攻撃者はあなたの会社のどこを最初に見ているか？
ドメイン・DNS・SSL証明書からわかる「外から見える60秒リスク診断」の仕組み
空き巣が犯行前に「家の鍵の種類」「2階の小窓が開いていないか」「郵便受けに新聞が溜まっていないか」を外から観察するのと同じように、サイバー攻撃者もまずインターネット上から見える貴社の公開情報（外部公開資産：アタックサーフェス）を自動プログラムで走査します。攻撃者と同じ目線で自社を外から60秒で点検する仕組みをわかりやすく解説します。
この記事の要点と4つの章のご案内
| 章構成 | 主なテーマ | 要点と確認ポイント |
|---|---|---|
| 1. 基本と全体像 | この記事の要点（3行まとめ） | 空き巣が犯行前に「家の鍵の種類」「2階の小窓が開いていないか」「郵便受けに新聞が溜まっていないか」を外から観察するのと同じように、サイバー攻撃者もまずインターネット上から見える貴社の公開情報（外部公開資産：アタックサーフェス）を自動プログラムで走査します。攻撃者と同じ目線で自社を外から60秒で点検する仕組みをわかりやすく解説します。 |
| 2. 現場での進め方と対策 | 建物を外からぐるっと一周するように、会社の「ネット上の外観」を点検する | 会社のオフィスビルであれば、正面玄関に鍵がかかっているか、裏口の通用門が開けっ放しになっていないかは誰でも目視で確認できます。ところがインターネット上の自社ドメイン（例：`example.co.jp`）となると、「現在のWeb制作会社が管理している本番サイト」以外に、「5年前の制作会社が作ったまま残っているテスト環境」や「退職した担当者が設定した古いリモート接続機器」が放置されていても、普段の業務ではまったく気づけません。 |
| 3. 関連する制度とルール | 外から見つかった弱点を塞ぐ「3つの優先アクション」 | このように、外部のインターネットからアクセス可能なすべての入り口を把握し、不要な穴を塞ぐ取り組みを「外部公開資産管理（EASM：External Attack Surface Management）」と呼びます。 |
| 4. 詳しい技術仕様としくみ | 公開ドメイン5大点検ポイント・インタラクティブ図解 | DNS設定画面を確認し、すでに終了したイベント用ページや開発テスト用のサブドメイン（`dev.`、`test.`、`old.`など）が残っていれば、サーバー上のデータを完全に消去したうえでDNSレコードを削除します。特に「すでに解約した外部クラウドサービスを指したままのDNSレコード（ダングリングDNS）」は、第三者にそのサブドメインを乗っ取られる原因になるため最優先で削除します。 |
この記事の要点（3行まとめ）
Key Takeaways- 01. 攻撃者は「会社名」ではなく、「古い設定のまま放置されたドメインと機器」を機械的に探している： うちの会社は小さいから狙われないというのは誤解です。攻撃者の自動ボットは24時間365日、世界中のIPアドレスとドメインを無差別にスキャンし、「鍵が開いている窓」を見つけて侵入します。
- 02. 社内システムに一切触れず、「ドメイン名1つ」から5つの重要リスクが60秒でわかる： メールのなりすまし防止設定（SPF/DKIM/DMARC）、忘れられたテスト用サブドメイン、古いPHP等のバージョン露出、SSL証明書期限、危険な公開ポートは外から即座に診断できます。
- 03. 経済産業省「SCS評価制度（★3）」の第一歩は、外から見える自社の姿を把握すること： 高価な社内監視ツールを導入する前に、まずインターネット上に露出している自社の「外周（看板・玄関・勝手口）」を整理することが最も費用対効果の高い防衛策です。
01. 建物を外からぐるっと一周するように、会社の「ネット上の外観」を点検する
会社のオフィスビルであれば、正面玄関に鍵がかかっているか、裏口の通用門が開けっ放しになっていないかは誰でも目視で確認できます。ところがインターネット上の自社ドメイン（例：`example.co.jp`）となると、「現在のWeb制作会社が管理している本番サイト」以外に、「5年前の制作会社が作ったまま残っているテスト環境」や「退職した担当者が設定した古いリモート接続機器」が放置されていても、普段の業務ではまったく気づけません。
このように、外部のインターネットからアクセス可能なすべての入り口を把握し、不要な穴を塞ぐ取り組みを「外部公開資産管理（EASM：External Attack Surface Management）」と呼びます。
02. 外から見つかった弱点を塞ぐ「3つの優先アクション」
使っていないサブドメインと古いテストサイトの削除（棚卸し）
DNS設定画面を確認し、すでに終了したイベント用ページや開発テスト用のサブドメイン（`dev.`、`test.`、`old.`など）が残っていれば、サーバー上のデータを完全に消去したうえでDNSレコードを削除します。特に「すでに解約した外部クラウドサービスを指したままのDNSレコード（ダングリングDNS）」は、第三者にそのサブドメインを乗っ取られる原因になるため最優先で削除します。
HTTPヘッダのバージョン秘匿とセキュリティヘッダの付与
Webサーバーが返す応答ヘッダに `X-Powered-By: PHP/7.4` のような詳細なバージョン番号が含まれていると、攻撃者に「どの脆弱性攻撃コードを使えばよいか」を教えているのと同じになります。バージョン表記を非表示（`expose_php = Off` や `server_tokens off`）にし、根本的な対策として公開Webサイトの静的化と `Strict-Transport-Security`（HSTS）等の保護ヘッダ設定を行います。
リモートデスクトップ（RDP）や管理ポートの外部直接公開をゼロにする
インターネット上から直接アクセスできる状態になっているリモートデスクトップ（TCP 3389番ポート）やデータベース（5432番・3306番ポート）、古いファームウェアのままのVPN装置は、ランサムウェア侵入の最大の原因です。外部からの直接接続をファイアウォールで完全に遮断し、閉域網（vLAN）や最新の認証基盤経由のみに限定します。
| 外から見える公開信号 | 放置した場合の主なリスク | SCS評価制度（★3）での対応領域 |
|---|---|---|
| DNS（SPF / DKIM / DMARC） | 自社ドメインを騙る偽請求書・フィッシングメールの踏み台化 | 通信の安全性確保・なりすまし対策の実装 |
| CTログ（放置サブドメイン） | 管理外の古いテスト環境（シャドーIT）からの侵入・情報漏洩 | 外部公開IT資産の正確な棚卸しと継続的把握 |
| HTTPヘッダ（PHP等の版数露出） | 既知の脆弱性（CVE）を狙った自動ボットによるWebサイト改ざん | 脆弱性情報の収集と迅速なセキュリティ更新・静的化 |
| 公開VPN・RDPポート（3389番等） | 総当たり攻撃や機器の脆弱性を突いた社内網へのランサムウェア侵入 | 境界防御の強化・不要ポート閉鎖・多要素認証の徹底 |
公開ドメイン5大点検ポイント・インタラクティブ図解
下の5つの点検タブをクリックすると、「攻撃者が具体的に何を見ているか」「どうすれば安全になるか」「SCS ★3評価との関わり」が切り替わって表示されます。
【外から見える状態】 ドメインのTXTレコードを引くだけで、なりすましメールを拒否する設定（DMARC）が入っているかが一瞬で判明します。未設定の場合、貴社名義の偽請求書メールを取引先へ送る踏み台にされやすくなります。
【安全な処方箋】 DNSに正しいSPF・DKIM署名を設定したうえで、DMARCレコードを導入し、段階的に隔離（quarantine）・拒否（reject）ポリシーへ引き上げます。
よくあるご質問（FAQ）
Q. 「外から見える60秒リスク診断（外部公開資産の点検）」を行うと、社内のサーバーに負荷がかかったり、業務システムが止まったりしませんか？
一切影響ありません。この点検は、世界中の誰からも参照できるようにインターネット上に標準公開されている「DNSレコード（電話帳のような案内情報）」「SSL証明書の公開台帳（CTログ）」「Webページの標準ヘッダ情報」を読み取って分析する受動的・非侵襲的な手法です。社内パソコンにソフトを入れる必要も、サーバーのパスワードを預ける必要もありません。
Q. なぜ「昔キャンペーン用に作って放置していたサブドメイン（old.example.co.jp や test.example.co.jp）」が攻撃者にすぐ見つかってしまうのですか？
SSL/TLS証明書（https通信用の証明書）を発行すると、不正発行を防ぐ国際ルールにより「Certificate Transparency（証明書の透明性：CTログ）」という公開データベースにサブドメイン名が自動的に記録されます。攻撃者はこの公開ログを毎日検索しているため、ホームページ上からリンクを消して「誰も知らないはずだ」と思っていても、テストサイトや古い管理画面の存在は外から丸見えになっています。
Q. 自社のWebサイト自体は最新の状態なのに、「自社名義のなりすましメールが取引先に届いている」と言われました。なぜですか？
Webサイトとメールの送信認証は別の設定です。ドメインのDNS設定に「SPF」「DKIM」「DMARC（特に p=quarantine または p=reject）」という3つの送信ドメイン認証が正しく設定されていないと、第三者が貴社のメールアドレス（＠以降）を差出人に偽装して世界中へフィッシングメールを送ることができてしまいます。これは外から1秒で確認できるため、犯人が「なりすましに使いやすいドメイン」を探す際の最初の標的になります。
Q. 2026年から始まる経済産業省の「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」でも、これらの項目は見られますか？
はい、SCS評価制度の「★3（標準レベル：すべてのサプライチェーン企業が目指すべき基準）」において、外部に公開されている機器・サーバー・ドメインの把握（アタックサーフェス管理）、脆弱性情報の収集と迅速なパッチ適用、およびメール等のなりすまし・フィッシング対策は重要な評価柱として位置づけられています。
境界パケットフィルタ（FreeBSD PF synproxy）とメール認証RFC仕様はこちら
外部からの無差別ポートスキャンやSYNフラッド攻撃をカーネル層で無力化するFreeBSD PF構成と、SPF/DKIM/DMARCの厳密なプロトコル仕様を解説しています。