DNS History：インターネットの透明性を高め、サイバーセキュリティ対策を強化

実践的な活用法

• DNS資産の発見

  特定のウェブアプリケーションやサービスで使用されている、関連性のあるドメイン名やサブドメイン、または隠れたドメイン名やサブドメインを洗い出すことで、資産インベントリを最新の状態に保つことができます。

• 脅威の検知

  マルウェアのホストや配布に使われているインフラやボットネットの活動を示唆する異常なDNS解決のパターンを特定します。

• 脅威アクターを監視

  脅威アクターに関連するDNS解決を監視し、悪意ある活動を暗示するパターンや異常を発見します。

• ブランド保護

  DNSレコードの変更を監視してドメイン名の乗っ取りを検知するとともに、関連ドメイン名がブランドの評判にどのような影響を与えるかを評価します。

• サードパーティリスクのスコアリング

  DNSデータを活用すれば、ドメイン名の設定変更の履歴を追跡し、関連インフラを特定することができます。また、ベンダーを含むサードパーティに関連する不審な活動を検出することも可能です。

• 不正行為の検出

  DNSのパターン、ドメイン名の所有権の変更、過去の悪意あるサーバーとの関連性などを分析することで、不正行為を特定します。

よくあるご質問

DNSレコードとは何ですか？

DNSレコードとは、ドメイン名をIPアドレス、メールサーバー、その他のサービスなどの特定のリソースに対応付けるデータレコードで、ドメインネームシステム（DNS）に保存されています。DNSサーバーは、これらのレコードを変換してインターネットトラフィックを導くとともに、ドメイン名に関連するサービスを管理します。一般的なDNSレコードの種類としては、次のものがあります：

• Aレコード：ドメイン名をIPv4アドレスに対応付けます。
• AAAAレコード：ドメイン名をIPv6アドレスに対応付けます。
• MXレコード：メール配信用のメールサーバーを指定します。
• NSレコード：ドメイン名の権威ネームサーバーの一覧を表示します。
• TXTレコード：テキストベースの情報を格納します。ドメイン名登録者の認証（SPF、DKIM、またはDMARCの設定など）やその他のメタデータとしてよく使用されます。例えば、Google Search Consoleを使用するためにウェブサイトの所有者を認証するには、ドメイン名のホストレコードのリストに特定のTXTレコードを追加する必要があります。
• CNAMEレコード：エイリアスまたはサブドメインを別のドメイン名に対応付けます。例えば、blog.example.comをwww.example.comにリダイレクトすることができます。
• SOAレコード（Start of Authority）：プライマリネームサーバー、ドメイン名管理者の連絡先メールアドレス、DNSゾーンのバージョン番号など、ドメイン名の管理情報を含みます。
• PTRレコード（ポインタ）：IPアドレスをドメイン名に解決します。DNSの逆引きで一般的に使用されます。

ドメイン名の現在のDNSレコードは、DNS Lookupツールまたは DNS Lookup APIで取得できます。

ドメイン名のDNSヒストリーとは何ですか？

ドメイン名のDNSヒストリーとは、IPアドレス、ネームサーバー、メールサーバーなどのDNSレコードの変更を含む、一連の過去のDNS設定です。ドメイン名のインフラストラクチャがどのように進化してきたかがわかり、所有者の変更、変遷、潜在的な悪用を明らかにすることができます。

大部分のWHOISデータとは異なり、DNSデータはプライバシー保護のために非公開化されることはありません。そのため、過去にさかのぼったDNSレコードはサイバーセキュリティ対策に大いに役立ちます。

ドメインネームシステムは過去のレコードを追跡するようには設計されていませんが、そうしたデータに多くの価値があることから、DNSヒストリーのデータベースを独自に作成し、維持管理するベンダーが登場しているのも自然な流れです。

DNSの過去データからどのような情報が得られますか？

ドメイン名の過去のDNSデータには通常、以下の情報が含まれます：

• 過去のAレコード：IPv4アドレスの対応付けの変更。
• 過去のAAAAレコード：IPv6アドレスの対応付けの変更。
• 過去のMXレコード：メールサーバー設定の変更。
• 過去のNSレコード：権威ネームサーバーの更新。
• 過去のTXTレコード：過去のテキストベースの情報、多くの場合、認証やセキュリティに関連する情報。
• 過去のCNAMEレコード：サブドメインのエイリアスまたはリダイレクトの変更。
• 過去のSOAレコード：プライマリネームサーバーやゾーンバージョンなど、管理上の情報の更新。
• 過去のPTRレコード：DNSの逆引きで使用される、IPアドレスとドメイン名の過去の対応付け。
• タイムスタンプ付きの変更と更新：各レコードが追加、削除、または更新された日時を示すタイムライン。

この情報から、DNSにおけるドメイン名の動向を時間の流れに沿って知ることができます。そして、何らかのパターン、インフラストラクチャの変更、悪意あるアクターとの潜在的なつながりなどを明らかにする手がかりとなります。

例えば、当社の過去のDNSデータ検索ツールでexample.comを調べると、過去のIPアドレスからドメイン名、または過去のドメイン名からIPアドレスへの対応付けに関する情報が得られます。

過去のDNSデータは何に使えますか？

過去のDNSデータは、サイバーセキュリティ対策、脅威インテリジェンス、資産管理など、幅広い分野で実践的に活用することができます。以下のような用途に利用できます：

• SIEM、SOAR、TIPプラットフォームにDNSの文脈情報を追加：より良い意思決定を行うために、DNSインテリジェンスでセキュリティシステムを強化。
• 脅威の検出と対応の迅速化：不正な活動に紐づく異常なDNSの変更やパターンを特定。
• 資産検出と脆弱性管理の強化：DNSレコードから、管理されていないドメイン名や忘れられたドメイン名、サブドメイン、関連資産を特定。
• ダングリングDNSレコードと安全でないサブドメインを特定：データの漏洩や悪用につながる可能性のある設定ミスを検出。
• 脅威インテリジェンス収集の強化：過去のDNSレコードを分析し、ドメイン名と既知の脅威アクターのインフラストラクチャとの間にある関連性を特定。
• 不審なドメイン名や悪意あるドメイン名のDNSインフラで生じる変更を監視：新たな脅威の兆候かもしれない更新を常時監視。
• SaaSサービス検出・分析：DNSレコードやサブドメインをもとに、ドメイン名にリンクされたサービスやプラットフォームを特定。

このように、過去のDNSデータは、セキュリティ対策強化やドメイン名の動向と関連リスクを深く理解する上で非常に有用なリソースとなります。

過去のDNSデータの確認方法は？

過去のDNSデータを確認するには：

• 当社のDNS Chronicle Lookupなど、過去のDNSデータ検索ツールを使用してください。
• 調べたいドメイン名を入力します。
• 過去のDNSレコードから、経時的な変更や更新を確認します。

または、WhoisXML APIの DNS Database Downloadサービスを参照するか、DNS Chronicle API を使用することもできます。これらのサービスでは、詳細なDNSレコードをタイムスタンプ付きで提供していますので、過去のDNSレコードの問い合わせを自動化する場合に便利です。

セキュリティ脅威の検出にDNSの過去データを利用するには？

過去のDNSデータは、不審な活動やパターンを特定するのに役立ちます。例えば、以下のような場合です：

• ネームサーバーやIPアドレスの急な変更は、フィッシングやマルウェアキャンペーンのためにドメイン名を再利用している可能性を示唆しています。
• AまたはAAAAレコードの急な変更は、従来型の検出を回避する「ファストフラックス」と呼ばれるテクニックで、多くの場合に悪意ある活動を示唆します。
• 既知の不正なインフラ（脅威インテリジェンスサービスが公開しているIoCに基づく）を指すDNSレコードを持つドメイン名の特定。

過去のDNSデータを分析することで、潜在的な脅威を検知し、事前に対応することができます。

脅威アクターの監視に過去のDNSデータを利用するには？

過去のDNSデータは以下の用途に使えるため、ドメイン名と脅威アクターの繋がりを特定する際に力を発揮します：

• 特定のIPアドレスやネームサーバーの反復使用など、既知の攻撃者に紐づいたDNSレコード変更のパターンを追跡。
• DNSのパターンから、さらなる脅威アクターのインフラを明らかにし、彼らの手法や活動に関する詳細を把握。
• 脅威アクターのインフラの変遷を監視し、まだ使用されていないインフラを事前に特定。

これにより、脅威アクターの進化する戦術やインフラを常時把握できます。

不正行為の検出に過去のDNSデータを利用するには？

過去のDNSデータから以下がわかるため、不正行為の検出が容易になります：

• フィッシングや詐欺行為に関連するレコードの変更、例えばIPアドレス（AレコードおよびAAAAレコード）やネームサーバーの頻繁な切り替えなど。
• 通常は存在するはずの正当なMXレコードが欠如していたり、TTL値が低い使い捨てのDNSレコードや不審なDNSレコードが使用されている状態。
• 共通のネームサーバー、IPアドレス、レジストラなど、既知の悪意あるネットワークと不正なドメイン名を関連付ける過去のデータ。

これらの情報により、不正行為の痕跡をたどって被害を軽減することができます。

資産検出に過去のDNSデータを使うには？

過去のDNSデータはドメイン名の動向を広範囲にわたって把握できるもので、以下のようなことが可能です：

• 有効期限切れや移管の後に放置されたり、他者に悪意をもって利用されたりした場合にリスクとなり得る、貴社に関連するドメイン名やサブドメイン名を特定します。
• 古いサブドメインやバックアップドメイン名など、忘れ去られていたり監視から漏れていたりするデジタル資産を明らかにします。これらの資産は公にアクセス可能な状態に置かれ、攻撃者の侵入経路となる可能性があります。
• 誤って設定されたDNSレコードなど、内部サービス、機密性の高いIPアドレス、クラウドリソースなどの機密データを公開してしまう可能性のあるDNS上の問題を特定します。

過去のDNSデータを活用することで、デジタル資産の可視性とセキュリティを向上させることができます。

ブランド保護に過去のDNSデータを活用するには？

過去のDNSデータは以下を明らかにしますので、ブランド保護に役立ちます：

• 貴社のブランドになりすましたサイバースクワッティングドメイン名で、フィッシングキャンペーンに関連する不審なIPアドレス変更やネームサーバーの反復使用などがDNSで見られるもの。このような動きは、そのドメイン名の登録者が悪意を持っていることを示している可能性があります。
• ウェブサイト改ざんの試みを示す可能性のある悪意のトラフィック。WAFを使えば、貴社のウェブサイトに対する不正なIPアドレスからのトラフィックをブロックすることができます。
• サブドメインの乗っ取りを示唆する、自社のインフラにリンクしている不審なサブドメイン。

過去のDNSデータと当社のPredictive Threat Intelligence Feedを併用することで、より高い効果が得られます。DNS過去データを使ったブランドの防御について詳しくは、当社のブログ記事をご覧ください。