検索

…h ログのパトロールを実施した。重大なインシデントは確認されなかった。顧客起因のメール障害が1件あり、即日対応済み。 サーバー | 種別 | 判定 | 主な事項…

…| 主な事項 cPanel A | cPanel | 🟡 対応済み | 顧客メール設定不備（後述） cPanel B | cPanel | 🟢 経過観察 | …

…スパム率やや高め cPanel D | cPanel | 🟢 完了 | 顧客メール設定ミス案内済み cPanel E | cPanel | 🟢 完了 | ht…

…tch）巡回と、複数のインシデント対応を実施した。本記事では、認証情報窃取によるメール不正送信、顧客側の設定ミスによる誤検知、そして「AIが生成した過去の調査結果を鵜…

… 対象 | 状態 | 主な事象 サーバーA（cPanel） | 対応完了 | メールアカウント侵害による不正送信、キュー滞留 サーバーB（DirectAdmin）…

…滞留 サーバーB（DirectAdmin） | 調査完了・対応不要 | 顧客側メールクライアントの設定ミス、Webサーバーへの探査アクセス（実害なし） サーバーC…

…sassinはクリーン51%・スパム49%と、他サーバーより高めの値。特に3つのメールアカウントで「受信数はごく少ないのにスパムだけ大量」という偏った状態が見られ、ス…

…できない）。緊急対応は不要だが、次回以降も同様の傾向が続くようなら利用者への迷惑メールフィルター強化案内を検討する。 ■ cPanelサーバーC SSH宛…

…ler（メモリ不足時の強制終了）の発動記録はなく、メモリにも十分な空きがあった。メール受信サービス自体への影響も、該当時間帯を含めて完全に無停止・エラーゼロだったこと…

…タルサーバー5台(役割の異なる複数サーバー群) 発端1 | 「Dovecot(メールサーバーソフト)がkillされた」という警告ログ 発端2 | 特定サーバーで検…

…が出力された。文面だけ見るとサービス停止を疑う内容だったが、実際には同じ時間帯にメール配信・ログイン処理が通常通り継続していた。 サービス側のシステムログを詳し…

…の正体は「シグナル15(正常終了の合図)による子プロセスの整理」だった ・メールサーバーのマスタープロセス自体は落ちておらず、子プロセス(個別の通信処理を担当す…

…件auth_failed、複数の海外IPからの分散型辞書攻撃。侵入なし。 メール面では全体の36%がスパム。SpamAssassinで検出・処理済み。特定1アカ…

…。 ■ cPanel-C（スパム率69% — 全サーバー最悪） 受信メールの7割がスパム。 特定1アカウントだけで184通のスパムを受信しており、サーバー…

…けで184通のスパムを受信しており、サーバー全スパムの10%を単独で占める。受信メールが全てスパム（clean=0）のアカウントも10件存在し、実質使われていないメー…

…、実際の侵入成功は全サーバーで0件。 ■ Dovecot 認証失敗 メールサーバーへのブルートフォース試行も継続中。特に： ・dada@[ドメイン]…

…unter --propupd でDBを更新し解消済み。 ■ 2. スパムメール状況 ■ 全サーバー合算 指標 | 数値 正常メール合計 | 約1…

… 2. スパムメール状況 ■ 全サーバー合算 指標 | 数値 正常メール合計 | 約17,000通 スパム判定合計 | 約8,200通 平均スパム率…

…処 ■ 背景 共有ホスティング環境では複数サーバーのlogwatchメールを毎日確認している。他サーバーが約6,000行程度なのに対し、DirectAdm…

…mited to: 20 が表示され、設定反映を確認。実際の行数削減効果は翌日のメールで確認予定。 ■ 対処2：cPanel機A — iptables集約設定 …

…null 破棄数 | 107件（2アドレス合計） 受信箱への実到達数 | 正規メール4件のみ SpamAssassinスコア範囲 | 7.8〜41.2 フィ…

…ムしずく ■ 総括 サーバー区分 | 台数 | 正常 | 要監視 メール/Webサーバー | 6 | 3 | 3 VPSサーバー | 1 | 1 | …

…nterによるルートキットスキャン実施 → クリーン確認 ・Postfixメールキューに若干の遅延（中央値102秒）。次回以降で推移を監視する ■ cPa…

…ォース攻撃：73ユニークIPから試行継続（ブラジル・ドイツ系） ・実在するメールアカウントへのパスワード推測試行が含まれるため、引き続き監視 ・実害（不正…

…od_proxy 悪用試行も1件検出し deny 追加。 顧客アカウントのメール認証が特定端末から3時間おきに繰り返し失敗していることを確認。調査の結果、10年…

…していることを確認。調査の結果、10年以上前に削除した古いアカウントへ家電製品のメール連携機能がアクセスし続けていたことが判明。顧客が該当機能をオフにして解決。 …

…ny の通常補正動作による一過性のものと確定。対応不要。 顧客アカウントのメール認証が単一IPから3時間おきに繰り返し失敗。調査の結果、メールクライアントのパス…

…な異常 | 対応状況 a200 | 15% | IMAP認証失敗（1名） | メール送付済み a400 | 31% | IMAP認証失敗（複数）・スパム率53% …

…済み a400 | 31% | IMAP認証失敗（複数）・スパム率53% | メール送付済み a500 | 29% | IMAP認証失敗（1名）・SSH探索 | …

…500 | 29% | IMAP認証失敗（1名）・SSH探索 | deny追加・メール送付済み a600 | 27% | POP3探索攻撃・IMAP認証失敗（複数）…

…SMTP/POP3認証失敗攻撃元 CSFブロック（2件） ・特定ドメインのメールアカウントへ集中攻撃（約70〜100件） ・CSFに未登録だった2件を手動…

…アクセス試行: 1 件（過去の移行残骸と推定、緊急性なし） ■ Exim（メール送受信） ・認証失敗: 8,515 件（全件 535 拒否） ・不正…

…ot 認証失敗が複数 IP から継続的に発生。全件失敗しており侵入はないが、当該メールアカウントのパスワードが弱い可能性がある。 cPanel-D max_u…

…h_failed） ・攻撃元 IP は毎回異なる分散型パターン ■ メールスキャン（mod_proxy 試行） ・複数の cPanel サーバーで …

…upabase）が動作しているため lfd が誤検知 ・101通のアラートメールが送信される事態に ・不正アクセスなし・不審プロセスなし・ログイン履歴正常…

…razor2 による SpamAssassin メモリ消費 複数ユーザーのメール処理が重なると razor2 子プロセスが同時起動しメモリスパイクを起こす。今回…

… ブロックしたIP | 2件 ■ フリート全体共通対応 ■ 1. メールフィルター設定ファイルのオーナー不正（全cPanelサーバー） 発見の経緯…

…全cPanelサーバー） 発見の経緯：ユーザーからcPanelのグローバルメールフィルターが編集できないという問い合わせが届いた。調査の結果、フィルター設定ファ…

…との重要性を再確認した。 ■ 2. logwatch の二重実行による不要メール（全サーバー） 症状：「logwatchの一時ディレクトリに古いファイルが…

…。 いずれもcPanelのchkservdが自動検知・自動再起動で復旧しており、メール送受信への影響はなかった。 原因はGCP（Google Cloud Pla…

…いパスへのアクセスのため） Webサイト | 停止中（約5分間）は接続不可 メール送受信 | 影響なし（Dovecotは別プロセスのため継続稼働） データ改ざん…

…→ httpd の停止を自動検知・再起動。 → 復旧まで約5分。アラートメールも自動送信。 3層すべてが設計通りに機能した好例として記録する。 ■…

… ・SSH攻撃IP 4件をCSFブロック ・特定アカウントのIMAPメールボックス（1.9GB）を検知 → 顧客へ案内メール送信 ・別アカウントにて…

… ・特定アカウントのIMAPメールボックス（1.9GB）を検知 → 顧客へ案内メール送信 ・別アカウントにてPOP3多重接続問題が継続中：特定IP1拠点（1.…

…い。 ■ 5. POP3多重接続問題（顧客対応事例） 複数端末で同一メールアカウントをPOP3共有利用しているケースで、特定1拠点の受信間隔が短すぎてサー…

…ーバー詳細 ■ サーバーA（cPanel） Dovecot ・メール配信: 3,459通、ログイン成功: 5,783回 ・TLSハンドシェイク…

…ェイク中断が複数IPから発生（スキャンボットによるプローブと判断） ・特定メールアドレスへの認証失敗が複数海外IPから分散して発生 SpamAssassi…

…sassinによるフィルタリング自体は正常動作中 Dovecot ・メール配信: 800通、ログイン成功: 11,162回 ・auth_allow_…

…tch.XXXXXXXX という一時ディレクトリが残留し、Anacronから警告メールが届いた。 ■ 原因 前夜のcPanelによる自動パッケージ更新（A…

…スパム処理が seen finish（フィルタ処理を終了するだけ）になっており、メールは通常通り配信されていた。seen finish は自動返信をスキップする効果し…

…ースの条件に変更。スコアに関係なくSpamAssassinが「Yes」と判定したメールをすべて /dev/null に廃棄するよう統一した。 # Exim fi…

…hが1通届かなかった 毎朝、管理している6台のサーバーからlogwatchメールが届く。 各サーバーの昨日の状態をまとめたレポートで、スパム・SSH攻撃・ディ…

… logwatchは MailTo = root のまま動いており、rootのメールがエイリアス経由で転送されていた。差出人が root@a700.hanbai.c…

…0 | 45% a400 | 47% a500・a600・a400は受信メールの半分近くがスパム。SpamAssassinは検知しているのに、ユーザー設定（v…

… ■ 事象と原因 数日前より、Server-Aのlogwatchレポートがメール配信に失敗していた。バウンスメールの内容は次のとおり。 message h…

…、Server-Aのlogwatchレポートがメール配信に失敗していた。バウンスメールの内容は次のとおり。 message has lines too long…

…■ 対処 cronスクリプトの配信方式を変更した。 # 変更前（直接メール送信） logwatch --output mail # 変更後（標準出…