 Message AS 内容
FROM 
 '[LOGFILEPATH]'
WHERE
 SourceName = 'EventLog' AND
 EventID = '6008'</QueryData>
    <QueryID>63299d8c-c0e0-4d88-b29f-eeab3f619f80</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-06-30T17:48:02.9733273+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【稼働状況】システム起動停止</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Kernel-General、イベントID12、13のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 SID,
 CASE EventID
  WHEN 12 THEN '起動'
  WHEN 13 THEN '停止'
 END AS 理由
FROM
 '[LOGFILEPATH]'
WHERE 
 SourceName='Microsoft-Windows-Kernel-General' AND (EventID='12' OR EventID='13')</QueryData>
    <QueryID>6d74e1a7-40ed-42de-8a6a-0a20d3ed692e</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-06-30T17:47:51.8935349+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【稼働状況】システム時刻変更</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Kernel-General、イベントID1のレコードを抽出する。そのうちの時間変更秒数が2秒以上のログを表示する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 TO_LOCALTIME(TO_TIMESTAMP(SUBSTR(EXTRACT_TOKEN(Strings,1,'|'), 0, 19), 'yyyy-MM-dd?hh:mm:ss')) AS 変更前(ローカル),
 TO_LOCALTIME(TO_TIMESTAMP(SUBSTR(EXTRACT_TOKEN(Strings,0,'|'), 0, 19), 'yyyy-MM-dd?hh:mm:ss')) AS 変更後(ローカル),
 TO_INT(SUB(TO_TIMESTAMP(SUBSTR(EXTRACT_TOKEN(Strings,0,'|'), 0, 19), 'yyyy-MM-dd?hh:mm:ss'), TO_TIMESTAMP(SUBSTR(EXTRACT_TOKEN(Strings,1,'|'), 0, 19), 'yyyy-MM-dd?hh:mm:ss'))) AS 差分秒,
 EXTRACT_TOKEN(Strings,1,'|') AS 変更前,
 EXTRACT_TOKEN(Strings,0,'|') AS 変更後
FROM 
 '[LOGFILEPATH]'
WHERE
 EventID='1'
 AND SourceName='Microsoft-Windows-Kernel-General'
 AND 差分秒 &lt;&gt;0
 AND 差分秒 &lt;&gt;-1
 AND 差分秒 &lt;&gt;1
</QueryData>
    <QueryID>87d377b7-65a8-4b84-9fbc-aae5bad1214a</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2018-12-25T17:55:21.6462983+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【稼働状況】スリープ/スリープ解除</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Power-Troubleshooter、イベントID1のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 SID,
 TO_LOCALTIME(TO_TIMESTAMP(SUBSTR(EXTRACT_TOKEN(Strings,0,'|'), 0, 19), 'yyyy-MM-dd?hh:mm:ss')) AS スリープ時間(ローカル),
 TO_LOCALTIME(TO_TIMESTAMP(SUBSTR(EXTRACT_TOKEN(Strings,1,'|'), 0, 19), 'yyyy-MM-dd?hh:mm:ss')) AS スリープ解除時間(ローカル),
 TO_INT(SUB(TO_TIMESTAMP(SUBSTR(EXTRACT_TOKEN(Strings,0,'|'), 0, 19), 'yyyy-MM-dd?hh:mm:ss'), TO_TIMESTAMP(SUBSTR(EXTRACT_TOKEN(Strings,1,'|'), 0, 19), 'yyyy-MM-dd?hh:mm:ss'))) AS 差分秒,
 EXTRACT_TOKEN(Strings,0,'|') AS スリープ時間,
 EXTRACT_TOKEN(Strings,1,'|') AS スリープ解除時間
FROM 
 '[LOGFILEPATH]'
WHERE
 EventID='1' AND SourceName='Microsoft-Windows-Power-Troubleshooter'
</QueryData>
    <QueryID>3086ba14-3fcc-4883-b133-651a104caf3e</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2018-12-25T17:52:43.7200193+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【稼働状況】ネットワーク接続/切断</QueryName>
    <QueryDescription>ソース Microsoft-Windows-NetworkProfile、イベントID 10000, 10001のレコードを抽出する。ファイルはMicrosoft-Windows-NetworkProfile%4Opertaional.evtx
</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EXTRACT_TOKEN(Strings,0,'|')  AS 名前, 
 CASE EventID
  WHEN 10000 THEN '接続'
  WHEN 10001 THEN '切断'
 END AS 状態
FROM 
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-NetworkProfile' AND
 (EventID = '10000' OR  EventID = '10001')


</QueryData>
    <QueryID>7bcb0941-156b-498f-984b-a8448e3551d8</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2018-12-25T14:18:01.1818621+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【認証】ネットワークログオン</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4624、ログオンタイプ 3のレコードを抽出する。そのうちANONYMOUS LOGONと自身からのログオンのレコードを除外して表示する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
/* EXTRACT_TOKEN(Strings,0,'|') AS 元SID,
 EXTRACT_TOKEN(Strings,1,'|') AS 元ユーザ,
 EXTRACT_TOKEN(Strings,2,'|') AS 元ドメイン,
 EXTRACT_TOKEN(Strings,3,'|') AS 元ログオンID,*/
 EXTRACT_TOKEN(Strings,4,'|') AS SID,
 EXTRACT_TOKEN(Strings,5,'|') AS ユーザ,
 EXTRACT_TOKEN(Strings,6,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,7,'|') AS ログオンID,
 EXTRACT_TOKEN(Strings,9,'|') AS ログオンプロセス,
 EXTRACT_TOKEN(Strings,10,'|') AS 認証パッケージ,
 EXTRACT_TOKEN(Strings,11,'|') AS ワークステーション名,
 EXTRACT_TOKEN(Strings,12,'|') AS ログオンGUID,
 EXTRACT_TOKEN(Strings,16,'|') AS プロセスID,
 EXTRACT_TOKEN(Strings,17,'|') AS プロセス名,
 EXTRACT_TOKEN(Strings,18,'|') AS ソースIP
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID = 4624 AND
 EXTRACT_TOKEN(Strings,8,'|') = '3' AND
 ユーザ &lt;&gt; 'ANONYMOUS LOGON' AND
 ソースIP &lt;&gt; '-' AND
 ソースIP &lt;&gt; '::1'

</QueryData>
    <QueryID>30ca045c-cba3-4e65-8407-b8b41163cc9e</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-07-03T09:35:02.4095254+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【認証】ネットワークログオン(クリアテキスト)</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4624、ログオンタイプ 8のレコードを抽出する。パスワードが平文で認証パッケージへ渡されたことを意味する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,4,'|') AS SID,
 EXTRACT_TOKEN(Strings,5,'|') AS ユーザ,
 EXTRACT_TOKEN(Strings,6,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,7,'|') AS ログオンID,
 EXTRACT_TOKEN(Strings,9,'|') AS ログオンプロセス,
 EXTRACT_TOKEN(Strings,10,'|') AS 認証パッケージ,
 EXTRACT_TOKEN(Strings,11,'|') AS ワークステーション名,
 EXTRACT_TOKEN(Strings,12,'|') AS ログオンGUID,
 EXTRACT_TOKEN(Strings,16,'|') AS プロセスID,
 EXTRACT_TOKEN(Strings,17,'|') AS プロセス名, 
 EXTRACT_TOKEN(Strings,18,'|') AS IPアドレス
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID = 4624 AND
 EXTRACT_TOKEN(Strings,8,'|') = '8'
</QueryData>
    <QueryID>fc9fcad1-0595-4d1b-bcb5-f04d4672fef7</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-06-30T12:31:41.7934285+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【認証】ネットワークログオン(全ログ)</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4624、ログオンタイプ 3のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
/* EXTRACT_TOKEN(Strings,0,'|') AS 元SID,
 EXTRACT_TOKEN(Strings,1,'|') AS 元ユーザ,
 EXTRACT_TOKEN(Strings,2,'|') AS 元ドメイン,
 EXTRACT_TOKEN(Strings,3,'|') AS 元ログオンID,*/
 EXTRACT_TOKEN(Strings,4,'|') AS SID,
 EXTRACT_TOKEN(Strings,5,'|') AS ユーザ,
 EXTRACT_TOKEN(Strings,6,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,7,'|') AS ログオンID,
 EXTRACT_TOKEN(Strings,9,'|') AS ログオンプロセス,
 EXTRACT_TOKEN(Strings,10,'|') AS 認証パッケージ,
 EXTRACT_TOKEN(Strings,11,'|') AS ワークステーション名,
 EXTRACT_TOKEN(Strings,12,'|') AS ログオンGUID,
 EXTRACT_TOKEN(Strings,16,'|') AS プロセスID,
 EXTRACT_TOKEN(Strings,17,'|') AS プロセス名,
 EXTRACT_TOKEN(Strings,18,'|') AS ソースIP
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID = 4624 AND
 EXTRACT_TOKEN(Strings,8,'|') = '3'
</QueryData>
    <QueryID>17c4f863-28c7-4b07-a7aa-f7a118fb2131</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2016-01-14T14:58:34.9502467+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【認証】ユーザ別ログオン回数</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4624のレコードから、SID、ユーザ名を基準にしてログオン回数順に表示する。</QueryDescription>
    <QueryData>SELECT
 extract_token(strings, 4, '|') AS SecurityID,
 extract_token(strings, 5, '|') AS UserName,
 Count(*) AS Number_of_Logons
FROM '[LOGFILEPATH]'
WHERE  SourceName = 'Microsoft-Windows-Security-Auditing' AND EventID=4624
GROUP By SecurityID, UserName
ORDER By Number_of_Logons</QueryData>
    <QueryID>53047873-a67e-4328-a337-35eb8ef8721b</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-07-03T09:37:10.6183467+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【認証】ログオン(キャッシュ)</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4624、ログオンタイプ 11のレコードを抽出する。ドメインコントローラに接続せずキャッシュされている認証情報を用いたログオンが該当する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,4,'|') AS SID,
 EXTRACT_TOKEN(Strings,5,'|') AS ユーザ,
 EXTRACT_TOKEN(Strings,6,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,7,'|') AS ログオンID,
 EXTRACT_TOKEN(Strings,9,'|') AS ログオンプロセス,
 EXTRACT_TOKEN(Strings,10,'|') AS 認証パッケージ,
 EXTRACT_TOKEN(Strings,11,'|') AS ワークステーション名,
 EXTRACT_TOKEN(Strings,12,'|') AS ログオンGUID,
 EXTRACT_TOKEN(Strings,16,'|') AS プロセスID,
 EXTRACT_TOKEN(Strings,17,'|') AS プロセス名, 
 EXTRACT_TOKEN(Strings,18,'|') AS IPアドレス
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID = 4624 AND
 EXTRACT_TOKEN(Strings,8,'|') = '11' 

</QueryData>
    <QueryID>4d6ca740-f42b-44d8-b46d-acfaa3d643af</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-06-30T12:26:48.6114396+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【認証】ログオン失敗</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4625-4633, 4635のレコードを抽出する。

そのうちアカウントが空欄のレコードは除外する。デフォルトの監査設定ではクライアント系は無効でサーバ系は有効に設定されている。</QueryDescription>
    <QueryData>SELECT
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EventID AS イベントID,
 EXTRACT_TOKEN(Strings,5,'|') AS アカウント,
 EXTRACT_TOKEN(Strings,6,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,10,'|') AS タイプ,
 EXTRACT_TOKEN(Strings,13,'|') AS マシン名,
 EXTRACT_TOKEN(Strings,17,'|') AS プロセスID,
 EXTRACT_TOKEN(Strings,18,'|') AS プロセス名,
 EXTRACT_TOKEN(Strings,19,'|') AS IPアドレス,
 EXTRACT_TOKEN(Strings,20,'|') AS ポート
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 (EventID = 4625 OR EventID = 4626 OR EventID = 4627 OR EventID = 4628 OR 
  EventID = 4629 OR EventID = 4630 OR EventID = 4631 OR EventID = 4632 OR 
  EventID = 4633 OR EventID = 4635) AND
  アカウント &lt;&gt; ''
</QueryData>
    <QueryID>1af09083-c0e5-4bef-aa45-8fee791bbd8a</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-02-09T15:37:18.6839464+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【認証】ログオン全般</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4624のレコードを抽出する。そのうちANONYMOUS LOGONと自身からのログオンを除外して、タイプ別情報を付加して表示する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,0,'|') AS 元SID,
 EXTRACT_TOKEN(Strings,1,'|') AS 元ユーザ,
 EXTRACT_TOKEN(Strings,2,'|') AS 元ドメイン,
 EXTRACT_TOKEN(Strings,3,'|') AS 元ログオンID,
 EXTRACT_TOKEN(Strings,4,'|') AS 先SID,
 EXTRACT_TOKEN(Strings,5,'|') AS 先ユーザ,
 EXTRACT_TOKEN(Strings,6,'|') AS 先ドメイン,
 EXTRACT_TOKEN(Strings,7,'|') AS 先ログオンID,
 EXTRACT_TOKEN(Strings,9,'|') AS ログオンプロセス,
 EXTRACT_TOKEN(Strings,10,'|') AS 認証パッケージ,
 EXTRACT_TOKEN(Strings,11,'|') AS ワークステーション名,
 EXTRACT_TOKEN(Strings,12,'|') AS ログオンGUID,
 EXTRACT_TOKEN(Strings,16,'|') AS プロセスID,
 EXTRACT_TOKEN(Strings,17,'|') AS プロセス名,
 EXTRACT_TOKEN(Strings,18,'|') AS IPアドレス,
　CASE TO_INT(EXTRACT_TOKEN(Strings,8,'|'))
  WHEN 2 THEN '02_対話型'
  WHEN 3 THEN '03_ネットワーク'
  WHEN 4 THEN '04_Batch'
  WHEN 5 THEN '05_サービス'
  WHEN 7 THEN '07_ロック解除'
  WHEN 8 THEN '08_NetworkCleartext'
  WHEN 9 THEN '09_NewCredentials'
  WHEN 10 THEN '10_RemoteInteractive'
  WHEN 11 THEN '11_CachedInteractive'
 END AS LogonType
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID = 4624 AND
 先ユーザ &lt;&gt; 'ANONYMOUS LOGON' AND
 IPアドレス &lt;&gt; '-' AND
 IPアドレス &lt;&gt; '::1'


</QueryData>
    <QueryID>bae2c709-b3d3-4549-a286-f8eef8f17d35</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-06-30T12:17:19.5373508+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【認証】ロック解除</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4624、ログオンタイプ 7のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,4,'|') AS SID,
 EXTRACT_TOKEN(Strings,5,'|') AS ユーザ,
 EXTRACT_TOKEN(Strings,6,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,7,'|') AS ログオンID,
 EXTRACT_TOKEN(Strings,9,'|') AS ログオンプロセス,
 EXTRACT_TOKEN(Strings,10,'|') AS 認証パッケージ,
 EXTRACT_TOKEN(Strings,11,'|') AS ワークステーション名,
 EXTRACT_TOKEN(Strings,12,'|') AS ログオンGUID,
 EXTRACT_TOKEN(Strings,16,'|') AS プロセスID,
 EXTRACT_TOKEN(Strings,17,'|') AS プロセス名, 
 EXTRACT_TOKEN(Strings,18,'|') AS IPアドレス
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID = 4624 AND
 EXTRACT_TOKEN(Strings,8,'|') = '7' 
</QueryData>
    <QueryID>d649db83-d8e2-4b41-a8a9-8b213f7cc9c7</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-06-30T11:51:26.5527263+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【認証】資格情報の確認(エラー)</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4776のレコードを抽出する。そのうちエラーコードが0x0(成功)のレコードは除外する。</QueryDescription>
    <QueryData>SELECT
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,0,'|') AS 認証パッケージ,
 EXTRACT_TOKEN(Strings,1,'|') AS アカウント,
 EXTRACT_TOKEN(Strings,2,'|') AS ソース名,
 EXTRACT_TOKEN(Strings,3,'|') AS エラーコード
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID=4776 AND
 エラーコード &lt;&gt; '0x0'
</QueryData>
    <QueryID>69ab90f8-3149-4c12-ba31-5d5dc5d9b009</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>ALL</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-06-30T12:15:19.2822803+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【認証】新しい資格情報を指定したログオン</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4624、ログオンタイプ 9のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,4,'|') AS SID,
 EXTRACT_TOKEN(Strings,5,'|') AS ユーザ,
 EXTRACT_TOKEN(Strings,6,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,7,'|') AS ログオンID,
 EXTRACT_TOKEN(Strings,9,'|') AS ログオンプロセス,
 EXTRACT_TOKEN(Strings,10,'|') AS 認証パッケージ,
 EXTRACT_TOKEN(Strings,11,'|') AS ワークステーション名,
 EXTRACT_TOKEN(Strings,12,'|') AS ログオンGUID,
 EXTRACT_TOKEN(Strings,16,'|') AS プロセスID,
 EXTRACT_TOKEN(Strings,17,'|') AS プロセス名, 
 EXTRACT_TOKEN(Strings,18,'|') AS IPアドレス
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID = 4624 AND
 EXTRACT_TOKEN(Strings,8,'|') = '9'
</QueryData>
    <QueryID>fdabcb3f-cfa6-4f6e-a2ab-ff13eb88e8a3</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2016-01-05T11:26:54.7437492+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【認証】対話型ログオン</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4624、ログオンタイプ 2のレコードを抽出する。</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,4,'|') AS SID,
 EXTRACT_TOKEN(Strings,5,'|') AS ユーザ,
 EXTRACT_TOKEN(Strings,6,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,7,'|') AS ログオンID,
 EXTRACT_TOKEN(Strings,9,'|') AS ログオンプロセス,
 EXTRACT_TOKEN(Strings,10,'|') AS 認証パッケージ,
 EXTRACT_TOKEN(Strings,11,'|') AS ワークステーション名,
 EXTRACT_TOKEN(Strings,12,'|') AS ログオンGUID,
 EXTRACT_TOKEN(Strings,16,'|') AS プロセスID,
 EXTRACT_TOKEN(Strings,17,'|') AS プロセス名
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID = 4624 AND
 EXTRACT_TOKEN(Strings,8,'|') = '2'</QueryData>
    <QueryID>af83b0c2-d829-47e7-833c-43414c852e2e</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2016-01-05T11:28:00.5940728+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【認証】特権割り当て</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4672のうち、セキュリティID S-1-5-18を除外して抽出する。</QueryDescription>
    <QueryData>SELECT
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EventID AS イベントID,
 EXTRACT_TOKEN(Strings,0,'|') AS セキュリティID,
 EXTRACT_TOKEN(Strings,1,'|') AS アカウント,
 EXTRACT_TOKEN(Strings,2,'|') AS ドメイン,
 EXTRACT_TOKEN(Strings,3,'|') AS ログオンID,
 EXTRACT_TOKEN(Strings,4,'|') AS 特権
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID = 4672 AND
 セキュリティID &lt;&gt; 'S-1-5-18'
</QueryData>
    <QueryID>6c83e068-e338-4031-9163-161f950e18f0</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-08-12T22:17:33.8696917+09:00</DateModified>
  </LPQuery>
  <LPQuery>
    <QueryName>【認証】別アカウントのログオン</QueryName>
    <QueryDescription>ソース Microsoft-Windows-Security-Auditing、イベントID 4648のレコードを抽出する。そのうちtaskhost, taskengとlocalhostに閉じたレコードを除外して表示する。

設定でColumnのSortableを有効にしているとエラーになるため、外すかCSVで出力する必要がある。
</QueryDescription>
    <QueryData>SELECT 
 TimeGenerated AS 日時,
 ComputerName AS コンピュータ名,
 EventLog AS ファイル名,
 EXTRACT_TOKEN(Strings,0,'|') AS 現SID,
 EXTRACT_TOKEN(Strings,1,'|') AS 現アカウント,
 EXTRACT_TOKEN(Strings,2,'|') AS 現ドメイン,
 EXTRACT_TOKEN(Strings,3,'|') AS 現ログオンID,
 EXTRACT_TOKEN(Strings,5,'|') AS 指定アカウント,
 EXTRACT_TOKEN(Strings,6,'|') AS 指定ドメイン,
 EXTRACT_TOKEN(Strings,7,'|') AS 指定ログオンGUID,
 EXTRACT_TOKEN(Strings,8,'|') AS ターゲット,
 EXTRACT_TOKEN(Strings,10,'|') AS プロセスID,
 EXTRACT_TOKEN(Strings,11,'|') AS プロセス,
 EXTRACT_TOKEN(Strings,12,'|') AS IPアドレス
FROM
 '[LOGFILEPATH]'
WHERE
 SourceName = 'Microsoft-Windows-Security-Auditing' AND
 EventID = 4648 AND
 プロセス &lt;&gt; 'C:\Windows\System32\taskhost.exe' AND 
 プロセス &lt;&gt; 'C:\Windows\System32\taskeng.exe' AND NOT
 (ターゲット = 'localhost' AND IPアドレス = '-') AND NOT 
 (ターゲット = 'localhost' AND IPアドレス = '127.0.0.1') AND NOT
 (ターゲット = 'localhost' AND IPアドレス = '::1') 

</QueryData>
    <QueryID>0aacc8cd-a53d-4b95-b026-63ffd2eb27a8</QueryID>
    <LogType>EVTLOG</LogType>
    <QueryCategory>EVT</QueryCategory>
    <IsFavorite>false</IsFavorite>
    <DateModified>2017-06-30T11:58:47.5692708+09:00</DateModified>
  </LPQuery>
</ArrayOfLPQuery>