Windowsのイベントログは「期間」ではなく「サイズ」で管理されています。何日分残るかは設定されておらず、ログの量が上限に達した時点で古いものから消えていきます。つまり、アクセスが増えるほど早く消えます。
これが問題になるのは、後から調べたいときです。ロックアウトの発生源を特定したい、身に覚えのないログインがないか確認したい——そのときに「該当の期間のログがもう残っていない」という事態が起こります。この記事では、いまどれくらい残るのかを確認し、必要な期間を確保する手順をまとめます。
手順1：いまの設定を確認する
最も速いのはコマンドです。管理者権限のコマンドプロンプトまたはPowerShellで実行します。
wevtutil gl Security出力のうち、見るべきは次の2つです。
| 項目 | 意味 |
|---|---|
| maxSize | ログファイルの上限（バイト）。これを超えると古い記録が消える |
| retention | false なら上書きあり、true なら上限到達時に記録が止まる |
Security の部分を System や Application に変えれば、他のログも同じように確認できます。
画面から確認する場合は、イベントビューアー（eventvwr.msc） > Windows ログ > セキュリティ を右クリック > プロパティを開きます。「ログの最大サイズ」と、上限に達したときの動作がここに表示されます。
手順2：実際に何日分残っているかを見る
設定値だけ見ても、何日分かは分かりません。実際に残っている最も古い記録を確認します。イベントビューアーでセキュリティログを開き、一覧を日付の古い順に並べ替えて先頭を見てください。
PowerShellなら次で確認できます。
Get-WinEvent -LogName Security -Oldest -MaxEvents 1返ってきた日時が、いま遡れる限界です。ここが数日前しかない環境は珍しくありません。ログオン監査を有効にしている環境ほど記録量が多く、消えるのも早くなります。
手順3：上限を広げる
1台だけ変更するなら、コマンドが確実です。次の例は上限を1GBに設定します。
wevtutil sl Security /ms:1073741824/ms はバイト単位です。目安は次のとおりです。
- 64MB（67108864） — 数名規模のPC。数週間程度
- 256MB（268435456） — 一般的な業務PC・小規模サーバー
- 1GB（1073741824） — ドメインコントローラー、利用者の多いサーバー
ドメインコントローラーは最優先で広げてください。誰がいつログオンしたか、どの端末からロックアウトが発生したかという記録は、ここにしか残りません。
併せて、上書き動作も確認します。
wevtutil sl Security /r:false/r:false は「必要に応じて上書きする」設定です。/r:true（上書きしない）にすると、上限に達した時点で新しい記録が取れなくなります。ログを埋め尽くして記録を止めるという手口もあるため、意図がない限り上書きありのままにしてください。
手順4：全社に適用する
1台ずつ設定しても、次に買ったPCには適用されません。グループポリシーで配布します。
コンピューターの構成 > ポリシー > 管理用テンプレート > Windows コンポーネント > イベント ログ サービス > セキュリティ > 「最大ログ サイズ (KB)」を有効にして値を設定ここの単位はKBです。コマンドのバイト単位と混同しないでください。1GBなら 1048576 と入力します。
グループポリシーで設定できるアカウント関連の項目は グループポリシーでのアカウント保護設定にまとめています。
そもそも記録されていない場合
保存期間を延ばしても、記録する設定がなければ何も残りません。ログオンの成功・失敗を記録するには、監査ポリシーが有効になっている必要があります。
auditpol /get /category:*「ログオン/ログオフ」の項目が「成功および失敗」になっているかを確認してください。「監査なし」になっていると、ログイン履歴そのものが取れていません。
実際にログイン履歴を確認する手順は Windowsのログイン履歴を確認する方法、共有フォルダへのアクセス記録は 共有フォルダのアクセス履歴を記録する手順にまとめています。Microsoft 365側のサインインログは保存期間の考え方が異なるため、 Entra IDのサインインログを確認する手順を参照してください。
何日分を残すべきか
侵入は、起きてすぐ気づかれるとは限りません。不正なログインは通常の業務時間帯に、正しいIDとパスワードで行われるため、異常として目立ちません。気づくきっかけが数週間後になることもあります。
そのため、最低でも90日分を目標にしてください。Pマークやその他の認証を運用している場合、取得している基準側で保存期間が定められていることもあります。要求事項との突き合わせは アクセスログの取得と点検、Pマークとアクセス制御で扱っています。
そして、ログを残すことは侵入を止める対策ではありません。後から調べられるようにするための備えです。入口そのものを塞ぐ話は Windows OSログインの2要素認証で整理しています。
よくある質問
イベントビューアーのログは何日残りますか
期間ではなくサイズで管理されているため、決まった日数はありません。記録量が上限に達すると古いものから消えます。実際に遡れる限界は Get-WinEvent -LogName Security -Oldest -MaxEvents 1 で確認できます。
保存期間を変更するとPCが重くなりますか
ログファイルはディスク上に置かれるだけで、常時メモリに載るものではありません。1GBに広げてもディスク容量を消費する以外の影響は通常ありません。
すでに消えたログを復元できますか
上書きされたログは復元できません。だからこそ、必要になる前に上限を広げておく必要があります。
セキュリティログとシステムログのどちらを優先すべきですか
不正ログインやロックアウトの調査に使うのはセキュリティログです。まずセキュリティログ、特にドメインコントローラー上のものを優先して広げてください。
自社の対応状況を確認するには
ログの保存期間を確保しても、それは「後から調べられる」状態になっただけで、侵入そのものは止まりません。applippliの無料診断では、約3分の質問に回答するだけで、ID・パスワードに関連する対応状況を5段階で判定し、結果をPDFレポートでお届けします。個人情報の入力は不要で、会員登録もありません。
参考・出典
※ 本記事は2026年9月時点の一般的な解説です。既定値や画面の名称は、Windowsのバージョンおよび環境によって異なる場合があります。設定の変更は、影響範囲を確認のうえ実施してください。