このサイトについて
何を観測しているか
- 拠点は2つです：Phoenix（米国）と東京（日本）。どちらも同じ構成です。
- 対象のポートは SSH/22、HTTP/80、HTTPS/443 です。これらに届いた接続と要求を記録します。
- SSH は、ログインを試させて記録するおとり（Cowrie）で受けます。ログインを受け入れた場合も、入れる先はおとりの中だけです。
- HTTP・HTTPS は自作の受信器で受け、要求の URL・ヘッダー・本文の一部と、本文の大きさや形を記録します。応答は原則として「見つからない」（404）です。手口によっては、続きを観測するために作り物の応答を返すことがあります。
- 記録は中央のサーバーに集め、約30分ごとに集計します。公開ページは集計の結果から作った静的なページです。
公開しないもの
次のものは公開しません：送信元の個別の IP アドレス、要求の URL、HTTP の本文、SSH で試されたユーザー名やパスワード、入力されたコマンド、個別のまとまりや指紋、運用者が使う製品や対応のメモ。公開するのは、種類・手口・国などごとの集計だけです。
用語
- 件数
- 記録の数です。1回の接続が、接続・ログイン・切断などの複数の記録になることがあります。攻撃の回数や被害の件数ではありません。
- 送信元IP数
- 異なる送信元の IP アドレスの数です。人数ではありません。拠点ごとに数えることがあり、両方の拠点に来た送信元は2回数えます。
- 観測の変化
- 初めて見た送信元は、直近30日に観測がなかったIPです。組織・国の初出は、この集計の開始日以降の初観測です。変化のタイルと国・組織の表は、拠点・時間帯をまたぐ送信元の重複を除きます。グラフは1時間内で重複を除いた数で、同じ送信元が別の時間帯にも現れます。急増は、送信元IP数が20個以上かつ前24時間の2倍以上の組織・国です。個別IP、調査状態、通知履歴は公開しません。
- 通常範囲
- 過去の件数の中央値とばらつきから求める目安で、安全な範囲を意味しません。時間ごとは同じ曜日・時刻の過去8週、履歴不足中は直近28日の全曜日・同時刻を暫定使用します。標本が4個未満なら未算出です。観測開始前の0件は標本に含めません。
- まとまり
- 同じ送信元から、間が30分を超えずに続いた HTTP の要求を1つにまとめたものです。拠点ごとに数えます。
- 段階
- まとまりの中の要求の役割です。探索・確認・準備・本体・後続の5つがあります。届いた要求の役割であり、攻撃の成功の判定ではありません。
- 形
- まとまりの中の要求の並び方です。掃引・段階進行・二段・反復・単発の5つがあります。
- 手口
- 要求の形から判定した、狙っている製品や攻撃の種類です。どの手口にも当たらないものは「未分類」です。
- 候補CVE
- その要求が狙っている可能性のある既知の脆弱性の番号です。おとりにその製品があることや、攻撃の成功は意味しません。
限界
- HTTP の本文は、記録に残すのは先頭の 4KiB までです（パスワードなどの秘密に見える値は伏せ、伏せられない形式の本文は残しません）。手口の判定には先頭の 64KiB を使います。64KiB を超える本文は、量と時間の上限（既定では 40MiB、接続から30秒）の内側で最後まで読みますが、保存はせず、大きさ・形・末尾の 16KiB だけを判定に使います。上限を超えた残りは見えていません。2026-11-12 より前の受信器の記録は、本文の先頭 4KiB と URL・ヘッダーだけで判定しています。
- 製品に固有の本物の応答が必要な攻撃は、おとりが本物の応答を返さないため、続きが届かず見えません。
- HTTP の受信器は HTTP/1.1 だけを受けます。HTTP/2・HTTP/3 で送られた要求や、受信できなかった通信は数えていません。
- 見えていない（0件や未観測の）ことは、その攻撃がないことや安全であることを意味しません。
- 国と組織は、IP アドレスの登録情報から MaxMind GeoLite2 で推定したものです。VPN やクラウドを経由した攻撃者の実際の所在とは限りません。
- 集計がない期間は「データなし」、集計が済んでいない期間は「未集計」と表示し、0 とは区別します。
変更の履歴
- 2026-11-07：両拠点で SSH・HTTP・HTTPS をそろえて観測するように、観測の範囲を広げました。それより前とは件数を単純に比べられません。また、それより前の記録には、転送のときの重複が含まれます。
- 2026-11-12：HTTP 攻撃の手口と段階の集計を始めました（HTTP攻撃の手口）。