JP2023067463A - ドメイン検索プログラム、ドメイン検索方法および情報処理装置 - Google Patents

ドメイン検索プログラム、ドメイン検索方法および情報処理装置 Download PDF

Info

Publication number
JP2023067463A
JP2023067463A JP2021178730A JP2021178730A JP2023067463A JP 2023067463 A JP2023067463 A JP 2023067463A JP 2021178730 A JP2021178730 A JP 2021178730A JP 2021178730 A JP2021178730 A JP 2021178730A JP 2023067463 A JP2023067463 A JP 2023067463A
Authority
JP
Japan
Prior art keywords
domain
character string
level
brand
specific
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2021178730A
Other languages
English (en)
Inventor
剛 谷口
Takeshi Taniguchi
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2021178730A priority Critical patent/JP2023067463A/ja
Priority to EP22182554.0A priority patent/EP4174684A1/en
Priority to US17/857,086 priority patent/US20230133524A1/en
Publication of JP2023067463A publication Critical patent/JP2023067463A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/955—Retrieval from the web using information identifiers, e.g. uniform resource locators [URL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/30—Managing network names, e.g. use of aliases or nicknames

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

【課題】ドメインの悪用を検知する。【解決手段】実施形態のドメイン検索プログラムは、生成する処理と、出力する処理とコンピュータに実行させる。生成する処理は、ドメイン名空間における第１階層のドメインの文字列と、第１階層の下位の階層となる第２階層のドメインの文字列とを連結した文字列を生成する。出力する処理は、特定のドメインを少なくとも１つ記述したドメインリストに、生成した文字列のドメインが含まれている場合に特定のドメインの不正利用についての指標となる情報を出力する。【選択図】図９

Description

本発明の実施形態は、ドメイン検索プログラム、ドメイン検索方法および情報処理装置に関する。
２０００年付近からブランドドメインを狙ったタイポスクワッティングのような手法によって、ユーザのＵＲＬの打ち間違えを広告にリダイレクトさせて収益化するドメインパーキングサービスの悪用（以下、不正利用ともいう）や、フィッシング詐欺による認証情報窃取など様々な被害が発生している。ブランドドメインとは、一般的に浸透されている著名なドメインのことである。例えば、ブランドドメインには、Ｇｏｏｇｌｅ（登録商標）のｇｏｏｇｌｅ．ｃｏｍ、Ａｐｐｌｅ社（登録商標）のａｐｐｌｅ．ｃｏｍ、富士通（登録商標）のｆｕｊｉｔｓｕ．ｃｏｍ、Ｙｏｕｔｕｂｅ（登録商標）のｙｏｕｔｕｂｅ．ｃｏｍなどがある。
ブランドドメインを悪用するタイポスクワッティングの検知として、マイクロソフト社（登録商標）がＳｔｒｉｄｅｒ Ｔｙｐｏ－Ｐａｔｒｏｌを提案している。この手法では、ブランドドメインのｔｙｐｏドメインを自動的にスキャンしてＨＴＴＰログを精査する。
また、ブランドドメインの悪用検知については、レベルスクワッティング検知手法が提案されている。レベルスクワッティングでは、サブドメインは何のコストも制約もなく、自由にどのような文字列でも運用できることを悪用する。例えば、レベルスクワッティングでは、ブランドとは全く関係ないドメインのサブドメインとして、ブランドドメインのＦＱＤＮ（Fully Qualified Domain Name）に見える文字列を運用する。
レベルスクワッティング検知手法の従来技術では、ｇｏｏｇｌｅ．ｃｏｍ。ｅｘａｍｐｌｅ．ｃｏｍが例として示されている。ｇｏｏｇｌｅ．ｃｏｍはＧｏｏｇｌｅのドメインであるが、この例ではｇｏｏｇｌｅ．ｃｏｍはサブドメインであり、ｅｘａｍｐｌｅ．ｃｏｍはＧｏｏｇｌｅと無関係なドメインである。
同じように、ｆｕｊｉｔｓｕ．ｃｏｍ．ｅｘａｍｐｌｅ．ｃｏｍなどのサブドメインも制約なく運用可能である。タイポスクワッティングと比較すると、サブドメイン部分はブランドドメインそのものの文字列であり、特にスマートフォンなどの表示領域は狭くＵＲＬの前半部分しか表示されないため、ブランドドメインと騙されたユーザがアクセスしてしまうケースがある。この手法ではＰａｓｓｉｖｅ ＤＮＳをベースに、名前解決の正引きの履歴からドメインのサブドメインにブランドドメインが入っているものを検知する。
特開２０１２－１１８５７７号公報 特開２０１２－１１８７１３号公報 国際公開第２０２０／０２１８１１号
Wang, Yi-Min, et al. "Strider Typo-Patrol: Discovery and Analysis of Systematic Typo-Squatting." SRUTI 6.31-36 (2006): 2-2. Du, Kun, et al. "TL; DR hazard: A comprehensive study of levelsquatting scams." International Conference on Security and Privacy in Communication Systems. Springer, Cham, 2019.
しかしながら、上記の従来技術では、ブランドドメインの部分文字列をドメインとして登録し、ドメイン全体をサブドメインで補完するようなドメインの悪用を検知することが困難であるという問題がある。
例えば、ブランドドメインの部分文字列をドメインとして登録し、ドメイン全体をサブドメインで補完した場合、文字列の中に不自然なドットが残るものの、元のブランドドメインと酷似したＦＱＤＮの文字列を悪用可能である。
一例として、ｆｕｊｉｔｓｕ．ｃｏｍを狙う場合、ｔｓｕ．ｃｏｍを登録し、サブドメインとしてｆｕｊｉを運用すれば、ｆｕｊｉ．ｔｓｕ．ｃｏｍとなる。以後の説明では、このようなブランドドメインの部分文字列を登録することを部分文字列占拠（ｓｕｂｓｔｒｉｎｇ ｓｑｕａｔｔｉｎｇ）、登録されたドメインを部分文字列占拠ドメイン、悪用されたサブドメインを部分文字列占拠サブドメインと呼ぶ。
部分文字列占拠ドメイン悪用手法では以下のような問題点がある。
（１）標的となったブランドドメインと編集距離が遠いドメインを登録するので、従来のタイポスクワッティング検知手法では検知することが難しい。
（２）ブランドドメインをそのままサブドメインとして悪用するわけではないので、レベルスクワッティング検知手法で検知することが難しい。
（３）サブドメインを悪用するために、登録コストがかからず、かつ好きなタイミングで応答するように運用可能である。
（４）ＴＬＤ（Top Level Domain）は２０１２年以降にＩＣＡＮＮ（The Internet Corporation for Assigned Names and Numbers）の規制緩和により、委任が開始されたものが１２００以上あり、標的と同じＴＬＤにこだわらなければ大量の部分文字列占拠が可能である。例えば、ｔｓｕ。ｘｘｘ（ｘｘｘはＴＬＤ）は、ｃｃＴＬＤ（country code Top Level Domain）を含めると１５００以上の占拠の可能性がある。
このように、ブランドドメインに対する大量の部分文字列占拠が可能であることから、部分文字列占拠ドメイン悪用手法が検知されないと、ブランドドメインに対する悪用のリスクを適切に評価することが難しくなる。
１つの側面では、ドメインの悪用を検知できるドメイン検索プログラム、ドメイン検索方法および情報処理装置を提供することを目的とする。
１つの案では、ドメイン検索プログラムは、生成する処理と、出力する処理とコンピュータに実行させる。生成する処理は、ドメイン名空間における第１階層のドメインの文字列と、第１階層の下位の階層となる第２階層のドメインの文字列とを連結した文字列を生成する。出力する処理は、特定のドメインを少なくとも１つ記述したドメインリストに、生成した文字列のドメインが含まれている場合に特定のドメインの不正利用についての指標となる情報を出力する。
ドメインの悪用を検知できる。
図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。 図２は、共通末尾文字列抽出処理の一例を示すフローチャートである。 図３は、共通末尾文字列データの一例を説明する説明図である。 図４は、登録ドメイン問合わせ処理の一例を示すフローチャートである。 図５は、登録末尾登録ドメインデータの一例を説明する説明図である。 図６は、部分文字列占拠検知処理の一例を示すフローチャートである。 図７は、部分文字列占拠サブドメインデータの一例を説明する説明図である。 図８は、リスク評価処理の一例を示すフローチャートである。 図９は、ブランドドメイン被害状況データの一例を説明する説明図である。 図１０は、ＴＬＤ悪用状況データの一例を説明する説明図である。 図１１は、コンピュータ構成の一例を説明する説明図である。
以下、図面を参照して、実施形態にかかるドメイン検索プログラム、ドメイン検索方法および情報処理装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明するドメイン検索プログラム、ドメイン検索方法および情報処理装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
実施形態の情報処理装置では、ルートのすぐ下にあるＴＬＤ（例えば、「ｕｓ」、「ｊｐ」、「ｃｏｍ」など）よりピリオドで区切られたホスト名・ドメイン名などが形成する階層構造のドメイン名空間において、第１階層のドメインの文字列と、その次の第２階層のドメインの文字列とを連結した文字列を生成する。そして、実施形態の情報処理装置は、ブランドドメインなどの特定のドメインを少なくとも１つ記述したドメインリストに、生成した文字列のドメインが含まれている場合に特定のドメインの不正利用を検知する。
具体的には、実施形態の情報処理装置は、アクセス数が多いブランドドメインに共通している末尾文字列を基にして、第１階層のドメイン、すなわち部分文字列占拠ドメインを特定する。ついで、実施形態の情報処理装置は、多くのブランドドメインをサブドメインで悪用しやすいドメインのサブドメイン（第２階層のドメイン）を、例えばＰａｓｓｉｖｅ ＤＮＳ（Domain Name System）レコードから収集し、繰り返し被害を受けているブランドドメインのリスク評価を行う。
部分文字列占拠ドメインは、ブランドドメインの末尾の文字列をドメインとして登録して悪用するため、様々なブランドドメインで共通している末尾文字列を登録すると使い回しが可能となる。例えば、「ｅ」というドメインを登録すれば、ｇｏｏｇｌ．ｅ、ａｐｐｌ．ｅ、ａｄｏｂ．ｅ、ｙｏｕｔｕｂ．ｅ等といったサブドメインが悪用可能である。逆の言い方をすると、そのような文字列を活用すれば効率よい部分文字列占拠検知が可能となる。
また、サブドメイン悪用の方法が特殊であり、全てのブランドドメインが対象となっているとは限らない。ブランドドメインの部分文字列から検知するよりも既に名前解決が観察されたサブドメインの中から悪用されたブランドドメインを検知する方が効率的である。
図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。実施形態にかかる情報処理装置１は、例えば、ＰＣ（パーソナルコンピュータ）などのコンピュータである。図１に示すように、情報処理装置１は、共通末尾文字列抽出部１０、登録ドメイン問合せ部１１、部分文字列占拠検知部１２およびリスク評価部１３を有する。
共通末尾文字列抽出部１０は、ブランドドメインリスト２０と、共通ブランド数閾値２１とを入力とし、ブランドドメインリスト２０に記述されたブランドドメインに共通する末尾文字列に関する共通末尾文字列データ２３を出力する処理部である。
図２は、共通末尾文字列抽出処理の一例を示すフローチャートである。図２に示すように、共通末尾文字列抽出処理が開始されると、共通末尾文字列抽出部１０は、ブランドドメインリスト２０に記述されたブランドドメインから未選択のドメインを１つ選択する（Ｓ１０）。
ここで、ブランドドメインリスト２０は、少なくとも１つ以上の著名なブランドドメインを記述したリストである。ブランドドメインリスト２０は、重複のない、有効なＳＬＤ（Second Level Domain）のリストである。ブランドドメインリスト２０には、少なくとも１つ以上の著名なブランドドメインが記述されている。例えば、Ｇｏｏｇｌｅについては、ｇｏｏｇｌｅ．ｃｏｍやｇｏｏｇｌｅ．ｃｏ．ｊｐ等の多くのドメインが存在するが、ブランドドメインリスト２０にはｇｏｏｇｌｅのみが記述されている。
ついで、共通末尾文字列抽出部１０は、選択したドメイン（ＳＬＤ）から末尾の１文字を含む任意の文字数の部分文字列群を抽出する（Ｓ１１）。例えば、共通末尾文字列抽出部１０は、ｇｏｏｇｌｅであれば、ｅ、ｌｅ、ｇｌｅ、ｏｇｌｅ、ｏｏｇｌｅなどを部分文字列群として抽出する。
ついで、共通末尾文字列抽出部１０は、共通末尾文字列データ２３に登録済みの部分文字列は共通ブランド数を＋１、登録がないものは新規登録する（Ｓ１２）。ついで、共通末尾文字列抽出部１０は、ブランドドメインリスト２０の中で未選択のブランドドメインが存在するか否かを判定する（Ｓ１３）。未選択のブランドドメインが存在する場合（Ｓ１３：Ｙｅｓ）、共通末尾文字列抽出部１０はＳ１０へ処理を戻し、存在しない場合（Ｓ１３：Ｎｏ）、共通末尾文字列抽出部１０はＳ１４へ処理を進める。このように、共通末尾文字列抽出部１０は、Ｓ１０～Ｓ１２の一連の処理をブランドドメインリスト２０の中に未選択のブランドドメインが存在しなくなるまで繰り返す。
ついで、共通末尾文字列抽出部１０は、共通末尾文字列データ２３における共通ブランド数閾値２１以上の共通末文字列について，共通ブランド数をキーにソーティングし（Ｓ１４）、処理を終了する。
図３は、共通末尾文字列データ２３の一例を説明する説明図である。図３に示すように、共通末尾文字列データ２３には、「共通末尾文字列」の列に「ｅ」「ｎ」「ｘ」といったブランドドメインリスト２０のブランドドメインに共通していた末尾文字列、「共通ブランド数」の列に「１００」「８０」「７０」といった共通していたブランド数が格納されている。
図１に戻り、登録ドメイン問合せ部１１は、共通末尾文字列データ２３と登録ドメインデータ２４とを入力とし、入力されたデータに基づいて共通末尾登録ドメインデータ２５を出力する処理部である。具体的には、登録ドメイン問合せ部１１は、共通末尾文字列を名称とするドメインがＴＤＬに登録済であるか否か、すなわちドメイン名空間に存在するドメインであるか否かを確認し、登録済みのドメインを共通末尾登録ドメインデータ２５として出力する。
図４は、登録ドメイン問合わせ処理の一例を示すフローチャートである。図４に示すように、登録ドメイン問合わせ処理が開始されると、登録ドメイン問合せ部１１は、共通末尾文字列データ２３から未選択の共通末尾文字列を１つ選択する（Ｓ２０）。ついで、登録ドメイン問合せ部１１は、登録ドメインデータ２４を参照し、登録が確認できたものを共通末尾登録ドメインデータ２５に登録する（Ｓ２１）。ついで、登録ドメイン問合せ部１１は、未選択の共通末尾文字列が共通末尾文字列データ２３に存在するか否かを判定し（Ｓ２３）、存在する場合（Ｓ２３：Ｙｅｓ）はＳ２０へ処理を戻し、存在しない場合（Ｓ２３：Ｎｏ）は処理を終了する。
ここで、登録ドメインデータ２４は、ＤＮＳサーバ等に格納されている登録済みのドメインを示すデータである。登録ドメイン問合せ部１１は、登録ドメインデータ２４の参照の際にはＳＬＤでマッチングし、全てのＴＤＬに対する登録ドメインを抽出する。登録ドメイン問合せ部１１は、この一連の処理（Ｓ２０～Ｓ２３）を未選択の共通末尾文字列が存在しなくなるまで繰り返す。
図５は、共通末尾登録ドメインデータ２５の一例を説明する説明図である。図５に示すように、共通末尾登録ドメインデータ２５において、「共通末尾登録ドメイン」の列には「ｅ．ＴＬＤ１」「ｅ．ＴＬＤ２」といったいくつかのＴＬＤ（例えばＴＬＤ１、ＴＬＤ２は「ｕｓ」、「ｃｏｍ」等）において登録が確認できた「ｅ」ドメインが格納されている。
図１に戻り、部分文字列占拠検知部１２は、共通末尾登録ドメインデータ２５、ブランドドメインリスト２０、ドメインパーキングリスト２７およびＰａｓｓｉｖｅＤＮＳ ＤＢ２６を入力として部分文字列占拠サブドメインデータ２８を出力する処理部である。具体的には、部分文字列占拠検知部１２は、共通末尾登録ドメインデータ２５に含まれるドメインの文字列と、そのドメインについて名前解決が観察されたサブドメインの文字列とを連結した文字列を生成する。ついで、部分文字列占拠検知部１２は、この連結した文字列のドメインがブランドドメインリスト２０に含まれている場合に該当するブランドドメインの不正利用として検知し、検知結果を部分文字列占拠サブドメインデータ２８として出力する。
図６は、部分文字列占拠検知処理の一例を示すフローチャートである。図６に示すように、部分文字列占拠検知処理が開始されると、部分文字列占拠検知部１２は、共通末尾登録ドメインデータ２５から未選択の共通末尾登録ドメインを１つ選択する（Ｓ３０）。
ついで、部分文字列占拠検知部１２は、選択した共通末尾登録ドメインに対してＰａｓｓｉｖｅＤＮＳ ＤＢ２６を参照し、名前解決が観察されたサブドメイン群とネームサーバ群を抽出する（Ｓ３１）。例えば、部分文字列占拠検知部１２は、Ｆａｒｓｉｇｈｔ Ｓｅｃｕｒｉｔｙ（登録商標）社が提供するＤＮＳ ＤＢを利用する場合には、ＡＰＩ（Application Programming Interface）のワイルドカード機能を利用すればドメインに対するＡ，ＡＡＡＡ，ＣＮＡＭＥ，ＮＳ等のレコードを抽出することができる。部分文字列占拠検知部１２は、この抽出したレコードより、Ａレコードの中のサブドメインの形式でクエリが出されたレコードと、ＮＳレコードとを抽出する。
ついで、部分文字列占拠検知部１２は、抽出したサブドメイン群から、共通末尾登録ドメインと組み合わせて連結した文字列を生成し、生成した文字列のドメインについてブランドドメインリスト２０に含まれるブランドドメインと一致するものを全て検出する。ついで、部分文字列占拠検知部１２は、検出したブランドドメインについて、ネームサーバとともに、部分文字列占拠サブドメインデータ２８に登録する（Ｓ３２）。
ついで、部分文字列占拠検知部１２は、ドメインパーキングリスト２７に共通末尾登録ドメインについて該当するネームサーバが存在すれば「Ｐａｒｋｅｄ」、しなければ「ＮＡ」を登録する（Ｓ３３）。ドメインパーキングリスト２７は、各ドメインについて、ドメインのパーキングサービスの利用の有無を記述したデータである。「Ｐａｒｋｅｄ」は、パーキングサービスの利用を示し、「ＮＡ」はパーキングサービスの利用の該当なしを示す。
ついで、部分文字列占拠検知部１２は、未選択の共通末尾登録ドメインが共通末尾登録ドメインデータ２５に存在するか否かを判定し（Ｓ３４）、存在する場合（Ｓ３４：Ｙｅｓ）はＳ３０へ処理を戻し、存在しない場合（Ｓ３４：Ｎｏ）は処理を終了する。部分文字列占拠検知部１２は、この一連の処理（Ｓ３０～Ｓ３３）を未選択の共通末尾登録ドメインが存在しなくなるまで繰り返す。
図７は、部分文字列占拠サブドメインデータ２８の一例を説明する説明図である。図７に示すように、部分文字列占拠サブドメインデータ２８において、「部分文字列占拠サブドメイン」の列には「ｚｏｏｇｌ．ｅ．ＴＬＤ１」「ｂｐｐｌ．ｅ．ＴＬＤ１」「ｘｄｏｂ．ｅ．ＴＬＤ１」といったｅ．ＴＬＤ１に対して名前解決の履歴が確認できたサブドメインが格納されている。また、「ネームサーバ」の列には、「ｎｓ１．ｐａｒｋｉｎｇ１．ｃｏｍ」といったネームサーバ，「パークドメイン」にはネームサーバがパーキングサービスプロバイダであることを示す「Ｐａｒｋｅｄ」が格納されている。
図１に戻り、リスク評価部１３は、部分文字列占拠サブドメインデータ２８を入力として、ブランドドメイン被害状況データ２９およびＴＬＤ悪用状況データ３０を出力する処理部である。具体的には、リスク評価部１３は、部分文字列占拠検知部１２の検知結果をもとに、ブランドドメインの不正利用に関するリスクを評価し、評価結果をブランドドメイン被害状況データ２９およびＴＬＤ悪用状況データ３０として出力する。
図８は、リスク評価処理の一例を示すフローチャートである。図８に示すように、リスク評価処理が開始されると、リスク評価部１３は、部分文字列占拠サブドメインデータ２８から未選択の部分文字列占拠ドメインを１つ選択する（Ｓ４０）。
ついで、リスク評価部１３は、選択した部分文字列占拠サブドメインのサブドメインとドメインを連結した文字列を取得する（Ｓ４１）。ついで、リスク評価部１３は、連結した文字列がブランドドメイン被害状況データ２９に登録されているか否かを判定する（Ｓ４２）。なお、以下では、連結した文字列のドメインについてのリスク評価を例示するが、連結前の部分文字列占拠サブドメインにおけるドメインの評価であってもよい。
ブランドドメイン被害状況データ２９に登録されている場合（Ｓ４２：Ｙｅｓ）、リスク評価部１３は、ブランドドメイン被害状況データ２９のサブドメイン数を＋１とし（Ｓ４３）、Ｓ４５へ処理を進める。ブランドドメイン被害状況データ２９に登録されていない場合（Ｓ４２：Ｎｏ）、リスク評価部１３は、連結した文字列のブランドドメインをブランドドメイン被害状況データ２９に新規登録し（Ｓ４４）、Ｓ４５へ処理を進める。
ついで、リスク評価部１３は、連結した文字列のドメインがパークドメインであるか否かを部分文字列占拠サブドメインデータ２８のパークドメインの列をもとに判定する（Ｓ４５）。
パークドメインである場合（Ｓ４５：Ｙｅｓ）、リスク評価部１３は、ブランドドメイン被害状況データ２９のパークドメイン数を＋１とし（Ｓ４６）、Ｓ４７へ処理を進める。パークドメインでない場合（Ｓ４５：Ｎｏ）、リスク評価部１３は、Ｓ４６をスキップしてＳ４７へ処理を進める。
ついで、リスク評価部１３は、脅威情報登録サイト等が提供するサイバー攻撃に関する脅威情報をもとに、連結した文字列のドメインの悪性判定を行う（Ｓ４７）。ここで、脅威情報とは、サイバー攻撃の攻撃者の動機、目的、特徴や手口等を整理した攻撃情報を示すサイバースレットインテリジェンス（ＣＴＩ）のことをいう。
具体的には、リスク評価部１３は、連結した文字列のドメインが脅威情報に含まれている場合は悪性と判定し（Ｓ４７：Ｙｅｓ）、悪性判定数を＋１とする（Ｓ４８）。連結した文字列のドメインが脅威情報に含まれていない場合（Ｓ４７：Ｎｏ）、リスク評価部１３は、Ｓ４８をスキップしてＳ４９へ処理を進める。
ついで、リスク評価部１３は、連結した文字列のドメインに関するＴＬＤがＴＬＤ悪用状況データ３０に登録されているか否かを判定する（Ｓ４９）。ＴＬＤがＴＬＤ悪用状況データ３０に登録されている場合（Ｓ４９：Ｙｅｓ）、リスク評価部１３は、ＴＬＤ悪用状況データ３０のサブドメイン数を＋１とし（Ｓ５０）、Ｓ５２へ処理を進める。ＴＬＤ悪用状況データ３０に登録されていない場合（Ｓ４９：Ｎｏ）、リスク評価部１３は、ＴＬＤをＴＬＤ悪用状況データ３０に新規登録し（Ｓ５１）、Ｓ５２へ処理を進める。
ついで、リスク評価部１３は、未選択の部分文字列占拠サブドメインが部分文字列占拠サブドメインデータ２８に存在するか否かを判定し（Ｓ５２）、存在する場合（Ｓ５２：Ｙｅｓ）はＳ４０へ処理を戻し、存在しない場合（Ｓ５２：Ｎｏ）は処理を終了する。リスク評価部１３は、この一連の処理（Ｓ４０～Ｓ５１）を未選択の部分文字列占拠サブドメインが存在しなくなるまで繰り返す。
図９は、ブランドドメイン被害状況データ２９の一例を説明する説明図である。図９に示すように、ブランドドメイン被害状況データ２９において、「ブランドドメイン」の列には「ｚｏｏｇｌｅ」「ｂｐｐｌｅ」、「ｘｄｏｂｅ」といった被害を受けたブランド名が格納されている。また、「サブドメイン数」の列には、「１００」、「９５」、「９０」といったブランドドメインが悪用されたサブドメインの数が格納されている。また、「パークドメイン数」の列には「７０」、「６０」、「５０」といった悪用されたサブドメインの内、パークドメインだった数が格納されている。また、「悪性判定数」の列には「５」、「３」、「２」といった脅威情報で悪性が確認できたサブドメインの数が格納されている。
図１０は、ＴＬＤ悪用状況データ３０の一例を説明する説明図である。図１０に示すように、ＴＬＤ悪用状況データ３０において、「ＴＬＤ」の列には、悪用されたＴＬＤである「ＴＬＤ１」、「ＴＬＤ３」、「ＴＤＬ７」が格納されている（ＴＬＤ１、ＴＬＤ３…は、例えば「ｃｏｍ」、「ｕｓ」などに対応）。また、「サブドメイン数」の列には、「１２０」、「１１０」、「８５」といった悪用されたＴＬＤに関連したサブドメインの数が格納されている。
以上のように、情報処理装置１では、ドメイン名空間における第１階層のドメインの文字列と、第１階層の下位の階層となる第２階層のドメインの文字列とを連結した文字列を生成する。また、情報処理装置１では、特定のドメインを少なくとも１つ記述したドメインリスト（共通ブランド数閾値２１）に、生成した文字列のドメインが含まれている場合に特定のドメインの不正利用についての指標となる情報を出力する。
これにより、情報処理装置１では、第１階層のドメインと、第１階層の次の第２階層のドメインの文字列とを連結した文字列が特定のドメインとなるような、特定のドメインに見せかけるドメインの悪用を検知することができる。例えば、情報処理装置１は、ブランドドメインの部分文字列をドメインとして登録し、ドメイン全体をサブドメインで補完するようにして行われる、部分文字列占拠ドメイン悪用手法を検知することができる。
また、情報処理装置１は、ドメインリストに記述された特定のドメインの末尾を含む１または複数の文字列のドメインがドメイン名空間に存在するか否かに基づいて第１階層のドメインを特定する。これにより、情報処理装置１は、特定のドメインの末尾を含む部分文字列のドメインを、第１階層のドメインとして絞り込むことができる。
また、本実施例の情報処理装置１において、第１階層のドメインは、ＴＬＤ（Top Level Domain）に対して登録済みのＳＬＤ（Second Level Domain）とする。これにより、情報処理装置１は、ＳＬＤと、ＳＬＤのサブドメインとを連結させることで特定のドメインと見せかけるようなドメインの不正利用を検知することができる。なお、第１階層のドメインは、サードレベルドメイン以降の階層とすることも可能である。
また、情報処理装置１は、第１階層のドメインにおける名前解決が確認されたサブドメイン群の中のドメインの文字列を第１階層のドメインの文字列と連結する。このように、情報処理装置１は、名前解決が確認されたサブドメイン群の中のドメインの文字列を第１階層のドメインの文字列と連結してドメインリストからの不正利用を検知することで、効率的に不正利用を検知できる。
例えば、ブランドドメインの数は多く、かつ全てのブランドドメインが被害を受けているわけではないので、全てのブランドドメインに対して部分文字列占拠を調査するにはＰａｓｓｉｖｅ ＤＮＳの大量のクエリが必要となり効率的ではない。情報処理装置１では悪用されたとしたときに多くのブランドドメインに使い回せるドメインをベースに名前解決が観察されたサブドメインの中から被害を受けたブランドドメインを探索するので、効率的である。また、不正利用の検知により、被害が多いブランドドメインがあれば、フィッシング詐欺などの調査を行い、ブラックリストの提供や注意喚起などが可能となる。
また、情報処理装置１は、特定のドメインの不正利用が検知された第１階層のドメインがサイバー攻撃に関する脅威情報に含まれているか否かに基づいて特定のドメインに対する悪性度を判定する。これにより、情報処理装置１では、特定のドメインの不正利用が検知された第１階層のドメインにおける、特定のドメインに対する悪性度を評価することができる。
また、情報処理装置１は、特定のドメインの不正利用が検知された第１階層のドメインがパークドメインであるか否かを判定する。これにより、情報処理装置１では、特定のドメインの不正利用が検知された第１階層のドメインがパークドメインとして活用されているか否かを識別することができる。
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
また、情報処理装置１の共通末尾文字列抽出部１０、登録ドメイン問合せ部１１、部分文字列占拠検知部１２およびリスク評価部１３に関する各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro Controller Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、情報処理装置１で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。
ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ構成（ハードウエア）の一例を説明する。図１１は、コンピュータ構成の一例を説明位する説明図である。
図１１に示すように、コンピュータ２００は、各種演算処理を実行するＣＰＵ２０１と、データ入力を受け付ける入力装置２０２と、モニタ２０３と、スピーカー２０４とを有する。また、コンピュータ２００は、記憶媒体からプログラム等を読み取る媒体読取装置２０５と、各種装置と接続するためのインタフェース装置２０６と、有線または無線により外部機器と通信接続するための通信装置２０７とを有する。また、コンピュータ２００は、各種情報を一時記憶するＲＡＭ２０８と、ハードディスク装置２０９とを有する。また、コンピュータ２００内の各部（２０１～２０９）は、バス２１０に接続される。
ハードディスク装置２０９には、上記の実施形態で説明した機能構成（例えば共通末尾文字列抽出部１０、登録ドメイン問合せ部１１、部分文字列占拠検知部１２およびリスク評価部１３）における各種の処理を実行するためのプログラム２１１が記憶される。また、ハードディスク装置２０９には、プログラム２１１が参照する各種データ２１２が記憶される。入力装置２０２は、例えば、操作者から操作情報の入力を受け付ける。モニタ２０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置２０６は、例えば印刷装置等が接続される。通信装置２０７は、ＬＡＮ（Local Area Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。
ＣＰＵ２０１は、ハードディスク装置２０９に記憶されたプログラム２１１を読み出してＲＡＭ２０８に展開し、プログラム２１１に関するプロセスを実行することで、上記の機能構成（例えば共通末尾文字列抽出部１０、登録ドメイン問合せ部１１、部分文字列占拠検知部１２およびリスク評価部１３）を実現する。なお、プログラム２１１は、ハードディスク装置２０９に記憶されていなくてもよい。例えば、コンピュータ２００が読み取り可能な記憶媒体に記憶されたプログラム２１１を読み出して実行するようにしてもよい。コンピュータ２００が読み取り可能な記憶媒体は、例えば、ＣＤ－ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal Serial Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム２１１を記憶させておき、コンピュータ２００がこれらからプログラム２１１を読み出して実行するようにしてもよい。
以上の実施形態に関し、さらに以下の付記を開示する。
（付記１）ドメイン名空間における第１階層のドメインの文字列と、前記第１階層の下位の階層となる第２階層のドメインの文字列とを連結した文字列を生成し、
特定のドメインを少なくとも１つ記述したドメインリストに、生成した前記文字列のドメインが含まれている場合に前記特定のドメインの不正利用についての指標となる情報を出力する、
処理をコンピュータに実行させることを特徴とするドメイン検索プログラム。
（付記２）前記ドメインリストに記述された特定のドメインの末尾を含む１または複数の文字列のドメインが前記ドメイン名空間に存在するか否かに基づいて前記第１階層のドメインを特定する処理をさらにコンピュータに実行させる、
付記１に記載のドメイン検索プログラム。
（付記３）前記第１階層のドメインは、ＴＬＤ（Top Level Domain）に対して登録済みのＳＬＤ（Second Level Domain）である、
ことを特徴とする付記２に記載のドメイン検索プログラム。
（付記４）前記生成する処理は、前記第１階層のドメインにおける名前解決が確認された前記第２階層のドメイン群の中のドメインの文字列を前記第１階層のドメインの文字列と連結する、
ことを特徴とする付記１乃至３のいずれか一に記載のドメイン検索プログラム。
（付記５）前記特定のドメインの不正利用が検知された前記第１階層のドメインがサイバー攻撃に関する脅威情報に含まれているか否かに基づいて前記特定のドメインに対する悪性度を判定する処理をさらにコンピュータに実行させる、
ことを特徴とする付記１乃至４のいずれか一に記載のドメイン検索プログラム。
（付記６）前記特定のドメインの不正利用が検知された前記第１階層のドメインがパークドメインであるか否かを判定する処理をさらにコンピュータに実行させる、
ことを特徴とする付記１乃至５のいずれか一に記載のドメイン検索プログラム。
（付記７）ドメイン名空間における第１階層のドメインの文字列と、前記第１階層の下位の階層となる第２階層のドメインの文字列とを連結した文字列を生成し、
特定のドメインを少なくとも１つ記述したドメインリストに、生成した前記文字列のドメインが含まれている場合に前記特定のドメインの不正利用についての指標となる情報を出力する、
処理をコンピュータが実行することを特徴とするドメイン検索方法。
（付記８）前記ドメインリストに記述された特定のドメインの末尾を含む１または複数の文字列のドメインが前記ドメイン名空間に存在するか否かに基づいて前記第１階層のドメインを特定する処理をさらにコンピュータが実行する、
付記７に記載のドメイン検索方法。
（付記９）前記第１階層のドメインは、ＴＬＤ（Top Level Domain）に対して登録済みのＳＬＤ（Second Level Domain）である、
ことを特徴とする付記８に記載のドメイン検索方法。
（付記１０）前記生成する処理は、前記第１階層のドメインにおける名前解決が確認された前記第２階層のドメイン群の中のドメインの文字列を前記第１階層のドメインの文字列と連結する、
ことを特徴とする付記７乃至９のいずれか一に記載のドメイン検索方法。
（付記１１）前記特定のドメインの不正利用が検知された前記第１階層のドメインがサイバー攻撃に関する脅威情報に含まれているか否かに基づいて前記特定のドメインに対する悪性度を判定する処理をさらにコンピュータが実行する、
ことを特徴とする付記７乃至１０のいずれか一に記載のドメイン検索方法。
（付記１２）前記特定のドメインの不正利用が検知された前記第１階層のドメインがパークドメインであるか否かを判定する処理をさらにコンピュータが実行する、
ことを特徴とする付記７乃至１１のいずれか一に記載のドメイン検索方法。
（付記１３）ドメイン名空間における第１階層のドメインの文字列と、前記第１階層の下位の階層となる第２階層のドメインの文字列とを連結した文字列を生成し、
特定のドメインを少なくとも１つ記述したドメインリストに、生成した前記文字列のドメインが含まれている場合に前記特定のドメインの不正利用についての指標となる情報を出力する、
処理を実行する制御部を有することを特徴とする情報処理装置。
（付記１４）前記ドメインリストに記述された特定のドメインの末尾を含む１または複数の文字列のドメインが前記ドメイン名空間に存在するか否かに基づいて前記第１階層のドメインを特定する処理をさらに制御部が実行する、
付記１３に記載の情報処理装置。
（付記１５）前記第１階層のドメインは、ＴＬＤ（Top Level Domain）に対して登録済みのＳＬＤ（Second Level Domain）である、
ことを特徴とする付記１４に記載の情報処理装置。
（付記１６）前記生成する処理は、前記第１階層のドメインにおける名前解決が確認された前記第２階層のドメイン群の中のドメインの文字列を前記第１階層のドメインの文字列と連結する、
ことを特徴とする付記１３乃至１５のいずれか一に記載の情報処理装置。
（付記１７）前記特定のドメインの不正利用が検知された前記第１階層のドメインがサイバー攻撃に関する脅威情報に含まれているか否かに基づいて前記特定のドメインに対する悪性度を判定する処理をさらに制御部が実行する、
ことを特徴とする付記１３乃至１６のいずれか一に記載の情報処理装置。
（付記１８）前記特定のドメインの不正利用が検知された前記第１階層のドメインがパークドメインであるか否かを判定する処理をさらに制御部が実行する、
ことを特徴とする付記１３乃至１７のいずれか一に記載の情報処理装置。
１…情報処理装置
１０…共通末尾文字列抽出部
１１…登録ドメイン問合せ部
１２…部分文字列占拠検知部
１３…リスク評価部
２０…ブランドドメインリスト
２１…共通ブランド数閾値
２３…共通末尾文字列データ
２４…登録ドメインデータ
２５…共通末尾登録ドメインデータ
２６…ＰａｓｓｉｖｅＤＮＳ ＤＢ
２７…ドメインパーキングリスト
２８…部分文字列占拠サブドメインデータ
２９…ブランドドメイン被害状況データ
３０…ＴＬＤ悪用状況データ
２００…コンピュータ
２０１…ＣＰＵ
２０２…入力装置
２０３…モニタ
２０４…スピーカー
２０５…媒体読取装置
２０６…インタフェース装置
２０７…通信装置
２０８…ＲＡＭ
２０９…ハードディスク装置
２１０…バス
２１１…プログラム
２１２…各種データ

Claims (8)

  1. ドメイン名空間における第１階層のドメインの文字列と、前記第１階層の下位の階層となる第２階層のドメインの文字列とを連結した文字列を生成し、
    特定のドメインを少なくとも１つ記述したドメインリストに、生成した前記文字列のドメインが含まれている場合に前記特定のドメインの不正利用についての指標となる情報を出力する、
    処理をコンピュータに実行させることを特徴とするドメイン検索プログラム。
  2. 前記ドメインリストに記述された特定のドメインの末尾を含む１または複数の文字列のドメインが前記ドメイン名空間に存在するか否かに基づいて前記第１階層のドメインを特定する処理をさらにコンピュータに実行させる、
    請求項１に記載のドメイン検索プログラム。
  3. 前記第１階層のドメインは、ＴＬＤ（Top Level Domain）に対して登録済みのＳＬＤ（Second Level Domain）である、
    ことを特徴とする請求項２に記載のドメイン検索プログラム。
  4. 前記生成する処理は、前記第１階層のドメインにおける名前解決が確認された前記第２階層のドメイン群の中のドメインの文字列を前記第１階層のドメインの文字列と連結する、
    ことを特徴とする請求項１乃至３のいずれか一項に記載のドメイン検索プログラム。
  5. 前記特定のドメインの不正利用が検知された前記第１階層のドメインがサイバー攻撃に関する脅威情報に含まれているか否かに基づいて前記特定のドメインに対する悪性度を判定する処理をさらにコンピュータに実行させる、
    ことを特徴とする請求項１乃至４のいずれか一項に記載のドメイン検索プログラム。
  6. 前記特定のドメインの不正利用が検知された前記第１階層のドメインがパークドメインであるか否かを判定する処理をさらにコンピュータに実行させる、
    ことを特徴とする請求項１乃至５のいずれか一項に記載のドメイン検索プログラム。
  7. ドメイン名空間における第１階層のドメインの文字列と、前記第１階層の下位の階層となる第２階層のドメインの文字列とを連結した文字列を生成し、
    特定のドメインを少なくとも１つ記述したドメインリストに、生成した前記文字列のドメインが含まれている場合に前記特定のドメインの不正利用についての指標となる情報を出力する、
    処理をコンピュータが実行することを特徴とするドメイン検索方法。
  8. ドメイン名空間における第１階層のドメインの文字列と、前記第１階層の下位の階層となる第２階層のドメインの文字列とを連結した文字列を生成し、
    特定のドメインを少なくとも１つ記述したドメインリストに、生成した前記文字列のドメインが含まれている場合に前記特定のドメインの不正利用についての指標となる情報を出力する、
    処理を実行する制御部を有することを特徴とする情報処理装置。
JP2021178730A 2021-11-01 2021-11-01 ドメイン検索プログラム、ドメイン検索方法および情報処理装置 Pending JP2023067463A (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2021178730A JP2023067463A (ja) 2021-11-01 2021-11-01 ドメイン検索プログラム、ドメイン検索方法および情報処理装置
EP22182554.0A EP4174684A1 (en) 2021-11-01 2022-07-01 Domain search program, method of searching domain, and information processing apparatus
US17/857,086 US20230133524A1 (en) 2021-11-01 2022-07-04 Non-transitory computer-readable storage medium for storing domain search program, method of searching domain, and information processing apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2021178730A JP2023067463A (ja) 2021-11-01 2021-11-01 ドメイン検索プログラム、ドメイン検索方法および情報処理装置

Publications (1)

Publication Number Publication Date
JP2023067463A true JP2023067463A (ja) 2023-05-16

Family

ID=82547365

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2021178730A Pending JP2023067463A (ja) 2021-11-01 2021-11-01 ドメイン検索プログラム、ドメイン検索方法および情報処理装置

Country Status (3)

Country Link
US (1) US20230133524A1 (ja)
EP (1) EP4174684A1 (ja)
JP (1) JP2023067463A (ja)

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5588845B2 (ja) 2010-11-29 2014-09-10 有限会社アイ・アール・ディー 不正ドメイン検知装置、不正ドメイン検知方法、およびプログラム
JP5465651B2 (ja) 2010-11-30 2014-04-09 日本電信電話株式会社 リスト生成方法、リスト生成装置及びリスト生成プログラム
US9762612B1 (en) * 2017-05-17 2017-09-12 Farsight Security, Inc. System and method for near real time detection of domain name impersonation
US10673814B1 (en) * 2017-08-28 2020-06-02 Proofpoint, Inc. Domain name classification systems and methods
JP6947307B2 (ja) 2018-07-25 2021-10-13 日本電信電話株式会社 解析装置、解析方法及び解析プログラム

Also Published As

Publication number Publication date
US20230133524A1 (en) 2023-05-04
EP4174684A1 (en) 2023-05-03

Similar Documents

Publication Publication Date Title
JP6871357B2 (ja) オンライン詐欺を検出するためのシステムおよび方法
Quinkert et al. It's not what it looks like: Measuring attacks and defensive registrations of homograph domains
US9521161B2 (en) Method and apparatus for detecting computer fraud
Nikiforakis et al. Soundsquatting: Uncovering the use of homophones in domain squatting
WO2015051720A1 (zh) 检测可疑dns的方法、装置和可疑dns的处理方法、系统
US20090055928A1 (en) Method and apparatus for providing phishing and pharming alerts
WO2016140038A1 (ja) 通信先悪性度算出装置、通信先悪性度算出方法及び通信先悪性度算出プログラム
US11750649B2 (en) System and method for blocking phishing attempts in computer networks
US11178175B2 (en) Combo-squatting domain linkage
CN107241292B (zh) 漏洞检测方法及装置
Piredda et al. Deepsquatting: Learning-based typosquatting detection at deeper domain levels
US20220201036A1 (en) Brand squatting domain detection systems and methods
CN113810518A (zh) 有效子域名识别方法、装置和电子设备
JPWO2020021811A1 (ja) 解析装置、解析方法及び解析プログラム
JP2023067463A (ja) ドメイン検索プログラム、ドメイン検索方法および情報処理装置
Chen et al. Doctrina: annotated bipartite graph mining for malware-control domain detection
US20230388342A1 (en) Computer-readable recording medium storing domain detection program, domain detection method, and information processing device
Sonowal et al. What Does a Phishing URL Look Like?
Kumar et al. When Diversity Meets Hostility: A Study of Domain Squatting Abuse in Online Banking
Marchai et al. Semantic based DNS forensics
CN114095252B (zh) Fqdn域名检测方法、装置、计算设备及存储介质
JPWO2019053882A1 (ja) 検証装置、検証プログラム及び検証方法
Frischknecht et al. Detection of Cybersquatted Domains
Sasongko et al. Typosquatting Potential on the Official Website (An Empirical Study of Popular Webites in Indonesia)
Kidmose et al. Heuristic methods for efficient identification of abusive domain names