【ドメインOSINT編】WHOIS・パッシブDNS・証明書から組織を読む｜CTF思考フレームワーク #70

こんにちは、アンペンです！

今回はドメインOSINT編。組織のIT資産は、WHOIS・パッシブDNS・証明書ログ・Shodanを組み合わせると、『運用者が意識的に公開していない範囲まで』丸見えになります。攻撃者は実攻撃の前にここでターゲット組織の地図を作り、防御者は『自社が外からどう見えているか』を点検します。

すべて合法な公開情報の組み合わせで、ツールは無料のものが多数。組織が買収した古いブランドのドメイン・社内検証用に作ったまま放置したサブドメイン・誤ってCT logに出てしまった本番前ステージング環境──こうした『見えてはいけないもの』が、4本柱を組み合わせると次々に浮かび上がります。

ドメイン名って、ただのWebサイトの住所だと思いがちですよね。でも実は、その“裏側”には組織のIT資産がぶら下がっていて、しかもその多くが——本人も気づかないうちに——外から覗ける状態になっています。誰がいつ取ったか、どんなサブドメインがあるか、どのクラウドを使っているか。今回はその“見えてしまっている地図”を読み解く話です。攻撃者は実攻撃の前にこの地図を作り、守る側は『自社がどう見えているか』を点検する。同じ地図を、攻守どちらの目でも読めるようになりましょう。

ドメインの『裏側』って、何がわかるの？

所有者・取得日・全サブドメイン一覧・関連IP・使用クラウド・社内システムの命名規則・買収企業の痕跡…。組織のIT全体像がほぼ浮かぶ。CT logが現代の最大の情報源だよ。

WHOIS:登録情報の基本

• 取得日・更新日：新規ドメインは詐欺サイト候補(銀行騙る詐欺フィッシングは『最近取得+本物っぽい名前』が典型)
• レジストラ：GoDaddy/お名前.com/Cloudflare等、組織の選好が見える。コスト管理が雑な組織はバラバラのレジストラに分散
• 連絡先：近年はWHOIS Privacy(代理人)で隠れることが多いが、古いドメインは個人情報が残っていることも
• ネームサーバ：Cloudflare/AWS Route53/Akamai等のDNS基盤→組織のクラウド選好
• 有効期限：期限切れ近いドメインは取り損ねて買収されるリスクあり、ブランド毀損や攻撃者による悪用

WHOISは、いわば建物の“表札”です。いつ建てられて（取得日）、どこの不動産屋が仲介して（レジストラ）、管理人は誰か（連絡先）。最近はプライバシー保護で連絡先が伏せられることが増えましたが、それでも取得日やネームサーバから、組織の素性や“クラウドの好み”は十分に読み取れます。とくに『最近取得されたばかりで、有名企業そっくりの名前』は、フィッシング詐欺の典型サイン。WHOISは“怪しさの第一印象”を測る道具でもあるんです。

図解:ドメイン偵察の4本柱

4本柱を組み合わせることで、組織の『見えるべき範囲』『見えてはいけない範囲』が浮かび上がります。1本だけでは断片的でも、4本重ねるとIT資産マップが完成します。

ここで覚えておきたいのは、『1本の柱だけでは断片しか見えない』ということ。WHOISは表札、CT logは書類控え、Shodanは外観——どれか1つでは“ある一面”しか映しません。でも4本を重ねると、断片が補い合って、組織のIT全体像という1枚の地図に組み上がる。OSINT全般に共通する『複数ソースの交差』が、ドメイン調査でもそのまま効いてくるわけです。

パッシブDNS・CT log・Shodan の組み合わせ

• パッシブDNS：SecurityTrails / RiskIQ(現Microsoft Defender Threat Intelligence) / DNSDB。過去の名前解決履歴を蓄積したサービスで、今は消えたサブドメインも見える
• CT log：crt.sh(無料・全件) / Censys Certificate Search(プロ向け)。発行された全証明書
• Shodan：世界中の公開ホストのバナー(banner)・ポート・指紋を収集。hostname:example.comで特定組織に絞れる
• Censys：Shodan類似、より精密でTLS証明書情報まで詳細に取得可能
• Subfinder/Amass：OSSのサブドメイン総合列挙。複数のソース(CT log/Shodan/各種API)を自動統合するのでこれ1つで広範囲カバー
• BuiltWith：使用技術スタック(CMS・分析ツール・広告ネット)が見える

数ある手掛かりの中でも、現代の最強は断トツでCT log（証明書の公開ログ）です。これは本来、『不正な証明書を世界中で監視して、Webを安全に保つ』ための善意の仕組み。ところが副作用として、企業が内部用に発行した証明書のホスト名——「dev-api」や「staging」や「secret-admin」まで——が、すべて公開ログに刻まれてしまうんです。守ろうとした仕組みが、皮肉にも“内部の見取り図”を世界に配ってしまう。攻撃者がまず crt.sh を叩くのは、このためなんですね。

CTFでやってみよう:自社ドメインを偵察

では守る側へ。うれしいことに、ここまでの“攻めの地図”は、そのまま“守りのチェックリスト”になります。攻撃者と同じ4本柱で自社を調べれば、『見せるつもりがなかったのに見えているもの』が一覧で出てくる。あとはそれを一つずつ塞ぐだけです。次の5原則は、その塞ぎ方をまとめたものです。

守る側:『内部名をTLSに出さない+定期監査+棚卸し』

対策の根っこにあるのは、『知らないものは守れない』というシンプルな事実です。放置された古いサブドメイン、買収した会社から引き継いだドメイン、検証用に立てたまま忘れた環境——“存在を忘れた資産”こそ、攻撃者の格好の入口になります。だから定期的な棚卸し（自分の資産を全部見える化する作業）が、何より効く。派手な防御ツールより、まず『うちには何があるのか』を把握することが先決なんです。

CT logにあるからって内部サブドメイン丸見えとは…

次回はOSINT章の総まとめ。倫理・記録・ピボットを極めて完走するよ。

まとめ:『WHOIS+パッシブDNS+CT log+Shodan』の4本柱

今日の持ち帰りは『隠したつもりが、たいてい見えている』。ドメインまわりは、善意の仕組み（CT log）すら情報源になるほど“筒抜け”です。だからこそ守りの第一歩は、攻撃者と同じ目で自社を一度スキャンしてみること。そこで初めて、『あ、こんなものまで外から見えていたのか』と気づけます。見えていることを知るのが、隠す前の大前提です。

次回はOSINT総まとめ編。倫理・記録・ピボットを極めて全86本完走に向けて進みます。

次に読みたい記事

参考資料