パッシブリコン101：あなたのウェブサイトが知らないうちに明らかにするもの

すべてのウェブサイトは情報を放ちます。セキュリティの侵害や設定ミスではなく、単にインターネット上の存在するだけでです。DNSレコード、SSL証明書、HTTPヘッダー、技術フィンガープリント、WHOISデータ、および数十のその他の信号は、探す人が分かれば誰でも見ることができます。これはパッシブリコンです。これは、ターゲットシステムに一切触れることがなく、公開された情報源からインテリジェンスを収集する実践です。

もし企業を運営し、セキュリティを管理する立場にあり、または企業のデジタルプレゼンスに基づいた意思決定を行う場合、パッシブリコンが何を明らかにするかを理解することは必須です。それは、現在、競合他社や攻撃者、潜在的なパートナーが実際に見ている情報と同じです。

パッシブリコンとは

パッシブリコンとは、ターゲットのシステムと一切のやり取りを行わずに、公開されたデジタル信号を観察することを指します。ログイン試行や脆弱性スキャン、フォーム送信、アクティブな探査行為は一切行いません。街から建物を見ているようなイメージです。住所や階数、外壁のセキュリティカメラ、会社の看板、駐車場の車両などを確認できますが、建物内に入ったりドアを試したりはしていません。

デジタルの観点から見ると、これはターゲットのインフラがインターネット上で機能するために自発的に公開するデータを分析することを意味します。トラフィックをルーティングするDNSレコード、公開透過性ログに登録されたSSL証明書、サーバーのソフトウェアを特定するHTTPヘッダー、すべての訪問者のブラウザに配信されるHTML/JavaScriptコードなどが該当します。

ウェブサイトが放ち続ける8つのシグナルカテゴリ

構造化されたパッシブな情報収集分析が抽出する内容と、各カテゴリが組織についてどのように情報を明らかにするかを以下に示します。

これはご組織にとってなぜ重要なのか

セキュリティリーダー向け

ご自身の組織に対してパッシブレコネス評価を行っていなければ、すでに他者が行っています。すべてのペネトレーションテストはパッシブレコネスから始まります。すべての集中的なフィッシングキャンペーンは、ご組織の技術スタック、メールインフラ、従業員情報を理解することから始まります。問題はこのデータがアクセス可能かどうかではなく、何が公開されているかを把握し、各シグナルについて意識的な判断を行っているかです。

ビジネスリーダー向け

ウェブサイトはご組織の最も公開された資産であり、マーケティングコピー以上に多くの情報を伝えています。競合がパッシブレコネスを行うことで、ご組織の技術投資、ベンダー関係、採用優先順位（求人情報から）、運営熟練度が明らかになる可能性があります。パートナーや投資家が対象調査を行う際には、連絡を取る前にまず外部からセキュリティ体制とコンプライアンス対応の準備状況を評価します。

営業・マーケティングチーム向け

セキュリティ体制を明らかにする同じシグナルが、ビジネス機会を示します。古いソフトウェアを使用し、分析ツールがなくセキュリティヘッダーが欠けている見込み客には、明確なニーズがあります。パッシブレコネスにより、冷たいアプローチを情報に基づいたコンサルティング型営業に転換できます。なぜなら、最初の会話に入る前にすでに解決すべき問題を把握しているからです。

これについてあなたが取るべき対応

パッシブな情報収集を防ぐことはできません。インフラが機能するために必要なデータが存在するからです。しかし、自覚的にリスクを管理することは可能です。

• 自社のデジタル足跡を点検する。 自分自身に対してパッシブな評価を実施します。敵対者や競合、潜在的なパートナーが発見する前に、何が見えるかを把握してください。
• 不必要な情報の露出を最小限に。 ソフトウェアバージョンを特定するデフォルトのサーバーヘッダーを削除します。CTログに表示される個別の証明書ではなく、内部サブドメイン用にワイルドカード証明書を使用します。WHOISプライバシー保護を有効にします。
• セキュリティヘッダーを実装する。 HSTS、Content-Security-Policy、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy。これらが欠如していることは、攻撃者にとって重要なシグナルになります。
• DNS TXTレコードを確認する。 SaaSツールのドメイン検証レコードは、世界に何のツールを使っているかを伝えます。使用していないサービスのレコードは削除してください。
• 証明書透過性をモニタリング。 自社ドメイン用に発行された新証明書のアラートを設定します。予期しない証明書は、影ITや不正なサブドメイン作成の可能性を示唆します。
• robots.txtを公開情報として扱う。 robots.txtに機密パスを記載しないでください。それは敵対者に地図を作成しているようなものです。管理パネルの保護には、隠蔽ではなく認証を使用してください。
• コンプライアンスのシグナルを評価する。 クッキーの同意がないこと、古いプライバシーポリシー、GDPRのメカニズムが欠如していることは、誰にでも見える情報です。規制機関や潜在的なクライアントが自社の成熟度を評価する際にも影響を与えます。

複合効果

個別のシグナルはデータポイントです。相関するシグナルはインテリジェンスです。WordPress 5.xで構築された技術スタックでWebアプリケーションファイアウォール (WAF) が存在せず、セキュリティヘッダーが不足し、robots.txtに/wp-admin/パスが公開されており、有効期限切れ間近のLet's Encrypt証明書が使用されているという状況は、非常に特定された物語を語ります。これは攻撃者、競合企業、または潜在顧客がそれぞれ自身の目的に応じて解釈できるものです。

このため、現代の受動型偵察は単にシグナルを収集することだけではなく、次元にわたってそれらを相関させ、結果をスコアリングすることが重要です。3つのセキュリティヘッダーが不足しているサイトは懸念されます。3つのセキュリティヘッダーが不足しており、かつ分析ツールが未導入で、Cookie同意がされておらず、CMSが古いサイトは、体系的な無策を示すパターンです。このパターンはセキュリティリスク、ビジネス成熟度、および営業機会に同時に影響を与える可能性があります。