Những trang web nào đang bị nhắm tới? Xu hướng tấn công và biện pháp phòng ngừa từ góc nhìn nhật ký bảo mật Cloudflare (どのようなサイトが狙われているか？Cloudflareセキュリティログから見る攻撃の傾向と対策)
Phân tích thực tế 542 yêu cầu độc hại bị chặn trong 7 ngày trên một trang web tĩnh (Static site) sử dụng gói Cloudflare Free.
✍️ Tác giả gốc:
shiocciitrên diễn đàn công nghệ Qiita Nhật Bản
🔗 Tiêu đề gốc có Furigana: どのようなサイトが狙われているか？Cloudflareセキュリティログから見る攻撃の傾向と対策
🌐 Liên kết bài gốc: どのようなサイトが狙われているか？Cloudflareセキュリティログから見る攻撃の傾向と対策
📌 Điểm nhấn cốt lõi (Key Takeaways)
- Phân tích thực tế 542 yêu cầu độc hại bị chặn trong 7 ngày trên một trang web tĩnh (Static site) sử dụng gói Cloudflare Free.
- Làm rõ các dạng tấn công dò quét tự động: Dò file cấu hình backup (wp-config.php~, .bak, .swp), lộ kho Git (/.git/HEAD), dò quét màn hình đăng nhập/quản trị (/login, /admin).
- Hướng dẫn các biện pháp phòng vệ hiệu quả trên gói miễn phí: Managed Ruleset, Bot Fight Mode, Custom Rules, Rate Limiting và loại bỏ file nhạy cảm trước khi deploy.
Môi trường, thời gian theo dõi & Bức tranh tổng thể (対象期間と環境 ＆ 全体像)
Khi kiểm tra màn hình bảo mật của một trang web tĩnh vận hành trên gói miễn phí của Cloudflare, tôi ghi nhận có 543 yêu cầu bị chặn trong 7 ngày gần nhất. Trong số đó có rất nhiều lượt truy cập tìm kiếm file cấu hình WordPress wp-config.php. Bài viết này tổng hợp các kiểu truy cập, quốc gia/khu vực xuất phát và cách phòng ngừa trên gói miễn phí. Đối tượng là một trang web tĩnh vận hành bằng gói Free của Cloudflare trong 7 ngày gần nhất. Tổng cộng 542 yêu cầu đã bị chặn trực tiếp bằng hành động Block. Cơ chế chặn gồm: 284 vụ do WAF Managed Rules và 251 vụ do WAF Custom Rules.
Cloudflare無料プランで運用している静的サイトのセキュリティ画面を確認したところ、直近7日間でブロックされたリクエストは543件ありました。その中には、WordPressの設定ファイルである wp-config.php を探すアクセスが多数含まれていました。この記事では、このログをもとに、どのようなアクセスが届いていたのか、どのような国や地域からのアクセスが多かったのか、そして無料プランでどのような対策ができるのかを整理します。
Các dạng truy cập độc hại được ghi nhận (届いていたアクセスの種類)
- Dò tìm file cấu hình và bản sao lưu: Nổi bật nhất là truy cập nhắm vào wp-config.php và các biến thể phái sinh (khoảng 146 vụ, gồm đuôi ~, .bak, .save, .old, .swp). Đây là các file tạm của trình soạn thảo hoặc file backup thủ công rất dễ bị bot tự động khai thác nếu sót lại trong thư mục public.
(設定ファイルとバックアップファイルの探索：最も目立ったのは、 wp-config.php とその派生ファイル名を狙ったアクセスで約146件でした。件数が多かったのは wp-config.php~ の27件、続いて拡張子なしの wp-config.php が24件、 .bak が17件、 .save が13件、 .old が9件、 .swp が8件でした。チルダ付きや .swp はエディタが作る一時ファイルで、 .bak や .old は手作業バックアップのファイル名です。これらが公開ディレクトリに残っていると設定情報を読み取られるおそれがあり、自動スキャンで狙われています。) - Dò tìm file bảo mật & màn hình đăng nhập: Xuất hiện lượt quét thư mục /.git/HEAD (dò kho Git bị lộ), cùng hàng loạt lượt truy cập dò tìm đường dẫn quản trị (/login: 29, /dashboard: 27, /api: 18, /admin: 8) làm tiền đề cho các cuộc tấn công dò mật khẩu (Brute-force).
(機密ファイルや開発用ファイルの探索： /.git/HEAD が4件、 /wp-json/batch/v1 が5件ありました。 /.git/HEAD は、公開されてしまったGitリポジトリを探すスキャンでよく使われるパスです。また、ログイン画面や管理画面、APIの探索として、 /login が29件、 /dashboard が27件、 /api が18件、 /api/auth が14件、 /admin が8件ありました。ブルートフォース攻撃などの前段階の探索と考えられます。)
Quốc gia/Khu vực truy cập & Những trang web nào dễ thành mục tiêu (アクセス元の国と地域 ＆ どのようなサイトが狙われるのか)
Về xuất xứ truy cập, nhiều nhất là Trung Quốc (khoảng 237 vụ), tiếp theo là Singapore (59), Hà Lan (55), Đài Loan (39), Pháp (35), Mỹ (24). Tuy nhiên đây chỉ là IP lối vào ghi nhận bởi Cloudflare; kẻ tấn công thường mượn máy chủ ảo VPS hoặc Proxy nên con số này không đồng nghĩa với vị trí địa lý thực tế. Việc một trang web hoàn toàn tĩnh vẫn phải nhận các yêu cầu tìm file WordPress hay login chứng minh đây không phải tấn công có chủ đích (APT) nhắm vào riêng ai, mà là các đợt rà quét tự động diện rộng nhắm vào đại trà. Bất kể quy mô hay công nghệ sử dụng, cứ công khai trên mạng là sẽ gặp phải các đợt quét này.
アクセス元の国別では、中国が約237件で最も多く、続いてシンガポール59件、オランダ55件、台湾39件、フランス35件、アメリカ24件でした。ただし、この数字はCloudflareが判定したアクセス元であり、VPSやプロキシを経由しているため攻撃者の実際の所在地を示すとは限りません。
Biện pháp phòng ngừa trên gói miễn phí & Tổng kết (無料プランでできる対策 ＆ まとめ)
Ngay trên gói miễn phí của Cloudflare, Free Managed Ruleset đã được bật mặc định để ngăn các lỗ hổng phổ biến, cùng với Bot Fight Mode (thử thách bot xấu), Custom Rules (chặn ngay các đường dẫn vốn không hề tồn tại trên web tĩnh) và Rate Limiting (giới hạn tần suất truy cập). Bên cạnh WAF, khâu vận hành máy chủ cơ bản cũng quyết định: Tuyệt đối không để file backup/tạm trong thư mục public, loại trừ thư mục .git và .env khỏi tệp deploy, và luôn cập nhật thư viện. Biện pháp phòng thủ chắc chắn nhất là làm cho những file đích này hoàn toàn không hề tồn tại trên máy chủ.
Cloudflareの無料プランでも、Free Managed Ruleset（広く悪用されている脆弱性に対する保護）がデフォルトで有効になっているほか、Bot Fight Mode（既知の悪質ボットにチャレンジを発行）、カスタムルール（存在しないはずのパスへのアクセスをBlock）、Rate Limitingといった強力な機能を利用できます。
📚 Bảng thuật ngữ IT & Hán Việt trong bài (重要IT用語集)
| Thuật ngữ (Kanji) | Furigana / Romaji | Âm Hán Việt | Ý nghĩa tiếng Việt | Cấp độ |
|---|---|---|---|---|
| 静的サイト | せいてきさいと |
TĨNH ĐÍCH | Trang web tĩnh (Static Site: HTML/CSS/JS) | Technical |
| 直近 | ちょっきん |
TRỰC CẬN | Gần đây nhất (thời gian) | N2 |
| 多数 | たすう |
ĐA SỐ | Số lượng lớn, rất nhiều | N3 |
| 分析 | ぶんせき |
PHÂN TÍCH | Phân tích (dữ liệu/log) | N3 |
| 検知 | けんち |
KIỂM TRI | Phát hiện, nhận diện (Detection) | Technical |
| 内訳 | うちわけ |
NỘI DỊCH | Bảng phân tích chi tiết các khoản mục (Breakdown) | N2 |
| 派生 | はせい |
PHÁI SINH | Phái sinh, biến thể sinh ra từ bản gốc | N1 |
| 拡張子 | かくちょうし |
KHUẾCH TRƯƠNG TỬ | Phần mở rộng đuôi file (Extension: .php, .bak) | Technical |
| 一時ファイル | いちじふぁいる |
NHẤT THỜI | Tập tin tạm thời (Temporary file: .swp, .tmp) | Technical |
| 機密 | きみつ |
CƠ MẬT | Cơ mật, tuyệt mật | N1 |
| 前段階 | ぜんだんかい |
TIỀN ĐOẠN GIAI | Giai đoạn tiền đề, bước chuẩn bị ban đầu | N2 |
| 探索 | たんさく |
THÁM SÁCH | Sự thăm dò, quét đường dẫn (Reconnaissance / Probe) | Technical |
| 所在地 | しょざいち |
SỞ TẠI ĐỊA | Nơi tọa lạc, địa chỉ thực tế | N2 |
| 経由 | けいゆ |
KINH DO | Thông qua, quá cảnh qua (Proxy/VPS) | N3 |
| 標的型 | ひょうてきがた |
TIÊU ĐÍCH HÌNH | Có chủ đích (Targeted Attack: APT) | Technical |
| 不特定多数 | ふとくていたすう |
BẤT ĐẶC ĐỊNH ĐA SỐ | Đại đa số không xác định, diện rộng ngẫu nhiên | N1 |
| さらされる | さらされる |
- | Bị phơi bày trước…, đối mặt với nguy cơ… | N1 |
| 悪用 | あくよう |
ÁC DỤNG | Lạm dụng, khai thác vào mục đích xấu (Exploit) | N2 |
| 既知 | きち |
KÝ TRI | Đã biết từ trước (Known) | N1 |
| 悪質 | あくしつ |
ÁC CHẤT | Độc hại, có ác ý (Malicious) | N2 |
| 保つ | たもつ |
BẢO | Duy trì, giữ gìn | N3 |
| 備え | そなえ |
BỊ | Sự chuẩn bị phòng bị, biện pháp đề phòng | N2 |
📐 Ngữ pháp tiếng Nhật IT bổ trợ (文法解説)
- 〜たところ (
N3): Sau khi làm A thì thấy kết quả B…- Cấu trúc:
V-た + ところ - Sắc thái sử dụng: 画面を確認したところ = Sau khi kiểm tra màn hình thì phát hiện có 543 yêu cầu bị chặn.
- Cấu trúc:
- 〜おそれがある (
N2): E rằng sẽ…, có nguy cơ…- Cấu trúc:
V-る / Danh từ の + おそれがある - Sắc thái sử dụng: 読み取られるおそれがある = Có nguy cơ bị đọc trộm thông tin cấu hình bí mật.
- Cấu trúc:
- 〜とは限らない (
N3): Không hẳn là…, chưa chắc đã…- Cấu trúc:
Thể thông thường + とは限らない - Sắc thái sử dụng: 所在地を示すとは限らない = Chưa chắc đã chỉ ra vị trí thực của kẻ tấn công.
- Cấu trúc:
- 〜にかかわらず (
N2): Bất kể…, không phân biệt…- Cấu trúc:
Danh từ + にかかわらず - Sắc thái sử dụng: 規模や技術にかかわらず = Bất kể quy mô hay công nghệ sử dụng là gì.
- Cấu trúc: