Palo Alto(パロアルト)のPAN-OSを狙うスキャンが48時間で約5倍に急増-過去90日で最多、偵察色の強い動き|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年10月07日更新日時: 2025年10月07日

脅威インテリジェンスのGreyNoiseは2025年10月3日、Palo Alto Networksのログインポータルを狙うスキャン元IPが約1,300件まで跳ね上がり、直近90日で最多を記録したと報告しました。

平常時は200件未満で推移していたことを踏まえると異常値です。観測IPの93%が「要注意（suspicious）」、7%が「悪性（malicious）」に分類され、標的はGlobalProtectおよびPAN-OSのログイン面に集中。全体として、偶発的なバックグラウンドノイズではなく、明確な偵察行為とみるのが妥当です。

何が起きているか

10月3日にGreyNoiseの「Palo Alto Networks Login Scanner」タグを発火させたユニークIPはおよそ1,300件に達しました。前90日間は日次で200件を超える日が稀だったことから、ここ48時間の跳ね方は際立っています。検知の内訳を見ると、約93%が要注意、7%が悪性という評価で、ばらつきのあるランダムスキャンというより、狙いを定めた能動的な探索の色合いが濃い状況です。

発信元インフラの大半（約91%）は米国からで、英国、オランダ、カナダ、ロシアにも小さなクラスターが見られました。

観測されたリクエストはほぼすべて、エミュレーションされたGlobalProtectやPAN-OSのログインプロファイルに向けられており、ShodanやCensysのような公開アセット検索、あるいは攻撃者側の事前スキャン結果を頼りに、Palo Altoデバイスを的確になぞっていると考えられます。

宛先の偏りも特徴的で、米国向けに集中するクラスターと、パキスタン向けに集中するクラスターの二極が確認されました。TLSフィンガープリントに共通点が見られる一方で完全一致ではなく、同じツールチェーンを共有しつつも運用主体が少しずつ異なる可能性があります。メキシコ、フランス、オーストラリア、英国のプロファイルも同時期に狙われており、地域をまたぐ面探索が進んでいる様子がうかがえます。

なお、GreyNoiseが7月に示したとおり、Palo Alto関連技術への活動が急増した後、最大6週間以内に新しい脆弱性公表が続くケースがありますが、今回の「ログインスキャナー」タグに限ると過去に明確な相関は出ていません。とはいえ、今回の増加は追加シグナルとして注視に値します。

これをどう捉えるか

量とタイミング、狙いの明確さという三点で、背景ノイズとは一線を画す出来事です。

攻撃者側が、ログイン面を軸にした侵入前段の下見、資格情報の詰め（リスト型・ブルート）、既知欠陥の探索、あるいは後日のゼロデイ投下に備えた確認を進めている構図が見えます。

現時点で侵害が直ちに発生していると断じる根拠はありませんが、管理面の露出や設定不備が残っていればリスクは一気に跳ね上がります。

いま取るべき優先アクション

まず、PAN-OSの管理UIは外部に出さず、公開はGlobalProtectのポータル／ゲートウェイのみにとどめ、管理は内側VPNや踏み台からに限定してください。そのうえで、認証はMFAを強制し、ロックアウトやレート制限を有効化します。次に、ShodanやCensysで自社のPalo Alto露出を棚卸しし、意図しない古いポータルやホスト名が残っていないかを洗います。

ログ監視は、失敗認証の急増や国別の異常、短時間に多数のIPから試行される動きを即時アラートできるよう整え、ASNの変化にもフラグを立てます。並行して、GreyNoiseのような動的ブロックリストを取り入れ、認証面の手前で怪しい送信元を落とします。

公開ゾーンにはZone ProtectionおよびDoSプロファイルを適用し、App-ID／Threat-IDは常に最新に。ID管理ではローカル管理者を原則無効とし、SSO／SAMLと条件付きアクセスへ寄せ、管理者パスワードは即時ローテーション。最後に、業務に不要な地域からのポータル到達は段階的に制限し、今回の観測で濃かった地域から優先的に見直してください。

出典

Palo Alto Scanning Surges ~500% in 48 Hours, Marking 90-Day High