レポート名：Forensic_-_All_Events_With_Specified_Event_ID
===================================================================
パラメーター：
StartDate, EndDate, EventID
説明：
パラメーターで指定したイベント ID が記録されていた場合、それらのデータを抽出してレポートに出力します。
レポート名：Planning_-_Event_Counts
===================================================================
パラメーター：
StartDate, EndDate
説明：
収集された全イベントのうち、各イベントID についての出力合計数、および全体出力数のうちの割合を表示します。
出力数の多いイベントを確認し、監査ポリシーをチューニングするために使用します。
レポート名：Planning_-_Event_Counts_by_Computer
===================================================================
パラメーター：
StartDate, EndDate, Domain\Computer
説明：
パラメータに指定したコンピューターについて、収集された全イベントのうち、各イベントID についての出力合計数、および全体出力数のうちの割合を表示します。
出力数の多いイベントを確認し、監査ポリシーをチューニングするために使用します。
レポート名：Planning_-_Hourly_Event_Distribution
===================================================================
パラメーター：
StartDate, EndDate
説明：
1 時間ごとに記録されたイベントの合計数の遷移を折れ線グラフで表示します。本レポートはキャパシティ プランニングに使用します。
レポート名：Planning_-_Logon_Counts_of_Privileged_Users
===================================================================
パラメーター：
StartDate, EndDate
説明：
特権使用ユーザーによるログオン合計数を表示します。
特定の特権使用ユーザーによるログオン回数が正常値を超過している場合、異常なネットワーク活動がないかどうか調査する必要があります。
レポート名：Policy_-_Account_Policy_Changed
===================================================================
パラメーター：
StartDate, EndDate
説明：
アカウント ポリシーの変更イベント ID: 643, 4739 が記録されていた場合、それらのデータを抽出してレポートに出力します。
Windows Server 2000 & 2003 環境：643 (アカウント ポリシーの変更)
Windows Server 2008 以降の環境： 4739 (アカウント ポリシーの変更)
レポート名：Policy_-_Audit_Policy_Changed
===================================================================
パラメーター：
StartDate, EndDate
説明：
ポリシーの変更の監査イベント ID: 612, 4719 が記録されていた場合、それらのデータを抽出してレポートに出力します。
Windows Server 2000 & 2003 環境：612 (ポリシーの変更)
Windows Server 2008 以降の環境： 4719 (ポリシーの変更)
レポート名：Policy_-_Object_Permissions_Changed
===================================================================
パラメーター：
StartDate, EndDate
説明：
オブジェクトのアクセス許可変更イベント ID: 4670 が記録されていた場合、それらのデータを抽出してレポートに出力します。
Windows Server 2008 以降の環境： 4670 (オブジェクトのアクセス許可の変更)
レポート名：Policy_-_Privilege_Added_Or_Removed
===================================================================
パラメーター：
StartDate, EndDate
説明：
ポリシーの変更の監査 (ユーザー権限の追加と削除) ID: 608, 621, 609, 622, 4704, 4705 が記録されていた場合、それらのデータを抽出してレポートに出力します。
Windows Server 2000 & 2003 環境：608 (ユーザー権利の割り当て), 621 (アカウントに対するシステムアクセス権限の追加), 609 (ユーザー権利の削除), 622 (アカウントからシステム アクセス権限の削除)
Windows Server 2008 以降の環境： 4704 (ユーザ権利の割り当て), 4705 (ユーザー権利の削除)
レポート名：System_Integrity_-_Audit_Failure
===================================================================
パラメーター：
StartDate, EndDate
説明：
監査イベント記録の失敗を示すイベント ID: 516, 4612 が記録されていた場合、それらのデータを抽出してレポートに出力します。これらのイベントは、リソース不足により監査ログの記録に失敗し、一部のログが失われたことを示します。
Windows Server 2000 & 2003 環境：516 (監査イベント記録の失敗)
Windows Server 2008 以降の環境： 4612 (監査イベント記録の失敗)
レポート名：System_Integrity_-_Audit_Log_Cleared
===================================================================
パラメーター：
StartDate, EndDate
説明：
監査ログの消去を示すイベント ID: 517, 1102 が記録されていた場合、それらのデータを抽出してレポートに出力します。
Windows Server 2000 & 2003 環境：517 (監査ログの消去)
Windows Server 2008 以降の環境： 1102 (監査ログの消去)
レポート名：Usage_-_Object_Access
===================================================================
パラメーター：
StartDate, EndDate
説明：
ログオンの監査イベント ID: 560, 567, 4656, 4663 が記録されていた場合、それらのデータを抽出してレポートに出力します。
Windows Server 2003 環境：560 (オブジェクトのオープン), 567 (ファイルアクセス )
Windows Server 2008 以降の環境： 4656 (ファイルオープン), 4663 (ファイルアクセス )
レポート名：Usage_-_Privileged_logon
===================================================================
パラメーター：
StartDate, EndDate
説明：
特権を使用したログオンイベント ID: 576 が記録されていた場合、それらのデータを抽出してレポートに出力します。
レポート名：Usage_-_Sensitive_Security_Groups_Changes
===================================================================
パラメーター：
StartDate, EndDate
説明：
グローバルグループやローカルグループの作成・削除・変更を示す監査イベントが記録されていた場合、それらのデータを抽出してレポートに出力します。具体的には以下イベントをフィルタしてレポート出力します。
Windows Server 2003 環境：631-639、または 641、または 658-662
Windows Server 2008 以降の環境： 4727-4735、または 4737、または 4754-4758
※各イベント ID の意味については以下公開資料をご参照下さい。
【Windows Server 2008】監査イベントの Event ID が変わります
http://blogs.technet.com/b/junichia/archive/2008/01/11/2008-id.aspx
Windows vista と Windows Server 2008 のセキュリティ イベントの説明
http://support.microsoft.com/kb/947226/ja
レポート名：Usage_-_User_Logon
===================================================================
パラメーター：
StartDate, EndDate, Domain\User
説明：
パラメーターで指定したユーザーについて、ログオンの監査イベント ID: 528, 540, 4624 が記録されていた場合、それらのデータを抽出してレポートに出力します。
Windows Server 2003 の環境：528 (対話的なログオン), 540 (ネットワーク ログオン)
Windows Server 2008 以降の環境：4624 (対話的・ネットワークログオン)
- その他参考資料
ACS および ACS レポートの展開
http://technet.microsoft.com/ja-jp/library/hh298613.aspx
コミュニティにおけるマイクロソフト社員による発言やコメントは、マイクロソフトの正式な見解またはコメントではありません。
