サーバーパトロール公開レポート

対象日: 2026-06-22 公開日: 2026-06-23 担当: チームしずく ■ 総括 サーバー区分 | 台数 | 正常 | 要監視 メール/Webサーバー | 6 | 3 | 3 VPSサーバー | 1 | 1 | 0 今回のパトロールでは実害のある侵害はゼロ。ただし複数サーバーで継続的なブルートフォース攻撃が確認され、一部ユーザーへのパスワード強化案内を実施した。また顧客からのスパム対策依頼に対し、設定変更まで完結させた。 ■ サーバー別レポート ■ VPS（Ubuntu系） 総合: 🟢 正常 ・Webminポート(10000)への攻撃をCSFが自動ブロック。攻撃元は62.60.130.237（欧州） ・rkhunterによるルートキットスキャン実施 → クリーン確認 ・Postfixメールキューに若干の遅延（中央値102秒）。次回以降で推移を監視する ■ cPanelサーバー A（最クリーン） 総合: 🟢 正常 ・スパム率21%（全サーバー中最良） ・Imunifyがv8.11.4へ自動更新。動作に影響なし ・特記事項なし ■ cPanelサーバー B 総合: 🟡 要監視 ・Dovecotへのブルートフォース攻撃：73ユニークIPから試行継続（ブラジル・ドイツ系） ・実在するメールアカウントへのパスワード推測試行が含まれるため、引き続き監視 ・実害（不正ログイン成功）はなし ■ cPanelサーバー C 総合: 🟡 要監視 ・Log4Shell（CVE-2021-44228）の偵察スキャンを検知。oast.funドメインを使ったOut-of-Band検知ツールによる試行 ・対象のcgi-sysはJavaアプリではないため脆弱性の影響なし ・スパム率54%（全サーバー中最高）。継続監視中 ■ cPanelサーバー D 総合: 🟢 正常 ・Dovecot Policy server（cPhulkd、ポート579）の稼働を確認。正常動作 ・Webmin攻撃をCSFが自動ブロック ・ImageMagick更新（6.9.13.25→6.9.13.50）後のlfd integrity確認 → 誤検知なし ■ cPanelサーバー E 総合: 🟡 要監視 ・Dovecot "killed" エントリーがlogwatchに出現 → 調査の結果、SIGTERMによる正常な再起動プロセスであり誤報告と確定 ・特定ユーザー宛スパム着信が多め（88件）。フィルター強化を検討中 ・ディスク使用率43%（全サーバー中最高）。増加傾向があれば対処予定 ■ cPanelサーバー F（新規） 総合: 🟢 正常 ・稼働開始後まもないサーバー。全サーバー中最もクリーンな状態 ・ディスク使用率2% ・cPanelアップデート時にタイムプロトコル接続エラー（exit 256）が記録されたが、アップデート自体は正常完了。実害なし ■ 顧客対応 ■ 件名：メール認証エラーの繰り返し（da01管理ドメイン） 状況と原因 スマートフォンのメールアプリがAPOP→CRAM-MD5→PLAINの順に認証方式を自動試行する仕様のため、毎回2回の「失敗」ログが記録されていた。パスワード自体は正常。 対応 認証方式の自動試行の仕組みをユーザーに説明し、パスワード再入力による再設定を案内済み。 ■ 件名：存在しないアカウント宛の大量認証試行（cPanelサーバー） 状況と原因 ブラジル・ドイツ系のIPアドレスから複数の存在しないメールアカウント宛に認証試行が続いていた。アカウント自体がサーバー上に存在しないため実害はなし。 対応 利用中のドメイン管理者に状況を説明するメールを送信済み。 ■ 件名：スパムメールの大量着信（cPanelサーバー） 状況と原因 受信メールの約9割がスパム判定される状態。SpamAssassinとメールフィルターが未設定だった。 対応 ユーザーの希望（スパムボックスへの自動振り分け）を確認後、以下を設定して完了： ・SpamAssassin有効化（スコア閾値5） ・vfilterによる[SPAM]件名メールの自動振り分け ・Spamフォルダ（Maildir形式）の新規作成 設定完了をユーザーに通知し、スパムフォルダの定期削除の必要性も案内済み。 ■ 今回判明した知見 ■ cPanel / Dovecot ・ポート579はcPhulkd（cPanel Hulkブルートフォース保護デーモン）。Dovecotのauth_policyサーバーとして動作する正常なプロセス ・Dovecot "killed" のlogwatch記録は誤報告パターン。Dovecot本体が子プロセスにSIGTERMを送る正常な再起動でも記録される ・cPanel内部のIMAP認証ログ（__cpanel__service__auth__imap__）は内部サービスによる正常な認証。外部攻撃ではない ■ セキュリティ ・oast.funドメインはInteractsh（OOBテストツール）。攻撃者が脆弱性スキャンに使う。ログで確認した場合は偵察フェーズと判断してよい ・POP3での複数認証方式試行（APOP→CRAM-MD5→PLAIN）は一部メールクライアントの正常な仕様。パスワード誤りと混同しないこと ■ ImageMagick更新 ・全cPanelサーバーで6.9.13.25→6.9.13.50へ自動更新が実施された。lfd integrityアラートが出た場合は誤検知のため再確認で対応可 ■ タイムライン 時刻 | 内容 02:09 | cPanelサーバーFでタイムプロトコル接続エラー（自動アップデート時） 午前 | 全サーバーでImageMagick自動更新実施 午前 | 顧客A：POP3認証エラー説明メール送信 午前 | 顧客B：存在しないアカウント宛攻撃の状況説明メール送信 午後 | 顧客C：スパムフィルター設定希望の返信受信 午後 | 顧客C向けSpamAssassin・vfilter設定完了 午後 | 顧客C：設定完了通知メール送信 午後 | 顧客B（別ドメイン）：ブルートフォース攻撃継続のためパスワード強化案内メール送信