企業のIT資産管理というと、多くの担当者は資産管理ツールやCMDB（Configuration Management Database）に登録されたサーバーやネットワーク機器を思い浮かべるでしょう。しかし、実際の攻撃者はその管理台帳を見て標的を選ぶわけではありません。

攻撃者が見ているのは、インターネット上から実際にアクセスできる資産です。

つまり、情報システム部門が把握している資産と、外部から見えている資産が一致しているとは限りません。むしろ、長年運用している企業ほど、その差は少しずつ広がっていく傾向があります。

OSINT（Open Source Intelligence）は、もともと公開情報を収集・分析するための手法として知られていますが、近年では自社の「見えていないIT資産」を発見する目的でも活用されるようになりました。

本記事では、OSINTを活用して情シスが把握していないサーバーやサブドメインをどのように見つけ出すのか、そして放置されたIT資産がどのようなリスクにつながるのかを解説します。

 

IT資産台帳に載っていないサーバーはなぜ生まれるのか

「管理していないサーバーなど存在するはずがない」と考える方もいるかもしれません。しかし実際には、多くの企業で"影のIT資産"が存在しています。

その背景には、企業活動の積み重ねがあります。

例えば、数年前に実施したキャンペーンサイトです。期間限定で公開したマイクロサイトは、キャンペーン終了後に更新されることなく、そのまま公開され続けているケースがあります。

また、新製品発表用の特設サイトや展示会専用ページも同様です。担当部署は異動し、制作会社との契約も終了しているにもかかわらず、サーバーだけが稼働し続けていることは決して珍しくありません。

さらに、企業統合や組織再編も影響します。

買収した会社のWebサーバーや旧ドメイン、過去のメールシステムなどが十分に整理されないまま残ってしまうことがあります。担当者が退職し、運用経緯を知る人がいなくなることで、その存在自体が忘れられてしまうのです。

クラウドサービスの普及も、この問題を複雑にしています。

以前はサーバーを構築するために社内申請が必要でした。しかし現在では、クラウド上で数分あれば仮想サーバーを立ち上げられます。開発部門やマーケティング部門が一時的な検証環境を作成し、そのまま削除を忘れてしまうケースも少なくありません。

このようにして生まれたIT資産は、社内では存在が認識されていなくても、インターネット上からは誰でも確認できる状態になっている可能性があります。

 

攻撃者は公開情報から企業のIT資産を把握している

サイバー攻撃は、いきなりシステムへの侵入から始まるわけではありません。

多くの場合、最初に行われるのは情報収集です。

攻撃者は企業名やドメイン名を起点に、公開されているさまざまな情報を集めます。

その中でも重要なのがサブドメインです。

企業のWebサイトは「www.example.co.jp」だけではありません。

運用を続ける中で、以下のような複数のサブドメインが作成されます。

・　test.example.co.jp　（開発・テスト用）
・　vpn.example.co.jp　（リモートアクセス用）
・　mail.example.co.jp　（Webメール等）
・　campaign.example.co.jp　（特設キャンペーンサイト）

これらの中には現在も利用されているものもあれば、役目を終えて放置されているものもあります。

攻撃者はOSINTを利用して、こうしたサブドメインを効率的に洗い出します。

SSL証明書の公開情報、DNS情報、検索エンジンのキャッシュ、Webアーカイブなど、公開情報を組み合わせることで、企業自身が把握していないサブドメインが見つかることもあります。

さらに、サブドメインごとにアクセスを試み、どのようなサービスが公開されているかを確認します。

もし古いCMSやサポートが終了したミドルウェアが稼働していれば、そこが侵入口として狙われる可能性があります。

つまり、攻撃者は「どこを攻撃するか」を探しているのではなく、「攻撃できそうな場所」を公開情報から見つけ出しているのです。

 

放置されたキャンペーンサイトが侵入口になる理由

企業のWebサイトには、本社ホームページ以外にも多くのサイトが存在します。

採用サイト、イベントサイト、展示会ページ、製品紹介サイト、ブランドサイトなど、その数は想像以上です。

こうしたサイトは制作会社が構築することも多く、公開後はほとんど更新されないまま運用されるケースがあります。

問題なのは、サイト自体は公開され続けているにもかかわらず、保守対象から外れていることです。

例えば、数年前のCMSがそのまま利用されていたり、古いPHPが動作していたり、不要な管理画面が公開されたままになっていたりするケースがあります。

社内では「もう使っていない」という認識でも、インターネット上では依然としてアクセス可能です。

攻撃者にとって重要なのは、そのサーバーが最新かどうかではありません。

侵入できるかどうかです。

一度侵入に成功すれば、そこを足掛かりとして社内ネットワークへの侵入や認証情報の窃取、さらにはランサムウェア攻撃へと発展する可能性があります。

実際、大規模な情報漏えいインシデントでは、本番システムではなく、管理が行き届いていなかった周辺システムが侵入口となるケースが少なくありません。そのため、セキュリティ対策では「重要なサーバーだけを守る」という考え方では不十分です。

公開されているすべてのIT資産を把握することが、防御の第一歩となります。

OSINTを活用すれば「見えている資産」と「管理している資産」の差が分かる

では、自社でもOSINTを使えば、攻撃者と同じように公開されているIT資産を確認できるのでしょうか。

答えは「できる」です。

もちろん、不正アクセスや特別な権限は必要ありません。OSINTは公開されている情報を収集・分析する手法であり、自社の攻撃対象領域（Attack Surface）を把握する目的でも有効です。

例えば、自社ドメインを起点にサブドメインを調査すると、情報システム部門が認識していないホスト名が見つかることがあります。

「このサーバーは何のために動いているのか」「まだ利用されているのか」と確認していくと、数年前に公開したキャンペーンサイトや、開発時に作成されたテスト環境だったというケースは珍しくありません。

さらに、DNS情報やSSL証明書の情報を確認することで、現在利用されているサーバーだけでなく、過去に利用されていた資産の痕跡が見つかることもあります。

それらの情報を資産管理台帳と照らし合わせることで、「管理しているつもりだったが実際には漏れていた資産」が明らかになります。

重要なのは、「公開されているかどうか」という視点で資産を見直すことです。

社内の管理台帳だけを見ていては、インターネット側から見えている実態とのズレに気付きにくくなります。

「管理している」ではなく「継続的に確認している」が重要

IT資産管理は、一度棚卸しをすれば終わるものではありません。

新しいクラウドサービスの導入、新規システムの公開、組織変更、外部委託、M&Aなど、企業活動が続く限りIT資産も変化し続けます。

例えば、マーケティング部門が期間限定のキャンペーンサイトを公開したとします。

公開時には情報システム部門も把握していたとしても、キャンペーン終了後に閉鎖されなければ、数年後には存在自体を忘れられてしまう可能性があります。

クラウド環境でも同様です。

開発用に一時的に構築した仮想サーバーや検証環境が、削除されないままインターネットに公開され続けていることがあります。

その時点では脆弱性がなくても、数年後にはOSやミドルウェアのサポートが終了し、新たな脆弱性が発見されることもあります。

つまり、「公開した時点では安全だった」という事実は、現在の安全性を保証するものではありません。

だからこそ、IT資産管理は定期的な棚卸しと継続的な確認が欠かせません。

少なくとも年に数回は、公開されているサーバーやサブドメインを洗い出し、現在も必要な資産なのか、適切に保守されているのかを確認する運用を取り入れたいところです。

攻撃対象領域（Attack Surface）の把握がセキュリティ対策の出発点

近年は「Attack Surface Management（ASM）」という考え方が広く浸透しつつあります。

ASMとは、インターネットからアクセス可能なIT資産を継続的に可視化し、リスクを管理する取り組みです。

従来のセキュリティ対策は、ファイアウォールやEDR、ウイルス対策ソフトなど、「侵入を防ぐ」ことに重点が置かれていました。

一方でASMは、「そもそも攻撃対象となる資産を正しく把握できているか」という視点からセキュリティを見直します。

実際には、把握していないサーバーや古いWebサイトが一つ見つかるだけでも、大きな改善につながることがあります。

不要であれば公開を停止する、必要な資産であればOSやミドルウェアを更新する、アクセス制御を見直すといった対応が可能になるからです。

これは大規模なシステム更新ではなく、現状を正しく知ることから始まるセキュリティ対策といえます。

OSINTは攻撃者だけのものではありません。

自社を守るためにも、公開情報を活用して自社の攻撃対象領域を把握するという考え方が、これからますます重要になるでしょう。

公開資産だけでなく、漏えい情報にも目を向ける

公開されているサーバーやサブドメインを把握することは重要ですが、それだけでは十分とはいえません。

万が一、古いサーバーが侵害されていた場合、認証情報や設定情報、顧客データなどが外部へ持ち出される可能性があります。

漏えいした情報は、すぐに公開されるとは限りません。

攻撃者同士で売買されたり、ダークウェブ上のフォーラムで共有されたりするケースもあります。

そのため、自社の公開資産を管理すると同時に、「自社に関する情報が外部で流通していないか」を継続的に確認することも重要です。

例えば、自社ドメインのメールアドレスや認証情報、機密情報などがダークウェブ上で確認された場合、早期に把握できればパスワード変更やアクセス権限の見直しなど、被害拡大を防ぐための対応を迅速に進められます。

外部から見えるIT資産の管理と、漏えい情報の監視は、それぞれ独立した対策ではありません。

「公開されている資産を減らすこと」と「万が一漏えいした際に早期発見すること」を組み合わせることで、企業全体のセキュリティレベルをより高めることができます。

まとめ

企業が管理しているつもりのIT資産と、インターネット上から実際に見えているIT資産は、必ずしも一致していません。

古いキャンペーンサイトやテスト環境、利用を終えたサブドメインなど、担当者の異動や組織変更の中で存在が忘れられた資産は、攻撃者にとって格好の標的になります。

OSINTを活用すれば、自社を攻撃者と同じ視点で見直し、公開されているIT資産を可視化することができます。そして、不要な資産を整理し、必要な資産を適切に保守することが、攻撃対象領域を減らす第一歩となります。

さらに、公開資産の管理に加え、自社の認証情報や機密情報がダークウェブ上に流出していないかを継続的に監視することで、万が一の情報漏えいにも迅速に対応しやすくなります。

攻撃者は、自社が気付いていない情報まで調査しています。だからこそ、防御する側も公開情報を積極的に活用し、「何が見えているのか」「何が漏えいしている可能性があるのか」を継続的に確認する姿勢が求められます。

公開資産の棚卸しとダークウェブ監視を組み合わせた継続的なセキュリティ対策は、サイバー攻撃のリスクを低減する有効な取り組みなのです。