DomainTools、Farsight DNSDB、WhoisXML API の比較：ドメインとDNSの調査でできること

この記事の要点

比較表

DomainTools社の Iris Investigate と Farsight DNSDB、WhoisXML API社の WhoisXML API を、ドメインとDNSの調査でよく使う12の項目で比べます。Iris Investigate は画面でつながりをたどる調査の道具、Farsight DNSDB はパッシブDNSを検索するデータベース、WhoisXML API はWHOIS・DNSなどのデータをAPI、データベース、Webの画面（Domain Research Suite、以下DRS）で提供する製品群です。

「—」は、その製品が扱わないデータです。Farsight DNSDB はパッシブDNSを専門に扱います。行の名前のリンクを押すと、その項目の補足に移ります。

表の補足

表のセルは短く書いているため、誤解しやすい点を項目ごとに補います。

WHOISと登録情報

WHOISの履歴は、Iris Investigate が20年以上、WhoisXML API が10年以上です。年数は全体の範囲で、ドメインごとにいつから記録があるかは違います（引き比べの章）。

Reverse WHOIS
WhoisXML API は、今の記録だけで探すか、過去の記録も含めるかを切り替え、WHOISの欄（連絡先ごとの氏名、組織、メールアドレス、電話番号、住所、ネームサーバー、レジストラなど）を指定して4つまでの条件を組み合わせます。APIでは、1回に返るのは1万件までで、続きも取得できます（DRSの画面も1万件まで）。Iris Investigate は Advanced Search で、50以上の欄を、ANDとORで最大1,024個の条件まで組み合わせられます。過去の記録を含めて探せるのは、メールアドレス、登録者、WHOISの全文の3つです。

伏せられた登録情報
GDPRなどで伏せられた欄は、両社とも過去の記録で補います。WhoisXML API の Domain Info は、伏せ字の欄や空の欄を過去の記録のいちばん新しい値で自動で埋め、欄ごとに、最後に確かめた日と、今は空か伏せ字かの印を付けて返します。プライバシー保護のサービスの連絡先が入っている欄は、そのまま返ります。Iris Investigate では、Whois History のパネルの一覧で、プライバシー保護の印が付いていない時期の記録を探します。登録したときから伏せられているドメインは、過去の記録にも登録者が残っていないため補えません。

社名から組織のドメインを洗い出す手順は、次の記事で紹介しています。

関連記事社名から保有ドメインを洗い出す：DomainToolsを軸にCensysで補うReverse Whois と Iris Investigate で、社名やメールアドレスから組織のドメインを洗い出す手順です。WHOISの秘匿で見つからない分を、証明書の検索で補う方法も紹介しています。

パッシブDNS

Farsight DNSDB
インターネットの各所に置いた400台以上のセンサーで観測した、2010年6月からの記録（3,000億件以上）を検索します。IETFが定めるすべての種類のレコードが対象で、名前からも値（IPアドレスとその範囲、ネームサーバー、メールサーバーなど）からも引けます。観測した期間で絞る指定と、ワイルドカードでの検索ができ、結果には初めて観測した時刻、最後に観測した時刻、観測の回数が付きます。正規表現でも名前や値を探せます。正規表現の結果には時刻と回数が付かないため、見つけた名前を通常の検索で引き直します。

Iris Investigate
pDNSのパネルは、複数の提供元のパッシブDNSをまとめて見せます。行ごとに提供元が出ます。IPアドレスやその範囲、ネームサーバーの名前から、逆に引くこともできます。正規表現の検索に使われるのは、提供元のうち1つです。

WhoisXML API
APIの DNS Chronicle API で引けるのは、AとAAAAの履歴（ドメインからIPアドレス、IPアドレスからドメイン）です。1つのドメインのDNSの履歴は、Webの画面のドメインレポート（DNS History）でも見られます。A、AAAA、MX、NS、TXT、CNAME、SOA、PTRの8種類の履歴は、データベースで提供し、検索は自組織で行います。

選ぶときの目安
期間やパターンで絞って深く掘るなら Farsight DNSDB、ドメインの調査の流れの中で見るなら Iris Investigate、AとAAAAの履歴を自組織のシステムから引くなら WhoisXML API が向きます。

つながりのたどり方

Iris Investigate
ほぼすべての値に、同じ値を持つドメインの数が付き、500件以下に絞れる値は強調して表示されます（Guided Pivots。500件は既定の値で、変えられます）。登録者のメールアドレスに加えて、証明書のハッシュ・発行者、Google Analytics などの解析タグからもたどれます。IPアドレス、ネームサーバー、証明書でたどるのは今の値で、過去の値はpDNSのパネルなどで確かめます。

WhoisXML API
ドメインレポートでは、1つのドメインについて、WHOIS（今の記録、Domain Info、WHOISの履歴）、DNS（今のレコード、サブドメイン、Reverse MX・NS、DNSの履歴）、IPアドレス（位置情報、ネットブロック、Reverse IP）、証明書、Domain Reputation、関連するドメイン（Reverse WHOIS、Domains & Subdomains Discovery、Brand Alert、Registrant Alert、タイポスクワッティング）を1つの画面にまとめて見られます。DRSでは、WHOISの多くの値の横にある「›」から、ほかのDRSの検索（今と過去の Reverse WHOIS など）に進めます。Reverse WHOIS のAPIには、件数だけを返す指定があり、広げる前に件数を確かめられます。この指定はクレジットを使いません。

公表された少数の指標から関連するドメインを広げた調査は、両社とも公開しています。DomainTools社は、TrickBotのバックドアのC2について公表された報告をもとに、C2が返す特徴的な応答をパッシブDNSで探し、報告されていなかったC2を4件見つけた調査を（2021年7月）、WhoisXML API社の調査チームは、日本と欧州のホテルを狙った攻撃で公表された指標78件のうち77件から、MCP Server を使って、メールアドレスでつながるドメイン2,840件などを見つけた調査を（2026年8月）公開しています。

リスクの点数

両社とも0〜100の点でドメインのリスクを示しますが、点の向きが逆で、採点に使う情報も違います。引き比べたavsvmcloud[.]comは、Iris Investigate では100、Domain Reputation では98.3でした。

Iris Investigate（Domain Risk Score）
高いほど危険です。既知の悪性のインフラへの近さ（Proximity）と、機械学習で推定する、悪意のある登録である確率（Threat Profile。登録から28か月以内のドメインだけ）のうち、高いほうが総合の点になります。点の理由の種類（ドメインの年齢、登録者、ネームサーバーなど）は、APIで受け取れます。悪性を確定する点数ではありません。

WhoisXML API（Domain Reputation）
高いほど安全です。DNS、メールサーバー、SSL、WHOIS、マルウェアのデータベースとの照合、開いているポートなど17種類のテストがあり（すべて実行するのはfullの指定で、既定のfastでは4種類）、点を下げたテストと警告を返します。これとは別に、登録の時点で悪性になりそうなドメインを予測する First Watch（APIとフィード）もあります。

提供の形と利用量の数え方

Iris Investigate
画面とAPIで使います。画面にしかない機能もあります。Splunk・Microsoft Sentinel などと連携できます。MCP Server と、新しく観測されたドメインなどを配信する Real-Time Threat Feeds は、追加で契約します。利用量は組織のGroupごとに、月ごとの上限（クォータ）で数えます。Enterpriseのプランでは、ユーザー数に上限はありません。

Farsight DNSDB
API、DNSDB Scout（Webの画面）、コマンドラインのツールで使います。DNSDB Export を使うと、データを自組織のサーバーに置いて同じAPIで引けます。利用量はAPIキーごとの上限（クォータ）で数えます。

WhoisXML API
DRSとドメインレポート（Webの画面）、API、データベースとデータフィード、ストリーミング、MCP Server で使います。利用量はクレジットなどで数え、DRS、製品ごとの契約、全製品で共通の残高（WXA.ONE）など、契約の形によって数え方が違います。

DomainToolsの Iris Investigate と Iris Enrich（APIだけの製品）の使い分けは、次の記事で紹介しています。

関連記事Iris Investigate と Iris Enrich の違い調べる方向、返ってくる情報、1回に扱える件数、クォータの4点で比べています。SIEMのアラートの処理と、調査での使い分けが分かります。

同じドメインで引き比べた

SolarWinds社の製品を狙ったサプライチェーン攻撃（SUNBURST）で、C2（攻撃の指令を出すサーバー）に使われたavsvmcloud[.]comを、両社の製品で引き比べました（2026年11月）。DomainToolsは Iris Investigate の画面、WhoisXML API はDRSの WHOIS History Search、ドメインレポート、DNS Chronicle API を使いました。

この表は、1つのドメインで引いた結果です。記録がいつからあるかは、ドメインによって違います。

WHOISの履歴

いちばん古い記録は、Iris Investigate がドメインを作成した2018年7月、DRSが2018年10月でした。

DRSの WHOIS History Search は、記録の一覧の上に、記録の件数、レジストラの数、所有者の数、所有者の情報が公開されている記録の割合などの要約を並べます。

2019年12月のレジストラの変更と、2020年12月の登録者の変更は、どちらの履歴でも、同じ日付の記録で追えました。Iris Investigate では、Domain History のパネルで、変わった欄と前後の値を1件ずつ見られます。

パッシブDNS

Iris Investigate のpDNSのパネルには、2018年7月から2019年12月までのAレコードの記録（107.161.23[.]204、192.161.187[.]200、209.141.38[.]71）がありました。3つの提供元が、それぞれこの3つのIPアドレスを観測していました。ドメインが作成された直後から、2019年12月までの名前解決です。

WhoisXML API の DNS Chronicle API で引いたAレコードの履歴は、2020年1月（184.168.221[.]56）からで、2018年7月から2019年12月までのIPアドレスは出ませんでした。ドメインレポートの DNS History も同じで、いちばん古い記録は2020年1月でした。2020年1月以降の記録は両方にありましたが、IPアドレスごとに見ると、片方にしかないものもありました。

過去の特定の時期の名前解決を調べたいときは、その時期の記録があるかを、題材のドメインで確かめてから使い方を決めると確実です。

選び方の目安

• 登録情報の欄を指定して洗い出す、伏せ字の欄を過去の値で補う：WhoisXML API
• 過去の名前解決を、期間やパターンで絞って深く掘る：Farsight DNSDB
• 1つのドメインから、件数を見ながら画面でつながりをたどる：Iris Investigate
• データを丸ごと自組織に置いて使う：WhoisXML API のデータベース、DNSDB Export

調べたいことが複数あるときは、組み合わせて使えます。たとえば、Farsight DNSDB で見つけたドメインは、DNSDB Scout から Iris Investigate に渡して調べを続けられます（サブドメインは、多くの場合、登録ドメインに置き換わります）（Iris Investigate の契約が別に必要です）。

調べたいことに合う製品や、組み合わせ方のご相談は、お気軽にお問合せください。

関連製品DomainToolsIris Investigate、Iris Detect、Iris Enrich、Farsight DNSDB などの製品ごとの機能と、プラン、SIEM・SOARとの連携をまとめています。関連製品Farsight DNSDBパッシブDNSの検索のしかた、API・DNSDB Scout・コマンドラインのツールの使い分け、プランをまとめています。関連製品WhoisXML APIドメイン・IPアドレス・DNS・WHOISの情報を、API、データベース、Webの画面で提供する製品群です。製品ごとの用途と提供の形を紹介しています。