Customer: TEK-SAFARI · Asset: tek-safari.com (and subdomains) · Engine: Claude-Opus-4-7 / R2 Log Analyzer MCP
togcbhostmaster.tek-safari.com:8443/8080/2083/2087 多ポート偵察も特徴的。
本日24時間 (JST 2026-05-16, 土曜日) において、Cloudflare Unofficial AI SOC は tek-safari.com に対する 6件のセキュリティイベント (Critical: 1 / High: 2 / Medium: 2 / Low: 1) を AI 自動相関分析にて検知しました。WAFブロック件数は 112件 と低水準ですが、非典型的な3つの現象 が並発しています。
主な観測事項は以下の通りです:
togcbhostmaster.tek-safari.com への :8443, :8080, :2083, :2087 4ポート × 各357件のアクセス。 cPanel / WHM 系のポートを総当たり。195.178.110.34 から51件のWAFブロック + 5/19/21の Firefox 47 UA再来。 同一の攻撃インフラ。すべての WAFブロック は遮断され、侵害は確認されていません。 ただし 523 オリジン到達不可 はオリジン側の問題の可能性が高く、運用チームの確認が必要です。
| ID | Severity | Category | Title | Volume | Status |
|---|---|---|---|---|---|
SOC-INC-001 | CRITICAL | Origin Anomaly | Surge of 523 Origin Unreachable errors (1,438 events) | 1,438 (30.9% of traffic) | Investigate origin |
SOC-INC-002 | HIGH | Port Enumeration | Multi-port cPanel subdomain probing (togcbhostmaster) | 1,428 req · 4 ports | Mitigated (rule needed) |
SOC-INC-003 | HIGH | Geographic Anomaly | HK mass mobile bot traffic (1,522 req) | Top country | Monitoring |
SOC-INC-004 | HIGH | Recurring Attacker | NL VPS Firefox 47 UA scraper (precursor to 5/19+ pattern) | 51 WAF blocks · 175 req | Mitigated (UA block) |
SOC-INC-005 | MEDIUM | Public Scanner | LeakIX public asset scanner enumeration | 82 req · l9scan/2.0 | Monitoring |
SOC-INC-006 | LOW | Trend | Weekend low-volume baseline established | Information | Continue monitoring |
"0" も同様に 1,790件あり、関連現象と推定。 これらは攻撃ではなく、オリジン側の障害 または L3/L4 DDoS による応答阻害 の可能性。
1. Origin Health Check (即時): - top, free -m, iostat: リソース確認 - dmesg | tail: kernel error - nginx/Apache error log - systemctl status web-server 2. Cloudflare IP からの接続許可確認: curl -I https://YOUR_ORIGIN_IP/ # 直接アクセス確認 3. Argo Tunnel への切り替えを検討: ▸ オリジン IP を完全に隠蔽 ▸ 523 エラー減少 (公式統計で 80-95% 削減) 4. 過去24時間のオリジン logs を AI SOC とクロス分析
togcbhostmaster.tek-safari.com (taipei-of-go cb のような typoらしき名称) への 非標準ポート4種類への均一なアクセス を観測::8443 (cPanel WHM https) — 359件:2083 (cPanel https) — 357件:8080 (代替 HTTP) — 357件:2087 (WHM https) — 357件165.154.63.239: 359件 · 165.154.42.186: 357件 (両方 HK/Hong Kong)(http.host eq "togcbhostmaster.tek-safari.com"
or http.host matches ":(2083|2087|8080|8443|2082|2086)$"
or ip.src in {165.154.63.239 165.154.42.186})
mobile が 1,542件と異例の高比率 (33%)(ip.src.country eq "HK" and cf.bot_management.score lt 30 and http.request.uri.path eq "/" and lower(http.user_agent) matches "iphone|ios")
⚠ Bot Management は Enterprise プラン。 Free plan は Super Bot Fight Mode 検討。
195.178.110.34 (NL) から Firefox 47 (2016年版) UA でアクセス 175件。 WAF ブロック 51件。93.123.109.15) と 5/21 (195.178.110.33) で本格的なスクレイピング攻撃を実施した攻撃者の 初期偵察 である可能性。 5/16 が キャンペーンの起点 と推定。
195.178.110.34 → 5/19 93.123.109.15 → 5/21 195.178.110.33 = 同一攻撃グループの段階的キャンペーン(http.user_agent eq "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:47.0) Gecko/20100101 Firefox/47.0"
or ip.src in {195.178.110.0/24})
Mozilla/5.0 (l9scan/2.0.034323e24323e28313e2430313; +https://leakix.net) から 82件のアクセス。 LeakIX は OSS の公開資産スキャナーで、世界中の Web サーバを継続的にインデックス化。tek-safari.com が登録された = 攻撃者がこの結果を参照する可能性がある。
(lower(http.user_agent) contains "leakix" or lower(http.user_agent) contains "l9scan" or lower(http.user_agent) contains "shodan" or lower(http.user_agent) contains "censysinspect" or lower(http.user_agent) contains "nuclei" or lower(http.user_agent) contains "internet measurement")
"action": "log" で投入し、Logpush で誤検知有無を観察。action を Block / Managed Challenge / Rate Limit へ昇格。SOC-INC-002 の既存ルール置換を含む。本日 (5/16) は本観測期間の 起点となる日。 WAFブロックは112件と最低水準だが、これは 「攻撃がない」 ではなく 「偵察フェーズ」 を示している。 観測される異常:
① 523 Origin Unreachable の異常な多さ (1,438件) — オリジン側の問題か、L3/L4 DDoS Probe の可能性。 緊急のオリジン監査が必要。
② cPanel/WHM ポート (8443/8080/2083/2087) への体系的な偵察 — typoサブドメイン togcbhostmaster が攻撃対象として既に登録されている。
③ NL Firefox 47 UA scraper の初出現 (51件WAFブロック) — 5/19+ に大規模化する攻撃キャンペーンの起点。
つまり本日は 「翌週からの本格攻撃キャンペーンの偵察 + 準備フェーズ」。 WAF統計上は静かでも、SOC として警戒すべき指標が多数。
195.178.110.34 (NL) から Firefox 47 (2016年) UA で 175件 + 51件WAFブロック。 5/19の 93.123.109.15 + 5/21の 195.178.110.33 と 同じUA。 翌週からの大規模スクレイピング攻撃の偵察役。165.154.63.239 + 165.154.42.186 (両方 HK) から togcbhostmaster.tek-safari.com 4ポートへ均一に各357件。 自動化ツールの典型動作。本日は 10日間キャンペーンの起点 。 後続のレポートから振り返ると、5/16時点で既に始まっていた偵察行動が、後の数日でどのように展開したかが見える:
▸ 5/16: 偵察フェーズ (本日)
▸ 5/17: .env mass scan キャンペーン開始 (245件発火)
▸ 5/18: SG単一IP集中Brute Force (922件)
▸ 5/19-21: 多段攻撃 + Firefox 47 UA 大規模化
▸ 5/22-25: 攻撃面拡大 (Dev/Beta/API) + CVE 試行
もし 5/16 の段階で AI SOC レポートを参考にして対策を投入できていれば、後の攻撃を大幅に抑制できた可能性が高い。 「偵察フェーズの検知と早期対策」 の重要性を示すケーススタディ。
SOC-ACTION-001 に従ってオリジンの top/free/iostat/logs を確認。 必要なら Argo Tunnel に切り替えてオリジン IP を隠蔽。
SOC-RULE-002 で togcbhostmaster 等の typo を Block。
SOC-RULE-005 で LeakIX / Shodan / Censys / Nuclei UA を Block。
SOC-RULE-004 で初出現のスクレイピング攻撃者を予防的に Block。
5/19+ の本格攻撃を防げる可能性が高い。
WAFブロック数は 112件と本観測期間最低。 .env / .git / Webshell 偵察も低水準。 wp-login.php Brute Force も 18件のみと静か。 週末で攻撃者活動が大幅に緩和 されている。
パッチ未適用の既知脆弱性悪用は観測されていません。 SQLi / XSS / RCE 関連の発火もごく軽微。 ただし 523オリジン到達不可 は脅威ではないが運用上の問題として早期対応が必要。
A. Data Source: Cloudflare Logpush → R2 bucket (cloudflare-managed-763ace79 for HTTP, cloudflare-managed-45268730 for WAF). Analyzed via R2 Log Analyzer MCP server.
B. Reference Documentation:
C. Classification: TLP:AMBER — Limited disclosure, recipient may share with members of their own organization or its clients/customers when reasonably necessary.
D. AI Disclosure: 本レポートは Claude Opus 4.7 を分析エンジンとする AI SOC パイプラインによって自動生成されました。Cloudflare 公式サービスではありません。本番運用前に必ず人間のSOCアナリストによる査読を実施してください。
E. Next Report: 2026-05-17 (JST) at 09:00 — automated dispatch via AI SOC pipeline.