JP2013519257A - 異常なｄｎｓ名前解決を検出するための複数のソースを発信源とする集計ｄｎｓ情報の使用 - Google Patents

Abstract

ＤＮＳセキュリティシステムは、複数のクライアントコンピュータを発信源とする集計ＤＮＳ情報を集めて使用し、異常なＤＮＳ名前解決を検出する。サーバＤＮＳセキュリティコンポーネントは、複数のクライアントコンピュータからＤＮＳ情報の複数の送信を受け取り、ＤＮＳ情報の各送信は、特定のＤＮＳ名前解決の特定の例に関する。サーバコンポーネントは、複数のクライアントコンピュータからのＤＮＳ情報を集計する。サーバコンポーネントは、特定のクライアントコンピュータから受信された、特定のＤＮＳ名に関するＤＮＳ情報を、複数のクライアントコンピュータから受信された、同じＤＮＳ名に関する集計ＤＮＳ情報と比較し、異常なＤＮＳ名前解決を特定する。受信されたＤＮＳ情報に関する異常が特定される場合には、そこから異常なＤＮＳ情報が受信された特定のクライアントコンピュータに警告を送信することができる。

Description

本開示は、概して、コンピュータセキュリティに関し、より具体的には、異常なＤＮＳ名前解決を検出するための複数のソースを発信源とする集計ＤＮＳ情報の使用に関する。

多くの異なるタイプのドメイン名サービス（「ＤＮＳ」）攻撃は、悪意のあるパーティによって使用され、知らない間にユーザを悪意のあるサーバに移動する。ＤＮＳキャッシュポイズニング、Ｆａｓｔ−ＦｌｕｘおよびＤｏｕｂｌｅ−Ｆｌｕｘ手法、ローカルホストファイルの書き換え、ローカルＷｉｎＳｏｃｋ／ＷｉｎＩｎｅｔプロキシ構成の変更ならびにその他などの攻撃を使用して正規のホスト名を解決する試みを変更し、その結果、悪意のあるサーバに解決をリダイレクトする。

多くの場合、クライアントベースのセキュリティソフトウェアが、クライアントＤＮＳレコードが操作されていることを検出するのは非常に難しい。実際に、多くのＤＮＳ攻撃は、クライアントにとってローカルではなく、したがって、クライアント側単独で実行可能に対処することはできない。他方では、多くのＤＮＳ攻撃は、個別のクライアントにとってローカルであり、したがって、ネットワーク専用セキュリティソリューションによって容易に対処することはできない。これらの問題に対処することが望ましい。

ＤＮＳセキュリティシステムは、複数のコンピュータ（例えば、クライアントコンピュータ、ネットワークコンピューティングデバイス）を発信源とする集計ＤＮＳ情報を集めて使用し、ＤＮＳ攻撃を示し得る異常なＤＮＳ名前解決を検出する。クライアントＤＮＳセキュリティコンポーネントは、複数のクライアントコンピュータの各々のコンピュータ上で実行する。各クライアントＤＮＳセキュリティコンポーネントは、そのクライアントコンピュータ上でＤＮＳ名を解決する試みを特定する。これは、ローカルキャッシュまたはホストファイルを介してなどのＤＮＳ名のローカル解決と、リモートＤＮＳサーバに送信されるＤＮＳクエリとを含むことができる。いずれの場合も、クライアントＤＮＳセキュリティコンポーネントは、例えば、クライアントコンピュータにとってローカルであるＤＮＳ設定、ＤＮＳクエリおよびその結果生じた応答を分析することによって、特定されたＤＮＳ名を解決する試みに関するＤＮＳ情報を収集する。複数のクライアントコンピュータ上で実行するクライアントセキュリティコンポーネントは、それぞれの特定されたＤＮＳ名前解決に関する収集ＤＮＳ情報をリモートコンピュータ（例えば、サーバ）上で実行するサーバＤＮＳセキュリティコンポーネントに送信する。いくつかの実施形態では、１つまたは複数のネットワークＤＮＳセキュリティコンポーネントは、ネットワークレベルで実行し、ネットワークＤＮＳトラフィックをモニタし、それぞれの特定されたＤＮＳ名前解決に関する収集ＤＮＳ情報をサーバＤＮＳセキュリティコンポーネントに送信する。

サーバＤＮＳセキュリティコンポーネントは、複数のクライアントコンピュータからＤＮＳ情報の複数の送信を受け取り、ＤＮＳ情報の各送信は、特定のＤＮＳ名前解決の特定の例に関する情報を含む。サーバＤＮＳセキュリティコンポーネントは、複数のクライアントコンピュータから受け取ったＤＮＳ情報の複数の送信を集計する。集計ＤＮＳ情報は、例えば、データベース内に格納することができる。サーバＤＮＳセキュリティコンポーネントは、特定のクライアントコンピュータから受信された、特定のＤＮＳ名に関するＤＮＳ情報を、複数のクライアントコンピュータから受信された、同じＤＮＳ名に関する集計ＤＮＳ情報と比較する。例えば、ＤＮＳセキュリティコンポーネントは、特定のクライアントコンピュータから受信された、特定のＤＮＳ名の特定の解決に関する情報を、複数のクライアントコンピュータから受信された、同じＤＮＳ名の複数の解決に関する集計ＤＮＳ情報と比較することができる。

解決のＩＰアドレス、解決の方法、ｔｉｍｅ ｔｏ ｌｉｖｅおよびＤＮＳリソースレコードなどの因子を分析することによって、サーバＤＮＳセキュリティコンポーネントは、特定のクライアントコンピュータから受信された、特定のＤＮＳ名に関するＤＮＳ情報が異常かどうか判断することができる。サーバＤＮＳセキュリティコンポーネントがＤＮＳ情報と同じＤＮＳ名に関する集計ＤＮＳ情報によって示されたパターンとの違いなどの受信されたＤＮＳ情報に関する少なくとも１つの異常を特定する場合には、サーバＤＮＳセキュリティコンポーネントは、受信されたＤＮＳ情報は異常であると判断し、異常なＤＮＳ情報が受信された特定のクライアントコンピュータへ警告または他の指示を送信することができる。受信されたＤＮＳ情報は異常であると判断する工程に対応して、サーバＤＮＳセキュリティコンポーネントは、複数のクライアントコンピュータから受信された、同じＤＮＳ名の複数の解決に関する集計ＤＮＳ情報に基づいて、解決を変更することもできる。サーバＤＮＳセキュリティコンポーネントが受信されたＤＮＳ情報は異常でないと判断する場合には、サーバＤＮＳセキュリティコンポーネントは、送信元のクライアントコンピュータへ適切な指示を送信することができる。

本概要および以下の詳細な説明で説明される特徴および利点は包括的ではなく、特に、図面、明細書およびその特許請求の範囲を考慮することで、多くの追加の特徴および利点が当業者には明らかとなろう。その上、本明細書で使用される言語は、読み易さと教授目的のために主に選択され、本発明の対象物を明確にするまたは制限するために選択されてはいないが、特許請求の範囲をそのような本発明の対象物を決定するために必要なものとして用いることができることに留意されたい。

いくつかの実施形態による、ＤＮＳセキュリティシステムを実装することができる例示的なネットワークアーキテクチャのブロック図である。 いくつかの実施形態による、ＤＮＳセキュリティシステムの実装に適切なコンピュータシステムのブロック図である。 いくつかの実施形態による、ＤＮＳセキュリティシステムのオペレーションの高レベルの概観のブロック図である。 いくつかの実施形態による、クライアントＤＮＳセキュリティコンポーネントのオペレーションのブロック図である。 いくつかの実施形態による、サーバＤＮＳセキュリティコンポーネントのオペレーションのブロック図である。 いくつかの実施形態による、ＤＮＳセキュリティシステムのオペレーションのフローチャートである。

図は、例示のみを目的としたさまざまな実施形態を描写する。当業者であれば、以下の論考から、本明細書に示される構造および方法の代替の実施形態を本明細書で説明される原理から逸脱することなく使用できることが容易に認識されよう。

図１は、ＤＮＳセキュリティシステム１０１を実装することができる例示的なネットワークアーキテクチャ１００を示すブロック図である。示されるネットワークアーキテクチャ１００は、複数のクライアント１０３Ａ、１０３Ｂおよび１０３Ｎとともに、複数のサーバ１０５Ａおよび１０５Ｎを含む。図１では、ＤＮＳセキュリティシステム１０１は、サーバ１０５Ａならびにクライアント１０３Ａ、１０３Ｂおよび１０３Ｎに存在するものとして示される。これはほんの一例にすぎず、さまざまな実施形態では、このシステム１０１のさまざまな機能性を、クライアント１０３、サーバ１０５、ネットワークコンピューティングデバイス３１３上でインスタンス化することができるか、または、要望に応じて、複数のクライアント１０３間および／またはサーバ１０５間で分配することができることを理解されたい。

クライアント１０３およびサーバ１０５は、図２で示されるものや以下で説明されるものなどのコンピュータシステム２１０を使用して実装することができる。クライアント１０３およびサーバ１０５は、例えば、図２と併せて以下で説明されるネットワークインターフェース２４８またはモデム２４７を介して、ネットワーク１０７と通信可能に結合される。クライアント１０３は、例えば、ウェブブラウザまたは他のクライアントソフトウェア（図示せず）を使用して、サーバ１０５上の申込者および／またはデータにアクセスすることができる。

図１では一例として３台のクライアントおよび２台のサーバが示されるが、実際には、はるかに多くの（または少ない）クライアント１０３および／またはサーバ１０５を配備することができる。一実施形態では、ネットワーク１０７はインターネットの形態である。他の実施形態では、他のネットワーク１０７またはネットワークーベースの環境を使用することができる。

図２は、ＤＮＳセキュリティシステム１０１の実装に適切なコンピュータシステム２１０のブロック図である。クライアント１０３、サーバ１０５およびネットワークコンピューティングデバイス３１３は、このようなコンピュータシステム２１０の形態で実装することができる。示されるように、コンピュータシステム２１０の１つのコンポーネントはバス２１２である。バス２１２は、コンピュータシステム２１０の他のコンポーネント、例えば、少なくとも１つのプロセッサ２１４、システムメモリ２１７（例えば、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、フラッシュメモリ）、入出力（Ｉ／Ｏ）コントローラ２１８、スピーカーシステム２２０などの外部のオーディオ装置と通信可能に結合されたオーディオ出力インターフェース２２２、ディスプレイスクリーン２２４などの外部のビデオ出力装置と通信可能に結合されたディスプレイアダプタ２２６、シリアルポート２３０、ユニバーサルシリアルバス（ＵＳＢ）レセプタクル２３０、パラレルポート（図示せず）などの１つまたは複数のインターフェース、キーボード２３２と通信可能に結合されたキーボードコントローラ２３３、少なくとも１つのハードディスク２４４（他の形態の磁気媒体）と通信可能に結合されたストレージインターフェース２３４、フロッピー（登録商標）ディスク２３８を受け入れるよう構成されたフロッピーディスクドライブ２３７、ファイバーチャネル（ＦＣ）ネットワーク２９０と接続するよう構成されたホストバスアダプタ（ＨＢＡ）インターフェースカード２３５Ａ、ＳＣＳＩバス２３９と接続するよう構成されたＨＢＡインターフェースカード２３５Ｂ、光ディスク２４２を受け入れるよう構成された光ディスクドライブ２４０、例えばＵＳＢレセプタクル２２８を介してバス２１２と結合されたマウス２４６（または、他のポインティングデバイス）、例えばシリアルポート２３０を介してバス２１２と結合されたモデム２４７、および、例えばバス２１２と直接結合されたネットワークインターフェース２４８を通信可能に結合する。

他のコンポーネント（図示せず）も同様に接続することができる（例えば、文書スキャナ、デジタルカメラ、プリンタなど）。逆に、図２で示されるコンポーネントのすべてが存在する必要はない。コンポーネントは、図２に示されるものとは異なる方法で相互接続することができる。

バス２１２は、プロセッサ２１４とシステムメモリ２１７との間のデータ通信を可能にし、上記で記述されたように、システムメモリ２１７は、ＲＯＭおよび／またはフラッシュメモリならびにＲＡＭを含み得る。ＲＡＭは、通常、オペレーティングシステムおよびアプリケーションプログラムがロードされるメインメモリである。ＲＯＭおよび／またはフラッシュメモリは、その他のコードとして、ある基本ハードウェアオペレーションを制御する基本入出力システム（ＢＩＯＳ）を含むことができる。アプリケーションプログラムは、ローカルコンピュータ可読媒体（例えば、ハードディスク２４４、光ディスク２４２）上に格納し、システムメモリ２１７にロードし、プロセッサ２１４によって実行することができる。また、アプリケーションプログラムは、遠隔地（すなわち、遠隔設置されたコンピュータシステム２１０）から、例えば、ネットワークインターフェース２４８またはモデム２４７を介して、システムメモリ２１７にロードすることもできる。図２では、ＤＮＳセキュリティシステム１０１は、システムメモリ２１７内に存在するものとして示される。ＤＮＳセキュリティシステム１０１の仕組みについては、図３と併せて以下でさらに詳細に説明される。

ストレージインターフェース２３４は、１つまたは複数のハードディスク２４４（および／または、他の標準記憶媒体）と結合される。ハードディスク２４４は、コンピュータシステム２１０の一部であるか、または、物理的に分離され、他のインターフェースシステムを介してアクセスされる場合がある。

ネットワークインターフェース２４８および／またはモデム２４７は、インターネットなどのネットワーク１０７と直接的または間接的に通信可能に結合することができる。そのような結合は、有線または無線であり得る。

図３は、いくつかの実施形態による、ＤＮＳセキュリティシステム１０１の高レベルのオペレーションを示し、ＤＮＳセキュリティシステム１０１は、１台のサーバ１０５のシステムメモリ２１７、３台のクライアント１０３のコンピュータシステム２１０および１台のネットワークコンピューティングデバイス３１３内に存在する。上記で説明されるように、ＤＮＳセキュリティシステム１０１の機能性は、クライアント１０３、サーバ１０５、ネットワークコンピューティングデバイス３１３上に存在するか、または、複数のコンピュータシステム２１０間で分配することができ、これには、ＤＮＳセキュリティシステム１０１の機能性がサービスとしてネットワーク１０７上で提供される、クラウドベースのコンピューティング環境内のものが含まれる。図３では３台のクライアント１０３のみが示されるが、実際には、はるかに多くのクライアント１０３が配備されるであろうことを理解されたい。例えば、いくつかの実施形態では、数千（またはそれ以上）ものクライアント１０３が、クライアント側のＤＮＳセキュリティシステム１０１の機能性を実行する。さらに、単一のサーバ１０５のみが示されているが、要望に応じて、サーバ側のＤＮＳセキュリティシステム１０１の機能性を複数のサーバ１０５間で分配することができる。図３、４および５ではＤＮＳセキュリティシステム１０１は単一の実体として示されるが、示されるＤＮＳセキュリティシステム１０１は機能性の収集体を表し、その収集体は、要望に応じて、単一または複数のコンポーネントおよび／またはモジュールとしてインスタンス化することができることを理解されたい（ＤＮＳセキュリティシステム１０１の特定の複数のコンポーネントおよびモジュールのインスタンス化については、図３、４および５で示される）。ＤＮＳセキュリティシステム１０１のコンポーネントおよびモジュールは、任意のコンピュータシステム２１０のシステムメモリ２１７（例えば、ＲＡＭ、ＲＯＭ、フラッシュメモリ）内でインスタンス化する（例えば、オブジェクトコードまたは実行可能なイメージとして）ことができ、その結果、コンピュータシステム２１０のプロセッサ２１４がコンポーネントまたはモジュールを処理すると、コンピュータシステム２１０は関連する機能性を実行することを理解されたい。本明細書で使用される用語「コンピュータシステム」、「コンピュータ」、「クライアント」、「クライアントコンピュータ」、「サーバ」、「サーバコンピュータ」および「コンピューティングデバイス」は、説明される機能性を実行するよう構成および／またはプログラムされた１台または複数のコンピュータを意味する。さらに、ＤＮＳセキュリティシステム１０１の機能性を実施するプログラムコードは、コンピュータ可読記憶媒体に格納することができる。これに関連して、磁気記憶媒体または光記憶媒体などの任意の形態の有形のコンピュータ可読記憶媒体を使用することができる。本明細書で使用される用語「コンピュータ可読記憶媒体」は、基本的な物理的媒体から分離された電気信号を意味しない。

図３で示されるように、一実施形態では、ＤＮＳセキュリティシステム１０１は、その各々がそのシステムメモリ２１７内でクライアントＤＮＳセキュリティコンポーネント３０１を実行する複数のクライアント１０３と、そのシステムメモリ２１７内でサーバＤＮＳセキュリティコンポーネント３０３を実行する集中型のサーバ１０５とを含む。クライアントＤＮＳセキュリティコンポーネント３０１およびサーバＤＮＳセキュリティコンポーネント３０３の特定のモジュールについては、図４および５と併せて以下で詳細に説明される。複数のクライアント１０３上でクライアントＤＮＳセキュリティコンポーネント３０１と通信を行うことによって、サーバＤＮＳセキュリティコンポーネント３０３は、大規模なユーザコミュニティ（例えば、多くのクライアント１０３）から、さまざまなＤＮＳ名３０５の挙動に関するＤＮＳ情報３０９を経時的に収集することができる。例えば、サーバＤＮＳセキュリティコンポーネント３０３は、どのような方法でＤＮＳ名３０５を解決するか、どのＩＰアドレス３０７にＤＮＳ名３０５を解決するかなどについて学ぶことができる。この方法では、サーバＤＮＳセキュリティコンポーネント３０３は、多くのクライアント１０３上のＤＮＳ活動をモニタし、こうして、以下で詳細に説明されるように、異常なＤＮＳ名３０５の解決パターン、ＤＮＳ名３０５の早すぎる変更および他の不規則な活動を検出し、結果的に、対応するＤＮＳ名３０５の例を異常と判定する。他方では、一貫して同じＩＰアドレス３０７に解決しているもの、変更が遅いものなどとして観察されたＤＮＳ名３０５は、異常でないと判定することができる。

図４と併せて以下でさらに詳細に説明されるように、各クライアント１０３上のクライアントＤＮＳセキュリティコンポーネント３０１は、ローカルのＤＮＳ設定およびネットワーク１０７上でクライアント１０３との間を行き来するＤＮＳトラフィックを検査する。集められたＤＮＳ情報３０９は、サーバＤＮＳセキュリティコンポーネント３０３に提出される。サーバＤＮＳセキュリティコンポーネント３０３は、特定のＤＮＳ名３０５に対する解決パターンを相関させ、分析する。クライアント１０３がＤＮＳ名３０５の解決を試みるときは常に、クライアント１０３は、正規のＤＮＳサーバ（図３では、図示せず）またはローカルで（例えば、キャッシュを通じて）のいずれかによって解決すべき通例のＤＮＳクエリ（図３では、図示せず）を発行することができる。ＤＮＳクエリは、ＤＮＳ名３０５に対応するＩＰアドレス３０７をもたらす。クライアントＤＮＳセキュリティコンポーネント３０１は、ＩＰアドレス３０７および他の対応するＤＮＳ情報３０９をサーバＤＮＳセキュリティコンポーネント３０３に送信することができ、サーバＤＮＳセキュリティコンポーネント３０３は、ＩＰアドレス３０７へのＤＮＳ名３０５の解決が異常かどうか判断することができる。

大多数のクライアント１０３から情報を寄せ集め、したがって、どのように所与のＤＮＳ名３０５がクライアント１０３ベースにわたって解決されてきたかを経時的に示すデータを有することによって、サーバＤＮＳセキュリティコンポーネント３０３は、ＤＮＳ解決パターンにおける異常を特定することができる。例えば、サーバＤＮＳセキュリティコンポーネント３０３がＤＮＳ名「ｄｏｍａｉｎ．ｃｏｍ」における多くの提出に関するＤＮＳ情報３０９を有し、そのすべては、非常に高いｔｉｍｅ ｔｏ ｌｉｖｅおよび同じＩＰアドレス３０７「Ｘ．Ｘ．Ｘ．Ｘ」への一貫した解決を報告すると仮定する。次いで、サーバＤＮＳセキュリティコンポーネント３０３が、クライアントＤＮＳセキュリティコンポーネント３０１から、同じＤＮＳ名３０５が異なるＩＰアドレス３０７「Ｙ．Ｙ．Ｙ．Ｙ」に解決されたことを示すＤＮＳ情報３０９を受信すると、サーバＤＮＳセキュリティコンポーネント３０３は、ＤＮＳ名３０５のこの解決を異常なものとしてフラグを立てることもあり得る。

図３で示されるように、いくつかの実施形態では、クライアントＤＮＳセキュリティコンポーネント３０１が各クライアント１０３上で実装される代わりにまたはそれに加えて、１つまたは複数のＤＮＳセキュリティコンポーネント３１１をネットワーク１０７に配備して、ネットワークレベルでＤＮＳトラフィックをモニタすることができる。ネットワークＤＮＳセキュリティコンポーネント３１１は、例えば、インラインまたはパッシブネットワークコンピューティングデバイス３１３のシステムメモリ２１７内でインスタンス化することができる。クライアントＤＮＳセキュリティコンポーネント３０１と同様の方法で、ネットワークＤＮＳセキュリティコンポーネント３１１は、ネットワーク１０７上でクライアント１０３との間を行き来するＤＮＳトラフィックをモニタする。また、ネットワークＤＮＳセキュリティコンポーネント３１１によって集められたＤＮＳ情報３０９も、相関および分析のためサーバＤＮＳセキュリティコンポーネント３０３に提出される。クライアントＤＮＳセキュリティコンポーネント３０１との関連で上記で説明されるように、クライアント１０３がＤＮＳクエリを発行するときは常に、ＤＮＳクエリは、ＤＮＳ名３０５に対応するＩＰアドレス３０７をもたらす。クライアントＤＮＳセキュリティコンポーネントと同様に、ネットワークＤＮＳトラフィックをモニタするネットワークＤＮＳセキュリティコンポーネント３１１は、ＩＰアドレス３０７および他の対応するＤＮＳ情報３０９をサーバＤＮＳセキュリティコンポーネント３０３に送信することができ、サーバＤＮＳセキュリティコンポーネント３０３は、ＩＰアドレス３０７へのＤＮＳ名３０５の解決が異常かどうか判断することができる。ネットワークＤＮＳセキュリティコンポーネント３１１は、個別のクライアント１０３上でローカルに解決されたものとは対照的に、ネットワーク１０７上で解決されたＤＮＳクエリに関する情報のみを検出するが、ネットワークＤＮＳセキュリティコンポーネント３１１は、クライアントコンピュータ１０３にインストールすることなく、重要なＤＮＳ情報３０９を寄せ集めて提出することができる。

図４を参照すると、クライアント１０３のシステムメモリ２１７内で実行するクライアントＤＮＳセキュリティコンポーネント３０１のオペレーションが示される。クライアントＤＮＳセキュリティコンポーネント３０１のＤＮＳ解決特定モジュール４０１は、クライアント１０３によるＤＮＳ名３０５を解決する試みの発生を特定する。言い換えれば、ＤＮＳ解決特定モジュール４０１は、クライアント１０３から通例のＤＮＳクエリ４０３が発生するときは常にこれを検出する。ＤＮＳ解決特定モジュール４０１は、ＤＮＳ名３０５を解決する試みを特定するための従来の実装機構を使用することができる。例えば、Ｍｉｃｒｏｓｏｆｔ Ｗｉｎｄｏｗｓ（登録商標）の下で操作する場合には、ＤＮＳ解決特定モジュール４０１は、適切なＡＰＩ関数（例えば、ＲｐｃＮｓＢｉｎｄｉｎｇＬｏｏｋｕｐ）をフックすることができる。他のオペレーティングシステムまたはＷｉｎｄｏｗｓ（登録商標）のいくつかのバージョンの下では、この機能性を実行するための特定の実装機構は異なり得るが、当業者の専門技術内である。現在説明される文脈内でのそのような実装機構の適用は、本明細書を考慮すると、当業者には容易に明らかとなろう。

いくつかの例では、ＤＮＳクエリ４０３は、ネットワーク１０７上でＤＮＳ名サーバ４０７への要求を生成することなく、クライアント１０３上でローカルに解決することができる。このため、ＤＮＳ解決特定モジュール４０１がＤＮＳ名３０５を解決する試みが起こっていることを特定すると、ＤＮＳローカル情報収集モジュール４０５は、ＤＮＳクエリをローカルで解決するために使用され得るクライアント１０３上のＤＮＳ設定をチェックする。これは、ローカルＬＭｈｏｓｔファイル４０９エントリ、ローカルホストファイル４１１エントリ、クライアント１０３上のＤＮＳキャッシュ４１４、ローカルＷｉｎＳｏｃｋ ＤＮＳ設定（図示せず）などのＤＮＳ設定およびローカルネットワークスタック実装における他の任意のＤＮＳ設定（図示せず）をチェックすることを含む。ＤＮＳ名３０５がローカルで解決される場合、ＤＮＳローカル情報収集モジュール４０５は、どのような方法でＤＮＳ名３０５が解決されたか、どのＩＰアドレス３０７にＤＮＳ名３０５が解決されたか、ｔｉｍｅ ｔｏ ｌｉｖｅ、および、ＤＮＳクエリ４０３に対する応答４１９における他の任意の情報（例えば、ＤＮＳクエリ４０３に応答して返送される１つまたは複数のリソースレコード）などの対応するＤＮＳ情報３０９を収集する。

場合によっては、ＤＮＳクエリ４０３をローカルで解決することはできないため、解決のためにＤＮＳ名サーバ４０７に送信される。そのような状況下で解決に関するＤＮＳ情報３０９を収集するため、ネットワークトラフィックモニタリングモジュール４１３は、クライアント１０３を発信源とするアウトバウンド送信４１５をモニタし、アウトバウンドＤＮＳクエリ４０３を特定する。一実施形態では、送信モニタリングモジュール４１３は、アウトバウンドＨＴＴＰストリームにおいてＤＮＳクエリ４０３を検出することが可能なハイパーテキスト転送プロトコル（「ＨＴＴＰ」）プロキシ（示されるローカルまたはリモートのいずれか）を含む。別の実施形態では、送信モニタリングモジュール４１３は、ＤＮＳクエリ４０３にアクセスを有するウェブブラウザのプラグインとしてインスタンス化される。他の実施形態では、送信モニタリングモジュール４１３は、より低いレベルで、例えば、ネットワークプロトコルスタックをフックすることによって実装することができる。

従来の実装機構を使用してネットワークトラフィックモニタリングモジュール４１３をインスタンス化することができる。ＨＴＴＰプロキシ、ウェブブラウザのプラグインおよびネットワークプロトコルスタックのフックをインスタンス化する（ローカルおよびリモート）実装機構は、当業者に公知である。現在の文脈内でのその使用は、本明細書を考慮すると、当業者には容易に明らかとなろう。図４では、ネットワークトラフィックモニタリングモジュール４１３は、ローカルのクライアント１０３上で実行するものとして示される。他の実施形態では、ネットワークトラフィックモニタリングモジュール４１３は、リモートで、例えば、プロキシ（図示せず）上で実行する。

いずれの場合も、ＤＮＳ要求４０３がアウトバウンド送信４１５において特定されると、ＤＮＳリモート情報収集モジュール４１７は、アウトバウンドＤＮＳ要求４０３およびＤＮＳ名サーバ４０７からの応答４１９をモニタし、どのような方法でＤＮＳ名３０５が解決されたか、どのＩＰアドレス３０７にＤＮＳ名３０５が解決されたかなどの対応するＤＮＳ情報３０９を収集する。

ＤＮＳローカル情報収集モジュール４０５とＤＮＳリモート情報収集モジュール４１７との間で、ＤＮＳクエリ４０３はローカルで解決されたかもしくはネットワーク１０７上で解決されたか、存在する場合どのＤＮＳ名サーバ４０７にＤＮＳクエリ４０３が送信されたか、どのＩＰアドレス３０７にＤＮＳ名３０５が解決されたか、再帰的ルックアップは実行されたかどうか、ｔｉｍｅ ｔｏ ｌｉｖｅおよびＤＮＳクエリ４０３および／または応答４１９における他の任意の情報など、要望に応じて、それぞれのＤＮＳクエリ４０３および対応する応答４１９に関するＤＮＳ情報３０９が収集される。特定のＤＮＳ名３０５の所与の解決に関するＤＮＳ情報３０９が収集されると、ＤＮＳ情報送信モジュール４２１は、相関および集計のためにサーバＤＮＳセキュリティコンポーネント３０３にＤＮＳ情報３０９を送信する。どの特定のＤＮＳ情報３０９を収集して送信するかは可変設計パラメータであることを理解されたい。

ここで図５を参照すると、サーバＤＮＳセキュリティコンポーネント３０３のＤＮＳ情報受信モジュール５０１は、複数のクライアント１０３によって提出された、異なるＤＮＳ名３０５の複数の解決に関するＤＮＳ情報３０９を受信する。ＤＮＳ情報集計モジュール５０３は、さまざまなクライアント１０３から提出されたＤＮＳ情報３０９を集計する。ＤＮＳ情報集計モジュール５０３は、複数のクライアント１０３から受信された、特定のＤＮＳ名３０５の特定の解決に関するＤＮＳ情報３０９の個別の送信を、異なるクライアント１０３上の異なるＤＮＳ名３０５の多くの解決に関する集計ＤＮＳ情報５１１に経時的に変換する。ＤＮＳ情報格納モジュール５０５は、以下で説明されるように、分析のためにデータベース（または、他の適切な格納メカニズム）５０７に集計ＤＮＳ情報５１１を格納することができる。いくつかの実施形態では、ＤＮＳ情報３０９は、ドメインおよびサブドメインによって整理された木構造に集計され、同木構造として格納され、その結果、同じドメインおよび／またはサブドメインに関するＤＮＳ情報３０９のすべての提出を容易に分析することができる。他の実施形態では、他の集計および格納方法論を使用することができる。どの特定のＤＮＳ情報３０９を集計し格納するかは可変設計パラメータであることを理解されたい。

ＤＮＳ情報比較モジュール５１７は、個別のクライアント１０３から提出された、さまざまなＤＮＳ名３０５上の特定のＤＮＳクエリ４０３に関するＤＮＳ情報３０９を、集計ＤＮＳ情報５１１（例えば、データベース５０７内に格納された）と比較する。特定のＤＮＳ名３０５の現行の解決に関する提出されたＤＮＳ情報３０９を、同じＤＮＳ名３０５の複数の解決に関する集計ＤＮＳ情報５１１と比較した結果、異常解決特定モジュール５０９は、提出されているＤＮＳ情報３０９内の異常を特定することができる。例えば、特定のＤＮＳ名３０５に関する現行の提出物を、同じＤＮＳ名３０５に関する集計ＤＮＳ情報５１１と比較した結果、異常解決特定モジュール５０９は、その特定のＤＮＳ名３０５上の現行のＤＮＳクエリ４０３に関するＤＮＳ情報３０９と、複数のクライアント１０３から一定の期間にわたって集められた同じＤＮＳ名３０５に関する集計ＤＮＳ情報５１１との違いを検出することができる。異常解決特定モジュール５０９は、ＤＮＳ名３０５が解決されたＩＰアドレス３０７、解決の方法（例えば、ネットワーク１０７、ローカルホストファイル４１１、ローカルキャッシュ４１４など）、ｔｉｍｅ ｔｏ ｌｉｖｅ、応答４１９内の他のデータ（例えば、ＤＮＳリソースレコード内の他のフィールド）などの因子を調べることによって、現行のＤＮＳクエリ４０３と、対象のＤＮＳ名３０５に関する集計ＤＮＳ情報５１１との違いを特定することができる。所与のＤＮＳ名３０５に対する集計ＤＮＳ情報５１１は、実際には、どのような方法で解決されたかおよびどのＩＰアドレス３０７に解決されたかなどを経時的に示す、そのＤＮＳ名３０５に関するプロフィールを含む。現在のＤＮＳ情報３０９を集計ＤＮＳ情報５１１と比較する工程に対応して、異常解決特定モジュール５０９は、現在のＤＮＳ情報３０９が異常かどうかを特定することができる。検出された異常は、ＤＮＳポイズニング、ホストファイル４１１の書き換えなどのＤＮＳ攻撃を示し得る。

任意の所与のＤＮＳ名３０５に対して、どの特定の現在のＤＮＳ情報３０９をどの特定の集計ＤＮＳ情報５１１と比較するかは可変設計パラメータであることを理解されたい。さらに、任意の所与のＤＮＳ名３０５に対して、現在のＤＮＳ情報３０９と集計ＤＮＳ情報５１１との間でどれほどのおよびどのタイプの変動が異常な解決を示すものと見なされるかもまた、可変設計パラメータである。例えば、いくつかの実施形態では、特定のＤＮＳ名３０５に対する集計ＤＮＳ情報５１１が、ＤＮＳ名３０５は長いｔｉｍｅ ｔｏ ｌｉｖｅを有する小セットのＩＰアドレス３０７に常に解決されていることを示す場合には、そのセットの外側にあるおよび／または短いｔｉｍｅ ｔｏ ｌｉｖｅを有するＩＰアドレス３０７への現行の解決は、異常と判定することができる。他方では、はるかに大きなセットの短いｔｉｍｅ ｔｏ ｌｉｖｅを有するＩＰアドレス３０７へ歴史的に解決されてきたＤＮＳ名３０５（例えば、Ｈｅｗｌｅｔｔ Ｐａｃｋａｒｄ、ＭｉｃｒｏｓｏｆｔおよびＡｌｋａｍｉなどのコンテンツ配布ネットワーク内のＤＮＳ名３０５）に対して、より広い範囲の解決が異常でないものとして通常見なされるであろうが、このより広い範囲の外側の解決パターンは依然としてフラグが立てられ得る。所与のＤＮＳ名３０５に関する集計ＤＮＳ情報５１１（例えば、「ｗｗｗ．ｄｏｍａｉｎ．ｃｏｍ／ｓｕｂ−ｄｏｍａｉｎ」などの特定のドメインおよびサブドメインの組合せ）がほとんどまたは全く存在しない場合は、ＤＮＳ解決変更モジュール５１５は、ドメイン名３０５の高レベル部分（例えば、ｗｗｗ．ｄｏｍａｉｎ．ｃｏｍ）を隔離し、現在のＤＮＳ情報３０９を、ドメイン名３０５のちょうど隔離された部分に関する集計ＤＮＳ情報５１１と比較することができる。

いくつかの実施形態では、異常解決特定モジュール５０９は、ＤＮＳ名３０５の異常な解決として判定されるものに単にフラグを立て、指示送信モジュール５１９は、現在のＤＮＳ情報３０９を提出したクライアント１０３および／または中央のセキュリティサーバ（図示せず）などの第三者に警告指示５１３を送信する。いくつかの実施形態では、そのような警告指示５１３は、クライアント１０３によって報告されたＤＮＳ名３０５の現行の解決に関するＤＮＳ情報３０９が、そのＤＮＳ名３０５に関する集計ＤＮＳ情報５１１と一致しないという簡単な通知である。他の実施形態では、これらの指示５１３は、要望に応じて、さまざまなレベルの追加の情報（例えば、解決が異常と判定された理由についての説明、スライディングスケール上にあると見なされる解決の異常度の評価、１つまたは複数の提案される救済策など）を有することができる。その反面、異常解決特定モジュール５０９が所与のＤＮＳ名３０５の特定の解決に関するいかなる異常も特定しない場合には、異常解決特定モジュール５０９は、例えば、現在のＤＮＳ情報３０９を提出したクライアント１０３に（および／または第三者に）解決は異常なものとして認められなかったという指示５１３を送信する指示送信モジュール５１９を介して、それも同様にフラグを立てることができる。

いくつかの実施形態では、サーバ１０５上のＤＮＳ解決変更モジュール５１５は、警告５１３の送信に加えてまたは警告５１３の送信の代わりに、試みが行われた解決を変更もしくはブロックするか、または、要望に応じて他の措置を講じることができる。いくつかの実施形態では、ＤＮＳ解決変更モジュール５１５は、サーバ１０５の代わりにまたはサーバ１０５に加えて、１台または複数のクライアント１０３上でインスタンス化することができる。

図６は、いくつかの実施形態による、ＤＮＳセキュリティシステム１０１（図１）のオペレーションを示すフローチャートである。サーバ１０５（図１）のシステムメモリ２１７（図２）内で実行するサーバＤＮＳセキュリティコンポーネント３０３（図３）のＤＮＳ情報受信モジュール５０１（図５）は、複数のクライアントコンピュータ１０３（図１）からＤＮＳ情報３０９（図３）の複数の送信を受信する（６０１）。受け取ったＤＮＳ情報３０９（図３）の各送信は、特定のクライアント１０３（図１）上の特定のＤＮＳ名３０５（図３）の解決の特定の例に関する情報を含む。サーバＤＮＳセキュリティコンポーネント３０３（図３）のＤＮＳ情報集計モジュール５０３（図５）は、複数のクライアントコンピュータ１０３（図１）から受け取ったＤＮＳ情報３０９（図３）の複数の送信を集計する（６０３）。サーバＤＮＳセキュリティコンポーネント３０３（図３）のＤＮＳ情報格納モジュール５０５（図５）は、例えば、データベース５０７（図５）内に、集計ＤＮＳ情報５１１（図５）を格納することができる（６０５）。サーバＤＮＳセキュリティコンポーネント３０３（図３）のＤＮＳ情報比較モジュール５１７（図５）は、特定のクライアントコンピュータ１０３（図１）から受信された、特定のＤＮＳ名３０５（図３）に関するＤＮＳ情報３０９（図３）を、複数のクライアントコンピュータ１０３（図１）から受信された、同じＤＮＳ名３０５（図３）に関する集計ＤＮＳ情報５１１（図５）と比較する（６０７）。サーバＤＮＳセキュリティコンポーネント３０３（図３）の異常解決特定モジュール５０９（図５）は、受信されたＤＮＳ情報３０９（図３）と、同じＤＮＳ名３０５（図３）に関する集計ＤＮＳ情報５１１（図５）によって示されるパターンとの違いなど、受信されたＤＮＳ情報３０９（図３）に関するいかなる異常も特定する（６０９）。

受信されたＤＮＳ情報３０９（図３）に関する少なくとも１つの異常を特定する工程に対応して、サーバＤＮＳセキュリティコンポーネント３０３（図３）の指示送信モジュール５１９（図５）は、そこから異常なＤＮＳ情報３０９（図３）が受信された特定のクライアントコンピュータ１０３（図１）へ警告指示５１３（図３）を送信することができる（６１１）。それに加えてまたはその代わりに、受信されたＤＮＳ情報３０９（図３）は異常であると判断する工程に対応して、サーバＤＮＳセキュリティコンポーネント３０３（図３）のＤＮＳ解決変更モジュール５１５（図５）は、ＤＮＳ名３０５（図３）の解決を変更することができる（６１３）。異常が全く特定されない場合には、指示送信モジュール５１９（図５）は、適切な指示５１３（図５）を送信元のクライアントコンピュータ１０３（図１）へ送信することができる（６１５）。

当業者によって理解されるように、本発明は、精神またはその本質的特性から逸脱することなく、他の特定の形態で実施することができる。同様に、部分、モジュール、エージェント、マネージャ、コンポーネント、機能、手順、動作、層、特徴、属性、方法論、データ構造および他の側面の特有の命名および分配は義務的でも重要でもなく、本発明またはその特徴を実装するメカニズムは、異なる名前、分配および／または形式を有し得る。前述の説明は、解釈を目的として、特定の実施形態を参照して説明されている。しかし、上記の例示的な論考は、包括的であることも、開示されるものと全く同一の形態に限定することも意図しない。上記の教示を考慮して、多くの変更形態および変形形態が可能である。実施形態は、関連原理およびそれらの実用化を最適に解釈するために選択され説明されており、それにより、企図される特定の使用に適し得るさまざまな変更形態を用いてまたはさまざまな変更形態なしに、当業者がさまざまな実施形態を最適に利用することが可能となる。

Claims (15)

1. 複数のコンピュータを発信源とする集計ＤＮＳ情報を使用して異常なＤＮＳ名前解決を検出するためのコンピュータ実装方法であって、
   サーバコンピュータ上で実行するサーバＤＮＳセキュリティコンポーネントによって、複数のコンピュータからＤＮＳ情報の複数の送信を受け取る工程であって、ＤＮＳ情報の各送信は、特定のＤＮＳ名前解決の特定の例に関する情報を含む、工程と、
   前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、前記複数のコンピュータから受け取ったＤＮＳ情報の複数の送信を集計する工程と、
   前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、特定のコンピュータから受信された、特定のＤＮＳ名に関するＤＮＳ情報を、複数のコンピュータから受信された、同じＤＮＳ名に関する集計ＤＮＳ情報と比較する工程と、
   前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報を、複数のコンピュータから受信された、前記同じＤＮＳ名に関する前記集計ＤＮＳ情報と比較する工程に対応して、前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報が異常かどうかを判断する工程と、
   を含むコンピュータ実装方法。
2. 前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、複数のコンピュータから受信された集計ＤＮＳ情報を格納する工程
   をさらに含む、請求項１に記載の方法。
3. 前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、特定のコンピュータから受信された、特定のＤＮＳ名に関するＤＮＳ情報を、複数のコンピュータから受信された、同じＤＮＳ名に関する集計ＤＮＳ情報と比較する工程は、
   前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、特定のコンピュータから受信された、特定のＤＮＳ名の特定の解決に関するＤＮＳ情報を、複数のコンピュータから受信された、同じＤＮＳ名の複数の解決に関する集計ＤＮＳ情報と比較する工程
   をさらに含む、請求項１に記載の方法。
4. 複数のコンピュータから受信された、同じＤＮＳ名の複数の解決に関する集計ＤＮＳ情報への特定のコンピュータから受信された、特定のＤＮＳ名の特定の解決に関するＤＮＳ情報において、前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、解決のＩＰアドレス、解決の方法、ｔｉｍｅ ｔｏ ｌｉｖｅおよびＤＮＳリソースレコードからなる因子の群から少なくとも１つの因子を分析する工程
   をさらに含む、請求項３に記載の方法。
5. 複数のコンピュータから受信された、特定のＤＮＳ名の複数の解決に関する集計ＤＮＳ情報の不足に応じて、前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、前記特定のＤＮＳ名の高レベル部分を隔離する工程と、
   前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、特定のコンピュータから受信された、特定のＤＮＳ名に関するＤＮＳ情報を、複数のコンピュータから受信された、前記特定のＤＮＳ名の前記隔離された高レベル部分に関する集計ＤＮＳ情報と比較する工程と、
   をさらに含む、請求項１に記載の方法。
6. 前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報を、複数のコンピュータから受信された、前記同じＤＮＳ名に関する前記集計ＤＮＳ情報と比較する工程に対応して、前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報が異常かどうかを判断する工程は、
   前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報に関する少なくとも１つの異常を特定する工程と、
   前記特定する工程に対応して、前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報は異常であると判断する工程と、
   をさらに含む、請求項１に記載の方法。
7. 前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報に関する少なくとも１つの異常を特定する工程は、
   前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報と、複数のコンピュータから受信された、前記同じＤＮＳ名に関する前記集計ＤＮＳ情報によって示されるパターンとの少なくとも１つの違いを特定する工程
   をさらに含む、請求項６に記載の方法。
8. 前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報が異常かどうかを判断する工程に対応して、前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、対応する指示を少なくとも１つの送信先に送信する工程
   をさらに含む、請求項１に記載の方法。
9. 前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報は異常であると判断する工程と、
   前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報は異常であると判断する工程に対応して、前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、そこから前記異常なＤＮＳ情報が受信された前記特定のコンピュータへ警告を送信する工程と、
   をさらに含む、請求項８に記載の方法。
10. 前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報は異常でないと判断する工程と、
    前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報は異常でないと判断する工程に対応して、前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、そこから前記異常でないＤＮＳ情報が受信された前記コンピュータへ前記ＤＮＳ情報が異常でないという指示を送信する工程と、
    をさらに含む、請求項８に記載の方法。
11. 前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報は異常であると判断する工程と、
    前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報は異常であると判断する工程に対応して、前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントによって、複数のコンピュータから受信された、前記同じＤＮＳ名の複数の解決に関する前記集計ＤＮＳ情報に基づいて、前記特定のクライアントから受信された前記ＤＮＳ情報に関する前記特定のＤＮＳ名の前記特定の解決を変更する工程と、
    をさらに含む、請求項３に記載の方法。
12. クライアントコンピュータ上で実行するＤＮＳセキュリティコンポーネントによって、少なくとも１台の特定のコンピュータによってＤＮＳ名を解決する試みを特定する工程と、
    前記クライアントコンピュータ上で実行する前記ＤＮＳセキュリティコンポーネントによって、特定された試みに関するＤＮＳ情報を収集し、前記少なくとも１台の特定のコンピュータによってＤＮＳ名を解決する工程と、
    前記クライアントコンピュータ上で実行する前記ＤＮＳセキュリティコンポーネントによって、前記少なくとも１台の特定のコンピュータによって特定されたＤＮＳ名のそれぞれの解決に関する収集されたＤＮＳ情報を、前記サーバコンピュータ上で実行する前記サーバＤＮＳセキュリティコンポーネントへ送信する工程と、
    をさらに含む、請求項１に記載の方法。
13. 前記クライアントコンピュータ上で実行する前記ＤＮＳセキュリティコンポーネントによって、特定された試みに関するＤＮＳ情報を収集し、前記少なくとも１台の特定のコンピュータによってＤＮＳ名を解決する工程は、
    前記クライアントコンピュータ上で実行する前記ＤＮＳセキュリティコンポーネントによって、前記クライアントコンピュータにとってローカルであるＤＮＳ設定をチェックする工程と、
    前記クライアントコンピュータ上で実行する前記ＤＮＳセキュリティコンポーネントによって、少なくとも１つのＤＮＳ名の少なくとも１つのローカル解決に関するＤＮＳ情報を収集する工程と、
    をさらに含む、請求項１２に記載の方法。
14. 複数のコンピュータを発信源とする集計ＤＮＳ情報を使用して異常なＤＮＳ名前解決を検出するよう構成されるコンピュータプログラム製品を格納する少なくとも１つのコンピュータ可読記憶媒体であって、前記コンピュータプログラム製品は、
    複数のコンピュータからＤＮＳ情報の複数の送信を受け取るためのプログラムコードであって、ＤＮＳ情報の各送信は、特定のＤＮＳ名前解決の特定の例に関する情報を含む、プログラムコードと、
    前記複数のコンピュータから受け取ったＤＮＳ情報の複数の送信を集計するためのプログラムコードと、
    特定のコンピュータから受信された、特定のＤＮＳ名に関するＤＮＳ情報を、複数のコンピュータから受信された、同じＤＮＳ名に関する集計ＤＮＳ情報と比較するためのプログラムコードと、
    前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報を、複数のコンピュータから受信された、前記同じＤＮＳ名に関する前記集計ＤＮＳ情報と比較する工程に対応して、前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報が異常かどうかを判断するためのプログラムコードと、
    を含むコンピュータ可読記憶媒体。
15. 複数のコンピュータを発信源とする集計ＤＮＳ情報を使用して異常なＤＮＳ名前解決を検出するよう構成された少なくとも１台のコンピュータシステムであって、
    複数のコンピュータからＤＮＳ情報の複数の送信を受け取る手段であって、ＤＮＳ情報の各送信は、特定のＤＮＳ名前解決の特定の例に関する情報を含む、手段と、
    前記複数のコンピュータから受け取ったＤＮＳ情報の複数の送信を集計する手段と、
    特定のコンピュータから受信された、特定のＤＮＳ名に関するＤＮＳ情報を、複数のコンピュータから受信された、同じＤＮＳ名に関する集計ＤＮＳ情報と比較する手段と、
    前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報を、複数のコンピュータから受信された、前記同じＤＮＳ名に関する前記集計ＤＮＳ情報と比較する工程に対応して、前記特定のコンピュータから受信された、前記特定のＤＮＳ名に関する前記ＤＮＳ情報が異常かどうかを判断する手段と、
    を備えたコンピュータシステム。