この記事でわかること
- クラウドにログインせずに観測できる事実（メール経路・なりすまし対策・公開ホスト名・証明書）
- 多要素認証・転送ルール・共有権限・監査ログは外からは見えず、テナント内の設定監査は別領域であること
- ID とパスワードを預からない運用が、秘密保持と責任の説明を単純にすること
なぜログインを求めないのか
理由は 2 つあります。
- 攻撃者と同じ立ち位置から見るため — 攻撃者は御社のテナントにログインできません。 まず外から見える情報だけで狙いを定めます。 同じ条件で見ることで、「実際に狙われうる入口」が分かります。
- 認証情報を預からないため — ID・パスワードや管理者権限をお預かりすると、秘密保持・権限管理・万一の事故時の責任が一気に複雑になります。 預からなければ、その説明は不要です。
調査データの保管についての考え方は 調査データは閉域で完結する理由もあわせてご覧ください。
ログインなしで見えること
クラウドを使っていても、その入口の多くは公開 DNS や公開 Web に出ています。 第三者が誰でも読める情報から、次のような事実を整理できます。
| 観測するもの | そこから分かること |
|---|---|
| MX レコード（メールの宛先サーバー） | Microsoft 365・Google Workspace・メールセキュリティ製品など、どの経路で受信しているか |
| SPF レコード | 送信を許可している外部サービスの並び（配信・請求・CRM など） |
| DKIM・DMARC の設定 | なりすましメール対策がどこまで効く状態か |
| DNS の別名（CNAME） | 利用中の SaaS・CDN・クラウドホスティングの手がかり |
| 証明書の発行記録 | クラウド上に立てたホスト名（検証環境・旧サービスを含む） |
| 公開 Web の応答・ヘッダ | 外から到達できるログイン画面・管理画面や技術情報 |
| 行き先が消えた DNS 設定 | 解約済みクラウドを指したままの名前（乗っ取られる候補） |
どこまで確認するかは契約したメニューによって変わります。 公開情報のみで止めるか、限定的な能動確認まで含めるかは 調査の3層を参照してください。
例：メールの経路は DNS に書いてある
たとえば MX レコードの宛先が Microsoft 365 のものであれば、 受信が M365 経由であることは外から分かります。 SPF レコードに複数の許可設定が並んでいれば、 何社を経由して送信しているかも読み取れます。
ここで、実際に使っているメールゲートウェイが SPF の許可一覧に入っていない、 といったズレが見つかることがあります（ メールゲートウェイと SPF のズレ）。 用語はSPF とは・DMARC とはで解説しています。
ログインなしでは見えないこと
一方、テナントの中の設定は外部からは観測できません。 これは調査の手を抜いているのではなく、原理的に見えない範囲です。
| 外から見えないもの | 確認する方法 |
|---|---|
| 多要素認証が全員に効いているか | 管理画面での設定確認（御社・運用ベンダー） |
| 退職者アカウントが残っていないか | ユーザー・ライセンス一覧の棚卸し |
| メールボックスの自動転送ルール | 管理画面での確認（不正送金の手口でよく仕込まれます） |
| ファイル共有リンクの権限 | SharePoint / OneDrive / Drive の共有設定 |
| サインインログ・監査ログ | テナントのログ機能 |
| クラウド内部の権限設定 | クラウド構成の設定監査（別領域） |
これらを体系的に点検するのはクラウド設定監査と呼ばれる別分野で、 当社の標準メニューには含みません。 必要な場合は、御社の運用ベンダーや専門事業者と組み合わせる形になります。
外からの調査と、テナント内の確認は補い合う
2 つは競合しません。順番として、外から先に地図を作ると社内の確認が絞り込めます。
- 使っているクラウドの一覧が事実として出る — 社内の申告と食い違うことがあります（部署が独自に契約したサービス、解約したつもりの旧環境など）
- 外から到達できる入口が先に分かる — テナント内を全部見る前に、優先して塞ぐ場所が決まります
- 第三者が書いた事実として残る — 社内の記憶や口頭の「大丈夫だった」に依存しません
観測した事実と、そこからの推奨をどう読み分けるかは 報告書の読み方で説明しています。
よくいただく質問
- ログインなしで、意味のある調査になりますか？
- 攻撃者も同じ条件から始めます。 外から見える入口を整理することは、最初に効く対策の材料になります。 そのうえで、テナント内の確認が必要と分かることもあります。
- Microsoft 365 を使っていると事前に伝えるべきですか？
- 伝えていただくと確認は早くなりますが、必須ではありません。 伝えなくても、DNS の設定から経路として観測します。
- クラウドの設定監査もお願いできますか？
- 標準メニューには含みません。 必要性の切り分けについてのご相談はお問い合わせから承ります。
- 調査のために管理者アカウントを用意しましょうか？
- 不要です。 ID・パスワード・API キーは、フォームやメール本文にも書かないでください。
ご依頼時に必要なもの
- 対象の代表ドメイン（と、除外したい範囲）
- 調査の目的（取引先への説明、なりすまし対策、初回の棚卸し など）
- 不審メールの調査であれば、そのメールファイル（共有方法は契約後にご案内）
アカウント発行・ポータル登録・管理画面の権限付与はいずれも不要です。 全体の流れは調査依頼の進め方をご覧ください。
関連記事
- 外部攻撃面とは何か — 外から見える範囲の全体像
- 調査データは閉域で完結する理由 — お預かりしたデータの扱い
- 調査の3層 — メニューごとに確認する深さの違い
- サブドメインの棚卸し — 忘れられたホスト名の話