今朝、JPCERT/CCが公表した不審なIPアドレスを手掛かりに、7か月分のサーバーログを調べた記事を公開しました。 見つかったのは43万回を超える不審なアクセス。その多くは、過去に設置されたWebシェルなどを探すスキャンでした。 しかし、しかしです。 記事を書き終えた後も、なんだか気持ち悪い。 どうもしっくり来ません。 そもそも、最近相次いでいる企業への不正アクセスは、こうした大量スキャンとは違う手口ではないか。 どう考えても、今回の一連の事象と結び付きません。 仕事中も悶々としていました。 そこで、別の攻撃パターンを探して、ログをもう一度調べてみました。 すると、GeoServer、Fortinet、SonicWall、QNAP、Metabaseなど、特定の製品やAPIを探す281回のアクセスが見つかりました。 しかも、私のサーバーでは、これらの製品を一つも使っていません。 攻撃者は、製品があると分かってから来るのではなく、あるかどうかを探しに来ている。 Webシェルなどを「拾う攻撃」と、特定製品の入口を「狙う攻撃」。 目的が明らかに違います。 今回確認できたのは製品や機能の探索までで、脆弱性の悪用そのものではありません。 それでも、最初の記事では見えていなかった、もう一つの攻撃パターンが見えてきました。 実際のログを比較して、続編の記事にしました。 aikido-community.jp/articles… #サイバーセキュリティ #不正アクセス