【NW技術】whoisコマンドの基本的な使い方とアクセス元の特定方法

今回は、インフラエンジニアやセキュリティ担当者が日常業務で頻繁に使用するwhois情報の調査方法について、実践的な観点から詳しく解説します。
特に、ファイアウォールの穴あけ作業や不正アクセス対応時のシャットダウン処理で威力を発揮するコマンドの使い方を中心に、段階的にご紹介していきます。

whois情報とは？セキュリティ業務での重要性

whois情報は、IPアドレスやドメイン名の登録者情報を照会できるデータベースサービスです。インターネット上で発生するセキュリティインシデントの調査や、外部との通信許可申請時の事前調査において、極めて重要な情報源となります。

セキュリティ業務においては、以下のようなシーンでwhois情報が活用されます：

最も基本的なwhoisコマンドの構文は以下の通りです：

whois [オプション] [IPアドレス|ドメイン名]

主要なオプション：

実際のIPアドレス「8.8.8.8」を例に、whois情報を取得してみましょう：

whois 8.8.8.8

この結果では以下の重要な情報が取得できます：

ドメイン名「example.com」を調査する場合：

whois example.com

取得される主要情報：

NetRange（ネットワーク範囲） 調査対象IPアドレスが属するネットワーク範囲を示します。ファイアウォール設定時に、個別IPではなくネットワーク単位でのアクセス制御を検討する際に重要です。

OrgAbuseEmail（滥用報告先メール） セキュリティインシデント発生時の報告先です。不正アクセスや攻撃の発信元となっている場合、この宛先に状況報告を行います。

CIDR（サイダー記法） ネットワークアドレスをスラッシュ記法で表現したものです（例：8.8.8.0/24）。ファイアウォールルール設定時に、このCIDR表記をそのまま使用できます。

プライバシー保護サービス 近年、多くのドメインでプライバシー保護サービスが利用されており、実際の登録者情報が隠匿されている場合があります。この場合、「Whois Privacy Protection Service」などの表記が確認できます。

DNSSECステータス セキュリティを重視するドメインでは、DNSSEC（DNS Security Extensions）が有効になっている場合があります。この情報も通信の信頼性判断の参考になります。

whois: 登録者情報・組織情報の取得

whois google.com

dig: DNS情報の詳細調査

dig google.com A +short
dig google.com MX

nslookup: 基本的なDNS解決確認

nslookup google.com

不正アクセス対応時の効率的な調査手順：

whois [攻撃元IP]

dig -x [攻撃元IP]

whois [ネットワークレンジ]

geoiplookup [攻撃元IP]

whois調査結果をファイアウォール設定に活用する際のポイント：

信頼できる組織の判断基準

アクセス許可の粒度決定

whois情報の効率的な活用により、セキュリティインシデント対応の迅速化とファイアウォール設定の精度向上が実現できます。特に、複数ツールを組み合わせた段階的な調査アプローチにより、より確実で効果的なセキュリティ対策を実現できるでしょう。

日常業務では、これらのコマンドを組み合わせたシェルスクリプトの作成や、調査結果の記録・共有体制の整備も重要です。継続的なスキル向上により、より高度なインフラセキュリティを実現していきましょう。