Censys.

Censys はミシガン大学での学術研究から生まれました。その基盤となるのが ZMap です。ZMap は Zakir Durumeric らが USENIX Security 2013 で発表したモジュラー型スキャナーで、単一のマシンから公開 IPv4 空間全体を 45 分未満で走査できます。Censys 自体は 2015 年の ACM CCS 論文 "A Search Engine Backed by Internet-Wide Scanning"(Durumeric、Adrian、Mirian、Bailey、Halderman)で発表されました。IPv4・IPv6・Certificate Transparency ログに対して継続的なスキャンを実行し、ホストと証明書を深くパースされた JSON として公開し、サービス、ソフトウェア、JARM/JA3 フィンガープリント、ASN、履歴状態でインデックス化します。

生のスキャンから防御側のクエリへ

flowchart LR
  A[ZMap が IPv4/IPv6 を探索] --> B[バナー + TLS の取得]
  B --> C[プロトコルパーサ]
  C --> D[構造化された JSON ホスト文書]
  E[Certificate Transparency ログ] --> D
  D --> F[検索インデックス]
  F --> G[ASM: 自組織の露出資産]
  F --> H[脅威ハンティング: C2 フィンガープリント]
  F --> I[IR: 共有インフラでのピボット]

防御側は Censys を使って露出資産を発見し、新たに開かれたサービスを監視し、攻撃者インフラをハンティングします。たとえば、共有された TLS 証明書、デフォルトの HTTP ボディ、あるいは JARM ハッシュに基づいて Cobalt Strike やマルウェアの C2 サーバーをクラスタリングし、関連する IP へとピボットします。すべての観測にタイムスタンプが付くため、インシデント対応者はサービスや証明書が最初に出現した時点を再構築できます。Shodan と比べて、Censys はスキーマ駆動によるサービスの深い解析と証明書の来歴を重視しており、外部攻撃対象領域管理とインフラの帰属分析に強みを発揮します。攻撃者も同じデータを偵察に利用するため、不要な露出を減らすことが中核的な防御となります。