Shodan

製品概要

外部に公開しているサーバーやネットワーク機器が、いま世界からどう見えているのか。この問いに答えるには、自組織の内側からの棚卸しだけでは足りません。把握できていない機器や、意図せず公開されたままの管理画面は、そもそも内側の資産台帳に載っていないからです。

Shodanは、インターネットに接続された機器を外側から観測し、検索できるようにした検索エンジンです。2009年にサービスを開始しました。

Shodanが集めているのはバナーと呼ばれるメタデータです。機器やサービスが接続時に返す短いテキスト情報で、サービスの種類、バージョン、ホスト名、稼働しているソフトウェアなどが含まれます。どのような項目が収集されるかは、メーカーの Datapedia に一覧があります。

Shodanでできること

用途は大きく2つに分かれます。どちらを主目的にするかで、必要なプランも変わります。

前者では監視できるIP数とスキャンクレジットが、後者では使える検索フィルタとクエリクレジットが効いてきます。どちらに寄せるかは「プランの選び方」で整理しています。

データの集め方

Shodanのクローラは、ネットワークを順番に走査していません。ランダムなIPv4アドレスを1つ生成し、対応ポートの中からランダムに1つ選び、接続してバナーを取得する。これを延々と繰り返します。

連番で走査しないため、ある時点で切り取っても特定のネットワークだけが新しい、といった偏りが生じません。この繰り返しの結果として、およそ週に1回インターネット全体を一巡します。

巡回の出発点となるポートは一覧が公開されており、約4,000あります。TCPとUDPの両方に対応しており、UDPは dns-udp や snmp のようにプロトコル単位のモジュールとして実装されています。

ただしこれは、存在しうる65,535のポートすべてを機械的に走査しているという意味ではありません。クローラはリダイレクトや他ポートへの参照も追うため実際の収集範囲はこれより広がりますが、出発点はあくまで定義された集合です。探したいサービスが対象外のポートで動いている場合は、オンデマンドスキャンでポートを指定して取得する必要があります。

クローラは7カ国に分散して配置されています。特定の国からのアクセスをまとめて遮断している相手でも、別の国のクローラが観測できるため、地理的な偏りが生じにくくなっています。なお日本国内に観測点はなく、どのクローラを使うかを利用者が指定することもできません。クローラは .shodan.io で終わるホスト名で自己申告しています。

収集の仕方にも工夫があります。想定と違うプロトコルが動いていれば取得処理を切り替えるため、ポート80で動いているSSHのような構成も拾えます。また、取得したバナーが他ホストの情報を含む場合は、そのホストにも取りに行きます。

週1回の巡回を待てない場合は、スキャンクレジットを使ってオンデマンドスキャンを要求できます。走査するポートとプロトコルも指定できます。ただし即座に実行されるわけではありません。メーカーはこれをGoogleに再クロールを依頼するのに近い仕組みだと説明しており、要求はキューに入り、クローラが手の空いたタイミングで拾って通常のクロールと同じ流れで処理します。取得した結果は通常のデータと同じ経路でデータベースに入ります。

なお、バナーの中身は無料アカウントでも Enterprise Data License でも変わりません。プランによって変わるのは、そのデータにどれだけ、どの経路でアクセスできるかです。

データの鮮度と対象期間

Shodanは常時データを更新していますが、どの画面・APIを使うかによって、返ってくるデータの対象期間が違います。ここを取り違えると「あるはずのホストが出てこない」という結果になります。

使う場所	対象期間	補足
検索エンジン／IPルックアップ	直近30日	Shodan Maps と Shodan Images も同じ。IPとポートの組み合わせごとに、直近30日で最後に収集したバナーを返す
履歴IPルックアップ	最大90日	APIの history オプション。返却は最大1,000バナーで、頻繁に再スキャンされているIPでは新しい方から1,000件に絞られる
Shodan Trends	2017年6月以降	月単位の件数推移を返す。IPの一覧は返らない
Shodan Monitor	直近48時間	登録した資産は1日に複数回、自動で再スキャンされる
Bulk Data	直近30日分 ＋履歴	Enterprise Data License。日次・時間単位のファイルを常時ダウンロードできるのは直近30日分。別途契約すれば、2015年10月までさかのぼる履歴スナップショットも取得できる

長期の傾向を見たいときはShodan Trends、直近の状態を正確に押さえたいときはShodan Monitor、その中間が検索エンジン、という使い分けになります。

主な画面

Shodanは目的別に分かれた複数の画面から構成されています。いずれも同じデータベースを見ており、同じ情報をAPIからも取得できます。

Shodan Search　主要なデータアクセス手段です。フィルタを組み合わせて検索し、結果をJSON・CSV・XML形式でダウンロードできます。人気の検索クエリも公開されており、何から手を付けるか迷ったときの入口になります。

検索クエリをもとにレポートを生成することもできます。グラフやチャートが含まれ、対象がインターネット上でどう分布しているかを俯瞰できます。

Shodan Maps　検索結果を地図上に表示します。一度に最大1,000件が表示され、拡大・縮小に応じて対象範囲が絞り込まれます。

Shodan Images　クローラが取得したスクリーンショットを一覧できます。VNC、リモートデスクトップ（RDP）、RTSP、ウェブカメラ、X Windows の5種類から収集しています。

Shodan Monitor　登録した資産を継続的に監視し、変化があったときに通知します。監視対象はIP・ネットワーク、ドメイン・ホスト名、検索クエリの3通りで指定できます。ドメインで指定した場合はDNS情報が数時間おきに更新され、そのドメインに紐づくIPが自動で監視対象になるため、クラウド上でIPが変わる環境でも追随します。通知先は Slack、Microsoft Teams、Discord、Telegram、Jira、メール、Webhook に対応しています。

Shodan Trends　2017年6月以降の履歴を対象に、検索結果の件数が月ごとにどう推移したかを見られます。どのソフトウェアが普及したか、ある組織がどれくらいの速さでパッチを当てているかといった問いに答えられます。結果はCSVで書き出せます。IPの一覧は返らないため、傾向の把握に用途が限られます。

これらはすべてブラウザから使えるほか、Shodan CLI と Shodan API から同じ操作を自動化できます。

プランと価格

Shodanのプランは、買い切りのMembership、月額または年額のAPIサブスクリプション3種類、そして個別契約のEnterprise Data Licenseに分かれます。

誤解を先に潰しておきます。プラン名は目安であって、契約できる組織の規模を制限するものではありません。Freelancerという名前でも法人が契約できますし、大企業がCorporateやEnterpriseを選ばなければならないという決まりもありません。選ぶ基準は、使いたい機能と必要なクレジット量です。

プラン比較表

	Membership	Freelancer	Small Business	Corporate	Enterprise Data License
契約
価格（米ドル）	49買い切り	月額 69年額 759	月額 359年額 3,949	月額 1,099年額 12,089	お問い合わせ ください
発行できるアカウント数※1	1	1	1	1	100
商用利用※2					Entry は不可
サポート※3	—	通常	通常	優先	優先
毎月付与される利用量（月初にリセット）
クエリクレジット※4	100	10,000	200,000	無制限	無制限
スキャンクレジット※4	100	5,120	65,536	327,680	無制限
Shodan Monitor で監視できるIP数	16	5,120	65,536	327,680	無制限
検索
利用できる検索フィルタ※5	vuln・tag 以外すべて	vuln・tag 以外すべて	tag 以外すべて	すべて	すべて
検索結果の表示ページ数APIでは1ページあたり100件	20	20	200	200	200
Shodan Search / Maps / Images
Shodan Trends
IPアドレス検索
IPアドレス一括検索※6
データ連携
Private firehose※7
InternetDB API の商用利用※8
InternetDB データベースファイルの取得※8
データベースの一括ダウンロード
Full firehose※7
Internet Scanning API※7
ホスト名スキャン（6億件超）

1. ※1 Membership から Corporate までは1契約につき1アカウントです。ただし1つのアカウントとAPIキーを組織内の複数人で共有し、同時に利用することが認められています（メーカーに確認済み）。Enterprise Data License では、従業員が各自のアカウントとAPIキーを持ち、それぞれがプラットフォームにフルアクセスできます。
2. ※2 Freelancer 以上のAPIプランは、Shodanへの帰属を明示することを条件に商用利用が可能です。Enterprise Data License の Entry は内部利用に限定されます。詳しくは「商用利用と帰属表示」をご覧ください。
3. ※3 Corporate 以上は優先サポートの対象となり、通常とは別の窓口が用意されます。
4. ※4 2種類のクレジットの違いと消費条件は「クエリクレジットとスキャンクレジット」で説明しています。
5. ※5 制限されるのは vuln と tag の2つだけです。「プランで制限されるフィルタ」をご覧ください。
6. ※6 1回のリクエストで最大100件のIPアドレスをまとめて照会できる機能です。多数のIPを扱う場合にリクエスト数を大きく減らせます。
7. ※7 いずれもEnterprise Data Licenseに関わる機能です。「Firehose」と「Internet Scanning API」で説明しています。
8. ※8 InternetDB API はAPIキー不要で誰でも無料で使えますが、収益を伴う用途にはライセンスが必要です。SQLite形式のデータベースファイル本体は Enterprise Data License に含まれるほか、単体のアドオンとしても購入できます。

Enterprise Data License の価格は、利用範囲・ユーザー数・契約条件によって変わります。ライセンス区分をご覧いただいたうえで、お問い合わせください。

クエリクレジットとスキャンクレジット

Shodanの利用量は2種類のクレジットで管理されます。どちらも毎月付与され、月初にリセットされます。繰り越しはできません。

	クエリクレジット	スキャンクレジット
何のためのものか	Shodanがすでに持っているデータを取り出す	Shodanにいま新しくスキャンさせる
換算	1クレジットで100件	1クレジットで1IP
消費する操作	ウェブサイト・CLI・APIでデータをダウンロードしたとき。CLIとAPIでは、検索フィルタを使ったとき、または2ページ目以降を要求したときに消費する	オンデマンドスキャンを実行したとき。スキャン対象1IPにつき1クレジット
補足	フィルタを使わない検索の1ページ目と、IPアドレス単体の照会はクレジットを消費しない。ドメイン検索は1ページにつき1クレジット	要求はキューに入り、クローラが手の空いたタイミングで処理する。送ってすぐに結果が揃うわけではない

Shodan Trends も1検索につき1クエリクレジットを消費します。ただし、すでに実行されたことのある検索はキャッシュから返されるため、その場合は消費しません。

オンデマンドスキャンは Shodan CLI と Shodan API から実行できます。単一のIPだけでなくCIDR表記のネットワークやホスト名も指定でき、走査するポートとプロトコルを個別に指定することもできます。ひとつ制約があり、直近にクロールされたばかりのIPやネットワークは、24時間以内は再スキャンできません。Enterprise Data License では、この制限を外して強制的に再取得できます。

Shodan Monitor に登録した資産は1日に複数回、自動で再スキャンされます。手動でスキャンを実行する機能もありますが、通常は必要ありません。

商用利用と帰属表示

「Shodanで調べた結果を社外に出す資料に使ってよいのか」は、最もよくいただく質問です。結論から書きます。

Freelancer 以上のAPIプランは、いずれも商用利用が可能です。有償のセキュリティサービスの一部として使うことも、Shodanから得た知見をレポートやマーケティング資料として公表することもできます。条件は1つ、Shodanのデータを使った箇所にShodanへの帰属を明示することだけです。

帰属表示の書式は決められていません。「data provided by Shodan」のような一文で足ります。グラフや画像の下に添える、あるいは出典をまとめたページに記載する、といった形でも構いません。成果物の体裁を損なわないよう、表現方法にはメーカーが一定の裁量を認めています。

注意が必要なのは、これが商用・非商用を問わない義務である点です。Terms of Service は、自分の資料にShodanの情報や資料を含める場合に、その使用をShodanに帰属させること、および該当するShodanの資料についてShodanの所有権と著作権を明示することを求めています。無償で公開するレポートであっても、Shodanのデータを載せるのであれば帰属表示は必要です。

	商用利用	帰属表示
Freelancer / Small Business / Corporate	可	必要
Enterprise Data License（Standard / Custom）	可	不要
Enterprise Data License（Entry）	不可（内部利用のみ）	—
Academic membership	不可（非商用の研究・教育のみ）	必要

Enterprise Data License の Standard と Custom では帰属表示が不要になり、Shodanのデータベースを自社製品に組み込んで再配布することも認められます。一方、同じEnterprise Data Licenseでも Entry は内部利用に限定されており、そもそも外部への提供・公表ができません。線引きは「ライセンス区分」で説明しています。

判断に迷う使い方がありましたら、契約前にご相談ください。お問い合わせいただければ、必要に応じてメーカーに確認します。

契約・支払い・価格の据え置き

年単位で契約すると、月額の11か月分の価格になります。実質1か月分の割引です。

契約条件についても違いがあります。APIプランはメーカーの標準規約をそのまま受け入れる前提で、個別の契約書やSLAには対応していません。Enterprise Data License では、Standardは契約条件が固定である一方、Customでは条件を調整でき、SLAを付帯することもできます。

Enterprise Data License の価格は個別のお見積もりになります。お問い合わせください。

教育機関向けの無償枠

教育機関のメールアドレス（.ac.jp など）でアカウントを登録すると、Membershipへの無償アップグレードが自動で適用されます。監視できるIPは16、クエリクレジットとスキャンクレジットは月100ずつで、vuln フィルタをウェブサイト上でのみ使えます。

ただし用途は非商用の研究・教育に限られます。商用の研究、コンサルティング業務、営利企業の従業員向け研修などには利用できません。企業でのご利用は対象外とお考えください。

ウェブサイトからデータをダウンロードできない点（CLIまたはAPIを使います）と、登録後にメールアドレスを変更できない点にもご注意ください。登録はアカウント登録ページから行えます。

Enterprise Data License

Freelancer・Small Business・Corporate の3つはAPIサブスクリプションで、いずれもShodanが持っているデータを検索して取り出すためのものです。Enterprise Data Licenseでは、ここに3つの経路が加わります。

データをまとめて溜める（Bulk Data）、収集された端からリアルタイムに受け取る（Firehose）、そして何を集めるかを指定して作らせる（Internet Scanning API）。この3つがそろうことで、Shodanは「調べたいときに検索するツール」から「インターネットを継続的に観測する基盤」へと役割が変わります。

加えて、組織全体で使えるライセンス形態、成果物への帰属表示の免除、再スキャン制限の解除が付きます。

APIプランとの違い

	CorporateAPIプランの最上位	Enterprise Data License
データの取り出し方	検索とIPルックアップ（直近30日）	左記に加えて、日次・時間単位のファイルを一括ダウンロード
リアルタイム受信	自組織の監視対象IPのみ（Private firehose）	インターネット全体（Full firehose）
スキャンの指定	自分が指定したIP・ネットワーク	左記に加えて、インターネット全体を対象にポート単位で指定
再スキャンの制限	直近クロール済みのIPは24時間以内は再スキャンできない	制限を外して強制的に再取得できる
利用できる人数	1アカウント（組織内での共有は可）	100ユーザーまで、各自がアカウントとAPIキーを持てる
帰属表示	必要	Standard・Custom は不要
契約条件	標準規約のみ。SLAなし	Custom では条件を調整でき、SLAも付帯できる

ユーザー管理は Enterprise Portal から行います。管理者はメンバーの一覧を確認し、追加・削除できます。同じことをCLIやOrganizations APIからも実行できるため、入社・退職の手続きに組み込むこともできます。

Firehose（リアルタイムデータストリーム）

通常の検索は「あとから問い合わせる」仕組みです。Shodanのクローラが集めたバナーはデータベースに蓄積され、利用者は必要になったタイミングで検索して取り出します。何かが起きたことに気づけるのは、気づこうとして検索したときです。

Firehose はこれを逆にします。クローラが収集したバナーが、収集された端から生のJSONとして流れ続けるデータストリームです。検索も絞り込みもできません。接続している間、ひたすらデータが届きます。SIEMやデータレイクなど、常時流入する量のデータを受け止められる先を用意しておく必要があります。

Firehose には2種類あります。

	Private firehose	Full firehose
流れてくる範囲	監視対象として登録したIP・ネットワークの分だけ	インターネット全体の観測結果すべて
使えるプラン	Freelancer 以上	Enterprise Data License
主な用途	自組織の外部公開資産の監視	攻撃インフラの立ち上がりやスキャン活動の検知、自社データレイクへの蓄積

Private firehose は、Shodan Monitor に資産を登録すると自動的に用意されます。想定していないサービスが立ち上がった、証明書が入れ替わった、といった変化を、検索して探しにいくのではなく通知として受け取れます。SIEMやデータレイクに直接流し込む使い方が一般的です。実体はAPIのネットワークアラート機能で、CLIから shodan alert と shodan stream で扱えます。

Full firehose は、自組織の資産に限らず、世界中で新しく立ち上がったサービスを、Shodanが観測したのとほぼ同時に手元で受け取れます。攻撃インフラの立ち上がりやスキャン活動の兆候を、検索ではなく検知として捉えるための機能です。

Internet Scanning API

Firehose が「Shodanが集めたものを受け取る」機能であるのに対して、Internet Scanning API は「Shodanに何を集めさせるかを指定する」機能です。

オンデマンドスキャンとの違いは対象範囲です。オンデマンドスキャンは自分が指定したIPやネットワークを走査しますが、Internet Scanning はインターネット全体を対象にします。ポートとプロトコルを指定すると、Shodanのクローラ基盤がインターネット全体をそのポートで走査します。

使いどころは、Shodanが標準で巡回していないポートや、まだ広く知られていない製品の露出を数えたいときです。「この非標準ポートで動いている製品が世界に何台あるか」を、Shodanのデータ生成そのものに手を入れて調べられます。結果はウェブサイトからも Firehose からも受け取れます。

一括ダウンロードできるデータセット

Enterprise Data License では、Shodanが生成する各種データファイルをそのままダウンロードできます。ウェブサイト、CLI、Bulk Data API のいずれからでも取得できます。

データセット	内容
banners-daily banners-hourly	指定した日単位・時間単位でクローラが収集した全バナー。1行1件のJSONで、zstd形式に圧縮されています。直近30日分が常時ダウンロードでき、別途契約すれば2015年10月までさかのぼる履歴スナップショットも取得できます。/shodan/host/ 系APIの基盤データです
raw-daily	バナーデータの旧形式。gzip形式で提供が続いていますが、新規の用途では banners-daily / banners-hourly が推奨されています
dnsdb	OSINTの手法で収集されたDNSデータ。/dns/domain/ エンドポイントの基盤データです
internetdb	最小限のサービス情報を収めたSQLite形式のデータベースファイル。メモリに載る大きさで、高速なIP照会に向きます
cvedb	NVD（National Vulnerability Database）に公開されているCVE情報を収めたSQLite形式のデータベース
internet-scanners	過去24時間以内にインターネットをスキャンしていたことが観測されたIPアドレスの一覧。バナーに scanner タグを付与するために使われています
ping	インターネット全体に対して実施したPingスイープの結果をまとめたCSVファイル
whoisdb	インターネット上のすべてのIPアドレスに対応するWhois情報を含むMMDB形式のファイル
routesdb	すべてのIPアドレスに対するインターネットルーティングレジストリ（IRR）情報。MMDB・SQLite・JSONLの各形式で提供されます

これらに加えて、Enterprise Portal ではAIS船舶フィードや週次のPingスイープといった実験的なデータセットも配布されています。

ライセンス区分（Entry / Standard / Custom）

Enterprise Data License は、利用範囲によって Entry・Standard・Custom の3つに分かれます。技術的に使える機能は同じで、違うのは利用できる範囲と契約条件です。

	Entry	Standard	Custom
利用範囲	内部利用のみ。データを組織内でのみ用い、商用・外部向けの二次的著作物を作らないことが条件	商用利用が可能	商用利用が可能
契約主体	1法人	1法人。子会社・関連会社・親会社には及ばない	サイトワイド。子会社・関連会社・親会社を含む
ユーザー数	100	100	可変。顧客が設定し、価格算定に用いる
契約条件	標準契約とカスタム契約から選択	固定（変更不可）	柔軟に調整可能
帰属表示	—	不要	不要
価格の決まり方	標準契約は定額。カスタム契約は監視対象IP数とユーザー数で決まる	定額	ユーザー数、商用利用の有無、非商用の場合は公開ネットワークの規模

Entryの「内部利用」の線引きには注意が必要です。分析結果を自組織のウェブサイトで公表する行為は、たとえ非営利の公的機関であっても内部利用にはあたらない、というのがメーカーの説明です。無償のレポート公開も対象外になります。組織の中で調査し、その結果を組織の中で使う範囲、とお考えください。外部への公表が想定されるのであれば Standard 以上が必要です。

なお、InternetDBのデータベースファイルは Enterprise Data License に含まれるほか、単体のアドオンとしても購入できます。Enterprise Data License までは必要ないが、高速なローカルIP照会の仕組みだけ欲しいという場合は、お問い合わせください。

検索フィルタ

Shodanでは、検索フィルタを使ってサービスや機器のメタデータで結果を絞り込めます。フィルタを使いこなせるかどうかで、得られる情報の質が大きく変わります。

基本の書き方

フィルタは「フィルタ名:値」の形で書きます。たとえば東京にある機器を探すなら次のようになります。

city:"tokyo"

いくつかのフィルタでは、カンマ区切りで複数の値を指定できます。ポート23と1023でTelnetが動いている機器を探す場合です。

port:23,1023

先頭にマイナス記号を付けると除外になります。東京にない機器をすべて探す場合です。

-city:"tokyo"

よく使うフィルタ

フィルタ	説明	例
city	都市名で絞り込む	city:"tokyo"
country	国で絞り込む。ISO 3166-1 で定められた2文字の国コードを使う	country:"JP"
net	指定したIP範囲内の結果だけを表示する（CIDR表記）	net:190.30.40.0/24
org	IPを保有する組織で絞り込む	org:"Google LLC"
product	稼働しているソフトウェアの名前で絞り込む	product:nginx
ssl.cert.subject.cn	SSL証明書のコモンネームで絞り込む。同じ証明書を使うホストをまとめて洗い出せる	ssl.cert.subject.cn:"example.com"
http.favicon.hash	ファビコンのハッシュで絞り込む。同じ管理画面を持つホストを横断的に探すときに使う	http.favicon.hash:483188950

フィルタの全一覧は、メーカーのフィルタ一覧で確認できます。

プランで制限されるフィルタ

制限があるのは2つのフィルタだけです。それ以外はすべてのプランで使えます。

フィルタ	用途	使えるプラン
vuln	特定の脆弱性を持つ機器を検索する	Small Business 以上
tag	Shodanが自動で付与した属性ラベルで検索する	Corporate 以上

vuln フィルタは、CVE番号を指定して該当する機器を探すものです。たとえばOpenSSLの脆弱性 CVE-2014-0160 を持つホストを探す場合は vuln:CVE-2014-0160 と書きます。

tag フィルタは、機器やサービスの性格を表すラベルで絞り込みます。数百万件の中から特定のカテゴリだけを取り出せるため、サポートが終了したOSを探す（tag:eol-os）、ハニーポットを見つける（tag:honeypot）、といった使い方ができます。

2026年9月時点で使えるタグは次の26種類です。最新の一覧は Datapedia で確認できます。

ai　c2　cdn　cloud　compromised　cryptocurrency　database　devops　doublepulsar　eol-os　eol-product　honeypot　ics　iot　malware　medical　onion　open-dir　proxy　self-signed　scanner　ssh-bad-key　starttls　tor　videogame　vpn

ただし、タグの判定精度はタグによって差があります。とくに tag:c2 については「ShodanとCensysの使い分け」で触れています。

なお Shodan Trends では、対応しているフィルタであればプランによる制限を受けません。ただしTrendsが返すのは件数の推移だけで、IPの一覧は返らないため、調査そのものには使えません。

ShodanとCensysの使い分け

弊社では Shodan と Censys Platform の両方を取り扱っています。似た製品に見えますが、設計思想が異なります。

Shodanは、軽量かつ手軽にスキャン結果を参照できる点に強みがあります。CLIとAPIが素直で、IPを1つ投げれば開いているポートがすぐ返ってきます。この軽さは日々の調査で効きます。価格の入り口が低く、小さく始められることも利点です。

Censysは、取得データの網羅性と鮮度に重点を置いています。データの種類の幅広さ、データの確かさ、スキャン頻度、ポートのカバー率が重視されており、CVE・KEV情報や証明書の詳細データまで含みます。資産の危険度判定から調査の裏付けまでを一気通貫で行える点が特徴で、官公庁・大手企業のお客様に多くご採用いただいています。

違いが出る例を1つ挙げます。Shodanの tag:c2 は、C2として稼働している可能性のあるホストを拾うフィルタですが、判定の精度は高くありません。product:"Cobalt Strike C2" のほか product:"Metasploit" や product:"BurpSuite" が含まれ、さらに product の判定自体が、ページ内の文字列に製品名が含まれることをもって行われているケースがあります。

スキャンの方式にも違いがあります。Shodanは巡回の出発点となる約4,000ポートを定義し、そこから参照をたどって範囲を広げる方式です。CensysはTCP・UDPの全ポートを対象とする方式をとっており、カバー率の考え方が根本的に異なります。露出しているポートを取りこぼしなく把握したい用途では、この差が効いてきます。

判定の根拠も違います。Censysは通信挙動（JARM、JA4X、JA3S など）や証明書情報から攻撃インフラを判定するため、精度が高く、判定の根拠となるデータも詳細に確認できます。攻撃者インフラの調査・追跡や、データの品質を重視される場合は、Censys Platform もあわせてご検討ください。

関連製品Censys Platformインターネット全体を高頻度でスキャンし、証明書やCVE・KEV情報まで含めて提供するプラットフォームです。Threat Hunting プランでは、通信挙動と証明書から攻撃インフラを判定した根拠まで確認できます。

プランの選び方

機能の一覧を見ても、どれを選ぶべきかは決まりません。何をしたいかから逆算するほうが早く決まります。

自組織の資産を継続監視したい

効いてくるのは監視できるIP数とスキャンクレジットです。この2つはどのプランでも同じ数値になっているので、自組織の公開IPの数から逆算できます。

数十から数百IP程度であれば Freelancer（5,120IP）で足ります。/16 のレンジを丸ごと持っているような環境では Small Business（65,536IP）が必要になります。複数の拠点やクラウド環境を抱えていて数十万IP規模になるなら Corporate（327,680IP）です。

脆弱性の有無で絞り込みたい場合は vuln フィルタが必要なので、Small Business 以上になります。監視対象をドメインで指定したい場合は、どのプランでも可能です。

攻撃インフラを調査したい

効いてくるのは使える検索フィルタとクエリクレジット、そして結果の表示ページ数です。

tag フィルタを使いたい場合は Corporate が必要です。ただし前述のとおり、C2のような脅威インフラの判定精度を重視されるのであれば、Censys Platform との比較を先に検討されることをおすすめします。

調査では結果をまとめてダウンロードして手元で分析する使い方が多くなるため、クエリクレジットの消費が読みにくくなります。Freelancer の月10,000クレジット（100万件相当）で足りるかどうかが、最初の分かれ目になります。

自社基盤にデータを取り込みたい

SIEM・データレイク・独自の分析基盤にShodanのデータを取り込みたい場合は、規模によって選択肢が変わります。

自組織の資産に関するデータだけでよければ、Freelancer 以上の Private firehose で足ります。Shodan Monitor に資産を登録すれば自動的に用意され、追加費用はかかりません。

インターネット全体のデータを持ちたい、あるいは検索エンジンの直近30日という制約を外して長期保管したい場合は Enterprise Data License になります。自社製品への組み込みや外部への再配布が絡む場合も同様です。

その中間として、高速なIP照会の仕組みだけをローカルに持ちたいのであれば、InternetDB のデータベースファイルを単体のアドオンとして購入する選択肢があります。

FAQ