Customer: TEK-SAFARI · Asset: tek-safari.com (and subdomains) · Engine: Claude-Opus-4-7 / R2 Log Analyzer MCP
161.118.229.4 (SG/Singapore) から 858件の超集中攻撃 を検知。
POST 441件と Brute Force 比率が極めて高い。緊急対応推奨。
本日24時間 (JST 2026-05-18) において、Cloudflare Unofficial AI SOC は tek-safari.com に対する 6件のセキュリティイベント (Critical: 1 / High: 2 / Medium: 2 / Low: 1) を AI 自動相関分析にて検知しました。WAFブロック件数は 922件 で、本観測期間中の 最大ピーク を記録しています。
主な観測事項は以下の通りです:
161.118.229.4 (SG, AS18013) から858件の集中攻撃 — Edge Colo SIN を経由した特異的な攻撃で、WAFブロック全体の 93% を占める。/wp-login.php 総当たり 905件。POST 441件と POST比率が極めて高い アクティブな認証突破試行。すべての攻撃は WAF にて遮断されており、侵害の事実は確認されていません。SG発信の集中攻撃に対する即時IPブロックを強く推奨します。
| ID | Severity | Category | Title | Volume | Status |
|---|---|---|---|---|---|
SOC-INC-001 | CRITICAL | Concentrated Attack | Single-IP focused WP brute force (Singapore) | 858 blocks | Blocked (IP block urgent) |
SOC-INC-002 | HIGH | Credential Attack | WordPress wp-login.php POST brute force | 905 blocks (POST 441) | Blocked (refine) |
SOC-INC-003 | HIGH | Resource Abuse | Aggressive commercial crawlers (DotBot/serpstatbot/Barkrowler) | 1,529 req | Monitoring |
SOC-INC-004 | MEDIUM | Information Disclosure | Light .env / .git probing | 5 blocks | Blocked (Managed) |
SOC-INC-005 | MEDIUM | Webshell Hunting | ALFA TeaM & unzipper.php probing | 3 req | Mitigated |
SOC-INC-006 | LOW | Attack Surface | cpanel.tek-safari.com exposure | 24 req | Recommendation |
161.118.229.4 から 1,294件 のHTTPリクエスト、うち 858件 がWAFブロック。 /wp-login.php, /wp-admin/index.php, /index.php を順次攻撃。WAFブロック全体の93% を1IPで占める異常な集中攻撃。161.118.229.4 · SG (Singapore) · Edge Colo: SINtek-safari.com/wp-login.php · /wp-admin/index.php · /index.phpedaa72c3... にて全件ブロック済み。攻撃ピーク日のため即時 IP Block が必要。(ip.src eq 161.118.229.4)
{
"action": "block",
"description": "SOC-RULE-001a Block concentrated attacker IP",
"enabled": true,
"expression": "(ip.src eq 161.118.229.4)",
"action_parameters": {
"response": { "status_code": 403, "content_type": "text/plain", "content": "Blocked: abusive traffic" }
}
}(starts_with(http.request.uri.path, "/wp-login") or starts_with(http.request.uri.path, "/wp-admin"))
{
"action": "block",
"description": "SOC-RULE-001b Per-IP rate limit on WP admin",
"enabled": true,
"expression": "(starts_with(http.request.uri.path, \"/wp-login\") or starts_with(http.request.uri.path, \"/wp-admin\"))",
"ratelimit": {
"characteristics": ["ip.src"],
"period": 60,
"requests_per_period": 10,
"mitigation_timeout": 3600,
"requests_to_origin": false
}
}/wp-login.php 宛て。POST 441件 と認証情報直接送信比率が極めて高い。GET 481件は事前のフォーム取得行為。tek-safari.com/wp-login.phpedaa72c3...)(http.request.uri.path eq "/wp-login.php" and http.request.method eq "POST")
{
"action": "block",
"description": "SOC-RULE-002a Rate limit wp-login.php POST",
"enabled": true,
"expression": "(http.request.uri.path eq \"/wp-login.php\" and http.request.method eq \"POST\")",
"ratelimit": {
"characteristics": ["ip.src"],
"period": 60,
"requests_per_period": 3,
"mitigation_timeout": 3600,
"requests_to_origin": false
}
}(lower(http.user_agent) contains "dotbot" or lower(http.user_agent) contains "serpstatbot" or lower(http.user_agent) contains "barkrowler" or lower(http.user_agent) contains "semrushbot" or lower(http.user_agent) contains "mj12bot" or lower(http.user_agent) contains "ahrefsbot" or lower(http.user_agent) contains "petalbot")
{
"action": "block",
"description": "SOC-RULE-003 Block aggressive commercial crawlers",
"enabled": true,
"expression": "(lower(http.user_agent) contains \"dotbot\" or lower(http.user_agent) contains \"serpstatbot\" or lower(http.user_agent) contains \"barkrowler\" or lower(http.user_agent) contains \"semrushbot\" or lower(http.user_agent) contains \"mj12bot\" or lower(http.user_agent) contains \"ahrefsbot\" or lower(http.user_agent) contains \"petalbot\")"
}/.env (4件) と /.git/config (1件)。前後の日 (5/19, 5/20) と比べて発火件数は極めて少ない。攻撃強度は低いが偵察は継続している。(lower(http.request.uri.path) matches "(^|/)\\.(env|git|svn|hg|aws|ssh|vscode|idea|ds_store)(/|$|\\.)" or lower(http.request.uri.path) matches "\\.(bak|backup|old|orig|swp|swo|save|tmp)$")
/ALFA_DATA/alfacgiapi/perl.alfa · /alfacgiapi/perl.alfa · /unzipper.php への単発アクセスを観測。継続的な攻撃ではなく単発の偵察。(lower(http.request.uri.path) matches "(alfa_data|alfacgiapi|\\.alfa|/r57|/c99|/wso|/b374k|/unzipper|/wp_filemanager)" or lower(http.request.uri.path) matches "/(shell|backdoor|cmd|exec|webshell|adminer)\\.(php|phtml|phar)$")
cpanel.tek-safari.com サブドメインへの 24件のアクセスを観測。cPanel 管理機能がインターネットに露出している場合、ブルートフォース対象となる。(http.host eq "cpanel.tek-safari.com")
"action": "log" で投入し、Logpush で誤検知有無を観察。action を Block / Managed Challenge / Rate Limit へ昇格。SOC-INC-002 の既存ルール置換を含む。本日のWAFブロック922件は本観測期間中の最大値であり、その特徴は 「分散」ではなく「集中」 という点です。通常のBotnet攻撃が数十カ国に分散するのに対し、本日は 1IPで93% を占めるという極めて異常な分布。
これは 「事前に偵察済みのターゲットに対する確信的・継続的なBrute Force」 の典型パターンで、攻撃者が tek-safari.com を意図的に選定し、専用VPSから集中攻撃を仕掛けている可能性が高いと判断します。Edge Colo SIN を経由していることから、攻撃者は地理的に近い (=低レイテンシで効率的に攻撃できる) インフラを意図的に選んでいます。
161.118.229.4 から858件の集中攻撃。多様な Safari/Chrome UA をローテーションし、検知回避を意識している。専用VPS購入してターゲット固定型攻撃を実行する中級アクター。単一IPから858件の継続攻撃は 「攻撃者が本資産を時間とコストをかけて狙う価値がある」 と判断していることを意味します。これは tek-safari.com のドメイン年齢、SEO スコア、または過去にデータ漏洩リストに掲載されている可能性を示唆します。
翌日 (5/19) 以降は攻撃が 分散型(Botnet) や 多段型(Scraper + Webshell Hunter) へとシフトしていく前兆である可能性が高く、本日の単一IP Block は明日以降の攻撃エスカレーション抑止に直結 します。
161.118.229.4 の即時IP Block。
SOC-RULE-001a を即時投入。1IPで攻撃の93%を占めるため、即座にエッジコスト・オリジン負荷が劇的に減少。
SOC-RULE-001b を WordPress 管理パスへ適用。今後類似の単一IP集中攻撃が来ても自動防御。
SOC-RULE-003 で SEO 価値の低い DotBot/serpstatbot/Barkrowler 等をBlock。
オリジン帯域 34% 削減見込み。
パッチ未適用の既知脆弱性悪用は観測されていません。5xx エラー率は 0.1% と極めて低く、オリジンサーバは健全。集中攻撃にも関わらず、WAF は 922件全件を遮断しており 防御は正常に機能 しています。
200 OK が 1,321件 (29.5%) と健全な比率で、正当な利用と SEO クローラー の両方を受け入れられています。.env / .git / Webshell 偵察は単発レベルで、まだ本格化していません。
A. Data Source: Cloudflare Logpush → R2 bucket (cloudflare-managed-763ace79 for HTTP, cloudflare-managed-45268730 for WAF). Analyzed via R2 Log Analyzer MCP server.
B. Reference Documentation:
C. Classification: TLP:AMBER — Limited disclosure, recipient may share with members of their own organization or its clients/customers when reasonably necessary.
D. AI Disclosure: 本レポートは Claude Opus 4.7 を分析エンジンとする AI SOC パイプラインによって自動生成されました。Cloudflare 公式サービスではありません。本番運用前に必ず人間のSOCアナリストによる査読を実施してください。
E. Next Report: 2026-05-20 (JST) at 09:00 — automated dispatch via AI SOC pipeline.