共用サーバー6台の日次セキュリティ監視レポート（2026年6月7日分）

マルチサーバー共用ホスティングの日次logwatch分析記録。 cPanelサーバー5台＋DirectAdminサーバー1台の計6台を対象に、セキュリティ・メール・インフラの状態を横断的に点検した。

サーバー横断サマリー

サーバー	パネル	判定	配信数	スパム率	FWブロック	SSH侵入	ディスク
SV-1	cPanel	良好	1,661	34%	10,824	なし	16%
SV-2	cPanel	注意	1,628	57%	11,015	なし	30%
SV-3	cPanel	警告	564	70%	11,559	なし	28%
SV-4	cPanel	注意	1,377	54%	23,577	なし	35%
SV-5	cPanel	注意	2,786	15%	10,712	なし	42%
SV-6	DirectAdmin	注意	2,099	21%	21,861	なし	8%

全サーバー共通：SSH侵入ゼロ、Dovecotブルートフォースゼロ。

1. スパム状況 — cPanelとDAで明暗くっきり

本日最大の発見は、cPanelサーバーとDirectAdminサーバーのスパム率の差。

パネル	サーバー数	スパム率レンジ
cPanel	5台	15%〜70%
DirectAdmin	1台	21%

cPanelサーバー側の特徴

SV-3が**スパム率70%**で全サーバー中ワースト。clean 560通に対してspam 1,287通
50通超のスパムを受けていたアカウントは全6台合計で21アカウント
単一アカウントのワーストは191通（SV-2のあるアカウント、clean 1通のみ）
次点はclean 0通・spam 123通で、完全にスパムの受け皿と化していたアカウント

転送設定の確認結果

高スパムアカウント計14件を調査した結果、全アカウントで転送設定（vfilter）・catch-all（defaultaddress）ともに未設定だった。

これは重要な意味を持つ。スパムがメールボックスに溜まるだけで、外部（特にGmail）への転送が発生していないため、共用IPの評判への直接的なダメージはない。

system filter（スパム破棄ルール）の配備状況

Exim system filterで X-Spam-Status: Yes のメールを転送前に破棄するルールの設置状況を確認。

SV-4：運用者が手動で seen finish ルールを設置済み
SV-3：チームが正規パス（/usr/local/cpanel/etc/exim/sysfilter/options/）で設置済み
SV-5：spamルール2件あり

将来、いずれかのアカウントで転送設定が追加されても、スパムが外部に漏れない防御層が機能している。

2. ポートスキャナー 176.65.148.58 — 3台で対処

発見

SV-4のlogwatchで、単一IPから13,738パケット・13,733種のTCPポートに対するフルポートスキャンを検出。同一IPがSV-5（119パケット）、SV-2（140パケット）にも到達していた。

対処

到達が確認された3台でcsf -dによる永続ブロックを実施。残り2台（SV-1、SV-3）には到達していなかったため対応不要。

サーバー	パケット数	対応
SV-4	13,738	csf.deny追加 ✓
SV-5	119	csf.deny追加 ✓
SV-2	140	csf.deny追加 ✓
SV-1	—	未到達
SV-3	—	未到達

教訓

logwatchの横断分析をしていなければ、SV-5とSV-2への到達は見逃していた可能性がある。同一攻撃者が複数サーバーを狙うパターンでは、1台で検出したら全台をチェックする運用が有効。

3. SMTP認証ブルートフォース — DAサーバー固有の課題

発見

DirectAdminサーバー（SV-6）で、5,378回のSMTP認証失敗を検出。攻撃元は3,037ユニークIP。特定のアカウント名が集中的に狙われており、最多は367回。

cPanelサーバーではEximセクションがlogwatchに出ないため、同等の攻撃があっても数字として見えにくい構造的な違いがある。

防御状況

CSFのLF_SMTPAUTH=5（5回失敗で永続ブロック）が有効に機能しており、攻撃者は自動的にブロックされていた。csf.denyは672/1,000で余裕あり。

4. HTTPプローブ — .envファイル探索

発見

SV-6（DirectAdmin）のhttpdログに、パストラバーサル攻撃（/?file=../../../../var/www/html/.env）がHTTP 200を返した記録があった。

.envファイルにはDB認証情報やAPIキーが格納されることが多く、漏洩すれば深刻な被害につながる。

調査結果

/var/www/html/.env → 存在しない
/home/ 以下の全ディレクトリ → .envファイル不在
実際のHTTPレスポンス → 403 Forbidden

logwatchのHTTP 200表示は、アプリケーション層のデフォルトレスポンスによるもので、ファイル内容は露出していなかった。

教訓

logwatchの「HTTP 200」だけで安心も焦りもできない。実際にファイルの存在を確認し、現在のレスポンスコードを検証するところまでやって初めて安全と言える。

5. SSH — PasswordAuthentication=yesの影響

状況

6台中1台（SV-5）のみPasswordAuthentication=yesを維持している（特定ユーザーのアクセス用途で意図的な設定）。

結果として、SV-5のSSH認証失敗は798件で、他サーバー（8〜34件）と比べて桁違いに多い。特定のcPanelアカウント名が複数IPから狙い撃ちされていた。

確認結果

該当ユーザーのシェル → noshell（ログイン不可）
SSHのDenyUsersにも明示的に登録済み
パスワードハッシュ → SHA-512（強度は十分）

二重防御が効いており、パスワードが破られてもSSHログインは不可能。ただし、攻撃面が広い状態は変わらないため、長期的には鍵認証への移行が望ましい。

6. Dovecot — 全サーバーで平穏

項目	結果
ブルートフォース	全6台で0件
killed（異常停止）	SV-3で1件（既知の誤検知パターン）
auto-restart override	全cPanelサーバーに配備済み

SV-3の「Dovecot was killed, and not restarted afterwards」はlogwatchの誤検知。実際にはSIGHUPによるリロード処理であり、auto-restart override（systemd）も配備済みのため実害なし。

7. クライアント対応 — メーラー設定誤り

DA移行後のユーザー名形式問題

cPanelからDirectAdminへ移行したドメインで、クライアントのメーラーが旧形式のユーザー名のまま接続し続けるケースが2件発生。

パターン	原因	日次エラー数
`ドメイン名/ユーザー名` 形式	cPanel形式のまま未変更	152回
氏名をそのまま入力（スペース含む）	メーラーの設定ミス	51回

2件目については、6月2日に通知メールを送信し、クライアントから「修正済み・テスト完了」の返信があった。しかしサーバーログを確認すると同一IPから6月7日もエラーが継続していた。

IP履歴を調査したところ、5月6日から1ヶ月以上、毎日60〜80件のエラーが出続けていることが判明。クライアントが「修正した」のは送信（SMTP）側のみで、受信（POP3）側のユーザー名が未修正と推定。

最新の6月7日付ログを添付した再通知メールを送信した。

教訓

クライアントが「修正済み」と報告しても、ログで実際に解消されたか検証することが重要
SMTP/POP3/IMAPは別々に設定される場合が多く、「送信テストOK」は受信側の修正を保証しない
接続元IPの履歴分析で、「別端末の問題」か「同一端末の未修正」かを切り分けられる

8. インフラ指標

LFDメモリ消費

サーバー	LFDメモリピーク	csf.deny件数
SV-3	752.3 MB	1,669
SV-5	751.4 MB	711
SV-1	669.1 MB	—
SV-2	603.1 MB	865
SV-4	88.4 MB	762

SV-3とSV-5が750MB超え。csf.deny件数との相関は弱く（SV-5は711件でも751MB）、ログ監視プロセスの接続追跡がメモリ消費の主因と推定。IPSET有効なのでiptablesルール自体は軽量。経過観察。

ディスク使用率

全サーバー42%以下。最も余裕があるのはSV-6（DA）の8%、最も高いのはSV-5の42%。いずれも問題なし。

本日の対応タイムライン

時刻	対応内容
06:43	SV-4: 176.65.148.58 csf.deny追加
—	SV-4: system filter確認（ジージ設置済み）
—	SV-3: 転送・catch-all・system filter確認（全て対応済み）
—	SV-6: .envプローブ調査（安全確認）
—	SV-6: SMTP認証保護確認（LF_SMTPAUTH=5 正常稼働）
—	SV-6: UDP/24441自己通信調査（現在停止）
—	SV-6: メーラー設定誤りのクライアント再通知メール送信
07:15	SV-5: 176.65.148.58 csf.deny追加
07:20	SV-2: 176.65.148.58 csf.deny追加
—	SV-5: dreamdirectユーザーSSH保護確認（noshell + DenyUsers）
—	SV-1: 全項目正常、対応不要