Visual C++ ランタイムバージョンの使用状況を監査する

Microsoft Visual C++ 再頒布可能パッケージと Visual Studio C++ ランタイム (総称して"VC ランタイム") は、多くのアプリケーションの重要なコンポーネントです。ネットワーク全体で、VC ランタイムのサポート外バージョンをインストールして使用するアプリケーションがマシンで引き続き実行されている可能性があります。 NTFS ファイル監査を使用して、サポートされているバージョンの VC ランタイムを使用するアプリケーションに置き換える手順として、このような使用状況を特定できます。この記事では、NTFS ファイル監査の設定、トラブルシューティングのヒント、および通常の監査の利点について説明します。

サポートされなくなった VC ランタイムのバージョンの詳細については、 Microsoft Visual C++ 再頒布可能パッケージの最新のサポートされているダウンロードを参照してください。

NTFS ファイル監査を有効にして VC ランタイムの使用状況を判断する

この記事では、NTFS ファイルの監査を手動で有効にし、監査イベントを確認して、サポートされていないバージョンの VC ランタイムを呼び出しているアプリケーションを特定する手順について説明します。アプリケーションで使用できるファイルがいくつか存在するため、この記事では、PowerShell とコマンドレットを使用して監査アクセス許可を更新する方法についても説明します。ファイルの監査ポリシーを構成する方法の詳細については、「ファイルまたはフォルダーに基本的な監査ポリシーを適用する」を参照してください。

システムでオブジェクトアクセス監査を手動で有効にする

ファイルレベルの監査を有効にする前に、オブジェクトアクセスを有効にする必要があります。

Windows+R を選択して、Run ダイアログを開きます。次に、「」と入力し、Enter キーを押してローカルグループポリシーエディターを開きます。
に移動します。Computer ConfigurationWindows SettingsSecurity SettingsAdvanced Audit Policy ConfigurationSystem Audit PoliciesObject Access。
[ ファイルシステムの監査] をダブルクリックします。 [ ファイルシステムのプロパティの監査 ] ダイアログで、[ 次の監査イベントの構成SuccessOK を選択します。
ローカルグループポリシーエディターを閉じます。

または、を使用してオブジェクトアクセスを有効にすることもできます。

を使用して、コマンドラインから現在の設定を一覧表示します。
を使用してオブジェクトアクセスを有効にします。

ファイルの監査を手動で有効にする

VC ランタイムファイルにアクセスするプロセスを監視するには、VC ランタイムファイルの監査を有効にします。

監査するファイルを右クリックし、[ プロパティ] を選択し、[ セキュリティ ] タブを選択します。インストールされている VC ランタイムファイルの検索の詳細については、「 VC ランタイムのインストール場所」を参照してください。
[Advanced] \(詳細設定) を選択します。
[ セキュリティの詳細設定] ダイアログで、[監査] タブを選択し、[ 続行] を選択します。
新しい監査規則を追加するには、[追加] を選択します。 [ 監査エントリ ] ダイアログでプリンシパルを選択し、追加するユーザーまたはグループの名前 ( [すべてのユーザー] など) を入力します。その後、OK を選択します。
[ 種類] で、[ 成功] が選択されていることを確認します。
詳細権限を表示すべてクリアフォルダーの移動 / ファイルの実行OKを選択します。
監査エントリの新しい行が、選択した行と一致することを確認します。 [OK] を選択.
[ プロパティ ] ダイアログで、[ OK] を選択します。

これで、ファイルに対して監査規則が有効になりました。

監査ログを手動で確認する

NTFS ファイル監査では、イベント 4663 が生成されます。監査アクセス許可を含み、プロセスによってアクセスされる各ファイルのオブジェクトへのアクセスが試行されました。

Windows+R を選択して、Run ダイアログを開きます。次に、「eventvwr.msc」と入力し、Enter を選択して イベントビューアー を開きます。
Windows Logs を展開し、イベントビューアーのSecurityログに移動してSecurityを展開します。結果ウィンドウには、セキュリティイベントが一覧表示されます。
[アクション] ペインで、[現在のログをフィルター...] を選択し、監査イベントを見つけます。イベントをイベント ID 4663 (ファイルシステムカテゴリの監査成功) に絞り込むには、[イベント ID を含める/除外する] テキストボックスに「4663」と入力します。

ファイルアクセス監査イベント 4663 の例については、「 4663(S): オブジェクトへのアクセスが試行されました。」を参照してください。

PowerShell を使用して VC ランタイムの使用状況を監査する

PowerShell でファイル監査アクセス許可を更新するには、次の手順に従います。

ファイルに適用するファイルシステム監査規則を定義します。
を使用してファイルのセキュリティ記述子を取得します。
セキュリティ記述子に監査規則を適用します。
を使用して、更新されたセキュリティ記述子を元のファイルに適用します。
を含むファイルアクセス監査イベント 4663 レコードを表示します。

PowerShell: サポート対象外の VC ランタイムファイルを監査する

次の PowerShell コードを使用すると、サポートされなくなったインストール済みの VC ランタイムファイルを監査できます。

function Get-AuditRuleForFile {
    $auditRuleArguments =   'Everyone'              <# identity #>,
                            'ExecuteFile, Traverse' <# fileSystemRights #>,
                            'Success'               <# flags #>
    $auditRule = New-Object System.Security.AccessControl.FileSystemAuditRule($auditRuleArguments)

    return $auditRule
}

function Set-FileAuditRule {
    param (
        [Parameter(Mandatory = $true)]
        [ValidateNotNullOrEmpty()]
        [string]$file,
        [Parameter(Mandatory = $true)]
        [ValidateNotNullOrEmpty()]
        [System.Security.AccessControl.FileSystemAuditRule]$auditRule
    )

    $existingAcl = Get-Acl -Path $file
    $existingAcl.AddAuditRule($auditRule) | Out-Null
    Set-Acl -Path $file -AclObject $existingAcl
}

$newAuditRule = Get-AuditRuleForFile

# Visual Studio Redistributable for 2005 (VC++ 8.0) and 2008 (VC++ 9.0)
Get-ChildItem "$ENV:SystemRoot\WinSxS\Fusion" -filter '*.dll' -ErrorAction SilentlyContinue -Recurse |
Where-Object FullName -IMatch 'microsoft\.vc[89]0' |
ForEach-Object {
    Set-FileAuditRule $_.FullName $newAuditRule
}

# Visual Studio Redistributable for 2010 (VC++ 10.0), 2012 (VC++ 11.0) and 2013 (VC++ 12.0)
$languageCodes = 'chs|cht|deu|enu|esn|fra|ita|jpn|kor|rus'
$versions = '(1[012]0)'
$regex = "^((atl|msvc[pr]|vcamp|vccorlib|vcomp)$versions|mfc$versions(u|$languageCodes)?|mfcm$versions(u)?)\.dll$"
Get-ChildItem "$ENV:SystemRoot\SysWOW64","$ENV:SystemRoot\System32" -filter '*.dll' |
Where-Object Name -imatch $regex |
ForEach-Object {
    Set-FileAuditRule $_.FullName $newAuditRule
}

PowerShell: ファイル監査イベントを表示する

PowerShell には、過去 24 時間のすべてのファイルアクセス監査イベント 4663 レコードを一覧表示する次の PowerShell コードに示すように、さまざまなイベントログのイベントレコードを取得するためのが用意されています。

function Get-AuditEntries {
    param (
        [Parameter(Mandatory = $true)]
        [ValidateNotNullOrEmpty()]
        [System.DateTime]$oldestTime
    )
    Get-WinEvent -FilterHashtable @{LogName='Security';Id=4663;StartTime=(Get-Date $oldestTime)} |
    ForEach-Object {
        $record = [ordered]@{}
        $record['TimeCreated'] = $_.TimeCreated
        $accessName = ($_.Message |
            Select-String -Pattern "Accesses:[\t\s]+(?<Accesses>.+)").Matches.Groups[1]
        ([xml]$_.ToXML()).Event.EventData.ChildNodes |
        ForEach-Object -Begin {
            $record[$accessName.Name]=$accessName.Value.Trim()
        } -Process {
            $record[$_.Name] = $_.'#text'
        }
        [PSCustomObject]$record
    } |
    Where-Object { $_.ObjectName -imatch '\.dll$'}
}

Get-AuditEntries -oldestTime (Get-Date).AddHours(-24)

TimeCreated : 11/20/2024 5:00:11 AM
Accesses : Execute/Traverse
SubjectUserSid : \*\*\*\*\*
SubjectUserName : \*\*\*\*\*
SubjectDomainName : WORKGROUP
SubjectLogonId : \*\*\*\*\*
ObjectServer : Security
ObjectType : File
ObjectName : C:\\Windows\\WinSxS\\amd64\_microsoft.vc90.crt\_1fc8b3b9a1e18e3b\_9.0.30729.9635\_none\_08e2c157a83ed5da\\msvcr90.dll
HandleId : 0x93c
AccessList : %%4421
AccessMask : 0x20
ProcessId : 0x24d4
ProcessName : C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe
ResourceAttributes : S:AI

VC ランタイムの使用状況を監査した後の次の手順

VC ランタイムファイルを使用するプロセス、または Visual C++ 再頒布可能パッケージをインストールしたアプリケーションを特定したら、それらのアプリケーションをアンインストールするか、サポートされていない VC ランタイムに依存しない新しいバージョンにアップグレードします。

一部の Microsoft アプリケーションでは、VC ランタイムのレガシバージョンが必要です。詳細については、 Visual C++ 再頒布可能ライブラリとランタイムライブラリに関する FAQ を参照してください。

VC ランタイムのインストール場所

次の表に、VC ランタイムの各バージョンがインストールされている場所を示します。

Visual Studio バージョン	インストールされている場所
Visual Studio 2013 (VC++ 12.0)	`%SystemRoot%\\System32, %SystemRoot%\\SysWOW64`
Visual Studio 2012 (VC++ 11.0)	`%SystemRoot%\\System32, %SystemRoot%\\SysWOW64`
Visual Studio 2010 (VC++ 10.0)	`%SystemRoot%\\System32, %SystemRoot%\\SysWOW64`
Visual Studio 2008 (VC++ 9.0)	`%SystemRoot%\\WinSxS\\Fusion`
Visual Studio 2005 (VC++ 8.0)	`%SystemRoot%\\WinSxS\\Fusion`

Visual C++ ファイルを再配布する
サポートされている最新の Visual C++ ダウンロード
ライフサイクルに関する FAQ: Visual C++ 再頒布可能ライブラリとランタイムライブラリ
Visual Studio バージョン間の C++ バイナリの互換性

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-03-09

次の方法で共有

Visual C++ ランタイム バージョンの使用状況を監査する