ドメイン名インテリジェンス生成技術2021「Domain Inspector」NTT社会情報研究所

攻撃者が利用するドメイン名を「先回り」して特定し、「ブラックリスト」に代表されるセキュリティインテリジェンスを生成する技術です。悪性ドメイン名の高精度な特定、オーバーブロックのない適切な対処、ドメイン名調査の優先度判定により、セキュリティ運用の高度化・効率化を実現します。

現代のWebアクセスに欠かすことのできないドメイン名は、攻撃者によってフィッシングサイトやマルウェア感染サイトへの誘導にも利用されることから、悪性なドメイン名を把握することはセキュリティ対策においてきわめて重要です。しかしながら、「数時間で使い捨てられるドメイン名」や「正規の商用サービスと一部共通するドメイン名」を活用するなど、攻撃者の攻撃手法も巧妙化しており、被害が起こる前に把握することは困難でした。

• 悪性ドメイン名の高精度な特定技術：ドメイン名の時系列変動情報を大量に収集・分析し、アクセスランキングやIPアドレスの関連性に重みをつけて予兆検出・評価することで、ドメイン名を高精度に判定
• オーバーブロックのない適切な対処技術：ドメイン名の悪⽤形態（経緯・⽤途・運⽤環境）に応じて適切なブロック条件（範囲・位置・期間）が異なることから、機械学習によってドメイン名を分類し対策を⾃動提⽰
• セキュリティ運⽤効率化のための優先度判定技術：ドメイン名種別や過去調査ログを特徴量とし、⻑期化するドメイン名調査の特徴的なパターンを抽出し、調査初期段階で判定すべきドメイン名を特定

• 悪性ドメイン名のブラックリスト生成による被害の未然防止
• 過検知・オーバーブロックのない対処によるセキュリティ運用の高度化
• ドメイン名調査業務の効率化

社会情報研究所　社会情報理論プロジェクト