Shodanに自社の機器が表示されたら、侵害されているということですか？

そうとは限りません。検索結果は観測時点の情報で、現在の設定や正しい所有者を保証しません。掲載情報だけで被害を判断せず、自社の台帳、管理者の設定、ログと照合して確認します。

検索結果から消えれば安全ですか？

安全とは言えません。検索結果を消すだけでは接続制限になりません。公開元の制限を行い、設定変更後は許可された点検手段と管理設定で修正を確認します。

ShodanとCensysは、インターネット上で観測されたサービス等の情報を調べるサービスです。自組織の外部公開資産を見直す材料になりますが、検索結果が現在の設定や正しい所有者を保証するわけではありません。

この教材は情シス、Web担当者、クラウド管理者向けです。自組織の既知の資産に対する観測情報を、台帳と管理設定で照合する判断を学びます。第三者の機器、カメラ、管理画面、脆弱なサービスを探すクエリやアクセス手順は扱いません。

外部からの観測は出発点。台帳・設定・ログと照合してから判断する。

外部観測に出ない資産もあります。掲載がないことを「公開されていない」という証明にしないでください。

対象ドメインとIPの所有者、クラウド・委託先の管理範囲、台帳、公開の承認、変更履歴、連絡先を集めます。APIキーや契約情報を教材や公開チケットに入力しません。製品の機能・契約・検索仕様は各公式資料で確認します。

公開ミスを確かめるために、未承認のログインや脆弱性悪用を試す必要はありません。

所有者と責任者へ共有し、公開元の制限、ログの保全、業務影響、再確認を並行して計画します。検索結果を消すだけでは接続制限になりません。設定変更後は、許可された点検手段と管理設定で修正を確認してください。

公開管理画面の初動対応と緊急点検チェックリストを使い、認証情報が露出した疑いがあれば失効・変更も別に判断します。

対象、所有者、観測日時、確認日時、掲載情報、管理設定との照合、公開目的、変更、残る制約を記録します。所有者不明、外部公開された管理経路、侵害兆候、必要なログの欠損は責任者へエスカレーションします。

第三者の資産へ接続しない、検索サービスのスコアを自社のリスク判定へ直結させない、掲載情報だけで被害を発表しないでください。ASMと資産台帳の作り方へつなげられます。

理解度チェック

外部観測に自社らしいIPが出たとき、まず確認することは？

定義や運用の詳細を確かめるための参照先です。製品・契約・規制によって適用範囲は異なります。実務では対象の版と自組織の手順を確認してください。