Active DNSとは ― パッシブDNSとの違い
Active DNSとは？
Censys Active DNSは、ドメイン名とインターネット上のインフラ（IPアドレス等）がどう結びついているかを、能動的かつ高頻度に追跡するエンジンです。 過去の通信記録といった受動的なデータに頼るのではなく、Censysから直接DNSサーバーへ問い合わせを行い、現在の正確な接続先を特定します。 このスキャンを毎日実行しているため、インターネット全体のドメインとインフラの関係性を常に最新の状態で維持・提供することが可能です。
パッシブDNSとの違い
従来のパッシブDNSは、ISPを流れるトラフィックの監視や、他のユーザーがたまたま行ったDNS問い合わせの観測に頼るため、調査できる範囲や精度に限界がありました。一方、Active DNSはCensys自身が能動的にDNSサーバーへ問い合わせを行うため、他者の動向やデータのサンプリングに左右されることなく、正確なデータを直接取得できる点が大きく異なります。
| 比較項目 | Active DNS (Censys) | パッシブDNS (一般的な手法) |
|---|---|---|
| データの取得方式 | 自らDNSサーバーに問い合わせ、確実な回答を直接取得する | ISPを流れるトラフィックを横から観測し、見えた情報を収集する |
| 調査のコントロール | 他人のアクセスに依存しない。Censysが定期的（約24時間ごと）に全自動でクエリを投げ続けて情報の鮮度は一定 | 他人のアクセスに依存する。「たまたま誰かがそのドメインを問い合わせた」というトラフィックが発生しない限り記録されないため、情報の鮮度にばらつきあり |
| データの品質 | 権威DNSから直接取得するため、抜け漏れのない正確なデータが約24時間ごとの最新状態で得られる | 観測できたトラフィックのみが記録されるため、見逃しや抜け漏れが発生しうる |
主要機能とUIでの操作イメージ
各種DNSレコードの網羅的な確認
Platformの検索バーにドメイン名を直接入力することで即座に調査が可能です。
Active DNS詳細ページへの行き方
Recordsタブでは、特定のドメインに関する、現在および過去のA、AAAA、CNAME、MX、NS、SOA、TXTレコードを直接確認できます。それぞれのレコードには、Censysによって「最後に確認された日時（Last Seen）」のタイムスタンプが記録されます
Active DNS ドメインのRecordsタブ画面
インフラ変更のタイムライン分析
Timelineタブでは、ドメインと接続先の変更履歴を、タイムライン上で視覚的に追跡できます。これにより、「いつ別のサーバーに切り替わったのか」「その状態がどのくらいの期間続いたのか」「当時そこで何が稼働していたのか」といったインフラの変遷を、詳細かつ容易に把握することが可能です。
Active DNS ドメインのTimelineタブ画面
ピボット調査
Active DNSで確認したIPアドレスやドメインを起点に、Censys Platformがデータを保有するホスト、サービス、証明書、脅威情報などへシームレスにピボットし、調査を効率的に深掘りすることができます。
Active DNS ピボットメニュー
活用例
インシデントレスポンス：攻撃者インフラの全体像を把握する
疑わしいドメインからIPへピボットし、さらにそこから解決された他のすべてのドメインを洗い出すことで、攻撃者が過去から現在にかけて利用しているインフラのタイムラインを再構築します。
価値 : IPから関連インフラを芋づる式に調査し、洗い出されたリストでブロックリストの生成・防御への連携を迅速に行うことができます。
SOC/CSIRT：アラートのトリアージと優先順位付け
アラートが発生した際、そのIPやドメインが既知の脅威アクターの命名規則（例: c2-[random].evil.com）に一致するかどうかをActive DNSの履歴から確認します。
価値 : 単なる1つのアラートを「既知の脅威クラスターの一部であるか」の判断材料に変換し、本格的なインシデント対応へエスカレーションすべきかどうかのトリアージを迅速に行えます。
APIでの利用
DNS調査のすべてをカバーする、以下の4つの主要なAPIエンドポイントが提供されています。
1. 名前の最新DNS解決レコードの取得
2. IPに解決された最新のDNS名の取得
3. 名前の歴史的DNS解決範囲（履歴）の取得
4. 指定期間内にIPに解決された過去のDNS名の取得
まとめ
Censys Active DNSは、従来のパッシブDNSのように他者の通信を待つことなく、能動的かつ定期的にドメインの接続先を確認する機能です。正確で網羅的なデータ、過去の変更履歴、そしてドメインとIPアドレス間を自由に深掘り（ピボット）できる機能を組み合わせることで、攻撃者のインフラ全体を迅速に可視化します。これにより、被害発生前の積極的な脅威ハンティングや、迅速なインシデント対応を強力に支援します。
