JP2011076188A

JP2011076188A - Ｄｎｓトラフィックデータを利用したボット感染者検知方法およびボット感染者検知システム

Info

Publication number: JP2011076188A
Application number: JP2009224319A
Authority: JP
Inventors: Kazumichi Sato; 一道佐藤; Keisuke Ishibashi; 圭介石橋; Takeshi Toyono; 剛豊野
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2009-09-29
Filing date: 2009-09-29
Publication date: 2011-04-14
Anticipated expiration: 2029-09-29
Also published as: JP5345492B2

Abstract

【課題】従来の技術で生成されたシグネチャデータベースのみでは捕えきることのできないボット感染者を発見できる技術を提供する。
【解決手段】スコア計算部１２が、既存のシグネチャデータベース１４を用いて、ＤＮＳトラフィックデータに含まれるユーザから、ボットに感染しているユーザを抽出する。スコア計算部１２が、ボットに感染しているユーザがＤＮＳサーバへ問い合わせるＤＮＳトラフィックデータに含まれるドメイン名に対し、スコア付けを行う。スコア計算部１２が、ステップ２で付けたスコアが予め定めた値よりも大きければ、そのドメイン名を新たに悪性ドメイン名と判定し、新たに判定した悪性ドメイン名を追加した新たなシグネチャデータベース１４を作成する。ボット感染者検知部１３が、新たなシグネチャデータベース１４を用いて、ボットに感染しているユーザを発見する。
【選択図】図１

Description

本発明はＤＮＳトラフィックデータの共起関係を用いてボット感染者を検知する技術に関する。

ＯＳの脆弱性を突き端末に感染し、第三者の操作によってサービス妨害攻撃や迷惑メール送信などを行う悪意あるプログラムであるボットが問題となっており、その感染者を見つける手法が必要とされている。以下、従来のボット対策を収集、分析、検知に分け、それぞれの詳細を述べる。

［ボット収集技術］ボットを収集するための技術として、ハニーポットと呼ばれる端末がある。これはＯＳの脆弱性を模擬したものであり、ハニーポットに向けて感染活動を行うボットを効率的に捕えることができる。

［ボット分析技術］上記のハニーポットで捕えたボットの詳細を分析し、その特徴（シグネチャ）を抽出する。具体的にはボットプログラムを分析する静的解析（非特許文献１）、実際にボットを動作させ、その挙動を特徴として抽出する動的解析（非特許文献２）がある。上記の分析を行った後、抽出したシグネチャのデータベースを作成する。

［ボット検知技術］分析によって得られたシグネチャデータベースを利用して、ボットを検知する。例えば、ユーザ端末上に保存されているファイルと静的解析によって得られたデータベースを突合させ、ボットを検知することや、ユーザ端末の通信を監視し、悪性ドメイン名と通信を試みた場合、ボットに感染していると判断する。

従来技術文献として非特許文献３がある。これはボットが通信する特有の相手のドメイン名（※以下、悪性ドメイン名と呼ぶ）のリストと、悪性ではないドメイン名との類似度からドメイン名にスコア付けを行うものである。非特許文献３ではスコアの計算方法にグラフカーネル（非特許文献４）用いている。

また、従来技術文献として特許文献１がある。この技術はボットの指令サーバにアクセスするユーザを検出する装置と、ボット感染者の感染活動を検出する装置両方で検出されたユーザをボット感染者とする技術である。この技術ではボットに感染しているかどうかの判定を多段で行うことにより確度を高めるものである。

特開２００９−１１０２７０号公報

M. Christodorescu and S. Jha. Static Analysis of Executables to Detect Malicious Patterns. In Usenix Security Symposium, 2003. M. Bailey, J. Oberheide, J. Andersen, Z. Mao, F. Jahanian, and J. Nazaric. Automated classification and analysis of internet malware. In Proseedings of the 10th International Symposium on Recent Advances in Intrusion Detection, 2007 石橋圭介，豊野剛，佐藤一道，岩村誠「ＤＮＳクエリグラフを用いた悪性ドメイン名リスト評価」インターネットアーキテクチャ研究会，２００９ R. L. Kondor, Deiffusion Kernels on Graphs and Other Discrete Input Spaces. ICML, 2002

全てのボットがハニーポットに対して感染活動を行うわけではないため、完全なシグネチャデータベースを作成することができない。すなわち、ボットに感染している全ユーザを発見することができない。

本発明の目的は、従来の技術で生成されたシグネチャデータベースのみでは捕えきることのできないボット感染者を発見できる技術を提供することである。

本明細書において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。

第１の発明は、ＤＮＳトラヒックデータを利用したボット感染者検知システムにおけるボット感染者検知方法であって、前記ボット感染者検知システムはスコア計算部とボット感染者検知部を備え、前記スコア計算部が、既存のシグネチャデータベースを用いて、前記ＤＮＳトラヒックデータに含まれるユーザから、ボットに感染しているユーザを抽出する第１のステップと、前記スコア計算部が、第１のステップで抽出したボットに感染しているユーザがＤＮＳサーバへ問い合わせる前記ＤＮＳトラヒックデータに含まれるドメイン名に対し、スコア付けを行う第２のステップと、前記スコア計算部が、第２のステップで付けたスコアが予め定めた値よりも大きければ、そのドメイン名を新たに悪性ドメイン名と判定し、新たに判定した悪性ドメイン名を追加した新たなシグネチャデータベースを作成する第３のステップと、前記ボット感染者検知部が、第３のステップによって生成された新たなシグネチャデータベースを用いて、ボットに感染しているユーザを発見する第４のステップと、を有することを特徴とする。

第２の発明は、第１の発明において、前記スコア計算部が、前記第２のステップにおいて、前記ＤＮＳトラフィックデータに含まれるドメイン名に対して、当該ドメイン名と前記既存のシグネチャデータベースに含まれる悪性ドメイン名の両方を問い合わせる共起関係が大きいほどスコアが高くなるように、スコア付けを行うことを特徴とする。

第３の発明は、第１の発明において、前記スコア計算部が、前記第２のステップにおいて、前記ＤＮＳトラフィックデータに含まれるドメイン名に対して、ユーザが問い合わせるドメイン名数が大きいほど当該ユーザによるスコアに対する寄与が小さくなるように重み付けして、スコア付けを行うことを特徴とする。

第４の発明は、第１の発明において、前記スコア計算部が、前記第２のステップにおいて、前記ＤＮＳトラフィックデータに含まれるドメイン名に対して、当該ドメインのポピュラー度合が大きいほどスコアが小さくなるように重み付けして、スコア付けを行うことを特徴とする。

本発明によれば、従来の技術で生成されたシグネチャデータベースのみでは捕えきることのできないボット感染者を発見できる。また、従来の技術ではボットを分析し、シグネチャを抽出するが、本発明ではＤＮＳサーバのトラフィックを監視していることからリアルタイムでボット感染者を発見することができ、未知のボットに対しても迅速な対応が可能となる。

本発明の実施例のボット感染者検知システムを示す図である。ＤＮＳトラフィックの分析を行いボット感染者を発見する手順を示すフローチャートである。共起関係を説明するための図である。［数式１］で用いる集合を説明するためのベン図である。ポピュラードメイン名が悪性と判断されてしまうことを説明するための図である。ヘビーユーザの問い合わせドメイン名が悪性と判断されてしまうことを説明するための図である。［数式１］による共起度Ｃと［数式４］による共起度Ｃ’の相違を説明するための図である。ポピュラードメイン名のスコアを小さくすることができる理由を説明するための図である。

本発明の実施例はＤＮＳトラフィックデータと既存のシグネチャデータベースを利用し、ボット感染者の問い合わせドメイン名の共起関係を用いて新たにシグネチャデータベースを生成する技術に関するものである。

［背景技術］の項に記載した非特許文献３ではスコアの計算方法にグラフカーネル（非特許文献４）用いているのに対して、本実施例ではスコアの計算方法にユーザの問い合わせドメイン名間の共起関係を用いており、スコアの計算方法が異なるものである。

また、［背景技術］の項に記載した特許文献１ではボットに感染しているかどうかの判定を多段で行うことにより確度を高めるものであるのに対して、本実施例は新たな悪性ドメイン名を発見し、ボット感染者の検知範囲を拡大するものである。

本発明の実施例のボット感染者検知システムを図１に示す。本実施例のボット感染者検知システムは、トラフィック収集部１１とスコア計算部１２とボット感染者検知部１３とシグネチャデータベース（悪性ドメイン名リスト）１４を備える。トラフィック収集部１１はＤＮＳサーバへのトラフィックを収集するものであり、スコア計算部１２は、収集したトラフィックを分析し、ドメイン名にスコアを付与するものである。また、ボット感染者検知部１３はシグネチャデータベース１４を用いてボット感染者を発見するものである。ここで、トラフィック収集部１１、スコア計算部１２、およびボット感染者検知部１３は同一の装置であってもよいし、別々の装置であってもよい。

ボットの持つ性質として、ボットに指令を与えるサーバや、プログラムのダウンロード元などの悪性ドメイン名と通信するために、ＤＮＳを用いることがよく知られている。このことから、ボットに感染しているユーザを発見するためにＤＮＳサーバへの通信を監視し、悪性ドメイン名の名前解決（ドメイン名からＩＰアドレスへの変換）を行うユーザを抽出することで、ボットに感染しているユーザを発見することができる。以下、シグネチャを悪性ドメイン名リストと定義する。

本実施例では上記のボットの性質に注目し、ボットに感染したユーザを発見するためにＤＮＳトラフィックの分析を行う。以下、本実施例の手順の概要を図２を用いて説明する。図２は、トラフィック収集部１１によりＤＮＳトラフィックデータが収集された後、スコア計算部１２がＤＮＳトラフィックの分析を行いボット感染者検知部１３がボット感染者を発見する手順を示すフローチャートである。

［ステップ１］スコア計算部１２が、既存のシグネチャデータベース１４を用いて、ＤＮＳトラフィックデータに含まれるユーザから、ボットに感染しているユーザを抽出する。

［ステップ２］スコア計算部１２が、ステップ１で抽出したボットに感染しているユーザがＤＮＳサーバへ問い合わせるＤＮＳトラフィックデータに含まれるドメイン名に対し、スコア付けを行う。

［ステップ３］スコア計算部１２が、ステップ２で付けたスコアが予め定めた値よりも大きければ、そのドメイン名を新たに悪性ドメイン名と判定し、新たに判定した悪性ドメイン名を追加した新たなシグネチャデータベース１４を作成する。

［ステップ４］ボット感染者検知部１３が、ステップ３によって生成された新たなシグネチャデータベース１４を用いて、ボットに感染しているユーザを発見する。

上記の各ステップの詳細を次に記す。

［ステップ１詳細］まず、ＤＮＳサーバへ問い合わせを行うユーザを、ボットを分析して得られたシグネチャデータベースに含まれるドメイン名を問い合わせているユーザと、それ以外のユーザに分類する。以後、前者を「ボット感染者」、後者を「みなしボット非感染者※」と呼ぶ。※データベースに含まれるドメイン名を問い合わせていないユーザでも、ボットに感染しているユーザが存在するので、みなしと呼ぶ。

［ステップ２、３詳細］次に、分離したボット感染者のＤＮＳサーバへの問い合わせドメイン名を調べ、既知の悪性ドメイン名と頻繁に共起するドメイン名を抽出する。ここで、共起とは図３において同一のユーザから出る実線と破線の先にあるドメイン名間の関係のことであり、あるドメイン名ｄ１とｄ２があるとき、その両方を問い合わせるユーザが存在した場合、そのドメイン間は共起関係にある、と定義する。

図３は共起関係を説明するための図であり、３１はボット感染者１の端末、３２はボット感染者２の端末、３３はボット感染者３の端末、３４は既知の悪性ドメイン名1.evil.com、３５は既知の悪性ドメイン名2.evil.com、３６は既知の悪性ドメイン名3.evil.com、３７は未知の悪性ドメイン名unknown.evil.comである。ボット感染者１の端末３１は1.evil.com（３４）とunknown.evil.com（３７）の両方を問い合わせ、ボット感染者２の端末３２は2.evil.com（３５）とunknown.evil.com（３７）の両方を問い合わせ、ボット感染者２の端末３３は3.evil.com（３６）とunknown.evil.com（３７）の両方を問い合わせている。

例えば、図３において1.evil.comとunknown.evil.comは共起関係にある。このような共起関係を定量的に表現するために、あるドメイン名ｄ１、ｄ２の共起度Ｃ（ｄ１，ｄ２）を導入する。

ここで、Ｕ_ｄはドメイン名ｄを問い合わせるユーザの集合とする。図４は［数式１］で用いる集合を説明するためのベン図であり、４１はドメイン名ｄ１を問い合わせたユーザの集合、４２はドメイン名ｄ２を問い合わせたユーザの集合、４３はドメイン名ｄ１とドメイン名ｄ２の両方を問い合わせたユーザの集合である。

［数式１］は図４のベン図の重なり部分４３が全体のどの程度の割合であるかを示す式であり、ｄ１、ｄ２両方を問い合わせるユーザが多いほど値が大きくなるものである。

この［数式１］を用いて、ボット感染者の問い合わせドメイン名にスコアを付与する。具体的には以下の式で計算される。

すなわち、あるドメインdのスコアを以下のように定義する。

ここで、Ｄ_Ｍは既知の悪性ドメイン名の集合であり、Ｕ_ｄｍ∩ｄは悪性ドメイン名ｄ_ｍを問い合わせるユーザの集合とドメイン名ｄを問い合わせるユーザの集合の積集合、Ｕ_ｄｍ∩ｄは悪性ドメイン名ｄ_ｍを問い合わせるユーザの集合とドメイン名ｄを問い合わせるユーザの集合の和集合である。なお、「Ｕ_ｄｍ∩ｄ」の「ｄｍ」はテキストデータの表記の制限によりこのように表示したものであり、「ｄｍ」は「ｄ_ｍ」を意味する。他の場合も同様に表記する。

この式はドメインｄが多くの悪性ドメイン名と共起していればスコアが高くなることを表現している。ある閾値ｔを設定し、Ｓ（ｄ）＞ｔであれば、ドメイン名ｄを悪性ドメインと判断し、新たなシグネチャデータベースを生成する。

図３ではunknown.evil.com（３７）というドメインが1.evil.com（３４）、2.evil.com（３５）、3.evil.com（３６）という３つの悪性ドメインと共起していることからスコアが高くなり、未知の悪性ドメインと判定される。

したがって、スコア計算部１２は、ステップ２において、ＤＮＳトラフィックデータに含まれるドメイン名に対して、当該ドメイン名と前記既存のシグネチャデータベースに含まれる悪性ドメイン名の両方を問い合わせる共起関係が大きいほどスコアが高くなるように、スコア付けを行えばよい。

しかしながら、［数式１］および［数式３］を用いた方法では、goo.ne.jpやyahoo.co.jpといった多くのユーザが問い合わせるポピュラードメイン名や、多種多様なドメイン名を問い合わせるヘビーユーザの問い合わせドメイン名が悪性ドメイン名と頻繁に共起することからスコアが高くなってしまう。これによって悪性ではないドメイン名が悪性と判断されてしまうことがある。この問題の概要を図５、６に記す。

図５は、ポピュラードメイン名（人気ドメイン名）が悪性と判断されてしまうことを説明するための図である。５１〜５３はボット感染者の端末、５４〜５５はボットに感染していないと思われるユーザの端末、３４〜３６は既知の悪性ドメイン名、５６は人気ドメイン名www.goo.ne.jpである。図５からわかるように、人気ドメインは多くのユーザが問い合わせるため、既知の悪性ドメインと共起しやすい。

図６は、ヘビーユーザの問い合わせドメイン名が悪性と判断されてしまうことを説明するための図である。６１はボット感染者の端末、６２はボット感染ヘビーユーザの端末、３４〜３５は既知の悪性ドメイン名、６３はボット感染ヘビーユーザ６２が問い合わせるドメイン名の集合である。図６からわかるように、６３に含まれる全てのドメイン名が既知の悪性ドメイン名３５と共起しているが、これらが全て悪性ドメイン名ではない。

そこで、ポピュラードメイン名やヘビーユーザの影響を除去するために、［数式１］および［数式３］を［数式４］および［数式５］に変更する。

ここで、Ｕ_Ｍ，ｄはドメイン名ｄを問い合わせるボット感染者の集合、Ｕ_Ｍ，ｄｍは悪性ドメイン名ｄ_ｍを問い合わせるボット感染者の集合、Ｕ_Ｎ，ｄはドメイン名ｄを問い合わせるみなしボット非感染者ユーザの集合である。また、Ｎ_Ｄ（ｕ）はユーザｕが問い合わせたドメイン名数である。

［数式４］は［数式１］の右辺の分子部分を変更したもので、ユーザの問い合わせドメイン名数によって重み付けを行うものである。ヘビーユーザの問題は、悪性ドメイン名と共起するドメイン名が大量に出現することにある。ヘビーユーザが問い合わせるドメイン名全てが悪性ドメインではないので、悪性ではないドメイン名のスコアが高くなってしまうことが問題となる。これは［数式１］が問い合わせドメイン名数を考慮していないことに起因する。そこで、共起回数を表現する［数式１］の分子部分を、［数式４］の分子部分のようにユーザの問い合わせドメイン数の逆数の和を取るように変更する。このようにすることによって、ヘビーユーザが問い合わせるドメイン名と悪性ドメイン名の共起回数を小さくすることができ、ヘビーユーザの問い合わせドメイン名のスコアも小さくすることができる。これは、ユーザが得点を持っていると考え、ヘビーユーザほど持点を少なくするという操作である。［数式１］では各ユーザの持つ得点が同じであると考えることができる。

したがって、スコア計算部１２は、ステップ２において、ＤＮＳトラフィックデータに含まれるドメイン名に対して、ユーザが問い合わせるドメイン名数が大きいほど当該ユーザによるスコアに対する寄与が小さくなるように重み付けして、スコア付けを行えばよい。

この具体例を図７に記す。図７は、［数式１］による共起度Ｃと［数式４］による共起度Ｃ’の相違を説明するための図であり、７１はドメイン名ｄ、７２は悪性ドメイン名ｄ_ｍ、７３〜７５はボットに感染しているユーザである。ユーザ７３は問い合わせドメイン数３０００のヘビーユーザ、ユーザ７４の問い合わせドメイン数は１０、ユーザ７５の問い合わせドメイン数は２０である。ボットに感染しているユーザ７３〜７５の３名は全て悪性ドメイン名ｄ_ｍを問い合わせているが、ボットに感染しているユーザ７３〜７５の３名のうちドメイン名ｄを問い合わせているのはヘビーユーザ７３だけである。この場合、［数式１］による悪名ドメイン名ｄ_ｍ（７２）とドメイン名ｄ（７１）の共起度Ｃ（ｄ_ｍ，ｄ）は１／３である。これに対して、［数式４］による悪性ドメイン名ｄ_ｍ（７２）とドメイン名ｄ（７１）の共起度Ｃ’（ｄ_ｍ，ｄ）は１／９０００である。したがって、［数式１］による共起度Ｃではドメイン名ｄ（７１）を悪性ドメイン名と判断しやすいが、［数６］による共起度Ｃ’ではドメイン名ｄ（７１）を悪性ドメイン名と判断しにくいことになる。

［数式５］は［数式３］に［数式５］の右辺第二項を掛けたものであり、ポピュラードメイン名の影響除去を行っている。これまでの調査によると、ある網においてボット感染者は全体の１％未満であるとされている。ポピュラードメイン名はボット感染の有無に関わらず多くのユーザが問い合わせるドメイン名であるので、ポピュラードメイン名を問い合わせるボット感染者は、みなしボット非感染者と比較して非常に少ないと言える。すなわち、ドメインｄがポピュラードメイン名のとき、Ｕ_Ｍ，ｄ＜＜Ｕ_Ｎ，ｄであることが言え、［数式５］の右辺第二項の分母は分子と比較して非常に大きくなるため、値は非常に小さくなる。以上により、ポピュラードメイン名のスコアを小さくすることができる。

したがって、スコア計算部１２は、ＤＮＳトラフィックデータに含まれるドメイン名に対して、当該ドメインのポピュラー度合が大きいほどスコアが小さくなるように重み付けして、スコア付けを行えばよい。

この具体例を図８に記す。図８はポピュラードメイン名のスコアを小さくすることができる理由を説明するための図であり、８１はみなし非感染ユーザ（１０万人）、８２はボット感染ユーザ（１０００人）、８３はみなし非感染ユーザ（１０万人）８１の中でgoogle.co.jp（ポピュラードメイン名）を問い合わせたユーザ数８０，０００人、８４はみなし非感染ユーザ（１０万人）８１の中でevil.com（悪性ドメイン名）を問い合わせたユーザ数１０人、８５はボット感染ユーザ（１０００人）８２の中でgoogle.co.jp（ポピュラードメイン名）を問い合わせたユーザ数９００人、８６はボット感染ユーザ（１０００人）８２の中でevil.com（悪性ドメイン名）を問い合わせたユーザ数２０人である。

例えば、google.co.jpのようなポピュラードメインはボットに感染したユーザ、感染していないユーザ両方の多くが問い合わせるものである。このとき、感染ユーザの集合、みなし非感染ユーザの集合の中でgoogle.co.jpを問い合わせるユーザ数はみなし非感染ユーザの方が非常に多い。google.co.jpを問い合わせるユーザ数を図８のように仮定すると、［数式５］の右辺第二項の値は約０．０１１と小さくなることが分かる。一方で、みなし非感染ユーザの中に潜在するボット感染ユーザ数は多くないと予想できることから、感染ユーザの集合とみなし非感染ユーザの集合の中で、悪性ドメインを問い合わせるユーザ数は大きく変わらないと考えることができる。例えば、ある悪性ドメインevil.comを問い合わせるユーザ数を図８のように仮定すると、その値は約０．６７とポピュラードメインの場合と比較して大きくなることが分かる。すなわち、［数式５］右辺第二項はドメインのポピュラー度合に反比例する重みとなり、ポピュラードメインのスコアを小さくすることができる。

［ステップ４詳細］ステップ２、３によって新たに生成されたシグネチャデータベースを用いてボット感染者を抽出する。ボット感染者の抽出方法はステップ１と同様である。これによって既存のデータベースでは発見することができないボット感染者を発見することができる。

なお、上記の手法ではユーザからＤＮＳサーバへの問い合わせに対してのトラフィックを分析したが、ＤＮＳトラフィックデータに含まれる他のデータに対しても本実施例を適用できる。

例えば、ＤＮＳサーバからユーザへ向けてのトラフィックの中には、ユーザが問い合わせたドメイン名がどのＤＮＳサーバに管理されているかという情報が含まれている。このとき、同じＤＮＳサーバに管理されているドメイン名ｄ１、ｄ２、ｄ３…は共起関係にある、と定義することに上記の手法を適用することができる。

本実施例のボット感染者検知システムは、１または複数のコンピュータとプログラムで構成することができる。また、そのプログラムの一部または全部の代わりにハードウェアを用いて構成してもよい。

以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

１１…トラフィック収集部、１２…スコア計算部、１３…ボット感染者検知部１４…シグネチャデータベース（悪性ドメイン名リスト）

Claims

ＤＮＳトラヒックデータを利用したボット感染者検知システムにおけるボット感染者検知方法であって、
前記ボット感染者検知システムはスコア計算部とボット感染者検知部を備え、
前記スコア計算部が、既存のシグネチャデータベースを用いて、前記ＤＮＳトラヒックデータに含まれるユーザから、ボットに感染しているユーザを抽出する第１のステップと、
前記スコア計算部が、第１のステップで抽出したボットに感染しているユーザがＤＮＳサーバへ問い合わせる前記ＤＮＳトラヒックデータに含まれるドメイン名に対し、スコア付けを行う第２のステップと、
前記スコア計算部が、第２のステップで付けたスコアが予め定めた値よりも大きければ、そのドメイン名を新たに悪性ドメイン名と判定し、新たに判定した悪性ドメイン名を追加した新たなシグネチャデータベースを作成する第３のステップと、
前記ボット感染者検知部が、第３のステップによって生成された新たなシグネチャデータベースを用いて、ボットに感染しているユーザを発見する第４のステップと、
を有することを特徴とするボット感染者検知方法。
請求項１に記載のボット感染者検知方法であって、
前記スコア計算部が、前記第２のステップにおいて、
前記ＤＮＳトラフィックデータに含まれるドメイン名に対して、当該ドメイン名と前記既存のシグネチャデータベースに含まれる悪性ドメイン名の両方を問い合わせる共起関係が大きいほどスコアが高くなるように、スコア付けを行うことを特徴とするボット感染者検知方法。
請求項１に記載のボット感染者検知方法であって、
前記スコア計算部が、前記第２のステップにおいて、
前記ＤＮＳトラフィックデータに含まれるドメイン名に対して、ユーザが問い合わせるドメイン名数が大きいほど当該ユーザによるスコアに対する寄与が小さくなるように重み付けして、スコア付けを行うことを特徴とするボット感染者検知方法。
請求項１に記載のボット感染者検知方法であって、
前記スコア計算部が、前記第２のステップにおいて、
前記ＤＮＳトラフィックデータに含まれるドメイン名に対して、当該ドメインのポピュラー度合が大きいほどスコアが小さくなるように重み付けして、スコア付けを行うことを特徴とするボット感染者検知方法。
ＤＮＳトラヒックデータを利用したボット感染者検知システムであって、
スコア計算部とボット感染者検知部を備え、
前記スコア計算部は、
既存のシグネチャデータベースを用いて、前記ＤＮＳトラヒックデータに含まれるユーザから、ボットに感染しているユーザを抽出する第１の手段と、
第１の手段で抽出したボットに感染しているユーザがＤＮＳサーバへ問い合わせる前記ＤＮＳトラヒックデータに含まれるドメイン名に対し、スコア付けを行う第２の手段と、
第２の手段で付けたスコアが予め定めた値よりも大きければ、そのドメイン名を新たに悪性ドメイン名と判定し、新たに判定した悪性ドメイン名を追加した新たなシグネチャデータベースを作成する第３の手段と、
を備え、
前記ボット感染者検知部は、第３の手段によって生成された新たなシグネチャデータベースを用いて、ボットに感染しているユーザを発見する第４の手段を備える
ことを特徴とするボット感染者検知システム。