ドメインのIPアドレス検索：結果の読み方

ドメインのIPアドレス検索とは、あるホスト名に現在どのネットワークアドレスが関連付けられているかを問い合わせる、DNSクエリのことです。この言葉は、別のサービスを指すこともあります。IPアドレスを検索して、おおよその位置情報や所有者のデータを調べるものです。この2つは同じ操作ではありません。ドメインからIPへの解決は、DNSレコードを読み取ります。IPインテリジェンスのデータベースは、ほかの情報源から、ネットワークの登録情報や場所を推定します。結果を信頼する前に、どちらの方向で問い合わせたのか、どのデータソースから得られたのかを確認してください。この区別が重要なのは、DNSが答えるのは経路を決める名前についてであり、アドレスの背後にある組織やサーバーの身元を証明するものではないからです。

ドメインからIPへの検索は、DNSの操作

ホスト名に対する代表的なアドレスレコードは、IPv4用のAと、IPv6用のAAAAです。リゾルバーは、複数のレコード、片方のアドレスファミリーのデータなし、別のホスト名を指すCNAME、あるいはNXDOMAINやSERVFAILのようなエラーを返すことがあります。どの結果も、文脈の中で読み取る必要があります。AAAAの応答が空であっても、ドメインが壊れているとは限りません。IPv6が公開されていないだけの場合もあります。CNAMEは最終的なIPではなく、名前解決の連鎖の始まりです。複数のレコードは、冗長化、負荷分散、地理を考慮したサービスを支えることがあります。応答が運用上の変更に使われる場合は、正確なクエリとタイムスタンプを記録してください。

IPからドメインへの検索は逆引きDNSを使い、通常は、逆引きの名前空間でPTRレコードを問い合わせます。すべてのアドレスにPTRレコードがあるわけではなく、PTRのホスト名はネットワークの運用者が選べます。メール管理や診断の手がかりとしては役立ちますが、そのホスト名が特定のウェブサイトを所有、管理、または提供していることの証明にはなりません。同様に、位置情報の製品は、アドレスやネットワークが使われている場所を推定します。大まかな地域、ISP、データセンターは特定できますが、精度にはばらつきがあります。VPN、クラウドプラットフォーム、モバイルキャリア、エニーキャストネットワークがあるため、市区町村レベルの主張は特に不確かです。

検索結果が変わる理由

DNSのデータは、変わることを前提に設計されています。運用者は、アドレスの追加や削除、エイリアスの置き換え、サービスの移動、インシデント中のトラフィックの切り替えを行えます。再帰リゾルバーは、公開されたTTLの間は応答をキャッシュするため、権威サーバーの新しい値がすぐにあらゆる場所に現れるとは限りません。CDNや地理ベースのDNSサービスは、リゾルバーの場所に応じて、意図的に異なる応答を返すことがあります。したがって、1つのネットワークからの結果は、世界中のあらゆる経路を完全に描いた地図ではありません。重要なレコードを監視する場合は、1回ごとの観測を不変の事実として扱わず、同じクエリを定期的に繰り返して値を比較してください。

• ホスト名の現在の公開AレコードとAAAAレコードを知りたいときは、DNS検索を使います。
• IPに対応付けられたPTR名が必要なときだけ、逆引きDNSを使います。
• 位置情報や所有者の情報は、DNSの応答ではなく、推定値またはレジストリのデータとして扱います。
• 許可リストのために観測したアドレスを頼る前に、CDNとホスティングのドキュメントを確認します。
• 公開DNSが返したエッジのアドレスから、オリジンサーバーを推測するのは避けます。

問いに合ったツールを選ぶ

ホスト名が現在どこに解決されるかを知りたいときは、ドメインIP検索を使い、両方のアドレスファミリーを確認します。メールの診断が必要な場合は、MXとポリシーのレコードも確認します。IPを広告しているネットワークを特定する必要がある場合は、権威あるレジストリやASNの情報源を別途参照してください。おおよその位置を知りたい場合は、その手法と限界を説明しているプロバイダーを使います。これらの作業を分けておくと、レポートがより正確になり、DNSの応答が、ホスティングの場所、所有者、意図の証拠であるかのように誇張されるのを防げます。

管理者にとっての実践的な教訓は、証拠を正確にラベル付けすることです。ウェブサイトが物理的にそこにホストされていると言うのではなく、あるホスト名が、特定の時刻に特定のリゾルバーを通じて、あるアドレスに解決されたと表現してください。セキュリティ調査では、確認を公開DNSと、評価する権限を持つシステムの範囲内に収めます。公開IPは多くのテナントに共有されていることがあり、PTR名が汎用的なものであることもあります。正確な言葉づかいは、細かすぎるこだわりではありません。ツールのラベルが示唆するものではなく、検索が実際に確立することに基づいて、インシデント対応者、開発者、サイトの所有者が判断を下す助けになります。

IP検索の方向を明記する

レポートでは、ホスト名とアドレスのどちらから始めたのかを書かずに、「IP検索」という言葉が使われがちです。方向を明確にしてください。ドメインからIPは、DNSのAとAAAAの解決を意味します。IPからドメインは、一般に逆引きのPTRクエリを意味します。IPの所有者は、レジストリまたは経路のデータを意味します。IPの場所は、位置情報の推定を意味します。これらは異なるシステムを説明しているため、どの情報源も技術的には間違っていないのに、結果が食い違うことがあります。たとえば、1つのアドレスが多くのドメインをホストし、汎用的なPTRを持ち、ある国のプロバイダーに登録されていながら、別の場所の近くのエニーキャストの拠点にユーザーを導いていることもあります。慎重なアナリストは、それぞれの主張がどのデータベースまたはリゾルバーから得られたかを記録します。サポートチケットを書くときにも役立つ習慣です。「IP検索に失敗しました」とだけ書かれたラベルのないスクリーンショットではなく、ホスト名のクエリと返された値を含めてください。