2026.01.13第28回WHOISからCTログまで
～攻撃者が最初に行う“ドメイン調査”の実態～
他社のシステムに侵入する『ペネトレーションテスト』を業務とする筆者が、攻撃者の目線でセキュリティ対策について考えます。
株式会社トライコーダ 代表取締役
上野 宣 氏 氏
奈良先端科学技術大学院大学で情報セキュリティを専攻。2006年に株式会社トライコーダを設立。ハッキング技術を駆使して企業などに侵入を行うペネトレーションテストや各種サイバーセキュリティ実践トレーニングなどを提供。
攻撃者が最初に行う“ドメイン調査”とは
「どこから侵入できるのか？」攻撃者はターゲット企業に対してさまざまな調査を行います。その中でも真っ先に行われるのが、ドメイン名を手掛かりにした調査です。企業名がわかれば、ドメイン名（例：example.co.jp）はすぐに特定できます。攻撃者はここから、合法的に公開された断片情報を拾い集め、組み合わせ、入口になり得る弱点を推測していきます。
防御側としては、攻撃者がどのような下調べを行い、それを攻撃の糸口にするのかを知っておく必要があります。
攻撃者の最初の一歩は公開情報の収集
攻撃者が最初に参照するのはWHOISやRDAPという、ドメイン情報の公開データベースです。ここからドメイン名の登録者情報や管理者の連絡先、DNSサーバー名などがわかり、委託先や管理の分担、ホスト名などの命名規則のヒントが得られます。また、担当部署名や個人メールアドレスなどは、ソーシャルエンジニアリングの足掛かりにもなります。
次に調べられるのはDNS情報（主にA / AAAA / CNAME / NS / MX / TXTレコード）です。ここからWebサーバーやメール基盤、利用しているクラウドサービスなどを把握します。TXTレコードからはメールの送信ドメイン認証（SPF / DKIM / DMARC）の設定状況を確認することで、フィッシングメールのなりすまし耐性の推測を行います。
DNSからIPアドレスが判明すれば、ポートスキャンにより開放サービスが調べられます。バナー情報から使用しているアプリケーションやバージョンが特定され、古いソフトウェアが使われていれば、脆弱性が突破口となります。
さらに、SSL / TLS証明書の発行履歴を公開情報として記録する仕組みである CT（Certificate Transparency）ログを調べれば、発行履歴から対象ドメインのサブドメインの存在を知ることができる場合も。結果として、攻撃対象が一気に広がります。
過去の痕跡を拾い集める
現在は適切に管理されているシステムでも、過去の設定や公開内容はインターネット上に記録として残り続けることがあります。攻撃者はそうした痕跡を丹念に拾い集め、侵入のヒントにします。
■ DNSレコード履歴
SecurityTrailsなどのサービスで、DNSレコードがいつ、どのように設定されていたかを調べることが可能です。数年前に設定されていたサーバーのIPアドレスが履歴に残っていれば、まだそのサーバーが稼働しているのではないかと推測することができます。
■ Webアーカイブ
Wayback Machineなどのアーカイブサービスでは、昔のWebページがほぼそのまま閲覧できます。ここから管理画面へのリンクや旧システムのURL、テスト用ページの存在などを知ることも可能です。
過去の痕跡は些細なものに思えるかもしれません。しかし、古い環境やその情報だけでも、攻撃者にとってはヒントとして映ることがあります。
メールアドレスと人の弱点
メールアドレスは攻撃者にとって、フィッシングメールの送信先やユーザー名リストを作るための材料になります。問い合わせ窓口や採用ページに記載されたメールアドレス、広報用資料などのPDFに載った連絡先、SNSや名刺管理アプリに登録されたものまで、情報源は数多く存在します。
インターネット上に公開されたメールアドレスは、“@example.co.jp”のように検索エンジンでドメイン名を検索すれば発見することができます。メールアドレスの収集に特化したOSINTツールなどもあり、公開されているメールアドレスを自動的に抽出することも可能です。ダークウェブなどには、過去に使われたメールアドレスとパスワードの組み合わせリストが販売されていることもあり、従業員が利用しているサービスの認証突破に利用される可能性もあります。
ASM※で“先に見る”
ここまで紹介した公開情報は手作業でも集めることができますが、変化が速いサイバー空間を継続して把握するのは困難です。そこで、外部から見える自社資産（ドメイン / IP / ポート / 証明書 / サブドメイン / Webなど）を自動的に発見・記録・リスク評価し、履歴まで一元管理するのが ASM（Attack Surface Management）という手法です。ASMでは、以下のような対策を実施できます。
■ 組織名・既知ドメイン名からの網羅的発見
■ ポート / ソフトウェア / バージョンの自動収集と変化検知
■ 誤検知除外・対応ステータス管理なども含めた運用
自組織において、どのような情報がインターネット上に露出しているのかを、攻撃者よりも先回りしてチェックしておきましょう。
※ASMについては、本誌Vol.100の「【第23回】ASMとは？攻撃者視点で見直すIT資産の見える化とリスク管理」を参照してください。
露出情報の点検リスト
■ WHOIS / RDAP
公開連絡先を最小化（個人名・個人アドレスの露出削減）
■ DNS
不要なA / MX / TXTなどを削除、SPF / DMARCを強化
■ IPアドレス・ポート
公開ポートを最小化、管理系はアクセス制限
■ サービス
バナーやバージョン情報の露出を抑止、脆弱性トリアージを定着
■ 証明書 / CT
不審な証明書発行を監視、更新管理を徹底
■ ドメイン・サブドメイン
用途・責任者・廃止期限を明確化、クラウド公開範囲を定期点検
■ ASM
「発見→評価→対応→再監視」のサイクルを回す
露出情報の中でもドメインなどは公開情報のため、隠しきれるものではありません。だからこそ、見られて困る情報を減らし、見られても破られにくい構えを継続運用に落とし込むことが重要です。攻撃者が最初に見る景色を、守る側が先に把握しておく。これこそが最小の労力で事故を未然に防ぐ近道となります。
（「SKYSEA Client View NEWS Vol.105」 2025年11月掲載）