【入門編】 HTTPステータスコード200(OK)とペイロードダウンロードの相関分析 – サイバーセキュリティとプライバシー保護実践ガイド

脅威の痕跡を暴け！HTTP 200 OKの裏に隠されたマルウェアダウンロードの怪しいサイン

皆さん、こんにちは！サイバーセキュリティの世界へようこそ。今日は、普段何気なく目にしているHTTPステータスコード、特に「200 OK」に隠された、マルウェア感染の巧妙な手口について、一緒に紐解いていきましょう。

「200 OK」って聞くと、「やった！うまくいった！」って安心しますよね。ウェブサイトを見ている時も、何かをダウンロードする時も、このステータスコードが表示されれば、無事に通信が完了した証です。しかし、この「OK」の裏に、攻撃者が潜んでいる可能性があるとしたら…？

今回は、インフラやネットワークの知識にこれから触れる皆さんにも、パケットがどうやって流れていくのか、そしてマルウェアがどうやって忍び寄ってくるのかを、身近な例え話と簡単なコマンドを交えながら、丁寧に解説していきます。「ちょっと難しいかも？」と思っても大丈夫。一歩ずつ、一緒に理解を深めていきましょう！

郵便配達に例えるHTTP通信：200 OKの真実

まず、HTTP通信がどんなものか、郵便配達に例えてみましょう。

あなた（クライアント）: 「この情報（ウェブページやファイル）が欲しいな！」と、リクエスト（手紙）を送ります。
サーバー: リクエストを受け取って、「はい、承知いたしました！」と、情報（荷物）を返送します。

この「はい、承知いたしました！」という返事が、HTTPステータスコードです。

200 OK: これは、郵便配達員さんが「ご依頼の荷物、確かに持ってお届けしました！問題なく受け取ってくださいね！」と言っているような状態です。つまり、リクエストした情報が正常に届いた、ということ。
404 Not Found: 「あれ？ご依頼の住所には、その名前の荷物はありませんでした…」という、見つからなかった状態。
500 Internal Server Error: 「ごめんなさい！私（サーバー）のところで、荷物の準備中にちょっとしたトラブルが起きてしまいました…」という、サーバー側の問題。

普段、私たちがウェブサイトを見ている時やファイルをダウンロードする時は、この200 OKが頻繁に表示されているはずです。

マルウェアは「OK」に紛れてやってくる？

では、なぜこの「200 OK」が、マルウェア感染の兆候になりうるのでしょうか？

攻撃者は、マルウェアを被害者のコンピューターに送り込むために、様々な手口を使います。その一つが、コマンド＆コントロール（C2）サーバーと呼ばれる、攻撃者がマルウェアを遠隔操作するためのサーバーを利用する方法です。

攻撃者は、まず被害者のコンピューターに、小さなプログラム（これをステージャーと呼びます）を送り込みます。このステージャーは、それ自体は悪意のある動作をしないことも多いのですが、C2サーバーに「自分はここにいますよ」と連絡を取り、さらに大きなマルウェア本体をダウンロードするための準備をします。

そして、C2サーバーからマルウェア本体をダウンロードする際、攻撃者は「バレないように、普通の通信に見せかけたい」と考えます。そこで、あえて「200 OK」という正常な応答を装って、マルウェアのデータを送りつけてくることがあるのです。

まるで、普通の荷物の中に、こっそり怪しいもの（マルウェア）を紛れ込ませて、配達員さん（HTTP通信）に運ばせるようなイメージですね。

怪しい「200 OK」を見破るための2つのポイント

では、この怪しい「200 OK」をどうやって見破れば良いのでしょうか？ここでは、ネットワークレベルでの監視で注目すべき、2つのポイントを掘り下げてみましょう。

1. コンテンツタイプ（Content-Type）の不一致

HTTP通信では、サーバーは送られてくるデータの種類を「コンテンツタイプ」として明示します。例えば、

text/html: ウェブページ（HTMLファイル）
image/jpeg: 画像ファイル（JPEG形式）
application/octet-stream: バイナリデータ（一般的なファイル）

といった具合です。

通常、ウェブサイトを見ている時はtext/htmlが、画像を見ている時はimage/jpegなどが返ってきます。しかし、マルウェアのステージャーや本体がダウンロードされる時、攻撃者はそれを隠すために、本来のコンテンツとは異なる、あるいは一見無害に見えるコンテンツタイプを指定してくることがあります。

例えば、本当は実行ファイル（バイナリデータ）なのに、text/plain（テキストファイル）として送られてくる、といった具合です。

2. 転送量（Content-Length）の異常

もう一つの重要なポイントは、転送されるデータの量（ペイロードサイズ）です。HTTPヘッダーには、Content-Lengthという項目があり、これは「これから送られてくるデータの合計サイズは何バイトですよ」という情報を示しています。

普段、ウェブページを閲覧する際のデータ量や、一般的な画像ファイルのサイズは、ある程度予測できます。しかし、マルウェア本体となると、そのサイズは様々ですが、「こんなに大きなデータが、こんな時に？」という、通常では考えられないような大きなファイルが、怪しいURLからダウンロードされている場合、それはマルウェア感染の可能性を示唆しています。

特に、ステージャーがC2サーバーにアクセスし、「200 OK」で返ってきたデータが、異常に大きい場合は、マルウェア本体がダウンロードされている可能性が高いと判断できます。

実際に怪しい通信を検知する！WiresharkとTsharkを使ってみよう

「でも、そんなのどうやって調べるの？」と思ったあなた！ご安心ください。ネットワークの通信を「盗聴」し、その中身を分析できる強力なツールがあります。今回は、その代表格であるWireshark（GUI版）とTshark（コマンドライン版）を使って、怪しい通信を検知する具体的な方法を見ていきましょう。

Wiresharkでの検知例

Wiresharkを起動し、ネットワークインターフェースを選択して通信をキャプチャします。そして、以下のフィルターを設定することで、怪しい通信に絞り込むことができます。

http.response.code == 200 && (http.content_type contains "octet-stream" || http.content_type contains "exe" || http.content_type contains "dll")

http.response.code == 200: HTTPステータスコードが200 OKである通信に絞り込みます。
http.content_type contains "octet-stream" || http.content_type contains "exe" || http.content_type contains "dll": コンテンツタイプがapplication/octet-stream（バイナリデータ）や、実行ファイル・DLLファイルに関連するものを含んでいる場合に絞り込みます。（※実際には、攻撃者はさらに巧妙なコンテンツタイプを使う可能性もありますが、まずは基本的なものから）

このフィルターでキャッチされた通信の中に、通常ではありえないようなURLからのダウンロードや、異常に大きなサイズのものがあれば、注意が必要です。

Tsharkでの検知例（リアルタイム監視）

Tsharkはコマンドラインで動作するため、サーバー上でリアルタイムに通信を監視したり、ログを分析したりするのに非常に便利です。

例えば、以下のようなコマンドで、HTTPの200 OK応答のうち、Content-Lengthが一定値（ここでは1MB = 1048576バイト）以上のものをリアルタイムで表示できます。

sudo tshark -i eth0 -f "tcp port 80" -Y "http.response.code == 200" -T fields -e http.response.code -e http.host -e http.request.uri -e http.content_length | awk '$4 > 1048576 {print "CODE: " $1 ", HOST: " $2 ", URI: " $3 ", SIZE: " $4 " bytes"}'

sudo tshark -i eth0: eth0というネットワークインターフェースでパケットをキャプチャします（お使いの環境に合わせてインターフェース名は変更してください）。
-f "tcp port 80": TCPのポート80（HTTP）の通信に絞り込みます。
-Y "http.response.code == 200": HTTPステータスコードが200 OKのパケットをフィルタリングします。
-T fields -e http.response.code -e http.host -e http.request.uri -e http.content_length: 表示するフィールドを指定します（ステータスコード、ホスト名、URI、コンテンツ長）。
| awk '$4 > 1048576 {print ...}': パイプで受け取った結果のうち、4番目のフィールド（Content-Length）が1048576バイト（1MB）より大きい場合に、整形して表示します。

このコマンドを実行しておけば、もしC2サーバーから異常に大きなデータが200 OKで送られてきた場合に、すぐにアラートとして検知できるというわけです。

【応用編】コンテンツタイプとサイズの両方でチェック！

さらに、コンテンツタイプも考慮して、より厳密にチェックすることも可能です。

sudo tshark -i eth0 -f "tcp port 80" -Y "http.response.code == 200 && (http.content_type contains \"octet-stream\" || http.content_type contains \"unknown\")" -T fields -e http.response.code -e http.host -e http.request.uri -e http.content_type -e http.content_length | awk '$5 > 1048576 {print "CODE: " $1 ", HOST: " $2 ", URI: " $3 ", TYPE: " $4 ", SIZE: " $5 " bytes"}'

http.content_type contains \"octet-stream\" || http.content_type contains \"unknown\": コンテンツタイプがoctet-streamや、不明（unknown）となっているものを対象にしています。

このように、ツールを使いこなすことで、攻撃者の巧妙な手口も、ネットワークの「声」として捉えることができるようになります。

まとめ：見えない脅威に気づくためのアンテナを高く！

今日は、「200 OK」という一見無害なステータスコードの裏に隠された、マルウェアダウンロードの脅威についてお話ししました。

HTTP 200 OKは、通信が正常に完了した証ですが、攻撃者はこれを悪用してマルウェアを送りつけてくることがあります。
怪しいコンテンツタイプや、異常に大きな転送量（Content-Length）は、マルウェアダウンロードの兆候かもしれません。
WiresharkやTsharkのようなツールを使えば、これらの怪しい通信を検知し、脅威の早期発見につながります。

ネットワークの通信は、まるで街を行き交う人々の会話のようなものです。その会話の中に、普段とは違う、怪しい響きがないか、常にアンテナを高く張っておくことが、私たちインフラエンジニアやセキュリティ担当者には求められます。

今回ご紹介した内容は、あくまでもマルウェア検知の一つの側面ですが、皆さんが日々の業務でネットワークを監視する際に、一つでも多くの「気づき」を得るための一助となれば幸いです。

これからも、サイバーセキュリティの世界は日々進化していきます。新しい脅威に立ち向かうために、一緒に学び続けていきましょう！

また次回のブログでお会いしましょう！