はじめに
ペネトレーションテストや Red Team 演習において、Reconnaissance（偵察） はすべての攻撃の起点となるフェーズである。
特に Active Reconnaissance（能動的偵察） は、対象システムに直接アクセスし、情報を「取りに行く」行為であり、攻撃者・防御者の双方にとって極めて重要な意味を持つ。
本記事では、Active Recon を以下の2種類に分類し、それぞれの特徴・具体例・実務上の注意点を解説する。
- External Recon（外部能動的偵察）
- Internal Recon（内部能動的偵察）
Active Reconnaissance とは
Active Reconnaissance とは、対象システムに対して 実際に通信を発生させることで情報を収集する偵察行為 を指す。
特徴
- 対象ホストへ パケットを送信する
- Web / Network / Endpoint の ログに痕跡が残る
- IDS / IPS / WAF / SIEM に 検知される可能性が高い
Passive Recon が「覗き見」だとすれば、
Active Recon は「ドアをノックし、鍵を確かめる行為」である。
External Recon（外部能動的偵察）
概要
External Recon は、ターゲット組織のネットワーク外部から実施される能動的偵察であり、
インターネット上に公開されている資産（Externally Facing Assets）を対象とする。
主な対象
- Web サーバ（HTTP / HTTPS）
- VPN ゲートウェイ
- メールサーバ
- API エンドポイント
- CDN / Load Balancer
- 管理画面（Admin Portal）
代表的なツール例
- Nikto（Web サーバ脆弱性スキャナ）
- Nmap（
-sS,-sV, NSE scripts） - Gobuster / ffuf
- WhatWeb
- SSLyze
具体例
企業ネットワーク外部から、公開 Web サーバに対して Nikto を実行し、
不要な HTTP メソッド、有名な脆弱パス、古いミドルウェアを検出する。
これは典型的な External Active Recon の例である。
攻撃者視点
「私は一般ユーザと同じ立場にいるが、
普通のユーザより少しだけ“しつこく”アクセスしている。」
防御側の観点
- WAF ログ
- Web Access Log
- IDS/IPS のシグネチャ検知
Internal Recon（内部能動的偵察）
概要
Internal Recon は、ターゲット組織の内部ネットワークから実施される能動的偵察である。
これは多くの場合、以下のいずれかの状況で行われる。
- 初期侵入（Initial Access）後
- 侵害済みホストを踏み台にした後
- 内部からの正規テスト（白箱・灰箱）
- 物理的に社内ネットワークへ接続している場合
主な対象
- 内部サーバ
- Active Directory
- ファイルサーバ
- データベース
- 社内アプリケーション
- 認証・認可基盤
代表的なツール例
- Nessus
- Nmap（全ポート・全セグメント）
- BloodHound
- CrackMapExec
- LDAP / SMB 列挙ツール
具体例
フィッシングにより侵害した社員端末から Nessus を用いて
内部ネットワーク全体をスキャンし、
未パッチサーバや弱い認証設定を洗い出す。
これは典型的な Internal Active Recon である。
攻撃者視点
「私はもう“中の人”だ。
重要なのは、誰が私を信頼しているかだ。」
防御側の観点
- EDR
- SIEM
- 内部トラフィック監視
- AD ログ監査
External Recon と Internal Recon の比較
| 観点 | External Recon | Internal Recon |
|---|---|---|
| 実施場所 | 組織外 | 組織内 |
| 前提条件 | 侵入前 | 侵入後 |
| 対象範囲 | 限定的 | 広範囲 |
| 権限レベル | Untrusted | Semi-Trusted |
| 検知ポイント | WAF / IDS | SIEM / EDR |
| 目的 | 攻撃面の把握 | 横展開・権限昇格 |
実務における重要な補足（Red Team 視点）
Active Recon ≠ 無差別スキャン
成熟した Red Team は以下を意識する。
- スキャン速度の制御（Low & Slow）
- ノイズ最小化
- Living-off-the-Land 技法の活用
- OPSEC との一体運用
能動的偵察で一番やってはいけないのは
「便利だから全部スキャンする」ことである。
MITRE ATT&CK との関係
Active Recon は主に以下に該当する。
- TA0043 – Reconnaissance
- T1595 – Active Scanning
- T1595.001 – Scanning IP Blocks
- T1595.002 – Vulnerability Scanning
まとめ
- Active Recon は 攻撃者が実際に対象へ触れるフェーズ
- External Recon は インターネット越し
- Internal Recon は 信頼境界内
- 検知・痕跡・OPSEC を常に意識する必要がある
Recon は単なる準備ではない。
それ自体が攻撃であり、同時に検知されうる行為である。