CTログとは

詳細な図解

CTログを読むときの前提

CTログ（Certificate Transparency log）は、公開証明書の発行を監査できるように記録する公開ログです。自社ドメインで想定外の証明書が発行されていないかを確認する材料になります。

実務では、発行元CA、対象ドメイン、ワイルドカード、SAN、発行時刻、正規の申請か、利用中か、失効が必要かを確認します。

証跡には、CTログのURLやID、証明書シリアル、issuer、subject、SAN、発行時刻、確認者、判断結果を残します。

想定外発行を検知する

CTログ監視では、自社ドメインや類似サブドメインに対する証明書発行を検知します。新しいSaaS、CDN、検証環境の正規発行も混ざるため、すぐ不正と決めず台帳と照合します。

ワイルドカード証明書や多数SANを含む証明書は影響範囲が広くなります。発行元、申請者、利用先、DNS設定を合わせて確認します。

• 対象ドメインとワイルドカードを監視する。
• 発行元CAと利用先を台帳で照合する。
• 想定外なら所有者とDNS履歴を確認する。

誤発行と不正利用を分ける

CTログに見つかった証明書が、誤発行なのか、正規の外部サービスなのか、不正利用の兆候なのかで対応が変わります。証明書だけでなく、DNS、CDN、SaaS設定、申請履歴を確認します。

不正が疑われる場合は、CAへの連絡、証明書失効、DNS/ホスティング調査、利用者影響確認を並行して進めます。証跡はタイムラインで残します。

• 正規申請履歴と照合する。
• DNSと公開先の実体を確認する。
• 失効依頼が必要か判断する。

監視運用に組み込む

CTログは見に行くだけでは運用に乗りません。通知先、対象ドメイン、除外条件、正規発行の登録方法、重大度判断を決めておくと、アラートが調査につながります。

新規サービス導入や証明書自動更新では、CTログ通知が出ることを事前に共有します。正規発行を毎回インシデント扱いにすると監視疲れにつながります。

• 監視対象ドメインと除外条件を管理する。
• 正規発行を台帳へ登録する。
• 通知から調査までのRunbookを用意する。

変更証跡と引き継ぎ

CTログ対応では、検知した証明書、対象ドメイン、発行元CA、正規/不審の判断、所有者確認、失効要否、次アクションを残します。URLだけ貼っても判断根拠は残りません。

引き継ぎでは、ドメイン管理者、セキュリティ担当、Web基盤担当、関連語として証明書、CA、ACME、DNSを残すと確認しやすくなります。

• 検知証明書のSANとissuerを保存する。
• 正規発行の根拠を残す。
• 不審時の失効と封じ込め手順を確認する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能