同じ足跡が233個 — 荷物を置いていったのは2か所だけだった

雨の降った翌日、マンションの玄関ロビーに降りてみたことはありますか。

床に靴跡がびっしり刻まれています。ところがよく見ると、靴底の模様は数種類しかありません。同じ模様が20個、30個と重なっているのです。だからといって、それが一人で30回行き来した跡ではありません。同じ靴を履いた別々の人たちが通ったのです。最近みんなが履いている、あのスニーカーです。

足跡から分かることは、ちょうどそこまでです。どんな靴かは分かりますが、誰なのかは分かりません。

昨日、私たちのハニーポットのロビーの床がそうでした。

足跡が一つに偏った

まず用語を一つだけ解いておきます。

サーバーに接続するとき、相手のプログラムは自分がどんな方式で会話するかを先に知らせます。この会話方式の組み合わせをハッシュ(内容を短い文字・数字の塊に要約した値)にまとめたものをクライアント指紋と呼びます。名前は指紋ですが、実際には指紋よりも足跡に近いものです。 人の指先ではなく、靴底を写し取ったものだからです。

事実 昨日、私たちのサーバーに残った足跡の模様は全部で38種類でした。そのうちブリーフの一覧に載った11種類の発信元を合わせると264か所です。ところがその264か所のうち233か所が acaa53e0a7d7ac7d1255103f37901306 一つでした。バナー文字列は SSH-2.0-OpenSSH_7.4。10足のうち9足(88.3%)が同じ模様だったという意味です。

事実 この模様がこれまでに踏んだ発信元は累計1,029か所です。8月16日には20か所でした。20日間で51倍になりました。推移はこうです。8/16 20か所 → 8/25 139 → 8/26 356 → 8/27 543 → 8/31 589 → 9/01 758 → 9/02 899 → 9/03 1,005 → 昨日 1,029。

事実 ところがこの模様には、20日間ずっと一度も点灯しなかった表示が一つあります。delivered_samples(検体を届けたか)の項目がずっと false です。ロビーを最も多く踏んだ靴が、20日間ドアの前に何も置いていきませんでした。

荷物を置いていった足跡は別にあった

事実 昨日一覧に載った11種類のうち delivered_samples=true だったのはたった一つでした。16443846184eafde36765c9bab2f4397、バナーは SSH-2.0-Go。昨日の発信元は2か所、累計19か所です。

数字を並べるとこうなります。

推定 最も騒がしく出入りした側と、実際に荷物を置いていった側が、昨日は互いに違いました。接触が多い順に危険度を付けると順序が逆転する形です。233対2ですから、接触量で並べていたら、荷物を置いていった側は一覧のずっと下にあったはずです。

昨日はじめて見る靴が2足

事実 昨日の一覧には、アーカイブ19日分(8/16〜9/03)に一度もなかった模様が二つ同時に現れました。

• 3356ae6145fa86124298066e281ea2d9 — バナー SSH-2.0-PuTTY_Release_0.84。昨日3か所 = 累計3か所。昨日が初めてです。
• 5bd26477da5440a6187bd3f1b39a429c — バナーがただの SSH-2.0-PUTTY です。バージョン表記が抜けています。昨日3か所・累計8か所。

事実 それまで記録にあったPuTTY系の模様は 0425c279…(0.70) 一つだけで、その一つは昨日の一覧にありません。

ここで必ず立ち止まらなければならない地点

事実 これらの値はプログラムのビルドの指紋であって、人の指紋ではありません。 同じディストリビューションが既定で入れてくれるOpenSSHを使う人、同じPuTTYリリースをダウンロードした人は、互いに何の関係がなくても同じ値を持ちます。だから私たちは「同じツール」とだけ書き、「同じ組織」とは書きません。

事実 さらにバナー文字列は相手が自分から送ってくる値です。自分の靴に好きな模様を刻んで履いてくることができるという意味であり、私たちにはそれを検証する手段がありません。

事実 比率も注意して読まなければなりません。233か所を昨日の全発信元419か所で割ると55.6%が出ますが、この分母は汚染されています。テルネットセッション328件には、この足跡がそもそも生じません。 だから私たちは419ではなく、足跡が残った264か所を分母にした88.3%を使います。

昨日一日の全体

時間順に並べるとこうなります。集計行とアーカイブ対照行を交互に見てください — 昨日一日だけ見ていては見えないものが、前後の日付とつなげてみると見えてきます。

1. 2026-09-04 (하루 집계)
   事実 センサー01(Cowrie、高対話型): セッション952件・固有の発信元419か所・ログイン試行663回・コマンド1,403個・TTY録画319件。ポート別に2222(SSH)623件、2223(テルネット)328件。前日(9/03)のセッション2,378・コマンド6,001に対し、セッション40.0%・コマンド23.4%の水準まで落ち込んだ
2. 2026-09-04 (하루 집계)
   事実 意図の分布: 実行権限の付与 237 → 偵察—システム 147 → ダウンロード後に実行 20 / ファイルのダウンロード 20 → 痕跡の削除 11 → 永続化—SSH鍵の埋め込み 10 → 偵察—ネットワーク 2。合計447件で、昨日のコマンド1,403個の31.9%
3. 2026-09-04 (아카이브 대조)
   事実 「実行権限の付与」が「偵察—システム」を上回った日は8/29(161対75)・8/31(195対119)・9/01(207対144)・9/02(135対60)・昨日(237対147)で、直近7日のうち5日。237回は逆転が起きた5日のうち絶対値で最大であり、アーカイブ20日全体でも8/16(309)・8/17(283)・8/22(271)・8/18(257)に次ぐ5位
4. 2026-09-04 (아카이브 대조)
   事実 一方、8/16〜8/28の13日間は例外なく偵察が1位だった(8/26 偵察2,391、8/27 1,811)
5. 2026-09-04 (하루 집계)
   事実 降ってきたファイルは4種類。1バイトの空ファイル(11回)、389バイトのOpenSSH RSA公開鍵(発信元8か所)、306バイトのPOSIXシェルスクリプト(hxxp://185[.]93[.]89[.]72/wget、発信元6か所)、9バイトのASCIIテキスト(6回)。ELF・PEなどの実行バイナリはfile_category・file_kindのどこにもない
6. 2026-09-04 (하루 집계)
   事実 SSHクライアント指紋クラスタは全38個。最大クラスタacaa53e0a7d7ac7d1255103f37901306(SSH-2.0-OpenSSH_7.4)は昨日233か所・累計1,029か所。一覧に載った11個のクラスタの昨日のIP合計264か所のうち233か所(88.3%)がこの一つ
7. 2026-09-04 (아카이브 대조)
   事実 acaa53e0…の累計IPの推移: 8/16 20か所 → 8/25 139 → 8/26 356 → 8/27 543 → 8/31 589 → 9/01 758 → 9/02 899 → 9/03 1,005 → 昨日 1,029。20日間ずっとdelivered_samplesはfalseのまま
8. 2026-09-04 (하루 집계)
   事実 一覧の11個の指紋のうちdelivered_samples=trueは16443846184eafde36765c9bab2f4397(SSH-2.0-Go)一つだけで、昨日のIPは2か所・累計19か所
9. 2026-09-04 (아카이브 대조)
   事実 3356ae6145fa86124298066e281ea2d9(SSH-2.0-PuTTY_Release_0.84)は昨日3か所 = 累計3か所で、アーカイブ19日分(8/16〜9/03)にこのハッシュが一度もない。5bd26477da5440a6187bd3f1b39a429c(バナーが'SSH-2.0-PUTTY'でバージョン表記なし)もアーカイブになく、昨日3か所・累計8か所
10. 05:16:21 ~ 05:17:31 UTC
    事実 ATK-1A62F3(45.250.x.x)がテルネットのログインに成功。約70.3秒、コマンド31個、ダウンロード1件。intents 3種(ファイルのダウンロード・実行権限の付与・ダウンロード後に実行)。completeness 16。TTY録画あり(内容は含まれない)。306バイトのシェルスクリプトのdelivered_by一覧にある
11. 06:20:00 ~ 06:21:08 UTC
    事実 ATK-3C40CA(36.233.x.x)がテルネットのログインに成功。約67.9秒、コマンド31個、ダウンロード1件、intents 3種、completeness 16 — ATK-1A62F3とコマンド数・ダウンロード数・意図の組み合わせ・completenessがすべて同じ。この別名も306バイトのスクリプトのdelivered_byにある
12. 08:08:14 ~ 08:09:22 UTC
    事実 ATK-DB4C25(103.205.x.x)がテルネットのログインに成功。約67.3秒、コマンド17個、ダウンロード0件。intents 5種で昨日最多 — 偵察—システム・ファイルのダウンロード・ダウンロード後に実行・実行権限の付与・永続化—SSH鍵の埋め込み。completeness 17
13. 13:22:08 ~ 13:23:22 UTC
    事実 ATK-929E7E(165.101.x.x)がテルネットのログインに成功。約73.8秒、コマンド17個、ダウンロード0件、intents 5種、completeness 17 — ATK-DB4C25とまったく同じ形が5時間14分後に別の発信元で繰り返された
14. 14:43:15 ~ 14:43:34 UTC
    事実 ATK-5392AA(122.199.x.x)がテルネットのログインに成功。約19.6秒で昨日最短なのに、ダウンロード11件・コマンド20個・completeness 40で昨日の最高値。ところがintents配列は空で、受け取った11件はすべてsha256 01ba4719…(1バイト、マジックナンバーなし)
15. 2026-09-04 (센서 02)
    事実 センサー02(Beelzebub+adbhoney、低対話型): 接触51,367件・固有の発信元317か所。VNC 5900が50,065件(97.5%)だが発信元は69か所だけ — 1か所あたり725.6件。RDP 3389は795件・143か所、SMB 445は309件・40か所、LDAP 389は109件・9か所、MSSQL 1433は64件・40か所
16. 2026-09-04 (센서 02)
    事実 VNCのネゴシエーションで相手が提案したバージョンは003.003が48,103回、003.008が1,487回で003.003が97.0%。SMBの方言提案323件のうち'SMB 2.???'は2件だけで、残りはNT LM 0.12・LANMAN1.0・LM1.2X002・PC NETWORK PROGRAM 1.0のような旧式の語彙。RDPのクッキーは'<ip>'396回、'hello'208回が大半
17. 2026-09-04 (센서 02)
    事実 ADBセッションが25件あったが、samples_captured=0でdownloads配列は空である。前日(9/03)はADB 32件に検体4件、一昨日(9/02)は733,706バイトのファイルがこの経路から入ってきた

ここで目に留まるのは9月3日と4日の差です。叩いた場所の数はほとんどそのままなのに、中でやったことだけが大きく減りました。

推定 ロビーを踏んでいった人の数はほとんどそのままなのに、中に入ってやったことだけが4分の1に減った形です。感覚で大きさを測ってみると、ログイン試行663回は平均2分に1回ほど、コマンド1,403個は平均1分に1個ほどです。一日中休まず、しかしとても速くもなく続いた速度です。

足跡ではなく、中でやったこと

事実 コマンド1,403個のうち意味が分類されたものは447個(31.9%)です。その447個の1位は、見て回ることではありませんでした。

「実行権限の付与」は、ファイルに**「これは実行してもいいファイルだよ」という印を付ける動作**です。Linuxでは印がなければ、いくらプログラムであっても実行されないからです。

事実 この動作が偵察を上回った日は8/29(161対75)・8/31(195対119)・9/01(207対144)・9/02(135対60)、そして昨日(237対147)です。直近7日のうち5日です。逆に8/16から8/28までの13日間は例外なく偵察が1位でした。昨日の237回は逆転が起きた5日のうち最も大きい値であり、20日全体で見ても5位です。

ドアの前に置かれたもの

事実 昨日サーバーに降りてきたファイルは4種類でした。大きさの感覚がつかみにくいと思うので、隣に比べるものを添えてみます。

事実 ELFやPEのような実行バイナリは一つもありませんでした。 ファイル分類の項目のどこにもありません。実行権限を付ける動作が237回あったのに、肝心の付ける対象のプログラムは入ってこなかったのです。

事実 389バイトのものはSSH公開鍵です。分かりやすく言えば、パスワードなしで入ってこられる合鍵です。サーバーの authorized_keys(許可された鍵の一覧)というファイルにこの値を1行書き入れると、その鍵を持っている人は以後パスワードを聞かれなくても入ってきます。昨日このファイルは、互いに異なる別名8か所から来ました。

防御に使えるように値をそのまま写します。値をクリックするとコピーされます。 アドレスは接続されないように変形(defang)してありますので、そのまま使ってください。

4つのうち3つはどこから来たのかの欄が空です。 遮断リストに載せるアドレスが残らないという意味です。残ったアドレスは一つだけですが、その一つは19日目もそのままです。

どんなパスワードで入ろうとしたか

事実 昨日のログイン試行は663回、ID・パスワードの組み合わせは358種類でした。そのうち338種類はここに載せません。 互いに異なるIP 3か所未満でしか見られなかった組み合わせは、実際にどこかで流出した本物のアカウントである可能性があるため、私たちは個数だけを数えて値は書きません。

以下は反対側です。IP 3か所以上で繰り返されたため、「誰のものでもない出荷時の初期値」と見なせるものです。

事実 admin/admin 一つだけで、互いに異なる16か所から39回試行されました。rootアカウントにパスワードをまったく空にして試行したものも、3か所から17回ありました。

攻撃者が使った手口を国際分類表に対応させると

MITRE ATT&CKは、攻撃の手口に番号を付けた国際的な一覧です。私たちが見た行動をその番号に合わせてみると、こうなります。IDを押すと原文の説明に飛びます — 私たちの言葉を信じず、直接確認してくださいという意味でリンクを張ります。

• T1110Brute Force — ログイン試行663回・認証情報の組み合わせ358種類(公開20 + 非公開338)推定
• T1078Valid Accounts — notable_sessions 5件すべてlogin_success=true推定
• T1222.002File and Directory Permissions Modification: Linux — 「実行権限の付与」237回、昨日1位の意図推定
• T1082System Information Discovery — 「偵察 — システム」147回推定
• T1105Ingress Tool Transfer — 「ファイルのダウンロード」20回、実際のダウンロードイベント31件推定
• T1059.004Command and Scripting Interpreter: Unix Shell — 「ダウンロード後に実行」20回、306バイトのPOSIXシェルスクリプトの流入推定
• T1098.004Account Manipulation: SSH Authorized Keys — 「永続化 — SSH鍵の埋め込み」10回、389バイトの公開鍵が別名8か所から流入推定
• T1070Indicator Removal — 「痕跡の削除」11回推定
• T1046Network Service Discovery — 「偵察 — ネットワーク」2回推定
• T1595Active Scanning — センサー02の接触51,367件・5つのサービス。ログインもコマンドもないネゴシエーション段階の接触なので、スキャンとしてのみ分類する推定

10行すべてに**[推定]**バッジが付いていることを見てください。私たちが見たのは、コマンドの「意図の分類結果」と「何回あったか」までです。コマンドの原文は私たちの手にありません。だから分類表に対応させる作業は常に解釈であり、解釈には解釈だと書きます。

隣の建物のロビー — センサー02

事実 同じ日、低対話型のセンサー02には接触が51,367件入ってきました。センサー01のセッション952件と比べると54倍です。発信元は317か所でした。

事実 VNCは画面共有用の経路です。5万件が69か所から出ました。1か所あたり725.6件です。一日で割ると、1か所が2分に1回ずつ、一日中ドアノブを回していた計算になります。

事実 ネゴシエーション段階で相手が提案したVNCのバージョンは 003.003 が48,103回、003.008 が1,487回でした。97.0%が 003.003 です。SMB側も似ています。方言の提案323件のうち最新系である SMB 2.??? は2件だけで、残りの321件は NT LM 0.12(70)・LANMAN1.0(63)・LM1.2X002(63)・LANMAN(32)・PC NETWORK PROGRAM 1.0(31)・Windows for Workgroups 3.1(31)・LANMAN2.1(31) のような旧式の語彙でした。RDP側のクッキーは <ip> 396回、hello 208回が大半でした。

推定 003.003 はRFBプロトコルが定義した最も低いバージョン表記です。相手が自分から低いほうを提案した形ですが、なぜそうしたのかはフレームの原文がないため言えません。

事実 Androidデバッグ経路(ADB)にはセッションが25件ありましたが、捕まえた検体は0件でした。9月3日には32件に検体4件、9月2日には733,706バイトのファイルがこの経路から入ってきていました。

事実 センサー02は低対話型なので、ログイン成功・コマンド・認証情報という概念自体がありません。こちらの観測では「攻撃者が入ってきて何をした」という文を作ることができません。どのドアを何回叩いたか、プロトコルが何と言ったか、までがすべてです。

以前にこんなことがあった

推定 Miraiボットネット(2016)。 テルネットの初期アカウントでIoT機器にログインした後、CPUの種類別のバイナリをダウンロードする構造でした。昨日の私たちの観測と重なる点はこうです。完結性の上位5つのセッションがすべてテルネットで、すべてログインに成功しているという点、引用可能な認証情報に機器の出荷時初期値の系統(root/vizxv)が含まれているという点です。感染規模や被害額の数値は私たちのデータでは確認できないため写しません。(出典の類型: 政府機関の警報 US-CERT/CISA Alert TA16-288A、米司法省の公開起訴・有罪答弁の文書)

推定 XorDDoS Linuxトロイの木馬キャンペーン(2022)。 SSHの総当たり攻撃でLinuxサーバーに入った後、永続性を確保して痕跡を消す順序でした。昨日の私たちのセンサーには、ログイン試行663回、「SSH鍵の埋め込み」10回、「痕跡の削除」11回が同じ日に並んで記録されました。(出典の類型: ベンダーのセキュリティリサーチ公開レポート、Microsoft Security Threat Intelligence)

それで何をすべきか

足跡の話に戻ってみます。ロビーの床の模様を数える作業は、誰が来たのかを突き止めようとするものではありません。 どうせ靴は履き替えられるからです。数える理由は一つです。玄関がどんな状態で開いているからこれほど多く踏まれるのかを見るためです。

昨日のデータで確認された順に書きます。

1. 初期アカウント・脆弱なパスワードをそのまま使っている · 可能性は高い 上の表の12行はすべて、機器やディストリビューションが出荷時に入れておく値です。事前準備なしに即座に試行できます。実際の運用サーバーだったなら、この一覧のうち一つでも当たればシェルが開きます。昨日は5つのセッションが実際にログインに成功しました。

2. パスワードログインを許可していて、鍵方式を使っていない · 可能性は高い 成功した5件はすべてテルネット(2223)です。テルネットはパスワードが暗号化なしでそのまま流れます。 そして侵入後に他人の公開鍵を埋め込む段階まで実際に観測されました(10回)。authorized_keys に他人の鍵が1行入ると、パスワードを変えてもその鍵で入り続けられます。 パスワードの変更だけでは復旧できない地点です。

3. 管理ポートをインターネットにそのまま開けている · 可能性は高い SSH 623件、テルネット328件、そして隣のセンサーのVNC 5万件。二つの観測面を合わせて最大736か所がドアを叩きました。特定の組織を狙ったものではありません。ポートを開けておくだけで、一日5万件台のノックが付いてきます。 対象になるのに特別な理由は要りません。

4. 外に出ていく接続を塞いでいない · 可能性は高い ログインはすでに突破された後です。だからサーバーが外に出ていく接続を断つことが、実際の被害を防ぐ最後の地点です。昨日、配布元が記録されたのは hxxp://185[.]93[.]89[.]72/wget の一か所で、ログイン成功後に実際に外に出ていく接続が発生しました。これを塞げば、昨日観測されたセッションはダウンロードの段階ですべて断ち切られます。

5. ログをサーバーの中だけに置いている · 可能性は中程度 「痕跡の削除」の意図が11回分類されました。私たちがそれを見ることができたのは、ハニーポットなのでセッション319件が別途録画されたからです。ログをサーバーの中だけに置くと、この11回はそのまま成功します。侵入の事実だけが消え、埋め込まれた鍵は静かに残ります。

6. 回数ベースの遮断(fail2banなど)だけを信じている · 可能性は中程度 ここが面白い地点です。センサー01は発信元1か所あたり平均1.58回しか叩いていません。「5回間違えたら遮断」のようなルールはほとんど発動しません。 419か所が1〜2回ずつだけ叩けば、しきい値の下に散らばって入ってくるからです。例外はroot/空パスワードの組み合わせ一つで、3か所から17回なので1か所あたり約5.7回です。逆にセンサー02のVNCは1か所あたり725.6件なので、どんなルールでも確実に引っかかります。同じ防御が観測面によって正反対に動作します。

私たちが分からないこと

このブログが他と違う点はここです。分からないことを分からないと書きます。

データそのものからは説明がつかないもの

• [確認不可] completeness(完結性)スコアの計算式がデータにありません。ATK-5392AAは40で昨日の最高値ですが意図の配列が空で、鍵の埋め込みまで至ったATK-DB4C25・ATK-929E7Eは17です。意図が一つもないセッションがなぜより高いスコアを得たのか説明できません。8/18・8/19のブリーフにも同じ項目が残っていました。
• [確認不可] ATK-5392AAはコマンド20個にダウンロード11件なのに、意図の配列が空です。分類器が一つも分類できなかったのか、分類結果が欠落したのかを区別できません。
• [確認不可] ダウンロードイベントの合計は31件(11+8+6+6)なのに、「ファイルのダウンロード」の意図は20回です。集計の単位が違うのか、コマンドなしで発生した転送があるのか、データが明らかにしていません。
• [確認不可] TTY録画の数値が二か所で異なって出ています(218対319)。samples_on_honeypot 93も、昨日のファイル4種類とどういう関係にあるのか明示されていません。
• [確認不可] ファイル4種類のうち3種類の配布元の欄が空です。もともとなかったのか、記録から抜けたのかが分からず、したがってアーカイブに書いておいた配布元12個が昨日使われたのかも判断できません。
• [確認不可] VNCのバージョン提案の合計49,590はVNCセッション50,065件より475少なく、RDPクッキーの合計609はRDPセッション795件より186少ないです。ネゴシエーション前に切れた接触と見えますが、理由がデータにありません。
• [確認不可] センサー02の上位発信元は単位が’events’で、サービス別の集計は’sessions’です。二つの値が同じものを数えているのか明らかにされておらず、上位9か所が92.2%という値は単位が同じだという仮定の下での数字です。同じ理由で、一つの発信元が複数のサービスをなめたのかも数えられません — その値の0は「なし」ではなく「算出不可」です。
• [確認不可] ADBセッション25件で検体が0件だったのが、実際に何の投入もなかったのか、キャプチャが失敗したのかが区別されません。ただし、センサー自体の収集失敗と見る根拠はありません。表のADBのポート・発信元の欄も「なし」ではなく「未記録」です。9/03にも同じ欠落がありました。

今日のテーマである足跡について

• [確認不可] 累計の発信元の数がいつから積み上がった値なのかがデータにありません。acaa53e0… が8/16の20か所から昨日1,029か所になったことを「実際の拡散」と読むのか「集計開始以降の自然な累積」と読むのかを確定できません。8/21・8/22・8/23のブリーフでも未解決のまま残った項目です。
• [確認不可] バナー文字列(SSH-2.0-OpenSSH_7.4、SSH-2.0-PuTTY_Release_0.84 など)は相手が自分から送ってくる値なので偽造が可能であり、私たちに検証する手段がありません。
• [確認不可] 233か所対419か所(55.6%)という比率は分母が汚染されています。テルネット328件には足跡がまったく生じないのに、プロトコル別の固有IPの分解がデータにないため、SSH側の実際の占有率を計算できません。だから本文では88.3%を使います。
• [確認不可] 模様の種類38個は8/22以降の14日のうち最低で、8/26〜8/28の45から下がった値です。ただしこの数値が当日観測された数なのか累計の数なのか定義されていないため、減ったことの意味を解釈できません。

背景資料・通報

• [確認不可] 観測した配布元・C2はC-TASに通報しますが、送信自体の成功だけが確認され、KISAへの登載可否は別途の確認が必要です。
• [確認不可] 背景統計として入ってきたCVE 6,622件・CISA KEV 390件・ランサムウェア確認98件はKISAのセキュリティ告知から抜き出した値です。昨日ハニーポットで観測されたいかなる活動とも結びつく根拠がありません。

そもそも判断しないもの

• ASN・ISP — 関連するデータベースを持っていません。推定しません。
• 地理情報 — 上と同じです。IPの地理情報はそもそも帰属の根拠にもなりません。昨日出たマスキングされた帯域(45.250.x.x、36.233.x.x、103.205.x.x、165.101.x.x、122.199.x.x、165.22.x.x、164.92.x.x など)から国や事業者を推し量りません。
• VPN・Tor・クラウドかどうか — 判別する手段がありません。
• 検体が悪性かどうか — VirusTotalを連携していません。昨日のファイル4種類が悪性かどうかは判定しません。
• User-Agent — 二つの観測面のどちらもHTTPではありません。センサー01はSSH・テルネット、センサー02はSMB・RDP・VNC・MSSQL・LDAP・ADBです。
• CVEとの結びつき — SSH・テルネットの攻撃は大抵CVEを参照しません。センサー02もプロトコルのネゴシエーション段階なので同じです。昨日の観測のうち、特定のCVEに結びつくものは一つもありません。
• 発信元の身元 — 別名(ATK-XXXXXX)は記事と記事の間で同じ発信元を指す識別子であって、身元ではありません。マスキングされた2桁は復元しません。
• コマンドの原文・ファイルの内容・TTYリプレイ — 私たちの手にありません。意図の分類と存在の有無までしか言えません。

ロビーの床の足跡は233個で、ドアの前に荷物を置いていった足跡は2か所のものでした。二つのうちどちらを先に見るかを決める基準が「何個刻まれたか」であるなら、昨日はその基準が間違っていた日です。

観測日は2026-09-04であり、センサー01は一日集計が基準です。発信元のIPは末尾2桁を伏せて記し、復元しません。配布アドレスは接続されないように変形(defang)しました。認証情報は、互いに異なるIP 3か所以上で繰り返し観測された組み合わせのみを引用し、3か所未満でしか見られなかった338種類は個数だけを数えて値は書きませんでした。