(57)【要約】【課題】ＤＢＤ攻撃に関するドメインの種類を効率的に識別できる装置、方法及びプログラム、並びに識別するためのモデルを生成する装置、方法及びプログラムを提供する。【解決手段】モデル生成装置１は、ＤＢＤ攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを含むラベルが付与された複数のドメインについて、当該ドメインの登録情報を取得する取得部１０１と、登録情報に含まれる単語を抽出し、当該単語の出現頻度に関する指標を算出する算出部１０２と、単語、及び当該単語に対する指標を第１の特徴量として、ラベルに基づく教師あり学習により識別モデルを生成する学習部１０６と、を備える。【選択図】図２
2019016115.tif 000002
【特許請求の範囲】
【請求項１】
ＤＢＤ（Ｄｒｉｖｅ−ｂｙ  ｄｏｗｎｌｏａｄ）攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを含むラベルが付与された複数のドメインについて、当該ドメインの登録情報を取得する取得部と、
前記登録情報に含まれる単語を抽出し、当該単語の出現頻度に関する指標を算出する算出部と、
前記単語、及び当該単語に対する前記指標を第１の特徴量として、前記ラベルに基づく教師あり学習により識別モデルを生成する学習部と、を備えるモデル生成装置。
【請求項２】
前記登録情報の登録日及び更新日を抽出する日付抽出部を備え、
前記学習部は、前記登録日からの経過日数、及び前記更新日からの経過日数を第２の特徴量として、前記識別モデルを生成する請求項１に記載のモデル生成装置。
【請求項３】
前記ドメインのページ文書において、特定種類のタグが出現する第１の回数をカウントするタグカウント部を備え、
前記学習部は、前記第１の回数を第３の特徴量として、前記識別モデルを生成する請求項１又は請求項２に記載のモデル生成装置。
【請求項４】
前記ドメインのページ文書において、特定種類のファイル拡張子が出現する第２の回数をカウントする拡張子カウント部を備え、
前記学習部は、前記第２の回数を第４の特徴量として、前記識別モデルを生成する請求項１から請求項３のいずれかに記載のモデル生成装置。
【請求項５】
前記ラベルは、ホップポイント・ドメインをさらに含む請求項１から請求項４のいずれかに記載のモデル生成装置。
【請求項６】
ＤＢＤ（Ｄｒｉｖｅ−ｂｙ  ｄｏｗｎｌｏａｄ）攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを含むラベルが付与された複数のドメインについて、当該ドメインの登録情報を取得する取得ステップと、
前記登録情報に含まれる単語を抽出し、当該単語の出現頻度に関する指標を算出する算出ステップと、
前記単語、及び当該単語に対する前記指標を第１の特徴量として、前記ラベルに基づく教師あり学習により識別モデルを生成する学習ステップと、をコンピュータが実行するモデル生成方法。
【請求項７】
ＤＢＤ（Ｄｒｉｖｅ−ｂｙ  ｄｏｗｎｌｏａｄ）攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを含むラベルが付与された複数のドメインについて、当該ドメインの登録情報を取得する取得ステップと、
前記登録情報に含まれる単語を抽出し、当該単語の出現頻度に関する指標を算出する算出ステップと、
前記単語、及び当該単語に対する前記指標を第１の特徴量として、前記ラベルに基づく教師あり学習により識別モデルを生成する学習ステップと、をコンピュータに実行させるためのモデル生成プログラム。
【請求項８】
指定されたドメインの登録情報を取得する取得部と、
前記登録情報に含まれる単語を抽出し、当該単語の出現頻度に関する指標を算出する算出部と、
前記単語、及び当該単語に対する前記指標を第１の特徴量として、ＤＢＤ（Ｄｒｉｖｅ−ｂｙ  ｄｏｗｎｌｏａｄ）攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを識別する識別部と、を備える識別装置。
【請求項９】
指定されたドメインの登録情報を取得する取得ステップと、
前記登録情報に含まれる単語を抽出し、当該単語の出現頻度に関する指標を算出する算出ステップと、
前記単語、及び当該単語に対する前記指標を第１の特徴量として、ＤＢＤ（Ｄｒｉｖｅ−ｂｙ  ｄｏｗｎｌｏａｄ）攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを識別する識別ステップと、をコンピュータが実行する識別方法。
【請求項１０】
指定されたドメインの登録情報を取得する取得ステップと、
前記登録情報に含まれる単語を抽出し、当該単語の出現頻度に関する指標を算出する算出ステップと、
前記単語、及び当該単語に対する前記指標を第１の特徴量として、ＤＢＤ（Ｄｒｉｖｅ−ｂｙ  ｄｏｗｎｌｏａｄ）攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを識別する識別ステップと、をコンピュータに実行させるための識別プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ドメインの種類を識別する装置、及び識別モデルの生成装置に関する。
【背景技術】
【０００２】
従来、インターネットには、攻撃者が作成した悪意のあるサイトが含まれており、ユーザにとって、ウェブセキュリティは、非常に重要な課題となっている。例えば、マルウェアをユーザの端末にインストールするページに遷移させるＤＢＤ（Ｄｒｉｖｅ−ｂｙ  ｄｏｗｎｌｏａｄ）攻撃がある。
【０００３】
ＤＢＤ攻撃では、「正当なものと思われる」ランディングページに埋め込まれたコードにより、閲覧されたページは、複数のホップポイントページを辿ってディストリビューションページにリダイレクトされ、ディストリビューションページのコードによってマルウェアがユーザの端末にインストールされる（例えば、非特許文献１参照）。
【０００４】
これらの攻撃に関係するページを検出することでウェブセキュリティのレベルは向上する。さらに、ランディングページにはアクセスを許すがページ遷移を禁止する、ディストリビューションページへのアクセスは禁止する等、ページの種類に応じて制限レベルを変えることで、セキュリティを維持しつつ、ユーザに適切なウェブブラウジングを提供できる。例えば、非特許文献２−５には、ページの分類技術が示されている。
また、非特許文献６及び７には、ドメインの登録情報であるＷｈｏｉｓを使用して悪意のあるドメインか否かを分類する技術が示されている。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】Ｎ．  Ｐｒｏｖｏｓ，  Ｐ．  Ｍａｖｒｏｍｍａｔｉｓ，  Ｍ．Ａ．  Ｒａｊａｂ，  Ｆ．  Ｍｏｎｒｏｓｅ，  “Ａｌｌ  Ｙｏｕｒ  ｉＦＲＡＭＥｓ  Ｐｏｉｎｔ  ｔｏ  Ｕｓ”．  Ｉｎ：  １７ｔｈ  ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｓｅｃｕｒｉｔｙ  ｓｙｍｐｏｓｉｕｍ  （ＳＳ  ’０８），  ｐｐ．  １−１５，  ２００８．
【非特許文献２】Ｊ．Ｗ．  Ｓｔｏｋｅｓ，  Ｒ．  Ａｎｄｅｒｓｅｎ，  Ｃ．  Ｓｅｉｆｅｒｔ，  ａｎｄ  Ｋ．  Ｃｈｅｌｌａｐｉｌｌａ，  “ＷｅｂＣｏｐ：  ｌｏｃａｔｉｎｇ  ｎｅｉｇｈｂｏｒｈｏｏｄｓ  ｏｆ  ｍａｌｗａｒｅ  ｏｎ  ｔｈｅ  ｗｅｂ”．  Ｉｎ：  ３ｒｄ  ＵＳＥＮＩＸ  ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｌａｒｇｅ−ｓｃａｌｅ  ｅｘｐｌｏｉｔｓ  ａｎｄ  ｅｍｅｒｇｅｎｔ  ｔｈｒｅａｔｓ：  ｂｏｔｎｅｔｓ，  ｓｐｙｗａｒｅ，  ｗｏｒｍｓ，  ａｎｄ  ｍｏｒｅ  （ＬＥＥＴ  ’１０），  ｐｐ．  ５−１３，  ２０１０．
【非特許文献３】Ｇ．  Ｗａｎｇ，  Ｊ．Ｗ．  Ｓｔｏｋｅｓ，  Ｃ．  Ｈｅｒｌｅｙ，  ａｎｄ  Ｄ．  Ｆｅｌｓｔｅａｄ，  “Ｄｅｔｅｃｔｉｎｇ  Ｍａｌｉｃｉｏｕｓ  Ｌａｎｄｉｎｇ  Ｐａｇｅｓ  ｉｎ  Ｍａｌｗａｒｅ  Ｄｉｓｔｒｉｂｕｔｉｏｎ  Ｎｅｔｗｏｒｋｓ”．  Ｉｎ：  ４３ｒｄ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｄｅｐｅｎｄａｂｌｅ  Ｓｙｓｔｅｍｓ  ａｎｄ  Ｎｅｔｗｏｒｋｓ  （ＤＳＮ  ’１３），  ｐｐ．  １−１１，  ２０１３．
【非特許文献４】Ｔ．  Ｎｅｌｍｓ，  Ｒ．  Ｐｅｒｄｉｓｃｉ，  Ｍ．  Ａｎｔｏｎａｋａｋｉｓ，  ａｎｄ  Ｍ．  Ａｈａｍａｄ，  “ＷｅｂＷｉｔｎｅｓｓ：  Ｉｎｖｅｓｔｉｇａｔｉｎｇ，  Ｃａｔｅｇｏｒｉｚｉｎｇ，  ａｎｄ  Ｍｉｔｉｇａｔｉｎｇ  Ｍａｌｗａｒｅ  Ｄｏｗｎｌｏａｄ  Ｐａｔｈｓ”．  Ｉｎ：  ２４ｔｈ  ＵＳＥＮＩＸ  Ｓｅｃｕｒｉｔｙ  Ｓｙｍｐｏｓｉｕｍ  （ＵＳＥＮＩＸ  ’１５），  ｐｐ．  １０２５−１０４０，  ２０１５．
【非特許文献５】Ｇｏｏｇｌｅ  Ｓａｆｅ  Ｂｒｏｗｓｉｎｇ  ｖｅｒｓｉｏｎ  ４  （ＧＳＢｖ４），  インターネット＜https://developers.google.com/safe-browsing/v4/＞
【非特許文献６】Ｌ．  Ｂｉｌｇｅ，  Ｅ．  Ｋｉｒｄａ，  Ｃ．  Ｋｒｕｅｇｅｌ，  ａｎｄ  Ｍ．  Ｂａｌｄｕｚｚｉ，  “ＥＸＰＯＳＵＲＥ：  Ｆｉｎｄｉｎｇ  Ｍａｌｉｃｉｏｕｓ  Ｄｏｍａｉｎｓ  Ｕｓｉｎｇ  Ｐａｓｓｉｖｅ  ＤＮＳ  Ａｎａｌｙｓｉｓ”，  Ｎｅｔｗｏｒｋ  ａｎｄ  Ｄｉｓｔｒｉｂｕｔｅｄ  Ｓｙｓｔｅｍ  Ｓｅｃｕｒｉｔｙ  Ｓｙｍｐｏｓｉｕｍ，  ＮＤＳＳ  ２０１１．
【非特許文献７】Ｍ．  Ｋｕｙａｍａ，  Ｙ．  Ｋａｋｉｚａｋｉ，  ａｎｄ  Ｒ．  Ｓａｓａｋｉ，  “Ｍｅｔｈｏｄ  ｆｏｒ  Ｄｅｔｅｃｔｉｎｇ  ａ  Ｍａｌｉｃｉｏｕｓ  Ｄｏｍａｉｎ  ｂｙ  ｕｓｉｎｇ  ＷＨＯＩＳ  ａｎｄ  ＤＮＳ  ｆｅａｔｕｒｅｓ”，  ３ｒｄ  Ｉｎｔ．  Ｃｏｎｆ．  ｏｎ  Ｄｉｇｉｔａｌ  Ｓｅｃｕｒｉｔｙ  ａｎｄ  Ｆｏｒｅｎｓｉｃｓ  （ＤｉｇｉｔａｌＳｅｃ２０１６）
【発明の概要】
【発明が解決しようとする課題】
【０００６】
非特許文献２の手法では、ディストリビューションページが検出された際に、参照情報が存在する場合にランディングページが一部検出される。
非特許文献３又は４の手法では、ランディングページか否か、又はディストリビューションページか否かを分類するため、複数の種類を一度に識別できない。
非特許文献５で使用されるブラックリストには、ランディングページ及びディストリビューションページのラベルが付与されているものの、リストに登録されていないページを識別することはできない。
【０００７】
非特許文献６又は７の手法では、ランディング又はディストリビューションといった詳細な分類はできないものの、Ｗｈｏｉｓに記述された属性を抽出することで、悪意のあるドメインか否かを分類する。しかしながら、Ｗｈｏｉｓの記述形式は統一されておらず、属性の抽出作業は容易ではない。
【０００８】
このように、従来の手法では、ＤＢＤ攻撃に関係する問題のあるドメインについて、所定のブラックリストに分類された状態で登録されていなければ、ランディング・ドメイン及びディストリビューション・ドメインの両方を効率的に識別することは難しかった。
【０００９】
本発明は、ＤＢＤ攻撃に関するドメインの種類を効率的に識別できる装置、方法及びプログラム、並びに識別するためのモデルを生成する装置、方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明に係るモデル生成装置は、ＤＢＤ攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを含むラベルが付与された複数のドメインについて、当該ドメインの登録情報を取得する取得部と、前記登録情報に含まれる単語を抽出し、当該単語の出現頻度に関する指標を算出する算出部と、前記単語、及び当該単語に対する前記指標を第１の特徴量として、前記ラベルに基づく教師あり学習により識別モデルを生成する学習部と、を備える。
【００１１】
前記モデル生成装置は、前記登録情報の登録日及び更新日を抽出する日付抽出部を備え、前記学習部は、前記登録日からの経過日数、及び前記更新日からの経過日数を第２の特徴量として、前記識別モデルを生成してもよい。
【００１２】
前記モデル生成装置は、前記ドメインのページ文書において、特定種類のタグが出現する第１の回数をカウントするタグカウント部を備え、前記学習部は、前記第１の回数を第３の特徴量として、前記識別モデルを生成してもよい。
【００１３】
前記モデル生成装置は、前記ドメインのページ文書において、特定種類のファイル拡張子が出現する第２の回数をカウントする拡張子カウント部を備え、前記学習部は、前記第２の回数を第４の特徴量として、前記識別モデルを生成してもよい。
【００１４】
前記ラベルは、ホップポイント・ドメインをさらに含んでもよい。
【００１５】
本発明に係るモデル生成方法は、ＤＢＤ攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを含むラベルが付与された複数のドメインについて、当該ドメインの登録情報を取得する取得ステップと、前記登録情報に含まれる単語を抽出し、当該単語の出現頻度に関する指標を算出する算出ステップと、前記単語、及び当該単語に対する前記指標を第１の特徴量として、前記ラベルに基づく教師あり学習により識別モデルを生成する学習ステップと、をコンピュータが実行する。
【００１６】
本発明に係るモデル生成プログラムは、ＤＢＤ攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを含むラベルが付与された複数のドメインについて、当該ドメインの登録情報を取得する取得ステップと、前記登録情報に含まれる単語を抽出し、当該単語の出現頻度に関する指標を算出する算出ステップと、前記単語、及び当該単語に対する前記指標を第１の特徴量として、前記ラベルに基づく教師あり学習により識別モデルを生成する学習ステップと、をコンピュータに実行させるためのものである。
【００１７】
本発明に係る識別装置は、指定されたドメインの登録情報を取得する取得部と、前記登録情報に含まれる単語を抽出し、当該単語の出現頻度に関する指標を算出する算出部と、前記単語、及び当該単語に対する前記指標を第１の特徴量として、ＤＢＤ攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを識別する識別部と、を備える。
【００１８】
本発明に係る識別方法は、指定されたドメインの登録情報を取得する取得ステップと、前記登録情報に含まれる単語を抽出し、当該単語の出現頻度に関する指標を算出する算出ステップと、前記単語、及び当該単語に対する前記指標を第１の特徴量として、ＤＢＤ攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを識別する識別ステップと、をコンピュータが実行する。
【００１９】
本発明に係る識別プログラムは、指定されたドメインの登録情報を取得する取得ステップと、前記登録情報に含まれる単語を抽出し、当該単語の出現頻度に関する指標を算出する算出ステップと、前記単語、及び当該単語に対する前記指標を第１の特徴量として、ＤＢＤ攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを識別する識別ステップと、をコンピュータに実行させるためのものである。
【発明の効果】
【００２０】
本発明によれば、ＤＢＤ攻撃に関するドメインを効率的に識別できる。
【図面の簡単な説明】
【００２１】
【図１】実施形態に係るＤＢＤ攻撃に関するドメインの種類を示す概念図である。
【図２】実施形態に係るモデル生成装置の機能構成を示すブロック図である。
【図３】実施形態に係る識別装置の機能構成を示すブロック図である。
【図４】実施形態に係る識別モデルの入力となる特徴量を示す図である。
【発明を実施するための形態】
【００２２】
以下、本発明の実施形態の一例について説明する。
図１は、本実施形態に係るＤＢＤ攻撃に関するドメインの種類を示す概念図である。
ユーザは、ランディング・ドメインに属するランディングページにアクセスすると、このページに埋め込まれたコードにより、ホップポイントページにリダイレクトされる。
さらに、ホップポイントページは、他の複数のホップポイントページをリダイレクトにより経由して、ユーザをディストリビューションページにアクセスさせる。
そして、ディストリビューションページに埋め込まれたコードにより、ユーザの端末にマルウェアがインストールされる。
【００２３】
本実施形態に係るモデル生成装置１は、ランディング・ドメイン、ホップポイント・ドメイン、ディストリビューション・ドメイン、及び他の正常なドメインを識別するためのモデルを学習により生成する。識別装置２は、モデル生成装置１により生成されたモデルを用いて、未分類のドメインを識別する。
【００２４】
図２は、本実施形態に係るモデル生成装置１の機能構成を示すブロック図である。
モデル生成装置１は、制御部１０及び記憶部１１の他、入出力及び通信のインタフェースを備えた情報処理装置（コンピュータ）であり、記憶部１１に格納されたソフトウェア（モデル生成プログラム）を制御部１０が読み出し実行することにより、本実施形態の各機能を実現する。
【００２５】
モデル生成装置１の制御部１０は、取得部１０１と、算出部１０２と、日付抽出部１０３と、タグカウント部１０４と、拡張子カウント部１０５と、学習部１０６とを備える。
【００２６】
取得部１０１は、ＤＢＤ攻撃におけるランディング・ドメイン、及びディストリビューション・ドメインを含むラベルが付与された複数のドメインについて、これらドメインの登録情報であるＷｈｏｉｓを取得する。ラベルは、ホップポイント・ドメインをさらに含んでもよい。
【００２７】
なお、学習の教師データとなるラベルが付与されたドメイン情報は、既存のブラックリスト、ホワイトリスト等から取得してもよいし、任意のドメインを手動で分類することにより取得してもよい。
【００２８】
算出部１０２は、Ｗｈｏｉｓに含まれる単語をテキスト解析により抽出し、これらの単語の出現頻度に関する指標を算出する。
出現頻度に関する指標は、例えばＴＦ−ＩＤＦであり、特定のドメインに頻出する特徴語がＴＦ−ＩＤＦ値と共に、識別のための第１の特徴量として採用される。
【００２９】
算出部１０２の処理は、例えば、次の複数のステップを含む。
・Ｗｈｏｉｓに含まれる単語を抽出する。
・不要な種類の単語を除外する。
・単語の辞書を構築する。
・単語毎の文書内の出現数、及び文書数を数える。
・単語毎にＴＦ−ＩＤＦ値を算出する。
【００３０】
日付抽出部１０３は、Ｗｈｏｉｓの登録日及び更新日を抽出する。これらの日付から現在までの経過日数が識別のための第２の特徴量として採用される。
【００３１】
ここで、ランディング・ドメイン、ホップポイント・ドメイン及びディストリビューション・ドメインに関するＷｈｏｉｓには、例えば、次のような特徴が多く見られるため、第２の特徴量が識別性能に寄与する。
・ランディング・ドメインに関するＷｈｏｉｓの更新日は、ディストリビューション・ドメインに関するＷｈｏｉｓの更新日よりも古い。
・ランディング・ドメインに関するＷｈｏｉｓの登録日は、通常よりも古い。
・ディストリビューション・ドメインに関するＷｈｏｉｓの登録日は、通常よりも新しい。
・ホップポイント・ドメインに関するＷｈｏｉｓの登録日及び更新日は、ランディング・ドメインよりも古い。
【００３２】
タグカウント部１０４は、ドメインに含まれるページ文書において、特定種類のタグが出現する第１の回数をカウントする。
特定種類のタグとは、例えば、＜ｆｏｒｍ＞、＜ｉｆｒａｍｅ＞、＜ｈｒｅｆ＞、＜ｌｉｎｋ＞、＜ｓｃｒｉｐｔ＞、＜ｆｒａｍｅ＞、＜ｏｂｊｅｃｔ＞、＜ｅｍｂｅｄ＞の８種類であり、これらの出現回数の合計が識別のための第３の特徴量として採用される。
【００３３】
拡張子カウント部１０５は、ドメインに含まれるページ文書において、特定種類のファイル拡張子が出現する第２の回数をカウントする。
特定種類の拡張子とは、例えば、ｊａｒ、ｓｗｆ、ｐｄｆの３種類であり、これらの出現回数の合計が識別のための第４の特徴量として採用される。
【００３４】
学習部１０６は、単語、及び単語のＴＦ−ＩＤＦ値を第１の特徴量として、ラベルに基づく教師あり学習により識別モデルを生成する。
学習部１０６は、さらに、Ｗｈｏｉｓの登録日からの経過日数、及び更新日からの経過日数を第２の特徴量として、タグをカウントした第１の回数を第３の特徴量として、拡張子をカウントした第２の回数を第４の特徴量として、それぞれを入力に学習を行ってもよい。
【００３５】
なお、学習アルゴリズムには、例えば、決定木、サポートベクタマシン、ナイーブベイズ、ニューラルネットワーク、確率的勾配降下法、ｋ近傍法、ランダムフォレスト等、各種の手法が適宜用いられてよい。
【００３６】
図３は、本実施形態に係る識別装置２の機能構成を示すブロック図である。
識別装置２は、制御部２０及び記憶部２１の他、入出力及び通信のインタフェースを備えた情報処理装置（コンピュータ）であり、記憶部２１に格納されたソフトウェア（識別プログラム）を制御部２０が読み出し実行することにより、本実施形態の各機能を実現する。
【００３７】
識別装置２の制御部２０は、取得部２０１と、算出部２０２と、日付抽出部２０３と、タグカウント部２０４と、拡張子カウント部２０５と、識別部２０６とを備える。
【００３８】
取得部２０１は、識別対象となる指定されたドメインの登録情報であるＷｈｏｉｓを取得する。
算出部２０２、日付抽出部２０３、タグカウント部２０４及び拡張子カウント部２０５は、それぞれモデル生成装置１の算出部１０２、日付抽出部１０３、タグカウント部１０４及び拡張子カウント部１０５と同様の機能部である。これらの機能部により、第１〜第４の特徴量が導出され、これらの特徴量が識別部２０６へ入力される。
【００３９】
識別部２０６は、モデル生成装置１により生成された識別モデルが実装された、ドメインの種類を判別するための識別器である。
識別部２０６は、入力された第１〜第４の特徴量に基づいて、ＤＢＤ攻撃におけるランディング・ドメイン、ホップポイント・ドメイン及びディストリビューション・ドメインを識別する。
【００４０】
図４は、本実施形態に係る識別モデルの入力となる特徴量を示す図である。
識別モデルを生成する際の機械学習の入力、又は生成された識別器の入力となる特徴量は、ドメインに関するＷｈｏｉｓの情報と、ページ情報（ＨＴＭＬ文書）とから取得される。
【００４１】
Ｗｈｏｉｓからは、第１の特徴量として、文書全体をテキスト解析した結果である単語及びそのＴＦ−ＩＤＦ値が得られる。
さらに、第２特徴量として、Ｗｈｏｉｓの属性情報から登録日及び更新日が得られる。
また、ページ情報からは、第３の特徴量として特定のタグの出現回数と、第４の特徴量として特定の拡張子の出現回数とが得られる。
【００４２】
本実施形態によれば、モデル生成装置１は、ドメイン毎のＷｈｏｉｓをテキスト解析することにより、単語の出現頻度に関する指標を特徴量として抽出し、ＤＢＤ攻撃に関するランディング・ドメイン、及びディストリビューション・ドメインを含むドメインの種類を識別するためのモデルを学習により生成する。
これにより、識別装置２は、記述の形式及び用語が統一されていないＷｈｏｉｓから属性情報を抽出するという高コスト、かつ、精度の低い処理に対して、より容易に特徴量を抽出でき、ＤＢＤ攻撃に関するドメインの種類を効率的に識別できる。
【００４３】
この結果、ネットワーク管理者等は、ユーザのブラウジングに対して、ランディング・ドメインへのアクセスは許可するがリダイレクトを制限したり、ディストリビューション・ドメインへのアクセスを禁止したりといった、ドメインの種類に応じた適切なアクセス制御を効率的に実現できる。
【００４４】
また、識別モデルは、Ｗｈｏｉｓの登録日及び更新日に基づく第２の特徴量、ドメイン内のページ文書に記述された特定のタグの出現回数からなる第３の特徴量、及びページ文書に記述された特定の拡張子の出現回数からなる第４の特徴量を用いる。
これにより、ドメインの種類の識別精度が向上し、ランディング・ドメイン及びディストリビューション・ドメインに加えて、ホップポイント・ドメインを精度良く識別できることが期待できる。
【００４５】
以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。
【００４６】
モデル生成装置１によるモデル生成方法、及び識別装置２による識別方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。
【符号の説明】
【００４７】
１  モデル生成装置
２  識別装置
１０  制御部
１１  記憶部
２０  制御部
２１  記憶部
１０１  取得部
１０２  算出部
１０３  日付抽出部
１０４  タグカウント部
１０５  拡張子カウント部
１０６  学習部
２０１  取得部
２０２  算出部
２０３  日付抽出部
２０４  タグカウント部
２０５  拡張子カウント部
２０６  識別部
【図１】
2019016115.tif 000003
【図２】
2019016115.tif 000004
【図３】
2019016115.tif 000005
【図４】
2019016115.tif 000006