Active DNSとは ― パッシブDNSとの違い
Active DNSとは？
CensysのActive DNSは、ドメイン名とIPアドレスの対応関係（DNSレコード）を能動的かつ高頻度に収集する機能です。 過去の通信記録といった受動的なデータに頼るのではなく、Censysから直接DNSサーバーへ問い合わせを行い、現在の正確な接続先を特定します。 このスキャンを高頻度で実行しているため、インターネット全体のドメインとインフラの関係性を常に最新の状態で維持・提供することが可能です。
パッシブDNSとの違い
従来のパッシブDNSは、ISPを流れるトラフィックの監視や、他のユーザーがたまたま行ったDNS問い合わせの観測に頼るため、調査できる範囲や精度に限界がありました。一方、Active DNSはCensys自身が能動的にDNSサーバーへ問い合わせを行うため、他者の動向やデータのサンプリングに左右されることなく、正確なデータを直接取得できる点が大きく異なります。
| 比較項目 | Active DNS (Censys) | パッシブDNS (一般的な手法) |
|---|---|---|
| データの取得方式 | 自らDNSサーバーに問い合わせ、確実な回答を直接取得する | ISPを流れるトラフィックを横から観測し、見えた情報を収集する |
| 調査のコントロール | 他人のアクセスに依存しない。Censysが定期的（約24時間ごと）に全自動でクエリを投げ続けて情報の鮮度は一定 | 他人のアクセスに依存する。「たまたま誰かがそのドメインを問い合わせた」というトラフィックが発生しない限り記録されないため、情報の鮮度にばらつきあり |
| データの品質 | 権威DNSから直接取得するため、抜け漏れのない正確なデータが約24時間ごとの最新状態で得られる | 観測できたトラフィックのみが記録されるため、見逃しや抜け漏れが発生しうる |
主要機能とUIでの操作イメージ
各種DNSレコードの網羅的な確認
Platformの検索バーにドメイン名を直接入力することで即座に調査が可能です。
Active DNS詳細ページへの行き方
またホスト詳細ページでも、DNSタブを使用して、IPアドレスを指すAレコードまたはAAAAレコードを持つすべてのドメインを確認できます。
ホスト詳細ページのDNSタブ
ドメインのRecordsタブでは、特定のドメインに関する、現在および過去のA、AAAA、CNAME、MX、NS、SOA、TXTレコードを直接確認できます。それぞれのレコードには、Censysによって「最後に確認された日時（Last Seen）」のタイムスタンプが記録されます
Active DNS ドメインのRecordsタブ画面
インフラ変更のタイムライン分析
Timelineタブでは、ドメインと接続先の変更履歴を、タイムライン上で視覚的に追跡できます。これにより、「いつ別のサーバーに切り替わったのか」「その状態がどのくらいの期間続いたのか」「当時そこで何が稼働していたのか」といったインフラの変遷を、詳細かつ容易に把握することが可能です。ただしプランにより遡れる期間が異なり、Search NEO以上のプランでは、1ヶ月以上遡って追跡することができます（プランごとの遡及可能な期間については、プラン一覧をご確認下さい）。
Active DNS ドメインのTimelineタブ画面
ピボット調査
Active DNSで確認したIPアドレスやドメインを起点に、Censys Platformがデータを保有するホスト、サービス、証明書、脅威情報などへシームレスにピボットし、調査を効率的に深掘りすることができます。
- 活用例1：脅威ハンティング（C2サーバー群の特定）
- 悪意あるドメインから解決先IP、さらにそこに使われている「SSL/TLS証明書」へピボットします。攻撃者が使い回している同一の証明書をキーにして、ドメイン名が異なる「裏の攻撃サーバー群」を芋づる式に一挙にあぶり出すことができます。
- 活用例2：ブランド保護（なりすましサイトの閉鎖）
- 類似ドメインから実際の「Webプロパティ」にピボットし、模倣されたHTMLタイトルや証明書などの稼働状況を確認します。フィッシング詐欺が実在する強力な技術的証拠を即座に揃えることで、迅速なサイト閉鎖（テイクダウン）要求を可能にします。
Active DNS ピボットメニュー
Live Resolution
Censysに未登録のドメインが検索された際、その場でリアルタイムに名前解決を実行して生存確認を行う機能です。解決に成功すると詳細ページが自動生成されて履歴蓄積が始まり、失敗した場合は「現在は稼働していない（解決できない）」ことが即座に判別できます。この機能は、設定ボタンなどを押す必要はなく、日常の検索フローの中に完全にシームレスに組み込まれています。
活用例
インシデントレスポンス：攻撃者インフラの全体像を把握する
疑わしいドメインからIPへピボットし、さらにそこから解決された他のすべてのドメインを洗い出すことで、攻撃者が過去から現在にかけて利用しているインフラのタイムラインを再構築します。
価値 : IPから関連インフラを芋づる式に調査し、洗い出されたリストでブロックリストの生成・防御への連携を迅速に行うことができます。
SOC/CSIRT：アラートのトリアージと優先順位付け
アラートが発生した際、そのIPやドメインが既知の脅威アクターの命名規則（例: c2-[random].evil.com）に一致するかどうかをActive DNSの履歴から確認します。
価値 : 単なる1つのアラートを「既知の脅威クラスターの一部であるか」の判断材料に変換し、本格的なインシデント対応へエスカレーションすべきかどうかのトリアージを迅速に行えます。
実例 : 米国郵便局（USPS）をかたる偽サイト攻撃の裏側を暴く
Censysの調査チームは、アメリカの郵便局（USPS）をかたる大規模なフィッシング詐欺（偽サイト）の調査において、Active DNSを使って詐欺グループのネットワークを丸裸にすることに成功しました。実は、詐欺サイトは数日から数週間で次々と使い捨てられるため、一般的な調査方法では「今動いているサイト」しか見えず、すでに消えてしまった過去のサイトとの繋がりを見落としてしまいます。しかし、Censysは以下のステップで詐欺グループの裏側のネットワークを暴き出しました。
- 「アドレスの履歴」をさかのぼる 見つかった1つの怪しいアドレス（ドメイン）から調査をスタート。Censysの過去データを使って、そのアドレスが過去にどのサーバー（IPアドレス）に繋がっていたかという「履歴」をタイムラインで突き止めました。
- サーバーの「独自のクセ（指紋）」を特定する 特定したサーバーを詳しく調べ、暗号化通信に使われている証明書や、サーバーの設定から得られる「詐欺グループ特有のクセ（指紋のような特徴）」を割り出しました。
- 同じ「クセ」を持つ仲間を一網打尽にする この「クセ」をキーにして逆引き検索を行うことで、すでに閉鎖された古いサイトから、これから攻撃に使われる予定だった最新の偽サイトまで、数百個もの関連ドメインと裏側のネットワークを一瞬で特定しました。
この事例のポイント： これまでの調査では、個々の偽サイトが「点」としてしか見えませんでしたが、CensysのActive DNSで歴史的な繋がり（履歴）をたどることで、詐欺グループ全体のネットワークを「線」として浮き彫りにできました。これにより、偽サイトを一括してブロックし、素早く閉鎖（テイクダウン）に追い込むことが可能になります。
APIでの利用
Censys Active DNSは、Web UIでの手動調査にとどまらず、APIを介して社内のセキュリティシステム（SOARやSIEMなど）へシームレスに統合できます。これにより、脅威インテリジェンスの自動収集やアラートのトリアージを大幅に高速化することが可能です。
DNS調査のすべてをカバーする、以下の4つの主要なAPIエンドポイントが提供されています
1. 名前の最新DNS解決レコードの取得
2. IPに解決された最新のDNS名の取得
3. 特定の名前に対する過去のDNS解決履歴を取得
4. 指定した時間枠内で、指定したIPアドレスに解決されたドメイン名を取得
APIの使い方
Censys Active DNSは、Censys Search以上のプランであればUI上からの直接検索やピボット操作をクレジット消費なしで無制限にご利用いただけます。一方、APIを介してシステム自動連携（SOC等）を行う場合は、他のAPIと同様にクレジットを消費します。
まとめ
Censys Active DNSは、従来のパッシブDNSのように他者の通信を待つことなく、能動的かつ定期的にドメインの接続先を確認する機能です。正確で網羅的なデータ、過去の変更履歴、そしてドメインとIPアドレス間を自由に深掘り（ピボット）できる機能を組み合わせることで、攻撃者のインフラ全体を迅速に可視化します。これにより、被害発生前の積極的な脅威ハンティングや、迅速なインシデント対応を強力に支援します。
