JP2019125037A - 攻撃種別判定装置、攻撃種別判定方法、及びプログラム - Google Patents

Abstract

【課題】サイバー攻撃の種別を判定する。【解決手段】端末に特定の通信先への通信を行わせる攻撃の種別を判定する攻撃種別判定装置において、判定対象の攻撃による通信先を示す通信先情報を入力する入力手段と、前記通信先情報を指定した名前解決要求の有無、又は当該名前解決要求の送信元に基づいて、前記攻撃の種別を判定する判定手段と、前記判定手段による判定結果を出力する出力手段とを備える。【選択図】図２

Description

本発明は、サイバー攻撃の種別を判定する技術に関連するものである。

サイバー攻撃の一種として、メールの添付ファイル等により端末をマルウェアに感染させる攻撃がある。当該攻撃後に、攻撃者からの指令を中継するＣ＆Ｃ（Command and Control）サーバにマルウェアに感染した端末が接続することで、更なる感染拡大や情報漏えいが発生する。このような感染拡大や情報漏えいを防止するために、Ｃ＆Ｃサーバのドメイン名を予め用意しておき、ＩＳＰ等のＤＮＳサーバで、マルウェアに感染した端末からの名前解決をさせない等の対策が行われている。

また、マルウェアに対し、企業等においてはアンチウィルスソフトやＵＴＭ（Unified Threat Management）等の様々な対策がＣＳＩＲＴ（Computer Security Incident Response Team）のもとで行われている。例えば、不審なメールが届いたといった報告を受けて、その添付ファイルはアンチウィルスソフトでは検知できない場合、サンドボックスによる動的解析や、静的解析を行って、添付ファイルはマルウェアかどうか、感染した場合にどのような動作をするか、どのように感染後の通信を検知・ブロックするか等を特定し、対処を行う。

特開2009-181335号公報

マルウェアに感染させるための攻撃（例：前述のメール添付ファイル等）は膨大な数になるが、潤沢なリソースがあるとは限らないＣＳＩＲＴにおいては、詳細を解析したり措置を講じたりする対象の優先順位付けが求められる。

特に、受けている攻撃が特定の組織に対する「標的型」の攻撃なのか、特定の組織に限らない「ばら撒き型」の攻撃なのかを判定できると、よりリスクが高いと考えられる標的型攻撃への対策を優先的に行うことができる。しかしながら、従来技術では、そのような攻撃の種別を判定することは困難であった。

本発明は上記の点に鑑みてなされたものであり、サイバー攻撃の種別を判定することを可能とする技術を提供することを目的とする。

開示の技術によれば、端末に特定の通信先への通信を行わせる攻撃の種別を判定する攻撃種別判定装置であって、
判定対象の攻撃による通信先を示す通信先情報を入力する入力手段と、
前記通信先情報を指定した名前解決要求の有無、又は当該名前解決要求の送信元に基づいて、前記攻撃の種別を判定する判定手段と、
前記判定手段による判定結果を出力する出力手段と
を備えることを特徴とする攻撃種別判定装置が提供される。

開示の技術によれば、サイバー攻撃の種別を判定することを可能とする技術が提供される。

本発明の実施の形態におけるシステムの全体構成図である。 攻撃種別判定装置１００の機能構成図である。 判定要求装置３００の機能構成図である。 ドメイン情報格納部３０７に格納されるテーブルの例を示す図である。 ハードウェア構成の例を示す図である。 動作例を説明するためのシーケンス図である。 攻撃種別判定処理を説明するためのフローチャートである。

以下、図面を参照して本発明の実施の形態（本実施の形態）を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。

本実施の形態では、サイバー攻撃として、端末等に、Ｃ＆Ｃサーバ等の特定の通信先への通信を行わせる攻撃を対象としている。後述する攻撃種別判定装置１００が当該攻撃の種別を判定する。本実施の形態では、当該通信先を示す通信先情報としてドメイン名を使用しているが、これは例であり、通信先情報として、ドメイン名以外の情報（例：ＩＰアドレス）を使用してもよい。

（システムの全体構成）
図１に、本実施の形態におけるシステムの全体構成例を示す。図１に示すシステムは、ＤＮＳサーバ運用事業者のネットワーク２０に備えられるＤＮＳサーバ２００及び攻撃種別判定装置１００を有する。ＤＮＳサーバ運用事業者は、例えばＩＳＰ（インターネットサービスプロバイダ）であるがこれに限定されるわけではない。また、攻撃種別判定装置１００がネットワーク２０に備えられることは一例であり、攻撃種別判定装置１００が、ネットワーク２０以外のネットワークに備えられることとしてもよい。

また、ＤＮＳサーバ２００と攻撃種別判定装置１００とを別々に備えることに代えて、攻撃種別判定装置１００がＤＮＳサーバ２００の機能を含むように構成してもよい。

ＤＮＳサーバ２００は、ドメイン名を指定した名前解決要求を受信し、当該ドメイン名に対応するＩＰアドレスを要求元に返す。ＤＮＳサーバ２００は、様々な組織のネットワークから名前解決要求（ドメイン名）を受信する。

ここでの「組織」は、例えば、特定の企業である。また、「組織」が、特定の業種の企業全体であってもよい。また、「組織」がこれら以外であってもよい。

図１の例では、複数の組織のネットワークの例として、企業Ａのネットワーク１０Ａ、企業Ｂのネットワーク１０Ｂ、企業Ｃのネットワーク１０Ｃが示されている。ネットワーク１０Ａ、１０Ｂ、１０Ｃはそれぞれネットワーク２０に接続されている。

例えば、ネットワーク１０Ａにおける端末があるドメイン名に対する名前解決を行う際に、当該端末は、ＤＮＳサーバ２００に名前解決要求を送信し、ＤＮＳサーバ２００から当該ドメイン名に対応するＩＰアドレスを受信する。このとき、ＤＮＳサーバ２００は、名前解決要求に係るドメイン名、名前解決要求の送信元のＩＰアドレス、及び名前解決要求を受信した時刻を含むログを記録する。ここで、送信元のＩＰアドレスから、当該送信元は、企業Ａであることを把握可能である。

攻撃種別判定装置１００は、ＤＮＳサーバ２００に対する名前解決要求の送信元等に基づいて、あるドメイン名のドメインへの通信を行わせる攻撃の種別（本実施の形態では、「標的型」又は「ばら撒き型」）を判定する機能を備える装置である。

例えば、攻撃種別判定装置１００は、判定対象のドメイン名を指定する名前解決要求が無い場合、当該ドメイン名に係る攻撃を「標的型」と判定する。当該ドメイン名を指定する名前解決要求が無いということは、当該判定対象のドメイン名を攻撃種別判定装置１００に通知した組織にのみ、当該攻撃が行われたと推定できるからである。また、例えば、攻撃種別判定装置１００は、判定対象のドメイン名を指定する名前解決要求の送信元が１つの組織である場合にも、当該ドメイン名に係る攻撃を「標的型」と判定する。当該ドメイン名を指定する名前解決要求の送信元が１つの組織であるということは、当該ドメイン名に係る攻撃が当該組織にのみなされていると推定できるからである。なお、当該ドメイン名を指定する名前解決要求の送信元が１つの組織であるとは、例えば、複数の「当該ドメイン名を指定する名前解決要求」があった場合において、それぞれの送信元のＩＰアドレスが当該１つの組織が持つＩＰアドレスであるような場合である。

判定要求装置３００は、攻撃種別判定装置１００に対して判定対象のドメイン名を判定要求として送信する装置である。判定要求装置３００は、ある企業のネットワークに属する装置（例：企業Ａにおける端末）であってもよいし、ネットワーク２０に属する装置であってもよいし、これら以外のネットワークに属する装置であってもよい。

（装置構成例）
＜攻撃種別判定装置１００＞
図２に、攻撃種別判定装置１００の機能構成例を示す。図２に示すように、攻撃種別判定装置１００は、判定要求受信部１０１、判定部１０２、判定結果送信部１０３、名前解決ログ格納部１０４、アドレス情報格納部１０５を含む。

判定要求受信部１０１は、例えば判定要求装置３００から、判定対象のドメイン名を指定した判定要求を受信する。判定部１０２は、名前解決ログ格納部１０４に格納されている情報、及びアドレス情報格納部１０５に格納されている情報に基づいて、判定対象のドメイン名が、標的型攻撃に係るドメイン名か、あるいは、ばら撒き型攻撃に係るドメイン名かを判定する。判定結果送信部１０３は、判定結果を例えば判定要求元に返す。なお、判定結果送信部１０３は、判定結果を判定要求元に返すことの他、例えば、Ｗｅｂにより、ドメイン名と、当該ドメイン名に係る攻撃が標的型か、ばら撒き型かを公開することとしてもよい。いずれにおいても、判定結果送信部１０３は、判定結果を出力する出力手段に相当する。

名前解決ログ格納部１０４は、名前解決ログを格納する。当該名前解決ログは、ＤＮＳサーバ２００から取得したものである。攻撃種別判定装置１００がＤＮＳサーバでもある場合には、名前解決ログは、攻撃種別判定装置１００自身の名前解決処理により得られたログである。前述したように、名前解決ログは、名前解決要求に係るドメイン名、名前解決要求の送信元のＩＰアドレス、及び名前解決要求を受信した時刻（例：年／月／日／時／分／秒）を含む。

アドレス情報格納部１０５は、ＩＰアドレスと、それに対応するドメイン名からなるアドレス情報を格納する。当該アドレス情報は、ＤＮＳサーバ２００から取得したものであってもよいし、個別に設定したものであってもよい。また、攻撃種別判定装置１００がＤＮＳサーバでもある場合には、当該アドレス情報が、攻撃種別判定装置１００（ＤＮＳサーバ）自身が名前解決処理に使用する情報であってもよい。

また、アドレス情報格納部１０５に格納されるアドレス情報がＩＰアドレスと、それに対応するドメイン名からなる情報であることは一例である。当該アドレス情報は、名前解決要求の送信元の組織を判別可能な情報であればどのような情報であってもよい。

＜判定要求装置３００＞
図３に、判定要求装置３００の機能構成例を示す。本実施の形態における判定要求装置３００は、一例として、メール本文に記述されたＵＲＬが悪性かどうか、メールに添付された添付ファイルが悪性かどうかを判定し、悪性と判定した場合に、当該ＵＲＬ／添付ファイルに基づく通信先（ドメイン名）を抽出する機能を備える。

より詳細には、図３に示すように、判定要求装置３００は、本文ＵＲＬ抽出部３０１、添付ファイル抽出部３０２、悪性判定部３０３、通信先ドメイン抽出部３０４、判定対象ドメイン送信部３０５、判定結果受信部３０６、及びドメイン情報格納部３０７を含む。

本文ＵＲＬ抽出部３０１は、メールサーバ等から受信するメールにおける本文に記述されやＵＲＬを抽出する。添付ファイル抽出部３０２は、メールに添付された添付ファイルを抽出する。

悪性判定部３０３は、本文ＵＲＬ抽出部３０１により抽出されたＵＲＬや、添付ファイル抽出部３０２により抽出された添付ファイルが悪性かどうかを判定する。悪性かどうかを判定すること自体は既存技術であり、動的解析による判定手法、静的解析による判定手法等がある。一例として、Ｃ＆Ｃサーバのドメインであると推定できる通信先ドメインへの接続動作を行わせるようなＵＲＬや添付ファイルは悪性であると判断される。

通信先ドメイン抽出部３０４は、悪性判定部３０３により悪性と判定されたＵＲＬあるいは添付ファイルにより実行される接続動作（例：Ｃ＆Ｃサーバへの接続動作）における通信先（ここではドメイン名）を抽出し、当該ドメイン名をドメイン情報格納部３０７に格納する。

判定対象ドメイン送信部３０５は、ドメイン情報格納部３０７に格納された未判定のドメイン名を、攻撃種別の判定対象のドメイン名として攻撃種別判定装置１００に送信する。判定結果受信部３０６は、攻撃種別判定装置１００から判定結果を受信し、判定結果の情報をドメイン情報格納部３０７に格納する。

図４は、ドメイン情報格納部３０７に格納されるテーブルの一例を示す図である。図４に示す例において、当該テーブルは、ＩＤ、ドメイン名、被攻撃日時、攻撃ＩＤ、情報源、判定要求送信日時、判定結果受信日時、判定結果を有する。"ＩＤ"は、テーブルのエントリのＩＤである。"ドメイン名"は、判定対象の攻撃に係るドメイン名である。"被攻撃日時"は、当該ドメイン名のドメインへの通信を行わせる攻撃（例：悪性ＵＲＬを記述したメールを受信、悪性添付ファイルを添付したメールを受信、等）を受けた日時である。"攻撃ＩＤ"は、攻撃を識別するＩＤである。

"情報源"は、判定対象のドメイン名を抽出した元の情報である。"判定要求送信日時"は、判定要求を送信した日時である。"判定結果受信日時"は、判定結果を受信した日時である。"判定結果"は、標的型かばら撒き型かを示す。

なお、判定要求装置３００が判定対象のドメイン名を抽出し、それを攻撃種別判定装置１００に送信することは一例に過ぎない。

例えば、あるユーザが、何等かの理由で疑わしいと考えるドメイン名を自分の端末から攻撃種別判定装置１００に送信し、攻撃種別判定装置１００から判定結果を受信することとしてもよい。また、攻撃種別判定装置１００が、当該端末に、判定対象のドメイン名を入力するためのＷｅｂページを提供し、ユーザが当該端末に表示されるＷｅｂページ上に判定対象ドメイン名を入力することで、当該判定対象ドメイン名を攻撃種別判定装置１００に送信することとしてもよい。

（ハードウェア構成例）
攻撃種別判定装置１００と判定要求装置３００はいずれも、例えば、コンピュータに、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現可能である。すなわち、当該装置が有する機能は、コンピュータに内蔵されるＣＰＵやメモリ、ハードディスクなどのハードウェア資源を用いて、当該装置で実施される処理に対応するプログラムを実行することによって実現することが可能である。上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メールなど、ネットワークを通して提供することも可能である。

図５は、当該装置をコンピュータで実現する場合におけるハードウェア構成例を示す図である。図５に示す装置は、それぞれバスＢで相互に接続されているドライブ装置１５０、補助記憶装置１５２、メモリ装置１５３、ＣＰＵ１５４、インタフェース装置１５５、表示装置１５６、及び入力装置１５７等を有する。

当該装置での処理を実現するプログラムは、例えば、ＣＤ−ＲＯＭ又はメモリカード等の記録媒体１５１によって提供される。プログラムを記憶した記録媒体１５１がドライブ装置１５０にセットされると、プログラムが記録媒体１５１からドライブ装置１５０を介して補助記憶装置１５２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１５１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１５２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１５３は、プログラムの起動指示があった場合に、補助記憶装置１５２からプログラムを読み出して格納する。ＣＰＵ１５４（プロセッサ）は、メモリ装置１５３に格納されたプログラムに従って当該装置に係る機能を実現する。インタフェース装置１５５は、ネットワークに接続するためのインタフェースとして用いられる。表示装置１５６はプログラムによるＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を表示する。入力装置１５７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。

なお、当該装置を遠隔から操作したり、遠隔で表示を行う場合には、表示装置１５６及び入力装置１５７を備えないこととしてもよい。

（動作例）
次に、図６のシーケンス図を参照して本実施の形態に係るシステムの動作例を説明する。

Ｓ１０１において、判定要求装置３００は、前述したように、例えば、メール本文に記述されたＵＲＬ、あるいは、メールに添付された添付ファイルを解析することで、判定対象の攻撃に係るドメイン名（便宜上、「判定対象のドメイン名」と呼んでもよい）を抽出する。Ｓ１０２において、判定要求装置３００の判定対象ドメイン送信部３０５は、判定対象のドメイン名を攻撃種別判定装置１００に送信する。

Ｓ１０３において、攻撃種別判定装置１００が判定対象のドメイン名に基づいて、当該ドメイン名に係る攻撃の種別（標的型、又は、ばら撒き型）を判定する。Ｓ１０４において、攻撃種別判定装置１００の判定結果送信部１０３は、Ｓ１０３における判定結果を判定要求装置３００に送信する。Ｓ１０５において、判定要求装置３００は、判定結果をドメイン情報格納部３０７に格納（登録）する。

上記のＳ１０３における攻撃種別判定処理を図７のフローチャートを参照して説明する。

攻撃種別判定装置１００の判定要求受信部１０１が、判定対象のドメイン名を受信すると、判定部１０２は、判定要求受信部１０１から当該判定対象のドメイン名を取得する（Ｓ２０１）。

判定部１０２は、Ｓ２０１において取得したドメイン名を指定した名前解決要求があるか否かを、ドメイン名を基に名前解決ログ格納部１０４を検索することにより判定する（Ｓ２０２）。この判定は、名前解決ログ全体に対する検索により行ってもよいし、最新のログから所定時間過去までのログの範囲の検索により行うこととしてもよい。

Ｓ２０２における判定結果がＮｏの場合（当該ドメイン名を指定した名前解決要求がない場合）、Ｓ２０４に進み、判定部１０２は、当該ドメイン名に係る攻撃を標的型であると判定する。

Ｓ２０２における判定結果がＹｅｓの場合（当該ドメイン名を指定した名前解決要求がある場合）、Ｓ２０３に進む。Ｓ２０３において、判定部１０２は、判定対象ドメイン名の名前解決要求の送信元が所定の条件を満たすかどうかを判定する。なお、判定対象ドメイン名の名前解決要求は、１つ又は複数存在する。

「所定の条件」は、例えば、"判定対象ドメイン名の名前解決要求の送信元が１つの組織である"ことである。

例えば、判定部１０２は、判定対象ドメイン名の名前解決要求の送信元のＩＰアドレス（１つ又は複数）を名前解決ログ格納部１０４から取得し、それぞれのＩＰアドレスに基づいて、アドレス情報格納部１０５を検索することで、ＩＰアドレスに対応付けられた組織（例：企業）を示す情報（例：ドメイン名）を抽出することにより、判定対象ドメイン名の名前解決要求の送信元が１つの組織であるかどうかを判断する。

"判定対象ドメイン名の名前解決要求の送信元が１つの組織である"という条件を「所定の条件」として使用した場合において、Ｓ２０３の判定がＹｅｓの場合（所定の条件を満たす場合）、Ｓ２０４において、判定部１０２は、攻撃が当該１つの組織（例：企業Ａ）への標的型の攻撃であると判断する。

Ｓ２０３の判定がＮｏの場合（つまり、複数の組織から名前解決要求があった場合）、攻撃はばら撒き型であると判定する（Ｓ２０５）。

「所定の条件」は、"判定対象ドメイン名の名前解決要求の送信元が１つの業種である"ことであってもよい。

この場合、例えば、判定部１０２は、判定対象ドメイン名の名前解決要求の送信元のＩＰアドレス（１つ又は複数）を名前解決ログ格納部１０４から取得し、それぞれのＩＰアドレスに基づいて、アドレス情報格納部１０５を検索することで、ＩＰアドレスに対応付けられた組織（例：企業）を示す情報（例：ドメイン名）を抽出し、当該組織（１つ又は複数）を示す情報が、１つの業種に該当するか否かを判定する。この場合、例えば、アドレス情報格納部１０５には、前述したアドレス情報とともに、組織名と業種とを対応付けた情報（例：企業Ｘ、企業Ｙ、企業Ｚの業種は「通信事業者」）が格納されており、これにより、判定部１０２は、送信元の組織に対応する業種を判断できる。

"判定対象ドメイン名の名前解決要求の送信元が１つの業種である"という条件を「所定の条件」として使用した場合において、Ｓ２０３の判定がＹｅｓの場合（所定の条件を満たす場合）、Ｓ２０４において、判定部１０２は、攻撃が当該１つの業種（例：通信事業者）への標的型の攻撃であると判断する。なお、「組織」を広く解釈して、その意味として"業種"を含むと解釈してもよい。

上述した「所定の条件」は、いずれも一例であり、「所定の条件」は特定の条件に限定されない。

なお、攻撃種別判定装置１００が、ＤＮＳサーバとしても機能する場合において、攻撃種別判定装置１００は、上述した動作と同じ動作を行ってもよいし、監視動作を行ってもよい。監視動作を行う場合においては、図７のＳ２０１の後、Ｓ２０２の前において、判定部１０２は、予め定めた時間だけ、判定対象のドメイン名を指定した名前解決要求を監視し、判定対象のドメイン名を指定した名前解決要求を受けた場合には、当該名前解決要求の送信元のＩＰアドレスをメモリ等の記憶手段に記憶する。なお、この記憶手段に記憶された情報は、名前解決要求のログの一例である。

判定対象のドメイン名を指定した名前解決要求を受けない場合には、当該記憶手段には何も記憶されない。その後、Ｓ２０２以降の処理を行う。Ｓ２０２以降の処理においては、当該記憶手段に格納された送信元の情報を利用する。

また、攻撃種別判定装置１００が、ＤＮＳサーバとしても機能する場合において、判定対象のドメイン名をブラックリストの要素として用い、当該ドメイン名を指定した名前解決要求に対して、名前解決処理を行わないこととしてもよい。

本実施の形態で説明した技術により、攻撃が標的型攻撃かどうかを判定することができるため、その対応優先度を上げることができる。

（実施の形態のまとめ）
以上、説明したように、本実施の形態によれば、端末に特定の通信先への通信を行わせる攻撃の種別を判定する攻撃種別判定装置であって、判定対象の攻撃による通信先を示す通信先情報を入力する入力手段と、前記通信先情報を指定した名前解決要求の有無、又は当該名前解決要求の送信元に基づいて、前記攻撃の種別を判定する判定手段と、前記判定手段による判定結果を出力する出力手段とを備えることを特徴とする攻撃種別判定装置が提供される。

判定要求受信部１０１、判定部１０２、判定結果送信部１０３はそれぞれ、入力手段、判定手段、出力手段の例である。

前記判定手段は、前記名前解決要求が無い場合に、前記攻撃の種別を標的型であると判定することとしてもよい。前記判定手段は、前記名前解決要求の送信元が１つの組織である場合に、前記攻撃の種別を標的型であると判定することとしてもよい。

前記判定手段は、前記名前解決要求が有り、当該名前解決要求の送信元が複数の組織である場合に、前記攻撃の種別をばら撒き型であると判定することとしてもよい。

前記判定手段は、複数の組織から利用されるＤＮＳサーバが受信する名前解決要求のログに基づいて、前記攻撃の種別の判定を行うこととしてもよい。

以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

１０Ａ〜１０Ｂ 企業のネットワーク
２０ ＤＮＳサーバ運用事業者のネットワーク
１００ 攻撃種別判定装置
１０１ 判定要求受信部
１０２ 判定部
１０３ 判定結果送信部
１０４ 名前解決ログ格納部
１０５ アドレス情報格納部
２００ ＤＮＳサーバ
３００ 判定要求装置
３０１ 本文ＵＲＬ抽出部
３０２ 添付ファイル抽出部
３０３ 悪性判定部
３０４ 通信先ドメイン抽出部
３０５ 判定対象ドメイン送信部
３０６ 判定結果受信部
３０７ ドメイン情報格納部
１５０ ドライブ装置
１５１ 記録媒体
１５２ 補助記憶装置
１５３ メモリ装置
１５４ ＣＰＵ
１５５ インタフェース装置
１５６ 表示装置
１５７ 入力装置

Claims (7)

1. 端末に特定の通信先への通信を行わせる攻撃の種別を判定する攻撃種別判定装置であって、
   判定対象の攻撃による通信先を示す通信先情報を入力する入力手段と、
   前記通信先情報を指定した名前解決要求の有無、又は当該名前解決要求の送信元に基づいて、前記攻撃の種別を判定する判定手段と、
   前記判定手段による判定結果を出力する出力手段と
   を備えることを特徴とする攻撃種別判定装置。
2. 前記判定手段は、前記名前解決要求が無い場合に、前記攻撃の種別を標的型であると判定する
   ことを特徴とする請求項１に記載の攻撃種別判定装置。
3. 前記判定手段は、前記名前解決要求の送信元が１つの組織である場合に、前記攻撃の種別を標的型であると判定する
   ことを特徴とする請求項１又は２に記載の攻撃種別判定装置。
4. 前記判定手段は、前記名前解決要求が有り、当該名前解決要求の送信元が複数の組織である場合に、前記攻撃の種別をばら撒き型であると判定する
   ことを特徴とする請求項１ないし３のうちいずれか１項に記載の攻撃種別判定装置。
5. 前記判定手段は、複数の組織から利用されるＤＮＳサーバが受信する名前解決要求のログに基づいて、前記攻撃の種別の判定を行う
   ことを特徴とする請求項１ないし４のうちいずれか１項に記載の攻撃種別判定装置。
6. 端末に特定の通信先への通信を行わせる攻撃の種別を判定する攻撃種別判定装置が実行する攻撃種別判定方法であって、
   判定対象の攻撃による通信先を示す通信先情報を入力する入力ステップと、
   前記通信先情報を指定した名前解決要求の有無、又は当該名前解決要求の送信元に基づいて、前記攻撃の種別を判定する判定ステップと、
   前記判定ステップによる判定結果を出力する出力ステップと
   を備えることを特徴とする攻撃種別判定方法。
7. コンピュータを、請求項１ないし５のうちいずれか１項に記載の攻撃種別判定装置における各手段として機能させるためのプログラム。

Images