マルチサーバー 定期パトロールレポート

対象日: 2026年6月18日（ログ日付）
パトロール実施: 2026年6月19日
対象サーバー数: 7台（DirectAdmin × 1、cPanel × 5、Ubuntu VPS × 1）

サマリー

サーバー種別	台数	要対応	異常なし
DirectAdmin	1	0	1
cPanel	5	0	5
Ubuntu VPS	1	1（軽微）	—
合計	7	1	6

総評: 全サーバーで侵入・不正送信ゼロ。Ubuntu VPS にて rkhunter の軽微な誤検知1件を検出・対処済み。その他は通常範囲の攻撃トラフィックのみ。

各サーバー詳細

1. Ubuntu VPS（新規稼働サーバー）

ステータス: 対処済み ✅

Dovecot / SSH

SSH認証失敗: 複数IPからの探索あり、全件 Fail2ban が検出・一時 BAN 後解除
SSH成功ログイン: 管理者による正規アクセスのみ（鍵認証）
Dovecot: 軽微な認証失敗のみ、侵入なし

rkhunter

/usr/bin/lwp-request が “replaced by a script” として警告
判定: 誤検知。libwww-perl パッケージの正規 Perl スクリプトであり、最初からスクリプトとして配布されているもの
対処: rkhunter --propupd /usr/bin/lwp-request を実行、プロパティ更新済み。次回スキャンより警告消滅

システム

旧カーネル（6.8.0-90 系）の自動削除: 正常
/swapfile3 追加（4GB）: 正常なメンテナンス作業
ディスク使用率: 7%（余裕あり）
Docker コンテナの veth インターフェース多数: 正常なコンテナ動作

2. DirectAdmin サーバー

ステータス: 異常なし ✅

Dovecot

成功ログイン: 15,707 回（正常範囲）
認証失敗: 複数ユーザーへの Password mismatch 攻撃（全件失敗）
存在しないドメインの passwd ファイルへのアクセス試行: 1 件（過去の移行残骸と推定、緊急性なし）

Exim（メール送受信）

認証失敗: 8,515 件（全件 535 拒否）
不正リレー拒否: 3,828 件
補足: DirectAdmin + Exim 構成では logwatch がほぼ生ログを出力するため行数が多くなるが、内容は他サーバーと同水準の攻撃トラフィックであり異常なし

SpamAssassin

スパム率: 32%（正常範囲）
フィルター動作確認済み

システム

ディスク使用率: 8%（余裕十分）

3. cPanel サーバー群（5台）

ステータス: 全台異常なし ✅

共通事項

全台で当日 cpanel-monitoring-plugin が 2.6.0 → 2.7.0 へ自動更新
wp-toolkit による sudo セッションは全台で正常動作
Systemd の /var/run パス警告は cPanel 由来の既知の軽微な警告（毎回出力、無視可）
SSH 探索は全台で確認されたが、全件 Timeout または LoginGraceTime 超過で Drop。侵入ゼロ

スパム率比較

サーバー	スパム率	総受信数
cPanel-A	10%	約 7,800 件
cPanel-B	25%	約 2,700 件
cPanel-C	32%	約 5,100 件
cPanel-D	45%	約 2,900 件
cPanel-E	52%〜56%	約 3,300〜5,100 件

全台でフィルター動作確認済み。スパム率が高いサーバーも受信スパムを正常に処理しており、不正送信は確認されていない。

ディスク使用率

サーバー	使用率	総容量
cPanel-A	15%	788 GB
cPanel-B	27%	788 GB
cPanel-C	29%	394 GB
cPanel-D	31%	394 GB
cPanel-E	38%	394 GB

全台余裕あり。要注意ラインまで余裕あり。

個別特記事項

cPanel-B（パスワード認証有効サーバー）
SSH 認証失敗が他の cPanel サーバーより多め。パスワード認証を有効にしている設計上の特性によるもので、想定範囲内。侵入なし。

cPanel-C
特定ユーザーへの Dovecot 認証失敗が複数 IP から継続的に発生。全件失敗しており侵入はないが、当該メールアカウントのパスワードが弱い可能性がある。

cPanel-D
max_userip_connections 超過（1 ユーザー、1 IP から 6 回）。複数デバイスまたはメーラーの同時接続過多によるもの。侵入ではなく接続設定の問題。クライアントからの問い合わせがない限り放置可。

cPanel-E（Dovecot ログイン最多サーバー）
成功ログイン 85,084 回と今回の対象サーバー中最多。process_full（接続過多による 1 件のログイン中断）を確認したが散発的で問題なし。SSHD セクションの Unmatched Entries がゼロ（全 7 台中唯一）と静かな1日。

共通の脅威トレンド

SSH スキャン

全サーバーで中国・東南アジア・東欧を発信元とする SSH 探索を確認
特定サーバーでは単一 IP から 10 回以上の Timeout を記録
公開鍵認証の徹底により、認証を試みる前段階でドロップされているケースが大半

Dovecot への認証試行

複数サーバーで同一アカウントに対する多 IP からのパスワード総当たりを確認
全件失敗（Inactivity / auth_failed）
攻撃元 IP は毎回異なる分散型パターン

メールスキャン（mod_proxy 試行）

複数の cPanel サーバーで check.easyproxy.xyz 等への mod_proxy 経由のプロキシ試行を確認
全件拒否済み

教訓・ナレッジ

rkhunter の lwp-request 誤検知

/usr/bin/lwp-request は libwww-perl パッケージに含まれる正規の Perl スクリプト。rkhunter はバイナリを期待するためスクリプトを「置き換えられた」と誤検知する。--propupd コマンドでプロパティを更新することで以降の警告を抑制できる。Ubuntu / Debian 系サーバーで新規セットアップ後に発生しやすい。

DirectAdmin の logwatch 行数について

DirectAdmin + Exim 構成では logwatch の Exim セクションが集計済みサマリーではなく生ログを出力するため、cPanel サーバーと比較して大幅に行数が多くなる。内容としての脅威レベルは他サーバーと同水準。

パスワード認証有効サーバーのリスク

特定の事情でパスワード認証を維持しているサーバーでは SSH 認証失敗ログが他サーバーの数倍になる。CSF / Fail2ban による自動 BAN が機能していることを定期的に確認することが重要。

タイムライン

時刻（JST）	作業内容
11:19	パトロール開始
11:20 頃	Ubuntu VPS ログ分析・管理者 IP 確認
11:30 頃	rkhunter 警告確認指示・結果受領
11:35 頃	rkhunter ホワイトリスト登録完了（Ubuntu VPS）
11:40 頃〜	cPanel 5台・DirectAdmin 1台順次分析完了
完了	全 7 台異常なし確認、パトロール終了