【入門編】 HTTP User-Agentヘッダーの異常検知とブラックリスト照合 – サイバーセキュリティとプライバシー保護実践ガイド

こんにちは！技術メディア「TechDeep Dive」の主筆を務めております、ネットワークセキュリティスペシャリストのトモです。

普段はデータセンターのラックの間で冷気に吹かれながら、パケットの挙動を追いかける毎日を送っています。一見すると無機質なバイナリの羅列に見えるパケットも、よく観察すると「彼ら」の意図や、時には「あ、今焦ってるな？」という人間味（？）さえ感じ取れるから不思議なものです。

さて、今日からインフラやネットワークの世界に飛び込んだ皆さんに、ぜひ知っておいてほしい「インターネットの自己紹介ルール」についてお話しします。

今回のテーマは、「HTTP User-Agent（ユーザーエージェント）ヘッダー」を使った防御術です。

一見地味なこのヘッダーが、実はサイバー攻撃やランサムウェアの侵入を防ぐための「第一の検問所」としてどれほど重要か、郵便配達の仕組みに例えながら、優しく、かつ深く紐解いていきましょう！

—

1. User-Agentは、ネットワーク界の「名刺」である

私たちがブラウザ（ChromeやSafariなど）でウェブサイトを見るとき、裏側では「このページを見せてください！」というお手紙（HTTPリクエスト）がサーバーに送られています。

このお手紙の封筒には、実は「私は何者で、どんな道具を使ってアクセスしているか」という自己紹介文が必ず添えられています。これが User-Agent です。

郵便配達に例えると？

想像してみてください。あなたの家のインターホンが鳴り、玄関を開けるとそこには配達員さんが立っています。

普通の配達員さん： 「こんにちは！〇〇急便の佐藤です。Windows 11のChromeブラウザというトラックで来ました！」
怪しい人： 「……（無言）」、あるいは「こんにちは！私は『1990年製の古い台車』で来ました！」

もし、最新のオフィスビルに「1990年製の古い台車」で荷物を届けに来る人がいたら、「えっ、今どきそんな古い道具使ってるの？本物かな？」と不審に思いますよね。

ネットワークの世界でも同じです。「普通の人が使うはずのない名刺」を差し出してきた通信を、入り口（NGFWやプロキシ）で「ちょっと待った！」と止めるのが、今回ご紹介する防御の仕組みです。

—

2. なぜ「名刺」を見るだけで攻撃が防げるのか？

「攻撃者だって、普通のブラウザのふりをして名刺を作ればいいじゃないか」と思うかもしれません。確かにその通りです。しかし、実は攻撃者が使う「マルウェア（悪意のあるプログラム）」や「攻撃ツール」は、ついついボロを出してしまうものなのです。

よくある「怪しい名刺」のパターン

1. 正直すぎるツール名：
攻撃者が使う自動攻撃ツール（例：sqlmap や Nmap）は、デフォルト設定だとそのままツール名を User-Agent に書いて送ってきます。
2. 古すぎる・存在しないOS：
「Windows 95」なんて書かれた名刺が令和の今、飛んできたら……それはもう、ほぼ間違いなく攻撃の調査か、古いシステムを狙うウイルスです。
3. 空っぽ、または短すぎる：
通常、ブラウザの名刺はとても長くて複雑です。それがたった数文字の User-Agent: Hello みたいな内容だったら、それは人間ではなく、急造のプログラムが送ってきたサインかもしれません。

—

3. 実践！NGFWやプロキシで「検問所」を作る

では、実際にどうやってこれらを遮断するのか、具体的な設定のイメージを見てみましょう。
ここでは、多くの現場で使われているWebサーバーの Nginx や、ネットワークの境界で使われる設定を例に挙げます。

Nginxでの拒否設定例

まずは、特定の怪しい文字列が含まれていたら「お断り」する設定です。一歩ずつ、コードの中身を読んでいきましょう。

# サーバー設定の一部として記述します
http {
    # 怪しいUser-Agentをリストアップして、変数 $bad_user に 1 を代入します
    map $http_user_agent $bad_user {
        default         0;  # 基本は「通してOK（0）」
        
        # 攻撃ツールによくある名前をブラックリスト化
        "~*sqlmap"      1;  # データベース攻撃ツール
        "~*nmap"        1;  # ネットワークスキャンツール
        "~*nikto"       1;  # 脆弱性診断ツール（攻撃の事前調査によく使われます）
        
        # プログラム言語の標準的な名前（そのままアクセスしてくるのは不自然な場合が多い）
        "~*python-requests" 1;
        "~*curl"            1;
        "~*Wget"            1;
    }

    server {
        listen 80;
        server_name your-secure-site.jp;

        # もし $bad_user が 1 だったら、403（閲覧禁止）を返します
        if ($bad_user) {
            return 403 "あなたのアクセスはセキュリティポリシーにより制限されました。";
        }

        location / {
            # 通常のコンテンツを表示
        }
    }
}

NGFW（次世代ファイアウォール）での考え方

NGFW（Next-Generation Firewall）の場合、もっと高度なことができます。
「ブラックリスト」に載っている既知のマルウェアが通信する際の User-Agent の特徴（これを署名/シグネチャと呼びます）を、世界中のセキュリティベンダーが常に更新してくれています。

私たちがやることは、「シグネチャによるインスペクション（検査）」をONにするだけです。パケットの中身をチラッと見て、「あ、これランサムウェア『LockBit』が使ってる名刺だ！」と瞬時に判断して、通信をぷっつりと切断してくれるのです。

—

4. 現場での「泥臭い」トラブルシューティングの知見

ここで、スペシャリストとしての実体験からくるアドバイスを一つ。

「怪しいものは全部止めちゃえ！」と欲張って厳しくしすぎると、「本来通すべき正しい通信」まで止めてしまうことがあります。これを「誤検知（False Positive）」と呼びます。

例えば、会社の基幹システムと連携している古いバッチプログラムが、実は curl というツールを使っていた……なんてことはよくあります。それを知らずに curl を一律ブロックすると、「明日の朝までにデータが届いていない！」と大騒ぎになるわけです。

運用のコツ：
1. 最初は「遮断（Block）」ではなく、「ログ記録（Log Only）」から始める。
2. 数日間ログを眺めて、「この User-Agent は怪しいけど、実はうちの会社のアプリだった」というものを除外リストに入れる。
3. 安全を確認してから、静かに「遮断」のスイッチを入れる。

これが、現場で平和にシステムを守り抜くための鉄則です。

—

結びに：一歩ずつ、パケットと仲良くなろう

いかがでしたでしょうか？
HTTP User-Agent という、たった一行のテキスト。しかしそこには、送信者の正体を見破るための重要なヒントが詰まっています。

ネットワークセキュリティは、決して魔法ではありません。
「玄関先で名刺を正しく確認する」という、私たちの日常で行っている防犯対策と、本質的な考え方は全く同じなのです。

最初はコードや設定値が難しく見えるかもしれません。でも、一つ一つの文字列が「どんな名刺か？」を想像できるようになれば、あなたはもう立派なセキュリティエンジニアの卵です。

これからも、パケットが運ぶ「声」に耳を傾けて、一歩ずつ理解を深めていきましょう！応援しています。

—
執筆：TechDeep Dive主筆トモ
（ネットワークの健康を守るため、今日も深夜のパケットキャプチャに勤しんでいます。）