サーバーパトロール日誌 2026-06-22

対象日：2026年6月21日（日） パトロール実施：2026年6月22日（月） 担当：チームしずく ■ サマリー 項目 | 数値 パトロール対象サーバー数 | 8台 検出インシデント | 0件（実害なし） 対応済み案件 | 12件 顧客通知 | 2件 新規 CSF deny 追加 | 8件 知見ファイル保存 | 8件 全サーバーで重大インシデントなし。不正ログイン成功ゼロを確認。 ■ サーバー別パトロール結果 ■ サーバー1（Ubuntu 24.04 VPS） 判定：🟢 正常 項目 | 結果 ディスク使用率 | 10% Dovecot | 正常稼働 SSH | 管理者アクセスのみ 特記 | rkhunter Suggested Inspection 3件 対応内容 rkhunter の警告3件を調査。全て false positive と確定した。 ・/usr/bin/lwp-request → libwww-perl の仕様によるもの。SCRIPTWHITELIST のコメント解除で解消 ・SSH PermitRootLogin: prohibit-password と rkhunter 設定の不一致 → ALLOW_SSH_ROOT_USER=prohibit-password に変更（実態は鍵認証のみで安全） ・/etc/.updated hidden file → systemd-update-done が自動生成する正常ファイル。ALLOWHIDDENFILE に追加 rkhunter --propupd 実行後、再チェックで Warnings: 0 を確認。 新規知見：新規サーバー構築時の rkhunter 初期設定として、ALLOW_SSH_ROOT_USER の実態合わせ・libwww-perl の SCRIPTWHITELIST 許可・/etc/.updated の ALLOWHIDDENFILE 追加・初回 propupd の4点を実施しておくとログノイズを防げる。 ■ サーバー2（cPanel / AlmaLinux 9） 判定：🟢 正常 項目 | 結果 ディスク使用率 | 38% Dovecot 配信 | 6,074件 SSH 認証失敗 | 約50件（全遮断） 特記 | ImageMagick 自動更新、mod_proxy 試行 対応内容 mod_proxy 経由で外部サービスへのオープンプロキシ悪用試行（2回）を検出。送信元IPを CSF deny に追加した。ImageMagick が新バージョンに自動更新されており、lfd がインテグリティ警告を出していたが false positive。CSF DB 更新 + lfd 再起動で解消。 Dovecot の "was killed" 表示はこのシリーズのサーバーでは既知の false positive。 ■ サーバー3（cPanel / AlmaLinux 9） 判定：🟢 正常 項目 | 結果 ディスク使用率 | 31% Dovecot 認証失敗 | 109件 SpamAssassin スパム率 | 57% 特記 | 南米系IPによる分散攻撃 対応内容 南米（ブラジル・アルゼンチン等）から分散した複数IPが特定アカウントを標的に認証試行。不正ログイン成功0件を確認後、主要5IPを CSF deny に追加した。 lfd がピーク時に通常の約20倍のメモリを消費していたが、翌日確認で正常値に回復。大量ブロック処理による一過性のものと確定。 ■ サーバー4（cPanel / AlmaLinux 9） 判定：🟢 正常 項目 | 結果 ディスク使用率 | 29% Dovecot ログイン成功 | 13,305件（最多） SpamAssassin スパム率 | 70% 特記 | Dovecot process_limit 到達、lfd 695MB 対応内容 Dovecot の imap process_limit（512）に到達するエラーが1件発生。翌日確認で現在接続数 10・imap プロセス数 3と余裕があり、前日の一時スパイクと確定。即時の limit 引き上げは不要と判断。 lfd のピークメモリが695MBと高値を記録したが、翌日45MBで正常回復。mod_proxy 悪用試行も1件検出し deny 追加。 顧客アカウントのメール認証が特定端末から3時間おきに繰り返し失敗していることを確認。調査の結果、10年以上前に削除した古いアカウントへ家電製品のメール連携機能がアクセスし続けていたことが判明。顧客が該当機能をオフにして解決。 ■ サーバー5（cPanel / AlmaLinux 9） 判定：🟢 正常 項目 | 結果 ディスク使用率 | 15% Dovecot 認証失敗 | 65件 SpamAssassin スパム率 | 31%（本日最良） 特記 | 単一IPからのブルートフォース、ImageMagick 更新 対応内容 単一IPから2秒間隔の高速連続試行（65件）を検出。不正ログイン成功0件を確認後、即座に CSF deny を追加。ImageMagick 更新による lfd インテグリティ警告は false positive として解消。 PHP-FPM が前日に20時間超のCPUを消費していたが、翌日確認で正常回復。特定のサイトが原因と推定され継続ウォッチ対象とした。 ■ サーバー6（DirectAdmin / Linux） 判定：🟢 正常 項目 | 結果 ディスク使用率 | 8% Dovecot ログイン成功 | 11,981件 Exim 拒否リレー | 4,809件 SpamAssassin スパム率 | 45% 特記 | HTTPD Errors 175,471件、passwd_alt 欠損 対応内容 HTTPD エラーが175,471件と大量に記録されていたが、Apacheエラーログを直接確認したところ98.5%が AH01071 Primary script unknown（存在しないPHPファイルへのリクエスト）だった。送信元が全てクラウドサービスのIPレンジであることを確認。ボット/スキャナーによるPHPファイル探索で、正常に404/500として拒否されていた。 2ドメインで /etc/virtual/[domain]/passwd_alt ファイルが存在せず、Dovecot がエラーを繰り返し記録していた。空ファイルを適切なパーミッション（mail:mail / 600）で作成して解消。 SSH アクセスは管理者のみで外部不審アクセスなし。 ■ サーバー7（cPanel / AlmaLinux 9.8 ・新規構築） 判定：🟢 正常 項目 | 結果 ディスク使用率 | 2% 特記 | 初回 logwatch、新規構築直後 対応内容 新規構築サーバーの初回パトロール。logwatch 自体がこの日に初めて導入された。 Dovecot の policy server HTTP 500 エラー3件・SpamAssassin の child kill 2件はいずれも初期安定化期間の一過性のもの。Systemd の /var/run パス参照警告はcPanelのアップデートで自然解消される見込み。cPanel 内部サービスの IMAP ヘルスチェックによる大量の内部ログインは正常動作。 SSH アクセスは管理者のみで外部不審アクセスなし。 ■ サーバー8（cPanel / AlmaLinux 9） 判定：🟢 正常 項目 | 結果 ディスク使用率 | 32% Dovecot ログイン成功 | 74,048件（本日最大） SpamAssassin スパム率 | 70% 特記 | 時刻後退エラー、顧客設定ミス 対応内容 Dovecot で "Time moved backwards" エラーが3件発生。NTP 同期状態を確認したところ、System time offset が13マイクロ秒・RMS offset も正常範囲内で、時刻ジャンプの記録もなし。chrony の通常補正動作による一過性のものと確定。対応不要。 顧客アカウントのメール認証が単一IPから3時間おきに繰り返し失敗。調査の結果、メールクライアントのパスワード設定ミスと判定。顧客へ通知し対応を依頼した。 ■ 本日の横断的な傾向 ■ mod_proxy 悪用試行の複数サーバー同時発生 同日に2台のサーバーで、外部サービスへのオープンプロキシ悪用試行が確認された。いずれも異なる送信元IPからだが、手口は同一。本来はApacheの正常な機能であるmod_proxyが悪用ターゲットになっている。 logwatch の httpd セクションに "Connection attempts using mod_proxy" が出たら即 csf -g [IP] でブロック状況を確認し、未ブロックなら手動 deny を追加する運用が有効。 ■ ImageMagick 自動更新と lfd インテグリティ警告 本日2台のサーバーで ImageMagick が同一バージョンに自動更新されており、両方で lfd がインテグリティ警告を出した。いずれも false positive で、CSF DB 更新 + lfd 再起動で解消。cPanel サーバーでパッケージが自動更新された翌日は lfd 警告を疑うことがポイント。 ■ lfd メモリの一時的な増大 本日のパトロールで複数サーバーが lfd のピークメモリとして数百MBを記録していた。いずれも翌日には30〜50MB程度に回復しており、大量ブロック処理の集中による一過性のものと考えられる。csf.deny の件数が多いほど lfd のメモリ消費が増加する傾向がある。 ■ 顧客アカウントのパスワード設定ミス（複数件） 本日のパトロールで、2件の顧客アカウントで定期的なメール認証失敗を確認した。いずれも攻撃ではなく、端末側のパスワード設定誤りや古い機器の設定が原因だった。どちらも顧客への確認通知で解決。 見分け方の共通パターン： ・単一または少数のIPから ・規則的な間隔（自動ポーリング） ・1セッションあたり数回の試行後に終了 ・ブルートフォースのような高頻度・多IPではない ■ 本日の新規知見 ・rkhunter の初期設定チェックリスト：新規サーバー構築時に実施すべき4項目を整理 ・HTTPD Errors 大量件数の調査手順：Azure ボットスキャンが主因のケースと確認方法 ・DA サーバー固有の false positive 一覧：php-isolated-fpm PID エラー・passwd_alt 欠損・directadmin-userd 残留の判定基準 ・Dovecot process_limit の判断基準：一過性か継続かを翌日確認で判定する手順 ・家電製品のメール連携機能が古いアカウントにアクセスし続けるケース：10年以上前のアカウント削除後も機器設定が残存するパターン 本レポートはサーバー運営の記録として公開しています。IPアドレス・ドメイン名・顧客情報等は匿名化しています。