企業のインターネット番号資源を監査する方法

IPv4・IPv6アドレス、ASN、レジストリ口座、経路認可、契約・法務資料、運用上の管理策を、証拠とともに点検する作業です。アドレス一覧を作るだけではなく、取得の経緯、現在の管理者、利用目的、経路、権限を一本の説明にします。

各資源について、誰がなぜ使えるのか、登録内容は正しいか、変更や紛争が起きたときにどうサービスを維持するかを答えられる状態が目標です。

番号資源はプロジェクト、事業者、組織変更をまたいで少しずつ増えます。旧法人の名義、退職者の連絡先、実際の利用と合わない契約などが残ると、技術上の小さなずれが事業・法務・顧客対応の問題になります。

早めに監査すれば、口座を守る、記録を直す、契約を見直す、移転を準備する、特定の事業者への依存を減らすといった選択肢を残せます。

資源台帳、担当RIR、登録状態、法人の記録、口座の安全性、BGPの起源、RPKI/ROA、IRRオブジェクト、LOA、リースと第三者利用、利用率、IPv6、逆引きDNS、位置情報、評判・abuse履歴、適用ポリシー、事業重要度、是正計画を確認します。

ネットワーク部門だけでは完結しません。法務、調達、セキュリティ、財務、コンプライアンス、運用、経営が、権利・約束・顧客影響をそれぞれ確認します。

対象となる法人、旧社名、買収で引き継いだ資源、地域、データセンター、クラウド、ホスティング、子会社、合弁会社を洗い出します。借りている資源、貸し出している資源、事業者から割り当てられた資源も対象です。統括責任者を決め、ネットワーク、セキュリティ、法務、コンプライアンス、財務、調達、管理、リスク、買収担当と経営陣が証拠、期限、是正を共有します。観測日時も記録します。

レジストリ、RDAP/WHOIS、IPAM、ルーター、BGP、クラウド、ファイアウォール、DNS、トランジット、コロケーションの情報を、請求書、移転、賃貸借、買収、調達資料と照合します。登録一覧だけでは借用資源や引継資源を拾えません。各項目にプレフィックスまたは ASN、種類、RIR、法人、社内責任者、連絡先、取得日と経緯、用途、オリジン ASN、上流、RPKI、IRR、逆引き DNS、契約、重要度、証拠の保管先を記録します。

ARIN、RIPE NCC、APNIC、AFRINIC、LACNIC の公式記録で、組織、資源の状態と種類、日付、移転履歴、管理・技術・不正利用窓口、会員資格、契約、費用を確認します。RDAP の問い合わせと応答は RFC 9082、9083 が参考になります。取得日時のある証拠を残し、提供元の説明だけで登録状況を判断しないでください。

割り振り、割り当て、移転、賃貸借から現在の法人まで書類をつなぎます。社名変更、合併、再編、子会社への移管、解散、未完了の移転は特に確認が必要です。登記、更名、買収承認、レジストリ契約、取締役会決議、請求書、賃貸借契約、LOA、往復文書を照合します。長年利用してきたという事実だけでは、権限を示す書類の欠落を埋められません。

個人・共有アカウント、API、メールドメイン、復旧用電話、外部専門家や事業者の権限を確認します。記名アカウント、最小権限、フィッシング耐性のある多要素認証、重要変更の二者承認、独立したログ、四半期ごとの権限確認を組み合わせます。退職者の権限を削除し、復旧情報を安全に保管したうえで、実際に復旧手順が機能するか確かめます。

観測した BGP を設計、設定、トランジット契約、LOA、ROA、IRR、クラウド、賃貸借記録と照合します。未知の起点、より具体的なプレフィックス、一部地域だけで見える経路、消えた経路、契約終了後も残る旧事業者の広告を調べます。複数のオリジン ASN はマルチホーム、移行、分散構成、セキュリティサービスで正当に使われる場合があります。直ちに乗っ取りと決めつけず、各広告の承認を確認します。

ROA はプレフィックスを広告できる ASN を示し、最大プレフィックス長を指定できます。形式は RFC 9582 を参照します。必要な ROA の有無、ASN とプレフィックス、maxLength、Valid・Invalid・NotFound の状態を確認します。maxLength が広すぎると細分化した広告まで許可し、狭すぎると正規経路を無効にするおそれがあります。移行では新しい承認を作成・検証してから旧経路と旧 ROA を撤去し、旧 ASN、変更権限、監視も見直します。

route、route6、aut-num、as-set、mntner ごとに、登録先、プレフィックス、起点、管理者、認証情報を確認します。重複、矛盾、旧事業者のオブジェクトを探し、BGP と RPKI に突き合わせます。古い情報は上流側の誤った経路受入れや拒否につながります。削除前に本番の依存を確かめ、変更後のフィルター結果まで確認します。

LOA にはプレフィックス、組織、ASN、目的、発行日、終了日、署名者、関連契約、撤回方法が必要です。退職者や旧事業者、誤った ASN、無期限の承認、欠落、ROA との矛盾を調べます。LOA は登録記録や暗号技術による経路検証の代わりにはなりません。署名者の権限と、今もその承認が必要かを確かめます。

借入れと貸出しの双方について、当事者、プレフィックス、期間、認められた用途、ASN、地域、顧客、不正利用対応、RPKI、IRR、逆引き DNS、位置情報、更新、終了、返却、アドレス変更を確認します。終了時は BGP 広告の停止、LOA 撤回、ROA・IRR 更新、DNS 権限回収、顧客割当てと社内記録の終了まで確かめます。

使用中、予約、インフラ、顧客割当て、隔離、利用可能、不明、到達不能、移行中、成長用に分類します。通信量がないだけで未使用とはいえません。災害復旧、待機系、許可リスト、低頻度サービス、顧客への約束を確認してください。過大なサブネット、放棄された案件、解約済み顧客、二重予約、断片化、内部専用の公開アドレス、IPAM との不一致も調べます。

IPv6 の割り振り、アドレス設計、経路、ROA、IRR、逆引き DNS、ファイアウォール、近隣探索、クラウドのセキュリティグループ、監視、顧客設定、旧設計、担当者の知識を別途確認します。自動有効化されたまま監視されていない場合もあります。全面導入、一部導入、内部限定、意図しない有効化、導入予定、意図的な無効化を区別して記録します。

逆引きの委任、権威 DNS、PTR、旧事業者の権限と、メールやログの依存を確認します。位置情報データベースと geofeed を実配置に照合してください。不整合はメール到達、障害調査、アクセス制限、不正検知、地域広告、分析、法令対応に影響します。修正できる担当者を明確にし、反映結果を確認します。

評価データ、ブロックリスト、不正利用申告、迷惑メール、マルウェア、スキャン、詐欺、顧客事故、対処と隔離の履歴、窓口と応答手順を確認します。掲載されているだけで使用不能とは限りません。古い情報、異議のある情報、前利用者の履歴もあります。情報源、日付、証拠、現在の用途、事業影響、是正状況で判断し、新規顧客への提供前にも調べます。

会員資格、契約、費用、移転、連絡先確認、資源審査、歴史的資源の扱い、RPKI、報告義務、変更案を確認します。施行済みポリシー、契約、運用手順、推奨事項、提案、議論は別物です。提案を現在の義務として扱ってはいけません。NRS の研修、会員サービス、ポリシー参加も、継続して動向を把握する入口になります。

顧客と売上、番号変更の費用、許可リスト、メール評価、提携先、クラウド、規制、代替資源、復旧時間を評価します。最重要は停止の影響が甚大、高重要度は重要業務を支え代替困難、中程度は計画的移行が可能、低重要度は一時利用または代替容易な資源です。アドレス数ではなく実際の依存に応じて保護を強めます。

資源、問題、証拠、リスク分類、事業影響、担当者、是正措置、期限、検証方法、状態を記録します。下の表で優先度を整理し、担当と期限を確定してください。報告書を提出するだけでは完了せず、修正とその結果を確かめて初めて指摘を閉じます。

チーム横断のレビューを始めるための入口です。ネットワークの状態だけでなく、権利、権限、顧客影響まで確認します。

• IPv4、IPv6、ASN をすべて把握しているか。
• 事業者割当てと借用資源を含めたか。
• 買収・旧法人の資源を含めたか。
• 各資源に社内責任者がいるか。

• 正しい法人が登録されているか。
• 連絡先は現在も有効か。
• 会員資格は明確か。
• 費用と契約は最新の状態か。
• 公式記録を保存したか。

• 割り振りと移転の書類があるか。
• 法人の承継を示す書類がつながっているか。
• 契約、賃貸借、LOA は有効か。
• 第三者による使用をすべて記録したか。

• 各オリジン ASN の理由が分かるか。
• 想定外の起点を調査したか。
• 不要になった広告を撤去したか。
• より具体的なプレフィックスは承認されているか。

• ROA は正しいか。
• maxLength は適切か。
• 経路は RPKI 検証で有効か。
• IRR オブジェクトは正確か。
• 旧管理者を削除したか。

• 多要素認証を有効にしたか。
• 共有アカウントを解消したか。
• 退職者の権限を削除したか。
• 変更ログが残っているか。
• アカウント復旧を試したか。

• 利用率を測定しているか。
• 逆引き DNS は正しいか。
• 位置情報を確認したか。
• 評価上の問題を管理しているか。
• IPv6 を含めたか。

• ポリシー変更を追っているか。
• 事業上の重要度を決めたか。
• 代替容量を確保できるか。
• 事故対応計画があるか。
• 指摘事項を解決まで追跡しているか。

通常は少なくとも年に一度、全体を監査します。重要記録は継続監視またはより短い周期で確認します。買収・合併、更名、ネットワーク移行、大規模クラウド導入、移転・賃貸借、事故、登録アカウントへのアクセス障害、主要担当者の退職、RIR の重要なポリシー変更、未承認経路、資金調達や売却準備では追加監査を行います。インターネット基盤の取引における通常のデューデリジェンスにも組み込みます。

番号資源は単なる技術データではありません。到達性、法人の身元、契約、セキュリティ、顧客への約束をつないでいます。監査は、その関係が見えるうちに選択し、直すための作業です。

ネットワーク、法務、セキュリティ、事業、経営が同じテーブルで確認するための入口です。

主にIPv4、IPv6、ASNと、それらを管理・利用するための口座、経路オブジェクト、認可、契約・登録記録を指します。

登録、管理、経路のどれかが変わると、サーバーが動いていても顧客やパートナーが接続できなくなるためです。

経路が無効になる、顧客が止まる、移行を急ぐ、調整費用が増える、評判や利用権をめぐる問題が起きる可能性があります。

ネットワーク、法務、営業、財務、コンプライアンス、顧客運用が共同で担います。経路や設定はネットワーク担当が管理しても、契約、更新、顧客への約束、事業影響には部門を横断する責任が必要です。

定期的な確認に加え、重要契約の更新、顧客移行、網拡張、提供元変更、IP 賃貸借の改定前に見直します。事故、所有関係の変化、登録更新、重要顧客サービスの変更後にも再評価します。