JP2021111802A - 検知プログラム、検知方法および情報処理装置 - Google Patents

Abstract

【課題】サイバー攻撃に用いられる攻撃インフラの特定を支援する。【解決手段】実施形態の検知プログラムは、取得する処理と、特定する処理と、出力する処理とをコンピュータに実行させる。取得する処理は、サイバー攻撃情報に含まれるドメイン情報を取得するとともに、ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバの通信を監視することによりドメイン情報とＩＰアドレスとの対応付けに関する第１の管理サーバの回答履歴を管理する第２の管理サーバから、取得したドメイン情報に対応するレコード情報を取得する。特定する処理は、取得したレコード情報を分析して繰り返し用いられているＩＰアドレスと、ＩＰアドレスに関連するネームサーバとを特定する。出力する処理は、特定したＩＰアドレスと、ネームサーバとを示す第１のリスト情報を出力する。【選択図】図１

Description

本発明の実施形態は、検知プログラム、検知方法および情報処理装置に関する。

近年、世界規模で組織的に構築された大規模な攻撃インフラの上で、様々なサイバー攻撃が展開され、大きな損害が発生している。また、犯罪組織が攻撃インフラを大規模かつ組織的に運用し、ビジネスとしてサイバー攻撃のための環境を提供する傾向が強くなってきている。

このようなサイバー攻撃に対しては、サイバー攻撃に用いられるドメインなどの攻撃インフラを特定し、特定した攻撃インフラをテイクダウンして根本的な防御をする。したがって、サイバー攻撃への対処では、テイクダウンする攻撃インフラを特定することが重要となる。

攻撃インフラを特定する従来技術としては、複数のドメイン名のそれぞれについて、対応するＩＰアドレスに関するＩＰアドレス関連情報を取得し、複数のドメイン名のうち、ドメイン名同士のＩＰアドレス関連情報の類似度を計算し、同一のボットネットで運用されているドメイン名の集合として、類似度に基づくドメイン名の集合を作成するものが知られている。

特開２０１８−１２０３０８号公報

大規模かつ組織的に運用される攻撃インフラは、例えばＦａｓｔ Ｆｌｕｘのような手法により大量のゾンビコンピュータを利用して実際のＣ＆Ｃ（Command and Control）サーバを隠ぺいし、テイクダウンを回避する。例えば、ドメインに対するＩＰアドレスを短期間で切り替える、あるいはドメイン自体を使い捨てるだけでなく、ドメインを登録するための権威ネームサーバすらも攻撃インフラの運用の中に組み込んで巧妙に運用される。したがって、従来技術では、検知することが容易ではない。

１つの側面では、サイバー攻撃に用いられる攻撃インフラの特定を支援できる検知プログラム、検知方法および情報処理装置を提供することを目的とする。

１つの案では、検知プログラムは、取得する処理と、特定する処理と、出力する処理とをコンピュータに実行させる。取得する処理は、サイバー攻撃情報に含まれるドメイン情報を取得するとともに、ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバの通信を監視することによりドメイン情報とＩＰアドレスとの対応付けに関する第１の管理サーバの回答履歴を管理する第２の管理サーバから、取得したドメイン情報に対応するレコード情報を取得する。特定する処理は、取得したレコード情報を分析して繰り返し用いられているＩＰアドレスと、ＩＰアドレスに関連するネームサーバとを特定する。出力する処理は、特定したＩＰアドレスと、ネームサーバとを示す第１のリスト情報を出力する。

サイバー攻撃に用いられる攻撃インフラの特定を支援できる。

図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。 図２は、ネームサーバ情報収集処理の一例を示すフローチャートである。 図３は、悪性ドメイン−ネームサーバ情報の一例を示す説明図である。 図４は、ネームサーバ情報の一例を示す説明図である。 図５は、悪性ネームサーバ分析処理の一例を示すフローチャートである。 図６は、悪性ネームサーバリスト情報の一例を示す説明図である。 図７は、再利用ＩＰリスト情報の一例を示す説明図である。 図８は、悪性通信検知処理の一例を示すフローチャートである。 図９は、実施形態にかかる情報処理装置のハードウエア構成の一例を示すブロック図である。

以下、図面を参照して、実施形態にかかる検知プログラム、検知方法および情報処理装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明する検知プログラム、検知方法および情報処理装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。

（概要について）
サイバー攻撃に用いられる悪性ドメインにおいて、未識別の悪性ドメインを検知するための多くの研究が古くから提案されている。未識別の悪性ドメインを検知するための提案手法として、「Bilge, Leyla, et al. "EXPOSURE: Finding Malicious Domains Using Passive DNS Analysis." Ndss. 2011.」と、Ｐａｓｓｉｖｅ ＤＮＳ（Domain Name System）に関する「Weimer, Florian. "Passive DNS replication." FIRST conference on computer security incident. 2005.」とが知られている。

Ｅｘｐｏｓｕｒｅ システムでは、悪性ドメインを検知するための特徴として、Ｔｉｍｅ−Ｂａｓｅｄ Ｆｅａｔｕｒｅｓ、ＤＮＳ Ａｎｓｗｅｒ−Ｂａｓｅｄ Ｆｅａｔｕｒｅｓ、ＴＴＬ Ｖａｌｕｅ−Ｂａｓｅｄ Ｆｅａｔｕｒｅｓ ａｎｄ Ｄｏｍａｉｎ Ｎａｍｅ−Ｂａｓｅｄ Ｆｅａｔｕｒｅｓの４つを特徴選択し、Ｐａｓｓｉｖｅ ＤＮＳのデータを基に識別器を学習し、大規模なデータで効果を検証している。Ｐａｓｓｉｖｅ ＤＮＳの構築手法については、Passive DNS replicationに詳しい記載がある。

また、「Hao, Shuang, et al. "PREDATOR: proactive recognition and elimination of domain abuse at time-of-registration." Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security. ACM, 2016.」のように、ＷＨＯＩＳデータを基にしたドメインの登録の挙動により悪性ドメインを検知する方法も提案されている。この提案方法では、Ｄｏｍａｉｎ ｐｒｏｆｉｌｅ ｆｅａｔｕｒｅｓ、Ｒｅｇｉｓｔｒａｔｉｏｎ ｈｉｓｔｏｒｙ ｆｅａｔｕｒｅｓ、ｂａｔｃｈ ｃｏｒｒｅｌａｔｉｏｎ ｆｅａｔｕｒｅｓという３カテゴリに関する２２の特徴を選択し、主にネームサーバのＩＰの変化や、ドメインが複数のネームサーバに登録される、Ｒｅｇｉｓｔｒａｒなどの情報により、スパム関係の悪性ドメインを登録された瞬間に検知可能であることを示している。

しかしながら、ドメインに対するＩＰアドレスを短期間で切り替える、あるいはドメイン自体を使い捨てるだけでなく、ドメインを登録するための権威ネームサーバすらも攻撃インフラの運用の中に組み込んで巧妙に運用された場合、上記のいずれの提案方法においても、攻撃インフラを特定することは容易ではない。

そこで、本実施形態では、大規模かつ組織的に実施されているサイバー攻撃の一部の悪性ドメインを種とし、悪性ドメインにおいてコアとなって利用されている（繰り返し利用されている）一部のＩＰアドレスを検出して悪性のネームサーバを検知する。

具体的には、大規模かつ組織的に運用される攻撃インフラにおいては、大量のＩＰアドレスを使い捨てながら運用する一方、一部のＩＰアドレスは使い回して利用されている。したがって、攻撃インフラにおいてコアとなって利用されている（繰り返し利用されている）ＩＰアドレスを検出することにより、攻撃インフラに新規に追加された未識別のドメインやネームサーバを検知する。

特に悪性ドメインの検知においては、Ｃｏｎｔｅｎｔ Ｄｅｌｉｖｅｒｙ Ｎｅｔｗｏｒｋサービスを利用している正規ドメインとＦａｓｔ Ｆｌｕｘを利用している悪性ドメインと運用上の違いを識別するのが困難な場合もある。しなしながら、ネームサーバは、ＩＰアドレスを頻繁に変えるような運用をすることが稀であるため区別がしやすいうえに、組織的な運用においてはネームサーバ用に限られた安定的なＩＰアドレスで運用するケースも多い。

したがって、大規模かつ組織的に構築された攻撃インフラの中で攻撃者によって運用されているネームサーバ（悪性ネームサーバ）を、使い回しされている一部のＩＰアドレスを基にして、効果的に検知することが可能となる。また、検知した悪性ネームサーバに登録される未識別の悪性ドメインも同時に検知することが可能となるので、より効果的な検知が可能となる。また、このように検知（特定）した悪性ネームサーバ、悪性ドメインなどの攻撃インフラをテイクダウンすることで、サイバー攻撃に対して根本的な防御を行うことができる。

（実施形態について）
図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。実施形態にかかる情報処理装置１は、例えば、ＰＣ（パーソナルコンピュータ）などのコンピュータである。

図１に示すように、情報処理装置１は、分析部１０と、記憶部２０と、検知部３０と、通信制御部４０とを有する。

分析部１０は、レピュテーションサイトなどからダウンロードした、サイバー攻撃で組織的に運用されているドメイン（悪性ドメイン）に関する悪性ドメインリスト１１を入力として取得する。この悪性ドメインリスト１１は、例えば、攻撃元に関する悪性ドメインについてのドメイン情報（例えば、「ｘｘｘ．ｘｘｘ．ｃｏｍ」、「ｙｙｙ．ｙｙｙｙ．ｏｒｇ」などの悪性ドメインに関するドメイン名）を列挙したリストであり、「サイバー攻撃情報に含まれるドメイン情報」の一例である。

分析部１０は、例えばレピュテーションサイトなどからダウンロードや、ユーザによるファイル入力などにより、悪性ドメインリスト１１を取得する。すなわち、分析部１０は、取得部の一例である。

また、分析部１０は、取得した悪性ドメインリスト１１のドメイン情報に対応するレコード情報をＰａｓｓｉｖｅ ＤＮＳ２より収集（取得）するネームサーバ情報収集処理（Ｓ１）を行う。

なお、Ｐａｓｓｉｖｅ ＤＮＳ２では、ゾーンファイル転送ではなく、ドメイン情報とＩＰアドレスとの対応付けを管理するＤＮＳ３などの権威ＤＮＳサーバが返すＤＮＳパケットをキャプチャする。次いで、Ｐａｓｓｉｖｅ ＤＮＳ２では、ｒｅｓｏｕｒｃｅ ｒｅｃｏｒｄを抽出するのが基本的な考え方である。すなわち、Ｐａｓｓｉｖｅ ＤＮＳ２は、ＤＮＳ３の通信をモニタリング（監視）し、ドメイン情報とＩＰアドレスとの対応付けに関するＤＮＳ３の回答履歴を管理する、第２の管理サーバの一例である。また、ＤＮＳ３は、第１の管理サーバの一例である。

図２は、ネームサーバ情報収集処理の一例を示すフローチャートである。図２に示すように、ネームサーバ情報収集処理（Ｓ１）が開始されると、分析部１０は、入力された悪性ドメインリスト１１に対して、Ｐａｓｓｉｖｅ ＤＮＳ２が提供するサービスを利用して悪性ドメインリスト１１のドメイン情報に該当するレコードを収集する（Ｓ１１）。

Ｐａｓｓｉｖｅ ＤＮＳ２に関する著名なサービスとしては、Ｆａｒｓｉｇｈｔ Ｓｅｃｕｒｉｔｙ社のＤＮＳＤＢなどが挙げられる。分析部１０は、例えば、ＤＮＳＤＢを利用するために提供されたＡＰＩ（Application Programming Interface）を用いてドメイン情報に該当するレコードを収集する。

次いで、分析部１０は、収集したレコードの中の、ＮＳレコードからネームサーバを抽出し、抽出したネームサーバを、悪性ドメインに対するネームサーバのデータ（悪性ドメイン−ネームサーバ情報）として格納する（Ｓ１２）。

ＤＮＳ３からの応答（回答）には、例えば「ｍａｌｉｃｉｏｕｓ．ｃｏｍ ＩＮ ＮＳ ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」などの、「ｍａｌｉｃｉｏｕｓ．ｃｏｍ」とするドメイン情報に関するＮＳレコードが含まれている。このＮＳレコードより、分析部１０は、悪性ドメインに対するネームサーバ「ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」を抽出する。

図３は、悪性ドメイン−ネームサーバ情報の一例を示す説明図である。図３の上段に示すように、分析部１０は、ＮＳレコードより抽出した悪性ドメインに対するネームサーバの情報を悪性ドメイン−ネームサーバ情報Ｄ１として格納する。例えば、分析部１０は、上記のＮＳレコードの場合、「悪性ドメイン」の列に「ｍａｌｉｃｉｏｕｓ．ｃｏｍ」を、「ネームサーバ」の列に「ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」を格納する。

図３の下段は、ネームサーバの情報を一通り抽出して格納した悪性ドメイン−ネームサーバ情報Ｄ１を例示している。下段の悪性ドメイン−ネームサーバ情報Ｄ１における「ｍａｌｉｃｉｏｕｓ．ｃｏｍ」のように１つのドメインに複数のネームサーバが登録されている場合、分析部１０は、全てのネームサーバを「ｍａｌｉｃｉｏｕｓ．ｃｏｍ」に関連付けて格納する。

図２に戻り、Ｓ１２に次いで、分析部１０は、悪性ドメインとネームサーバに関する悪性ドメイン−ネームサーバ情報Ｄ１を格納した後、重複を除いたネームサーバのリストであるネームサーバ情報１３を作成する（Ｓ１３）。

図４は、ネームサーバ情報１３の一例を示す説明図である。図４の上段に示すように、分析部１０は、悪性ドメイン−ネームサーバ情報Ｄ１のネームサーバを参照し、ネームサーバ情報１３の「ネームサーバ」の列に個別のネームサーバを格納していくことで、重複を除いたネームサーバのリストを作成する。

図２に戻り、Ｓ１３に次いで、分析部１０は、作成したネームサーバのリストに基づき、再度Ｐａｓｓｉｖｅ ＤＮＳ２のサービスを利用してネームサーバに対するレコードを収集する（Ｓ１４）。次いで、分析部１０は、収集したレコードよりネームサーバのＩＰアドレスを抽出し、抽出したＩＰアドレスをデータ（ネームサーバ情報１３の「ＩＰアドレス」の列）に格納する（Ｓ１５）。

具体的には、分析部１０は、収集したレコードの中の、ＡレコードからネームサーバのＩＰアドレスを抽出する。例えば、分析部１０は、「ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ ＩＮ Ａ ａ．ａ．ａ．ａ」のＡレコードからネームサーバ「ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」のＩＰアドレス「ａ．ａ．ａ．ａ」を抽出する。次いで、分析部１０は、図４の下段に示すように、ネームサーバ情報１３において、「ネームサーバ」が「ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」の行の「ＩＰアドレス」に「ａ．ａ．ａ．ａ」を格納する。

なお、分析部１０は、特定のネームサーバに複数のＩＰアドレスが対応づいている場合（図示例の「ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」）、対応付いている全てのＩＰアドレス（図示例の「ａ．ａ．ａ．ａ」、「ｂ．ｂ．ｂ．ｂ」、…）を抽出して格納する。

図１に戻り、分析部１０は、Ｐａｓｓｉｖｅ ＤＮＳ２より収集したレコード情報（ネームサーバ情報１３）をもとに、レコード情報を分析して悪性ネームサーバを得る悪性ネームサーバ分析処理（Ｓ２）を行う。

具体的には、分析部１０は、Ｐａｓｓｉｖｅ ＤＮＳ２より収集したレコード情報を悪性ネームサーバ設定値、再利用ＩＰ設定値などの設定情報１２をもとに分析し、繰り返し用いられているＩＰアドレス（再利用ＩＰアドレス）と、再利用ＩＰアドレスに関連する悪性ネームサーバとを特定する。次いで、分析部１０は、特定した再利用ＩＰアドレスを列挙した再利用ＩＰリスト情報２２と、悪性ネームサーバを列挙した悪性ネームサーバリスト情報２１とを出力する。出力した悪性ネームサーバリスト情報２１および再利用ＩＰリスト情報２２については、記憶部２０に格納される。

すなわち、分析部１０は、特定部および出力部の一例である。また、悪性ネームサーバリスト情報２１および再利用ＩＰリスト情報２２は、第１のリスト情報の一例である。

図５は、悪性ネームサーバ分析処理の一例を示すフローチャートである。図５に示すように、処理が開始されると、分析部１０は、設定情報１２として入力した悪性ネームサーバ設定値を悪性ネームサーバ閾値に、再利用ＩＰ設定値を再利用ＩＰ閾値にセットする（Ｓ２１）。

悪性ネームサーバ設定値、再利用ＩＰ設定値は、悪性ネームサーバ、再利用ＩＰアドレスの分析に関してユーザなどにより予め設定される設定値（閾値）である。ユーザは、これらの設定値を適宜設定することで、悪性ネームサーバや再利用ＩＰアドレスの分析条件を調整することができる。

次いで、分析部１０は、ネームサーバ情報１３を参照し、悪性ネームサーバ閾値以上のＩＰアドレスと関連しているネームサーバを複数ＩＰ悪性ネームサーバとして抽出する（Ｓ２２）。次いで、分析部１０は、Ｓ２２において抽出した情報を悪性ネームサーバリスト情報２１に格納する。

具体的には、分析部１０は、ネームサーバ情報１３における「ネームサーバ」と、「ＩＰアドレス」のデータを利用し（図４の下段参照）、各ネームサーバに関連しているＩＰアドレスの数をカウントする。次いで、分析部１０は、カウントしたＩＰアドレスの数が悪性ネームサーバ閾値以上のネームサーバの情報を抽出する。

例えば、図４の下段のネームサーバ情報１３の例において、悪性ネームサーバ閾値を「３」と設定した場合、分析部１０は、「ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」を悪性ネームサーバと判定する。次いで、分析部１０は、悪性ネームサーバと判定した「ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」とともに、「ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」に対応付いた「ａ．ａ．ａ．ａ」、「ｂ．ｂ．ｂ．ｂ」、…のＩＰアドレス群をネームサーバ情報１３より抽出する。

図６は、悪性ネームサーバリスト情報２１の一例を示す説明図である。図６に示すように、分析部１０は、抽出した「ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」と、「ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」に対応付いた「ａ．ａ．ａ．ａ」、「ｂ．ｂ．ｂ．ｂ」、…のＩＰアドレス群とを悪性ネームサーバリスト情報２１の「悪性ネームサーバ」、「ＩＰ アドレス」の列に格納する。

なお、図４の下段のネームサーバ情報１３の例において、悪性ネームサーバ閾値を「３」と設定した場合、分析部１０は、「ｎｓ１．ｂａｄ．ｃｏｍ」を「ｃ．ｃ．ｃ．ｃ」というＩＰアドレスとしか関連していないので悪性ネームサーバと判定しない。したがって、「ｎｓ１．ｂａｄ．ｃｏｍ」と、「ｎｓ１．ｂａｄ．ｃｏｍ」に対応付いた「ｃ．ｃ．ｃ．ｃ」とは、悪性ネームサーバリスト情報２１に格納されない。分析部１０は、上記の処理をネームサーバ情報１３に含まれるすべてのネームサーバに対して実施する。

図５に戻り、Ｓ２２に次いで、分析部１０は、悪性ネームサーバリスト情報２１を参照し、再利用ＩＰ閾値以上の複数ＩＰ悪性ネームサーバと関連したＩＰアドレスを再利用悪性ＩＰとして抽出する（Ｓ２３）。次いで、分析部１０は、Ｓ２３において抽出した情報を再利用ＩＰリスト情報２２に格納する。

具体的には、分析部１０は、悪性ネームサーバリスト情報２１を利用し、「ＩＰアドレス」の列のＩＰアドレスに対して、どの悪性ネームサーバと関連したかを検索する。次いで、分析部１０は、この検索の結果、再利用ＩＰ閾値以上の悪性ネームサーバと関連している場合に、そのＩＰアドレスを再利用悪性ＩＰと判定する。次いで、分析部１０は、再利用悪性ＩＰと判定したＩＰアドレスと、そのＩＰアドレスに関連した悪性ネームサーバとを悪性ネームサーバリスト情報２１より抽出する。

図７は、再利用ＩＰリスト情報２２の一例を示す説明図である。図７に示すように、分析部１０は、Ｓ２３において抽出したＩＰアドレスと、そのＩＰアドレスに関連した悪性ネームサーバとを、「再利用ＩＰ」と「悪性ネームサーバ」の列に格納する。

例えば、再利用ＩＰ閾値を４とし、「ａ．ａ．ａ．ａ」のＩＰアドレスが「ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」「ｎｓ２．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」「ｎｓ１．ｂａｄ．ｃｏｍ」…といった４つ以上の悪性ネームサーバによって再利用されている（悪性ネームサーバと関連している）場合、分析部１０は、その「ａ．ａ．ａ．ａ」を再利用悪性ＩＰと判定する。

次いで、分析部１０は、図７に示すように、再利用悪性ＩＰと判定した「ａ．ａ．ａ．ａ」と、「ａ．ａ．ａ．ａ」に関連した「ｎｓ１．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」「ｎｓ２．ｍａｌｉｃｉｏｕｓ．ｃｏｍ」「ｎｓ１．ｂａｄ．ｃｏｍ」…の悪性ネームサーバとを再利用ＩＰリスト情報２２に格納する。

図１に戻り、記憶部２０は、メモリなどの記憶装置であり、悪性ネームサーバリスト情報２１および再利用ＩＰリスト情報２２を格納する。

検知部３０は、記憶部２０に格納された悪性ネームサーバリスト情報２１、再利用ＩＰリスト情報２２と、入力ドメインリスト３１とを入力として、入力ドメインリスト３１のネームサーバが悪性ドメインであるものを検知する悪性通信検知処理（Ｓ３）を行う。

具体的には、検知部３０は、入力ドメインリスト３１に含まれるドメインのうち、ドメインのネームサーバまたはドメインに関連するＩＰアドレスが悪性ネームサーバリスト情報２１または再利用ＩＰリスト情報２２に該当するドメインを悪性ドメインとして検出する。次いで、検知部３０は、入力ドメインリスト３１より検出した悪性ドメインを列挙した悪性ドメイン検出リスト３３と、悪性ドメインのネームサーバを列挙した悪性ネームサーバ検出リスト３２とを出力する。すなわち、悪性ドメイン検出リスト３３および悪性ネームサーバ検出リスト３２は、第２のリスト情報の一例である。

図８は、悪性通信検知処理の一例を示すフローチャートである。図８に示すように、処理が開始されると、検知部３０は、入力ドメインリスト３１から未選択のドメインを１つ選択する（Ｓ３１）。

次いで、検知部３０は、ＤＮＳ３にクエリを出して、選択したドメインのネームサーバ（ＮＳレコード）と、（さらにネームサーバ自体もクエリを出して）ネームサーバのＩＰ（Ａレコード）とを取得する（Ｓ３２）。

次いで、検知部３０は、選択したドメインのネームサーバについて、悪性ネームサーバリスト情報２１に該当するネームサーバが存在するか否かを判定することで、ネームサーバが悪性サーバか否かを判定する（Ｓ３３）。

悪性ネームサーバリスト情報２１に該当するネームサーバが存在する場合（Ｓ３３：Ｙｅｓ）、検知部３０は、選択したドメインを悪性ドメイン検出リスト３３に登録し（Ｓ３４）、Ｓ３７へ処理を進める。

悪性ネームサーバリスト情報２１に該当するネームサーバが存在しない場合（Ｓ３３：Ｎｏ）、検知部３０は、選択したドメインのネームサーバのＩＰについて、再利用ＩＰリスト情報２２に該当するＩＰアドレスが存在するか否かを判定することで、選択したドメインに関するＩＰが再利用悪性ＩＰか否かを判定する（Ｓ３５）。

再利用ＩＰリスト情報２２に該当するＩＰアドレスが存在する場合（Ｓ３５：Ｙｅｓ）、検知部３０は、選択したドメインを悪性ドメイン検出リスト３３に登録し、選択したドメインのネームサーバも悪性ネームサーバと識別して悪性ネームサーバ検出リスト３２へ登録し（Ｓ３６）、Ｓ３７へ処理を進める。再利用ＩＰリスト情報２２に該当するＩＰアドレスが存在しない場合（Ｓ３５：Ｎｏ）、検知部３０は、Ｓ３６をスキップしてＳ３７へ処理を進める。

次いで、検知部３０は、入力ドメインリスト３１において未選択のドメインが存在するか否かを判定し（Ｓ３７）、存在する場合（Ｓ３７：Ｙｅｓ）はＳ３１へ処理を戻す。未選択のドメインが存在しない場合（Ｓ３７：Ｎｏ）、検知部３０は、悪性ネームサーバ検出リスト３２および悪性ドメイン検出リスト３３の処理結果を出力し（Ｓ３８）、処理を終了する。なお、検知部３０は、悪性ネームサーバ検出リスト３２をもとに、記憶部２０の悪性ネームサーバリスト情報２１に含まれていない悪性ネームサーバを加え、悪性ネームサーバリスト情報を更新する。

図１に戻り、通信制御部４０は、通信インタフェースを介して通信される通信パケットを監視し、所定の通信パケットの通過／遮断を制御することで、通信のアクセス制御（Ｓ４）を行う処理部である。

具体的には、通信制御部４０は、悪性ネームサーバ検出リスト３２および悪性ドメイン検出リスト３３に基づき、悪性ネームサーバ検出リスト３２および悪性ドメイン検出リスト３３に該当するドメインまたはネームサーバに関連するＩＰアドレスを通信先とするアクセス（通信パケット）を遮断する。また、通信制御部４０は、悪性ネームサーバ検出リスト３２および悪性ドメイン検出リスト３３に該当するドメインまたはネームサーバに関連するＩＰアドレスを通信元とするアクセス（通信パケット）を遮断する。

以上のように、情報処理装置１は、サイバー攻撃情報に含まれるドメイン情報の悪性ドメインリスト１１を取得するとともに、ドメイン情報とＩＰアドレスとの対応付けを管理するＤＮＳ３の通信をモニタリングしてドメイン情報とＩＰアドレスとの対応付けに関するＤＮＳ３の回答履歴を管理するＰａｓｓｉｖｅ ＤＮＳ２より、取得したドメイン情報に対応するレコード情報を取得する。また、情報処理装置１は、取得したドメイン情報およびレコード情報を分析して繰り返し用いられているＩＰアドレスと、そのＩＰアドレスに関連するネームサーバとを特定する。また、情報処理装置１は、特定したＩＰアドレスと、ネームサーバとを示す悪性ネームサーバリスト情報２１、再利用ＩＰリスト情報２２を出力する。

これにより、ユーザは、攻撃者によって運用されている攻撃インフラ（悪性ネームサーバ、使い回されているＩＰアドレス）を容易に特定することができる。また、ユーザは、このようにして特定した攻撃インフラをテイクダウンすることで、サイバー攻撃に対処することできる。

また、情報処理装置１は、入力ドメインリスト３１に含まれるドメインのうち、ドメインのネームサーバまたはドメインに関連するＩＰアドレスが悪性ネームサーバリスト情報２１、再利用ＩＰリスト情報２２に該当するドメインと、そのドメインのネームサーバとを示す悪性ネームサーバ検出リスト３２、悪性ドメイン検出リスト３３を出力する。

これにより、ユーザは、入力ドメインリスト３１の中から攻撃者によって運用されている悪性ドメイン、悪性ネームサーバを容易に特定することができる。また、ユーザは、このようにして特定した悪性ドメイン、悪性ネームサーバをテイクダウンすることで、サイバー攻撃に対処することできる。

また、情報処理装置１は、悪性ネームサーバ検出リスト３２、悪性ドメイン検出リスト３３に基づき、該当するドメインまたはネームサーバに関連するＩＰアドレスへのアクセス、およびＩＰアドレスからのアクセスを遮断する。

このように攻撃者によって運用されている悪性ドメイン、悪性ネームサーバに関連するアクセスを遮断することで、情報処理装置１は、攻撃者によって運用されている攻撃インフラへの不用意な接続を抑止することができる。

（その他）
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

また、情報処理装置１で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、情報処理装置１で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。

ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図９は、実施形態にかかる情報処理装置１のハードウエア構成の一例を示すブロック図である。

図９に示すように、情報処理装置１は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、スピーカ１０４とを有する。また、情報処理装置１は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、情報処理装置１は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、情報処理装置１内の各部（１０１〜１０９）は、バス１１０に接続される。

ハードディスク装置１０９には、上記の実施形態で説明した分析部１０、検知部３０および通信制御部４０等における各種の処理を実行するための検知プログラム１１１が記憶される。また、ハードディスク装置１０９には、検知プログラム１１１が参照する各種データ１１２が記憶される。入力装置１０２は、例えば、操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Local Area Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。

ＣＰＵ１０１は、ハードディスク装置１０９に記憶された検知プログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、分析部１０、検知部３０および通信制御部４０等にかかる各種の処理を行う。なお、検知プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、情報処理装置１が読み取り可能な記憶媒体に記憶された検知プログラム１１１を読み出して実行するようにしてもよい。情報処理装置１が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal Serial Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこの検知プログラム１１１を記憶させておき、情報処理装置１がこれらから検知プログラム１１１を読み出して実行するようにしてもよい。

以上の実施形態に関し、さらに以下の付記を開示する。

（付記１）サイバー攻撃情報に含まれるドメイン情報を取得するとともに、ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバの通信を監視することによりドメイン情報とＩＰアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバから、取得した前記ドメイン情報に対応するレコード情報を取得し、
取得した前記レコード情報を分析して繰り返し用いられているＩＰアドレスと、当該ＩＰアドレスに関連するネームサーバとを特定し、
特定した前記ＩＰアドレスと、前記ネームサーバとを示す第１のリスト情報を出力する、
処理をコンピュータに実行させることを特徴とする検知プログラム。

（付記２）入力されたドメインリストに含まれるドメインのうち、前記ドメインのネームサーバまたは前記ドメインに関連するＩＰアドレスが前記第１のリスト情報に該当するドメインと、当該ドメインのネームサーバとを示す第２のリスト情報を出力する処理をさらにコンピュータに実行させる、
ことを特徴とする付記１に記載の検知プログラム。

（付記３）前記第２のリスト情報に基づき、当該第２のリスト情報に該当するドメインまたはネームサーバに関連するＩＰアドレスへのアクセス、および前記ＩＰアドレスからのアクセスを遮断する処理をさらにコンピュータに実行させる、
ことを特徴とする付記２に記載の検知プログラム。

（付記４）サイバー攻撃情報に含まれるドメイン情報を取得するとともに、ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバの通信を監視することによりドメイン情報とＩＰアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバから、取得した前記ドメイン情報に対応するレコード情報を取得し、
取得した前記レコード情報を分析して繰り返し用いられているＩＰアドレスと、当該ＩＰアドレスに関連するネームサーバとを特定し、
特定した前記ＩＰアドレスと、前記ネームサーバとを示す第１のリスト情報を出力する、
処理をコンピュータが実行することを特徴とする検知方法。

（付記５）入力されたドメインリストに含まれるドメインのうち、前記ドメインのネームサーバまたは前記ドメインに関連するＩＰアドレスが前記第１のリスト情報に該当するドメインと、当該ドメインのネームサーバとを示す第２のリスト情報を出力する処理をさらにコンピュータが実行する、
ことを特徴とする付記４に記載の検知方法。

（付記６）前記第２のリスト情報に基づき、当該第２のリスト情報に該当するドメインまたはネームサーバに関連するＩＰアドレスへのアクセス、および前記ＩＰアドレスからのアクセスを遮断する処理をさらにコンピュータが実行する、
ことを特徴とする付記５に記載の検知方法。

（付記７）サイバー攻撃情報に含まれるドメイン情報を取得するとともに、ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバの通信を監視することによりドメイン情報とＩＰアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバから、取得した前記ドメイン情報に対応するレコード情報を取得する取得部と、
取得した前記レコード情報を分析して繰り返し用いられているＩＰアドレスと、当該ＩＰアドレスに関連するネームサーバとを特定する特定部と、
特定した前記ＩＰアドレスと、前記ネームサーバとを示す第１のリスト情報を出力する出力部と、
を有することを特徴とする情報処理装置。

（付記８）入力されたドメインリストに含まれるドメインのうち、前記ドメインのネームサーバまたは前記ドメインに関連するＩＰアドレスが前記第１のリスト情報に該当するドメインと、当該ドメインのネームサーバとを示す第２のリスト情報を出力する検知部をさらに有する、
ことを特徴とする付記７に記載の情報処理装置。

（付記９）前記第２のリスト情報に基づき、当該第２のリスト情報に該当するドメインまたはネームサーバに関連するＩＰアドレスへのアクセス、および前記ＩＰアドレスからのアクセスを遮断する通信制御部をさらに有する、
ことを特徴とする付記８に記載の情報処理装置。

１…情報処理装置
２…Ｐａｓｓｉｖｅ ＤＮＳ
３…ＤＮＳ
１０…分析部
１１…悪性ドメインリスト
１２…設定情報
１３…ネームサーバ情報
２０…記憶部
２１…悪性ネームサーバリスト情報
２２…再利用ＩＰリスト情報
３０…検知部
３１…入力ドメインリスト
３２…悪性ネームサーバ検出リスト
３３…悪性ドメイン検出リスト
４０…通信制御部
Ｄ１…悪性ドメイン−ネームサーバ情報
１５…バス
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…スピーカ
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…検知プログラム
１１２…各種データ

Claims (5)

1. サイバー攻撃情報に含まれるドメイン情報を取得するとともに、ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバの通信を監視することによりドメイン情報とＩＰアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバから、取得した前記ドメイン情報に対応するレコード情報を取得し、
   取得した前記レコード情報を分析して繰り返し用いられているＩＰアドレスと、当該ＩＰアドレスに関連するネームサーバとを特定し、
   特定した前記ＩＰアドレスと、前記ネームサーバとを示す第１のリスト情報を出力する、
   処理をコンピュータに実行させることを特徴とする検知プログラム。
2. 入力されたドメインリストに含まれるドメインのうち、前記ドメインのネームサーバまたは前記ドメインに関連するＩＰアドレスが前記第１のリスト情報に該当するドメインと、当該ドメインのネームサーバとを示す第２のリスト情報を出力する処理をさらにコンピュータに実行させる、
   ことを特徴とする請求項１に記載の検知プログラム。
3. 前記第２のリスト情報に基づき、当該第２のリスト情報に該当するドメインまたはネームサーバに関連するＩＰアドレスへのアクセス、および前記ＩＰアドレスからのアクセスを遮断する処理をさらにコンピュータに実行させる、
   ことを特徴とする請求項２に記載の検知プログラム。
4. サイバー攻撃情報に含まれるドメイン情報を取得するとともに、ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバの通信を監視することによりドメイン情報とＩＰアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバから、取得した前記ドメイン情報に対応するレコード情報を取得し、
   取得した前記レコード情報を分析して繰り返し用いられているＩＰアドレスと、当該ＩＰアドレスに関連するネームサーバとを特定し、
   特定した前記ＩＰアドレスと、前記ネームサーバとを示す第１のリスト情報を出力する、
   処理をコンピュータが実行することを特徴とする検知方法。
5. サイバー攻撃情報に含まれるドメイン情報を取得するとともに、ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバの通信を監視することによりドメイン情報とＩＰアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバから、取得した前記ドメイン情報に対応するレコード情報を取得する取得部と、
   取得した前記レコード情報を分析して繰り返し用いられているＩＰアドレスと、当該ＩＰアドレスに関連するネームサーバとを特定する特定部と、
   特定した前記ＩＰアドレスと、前記ネームサーバとを示す第１のリスト情報を出力する出力部と、
   を有することを特徴とする情報処理装置。
   

Images