log ファイルの読み方 - システムログ解析入門

2026-05-31 読了時間: 約10分 難易度: 中級

この記事で解決できること

• /var/log/ 配下のログファイルの構造が分かる
• tail -f・grep・less でログを効率よく読める
• syslog・auth.log・kern.log など代表的なログの違いが分かる
• ログのフォーマット（タイムスタンプ・プロセス名・PID）を読み解ける
• 障害対応で使う実践的な調査パターンが身につく

/var/log ディレクトリとは何か

Linux のシステムログはほぼすべて /var/log/ 以下に集約されている。カーネル・認証・アプリケーションが書き込んだ記録がここにあり、障害対応の出発点になる。

ls /var/log/

auth.log   dpkg.log  kern.log  syslog    ubuntu-advantage.log
boot.log   faillog   lastlog   ufw.log   wtmp

代表的なログファイルとその役割とは

/var/log/ 配下には用途別にファイルが分かれており、調査対象を素早く絞り込むためにそれぞれの役割を把握しておく必要がある。

ログを読むための基本コマンドとは

ログファイルの閲覧には cat / less / tail の3つを状況に応じて使い分けるのが基本だ。

tail — 末尾から読む

# 末尾50行を表示
tail -n 50 /var/log/syslog

# リアルタイムで追跡（Ctrl+C で終了）
tail -f /var/log/syslog

-f（follow）は障害発生中にログの流れをリアルタイムで監視するときに使う。

less — スクロールして読む

less /var/log/auth.log

less 内での主要操作:

• G：末尾へジャンプ
• g：先頭へジャンプ
• /キーワード：前方検索
• n：次のマッチへ
• q：終了

cat — 全体を一気に流す（短いファイル向き）

cat /var/log/boot.log

ログが長いファイルに cat を使うと大量出力になるため、通常は less か tail を優先する。

grep でログをフィルタリングする方法とは

長大なログから目的の行を絞り込むには grep を使う。コマンド単体よりも tail や less との組み合わせが実務では多い。

エラー行を抽出する

grep -i "error" /var/log/syslog

-i で大文字小文字を区別しないマッチになる。

複数キーワードで絞り込む

grep -E "error|warn|failed" /var/log/syslog

リアルタイムで grep する

tail -f /var/log/syslog | grep "error"

特定の日付だけ確認する

grep "May 31" /var/log/auth.log

前後の文脈も表示する

grep -A 5 -B 5 "Failed password" /var/log/auth.log

-A 5 はマッチした行の後5行、-B 5 は前5行を表示する。

ログのフォーマットを読み解く方法

syslog 形式のログは固定したフォーマットで書かれており、パターンを知っていると素早く情報を抽出できる。

May 31 10:23:45 myserver sshd[12345]: Failed password for root from 192.168.1.100 port 22 ssh2

よくあるログ調査パターンとは

障害対応でよく使う実践的なパターンを一覧にまとめる。

SSH ログイン失敗を確認する

sudo grep "Failed password" /var/log/auth.log | tail -20

sudo の使用履歴を確認する

sudo grep "sudo" /var/log/auth.log | grep "COMMAND"

カーネルエラーを確認する

sudo grep -i "error\|oops\|panic" /var/log/kern.log | tail -30

パッケージのインストール履歴を確認する

grep " install " /var/log/dpkg.log

直近の起動時エラーを確認する

sudo less /var/log/boot.log

journalctl との使い分け方とは

Ubuntu 16.04 以降、systemd が採用されてから journalctl が主要なログ確認手段となった。/var/log/ のファイルと journalctl は並存する。

# journalctl でリアルタイム追跡
journalctl -f

# 特定サービスのログを tail する
journalctl -u nginx -f