クラウドの監視画面を開くたびに、見慣れないポート宛のログが並んでいる。塞ぐ範囲は当面の判断で決め、クライアントから根拠を尋ねられると答えに詰まる場面があります。狙われるポートの顔ぶれは、ここ数年で静かに変わってきました。情報通信研究機構の観測データを手がかりに、公開面の絞り込みと監視の設計を、根拠を持って見直します。

1. 塞ぐ範囲を勘で決めていないか

観測開始以来最多という規模

サーバやクラウド環境を任されると、まず開いているポートを絞り込む作業から始めます。ただ、その絞り込みの基準を尋ねられたとき、感覚で答えている場面は珍しくありません。経験を積むほど「このあたりを閉じておけば大丈夫」という判断に自信が持てるようになりますが、その自信を裏付ける数字を持っているかどうかは別の話です。情報通信研究機構のNICTER観測レポート2025によると、2025年は1IPアドレスあたり年間約250万のパケットが観測され、観測開始以降で最多となりました¹。使われていないIPアドレス帯に届いたパケットを観測する仕組みのため、この数字は個々の環境が受けた攻撃の件数ではありません。それでも、狙われる範囲がどれだけ広がっているかを示す規模感として、提案の材料になります。感覚だけで説明するよりも、この規模感を添えて説明するほうが、クライアントの納得は得やすくなります。

過半を占める調査目的のスキャン

観測されたパケットの中身を見ると、すべてが悪意のある通信というわけではありません。調査目的と推測されるスキャンパケットの割合は約55.0%を占め、届いた通信の過半にあたります²。これは調査や研究のために網羅的にポートを調べる通信が相当量含まれることを示しており、届いた通信の数がそのまま被害の大きさを表すわけではないということです。ログの件数だけを見て慌てるよりも、内訳を分けて落ち着いて捉えるほうが、次の一手を考えやすくなります。まずは内訳を分けて捉えることが、公開面を数える前提になります。次の表と図で、規模と内訳を整理します。

指標	観測された値	この記事での位置づけ
1IPアドレスあたりの年間パケット数	約250万件1	観測開始以降で最多。規模感の把握に使う
調査目的と推測されるスキャンの割合	約55.0%2	届いた通信の過半を占める。内訳を分けて捉える根拠

出典：情報通信研究機構「NICTER観測レポート 2025」をもとに作成

観測レポートの数字は、そのまま提案書に貼るだけでは説得力を持ちません。狙われる範囲がどれだけ広がっているかという規模感と、届いた通信の過半が調査目的のスキャンだという内訳を、セットで示すことが要点です。数字だけを並べるよりも、数字が意味する範囲まで添えて説明するほうが、クライアントの理解は深まります。次の章では、狙われるポートそのものが、どのように変わってきたかを見ていきます。

規模と内訳を押さえたところで、次に見ておきたいのは狙いの向き先です。狙われるポートの中身をさらに見ていくと、特定の1点に集まる状態から、広く分散する状態への変化が見えてきます。

2. 狙いは1点集中から分散へ

23/TCP宛の割合が示す変化

数年前まで、観測されるパケットは特定のポートに集まる傾向がありました。最も多く観測された23/TCP宛のパケットの割合は、前年の17.9%から14.4%へ減少し、多様なポート番号宛の攻撃が増加しています³。特定の1つのポートを重点的に見張っていれば十分だった時期から、じわじわと前提が変わってきたということです。1つのポートを塞げば事足りるという発想から、面で見る発想へ移ってきたことが、この数字から読み取れます。狙いの向き先が変わっているのに、点検の範囲が以前のままであれば、そこに隙間が生まれます。

出典：情報通信研究機構「NICTER観測レポート 2025」をもとに作成

前年からの変化を数字で示せると、クライアントへの説明も具体的になります。感覚で「変わった気がする」と伝えるよりも、17.9%から14.4%へという実際の推移を示すほうが、判断の根拠として受け取ってもらいやすくなります。

分散が公開面の点検に意味する範囲

狙いが分散しているということは、公開しているポートを1つずつ個別に判断するのではなく、公開面の全体を一覧にして点検する姿勢が求められるということです。特定のポートだけを厳重に守り、他を手薄にする発想では、分散した狙いに追いつけません。1つのポートを固く守ることよりも、公開面の全体を漏れなく見渡すことのほうが、いまの狙いの向きには合っています。どのポートを開け、どのポートを閉じているかを一覧で持っておくことが、次に見る、番号を変えるだけでは対策が不足する理由にもつながります。

3. 番号を変えても外れない

2222/TCPが示す狙いの継続

SSHの標準ポートである22/TCPを避け、別の番号に振り直す対策は広く知られています。ところが、SSHサービスの代替として使われる2222/TCPは10番目に多く観測され、SSHサービスを狙った通信が引き続き観測されています⁶。番号を1つ動かしただけで安心してしまうと、狙いのほうが番号の変更に追随してくる構図が見えてきます。番号を変える対策そのものを否定するわけではありませんが、それだけでは狙いを外せないと捉えたほうが実情に近いといえます。番号の変更は、公開面を点検する取り組みの1つに位置づけるくらいがちょうどよい距離感です。この継続は、SSHという役割そのものが引き続き見張られていることを示しています。

機器のAPIポートという盲点

上位に入るポートの顔ぶれを見ると、通信機器や記録機器のAPIが動作するポートも含まれています。7番目に多く観測された34567/TCPはDVRのAPIが動作するポートで、ハニーポットでは該当製品の脆弱性を悪用した攻撃が観測されました⁷。加えて、8728/TCP宛のパケットは複数のクラウドサーバのIPアドレス群からの集中的なスキャンが継続したことにより、前年と同様に2番目に多く観測されています⁵。サーバ本体だけを見張っていれば十分だという前提は、この2つのポートを見る限り成り立ちません。サーバのSSHポートだけでなく、周辺の機器が持つAPIポートまで含めて公開面を捉える視点が欠かせません。表と図で、顔ぶれの違いを確認します。

ポート	主な用途	観測での順位
8728/TCP	複数のクラウドサーバのIPアドレス群からの集中的なスキャン	2番目5
34567/TCP	DVRのAPIが動作するポート	7番目7
2222/TCP	SSHサービスの代替として使われる	10番目6
Windowsで主に利用されるポート	—	上位10位内には含まれず8

表に並べた4つの行は、狙われる場所がサーバの中だけにとどまらないことを表しています。役割の異なるポートを同じ基準で見張るのではなく、用途に応じた点検の重みづけを考える材料になります。

出典：情報通信研究機構「NICTER観測レポート 2025」をもとに作成

こうして顔ぶれを並べてみると、サーバのSSHポートだけを気にしていたときには見えなかった範囲が浮かび上がります。特定のポートを塞ぐだけの発想から一歩進み、機器やクラウドを含めた面で公開面を捉える視点は、次に見る未知の動きに向き合うときにも役立ちます。

4. 既知のパターンだけでは判断が不足する

Miraiの特徴を持たないIoTボットの活発化

IoT機器を狙う攻撃といえば、Miraiという名前が真っ先に挙がります。しかし、Miraiの特徴を持たないIoTボットの感染活動が活発化し、Mirai感染ホスト数を上回る様子が観測されています⁴。名前の知られたパターンを覚えておくことよりも、パターンの外側にも同じだけ注意を払うことのほうが、いまの状況には合っています。見慣れたパターンだけを警戒していると、性質の異なる動きを見落とすおそれがあります。既知の型に当てはまらないからといって、危険度が低いとは限りません。この点は、機器を扱う案件でも同様に当てはまります。

出典：情報通信研究機構「NICTER観測レポート 2025」をもとに作成

クラウドからのスキャンという別の顔

スキャンの発信元も一様ではありません。8728/TCP宛のパケットは、複数のクラウドサーバのIPアドレス群からの集中的なスキャンが継続したことで、前年と同様に2番目に多く観測されました⁵。侵入された家庭用機器だけでなく、クラウド上のサーバ群も発信元になり得るという点は、監視の対象を考えるうえで抜け落ちやすい視点です。発信元を1種類に決めつけてしまうと、監視のルールもそこだけに寄っていきます。クラウドの発信元も点検対象に含めておくと、次にクライアントへ説明するときの抜け漏れを防げます。規模・分散・機器・クラウドと、観測データが示す像は一様ではありません。ここまでの内容を、実際の案件でどう活かすかを次に見ていきます。

5. リモート・フリーランス案件でどう関わるか

公開面を数える

ここまで見てきた観測データを、案件の場でどう使うかを整理します。まず取り組みやすいのは、預かっている環境で外部に開いているポートを一覧化することです。開けている理由を1つずつ言葉にしておくと、クライアントとの協議の場でそのまま説明の材料になります。感覚で塞ぐ・開けるを判断するのではなく、一覧と理由をセットで持つことが、根拠のある提案の土台になります。一覧は一度作って終わりにするものではなく、案件の節目ごとに見直す前提で持っておくと、狙いの変化にも合わせやすくなります。

観点	確認すること	提案での使い方
公開ポートの一覧	外部に開いているポートと、その利用目的	開けている理由を説明する材料にする
機器・周辺システムのAPIポート	サーバ以外の機器が持つ管理・API用のポート	サーバだけでなく機器側も点検対象に加える
監視の対象	どのポート・どの通信を継続的に見るか	分散する狙いに合わせて監視範囲を更新する
変更履歴の記録	いつ・なぜ設定を変えたかの記録	次の見直しや引き継ぎの資料にする

表に挙げた4つの観点は、どれも1回作れば終わるものではなく、案件が変わるたびに、あるいは環境が更新されるたびに見直す前提のものです。毎回すべてを同じ重さで見直す必要はなく、案件の性質に応じて重みづけを変える運用でかまいません。見直しの記録を残しておくと、次にクライアントへ説明するときの資料にもなります。

監視の対象を決め、提案の根拠にする

監視の対象を決めるときも、同じ考え方が役立ちます。狙いが1点集中から分散へ変わってきたことを踏まえれば、特定のポートだけを注視する体制では、変化に追いつけません。経験だけで語るよりも、観測データを添えて語るほうが、提案は通りやすくなります。場所を選ばずに、こうした防御設計や監視の設計に関われる環境を探している方にとって、Remoguは選択肢の1つになります。こうした案件は、常駐を前提にしない形で成立しやすい領域です。Remoguは、案件の90%以上がフルリモート可能です⁹。積み上げてきた観測とネットワークの知見を、次の案件でどう活かせるか、まず登録して確かめてみるのも一つの道です。

6. まとめ

観測データが示していたのは、狙いが1点に集まる時代から、ポート・機器・クラウドへと広がる時代への変化でした。番号を変える対策そのものに意味はありますが、それだけでは狙いを外せません⁶。機器のAPIポートやクラウド発のスキャンまで含めて公開面を数え、監視の対象を決めることが、根拠のある提案につながります。勘で塞ぐ範囲を決める段階から、規模・分散・機器・クラウドという4つの軸で説明できる段階へ進むことが、この記事で伝えたい変化です。

感覚で判断する範囲を、数字の裏付けがある範囲に置き換えていくことは、一度で終わる作業ではありません。積み上げてきた経験に、そのつど観測データを添える習慣が、クライアントとの協議を支えます。狙いが変わり続ける以上、点検も一度きりでは終わりません。塞ぐ範囲と見る範囲を、そのつど数字で見直せる人は、クライアントから見ても頼りやすい存在です。防御設計や監視に関わる案件でその経験を試したい方は、Remoguへの登録から次の一歩を確かめてみてください。

7. よくある質問

ポート番号を変えるだけの対策では、もう不十分なのですか

番号を変えることに効果が無いわけではありません。ただ、SSHサービスの代替として使われる2222/TCPは10番目に多く観測されており、SSHサービスを狙った通信は番号を変えた後も引き続き観測されています⁶。狙う側も番号の変更を織り込んで探しにきていると考えたほうが、実情に近い見立てです。番号を変える対策は、それだけでは狙いを外せないと捉えたうえで、公開面の一覧化や監視と組み合わせることが大切です。1つの対策に頼るのではなく、複数の対策を積み重ねる発想が、いまの状況には合っています。

観測データは、この記事を読んでいる方の環境にも当てはまるのですか

今回取り上げた観測は、実際に使われているサーバではなく、使われていないIPアドレス帯に届いたパケットを対象にしています¹。そのため、観測された数をそのまま個々の環境が受けている攻撃の件数として読み替えることはできません。個々の環境が受ける通信の量は、公開しているサービスの数や種類によって変わります。狙いの傾向や分散の様子をつかむための資料として使い、自分の環境でどこを確認するかを考える手がかりにすることをおすすめします。

IoT機器は案件と関係あるのですか

ネットワークに接続する監視カメラやレコーダーなどの機器は、企業のシステムやクラウド環境と隣接して置かれることが増えています。Miraiの特徴を持たないIoTボットのように、既知のパターンから外れた動きが観測されている以上⁴、サーバだけでなく周辺機器のAPIポートまで点検の対象に含める視点は、防御設計や監視に関わる案件でも役に立ちます。サーバ側の知見に、機器側への目配りを重ねられる人材は、案件の幅を広げやすくなります。機器を含めた面で環境を見渡せることは、クライアントとの協議でも強みとして伝えやすい要素です。

スキャンを受けているだけで危険なのですか

観測されたパケットの約55.0%は、調査目的と推測されるスキャンです²。届いた通信がすべて侵入を目的としたものとは限らず、スキャンを受けた事実だけで直ちに被害につながるとは言えません。ログの量に驚くことよりも、内訳を落ち着いて分けて見ることのほうが、次の判断に役立ちます。重要なのは、届いた通信の内訳を分けて捉え、公開面と監視の設計に反映することです。内訳を分けて説明できると、クライアントの不安にも具体的に答えられます。

リモートでも防御設計に関われるのですか

公開面の一覧化や監視の設計は、現地に常駐しなくても進められる業務です。観測データという裏付けを持って提案できる経験は、リモートで働く場でも評価につながりやすくなります。場所に縛られず、積み上げてきたネットワークの知見をそのまま活かせる案件を探している方は、Remoguへの登録から次の一歩を確かめてみてください。防御設計や監視の設計は、任される範囲が広がりやすい領域でもあります。まずは公開面の一覧化から、無理のない範囲で始めてみるのも一つの進め方です。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 情報通信研究機構「NICTER観測レポート 2025」ダークネット観測統計（2026年2月5日）
＊2 情報通信研究機構「NICTER観測レポート 2025」ダークネット観測統計（2026年2月5日）
＊3 情報通信研究機構「NICTER観測レポート 2025」ダークネット観測統計（2026年2月5日）
＊4 情報通信研究機構「NICTER観測レポート 2025」観測事象の分析（2026年2月5日）
＊5 情報通信研究機構「NICTER観測レポート 2025」宛先ポート別のパケット数（2026年2月5日）
＊6 情報通信研究機構「NICTER観測レポート 2025」宛先ポート別のパケット数（2026年2月5日）
＊7 情報通信研究機構「NICTER観測レポート 2025」宛先ポート別のパケット数（2026年2月5日）
＊8 情報通信研究機構「NICTER観測レポート 2025」宛先ポート別のパケット数（2026年2月5日）
＊9 Remoguサイト公開情報（フルリモート可能案件の割合）