Imunify360 — インシデント対応と誤検知（False Positive）

cPanel/WHM + CloudLinux サーバー。"Imunify がブロックしている" という報告に対して正しく対応するには、 何がブロックを引き起こしたのかを理解してから 保護を無効にします。ほとんどの場合、保護をオフにするのではなく、正当なものをホワイトリストに追加し、例外を文書化することが解決策です。

セキュリティルール

アクションを起こす前にホスト名を確認する（hostname -f）。
特定のクライアントの問題を解決するために、グローバルなセキュリティモジュールを無効にしない。可能な限り限定された例外（IP、ファイル、ユーザー）で解決する。
マルウェアのクリーンアップ、復元、保護の無効化：すべて事前に確認すること。
すべての例外（ホワイトリスト、無効化したルール）は、理由と日付を記録して文書化する。

0. エージェントの状態確認

imunify360-agent version
systemctl status imunify360            # CL6 の場合: service imunify360 status
imunify360-agent doctor                # エージェントの内部診断
tail -100 /var/log/imunify360/console.log

1. インシデントを確認する（何がクライアントをブロックしたか）

詳細は UI の Incidents タブにあり、Sensor フィールドが原因を示します。 Active Response と PAM によるブロックは OSSEC と表示されます。ルールに触れる前に、 WAF（ModSecurity）、ブルートフォース（OSSEC/PAM）、グレイリスト、マルウェアのいずれかを特定します。

# クライアントの IP がどのリストに含まれているか？
imunify360-agent ip-list local list --purpose white --by-ip 1.2.3.4
imunify360-agent ip-list local list --purpose black --by-ip 1.2.3.4

2. 正当な IP がブロックされた場合 → ホワイトリストに追加

ip-list が現在のコマンドです。whitelist/blacklist は多くのバージョンでエイリアスとして引き続き使用できますが、非推奨です。

# 追加/削除（実用的な方法）:
imunify360-agent whitelist ip add 1.2.3.4 --comment "クライアントXのオフィスIP - 2026-06"
imunify360-agent whitelist ip delete 1.2.3.4
imunify360-agent blacklist ip add 9.9.9.9 --comment "悪意のあるスキャナー"

# リストの確認（現在の方法）:
imunify360-agent ip-list local list --purpose white

3. WAF / ModSecurity の誤検知

まず、トリガーとなったルールを特定します（インシデントのフィールド）。IP が正当なものであれば、ホワイトリストに追加する（セクション2）ことで通常は解決します。しきい値やルールを調整するには:

メイン設定    : /etc/sysconfig/imunify360/imunify360.config
PAM (BFM) しきい値 : /etc/pam_imunify/i360.ini

1つのケースのためにルールセット全体を無効にしないでください。IP のホワイトリスト追加か、最小限の例外を作成してください。これらのファイルに変更を加える場合は、事前に確認し、バックアップを取ってください。

4. アカウント内のマルウェア

# 1つのアカウントをスキャン（maildir を除外すると高速化し、ノイズを低減）:
imunify360-agent malware on-demand start --path=/home/USUARIO --ignore-mask=/home*/*/mail

# すべてをスキャン:
imunify360-agent malware on-demand start --path=/home*/*/ --ignore-mask=/home*/*/mail

# 悪意のあるファイルを一覧表示（デフォルトの上限は50）:
imunify360-agent malware malicious list --limit 100

クリーンアップ（事前確認必須）: 悪意のあるファイルのリストを確認し、Imunify のアクション（UI/cleanup）からクリーンアップするか、アカウントが深刻に侵害されている場合は、感染前のクリーンなバックアップから復元します。サーバー上で現在有効な cleanup の構文を確認してから、盲目的に適用しないでください。クリーンアップ後: パスワードを変更し、CMS/プラグインを更新し、再スキャンします。

5. 正当なファイルが悪意のあるものとしてマークされた場合 → 誤検知

imunify360-agent submit false-positive --reason "独自テーマ、内部コード" /home/USUARIO/public_html/archivo.php
# 逆のケース（悪意のあるファイルがクリーンと誤判定された場合）:
imunify360-agent submit false-negative /フルパス/ファイル

スキャナーがファイル/フォルダを恒久的に無視するようにするには、スキャナーのホワイトリスト（JSON、path/reason/md5/recursive を含む）を使用します。理由を文書化してください。

6. "CAPTCHA が表示される / ログインできない"

これは通常、グレイリスト（クライアントの IP が不審な動作によりグレイリストに入った）または Active Response が原因です。セクション1で確認し、IP がクライアントのものであればホワイトリストに追加します。非表示 CAPTCHA や OSSEC のタイムアウト（デフォルト 600 秒）は設定で管理します。

保護を無効にしてはいけないケース

「WAF を無効にして動作させたい」という場合 → ほとんどの場合、IP のホワイトリスト追加かファイルの例外で対応し、モジュールを無効にしない。
HardenedPHP を無効にしたり、Imunify をアンインストールすると Apache/PHP のアップデートが壊れる可能性があります。サポートの近道として決して使用しないでください。

状態を変更するアクション（クリーンアップ、復元、設定編集、モジュール無効化）は、提案し、オペレーターの明示的な OK を得てから実行します。

imunify-response