アクセスログ解析レポート

📊

サマリー

総リクエスト数

561,641

2026年6月（31日間）

正常応答 (2xx)

395,440

70.4%（200: 395,211 / 206: 229）

リダイレクト (3xx)

101,923

18.1%（302: 50,769 / 301: 50,748 / 304: 406）

クライアントエラー (4xx)

62,359

11.1%（404: 54,271 / 403: 7,116 / 405: 302 / 400: 237）

サーバーエラー (5xx)

1,919

0.3%（503: 1,514 / 507: 368 / 500: 37）

404 Not Found

54,271

全体の9.7%

WordPress攻撃リクエスト

129,897

全体の23.1% — wp-login / xmlrpc / wp-admin

スキャナ/自動ツール

11,624

gobuster/nuclei/nmap 等のUAを検出

UA未設定リクエスト

32,632

自動攻撃ツールの疑い

ピーク日（06-16）

37,956

最少: 1,413件（06-30）日平均: 18,117件

⚠ WordPress を標的とした攻撃が多発

wp-login.php / xmlrpc.php / wp-admin への攻撃が全体の 23.1% を占めています。総当たり攻撃・XML-RPC 増幅攻撃への対策を推奨します。

🔢

HTTPステータスコード分布

コード	説明	件数	割合
200	OK	395,211	70.4%
404	Not Found	54,271	9.7%
302	Found	50,769	9.0%
301	Moved Permanently	50,748	9.0%
403	Forbidden	7,116	1.3%
503	Service Unavailable	1,514	0.3%
304	Not Modified	406	0.1%
507	Insufficient Storage	368	0.1%
405	Method Not Allowed	302	0.1%
400	Bad Request	237	0.0%
401	Unauthorized	235	0.0%
206	Partial Content	229	0.0%
499	Client Closed Request	188	0.0%
500	Internal Server Error	37	0.0%
409	Conflict	7	0.0%
408	Request Timeout	3	0.0%

📅

日別リクエスト数

日別リクエスト推移

ピーク: 2026-06-16（37,956件）最少: 2026-06-30（1,413件）日平均: 18,117件

⏰

時間帯別リクエスト数（JST）

時間帯分布（全期間合計）

ピーク: 14:00（37,507件）最少: 04:00（12,823件） ※攻撃トラフィックが24時間均等に分布する場合は自動化の特徴。

🌐

アクセス上位IPアドレス（Top 20）

#	IPアドレス	リクエスト数	備考
1	34.156.227.26	8,138	⚠ WordPress総当たり攻撃（8,132件）
2	192.109.200.101	7,776	⚠ WordPress総当たり攻撃（4,270件）
3	202.224.76.200	7,264	正常トラフィック
4	91.92.40.173	5,615	⚠ WordPress総当たり攻撃（3,099件）
5	20.254.210.195	4,006	⚠ WordPress総当たり攻撃（2,758件）
6	34.178.210.186	3,631	⚠ WordPress総当たり攻撃（3,625件）
7	124.37.31.134	3,555	⚠ WordPress総当たり攻撃（1,897件）
8	102.220.160.154	3,540	⚠ WordPress総当たり攻撃（1,956件）
9	44.211.196.206	3,394	正常トラフィック
10	104.238.222.26	3,365	⚠ スキャナ検出（自動化ツール: 4件） / WordPress総当たり攻撃（1,861件）
11	45.134.225.230	3,161	⚠ WordPress総当たり攻撃（2,173件）
12	68.183.180.155	3,091	⚠ WordPress総当たり攻撃（1,710件）
13	85.11.167.118	3,087	⚠ WordPress総当たり攻撃（1,708件）
14	45.148.10.159	3,060	⚠ 機微パス探索（57件）
15	45.148.10.51	2,875	⚠ 機微パス探索（518件）
16	20.217.83.157	2,789	⚠ WordPress総当たり攻撃（1,544件）
17	135.116.65.19	2,789	⚠ WordPress総当たり攻撃（1,544件）
18	20.55.163.14	2,787	⚠ WordPress総当たり攻撃（1,544件）
19	62.60.130.228	2,414	⚠ WordPress総当たり攻撃（1,346件）
20	203.2.112.183	2,364	⚠ WordPress総当たり攻撃（2,302件）

攻撃IPクラスタを検出（/24単位）

104.234.53.x（19IP・8,756件）、45.148.10.x（4IP・8,159件）、45.8.19.x（24IP・6,058件）、172.98.33.x（16IP・4,440件）、185.177.72.x（7IP・4,391件）は同一/近接のサブネットから分散的に攻撃を行っており、同一脅威アクターによる分散型攻撃の可能性があります。

最大脅威IP: 34.156.227.26（8,138件）

⚠ WordPress総当たり攻撃（8,132件）。WAF/ファイアウォールでのブロックを推奨します。

🔗

アクセス上位URL（Top 20）

#	URL / パス	リクエスト数	評価
1	/	55,388	正常（トップページ）
2	/xmlrpc.php	30,883	CRITICAL — XML-RPC 攻撃
3	//xmlrpc.php	21,903	CRITICAL — XML-RPC 攻撃
4	/wp-login.php	17,209	CRITICAL — 総当たり攻撃
5	/wp-admin/index.php	14,105	HIGH — 不正アクセス試行
6	/wp-admin/edit.php	12,782	HIGH — 不正アクセス試行
7	/wp-admin/profile.php	12,756	HIGH — 不正アクセス試行
8	/wp-admin/plugins.php	12,756	HIGH — 不正アクセス試行
9	/wp-content/uploads/2021/02/0d40a5e4a645fc6b96e767d64ac0878e.png	8,469	正常（静的リソース）
10	/feed/	7,662	正常（静的リソース）
11	/wp-content/themes/cocoon-child/keyframes.css?ver=7.0&fver=20200519...	4,504	正常（静的リソース）
12	/robots.txt	4,477	正常（静的リソース）
13	/wp-content/themes/cocoon-child/javascript.js?ver=7.0&fver=20200519...	4,306	正常（静的リソース）
14	/wp-content/plugins/contact-form-7/modules/recaptcha/index.js?ver=6...	4,261	正常（静的リソース）
15	/wp-content/themes/cocoon/plugins/polyfill/intersection-observer.js...	4,242	正常（静的リソース）
16	/wp-content/themes/cocoon/plugins/stickyfill/dist/stickyfill.min.js...	4,236	正常（静的リソース）
17	/wp-content/themes/cocoon/plugins/lozad.js-master/dist/lozad.min.js...	4,232	正常（静的リソース）
18	/wp-content/plugins/contact-form-7/includes/swv/js/index.js?ver=6.1...	4,229	正常（静的リソース）
19	/wp-content/themes/cocoon/javascript.js?ver=7.0&fver=20201212115420	4,227	正常（静的リソース）
20	/wp-content/plugins/contact-form-7/includes/js/index.js?ver=6.1.6&f...	4,226	正常（静的リソース）

📡

HTTPメソッド分布

メソッド	件数	割合
GET	488,531	87.0%
POST	71,416	12.7%
HEAD	1,457	0.3%
OPTIONS	237	0.0%

🤖

ユーザーエージェント / ボット

UA（先頭）	件数
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKi...	38,380
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKi...	37,437
（UA未設定）	32,632
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKi...	30,558
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKi...	23,496
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKi...	16,594
Mozilla/5.0 (X11; Linux x86_64; rv:140.0) Gecko/2010...	11,389
Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:151.0) ...	11,357
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKi...	8,562
Apache-HttpClient/4.5.2 (Java/1.8.0_161)	7,916
meta-externalagent/1.1 (+https://developers.facebook...	6,760
Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; c...	6,568

ボット・スキャナ内訳

正規クローラー: bingbot(6,787)、Amazonbot(5,293)、AhrefsBot(4,723)、Googlebot(4,559)、ClaudeBot(3,648)、Applebot(2,418)、Baiduspider(2,127)、MJ12bot(1,919)
攻撃ツール(UA): go-http-client(6,812)、curl/(4,148)、python-requests(625)、httpx(32)、wget/(4)、libwww-perl(3)

🛡️

セキュリティ分析

攻撃カテゴリ	検出件数	代表的なリクエスト例
シェル/バックドア	613	/alfa403.php (20.46.230.51) /alfa403.php (20.46.230.51)
パストラバーサル	593	/?../../../../../../../etc/passwd (89.46.11.164) /api/v1/totp/user-backup-code/../../system/system-information (195.178.110.103)
XSS	85	/.aws_credentials?id=%00&exemple=%3Csvg/onload=confirm(1)%3E (185.177.72.23) /.aws_config?id=%00&exemple=%3Csvg/onload=confirm(1)%3E (185.177.72.23)
SQLインジェクション	45	/28038/?__waf_test__=%27+OR+%271%27%3D%271%27+UNION+SELECT+NULL%2C%27%3Cscript%3Ealert%281%29%3C%2Fscript%3E%27%2Ctable_ (140.235.3.14) /28038/?utm_campaign=hack-the-box%25e3%2581%25aewriteup%25ef%25bc%2588lame%25ef%25bc%2589easy&utm_medium=rss&utm_source= (77.83.25.27)
コマンドインジェクション	36	/$(pwd)/next.config.js (185.177.72.23) /$(pwd)/next.config.mjs (185.177.72.23)
ローカルファイル読取	6	/etc/passwd (195.178.110.103) /etc/passwd (185.177.72.23)
機微パス探索	1,797	.env
機微パス探索	1,269	config.php
機微パス探索	896	/.well-known/
機微パス探索	441	phpinfo
機微パス探索	397	cgi-bin
機微パス探索	125	/actuator
機微パス探索	121	eval-stdin.php
機微パス探索	44	/server-status

検出サマリ

インジェクション系シグネチャ: 1,378件、機微パス/設定ファイル探索: 5,227件、WordPress攻撃: 129,897件、スキャナUA: 11,624件、UA未設定: 32,632件。

総合リスク: CRITICAL

WordPress攻撃が全体の23.1%、インジェクション試行1,378件、スキャナ活動11,624件、攻撃元IP 476個。

✅

対策・推奨事項

WordPress保護: wp-login.php にレート制限/Basic認証/2FA を導入。xmlrpc.php は未使用なら無効化。wp-admin を IP 制限。
攻撃IPのブロック: 上位攻撃IP（476個検出）を WAF/ファイアウォールで遮断。fail2ban 等で自動 BAN を設定。
WAF導入: SQLi/XSS/パストラバーサル署名を検知する WAF（ModSecurity + OWASP CRS 等）を前段に配置。
UA未設定の遮断: User-Agent 空のリクエストは自動化ツールの疑いが強いため、レート制限またはブロックを検討。
継続監視: 本レポートを月次で生成し、攻撃トレンド・新規攻撃元IPの変化を追跡。

アクセスログ解析レポート 2026年6月