monitoring-darkweb-sources

ダークウェブ情報源の監視

使用するタイミング

次の場合にこのスキルを使用します：

• ダークウェブのフォーラムで、組織のドメイン名、経営幹部の氏名、製品ブランドを継続的に監視する場合
• ランサムウェアのリークサイトやペーストサイトで見つかった、データ侵害の報告内容を調査する場合
• 盗まれた認証情報や計画中の攻撃に関する情報を加えて、インシデント調査を強化する場合

適切な運用セキュリティ対策なしに、このスキルを使用しないでください。隔離せずにダークウェブを閲覧すると、アナリストのインフラが敵対者の対諜報活動にさらされます。

前提条件

• 商用ダークウェブ監視サービス（Recorded Future、Flashpoint、Intel 471、または Cybersixgill）
• 隔離された運用環境：永続ストレージを使用せず、VM 上で動作する Whonix OS または Tails OS
• キーワード監視リスト：組織のドメイン、主要な経営幹部の氏名、製品名、IP 範囲、既知の認証情報
• 管轄区域における受動的な監視が許可されていることを確認する法的ガイダンス

ワークフロー

ステップ 1：商用サービスを使用してキーワード監視を設定する

CTI プラットフォーム（Recorded Future Exposure モジュールなど）でダークウェブ監視キーワードを設定します：

• ドメインのバリエーション：company.com、@company.com、company[dot]com
• 経営幹部の氏名：CEO、CISO、CFO のフルネーム
• 製品名／ブランド名
• 内部コードネームまたはプロジェクト名（侵害の対象範囲が広いと疑われる場合）
• 認証情報の監視対象となる既知のメールドメイン

ほとんどの商用サービス（Flashpoint、Intel 471、Cybersixgill）は、アナリストを危険にさらすことなく、XSS、Exploit[.]in、BreachForums などのフォーラムや、ロシア語圏のサイバー犯罪コミュニティをクロールします。

ステップ 2：運用セキュリティを確保して手動調査する

ダークウェブへの直接アクセスが必要な調査の場合：

環境の設定：

1. 専用の物理マシンまたはエアギャップ VM（Whonix + VirtualBox）を使用します
2. Tor Browser 経由でのみ接続します。標準的なブラウザーは絶対に使用しないでください
3. 組織とのつながりがない仮名を使用します
4. ダークウェブサイトに実際の認証情報でログインしないでください
5. すべてのセッションを、タイムスタンプとともに調査ログに記録します

ペーストサイトの監視（クリアネットからアクセス可能。Tor は不要）：

# Hunt paste sites via API
curl "https://psbdmp.ws/api/search/company.com" | jq '.data[].id'
curl "https://pastebin.com/search?q=company.com" # Rate-limited public search

ステップ 3：ランサムウェアのリークサイトを調査する

ランサムウェアグループは .onion のリークサイトを運営しています。直接アクセスせず、商用サービスを通じてこれらを監視してください。組織に関する被害の主張が現れた場合：

1. 商用サービスを通じてスクリーンショットの証拠を取得します（直接アクセスしないでください）
2. 信憑性を評価します。攻撃者が流出したと主張するデータは、既知の内部システムと一致していますか？
3. タイムスタンプを確認します。この主張は最近のものですか、それとも過去のものですか？
4. 同じ時期に発生した既知のセキュリティインシデントやフィッシングキャンペーンと照合します
5. 主張の信憑性が高いと思われる場合は、公表前に IR チームに連絡します

2025 年初頭時点で活動が確認されているランサムウェアのリークサイト運営者：LockBit（2024 年 2 月に活動停止）、ALPHV/BlackCat（2023 年 12 月に活動停止）、Cl0p、RansomHub、Play。

ステップ 4：認証情報の流出を監視する

認証情報の流出を監視する場合：

• Have I Been Pwned Enterprise：侵害データセット内の認証情報流出について、ドメイン単位で通知します
• SpyCloud：クラッキング対策と犯罪市場からの平文パスワード復元を備えた商用認証情報監視サービスです
• Flare Systems：ペーストサイトやダークウェブの市場で、認証情報ダンプを自動監視します

認証情報の流出が確認された場合：

1. 影響を受けたアカウントのパスワードを直ちに強制リセットします
2. 認証情報で組織のシステム（SSO、VPN）にアクセスできるかを確認します
3. 不正アクセスの有無を調べるため、認証情報の流出から検知までの期間のアクセスログを確認します

ステップ 5：調査結果を文書化し、エスカレーションする

ダークウェブ上で何かを発見した場合は、次の対応を行います。

• 証拠を記録します（商用サービスのスクリーンショット、ペーストサイトのアーカイブ）
• 重大度を分類します：P1（差し迫った攻撃の脅威または進行中のデータ漏えい）、P2（認証情報の漏えい）、P3（一般的な言及）
• 定められた SLA 内に適切な関係者へ通知します
• 調査チケットを作成し、証拠となる成果物へのリンクを追加します
• 経営幹部の実名や具体的な攻撃計画に言及する調査結果には、TLP:RED を適用します

主要な概念

用語	定義
ダークウェブ	標準的な検索エンジンにインデックスされない、Tor からアクセス可能な隠しサービス（.onion ドメイン）です。合法的なコンテンツと犯罪に関わるコンテンツの両方をホストします
ペーストサイト	盗難データやマルウェアの設定情報の公開によく使われる、Clearnet 上のテキスト共有サイト（Pastebin、Ghostbin）です
ランサムウェアのリークサイト	ランサムウェアグループが運営し、恐喝の材料として盗んだ被害者データを公開する .onion サイトです
オペレーショナルセキュリティ（OPSEC）	ダークウェブの調査中に、分析担当者の身元や組織との関係を保護することです
クレデンシャルスタッフィング	漏えいしたユーザー名とパスワードの組み合わせを認証システムに対して自動的に使用することです
スティーラーログ	保存済みのブラウザー認証情報、Cookie、セッショントークンを含む、インフォスティーラーマルウェアによって窃取されたデータパッケージです

ツールとシステム

• Recorded Future Dark Web Module：組織固有のキーワードを検知してアラートを送信する、ダークウェブ情報源の自動監視機能です
• Flashpoint：犯罪コミュニティの背景情報を把握するため、人間によるインテリジェンスを活用したダークウェブフォーラムの監視サービスです
• Intel 471：サイバー犯罪コミュニティへの非公開アクセスを提供し、脅威アクターに関する構造化されたインテリジェンスを扱います
• SpyCloud：犯罪市場から再取得した平文パスワードを含む、認証情報漏えいの監視サービスです
• Have I Been Pwned Enterprise：大規模な認証情報監視に対応する、ドメイン単位の侵害通知 API です

よくある落とし穴

• OPSEC を確保せずに直接アクセスする：Tor と偽装用の身元を使わずにダークウェブのフォーラムへアクセスすると、分析担当者の IP アドレス、ブラウザーのフィンガープリント、組織との関係が敵対者に知られるおそれがあります。
• 未検証の主張に過剰反応する：ランサムウェアグループやフォーラムの投稿者は、恐喝や評判のために攻撃の主張を捏造します。インシデント対応へのエスカレーション前に検証してください。
• Clearnet 上の情報源を見落とす：多くのダークウェブインテリジェンスプログラムは、Clearnet 上で運営され、重大な犯罪活動の場となっている Telegram チャンネル、Discord サーバー、ペーストサイトを見落とします。
• 法務レビューが不十分である：ダークウェブの監視は法務担当者によるレビューが必要です。受動的な監視は一般に合法ですが、犯罪市場への積極的な参加は違法です。
• 証拠を保全しない：ダークウェブのコンテンツは急速に消失します。発見したらすぐに、商用サービスのエクスポート機能を使ってタイムスタンプ付きの証拠を取得してください。