(57)【要約】      （修正有）【課題】ドメインネームサーバにおいて、ネームサーバの切り替えに基づいて特徴付けることで、ドメイン名の悪用を防止する方法及びシステムを提供する。【解決手段】ドメイン名はネームサーバ切り換えフットプリントに基づいてグループにクラスタ化し、グループ内のドメイン名の所期の使用はグループ内の他のドメイン名に外挿する。ネームサーバ切り換えフットプリントはまた、データセット内のドメイン名に対して決定されたネームサーバ切り換えフットプリントを用いてトレーニングされた予測モデルを用いて、新しいドメイン名に対して予測を行う。【選択図】図１
2015076892.tif 000002
【特許請求の範囲】
【請求項１】
複数のドメイン名に対するネームサーバ動作に対応するデータセットを受け取るステップと、
１つまたは複数のプロセッサを用いて、前記ネームサーバ動作に基づいて、前記複数のドメイン名における各ドメイン名について識別子を決定するステップであって、前記識別子が前記ドメイン名に関連するネームサーバ動作を示すステップと
を含む、コンピュータによって実現される方法。
【請求項２】
一致する識別子に基づいてドメイン名を複数のグループにクラスタ化するステップをさらに含む、請求項１に記載のコンピュータによって実現される方法。
【請求項３】
各識別子のＮグラムを決定するステップと、
前記Ｎグラムに基づいてドメイン名の間の距離を決定するステップと
をさらに含む、請求項１に記載のコンピュータによって実現される方法。
【請求項４】
ドメイン名の間の前記距離に基づいてドメイン名を複数のグループにクラスタ化するステップをさらに含む、請求項３に記載のコンピュータによって実現される方法。
【請求項５】
距離閾値を決定するステップをさらに含み、グループ内のドメイン名の対の間の距離は、前記距離閾値を超えてはならない、請求項４に記載のコンピュータによって実現される方法。
【請求項６】
グループ内の少なくとも１つのドメイン名の所期の使用を識別するステップと、
前記グループ内の残りのドメイン名のそれぞれに前記所期の使用を外挿するステップと
をさらに含む、請求項４に記載のコンピュータによって実現される方法。
【請求項７】
前記グループ内の各ドメイン名を、前記グループ内の前記ドメイン名の前記所期の使用が好ましくないとの判断に基づいてブラックリスト化するステップをさらに含む、請求項６に記載のコンピュータによって実現される方法。
【請求項８】
前記所期の使用が、
前記少なくとも１つのドメイン名に関連するウェブサイトのコンテンツ、
前記少なくとも１つのドメイン名に関連するＷＨＯＩＳ情報、または
前記少なくとも１つのドメイン名に関連するドメイン名情報サービス情報
の１つまたは複数に基づいて識別される、請求項６に記載のコンピュータによって実現される方法。
【請求項９】
前記識別子に基づいて予測モデルを組み立てるステップと、
新しいドメイン名に対応するデータセットを受け取るステップと、
前記新しいドメイン名の将来の識別子を決定するステップと
をさらに含む、請求項１に記載のコンピュータによって実現される方法。
【請求項１０】
前記将来の識別子に基づいて前記新しいドメイン名の将来の所期の使用を識別するステップをさらに備える、請求項９に記載のコンピュータによって実現される方法。
【請求項１１】
前記新しいドメイン名の前記所期の使用が好ましくないとの判断に基づいて、前記新しいドメイン名の悪用を防止するステップをさらに含む、請求項１０に記載のコンピュータによって実現される方法。
【請求項１２】
前記識別子はテキストデータを備え、
前記ネームサーバ動作の各ネームサーバ動作は、時間単位に関連付けられ、
前記識別子を決定するステップは、
前記時間単位のためのいくつかの追加動作およびいくつかの削除動作を含む各時間単位のための文字列を組み立てるステップと、
前記文字列を一緒に連結するステップと
を含む、請求項１に記載のコンピュータによって実現される方法。
【請求項１３】
１つまたは複数のプロセッサを備えるデバイスの処理システムと、
１つまたは複数のコンピュータ可読媒体を備えるメモリ・システムと
を備え、
前記１つまたは複数のコンピュータ可読媒体は、前記処理システムによって実行されたときに前記処理システムに、
複数のドメイン名に対するネームサーバ動作に対応するデータセットを受け取るステップと、
前記ネームサーバ動作に基づいて、前記複数のドメイン名における各ドメイン名について識別子を決定するステップであって、前記識別子が前記ドメイン名に関連するネームサーバ動作を示すステップと、
識別子を決定するステップと
を含む動作を行わせる命令を含む、システム。
【請求項１４】
前記動作が、
各識別子のＮグラムを決定するステップと、
Ｎグラムに基づいてドメイン名の間の距離を決定するステップと
をさらに含む、請求項１３に記載のシステム。
【請求項１５】
前記動作が、ドメイン名の間の前記距離に基づいてドメイン名を複数のグループにクラスタ化するステップをさらに含む、請求項１４に記載のシステム。
【請求項１６】
前記動作が、
グループ内の少なくとも１つのドメイン名の所期の使用を識別するステップと、
前記グループ内の残りのドメイン名のそれぞれに前記所期の使用を外挿するステップと
をさらに含む、請求項１５に記載のシステム。
【請求項１７】
前記動作は、前記グループ内の各ドメイン名を、前記グループ内の前記ドメイン名の前記所期の使用が好ましくないとの判断に基づいてブラックリスト化するステップをさらに含む、請求項１６に記載のシステム。
【請求項１８】
前記動作が、
前記識別子に基づいて予測モデルを組み立てるステップと、
新しいドメイン名に対応するデータセットを受け取るステップと、
前記新しいドメイン名の将来の識別子を決定するステップと
をさらに含む、請求項１３に記載のシステム。
【請求項１９】
前記動作が、前記将来の識別子に基づいて前記新しいドメイン名の将来の所期の使用を識別するステップをさらに備える、請求項１８に記載のシステム。
【請求項２０】
前記動作は、前記新しいドメイン名の前記所期の使用が好ましくないとの判断に基づいて、前記新しいドメイン名の悪用を防止するステップをさらに含む、請求項１９に記載のシステム。
【請求項２１】
前記識別子はテキストデータを備え、
前記ネームサーバ動作の各ネームサーバ動作は、時間単位に関連付けられ、
前記識別子を決定するステップは、
前記時間単位のためのいくつかの追加動作およびいくつかの削除動作を含む各時間単位のための文字列を組み立てるステップと、
前記文字列を一緒に連結するステップと
を含む、請求項１３に記載のシステム。
【請求項２２】
複数のドメイン名に対するネームサーバ動作に対応するデータセットを受け取るステップと、
前記ネームサーバ動作に基づいて、前記複数のドメイン名における各ドメイン名について識別子を決定するステップであって、前記識別子が前記ドメイン名に関連するネームサーバ動作を示すステップと
を１つまたは複数のプロセッサに実行させるための命令を含む非一時的コンピュータ可読記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願の相互参照）
本出願は、参照により本明細書に組み込まれている、２０１３年１０月１１日に出願した「ＣＨＡＲＡＣＴＥＲＩＺＡＴＩＯＮ  ＯＦ  ＤＯＭＡＩＮＳ  ＢＡＳＥＤ  ＯＮ  ＣＨＡＮＧＥＳ  ＯＦ  ＡＵＴＨＯＲＩＴＡＴＩＶＥ  ＮＡＭＥ  ＳＥＲＶＥＲＳ」という名称の米国特許仮出願第６１／８８９，８４７号の優先権を主張するものである。
【０００２】
本開示は、ネームサーバの変化に基づいてドメイン名を特徴付けるためのシステム、デバイス、および方法に関する。
【背景技術】
【０００３】
インターネットの使用が指数関数的に増加するにつれて、インターネット関連サービスに対する需要も急速に増大しつつある。インターネットの増加する使用の結果として、ドメイン名に対する需要も急速に増大している。したがって、ドメイン関連サービスに対する需要も増えている。このようなドメイン関連サービスは、ドメイン名生成、ドメイン名登録更新などを含み得る。通常、ウェブサイトは、ドメイン名に対するオンラインでの存在を確立するための主要な手段として働く。このドメイン名関連サービスに対する常に増加する需要を満たすために、これらのサービスを提供する事業体は効率的かつコスト効率の良いようにそれらを提供する必要がある。
【０００４】
ドメイン名システム（「ＤＮＳ」）は、人間が読めるドメイン名を、インターネットを通してＴＣＰ／ＩＰ通信を確立するために必要なインターネット・プロトコル（「ＩＰ」）番号に変換するインターネット・インフラストラクチャの一部である。ＤＮＳは、ウェブサイトに関連付けられ、インターネット上のコンピュータに割り当てられた数値的なＩＰアドレス例えば１２３．４．５６．７８ではなく、「ｗｗｗ．ｅｘａｍｐｌｅ．ｃｏｍ」などの覚えやすいドメイン名を用いて、ユーザがウェブサイトおよび他のリソースを参照することを可能にする。各ドメイン名は、ドットによって隔てられた一連の文字列（例えばラベル）で構成することができる。ドメイン名での最も右側のラベルは、トップレベル・ドメイン（「ＴＬＤ」）として知られる。よく知られたＴＬＤの例は、「ｃｏｍ」、「ｎｅｔ」、「ｏｒｇ」などである。各ＴＬＤはＴＬＤのすぐ左に記入される第２レベル・ドメイン、例えば「ｗｗｗ．ｅｘａｍｐｌｅ．ｃｏｍ」における「ｅｘａｍｐｌｅ」レベルをサポートする。各第２レベル・ドメインは、第２レベル・ドメインのすぐ左にあるいくつかの第３レベル・ドメイン、例えばｗｗｗ．ｅｘａｍｐｌｅ．ｃｏｍにおける「ｗｗｗ」レベルを含むことができる。
【０００５】
ＴＬＤ内の第２レベル・ドメインのレジストリを維持することを含む各ＴＬＤを運用する責任は、ドメイン名レジストリ（「レジストリ」）として知られる特定の組織体に委任される。レジストリは主として、ドメインに関連付けられたＩＰアドレスに対する照会に対して、通常、このような情報を大きなデータベースに維持するＤＮＳサーバを通して応答（「解決」）し、そのトップレベル・ドメインを運用する責任を負う。
【０００６】
ほとんどのＴＬＤの場合、ドメイン名を取得するためには、そのドメイン名が、ドメイン名レジストラ、すなわちエンドユーザの代わりにインターネット・ドメイン名を登録するように承認された事業体を通してレジストリによって登録される必要がある。あるいはエンドユーザは、１つまたは複数の再販売業者の層を通して間接的にドメイン名を登録することができる。レジストリは、数百のレジストラから登録を受け取ることができる。
【０００７】
レジストラは通常、ドメイン関連サービス、例えばドメイン名生成または更新にアクセスするためにレジストリとの専用サービス接続を有する。レジストラは通常、ドメイン名を登録または更新するためにレジストリと通信するための手段として、拡張可能なプロビジョニング・プロトコル（Ｅｘｔｅｎｓｉｂｌｅ  Ｐｒｏｖｉｓｉｏｎｉｎｇ  Ｐｒｏｔｏｃｏｌ）（「ＥＰＰ」）を用いる。ＥＰＰは、インターネットを通してレジストリ内でオブジェクトを割り振るように設計されたプロトコルである。ＥＰＰプロトコルは、構造化されたテキストベースのフォーマットである拡張マークアップ言語（「ＸＭＬ」）に基づく。基礎をなすネットワーク・トランスポートは固定されないが、現在指定される方法は伝送制御プロトコル（「ＴＣＰ」）を通すものである。
【０００８】
ゾーンファイルは、ＤＮＳゾーンと呼ばれるＤＮＳの一部分を記述するテキストファイルである。ゾーンファイルはリソース・レコード（ＲＲ）の形で構成され、ドメイン名およびＩＰアドレスおよび他のリソースの間のマッピングを定義する情報を含む。ゾーンファイルのフォーマットは標準によって定義され、通常、各行は単一のリソース・レコードを定義する。行はドメイン名から始まるが、ブランクである場合は前に定義されたドメイン名がデフォルトとなる。ドメイン名の後に有効期間（ＴＴＬ）、クラス（これはほとんど常に「インターネット」を表す「ＩＮ」であり、まれにしか含まれない）、リソース・レコードのタイプ（Ａ、ＭＸ、ＳＯＡなど）、その後にＡレコードに対するＩＰｖ４アドレスなどのタイプ固有のデータが続く。セミコロンを用いることによってコメントを含めることができる。またドル記号で始まるキーワードでマークされたファイル指示文がある。
【０００９】
ＤＮＳは、各ドメインに対して権威ネームサーバを指定することにより、ドメイン名を割り当て、それらの名前をＩＰアドレスにマッピングする責任を分散する。権威ネームサーバが、それらの特定のドメインに責任をもつように割り当てられ、権威ネームサーバは、それらのサブドメインに対して他の権威ネームサーバを割り当てることができる。この機構は一般に、単一の中央レジスタが絶えず尋ねられ更新される必要性を回避するのに役立つ。ＤＮＳ解決プロセスは、ユーザが所望のドメインをそれによって入力するルックアップ・プロセスにより、所望のドメインに案内されることを可能し、ＤＮＳは適切なＩＰ番号を返す。ＤＮＳ解決プロセス時には、所与のドメイン名に対する要求は、ＩＰアドレスを取り出すためにリゾルバ（例えばスタブ・リゾルバ）から、適切なサーバ（例えば再帰リゾルバ）に送られる。効率を改善し、インターネットにわたるＤＮＳトラフィックを低減し、エンドユーザ・アプリケーションにおける性能を向上させるためにＤＮＳは、当該のドメイン名レコードの有効期間（ＴＴＬ）によって決定される期間のＤＮＳ照会結果を記憶するＤＮＳキャッシュ・サーバをサポートする。通常、ＤＮＳキャッシュとも呼ばれるこのようなキャッシングＤＮＳサーバはまた、照会されたドメインの権威ネームサーバを通して、ＤＮＳルートから始めて所与の名前を解決するのに必要な再帰アルゴリズムを実装する。インターネット・サービス・プロバイダ（ＩＳＰ）は通常、それらの顧客のために再帰およびキャッシングＤＮＳサーバを用意する。さらにホーム・ネットワーク・ルータは、ローカル・ネットワークにおける効率を改善するためにＤＮＳキャッシュおよびプロキシを実装することができる。
【発明の概要】
【発明が解決しようとする課題】
【００１０】
耐障害性、負荷バランス、および地理的負荷分散を含む多くの理由により、ドメイン名に対して複数のネームサーバを維持することが望ましい可能性がある。頻繁なネームサーバ切り換えを、いくつかのサービス・プロバイダにわたってさえ行う多数のドメインが存在する。このネームサーバ切り換えの現象は、既存のＤＮＳサービスとの干渉を要求するので、通常、正常な状況下では予想されない。加えて、頻繁なネームサーバ切り換えを行うドメイン名は、好ましくない挙動に関連する傾向がある。
【００１１】
したがって、ネームサーバ切り換えに基づいてドメイン名を特徴付けるための方法、システム、およびコンピュータ可読媒体が求められている。
【課題を解決するための手段】
【００１２】
本開示は一般に、ドメイン特徴付け技術に上記その他の改善をもたらすための方法、システム、およびコンピュータ可読媒体に関する。
【００１３】
本教示の実装形態は、ドメイン名に対するネームサーバ動作に対応するデータセットを用いて、ドメイン名に対するネームサーバ切り換えフットプリントを決定することによってドメイン名を特徴付けるための方法、システム、およびコンピュータ可読記憶媒体に関する。ドメイン名はネームサーバ切り換えフットプリントに基づいてグループにクラスタ化することができ、グループ内のドメイン名の所期の使用はグループ内の他のドメイン名に外挿することができる。ネームサーバ切り換えフットプリントはまた、データセット内のドメイン名に対して決定されたネームサーバ切り換えフットプリントを用いてトレーニングされた予測モデルを用いて、新しいドメイン名に対して予測することができる。
【００１４】
いくつかの実施形態ではドメイン名は、一致するネームサーバ切り換えフットプリントに基づいてクラスタ化することができる。
【００１５】
他の実施形態ではドメイン名は、各ネームサーバ切り換えフットプリントに対してＮグラムを決定し、Ｎグラムに基づいてドメイン名の間の距離を決定することによってクラスタ化することができる。ドメイン名は距離に基づいてクラスタ化することができる。
【００１６】
いくつかの実装形態では距離閾値を指定することができ、ドメイン名は、それらの間の距離が指定の閾値を超える場合は一緒にクラスタ化されなくてもよい。
【００１７】
いくつかの実施形態ではグループ内のドメイン名は、グループ内のドメイン名の所期の使用が好ましくないとの判断に基づいてブラックリスト化することができる。ドメイン名の所期の使用は例えば、ドメイン名に関連するウェブサイトのコンテンツ、ドメイン名に関連するＷＨＯＩＳ情報、またはドメイン名に関連するドメイン名情報サービス情報を用いて識別することができる。
【００１８】
いくつかの実装形態では、新しいドメイン名の将来の所期の使用を識別するために、予測されたネームサーバ切り換えフットプリントを用いることができる。加えて、新しいドメイン名の将来の所期の使用が好ましくないとの判断に基づいて、新しいドメイン名の悪用を防止することができる。
【００１９】
本明細書に組み込まれその一部を構成する添付の図面は、本開示の様々な実施形態を示し、説明と共に本開示の原理を説明するために役立つ。
【図面の簡単な説明】
【００２０】
【図１】いくつかの開示される実施形態と一致した、例示的ＤＮＳ概略図である。
【図２】いくつかの開示される実施形態と一致した、ネームサーバ切り換えフットプリントを決定する例示の方法を示すフロー図である。
【図３】いくつかの開示される実施形態と一致した、ネームサーバ切り換えフットプリントを組み立てるための例示的擬似コード、例示のドメイン名のデータセット、および例示のネームサーバ切り換えフットプリントを示す図である。
【図４Ａ】いくつかの開示される実施形態と一致した、完全一致を用いてドメイン名をクラスタ化する例示の方法を示すフロー図である。
【図４Ｂ】いくつかの開示される実施形態と一致した、Ｎグラムを用いてドメイン名をクラスタ化する例示の方法を示すフロー図である。
【図５】いくつかの開示される実施形態と一致した、ネームサーバ切り換えフットプリントを予測する例示の方法を示すフロー図である。
【図６】いくつかの開示される実施形態と一致した、ネームサーバの変化に基づいてドメイン名を特徴付けるための例示のハードウェア・システムを示す図である。
【発明を実施するための形態】
【００２１】
以下の詳細な説明は添付の図面を参照する。可能な限り図面では同じ参照番号が用いられ、以下の説明は同じまたは同様な部分を参照する。本明細書では本開示のいくつかの例示の実施形態および特徴が述べられるが、本開示の趣旨および範囲から逸脱せずに変更、適合化、および他の実装形態が可能である。したがって以下の詳細な説明は本開示を限定するものではない。代わりに本開示の適切な範囲は添付の特許請求の範囲によって定義される。
【００２２】
図１は、いくつかの開示される実施形態と一致した、例示的ＤＮＳ概略図である。具体的には図１はＤＮＳ１００を示す。クライアント要求元１１０は、ドメイン名に関連付けられたＩＰアドレスを要求することができる。要求は最初にクライアントのプライマリＤＮＳサーバに向かうことができ、これは再帰ネームサーバ１２０とすることができる。
【００２３】
再帰ネームサーバ１２０は、要求されたドメイン名に対する権威ネームサーバではない場合がある。したがって再帰ネームサーバは、要求をルート・サーバ１３０に転送することができる。ルート・サーバ１３０は、ドメイン名に関連付けられたトップレベル・ドメイン（「ＴＬＤ」）ネームサーバ１４０を知らせることによって応答することができる。例えばドメインのＴＬＤは．ｃｏｍとすることができ、ルート・サーバ１３０は、ＴＬＤネームサーバ１４０が．ｃｏｍのためのＴＬＤネームサーバであることを知らせることによって応答することができる。
【００２４】
次いで再帰ネームサーバ１２０は、要求をＴＬＤネームサーバ１４０に転送することができる。ＴＬＤネームサーバ１４０は、ＴＬＤの各ゾーンに対して権威ネームサーバを指定することにより、ドメイン名を割り当て、それらの名前をＩＰアドレスにマッピングする責任を分散している場合がある。ドメインの各ゾーンはＴＬＤにおけるドメイン名のサブセットを含むことができる。いくつかの場合には、同じゾーンを複数のネームサーバに割り当てることができ、ゾーンは含まれたドメイン名に重なり合うことができる。再帰ネームサーバ１２０は権威ネームサーバの１つとすることができるが、要求されたドメイン名を含むゾーンに対する権威ネームサーバとはなり得ない。
【００２５】
ＴＬＤネームサーバ１４０は、再帰ネームサーバ１５０が、要求されたドメイン名を含むゾーンに対する権威ネームサーバであることを知らせることによって要求に応答することができる。次いで再帰ネームサーバ１２０は、要求を再帰ネームサーバ１５０の１つに転送することができる。再帰ネームサーバ１５０の１つはドメイン名に対応するＩＰアドレスと共に要求に応答することができ、再帰ネームサーバ１２０はＩＰアドレスを要求元１１０に転送することができ、要求元１１０はＩＰアドレスを用いてドメイン名のウェブサイトにアクセスすることができる。
【００２６】
様々なドメイン名に対して、ネームサーバ切り換えが生じる場合がある。ネームサーバ切り換えは、例えばドメインの所期の使用に対する隠蔽機構をもたらす目的のための、意図において悪意がある場合がある。ネームサーバ切り換えはまた悪意がない場合もある。例えばネームサーバ切り換えは、正常なホスティングおよび動作変化などの、妥当な挙動の結果の場合もある。加えて例えばネームサーバ切り換えは、プロバイダ再割り当ての意図しない結果の場合もある。プロバイダは、例えばドメインが好ましくないコンテンツを提供していることを含む様々な理由により、ドメインを再割り当てすることができる。好ましくないコンテンツの例は、違法なコンテンツ、マルウェア、ポルノグラフィ、認可されていない調合薬、リンクファームなどを含むことができる。
【００２７】
図１に示される例は単に例示のためのみに過ぎず、限定するものではない。例えばＤＮＳの一部として、さらなるルート・サーバ、ネームサーバ、およびクライアント要求元を用いることができる。加えて、示されるＤＮＳ構造および述べられるプロセスは、単にいくつかの開示される実施形態と一致したＤＮＳおよびネームサーバ切り換えの簡略化した例に過ぎず、このような例は、限定するものではない。
【００２８】
図２は、いくつかの開示される実施形態と一致した、ネームサーバ切り換えフットプリントを決定する例示の方法を示すフロー図である。例示の方法は２００で、コンピューティング・デバイスがドメイン名サーバ動作に関するデータセットを受け取ったときに開始することができる。データセットは、設定された期間にわたるネームサーバ動作を示す時系列に順序付けられたテキストデータを含むことができる。
【００２９】
例えばコンピューティング・デバイスは、データセットをＴＬＤネームサーバおよび／またはドメイン名レジストリから受け取ることができる。いくつかの実施形態ではドメイン名レジストリは、再帰ネームサーバから受け取った高速ゾーン更新ファイルに基づいてデータセットを生成することができる。高速ゾーン更新ファイルは、頻繁な間隔で送られるテキストファイルとすることができ、前の高速ゾーン更新ファイルからのゾーンにおける変化に関する情報を含む。
【００３０】
いくつかの実施形態ではデータセットは、ドメイン名ゾーン・アラート（「ＤＮＺＡ」）ファイルとすることができ、またはＤＮＺＡファイルに基づいて発生することができる。ＤＮＺＡファイルは、１つまたは複数のゾーン、および／または１つまたは複数のネームサーバに対するゾーンに影響を与えるすべてのトランザクションに関する情報を含むことができる。いくつかの実装形態ではＤＮＺＡは、各ドメイン名に関連するネームサーバの権威あるリストへの変化に基づいて生成することができる。例えばＤＮＺＡファイルは、設定された期間（例えば９０日）にわたる、ゾーンに影響を与える各トランザクションおよび関連するドメイン名を表す、時系列に順序付けられたテキストデータを含むことができる。ゾーンに影響を与えるトランザクションは、例えばネームサーバをドメイン名に対する権威あるリストに追加すること、ドメイン名に対する権威あるリスト内のネームサーバを更新すること、ドメイン名に対する権威あるリストからネームサーバを削除することなどのネームサーバ動作とすることができる。ＤＮＺＡファイルは、受け取った高速ゾーン更新ファイルを用いて、レジストリによって生成することができる。
【００３１】
２１０でコンピューティング・デバイスは、ネームサーバ切り換えに関連するイベントのウィンドウを定義することができる。様々な実施形態ではウィンドウは、ネームサーバ切り換えを示すものとなり得る、ネームサーバ動作の所定のシーケンスまたは系列とすることができる。例えばいくつかの実施形態では、イベントのウィンドウは単一のドメイン名に対して、少なくとも１つの追加動作、その後の少なくとも１つの削除動作、その後の少なくとも１つの追加動作とすることができる。例えばデータセットは、時系列順に第１の追加動作、第２の追加動作、第１の削除動作、第２の削除動作、および第３の追加動作である、単一のドメイン名に対する５つのネームサーバ・トランザクションを含むことができる。したがって少なくとも１つの追加動作（第１の追加動作）、その後に削除動作（第１の削除動作）、その後に追加動作（第３の追加動作）があり、単一のドメイン名においてイベントのウィンドウの１つのインスタンスが存在する。
【００３２】
２２０でコンピューティング・デバイスは、データセットを用いてイベントのウィンドウの１つまたは複数のインスタンスを求めて検索する。いくつかの実施形態ではコンピューティング・デバイスは、データセットを各ドメイン名のためのレコードに分離することができ、一方、他の実施形態ではデータセットはすでにレコードに分離しておくことができる。このような実施形態では各レコードは、そのレコードに対するドメイン名に関連するすべての動作を含むことができる。コンピューティング・デバイスは、各レコードにおいてイベントのウィンドウの１つまたは複数のインスタンスを求めて検索することができ、どのドメイン名がイベントのウィンドウのインスタンスを含むか、およびどれだけ多くのインスタンスが含まれるかを識別することができる。
【００３３】
２３０でコンピューティング・デバイスは、ネームサーバを切り換えたドメイン名を決定することができる。２２０で識別されたウィンドウの１つまたは複数のインスタンスは、ウィンドウのインスタンスが識別された動作において、新しいネームサーバが追加されたかどうかを判定するためにさらに分析することができる。１つまたは複数の追加動作の第１の組にはなかった新しいネームサーバが、１つまたは複数の追加動作の第２の組に追加された場合は、ネームサーバ切り換えが生じている。上記に示された例を用いると、第３の追加動作において、最初の２つの追加動作で追加されたネームサーバとは異なる新しいネームサーバが追加された場合は、ネームサーバ切り換えが生じている。言い換えればネームサーバが追加され、ネームサーバが削除され、次いで新しいネームサーバが追加された。いくつかの実施形態では、ウィンドウの少なくとも１つのインスタンスが識別されたドメイン名は、上記の分析に基づいてネームサーバ切り換えドメイン名としてフラグを立てることができる。
【００３４】
加えて、ウィンドウの複数のインスタンスが識別されたドメイン名に対しては、ウィンドウのインスタンス（ＮＳｗ）における１組のネームサーバは、前のウィンドウのインスタンス（ＮＳｗ’）における１組のネームサーバと比較することができる。ＮＳｗとＮＳｗ’の集合論の差として遷移を定義することができる（すなわち一方の組における要素の組が、他方の組にない）。遷移の組が空でない（すなわち、ＮＳｗ＼ＮＳｗ’≠０）とき、ネームサーバ切り換えが生じたと判断することができる。
【００３５】
したがってネームサーバの個々の連続した追加および削除を無視し、代わりに総計としての変化に焦点を当てることによって、ドメイン名のネームサーバ・サービスの状態における有意な変化を捕捉することができる。
【００３６】
２４０でコンピューティング・デバイスは、ネームサーバ切り換えドメイン名として示される各ドメイン名に対する、ネームサーバ切り換えフットプリント（「ＮＳＳＦ」）を決定することができる。ＮＳＳＦは、時間にわたるネームサーバ切り換えのパターンを特徴付けるための、ドメイン名の一意の識別子とすることができる。ドメインに対するＮＳＳＦを組み立てるための例示の擬似コードは図３に示される。またＮＳＳＦの使用については、図４Ａ、図４Ｂ、および図５に関連して以下で詳しく述べる。
【００３７】
図２に示されるステップは特定の順序で行われるように述べられたが、述べられた順序は単に例に過ぎず、いくつかの開示される実施形態と一致した、様々な異なるシーケンスのステップを行うことができる。加えてステップは単に説明のために別個のステップとして述べられ、いくつかの実施形態では複数のステップを同時に、および／または単一の計算の一部として行うことができる。さらに述べられたステップは、網羅的または絶対的であることを意図するものではなく、様々なステップを挿入するまたは削除することができる。
【００３８】
図３は、いくつかの開示される実施形態と一致した、ネームサーバ切り換えフットプリントを組み立てるための例示的擬似コード、例示のドメイン名のデータセット、例示のネームサーバ切り換えフットプリントを示す。
【００３９】
擬似コード３００は、ＮＳＳＦを組み立てるためにコンピューティング・デバイスによって行うことができる、略式の高レベルの動作ステップの例を示す。擬似コード３００は、入力としてドメインデータ（ｄ）を受け入れるＢｕｉｌｄ＿ＮＳＳＦメソッドを示す。ドメインデータは、指定のドメイン名に関連するＤＮＺＡファイルからのネームサーバ動作を含むことができる。擬似コード３００はまた、９０日の総期間を規定する。したがって９０日の総期間内に含まれる動作のみが考察される。この場合は動作は、１と９０の間のタイムスタンプ（１日目から９０日目を表す）を含む。他の実施形態では異なる期間および時間単位を用いることができる。
【００４０】
Ｂｕｉｌｄ＿ＮＳＳＦメソッドは、前のＮＳＳＦを現在のＮＳＳＦに連結することによって、ＮＳＳＦを発生することになる。各ＮＳＳＦは、アンダスコア（「＿」）によって隔てられたいくつかの追加されたネームサーバ、およびいくつかの削除されたネームサーバを含むことになる。前のＮＳＳＦと現在のＮＳＳＦは、コロン（「：」）によって隔てられることになる。
【００４１】
例えば擬似コード３００において示される動作ステップは、データセット３１０に対して行うことができる。データセット３１０は、ドメイン名ａ．ｃｏｍに対応するデータを表すことができ、ＤＮＺＡファイルから取得することができる。データセット３１０は以下の一連のイベントを示すことができる：１日目にネームサーバ１（ｎｓ１．ｂ．ｃｏｍ）が、ａ．ｃｏｍのためのネームサーバの権威あるリストに追加された；１日目にネームサーバ３（ｎｓ３．ｂ．ｃｏｍ）が、ａ．ｃｏｍのためのネームサーバの権威あるリストに追加された；１日目にネームサーバ１が、ａ．ｃｏｍのためのネームサーバの権威あるリストから削除された；１日目にネームサーバ３が、ａ．ｃｏｍのためのネームサーバの権威あるリストから削除された；３日目にネームサーバ３（ｎｓ３．ｂ．ｃｏｍ）が、ａ．ｃｏｍのためのネームサーバの権威あるリストに追加された；３日目にネームサーバ３がａ．ｃｏｍのためのネームサーバの権威あるリストから削除された；および３日目にネームサーバ４（ｎｓ４．ｃ．ｃｏｍ）が、ａ．ｃｏｍのためのネームサーバの権威あるリストに追加された。
【００４２】
擬似コード３００において示される動作ステップをデータセット３１０に対して行うことにより、結果としてａ．ｃｏｍに対するＮＳＳＦ３２０を生じる。ａ．ｃｏｍに対するＮＳＳＦ３２０は、１日目に対する追加数（２）続いて削除数（２）、次いで３日目に対する追加数（２）続いて削除数（１）とすることができる。ａ．ｃｏｍに対するＮＳＳＦ３２０は、時間にわたるネームサーバ切り換えのパターンを特徴付けるための、ａ．ｃｏｍの一意の識別子とすることができる。ＮＳＳＦ３２０は、ネームサーバ相互作用に基づいてドメイン名使用における異常を識別するために用いることができる。
【００４３】
ネームサーバ切り換えは、悪意がある、好ましくない、および／または芳しくない挙動に関連する傾向があるので、異常なネームサーバ相互作用を有するドメイン名には、さらなる再検討、ブラックリスト化などのためにフラグを立てることができる。加えて、同様な所期の使用を有するドメイン名は同様なＮＳＳＦを有し得るので、ドメイン名の所期の使用を識別するためにＮＳＳＦを用いることができる。しかし同様な所期の使用を有するドメイン名のＮＳＳＦは完全一致しない場合があり、したがって同様なＮＳＳＦを突き合わせることにより、フラグが立てられたドメイン名の所期の使用を完全に識別するためのプロセスは、大きな手間が必要になり得る。いくつかの実施形態では識別プロセスは、図４Ａおよび４Ｂに関してさらに述べるように、ドメイン名をクラスタ化することによって自動化することができる。
【００４４】
図３に示される擬似コード、データセット、およびＮＳＳＦは例示のための簡略化した例とするものであり、限定するものではない。例えば開示される実施形態と一致した、異なる動作ステップ、異なるデータセット・フォーマット、および異なるＮＳＳＦフォーマットを用いることができる。
【００４５】
図４Ａは、いくつかの開示される実施形態と一致した、完全一致を用いてドメイン名をクラスタ化する例示の方法を示すフロー図である。例示の方法は４００で、コンピューティング・デバイスがドメイン名サーバ動作に関するデータセットを受け取ったときに開始することができる。データセットは、１つまたは複数の高速ゾーン更新ファイル、ＤＮＺＡファイル、および／またはそれらから発生されたデータセットを含むことができる。いくつかの実施形態ではデータセットは、指定の基準に適合するドメイン名のみを含むことができる。例えば、少なくとも閾値数のネームサーバ動作を有するドメイン名のみを、データセットに含めることができる。
【００４６】
４０２でコンピューティング・デバイスは、データセット内のドメイン名に対してＮＳＳＦを決定することができる。例えばコンピューティング・デバイスは、データセット内の各ドメインに対して、またはデータセット内の、切り換えられたネームサーバを有すると判断された各ドメインに対して、ＮＳＳＦを決定することができる。ＮＳＳＦは、例えば図２および／または図３に関連して上述したプロセスを用いて決定することができる。
【００４７】
４０４ではＮＳＳＦを互いに比較することができ、一致を識別することができる。いくつかの実施形態では、完全一致のＮＳＳＦのみが識別される。
【００４８】
４０６では一致したＮＳＳＦを有するドメイン名を一緒にグループ化することができる。いくつかの実施形態では、あらゆるドメイン名を１つまたは複数のドメイン名のグループまたはクラスタに入れることができる。他の実施形態では、指定の基準を満たすドメイン名のみをグループまたはクラスタに入れることができる。例えばいくつかの実施形態では、少なくとも閾値長さのＮＳＳＦを有するドメイン名を、一致するＮＳＳＦを有するドメインのグループにクラスタ化することができ、閾値長さ未満のＮＳＳＦを有するドメイン名は、グループ化されなくてもよくおよび／またはさらに分析されなくてもよい。
【００４９】
４０８ではグループは、例えばグループ内のドメイン名の所期の使用に基づいて識別することができる。いくつかの実施形態ではグループは、グループ内の１つまたは複数のドメイン名の事前識別に基づいて識別することができる。グループ内の１つまたは複数のドメイン名の事前識別は、グループ内の残りのドメイン名に対して外挿することができる。他の実施形態ではグループは、全体として分析することができ、またはグループからのドメイン名のサンプルを手作業で分析することができ、グループに対する識別を生成することができる。
【００５０】
例えばドメイン名のグループは自動でまたは手作業で、引き継ぎドメイン名として識別することができる。引き継ぎドメイン名は、以前に期限が切れており、ドメインの以前の使用に基づいてトラフィックを引き付ける意図を有して異なる登録者によって再登録されたドメイン名である。さらなる例としてドメイン名のグループは、リンクファーム・ドメイン名として自動でまたは手作業で識別することができる。リンクファーム・ドメイン名は、１つまたは複数のターゲット・ドメイン名の認知される重要性を増大させる（例えばターゲット・ドメイン名のページ・ランクを増加させる）意図を有して、１つまたは複数のターゲット・ドメイン名にリンクすることを主目的として登録されるドメイン名である。
【００５１】
グループは手作業または自動で、例えばドメインに関連するウェブページのコンテンツ、ドメイン名についてのＷＨＯＩＳ情報、ドメイン名情報サービス情報、レジストリ情報、ドメイン名の前の識別などに基づいて識別することができる。例えばコンピューティング・デバイスは登録情報（例えば登録者およびレジストラ）を、情報が利用可能な各ドメイン名についてのＷＨＯＩＳデータベースから抽出することができる。加えて、他の例としてコンピューティング・デバイスは、Ｖｅｒｉｓｉｇｎ（登録商標）  ｃｏｒｐｏｒａｔｉｏｎによって提供されるＩｎｔｅｒｎｅｔ  Ｐｒｏｆｉｌｅ  Ｓｅｒｖｉｃｅ  ｆｏｒ  Ｒｅｇｉｓｔｒａｒｓ（本明細書の以下では「ＩＰＳ」）などのドメイン名情報サービスから、ホスティング情報を抽出することができる。
【００５２】
図４Ａに示されるステップは特定の順序で行われるように述べられたが、述べられた順序は単に例に過ぎず、いくつかの開示される実施形態と一致した、様々な異なるシーケンスのステップを行うことができる。加えてステップは単に説明のために別個のステップとして述べられ、いくつかの実施形態では複数のステップを同時に、および／または単一の計算の一部として行うことができる。さらに述べられたステップは、網羅的または絶対的であることを意図するものではなく、様々なステップを挿入するまたは削除することができる。
【００５３】
図４Ｂは、いくつかの開示される実施形態と一致した、Ｎグラムを用いてドメイン名をクラスタ化する例示の方法を示すフロー図である。例示の方法は４１０で、コンピューティング・デバイスがドメイン名サーバ動作に関するデータセットを受け取ったときに開始することができる。データセットは、１つまたは複数の高速ゾーン更新ファイル、ＤＮＺＡファイル、および／またはそれらから発生されたデータセットを含むことができる。
【００５４】
４１２でコンピューティング・デバイスは、データセット内のドメイン名に対してＮＳＳＦを決定することができる。例えばコンピューティング・デバイスは、データセット内の各ドメインに対して、またはデータセット内の、切り換えられたネームサーバを有すると判断された各ドメインに対して、ＮＳＳＦを決定することができる。ＮＳＳＦは、例えば図２および／または図３に関連して上述したプロセスを用いて決定することができる。
【００５５】
４１４でＮＳＳＦを互いに比較することができ、Ｎグラムを識別することができる。
【００５６】
Ｎグラムは、２つ以上のＮＳＳＦに含まれる任意の長さの文字列とすることができる。例えば第１のＮＳＳＦ”２＿２＿１：１＿１＿２：３＿１＿３”、および第２のＮＳＳＦ”２＿１＿１：１＿１＿２：３＿１＿３”は、共に文字列”１＿１＿２：３＿１＿３”を含み、これはＮグラム一致を表す。
【００５７】
いくつかの実施形態ではＮグラムは、ドメインを取り出し、時間にわたりドメインに対するＮＳＳＦを分割し、フットプリントの各部分を、Ｎグラムが構築される１組のうちの項目と見なすことによって識別することができる。したがってＮＳＳＦは１組の項目に分割され、各項目がＮグラムとなり、設定されるサイズはタイムスタンプの数と同じになる。組は、他のドメイン名からの組と比較することができる。
【００５８】
例としてドメインａ．ｃｏｍは、フットプリント”２＿０＿１：０＿２＿２：４＿３＿３”をもつことができ、これはＮＳＳＦａ．ｃｏｍと表すことができる。ＮＳＳＦはドメインａ．ｃｏｍが、時間１において２つのネームサーバを追加し、時間２において両方のネームサーバを削除し、時間３において４つのネームサーバを追加し３つのネームサーバを削除したことを示すことができる。Ｎグラムを組み立てるためにＮＳＳＦａ．ｃｏｍは時間にわたって分割することができ、ＮＳＳＦの各部分は、Ｎグラムが構築される１組のうちの項目と見なすことができる。ＮＳＳＦａ．ｃｏｍは３つのタイムスタンプにわたり、したがって時間にわたる分割は３つのＮグラム｛”２＿０＿１”、”０＿２＿２”、”４＿３＿３”｝の組を生じることになる。組における各Ｎグラムは、他のドメイン名からのＮグラムおよび／または組と比較することができる。
【００５９】
上記の例では例示的ＮＳＳＦは、指定のタイムスタンプ（例えば１日目、２日目、および３日目）に基づく。しかし他の実施形態では代わりに、ＮＳＳＦにおけるイベントは順序付けられたイベントと見なすことができる。言い換えればＮＳＳＦで用いられるタイムスタンプは、時系列における時間インデックスとすることができる。例えば、第３日および第５日における動作を示すタイムスタンプ３および５を有する２＿２＿３：２＿１＿５などのＮＳＳＦの代わりに、ＮＳＳＦは”２＿２＿ｉ：２＿１＿ｉ＋２”などのインデックス（例えばｉ）を用いることができる。いくつかの実施形態ではインデックスは、第１のネームサーバ動作、パターンに適合する動作の第１の組などに基づいて設定することができる。加えて時間間隔およびタイムスタンプは、日によって提示されなくてもよく、いくつかの開示される実施形態と一致した他の時間単位を利用することができる。
【００６０】
他の実施形態ではＮグラムは、ドメインを取り出し、イベント（例えば追加、削除）、および時間に基づいてドメインに対するＮＳＳＦを分割することによって識別することができる。したがってＮＳＳＦは１組の項目に分割されることになり、各項目はＮグラムであり、設定されるサイズは、異なるイベントの数足す時間のための１と同じとなる。組は、他のドメイン名の組と比較することができる。
【００６１】
例としてドメインａ．ｃｏｍは、フットプリント”２＿０＿１：０＿２＿２：４＿３＿３”をもつことができ、これはＮＳＳＦａ．ｃｏｍと表すことができる。Ｎグラムを組み立てるために、ＮＳＳＦａ．ｃｏｍは、Ｎグラムを構築するようにイベントおよび時間に基づいて分割することができる。ＮＳＳＦａ．ｃｏｍは２つのタイプのイベント、追加および削除を含むので、イベント数足す時間のための１に基づく分割は、結果として｛”２＿０＿４”、”０＿２＿３”、”１＿２＿３”｝を生じることになる。第１のＮグラム（”２＿０＿４”）は、それぞれ１日目、２日目、３日目に行われた追加動作の数を表す。第２のＮグラム（”０＿２＿３”）は、それぞれ１日目、２日目、３日目に行われた削除動作の数を表す。第３のＮグラム（”１＿２＿３”）はタイムスタンプを表す。組における各Ｎグラムは、他のドメイン名からのＮグラムおよび／または組と比較することができる。
【００６２】
４１６では、ドメイン名の対に対して、距離計量および／または測定をＮグラムに適用することができる。いくつかの実施形態では、ドメイン対のＮグラムに対して距離測定を行うことができ、最終距離を求めることができる。例えば距離測定はＮグラムの各対に対して行うことができ、距離の平均はドメイン名の対に対する最終距離と見なすことができる。本明細書で用いられる距離とは、少なくとも２組のデータの間の差異を表すために用いられる数値とすることができる。
【００６３】
いくつかの実施形態では、あらゆるドメイン名に対するあらゆるＮグラムを、あらゆる他のドメイン名のＮグラムと比較することができる。他の実施形態では、指定の基準を満たすドメイン名のＮグラムのみ、および／または指定のイベント（例えば追加および削除）に関するＮグラムのみを比較することができる。
【００６４】
用いることができる距離測定の例は、Ｔｒｉｂａｓｅｄ距離およびＫｅｓｅｌｊ距離を含むがそれらに限定されない。
【００６５】
４１８でドメイン名は、距離に基づいてクラスタ化することができる。いくつかの実施形態では、あらゆるドメイン名を１つまたは複数のドメイン名のグループまたはクラスタに入れることができる。他の実施形態では、指定の基準を満たすドメイン名のみをグループまたはクラスタに入れることができる。例えばいくつかの実施形態では、少なくとも閾値長さのＮＳＳＦを有するドメイン名をそれぞれドメインのグループにクラスタ化することができ、閾値長さ未満のＮＳＳＦを有するドメイン名は、グループ化されなくてもよくおよび／またはさらに分析されなくてもよい。
【００６６】
当技術分野で知られている様々なクラスタ化方法を用いることができる。例えば凝縮型階層的クラスタリングを用いることができ、そこでは各ドメインはそれ自体のクラスタにおいて開始し、クラスタは、最適クラスタ化が得られるまで、他のドメイン名および／またはクラスタとの距離測定に基づいて漸進的にマージされる。
【００６７】
いくつかの実施形態では閾値距離を設定することができ（例えば手作業で）、閾値距離は一緒にクラスタ化された２つのドメイン対の間の最大距離を表すことができる。
【００６８】
４２０ではグループは、例えばグループ内のドメイン名の所期の使用に基づいて識別することができる。いくつかの実施形態ではグループは、グループ内の１つまたは複数のドメイン名の事前識別に基づいて識別することができる。グループ内の１つまたは複数のドメイン名の事前識別は、グループ内の残りのドメイン名に対して外挿することができる。他の実施形態ではグループは、全体として分析することができ、またはグループからのドメイン名のサンプルを手作業で分析することができ、グループに対する識別を生成することができる。
【００６９】
グループは手作業または自動で、例えばドメインに関連するウェブページのコンテンツ、ドメイン名についてのＷＨＯＩＳ情報、ドメイン名情報サービス情報、レジストリ情報、ドメイン名の前の識別などに基づいて識別することができる。
【００７０】
いくつかの実施形態ではすべてのグループを識別することができ、一方、他の実施形態ではいくつかのグループは識別されなくてもよい。例えばいくつかの実施形態では、所定の数のグループのみを識別することができる（例えば最も大きなグループ）。
【００７１】
図４Ｂに示されるステップは特定の順序で行われるように述べられたが、述べられた順序は単に例に過ぎず、いくつかの開示される実施形態と一致した、様々な異なるシーケンスのステップを行うことができる。加えてステップは単に説明のために別個のステップとして述べられ、いくつかの実施形態では複数のステップを同時に、および／または単一の計算の一部として行うことができる。さらに述べられたステップは、網羅的または絶対的であることを意図するものではく、様々なステップを挿入するまたは削除することができる。
【００７２】
図５は、いくつかの開示される実施形態と一致した、ネームサーバ切り換えフットプリントを予測する例示の方法を示すフロー図である。例示の方法は５００で、コンピューティング・デバイスがドメイン名サーバ動作に関するデータセットを受け取ったときに開始することができる。データセットは、１つまたは複数の高速ゾーン更新ファイル、ＤＮＺＡファイル、および／またはそれらから発生されたデータセットを含むことができる。
【００７３】
５１０でコンピューティング・デバイスは、データセット内のドメイン名に対してＮＳＳＦを決定することができる。例えばコンピューティング・デバイスは、データセット内の各ドメイン名に対して、またはデータセット内の、切り換えられたネームサーバを有すると判断された各ドメイン名に対して、ＮＳＳＦを決定することができる。ＮＳＳＦは、例えば図２および／または図３に関連して上述したプロセスを用いて決定することができる。
【００７４】
５２０でコンピューティング・デバイスは、決定されたＮＳＳＦに基づいて予測モデルを組み立てることができる。実施形態では予測モデルは、決定されたＮＳＳＦを用いてトレーニングすることができる。例えば予測モデルは、自己回帰和分移動平均（「ＡＲＩＭＡ」）モデルとすることができる。ＡＲＩＭＡモデルは、Ｙｔ＝（１−Ｌ）ｄＸｔと定義することができ、Ｙｔは予測される変数、Ｌは遅延演算子またはバックシフト（前の要素を生じるための時系列に対する演算子として定義される）、およびｄは多重度因子である。
【００７５】
予測モデルを用いて、５３０でコンピューティング・デバイスは、ドメインに対する将来のＮＳＳＦを決定することができる。ドメインに対するネームサーバ動作は予測モデルに入力することができ、予測モデルは予測された値を将来の動作のために出力することができる。いくつかの実施形態では、予測された値は最も近い整数に四捨五入することができる。
【００７６】
簡略化した例として、３つのＮＳＳＦの組を｛（３＿１＿ｉ：２＿３＿ｉ＋１：２＿２＿ｉ＋３）；（３＿１＿ｉ：２＿３＿ｉ＋１：２＿１＿ｉ＋３）；（３＿１＿ｉ：２＿３＿ｉ＋１：２＿２＿ｉ＋３）｝とすることができ、ただしｉはインデックス・タイムスタンプである。ＮＳＳＦの組は、予測モデルを組み立てるために用いることができる。新しいドメインに対するネームサーバ動作は、予測モデルに入力することができる。新しいドメインに対するネームサーバ動作は、５日目の３つの追加動作および１つの削除動作、ならびに６日目の２つの追加動作および３つの削除動作とすることができる。インデックス値が５である場合は、新しいドメインに対するＮＳＳＦは”３＿１＿ｉ：２＿３＿ｉ＋１”となる。予測モデルを用いることによってコンピューティング・デバイスは、将来の動作が８日目の２つの追加動作と１．６７個の削除動作であると予測することができる。予測された削除動作は、２に四捨五入することができる。
【００７７】
予測モデルは、未だ起きていない相互作用に対して完全な（予測モデルの確実性保証内で）ＮＳＳＦの識別を可能にする。これはまた、所期の使用が生じる前に、ドメイン名の所期の使用を確率的に識別することを可能にする（例えば予測されたＮＳＳＦを用いて）。これはドメイン名の意図される悪用を防止するためのプロアクティブな、または先制的な対策を可能にする。例えばドメイン名は、先制的にブラックリスト化することができる。
【００７８】
図５に示されるステップは特定の順序で行われるように述べられたが、述べられた順序は単に例に過ぎず、いくつかの開示される実施形態と一致した、様々な異なるシーケンスのステップを行うことができる。加えてステップは単に説明のために別個のステップとして述べられ、いくつかの実施形態では複数のステップを同時に、および／または単一の計算の一部として行うことができる。さらに述べられたステップは、網羅的または絶対的であることを意図するものではなく、様々なステップを挿入するまたは削除することができる。
【００７９】
図６は、いくつかの開示される実施形態と一致した、ネームサーバの変化に基づいてドメイン名を特徴付けるための例示のハードウェア・システムを示す図である。例示のシステム６００は、用いることができる例示のシステム構成要素を含む。しかし構成要素および構成は変わり得る。
【００８０】
コンピュータ６０１は、プロセッサ６１０、メモリ６２０、記憶装置６３０、および入力／出力（Ｉ／Ｏ）デバイス（図示せず）を含むことができる。コンピュータ６０１は様々に実現することができ、上述の実施形態のいずれかを行うように構成することができる。例えばコンピュータ６０１は汎用コンピュータ、メインフレーム・コンピュータ、これらの構成要素に任意の組み合わせ、または任意の他の適切なコンピューティング・デバイスとすることができる。コンピュータ６０１は独立型とすることができ、またはサブシステムの一部とすることができ、これはより大きなシステムの一部とすることができる。
【００８１】
プロセッサ６１０は、Ｉｎｔｅｌ（商標）によって製造されるＩｎｔｅｌ  Ｃｏｒｅ（商標）ファミリ、ＡＭＤ（商標）によって製造されるＰｈｅｎｏｍ（商標）ファミリからのマイクロプロセッサ、またはＳｕｎ  Ｍｉｃｒｏｓｙｓｔｅｍｓによって製造される様々なプロセッサのいずれかなどの、１つまたは複数の知られている処理デバイスを含むことができる。メモリ６２０は、開示される実施形態に関するいくつかの機能を行うためにプロセッサ６１０によって用いられる情報を記憶するように構成された、１つまたは複数の記憶装置を含むことができる。記憶装置６３０は、揮発性または不揮発性、磁気、半導体、テープ、光、リムーバブル、非リムーバブル、または記憶装置として用いられる他のタイプのコンピュータ可読媒体を含むことができる。
【００８２】
一実施形態ではメモリ６２０は、コンピュータ６０１によって実行されたときに開示される実施形態と一致した様々な手順、動作、またはプロセスを行う、記憶装置６３０または他の場所からロードすることができる、１つまたは複数のプログラムまたはサブプログラムを含むことができる。例えばメモリ６２０は、開示される実施形態によりＮＳＳＦを決定する、ドメインをクラスタ化する、およびＮＳＳＦを予測するための、ドメイン特徴付けプログラム６２５を含むことができる。メモリ６２０はまた、通信サポート、インターネット・アクセス等をもたらすプログラムなどの他の機能およびプロセスを行う、他のプログラムを含むことができる。ドメイン特徴付けプログラム６２５は実行されたときに、開示される実施形態によりドメイン特徴付けプログラム６２５の機能を行うように一緒に動作する、単一のプログラムとして実施することができ、または代替として複数のサブプログラムを含むことができる。
【００８３】
コンピュータ６０１はリンクを通してネットワーク６６０と通信することができる。例えばリンクは、直接通信リンク、ＬＡＮ、ＷＡＮ、または他の適切な接続とすることができる。ネットワーク６６０は、インターネットならびに他のシステムを含むことができる。
【００８４】
コンピュータ６０１は、コンピュータ６０１によってデータを受け取るおよび／または送出することを可能にする１つまたは複数のＩ／Ｏデバイス（図示せず）を含むことができる。Ｉ／Ｏデバイスはまた、コンピュータ６０１が他のマシンおよびデバイスと通信することを可能にする１つまたは複数のデジタルおよび／またはアナログ通信入力／出力デバイスを含むことができる。Ｉ／Ｏデバイスはまた、キーボードまたはマウスなどの入力デバイスを含むことができ、およびディスプレイまたはプリンタなどの出力デバイスを含むことができる。コンピュータ６０１は、外部のマシンおよびデバイスからデータを受け取り、Ｉ／Ｏデバイスを通じて外部のマシンおよびデバイスにデータを出力することができる。Ｉ／Ｏデバイスに組み込まれる入力および／または出力デバイスの構成および数は、様々な実施形態に対して適切となるように変わり得る。
【００８５】
実施形態ではコンピュータ６０１はまた、１つまたは複数のデータ保存場所に通信可能に接続され得る。
【００８６】
システム６００の例示の使用は、上述の例示の実施形態を参照して例として示すことができる。
【００８７】
教示についてそれらの例示の実施形態を参照して述べてきたが、当業者は真の趣旨および範囲から逸脱せずに、述べられた実施形態に対して様々な変更を行うことができるであろう。本明細書で用いられる用語および説明は例示のみとして記述され、限定するものではない。特に、方法については例によって述べられたが、方法のステップは示されたものとは異なる順序で、または同時に行うことができる。さらに「含む（ｉｎｃｌｕｄｉｎｇ、ｉｎｃｌｕｄｅｓ）」、「有する（ｈａｖｉｎｇ、ｈａｓ、ｗｉｔｈ）」またはそれらの変形は、「発明を実施するための形態」および「特許請求の範囲」のいずれかで用いられる範囲において、このような用語は「備える、含む（ｃｏｍｐｒｉｓｉｎｇ）」という用語と同様に包含的であることが意図される。例えばＡおよびＢなどの項目の列挙に対する、本明細書で用いられる「の１つまたは複数」という用語は、Ａ単独、Ｂ単独、またはＡおよびＢを意味する。当業者には、添付の特許請求の範囲およびそれらの均等物において定義される通りの趣旨および範囲内において、これらおよびその他の変形形態が可能であることが理解されるであろう。
【図１】
2015076892.tif 000003
【図２】
2015076892.tif 000004
【図３】
2015076892.tif 000005
【図４Ａ】
2015076892.tif 000006
【図４Ｂ】
2015076892.tif 000007
【図５】
2015076892.tif 000008
【図６】
2015076892.tif 000009
【外国語明細書】
2015076892000001.pdf