# 攻撃者はどうやってサイトを見つけるのか

ほとんどの攻撃は個人を狙ったものではありません。自動ツールがインターネット全体をスキャンしており、小規模なサイトも大規模なサイトと同じ方法で見つけられます。

「自分のサイトは小さすぎて、誰の関心も引かない」と考えるのは自然なことです。しかし攻撃者は、サイトを一つずつ考えるわけではありません。ツールを使います。

## サイトが見つけられる仕組み

* **新しい証明書はすべて公開ログに記録されます。** そのため、新しいサイトは公開から数分以内に見つけられます。
* **ツールはインターネット上のすべてのアドレスを、数時間のうちに試します。** 既知の弱点がないかを探すためです。
* **検索エンジンは、想定より多くを登録します。** リンクを知っている人だけに共有するつもりだったページも含まれます。
* **DNS レコードは公開されています。** そのため、サブドメインや利用しているサービスを簡単に一覧にできます。

ツールがサイトを見つけると、どこでも同じいくつかの手口を試します。例えば、漏えいしたキー、古いバージョンの一般的なソフトウェア、公開されたバックアップ、よくあるパスワードを使えるサインインページなどです。うまくいったものが利用されます。

## これが良い知らせである理由

攻撃は自動化されているため、よくある既知の問題を探します。それらを直せば、多くのサイトより先を行けます。誰かより賢くなる必要はありません。ツールが確認する扉を閉じるだけで十分です。

スキャンもこれと同じことをします。ツールと同じように外側からサイトを確認し、どの扉が開いているかを伝えます。コードに触れたり、サインインしたりすることはありません。

> **Try it**
>
> [サイトをチェック](/app)で Pulse スキャンを実行すると、オンラインの誰があなたのサイトについて何を知れるかを確認できます。