アクセスログから不正アクセスの兆候を見つける7つの集計(nginx/Apache対応・コピペOK) - Qiita

「うちのサイト、攻撃されていませんか?」と聞かれたとき、答えはたいていサーバのアクセスログの中にあります。ただ生ログを tail で眺めても、1 日数万行の中から異常だけを拾うことはできません。 この記事は、サーバに SSH で入れる Web 担当者・サイト運営者・制作会社向けに、アクセスログを 7 本のコマンドに通して「見るべき数行」まで絞り込み、見つけた相手を fail2ban で自動遮断するまでをまとめたものです。前提は nginx または Apache の combined 形式ログ(WordPress 特有の見どころにも触れます)。 手順 0: ログに「本当のクライアント IP」が入っているか確認する ここを確認しないと以降の集計は全部むだになります。Cloudflare・ロードバランサ・リバースプロキシの配下では、何もしなければ記録されるのはプロキシの IP です。上位が全部同

[tmatsuu]

これ、fail2banで設定してもBANの実装はデフォルトだとiptables/firewalld/nftablesで行われるので、手順0に記載されている「Cloudflare・ロードバランサ・リバースプロキシの配下」の場合は結局効かないと思います。

[ugo_uozumi]

「サーバにSSHで入れる Web 担当者・サイト運営者・制作会社向け」ならアクセスログ見て不正検知対応よりも検索/OGP Botを除外した noscript BANトラップや偽フォームトラップ的なハニポ仕込む方がコスパ良さそう。

[morimarii]

？？？

[ya--mada]

何のアクセスログだ？フロントのウェブサーバーか？CMSなの？何を懸念してウェブサーバーのアクセスログの分析をするの？脆弱性スキャンツール？ID攻撃？侵害後のリバース通信？

[Eiichiro]

あとで内容を検証。調べ方はよいとして、毎日できるのか？自動化の仕組みが知りたいところ。

[neko-z]

AI

[natsuvien]

AI生成ブログで読みづらすぎる。あと大切なことはどんな表示があったら兆候なのかということが知りたいのであってコマンドではない。

[nguyen-oi]

集計5の2xx判定はマジで血の気が引く奴だな。コピペで使えるの助かる