JP7280814B2

JP7280814B2 - 信頼度評価装置、信頼度評価方法及び信頼度評価プログラム

Info

Publication number: JP7280814B2
Application number: JP2019223741A
Authority: JP
Inventors: 雪子澤谷; 歩窪田
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2019-12-11
Filing date: 2019-12-11
Publication date: 2023-05-24
Anticipated expiration: 2039-12-11
Also published as: JP2021093010A

Description

本発明は、ドメインの信頼度を評価するための装置に関する。

従来、メール本文などに記述されたＵＲＬによって詐欺サイト又は不正サイトなどに誘導されるといった攻撃被害が発生している。そこで、このようなＵＲＬの信頼度を評価し、被害を未然に防ぐ手法が望まれている。

例えば、非特許文献１に示されたＧｏｏｇｌｅＳａｆｅＢｒｏｗｓｉｎｇは、安全でないウェブサイトのリストを保有し、ユーザのアプリケーションがこれに対し問い合わせを行うことにより安全かどうかを判定する仕組みを提供している。安全でないウェブサイトとして、フィッシングサイト及び詐欺サイトなどが含まれるソーシャルエンジニアリングサイト、マルウェア又は不要なソフトウェアをホストするサイトなどのカテゴリがある。

また、例えば、非特許文献２では、悪性ＵＲＬ群における木構造の共通部分と各ＵＲＬの状態とに基づき、フィルタリングに利用する部分ＵＲＬの粒度を決定する手法が提案されている。そして、非特許文献３では、類似するＵＲＬ構造をルール化し、類似度を算出する手法が提案されている。
さらに、例えば、非特許文献４では、ＷＨＯＩＳ情報（登録者名、登録日、連絡先など）をもとに機械学習を行い、ボットネットに関わる悪性ドメインを特定する手法が提案されている。

"ＧｏｏｇｌｅＳａｆｅＢｒｏｗｓｉｎｇ，"［ｏｎｌｉｎｅ］，［２０１９年１１月２７日検索］，インターネット＜ｈｔｔｐｓ：／／ｄｅｖｅｌｏｐｅｒｓ．ｇｏｏｇｌｅ．ｃｏｍ／ｓａｆｅ－ｂｒｏｗｓｉｎｇ／ｖ４／＞．秋山満昭，八木毅，伊藤光恭，"悪性ＵＲＬ群の木構造に着目したＵＲＬフィルタリングの粒度決定，"一般社団法人電子情報通信学会，電子情報通信学会技術研究報告．ＩＣＳＳ，情報通信システムセキュリティ：ＩＥＩＣＥｔｅｃｈｎｉｃａｌｒｅｐｏｒｔ，１１０（２６６），２０１０年１１月５日，ｐｐ．５３－５８．Ｐ．Ｐｒａｋａｓｈ，Ｍ．Ｋｕｍａｒ，Ｒ．Ｋｏｍｐｅｌｌａ，ａｎｄＭ．Ｇｕｐｔａ， "Ｐｈｉｓｈｎｅｔ：Ｐｒｅｄｉｃｔｉｖｅｂｌａｃｋｌｉｓｔｉｎｇｔｏｄｅｔｅｃｔｐｈｉｓｈｉｎｇａｔｔａｃｋｓ"，ｉｎＩＮＦＯＣＯＭ，２０１０ＰｒｏｃｅｅｄｉｎｇｓＩＥＥＥ，Ｍａｒｃｈ２０１０，ｐｐ．１－５．久山真宏，佐々木良一，ドメインのＷＨＯＩＳ構造を用いた悪性ドメインの判別手法，マルチメディア、分散、協調とモバイルシンポジウム２０１６論文集，ｐｐ．１７１１－１７１６，２０１６年７月．

しかしながら、ＧｏｏｇｌｅＳａｆｅＢｒｏｗｓｉｎｇなどのブラックリストに基づくサービスは、問い合わせの際のＵＲＬがハッシュされていないため、アクセスしようとしているＵＲＬが全てサービス提供者側に保持される。また、全ての検索要求は、サーバによって処理されるため処理時間が長い。さらに、リストに掲載されるまでの時間が長い場合もある上に、リストの網羅性に欠け、見逃しが多く生じる。

また、ＵＲＬの構造に基づく検知手法を用いる場合には、悪性サイトは日々変化しているため、フィルタリングに利用する部分ＵＲＬ文字列のルールを一意に決めることは難しい。さらに、機械学習を用いて悪性サイトを検知するためには、正規サイト及び悪性サイトの情報が必要となる。
ＷＨＯＩＳ情報は、レスポンスが遅い、あるいはＷＨＯＩＳサーバの応答数に制限が設けられているなどの理由から取得に時間を要する。さらに、近年では、ＷＨＯＩＳ情報をプライバシ保護しているドメインも存在し、悪性サイトを検知するための情報が乏しくなりつつある。

本発明は、悪性サイトの検知率を向上させるために、ドメインの信頼度を容易に評価できる信頼度評価装置、信頼度評価方法及び信頼度評価プログラムを提供することを目的とする。

本発明に係る信頼度評価装置は、ドメインの登録価格を、価格設定されているドメイン名の単位毎に定期的に取得する取得部と、新たなドメインが観測された際に、観測時点より前の所定期間を、当該ドメインの登録時期と判定する判定部と、前記登録時期における前記新たなドメインの登録価格に基づいて、当該ドメインの信頼度を算出する算出部と、を備える。

前記判定部は、前記新たなドメインの観測時点から所定時間さかのぼった日時を含む前後の所定期間を、前記登録時期と判定してもよい。

前記算出部は、複数の登録業者による登録価格の平均に基づいて、前記信頼度を算出してもよい。

前記算出部は、前記新たなドメインの登録業者が特定された場合に、複数の登録業者のうち、当該特定された登録業者による登録価格に基づいて、前記信頼度を算出してもよい。

前記算出部は、前記登録時期における登録価格の時間平均に基づいて、前記信頼度を算出してもよい。

前記算出部は、前記登録時期における登録価格の最低値に基づいて、前記信頼度を算出してもよい。

前記信頼度評価装置は、前記新たなドメインを検索キーとしてＷｅｂ検索を行う検索部を備え、前記算出部は、前記検索部による検索結果の数に基づいて、前記信頼度を調整してもよい。

前記算出部は、前記新たなドメインを登録する際に必要な情報の種類に基づいて、前記信頼度に重み付けしてもよい。

本発明に係る信頼度評価方法は、ドメインの登録価格を、価格設定されているドメイン名の単位毎に定期的に取得する取得ステップと、新たなドメインが観測された際に、観測時点より前の所定期間を、当該ドメインの登録時期と判定する判定ステップと、前記登録時期における前記新たなドメインの登録価格に基づいて、当該ドメインの信頼度を算出する算出ステップと、をコンピュータが実行する。

本発明に係る信頼度評価プログラムは、前記信頼度評価装置としてコンピュータを機能させるためのものである。

本発明によれば、ドメインの信頼度を容易に評価できる。

実施形態における信頼度評価装置の機能構成を示す図である。実施形態における登録価格テーブルを例示する図である。実施形態における登録価格の時系列データを例示する図である。実施形態におけるドメインの登録時期の判定方法を説明する図である。

以下、本発明の実施形態の一例について説明する。
本実施形態の信頼度評価方法では、悪性サイトを見分けるための指標として、ドメインの取得価格に基づき、このドメインの信頼度が決定される。

企業サイトなどの正規のサイトは、「．ｃｏ．ｊｐ」などの登録価格が高額で、かつ、登録に企業情報などが必要なドメイン、すなわち信頼度の高いドメインを利用する傾向にある。一方、悪性サイトでは、単体での検知を逃れるために多数ドメインを取得し、個々のドメインを使い捨てにし、一時的なサイト運営を行っている場合が多い。したがって、攻撃者は、ドメイン取得のコストを下げるために、安価かつ登録時に必要な情報が少ないドメインを取得する傾向にある。

そこで、本実施形態の信頼度評価方法では、ドメイン毎の登録価格が取得され、価格が下落した、あるいは定常的に低価格なドメインの情報が蓄積される。そして、新たに観測されたドメインが、直近で価格が下落したか、あるいは定常的に低価格であるかどうかによって、観測されたドメインの信頼度が決定される。

図１は、本実施形態における信頼度評価装置１の機能構成を示す図である。
信頼度評価装置１は、サーバ又はパーソナルコンピュータなどの情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイスなどを備える。

制御部１０は、信頼度評価装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。

記憶部２０は、ハードウェア群を信頼度評価装置１として機能させるための各種プログラム、及び各種データなどの記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスク（ＨＤＤ）などであってよい。具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させるためのプログラム（信頼度評価プログラム）、各種パラメータ、ドメイン登録業者毎の登録価格テーブル２１などを記憶する。

制御部１０は、取得部１１と、判定部１２と、検索部１３と、算出部１４とを備える。
制御部１０は、これらの機能部により、観測されたドメインの信頼度を、登録価格に基づいて評価する。

取得部１１は、ドメインの登録価格を、価格設定されているドメイン名の単位毎に定期的に取得する。

図２は、本実施形態における登録価格テーブル２１を例示する図である。
この例では、登録業者毎にテーブルが設けられ、価格設定の単位（例えば、ＴＬＤ）である「ｊｐ」、「ｃｏｍ」などのドメイン名に対して、日別の登録価格が格納されている。
このように、取得部１１は、複数のドメイン登録業者が公開している登録価格を、１日毎など定期的に取得しておく。時系列の登録価格の中には、キャンペーンなどにより安価（例えば、０円）になっているデータも含まれる。

また、取得部１１は、価格設定の単位毎に、複数の登録業者それぞれにおける登録価格の時系列データを作成する。さらに、取得部１１は、複数の登録業者の時系列データを統計処理し、平均価格の推移を示す時系列データを作成する。

図３は、本実施形態における登録価格の時系列データを例示する図である。
例えば、ｊｐドメインの登録価格は、登録業者Ｂでは一定となっているが、登録業者Ａでは、価格の下落が見られる。また、ｃｏｍドメインでは、ある期間において、登録業者Ａによる登録価格の低下が見られる。
いずれのドメインについても、複数の登録業者における全体の傾向を示すデータとして、平均価格の時系列データが作成されている。

判定部１２は、評価対象である新たなドメインが観測された際に、観測時点より前の所定期間を、このドメインの登録時期と判定する。

図４は、本実施形態におけるドメインの登録時期の判定方法を説明する図である。
判定部１２は、例えば、新たなドメインの観測時点Ｔから所定時間Ｄさかのぼった日時Ｔ－Ｄを含む前後の所定期間（Ｔ－Ｄ－ｄからＴ－Ｄ＋ｄまで）を、登録時期と判定する。
仮に、この登録時期において、ドメインの登録価格が低下している場合、悪性サイトの運営者がこの時期をねらって登録したドメインである可能性が高いため、信頼度が低いと考えられる。

検索部１３は、新たなドメインを検索キーとしてＷｅｂ検索を行う。
検索結果として得られた件数は、信頼度の調整のために、算出部１４に提供される。

算出部１４は、登録時期における新たなドメインの登録価格に基づいて、このドメインの信頼度を算出する。
このとき、算出部１４は、複数の登録業者による登録価格の平均に基づいて信頼度を算出してよい。また、算出部１４は、ＷＨＯＩＳ情報などによって新たなドメインの登録業者が特定された場合には、平均ではなく、複数の登録業者のうち特定された登録業者による登録価格に基づいて信頼度を算出してもよい。

ドメインの信頼度は、例えば、次のように算出される。
まず、あるドメインに対する登録価格の時系列データＣ（Ｔ）を、ドメインの登録業者の平均価格と定義する。
すると、時刻Ｔにおいて観測されたドメインの信頼度Ｘ（Ｔ）は、

のように、登録時期における登録価格の時間平均として算出される。
ここで、Ｄは観測時刻Ｔと登録時刻との差分であり、ｄは登録推定時刻の揺らぎ（申請から登録までの時間など）である。

なお、ＷＨＯＩＳ情報を確認しない限り、正確な登録日時は不明な場合が多いため、実際の運用上は、Ｄは経験的に定義されてよい。
例えば、複数のメールサーバを運用しており、受信メールのドメインを監視できる条件であれば、ある時点から使われ始めるスパム送信ドメインを大量に観測することができる。これらのドメインをサンプリング抽出し、ＷＨＯＩＳ情報を取得することでスパム送信ドメインの登録から利用までの平均的な期間Ｄを算出することができる。

また、信頼度は、登録価格の時間平均の他、登録時期（Ｔ－Ｄ－ｄからＴ－Ｄ＋ｄまで）における登録価格の最低値に基づいて算出されてもよい。

さらに、算出部１４は、検索部１３による検索結果の件数に基づいて、信頼度を調整する。
例えば、観測されたドメインが既に長い期間使われており、ドメインの実際の登録価格が不明である場合がある。このような場合、直近の価格が値下げされていると、信頼度が低く算出される可能性がある。そこで、算出部１４は、信頼度が低いとされたドメイン名を検索キーとしたＷｅｂ検索の結果、検索結果が多数ある場合に信頼度を高く調整するなど、知名度に関係する検索件数と登録価格とを組み合わせて、信頼度を総合的に決定する。

また、算出部１４は、新たなドメインを登録する際に必要な企業情報又は組織情報などの情報の種類に基づいて、信頼度に重み付けをしてもよい。例えば、登録情報の数が多い、あるいは、登記など信憑性の高い情報が必要といった、登録のための敷居が高いドメインは、信頼度が高く算出されてよい。
なお、重み付けの大きさは、ドメイン毎に予め設定されていてもよく、例えば、高等教育機関などが登録できる「ａｃ．ｊｐ」、又は政府機関などが登録できる「ｇｏ．ｊｐ」といったドメインが予め信頼度の高いリストに登録されてもよい。あるいは、信頼度評価装置１は、これら所定のドメインが観測された際には、信頼度の算出を省略し、信頼できるドメインであると判定してもよい。

本実施形態によれば、信頼度評価装置１は、観測されたドメインが登録された時期における登録価格に基づいて信頼度を算出することで、容易にドメインを評価でき、悪性サイトの検知率を向上させることができる。
特に、従来からの検知手法と組み合わせることにより、例えば、算出された信頼度を機械学習のパラメータとして用い、悪性サイトの判定をより詳細に行って精度を高めることが可能となる。

また、信頼度評価装置１は、ＷＨＯＩＳ情報などの問い合わせを行わないことにより、アクセスデータ（ＵＲＬ）の外部への漏洩を防ぐことができる。さらに、信頼度評価装置１は、予め取得済みの登録価格の情報を用いてローカルで処理できるため、外部との時間的及び金銭的な通信コストを低減できる。

信頼度評価装置１は、新たなドメインの観測時点から所定時間さかのぼった日時を含む前後の所定期間を登録時期と判定することにより、簡易に登録時期を推定できる。

信頼度評価装置１は、複数の登録業者による登録価格の平均に基づいて信頼度を算出することにより、登録業者が特定されない場合の誤判定を抑制し、複数の登録業者全体の傾向に従って、信頼度を適切に評価できる。

信頼度評価装置１は、新たなドメインの登録業者が特定された場合に、複数の登録業者のうち、特定された登録業者による登録価格に基づいて信頼度を算出することで、より正確な登録価格に基づき、信頼度を適切に評価できる。

信頼度評価装置１は、登録時期における登録価格の時間平均に基づいて前記信頼度を算出することにより、正確な登録日時を特定できない際にも、登録時期における登録価格の傾向を適切に捉え、信頼度を適切に評価できる。

信頼度評価装置１は、登録時期における登録価格の最低値に基づいて前記信頼度を算出することにより、もっともらしい登録価格を推定し、より安全に信頼度を評価できる。

信頼度評価装置１は、評価対象のドメインを検索キーとしてＷｅｂ検索を行い、検索結果の数に基づいて信頼度を調整することにより、知名度に関係する検索件数と登録価格とを組み合わせて、より適切な信頼度を総合的に評価できる。

信頼度評価装置１は、評価対象のドメインを登録する際に必要な情報の種類に基づいて信頼度に重み付けすることにより、登録の難しさを指標として、より適切な信頼度を総合的に評価できる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

前述の実施形態では、受信メール本文に記述されたＵＲＬを評価対象のドメインとして説明したが、これには限られない。例えば、ＳＰＦ（ＳｅｎｄｅｒＰｏｌｉｃｙＦｒａｍｅｗｏｒｋ）などによってメール送信元ドメインが詐称されていないことが検査されている場合には、この送信元ドメインを評価対象として信頼度を評価することもできる。

信頼度評価装置１による信頼度評価方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１信頼度評価装置
１０制御部
１１取得部
１２判定部
１３検索部
１４算出部
２０記憶部
２１登録価格テーブル

Claims

ドメインの登録価格を、価格設定されているドメイン名の単位毎に定期的に取得する取得部と、
新たなドメインが観測された際に、観測時点より前の所定期間を、当該ドメインの登録時期と判定する判定部と、
前記登録時期における前記新たなドメインに対する複数の登録業者による登録価格の平均である平均価格に基づいて、当該ドメインの信頼度を算出する算出部と、を備える信頼度評価装置。
前記判定部は、前記新たなドメインの観測時点から所定時間さかのぼった日時を含む前後の所定期間を、前記登録時期と判定する請求項１に記載の信頼度評価装置。
前記算出部は、ＷＨＯＩＳ情報により前記新たなドメインの登録業者が特定された場合に、前記平均価格に代えて、当該特定された登録業者による登録価格に基づいて、前記信頼度を算出する請求項１又は請求項２に記載の信頼度評価装置。
前記算出部は、前記登録時期における前記平均価格の時間平均に基づいて、前記信頼度を算出する請求項１から請求項３のいずれかに記載の信頼度評価装置。
前記算出部は、前記登録時期における前記平均価格の最低値に基づいて、前記信頼度を算出する請求項１から請求項３のいずれかに記載の信頼度評価装置。
前記新たなドメインを検索キーとしてＷｅｂ検索を行う検索部を備え、
前記算出部は、前記検索部による検索結果の数が多いほど、前記信頼度を高く調整する請求項１から請求項５のいずれかに記載の信頼度評価装置。
前記算出部は、前記新たなドメインを登録する際に必要な情報の数が多いほど、前記信頼度を高く算出する請求項１から請求項６のいずれかに記載の信頼度評価装置。
前記算出部は、前記新たなドメインを登録する際に必要な情報が所定の種類を含む場合、前記信頼度をより高く算出する請求項１から請求項７のいずれかに記載の信頼度評価装置。
ドメインの登録価格を、価格設定されているドメイン名の単位毎に定期的に取得する取得ステップと、
新たなドメインが観測された際に、観測時点より前の所定期間を、当該ドメインの登録時期と判定する判定ステップと、
前記登録時期における前記新たなドメインに対する複数の登録業者による登録価格の平均である平均価格に基づいて、当該ドメインの信頼度を算出する算出ステップと、をコンピュータが実行する信頼度評価方法。
請求項１から請求項８のいずれかに記載の信頼度評価装置としてコンピュータを機能させるための信頼度評価プログラム。