URLフォレンジック

このツールボックスは、ウェブサイト、IPアドレス、ホスティングプロバイダー、メールサーバー、ドメイン作成日、登録者情報、DMARCおよびSPFデータの調査のために提供されています。

URLフォレンジックは、ウェブアドレスとその背後にある公開記録、すなわちドメイン登録、DNS設定、ホスティングおよびメールインフラストラクチャ、そしてメール認証ポリシーを調査し、サイトが何であるか、どこに存在するのか、いつから存在しているのかを確立する実践です。URLフォレンジックは、その調査を単一の再現可能なチェックへと変換します。ドメインまたはURLを入力すると、ツールセットが公開情報源に直接問い合わせを行い、すべての発見事項は、その情報源と観測されたUTC時刻と共に返されます。

ツールセットが調査するもの

ドメインまたはURL調査の各部分は、それぞれ異なる問いに答えます。それらを総合することで、ウェブアドレスの時間的情報とインフラ内の位置が明らかになり、これはケースがさらに進む前の最初のトリアージに必要不可欠です。

ウェブサイトとURL

調査対象のアドレスは、スキーム、ホスト、パス、パラメータに分けられ、リンクの背後にある登録ドメインが、結論を出す前に明確にされます。

IPアドレス

名前が解決される公開アドレス、そのネットワークブロック、国、および割り当てを担当する不正使用連絡先。

ホスティングプロバイダー

そのアドレスが割り当てられている場所、ホスティング会社、クラウドプラットフォーム、またはコンテンツデリバリーネットワーク。これは通常、無関係なサイト間で共有されるインフラストラクチャを説明します。

メールサーバー（MX）

ドメインが郵便物を受け入れるメールサーバー（優先順位順）と、それらの背後にある公開アドレス。

ドメイン作成日

登録が最初に作成された日時、最終変更日時、および有効期限。メッセージが届く数日前に登録されたドメインは、多くの場合、事案における最も強力な初期兆候となります。

登録者情報

ドメインに記録されている登録保持者、レジストラ、ネームサーバー、および公開情報から入手可能な登録期間。

SPFデータ

ドメインが電子メールの送信を許可しているサーバー、および実際にメッセージを送信したアドレスがそのリストに表示されているかどうか。

DMARCデータ

認証に失敗したメッセージについてドメインが公開するポリシーと、結果のレポートを受け取るアドレス。

DNSレコード

パブリックリゾルバから直接読み取られたアドレス、エイリアス、メール、ネームサーバー、テキストレコードで、観測時刻も記録されています。

不正ドメイン

不正ドメインはサイバー犯罪、メール詐欺、オンライン詐欺に利用され、不正ドメインの分析はほとんどのサイバー犯罪捜査の第一歩であり、多くの場合、ドメイン作成日とメールサーバーが重要な出発点となります。

登録およびDNSレコードは公開されているため、サイトが閉鎖される前に数秒で確認し、保全することができます。ドメインの存続期間、レジストラ、ネームサーバー、およびメールポリシーは、新しく登録された類似ドメインと、それが模倣する確立されたドメインを日常的に区別します。

ドメイン調査の実行方法

ドメイン調査は、メールが送信されたIPアドレスを取得し、それをSPFレコードに記載されているものと照合するために使用されます。URL ForensicsはDIGITPOLが開発したツールです。

実際には、チェックは常に同じ順序で行われます。まずドメイン名が解決され、そのDNSレコードと登録データが読み取られます。次にホスティングおよびメールインフラストラクチャが特定され、公開されているSPFおよびDMARCポリシーと、実際のアドレスの挙動が比較されます。その結果、説明のないスコアではなく、証拠となるレポートが生成されます。

憶測ではなく証拠

結果は公開情報源のみから得られ、それぞれがその情報源と観測時間を明記しています。情報源が公開しないフィールドは推測されることなく空のままにされ、説明的なレコードにはラベルが付けられます。このツールセットはアドレスの背後にあるウェブサイトにアクセスせず、登録者の身元を特定すると主張せず、宛先が安全であることを保証するものではありません。これは調査官や分析官が作業するための技術的記録を提供するものです。

完了したすべてのチェックは、その内容のSHA-256ダイジェストで封印されているため、保存されたレポートが作成されてから変更されていないことを示すことができます。

URLフォレンジックを提供する機関

URLフォレンジックは、サイバー犯罪捜査、インテリジェンス、およびデジタルフォレンジック企業であるDigitpolによって開発および運営されています。Digitpolはツールセットの所有者およびプロバイダーであり、ツールセット自体がこのページの主題です。技術的な指標、疑わしい詐欺、帰属、証拠処理、またはインシデント対応を超えた支援が必要な場合は、Digitpolに連絡して、範囲と適切な次のステップについて話し合ってください。