Webサーバのアクセスログはどこまで残すべき？
ログの保存範囲と保存期間について

企業や組織が扱う電子データには、業務記録、会計データ、個人情報、そしてシステムやネットワークが出力するログなど、多岐にわたる情報が含まれます。
これらの保存範囲と保存期間は、業種や法令、ガイドラインによって異なります。

本ページでは、その中でもサイバー攻撃を受けた際に深刻な影響を及ぼす一方で、保存や活用の方針が明確になっていないケースがある「Webサーバのアクセスログ*1」に焦点を当てます。
*1 Apache・IIS・Nginx等の一般的なアクセスログ、訪問者のIPアドレス、訪問日時、リクエストしたページ（リクエスト行）、利用ブラウザ、リファラーなどの情報

Webサーバのアクセスログを活用したインシデントレスポンス、脅威の早期把握、監査対応、説明責任の担保といった観点から、どこまで記録し、どれくらいの期間保存するか、セキュリティとコスト、運用負荷の均衡点を見極める必要があります。
保存戦略を検討する際に押さえておくべき実務的な視点を整理し、判断の指針となる基本的な考え方を解説します。

ログの保存期間の指針となるセキュリティガイドライン（2025年9月現在）

JPCERT/CCの資料『高度サイバー攻撃への対処におけるログの活用と分析方法』と内閣サイバーセキュリティセンター『政府機関等の対策基準策定のためのガイドライン（令和７年度版）』では、サーバやネットワーク機器、業務システムなどが出力するあらゆるログを包括的に対象としており、Webサーバのアクセスログも例外ではありません。

Webサーバのアクセスログ保存範囲と期間はセキュリティとコストの分岐点

Webサーバのアクセスログは、サイバー攻撃の兆候や到達の有無を実証的に確かめるための一次資料です。

一方で現場では、

「どこまで保存すれば良いのか」
「保存期間はどう定めるのか？1年？3年？もっと？」
「保存コストとのバランスが難しい」

判断に迷う場面が少なくありません。

Webサーバのアクセスログ保存範囲についての考え方

Webサーバのアクセスログは大部分が正常なアクセスで構成されていますが、その中に攻撃の兆候や不審な挙動が隠れています。本来であれば、全ログを保存して未知の攻撃や過去の挙動を後から追跡できるのが理想です。しかし現実には、全ログを長期にわたり保存すると過大なコスト負担が生じます。こうした制約を踏まえ、短期的には全ログを保存し、長期的には特定のログに絞るといった組み合わせも考えられます。全ログ保存と特定ログ保存について整理します。

具体的なフィルタリングの考え方や保存効率化の手法については、Loggolサイト内の「SIEMのコスト削減と効率化」で詳しく解説していますので、併せてご参照ください。

Webサーバのアクセスログ保存と活用を考える際のポイント

これが正解という唯一の基準はなく、業種やシステム構成ごとに最適解は異なります。

【Loggolのご紹介】

Web攻撃ログ分析サービス Loggol（ロゴル）は、Webサーバのアクセスログから正常アクセスと攻撃・異常アクセスを効率的に分類。本当に保存・調査すべきログをフィルタリングすることで、証跡性を確保しつつ保存コストを最適化できます。

Web攻撃ログ分析ツール「Loggol」の主な特徴

• 高精度な検知

  国産クラウド型WAF「Scutum」と共通のデータサイエンス技術（ベイジアンネットワークやアノマリ検知など）を応用し、アクセスログから攻撃の兆候を高精度に抽出 参考：WAF Tech Blog 「ベイジアンネットワークを使ったウェブ侵入検知」　https://www.scutum.jp/information/waf_tech_blog/2014/02/waf-blog-034.html

• 導入の手軽さ

  対象サイトごとの事前学習や煩雑な設定は不要。アクセスログをブラウザからアップロードするだけで分析が可能

• 高速な解析

  数秒から数分で結果を確認できるスピード感※ログサイズによる

• 国内完結型サービス

  開発・運用・サポート・データ管理をすべて日本国内で実施

• 継続的なアップデート

  新たな脆弱性や攻撃手法の情報を随時収集・反映する運用体制

ツールの活用を前提としながら、経験豊富なセキュリティ専門家によるサポートプランもご用意しています。導入から運用、分析の高度化まで一貫して支援することで、企業規模や体制に合わせた最適なログ活用体制の構築をご支援します。