OllamaでApache/NginxアクセスログをAI解析する方法｜不審アクセスの自動検出と日次レポート生成をLinuxサーバーで実現する手順

この記事のポイント

・ローカルLLMで解析するためアクセスログが外部サービスに送出されない
・PythonのreモジュールでCombined Logを集計し、Ollama REST APIで日本語レポートを生成する
・Apache Combined LogとNginxデフォルトログの両方に同じスクリプトで対応できる
・cronとmailコマンドで日次の自動通知まで完成させる

# systemctl is-active ollama
active
# ollama ps
NAME                        ID              SIZE      PROCESSOR    UNTIL
llama3.3:70b-instruct-q4_0  2a01b6f8c3d9    43 GB     100% GPU     4 minutes from now

# Ubuntu/Debian系（Apache）
# ls -lh /var/log/apache2/access.log
-rw-r--r-- 1 root adm 128M Nov 14 06:25 /var/log/apache2/access.log

# RHEL/AlmaLinux系（Apache）
# ls -lh /var/log/httpd/access_log
-rw-r--r-- 1 root root 95M Nov 14 06:25 /var/log/httpd/access_log

# Nginx（多くのディストリビューション共通）
# ls -lh /var/log/nginx/access.log
-rw-r--r-- 1 www-data adm 86M Nov 14 06:25 /var/log/nginx/access.log

# mkdir -p /opt/log-analyzer
# ls /opt/log-analyzer
（空のディレクトリ）

# /opt/log-analyzer/config.py

# 解析対象のアクセスログ（環境に合わせて変更する）
LOG_FILE = "/var/log/apache2/access.log"

# OllamaのエンドポイントとモデルID
OLLAMA_URL = "http://localhost:11434/api/generate"
MODEL = "llama3.3:70b-instruct-q4_0"

# レポートの送信先メールアドレス
REPORT_EMAIL = "admin@example.com"
REPORT_SUBJECT = "日次アクセスログ解析レポート"

# /opt/log-analyzer/analyze_access_log.py
import re
import json
import datetime
import subprocess
from collections import Counter
import urllib.request
import config

# Apache Combined Log / Nginxデフォルトログの正規表現
LOG_PATTERN = re.compile(
    r'(?P<ip>\S+) \S+ \S+ \[(?P<time>[^\]]+)\] '
    r'"(?P<method>\S+) (?P<path>\S+) [^"]*" '
    r'(?P<status>\d+) (?P<size>\S+)'
)

# 管理画面・設定ファイルへのアクセス検出キーワード
SUSPICIOUS_PATHS = [
    "/admin", "/.env", "/wp-admin", "/phpMyAdmin",
    "/config", "/.git", "/backup", "/.htaccess"
]

def parse_log(log_file):
    ip_counter = Counter()
    status_counter = Counter()
    path_counter = Counter()
    error_ips = Counter()
    suspicious_counter = Counter()
    total = 0

    with open(log_file, encoding="utf-8", errors="replace") as f:
        for line in f:
            m = LOG_PATTERN.match(line)
            if not m:
                continue
            total += 1
            ip = m.group("ip")
            status = m.group("status")
            path = m.group("path").split("?")[0]  # クエリ文字列を除外する

            ip_counter[ip] += 1
            status_counter[status] += 1
            path_counter[path] += 1

            if int(status) >= 400:
                error_ips[ip] += 1

            for suspicious in SUSPICIOUS_PATHS:
                if path.startswith(suspicious):
                    suspicious_counter[ip] += 1

    return total, ip_counter, status_counter, path_counter, error_ips, suspicious_counter

def build_prompt(total, ip_counter, status_counter, path_counter,
                 error_ips, suspicious_counter):
    today = datetime.date.today().strftime("%Y年%m月%d日")

    # エラーを5件以上発生させているIPを抽出する
    high_error_ips = [(ip, cnt) for ip, cnt in error_ips.most_common(10) if cnt >= 5]

    prompt = f"""{today}のWebサーバーアクセスログ集計結果を以下に示します。
セキュリティ上の問題や注目すべき傾向があれば日本語で指摘してください。

## 総リクエスト数
{total:,}件

## ステータスコード別件数
"""
    for code, count in sorted(status_counter.items()):
        prompt += f"  HTTP {code}: {count:,}件\n"

    prompt += "\n## アクセス数上位10件のIPアドレス\n"
    for ip, count in ip_counter.most_common(10):
        prompt += f"  {ip}: {count:,}回\n"

    prompt += "\n## アクセス数上位10件のURL\n"
    for path, count in path_counter.most_common(10):
        prompt += f"  {path}: {count:,}回\n"

    if high_error_ips:
        prompt += "\n## エラー（4xx/5xx）を多発させているIPアドレス\n"
        for ip, count in high_error_ips:
            prompt += f"  {ip}: エラー{count}件\n"

    if suspicious_counter:
        prompt += "\n## 管理画面・設定ファイルへのアクセスがあったIPアドレス\n"
        for ip, count in suspicious_counter.most_common(5):
            prompt += f"  {ip}: {count}回\n"

    return prompt

def ask_ollama(prompt):
    payload = json.dumps({
        "model": config.MODEL,
        "prompt": prompt,
        "stream": False
    }).encode("utf-8")

    req = urllib.request.Request(
        config.OLLAMA_URL,
        data=payload,
        headers={"Content-Type": "application/json"}
    )
    with urllib.request.urlopen(req, timeout=120) as res:
        result = json.loads(res.read().decode("utf-8"))
    return result["response"]

if __name__ == "__main__":
    total, ip_counter, status_counter, path_counter, error_ips, suspicious = \
        parse_log(config.LOG_FILE)
    prompt = build_prompt(total, ip_counter, status_counter, path_counter,
                          error_ips, suspicious)
    report = ask_ollama(prompt)
    print(report)

# chmod +x /opt/log-analyzer/analyze_access_log.py
# python3 /opt/log-analyzer/analyze_access_log.py

2026年11月14日のWebサーバーアクセスログを分析しました。

【注目すべき点】

1. エラー件数の増加
   HTTP 404エラーが2,847件（全体の8.4%）と多めです。
   IPアドレス 198.51.100.42 が404エラーを318件発生させています。
   /wp-admin/、/phpMyAdmin/、/.envへのアクセスが確認されており、
   脆弱なパスを探索するスキャン行動の可能性があります。

2. 管理画面へのアクセス
   198.51.100.42 から管理系パスへのアクセスが23回ありました。
   このIPからのアクセスをファイアウォールでブロックすることを検討してください。

3. 正常な傾向
   HTTP 200レスポンスは全体の87.3%で、主要なページは正常に配信されています。

# parse_log 関数に時間帯別カウンターを追加する例
from collections import defaultdict

# 時間帯別エラーカウンター
hourly_errors = defaultdict(int)

# タイムスタンプから時刻を取り出す正規表現
# 例: "14/Nov/2026:03:22:41 +0900" -> "03"
TIME_RE = re.compile(r'\d+/\w+/\d+:(\d{2}):')

with open(log_file, encoding="utf-8", errors="replace") as f:
    for line in f:
        m = LOG_PATTERN.match(line)
        if m and int(m.group("status")) >= 400:
            tm = TIME_RE.search(m.group("time"))
            if tm:
                hourly_errors[tm.group(1)] += 1

# エラーが多い時間帯上位5件を出力する
for hour, count in sorted(hourly_errors.items(), key=lambda x: -x[1])[:5]:
    print(f"{hour}時台: {count}件")

# 前日の圧縮ログを読む場合は gzip を展開して渡す
import gzip

def open_log(path):
    """拡張子が.gzの場合は gzip として、それ以外は通常のファイルとして開く"""
    if path.endswith(".gz"):
        return gzip.open(path, "rt", encoding="utf-8", errors="replace")
    return open(path, encoding="utf-8", errors="replace")

# 前日のローテーション済みログのパス例
# Ubuntu/Apache: /var/log/apache2/access.log.1
# または圧縮形式: /var/log/apache2/access.log.1.gz

# /etc/nginx/nginx.conf（抜粋）
# grep -A 4 "log_format" /etc/nginx/nginx.conf

log_format  combined  '$remote_addr - $remote_user [$time_local] '
                      '"$request" $status $body_bytes_sent '
                      '"$http_referer" "$http_user_agent"';

# analyze_access_log.py の末尾（if __name__ == "__main__": ブロック）を修正する
if __name__ == "__main__":
    total, ip_counter, status_counter, path_counter, error_ips, suspicious = \
        parse_log(config.LOG_FILE)
    prompt = build_prompt(total, ip_counter, status_counter, path_counter,
                          error_ips, suspicious)
    report = ask_ollama(prompt)

    # mailコマンドでレポートを送信する
    today = datetime.date.today().strftime("%Y-%m-%d")
    subject = f"{today} {config.REPORT_SUBJECT}"
    proc = subprocess.run(
        ["mail", "-s", subject, config.REPORT_EMAIL],
        input=report,
        text=True,
        timeout=30
    )
    if proc.returncode != 0:
        print("メール送信に失敗しました", flush=True)
    else:
        print(f"レポートを {config.REPORT_EMAIL} に送信しました", flush=True)

# crontab -e で以下を追加する（root権限でログを読む場合は sudo crontab -e）
# MAILTO=admin@example.com で cron 自体のエラーもメール通知される

MAILTO=admin@example.com
0 8 * * * /usr/bin/python3 /opt/log-analyzer/analyze_access_log.py >> /var/log/log-analyzer.log 2>&1

# サービスの状態を確認する
# systemctl status ollama

# 起動していない場合は起動する
# systemctl start ollama

# API疎通確認
# curl -s http://localhost:11434/api/tags | python3 -m json.tool | head -5
{
    "models": [
        {
            "name": "llama3.3:70b-instruct-q4_0",

# adm グループにユーザーを追加する（Ubuntu系）
# usermod -aG adm <実行ユーザー名>

# 変更を反映するには再ログインが必要
# groups <実行ユーザー名>
ubuntu adm dialout cdrom sudo ...

ローカルLLMによるログ解析を2日間のハンズオンで実践する

この記事で解説した手法を含め、OllamaによるRAG構築・API連携・業務自動化の実践的なノウハウを2日間で習得できます。実機GPU環境で手を動かしながら習得したい方向けに、「ローカルAIマスターセミナー」を開催しています。
少人数（最大8名）ZOOMハンズオン形式で実施しています。