)それだけならまだいいのですが、ブラウザ内部で処理されて外部には出ないはずの、あるいは本来のアクセス下でのみブラウザとサーバー間でやりとりされるべきパラメータを持ってきたり、あるいは本来あるべきセッション情報がなかったりと、とにかくめちゃくちゃなアクセスをしてくるため多くのエラーログを残していきます。通常のブラウザ名を名乗ってはいますが明らかに挙動がちがいます。これはウィルスバスターとかいうセキュリティーソフトをインストールしているユーザがホームページにアクセスすると、そのホームページの安全性を確認するためと称してウィルスバスターとやらがアクセス情報をトレンドマイクロに送信し、それをもってアクセスしてくるということのようですが、時にはこのアクセスが本来のアクセスではないのにそのパラメータをもってきたり逆に必要なものがなかったりでゲームやチャットなどのユーザとのデータのやりとりを含むサイトで動作を狂わされるなどの深刻な被害を受けるケースもあるようです。(逆にパラメータをそのまま持ってくることを使ってページURLにアクセスカウンターを仕込むなどちょっとした細工をすることで、トレンドマイクロのアクセスからその人がウィルスバスターとやらを使っているということを確認することもできますが。)ついでに余計な心配をすれば、ウィルスバスターとやらから送られたデータが漏洩したり悪用されることのないようにと祈るのみです。多数のIPアドレスでアクセスしてきますので、アクセスログの件数を増やしてとても見にくくしてくれますし、無駄にアクセスカウンターを回してしまいます。私のページではトップページでフレームを作り、その中にメニューページと記事ページの合計3ページを表示していますので、各ページごとにアクセスされてアクセス数は3倍になっています。直近に同じページへの本アクセスがあった場合でもその都度同じページにアクセスしてきます。一回見たら結果をキャッシュしておいてある時間アクセスしなくても済むようにもできるだろうに、はっきり言って鬱陶しいことこの上ありません!本当に必要なアクセスなのだろうかログを見ているとトレンドマイクロからのアクセスの多くは、通常のアクセスのあったしばらくあとに同じページにtrendmicro.comまたは例のあやしい".sjdc"や".iad1"、あるいはホスト名なしでやってきます。短時間のうちに幾度も同じようなパターンで同じページにアクセスしてくることがあります。次のようなことを考えるに、本当に必要なのか、さらには本当に意味があるのかはなはだ疑問です。トレンドマイクロのセキュリティーソフトをインストールしているらしいユーザのアクセスのあと(概ね数分後)にページにアクセスしている。そのときはもうユーザはそのページにアクセスしてしまっている。仮にアクセス先があやしいサイトであったとしても、迷惑ということでこれだけ知れ渡ってしまっているトレンドマイクロからのアクセスを騙す対策を講じるのは容易なのではないだろうか。他のセキュリティーソフトでこのような行動を行うものは知らない。他のソフトは実際にダウンロードしたデータで判定しているのだろう。そのほうが確実にセキュリティーの保護になると思われる。このアクセスが、世の中全体のためになるというならまだしも許せます。大多数の人は迷惑を受けるばかりで、利益を受けるのはトレンドマイクロのセキュリティーソフトを買った人のみ、実際にはさらにその中でもごくごく一部の人だけでしょう。世の中に不要な迷惑の種をまき散らしているだけとしか思えません。世のため人のため、健全なWEBの発展のために全くもってこのようなアクセスを歓迎する気にはなれません。そのようなアクセスであることを正しく名乗って不要に多くのアクセスをしてくれなければいいのですが。もって世の中のためになりません。世のため人のため、また今後の健全なWEBの発展のためにはこうしたアクセスは拒否しなくてはならないでしょう。アクセスの判定方法(概要)ただアクセスを拒否するにしても、トレンドマイクロからのアクセスだからという理由でIPアドレスなどをもって拒否するのはちとおとなげないように思われます。基本的には問題のある、あるいは信頼できないなどのアクセスを拒否するようにするのが本筋でしょう。トレンドマイクロのアクセスがもろにひっかかるのは目に見えてはいますが...。どのようなアクセスを対象とするかを考えてみます。自分のページのRefererがない(すなわち初回アクセスのはず)にもかかわらずいったんアクセスしなければ与えられないはずのリクエストパラメータなどを持ってくる。スパムあるいはアタックアクセスと判断されても仕方ない。本当に通常のブラウザならばリクエストパラメータと一緒にCookieも持ってくるはずのところでCookieをもってこない。これは通常のブラウザを騙っている可能性が高い。アクセスの正引きができない。これは考えられない非常識。嘘の住所を言うのと同じ。このアクセスを信用しろと言うほうがおかしい。Agent)、Referer、リクエストパラメータ、cookie等をもとに通常とは思われないアクセスを抽出するスクリプトを書いて専用のログに記録するようにしてみました。結果、約36時間ログを記録してみましたがほとんどすべてトレンドマイクロからのアクセスでした。)からアクセスしてきます。企業向けにトレンドマイクロと似たようなセキュリティーサービスをやっているところのようで、こちらは本アクセスとほとんど同時にアクセスしてきます。アクセスもやはり身元を隠すようにホスト名が設定されていないのでとても目につきます。(嘘のホスト名を設定するよりはだいぶましだけど。)一方、まともなアクセスを迷惑アクセスと誤判定したと思われるものはありませんでした。アクセスの判断基準はどうやら上記のものでよさそうです。したトップページへの初回アクセスは判定OKとなりますが、このトップページは単にフレームを定義しCookieやページリクエストパラメータ等を設定しているだけのページで実質内容はないし、ログに記録されてまた来たなというくらいの参考情報にもなるのでよしとしましょう。(これはフレームを使うメリットだな。)参考に、下の表は上記1、2の条件で36時間抽出した該当アクセスです。トレンドマイクロのアクセスということで抽出したわけではありませんが、予想通りほとんどすべてトレンドマイクロのアクセスになってしまっています。36時間でトレンドマイクロ46件、その他2件。この間のアクセスカウントは103、内トレンドマイクロのアクセスカウントは30。アクセスカウントはIP+Agentごとに記録し、30分以内のアクセスは同一と見なしているので必ずしも上記のアクセス件数とは一致はしません。ウィルスバスターとかをインストールした人が一つの記事にアクセスするとフレーム定義のトップページ、メニューページ、記事ページの3ページにアクセスするのでトレンドマイクロからもこれら3ページにアクセスがきます。このことからおよそ十人に一人くらいがウィルスバスターを使っているものと推定されます。あやしいアクセスを集計。2今回は来ていませんがトレンドマイクロのアクセスについて言えばその他に150.70.64.194(150-70-64-194.trendmicro.com)150.70.64.208(150-70-64-208.trendmicro.com)150.70.64.214(150-70-64-214.trendmicro.com)150.70.75.32(wtp-g3-maya6.sjdc)150.70.75.33(wtp-g3-maya7.sjdc)150.70.75.37(wtp-g3-maya11.sjdc)150.70.75.38(150-70-75-38.trendmicro.com)150.70.97.40(wtp-gs-maya5.sjdc)150.70.97.41(wtp-gs-maya6.sjdc)150.70.97.43(wtp-gs-maya8.sjdc)150.70.97.88(150-70-97-88.trendmicro.com)150.70.97.112(150-70-97-112.trendmicro.com)150.70.97.113(150-70-97-113.trendmicro.com)150.70.97.114(150-70-97-114.trendmicro.com)150.70.97.118(150-70-97-118.trendmicro.com)150.70.97.121(150-70-97-121.trendmicro.com)150.70.97.123(150-70-97-123.trendmicro.com)150.70.97.125(150-70-97-125.trendmicro.com)150.70.97.127(150-70-97-127.trendmicro.com)150.70.172.110(iad1-wtp-gd-maya10.sdi.trendnet.org)150.70.172.101(wtp-gd-maya1.iad1)150.70.172.106(iad1-wtp-gd-maya6.sdi.trendnet.org)150.70.172.107(iad1-wtp-gd-maya7.sdi.trendnet.org)150.70.172.125(150-70-172-125.trendmicro.com)150.70.172.205(wtp-g8-maya6.iad1)150.70.172.209(150-70-172-209.trendmicro.com)150.70.172.237(wtp-g9-maya6.iad1)150.70.172.238(wtp-g9-maya7.iad1)150.70.173.42(150-70-173-42.trendmicro.com)150.70.173.43(150-70-173-43.trendmicro.com)150.70.173.44(150-70-173-44.trendmicro.com)150.70.173.46(150-70-173-46.trendmicro.com)150.70.173.47(150-70-173-47.trendmicro.com)150.70.173.48(150-70-173-49.trendmicro.com)150.70.173.50(150-70-173-50.trendmicro.com)150.70.173.52(150-70-173-52.trendmicro.com)150.70.173.54(150-70-173-54.trendmicro.com)150.70.173.55(150-70-173-55.trendmicro.com)150.70.196.105(-)150.70.196.173(-)150.70.196.176(-)150.70.196.177(-)などなど、これはほんの一例ですが、とにかく多数のアドレスからアクセスしてきますので、むやみにログの件数が増えたいへん迷惑しています。(いちおう訪問者のアクセスをIPごとにすべてログに記録してるんだわ。すべてトレンドマイクロ所有のIPアドレスです。このサイトのトップページは(別名でもアクセスできるようにしてあるページもあるが)基本的にindex.html。このトップページでブラウザを判定し、PC用ブラウザについてはまずフレームを表示。このときcookieを与える。フレーム内にメニューページmenu.htmlと記事ページmain.htmlを読み込む。このとき両方のページのURLにページリクエスト(page=)やアクセスカウント(ac=)を付加する。これはフレーム内のみのデータで外部には出ない。したブラウザからのアクセスならば、このページリクエスト等に加えcookieとindex.htmlからのrefererがあり整合しているはず。(これらをチェックするのはセキュリティー上当然のこと。したがって、PC用ブラウザを名乗ってページリクエストをしてきているのにcookieも親ページのrefererもなかったりするのはあやしい。ブラウザによってはrefererを返さななかったりcookieを無効にしている人もまれにいるかもしれないので、cookieもrefererも両方おかしい場合のみあやしいと判断している。アクセスへの対処:もちろん拒否!この迷惑アクセスをどうやってお断りしようか考えましたが、当面ログを記録した上でHTTPエラーコード403(アクセス拒否)を返してやることにしました。ホスト名が正引きできるかどうかの判定も追加しました。拒否の理由もちゃんと言ってあげます。通常のブラウザを名乗っているのにページパラメータ、Cookie、Refererに整合性がないアクセス。ページパラメータをもってくる。Cookieはもってこない。このサイトのものでない。(自前の)アクセスログへ記録。正引きができないアクセス。(自前の)アクセスログへ記録。}?>...説明のためのコードで実際のコードそのものではありません。実際のコードはもう少し他の条件が入っており多少セキュリティーにもからむので堪忍!最初リダイレクトですべてこのページに飛ばしてやろうかとも思いましたが、その後しばらくログをとっているうちトレンドマイクロのほかにもさらにあやしい該当アクセスが思いのほかあることがわかり、ばっさり拒否することにしました。その結果は?上記のアクセス拒否を施して一週間たちましたが、トレンドマイクロからのアクセスは本アクセスとセットで従来通り続いています。いうことは、特にあやしいサイトとして判定されているということはなさそうです。追記)アクセス拒否の実施から1ヶ月経ちましたが、トレンドマイクロからのアクセスは以前と全く同じパターンで続いています。思うにトレンドマイクロのロボットはあまり頭がよくないようです。送られたデータから該当ページをクロールしてその中にある設定されたパターンが検出されれば判定のためのデータを出力するというぐらいのもので、拒否されて問題が検出されなければそれきりといった程度のものはないでしょうか。トレンドマイクロ以外にもホスト名の正引きができないことによる拒否が思いのほかたくさんありました。いずれもあやしい情報収集ロボットやスパムボットのようです。"hn.kd.ny.adsl"などといったこれもありえないドメインを始め、ネットで調べてみると今までこんなあやしいやつにアクセスされていたのかと思うと腹がたつようなものばかり。それらしいホスト名が通知され通常ブラウザを名乗っているのも多く、うっかりすると全く気がつきません。そもそも偽りのホスト名を名乗るなどはまともでないことをやっていると言ってるようなもので、正引きできないホストを蹴るというのは正解のようです。拒否したアクセスをログに記録するのもやめてみるとログがずいぶんすっきりしました。ホスト名なしとちゃんとしたホスト名".trendmicro.com"などからのトップページへのアクセスは拒否されせんのでログに記録されますがもうさほど目障りでもありませんし、通常ブラウザを名乗っているためjavascriptを使った単なるフレームの定義ページが提示されるだけで、どうせ記事内容は読めてはいません。何か問題があるかこのトレンドマイクロからのアクセスを拒否すると「あやしいサイト」としてセキュリティーソフトの利用者に通知されるという噂の可能性は全く否定はできませんが、ずいぶん期間がたってからではそもそもセキュリティー上間に合わずソフトの実効性が疑われる話だし、もう特に問題はないと判断してもいいでしょう。問題のある、あるいは信頼できないアクセスに対しちゃんと理由を言って403アクセス拒否を返してやる分には問題なさそうです。このようなアクセスを拒否されたぐらいで「あやしいサイト」と判断してしまうようなら、それは全くまともなセキュリティー会社のやることではありません。...でもドメインを偽るなどあくどいことを平気でやるところですから、今後どうなるかはわかりませんが...。ついでにいろいろ検索してみるとトレンドマイクロのアクセスを拒否したというサイトがいくつかあったので、それらのサイトのURLをかたっぱしからトレンドマイクロの「トレンドマイクロによるWebサイトの安全性の評価」確認フォームに打ち込んで調べてみましたが、問題ありと判定されているところは一つもありませんでした。まともなアクセスを蹴ってしまったという形跡は全くありませんし、何ら問題はなさそうです。追記)1ヶ月の間に一度だけ正引きできないがまともなアクセスと思われるものがありました。設定のちゃんとできていない中小企業からのアクセスのようでした。あやしいbotなどは幾度も継続的にアクセスしてくるのでそれらは登録して拒否、それ以外はひとまずログに記録のみしてしばらく様子を見て拒否登録するか否か決めることに変更しました。最後にもしトレンドマイクロから「あやしいサイト」とされてそのためこのサイトへのアクセスが減ったとしても私はかまいません。多少わが身を犠牲にしても世の中全体のためにこのようなアクセスを放っておくわけにはいかないのです。一人のアピールでは効果はないかもしれません。多くの皆さんが同様のアピールをしてくださるよう希望してやみません。追記)この記事を書いたあと、逆引き未設定ホストについてはwhois情報からIPアドレスの所有者を調べログに記録するようにしていました。(→逆引き未設定ホストを自動で調べる)それで最近気がついたのですが、トレンドマイクロさんもけっこうこの記事を読んでいるのですね。これはロボットのアクセスではありません。このアクセスは身元隠しのつもりか逆引きが設定されていませんので、それなりに調べないと気がつきません!←直近のトレンドマイクロさんのページ閲覧を抽出したアクセスログです。さんから来たりもしていますが、そちらにも同様のことが書かれていますし、さらに深い考察もなされていますので是非ご参考に。いうドメインでのアクセスがなくなっているのに気がつきました。(逆引き設定されていないIPはそのままでしたが。さんを読んでいたのは確かなので、考えてくれたんですかね。世の中こうしてだんだんと良くなっていくんだなあ。多数のIPで頻繁にアクセスしてくるのは相変わらず変わってません。本当に迷惑しているのはこれなんですけどね。追記)ふと、ここしばらく.trndmicro.com様からアクセスが来ないなあと思い調べてみると、2月16日の(拒否も含め)74件のアクセスを最後にあれほどあった私のこのサイトへの.trendmicro.com様からのアクセスは全くなくなっていました。.だからもうこれ以上何も書けません。この記事はこれでおわりとします。ホームページ遊びにつきあってもらったし、さらにこの記事には検索サイトからとても多くの方々に来ていただき、おかげさまでGoogleやYahooなどの検索サイトでのこのサイトのランクがぐぐぐんと上がったようです。その点ではトレンドマイクロさんにお礼を申さねばならないでしょう。トレンドマイクロさんありがとう。追記)別のサイトにはtrendmicro.comからのアクセスは続いていますが、最近これと同じようなアクセスが、これもまた迷惑アクセスで有名なamazonaws.comからもあります。(...この件に関してはそのページの最後のほうに記載)どうも関連性がありそうですが詳細は不明です。追記)6月に入ってtrendmicro.comからのアクセスはなくなっています。AGENTで同じようなアクセスはamazonzws.comからきています。amazonaws.comの正体(...この件に関してはそのページの最後のほうに記載)もしかすると移行しただけなのかもしれませんが、やはり詳細は不明です。