JP6734466B2 - 攻撃対策決定装置、攻撃対策決定方法及び攻撃対策決定プログラム - Google Patents

Description

本発明は、攻撃対策決定装置、攻撃対策決定方法及び攻撃対策決定プログラムに関する。

サイバー攻撃を実施する攻撃者は、多くの場合、ドメイン名とＤＮＳ（Domain Name System）を通信インフラとして利用する。例えば、攻撃者は、次々と新たなドメイン名を利用しながらマルウェアと呼ばれる悪意のあるソフトウェアを配信し、マルウェアに感染した端末の制御を行う。また、攻撃者は、正規のサービス名や著名な事業者名と類似したドメイン名を悪用することで、ユーザを欺きフィッシング攻撃を実施する。

このようなサイバー攻撃で悪用されるドメイン名（以後、悪性ドメイン名という。）に対する対策として、悪性ドメイン名を特定し、特定した悪性ドメイン名宛の通信を通信経路上で監査することでサイバー攻撃を防ぐ対策が実施されている。

例えば、ＤＮＳ通信に関しては、ローカルネットワークやＩＳＰ（Internet Service Provider）に配置されるキャッシュＤＮＳサーバにおいて、ユーザからの悪性ドメイン名宛の通信をフィルタリングする対策が行なわれている。また、ＤＮＳ通信に関しては、権威ＤＮＳサーバにおいて、悪性ドメイン名に関するリソースレコードを削除するなどの対策が行われている。

また、ＨＴＴＰ／ＨＴＴＰＳ等のＷｅｂ通信に関しては、ローカルネットワークに配置されるＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Prevention System）、ＤＰＩ（Deep Packet Inspection）に代表されるセキュリティアプライアンスにおいて、ユーザからの悪性ドメイン名宛の通信をフィルタリングする対策や、Ｗｅｂサーバ上で悪性コンテンツを特定し削除する対策が行われている。

J. Ma, L. K. Saul, S. Savage, and G. M. Voelker, "Beyond Blacklists: Learning to Detect Malicious Web Sites from Suspicious URLs", Proc. 15th ACM KDD, p.1245, 2009. M. Felegyhazi, C. Kreibich, and V. Paxson, "On the Potential of Proactive Domain Blacklisting", Proc. USENIX LEET, vol.42, no. 8, p.6, 2010. M. Antonakakis, R. Perdisci, D. Dagon, W. Lee, and N. Feamster, "Building a Dynamic Reputation System for DNS", Proc. 19th USENIX Security Symposium, 2010. D. Chiba, T. Yagi, M. Akiyama, T. Shibahara, T. Yada, T. Mori, and S. Goto, "DomainProfiler: Discovering Domain Names Abused in Future", Proc. 46th IEEE/IFIP DSN, pp.491−502, Jun. 2016. S. Hao, A. Kantchelian, B. Miller, V. Paxson, and N. Feamster, "PREDATOR: Proactive Recognition and Elimination of Domain Abuse at Time-Of-Registration", Proc. ACM CCS, pp.1568−1579, 2016. K. Sato, K. Ishibashi, T. Toyono, and N. Miyake, "Extending Black Domain Name List by Using Co-occurrence Relation between DNS queries", Proc. USENIX LEET, 2010. L. Bilge, E. Kirda, C. Kruegel, and M. Balduzzi, "EXPOSURE: Finding Malicious Domains Using Passive DNS Analysis", NDSS, pp.1−17, 2011. M. Antonakakis, R. Perdisci, W. Lee, N. V. Ii, and D. Dagon, "Detecting Malware Domains at the Upper DNS Hierarchy", Proc. 20th USENIX Security Symposium, 2011. M. Antonakakis， R. Perdisci, Y. Nadji， "From Throw-Away Traffic to Bots：Detecting the Rise of DGA-Based Malware", Proc. the 21st USENIX Security Symposium, 2012. B. Rahbarinia, R. Perdisci, and M. Antonakakis, "Segugio: Efficient Behavior-Based Tracking of Malware-Control Domains in Large ISP Networks"， Proc. 45th IEEE/IFIP DSN, no. 3, pp.403−414, Jun. 2015. A. Zarras, A. Kapravelos, G. Stringhini, T. Holz, C. Kruegel, and G. Vigna, "The Dark Alleys of Madison Avenue: Understanding Malicious Advertisements", Proc. ACM IMC, 2014. Y. Gilad, A. Herzberg, M. Sudkovitch, and M. Goberman, "CDN-on-Demand: An Affordable DDoS Defense via Untrusted Clouds", Proc. NDSS, 2016. M. Akiyama, T. Yagi, and M. Itoh, "Searching structural neighborhood of malicious URLs to improve blacklisting"， Proc. IEEE/IPSJ SAINT, pp.1−10, Jul. 2011. S. Schiavoni, F. Maggi, L. Cavallaro, and S. Zanero, "Phoenix: DGA-Based Botnet Tracking and Intelligence"， Proc. DIMVA, 2014. C. Lever, R. Walls, Y. Nadji, D. Dagon, P. McDaniel, and M. Antonakakis, "Domain-Z: 28 Registrations Later"， Proc. IEEE S&P, 2016. M. Kuhrer, C. Rossow, and T. Holz, "Paint It Black: Evaluating the Effectiveness of Malware Blacklists", Proc. RAID 2014. T. Vissers, W. Joosen, and N. Nikiforakis, "Parking Sensors: Analyzing and Detecting Parked Domains", Proc. NDSS. February, pp.8−11, 2015. J. Szurdi, B. Kocso, G. Cseh, J. Spring, M. Felegyhazi, and C. Kanich, "The Long ″Taile″ of Typosquatting Domain Names", Proc. USENIX Security Symposium, 2014. Z. Li, S. Alrwais, Y. Xie, F. Yu, and X. Wang, "Finding the Linchpins of the Dark Web: a Study on Topologically Dedicated Hosts on Malicious Web Infrastructures", Proc. IEEE S&P, pp.112−126, May 2013. B. Rahbarinia, M. Balduzzi, and R. Perdisci, "Real-Time Detection of Malware Downloads via Large-Scale URL→File→Machine Graph Mining", Proc. ACM AsiaCCS, pp.783−794, 2016.

ここで、攻撃者は様々な特性をもつ悪性ドメイン名を利用するため、全ての悪性ドメイン名を同じ条件の攻撃対策で利用できるとは限らない。

例えば、インターネット上の広告配信に利用されるドメイン名が悪用された場合について説明する。この場合には、当該ドメイン名をＤＮＳ通信経路上のキャッシュＤＮＳサーバや権威ＤＮＳサーバでフィルタリングに利用すると、本来悪意のない正規の広告配信までフィルタリングされてしまう。このため、この場合には、Ｗｅｂ通信経路上で悪性なコンテンツのみを特定した後にフィルタリング等の対策を実施する必要がある。

一方、攻撃専用に生成された悪性ドメイン名が利用された場合、正規のサービスを誤ってフィルタリングする可能性が低いことから、該ドメイン名をＤＮＳ通信経路上でそのままフィルタリングする対策を実施することが可能である。このとき、悪性ドメイン名をフィルタリングする際に、各ドメイン名の階層構造を考慮せずにセカンドレベルドメイン単位で一律にフィルタリングすると正規のサービスに影響を及ぼす可能性がある。また、攻撃者は、次々と新たな悪性ドメイン名を利用し、古い悪性ドメイン名の利用を停止することから、各悪性ドメイン名への対策は時間経過とともに無効化する。

このように、悪性ドメイン名の特性に応じて、実施するべき攻撃対策方法、対策粒度、対策期間が異なる。したがって、各悪性ドメイン名に対して、実施すべき攻撃対策を適切に決定する必要がある。

しかしながら、従来の悪性ドメイン名を特定する手法（非特許文献１〜１０参照）や、ドメイン名の特性を解明する手法（非特許文献１１〜２０参照）では、いずれも悪性ドメイン名を特定するだけに留まり、各悪性ドメイン名に対して実施するべき攻撃対策方法、対策粒度、対策期間を決定することができない。

例えば、非特許文献１に記載の手法は、悪性ドメイン名の文字列の統計的特性に着目して悪性ドメイン名のリストを拡張する手法である。そして、非特許文献２に記載の手法は、ドメイン名のＷＨＯＩＳ登録情報を基に、悪性ドメイン名を特定する手法である。また、非特許文献３に記載の手法は、ドメイン名に対応するＩＰ（Internet Protocol）アドレスや、対応するＩＰアドレスが共通するドメイン名の特性に着目することによって、悪性ドメイン名を特定する手法である。また、非特許文献４に記載の手法は、ドメイン名の公開ドメイン名リストへの登録状況の時系列変化に着目して、新たな悪性ドメイン名を発見する手法である。

また、非特許文献５に記載の手法は、ドメイン名登録事業者において悪性ドメイン名が大量に同時登録される特性に着目して、ドメイン名の悪性判定を行う手法である。また、非特許文献６に記載の手法は、複数の感染した端末から送出されるＤＮＳクエリの共起性に着目して、悪性ドメイン名を発見する手法である。非特許文献７に記載の手法は、ユーザが送出するＤＮＳクエリのトラヒックパターンに着目して、悪性ドメイン名を特定する手法である。

そして、非特許文献８に記載の手法は、権威ＤＮＳサーバ上でキャッシュＤＮＳサーバからのＤＮＳクエリのパターンに着目して、悪性ドメイン名を発見する手法である。非特許文献９に記載の手法は、キャッシュＤＮＳサーバ上で存在しないドメイン名宛のＤＮＳクエリを観測することで悪性ドメイン名を特定する手法である。非特許文献１０に記載の手法は、キャッシュＤＮＳサーバ上で観測できるＤＮＳ問合せのトラヒックパターンに着目して、悪性ドメイン名を発見する手法である。

これらの非特許文献１〜１０に記載の手法は、いずれも悪性ドメイン名を特定する手段を有するものの、各悪性ドメイン名に対してどのような対策を、どこで、いつまで実施するべきなのかを決定できないという問題がある。

また、非特許文献１１に記載の手法では、広告配信を悪用する攻撃手法の解明と、それに関与するドメイン名の特定を試みている。非特許文献１２では、ＣＤＮ（Content Delivery Network）で利用されるドメイン名を特定する手法が言及されている。そして、非特許文献１３では、悪性ドメイン名の階層構造に着目して、新たな悪性ドメイン名を発見する方法を提案している。また、非特許文献１４は、攻撃者がＤＧＡ（Domain Generation Algorithm：ドメイン名生成アルゴリズム）で生成した悪性ドメイン名を、その文字列の特性や出現頻度を利用して特定する方法を提案している。

また、非特許文献１５では、ＤＮＳトラヒックログからドメイン名の所有者情報の変化を推定する方法を提案している。非特許文献１６に記載の技術では、元々攻撃者が保有していた悪性ドメイン名のうち、セキュリティ組織等が再取得したシンクホールと呼ばれるドメイン名の特定を試みている。非特許文献１７に記載の技術では、実際には利用されておらず広告表示が行われるパーキングと呼ばれるドメイン名の特定を試みている。

そして、非特許文献１８では、著名なドメイン名のミスタイプをしたときにアクセスしうる悪性ドメイン名を特定する手法を提案している。非特許文献１９では、動的に設定変更可能なダイナミックＤＮＳと呼ばれるサービスで利用されるドメイン名を特定する方法が言及されている。そして、非特許文献２０の中では、無料で取得と維持とが可能なドメイン名を特定する方法が言及されている。

しかしながら、これらの非特許文献１１〜２０に記載の手法は、各々の悪性ドメイン名の特性の解明を試みているものの、いずれも、悪性ドメイン名への対策を決定するまでには至っていない。

本発明は、上記に鑑みてなされたものであって、悪性ドメイン名に基づく攻撃に対し、ドメイン名ごとに攻撃対策手法を客観的に決定することができる攻撃対策決定装置、攻撃対策決定方法及び攻撃対策決定プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る攻撃対策決定装置は、任意のドメイン名を入力とし、ドメイン名に関する特徴情報として、ドメイン名に対応する設定情報、ドメイン名に対応する登録情報、及び、ドメイン名に対応するアドレスに応じた外部情報を取得する入力部と、特徴情報に基づき、ドメイン名に対して予め指定されたカテゴリを特定し、特定したカテゴリに応じてドメイン名に対する攻撃対策を段階的に決定する攻撃対策決定部と、攻撃対策に応じた攻撃対策用情報を出力する攻撃対策情報出力部と、を有することを特徴とする。

本発明によれば、悪性ドメイン名に基づく攻撃に対し、ドメイン名ごとに攻撃対策手法を客観的に決定することができる。

図１は、実施の形態に係る攻撃対策決定装置の概略構成を示す模式図である。 図２は、図１に示すドメイン名入力部に入力されたドメイン名の一例を示す図である。 図３は、図１に示すドメイン名入力部に入力されたドメイン名に対応する設定情報の一例を説明する図である。 図４は、図１に示すドメイン名入力部に入力されたドメイン名に対応する登録情報の一例を示す図である。 図５は、図１に示すドメイン名入力部に入力されたドメイン名に対応するＩＰアドレスに対応する外部情報の一例を示す図である。 図６は、図１に示す攻撃対策手段決定部が、ドメイン名入力部に入力された各ドメイン名に対し、対応するカテゴリを特定し付与した結果の一例を示す図である。 図７は、Ｗｅｂホスティングにおける階層構造の一例を示す図である。 図８は、ドメイン名ホスティングにおける階層構造の一例を示す図である。 図９は、図１に示す攻撃対策手段決定部による、各カテゴリに属する悪性ドメイン名に対する攻撃対策手段の設定の一例を示す図である。 図１０は、図１に示す攻撃対策粒度決定部による、各カテゴリに属する悪性ドメイン名に対する攻撃対策粒度の設定の一例を示す図である。 図１１は、図１に示す攻撃対策有効期限決定部による、各カテゴリに属する悪性ドメイン名に対する攻撃対策有効期限の設定の一例を示す図である。 図１２は、図１に示す攻撃対策情報出力部による攻撃対策の決定の一例を示す図である。 図１３は、図１に示す攻撃対策情報出力部によって出力された攻撃対策情報を用いて攻撃対策手段を実現する場所の一例を示す図である。 図１４は、図１に示す攻撃対策情報出力部による出力情報の一例を示す図である。 図１５は、図１に示す攻撃対策情報出力部による出力情報の一例を示す図である。 図１６は、図１に示す攻撃対策情報出力部による出力情報の一例を示す図である。 図１７は、図１に示す攻撃対策情報出力部による出力情報の一例を示す図である。 図１８は、実施の形態に係る攻撃対策決定装置の攻撃対策決定処理の処理手順を示すフローチャートである。 図１９は、プログラムが実行されることにより、攻撃対策決定装置が実現されるコンピュータの一例を示す図である。

以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。

［実施の形態］
まず、実施の形態に係る攻撃対策決定装置について、概略構成、評価処理の流れ及び具体例を説明する。図１は、実施の形態に係る攻撃対策決定装置の概略構成を示す模式図である。攻撃対策決定装置１０は、図１に示すように、ドメイン名入力部１１（入力部）、攻撃対策決定部１６及び攻撃対策情報出力部１５を有する。

ドメイン名入力部１１は、任意のドメイン名を入力とし、ドメイン名に関する特徴情報を取得する。ドメイン名入力部１１は、ドメイン名に関する特徴情報として、ドメイン名に対応する設定情報、ドメイン名に対応する登録情報、及び、ドメイン名に対応するＩＰアドレスに応じた外部情報を取得する。

攻撃対策決定部１６は、ドメイン名入力部１１が取得した特徴情報に基づき、ドメイン名に対して予め指定されたカテゴリを特定し、特定したカテゴリに応じてドメイン名に対する攻撃対策を段階的に決定する。攻撃対策決定部１６は、攻撃対策手段、攻撃対策粒度、攻撃対策の有効期限を順次決定する。攻撃対策決定部１６は、攻撃対策手段決定部１２、攻撃対策粒度決定部１３、攻撃対策有効期限決定部１４を有する。

攻撃対策手段決定部１２は、入力されたドメイン名に対して、ドメイン名入力部１１が取得した該ドメイン名の特徴情報に基づいて、予め指定されたカテゴリを特定する。各ドメイン名には、予め、対応するカテゴリがそれぞれ指定されている。

そして、攻撃対策手段決定部１２は、ドメイン名に対して特定されたカテゴリの情報を用いて、ドメイン名に対する攻撃対策手段を決定する。攻撃対策手段決定部１２は、ドメイン名に対して特定されたカテゴリに応じて、このドメイン名が、正規サービスを悪用して作られたドメイン名（以後、悪用ドメイン名という）であるか、または、攻撃専用に作られたドメイン名（以後、攻撃専用ドメイン名という）であるかを特定する。なお、悪用ドメイン名と攻撃専用ドメイン名とのいずれの特性に該当するかは、カテゴリごとに予め設定されている。

攻撃対策手段決定部１２は、ドメイン名が悪用ドメイン名であると特定した場合には、「Web通信レベル」の攻撃対策手段を適用すると決定する。一方、攻撃対策手段決定部１２は、ドメイン名が攻撃専用ドメインであると特定した場合、「DNS通信レベル」でドメイン名を利用したフィルタリング等の攻撃対策手段を適用すると決定する。そして、攻撃対策手段決定部１２は、ドメイン名が悪用ドメイン名と攻撃専用ドメイン名との双方に対応するカテゴリに該当する場合には、正規サービスの阻害を防ぐために、このドメイン名に対しては、悪用ドメイン名に対する攻撃対策手段を優先して決定する。

攻撃対策粒度決定部１３は、入力されたドメイン名に対して特定されたカテゴリの情報を用いて、ドメイン名の上位ドメイン名または下位ドメイン名、または、ドメイン名配下に存在するコンテンツの状況からドメイン名の運用特性を特定し、ドメイン名に対する攻撃対策粒度を決定する。言い換えると、攻撃対策粒度決定部１３は、各カテゴリに属する悪性ドメイン名または攻撃専用ドメイン名の特性を解析し、各カテゴリに基づき、攻撃対策で利用する情報の粒度を決定する。なお。各カテゴリについて、それぞれ対応する攻撃対策粒度が予め設定されている。

攻撃対策有効期限決定部１４は、入力されたドメイン名に対して特定されたカテゴリの情報を用いて、ドメイン名に対する攻撃対策の有効期限を決定する。例えば、攻撃対策有効期限決定部１４は、各カテゴリに属する悪性ドメイン名の特性を解析し、各カテゴリに基づき攻撃対策で利用する情報の有効期限を決定する。言い換えると、攻撃対策有効期限決定部１４は、各ドメイン名に付与されたカテゴリの情報を利用し、各カテゴリに属するドメイン名の登録期間または利用期間の情報を基に、各ドメイン名の登録終了または利用終了までの時間を推定し、推定した時間を攻撃対策の有効期限として設定する。

なお、各カテゴリについて、それぞれ対応する攻撃対策有効期限が予め設定されている。攻撃対策決定装置１０は、有効期限を経過した場合には、このドメイン名に対して、再度、特徴情報の取得処理、カテゴリの特定処理、及び、攻撃対策の段階的な決定処理を実行し、このドメイン名に対する攻撃対策情報を更新してもよい。

攻撃対策情報出力部１５は、各攻撃対策に応じた攻撃対策用情報を出力する。攻撃対策情報出力部１５は、ドメイン名入力部１１に入力されたドメイン名について、攻撃対策手段決定部１２と攻撃対策粒度決定部１３と攻撃対策有効期限決定部１４とが決定した、攻撃対策手段、攻撃対策粒度及び攻撃対策有効期限を基に、攻撃対策用情報を作成する。そして、攻撃対策情報出力部１５は、ドメイン名ごとに決定した攻撃対策用情報を、攻撃対策を実現する各実施場所に応じた出力先に出力する。

このとき、攻撃対策の実施場所にある出力先のサーバ装置等の種別を示す情報は、予め攻撃対策決定装置１０が保持している。攻撃対策情報出力部１５は、この情報を参照し、出力先のサーバ装置の種別等に応じたデータ形式で攻撃対策用情報を出力する。

また、攻撃対策情報出力部１５は、攻撃対策有効期限決定部１４が決定した有効期限と、有効期限経過時には攻撃対策用情報の破棄を指示する情報とを、攻撃対策用情報に付して出力先に攻撃対策用情報を出力してよい。これに応じて、出力先のサーバ装置は、有効期限経過時には攻撃対策用情報を破棄する。また、攻撃対策用情報を破棄した後、出力先のサーバ装置は、新たな攻撃対策用情報の送信を攻撃対策決定装置１０に要求してもよい。

このように、本実施の形態に係る攻撃対策決定装置によれば、ドメイン名ごとに攻撃対策手法を客観的に決定し、正規サービスを阻害せずに攻撃対策を実現できる攻撃対策情報を出力或いは更新することができる。続いて、各構成部の処理について詳細に説明する。

［ドメイン名入力部の処理］
まず、ドメイン名入力部１１の処理について説明する。図２は、図１に示すドメイン名入力部１１に入力されたドメイン名の一例を示す図である。ドメイン名入力部１１は、図２に示すように、入力されたドメイン名に通番を対応付ける。例えば、図２の通番「１」は、「example.com」というドメイン名を入力として利用することを示している。

そして、図３は、図１に示すドメイン名入力部１１に入力されたドメイン名に対応する設定情報の一例を説明する図である。図３には、通番、ドメイン名、Ａレコード、ＮＳレコード及びＳＯＡレコード等の項目が設定されている。このうち、Ａレコード、ＮＳレコード及びＳＯＡレコード等は、各ドメイン名に対応する設定情報である。ドメイン名入力部１１は、Ａレコード、ＮＳレコード及びＳＯＡレコード等の設定情報を、例えば、任意の組織内ネットワークに配置されたキャッシュＤＮＳサーバ上で、ＤＮＳプロトコルを利用して入手する。

具体的に、図３の通番「１」の行について説明する。通番「１」の行に示すように、ドメイン名「example.com」については、2017年1月1日00:00:00時点でＡレコードとしてＩＰアドレス「192.0.2.2」が設定されており、ＮＳレコードとして「ns1.example.com」が設定されており、ＳＯＡレコードとして「ns1.example.com. nobody.localhost.42 86400 43200 604800 10800」が設定されていた。そこで、ドメイン名入力部１１は、ドメイン名「example.com」について上記のＡレコード「192.0.2.2」、ＮＳレコード「ns1.example.com」及びＳＯＡレコード「ns1.example.com. nobody.localhost.42 86400 43200 604800 10800」等の設定情報を、キャッシュＤＮＳサーバ上で、ＤＮＳプロトコルを用いて取得する。

そして、ドメイン名入力部１１が、入力されたドメイン名から、該ドメイン名に対応する登録情報を取得する例について説明する。図４は、図１に示すドメイン名入力部１１に入力されたドメイン名に対応する登録情報の一例を示す図である。図４には、通番、ドメイン名、ＷＨＯＩＳサーバ名、ＮＳサーバ名、ドメイン名登録日、ドメイン名更新日、ドメイン名失効日等の項目が対応付けられている。このうち、ＷＨＯＩＳサーバ名、ＮＳサーバ名、ドメイン名登録日、ドメイン名更新日、ドメイン名失効日等が、各ドメイン名に対応する登録情報である。ドメイン名入力部１１は、各ドメイン名に対応するこれらの登録情報を、例えば、ＷＨＯＩＳプロトコルを用いて取得する。

具体的には、図４の通番「１」の行では、ドメイン名「example.com」について、ＷＨＯＩＳサーバ名が「whois.example.com」であり、ＮＳサーバ名が「ns1.example.com」であり、ドメイン名登録日が「2001年1月1日」、ドメイン名更新日が「2016年1月1日」、ドメイン名失効日が「2017年1月1日」であることが登録されている。そこで、ドメイン名入力部１１は、ドメイン名「example.com」について、ＷＨＯＩＳサーバ名「whois.example.com」、ＮＳサーバ「ns1.example.com」、ドメイン名登録日「2001年1月1日」、ドメイン名更新日「2016年1月1日」、ドメイン名失効日「2017年1月1日」を、ＷＨＯＩＳプロトコルを用いて取得する。

そして、ドメイン名入力部１１が、入力されたドメイン名から、ドメイン名に対応するＩＰアドレスに応じた外部情報を取得する例について説明する。図５は、図１に示すドメイン名入力部１１に入力されたドメイン名に対応するＩＰアドレスに対応する外部情報の一例を示す図である。図５には、ＩＰアドレスの外部情報として、ＩＰアドレスの属するアドレスプレフィックス、ＡＳ（Autonomous System）番号、所有組織名、国、地域インターネットレジストリ（ＲＩＲ: Regional Internet Registry）、当該アドレス割当日等の項目が設定されている。ドメイン名入力部１１は、ＩＰアドレスの外部情報を、ＷＨＯＩＳプロトコルを用いる他、各ＲＩＲが公開している情報、MaxMind社のGeoIP（登録商標）等の公開されたサービスを用いて取得する。

具体的には、図５の通番「１」の行では、ＩＰアドレス「192.0.2.2」について、アドレスプレフィックスが「192.0.2.0/24」、ＡＳ番号が「64498」、所有組織名が「TEST-NET-1」、国が「US」、ＲＩＲが「ARIN」、アドレス割当日が「2001年1月1日」であることが設定されている。そこで、ドメイン名入力部１１は、ＩＰアドレス「192.0.2.2」について、ＷＨＯＩＳプロトコル、各ＲＩＲが公開している情報、MaxMind社のGeoIP等の公開されたサービスを用いて、アドレスプレフィックス「192.0.2.0/24」、ＡＳ番号「64498」、所有組織名「TEST-NET-1」、国「US」、RIR「ARIN」、アドレス割当日「2001年1月1日」を取得する。

［攻撃対策手段決定部によるカテゴリ特定処理］
次に、攻撃対策手段決定部１２の処理について説明する。まず、攻撃対策手段決定部１２が、入力されたドメイン名に対応するカテゴリを特定する処理について説明する。攻撃対策手段決定部１２は、ドメイン名入力部１１が取得した、該ドメイン名に関する特徴情報、すなわち、ドメイン名に対応する設定情報、ドメイン名に対応する登録情報、及び、ドメイン名に対応するＩＰアドレスに応じた外部情報を用いて、ドメイン名に対応するカテゴリを特定する。なお、前述したように、各ドメイン名には、特徴情報に応じて、予め、対応するカテゴリがそれぞれ指定されている。また、各カテゴリについて、後述の攻撃対策手段、攻撃対策粒度及び攻撃対策有効期限が予め設定されている。

図６は、図１に示す攻撃対策手段決定部１２が、ドメイン名入力部１１に入力された各ドメイン名に対し、対応するカテゴリを特定し付与した結果の一例を示す図である。図６では、カテゴリとして、「広告」、「CDN」、「Webホスティング」、「DGA」、「再登録」、「シンクホール」、「パーキング」、「タイポスクワッティング」、「コンテンツ無存在」、「ダイナミックDNS」、「無料」、「ドメイン名ホスティング」を挙げている。もちろん、カテゴリは、これらに限るものではない。そして、攻撃対策手段決定部１２は、各ドメイン名の各々のカテゴリへの所属状況を特定するために、各々のカテゴリにおいて、公知の手法の利用や、独自に収集した各カテゴリに属するドメイン名リストとのマッチング等を行えばよい。

ここで、図６のカテゴリに属するドメイン名について説明する。まず、「広告」カテゴリに属するドメイン名とは、Ｗｅｂ上のオンライン広告配信システムに関連するドメイン名のことである。攻撃対策手段決定部１２は、公知の広告事業者ドメイン名リストであるEasylist(https://easylist.to/)等を利用したマッチングを行って、「広告」カテゴリのドメイン名を特定する（詳細は、非特許文献１１参照）。

そして、「CDN」カテゴリに属するドメイン名とは、Ｗｅｂ上の分散コンテンツ配信基盤であるＣＤＮ（Content Delivery Network）で利用されるドメイン名のことである。攻撃対策手段決定部１２は、ドメイン名に対応するＩＰアドレスがＣＤＮ事業者の所有するアドレス帯に含まれるかどうかを確認することによって、「CDN」カテゴリのドメイン名を特定する（詳細は、非特許文献１２参照）。また、攻撃対策手段決定部１２は、ドメイン名のＣＮＡＭＥレコードの設定情報を参照して、ＣＤＮ事業者のドメイン名が設定されているかどうかを確認する。このとき、攻撃対策手段決定部１２は、ドメイン名入力部１１が取得した、ドメイン名に対応する設定情報、登録情報、ＩＰアドレスに応じた外部情報を参照して、「CDN」カテゴリを付与するドメイン名を特定する。

そして、「Webホスティング」カテゴリに属するドメイン名とは、ホスティングサービスやクラウドサービスを利用して運用されているドメイン名のことである。ここで、図７は、Ｗｅｂホスティングにおける階層構造の一例を示す図である。例えば、図７に示すようにドメイン名「foo.example.com」の配下に、複数ＵＲＬ(foo.example.com/〜user1, foo.example.com/〜user2,・・・，foo.example.com/〜userN) が存在する場合、このドメイン名「foo.example.com」は「Webホスティング」で利用されるドメイン名であると言える。攻撃対策手段決定部１２は、検索エンジン等を利用して各ドメイン名の配下のコンテンツの存在状況を抽出することによって、「Webホスティング」で利用されるドメイン名を特定する（詳細は、非特許文献１３参照）。

「DGA」カテゴリに属するドメイン名とは、攻撃者がＤＧＡ（ドメイン名生成アルゴリズム、Domain Generation Algorithm）で生成したドメイン名のことである。攻撃対策手段決定部１２は、ＤＧＡで生成されたドメイン名の文字列が通常利用されるドメイン名と異なる特性に着目し、文字列の特徴や出現頻度に基づいて特定する手法を用いて、「DGA」カテゴリのドメイン名を特定する（詳細は、非特許文献１４参照）。

「再登録」カテゴリに属するドメイン名とは、元々別の所有者が所有していたドメイン名が失効し、その後再登録されたドメイン名のことである。攻撃対策手段決定部１２は、各ドメイン名のＷＨＯＩＳデータの登録情報を継続的に入手し、所有者情報の変化を観測する手法や、ＤＮＳトラヒックログの変化から所有者情報の変化を推定する手法（詳細は、非特許文献１５参照）を用いることによって、「再登録」カテゴリのドメイン名を特定する。

「シンクホール」カテゴリに属するドメイン名とは、元々攻撃者が保有していた悪性ドメイン名のうち、セキュリティ組織等が観測のために再取得したドメイン名のことである。攻撃対策手段決定部１２は、ドメイン名の設定情報であるNSレコードの情報を参照し、事前に入手した既知シンクホール情報とのマッチングを行う手法（詳細は、非特許文献１６参照）を用いることによって、「シンクホール」カテゴリのドメイン名を特定する。

「パーキング」カテゴリに属するドメイン名とは、実際には利用されておらず広告表示が行われているドメイン名のことである。攻撃対策手段決定部１２は、ドメイン名の設定情報であるＮＳレコードの情報を参照し、事前に入手した既知パーキング情報とのマッチングを行う手法（詳細は、非特許文献１７参照）を用いることによって、「パーキング」カテゴリのドメイン名を特定する。

「タイポスクワッティング」カテゴリに属するドメイン名とは、著名なドメイン名を入力する際にミスタイプしたときにアクセスしうる悪性ドメイン名のことである。攻撃対策手段決定部１２は、ミスタイプが発生するモデル（文字列の追加、削除、置換、入替等）を規定し、著名なドメイン名をミスタイプさせたときにアクセスしうる悪性ドメイン名かどうかを検査する手法（詳細は、非特許文献１８参照）を用いることによって、「タイポスクワッティング」カテゴリのドメイン名を特定する。

「コンテンツ無存在」カテゴリに属するドメイン名とは、ドメイン名にアクセスした際にWebコンテンツ等が存在しない、または、各ドメイン名の配下にサブドメイン名やURLが存在しないドメイン名である。攻撃対策手段決定部１２は、ドメイン名へＷｅｂアクセスを行う手法や、検索エンジンなどを利用して調査する手法を用いることによって、「コンテンツ無存在」カテゴリに属するドメイン名を特定する。

「ダイナミックDNS」カテゴリに属するドメイン名とは、動的に設定変更可能なダイナミックＤＮＳサービスを利用しているドメイン名のことである。ダイナミックＤＮＳサービスを利用すると、ユーザは任意のサブドメイン名を登録し、当該サブドメイン名に任意のIPアドレスを容易に紐付けることができる。攻撃対策手段決定部１２は、既知のダイナミックDNS事業者のドメイン名リストを入手し、当該ドメイン名とマッチングさせる手法（詳細は、非特許文献１９参照）を用いることによって、「ダイナミックDNS」カテゴリのドメイン名を特定する。

「無料」カテゴリに属するドメイン名とは、ユーザが無料で取得と維持を行うことができるドメイン名のことである。攻撃対策手段決定部１２は、ドメイン名の設定情報であるNSレコードの情報を参照し、事前に入手した既知無料ドメイン名提供事業者とのマッチングを行う手法（詳細は、非特許文献２０参照）を用いることによって、「無料」カテゴリのドメイン名を特定する。

「ドメイン名ホスティング」カテゴリに属するドメイン名とは、「Webホスティング」と同様にホスティングサービスやクラウドサービスを利用して運用されているドメイン名のことであるが、ドメイン名の配下にサブドメイン名を作成可能である点が異なる。

図８は、ドメイン名ホスティングにおける階層構造の一例を示す図である。例えば、図８に示すようにドメイン名「example.org」の配下に複数サブドメイン名 (user1.example.org, user2.example.org,・・・，userN.example.org) が存在する場合、ドメイン名「example.org」は、「ドメイン名ホスティング」で利用されるドメイン名であると言える。攻撃対策手段決定部１２は、検索エンジン等を利用して各ドメイン名の配下のコンテンツの存在状況を抽出する手法を用いることによって、「ドメイン名ホスティング」カテゴリのドメイン名を特定する。

［攻撃対策手段決定部による攻撃対策手段決定処理］
続いて、攻撃対策手段決定部１２が、入力された各ドメイン名に対し、攻撃対策手段を決定する処理について説明する。

図９は、図１に示す攻撃対策手段決定部１２による、各カテゴリに属する悪性ドメイン名に対する攻撃対策手段の設定の一例を示す図である。攻撃対策手段決定部１２は、各カテゴリに属する悪性ドメイン名の特性を解析し、各カテゴリをさらに、悪用ドメイン名に対応する「正規サービスの悪用」と、攻撃専用ドメイン名に対応する「攻撃専用」との二種類に分類する。なお、「正規サービスの悪用」と「攻撃専用」とのいずれの特性に該当するかは、カテゴリごとに予め設定されている。

ここで、「正規サービスの悪用」は、本来正規サービスを提供する目的で用意されたサービス等が悪用されて悪性ドメイン名が作られるカテゴリであり、カテゴリのうち「広告」と「CDN」と「Webホスティング」が該当する。「正規サービスの悪用」に該当する悪性ドメイン名に関しては、「DNS通信レベル」でドメイン名を利用したフィルタリング等の攻撃対策手段を適用すると、正規サービスまで阻害されてしまう可能性が高い。したがって、攻撃対策手段決定部１２は、「正規サービスの悪用」に該当する悪性ドメイン名に関しては、ＵＲＬまたはコンテンツの追加情報を利用した「Web通信レベル」の攻撃対策手段を適用すると決定する。

一方、「攻撃専用」は、攻撃者が攻撃のために新たに用意する悪性ドメイン名が該当するカテゴリであり、カテゴリのうち「DGA」と「再登録」と「シンクホール」と「パーキング」と「タイポスクワッティング」と「コンテンツ無存在」と「ダイナミックDNS」と「無料」と「ドメイン名ホスティング」が該当する。攻撃対策手段決定部１２は、「攻撃専用」に該当する悪性ドメイン名に関しては、「DNS通信レベル」でドメイン名を利用したフィルタリング等の攻撃対策手段を適用すると決定する。ただし、あるドメイン名が「正規サービスの悪用」（例えばWebホスティング）かつ「攻撃専用」（例えばタイポスクワッティング）の両者のカテゴリに該当する場合には、正規サービスの阻害を防ぐために、攻撃対策手段決定部１２は、「正規サービスの悪用」の攻撃対策手段を優先する。

［攻撃対策粒度決定部の処理］
次に、攻撃対策粒度決定部１３の処理について説明する。図１０は、図１に示す攻撃対策粒度決定部１３による、各カテゴリに属する悪性ドメイン名に対する攻撃対策粒度の設定の一例を示す図である。攻撃対策粒度決定部１３は、各カテゴリに属する悪性ドメイン名の特性を解析し、各カテゴリに基づき攻撃対策で利用する情報の粒度を決定する。なお、ドメイン名の特性である「正規サービスの悪用」と「攻撃専用」とに対しては、予め、利用する情報の粒度が設定されている。したがって、攻撃対策決定装置１０は、予め決められた各ルールにしたがって、ドメイン名のカテゴリを特定して、そのドメイン名の特性を決めることができる。さらに、攻撃対策決定装置１０は、ドメイン名の特性に応じて、このドメイン名の攻撃対策粒度を設定することができる。

具体的には、予め、「正規サービスの悪用」という特性を有するカテゴリに特定されたドメイン名については、ＵＲＬまたはコンテンツの粒度の情報を利用するように設定されている。したがって、攻撃対策粒度決定部１３は、攻撃対策手段決定部１２と同様に「正規サービスの悪用」という特性を有する「広告」と「CDN」と「Webホスティング」とを利用する悪性ドメイン名は、ＵＲＬまたはコンテンツの粒度の情報を利用すると決定する。この結果、攻撃対策決定装置１０は、特定の攻撃用広告や攻撃ページのみに対して攻撃を対策することができ、正規サービスへの阻害を防止できる。

一方で、「攻撃専用」という特性をもつカテゴリについては、該ドメイン名の上位または下位に存在しうるドメイン名の階層構造を応じて粒度の情報を利用するように設定されている。言い換えると、攻撃対策粒度決定部１３は、「攻撃専用」という特性をもつカテゴリについては、該ドメイン名の上位または下位に存在しうるドメイン名の階層構造を考慮したルールに基づいて攻撃対策粒度を決定する。

具体的には、「攻撃専用」に該当するカテゴリのうち「ダイナミックDNS」と「無料」と「ドメイン名ホスティング」とに関しては、ドメイン名の「完全修飾ドメイン名（FQDN）の粒度の情報」を利用することが設定されている。「攻撃専用」に該当するカテゴリのうち「ダイナミックDNS」と「無料」と「ドメイン名ホスティング」とに関しては、該ドメイン名とは別の目的のドメイン名が該ドメイン名の上位または下位に存在する可能性が高いためである。したがって、この場合には、攻撃対策粒度決定部１３は、当該ドメイン名の「完全修飾ドメイン名（FQDN）の粒度の情報」を利用すると決定する。この結果、出力先の装置では、別の目的のドメイン名に影響を与えずに攻撃対策を実行することができる。

また、「攻撃専用」に該当するカテゴリのうち上記以外の「DGA」と「再登録」と「シンクホール」と「パーキング」と「タイポスクワッティング」と「コンテンツ無存在」とに関しては、「セカンドレベルドメイン名（2LD）の粒度の情報」を利用することが設定されている。「ダイナミックDNS」を提供するサービスでは、ユーザが任意のサブドメイン名をサービス提供事業者のセカンドレベルドメイン名の配下に作成することができる。この場合、セカンドレベルドメイン名の粒度で対策を実施すると、当該「ダイナミックDNS」サービスを利用する別のユーザまで阻害してしまう可能性が高くなってしまう。したがって、この場合には、攻撃対策粒度決定部１３は、「攻撃専用」に該当するカテゴリのうち上記以外の「DGA」と「再登録」と「シンクホール」と「パーキング」と「タイポスクワッティング」と「コンテンツ無存在」とに関しては、「セカンドレベルドメイン名（2LD）の粒度の情報」を利用すると決定する。

［攻撃対策有効期限決定部の処理］
次に、攻撃対策有効期限決定部１４の処理について説明する。図１１は、図１に示す攻撃対策有効期限決定部１４による、各カテゴリに属する悪性ドメイン名に対する攻撃対策有効期限の設定の一例を示す図である。攻撃対策有効期限決定部１４は、各カテゴリに属する悪性ドメイン名の特性を解析し、各カテゴリに基づき攻撃対策で利用する情報の有効期限を決定する。なお、前述したように、各カテゴリに対して、それぞれ対応する攻撃対策の有効期限が予め設定されている。

例えば、カテゴリのうち、攻撃者が低価格あるいは無料で大量の新しいドメイン名を容易に取得可能な「DGA」、「ダイナミックDNS」及び「無料」については、攻撃者が同じドメイン名を長期間使うことが少ないという情報（詳細は、非特許文献１４、非特許文献１９及び非特許文献２０参照）に基づき、有効期限は「短期間」に設定されている。このため、攻撃対策有効期限決定部１４は、カテゴリ「DGA」，「ダイナミックDNS」，「無料」については、有効期限を「短期間」に設定する。

一方、上記以外のカテゴリ「広告」と「CDN」と「Webホスティング」と「再登録」と「シンクホール」と「パーキング」と「タイポスクワッティング」と「コンテンツ無存在」と「ドメイン名ホスティング」とについては、有効期限は「長期間」に設定されている。したがって、攻撃対策有効期限決定部１４は、カテゴリ「広告」，「CDN」，「Webホスティング」，「再登録」，「シンクホール」，「パーキング」，「タイポスクワッティング」，「コンテンツ無存在」，「ドメイン名ホスティング」については、有効期限を「長期間」に設定する。

また、攻撃対策有効期限決定部１４は、有効期限を、実際の対策場所での更新頻度に応じて設定することができる。例えば、攻撃対策有効期限決定部１４は、「短期間」として２４時間、「長期間」として１４日間と設定する。

［攻撃対策情報出力部の処理］
次に、攻撃対策情報出力部１５の処理について説明する。図１２は、図１に示す攻撃対策情報出力部１５による攻撃対策の決定の一例を示す図である。図１２では、図２に示すドメイン名入力部１１に入力したドメイン名に対して攻撃対策を決定した例について示す。

攻撃対策情報出力部１５は、ドメイン名入力部１１に入力したドメイン名について、攻撃対策手段決定部１２と攻撃対策粒度決定部１３と攻撃対策有効期限決定部１４が決定した「攻撃対策手段」と「攻撃対策粒度」と「攻撃対策情報有効期限」を基に、攻撃対策を決定する。

例えば、攻撃対策情報出力部１５は、図１２の通番「１」に示す悪性ドメイン名「example.com」は、カテゴリが「コンテンツ無存在」である（図６の通番「１」参照）。このため、攻撃対策情報出力部１５は、攻撃対策手段として「DNS通信レベル」（図９の通番「９」参照）、攻撃対策粒度として「2LD情報」（図１０の通番「９」参照）、攻撃対策情報有効期間として「長期間」（図１１の通番「９」参照）を設定する。

そして、攻撃対策情報出力部１５は、ドメイン名ごとに決定した攻撃対策を、攻撃対策の各実施場所に応じた出力先に出力する。攻撃対策情報出力部１５は、ドメイン名ごとに決定した攻撃対策を、攻撃対策手段を実現する場所に出力する。図１３は、図１に示す攻撃対策情報出力部１５によって出力された攻撃対策情報を用いて攻撃対策手段を実現する場所の一例を示す図である。

攻撃対策手段を実現する場所の例として、図１３の通番「１」に「キャッシュDNSサーバ」が示されている。図１３は、この「キャッシュDNSサーバ」では、「DNS通信レベルのフィルタリング」が実施可能であることを示している。そして、攻撃対策情報を適用する場所の例として、図１３の通番「２」に「権威DNSサーバ」が示されている。図１３は、この「権威DNSサーバ」では、「DNS通信レベルのフィルタリングまたは管理者通告」が実施可能であることを示している。ここで、管理者通告とは、該悪性ドメイン名の管理者に対策を実施するように通告する例がある。

また、攻撃対策情報を適用する場所の例として、図１３の通番「３」に、「Webサーバ」が示されている。図１３は、この「Webサーバ」では、「Web通信レベルのフィルタリングまたは管理者通告」が実施可能であることを示している。また、攻撃対策情報を適用する場所の例として、図１３の通番「４」に、「セキュリティアプライアンス」が示されている。図１３は、この「セキュリティアプライアンス」では「DNS通信レベルまたはWeb通信レベルのフィルタリング」を実施可能であることを示している。図１３に例示する攻撃対策情報の各出力先一覧は、予め作成されたものであり、攻撃対策決定装置１０は、図１３に例示する攻撃対策情報の各出力先一覧を保持している。

図１４は、図１に示す攻撃対策情報出力部１５による出力情報の一例を示す図である。図１４は、図２に示したドメイン名のドメイン名入力部１１に入力に応じた、「キャッシュDNSサーバ」向けの攻撃対策用情報を示す。出力先の装置は、図１４のような出力情報を利用することによって、「キャッシュDNSサーバ」上で悪性ドメイン名に対するフィルタリングの対策を実現することができる。

図１５は、図１に示す攻撃対策情報出力部１５による出力情報の一例を示す図である。図１５は、図２に示したドメイン名のドメイン名入力部１１に入力に応じた、「.example」のトップレベルドメイン名の「権威DNSサーバ」向けの攻撃対策用情報を示す。権威ＤＮＳサーバでは、自身の配下に存在するドメイン名のみ対策することが可能である。このため、図１５に示すように、攻撃対策情報出力部１５は、権威ＤＮＳサーバに対しては、「.example」のトップレベルドメインをもつドメイン名のみを出力する。そして、この出力された情報を基に、「.example」の権威ＤＮＳサーバが、例えば、当該ドメイン名に関わる通信をフィルタリングするという対策をとることで、攻撃の発生を阻止することができる。

図１６は、図１に示す攻撃対策情報出力部１５による出力情報の一例を示す図である。図１６は、図２に示したドメイン名のドメイン名入力部１１に入力に応じた、「webhosting.example」という「Webサーバ」向けの攻撃対策用情報を示す。Ｗｅｂサーバでは、自身のサーバ上のコンテンツのみ対策することが可能である。このため、図１６に示すように、攻撃対策情報出力部１５は、Ｗｅｂサーバに対しては、「webhosting.example」配下に存在するコンテンツを含む情報のみを出力する。

図１７は、図１に示す攻撃対策情報出力部１５による出力情報の一例を示す図である。図１７は、図２に示したドメイン名のドメイン名入力部１１に入力に応じた、「セキュリティアプライアンス」向けの攻撃対策用情報を示す。「セキュリティアプライアンス」ではＤＮＳ通信レベルおよびＷｅｂ通信レベルの両者を取り扱うことができる。このため、図１７に示すように、攻撃対策情報出力部１５は、「セキュリティアプライアンス」向けの攻撃対策用情報として、ＤＮＳ通信レベルおよびＷｅｂ通信レベルの両者を含む情報を出力する。

［攻撃対策決定処理の処理手順］
次に、攻撃対策決定装置１０による攻撃対策決定処理について説明する。図１８は、実施の形態に係る攻撃対策決定装置１０の攻撃対策決定処理の処理手順を示すフローチャートである。

まず、ドメイン名入力部１１は、図２に示すようなドメイン名の入力を受付けると（ステップＳ１）、ドメイン名から、ドメイン名に関する設定情報、登録情報及びＩＰアドレスに応じた外部情報を取得する（ステップＳ２）。

続いて、攻撃対策手段決定部１２は、ドメイン名から各カテゴリへの該当状況を特定する（ステップＳ３）。そして、攻撃対策手段決定部１２は、ステップＳ３において特定したカテゴリに応じて、該ドメイン名に対する攻撃対策を特定する（ステップＳ４）。

攻撃対策粒度決定部１３は、該ドメイン名に対して攻撃対策粒度を決定する（ステップＳ５）。そして、攻撃対策有効期限決定部１４は、該ドメイン名に対して攻撃対策有効期限を決定する（ステップＳ６）。続いて、攻撃対策情報出力部１５は、該ドメイン名に対する攻撃対策用情報を作成する（ステップＳ７）。攻撃対策情報出力部１５は、ステップＳ３〜ステップＳ６の処理において決定した攻撃対策手段、攻撃対策粒度及び攻撃対策有効期限を基に、攻撃対策用情報を、攻撃対策の各実施場所にある出力先のサーバ装置の種別に対応したデータ形式で作成する。そして、攻撃対策情報出力部１５は、攻撃対策の各実施場所に応じた攻撃対策用情報を出力し（ステップＳ８）、処理を終了する。

［実施の形態の効果］
このように、実施の形態に係る攻撃対策決定装置１０は、取得した特徴情報に基づき、ドメイン名に対して予め指定されたカテゴリを特定し、特定したカテゴリに応じてドメイン名に対する攻撃対策を段階的に決定して、攻撃対策用情報を出力する。したがって、本実施の形態に係る攻撃対策決定装置１０によれば、悪性ドメイン名に基づく攻撃に対し、ドメイン名ごとに攻撃対策手法を客観的に決定することができる。

また、攻撃対策決定装置１０によれば、カテゴリの情報を用いて、ドメイン名が、悪性ドメイン名と攻撃専用ドメイン名とのいずれであるかを特定し、特定したドメイン名の種別に応じてドメイン名に攻撃対策手段を決定するとともに、ドメイン名が悪用ドメイン名と攻撃専用ドメイン名との双方に該当する場合には、このドメイン名に対して悪性ドメイン名に対応する攻撃対策手段を優先して決定する。このため、攻撃対策決定装置１０によれば、正規サービスを阻害しない攻撃対策を手段が決定されるため、正規サービスを阻害せずに攻撃対策を実現できる。

攻撃対策決定装置１０によれば、ドメイン名の種別に応じて攻撃対策手段を決定するとともに、ドメイン名に対応するカテゴリの情報を用いて攻撃対策粒度を決定し、この決定した攻撃対策手段及び攻撃対策粒度に応じた攻撃対策用情報を出力する。このため、出力先の装置では、この攻撃対策用情報を利用することによって、適切な攻撃対策を実現することができる。

さらに、攻撃対策決定装置１０は、ドメイン名に対応するカテゴリの情報を用いて、ドメイン名に対する攻撃対策の有効期限を決定するため、攻撃対策用情報の出力或いは更新を適切なタイミングで実行する。したがって、出力先の装置では、最新の攻撃対策用情報を利用することができる。

［実施の形態のシステム構成について］
図１に示した攻撃対策決定装置１０の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、攻撃対策決定装置１０の機能の分散および統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散または統合して構成することができる。

また、攻撃対策決定装置１０において行われる各処理は、全部または任意の一部が、ＣＰＵ（Central Processing Unit）およびＣＰＵにより解析実行されるプログラムにて実現されてもよい。また、攻撃対策決定装置１０において行われる各処理は、ワイヤードロジックによるハードウェアとして実現されてもよい。

また、実施の形態において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的に行うこともできる。もしくは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上述および図示の処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて適宜変更することができる。

［プログラム］
図１９は、プログラムが実行されることにより、攻撃対策決定装置１０が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、攻撃対策決定装置１０の各処理を規定するプログラムは、コンピュータ１０００により実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、攻撃対策決定装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施の形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施の形態について説明したが、本実施の形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施の形態に基づいて当業者等によりなされる他の実施の形態、実施例及び運用技術等は全て本発明の範疇に含まれる。

１０ 攻撃対策決定装置
１１ ドメイン名入力部
１２ 攻撃対策手段決定部
１３ 攻撃対策粒度決定部
１４ 攻撃対策有効期限決定部
１５ 攻撃対策情報出力部
１６ 攻撃対策決定部

Claims (7)

1. 任意のドメイン名を入力とし、前記ドメイン名に関する特徴情報として、前記ドメイン名に対応する設定情報、前記ドメイン名に対応する登録情報、及び、前記ドメイン名に対応するアドレスに応じた外部情報を取得する入力部と、
   前記特徴情報に基づき、前記ドメイン名に対して予め指定されたカテゴリを特定し、特定したカテゴリに応じて前記ドメイン名に対する攻撃対策を段階的に決定する攻撃対策決定部と、
   前記攻撃対策に応じた攻撃対策用情報を出力する攻撃対策情報出力部と、
   を有し、
   前記攻撃対策決定部は、
   前記ドメイン名に対して特定したカテゴリの情報を用いて、前記ドメイン名が、正規サービスを悪用して作られた悪性ドメイン名と、攻撃専用に作られた攻撃専用ドメイン名とのいずれであるかを特定し、特定したドメイン名の種別に応じて前記ドメイン名に攻撃対策手段を決定し、前記ドメイン名が前記悪性ドメイン名と前記攻撃専用ドメイン名との双方に該当する場合には前記ドメイン名に対して前記悪性ドメイン名に対応する攻撃対策手段を決定する攻撃対策手段決定部を
   有することを特徴とする攻撃対策決定装置。
2. 前記攻撃対策決定部は、攻撃対策手段、攻撃対策粒度、攻撃対策の有効期限を順次決定することを特徴とする請求項１に記載の攻撃対策決定装置。
3. 前記攻撃対策決定部は、
   前記ドメイン名に対して特定されたカテゴリの情報を用いて、前記ドメイン名の上位ドメイン名または下位ドメイン名、或いは、前記ドメイン名配下に存在するコンテンツの状況から前記ドメイン名の運用特性を特定し、前記ドメイン名に対する攻撃対策粒度を決定する攻撃対策粒度決定部を
   有することを特徴とする請求項１または２に記載の攻撃対策決定装置。
4. 前記攻撃対策決定部は、
   前記ドメイン名に対して特定されたカテゴリの情報を用いて、前記ドメイン名に対する攻撃対策の有効期限を決定する攻撃対策有効期限決定部を
   有することを特徴とする請求項１〜３のいずれか一つに記載の攻撃対策決定装置。
5. 前記攻撃対策情報出力部は、出力先の装置の種別に対応したデータ形式で攻撃対策用情報を出力することを特徴とする請求項１〜４のいずれか一つに記載の攻撃対策決定装置。
6. 対策決定装置が実行する攻撃対策決定方法であって、
   任意のドメイン名を入力とし、前記ドメイン名に関する特徴情報として、前記ドメイン名に対応する設定情報、前記ドメイン名に対応する登録情報、及び、前記ドメイン名に対応するに応じた外部情報を取得する工程と、
   前記特徴情報に基づき、前記ドメイン名に対して予め指定されたカテゴリを特定し、特定したカテゴリに応じて前記ドメイン名に対する攻撃対策を段階的に決定する工程と、
   前記攻撃対策に応じた攻撃対策用情報を出力する工程と、
   を含み、
   前記決定する工程は、
   前記ドメイン名に対して特定したカテゴリの情報を用いて、前記ドメイン名が、正規サービスを悪用して作られた悪性ドメイン名と、攻撃専用に作られた攻撃専用ドメイン名とのいずれであるかを特定し、特定したドメイン名の種別に応じて前記ドメイン名に攻撃対策手段を決定し、前記ドメイン名が前記悪性ドメイン名と前記攻撃専用ドメイン名との双方に該当する場合には前記ドメイン名に対して前記悪性ドメイン名に対応する攻撃対策手段を決定する工程
   含んだことを特徴とする攻撃対策決定方法。
7. コンピュータを、請求項１〜５のいずれか一つに記載の攻撃対策決定装置として機能させるための攻撃対策決定プログラム。

Images