http://*:2869/upnp/eventing/というURLの表示だけでは、外部からの侵入や不正な通信が発生したとは判定できません。
この文字列を見つけたときは、表示したコマンドや画面を確認してください。HTTPのURL予約、現在のTCP待受、通信中の接続、ルーターのポート転送は、それぞれ別の情報です。DCOMの警告が同時にあっても、両者が原因と結果の関係にあるとは限りません。
http://*:2869/upnp/eventing/の意味
| 部分・項目 | 確認できる内容 | これだけでは分からないこと |
|---|---|---|
| http:// | HTTPのURLプレフィックス | 通信相手や実際に通信した事実 |
| * | HTTPのHost名の照合に使う弱いワイルドカード | 物理ネットワークアダプターの一覧やWANからの到達性 |
| :2869 | TCPポート2869を使うURL | ファイアウォールやルーターがその通信を許可しているか |
| /upnp/eventing/ | UPnPのイベント通知を示すパス | そのPCで現在利用しているアプリや機器の特定 |
Microsoftのポート資料では、SSDPの探索はUDP 1900、イベント通知はTCP 2869として説明されています。したがって2869を見つけただけで、見知らぬ外部サービスのポートだと決めつける必要はありません。ただし番号が一般的な用途に一致することだけで、安全性が保証されるわけでもありません。
URLプレフィックスの * は、HTTPの要求に含まれるHost名を照合する際の「弱いワイルドカード」です。+ の「強いワイルドカード」とは扱いが異なります。この文字を、そのまま「すべてのNICで外部公開している」という意味に読み替えないでください。実際の待受アドレスは次の手順で別に確認します。
最初に、URL予約・待受・接続を分ける
| 見つけた場所 | 意味 | 次に確認する情報 |
|---|---|---|
| netsh http show urlacl | HTTP URL名前空間の予約とアクセス許可 | 現在のサービス状態とTCP待受 |
| Get-NetTCPConnection の Listen | その時点でのTCP待受 | LocalAddress、OwningProcess、ファイアウォール |
| Get-NetTCPConnection の Established | その時点の確立済みTCP接続 | LocalAddress、RemoteAddress、所有プロセス、時刻 |
| ルーターのUPnP・ポート転送一覧 | ルーター側の転送設定 | 内部宛先、外部ポート、利用アプリ、意図した設定か |
URL予約は、アプリがURLを使う権利を設定するものです。予約が残っていても、アプリが起動しているとは限りません。待受があっても、ファイアウォールや経路を越えて外部から到達できるとは限りません。まず元の画面・日時・出力を保存し、設定を削除する前に状態を整理します。
Windowsで2869の状態を読み取り専用で確認する
管理者として開いたPowerShellで、以下を1行ずつ実行して出力を確認します。これはサービス停止や設定変更を行わない確認用の例です。会社のPCでは管理者の手順を優先してください。
Get-Service -Name SSDPSRV,upnphost | Select-Object Name,Status,StartType
Get-NetTCPConnection -LocalPort 2869 -ErrorAction SilentlyContinue | Select-Object LocalAddress,LocalPort,RemoteAddress,RemotePort,State,OwningProcess
netsh http show urlacl
netsh http show servicestate- サービス状態：SSDP DiscoveryとUPnP Device Hostの稼働状態を記録します。サービスが動いているという事実だけで、特定の機器との通信や侵入を示すものではありません。
- TCPの結果：State、ローカルアドレス、相手のアドレス、PIDを同じ行で読みます。何も返らなければ、その確認時点では条件に合うTCP項目が見つからなかったという意味です。過去の通信まで否定できません。
- HTTPの結果：show urlaclは予約、show servicestateはHTTPサービスの現在の状態です。2869や該当URLの項目を探し、出力にある要求キュー・プロセス情報を照合します。
- PIDの確認：出力に実際に表示されたPIDをタスクマネージャーの詳細タブで確認します。PIDは再起動やプロセスの再起動で変わるため、古いメモと現在の値を混ぜません。
HTTP.sysはWindowsのカーネルでHTTP要求を扱う仕組みです。所有者がSystem／PID 4と表示される場合も、ユーザーアプリの実行ファイル名が直接表示される場合と同じ読み方はできません。PID 4を強制終了したり、HTTPサービス全体を止めたりせず、サービス状態の出力と利用機能を照合してください。
DCOMイベント10016はURLと別に調べる
イベントビューアーにDistributedCOMの10016があっても、イベントIDだけで侵入やUPnPの異常とは判定できません。イベントの日時、CLSID、APPID、ユーザー、実際のアプリの不具合を記録します。Microsoftは特定の10016について、設計上発生するため無視できると説明しています。
例えば、公式資料にはCLSID {D63B10C5-BB46-4990-A94F-E40B9D520160} とAPPID {9CA88EE3-ACB7-47C8-AFC4-AB702511C276} の組み合わせが挙げられています。該当する既知のイベントでは、警告を消すためだけにDCOMの起動権限やレジストリの所有権を変更することは勧められていません。別のGUIDの警告や、アプリが動かない症状まで一律に同じ扱いにはしません。
UPnPのURLを見つけた時刻と10016の時刻が近いだけでは、関連する証拠として不十分です。変更の必要性は、該当サービス・アプリ・再現操作・エラーの詳細を合わせて判断します。ログを消してから調べると比較できなくなるため、先に記録を残してください。
外部に公開されているかはファイアウォールとルーターで確認する
- Windowsセキュリティの「ファイアウォールとネットワーク保護」で、現在のネットワーク種類とファイアウォールの有効状態を確認します。許可アプリや詳細規則を確認するときは、プロファイル、対象ポート、相手アドレスの範囲も見ます。
- 信頼できないネットワークで、共有のために安易にプライベートへ変更しないでください。ネットワークの種類で適用される保護が異なります。会社の管理規則は管理者へ確認します。
- ルーターの管理画面で、UPnPの転送一覧、手動のポート転送、DMZ等を確認します。IPv6を利用している場合は、その通信のファイアウォール設定も別に確認します。
- 転送の内部宛先が自分のPCか、ゲーム機や別の機器かを確認し、意図したアプリの設定かを照合します。PCの2869待受とルーターの転送設定を混同しないでください。
ルーターのUPnPには、対応アプリが自動的にポート転送を要求できる利点と、不要な公開を作るリスクがあります。不要なら、利用アプリへの影響を確認して無効化を検討できます。機種ごとに操作は違うため、メーカーの説明を確認してください。Windows側のUPnPサービスを止めることと、ルーター側で自動転送を止めることは別の設定です。
TCP 2869を一つブロックしたことだけで「UPnPをすべて停止した」「外部からの通信はすべて遮断した」とは言えません。共有・メディア機器の検出などに影響する場合もあります。機能の必要性と実際の規則を確認し、サービス無効化やポート遮断を一括で実施しないでください。
見知らぬ機器がある場合の確認
機器名だけでは自分の機器だと気づきにくい場合があります。ルーターの接続機器一覧を、自分のPC・スマートフォン・テレビ・ゲーム機などのIPアドレスやネットワーク情報と照合してください。「見覚えがない名前」だけで第三者の侵入と断定しません。
WindowsのGet-NetNeighborやarpの出力は近隣キャッシュです。ネットワーク上の全機器を常に列挙する台帳ではなく、表示されない機器が存在しないとは言えません。ルーター側の一覧や各機器の設定も合わせて確認します。ゲストSSIDを利用する場合も、名前だけで隔離されると判断せず、メーカーの接続先制限を確認してください。
対処を決めるために保存する情報
| 状態 | 次の対応 |
|---|---|
| URL予約だけで、実際の不具合も不審な接続も確認できない | 記録を残し、通常の更新と保護状態を確認。予約削除や全機器の初期化を急がない |
| 利用していない機能の転送や許可規則がある | 設定の由来と影響を確認し、管理者・メーカーの手順で必要なものだけ見直す |
| アプリの通信不良と特定ログが再現する | 再現操作・日時・サービス状態・ログ詳細を保存してアプリ側を調べる |
| セキュリティ製品の検出や不明なログインなど別の証拠がある | 検出内容を保存し、管理者や公式サポートの案内で調査する。URL表示だけの事象と区別する |
相談時は、Windowsのバージョン、文字列が出た画面、コマンド出力、イベントの詳細、ルーター型番、問題が起こる操作をまとめます。公開の掲示板へ貼る場合は、ユーザー名や個人のアドレスなどを確認してから共有してください。
コメント