Windowsのイベントログは「期間」ではなく「サイズ」で管理され、上限に達すると古いものから消えます。アクセスが増えるほど早く消え、ロックアウトの発生源や身に覚えのないログインを調べたいときに「もう残っていない」ことが起こります。
ログを必要な期間残すまでの4手順
- 1
設定を確認
wevtutil gl Security
- 2
実際の日数を確認
最も古い記録の日時
- 3
上限を広げる
wevtutil sl /ms:（バイト）
- 4
全社に適用
グループポリシー（KB）
手順1：いまの設定を確認する
管理者権限のコマンドプロンプトかPowerShellで実行します。
wevtutil gl Security| 項目 | 意味 |
|---|---|
| maxSize | ログファイルの上限（バイト）。これを超えると古い記録が消える |
| retention | false なら上書きあり、true なら上限到達時に記録が止まる |
Security を System や Application に変えれば他のログも確認できます。画面ならeventvwr.msc > Windows ログ > セキュリティ を右クリック > プロパティです。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
手順2：実際に何日分残っているかを見る
設定値だけでは日数は分かりません。最も古い記録を確認します（イベントビューアーなら古い順に並べた先頭）。
Get-WinEvent -LogName Security -Oldest -MaxEvents 1この日時が遡れる限界です。数日前しかない環境は珍しくなく、ログオン監査を有効にしているほど早く消えます。
Windowsのログインは、パスワードを知っていれば誰でも本人として入れます
ログを長く残しても、記録されるのは「どのアカウントで入ったか」です。漏れたパスワードで入った人も、記録の上では本人になります。
パスワードだけのログイン
漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。
2要素認証のログイン
パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。
- VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
- 顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
- 2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。
手順3：上限を広げる
1台なら次のコマンドが確実です（例は1GB）。
wevtutil sl Security /ms:1073741824| 上限（/ms の値） | 目安の対象 |
|---|---|
| 64MB（67108864） | 数名規模のPC。数週間程度 |
| 256MB（268435456） | 一般的な業務PC・小規模サーバー |
| 1GB（1073741824） | ドメインコントローラー、利用者の多いサーバー |
上書き動作も確認します。
wevtutil sl Security /r:false上限に達したときの動作
/r:true（上書きしない）
- 上限に達すると新しい記録が取れない
- ログを埋め尽くして記録を止める手口がある
/r:false（必要に応じて上書き）
- 古いものから消え、新しい記録は取れ続ける
- 意図がない限りこちらのまま
最優先の対象
手順4：全社に適用する
1台ずつの設定は、次に買ったPCに適用されません。グループポリシーで配布します。
コンピューターの構成 > ポリシー > 管理用テンプレート > Windows コンポーネント > イベント ログ サービス > セキュリティ > 「最大ログ サイズ (KB)」を有効にして値を設定ここの単位はKBです（1GBなら 1048576）。アカウント関連の項目は グループポリシーでのアカウント保護設定にまとめています。
そもそも記録されていない場合
保存期間を延ばしても、監査ポリシーが無効なら何も残りません。
auditpol /get /category:*「ログオン/ログオフ」が「成功および失敗」か確認します。「監査なし」ならログイン履歴そのものが取れていません。
確認手順は Windowsのログイン履歴を確認する方法、共有フォルダは 共有フォルダのアクセス履歴を記録する手順、Microsoft 365側は Entra IDのサインインログを確認する手順を参照してください。
何日分を残すべきか
不正なログインは正しいIDとパスワードで業務時間帯に行われ、気づくのが数週間後のこともあります。最低でも90日分を目標にしてください。Pマークなどの基準側で保存期間が定められていることもあります（アクセスログの取得と点検、Pマークとアクセス制御）。
普段の管理が楽になると何が変わるか
PCごとに上限を広げて回るのは手間がかかり、台数が増えるほど設定漏れも出ます。全PC・サーバーのログイン記録を1か所に集めておけば（アプリップリキー。10年間保存）、上限を気にせず、次のような場面がその場で済みます。
- 社員から「ロックされた」「入れない」と言われたとき、席まで行かずに、どのPCで誰がログインに失敗したかを確かめられます。
- 取引先のチェックシートや監査で「ログイン記録を出してください」と言われたら、日時・利用者・接続元のPC名とIPアドレスで絞り込み、CSVでその日のうちに出せます。
- ログインの連続失敗を検知すると相手のIPを自動で遮断し、LINEに届きます。何もない日はイベントビューアーを開きに行かなくて済みます。
記録が集まるのは、アプリップリキーを入れたインターネットにつながっているPC・サーバーです。各PCのイベントログの設定そのものは、本文の手順で確かめてください。さらに、ログインの前に本人のスマホで確認を足す話は Windows OSログインの2要素認証で整理しています。
よくある質問
イベントビューアーのログは何日残りますか
期間ではなくサイズで管理されているため、決まった日数はありません。記録量が上限に達すると古いものから消えます。実際に遡れる限界は Get-WinEvent -LogName Security -Oldest -MaxEvents 1 で確認できます。
保存期間を変更するとPCが重くなりますか
ログファイルはディスク上に置かれるだけで、常時メモリに載るものではありません。1GBに広げてもディスク容量を消費する以外の影響は通常ありません。
すでに消えたログを復元できますか
上書きされたログは復元できません。だからこそ、必要になる前に上限を広げておく必要があります。
セキュリティログとシステムログのどちらを優先すべきですか
不正ログインやロックアウトの調査に使うのはセキュリティログです。まずセキュリティログ、特にドメインコントローラー上のものを優先して広げてください。
いまの運用を棚卸ししてみる
ログの保存期間を確保すると、「後から調べられる」状態になります。あわせて、ログインそのものの運用がどうなっているかも見ておくと、聞かれたときに説明しやすくなります。applippliの無料棚卸しでは、10問・約3分で、ID・パスワードに関連する対応状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。既定値や画面の名称は、Windowsのバージョンおよび環境によって異なる場合があります。設定の変更は、影響範囲を確認のうえ実施してください。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。