攻撃者目線の偵察(OSINT)と自組織の露出確認。合法な範囲で攻撃面を把握する

攻撃は、いきなりエクスプロイトのコードが飛んでくるところから始まるわけではありません。多くの標的型攻撃は、その手前で攻撃者が標的を観察し、どんなドメインや公開サーバを持ち、どんな技術を使い、どの担当者がいるのかを地道に調べる「偵察」から始まります。この段階の大部分は、公開情報を集めて分析するOSINT(Open Source Intelligence)で成り立っており、標的のネットワークに触れずに進むため、防御側のログには痕跡が残りにくいという厄介な性質があります。

裏を返すと、攻撃者が偵察で見つけられる情報は、自組織が自分で先に確認できる情報でもあります。忘れられたサブドメイン、退役したはずのサーバ、設定ミスで公開されたファイル、退職者のアカウントが残るSaaS。こうした「自分でも把握しきれていない露出」こそが、攻撃者にとっての入口になります。攻撃者目線で自組織を眺め、攻撃面(アタックサーフェス)を先に潰すことが、偵察を理解する実務上の目的です。

この記事では、偵察とOSINTの原理を能動・受動の区別から噛み砕き、攻撃者がどの順序で何を見るのか、それを自組織の露出確認にどう転用するのか、そして必ず守るべき法的・倫理的な前提までを実務目線で整理します。攻撃手法に触れますが、目的はあくまで防御であり、検証は自分が管理する資産か許可された対象に限る前提で読み進めてください。

早見表: 偵察に関する基本用語#

議論を始める前に用語を整理します。「OSINT」「偵察」「アタックサーフェス」は重なりつつも指す範囲が違い、混同すると対策の話がかみ合いません。

ここで最も誤解されやすいのが、OSINT=攻撃という見方です。OSINTは公開情報を扱う中立な技法であり、防御側が自組織の露出を点検するときも、ジャーナリストが事実確認するときも同じ手法を使います。重要なのは手法そのものより、「誰の何を、どの手段で調べるか」です。自組織の公開DNSを引くのと、他社のサーバへポートスキャンをかけるのは、技術的には地続きでも、法的・倫理的にはまったく別物だという点を最初に押さえてください。

受動偵察と能動偵察はどこで線が引かれるか#

偵察を理解する最初の分岐点は、標的のシステムに「触れるかどうか」です。

受動偵察は、標的のインフラに直接パケットを送らずに情報を集めます。たとえばDNSの公開レコードを引く、TLS証明書の発行記録を調べる、検索エンジンのインデックスを使う、求人情報から使用技術を推測する、といった行為です。これらは第三者が運用する公開データベースや、標的が自ら公開している情報を見ているだけなので、標的のログには現れません。攻撃者にとっては「気づかれずに下調べできる」点が魅力であり、防御側にとっては「攻撃者が触れる前に同じ情報を確認できる」点が価値になります。

能動偵察は、標的のシステムに直接接触します。ポートスキャンで開いているサービスを調べる、Webサーバに実際にリクエストを送ってバナーやヘッダを確認する、といった行為です。標的側のログやIDS/IPSに痕跡が残るため検知されうる一方、受動偵察では分からない「今この瞬間に何が動いているか」が分かります。

攻撃者は何を、どの順で見るのか#

偵察は闇雲な情報収集ではなく、攻撃面を広げていく一定の流れがあります。MITRE ATT&CKでは、この段階を「Reconnaissance(偵察)」という戦術(TA0043)として体系化しており、執筆時点では12の技術に整理されています。代表的なものを挙げると、組織や担当者の情報を集めるGather Victim Identity Information(T1589)、標的が公開するWebサイトを調べるSearch Victim-Owned Websites(T1594)、DNSや証明書ログなど公開技術データベースを調べるSearch Open Technical Databases(T1596)、検索エンジンやSNSを調べるSearch Open Websites/Domains(T1593)、そして標的に直接接触するActive Scanning(T1595)などです。これらは「攻撃者がどんな観点で標的を見るか」のチェック盤として、防御側の露出点検にもそのまま使えます。

偵察戦術がTA0043として整理され、Active ScanningやSearch Open Technical Databases等の技術を含むことは、MITRE ATT&CKの公式ページで確認できます。技術の構成は版により更新されるため、参照時は最新版を確認してください。

実務で攻撃者の動きを追体験すると、おおむね次のような順序になります。

1. ドメインとサブドメインの洗い出し#

最初に行われるのが、組織が持つドメインとサブドメインの列挙です。攻撃者は、ひとつの組織が運用するホスト名を可能な限り集めようとします。なぜなら、メインのコーポレートサイトは入念に守られていても、キャンペーン用の一時サイトや、開発・検証環境、退役したはずのサービスが、設定が甘いまま公開され続けていることが珍しくないからです。

このとき強力に使われるのがTLS証明書の透明性ログ(Certificate Transparency)です。CT(当初RFC 6962で規定され、現在はその後継のRFC 9162がCT 2.0として置き換えている)は、認証局が発行した証明書を改ざん困難な公開ログに記録する仕組みで、誰でも検索できます。証明書のSAN(Subject Alternative Name)欄にはホスト名が並ぶため、dev.example.co.jpやstaging.example.co.jpのような、外部に積極的に宣伝していないサブドメインまで露見します。crt.shのようなCTログ検索サービス(Sectigoが運用)を使えば、標的に一切触れずにサブドメインの一覧が得られます。

2. 公開サービスと技術スタックの把握#

ホスト名が集まると、次はそれぞれが何を動かしているかの把握です。攻撃者はWebサイトのレスポンスヘッダ、エラーページ、JavaScriptの読み込み元、クッキーの名前などから、使われているフレームワークやミドルウェア、CMSを推測します。OWASPのWeb Security Testing Guide(WSTG)でも、テスト工程の入口に「Information Gathering(情報収集)」のカテゴリが置かれ、サーバのフィンガープリンティングやアプリケーションフレームワークの特定、エントリポイントの洗い出しといった項目が体系化されています。

技術スタックが分かると、攻撃者は既知の脆弱性へ直結させられます。たとえば古いバージョンのミドルウェアが判明すれば、それに対応するCVEを調べ、JVNなどで詳細を確認し、攻撃の当たりをつけます。防御側から見れば、これは「公開している技術情報から、自組織がどんな既知脆弱性に晒されているか」を逆算する作業に転用できます。

3. 人と組織の情報収集#

技術だけでなく、人も偵察の対象です。攻撃者はSNSや求人情報、登壇資料、コードリポジトリの公開設定などから、従業員の氏名やメールアドレスの命名規則、利用しているSaaSやツールを推測します。これはフィッシングや、認証情報リスト攻撃の足がかりになります。求人票に「特定の製品の運用経験者募集」と書けば、攻撃者にはその製品を使っていると伝わる、という具合です。

ここで見落とされやすいのが、過去の情報漏えいで流出した認証情報との突き合わせです。攻撃者は漏えいデータベースを参照し、自社ドメインのメールアドレスと、そこで使われていたパスワードを照合します。多要素認証が未導入で、かつ使い回しがあると、偵察だけで侵入の糸口が揃ってしまいます。

自組織の露出確認(攻撃面の把握)への転用#

ここまでの偵察の流れは、すべて防御側の「露出確認」に裏返せます。攻撃面の把握(ASMの考え方)とは、攻撃者が見つける前に同じ情報を自分で集め、想定外の露出を見つけて閉じる継続的な営みです。一度きりの棚卸しで終わらせず、クラウドの一時的な公開や新サービスの追加に追従して回し続けるのが要点です。

誤解しやすいのは、攻撃面の把握をツール導入の話だと捉えてしまうことです。専用のASMツールやスキャナは効率を上げますが、本質は「攻撃者が外から見たときに何が見えるか」という視点を持ち、台帳と現実の差分を継続的に潰すことにあります。視点と運用が伴わなければ、ツールの出力は消化されないまま積み上がります。

法的・倫理的な前提を外さない#

偵察やOSINTの技法は、対象と手段を誤ると違法行為になります。日本では「不正アクセス行為の禁止等に関する法律」(不正アクセス禁止法)が、他人の識別符号を悪用したアクセスや、アクセス制御を回避するアクセスを禁じています。違反には、不正アクセス行為そのもので3年以下の拘禁刑(2025年6月施行の改正刑法で懲役・禁錮を一本化した刑)または100万円以下の罰金といった罰則が定められています。

受動偵察、すなわち公開情報を見るだけの行為は、一般に標的のシステムへの「アクセス」には当たりません。一方、能動偵察のうちポートスキャンは、それ自体が直ちに不正アクセス禁止法違反になるわけではないとされますが、攻撃の予兆とみなされやすく、相手とのトラブルや、サービス妨害と評価されるリスクがあります。許可なく他者のシステムへ接触する能動的な調査は、避けるべきです。境界が微妙な行為こそ、対象が自社管理下か、書面の許可があるかを基準に判断してください。

不正アクセス禁止法が禁じる行為の類型と罰則の概要は、総務省の国民向け解説ページで確認できます。実際の適用は事案により異なるため、判断に迷う場合は専門家に相談してください。

よくある質問#

まとめ#

偵察は攻撃の最初の段階であり、その大部分は公開情報を扱うOSINTで成り立ちます。攻撃者が見つける露出は、自組織が先に確認できる露出でもあります。受動偵察で資産を洗い出し、台帳との差分から想定外の攻撃面を見つけ、自社資産に限定して状態を確認して閉じる。この流れを継続的に回すことが、偵察を理解する実務上の到達点です。そして何より、対象と手段が法的・倫理的に許される範囲かを、実施前に必ず確認してください。

関連記事として、許可された範囲での検証を実務に落とす進め方は