サイバーセキュリティ観測レポート

• 導入前は、総アクセスが減っていても探索が増加。10月10日分から14日分にかけて、.env関連要求は79件から434件に増え、PHP-CGI・Shellshock・SSRF型の試行も記録されました。
• 導入後は、サーバーへの到達件数と記録上の送信量が減少。総リクエストは22,027件から10,547件に減少しました。
• Cloudflare側でも探索の継続と遮断を確認。設定ファイルなどを探すアクセスに対し、カスタムルールによるブロックが記録されています。

一次資料は、studiomasao.comのサーバーアクセスログ3ファイル・エラーログ3ファイルと、CloudflareのFirewallイベントJSON 1ファイルです。以下の時刻はすべて日本時間（JST／UTC+9）です。

サーバーの時間帯はアクセスログの収録範囲です。Cloudflareの件数は、一部サンプリングを含む今回の出力データ内の件数で、両者の収録時間帯は異なります。

この比較は各期間の記録件数の変化を示しています。利用状況や曜日、キャッシュなども影響するため、Cloudflare単独の遮断率としては扱っていません。

主な探索・攻撃試行を9つに分類しました。件数は順に10/10分 → 10/14分 → 10/18分です。

1. 01

   Webシェル・PHP診断ファイルの探索

   Web Shell / Diagnostic File Discovery

   3 → 41 → 0件

   既知のWebシェル名やphpinfo.php、管理ツール名などを列挙するアクセスです。10/14分は404が24件、301が17件。ファイルの存在を調べる探索として分類しています。

2. 02

   機密設定・認証情報の探索

   Sensitive File / Credential Enumeration

   .env関連：79 → 434 → 203件

   データベースや外部サービスの接続情報が置かれやすい設定ファイルを、階層・拡張子・派生名を変えて探索しています。10/18分の203件は403が14件、404が187件、501が2件で、2xxはありません。Vite系のファイル・デバッグ用パスも28→56→30件あり、設定情報やプロセス情報を求める横断的な探索が続いています。

3. 03

   Gitリポジトリ露出の探索

   Exposed Git Repository Probing

   1 → 25 → 0件

   .git/configなど、ソースコード管理情報の公開を探る要求です。10/14分は403が9件、404が14件、301が2件。2xxは記録されていません。301は別のURLへの転送を示す応答です。

4. 04

   AI開発ツール・MCP設定の露出探索

   AI Tool / MCP Configuration Disclosure Probing

   0 → 10 → 0件

   AI開発ツール、エディター、MCP連携用の設定パスを列挙する要求です。10/14分の該当10件はすべて403でした。開発用の設定情報を探すパターンとして分類しています。

5. 05

   SSRF型の要求・クラウドメタデータ探索

   Server-Side Request Forgery / Metadata Probing

   0 → 17 → 0件

   クエリ等にクラウドのメタデータ取得先を指定し、サーバーから内部向け通信を起こそうとするパターンです。10/14分は200が14件、404が3件でした。200はWebページの応答を示すもので、攻撃の成功を示すものではありません。応答サイズについては後述します。

6. 06

   ThinkPHPのリモートコード実行試行

   ThinkPHP RCE Probing

   0 → 2 → 0件

   ThinkPHPの関数呼び出し・ディスパッチを悪用する形の要求です。10/14分の2件は200で、通常のトップページと同じ応答サイズが記録されています。

7. 07

   Shellshock攻撃試行

   Bash Environment Variable Command Injection

   0 → 12 → 0件

   User-AgentやRefererに、Bashの関数定義を悪用する特徴的な構文が含まれていました。10/14分は501が6件、404が6件です。いずれもエラー応答として記録されています。

8. 08

   PHP-CGI引数インジェクション

   PHP-CGI Argument Injection

   7 → 14 → 0件

   PHPの設定値を外部入力から変更しようとする要求です。allow_url_includeまたはauto_prepend_fileの指定を含む行を集計しました。10/14分は404が10件、405が4件。いずれもエラー応答として記録されています。

9. 09

   クローラー名を使う自動的な横断探索

   Automated Cross-Product Probing

   検索・AIクローラー等を名乗るUser-Agentで、設定ファイルや複数製品向けのパスを短時間に列挙するパターンが複数日に見られました。今回の分類では、クローラーの名乗りよりも要求先や短時間の連続アクセスに着目しました。

このほか、WordPressのログイン・XML-RPC入口への要求は2→55→0件で、いずれも403でした。

エラーログは、主にアクセス制御による拒否を記録

エラー543行のうち、AH01630（サーバー設定によるアクセス拒否）は83→339→110件、AH01797（アクセス制御による拒否）は2→2→1件でした。10/14分にはディレクトリ一覧の表示禁止を示すAH01276が3件あります。

10/10分には、ModSecurityがファイル部分を除くリクエスト本文について1MiBの上限超過を検出し、413で拒否した記録が3件ありました。この記録では、防御機能と拒否理由を具体的に確認できました。

会員ログインへのPOSTは67→13→35件で、すべて302（画面遷移）の応答でした。また、404には旧URLやリンク切れも含まれるため、404全件を攻撃として数えていません。

JSONの355件はすべてaction=block、source=firewallCustomでした。この資料には、カスタムルールによる遮断が記録されています。

本体＋wwwの244件を、要求内容から読み直す

特に、10/19 16:04:34〜16:04:36の間には、1つの接続元から本体とwwwに127イベント・90種類のパスが記録され、そのうち120件が設定・診断情報の探索でした。書き出し全体では同系統の探索が226件あり、サブドメインにも106件見られました。導入後も探索は継続し、この抽出分ではCloudflare側の遮断が記録されています。

海外アクセスの遮断には、設定ファイル探索だけでなく公開ページやトップページへの要求も含まれていました。このため、遮断件数は攻撃件数とは分けて掲載しています。

接続元IPの記録にも変化

10/18分では、ログに記録された接続元IPのうち10,418件（98.8%）がCloudflare公開IPv4レンジと一致しました。導入前は10/10分が0件、10/14分が2件でした。残り129件はすべて301でした。導入後はCloudflareの接続元IPが多く記録されるようになっています。Cloudflare公式IPv4レンジ

今回の記録では、設定情報の探索と既知の脆弱性を狙う要求が目立ちました。こうしたアクセスへの備えとして、次の対策が有効と考えられます。

1. 設定・開発用ファイルの公開を防ぐ

   .envやGit、開発ツールの設定を探す要求が繰り返し届いていました。これらを公開領域に置かず、サーバー側でもアクセスを拒否する設定が、情報の持ち出しを防ぐ備えになると考えられます。

2. Cloudflareとサーバーの両方で防ぐ

   Cloudflareでは探索の遮断を確認した一方、導入後のサーバーにも.env関連の要求が届いていました。Cloudflareのルールとサーバー側のアクセス制御を組み合わせることが、継続する探索への対策として有効と考えられます。

3. 使用するソフトウェアを更新する

   PHP-CGIやShellshockなど、既知の脆弱性を狙う形式の要求も記録されました。使用しているソフトウェアの更新も、こうした試行への備えとして有効と考えられます。