JP5588845B2 - 不正ドメイン検知装置、不正ドメイン検知方法、およびプログラム - Google Patents

Description

本発明は、ドメインの不正使用を検知する装置等に関するものである。

従来の技術として、利用者端末から送信される一又は複数のキーワードに基づき商標情報データベースに記憶されている商標情報データの中からデータを抽出するためのデータベース検索プログラム等が知られていた。（例えば、特許文献１参照）。

特開２００１−１６１９９２号公報（第１頁、第１図等）

しかしながら、従来は、インターネット上のドメイン等に、ユーザの商標や、ユーザが取得済のドメイン名と似た文字列が不正に使用されている可能性があるか否かを適切に検知することができないという課題があった。

本発明の不正ドメイン検知装置は、監視対象の文字列である対象文字列を受け付ける受付部と、受付部が受け付けた対象文字列から、対象文字列を含むドメインに関連する情報であるドメイン関連情報を、２以上生成するドメイン関連情報生成部と、２以上の各ドメイン関連情報を用いて、ドメイン関連情報に対応するドメインが存在するか否かを問い合わせる問合部と、問合部における問い合わせの結果が、ドメインが存在するとの結果の場合、ドメイン関連情報である不正可能性ドメイン関連情報を取得する不正可能性ドメイン関連情報取得部と、不正可能性ドメイン関連情報取得部が取得した１以上のドメイン関連情報を出力する出力部とを具備する不正ドメイン検知装置である。

かかる構成により、対象文字列を含む不正なドメインが使用されている可能性を検知することができる。

また、本発明の不正ドメイン検知装置は、前記不正ドメイン検知装置において、ドメイン関連情報は、ＵＲＩであり、ドメイン関連情報生成部は、受付部が受け付けた対象文字列から、対象文字列を含む２以上のＵＲＩを生成し、問合部は、２以上の各ＵＲＩを用いて、ＵＲＩで特定されるＷｅｂページが存在するか否かを問い合わせ、不正可能性ドメイン関連情報取得部は、問合部における問い合わせの結果、Ｗｅｂページが存在するＵＲＩである不正可能性ＵＲＩを取得し、出力部は、不正可能性ドメイン関連情報取得部が取得した１以上のＵＲＩを出力する不正ドメイン検知装置である。

かかる構成により、対象文字列を含む不正なＵＲＩが使用されている可能性を検知することができる。

また、本発明の不正ドメイン検知装置は、前記不正ドメイン検知装置において、２以上の文字を格納し得る文字格納部をさらに具備し、ドメイン関連情報生成部は、文字格納部の１以上の文字列を組み合わせて、ｎ文字（ｎは１以上の整数）の文字列を１以上取得する文字列生成手段と、文字列生成手段が取得した１以上の文字列を、対象文字列の後または前に付加して、検査対象のドメイン名を１以上取得する検査対象ドメイン名取得手段と、検査対象ドメイン名取得手段が取得した１以上のドメイン名を含む２以上のＵＲＩを生成するＵＲＩ生成手段とを具備する不正ドメイン検知装置である。

かかる構成により、対象文字列を含むドメイン関連情報を、文字を組み合わせて自動生成することで、通常は考えつかないような対象文字列を含むドメイン関連情報を用いて、不正なドメインが使用されている可能性を検知することができる。これにより、より確実に漏れがないように不正なドメインの使用可能性を検知することができる。

また、本発明の不正ドメイン検知装置は、前記不正ドメイン検知装置において、１以上の語句を格納し得る語句格納部をさらに具備し、ドメイン関連情報生成部は、語句格納部の１以上の語句のうち、１以上の語句を、対象文字列の後または前に付加して、検査対象のドメイン名を１以上取得する検査対象ドメイン名取得手段と、検査対象ドメイン名取得手段が取得した１以上のドメイン名を含む２以上のＵＲＩを生成するＵＲＩ生成手段とを具備する不正ドメイン検知装置である。

かかる構成により、例えば、既存の語句を対象文字列に連結してドメイン関連情報をえることにより、不正使用時に考えつきそうなドメイン関連情報を効率的に作成することができ、不正なドメインが使用されている可能性を効率的に検知することができる。

また、本発明の不正ドメイン検知装置は、前記不正ドメイン検知装置において、ドメイン関連情報生成部は、対象文字列と語句とを連結する文字である１以上の連結文字を格納し得る連結文字格納手段をさらに具備し、検査対象ドメイン名取得手段は、対象文字列と１以上のいずれかの連結文字と語句格納部の１以上のいずれかの語句とを連結した文字列であり、連結文字を対象文字列と語句との間に有する文字列である検査対象のドメイン名を１以上取得する不正ドメイン検知装置である。

かかる構成により、対象文字列に語句や文字列を連結する際のバリエーションをより広く網羅できるようにして、より確実に漏れがないように不正なドメインの使用可能性を検知することができる。

また、本発明の不正ドメイン検知装置は、前記不正ドメイン検知装置において、トップレベルドメインまたは属性型ドメインを示す文字列である識別文字列を１以上格納し得る識別文字列格納部をさらに具備し、検査対象ドメイン名取得手段は、識別文字列格納部に格納されている１以上の各識別文字列を含むドメイン名を１以上取得する不正ドメイン検知装置である。

かかる構成により、トップレベルドメインまたは属性型ドメインが異なるドメイン名を生成することができる。

また、本発明の不正ドメイン検知装置は、前記不正ドメイン検知装置において、ドメイン関連情報生成部は、ＵＲＩを構成する文字列であり、ドメイン名が挿入され得る文字列である１以上の雛形情報を格納し得る雛形情報格納手段を具備し、ＵＲＩ生成手段は、雛形情報格納手段が格納している１以上の各雛形情報に対して、検査対象ドメイン名取得手段が取得した１以上の各ドメイン名を挿入し、２以上のＵＲＩを生成する不正ドメイン検知装置である。

かかる構成により、対象文字列を含むＵＲＩを生成することができる。

また、本発明の不正ドメイン検知装置は、前記不正ドメイン検知装置において、ドメイン関連情報は、ドメイン名であり、ドメイン関連情報生成部は、受付部が受け付けた対象文字列から、対象文字列を含む２以上のドメイン名を生成し、問合部は、２以上の各ドメイン名を用いて、ドメイン名で特定されるドメインが存在するか否かを問い合わせ、不正可能性ドメイン関連情報取得部は、問合部における問い合わせの結果、ドメインが存在する不正可能性ドメインを取得し、出力部は、不正可能性ドメイン関連情報取得部が取得した１以上の不正可能性ドメインを出力する不正ドメイン検知装置である。

かかる構成により、対象文字列を含む不正なドメイン名が使用されている可能性を検知することができる。

また、本発明の不正ドメイン検知装置は、前記不正ドメイン検知装置において、２以上の文字を格納し得る文字格納部をさらに具備し、ドメイン関連情報生成部は、文字格納部の１以上の文字列を組み合わせて、ｎ文字（ｎは１以上の整数）の文字列を１以上取得する文字列生成手段と、文字列生成手段が取得した１以上の文字列を、対象文字列の後または前に付加して、検査対象のドメイン名を２以上取得する検査対象ドメイン名取得手段とを具備する不正ドメイン検知装置である。

かかる構成により、対象文字列を含むドメイン関連情報を、文字を組み合わせて自動生成することで、通常は考えつかないような対象文字列を含むドメイン関連情報を用いて、不正なドメインが使用されている可能性を検知することができる。これにより、より確実に漏れがないように不正なドメインの使用可能性を検知することができる。

また、本発明の不正ドメイン検知装置は、前記不正ドメイン検知装置において、１以上の語句を格納し得る語句格納部をさらに具備し、ドメイン関連情報生成部は、語句格納部の１以上の語句のうち、１以上の語句を、対象文字列の後または前に付加して、検査対象のドメイン名を１以上取得する検査対象ドメイン名取得手段とを具備する不正ドメイン検知装置である。

かかる構成により、例えば、既存の語句を対象文字列に連結してドメイン関連情報をえることにより、不正使用時に考えつきそうなドメイン関連情報を効率的に作成することができ、不正なドメインが使用されている可能性を効率的に検知することができる。

また、本発明の不正ドメイン検知装置は、前記不正ドメイン検知装置において、ドメイン関連情報生成部は、対象文字列と語句とを連結する文字である１以上の連結文字を格納し得る連結文字格納手段をさらに具備し、検査対象ドメイン名取得手段は、対象文字列と１以上のいずれかの連結文字と語句格納部の１以上のいずれかの語句とを連結した文字列であり、連結文字を対象文字列と語句との間に有する文字列である検査対象のドメイン名を１以上取得する不正ドメイン検知装置である。

かかる構成により、対象文字列に語句や文字列を連結する際のバリエーションをより広く網羅できるようにして、より確実に漏れがないように不正なドメインの使用可能性を検知することができる。

また、本発明の不正ドメイン検知装置は、前記不正ドメイン検知装置において、トップレベルドメインまたは属性型ドメインを示す文字列である識別文字列を１以上格納し得る識別文字列格納部をさらに具備し、検査対象ドメイン名取得手段は、識別文字列格納部に格納されている１以上の各識別文字列を含むドメイン名を１以上取得する不正ドメイン検知装置である。

かかる構成により、トップレベルドメインまたは属性型ドメインが異なるドメイン名を生成することができる。

また、本発明の不正ドメイン検知装置は、前記不正ドメイン検知装置において、除外するドメイン名、または除外するＵＲＩである除外情報を、１以上格納し得る除外情報格納部をさらに具備し、出力部は、除外情報をドメイン名として含むＵＲＩ、または除外情報であるＵＲＩを出力しない不正ドメイン検知装置である。

かかる構成により、除外情報が示すドメイン名と一致するドメイン名や、このドメイン名を含むＵＲＩや、除外情報が示すＵＲＩが使用されていても、不正使用のドメイン名やＵＲＩとして出力しないようにことができる。これにより、不正使用でないと予め分かっているドメイン名やＵＲＩを登録しておくことで、これらの出力対象から除外することができる。

本発明による不正ドメイン検知装置によれば、不正なドメインが使用されている可能性を検知することができる。

本発明の実施の形態における不正ドメイン検知装置のブロック図 同動作について説明するフローチャート 同概念図 同語句管理表を示す図 同連結文字管理表を示す図 同識別文字列管理表を示す図 同対象文字列の入力画面を示す図 同取得した２個以下の語句の組合せを示す図 同取得した語句パターンを示す図を示す図 同連結された語句パターンを示す図を示す図 同取得したドメイン名を示す図 同雛形情報を示す図 同生成したＵＲＩを示す図 同不正可能性ＵＲＩを示す図 同除外情報を示す図 同不正可能性ＵＲＩの出力例を示す図 本実施の形態２における不正ドメイン検知装置２のブロック図 同動作について説明するフローチャート 同生成するドメイン名を示す図 同不正可能性ドメインを示す図 同除外情報管理表を示す図 同不正可能性ドメインの表示例を示す図 本発明の各実施の形態のコンピュータシステムの外観の一例を示す図 同コンピュータシステムの構成の一例を示す図

以下、不正ドメイン検知装置等の実施形態について図面を参照して説明する。なお、実施の形態において同じ符号を付した構成要素は同様の動作を行うので、再度の説明を省略する場合がある。

（実施の形態１）
図１は、本実施の形態における不正ドメイン検知装置１のブロック図である。

不正ドメイン検知装置１は、受付部１０１、文字格納部１０２、語句格納部１０３、識別文字列格納部１０４、ドメイン関連情報生成部１０５、問合部１０６、不正可能性ドメイン関連情報取得部１０７、除外情報格納部１０８、出力部１０９を備える。

ドメイン関連情報生成部１０５は、文字列生成手段１０５０１、検査対象ドメイン名取得手段１０５０２、雛形情報格納手段１０５０３、ＵＲＩ生成手段１０５０４、連結文字格納手段１０５０５を備える。

受付部１０１は、監視対象の文字列である対象文字列を受け付ける。対象文字列は、例えば、後述するドメイン名やＵＲＩ等に利用可能な文字列である。ドメイン名やＵＲＩ等に利用可能な文字列は、通常は、１バイトのアルファベットで構成される文字列である。但し、アルファベット以外の文字列や、日本語等の２バイトの文字で構成される文字列を用いても良い。対象文字列は、後述する連結文字等を含む文字列であっても良い。ここでは、１文字でも文字列と考える。また、本実施の形態においては、文字は数字を含むと考えて良い。対象文字列は、例えば、ユーザがドメインによる不正使用を検知したいと考える所望の文字列である。例えば、ユーザが登録しているドメイン名のうちの、他のドメイン名に対して識別力を有する主要部の文字列（例えば、ドメイン名から後述する識別文字列を除いた部分の文字列）や、ユーザの登録商標や著名商標等の読み等である。

なお、受付部１０１は、更に、対象文字列に連結する語句数や、文字列数等を指定する情報を受け付けても良い。

受け付けとは、キーボードやマウス、タッチパネルなどの入力デバイスから入力された情報の受け付け、有線もしくは無線の通信回線を介して送信された情報の受信、光ディスクや磁気ディスク、半導体メモリなどの記録媒体から読み出された情報の受け付けなどを含む概念である。受付部１０１は、テンキーやキーボード等の入力手段のデバイスドライバーや、メニュー画面の制御ソフトウェア等で実現され得る。

文字格納部１０２には、２以上の文字が格納される。２以上の文字は、上述したようなドメイン名やＵＲＩ等に利用可能な文字である。ただし、ドメイン名やＵＲＩ等において予め指定された意味や役割等を有する文字（例えば、「．」や「／」）は除くことが好ましい。文字格納部１０２に格納される文字は、後述する連結文字を含まないと考えても良い。

文字格納部１０２は、不揮発性の記録媒体が好適であるが、揮発性の記録媒体でも実現可能である。

語句格納部１０３には、１以上の語句が格納される。１以上の語句は、上述したようなドメイン名やＵＲＩ等に利用可能な文字で構成される語句である。１以上の語句は、例えば、国語辞書や英語辞書や専門用語辞書等の辞書や、コーパス等の言語データベース等に登録されている語句である。ただし、ドメイン名やＵＲＩ等において予め指定された意味や役割等を有する文字列や予め指定された意味や役割等を有する文字を含む文字列等は格納しないようにすることが好ましい。

語句格納部１０３は、不揮発性の記録媒体が好適であるが、揮発性の記録媒体でも実現可能である。

識別文字列格納部１０４には、トップレベルドメインまたは属性型ドメインを示す文字列である識別文字列を１以上格納し得る。トップレベルドメインとは、例えば、「．ｃｏｍ」や「．ｊｐ」等のホスト名やドメイン名をドットで分割した場合の最後の文字列を指す。また属性型ドメインは、国や組織や機関の種別等の属性を表す文字列で構成されるドメインであり、例えば、「．ｃｏ．ｊｐ」や「．ａｃ．ｊｐ」等である。識別文字列は、「．（ドット）」をその先頭に有しているようにすることが好ましい。

識別文字列格納部１０４は、不揮発性の記録媒体が好適であるが、揮発性の記録媒体でも実現可能である。

ドメイン関連情報生成部１０５は、受付部１０１が受け付けた対象文字列から、対象文字列を含むドメインに関連する情報であるドメイン関連情報を、２以上生成する。ドメイン関連情報とは、例えば、対象文字列に１文字以上を加えた文字列である。ドメイン関連情報生成部１０５は、後述する識別文字列以外の部分が異なる２以上のドメイン関連情報を生成することが好ましい。例えば、不正なドメインの利用を検出する際に、識別文字列の部分だけが対象文字列を用いているドメインと異なるドメインを検出することは、識別文字列（．ｃｏｍや．ｃｏ．ｊｐや．ｎｅｔ等）の数はそれほど多くないため、組み合わせが限られるため比較的容易であるが、識別文字列以外の部分が異なるドメインを検出することは、連結可能な文字列や語句が多いため非常に困難であるからである。

ドメイン関連情報は、例えば、ＵＲＩ（Uniform Resource Identifier）である。例えば、ドメイン関連情報生成部１０５は、受付部１０１が受け付けた対象文字列から、対象文字列を含む２以上のＵＲＩを生成する。ＵＲＩとは、例えば、リソースを示す識別情報である。ＵＲＩは、ＵＲＬ(Uniform Resource Locator)も含む概念である。ＵＲＬは、例えば、リソースの格納されている場所等を示す情報である。ＵＲＬは、例えば、「ｈｔｔｐ：／／」や「ｈｔｔｐｓ：／／」等のスキーム名の後に、ホスト名（ドメイン名）を加えたもの、もしくは更にその後にパス名を加えたものである。

また、ドメイン関連情報は、例えば、ドメイン名であっても良い。ドメイン名とは、ドメインの場所を示す情報である。ドメイン名は、例えば、ネットワーク上のコンピュータやサーバ等の場所を識別する名称である。

なお、本実施の形態においては、ドメイン関連情報生成部１０５がドメイン関連情報としてＵＲＩを生成する場合を一例に挙げて説明する。

ドメイン関連情報生成部１０５は、通常、ＭＰＵやメモリ等から実現され得る。ドメイン関連情報生成部１０５の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。

文字列生成手段１０５０１は、文字格納部１０２の１以上の文字列を組み合わせて、ｎ文字（ｎは１以上の整数）の文字列を１以上取得する。文字列生成手段１０５０１は、例えば、ｎ個の文字を順番に文字格納部１０２から取り出して並べることでｎ文字の文字列を取得する。文字列を取得する際に同じ文字を複数回取り出しても良い。

文字列生成手段１０５０１は、通常、ＭＰＵやメモリ等から実現され得る。文字列生成手段１０５０１の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。

検査対象ドメイン名取得手段１０５０２は、例えば、文字列生成手段１０５０１が取得した１以上の文字列を、対象文字列の後または前に付加して、検査対象のドメイン名を１以上取得する。

また、検査対象ドメイン名取得手段１０５０２は、例えば、対象文字列と１以上のいずれかの連結文字と文字列生成手段１０５０１が取得した１以上の文字列とを連結した文字列であり、連結文字を対象文字列と文字列生成手段１０５０１が取得した１以上の文字列との間に有する文字列である検査対象のドメイン名を１以上取得してもよい。

また、検査対象ドメイン名取得手段１０５０２は、例えば、語句格納部１０３の１以上の語句のうち、１以上の語句を、対象文字列の後または前に付加して、検査対象のドメイン名を１以上取得してもよい。

また、検査対象ドメイン名取得手段１０５０２は、例えば、対象文字列と１以上のいずれかの連結文字と語句格納部１０３の１以上のいずれかの語句とを連結した文字列であり、連結文字を対象文字列と語句との間に有する文字列である検査対象のドメイン名を１以上取得してもよい。また、連結する際には、連結文字格納手段１０５０５に格納されている連結文字の一以上を介して連結するようにしても良い。

また、検査対象ドメイン名取得手段１０５０２は、例えば、文字列生成手段１０５０１が取得した１以上の文字列と、語句格納部１０３の１以上の語句のうち、１以上の語句とを、それぞれ、対象文字列の後または前に付加して、検査対象のドメイン名を１以上取得してもよい。

また、検査対象ドメイン名取得手段１０５０２は、例えば、識別文字列格納部１０４に格納されている１以上の識別文字列を含むドメイン名を１以上取得する。例えば、対象文字列の後に、識別文字列格納部１０４に格納されている識別文字列を結合してドメイン名を取得してもよい。また、上述したように、対象文字列の前後に、文字列生成手段１０５０１が生成した文字列や、語句格納部１０３に格納されている語句を連結して文字列を得る場合、得られた文字列の後に、識別文字列格納部１０４に格納されている識別文字列を連結してドメイン名を取得してもよい。この場合、対象文字列と連結する文字列との間には、連結文字の１以上を介在させるようにしても良いし、介在させないようにしても良い。

なお、検索対象ドメイン名取得手段１０５０２は、文字列生成手段１０５０１が生成した文字列、または、語句格納部１０３から取得した語句等の少なくとも一方を連結することで、識別文字列以外の部分が異なる２以上のドメイン関連情報を生成することが好ましい。

検査対象ドメイン名取得手段１０５０２は、通常、ＭＰＵやメモリ等から実現され得る。検査対象ドメイン名取得手段１０５０２の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。

雛形情報格納手段１０５０３は、ＵＲＩを構成する文字列であって、ドメイン名が挿入され得る文字列である１以上の雛形情報を格納し得る。雛形情報は、例えば、予め指定された位置にドメイン名が配置されることでＵＲＩが構成される情報である。例えば、雛形情報は、ＵＲＩのスキーム名と、ドメイン名が配置される位置を示す文字列、またはドメイン名と置換される文字列とを有する情報である。スキーム名とは、例えば、「ｈｔｔｐ：／／」等の情報ソースの種類や処理方法を示す情報である。例えば、「（ドメイン名）」というがドメイン名と置換される文字列であるとすると、雛形情報は、「ｈｔｔｐ：／／（ドメイン名）」や「ｈｔｔｐｓ：／／（ドメイン名）」等の情報である。

雛形情報格納手段１０５０３は、不揮発性の記録媒体が好適であるが、揮発性の記録媒体でも実現可能である。

ＵＲＩ生成手段１０５０４は、検査対象ドメイン名取得手段１０５０２が取得した１以上のドメイン名を含む２以上のＵＲＩを生成する。ＵＲＩ生成手段１０５０４は、例えば、雛形情報格納手段１０５０３に格納されている１以上の雛形情報のドメイン名を配置する位置に検査対象ドメイン名取得手段１０５０２が取得したドメイン名を配置することでＵＲＩを生成する。また、ＵＲＩ生成手段１０５０４は、例えば、検査対象ドメイン名取得手段１０５０２が取得したドメイン名の前に、スキーム名等を加えてＵＲＩを生成する。スキーム名は、例えば図示しない記憶媒体等に予め格納されているものを適宜読み出すようにすればよい。

ＵＲＩ生成手段１０５０４は、通常、ＭＰＵやメモリ等から実現され得る。ＵＲＩ生成手段１０５０４の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。

連結文字格納手段１０５０５には、対象文字列と、文字列生成手段１０５０１が生成した文字列、語句、または識別文字列情報の１以上とを連結する文字である1以上の連結文字が格納される。連結文字とは、例えば、ＵＲＩやドメイン名で利用可能な「−」「．」などの文字である。なお、連結文字格納手段１０５０５には、連結する際に連結文字を用いないことを示す情報として、例えば空白（ブランク）の連結文字等の情報が格納されてるようにしても良い。

連結文字格納手段１０５０５は、不揮発性の記録媒体が好適であるが、揮発性の記録媒体でも実現可能である。

問合部１０６は、２以上の各ドメイン関連情報を用いて、ドメイン関連情報に対応するドメインが存在するか否かを問い合わせる。問合部１０６は、通常、インターネットプロトコル等を用いてＷｅｂに問い合わせる。問合部１０６は、例えば、ＤＮＳ等の１以上のサーバ装置に問い合わせても良い。存在するか否かを問い合わせるということは、存在するか否かを示す情報を要求することであってもよいし、存在するか否かを判断可能な情報を要求することであってもよい。ドメインが存在するか否かを問い合わせるということは、ドメイン関連情報生成部１０５が生成した２以上の各ドメイン関連情報（例えばＵＲＩ）を用いて、ＵＲＩで特定されるＷｅｂページが存在するか否かを問い合わせることも含む概念である。例えば、問合部１０６は、ドメイン関連情報生成部１０５が生成した２以上の各ＵＲＩ用いて、ＵＲＩで特定されるＷｅｂページが存在するか否かを問い合わせる。この場合の問い合わせは、具体的には、ＵＲＩを送信することである。この場合のＵＲＩは、このＵＲＩが示す情報（例えばＷｅｂページ）の送信を要求する情報と考えてもよい。この要求に応じてＷｅｂページを取得することができた場合、Ｗｅｂページが存在することを示す結果を得たこととなり、Ｗｅｂページが取得できなかった場合は、Ｗｅｂページが存在しないことを示す結果を得たこととなる。また、ドメインが存在するか否かを問い合わせるということは、例えば、問い合わせの結果を示す情報を取得する処理も含む処理であると考えてよい。ＵＲＩを用いて、Ｗｅｂページの情報（例えばＨＴＭＬファイル等）を取得する処理は、例えば、Ｃ＃の実装では、「System.Net.HttpWebRequest」と「System.Net.WebResponse」という二つのクラスを使うことで実現可能である。この２つのクラスは、Microsoft（登録商標）の「.NET Framework」というフレームワーク（ライブラリ）で用意されているものである。具体的には、「System.Net.HttpWebRequest」でＵＲＩ（ＵＲＬ）からリクエストを作成し、「System.Net.WebResponse」でそのレスポンス（ストリーム）を取得する。そして、問合部１０６は、途中に、例外が発生し、Ｗｅｂページの情報を取得できない場合、Ｗｅｂサーバが存在しないドメインとして処理する。また、処理が最後まで進み、Ｗｅｂページの情報を取得できた場合、Ｗｅｂサーバが存在するドメインとして処理する。なお、ＵＲＩを用いた問い合わせの具体的な処理は、Ｗｅｂブラウザ等が、ＵＲＬで特定されるＷｅｂページの情報を取得する処理等として公知の技術であるのでここでは詳細な説明は省略する。なお、問合部１０６は、例えば、ＵＲＩを送信してから予め指定された時間が経過するまでに、ＵＲＩで特定されるＷｅｂページの情報を受信したか否かの判断を繰り返すようにし、受信できなかった場合に、ＵＲＩで特定されるＷｅｂページが存在しないと判断して、ＵＲＩが示すドメインが存在しないことを示す結果を得るようにすればよい。

問合部１０６は、通常、ＭＰＵやメモリ等から実現され得る。問合部１０６の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。また、問合部１０６は、ドメイン関連情報を送信したり、問い合わせの結果を受信するための通信手段を有していてもよい。

不正可能性ドメイン関連情報取得部１０７は、問合部１０６における問い合わせの結果が、ドメインが存在するとの結果の場合、不正可能性ドメイン関連情報を取得する。不正可能性ドメイン関連情報は、不正利用である可能性があるドメイン関連情報を示す情報である。不正可能性ドメイン関連情報取得部１０７は、例えば、ドメインが存在するとの結果の場合、問い合わせに用いたドメイン関連情報を不正可能性ドメイン関連情報として取得する。例えば、ドメイン関連情報がＵＲＩである場合、不正可能性ドメイン関連情報取得部１０７は、問合部１０６における問い合わせの結果、Ｗｅｂページが存在するＵＲＩである不正可能性ＵＲＩを取得する。例えば、ＷＥＢページが存在する場合、問い合わせに用いたＵＲＩを不正可能性ＵＲＩとして取得しても良いし、問い合わせに応じて返信されたＷｅｂページに付与されているＵＲＬ等から不正可能性ＵＲＩを取得しても良い。なお、問い合わせの結果が、ドメインが存在しないとの結果の場合は、不正可能性ドメイン関連情報取得部１０７は、不正可能性ドメイン関連情報を取得しなくてよい。

ドメインが存在するとの結果の場合とは、例えば、問合部１０６が、ドメインが存在することを示す情報を取得した場合である。また、問合部１０６が、問い合わせたドメインが示すＷｅｂページの情報等を取得した場合である。ドメインが存在するとの結果以外の場合とは、例えば、問合部１０６が、ドメインが存在しないことを示す情報を取得した場合や、問合部１０６が、問い合わせたドメインが示すＷｅｂページの情報等を取得できなかった場合である。なお、問い合わせに用いたＵＲＩが示すＷｅｂサーバに、このＵＲＩで指定されたＷｅｂページがない場合に、このＷｅｂサーバが送信する「４０４ Ｎｏｔ Ｆｏｕｎｄ」等のＷｅｂページを、ＵＲＩにより特定されるＷｅｂページの情報と考えるようにしてもよい。そして、問合部１０６が、ＵＲＩが示すＷｅｂサーバから送信されるこのような情報を受信した場合にも、ドメインが存在するという結果を得たと考えてよい。かかることは、ＵＲＩで指定されたＷｅｂページアクセスが禁止されている場合に、このＵＲＩが示すＷｅｂサーバが送信する「４０３ Ｆｏｒｂｉｄｄｅｎ」を示すＷｅｂページ等についても同様である。このように、ＵＲＩが示すＷｅｂサーバがＷｅｂページの情報を送信できない場合に送信するＷｅｂページの情報等を、ＵＲＩで特定されるＷｅｂページの情報と考えて、このようなＷｅｂページの情報を問合部１０６が取得した場合も、ドメインが存在する結果を得たと考えて良い。あるいは、ＵＲＩの送信に対して、何らかのＷｅｂページを受信した場合に、ＵＲＩで特定されるＷｅｂページを受信したとして、ドメインが存在する結果を得たと判断するようにしてもよい。

不正可能性ドメイン関連情報取得部１０７は、通常、ＭＰＵやメモリ等から実現され得る。不正可能性ドメイン関連情報取得部１０７の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。

除外情報格納部１０８には、除外するドメイン名、または除外するＵＲＩである除外情報を、１以上格納される。

除外情報格納部１０８は、不揮発性の記録媒体が好適であるが、揮発性の記録媒体でも実現可能である。

出力部１０９は、不正可能性ドメイン関連情報取得部１０７が取得した１以上のドメイン関連情報を出力する。例えば、出力部１０９は、不正可能性ドメイン関連情報取得部１０７が取得した１以上の不正可能性ＵＲＩを出力する。

なお、出力部１０９は、除外情報格納部１０８に格納されている除外情報をドメイン名として含むＵＲＩ、または除外情報であるＵＲＩを出力しないようにしてもよい。例えば、出力部１０９は、不正可能性ドメイン関連情報取得部１０７が取得した１以上のドメイン関連情報に、除外情報格納部１０８に格納されている除外情報であるドメイン名が含まれているか否かを判断し、含まれているドメイン関連情報は出力しない。また、例えば、出力部１０９は、不正可能性ドメイン関連情報取得部１０７が取得した１以上のドメイン関連情報が、除外情報格納部１０８に格納されている除外情報であるＵＲＩと一致するか否かを判断し、一致するドメイン関連情報は出力しない。
なお、出力部１０９が、除外情報をドメイン名として含むＵＲＩ、または除外情報であるＵＲＩを出力しないようにする、ということは、除外情報をドメイン名として含むＵＲＩ、または除外情報であるＵＲＩが、結果的に、出力部１０９から出力されないようにすることを意味するものであり、例えば、上記の他に、除外情報をドメイン名として含むＵＲＩ、または除外情報であるＵＲＩを、問合部１０６が送信しないようにすることであっても良いし、除外情報をドメイン名として含むＵＲＩ、または除外情報であるＵＲＩを、ドメイン関連情報生成部１０５が生成しない、もしくは生成したドメイン関連情報から除外すること等であっても良い。除外情報をドメイン名として含むＵＲＩ、または除外情報であるＵＲＩを検出する処理は、上記と同様である。実際には、無駄な問い合わせ処理を省くため、除外情報をドメイン名として含むＵＲＩ、または除外情報であるＵＲＩを、問合部１０６が送信しないようにすることが好適である。

ここで述べる出力とは、ディスプレイへの表示、プロジェクターを用いた投影、プリンタへの印字、外部の装置への送信、記録媒体への蓄積、他の処理装置や他のプログラムなどへの処理結果の引渡しなどを含む概念である。

出力部１０９は、ディスプレイ等の出力デバイスを含むと考えても含まないと考えても良い。出力部１０９は、出力デバイスのドライバーソフトまたは、出力デバイスのドライバーソフトと出力デバイス等で実現され得る。

次に、不正ドメイン検知装置１の動作について図２のフローチャートを用いて説明する。なお、ここでは、対象文字列に、語句格納部１０３に格納されている語句を連結してドメイン関連情報を生成する場合を例に挙げて説明する。

（ステップＳ１０１）受付部１０１は、対象文字列を受け付けたか否かを判断する。受け付けた場合、ステップＳ１０２に進み、受け付けていなければステップＳ１０１に戻る。

（ステップＳ１０２）受付部１０１は、対象文字列に連結する語句の上限数ｍを受け付けたか否かを判断する。受け付けた場合、ステップＳ１０３に進み、受け付けていない場合、ステップＳ１０２に戻る。なお、上限数が予めデフォルト等で決まっている場合には、この処理は省略して良い。

（ステップＳ１０３）検査対象ドメイン名取得手段１０５０２は、語句格納部１０３に格納されている語句の中から、１からｍ個までの語句をそれぞれ取り出す場合の、取り出す組合せを取得する。例えば、取り出す語句数を１からｍまで増加させながら、各語句数において考えられる語句の組合せを取得する。取り出す組合せは可能な全ての組合せであることが好ましいが、一部の組合せだけであっても良い。また、組合せを取得する際には、重複して語句を取得するようにしても良い。取得した組合せは、メモリ等の記憶媒体に一時記憶する。

（ステップＳ１０４）検査対象ドメイン名取得手段１０５０２は、ステップＳ１０３で取り出した各組み合わせについて、組み合わせを構成する各語句と、対象文字列とを並べる場合の並びである順列をそれぞれ取得する。ここで取得した各順列を語句パターンと呼ぶ。順列や組合せを取得する処理については、以下の非特許文献等において公知であるので、詳細な説明は省略する（非特許文献「ｈｔｔｐ：／／ｗｗｗ．ｔ３ｊａｐａｎ．ｇｒ．ｊｐ／ｐｄｆ２００２／ｙｏｓｈｉｄａ．ｐｄｆ」）。なお、語句の組み合わせを取り出す際に、語句の重複が可能である場合は、順列において、重複するものは削除するようにしても良い。取得した語句パターンは、メモリ等の記憶媒体に一時記憶する。

（ステップＳ１０５）検査対象ドメイン名取得手段１０５０２は、カウンターｐに１を代入する。

（ステップＳ１０６）検査対象ドメイン名取得手段１０５０２は、ステップＳ１０４で取得した語句パターンの中に、ｐ番目の語句パターンがあるか否かを判断する。ある場合、ステップＳ１０７に進み、ない場合、ステップＳ１１１に進む。

（ステップＳ１０７）検査対象ドメイン名取得手段１０５０２は、ｐ番目の語句パターンを構成する語句間の数ｑを取得する。なお、ここでは、語句パターンの語句には、対象文字列も含むと考える

（ステップＳ１０８）検査対象ドメイン名取得手段１０５０２は、連結文字格納手段１０５０５に格納されている１以上の連結文字の組の中から、ｑ個の連結文字を取り出す場合の順列を取得する。連結文字を取り出す際に、重複して取り出すようにしても良い。この連結文字列の順列をここでは、連結パターンと呼ぶ。なお、ここでは、連結文字を用いずに語句を連結することを示す情報として、空白（ブランク）の連結文字を連結文字格納手段１０５０５に格納しておくようにする。例えば、空白の連結文字がｑ個の連結文字の一つとして取り出された場合、この連結文字で結合される語句は、実際には連結文字を介さずに結合されることとなる。

（ステップＳ１０９）検査対象ドメイン名取得手段１０５０２は、ｐ番目の語句パターンを構成する語句間を、ステップＳ１０８で取得した各連結パターンが示すように連結した語句パターンをそれぞれ取得する。連結パターンが示すように連結とは、例えば、連結パターンの一の順番の連結文字が空白の連結文字でない場合、ｐ番目の語句パターンのこの順番の語句間の前後の語句（及び対象文字列）同士を、この連結文字を挿入して連結することである。また、例えば、連結パターンの一の連結文字が、空白の連結文字である場合、ｐ番目の語句パターンのこの順番の語句間の前後の語句（及び対象文字列）間を何も挿入せずに連結することである。連結した語句パターンは、図示しない記憶媒体等に一時記憶する。

（ステップＳ１１０）検査対象ドメイン名取得手段１０５０２は、カウンターｐの値を１インクリメントする。そして、ステップＳ１０６に戻る。

（ステップＳ１１１）検査対象ドメイン名取得手段１０５０２は、ステップＳ１０９で連結した語句パターンのそれぞれの後に、識別文字列格納部１０４に格納されている１以上の識別文字列をそれぞれ連結したドメイン名を取得する。例えば、識別文字列格納部１０４に３つの識別文字列が格納されている場合、各連結した語句パターンからそれぞれ３つのドメイン名が取得できる。取得したドメイン名は、図示しない記憶媒体等に一時記憶する。

（ステップＳ１１２）ＵＲＩ生成手段１０５０４は、ステップＳ１１１で取得した各ドメイン名を、雛形情報格納手段１０５０３に格納されている各雛形情報の予め指定されている位置にそれぞれ配置して、ＵＲＩを取得する。取得したＵＲＩは、図示しない記憶媒体等に一時記憶する。

（ステップＳ１１３）問合部１０６は、カウンターｋに１を代入する。

（ステップＳ１１４）問合部１０６は、ステップＳ１１２で取得したＵＲＩの中に、ｋ番目のＵＲＩがあるか否かを判断する。ある場合、ステップＳ１１５に進み、ない場合、ステップＳ１１９に進む。

（ステップＳ１１５）問合部１０６は、ｋ番目のＵＲＩを用いて、このＵＲＩで特定されるＷＥＢページがあるか否かを問い合わせる。具体的には、ｋ番目のＵＲＩを送信して、このＵＲＩで特定されるＷＥＢページの情報の送信を要求する。

（ステップＳ１１６）問合部１０６は、ステップＳ１１５の問い合わせの結果が、ＷＥＢページがあることを示すか否かを判断する。例えば、ｋ番目のＵＲＩの送信に応じて、このＵＲＩが示すＷＥＢページの情報を受信したか否かを判断する。受信できた場合、問い合わせの結果がＷＥＢページがあることを示すと判断し、受信できなかった場合、問い合わせの結果がＷＥＢページなしであることを示すと判断する。問い合わせの結果が、ＷＥＢページがあることを示す場合、ステップＳ１１７に進み、ＷＥＢページがないことを示す場合、ステップＳ１１８に進む。

（ステップＳ１１７）不正可能性ドメイン関連情報取得部１０７は、ｋ番目のＵＲＩを不正可能性ＵＲＩとして取得する。取得した不正可能性ＵＲＩは、図示しない記憶媒体に一時記憶する。

（ステップＳ１１８）問合部１０６は、カウンターｋの値を１インクリメントする。そして、ステップＳ１１４に戻る。

（ステップＳ１１９）出力部１０６は、ステップＳ１１７で１以上の不正可能性ＵＲＩが取得されたか否かを判断する。取得された場合、ステップＳ１２０に進み、取得されていない場合、ステップＳ１２１に進む。

（ステップＳ１２０）出力部１０６は、除外情報をドメイン名として含む不正可能性ＵＲＩと、除外情報と一致するＵＲＩと、を除外対象として検出する。

（ステップＳ１２１）出力部１０６は、ステップＳ１１７で取得して蓄積した不正可能性ＵＲＩから、除外対象のＵＲＩをのぞいたＵＲＩを出力する。そして、処理を終了する。

（ステップＳ１２２）出力部１０６は、不正利用の可能性のあるＵＲＩが存在しないことを示す情報を出力する。そして、処理を終了する。

以下、本実施の形態における不正ドメイン検知装置１の具体的な動作について説明する。この具体例においては、文字格納部１０２に格納されている文字を利用せず、語句格納部１０３に格納されている語句を用いてドメイン関連情報を生成する場合について説明する。

不正ドメイン検知装置１の概念図は図３である。例えば、不正ドメイン検知装置１は、インターネット等のネットワークに接続されている。また、インターネット上には複数のＷＥＢサーバやＤＮＳサーバ等のサーバ２０が接続されている。

図４は、語句格納部１０３に格納されている語句を管理する語句管理表を示す図である。

図５は、連結文字格納手段１０５０５に格納されている連結文字を管理する連結文字管理表を示す図である。なお、連結文字管理表の最後のレコードの「（空白）」は、空白の連結文字があることを示す。あるいは、連結文字列がないことを示すと考えても良い。

図６は、識別文字列格納部１０４に格納されている識別文字列を管理する識別文字列管理表を示す図である。

まず、ユーザが不正ドメイン検知装置１に対して、監視対象の文字列を入力するための入力画面を出力させる操作を行うと、対象文字列の入力画面が表示される。

図７は、対象文字列の入力画面を示す図である。フィールド７１は、対象文字列の入力フィールドであり、フィールド７２は、対象文字列に連結する語句の上限数ｍの入力フィールドである。

次に、ユーザが、キーボード等を操作してフィールド７１に対象文字列として「ｔｅｎｍａ」を、フィールド７２に連結する語句の上限数ｍとして「２」を入力し、不正検知を開始するボタン７３をクリックしたとする。

受付部１０１は、対象文字列「ｔｅｎｍａ」と連結する語句の上限数「２」を受け付ける。

検査対象ドメイン名取得手段１０５０２は、まず、図４に示した語句管理表から、１個の語句を取り出す場合の語句の組合せを取得する。つまり、語句管理表で管理される各語句をそれぞれ取り出す。取り出した情報は、メモリ等の図示しない記憶媒体に一時記憶する。次に、検査対象ドメイン名取得手段１０５０２は図４に示した語句管理表から、２個の語句の組合せを取り出す場合の語句の組合せを取得する。例えば、まず、１番目の行の「ｌｅａｄ」という語句と、２番目以降のその他の語句をそれぞれ一つずつ含む語句の組合せを順次取得する。例えば、「ｌｅａｄ」と「ｅｎｃｏｄｅ」の組合せ、「ｌｅａｄ」と「ｄｅｓｔｒｕｃｔ」の組合せ、「ｌｅａｄ」と「ｃｏｎｓｏｌｉｄａｔｅ」の組合せ等を順次取得する。次に、２番目の行の「ｅｎｃｏｄｅ」という語句と、３番目以降のその他の語句をそれぞれ一つずつ含む語句の組合せを順時取得する。このようにして、ｔ番目の行の語句と、ｔ＋１番目以降の各行の語句との組合せを、ｔの値を順時ずつインクリメントして取得することで、語句の組み合わせが取得可能である。ただし、ｔは、「１」から、「語句管理表の語句数−１」までの値であるとする。また、ここでは、上限数が「２」であるので、２つの語句の組合せの取り出しが終了した時点で、組合せの取得は終了する。取得した語句の組合せは、図示しないメモリ等の記憶媒体値に一時記憶する。

図８は、検査対象ドメイン名取得手段１０５０２が語句管理表から取得した２個以下の語句の組合せを示す図である。ここでは、複数の語句は、便宜上、「＋」（プラス）で区切って示している。この「＋」は、例えば語句の連結時等に除去される。

次に、検査対象ドメイン名取得手段１０５０２は、図８の各レコードに含まれる１または２の語句と、対象文字列「ｔｅｎｍａ」との組合せを並べた場合の順列である語句パターンを順次取得する。例えば、１つの語句だけで構成されたレコード「ｌｅａｄ」と対象文字列「ｔｅｎｍａ」との組合せから、「ｌｅａｄ＋ｔｅｎｍａ」と、「ｔｅｎｍａ＋ｌｅａｄ」という２つの語句パターン（順列）が得られる。同様に、他の１つの語句で構成されたレコードと対象文字列との組合せについても、同様にして、それぞれ２つの語句パターン（順列）を取得する。

また、例えば、２つの語句の組合せのレコードである「ｌｅａｄ＋ｅｎｃｏｄｅ」と、対象文字列「ｔｅｎｍａ」との組合せから、「ｌｅａｄ＋ｅｎｃｏｄｅ＋ｔｅｎｍａ」と、「ｌｅａｄ＋ｔｅｎｍａ＋ｅｎｃｏｄｅ」、「ｅｎｃｏｄｅ＋ｌｅａｄ＋ｔｅｎｍａ」、「ｅｎｃｏｄｅ＋ｔｅｎｍａ＋ｌｅａｄ」、「ｔｅｎｍａ＋ｌｅａｄ＋ｅｎｃｏｄｅ」、及び「ｔｅｎｍａ＋ｅｎｃｏｄｅ＋ｌｅａｄ」という６つの語句パターン（順列）が得られる。同様に、他の２つの語句で構成されたレコードと対象文字列との組合せについても、同様にして、それぞれ６つの語句パターン（順列）を取得する。

図９は、検査対象ドメイン名取得手段１０５０２が取得した語句パターンを示す図である。

次に、検査対象ドメイン名取得手段１０５０２は、図５に示した連結文字管理表から、図９に示した各レコードの語句パターンの語句間の数と一致する連結文字を取り出す場合の順列である連結パターンを取得する。このとき、連結文字は重複可能に取り出して良いものとする。また、「（空白）」も空白の連結文字として扱うものとする。

例えば、検査対象ドメイン名取得手段１０５０２は、図９に示した１行目の語句パターンのように、２つの語句で構成される語句パターンについては、語句間が、１つであるため、図５に示した連結文字管理表で管理される３つの連結文字の中から重複を許可して１つの語句を取り出す場合の順列を連結パターンとして取得する。例えば、取得される順列は、「．」、「−」、「（空白）」の３つの連結パターンである。

そして、検査対象ドメイン名取得手段１０５０２は、２つの語句で構成される語句パターンについては、このように取得した連結パターンをそれぞれ用いて、各語句を連結していく。例えば、図９の１行目の語句パターンは、「ｌｅａｄ＋ｔｅｎｍａ」であるため、１つ目の連結パターン「.」を用いた場合は、１つ目の語句間に、この連結パターンが含む一つ目の連結文字「．」を配置して、その前後の語句を連結する。これにより、「ｌｅａｄ．ｔｅｎｍａ」という連結後の語句パターンが得られる。また、２つ目の連結パターンを用いて場合は、「ｌｅａｄ−ｔｅｎｍａ」という連結後の語句パターンが得られる。また、３つ目の連結パターン「（空白）」を用いた場合、１つ目の語句間に、この３つ目連結パターンが含む一つ目の連結文字「（空白）」を配置して、その前後の語句を連結する。「（空白）」の場合は、文字を介さず語句が連結されるため、「ｌｅａｄｔｅｎｍａ」という連結後の語句パターンが得られる。

同様にして、検査対象ドメイン名取得手段１０５０２は、他の２つの語句で構成される語句パターンについても同様に語句を連結する処理が行われる。

また、検査対象ドメイン名取得手段１０５０２は、例えば、図１０に示した語句パターンのうちの３つの語句（対象文字列も含む）で構成される語句パターンについては、語句間が、２つであるため、図５に示した連結文字管理表で管理される３つの連結文字の中から重複を許可して２つの語句を取り出す場合の順列を連結パターンとして取得する。例えば、取得される順列は、「．」＋「−」、「．」＋「（空白）」、「．」＋「．」、「−」＋「．」、「−」＋「（空白）」、「−」＋「−」、「（空白）」＋「．」、「（空白）」＋「−」、「（空白）」＋「（空白）」の９つの連結パターンである。

そして、検査対象ドメイン名取得手段１０５０２は、３つの語句（対象文字列も含む）で構成される語句パターンについては、このように取得した連結パターンをそれぞれ用いて、各語句を連結していく。例えば、図９の３つの語句で構成される語句パターン「ｌｅａｄ＋ｅｎｃｏｄｅ＋ｔｅｎｍａ」については、１つ目の連結パターン「．」＋「−」を用いた場合は、１つ目の語句間（即ち、ｌｅａｄ＋ｅｎｃｏｄｅ間）には、この連結パターンが含む一つ目の連結文字「．」を配置して、その前後の語句を連結する。また、２つ目の語句間（即ち、ｅｎｃｏｄｅ＋ｔｅｎｍａ間）には、この連結パターンが含む一つ目の連結文字「−」を配置して、その前後の語句を連結する。これにより、「ｌｅａｄ．ｅｎｃｏｄｅ−ｔｅｎｍａ」という連結後の語句パターンが得られる。また、２つ目の連結パターン「．」＋「（空白）」を用いた場合は、１つ目の語句間（即ち、ｌｅａｄ＋ｅｎｃｏｄｅ間）には、この連結パターンが含む一つ目の連結文字「．」を配置して、その前後の語句を連結する。また、２つ目の語句間（即ち、ｅｎｃｏｄｅ＋ｔｅｎｍａ間）には、この連結パターンが含む一つ目の連結文字「（空白）」を配置して、その前後の語句を連結する。ただし、「（空白）」の場合は、文字を介さず語句が連結される。これにより、「ｌｅａｄ．ｅｎｃｏｄｅｔｅｎｍａ」という連結後の語句パターンが得られる。同様に残りの連結パターンを用いて、語句パターン「ｌｅａｄ＋ｅｎｃｏｄｅ＋ｔｅｎｍａ」の連結が行われる。

同様にして、他の３つの語句で構成される語句パターンについても同様に語句を連結する処理が行われる。検査対象ドメイン名取得手段１０５０２は、連結した語句パターンを、図示しない記憶媒体等に一時記憶する。

図１０は、連結パターンを用いて連結された語句パターンを示す図である。

次に、検査対象ドメイン名取得手段１０５０２は、図１０に示した連結後の各語句パターンの後に、図６に示した識別文字列管理表で管理される識別文字列をそれぞれ個別に連結してドメイン名を取得する。例えば、「ｌｅａｄ．ｔｅｎｍａ」という連結後の語句パターンに対して、「．ｃｏ．ｊｐ」、「．ｃｏｍ」、「．ａｕ．ｊｐ」等をそれぞれ連結して、「ｌｅａｄ．ｔｅｎｍａ．ｃｏ．ｊｐ」、「ｌｅａｄ．ｔｅｎｍａ．ｃｏｍ」、「ｌｅａｄ．ｔｅｎｍａ．ａｕ．ｊｐ」等のドメイン名を得る。他の連結語の語句パターンについても同様である。そして、検査対象ドメイン名取得手段１０５０２は、取得したドメイン名を、図示しない記憶媒体に一時記憶する。

図１１は、検査対象ドメイン名取得手段１０５０２が取得したドメイン名を示す図である。

図１２は、雛形情報格納手段１０５０３に格納されている雛形情報を示す図である。この雛形情報においては、「（ドメイン名）」の部分が、ドメイン名を配置する位置を示すものとする。

次に、ＵＲＩ生成手段１０５０４は、図１２に示した各雛形情報を読み出し、図１１に示した各ドメイン名を、読み出した各雛形情報の「（ドメイン名）」の部分に配置（即ち置換）していくことで、ＵＲＩを取得する。例えば、雛形情報「ｈｔｔｐ：／／（ドメイン名）」に、図１１に示したドメイン名である「ｌｅａｄ−ｔｅｎｍａ．ｃｏ．ｊｐ」を配置することで、「ｈｔｔｐ：／／ｌｅａｄ−ｔｅｎｍａ．ｃｏ．ｊｐ」というＵＲＩを得る。また、同様に雛形情報「ｈｔｔｐｓ：／／（ドメイン名）」を用いて、「ｈｔｔｐｓ：／／ｌｅａｄ−ｔｅｎｍａ．ｃｏ．ｊｐ」というＵＲＩを得る。

ＵＲＩ生成手段１０５０４は、生成したＵＲＩを図示しない記憶媒体に蓄積する。

図１３は、ＵＲＩ生成手段１０５０４が生成したＵＲＩを示す図である。

次に、問合部１０６は、ＵＲＩ生成手段１０５０４が生成した図１３に示す各ＵＲＩを用いて、ＵＲＩによって特定されるＷＥＢページの有無を問い合わせる。具体的には、ＵＲＩによって特定されるＷＥＢページの送信を要求する。例えば、図１３に示すＵＲＩのうちの一のＵＲＩを、インターネットを通じて送信する。そして、ＵＲＩによって特定されるＷＥＢページがサーバ２０の一つから送信されてきた場合、問合部１０６は、ＵＲＩに対応するドメインが存在すると判断する。また、送られてこなかった場合、ドメインが存在しないと判断する。

問合部１０６が、ドメインが存在すると判断した場合、不正可能性ドメイン関連情報取得部１０７は、問い合わせに用いたＵＲＩを不正可能性ＵＲＩとして取得し、図示しない記憶媒体等に一時記憶する。ドメインが存在すると判断されなかった場合、不正可能性ＵＲＩは取得しない。このような処理を、図１３に示した各ＵＲＩについて順次行う。

例えば、図１３に示すＵＲＩである「ｈｔｔｐ：／／ｌｅａｄ−ｔｅｎｍａ．ｃｏ．ｊｐ」の送信に応じて、問合部１０６が、ＨＴＭＬファイル等のＷＥＢページの情報等を取得することができた場合、不正可能性ドメイン関連情報取得部１０７は、このＵＲＩを、不正可能性ＵＲＩとして取得して図示しない記憶媒体に蓄積する。また、「ｈｔｔｐ：／／ｌｅａｄ−ｅｎｃｏｄｅ．ｔｅｎｍａ．ｃｏ．ｊｐ」の送信に応じて、問合部１０６が、ＨＴＭＬファイル等のＷＥＢページの情報等を取得することができなかった場合、不正可能性ドメイン関連情報取得部１０７は、このＵＲＩを、不正可能性ＵＲＩとして取得しない。

図１４は、不正可能性ドメイン関連情報取得部１０７が取得した不正可能性ＵＲＩを示す図である。

図１５は、除外情報格納部１０８に格納されている除外情報を示す図である。なお、除外情報のうち、先頭が「ｈｔｔｐ：／／」である除外情報は、ＵＲＩに対応した除外情報であり、他の除外情報はドメイン名に対応した除外情報であるとする。

出力部１０９は、図１５に示すような除外情報を読み出し、図１４に示した不正可能性ＵＲＩのうち、ＵＲＩに対応した除外情報と完全一致するものを検出する。ここでは、具体的には、「ｈｔｔｐ：／／ｌｅａｄｔｅｎｍａ．ｃｏ．ｊｐ」に完全一致するものを、除外対象のＵＲＩとして検出する。また、図１４に示した不正可能性ＵＲＩのうちの、ドメイン名に対応した除外情報と一致する文字列を含むものを検出する。ここでは、具体的には、「ｌｅａｄｔｅｎｍａ．ｃｏｍ」を含む不正可能性ＵＲＩを、除外対象のＵＲＩとして検出する。

そして、出力部１０９は除外対象として検出したＵＲＩを除いた不正可能性ＵＲＩを出力する。ここでは、モニタ等に表示する。

図１６は、出力部１０９による不正可能性ＵＲＩの出力例を示す図である。

なお、この具体例においては、説明の便宜上、出力部１０９が、出力時に除外対象の不正可能性ＵＲＩを検出して、除外対象以外の不正可能性ＵＲＩを出力する場合について説明したが、実際は、問合部１０６による、無駄な問い合わせ処理等を省くため、問合部１０６が、除外情報をドメイン名として含むＵＲＩ、または除外情報であるＵＲＩを検出し、このＵＲＩを用いた問い合わせを行わないようにすることが好適である。

なお、不正可能性ドメイン関連情報取得部１０７が不正可能性ＵＲＩを取得しなかった場合や、不正可能性ドメイン関連情報取得部１０７が取得した不正可能性ＵＲＩの全てが除外対象のＵＲＩとして検出された場合等には、出力部１０９は、モニタ等に、例えば、不正利用の可能性があるドメイン名が検出できなかった旨等を表示する。

以上、本実施の形態によれば、対象文字列を用いて、この対象文字列を含むＵＲＩであるドメイン関連情報を生成し、このＵＲＩで特定されるＷｅｂページを問い合わせることで、不正可能性ドメイン関連情報である不正可能性ＵＲＩを取得して出力するようにしたことにより、対象文字列を含むＵＲＩが使用されているか否かを検知することができ、不正なドメインが使用されている可能性を検知することができる。

なお、本実施の形態によれば、文字格納部１０２に格納されている文字を利用せず、語句格納部１０３に格納されている語句を用いてドメイン関連情報を生成する場合について説明したが、文字格納部１０２の文字も利用するようにしても良い。例えば、文字列生成手段１０５０１が、文字格納部１０２に格納されている文字の中から、ユーザにより指定されているｎ個の文字の順列を取得するようにし、このｎ個の文字の順列で構成される各文字列を、上述した語句格納部１０３の語句と同様に用いるようにすればよい。例えば、文字格納部１０２にアルファベット２６文字が格納されており、ユーザにより指定されているｎの値が、２であるとすると、このアルファベット２６文字の中から、重複を可能として２個の文字の順列を取得する。例えば、「ａａ」、「ａｂ」、「ａｃ」…「ｂａ」、「ｂｂ」…「ｚｙ」、「ｚｚ」等の文字列が取得される。そして、このようにして得られた文字列を、語句格納部１０３の語句と同じように扱うようにすればよい。

（実施の形態２）
本実施の形態においては、上記実施の形態のように対象文字列を利用して生成したＵＲＩを用いてＷｅｂページが存在するか否かを判断する代わりに、対象文字列を利用してドメイン名を生成し、これを用いてドメイン名が存在するか否かを判断することで、ドメインの不正利用の可能性を検出するようにしたものである。

図１７は、本実施の形態における不正ドメイン検知装置２のブロック図である。

不正ドメイン検知装置２は、受付部１０１、文字格納部１０２、語句格納部１０３、識別文字列格納部１０４、ドメイン関連情報生成部２０５、問合部２０６、不正可能性ドメイン関連情報取得部２０７、除外情報格納部１０８、出力部２０９を備える。

ドメイン関連情報生成部２０５は、文字列生成手段１０５０１、検査対象ドメイン名取得手段２０５０２、連結文字格納手段１０５０５を備える。

ドメイン関連情報生成部２０５は、受付部１０１が受け付けた対象文字列から、対象文字列を含むドメインに関連する情報であるドメイン関連情報を、２以上生成する。ドメイン関連情報とは、例えば、対象文字列に１文字以上を加えた文字列である。この実施の形態においては、ドメイン関連情報が、例えば、ドメイン名であり、ドメイン関連情報生成部２０５がドメイン関連情報としてドメイン名を生成する場合を一例に挙げて説明する。ドメイン名とは、ドメインの場所を示す情報である。ドメイン名は、例えば、ネットワーク上のコンピュータやサーバ等の場所を識別する名称である。例えば、ドメイン関連情報生成部２０５が生成するドメイン名は、検査対象ドメイン名取得手段２０５０２が取得したドメイン名である。ドメイン関連情報生成部２０５は、上記実施の形態１のドメイン関連情報生成部１０５の処理から、ＵＲＩを生成する処理を省略したものとしてもよい。

ドメイン関連情報生成部２０５は、通常、ＭＰＵやメモリ等から実現され得る。ドメイン関連情報生成部２０５の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。

検査対象ドメイン名取得手段２０５０２は、上記実施の形態１の検査対象ドメイン名取得手段１０５０２と同様にドメイン名を取得する。検査対象ドメイン名取得手段２０５０２の構成および動作等は、上記実施の形態１の検査対象ドメイン名取得手段１０５０２と同様である。なお、検査対象ドメイン名取得手段２０５０２は、文字列生成手段１０５０１が文字格納部１０２の１以上の文字列を組み合わせて生成したｎ文字（ｎは１以上の整数）の文字列や、語句格納部２０５０２に格納されている語句を対象文字列と連結してドメイン名を生成する際においては、語句やｎ文字の文字列は、連結文字である「．」を介して対象文字列と連結しないようにすることが好ましい。後述する問合部２０６の問い合わせ先の仕様等によっては、「．ｃｏ．ｊｐ」や「．ｃｏｍ」等の識別文字列の前に、「．」を介した２以上の文字列が配置されている場合、問い合わせエラーとなる場合があるからである。なお、例えば、連結文字格納手段１０５０５には、連結文字「．」を格納しないようにしてもよい。

問合部２０６は、ドメイン関連情報生成部２０５が生成した２以上の各ドメイン関連情報を用いて、ドメイン関連情報に対応するドメインが存在するか否かを問い合わせる。この実施の形態においては、問合部２０６は、ドメイン関連情報生成部２０５が生成した２以上の各ドメイン名を用いて、ドメイン名で特定されるドメインが存在するか否かを問い合わせる場合の例について説明する。問合部２０６は、例えば、ドメイン関連情報生成部２０５が生成した２以上のドメイン名と同じドメイン名がドメイン登録の管理機関に登録されているか否かを、ドメイン名の登録情報の検索サービスを提供するサーバ等に問い合わせる。ドメイン名の登録情報の検索サービス（ドメイン名登録情報検索サービス）とは、例えばＷｈｏｉｓサービスである。問合部２０６は、例えば、Ｗｈｏｉｓサービスを提供するサーバ等に、ドメイン関連情報生成部２０５が生成した２以上のドメイン名を送信することで、送信したドメイン名が登録されているか否かを問い合わせる。

また、問合部２０６は、ドメイン名登録情報検索サービスが、問い合わせの結果として送信する情報を受信する。問合部２０６は、この問い合せの結果を示す情報を用いてドメイン関連情報に対応するドメインが存在しているか否かを判断する。ドメイン関連情報に対応するドメインが存在するということは、例えば、ドメイン関連情報に対応するドメインが登録されていることである。例えば、Ｗｈｏｉｓサービス等のドメイン名登録情報検索サービスにおいては、通常、問い合せられたドメイン名と一致するドメイン名が登録されている場合、このドメイン名の登録情報を問い合せ元である不正ドメイン検知装置２に送信する。この情報を受信することで、問合部２０６は、問い合せたドメイン名が登録されているドメイン名であると判断し、ドメイン関連情報に対応するドメインが存在することを判断する。また、Ｗｈｏｉｓサービス等のドメイン名登録情報検索サービスにおいては、問い合せられたドメイン名と一致するドメイン名が登録されていない場合、問い合せられたドメイン名が登録されていないことを示す情報を不正ドメイン検知装置２に送信する。この情報を受信することで、問合部２０６は、問い合せたドメイン名が登録されていないドメイン名であると判断し、ドメイン関連情報に対応するドメインが存在していないと判断する。

問合部２０６は、通常、ＭＰＵやメモリ等から実現され得る。問合部２０６の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。

不正可能性ドメイン関連情報取得部２０７は、問合部２０６における問い合わせの結果が、ドメインが存在するとの結果の場合、ドメイン関連情報である不正可能性ドメイン関連情報を取得する。この実施の形態においては、不正可能性ドメイン関連情報取得部２０７は、問合部２０６における問い合わせの結果、ドメインが存在する不正可能性ドメインを取得する。例えば、不正可能性ドメイン関連情報取得部２０７は、問合部２０６における問い合わせの結果が、ドメインが存在するとの結果の場合、この問い合せに用いたドメイン名を不正可能性ドメインとして取得する。あるいは、問い合わせによって得られた登録情報から不正可能性ドメインを取得してもよい。

不正可能性ドメイン関連情報取得部２０７は、通常、ＭＰＵやメモリ等から実現され得る。不正可能性ドメイン関連情報取得部２０７の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。

出力部２０９は、不正可能性ドメイン関連情報取得部２０７が取得した１以上のドメイン関連情報を出力する。本実施の形態においては、出力部２０９は、不正可能性ドメイン関連情報取得部２０７が取得した１以上の不正可能性ドメインを出力する場合の例について説明する。

なお、出力部２０９は、除外情報格納部１０８に格納されている除外情報を含むドメイン名を出力しないようにしてもよい。例えば、出力部２０９は、不正可能性ドメイン関連情報取得部２０７が取得した１以上のドメイン関連情報に、除外情報格納部１０８に格納されている除外情報であるドメイン名が含まれているか否かを判断し、含まれているドメイン関連情報は出力しない。例えば、出力部２０９は、不正可能性ドメイン関連情報取得部２０７が取得した１以上の不正可能性ドメインが、除外情報格納部１０８に格納されている除外情報であるドメイン名と一致するか否かを判断し、一致する不正可能性ドメインは出力しない。なお、本実施の形態においては、出力部２０９はドメイン名を出力するため、除外情報格納部１０８には、除外情報としてＵＲＩを格納しないようにしてよい。なお、出力部２０９のその他の構成や処理等は、上述した出力部１０９と同様であるのでここでは詳細な説明を省略する。

次に、不正ドメイン検知装置２の動作について図１８のフローチャートを用いて説明する。ここでは、語句格納部１０３に格納されている語句を用いて、ドメイン関連情報生成部２０５がドメイン名を生成する場合について説明する。なお、図１８において、図２と同一符号は同一または相当するステップを示す。ただし、実施の形態１におけるドメイン関連情報生成部１０５の検査対象ドメイン名取得手段１０５０２が行う処理は、ドメイン関連情報生成部２０５の検査対象ドメイン名取得手段２０５０２が行うものとする。

（ステップＳ２０１）問合部２０６は、ステップＳ１１１で取得したドメイン名の中に、ｋ番目のドメイン名があるか否かを判断する。ある場合、ステップＳ２０２に進み、ない場合、ステップＳ１１９に進む。

（ステップＳ２０２）問合部２０６は、ｋ番目のドメイン名で、このドメイン名が登録されているか否かを、ドメイン名登録情報検索サービス等に問い合わせる。具体的には、ｋ番目のドメイン名をドメイン名登録情報検索サービス等に送信して、このドメイン名が登録されているか否かの結果を示す情報を要求する。

（ステップＳ２０３）問合部２０６は、ステップＳ２０２の問い合わせの結果が、ドメイン名が登録されていることを示すか否かを判断する。問い合わせの結果が、登録されていることを示す場合、ステップＳ２０４に進み、登録されていないことを示す場合、ステップＳ２０５に進む。

（ステップＳ２０４）不正可能性ドメイン関連情報取得部２０７は、ｋ番目のドメイン名を不正可能性ドメインとして取得する。取得した不正可能性ドメインは、図示しない記憶媒体に一時記憶する。

（ステップＳ２０５）問合部２０６は、カウンターｋの値を１インクリメントする。そして、ステップＳ２０１に戻る。

（ステップＳ２０６）出力部２０９は、ステップＳ２０４で１以上の不正可能性ドメインが取得されたか否かを判断する。取得された場合、ステップＳ２０７に進み、取得されていない場合、ステップＳ２０９に進む。

（ステップＳ２０７）出力部２０９は、除外情報をドメイン名として含む、もしくは一致する不正可能性ドメインを除外対象として検出する。

（ステップＳ２０８）出力部２０９は、ステップＳ２０４で取得して蓄積した不正可能性ドメインから、除外対象のドメインを除いた不正可能性ドメインを出力する。そして、処理を終了する。

（ステップＳ２０９）出力部２０９は、不正利用の可能性のあるドメインが存在しない（例えば、登録されていない）ことを示す情報を出力する。そして、処理を終了する。

以下、本実施の形態における不正ドメイン検知装置２の具体的な動作について説明する。

不正ドメイン検知装置２の概念図は図３と同様である。また、検査対象ドメイン名取得手段２０５０２が、対象文字列と語句とを用いて、図１１に示すようなドメイン名を生成する処理までは上記実施の形態１の具体例と同様である。ここでは、検査対象ドメイン名取得手段２０５０２が取得するドメイン名が、ドメイン関連情報である。ただし、ここでは、連結文字として「．」を用いないため、検査対象ドメイン名取得手段２０５０２が生成するドメイン名は、図１１ではなく、図１９に示すようになる。なお、実施の形態１におけるドメイン関連情報生成部１０５の検査対象ドメイン名取得手段１０５０２が行う処理等は、適宜、ドメイン関連情報生成部１０５の検査対象ドメイン名取得手段１０５０２等の不正ドメイン検知装置２の相当する処理部等が行うものとする。

問合部２０６は、検査対象ドメイン名取得手段２０５０２が取得したドメイン名を一つずつ取り出して、ここでは一例として、予め指定されたＷｈｏｉｓサービスを提供するサーバ等に送信する。そして、Ｗｈｏｉｓサービスのサーバが返す情報がドメイン名の登録情報であるか、登録されていないことを示す情報であるかによって、問合部２０６は、ドメイン名が登録されているか否かを判断する。

登録されている場合、不正可能性ドメイン関連情報取得部１０７は、問い合せに用いたドメイン名を不正可能性ドメインとして取得する。取得した不正可能性ドメインは、図示しない記憶媒体等に一時記憶する。

また、登録されていない場合、不正可能性ドメイン関連情報取得部１０７は、不正可能性ドメインを取得しない。

この処理を、他のドメイン名についても順次行う。

図２０は、不正可能性ドメイン関連情報取得部１０７が取得した不正可能性ドメインである。

図２１は、除外情報格納部１０８に格納されている除外情報を管理する除外情報管理表である。

出力部２０９は、図２０に示した不正可能性ドメインから、図２１に示した除外情報を含む、または一致する不正可能性ドメインを検出し、検出した不正可能性ドメイン以外の不正可能性ドメインを、図示しないモニタ等に表示する。

図２２は、出力部２０９による不正可能性ドメインの表示例を示す図である。

不正可能性ドメインが取得されなかった場合の出力部２０９による表示等は、上記実施の形態１の具体例等と同様である。

以上、本実施の形態によれば、対象文字列を用いて、この対象文字列を含むドメイン名であるドメイン関連情報を生成し、このドメイン名が登録されているか否かを問い合わせることで、不正可能性ドメイン関連情報である不正可能性ドメインを取得して出力するようにしたことにより、対象文字列を含むドメイン名が使用されているか否かを検知することができ、不正なドメインが使用されている可能性を検知することができる。

なお、上記各実施の形態において、各処理（各機能）は、単一の装置（システム）によって集中処理されることによって実現されてもよく、あるいは、複数の装置によって分散処理されることによって実現されてもよい。

また、上記各実施の形態において、一の装置に存在する２以上の通信手段は、物理的に一の媒体で実現されても良いことは言うまでもない。

また、上記実施の形態において、各構成要素が実行する処理に関係する情報、例えば、各構成要素が受け付けたり、取得したり、選択したり、生成したり、送信したり、受信したりする情報や、各構成要素が処理で用いるしきい値や数式、アドレス等の情報等は、上記説明で明記していない場合であっても、図示しない記録媒体において、一時的に、あるいは長期にわたって保持されていてもよい。また、その図示しない記録媒体への情報の蓄積を、各構成要素、あるいは、図示しない蓄積部が行ってもよい。また、その図示しない記録媒体からの情報の読み出しを、各構成要素、あるいは、図示しない読み出し部が行ってもよい。

また、上記各実施の形態では、不正ドメイン検知装置がスタンドアロンである場合について説明したが、不正ドメイン検知装置は、スタンドアロンの装置であってもよく、サーバ・クライアントシステムにおけるサーバ装置であってもよい。後者の場合には、出力部や受付部は、通信回線を介して入力を受け付けたり、画面を出力したりすることになる。

なお、上記各実施の形態における不正ドメイン検知装置を実現するソフトウェアは、以下のようなプログラムである。つまり、このプログラムは、コンピュータを、監視対象の文字列である対象文字列を受け付ける受付部と、受付部が受け付けた対象文字列から、対象文字列を含むドメインに関連する情報であるドメイン関連情報を、２以上生成するドメイン関連情報生成部と、２以上の各ドメイン関連情報を用いて、ドメイン関連情報に対応するドメインが存在するか否かを問い合わせる問合部と、問合部における問い合わせの結果が、ドメインが存在するとの結果の場合、ドメイン関連情報である不正可能性ドメイン関連情報を取得する不正可能性ドメイン関連情報取得部と、不正可能性ドメイン関連情報取得部が取得した１以上のドメイン関連情報を出力する出力部として機能させるためのプログラムである。

なお、上記プログラムにおいて、上記プログラムが実現する機能には、ハードウェアでしか実現できない機能は含まれない。例えば、情報を取得する取得部や、情報を出力する出力部などにおけるモデムやインターフェースカードなどのハードウェアでしか実現できない機能は、上記プログラムが実現する機能には含まれない。

また、このプログラムを実行するコンピュータは、単数であってもよく、複数であってもよい。すなわち、集中処理を行ってもよく、あるいは分散処理を行ってもよい。

図２３は、上記プログラムを実行して、上記実施の形態による不正ドメイン検知装置を実現するコンピュータの外観の一例を示す模式図である。上記実施の形態は、コンピュータハードウェア及びその上で実行されるコンピュータプログラムによって実現されうる。

図２３において、コンピュータシステム９００は、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｋ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）ドライブ９０５、ＦＤ（Ｆｌｏｐｐｙ（登録商標） Ｄｉｓｋ）ドライブ９０６を含むコンピュータ９０１と、キーボード９０２と、マウス９０３と、モニタ９０４とを備える。

図２４は、コンピュータシステム９００の内部構成を示す図である。図２４において、コンピュータ９０１は、ＣＤ−ＲＯＭドライブ９０５、ＦＤドライブ９０６に加えて、ＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）９１１と、ブートアッププログラム等のプログラムを記憶するためのＲＯＭ９１２と、ＭＰＵ９１１に接続され、アプリケーションプログラムの命令を一時的に記憶すると共に、一時記憶空間を提供するＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１３と、アプリケーションプログラム、システムプログラム、及びデータを記憶するハードディスク９１４と、ＭＰＵ９１１、ＲＯＭ９１２等を相互に接続するバス９１５とを備える。なお、コンピュータ９０１は、ＬＡＮへの接続を提供する図示しないネットワークカードを含んでいてもよい。

コンピュータシステム９００に、上記実施の形態による不正ドメイン検知装置等の機能を実行させるプログラムは、ＣＤ−ＲＯＭ９２１、またはＦＤ９２２に記憶されて、ＣＤ−ＲＯＭドライブ９０５、またはＦＤドライブ９０６に挿入され、ハードディスク９１４に転送されてもよい。これに代えて、そのプログラムは、図示しないネットワークを介してコンピュータ９０１に送信され、ハードディスク９１４に記憶されてもよい。プログラムは実行の際にＲＡＭ９１３にロードされる。なお、プログラムは、ＣＤ−ＲＯＭ９２１やＦＤ９２２、またはネットワークから直接、ロードされてもよい。

プログラムは、コンピュータ９０１に、上記実施の形態による不正ドメイン検知装置の機能を実行させるオペレーティングシステム（ＯＳ）、またはサードパーティプログラム等を必ずしも含んでいなくてもよい。プログラムは、制御された態様で適切な機能（モジュール）を呼び出し、所望の結果が得られるようにする命令の部分のみを含んでいてもよい。コンピュータシステム９００がどのように動作するのかについては周知であり、詳細な説明は省略する。

本発明は、以上の実施の形態に限定されることなく、種々の変更が可能であり、それらも本発明の範囲内に包含されるものであることは言うまでもない。

以上のように、本発明にかかる不正ドメイン検知装置は、不正なドメインが使用されている可能性を検知する装置等として適しており、特に、ユーザ等が指定した対象文字列を含む不正なドメインが使用されている可能性を検知する装置等として有用である。

１、２ 不正ドメイン検知装置
２０ サーバ
１０１ 受付部
１０２ 文字格納部
１０３、２０５０２ 語句格納部
１０４ 識別文字列格納部
１０５、２０５ ドメイン関連情報生成部
１０６、２０６ 問合部
１０７、２０７ 不正可能性ドメイン関連情報取得部
１０８ 除外情報格納部
１０９、２０９ 出力部
１０２０２ 検索対象ドメイン名取得部
１０５０１ 文字列生成手段
１０５０２、２０５０２ 検査対象ドメイン名取得手段
１０５０３ 雛形情報格納手段
１０５０４ ＵＲＩ生成手段
１０５０５ 連結文字格納手段

Claims (14)

1. 監視対象の文字列である対象文字列を受け付ける受付部と、
   ２以上の文字を格納し得る文字格納部と、
   前記受付部が受け付けた対象文字列から、当該対象文字列を含むＵＲＩであるドメイン関連情報を、２以上生成するドメイン関連情報生成部と、
   前記２以上の各ドメイン関連情報を用いて、当該ドメイン関連情報であるＵＲＩで特定されるＷｅｂページが存在するか否かを問い合わせる問合部と、
   前記問合部における問い合わせの結果、Ｗｅｂページが存在するＵＲＩである不正可能性ＵＲＩを取得する不正可能性ドメイン関連情報取得部と、
   前記不正可能性ドメイン関連情報取得部が取得した１以上のＵＲＩを出力する出力部とを具備し、
   前記ドメイン関連情報生成部は、
   前記文字格納部の１以上の文字を組み合わせて、ｎ文字（ｎは１以上の整数）の文字列を１以上取得する文字列生成手段と、
   前記文字列生成手段が取得した１以上の文字列を、前記対象文字列の後または前に付加して、検査対象のドメイン名を１以上取得する検査対象ドメイン名取得手段と、
   前記検査対象ドメイン名取得手段が取得した１以上のドメイン名を含む２以上のＵＲＩを生成するＵＲＩ生成手段とを具備する不正ドメイン検知装置。
2. 監視対象の文字列である対象文字列を受け付ける受付部と、
   １以上の語句を格納し得る語句格納部と、
   前記受付部が受け付けた対象文字列から、当該対象文字列を含むドメインに関連する情報であるドメイン関連情報を、２以上生成するドメイン関連情報生成部と、
   前記２以上の各ドメイン関連情報を用いて、当該ドメイン関連情報に対応するドメインが存在するか否かを問い合わせる問合部と、
   前記問合部における問い合わせの結果が、前記ドメインが存在するとの結果の場合、当該ドメイン関連情報である不正可能性ドメイン関連情報を取得する不正可能性ドメイン関連情報取得部と、
   前記不正可能性ドメイン関連情報取得部が取得した１以上のドメイン関連情報を出力する出力部とを具備し、
   前記ドメイン関連情報生成部は、
   対象文字列と語句とを連結する文字である１以上の連結文字を格納し得る連結文字格納手段と、
   前記対象文字列と前記１以上のいずれかの連結文字と前記語句格納部の１以上のいずれかの語句とを連結した文字列であり、前記連結文字を前記対象文字列と前記語句との間に有する文字列である検査対象のドメイン名を１以上取得する検査対象ドメイン名取得手段と、
   前記検査対象ドメイン名取得手段が取得した１以上のドメイン名を含む２以上のＵＲＩを生成するＵＲＩ生成手段とを具備する不正ドメイン検知装置。
3. トップレベルドメインまたは属性型ドメインを示す文字列である識別文字列を１以上格納し得る識別文字列格納部をさらに具備し、
   前記検査対象ドメイン名取得手段は、
   前記識別文字列格納部に格納されている１以上の各識別文字列を含むドメイン名を１以上取得する請求項１または請求項２記載の不正ドメイン検知装置。
4. 前記ドメイン関連情報生成部は、
   ＵＲＩを構成する文字列であり、ドメイン名が挿入され得る文字列である１以上の雛形情報を格納し得る雛形情報格納手段を具備し、
   前記ＵＲＩ生成手段は、
   前記雛形情報格納手段が格納している１以上の各雛形情報に対して、前記検査対象ドメイン名取得手段が取得した１以上の各ドメイン名を挿入し、２以上のＵＲＩを生成する請求項１から請求項３いずれか記載の不正ドメイン検知装置。
5. 監視対象の文字列である対象文字列を受け付ける受付部と、
   前記受付部が受け付けた対象文字列から、当該対象文字列を含むドメイン名であるドメイン関連情報を、２以上生成するドメイン関連情報生成部と、
   前記２以上の各ドメイン関連情報を用いて、当該ドメイン関連情報であるドメイン名で特定されるドメインが存在するか否かを問い合わせる問合部と、
   前記問合部における問い合わせの結果、ドメインが存在する不正可能性ドメインを取得する不正可能性ドメイン関連情報取得部と、
   前記不正可能性ドメイン関連情報取得部が取得した１以上の不正可能性ドメインを出力する出力部とを具備する不正ドメイン検知装置。
6. ２以上の文字を格納し得る文字格納部をさらに具備し、
   前記ドメイン関連情報生成部は、
   前記文字格納部の１以上の文字列を組み合わせて、ｎ文字（ｎは１以上の整数）の文字列を１以上取得する文字列生成手段と、
   前記文字列生成手段が取得した１以上の文字列を、前記対象文字列の後または前に付加して、検査対象のドメイン名を２以上取得する検査対象ドメイン名取得手段とを具備する請求項５記載の不正ドメイン検知装置。
7. １以上の語句を格納し得る語句格納部をさらに具備し、
   前記ドメイン関連情報生成部は、
   前記語句格納部の１以上の語句のうち、１以上の語句を、前記対象文字列の後または前に付加して、検査対象のドメイン名を１以上取得する検査対象ドメイン名取得手段とを具備する請求項５記載の不正ドメイン検知装置。
8. 前記ドメイン関連情報生成部は、
   対象文字列と語句とを連結する文字である１以上の連結文字を格納し得る連結文字格納手段をさらに具備し、
   前記検査対象ドメイン名取得手段は、
   前記対象文字列と前記１以上のいずれかの連結文字と前記語句格納部の１以上のいずれかの語句とを連結した文字列であり、前記連結文字を前記対象文字列と前記語句との間に有する文字列である検査対象のドメイン名を１以上取得する請求項７記載の不正ドメイン検知装置。
9. 受付部と、２以上の文字を格納し得る文字格納部と、文字列生成手段、検査対象ドメイン名取得手段、及びＵＲＩ生成手段を具備するドメイン関連情報生成部と、問合部と、不正可能性ドメイン関連情報取得部と、出力部とを用いて行われる不正ドメイン検知方法であって、
   前記受付部が、監視対象の文字列である対象文字列を受け付ける受付ステップと、
   前記ドメイン関連情報生成部が、前記受付ステップで受け付けた対象文字列から、当該対象文字列を含むＵＲＩであるドメイン関連情報を、２以上生成するドメイン関連情報生成ステップと、
   前記問合部が、前記２以上の各ドメイン関連情報を用いて、当該ドメイン関連情報であるＵＲＩで特定されるＷｅｂページが存在するか否かを問い合わせる問合ステップと、
   前記不正可能性ドメイン関連情報取得部が、前記問合ステップにおける問い合わせの結果、Ｗｅｂページが存在するＵＲＩである不正可能性ＵＲＩを取得する不正可能性ドメイン関連情報取得ステップと、
   前記出力部が、前記不正可能性ドメイン関連情報取得ステップで取得した１以上のＵＲＩを出力する出力ステップとを具備し、
   前記ドメイン関連情報生成ステップは、
   前記文字列生成手段が、前記文字格納部の１以上の文字を組み合わせて、ｎ文字（ｎは１以上の整数）の文字列を１以上取得する文字列生成ステップと、
   前記検査対象ドメイン名取得手段が、前記文字列生成ステップにより取得した１以上の文字列を、前記対象文字列の後または前に付加して、検査対象のドメイン名を１以上取得する検査対象ドメイン名取得ステップと、
   前記ＵＲＩ生成手段が、前記検査対象ドメイン名取得ステップで取得した１以上のドメイン名を含む２以上のＵＲＩを生成するＵＲＩ生成ステップとを具備する不正ドメイン検知方法。
10. 受付部と、１以上の語句を格納し得る語句格納部と、監視対象の文字列である対象文字列と語句とを連結する文字である１以上の連結文字を格納し得る連結文字格納手段、検査対象ドメイン名取得手段、及びＵＲＩ生成手段を具備するドメイン関連情報生成部と、問合部と、不正可能性ドメイン関連情報取得部と、出力部とを用いて行われる不正ドメイン検知方法であって、
    前記受付部が、対象文字列を受け付ける受付ステップと、
    前記ドメイン関連情報生成部が、前記受付ステップにより受け付けた対象文字列から、当該対象文字列を含むドメインに関連する情報であるドメイン関連情報を、２以上生成するドメイン関連情報生成ステップと、
    前記問合部が、前記２以上の各ドメイン関連情報を用いて、当該ドメイン関連情報に対応するドメインが存在するか否かを問い合わせる問合ステップと、
    前記不正可能性ドメイン関連情報取得部が、前記問合ステップにおける問い合わせの結果が、前記ドメインが存在するとの結果の場合、当該ドメイン関連情報である不正可能性ドメイン関連情報を取得する不正可能性ドメイン関連情報取得ステップと、
    前記出力部が、前記不正可能性ドメイン関連情報取得ステップにより取得した１以上のドメイン関連情報を出力する出力ステップとを具備し、
    前記ドメイン関連情報生成ステップは、
    前記検査対象ドメイン名取得手段が、前記対象文字列と前記１以上のいずれかの連結文字と前記語句格納部の１以上のいずれかの語句とを連結した文字列であり、前記連結文字を前記対象文字列と前記語句との間に有する文字列である検査対象のドメイン名を１以上取得する検査対象ドメイン名取得ステップと、
    前記ＵＲＩ生成手段が、前記検査対象ドメイン名取得ステップにより取得した１以上のドメイン名を含む２以上のＵＲＩを生成するＵＲＩ生成ステップとを具備する不正ドメイン検知方法。
11. 受付部と、ドメイン関連情報生成部と、問合部と、不正可能性ドメイン関連情報取得部と、出力部とを用いて行われる不正ドメイン検知方法であって、
    前記受付部が、監視対象の文字列である対象文字列を受け付ける受付ステップと、
    前記ドメイン関連情報生成部が、前記受付ステップにより受け付けた対象文字列から、当該対象文字列を含むドメイン名であるドメイン関連情報を、２以上生成するドメイン関連情報生成ステップと、
    前記問合部が、前記２以上の各ドメイン関連情報を用いて、当該ドメイン関連情報であるドメイン名で特定されるドメインが存在するか否かを問い合わせる問合ステップと、
    前記不正可能性ドメイン関連情報取得部が、前記問合ステップによる問い合わせの結果、ドメインが存在する不正可能性ドメインを取得する不正可能性ドメイン関連情報取得ステップと、
    前記出力部が、前記不正可能性ドメイン関連情報取得ステップにより取得した１以上の不正可能性ドメインを出力する出力ステップとを具備する不正ドメイン検知方法。
12. ２以上の文字を格納し得る文字格納部にアクセス可能なコンピュータを、
    監視対象の文字列である対象文字列を受け付ける受付部と、
    前記受付部が受け付けた対象文字列から、当該対象文字列を含むＵＲＩであるドメイン関連情報を、２以上生成するドメイン関連情報生成部と、
    前記２以上の各ドメイン関連情報を用いて、当該ドメイン関連情報であるＵＲＩで特定されるＷｅｂページが存在するか否かを問い合わせる問合部と、
    前記問合部における問い合わせの結果、Ｗｅｂページが存在するＵＲＩである不正可能性ＵＲＩを取得する不正可能性ドメイン関連情報取得部と、
    前記不正可能性ドメイン関連情報取得部が取得した１以上のＵＲＩを出力する出力部として機能させ、
    前記ドメイン関連情報生成部は、
    前記文字格納部の１以上の文字を組み合わせて、ｎ文字（ｎは１以上の整数）の文字列を１以上取得する文字列生成手段と、
    前記文字列生成手段が取得した１以上の文字列を、前記対象文字列の後または前に付加して、検査対象のドメイン名を１以上取得する検査対象ドメイン名取得手段と、
    前記検査対象ドメイン名取得手段が取得した１以上のドメイン名を含む２以上のＵＲＩを生成するＵＲＩ生成手段とを具備するプログラム。
13. １以上の語句を格納し得る語句格納部と、監視対象の文字列である対象文字列と語句とを連結する文字である１以上の連結文字を格納し得る連結文字格納手段とにアクセス可能なコンピュータを、
    対象文字列を受け付ける受付部と、
    前記受付部が受け付けた対象文字列から、当該対象文字列を含むドメインに関連する情報であるドメイン関連情報を、２以上生成するドメイン関連情報生成部と、
    前記２以上の各ドメイン関連情報を用いて、当該ドメイン関連情報に対応するドメインが存在するか否かを問い合わせる問合部と、
    前記問合部における問い合わせの結果が、前記ドメインが存在するとの結果の場合、当該ドメイン関連情報である不正可能性ドメイン関連情報を取得する不正可能性ドメイン関連情報取得部と、
    前記不正可能性ドメイン関連情報取得部が取得した１以上のドメイン関連情報を出力する出力部として機能させ、
    前記ドメイン関連情報生成部は、
    前記対象文字列と前記１以上のいずれかの連結文字と前記語句格納部の１以上のいずれかの語句とを連結した文字列であり、前記連結文字を前記対象文字列と前記語句との間に有する文字列である検査対象のドメイン名を１以上取得する検査対象ドメイン名取得手段と、
    前記検査対象ドメイン名取得手段が取得した１以上のドメイン名を含む２以上のＵＲＩを生成するＵＲＩ生成手段とを具備するプログラム。
14. コンピュータを、
    監視対象の文字列である対象文字列を受け付ける受付部と、
    前記受付部が受け付けた対象文字列から、当該対象文字列を含むドメイン名であるドメイン関連情報を、２以上生成するドメイン関連情報生成部と、
    前記２以上の各ドメイン関連情報を用いて、当該ドメイン関連情報であるドメイン名で特定されるドメインが存在するか否かを問い合わせる問合部と、
    前記問合部における問い合わせの結果、ドメインが存在する不正可能性ドメインを取得する不正可能性ドメイン関連情報取得部と、
    前記不正可能性ドメイン関連情報取得部が取得した１以上の不正可能性ドメインを出力する出力部として機能させるためのプログラム。

Images