WO2016121621A1 - 情報処理装置、情報処理方法及びプログラム - Google Patents

情報処理装置、情報処理方法及びプログラム Download PDF

Info

Publication number
WO2016121621A1
WO2016121621A1 PCT/JP2016/051727 JP2016051727W WO2016121621A1 WO 2016121621 A1 WO2016121621 A1 WO 2016121621A1 JP 2016051727 W JP2016051727 W JP 2016051727W WO 2016121621 A1 WO2016121621 A1 WO 2016121621A1
Authority
WO
WIPO (PCT)
Prior art keywords
domain
information
registered
storage unit
unit
Prior art date
Application number
PCT/JP2016/051727
Other languages
English (en)
French (fr)
Inventor
淳一 初田
Original Assignee
株式会社ラック
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社ラック filed Critical 株式会社ラック
Publication of WO2016121621A1 publication Critical patent/WO2016121621A1/ja
Priority to US15/456,860 priority Critical patent/US20170187731A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/085—Retrieval of network configuration; Tracking network configuration history
    • H04L41/0853—Retrieval of network configuration; Tracking network configuration history by actively collecting configuration information or by backing up configuration information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/30—Managing network names, e.g. use of aliases or nicknames
    • H04L61/3015—Name registration, generation or assignment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/35—Network arrangements, protocols or services for addressing or naming involving non-standard use of addresses for implementing network functionalities, e.g. coding subscription information within the address or functional addressing, i.e. assigning an address to a function
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic

Definitions

  • the present invention relates to an information processing apparatus, an information processing method, and a program.
  • This application claims priority based on Japanese Patent Application No. 2015-13747 for which it applied to Japan on January 27, 2015, and uses the content here.
  • malware represented by computer viruses has become more sophisticated and sophisticated in both intrusion methods and attack methods, making it difficult to prevent damage to the malware and to localize damage to the malware. It is becoming.
  • conventional malware the relationship between the attack and damage of the malware can be easily estimated, and the malware can be found relatively early, although the degree of difficulty in dealing with it is different.
  • a technique of inspecting a domain to which the malware communicates may be used.
  • Patent Document 1 learns a transfer route as a domain route for each e-mail creator domain, and the transfer route of a determination target mail is the one of the creator domain of the determination target.
  • a detection device is disclosed that determines that a determination target email may be a spoofing email when the domain route does not match.
  • An object of an embodiment of the present invention is to facilitate detection of communication detected on a network to be monitored as satisfying a predetermined standard.
  • an information processing apparatus registers a domain acquisition unit that acquires a domain that is a connection destination of communication detected on a network to be monitored, and is registered for use on the Internet.
  • a related information acquisition unit that acquires related information that is registered with the domain acquired by the domain acquisition unit from the domain management device that holds the information of the domain that has been registered, and a connection destination that satisfies a predetermined criterion If the same information as at least one of the related information acquired by the storage unit and the related information acquisition unit is stored in the storage unit, the domain acquisition unit has acquired.
  • a detection unit that detects communication as satisfying a predetermined criterion even when the same domain as the domain is not stored in the storage unit; Provided.
  • the information processing apparatus when communication is assumed to satisfy a predetermined standard, information that is not stored in the storage unit among the related information acquired by the related information acquisition unit is determined based on the predetermined standard.
  • the information processing apparatus may further include a registration unit that registers in the storage unit as information on the domain to be satisfied.
  • the same information as at least one of the related information acquired by the related information acquisition unit is attached from the domain management apparatus.
  • a reception unit that receives a notification that information held by the domain management device has been updated, and at least one piece of information stored in the storage unit based on the notification received by the reception unit;
  • the information processing apparatus may further include an additional domain registration unit that registers information on the added domain in the storage unit.
  • An information processing apparatus according to an embodiment of the present invention is a domain that is registered for use on the Internet, a domain that satisfies a predetermined criterion, and a storage that stores related information that is information that is registered along with the domain.
  • a domain management device that holds information on a domain registered for use on the Internet, and a domain that is registered with the same information as at least one of the related information stored in the storage unit.
  • a domain information acquisition unit that acquires information and a registration unit that registers the domain information acquired by the domain information acquisition unit in the storage unit as satisfying a predetermined standard.
  • the domain information acquisition unit is further registered with the same information as at least one of the related information included in the domain information registered in the storage unit by the registration unit from the domain management device.
  • the registration unit is further configured to register the information of the other domain acquired by the domain information acquisition unit in the storage unit as satisfying a predetermined standard. There may be.
  • the registration unit may register the domain information acquired by the domain information acquisition unit separately from the information already stored in the storage unit.
  • An information processing method obtains a domain that is a connection destination of communication detected on a network to be monitored, and holds information on a domain registered for use on the Internet A step of acquiring related information, which is information registered with the acquired domain, from the domain management device, and a connection destination satisfying a predetermined criterion, wherein at least one of the acquired related information is the same information If the same domain as the acquired domain is not stored in the storage unit as long as it is stored in the storage unit that stores the domain and the domain related information, the communication satisfies a predetermined standard. Detecting as a thing.
  • An information processing method is a domain that is registered for use on the Internet and that satisfies a predetermined standard, and a memory that stores related information that is information associated with the domain.
  • Domain management for storing information on a domain registered for use on the Internet, information on a domain that is registered with the same information as at least one of the related information stored in the storage unit.
  • the program according to the embodiment of the present invention stores, in a computer, a function for acquiring a domain that is a connection destination of communication detected on a network to be monitored, and information on a domain registered for use on the Internet.
  • This is a program for realizing a function to detect that it satisfies.
  • the program according to the embodiment of the present invention stores, in a computer, a domain registered for use on the Internet, a domain that satisfies a predetermined standard, and related information that is registered in association with the domain.
  • FIG. 1 is a diagram showing an example of the overall configuration of a computer system 11 to which this exemplary embodiment is applied.
  • client terminals 10 a, 10 b, and 10 c are connected to an in-house LAN (Local Area Network) 50.
  • the attack detection device 20 is connected to both the in-house LAN 50 and the Internet 60.
  • the attacker server 30 and the domain information management server 40 are connected to the Internet 60.
  • the client terminals 10a, 10b, and 10c are computers used by users, and are realized by, for example, personal computers, workstations, and other computer devices.
  • the client terminals 10a, 10b, and 10c may be infected with malware.
  • malware is a general term for malicious software and malicious code created with the intention of performing illegal and harmful operations.
  • a bot that is one type of malware, after infecting a computer, connects to a control server called a C & C (command and control) server, waits for instructions from the attacker, and performs processing as directed on the infected computer. Execute.
  • the client terminals 10a, 10b, and 10c are shown. However, when there is no need to distinguish between these, the client terminals 10a, 10b, and 10c may be referred to as the client terminals 10. Although only three client terminals 10 are shown in FIG. 1, the number of client terminals 10 is not limited to the three illustrated.
  • the attack detection device 20 targets the network between the in-house LAN 50 and the Internet 60, and based on the information on the domain that is the connection destination (transmission destination) of communication detected on the network to be monitored. It is a device that detects unauthorized communication that is likely to be.
  • the attack detection device 20 is connected to a proxy server (not shown) installed so as to pass through the client terminal 10 when accessing the Internet 60 via the in-house LAN 50 as the communication detected on the network. Unauthorized communication is detected for the stored communication logs.
  • the attack detection apparatus 20 may detect unauthorized communication for traffic currently flowing on the network.
  • the attack detection device 20 may be provided in a communication device such as a gateway, or may be provided independently of the communication device. In FIG.
  • the attack detection device 20 is not installed inline on the communication line between the in-house LAN 50 and the Internet 60, but the attack detection device 20 obtains a communication log from, for example, a proxy server. It has a simple configuration. As another example, the attack detection device 20 may be configured inline. In the present embodiment, the attack detection device 20 is used as an example of the information processing device. In the present embodiment, a method of processing performed by the attack detection device 20 is used as an example of the information processing method.
  • the attacker server 30 is a server to which the client terminal 10 infected with malware is a communication connection destination, and is operated by the attacker.
  • the attacker server 30 corresponds to a connection control server to which the client terminal 10 is connected in order to wait for an instruction from the attacker.
  • only one attacker server 30 is shown in FIG. 1, but there may be two or more attacker servers 30 in some cases.
  • the domain information management server 40 is a server that manages domain information registered for use on the Internet 60.
  • the domain information management server 40 corresponds to a WHOIS server that is an information providing service that provides information on a domain on the Internet 60.
  • the domain information management server 40 stores a domain name that identifies a domain registered on the Internet 60 and information that is registered when the domain (domain name) is registered.
  • As information registered at the time of registering a domain for example, there is information about a registrant who registered the domain.
  • domain related information is used as an example of related information.
  • a domain information management server 40 is used as an example of a domain management device.
  • the in-house LAN 50 is a network in which computers and printers in the company are connected by a dedicated line, and data can be transmitted and received between them.
  • the Internet 60 is a huge network that connects networks all over the world using TCP / IP (Transmission Control Protocol / Internet Protocol).
  • the attack detection apparatus 20 stores in advance a domain that is a connection destination for connecting to an unauthorized server such as the attacker server 30 and domain related information of the domain. Then, the attack detection device 20 monitors the network between the in-house LAN 50 and the Internet 60, and stores the domain to which the communication detected on the monitored network is connected and the domain related information of the domain. If it matches the received information, the communication is detected as unauthorized communication. Furthermore, the attack detection apparatus 20 newly stores the detected unauthorized communication domain and domain-related information of the domain as unauthorized domain information.
  • FIG. 2 is a block diagram showing a functional configuration example of the attack detection apparatus 20 according to the present embodiment.
  • the attack detection device 20 specifies a domain that is a connection destination of communication detected on the network between the corporate LAN 50 (see FIG. 1) and the Internet 60 (see FIG. 1).
  • a specifying unit 21 a domain information acquiring unit 22 that acquires domain-related information of the specified domain from the domain information management server 40 (see FIG. 1), and a domain storage unit that stores information on an unauthorized domain that is regarded as an attacker 23.
  • the attack detection apparatus 20 newly registers the attack determination unit 24 that determines whether or not the communication to be processed is unauthorized communication, the domain of the communication determined to be unauthorized communication, and the domain related information of the domain.
  • An attacker registration unit 25 and a communication blocking unit 26 that blocks communication using a domain stored in the domain storage unit 23 as an unauthorized domain as a connection destination are provided.
  • the domain specifying unit 21 as an example of a domain acquisition unit (domain acquisition unit) targets a network between the in-house LAN 50 and the Internet 60, and is a domain that is a connection destination of communication detected on the network to be monitored Specify (domain name).
  • the domain specifying unit 21 is stored in, for example, a proxy server (not shown) installed so as to be accessed when the client terminal 10 accesses the Internet 60 via the in-house LAN 50 in response to a user operation. Refer to the log and specify the domain to be processed. For example, when DNS (Domain Name System) communication requesting an IP address for accessing the connection destination domain from the client terminal 10 is performed, the domain specifying unit 21 includes data included in the communication. The domain is specified according to the contents of.
  • DNS Domain Name System
  • the domain information acquisition unit 22 as an example of the related information acquisition unit (related information acquisition unit) acquires the domain related information stored in the domain information management server 40 for the domain specified by the domain specifying unit 21.
  • the domain information management server 40 stores and holds domain related information.
  • the domain storage unit 23 as an example of a storage unit (storage unit) stores a database (hereinafter referred to as an attacker DB) in which information on domains that are illegal connection destinations by attackers is registered.
  • Information on the attacker DB is recorded by the user registering in advance the domain name already known as the attacker and the domain related information of the domain.
  • the attacker registration unit 25 registers the domain name and domain related information of the domain, so that information of the attacker DB is recorded. ing.
  • the attack determination unit 24 as an example of a detection unit (detection unit) includes a domain specified by the domain specifying unit 21 and domain related information acquired by the domain information acquiring unit 22 and an attacker DB stored in the domain storage unit 23. To determine whether or not the communication to be processed is unauthorized communication. Here, if the same domain as the domain specified by the domain specifying unit 21 is registered in the attacker DB, the attack determination unit 24 determines that the communication to be processed is unauthorized communication.
  • the attack determining unit 24 is at least one of the domain related information acquired by the domain information acquiring unit 22 If the same information as the information is registered in the attacker DB, it is determined that the communication to be processed is unauthorized communication.
  • An attacker registration unit 25 as an example of a registration unit (registration unit), a domain information acquisition unit (domain information acquisition unit), and a domain information registration unit (domain information registration unit) is determined to be unauthorized communication by the attack determination unit 24.
  • the communication domain and domain related information of the domain are registered in the attacker DB of the domain storage unit 23.
  • the attack determining unit 24 determines an attack, the domain specified by the domain specifying unit 21 is not registered in the attacker DB, and the domain related information acquired by the domain information acquiring unit 22 is stored in the attacker DB.
  • a description will be given separately for the case where the domain has been registered and the case where the domain identified by the domain identifying unit 21 has been registered in the attacker DB.
  • the domain specified by the domain specifying unit 21 when the attack is determined is not registered in the attacker DB, and at least one piece of information related to the domain acquired by the domain information acquiring unit 22 is registered in the attacker DB.
  • the attacker registration unit 25 registers the domain identified by the domain identification unit 21 in the attacker DB as new attacker information.
  • the attacker registration unit 25 registers information that has not been registered in the attacker DB among the domain-related information acquired by the domain information acquisition unit 22 as new attacker information in the attacker DB.
  • the attacker registration unit 25 accesses the domain information management server 40 and searches for a domain in which the same information as at least one of the domain related information acquired by the domain information acquisition unit 22 is registered. To do. If there is a domain in which the same information as the domain related information acquired by the domain information acquisition unit 22 is registered, the attacker registration unit 25 also combines the domain and the domain related information of the domain. To register in the attacker DB.
  • the domain related information acquired by the domain information acquisition unit 22 is registered in the domain information management server 40 as domain related information of the domain specified by the domain specifying unit 21 this time, but is the same as this domain related information.
  • the attacker registration unit 25 registers the other domain and domain related information in the attacker DB as attacker information. If there is a plurality of domain related information of the domain specified by the domain specifying unit 21, if there is a domain in which the same information as at least one of the domain related information is registered as the domain related information, an attack is performed.
  • the attacker registration unit 25 registers information related to the domain in the attacker DB.
  • the domain related information about the domain is already registered in the attacker DB, and the attacker registration unit 25 Does not register new information in the attacker DB.
  • the attacker registration unit 25 may register the domain related information in the attacker DB.
  • the attacker registration unit 25 further accesses the domain information management server 40 to register a domain in which the same information as at least one of the domain related information acquired by the domain information acquisition unit 22 is attached. May exist, the domain and domain related information of the domain may be registered in the attacker DB together.
  • the communication blocking unit 26 performs communication performed on the network between the in-house LAN 50 (see FIG. 1) and the Internet 60 (see FIG. 1) based on the domain information stored in the domain storage unit 23. Control to shut off. That is, based on the attacker DB updated as needed by the attacker registration unit 25, the communication blocking unit 26 monitors the communication performed on the network, and the domain to which the communication is connected becomes the attacker DB. If registered, the process of blocking the communication is performed. In addition, the communication blocking unit 26 acquires, for example, domain related information of a domain that is a connection destination of a monitored communication from the domain information management server 40, and if the acquired domain related information is registered in the attacker DB, The communication may be cut off.
  • the blocked communication is controlled so as not to pass from the proxy server to the Internet 60, for example.
  • the communication blocking unit 26 may generate an alert notifying that the communication is determined to be unauthorized communication instead of blocking communication or in combination with blocking communication.
  • the alert is displayed, for example, on the display screen of the attack detection device 20 to notify the user.
  • FIG. 3 is a diagram illustrating an example of a hardware configuration of a computer suitable for applying the attack detection apparatus 20.
  • the attack detection apparatus 20 includes a CPU (Central Processing Unit) 20 a that is a calculation unit (calculation unit) and a memory 20 c that is a main storage unit (main storage unit).
  • the attack detection device 20 includes, as external devices, a magnetic disk device (HDD) 20g, a network interface 20f, a display mechanism 20d including a display device, an audio mechanism 20h, an input device 20i such as a keyboard and a mouse, and the like. Is provided.
  • the attack detection apparatus 20 includes a system controller 20b and an I / O controller 20e.
  • the memory 20c and the display mechanism 20d are connected to the CPU 20a via the system controller 20b.
  • the network interface 20f, the magnetic disk device 20g, the sound mechanism 20h, and the input device 20i are connected to the system controller 20b via the I / O controller 20e.
  • Each component is connected by various buses such as a system bus and an input / output bus.
  • the OS program and application programs are stored in the magnetic disk device 20g. These programs are read into the memory 20c and executed by the CPU 20a, whereby the domain specifying unit 21, the domain information acquisition unit 22, the attack determination unit 24, and the attacker registration in the attack detection apparatus 20 according to the present embodiment. Functions of the unit 25 and the communication blocking unit 26 are realized. Further, for example, the domain storage unit 23 is realized by a storage unit (storage unit) such as the magnetic disk device 20g.
  • FIG. 3 merely exemplifies a hardware configuration of a computer suitable for applying the present embodiment.
  • the present embodiment can be widely applied to an apparatus for detecting unauthorized communication, and the present embodiment is not realized only in the configuration illustrated in FIG. That is, the configuration for realizing the present embodiment is not limited to the configuration shown in FIG.
  • FIG. 4 is a flowchart illustrating an example of a processing procedure in which the attack detection apparatus 20 registers information in the attacker DB. The process shown in FIG. 4 is executed for each communication detected on the network to be monitored by the attack detection device 20.
  • the domain specifying unit 21 specifies a domain to which the communication is connected by acquiring a log from the proxy server, for example, for communication between the in-house LAN 50 and the Internet 60 (step 101).
  • the domain information acquisition unit 22 acquires domain related information stored in the domain information management server 40 for the identified domain (step 102).
  • the attack determination unit 24 determines whether the same domain as the domain specified in step 101 is registered in the attacker DB of the domain storage unit 23 (step 103).
  • the attack determination unit 24 determines that the communication to be processed is unauthorized communication due to an attack.
  • the attacker registration unit 25 registers the domain related information in the attacker DB. May be.
  • the attacker registration unit 25 accesses the domain information management server 40, and the domain registered with the same information as the domain related information acquired by the domain information acquisition unit 22 in step 102 and the domain related to the domain. Information may be further registered in the attacker DB. Then, this processing flow ends.
  • Step 103 when it is determined that the same domain as that specified in Step 101 is not registered in the attacker DB (No in Step 103), the attack determination unit 24 acquires the domain acquired in Step 102. It is determined whether the same information as the at least one piece of related information is registered in the attacker DB (step 104). If it is determined that the information is not registered in the attacker DB (No in step 104), the process flow ends.
  • the attacker registration unit 25 acquires the domain related information acquired by the domain information acquisition unit 22 in step 102. Among them, information not yet registered in the attacker DB is registered in the attacker DB (step 105). Here, the attacker registration unit 25 registers the domain specified by the domain specifying unit 21 in the attacker DB. Further, the attacker registration unit 25 accesses the domain information management server 40, and the domain in which the same information as at least one of the domain related information acquired in step 102 is registered and the domain of the domain The related information is further registered in the attacker DB (step 106). Then, this processing flow ends.
  • the attacker registration unit 25 displays the domain and domain related information registered with the same information as the domain related information acquired by the domain information acquisition unit 22 in step 102. Although registered in the attacker DB and the process is terminated, the present invention is not limited to such a configuration.
  • the attacker registration unit 25 further accesses the domain information management server 40, and registers new attacker information in the attacker DB based on the information registered in the attacker DB in step 106. It is also good.
  • the attacker registration unit 25 determines that the domain and the domain The domain related information may be further registered in the attacker DB. As described above, the attacker registration unit 25 searches whether the domain associated with the information newly registered in the attacker DB is stored in the domain information management server 40. For example, all the information obtained by the search is attacked. It is good also as a structure which repeatedly performs the process which searches the information of the domain information management server 40, and is registered into attacker DB until it has already registered into the attacker DB.
  • FIG. 5 is a diagram illustrating an example of information registered in the domain information management server 40.
  • the organization name of the registrant who registered the domain is “A1 Co., Ltd.”
  • the name of the technical person in charge is “A2”
  • the mail address is “A3@mail1.co.jp”
  • the telephone number is “03-xxxx-xxx1”
  • the FAX number Is registered as “03-xxxx-xxx2”.
  • the domain information management server 40 the domain name of the domain registered for use on the Internet 60 and the domain related information of the domain are registered for each domain.
  • the domain related information is not limited to the type of information shown in FIG.
  • FIG. 6A is a diagram illustrating an example of a list of domain names registered in the attacker DB.
  • FIG. 6B is a diagram showing an example of a list of domain related information registered in the attacker DB.
  • the email address of the technician is shown as the domain related information registered in the attacker DB, but other domain related information is registered in the attacker DB. Also good.
  • the organization name, the name of the technical person in charge, the telephone number, and the FAX number are registered as domain related information in addition to the email address of the technical person in charge. Yes. Therefore, these domain-related information may be registered in the attacker DB as information for detecting communication by the attacker.
  • the domain and the mail address are registered together as a list as information registered in the attacker DB.
  • the information is limited to such a configuration. is not.
  • a domain name and domain related information of the domain may be registered for each domain.
  • FIGS. 7A, 7B, 7C, and 7D are diagrams for explaining a specific example of processing by the attack detection device 20.
  • FIGS. 7A, 7B, 7C, and 7D show the case where the domain related information acquired by the domain information acquisition unit 22 is registered in the attacker DB when the communication to be processed is determined to be an attack. It is an example.
  • the steps shown below correspond to the steps in FIG.
  • the domain specifying unit 21 specifies the domain “AAA.CO.JP” as the domain that is the connection destination of the communication to be processed (step 101).
  • the domain information acquisition unit 22 acquires domain-related information from the domain information management server 40 for the domain “AAA.CO.JP” (step 102).
  • FIG. 7A shows an example of information registered in the domain information management server 40 for “AAA.CO.JP”.
  • the attack determination unit 24 determines whether or not “AAA.CO.JP” is registered in the attacker DB (step 103).
  • 7B and 7C are diagrams illustrating an example of information registered in the attacker DB.
  • FIG. 7B shows the domain names registered in the attacker DB.
  • FIG. 7C shows the email address of a technical person who is one of the domain related information registered in the attacker DB.
  • the attack determination unit 24 determines that the domain is not registered in the attacker DB (No in step 103), and then at least one of the domain related information of “AAA.CO.JP” is stored in the attacker DB. Is registered (step 104).
  • the email address of the technical staff who is the domain related information of “AAA.CO.JP” is “A3@mail1.co.jp” surrounded by a thick frame.
  • the mail address “A3@mail1.co.jp” is also registered in the attacker DB as surrounded by a thick frame in FIG. 7C. Therefore, the attack determination unit 24 determines that the domain related information is registered in the attacker DB (Yes in Step 104), and determines that the communication to be processed is unauthorized communication due to the attack.
  • the attacker registration unit 25 registers domain related information in the attacker DB for the domain “AAA.CO.JP” determined to be unauthorized communication (step 105). That is, the attacker registration unit 25 registers the domain related information shown in FIG. 7A in the attacker DB. 7B, since the domain of “AAA.CO.JP” is not registered in the attacker DB, the attacker registration unit 25 also registers “AAA.CO.JP” in the attacker DB. sign up.
  • the attacker registration unit 25 accesses the domain information management server 40, and registers a domain in which the same information as the domain related information of “AAA.CO.JP” registered in the attacker DB is attached. Search for.
  • the FAX number of the technical staff is “03-xxxx-xxx2” so as to be surrounded by a thick frame. 7A, the FAX number of the technical person in charge of the domain “AAA.CO.JP” is also “03-xxxx-xxx2”, and the FAX number is the domain “CCC.CO.JP”. It is the same as the FAX number of “JP”.
  • the attacker registration unit 25 registers the domain “CCC.CO.JP” registered in the domain information management server 40 with the same information as the domain related information of “AAA.CO.JP”. It is determined that it is a domain. Then, the attacker registration unit 25 registers the information of “CCC.CO.JP” shown in FIG. 7D, that is, the domain “CCC.CO.JP” and the domain related information in the attacker DB (step 106).
  • the domain associated with the FAX number of the technical person in charge of the domain “AAA.CO.JP” is registered, but “AAA.CO.JP” is registered. If the domain associated with the other domain related information exists in the domain information management server 40, the domain information is also registered in the attacker DB.
  • the attacker registration unit 25 further uses the domain related information of “CCC.CO.JP” registered in the attacker DB in step 106.
  • information on the domain information management server 40 may be searched.
  • the attacker registration unit 25 may register the domain in which the same information as the domain related information of “CCC.CO.JP” is registered and the domain related information of the domain in the attacker DB.
  • the attacker registration unit 25 searches the information of the domain information management server 40 based on the domain related information newly registered in the attacker DB as subsequent processing, and for example, all the information obtained by the search Until it is registered in the attacker DB, the process of registering in the attacker DB may be repeatedly executed.
  • the attack detection apparatus 20 identifies a domain that is a connection destination of communication detected on the network to be monitored, and manages domain related information of the identified domain as domain information management Obtain from the server 40. Moreover, if the specified domain or the acquired domain related information is registered in the attacker DB, the attack detection apparatus 20 detects communication to be processed as unauthorized communication. Therefore, by using the attack detection device 20, unauthorized communication is detected based on domain related information in addition to the domain. For example, the configuration is such that the domain is inspected to detect unauthorized communication based on malware or the like. In comparison, unauthorized communication can be easily detected.
  • the attack detection device 20 detects the communication to be processed as unauthorized communication
  • the attack detection device 20 newly registers the detected unauthorized communication domain and domain related information in the attacker DB, and updates the information in the attacker DB.
  • the attack detection apparatus 20 also registers in the attacker DB the domain in which the same information as the detected domain related information of unauthorized communication is attached and the domain related information of the domain. For this reason, domain information that is illegal is added to the attacker DB, and it becomes easy to detect the communication to be processed as illegal communication.
  • the attack detection device 20 adds a domain that has not yet been registered and domain related information to the attacker DB when the processing target communication is detected as unauthorized communication. It is not restricted to such a structure.
  • the attack detection device 20 searches the information of the domain information management server 40 based on the information of the illegal domain already registered in the attacker DB, and adds information of other domains to the attacker DB. It is good also as a structure.
  • FIG. 8 is a flowchart showing an example of a processing procedure for adding information on another domain to the attacker DB based on information on an illegal domain.
  • the domain specifying unit 21 specifies an unauthorized domain already registered in the attacker DB (step 201).
  • the domain information acquisition unit 22 acquires the domain related information stored in the domain information management server 40 for the domain specified by the domain specifying unit 21 (step 202).
  • the domain information acquisition unit 22 may not acquire the domain related information from the domain information management server 40. .
  • the attacker registration unit 25 accesses the domain information management server 40 to further attack the domain registered with the same information as at least one of the domain related information and the domain related information of the domain. (Step 203). In addition, as a subsequent process, the attacker registration unit 25 accesses the domain information management server 40 and searches for a domain registered with the domain-related information newly registered in the attacker DB. A configuration may be adopted in which the process of registering domain-related information in the attacker DB is repeatedly executed. Then, this processing flow ends.
  • the attack detection device 20 updates the attacker DB based on the notification. It is good also as a structure.
  • the attacker registration unit 25 receives a notification that a new domain has been registered in the domain information management server 40 accompanied by the same information as the domain related information registered in the attacker DB. Further, for example, the attacker registration unit 25 adds the same information as the domain related information registered in the attacker DB from the notification that the information of the domain information management server 40 has been updated, and creates a new domain. Extract registered contents notifications.
  • the attacker registration unit 25 recognizes that a new domain has been registered in the domain information management server 40 with the same information as the domain related information registered in the attacker DB. Then, the domain information management server 40 is accessed. Then, the attacker registration unit 25 acquires a domain newly registered in the domain information management server 40 and domain related information of the domain, and registers them in the attacker DB. In this case, the attacker registration unit 25 is used as an example of a reception unit (reception unit) and an additional domain registration unit (additional domain registration unit).
  • the domain information that is registered with the same information as the domain related information of the attacker DB is stored in the domain of the illegal connection destination.
  • the information is registered in the attacker DB as information, but is not limited to such a configuration.
  • the domain information registered with the same information as the domain information related to the attacker DB is not the domain information that is the illegal connection destination, but the domain that is equivalent to the illegal connection destination.
  • the information may be newly registered separately from the information already registered in the attacker DB. That is, information on a domain that is illegal is registered in the attacker DB in advance, but a domain that is newly added to the attacker DB based on this domain information is, for example, an illegal connection. It is good also as a structure handled as information presumed ahead.
  • the domain in which the same information as the domain related information of this domain is registered is registered in the domain information management server If it exists in 40, it will be registered as what is presumed that it is an unauthorized connection place, distinguishing from the domain previously registered into attacker DB.
  • the original domain information and the domain information to be added are registered separately. Also good.
  • the user is a domain registered in the attacker DB as a domain that has been determined as an unauthorized connection destination, or a domain that is estimated to be an unauthorized connection destination, etc. It is possible to determine whether the information is registered according to circumstances. Also, for example, if communication on the network is detected as unauthorized communication, whether the domain that has been determined as an unauthorized connection destination is the connection destination, or the domain that is assumed to be unauthorized is the connection destination Therefore, it may be configured to notify the user by changing the displayed content.
  • the domain storage unit 23 stores information on a domain that is regarded as an unauthorized connection destination as the attacker DB.
  • the domain storage unit 23 is not an unauthorized connection destination but a normal connection destination. It is good also as a structure which memorize
  • the attack determination unit 24 uses the domain specified by the domain specifying unit 21 and the domain related information acquired by the domain information acquiring unit 22 and the domain storage. The information stored in the unit 23 is compared to determine whether or not the communication to be processed is normal communication.
  • the attacker registration unit 25 registers the domain of the communication and the domain related information of the domain in the domain storage unit 23 for the communication determined to be normal communication by the attack determination unit 24. With such a configuration, the domain registered in the domain storage unit 23 is a normal domain. If the domain of the communication to be processed and the domain related information are registered in the domain storage unit 23, the communication is normal. Detected as communication.
  • whether a domain is an illegal connection destination or a normal connection destination is determined by whether or not a predetermined standard is satisfied. For example, when a predetermined criterion for determining that a domain is a normal connection destination is satisfied, the domain is stored in the domain storage unit 23 as a normal connection destination. In this embodiment, as an example of a domain that satisfies a predetermined criterion, a domain that is an unauthorized connection destination or a domain that is a normal connection destination is used.
  • the program that realizes the embodiment of the present invention can be provided in a state of being stored in a computer-readable recording medium such as a magnetic recording medium, an optical recording medium, a magneto-optical recording medium, or a semiconductor memory.
  • the program can also be provided using a communication means (communication unit) such as the Internet.
  • the magnetic recording medium is, for example, a magnetic tape or a magnetic disk.
  • the optical recording medium is, for example, an optical disk.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

　情報処理装置は、監視対象とするネットワーク上で検知された通信の接続先であるドメインを取得するドメイン取得部と、インターネットで使用するために登録されたドメインの情報を保持するドメイン管理装置から、前記ドメイン取得部が取得したドメインに付随して登録された情報である関連情報を取得する関連情報取得部と、予め定められた基準を満たす接続先とされるドメイン及び当該ドメインの関連情報を記憶する記憶部と、前記関連情報取得部が取得した前記関連情報のうち少なくとも１つの情報と同じ情報が前記記憶部に記憶されていれば、前記ドメイン取得部が取得したドメインと同じドメインが前記記憶部に記憶されていない場合であっても、前記通信を前記予め定められた基準を満たすものとして検出する検出部とを備える。

Description

情報処理装置、情報処理方法及びプログラム
　本発明は、情報処理装置、情報処理方法及びプログラムに関する。
　本願は、２０１５年１月２７日に日本に出願された特願２０１５－１３７４７号に基づき優先権を主張し、その内容をここに援用する。
　近年、コンピュータウイルスに代表されるマルウェアは、侵入方法、攻撃手法の何れにおいても高度化かつ巧妙化しており、当該マルウェアの被害を未然に防ぐことや当該マルウェアの被害を局所化することが困難になりつつある。従来のマルウェアの場合は、当該マルウェアの攻撃と被害との関係を容易に推測することができ、対処の難易度の違いはあれど、比較的早期に当該マルウェアを発見することができた。しかし、現在のマルウェアの場合は、当該マルウェアの侵入に気が付き難く、当該マルウェアが発見されるまでに甚大な被害が生じてしまっている。従来、このような高度化かつ巧妙化したマルウェアを検出するために、例えば、当該マルウェアが通信する先のドメインを検査する手法が用いられる場合がある。
　また、ドメインをもとに不正を検知する技術として、特許文献１は、電子メールの作成者ドメイン毎に転送経路をドメイン経路として学習し、判定対象メールの転送経路が判定対象の作成者ドメインのドメイン経路と一致しない場合に、判定対象メールが詐称メールである可能性があると判定する検出装置を開示している。
特開２０１４－６４２３５号公報
　上記の手法のように、通信先のドメインを検査してマルウェアを検出する場合には、予め不正となるドメインを把握しておくことが求められる。しかしながら、攻撃者は、マルウェアによる攻撃を行うために新たにドメインを登録すれば良く、新たに登録されたドメインをもとにマルウェアを検出することは困難であった。また、特許文献１の技術は、このようなマルウェアによる攻撃を検出するものではない。
　本発明の実施形態の目的は、監視対象とするネットワーク上で検知された通信を予め定められた基準を満たすものとして検出することを容易にすることにある。
　かかる目的のもと、本発明の実施形態に係る情報処理装置は、監視対象とするネットワーク上で検知された通信の接続先であるドメインを取得するドメイン取得部と、インターネットで使用するために登録されたドメインの情報を保持するドメイン管理装置から、ドメイン取得部が取得したドメインに付随して登録された情報である関連情報を取得する関連情報取得部と、予め定められた基準を満たす接続先とされるドメイン及びドメインの関連情報を記憶する記憶部と、関連情報取得部が取得した関連情報のうち少なくとも１つの情報と同じ情報が記憶部に記憶されていれば、ドメイン取得部が取得したドメインと同じドメインが記憶部に記憶されていない場合であっても、通信を予め定められた基準を満たすものとして検出する検出部とを備える。
　上記の情報処理装置において、通信が予め定められた基準を満たすものとされた場合に、関連情報取得部が取得した関連情報のうち記憶部に記憶されていない情報を、予め定められた基準を満たすドメインの情報として記憶部に登録する登録部をさらに備えるもの、であってもよい。
　上記の情報処理装置において、通信が予め定められた基準を満たすものとされた場合に、ドメイン管理装置から、関連情報取得部が取得した関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されているドメインの情報を取得するドメイン情報取得部と、ドメイン情報取得部が取得したドメインの情報を、予め定められた基準を満たすドメインの情報として記憶部に登録するドメイン情報登録部とをさらに備えるもの、であってもよい。
　上記の情報処理装置において、ドメイン管理装置が保持する情報が更新された旨の通知を受け付ける受付部と、受付部が受け付けた通知により、記憶部に記憶された関連情報のうち少なくとも１つの情報と同じ情報が付随して新たなドメインがドメイン管理装置に追加されたことを把握すると、追加されたドメインの情報を記憶部に登録する追加ドメイン登録部とをさらに備えるもの、であってもよい。
　本発明の実施形態に係る情報処理装置は、インターネットで使用するために登録されたドメインであり予め定められた基準を満たすドメイン及びドメインに付随して登録された情報である関連情報を記憶する記憶部と、インターネットで使用するために登録されたドメインの情報を保持するドメイン管理装置から、記憶部に記憶された関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されているドメインの情報を取得するドメイン情報取得部と、ドメイン情報取得部が取得したドメインの情報を、予め定められた基準を満たすものとして、記憶部に登録する登録部とを備える。
　上記の情報処理装置において、ドメイン情報取得部は、さらに、ドメイン管理装置から、登録部が記憶部に登録したドメインの情報に含まれる関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されている他のドメインの情報を取得し、登録部は、さらに、ドメイン情報取得部が取得した他のドメインの情報を、予め定められた基準を満たすものとして、記憶部に登録する、ものであってもよい。
　上記の情報処理装置において、登録部は、ドメイン情報取得部が取得したドメインの情報を、すでに記憶部に記憶されている情報とは区別して登録する、ものであってもよい。
　本発明の実施形態に係る情報処理方法は、監視対象とするネットワーク上で検知された通信の接続先であるドメインを取得するステップと、インターネットで使用するために登録されたドメインの情報を保持するドメイン管理装置から、取得したドメインに付随して登録された情報である関連情報を取得するステップと、取得した関連情報のうち少なくとも１つの情報と同じ情報が、予め定められた基準を満たす接続先とされるドメイン及びドメインの関連情報を記憶する記憶部に記憶されていれば、取得したドメインと同じドメインが記憶部に記憶されていない場合であっても、通信を予め定められた基準を満たすものとして検出するステップとを含む。
　本発明の実施形態に係る情報処理方法は、インターネットで使用するために登録されたドメインであり予め定められた基準を満たすドメイン及びドメインに付随して登録された情報である関連情報を記憶する記憶部に関して、記憶部に記憶された関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されているドメインの情報を、インターネットで使用するために登録されたドメインの情報を保持するドメイン管理装置から取得するステップと、取得したドメインの情報を、予め定められた基準を満たすものとして、記憶部に登録するステップとを含む。
　本発明の実施形態に係るプログラムは、コンピュータに、監視対象とするネットワーク上で検知された通信の接続先であるドメインを取得する機能と、インターネットで使用するために登録されたドメインの情報を保持するドメイン管理装置から、取得したドメインに付随して登録された情報である関連情報を取得する機能と、取得した関連情報のうち少なくとも１つの情報と同じ情報が、予め定められた基準を満たす接続先とされるドメイン及びドメインの関連情報を記憶する記憶部に記憶されていれば、取得したドメインと同じドメインが記憶部に記憶されていない場合であっても、通信を予め定められた基準を満たすものとして検出する機能とを実現させるための、プログラムである。
　本発明の実施形態に係るプログラムは、コンピュータに、インターネットで使用するために登録されたドメインであり予め定められた基準を満たすドメイン及びドメインに付随して登録された情報である関連情報を記憶する記憶部に関して、記憶部に記憶された関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されているドメインの情報を、インターネットで使用するために登録されたドメインの情報を保持するドメイン管理装置から取得する機能と、取得したドメインの情報を、予め定められた基準を満たすものとして、記憶部に登録する機能とを実現させるための、プログラムである。
　本発明の実施形態によれば、監視対象とするネットワーク上で検知された通信を予め定められた基準を満たすものとして容易に検出することができる。
本実施の形態が適用されるコンピュータシステムの全体構成例を示した図である。 本実施の形態に係る攻撃検出装置の機能構成例を示したブロック図である。 攻撃検出装置を適用するのに好適なコンピュータのハードウェア構成の一例を示した図である。 攻撃者ＤＢに情報を登録する処理手順の一例を示したフローチャートである。 ドメイン情報管理サーバに登録されている情報の一例を示す図である。 攻撃者ＤＢに登録されたドメイン名の一覧の一例を示す図である。 攻撃者ＤＢに登録されたドメイン関連情報の一覧の一例を示す図である。 攻撃検出装置による処理の具体例を説明するための図である。 攻撃検出装置による処理の具体例を説明するための図である。 攻撃検出装置による処理の具体例を説明するための図である。 攻撃検出装置による処理の具体例を説明するための図である。 不正なドメインの情報をもとに他のドメインの情報を攻撃者ＤＢに追加する処理手順の一例を示したフローチャートである。
　以下、添付図面を参照して、本発明の実施の形態について詳細に説明する。
＜システム構成＞
　まず、本実施の形態が適用されるコンピュータシステムについて説明する。図１は、本実施の形態が適用されるコンピュータシステム１１の全体構成例を示した図である。図１に図示するように、このコンピュータシステム１１では、クライアント端末１０ａ、１０ｂ、１０ｃが社内ＬＡＮ（Local Area Network）５０に接続されている。また、攻撃検出装置２０が社内ＬＡＮ５０及びインターネット６０の両方に接続されている。さらに、攻撃者サーバ３０とドメイン情報管理サーバ４０とがインターネット６０に接続されている。
　クライアント端末１０ａ、１０ｂ、１０ｃは、ユーザが使用するコンピュータであり、例えば、パーソナルコンピュータやワークステーション、その他のコンピュータ装置にて実現される。また、本実施の形態において、クライアント端末１０ａ、１０ｂ、１０ｃは、マルウェアに感染することがあるものとする。ここで、マルウェアとは、不正かつ有害な動作を行う意図で作成された悪意のあるソフトウェアや悪質なコードの総称である。例えば、マルウェアの一つであるボットは、コンピュータに感染した後、Ｃ＆Ｃ（コマンド＆コントロール）サーバと呼ばれる制御用サーバに接続して攻撃者からの指令を待ち、感染したコンピュータ上で指令どおりの処理を実行する。
　なお、図１では、クライアント端末１０ａ、１０ｂ、１０ｃを示したが、これらを区別する必要がない場合にはクライアント端末１０と称することもある。また、図１には３台のクライアント端末１０しか示していないが、クライアント端末１０の台数は図示の３台には限定されない。
　攻撃検出装置２０は、社内ＬＡＮ５０とインターネット６０との間のネットワークを監視対象とし、監視対象とするネットワーク上で検知された通信の接続先（送信先）であるドメインの情報をもとに、攻撃である可能性の高い不正通信を検出する装置である。ここで、攻撃検出装置２０は、ネットワーク上で検知された通信として、例えば、クライアント端末１０から社内ＬＡＮ５０を介してインターネット６０へアクセスする際に経由するように設置されたプロキシサーバ（不図示）に蓄えられている通信のログを対象に、不正通信の検出を行う。また、攻撃検出装置２０は、例えば、現在ネットワーク上に流れているトラフィックを対象に不正通信の検出を行う場合もあるとする。攻撃検出装置２０は、例えば、ゲートウェイ等の通信装置の中に設けられても良いし、または、通信装置とは独立に設けられても良い。
　また、図１では、攻撃検出装置２０を社内ＬＡＮ５０とインターネット６０との間の通信回線上にインラインで設置するのではなく、例えば、プロキシサーバなどから通信のログを攻撃検出装置２０が取得するような構成にしている。他の例として、攻撃検出装置２０をインラインで設置した構成にしても良い。
　本実施の形態では、情報処理装置の一例として、攻撃検出装置２０が用いられる。本実施の形態では、情報処理方法の一例として、攻撃検出装置２０により行われる処理の方法が用いられる。
　攻撃者サーバ３０は、マルウェアに感染したクライアント端末１０が通信の接続先とするサーバであり、攻撃者が運営しているものである。攻撃者サーバ３０は、例えばクライアント端末１０がボットに感染した場合には、クライアント端末１０が攻撃者からの指令を待つために接続する接続先の制御用サーバに該当する。また、図１には１台の攻撃者サーバ３０しか示していないが、２台以上の攻撃者サーバ３０が存在する場合もあるとする。
　ドメイン情報管理サーバ４０は、インターネット６０において使用するために登録されたドメインの情報を管理するサーバであり、例えば、ドメインに関する情報をインターネット６０上で提供する情報提供サービスであるＷＨＯＩＳのサーバに該当する。ドメイン情報管理サーバ４０には、インターネット６０上で登録されたドメインを特定するドメイン名や、そのドメイン（ドメイン名）を登録する際に付随して登録された情報が記憶されている。ドメインを登録する際に付随して登録された情報としては、例えば、ドメインを登録した登録者に関する情報などが存在する。以下では、ドメインを登録する際に付随して登録された情報を、ドメイン関連情報と称する。本実施の形態では、関連情報の一例として、ドメイン関連情報が用いられる。さらに、本実施の形態では、ドメイン管理装置の一例として、ドメイン情報管理サーバ４０が用いられる。
　社内ＬＡＮ５０は、会社内のコンピュータやプリンタを専用回線等で接続し、これらの間でデータを送受信できるようにしたネットワークである。
　インターネット６０は、ＴＣＰ／ＩＰ（Transmission Control Protocol／Internet Protocol）を用いて全世界のネットワークを相互に接続した巨大なネットワークである。
　本実施の形態において、クライアント端末１０は、マルウェアに感染した場合、攻撃者サーバ３０などの不正なサーバに接続して処理を行う。そこで、攻撃検出装置２０は、攻撃者サーバ３０等の不正なサーバに接続するための接続先であるドメイン及びそのドメインのドメイン関連情報を予め記憶しておく。そして、攻撃検出装置２０は、社内ＬＡＮ５０とインターネット６０との間のネットワークを監視対象とし、監視対象であるネットワーク上で検知された通信が接続先とするドメインやそのドメインのドメイン関連情報が記憶していた情報に一致すれば、当該通信を不正な通信として検出する。さらに、攻撃検出装置２０は、検出した不正通信のドメイン及びそのドメインのドメイン関連情報を、不正なドメインの情報として新たに記憶する。
＜攻撃検出装置の機能構成＞
　次に、攻撃検出装置２０の機能構成について説明する。図２は、本実施の形態に係る攻撃検出装置２０の機能構成例を示したブロック図である。
　図２に図示するように、攻撃検出装置２０は、社内ＬＡＮ５０（図１参照）とインターネット６０（図１参照）との間のネットワーク上で検知された通信の接続先であるドメインを特定するドメイン特定部２１と、特定されたドメインのドメイン関連情報をドメイン情報管理サーバ４０（図１参照）から取得するドメイン情報取得部２２と、攻撃者とされる不正なドメインの情報を記憶するドメイン記憶部２３とを備えている。また、攻撃検出装置２０は、処理対象の通信が不正通信であるか否かを判定する攻撃判定部２４と、不正通信と判定された通信のドメイン及びそのドメインのドメイン関連情報を新たに登録する攻撃者登録部２５と、不正なドメインとしてドメイン記憶部２３に記憶されているドメインを接続先とする通信を遮断する通信遮断部２６とを備えている。
　ドメイン取得手段（ドメイン取得部）の一例としてのドメイン特定部２１は、社内ＬＡＮ５０とインターネット６０との間のネットワークを監視対象とし、監視対象とするネットワーク上で検知された通信の接続先であるドメイン（ドメイン名）を特定する。ここで、ドメイン特定部２１は、例えば、ユーザの操作を契機として、クライアント端末１０から社内ＬＡＮ５０を介してインターネット６０へアクセスする際に経由するように設置されたプロキシサーバ（不図示）に蓄えられたログを参照し、処理対象とするドメインを特定する。また、例えば、クライアント端末１０から接続先であるドメインにアクセスするためのＩＰアドレスを要求するＤＮＳ（Domain Name System）通信が行われた場合には、ドメイン特定部２１は、その通信に含まれるデータの内容によりドメインの特定を行う。
　関連情報取得手段（関連情報取得部）の一例としてのドメイン情報取得部２２は、ドメイン特定部２１にて特定されたドメインについて、ドメイン情報管理サーバ４０に記憶されているドメイン関連情報を取得する。ドメイン情報管理サーバ４０は、ドメイン関連情報を記憶して保持する。
　記憶手段（記憶部）の一例としてのドメイン記憶部２３は、攻撃者による不正な接続先とされるドメインの情報が登録されたデータベース（以下、攻撃者ＤＢと称する）を記憶する。攻撃者ＤＢの情報は、すでに攻撃者と知られているドメイン名やそのドメインのドメイン関連情報をユーザが予め登録することにより記録されている。また、攻撃判定部２４により新たに攻撃と判定された不正通信のドメインについて、ドメイン名やそのドメインのドメイン関連情報を攻撃者登録部２５が登録することにより、その攻撃者ＤＢの情報が記録されている。
　検出手段（検出部）の一例としての攻撃判定部２４は、ドメイン特定部２１が特定したドメイン及びドメイン情報取得部２２が取得したドメイン関連情報と、ドメイン記憶部２３に記憶されている攻撃者ＤＢの情報とを比較して、処理対象の通信が不正通信であるか否かを判定する。ここで、攻撃判定部２４は、ドメイン特定部２１が特定したドメインと同じドメインが攻撃者ＤＢに登録されていれば、処理対象の通信が不正通信であると判定する。また、攻撃判定部２４は、ドメイン特定部２１が特定したドメインと同じドメインが攻撃者ＤＢに登録されていない場合であっても、ドメイン情報取得部２２が取得したドメイン関連情報のうち少なくとも１つの情報と同じ情報が攻撃者ＤＢに登録されていれば、処理対象の通信が不正通信であると判定する。
　登録手段（登録部）、ドメイン情報取得手段（ドメイン情報取得部）、ドメイン情報登録手段（ドメイン情報登録部）の一例としての攻撃者登録部２５は、攻撃判定部２４により不正通信と判定された通信について、その通信のドメイン及びそのドメインのドメイン関連情報を、ドメイン記憶部２３の攻撃者ＤＢに登録する。ここで、攻撃判定部２４により攻撃と判定されるにあたり、ドメイン特定部２１が特定したドメインが攻撃者ＤＢに登録されておらず、ドメイン情報取得部２２が取得したドメイン関連情報が攻撃者ＤＢに登録されていた場合と、ドメイン特定部２１が特定したドメインが攻撃者ＤＢに登録されていた場合とに分けて説明する。
　攻撃と判定されるにあたりドメイン特定部２１が特定したドメインが攻撃者ＤＢに登録されておらず、ドメイン情報取得部２２が取得したドメイン関連情報のうち少なくとも１つの情報が攻撃者ＤＢに登録されていた場合、攻撃者登録部２５は、ドメイン特定部２１が特定したドメインを新たな攻撃者の情報として攻撃者ＤＢに登録する。また、攻撃者登録部２５は、ドメイン情報取得部２２が取得したドメイン関連情報のうちまだ攻撃者ＤＢに登録されていない情報を、新たな攻撃者の情報として攻撃者ＤＢに登録する。さらに、攻撃者登録部２５は、ドメイン情報管理サーバ４０にアクセスして、ドメイン情報取得部２２が取得したドメイン関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されているドメインを検索する。そして、ドメイン情報取得部２２が取得したドメイン関連情報と同じ情報が付随して登録されているドメインが存在していれば、攻撃者登録部２５は、そのドメイン及びそのドメインのドメイン関連情報も合わせて攻撃者ＤＢに登録する。
　即ち、ドメイン情報取得部２２が取得したドメイン関連情報は、今回ドメイン特定部２１が特定したドメインのドメイン関連情報としてドメイン情報管理サーバ４０に登録されているものであるが、このドメイン関連情報と同じ情報をドメイン関連情報として登録している別のドメインが存在する場合がある。その場合、攻撃者登録部２５は、その別のドメイン及びドメイン関連情報についても、攻撃者の情報として攻撃者ＤＢに登録する。また、ドメイン特定部２１が特定したドメインのドメイン関連情報が複数ある場合には、そのドメイン関連情報のうち少なくとも１つの情報と同じ情報をドメイン関連情報として登録しているドメインが存在すれば、攻撃者登録部２５は、そのドメインに関する情報を攻撃者ＤＢに登録する。
　一方、攻撃と判定されるにあたりドメイン特定部２１が特定したドメインが攻撃者ＤＢに登録されていた場合、そのドメインについてのドメイン関連情報も攻撃者ＤＢにすでに登録されており、攻撃者登録部２５は、攻撃者ＤＢに新たに情報を登録しない。ただし、例えば、ユーザがドメインのみを予め攻撃者ＤＢに登録した場合などには、ドメイン関連情報は登録されていない。そのため、ドメイン特定部２１が特定したドメインが攻撃者ＤＢに登録されていた場合であっても、そのドメインについてドメイン情報取得部２２が取得したドメイン関連情報が攻撃者ＤＢに登録されていなければ、攻撃者登録部２５は、ドメイン関連情報を攻撃者ＤＢに登録しても良い。この場合、攻撃者登録部２５は、さらにドメイン情報管理サーバ４０にアクセスして、ドメイン情報取得部２２が取得したドメイン関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されているドメインが存在していれば、そのドメイン及びそのドメインのドメイン関連情報も合わせて攻撃者ＤＢに登録しても良い。
　通信遮断部２６は、ドメイン記憶部２３に記憶されているドメインの情報をもとに、社内ＬＡＮ５０（図１参照）とインターネット６０（図１参照）との間のネットワーク上で行われている通信を遮断するように制御する。即ち、攻撃者登録部２５により随時更新される攻撃者ＤＢをもとに、通信遮断部２６は、ネットワーク上で行われている通信を監視し、通信の接続先であるドメインが攻撃者ＤＢに登録されていれば、その通信を遮断する処理を行う。また、通信遮断部２６は、例えば、監視中の通信の接続先となるドメインのドメイン関連情報をドメイン情報管理サーバ４０から取得し、取得したドメイン関連情報が攻撃者ＤＢに登録されていれば、その通信を遮断する、構成にしても良い。
　遮断された通信は、例えば、プロキシサーバからインターネット６０に向けて通過しないように制御される。また、通信遮断部２６は、通信を遮断するのに代えて、または通信を遮断するのと合わせて、不正通信と判定されたことを通知するアラートを発生させても良い。アラートは、例えば攻撃検出装置２０の表示画面に表示されてユーザに報知される。
＜攻撃検出装置のハードウェア構成例＞
　次に、本実施の形態に係る攻撃検出装置２０のハードウェア構成について説明する。図３は、攻撃検出装置２０を適用するのに好適なコンピュータのハードウェア構成の一例を示した図である。図３に図示するように、攻撃検出装置２０は、演算手段（演算部）であるＣＰＵ（Central Processing Unit）２０ａと、主記憶手段（主記憶部）であるメモリ２０ｃを備える。また、攻撃検出装置２０は、外部デバイスとして、磁気ディスク装置（ＨＤＤ：Hard Disk Drive）２０ｇ、ネットワーク・インターフェイス２０ｆ、ディスプレイ装置を含む表示機構２０ｄ、音声機構２０ｈ、キーボードやマウス等の入力デバイス２０ｉ等を備える。また、攻撃検出装置２０は、システム・コントローラ２０ｂと、Ｉ／Ｏコントローラ２０ｅを備える。
　図３に示す構成例では、メモリ２０ｃおよび表示機構２０ｄは、システム・コントローラ２０ｂを介してＣＰＵ２０ａに接続されている。また、ネットワーク・インターフェイス２０ｆ、磁気ディスク装置２０ｇ、音声機構２０ｈおよび入力デバイス２０ｉは、Ｉ／Ｏコントローラ２０ｅを介してシステム・コントローラ２０ｂと接続されている。各構成要素は、システム・バスや入出力バス等の各種のバスによって接続される。
　また、図３において、磁気ディスク装置２０ｇにはＯＳのプログラムやアプリケーション・プログラムが格納されている。そして、これらのプログラムがメモリ２０ｃに読み込まれてＣＰＵ２０ａに実行されることにより、本実施の形態に係る攻撃検出装置２０におけるドメイン特定部２１、ドメイン情報取得部２２、攻撃判定部２４、攻撃者登録部２５、通信遮断部２６の機能が実現される。また、例えば、磁気ディスク装置２０ｇ等の記憶する手段（記憶部）により、ドメイン記憶部２３が実現される。
　なお、図３は、本実施の形態が適用されるのに好適なコンピュータのハードウェア構成を例示するに過ぎない。本実施の形態は、不正通信を検出する装置に広く適用できるものであり、図３に図示した構成においてのみ本実施の形態が実現されるのではない。すなわち、本実施の形態を実現するための構成は、図３に示す構成に限定されない。
＜攻撃検出装置の処理手順＞
　次に、攻撃検出装置２０が攻撃者ＤＢに情報を登録する処理の手順について説明する。図４は、攻撃検出装置２０が攻撃者ＤＢに情報を登録する処理手順の一例を示したフローチャートである。図４に示す処理は、攻撃検出装置２０が監視対象とするネットワーク上で検知された通信ごとに実行される。
　まず、ドメイン特定部２１は、社内ＬＡＮ５０とインターネット６０との間の通信について、例えばプロキシサーバからログを取得することにより、その通信の接続先であるドメインを特定する（ステップ１０１）。次に、ドメイン情報取得部２２は、特定されたドメインについて、ドメイン情報管理サーバ４０に記憶されているドメイン関連情報を取得する（ステップ１０２）。
　次に、攻撃判定部２４は、ステップ１０１で特定されたドメインと同じドメインがドメイン記憶部２３の攻撃者ＤＢに登録されているか否かを判定する（ステップ１０３）。当該ドメインが攻撃者ＤＢに登録されていると判定された場合（ステップ１０３でＹｅｓ）、攻撃判定部２４は、処理対象の通信が攻撃による不正通信であると判断する。ここで、ドメインが攻撃者ＤＢに登録されていても、そのドメインのドメイン関連情報が攻撃者ＤＢに登録されていない場合には、攻撃者登録部２５はドメイン関連情報を攻撃者ＤＢに登録しても良い。また、攻撃者登録部２５は、ドメイン情報管理サーバ４０にアクセスして、ステップ１０２でドメイン情報取得部２２が取得したドメイン関連情報と同じ情報が付随して登録されたドメイン及びそのドメインのドメイン関連情報を、さらに攻撃者ＤＢに登録しても良い。そして、本処理フローは終了する。
　また、ステップ１０３において、ステップ１０１で特定されたドメインと同じドメインが攻撃者ＤＢに登録されていないと判定された場合（ステップ１０３でＮｏ）、攻撃判定部２４は、ステップ１０２で取得されたドメイン関連情報のうち少なくとも１つの情報と同じ情報が攻撃者ＤＢに登録されているか否かを判定する（ステップ１０４）。当該情報が攻撃者ＤＢに登録されていないと判定された場合（ステップ１０４でＮｏ）、本処理フローは終了する。
　一方、ステップ１０４において、当該情報が攻撃者ＤＢに登録されていると判定された場合（ステップ１０４でＹｅｓ）、攻撃者登録部２５は、ステップ１０２でドメイン情報取得部２２が取得したドメイン関連情報のうちまだ攻撃者ＤＢに登録されていない情報を攻撃者ＤＢに登録する（ステップ１０５）。ここで、攻撃者登録部２５は、ドメイン特定部２１が特定したドメインについても攻撃者ＤＢに登録する。また、攻撃者登録部２５は、ドメイン情報管理サーバ４０にアクセスして、ステップ１０２で取得されたドメイン関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されたドメイン及びそのドメインのドメイン関連情報をさらに攻撃者ＤＢに登録する（ステップ１０６）。そして、本処理フローは終了する。
　また、図４に示す手順では、ステップ１０６において、攻撃者登録部２５は、ステップ１０２でドメイン情報取得部２２が取得したドメイン関連情報と同じ情報が付随して登録されたドメイン及びドメイン関連情報を攻撃者ＤＢに登録して処理を終了したが、このような構成に限られるものではない。攻撃者登録部２５は、さらに、ドメイン情報管理サーバ４０にアクセスして、ステップ１０６にて攻撃者ＤＢに登録した情報をもとに、新たな攻撃者の情報を攻撃者ＤＢに登録する、構成としても良い。
　例えば、ステップ１０６で攻撃者ＤＢに登録されたドメイン関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されたドメインが存在すれば、攻撃者登録部２５は、そのドメイン及びそのドメインのドメイン関連情報をさらに攻撃者ＤＢに登録しても良い。このように、攻撃者登録部２５は、新たに攻撃者ＤＢに登録した情報に関連付けられたドメインがドメイン情報管理サーバ４０に記憶されていないか検索し、例えば検索により得た情報の全てが攻撃者ＤＢに登録済みとなるまで、ドメイン情報管理サーバ４０の情報を検索して攻撃者ＤＢに登録する処理を繰り返し実行する、構成としても良い。
＜ドメイン情報管理サーバに登録されている情報＞
　次に、ドメイン情報管理サーバ４０に登録されている情報について説明する。図５は、ドメイン情報管理サーバ４０に登録されている情報の一例を示す図である。
　図５に示す例では、「ＡＡＡ．ＣＯ．ＪＰ」という名前のドメインに関して、このドメインのドメイン関連情報として、ドメインを登録した登録者の組織名と、組織における技術担当者の氏名、メールアドレス、電話番号及びＦＡＸ番号とが登録されている。具体的には、組織名は「株式会社Ａ１」、技術担当者の氏名は「Ａ２」、メールアドレスは「Ａ３＠ｍａｉｌ１．ｃｏ．ｊｐ」、電話番号は「０３－ｘｘｘｘ－ｘｘｘ１」、ＦＡＸ番号は「０３－ｘｘｘｘ－ｘｘｘ２」と登録されている。
　このように、ドメイン情報管理サーバ４０には、インターネット６０において使用するために登録されたドメインのドメイン名とそのドメインのドメイン関連情報とがドメインごとに登録されている。ただし、ドメイン関連情報は、図５に示す種類の情報に限られるものではない。
＜攻撃者ＤＢに登録されている情報＞
　次に、ドメイン記憶部２３の攻撃者ＤＢに登録されている情報について説明する。図６Ａ及び図６Ｂは、攻撃者ＤＢに登録されている情報の一例を示す図である。図６Ａは、攻撃者ＤＢに登録されたドメイン名の一覧の一例を示す図である。また、図６Ｂは、攻撃者ＤＢに登録されたドメイン関連情報の一覧の一例を示す図である。
　まず、図６Ａに示す例では、「ＡＡＡ．ＣＯ．ＪＰ」、「ＢＢＢ．ＣＯ．ＪＰ」、「ＣＣＣ．ＣＯ．ＪＰ」、「ＤＤＤ．ＣＯ．ＪＰ」というドメイン名の４つのドメインが攻撃者のドメインとして攻撃者ＤＢに登録されている。これらのドメインについては、そのドメインをユーザが予め登録する場合もあれば、そのドメインを新たに攻撃と判定された不正通信のドメインとして攻撃者登録部２５が登録する場合もある。
　また、図６Ｂに示す例では、「Ａ３＠ｍａｉｌ１．ｃｏ．ｊｐ」、「Ｂ３＠ｍａｉｌ２．ｃｏ．ｊｐ」、「Ｃ３＠ｍａｉｌ３．ｃｏ．ｊｐ」、「Ｄ３＠ｍａｉｌ４．ｃｏ．ｊｐ」という４つのメールアドレスが、攻撃者のドメインのドメイン関連情報として攻撃者ＤＢに登録されている。これらのメールアドレスは、攻撃者のドメインを登録した登録者の組織における技術担当者のメールアドレスであり、図５に示すメールアドレスに対応するものである。これらのドメイン関連情報についても、図６Ａに示すドメインと同様に、そのドメイン関連情報をユーザが予め登録する場合もあれば、そのドメイン関連情報を新たに攻撃と判定された不正通信のドメインにおけるドメイン関連情報として攻撃者登録部２５が登録する場合もある。
　また、図６Ｂに示す例では、攻撃者ＤＢに登録されているドメイン関連情報として、技術担当者のメールアドレスを示したが、攻撃者ＤＢには他のドメイン関連情報が登録されている構成としても良い。例えば、図５に示すように、ドメイン情報管理サーバ４０には、ドメイン関連情報として、技術担当者のメールアドレスの他に、組織名、技術担当者の氏名、電話番号及びＦＡＸ番号が登録されている。そのため、これらのドメイン関連情報も、攻撃者による通信を検出するための情報として攻撃者ＤＢに登録されている構成としても良い。
　さらに、図６Ａ及び図６Ｂに示す例では、攻撃者ＤＢに登録されている情報として、ドメイン及びメールアドレスがそれぞれ一覧としてまとめて登録された場合を説明したが、このような構成に限られるものではない。例えば、攻撃者ＤＢにおいても、図５に示すように、ドメイン名及びそのドメインのドメイン関連情報が、１つのドメインごとに登録されている構成としても良い。
＜攻撃検出装置による処理の具体例＞
　次に、攻撃検出装置２０による処理について、具体例を挙げて説明する。図７Ａ、図７Ｂ、図７Ｃ及び図７Ｄは、攻撃検出装置２０による処理の具体例を説明するための図である。図７Ａ、図７Ｂ、図７Ｃ及び図７Ｄに示す例は、処理対象の通信が攻撃と判定されるにあたり、ドメイン情報取得部２２が取得したドメイン関連情報が攻撃者ＤＢに登録されていた場合の例である。なお、以下に示すステップは、図４の各ステップに対応する。
　図７Ａ、図７Ｂ、図７Ｃ及び図７Ｄに示す例において、ドメイン特定部２１は、処理対象とする通信の接続先であるドメインとして、「ＡＡＡ．ＣＯ．ＪＰ」というドメインを特定する（ステップ１０１）。次に、ドメイン情報取得部２２は、「ＡＡＡ．ＣＯ．ＪＰ」のドメインについて、ドメイン情報管理サーバ４０からドメイン関連情報を取得する（ステップ１０２）。ここで、図７Ａには、「ＡＡＡ．ＣＯ．ＪＰ」についてドメイン情報管理サーバ４０に登録されている情報の一例が示されている。
　次に、攻撃判定部２４は、「ＡＡＡ．ＣＯ．ＪＰ」が攻撃者ＤＢに登録されているか否かを判定する（ステップ１０３）。図７Ｂ及び図７Ｃは、攻撃者ＤＢに登録されている情報の一例を示す図である。図７Ｂには、攻撃者ＤＢに登録されているドメイン名が示されている。また、図７Ｃには、攻撃者ＤＢに登録されているドメイン関連情報の１つである技術担当者のメールアドレスが示されている。ここで、図７Ｂに示すように、攻撃者ＤＢには「ＡＡＡ．ＣＯ．ＪＰ」というドメインが登録されていない。そのため、攻撃判定部２４は、当該ドメインが攻撃者ＤＢに登録されていないと判定し（ステップ１０３でＮｏ）、次に、「ＡＡＡ．ＣＯ．ＪＰ」のドメイン関連情報の少なくとも１つが攻撃者ＤＢに登録されているか否かを判定する（ステップ１０４）。
　ここで、図７Ａに示すように、「ＡＡＡ．ＣＯ．ＪＰ」のドメイン関連情報である技術担当者のメールアドレスは、太枠で囲んだ「Ａ３＠ｍａｉｌ１．ｃｏ．ｊｐ」である。また、図７Ｃにて太枠で囲むように、攻撃者ＤＢにも、「Ａ３＠ｍａｉｌ１．ｃｏ．ｊｐ」のメールアドレスが登録されている。そのため、攻撃判定部２４は、当該ドメイン関連情報が攻撃者ＤＢに登録されていると判定し（ステップ１０４でＹｅｓ）、処理対象の通信が攻撃による不正通信であると判断する。
　次に、攻撃者登録部２５は、不正通信と判断したドメイン「ＡＡＡ．ＣＯ．ＪＰ」について、ドメイン関連情報を攻撃者ＤＢに登録する（ステップ１０５）。即ち、攻撃者登録部２５は、図７Ａに示すドメイン関連情報を攻撃者ＤＢに登録する。また、図７Ｂに示すように、攻撃者ＤＢには「ＡＡＡ．ＣＯ．ＪＰ」のドメインも登録されていないため、攻撃者登録部２５は、「ＡＡＡ．ＣＯ．ＪＰ」についても攻撃者ＤＢに登録する。
　次に、攻撃者登録部２５は、ドメイン情報管理サーバ４０にアクセスして、攻撃者ＤＢに登録した「ＡＡＡ．ＣＯ．ＪＰ」のドメイン関連情報と同じ情報が付随して登録されているドメインを検索する。ここで、図７Ｄに示す「ＣＣＣ．ＣＯ．ＪＰ」というドメインについて、太枠で囲むように、技術担当者のＦＡＸ番号は「０３－ｘｘｘｘ－ｘｘｘ２」である。また、図７Ａにて太枠で囲むように、ドメイン「ＡＡＡ．ＣＯ．ＪＰ」の技術担当者のＦＡＸ番号も、「０３－ｘｘｘｘ－ｘｘｘ２」であり、当該ＦＡＸ番号がドメイン「ＣＣＣ．ＣＯ．ＪＰ」のＦＡＸ番号と共通している。
　そのため、攻撃者登録部２５は、ドメイン情報管理サーバ４０に登録された「ＣＣＣ．ＣＯ．ＪＰ」というドメインを、「ＡＡＡ．ＣＯ．ＪＰ」のドメイン関連情報と同じ情報が付随して登録されているドメインと判断する。そして、攻撃者登録部２５は、図７Ｄに示す「ＣＣＣ．ＣＯ．ＪＰ」の情報、即ち、「ＣＣＣ．ＣＯ．ＪＰ」というドメイン及びドメイン関連情報を攻撃者ＤＢに登録する（ステップ１０６）。
　また、図７Ａ、図７Ｂ、図７Ｃ及び図７Ｄに示す例では、ドメイン「ＡＡＡ．ＣＯ．ＪＰ」の技術担当者のＦＡＸ番号に関連付けられたドメインが登録されたが、「ＡＡＡ．ＣＯ．ＪＰ」の他のドメイン関連情報に関連付けられたドメインがドメイン情報管理サーバ４０に存在すれば、そのドメインの情報も同様に攻撃者ＤＢに登録される。
　なお、図７Ａ、図７Ｂ、図７Ｃ及び図７Ｄに示す例において、攻撃者登録部２５は、さらに、ステップ１０６で攻撃者ＤＢに登録した「ＣＣＣ．ＣＯ．ＪＰ」のドメイン関連情報をもとにドメイン情報管理サーバ４０の情報を検索しても良い。そして、攻撃者登録部２５は、「ＣＣＣ．ＣＯ．ＪＰ」のドメイン関連情報と同じ情報が付随して登録されているドメイン及びそのドメインのドメイン関連情報を攻撃者ＤＢに登録しても良い。また、攻撃者登録部２５は、それ以降の処理として、新たに攻撃者ＤＢに登録したドメイン関連情報をもとにドメイン情報管理サーバ４０の情報を検索して、例えば検索により得た情報の全てが攻撃者ＤＢに登録済みとなるまで、攻撃者ＤＢに登録する処理を繰り返し実行しても良い。
　以上説明したように、本実施の形態に係る攻撃検出装置２０は、監視対象とするネットワーク上で検知された通信の接続先であるドメインを特定し、特定したドメインのドメイン関連情報をドメイン情報管理サーバ４０から取得する。また、特定したドメインまたは取得したドメイン関連情報が攻撃者ＤＢに登録されていれば、攻撃検出装置２０は、処理対象とした通信を不正通信として検出する。そのため、攻撃検出装置２０を用いることで、ドメインに加えてドメイン関連情報をもとに不正通信の検出が行われることとなり、例えば、ドメインを検査してマルウェアなどに基づく不正通信を検出する構成と比較して、不正通信の検出が容易になる。
　また、攻撃検出装置２０は、処理対象の通信を不正通信として検出した場合に、検出した不正通信のドメイン及びドメイン関連情報を攻撃者ＤＢに新たに登録し、攻撃者ＤＢの情報を更新する。さらに、攻撃検出装置２０は、検出した不正通信のドメイン関連情報と同じ情報が付随して登録されているドメイン及びそのドメインのドメイン関連情報についても、攻撃者ＤＢに登録する。そのため、攻撃者ＤＢには、不正とされるドメインの情報が追加されていくこととなり、処理対象の通信を不正通信として検出し易くなる。
　ここで、本実施の形態において、攻撃検出装置２０は、処理対象の通信を不正通信として検出した場合に、まだ登録されていないドメイン及びドメイン関連情報を攻撃者ＤＢに追加することとしたが、このような構成に限られるものではない。例えば、攻撃検出装置２０は、すでに攻撃者ＤＢに登録されている不正なドメインの情報をもとに、ドメイン情報管理サーバ４０の情報を検索し、他のドメインの情報を攻撃者ＤＢに追加する、構成としても良い。
　図８は、不正なドメインの情報をもとに他のドメインの情報を攻撃者ＤＢに追加する処理手順の一例を示したフローチャートである。
　まず、ドメイン特定部２１は、攻撃者ＤＢにすでに登録されている不正なドメインを特定する（ステップ２０１）。次に、ドメイン情報取得部２２は、ドメイン特定部２１にて特定されたドメインについて、ドメイン情報管理サーバ４０に記憶されているドメイン関連情報を取得する（ステップ２０２）。ここで、不正なドメインの情報として、ドメインに加えてドメイン関連情報も攻撃者ＤＢに追加されていれば、ドメイン情報取得部２２はドメイン情報管理サーバ４０からドメイン関連情報を取得しなくても良い。
　次に、攻撃者登録部２５は、ドメイン情報管理サーバ４０にアクセスして、ドメイン関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されたドメイン及びそのドメインのドメイン関連情報をさらに攻撃者ＤＢに登録する（ステップ２０３）。また、攻撃者登録部２５は、以降の処理として、ドメイン情報管理サーバ４０にアクセスして、攻撃者ＤＢに新たに登録したドメイン関連情報が付随して登録されたドメインを検索し、そのドメイン及びドメイン関連情報を攻撃者ＤＢに登録する処理を繰り返し実行する、構成としても良い。そして、本処理フローは終了する。
　また、本実施の形態において、ドメイン情報管理サーバ４０の情報が更新された旨の通知を受けることが可能であれば、攻撃検出装置２０は、その通知をもとに攻撃者ＤＢを更新する、構成としても良い。この場合、例えば、攻撃者登録部２５は、攻撃者ＤＢに登録されたドメイン関連情報と同じ情報が付随して新たなドメインがドメイン情報管理サーバ４０に登録された旨の通知を受け付ける。また、例えば、攻撃者登録部２５は、ドメイン情報管理サーバ４０の情報が更新された旨の通知の中から、攻撃者ＤＢに登録されたドメイン関連情報と同じ情報が付随して新たなドメインが登録された内容の通知を抽出する。
　そして、攻撃者登録部２５は、受け付けた通知をもとに、攻撃者ＤＢに登録されたドメイン関連情報と同じ情報が付随して新たなドメインがドメイン情報管理サーバ４０に登録されたことを把握すると、ドメイン情報管理サーバ４０にアクセスする。そして、攻撃者登録部２５は、ドメイン情報管理サーバ４０に新たに登録されたドメイン及びそのドメインのドメイン関連情報を取得し、攻撃者ＤＢに登録する。この場合、受付手段（受付部）、追加ドメイン登録手段（追加ドメイン登録部）の一例として、攻撃者登録部２５が用いられる。
　また、本実施の形態では、ドメイン情報管理サーバ４０の情報のうち、攻撃者ＤＢのドメイン関連情報と同じ情報が付随して登録されているドメインの情報は、不正な接続先とされるドメインの情報として攻撃者ＤＢに登録されることとしたが、このような構成に限られるものではない。攻撃者ＤＢのドメイン関連情報と同じ情報が付随して登録されているドメインの情報を、例えば、不正な接続先とされるドメインの情報ではなく、不正な接続先とされるものと同等のドメインの情報として扱う等により、すでに攻撃者ＤＢに登録されている情報とは区別して新たに登録する、構成としても良い。即ち、攻撃者ＤＢには不正とされるドメインの情報が予め登録されているが、このドメインの情報をもとにして新たに攻撃者ＤＢに追加されるドメインについては、例えば、あくまで不正な接続先と推定される情報として扱う構成としても良い。
　この場合、ユーザが不正な接続先として確定しているドメインを攻撃者ＤＢに予め登録しておけば、このドメインのドメイン関連情報と同じ情報が付随して登録されているドメインがドメイン情報管理サーバ４０に存在すれば、攻撃者ＤＢに予め登録されたドメインとは区別して、不正な接続先と推定されるものとして登録されることとなる。また、不正な接続先として推定されるドメインをもとにして、さらに攻撃者ＤＢにドメインを追加する場合についても、もとのドメインの情報と追加するドメインの情報とを区別して登録する構成としても良い。
　そのため、例えば、ユーザは、攻撃者ＤＢに登録されているドメインについて、不正な接続先として確定しているドメインであるか、または不正な接続先と推定されるドメインであるか等、どのような経緯で登録された情報であるかを判断することが可能になる。また、例えば、ネットワーク上の通信が不正通信として検出された場合に、不正な接続先として確定しているドメインを接続先とするか、または不正なものと推定されるドメインを接続先とするかにより、表示する内容を変えてユーザに報知する構成としても良い。
　さらに、本実施の形態において、ドメイン記憶部２３は、攻撃者ＤＢとして不正な接続先とされるドメインの情報を記憶することとしたが、不正な接続先ではなく、正常な接続先とされるドメインの情報を記憶する構成としても良い。ドメイン記憶部２３が正常な接続先とされるドメインの情報を記憶する場合、攻撃判定部２４は、ドメイン特定部２１が特定したドメイン及びドメイン情報取得部２２が取得したドメイン関連情報と、ドメイン記憶部２３に記憶されている情報とを比較して、処理対象の通信が正常な通信であるか否かを判定する。また、攻撃者登録部２５は、攻撃判定部２４により正常な通信と判定された通信について、その通信のドメイン及びそのドメインのドメイン関連情報を、ドメイン記憶部２３に登録する。このような構成により、ドメイン記憶部２３に登録されているドメインは正常なドメインとされ、処理対象の通信のドメインやドメイン関連情報がドメイン記憶部２３に登録されていれば、その通信は正常な通信として検出される。
　ここで、ドメインが不正な接続先であるか、または正常な接続先であるかは、予め定められた基準を満たすか否かによって判断される。例えば、あるドメインについて、正常な接続先と判断するための予め定められた基準を満たす場合には、そのドメインは正常な接続先としてドメイン記憶部２３に記憶される。本実施の形態では、予め定められた基準を満たすドメインの一例として、不正な接続先とされるドメイン、または、正常な接続先とされるドメインが用いられる。
　なお、本発明の実施の形態を実現するプログラムは、磁気記録媒体、光記録媒体、光磁気記録媒体、半導体メモリなどのコンピュータが読取可能な記録媒体に記憶した状態で提供し得る。また、当該プログラムは、インターネットなどの通信手段（通信部）を用いて提供することも可能である。ここで、磁気記録媒体は、例えば、磁気テープ、または、磁気ディスクなどである。光記録媒体は、例えば、光ディスクなどである。
　また、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態には限定されない。本発明の精神及び範囲から逸脱することなく様々に変更したり代替態様を採用したりすることが可能なことは、当業者に明らかである。
１０，１０ａ,１０ｂ,１０ｃ…クライアント端末
１１…コンピュータシステム
２０…攻撃検出装置
２１…ドメイン特定部
２２…ドメイン情報取得部
２３…ドメイン記憶部
２４…攻撃判定部
２５…攻撃者登録部
２６…通信遮断部
３０…攻撃者サーバ
４０…ドメイン情報管理サーバ

Claims (11)

  1. 　監視対象とするネットワーク上で検知された通信の接続先であるドメインを取得するドメイン取得部と、
    　インターネットで使用するために登録されたドメインの情報を保持するドメイン管理装置から、前記ドメイン取得部が取得したドメインに付随して登録された情報である関連情報を取得する関連情報取得部と、
    　予め定められた基準を満たす接続先とされるドメイン及び当該ドメインの関連情報を記憶する記憶部と、
    　前記関連情報取得部が取得した前記関連情報のうち少なくとも１つの情報と同じ情報が前記記憶部に記憶されていれば、前記ドメイン取得部が取得したドメインと同じドメインが前記記憶部に記憶されていない場合であっても、前記通信を前記予め定められた基準を満たすものとして検出する検出部と
    を備える情報処理装置。
  2. 　前記通信が前記予め定められた基準を満たすものとされた場合に、前記関連情報取得部が取得した前記関連情報のうち前記記憶部に記憶されていない情報を、当該予め定められた基準を満たすドメインの情報として当該記憶部に登録する登録部をさらに備える
    請求項１に記載の情報処理装置。
  3. 　前記通信が前記予め定められた基準を満たすものとされた場合に、前記ドメイン管理装置から、前記関連情報取得部が取得した前記関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されているドメインの情報を取得するドメイン情報取得部と、
    　前記ドメイン情報取得部が取得したドメインの情報を、前記予め定められた基準を満たすドメインの情報として前記記憶部に登録するドメイン情報登録部とをさらに備える
    請求項１または２に記載の情報処理装置。
  4. 　前記ドメイン管理装置が保持する情報が更新された旨の通知を受け付ける受付部と、
    　前記受付部が受け付けた通知により、前記記憶部に記憶された前記関連情報のうち少なくとも１つの情報と同じ情報が付随して新たなドメインが前記ドメイン管理装置に追加されたことを把握すると、追加された当該ドメインの情報を当該記憶部に登録する追加ドメイン登録部とをさらに備える
    請求項１乃至３のいずれか１項に記載の情報処理装置。
  5. 　インターネットで使用するために登録されたドメインであり予め定められた基準を満たすドメイン及び当該ドメインに付随して登録された情報である関連情報を記憶する記憶部と、
    　インターネットで使用するために登録されたドメインの情報を保持するドメイン管理装置から、前記記憶部に記憶された関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されているドメインの情報を取得するドメイン情報取得部と、
    　前記ドメイン情報取得部が取得したドメインの情報を、前記予め定められた基準を満たすものとして、前記記憶部に登録する登録部と
    を備える情報処理装置。
  6. 　前記ドメイン情報取得部は、さらに、前記ドメイン管理装置から、前記登録部が前記記憶部に登録した前記ドメインの情報に含まれる関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されている他のドメインの情報を取得し、
    　前記登録部は、さらに、前記ドメイン情報取得部が取得した前記他のドメインの情報を、前記予め定められた基準を満たすものとして、前記記憶部に登録する
    請求項５に記載の情報処理装置。
  7. 　前記登録部は、前記ドメイン情報取得部が取得したドメインの情報を、すでに前記記憶部に記憶されている情報とは区別して登録する
    請求項５または６に記載の情報処理装置。
  8. 　監視対象とするネットワーク上で検知された通信の接続先であるドメインを取得するステップと、
    　インターネットで使用するために登録されたドメインの情報を保持するドメイン管理装置から、取得した前記ドメインに付随して登録された情報である関連情報を取得するステップと、
    　取得した前記関連情報のうち少なくとも１つの情報と同じ情報が、予め定められた基準を満たす接続先とされるドメイン及び当該ドメインの関連情報を記憶する記憶部に記憶されていれば、取得した前記ドメインと同じドメインが当該記憶部に記憶されていない場合であっても、前記通信を当該予め定められた基準を満たすものとして検出するステップと
    を含む情報処理方法。
  9. 　インターネットで使用するために登録されたドメインであり予め定められた基準を満たすドメイン及び当該ドメインに付随して登録された情報である関連情報を記憶する記憶部に関して、当該記憶部に記憶された関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されているドメインの情報を、インターネットで使用するために登録されたドメインの情報を保持するドメイン管理装置から取得するステップと、
    　取得した前記ドメインの情報を、前記予め定められた基準を満たすものとして、前記記憶部に登録するステップと
    を含む情報処理方法。
  10. 　コンピュータに、
    　監視対象とするネットワーク上で検知された通信の接続先であるドメインを取得する機能と、
    　インターネットで使用するために登録されたドメインの情報を保持するドメイン管理装置から、取得した前記ドメインに付随して登録された情報である関連情報を取得する機能と、
    　取得した前記関連情報のうち少なくとも１つの情報と同じ情報が、予め定められた基準を満たす接続先とされるドメイン及び当該ドメインの関連情報を記憶する記憶部に記憶されていれば、取得した前記ドメインと同じドメインが当該記憶部に記憶されていない場合であっても、前記通信を当該予め定められた基準を満たすものとして検出する機能と
    を実現させるためのプログラム。
  11. 　コンピュータに、
    　インターネットで使用するために登録されたドメインであり予め定められた基準を満たすドメイン及び当該ドメインに付随して登録された情報である関連情報を記憶する記憶部に関して、当該記憶部に記憶された関連情報のうち少なくとも１つの情報と同じ情報が付随して登録されているドメインの情報を、インターネットで使用するために登録されたドメインの情報を保持するドメイン管理装置から取得する機能と、
    　取得した前記ドメインの情報を、前記予め定められた基準を満たすものとして、前記記憶部に登録する機能と
    を実現させるためのプログラム。
PCT/JP2016/051727 2015-01-27 2016-01-21 情報処理装置、情報処理方法及びプログラム WO2016121621A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US15/456,860 US20170187731A1 (en) 2015-01-27 2017-03-13 Information processing system, information processing method and program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015-013747 2015-01-27
JP2015013747A JP5980968B2 (ja) 2015-01-27 2015-01-27 情報処理装置、情報処理方法及びプログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/456,860 Continuation-In-Part US20170187731A1 (en) 2015-01-27 2017-03-13 Information processing system, information processing method and program

Publications (1)

Publication Number Publication Date
WO2016121621A1 true WO2016121621A1 (ja) 2016-08-04

Family

ID=56543235

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/051727 WO2016121621A1 (ja) 2015-01-27 2016-01-21 情報処理装置、情報処理方法及びプログラム

Country Status (3)

Country Link
US (1) US20170187731A1 (ja)
JP (1) JP5980968B2 (ja)
WO (1) WO2016121621A1 (ja)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6418422B2 (ja) * 2017-03-10 2018-11-07 日本電気株式会社 メール配送装置およびＷｅｂプロキシサーバ
JP6869833B2 (ja) * 2017-07-05 2021-05-12 Kddi株式会社 識別装置、識別方法、識別プログラム、モデル生成装置、モデル生成方法及びモデル生成プログラム
JP2021111802A (ja) * 2020-01-06 2021-08-02 富士通株式会社 検知プログラム、検知方法および情報処理装置
US11503182B2 (en) 2021-03-01 2022-11-15 J2 Cloud Services, Llc Method and system for special processing of fax transmissions
US11509796B2 (en) * 2021-04-26 2022-11-22 J2 Cloud Services, Llc Method and system for distribution of fax transmissions of an organization
US11533404B1 (en) 2021-06-03 2022-12-20 J2 Cloud Services, Llc On net bus for distributing fax transmissions
US11689681B2 (en) 2021-09-13 2023-06-27 Consensus Cloud Solutions, Llc Method and system for distributing and receiving fax transmissions via a data connection that is owned by a service provider

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007310781A (ja) * 2006-05-22 2007-11-29 Nippon Telegr & Teleph Corp <Ntt> 接続先詐称回避方法及び中間ノード
JP2011076188A (ja) * 2009-09-29 2011-04-14 Nippon Telegr & Teleph Corp <Ntt> Ｄｎｓトラフィックデータを利用したボット感染者検知方法およびボット感染者検知システム
US20120303808A1 (en) * 2011-05-24 2012-11-29 Palo Alto Networks, Inc. Using dns communications to filter domain names
JP2013011949A (ja) * 2011-06-28 2013-01-17 Nippon Telegr & Teleph Corp <Ntt> 特徴情報抽出装置、特徴情報抽出方法および特徴情報抽出プログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007310781A (ja) * 2006-05-22 2007-11-29 Nippon Telegr & Teleph Corp <Ntt> 接続先詐称回避方法及び中間ノード
JP2011076188A (ja) * 2009-09-29 2011-04-14 Nippon Telegr & Teleph Corp <Ntt> Ｄｎｓトラフィックデータを利用したボット感染者検知方法およびボット感染者検知システム
US20120303808A1 (en) * 2011-05-24 2012-11-29 Palo Alto Networks, Inc. Using dns communications to filter domain names
JP2013011949A (ja) * 2011-06-28 2013-01-17 Nippon Telegr & Teleph Corp <Ntt> 特徴情報抽出装置、特徴情報抽出方法および特徴情報抽出プログラム

Also Published As

Publication number Publication date
US20170187731A1 (en) 2017-06-29
JP2016139935A (ja) 2016-08-04
JP5980968B2 (ja) 2016-08-31

Similar Documents

Publication Publication Date Title
JP5980968B2 (ja) 情報処理装置、情報処理方法及びプログラム
US10200384B1 (en) Distributed systems and methods for automatically detecting unknown bots and botnets
US10484412B2 (en) Identification of infected devices in broadband environments
CN114145004B (zh) 用于使用dns消息以选择性地收集计算机取证数据的系统及方法
US8893278B1 (en) Detecting malware communication on an infected computing device
JP2019153336A (ja) 電子メッセージベースのセキュリティ脅威の自動軽減
US20160036848A1 (en) Intercloud security as a service
US20150207812A1 (en) Systems and methods for identifying and performing an action in response to identified malicious network traffic
US20090077631A1 (en) Allowing a device access to a network in a trusted network connect environment
US8713674B1 (en) Systems and methods for excluding undesirable network transactions
US11729134B2 (en) In-line detection of algorithmically generated domains
US10505979B2 (en) Detection and warning of imposter web sites
US7735139B1 (en) In-line scanning of network data in an asymmetric routing environment
WO2017110100A1 (ja) 情報処理装置、情報処理方法及びプログラム
WO2017110099A1 (ja) 情報処理装置、情報処理方法及びプログラム
JP6563872B2 (ja) 通信システム、および、通信方法
JP2009081736A (ja) パケット転送装置及びパケット転送プログラム
JP5992643B2 (ja) 情報処理装置、情報処理方法及びプログラム
JP6286314B2 (ja) マルウェア通信制御装置
KR101535381B1 (ko) Ip 주소 및 url를 이용한 인터넷 접속 차단 방법
JP5738042B2 (ja) ゲートウェイ装置、情報処理装置、処理方法およびプログラム
JP2017092985A (ja) 情報処理装置、情報処理方法及びプログラム
JP6088700B2 (ja) 情報処理装置、情報処理方法及びプログラム
JP2016170651A (ja) 不正アクセス検出方法、装置、及びプログラム
JPWO2018143096A1 (ja) リクエスト制御装置、リクエスト制御方法、および、リクエスト制御プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16743225

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16743225

Country of ref document: EP

Kind code of ref document: A1