EP 09 / EPISODE BRIEF
APIで急増した404
探索痕跡と通常障害をアクセスログで分ける
EP08で監視欠落が00:20:41 UTCに始まりました。同じ予約IPからAPIの404が急増したという報告を、access.logのstatus・path・source・request_idで検証します。404だけで侵入や攻撃を断定せず、通常障害との違いを整理します。
このエピソードで学ぶこと
HTTPステータスは要求への応答結果です。404は見つからないことを示します。request_idは個々の要求を追跡する識別子です。
同じIPやパスでも別の要求かもしれません。要求IDと時刻も合わせます。
ミッション
- 404行を抽出するaccess.logから404応答の時刻・path・sourceを確認する
- 要求属性を分解する各404行からpath・source・request_id・statusを並べる
- pathの種類を並べるアクセス記録をpath順に並べ、healthと管理系要求を分類する
- 送信元別に集計するsourceとstatusの組み合わせを数え、急増の偏りを確認する
- 急増の意味を保留する集約済みの404結果と通常障害の記録を読み、追加確認を引き継ぐ