ダミーの情報とハニーポット：盗まれてもよい「おとり」で攻撃に気づく 2つの方法と限界

この記事は、自分の Web サイトやサービスを動かしていて、入口の守りのほかに、何を足せるかを知りたい方に向けて書いています。

分かることは 3つです。おとりを使う守りの 2つの型。それぞれの仕組みと、分かる事。置く前に知っておく限界です。

2026年10月12日 時点の内容です。公開されている文書をまとめた記事で、当社は、ダミーの情報も、ハニーポットも、外に置いていません。

作り方の細かい手順、製品の選び方、日本の法令での扱いは、この記事では扱っていません。

入口で止めるだけでは、入られた事に気づきにくい

入口の守り（WAF など）は、あやしい通信を止める仕掛けです。止めた分は、記録に残ります。

止められなかった分は、止めた記録に残りません。中の人が持ち出した情報も、同じです。気づくきっかけが、入口の記録の中に在りません。

一方で、探りに来る相手は、何が在るかを順に確かめます。当社に 2026年10月8日に来た探りも、そうでした。

この時の探りは、約 50秒に 816回。入口で 402回を止め、残りの 414回が、当社のサーバーに届きました。

届いた 414回のうち 60回 は、当社に無い行き先でした。種類を数えると 56種類で、世の中の製品でよく使われる入口の名前が並んでいました。

自社で起こったセキュリティ攻撃：約 50秒に 816回の探りを、記録から数えた（2026年10月8日）

おとりは、この「探しに来る」動きを使います。ふつうの利用者が触らない物を置いておき、触られたら知らせる、という考え方です。

おとりの 2つの型：情報を置くか、サーバーを立てるか

米国の NIST（国立標準技術研究所）の文書 SP 800-53 には、「Decoys（おとり）」という項目が在ります。

攻撃の的になるように作った部品を、システムの中に置く。目的は、攻撃を見つける事、そらす事、分析する事だ、という説明です。

NIST の用語集は、ハニーポットを、侵入しようとする相手を引き付けるように作った、システムや資源だと説明しています。例は、Web サーバーと、サーバーの中のファイルです。

この記事では、おとりを 2つの型に分けます。分け方は、当社が説明のために置いた物です。

• ダミーの情報：情報そのものが、おとり。にせの ID、にせのファイル、にせのメールアドレス など
• ハニーポット：サーバーそのものが、おとり。本物の仕事をさせないサーバーを、わざと置く

方法 1：盗まれてもよいダミーの情報を、あらかじめ置いておく

仕組み：使われたら、持ち出されたと分かる

本物の情報の中に、にせの情報を混ぜておきます。にせの情報は、ふつうの仕事では、だれも使いません。使われた時は、だれかが持ち出した手がかりになります。

この記事では、おとりが触られて知らせが出る事を、「鳴る」と書きます。

NIST の同じ文書には、「Tainting（印を付ける）」という項目が在ります。挙げている例は、社内のデータベースに、にせの名前とメールアドレスを足しておく形です。

そのにせのアドレスにメールが届いたら、データベースが侵されたと分かる、という説明です。送った相手は権限の無い者で、写しを取られたかもしれない、とも書いています。

ダミーにできる物

MITRE が公開している D3FEND は、守りの手法をまとめた一覧です。おとりの種類として、次のような物を挙げています。

• おとりのファイル：設定や書類に見えるファイルを置き、開かれたかを見張る
• おとりの ID とパスワード：使われた時に気づけるように、見張りを作っておく
• そのほか：認証の印（セッショントークン）、ネット上のにせの人物、ネットワークの資源のおとりも、挙げている

D3FEND の例には、にせの ID とパスワードを並べた CSV ファイルをシステムに置き、開かれたかを見張る、という形が在ります。

置いただけでは、何も知らせてくれません。開かれた事・使われた事を記録して、知らせる仕組みを合わせて作ります。

こうしたダミーの情報は、一般に「ハニートークン」とも呼ばれます。NIST と D3FEND の、当社が読んだ項目には、出てこない呼び名です。

「盗まれてもよい」とは、どういう事か

盗まれても、相手の役に立たず、だれも困らない、という意味です。この記事では、次の 3つを満たす物を指します。

• 本物の情報を 1つも含まない。実在の人や会社の名前、連絡先を、ダミーに使わない
• それを使っても、本物の仕組みには入れない。にせの ID に、本物の権限を付けない
• 使われた時や届いた時に、自分が気づける。にせのアドレスは、自分が受け取れる物にする

気を付ける事

• 誤って鳴る：社内の人、検索の仕組み、バックアップの道具が触っても、知らせが出る
• 置いた場所を忘れる：どこに何を置いたかの一覧が無いと、本物と見分けられなくなる
• 手間が続く：D3FEND は、おとりの ID について、まわりのおとりの環境を本物らしく保つ手入れが続く、としている
• 相手に気づかれる：おとりだと分かれば、触られない

方法 2：攻撃されてもよいサーバー（ハニーポット）を立てておく

仕組み：本物の仕事が無いので、来る通信はどれも調べる対象になる

ハニーポットは、本物の利用者に使わせないサーバーです。ふつうの用事で来る人は、居ません。

D3FEND は、おとりとして置く物について、正当な仕事の用途を持たない、と説明しています。そこへの通信は、全部 記録して分析するべきだ、という説明です。

過去の攻撃や、これから来るかもしれない攻撃の手がかりを、その記録から探します。

近い考え方の、公の例（NICT）

用の無い所に来る通信を見る、という考え方は、公の観測でも使われています。当社の読みでは、ハニーポットとは別の仕組みで、考え方が近い物です。

日本では、NICT（情報通信研究機構）が、NICTER という仕組みで、使われていない IP アドレスに届く通信を観測し、結果の一部を公開しています。

本来、使われていない IP アドレスに、通信は届かないはずです。実際には、攻撃に関わる通信が大量に届く、と NICT は説明しています。

分かる事

次の 3つは、一般の説明です（当社は、外に置いて試していません）。

• どの入口が、どの順で試されるか
• どのような命令や文字が、送られてくるか
• 本物のサーバーの記録と照らして、同じ相手が来ていないか

気を付ける事

NIST の文書は、おとりを使う時には、切り離しの手当てが要る、としています。おとりに来た悪いプログラムが、本物のシステムにうつらないようにするためです。

この記事では、おとりと本物のシステムを、行き来できないように分ける事を、「切り離し」と書きます。

同じ文書は、使い方によっては、置く前に法務の担当への相談が要る場合が在る、とも書いています。米国の機関の文書で、日本の法令についての字ではありません。

日本の法令で何が問題になるかは、この記事では扱っていません。置く前に、専門の人に確かめてください。

• 切り離しが足りない：おとりから本物や、ほかの人のサーバーへ、害が及ぶ恐れが在る
• 見張る人と時間が要る：攻撃をわざと受けるので、置いたまま放っておく物ではない
• 記録の扱いの決まりが要る：集まる記録には、相手の IP アドレスなどが入る

2つの方法の違い

• おとりにする物：方法 1 は、情報。方法 2 は、サーバー
• 分かる事：方法 1 は、持ち出された・入られたという事実。方法 2 は、攻撃の手口
• 手間：方法 1 は、置いた場所の管理と見張り。方法 2 は、切り離しと、記録の分析
• 主な危うさ：方法 1 は、誤って鳴る事。方法 2 は、本物へ害が及ぶ事

2つは、どちらかを選ぶ物ではありません。目的が違います。

置く前に決める 5つの事

一般の手順を、5つに分けました（当社が通した手順では、ありません）。法令の面の確かめと、方法 2 の切り離しは、この 5つに入れていません。

• 本物の守りと記録が先：おとりは、足す物。入口の守りと、ログを集める事の代わりにはならない
• 何に気づきたいかを決める：持ち出しに気づきたいなら方法 1。手口を知りたいなら方法 2
• 置く場所と一覧を決める：だれが、どこに、何を置いたかを、限られた人だけが見られる形で残す
• 鳴った時の動きを決める：知らせをだれが見て、何を確かめるかを、先に書いておく
• 鳴るかを試す：置いた後に、自分で触って、知らせが届くかを確かめる

何のダミーの情報を作るかを、当社の記録から決めて、手元で作って試した結果は、次の記事に書きました。外には置いていません。

にせの情報（ハニートークン）を先に作っておく：おとりの置き方を、自社の記録から決める手順と限界

限界：おとりは、気づく仕掛けで、止める仕掛けではない

• 触られなければ、鳴らない。鳴らない事は、無事の印ではない
• ダミーの情報が鳴った時には、誤って鳴ったのでなければ、もう入られているか、持ち出されている恐れが在る。起きた事を、無かった事にはできない
• 相手がおとりを避ければ、何も分からない
• 本物の守り（入口の守り、権限を絞る事、更新、記録）の代わりにはならない

おとりを置けば足りる、という事ではありません。気づくきっかけが、1つ 増える、という話です。

当社がしている事と、していない事

2026年10月12日の時点の事です。当社の記録で、読者への勧めではありません。

• している事：自社のサービスの入口で止めた通信の記録を集め、数えている
• 開けている事：その記録を JSON で返す API。登録と呼び出しを開けている。販売は、まだ受け付けていない
• 試していない事：ダミーの情報を置く事。ハニーポットを立てる事

この API が返す記録は、ハニーポットで集めた物ではありません。当社の本物のサービスの入口で、止めた通信です。

よくある質問

Q. 小さい会社や個人のサイトでも、おとりは要りますか？

先に要るのは、入口の守りと記録です。おとりは、その上に足す物です。

要るかどうかを数字で言える材料を、当社は持っていません。まず、自分のサイトに何が来ているかを、記録で見ます。

AI エージェントにセキュリティログを読ませる方法：ログを集め、API で渡し、参照させる手順と限界

Q. おとりが 1回も鳴らなければ、入られていないと言えますか？

言えません。相手が、おとりに触らなかっただけ、という事が在ります。ほかの記録と合わせて見ます。

Q. 問い合わせフォームの「ハニーポット」とは、同じ物ですか？

別の物です。フォームでは、人には見えない入力の欄を置き、そこを埋めてきた送信を機械と見なす仕掛けを、ハニーポットと呼ぶ事が在ります。

「本物の利用者が触らない物を置く」という点は同じです。この記事の 2つの方法とは、目的と作りが違います。

Q. AI がこの記事を書いているのですか？

この記事は、AI エージェントが、公開の文書と社内の記録から書いています。突き合わせも、AI エージェントが行いました。載せるかどうかは、会社が決めています。

まとめ

• おとりには 2つの型が在る。ダミーの情報を置く型と、ハニーポット（おとりのサーバー）を立てる型
• ダミーの情報は、使われた時に、持ち出された・入られたと気づくための物。本物の情報を混ぜない
• ハニーポットは、攻撃を受けて手口を記録する物。本物から切り離し、見張り続ける
• どちらも、気づく仕掛けで、止める仕掛けではない。本物の守りと記録が先