(57)【要約】【課題】サイバー攻撃に関する検知指標の評価を支援する。【解決手段】実施形態のサイバー攻撃評価プログラムは、問い合わせる処理と、出力する処理とをコンピュータに実行させる。問い合わせる処理は、入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、ドメイン情報とアドレスとの対応付けを管理する複数の第１の管理サーバにドメイン情報に対応するアドレスが存在するか否かを問い合わせる。また、問い合わせる処理は、第１の管理サーバの通信をモニタリングしてドメイン情報とアドレスとの対応付けに関する第１の管理サーバの回答履歴を管理する第２の管理サーバにドメイン情報に関する回答履歴を問い合わせる。出力する処理は、第１の管理サーバそれぞれから取得した回答におけるドメイン情報に対応するアドレスが存在しない回答の比率と、第２の管理サーバから取得した回答履歴とに基づいて、ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する。【選択図】図１
2020119376.tif 000002
【特許請求の範囲】
【請求項１】
入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とアドレスとの対応付けを管理する複数の第１の管理サーバに前記ドメイン情報に対応するアドレスが存在するか否かを問い合わせるとともに、前記第１の管理サーバの通信をモニタリングしてドメイン情報とアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバに前記ドメイン情報に関する回答履歴を問い合わせ、
前記第１の管理サーバそれぞれから取得した回答における前記ドメイン情報に対応するアドレスが存在しない回答の比率と、前記第２の管理サーバから取得した回答履歴とに基づいて、前記ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する、
処理をコンピュータに実行させることを特徴とするサイバー攻撃評価プログラム。
【請求項２】
前記出力する処理は、前記回答の比率が所定値を上回る場合に前記ドメイン情報に対応するアドレスが存在しないものと診断する、
ことを特徴とする請求項１に記載のサイバー攻撃評価プログラム。
【請求項３】
前記出力する処理は、前記ドメイン情報に対応するアドレスが存在しないものと診断し、前記ドメイン情報に対応するアドレスに関する回答履歴に基づく当該アドレスの生存期間が存在する場合に、前記ドメイン情報に関するサイバー攻撃の活動が終了したことを示す診断結果を出力する、
ことを特徴とする請求項２に記載のサイバー攻撃評価プログラム。
【請求項４】
前記アドレスは、ＩＰアドレスである、
ことを特徴とする請求項１乃至３のいずれか一項に記載のサイバー攻撃評価プログラム。
【請求項５】
入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とアドレスとの対応付けを管理する複数の第１の管理サーバに前記ドメイン情報に対応するアドレスが存在するか否かを問い合わせるとともに、前記第１の管理サーバの通信をモニタリングしてドメイン情報とアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバに前記ドメイン情報に関する回答履歴を問い合わせ、
前記第１の管理サーバそれぞれから取得した回答における前記ドメイン情報に対応するアドレスが存在しない回答の比率と、前記第２の管理サーバから取得した回答履歴とに基づいて、前記ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する、
処理をコンピュータが実行することを特徴とするサイバー攻撃評価方法。
【請求項６】
入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とアドレスとの対応付けを管理する複数の第１の管理サーバに前記ドメイン情報に対応するアドレスが存在するか否かを問い合わせるとともに、前記第１の管理サーバの通信をモニタリングしてドメイン情報とアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバに前記ドメイン情報に関する回答履歴を問い合わせる問合せ部と、
前記第１の管理サーバそれぞれから取得した回答における前記ドメイン情報に対応するアドレスが存在しない回答の比率と、前記第２の管理サーバから取得した回答履歴とに基づいて、前記ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する検証部と、
を有することを特徴とする情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、サイバー攻撃評価プログラム、サイバー攻撃評価方法および情報処理装置に関する。
【背景技術】
【０００２】
近年、ネットワークを経由した不正アクセスなどのサイバー攻撃が深刻な問題となっている。このサイバー攻撃の対処には、日々観測される膨大なサイバー攻撃情報を分析して攻撃元からの悪性通信を検知することが重要である。
【０００３】
この悪性通信を検知するために古くからある手法の１つは、悪性ドメインのブラックリストの利用である。このブラックリストは、テキスト形式やＣＳＶ（Comma-Separated  Values）形式、ドキュメントであればＰＤＦ（Portable  Document  Format）形式などでも受信することが可能である。
【０００４】
また、攻撃者のプロファイル情報のレポートであるサイバー脅威インテリジェンスの共有のための標準化の議論も国際的に進められており、ＳＴＩＸ（Structured  Threat  Information  eXpression）などの形式が存在する。ＳＴＩＸは、サイバー攻撃活動（Campaigns）、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）、観測事象（Observables）、インシデント（Incidents）、対処措置（Courses_Of_Action）、攻撃対象（Exploit_Targets）の８つの情報群から構成されている。また、ＳＴＩＸバージョン１．１．１時点では、ＸＭＬ（eXtensible  Markup  Language）形式で記述される。
【０００５】
このようなブラックリストやサイバー脅威インテリジェンスなどの検知指標には、悪性ドメイン、ＩＰ（Internet  Protocol）アドレス、ＵＲＬ（Uniform  Resource  Locator）などの情報が含まれている。そして、検知指標に含まれる悪性ドメイン、ＩＰアドレス、ＵＲＬなどの通信先の、通信先評価のためのリストへの所定の時点における掲載の有無を取得し、掲載の有無の時間経過に伴う変化を特徴情報として抽出して通信先の悪性度を算出する手法が従来技術として知られている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】国際公開第２０１６／１４００３８号
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、ブラックリストやサイバー脅威インテリジェンスなどの検知指標は、公開された時点において有用な静的なものであり、現時点で有用であるかを評価することは困難である。
【０００８】
例えば、ＤＮＳ（Domain  Name  System）は、サイバー攻撃に関連しない正常サービスとともに、サイバー攻撃に関連する悪性サービスからも利用される。仮に攻撃者がドメインの痕跡を隠す意思なくＤＮＳを利用する場合、ＤＮＳサーバに問い合わせることにより痕跡がＤＮＳ上に残るため、悪性活動の追跡が可能となる。一方で、攻撃者がＤＮＳに痕跡を残さないように、例えばプライベートのＤＮＳサーバを構築して名前解決させる、ブロックチェーン上で名前解決させるなどした場合、痕跡がＤＮＳ上に残らない。したがって、ＤＮＳ上に痕跡が残っていないこと自体が、通常のＤＮＳの運用に基づいていない悪性活動であるという痕跡となる。
【０００９】
しかしながら、検知指標の検証時において、攻撃者が攻撃の目的を達成した際に利用していたドメインによる活動を終了しているのならば、ＤＮＳ上からそのドメインと対応づいていたＩＰの関係は消滅する。この状態になると、ＤＮＳサーバに問い合せをしても名前解決できなくなるので、そもそもＤＮＳに痕跡が残らないように利用しているのか、ＤＮＳを使っていたがドメインを消滅させたかを検証することは困難なものとなる。
【００１０】
また、種々のＤＮＳサーバの中には、セキュリティのためにブラックリストを参照して悪性ドメインをブロッキングするものがある。検知指標の検証時において、このようなＤＮＳサーバに問い合せた場合には、ドメイン消滅かブロッキングかの区別を行うことは困難なものとなる。
【００１１】
１つの側面では、サイバー攻撃に関する検知指標の評価を支援可能とするサイバー攻撃評価プログラム、サイバー攻撃評価方法および情報処理装置を提供することを目的とする。
【課題を解決するための手段】
【００１２】
１つの案では、サイバー攻撃評価プログラムは、問い合わせる処理と、出力する処理とをコンピュータに実行させる。問い合わせる処理は、入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、ドメイン情報とアドレスとの対応付けを管理する複数の第１の管理サーバにドメイン情報に対応するアドレスが存在するか否かを問い合わせる。また、問い合わせる処理は、第１の管理サーバの通信をモニタリングしてドメイン情報とアドレスとの対応付けに関する第１の管理サーバの回答履歴を管理する第２の管理サーバにドメイン情報に関する回答履歴を問い合わせる。出力する処理は、第１の管理サーバそれぞれから取得した回答におけるドメイン情報に対応するアドレスが存在しない回答の比率と、第２の管理サーバから取得した回答履歴とに基づいて、ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する。
【発明の効果】
【００１３】
本発明の１実施態様によれば、サイバー攻撃に関する検知指標の評価を支援することができる。
【図面の簡単な説明】
【００１４】
【図１】図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。
【図２】図２は、ＤＮＳ問い合わせ処理の一例を示すフローチャートである。
【図３】図３は、問合せ先ＤＮＳリストの一例を示す説明図である。
【図４】図４は、ｄｉｇコマンドによるクエリの一例を示す説明図である。
【図５】図５は、ＤＮＳ回答表の一例を示す説明図である。
【図６】図６は、ＤＮＳ回答評価処理の一例を示すフローチャートである。
【図７】図７は、ＤＮＳ痕跡検証表の一例を示す説明図である。
【図８】図８は、ＤＮＳ痕跡検証処理の一例を示すフローチャートである。
【図９】図９は、ＤＮＳ痕跡検証表（更新後）の一例を示す説明図である。
【図１０】図１０は、実施形態にかかる情報処理装置のハードウエア構成の一例を示すブロック図である。
【発明を実施するための形態】
【００１５】
以下、図面を参照して、実施形態にかかるサイバー攻撃評価プログラム、サイバー攻撃評価方法および情報処理装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明するサイバー攻撃評価プログラム、サイバー攻撃評価方法および情報処理装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
【００１６】
図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。実施形態にかかる情報処理装置１は、例えば、ＰＣ（パーソナルコンピュータ）などのコンピュータである。
【００１７】
図１に示すように、情報処理装置１は、悪性通信の検知に利用するための検知指標についての検知指標リスト２０の入力を受け付ける。検知指標リスト２０は、サイバー脅威インテリジェンスから抽出して作成したいわゆるブラックリストであり、攻撃元に関する悪性ドメインについてのドメイン情報（例えば、「ｘｘｘ．ｘｘｘ．ｃｏｍ」、「ｙｙｙ．ｙｙｙｙ．ｏｒｇ」などの悪性ドメインに関するドメイン名）を検知指標として含むものとする。すなわち、検知指標リスト２０における検知指標は、サイバー攻撃情報の一例である。
【００１８】
より具体的には、検知指標リスト２０は、公開されている悪性ドメインのブラックリストからピックアップしたリストや、特定の攻撃（キャンペーンやマルウェア）のプロファイル情報であるサイバー脅威インテリジェンスに記載の検知指標からパーサなどで処理したリストである。
【００１９】
情報処理装置１は、入力された検知指標リスト２０について、ドメイン情報に関するサイバー攻撃の脅威内容を診断したＤＮＳ痕跡検証表（更新後）２４ｂを出力する。このＤＮＳ痕跡検証表（更新後）２４ｂにより、ユーザは、検知指標リスト２０に含まれる悪性ドメインが現状、悪性通信の検知において有用であるか否かを評価することができる。
【００２０】
具体的には、情報処理装置１は、ＤＮＳ問合せ部１０と、ＤＮＳ回答評価部１１と、ＤＮＳ痕跡検証部１２とを有する。
【００２１】
ＤＮＳ問合せ部１０は、入力された検知指標リスト２０のドメイン情報に基づいて、ドメイン情報とアドレスとの対応付けを管理するキャッシュＤＮＳ（Domain  Name  System）サーバ３０ａ、３０ｂ、…３０ｉより、ドメイン情報に対応するＩＰアドレスが存在するか否かを問い合わせる処理部である。すなわち、キャッシュＤＮＳサーバ３０ａ、３０ｂ、…３０ｉそれぞれは、ドメイン情報とアドレスとの対応付けを管理する第１の管理サーバの一例である。なお、キャッシュＤＮＳサーバ３０ａ、３０ｂ、…３０ｉについて特に区別しない場合は、キャッシュＤＮＳサーバ３０と称するものとする。なお、本実施形態では、キャッシュＤＮＳサーバ３０において、ドメイン情報との対応付けを管理するアドレスの一例としてＩＰアドレスを例示する。しかしながら、ドメイン情報との対応付けを管理するアドレスは、ＩＰアドレス以外に、例えばＭＡＣアドレスなどであってもよい。
【００２２】
具体的には、ＤＮＳ問合せ部１０は、ユーザ等により予め設定された問合せ先ＤＮＳリスト２１をもとに、問合せ先ＤＮＳリスト２１に記述された複数のキャッシュＤＮＳサーバ３０に対し、検知指標リスト２０のドメイン情報に対応するＩＰアドレスが存在するか否かを問い合わせる。次いで、ＤＮＳ問合せ部１０は、複数のキャッシュＤＮＳサーバ３０それぞれからの、検知指標リスト２０のドメイン情報に対応するＩＰアドレスの問い合結果をＤＮＳ回答表２２として出力する。すなわち、ＤＮＳ問合せ部１０は、問い合わせ部の一例である。
【００２３】
なお、ＤＮＳ問合せ部１０は、Ａｃｔｉｖｅ  ＤＮＳにより自らクエリを出してドメイン情報とＩＰアドレスとの対応付けについての情報を収集するものであればよく、問い合わせ先の管理サーバはキャッシュＤＮＳサーバ３０に限定しない。Ａｃｔｉｖｅ  ＤＮＳについては、Kountouras,  Athanasios,  et  al.  "Enabling  network  security  through  active  DNS  datasets."  International  Symposium  on  Research  in  Attacks,  Intrusions,  and  Defenses.  Springer,  Cham,  2016.などの文献のとおり、公知のものである。
【００２４】
このＡｃｔｉｖｅ  ＤＮＳでは、クエリを出すためのドメインの「種」を準備する。この「種」は、権威ＤＮＳサーバのゾーンファイル、ｗｅｂクローリング、Ａｌｅｘａのトップリストや公開されているブラックリスト等を参照することにより入手可能である。種を網羅的に準備できると、Ｐａｓｓｉｖｅ  ＤＮＳ（詳細は後述する）よりも広くＤＮＳの情報を収集可能だが、種収集のコストとのトレードオフがある。
【００２５】
図２は、ＤＮＳ問い合わせ処理の一例を示すフローチャートである。図２に示すように、処理が開始されると、ＤＮＳ問合せ部１０は、検知指標リスト２０および問合せ先ＤＮＳリスト２１の入力を受け付ける（Ｓ１）。
【００２６】
次いで、ＤＮＳ問合せ部１０は、検知指標リスト２０の中から未選択のドメインを１つ選択する（Ｓ２）。次いで、ＤＮＳ問合せ部１０は、問合せ先ＤＮＳリスト２１の中から未選択の問い合わせ先キャッシュＤＮＳサーバ３０にドメインについて問い合わせるクエリを出す。次いで、ＤＮＳ問合せ部１０は、クエリに対する回答をＤＮＳ回答表２２に格納する（Ｓ３）。
【００２７】
図３は、問合せ先ＤＮＳリスト２１の一例を示す説明図である。図３に示すように、問合せ先ＤＮＳリスト２１は、問い合わせ先のキャッシュＤＮＳサーバ３０ごとのリストであり、「キャッシュＤＮＳ名」と「ＤＮＳサーバ」とを有する。具体的には、「キャッシュＤＮＳ名」の列には、利用するキャッシュＤＮＳサーバ３０の名前（例えば「キャッシュＤＮＳ１」など）を格納する。また、「ＤＮＳサーバ」の列には、対応するキャッシュＤＮＳサーバ３０のＩＰアドレス（例えば「ａａａ．ａａａ．ａａａ．１」など）を格納する。なお、問合せ先ＤＮＳリスト２１には、「ＤＮＳサーバ」のＩＰアドレス宛に問い合わせても回答が得られない場合の代替サーバのＩＰアドレスなどを含めてもよい。ただし、代替サーバが存在しないときには、「Ｎ／Ａ」等のデータを格納する。
【００２８】
問合せ先ＤＮＳリスト２１に登録するキャッシュＤＮＳサーバ３０については、基本的にはパブリック系のキャッシュＤＮＳサーバであるｇｏｏｇｌｅ（登録商標）  ｐｕｂｌｉｃ  ＤＮＳやＣｌｏｕｄｆｌａｒｅ（登録商標）のキャッシュＤＮＳサーバの利用を想定している。なお、問合せ先ＤＮＳリスト２１に登録するキャッシュＤＮＳサーバ３０は、パブリック系のキャッシュＤＮＳサーバに限定するものではなく、自分が契約しているＩＳＰ（Internet  Service  Provider）のキャッシュＤＮＳサーバ等を利用しても構わない。
【００２９】
ＤＮＳ問合せ部１０は、問合せ先ＤＮＳリスト２１の「ＤＮＳサーバ」に格納されたＩＰアドレス宛にドメインについての問い合わせを行う。キャッシュＤＮＳサーバ３０に問合せをする方法としては、例えばＬｉｎｕｘ（登録商標）系のＯＳ（Operating  System）あればｄｉｇコマンドによってキャッシュＤＮＳサーバ３０に問合せを出す。
【００３０】
図４は、ｄｉｇコマンドによるクエリの一例を示す説明図である。図４の例では、「ｗｗｗ．ＸＸＸＸＸＸ．ｃｏ．ｊｐ」のＩＰアドレスをｄｉｇコマンドによりＤＮＳサーバに値を問い合わせている。この問い合わせに対し、「；；  ＡＮＳＷＥＲ  ＳＥＣＴＩＯＮ：」の次の行の「ＩＮ  Ａ」  につづいて、「ｗｗｗ．ＸＸＸＸＸＸ．ｃｏ．ｊｐ」のＡレコード（ＩＰアドレス）が「ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ」と返ってきている。Ａレコードの「Ａ」は「address」の略である。
【００３１】
本実施形態では、引数として「＠ＩＰアドレス」を追加してキャッシュＤＮＳサーバ３０を指定する。例えばｇｏｏｇｌｅ  ｐｕｂｌｉｃ  ＤＮＳに問い合せるときは、「ｄｉｇ  ＠８．８．８．８  ｗｗｗ．ＸＸＸＸＸＸ．ｃｏ．ｊｐ」というコマンドで問合せをする。なお、ｄｉｇには、他に様々なオプションが存在するが、ここでは説明を割愛する。また、Ｗｉｎｄｏｗｓ（登録商標）系のＯＳであればｎｓｌｏｏｋｕｐコマンド等を利用してもよい。
【００３２】
Ｓ３に次いで、ＤＮＳ問合せ部１０は、問合せ先ＤＮＳリスト２１の中に未選択のキャッシュＤＮＳサーバ３０が存在するか否かを判定する（Ｓ４）。未選択のキャッシュＤＮＳサーバ３０が存在する場合（Ｓ４：Ｙｅｓ）、ＤＮＳ問合せ部１０は、Ｓ３へ処理を戻し、未選択のキャッシュＤＮＳサーバ３０が存在しなくなるまでＳ３、Ｓ４の処理を継続する。
【００３３】
未選択のキャッシュＤＮＳサーバ３０が存在しない場合（Ｓ４：Ｎｏ）、ＤＮＳ問合せ部１０は、検知指標リスト２０の中に未選択のドメインが存在するか否かを判定する（Ｓ５）。未選択のドメインが存在する場合（Ｓ５：Ｙｅｓ）、ＤＮＳ問合せ部１０は、Ｓ２へ処理を戻し、未選択のドメインが存在しなくなるまでＳ２〜Ｓ５の処理を継続する。
【００３４】
未選択のドメインが存在しない場合（Ｓ５：Ｎｏ）、ＤＮＳ問合せ部１０は、ドメインごとに、複数のキャッシュＤＮＳサーバ３０に対して問い合わせた回答を格納したＤＮＳ回答表２２を出力し（Ｓ６）、処理を終了する。
【００３５】
図５は、ＤＮＳ回答表２２の一例を示す説明図である。図５に示すように、ＤＮＳ回答表２２には、検知指標リスト２０の「ドメイン」ごとに問い合わせを行った結果を、例えば表形式で格納する。具体的には、ＤＮＳ回答表２２は、「ドメイン」ごとに、問合せ先ＤＮＳリスト２１に格納された「キャッシュＤＮＳ１」…「キャッシュＤＮＳｉ」それぞれへ問い合わせた回答結果（「キャッシュＤＮＳ１」…「キャッシュＤＮＳｉ」）と、後の処理で利用する「回答なし比率」とを含む。
【００３６】
図５のＤＮＳ回答表２２では、「ｘｘｘ．ｘｘｘｘ．ｃｏｍ」というドメインに対しては、「ｄｄｄ．ｄｄｄ．ｄｄｄ．ｄｄｄ」というＩＰアドレスが、すべてのキャッシュＤＮＳサーバ３０の回答として格納されている。一方で、「ｙｙｙ．ｙｙｙｙ．ｏｒｇ」というドメインに対しては、対応するＩＰアドレスが存在しなかったことを意味する「Ｎｏ  Ａｎｓｗｅｒ」がすべてのキャッシュＤＮＳサーバ３０の回答として格納されている。この「Ｎｏ  Ａｎｓｗｅｒ」は、ＩＰアドレスが存在しない回答の一例である。なお、ＩＰアドレスが存在しない回答については、「Ｎｏ  Ａｎｓｗｅｒ」以外に、「Ｎ／Ａ」や「該当なし」などであってもよく、特に上記の例に限定しない。
【００３７】
図１に戻り、ＤＮＳ回答評価部１１は、ＤＮＳ回答表２２をもとに、検知指標リスト２０の「ドメイン」ごとに問い合わせを行った回答結果よりキャッシュＤＮＳサーバ３０上の痕跡を検証した結果を評価するＤＮＳ回答評価処理を行う処理部である。
【００３８】
具体的には、ＤＮＳ回答評価部１１は、ＤＮＳ回答表２２に格納された「ドメイン」ごとの回答結果について、全回答におけるドメイン情報に対応するＩＰアドレスが存在しない回答の比率である回答なし比率を求める。次いで、ＤＮＳ回答評価部１１は、「ドメイン」ごとに、求めた回答なし比率と、予め設定された回答なし閾値２３とを比較し、ＤＮＳの痕跡を検証した結果をＤＮＳ痕跡検証表２４ａとして出力する。
【００３９】
なお、本実施形態では、回答なし比率として、問合せ先ＤＮＳリスト２１のキャッシュＤＮＳサーバ３０の全回答に対する、対応するＩＰアドレスが存在しない回答の比率を求める構成を例示している。しかしながら、ＤＮＳ回答評価部１１は、回答なし比率として、問合せ先ＤＮＳリスト２１に格納された一部のキャッシュＤＮＳサーバ３０の回答に対する、対応するＩＰアドレスが存在しない回答の比率を求めてもよい。または、ＤＮＳ回答評価部１１は、全回答の中の一部の回答における、対応するＩＰアドレスが存在しない回答の比率を求めてもよい。
【００４０】
図６は、ＤＮＳ回答評価処理の一例を示すフローチャートである。図６に示すように、処理が開始されると、ＤＮＳ回答評価部１１は、予め設定された回答なし閾値２３の入力を受け付ける（Ｓ１１）。
【００４１】
次いで、ＤＮＳ回答評価部１１は、検知指標リスト２０の中から未選択のドメインを１つ選択する（Ｓ１２）。次いで、ＤＮＳ回答評価部１１は、選択したドメインに対するＤＮＳ回答表２２を参照し、回答なし比率を次の式により計算し（Ｓ１３）、計算結果をＤＮＳ回答表２２の「回答なし比率」の列（図５参照）に格納する。
回答なし比率＝（回答がなかったキャッシュＤＮＳサーバ３０の数）/（問い合わせをした全キャッシュＤＮＳサーバ３０の数）
【００４２】
回答なし比率を求める処理は２つの観点で実施する。１つ目は、キャッシュＤＮＳサーバ３０によるブロッキングの影響についての考慮である。
【００４３】
運用上、セキュリティを強化しているキャッシュＤＮＳサーバ３０は、ドメインとＩＰアドレスの対応が存在したとしてもブラックリスト等により悪性と分かっているドメインは回答しない場合がある。この場合には、基本的にはブロッキングなのか対応関係が消滅しているのかはわからないことが多い。しかしながら、すべてのキャッシュＤＮＳサーバ３０が同一の悪性ドメインをブロッキングすることは稀であり、大抵のケースではセキュリティ強化をポリシーとしている１、２のキャッシュＤＮＳサーバ３０から回答がない（ブロッキングが推定される）状況となる。
【００４４】
したがって、回答なし閾値２３を比較的高い値（０．８〜０．９）に設定しておけば、ブロッキングによる回答なしは区別することが可能である。
【００４５】
２つ目は、ドメインとＩＰアドレスの対応関係の残骸の影響についての考慮である。キャッシュＤＮＳサーバ３０の運用によっては、既に対応関係が消滅しているにもかかわらず、古い対応関係が残っている場合がある。あるいは、そのエラー画面に誘うためのＩＰアドレスをキャッシュＤＮＳサーバ３０側で対応付けている場合もある。このような場合は少数のキャッシュＤＮＳサーバ３０がＩＰアドレスを返すという形で現れることが多いので、こちらも回答なし閾値２３の設定により誤検知を回避することが可能である。
【００４６】
Ｓ１３に次いで、ＤＮＳ回答評価部１１は、計算した回答なし比率と、回答なし閾値２３とを比較し、回答なし比率＞回答なし閾値２３であるか否かを判定する（Ｓ１４）。
【００４７】
回答なし比率が回答なし閾値２３を上回る場合（Ｓ１４：ＹＥＳ）、ＤＮＳ回答評価部１１は、選択したドメインをＤＮＳ痕跡検証表２４ａに登録し、登録したドメインに対応する「Ａｃｔｉｖｅ  ＤＮＳ」の列に「Ｎｏ  Ａｎｓｗｅｒ」を格納する（Ｓ１５）。
【００４８】
回答なし比率が回答なし閾値２３を上回らない場合（Ｓ１４：ＮＯ）、ＤＮＳ回答評価部１１は、選択したドメインをＤＮＳ痕跡検証表２４ａに登録し、登録したドメインに対応する「Ａｃｔｉｖｅ  ＤＮＳ」の列に「Ｒｅｃｏｒｄｓ  ｅｘｉｓｔ」を格納する（Ｓ１６）。
【００４９】
次いで、ＤＮＳ回答評価部１１は、検知指標リスト２０の中に未選択のドメインが存在するか否かを判定する（Ｓ１７）。未選択のドメインが存在する場合（Ｓ１７：Ｙｅｓ）、ＤＮＳ回答評価部１１は、Ｓ１２へ処理を戻し、未選択のドメインが存在しなくなるまでＳ１２〜Ｓ１７の処理を継続する。
【００５０】
未選択のドメインが存在しない場合（Ｓ１７：Ｎｏ）、ＤＮＳ回答評価部１１は、ドメインごとに、ＤＮＳの痕跡を検証した結果を格納したＤＮＳ痕跡検証表２４ａを出力し（Ｓ１８）、処理を終了する。
【００５１】
図７は、ＤＮＳ痕跡検証表２４ａの一例を示す説明図である。図７に示すように、ＤＮＳ痕跡検証表２４ａには、検知指標リスト２０の「ドメイン」ごとに、ＤＮＳの痕跡を検証した結果（「Ａｃｔｉｖｅ  ＤＮＳ」）を、例えば表形式で格納する。
【００５２】
具体的には、ＤＮＳ回答表２２は、「ドメイン」、「Ａｃｔｉｖｅ  ＤＮＳ」、「Ｐａｓｓｉｖｅ  ＤＮＳ」、「検証結果」の列を有する。「ドメイン」の列には、選択したドメインを格納する。「Ａｃｔｉｖｅ  ＤＮＳ」の列には、ＤＮＳの痕跡を検証した結果、すなわち回答があったことを表す「Ｒｅｃｏｒｄｓ  ｅｘｉｓｔ」、または回答がなかったことを表す「Ｎｏ  Ａｎｓｗｅｒ」を格納する。「Ｐａｓｓｉｖｅ  ＤＮＳ」、「検証結果」の列には、後の処理部におけるデータを格納する。
【００５３】
図１に戻り、ＤＮＳ痕跡検証部１２は、キャッシュＤＮＳサーバ３０の通信をモニタリングしてドメイン情報とＩＰアドレスとの対応付けに関する回答履歴を管理するＰａｓｓｉｖｅ  ＤＮＳデータベース３１に検知指標リスト２０のドメインに関する回答履歴を問い合わせる処理部である。また、ＤＮＳ痕跡検証部１２は、検知指標リスト２０のドメインごとに、Ｐａｓｓｉｖｅ  ＤＮＳデータベース３１への回答履歴の問い合わせ結果と、回答なし比率に基づいてＤＮＳの痕跡を検証した結果（ＤＮＳ痕跡検証表２４ａ）とに基づき、サイバー攻撃の脅威内容の診断結果（「検証結果」）をＤＮＳ痕跡検証表（更新後）２４ｂとして出力する処理部である。すなわち、ＤＮＳ痕跡検証部１２は、問い合わせ部および検証部の一例である。
【００５４】
Ｐａｓｓｉｖｅ  ＤＮＳデータベース３１におけるＰａｓｓｉｖｅ  ＤＮＳでは、ゾーンファイル転送ではなく、権威ＤＮＳサーバが返すＤＮＳパケットをキャプチャする。次いで、Ｐａｓｓｉｖｅ  ＤＮＳでは、ｒｅｓｏｕｒｃｅ  ｒｅｃｏｒｄを抽出するのが基本的な考え方である。すなわち、Ｐａｓｓｉｖｅ  ＤＮＳに関するサーバは、ＤＮＳサーバの通信をモニタリング（監視）してドメイン情報とＩＰアドレスとの対応付けに関するＤＮＳサーバの回答履歴をＰａｓｓｉｖｅ  ＤＮＳデータベース３１として管理しており、第２の管理サーバの一例である。
【００５５】
このＰａｓｓｉｖｅ  ＤＮＳにより、ゾーンファイル転送による負荷が大幅に軽減する。また、Ｐａｓｓｉｖｅ  ＤＮＳの利点は、クエリに対する応答についての時間情報とともにｒｅｓｏｕｒｃｅ  ｒｅｃｏｒｄを保存しておけば、インシデント発生などの有事の際に、利用された攻撃インフラのＤＮＳ上の状態を再現できることにある。なお、Ｐａｓｓｉｖｅ  ＤＮＳについては、Ｗｅｉｍｅｒ，  Ｆｌｏｒｉａｎ．  ”Ｐａｓｓｉｖｅ  ＤＮＳ  ｒｅｐｌｉｃａｔｉｏｎ．”  ＦＩＲＳＴ  ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  ｃｏｍｐｕｔｅｒ  ｓｅｃｕｒｉｔｙ  ｉｎｃｉｄｅｎｔ．  ２００５．などの文献のとおり、公知のものである。
【００５６】
ＤＮＳ痕跡検証部１２では、上記のＰａｓｓｉｖｅ  ＤＮＳデータベース３１における回答履歴と、回答なし比率に基づいてＤＮＳの痕跡を検証した結果とをもとに、キャッシュＤＮＳサーバ３０上の過去の挙動に基づく検証結果をＤＮＳ痕跡検証表２４ａに追加して更新したＤＮＳ痕跡検証表（更新後）２４ｂを出力するＤＮＳ痕跡検証処理を行う。
【００５７】
図８は、ＤＮＳ痕跡検証処理の一例を示すフローチャートである。図８に示すように、処理が開始されると、ＤＮＳ痕跡検証部１２は、ＤＮＳ回答評価部１１が出力したＤＮＳ痕跡検証表２４ａの入力を受け付ける（Ｓ２１）。
【００５８】
次いで、ＤＮＳ痕跡検証部１２は、ＤＮＳ痕跡検証表２４ａの中から未選択のドメインを１つ選択する（Ｓ２２）。次いで、ＤＮＳ痕跡検証部１２は、選択したドメインに対してＰａｓｓｉｖｅ  ＤＮＳデータベース３１を参照し（Ｓ２３）、Ｐａｓｓｉｖｅ  ＤＮＳデータベース３１に選択したドメインのレコードが存在するか否かを判定する（Ｓ２４）。
【００５９】
レコードが存在する場合（Ｓ２４：Ｙｅｓ）、ＤＮＳ痕跡検証部１２は、ＤＮＳ痕跡検証表２４ａで選択したドメインに関する「Ｐａｓｓｉｖｅ  ＤＮＳ」の列に「Ｒｅｃｏｒｄｓ  ｅｘｉｓｔ」を格納する（Ｓ２５）。
【００６０】
レコードが存在しない場合（Ｓ２４：Ｎｏ）、ＤＮＳ痕跡検証部１２は、ＤＮＳ痕跡検証表２４ａで選択したドメインに関する「Ｐａｓｓｉｖｅ  ＤＮＳ」の列に「Ｎｏ  Ｒｅｃｏｒｄｓ」を格納する（Ｓ２６）。
【００６１】
次いで、ＤＮＳ痕跡検証部１２は、ＤＮＳ痕跡検証表２４ａの中に未選択のドメインが存在するか否かを判定する（Ｓ２７）。未選択のドメインが存在する場合（Ｓ２７：Ｙｅｓ）、ＤＮＳ痕跡検証部１２は、Ｓ２２へ処理を戻し、未選択のドメインが存在しなくなるまでＳ２２〜Ｓ２７の処理を継続する。
【００６２】
未選択のドメインが存在しない場合（Ｓ２７：Ｎｏ）、ＤＮＳ痕跡検証部１２は、ドメインごとに、「Ａｃｔｉｖｅ  ＤＮＳ」および「Ｐａｓｓｉｖｅ  ＤＮＳ」に応じた「検証結果」を含むＤＮＳ痕跡検証表（更新後）２４ｂを出力し（Ｓ２８）、処理を終了する。
【００６３】
図９は、ＤＮＳ痕跡検証表（更新後）２４ｂの一例を示す説明図である。図９に示すように、ＤＮＳ痕跡検証部１２は、「Ａｃｔｉｖｅ  ＤＮＳ」と「Ｐａｓｓｉｖｅ  ＤＮＳ」がともに「Ｒｅｃｏｒｄｓ  ｅｘｉｓｔ」の場合には、ＤＮＳ上で痕跡が追跡可能な状態であることから、「活動中」とする「検証結果」を出力する。また、「Ａｃｔｉｖｅ  ＤＮＳ」と「Ｐａｓｓｉｖｅ  ＤＮＳ」がともに「Ｎｏ  Ａｎｓｗｅｒ」の場合には、ＤＮＳ上の痕跡が観察されていない状態であることから、「痕跡なし」とする「検証結果」を出力する。この「痕跡なし」は、悪性ドメインとして共有されたにもかかわらずＤＮＳ上の挙動が全く観察されないのは極めて不自然な状況であるので要注意の悪性ドメインとなる。
【００６４】
また、「Ａｃｔｉｖｅ  ＤＮＳ」が「Ｎｏ  Ａｎｓｗｅｒ」であり、「Ｐａｓｓｉｖｅ  ＤＮＳ」が「Ｒｅｃｏｒｄｓ  ｅｘｉｓｔ」である場合は、一定期間ＤＮＳを利用した後にドメインを消滅したと考えられるので、「活動終了」とする「検証結果」を出力する。「Ａｃｔｉｖｅ  ＤＮＳ」が「Ｒｅｃｏｒｄｓ  ｅｘｉｓｔ」であり、「Ｐａｓｓｉｖｅ  ＤＮＳ」が「Ｎｏ  Ａｎｓｗｅｒ」である場合は、基本的には活動中と考えられ、Ｐａｓｓｉｖｅ  ＤＮＳのセンサがないところにＤＮＳ応答パケットが流れたと考えられるので、「活動中」とする「検証結果」を出力する。この「活動中」は、Ｐａｓｓｉｖｅ  ＤＮＳのセンサがないキャッシュＤＮＳサーバ３０における活動と判断できる。
【００６５】
ユーザは、ＤＮＳ痕跡検証表（更新後）２４ｂにおけるドメインごとの「検証結果」を確認することで、各ドメインにおける評価内容および所見を容易に確認することができる。
【００６６】
以上のように、情報処理装置１は、ＤＮＳ問合せ部１０と、ＤＮＳ痕跡検証部１２とを有する。ＤＮＳ問合せ部１０は、入力された検知指標リスト２０に含まれるドメイン情報に基づいて、ドメイン情報とＩＰアドレスとの対応付けを管理する複数のキャッシュＤＮＳサーバ３０にドメイン情報に対応するＩＰアドレスが存在するか否かを問い合わせる。ＤＮＳ痕跡検証部１２は、キャッシュＤＮＳサーバ３０の通信をモニタリングしてドメイン情報とＩＰアドレスとの対応付けに関する回答履歴を管理するＰａｓｓｉｖｅ  ＤＮＳデータベース３１にドメイン情報に関する回答履歴を問い合わせる。また、ＤＮＳ痕跡検証部１２は、キャッシュＤＮＳサーバ３０それぞれから取得した全回答におけるドメイン情報に対するＩＰアドレスが存在しない回答の比率と、Ｐａｓｓｉｖｅ  ＤＮＳデータベース３１から取得した回答履歴とに基づいて、ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する。具体的には、ＤＮＳ痕跡検証部１２は、ドメイン情報に関するサイバー攻撃について検証した、「活動中」、「活動終了」または「痕跡なし」等の診断結果を示すＤＮＳ痕跡検証表（更新後）２４ｂを出力する。
【００６７】
これにより、情報処理装置１では、サイバー攻撃に関する検知指標リスト２０に含まれる悪性ドメインの現状（「活動中」、「活動終了」または「痕跡なし」）をユーザが評価することを支援することができる。例えば、情報処理装置１は、複数のキャッシュＤＮＳサーバ３０からの、全回答におけるＩＰアドレスが存在しない回答の比率に基づいて検証を行うので、一部のキャッシュＤＮＳサーバ３０においてセキュリティのためにブロッキングしている場合であっても、ドメイン消滅の有無を区別することができる。
【００６８】
例えば、ＤＮＳ痕跡検証部１２は、全回答に対する回答なし比率が所定値（回答なし閾値２３）を上回る場合にドメイン情報に対応するＩＰアドレスが存在しないものと診断する。一例として、セキュリティ強化をポリシーとしているキャッシュＤＮＳサーバ３０は数が少ないことから、回答なし閾値２３を比較的高い値（０．８〜０．９）に設定する。これにより、一部のキャッシュＤＮＳサーバ３０においてブロッキングが行われる場合であっても、ドメイン消滅の有無を区別することができる。
【００６９】
また、情報処理装置１は、キャッシュＤＮＳサーバ３０の通信をモニタリングしているＰａｓｓｉｖｅ  ＤＮＳデータベース３１の回答履歴に基づいてドメイン情報に関するサイバー攻撃について検証する。例えば、ＤＮＳ痕跡検証部１２は、ドメイン情報に対応するＩＰアドレスが存在しないものと診断し、ドメイン情報に対応するＩＰアドレスに関する回答履歴に基づくＩＰアドレスの生存期間が存在する場合に、サイバー攻撃の活動が終了したことを示す「活動終了」を出力する。これにより、情報処理装置１は、キャッシュＤＮＳサーバ３０を使っていたがドメインを消滅させた状態である「活動終了」を容易に評価することができる。
【００７０】
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００７１】
また、情報処理装置１で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro  Controller  Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、情報処理装置１で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。
【００７２】
ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図１０は、実施形態にかかる情報処理装置１のハードウエア構成の一例を示すブロック図である。
【００７３】
図１０に示すように、情報処理装置１は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、スピーカ１０４とを有する。また、情報処理装置１は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、情報処理装置１は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、情報処理装置１内の各部（１０１〜１０９）は、バス１１０に接続される。
【００７４】
ハードディスク装置１０９には、上記の実施形態で説明したＤＮＳ問合せ部１０、ＤＮＳ回答評価部１１およびＤＮＳ痕跡検証部１２等における各種の処理を実行するためのプログラム１１１が記憶される。また、ハードディスク装置１０９には、プログラム１１１が参照する各種データ１１２が記憶される。入力装置１０２は、例えば、操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Local  Area  Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。
【００７５】
ＣＰＵ１０１は、ハードディスク装置１０９に記憶されたプログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、ＤＮＳ問合せ部１０、ＤＮＳ回答評価部１１およびＤＮＳ痕跡検証部１２等にかかる各種の処理を行う。なお、プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、情報処理装置１が読み取り可能な記憶媒体に記憶されたプログラム１１１を読み出して実行するようにしてもよい。情報処理装置１が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal  Serial  Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム１１１を記憶させておき、情報処理装置１がこれらからプログラム１１１を読み出して実行するようにしてもよい。
【００７６】
以上の実施形態に関し、さらに以下の付記を開示する。
【００７７】
（付記１）入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とアドレスとの対応付けを管理する複数の第１の管理サーバに前記ドメイン情報に対応するアドレスが存在するか否かを問い合わせるとともに、前記第１の管理サーバの通信をモニタリングしてドメイン情報とアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバに前記ドメイン情報に関する回答履歴を問い合わせ、
前記第１の管理サーバそれぞれから取得した回答における前記ドメイン情報に対応するアドレスが存在しない回答の比率と、前記第２の管理サーバから取得した回答履歴とに基づいて、前記ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する、
処理をコンピュータに実行させることを特徴とするサイバー攻撃評価プログラム。
【００７８】
（付記２）前記出力する処理は、前記回答の比率が所定値を上回る場合に前記ドメイン情報に対応するアドレスが存在しないものと診断する、
ことを特徴とする付記１に記載のサイバー攻撃評価プログラム。
【００７９】
（付記３）前記出力する処理は、前記ドメイン情報に対応するアドレスが存在しないものと診断し、前記ドメイン情報に対応するアドレスに関する回答履歴に基づく当該アドレスの生存期間が存在する場合に、前記ドメイン情報に関するサイバー攻撃の活動が終了したことを示す診断結果を出力する、
ことを特徴とする付記２に記載のサイバー攻撃評価プログラム。
【００８０】
（付記４）前記アドレスは、ＩＰアドレスである、
ことを特徴とする付記１乃至３のいずれか一に記載のサイバー攻撃評価プログラム。
【００８１】
（付記５）入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とアドレスとの対応付けを管理する複数の第１の管理サーバに前記ドメイン情報に対応するアドレスが存在するか否かを問い合わせるとともに、前記第１の管理サーバの通信をモニタリングしてドメイン情報とアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバに前記ドメイン情報に関する回答履歴を問い合わせ、
前記第１の管理サーバそれぞれから取得した回答における前記ドメイン情報に対応するアドレスが存在しない回答の比率と、前記第２の管理サーバから取得した回答履歴とに基づいて、前記ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する、
処理をコンピュータが実行することを特徴とするサイバー攻撃評価方法。
【００８２】
（付記６）前記出力する処理は、前記回答の比率が所定値を上回る場合に前記ドメイン情報に対応するアドレスが存在しないものと診断する、
ことを特徴とする付記５に記載のサイバー攻撃評価方法。
【００８３】
（付記７）前記出力する処理は、前記ドメイン情報に対応するアドレスが存在しないものと診断し、前記ドメイン情報に対応するアドレスに関する回答履歴に基づく当該アドレスの生存期間が存在する場合に、前記ドメイン情報に関するサイバー攻撃の活動が終了したことを示す診断結果を出力する、
ことを特徴とする付記６に記載のサイバー攻撃評価方法。
【００８４】
（付記８）前記アドレスは、ＩＰアドレスである、
ことを特徴とする付記５乃至７のいずれか一に記載のサイバー攻撃評価方法。
【００８５】
（付記９）入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とアドレスとの対応付けを管理する複数の第１の管理サーバに前記ドメイン情報に対応するアドレスが存在するか否かを問い合わせるとともに、前記第１の管理サーバの通信をモニタリングしてドメイン情報とアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバに前記ドメイン情報に関する回答履歴を問い合わせる問合せ部と、
前記第１の管理サーバそれぞれから取得した回答における前記ドメイン情報に対応するアドレスが存在しない回答の比率と、前記第２の管理サーバから取得した回答履歴とに基づいて、前記ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する検証部と、
を有することを特徴とする情報処理装置。
【００８６】
（付記１０）前記検証部は、前記回答の比率が所定値を上回る場合に前記ドメイン情報に対応するアドレスが存在しないものと診断する、
ことを特徴とする付記９に記載の情報処理装置。
【００８７】
（付記１１）前記検証部は、前記ドメイン情報に対応するアドレスが存在しないものと診断し、前記ドメイン情報に対応するアドレスに関する回答履歴に基づく当該アドレスの生存期間が存在する場合に、前記ドメイン情報に関するサイバー攻撃の活動が終了したことを示す診断結果を出力する、
ことを特徴とする付記１０に記載の情報処理装置。
【００８８】
（付記１２）前記アドレスは、ＩＰアドレスである、
ことを特徴とする付記９乃至１１のいずれか一に記載の情報処理装置。
【符号の説明】
【００８９】
１…情報処理装置
１０…ＤＮＳ問合せ部
１１…ＤＮＳ回答評価部
１２…ＤＮＳ痕跡検証部
２０…検知指標リスト
２１…問合せ先ＤＮＳリスト
２２…ＤＮＳ回答表
２３…回答なし閾値
２４ａ…ＤＮＳ痕跡検証表
２４ｂ…ＤＮＳ痕跡検証表（更新後）
３０、３０ａ〜３０ｉ…キャッシュＤＮＳサーバ
３１…Ｐａｓｓｉｖｅ  ＤＮＳデータベース
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…スピーカ
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…プログラム
１１２…各種データ
【図１】
2020119376.tif 000003
【図２】
2020119376.tif 000004
【図３】
2020119376.tif 000005
【図４】
2020119376.tif 000006
【図５】
2020119376.tif 000007
【図６】
2020119376.tif 000008
【図７】
2020119376.tif 000009
【図８】
2020119376.tif 000010
【図９】
2020119376.tif 000011
【図１０】
2020119376.tif 000012