アクセスログとは？種類・確認方法・分析のポイントを解説

アクセスログは、サーバーや業務端末への通信や操作を時系列で記録したデータです。不正アクセスの早期検知から監査対応、トラブルシューティングまで活用範囲は広く、企業のセキュリティ運用に欠かせません。

本記事ではアクセスログの種類・確認方法・分析の観点・保存期間の目安・取得時の注意点まで順に解説します。

アクセスログとは

アクセスログとは、サーバーやネットワーク機器、ソフトウェアが外部からのリクエストや操作を時系列で記録したデータを指します。

代表的な例は、WebサーバーがブラウザからのHTTPリクエストを記録するアクセスログです。クライアントのIPアドレス、アクセス日時、リクエストされたURL、ステータスコード、使用したWebブラウザ（User-Agent）などが1行ずつ蓄積されるため、「いつ」「どこから」「誰が」「何に」「どのような操作を」行ったかを後から追跡できます。

近年は、Webサーバーに限らずファイルサーバーや業務PC、クラウドサービスなど、企業ITを構成するあらゆる機器・サービスがアクセスログを出力しています。そのため記録された情報を活用することで、不正アクセスの兆候を早期に把握したり、障害発生時の原因を特定したりといったことが可能です。

アクセスログを取得する目的

アクセスログを取得する目的は、セキュリティ対策だけにとどまりません。ここでは企業が押さえておくべき4つの目的を整理しました。

• セキュリティインシデントを早期に検知するため
• コンプライアンス対応の証跡を確保するため
• 障害発生時の原因を特定するため
• 業務実態を可視化して改善につなげるため

セキュリティインシデントを早期に検知するため

サイバー攻撃や不正アクセスは、発生してから対応するまでの時間が被害規模を大きく左右します。侵入から数時間で情報が抜き取られるケースもあり、いかに早く異常を掴めるかが被害の大小を分けます。

そこで役立つのがアクセスログです。アクセスログには、外部から繰り返される認証失敗、業務時間外の大量データ取得、見慣れないIPアドレスからの通信など、攻撃の初期段階で現れやすい兆候が時系列で残ります。これらを継続的に確認していれば、被害が広がる前に異常を捉えやすくなるでしょう。

たとえば深夜に同一IPから短時間で数百回のログイン試行が記録されていれば、ブルートフォース攻撃の疑いが濃厚です。この段階で通信遮断やアカウントロックを実施できれば、情報漏えいや業務停止のリスクを抑えられます。

コンプライアンス対応の証跡を確保するため

個人情報保護法やマイナンバー関連法、業界別ガイドラインなど、企業が遵守すべきルールには「アクセス記録の保管」や「アクセス権限の管理」が含まれています。アクセスログを取得しておけば、誰がいつどの情報資産にアクセスしたのかを後から追跡でき、法令遵守の実態を客観的に示す証跡になります。

監査の場面では、不正な持ち出しがなかったか、権限を超えた閲覧が起きていないかなどを第三者が検証できる状態が問われます。ログが十分に残っていない場合、コンプライアンス違反を疑われた際に潔白を立証する手立てを持てないのです。

障害発生時の原因を特定するため

システム障害やサービス停止が起きたとき、闇雲に復旧作業へ入る前に原因を切り分ける工程が欠かせません。アクセスログには、障害発生直前のリクエスト内容、エラーレスポンスの発生回数、特定ユーザーからの異常な操作などが残されており、原因究明の手掛かりが得られます。

たとえばWebサーバーで500番台のエラーが急増した時刻に、特定のURLへ大量のリクエストが集中していた事実が確認できれば、アプリケーション側の処理ボトルネックを疑えます。ログで事実関係を時系列で追跡できれば、単なる復旧にとどまらず、恒久対策の設計にも反映しやすくなります。

業務利用状況を可視化して改善につなげるため

アクセスログはセキュリティや障害対応だけでなく、業務改善のデータソースとしても活用できます。誰がどのファイルにいつアクセスしたか、どの業務システムがどの程度利用されているかを数値で把握できるためです。

たとえば月初の特定時間帯に基幹システムへのアクセスが集中する傾向が見えれば、処理分散やリソース増強の検討材料になります。逆に長期間アクセスがないファイルやサービスは、整理や契約見直しの候補として浮かび上がります。

アクセスログを業務可視化の起点として活用すれば、IT投資の費用対効果向上にも貢献するでしょう。

アクセスログの種類と確認方法

アクセスログは、対象とする機器やサービスごとに記録される情報や確認手段が異なります。それぞれで取得できる情報と代表的な確認方法を見ていきましょう。

• Webサーバーのアクセスログ
• ファイルサーバーのアクセスログ
• PC・業務端末のアクセスログ
• クラウドサービスのアクセスログ

Webサーバーのアクセスログ

Webサーバーのアクセスログは、ブラウザや外部システムからのHTTPリクエストを1件ずつ記録したものです。Apache、Nginx、Microsoft IIS（インターネットインフォメーションサービス）など、いずれのWebサーバーソフトでも標準で出力されます。

記録される代表的な項目は、クライアントのIPアドレス、アクセス日時、リクエストメソッド（GET・POST等）、リクエストURL、HTTPステータスコード、リファラ、User-Agentの7点です。たとえばApacheのCombined Log Formatと呼ばれる形式では、これらの項目が1行に連続して並びます。

ログの確認方法は、サーバーへSSHで接続し /var/log/apache2/access.log などのパスでファイルを直接参照するのが基本となります。長期間蓄積されたログはサイズが膨大になりやすいため、grepやawkといったコマンドで条件抽出するか、ログ管理ツールを用意して可視化する方法が一般的です。

ファイルサーバーのアクセスログ

ファイルサーバーのアクセスログは、共有フォルダ内のファイルに対する「誰が」「いつ」「どのファイルへ」「どのような操作（参照・更新・削除等）」を行ったかを記録します。社内の機密文書や顧客データを格納する基盤のため、漏えいや改ざんの兆候を捉える上で欠かせません。

Windows Serverの共有フォルダでアクセスログを取得するには、事前にグループポリシーで監査ポリシーを有効化しておく必要があります。そのうえで対象フォルダのプロパティから監査エントリを設定すると、イベントビューアーの「セキュリティ」ログにファイル操作の詳細がイベントIDとともに記録されていきます。

ただし、Windowsの標準機能だけでは大量のイベントから必要な情報を抽出する作業に手間がかかります。複数台のサーバーを横断的に監査するなら、ログ管理ツールやIT資産管理ツールでの一元収集が現実的な選択肢となるでしょう。

IT資産管理ツールで何ができるのか、選び方や運用ポイントを押さえたい方は、以下の関連記事もあわせてご参照いただけます。

関連記事：IT資産管理ツールとは？主な機能と導入・運用のポイントを解説

関連記事：【2026年版】IT資産管理ツールおすすめ8選を比較｜機能・タイプ別の選び方を解説

PC・業務端末のアクセスログ

PC・業務端末のアクセスログには、Windowsのログオン・ログオフ、共有リソースへのアクセス、リモート接続の試行など、端末を介して発生したアクセスイベントが残ります。

Windowsの場合、イベントビューアーの「セキュリティ」ログから「ログオン（イベントID 4624）」「ログオフ（イベントID 4634）」「アカウントログオン失敗（イベントID 4625）」などを確認できます。特にログオン失敗が短時間に連続している場合は、不正アクセスの試行を疑う材料になるでしょう。

なおPC端末で記録されるログには、アクセスログ以外にもアプリケーション使用、ファイル操作、Web閲覧、外部デバイス接続、メール・印刷など多様な種類があります。これらを総称した呼び方が「PCログ」で、勤怠管理や情報漏えい対策の基礎データとして活用されています。

PCログの種類や取得方法については、以下の記事で詳しく解説しています。

関連記事：PCログとは？種類・取得方法と勤怠管理・セキュリティ対策での活用法を解説

クラウドサービスのアクセスログ

業務でAWSやMicrosoft 365、Google Workspace、Boxなどのクラウドサービスを利用する場合、それぞれのサービスが提供する管理画面やAPIからアクセスログを取得できます。オンプレミスのサーバーと違い、ログの保管や検索もクラウド側で完結する点が特徴です。

たとえばAmazon S3にはサーバーアクセスログとCloudTrailデータイベントの2系統があり、バケットへのアクセス履歴を細かく追跡できます。Microsoft 365の場合、SharePointやOneDrive、Exchange Onlineへのアクセスは「監査ログ検索」機能から確認可能です。

クラウドサービスは標準ではログ保管期間が短く設定されているケースもあり、要件に応じて保管期間の延長やSIEMへの転送を検討する必要があります。複数サービスを利用する企業ほど、ログの統合管理を見据えた運用設計が重要です。

なおIT資産管理ツール自体をクラウド型で導入するか、オンプレミス型にするかで悩んでいる場合は、以下の関連記事もあわせてご参照いただけます。

関連記事：IT資産管理ツールはクラウド化すべき？オンプレミス型との違いと選定基準を解説

アクセスログを分析する際のポイント

アクセスログを蓄積しただけでは、業務改善やセキュリティ強化につながりません。ここではアクセスログを分析するうえで意識したい3つのポイントを押さえましょう。

• 不正アクセスの兆候を見つける
• 異常なアクセスパターンを捉える
• 複数ログの相関分析で障害・攻撃の原因を特定する

不正アクセスの兆候を見つける

不正アクセスの兆候は、アクセスログに残された数値や時系列パターンから読み取ります。代表的なのは以下の動きです。

• 認証失敗が異常に多くないか
• 業務時間外にアクセスが集中していないか
• 見慣れないIPアドレスや海外IPからの通信がないか
• 短時間に同一IPから多数のURLへアクセスがないか

たとえば「深夜帯に同一IPから1分間で100回以上のログイン試行」「これまで利用実績のない地域のIPから機密ファイルへのアクセス」といった記録が確認できた場合、攻撃やアカウント乗っ取りを疑う初期サインになります。あらかじめ閾値とアラート条件を整備しておけば、人手による全件確認に頼らずとも兆候の絞り込みが可能でしょう。

異常なアクセスパターンを捉える

異常なアクセスパターンとは、平常時の通信傾向から外れる動きを指します。たとえば以下のような変化です。

• 普段は1日数件しかアクセスがないファイルに突然数百件の参照が記録される
• 深夜・休日に大量のダウンロードが発生する
• 特定ユーザーのアクセス頻度が前月比で急増する

異常を捉えるには、平常時の状態を把握しておく作業が必要となります。具体的にはアクセス件数、時間帯別の分布、ユーザー別の利用傾向などをベースラインとして数値化する対応が求められます。

ベースラインから一定範囲を超えた変動を検知する仕組みを整えれば、内部不正やマルウェア感染の早期発見につながります。

複数ログの相関分析で障害・攻撃の原因を特定する

単一のログだけでは、事象の全体像が見えないケースがあります。障害・攻撃の原因究明のためには、複数のログを突き合わせる作業が欠かせません。たとえば以下のような視点で確認していきます。

• Webサーバーのアクセスログでエラーが急増した時刻がないか
• 同時刻にデータベースサーバーのログで異常な挙動が起きていないか
• ネットワーク機器のログに通信遮断の痕跡が残っていないか

複数ログの相関分析を手作業で行うのは現実的でないケースが多く、SIEM（Security Information and Event Management）やログ管理ツールを使って横串の検索や時系列の可視化を行う運用が一般的です。アクセス元IPやユーザー名をキーに各ログを連結することで、攻撃や障害の経路を短時間で再現できます。

アクセスログの保存期間の目安

アクセスログには法律で一律に定められた保存期間はありません。ただし関連法令や業界ガイドラインを参照すると、おおよその目安が見えてきます。

ここでは労働基準法と政府機関のガイドラインから、企業が押さえるべき保存期間を整理します。

労働基準法に基づく保存期間

アクセスログを勤怠管理や労働時間把握の根拠として活用する場合、労働基準法第109条が定める保存期間が判断基準です。

同条は「使用者は、労働者名簿、賃金台帳及び雇入れ、解雇、災害補償、賃金その他労働関係に関する重要な書類を五年間保存しなければならない」と規定し、当面の経過措置として3年間の保存も認められています。

参考：労働基準法 | e-Gov 法令検索

ログオン・ログオフ時刻やPC操作の客観的記録を労働時間の証跡として用いる場合、最低でも3年、可能なら5年の保管を目安にする運用が現実的です。タイムカードや勤怠管理システムの記録と整合させるためにも、保存期間を統一しておくと監査対応がスムーズに進みます。

IPAのガイドラインが示す保存期間の目安

IPA（独立行政法人情報処理推進機構）が公開する「組織における内部不正防止ガイドライン」第5版（2022年）は、重要情報へのアクセス履歴や操作履歴を「定めた期間に安全に保存することが望ましい」と示しています。具体的な年数は明示されておらず、各組織が目的に応じて設計する形が原則です。

参考：組織における内部不正防止ガイドライン | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構

実務上は不正アクセス禁止法の公訴時効（3年）、内部統制（J-SOX）の証憑管理（5年）といった他の法令を踏まえ、1年〜5年の範囲で設計する企業が多く見られます。情報漏えい事案の調査では数ヶ月前のログを遡る局面もあるため、短期間しか保管していないと事実関係の確認が難しくなるためです。

アクセスログを取得・管理する際の注意点

アクセスログは取得して保管するだけでは十分に機能しません。運用ルールや時刻同期、改ざん防止、個人情報としての取り扱いなど、押さえておくべき注意点が複数あります。

ここでは現場で見落とされやすい4つの観点を整理しました。

• 運用ルールと取得目的を明文化する
• 正確なシステム時刻の同期を維持する
• ログのバックアップ・改ざん防止対策を講じる
• 個人情報保護法に沿った取り扱いを徹底する

運用ルールと取得目的を明文化する

アクセスログを取得する前に、何のために取るのか、誰が閲覧するのか、どのような場合に活用するのかを社内ルールとして明文化しましょう。目的が曖昧なまま取得を始めると、利用範囲の判断に揺らぎが生じ、社員から「監視されているのではないか」という不信感を招くおそれもあります。

明文化すべき項目は以下の6点です。

• 取得対象
• 取得項目
• 保存期間
• 閲覧権限
• 利用シーン
• 廃棄プロセス

策定したルールは就業規則や個人情報保護規程と連動させ、社内へ周知したうえで運用を始めます。事後に「知らなかった」というトラブルを避けるためにも、規程改定時や入社時に必ず周知する運用にしておきましょう。

正確なシステム時刻の同期を維持する

アクセスログを分析する際、複数のサーバーや端末で時刻がずれていると、事象の前後関係を正確に追えなくなります。たとえばWebサーバーとデータベースサーバーで時刻が数分単位でずれていれば、同じインシデントの記録を突き合わせる作業に支障が出ます。

時刻ずれへの対策は、NTP（Network Time Protocol）サーバーを使って全機器の時刻を継続的に同期する仕組みを導入することです。あわせて、クラウド環境ではタイムゾーン設定の統一も欠かせません。日本国内で運用する場合はJST（日本標準時）に揃える設定にしておきましょう。

ログのバックアップ・改ざん防止対策を講じる

アクセスログは、攻撃者にとっても痕跡を消すために改ざんしたい対象です。ログを取得しているサーバー自体が侵害された場合、ログが書き換えられていたり削除されていたりすると、調査も対応も成立しません。

対策の基本は、ログを取得する機器とは別の場所への定期バックアップです。具体的には以下のような手段を組み合わせて運用する企業が増えています。

• 書き込み専用のストレージへ転送する
• ログ管理サーバーへ集約する
• 改ざん検知機能を持つツールで一元保管する

バックアップの取得頻度は1日1回以上を目安に設定しましょう。保管先を同一拠点にまとめると、災害や物理的侵害で一度に失う懸念があるため、地理的に分散させておくと安心です。

個人情報保護法に沿った取り扱いを徹底する

アクセスログにはIPアドレス、ユーザーID、操作対象ファイル名など、個人を識別できる情報が含まれる場合があります。これらは個人情報保護法上の「個人情報」または「個人関連情報」に該当する可能性があり、取得・利用・保管・廃棄の各段階で適切な取り扱いが求められるものです。

具体的に押さえるべき対応は以下の4点です。

• 取得目的を本人に通知または公表する
• 目的外の利用を行わない
• 保管期間を超えたデータは確実に廃棄する
• 第三者提供の際は同意を得る

参考：個人情報の保護に関する法律についてのガイドライン（通則編） ｜個人情報保護委員会

加えて、社内でログを閲覧できる担当者を限定し、閲覧・操作の履歴を別途記録する運用まで整えておきましょう。ログを扱う担当者側の不正利用も未然に防げます。

アクセスログに関するよくある質問

最後に、アクセスログの取得や管理にあたって、企業から寄せられる代表的な疑問を4つ取り上げます。

アクセスログでどこまで個人が特定できますか

IPアドレス、ユーザーID、端末名などを組み合わせれば個人を識別できる場合があります。社内ネットワークではDHCPサーバーやActive Directoryとの突合で特定の社員に、社外アクセスはISPへの開示請求などを経て個人にたどり着くケースもあります。個人特定の可能性がある以上、ログ自体を個人情報として扱う前提で運用しましょう。

アクセスログとイベントログの違いは何ですか

アクセスログは外部からのアクセスや操作を、イベントログはシステム内部の挙動全般（起動、エラー、サービス開始など）を記録する点で範囲が異なります。ただしイベントログにもログオン履歴などアクセス関連の記録が含まれるため、実務では両者を併用して分析する場面が一般的です。

アクセスログの取得は従業員への通知義務がありますか

個人情報保護法上、個人情報を取得する際は利用目的を本人へ通知または公表する義務があるため、実質的に周知が必要です。就業規則や情報セキュリティ規程に「業務利用端末の操作ログを取得・保管する」「目的はセキュリティ対策および労務管理である」などを明記し、入社時や規程改定時に周知する運用が一般的です。

不正アクセスを発見した場合のログ確認はどう進めますか

不正アクセスを発見した場合の対応手順は以下のとおりです。

• 該当時刻と対象システムを特定し、関連するアクセスログを抽出する
• 攻撃元IP、アクセスされたURL、認証結果、影響を受けたファイルを時系列で整理する
• ログの改ざん防止対策（書き込み禁止化、別環境への複製）を講じて証跡を保全する
• 被害状況に応じて情報処理推進機構（IPA）や警察庁のサイバー犯罪対策窓口へ相談する

まとめ

アクセスログは、不正アクセス検知・監査対応・障害原因の特定・業務利用状況の可視化など、企業の運用を支える基礎データです。取得しただけでは機能せず、運用ルールの整備まで含めて初めて、分析や監査に活かせる体制になります。

一方で、Webサーバー・ファイルサーバー・PC・クラウドと対象が広がるほど、複数のログを突き合わせて分析する負荷は増していきます。手作業では現実的でない場面も多く、ログの一元管理と分析を支援するツールを導入することが現実的な選択肢となるでしょう。

社内のPC・サーバーのログを一元的に把握したい、運用負荷を抑えながらセキュリティ統制を強化したいとお悩みの場合、NTTスマートコネクトが提供するクラウドツール「wakucone plus」がおすすめです。

wakucone plusの強みは以下の3点です。

• 専用のクライアントツールをインストールするだけで、PC・業務端末の操作ログを継続的に自動収集
• AI分析により、USBメモリ・オンラインストレージ経由の情報持ち出し兆候や業務負荷の偏り、シャドーIT・AI利用の兆候を自動抽出
• 月次・日次のレポート自動配信で、ログ確認と分析にかかる運用工数を大幅に削減

詳細や運用イメージは、資料請求やデモでご確認ください。