awesome-osint-arsenal 解説｜OSINTツール集約OSSをブルーチーム視点で読む防御ガイド

awesome-osint-arsenal は、OSINT（公開情報からの情報収集）と調査・セキュリティ系のツールを一覧化したGitHubリポジトリだ。 公開者は rawfilejson（プロフィール名 barni）、収録内容は外部ツールへのリンクと短い説明、そしてKali Linux向けのインストーラを集めたカタログの形を取る。 ツールの羅列はどうしても攻撃用途を連想させるが、本記事はその中身を ブルーチーム（防御側）と脅威インテリジェンスの地図 として読み替える。

なぜ防御側がOSINTツールのカタログを眺めるのか。 理由は単純で、攻撃者は侵入の前に必ず公開情報で標的を下調べするからだ。 攻撃者がどこを見て、何を手がかりにするかを知らなければ、自社の露出面のどこを先に塞げばよいかも決められない。

本記事は攻撃手順・個人特定の手順・コマンドを一切掲載しない。 収録カテゴリの全体像、防御側が自社の露出面を点検する考え方、そして合法かつ倫理的に扱うための前提条件に絞って解説する。 特定個人を追跡・特定するための情報は目的外であり、扱わない。

AIとLLMを含むセキュリティ全体像は AIセキュリティとは？LLM時代の脅威モデル・代表的リスク・OSS対策ツールを体系解説する入門ガイド で俯瞰している。本記事はその防御運用の各論にあたる。

awesome-osint-arsenal とは：rawfilejsonによるOSINTツールのカタログ

awesome-osint-arsenalは、GitHubユーザー rawfilejson が公開する、OSINTと調査・セキュリティ系ツールの集約リポジトリだ。 個々のツールを実装したソフトウェアではなく、外部の公開ツール・オンラインサービスへのリンクと短い説明を、カテゴリ別に並べたカタログである。 位置づけとしては、後述する jivoi/awesome-osint などの「awesome系」リストに、Kali Linux向けのインストーラスクリプトを足したものに近い。

2026年6月18日時点の公開情報は次のとおりだ。 数値はGitHub APIの実測値で、推測は含まない。

注意したいのは、リポジトリが自己申告する規模と、GitHubの短い説明文に差がある点だ。 GitHubの説明文には「100+ tools」とあるが、README本文の集計表では 751+ツール・50カテゴリ と記載されている。 この751という数字には、インストール可能なCLIツールだけでなく、外部のオンラインプラットフォームへのリンク（README記載で461+）や、後述する特定国向けの調査リソース（500+）が含まれる。 つまり「導入するソフトウェアの数」ではなく「参照先リンクを含む総項目数」と理解するのが正確だ。 本記事ではこの自己申告値をそのまま実態と断定せず、「README記載の項目規模」として扱う。

もう一つ重要なのが ライセンスが明示されていない ことだ。 OSSであってもLICENSEが未設定だと、原則として著作権が作者に留保されるため、再配布や改変配布、商用転用の可否は不透明になる。 READMEには教育・許可された調査目的に限る旨の免責（Legal Disclaimer）が置かれているが、これは利用ライセンスの付与とは別物だ。 学習目的でREADMEを読むぶんには問題になりにくいが、内容を転載・再配布する場合は最新のリポジトリ状態を確認する必要がある。

本記事の前提：合法性・倫理・読者保護

ここは独立した章として最初に明記しておく。 OSINTという語は「公開情報だから自由に集めてよい」という誤解を生みやすいが、それは正しくない。 公開されている情報であっても、集め方・対象・目的によっては違法になり得る。

OSINTを合法かつ倫理的に扱うには、最低限つぎの前提がそろっている必要がある。

・目的の正当性：脅威インテリジェンス、調査報道、人道支援、自社資産の点検など、公益または正当な業務上の理由があること
・対象の正当性：調べる相手が組織・公開された事象・自社資産であり、特定個人の私生活の追跡を目的にしないこと
・取得方法の適法性：アクセス制御を突破しない、利用規約に反するスクレイピングを避ける、非公開情報を不正に入手しないこと
・データの最小化：必要な範囲を超えて個人データを収集・保存しないこと

このリポジトリの免責自身が、許される用途と禁止される用途を区別している。 許される用途として「自分が所有するシステムへの調査」「調査報道や行方不明者の捜索のためのOSINT」「定義されたスコープのバグバウンティ」を挙げ、禁止される用途として「無断アクセス」「ストーキングや嫌がらせ」「資格情報の窃取」「プライバシー侵害」を明記している。 本記事もこの線引きに沿い、禁止用途に資する情報は一切提供しない。

なお、このリポジトリにはOSINTの範囲を超えて、攻撃側（レッドチーム）の道具や、脆弱性スキャン・資格情報処理に関する項目も含まれている。 本記事はそれらの実行に踏み込まず、防御側が「攻撃者が何を見ているか」を理解する材料としてのみ扱う。 攻撃側ツールを防御の地図として読み替える視点は、姉妹記事の RedTeam-Tools（A-poc）とは｜攻撃ツール集約OSSをブルーチーム視点で読む防御ガイド と共通している。

OSINTとは何か：脅威インテリジェンス・調査報道・防御の文脈

OSINT（Open Source Intelligence） は、公開情報源から収集・分析して得る知見を指す。 ここでの「公開」は、誰でも合法的にアクセスできる情報という意味で、企業の登記情報、報道、SNSの公開投稿、衛星画像、ドメイン登録情報などが含まれる。 非公開のシステムに侵入して得る情報はOSINTではなく、別の法的枠組みの問題になる。

OSINTが活躍する正当な現場は、大きく三つに整理できる。

・脅威インテリジェンス（CTI）：攻撃者が使うインフラ（なりすましドメイン、漏洩した資格情報、攻撃基盤）を公開情報から追い、防御に先回りする
・調査報道・ファクトチェック：公開された一次情報を突き合わせ、事件や主張の真偽を検証する。Bellingcatに代表される手法
・自組織の防御（ディフェンシブOSINT）：攻撃者と同じ目線で自社の露出面を点検し、外から見える情報を減らす

この三つに共通するのは、対象が組織・公開事象・自社資産であり、特定個人の私生活を追うことを目的にしない点だ。 OSINTを防御に使うとき、視点は常に「攻撃者は自分たちの何を見ているか」に向く。 個人を特定するためではなく、組織の弱点を先に塞ぐために公開情報を読む。これがディフェンシブOSINTの基本姿勢になる。

AIエージェントが偵察・診断を自動化する流れは pentest-ai-agents｜Claude Code向け35の攻撃セキュリティ専門サブエージェント解剖 でも扱っている。OSINTはその自動化された攻撃フローの「最初の一歩」にあたる。

収録カテゴリの全体像

awesome-osint-arsenalのREADMEは、50の番号付きカテゴリで構成される。 それらをテーマ別にまとめると、おおよそ次の領域に分かれる。 下表は各領域と、防御側がそれをどう読み替えるかを対応づけたものだ。 個別ツールの使い方ではなく、防御上の意味だけを示している。

注目したいのは、このカタログが純粋なOSINTの枠を超え、攻撃側ツールから防御側ツール、フォレンジック、訓練環境までを一つに束ねていることだ。 だからこそ防御側にとっては、「攻撃者の偵察」「自社の露出」「防御の道具」「学びの場」を一枚の地図で俯瞰できる素材になる。

下図は、収録領域を「攻撃者が外から集める情報」「自社の内部資産」「防御・分析の手段」という三層で俯瞰したものだ。 攻撃の再現手順ではなく、どの情報が外から見えるかを考えるための防御フレームである。

カテゴリ別の代表的な領域（機能概要のみ）

ここでは主要な領域が「何を対象にするカテゴリか」だけを示す。 個別ツールの実行方法・コマンド・検索式は一切記載しない。 防御側にとっては、こうした領域の存在を知っておくこと自体が、自社のどこを点検すべきかの解像度を上げる。

・ドメイン・IP偵察系：組織が公開しているドメイン、サブドメイン、証明書、稼働中ホストを公開情報から把握する領域。防御側は「想定外に公開されたサブドメインや管理画面」を先回りで見つける用途に読み替えられる
・漏洩・侵害情報の検索系：過去のデータ漏洩に含まれるメールアドレスや資格情報を照合する領域。防御側は自社ドメインのアドレスが侵害データに含まれていないかを監視し、パスワード再設定やMFA強制の判断材料にできる
・メタデータ・フォレンジック系：公開ファイルや画像に残る作成者・端末・位置情報などのメタデータを読む領域。防御側は自社が公開する文書から不要なメタデータを除去する点検に使う
・企業・公開記録系：登記情報、法人識別子、公的記録を照合する領域。デューデリジェンスや反社チェックといった正当な業務調査で使われる
・検索エンジンの高度な絞り込み系：検索演算子を使って公開資産を効率的に探す領域。防御側は「自社の機密ファイルや機器が検索エンジンに露出していないか」の自己点検に転用できる
・脅威インテリジェンス基盤系：攻撃インフラや悪性ドメイン、漏洩情報を集約するプラットフォーム。防御運用に最も直接的に役立つカテゴリ

重要なのは、これらの領域名は 攻撃者の偵察対象であると同時に、防御側の点検項目でもある という点だ。 攻撃者が「自社のドメインから何が見えるか」を調べるなら、防御側は先に同じことを調べて露出を減らせばよい。 ツールの名前を知ることは、そのまま「自社の何が狙われ得るか」を知ることにつながる。

なお、このカタログには露出した機器の探索や検索演算子の事例など、そのまま転記すると不適切に使われ得る具体例も含まれる。 本記事ではそうした検索式・コマンド・手順は引用しない。 防御の目的に必要なのは「そういう探索が存在する」という事実であって、再現方法ではないからだ。

防御視点での意義：自社の露出面チェックと脅威インテリジェンス

ここが本記事の核心の一つだ。 OSINTカタログを、自社の 攻撃対象領域（Attack Surface） の点検に翻訳する。 攻撃者は侵入の前に、必ず公開情報で標的を観察する。 だから防御側が同じ視点で先回りすれば、攻撃者が見つける前に露出を減らせる。

具体的な点検の流れは、おおむね次のように整理できる。 これは攻撃手順ではなく、自社を守るための自己点検フローだ。

このフローのどの段階も、外部に侵入せず、自社が公開している情報だけを対象にする点が肝心だ。 他社や個人を対象にすれば一気に法的リスクに踏み込むが、自社資産の点検であれば正当な防御活動として成立する。

脅威インテリジェンスの観点では、OSINTは「攻撃が始まる前の早期警戒」に効く。 たとえば自社ブランドを騙る新規登録ドメインを公開情報から把握できれば、フィッシングが本格化する前に注意喚起やテイクダウン依頼を進められる。 漏洩データに自社アドレスが現れれば、その資格情報が悪用される前に無効化できる。 攻撃者が使う公開情報の地図を防御側が持つことは、攻撃の準備段階を観測する力につながる。

CTIライフサイクルの中でのOSINTの位置

防御運用でOSINTを扱うときは、それを単独の作業ではなく 脅威インテリジェンス（CTI）のライフサイクル の一部として位置づけると、目的を見失いにくい。 CTIは一般に、計画・収集・処理・分析・配布・フィードバックという循環で語られる。 OSINTはこのうち主に「収集」を担うが、何を集めるかは「計画」で定めた防御上の問いに従う。

この循環で大切なのは、収集（OSINT）が目的化しないことだ。 「集められるから集める」のではなく、「自社を守るどの判断に使うか」を計画段階で決めてから収集に入る。 たとえば「自社を騙るフィッシングの兆候を早期に掴む」という問いを立て、それに必要な公開情報だけを集め、分析して防御チームに配る。 このように問いを起点にすると、収集対象が自然と自社・公開事象・脅威インフラに絞られ、個人の私生活へ踏み込む動機もなくなる。

awesome-osint-arsenalのカテゴリは、この「収集」段階で参照しうる情報源の目次として読める。 ただし目次に並ぶすべてを使う必要はなく、計画段階で立てた問いに対応するカテゴリだけを選べばよい。 カタログの網羅性は、裏を返せば「何を使わないか」を選ぶ判断力を要求する。

ジャーナリスト・人道支援団体での正当な使用例

OSINTが社会的に評価される最大の理由は、調査報道と人道支援における公益的な使い方にある。 ここでは具体的な手順ではなく、どのような目的でOSINTが正当に機能するかを示す。

・事実確認・調査報道：公開された画像・動画・登記情報・公的記録を突き合わせ、事件や公的主張の真偽を検証する。Bellingcatは公開情報の照合による調査手法を確立し、検証可能性を重視する実践を広めた
・人道・災害対応：災害や紛争の現場で、公開された衛星画像や被災者の公開投稿から状況を把握し、支援の優先順位づけに役立てる
・企業の透明性・公益調査：登記情報や財務開示を用いて、利益相反や不正の構造を公開データの範囲で明らかにする
・行方不明者の捜索支援：家族や当局の依頼に基づき、公開情報の範囲で手がかりを探す（リポジトリの免責も正当用途として挙げている）

これらに共通する条件は三つある。 公益または正当な依頼に基づく目的、公開された情報源のみを使う取得方法、そして 第三者が追検証できる透明性 だ。 この三条件を欠くと、同じ技術でも一気にプライバシー侵害へ傾く。 正当な使用と不適合な使用を分けるのは、ツールそのものではなく、目的・対象・検証可能性のほうである。

適合しないユースケース：個人特定・ストーキング・嫌がらせ

ここは安全のために独立章として明記する。 awesome-osint-arsenalに並ぶツール群には、本サイトの方針として推奨も解説もしない使い方が存在する。

・特定個人の私生活上の追跡：個人の居場所・行動・交友関係を本人の同意なく継続的に把握しようとする使い方
・住所・実名の割り出し（ドキシング）：公開情報を組み合わせて個人の身元や所在を暴露し、危害や嫌がらせの手がかりにする使い方
・リアルタイムの位置追跡：本人の同意なく現在地を継続的に監視する使い方
・嫌がらせ・脅迫の準備：上記で得た情報を、つきまといや脅迫、私的制裁の材料にする使い方

これらは技術的に可能かどうかにかかわらず、やってはならない。 リポジトリ自身の免責も、ストーキング・嫌がらせ・プライバシー侵害を禁止用途として明記している。 本記事はこの線引きを共有し、こうした目的に資する手順・コマンド・検索式を一切提供しない。

特に注意したいのは、「公開されているから集めてよい」という発想の危うさだ。 個々の情報が公開でも、それらを名寄せして特定個人の生活像を再構成すれば、本人が想定しないプライバシー侵害になり得る。 日本の個人情報保護法も、公開情報であっても個人データとして扱う以上は利用目的による制約を課す。 公開情報の集積が新たなプライバシーリスクを生むという点は、防御側こそ理解しておくべき論点だ。

関連法と倫理：個人情報保護法・ストーカー規制法・不正アクセス禁止法・GDPR

繰り返しになるが、公開情報を扱う場合でも、集め方・対象・目的によっては法に触れる。 主要なルールを整理しておく。 以下は一般的な整理であり、個別の事案については専門家への相談が前提になる。

日本：個人情報保護法では、生存する個人を識別できる情報を「個人情報」として扱い、取得・利用には利用目的の特定と適正な取得が求められる。 公開情報であっても、これを体系的に集めてデータベース化すれば、取扱事業者としての義務が生じ得る。 目的外利用や不適正な取得は是正・指導の対象になる。

日本：ストーカー規制法は、特定の者に対する恋愛感情等に基づくつきまといや、位置情報の無断取得を含む監視的行為を規制する。 OSINTツールを使って特定個人の所在や行動を継続的に追えば、この規制に抵触し得る。 個人の追跡は、本記事が示す「不適合ユースケース」の中核だ。

日本：不正アクセス禁止法は、他者の管理するコンピュータに、許可なくアクセス制御を突破して侵入する行為などを禁じる。 OSINTは本来「公開情報」を扱うが、ログイン突破や非公開領域への侵入に踏み込めば、それはもうOSINTではなく不正アクセスの問題になる。 識別符号（ID・パスワード）の不正取得・保管・提供も処罰対象だ。

EU：GDPRは、EU域内の個人データの処理に広く適用される。 公開情報であっても個人データに該当すれば、処理の法的根拠、目的の限定、データ最小化、保存期間の制約などが求められる。 EU市民のデータを扱う場合は、日本国内の活動であっても適用され得る点に注意が要る。

倫理面では、収集した第三者の個人情報を不要に閲覧・保存しないこと、調査で得た情報を公益目的以外に転用しないこと、そして自社点検で得た情報を適切に管理することが求められる。

合法に進めるための判断は、下図のフローで自問できる。 収集対象が個人を識別し得るか、正当な根拠や同意があるかを順にたどり、いずれかで止まれば実施を見送る。

このフローのどこか一つでも欠ければ、技術的に可能でも 実施を見送る のが原則だ。 目的・根拠・適法な取得方法がそろって初めて、OSINTは正当な防御・調査の道具になる。

既存のawesome系リストとの位置づけ

OSINT分野には、awesome-osint-arsenal以前から定番のリンク集が存在する。 代表格が jivoi/awesome-osint で、長年メンテナンスされてきたコミュニティ標準のリンク集だ。 両者を対比すると、awesome-osint-arsenalの特徴が見えてくる。

awesome-osint-arsenalは、インストーラで環境構築まで一気に進められる利便性と、攻防・フォレンジックまで含む網羅性が特徴だ。 一方で、公開からの期間が短く貢献者も少ないため、リンク切れや収録基準のばらつきは定番リストより起こりやすいと見ておくのが妥当だ。 ライセンスが未設定な点も、長期運用の定番リストと比べた弱みになる。 防御目的で参照するなら、まず定番のjivoi/awesome-osintで情報源を把握し、awesome-osint-arsenalは補完的に使うのが堅実だろう。

学習リソースとしての位置づけ：Bellingcat・SANS・CTF

OSINTを防御や調査の文脈で安全に学ぶなら、信頼できる教育リソースを起点にするのがよい。 ツールのカタログを丸暗記するより、目的と倫理を含めて体系的に学ぶほうが実務に効く。

・Bellingcat：公開情報の照合による調査手法を確立した調査報道団体。手法やガイドを公開しており、検証可能性を重視するOSINTの倫理基盤を学べる
・SANS Institute：OSINTを含むセキュリティ分野のトレーニングと公開資料を提供する教育機関。防御・脅威インテリジェンスの体系的な学習に向く
・CTF・ラボ環境：意図的に用意された課題を解く形で、実在の個人を対象にせずに調査技術を練習できる場
・自社環境での点検演習：前述の露出面チェックを自社資産に対して定期的に行い、学びを実務に結びつける

これらに共通するのは、実在の第三者を対象にしないことだ。 学習段階で対象を自社・架空課題・公開事例に限る習慣をつけておけば、技術が身についた後も一線を越えにくくなる。 OSINTは知識が増えるほど「個人を調べてみたい」誘惑も強くなるが、その衝動を正当な対象の内側に留められるかが、調査者としての信頼を分ける。

攻撃ツールを防御の地図として読み替える発想や、合法性チェックの考え方は NeuroSploit解説｜100種の脆弱性に対応するAI駆動の自律ペンテストOSSを設計と防御視点で読む でも別の角度から扱っている。

制限事項・利用前の確認事項

最後に、このリポジトリを参照する前に押さえておきたい制限を整理する。 いずれも防御目的で安全に扱うための前提だ。

・ライセンス未設定：再配布・改変配布・商用転用の可否が不透明。READMEの免責は利用ライセンスの付与ではない
・規模の自己申告：751+という数字は外部リンクを含む総項目数で、導入ソフトウェア数ではない。実態は参照時に確認する
・収録範囲が広い：OSINTを超えて攻撃側ツールや資格情報処理を含む。防御目的で読むときも、実行に踏み込まない自制が要る
・リンクの鮮度：公開から日が浅く貢献者も少ないため、リンク切れや収録基準のばらつきが起こり得る
・インストーラの取り扱い：ワンコマンド導入は便利だが、スクリプトの中身を確認せず実行するのは避ける。README自身も「実行前に内容を確認する」運用を推奨している
・法域による差：個人データの扱いは国・地域で大きく異なる。特定国向けリソースを参照する場合は現地法の遵守が前提

防御担当者がこのカタログを使うときの安全な姿勢は、「攻撃者が何を見ているかを知るために読み、点検対象は自社に限り、実行系には踏み込まない」に尽きる。 カタログの網羅性は便利さであると同時に、選別と自制を要求する性質でもある。

まとめ

awesome-osint-arsenalは、OSINTと調査・セキュリティ系ツールを50カテゴリに整理したカタログ型OSSだ。 攻撃用途を連想させる道具箱に見えるが、防御側にとっては 自社の攻撃対象領域を点検するための地図 として読める。 本記事では個人特定や攻撃の手順を一切示さず、防御・脅威インテリジェンスの観点に絞って解説した。

要点を振り返る。

・カタログはOSINTに加え攻撃側・防御側・フォレンジックまで含み、防御側は「攻撃者が自社の何を見ているか」を俯瞰できる
・露出面チェック（自社ドメイン・公開ファイル・漏洩監視）を定期化すれば、攻撃者が初手で得る情報を減らせる
・OSINTはCTIの「収集」を担うが、目的化させず防御上の問いを起点にすると対象が自然に絞られる
・特定個人の追跡・ドキシング・嫌がらせは明確な不適合ユースケースで、本記事は手順を提供しない
・無断の目的外収集や追跡は、個人情報保護法・ストーカー規制法・不正アクセス禁止法・GDPRに抵触し得る
・ライセンスは未設定のため、再配布・商用転用は要確認

公開情報を読む力は、個人を追うためではなく、組織を守るためにある。 OSINTカタログを防御の地図として読み替えること。それが本記事の一貫した立場だ。

参照ソース

・rawfilejson/awesome-osint-arsenal（GitHub）：リポジトリ本体。50カテゴリの構成、外部ツールへのリンク、Kali向けインストーラ、READMEの免責（教育・許可された調査目的限定）、Star約615・Fork約126、ライセンス未設定、初公開2026年4月12日（2026-06-18時点の実測値）
・jivoi/awesome-osint（GitHub）：長期運用されてきたOSINTリンク集の定番。情報源把握の起点として
・Bellingcat：公開情報の照合による調査報道団体。検証可能性を重視するOSINTの実践と倫理
・個人情報保護委員会：個人情報保護法の所管官庁。個人情報の定義と取扱いの義務
・警察庁｜ストーカー規制法：つきまとい・位置情報の無断取得に関する規制の解説
・European Commission｜Data protection：GDPRの原則と適用範囲に関するEU公式情報