【ITニュース解説】Threat Hunting With ZoomEye 2025

近年のサイバーセキュリティの状況は目まぐるしく変化しており、システムを構築する者にとって、脅威への対策は避けて通れない課題となっています。特に2025年を迎えるにあたり、AI（人工知能）を悪用した巧妙な攻撃、ソフトウェアのサプライチェーン（供給網）を狙った侵害、そして見破られにくいフィッシング詐欺など、従来の防御策をすり抜ける高度な手法が横行しています。このような状況下で、単に攻撃を受けてから対応する「事後対応」では不十分であり、まだ被害が出ていない段階で潜在的な脅威を積極的に探し出す「脅威ハンティング」という手法が非常に重要視されています。これは、システムがすでに何らかの形で侵害されているかもしれないという前提に立ち、隠れた悪意ある活動の兆候を自ら探し出す能動的な防御戦略と言えます。この脅威ハンティングにおいて、Knownsecの404 Laboratoryが開発した「ZoomEye」は、サイバー空間全体を検索できる強力なツールとして注目を集めています。ZoomEyeは、インターネットに公開されている膨大な数のサーバーやデバイスに関する情報を集約しており、高度な検索機能とリアルタイムの脅威情報を提供することで、セキュリティの専門家やシステム管理者が攻撃を受ける可能性のある範囲を特定し、脆弱性を見つけ出し、悪意のあるインフラを発見する上で非常に役立ちます。

2025年における脅威ハンティングとは、ネットワーク内部やインターネット全体にわたって、悪意ある活動の兆候をプロアクティブに探すプロセスです。これは、すでにシステムが侵害されている可能性を前提として行われます。例えば、CrowdStrikeの2025年版脅威ハンティングレポートによると、攻撃者はAIを武器として標的型攻撃に利用するケースが増加しており、ScreenConnectのようなリモート管理ツールを悪用した攻撃は54%も増加しています。実際の例としては、FIN7のようなAPT（持続的標的型攻撃）グループを探す場合、通常のネットワークパターンとは異なる動きや、攻撃者が使うC2サーバー（指令サーバー）がインターネットに公開されていないかを分析するといった活動が含まれます。こうした脅威を効果的に見つけ出すためには、サイバー空間全体に広範な可視性を提供するツールが不可欠です。ZoomEyeはこの点で非常に優れており、IPv4/IPv6アドレス、ドメイン、各種サービスを24時間体制でスキャンしています。Xmapという独自のポートスキャンツールやWmapというウェブクローリングツールを使って情報を収集し、サーバー、IoTデバイス、ウェブアプリケーションなど数十億もの資産に関するデータを蓄積しています。これにより、公開されている脆弱性やフィッシングサイトを発見するための理想的なツールとなっています。

ZoomEyeの強みは、その柔軟な検索エンジンにあります。特定の脅威を探すための多様なフィルターや検索構文をサポートしており、これらは「ドーク」と呼ばれています。例えば、特定のCVE（共通脆弱性識別子）に該当する脆弱性がある資産を見つけたい場合、「vul.cve="CVE-2025-XXXX"」のように指定します。フィッシング詐欺で使われる偽サイトを探す際には、ウェブページの本文に含まれる特定の文字列や、ページのタイトルを検索することで発見できます。また、公式のアイコンを使い回しているクローンサイトを検出するために「iconhash」機能も活用でき、精度の高いフィッシングサイトを見つける上で有効です。AIを活用した「is_honeypot=true/false」フィルターを使えば、おとりシステムであるハニーポットを検索結果から除外でき、より実在する脅威に集中できます。地理情報や時間帯に基づいたフィルターも利用でき、特定の国や都市、時間範囲で脅威を追跡することも可能です。

ZoomEyeはAPI（Application Programming Interface）も提供しており、プログラミングによってアクセスし、脅威ハンティングのプロセスを自動化できます。例えば、脆弱性スキャンツールのNucleiと連携させ、ZoomEyeのクエリ結果に基づいて脆弱性スキャンを自動的に実行できます。さらに、2025年にローンチされた「BugBounty Radar」機能は、HackerOneやBugcrowdなどのプラットフォームに登録されているバグバウンティ対象の資産を追跡し、新しい脆弱性を効率的に特定するのに役立ちます。ZoomEyeは毎日新しい脅威に関するデータを更新しており、例えばWordPressプラグインの「CVE-2025-5821」のような脆弱性を持つサイトに関する最新情報を取得できるなど、リアルタイムなインテリジェンスを活用した脅威ハンティングを実現します。

ZoomEyeは実際の脅威ハンティングにおいて、多岐にわたる活躍を見せています。例えば、フィッシング詐欺の手口が巧妙化する中で、Binanceのような正規の金融サイトのファビコンハッシュを使い回している偽サイトを特定し、排除するのにZoomEyeが利用されました。これは、正規サイトのアイコンハッシュを取得し、そのハッシュを持つサイトから正規ドメインを除外することで、偽サイトを効率的に洗い出す手法です。また、Microsoft IIS WebDeployの「CVE-2025-53772」のような既知の脆弱性を持つシステムを「app="Microsoft Web Deploy" && vul.cve="CVE-2025-53772"」というクエリで特定し、さらにHTTPヘッダー情報と組み合わせることで、実際にその脆弱性を悪用しようとする試みを検出する事例もありました。GNSS基地局において、管理者アカウントのバックドアが発見された際には、ZoomEyeが世界中に公開されている1000以上の脆弱なユニットを特定し、迅速な修正に繋がり、GPS偽装攻撃の可能性を未然に防ぎました。ランサムウェア攻撃において、ScreenConnectのようなリモート管理ツールが悪用されるケースが増加していますが、ZoomEyeは「app="ScreenConnect Remote Management Software"」というクエリで不正に公開されているインスタンスを発見し、潜在的なバックドアを特定するのに役立ちます。さらに、マルウェア「More_Eggs」が履歴書を装ったフィッシングで使われた際には、「title="Resume" && http.header="Server: Apache/2.4.58 (Ubuntu)"」のような検索で、そのC2インフラを特定し、攻撃キャンペーンの拡大を追跡することができました。

ZoomEyeを最大限に活用するためには、他のサイバー空間検索エンジン（例えばShodanやFOFA）と組み合わせて結果を相互検証することが推奨されます。また、ZoomEyeはあくまで防御的な目的で利用し、不正なアクセスを試みないなど、倫理的な利用を心がけることが重要です。ZoomEyeは強力なツールですが、内部ネットワークにアクセスしたり、ソフトウェアパッケージをインストールしたりすることはできません。これは、外部に公開された情報に特化しているためです。データが膨大になることも課題の一つであり、効果的な検索のためにはクエリを洗練させる必要があります。SANSの2025年調査では、AIやクラウドの複雑化が進む中で、人間とAIのハイブリッドな脅威ハンティングが求められています。

結論として、ZoomEyeは2025年における脅威ハンティングを、受動的な作業から積極的な防御へと転換させるための不可欠なツールです。資産の発見、脆弱性のマッピング、フィッシングサイトの検出といった分野でその能力を発揮し、実際の事例がその効果を証明しています。ZoomEyeをセキュリティ対策のワークフローに組み込むことで、システムエンジニアは常に攻撃者の一歩先を行き、侵害のリスクを低減し、サイバーセキュリティの回復力を強化することができます。公式サイト（zoomeye.org）で試用を開始し、自身のシステムを保護するための「ハンティング」を始めることをお勧めします。