「最近、パソコンの動きが少しおかしい…」「誰かに触られた気がする…」そんな不安を感じたことはありませんか？
実は、WindowsにはあなたのPCで「いつ」「誰が」「どこから」ログインしたのかをすべて記録している仕組みが備わっています。
それが「イベントビューア」を使ったログイン履歴の確認です。
この記事では、イベントID「4624」「4625」を使ってログイン成功・失敗を見分け、不正アクセスの足跡を発見する方法を、初心者でも迷わず実践できるよう丁寧に解説します。
さらに、Windows Home版でも使える監査設定の裏技や、PowerShellでの自動化テクニックまで徹底紹介。
読み終わる頃には、あなた自身の手でPCの安全を守れるようになります。
今すぐ一緒に、あなたのパソコンの「過去」を可視化してみましょう。
Windowsのログイン履歴を確認する意味と必要性
まず最初に、なぜ「ログイン履歴」を定期的に確認することが重要なのかを理解しておきましょう。
セキュリティ対策を強化するための第一歩は、「現状を知ること」です。
不正アクセスの痕跡を見逃さないために
あなたのPCには、日々さまざまなアクセスが行われています。
その中には、あなた自身が操作した正規のログインだけでなく、外部からの不審なアクセスの試みも混じっている可能性があります。
特に、深夜や外出中など「自分が操作していない時間帯」にログイン履歴があった場合は、明らかに異常なサインです。
こうした不正アクセスの兆候を早期に発見する唯一の手段が、Windowsのログイン履歴確認なのです。
ログをチェックすれば、どの時間帯に・どのアカウントで・どの方法でログインされたのかを把握できます。
これはまさに、デジタル世界の「防犯カメラ」と言えるでしょう。
| チェックする項目 | 確認できる情報 |
|---|---|
| イベントID | ログインの成否（成功/失敗） |
| ログオンタイプ | アクセス経路（直接・ネットワーク・リモートなど） |
| アカウント名 | 使用されたユーザー名 |
「自分の知らない誰か」がPCを操作していないかを知ることが、最強の防御です。
「セキュリティソフトだけ」では防げない理由
多くの人は「ウイルス対策ソフトを入れていれば安心」と考えがちですが、それは大きな誤解です。
セキュリティソフトは「不正なプログラムの動き」を検知するものですが、正規のアカウント情報を使った侵入までは防げません。
つまり、あなたのIDとパスワードを知っている人物がログインした場合、セキュリティソフトは「正しい操作」として見逃してしまうのです。
だからこそ、人の目でログを確認することが不可欠です。
ログを見れば、「いつ」「誰が」「どこから」アクセスしたのかを把握でき、異常があれば即座に対処できます。
| 対策の比較 | 検知できる範囲 |
|---|---|
| ウイルス対策ソフト | マルウェアやウイルスの実行を検知 |
| ログイン履歴チェック | 人間・攻撃者による操作を検知 |
テクノロジーだけに頼らず、「目視による確認」を習慣にすることが本当の安全につながります。
ログを取る準備：監査ポリシーの設定方法
ログイン履歴を確認する前に、まず確認しておくべき大切な設定があります。
それが「監査ポリシー」です。
この設定が無効になっていると、そもそもログイン成功・失敗の履歴が記録されません。
つまり、防犯カメラの電源が入っていないのと同じ状態です。
Windows Pro / Enterprise版の設定手順
「Windows 10/11 Pro」または「Enterprise」を使用している方は、GUIから簡単に監査設定ができます。
以下の手順で進めましょう。
| ステップ | 操作内容 |
|---|---|
| ① | 「Windowsキー + R」を押し、「secpol.msc」と入力して「OK」をクリックします。 |
| ② | 「ローカルセキュリティポリシー」が開いたら、「セキュリティの設定 ＞ ローカルポリシー ＞ 監査ポリシー」を順に開きます。 |
| ③ | 「ログオン イベントの監査」をダブルクリックし、「成功」と「失敗」にチェックを入れて「OK」を押します。 |
この設定を有効にすると、Windowsがログインに関する全てのイベントを自動記録するようになります。
設定を有効化した瞬間から、あなたのPCは「すべてを記録する門番」になります。
Windows Home版でもできる！監査ログ有効化コマンド
Home版では「secpol.msc」が使えませんが、コマンドで同様の設定が可能です。
以下の手順で進めてください。
| ステップ | 操作内容 |
|---|---|
| ① | スタートボタンを右クリックし、「ターミナル（管理者）」を開きます。 |
| ② | 以下のコマンドを入力してEnterを押します。auditpol /set /subcategory:"Logon" /success:enable /failure:enable |
| ③ | 「コマンドは正常に実行されました」と表示されたら完了です。 |
設定が反映されたか確認するには、次のコマンドを使います。
auditpol /get /category:"Logon/Logoff"
「成功および失敗」と表示されていればOKです。
これでHome版の方も安心してログを取れるようになります。
おすすめの監査ポリシー設定一覧
以下は、セキュリティ専門家が推奨する監査ポリシー設定です。
すべてを設定しておくと、万一の時の追跡精度が格段に上がります。
| ポリシー名 | 推奨設定 | 目的 |
|---|---|---|
| ログオン イベントの監査 | 成功・失敗 | ログイン履歴の記録（最重要） |
| アカウント管理の監査 | 成功・失敗 | ユーザー作成・削除を検知 |
| アカウント ログオン イベントの監査 | 成功・失敗 | ネットワーク経由の認証記録 |
この設定を済ませておけば、過去・未来の不正アクセスを確実に記録できます。
イベントビューアでログイン履歴を確認する手順
監査ポリシーの設定が完了したら、次はいよいよ実際のログイン履歴を確認してみましょう。
Windowsには「イベントビューア」という標準ツールがあり、すべてのログ（履歴）が時系列で記録されています。
ここでは初心者でも迷わず操作できるよう、手順を一つずつ丁寧に解説します。
イベントビューアの開き方と基本画面の見方
イベントビューアは、Windowsのあらゆる動作を記録している「飛行記録装置」のような存在です。
まずはツールを開いてみましょう。
| ステップ | 操作内容 |
|---|---|
| ① | 画面左下のスタートボタンを右クリックし、「イベントビューア」を選択します。 |
| ② | または検索ボックスに「イベントビューア」と入力して開くこともできます。 |
| ③ | 左側のメニューに「Windowsログ」という項目が表示されます。 |
イベントビューアを開くと、情報が膨大に表示されて少し圧倒されるかもしれません。
ですが、見るべきポイントはたった一つ、「セキュリティ」ログだけです。
焦らず、この「セキュリティ」だけを確認すれば大丈夫です。
イベントID「4624」「4625」でログを絞り込む
セキュリティログには、数万件もの記録が並んでいます。
その中から「ログイン履歴」だけを見たい場合、イベントIDを使ってフィルタリングするのがコツです。
| ステップ | 操作内容 |
|---|---|
| ① | 左メニューで「Windowsログ ＞ セキュリティ」をクリックします。 |
| ② | 右側の「操作」パネルにある「現在のログをフィルター」をクリックします。 |
| ③ | 表示されたウィンドウの「すべてのイベントID」欄に「4624,4625」と入力して「OK」を押します。 |
これで、ログイン成功（4624）と失敗（4625）だけが表示されます。
つまり、あなたのPCの「入退室記録」が一覧で確認できる状態です。
見覚えのない時間帯やユーザーがないか、ここでしっかり確認しましょう。
重要な情報を読み解くポイント
各ログの詳細をダブルクリックすると、さまざまな項目が表示されます。
すべてを理解する必要はありませんが、以下の3つは必ず確認しましょう。
| 項目名 | 意味 |
|---|---|
| アカウント名 | どのユーザーがログインを試みたか |
| ログオンタイプ | アクセスの種類（直接操作・リモートなど） |
| 発生時刻 | ログインが発生した日時 |
特に「ログオンタイプ」は、犯人がどこからアクセスしたかを知る手がかりになります。
「4624」「4625」と「ログオンタイプ」をセットで見ることが、真のセキュリティチェックです。
イベントIDの意味と危険サインの見分け方
イベントビューアで「4624」や「4625」といった数字が並んでいるのを見て、「これって一体何の意味があるの？」と思った方も多いはずです。
これらは「イベントID」と呼ばれ、Windowsが発生した出来事を分類するための識別番号です。
ここでは、ログイン履歴の調査で必ずチェックすべき代表的なIDを整理し、どんな時に危険信号なのかを分かりやすく解説します。
ログオン成功「4624」と失敗「4625」の違い
まずは基本となる2つのID、「4624」と「4625」です。
この2つを理解することで、不正アクセスのほとんどを見抜けるようになります。
| イベントID | 意味 | チェックポイント |
|---|---|---|
| 4624 | ログオン成功（誰かがログインに成功した） | 自分が操作していない時間帯に記録がないか確認 |
| 4625 | ログオン失敗（パスワード入力ミスなど） | 短時間に多数発生していないか注意 |
4624が深夜や留守中に発生していたり、4625が数十回連続して記録されている場合は、誰かが外部から侵入を試みている可能性があります。
特に「4625」の連続記録はブルートフォース攻撃（総当たり攻撃）の兆候です。
1日1回でも確認しておけば、危険の芽を早期に摘み取れます。
「4720」や「4672」など要注意IDの読み方
「4624」「4625」以外にも、重大なセキュリティリスクを示すイベントIDがあります。
特に以下の2つは要警戒です。
| イベントID | 意味 | 危険度 |
|---|---|---|
| 4720 | 新しいユーザーアカウントが作成された | ★★★★★ |
| 4672 | 管理者権限でログインが行われた | ★★★★☆ |
もしあなたが新しいアカウントを作成していないのに「4720」が出ていたら、それは侵入者が再ログインのために自分用のバックドアを作った可能性があります。
また「4672」は、システム設定の変更やデータ持ち出しに使われることもあるため、頻繁に出ていないか注意が必要です。
この2つのIDを見つけたら、次章の「ログオンタイプ」で侵入経路を確認する流れに進みましょう。
不審なログが示す可能性のある攻撃パターン
イベントIDの組み合わせから、攻撃の種類を推測することも可能です。
セキュリティの専門家は、以下のようにログを読み解きます。
| ログの傾向 | 考えられる攻撃タイプ |
|---|---|
| 4625が短時間に数百件 | ブルートフォース攻撃（総当たりによるパスワード突破） |
| 4624成功後すぐに4720 | アカウント乗っ取り → 新規ユーザー作成による持続侵入 |
| 4672 → 4624 → ファイル操作の痕跡 | 管理者権限を悪用した情報流出・改ざん |
このように、単体のログを見るだけでなく、「連続した流れ」で判断するのがプロの読み方です。
ログの順序を見ると、攻撃のストーリーが浮かび上がってきます。
ログオンタイプで侵入経路を特定する方法
イベントビューアで「4624（ログオン成功）」のログを開くと、詳細欄の下部に「ログオンタイプ」という数字が記載されています。
実はこの数字こそ、攻撃者がどこから侵入したのかを示す重要な手がかりです。
この章では、ログオンタイプごとの意味と危険度、そして見つけたときの対処法を整理します。
タイプ2・3・10の違いと意味
ログオンタイプは、アクセス方法によって分類されています。
セキュリティ分析では特に「2」「3」「10」の3種類を覚えておけば十分です。
| ログオンタイプ | 意味 | 想定されるアクセス元 |
|---|---|---|
| 2（対話型） | キーボードとモニターを直接操作してログイン | 本人またはPCの前にいる人物 |
| 3（ネットワーク） | ネットワーク経由で共有フォルダなどにアクセス | 同一LAN内の別デバイスやNASなど |
| 10（リモート） | リモートデスクトップ経由で遠隔操作ログイン | 外部ネットワーク（インターネット経由） |
タイプ10が存在する＝外部からリモート操作された可能性あり。
これが確認された場合、即座にネットワークを遮断してください。
タイプ10（リモートアクセス）の危険性
タイプ10のログオンは、遠隔操作によるアクセスを意味します。
正規の利用（リモートワークなど）であれば問題ありませんが、身に覚えがない場合は極めて危険です。
攻撃者が外部からあなたのPCを完全に操作している可能性があります。
| 確認するポイント | チェック内容 |
|---|---|
| 発生時刻 | 自分がPCを使用していない時間帯かどうか |
| アカウント名 | 知らないユーザー名やGuestが使われていないか |
| ソースネットワークアドレス | 見慣れないIPアドレス（外部）ではないか |
もし「ソースネットワークアドレス」に海外IPや不明な値が記録されていたら、すぐにLANケーブルを抜いてください。
その後は、次章で紹介する「緊急対応手順」を実行します。
タイプ別チェックリストと対策表
以下の表に、ログオンタイプ別の見分け方と推奨アクションをまとめました。
| ログオンタイプ | 状況 | 推奨アクション |
|---|---|---|
| 2（対話型） | 物理的にPCの前で操作 | 本人操作であれば問題なし |
| 3（ネットワーク） | LAN内アクセス | 他のデバイスの感染を疑い、ネットワーク検査を実施 |
| 10（リモート） | 外部からの遠隔アクセス | 即時切断・パスワード変更・ウイルススキャンを実施 |
タイプ10は「侵入者の足跡」です。発見したら一刻も早く行動を。
PowerShellでログを効率的に確認・分析する方法
イベントビューアは非常に便利ですが、数万件のログが蓄積されると動作が重くなることがあります。
そんなときに活躍するのが「PowerShell」です。
少しとっつきにくい印象を持たれがちですが、実はコマンドをコピーして貼り付けるだけで、驚くほど簡単にログの抽出や分析ができます。
最近の失敗ログを一瞬で抽出するコマンド
「誰かがログインを試みた形跡があるか確認したい」というときは、失敗ログ（ID：4625）をすぐに抽出しましょう。
| 目的 | 使用コマンド |
|---|---|
| 直近20件のログイン失敗を表示 | Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625} -MaxEvents 20 | Select-Object TimeCreated, Message |
このコマンドを実行すると、時刻とメッセージだけがスッキリと表示され、どんなタイミングでログインに失敗したかが一目でわかります。
日々のセキュリティチェックを「数秒」で終わらせる裏技です。
1週間分の成功ログをExcelに出力する方法
「もう少し詳しく分析したい」「過去の記録を残しておきたい」場合は、ログをCSVファイルとして保存しましょう。
次のコマンドを実行すると、直近7日間の成功ログ（ID：4624）がCSV形式で出力されます。
| 目的 | 使用コマンド |
|---|---|
| 過去7日分の成功ログをCSVに出力 | Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624} | Where-Object {$_.TimeCreated -ge (Get-Date).AddDays(-7)} | Export-Csv -Path "C:\LogonHistory.csv" -Encoding Default |
出力された「C:\LogonHistory.csv」をExcelで開くと、すべてのログが時系列で閲覧できます。
オートフィルターを使えば「深夜だけ表示」や「特定ユーザーのみ表示」といった分析も可能です。
週1回の自動エクスポート設定を行えば、監視が半自動化できます。
特定ユーザーのログオン履歴を調べる方法
特定のアカウント（たとえばGuest）が使われた痕跡を調べたい場合には、以下のコマンドが便利です。
| 目的 | 使用コマンド |
|---|---|
| Guestアカウントのログイン記録を抽出 | Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624} | Where-Object {$_.Message -like "*Guest*"} |
結果にGuestアカウントの記録が出てきた場合、そのアカウントをすぐに無効化してください。
以下のコマンドで簡単に無効化できます。
net user Guest /active:no
PowerShellを使えば、手動確認では見落としがちな不審ログを即座に検出できます。
イベントビューア以外のおすすめ監査ツール
ここまで「イベントビューア」を使ったログ確認方法を解説してきましたが、Windows標準機能にも限界があります。
特に、長期間のログ保存や自動通知などの機能を求める場合は、外部ツールを導入するとさらに安心です。
この章では、無料から企業向けまで、代表的な監査ツールを紹介します。
無料で使える統合ログ管理ツール（SIEM）
SIEM（Security Information and Event Management）は、複数のログを統合的に監視・分析するシステムです。
Windowsのイベントログだけでなく、ネットワーク機器やアプリケーションのログもまとめて管理できます。
| ツール名 | 特徴 |
|---|---|
| EventLog Analyzer（ManageEngine） | 日本語対応で操作が簡単。異常なログインを検知するとメール通知してくれる。 |
| Wazuh | オープンソースSIEM。クラウド対応で無料利用可能。 |
| Graylog | 視覚的にログを分析できるダッシュボード機能が魅力。 |
「通知」と「長期保存」を両立したいなら、SIEM導入が効果的です。
無料で試せるものも多いので、個人でも導入しやすいのが嬉しいポイントですね。
企業向けの高度なセキュリティ監査ツール
企業や組織で本格的にPC管理を行う場合は、より高機能なセキュリティ管理製品が必要です。
こうしたツールは、複数台のPCをまとめて監視し、異常な行動をリアルタイムで検知できます。
| 製品名 | 主な機能 |
|---|---|
| Splunk Enterprise Security | 膨大なログを解析して攻撃パターンを自動検出。可視化機能が非常に強力。 |
| USM Anywhere（AT&T） | SIEM＋脆弱性診断＋侵入検知を統合したオールインワン製品。 |
| LogRhythm | AIによる自動脅威検出と行動分析に対応。SOC（監視センター）構築にも最適。 |
これらは導入コストが高めですが、数百台規模のPCを運用している企業では非常に有効です。
一方、個人利用ではコスト面で現実的ではないため、イベントビューア＋PowerShell運用でも十分対応可能です。
重要なのは「仕組みよりも習慣」。どんなツールを使っても、定期的にログを確認する意識が最大の防御です。
不正アクセスを発見したときの緊急対応手順
もしログを確認して「身に覚えのないログオンタイプ10」や「深夜のログイン成功」を見つけてしまったら、焦るのも無理はありません。
しかし、慌てて電源を切ると証拠が失われることもあります。
この章では、セキュリティの専門家が現場で実践している「緊急対応の3フェーズ」を紹介します。
フェーズ1：ネットワーク遮断と初期対応（止血）
まず最初にやるべきは、攻撃者を「外から締め出す」ことです。
感染や遠隔操作の被害を最小限に食い止めるため、ネットワーク接続を完全に断ちます。
| 手順 | 目的 |
|---|---|
| LANケーブルを抜く / Wi-Fiをオフにする | 外部からのアクセスを遮断 |
| スマホのテザリング接続も停止 | 攻撃者の通信経路をすべて遮断 |
| リモートデスクトップを無効化 | 遠隔ログインを防止 |
電源を落とさず、まずは「通信遮断」から行うのが鉄則です。
フェーズ2：アカウント管理とマルウェア駆除（治療）
外部との通信を断ったら、次は内部の防御を固めます。
不正ユーザーの削除、パスワードの変更、ウイルススキャンを確実に実施しましょう。
| 手順 | 実施内容 |
|---|---|
| ① 不審なユーザーの削除 | 「設定 ＞ アカウント ＞ 他のユーザー」を確認し、見知らぬアカウントを削除。 |
| ② 全パスワードの変更 | Microsoftアカウント、Google、SNS、銀行などを含む全サービスを更新。 |
| ③ ウイルススキャン | Windows Defenderまたは信頼できるセキュリティソフトでフルスキャンを実行。 |
特に、イベントID「4720（新規ユーザー作成）」がある場合は要注意です。
攻撃者が再侵入用のバックドアを作っている可能性があります。
削除後は、再起動してスキャンを繰り返しましょう。
フェーズ3：再発防止と継続監視（予後観察）
最後に、今後同じ被害を繰り返さないための対策を行います。
一度侵入された経験があるPCは、再び狙われる傾向があるため、監視体制を整えることが重要です。
| 対策 | 内容 |
|---|---|
| 二段階認証の導入 | Microsoftアカウントや主要サービスに2FAを設定する。 |
| 定期的なログ確認 | イベントビューアやPowerShellで毎週チェック。 |
| Windows更新の適用 | セキュリティパッチを常に最新に保つ。 |
「一度見つけた」経験を、次の防御力に変えることが最大の成果です。
焦らずにフェーズごとに対応すれば、データを守りながら被害を最小限に抑えられます。
よくある質問（Q&A）と専門家の回答
ここでは、実際にログ確認を行った読者から寄せられる質問の中で、特に多いものをピックアップしてお答えします。
初心者の方でもつまずきやすいポイントを中心に、現場目線で分かりやすく解説します。
ログに「4625（失敗）」が数件あります。攻撃されていますか？
イベントID「4625」は、ログイン失敗を意味します。
ただし、1日に数件程度であれば、あなた自身の入力ミスやネットワークドライブ接続エラーなどの可能性が高いです。
しかし、短時間に何十件、何百件も発生している場合は、総当たり攻撃（ブルートフォース）を受けているサインです。
そうした場合はすぐにパスワードを変更し、二段階認証を有効にしましょう。
「回数」と「間隔」を見るのが攻撃判定のポイントです。
イベントビューアが英語ばかりで読みにくいです。どうすればいい？
確かに、イベントビューアのメッセージは英語が多く、慣れないと理解が難しいですよね。
でも大丈夫です。見るべきポイントは3つだけです。
| 確認項目 | 注目ポイント |
|---|---|
| Event ID | 4624（成功）／4625（失敗）／4720（ユーザー作成）など |
| Logon Type | アクセス経路（2=直接、3=ネットワーク、10=リモート） |
| Account Name | 誰がログインしたか（知らないユーザー名に注意） |
この3項目さえ分かれば、英語部分をすべて読む必要はありません。
余裕があれば、PowerShellで出力する方法を使うと日本語で整理しやすくなります。
ログの保存期間を延ばすことはできますか？
はい、可能です。Windowsは既定で約20MB分のログしか保持しませんが、設定を変更すれば期間を延ばせます。
| 手順 | 操作内容 |
|---|---|
| ① | イベントビューアで「Windowsログ ＞ セキュリティ」を右クリック |
| ② | 「プロパティ」を選択し、「最大ログサイズ」を任意のサイズ（例：20000→100000KB）に変更 |
| ③ | 「古いイベントを上書きしない」に設定すると削除されにくくなります |
ログを長期間残しておけば、数か月前の不審な動きまでさかのぼって調査できます。
容量を増やす＝証拠を残す力を強化する、ということです。
まとめ：ログを確認する習慣が最強の防御になる
ここまでお読みいただき、本当にお疲れさまでした。
ログの世界は数字や用語が多くて難しそうに見えますが、ポイントさえ押さえれば誰でも簡単に扱えます。
最後に、今回学んだ内容を整理しながら「安全を守るための最重要チェックリスト」を確認しましょう。
| 項目 | 内容 |
|---|---|
| 監査ポリシー設定 | ログが記録されているか確認（成功・失敗ともに有効化） |
| イベントID 4624 / 4625 | ログオン成功・失敗の履歴を確認。短時間の連続失敗は攻撃サイン。 |
| ログオンタイプ 10 | リモートアクセスによる不正侵入を検知する最重要指標。 |
| PowerShellの活用 | 短時間で最新ログを抽出・分析できる強力ツール。 |
| 定期的な確認 | 週に1回はログをチェックし、「何もない」ことを確認。 |
不正アクセスの多くは、気づかれずに進行します。
でも、イベントビューアで「誰が」「いつ」「どこから」入ったかを見れば、攻撃者の足跡を確実に捉えることができます。
セキュリティの本質は“ツール”ではなく“気づく力”です。
あなたがログを見る習慣を持つだけで、攻撃者は確実に入りづらくなります。
この「確認の習慣」こそ、あなたのPCを守る最強の防御壁になるのです。
今日から、イベントビューアを「日常の健康診断」としてチェックしてみてください。
「何もなかった」という結果こそ、最高の安心です。
