最近はWindows server 2008の構築管理を行っている。
リモートデスクトップで作業するわけだが、他からのログインがあったりすると気持ち悪い。
(リモートデスクトップのファイアウォール強化は別途)
手順としては
1.認証の必要なアクセスを記録
2.認証状況を確認
1.認証の必要なアクセスを記録
「コンパネ」→「管理ツール」→「ローカル セキュリティ ポリシー」→
「セキュリティの設定」→「ローカルポリシー」→「監査ポリシー」→
「アカウント ログオン イベントの監査」→「アカウント ログオン イベントの監査のプロパティ」
開いた画面で、
「次の場合に監査する」の「成功」、「失敗」にともにチェックを付け、「OK」を押下
2.認証状況を確認
「コンパネ」→「管理ツール」→「イベントビューア」→「Windowsログ」→「セキュリティ」
特に4624(認証成功)、4625(認証失敗)をチェックする
それぞれの項目にIPアドレスなどの情報があるのでここで知らない人が来ていると確認できる
攻撃を受けてる画像
「ereignisanzeige」は「イベントビューア」の意味
アメリカ、チェコ、イタリアあたりから攻撃受けてます。
(ドイツ語で失礼!)