アクセスログの仕組み
Webサーバーは、ページや画像が開かれるたびに、その記録を1行ずつファイルに書き残しています。これがアクセスログです。たとえるなら、建物の受付に置かれた「入館記録簿」のようなもので、いつ・誰が・どの部屋に入ったかを後からたどれます。
1行には、主に次のような情報が含まれます。
- 接続元のIPアドレス：アクセスしてきた相手の、インターネット上の住所にあたる番号
- 日時：アクセスを受けた日付と時刻
- リクエスト：開かれたURLと、閲覧（
GET）か送信（POST）かの区別 - ステータスコード：サーバーの応答の結果。
200は正常に応答した、404はページがなかった、などを表します - ユーザーエージェント：使われたブラウザやプログラムの種類
たとえば次のような形で記録されます。
203.0.113.5 - - [21/Oct/2026:03:12:45 +0900] "POST /wp-login.php HTTP/1.1" 200 ...
エラーの内容を記録する「エラーログ」とは別のファイルです。
WordPressサイトでの例
被害を受けたWordPressサイトのアクセスログには、攻撃の跡が残っていることがよくあります。
- ログインの試行：
wp-login.phpやxmlrpc.phpへのPOSTが、同じIPアドレスから短時間に大量に記録されている。ブルートフォース攻撃の跡です - 不審なファイルへのアクセス：
wp-content/uploads/の中の.phpファイルなど、本来は存在しないはずのファイルへのアクセスが繰り返されている。Webシェルが使われている可能性があります - 脆弱性の探索：特定のプラグインのファイルへのアクセスが、さまざまなIPアドレスから記録されている
アクセスログは、いつ・どこから侵入されたかを調べるための重要な手がかりです。
確認方法
- 契約しているサーバーの管理画面で、アクセスログを確認・ダウンロードできるか調べる。記録の設定を有効にする必要があるサーバーもあります
- ファイルの更新日時がおかしいファイルを見つけたら、その日時の前後のログを見る
- 見覚えのないファイル名や、同じIPアドレスからの大量のアクセスがないか確認する
アクセスログは、一定の期間が過ぎると自動で削除されるのが一般的です。保存期間はサーバーによって異なります。
対策
- 被害に気づいたら、まずアクセスログをダウンロードして保存する
- ログの記録が無効になっている場合は、有効にしておく
- ログイン画面への大量のアクセスが見られる場合は、二要素認証やログインの試行回数の制限、WAFを検討する
ログは量が多く、攻撃の跡を見分けるには慣れが必要です。調査が難しい場合は、ログを保存したうえで専門業者に相談してください。
