無料会員登録
「侵入ログって何を記録しているの？」「不正アクセスログとは違うの？」——セキュリティの現場でよく聞かれる疑問です。 侵入ログ（Intrusion Log）とは、システムやネットワーク、デバイスへの不正な侵入の試みや実際の侵入を記録したログデータのことです。
サーバーやネットワーク機器が記録する「不正アクセスログ」と、AndroidなどOSレベルで記録される「侵入ログ機能」の両方を指す言葉として使われています。 本記事では、侵入ログとは何か・確認方法・活用方法・運用上の注意点まで、初心者にもわかりやすく解説します。
書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！
セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！
侵入ログとは？
侵入ログとは、システムやネットワーク、デバイスに対する不正な侵入の試みや実際の侵入を記録したログデータのことです。
「防犯カメラの録画」をイメージ
侵入ログを家にたとえると、「玄関に設置した防犯カメラの録画データ」のようなものです。誰がいつ訪れたか、不審な動きはなかったかをあとから確認できます。 システムにおける侵入ログも同じ役割を果たします。「誰が」「いつ」「どこから」「何をしようとしたか」を記録しておくことで、不正アクセスが発生した際に原因を調査したり、被害の範囲を特定したりできます。
侵入ログの2つの意味
「侵入ログ」という言葉は、文脈によって2つの異なるものを指します。
| 意味 | 内容 | 主な利用者 |
|---|---|---|
| ①一般的な侵入ログ | Webサーバー・ファイアウォール・IDSなどが記録する不正アクセスの痕跡データ | 企業のシステム管理者・セキュリティ担当者 |
| ②Androidの「侵入ログ」機能 | Google「高度な保護機能」の一部として提供される、デバイスへの不正アクセスを記録する専用機能 | 個人ユーザー（特にジャーナリスト・政治家など狙われやすい人） |
本記事では、まず①の企業向け侵入ログについて解説し、後半で②のAndroid侵入ログ機能についても紹介します。
侵入ログでわかること・記録される情報
侵入ログには、不正アクセスを調査するための重要な情報が記録されています。
| 記録される情報 | 内容 |
|---|---|
| アクセス元IPアドレス | どこからアクセスされたか |
| 日時 | いつアクセスがあったか |
| アクセスされたリソース | URLやポート番号など、何にアクセスしようとしたか |
| HTTPメソッド | GET・POSTなど、どのような操作をしようとしたか |
| レスポンスコード | 200（成功）・404（存在しない）などアクセス結果 |
| ユーザーエージェント | 使用されたブラウザ・ツールの情報 |
これらの情報を組み合わせて分析することで、攻撃者が「いつ」「どこから」「何を狙って」アクセスしてきたのかを明らかにできます。
書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！
セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！
侵入ログ（不正アクセスログ）の確認方法
ログファイルの保存場所
Webサーバーのログファイルは、一般的に「/var/log/」ディレクトリ内に保存されています。
| サーバー種類 | アクセスログ | エラーログ |
|---|---|---|
| Apache | /var/log/httpd/access_log | /var/log/httpd/error_log |
| Nginx | /var/log/nginx/access.log | /var/log/nginx/error.log |
コマンドラインでの閲覧方法
コマンドラインから直接ログを確認する場合、以下のコマンドが便利です。
→ アクセスログをページ単位で表示しながら確認できます。
→ 「POST」という文字列を含む行だけを抽出できます。不審な書き込みリクエストの調査に便利です。
ログ分析ツールの活用
大量のログを手動で確認するのは非効率です。以下のようなログ分析ツールを使うことで、効率的に侵入の兆候を発見できます。
- Splunk：複数ログを統合管理し、視覚的に分析できる代表的なツール
- Logstash / Fluentd：ログ収集・転送を自動化するオープンソースツール
- SIEM：複数のログを一元管理し、異常を自動検知するプラットフォーム
侵入ログを発見する流れ
侵入の兆候を見抜く5つのポイント
ログファイルから侵入の兆候を見抜くには、以下の特徴に注目してください。
- 通常とは異なるIPアドレスからのアクセス：普段アクセスのない国・地域からのアクセス
- 短時間での大量のリクエスト：ブルートフォース攻撃や自動化ツールの兆候
- 存在しないページへのアクセス試行：脆弱性スキャンの可能性
- SQLインジェクションなどの攻撃の形跡：URLやパラメータに不自然な文字列が含まれる
- 認証失敗の頻発：パスワードクラッキングの試行
正当なユーザーによるアクセスでも、これらの特徴を一部示す場合があります。複数の特徴を組み合わせ、総合的に判断することが重要です。
不正アクセスと不正ログインの違い
「侵入ログ」と合わせてよく使われる言葉に「不正アクセス」「不正ログイン」があります。この2つは厳密には意味が異なります。
| 用語 | 意味 |
|---|---|
| 不正アクセス | アクセス権限のない者による侵入行為全般（広義） |
| 不正ログイン | 正規のID・パスワードなど認証情報を悪用してログインする行為（不正アクセスの一種） |
不正ログインの主な手口には、ブルートフォース攻撃・辞書攻撃・パスワードリスト攻撃・フィッシング・マルウェアによる情報窃取などがあります。これらの痕跡も侵入ログから読み取ることができます。
侵入ログの活用方法
不正アクセスの早期発見
侵入ログを定期的にチェックすることで、不審なアクセスを早期に発見できます。短時間に大量のリクエストが発生している場合や、通常アクセスのないIPアドレスからのアクセスがある場合は要注意です。
原因究明と再発防止
不正アクセスが発生した際、侵入ログを詳細に分析することで、攻撃者がどのような手口で侵入したのかを特定できます。この情報をもとにシステムの脆弱性を修正し、再発防止策を講じられます。
セキュリティ対策の改善
ログの分析結果から、ファイアウォールの設定変更・ソフトウェアの更新・アクセス制御の強化など、具体的な改善策を導き出せます。
インシデント発生時のエビデンス
侵入ログは、セキュリティインシデント発生時の証拠資料としても重要です。捜査機関への被害届提出や損害賠償請求の際にも、ログは重要な証拠となります。
Androidの「侵入ログ」機能とは
Android 16から導入された「高度な保護機能（Advanced Protection）」には、専用の「侵入ログ」機能が搭載されています。これは個人のスマートフォンが不正アクセスされた際の調査に使える機能です。
記録される内容
- アプリのアクティビティ（プロセスの起動日時など）
- アプリのインストール・更新・アンインストール履歴
- ネットワーク接続（Wi-Fi・Bluetoothの開始/停止、IPアドレスなど）
- USB経由のファイル転送
- システム証明書の変更
- デバイスのロック・ロック解除の日時
侵入ログの有効化方法
- 「設定」アプリを開く
- 「セキュリティとプライバシー」→「高度な保護機能」を開く
- 高度な保護機能をオンにする（侵入ログは自動的に有効化される）
悪意ある第三者による証拠隠滅を防ぐため、収集されたログは12か月間、ユーザー自身も含めて誰も手動で削除できない仕様になっています。これにより、すべてのアクティビティ履歴が完全な状態で維持されます。
ログのダウンロード方法
- 「設定」→「セキュリティとプライバシー」→「高度な保護機能」→「侵入ログ」→「アクセスログ」をタップ
- 対象デバイスを選んで「ダウンロードして復号」をタップ
- ファイルマネージャーでログを確認
ログはエンドツーエンドで暗号化されてGoogleサーバーに保存されており、Google自身もログの中身にアクセスできません。一方、ダウンロードして復号した後のセキュリティ管理はユーザー自身の責任となります。信頼できるセキュリティ専門家とのみ共有してください。
Androidの侵入ログ機能の仕組み
侵入ログ運用の注意点
プライバシーへの配慮
侵入ログには個人情報が含まれる可能性があります。不必要な情報の削除、アクセス権限の制限など、適切な取り扱いが求められます。
保存期間と容量の管理
侵入ログのデータ量は膨大になりがちです。組織のセキュリティポリシーや法的要件に基づき、一般的には数か月〜数年の保存期間を設定し、適切なストレージを確保しましょう。
専門知識を持つ人材の確保
ログの中から侵入の痕跡を見つけ出すには専門知識が必要です。セキュリティ専門家やデータアナリストとの連携、または社内人材の育成が欠かせません。
ログ改ざんへの対策
攻撃者がログを改ざんし、侵入の痕跡を隠蔽するリスクがあります。ログへのデジタル署名の付与や、ログを別システムに転送するなど、完全性を保証する仕組みを導入しましょう。
侵入ログ運用のベストプラクティス
- 定期的なログ確認：日次・週次でログをチェックし、不審なアクセスがないか監視する
- 自動化ツールの活用：SIEMなどのツールを導入し、人手では見落としがちな痕跡も検出する
- 長期保存の徹底：少なくとも数か月、理想的には1年以上のログを確保する
- セキュリティ担当者の育成：外部研修などを活用し、最新の攻撃手法への知見を高める
- インシデント対応計画の策定：不正アクセス発見時の報告ルート・初動対応手順を事前に定めておく
侵入ログ・不正アクセス調査に関連する事例2選
事例1：Webサーバーのログ調査でサイバー攻撃の痕跡が確認された事例
幻冬舎では、Webサービスに対する不正アクセスにより、会員情報9万3,014件が流出した可能性が公表されました。発覚のきっかけは、利用者からフィッシングメールに関する被害報告があったことで、その後、同社がWebサーバーのログを調査したところ、サイバー攻撃の痕跡が確認されたとされています。
侵入ログやアクセスログは、不正アクセスの有無や攻撃経路を確認するための重要な証拠になります。日頃からログを保存し、異常があった際にすぐ調査できる体制を整えておくことが重要です。
事例2：不正アクセスの発覚後、影響範囲の調査が必要になった事例
山藤三陽印刷株式会社では、外部のセキュリティ企業からの通知をきっかけに、サーバーへの不正アクセスとランサムウェア感染が判明しました。同社は、関係するシステムをネットワークから遮断し、外部のセキュリティ専門機関や関係当局と連携しながら、原因調査・影響範囲の特定・復旧作業を進めています。
侵入ログやサーバーログが適切に保存されていれば、攻撃者の侵入時期、アクセス元、被害範囲の特定に役立ちます。ログは記録するだけでなく、調査時に活用できる形で保管しておくことが大切です。
よくある質問（FAQ）
Q. 侵入ログと不正アクセスログは同じもの？
ほぼ同じ意味で使われることが多いです。どちらも「システムやネットワークへの不正な侵入の試みや実際の侵入を記録したログ」を指します。文脈によっては、Android端末の「侵入ログ」のように特定機能の名称として使われることもあります。
Q. 侵入ログはどのくらいの期間保存すべき？
組織のセキュリティポリシーや業種の法的要件によって異なりますが、一般的には数か月〜1年以上の保存が推奨されています。不正アクセスの発覚が数か月遅れるケースもあるため、短すぎる保存期間は原因究明を困難にします。
Q. ログを確認しているのに不正アクセスに気づけないのはなぜ？
ログには膨大な情報が含まれるため、手動でのチェックには限界があります。SIEMなどの自動化ツールを導入し、異常なパターンを自動検知する仕組みを整えることをおすすめします。また、複数のログ（Webサーバー・ファイアウォール・IDSなど）を組み合わせて分析することで検知精度が向上します。
Q. 個人がスマホの侵入ログを確認する必要は？
一般的な利用であれば必須ではありませんが、ジャーナリスト・政治家・経営者など標的型攻撃のリスクが高い方にはおすすめです。Android 16以降の「高度な保護機能」を有効にすることで、侵入ログ機能を無料で利用できます。
Q. 侵入ログを改ざんされないようにするには？
ログを生成元のシステムとは別のサーバーに転送して保管する「ログの外部転送」が有効です。また、ログにデジタル署名を付与することで改ざんの有無を検証できるようにする方法もあります。SIEMなどの専用ツールには、これらの機能が標準搭載されていることが多いです。
まとめ
侵入ログとは、システムやネットワーク、デバイスへの不正な侵入の試みや実際の侵入を記録したログデータです。Webサーバーやファイアウォールが記録する一般的な侵入ログと、Android 16の「高度な保護機能」に搭載された専用の侵入ログ機能の2つの意味で使われています。
侵入ログには、アクセス元IPアドレス・日時・アクセスされたリソースなどの情報が記録されており、これらを分析することで不正アクセスの早期発見・原因究明・再発防止につなげられます。ただし、ログは記録するだけでなく定期的に確認する運用体制があって初めて効果を発揮します。
自動化ツールの活用、十分な保存期間の確保、専門人材の育成を組み合わせ、組織全体でセキュリティ意識を高めていくことが重要です。
書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！
セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
