Active DNSとは ― Passive DNSとの違い
Active DNSとは？
CensysのActive DNSは、ドメイン名とIPアドレスの対応関係（DNSレコード）を能動的かつ高頻度に収集する機能です。 過去の通信記録といった受動的なデータに頼るのではなく、Censysから直接DNSサーバーへ問い合わせを行い、現在の正確な接続先を特定します。 このスキャンを高頻度で実行しているため、インターネット全体のドメインとインフラの関係性を常に最新の状態で維持・提供することが可能です。
Passive DNSとの違い
従来のPassive DNSは、ISPを流れるトラフィックの監視や、他のユーザーがたまたま行ったDNS問い合わせの観測に頼るため、調査できる範囲や精度に限界がありました。一方、Active DNSはCensys自身が能動的にDNSサーバーへ問い合わせを行うため、他者の動向やデータのサンプリングに左右されることなく、正確なデータを直接取得できる点が大きく異なります。
| 比較項目 | Active DNS (Censys) | Passive DNS (一般的な手法) |
|---|---|---|
| データの取得方式 | 自らDNSサーバーに問い合わせ、確実な回答を直接取得する | ISPを流れるトラフィックを横から観測し、見えた情報を収集する |
| 調査のコントロール | 他人のアクセスに依存しない。Censysが定期的（約24時間ごと）に全自動でクエリを投げ続けて情報の鮮度は一定 | 他人のアクセスに依存する。「たまたま誰かがそのドメインを問い合わせた」というトラフィックが発生しない限り記録されないため、情報の鮮度にばらつきあり |
| データの品質 | Censysが把握しているドメインを約24時間ごとに自ら名前解決するため、他人のアクセスの有無に左右されずに最新の状態を得られる。Censysのデータにないドメインは、検索したときにその場で名前解決する（Live Resolution） | 観測できたトラフィックのみが記録されるため、見逃しや抜け漏れが発生しうる |
主要機能とUIでの操作イメージ
各種DNSレコードの網羅的な確認
Platformの検索バーにドメイン名を直接入力することで即座に調査が可能です。
Active DNS詳細ページへの行き方
またホスト詳細ページでも、DNSタブを使用して、IPアドレスを指すAレコードまたはAAAAレコードを持つすべてのドメインを確認できます。
ホスト詳細ページのDNSタブ
ドメインのRecordsタブでは、特定のドメインに関する、現在および過去のA、AAAA、CNAME、MX、NS、SOA、TXTレコードを直接確認できます。それぞれのレコードには、Censysによって「最後に確認された日時（Last Seen）」のタイムスタンプが記録されます
Active DNS ドメインのRecordsタブ画面
インフラ変更のタイムライン分析
Timelineタブでは、ドメインと接続先の変更履歴を、タイムライン上で視覚的に追跡できます。これにより、「いつ別のサーバーに切り替わったのか」「その状態がどのくらいの期間続いたのか」「当時そこで何が稼働していたのか」といったインフラの変遷を、詳細かつ容易に把握することが可能です。ただしプランにより遡れる期間が異なり、Search NEO以上のプランでは、1ヶ月以上遡って追跡することができます（プランごとの遡及可能な期間については、プラン一覧をご確認下さい）。
Active DNS ドメインのTimelineタブ画面
ピボット調査
Active DNSで確認したIPアドレスやドメインを起点に、Censys Platformがデータを保有するホスト、サービス、証明書、脅威情報などへシームレスにピボットし、調査を効率的に深掘りすることができます。
- 活用例1：脅威ハンティング（C2サーバー群の特定）
- 悪意あるドメインから解決先IP、さらにそこに使われている「SSL/TLS証明書」へピボットします。攻撃者が使い回している同一の証明書をキーにして、ドメイン名が異なる「裏の攻撃サーバー群」を芋づる式に一挙にあぶり出すことができます。
- 活用例2：ブランド保護（なりすましサイトの閉鎖）
- 類似ドメインから実際の「Webプロパティ」にピボットし、模倣されたHTMLタイトルや証明書などの稼働状況を確認します。フィッシング詐欺が実在する強力な技術的証拠を即座に揃えることで、迅速なサイト閉鎖（テイクダウン）要求を可能にします。
Active DNS ピボットメニュー
Live Resolution
Censysに未登録のドメインが検索された際、その場でリアルタイムに名前解決を実行して生存確認を行う機能です。解決に成功すると詳細ページが自動生成されて履歴蓄積が始まり、失敗した場合は「現在は稼働していない（解決できない）」ことが即座に判別できます。この機能は、設定ボタンなどを押す必要はなく、日常の検索フローの中に完全にシームレスに組み込まれています。
活用例
インシデントレスポンス：攻撃者インフラの全体像を把握する
疑わしいドメインからIPへピボットし、さらにそこから解決された他のすべてのドメインを洗い出すことで、攻撃者が過去から現在にかけて利用しているインフラのタイムラインを再構築します。
価値 : IPから関連インフラを芋づる式に調査し、洗い出されたリストでブロックリストの生成・防御への連携を迅速に行うことができます。
SOC/CSIRT：アラートのトリアージと優先順位付け
アラートが発生した際、そのIPやドメインが既知の脅威アクターの命名規則（例: c2-[random].evil.com）に一致するかどうかをActive DNSの履歴から確認します。
価値 : 単なる1つのアラートを「既知の脅威クラスターの一部であるか」の判断材料に変換し、本格的なインシデント対応へエスカレーションすべきかどうかのトリアージを迅速に行えます。
実例 : 米国郵便局（USPS）をかたる偽サイト攻撃の裏側を暴く
Censysの調査チームは、アメリカの郵便局（USPS）をかたるSMSのフィッシング詐欺（偽サイト）の調査で、CensysのDNS解決履歴を使って詐欺グループのネットワークを洗い出しました。詐欺サイトは数日から数週間で次々と使い捨てられるため、一般的な調査方法では「今動いているサイト」しか見えず、すでに消えてしまった過去のサイトとの繋がりを見落としてしまいます。Censysは、次の手順で詐欺グループのネットワークをたどりました。
- 「アドレスの履歴」をさかのぼる SMSで届いた1つのホスト名から調査を始め、そのホスト名が解決していたIPアドレスを、CensysのDNS解決履歴で特定しました。
- 同じIPアドレスに解決したホスト名を洗い出す 詐欺グループが使っていた7つのIPアドレスについて、DNS解決履歴をAPIで取得すると、USPSをかたるホスト名が682件見つかりました（2026年5月時点）。その多くはすでに名前解決できず、Censysの履歴にだけ残っていました。
- サーバーの「クセ」から別のキャンペーンを見つける 詐欺キットが返すHTTPバナーのハッシュ値で検索すると、該当するホストは世界で5台だけでした。これらはUSPSではなくUPSをかたる、同じグループの別のキャンペーンのサーバーでした。
この事例のポイント：偽サイトのホスト名とIPアドレスは毎週のように入れ替わります。DNS解決履歴をたどると、すでに消えたホスト名も含めて、詐欺グループのインフラ全体を把握できます。
APIでの利用
Censys Active DNSは、Web UIでの手動調査にとどまらず、APIを介して社内のセキュリティシステム（SOARやSIEMなど）へシームレスに統合できます。これにより、脅威インテリジェンスの自動収集やアラートのトリアージを大幅に高速化することが可能です。
DNS調査のすべてをカバーする、以下の4つの主要なAPIエンドポイントが提供されています
1. 名前の最新DNS解決レコードの取得
2. IPに解決された最新のDNS名の取得
3. 特定の名前に対する過去のDNS解決履歴を取得
4. 指定した時間枠内で、指定したIPアドレスに解決されたドメイン名を取得
APIの使い方
Active DNS は、Search NEO 以上のプラン（Core NEO、Adversary Investigations、SecOpsを含む）であれば、画面での直接検索やピボットでクレジットを消費しません。一方、APIを介してシステムと連携する場合は、他のAPIと同様にクレジットを消費します。
まとめ
Censys Active DNSは、従来のPassive DNSのように他者の通信を待つことなく、能動的かつ定期的にドメインの接続先を確認する機能です。正確で網羅的なデータ、過去の変更履歴、そしてドメインとIPアドレス間を自由に深掘り（ピボット）できる機能を組み合わせることで、攻撃者のインフラ全体を迅速に可視化します。これにより、被害発生前の積極的な脅威ハンティングや、迅速なインシデント対応を強力に支援します。
