サイバーキルチェーン偵察フェーズ(Reconnaissance) | セキュリティの基礎

Table of Contents

偵察フェーズ（Reconnaissance）

偵察フェーズは、サイバーキルチェーンの最初のフェーズであり、攻撃者が標的に関する情報を収集する段階です。攻撃者はここで得た情報をもとに、以降のすべてのフェーズを設計します。いわば攻撃全体の設計図を描く工程です。

このフェーズの最大の特徴は、攻撃者が標的のシステムに一切触れることなく実施できる点です。標的側にほとんど痕跡が残らないため、気づくことが非常に困難です。

偵察手法は大きく2つに分類されます。

パッシブ偵察（Passive Reconnaissance）

標的のシステムに直接アクセスせず、公開情報だけを収集する手法です。標的側にログが残らないため、検知が事実上不可能です。

アクティブ偵察（Active Reconnaissance）

標的のシステムに直接アクセスして情報を収集する手法です。ポートスキャンや脆弱性スキャンが代表例で、ログに痕跡が残る可能性がありますが、攻撃者はVPNやTorを経由して身元を隠すことが多いです。

インターネット上に公開されている情報を体系的に収集・分析する手法です。攻撃者が最初に行う作業であり、驚くほど多くの情報が合法的に入手できます。

主な情報源の例は次のとおりです。

ドメインの登録情報やDNSレコードを調べることで、IPアドレスの範囲、サーバーの所在地、使用しているメールサービスなどが判明します。

調査例：

bash

whois example.co.jp

→ 登録者情報、ネームサーバー、IPアドレス範囲が判明

bash

dig example.co.jp MX

→ メールサーバーの種類（Office 365か、Google Workspaceか）が判明

Shodanは「インターネットに接続されたすべての機器」を検索できるサービスです。企業名やIPアドレスで検索するだけで、外部に公開されているサーバー・カメラ・IoT機器とそのバージョン情報が一覧で確認できます。

攻撃者がShodanで得られる情報の例：
– Apache 2.4.49が動いているサーバー（既知の脆弱性あり）
– デフォルトパスワードのまま公開されたルーター
– SSL証明書の期限切れサーバー

CensysもShodanと同じように「インターネットに接続された機器」を検索できるサービスです。

Censysで得られる情報の例：
– 開放ポートとサービス情報
– TLS/SSL証明書の詳細
– ソフトウェアのバージョン
– 地理情報

Shodan

Censys

技術的な手法だけでなく、人を騙して情報を引き出すアプローチも偵察の一部です。

外部から標的のサーバーに対してポートスキャンを実施し、どのサービスが稼働しているかを確認します。

bash

nmap -sV example.co.jp

→ 開いているポート番号、動作しているサービス名、バージョン番号が一覧で判明

これにより「このサーバーはSSH 7.4で動いている→既知の脆弱性CVE-XXXX-XXXXが使えるかもしれない」という判断につながります。

収集した情報の中でも、攻撃者が特に価値を置くものがあります。

情報の種類	次フェーズへの活用方法
従業員のメールアドレス形式	スピアフィッシングメールの送付先リスト作成
使用ソフトウェアとバージョン	そのバージョンの既知脆弱性を武器化に活用
組織図・役職情報	権限の高い人物を標的にしたBEC（ビジネスメール詐欺）に活用
取引先・パートナー企業名	サプライチェーン攻撃の経路選定に活用
VPN・リモートアクセス環境	直接侵入経路の特定に活用