会社のサーバーへの不正アクセスは、公開サイト、サーバーのログイン、クラウドのIDの3つのログを、普段の状態と比べて調べます。異常が見つかったら、自社だけで結論を出さず専門家に相談します。
今日やることは、3つのログがどこにあり、何日分残っているかを確かめることです。誰が見られるかも一緒に書きます。ログは古いものから消えていくので、調査を始める前にコピーの取り方も確かめます。
この記事は公的機関と各製品の公式資料を整理したものです。調査の手順を私たちが実際の事故で試したものではありません。守りの全体像はWebサイト・サーバー防御のカテゴリにあります。
なぜ今、ログを確かめる必要がある？
2026年秋に、国内で不正アクセスによる漏えいの公表が相次いだからです。JPCERT/CCの注意喚起（2026年10月23日更新）は、2026年9月前後に被害が相次いだとしています。一般の利用者向けアプリだけでなく、BIツールや従業員向け管理システムなど、社内向けのシステムでも漏えいが起きています。
これを受けて、IPAは2026年10月9日に注意喚起を出し、経営者に点検を求めました。挙げられた点検は、外部に公開しているアプリの確認、利用中の外部サービスの洗い出し、保有データの見直しです。国家サイバー統括室の文書も、ログの取得と保管、不審な通信の監視を求めています。
ログは事前に残しておかないと、後から調べられません。JPCERT/CCの分析資料は、専門家が調査に入っても、必要なログや十分な期間のログが無く、全容を解明できなかった例が少なくないと書いています。
ログはどこを見る？
3か所を順に見ます。保存場所は構成によって変わるので、下の表は出発点にしてください。
レンタルサーバーやVPN機器は、管理画面からログを取り出します。提供側と利用者側で見えるログが違うこともあるので、IPAの注意喚起にあるように、誰がいつどう確認できるかを整理します。
クラウドのログは意外と早く消えます
Entra IDのサインインログの既定の保持期間は、無償版で7日、P1とP2で30日です。AWS CloudTrailのイベント履歴で見られるのは過去90日分です。疑いが出たら、まずコピーを取るか、保存先を延ばす設定を確かめてください。
何を「異常」と見る？
普段との違いを探します。IPAの注意喚起は、エラーの量や平時との差に注目し、直近1か月、その後3か月と段階的に範囲を広げるよう示しています。
まず探す5つの点
- 作った覚えのないアカウント、無効にしたはずのアカウントの復活
- 普段使わない接続元や時間帯からのログイン成功
- ログインの失敗が大量に続いたあとの成功
- エラーの量や通信量の急な増減
- ログが途切れている、消えている期間
Windowsなら、まずイベントIDで絞ります。4624はログイン成功、4625はログイン失敗、4720はユーザーアカウントの作成です。
Webサーバーのアクセスログには、IPAのiLogScannerが使えます。攻撃と思われる痕跡を検出するツールで、一部は攻撃が成功した可能性も確かめられます。SSHやFTPサーバーのログにも対応しています。ただし、何も検出されなくても、侵入がなかったとは言い切れません。
JPCERT/CCの注意喚起には、確認された不審な接続元のIPアドレスも載っています。自社のログと照らす材料になりますが、同資料は、調査時点では正規に使われている可能性があるとも断っています。一致だけで侵入と決めず、前後の動きも見てください。
たとえば、取引先へ図面を渡すファイル共有サーバーの場合です。普段は平日の昼に、決まった取引先からログインがあるとします。そこへ深夜に別の接続元から保守用アカウントでログインし、大量のダウンロードが続いていれば、取引先と保守会社に確認する理由になります。使っている保守会社の接続元を前もって控えておくと、見分けが早くなります。
調べるときに何に気をつける？
記録を消さないことです。IPAのインシデント対応の手引きは、被害が広がるおそれがあれば、ネットワークの遮断、機器の隔離、サービスの停止を行うとしています。そのうえで、電源を切るなどの不用意な操作で記録を消さないよう注意しています。
調査の準備としては次の4つを守ります。
- ログは元の場所で編集せず、コピーを別の場所に置く
- 確認した日時、見た人、操作した内容を時系列で書き残す
- ログの時刻が日本時間かどうかを確かめる
- 再インストールや復元は、調査の方針が決まるまで行わない
疑いのあるサーバーのアカウントで調査すると、新しい記録が増えます。怖くなってファイルを消すのも避けてください。
どんな兆候なら専門家に頼む？
異常なログやアカウントを見つけた時点です。IPAの注意喚起は、その段階で速やかにインシデントと判定し、専門のセキュリティベンダーへ詳細調査を依頼するよう強く勧めています。社内で「たぶん大丈夫」と結論を出さないことです。
依頼を急ぐ目安は次のとおりです。個人情報や図面を置いたサーバーに異常がある場合、管理者権限を奪われた疑いがある場合、ログが消されている場合、外部から漏えいの指摘を受けた場合です。
調査の依頼先は、フォレンジック調査サービスの比較で探せます。法的な対応も見込むなら、デジタル・フォレンジック研究会の証拠保全ガイドライン第10版が保全の考え方を整理しています。
相談先は3つあります。
個人情報が関わるなら、報告の期限も確かめます。個人情報保護委員会の案内では、速報は発覚から3〜5日以内、確報は30日以内、不正の目的が疑われる場合は60日以内が目安です。対象になるかの判断は、同委員会の案内と弁護士などの助言で確かめてください。
次に備えて何を変える？
今回足りなかったログを洗い出します。IPAの注意喚起も、異常の有無にかかわらず、ログの取得内容と保持期間の見直しを求めています。
少なくとも、調べたい期間だけログが残る設定にし、サーバーとは別の場所へ送ります。サーバーの上にだけ置くと、侵入されたときに一緒に改ざんされるおそれがあるからです。複数のサーバーやクラウドのログをまとめて保管するなら、ログ管理ツールの製品比較が入口です。
サーバー自体の点検はサーバーのセキュリティ対策に、暗号化の設定はSSLとTLSの違いと古い設定の止め方にまとめました。サーバーの中の動きまで記録したいときはサーバーセキュリティの製品比較も確かめられます。
