UDM Pro (UniFi OS、Network 10.6.106、CyberSecure スタンダード＝無料版)のIPS (侵入防止システム)が実際に読み込んでいるルールを取り出し、重大度・確度・作成年・カテゴリ別に集計して、どれだけ今の環境で役に立つのかを分析した資料です。
管理画面に表示されるシグネチャ総数は33,185件です。このうち Suricata が実際に読み込んでいる /run/ips/rules/suricata.rules の alert / drop / reject / pass 行、33,148件を集計の対象としました。
読み込み済みルール
古い・今の環境では意味が薄い (8,734件)
重大度 Critical (3,990件)
Critical のうち2023年以降に作成
結論: ルールの約4分の1は、ActiveX、古いPHPアプリへのSQLインジェクション、もう活動していないマルウェアなど、今のネットワークではほとんど発火しないものです。一方で残りの4分の3は2018年以降の攻撃や現役マルウェアの通信が対象です。
特に Critical は、ほとんどが2024〜2026年の情報窃取マルウェア (Lumma Stealer)や偽ブラウザ更新 (SocGholish/TA569)の C2 (指令サーバー)通信の検知です。社内の端末が感染していないかを見つける用途なら、無料版でも十分に役立ちます。
| 重大度 | 件数 | 割合 |
|---|---|---|
| Major | 26,710 | 80.6% |
| Critical | 3,990 | 12.0% |
| Informational | 1,804 | 5.4% |
| Minor | 523 | 1.6% |
| Unknown | 121 | 0.4% |
| 確度 | 件数 | うち Critical |
|---|---|---|
| High | 20,524 (61.9%) | 3,620 |
| Medium | 9,434 (28.5%) | 338 |
| Low | 915 (2.8%) | 4 |
| 未設定 | 2,275 (6.9%) | 28 |
ET (Emerging Threats)はほとんどのルールを Major に分類しているため、Major というだけでは重要度の目安になりません。区別に使えるのは Critical と Informational です。
「Critical かつ確度 High」のルールは3,620件あります。これに当たったアラートは誤検知の可能性が低く、最優先で調べる価値があります。
| 年 | 作成 | 最終更新 | |
|---|---|---|---|
| 2008 | 800 | – | |
| 2010 | 5,723 | – | |
| 2011 | 889 | – | |
| 2012 | 589 | – | |
| 2013 | 1,018 | – | |
| 2014 | 778 | – | |
| 2015 | 894 | – | |
| 2016 | 637 | – | |
| 2017 | 713 | – | |
| 2018 | 1,058 | – | |
| 2019 | 1,290 | 1,061 | |
| 2020 | 1,708 | 6,746 | |
| 2021 | 1,870 | 937 | |
| 2022 | 2,102 | 995 | |
| 2023 | 2,138 | 1,144 | |
| 2024 | 3,349 | 13,406 | |
| 2025 | 5,007 | 4,581 | |
| 2026 | 2,585 | 4,278 |
作成年で見ると、2015年以前が10,691件 (32.3%)、2016〜2022年が9,378件 (28.3%)、2023年以降が13,079件 (39.5%)です。2010年7月30日付けのルールが特に多いのは、ET が旧ルールセットを取り込んだ日付のためです。
更新年の2020年と2024年の山は、メタデータを一括で書き換えた跡と見られます。「更新が新しい＝今も有効」とは言えないので、鮮度は作成年で判断しました。ただし TOR と CINS (IPアドレスの評判リスト)は毎日更新されていて、作成年は古くても現役です。
ルールのメッセージ先頭に付くプレフィックス (例: ET MALWARE)でカテゴリを分けました。
| カテゴリ | 件数 | 2015年以前 | 2023年以降 | Critical | 内容 |
|---|---|---|---|---|---|
| ET MALWARE | 19,299 | 2,337 | 10,879 | 3,522 | 感染端末から C2 への通信。DNS問い合わせ (6,566件)や TLS SNI (4,543件)でドメインを照合するものが中心 |
| ET WEB_SPECIFIC_APPS | 6,080 | 4,575 | 1,340 | 15 | 個別のWebアプリへの攻撃。75%は2010年前後のマイナーなPHP/ASPアプリへのSQLインジェクションやファイル読み込み攻撃 |
| ET EXPLOIT | 1,661 | 205 | 298 | 101 | ネットワーク機器やサーバーの脆弱性を突く攻撃 |
| ET MOBILE_MALWARE | 1,146 | 92 | 331 | 264 | Android/iOS のスパイウェアやバンキング型マルウェア |
| ET TOR | 800 | 800 | 0 | 0 | Tor リレーのIPアドレスリスト (Informational、毎日更新) |
| ET WEB_SERVER | 692 | 378 | 100 | 77 | Webサーバーへの攻撃、Webシェルへのアクセス |
| ET ATTACK_RESPONSE | 679 | 73 | 72 | 4 | 侵入された後に出る応答 (攻撃ツール Havoc/Sliver の TLS 通信が429件) |
| ET WEB_CLIENT | 475 | 189 | 18 | 2 | ブラウザなどクライアントへの攻撃 |
| GPL (全種) | 869 | 869 | 0 | 0 | Snort 時代の旧ルール (NETBIOS 356件、SQL 190件など) |
| ET CINS | 299 | 299 | 0 | 0 | 評判の悪いIPアドレスのリスト (毎日更新) |
| ET USER_AGENTS / SCAN | 550 | – | – | 1 | 不審なユーザーエージェント、スキャン (Mirai系が中心) |
| ET ACTIVEX | 184 | 184 | 0 | 0 | Internet Explorer の ActiveX の脆弱性 |
| その他 | 414 | – | – | 4 | P2P、DOS、INFO、SHELLCODE など |
ルール本体の /etc/idsips/rules/ には UBIQUITI_RULES / UBIQUITI_CUSTOM というファイルもありますが、読み込まれているルールのメッセージに UBIQUITI で始まるものは1件もありませんでした。無料版で実際に効いているのは、ET Open と GPL のルールと見られます。
分類 (classtype)の上位は、trojan-activity (9,492件)、domain-c2 (7,123件)、web-application-attack (5,978件)、command-and-control (3,567件)、attempted-admin (2,009件)です。
次の基準で上から順に判定し、1件のルールは1つの区分にだけ入れました。
| 区分 | 判定基準 | 件数 | 割合 | 意味が薄い理由 |
|---|---|---|---|---|
| 廃れたクライアント技術 | ET ACTIVEX、またはメッセージに ActiveX / Internet Explorer / Flash / Shockwave / RealPlayer / QuickTime / Windows XP などを含む | 310 | 0.9% | IE や Flash はサポートが終わり、実行環境がもうない |
| GPL 旧ルール | GPL で始まるものすべて | 869 | 2.6% | 2000年代の Snort ルール。6割が Informational |
| 古いWebアプリの脆弱性 | WEB_SPECIFIC_APPS のうち2015年以前に作成 | 4,547 | 13.7% | 無名のCMSなどが対象。公開Webサーバーがなければ発火する機会がない |
| 活動を終えたマルウェア | MALWARE / MOBILE_MALWARE のうち2015年以前に作成 | 2,412 | 7.3% | Zeus の派生などが対象。C2 ドメインもほぼ失効している |
| 古いCVE・古い攻撃 | 2015年以前の CVE、または EXPLOIT / WEB_CLIENT / WEB_SERVER / P2P などで2012年以前に作成 | 596 | 1.8% | パッチが当たっているのが普通 |
| 合計 | 8,734 | 26.3% |
残りは次のとおりです。
「意味が薄い」8,734件の重大度の内訳は、Major 7,779件、Informational 635件、Critical 153件です (Critical はほとんどが古いマルウェア)。基準を緩めて「2015年以前に作成されたもの全部 (TOR・CINS を除く)」とすると9,592件 (28.9%)、厳しくして ActiveX 系と GPL だけにすると1,179件 (3.6%)になります。
Critical 全体の半分を占めます。2025〜2026年に登録された Lumma の配布元や C2 のドメインを、TLS SNI と DNS 問い合わせで検知します。Lumma はブラウザに保存されたパスワード、Cookie、暗号資産ウォレットを盗むマルウェアです。偽のソフト配布サイトや、偽の CAPTCHA で PowerShell を実行させる「ClickFix」という手口で広がっています。社内のPCがこのルールに当たったら、感染している可能性が高いと考えてください。
Gholoader の C2、中継サーバー、SocGholish のドメインを検知します。改ざんされた正規のサイトに「ブラウザを更新してください」と表示させてマルウェアを入れさせる手口で、ランサムウェアの侵入の入口によく使われます。
Gh0st/PCRat 系 (Critical 99件)、TrustConnect RAT、BackConnect、IcedID、Pupy などです。ATTACK_RESPONSE には攻撃ツール Havoc/Sliver の TLS 通信を検知するものが429件あります。どれも端末が遠隔操作されている兆候なので、優先して対応すべきです。
iOS の Bahamut、NSO Group のスパイウェア (Pegasus 系)、Android のバンキング型マルウェア (GoldDigger、Gigabud)、Spy.Agent などです。社用スマートフォンを Wi-Fi に接続している環境で役に立ちます。
| 対象 | ルール数 |
|---|---|
| Mirai 系 IoT ボット | 119 |
| D-Link | 116 |
| Cisco | 84 |
| Netgear / Zyxel / TP-Link | 82 |
| Log4j (Log4Shell) | 78 |
| Fortinet | 51 |
| Ivanti / Pulse Secure | 46 |
| SonicWall | 43 |
| Citrix NetScaler | 41 |
| VMware | 40 |
| Microsoft Exchange | 31 |
| QNAP / Hikvision / Dahua | 31 |
VPN装置、NAS、ネットワークカメラ、ルーターへの攻撃です。ポートを開放していたり VPN を外部に公開していたりする場合は、外からのスキャンや攻撃を検知できます。社内の IoT 機器が Mirai に感染してスキャンを始めた場合も見つけられます。
Webシェルやメール送信スクリプトへのアクセス、改ざんされたPHPサイトからの通信を検知します。社内にWebサーバーがある場合に意味があります。
| ポイント | 内容 |
|---|---|
| 古いルールを外す効果は小さい | Suricata は通信の中身で事前に絞り込むため、発火しないルールの CPU 負荷はわずかで、誤検知もほとんど出ません。UniFi ではカテゴリ単位でしか切り替えられないので、無理に外す必要はありません。 |
| 外す価値があるとすれば | 公開Webサーバーがない場合の Webアプリ系 (WEB_SPECIFIC_APPS の75%は2010年前後のもの)と ActiveX です。ただし新しい Ivanti や Fortinet のルールも同じカテゴリに入っているので、まとめて外すと損をします。 |
| Tor は Informational | 800件あります。ブロックするとプライバシー系のアプリが動かなくなることがあるので、検知だけにしておくのが無難です。 |
| アラートを見る順番 | Critical かつ確度 High、MALWARE / MOBILE_MALWARE の Major、EXPLOIT、その他、の順に見れば十分です。 |
| ドメイン指標は鮮度が大事 | 有用なルールの多くは寿命の短いドメインのリストです。シグネチャの自動更新が止まると、数か月で効き目が大きく落ちます。 |
集計方法: suricata.rules から SID / classtype / signature_severity / confidence / created_at / updated_at / msg を抜き出して集計しました (2026年10月時点)。区分はメッセージに含まれる単語で判定する簡易なものなので、件数には数%程度の誤差があります。