JPWO2016140037A1

JPWO2016140037A1 - 通信先対応関係収集装置、通信先対応関係収集方法及び通信先対応関係収集プログラム

Info

Publication number: JPWO2016140037A1
Application number: JP2017503393A
Authority: JP
Inventors: 大紀千葉; 毅八木
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2015-03-05
Filing date: 2016-02-12
Publication date: 2017-07-27
Anticipated expiration: 2036-02-12
Also published as: EP3249861A1; EP3249861B1; US10917380B2; EP3249861A4; US20180034766A1; WO2016140037A1; JP6315640B2

Abstract

通信先対応関係収集装置（１００）は、対応関係を収集する対象となる対象通信先を指定する通信先指定部（１０１）と、対象通信先に対応するＩＰアドレスが変更される周期以下の周期で、対象通信先にＤＮＳクエリを送信するようにＤＮＳクライアントを制御し、ＤＮＳクエリに対する応答から対象通信先に対応するＩＰアドレスを収集するＤＮＳクエリ送信制御部（１０２）と、ＤＮＳクエリ送信制御部（１０２）で収集した対象通信先に対応するＩＰアドレス及びＤＮＳクエリに対する応答が行われた日時または時刻のうちの少なくとも一方から履歴情報を構築する対応関係履歴情報構築部（１０３）と、を有する。

Description

本発明は、通信先対応関係収集装置、通信先対応関係収集方法及び通信先対応関係収集プログラムに関する。

インターネットの普及に伴い、ＤＤｏＳ攻撃やスパムメール送信等のサイバー攻撃が急増している。これらの攻撃のほとんどは、マルウェアと呼ばれる悪意あるソフトウェアに起因している。攻撃者は一般ユーザの端末やサーバ等をマルウェアに感染させ、マルウェアを操作することで端末やサーバを不正に制御し、情報収集や新たな攻撃を実施している。これらの攻撃は近年社会問題化している。このため、マルウェア感染を中心としたサイバー攻撃への対策が急務となっている。

サイバー攻撃対策としては、端末上で実施する対策とネットワーク上で実施する対策とが利用されている。端末上で実施する対策としては、アンチウィルスソフトを用いる手法や、ホスト型ＩＤＳ（Intrusion Detection System）やホスト型ＩＰＳ（Intrusion Prevention System）を用いる手法が利用されている。これらの手法では、端末にソフトウェアをインストールして対策を実施する。

一方、ネットワーク上で実施する対策としては、ネットワーク型のＩＤＳやＩＰＳ、ＦＷ（Firewall）やＷＡＦ（Web Application Firewall）等を用いる手法が利用されている。これらの手法では、ネットワークの通信経路上に検査装置を配置する。例えば、ネットワークの通信経路のうちＤＮＳサーバへの通信を監視できる箇所で、ＤＮＳクエリやＤＮＳレスポンスの通信の検査を行う手法が提案されている（例えば、非特許文献１または２を参照）。また、近年では、端末や装置のログを分析して攻撃の痕跡を発見するＳＩＥＭ（Security Information and Event Management）サービス等も実施されている。

これらの手法においては、ハニーポットと呼ばれるおとりのシステム上でマルウェア感染攻撃やその他のサイバー攻撃の通信相手や通信内容を収集する。また、サンドボックスと呼ばれるマルウェア解析システムでマルウェアを実際に動作させてマルウェアの通信先や通信内容を収集したり、スパムメール対策システムやＤＤｏＳ対策システムで攻撃と判定された通信の通信先や通信内容を収集したりすることで、攻撃に関わる通信の情報を収集する。

そして、収集した情報について、例えば通信先のＩＰアドレス等をブラックリスト化し、当該ＩＰアドレスを相手とした通信を攻撃と判定する。なお、ブラックリスト化する情報は、統一資源位置指定子（ＵＲＬ：Uniform Resource Locator）やドメイン名とする場合もあるが、この際は、ＵＲＬやドメイン名を正規表現でブラックリスト化することもある。

なお、通常異なる装置やソフトウェアからトラヒックログやアラートを収集して通信相手や通信内容の情報を抽出する際、装置やソフトウェアに応じて各項目の表記方法が異なる場合があるが、近年ではＳＩＥＭ製品として異なる表記で示されたログ情報を統一的な表記方法に変換して集計する技術も普及している。

M. Antonakakis, et al., "Building a Dynamic Reputation System for DNS," Proc. USENIX conference on Security, 2010. L. Bilge, et al., "EXPOSURE: Finding Malicious Domains Using Passive DNS Analysis," Proc. NDSS, 2011.

しかし、上記の方法では、ハニーポットやサンドボックス等を利用してサイバー攻撃に関わる通信の情報を収集する際に、利用されるすべての悪性通信先を抽出することはできない。例えば、ハニーポットで収集可能な悪性サイトの通信先は無数に存在する上に、時間経過とともに当該悪性サイトの無効化や、別の通信先への移行が発生する。

また、サンドボックスでマルウェアを解析する場合に、マルウェアは解析の妨害やインターネットへの接続確認を目的として、良性通信先へのアクセスや、時間経過とともに変化する悪性通信先へのアクセスを発生させる。このようにサイバー攻撃に関わる通信の情報を収集するだけでは、悪性通信先を網羅的に、かつ、正確に特定し、ブラックリスト化することは困難である。

例えば、非特許文献１または２においては、ある時点までに収集した情報を利用して、当該時点で特定されていない悪性通信先をブラックリスト化する手法が提案されているが、攻撃者によって一時的に利用される悪性通信先や攻撃者が攻撃の準備のために確保している悪性通信先を特定することができないという課題がある。

このため、現在では、サイバー攻撃を発見するために、ある時点で最新のブラックリストを参照しても、攻撃に利用される悪性通信先を特定できない場合がある。この時、一時的に利用される悪性通信先や攻撃準備に利用される悪性通信先を識別するための根拠情報として、ドメイン名またはホスト名またはＦＱＤＮ（Fully Qualified Domain Name）と、ＩＰアドレスの対応関係の時間経過に伴う状況の変化を記録した履歴情報が必要となる。

本発明の目的は、通信先とＩＰアドレスとの対応関係の時間経過に伴う変化を反映した履歴情報を構築することにある。

本発明の通信先対応関係収集装置は、ＩＰアドレスに対応する通信先であって、該ＩＰアドレスを収集する対象となる対象通信先を指定する通信先指定部と、所定の周期で前記対象通信先にＤＮＳクエリを送信するようにＤＮＳクライアントを制御し、前記ＤＮＳクエリに対する応答から前記対象通信先に対応するＩＰアドレスを収集するＤＮＳクエリ送信制御部と、前記ＤＮＳクエリ送信制御部で収集した前記対象通信先に対応するＩＰアドレス及び前記ＤＮＳクエリに対する応答が行われた日時または時刻のうちの少なくとも一方から履歴情報を構築する対応関係履歴情報構築部と、を有することを特徴とする。

また、本発明の通信先対応関係収集方法は、ＩＰアドレスに対応する通信先であって、該ＩＰアドレスを収集する対象となる対象通信先を指定する通信先指定工程と、所定の周期で前記対象通信先にＤＮＳクエリを送信するようにＤＮＳクライアントを制御し、前記ＤＮＳクエリに対する応答から前記対象通信先に対応するＩＰアドレスを収集するＤＮＳクエリ送信制御工程と、前記ＤＮＳクエリ送信制御工程で収集した前記対象通信先に対応するＩＰアドレス及び前記ＤＮＳクエリに対する応答が行われた日時または時刻のうちの少なくとも一方から履歴情報を構築する対応関係履歴情報構築工程と、を含んだことを特徴とする。

また、本発明の通信先対応関係収集プログラムは、コンピュータに、ＩＰアドレスに対応する通信先であって、該ＩＰアドレスを収集する対象となる対象通信先を指定する通信先指定ステップと、所定の周期で前記対象通信先にＤＮＳクエリを送信するようにＤＮＳクライアントを制御し、前記ＤＮＳクエリに対する応答から前記対象通信先に対応するＩＰアドレスを収集するＤＮＳクエリ送信制御ステップと、前記ＤＮＳクエリ送信制御ステップで収集した前記対象通信先に対応するＩＰアドレス及び前記ＤＮＳクエリに対する応答が行われた日時または時刻のうちの少なくとも一方から履歴情報を構築する対応関係履歴情報構築ステップと、を実行させることを特徴とする。

本発明によれば、通信先とＩＰアドレスとの対応関係の時間経過に伴う変化を反映した履歴情報を構築することができる。

図１は、実施形態１に係る通信先対応関係収集装置の構成の一例を示す図である。図２は、実施形態１に係る通信先対応関係収集装置における入力通信先の一例を示す図である。図３は、実施形態１に係る通信先対応関係収集装置における入力通信先及び入力通信先に関連する通信先の一例を示す図である。図４は、実施形態１に係る通信先対応関係収集装置における入力通信先及び入力通信先のコンテンツ内に含まれるリンク先の通信先の一例を示す図である。図５は、実施形態１に係る通信先対応関係収集装置における対象通信先の一例を示す図である。図６は、実施形態１に係る通信先対応関係収集装置における対象通信先の運用形態等及び制御方法の一例を示す図である。図７は、実施形態１に係る通信先対応関係収集装置のＤＮＳクエリ送信タイミングの一例を示す図である。図８は、実施形態１に係る通信先対応関係収集装置で観測される応答の一例を示す図である。図９は、実施形態１に係る通信先対応関係収集装置で収集する通信先とＩＰアドレスとの対応関係の履歴情報の一例を示す図である。図１０は、実施形態１に係る通信先対応関係収集装置の処理の一例を示す図である。図１１は、通信先対応関係収集装置として機能するコンピュータの一例を示す図である。

以下に添付図面を参照して、この発明に係る通信先対応関係収集装置、通信先対応関係収集方法及び通信先対応関係収集プログラムの実施形態を詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。

［実施形態１に係る通信先対応関係収集装置の構成］
まず、図１を用いて、通信先対応関係収集装置の構成について説明する。図１は、実施形態１に係る通信先対応関係収集装置の構成の一例を示す図である。図１に示すように、通信先対応関係収集装置１００は、通信先指定部１０１と、ＤＮＳクエリ送信制御部１０２と、対応関係履歴情報構築部１０３と、ＤＮＳサーバ通信監視部１５０と、を有する。なお、ＤＮＳサーバ通信監視部１５０は必須の構成ではなく、必ずしも通信先対応関係収集装置１００に備えられる必要はない。

通信先指定部１０１は、ＩＰアドレスに対応する通信先であって、該ＩＰアドレスを収集する対象となる対象通信先を指定する。通信先指定部１０１には、ドメイン名、ホスト名またはＦＱＤＮが掲載された任意のリストが入力される。そして、通信先指定部１０１は、入力されたリストを基に、対応関係を収集する対象となる対象通信先を指定する。以降の説明において、特に記載がない場合においては、通信先とはドメイン名、ホスト名またはＦＱＤＮ等を示すものとし、ＩＰアドレスは含まないものとする。

通信先指定部１０１に入力される通信先について、図２を用いて説明する。図２は、実施形態１に係る通信先対応関係収集装置における入力通信先の一例を示す図である。図２に示すように、通信先指定部１０１は、入力されたリストとリストに記載されている通信先についての情報を取得する。入力される通信先のリストとしては、悪性であることが明らかになっている既知の悪性通信先リストや、良性であることが明らかになっている既知の良性通信先リストが考えられる。例えば、図２の通番１の行は、リスト掲載ドメイン名「example.com」の通信先が、リスト種別「リスト１」のリストから収集されたことを示している。なお、入力されるリストは、前述の悪性通信先リストや良性通信先リストのように悪性または良性を示すようなものに限られず、通信先が記載されていれば良い。

通信先指定部１０１は、図３に示すように、リストに掲載された入力通信先に関連する通信先を収集する。図３は、実施形態１に係る通信先対応関係収集装置における入力通信先及び入力通信先に関連する通信先の一例を示す図である。通信先指定部１０１は、図２に示すリストに掲載された通信先のサブドメインや、図２に示すリストに掲載された通信先をサブドメインとして持つ通信先を収集する。例えば、図３の通番１の通信先「example.com」に関連する通信先として「foo.example.com」や「bar.example.com」を収集する。関連する通信先を収集する方法はどのような方法であっても良い。例えば、第３者が提供する検索エンジンを利用して通信先を検索した検索結果から収集すること等が考えられる。

通信先指定部１０１は、図４に示すように、入力通信先や入力通信先と関連する通信先とリンクしている通信先を収集する。図４は、実施形態１に係る通信先対応関係収集装置における入力通信先及び入力通信先のコンテンツ内に含まれるリンク先の通信先の一例を示す図である。通信先指定部１０１は、図２または図３に示す通信先に対して、ＨＴＴＰやＨＴＴＰＳのプロトコルを用いてアクセスすることで、当該通信先のコンテンツを収集し、当該コンテンツ内に含まれるリンク先ＵＲＬから通信先を収集する。

例えば、図４の通番１の通信先「example.com」にアクセスした際のＨＴＭＬコンテンツ内に、静的なリンク先「http://example.jp/index.php」が存在した場合を示しており、この場合は、通信先指定部１０１は「example.jp」を通信先として収集する。また、図４の通番１１の通信先「foo.example.com」にアクセスした際に、リダイレクト先のリンク先「http://foo.example.jp/top.jpg」を読み込んだ場合は、通信先指定部１０１は「foo.example.jp」を通信先として収集する。なお、コンテンツを収集する方法はこれらの方法に限られず、例えば、検索エンジンに代表されるようなＷｅｂ空間の巡回方式等であっても良い。

通信先指定部１０１は、これまで説明した方法で収集した通信先を統合し、図５に示すように、通信先対応関係の収集対象となる対象通信先として指定する。図５は、実施形態１に係る通信先対応関係収集装置における対象通信先の一例を示す図である。なお、収集対象の通信先の指定方法はこれまで説明した方法に限られず、任意の通信先を指定することができる。

ＤＮＳクエリ送信制御部１０２は、対象通信先に対応するＩＰアドレスが変化する周期を調査し、該周期以下となるように、対象通信先にＤＮＳクエリを送信する周期を設定する。ＤＮＳクエリ送信制御部１０２は、設定した周期で、対象通信先にＤＮＳクエリを送信するようにＤＮＳクライアントを制御し、ＤＮＳクエリに対する応答から対象通信先に対応するＩＰアドレスを収集する。また、ＤＮＳクエリ送信制御部１０２は、対象通信先が、送信元ＩＰアドレスによって異なる応答を行う運用形態を採用している場合は、複数のＤＮＳクライアントからＤＮＳリクエストを送信し、それぞれのＤＮＳリクエストに対する応答から対象通信先に対応するＩＰアドレスを収集する。

ＤＮＳクエリ送信制御部１０２は、まず、図６に示すような、対象通信先のＩＰアドレスの運用形態を参照する。図６は、実施形態１に係る通信先対応関係収集装置における対象通信先の運用形態等及び制御方法の一例を示す図である。運用形態としては、対象通信先においてＩＰアドレスを１つのみ利用する「単独型」や、対象通信先においてアクセス負荷分散のためにＩＰアドレスを複数個利用する「負荷分散型」や、対象通信先においてアクセス負荷分散のために複数の地域に分散したＩＰアドレスを複数個利用する「地域分散型」がある。

このような運用形態は、各通信先を運用する事業者が公開する情報や、第３者が調査して公開する情報や、独自に各通信先にアクセスすることで調査した情報によって特定することができる。例えば、地域分散を実現するための公知の技術であるコンテンツデリバリーネットワーク（ＣＤＮ：Contents Delivery Network）を提供するＡｋａｍａｉ社は、自社ＣＤＮをＷｅｂサイトに利用する企業のリストを公開しており、当該リストに記載された企業のＷｅｂサイトの通信先を地域分散型と特定することができる。なお、運用形態及び運用形態の特定方法は上記に限るものではない。

図６に示すように、ＤＮＳクエリ送信制御部１０２は、特定した運用形態をもとにＤＮＳクライアントの送信元ＩＰアドレスを制御する。例えば、「単独型」の運用形態の場合、送信元ＩＰアドレスによって応答が変化しないため、単一の送信元ＩＰアドレスを利用する。また、「負荷分散型」の運用形態の場合、ＤＮＳクエリの送信タイミングによって応答が変化するが、送信元ＩＰアドレスによって応答は変化しないため、単一の送信元ＩＰアドレスを利用する。このとき、同時に異なる送信元ＩＰアドレスからＤＮＳクエリを送信することで負荷分散を作動させ、複数のＩＰアドレスを入手しても良い。

また、「地域分散型」の運用形態の場合、送信元ＩＰアドレスの地域によって応答が変化するため、複数地域の送信元ＩＰアドレスを利用する。例えば、図６の通番１には、対象通信先「example.com」の運用形態を「単独型」と特定し、ＤＮＳクライアントに「単一」の送信元ＩＰアドレスを利用する例を示す。

複数地域の送信元ＩＰアドレスは、例えば「http://www.vpngate.net/ja/」等で公開されている公開ＶＰＮ中継サーバを利用して送信元ＩＰアドレスを指定の地域の送信元ＩＰアドレスに変換することで利用することができる。また、既存のＶＰＮサービス等を利用することで用意することができる。なお、運用形態に応じた送信元ＩＰアドレスの制御や、複数地域の送信元ＩＰアドレスの利用方法は上記に限るものではない。

ＤＮＳクエリ送信制御部１０２は、各対象通信先に対して、対象通信先におけるＩＰアドレスが変化する周期を調査し、その結果によりＤＮＳクライアントからのＤＮＳクエリの送信タイミングを図７に示すタイミングで制御し、送信したＤＮＳクエリに対する応答より、通信先とＩＰアドレスとの対応関係を収集する。図７は、実施形態１に係る通信先対応関係収集装置のＤＮＳクエリ送信タイミングの一例を示す図である。ここで変化周期とは、対象通信先に対応するＩＰアドレスが変化する周期のことであり、変化周期以下の任意のタイミングでＤＮＳクエリを送信することで、変化前と変化後の通信先とＩＰアドレスとの対応関係を網羅的に収集することができる。変化周期は、各通信先を運用する事業者が公開する情報や、第３者が調査して公開する情報や、独自に各通信先にアクセスすることで調査した情報によって特定することができる。例えば、各通信先のＤＮＳレコードのキャッシュ更新のタイミングを設定するパラメータであるＴＴＬ（Time to Live）値を変化周期として利用することが可能である。変化周期が特定できない対象通信先の場合は、既定値として設定した送信タイミングでＤＮＳクエリを送信する。

例えば、図７の通番１には、対象通信先「example.com」の変化周期が特定できないため、「−」が記入されている。この場合は、ＤＮＳクエリ送信制御部１０２は、対象通信先「example.com」に対して、既定値として設定した「１日毎」でＤＮＳクエリを送信する。また、図７の通番２では、対象通信先「foo.example.com」の変化周期が「１時間」と特定されている。この場合は、ＤＮＳクエリ送信制御部１０２は、対象通信先「foo.example.com」に対して「１時間毎」にＤＮＳクエリを送信する例を示す。なお、変化周期の特定方法は上記に限るものではない。

ＤＮＳサーバ通信監視部１５０は、ＤＮＳサーバを監視し、対象通信先に対応するＩＰアドレスを収集する。具体的には、ＤＮＳサーバ通信監視部１５０は、任意の権威ＤＮＳサーバやキャッシュＤＮＳサーバで通信を監視し、観測したＤＮＳクエリとＤＮＳ応答から通信先とＩＰアドレスとの対応関係を収集する。ＤＮＳクエリとＤＮＳ応答の通信を観測できる任意のＤＮＳサーバが存在する場合、当該通信の観測により、通信先とＩＰアドレスとの対応関係を収集できる。観測方法としては、当該ＤＮＳサーバ上で通信を監視する方法や、当該ＤＮＳサーバが所属するネットワーク上で通信を監視する方法があるが、これらの方法に限るものではない。

ＤＮＳクエリ送信制御部１０２及びＤＮＳサーバ通信監視部１５０が収集する通信先とＩＰアドレスとの対応関係について、図８を用いて説明する。図８は、実施形態１に係る通信先対応関係収集装置で観測される応答の一例を示す図である。例えば、図８の通番１では、「2015年1月1日 00:00:00」の時点で、「10.0.0.1」の送信元ＩＰアドレスを持つクライアントから、「example1.jp」の通信先に対するＤＮＳクエリが送信され、ＤＮＳクエリに対応するＤＮＳ応答により、「example1.jp」に対応するＩＰアドレスが「192.0.2.1」と観測された例を示す。

対応関係履歴情報構築部１０３は、ＤＮＳクエリ送信制御部１０２及びＤＮＳサーバ通信監視部１５０の一方または両方で収集した対象通信先に対応するＩＰアドレス及びＤＮＳクエリに対する応答が行われた日時または時刻のうちの少なくとも一方から履歴情報を構築する。例えば、対応関係履歴情報構築部１０３は、図９に示すように、対象とする通信先に対応するＩＰアドレスの結果を時刻情報付きで表したものを履歴情報として構築するようにしても良い。例えば、図９の通番１には、対象通信先「example.com」に「2015年1月1日 00:00:00」の時点でＩＰアドレス「192.0.2.1」が対応した例を示す。また、図９の通番２には、対象通信先「foo.example.com」に「2015年1月1日 00:00:00」の時点でＩＰアドレス「203.0.113.1」が対応し、「2015年1月1日 01:00:00」の時点でＩＰアドレス「203.0.113.2」が対応し、「2015年1月1日 02:00:00」の時点でＩＰアドレス「203.0.113.3」が対応した例を示す。また、図９の通番２１には、対象通信先「example.org」に「2015年1月1日 00:00:00」の時点で、複数のＩＰアドレス「192.0.2.21,192.0.2.121」が対応した例を示す。

なお、図９では、日時および時刻の両方から履歴情報を構築した場合の例を示しているが、履歴情報は、日時または時刻のいずれか一方から構築されてもよい。例えば、「2015年1月1日」、「2015年1月2日」、「2015年1月3日」のそれぞれについて履歴情報が構築されるようにしてもよいし、「01:00:00」、「02:00:00」、「03:00:00」のそれぞれについて履歴情報が構築されるようにしてもよい。

［実施形態１に係る通信先対応関係収集装置の処理］
図１０を用いて、通信先対応関係収集装置１００の処理について説明する。図１０は、実施形態１に係る通信先対応関係収集装置の処理の一例を示す図である。

図１０に示すように、まず、通信先指定部１０１にはドメイン名またはホスト名またはＦＱＤＮ掲載リストが入力される（ステップＳ１０１）。そして、通信先指定部１０１は、対象のドメイン名またはホスト名またはＦＱＤＮを抽出し、対象通信先に指定する（ステップＳ１０２）。

次に、ＤＮＳクエリ送信制御部１０２は、対象ドメイン名またはホスト名またはＦＱＤＮの運用形態の調査を行う（ステップＳ１０３）。そして、ＤＮＳクエリ送信制御部１０２は、ＤＮＳクエリを送信するＤＮＳクライアントを決定する（ステップＳ１０４）。ＤＮＳクエリ送信制御部１０２は、対象ドメイン名またはホスト名またはＦＱＤＮにおけるＩＰアドレスの変化頻度の調査を行い（ステップＳ１０５）、調査結果に基づきＤＮＳクエリの送信タイミングを決定し（ステップＳ１０６）、ＤＮＳクエリを送信し、その応答からドメイン名またはホスト名またはＦＱＤＮとＩＰアドレスの対応関係を収集する（ステップＳ１０７）。

また、通信監視対象のＤＮＳサーバが存在する場合（ステップＳ１０８、Ｙｅｓ）は、ＤＮＳサーバ通信監視部１５０は、ＤＮＳサーバでドメイン名またはホスト名またはＦＱＤＮとＩＰアドレスの対応関係を観測し、収集する（ステップＳ１０９）。そして、対応関係履歴情報構築部１０３は、ドメイン名またはホスト名またはＦＱＤＮとＩＰアドレスの対応関係の履歴情報を出力する（ステップＳ１１０）。

［実施形態１の効果］
通信先指定部１０１は、ＩＰアドレスに対応する通信先であって、該ＩＰアドレスを収集する対象となる対象通信先を指定する。ＤＮＳクエリ送信制御部１０２は、所定の周期以下の周期で、対象通信先にＤＮＳクエリを送信するようにＤＮＳクライアントを制御し、ＤＮＳクエリに対する応答から対象通信先に対応するＩＰアドレスを収集する。対応関係履歴情報構築部１０３は、ＤＮＳクエリ送信制御部１０２で収集した対象通信先に対応するＩＰアドレス及びＤＮＳクエリに対する応答が行われた時刻から履歴情報を構築する。これにより、対象通信先に対応するＩＰアドレスが変化した場合であっても、通信先とＩＰアドレスとの対応関係の時間経過に伴う変化を反映した履歴情報を構築することができる。

また、対象通信先に対応するＩＰアドレスが変化する周期を調査し、該周期以下となるようにＩＰアドレスを収集する周期を設定することで、対象通信先に対応するＩＰアドレスが変化する周期以下の周期で通信先とＩＰアドレスとの対応関係を収集することができ、時間経過に伴う変化をより正確に取得することができる。なお、通信先対応関係収集装置１００で構築された履歴情報は、通信先のブラックリスト作成や、悪性度の算出等に利用することができる。

また、通信先指定部１０１は、対象通信先のサブドメイン及び対象通信先をサブドメインとして持つ通信先及び対象通信先のコンテンツ内に含まれるリンク先を対象通信先に含めても良い。これにより、より多くの通信先についての対応関係を収集できる。

対象通信先に対応するＩＰアドレスが変化する周期を調査し、該周期以下となるようにＩＰアドレスを収集する周期を設定する。これにより、対象通信先に対応するＩＰアドレスが変化する周期以下の周期で通信先とＩＰアドレスとの対応関係を収集することができるので、網羅的に対応関係を収集できる。

また、ＤＮＳサーバ通信監視部１５０は、ＤＮＳサーバを監視し、対象通信先に対応するＩＰアドレスを収集し、対応関係履歴情報構築部１０３は、ＤＮＳサーバ通信監視部１５０で収集した対象通信先に対応するＩＰアドレス及びＤＮＳクエリに対する応答が行われた時刻から履歴情報を構築する。これにより、ＤＮＳクライアントからＤＮＳクエリを送信することなく対象通信先に対応するＩＰアドレスを取得することができる。

また、ＤＮＳクエリ送信制御部１０２は、通信先が、送信元ＩＰアドレスによって異なる応答を行う運用形態を採用している場合は、複数のＤＮＳクライアントからＤＮＳリクエストを送信し、それぞれのＤＮＳリクエストに対する応答から対象通信先に対応するＩＰアドレスを収集する。これにより、対象通信先に対応するＩＰアドレスが複数ある場合に対応することができる。

また、対象通信先には、ドメイン名、ホスト名、ＦＱＤＮのうち少なくとも一つが含まれる。ドメイン名、ホスト名、ＦＱＤＮはサブドメインを持っている場合や、サブドメインとして持たれている場合があるため、関連する通信先を含めて対応関係を収集することができる。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ（Central Processing Unit）及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
また、上記実施形態において説明した通信先対応関係収集装置が実行する処理について、コンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータが読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、図１に示した通信先対応関係収集装置と同様の機能を実現するプログラムを実行するコンピュータの一例を説明する。

図１１は、通信先対応関係収集装置として機能するコンピュータの一例を示す図である。図１１に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図１１に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１１に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図１１に例示するように、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、図１１に例示するように、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図１１に例示するように、例えばディスプレイ１１３０に接続される。

ここで、図１１に例示するように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、実行する。

なお、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１００通信先対応関係収集装置
１０１通信先指定部
１０２ＤＮＳクエリ送信制御部
１０３対応関係履歴情報構築部
１５０ＤＮＳサーバ通信監視部

Claims

ＩＰアドレスに対応する通信先であって、該ＩＰアドレスを収集する対象となる対象通信先を指定する通信先指定部と、
所定の周期で前記対象通信先にＤＮＳクエリを送信するようにＤＮＳクライアントを制御し、前記ＤＮＳクエリに対する応答から前記対象通信先に対応するＩＰアドレスを収集するＤＮＳクエリ送信制御部と、
前記ＤＮＳクエリ送信制御部で収集した前記対象通信先に対応するＩＰアドレス及び前記ＤＮＳクエリに対する応答が行われた日時または時刻のうちの少なくとも一方から履歴情報を構築する対応関係履歴情報構築部と、
を有することを特徴とする通信先対応関係収集装置。
前記通信先指定部は、前記対象通信先のサブドメイン及び前記対象通信先をサブドメインとして持つ通信先及び前記対象通信先のコンテンツ内に含まれるリンク先を対象通信先に含めることを特徴とする請求項１に記載の通信先対応関係収集装置。
前記ＤＮＳクエリ送信制御部は、前記対象通信先に対応するＩＰアドレスが変化する周期を調査し、該周期以下となるように前記ＩＰアドレスを収集する周期を設定することを特徴とする請求項１に記載の通信先対応関係収集装置。
ＤＮＳサーバを監視し、前記対象通信先に対応する前記ＩＰアドレスを収集するＤＮＳサーバ通信監視部をさらに有し、
前記対応関係履歴情報構築部は、前記ＤＮＳサーバ通信監視部で収集した前記対象通信先に対応するＩＰアドレス及び前記ＤＮＳクエリに対する応答が行われた日時または時刻のうちの少なくとも一方から前記履歴情報を構築することを特徴とする請求項１に記載の通信先対応関係収集装置。
前記ＤＮＳクエリ送信制御部は、前記対象通信先が、送信元ＩＰアドレスによって異なる応答を行う運用形態を採用している場合は、複数のＤＮＳクライアントからＤＮＳリクエストを送信し、それぞれの前記ＤＮＳリクエストに対する応答から前記対象通信先に対応するＩＰアドレスを収集することを特徴とする請求項１に記載の通信先対応関係収集装置。
前記対象通信先には、ドメイン名、ホスト名、ＦＱＤＮのうち少なくとも一つが含まれることを特徴とする請求項１に記載の通信先対応関係収集装置。
ＩＰアドレスに対応する通信先であって、該ＩＰアドレスを収集する対象となる対象通信先を指定する通信先指定工程と、
所定の周期で前記対象通信先にＤＮＳクエリを送信するようにＤＮＳクライアントを制御し、前記ＤＮＳクエリに対する応答から前記対象通信先に対応するＩＰアドレスを収集するＤＮＳクエリ送信制御工程と、
前記ＤＮＳクエリ送信制御工程で収集した前記対象通信先に対応するＩＰアドレス及び前記ＤＮＳクエリに対する応答が行われた日時または時刻のうちの少なくとも一方から履歴情報を構築する対応関係履歴情報構築工程と、
を含んだことを特徴とする通信先対応関係収集方法。
コンピュータに、
ＩＰアドレスに対応する通信先であって、該ＩＰアドレスを収集する対象となる対象通信先を指定する通信先指定ステップと、
所定の周期で前記対象通信先にＤＮＳクエリを送信するようにＤＮＳクライアントを制御し、前記ＤＮＳクエリに対する応答から前記対象通信先に対応するＩＰアドレスを収集するＤＮＳクエリ送信制御ステップと、
前記ＤＮＳクエリ送信制御ステップで収集した前記対象通信先に対応するＩＰアドレス及び前記ＤＮＳクエリに対する応答が行われた日時または時刻のうちの少なくとも一方から履歴情報を構築する対応関係履歴情報構築ステップと、
を実行させることを特徴とする通信先対応関係収集プログラム。