

インターネットからの不正アクセス（主に高度標的型攻撃）を分析する目的で、おとり用サーバー（いわゆるハニーポット）を作成しました。目的は下記です。  
①どこから（IP/プロバイダ/国など）の攻撃が多いか分析  
②攻撃に使用されるツールの取得  
③C&CサーバーのIP取得

作成にあたり、他のサーバーへ被害が及んではいけないためある程度できることを絞っています。ただそのせいか、攻撃者はサーバーへログオンだけして帰ってしまうようで（サーバーログ上はそう見える）、②、③の目的が達成できません。どうすれば②、③が達成できるでしょうか。それとも普通②、③はやらないのでしょうか。  
またハニーポットを構築した方がいれば、参考までに環境をお伺いしたいです。

＜サーバーの環境＞  
・OS: Windows 10  
・インバウンド通信: 3389/tcpのみ許可 #サーバー外のFWで管理  
・アウトバウンド通信: 全遮断 #サーバー外のFWで管理  
・RDP可能ユーザー: admin のみ #一般ユーザー、簡単なパスワードを設定  
・監査ポリシー: 標準のまま  
・Sysmon インストール済  
・adminがログオフしたら1分後にネットワーク遮断


CC BY-SA 4.0
2021-03-13T15:24:34.770
74653
2021-03-13T15:30:05.507
2021-03-13T15:30:05.507
44324
44324
question
windows security
おとり用サーバー（ハニーポット）の作り方