アクセスログの解析で不正の兆候を見る──制作会社の月次確認、見る項目6つ、保存期間の決め方、保守報告への組み込み方

この記事は、アクセスログの解析で不正アクセスの兆候に気づく方法と、ログの確認を保守の定例に組み込む手順を扱います。

ログは「あるはず」だったのに、残っていなかった

改ざんに気づいて、サーバーのログを確認しようとした。
ところが、保存期間が短く設定されていて、肝心の時期のログは消えていた。

いつ、どこから入られたのか、顧客に説明できない。
これは珍しい話ではありません。

警察庁・総務省・経済産業省の「不正アクセス行為の発生状況」（令和8年3月公表）に載っているIPAの届出の分析では、不正アクセスの原因を「原因不明」とする届出が依然として多いとされています。その理由として、攻撃者が痕跡を消すケースのほか、特定に必要なログが適切に取得できていなかったことなどが推測されています。

アクセスログの確認とは、サイトへのアクセスの記録から「いつもと違う動き」を見つけ、あとで原因を辿れるように残しておくことである

黒字化の外科医です。制作会社が月に一度、30分で回せるログの確認を解剖します。

ログの確認を保守に入れるべき理由は、三つあります。

第一に、公的な点検項目に入っているから。
IPAの「安全なウェブサイトの運用管理に向けての20ヶ条」は、ウェブアプリケーションのログと、ウェブサーバのログを保管し、定期的に確認しているかを、それぞれ一つの項目として挙げています。

第二に、残していないログは、あとから取れないから。
保存期間を過ぎたログは、消えます。調査会社に依頼しても、ないものは調べられません。

第三に、「見ている」ことが、保守の価値として見えるから。
何も起きていない月でも、「今月は不審なログインはありませんでした」と報告できます。何も起きないことを、仕事として示せるのです。

今すぐ試せる：アクセスログの要約を作るプロンプト

私はWeb制作会社の経営者です。顧客サイトのアクセスログの集計結果から、不正の兆候がないか確認してください。

【前提】
・対象の期間：〔　〕
・期間中のアクセス数の推移（日別）：〔　〕
・ステータスコード別の件数（200／301・302／401・403／404／500台）：〔　〕
・ログイン画面へのアクセス件数と、接続元の上位10件：〔　〕
・管理画面へのログイン成功の一覧（日時・ユーザー・接続元）：〔　〕

1. いつもと違う動き（急な増加、深夜の集中、普段ない接続元など）を挙げる。
2. それぞれ「様子見」「確認が必要」「すぐ対応」に分ける。
3. 顧客への月次報告に載せる文を、3行で書く。

個人を特定する情報は、出力に含めないこと。

ログそのものには、接続元のIPアドレスなどが含まれます。AIに渡すときは、集計した数字だけにしてください。

ログ確認工場：見る項目・保存期間・月次の手順

見る項目6つ

1. アクセス数の推移：急な増加や、深夜の集中がないか
2. ステータスコード：401・403（拒否）、404（存在しないページ）、500台（エラー）が急に増えていないか
3. ログイン画面へのアクセス：件数と、接続元の偏り
4. ログインの成功：見覚えのないユーザー、時間帯、接続元がないか
5. 存在しないはずのファイルへのアクセス：設置した覚えのないファイル名への成功（200）がないか
6. 管理画面の操作：ユーザーの追加、権限の変更、プラグインの追加がないか

最も大切なのは、4と5です。拒否された試み（失敗）は、守りが効いている証拠でもあります。見るべきは「通ってしまったもの」です。

IPAは、ウェブサーバのアクセスログから攻撃の痕跡を検出するツール（iLogScanner）を公開しています。使うかどうかは、自社の環境に合わせて判断してください。

保存期間の決め方

□ 調査に必要な期間：気づくまでに時間がかかることを見込んで、何か月さかのぼれれば足りるか
□ 契約・規約：顧客との契約や、顧客の社内規程で決められた期間はあるか
□ サーバーの容量と費用：保存先の容量、外部への退避の費用
□ 個人情報の扱い：IPアドレスなどを含むログを、誰が見られるか、いつ消すか
□ 置き場所：サーバーの中だけに置かず、別の場所にも写しを残すか

保存期間は、業界の決まった数字で決めるものではありません。上の5つを顧客と確認し、決めた期間を保守契約に書いてください。

サーバーの中だけにログを置くと、侵入者に消されることがあります。重要なサイトは、別の場所に写しを残す方法を検討します。

月次の30分の手順

① ログの取得と保存（5分）：今月分を、決めた保存先に退避する
② 集計（10分）：上の6項目を数字で出す
③ 確認（10分）：先月と比べて、いつもと違う動きに印を付ける
④ 記録（5分）：結果を月次報告の欄に書く（異常なしでも書く）

計算例：20サイトの月次確認

（例）時間単価：7,645円（K32の計算例の数字）
1サイト 20分 × 20サイト ＝ 400分（約6.7時間）

7,645円 × 400 ÷ 60 ≒ 50,967円／月
1サイトあたり：7,645円 × 20 ÷ 60 ≒ 2,548円／月

集計を自動にできれば、1サイトの時間は縮みます。それでも「確認する人の時間」は残ります。保守料の内訳に入れてください。

▶ 保守・運用の自動化、Web制作会社は「値上げ」の前に原価を下げられる──バックアップ・更新・監視・フォーム確認・レポートのどこを任せ、どこを人が見るかと、1サイトの原価の計算例

構造的なリスク

逆説を指摘しておきます。

ログを長く、細かく取るほど、確認しきれない量になります。
見ていないログは、事故のあとで「見ていなかった証拠」になりかねません。

だから、取るログの量を、確認できる量に合わせてください。毎月確実に見る6項目と、事故のときだけ掘り返す保存分を、分けて考えます。

よくあるQ&A

Q. レンタルサーバーで、ログの保存期間を変えられない。

サーバーの管理画面からログを定期的にダウンロードして、別の場所に保存します。月次の手順の①に組み込んでください。

Q. 怪しいアクセスを見つけたら、すぐ接続元を遮断すべきか？

成功したログインや不審なファイルがなければ、まず記録を残して様子を見ます。成功した不審なアクセスがあれば、遮断より先にログの写しを取り、初動の手順に移ります。

▶ WordPress 改ざんに気づいた日、制作会社が最初の24時間でやること──隔離・保全・連絡・復旧・再発防止を、慌てて消さない順番で

Q. ログの確認を、顧客に有料で説明できるか？

できます。「何も起きていないことを毎月確かめている」ことは、報告書にすると価値として伝わります。

最後に

アクセスログは、取っているだけでは役に立ちません。

見る項目と保存期間を決め、毎月30分の確認を報告に載せた会社だけが、事故の日に「いつ、どこから」を顧客に説明できるのです。

起きたときの調査と報告の型は、こちらにまとめました。

▶ 不正アクセス調査・報告キット──ログ保全の手順、調査会社への依頼書、時系列シート、顧客への報告書、再発防止策の型とAIプロンプト

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #アクセスログ #ログ解析 #不正アクセス #セキュリティ保守 #月次報告 #制作会社経営 #中小企業 #不正アクセス対策 #保守運用