レンタルサーバーのホームページ改ざんを毎時見張る——置かれたPHP・書き換えられた.htaccess・日時を戻した改ざんを見つけてメール・自社の更新とは見分ける（Kurage Security Watch）

レンタルサーバーに置いたホームページが、書き換えられていないか・怪しいファイルが置かれていないかを毎時見張り、見つけたらメールで知らせるシステムです。WordPress の画像フォルダに置かれた PHP、書き換えられた .htaccess、日時を戻して隠された改ざんを見つけます。

デモ：https://proto.exbridge.jp/ksecwatch/ （架空の会社のサイトの14日分の記録と、届くメールの例）

見張ること

• 増えた・変わったファイル：PHP・JavaScript・.htaccess・.user.ini など、動くファイルの追加と変更
• マルウェアの疑い：増えた・変わった PHP の中身を、オープンソースの検査規則 php-malware-finder（YARA）にかけます
• 権限の変化：644 が 666 になった、のような書き込みの緩み
• 日時を戻す手口：中身が変わったのに更新日時が古いままのファイル。更新日時は戻せても ctime は戻せないので、そこを見ます
• データ入れの PHP の崩れ：サーバー自身が書き換えるデータのファイル（Bludit など）は、先頭の「実行を止める1行」が崩れていないかを確かめます

自社の更新では知らせません

手元の公開用のファイルと中身が同じものは「自社の更新」として分けます。知らせが来るのは、自社が置いていない変化と、マルウェアの疑いだけです。同じ中身のものは2回知らせず、確かめたものは「確認済み」にできます（中身がまた変われば、もう一度知らせます）。

レンタルサーバーに負担をかけません

• 見張り役の PHP がサーバーの中で、全ファイルの大きさ・更新日時・ctime・権限を台帳と比べ、違いだけを返します。当社の4サイト・約17万ファイルで、1回2秒ほどです
• 中身の指紋（SHA-256）は、変わったファイルだけ取り直します。1日1回は全部取り直して比べます
• マルウェアの判定はレンタルサーバーではしません。共有サーバーの CPU を使わず、誤検知の調整も手元で済みます
• FTP でファイルの一覧を取る方式は使いません（時間がかかり、接続を重ねるとサーバー会社に遮断されるため）

守りの作り

• 公開フォルダに置くのは呼び出し口だけです。見張り役と台帳は公開フォルダの外に、権限 700 で置きます
• 呼び出し口は、合言葉で作った署名と時刻が合うときだけ動き、それ以外は「ページが無い」と答えます。同じ署名は二度使えません
• サイトの中身や記録は、御社のサーバーにだけ残ります。当社には送りません

動かす場所

• 見張られる側：PHP 8.0 以上が動き、FTPS でファイルを置けるレンタルサーバー（管理者の権限は不要）
• 見張る側：御社の Linux サーバー（Python 3.10 以上）。cron で毎時・毎日動かします
• 設置手順書（INSTALL.md）とAIエージェント向けの指示書が付いています。Claude Code や Codex に渡せば、手順の「確認」を通しながら設置まで進めます

これは「見つけて知らせる」システムです

侵入そのものを防ぐもの（WAF など）ではありません。外から見える守りの点検には Kurage Security Check を、サイトの中の変化の見張りにはこのシステムを、と組み合わせて使えます。

使っているオープンソース

• php-malware-finder の検査規則（LGPL-3.0。設置のときに取得します）
• YARA / yara-python（BSD-3-Clause / Apache-2.0）

デモ：https://proto.exbridge.jp/ksecwatch/