OSINTツールは、担う役割ごとに選ぶのが最も簡単です。ドメインとインフラ用、SNS用、画像と動画用、漏えいデータ用、そして記録、アーカイブ、情報同士の関連付けのためのいくつかのツールです。本ガイドでは、各カテゴリで調査者が実際に使っているツールと、その得意分野および限界を紹介します。また、多くのツールリストが触れない点も扱います。それは、各調査があなた自身について何を明かしてしまうのか、そしてチームがそのネットワーク層にどう対処しているのかという点で、OSINTと調査報道のためのプロキシのページで取り上げているテーマです。
この分野が初めての方は、まずOSINTとはの入門記事をお読みください。情報源、手法、法的な境界線を解説しています。本記事は基本を理解したうえで、ツール群を知りたい方を想定しています。
ドメインとインフラ
ここでの問いは、誰がドメインやサーバーを運用しているのか、ほかに何がつながっているのか、そしてどのように変化してきたのかです。
- ICANN Lookupは、WHOISに代わる現在の仕組みであるRDAPを通じて登録データを照会します。GDPR以降、個人の詳細の多くは伏せられていますが、レジストラ、作成日、ネームサーバーは依然として役に立ちます。
- crt.shは証明書の透明性ログを検索します。公的に信頼されたTLS証明書はすべて記録されるため、ドメインを検索すると、所有者がどこにもリンクしていないサブドメインや関連するホスト名が見つかることがよくあります。
- SecurityTrailsはDNSレコードの履歴を表示するため、サイトがCDNの背後に移る前にどこでホストされていたかを突き止めるのに役立ちます。
- ShodanとCensysは、インターネットに接続されたデバイスやサービスをインデックス化しています。この証明書を共有している他のホストはどれか、まったく同じサーバーバナーを返すホストはどれか、といった問いに答えてくれます。
- urlscan.ioはサンドボックス内でURLを読み込み、何をリクエストしたか、どのドメインに接続したか、どのように表示されたかを記録します。
- VirusTotalは多数のアンチウイルスエンジンとURLスキャナーの判定結果を集約し、ドメイン、IPアドレス、ファイル間の関係を表示します。
このうち2つには、知っておくべき公開設定があります。urlscan.ioのスキャンは公開、非公開リスト、プライベートのいずれかにでき、公開スキャンは調査対象サイトの運営者を含む他者から見られる可能性があります。VirusTotalに送信したファイルやURLは、有料ユーザーが閲覧できます。機密文書は決してアップロードせず、送信によって用心深い相手に察知される可能性があると考えてください。
SNSとユーザー名
ここでの問いは、ある人物やアカウントがどこに現れるか、何をいつ投稿したかです。
- Sherlockは、1つのユーザー名を数百のサイトで確認するオープンソースのコマンドラインツールです。
- WhatsMyNameは、管理されたサイトのリストをもとに同じことを行い、コマンドラインを使いたくない人のためのウェブインターフェースも備えています。
- プラットフォーム自体の検索は、高度な演算子や日付フィルターと組み合わせれば、今でも最も信頼できる情報源です。サードパーティのツールは、プラットフォームがページやAPIを変更するたびに動かなくなるためです。
最後の点は年々重要になっています。プラットフォームは研究者向けのアクセスを頻繁に変更します。MetaはCrowdTangleを2024年8月に終了し、承認された研究者をMeta Content Libraryに移行させました。プラットフォームが現時点で認めている範囲に合わせて手法を組み立て、このカテゴリのツールは予告なく使えなくなるものと考えておいてください。
画像と動画
ここでの問いは、写真が最初にどこに現れたか、どこでいつ撮影されたか、編集されているかどうかです。
- 画像の逆検索には、Google Lens、TinEye、Bing Visual Search、Yandex Imagesを使います。それぞれウェブの異なる部分をインデックス化しているので、すべて試してください。TinEyeは結果を古い順に並べ替えられるため、オリジナルを見つけるのに役立ちます。
- InVID-WeVerifyプラグインは、ファクトチェッカー向けに作られたブラウザ拡張機能です。動画をキーフレームに分割して逆検索できるようにし、いくつかの画像フォレンジック用フィルターも備えています。
- ExifToolは画像や動画ファイルのメタデータを読み取ります。カメラの機種、タイムスタンプ、場合によってはGPS座標も含まれます。ほとんどのSNSはアップロード時にこれを削除するため、オリジナルのファイルで最も役立ちます。
- SunCalcは任意の場所と時刻の太陽の位置を表示するため、主張されている時刻を写真の影と照合できます。
- Google Earth Proには過去の画像があり、Copernicus Browserでは最近のSentinel衛星画像に無料でアクセスできます。これらを使って場所を確認し、どう変化したかを確かめます。
漏えいデータと流出データ
ここでの問いは、アカウント、メールアドレス、組織が既知の漏えいに含まれているかどうかです。これは法的なリスクが最も鋭いカテゴリです。
- Have I Been Pwnedは、メールアドレスが既知の漏えいに含まれているかどうかを教えてくれます。ドメイン検索ではドメイン上のすべてのアドレスを対象にできますが、そのドメインを管理していることを証明した後に限られるため、自分の組織の流出状況を確認するのに適しています。
- 商用の漏えいデータ検索サービスを使うと、調査者は漏えいレコードを直接検索できます。不正対策や脅威インテリジェンスの業務で使われていますが、大量の個人データを目の前にすることになります。
ここでのルールは、他のカテゴリよりも厳格です。漏えいレコードは個人データであり、GDPRや同様の法律のもとでは、それを検索・保存することは適法な根拠と明確な目的を必要とする処理に当たります。流出したパスワードを使ってアカウントにサインインすることは、調査の目的が何であれ不正アクセスです。自組織に関する流出を監視するチームは、通常は文書化されたポリシーの範囲内でそれを行っています。その方法はダークウェブとペーストサイトで流出した認証情報を監視するの記事で解説しています。これは一般的な情報であり、法的助言ではありません。
記録、アーカイブ、リンク分析
3つの補助的なカテゴリが、他のカテゴリを使えるものにしてくれます。
企業と公的記録。 OpenCorporatesは多くの国の商業登記を集約しています。また、英国のCompanies HouseやSECのEDGARデータベースといった各国の登記は、引用すべき一次情報源です。
アーカイブと保存。 Wayback Machineとarchive.todayは、ページの過去のバージョンを表示し、新しいバージョンを保存できます。Hunchlyは調査中に訪れたすべてのページをタイムスタンプ付きで記録します。これこそが発見を証拠に変えるものです。
自動化とリンク分析。 theHarvesterは公開情報源から、あるドメインのメールアドレス、サブドメイン、ホストを収集します。SpiderFootは対象に対して数十種類の調査を自動で実行します。Maltegoは結果をグラフとして描画するため、どのドメイン、人物、組織がつながっているかを確認できます。より特化したものが必要な場合は、OSINT Frameworkのウェブサイトが大規模なディレクトリになっています。
| カテゴリ | まず使うもの | 無料の選択肢 |
|---|---|---|
| ドメインとインフラ | crt.sh、ICANN Lookup、urlscan.io | crt.sh、ICANN Lookup、その他のツールの無料プラン |
| SNSとユーザー名 | プラットフォームの検索、Sherlock、WhatsMyName | Sherlock、WhatsMyName |
| 画像と動画 | 画像の逆検索、InVID-WeVerify、ExifTool | すべて |
| 漏えいデータ | Have I Been Pwned | 単一アドレスの場合のHave I Been Pwned |
| 記録とアーカイブ | OpenCorporates、Wayback Machine、Hunchly | OpenCorporatesの検索、Wayback Machine |
| リンク分析 | SpiderFoot、Maltego | SpiderFoot（オープンソース） |
どのツールもカバーしない層: 対象から何が見えるか
上記のツールはすべて、あなたの代わりにサービスに照会するか、あなたを対象に直接アクセスさせるかのどちらかです。調査が漏れるのは後者の場合です。
不審なドメイン、フィッシングキット、偽造品ショップをオフィスのネットワークから開くと、そのサイトにはあなたの組織のIPアドレスが記録されます。用心深い運営者はログを監視して反応します。あなたのIPレンジをブロックしたり、無害なページを表示したり、あなたが保存する前にサイトを閉鎖したりします。また、多くのサイトは訪問者の国によって異なるコンテンツを表示するため、オフィスから確認したページが、現地の被害者が目にしているものとは限りません。
調査チームは、いくつかの習慣によってこれに対処しています。
- 収集のトラフィックを自分のネットワークから切り離す。 レジデンシャルプロキシを使うと、リクエストは対象となる国や都市の家庭用回線から送信されるため、対象からはあなたの会社ではなく、ごく普通の現地訪問者として見えます。
- ブラウザを分離する。 別のブラウザプロファイルを使うか、悪意がありそうなものには仮想マシンを使い、普段の業務のCookieやセッションが対象に届かないようにします。これを大規模に行うセキュリティチームについては、サイバーセキュリティのユースケースのページで紹介しています。
- 調査用アカウントは慎重に扱う。 ログインが必要なコンテンツを閲覧するために、ソックパペットと呼ばれる別の調査用アカウントを使う調査者もいます。多くのプラットフォームは規約で偽アカウントを禁止しているため、規約と自組織のポリシーを確認し、そのアカウントが存在する理由を記録し、調査対象者をだましたり連絡を取ったりするために決して使わないでください。
- 限界を知る。 プロキシはサイトから見えるIPアドレスを変えるものです。ブラウザのフィンガープリント、ログイン中のアカウント、行動は隠せません。調査者の正体が明らかになる他の要因については、解説記事プロキシは匿名化ツールではないで取り上げています。
まとめ
OSINTツールは、答えようとしている問いに応じて選びましょう。インフラには証明書とDNSの調査、SNSにはユーザー名検索とプラットフォームの検索、画像には逆検索とメタデータ、漏えいの確認には通知サービス、そしてそれらすべてをまとめるためにアーカイブとリンク分析を使います。各ツールが検索内容について何を共有するのかを確認し、収集を自分のネットワークから切り離し、漏えいデータと調査用アカウントを、それが実際に伴う法的・倫理的リスクとして扱ってください。
チームで他の国のサイトを現地訪問者として閲覧する必要がある場合は、無料トライアルで試せます。3日間で100 MBのResidential Proxies、または最大10 IPまでの1日分のISP Proxiesをご利用いただけます。