サイバー調査に役立つ、おすすめの無料OSINTツール21選

オンライン上では、無料またはほぼ無料のOSINTツールが数多く見つかります。ChatGPTでもかなりのリストを提供できます。しかし、ChatGPTでよくあることですが、それらのツールの中には存在しないもの、もう機能していないもの、質の低いデータを提供するものが含まれています。 

この記事では、さまざまなデジタル調査や情報収集の目的に実際に非常に役立つOSINTツールをいくつか集め、主な用途ごとに分類しました。これらのツールはすべて、サイバー犯罪の捜査、脅威ハンティング、攻撃型サイバーセキュリティ演習など、さまざまなタスクにおいて非常に役立つでしょう。

なお、このリストに掲載されているツールのほとんどは、インターネットインフラの調査やマッピング、およびネットワークやホストのアーティファクト、ドメイン名、IPアドレス、ハッシュ値などの侵害の兆候（IoC）の分析を目的としたものです。人物や組織、およびそれらのインターネット上の活動状況を調査するためのツールについては、以下で紹介するツールの一部もその目的に役立ちますが、BellingcatのOSINTツールキットもぜひご参照いただくことをお勧めします。

OSINTツールボックス

1. マルテゴ

Maltegoは、多目的OSINTピボットエンジンであり、関連性のマッピングを行うための視覚的な調査プラットフォームです。法執行機関やサイバーセキュリティ調査員の間で広く利用されています。このツールは、人物、組織、ドメイン、IPアドレスなどの「エンティティ」を基に、「トランスフォーム」を用いて関連情報を収集し、インタラクティブなグラフとして表示します。 

マルテゴの主な機能には以下のものが含まれます：

• 「トランスフォーム」――オープンデータソースやAPIからデータを取得する自動化された検索クエリのことです。
• 相互に関連付けられ、分析可能な様々なエンティティまたはデータポイント。
• インタラクティブグラフにおけるビジュアルリンク分析は、無料アカウントの場合、「変換」ごとに24件の結果に制限されます。
• 「マシン」と呼ばれる事前設定済みの変換セットにより、一般的な調査ワークフローを自動化します。
• 100以上のデータソースとの連携を可能にする事前構築済みコネクタをご用意しております。ただし、無料アカウントではアクセスが制限されます。

マルテゴは完全無料ではありませんが、ベーシックと呼ばれる無料プランがございます。このプランではコア機能に加え、月に数百クレジットが付与され、強力なエンジンを時折の小規模なOSINT調査にご利用いただけます。

Maltegoではどのようなことができるのでしょうか？

• サイバー犯罪の捜査： 自動化された変換機能を活用し、既知のメールアドレスを関連するドメイン、ソーシャルメディアのプロフィール、およびネットワークインフラと関連付けます 。
• 脅威アクターの特定： 一見無関係に見えるドメイン、IPアドレス、および登録者情報の間の関連性を解明します 。
• 企業のデューデリジェンス： 事業体、経営陣、およびウェブ上の資産の間に潜む関係性を特定し 、身元調査の過程でペーパーカンパニーや不審な提携関係を検知します。

2. スパイダーフット

SpiderFootは、脅威インテリジェンスおよび攻撃対象領域のマッピングを行うためのOSINT自動化ツールです。ドメイン名、サブドメイン、IPアドレス、個人名や会社名、メールアドレス、サブネット、ビットコインアドレス、ソーシャルメディアプラットフォームのアカウント、ユーザー名などのターゲットに関する情報を、200以上のデータソース（無料のものも有料のものもあります）から収集し、関連付けを行うことができます。

SpiderFootの主な機能には以下のものがございます：

• 200以上のモジュールまたは統合機能は、APIキーを必要としないか、無料プランが用意されています。
• ウェブベースのグラフィカルユーザーインターフェースとコマンドラインインターフェースの両方です。
• ターゲットに関する言及をTorネットワーク（ダークウェブ）内で検索するモジュールです。

SpiderFootはGitHubで無料で利用可能です。というか、3年間アップデートが行われておらず、承認待ちのプルリクエストが20件以上、優先順位付け待ちのイシューが100件以上あるバージョンが存在します。これはおそらく、SpiderFootが2022年にIntel 471に買収されたことに関係していると思われます。 買収の条件は明らかにされていませんが、それ以来、プロジェクトのオープンソース部分は放棄されたようです。ただし、この記事の執筆時点では、活発にメンテナンスされていると思われるフォークが存在します。

SpiderFootでは、どのようなことができるのでしょうか？

• 攻撃対象領域のマッピング： 対象組織に関連するサブドメイン、公開されているメールアドレス、開いているポート、および漏洩した認証情報を自動的に 列挙します。
• フィッシング調査： フィッシングキャンペーンの疑いがある背後に存在する関連インフラ（関連ドメイン、ホスティングプロバイダー、脅威インテリジェンスによる一致情報など）を特定します 。
• ダークウェブの監視： ダークウェブ上のフォーラムやマーケットプレイスにおいて、対象のドメインやメールアドレスに関する言及を検知します 。

3. OSINTフレームワーク

OSINT Frameworkは、ユーザーが無料のOSINTツールや公開情報源、リソースを見つけられるよう支援するために開発されましたが、一部のデータソースでは依然として登録が必要だったり、有料でより多くのデータが提供されたりする場合があります。これは、特定のデータポイントから情報を掘り下げていくためのツールボックスというよりは、対象となるデータポイントに関するさらなる情報を見つけることができるリソースのディレクトリのようなものです。 

OSINTフレームワークの主な特徴は以下の通りです：

• 非常に整理されており、ツールの一覧は、お客様が既に保有されている情報と、それを基に分析を進めたい情報の種類に基づいて、ツリー構造として提示されております。
• 無料またはオープンソースのツールを優先します。
• OSINTフレームワークはOSINTコミュニティによって維持管理されておりますため、掲載されているリソースは随時更新される可能性がございます。

OSINT Frameworkは完全に無料でオープンソースであり、ソースコードはMITライセンスのもとGitHubで公開されております。このプロジェクトは活発にメンテナンスされているようで、最新のプルリクエストは1ヶ月以内にマージされております。

警告：Redditの ユーザーからは、OSINT Frameworkに掲載されている一部のツールを使用しようとした際に、悪意のあるウェブサイトに誘導されてしまったという苦情が寄せられています。Frameworkの管理者側に責任はないと考えられ、これは大規模な無料ツールカタログ全般に共通する問題ではありますが、ご利用の際は十分にご注意いただくことをお勧めします。

OSINT Frameworkでは、どのようなことができるのでしょうか？

• 調査の出発点： メールアドレス、ユーザー名、IPアドレス、電話番号など、特定のデータタイプに適したツールを見つけましょう 。
• ツールの発見： 仮想通貨の追跡、ダークウェブの調査、車両識別など、あまり一般的ではない調査手法向けの無料リソースを見つけましょう 。

4.Domain Research Suite

Domain Research Suite WhoisXML APIが提供する「ドメインリサーチスイート」は、ウェブベースの調査プラットフォームであり、サイバー調査員やセキュリティアナリストに対し、ドメイン分析および現在・過去のドメイン関連イベントを網羅した、一元化された10-in-1ツールキットを提供します。これにより、ユーザーは登録者のメールアドレス、IPアドレス、ブランド名といった単一のデータポイントから調査を開始し、ドメインの調査、関連資産の特定、脅威アクターの追跡を行うことが可能です。

「Domain Research Suite 」Domain Research Suite 、以下の専用ツールDomain Research Suite ：

検索ツール	監視ツール
Reverse WHOIS Search WHOIS History Search WHOIS検索 Reverse DNS Search Domain Availability Check ドメインおよびサブドメインの検出 ドメイン情報検索	Domain Monitor Registrant Monitor Brand Monitor

このプラットフォームの主な機能は以下の通りです：

• 専用のツールを用いて数十億件もの記録にアクセスし、一見無関係に見える分野間の関連性を明らかにします。
• プライバシー保護による情報削除が行われる前の所有者情報やその他の詳細が明らかになる可能性のある、過去のWHOIS記録にアクセスすることで、そのようなデータが入手可能な場合、調査担当者がドメイン登録の経緯をより詳細に把握できるようになります。
• ドメイン登録の変更を追跡し、タイポスクワッティング、ブランド侵害、またはインフラの更新に関する自動アラートを受け取る機能です。
• 調査担当者が調査結果を簡単に整理し、包括的なレポートをダウンロードできる、使いやすいインターフェースです。

Domain Research Suite 商用製品Domain Research Suite 、新規ユーザーは無料アカウントを作成することで無料クレジットを受け取ることができ、プラットフォームを試用したり、初期段階のOSINT調査を無料で実施したりすることができます。

「Domain Research Suite」では、どのようなことができるのでしょうか？

• フィッシング調査： 不審な登録者のメールアドレスを起点として 、同じ攻撃者が登録したすべてのドメインを特定します。
• タイポスクワッティングの検知： ブランド名をnewly registered domains 特定し 、登録から数時間後に新たに登録された類似ドメインを捕捉できるようアラートを設定します。
• 攻撃者のプロファイリング： 過去のWHOIS記録を追跡し 、脅威アクターのドメイン登録活動のタイムラインを再構築します。これには、利用可能な場合、GDPR施行前のプライバシー保護による情報削除が行われる前の過去の詳細情報も含まれます。

5. ジェイクAI

Jake AIは、WhoisXML APIが提供するクラウドベースのドメインインテリジェンスAIアシスタントです。前述のMCPサーバーと同様の機能を備えておりますが、インストール作業は一切不要です。ウェブベースのGUIを備え、内部ではLLM（大規模言語モデル）とMCPサーバーを稼働させております。 

必要なのはAPIキーのみです。それさえあれば、Jake AIのご利用を開始いただけます。具体的には、OSINT調査、外部攻撃面の発見、脅威インフラのマッピングなど、様々な作業が可能となります。  

Jake AIは17種類のAPIと連携しており、次のような主な機能を備えています：

• 複数のAPIを組み合わせて複雑な質問にお答えできます。
• Jake AIでは一括検索が可能ですので、最大10個のIPアドレスまたはドメイン名を同時に調査することができます。
• 設定は簡単です。以下の3ステップで完了します：1.こちらからアクセスをリクエストしてください2. ログインしてください3. APIキーを入力してください（既存のWhoisXML APIのお客様は既存のAPIキーをご利用いただけます。新規ユーザーの方は無料のAPIクレジットを取得するために登録が可能です）
• 17種類のWhoisXML APIツールと、数十億件に及ぶWHOIS、IP、DNS、脅威インテリジェンスのデータポイントへのアクセスを提供いたします。

WhoisXML APIでは、Jake AIの組み込みモデルではなく、ClaudeやChatGPT、あるいはその他のプラットフォームをご希望の場合に備え、お好みのLLMをAPIに接続するためのMCPサーバーも提供しています。

Jake AIでは、どのようなことができるのでしょうか？

• 脅威インフラのマッピング： 自然言語で質問を行うことで 、WHOIS、DNS、および脅威インテリジェンスデータベースにまたがるデータを関連付けます。
• IoCの一括調査： 1つのワークフローで複数のIPアドレスやドメイン名を調査することで 、インシデント対応時のトリアージを迅速化します。
• ガイド付きOSINTワークフロー： AIアシスタントを活用することで 、17種類のAPIを手動で切り替えることなく、複雑で多段階にわたる調査を行うことができます。

検索エンジン

1. アミア・フィ 

Ahmia.fiは、Tor ネットワーク上の隠しサービスをインデックス化し、検索できるように設計された検索エンジンです。これにより、捜査官は Tor ネットワークを手動で閲覧することなく、ダークウェブ上のコンテンツや .onion サイトを見つけることができます。 

主な特徴は以下の通りです：

• ダークウェブ専用のサービスですが、通常のウェブブラウザからアクセス可能です。
• 検索結果を前日、前週、または前月に追加された項目に限定できる時間フィルターがございます。
• 違法となる可能性のあるコンテンツをフィルタリングします。

Ahmia.fiは無料でご利用いただけます。本プロジェクトへの貢献をご希望の方は、GitHubにてBSD-3-Clauseライセンスのもと公開されております。

Ahmia.fi では、どのようなことができるのでしょうか？

• ダークウェブの監視： Torネットワークを手動で閲覧することなく、.onionサイト全体で言及されているキーワード、メールアドレス、またはブランド名を検索できます 。
• ダークウェブの発見： 手作業で管理された.onionディレクトリだけに頼ることなく、キーワードでインデックス登録された.onionサイトを見つけられます 。

2. インテリジェンスX

Intelligence Xは、ダークネット、ドキュメント共有プラットフォーム、WHOISデータベース、およびメールアドレス、ドメイン、URL、IPアドレス、CIDR、ビットコインアドレス、IPFSハッシュなど、通常の検索エンジンでは通常インデックス化されない場所にあるオンライン情報の検索を専門としています。

インテリジェンスXの主な機能には以下のものが含まれます：

• 他の検索エンジンよりも幅広い範囲をカバーしております。複数の情報源を検索対象とするためです。
• 現在のデータを検索するだけでなく、過去のデータもアーカイブします。
• 多様な入力タイプに対応しております。
• 日付、メディアタイプ、特定の国、特定のトップレベルドメイン（TLD）、その他のカテゴリによる詳細検索フィルター。

Intelligence Xは商用製品ですが、最大4種類の無料プランを提供しております。もちろん有料プランと比べると機能が大幅に制限されておりますが、それでも十分な役割を果たします。

Intelligence Xでは、どのようなことができるのでしょうか？ 

• データ漏洩に関する調査： 過去のデータ漏洩事例や公開されている漏洩データセットから、流出したメールアドレスやドメインを検索し 、自組織の機密情報が流通していないかを確認します。
• ダークウェブ情報： 通常の検索エンジンではインデックス化されない、ダークウェブのフォーラム、ペーストサイト、文書共有プラットフォームから、アーカイブされたコンテンツやインデックス化されたコンテンツを検索します 。
• 金融犯罪の調査： ビットコインアドレスを検索し 、複数の情報源や過去のアーカイブにわたる関連する言及を見つけます。

3. 初段

Shodanは、インターネットに接続されたデバイス向けの検索エンジンであり、IPアドレスをスキャンして公開されているサービス、産業用制御システム、ウェブカメラ、その他のネットワークデバイスを発見するためにご利用いただけます。 

Shodanの主な機能は以下の通りです：

• このツールの検索機能はデバイス中心であり、ウェブサイトをインデックス化する他の検索エンジンとは異なります。
• サービスバナー（稼働中のソフトウェアやハードウェアに関するメタデータ）を表示します。これらは、バージョン番号、脆弱性、設定ミスなどを明らかにすることがよくあります。
• 場所、メタデータ、ホスト名、インターネットサービスプロバイダー、オペレーティングシステム、その他のパラメーターに基づいて結果をフィルタリングすることが可能です。

Shodanは商用価格プランを提供しており無料プランはございませんが、ログインを必要とせずに基本的な検索を実行することは可能です。

初段を取得すると、どのようなことができるのでしょうか？

• 公開されている資産の検出： 組織のIPアドレス範囲内で、古いバージョンのソフトウェアを実行している、または外部からアクセスされるべきではないポートが開いている、インターネットに公開されているサービスを特定します 。
• 脅威ハンティング： バナーデータやメタデータを活用して、既知の脅威アクターのインフラストラクチャの設定フィンガープリントと一致するIPアドレスやサービスを検索し 、悪意のあるホストを特定します。

4. Censys検索

Censysの検索エンジンでは、証明書やホスト（IPアドレス、ドメイン名、またはプロトコル）をスキャンすることが可能です。これにより、ウェブサーバー、データベース、その他のインターネットに公開されているシステムにおける設定ミスを特定するのに役立ちます。 

主な特徴は以下の通りです：

• SSL/TLS証明書に関する詳細な情報を提供しておりますが、履歴の変更内容、WHOIS情報、関連ドメインなどの詳細情報にアクセスするには、アカウントの作成が必要となります。
• 公開されているポート上で動作しているソフトウェア、バージョン、およびプロトコルを特定します。
• IPv4空間全体に対して広範かつ詳細なスキャンを実行し、他のスキャナと比較して、公開されているサービスやデバイスの異なるセットを発見することがよくあります。

Censys Searchは商用製品ですが、アカウントをお持ちでなくとも一部の検索を実行することが可能で、無料プランでは追加情報も提供しております。 

Censys Searchではどのようなことができるのでしょうか？

• 証明書のピボッティング： 特定のSSL/TLS証明書を共有するすべてのドメインを特定し 、その証明書に関連付けられた追加のインフラストラクチャを特定することで、脅威アクターの特定に向けたさらなる手がかりを得ることができます。
• 設定ミスの検出： 攻撃者に悪用される前に、IPv4アドレス空間全体にわたって、外部からアクセス可能なデータベース、開放状態のRedisやElasticsearchインスタンス、および設定ミスのあるWebサーバーを特定します 。

インフラストラクチャ分析ツール 

1. BuiltWith 

BuiltWithは、特定のウェブサイトの構築や運用に使用されている技術を特定するウェブサイト分析ツールです。コンテンツ管理システム（CMS）やECプラットフォームから、分析ツール、ホスティングプロバイダー、広告ネットワークに至るまで、あらゆる情報を明らかにします。 

BuiltWithの主な機能は以下の通りです：

• 11万7,000件以上のウェブ技術が収録されたデータベースです。
• ウェブサイトにおける技術の歴史的な使用状況を追跡すること。
• 複数のサードパーティベンダーとの連携機能がございますが、そのほとんどは営業およびマーケティング関連となります。

BuiltWithは商用ツールですが、個々のウェブサイトの検索は無料で、登録すら必要ありません。有料プランでは、特定の技術を使用して構築されたウェブサイトのリストを取得することが可能です。 

BuiltWithでは、どのようなことができるのでしょうか？

• フィッシングサイトの分析： フィッシングの疑いがあるサイトで使用されているCMS、ホスティングプロバイダー、CDN、アナリティクスタグ、トラッキングスクリプト、JavaScriptライブラリ、その他の技術を特定します 。アナリストは、その技術スタックを正規のインフラストラクチャと比較し、再利用可能な特徴を特定し、関連する不審なサイトをグループ化して、さらなる調査を行うことができます。
• 競合分析： CDN、ECプラットフォーム、分析ツールなど、競合他社の技術スタック全体を詳細に把握し 、インフラ計画や市場調査に役立てます。

2. ネットクラフトのサイトレポート

NetcraftのSite Reportは、Netcraftのインターネットデータマイニングおよびサイバー犯罪監視の能力を活用し、あらゆるウェブサイトのセキュリティおよび技術に関する詳細な概要を提供します。このレポートでは、対象となるウェブサイトのホスティング情報、サイトの人気度、ネットワークの詳細、ならびにSSL/TLS、SPF、DMARCレコードを含む各種セキュリティ関連の設定を確認することができます。

主な特徴は以下の通りです：

• Netcraftのサイトレポートには、SSL/TLS証明書の詳細、HTTPセキュリティヘッダー（例：X-Frame-Options、CSP）、メール認証レコード（SPF、DMARC）といった重要なセキュリティ情報が含まれております。
• このレポートは、対象サイトのホスティング状況、運用開始時期、評価（レピュテーション）に関するコンテキストを提供し、フィッシングや悪意のある意図の兆候を把握するのに役立ちます。
• ウェブサイトのホスティング事業者、IPアドレス、ネームサーバーの変遷を時系列で追跡します。
• サイト報告ページから簡単にアクセスできる、不審なウェブサイトを報告するオプションです。 

Netcraftのサイトレポートは完全無料です。Netcraftでは、類似のウェブサイトを検索できる有料製品も提供しております。

Netcraftのサイトレポートでは、どのようなことが可能でしょうか？

• フィッシングの検証： 不審なドメインのホスティングプロバイダー、IP／ネットワーク情報、サイトの技術仕様、トラッカー、および過去のインフラ関連の兆候を確認し 、そのサイトが新規に作成されたものか、あるいは正当なブランドを装った不審なサイトであるかを評価します。
• セキュリティ設定の確認： セキュリティ監査やベンダー評価の一環として、サイトのSSL証明書の詳細、HTTPセキュリティヘッダー、SPF、およびDMARCを確認します 。

3. urlscan.io

urlscan.ioは、調査担当者が URL を送信し、ブラウザのような環境で読み込まれた際のウェブサイトの動作を検証できる、ウェブスキャンおよび分析プラットフォームです。このプラットフォームでは、ページの読み込み時に経由するインフラストラクチャが表示されます。これには、最終ドメイン、IP アドレス、自律システム番号（ASN）、国、PTR レコード、サーバーヘッダー、リダイレクト、TLS の詳細、リクエストされたリソース、アクセスされたドメイン／IP アドレス、ハッシュ、スクリーンショット、DOM データなどが含まれます。

urlscan.ioの主な機能は以下の通りです：

• 公開スキャン、非公開スキャン、またはプライベートスキャン。
• ドメイン、IPアドレス、ASN、ハッシュ、その他の属性に基づいて、既存のスキャンに対して検索クエリを実行できる検索機能です。
• URLの送信、スキャン結果の取得、および既存のスキャンデータの検索を行うためのAPIアクセスです。

urlscan.io では、利用制限付きで無料のウェブスキャンおよび API アクセスをご提供しています。有料プランでは、利用制限の緩和に加え、脅威ハンティング、モニタリング、フィッシング情報フィード、類似性検索、高度な検索機能などが追加されます。

urlscan.io では、どのようなことができるのでしょうか？ 

• フィッシングURLの分析： フィッシングの疑いがあるリンクを送信すると 、そのリンクが読み込まれた際に通信を行うすべてのドメイン、IPアドレス、およびリソースを確認できます。
• マルウェアの配信チェーンのマッピング： 悪意のあるページによって読み込まれるJavaScriptによるリダイレクト、外部スクリプト、およびリソースを特定し 、マルウェア配布キャンペーンの背後にある配信チェーン全体をマッピングします。

脅威インテリジェンスツール

1.LevelBlueのOpen Threat Exchange（OTX）

OTX（以前はAlienVault社のOTXでしたが、現在はAT&Tのサイバーセキュリティ部門「LevelBlue」傘下にあります）は、セキュリティ専門家が協力して最新のセキュリティ脅威に関する情報を共有する、コミュニティ主導の無料脅威インテリジェンス共有プラットフォームです。侵害の兆候（IoC）、マルウェアファミリー、攻撃者に関する情報を入手できるほか、業界別に脅威インテリジェンスを閲覧することも可能です。

主な特徴は以下の通りです：

• 脅威インテリジェンスは「パルス」として整理されており、これは特定の脅威の概要、その影響、および標的となったソフトウェアをまとめたIoCの厳選リストです。
• OTXは、APIを介して共有されたIoCをセキュリティ基盤（例：SIEM、ファイアウォールなど）に自動的に統合することを可能にします。
• IPアドレス、ドメイン、URL、ファイルハッシュ（MD5、SHA-1、SHA-256）、メールアドレスなど、幅広いIoCタイプに対応しております。

多くの商用脅威インテリジェンスフィードとは異なり、OTXは豊富なリアルタイム脅威データへの無料かつオープンなアクセスを提供しております。

AlienVault OTX ではどのようなことができるのでしょうか？ 

• IoCの充実： 不審なIPアドレス、ドメイン、またはファイルハッシュを検索し 、世界中のセキュリティコミュニティから提供された関連する脅威インテリジェンス情報、マルウェアファミリー、および攻撃キャンペーンを抽出します。
• インシデント対応： OTXパルスに対する侵害の過程で発見されたIoCを照合し 、即座に状況把握、犯行主体の特定の手がかり、および標的となったシステムを特定します。
• 脅威フィードの統合： OTX APIを使用して 、厳選された IoC リストを SIEM、ファイアウォール、または EDR プラットフォームに直接取り込み、自動検知およびブロックを実現します。

2. WhoisXML APIのThreat Intelligence API 

The Threat Intelligence API を使用すると、調査担当者は、任意のドメイン、URL、IPアドレス、CIDR番号、またはハッシュに関するサイバーセキュリティインテリジェンスや脅威情報を検索できます。また、ワイルドカードによるクエリにも対応しており、検索語句を含むIoCがあるかどうかを確認することができます。

WhoisXML APIのThreat Intelligence API の主な特徴はThreat Intelligence API ：

• クエリの応答が標準化されたXMLおよびJSON形式で提供されるため、シームレスな統合が可能です。
• ハニーポット、サーバーログ、OSINTデータソース、ISP不正利用報告など、様々なデータソース。
• サイバー攻撃、ボットネットの使用、C&C通信、マルウェア、フィッシング、スパム送信、Torの使用、および不審な活動など、複数の種類の脅威を網羅しております。
• 複数のIoCタイプに対応しております。具体的には、ドメイン、URL、IPアドレス、CIDR、ハッシュなどが挙げられます。

WhoisXML APIのツールの大半と同様に、Threat Intelligence API 完全にはThreat Intelligence API 、ユーザーが試用できる一定の無料月間クレジット枠を提供しております（小規模な調査を支援するのに十分な量です）。

Threat Intelligence API を使って、どのようなことができるのでしょうか？ 

• IoCの検証： セキュリティアラートに対応する前に、ドメイン、IPアドレス、またはファイルのハッシュが複数の脅威インテリジェンスフィードでフラグ付けされているかどうかを確認し 、誤検知を減らします。
• フィッシング検知： 不審なメールから抽出したドメインやURLをAPIを通じて検証し 、既知のフィッシングインフラストラクチャの有無を確認します。
• ボットネットのC2の特定：IPアドレスについて、ボットネットのコマンド＆コントロール（C2）活動、スパム送信、またはTorのエグジットノードの利用との既知の関連性を調査します。

3. VirusTotal

VirusTotalは、不審なファイル、URL、ドメイン、IPアドレスを70以上のアンチウイルススキャナーおよび脅威インテリジェンスのブラックリストサービスに対して分析する無料のオンラインサービスです。ユーザーは不審なリソースをスキャンするだけで、脅威エンジンがそれを悪意のあるものと報告しているかどうかを確認できます。

主な特徴は以下の通りです：

• 登録ユーザーが指標についてコメントし、貴重な背景情報を共有できるようにします。これにより、他のユーザーの分析が充実し、誤検知や見逃しを特定するのに役立ちます。
• その関係性グラフにより、ユーザーはファイル、URL、ドメイン、およびIPアドレス間のつながりを可視化することが可能となります。
• 脅威の検出に加え、VirusTotalではWHOIS登録データとGoogle検索結果を提供しております。

VirusTotalは、基本的なWeb分析であれば無料で利用でき、無料のAPIアクセスも提供されていますが、いくつかの厳しい制限があります。また、大容量のデータエンリッチメントやYARAベースのハンティングなど、プレミアム／エンタープライズ向けの機能も用意されています。

VirusTotalではどのようなことができるのでしょうか？ 

• マルウェアファイルの分析： 不審な実行ファイルをアップロードすると 、複数のウイルス対策エンジンで同時にスキャンを行い、ファイルをローカルで実行することなく、検出名、ファイルのメタデータ、既知のマルウェアファミリーのラベル、静的指標、および動作の観察結果などの情報を追加できます。
• URLおよびドメインの信頼性： リンクをクリックしたり、ネットワークフィルタで通過を許可したりする前に、そのURLやドメインが脅威インテリジェンスサービスによってブラックリストに登録されていないかを確認してください 。
• 関係性のマッピング：VirusTotalのグラフ機能を使用して、マルウェアのサンプル、関連ドメイン、およびIPアドレス間の関連性を追跡します。

4. グレーノイズ

GreyNoiseは、あるIPアドレスが、インターネット全体を対象としたスキャン、エクスプロイト、ボット活動、あるいはインターネットに接続されたシステムに頻繁に発生するその他のノイズの一部であるかどうかを、アナリストが把握できるよう支援する脅威インテリジェンスプラットフォームです。その無料のコミュニティ版では、ユーザーがIPアドレスを検索することで、そのアドレスがインターネットのスキャンを行っていることが確認されているか、あるいはGreyNoiseの既知のビジネスサービスに関するデータセットに含まれているかを確認することができます。

GreyNoiseの主な機能は以下の通りです：

• 利用可能なコンテキストに応じて、「正常」、「悪意のある」、または「不明」といったIP分類ラベルを付与します。
• インフラストラクチャに関する情報（組織、ASN、国、地域、都市、ドメイン、通信事業者、データセンター、rDNS、および利用可能な場合はrDNSの親ドメインなど）。
• 「トレンド」、「今日のトピック」、「タグ」、「分析」の各セクションでは、インターネット上のスキャン活動や悪用活動、デジタルセキュリティリスクについて幅広く探ることができます。

GreyNoiseは商用製品ですが、基本的なIP検索ができる無料のコミュニティ版も提供されています。無料版／コミュニティ版の利用には制限がありますが、有料プランでは、より幅広いアクセス、大容量の検索、詳細なコンテキスト情報、連携機能、フィード、および追加の調査機能をご利用いただけます。

GreyNoiseでは、どのようなことができるのでしょうか？ 

• アラートのトリアージ： セキュリティアラートを発生させたIPアドレスが、日常的なインターネットのバックグラウンドスキャンによるものかどうかを判断し 、アナリストが「偶発的なノイズ」と「標的型攻撃」を迅速に見分けるのを支援します。
• 脅威ハンティング： 既知の脆弱性を積極的に悪用している、あるいは特定のサービスをスキャンしているIPアドレスを特定します 。

ドメインインテリジェンスツール

1. WhoisXML APIのWHOIS履歴 

WhoisXML APIのWHOIS履歴機能では、ドメインに関する数十億件の過去のWHOIS記録にアクセスできます。これにより、調査担当者は所有権の変更、登録詳細、連絡先情報を時系列で追跡することが可能となります。 

WhoisXML APIのWHOIS履歴機能の主な特長は以下の通りです：

• API経由、ウェブベースの検索ツール、および完全なデータベースを含む、複数のデータ消費モデル。
• 古いウェブサイトについては、本ツールはGDPR施行前のWHOIS記録へのアクセスを提供します。GDPR施行後は登録者情報の広範な非表示化が行われており、多くの場合、ユーザーがウェブサイトの所有者連絡先情報を確認できるようになります。 
• データベースは毎日更新され、情報が最新の記録を含むことを保証しております。
• 標準化されたJSONおよびXML出力形式により、ワークフローへの統合が容易です。

「WHOIS History」は商用サービスですが、登録時に500クレジット分の無料API利用枠が提供されます。

WHOIS履歴を使って、どのようなことができるのでしょうか？ 

• ドメインの登録者特定： GDPR施行前のプライバシー保護による情報削除が行われる前の登録者の連絡先情報を取得し 、そのドメインを最初に登録した人物を特定します。
• 脅威アクターの追跡： ドメインの登録履歴における所有権の変更を監視し 、既知の悪意あるアクターに所有権が移った場合や、有効期限切れ後に再登録された場合を特定します。
• 不正調査： 不正なウェブサイトの登録履歴をすべて追跡し 、時系列に沿った攻撃者のプロファイルを構築するとともに、そのドメインと関連資産との関連性を特定します。

2. WhoisXML APIのDNS履歴

WhoisXML APIのDNS履歴製品には、DNS Chronicle API、ウェブベースの 検索ツール、および DNS database downloadが含まれます。これらは調査担当者が、フォワードおよびリバースの履歴DNS検索を実行することを可能にします。フォワード検索では、特定のドメインの過去のDNS設定ログ（IPアドレス、ネームサーバー、メールサーバー、その他のDNSレコードの変更を含む）にアクセスできます（一部のレコードタイプはデータベースダウンロードオプションでのみ利用可能です）。IPアドレスに対するリバースDNS検索では、関連するすべての完全修飾ドメイン名（FQDN）のリストが返されます。 

DNSクロニクルの主な機能は以下の通りです：

• 数百億件に及ぶ過去のDNSレコードへのアクセスを提供いたします。
• ドメインのDNSアクティビティの詳細なタイムラインを、時系列順に整理して提供いたします。
• 世界中のセンサーから収集されたパッシブDNSデータを集約し、DNS解決の経過を記録します。
• WHOIS履歴と同様に、WhoisXML APIはAPI統合またはデータベースダウンロードを通じて、柔軟なDNS履歴アクセスを提供いたします。

他のWhoisXML APIツールと同様に、DNS Chronicleは商用サービスですが、ご登録時に500クレジットの無料APIクレジットが提供され、ウェブ検索とAPIアクセスの両方にご利用いただけます。

DNS履歴を使って、どのようなことができるのでしょうか？ 

• IPからドメインへの ピボッティング： 過去に不審なIPアドレスに解決されていたすべてのドメインを 特定し 、共同ホストされているインフラを特定するとともに、同じ運営者に結びつく追加の資産を明らかにします。
• 脅威インフラのタイムライン： IPアドレスのホップやネームサーバー、メールサーバーの変更を含め、脅威アクターのドメインのDNS設定が時間の経過とともにどのように変化したかを再構築し 、その活動経路を追跡します。
• C2の追跡： 過去のDNSレコードを活用して 、マルウェアキャンペーンの背後にあるC2インフラストラクチャ全体を特定し、検知を回避するためにドメインやIPアドレスがどのようにローテーションされていたかを追跡します。

3. WhoisXML APIのIP Geolocation APIジオロケーションAPI

IP Geolocation API WhoisXML APIの製品の一つであり、任意のIPv4またはIPv6アドレスに対して地理的およびネットワーク上の情報を付加します。これには国、地域、都市、郵便番号、正確な座標、タイムゾーンが含まれます。また、そのIPアドレスに関連するインターネットサービスプロバイダー（ISP）や自律システム（AS）の詳細、関連ドメイン名に関する情報も明らかにします。

主な特徴は以下の通りです：

• IPv4およびIPv6の両方において、世界中の数十万ものユニークなロケーションをカバーする99.5%のIPアドレスカバレッジを実現しております。
• 国や都市だけでなく、緯度、経度、郵便番号を含む非常に詳細な位置情報を提供いたします。
• 対象のIPアドレスに関連付けられたドメイン名を最大5つまで登録するオプションがございます。

ご登録後、クエリ数が1,000件までという無料プランが自動的に適用されます。

IP Geolocation APIでは、どのようなことができるのでしょうか？ 

• 不正検知： ユーザーが申告した位置情報と、IPアドレスから推定される国、地域、都市とを照合し 、アカウント乗っ取りの試みや、予期しない場所からの取引を検知します。
• アラートの情報充実： SIEMアラートやサーバーログで検出された不審なIPアドレスに対し、地理情報、ISP、自律システムに関するコンテキスト情報を追加します 。
• アクセスログの分析：Webサーバーのログから取得した大量のIPアドレスに、位置情報やネットワークデータを付加することで、通常とは異なる地域やASNからのトラフィックの急増といったパターンを特定します。

4. OWASP Amass 

OWASP Amassは、オープンソースの攻撃対象領域マッピングおよび外部資産発見フレームワークです。このフレームワークは、オープンソース情報収集や偵察手法を活用し、調査担当者がドメイン、サブドメイン、関連インフラ、およびその他の接続された資産を発見するのに役立ちます。

Amassの主な機能は以下の通りです：

• ドメインおよび関連インフラストラクチャ全体にわたる、外部アセットの自動検出。
• OSINT情報源および、設定されている場合はアクティブな偵察手法を用いたサブドメインの列挙。
• 発見された資産間の関係性を明らかにするのに役立つネットワークマッピングです。
• 調査結果を保存し、攻撃対象領域の長期的な追跡を支援するために設計された資産データベースおよびオープン・アセット・モデルです。
• ソースからのビルド、Homebrew、Docker、またはDocker Composeによる柔軟な導入が可能です。

Amassは無料のオープンソースソフトウェアです。OWASP Amassプロジェクトは、Apache 2.0ライセンスに基づき、無料でご利用いただけます。

Amassではどのようなことができるのでしょうか？ 

• サブドメインの列挙： ペネトレーションテストや外部攻撃面の評価の一環として、対象ドメインのすべてのサブドメインを特定します 。
• 資産インベントリ：組織が所有する、インターネットに接続されているすべてのインフラストラクチャを把握します。
• 脅威調査： オープンソースインテリジェンスの手法を用いて、既知の脅威アクターのインフラに関連する追加のドメインやIP範囲を、既知のインジケーターを足掛かりとして特定します 。

5. Archive.today

Archive.today（archive.is、archive.ph、およびその他のいくつかのドメインエイリアスからアクセス可能です）は、ユーザーがウェブページのスナップショットを保存・取得できるウェブアーカイブサービスです。OSINT調査においては、調査中に変更されたり、削除されたり、アクセスできなくなったりする可能性のあるページを保存しておくのに役立ちます。また、以前に保存されたスナップショットを確認するためにも利用できます。 

Archive.todayの主な機能は以下の通りです：

• さまざまな検索方法に対応しています。ホスト名、完全なURL、URLのプレフィックス、またはワイルドカードサブドメイン（*.medium.com）による検索が可能です。 
• レポートや調査メモで共有できる、アーカイブされた記録への短縮リンクです。
• タイムスタンプ付きの、最も古いスナップショットと最新のスナップショットのプレビューです。

Archive.todayは無料でご利用いただけます。

警告：2026年1月、archive.todayのページに、訪問者のブラウザを利用して第三者のブログに対して分散型サービス拒否（DDoS）攻撃を行うコードが埋め込まれていたことが判明しました。また、同サービスは過去にアーカイブされたスナップショットを改ざんしていたことも判明しました。その結果、ウィキペディアは2026年2月、archive.todayを参考情報源として使用することを禁止しました。archive.todayのスナップショットを証拠として参照する際は、その完全性が保証されていないため、十分にご注意ください。

Archive.today では、どのようなことができるのでしょうか？ 

• 証拠の保全： 調査中に改ざんされたり削除されたりする可能性のあるウェブページの、タイムスタンプ付きのスナップショットを保存します 。
• 過去の比較： ウェブサイトの過去のスナップショットを取得し 、コンテンツ、所有者情報、またはページ構造の変化を特定することで、そのドメインが悪意のある活動のために転用された可能性がないかを確認します。

結論

オープンソースインテリジェンス（OSINT）ツールは、サイバーセキュリティ、法執行機関、デジタルフォレンジック、デジタルリサーチ、脅威ハンティングのいずれの分野で活動している方であっても、あるいは単に「FBIエージェント志望」として楽しんでいる方であっても、あらゆる調査担当者のツールキットにおいて欠かせない要素です。オンライン上にはOSINTツールが数多く存在しますが、信頼性が高く、定期的に更新され、真に有用なツールを見つけるのは難しい場合があります。 そこで、ドメインの所有者の追跡、インフラの分析、脅威データのマッピング、あるいはディープウェブのスキャンなど、どのような用途であっても、確実に機能し、価値をもたらすツールに焦点を当てて、このリストを作成しました。

これらのツールの多くは、小規模な調査を行うのに十分なほど充実した無料プランを提供しています。これらを組み合わせて活用することで、高額なソフトウェアライセンスを購入することなく、オンライン上のセキュリティ脅威、不審なインフラ、デジタルフットプリントについて、より明確な全体像を把握することができます。いつものことですが、調査結果の検証を忘れず、プライバシー関連法を遵守し、OSINTを責任を持って活用するように心がけてください。

変更履歴

2026年6月：

• 追加：GreyNoise、Archive.today、Amass、urlscan.io、Domain Research Suite
• 更新：ツールの説明
• 削除済み：WhoisXML APIのサブドメイン検出機能、WhoisXML APIのMCPサーバー

2025年7月：

•  初版