連載【サイバー防御実務入門】第10回
今回のゴール
- ログ（記録）が、なぜサイバー防御に欠かせないのかを理解する
- 良いログの条件「いつ・どこで・誰が・何を・どうなった」を知る
- Windowsのイベントビューアーを開き、ログオンの記録を探せる
- 普段使っているサービスのログイン履歴を確認できる
はじめに：第3部「組織の実務編」のスタート
前回までの第2部では、自分のアカウントやパソコン、家庭のネットワークを守る方法を、実際に手を動かしながら学んできました。今回からは第3部「組織の実務編」です。企業や団体のセキュリティ担当者が、日々どんな仕事をしているのかをのぞいていきます。
とはいえ、いきなり大きな会社の仕組みを学んでもピンときません。そこで第3部でも、できるだけ自分のパソコンで確かめられることから始めていきます。
最初のテーマは「ログ」です。第0回で紹介したNISTのフレームワークでは、サイバー防御を「防御」だけでなく「検知（異常に気づく）」「対応」「復旧」まで含めて考えていました。この「気づく」ための材料が、ログなのです。
1. ログとは何か：システムの「日記」
ログとは、パソコンやサーバー、ネットワーク機器、ネットのサービスなどが自動で残している「出来事の記録」です。いつ電源が入ったか、誰がログオンしたか、どんなエラーが起きたか、どのソフトがインストールされたか――。システムは、私たちが気づかないうちに、たくさんの日記を書き続けています。
第2回で、情報セキュリティの3要素に加えて挙げられる特性として「責任追跡性」（誰が、いつ、何をしたかを後からたどれること）を紹介しました。ログはまさに、その手段です。
ログが役に立つ3つの場面
| 場面 | ログでわかること | NISTの機能で言うと |
|---|---|---|
| 異常に気づく | 深夜の不審なログオン、何度も続くパスワードの失敗 | 検知 |
| 何が起きたか調べる | いつ、どこから侵入され、何をされたのか | 対応 |
| 再発を防ぐ | どの弱点が使われたのか、どこで止められたのか | 復旧・改善 |
良いログの条件：5W1Hならぬ「4W1H」
役に立つログには、少なくとも次の要素が含まれています。
- いつ（When）：日時。時計がずれていると、ほかのログとの突き合わせができません。
- どこで（Where）：どの機器、どのIPアドレスから。
- 誰が（Who）：どのアカウントで。
- 何を（What）：ログオン、ファイルの削除、設定の変更など。
- どうなった（How）：成功したのか、失敗したのか。
第3回で見た警察庁の報告書のランサムウェア攻撃の流れを思い出してください。最後の段階は、「ログや使ったツールなどの痕跡を消して終了する」でした。攻撃者にとって、ログは自分の足取りを残す「防犯カメラの映像」です。だから消そうとします。逆に言えば、守る側はログを攻撃者の手が届かない別の場所にも残しておくことで、何が起きたかを後から確かめられるようになります。組織では、ログをパソコンの外の専用の仕組みに集めて保管するのが基本です（次回の第11回で取り上げます）。
2. Windowsのログ：イベントビューアー
Windowsには、パソコンの日記を読むための「イベントビューアー」という道具が標準で入っています。中身はたくさんの種類に分かれていますが、まずは次の3つを知っておけば十分です。
| ログの名前 | 主な中身 |
|---|---|
| セキュリティ | ログオンの成功・失敗、権限の使用など。セキュリティでは一番よく見るログ |
| システム | Windowsの起動・終了、ドライバーやサービスのエラーなど |
| アプリケーション | ソフトやアプリが記録したエラーや情報 |
知っておきたいイベントID
ログの1件1件には、出来事の種類ごとに「イベントID」という番号が付いています。全部を覚える必要はありません。セキュリティの入門としては、次のものから覚えておくと便利です。
| イベントID | ログの種類 | 意味 |
|---|---|---|
| 4624 | セキュリティ | ログオンに成功した |
| 4625 | セキュリティ | ログオンに失敗した |
| 4634 | セキュリティ | ログオフした |
| 4672 | セキュリティ | 管理者などの特別な権限でログオンした |
| 4740 | セキュリティ | アカウントがロックされた（失敗が続いたときなど） |
| 6005 / 6006 | システム | イベントログの記録が開始／停止した（起動・シャットダウンの目安） |
※記録されるかどうかは、Windowsの設定（監査ポリシー）によって異なります。家庭向けの初期設定では、ログオンの失敗（4625）が記録されない場合もあります。
「ログオンの種類」も手がかりになる
ログオン成功（4624）の記録には、「ログオンの種類」という番号も書かれています。どうやってログオンしたかがわかる、大事な手がかりです。
| 番号 | 意味 |
|---|---|
| 2 | パソコンの前に座ってログオンした（キーボードから） |
| 3 | ネットワーク経由（共有フォルダへのアクセスなど） |
| 5 | Windowsのサービスによるもの（普段からたくさん記録される） |
| 7 | 画面ロックを解除した |
| 10 | リモートデスクトップで、離れた場所からログオンした |
たとえば、リモートデスクトップを使っていないのに「10」のログオンが記録されていたら、要注意のサインです。第4回で、リモートデスクトップのポート（3389番）を紹介しましたが、外から狙われやすい窓口の一つでした。
3. やってみた：自分のパソコンのログオン記録を探す
では実際に、自分のパソコンで「最近いつログオンしたか」を探してみます。
- 今回の作業は「見るだけ」です。ログを消したり、設定を変えたりはしません。
- 「セキュリティ」のログを見るには、管理者の権限が必要です。確認画面（第6回で紹介したユーザーアカウント制御）が出たら、自分で操作していることを確かめてから「はい」を選びます。
- ログには、アカウント名やパソコン名、IPアドレスなどが含まれます。スクリーンショットをブログに載せる場合は、これらを隠してください。
- イベントビューアーを開く：キーボードの「Windows」キー＋「R」で「ファイル名を指定して実行」を開き、次のように入力してEnterキーを押します。（スタートボタンを右クリックしたメニューから開ける場合もあります。）
- セキュリティのログを開く：左側の「Windows ログ」を開き、「セキュリティ」をクリックします。真ん中に、たくさんの記録が並びます。数の多さに最初は驚くと思います。
- 絞り込む：右側の「現在のログをフィルター」をクリックし、「＜すべてのイベント ID＞」と書かれた欄に「4624」と入力してOKを押します。ログオン成功の記録だけが表示されます。
- 中身を読む：1件をダブルクリックすると、詳しい内容が表示されます。日時、アカウント名、そして「ログオンの種類」を確認してみましょう。
- 失敗の記録も探す：同じようにフィルターで「4625」を指定します。記録がなければ、ログオンの失敗がなかったか、記録しない設定になっているかのどちらかです。
詳しい内容には、たとえば次のような項目が並んでいます（実際の表示を簡略化した例です）。
イベント ID: 4624
日付: 2026/11/05 7:31:02
キーワード: 成功の監査
ログオン タイプ: 2
アカウント名: （自分のアカウント名）
- 種類「5」のログオン（サービスによるもの）は、普段から大量に記録されます。気にしなくて大丈夫です。
- 見るべきなのは、「自分がパソコンを使っていない時間」のログオンや、知らないアカウント名、使っていないはずの種類（10など）です。
- 一つおかしな記録があっても、すぐに「侵入された」と決めつけないでください。Windowsの更新や、自分が忘れている操作の場合もあります。気になるときは、同じ時刻のほかのログも合わせて見ます。
4. パソコンの外のログ：アカウントのログイン履歴
ログはパソコンの中だけにあるわけではありません。普段使っているネットのサービスも、ログインの記録を残しています。しかも多くは、利用者が自分で確認できるようになっています。
- Googleアカウント：「セキュリティ」の画面に、最近のセキュリティ関連の操作や、ログインしている端末の一覧があります。
- Microsoftアカウント：「セキュリティ」の画面から、サインインの記録（日時、場所、成功・失敗など）を確認できます。
- ネットバンキングや通販サイト：多くの場合、「ログイン履歴」や「利用履歴」の画面があります。
※画面の名前や場所は、サービスや時期によって変わります。
見覚えのない端末や、行ったことのない場所からのログインがあれば、それは第5回で学んだ「誰かがパスワードを知っている」サインです。すぐにパスワードを変更し、ほかの端末からログアウトさせ、多要素認証を確認しましょう。
ログを読む力の第一歩は、「いつもの状態」を知っておくことだと感じました。普段どんな端末から、どんな時間にログインしているかを知っていれば、「いつもと違う」に気づけます。組織のセキュリティ担当者も、まずは平常時の姿を把握したうえで、そこから外れたものを探しているそうです。
5. 組織ではログをどう扱っているのか
家庭のパソコン1台なら、ときどき自分で見れば十分です。でも、何百台ものパソコンやサーバーがある組織では、ログの扱い方そのものが重要な仕事になります。
- 集めて保管する：各機器のログを、専用の仕組みに集めます。攻撃者に消されないようにするためでもあります。
- 時刻をそろえる：すべての機器の時計を合わせておかないと、別々の機器のログを並べて「何が起きた順番か」を追えません。
- 保存期間を決める：侵入から発覚まで時間がかかることも多いため、ある程度の期間、ログを残しておく必要があります。
- 見張りを仕組みにする：人がすべてのログを読むのは不可能なので、怪しい記録を自動で見つける仕組みを使います。
最後の「見張りの仕組み」が、次回のテーマです。
用語メモ
- ログ
- パソコンや機器、サービスが自動で残す出来事の記録。
- 責任追跡性
- 誰が、いつ、何をしたかを後からたどれること。ログがその手段になる。
- イベントビューアー
- Windowsのログを表示する標準の道具。
- イベントID
- ログの1件ごとに付けられた、出来事の種類を表す番号。4624はログオン成功、4625はログオン失敗。
- ログオンの種類
- どの方法でログオンしたかを表す番号。2はパソコンの前から、10はリモートデスクトップ。
- 監査ポリシー
- Windowsが、どの出来事をセキュリティのログに記録するかを決める設定。
まとめと、今日からできること
- ログは「気づく」「調べる」「再発を防ぐ」ための材料で、サイバー防御の「目」になる。
- 良いログにはいつ・どこで・誰が・何を・どうなったが含まれ、時計が正しいことが前提。
- Windowsではイベントビューアーで、ログオン成功（4624）や失敗（4625）を探せる。
- 攻撃者はログを消そうとするので、組織では別の場所に集めて保管する。
- まずは「いつもの状態」を知ることが、異常に気づく第一歩。
- イベントビューアーを開いて、4624を1件読んでみる：今朝パソコンを起動したときの記録を探してみましょう。
- メールのアカウントのログイン履歴を確認する：見覚えのない端末がないかチェックしましょう。
- パソコンの時計が正しいか確認する：「設定」の日付と時刻で、自動で時刻を合わせる設定がオンになっているかを見てみましょう。
膨大なログを、組織はどうやって見張っているのか。セキュリティの監視センター「SOC」、ログを集めて分析する「SIEM」、パソコンの不審な動きを見張る「EDR」など、プロの「気づく」仕組みを、できるだけかみ砕いて紹介します。
参考資料
- Microsoft Learn「4624(S): アカウントが正常にログオンしました」ほか、セキュリティ監査イベントの解説
https://learn.microsoft.com/ja-jp/windows/security/threat-protection/auditing/event-4624 - NIST「The NIST Cybersecurity Framework (CSF) 2.0」
https://www.nist.gov/cyberframework - 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
※本記事は2026年11月時点の情報をもとに作成しています。
