SPAM Database
主なWhoisデータベースには、IP-Whois と Domain-Whois があり、IP-Whois にはIPアドレスの割り当てやIPの管理者に関する情報が記録されており、Domain-Whois には登録済みドメイン名の所有者、管理者、技術責任者、DNSサーバーなどの情報が記録されています。一般的にWhois情報とは、この２つのWhoisデータベースに記録されている情報の事を指します。
Whois情報の本来の目的は、ネットワークに何らかの問題が生じた場合の連絡先を確認するために公開されているものですが、データベースに登録されている情報をセキュリティ設定や迷惑メール対策に活かす事ができます。
UNIX系のOS には、Whois コマンドが用意されていますが、Windows にはこのコマンドが有りません。Windows で Whois情報を参照するには、インターネット上でWhois情報を参照可能なサービスを利用するか、アプリケーションソフトを使用することになります。
Whois.jp で参照可能なドメイン登録情報は ｊｐドメインの情報に限られますが、IPアドレスの情報は参照可能です。ただし、「.jp」に限らず ccTLD のドメイン情報は各NICが提供する Whois情報サービスを利用するか、ドメイン登録の代行を行うレジストラの参照サービスを利用する事になります。
個人的に多用するのは、下記で紹介するフリーウェアの GTWhois です。IPアドレス や gTLD、および一部の ccTLD も含めて登録情報を簡単に参照できるので、PCにインストールしておく事をお薦めします。
インストールを完了し、GTWhois を起動するとタスクトレイに常駐します。
アイコンを右クリックしてポップアップメニューを呼び出します。
ポップアップメニューが表示されたら「 preferences 」を選択し、設定画面を呼び出します。
設定画面が表示されたら「 Launch when windows starts. 」にチェックを入れます。これでWindowsの起動時にGTWhoisも自動起動されます。
「 Update TLDs 」と「 Update Servers 」ボタンをクリックし、GTWhoisが参照するWhoisサーバー情報を更新します。更新が成功すると下図の様に日付が設定実行日に変わります。その他の設定項目については GTWhois のサイトで確認し、適宜設定して下さい。
再度、アイコンを右クリックしてポップアップメニューを呼び出します。
ポップアップメニューが表示されたら「 Show/Hide Query Window 」を選択します。
※タスクトレイの「gt」アイコンをダブルクリックしても入力フォームが呼び出せます。
問い合わせの入力フォームが開くので［ Look for: ］欄に参照したい IPアドレスかドメイン名を入力します。
IPアドレスかドメイン名を入力したら「Query」ボタンをクリックします。
※GTWhois でドメイン情報を参照する場合は gTLD （.com や .net など）や一部の ccTLD Whois情報に限られます。IPアドレスは一部を除き、ほぼ全てのIP情報が参照できます。
問い合わせ結果は、下図のように別ウインドウで表示されます。
先程のIPアドレス（221.212.181.198）の問い合わせ結果を見てみると、country : cn の記述があり、このIPアドレスは中国の企業に割り当てられたIPアドレスであることが判ります。ホスト（クライアント）が so-net を名乗っているのにも関わらず、IPアドレスは中国の企業に割り当てられたものとはいかにも不自然です。
念のため、so-net のIPアドレスを nslookup で調べてみます。
> www.so-net.ne.jp Server: GATEWAY-01 Address: 192.168.0.10 Non-authoritative answer: Name: www.so-net.ne.jp Address: 202.238.95.65 >
so-net の WebサーバーのIPアドレスは、 202.238.95.65 と返ってきました。
次に GTWhois で IPアドレス ： 202.238.95.65 の割り当てを確認してみます。
問い合わせの結果は以下の通りです。
最初に www.so-net.ne.jp と webサーバーのIPアドレスを正引きしたのは、so-net に割り当てられているIPアドレスの一部が判れば、Whois情報で so-net 全体のIPアドレスの割り当て状況が確認出来るからです。
この参照結果の中で重要な点は、上位情報の [割り振り] に表示された情報です。
※問い合わせ結果に上位情報が表示されない場合もあります。
[割り振り] 202.238.64.0/18
202.238.64.0/18 は、202.238.64.0～202.238.127.255 のIPアドレス空間を示しています。
Whois情報を見る限りでは、so-net が割り当てを受けているIPアドレスの中に、問題のIPアドレス 221.212.181.198 は存在していません。
IPアドレス 221.212.181.198 は、nslookup の逆引きにも該当が無く、Whois情報にも合致しません。これらの事から、このメールヘッダが偽装されているのは、ほぼ間違いないと判断できるわけです。
※IP-Address の割り当て（所有者）は、常に変化しています。「割当年月日」・「返却年月日」・「最終更新」の日付にも注意して下さい。
このように nslookup や Whois情報を活用して迷惑メールのメールヘッダを検証します。
メールヘッダを検証し、不自然な点があれば差出人やメールの内容に関係なく注意する必要があります。
