(57)【要約】【課題】サイバー攻撃に関する検知指標の評価を支援する。【解決手段】実施形態のサイバー攻撃評価プログラムは、問い合わせる処理と、出力する処理とをコンピュータに実行させる。問い合わせる処理は、入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバにドメイン情報に対応するＩＰアドレスが存在するか否かを問い合わせる。また、問い合わせる処理は、第１の管理サーバの通信を監視してドメイン情報とＩＰアドレスとの対応付けに関する第１の管理サーバの回答履歴を管理する第２の管理サーバにドメイン情報に関する回答履歴を問い合わせる。出力する処理は、第１の管理サーバから取得した回答結果と、第２の管理サーバから取得した回答履歴とに基づいて、ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する。【選択図】図１
2020072384.tif 000002
【特許請求の範囲】
【請求項１】
入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバに前記ドメイン情報に対応するＩＰアドレスが存在するか否かを問い合わせるとともに、前記第１の管理サーバの通信を監視してドメイン情報とＩＰアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバに前記ドメイン情報に関する回答履歴を問い合わせ、
前記第１の管理サーバから取得した回答結果と、前記第２の管理サーバから取得した回答履歴とに基づいて、前記ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する、
処理をコンピュータに実行させることを特徴とするサイバー攻撃評価プログラム。
【請求項２】
前記出力する処理は、前記回答結果において前記ドメイン情報に対応するＩＰアドレスが存在する場合に、当該ドメイン情報に関する回答履歴に基づいて予測した前記ドメイン情報に対応するＩＰアドレスの前記サイバー攻撃における使用期間を出力する、
ことを特徴とする請求項１に記載のサイバー攻撃評価プログラム。
【請求項３】
前記出力する処理は、前記ドメイン情報に対応するＩＰアドレスに関する回答履歴に基づく当該ＩＰアドレスの生存期間に基づいて前記使用期間を予測する、
ことを特徴とする請求項２に記載のサイバー攻撃評価プログラム。
【請求項４】
前記出力する処理は、前記ドメイン情報に関する回答履歴に基づいてカウントした前記ドメイン情報に対応するＩＰアドレスの総数と、前記生存期間が所定の期間未満であるＩＰアドレスの数との使い捨て比率に基づいて前記使用期間を予測する、
ことを特徴とする請求項３に記載のサイバー攻撃評価プログラム。
【請求項５】
前記出力する処理は、前記ドメイン情報に対応するＩＰアドレスに関する回答履歴に基づき、当該回答履歴に含まれる最古の日付と現在の日付との比較結果による前記ドメイン情報に関するサイバー攻撃の有効度合を出力する、
ことを特徴とする請求項１乃至４のいずれか一項に記載のサイバー攻撃評価プログラム。
【請求項６】
入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバに前記ドメイン情報に対応するＩＰアドレスが存在するか否かを問い合わせるとともに、前記第１の管理サーバの通信を監視してドメイン情報とＩＰアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバに前記ドメイン情報に関する回答履歴を問い合わせ、
前記第１の管理サーバから取得した回答結果と、前記第２の管理サーバから取得した回答履歴とに基づいて、前記ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する、
処理をコンピュータが実行することを特徴とするサイバー攻撃評価方法。
【請求項７】
入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバに前記ドメイン情報に対応するＩＰアドレスが存在するか否かを問い合わせるとともに、前記第１の管理サーバの通信を監視してドメイン情報とＩＰアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバに前記ドメイン情報に関する回答履歴を問い合わせるドメイン情報処理部と、
前記第１の管理サーバから取得した回答結果と、前記第２の管理サーバから取得した回答履歴とに基づいて、前記ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する診断部と、
を有することを特徴とする情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、サイバー攻撃評価プログラム、サイバー攻撃評価方法および情報処理装置に関する。
【背景技術】
【０００２】
近年、ネットワークを経由した不正アクセスなどのサイバー攻撃が深刻な問題となっている。このサイバー攻撃の対処には、日々観測される膨大なサイバー攻撃情報を分析して攻撃元からの悪性通信を検知することが重要である。
【０００３】
この悪性通信を検知するために古くからある手法の１つは、悪性ドメインのブラックリストの利用である。このブラックリストは、テキスト形式やＣＳＶ（Comma-Separated  Values）形式、ドキュメントであればＰＤＦ（Portable  Document  Format）形式などでも受信することが可能である。
【０００４】
また、攻撃者のプロファイル情報のレポートであるサイバー脅威インテリジェンスの共有のための標準化の議論も国際的に進められており、ＳＴＩＸ（Structured  Threat  Information  eXpression）などの形式が存在する。ＳＴＩＸは、サイバー攻撃活動（Campaigns）、攻撃者（Threat_Actors）、攻撃手口（TTPs）、検知指標（Indicators）、観測事象（Observables）、インシデント（Incidents）、対処措置（Courses_Of_Action）、攻撃対象（Exploit_Targets）の８つの情報群から構成されている。また、ＳＴＩＸバージョン１．１．１時点では、ＸＭＬ（eXtensible  Markup  Language）形式で記述される。
【０００５】
このようなブラックリストやサイバー脅威インテリジェンスなどの検知指標には、悪性ドメイン、ＩＰ（Internet  Protocol）アドレス、ＵＲＬ（Uniform  Resource  Locator）などの情報が含まれている。そして、検知指標に含まれる悪性ドメイン、ＩＰアドレス、ＵＲＬなどの攻撃元の情報を悪性通信の検知に利用する悪性Ｗｅｂサイト識別手法が従来技術として知られている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】国際公開第２０１６／１９４９０９号
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、ブラックリストやサイバー脅威インテリジェンスなどの検知指標は、公開された時点において有用な静的なものであり、現時点で有用であるかを評価することは困難である。
【０００８】
例えば、サイバー攻撃を仕掛ける攻撃者は、分析者の追跡から逃れるために、攻撃インフラであるＩＰアドレスやドメイン、またマルウェアなどを短時間で変更したり、削除したりする。このように、攻撃者が悪性ドメインの運用を停止したとしても公開後の検知指標には反映されず、運用上は定期的な検知指標の更新に頼ることとなる。
【０００９】
１つの側面では、サイバー攻撃に関する検知指標の評価を支援可能とするサイバー攻撃評価プログラム、サイバー攻撃評価方法および情報処理装置を提供することを目的とする。
【課題を解決するための手段】
【００１０】
１つの案では、サイバー攻撃評価プログラムは、問い合わせる処理と、出力する処理とをコンピュータに実行させる。問い合わせる処理は、入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバにドメイン情報に対応するＩＰアドレスが存在するか否かを問い合わせる。また、問い合わせる処理は、第１の管理サーバの通信を監視してドメイン情報とＩＰアドレスとの対応付けに関する第１の管理サーバの回答履歴を管理する第２の管理サーバにドメイン情報に関する回答履歴を問い合わせる。出力する処理は、第１の管理サーバから取得した回答結果と、第２の管理サーバから取得した回答履歴とに基づいて、ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する。
【発明の効果】
【００１１】
本発明の１実施態様によれば、サイバー攻撃に関する検知指標の評価を支援することができる。
【図面の簡単な説明】
【００１２】
【図１】図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。
【図２】図２は、監視処理の一例を示すフローチャートである。
【図３】図３は、ｄｉｇコマンドによるクエリの一例を示す説明図である。
【図４】図４は、履歴学習処理の一例を示すフローチャートである。
【図５】図５は、ＤＮＳ履歴リストの一例を示す説明図である。
【図６】図６は、診断処理の一例を示すフローチャートである。
【図７】図７は、生存期間学習処理の一例を示すフローチャートである。
【図８】図８は、生存期間学習データの一例を示す説明図である。
【図９】図９は、使用期間予測処理の一例を示すフローチャートである。
【図１０】図１０は、使用期間予測データの一例を示す説明図である。
【図１１】図１１は、鮮度評価処理の一例を示すフローチャートである。
【図１２】図１２は、鮮度評価データの一例を示す説明図である。
【図１３】図１３は、所見判定処理の一例を示すフローチャートである。
【図１４】図１４は、診断結果の一例を示す説明図である。
【図１５】図１５は、実施形態にかかる情報処理装置のハードウエア構成の一例を示すブロック図である。
【発明を実施するための形態】
【００１３】
以下、図面を参照して、実施形態にかかるサイバー攻撃評価プログラム、サイバー攻撃評価方法および情報処理装置を説明する。実施形態において同一の機能を有する構成には同一の符号を付し、重複する説明は省略する。なお、以下の実施形態で説明するサイバー攻撃評価プログラム、サイバー攻撃評価方法および情報処理装置は、一例を示すに過ぎず、実施形態を限定するものではない。また、以下の各実施形態は、矛盾しない範囲内で適宜組みあわせてもよい。
【００１４】
図１は、実施形態にかかる情報処理装置の機能構成例を示すブロック図である。実施形態にかかる情報処理装置１は、例えば、ＰＣ（パーソナルコンピュータ）などのコンピュータである。
【００１５】
図１に示すように、情報処理装置１は、悪性通信の検知に利用するための検知指標についての検知指標リスト２０の入力を受け付ける。検知指標リスト２０は、サイバー脅威インテリジェンスから抽出して作成したいわゆるブラックリストであり、攻撃元に関する悪性ドメインについてのドメイン情報（例えば、「ｘｘｘ．ｘｘｘ．ｃｏｍ」、「ｙｙｙ．ｙｙｙｙ．ｏｒｇ」などの悪性ドメインに関するドメイン名）を検知指標として含むものとする。すなわち、検知指標リスト２０における検知指標は、サイバー攻撃情報の一例である。
【００１６】
より具体的には、検知指標リスト２０は、公開されている悪性ドメインのブラックリストからピックアップしたリストや、特定の攻撃（キャンペーンやマルウェア）のプロファイル情報であるサイバー脅威インテリジェンスに記載の検知指標からパーサなどで処理したリストである。
【００１７】
情報処理装置１は、入力された検知指標リスト２０について、ドメイン情報に関するサイバー攻撃の脅威内容を診断した診断結果２３を出力する。この診断結果２３により、ユーザは、検知指標リスト２０に含まれる悪性ドメインが現状、悪性通信の検知において有用であるか否かを評価することができる。
【００１８】
具体的には、情報処理装置１は、ＤＮＳ監視部１０と、ＤＮＳ履歴学習部１１と、検知指標診断部１２とを有する。
【００１９】
ＤＮＳ監視部１０は、入力された検知指標リスト２０のドメイン情報に基づいて、ドメイン情報とＩＰアドレスとの対応付けを管理するＤＮＳ（Domain  Name  System）サーバより、ドメイン情報に対応するＩＰアドレスが存在するか否かを問い合わせる監視処理を行う処理部である。すなわち、ＤＮＳサーバは、ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバの一例である。
【００２０】
なお、ＤＮＳ監視部１０は、Ａｃｔｉｖｅ  ＤＮＳにより自らクエリを出してドメイン情報とＩＰアドレスとの対応付けについての情報を収集するものであればよく、問い合わせ先の管理サーバはＤＮＳサーバに限定しない。Ａｃｔｉｖｅ  ＤＮＳについては、Kountouras,  Athanasios,  et  al.  "Enabling  network  security  through  active  DNS  datasets."  International  Symposium  on  Research  in  Attacks,  Intrusions,  and  Defenses.  Springer,  Cham,  2016.などの文献のとおり、公知のものである。
【００２１】
このＡｃｔｉｖｅ  ＤＮＳでは，クエリを出すためのドメインの「種」を準備する。この「種」は、権威ＤＮＳサーバのゾーンファイル、ｗｅｂクローリング、Ａｌｅｘａのトップリストや公開されているブラックリスト等を参照することにより入手可能である。種を網羅的に準備できると、Ｐａｓｓｉｖｅ  ＤＮＳ（詳細は後述する）よりも広くＤＮＳの情報を収集可能だが、種収集のコストとのトレードオフがある。
【００２２】
ＤＮＳ監視部１０は、問い合わせの結果、ドメイン情報とＩＰアドレスとの対応付けが現在もある、すなわち生存するドメイン情報を生存ドメインリスト２１として出力する。
【００２３】
図２は、監視処理の一例を示すフローチャートである。図２に示すように、処理が開始されると、ＤＮＳ監視部１０は、検知指標リスト２０の入力を受け付ける（Ｓ１）。
【００２４】
次いで、ＤＮＳ監視部１０は、検知指標リスト２０の未選択のドメインの中からドメインを１つ選択し、ＤＮＳサーバに選択したドメインについてのクエリを出す（Ｓ２）。
【００２５】
図３は、ｄｉｇコマンドによりクエリの一例を示す説明図である。図３に示すように、Ｌｉｎｕｘ（登録商標）系などのＯＳ（Operating  System）であれば、ｄｉｇコマンドによってＤＮＳサーバにクエリを出す。図示例では、「ｗｗｗ．ＸＸＸＸＸＸ．ｃｏ．ｊｐ」のＩＰアドレスをｄｉｇコマンドによりＤＮＳサーバに値を問い合わせている。この問い合わせに対し、「；；  ＡＮＳＷＥＲ  ＳＥＣＴＩＯＮ：」の次の行の「ＩＮ  Ａ」  につづいて、「ｗｗｗ．ＸＸＸＸＸＸ．ｃｏ．ｊｐ」のＡレコード（ＩＰアドレス）が「ＸＸＸ．ＸＸＸ．ＸＸＸ．ＸＸＸ」と返ってきている。なお、ｄｉｇには様々なオプションが存在するが、ここでは説明を割愛する。
【００２６】
図２に戻り、Ｓ２についで、ＤＮＳ監視部１０は、クエリに対する応答にＡレコード（ＩＰアドレス）が存在するか否かを判定する（Ｓ３）。Ａレコードが存在する場合（Ｓ３：Ｙｅｓ）、ＤＮＳ監視部１０は、選択したドメインを生存ドメインリスト２１に格納する（Ｓ４）。Ａレコードが存在しない場合（Ｓ３：Ｎｏ）は、選択したドメインに対するＡレコードがＤＮＳ上に登録されていないことを意味し、ＤＮＳ監視部１０は、Ｓ４の処理を行わずにＳ５へ処理を進める。
【００２７】
次いで、ＤＮＳ監視部１０は、検知指標リスト２０の中に未選択のドメインが存在するか否かを判定する（Ｓ５）。未選択のドメインが存在する場合（Ｓ５：Ｙｅｓ）、ＤＮＳ監視部１０は、Ｓ２へ処理を戻し、未選択のドメインが存在しなくなるまでＳ２〜Ｓ５の処理を継続する。
【００２８】
未選択のドメインが存在しない場合（Ｓ５：Ｎｏ）、ＤＮＳ監視部１０は、検知指標リスト２０に含まれるドメインの中の、Ａレコードが存在するドメインの生存ドメインリスト２１を出力し（Ｓ６）、処理を終了する。
【００２９】
図１に戻り、ＤＮＳ履歴学習部１１は、入力された検知指標リスト２０のドメイン情報に基づいて、Ｐａｓｓｉｖｅ  ＤＮＳに関するサーバが管理するＰａｓｓｉｖｅ  ＤＮＳデータベース３０に問い合わせる履歴学習処理を行う処理部である。ＤＮＳ履歴学習部１１は、検知指標リスト２０のドメイン情報についての問い合わせ結果をＤＮＳ履歴リスト２２として出力する。
【００３０】
Ｐａｓｓｉｖｅ  ＤＮＳでは、ゾーンファイル転送ではなく、権威ＤＮＳサーバが返すＤＮＳパケットをキャプチャしｒｅｓｏｕｒｃｅ  ｒｅｃｏｒｄを抽出するのが基本的な考え方である。すなわち、Ｐａｓｓｉｖｅ  ＤＮＳに関するサーバは、ＤＮＳサーバの通信をモニタリング（監視）してドメイン情報とＩＰアドレスとの対応付けに関するＤＮＳサーバの回答履歴をＰａｓｓｉｖｅ  ＤＮＳデータベース３０として管理しており、第２の管理サーバの一例である。また、ＤＮＳ履歴学習部１１およびＤＮＳ監視部１０は、ドメイン情報処理部の一例である。
【００３１】
このＰａｓｓｉｖｅ  ＤＮＳにより、ゾーンファイル転送による負荷が大幅に軽減する。また、Ｐａｓｓｉｖｅ  ＤＮＳの利点は、クエリに対する応答についての時間情報とともにｒｅｓｏｕｒｃｅ  ｒｅｃｏｒｄを保存しておけば、インシデント発生などの有事の際に、利用された攻撃インフラのＤＮＳ上の状態を再現できることにある。なお、Ｐａｓｓｉｖｅ  ＤＮＳについては、Ｗｅｉｍｅｒ，  Ｆｌｏｒｉａｎ．  “Ｐａｓｓｉｖｅ  ＤＮＳ  ｒｅｐｌｉｃａｔｉｏｎ．”  ＦＩＲＳＴ  ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  ｃｏｍｐｕｔｅｒ  ｓｅｃｕｒｉｔｙ  ｉｎｃｉｄｅｎｔ．  ２００５．などの文献のとおり、公知のものである。
【００３２】
図４は、履歴学習処理の一例を示すフローチャートである。図４に示すように、処理が開始されると、ＤＮＳ履歴学習部１１は、検知指標リスト２０の入力を受け付ける（Ｓ１１）。
【００３３】
次いで、ＤＮＳ履歴学習部１１は、検知指標リスト２０の未選択のドメインの中からドメインを１つ選択する（Ｓ１２）。次いで、ＤＮＳ履歴学習部１１は、Ｐａｓｓｉｖｅ  ＤＮＳのサーバへの問い合わせにより、選択したドメインに関するレコードがＰａｓｓｉｖｅ  ＤＮＳデータベース３０に存在するか否かを判定する（Ｓ１３）。
【００３４】
例えば、Ｐａｓｓｉｖｅ  ＤＮＳは、サービス提供元によってフォーマットは異なるが、あるドメインに対するＡレコードと、そのＡレコードに対するクエリの履歴をＰａｓｓｉｖｅ  ＤＮＳデータベース３０にレコードとして登録している。具体的には、Ａレコードに対するクエリが初めて観察された日時（ｆｉｒｓｔ  ｓｅｅｎ）と、最後に観察された日時（ｌａｓｔ  ｓｅｅｎ）との回答履歴をＡレコードとともにＰａｓｓｉｖｅ  ＤＮＳデータベース３０に登録している。
【００３５】
選択したドメインに関するレコードが存在する場合（Ｓ１３：Ｙｅｓ）、ＤＮＳ履歴学習部１１は、選択したドメインについてＡレコード（ＩＰアドレス）のデータが存在するか否かを判定する（Ｓ１４）。Ｐａｓｓｉｖｅ  ＤＮＳのレコードの中にはＡレコード（ＩＰアドレス）だけでなく、ＮＳレコードやＳＯＡレコードなども格納されている場合もあるので、Ａレコードに関するデータが存在するかを調べる。
【００３６】
Ａレコードが存在する場合（Ｓ１４：Ｙｅｓ）、ＤＮＳ履歴学習部１１は、Ｐａｓｓｉｖｅ  ＤＮＳのレコードからＡレコードと、ｆｉｒｓｔ  ｓｅｅｎと、ｌａｓｔ  ｓｅｅｎとを抽出し、ＤＮＳ履歴リスト２２に格納する（Ｓ１５）。
【００３７】
図５は、ＤＮＳ履歴リスト２２の一例を示す説明図である。図５に示すように、ＤＮＳ履歴リスト２２は、検知指標リスト２０の「ドメイン」について、Ｐａｓｓｉｖｅ  ＤＮＳのサーバへの問い合わせ結果により得られた「Ａレコード」、「ｆｉｒｓｔ  ｓｅｅｎ」および「ｌａｓｔ  ｓｅｅｎ」を格納する。例えば、「Ａレコード」には、「ドメイン」に対してＰａｓｓｉｖｅ  ＤＮＳから参照できたＡレコード（例えば、「ｘｘｘ．ｘｘｘｘ．ｃｏｍ」に対するＩＰアドレス「ａａａ．ａａａ．ａａａ．ａａａ」など）が格納される。また、「ｆｉｒｓｔ  ｓｅｅｎ」と「ｌａｓｔ  ｓｅｅｎ」には、それぞれ参照できたＡレコードに対するｆｉｒｓｔ  ｓｅｅｎ  とｌａｓｔ  ｓｅｅｎのデータが格納される。
【００３８】
図４に戻り、選択したドメインに関するレコードが存在しない場合（Ｓ１３：Ｎｏ）や、レコードが存在してもＡレコードが存在しない場合（Ｓ１４：Ｎｏ）、ＤＮＳ履歴学習部１１は、Ｓ１５の処理を行うことなく、Ｓ１６へ処理を進める。例えば、どの権威ＤＮＳサーバの近くにセンサを置くかによってキャプチャできるＤＮＳパケットが変わることから、選択したドメインに関するレコードが存在しない場合もある。また、ＳＯＡレコードなどのみが格納されている場合には、ドメインが存在してもＡレコードが存在しない場合もある。
【００３９】
次いで、ＤＮＳ履歴学習部１１は、検知指標リスト２０の中に未選択のドメインが存在するか否かを判定する（Ｓ１６）。未選択のドメインが存在する場合（Ｓ１６：Ｙｅｓ）、ＤＮＳ履歴学習部１１は、Ｓ１２へ処理を戻し、未選択のドメインが存在しなくなるまでＳ１２〜Ｓ１６の処理を継続する。未選択のドメインが存在しない場合（Ｓ１６：Ｎｏ）、ＤＮＳ履歴学習部１１は、ＤＮＳ履歴リスト２２を出力し（Ｓ１７）、処理を終了する。
【００４０】
図１に戻り、検知指標診断部１２は、ＤＮＳから取得した生存ドメインリスト２１と、Ｐａｓｓｉｖｅ  ＤＮＳから取得したＤＮＳ履歴リスト２２とに基づいて、検知指標リスト２０のドメイン情報に関するサイバー攻撃の脅威内容の診断結果２３を出力する診断処理を行う処理部である。すなわち、検知指標診断部１２は、診断部の一例である。
【００４１】
図６は、診断処理の一例を示すフローチャートである。図６に示すように、処理が開始されると、検知指標診断部１２は、検知指標リスト２０、生存ドメインリスト２１およびＤＮＳ履歴リスト２２の履歴データの入力を受け付ける（Ｓ２１）。
【００４２】
次いで、検知指標診断部１２は、検知指標リスト２０の未選択のドメインの中からドメインを１つ選択する（Ｓ２２）。次いで、検知指標診断部１２は、選択したドメインについて、生存期間学習を実施する（Ｓ２３）。この生存期間学習では、選択したドメインについて、Ｐａｓｓｉｖｅ  ＤＮＳ上の生存期間を学習する処理である。具体的には、選択したドメインにおけるＤＮＳ履歴リスト２２の履歴データをもとに、ＤＮＳパケットが観察されていた期間、すなわちｆｉｒｓｔ  ｓｅｅｎから  ｌａｓｔ  ｓｅｅｎまでに経過した日数で評価する。なお、精度を重視する場合には秒数まで評価してもかまわない。
【００４３】
図７は、生存期間学習処理の一例を示すフローチャートである。図７に示すように、生存期間学習（Ｓ２３）が開始されると、検知指標診断部１２は、選択したドメインについて、ＤＮＳ履歴リスト２２の履歴データを参照する（Ｓ３１）。
【００４４】
次いで、検知指標診断部１２は、選択したドメインに対して、Ｐａｓｓｉｖｅ  ＤＮＳに登録されていたＡレコードの中から未選択のものを１つ選択する（Ｓ３２）。次いで、検知指標診断部１２は、選択したＡレコードについて、ｆｉｒｓｔ  ｓｅｅｎからｌａｓｔ  ｓｅｅｎまでの経過日数を計算する（Ｓ３３）。ここで、検知指標診断部１２は、計算した結果を生存期間学習データとしてメモリに一時記憶する。
【００４５】
図８は、生存期間学習データの一例を示す説明図である。図８に示すように生存期間学習データ２４は、「ドメイン」に対し、Ｐａｓｓｉｖｅ  ＤＮＳに登録されていた「Ａレコード」と、計算した経過日数の「生存期間」を有する。例えば，図５のドメイン「ｘｘｘ．ｘｘｘｘ．ｃｏｍ」に対するＡレコード「ａａａ．ａａａ．ａａａ．ａａａ」のｆｉｒｓｔ  ｓｅｅｎが  ２０１８年８月１日０時０分０秒、ｌａｓｔ  ｓｅｅｎが２０１８年８月７日０時０分０秒なので、「生存期間」は６日と計算される。これにより、図８の例では、「ドメイン」の「ｘｘｘ．ｘｘｘｘ．ｃｏｍ」に対し、「Ａレコード」に「ａａａ．ａａａ．ａａａ．ａａａ」、「生存期間」に「６（日）」が格納される。なお、経過期間の１日未満は切り下げで評価してもよい。
【００４６】
次いで、検知指標診断部１２は、Ｐａｓｓｉｖｅ  ＤＮＳに登録されていたＡレコードの中で未選択のＡレコードが存在するか否かを判定する（Ｓ３４）。未選択のＡレコードが存在する場合（Ｓ３４：Ｙｅｓ）、検知指標診断部１２は、Ｓ３２へ処理を戻し、未選択のＡレコードが存在しなくなるまでＳ３２〜Ｓ３４の処理を継続する。未選択のＡレコードが存在しない場合（Ｓ３４：Ｎｏ）、検知指標診断部１２は、学習した生存期間、すなわち生存期間学習データ２４を出力し（Ｓ３５）、処理を終了する。
【００４７】
図６に戻り、Ｓ２３に次いで、検知指標診断部１２は、Ｓ２２で選択したドメインが生存ドメインリスト２１に含まれるか否かを判定する（Ｓ２４）。生存ドメインリスト２１に含まれる場合（Ｓ２４：ＹＥＳ）、検知指標診断部１２は、生存しているドメインについて使用期間の予測（Ｓ２５）と、鮮度評価（Ｓ２６）とを行う。生存ドメインリスト２１に含まれない場合（Ｓ２４：Ｎｏ）、検知指標診断部１２は、Ｓ２５、Ｓ２６の処理を行わずにＳ２７へ処理を進める。
【００４８】
使用期間の予測（Ｓ２５）では、Ｓ２３で学習した生存期間（生存期間学習データ２４）を基にして、今後どの程度の期間、Ａレコードが登録され続け、使用されそうかを予測する。また、鮮度評価（Ｓ２６）では、ドメインに対するＡレコードのｆｉｒｓｔ  ｓｅｅｎが示す鮮度を評価する。この鮮度は、検知指標として今も有効か否かの有効度合を示す値である。例えばｆｉｒｓｔ  ｓｅｅｎが現時点に近いほど鮮度がよく、今も検知指標として有効であることがわかる。
【００４９】
図９は、使用期間予測処理の一例を示すフローチャートである。図９に示すように、使用期間予測処理（Ｓ２５）が開始されると、検知指標診断部１２は、選択したドメインについて、ＤＮＳ履歴リスト２２の履歴データを参照する（Ｓ４１）。
【００５０】
次いで、検知指標診断部１２は、選択しているドメインに関連するＡレコードの中で、ｌａｓｔ  ｓｅｅｎが現在に最も近いものを選択する（Ｓ４２）。次いで、検知指標診断部１２は、生存期間学習データ２４をもとに、選択したＡレコードの生存期間が、所定の長寿閾値よりも長いかを判定する（Ｓ４３）。この長寿閾値は、機械学習等によって事前に数か月や１年といった値を予め設定しておく。
【００５１】
選択したＡレコードの生存期間が長寿閾値よりも長い場合（Ｓ４３：Ｙｅｓ）、検知指標診断部１２は、選択したＡレコードの使用期間を長期にわたり使用が予測される長期間と評価する（Ｓ４５）。
【００５２】
選択したＡレコードの生存期間が長寿閾値よりも短い場合（Ｓ４３：Ｎｏ）、検知指標診断部１２は、Ａレコードの数をカウントし、使い捨て比率を評価する（Ｓ４６）。なお、Ａレコードが使い捨てかどうかの生存期間の閾値は事前に１日や１週間といった値を設定しておく。そして、検知指標診断部１２は、使い捨て比率を、全てのＡレコードの数に対して、生存期間が使い捨てと評価されたＡレコードの数の比率で評価する。
【００５３】
次いで、検知指標診断部１２は、使い捨て比率が事前に設定した使い捨て閾値を上回るか否かを判定する（Ｓ４７）。使い捨て比率が閾値を上回る場合（Ｓ４７：Ｙｅｓ）、検知指標診断部１２は、選択したＡレコードの使用期間を短期で使用が終了すると予測される短期間と評価する（Ｓ４８）。また、使い捨て比率が閾値を上回らない場合（Ｓ４７：Ｎｏ）、検知指標診断部１２は、使用期間を評価なしとする（Ｓ４９）。次いで、検知指標診断部１２は、使い捨て比率およびＳ４５、Ｓ４８、Ｓ４９における使用期間の評価結果を出力し（Ｓ５０）、処理を終了する。
【００５４】
基本的には、ドメインが同じであるＡレコードは概ね同様の運用が踏襲されるという仮定を置き、生存期間が長ければこれからの使用期間も長く、関連する多くのＡレコードの生存期間が短ければ現状生存の検知指標も使用期間が短いと予測する。また、それらの材料がなければ，使用期間の予測ができる材料がそろっていないので評価なしとする。
【００５５】
図１０は、使用期間予測データの一例を示す説明図である。使用期間予測処理を行うことで、検知指標診断部１２は、図１０に示すような使用期間予測データ２５を出力する。具体的には、使用期間予測データ２５は、選択した「ドメイン」について、「Ａレコード数」、「使い捨て比率」および「使用期間」を有する。「Ａレコード数」にはカウントしたＡレコードの数が格納される。また、「使い捨て比率」には評価した使い捨て比率の値が格納される。また、「使用期間」には評価した使用期間の値が格納される。
【００５６】
図１１は、鮮度評価処理の一例を示すフローチャートである。図１１に示すように、処理が開始されると、検知指標診断部１２は、選択したドメインについて、ＤＮＳ履歴リスト２２の履歴データを参照する（Ｓ６１）。
【００５７】
次いで、検知指標診断部１２は、選択したドメインに対する未選択のＡレコードの中からＡレコードを１つ選択する（Ｓ６２）。次いで、検知指標診断部１２は、選択したＡレコードのｆｉｒｓｔ  ｓｅｅｎを参照する（Ｓ６３）。
【００５８】
次いで、検知指標診断部１２は、選択したＡレコードが最初に処理するＡレコードであるか否かを判定する（Ｓ６４）。最初に処理するＡレコードである場合（Ｓ６４：Ｙｅｓ）、検知指標診断部１２は、選択したＡレコードをそのまま最古のＡレコードとして登録する（Ｓ６５）。
【００５９】
最初に処理するＡレコードでない場合（Ｓ６４：Ｎｏ）、検知指標診断部１２は、最古のＡレコードのｆｉｒｓｔ  ｓｅｅｎよりも、選択したＡレコードのｆｉｒｓｔ  ｓｅｅｎの方が日時が前であるか否かを判定する（Ｓ６６）。選択したＡレコードのｆｉｒｓｔ  ｓｅｅｎのほうが古い場合（Ｓ６６：Ｙｅｓ）、検知指標診断部１２は、選択したＡレコードを最古のＡレコードとして登録する（Ｓ６５）。
【００６０】
選択したＡレコードのｆｉｒｓｔ  ｓｅｅｎのほうが古くない場合（Ｓ６６：Ｎｏ）、検知指標診断部１２は、選択したＡレコードを最古のＡレコードとして登録することなく、Ｓ６７へ処理を進める。
【００６１】
次いで、検知指標診断部１２は、未選択のＡレコードが存在するか否かを判定する（Ｓ６７）。未選択のＡレコードが存在する場合（Ｓ６７：Ｙｅｓ）、検知指標診断部１２は、Ｓ６２へ処理を戻し、未選択のＡレコードが存在しなくなるまでＳ６２〜Ｓ６７の処理を継続する。未選択のＡレコードが存在しない場合（Ｓ６７：Ｎｏ）、検知指標診断部１２は、最終的な最古Ａレコードを登録し、ｆｉｒｓｔ  ｓｅｅｎと現時点とを比較して時間差を求める（Ｓ６８）。
【００６２】
次いで、検知指標診断部１２は、Ｓ６８の時間差に基づく評価結果を鮮度評価結果として出力し（Ｓ６９）、処理を終了する。例えば、検知指標診断部１２は、ｆｉｒｓｔ  ｓｅｅｎが事前に設定した新鮮かどうかの期限以内であれば、新鮮と評価する。なお、新鮮かどうかの期限は、ユーザがパラメータとして与えてもよい。例えば１週間以内や１か月以内といった要領であらかじめ与えてもよい。また、新鮮と評価されなかった場合には、評価なしとしてもよい。
【００６３】
図１２は、鮮度評価データの一例を説明する説明図である。鮮度評価処理を行うことで、検知指標診断部１２は、図１２に示すような鮮度評価データ２６を出力する。具体的には、鮮度評価データ２６は、選択した「ドメイン」について、「最古Ａレコード」、「ｆｉｒｓｔ  ｓｅｅｎ」、「ｌａｓｔ  ｓｅｅｎ」および「鮮度」を有する。「最古Ａレコード」には、最終的な最古のＡレコードが格納される。また、「ｆｉｒｓｔ  ｓｅｅｎ」と「ｌａｓｔ  ｓｅｅｎ」には、最古のＡレコードのｆｉｒｓｔ  ｓｅｅｎとｌａｓｔ  ｓｅｅｎがそれぞれ格納される。「鮮度」は、ｆｉｒｓｔ  ｓｅｅｎと現時点との時間差による評価結果が格納される。例えば、現時点が２０１８年８月７日、新鮮かどうかのパラメータを１週間と設定している場合、ｆｉｒｓｔ  ｓｅｅｎが２０１８年８月１日であれば、１週間以内なので新鮮と評価したデータが格納される。
【００６４】
図６に戻り、Ｓ２６に次いで、検知指標診断部１２は、選択したドメインについて、ここまでの格納してきた診断結果（生存期間学習データ２４、使用期間予測データ２５および鮮度評価データ２６）をもとに所見判定を行う（Ｓ２７）。
【００６５】
図１３は、所見判定処理の一例を示すフローチャートである。図１３に示すように、所見判定処理（Ｓ２７）が開始されると、検知指標診断部１２は、鮮度評価データ２６をもとに、鮮度の評価が新鮮であるか否かを判定する（Ｓ７１）。
【００６６】
鮮度評価が新鮮である場合（Ｓ７１：Ｙｅｓ）、検知指標診断部１２は、「新規活動」という所見を追加する（Ｓ７２）。この「新規活動」は、活動自体がはじまったばかりで、これから活動が活発になる可能性もあるので、利用者に注意を促す所見である。
【００６７】
次いで、検知指標診断部１２は、生存期間学習データ２４をもとに、生存期間が一定期間以上（例えば１年以上など）であるか否かを判定する（Ｓ７３）。生存期間が一定期間以上である場合（Ｓ７３：Ｙｅｓ）、検知指標診断部１２は、「安定運用中」という所見を追加する（Ｓ７４）。この「安定運用中」という所見では、ブラックリストに載っているこのドメインの運用状況に大きな変化はなく、引き続き同じような運用を継続することを利用者に伝える。
【００６８】
次いで、検知指標診断部１２は、使用期間予測データ２５をもとに、使用期間が短期間であるか否かを判定する（Ｓ７５）。使用期間が短期間である場合（Ｓ７５：Ｙｅｓ）、検知指標診断部１２は、「短期活動」という所見を追加する（Ｓ７６）。この「短期活動」という所見では、そのドメインの活動が短期間で変化する可能性があることを利用者に注意喚起し、脅威情報の収集や、ブラックリストの更新について、留意すべきことを利用者に伝える。
【００６９】
次いで、検知指標診断部１２は、選択したドメインが生存ドメインリスト２１に入っているか否かを判定する（Ｓ７７）。生存ドメインリスト２１に入っていない場合（Ｓ７７：Ｙｅｓ）、検知指標診断部１２は、「活動終了」という所見を追加する（Ｓ７８）。この「活動終了」という所見では、現在はＤＮＳ上の活動が観察されないことを示し、活動再開の可能性はあるものの、ひとまず悪性活動はおさまっていることを利用者に伝える。
【００７０】
次いで、検知指標診断部１２は、Ｓ７１〜Ｓ７８の処理で所見が得られているか否かを判定する（Ｓ７９）。所見が得られていない場合（Ｓ７９：Ｙｅｓ）、検知指標診断部１２は、「所見なし（要監視）」とする。この「所見なし（要監視）」（Ｓ８０）では、明確な所見が出るまでは注意して監視するように利用者に促す。
【００７１】
図６に戻り、Ｓ２７に次いで、検知指標診断部１２は、未選択のドメインが存在するか否かを判定し（Ｓ２８）、存在する場合（Ｓ２８：Ｙｅｓ）はＳ２２へ処理を戻す。存在しない場合（Ｓ２８：Ｎｏ）、検知指標診断部１２は、検知指標リスト２０の各ドメインにおける診断結果２３と所見を出力し（Ｓ２９）、処理を終了する。
【００７２】
図１４は、診断結果の一例を示す説明図である。図１４に示すように、診断結果２３には、検知指標リスト２０における各ドメインを診断対象とする評価内容（生存期間学習データ２４、使用期間予測データ２５および鮮度評価データ２６）と、所見とが含まれる。具体的には、「診断対象」には、選択したドメインが格納される。また、「活動状況」には選択したドメインに対してＡレコードが返ってきているならば、その値が格納される。また、生存期間には、生存期間学習データ２４（図８参照）における「生存期間」の値が格納される。また、「使用期間」には、使用期間予測データ２５（図１０参照）における「使用期間」の値が格納される。また、「鮮度」には、鮮度評価データ２６における「鮮度」の値が格納される。また、「所見」には、所見判定処理で追加された所見が格納される。この診断結果２３により、ユーザは、検知指標リスト２０の各ドメインにおける評価内容および所見を容易に確認できる。
【００７３】
以上のように、情報処理装置１は、ＤＮＳ監視部１０、ＤＮＳ履歴学習部１１および検知指標診断部１２を有する。ＤＮＳ監視部１０は、入力された検知指標リスト２０に含まれるドメイン情報に基づいて、ドメイン情報とＩＰアドレスとの対応付けを管理するＤＮＳにドメイン情報に対応するＩＰアドレスが存在するか否かを問い合わせる。ＤＮＳ履歴学習部１１は、ＤＮＳの通信を監視してドメイン情報とＩＰアドレスとの対応付けに関するＤＮＳの回答履歴を管理するＰａｓｓｉｖｅ  ＤＮＳにドメイン情報に関する回答履歴を問い合わせる。検知指標診断部１２は、ＤＮＳから取得した回答結果と、Ｐａｓｓｉｖｅ  ＤＮＳから取得した回答履歴とに基づいて、ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する。
【００７４】
これにより、情報処理装置１では、サイバー攻撃に関する検知指標リスト２０に含まれる悪性ドメインの現状をユーザが評価することを支援することができる。例えば、ユーザは、ＤＮＳからの回答結果により現状の状況（例えば活動中であるか否か）を容易に知ることができる。また、ユーザは、Ｐａｓｓｉｖｅ  ＤＮＳから取得した回答履歴をもとに、活動中であるＩＰアドレスが短期の使用で終わるか、長期にわたり使用されるかなどの、今後の利用傾向を知ることができる。
【００７５】
また、検知指標診断部１２は、ＤＮＳの回答結果においてドメイン情報に対応するＩＰアドレスが存在する場合に、ドメイン情報に関するＰａｓｓｉｖｅ  ＤＮＳの回答履歴に基づいて予測したドメイン情報に対応するＩＰアドレスの使用期間を出力する。これにより、ユーザは、ＤＮＳの回答結果において生存しているＩＰアドレス、すなわちサイバー攻撃について活動中であるＩＰアドレスの使用期間を容易に見極めることができる。
【００７６】
また、検知指標診断部１２は、ドメイン情報に対応するＩＰアドレスに関するＰａｓｓｉｖｅ  ＤＮＳの回答履歴に基づくＩＰアドレスの生存期間に基づいてドメイン情報に対応するＩＰアドレスの使用期間を予測する（例えば所定の期間以上である場合に長期間と予測する）。このように、Ｐａｓｓｉｖｅ  ＤＮＳの回答履歴に基づくＩＰアドレスの生存期間から、ユーザは、長期間にわたりＩＰアドレスが使用される活動であるか否かを容易に見極めることができる。
【００７７】
また、検知指標診断部１２は、ドメイン情報に関するＰａｓｓｉｖｅ  ＤＮＳの回答履歴に基づいてカウントしたドメイン情報に対応するＩＰアドレスの総数と、生存期間が所定の期間未満であるＩＰアドレスの数との使い捨て比率に基づいてドメイン情報に対応するＩＰアドレスの使用期間を予測する。例えば、使い捨て比率が所定値を超える場合にドメイン情報に対応するＩＰアドレスの使用期間を短期間と予測する。このように、Ｐａｓｓｉｖｅ  ＤＮＳの回答履歴に基づく過去のＩＰアドレスの使い捨て状況から、ユーザは、ＩＰアドレスが短期で使い捨てられる活動であるか否かを容易に見極めることができる。
【００７８】
また、検知指標診断部１２は、ドメイン情報に対応するＩＰアドレスに関するＰａｓｓｉｖｅ  ＤＮＳの回答履歴に基づき、回答履歴に含まれる最古の日付と現在の日付との比較結果によりドメイン情報に関するサイバー攻撃の鮮度、すなわち検知指標として今も有効か否かの有効度合を出力する。このようなＰａｓｓｉｖｅ  ＤＮＳの回答履歴に基づくサイバー攻撃の鮮度から、ユーザは、検知指標リスト２０の中で新鮮な新規活動にかかるものを容易に見極めることができる。
【００７９】
なお、図示した各装置の各構成要素は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００８０】
また、情報処理装置１で行われる各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ（Micro  Controller  Unit）等のマイクロ・コンピュータ）上で、その全部または任意の一部を実行するようにしてもよい。また、各種処理機能は、ＣＰＵ（またはＭＰＵ、ＭＣＵ等のマイクロ・コンピュータ）で解析実行されるプログラム上、またはワイヤードロジックによるハードウエア上で、その全部または任意の一部を実行するようにしてもよいことは言うまでもない。また、情報処理装置１で行われる各種処理機能は、クラウドコンピューティングにより、複数のコンピュータが協働して実行してもよい。
【００８１】
ところで、上記の実施形態で説明した各種の処理は、予め用意されたプログラムをコンピュータで実行することで実現できる。そこで、以下では、上記の実施形態と同様の機能を有するプログラムを実行するコンピュータ（ハードウエア）の一例を説明する。図１５は、実施形態にかかる情報処理装置１のハードウエア構成の一例を示すブロック図である。
【００８２】
図１５に示すように、情報処理装置１は、各種演算処理を実行するＣＰＵ１０１と、データ入力を受け付ける入力装置１０２と、モニタ１０３と、スピーカ１０４とを有する。また、情報処理装置１は、記憶媒体からプログラム等を読み取る媒体読取装置１０５と、各種装置と接続するためのインタフェース装置１０６と、有線または無線により外部機器と通信接続するための通信装置１０７とを有する。また、情報処理装置１は、各種情報を一時記憶するＲＡＭ１０８と、ハードディスク装置１０９とを有する。また、情報処理装置１内の各部（１０１〜１０９）は、バス１１０に接続される。
【００８３】
ハードディスク装置１０９には、上記の実施形態で説明したＤＮＳ監視部１０、ＤＮＳ履歴学習部１１および検知指標診断部１２等における各種の処理を実行するためのプログラム１１１が記憶される。また、ハードディスク装置１０９には、プログラム１１１が参照する各種データ１１２が記憶される。入力装置１０２は、例えば、操作者から操作情報の入力を受け付ける。モニタ１０３は、例えば、操作者が操作する各種画面を表示する。インタフェース装置１０６は、例えば印刷装置等が接続される。通信装置１０７は、ＬＡＮ（Local  Area  Network）等の通信ネットワークと接続され、通信ネットワークを介した外部機器との間で各種情報をやりとりする。
【００８４】
ＣＰＵ１０１は、ハードディスク装置１０９に記憶されたプログラム１１１を読み出して、ＲＡＭ１０８に展開して実行することで、ＤＮＳ監視部１０、ＤＮＳ履歴学習部１１および検知指標診断部１２等にかかる各種の処理を行う。なお、プログラム１１１は、ハードディスク装置１０９に記憶されていなくてもよい。例えば、情報処理装置１が読み取り可能な記憶媒体に記憶されたプログラム１１１を読み出して実行するようにしてもよい。情報処理装置１が読み取り可能な記憶媒体は、例えば、ＣＤ−ＲＯＭやＤＶＤディスク、ＵＳＢ（Universal  Serial  Bus）メモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリ、ハードディスクドライブ等が対応する。また、公衆回線、インターネット、ＬＡＮ等に接続された装置にこのプログラム１１１を記憶させておき、情報処理装置１がこれらからプログラム１１１を読み出して実行するようにしてもよい。
【００８５】
以上の実施形態に関し、さらに以下の付記を開示する。
【００８６】
（付記１）入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバに前記ドメイン情報に対応するＩＰアドレスが存在するか否かを問い合わせるとともに、前記第１の管理サーバの通信を監視してドメイン情報とＩＰアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバに前記ドメイン情報に関する回答履歴を問い合わせ、
前記第１の管理サーバから取得した回答結果と、前記第２の管理サーバから取得した回答履歴とに基づいて、前記ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する、
処理をコンピュータに実行させることを特徴とするサイバー攻撃評価プログラム。
【００８７】
（付記２）前記出力する処理は、前記回答結果において前記ドメイン情報に対応するＩＰアドレスが存在する場合に、当該ドメイン情報に関する回答履歴に基づいて予測した前記ドメイン情報に対応するＩＰアドレスの前記サイバー攻撃における使用期間を出力する、
ことを特徴とする付記１に記載のサイバー攻撃評価プログラム。
【００８８】
（付記３）前記出力する処理は、前記ドメイン情報に対応するＩＰアドレスに関する回答履歴に基づく当該ＩＰアドレスの生存期間に基づいて前記使用期間を予測する、
ことを特徴とする付記２に記載のサイバー攻撃評価プログラム。
【００８９】
（付記４）前記出力する処理は、前記ドメイン情報に関する回答履歴に基づいてカウントした前記ドメイン情報に対応するＩＰアドレスの総数と、前記生存期間が所定の期間未満であるＩＰアドレスの数との使い捨て比率に基づいて前記使用期間を予測する、
ことを特徴とする付記３に記載のサイバー攻撃評価プログラム。
【００９０】
（付記５）前記出力する処理は、前記ドメイン情報に対応するＩＰアドレスに関する回答履歴に基づき、当該回答履歴に含まれる最古の日付と現在の日付との比較結果による前記ドメイン情報に関するサイバー攻撃の有効度合を出力する、
ことを特徴とする付記１乃至４のいずれか一つに記載のサイバー攻撃評価プログラム。
【００９１】
（付記６）入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバに前記ドメイン情報に対応するＩＰアドレスが存在するか否かを問い合わせるとともに、前記第１の管理サーバの通信をモニタリングしてドメイン情報とＩＰアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバに前記ドメイン情報に関する回答履歴を問い合わせ、
前記第１の管理サーバから取得した回答結果と、前記第２の管理サーバから取得した回答履歴とに基づいて、前記ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する、
処理をコンピュータが実行することを特徴とするサイバー攻撃評価方法。
【００９２】
（付記７）前記出力する処理は、前記回答結果において前記ドメイン情報に対応するＩＰアドレスが存在する場合に、当該ドメイン情報に関する回答履歴に基づいて予測した前記ドメイン情報に対応するＩＰアドレスの前記サイバー攻撃における使用期間を出力する、
ことを特徴とする付記６に記載のサイバー攻撃評価方法。
【００９３】
（付記８）前記出力する処理は、前記ドメイン情報に対応するＩＰアドレスに関する回答履歴に基づく当該ＩＰアドレスの生存期間に基づいて前記使用期間を予測する、
ことを特徴とする付記７に記載のサイバー攻撃評価方法。
【００９４】
（付記９）前記出力する処理は、前記ドメイン情報に関する回答履歴に基づいてカウントした前記ドメイン情報に対応するＩＰアドレスの総数と、前記生存期間が所定の期間未満であるＩＰアドレスの数との使い捨て比率に基づいて前記使用期間を予測する、
ことを特徴とする付記８に記載のサイバー攻撃評価方法。
【００９５】
（付記１０）前記出力する処理は、前記ドメイン情報に対応するＩＰアドレスに関する回答履歴に基づき、当該回答履歴に含まれる最古の日付と現在の日付との比較結果による前記ドメイン情報に関するサイバー攻撃の有効度合を出力する、
ことを特徴とする付記６乃至９のいずれか一つに記載のサイバー攻撃評価方法。
【００９６】
（付記１１）入力されたサイバー攻撃情報に含まれるドメイン情報に基づいて、当該ドメイン情報とＩＰアドレスとの対応付けを管理する第１の管理サーバに前記ドメイン情報に対応するＩＰアドレスが存在するか否かを問い合わせるとともに、前記第１の管理サーバの通信をモニタリングしてドメイン情報とＩＰアドレスとの対応付けに関する前記第１の管理サーバの回答履歴を管理する第２の管理サーバに前記ドメイン情報に関する回答履歴を問い合わせるドメイン情報処理部と、
前記第１の管理サーバから取得した回答結果と、前記第２の管理サーバから取得した回答履歴とに基づいて、前記ドメイン情報に関するサイバー攻撃の脅威内容の診断結果を出力する診断部と、
を有することを特徴とする情報処理装置。
【００９７】
（付記１２）前記診断部は、前記回答結果において前記ドメイン情報に対応するＩＰアドレスが存在する場合に、当該ドメイン情報に関する回答履歴に基づいて予測した前記ドメイン情報に対応するＩＰアドレスの前記サイバー攻撃における使用期間を出力する、
ことを特徴とする付記１１に記載の情報処理装置。
【００９８】
（付記１３）前記診断部は、前記ドメイン情報に対応するＩＰアドレスに関する回答履歴に基づく当該ＩＰアドレスの生存期間に基づいて前記使用期間を予測する、
ことを特徴とする付記１２に記載の情報処理装置。
【００９９】
（付記１４）前記診断部は、前記ドメイン情報に関する回答履歴に基づいてカウントした前記ドメイン情報に対応するＩＰアドレスの総数と、前記生存期間が所定の期間未満であるＩＰアドレスの数との使い捨て比率に基づいて前記使用期間を予測する、
ことを特徴とする付記１３に記載の情報処理装置。
【０１００】
（付記１５）前記診断部は、前記ドメイン情報に対応するＩＰアドレスに関する回答履歴に基づき、当該回答履歴に含まれる最古の日付と現在の日付との比較結果による前記ドメイン情報に関するサイバー攻撃の有効度合を出力する、
ことを特徴とする付記１１乃至１４のいずれか一つに記載の情報処理装置。
【符号の説明】
【０１０１】
１…情報処理装置
１０…ＤＮＳ監視部
１１…ＤＮＳ履歴学習部
１２…検知指標診断部
２０…検知指標リスト
２１…生存ドメインリスト
２２…ＤＮＳ履歴リスト
２３…診断結果
２４…生存期間学習データ
２５…使用期間予測データ
２６…鮮度評価データ
３０…Ｐａｓｓｉｖｅ  ＤＮＳデータベース
１０１…ＣＰＵ
１０２…入力装置
１０３…モニタ
１０４…スピーカ
１０５…媒体読取装置
１０６…インタフェース装置
１０７…通信装置
１０８…ＲＡＭ
１０９…ハードディスク装置
１１０…バス
１１１…プログラム
１１２…各種データ
【図１】
2020072384.tif 000003
【図２】
2020072384.tif 000004
【図３】
2020072384.tif 000005
【図４】
2020072384.tif 000006
【図５】
2020072384.tif 000007
【図６】
2020072384.tif 000008
【図７】
2020072384.tif 000009
【図８】
2020072384.tif 000010
【図９】
2020072384.tif 000011
【図１０】
2020072384.tif 000012
【図１１】
2020072384.tif 000013
【図１２】
2020072384.tif 000014
【図１３】
2020072384.tif 000015
【図１４】
2020072384.tif 000016
【図１５】
2020072384.tif 000017