1. 何が起きたか

ある日、VPS業者から以下のようなメールが届きました。

「外部の特定IPアドレスへ攻撃的なトラフィックが発生していることを検知したため、インスタンスを停止しました」

突然の強制停止。
Webサーバーとしてしか使っていないはずなのに、、

結論から言うと：

サーバー内部のログからは該当IPへの通信証拠は一切見つからなかった
Linuxの仕様上、外向き通信は事前に設定していないと事後調査ができない
VPS業者はホスト側の通信フロー監視を見ているため、OSログとは視点が違う

ということが分かりました。

2. VPS業者からの連絡内容

指摘された内容
- 外部IPアドレスへの攻撃的トラフィック
- 特定IP（海外ISP配下）
VPSは自動的に停止

※ 具体的なIPアドレスは伏せますが、海外の家庭回線ISPでした。

3. サーバー構成

OS: AlmaLinux
用途: Webサーバー
ミドルウェア:
- Nginx
- Node.js（Next.js）
SMTP / メールサーバー: 未導入
cron: 不審な設定なし

いわゆるよくある個人開発のWebサーバー構成です。

4. まず疑ったこと

真っ先に疑ったのは以下です。

不正侵入されて踏み台にされた？
マルウェアやマイニング？
アプリが無限ループで外部通信？

5. 実際に行った調査

Webアクセスログ

grep "問題のIP" /var/log/nginx/access.log*

→ 該当なし

SSH / 管理ログ

grep "問題のIP" /var/log/secure

→ 該当なし

cron

crontab -l
ls -l /etc/cron.*

→ 不審な設定なし

アプリログ（Node.js / Next.js）

journalctl --since "該当時刻" | grep -Ei "fetch|axios|http|https"

→ 外部通信の痕跡なし

ログ横断検索

grep -R "問題のIP" /var/log

→ 完全にヒットなし

6. なぜ「送ったかどうか分からない」のか

ここで重要な事実に気づきました。

Linuxのデフォルト挙動

受信（INPUT） → ログに残る
送信（OUTPUT） → ログに残らない

つまり：

事前にログ設定をしていない外向き通信は、事後調査が不可能

これはバグでも不具合でもなく、仕様です。

7. VPS業者が検知した正体

VPS業者は以下を見ています。

ホストOS側の通信フロー監視（NetFlow / IDS）
一定時間内の通信量・頻度・宛先

つまり：

中身は見ていない
「大量」「特定IP」「短時間」などの挙動ベース検知

Webサーバーから海外家庭回線IPへの通信が発生すると、
内容に関係なく「攻撃的」と判定されるケースがあります。

8. 再発防止としてやったこと

外向き通信の可視化

iptables -I OUTPUT -d xxx.xxx.xxx.xxx -j LOG \
  --log-prefix "OUTBOUND_CHECK: "

リアルタイム監視（検証用）

tcpdump -i any host xxx.xxx.xxx.xxx

方針

外向き通信は必要最小限のみ許可
不要なIPv6は無効化
事後調査できない状態を作らない

9. 学び・教訓

学んだこと

「ログが無い」＝「何も起きていない」とは限らない
Linuxでは外向き通信は意識して設計しないと見えない
VPS業者の視点とOS管理者の視点は違う

同じ構成の人へ

Webサーバーでも外向き通信は必ず制御・可視化しよう

おわりに

個人開発でも、
「外向き通信を設計する」ことが本番運用では必須だと痛感しました。

同じように突然サーバーを止められる人が一人でも減れば幸いです。