JP7468298B2 - 情報処理プログラム、情報処理方法、および情報処理装置 - Google Patents

情報処理プログラム、情報処理方法、および情報処理装置 Download PDF

Info

Publication number
JP7468298B2
JP7468298B2 JP2020180710A JP2020180710A JP7468298B2 JP 7468298 B2 JP7468298 B2 JP 7468298B2 JP 2020180710 A JP2020180710 A JP 2020180710A JP 2020180710 A JP2020180710 A JP 2020180710A JP 7468298 B2 JP7468298 B2 JP 7468298B2
Authority
JP
Japan
Prior art keywords
domain
behavior
malicious
information processing
feature
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2020180710A
Other languages
English (en)
Other versions
JP2022071645A (ja
Inventor
剛 谷口
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2020180710A priority Critical patent/JP7468298B2/ja
Priority to US17/507,834 priority patent/US20220131884A1/en
Priority to GB2115361.4A priority patent/GB2604207A/en
Publication of JP2022071645A publication Critical patent/JP2022071645A/ja
Application granted granted Critical
Publication of JP7468298B2 publication Critical patent/JP7468298B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/30—Managing network names, e.g. use of aliases or nicknames
    • H04L61/3015—Name registration, generation or assignment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Description

本発明は、情報処理プログラム、情報処理方法、および情報処理装置に関する。
従来、サイバー攻撃に対策し易くなるよう、既に被害が発生したサイバー攻撃に関するプロファイル情報が、脅威情報として公開されている。例えば、サイバー攻撃に用いられる悪性ドメインは、正規ドメインに比べて、登録から経過した時間が短くなる傾向があることが、脅威情報として公開されている。
先行技術としては、例えば、ドメイン名に関する特徴情報に基づき、ドメイン名に対して予め指定されたカテゴリを特定し、特定したカテゴリに応じて、ドメイン名に対する攻撃対策を段階的に決定するものがある。また、例えば、悪性ドメインリストから良性ドメイン名を除外する技術がある。また、例えば、２以上のドメインに関する変数を含むマルチドメインの確率モデルを用いてドメインデータを分析し、確率モデルに関連する各ドメインの確率分布を判定し、ユーザの職務に関連するクラスタにユーザを割り当てる技術がある。
国際公開第２０１８／１６３４６４号 特開２０１３－３５９５号公報 特開２０１４－２１６００９号公報
しかしながら、従来技術では、サイバー攻撃に対策することが難しい場合がある。例えば、膨大な脅威情報の中から、調査中のサイバー攻撃に該当する脅威情報を探し出すことになり、サイバー攻撃に対策する際にかかる作業負担の増大化を招く。
１つの側面では、本発明は、サイバー攻撃に対策する際にかかる作業負担の低減化を図ることを目的とする。
１つの実施態様によれば、複数のタイプそれぞれの攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを取得し、取得した前記悪性挙動データに基づいて、悪性ドメインの挙動に現れる複数の種類それぞれの特徴を、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたり利用する場合の、悪性ドメインの挙動を検知する確率を算出し、算出した前記確率に基づいて、前記それぞれの特徴の、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析し、解析した結果に基づいて、対象ドメインの挙動が、前記複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する情報処理プログラム、情報処理方法、および情報処理装置が提案される。
一態様によれば、サイバー攻撃に対策する際にかかる作業負担の低減化を図ることが可能になる。
図１は、実施の形態にかかる情報処理方法の一実施例を示す説明図である。 図２は、情報処理システム２００の一例を示す説明図である。 図３は、情報処理装置１００のハードウェア構成例を示すブロック図である。 図４は、情報処理装置１００の機能的構成例を示すブロック図である。 図５は、情報処理装置１００の具体的な機能的構成例を示すブロック図である。 図６は、基本データ管理テーブル５２１を生成する一例を示す説明図である。 図７は、レジストラ管理テーブル５２２を生成する一例を示す説明図である。 図８は、検知結果管理テーブル５４１を生成する一例を示す説明図である。 図９は、特徴「鮮度」の現れ方の一例を示す説明図である。 図１０は、特徴「ネームサーバ」の現れ方の一例を示す説明図である。 図１１は、特徴「レジストラ」の現れ方の一例を示す説明図である。 図１２は、特徴「不自然な再登録」の現れ方の一例を示す説明図である。 図１３は、特徴「正引き長期遅れ」の現れ方の一例を示す説明図である。 図１４は、タイプ別特徴管理テーブル５６１を生成する一例を示す説明図である。 図１５は、診断対象ドメインの挙動が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する一例を示す説明図（その１）である。 図１６は、診断対象ドメインの挙動が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する一例を示す説明図（その２）である。 図１７は、収集処理手順の一例を示すフローチャートである。 図１８は、試験処理手順の一例を示すフローチャートである。 図１９は、比較処理手順の一例を示すフローチャートである。 図２０は、診断処理手順の一例を示すフローチャートである。
以下に、図面を参照して、本発明にかかる情報処理プログラム、情報処理方法、および情報処理装置の実施の形態を詳細に説明する。
（実施の形態にかかる情報処理方法の一実施例）
図１は、実施の形態にかかる情報処理方法の一実施例を示す説明図である。情報処理装置１００は、悪性ドメインを用いたサイバー攻撃に対策し易くすることができるコンピュータである。悪性ドメインは、サイバー攻撃に用いられるドメインである。悪性ドメインは、例えば、個人情報を詐取しようとするウェブサイトに対応するドメインである。
従来、サイバー攻撃に対策し易くなるよう、既に被害が発生したサイバー攻撃に関するプロファイル情報が、脅威情報として公開されている。例えば、悪性ドメインは、正規ドメインに比べて、登録から経過した時間が短くなる傾向があることが、脅威情報として公開されている。脅威情報は、例えば、ＣＴＩ（Ｃｙｂｅｒ Ｔｈｒｅａｔ Ｉｎｔｅｌｌｉｇｅｎｃｅ）である。
そして、セキュリティ担当者は、サイバー攻撃のアラートに応じて、脅威情報の中から、今回発生したサイバー攻撃に該当する脅威情報を探し出すことにより、サイバー攻撃に対策することがある。アラートは、サイバー攻撃のおそれが検知されたことを示す。セキュリティ担当者は、例えば、ＳＯＣ（Ｓｅｃｕｒｉｔｙ Ｏｐｅｒａｔｉｏｎ Ｃｅｎｔｅｒ）の人員である。
しかしながら、サイバー攻撃に対策することが難しい場合がある。例えば、脅威情報が膨大になると、セキュリティ担当者は、膨大な脅威情報の中から、今回発生したサイバー攻撃に該当する脅威情報を探し出すことが難しくなり、サイバー攻撃に対策する際にかかる作業負担および作業時間の増大化を招くという問題がある。また、セキュリティ担当者は、１日に多量のアラートを受けることがあり、１件１件のアラートにかかる作業時間を増加させることが難しいという状況がある。
また、セキュリティ担当者は、アラートが発生した原因、および、サイバー攻撃に対する対策などを、責任者に説明しなければならないことがある。責任者は、例えば、経営層である。ここで、例えば、セキュリティ担当者は、サイバー攻撃に対する対策として、サイバー攻撃を受けたネットワーク環境を停止することを提案することがある。この際、セキュリティ担当者は、運用上、または、経営上、本来であれば停止することが好ましくないネットワーク環境を停止しなければならない理由を、責任者に説明しなければならない。このため、セキュリティ担当者にかかる作業負担および作業時間の増大化を招くという問題がある。
これに対し、例えば、サイバー攻撃に用いられる悪性ドメインを検知する検知器を機械学習する手法が考えられる。具体的には、Ｐａｓｓｉｖｅ ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）データに関する所定の特徴を利用して、検知器を機械学習する手法が考えられる。所定の特徴は、例えば、Ｔｉｍｅ－Ｂａｓｅｄ Ｆｅａｔｕｒｅｓ、ＤＮＳ Ａｎｓｗｅｒ－Ｂａｓｅｄ Ｆｅａｔｕｒｅｓ、ＴＴＬ Ｖａｌｕｅ－Ｂａｓｅｄ Ｆｅａｔｕｒｅｓ、Ｄｏｍａｉｎ Ｎａｍｅ－Ｂａｓｅｄ Ｆｅａｔｕｒｅｓなどである。この手法に関しては、例えば、下記参考文献１、および、下記参考文献２などを参考にすることができる。
参考文献１ ： Ｂｉｌｇｅ， Ｌｅｙｌａ， ｅｔ ａｌ． “ＥＸＰＯＳＵＲＥ： Ｆｉｎｄｉｎｇ Ｍａｌｉｃｉｏｕｓ Ｄｏｍａｉｎｓ Ｕｓｉｎｇ Ｐａｓｓｉｖｅ ＤＮＳ Ａｎａｌｙｓｉｓ．” Ｎｄｓｓ． ２０１１．
参考文献２ ： Ｗｅｉｍｅｒ， Ｆｌｏｒｉａｎ． “Ｐａｓｓｉｖｅ ＤＮＳ ｒｅｐｌｉｃａｔｉｏｎ．” ＦＩＲＳＴ ｃｏｎｆｅｒｅｎｃｅ ｏｎ ｃｏｍｐｕｔｅｒ ｓｅｃｕｒｉｔｙ ｉｎｃｉｄｅｎｔ． ２００５．
また、具体的には、ＷＨＯＩＳデータに関する所定の特徴を利用して、サイバー攻撃に用いられる悪性ドメインを検知する検知器を機械学習する手法が考えられる。所定の特徴は、例えば、Ｄｏｍａｉｎ ｐｒｏｆｉｌｅ ｆｅａｔｕｒｅｓ、Ｒｅｇｉｓｔｒａｔｉｏｎ ｈｉｓｔｏｒｙ ｆｅａｔｕｒｅｓ、ｂａｔｃｈ ｃｏｒｒｅｌａｔｉｏｎ ｆｅａｔｕｒｅｓなどのカテゴリに属する特徴である。この手法に関しては、例えば、下記参考文献３などを参考にすることができる。
参考文献３ ： Ｈａｏ， Ｓｈｕａｎｇ， ｅｔ ａｌ． “ＰＲＥＤＡＴＯＲ： ｐｒｏａｃｔｉｖｅ ｒｅｃｏｇｎｉｔｉｏｎ ａｎｄ ｅｌｉｍｉｎａｔｉｏｎ ｏｆ ｄｏｍａｉｎ ａｂｕｓｅ ａｔ ｔｉｍｅ－ｏｆ－ｒｅｇｉｓｔｒａｔｉｏｎ．” Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２０１６ ＡＣＭ ＳＩＧＳＡＣ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｅｃｕｒｉｔｙ． ２０１６．
ただし、攻撃者は、上記特徴が利用されることを考慮して、サイバー攻撃に用いられる悪性ドメインが検知され辛くなるよう、回避行動を実施している。例えば、攻撃者は、特定の組織を狙った標的型攻撃を実施する場合、標的型攻撃に用いられる悪性ドメインが検知され辛くなるよう、悪性ドメインの運用状況を、正規ドメインの運用状況に近付ける回避行動を実施している。従って、上記各手法では、標的型攻撃に用いられる悪性ドメインを検知することが難しいという問題がある。
また、上記各手法では、悪性ドメインを検知することを目的としており、どのような観点から、悪性ドメインと判断されたのかまでは示されない傾向がある。また、上記各手法では、悪性ドメインを検知することを目的としており、悪性ドメインが、どのようなタイプのサイバー攻撃に用いられているのかまでは示されない傾向がある。このため、セキュリティ担当者にかかる作業負担および作業時間の低減化を図ることが難しいという問題がある。
そこで、本実施の形態では、悪性ドメインが、どのようなタイプのサイバー攻撃に用いられているのかを判定可能にし、悪性ドメインを用いたサイバー攻撃に対策し易くすることができる情報処理方法について説明する。以下の説明では、サイバー攻撃を、単に「攻撃」と表記する場合がある。
図１の例では、情報処理装置１００は、攻撃を分類する複数のタイプが設定される。複数のタイプは、具体的には、標的型、および、広域型などである。標的型は、例えば、特定の個人、または、特定の組織を狙う攻撃のタイプである。このため、標的型の攻撃は、例えば、悪性ドメインが、攻撃対象に検知され辛くなるよう、悪性ドメインを、中長期に渡って運用する傾向がある。広域型は、例えば、不特定の個人、または、不特定の組織を狙う攻撃のタイプである。広域型は、具体的には、多数の個人を狙い、多数の個人のうち一部に対して攻撃が成功することを期待する。このため、広域型の攻撃は、例えば、悪性ドメインを使い捨てる傾向があり、悪性ドメインを、短期的に運用する傾向がある。図１の例では、情報処理装置１００は、タイプＡ、および、タイプＢが設定される。
図１の例では、情報処理装置１００は、悪性ドメインの挙動に現れ得る複数の種類のそれぞれの種類の特徴が設定される。複数の種類の特徴は、例えば、ドメインが登録された時点からの経過時間が、閾値よりも短いという特徴を含む。複数の種類の特徴は、例えば、ドメインが登録された後、当該ドメインに関する名前解決の正引きが実施されるまでの所要時間が、閾値よりも長いという特徴を含む。図１の例では、情報処理装置１００は、特徴α、および、特徴βが設定される。
（１－１）情報処理装置１００は、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを取得する。情報処理装置１００は、例えば、タイプＡの攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを複数取得する。また、情報処理装置１００は、例えば、タイプＢの攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを複数取得する。
（１－２）情報処理装置１００は、取得した悪性挙動データに基づいて、それぞれの種類の特徴を、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたり利用するとした場合の、悪性ドメインの挙動を検知する確率を算出する。情報処理装置１００は、例えば、タイプＡの攻撃に用いられる悪性ドメインの挙動を検知するにあたり特徴αを利用するとした場合に、悪性ドメインの挙動を検知可能である確率を算出する。また、情報処理装置１００は、例えば、タイプＡの攻撃に用いられる悪性ドメインの挙動を検知するにあたり特徴βを利用するとした場合に、悪性ドメインの挙動を検知可能である確率を算出する。
また、情報処理装置１００は、例えば、タイプＢの攻撃に用いられる悪性ドメインの挙動を検知するにあたり特徴αを利用するとした場合に、悪性ドメインの挙動を検知可能である確率を算出する。また、情報処理装置１００は、例えば、タイプＢの攻撃に用いられる悪性ドメインの挙動を検知するにあたり特徴βを利用するとした場合に、悪性ドメインの挙動を検知可能である確率を算出する。
（１－３）情報処理装置１００は、算出した検知する確率に基づいて、それぞれの種類の特徴の、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析する。情報処理装置１００は、例えば、特徴αが、タイプＡ、および、タイプＢのうち、タイプＡの攻撃に用いられる悪性ドメインの挙動を検知するにあたって、相対的に有用であると解析する。また、情報処理装置１００は、例えば、特徴βが、タイプＡ、および、タイプＢのうち、タイプＢの攻撃に用いられる悪性ドメインの挙動を検知するにあたって、相対的に有用であると解析する。
（１－４）情報処理装置１００は、解析した結果に基づいて、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する。情報処理装置１００は、例えば、解析した結果に基づいて、対象ドメインの挙動に現れる特徴αを利用して、対象ドメインの挙動が、タイプＡの攻撃に用いられる悪性ドメインの挙動に該当するか否かを判定する。また、情報処理装置１００は、例えば、解析した結果に基づいて、対象ドメインの挙動に現れる特徴βを利用して、対象ドメインの挙動が、タイプＢの攻撃に用いられる悪性ドメインの挙動に該当するか否かを判定する。
（１－５）情報処理装置１００は、判定した結果を、対象ドメインに対応付けて出力する。また、情報処理装置１００は、それぞれの種類の特徴のうち、判定した結果に対応する特徴を、対象ドメインに対応付けて出力する。判定した結果に対応する特徴は、例えば、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した際に利用した特徴である。このため、出力される特徴は、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した根拠を示す。
これにより、情報処理装置１００は、攻撃に対策し易くすることができ、攻撃に対策する際にかかる作業負担および作業時間の低減化を図ることができる。情報処理装置１００は、例えば、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを、セキュリティ担当者が把握可能にすることができる。また、情報処理装置１００は、例えば、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した根拠となる特徴を、セキュリティ担当者が把握可能にすることができる。
このため、情報処理装置１００は、セキュリティ担当者が、脅威情報を参照せずに済ませることができ、セキュリティ担当者にかかる作業負担および作業時間の低減化を図ることができる。また、情報処理装置１００は、セキュリティ担当者が、１件１件のアラートにかける作業時間の低減化を図ることができる。また、情報処理装置１００は、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した根拠となる特徴を、セキュリティ担当者が責任者に説明し易くすることができる。
情報処理装置１００は、それぞれの特徴について、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知する効力の強さが、タイプ別に異なることに基づいて、それぞれの特徴の、悪性ドメインの挙動の検知にあたっての有用性を解析することができる。このため、情報処理装置１００は、タイプ別に、当該タイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたって、いずれの特徴を利用することが適切であるのかを特定することができる。そして、情報処理装置１００は、タイプ別に、適切と判断した特徴を利用して、対象ドメインの挙動が、悪性ドメインの挙動に該当するか否かを判定することができる。このため、情報処理装置１００は、タイプ別に、対象ドメインの挙動が、悪性ドメインの挙動に該当するか否かを、精度よく判定することができる。
ここで、情報処理装置１００が、さらに、悪性ドメインの挙動の他、正規ドメインの挙動にも基づいて、それぞれの種類の特徴の、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析する場合があってもよい。例えば、情報処理装置１００は、正規ドメインの挙動に基づいて、それぞれの種類の特徴を、悪性ドメインの挙動を検知するにあたり利用するとした場合の、正規ドメインの挙動を、悪性ドメインの挙動と誤検知する確率を算出する。そして、情報処理装置１００は、誤検知する確率に基づいて、それぞれの種類の特徴の、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析する。これにより、情報処理装置１００は、タイプ別に、いずれの特徴が、悪性ドメインの挙動の検知に適しているかを、精度よく判定可能にすることができる。
ここでは、情報処理装置１００が、解析した結果に基づいて、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する場合について説明したが、これに限らない。例えば、情報処理装置１００が、さらに、解析した結果に基づいて、対象ドメインの挙動が、正規ドメインの挙動に該当するのかを判定する場合があってもよい。具体的には、情報処理装置１００は、解析した結果に基づいて、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動にも該当しなければ、正規ドメインの挙動に該当すると判定する。
このように、情報処理装置１００は、対象ドメインの挙動が、正規ドメインの挙動に該当するのか、または、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定するシチュエーションに適用される。この場合、情報処理装置１００は、正規挙動データと、悪性挙動データとの両方に基づいて、それぞれの特徴の有用性を解析することが好ましいと考えられる。
一方で、情報処理装置１００は、対象ドメインが、悪性ドメインであると考えられており、対象ドメインの挙動が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定するシチュエーションに適用されてもよい。この場合、情報処理装置１００は、悪性挙動データのみに基づいて、それぞれの特徴の有用性を解析してもよい。
（情報処理システム２００の一例）
次に、図２を用いて、図１に示した情報処理装置１００を適用した、情報処理システム２００の一例について説明する。
図２は、情報処理システム２００の一例を示す説明図である。図２において、情報処理システム２００は、情報処理装置１００と、クライアント装置２０１と、情報管理装置２０２とを含む。
情報処理システム２００において、情報処理装置１００とクライアント装置２０１とは、有線または無線のネットワーク２１０を介して接続される。ネットワーク２１０は、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネットなどである。また、情報処理システム２００において、情報処理装置１００と情報管理装置２０２とは、有線または無線のネットワーク２１０を介して接続される。
情報処理装置１００は、悪性挙動データを、情報管理装置２０２から収集する。情報処理装置１００は、正規ドメインの挙動を示す正規挙動データを、情報管理装置２０２から収集する。情報処理装置１００は、対象ドメインの挙動を示す対象挙動データを、クライアント装置２０１から受信する。情報処理装置１００は、悪性挙動データと、正規挙動データとに基づいて、それぞれの種類の特徴の、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析する。
情報処理装置１００は、対象挙動データを参照して、解析した結果に基づいて、対象ドメインの挙動が、悪性ドメインの挙動に該当するとすれば、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する。この際、情報処理装置１００は、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動にも該当しなければ、正規ドメインの挙動に該当すると判定する。
情報処理装置１００は、判定した結果を、対象ドメインに対応付けて、対象挙動データの送信元となるクライアント装置２０１に送信する。情報処理装置１００は、対象ドメインの挙動が、いずれかのタイプの攻撃に用いられる悪性ドメインの挙動に該当すると判定した場合、当該判定に利用された特徴を、対象ドメインに対応付けて、対象挙動データの送信元となるクライアント装置２０１に送信する。また、情報処理装置１００は、例えば、サーバ、または、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）などである。
クライアント装置２０１は、セキュリティ担当者が利用するコンピュータである。クライアント装置２０１は、例えば、ＳＯＣの人員が利用するコンピュータである。クライアント装置２０１は、セキュリティ担当者の操作入力に基づいて、対象ドメインの挙動を示す対象挙動データを、情報処理装置１００に送信する。
クライアント装置２０１は、送信した結果、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの悪性ドメインの挙動に該当するのかを判定した結果を、情報処理装置１００から受信する。クライアント装置２０１は、送信した結果、対象ドメインの挙動が、正規ドメインの挙動に該当すると判定した結果を、情報処理装置１００から受信してもよい。
クライアント装置２０１は、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの悪性ドメインの挙動に該当するのかを判定した結果を、セキュリティ担当者が参照可能に出力する。また、クライアント装置２０１は、対象ドメインの挙動が、正規ドメインの挙動に該当すると判定した結果を、セキュリティ担当者が参照可能に出力する。クライアント装置２０１は、例えば、サーバ、ＰＣ、タブレット端末、または、スマートフォンなどである。
情報管理装置２０２は、悪性挙動データ、および、正規挙動データを管理するコンピュータである。情報管理装置２０２は、悪性挙動データ、および、正規挙動データを、情報処理装置１００に送信する。情報管理装置２０２は、例えば、サーバ、または、ＰＣなどである。
情報処理システム２００は、例えば、情報処理装置１００と、ＳＯＣの人員が利用するクライアント装置２０１と、ＣＴＩを提供する組織が有する情報管理装置２０２とを含む。これにより、情報処理システム２００は、ＳＯＣの人員が、攻撃に対策し易くすることができる。
ここでは、情報処理装置１００が、クライアント装置２０１とは異なる装置である場合について説明したが、これに限らない。例えば、情報処理装置１００が、クライアント装置２０１としての機能を有している場合があってもよい。この場合、情報処理システム２００は、クライアント装置２０１を含まなくてもよい。
ここでは、情報処理装置１００が、情報管理装置２０２とは異なる装置である場合について説明したが、これに限らない。例えば、情報処理装置１００が、情報管理装置２０２としての機能を有している場合があってもよい。この場合、情報処理システム２００は、情報管理装置２０２を含まなくてもよい。
（情報処理装置１００のハードウェア構成例）
次に、図３を用いて、情報処理装置１００のハードウェア構成例について説明する。
図３は、情報処理装置１００のハードウェア構成例を示すブロック図である。図３において、情報処理装置１００は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）３０１と、メモリ３０２と、ネットワークＩ／Ｆ（Ｉｎｔｅｒｆａｃｅ）３０３と、記録媒体Ｉ／Ｆ３０４と、記録媒体３０５とを有する。また、各構成部は、バス３００によってそれぞれ接続される。
ここで、ＣＰＵ３０１は、情報処理装置１００の全体の制御を司る。メモリ３０２は、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）およびフラッシュＲＯＭなどを有する。具体的には、例えば、フラッシュＲＯＭやＲＯＭが各種プログラムを記憶し、ＲＡＭがＣＰＵ３０１のワークエリアとして使用される。メモリ３０２に記憶されるプログラムは、ＣＰＵ３０１にロードされることにより、コーディングされている処理をＣＰＵ３０１に実行させる。
ネットワークＩ／Ｆ３０３は、通信回線を通じてネットワーク２１０に接続され、ネットワーク２１０を介して他のコンピュータに接続される。そして、ネットワークＩ／Ｆ３０３は、ネットワーク２１０と内部のインターフェースを司り、他のコンピュータからのデータの入出力を制御する。ネットワークＩ／Ｆ３０３は、例えば、モデムやＬＡＮアダプタなどである。
記録媒体Ｉ／Ｆ３０４は、ＣＰＵ３０１の制御に従って記録媒体３０５に対するデータのリード／ライトを制御する。記録媒体Ｉ／Ｆ３０４は、例えば、ディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ポートなどである。記録媒体３０５は、記録媒体Ｉ／Ｆ３０４の制御で書き込まれたデータを記憶する不揮発メモリである。記録媒体３０５は、例えば、ディスク、半導体メモリ、ＵＳＢメモリなどである。記録媒体３０５は、情報処理装置１００から着脱可能であってもよい。
情報処理装置１００は、上述した構成部の他、例えば、キーボード、マウス、ディスプレイ、プリンタ、スキャナ、マイク、スピーカーなどを有してもよい。また、情報処理装置１００は、記録媒体Ｉ／Ｆ３０４や記録媒体３０５を複数有していてもよい。また、情報処理装置１００は、記録媒体Ｉ／Ｆ３０４や記録媒体３０５を有していなくてもよい。
（クライアント装置２０１のハードウェア構成例）
クライアント装置２０１のハードウェア構成例は、図３に示した、情報処理装置１００のハードウェア構成例と同様であるため、説明を省略する。
（情報管理装置２０２のハードウェア構成例）
情報管理装置２０２のハードウェア構成例は、図３に示した、情報処理装置１００のハードウェア構成例と同様であるため、説明を省略する。
（情報処理装置１００の機能的構成例）
次に、図４を用いて、情報処理装置１００の機能的構成例について説明する。
図４は、情報処理装置１００の機能的構成例を示すブロック図である。情報処理装置１００は、記憶部４００と、取得部４０１と、判定部４０２と、算出部４０３と、解析部４０４と、出力部４０５とを含む。
記憶部４００は、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域によって実現される。以下では、記憶部４００が、情報処理装置１００に含まれる場合について説明するが、これに限らない。例えば、記憶部４００が、情報処理装置１００とは異なる装置に含まれ、記憶部４００の記憶内容が情報処理装置１００から参照可能である場合があってもよい。
取得部４０１～出力部４０５は、制御部の一例として機能する。取得部４０１～出力部４０５は、具体的には、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域に記憶されたプログラムをＣＰＵ３０１に実行させることにより、または、ネットワークＩ／Ｆ３０３により、その機能を実現する。各機能部の処理結果は、例えば、図３に示したメモリ３０２や記録媒体３０５などの記憶領域に記憶される。
記憶部４００は、各機能部の処理において参照され、または更新される各種情報を記憶する。記憶部４００は、攻撃を分類する複数のタイプを記憶する。複数のタイプは、具体的には、標的型、および、広域型などである。標的型は、例えば、特定の個人、または、特定の組織を狙う攻撃のタイプである。広域型は、例えば、不特定の個人、または、不特定の組織を狙う攻撃のタイプである。
記憶部４００は、悪性ドメインの挙動に現れ得る複数の種類のそれぞれの種類の特徴が設定される。複数の種類の特徴は、例えば、ドメインが登録された時点からの経過時間が、第１の閾値よりも短いという第１の特徴を含む。第１の閾値は、１年である。
ドメインが、正規ドメインであると、比較的長期に渡って運用される傾向があるため、ドメインが登録された時点からの経過時間が、比較的長くなる傾向がある。一方で、ドメインが、悪性ドメインであると、比較的短期に運用され、使い捨てられる傾向があるため、ドメインが登録された時点からの経過時間が、比較的短くなる傾向がある。従って、第１の特徴は、悪性ドメインの挙動に現れ得る特徴として利用可能と判断される。
複数の種類の特徴は、例えば、ドメインを運用する際に用いられるネームサーバが１回以上切り替えられた場合におけるネームサーバが運用された期間が、第２の閾値よりも短いという第２の特徴を含む。第２の閾値は、例えば、１年である。
ドメインが、正規ドメインであると、ドメインを運用する際に用いられるネームサーバを、比較的長期に渡って切り替えない傾向があるため、ネームサーバが運用される期間が、比較的長くなる傾向がある。このため、ドメインを運用する際にネームサーバが１回以上切り替えられたとしても、ネームサーバが運用された期間は比較的長くなる傾向がある。一方で、ドメインが、悪性ドメインであると、ドメインを運用する際に用いられるネームサーバを、頻繁に切り替える傾向があるため、ネームサーバが運用される期間が、非常に短くなる傾向がある。従って、第２の特徴は、悪性ドメインの挙動に現れ得る特徴として利用可能と判断される。
複数の種類の特徴は、例えば、ドメインが再登録される前に、当該ドメインを運用する際に用いられたレジストラにおける当該ドメインの残り期限が、第３の閾値よりも長いという第３の特徴を含む。第３の閾値は、例えば、１か月である。
ドメインが、正規ドメインであると、ドメインを運用する際に用いられるレジストラを、比較的長期に渡って切り替えない傾向があるため、ドメインが再登録されることは発生し辛い。また、ドメインが、正規ドメインであると、ドメインを運用する際に用いられるレジストラを切り替えるとしても、移管により切り替える傾向がある。例えば、移管により、レジストラにおける当該ドメインの残り期限がなくなったタイミングで、ドメインを運用する際に用いられるレジストラを、切り替える傾向がある。
一方で、ドメインが、悪性ドメインであると、ドメインが再登録されることがある。さらに、ドメインが、悪性ドメインであると、ドメインを運用する際に用いられるレジストラにおける当該ドメインの残り期限がなくなる前に、ドメインを運用する際に用いられるレジストラを、切り替えてしまうことがある。従って、第３の特徴は、悪性ドメインの挙動に現れ得る特徴として利用可能と判断される。
複数の種類の特徴は、例えば、ドメインが失効した後、当該ドメインが再登録されるまでの所要時間が、第４の閾値よりも長いという第４の特徴を含む。第４の閾値は、例えば、１年である。
ドメインが、正規ドメインであると、ドロップキャッチを防ぐため、ドメインが失効しないよう、注意してドメインを運用する傾向がある。一方で、ドメインが、悪性ドメインであると、ドメインを失効してしまうことがあり、ドメインが失効した後に、再登録されることがある。従って、第４の特徴は、悪性ドメインの挙動に現れ得る特徴として利用可能と判断される。
複数の種類の特徴は、例えば、ドメインが登録された後、当該ドメインに関する名前解決の正引きが実施されるまでの所要時間が、第５の閾値よりも長いという第５の特徴を含む。第５の閾値は、例えば、１年である。
ドメインが、正規ドメインであると、ドメインが登録された直後に、当該ドメインに関する名前解決の正引きが実施される傾向がある。直後は、例えば、数分、または、数時間などである。一方で、ドメインが、悪性ドメインであると、ドメインが登録された後、長時間経過してから、当該ドメインに関する名前解決の正引きが実施されることがある。従って、第５の特徴は、悪性ドメインの挙動に現れ得る特徴として利用可能と判断される。
記憶部４００は、複数の種類のそれぞれの種類の特徴を利用して、あるドメインの挙動が、悪性ドメインの挙動に該当するか否かを判定する規則を記憶する。記憶部４００は、第１の特徴と、第２の特徴と、第３の特徴と、第４の特徴と、第５の特徴とのそれぞれを利用して、あるドメインの挙動が、悪性ドメインの挙動に該当するか否かを、どのように判定するのかを示す規則を記憶する。
取得部４０１は、各機能部の処理に用いられる各種情報を取得する。取得部４０１は、取得した各種情報を、記憶部４００に記憶し、または、各機能部に出力する。また、取得部４０１は、記憶部４００に記憶しておいた各種情報を、各機能部に出力してもよい。取得部４０１は、例えば、利用者の操作入力に基づき、各種情報を取得する。取得部４０１は、例えば、情報処理装置１００とは異なる装置から、各種情報を受信してもよい。
取得部４０１は、複数のタイプのそれぞれのタイプの攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを取得する。取得部４０１は、例えば、広域型の攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを複数取得する。また、取得部４０１は、例えば、標的型の攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを複数取得する。
取得部４０１は、具体的には、広域型の攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを、情報管理装置２０２から受信することにより取得する。取得部４０１は、具体的には、標的型の攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを、情報管理装置２０２から受信することにより取得する。
取得部４０１は、より具体的には、利用者による特定の操作入力があったタイミングで、広域型の攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを、情報管理装置２０２に問い合わせて、情報管理装置２０２から収集する。取得部４０１は、より具体的には、利用者による特定の操作入力があったタイミングで、標的型の攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを、情報管理装置２０２に問い合わせて、情報管理装置２０２から収集する。
取得部４０１は、より具体的には、所定のタイミングごとに、情報管理装置２０２が能動的に送信した、広域型の攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを受信してもよい。取得部４０１は、より具体的には、所定のタイミングごとに、情報管理装置２０２が能動的に送信した、標的型の攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを受信してもよい。これにより、取得部４０１は、それぞれの種類の特徴が、それぞれのタイプの悪性ドメインの検知にあたって、どの程度有用であるかを解析可能にする情報を得ることができる。
取得部４０１は、正規ドメインの挙動を示す正規挙動データを取得する。取得部４０１は、例えば、正規ドメインの挙動を示す正規挙動データを複数取得する。取得部４０１は、具体的には、正規挙動データを、情報管理装置２０２から受信することにより取得する。
取得部４０１は、より具体的には、利用者による特定の操作入力があったタイミングで、正規ドメインの挙動を示す正規挙動データを、情報管理装置２０２に問い合わせて、情報管理装置２０２から収集する。取得部４０１は、より具体的には、所定のタイミングごとに、情報管理装置２０２が能動的に送信した、正規ドメインの挙動を示す悪性挙動データを受信してもよい。これにより、取得部４０１は、それぞれの種類の特徴が、それぞれのタイプの悪性ドメインの検知にあたって、どの程度有用であるかを解析可能にする情報を得ることができる。
取得部４０１は、対象ドメインの挙動を示す対象挙動データを取得する。取得部４０１は、例えば、対象ドメインの挙動を示す対象挙動データを１以上取得する。取得部４０１は、具体的には、対象挙動データを、クライアント装置２０１から受信することにより取得する。これにより、取得部４０１は、いずれのタイプの悪性ドメインの挙動に該当するかを診断する対象となる、対象ドメインの挙動を示す対象挙動データを得ることができる。
取得部４０１は、いずれかの機能部の処理を開始する開始トリガーを受け付けてもよい。開始トリガーは、例えば、利用者による所定の操作入力があったことである。開始トリガーは、例えば、他のコンピュータから、所定の情報を受信したことであってもよい。開始トリガーは、例えば、いずれかの機能部が所定の情報を出力したことであってもよい。
取得部４０１は、例えば、悪性挙動データ、および、正規挙動データを取得したことを、算出部４０３、および、解析部４０４の処理を開始する開始トリガーとして受け付けてもよい。取得部４０１は、例えば、取得済みの悪性挙動データ、および、正規挙動データが一定量を超えたことを、算出部４０３、および、解析部４０４の処理を開始する開始トリガーとして受け付けてもよい。取得部４０１は、例えば、利用者による所定の操作入力があったことを、算出部４０３、および、解析部４０４の処理を開始する開始トリガーとして受け付けてもよい。
取得部４０１は、例えば、対象挙動データを取得したことを、判定部４０２の処理を開始する開始トリガーとして受け付けてもよい。取得部４０１は、例えば、取得済みの対象挙動データが一定量を超えたことを、判定部４０２の処理を開始する開始トリガーとして受け付けてもよい。取得部４０１は、例えば、利用者による所定の操作入力があったことを、判定部４０２の処理を開始する開始トリガーとして受け付けてもよい。
判定部４０２は、取得した悪性挙動データに基づいて、それぞれの種類の特徴を利用した場合に、悪性ドメインの挙動が、正しく悪性ドメインの挙動に該当すると判定されるか否かを検討する。判定部４０２は、例えば、広域型の攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データごとに、それぞれの種類の特徴を利用した場合に、当該悪性挙動データが示す悪性ドメインの挙動が正しく悪性ドメインの挙動に該当すると判定されるか否かを検討する。判定部４０２は、具体的には、記憶部４００に記憶された規則に従い、それぞれの種類の特徴を利用した場合に、悪性挙動データが示す広域型の攻撃に用いられる悪性ドメインの挙動が、悪性ドメインの挙動に該当するか否かを判定する。
判定部４０２は、例えば、標的型の攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データごとに、それぞれの種類の特徴を利用した場合に、当該悪性挙動データが示す悪性ドメインの挙動が正しく悪性ドメインの挙動に該当すると判定されるか否かを検討する。判定部４０２は、具体的には、記憶部４００に記憶された規則に従い、それぞれの種類の特徴を利用した場合に、悪性挙動データが示す標的型の攻撃に用いられる悪性ドメインの挙動が、悪性ドメインの挙動に該当するか否かを判定する。これにより、判定部４０２は、それぞれの種類の特徴が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたり、どの程度有用となるのかを解析可能にする情報を得ることができる。
判定部４０２は、取得した正規挙動データに基づいて、それぞれの種類の特徴を利用した場合に、正規ドメインの挙動が、誤って悪性ドメインの挙動に該当すると判定されるか否かを検討する。判定部４０２は、例えば、正規挙動データごとに、それぞれの種類の特徴を利用した場合に、当該正規挙動データが示す正規ドメインの挙動が、誤って悪性ドメインの挙動に該当すると判定されるか否かを検討する。
判定部４０２は、具体的には、記憶部４００に記憶された規則に従い、それぞれの種類の特徴を利用した場合に、正規挙動データが示す正規ドメインの挙動が、正規ドメインの挙動に該当するか否かを判定する。これにより、判定部４０２は、それぞれの種類の特徴を利用して、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知する場合に、誤検知を引き起こす確率の高さを評価可能にすることができる。このため、判定部４０２は、それぞれの種類の特徴が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたり、どの程度有用となるのかを解析可能にする情報を得ることができる。
算出部４０３は、それぞれの種類の特徴を、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたり利用するとした場合の、悪性ドメインの挙動を検知する確率を算出する。算出部４０３は、例えば、それぞれの種類の特徴を利用した場合に、それぞれ広域型の攻撃に用いられる悪性ドメインの挙動を示す複数の悪性挙動データのうち、正しく悪性ドメインの挙動に該当すると判定された悪性挙動データの割合を、確率として算出する。算出部４０３は、具体的には、判定部４０２の判定結果に基づいて、確率を算出する。
算出部４０３は、例えば、それぞれの種類の特徴を利用した場合に、それぞれ標的型の攻撃に用いられる悪性ドメインの挙動を示す複数の悪性挙動データのうち、正しく悪性ドメインの挙動に該当すると判定された悪性挙動データの割合を、確率として算出する。算出部４０３は、具体的には、判定部４０２の判定結果に基づいて、確率を算出する。これにより、算出部４０３は、それぞれの種類の特徴が、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたり、どの程度有用であるかを示す指標値を得ることができる。
算出部４０３は、それぞれの種類の特徴を、悪性ドメインの挙動を検知するにあたり利用するとした場合の、正規ドメインの挙動を、悪性ドメインの挙動と誤検知する確率を算出する。算出部４０３は、それぞれの種類の特徴を利用した場合に、正規ドメインの挙動を示す複数の正規挙動データのうち、誤って悪性ドメインの挙動に該当すると判定された正規挙動データの割合を、確率として算出する。算出部４０３は、具体的には、判定部４０２の判定結果に基づいて、確率を算出する。これにより、算出部４０３は、それぞれの種類の特徴が、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたり、どの程度有用であるかを示す指標値を得ることができる。
解析部４０４は、算出した検知する確率に基づいて、それぞれの種類の特徴の、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析する。解析部４０４は、例えば、算出した検知する確率に基づいて、それぞれの種類の特徴が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたって有用であるのかを解析する。
解析部４０４は、具体的には、それぞれの種類の特徴について、複数のタイプのうち、算出した検知する確率が最も高くなる、いずれかのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたって、最も有用となると特定する。これにより、解析部４０４は、いずれの特徴を利用すれば、対象ドメインの挙動が、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定可能になるかを特定することができる。
解析部４０４は、算出した検知する確率、および、算出した誤検知する確率に基づいて、それぞれの種類の特徴の、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析してもよい。
解析部４０４は、例えば、算出した誤検知する確率に基づいて、それぞれの種類の特徴について、算出した誤検知する確率が、所定の確率以上であるか否かを判定する。そして、解析部４０４は、いずれかの特徴について、所定の確率以上であれば、当該特徴は、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたっても有用ではないと解析する。
一方で、解析部４０４は、いずれかの特徴について、所定の確率未満であれば、算出した検知する確率に基づいて、当該特徴が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたって有用であるのかを解析する。これにより、解析部４０４は、いずれの特徴を利用した場合に、対象ドメインの挙動を、誤って悪性ドメインの挙動に該当すると判定してしまうことがあるのかを特定可能にすることができる。
判定部４０２は、解析した結果に基づいて、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する。例えば、解析した結果、第１の特徴が、広域型の攻撃に用いられる悪性ドメインの挙動を検知するにあたって有用である場合が考えられる。この場合、判定部４０２は、例えば、第１の特徴を利用して、対象ドメインの挙動が、広域型の攻撃に用いられる悪性ドメインの挙動に該当するか否かを判定する。
例えば、解析した結果、第２の特徴が、広域型の攻撃に用いられる悪性ドメインの挙動を検知するにあたって有用である場合が考えられる。この場合、判定部４０２は、例えば、第２の特徴を利用して、対象ドメインの挙動が、広域型の攻撃に用いられる悪性ドメインの挙動に該当するか否かを判定する。
例えば、解析した結果、第３の特徴が、標的型の攻撃に用いられる悪性ドメインの挙動を検知するにあたって有用である場合が考えられる。この場合、判定部４０２は、例えば、第３の特徴を利用して、対象ドメインの挙動が、標的型の攻撃に用いられる悪性ドメインの挙動に該当するか否かを判定する。
例えば、解析した結果、第４の特徴が、標的型の攻撃に用いられる悪性ドメインの挙動を検知するにあたって有用である場合が考えられる。この場合、判定部４０２は、例えば、第４の特徴を利用して、対象ドメインの挙動が、標的型の攻撃に用いられる悪性ドメインの挙動に該当するか否かを判定する。
例えば、解析した結果、第５の特徴が、標的型の攻撃に用いられる悪性ドメインの挙動を検知するにあたって有用である場合が考えられる。この場合、判定部４０２は、例えば、第５の特徴を利用して、対象ドメインの挙動が、標的型の攻撃に用いられる悪性ドメインの挙動に該当するか否かを判定する。これにより、判定部４０２は、対象ドメインの挙動が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを、精度よく判定することができる。
判定部４０２は、解析した結果に基づいて、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動にも該当しなければ、正規ドメインの挙動に該当すると判定する。これにより、判定部４０２は、対象ドメインの挙動が、正規ドメインの挙動に該当することを、精度よく判定することができる。
判定部４０２は、解析した結果に基づいて、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動にも該当しない場合、正規ドメインの挙動に該当するとは判定せずに済ませてもよい。この場合、判定部４０２は、例えば、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動に該当する確度が低いものの、正規ドメインの挙動に該当する確度も高いとは限らないため、正規ドメインの挙動に該当するとは判定しなくてもよい。
出力部４０５は、少なくともいずれかの機能部の処理結果を出力する。出力形式は、例えば、ディスプレイへの表示、プリンタへの印刷出力、ネットワークＩ／Ｆ３０３による外部装置への送信、または、メモリ３０２や記録媒体３０５などの記憶領域への記憶である。これにより、出力部４０５は、少なくともいずれかの機能部の処理結果を利用者に通知可能にし、情報処理装置１００の利便性の向上を図ることができる。
出力部４０５は、判定した結果を、対象ドメインに対応付けて出力する。出力部４０５は、例えば、対象ドメインの挙動が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを、対象ドメインと対応付けて、クライアント装置２０１に送信する。
これにより、出力部４０５は、対象ドメインの挙動が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを、セキュリティ担当者が容易に把握可能にすることができる。このため、出力部４０５は、セキュリティ担当者が、攻撃に対策し易くすることができ、または、攻撃について責任者に説明し易くすることができる。そして、出力部４０５は、セキュリティ担当者にかかる作業負担および作業時間の低減化を図ることができる。
出力部４０５は、それぞれの種類の特徴のうち、判定した結果に対応する特徴を、対象ドメインに対応付けて出力する。判定した結果に対応する特徴は、例えば、対象ドメインの挙動が該当すると判定された、いずれかのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたって有用であると判断された特徴である。このため、出力される特徴は、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した根拠となり得る特徴を示す。出力部４０５は、例えば、判定した結果に対応する特徴を、対象ドメインと対応付けて、クライアント装置２０１に送信する。
これにより、出力部４０５は、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した根拠となり得る特徴を、セキュリティ担当者が容易に把握可能にすることができる。このため、出力部４０５は、セキュリティ担当者が、攻撃に対策し易くすることができ、または、攻撃について責任者に説明し易くすることができる。そして、出力部４０５は、セキュリティ担当者にかかる作業負担および作業時間の低減化を図ることができる。
出力部４０５は、それぞれの種類の特徴のうち、判定した結果に対応する特徴を、悪性ドメインの挙動を検知するにあたり利用するとした場合の、悪性ドメインの挙動を検知する確率を、対象ドメインに対応付けて出力する。検知する確率は、例えば、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した根拠としての尤もらしさを示す。出力部４０５は、例えば、判定した結果に対応する特徴を、悪性ドメインの挙動を検知するにあたり利用するとした場合の、悪性ドメインの挙動を検知する確率を、対象ドメインと対応付けて、クライアント装置２０１に送信する。
これにより、出力部４０５は、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した根拠となり得る特徴が、どの程度重要な観点であるのかを、セキュリティ担当者が容易に把握可能にすることができる。このため、出力部４０５は、セキュリティ担当者が、攻撃に対策し易くすることができ、または、攻撃について責任者に説明し易くすることができる。そして、出力部４０５は、セキュリティ担当者にかかる作業負担および作業時間の低減化を図ることができる。
（情報処理装置１００の具体的な機能的構成例）
次に、図５を用いて、情報処理装置１００の具体的な機能的構成例について説明する。
図５は、情報処理装置１００の具体的な機能的構成例を示すブロック図である。図５において、情報処理装置１００は、データ収集部５００を有する。データ収集部５００は、例えば、図４に示した取得部４０１を実現する。
データ収集部５００は、正規ドメインリスト５１１と、広域型悪性ドメインリスト５１２と、標的型悪性ドメインリスト５１３とを取得する。
正規ドメインリスト５１１は、正規の事業で運用されている正規ドメインを特定可能に示す。広域型悪性ドメインリスト５１２は、広域型の攻撃に用いられる悪性ドメインを特定可能に示す。広域型悪性ドメインリスト５１２は、例えば、脅威情報に基づいて生成される。広域型の攻撃は、例えば、ボットネット、または、スパムなどである。標的型悪性ドメインリスト５１３は、標的型の攻撃に用いられる悪性ドメインを特定可能に示す。標的型悪性ドメインリスト５１３は、例えば、脅威情報に基づいて生成される。
データ収集部５００は、正規ドメインリスト５１１を参照して、Ｐａｓｓｉｖｅ ＤＮＳデータのＤＢ（ＤａｔａＢａｓｅ）５１４から、正規ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータを収集し、基本データ管理テーブル５２１に格納する。Ｐａｓｓｉｖｅ ＤＮＳデータは、例えば、名前解決のクエリがどのタイミングで発行されたのかを示す。
また、データ収集部５００は、広域型悪性ドメインリスト５１２を参照して、Ｐａｓｓｉｖｅ ＤＮＳデータのＤＢ５１４から、広域型悪性ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータを収集し、基本データ管理テーブル５２１に格納する。
また、データ収集部５００は、標的型悪性ドメインリスト５１３を参照して、Ｐａｓｓｉｖｅ ＤＮＳデータのＤＢ５１４から、標的型悪性ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータを収集し、基本データ管理テーブル５２１に格納する。
データ収集部５００は、正規ドメインリスト５１１を参照して、ＷＨＯＩＳ 履歴データのＤＢ５１５から、正規ドメインに関するＷＨＯＩＳ 履歴データを収集し、基本データ管理テーブル５２１と、レジストラ管理テーブル５２２とに格納する。ＷＨＯＩＳ 履歴データは、例えば、ドメインの登録がどのように変化したかを示す。
また、データ収集部５００は、広域型悪性ドメインリスト５１２を参照して、ＷＨＯＩＳ 履歴データのＤＢ５１５から、広域型悪性ドメインに関するＷＨＯＩＳ 履歴データを収集する。データ収集部５００は、収集した広域型悪性ドメインに関するＷＨＯＩＳ 履歴データを、基本データ管理テーブル５２１と、レジストラ管理テーブル５２２とに格納する。
また、データ収集部５００は、標的型悪性ドメインリスト５１３を参照して、ＷＨＯＩＳ 履歴データのＤＢ５１５から、標的型悪性ドメインに関するＷＨＯＩＳ 履歴データを収集する。データ収集部５００は、収集した標的型悪性ドメインに関するＷＨＯＩＳ 履歴データを、基本データ管理テーブル５２１と、レジストラ管理テーブル５２２とに格納する。
これにより、データ収集部５００は、基本データ管理テーブルを生成する。基本データ管理テーブル５２１を生成する一例については、具体的には、図６を用いて後述する。また、基本データ管理テーブル５２１を生成する処理の流れについては、具体的には、図１７を用いて後述する。
また、これにより、データ収集部５００は、レジストラ管理テーブル５２２を生成する。レジストラ管理テーブル５２２を生成する一例については、具体的には、図７を用いて後述する。また、レジストラ管理テーブル５２２を生成する処理の流れについては、具体的には、図１７を用いて後述する。
情報処理装置１００は、悪性判定部５３０を有する。悪性判定部５３０は、例えば、図４に示した判定部４０２と、算出部４０３とを実現する。
悪性判定部５３０は、基本データ管理テーブル５２１と、レジストラ管理テーブル５２２とを取得する。また、悪性判定部５３０は、特徴リスト５２３を取得する。特徴リスト５２３は、あるドメインの挙動が、悪性ドメインの挙動に該当するかを判定する際に利用可能な、複数の種類の特徴を特定可能に示す。また、特徴リスト５２３は、複数の種類のそれぞれの種類の特徴を利用して、あるドメインの挙動が、悪性ドメインの挙動に該当するかを、どのように判定するのかを規定する規則を含む。
悪性判定部５３０は、特徴リスト５２３を参照して、基本データ管理テーブル５２１と、レジストラ管理テーブル５２２とに基づいて、それぞれの種類の特徴を、悪性ドメインの検知に利用するとした場合の、偽陽性率を算出する。偽陽性率は、例えば、正規ドメインの挙動を、誤って悪性ドメインの挙動と判定する確率である。悪性判定部５３０は、算出した偽陽性率を、検知結果管理テーブル５４１に格納する。
また、悪性判定部５３０は、特徴リスト５２３を参照して、基本データ管理テーブル５２１と、レジストラ管理テーブル５２２とに基づいて、それぞれの種類の特徴を、広域型悪性ドメインの検知に利用するとした場合の、検知率を算出する。検知率は、広域型悪性ドメインリスト５１２に登録された、複数の広域型悪性ドメインのそれぞれの広域型悪性ドメインの挙動のうち、正しく悪性ドメインの挙動に該当すると判定される割合である。悪性判定部５３０は、算出した検知率を、検知結果管理テーブル５４１に格納する。
また、悪性判定部５３０は、特徴リスト５２３を参照して、基本データ管理テーブル５２１と、レジストラ管理テーブル５２２とに基づいて、それぞれの種類の特徴を、標的型悪性ドメインの検知に利用するとした場合の、検知率を算出する。検知率は、標的型悪性ドメインリスト５１３に登録された、複数の標的型悪性ドメインのそれぞれの標的型悪性ドメインの挙動のうち、正しく悪性ドメインの挙動に該当すると判定される割合である。悪性判定部５３０は、算出した検知率を、検知結果管理テーブル５４１に格納する。
これにより、悪性判定部５３０は、検知結果管理テーブル５４１を生成する。検知結果管理テーブル５４１を生成する一例については、具体的には、図８を用いて後述する。また、検知結果管理テーブル５４１を生成する処理の流れについては、具体的には、図１８を用いて後述する。
情報処理装置１００は、タイプ別特徴判定部５５０を有する。タイプ別特徴判定部５５０は、例えば、図４に示した解析部４０４を実現する。
タイプ別特徴判定部５５０は、検知結果管理テーブル５４１を取得する。また、タイプ別特徴判定部５５０は、偽陽性閾値５４２を取得する。タイプ別特徴判定部５５０は、偽陽性閾値５４２を参照して、検知結果管理テーブル５４１に基づいて、それぞれの種類の特徴が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたって有用となるのかを解析する。
タイプ別特徴判定部５５０は、それぞれの種類の特徴について、算出された偽陽性率が、偽陽性閾値５４２以下であるか否かを判定する。タイプ別特徴判定部５５０は、いずれかの種類の特徴について、算出された偽陽性率が、偽陽性閾値５４２より大きければ、当該種類の特徴は、正規ドメインの挙動を、悪性ドメインの挙動と誤って判定する事態を招く種類の特徴であると判定する。このため、タイプ別特徴判定部５５０は、偽陽性率が、偽陽性閾値５４２より大きくなる、いずれかの種類の特徴は、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたっても有用ではなく、利用しないことが好ましいと判定する。
一方で、タイプ別特徴判定部５５０は、いずれかの種類の特徴について、算出された偽陽性率が、偽陽性閾値５４２以下であれば、当該種類の特徴が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたって最も有用であるのかを解析する。タイプ別特徴判定部５５０は、例えば、偽陽性率が、偽陽性閾値５４２以下である、いずれかの種類の特徴について、算出された検知率が最も大きくなるタイプを特定する。そして、タイプ別特徴判定部５５０は、例えば、当該種類の特徴が、特定したタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたって最も有用であると解析する。
タイプ別特徴判定部５５０は、解析した結果を、タイプ別特徴管理テーブル５６１に格納する。タイプ別特徴判定部５５０は、例えば、解析した結果、それぞれの種類の特徴に対応付けて、当該種類の特徴が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたって最も有用となるのかを、タイプ別特徴管理テーブル５６１に格納する。
これにより、タイプ別特徴判定部５５０は、タイプ別特徴管理テーブル５６１を生成する。タイプ別特徴管理テーブル５６１を生成する一例については、具体的には、図１４を用いて後述する。また、タイプ別特徴管理テーブル５６１を生成する処理の流れについては、具体的には、図１９を用いて後述する。
情報処理装置１００は、未識別ドメイン診断部５７０を有する。未識別ドメイン診断部５７０は、例えば、図４に示した判定部４０２を実現する。
未識別ドメイン診断部５７０は、タイプ別特徴管理テーブル５６１を取得する。未識別ドメイン診断部５７０は、診断対象ドメインリスト５６２を取得する。診断対象ドメインリスト５６２は、悪性ドメインであるか否かが不明な診断対象ドメインを特定可能に示す。診断対象ドメインは、当該診断対象ドメインの挙動が、悪性ドメインの挙動に該当するのか否かの診断対象である。
未識別ドメイン診断部５７０は、診断対象ドメインリスト５６２に基づいて、Ｐａｓｓｉｖｅ ＤＮＳデータのＤＢ５１４から、診断対象ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータを収集する。また、未識別ドメイン診断部５７０は、診断対象ドメインリスト５６２に基づいて、ＷＨＯＩＳ 履歴データのＤＢ５１５から、診断対象ドメインに関するＷＨＯＩＳ 履歴データを収集する。
未識別ドメイン診断部５７０は、それぞれの種類の特徴を利用して、診断対象ドメインの挙動が、タイプ別特徴管理テーブル５６１において当該種類の特徴に対応付けられた、いずれかのタイプの攻撃に用いられる悪性ドメインの挙動に該当するか否かを診断する。
未識別ドメイン診断部５７０は、診断結果５７１を出力する。診断結果５７１は、例えば、診断対象ドメインの挙動が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するかを含む。診断する一例については、具体的には、図１５および図１６を用いて後述する。診断する処理の流れについては、具体的には、図２０を用いて後述する。
（情報処理装置１００の動作例）
次に、図６～図１６を用いて、情報処理装置１００の動作例について説明する。具体的には、まず、図６を用いて、情報処理装置１００が、Ｐａｓｓｉｖｅ ＤＮＳデータ、および、ＷＨＯＩＳ履歴データを収集し、基本データ管理テーブル５２１を生成する一例について説明する。
図６は、基本データ管理テーブル５２１を生成する一例を示す説明図である。基本データ管理テーブル５２１は、例えば、図３に示した情報処理装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。
図６に示すように、基本データ管理テーブル５２１は、ドメインと、登録と、初見と、最終観察と、期限と、ネームサーバ設定数と、レジストラ数とのフィールドを有する。基本データ管理テーブル５２１は、ドメインごとに各フィールドに情報を設定することにより、基本データがレコード５２１－ａとして記憶される。ａは、任意の整数である。
ドメインのフィールドには、ドメインが設定される。登録のフィールドには、最初に上記ドメインを管理したレジストラにより、上記ドメインが登録された登録日時が設定される。初見のフィールドには、ＤＮＳの正引きで、上記ドメインに関する最古のＡ（Ａｄｄｒｅｓｓ）レコードが最初に観察された時点が設定される。最終観察のフィールドには、ＤＮＳの正引きで、上記ドメインに関する最新のＡレコードが最後に観察された時点が設定される。Ａレコードが１つである場合、当該Ａレコードが最初に観察された時点が、初見のフィールドに設定され、当該Ａレコードが最後に観察された時点が、最終観察のフィールドに設定される。期限のフィールドには、最近に上記ドメインを管理したレジストラによる、上記ドメインの登録期限が設定される。ネームサーバ設定数のフィールドには、過去に上記ドメインに設定されたネームサーバが切り替わった数が設定される。レジストラ数のフィールドには、過去に上記ドメインを管理したレジストラの数が設定される。
図６において、データ収集部５００は、正規ドメインリスト５１１と、広域型悪性ドメインリスト５１２と、標的型悪性ドメインリスト５１３とを取得する。データ収集部５００は、正規ドメインリスト５１１を参照して、正規ドメインを、基本データ管理テーブル５２１のドメインのフィールドに設定する。データ収集部５００は、Ｐａｓｓｉｖｅ ＤＮＳデータのＤＢ５１４から、正規ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータを収集する。
データ収集部５００は、正規ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータに基づいて、ＤＮＳの正引きで、上記ドメインに関する最古のＡレコードが最初に観察された時点を、基本データ管理テーブル５２１の初見のフィールドに設定する。また、データ収集部５００は、正規ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータに基づいて、ＤＮＳの正引きで、上記ドメインに関する最新のＡレコードが最後に観察された時点を、基本データ管理テーブル５２１の最終観察のフィールドに設定する。
データ収集部５００は、ＷＨＯＩＳ 履歴データのＤＢ５１５から、正規ドメインに関するＷＨＯＩＳ 履歴データを収集する。データ収集部５００は、正規ドメインに関するＷＨＯＩＳ 履歴データに基づいて、最初に上記ドメインを管理したレジストラにより、上記ドメインが登録された登録日時を、基本データ管理テーブル５２１の登録のフィールドに設定する。データ収集部５００は、正規ドメインに関するＷＨＯＩＳ 履歴データに基づいて、最近に上記ドメインを管理したレジストラによる、上記ドメインの登録期限を、基本データ管理テーブル５２１の期限のフィールドに設定する。
データ収集部５００は、正規ドメインに関するＷＨＯＩＳ 履歴データに基づいて、過去に上記ドメインに設定されたネームサーバが切り替わった数を、基本データ管理テーブル５２１のネームサーバ設定数のフィールドに設定する。ここで、ドメインの運用において、代替ネームサーバを含め複数のネームサーバを設定することは一般的に行われる傾向がある。一方で、攻撃者が、ネームサーバを運用する場合、短期間でネームサーバの設定自体が切り替えられることがある。このため、ネームサーバ設定数は、ネームサーバの数ではなく、ネームサーバが切り替わった数であることが好ましい。
データ収集部５００は、正規ドメインに関するＷＨＯＩＳ 履歴データに基づいて、過去に上記ドメインを管理したレジストラの数を、基本データ管理テーブル５２１のレジストラ数のフィールドに設定する。
また、データ収集部５００は、広域型悪性ドメインリスト５１２を参照して、広域型悪性ドメインを、基本データ管理テーブル５２１のドメインのフィールドに設定する。データ収集部５００は、Ｐａｓｓｉｖｅ ＤＮＳデータのＤＢ５１４から、広域型悪性ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータを収集する。
データ収集部５００は、広域型悪性ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータに基づいて、ＤＮＳの正引きで、上記ドメインに関する最古のＡレコードが最初に観察された時点を、基本データ管理テーブル５２１の初見のフィールドに設定する。また、データ収集部５００は、広域型悪性ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータに基づいて、ＤＮＳの正引きで、上記ドメインに関する最新のＡレコードが最後に観察された時点を、基本データ管理テーブル５２１の最終観察のフィールドに設定する。
データ収集部５００は、ＷＨＯＩＳ 履歴データのＤＢ５１５から、広域型悪性ドメインに関するＷＨＯＩＳ 履歴データを収集する。データ収集部５００は、広域型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、最初に上記ドメインを管理したレジストラにより、上記ドメインが登録された登録日時を、基本データ管理テーブル５２１の登録のフィールドに設定する。データ収集部５００は、広域型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、最近に上記ドメインを管理したレジストラによる、上記ドメインの登録期限を、基本データ管理テーブル５２１の期限のフィールドに設定する。
データ収集部５００は、広域型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、過去に上記ドメインに設定されたネームサーバが切り替わった数を、基本データ管理テーブル５２１のネームサーバ設定数のフィールドに設定する。
データ収集部５００は、広域型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、過去に上記ドメインを管理したレジストラの数を、基本データ管理テーブル５２１のレジストラ数のフィールドに設定する。
また、データ収集部５００は、標的型悪性ドメインリスト５１３を参照して、標的型悪性ドメインを、基本データ管理テーブル５２１のドメインのフィールドに設定する。データ収集部５００は、Ｐａｓｓｉｖｅ ＤＮＳデータのＤＢ５１４から、標的型悪性ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータを収集する。
データ収集部５００は、標的型悪性ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータに基づいて、ＤＮＳの正引きで、上記ドメインに関する最古のＡレコードが最初に観察された時点を、基本データ管理テーブル５２１の初見のフィールドに設定する。また、データ収集部５００は、標的型悪性ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータに基づいて、ＤＮＳの正引きで、上記ドメインに関する最新のＡレコードが最後に観察された時点を、基本データ管理テーブル５２１の最終観察のフィールドに設定する。
データ収集部５００は、ＷＨＯＩＳ 履歴データのＤＢ５１５から、標的型悪性ドメインに関するＷＨＯＩＳ 履歴データを収集する。データ収集部５００は、標的型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、最初に上記ドメインを管理したレジストラにより、上記ドメインが登録された登録日時を、基本データ管理テーブル５２１の登録のフィールドに設定する。データ収集部５００は、標的型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、最近に上記ドメインを管理したレジストラによる、上記ドメインの登録期限を、基本データ管理テーブル５２１の期限のフィールドに設定する。
データ収集部５００は、標的型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、過去に上記ドメインに設定されたネームサーバが切り替わった数を、基本データ管理テーブル５２１のネームサーバ設定数のフィールドに設定する。
データ収集部５００は、標的型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、過去に上記ドメインを管理したレジストラの数を、基本データ管理テーブル５２１のレジストラ数のフィールドに設定する。
次に、図７を用いて、情報処理装置１００が、レジストラ管理データを収集し、レジストラ管理テーブル５２２を生成する一例について説明する。
図７は、レジストラ管理テーブル５２２を生成する一例を示す説明図である。レジストラ管理テーブル５２２は、例えば、図３に示した情報処理装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。
図７に示すように、レジストラ管理テーブル５２２は、ドメインと、レジストラと、登録と、更新と、期限とのフィールドを有する。レジストラ管理テーブル５２２は、ドメインごとに各フィールドに情報を設定することにより、レジストラ管理データがレコード５２２－ｂとして記憶される。ｂは、任意の整数である。
ドメインのフィールドには、ドメインが設定される。レジストラのフィールドには、上記ドメインの登録に利用されたレジストラが設定される。登録のフィールドには、上記レジストラが、上記ドメインを登録した登録時点が設定される。更新のフィールドには、上記レジストラが、上記ドメインを更新した時点が設定される。期限のフィールドには、上記レジストラにおける上記ドメインの登録期限が設定される。
図７において、データ収集部５００は、正規ドメインリスト５１１を参照して、正規ドメインを、レジストラ管理テーブル５２２のドメインのフィールドに設定する。データ収集部５００は、正規ドメインに関するＷＨＯＩＳ 履歴データに基づいて、上記ドメインの登録に利用されたレジストラを、レジストラ管理テーブル５２２のレジストラのフィールドに設定する。
データ収集部５００は、正規ドメインに関するＷＨＯＩＳ 履歴データに基づいて、上記レジストラが、上記ドメインを登録した登録時点を、レジストラ管理テーブル５２２の登録のフィールドに設定する。データ収集部５００は、正規ドメインに関するＷＨＯＩＳ 履歴データに基づいて、上記レジストラが、上記ドメインを更新した時点を、レジストラ管理テーブル５２２の更新のフィールドに設定する。データ収集部５００は、正規ドメインに関するＷＨＯＩＳ 履歴データに基づいて、上記レジストラにおける上記ドメインの登録期限を、レジストラ管理テーブル５２２の期限のフィールドに設定する。
データ収集部５００は、広域型悪性ドメインリスト５１２を参照して、広域型悪性ドメインを、レジストラ管理テーブル５２２のドメインのフィールドに設定する。データ収集部５００は、広域型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、上記ドメインの登録に利用されたレジストラを、レジストラ管理テーブル５２２のレジストラのフィールドに設定する。
データ収集部５００は、広域型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、上記レジストラが、上記ドメインを登録した登録時点を、レジストラ管理テーブル５２２の登録のフィールドに設定する。データ収集部５００は、広域型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、上記レジストラが、上記ドメインを更新した時点を、レジストラ管理テーブル５２２の更新のフィールドに設定する。データ収集部５００は、広域型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、上記レジストラにおける上記ドメインの登録期限を、レジストラ管理テーブル５２２の期限のフィールドに設定する。
データ収集部５００は、標的型悪性ドメインリスト５１３を参照して、標的型悪性ドメインを、レジストラ管理テーブル５２２のドメインのフィールドに設定する。データ収集部５００は、標的型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、上記ドメインの登録に利用されたレジストラを、レジストラ管理テーブル５２２のレジストラのフィールドに設定する。
データ収集部５００は、標的型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、上記レジストラが、上記ドメインを登録した登録時点を、レジストラ管理テーブル５２２の登録のフィールドに設定する。データ収集部５００は、標的型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、上記レジストラが、上記ドメインを更新した時点を、レジストラ管理テーブル５２２の更新のフィールドに設定する。データ収集部５００は、標的型悪性ドメインに関するＷＨＯＩＳ 履歴データに基づいて、上記レジストラにおける上記ドメインの登録期限を、レジストラ管理テーブル５２２の期限のフィールドに設定する。
次に、図８を用いて、情報処理装置１００が、基本データ管理テーブル５２１、および、レジストラ管理テーブル５２２に基づいて、検知結果管理テーブル５４１を生成する一例について説明する。
図８は、検知結果管理テーブル５４１を生成する一例を示す説明図である。検知結果管理テーブル５４１は、例えば、図３に示した情報処理装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。
図８に示すように、検知結果管理テーブル５４１は、特徴と、正規と、広域型と、標的型とのフィールドを有する。検知結果管理テーブル５４１は、特徴ごとに各フィールドに情報を設定することにより、レジストラ管理データがレコード５２２－ｃとして記憶される。ｃは、任意の整数である。
特徴のフィールドには、診断対象ドメインの挙動が、悪性ドメインの挙動に該当するか否かを判定する基準として利用し得る特徴が設定される。特徴は、例えば、「鮮度」、「ネームサーバ」、「レジストラ」、「不自然な再登録」、「正引き長期遅れ」などである。正規のフィールドには、悪性ドメインを検知するにあたって上記特徴を利用した場合に、正規ドメインの挙動を、誤って悪性ドメインの挙動に該当すると判定する確率として、偽陽性率が設定される。
広域型のフィールドには、悪性ドメインを検知するにあたって上記特徴を利用した場合に、広域型悪性ドメインの挙動を、正しく悪性ドメインの挙動に該当すると判定する確率として、検知率が設定される。標的型のフィールドには、悪性ドメインを検知するにあたって上記特徴を利用した場合に、標的型悪性ドメインの挙動を、正しく悪性ドメインの挙動に該当すると判定する確率として、検知率が設定される。
特徴「鮮度」は、具体的には、ドメインが登録された時点からの経過時間が、第１の閾値よりも短いという観点から、悪性ドメインの挙動を評価する特徴である。正規ドメインが、１０年以上の期間で運用される傾向があるため、第１の閾値は、例えば、１年である。経過時間は、例えば、攻撃が行われた時期に依存するため、ドメインが活動中の範囲に基づいて設定された基準日から、登録された時点までの時間が用いられる。
従って、特徴「鮮度」を利用する場合、例えば、ドメインが登録された時点からの経過時間が、第１の閾値よりも短ければ、当該ドメインの挙動が、悪性ドメインの挙動に該当すると判定されることになる。このため、検知率は、例えば、複数の悪性ドメインのうち、登録された時点からの経過時間が、第１の閾値よりも短くなる悪性ドメインの割合となる。偽陽性率は、例えば、複数の正規ドメインのうち、登録された時点からの経過時間が、第１の閾値よりも短くなる正規ドメインの割合となる。
ここで、例えば、検知率の算出に際し参考にされた、ある悪性ドメインが、数年前に利用されていたが、現時点では既に消滅しているといった状況が考えられる。この場合、当該悪性ドメインについては、基準日を現時点ではなく、悪性ドメインが活動中の範囲に含まれるいずれかの時点を、基準日として設定することが好ましい。また、検知率の算出に際し参考にされた、複数の悪性ドメインは、それぞれ活動中であった時期が異なることがあるため、それぞれ設定される基準日も異なっていてもよい。
特徴「ネームサーバ」は、具体的には、ドメインを運用する際に用いられるネームサーバが１回以上切り替えられた場合における、少なくともいずれかのネームサーバが運用された期間が、第２の閾値よりも短いという観点から、悪性ドメインの挙動を評価する特徴である。第２の閾値は、例えば、１年である。特徴「ネームサーバ」は、具体的には、切り替えられた複数のネームサーバのうち、少なくともいずれかのネームサーバが運用された期間が、第２の閾値よりも短いという特徴である。
また、特徴「ネームサーバ」は、具体的には、切替前のネームサーバが運用された期間が、第２の閾値よりも短いという特徴であってもよい。また、特徴「ネームサーバ」は、具体的には、切り替えられた複数のネームサーバのそれぞれのネームサーバが運用された期間に関する統計値が、第２の閾値よりも短いという特徴であってもよい。統計値は、例えば、最大値、最小値、または、平均値などである。また、特徴「ネームサーバ」は、具体的には、切り替えられた複数のネームサーバのそれぞれのネームサーバが運用された期間が、すべて、第２の閾値よりも短いという特徴であってもよい。
従って、特徴「ネームサーバ」を利用する場合、例えば、ドメインを運用する際に用いられるネームサーバが１回以上切り替えられた場合におけるネームサーバが運用された期間が、第２の閾値よりも短ければ、当該ドメインの挙動が、悪性ドメインの挙動に該当すると判定されることになる。また、特徴「ネームサーバ」を利用する場合、例えば、ドメインを運用する際に用いられるネームサーバが、１回も切り替えられていなければ、当該ドメインの挙動が、悪性ドメインの挙動に該当しないと判定されることになってもよい。
このため、検知率は、例えば、複数の悪性ドメインのうち、ドメインを運用する際に用いられるネームサーバが１回以上切り替えられた場合におけるネームサーバが運用された期間が、第２の閾値よりも短くなる悪性ドメインの割合となる。偽陽性率は、例えば、複数の正規ドメインのうち、ドメインを運用する際に用いられるネームサーバが１回以上切り替えられた場合におけるネームサーバが運用された期間が、第２の閾値よりも短くなる正規ドメインの割合となる。
特徴「レジストラ」は、具体的には、ドメインが再登録される前に、当該ドメインを運用する際に用いられたレジストラにおける当該ドメインの残り期限が、第３の閾値よりも長いという観点から、悪性ドメインの挙動を評価する特徴である。第３の閾値は、例えば、１か月である。
従って、特徴「レジストラ」を利用する場合、例えば、レジストラにおけるドメインの残り期限が、第３の閾値よりも長ければ、当該ドメインの挙動が、悪性ドメインの挙動に該当すると判定されることになる。このため、検知率は、例えば、複数の悪性ドメインのうち、レジストラにおけるドメインの残り期限が、第３の閾値よりも長くなる悪性ドメインの割合となる。偽陽性率は、例えば、複数の正規ドメインのうち、レジストラにおけるドメインの残り期限が、第３の閾値よりも長くなる正規ドメインの割合となる。
特徴「不自然な再登録」は、具体的には、ドメインが失効した後、当該ドメインが再登録されるまでの所要時間が、第４の閾値よりも長いという観点から、悪性ドメインの挙動を評価する特徴である。第４の閾値は、例えば、１年である。
従って、特徴「不自然な再登録」を利用する場合、例えば、ドメインが失効した後、当該ドメインが再登録されるまでの所要時間が、第４の閾値よりも長ければ、当該ドメインの挙動が、悪性ドメインの挙動に該当すると判定されることになる。このため、検知率は、例えば、複数の悪性ドメインのうち、ドメインが失効した後、当該ドメインが再登録されるまでの所要時間が、第４の閾値よりも長くなる悪性ドメインの割合となる。偽陽性率は、例えば、複数の正規ドメインのうち、ドメインが失効した後、当該ドメインが再登録されるまでの所要時間が、第４の閾値よりも長くなる正規ドメインの割合となる。
特徴「正引き長期遅れ」は、具体的には、ドメインが登録された後、当該ドメインに関する名前解決の正引きが実施されるまでの所要時間が、第５の閾値よりも長いという観点から、悪性ドメインの挙動を評価する特徴である。第５の閾値は、例えば、１年である。
従って、特徴「正引き長期遅れ」を利用する場合、例えば、ドメインに関する名前解決の正引きが実施されるまでの所要時間が、第５の閾値よりも長ければ、当該ドメインの挙動が、悪性ドメインの挙動に該当すると判定されることになる。このため、検知率は、例えば、複数の悪性ドメインのうち、ドメインに関する名前解決の正引きが実施されるまでの所要時間が、第５の閾値よりも長くなる悪性ドメインの割合となる。偽陽性率は、例えば、複数の正規ドメインのうち、ドメインに関する名前解決の正引きが実施されるまでの所要時間が、第５の閾値よりも長くなる正規ドメインの割合となる。
この際、攻撃者が、フリーのダイナミックＤＮＳを悪用している場合が考えられる。この場合、正規の事業者が登録した比較的古いドメインに対して、悪用されたサブドメインについての正引きが遅れているように認識されてしまう。このため、悪性判定部５３０は、特徴「正引き長期遅れ」を利用する場合、フリーのダイナミックＤＮＳを処理対象から除外することが好ましい。
図８において、悪性判定部５３０は、特徴リスト５２３を参照して、基本データ管理テーブル５２１と、レジストラ管理テーブル５２２とに基づいて、それぞれの種類の特徴を、悪性ドメインの検知に利用するとした場合の、偽陽性率を算出する。悪性判定部５３０は、算出した偽陽性率を、検知結果管理テーブル５４１の正規のフィールドに設定する。
また、悪性判定部５３０は、特徴リスト５２３を参照して、基本データ管理テーブル５２１と、レジストラ管理テーブル５２２とに基づいて、それぞれの種類の特徴を、広域型悪性ドメインの検知に利用するとした場合の、検知率を算出する。悪性判定部５３０は、算出した検知率を、検知結果管理テーブル５４１の広域型のフィールドに設定する。
また、悪性判定部５３０は、特徴リスト５２３を参照して、基本データ管理テーブル５２１と、レジストラ管理テーブル５２２とに基づいて、それぞれの種類の特徴を、標的型悪性ドメインの検知に利用するとした場合の、検知率を算出する。悪性判定部５３０は、算出した検知率を、検知結果管理テーブル５４１の標的型のフィールドに設定する。
次に、図９を用いて、正規ドメイン、広域型悪性ドメイン、標的型悪性ドメインのそれぞれにおける、特徴「鮮度」の現れ方の一例について説明する。
図９は、特徴「鮮度」の現れ方の一例を示す説明図である。符号９０１に示すように、ドメインが、正規ドメインであると、比較的長期に渡って運用される傾向があるため、ドメインが登録された時点からの経過時間が、比較的長くなる傾向がある。一方で、符号９０２に示すように、ドメインが、広域型悪性ドメインであると、比較的短期に運用され、使い捨てられる傾向があるため、ドメインが登録された時点からの経過時間が、比較的短くなる傾向がある。また、符号９０３に示すように、ドメインが、標的型悪性ドメインであると、正規ドメインの挙動を真似て、比較的長期に渡って運用される傾向があるため、ドメインが登録された時点からの経過時間が、比較的長くなる傾向がある。
このため、特徴「鮮度」は、悪性ドメインの挙動に現れ得る特徴として利用可能と判断される。また、検知結果管理テーブル５４１に示すように、特徴「鮮度」を利用すると、広域型悪性ドメインの挙動についての検知率が、比較的高くなる。一方で、標的型悪性ドメインは、正規ドメインの挙動を真似ているため、検知結果管理テーブル５４１に示すように、特徴「鮮度」を利用しても、標的型悪性ドメインの挙動についての検知率は、比較的低くなる。従って、特徴「鮮度」は、広域型悪性ドメインの挙動の検知にあたって、比較的有用であると考えられる。
また、検知結果管理テーブル５４１に示すように、特徴「鮮度」を利用しても、正規ドメインの偽陽性率は、偽陽性閾値以下である。偽陽性閾値は、例えば、１％である。このため、特徴「鮮度」は、広域型悪性ドメインの挙動の検知にあたって利用したとしても、正規ドメインの挙動を、悪性ドメインの挙動と誤って判定してしまう事態を回避することができると考えられる。これらのことから、タイプ別特徴判定部５５０は、特徴「鮮度」を、広域型悪性ドメインの挙動の検知に利用する特徴に設定することになる。
これに対し、第１の閾値次第で、特徴「鮮度」を利用した際、正規ドメインの偽陽性率が、偽陽性閾値より大きくなってしまう場合がある。この場合、特徴「鮮度」は、広域型悪性ドメインの挙動の検知にあたって利用すると、正規ドメインの挙動を、悪性ドメインの挙動と誤って判定してしまう事態を招いてしまう。この場合、特徴「鮮度」は、広域型悪性ドメインの挙動と、標的型悪性ドメインの挙動とのうち、いずれのタイプの悪性ドメインの挙動の検知にあたっても利用しないことが好ましいと考えられる。
図９の例では、タイプ別特徴判定部５５０は、特徴「鮮度」を、広域型悪性ドメインの挙動の検知に利用する特徴に設定することになる。換言すれば、タイプ別特徴判定部５５０は、特徴「鮮度」を、標的型悪性ドメインの挙動の検知に利用する特徴には設定しないことになる。このため、第１の閾値は、広域型悪性ドメインの挙動の検知に比較的適した閾値であればよい。
従って、情報処理装置１００の利用者は、情報処理装置１００の動作を把握していれば、標的型悪性ドメインの挙動についての検知率を高めるべく、第１の閾値を比較的小さい値に設定しようと考えなくてもよくなる。結果として、情報処理装置１００は、特徴「鮮度」を利用した際の、正規ドメインの偽陽性率が大きくなることを防止し易い、情報処理装置１００の利用者にとっての環境を提供することができる。
次に、図１０を用いて、正規ドメイン、広域型悪性ドメイン、標的型悪性ドメインのそれぞれにおける、特徴「ネームサーバ」の現れ方の一例について説明する。
図１０は、特徴「ネームサーバ」の現れ方の一例を示す説明図である。符号１００１に示すように、ドメインが、正規ドメインであると、ドメインを運用する際に用いられるネームサーバを、比較的長期に渡って切り替えない傾向がある。このため、ドメインが、正規ドメインであると、ネームサーバが運用された期間が長くなる傾向がある。
一方で、符号１００２に示すように、ドメインが、広域型悪性ドメインであると、ドメインを運用する際に用いられるネームサーバを、頻繁に切り替える傾向がある。このため、ドメインが、広域型悪性ドメインであると、ドメインを運用する際に用いられるネームサーバが１回以上切り替えられることがあり、ドメインを運用する際に、それぞれのネームサーバが運用された期間が、比較的短くなる傾向がある。
また、符号１００３に示すように、ドメインが、標的型悪性ドメインであると、正規ドメインの挙動を真似て、ドメインを運用する際に用いられるネームサーバを、比較的長期に渡って切り替えないことがある。このため、ドメインが、標的型悪性ドメインであると、ネームサーバが運用された期間が、正規ドメインと同様に、長くなることがある。
このため、特徴「ネームサーバ」は、悪性ドメインの挙動に現れ得る特徴として利用可能と判断される。また、検知結果管理テーブル５４１に示すように、特徴「ネームサーバ」を利用すると、広域型悪性ドメインの挙動についての検知率が、比較的高くなる。一方で、標的型悪性ドメインは、正規ドメインの挙動を真似ているため、検知結果管理テーブル５４１に示すように、特徴「ネームサーバ」を利用しても、標的型悪性ドメインの挙動についての検知率は、比較的低くなる。従って、特徴「ネームサーバ」は、広域型悪性ドメインの挙動の検知にあたって、比較的有用であると考えられる。
また、検知結果管理テーブル５４１に示すように、特徴「ネームサーバ」を利用しても、正規ドメインの偽陽性率は、偽陽性閾値以下である。偽陽性閾値は、例えば、１％である。このため、特徴「ネームサーバ」は、広域型悪性ドメインの挙動の検知にあたって利用したとしても、正規ドメインの挙動を、悪性ドメインの挙動と誤って判定してしまう事態を回避することができると考えられる。これらのことから、タイプ別特徴判定部５５０は、特徴「ネームサーバ」を、広域型悪性ドメインの挙動の検知に利用する特徴に設定することになる。
これに対し、第２の閾値次第で、特徴「ネームサーバ」を利用した際、正規ドメインの偽陽性率が、偽陽性閾値より大きくなってしまう場合がある。この場合、特徴「ネームサーバ」は、広域型悪性ドメインの挙動の検知にあたって利用すると、正規ドメインの挙動を、悪性ドメインの挙動と誤って判定してしまう事態を招いてしまう。この場合、特徴「ネームサーバ」は、広域型悪性ドメインの挙動と、標的型悪性ドメインの挙動とのうち、いずれのタイプの悪性ドメインの挙動の検知にあたっても利用しないことが好ましいと考えられる。
図１０の例では、タイプ別特徴判定部５５０は、特徴「ネームサーバ」を、広域型悪性ドメインの挙動の検知に利用する特徴に設定することになる。換言すれば、タイプ別特徴判定部５５０は、特徴「ネームサーバ」を、標的型悪性ドメインの挙動の検知に利用する特徴には設定しないことになる。このため、第２の閾値は、広域型悪性ドメインの挙動の検知に比較的適した閾値であればよい。
従って、情報処理装置１００の利用者は、情報処理装置１００の動作を把握していれば、標的型悪性ドメインの挙動についての検知率を高めるべく、第２の閾値を比較的小さい値に設定しようと考えなくてもよくなる。結果として、情報処理装置１００は、特徴「ネームサーバ」を利用した際の、正規ドメインの偽陽性率が大きくなることを防止し易い、情報処理装置１００の利用者にとっての環境を提供することができる。
次に、図１１を用いて、正規ドメイン、広域型悪性ドメイン、標的型悪性ドメインのそれぞれにおける、特徴「レジストラ」の現れ方の一例について説明する。
図１１は、特徴「レジストラ」の現れ方の一例を示す説明図である。符号１１０１に示すように、ドメインが、正規ドメインであると、ドメインを運用する際に用いられるレジストラを、比較的長期に渡って切り替えない傾向があるため、ドメインが再登録されることは発生し辛い。また、ドメインが、正規ドメインであると、ドメインを運用する際に用いられるレジストラを切り替えるとしても、移管により切り替える傾向がある。例えば、移管により、レジストラにおける当該ドメインの残り期限がなくなったタイミングで、ドメインを運用する際に用いられるレジストラを、切り替える傾向がある。
また、符号１１０２に示すように、ドメインが、広域型悪性ドメインであると、ドメインが、再登録される事態が発生し辛く、正規ドメインと同様に、ドメインを運用する際に用いられるレジストラを、切り替える事態が発生し辛い。一方で、符号１１０３に示すように、ドメインが、標的型悪性ドメインであると、ドメインが、使い捨てられず、ドメインが再登録されることがある。さらに、ドメインが、標的型悪性ドメインであると、ドメインを運用する際に用いられるレジストラにおける当該ドメインの残り期限がなくなる前に、ドメインを運用する際に用いられるレジストラを、切り替えてしまうことがある。
このため、特徴「レジストラ」は、悪性ドメインの挙動に現れ得る特徴として利用可能と判断される。また、検知結果管理テーブル５４１に示すように、特徴「レジストラ」を利用すると、標的型悪性ドメインの挙動についての検知率が、比較的高くなる。一方で、広域型悪性ドメインは、ドメインが、再登録される事態が発生し辛いため、検知結果管理テーブル５４１に示すように、特徴「レジストラ」を利用しても、広域型悪性ドメインの挙動についての検知率は、比較的低くなる。従って、特徴「レジストラ」は、標的型悪性ドメインの挙動の検知にあたって、比較的有用であると考えられる。
また、検知結果管理テーブル５４１に示すように、特徴「レジストラ」を利用しても、正規ドメインの偽陽性率は、偽陽性閾値以下である。偽陽性閾値は、例えば、１％である。このため、特徴「レジストラ」は、標的型悪性ドメインの挙動の検知にあたって利用したとしても、正規ドメインの挙動を、悪性ドメインの挙動と誤って判定してしまう事態を回避することができると考えられる。これらのことから、タイプ別特徴判定部５５０は、特徴「レジストラ」を、標的型悪性ドメインの挙動の検知に利用する特徴に設定することになる。
これに対し、第３の閾値次第で、特徴「レジストラ」を利用した際、正規ドメインの偽陽性率が、偽陽性閾値より大きくなってしまう場合がある。この場合、特徴「レジストラ」は、標的型悪性ドメインの挙動の検知にあたって利用すると、正規ドメインの挙動を、悪性ドメインの挙動と誤って判定してしまう事態を招いてしまう。この場合、特徴「レジストラ」は、広域型悪性ドメインの挙動と、標的型悪性ドメインの挙動とのうち、いずれのタイプの悪性ドメインの挙動の検知にあたっても利用しないことが好ましいと考えられる。
次に、図１２を用いて、正規ドメイン、広域型悪性ドメイン、標的型悪性ドメインのそれぞれにおける、特徴「不自然な再登録」の現れ方の一例について説明する。
図１２は、特徴「不自然な再登録」の現れ方の一例を示す説明図である。符号１２０１に示すように、ドメインが、正規ドメインであると、ドロップキャッチを防ぐため、ドメインが失効しないよう、注意してドメインを運用する傾向がある。また、ドメインが、正規ドメインであると、誤ってドメインが失効したとしても、比較的早期にドメインが再登録される傾向がある。一方で、符号１２０２に示すように、ドメインが、広域型悪性ドメインであると、ドメインが、失効する前に早期に活用される傾向があり、正規ドメインと同様に、ドメインが失効した後に、再登録される事態が発生し辛い。
また、符号１２０３に示すように、ドメインが、標的型悪性ドメインであると、ブランドプロテクションの目的でドメインを維持する意欲が低い場合があるため、ドメインを失効してしまうことがあり、ドメインが失効した後に、比較的長期間経過してから再登録されることがある。具体的には、攻撃者は、ある特定の時期に、いくつかのドメインを、特定のレジストラで再登録する動きを行う際、失効してから１，２年が経過したドメインを再登録するという、不自然な挙動を行うことがある。
このため、特徴「不自然な再登録」は、悪性ドメインの挙動に現れ得る特徴として利用可能と判断される。また、検知結果管理テーブル５４１に示すように、特徴「不自然な再登録」を利用すると、標的型悪性ドメインの挙動についての検知率が、比較的高くなる。一方で、広域型悪性ドメインは、失効する前に早期に活用される傾向があり、検知結果管理テーブル５４１に示すように、特徴「不自然な再登録」を利用しても、広域型悪性ドメインの挙動についての検知率は、比較的低くなる。従って、特徴「不自然な再登録」は、標的型悪性ドメインの挙動の検知にあたって、比較的有用であると考えられる。
また、検知結果管理テーブル５４１に示すように、特徴「不自然な再登録」を利用しても、正規ドメインの偽陽性率は、偽陽性閾値以下である。偽陽性閾値は、例えば、１％である。このため、特徴「不自然な再登録」は、標的型悪性ドメインの挙動の検知にあたって利用したとしても、正規ドメインの挙動を、悪性ドメインの挙動と誤って判定してしまう事態を回避することができると考えられる。これらのことから、タイプ別特徴判定部５５０は、特徴「不自然な再登録」を、標的型悪性ドメインの挙動の検知に利用する特徴に設定することになる。
これに対し、第４の閾値次第で、特徴「不自然な再登録」を利用した際、正規ドメインの偽陽性率が、偽陽性閾値より大きくなってしまう場合がある。この場合、特徴「不自然な再登録」は、標的型悪性ドメインの挙動の検知にあたって利用すると、正規ドメインの挙動を、悪性ドメインの挙動と誤って判定してしまう事態を招いてしまう。この場合、特徴「不自然な再登録」は、広域型悪性ドメインの挙動と、標的型悪性ドメインの挙動とのうち、いずれのタイプの悪性ドメインの挙動の検知にあたっても利用しないことが好ましいと考えられる。
次に、図１３を用いて、正規ドメイン、広域型悪性ドメイン、標的型悪性ドメインのそれぞれにおける、特徴「正引き長期遅れ」の現れ方の一例について説明する。
図１３は、特徴「正引き長期遅れ」の現れ方の一例を示す説明図である。符号１３０１に示すように、ドメインが、正規ドメインであると、ドメインが登録された直後に、当該ドメインに関する名前解決の正引きが実施される傾向がある。直後は、例えば、数分、または、数時間などである。また、符号１３０２に示すように、ドメインが、広域型悪性ドメインであると、正規ドメインと同様に、ドメインが登録された後、比較的早期に、当該ドメインに関する名前解決の正引きが実施されることがある。
一方で、符号１３０３に示すように、ドメインが、標的型悪性ドメインであると、ドメインが登録された後、比較的長時間が経過してから、当該ドメインに関する名前解決の正引きが実施されることがある。具体的には、攻撃者は、スパム、または、Ｆａｓｔ－Ｆｌｕｘなどの攻撃を行う場合、特定の日にまとめてドメインを登録した後、数日、または、数か月経過してから、ドメインを利用開始することがある。また、具体的には、攻撃者は、ドメインを確保しておき、数年経過してから、ドメインを運用開始することがある。
このため、特徴「正引き長期遅れ」は、悪性ドメインの挙動に現れ得る特徴として利用可能と判断される。また、検知結果管理テーブル５４１に示すように、特徴「正引き長期遅れ」を利用すると、標的型悪性ドメインの挙動についての検知率が、比較的高くなる。一方で、広域型悪性ドメインは、比較的早期に名前解決の正引きが実施される傾向があり、検知結果管理テーブル５４１に示すように、特徴「正引き長期遅れ」を利用しても、広域型悪性ドメインの挙動についての検知率は、比較的低くなる。従って、特徴「正引き長期遅れ」は、標的型悪性ドメインの挙動の検知にあたって、比較的有用であると考えられる。
また、検知結果管理テーブル５４１に示すように、特徴「正引き長期遅れ」を利用しても、正規ドメインの偽陽性率は、偽陽性閾値以下である。偽陽性閾値は、例えば、１％である。このため、特徴「正引き長期遅れ」は、標的型悪性ドメインの挙動の検知にあたって利用したとしても、正規ドメインの挙動を、悪性ドメインの挙動と誤って判定してしまう事態を回避することができると考えられる。これらのことから、タイプ別特徴判定部５５０は、特徴「正引き長期遅れ」を、標的型悪性ドメインの挙動の検知に利用する特徴に設定することになる。
これに対し、第５の閾値次第で、特徴「正引き長期遅れ」を利用した際、正規ドメインの偽陽性率が、偽陽性閾値より大きくなってしまう場合がある。この場合、特徴「正引き長期遅れ」は、標的型悪性ドメインの挙動の検知にあたって利用すると、正規ドメインの挙動を、悪性ドメインの挙動と誤って判定してしまう事態を招いてしまう。この場合、特徴「正引き長期遅れ」は、広域型悪性ドメインの挙動と、標的型悪性ドメインの挙動とのうち、いずれのタイプの悪性ドメインの挙動の検知にあたっても利用しないことが好ましいと考えられる。
次に、図１４を用いて、タイプ別特徴管理テーブル５６１を生成する一例について説明する。
図１４は、タイプ別特徴管理テーブル５６１を生成する一例を示す説明図である。図１４において、タイプ別特徴管理テーブル５６１は、例えば、図３に示した情報処理装置１００のメモリ３０２や記録媒体３０５などの記憶領域により実現される。
図６に示すように、タイプ別特徴管理テーブル５６１は、特徴と、攻撃タイプと、スコアと、比率とのフィールドを有する。タイプ別特徴管理テーブル５６１は、特徴ごとに各フィールドに情報を設定することにより、タイプ別特徴管理データがレコード５６１－ｃとして記憶される。ｃは、任意の整数である。
特徴のフィールドには、悪性ドメインの挙動の検知に利用される特徴が設定される。攻撃タイプのフィールドには、上記特徴を、いずれの攻撃タイプの悪性ドメインの挙動の検知に利用するのかを特定可能に、上記攻撃タイプが設定される。スコアのフィールドには、上記特徴を、上記攻撃タイプの悪性ドメインの挙動の検知に利用する好ましさを示すスコアとして、検知率が設定される。比率のフィールドには、上記特徴を、上記攻撃タイプの悪性ドメインの挙動の検知に利用する場合の検知率の、他の攻撃タイプの悪性ドメインの挙動の検知に利用する場合の検知率に対する比率が設定される。
タイプ別特徴判定部５５０は、特徴「鮮度」を、広域型悪性ドメインの挙動の検知に利用する特徴に設定するため、特徴「鮮度」に対応付けて、タイプ別特徴管理テーブル５６１の攻撃タイプのフィールドに、「広域型」を設定する。また、タイプ別特徴判定部５５０は、特徴「鮮度」を、広域型悪性ドメインの挙動の検知に利用する場合の検知率を、特徴「鮮度」に対応付けて、タイプ別特徴管理テーブル５６１のスコアのフィールドに設定する。
また、タイプ別特徴判定部５５０は、特徴「鮮度」を、広域型悪性ドメインの挙動の検知に利用する場合の検知率の、標的型悪性ドメインの挙動の検知に利用する場合の検知率に対する割合を算出する。タイプ別特徴判定部５５０は、算出した割合を、特徴「鮮度」に対応付けて、タイプ別特徴管理テーブル５６１の比率のフィールドに設定する。
タイプ別特徴判定部５５０は、特徴「ネームサーバ」を、広域型悪性ドメインの挙動の検知に利用する特徴に設定するため、特徴「ネームサーバ」に対応付けて、タイプ別特徴管理テーブル５６１の攻撃タイプのフィールドに、「広域型」を設定する。また、タイプ別特徴判定部５５０は、特徴「ネームサーバ」を、広域型悪性ドメインの挙動の検知に利用する場合の検知率を、特徴「ネームサーバ」に対応付けて、タイプ別特徴管理テーブル５６１のスコアのフィールドに設定する。
また、タイプ別特徴判定部５５０は、特徴「ネームサーバ」を、広域型悪性ドメインの挙動の検知に利用する場合の検知率の、標的型悪性ドメインの挙動の検知に利用する場合の検知率に対する割合を算出する。タイプ別特徴判定部５５０は、算出した割合を、特徴「ネームサーバ」に対応付けて、タイプ別特徴管理テーブル５６１の比率のフィールドに設定する。
タイプ別特徴判定部５５０は、特徴「レジストラ」を、標的型悪性ドメインの挙動の検知に利用する特徴に設定するため、特徴「レジストラ」に対応付けて、タイプ別特徴管理テーブル５６１の攻撃タイプのフィールドに、「標的型」を設定する。また、タイプ別特徴判定部５５０は、特徴「レジストラ」を、標的型悪性ドメインの挙動の検知に利用する場合の検知率を、特徴「レジストラ」に対応付けて、タイプ別特徴管理テーブル５６１のスコアのフィールドに設定する。
また、タイプ別特徴判定部５５０は、特徴「レジストラ」を、標的型悪性ドメインの挙動の検知に利用する場合の検知率の、広域型悪性ドメインの挙動の検知に利用する場合の検知率に対する割合を算出する。タイプ別特徴判定部５５０は、算出した割合を、特徴「レジストラ」に対応付けて、タイプ別特徴管理テーブル５６１の比率のフィールドに設定する。
タイプ別特徴判定部５５０は、特徴「不自然な再登録」を、標的型悪性ドメインの挙動の検知に利用する特徴に設定するため、特徴「不自然な再登録」に対応付けて、タイプ別特徴管理テーブル５６１の攻撃タイプのフィールドに、「標的型」を設定する。また、タイプ別特徴判定部５５０は、特徴「不自然な再登録」を、標的型悪性ドメインの挙動の検知に利用する場合の検知率を、特徴「不自然な再登録」に対応付けて、タイプ別特徴管理テーブル５６１のスコアのフィールドに設定する。
また、タイプ別特徴判定部５５０は、特徴「不自然な再登録」を、標的型悪性ドメインの挙動の検知に利用する場合の検知率の、広域型悪性ドメインの挙動の検知に利用する場合の検知率に対する割合を算出する。タイプ別特徴判定部５５０は、算出した割合を、特徴「不自然な再登録」に対応付けて、タイプ別特徴管理テーブル５６１の比率のフィールドに設定する。
タイプ別特徴判定部５５０は、特徴「正引き長期遅れ」を、標的型悪性ドメインの挙動の検知に利用する特徴に設定するため、特徴「正引き長期遅れ」に対応付けて、タイプ別特徴管理テーブル５６１の攻撃タイプのフィールドに、「標的型」を設定する。また、タイプ別特徴判定部５５０は、特徴「正引き長期遅れ」を、標的型悪性ドメインの挙動の検知に利用する場合の検知率を、特徴「正引き長期遅れ」に対応付けて、タイプ別特徴管理テーブル５６１のスコアのフィールドに設定する。
また、タイプ別特徴判定部５５０は、特徴「正引き長期遅れ」を、標的型悪性ドメインの挙動の検知に利用する場合の検知率の、広域型悪性ドメインの挙動の検知に利用する場合の検知率に対する割合を算出する。タイプ別特徴判定部５５０は、算出した割合を、特徴「正引き長期遅れ」に対応付けて、タイプ別特徴管理テーブル５６１の比率のフィールドに設定する。
次に、図１５および図１６を用いて、診断対象ドメインの挙動が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する一例について説明する。
図１５および図１６は、診断対象ドメインの挙動が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する一例を示す説明図である。図１５において、未識別ドメイン診断部５７０は、タイプ別特徴管理テーブル５６１を取得する。
未識別ドメイン診断部５７０は、診断対象ドメインリスト５６２に基づいて、Ｐａｓｓｉｖｅ ＤＮＳデータのＤＢ５１４から、第１の診断対象ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータを収集する。また、未識別ドメイン診断部５７０は、診断対象ドメインリスト５６２に基づいて、ＷＨＯＩＳ 履歴データのＤＢ５１５から、第１の診断対象ドメインに関するＷＨＯＩＳ 履歴データを収集する。
未識別ドメイン診断部５７０は、タイプ別特徴管理テーブル５６１に基づいて、第１の診断対象ドメインの挙動が、それぞれの種類の特徴に対応付けられた、いずれかのタイプの攻撃に用いられる悪性ドメインの挙動に該当するか否かを診断する。
未識別ドメイン診断部５７０は、例えば、Ｐａｓｓｉｖｅ ＤＮＳデータと、ＷＨＯＩＳ 履歴データとに基づいて、特徴「鮮度」を利用して、第１の診断対象ドメインの挙動が、広域型悪性ドメインの挙動に該当するか否かを診断する。また、未識別ドメイン診断部５７０は、例えば、Ｐａｓｓｉｖｅ ＤＮＳデータと、ＷＨＯＩＳ 履歴データとに基づいて、特徴「ネームサーバ」を利用して、第１の診断対象ドメインの挙動が、広域型悪性ドメインの挙動に該当するか否かを診断する。
また、未識別ドメイン診断部５７０は、例えば、Ｐａｓｓｉｖｅ ＤＮＳデータと、ＷＨＯＩＳ 履歴データとに基づいて、特徴「レジストラ」を利用して、第１の診断対象ドメインの挙動が、標的型悪性ドメインの挙動に該当するか否かを診断する。また、未識別ドメイン診断部５７０は、例えば、Ｐａｓｓｉｖｅ ＤＮＳデータと、ＷＨＯＩＳ 履歴データとに基づいて、特徴「不自然な再登録」を利用して、第１の診断対象ドメインの挙動が、標的型悪性ドメインの挙動に該当するか否かを診断する。また、未識別ドメイン診断部５７０は、例えば、Ｐａｓｓｉｖｅ ＤＮＳデータと、ＷＨＯＩＳ 履歴データとに基づいて、特徴「正引き長期遅れ」を利用して、第１の診断対象ドメインの挙動が、標的型悪性ドメインの挙動に該当するか否かを診断する。
図１５の例では、未識別ドメイン診断部５７０は、例えば、特徴「鮮度」を利用して、第１の診断対象ドメインの挙動が、広域型悪性ドメインの挙動に該当すると判定したとする。また、図１５の例では、未識別ドメイン診断部５７０は、例えば、特徴「ネームサーバ」を利用して、第１の診断対象ドメインの挙動が、広域型悪性ドメインの挙動に該当すると判定したとする。
図１５において、未識別ドメイン診断部５７０は、タイプ別特徴管理テーブル５６１における、広域型悪性ドメインの挙動に該当すると判定した根拠となる特徴「鮮度」に対応する第１のレコードを取得する。第１のレコードは、特徴「鮮度」と、攻撃タイプ「広域型」と、スコア「９５％」と、比率「３．８」とを含む。
また、未識別ドメイン診断部５７０は、タイプ別特徴管理テーブル５６１における、広域型悪性ドメインの挙動に該当すると判定した根拠となる特徴「ネームサーバ」に対応する第２のレコードを取得する。第２のレコードは、特徴「ネームサーバ」と、攻撃タイプ「広域型」と、スコア「６０％」と、比率「３．０」とを含む。
未識別ドメイン診断部５７０は、取得した第１のレコードと、取得した第２のレコードとを含む表１５００を作成する。未識別ドメイン診断部５７０は、作成した表１５００を、セキュリティ担当者が利用するクライアント装置２０１に送信し、クライアント装置２０１において表示させる。
これにより、未識別ドメイン診断部５７０は、表１５００の攻撃タイプを、セキュリティ担当者が参照可能にすることができる。このため、未識別ドメイン診断部５７０は、対象ドメインの挙動が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを、セキュリティ担当者が容易に把握可能にすることができる。
また、未識別ドメイン診断部５７０は、表１５００の特徴を、セキュリティ担当者が参照可能にすることができる。このため、未識別ドメイン診断部５７０は、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した根拠となり得る特徴を、セキュリティ担当者が容易に把握可能にすることができる。
また、未識別ドメイン診断部５７０は、表１５００のスコアと、比率とを、セキュリティ担当者が参照可能にすることができる。このため、未識別ドメイン診断部５７０は、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した根拠となり得る特徴が、どの程度重要な観点であるのかを、セキュリティ担当者が容易に把握可能にすることができる。このように、未識別ドメイン診断部５７０は、解析による学習結果を、セキュリティ担当者が把握可能にすることができる。
このため、未識別ドメイン診断部５７０は、セキュリティ担当者が、攻撃に対策し易くすることができ、または、攻撃について責任者に説明し易くすることができる。そして、未識別ドメイン診断部５７０は、セキュリティ担当者にかかる作業負担および作業時間の低減化を図ることができる。次に、図１６の説明に移行する。
図１６において、未識別ドメイン診断部５７０は、タイプ別特徴管理テーブル５６１を取得する。未識別ドメイン診断部５７０は、診断対象ドメインリスト５６２に基づいて、Ｐａｓｓｉｖｅ ＤＮＳデータのＤＢ５１４から、第２の診断対象ドメインに関するＰａｓｓｉｖｅ ＤＮＳデータを収集する。また、未識別ドメイン診断部５７０は、診断対象ドメインリスト５６２に基づいて、ＷＨＯＩＳ 履歴データのＤＢ５１５から、第２の診断対象ドメインに関するＷＨＯＩＳ 履歴データを収集する。
未識別ドメイン診断部５７０は、タイプ別特徴管理テーブル５６１に基づいて、第２の診断対象ドメインの挙動が、それぞれの種類の特徴に対応付けられた、いずれかのタイプの攻撃に用いられる悪性ドメインの挙動に該当するか否かを診断する。
未識別ドメイン診断部５７０は、例えば、Ｐａｓｓｉｖｅ ＤＮＳデータと、ＷＨＯＩＳ 履歴データとに基づいて、特徴「鮮度」を利用して、第２の診断対象ドメインの挙動が、広域型悪性ドメインの挙動に該当するか否かを診断する。また、未識別ドメイン診断部５７０は、例えば、Ｐａｓｓｉｖｅ ＤＮＳデータと、ＷＨＯＩＳ 履歴データとに基づいて、特徴「ネームサーバ」を利用して、第２の診断対象ドメインの挙動が、広域型悪性ドメインの挙動に該当するか否かを診断する。
また、未識別ドメイン診断部５７０は、例えば、Ｐａｓｓｉｖｅ ＤＮＳデータと、ＷＨＯＩＳ 履歴データとに基づいて、特徴「レジストラ」を利用して、第２の診断対象ドメインの挙動が、標的型悪性ドメインの挙動に該当するか否かを診断する。また、未識別ドメイン診断部５７０は、例えば、Ｐａｓｓｉｖｅ ＤＮＳデータと、ＷＨＯＩＳ 履歴データとに基づいて、特徴「不自然な再登録」を利用して、第２の診断対象ドメインの挙動が、標的型悪性ドメインの挙動に該当するか否かを診断する。また、未識別ドメイン診断部５７０は、例えば、Ｐａｓｓｉｖｅ ＤＮＳデータと、ＷＨＯＩＳ 履歴データとに基づいて、特徴「正引き長期遅れ」を利用して、第２の診断対象ドメインの挙動が、標的型悪性ドメインの挙動に該当するか否かを診断する。
図１６の例では、未識別ドメイン診断部５７０は、例えば、特徴「レジストラ」を利用して、第２の診断対象ドメインの挙動が、標的型悪性ドメインの挙動に該当すると判定したとする。また、図１６の例では、未識別ドメイン診断部５７０は、例えば、特徴「不自然な再登録」を利用して、第２の診断対象ドメインの挙動が、標的型悪性ドメインの挙動に該当すると判定したとする。
図１６において、未識別ドメイン診断部５７０は、タイプ別特徴管理テーブル５６１における、標的型悪性ドメインの挙動に該当すると判定した根拠となる特徴「レジストラ」に対応する第１のレコードを取得する。第１のレコードは、特徴「レジストラ」と、攻撃タイプ「標的型」と、スコア「４０％」と、比率「４．０」とを含む。
また、未識別ドメイン診断部５７０は、タイプ別特徴管理テーブル５６１における、標的型悪性ドメインの挙動に該当すると判定した根拠となる特徴「不自然な再登録」に対応する第２のレコードを取得する。第２のレコードは、特徴「不自然な再登録」と、攻撃タイプ「標的型」と、スコア「２０％」と、比率「８．０」とを含む。
未識別ドメイン診断部５７０は、取得した第１のレコードと、取得した第２のレコードとを含む表１６００を作成する。未識別ドメイン診断部５７０は、作成した表１６００を、セキュリティ担当者が利用するクライアント装置２０１に送信し、クライアント装置２０１において表示させる。
これにより、未識別ドメイン診断部５７０は、表１６００の攻撃タイプを、セキュリティ担当者が参照可能にすることができる。このため、未識別ドメイン診断部５７０は、対象ドメインの挙動が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを、セキュリティ担当者が容易に把握可能にすることができる。
また、未識別ドメイン診断部５７０は、表１６００の特徴を、セキュリティ担当者が参照可能にすることができる。このため、未識別ドメイン診断部５７０は、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した根拠となり得る特徴を、セキュリティ担当者が容易に把握可能にすることができる。
また、未識別ドメイン診断部５７０は、表１６００のスコアと、比率とを、セキュリティ担当者が参照可能にすることができる。このため、未識別ドメイン診断部５７０は、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した根拠となり得る特徴が、どの程度重要な観点であるのかを、セキュリティ担当者が容易に把握可能にすることができる。このように、未識別ドメイン診断部５７０は、解析による学習結果を、セキュリティ担当者が把握可能にすることができる。
このため、未識別ドメイン診断部５７０は、セキュリティ担当者が、攻撃に対策し易くすることができ、または、攻撃について責任者に説明し易くすることができる。そして、未識別ドメイン診断部５７０は、セキュリティ担当者にかかる作業負担および作業時間の低減化を図ることができる。また、セキュリティ担当者は、標的型悪性ドメインを用いた標的型攻撃を受けていることを把握し、優先的に対策することができる。
ここで、図１５および図１６の例では、診断対象ドメインの挙動が、広域型悪性ドメインの挙動と、標的型悪性ドメインの挙動とのいずれか一方にのみ該当すると判定された場合について説明したが、これに限らない。例えば、診断対象ドメインの挙動が、広域型悪性ドメインの挙動と、標的型悪性ドメインの挙動との両方について該当すると判定される場合があってもよい。
この場合、未識別ドメイン診断部５７０は、比率が最も大きい特徴を利用した判定結果を優先して扱うことが考えられる。比率が大きければ、攻撃のタイプを区別する効果が高いと考えられる。未識別ドメイン診断部５７０は、例えば、広域型悪性ドメインの挙動に該当すると判定した根拠となる特徴と、標的型悪性ドメインの挙動に該当すると判定した根拠となる特徴とのうち、比率が最も大きい特徴を選択する。そして、未識別ドメイン診断部５７０は、例えば、診断対象ドメインの挙動が、選択した特徴に対応する広域型悪性ドメインの挙動、または、標的型悪性ドメインの挙動に該当すると扱う。
このように、情報処理装置１００は、タイプ別に、悪性ドメインの挙動の検知に際し、適切と判断した特徴を選択的に利用して、タイプ別に、診断対象ドメインの挙動が、悪性ドメインの挙動に該当するか否かを判定することができる。このため、情報処理装置１００は、タイプ別に、対象ドメインの挙動が、悪性ドメインの挙動に該当するか否かを、精度よく判定することができる。
また、情報処理装置１００は、解析により、タイプ別に、悪性ドメインの挙動の検知に際し、いずれの特徴を利用することが適切であるかを判断することができる。このため、情報処理装置１００は、利用可能な特徴が増加した場合にも比較的容易に適用可能である。情報処理装置１００は、例えば、利用可能な特徴が新たに発見された場合にも比較的容易に適用可能であり、当該特徴を適切に利用することができる。同様に、情報処理装置１００は、特徴に対する新たな基準または新たな条件などが設けられた場合にも比較的容易に適用可能である。
（収集処理手順）
次に、図１７を用いて、情報処理装置１００が実行する、収集処理手順の一例について説明する。収集処理は、例えば、情報処理装置１００のデータ収集部５００によって実行される。収集処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３とによって実現される。
図１７は、収集処理手順の一例を示すフローチャートである。図１７において、情報処理装置１００は、正規ドメイン、広域型悪性ドメイン、標的型悪性ドメインのそれぞれについて、Ｐａｓｓｉｖｅ ＤＮＳデータを収集し、基本データ管理テーブル５２１に格納する（ステップＳ１７０１）。
次に、情報処理装置１００は、正規ドメイン、広域型悪性ドメイン、標的型悪性ドメインのそれぞれについて、ＷＨＯＩＳ履歴データを収集し、基本データ管理テーブル５２１に格納する（ステップＳ１７０２）。
そして、情報処理装置１００は、正規ドメイン、広域型悪性ドメイン、標的型悪性ドメインのそれぞれについて、レジストラ管理データを収集し、レジストラ管理テーブル５２２に格納する（ステップＳ１７０３）。その後、情報処理装置１００は、収集処理を終了する。
（試験処理手順）
次に、図１８を用いて、情報処理装置１００が実行する、試験処理手順の一例について説明する。試験処理は、例えば、情報処理装置１００の悪性判定部５３０によって実行される。試験処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３とによって実現される。
図１８は、試験処理手順の一例を示すフローチャートである。図１８において、情報処理装置１００は、正規ドメイン、広域型悪性ドメイン、標的型悪性ドメインのそれぞれについて、基本データ管理テーブル５２１に基づいて、鮮度の観点で悪性判定を実施する（ステップＳ１８０１）。この際、情報処理装置１００は、悪性判定を実施した結果に基づいて、検知率および偽陽性率を算出し、検知結果管理テーブル５４１に格納する。
次に、情報処理装置１００は、正規ドメイン、広域型悪性ドメイン、標的型悪性ドメインのそれぞれについて、基本データ管理テーブル５２１に基づいて、ネームサーバの観点で悪性判定を実施する（ステップＳ１８０２）。この際、情報処理装置１００は、悪性判定を実施した結果に基づいて、検知率および偽陽性率を算出し、検知結果管理テーブル５４１に格納する。
そして、情報処理装置１００は、正規ドメイン、広域型悪性ドメイン、標的型悪性ドメインのそれぞれについて、基本データ管理テーブル５２１に基づいて、レジストラの観点で悪性判定を実施する（ステップＳ１８０３）。この際、情報処理装置１００は、悪性判定を実施した結果に基づいて、検知率および偽陽性率を算出し、検知結果管理テーブル５４１に格納する。
次に、情報処理装置１００は、正規ドメイン、広域型悪性ドメイン、標的型悪性ドメインのそれぞれについて、レジストラ管理テーブル５２２に基づいて、不自然な再登録の観点で悪性判定を実施する（ステップＳ１８０４）。この際、情報処理装置１００は、悪性判定を実施した結果に基づいて、検知率および偽陽性率を算出し、検知結果管理テーブル５４１に格納する。
そして、情報処理装置１００は、正規ドメイン、広域型悪性ドメイン、標的型悪性ドメインのそれぞれについて、基本データ管理テーブル５２１に基づいて、正引き長期遅れの観点で悪性判定を実施する（ステップＳ１８０５）。その後、情報処理装置１００は、試験処理を終了する。この際、情報処理装置１００は、悪性判定を実施した結果に基づいて、検知率および偽陽性率を算出し、検知結果管理テーブル５４１に格納する。
（比較処理手順）
次に、図１９を用いて、情報処理装置１００が実行する、比較処理手順の一例について説明する。比較処理は、例えば、情報処理装置１００のタイプ別特徴判定部５５０によって実行される。比較処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３とによって実現される。
図１９は、比較処理手順の一例を示すフローチャートである。図１９において、情報処理装置１００は、特徴リストに登録された複数の種類の特徴のうち、まだ選択していない特徴があるか否かを判定する（ステップＳ１９０１）。
ここで、既にすべての種類の特徴を選択済みである場合（ステップＳ１９０１：Ｎｏ）、情報処理装置１００は、比較処理を終了する。一方で、まだ選択していない特徴がある場合（ステップＳ１９０１：Ｙｅｓ）、情報処理装置１００は、ステップＳ１９０２の処理に移行する。
ステップＳ１９０２では、情報処理装置１００は、特徴リストに登録された複数の種類の特徴のうち、まだ選択していない特徴を１つ選択する（ステップＳ１９０２）。そして、情報処理装置１００は、正規ドメインの偽陽性率が、設定された偽陽性閾値以下であるか否かを判定する（ステップＳ１９０３）。
ここで、偽陽性閾値より大きい場合（ステップＳ１９０３：Ｎｏ）、情報処理装置１００は、ステップＳ１９０１の処理に戻る。一方で、偽陽性閾値以下である場合（ステップＳ１９０３：Ｙｅｓ）、情報処理装置１００は、ステップＳ１９０４の処理に移行する。
ステップＳ１９０４では、情報処理装置１００は、広域型悪性ドメインと、標的型悪性ドメインとの検知率を比較する。情報処理装置１００は、比較した結果に基づいて、選択した特徴に、検知率が相対的に大きくなる、悪性ドメインのいずれかの攻撃タイプを対応付けて、タイプ別特徴管理テーブル５６１に格納する（ステップＳ１９０４）。そして、情報処理装置１００は、ステップＳ１９０１の処理に戻る。
（診断処理手順）
次に、図２０を用いて、情報処理装置１００が実行する、診断処理手順の一例について説明する。診断処理は、例えば、情報処理装置１００の未識別ドメイン診断部５７０によって実行される。診断処理は、例えば、図３に示したＣＰＵ３０１と、メモリ３０２や記録媒体３０５などの記憶領域と、ネットワークＩ／Ｆ３０３とによって実現される。
図２０は、診断処理手順の一例を示すフローチャートである。図２０において、情報処理装置１００は、診断対象ドメインリストに登録された診断対象ドメインのそれぞれの診断対象ドメインについて、Ｐａｓｓｉｖｅ ＤＮＳデータ、および、ＷＨＯＩＳ履歴データを収集する（ステップＳ２００１）。
次に、情報処理装置１００は、特徴リストに登録された複数の種類のそれぞれの種類の特徴に基づいて、診断対象ドメインリストに登録された診断対象ドメインのそれぞれについて、悪性判定を実施する（ステップＳ２００２）。
そして、情報処理装置１００は、タイプ別特徴管理テーブル５６１に基づいて、悪性ドメインと判定された診断対象ドメインのそれぞれの診断対象ドメインと、攻撃タイプと、検知率とを出力する（ステップＳ２００３）。その後、情報処理装置１００は、診断処理を終了する。
ここで、情報処理装置１００は、図１７～図２０の各フローチャートにおける一部ステップの処理の順序を入れ替えて実行してもよい。例えば、ステップＳ１７０１～Ｓ１７０３の処理の順序は入れ替え可能である。また、情報処理装置１００は、図１７～図２０の各フローチャートにおける一部ステップの処理を省略してもよい。例えば、ステップＳ１８０１～Ｓ１８０５のいずれかの処理は省略可能である。
以上説明したように、情報処理装置１００によれば、複数のタイプのそれぞれのタイプの攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを取得することができる。情報処理装置１００によれば、悪性挙動データに基づいて、複数の種類のそれぞれの種類の特徴を、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたり利用するとした場合の、悪性ドメインの挙動を検知する確率を算出することができる。情報処理装置１００によれば、算出した検知する確率に基づいて、それぞれの種類の特徴の、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析することができる。情報処理装置１００によれば、解析した結果に基づいて、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定することができる。これにより、情報処理装置１００は、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのか特定可能にすることができる。
情報処理装置１００によれば、正規ドメインの挙動を示す正規挙動データを取得することができる。情報処理装置１００によれば、取得した正規挙動データに基づいて、それぞれの種類の特徴を、悪性ドメインの挙動を検知するにあたり利用するとした場合の、正規ドメインの挙動を、悪性ドメインの挙動と誤検知する確率を算出することができる。情報処理装置１００によれば、算出した検知する確率、および、算出した誤検知する確率に基づいて、それぞれの種類の特徴の、それぞれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析することができる。これにより、情報処理装置１００は、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを、より精度よく特定可能にすることができる。
情報処理装置１００によれば、複数の種類の一つに、ドメインが登録された時点からの経過時間が、第１の閾値よりも短いという第１の特徴を採用することができる。これにより、情報処理装置１００は、広域型攻撃に用いられる悪性ドメインの挙動を検知し易い特徴を利用可能にすることができ、広域型攻撃に用いられる悪性ドメインの挙動を検知し易くすることができる。
情報処理装置１００によれば、複数の種類の一つに、ドメインを運用する際に用いられるネームサーバが１回以上切り替えられた場合における当該ネームサーバが運用された期間が、第２の閾値よりも短いという特徴を採用することができる。これにより、情報処理装置１００は、広域型攻撃に用いられる悪性ドメインの挙動を検知し易い特徴を利用可能にすることができ、広域型攻撃に用いられる悪性ドメインの挙動を検知し易くすることができる。
情報処理装置１００によれば、複数の種類の一つに、ドメインが再登録される前に、当該ドメインを運用する際に用いられたレジストラにおける当該ドメインの残り期限が、第３の閾値よりも長いという特徴を採用することができる。これにより、情報処理装置１００は、標的型攻撃に用いられる悪性ドメインの挙動を検知し易い特徴を利用可能にすることができ、標的型攻撃に用いられる悪性ドメインの挙動を検知し易くすることができる。
情報処理装置１００によれば、複数の種類の一つに、ドメインが失効した後、当該ドメインが再登録されるまでの所要時間が、第４の閾値よりも長いという特徴を採用することができる。これにより、情報処理装置１００は、標的型攻撃に用いられる悪性ドメインの挙動を検知し易い特徴を利用可能にすることができ、標的型攻撃に用いられる悪性ドメインの挙動を検知し易くすることができる。
情報処理装置１００によれば、複数の種類の一つに、ドメインが登録された後、当該ドメインに関する名前解決の正引きが実施されるまでの所要時間が、第５の閾値よりも長いという特徴を採用することができる。これにより、情報処理装置１００は、標的型攻撃に用いられる悪性ドメインの挙動を検知し易い特徴を利用可能にすることができ、標的型攻撃に用いられる悪性ドメインの挙動を検知し易くすることができる。
情報処理装置１００によれば、判定した結果を、対象ドメインに対応付けて出力することができる。これにより、情報処理装置１００は、対象ドメインの挙動が、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを容易に把握可能にすることができる。
情報処理装置１００によれば、それぞれの種類の特徴のうち、判定した結果に対応する特徴を、対象ドメインに対応付けて出力することができる。これにより、情報処理装置１００は、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した根拠となり得る特徴を、容易に把握可能にすることができる。
情報処理装置１００によれば、それぞれの種類の特徴のうち、判定した結果に対応する特徴を、悪性ドメインの挙動を検知するにあたり利用するとした場合の、悪性ドメインの挙動を検知する確率を、対象ドメインに対応付けて出力することができる。これにより、情報処理装置１００は、対象ドメインの挙動が、悪性ドメインの挙動に該当すると判定した根拠となり得る特徴が、どの程度重要な観点であるのかを、セキュリティ担当者が容易に把握可能にすることができる。
情報処理装置１００によれば、算出した検知する確率に基づいて、それぞれの種類の特徴が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたって最も有用であるのかを解析することができる。これにより、情報処理装置１００は、それぞれの種類の特徴を、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたって利用することが、最も適切であるのかを特定することができる。このため、情報処理装置１００は、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを、より精度よく特定可能にすることができる。
情報処理装置１００によれば、それぞれの種類の特徴について、誤検知する確率が、所定の確率以上であれば、当該特徴は、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたっても有用ではないと解析することができる。これにより、情報処理装置１００は、誤検知を誘発し得る特徴を利用せずに済ませることができる。このため、情報処理装置１００は、対象ドメインの挙動が、複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを、より精度よく特定可能にすることができる。
なお、本実施の形態で説明した情報処理方法は、予め用意されたプログラムをＰＣやワークステーションなどのコンピュータで実行することにより実現することができる。本実施の形態で説明した情報処理プログラムは、コンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行される。記録媒体は、ハードディスク、フレキシブルディスク、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）－ＲＯＭ、ＭＯ（Ｍａｇｎｅｔｏ Ｏｐｔｉｃａｌ ｄｉｓｃ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）などである。また、本実施の形態で説明した情報処理プログラムは、インターネットなどのネットワークを介して配布してもよい。
上述した実施の形態に関し、さらに以下の付記を開示する。
（付記１）複数のタイプそれぞれの攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを取得し、
取得した前記悪性挙動データに基づいて、悪性ドメインの挙動に現れる複数の種類それぞれの特徴を、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたり利用する場合の、悪性ドメインの挙動を検知する確率を算出し、
算出した前記確率に基づいて、前記それぞれの特徴の、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析し、
解析した結果に基づいて、対象ドメインの挙動が、前記複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する、
処理をコンピュータに実行させることを特徴とする情報処理プログラム。
（付記２）正規ドメインの挙動を示す正規挙動データを取得し、
取得した前記正規挙動データに基づいて、前記それぞれの特徴を、悪性ドメインの挙動を検知するにあたり利用する場合の、正規ドメインの挙動を、悪性ドメインの挙動と誤検知する確率を算出する、処理を前記コンピュータに実行させ、
前記解析する処理は、
算出した前記検知する確率、および、算出した前記誤検知する確率に基づいて、前記それぞれの特徴の、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析する、ことを特徴とする付記１に記載の情報処理プログラム。
（付記３）前記複数の種類は、ドメインが登録された時点からの経過時間が、第１の閾値よりも短いという特徴を含む、ことを特徴とする付記１または２に記載の情報処理プログラム。
（付記４）前記複数の種類は、ドメインを運用する際に用いられるネームサーバが１回以上切り替えられた場合における当該ネームサーバが運用された期間が、第２の閾値よりも短いという特徴を含む、ことを特徴とする付記１～３のいずれか一つに記載の情報処理プログラム。
（付記５）前記複数の種類は、ドメインが再登録される前に、当該ドメインを運用する際に用いられたレジストラにおける当該ドメインの残り期限が、第３の閾値よりも長いという特徴を含む、ことを特徴とする付記１～４のいずれか一つに記載の情報処理プログラム。
（付記６）前記複数の種類は、ドメインが失効した後、当該ドメインが再登録されるまでの所要時間が、第４の閾値よりも長いという特徴を含む、ことを特徴とする付記１～５のいずれか一つに記載の情報処理プログラム。
（付記７）前記複数の種類は、ドメインが登録された後、当該ドメインに関する名前解決の正引きが実施されるまでの所要時間が、第５の閾値よりも長いという特徴を含む、ことを特徴とする付記１～６のいずれか一つに記載の情報処理プログラム。
（付記８）判定した結果を、前記対象ドメインに対応付けて出力する、
処理を前記コンピュータに実行させることを特徴とする付記１～７のいずれか一つに記載の情報処理プログラム。
（付記９）前記それぞれの特徴のうち、判定した結果に対応する特徴を、前記対象ドメインに対応付けて出力する、
処理を前記コンピュータに実行させることを特徴とする付記１～８のいずれか一つに記載の情報処理プログラム。
（付記１０）前記それぞれの特徴のうち、判定した結果に対応する特徴を、悪性ドメインの挙動を検知するにあたり利用する場合の、悪性ドメインの挙動を検知する確率を、前記対象ドメインに対応付けて出力する、
処理を前記コンピュータに実行させることを特徴とする付記１～９のいずれか一つに記載の情報処理プログラム。
（付記１１）前記解析する処理は、
算出した前記検知する確率に基づいて、前記それぞれの特徴が、前記複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたって最も有用であるのかを解析する、ことを特徴とする付記１～１０のいずれか一つに記載の情報処理プログラム。
（付記１２）前記解析する処理は、
前記それぞれの特徴について、算出した前記誤検知する確率が、所定の確率以上であれば、当該特徴は、前記複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動を検知するにあたっても有用ではないと解析する、ことを特徴とする付記２に記載の情報処理プログラム。
（付記１３）複数のタイプそれぞれの攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを取得し、
取得した前記悪性挙動データに基づいて、悪性ドメインの挙動に現れる複数の種類それぞれの特徴を、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたり利用する場合の、悪性ドメインの挙動を検知する確率を算出し、
算出した前記確率に基づいて、前記それぞれの特徴の、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析し、
解析した結果に基づいて、対象ドメインの挙動が、前記複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する、
処理をコンピュータが実行することを特徴とする情報処理方法。
（付記１４）複数のタイプそれぞれの攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを取得し、
取得した前記悪性挙動データに基づいて、悪性ドメインの挙動に現れる複数の種類それぞれの特徴を、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたり利用する場合の、悪性ドメインの挙動を検知する確率を算出し、
算出した前記確率に基づいて、前記それぞれの特徴の、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析し、
解析した結果に基づいて、対象ドメインの挙動が、前記複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する、
制御部を有することを特徴とする情報処理装置。
１００ 情報処理装置
２００ 情報処理システム
２０１ クライアント装置
２０２ 情報管理装置
２１０ ネットワーク
３００ バス
３０１ ＣＰＵ
３０２ メモリ
３０３ ネットワークＩ／Ｆ
３０４ 記録媒体Ｉ／Ｆ
３０５ 記録媒体
４００ 記憶部
４０１ 取得部
４０２ 判定部
４０３ 算出部
４０４ 解析部
４０５ 出力部
５００ データ収集部
５１１ 正規ドメインリスト
５１２ 広域型悪性ドメインリスト
５１３ 標的型悪性ドメインリスト
５１４ Ｐａｓｓｉｖｅ ＤＮＳデータのＤＢ
５１５ ＷＨＯＩＳ 履歴データのＤＢ
５２１ 基本データ管理テーブル
５２２ レジストラ管理テーブル
５２３ 特徴リスト
５３０ 悪性判定部
５４１ 検知結果管理テーブル
５４２ 偽陽性閾値
５５０ タイプ別特徴判定部
５６１ タイプ別特徴管理テーブル
５６２ 診断対象ドメインリスト
５７０ 未識別ドメイン診断部
５７１ 診断結果
９０１～９０３，１００１～１００３，１１０１～１１０３，１２０１～１２０３，１３０１～１３０３ 符号
１５００，１６００ 表

Claims (12)

  1. 複数のタイプそれぞれの攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを取得し、
    取得した前記悪性挙動データに基づいて、悪性ドメインの挙動に現れる複数の種類それぞれの特徴を、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたり利用する場合の、悪性ドメインの挙動を検知する確率を算出し、
    算出した前記確率に基づいて、前記それぞれの特徴の、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析し、
    解析した結果に基づいて、対象ドメインの挙動が、前記複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する、
    処理をコンピュータに実行させることを特徴とする情報処理プログラム。
  2. 正規ドメインの挙動を示す正規挙動データを取得し、
    取得した前記正規挙動データに基づいて、前記それぞれの特徴を、悪性ドメインの挙動を検知するにあたり利用する場合の、正規ドメインの挙動を、悪性ドメインの挙動と誤検知する確率を算出する、処理を前記コンピュータに実行させ、
    前記解析する処理は、
    算出した前記検知する確率、および、算出した前記誤検知する確率に基づいて、前記それぞれの特徴の、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析する、ことを特徴とする請求項１に記載の情報処理プログラム。
  3. 前記複数の種類は、ドメインが登録された時点からの経過時間が、第１の閾値よりも短いという特徴を含む、ことを特徴とする請求項１または２に記載の情報処理プログラム。
  4. 前記複数の種類は、ドメインを運用する際に用いられるネームサーバが１回以上切り替えられた場合における当該ネームサーバが運用された期間が、第２の閾値よりも短いという特徴を含む、ことを特徴とする請求項１～３のいずれか一つに記載の情報処理プログラム。
  5. 前記複数の種類は、ドメインが再登録される前に、当該ドメインを運用する際に用いられたレジストラにおける当該ドメインの残り期限が、第３の閾値よりも長いという特徴を含む、ことを特徴とする請求項１～４のいずれか一つに記載の情報処理プログラム。
  6. 前記複数の種類は、ドメインが失効した後、当該ドメインが再登録されるまでの所要時間が、第４の閾値よりも長いという特徴を含む、ことを特徴とする請求項１～５のいずれか一つに記載の情報処理プログラム。
  7. 前記複数の種類は、ドメインが登録された後、当該ドメインに関する名前解決の正引きが実施されるまでの所要時間が、第５の閾値よりも長いという特徴を含む、ことを特徴とする請求項１～６のいずれか一つに記載の情報処理プログラム。
  8. 判定した結果を、前記対象ドメインに対応付けて出力する、
    処理を前記コンピュータに実行させることを特徴とする請求項１～７のいずれか一つに記載の情報処理プログラム。
  9. 前記それぞれの特徴のうち、判定した結果に対応する特徴を、前記対象ドメインに対応付けて出力する、
    処理を前記コンピュータに実行させることを特徴とする請求項１～８のいずれか一つに記載の情報処理プログラム。
  10. 前記それぞれの特徴のうち、判定した結果に対応する特徴を、悪性ドメインの挙動を検知するにあたり利用する場合の、悪性ドメインの挙動を検知する確率を、前記対象ドメインに対応付けて出力する、
    処理を前記コンピュータに実行させることを特徴とする請求項１～９のいずれか一つに記載の情報処理プログラム。
  11. 複数のタイプそれぞれの攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを取得し、
    取得した前記悪性挙動データに基づいて、悪性ドメインの挙動に現れる複数の種類それぞれの特徴を、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたり利用する場合の、悪性ドメインの挙動を検知する確率を算出し、
    算出した前記確率に基づいて、前記それぞれの特徴の、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析し、
    解析した結果に基づいて、対象ドメインの挙動が、前記複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する、
    処理をコンピュータが実行することを特徴とする情報処理方法。
  12. 複数のタイプそれぞれの攻撃に用いられる悪性ドメインの挙動を示す悪性挙動データを取得し、
    取得した前記悪性挙動データに基づいて、悪性ドメインの挙動に現れる複数の種類それぞれの特徴を、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたり利用する場合の、悪性ドメインの挙動を検知する確率を算出し、
    算出した前記確率に基づいて、前記それぞれの特徴の、前記それぞれの攻撃に用いられる悪性ドメインの挙動を検知するにあたっての有用性を解析し、
    解析した結果に基づいて、対象ドメインの挙動が、前記複数のタイプのうち、いずれのタイプの攻撃に用いられる悪性ドメインの挙動に該当するのかを判定する、
    制御部を有することを特徴とする情報処理装置。
JP2020180710A 2020-10-28 2020-10-28 情報処理プログラム、情報処理方法、および情報処理装置 Active JP7468298B2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2020180710A JP7468298B2 (ja) 2020-10-28 2020-10-28 情報処理プログラム、情報処理方法、および情報処理装置
US17/507,834 US20220131884A1 (en) 2020-10-28 2021-10-22 Non-transitory computer-readable recording medium, information processing method, and information processing device
GB2115361.4A GB2604207A (en) 2020-10-28 2021-10-26 Information processing program, information processing method, and information processing device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2020180710A JP7468298B2 (ja) 2020-10-28 2020-10-28 情報処理プログラム、情報処理方法、および情報処理装置

Publications (2)

Publication Number Publication Date
JP2022071645A JP2022071645A (ja) 2022-05-16
JP7468298B2 true JP7468298B2 (ja) 2024-04-16

Family

ID=78649474

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2020180710A Active JP7468298B2 (ja) 2020-10-28 2020-10-28 情報処理プログラム、情報処理方法、および情報処理装置

Country Status (3)

Country Link
US (1) US20220131884A1 (ja)
JP (1) JP7468298B2 (ja)
GB (1) GB2604207A (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016140038A1 (ja) 2015-03-05 2016-09-09 日本電信電話株式会社 通信先悪性度算出装置、通信先悪性度算出方法及び通信先悪性度算出プログラム
JP2018196054A (ja) 2017-05-19 2018-12-06 富士通株式会社 評価プログラム、評価方法および情報処理装置
WO2020017000A1 (ja) 2018-07-19 2020-01-23 富士通株式会社 サイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置
JP2020072384A (ja) 2018-10-31 2020-05-07 富士通株式会社 サイバー攻撃評価プログラム、サイバー攻撃評価方法および情報処理装置

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5639535B2 (ja) 2011-06-10 2014-12-10 日本電信電話株式会社 良性ドメイン名除外装置、良性ドメイン名除外方法、及びプログラム
US9264442B2 (en) 2013-04-26 2016-02-16 Palo Alto Research Center Incorporated Detecting anomalies in work practice data by combining multiple domains of information
US9635049B1 (en) * 2014-05-09 2017-04-25 EMC IP Holding Company LLC Detection of suspicious domains through graph inference algorithm processing of host-domain contacts
US11652845B2 (en) 2017-03-09 2023-05-16 Nippon Telegraph And Telephone Corporation Attack countermeasure determination apparatus, attack countermeasure determination method, and attack countermeasure determination program
US10778702B1 (en) * 2017-05-12 2020-09-15 Anomali, Inc. Predictive modeling of domain names using web-linking characteristics
US10681070B2 (en) * 2017-05-26 2020-06-09 Qatar Foundatiion Method to identify malicious web domain names thanks to their dynamics

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016140038A1 (ja) 2015-03-05 2016-09-09 日本電信電話株式会社 通信先悪性度算出装置、通信先悪性度算出方法及び通信先悪性度算出プログラム
JP2018196054A (ja) 2017-05-19 2018-12-06 富士通株式会社 評価プログラム、評価方法および情報処理装置
WO2020017000A1 (ja) 2018-07-19 2020-01-23 富士通株式会社 サイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置
JP2020072384A (ja) 2018-10-31 2020-05-07 富士通株式会社 サイバー攻撃評価プログラム、サイバー攻撃評価方法および情報処理装置

Also Published As

Publication number Publication date
US20220131884A1 (en) 2022-04-28
GB2604207A (en) 2022-08-31
JP2022071645A (ja) 2022-05-16
GB202115361D0 (en) 2021-12-08

Similar Documents

Publication Publication Date Title
Van Der Heijden et al. Cognitive triaging of phishing attacks
Hao et al. Understanding the domain registration behavior of spammers
Hao et al. PREDATOR: proactive recognition and elimination of domain abuse at time-of-registration
US9807110B2 (en) Method and system for detecting algorithm-generated domains
AU2018208693B2 (en) A system to identify machines infected by malware applying linguistic analysis to network requests from endpoints
Le Sceller et al. Sonar: Automatic detection of cyber security events over the twitter stream
US10574681B2 (en) Detection of known and unknown malicious domains
US11546377B2 (en) Phishing domain detection systems and methods
US20160373262A1 (en) Systems and methods for digital certificate security
IL257849B1 (en) Systems and methods for detecting and scoring anomalies
US20080301090A1 (en) Detection of abnormal user click activity in a search results page
US11095671B2 (en) DNS misuse detection through attribute cardinality tracking
EP3913888A1 (en) Detection method for malicious domain name in domain name system and detection device
Quinkert et al. Raptor: Ransomware attack predictor
Lazar et al. IMDoC: identification of malicious domain campaigns via DNS and communicating files
Bell et al. Catch me (on time) if you can: Understanding the effectiveness of twitter url blacklists
Farinholt et al. Dark matter: uncovering the DarkComet RAT ecosystem
JP7468298B2 (ja) 情報処理プログラム、情報処理方法、および情報処理装置
JP6984754B2 (ja) サイバー攻撃情報分析プログラム、サイバー攻撃情報分析方法および情報処理装置
CN113395268A (zh) 一种基于线上线下融合的网络爬虫拦截方法
Santanna et al. Booter list generation: The basis for investigating DDoS‐for‐hire websites
Sykosch et al. Hunting observable objects for indication of compromise
US12028372B1 (en) Identifying threat similarity using forensics clustering
Zou et al. Detecting malware based on expired command-and-control traffic
JP7280814B2 (ja) 信頼度評価装置、信頼度評価方法及び信頼度評価プログラム

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20230707

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20240227

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20240305

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20240318

R150 Certificate of patent or registration of utility model

Ref document number: 7468298

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150