異種の外部接触が重なる公開境界

object

Webとメールという異なる公開境界で、通常時とは異なる外部接触の増加が同時期に観測され、Web側では既存の明示的BOT分類に含まれないアクセス層の増加も確認された。
メール側では反復するスパム受信を受け、迷惑メール判定後の振り分け方法が変更され、一定期間の確認後に削除へ変更する方針が示された。

notes

• Webアクセスでは、通常より大きなログ量が観測された日に、明示的BOTよりもBOT判定外アクセス層の増加が目立った。
• BOT判定外アクセスには、実利用者のほか、通常ブラウザ風User-Agentを用いる自動探索、未登録BOTなどが含まれる可能性がある。
• /contact、/inquiry、/about など、通常観測される脆弱性辞書型探索とは異なるURIを反復して探すアクセスが確認された。
• この反復探索を営業・情報収集目的の自動アクセスとみなす解釈は可能だが、主体・目的・実装は未確認。
• メール側では、同一件名の恐喝系スパムが短時間に反復して到来した。
• Web側のアクセス増加とメール側のスパム増加は時間的に近接しているが、両者の主体・経路・因果関係は確認されていない。
• 受信側では、個別件名による条件設定に加え、既存のスパム判定結果を迷惑メールフォルダーへ振り分ける設定へ変更した。
• 一定期間、振り分け結果と誤判定の有無を確認した後、処理を「削除」へ変更する予定が示された。
• 同時期には、制度・支援情報を参照する通常アクセスの増加も確認され、人間利用と複数種の機械的アクセスが同じ公開面に重なっていた。

implications

• 公開されたWeb・メール境界では、通常利用、既知BOT、BOT判定外アクセス、スパムなど、性質の異なる接触が同じ受信面へ流入し得る。
• 外部接触量の変化は、侵害の有無とは別に、受信側の分類・隔離・確認・削除といった運用条件を変更させる契機になり得る。
• 既知BOTを除外した後に残るアクセス層そのものが、今後の接触構造を観測する対象になる可能性がある。

questions

• BOT判定外アクセス層の増加は一時的な探索集中なのか、それとも継続する構成変化なのか。
• /contact、/inquiry、/about などを反復探索するアクセスは、どのような目的・経路・実装から発生しているのか。
• 迷惑メール判定後の「隔離・確認・削除」という運用は、今後の誤判定や受信量の変化によってどのように更新されるのか。