Windows イベント ID 4609: Windows のシャットダウン
「Windows のシャットダウン」を表すために定義されたイベント。ただし Microsoft のドキュメントでは、このイベントは実際には生成されない（定義はあるが OS からは使われない）とされている点に注意が必要。
概要
サブカテゴリは Audit Security State Change。本来は起動を示す 4608（Windows の起動）に対応する「シャットダウン」の対イベントとして定義されている。しかし Microsoft Learn は、4609 は定義済みだが実際には記録されないと明記している。したがって、セキュリティログでシャットダウンを 4609 で検知しようとすると取りこぼす。
シャットダウンを実際に捉えるには
4609 は当てにできないため、シャットダウン／ログ採取の停止は次のイベントで捉える。
- 1102（監査ログのクリア）ではなく 1100（イベントログサービスの停止） — セキュリティログの採取が止まる正規の停止点。シャットダウン時に記録され、実務上の「停止イベント」として機能する。
- システムログの 6006（イベントログサービスの停止）／6008（予期しないシャットダウン） — シャットダウンの契機・正常性を補完する。
- 4608（Windows の起動）の再出現 — 次回起動を示すため、直前のログの途切れと合わせて停止期間を推定できる。
セキュリティ上の確認事項
- 稼働・停止のタイムラインは、4608 と 1100（＋システムログ 6006/6008）で組み立てる。4609 の有無に依存しない。
- 予期しないシャットダウン（6008）や、停止イベントを欠いたままの再起動は、クラッシュを狙った操作やログ回避の可能性として確認する。
ログレビュー時の注意観点
- 4609 が「出ていないこと」自体は異常ではない（もともと生成されない）。シャットダウン検知のルールは 4609 ではなく 1100 やシステムログを基準に組む。
- ログの空白区間は、4608 の再出現までを「停止していた期間」とみなし、他ホストや転送済みログで前後関係を補完する。
主なフィールド
固有のデータフィールドは持たない（そもそも生成されないため、実データを観測することはほぼない）。