TECHNICAL PRACTICE / LOGGING
認証ログの見方
Windows・Linuxの「成功」「失敗」を読む基本
認証ログは、ログインの成功・失敗を記録したものです。障害調査や、不審な利用の早期発見に役立ちます。
この記事で最初に知ること：成功・失敗を判別したら、時刻、アカウント、接続元の順に確認します。
重要：掲載するログ・画面・出力は、理解のために作成した説明用の例です。実測ログや実機画面ではありません。環境や設定により記録内容は異なります。
まず結論：成功・失敗はこの表示で分かる
細かい項目をすべて読む必要はありません。WindowsはイベントID、Linuxはログ行に含まれる単語を最初に見ます。
Windows：イベントビューアー
「Windows ログ → セキュリティ」を開き、一覧のイベントID列を確認します。
成功：イベントID 4624
失敗：イベントID 4625
まず4624と4625を探し、該当行の時刻とアカウントを見る、という順番です。
Linux：SSHサーバーのログ
journalctl、/var/log/auth.log、または/var/log/secureを確認します。
成功：Accepted password / Accepted publickey
失敗：Failed password / Invalid user
「Accepted」は受け入れられた、「Failed」は失敗です。まずこの単語を探せば十分です。
注意：4625やFailed passwordが1件あるだけでは、不正ログインとは断定できません。入力ミスや設定変更後にも記録されます。
確認する順番
1. いつ起きたか
問い合わせ・アラート・管理作業があった前後の時刻を絞ります。
2. 誰の記録か
利用者、管理者、サービスアカウントを区別します。
3. 成功か失敗か
失敗だけでなく、その直後に成功していないかも確認します。
4. どこからか
普段使う端末・拠点・VPN経路と一致するか、変更記録と照らし合わせます。
Windowsで見る認証の記録
Windowsでは、イベントビューアーの「Windows ログ → セキュリティ」で確認します。代表例として4624はログオン成功、4625はログオン失敗です。
イベントビューアーでの見方
- 「Windows ログ → セキュリティ」を開きます。
- 「現在のログをフィルター」で
4624,4625を指定します。 - 操作した時刻と対象アカウントを照合します。
PowerShellで直近の記録を確認する
Get-WinEvent -FilterHashtable @{
LogName = 'Security'
Id = 4624, 4625
StartTime = (Get-Date).AddHours(-24)
} | Select-Object TimeCreated, Id, ProviderName, Message出力では、TimeCreated（時刻）、Id（成功・失敗）、対象アカウント、Logon Type、接続元情報、失敗理由を確認します。
説明用の出力例
TimeCreated EventId UserName LogonType SourceIp Workstation ----------- ------- -------- --------- -------- ----------- 2026/09/05 10:01:00 4624 lab-user 2 - LAB-WIN 2026/09/05 10:02:11 4625 lab-user 2 127.0.0.1 LAB-WIN 2026/09/05 10:02:29 4624 lab-user 2 - LAB-WIN
- 4624：ログオンが成功した記録です。
- 4625：ログオンに失敗した記録です。
- LogonType=2：端末での対話型ログオンの例です。
Linuxで見る認証の記録
Linuxでは、Debian系では/var/log/auth.log、Red Hat系では/var/log/secureが使われることがあります。systemd環境ではjournalから確認できます。
SSHサーバー側で確認する
sudo journalctl -u ssh.service --since "today" --no-pager # Red Hat系などでサービス名がsshd.serviceの場合 sudo journalctl -u sshd.service --since "today" --no-pager
ログファイルを使う環境では、次のように成功・失敗に関係する行を絞り込めます。
sudo grep -E 'sshd.*(Accepted|Failed|Invalid user)' /var/log/auth.log
説明用の出力例
Sep 05 10:01:00 lab-server sshd[2090]: Accepted password for lab-user from 192.0.2.10 port 50090 ssh2 Sep 05 10:02:11 lab-server sshd[2101]: Failed password for lab-user from 192.0.2.10 port 50100 ssh2 Sep 05 10:02:29 lab-server sshd[2110]: Accepted password for lab-user from 192.0.2.10 port 50104 ssh2
- Accepted password：パスワード認証が成功した記録です。
- Failed password：パスワード認証に失敗した記録です。
- for lab-user：認証対象のアカウントです。
- from 192.0.2.10：サーバーから見た接続元です。
公開鍵認証では、成功行がAccepted publickeyになることがあります。
失敗ログをどう扱うか
件数だけで過剰反応せず、次の組み合わせを確認します。
- 短時間に同じアカウントで失敗が続いている
- 複数アカウントに同じ接続元から失敗している
- 失敗の直後に、普段と異なる接続元から成功している
- 未使用・用途不明のアカウントが使われている
該当した場合も、自己判断でログを削除したり設定を大きく変えたりせず、時刻・アカウント・接続元・周辺ログを記録して組織の手順に従います。
調査メモに残す項目
環境：OS・ビルド／監査・ログ設定 期間：開始・終了時刻とタイムゾーン 対象：アカウントと接続先 観測：成功・失敗、時刻、接続元 判断：確認できた事実／追加確認が必要な点 改善：保存期間・通知先・監視設定
公開時は、実在のユーザー名、組織名、端末名、IPアドレス、認証情報を必ず伏せます。
隔離環境で、検知・防御・改善につなげる
認証ログの見方を、安全に観察し、運用改善へつなげましょう。
技術検証ラボを見る