悪性URL分析プレイブック — リンクから判定まで
不審なURLを分析するためのステップバイステップのプレイブック：URLの抽出とデファング、レピュテーションの確認、DNSの解決、ページの調査、指標の収集、インフラの調査、実際のツールと調査パスによる防御可能な判定への到達。
クイックアンサー
悪性URLを分析するには、元のリンクを保存してデファングし、URLレピュテーションとDNSチェックを実行し、取得したページのリダイレクトとペイロードを検査し、ドメイン/IP/ハッシュをIOCとして抽出し、ホスティングインフラを調査し、その後に証拠をもって良性、不審、悪性のいずれかに分類します。
定義
悪性URL分析とは、信頼できないリンクの構造化された調査であり、レピュテーションやDNSチェックからページの挙動やインフラの相関に至るまでを行い、それを開くとユーザーに害があるかどうか、防御にどの指標を貢献すべきかを判断します。
最初に答える
不審なURLを6つのステップで分析します：保存 → レピュテーション → DNS → ページ → インフラ → 判定。レピュテーションスコア単独では決して判定になりません。
1. 状況
ユーザー、メールボックスフィルター、脅威フィードがURLにフラグを付けました。メール、広告、短縮リンク、チャットメッセージに現れることがあります。あなたの目標は、証拠をもって良性、不審、悪性のいずれかを判断し、次に何をするかを決めることです。
URLに触れる前に、元を保存します：完全な生の文字列、送信者、タイムスタンプ、現れたチャネルを記録します。次にデファングします（例: hxxp://example[.]com/path）。作業中にうっかりクリックしないためです。
2. 目標
次の順に判断します。
- URLの評価はクリーン、不審、悪性のどれか？
- 実際にどのホストに解決されるか？
- ページはリダイレクトするか、ペイロードを落とすか、認証情報をフィッシングするか？
- どのインフラが接続されているか（IP、ASN、ドメイン、ハッシュ）？
- 分類と推奨される対応は何か？
3. 収集するもの
- 完全な生のURL（プロトコル、ホスト、パス、クエリ文字列、フラグメント）。
- 短縮元（あれば）とその展開先。
- 最後のスラッシュを除いたホスト名 — これがレピュテーションのチェック対象です。
- URLまたは取得したページに現れるドメイン、IPアドレス、ハッシュ。
- 文脈：リンクが現れた場所と誰が送ったか。
4. 使用するツール
- URLアナライザー — URLを構成要素に分解し、正規化。
- URLレピュテーション — ホストとURLのレピュテーション評価。
- DNSルックアップ — A/AAAA/CNAMEを解決し、ホストのレジストラ/ASNを確認。
- IPレピュテーション — ホストIPの過去の悪用を確認。
- IOCルックアップ — 抽出したすべての指標を正規化し、相関。
- 調査ワークスペース — インシデントごとの所見を追跡。
5. 注目すべき点
URL自体で：
- ブランドドメインではなくIPアドレスや不審なpunycodeホスト名。
- 綴り間違いのブランド名（タイポスクワッティング）。
- 認証情報窃取を思わせる類似パス（
/login、/signin、/verify）。 - 過剰なサブドメインや実際のホストを隠すパス。
- 想定外のチャネルでの
javascript:、data:、file:スキーム。
DNSとレピュテーションで：
- 広告されたブランドと実際のASN/レジストラの不一致。
- 最近登録された、または短命のドメイン。
- レピュテーションソースの見解不一致（深いレビューのためのフラグ）。
取得したページで（安全な場合のみ行う — サンドボックスやサービスを使用し、セッションのある自分のブラウザでは決して行わない）：
- フィッシングページへのリダイレクトチェーン。
- 外部ペイロードを取得する自動ダウンロードやスクリプト。
- パスワード、MFAコード、支払い詳細を求めるフォーム。
6. 検証方法
良性の判定は、上記のシグナルが一切なく、レピュテーションソースが一致する場合です。
不審の判定は、1つ以上の危険信号（タイポスクワッティング、最近の登録、レピュテーションの割れ）を示すが、確認済みの認証情報やペイロードの挙動がない場合です。
悪性の確定には、少なくとも1つの裏付けとなる挙動が必要です：既知のフィッシングキットへのリダイレクト、成功したフィッシングフォームの取得、脅威インテリジェンスにヒットするペイロードハッシュ。レピュテーションだけでリンクを悪性と呼んではいけません — タイポスクワッティングされた良性ページは存在し、正当なドメインが一時的にフラグされることもあります。
すべての分類ステップで証拠の道筋を文書化し、判定をレビュー可能にしてください。
7. 関連エンティティと発展の仕方
- 分析がキャンペーンパターンを確認した場合、URLをフィッシングキャンペーンと、それを運営している疑いのある脅威アクターに関連付けます。
- IOCルックアップでIOC（ドメイン、IP、ハッシュ）を抽出し、相関させます。すべての指標は正規化・検索可能であるべきです。
- 認証情報が取得された場合はインシデントとして扱います：ユーザーに認証情報のローテーションとMFAの即時有効化を案内します。
8. 緩和と対応
- フィルタリングレイヤーでURL/ドメインをブロックします。
- 同じホストや指標を引用する他のメールをログで検索します。
- 影響を受けたコホートのユーザーに警告し、パスワードリセットとMFAを案内します。
- 確認済みの指標をブロックリストに追加し、脅威インテリジェンスパートナーと共有します。
- 後で相関できるよう調査と結果を記録します。
新しい調査を開始して、指標ごとの範囲、証拠、修復を追跡します。すべての所見をソースとタイムスタンプとともに記録してください。