目次
- はじめに：AIをSOCで活用するうえで重要なのは「信頼できるデータ接続」
- MCPとは何か
- DomainTools MCP Serverとは
- DomainTools MCP Serverの基本ワークフロー
- 理由1：LLMからDomainToolsデータへ自然言語でアクセスできる
- 理由2：Iris Data、DNSDB、Domain Historyを横断して調査できる
- 理由3：単一IOCから関連インフラへすばやくピボットできる
- 理由4：既存のAIワークフローやSOC基盤に組み込みやすい
- 理由5：AIに推測させるのではなく、検証可能なインテリジェンスを返せる
- 理由6：調査結果を再利用可能なワークフローへ発展させやすい
- DomainTools MCP Serverが適している主なシーン
- 導入時に確認すべき主なポイント
- まとめ：AI時代のSOC調査を支える実務的な接続レイヤー
はじめに：AIをSOCで活用するうえで重要なのは「信頼できるデータ接続」
セキュリティ運用の現場では、AIやLLMを使って調査を効率化したいというニーズが高まっています。
しかし、SOCやCSIRTの実務でAIを活用する場合、単にチャット形式で質問できるだけでは十分ではありません。
重要なのは、AIが信頼できる脅威インテリジェンスやDNSデータに安全にアクセスし、その結果を調査・トリアージ・対応判断に活用できることです。
不審なドメイン、IPアドレス、ネームサーバー、証明書、登録情報、パッシブDNS履歴などを確認する作業は、インシデント対応や脅威ハンティングで頻繁に発生します。
これらを人手で一つずつ調べると、複数のツールを行き来する必要があり、調査の初動に時間がかかります。
そこで注目されるのが、DomainTools MCP Serverです。
DomainTools MCP Serverは、MCP対応クライアントやAIエージェントからDomainToolsのドメインインテリジェンスに接続し、自然言語ベースの調査ワークフローの中で、DNS、パッシブDNS、ドメイン履歴、リスク情報などを活用できるようにする仕組みです。
つまり、AIに自由に推測させるのではなく、DomainToolsが持つ実データをもとに、疑わしいドメインの調査、関連インフラの探索、リスク判断、対応アクションの整理を支援するための実務的な接続レイヤーといえます。
MCPとは何か
MCPは、Model Context Protocolの略で、AIエージェントやLLMが外部ツールや外部データと安全にやり取りするための標準的な仕組みです。
従来、LLMは与えられたプロンプトや学習済みの知識だけをもとに回答することが多く、最新の業務データや組織固有のセキュリティデータに直接アクセスするには、個別の実装や連携が必要でした。
MCPを使うことで、LLMは外部のデータソースやツールを「利用可能な機能」として認識し、必要に応じて適切なツールを呼び出せるようになります。
セキュリティ運用に置き換えると、アナリストがAIアシスタントに対して「このドメインのリスクを確認して」「関連インフラを調べて」「パッシブDNS履歴を確認して」といった指示を出し、その裏側でMCP経由のツール呼び出しが行われるイメージです。
これにより、LLMは単なる文章生成ツールではなく、外部データを参照しながら調査を進めるインターフェースとして活用しやすくなります。
DomainTools MCP Serverとは
DomainTools MCP Serverは、MCP対応クライアントからDomainToolsのドメインインテリジェンスを利用するための仕組みです。
DomainToolsが持つドメイン、DNS、パッシブDNS、証明書、登録情報、Web関連情報、ドメイン履歴などのデータを、AIエージェントやLLMワークフローの中で利用しやすくします。
たとえば、アナリストがAIアシスタントに不審なドメインを提示すると、LLMは必要な調査内容を判断し、DomainTools MCP Serverを通じてリスク情報、DNS履歴、関連インフラ、登録情報、証明書情報などを取得できます。
その結果、アナリストは複数の画面を手作業で確認する前に、調査に必要な情報の概要や優先順位を把握しやすくなります。
DomainTools MCP Serverの特徴は、単にAIへデータを渡すだけではありません。
DomainTools側のデータセットにもとづいて、調査に必要な情報を構造化して返せるため、SOCの初動調査、脅威ハンティング、インシデント対応、アプリケーションエンリッチメントなど、実務上のさまざまな用途に活用できます。
DomainTools MCP Serverの基本ワークフロー
DomainTools MCP Serverを利用した調査は、アナリスト、LLM、MCP Server、DomainToolsデータの間で進みます。
まず、アナリストがAIアシスタントに対して、不審なドメインや調査したい条件を自然言語で入力します。
LLMはその内容を解釈し、必要な調査項目を整理します。
次に、LLMはMCP経由でDomainTools MCP Serverへツール呼び出しを行います。
DomainTools MCP Serverは、調査内容に応じて適切なDomainToolsのデータや機能を選択し、必要な情報を取得します。
取得されたデータは、構造化されたインテリジェンスとしてLLM側へ返されます。
LLMはその結果をもとに、リスク概要、関連インフラ、追加調査の候補、ブロックや監視の対象、対応方針などを整理します。
この流れにより、AIは単に文章を生成するだけでなく、実際の脅威インテリジェンスを参照しながら、調査を補助する役割を持てるようになります。
- アナリスト: 不審ドメインや調査条件を自然言語で入力
- LLM: 意図を解釈し、必要なツール呼び出しを計画
- DomainTools MCP Server: 適切なDomainToolsデータを選択・取得
- DomainToolsデータ: リスク、DNS、パッシブDNS、履歴、関連インフラなどを提供
- 調査結果: アナリストが確認しやすい形で要約・整理
理由1：LLMからDomainToolsデータへ自然言語でアクセスできる
DomainTools MCP Serverの大きなメリットは、アナリストが自然言語で調査を始められる点です。
従来の調査では、不審ドメインを確認するために、リスクスコア、登録情報、DNSレコード、パッシブDNS、証明書、ホスティング情報などをそれぞれ確認する必要がありました。
MCPを利用すると、アナリストは「このドメインのリスクを確認して」「関連ドメインを調べて」「共通するインフラを洗い出して」といった形で指示できます。
LLMはその指示をもとに、DomainTools MCP Serverへ必要なツール呼び出しを行い、調査結果を整理します。
これにより、アナリストはコマンドやAPIの詳細を毎回意識しなくても、DomainToolsのデータをAIワークフローの中で活用しやすくなります。
特に、経験の浅いアナリストにとっては、どの順番で情報を確認すべきか、どこからピボットすべきかを判断する負担を下げられます。
熟練アナリストにとっても、初期調査や定型的な確認作業を短縮できる点がメリットです。
理由2：Iris Data、DNSDB、Domain Historyを横断して調査できる
DomainTools MCP Serverでは、複数のDomainToolsデータを調査ワークフローに取り込めます。
まず、現在のドメインインテリジェンスとして、IPインフラ、SSL/TLS証明書、DNSレコード、Web関連情報、MXレコードなどを確認できます。
これにより、対象ドメインがどのようなインフラ上で動いているのか、どのような特徴を持っているのかを把握しやすくなります。
また、DNSDBを利用することで、パッシブDNSデータにもとづく調査が可能になります。
過去および現在観測されたDNSレコードをもとに、ドメインとIPアドレスの関係、名前解決の履歴、共通するインフラを確認できます。
さらに、Domain Historyを利用することで、ドメイン登録、インフラ、Web関連情報の変化を時系列で追跡できます。
これにより、対象ドメインがどのように変化してきたのか、登録情報やインフラに不自然な変化がないかを確認しやすくなります。
これらのデータを個別に確認するのではなく、AI支援の調査ワークフローの中で横断的に扱える点が、DomainTools MCP Serverの重要な価値です。
- Current Iris Data: 現在のドメイン、DNS、証明書、Web関連情報などを確認
- DNSDB: パッシブDNSを使って過去・現在の名前解決や関連インフラを確認
- Domain History: 登録情報、インフラ、Web関連情報の変化を時系列で確認
理由3：単一IOCから関連インフラへすばやくピボットできる
インシデント対応や脅威ハンティングでは、最初に得られる情報が一つのドメインやIPアドレスだけというケースも少なくありません。
しかし、攻撃者インフラは単独で存在しているとは限りません。
同じ登録情報、同じネームサーバー、同じIPアドレス、同じ証明書、同じWebパターン、同じメールインフラなどを共有する関連ドメインが存在する場合があります。
DomainTools MCP Serverを利用すると、単一のIOCを起点に、関連する登録情報、パッシブDNS、インフラ履歴、Web関連データをたどりながら、疑わしいドメイン群を洗い出す調査を支援できます。
たとえば、不審ドメインを起点に、リスクの高い類似ドメイン、同じ登録パターンを持つドメイン、同じインフラ上で観測されたドメイン、同じ名前解決履歴を持つ対象などを確認できます。
これにより、単発のIOC確認で終わらず、攻撃インフラを面で把握しやすくなります。
SOCの現場では、単に「このドメインは悪性かどうか」を確認するだけでなく、「同じ攻撃基盤に属する可能性がある対象はほかにないか」を調べることが重要です。
DomainTools MCP Serverは、そのピボット調査をAIワークフロー内で進めやすくします。
理由4：既存のAIワークフローやSOC基盤に組み込みやすい
DomainTools MCP Serverは、アナリストが直接AIアシスタントから利用するだけでなく、より広いSOCワークフローにも組み込めます。
たとえば、MCP対応クライアントを使って、アナリストが自然言語でDomainToolsデータを呼び出す使い方があります。
これは、調査担当者が現在利用しているAIワークフローの中にDomainToolsデータを追加するイメージです。
さらに、複数のMCPを連携させる構成も考えられます。
たとえば、SIEMやログ基盤から取得した不審ドメインをAIアシスタントが受け取り、DomainTools MCP Serverでリスク情報や関連インフラを確認し、その結果をレポートや対応判断に反映する流れです。
また、MCP対応のセキュリティプラットフォームやSOAR環境に組み込むことで、アラート検知、ドメインエンリッチメント、リスク確認、ブロック、チケット作成、担当者レビューといった一連の流れを自動化しやすくなります。
重要なのは、DomainTools MCP Serverが既存のSOC運用を置き換えるものではなく、既存の調査・検知・対応フローにDomainToolsのドメインインテリジェンスを加える役割を持つことです。
- 直接利用: アナリストがMCP対応クライアントから自然言語で調査
- ブローカー型連携: SIEMやログ基盤など複数のMCPと連携して調査を統合
- セキュリティ基盤内での連携: アラートエンリッチメントや対応自動化にDomainToolsデータを組み込み
理由5：AIに推測させるのではなく、検証可能なインテリジェンスを返せる
セキュリティ調査でAIを使う場合、最も注意すべき点の一つが、AIによる推測や不確かな回答です。
脅威インテリジェンスやインシデント対応では、根拠のない推測にもとづいて判断すると、誤検知、過剰対応、見落としにつながる可能性があります。
DomainTools MCP Serverの考え方は、AIに自由に答えを作らせることではありません。
DomainToolsのデータセットから取得した情報をもとに、構造化された調査結果を返すことにあります。
つまり、LLMは自然言語インターフェースや調査支援の役割を担い、DomainTools MCP Serverはドメインインテリジェンスにもとづく確認可能な情報を提供します。
これにより、AIの利便性を活かしながら、調査結果の一貫性や検証可能性を保ちやすくなります。
SOC運用では、「なぜこのドメインを高リスクと判断したのか」「どのインフラと関連しているのか」「どの情報を根拠に追加調査すべきなのか」を説明できることが重要です。
DomainTools MCP Serverは、その説明可能な調査プロセスを支援します。
理由6：調査結果を再利用可能なワークフローへ発展させやすい
DomainTools MCP Serverは、単発の調査だけでなく、繰り返し使えるワークフローの構築にも役立ちます。
たとえば、新規登録ドメインの中から特定のキーワードや登録パターンに一致するものを抽出し、リスクの高い対象をトリアージするワークフローを作れます。
また、取引先や外部ベンダーのドメインフットプリントを定期的に確認し、ネームサーバーの変更、高リスク化、新しいIPやASNへの移動など、不自然な変化を検知する使い方も考えられます。
さらに、大企業では自社保有ドメインの棚卸しやガバナンスにも活用できます。
タグやフラグを使いながら、保有ドメインの状態、失効、復活、移管、インフラ変更などを継続的に把握することで、ドメイン管理の見落としを減らしやすくなります。
こうしたワークフローは、毎回ゼロから調べるのではなく、同じ観点・同じ手順で繰り返し実行できる点が重要です。
- 新規登録ドメインの発見: キーワードや登録パターンに一致する新規ドメインを確認
- サードパーティリスク確認: 取引先や外部ベンダーのドメイン変化を監視
- ドメインガバナンス: 自社保有ドメインの状態や変更を継続的に把握
- 検知クエリ作成: 高リスクなインフラ特徴をもとに追加監視へ展開
- 対応プレイブック化: 調査結果をブロック、監視、共有、エスカレーションへつなげる
DomainTools MCP Serverが適している主なシーン
DomainTools MCP Serverは、AIを活用したドメイン調査、脅威ハンティング、SOCアラートのエンリッチメント、インシデント対応を効率化したい組織に適しています。
- SOCアラートの初動調査: アラートに含まれる不審ドメインを起点に、リスク、DNS、パッシブDNS、証明書、関連インフラを確認します。
- 脅威ハンティング: 単一IOCから関連ドメイン、共通インフラ、登録パターン、DNS履歴をたどり、攻撃基盤を洗い出します。
- インシデント対応: 確認すべきドメイン、ブロック候補、監視対象、追加調査候補を整理し、対応判断を支援します。
- フィッシング・なりすまし調査: ブランド名やサービス名に類似したドメインのリスク、登録情報、インフラ、関連ドメインを確認します。
- CTIレポートの補強: 外部レポートに含まれるIOCをDomainToolsデータでエンリッチし、関連インフラや過去の活動を確認します。
- サードパーティリスク確認: 取引先や外部ベンダーのドメインフットプリントの変化を確認し、不自然な変更を把握します。
- ドメイン資産管理: 保有ドメインの状態、タグ、変更履歴を継続的に確認し、ガバナンスを強化します。
- 若手アナリストの調査支援: 自然言語で調査の流れを進められるため、複雑なピボット調査の学習負担を軽減します。
- 調査の標準化: 同じ観点でリスク確認、関連インフラ調査、対応アクション整理を行いやすくなります。
特に、既にAIアシスタントやMCP対応クライアントを業務で使い始めている組織にとって、DomainTools MCP Serverは、AIワークフローに信頼できるDNSインテリジェンスを加えるための有効な選択肢となります。
導入時に確認すべき主なポイント
DomainTools MCP Serverを活用する場合、AIワークフロー、データ利用範囲、SOC運用、既存ツール連携の観点から、事前に整理しておくべきポイントがあります。
- どのMCP対応クライアントやAIアシスタントからDomainToolsデータを利用するか
- アナリストが直接利用するのか、SIEMやSOARなどのワークフローに組み込むのか
- 調査対象とするデータ範囲をどこまでにするか
- リスクスコア、DNS履歴、パッシブDNS、証明書、登録情報、Domain Historyをどのように使い分けるか
- AIが取得した結果を人間がどの段階でレビューするか
- ブロック、監視、チケット作成、共有、エスカレーションなどの対応アクションへどう接続するか
- API連携とMCP連携をどのように使い分けるか
- 機密性の高い調査情報をAIワークフローで扱う際の社内ルールをどう設計するか
- 定期的に実行したい調査や監視をワークフロー化できるか
- 若手アナリスト向けの調査支援や教育にも活用するか
MCPを導入する目的は、AIを使うこと自体ではありません。
重要なのは、SOCやCSIRTがすでに行っている調査・判断・対応の流れに、信頼できるDomainToolsデータを自然に組み込むことです。
そのため、導入時には「どのデータを、誰が、どのタイミングで、どのアクションにつなげるのか」を明確にしておくことが重要です。
まとめ：AI時代のSOC調査を支える実務的な接続レイヤー
DomainTools MCP Serverは、MCP対応クライアントやAIエージェントからDomainToolsのドメインインテリジェンスを利用するための仕組みです。
アナリストは自然言語で調査を開始し、LLMはDomainTools MCP Serverを通じて、リスク情報、DNS、パッシブDNS、ドメイン履歴、証明書、関連インフラなどを取得できます。
これにより、単一IOCの確認だけでなく、関連インフラへのピボット、脅威ハンティング、CTIレポートの補強、インシデント対応、サードパーティリスク確認、ドメインガバナンスなど、幅広いセキュリティ業務を支援できます。
また、DomainTools MCP Serverは、AIに根拠のない推測をさせるための仕組みではなく、DomainToolsのデータにもとづく検証可能なインテリジェンスをAIワークフローに取り込むための接続レイヤーです。
AIを活用しながらも、信頼できるデータ、説明可能な調査、アナリストによる判断を重視したい組織にとって、DomainTools MCP ServerはSOC調査を効率化する有力な選択肢となります。
当ブログでは今後も、セキュリティと実務運用の両面から役立つ情報を発信してまいります。
ぜひブックマークのうえ、最新記事をお見逃しなく！