Windows PCでログイン履歴を確認したいものの、「どこを見ればいいのか分からない」「イベントログの見方が難しい」と感じていませんか？
Windowsでは、イベントログ（イベントビューアー）を使うことで、ログオン履歴やログイン失敗の記録を確認できますが、実際にはどの項目を見ればよいのか迷いやすいポイントも多くあります。特に、企業でPC管理やセキュリティ対策を担当している方にとって、ログイン履歴の確認は基本かつ重要な作業です。
本記事では、Windows PCのログイン履歴の確認方法をはじめ、イベントログの見方やイベントIDの意味、PowerShellでの確認方法、ログが残らない原因までをわかりやすく解説します。
Windowsログイン履歴は、「Windowsイベントログ」を使って確認しますが、初めて扱う方や基本から理解したい方は、先に全体像を把握しておくとスムーズです。
基本的な見方や操作方法については、次の記事で詳しく解説しています。
おすすめ
-
- 【関連資料のご紹介】
- ログの重要性とここだけは抑えたい5つの操作ログ
- 資料をダウンロード
１：Windowsログイン履歴とは
Windowsでは、ユーザーのログインやログオフ、認証の成否といった情報がログとして記録されています。これらの記録は一般的に「Windowsログイン履歴」と呼ばれ、PCの利用状況やアクセス履歴を把握するために活用されます。
ログイン履歴の概要
Windowsログイン履歴とは、ユーザーがPCにログインした記録や、ログインに失敗した記録などを指します。
たとえば、以下のような情報を確認することが可能です。
- いつログインしたのか
- どのユーザーがログインしたのか
- ログインが成功したのか失敗したのか
これらの情報は、セキュリティ対策やPCの運用管理において基本となる重要なデータです。
イベントログとの関係
Windowsでは、システムの動作状況やユーザーの操作履歴など、さまざまな情報が「イベントログ」として記録されています。イベントログとは、Windowsが自動的に記録するログの仕組みのことで、エラー情報や操作履歴、セキュリティに関する記録などが含まれます。
これらのイベントログは、「イベントビューアー」という管理ツールを使って確認することができます。イベントビューアーでは、「Windowsログ」という分類の中に、システム・セキュリティ・アプリケーションといったログが整理されています。
ログイン履歴は、この中の「セキュリティログ」に記録されており、ユーザーのログオンやログオフ、ログイン失敗などの情報を確認することができます。
イベントビューアー：
参考：Microsoft「イベントビューアー」
ログイン履歴は、［イベントビューア―（ローカル）］ー［Windows ログ］ー［セキュリティログ］に保存されており、ユーザーの認証やアクセスに関する情報を確認する際の基本的な参照先となります。
Windowsでは、ログイン履歴以外にもさまざまなログが記録されています。Windowsで記録されるログの種類については、次の記事で詳しく解説しています。
おすすめ
２：Windowsログイン履歴を確認する目的
Windowsログイン履歴は、セキュリティ対策だけでなく、日常的な運用管理やトラブル対応にも役立ちます。
不正ログインの確認
ログイン履歴を確認することで、不正アクセスの兆候を把握できます。
たとえば、利用していない時間帯にログイン履歴がある場合や、ログイン失敗（イベントID 4625）が繰り返されている場合は、不正ログインの可能性があります。
PC利用状況の把握
ログイン履歴から、PCがいつ使用されているかを把握することも可能です。
- PCの利用時間の確認
- 共用PCの利用状況の把握
- 退職者アカウントの利用確認
など、運用管理の観点でも有効です。
トラブル発生時の調査
システムトラブルが発生した際には、ログイン履歴を確認することで、問題発生のタイミングや利用ユーザーの特定に役立ちます。
３：Windowsログイン履歴の確認方法（手順）
Windowsでは、標準機能であるイベントビューアーを使用してログイン履歴を確認できます。ログファイル（.evtx形式）を選択して閲覧することができ、必要に応じてファイルとして保存やコピーも可能です。操作は比較的簡単で、初めての方でも手順に沿って確認できます。
ここではログイン履歴の確認手順を解説しますが、
Windowsイベントログの基本的な見方については、次の記事もあわせてご覧ください。
おすすめ
１．イベントビューアーを開く
まず、ログイン履歴を確認するためにイベントビューアーを起動します。
① 画面下の［スタート］を右クリックします。
② 一覧から［イベントビューアー］をクリックします。
または、以下の方法でも起動できます。
① キーボードの［Windows］キーと［R］を同時に押します。
「ファイル名を指定して実行」画面が表示されます。
② 名前欄に「eventvwr.msc」を入力します。
③ ［OK］ボタンをクリックするか、［Enter］キーを押します。
２．セキュリティログを確認する
［セキュリティログ］に、ログイン履歴が記録されています。
① 左側のメニューから［イベントビューアー］→［Windows ログ］→［セキュリティ］の順にクリックします。
一覧から、ログインの成否やアクセス日時などの履歴を確認できます。
② 中央の「セキュリティ」画面の一覧から、ログイン履歴を確認します。
Windowsでは、ログインやログアウトなどの操作が「イベントID」という識別番号で記憶されています。主なイベントIDについては、「４：ログイン履歴の見方（イベントログの読み方）」で紹介しています。
３．イベントIDでログを絞り込む
セキュリティログは件数が非常に多いため、そのままではログイン履歴を見つけにくい場合があります。その場合は、イベントIDでログを絞り込むと確認しやすくなります。
① 「イベントビューアー」画面の右側メニューから［現在のログをフィルター］をクリックします。
「現在のログをフィルター」画面が表示されます。
② ［<すべてのイベント ID>］欄に“4624”を入力します。
イベントID「4624」は、ログインの成功を意味しています。
③ ［OK］ボタンをクリックします。
［ログオン成功］の履歴だけを確認することができます。
参考：Microsoft「Event 4624 S: An account was successfully logged on.」
手順に沿ってログを確認することはできますが、実際にはログの意味を正しく読み取ることが重要です。ログの見方については、次の記事も参考にしてください。
おすすめ
ログの見方とは？確認すべきポイントとログ確認の基本手順を解説
４：ログイン履歴の見方（イベントログの読み方）
イベントログでは、ログインに関する詳細情報を確認できます。
主に確認できる項目：
| 項目 | 内容 |
|---|---|
| ログイン日時 | PCにログイン（ログオフ）した時間 |
| ユーザーアカウント | ログインしたユーザー |
| ログオンタイプ | ローカルログインやリモートログインなど、ログイン方法の種類 2：ローカルログイン 3：ネットワークログイン 7：ロック解除 10：リモートデスクトップ |
| 成功／失敗 | ログイン認証の結果 |
| アクセス元の端末 | リモートログインの場合、リモート接続元の端末情報 |
ログオンタイプは、ログイン方法を判断するうえで重要な情報です。例えば、通常は社内で利用しているPCで「ログオンタイプ：10」が記録されている場合、リモート接続が行われた可能性があります。不審なアクセスの有無を確認する際は、この項目にも注目するとよいでしょう。
イベントIDの種類：
| イベントID | 内容 |
|---|---|
| 4624 | ログオン成功 |
| 4625 | ログオン失敗 |
| 4634 | ログオフ |
| 4647 | ユーザーによるログオフ |
ログの内容を正しく読み取ることで、アカウント名やユーザー名、時刻などの情報からPCの利用状態や異常の有無を把握できます。日常的な監視やチェックを行うことで、不正アクセスの兆候を早期に発見することが可能です。
ログの基本的な見方や確認ポイントについては、次の記事でも詳しく解説していますので、あわせてご覧ください。
おすすめ
ログの見方とは？確認すべきポイントとログ確認の基本手順を解説
なお、PowerShellを使用してログイン履歴を確認する方法もあります。コマンドによる取得方法については、「６：PowerShellでWindowsログイン履歴を確認する方法」で詳しく解説しています。
５：ログ管理の注意点と対策
イベントログはWindows標準機能で手軽に確認できる一方で、企業でのログ管理にはいくつかの課題があります。
ログの保存期間に制限がある
イベントログは保存容量に上限があり、古いログは自動的に上書きされます。保存できる期間は環境によって異なりますが、設定や運用状況によっては数日〜数週間程度で過去のログが上書きされる場合もあります。長期間の履歴を保持したい場合は、別途ログ管理の仕組みが必要です。
おすすめ
ログの管理とは？基本概念とメリットを徹底解説！
ログはPCごとに管理される
Windowsのイベントログは各PCに保存されるため、複数台の管理には手間がかかります。
企業の情報システム部門においては、ログ管理は情報セキュリティ対策として欠かせない業務の一つです。ログの管理が不十分な場合、情報漏洩や不正アクセスの追跡が困難になる恐れがあるため、適切な運用と対処が求められます。
ログが削除される可能性がある
管理者権限を持つユーザーはログを削除できるため、証跡としての信頼性に課題があります。
対策：ログの一元管理が重要
これらの課題を解決するためには、IT資産管理ツールやログ管理システムによる一元管理が有効です。
たとえば、IT資産管理ツールである「ISM CloudOne」を活用することで、ログイン履歴やPC操作ログを一元的に管理し、複数端末のログ確認や監査対応を効率化できます。
ログイン履歴だけでなく、PC操作ログなども含めて統合的に管理することで、不正アクセスの早期発見や監査対応が容易になります。
６：PowerShellでWindowsログイン履歴を確認する方法
Windowsでは、イベントビューアーだけでなく、PowerShellを使用してログイン履歴を確認することも可能です。
PowerShellを活用することで、ログの抽出やレポート作成を自動化できるため、複数のパソコンやサーバーのログを効率的に管理できます。業務効率の向上や運用負荷の軽減にもつながる便利な方法です。
PowerShellでログイン履歴を取得するコマンド
ログオン履歴（イベントID 4624）を取得するには、以下のコマンドを使用します。
このコマンドを実行することで、セキュリティログの中からログオン成功の履歴のみを一覧表示できます。
条件を指定してログを絞り込む
PowerShellでは、条件を追加してより詳細なログ抽出が可能です。
例えば、直近のログだけを確認する場合は以下のように指定できます。
LogName=’Security’
Id=4624
StartTime=(Get-Date).AddDays(-1)
}
このコマンドを実行することで、「過去1日分のログオン履歴」のみを取得できます。
PowerShellで確認するメリット
- 条件を指定して効率的にログ抽出できる
- 大量のログでも高速に検索できる
- スクリプト化して定期的な確認が可能
特に複数端末のログを扱う場合や、定期的な監査を行う場合に有効な方法です。
７：Windowsログイン履歴が残らない原因
Windowsログイン履歴を確認しようとしても、「ログが見つからない」「履歴が残っていない」といったケースがあります。これは、いくつかの原因によってログが記録されていない、または消えている可能性があります。
監査ポリシーが有効になっていない
Windowsでは、ログイン履歴を記録するためには「監査ポリシー」の設定が必要です。この設定が無効になっている場合、ログオン履歴は記録されません。
特に「ログオンイベントの監査（成功／失敗）」が無効になっていると、ログイン履歴は残らないため注意が必要です。
ログが記録されない場合は、設定変更やエラーの発生などが原因となっている可能性があります。監査設定やシステムの状態を確認し、問題があれば早めに対処することが重要です。
ログの保存容量を超えている
イベントログには保存容量の上限があり、容量を超えると古いログから順に上書きされます。そのため、過去のログが消えてしまうことがあります。
手動でログが削除されている
管理者権限を持つユーザーは、イベントログを削除することができます。そのため、意図的または誤操作によってログが消去されているケースも考えられます。
PCの初期化・再インストール
PCの初期化やOSの再インストールを行うと、イベントログもリセットされます。その結果、過去のログイン履歴はすべて削除されます。
ログ管理の対策
ログが残らない問題を防ぐためには、次のような対策が有効です。
- 監査ポリシーを適切に設定する
- ログ保存容量を拡張する
- 定期的にログをバックアップする
- ログ管理ツールで一元管理する
特に企業環境では、ログの消失リスクを防ぐために、端末ごとの管理ではなく中央管理の仕組みを導入することが重要です。
８：Windowsログイン履歴を適切に管理しよう
Windowsログイン履歴は、PCの利用状況の把握や不正アクセスの検知に役立つ重要な情報です。イベントビューアーを活用することで、ログオン履歴やログイン失敗の記録を確認でき、基本的な操作であれば誰でも対応可能です。
また、イベントログの見方を理解し、イベントIDやログオンタイプを確認することで、「いつ・誰が・どのようにログインしたのか」を正確に把握できます。これにより、通常とは異なるアクセスや不審な挙動の早期発見につながります。
こうしたログの見方や確認方法の基本については、Windows環境で広く利用される「Windowsイベントログ」の記事で詳しく解説しています。
さらに、PowerShellを活用すれば、ログイン履歴を効率的に抽出・分析することも可能です。特に、特定期間のログを抽出したり、大量のログを扱う場合には有効な手段といえるでしょう。
一方で、Windowsのイベントログには、保存期間の制限やログの上書き、削除のリスクといった注意点もあります。また、監査ポリシーの設定によっては、ログイン履歴自体が記録されない場合もあるため、事前の設定や運用ルールの整備も重要です。
このような課題に対応するためには、ログを「確認するだけ」で終わらせるのではなく、「継続的に管理する仕組み」を整えることが求められます。特に企業環境では、複数のPCを個別に確認するのではなく、ログを一元管理することで、運用負荷の軽減やセキュリティ強化につながります。
ログイン履歴に加えて、PC操作ログなども含めて統合的に管理することで、より精度の高い状況把握やインシデント対応が可能になります。
近年では、クラウドサービスやWebアプリケーションの利用が増えており、ログ管理の重要性はますます高まっています。Microsoft製品をはじめとするさまざまなサービスと連携しながら、最新のセキュリティ対策を実施していくことが求められます。自社の運用状況に応じて、適切なログ管理の方法を検討していきましょう。
IT資産管理ツールを活用することで、ログの収集・管理を効率化し、継続的なセキュリティ対策の強化にもつながります。たとえば、「ISM CloudOne」のようなツールを活用することで、ログの一元管理や運用負荷の軽減を実現できます。
詳しくはこちら
９：Windowsログイン履歴に関するよくある質問（FAQ）
Windowsログイン履歴の確認方法について理解しても、「ログが保存される場所はどこか」「ログが残らない原因は何か」といった疑問を感じる方も多いのではないでしょうか。
ここでは、Windowsログイン履歴に関してよくある質問とその回答をまとめて紹介します。
Q. ログファイル（.evtx）はどこに保存されていますか？
Windowsのイベントログは、通常「C:\Windows\System32\winevt\Logs」内にevtx形式で保存されています。必要に応じてファイルをコピーし、別の環境で閲覧することも可能です。
Q. Windowsログイン履歴はどのくらいの期間保存されますか？
Windowsのログイン履歴は、イベントログの保存容量に依存します。保存容量の上限に達すると、古いログから順に上書きされるため、保存期間は環境によって異なります。
長期間ログを保持したい場合は、ログの保存容量を拡張するか、定期的なバックアップ、またはログ管理ツールの導入を検討する必要があります。
Q. Windowsログイン履歴が表示されない原因は何ですか？
ログイン履歴が表示されない場合、監査ポリシーの設定が原因である可能性が高いです。ログオンイベントの監査（成功／失敗）が無効になっている場合、ログは記録されません。
また、ログの保存容量超過による上書きや、管理者による削除、PCの初期化なども原因として考えられます。
Q. Windowsログイン履歴から不正アクセスは判断できますか？
ログイン履歴を確認することで、不正アクセスの兆候を把握することは可能です。
たとえば、通常とは異なる時間帯のログインや、ログイン失敗（イベントID 4625）の繰り返し、リモートログイン（ログオンタイプ10）の記録などは注意が必要です。
ただし、ログイン履歴だけで完全に不正アクセスを断定することは難しいため、他のログ（操作ログや通信ログなど）と組み合わせて総合的に判断することが重要です。
Q. Windowsログイン履歴は削除できますか？
Windowsのイベントログは、管理者権限を持つユーザーであれば削除することが可能です。そのため、証跡として利用する場合は、ログの改ざんや削除のリスクを考慮する必要があります。
企業環境では、ログを外部に転送・保存する仕組みを導入することで、証跡の信頼性を高めることができます。
-
- 「IT資産管理×ログ活用」で実現するセキュリティ対策とは？
- セキュリティ対策において操作ログの重要性が高まる中、特に押さえておきたい5つの操作ログについてご紹介します。
