マルウェアに感染しているのかの調査について教えて下さい。

皆さま、アドバイスありがとうございます。

説明の足りないないところが、あることに気づくことができましたので

以下、補足説明させて頂きます。

現在は、専門のセキュリティ ベンダーに相談し、見積依頼しておるところで

調査結果によって、対応と再発を防止するための方策を取っていきたいと考えており、

ネットワークの通信ログについては、

UTMとしてのFortinet のログや

VPN として利用することもあるCisco AnyConnectに関するログを

導入サポート頂いた業者に調査頂いたところ、

ある特定の外部の6つのIPアドレスについては、見つかっていない状況です。

▢補足説明

◯調査対象の端末は、2台で、

　アクティブディレクトリ環境で使用して

　ほかに参加しているPCとしては、他に合計280台あります。

◯この2台の端末は、共に外部に公開しているPCではなく、

　主にLAN内で使用するPCであるため、

　イベントビューワーのセキュリティのログに

　LANの外のネットワークからアクセスを受けたようなログが残るのは、

　マルウェアに感染して、

　不正アクセスを受ける状況になっているためではないかという

　疑いを持ちました。

◯この２台の端末のイベントビューワーのセキュリティをログを

　見ることになった経緯として、

・ここ1ヶ月くらいで、あるユーザーアカウントにおいて

　たびたびロックアウトが発生するようになっており

　誰も使用していないはずの早朝5時前にロックアウトすることもあったので

　不審に思いました。

・そのため、ドメインコントローラーで、ログオンに関するログを取って調べてみたところ

　高速で、ユーザー名を変えながらログオンしようとしている

　辞書攻撃によるログオンの失敗と思われるなログが見つかりました。

・そこで使用されているユーザー名に

　ロックアウトするようになったユーザーアカウントが含まれておったため

　この状況が、ロックアウトを引き起こしていると判断しました。

・ログに記録されるホスト名から

　辞書攻撃によるログオンの失敗を引き起こしている

　端末は2台ありましたので、

　その2台を、回収、隔離したところ、

　辞書攻撃によるログオンの失敗のようなログはなくなり、

　ロックアウトすることはなくなりました。

・そして、回収した２台のPCの

　イベントビューワーのセキュリティのログを見てみたとなり

　回収した2台の端末の

　イベントビューワーのセキュリティのログの

　イベントid：4625のログオンの失敗の記録と

　ドメインコントローラーでのログオン失敗の記録は、

　一致しているような感じでした。