Farsight DNSDB

概要

DNSの名前解決の結果は、時間とともに変わります。攻撃に使われたドメインは、別のIPアドレスに移されたり、差し押さえられたりして、当時の姿が残らないことがあります。いまDNSを引いても、そのドメインが過去にどこを指していたかは分かりません。

Farsight DNSDB は、世界中に置いた400以上のセンサーで観測したDNSの応答を蓄積した、パッシブDNSのデータベースです。2010年6月からの3,000億件以上の記録から、「このドメインは過去にどのIPアドレスを指していたか」「このIPアドレスにはどのドメインが向いていたか」を、期間を指定して調べられます（センサー数と件数は、2026年10月時点のDomainTools社の公表値）。現在はDomainTools社が提供しています。

パッシブDNSは、利用者の問い合わせではなく、DNSサーバーどうしのやり取りを観測して作ります。

集めた記録は、ドメイン、IPアドレス、名前の一部のどれからでも検索できます。

APIで大量に、自動で検索する
SIEM、SOAR、TIPや自社のツールからAPIで検索し、アラートに含まれるドメインやIPアドレスの過去の名前解決を自動で調べられます。Splunk、Microsoft Sentinel、Maltegoなどには連携アプリがあります（DomainToolsの連携先）。

MCP Server でAIエージェントから検索する
DomainToolsの MCP Server を使うと、Claude、Gemini、ChatGPTなどのAIアシスタントやAIエージェントが、パッシブDNSの検索の4つのツールを使い分けて、過去の名前解決を調べます。利用には、MCP Server の権利に加えて Farsight DNSDB のご契約が必要です。APIをご利用中のお客様は、MCP Server の試用を申し込めます。お気軽にご相談ください。

Iris Investigate との使い分け
Iris Investigate のパッシブDNSパネルは、複数のソースを集約して、調査の流れの中で表示します。期間の指定、IPアドレスからの逆引き、正規表現での検索など、パッシブDNSそのものを深く掘り下げるときは Farsight DNSDB を使います。Investigationプランでは、Iris Investigate の画面でパッシブDNSを検索できますが、DNSDB Scout と DNSDB API は含みません。

Real-Time Threat Feeds
DomainToolsの Real-Time Threat Feeds のうち Discovery Feeds（Newly Observed Domains など）は、パッシブDNSで初めて名前解決が観測されたドメインなどを配信するフィードです。登録されただけのドメインではなく、実際に動き出したドメインを、SIEMやDNSリゾルバーに取り込めます。

活用例として、DomainTools社が公開しているケーススタディから、SUNBURSTの調査でMaltegoと Farsight DNSDB を使った流れを図にまとめました。

製品

Farsight DNSDB の使い方は、API、コマンドラインツール、Web UIの DNSDB Scout の3つで、どれも同じ DNSDB API のキーで使います。データを自社の環境に置いて使うExportもあります。DNSDBにはセキュリティ上機微な情報が含まれるため、ご契約の前にDomainTools社の確認があります。

Farsight DNSDB API
中心となる提供形態です。REST API（バージョン2）で、SIEM、SOAR、TIPや自社のツールから大量に検索できます。正規表現やワイルドカードで探す Flexible Search も、同じAPIで使えます。

コマンドラインツール
dnsdbqなどのツールで、ターミナルから検索できます。スクリプトに組み込んで、まとめて検索するときに便利です。残りのクエリ数も確認できます。

Farsight DNSDB Export
DNSDB API をオンプレミスで動かす形態です。検索の内容が社外に出ないため、調べている対象を秘匿したい場合に向いています。

Farsight DNSDB Scout
個別の確認に使うWeb UIです。ブラウザ（scout.dnsdb.info）のほか、Chrome・Firefoxの拡張機能で使え、DNSDB API のキーで利用します。Integration & Enrichment プランの DNSDB API でも使えます。結果はCSVやJSONなどで書き出せます。検索結果から Iris Investigate へそのままピボットできます（Iris Investigate のご契約が必要）。

プラン

2026年2月以降の新規のご契約では、DNSDB API はDomainToolsの Integration & Enrichment プランに含まれます。DNSDB Scout も、このプランの DNSDB API のキーで使えます。プランは Basic・Pro・Enterprise・ELA の4つで、同じプランで Iris Investigate API、Iris Enrich API、Domain Risk Score Evidence API、Domain History API も使えます。

クエリ数は月単位で、APIごとに上限があります。上限は毎月1日の0時（UTC。日本時間の午前9時）にリセットされます。プランごとのクエリ数は、DomainToolsのプラン表（Integration & Enrichment）をご覧ください。

詳細記事DomainToolsのクォータ：消費する操作とリセットの時期Farsight DNSDB を含むAPIの製品と Iris Investigate について、クォータを消費する操作、リセットの時期（従来の Farsight DNSDB Enrichment の日単位を含む）、管理画面での使用量の確認のしかたを、画面付きで説明しています。

Farsight DNSDB Enrichment（日単位のプラン）

Farsight DNSDB Enrichment は、DNSDB API と DNSDB Scout をセットにした従来のプランで、クエリ数は日単位です。1日に多くのクエリを使う場合など、ご利用の規模や事情によっては、このプランで個別に対応できることがあります。ご希望の量とあわせてご相談ください。2026年1月以前からご契約中のお客様は、現在のプランのまま更新できます。

DNSDB API の上限は毎日0時（UTC。日本時間の午前9時）にリセットされ、使わなかった分を翌日に繰り越すことはできません。DNSDB Scout は DNSDB API のキーで利用し、ログイン用のIDとパスワードはありません。