はじめに

ペネトレーションテストやバグバウンティにおいて、資産発見（Asset Discovery）は最も重要な工程の一つです。

近年、多くの組織がクラウド環境やマイクロサービスアーキテクチャを採用するようになり、公開されるサブドメインやサービスは増加し続けています。

従来の資産探索では、以下のようなツールが広く利用されています。

Subfinder
Amass
Assetfinder
DNS Bruteforce

これらは非常に強力ですが、多くの場合は「既に存在している資産」を発見するための手法です。

一方で、

「今まさに公開されようとしている新規資産」

を検知するには別のアプローチが必要になります。

そこで注目されているのが、Certificate Transparency（CT）ログの監視です。

本記事では、CTログをリアルタイムで監視し、新たに発行された証明書からドメイン情報を抽出する Go 製オープンソースツール「Gungnir」を紹介します。

Certificate Transparency（CT）とは

Certificate Transparency（CT）は、SSL/TLS証明書の発行履歴を公開ログとして記録する仕組みです。

現在、多くの認証局（CA）は証明書発行時にCTログへの登録を行っています。

代表的な認証局：

Let's Encrypt
DigiCert
Sectigo
GlobalSign

証明書には通常、以下の情報が含まれます。

api.example.com
vpn.example.com
gitlab.example.com
staging.example.com

これらの情報は Subject Alternative Name（SAN）として証明書内に記録されるため、CTログから取得できます。

つまり、

組織が新しいサブドメイン用の証明書を発行した時点で、その情報が公開される可能性がある

ということです。

Gungnirとは

GungnirはCTログストリームを監視し、新たに発行された証明書からドメイン情報を抽出するツールです。

動作イメージ：

証明書発行
      │
      ▼
 CT Log登録
      │
      ▼
  Gungnir検知
      │
      ▼
 ドメイン抽出

例えば開発チームが以下の証明書を発行した場合、

dev-api.example.com
staging.example.com

Gungnirはその情報を数秒〜数分程度で取得できます。

ただし、

DNSがまだ有効化されていない
Webサービスが起動していない

といったケースもあるため、

「即座にアクセス可能である」とは限りません。

インストール

GungnirはGoで実装されています。

事前にGo環境を準備します。

go version

インストール：

go install github.com/g0ldencybersec/gungnir/cmd/gungnir@latest

PATH設定：

export PATH=$PATH:$(go env GOPATH)/bin

確認：

which gungnir

基本的な使い方

全CTストリームの監視

gungnir

世界中で発行される証明書情報がリアルタイムで表示されます。

特定ドメインのみ監視

roots.txt

example.com
target.org

実行：

gungnir -r roots.txt

出力例：

api.example.com
dev.example.com
staging.example.com

指定したドメイン配下のみを表示するため、ノイズを大幅に削減できます。

JSON形式で出力

gungnir -r roots.txt -j

出力例：

{
  "domain":"dev.example.com",
  "issuer":"Let's Encrypt"
}

JSON Lines形式で出力できるため、自動化処理との相性も良好です。

実践的な活用方法

Gungnir単体でも有用ですが、他のReconツールと組み合わせることで効果が高まります。

例：

Gungnir
   │
   ▼
 dnsx
   │
   ▼
 httpx
   │
   ▼
 nuclei
   │
   ▼
 notify

各ツールの役割

Gungnir

新しいドメインを検知

dnsx

DNS解決の確認

httpx

Webサービスの生存確認

nuclei

既知脆弱性スキャン

notify

SlackやDiscordへの通知

パイプライン例

gungnir -r roots.txt | \
dnsx -silent | \
httpx -silent | \
nuclei -severity critical,high -silent | \
notify

これにより、

新規ドメイン発見
↓
DNS解決確認
↓
HTTP確認
↓
脆弱性検査
↓
通知

という一連の流れを自動化できます。

Gungnirの限界

Gungnirは強力ですが、万能ではありません。

CTログに現れない資産

以下は検出できない場合があります。

証明書未発行のサービス
社内限定システム
IPアドレス直指定サービス

Wildcard証明書

例えば、

*.example.com

のみが証明書に記録されている場合、

api.example.com
vpn.example.com
test.example.com

といった個別サブドメインは判別できません。

DNS未設定のケース

CTログに現れても、

NXDOMAIN

となるケースがあります。

そのため、後続でDNS確認を行うことが重要です。

SubfinderやAmassとの違い

よく誤解されますが、

GungnirはSubfinderやAmassの代替ではありません。

それぞれ役割が異なります。

ツール	目的
Subfinder	既知資産の収集
Amass	包括的な資産列挙
Gungnir	新規資産の監視

イメージとしては、

Subfinder / Amass
      ↓
現在の資産を把握

Gungnir
      ↓
未来の資産変化を監視

という関係になります。

実際の運用では併用するのが一般的です。

ブルーチームでの活用

Gungnirはレッドチームだけでなく、防御側にも有効です。

シャドーITの発見

部門ごとに勝手に公開された

event.example.com
campaign.example.com
test.example.com

を早期に把握できます。

証明書発行の監査

許可されていない認証局からの証明書発行を検出できます。

Attack Surface Management

継続的にCTログを監視することで、組織の公開資産の変化を追跡できます。

まとめ

Gungnirは、Certificate Transparencyログを利用して新たな公開資産を監視するための軽量なReconツールです。

従来の資産列挙ツールが「現在の資産」を調査するのに対し、

Gungnirは

「これから公開される資産の変化」

を追跡できます。

SubfinderやAmassと組み合わせることで、より包括的なAsset Discovery環境を構築できるでしょう。