Pular para o conteúdo principal

Rajada de 404 ou 444 de um mesmo IP (varredura)

ItemDetalhe
Serviço afetadonginx
Severidadeaviso
Dispara quandoUm mesmo IP com mais de 200 respostas 404 ou 444 em 10 minutos.

O que representa​

Um robô procurando arquivos expostos (.env, .git, .aws, configurações, backups). 404 e 444 são a resposta certa: nada foi servido. Só vira vazamento se algum caminho sensível voltar 200.

Como verificar no Grafana​

  • Dashboard nginx, aba Segurança: Top IPs (suspeitos, 444 e 429), Top caminhos suspeitos, Top user-agents nas varreduras e Requisições suspeitas (linha a linha).
  • Explore → Loki, o que esse IP pediu: {container="nginx"} |= "<ip>".
  • Explore → Loki, algum caminho sensível com 200 (deve voltar vazio): {container="nginx"} | pattern `<ip> - <_> [<_>] "<host>" "<method> <path>" <status> <bytes> "<_>" "<ua>" <rt>` | status="200" | path=~`(?i).*(\.env|\.git|\.aws|\.npmrc|\.ssh|credential|secret|config|compose|backup|dump|\.sql).*`

Como agir​

  1. Rode a última consulta. Vazia = sem vazamento; basta acompanhar. Sem rotina, não bloqueie nada.
  2. Com resultado = vazamento: siga a seção de incidente abaixo.
  3. Se o IP repete todo dia ou afeta a latência, bloqueie (abaixo). Se virar rotina, é o gatilho da TS N5 (bloqueio automático).

Se for ataque ou incidente real​

Algum caminho sensível voltou 200:

  1. Confirme se algum caminho sensível voltou 200 (consulta abaixo). Se nenhum voltou, não houve vazamento: encerre.
  2. Tire do ar o arquivo ou a rota que respondeu 200 (remova do container ou bloqueie o caminho no nginx) e recarregue o nginx.
  3. Trate tudo que estava no arquivo como vazado: gire as senhas, chaves de API e tokens (Vault, .env, banco, Asaas, Keycloak) e invalide as sessões.
  4. Veja o estrago: o que esse IP fez antes e depois do 200 ({container="nginx"} |= "<ip>") e se alguma credencial vazada foi usada (dashboard Vault, logins no Keycloak).
  5. Registre o incidente (o que vazou, desde quando, o que foi girado).

Casos conhecidos​

Pico real de 17/10/2026: o IP 146.70.194.254 (M247, Paris) somou 404 respostas 404 ou 444 em 10 minutos; todas 444, nada servido. O de 18/10 (104.199.86.11) pediu /.env.supabase, /.git/HEAD, /.aws/config e outros no vault; tudo barrado por regra de caminho (403) ou pelo limite (503).