「ログって何のために残すの？」「ログを確認すれば何がわかるの？」——IT部門の担当者やシステム管理者からよく聞かれる質問です。

ログ（Log）とは、コンピュータシステム・アプリケーション・ネットワーク機器などで発生した出来事や操作履歴を時系列で記録したデータのことです。システム障害の原因調査・不正アクセスの検知・パフォーマンス監視・法的コンプライアンスなど、IT環境の運用・管理に欠かせない情報源です。

本記事では、ログの種類・用途・取得方法・管理の課題・ベストプラクティスまで、初心者にもわかりやすく徹底解説します。

ログとは？

ログとは、コンピュータシステムやアプリケーションが動作中に発生した出来事（イベント）を時系列で自動記録したデータのことです。英語の「log」は「航海日誌」を意味する言葉で、船の位置・速度・出来事を記録していた習慣からIT用語として使われるようになりました。

ログに記録される主な情報

ログの主な種類

ログには用途やシステムによってさまざまな種類があります。代表的な5種類を整理します。

①システムログ

オペレーティングシステム（OS）自体の動作状況やシステム全体のイベントを記録するログです。システムの起動・シャットダウン・エラーメッセージ・システムリソースの使用状況などが記録されます。

• Windowsの場合：「イベントビューア」→「Windowsログ」→「システム」で確認
• Linuxの場合：/var/log/syslog（Ubuntu）、/var/log/messages（CentOS）

②アプリケーションログ

個々のアプリケーションやソフトウェアが動作中に記録するログです。アプリケーションの実行中のエラー・警告・通常動作・ユーザー操作などが含まれます。Webサーバー（Apache・Nginx）のエラーログやデータベースの操作ログが代表例です。

• Windowsの場合：「イベントビューア」→「Windowsログ」→「アプリケーション」で確認
• Apache（Linux）の場合：/var/log/apache2/error.log

③セキュリティログ

システムやアプリケーションへのアクセス・認証・セキュリティ関連のイベントを記録するログです。ユーザーのログイン・ログアウト履歴・不正アクセスの試み・権限の変更などが記録されます。サイバー攻撃や不正アクセスの兆候を検知するために最も重要なログです。

• Windowsの場合：「イベントビューア」→「Windowsログ」→「セキュリティ」で確認
• Linuxの場合：/var/log/auth.log（Ubuntu）、/var/log/secure（CentOS）

④ネットワークログ

ルーター・スイッチ・ファイアウォールなどのネットワーク機器で発生した通信やトラフィックに関する記録です。通信の成功・失敗・パケットの送受信・ネットワークインターフェースの状態などが記録され、ネットワークトラブルの調査やセキュリティインシデントの分析に使われます。

⑤アクセスログ

主にWebサーバーやアプリケーションサーバーで記録されるログで、ユーザーがシステムにアクセスした際の情報が記録されます。アクセス日時・IPアドレス・参照元・ブラウザの種類・閲覧ページ・HTTPステータスコードなどが含まれ、Webサイトのトラフィック解析やセキュリティ対策に役立ちます。

• Apache：/var/log/apache2/access.log
• Nginx：/var/log/nginx/access.log

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

ログの主な用途

トラブルシューティング

システムやアプリケーションで障害が発生した場合、ログを確認することで問題が発生した箇所と原因を特定できます。たとえばWebサーバーが突然応答しなくなった場合、エラーログを確認することで「ディスクの空き容量がなくなった」「特定のモジュールでエラーが発生した」といった原因が特定できます。

セキュリティ監視とインシデント対応

ログはサイバーセキュリティの観点から特に重要です。不正アクセスが発生した際の証拠として利用されるほか、侵入の兆候や異常な操作を検知するためのリアルタイム監視にも使われます。セキュリティインシデントが発生した場合、ログを遡って調査することで攻撃者の動きを追跡できます。

システムパフォーマンスの監視

CPU・メモリ・ネットワーク・ディスクの使用状況などを記録したログは、パフォーマンスのボトルネックや過負荷状態を検出するために使われます。定期的にログを分析することで、システムのキャパシティ計画や最適化に役立てることができます。

監査とコンプライアンス

金融機関・医療機関・政府機関など特定の業界では、法令や規制によってシステムの操作履歴をログに記録・保存することが義務付けられています。PCI DSS（クレジットカード業界）・HIPAA（医療）・GDPR（個人情報保護）などの規制への準拠においてログは不可欠です。

データ分析・業務改善

アクセスログを分析することで、Webサイトでよく閲覧されているページ・ユーザーの行動パターン・トラフィックのピーク時間帯などを把握できます。マーケティング施策の改善や、ユーザーエクスペリエンスの向上にも活用されます。

ログ管理の課題

膨大なデータ量

大規模なシステムでは1日に数GB〜数十GBのログデータが生成されます。この膨大なデータをどのように収集・保管・分析するかが大きな課題です。必要なログを素早く検索できる仕組みが不可欠です。

ログの保存期間の管理

すべてのログを長期間保存するとストレージを圧迫します。一方、短期間で削除すると監査・インシデント調査に必要なログが失われる恐れがあります。業種・法令ごとに定められた保存期間（多くの場合1〜7年）に従った管理が求められます。

セキュリティリスク

ログ自体にユーザーのアクセス情報やシステムの詳細情報など機密性の高いデータが含まれるため、ログそのものが攻撃対象になることがあります。適切なアクセス制御と暗号化による保護が必要です。また、攻撃者がログを削除・改ざんすることで証跡を消す行為も確認されています。

ログ分析の難しさ

膨大なログデータから有益な情報を取り出すことは非常に難しいです。特にサイバー攻撃の兆候を正常なトラフィックの中から見つけることは人手では限界があり、専用の分析ツールやAI・機械学習の活用が一般的になっています。

ログ管理のベストプラクティス

①中央集約型のログ管理（SIEM・ELKスタック）

複数のシステムで生成されたログを一箇所に集約して一元管理することで、分析と監視が大幅に効率化されます。代表的なツールとして以下があります。

• SIEM（Security Information and Event Management）：複数ソースからのログをリアルタイムに収集・分析し、脅威を自動検知するセキュリティ管理ツール。Splunk・Microsoft Sentinelなどが代表例
• ELKスタック：Elasticsearch（検索・分析）・Logstash（収集・変換）・Kibana（可視化）を組み合わせたオープンソースのログ管理基盤
• Syslog：ネットワーク機器やLinuxシステムのログを集約する標準プロトコル

②リアルタイム監視とアラート設定

ログをリアルタイムで監視し、異常なパターン（短時間での大量ログイン試行・通常とは異なる時間帯のアクセス・不審なIPアドレスからの接続など）を検知した際に自動でアラートを発報する仕組みを構築することが重要です。

③定期的なバックアップと保存ポリシーの策定

ログは障害やセキュリティインシデントの証跡として重要なため、定期的なバックアップを取ることが不可欠です。どのログをどの期間保存するか、いつ削除するかを定めた「保存ポリシー」を策定し、法的要件に準拠した管理を行います。

④アクセス制御と暗号化

ログデータへのアクセスは必要な担当者のみに限定し、権限管理を徹底します。機密性の高いログは暗号化して保存し、改ざん・削除が困難な状態にします。ログの改ざん防止には書き込み専用のストレージや改ざん検知ツールを活用することも有効です。

⑤システム時刻の同期（NTP）

複数のシステムのログを横断的に分析する際、タイムスタンプのずれがあると正確な時系列の把握が困難になります。NTP（Network Time Protocol）を使ってすべてのシステムの時刻を同期させることが重要です。

ログ管理に関連する被害事例2選

事例1：攻撃者にアクセスログを消去され、調査が遅れた事例

カプコンでは、標的型攻撃によるランサムウェア被害を受け、顧客情報や取引先情報など約35万件が流出した可能性が公表されました。同社によると、攻撃者はサーバー保存情報の暗号化だけでなく、アクセスログの抹消も行っており、不正アクセスの影響調査に支障が生じ、解析が遅延したとされています。

この事例は、ログがインシデント調査における重要な証拠であることを示しています。攻撃者がログを削除・改ざんすると、侵入経路や被害範囲の特定が難しくなります。ログは本番サーバー内だけに保存するのではなく、別システムへのリアルタイム転送、WORMストレージ、アクセス制御、バックアップなどにより保護することが重要です。

カプコン、標的型攻撃被害で顧客情報など約35万件流出の可能性

2020.11.17

画像：株式会社カプコンより引用 株式会社カプコンは2020年11

事例2：サーバーログの確認で不正アクセスの痕跡が発見された事例

株式会社MS&Consultingでは、サーバーログを確認した際に不正アクセスの痕跡が発見され、調査の結果、不審なアクセスによって保有情報の一部が漏えいした可能性が判明しました。同社は、ログ確認後にソフトウェアの修正や再調査を実施しています。

この事例は、ログを定期的に確認することで、不正アクセスの早期発見につながることを示しています。ログは保存するだけでは十分ではなく、サーバーログ、アクセスログ、認証ログなどを継続的に監視し、異常なアクセスや不審な操作を検知できる運用体制を整えることが重要です。

WAF設定ミスで不正アクセス被害、最大6,119件の個人情報流出か｜MS&consulting

2018.5.15

画像：株式会社MS&Consultingより

よくある質問（FAQ）

Q. ログはどのくらいの期間保存すればいいですか？

業種や法令によって異なりますが、セキュリティガイドライン（NIST・PCI DSS・総務省のガイドラインなど）では最低1年間、重要なログは3〜7年間の保存が推奨されています。特にアクセスログ・認証ログ・変更管理ログは長期保存を検討してください。

保存期間が長くなるほどストレージコストが増加するため、重要度に応じた階層型の保存ポリシーを設計することが実務上は一般的です。

Q. SIEMとは何ですか？

SIEM（Security Information and Event Management）は、複数のシステムやネットワーク機器から収集したログを一元管理し、リアルタイムに分析・相関付けして脅威を自動検知するセキュリティ管理プラットフォームです。Splunk・Microsoft Sentinel・IBM QRadarなどが代表的な製品です。大量のログから人手では気づけない攻撃パターンをAIが自動検知する機能を持つものも増えています。

Q. ログが改ざんされるとどうなりますか？

攻撃者がシステムへの侵入後にログを削除・改ざんすることで、侵入の痕跡を消す行為があります。ログが改ざんされると不正アクセスの証拠が失われ、インシデントの原因調査や犯人特定が極めて困難になります。

対策として、ログの改ざん防止には書き込み専用のWORM（Write Once Read Many）ストレージへの保存・ログのハッシュ値による整合性検証・ログを別システムにリアルタイム転送する仕組みが有効です。

Q. 個人情報がログに含まれる場合はどう対処すべきですか？

アクセスログにはIPアドレスや閲覧ページなど個人の行動に関する情報が含まれる場合があります。GDPRや個人情報保護法に基づき、個人情報を含むログは必要最小限の期間のみ保存し、適切なアクセス制御と暗号化を施すことが求められます。プライバシーポリシーにログの収集・保存について明記することも必要です。

Q. 無料でログ管理を始める方法はありますか？

はい。ELKスタック（Elasticsearch・Logstash・Kibana）はオープンソースで無料から使い始められます。またGrafana+Lokiの組み合わせも無料で強力なログ管理・可視化が可能です。Windowsのイベントビューアは追加費用なく利用できる標準機能です。

ただし大規模環境での運用には専門知識が必要なため、中規模以上の企業には商用のログ管理システムやSIEMの導入を検討することをおすすめします。

まとめ

ログとは、システム・アプリケーション・ネットワーク機器が動作中に発生した出来事を時系列で自動記録したデータです。システムログ・アプリケーションログ・セキュリティログ・ネットワークログ・アクセスログなど種類があり、それぞれトラブルシューティング・不正アクセスの検知・コンプライアンス対応など異なる用途で活用されます。

ログ管理の課題としては膨大なデータ量・保存期間の管理・セキュリティリスク・分析の難しさがあります。これらに対応するため、SIEMやELKスタックを活用した中央集約型の管理・リアルタイム監視・適切なアクセス制御と暗号化・定期的なバックアップを組み合わせることが現在のベストプラクティスです。

ログの適切な収集と管理は、インシデント発生時の迅速な対応と被害最小化に直結します。「何かあってから慌てて確認しようとしたらログが残っていなかった」という事態を避けるためにも、平時からのログ管理体制の整備が重要です。