JP5930546B2

JP5930546B2 - Ｄｎｓサーバ調査装置及びｄｎｓサーバ調査方法

Info

Publication number: JP5930546B2
Application number: JP2013114403A
Authority: JP
Inventors: 崇歌原
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2013-05-30
Filing date: 2013-05-30
Publication date: 2016-06-08
Anticipated expiration: 2033-05-30
Also published as: JP2014236224A

Description

本発明は、DNSサーバの異常を調査するDNSサーバ調査装置及びDNSサーバ調査方法に関する。

DNSサーバ（DNSキャッシュサーバ）は、IPアドレスとドメインの組み合わせを上位のDNSサーバに問合せして解決すると、取得したIPアドレスとドメインの組み合わせを一定期間保存している。したがって、その後に再度同一のIPアドレスとドメインの組み合わせが必要になった場合、一定期間は記憶した組み合わせを利用することになる。

したがって、問合せ時に不正なIPアドレスとドメインの組み合わせを通知されたDNSサーバは、一定期間、不正なIPアドレスとドメインを記憶することとなり、改ざんされた状態が継続される。

http://www.ietf.org/rfc/rfc1034.txt.pdf（2013年5月30日検索）

従来、上述したようなDNSサーバの改ざんを調査することは困難であった。

上記課題に鑑み、本発明は、DNSサーバの改ざんを容易に調査することを目的とする。

上記目的を達成するために、本発明に係るDNSサーバ調査装置は、DNSクエリを受信すると、過去に取得したドメインとIPアドレスの履歴に関する第１履歴データと、当該第１履歴データに含まれるより以前に取得したドメインとIPアドレスの履歴に関する第２履歴データとから、受信したDNSクエリに含まれるドメインと対応するIPアドレスを抽出する抽出部と、前記抽出部によって第１履歴データから抽出されたドメインとIPアドレスの組と、第２履歴データから抽出されたドメインとIPアドレスの組とを比較し一致しない場合に、第１履歴データの取得に使用されたDNSサーバのデータが当該ドメインとIPアドレスの組について誤っている可能性有と判定する判定部とを備える。

本発明によれば、DNSサーバの改ざんを容易に調査することができる。

図１は、第１実施形態に係るDNSサーバ調査装置の構成を説明するブロック図である。図２は、図１のDNSサーバ調査装置が接続されるネットワークを説明する図である。図３は、図１のDNSサーバ調査装置における処理の流れを説明するフローチャートである。図４は、図１のDNSサーバ調査装置における履歴データを使用した判定を説明する図である。図５は、図１のDNSサーバ調査装置が使用する履歴データを説明する図である。図６は、図１のDNSサーバ調査装置が使用する履歴データの詳細を説明する図である。図７は、第２実施形態に係るDNSサーバ調査装置及びこれと接続されるサーバの構成を説明するブロック図である。図８は、図７のDNSサーバ調査装置及びドメイン解決サーバが接続されるネットワークを説明する図である。図９は、図７のDNSサーバ調査装置における処理を説明するフローチャートである。

以下に、図面を用いて本発明に係るDNSサーバ調査装置について説明する。本発明に係るDNSサーバ調査装置は、接続されるDNSサーバが改ざん（なお、ここでいう「改ざん」は、故意にデータが改ざんされた場合だけでなく、誤ったデータが記憶された場合も含むものとする）されているか否か調査するとともに、改ざんされていると判定された場合に正しい接続先を検索するものである。なお、以下の説明において、同一の装置または構成については、同一の符号を用いて図示し、説明を省略する。

〈第１実施形態〉
図１に一例を示す第１実施形態に係るDNSサーバ調査装置１Aは、いわゆるDNSサーバ（DNSキャッシュサーバ）であって、ネットワークを介してクライアント端末２、他のDNSサーバ３、上位のDNSサーバ３ａ〜３ｄと接続されている。例えば、DNSサーバ調査装置１Aは、接続されるクライアント端末２からドメインに対応するIPアドレスの問合せを受けた際に、接続される他のDNSサーバ３の改ざんを調査する処理を実行する。

図２に示す例を用いてDNSサーバ調査装置１Aが存在するネットワークにおけるデータの送受信の流れを説明する。まず、改ざんされたDNSサーバが存在しない場合、図２（ａ）に示すように、DNSサーバ１は、クライアント端末２からドメイン「ｂ」のIPアドレスの問合せを受けると、接続される他のDNSサーバ３に問合せを行い、ドメイン「ｂ」のサーバ４のIPアドレス「５」を応答することができる。ドメイン「ｂ」のＩＰアドレスを受信したクライアント端末２は、目的のサーバ４に接続することができる。

一方、図２（ｂ）に示すように、悪意のサーバ５が存在し、DNSサーバ３が改ざんされているとする。この場合、DNSサーバ１は、クライアント端末２からドメイン「ｂ」のIPアドレスを受けた場合、接続される他のDNSサーバ３に問合せを行い、ドメイン「ｂ」のサーバ４のIPアドレスとして、改ざんされたIPアドレス「４」を応答することになる。この改ざんされたIPアドレス「４」を受信したクライアント端末２は、悪意あるサーバ５に接続される問題が生じる。

したがって、第１実施形態に係るDNSサーバ調査装置１Aは、このような接続を防ぐため、改ざんのおそれがある場合には、図２（ｃ）に示すように、上位のDNSサーバ３ａ〜３ｄにアクセスし、目的のIPアドレスを検索する。ここで、DNSサーバ調査装置１Aは、DNSキャッシュサーバであるため、IPアドレスが履歴データ（リソースレコード）として記憶されている場合、接続されるDNSサーバ３に問合せをせずにIPアドレスを応答することができる。

なお、以下では、DNSサーバ調査装置１Aは、クライアント端末２からDNSクエリを受信し、このクライアント端末２にDNS応答信号を送信するものとして説明するが、このクライアント端末２を他のDNSサーバに置き換えても同様である。

DNSサーバ調査装置１Aは、DNSサーバに調査プログラムがインストールされることで、DNSサーバ調査装置１Aとして送受信部１１、抽出部１２、判定部１３、設定部１４、検索部１５及び更新部１６が実装され、接続される他のDNSサーバ３の改ざんについての調査処理を実行することができる。また、DNSサーバ調査装置１Aでは、過去に問合せがされたドメイン及びIPアドレスが蓄積される履歴データDを記憶装置で記憶している。

送受信部１１は、クライアント端末２から送信されたDNSクエリを受信する。このDNSクエリには、問合せの対象の「ドメイン」が含まれている。また、送受信部１１は、受信したDNSクエリに対してDNS応答信号を送信する。このDNS応答信号には、問合せを受けたドメインの「IPアドレス」が含まれている。

抽出部１２は、送受信部１１がDNSクエリを受信すると、履歴データDから当該DNSクエリに含まれるドメインを含むデータを抽出し、抽出結果を判定部１３に出力する。

履歴データDは、「ドメイン」及び「IPアドレス」を含むとともに、過去にドメインにアクセスした「時間」、「NSレコード」、「Aレコード」、「TTL」等を含むいわゆるリソースレコードである。この履歴データDは、例えば、現在から所定の時間T前（例えば、現在から３日前）までの履歴に関する第１履歴データD１と、第１履歴データD１の履歴以前（例えば、３日前以前）の履歴に関する第２履歴データD２とを含んでいる。この第１履歴データD１及び第２履歴データD２の基準となる時間Tは、「TTL」を用いても良いし、「TTL」が短いと判断される場合には、TTLよりも長い時間を設定していても良い。履歴データ及び所定の時間Tの詳細については、後述する。

なお、図１において、第１履歴データD１と第２履歴データD２とは独立しているが、履歴データD内で、特定のフラグ（例えば、第２履歴データフラグ）がオンのレコードを第２履歴データD２とし、当該フラグがオフのレコードを第１履歴データD１としてもよい。このように、１つのデータをフラグにより第１履歴データD１と第２履歴データD２とに区別することで、効率的に処理することができる。

また、第２履歴データD２は、時間の経過に伴いデータ量が増加していく。したがって、DNSサーバ調査装置１Aでは、第２履歴データD２のみ外部の記憶装置に記憶させてもよい。このようにした場合、DNSサーバ調査装置１Aの記憶装置の容量が少ない場合に装置内での処理負担を軽減することができる点で好ましい。

抽出部１２は、第１履歴データD１及び第２履歴データD２の両者からデータを抽出する。ここで、第１履歴データD１及び第２履歴データD２にそれぞれ複数の履歴が含まれる場合、抽出部１２は、複数の履歴のうち最も新しい履歴を抽出する。

判定部１３は、抽出部１２の抽出結果を利用し、予め定められる判定条件を利用して抽出されたデータの信頼性を判定する。

例えば、第１履歴データD１の抽出結果と第２履歴データD２の抽出結果とが同一の組のドメイン及びIPアドレスを有する（差分がない）とき、第１履歴データD１及び第２履歴データD２に含まれるIPアドレスの信頼性が高いと判定し、送受信部１１に出力する。一方、第１履歴データD１及び第２履歴データD２の抽出結果のドメイン及びIPアドレスが異なる組を有する（差分がある）とき、判定部１３は、第１履歴データD１及び第２履歴データD２の抽出結果に含まれるIPアドレスの信頼性が低いとする判定結果を設定部１４に出力するとともに、対象のドメインに対応するIPアドレスの検索を要求する検索リクエストを検索部１５に出力する。

また、第１履歴データD１からデータが抽出されなかったとき、判定部１３は、対象のドメインに対応するIPアドレスの問合せを要求する問合せリクエストを検索部１５に出力する。さらに、第１履歴データD１からデータが抽出されたが、第２履歴データD２からデータが抽出されなかったとき、第１履歴データD１の抽出結果に含まれるIPアドレスを送受信部１１に出力する。

設定部１４は、判定部１３から信頼性が低いとする判定結果を入力すると、このデータの取得に使用したDNSサーバ３を改ざんが行われた可能性のある被疑サーバとして設定する。例えば、判定部１３は、被疑サーバと設定したDNSサーバ３への問合せを停止したり、管理サーバ（図示せず）等にDNSサーバ３の調査を依頼する。

検索部１５は、判定部１３から問合せリクエストを入力すると、接続されるDNSサーバ３に対象のドメインを含むDNSクエリを送信して問合せを行い、問合せの結果として得られたDNS応答信号を判定部１３に出力する。また、検索部１５は、判定部１３から検索リクエストを入力すると、接続される上位のDNSサーバ３ａ〜３ｄに対象のドメインを含むDNSクエリを送信し、このDNSクエリに応答して上位のDNSサーバ３ａ〜３ｄから得られたDNS応答信号を判定部１３に出力する。ここで、上位のDNSサーバ３ａ〜３ｄとは、通常のDNS解決の処理において信号を送受信するDNSサーバ３ではなく、通常のDNS解決の処理に信号を送受信するDNSサーバ３にとっても上位に位置する所定のDNSサーバである。検索部１５は、この上位のDNSサーバのリストを有している。

ここで、上位のDNSサーバは複数存在する。例えば、検索部１５がリストを有する上位のDNSサーバがｍ個存在し、上位のDNSサーバへの問合せの実行回数をｎ回とし、ｎ／ｍが所定の値以上となるように上位のDNSサーバへの問い合わせの実行を繰り返したときのみ、上位のDNSサーバの問い合わせの結果を有効としてもよい。

判定部１３は、検索部１５からの検索結果としてDNS応答信号を入力すると、入力したDNS応答信号を用いて再びデータの信頼性を判定する。

更新部１６は、送受信部１１がDNS応答信号を送信すると、送信したDNS応答信号を追加して履歴データDを更新する。また、履歴データDは、所定時間T前までの第１履歴データD１と所定時間T以前の第２履歴データD２とを含んでいるが、更新部１６は、時間の経過に応じて、第１履歴データD１に含まれるデータを第２履歴データD２に追加して履歴データDを更新する。

例えば、所定時間Tとして３日が設定されているとする。この場合、更新部１６は、追加されてから３日を経過するまでは第１履歴データD１に含まれていたリソースレコードについて、第１履歴データD１から削除して第２履歴データD２に追加する。さらに、一定期間を経過したリソースレコードについては第２履歴データD２から削除してもよい。この第２履歴データD２にリソースレコードを保存する期間は、DNSサーバ調査装置１Aの処理能力や使用頻度、記憶装置の容量等に応じて設定することができる。

続いて、図３に示すフローチャートを用いて、DNSサーバ調査装置１Aにおける処理の流れを説明する。まず、送受信部１１が接続されるクライアント端末２からDNSクエリを受信すると（S１）、抽出部１２は、第１履歴データD１及び第２履歴データD２からDNSクエリに含まれるドメインに対応するデータを抽出する（S２）。

判定部１３は、第１履歴データD１と第２履歴データD２からデータが抽出されたとき（S３でYES及びS４でYES）、検出された各データが含むIPアドレスに差分があるか否かを判定する（S５）。

差分がある場合（S５でYES）、設定部１４は、判定部１３から入力する判定結果にしたがって、接続されるDNSサーバ３を被疑サーバとして設定する（S６）。また、検索部１５は、判定部１３から入力する検索リクエストにしたがって、上位のDNSサーバ３ａ〜３ｄにDNSクエリを送信する（S７）。検索部１５は、送信したDNSクエリに対して上位のDNSサーバ３ａ〜３ｄから送信されたDNS応答信号を受信すると、このDNS応答信号を判定部１３に出力する（S８）。その後、このDNS応答信号は、判定部１３から送受信部１１に出力され、送受信部１１によってクライアント端末２に送信される（S９）。なお、ステップS８で上位のDNSサーバ３ａ〜３ｄからIPアドレスを含むDNS応答信号が受信できない場合、送受信部１１は、エラーとして信号を送信する。

例えば、図４（ａ）に示すように、第１履歴データD１に含まれるIPアドレス「５」と第２履歴データD２に含まれるIPアドレス「４」とが異なったとき、DNSサーバ調査装置１Aは、上位のDNSサーバ３ａ〜３ｄから取得したIPアドレス（例えば、「５」）をDNS応答信号として利用する。

一方、図４（ｂ）に示すように、差分がない場合（S５でNO）、抽出されたデータは判定部１３から送受信部１１に出力され、送受信部１１によってこのデータに含まれるIPアドレスを含むDNS応答信号がクライアント端末２に送信される（S１０）。

また、図４（ｃ）に示すように、第１履歴データD１からデータが抽出されたが、第２履歴データD２からデータが抽出されないとき（S３でYES及びS４でNO）、第１履歴データD１から抽出されたデータが判定部１３から送受信部１１に出力され、送受信部１１によってこのデータに含まれるIPアドレスがクライアント端末２に送信される（Ｓ１１）。

第１履歴データD１からデータが抽出されない場合（S３でNO）、送受信部１１は、判定部１３から入力する検索リクエストにしたがって、接続されるDNSサーバ３にDNSクエリを送信する（S１２）。また、送受信部１１は、送信したDNSサーバに対して接続されるDNSサーバ３から送信されたDNS応答信号を受信すると、このDNS応答信号を判定部１３に出力する（S１３）。

DNSサーバ３から送信されたDNS応答信号を受信した判定部１３は、第２履歴データD２からデータが抽出されているとき（S１４でYES）、受信したDNS応答信号が含むIPアドレスと第２履歴データD２から抽出されたデータが含むIPアドレスとに差分があるか否かを判定する（S１５）。

差分がある場合（S１５でYES）、設定部１４は、判定部１３から入力する判定結果にしたがって、接続されるDNSサーバ３を被疑サーバとして設定する（S１６）。また、検索部１５は、判定部１３から入力する検索リクエストにしたがって、上位のDNSサーバにDNSクエリを送信する（S１７）。検索部１５は、送信したDNSクエリに対して上位のDNSサーバから送信されたDNS応答信号を受信すると、このDNS応答信号を判定部１３に出力する（S１８）。その後、このDNS応答信号は、判定部１３から送受信部１１に出力され、送受信部１１によってクライアント端末２に送信される（S１９）。なお、ステップS1８で上位のDNSサーバ３ａ〜３ｄからIPアドレスを含むDNS応答信号が受信できない場合、送受信部１１は、エラーとして信号を送信する。

例えば、図４（ｄ）に示すように、第２履歴データD２に含まれるIPアドレス「５」と、DNSサーバ３から今回取得したIPアドレス「４」とが異なったとき、DNSサーバ調査装置１Aは、上位のDNSサーバ３ａ〜３ｄから取得したＩＰアドレス（例えば、「５」）をDNS応答信号として利用する。

一方、図４（ｅ）に示すように、差分がない場合（S１５でNO）、DNS応答信号は判定部１３から送受信部１１に出力され、送受信部１１によってこのデータに含まれるIPアドレスを含むDNS応答信号がクライアント端末２に送信される（S２０）。

また、図４（ｆ）に示すように、第２履歴データD２からもデータが抽出されないとき（S１４でNO）、検索部１５は、判定部１３から入力する検索リクエストにしたがって、上位のDNSサーバにDNSクエリを送信する（S２１）。検索部１５は、送信したDNSクエリに対して上位のDNSサーバから送信されたDNS応答信号を受信すると、このDNS応答信号を判定部１３に出力する（S２２）。その後、この判定部１３によって定められた検索結果のIPアドレスが送受信部１１に出力され、送受信部１１によってクライアント端末２に送信される（S２３）。なお、ステップS２２で上位のDNSサーバ３ａ〜３ｄからIPアドレスを含むDNS応答信号が受信できない場合、送受信部１１は、エラーとして信号を送信する。

仮に、ステップS２２で検索部１５が受信したDNS応答信号に含まれるIPアドレスがステップS１３で得られたIPアドレスと異なるとき、DNSサーバ調査装置１Aは、さらに調査を継続してもよいし、エラーとして信号を送信してもよい。

その後、更新部１６は、送受信部１１の送信結果によって、第１履歴データD１を更新する（S２２）。例えば、ステップS９及びS１９のように、上位のDNSサーバ３ａ〜３ｄから取得した結果を使用した場合、そのデータが第１履歴データD１に追加される。また、例えば、ステップS１０及びS１１のように、第１履歴データD１又は第２履歴データD２のデータを使用した場合、第１履歴データD１は更新されない。さらに、ステップS２０やS２３のように、DNSサーバ３に問合せをして得られた組み合わせを採用した場合、DNSサーバから取得した組み合わせで第１履歴データD１を更新する。

なお、上述した例では、検索部１５は、ステップS７、S１７及びS２１において上位のDNSサーバ３ａ〜３ｄを利用してDNS解決を行っているがこれに限られない。具体的には、DNSサーバ３以外の装置であればよく、他の装置のキャッシュデータ等を利用してDNS解決を行うことができれば、DNSサーバ調査装置１Aは、上位のDNSサーバ３ａ〜３ｄ以外の装置を利用してDNS解決を行っても良い。

上述したように、第１実施形態に係るDNSサーバ調査装置１Aは、履歴データDを利用して、自装置が有するゾーンデータである履歴データDの改ざんを調査するとともに、接続されるDNSサーバ３の改ざんを調査することができる。一般的には、一定期間を経過したリソースレコードはDNSサーバでキャッシュとして使用されることがない。これに対し、DNSサーバ調査装置１Aでは、過去に使用して問題のなかったIPアドレスは信頼性が高いと判断することができるため、一定期間を経過したリソースレコードについても、DNSサーバ３の改ざんの調査に使用している。

具体的には、第１履歴データD１として一般的にキャッシュデータとして利用されるような比較的新しいリソースレコードを使用し、それより古いデータについては、第２履歴データD２として利用している。

ここで、例えば、図５に示すように、リソースレコードでは、対象の接続がされた「時刻」、「NSレコード」、「Aレコード」、「TTL」等のデータに加え、第１履歴データD１として有効であるか否かを特定する「有効フラグ」を設定し、「有効フラグ」で「有効」とされているリソースレコードを第１履歴データD１とし、「無効」とされているリソースレコードを第２履歴データD２として使用することができる。この場合、DNSサーバ調査装置１Aは、「時刻」から所定時間Tが経過したリソースレコードについて、「有効フラグ」を「有効」から「無効」に変更することで、履歴データDを容易に管理することができる。また、履歴データDでは、「有効フラグ」のみを変更（書き換え）可能とし、他の部分については変更できないように設定することで、外部からの履歴データDの改ざんを防止することができる。なお、リソースレコードは、具体的には、図６に詳細を示すように構成されている。

〈第２実施形態〉
図７に示すように、第２実施形態に係るDNSサーバ調査装置１Bも、図１を用いて上述したDNSサーバ調査装置１Aと同様にDNSサーバ（DNSキャッシュサーバ）であって、クライアント端末２及びDNSサーバ３と接続されている。一方、DNSサーバ調査装置１Bは、ドメイン解決サーバ６と接続されている点でDNSサーバ調査装置１Aと異なる。

第１実施形態に係るDNSサーバ調査装置１Aの検索部１５は、DNSサーバ３の改ざんが疑われた場合、自ら上位のDNSサーバ３ａ〜３ｄに問合せを実行していた。これに対し、第２実施形態に係るDNSサーバ調査装置１Bの検索部１５は、図８に示すように、DNS解決を実行するドメイン解決サーバ６にDNS解決を依頼する。

具体的には、図９のフローチャートに示すように、まず、送受信部１１がクライアント端末２からDNSクエリを受信すると（S３１）、抽出部１２は、第１履歴データD１及び第２履歴データD２からDNSクエリに含まれるドメインに対応するデータを抽出する（D３２）。

抽出部１２からデータを入力した、判定部１３は、第１履歴データD１と第２履歴データD２からデータが抽出されたデータに差分があるか否かを判定する（S３３）。

差分がある場合（S３３でYES）、判定部１３から検索リクエストを入力した検索部１５は、DNSクエリを生成し、ドメイン解決サーバ６にDNSクエリを送信する（S３４）。その後、検索部１５は、送信したDNSクエリに対してDNS応答信号を受信すると、判定部１３に出力する（S３５）。

送受信部１１は、判定部１３から入力したIPアドレスを含むDNS応答信号をクライアント端末２に送信する（S３６）。具体的には、差分がなかった場合（S３３でNO）、抽出部１２が抽出したデータが含むIPアドレスを含むDNS応答信号が送信される。一方、差分が合った場合（S３３でYES）、ドメイン解決サーバ６で得られたIPアドレスを含むDNS応答が送信される。

また、クライアント端末２にDNS応答信号が送信されると、更新部１６は、履歴データDを更新する（S３７）。

上述したように、実施形態２に係るDNSサーバ調査装置１Bにおいても、履歴データDを利用して接続されるDNSサーバ３の改ざんを調査することができる。

以上、実施形態を用いて本発明を詳細に説明したが、本発明は本明細書中に説明した実施形態に限定されるものではない。本発明の範囲は、特許請求の範囲の記載及び特許請求の範囲の記載と均等の範囲により決定されるものである。

１A…DNSサーバ調査装置
１B…DNSサーバ調査装置
１１…送受信部
１２…抽出部
１３…判定部
１４…設定部
１５…検索部
１６…更新部
D…履歴データ
D１…第１履歴データ
D２…第２履歴データ
２…クライアント端末
３…DNSサーバ
３ａ〜３ｄ…DNSサーバ
４…サーバ
５…サーバ
６…ドメイン解決サーバ

Claims

DNSクエリを受信すると、過去に取得したドメインとIPアドレスの履歴に関する第１履歴データと、当該第１履歴データに含まれるより以前に取得したドメインとIPアドレスの履歴に関する第２履歴データとから、受信したDNSクエリに含まれるドメインと対応するIPアドレスを抽出する抽出部と、
前記抽出部によって第１履歴データから抽出されたドメインとIPアドレスの組と、第２履歴データから抽出されたドメインとIPアドレスの組とを比較し一致しない場合に、第１履歴データの取得に使用されたDNSサーバのデータが当該ドメインとIPアドレスの組について誤っている可能性有と判定する判定部と、
を備えることを特徴とするDNSサーバ調査装置。
前記判定部によって前記第１履歴データの取得に使用されたDNSサーバのデータが当該ドメインとIPアドレスの組について誤っている可能性有と判定されると、上位のDNSサーバにDNSクエリを送信しドメインとIPアドレスの組を検索する検索部をさらに有し、
前記判定部は、前記検索部が上位のサーバからドメインとIPアドレスを受信すると、当該IPアドレスと前記抽出部が抽出したドメインとIPアドレスの組とを比較し、前記DNSサーバのデータが誤っていると判定する
ことを特徴とする請求項１に記載のDNSサーバ調査装置。
DNSクエリを受信するステップと、
過去に取得したドメインとIPアドレスの履歴に関する第１履歴データと、当該第１履歴データに含まれるより以前に取得したドメインとIPアドレスの履歴に関する第２履歴データとから、受信したDNSクエリに含まれるドメインと対応するIPアドレス抽出するステップと、
第１履歴データから抽出されたIPアドレスと、第２履歴データから抽出されたIPアドレスとを比較し、第１履歴データの取得に使用されたDNSサーバの改ざんの可能性を判定するステップと、
改ざんの可能性があると判定されると、上位のDNSサーバにDNSクエリを送信しIPアドレスを検索するステップと、
を備えることを特徴とするDNSサーバ調査方法。