JP2019523476A - セキュリティレベル及びアクセス履歴に基づくｉｐアドレスアクセス - Google Patents

Abstract

本明細書において開示される例は、セキュリティレベルとドメイン名アクセス情報とに基づいて、ＩＰアドレスへのアクセスを許可するか否かを判定することに関する。一実施態様において、プロセッサは、ドメイン名に関連したドメイン名システム要求に対する応答を傍受し、要求及び／又は応答に基づいて、セキュリティレベルを更新する。プロセッサは、セキュリティレベルと、ドメイン名と先行ドメイン名アクセスに関連した記憶済み情報との比較に基づいて、応答を転送するか又はブロックするかを判定することができる。【選択図】図１

Description

マルウェアは、コマンドアンドコントロール潜入技法を用いる場合があり、この技法において、感染したデバイス上のマルウェアは、このマルウェアに対する命令、例えばデバイス上に記憶されたデータを検索又は送信する命令を送信するコマンドアンドコントロールセンタと通信する。いくつかの場合、ドメイン生成アルゴリズムが用いられて、コマンドセンタと通信するのにマルウェアが用いることができるドメイン名のセットが生成される場合があり、それにより、ドメイン名のサブセットがブロックされた場合にも依然としてマルウェアがコマンドセンタと通信することが可能であるようになっている。

図面は、例示の実施形態を示している。以下の詳細な説明は、図面を参照する。

セキュリティレベル及びアクセス履歴に基づいてＩＰアドレスアクセスを判定するコンピューティングシステムの１つの例を示すブロック図である。 セキュリティレベル及びアクセス履歴に基づいてＩＰアドレスアクセスを判定する方法の１つの例を示すフローチャートである。 セキュリティレベル及びアクセス履歴に基づいてＩＰアドレスアクセスを判定する方法の１つの例を示すフローチャートである。 異なるセキュリティレベルに基づくＩＰアドレスアクセスの差異の１つの例を示す図である。

ある実施態様において、コンピューティングシステムは、ドメイン名に関連したＩＰアドレスを求めるドメイン名サービス（ＤＮＳ）要求に対する応答を傍受する（intercepts：インターセプトする）。コンピューティングシステムは、セキュリティレベルと、ドメイン名と以前のドメイン名アクセスに関連した記憶済み情報との比較とに基づいて、ＩＰアドレスを転送するか又はＩＰアドレスをブロックするかを判定することができる。セキュリティレベルは、集約ネットワークトラフィック情報に基づいて判定することができ、以前のドメイン名アクセス情報は、特定の期間中に電子デバイス及び／又はユーザが以前にアクセスしたドメイン名を含みうる。

一例として、コンピューティングシステムは、セキュリティレベルがネットワークトラフィックフィルタリングレベル上にあるか否か等の、電子デバイスに関連付けられたセキュリティレベルを判定することができる。コンピューティングシステムは、セキュリティレベルを、ＤＮＳ要求及び／又は応答に基づいて、引き上げるのか、維持するのか、又は引き下げるのかを判定することができる。ネットワークフィルタリングモードにある場合、コンピューティングシステムは、ＤＮＳ要求に関連付けられたドメイン名を、以前にアクセスされたドメイン名のリストと比較することができる。ドメイン名がリスト上にないか又は他の以前のアクセス基準を満たしていない場合、電子デバイスがＩＰアドレスにアクセスすることが不可能であるように、ＤＮＳ応答として受信したＩＰアドレスの代わりにＮＸＤＯＭＡＩＮ応答を送信することができる。ドメイン名がアクセス基準を満たす場合、コンピューティングシステムは、電子デバイスがＩＰアドレスを用いて通信することができるようにＤＮＳ応答として受信されるＩＰアドレスを送信することができる。

疑わしいアクティビティの検出及び新たなドメイン名要求に基づいてネットワークトラフィックを選択的にブロックするか否かを判定するシステムを用いることにより、一部のサイバー攻撃を効率的に防止又は軽減することができる。新たなドメイン名へのアクセスを防止することにより、コマンドアンドコントロールセンタと通信する潜在的なドメイン名のセットのうちのいずれのものもマルウェアが用いることを防止することができる。自動化システムにより、ＩＴ人員による監視の関与及び時間を削減するとともにユーザにかかる負担を低減することができる。例えば、ユーザは、システムがネットワークフィルタリングを伴わない低セキュリティレベルにある場合には変化を受けないものとすることができ、より高いセキュリティレベル中の効力は、新たなウェブサイトへの閲覧に対する禁止に限定することができる。ユーザは、ユーザの仕事の一部として頻繁に閲覧するウェブサイト等の以前に閲覧したウェブサイトに関連したタスクの実行を継続することを可能とすることができる。

図１は、セキュリティレベル及びアクセス履歴に基づいてＩＰアドレスアクセスを判定するコンピューティングシステムの１つの例を示すブロック図である。例えば、コンピューティングシステム１００は、セキュリティレベルに基づいてネットワークトラフィックをフィルタリングするか否かを判定することができる。セキュリティレベルがネットワークフィルタリングレベルにある場合には、ＤＮＳドメイン名要求を、以前にアクセスしたドメイン名のリスト等の履歴アクセス情報と比較して、ＤＮＳ応答として受信されるＩＰアドレスへのアクセスを許可するか否かを判定することができる。コンピューティングシステム１００は、記憶装置１０４と、ＤＮＳサーバ１０３と、プロセッサ１０１と、セキュリティモジュール１０２とを備えることができる。

ＤＮＳサーバ１０３は、任意の適したＤＮＳサーバとすることができる。例えば、ＤＮＳサーバ１０３は、或るドメイン名にＩＰアドレスを関連付けるためにＤＮＳプロトコルを用いてドメイン名を名前解決することができる。ＤＮＳサーバ１０３は、プロセッサ１０１から要求を受信することができ、例えばこの要求において、プロセッサ１０１はＤＮＳサーバ１０３と通信するセキュリティモジュール１０２命令を実行する。プロセッサ１０１は、ネットワークを介してＤＮＳサーバ１０３と通信することができる。ＤＮＳサーバ１０３は、プロセッサ１０１からドメイン名を含む要求を受信して、プロセッサ１０１に、関連付けられたＩＰアドレスを伴って応答することができる。

記憶装置１０４は、履歴ドメイン名アクセス情報１０５及びセキュリティレベル情報１０６を記憶することができる。記憶装置１０４は、プロセッサ１０１と通信する任意の適した記憶装置とすることができる。１つの実施態様において、プロセッサ１０１は、ネットワークを介して記憶装置１０４と通信する。

履歴ドメイン名アクセス情報１０５は、履歴ドメイン名アクセスに関連した任意の適した情報を含みうる。例えば、履歴ドメイン名アクセス情報１０５は、ドメイン名、関連したＩＰアドレス、アクセス時刻、及び／又はアクセス頻度を含みうる。履歴ドメイン名アクセス情報１０５は、追加のドメイン名がアクセスされると更新することができる。履歴ドメイン名アクセス情報１０５は、特定の電子デバイスによるアクセス、特定の一人のユーザによるアクセス、及び／又は１組の複数人のユーザによるアクセスに関連付けることができる。履歴ドメイン名アクセス情報１０５は、ユーザ又は電子デバイスによって以前にアクセスされていない追加のドメイン名によって拡張することができる。例えば、履歴ドメイン名アクセス情報１０５は、機械学習、外部ドメインリスト、及び／又はユーザ入力に基づいて拡張することができる。一例として、履歴ドメイン名アクセス情報１０５は、ユーザがドメイン名Ａにアクセスしており、かつ機械学習が、ドメイン名Ａにアクセスしたユーザのうちの９０％が追加のドメイン名にもアクセスしていることを示す場合には、その追加のドメイン名を含みうる。

セキュリティレベル情報１０６は、現在のセキュリティレベルに関する情報を含みうる。セキュリティレベル情報１０６は、プロセッサ１０１に関連付けられたセキュリティレベルを判定するのに用いられるメトリックを含みうる。例えば、ドメイン名アクセスパターンに関する集約セキュリティメトリックを記憶して、セキュリティレベルがこの集約セキュリティメトリックと閾値との比較に基づいて更新されるように、この集約セキュリティメトリックを更新することができる。

プロセッサ１０１は、中央処理装置（ＣＰＵ）、半導体ベースのマイクロプロセッサ、又は命令の取り出し及び実行に適した他の任意のデバイスとすることができる。命令のフェッチング、復号、及び実行の代わりとして又はこれらに加えて、プロセッサ１０１は、以下で説明される機能を実行する１つ以上の集積回路（ＩＣ）又は複数の電子コンポーネントを備える他の電子回路を含みうる。以下で説明される機能は、複数のプロセッサによって実行することができる。プロセッサ１０１は、ラップトップ又はモバイルコンピューティングデバイス等の任意の適したコンピューティングデバイスに関連付けることができる。

プロセッサ１０１は、セキュリティモジュール１０２と通信することができる。セキュリティモジュール１０２は、ハードウェア、ファームウェア、及び／又はソフトウェアにおいて具現化することができる。セキュリティモジュール１０２は、記憶装置１０４又は別個の記憶デバイス又はパーティションに記憶することができる。セキュリティモジュール１０２は、機械読み取り可能な記憶媒体に記憶することができる。機械読み取り可能な記憶媒体は、実行可能命令又は他のデータを記憶する電子、磁気、光学、又は他の物理的記憶デバイス（例えば、ハードディスクドライブ、ランダムアクセスメモリ、フラッシュメモリ等）等の任意の適した機械読み取り可能な媒体とすることができる。機械読み取り可能な記憶媒体は、例えば、コンピュータに読み取り可能な非一時的媒体とすることができる。

セキュリティモジュール１０２は、ＤＮＳサーバ１０３と関連して、コンピューティングシステム１００内で任意の適した構成を有することができる。セキュリティモジュール１０２は、ソフトウェアスタックにおいて要求側クライアントアプリケーション及びＤＮＳリゾルバよりも下位のエラー制御層に記憶することができる。セキュリティモジュールは、ＤＮＳサーバ１０３への要求及び／又はＤＮＳサーバ１０３からの応答を傍受することができる。エラー制御層において、セキュリティモジュール１０２は、トラフィックがソフトウェアスタックを上下層に移動することを防止することによって、ＤＮＳサーバ１０３への及び／又はＤＮＳサーバ１０３からのトラフィックをブロックすることができる。１つの実施態様において、セキュリティモジュール１０２は、ＤＮＳサーバ１０３への及び／又はＤＮＳサーバ１０３からのトラフィックを傍受、監視、及び／又は制御するように、アプリケーション層に存在する。１つの実施態様において、セキュリティモジュールは、ＤＮＳサーバ１０３の要求及び／又は応答がネットワークを介して転送される際にこれらを監視するように、ネットワーク上に存在する。１つの実施態様において、セキュリティモジュール１０２は、ＤＮＳサーバ１０３上に記憶される。例えば、セキュリティモジュール１０２は、同じコーポレート環境内の複数の電子デバイス等の、ＤＮＳサーバ１０３に要求を送信する複数の電子デバイスに対してセキュリティ監視を実行することができる。

セキュリティモジュール１０２は、プロセッサ１０１及び／又は別のプロセッサによって実行可能な命令を含みうる。例えば、セキュリティモジュール１０２は、ＤＮＳ応答アクセス命令１０７と、セキュリティレベル更新命令１０８と、ドメイン名アクセス判定命令１０９と、アクセス判定出力命令１１０とを含みうる。

ＤＮＳ応答アクセス命令１０７は、ＤＮＳサーバ１０３へのＤＮＳ要求に対する応答として受信されるＩＰアドレスに関連した情報にアクセスする命令を含みうる。例えば、プロセッサ１０１は、プロセッサ１０１がＩＰアドレスを介して通信することを許可するＩＰアドレスの転送に先立って、受信された応答を解析することができる。

セキュリティレベル更新命令１０８は、ＤＮＳサーバ１０３へのＤＮＳ要求及び／又はＤＮＳサーバ１０３からの応答に基づいてセキュリティレベル情報１０６を更新する命令を含みうる。セキュリティレベル情報１０６は、現在のセキュリティレベルに関連した情報と、セキュリティレベルを判定するのに用いられるネットワークトラフィックサマリ情報とを含みうる。セキュリティレベルは、ＤＮＳ要求及び／又は応答上で実行されるフィルタリング又は他の解析の量又はタイプを示すレベルとすることができる。例えば、より高度なセキュリティレベルは、ＩＰアドレスがアクセスされることを防止するためにＤＮＳサーバ１０３からのより多くの応答がプロセッサ１０１からフィルタリング又はブロックされるように、より多くのフィルタリングが行われるべきであることを示すことができる。

ネットワークトラフィックパターンを示す集約セキュリティメトリックは、要求及び／又は応答に基づいて更新することができ、集約セキュリティメトリックは、セキュリティレベルを変更するか又は維持するかを判定するために１組の基準と比較することができる。集約セキュリティメトリックは期間に関連した基準と比較することができ、及び／又は集約セキュリティメトリックは周期的にリセットすることができる。例えば、基準は、１分あたりのＤＮＳ要求の数等の、期間中のイベントの発生の数又はパーセンテージに関連したものとすることができる。セキュリティレベルは、集約セキュリティメトリックが閾値を超えた量、集約メトリックが閾値を超えた回数、及び／又は集約セキュリティメトリックが閾値を超えた頻度に基づいて更新することができる。セキュリティレベルは、異なる期間に関連した集約セキュリティメトリックにおける異常の検出に基づいて更新することができる。集約セキュリティメトリックは、セキュリティレベルを変更するか否かを判定するために或る基準と比較することができる。セキュリティを引き下げる又は引き上げる基準は、セキュリティレベルが高められていた時間量等の追加情報に依拠することができる。

集約セキュリティメトリックは、プロセッサ１０１からの又は他のデバイスに加えてプロセッサ１０１からのＤＮＳサーバ１０３への要求に関連した情報を含みうる。例えば、集約セキュリティメトリックは、ＤＮＳサーバ１０３へのＤＮＳ要求、以前のドメイン名アクセス情報１０５に含まれないドメイン名に関連したＤＮＳ要求、同じドメインのサブドメインに関連したＤＮＳ要求、及び／又は非重複ドメイン名ＤＮＳ要求の数若しくはパーセンテージなどの数量に関する情報を含みうる。集約セキュリティメトリックは、応答も関連付けられたＩＰアドレスも示さないＤＮＳサーバ１０３からの応答の数などの、ＤＮＳサーバ１０３からの応答に関連した任意の適した情報を含みうる。いくつかの場合、複数のメトリックタイプの値は、セキュリティレベルを判定するために異なる閾値と比較することができる。

ドメイン名アクセス判定命令１０９は、セキュリティレベルと、ドメイン名とドメイン名先行アクセス情報１０５との比較とに基づいて、ＩＰアドレスへのアクセスを許可するか否かを判定する命令を含みうる。セキュリティレベルがネットワークトラフィックフィルタリングに関連付けられていないレベルに設定されている場合、プロセッサ１０１が受信されたＩＰアドレスを用いて通信することができるようにＤＮＳサーバ１０３応答へのアクセスを提供することができる。セキュリティレベルがネットワークフィルタリングレベルに設定されている場合、ＤＮＳサーバ１０３から要求されたドメイン名が履歴ドメイン名アクセス情報１０５に含まれているとき、プロセッサ１０１は、ＤＮＳサーバ１０３応答へのアクセスを許可することができる。例えば、フィルタリングモードにある場合には、以前にアクセスされたドメイン名についてＩＰアドレスを提供することができる。１つの実施態様において、ドメイン名要求と履歴ドメイン名アクセス情報１０５との比較の基準がセキュリティレベルに関連付けられるように複数のセキュリティレベルが存在することができ、例えば、セキュリティレベルがより高度になる場合、アクセスはより厳しい基準を満たすドメイン名に制限される。

アクセス判定出力命令１１０は、アクセス判定に関連した情報を出力する命令を含みうる。例えば、アクセスに関する情報は、記憶、送信、及び／又は表示することができる。１つの実施態様において、ＩＰアドレスは、アクセスを許可するアクセス判定に応答してアクセスされる。１つの実施態様において、プロセッサ１０１は、アクセスされたドメイン名に関する情報を含めるように履歴ドメイン名アクセス情報１０５を更新する。例えば、フィルタリングモードにない場合、新たなドメイン名にアクセスして、この新たなドメイン名をドメイン名先行アクセス情報１０５に追加することができる。

図２は、セキュリティレベル及びアクセス履歴に基づいてＩＰアドレスアクセスを判定する方法の１つの例を示すフローチャートである。例えば、プロセッサは、ネットワークトラフィックパターン情報とセキュリティレベル閾値情報との比較に基づいてセキュリティレベルを自動的に判定することができる。プロセッサは、高められたセキュリティレベルにある場合には、ＩＰアドレスアクセスを以前にアクセスされたドメイン名について名前解決されたＩＰアドレスに制限することができるように、セキュリティレベルに基づいてネットワークトラフィックをフィルタリングするか否かを判定することができる。方法は、例えば、図１のコンピューティングシステム１００によって実施することができる。

２００において開始すると、プロセッサは、ドメイン名に関連したＤＮＳ要求に対する応答として受信されたＩＰアドレスに関連した情報にアクセスする。例えば、ドメイン名は、特定のドメイン名を有するウェブページにアクセスするためのユーザ入力として受信することができる。例えば、ドメイン名は、受信されたドメイン名を名前解決することをＤＮＳサーバに要求する、ウェブブラウザ等のアプリケーションによって受信することができる。ドメイン名は、ローカルに記憶されたＩＰアドレス情報を用いて名前解決することができる場合、ローカルキャッシュと比較して判定することができ、プロセッサは、ＩＰアドレス情報がローカルに記憶されていない場合、ネットワークを介してリモートのＤＮＳサービスと通信することができる。ＤＮＳサーバは、ＩＰアドレス応答が受信されるか又は要求が終了してＮＸＤＯＭＡＩＮ応答に関連付けられるまで、再帰的に問い合わせすることができる。

いくつかの場合、プロセッサは、ＮＸＤＯＭＡＩＮ応答などの、ＤＮＳ要求に対する非名前解決応答を受信することができる。プロセッサは、応答の受信を示すために、集約セキュリティメトリックなどのサマリネットワークトラフィック情報を更新することができる。例えば、セキュリティレベルは、ＮＸＤＯＭＡＩＮ応答の数が特定の時間フレーム中に閾値に達すると高めることができる。その場合、プロセッサは、応答の欠落を示すために、ＮＸＤＯＭＡＩＮ応答を要求側アプリケーションに転送することができる。

２０１に進むと、プロセッサは、要求及び応答のうちの少なくとも一方に基づいて電子デバイスに関連付けられたセキュリティレベルを更新する。セキュリティレベルは、任意の適したデバイス及び／又はユーザに関連付けることができる。例えば、セキュリティレベルは、ユーザに関連付けるとともにユーザがログオンしている場合には電子デバイスに関連付けることができる。セキュリティレベルは、サイバー攻撃を防止又は軽減するためのセキュリティ対策に関連付けることができる。例えば、セキュリティ対策は、ＤＮＳサーバ要求及び／又は応答をフィルタリングすることに関連したものとすることができる。セキュリティレベルは、任意の適したフィルタリング方法に関連したものとすることができ、レベルに基づいてフィルタリングの実行が増減するように複数のセキュリティレベルが存在することができる。

セキュリティレベル更新は、受信されたＤＮＳ応答をフィルタリングするか否かを判定する前又は後等の任意の適した時に行うことができる。例えば、アクセス判定は、アクセスが完了すると要求及び応答の双方に基づいてセキュリティレベルが更新されるように、現在のセキュリティレベルに基づいて行うことができる。別の例として、プロセッサは、アクセス判定が現在のセキュリティレベルに基づくとともに、アクセスが拒否される場合ドメイン名要求がＤＮＳサーバに送信されないように、ＤＮＳ要求をフィルタリングすることができる。セキュリティレベルは、アクセス承認又は拒否に後続して更新することができる。

プロセッサは、集約セキュリティ情報と、セキュリティレベル分類に関連付けられた基準、例えば閾値との比較に基づいて、セキュリティレベルを更新することができる。例えば、集約セキュリティ情報は、ＤＮＳ要求及び／又は応答に基づいて更新することができ、集約セキュリティ情報は、セキュリティレベルを更新するのに用いることができる。セキュリティレベルは、コマンドアンドコントロールセンタと通信するマルウェアを示すパターンなどの、サイバー脅威のパターンを示す集約セキュリティ情報基準に基づいて判定することができる。

集約セキュリティ情報は、ネットワークトラフィックの形式及び／又は頻度を示すことができる。集約セキュリティ情報は、期間中のＤＮＳ要求及び／又は応答のセットに関するサマリ情報とすることができる。例えば、集約セキュリティ情報は、ＤＮＳ要求、応答を返さないＤＮＳ要求、ドメイン名アクセスリストに含まれない要求されたドメイン名に関連した要求、同じドメインのサブドメインに関連したドメイン名要求、アクセス履歴リストにない非名前解決ドメイン名、及び／又は非重複ドメイン名の数若しくはパーセンテージに関連したものとすることができる。

セキュリティレベルは、引き下げることも、引き上げることも、維持することもできる。セキュリティレベルは、任意の適した方法において集約セキュリティ情報に基づいて更新することができる。例えば、セキュリティレベルは、集約セキュリティ情報が閾値を超えた量、集約セキュリティ情報が閾値を超えた回数、セキュリティレベルが特定のレベルにあった時間量、及び／又は集約セキュリティ情報が閾値を超えた頻度に基づいて更新することができる。ある実施態様において、異なる基準は、セキュリティレベルを維持するか否かを判定するのに用いられるというよりも、セキュリティレベルが変更されるべきか否かを判定するのに用いられ、例えば、高められた基準は、より低いアラートステータスから高いアラートステータスに入るための基準と比較して、高アラートからセキュリティレベルを引き下げるのに用いられる。セキュリティレベルは、特定の時間フレームに基づくことができ、例えば、セキュリティレベルを引き下げることを判定するために集約セキュリティメトリックが特定の時間フレームの間に閾値と比較される。

ある実施態様において、プロセッサは、セキュリティレベルが引き上げられた場合、情報の表示、記憶又は送信などを行うことによって示すアラートを出力する。例えば、メッセージを、アドミニストレータに自動的に送信して、１デバイス又は複数デバイスのセットのセキュリティレベルの変化を示すことができる。

２０２に進むと、プロセッサは、セキュリティレベルがドメイン名フィルタリングレベルにあるか否かを判定する。例えば、複数のセキュリティレベルが存在することがある。第１のセキュリティレベルは、システムが低リスクにあり、ネットワークトラフィックフィルタリングが実行されないことを示すことがある。第２のセキュリティレベルは、システムがより高いリスクにあることを示すことがある。

ドメイン名フィルタリングレベルにある場合、２０３に進み、プロセッサは、ドメイン名を、以前にアクセスされたドメイン名に関連した情報と比較する。例えば、プロセッサは、ドメイン名が以前にアクセスされたドメイン名のリストにあるか否かを判定することができる。プロセッサは、ドメイン名が以前に特定の時間フレーム内に若しくは特定の頻度でアクセスされたか否か、又はドメイン名が以前に特定の１組のユーザによってアクセスされたか否かなどの、以前のアクセスに関連した任意の適した基準を解析することができる。

以前にアクセスされたドメイン名に関連した情報は、電子デバイス、ユーザ、及び／又は組織によって以前にアクセスされたドメイン名などの、ドメイン名の任意の適したリストを含みうる。以前にアクセスされたドメイン名のリストは、複数のユーザ間の共有アクセス情報に基づいて追加されたドメイン名などの、アクセスするのが安全であるとみなされた追加のドメイン名を含むように拡張することができる。

２０４に進むと、プロセッサは、比較に基づいてＩＰアドレスへのアクセスを許可するか否かを判定する。先行アクセス情報は、特定のセキュリティレベルのアクセスに関連した基準と比較することができる。例えば、第１のセキュリティレベルにおいて、プロセッサは、ドメイン名が以前に特定の期間内にアクセスされた場合、ＤＮＳ応答へのアクセスを許可すると判定することができる。

２０５に進むと、プロセッサは、アクセス判定に関連した情報を出力する。例えば、アクセス判定に関する情報は、送信又は記憶することができる。ある実施態様において、プロセッサは、アクセスが許可された場合、通信使用のためにＩＰアドレスを転送する。

ある実施態様において、フィルタリングを伴わないセキュリティレベルにある場合、プロセッサは、セキュリティレベルがフィルタリングレベルに引き上げられたとしてもドメイン名についてアクセスが継続して許可されるように、そのドメイン名を先行ドメイン名アクセスリストに追加することができる。プロセッサは、判定に基づいて先行ドメイン名アクセスリストを更新することができる。例えば、アクセスが許可された場合には、プロセッサは、アクセス日時情報を更新することができる。

プロセッサは、例えばアクセスが許可されなかったことを示すために、アクセス情報に基づいて集約セキュリティ情報を更新することができる。例えば、ＤＮＳ応答がＮＸＤＯＭＡＩＮ応答である場合には、応答に関する情報は、集約セキュリティ情報を更新するのに用いることができる。ある実施態様において、正当なアクセスが生じた場合には、時刻などの、承認された要求に関連した情報がドメイン名に関連付けられるように、ドメインが記憶される。

図３は、セキュリティレベル及びアクセス履歴に基づいてＩＰアドレスアクセスを判定する方法の１つの例を示すフローチャートである。方法は、例えば、図１のコンピューティングシステム１００によって実施することができる。３００において開始すると、プロセッサは、ＤＮＳ要求に対する応答を受信する。この応答は、ドメイン名に対応するＩＰアドレスとすることができる。３０１に進むと、プロセッサは、ドメイン名及び／又は受信された応答に基づいて集約セキュリティメトリックを更新する。３０２に進むと、プロセッサは、集約セキュリティメトリックが閾値を超えているか否かを判定する。例えば、プロセッサは、１分あたりのＮＸＤＯＭＡＩＮ応答の数が閾値を超えているかどうかを判定することができる。

集約セキュリティメトリックが閾値を超えていると判定した場合には、３０３に進み、プロセッサは、セキュリティレベルを引き上げるか又は維持する。例えば、セキュリティレベルは、トラフィックフィルタリングレベルに設定するか、又はトラフィックフィルタリングレベルを維持することができる。

集約セキュリティメトリックが閾値を超えていないと判定した場合には、３０４に進み、プロセッサは、セキュリティレベルを引き下げるか又は維持する。例えば、セキュリティレベルは、フィルタリングがオフに切り換えられ、ＤＮＳ応答がアクセスのために自動的に転送されるレベルに設定することができる。

３０５に進むと、プロセッサは、セキュリティレベルがフィルタリングセキュリティレベルに設定されるか否かを判定する。セキュリティレベルがフィルタリングセキュリティレベルに設定されないと判定した場合、３０６に進み、プロセッサは、ＤＮＳ応答として受信されるＩＰアドレスを用いて電子デバイスが通信することができるようにＤＮＳ応答を転送する。

セキュリティレベルがフィルタリングセキュリティレベルに設定されると判定された場合、３０８に進み、プロセッサは、ドメイン名がアドレスリストにあるか否かを判定する。例えば、プロセッサは、ドメイン名が以前にアクセスされた又は基準のセットに従って以前にアクセスされたかどうかを判定することができる。ドメイン名がアドレスリストにあると判定された場合には、３０６に進み、プロセッサは、ＩＰアドレスにアクセスすることができるようにＤＮＳ応答を転送する。３０７に進むと、プロセッサは、ドメインアドレスリストを更新する。例えば、プロセッサは、ドメイン名先行アクセス情報にアクセスに関する情報を追加することができる。ドメイン名がアドレスリストにない場合には、プロセッサは、ドメイン名をアドレスリストに追加することができる。

ドメイン名がアドレスリストにないと判定された場合には、３０９に進み、プロセッサは、電子デバイスがＤＮＳ応答として受信されるＩＰアドレスにアクセスすることが不可能であるように、ＮＸＤＯＭＡＩＮ応答を送信する。

図４は、異なるセキュリティレベルに基づくＩＰアドレスアクセスの差異の１つの例を示す図である。例えば、複数のセキュリティレベルが存在することができ、ここで、各セキュリティレベルは、電子デバイスがＤＮＳ応答として受信されるＩＰアドレスにアクセスすることを許可するか否かを判定するための異なる基準に関連付けられる。方法は、例えば、図１のプロセッサ１０１によって実施することができる。

ブロック４００は、ドメイン名のリスト及び先行アクセス情報を示している。例えば、ドメイン名www.x.com及びwww.y.comは、以前にアクセスされており、www.x.comは、www.y.comよりも頻繁にかつより直近でアクセスされている。

フローチャート４１０は、先行アクセス情報及びセキュリティレベル情報に基づいてＩＰアドレスにアクセスすることを許可するか否かを判定する方法を示している。４０１において開始すると、プロセッサは、ドメイン名www.x.comのためのＩＰアドレスの要求に応答して、ＤＮＳサーバからＩＰ １４．１４．２．５を受信する。４０２に進むと、プロセッサは、電子デバイスが非フィルタリングレベルにあるかどうかを判定する。ＹＥＳの場合には、４０６に進み、プロセッサは、フィルタリングが実行されないので、ＩＰアドレス１４．１４．２．５にアクセスする。

プロセッサが非フィルタリングセキュリティレベルにない場合には、４０３に進み、プロセッサは、ドメイン名が先行アクセスリスト４００にあるか否かに従ってＩＰアドレスがフィルタリングされる第１のセキュリティレベルに電子デバイスがあるかどうかを判定する。４０７に進むと、プロセッサは、ドメイン名www.x.comがＩＰアドレスアクセスリスト４００にあるので、ＩＰアドレス１４．１４．２．５にアクセスする。

セキュリティレベルが第１のセキュリティレベルにない場合、４０４に進み、プロセッサは、ドメイン名が前週内にアクセスされていた場合にアクセスが許可されるような第２のセキュリティレベルに電子デバイスがあるか否かを判定する。４０８に進むと、プロセッサは、www.x.comが直近で３日前にアクセスされており、これは前週内であるので、ＩＰアドレス１４．１４．２．５へのアクセスを許可する。

セキュリティレベルが第２のセキュリティレベルにない場合、４０５に進み、プロセッサは、ドメイン名が前月に１５回を超えてアクセスされていた場合にアクセスが許可されるような第３のセキュリティレベルに電子デバイスがあるかどうかを判定する。４０９に進むと、www.x.comは、前月にアクセスされたのは１５回未満であったので、ＩＰアドレスはブロックされるとともに、ＮＸＤＯＭＡＩＮ応答が返される。

?サイバー脅威の可能性のレベル及び先行アクセス情報に基づいて電子デバイスのＩＰアドレスアクセス判定を自動的に行うことにより、サイバー攻撃を軽減する一方でユーザが電子デバイスの使用を継続する能力の有効性を考慮する効率的な方法が提供される。

Claims (15)

1. 履歴ドメイン名アクセス情報及びセキュリティレベル情報を記憶する記憶装置と、
   セキュリティモジュールであって、
   ドメイン名に関連したドメイン名システム要求に対する応答として受信されるＩＰアドレスに関連した情報にアクセスする命令と、
   前記要求及び前記応答のうちの少なくとも一方に基づいてセキュリティレベルを更新する命令と、
   前記セキュリティレベルと、前記ドメイン名と前記履歴ドメイン名アクセス情報との比較とに基づいて、前記ＩＰアドレスへのアクセスを許可するか否かを判定する命令と、
   前記アクセス判定に関連した情報を出力する命令と
   を含む、セキュリティモジュールと、
   前記セキュリティモジュール命令を実行するプロセッサと
   を備えてなる、コンピューティングシステム。
2. 前記記憶装置は、集約セキュリティメトリックを更に記憶するものであり、前記セキュリティレベルを更新することは、
   前記要求及び前記応答のうちの少なくとも一方に基づいて前記集約セキュリティメトリックを更新することと、
   セキュリティレベル基準と比較される前記集約セキュリティメトリックに基づいて前記セキュリティレベルを更新することと
   を含む、請求項１に記載のコンピューティングシステム。
3. 前記集約セキュリティメトリックは、ドメイン名システム要求と、応答を返さないドメイン名システム要求と、ドメイン名アクセスリストに含まれないドメイン名に関連したドメイン名システム要求と、同じドメインのサブドメインに関連したドメイン名システム要求と、ドメイン名アクセス履歴リストにない非名前解決ドメイン名を有するドメイン名システム要求と、非重複ドメイン名システム要求とのうちの少なくとも１つの数量に関連したものである、請求項２に記載のコンピューティングシステム。
4. 前記セキュリティレベルを更新することは、前記集約セキュリティメトリックが閾値を超えた量と、前記集約セキュリティメトリックが閾値を超えた頻度と、前記セキュリティレベルが高められた時間量とのうちの少なくとも１つに基づいて、前記セキュリティレベルを更新することを含む、請求項２に記載のコンピューティングシステム。
5. 前記プロセッサは、機械学習と、外部ドメイン名リストと、ユーザ入力とのうちの少なくとも１つに基づいて、前記履歴ドメイン名アクセス情報を更に拡張するものである、請求項１に記載のコンピューティングシステム。
6. 前記セキュリティレベルは、ドメイン名非フィルタリングレベルと、ドメイン名フィルタリングの第１のレベルと、ドメイン名フィルタリングの第２のレベルとのうちの少なくとも１つを含む、請求項１に記載のコンピューティングシステム。
7. アクセスを許可するか否かを判定することは、前記履歴ドメイン名アクセス情報に関連付けられた時間フレームに基づいてアクセスを許可するか否かを判定することを含む、請求項１に記載のコンピューティングシステム。
8. ドメイン名に関連したドメイン名システム要求に対する応答として受信されるＩＰアドレスに関連した情報にアクセスするステップと、
   前記要求及び前記応答のうちの少なくとも一方に基づいて、電子デバイスに関連付けられたセキュリティレベルを更新するステップと、
   前記セキュリティレベルがドメイン名フィルタリングセキュリティレベルを含む場合には、
   前記応答で受信された前記ドメイン名を、以前にアクセスされたドメイン名に関連した情報と比較するステップと、
   前記比較に基づいて前記ＩＰアドレスへのアクセスを許可するか否かを判定するステップと、
   前記アクセス判定に関連した情報を出力するステップと
   を含んでなる方法。
9. 前記セキュリティレベルを更新したことにより、前記セキュリティレベルが引き上げられる場合には、アラートを出力するステップを更に含む、請求項８に記載の方法。
10. 前記セキュリティレベルを更新するステップは、
    前記要求及び前記応答のうちの少なくとも一方に基づいて集約セキュリティメトリックを更新することと、
    前記集約セキュリティメトリックに基づいて前記セキュリティレベルを更新すること
    を含む、請求項８に記載の方法。
11. 前記セキュリティレベルを更新するステップは、ドメイン名フィルタリングレベルに入るか否かを判定することを含む、請求項８に記載の方法。
12. 前記ドメイン名を前記以前にアクセスされたドメイン名情報に追加するステップを更に含む、請求項８に記載の方法。
13. プロセッサに対し、
    電子デバイスからドメイン名に関連したドメイン名システム要求に対する応答を傍受させ、
    前記要求及び前記応答のうちの少なくとも一方に基づいて前記電子デバイスに関連付けられたセキュリティレベルを更新させ、
    前記セキュリティレベル、及び前記ドメイン名と先行ドメイン名アクセスに関連した記憶済み情報との比較に基づいて前記応答を転送するか又はブロックするかを判定させ、
    前記判定に関連した情報を出力させる
    ことを実行する命令を含む、機械読み取り可能な非一時的記憶媒体。
14. 前記セキュリティレベルを更新する命令は、
    期間中のドメイン名システムアクティビティをセキュリティレベル基準と比較する命令と、
    前記比較の結果に基づいて前記セキュリティレベルを更新する命令と
    を含む、請求項１３に記載の非一時的記憶媒体。
15. セキュリティレベルを更新する命令は、ドメイン名フィルタリングモードに入るか、該ドメイン名フィルタリングモードを抜け出すか、又は該ドメイン名フィルタリングモードを維持するか、のうちの少なくとも１つを判定する命令を含む、請求項１３に記載の非一時的記憶媒体。