この記事の要点
- ログやファイルを消す前に証拠を保全します。
- 管理者アカウント、更新履歴、不審なファイルを確認します。
- 影響が疑われる場合は専門家と封じ込めを検討します。
気づきやすい兆候
知らないページへの転送、サイトに覚えのない広告やコードが表示される、不審な管理者アカウントが増えている、サーバーから大量のメールが送られている、といった変化は調査のきっかけになります。
ただし、表示が正常でも侵害がないとは限りません。アクセスログ、PHPエラー、ファイルの変更履歴など複数の情報を確認します。
最初の対応と証拠の保全
慌てて不審なファイルを削除すると、原因調査に必要な記録が失われることがあります。時刻、画面、ログ、ファイルのコピーを安全な場所に残し、管理者と保守担当に共有します。
被害が広がる恐れがある場合は、アクセス制限や一時停止を検討します。封じ込めと証拠保全の順番は状況によって変わるため、判断に迷うときは専門家へ早めに相談してください。
復旧までに確認すること
侵入口と影響範囲を調べ、修正済みのソフトウェアへ更新します。管理者パスワード、APIキー、サーバーの認証情報などが漏れた可能性があれば入れ替えます。
復旧後もしばらくログを監視し、再発していないか確認します。PHP脆弱性に関してJPCERT/CCは、痕跡が見つからないだけで安全と断定できないと注意しています。