ウェブサイトは出発点にすぎない
企業の外部攻撃面には、インターネットからアクセスできるウェブサイト、ポータル、その他のサービスが含まれます。ウェブサイトを移行した後も、古いキャンペーン用アドレスやテスト用ポータルが残っている場合があります。一覧を作ると、必要なサービスと、存続を判断する担当者が明確になります。
ドメインとデジタル証明書も一覧に含めます。英国のNCSCは、記録を最新に保ち、複数の情報源と照合することを推奨しています。サービスが少ない事業者であれば、定期的に更新する一覧表で十分な場合もあります。 [1]
見つかっただけでは脆弱性とはいえない
見つかったサブドメインは、まず確認すべき項目です。必要なサービス、転送先、古い参照先のいずれかかもしれません。セキュリティ評価には、対象との確かな関連付け、観測日、具体的な技術的証拠が必要です。発見したアドレスの数だけでは、必要な対応はほとんど分かりません。
観測内容と判断を分けて記録します。「公開情報にアドレスが見つかった」は証拠の説明です。「提供事業者が自社アカウントのサービスだと確認した」は帰属の記録です。「業務責任者が廃止の要否を判断する」は次の対応です。どの記述も、それだけで悪用可能な脆弱性を証明するものではありません。
対応につながる記録を作る
小規模な組織には、簡潔な管理台帳をお勧めします。把握済みのサービスから始め、確認が必要な発見事項を追加します。社内の担当者が取りまとめ、制作会社、IT支援会社、サービス提供事業者に必要な確認を行います。
各項目には、少なくとも次の内容を記録してください。答えが分からない項目には、確認担当者と期限を設定します。後に事実として扱われる推測よりも、「不明」と記録する方が役立ちます。
- システム：正確なアドレス、関連するサービス、業務上の用途。
- 責任者：利用や変更を判断する社内の担当者。
- 提供事業者：委託先、顧客アカウントの識別情報、担当窓口。パスワードは記載しません。
- 証拠：情報源、日付、実際に観測・確認した内容。
- 次の対応：継続、確認、廃止承認のいずれかと、その期限。
- 完了確認：変更を確認した人と、確認記録の保存場所。
契約を解約してもDNSは整理されない
DNSは、名前を所定の技術的な宛先に結び付ける仕組みです。事業者を変更する際は、どのレコードが旧サービスに属するか、明確に確認してください。契約の解約だけでは、この技術的な問題は解決しません。
MicrosoftはAzureの具体的なリスクを説明しています。DNSが削除済みリソースを指したままだと、一定の条件下でサブドメインの乗っ取りが可能になる場合があります。DNSの設定と参照先を一緒に確認しましょう。古い参照先が残っているだけでは、乗っ取りを確認したことにはなりません。 [3]
外部からの検査で分かること
外部セキュリティ検査は、観測できるサービスや設定上の懸念を整理し、全体像を把握するために役立ちます。既存の公開情報と、影響を抑えたDNS・TLS・HTTPへの直接リクエストは、依頼範囲でも報告でも区別すべきです。「外部から」は、必ずしも「完全に受動的」を意味しません。
ここで説明するLevel 1は、アプリケーションにログインせず、記録に基づく出発点を提供します。利用者のロールが正しく分離されているか、ログイン後のアクセスが意図どおりに動くかは、適切なテストアカウントを用意した別途合意の検査が必要です。
NCSCも、インターネットから到達できる資産の外部視点と、内部リスクの調査を区別しています。外部から何を観測できるかによって、答えられる問いが決まります。 [2]
作業を完了し、記録を見直す
次の見直しでは、担当が不明な項目を解決すること、未使用サービスの扱いを判断すること、合意した変更を追跡することの3つをお勧めします。委託先の変更、キャンペーンの開始、プロジェクトの終了時にも台帳を確認しましょう。
NCSCは資産を廃止する際に、依存関係を事前に検討し、結果を確認し、証拠を保管することを推奨しています。技術的な作業の完了を確認してから、台帳を更新してください。 [4]
関連記事
出典・参考資料
公開日:
一次資料の確認日：29.09.2026。
出典と、内容が適用される範囲・限界を記事内に示しています。