TCP ストリーム整合性
TCP 状態遷移・シーケンス・再構成の違反 — セッション乗っ取りや IDS 回避の初期兆候です。
- TCP タイムスタンプ異常 TCP タイムスタンプオプションがセッションの文脈と矛盾するセグメント。
- 過剰な再送 同じセグメントが閾値を超えて再送されている。
- ウィンドウ外の FIN/セグメント TCP 受信ウィンドウ外の FIN またはセグメント。
- 不正なシーケンス番号 ハンドシェイクや切断中に想定外の seq を持つパケット。
- 不正な ACK セッション状態と矛盾する ACK 番号を持つパケット。
- ハンドシェイク回避 3 ウェイハンドシェイクの seq/ack を操作し、IDS の再構成を妨げる挙動。
- SYN 再送の異常 接続確立時に seq の異なる SYN が繰り返される。
- 過剰な相異 SYN 相異なる SYN / SYN-ACK が多数の接続試行。
- RST インジェクションの疑い セッションの流れと噛み合わない RST の挿入。
- 再構成のオーバーラップ 同じオフセットに内容の異なるセグメントが重なっている。
パケットデコード
パケット/ヘッダーのデコード整合性（チェックサム・オプション・長さ）。多くはノイズですが、偽造やフィンガープリンティングのこともあります。
- TCP チェックサムエラー チェックサムが不正な TCPv4 パケット。
- UDP チェックサムエラー チェックサムが不正な UDPv4 パケット。
- TCP オプション長の異常 TCP オプション領域の長さが仕様の範囲外。
- ヘッダー長の異常 TCP/IP ヘッダー長が短すぎる、または仕様違反。
プロトコル異常
アプリケーション層プロトコルの逸脱 — ポート偽装・トンネリング・秘匿通信路の兆候です。
- 片方向のみのプロトコル アプリケーションプロトコルが片方向にしか観測されない。
- プロトコルの不一致 ポートや方向から期待されるものと異なるアプリケーションプロトコル。
- 逆方向の初回データ 最初のデータが期待と逆方向に流れている。
- 想定外のプロトコル このセッションでは正当に現れ得ないプロトコル。
- STARTTLS ダウングレード STARTTLS のネゴシエーション後に TLS へ切り替わっていない。
HTTP 準拠性
HTTP プロトコル違反 — リクエストスマグリング・WAF 迂回・Host ヘッダー攻撃の攻撃面です。
- 応答のデシンク（スマグリング） リクエストと応答の対応が取れない HTTP フロー。
- 想定外のリクエストボディ 本来ボディを持たないメソッドにボディが付いている。
- 不完全なリクエスト行 リクエスト行が仕様どおりに終端していない。
- 仕様違反の文字 メソッドや URI に含まれる仕様違反の文字。
- Host ヘッダーの異常 Host ヘッダーが欠落、または不正な形式のリクエスト。
TLS 異常
TLS ハンドシェイクとレコードの異常 — ダウングレード・スキャン・エクスプロイト（Heartbleed）の攻撃面です。
- TLS レコードの異常 不正な形式の TLS レコードやトラフィック。
- TLS レコード種別の異常 許可されていない TLS レコード種別。
- TLS エラーアラート ハンドシェイク中の TLS エラー（アラート）。
- 不正な TLS ハンドシェイク ハンドシェイクメッセージの長さ・構造の違反。
- Heartbleed の疑い メモリ内容の漏えいを狙う異常な heartbeat（CVE-2014-0160）。
DNS 異常
DNS 応答の異常 — キャッシュポイズニング・なりすまし・リフレクションの兆候です。
- 問い合わせのない DNS 応答 クエリなしに届いた DNS 応答。
メール（SMTP）
SMTP セッションの異常 — スパム・リレー悪用・メールサーバー探索です。
- SMTP DATA の拒否 サーバーが DATA コマンドを拒否した。
- SMTP 挨拶の欠落 サーバーの挨拶（220）なしにセッションが進行している。
- 不正な SMTP 応答 仕様外の SMTP 応答。
Web 攻撃パターン
Web アプリケーション攻撃のパターン — nginx の不審リクエストを偵察・インジェクション・RCE に分類します。
- 機密ファイルの探索 .env・.git・設定ファイル・鍵ファイルを狙った不審なリクエスト。
- パストラバーサル ../・各種エンコード・システムパスを使ったファイルアクセス。
- SQL インジェクション UNION・information_schema・ブール/時間ベースの SQL ペイロード。
- クロスサイトスクリプティング script タグ・イベントハンドラー・Cookie 参照のペイロード。
- リモートコード実行の探索 シェル・コマンド実行・デシリアライズ・JNDI のペイロード。
- 管理画面への攻撃 wp-login・phpMyAdmin・管理コンソールのパスへの繰り返しアクセス。
- 悪性ボット/スキャナーの UA sqlmap・nikto・masscan など攻撃ツールの User-Agent。
- その他の不審なリクエスト 上記パターンに当てはまらない、残りの is_suspicious リクエスト。
ML 異常検知
機械学習による異常検知 — 教師なしオートエンコーダーが学習済みの基準線からの逸脱を捉えます。
- Kitsune オートエンコーダー異常 教師なしのアンサンブルオートエンコーダーが、通常時との再構成誤差から異常な IP を検出します。
ヒューリスティックスキャン
ルールベースのヒューリスティック — スキャナー・総当たり・ボット・レート異常を明示ルールで遮断します。
- srct ヒューリスティック検知 偵察スキャナー・管理画面総当たり・ボット UA・4xx フラッド・JA3 多様性・TCP 短時間スキャンの各ルールへの該当。
JA3 フィンガープリント
TLS クライアント指紋（JA3）の分析 — 指紋のローテーション・ボットネット・自動化の検出です。
- JA3 ローテーション/ボットネット 単一の送信元が TLS 接続をまたいで多数の JA3 指紋を切り替えている。