▎ CLOUDFLARE UNOFFICIAL AI SOC AI-POWERED UNOFFICIAL

AI SOC Daily Security Report

Customer: TEK-SAFARI · Asset: tek-safari.com (and subdomains) · Engine: Claude-Opus-4-7 / R2 Log Analyzer MCP

REPORT ID
AISOC-2026-05-21-TS01
REPORT DATE (JST)
2026-05-21 (24h window)
DATA WINDOW (UTC)
2026-05-20T15:00 → 2026-05-21T15:00
CLASSIFICATION
TLP:AMBER (Unofficial)
ANALYST
AI Tier-2 Auto-correlation
HUMAN REVIEW
Pending
THREAT LEVEL: HIGH
観測ウィンドウ内に WAFブロック1,077件 (期間中最大級)、攻撃比率 17.8%。 2つの大規模攻撃IP — 195.178.110.33 (NL, 1,329件スクレイピング) と 161.118.249.45 (SG, 858件 wp-login.php Brute Force) — を同時検知。
Security Posture
STRONG GOOD NEEDS ATTENTION CRITICAL
Total Requests
6,036
▲ +36% (vs 5/20)
WAF Blocks
1,077
▲ +133%
Attack Ratio
17.8%
▲ +7.3pt
Top Attacker (SG)
858
wp-login BF single IP
Top Scraper (NL)
1,329
homepage harvesting
200 OK
1,980
32.8%
Origin Health
99.9%
5xx: 0.1%
§1

Executive Summary

For C-Level / Management

本日24時間 (JST 2026-05-21) において、Cloudflare Unofficial AI SOC は tek-safari.com に対する 7件のセキュリティイベント (Critical: 2 / High: 2 / Medium: 2 / Low: 1) を AI 自動相関分析にて検知しました。WAFブロック件数は 1,077件 で前日比 +133%、本観測期間中の 最大値 を記録しています。

主な観測事項は以下の通りです:

  1. SOC-INC-001 (Critical): NL VPS 195.178.110.33 から1,329件のホームページスクレイピング — Firefox 47 UA偽装。 5/19の 93.123.109.15 と同じ手口で スクレイピング攻撃の継続キャンペーン。
  2. SOC-INC-002 (Critical): SG VPS 161.118.249.45 から858件の wp-login.php 集中Brute Force — 5/18の 161.118.229.4 と 同一 /24 サブネット からの攻撃再来。
  3. SOC-INC-003 (High): 秘匿情報探索が 71件 へ急増 (5/19: 114 → 5/20: 13 → 5/21: 71)。/.ssh/id_rsa, /.env派生9種、.git 系を体系的にスキャン。
  4. SOC-INC-004 (High): 偽装ボット検知 (Fake Yandex/Baidu/Bing) 6件 — 攻撃者がクローラーUAで Bot Block 回避を試行。

すべての攻撃は WAF にて遮断され、侵害の事実は確認されていません。5/18の SG VPS 攻撃と同じ /24 から再来 していることから、同一攻撃グループが再アクティブ化 したと判断します。CIDR ベースのブロックを強く推奨します。

CRITICAL
NL Mass Homepage Scraping
1,329 req · 1 IP (195.178.110.33)
CRITICAL
SG Targeted WP Brute Force (return)
858 blocks · 161.118.249.45 (same /24 as 5/18)
HIGH
Secret Discovery Surge
71 blocks · .ssh/id_rsa probing started
HIGH
Fake Search Bot Impersonation
6 blocks · Yandex/Baidu/Bing spoofing
§2

Incident Register

9 incidents confirmed in this period
ID Severity Category Title Volume Status
SOC-INC-001CRITICALContent AbuseNL VPS mass homepage scraping (continuation of 5/19 pattern)1,329 req · 1 IPMitigated (IP block urgent)
SOC-INC-002CRITICALCredential AttackSG targeted wp-login.php brute force (5/18 attacker /24 return)858 blocks · 1 IPMitigated (CIDR block needed)
SOC-INC-003HIGHInformation DisclosureSecret discovery surge — .ssh/id_rsa + .env variants71 blocks · 15+ pathsBlocked (Managed)
SOC-INC-004HIGHBot ImpersonationFake Yandex/Baidu/Bing bot User-Agents6 blocks (Managed)Blocked (Managed)
SOC-INC-005MEDIUMWebshell HuntingALFA TeaM & SEO Theme RCE (continued)20 reqBlocked (formalize)
SOC-INC-006MEDIUMWP Admin Probingwp-admin/index.php enumeration430 reqMitigated (rule needed)
SOC-INC-007LOWTrendOverall attack volume surge (+133% DoD)InformationContinue monitoring
§3

Incident Details & Recommended Mitigations

Per-incident analysis with proposed Cloudflare Ruleset rules
SOC-INC-001 CRITICAL
NL VPS mass homepage scraping (continuation campaign)
Volume: 1,329 requests Pattern: Matches 5/19 93.123.109.15 TTPs
Observation
単一IP 195.178.110.33 (NL) から 1,329件 のリクエスト、その大半が / へのGETで200 OK。同IPは WAF にも 56件ブロックされている ことから、スクレイピング後に脆弱性スキャンへ移行する典型的な多段攻撃パターン。
Source (IOC)
195.178.110.33 · NL (Netherlands) · Edge Colo: AMS
UA: Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:47.0) Gecko/20100101 Firefox/47.0 (2016年版偽装)
Correlation
5/19の 93.123.109.15 と完全同一の UA / Target / Behavior。同一攻撃グループの再アクティブ化、または同じ Botnet ノードのレンタル化が疑われる。
TTPs
T1592 Gather Victim Host InfoT1190 Exploit Public-Facing AppT1071.001 Web Protocols
Confidence
High — 5/19パターンとの一致 + Firefox 47 UAの希少性
▎ RECOMMENDED MITIGATION
[SOC-RULE-001a] Block scraping campaign IP cluster BLOCK phase: http_request_firewall_custom
Expression
(ip.src in {195.178.110.33 93.123.109.15})
or (http.user_agent eq "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:47.0) Gecko/20100101 Firefox/47.0")
▸ Cloudflare API payload 
{
  "action": "block",
  "description": "SOC-RULE-001a Block scraping IPs + Firefox 47 UA fingerprint",
  "enabled": true,
  "expression": "(ip.src in {195.178.110.33 93.123.109.15}) or (http.user_agent eq \"Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:47.0) Gecko/20100101 Firefox/47.0\")"
}
SOC-INC-002 CRITICAL
SG targeted wp-login.php brute force — 5/18 attacker /24 returns
Volume: 858 WAF blocks Source CIDR: 161.118.249.0/24
Observation
単一IP 161.118.249.45 (SG) から 858件 の wp-login.php Brute Force。これは 5/18 (3日前) の攻撃IP 161.118.229.4 と非常に近い /16 サブネット (161.118.0.0/16) 内のIP。
Source (IOC)
161.118.249.45 (5/21, SG) ↔ 161.118.229.4 (5/18, SG) — 同一ホスティング/攻撃インフラ
TTPs
T1110.001 Password GuessingT1110.003 Password SprayingT1583.003 Acquire Infra: VPS
Impact
同一攻撃グループが 3日のクールダウン後に再アクティブ化。継続的なターゲット監視と専用VPS確保が確認されている。
▎ RECOMMENDED MITIGATION
[SOC-RULE-002] Block CIDR range of repeated SG attacker BLOCK phase: http_request_firewall_custom
Expression
(ip.src in {161.118.0.0/16})
and (starts_with(http.request.uri.path, "/wp-login")
     or starts_with(http.request.uri.path, "/wp-admin"))
▸ Cloudflare API payload 
{
  "action": "block",
  "description": "SOC-RULE-002 Block 161.118.0.0/16 from WP admin paths (5/18+5/21 repeat offender)",
  "enabled": true,
  "expression": "(ip.src in {161.118.0.0/16}) and (starts_with(http.request.uri.path, \"/wp-login\") or starts_with(http.request.uri.path, \"/wp-admin\"))"
}
SOC-INC-003 HIGH
Secret discovery surge — SSH private key probing started
Volume: 71 blocks (15+ paths)
Observation
Managed Rule "Version Control Info Disclosure" が 71件 発火 (5/19: 114 → 5/20: 13 → 5/21: 71)。注目すべきは /.ssh/id_rsa の探索が 初めて観測された こと:
▸ /.env · /public/.env · /api/.env · /app/.env · /admin/.env · /backend/.env · /.env.bak · /.env.old
▸ /.git/config · /.ssh/id_rsa (新)
TTPs
T1083 File and Directory DiscoveryT1552.001 Credentials in FilesT1552.004 Private Keys
Impact
SSH秘密鍵が露出されている場合は サーバへの直接侵入 に繋がるため、Webshell以上に致命的。
▎ RECOMMENDED MITIGATION (extends SOC-RULE-003 from 5/19)
[SOC-RULE-003] Comprehensive secret + SSH key path block BLOCK phase: http_request_firewall_custom
Expression
(lower(http.request.uri.path) matches "(^|/)\\.(env|git|svn|hg|aws|ssh|vscode|idea|ds_store)(/|$|\\.)"
 or lower(http.request.uri.path) matches "/\\.ssh/(id_rsa|id_ed25519|authorized_keys|known_hosts)"
 or lower(http.request.uri.path) matches "/(api|app|backend|admin|core|public|src|dev|prod|staging|test)/\\.env"
 or lower(http.request.uri.path) matches "\\.(bak|backup|old|orig|swp|swo|save|tmp)$")
SOC-INC-004 HIGH
Fake search bot impersonation (Yandex / Baidu / Bing)
Volume: 6 blocks (Managed)
Observation
Managed Rule の以下3種がそれぞれ2件発火:
▸ Anomaly:Header:User-Agent - Fake Yandex Bot (2)
▸ Anomaly:Header:User-Agent - Fake Baidu Bot (2)
▸ Anomaly:Header:User-Agent - Fake Bing or MSN Bot (2)
攻撃者は 正規検索クローラーUAを偽装してBot Block を回避 しようとしている。Cloudflare の検証済みボットDBにIPが含まれていないため検知。
TTPs
T1036.005 Match Legitimate Name or LocationT1071.001 Application Layer Protocol: Web
▎ RECOMMENDED MITIGATION (Managed Rule already active)
[SOC-CONFIG-004] Enable Super Bot Fight Mode (Pro+/Business) CONFIG
Dashboard Setting
Security → Bots → Super Bot Fight Mode
  Definitely Automated → Block
  Likely Automated → Managed Challenge
  Verified Bots → Allow (Cloudflare IPデータベース照合)
# Outcome: Fake bot impersonation は IP 照合で確実にブロック
SOC-INC-005 MEDIUM
ALFA TeaM Webshell & SEO Theme RCE (continued)
Volume: 20 req across 6 paths
Observation
5/18から継続している既知Webshell探索:
▸ /ALFA_DATA/alfacgiapi/perl.alfa (8) · /alfacgiapi/perl.alfa (4) · /wp-content/themes/seotheme/db.php (8)
▸ Managed Rule "Malware, Web Shell" 4件発火 · "WP Broken Access Control/LFI" 1件。
TTPs
T1505.003 Web ShellT1190 Exploit Public-Facing App
▎ RECOMMENDED MITIGATION (consolidate previous days)
[SOC-RULE-005] Known webshell & vulnerable plugin path block BLOCK phase: http_request_firewall_custom
Expression
(lower(http.request.uri.path) matches "(alfa_data|alfacgiapi|\\.alfa|/r57|/c99|/wso|/b374k|/wp_filemanager)"
 or lower(http.request.uri.path) matches "/wp-content/(themes|plugins)/(seotheme|hellopress|easy-wp-smtp|wp-file-manager)/"
 or lower(http.request.uri.path) matches "/(shell|backdoor|cmd|exec|webshell|adminer)\\.(php|phtml|phar)$")
SOC-INC-006 MEDIUM
wp-admin/index.php enumeration
Volume: 430 req
Observation
/wp-admin/index.php へのアクセスが 430件。多くは認証セッション無しのため 302 リダイレクトされているが、攻撃者はセッション奪取のため Cookie/Authヘッダ取得を狙う 可能性。
▎ RECOMMENDED MITIGATION
[SOC-RULE-006] Rate limit wp-admin paths per-IP RATE LIMIT phase: http_ratelimit
Expression
(starts_with(http.request.uri.path, "/wp-admin"))
Rate Limit Config
characteristics: [ip.src]
period: 60s · requests_per_period: 10 · mitigation_timeout: 1800s
SOC-INC-007 LOW
Attack volume trend — surge to 4-day peak
Metric: WAF blocks 463 → 1,077 (+133% DoD)
Observation
4日間の WAF ブロック推移: 922 (5/18) → 700 (5/19) → 463 (5/20) → 1,077 (5/21)。減少傾向にあった攻撃が 5/21に急増。これは過去IPの再利用 (5/18の /16 SG, 5/19のFirefox 47 UA) との相関から、計画的な再攻撃キャンペーン の可能性が高い。
Note
過去IPの再利用 + UA固有パターンの再現 = 同じ攻撃グループ が 3-4日サイクルで攻撃を仕掛けている。次のサイクルは 5/24-25 と予測。
§4

Current WAF Posture

Active rules during this reporting window
Custom
edaa72c3f28f4a00a51fedd19c16f390
wp-login.php
Blocks: 494 (70.6%) · Action: Block
Managed
23548ee2b36547a1be09bb2c0550c529
Version Control - Info Disclosure
Blocks: 114
Managed
0242110ae62e44028a13bf4834780914
Vulnerability scanner activity
Blocks: 34
Managed
c04705c7adee4ce3a763bd5e18135e0c
Info Disclosure - File Extension
Blocks: 20
Managed
7994335d116849f7a0ab6b771d1d0db7
WP Broken Access / LFI
Blocks: 19
Managed
c2a2f414a67c409f90cccb6c5bba0215
Info Disclosure - Common Files
Blocks: 19
§5

Rollout Plan

Phased deployment over 14 days
DAY 0 (TODAY)
Low-Risk Block Rules
SOC-RULE-003 / 004a / 004b / 005 / 006a / 009a を Block 動作で即時投入。誤検知リスクが極めて低い (該当パスへの正規アクセスが存在しないため)。
DAY 1-3
Log Mode Observation
SOC-RULE-001a / 002a / 002b / 007 / 008 を "action": "log" で投入し、Logpush で誤検知有無を観察。
DAY 4-7
Promote to Enforcement
誤検知ゼロ確認後、action を Block / Managed Challenge / Rate Limit へ昇格。SOC-INC-002 の既存ルール置換を含む。
DAY 7-10
Origin Hardening & Forensics
SOC-ACTION-004c (残置Webshell監査) 実施。Managed Ruleset の Block 動作確認 (SOC-CONFIG-006b)。
DAY 10-14
Zero Trust Migration
SOC-ACTION-009b で Cloudflare Access を /wp-admin に適用 → SOC-INC-002 を根本解決。
ONGOING
Continuous Monitoring
本レポートを日次発行。新規 IOC / TTP を継続反映。SOC-INC-007 (Cloud ASN) の ASN リストは月次レビュー。
§6

Telemetry & Metrics

Visual analytics of HTTP & WAF events

6.1 HTTP Traffic Profile

Edge Response Status Codes

Top Source Countries

Top Requested Hosts

Top Client IPs (suspect)

Top Request Paths (recon patterns)

Top Edge Data Centers

HTTP Methods

Cache Status

6.2 WAF / Firewall Blocks (700 events)

Rule Triggers

Targeted Paths

Top Source IPs

Source Countries

Block Locations (Edge Colo)

HTTP Methods (Blocked)

Rule Source

Targeted Hosts

§7

AI SOC 総評

Closing assessment from the AI SOC pipeline
▎ Bottom Line
4日間で 最高の攻撃量 を記録 (1,077件)。最も重要な発見は 「過去攻撃者の再来」 — 5/18のSG VPS攻撃者が 同じ /16 サブネット から、5/19のNL Scraperが 同じFirefox 47 UA で再攻撃。 計画的な3-4日サイクルキャンペーン と判断。CIDR ベースの予防的Blockが必要。
Posture: NEEDS ATTENTION → GOOD (CIDR Block + UA Fingerprint 後) → STRONG (Zero Trust 化後)
Analysis Confidence
93% ⚠ AI生成分析 · 本番投入前に人間SOCアナリストの査読を推奨
Attack Phase
Recurring Campaign
Past attackers returning
Repeated Offenders
2 confirmed
SG /16 + NL Firefox 47
Block Surge (DoD)
+133%
463 → 1,077 blocks (4日最大)
Compromise Status
Not Observed
5xx 0.1% · WAF blocking all
①
Overall Assessment — 過去攻撃者の再来
3-4日サイクルキャンペーンの確認
›

本日の最も重要な発見は、過去3日以内に観測された2つの主要攻撃者がほぼ同じTTPで再来した ことです:

① 5/18の SG VPS 攻撃者 → 5/21に再来: 161.118.229.4 (5/18) と 161.118.249.45 (5/21) は 同一 /16 サブネット (161.118.0.0/16)。同一の wp-login.php POST Brute Force 858件。
② 5/19の NL Scraper → 5/21に再来: 93.123.109.15 (5/19) と 195.178.110.33 (5/21) は 異なるNL VPS だが 完全に同じFirefox 47 UA でホームページ集中スクレイピング。

これは 「3-4日サイクルで再アクティブ化する計画的キャンペーン」 を意味します。攻撃者は IP Blockされても新IPを取得して継続する 戦略を取っており、単純な単発IP Blockは効果が限定的。CIDR + UA Fingerprint ベースの Block が必要です。

②
Threat Actor Profile — 再来攻撃者の戦術
2つの確認された再アクティブ化アクター
›
RECURRING ①
SG WordPress Brute Forcer
5/18: 161.118.229.4 · 5/21: 161.118.249.45。同一 /16 内で異なるIP。同じ Brute Force パターン (858件 wp-login.php POST)。同一ホスティング (おそらく自社所有/24以上のIP範囲)。
OpSec: Medium (Repeat Offender)
RECURRING ②
NL Mass Scraper
5/19: 93.123.109.15 (NetCup) · 5/21: 195.178.110.33 (別NL VPS)。同一の Firefox 47 UA で完全一致。フィッシング用テンプレ作成 or コンテンツ盗用の継続作業中。
OpSec: Medium (UA Tied)
NEW
SSH Key Hunter
/.ssh/id_rsa 探索が本日初観測。秘密鍵直接窃取 → サーバ侵入 という最も致命的な攻撃を狙う。.env スキャンと併発しており、同一スキャナーの新機能または 新たな攻撃グループの参入。
Impact: Critical if successful
③
Why This Matters — 4日間キャンペーン総括
5/18-21 攻撃パターン総覧と予測
›

4日間 (5/18-21) の WAF ブロック推移を見ると、攻撃の波が明確に確認できます:

5/18 (月): 922件 ← 第1波: SG単一IP集中Brute Force
5/19 (火): 700件 ← 第2波: 多段攻撃 (Scraper + Botnet + Webshell Hunter)
5/20 (水): 463件 ← 谷: Azure VMローテーション中心
5/21 (木): 1,077件 ← 第3波: 過去攻撃者の再来 + SSH key 探索開始

予測 (5/22-25): 過去の3-4日サイクルから、5/24-25頃に次の攻撃波 が到来する可能性が高い。今のうちに CIDR Block + UA Fingerprint Block を投入することで、攻撃者の再アクティブ化を抑止できます。

④
Top 3 Priorities — 優先対応アクション
今日 / 今週 / 今月 のタイムラインで整理
›
今すぐ
P1 — CIDR + UA Fingerprint Block。 SOC-RULE-001a で Firefox 47 UA を完全Block + SOC-RULE-002 で 161.118.0.0/16 からの WP管理パスをBlock。再来攻撃者の次サイクル (5/24-25予測) を予防。
今日中
P2 — SSH秘密鍵経路の徹底Block。 SOC-RULE-003 (更新版) で /.ssh/id_rsa 等の秘密鍵パスをBlock。万一 origin に置かれていても確実に防御。
今週中
P3 — Super Bot Fight Mode + Zero Trust。 SOC-CONFIG-004 で Super Bot Fight Mode を有効化 (Fake bot impersonation の根絶) + /wp-admin を Cloudflare Access で完全私有化。
⑤
Items Not of Concern — 心配不要な項目
健全な観測項目 / 攻撃成功の兆候なし
›

パッチ未適用の既知脆弱性悪用は観測されていません。5xx エラー率は 0.1% と極めて低く、オリジンサーバは健全。攻撃量が前日比+133%と急増したにも関わらず、WAFは全件遮断し正常な200 OK応答も 1,980件 (32.8%) 維持できています。

SSH秘密鍵探索は新たな脅威ですが、現時点ではWAFで全件ブロック済み。明日以降の再アクティブ化に備えた予防的Block が間に合えば、引き続き侵害ゼロの状態を維持できると判断します。

§8

Appendix & References

A. Data Source: Cloudflare Logpush → R2 bucket (cloudflare-managed-763ace79 for HTTP, cloudflare-managed-45268730 for WAF). Analyzed via R2 Log Analyzer MCP server.

B. Reference Documentation:

C. Classification: TLP:AMBER — Limited disclosure, recipient may share with members of their own organization or its clients/customers when reasonably necessary.

D. AI Disclosure: 本レポートは Claude Opus 4.7 を分析エンジンとする AI SOC パイプラインによって自動生成されました。Cloudflare 公式サービスではありません。本番運用前に必ず人間のSOCアナリストによる査読を実施してください。

E. Next Report: 2026-05-22 (JST) at 09:00 — automated dispatch via AI SOC pipeline.