毎日、同じ扉が叩かれています
——Joomlaサイトのアクセス記録を7日分、数えてみました
はじめにお断りしておきますが、私はセキュリティの専門家ではありません。Joomlaでいくつかサイトを運営している、ただの個人です。
ですから、この記事に難しい話は出てきません。気になったことを数えてみたら、思っていたのと違う景色が見えた——そういう記録です。同じようにJoomlaでサイトを持っておられる方に、少しでも参考になればと思って書いています。
アクセス記録という帳面があります
サイトを置いているサーバーには、アクセスログという記録が自動でたまっていきます。
いつ、どこから、どのページを見に来たか。それが一行ずつ、延々と書き込まれていく帳面のようなものです。特別な設定をしなくても、たいていのサーバーで勝手に残っています。
普段は見る必要のないものです。私も、何かおかしいと感じたときにしか開きません。
今回は、その「何かおかしい」があったのです。
管理画面に、同じ文字が並ぶようになりました
8月に入ってから、管理画面の記録に同じ文字列が何度も出てくるようになりました。
index.php?option=com_jce
一日に何度も、いろいろな場所から、判で押したように同じところを狙ってきます。
そこで、7月30日から8月5日までの7日分のアクセス記録を集めて、実際に数えてみることにしました。
com_jceとは何のことか
com_jceというのは、Joomlaでよく使われている「JCE」という文章編集ツールのことです。記事を書く画面を使いやすくしてくれる拡張機能で、入れておられる方は多いと思います。
なぜここが狙われるのか。理由は単純です。
昔、このJCEに不備が見つかったことがありました。外から勝手にファイルを送り込めてしまう、という種類のものです。もちろん修正はとっくに済んでいます。
ところが世界には、何年も更新されないまま放置されたJoomlaサイトが山のように残っています。攻撃する側からすれば、当たれば一発で中に入れる、効率のいい的なのです。
だから今日も、機械が世界中のJoomlaサイトの同じ扉を叩いて回っています。
7日間で513回、叩かれていました
数えた結果です。
com_jceを狙う要求は、7日間で513件ありました。送ってきた場所は56か所。
日ごとに見ると、少ない日で24件、多い日は216件。ゼロの日はありませんでした。毎日必ず来ています。
私は4つのサイトを運営していますが、狙われたのは全部でした。手芸の店にも、音楽のファンサイトにも、区別なく来ています。
そして——通ったものは、一件もありませんでした。
サーバーの返事はすべて「お断りしました」というものでした。403という番号で記録される、門前払いの返事です。中でも実際の攻撃にあたる160件は、例外なくその扱いになっていました。
相手が人間でないことは、数字で分かります
記録を眺めていると、これが機械の仕業だとはっきり分かります。
たとえば、ある一か所からの記録を数えたら、私の3つのサイトそれぞれに38回ずつ、寸分違わず同じ回数でした。38、38、38。人が手作業でやっていたら、こうはなりません。名簿を順番に処理しているだけです。
同じ場所からの記録を秒単位で見ると、1秒間に7件届いていました。これも人の手では無理です。
面白いのは、名乗り方です。
サイトを見に来るとき、相手は「私はこういうブラウザです」と名乗ります。513件のうち157件は「Linux版のChrome」、60件は「Windows版のChrome」、38件は「MacのSafari」を名乗っていました。
もちろん、嘘です。普通の人が見に来たように見せかけて、正体を隠しているのです。
ただし16件だけ、道具の名前をそのまま名乗っているものがありました。隠す気すらない、雑なものも混じっているようです。
数えてみて、いちばん意外だったこと
ここからが、今回いちばん驚いた部分です。
同じ7日間に、他に何が狙われていたのかも数えてみました。
設定ファイルを探す要求が1,677件。WordPressの管理画面やログイン画面を探す要求が、合わせて2,200件あまり。
com_jceの513件は、この中ではむしろ少ないほうだったのです。
私のサイトはすべてJoomlaで動いていて、WordPressは一つも使っていません。それなのに、WordPressの扉を叩く要求のほうが4倍以上多い。
これが何を意味するか。
相手は、私のサイトが何でできているかを調べていないのです。世界中の住所に片っ端から、あらゆる種類の扉を順番に叩いて回っている。たまたま鍵の開いていた家だけが、被害に遭う。
つまり私は、狙われていたわけではありませんでした。網に入っていただけです。
ちなみに、7日間の全部の訪問は約15万件で、そのうち攻撃らしきものは5,800件ほど。割合にすると4パーセントほどでした。
では、何をすればいいのでしょう
数字を並べると恐ろしく思えますが、やることは驚くほど少ないです。
ひとつめ。JCEを使っておられるなら、最新版にしておいてください。それだけで、この513件は全部むだ玉になります。直してある不備を突く攻撃は、何度来ても通りません。
ふたつめ。使っていない拡張機能は、思いきって削除してください。無いものは攻撃されようがありません。
みっつめ。ときどき記録を見てください。毎日でなくて構いません。ただ、一度も見たことがない、という状態は避けたほうがいいと思います。
余裕があれば、怪しい要求を入口で止めてくれるしくみ（拡張機能として用意されています）を入れておくと、そもそも中まで届かなくなります。私の場合の「一件も通っていない」という結果は、そのおかげです。
怖がりすぎなくて大丈夫です
最後に、私と同じように個人でサイトを持っておられる方へ。
こうした数字を見ても、自分だけが狙われていると思う必要はありません。インターネットに公開しているサーバーであれば、どこでも同じことが起きています。開店したばかりのサイトにも、何年も更新していないサイトにも、等しく降ってきます。雨のようなものです。
大事なのは、攻撃をゼロにすることではありません。それは誰にもできません。
当たっても抜けない状態にしておくこと。そして、自分の家の扉が今どうなっているかを、たまには見ておくこと。この二つだけです。
毎日誰かが扉を叩いている。それでも鍵がかかっていれば、何も起こりません。今回数えてみて、そのことが数字ではっきりしました。
たまには数えてみるものだな、というのが正直な感想です。
