Customer: TEK-SAFARI · Asset: tek-safari.com (and subdomains) · Engine: Claude-Opus-4-7 / R2 Log Analyzer MCP
api-prod-us, api-eu-west-2-uat など) と
Azure VM ローテーション攻撃の継続 を確認。攻撃者は週末も活動継続。
本日24時間 (JST 2026-05-23, 土曜日) において、Cloudflare Unofficial AI SOC は tek-safari.com に対する 6件のセキュリティイベント (Critical: 1 / High: 2 / Medium: 2 / Low: 1) を AI 自動相関分析にて検知しました。WAFブロック件数は 254件 で前日比 -46% と顕著に減少 — 週末効果が出ています。
主な観測事項は以下の通りです:
api-prod-us, api-eu-west-2-uat, api-prod-euw2, api-ca-staging 等のホストへ各1件ずつアクセス。攻撃者が本番APIインフラの命名規則を把握。20.206.88.59 (488件), 20.226.23.23 (404件), 20.48.233.234 (314件) など。5/20から4日連続。/wp-config.php6, /_phpinfo.php, /dev-wp-config.php 等の新パターンを観測。/wp-login.php Brute Force は 228件で 5日連続で継続。すべての攻撃は WAF にて遮断され、侵害の事実は確認されていません。週末で攻撃量は減少しているものの、API インフラへの偵察開始は来週の本格攻撃の前兆である可能性があります。
| ID | Severity | Category | Title | Volume | Status |
|---|---|---|---|---|---|
SOC-INC-001 | CRITICAL | API Recon | API subdomain probing — production/staging/UAT naming discovered | 6 hosts · 1 probe each | Mitigated (DNS audit urgent) |
SOC-INC-002 | HIGH | Cloud VM Rotation | Azure VM coordinated attack (Day 4 of campaign) | 2,300+ req · 5+ Azure VMs | Mitigated (ASN rule needed) |
SOC-INC-003 | HIGH | Config File Hunt | WP config variant scanning (.php6, _phpinfo, dev-wp-config) | 5+ variants | Blocked (Managed) |
SOC-INC-004 | MEDIUM | Credential Attack | wp-login.php brute force (Day 5 of campaign) | 228 blocks | Blocked (refine) |
SOC-INC-005 | MEDIUM | Webshell Hunting | PHP backdoor path scanning (continued) | 15+ paths · 200+ probes | Mitigated (rule needed) |
SOC-INC-006 | LOW | Trend | Weekend dip — attack volume -46% (Saturday effect) | Information | Continue monitoring |
api-prod-us.tek-safari.com · api-eu-west-2-uat.tek-safari.comapi-prod-euw2.tek-safari.com · api-ca-staging.tek-safari.comapi-{env}-{region} という命名規則を既に把握している可能性が高い。
Zero Trust → Access → Applications
- Applications: api-*.tek-safari.com (wildcard)
Policy:
Action: Allow
Include: Service Token (for API consumers)
Require: mTLS client certificate
# 公開APIの場合は Bot Management + Rate Limit で代替
20.206.88.59: 488件 (新) · 20.226.23.23: 404件 (新) · 20.48.233.234: 314件 (新)20.151.224.190: 312件 · 20.104.227.76: 299件 (5/22から継続) · 74.249.173.207: 299件 (5/22から継続)20.63.33.98, 74.249.207.132, 20.220.211.197, 20.63.46.176, 20.222.2.83 も検出(ip.src.asnum in {8075 14618 16509 396982 16276 24940 63949 14061 20473}
and (starts_with(http.request.uri.path, "/wp-")
or http.request.uri.path eq "/xmlrpc.php"
or http.request.uri.path matches "\\.php$"
or starts_with(http.host, "api-")))
/wp-config.php, /wp-config.php6 (PHP6 fallback 試行)/dev-wp-config.php (開発環境固有ファイル名)/admin/phpinfo.php, /phpinfo.php, /_phpinfo.php (PHP info disclosure)/.env, /.git/config も継続スキャン
(lower(http.request.uri.path) matches "/wp-config\\.php[0-9]*$" or lower(http.request.uri.path) matches "/(dev-|prod-|staging-|test-)?wp-config\\.php" or lower(http.request.uri.path) matches "/_?phpinfo\\.php$" or lower(http.request.uri.path) matches "/admin/phpinfo\\.php$")
既存ルール継続。POST制限 3req/min/IP・GETはManaged Challenge化を継続。
/wp-good.php (20) · /edit.php (19) · /ms-edit.php (17) · /txets.php (16) · /inputs.php (15) · /aevly.php (14) · /xa.php (14) など。/wp-content/plugins/hellopress/wp_filemanager.php も26件。
5/20のSOC-RULE-003a を拡張。新パターン (wp-good, ms-edit, txets, aevly, xa) を追加。
"action": "log" で投入し、Logpush で誤検知有無を観察。action を Block / Managed Challenge / Rate Limit へ昇格。SOC-INC-002 の既存ルール置換を含む。本日は週末初日 (土曜日) で攻撃量が 顕著に減少 (-46%)。この減少パターンは攻撃者の性質を理解する重要な手がかりを提供:
① 人間オペレーター駆動の証拠: 完全自動化Botnetなら週末も同等の活動量になるはず。-46% の減少は 人間が手動で攻撃キャンペーンを運用 していることを強く示唆。
② 偵察は継続: API サブドメインへの新規偵察 (6 hosts) と Azure VM ローテーション (Day 4) は週末も継続。自動化された偵察ツールは動いている。
③ Brute Force は減速: wp-login.php Brute Force は 354 (5/22) → 228 (5/23) に減少。手動運用の攻撃者が週末休暇に入った可能性。
これは 「攻撃者は組織化された人間グループ + 補助的な自動化」 の典型パターンです。月曜の活動再開に備えた防御強化が今週末のタスク。
api-prod-us, api-eu-west-2-uat, api-prod-euw2, api-ca-staging の正確な命名規則を把握。事前情報を持つ攻撃者 または CT/DNS/GitHub漁り で発見。6日間 (5/18-23) の攻撃進化パターン:
5/18 (月): 922件 ← 第1波: SG単一IP集中Brute Force
5/19 (火): 700件 ← 第2波: 多段攻撃
5/20 (水): 463件 ← Azure VMローテーション開始
5/21 (木): 1,077件 ← 第3波: 過去攻撃者の再来
5/22 (金): 474件 ← 攻撃面拡大 + Dev/Beta 発見
5/23 (土): 254件 ← 週末効果 + API偵察開始
本日の重要な発見は 「攻撃者が組織化された人間グループである」 ことの明確な証拠 (週末-46% 減少)。これは対応戦略に大きな示唆を与えます:
▸ 月曜朝の活動再開 に備えた防御強化を週末中に実施
▸ API サブドメインの保護 を最優先 (新たな偵察対象)
▸ Azure ASN Challenge を Day 5 までに必ず投入
予測 (5/24-26): 日曜は同様に減少、月曜から攻撃量急増 (1,000+件)、API エンドポイントへの本格的な脆弱性スキャン開始の可能性が高い。
SOC-RULE-001 で api-*.tek-safari.com ワイルドカードに Cloudflare Access (mTLS) を適用。
月曜の攻撃再開前に必須。
SOC-RULE-002 で AS8075 (Azure) からの WP/PHP/API アクセスに Challenge を強制。
4日連続のVMローテーション攻撃を停止。
SOC-RULE-003 で WP config パス変種を Block。
パッチ未適用の既知脆弱性悪用は観測されていません。5xx エラー率は 0.1% と極めて低く、オリジンサーバは健全。WAFは全254件を正常に遮断しており、200 OK 応答も 734件 (14.6%) 維持。
過去の主要攻撃者 (SG /16 や Firefox 47 UA) は本日も完全に沈黙。週末で攻撃者が休息中 なので、今週末を準備期間として防御強化に活用すべき。
A. Data Source: Cloudflare Logpush → R2 bucket (cloudflare-managed-763ace79 for HTTP, cloudflare-managed-45268730 for WAF). Analyzed via R2 Log Analyzer MCP server.
B. Reference Documentation:
C. Classification: TLP:AMBER — Limited disclosure, recipient may share with members of their own organization or its clients/customers when reasonably necessary.
D. AI Disclosure: 本レポートは Claude Opus 4.7 を分析エンジンとする AI SOC パイプラインによって自動生成されました。Cloudflare 公式サービスではありません。本番運用前に必ず人間のSOCアナリストによる査読を実施してください。
E. Next Report: 2026-05-24 (JST) at 09:00 — automated dispatch via AI SOC pipeline.