VPSが総当たり攻撃を受けていないか確かめる方法｜Windowsのログで失敗ログインを数える

お名前.comのVPSの件、他人事で終わらせていいのか気になって、自分のEA用VPS（Hyonix）もClaude（シロカゲ）と点検してみたら驚愕の事実が判明した🥶

VPSのセキュリティログを数えたら
・今朝6時からの9時間半で、ログイン失敗 19,727回
・1分に30回以上
・試された名前の上位：Administrator… pic.twitter.com/Yut9Nhi3lx

— 黒猫トレーダー🐈‍⬛ (@Bcat_EA_Trader) October 25, 2026

ログで分かること・分からないことと、先に相談する兆候

見るもの	分かること	分からないこと
失敗ログオンの記録（Securityの4625・OpenSSHのログ・RdpCoreTSの140）	その期間に、ログインの失敗が記録された回数	誰が試したか。攻撃か、自分の入力ミスか（件数だけでは区別できません）
RDPの接続の受付（RdpCoreTSの131）	RDPの入口に、接続が届いた回数	認証を試した回数ではありません。自分の接続も含まれます
成功ログオンの記録（Securityの4624）	中に入れた記録と、その時刻・アカウント	見覚えがないだけでは、侵入と決められません。OpenSSHを入れていると、sshd_に数字が続く一時的な内部アカウントの記録が出ることがあります
0件という結果	記録上は、その期間に見つからなかったこと	侵入がなかった証明にはなりません。監査設定・上書き・ログに残らない試行があるためです

数える前に、監査設定・ログの保存期間・時刻を確かめる

確かめること	確かめないと起きること	確かめ方
監査設定（ログオンの失敗を記録する設定か）	記録しない設定だと、失敗してもSecurityログに4625が残らず、0件でも意味がありません	コード1のauditpolの行。サブカテゴリ「ログオン（Logon）」の行が「失敗」または「成功と失敗」（Failure / Success and Failure）なら、失敗も記録されます。別の項目の「成功と失敗」では代わりになりません
ログの方式と大きさ	上書き方式だと、新しい記録のために古い記録から消えます。最も古い記録より前は数えられません	コード1のShow-LogInfo。方式がCircularなら上書きです
時刻とタイムゾーン	ログの時刻はサーバーの表示です。日本時間と違うと、日別の数がずれます	コード1の最後の行
ログの消去履歴	消去されていれば、それより前の記録は残っていません	コード1の「消去の記録(1102)」の行

イベントビューアーで失敗ログオンを調べる

記録	場所	意味	読むときの注意
4625	Windowsログ → Security	ログオンの失敗（Microsoftの説明）	「ログオンの種類」「プロセス名」で入口を推測できますが、決めつけません。自分の入力ミスも含まれます
Invalid user など	アプリケーションとサービス ログ → OpenSSH → Operational	SSHでの、存在しないユーザー名などの試行	OpenSSHを入れている場合だけです。文言は版で違うことがあります。4625とは足し合わせません
131	アプリケーションとサービス ログ → Microsoft → Windows → RemoteDesktopServices-RdpCoreTS → Operational	RDPの接続（TCP）の受付	認証を試した回数ではありません。自分の接続も含まれます
140	131と同じログ	運営者の環境では、ユーザー名またはパスワードが違い、接続に失敗した記録として扱いました	公式の定義は確認できていません。説明文を読んで、意味を確かめてください

PowerShellで期間を決めて数える

コード1：準備（期間・ログの状態・監査設定・時刻）

$start = (Get-Date).AddDays(-7)   # 数える期間の開始。日数は変えてください

$isAdmin = ([Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)
if (-not $isAdmin) { Write-Host '管理者として開いたPowerShellではありません。Securityログは読めません' }

# ログを読む関数: 結果の状態を $script:logState に残します（件数0と、読めなかったのを区別するため）
function Get-LogEvents {
  param([string]$LogName, [int[]]$Id, [datetime]$From)
  $script:logState = '読めない'
  try { $info = Get-WinEvent -ListLog $LogName -ErrorAction Stop }
  catch { Write-Host "[$LogName] ログを開けません（ログが無い・権限不足など）: $($_.Exception.Message)"; return }
  if (-not $info.IsEnabled) { Write-Host "[$LogName] ログが無効です"; return }
  $filter = @{ LogName = $LogName; StartTime = $From }
  if ($Id) { $filter.Id = $Id }
  try { Get-WinEvent -FilterHashtable $filter -ErrorAction Stop; $script:logState = '読めた' }
  catch {
    if ($_.FullyQualifiedErrorId -like 'NoMatchingEventsFound*') { $script:logState = '該当なし' }
    else { Write-Host "[$LogName] 読み取りに失敗しました: $($_.Exception.Message)" }
  }
}

# 件数の多い順に表示する関数
function Show-Top {
  param([string]$Title, $Rows, [string[]]$By, [int]$Top = 10)
  Write-Host "--- $Title ---"
  if ($By) { $g = $Rows | Group-Object -Property $By } else { $g = $Rows | Group-Object }
  $g | Sort-Object Count -Descending | Select-Object -First $Top Count, Name | Format-Table -AutoSize | Out-String | Write-Host
}

# ログの方式・大きさ・最も古い記録（古い記録から消える範囲を知るため）
function Show-LogInfo {
  param([string]$LogName)
  try {
    $i = Get-WinEvent -ListLog $LogName -ErrorAction Stop
    $o = Get-WinEvent -LogName $LogName -Oldest -MaxEvents 1 -ErrorAction Stop
    Write-Host ("[{0}] 方式={1} 最大={2}MB 記録数={3} 最も古い記録={4} 有効={5}" -f $LogName, $i.LogMode, [math]::Round($i.MaximumSizeInBytes / 1MB, 1), $i.RecordCount, $o.TimeCreated, $i.IsEnabled)
  } catch { Write-Host "[$LogName] 状態を読めません: $($_.Exception.Message)" }
}
Show-LogInfo 'Security'
Show-LogInfo 'OpenSSH/Operational'
Show-LogInfo 'Microsoft-Windows-RemoteDesktopServices-RdpCoreTS/Operational'

# ログオン関連の監査設定: サブカテゴリ「ログオン（Logon）」の行が「失敗」または「成功と失敗」（Failure / Success and Failure）なら、失敗も記録されます
# 日本語・英語の表示に対応しています。ほかの言語では、auditpol /get /category:* の出力から「ログオン」にあたる行を探してください
auditpol /get /category:* | Select-String -Pattern '^\s+(Logon|ログオン)\s'

# Securityログの消去履歴（イベントID 1102）と、今の時刻・タイムゾーン
$cleared = @(Get-LogEvents -LogName Security -Id 1102 -From ([datetime]'2000-01-01'))
"消去の記録(1102): $($cleared.Count)件   状態: $script:logState"
"今の時刻: $(Get-Date)   タイムゾーン: $((Get-TimeZone).Id)   数える期間: $start から"

コード2：失敗ログオン（4625）を数える

$e4625 = @(Get-LogEvents -LogName Security -Id 4625 -From $start)
"失敗ログオン(4625): $($e4625.Count)件   状態: $script:logState"

$rows = foreach ($e in $e4625) {
  $p = $e.Properties   # 並び順はMicrosoftのイベント定義どおり: 5=失敗した対象アカウント 7=Status 9=SubStatus 10=ログオンの種類 18=プロセス名 19=送信元アドレス
  [pscustomobject]@{
    Day     = $e.TimeCreated.ToString('yyyy-MM-dd')
    Type    = $p[10].Value
    Process = [IO.Path]::GetFileName([string]$p[18].Value)
    Status  = '{0:X8}/{1:X8}' -f $p[7].Value, $p[9].Value
    Target  = $p[5].Value
    Source  = $p[19].Value
  }
}
Write-Host '--- 日別 ---'
$rows | Group-Object Day | Sort-Object Name | Format-Table Name, Count -AutoSize | Out-String | Write-Host
Show-Top '入口の目安（ログオンの種類, プロセス名）' $rows @('Type', 'Process')
Show-Top '理由（Status/SubStatus）' $rows @('Status')
Show-Top '失敗した対象アカウント名（上位10）' $rows @('Target')
$srcs = @($rows | Where-Object { $_.Source -and $_.Source -ne '-' } | Select-Object -ExpandProperty Source -Unique)
"送信元アドレスの種類数: $($srcs.Count)（アドレス自体は表示しません）"

コード3：SSH（OpenSSH/Operational）を数える

$ssh = @(Get-LogEvents -LogName 'OpenSSH/Operational' -From $start)
"OpenSSH/Operational: $($ssh.Count)件   状態: $script:logState"
if ($script:logState -eq '該当なし') { Write-Host 'この期間のOpenSSH/Operationalの記録がありません。OpenSSHを入れていない、ログの出力先がファイルの設定（sshd_configのSyslogFacility）、期間内に記録が無い、などが考えられます。' }
$invalid = @($ssh | Where-Object { $_.Message -cmatch 'Invalid user ' })
$failed  = @($ssh | Where-Object { $_.Message -cmatch 'Failed password for' })
"存在しないユーザー名での試行(Invalid user): $($invalid.Count)件   パスワード認証の失敗(Failed password for): $($failed.Count)件（合算しません）"
if ($invalid.Count -gt 0) { $t = $invalid | Sort-Object TimeCreated; "Invalid userの記録の範囲: $($t[0].TimeCreated) から $($t[-1].TimeCreated) まで" }

Write-Host '--- Invalid user の日別 ---'
$invalid | Group-Object { $_.TimeCreated.ToString('yyyy-MM-dd') } | Sort-Object Name | Format-Table Name, Count -AutoSize | Out-String | Write-Host
$names = foreach ($m in $invalid) { if ($m.Message -cmatch 'Invalid user (\S+) from') { $Matches[1] } }
Show-Top '試されたユーザー名（上位10）' $names
$from = foreach ($m in $invalid) { if ($m.Message -cmatch 'Invalid user \S+ from (\S+)') { $Matches[1] } }
"送信元アドレスの種類数: $(@($from | Select-Object -Unique).Count)（アドレス自体は表示しません）"

コード4：RDP（RdpCoreTSの131と140）を数える

$rdpLog = 'Microsoft-Windows-RemoteDesktopServices-RdpCoreTS/Operational'
$rdp = @(Get-LogEvents -LogName $rdpLog -Id 131, 140 -From $start)
"RdpCoreTS 131/140 の読み取り状態: $script:logState（IDごとに別に数えます。公開IPとそれ以外は区別しません）"

# IDごとに、件数・日別・最新1件の説明文を表示します（自分の接続も含まれます）。期間内に無いIDは「該当なし」と表示します
if ($script:logState -ne '読めない') {
  foreach ($id in 131, 140) {
    $sel = @($rdp | Where-Object { $_.Id -eq $id })
    if ($sel.Count -eq 0) { "ID ${id}: 該当なし（この期間には記録がありません）"; continue }
    "ID ${id}: $($sel.Count)件"
    $sel | Group-Object { $_.TimeCreated.ToString('yyyy-MM-dd') } | Sort-Object Name | Format-Table Name, Count -AutoSize | Out-String | Write-Host
    $sel | Sort-Object TimeCreated -Descending | Select-Object -First 1 TimeCreated, Id, Message | Format-List | Out-String | Write-Host
  }
}

コード5：成功ログオン（4624）を見直す

$e4624 = @(Get-LogEvents -LogName Security -Id 4624 -From $start)
"成功ログオン(4624): $($e4624.Count)件   状態: $script:logState"

$ok = foreach ($e in $e4624) {
  $p = $e.Properties   # 5=対象アカウント 8=ログオンの種類 18=送信元アドレス（Microsoftのイベント定義の並び順）
  if (($p[8].Value -in 3, 8, 10) -and ($p[5].Value -ne 'ANONYMOUS LOGON')) {
    [pscustomobject]@{ Time = $e.TimeCreated; Type = $p[8].Value; Account = $p[5].Value; Source = $p[18].Value }
  }
}
$dollar = @($ok | Where-Object { $_.Account -like '*$' })
'名前が$で終わるアカウントの成功ログオン: {0}件（表示に含めています。機械用の名前のことが多いですが、断定はしません）' -f $dollar.Count
Show-Top '外から入るタイプ(3,8,10)の成功ログオン（種類, アカウント）' $ok @('Type', 'Account')
$ok | Sort-Object Time -Descending | Select-Object -First 15 | Format-Table -AutoSize | Out-String | Write-Host

運営者のVPSで数えた結果

項目	内容
対象	MT5のFX自動売買に使っているWindows Server VPS（1台）
集計した期間	各ログに残っていた範囲の全体です。SSHのInvalid userは10月20日17:52〜22日15:58、Securityの4625は10月17日18:40〜22日15:16、RDPの131は10月16日10:12〜22日15:09。コードの初期値（直近7日）とは期間が違います
RDPの数え方	RDPの131は、公開IPからの接続だけを数えています。コード4は、公開IPとそれ以外を区別しません
入口の状態	RDP（標準ではない番号のポート・NLA有効）とSSH（22番）が、10月22日の15〜16時台まで、インターネット全体に開いていた。22日に、Tailscaleの範囲だけに制限した
SSHの認証	鍵認証で運用（パスワードでのSSHログインは使っていない）
時刻	サーバーのローカル時刻の表示

日付	SSH：存在しないユーザー名での試行（OpenSSH/Operational）	RDP：接続の受付（131・公開IPから）
10月16日	ログに残っていない	18回（10:12以降）
10月17日	ログに残っていない	31回
10月18日	ログに残っていない	27回
10月19日	ログに残っていない	10回
10月20日	165回（17:52以降）	21回
10月21日	463回	15回
10月22日	345回（15:58まで）	4回（この日の15〜16時台に入口を絞った）
合計	973回（約46時間）	126回

見たもの	結果	読むときの注意
SSHで試された名前の上位（OpenSSH/Operational）	root 201回、admin 110回、user 103回、ubuntu 102回、debian 50回	存在しないユーザー名として記録された名前の順位です
SSHのパスワード認証の失敗（Failed password for）	この文字列を含む記録は0件	実在するアカウントへの試行全体の有無は、この集計からは判断できません。運営者のSSHは鍵認証で運用しています
Securityの4625（10月17日18:40〜10月22日15:16）	198件（10月25日に残っていた記録）。すべてsshd.exe経由で、RDP経由の4625は0件	Securityログは上書き方式のため、集計する時刻によって件数が減ります。SSHのログの973回とは、期間も記録の単位も違います
4625の理由の内訳	アカウント無効116件、存在しない名前66件、名前の形式が不正16件（合計198件）	存在しない名前の66件は、対象アカウント名が試された名前ではなくFakeUserで記録されていました
RDPの140（10月17日01:51〜01:56）	10件。1つの送信元から集中	Securityログの最も古い記録より前のため、4625とは突き合わせられません
RDPの131とその送信元	全127件（Tailscale側を含む最後は10月22日16:06）。うち公開IPから126件で、その記録範囲は10月16日10:12〜22日15:09。公開IPの送信元は42種類	「42」は公開IPの異なるアドレスの数で、人数ではありません
入口を絞った後（10月22日16:00以降）	SSHのInvalid userの記録0件、公開IPからのRDP接続の受付（131）0件	10月25日に集計した範囲の記録です。遮断が成功した証明ではありません

結果から次の行動を選ぶ

結果	考えられること	次の行動
失敗の記録が多い	入口がインターネットから見えていて、ログインを試されている可能性があります。件数だけでは、攻撃か自分のミスかは区別できません	成功ログオンに説明できないものがないか確認します（コード5）。そのうえで入口を絞ります
失敗の記録が少ない・0件	記録上は見つからなかったことを示すだけです。期間が短い、監査設定がない、別の入口のログを見ていない場合も0件になります	監査設定とログの保存期間を確かめます。0件を安全の証明にしません
説明できない成功ログオン・見覚えのないアカウントがある	先に相談したほうがよい兆候です	設定を変える前にログを保存し、VPS会社とFX会社に相談します
ログが数日分しかない	上書き・消去・ログを記録し始めた時期などが考えられます	残っている範囲だけで判断します。必要なら、定期的にログをファイルへ保存します

よくある質問

まとめ

※本記事にはプロモーションを含みます。VPSの契約は自己判断で行ってください。環境を替えるだけで安全になるわけではありません。

※本記事は2026年10月25日時点の公開情報と、運営者の1台の集計に基づく一般的な解説です。件数の多少や、侵入の有無を判定するものではありません。ログの確認や設定は自己責任で行い、不安があるときはVPS会社や専門家に相談してください。