(57)【要約】【解決手段】ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークのための、改善された新規の技術が開示される。幾つかの実施形態では、ＤＮＳトンネリング検出を促進するために、ＤＮＳセキュリティのための解析フレームワークを実装するプラットフォームが提供される。例えば、オンラインプラットフォームが、パッシブＤＮＳトラフィック解析に基づくＤＮＳセキュリティのための解析フレームワークを実装することができる。【選択図】図１
2018513592.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するためのオンラインプラットフォームのためのシステムであって、
プロセッサと、
前記プロセッサに結合され、前記プロセッサに命令を提供するように構成されたメモリと、
を備え、
前記プロセッサは、
ＤＮＳデータストリームを受信し、
パッシブＤＮＳトラフィックデータの時系列収集に適用される行動解析モデルに基づいてＤＮＳトンネリング活動を識別するために、前記ＤＮＳデータストリームを処理し、
前記識別されたＤＮＳトンネリング活動に基づいて緩和措置を実施する、
ように構成されている、システム。
【請求項２】
請求項１に記載のシステムであって、
前記ＤＮＳデータストリームは、ＤＮＳクエリおよびＤＮＳレスポンスデータを含む、システム。
【請求項３】
請求項１に記載のシステムであって、
ネットワークドメインは、前記識別されたＤＮＳトンネリング活動との関係付けに基づいて、不良ネットワークドメインであると決定され、前記不良ネットワークドメインは、完全修飾ドメイン名（ＦＱＤＮ）に関係付けられる、システム。
【請求項４】
請求項１に記載のシステムであって、
ネットワークドメインは、前記識別されたＤＮＳトンネリング活動との関係付けに基づいて、不良ネットワークドメインであると決定され、
前記プロセッサは、更に、
ホストから前記不良ネットワークドメインへのＤＮＳクエリリクエストの検出に基づいて、前記ホストが感染していると決定する、
ように構成されている、システム。
【請求項５】
請求項１に記載のシステムであって、
ネットワークドメインは、前記識別されたＤＮＳトンネリング活動との関係付けに基づいて、不良ネットワークドメインであると決定され、
前記プロセッサは、更に、
ホストから前記不良ネットワークドメインへのＤＮＳクエリリクエストの検出に基づいて、前記ホストが感染していると決定し、
前記決定された感染ホストに基づいて、別の緩和措置を実施する、
ように構成されている、システム。
【請求項６】
請求項１に記載のシステムであって、
ネットワークドメインは、前記識別されたＤＮＳトンネリング活動との関係付けに基づいて、不良ネットワークドメインであると決定され、
前記緩和措置は、
前記不良ネットワークドメインに基づいて、ファイヤウォールルールを生成する、
前記不良ネットワークドメインとのネットワーク通信をブロックするように、ネットワークデバイスを構成する、
前記不良ネットワークドメインとの関係付けに基づいて感染していると決定される、感染ホストを隔絶する、及び
前記不良ネットワークドメインを評価フィードに追加する、
のうちの１つ以上を含む、システム。
【請求項７】
請求項１に記載のシステムであって、
ネットワークドメインは、前記識別されたＤＮＳトンネリング活動との関係付けに基づいて、不良ネットワークドメインであると決定され、
前記プロセッサは、更に、
ソースＩＰアドレス、ソースホスト、または、前記不良ネットワークドメインをクエリする試みを識別する、
ように構成されている、システム。
【請求項８】
請求項１に記載のシステムであって、
前記プロセッサは、更に、
前記パッシブＤＮＳトラフィックデータの時系列収集をオブザベーションキャッシュに格納する、
ように構成されている、システム。
【請求項９】
請求項１に記載のシステムであって、
前記プロセッサは、更に、
ＤＮＳアプライアンス上で実行されるエージェントから収集されるＤＮＳデータを受信する、
ように構成されている、システム。
【請求項１０】
請求項１に記載のシステムであって、
前記プロセッサは、更に、
前記ＤＮＳデータストリームから複数の特徴を抽出して、前記抽出された複数の特徴に基づいてＤＮＳトンネリングを検出する、
ように構成されている、システム。
【請求項１１】
ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するためのオンラインプラットフォームの方法であって、
ＤＮＳデータストリームを受信し、
パッシブＤＮＳトラフィックデータの時系列収集に適用される行動解析モデルに基づいてＤＮＳトンネリング活動を識別するために、プロセッサを使用して前記ＤＮＳデータストリームを処理し、
前記識別されたＤＮＳトンネリング活動に基づいて、緩和措置を実施する、
ことを備える方法。
【請求項１２】
請求項１１に記載の方法であって、
前記ＤＮＳデータストリームは、ＤＮＳクエリおよびＤＮＳレスポンスデータを含む、方法。
【請求項１３】
請求項１１に記載の方法であって、
ネットワークドメインは、前記識別されたＤＮＳトンネリング活動との関係付けに基づいて、不良ネットワークドメインであると決定され、前記不良ネットワークドメインは、完全修飾ドメイン名（ＦＱＤＮ）に関係付けられる、方法。
【請求項１４】
請求項１１に記載の方法であって、
ネットワークドメインは、前記識別されたＤＮＳトンネリング活動との関係付けに基づいて、不良ネットワークドメインであると決定され、
前記方法は、更に、
ホストから前記不良ネットワークドメインへのＤＮＳクエリリクエストの検出に基づいて、前記ホストが感染していると決定する、
ことを備える方法。
【請求項１５】
請求項１１に記載の方法であって、
ネットワークドメインは、前記識別されたＤＮＳトンネリング活動との関係付けに基づいて、不良ネットワークドメインであると決定され、
前記方法は、更に、
ホストから前記不良ネットワークドメインへのＤＮＳクエリリクエストの検出に基づいて、前記ホストが感染していると決定し、
前記決定された感染ホストに基づいて、別の緩和措置を実施する、
ことを備える方法。
【請求項１６】
ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するためのオンラインプラットフォームのための、非一時的なコンピュータ読み取り可能ストレージ媒体に記録されているコンピュータプログラム製品であって、
ＤＮＳデータストリームを受信するためのコンピュータ命令と、
パッシブＤＮＳトラフィックデータの時系列収集に適用される行動解析モデルに基づいてＤＮＳトンネリング活動を識別するために、前記ＤＮＳデータストリームを処理するためのコンピュータ命令と、
前記識別されたＤＮＳトンネリング活動に基づいて、緩和措置を実施するためのコンピュータ命令と、
を備えるコンピュータプログラム製品。
【請求項１７】
請求項１６に記載のコンピュータプログラム製品であって、
前記ＤＮＳデータストリームは、ＤＮＳクエリおよびＤＮＳレスポンスデータを含む、コンピュータプログラム製品。
【請求項１８】
請求項１６に記載のコンピュータプログラム製品であって、
ネットワークドメインは、前記識別されたＤＮＳトンネリング活動との関係付けに基づいて、不良ネットワークドメインであると決定され、前記不良ネットワークドメインは、完全修飾ドメイン名（ＦＱＤＮ）に関係付けられる、コンピュータプログラム製品。
【請求項１９】
請求項１６に記載のコンピュータプログラム製品であって、
ネットワークドメインは、前記識別されたＤＮＳトンネリング活動との関係付けに基づいて、不良ネットワークドメインであると決定され、
前記コンピュータプログラム製品は、更に、
ホストを、前記ホストから前記不良ネットワークドメインへのＤＮＳクエリリクエストの検出に基づいて、感染していると決定するためのコンピュータ命令、
を備えるコンピュータプログラム製品。
【請求項２０】
請求項１６に記載のコンピュータプログラム製品であって、
ネットワークドメインは、前記識別されたＤＮＳトンネリング活動との関係付けに基づいて、不良ネットワークドメインであると決定され、
前記コンピュータプログラム製品は、更に、
ホストから前記不良ネットワークドメインへのＤＮＳクエリリクエストの検出に基づいて、前記ホストが感染していると決定するためのコンピュータ命令と、
前記決定された感染ホストに基づいて、別の緩和措置を実施するためのコンピュータ命令と、
を備えるコンピュータプログラム製品。
【発明の詳細な説明】
【技術分野】
【０００１】
［関連技術の相互参照］
この出願は、あらゆる目的のために参照によって本明細書に組み込まれた、２０１５年４月３日に出願され名称を「ＢＥＨＡＶＩＯＲ  ＡＮＡＬＹＳＩＳ  ＢＡＳＥＤ  ＤＮＳ  ＴＵＮＮＥＬＩＮＧ  ＤＥＴＥＣＴＩＯＮ  ＡＮＤ  ＣＬＡＳＳＩＦＩＣＡＴＩＯＮ  ＦＲＡＭＥＷＯＲＫ  ＦＯＲ  ＮＥＴＷＯＲＫ  ＳＥＣＵＲＩＴＹ（ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワーク）」とする米国特許出願第６２／１４２，８４６号の優先権を主張し、また、この出願は、２０１５年８月１４日に出願され名称を「ＢＥＨＡＶＩＯＲ  ＡＮＡＬＹＳＩＳ  ＢＡＳＥＤ  ＤＮＳ  ＴＵＮＮＥＬＩＮＧ  ＤＥＴＥＣＴＩＯＮ  ＡＮＤ  ＣＬＡＳＳＩＦＩＣＡＴＩＯＮ  ＦＲＡＭＥＷＯＲＫ  ＦＯＲ  ＮＥＴＷＯＲＫ  ＳＥＣＵＲＩＴＹ（ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワーク）」とする米国特許出願第６２／２０５，３８５号の優先権を主張する。
【背景技術】
【０００２】
ドメインネームシステム（ＤＮＳ）ネットワークサービスは、ＩＰをベースにしたネットワーク中の随所に見られるのが一般的である。ＤＮＳトンネリングは、ファイヤウォールなどのセキュリティの実施によって一般にブロック又は監視されることがないＤＮＳプロトコルを使用してＴＣＰトンネルを通じてメッセージを伝達するために使用されるアプローチである。
【０００３】
ＤＮＳトンネリングは、それ自体、ネットワークのセキュリティを損なう恐れがある数々の悪質なやり方で利用される可能性がある。例えば、ＤＮＳトンネリングは、データ流出、サイバースパイ、及び／又はコマンド・制御などの、様々な悪質な／不正な活動に使用される恐れがある。
【図面の簡単な説明】
【０００４】
本発明の様々な実施形態が、以下の詳細な説明及び添付の図面で開示される。
【０００５】
【図１】幾つかの実施形態にしたがった、ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するオンラインプラットフォームを提供するためのアーキテクチャを示した機能ブロック図である。
【０００６】
【図２】幾つかの実施形態にしたがった、ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するオフラインプラットフォームを提供するためのアーキテクチャを示した機能ブロック図である。
【０００７】
【図３】ＤＮＳトンネリングセットアップの一例を示した図である。
【０００８】
【図４】幾つかの実施形態にしたがった、ファストフラックスドメイントラフィック及びＤＮＳトンネリングトラフィックを識別するためにＤＮＳトラフィックの行動解析を実施するＤＮＳセキュリティのための解析フレームワークを実装するためのフローチャートである。
【０００９】
【図５】幾つかの実施形態にしたがった、パッシブＤＮＳトラフィック解析に基づくＤＮＳセキュリティのためのオンラインプラットフォーム用の非同期検出モードを示したトランザクション図である。
【００１０】
【図６】幾つかの実施形態にしたがった、ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するプラットフォームを提供するためのプロセスを示したフローチャートである。
【００１１】
【図７】幾つかの実施形態にしたがった、ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するプラットフォームを提供するためのプロセスを示した別のフローチャートである。
【００１２】
【図８Ａ】幾つかの実施形態にしたがった、インバウンドトラフィックについての特徴解析結果を示したチャートである。
【図８Ｂ】幾つかの実施形態にしたがった、インバウンドトラフィックについての特徴解析結果を示したチャートである。
【図８Ｃ】幾つかの実施形態にしたがった、インバウンドトラフィックについての特徴解析結果を示したチャートである。
【図８Ｄ】幾つかの実施形態にしたがった、インバウンドトラフィックについての特徴解析結果を示したチャートである。
【図８Ｅ】幾つかの実施形態にしたがった、インバウンドトラフィックについての特徴解析結果を示したチャートである。
【図８Ｆ】幾つかの実施形態にしたがった、インバウンドトラフィックについての特徴解析結果を示したチャートである。
【図８Ｇ】幾つかの実施形態にしたがった、インバウンドトラフィックについての特徴解析結果を示したチャートである。
【図８Ｈ】幾つかの実施形態にしたがった、インバウンドトラフィックについての特徴解析結果を示したチャートである。
【図８Ｉ】幾つかの実施形態にしたがった、インバウンドトラフィックについての特徴解析結果を示したチャートである。
【００１３】
【図９】幾つかの実施形態にしたがった、インバウンド分類子についてのＲＯＣ曲線である。
【発明を実施するための形態】
【００１４】
本発明は、プロセス、装置、システム、合成物、コンピュータ読み取り可能ストレージ媒体に実装されたコンピュータプログラム製品、並びに／又は接続先のメモリに格納された命令及び／若しくは接続先のメモリによって提供される命令を実行するように構成されたプロセッサなどのプロセッサを含む、数々の形態で実現できる。本書では、これらの実現形態、又は本発明がとりえるその他のあらゆる形態が、技術と称されてよい。総じて、開示されるプロセスのステップの順番は、本発明の範囲内で変更されてよい。別途明記されない限り、タスクを実施するように構成されるものとして説明されるプロセッサ又はメモリなどのコンポーネントは、所定時にタスクを実施するように一時的に構成される汎用コンポーネントとして、又はタスクを実施するように製造された特殊コンポーネントとして実装されてよい。本書で使用される「プロセッサ」という用語は、コンピュータプログラム命令などのデータを処理するように構成された１つ以上のデバイス、回路、及び／又は処理コアを言う。
【００１５】
本発明の原理を例示した添付の図面とともに、以下で、本発明の１つ以上の実施形態の詳細な説明が提供される。本発明は、このような実施形態に関連して説明されるが、いずれの実施形態にも限定されない。本発明の範囲は、特許請求の範囲によってのみ限定され、本発明は、数々の代替形態、変更形態、及び同等形態を包含している。以下の説明では、本発明の完全な理解を与えるために、数々の具体的詳細が明記されている。これらの詳細は、例示を目的として提供されるものであり、本発明は、これらの詳細の一部又は全部を伴うことなく特許請求の範囲にしたがって実施されてよい。明瞭を期するために、本発明に関連する技術分野で知られる技工物は、本発明が不必要に不明瞭にされないように、詳細に説明されていない。
【００１６】
ドメインネームシステム（ＤＮＳ）ネットワークサービスは、ＩＰをベースにしたネットワーク中の随所に見られるのが一般的である。ＤＮＳトンネリングは、ファイヤウォールなどのセキュリティの実施によって一般にブロック又は監視されることがないＤＮＳプロトコルを使用してＴＣＰトンネルを通じてメッセージを伝達するために使用されるアプローチである。図３は、ＤＮＳトンネリングセットアップの一例を示している。ＤＮＳトンネリングは、データをカプセル化してＤＮＳパケットに入れることによって機能するのが一般的である。通常、トンネルクライアントは、特定のドメインを求めるクエリに入れて送信されるデータをカプセル化するのが一般的である。ＤＮＳリゾルバは、リクエストされたドメイン名を探すルックアッププロセスを開始させることによって、トンネルトラフィックを通常のリクエストとして取り扱い、場合によっては、図３に示されるように、その他のＤＮＳリゾルバも再帰的に調べる。この動作の最後に、リクエストは、トンネルサーバによって処理される。サーバは、カプセル化されたデータを取り出し、ＤＮＳレスポンスメッセージの回答セクションの中にトンネルデータを閉じ込めることによってＤＮＳクエリに応答する。
【００１７】
ＤＮＳトンネリング技術の大半は、レスポンスパケット内のペイロードを最大にすることができる「ＴＸＴ」タイプのクエリをＤＮＳにおいて一般に使用するが、「Ａ」、「ＡＡＡＡ」、「ＣＮＡＭＥ」、「ＮＳ」、「ＭＸ」などの、「ＴＸＴ」ではない他のタイプのＤＮＳクエリを利用する実装形態もある。
【００１８】
ＤＮＳトンネリングは、重大な脅威であり、検出のための方法がある。ＤＮＳトンネルは、トンネルは情報を伝達するために使用されるというその基本に基づいて、１つのＤＮＳペイロードを解析することによって検出され得る。しかしながら、単純な技術であるＤＮＳトンネルは、ハートビートなどのショートメッセージを送るために正規のユーザによって使用されることが多い。１つのペイロードに基づく方法は、検出の遅れは少ないが、合法の活動と悪質な活動とを正確に分類することができない。
【００１９】
このように、ＤＮＳトンネリングは、ネットワークのセキュリティを損なう恐れがある数々の悪質なやり方で利用される可能性がある。例えば、ＤＮＳトンネリングは、データ流出、サイバースパイ、及び／又はコマンド・制御（Ｃ＆Ｃ）などの、様々な悪質な／不正な活動に使用される恐れがある。
【００２０】
ＤＮＳトンネリングは、正当な／合法な目的のために正規のユーザが使用することもできる。しかしながら、ＤＮＳトンネリングを検出するための既存のアプローチは、たとえＤＮＳトンネリング活動を検出できたとしても、正規のユーザと悪質なユーザとを効果的に且つ効率的に区別することができない。
【００２１】
したがって、ＤＮＳトンネリングを検出するための（例えば、悪質なＤＮＳトンネリング活動を検出するための）改善された新規の技術が開示される。幾つかの実施形態では、（例えば、以下で更に説明されるように１つ以上のＤＮＳトンネリング分類子を使用する、）ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークが開示される。例えば、開示される行動ベースの技術は、ＤＮＳトンネリングを検出することができ、また、そのＤＮＳトンネリングを使用している不正な／悪質なネットワークトラフィックを識別するために、それらのトンネリング活動を分類することもできる。ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークの一実装形態例は、以下で更に説明されるように、オンライン及びオフラインのシステムにおけるビッグデータ技術の使用によって、高速で且つ大きいＤＮＳデータ集合を対象とする規模のリアルタイム検出を実現することができる。
【００２２】
もう１つのＤＮＳセキュリティ脅威は、フラックスドメインに関連したものである。フラックスドメインは、ファストフラックス及びドメインフラックスとも呼ばれ、不法な又はその他の不適切な若しくは不当な目的のために使用されているウェブサイトを見つけ出してシャットダウンさせることを狙いとした法的処置及びサイバー犯罪対策をサイバー犯罪者ら及びインターネット上の悪党らがかいくぐって頓挫させるために使用する回避技術としてしばしば利用される。フラックスドメインは、総じて、活発な脅威ベクトルである高度持続的脅威である。また、フラックスドメイン行動は、既存の検出手段（例えば、既存の署名ベースのアプローチ及び／又は既存のフラックスドメイン検出技術）を回避する試みのなかで、絶えず変化及び発展を続けている。
【００２３】
したがって、幾つかの実施形態では、（例えば、以下で更に説明されるように１つ以上のフラックスドメイン分類子を使用する、）ＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、ＤＮＳトンネリングを検出及び分類することができる、並びに／又はフラックスドメインを検出及び分類することもできる。本書で開示される技術は、フラックスドメインのゼロデイ検出を促進することができる先進の解析技術及び／又は機械学習技術によって、新規で且つ更に堅固なＤＮＳセキュリティソリューションを提供する。
【００２４】
例えば、オンラインプラットフォームは、各種の実施形態に関連して本書で更に説明されるように、ＤＮＳトラフィック解析に基づくＤＮＳセキュリティのための解析フレームワークを実装することができる（例えば、１つ以上のＤＮＳトンネリング分類子を使用し、１つ以上の特徴に基づいてＤＮＳトンネリングを検出及び分類するために、パッシブＤＮＳトラフィックの解析が実施できる）。特に、オンラインプラットフォームは、先進の解析技術によるリアルタイムなＤＮＳストリーミングデータ処理によって大スループットをサポートするように実装できる。
【００２５】
幾つかの実施形態では、パッシブＤＮＳトラフィック解析に基づくＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、ＤＮＳデータストリームを受信することと、パッシブＤＮＳトラフィックデータの時系列収集に適用される行動解析モデル（例えば、分類子）に基づいてＤＮＳトンネリング活動（例えば、ＤＮＳトンネリング行動）を識別するために、上記ＤＮＳデータストリームを処理することと、識別されたＤＮＳトンネリング活動に基づいて、緩和（Ｍｉｔｉｇａｔｉｏｎ）措置を実施することと、を含む（例えば、疑わしい／悪質なＤＮＳトンネリング活動に関係付けられた不良／マルウェアネットワークドメイン／ＦＱＤＮ及び／又はマルウェアＩＰを識別し、ブラックリスト／ポリシーに追加することができ、これは、ＲＰＺフィード又は別の通信メカニズムを使用するなどして通信／分散させることができる）。例えば、不良ネットワークドメインは、ＤＮＳトンネリング活動及び／又はフラックスドメインに関係付けられているものとして決定できる。一実装形態例では、ＤＮＳデータストリームは、ＤＮＳクエリ・ＤＮＳレスポンスデータを含むことができる。
【００２６】
例えば、開示された技術は、ＤＮＳトンネリングトランザクションの検出を促進することができる。別の例として、開示された技術は、ＤＮＳトンネリングトランザクションの停止（例えば、ブロック又は阻止）を促進することができる。更に別の例として、開示された技術は、そのような検出されたＤＮＳトンネリングトランザクションに関係付けられた不良／マルウェアドメイン名及び／又は不良／マルウェアＩＰアドレスの検出に基づいて、評価サービスを提供することができる。
【００２７】
一実施形態では、パッシブＤＮＳトラフィックに基づくＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、更に、ホストから不良ネットワークドメインへのＤＮＳクエリリクエストの検出に基づいて、そのホストが感染されたと決定することを含む。一実施形態では、パッシブＤＮＳトラフィックに基づくＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、更に、決定された感染されたホストに基づいて、緩和措置を実施することを含む。例えば、（例えば、疑わしい／悪質なＤＮＳトンネリング活動検出及び／又はフラックスドメイン検出を受けた）緩和措置は、不良ネットワークドメインに基づいて、ファイヤウォールルールを作成すること、不良ネットワークドメインとのネットワーク通信をブロックするように、ネットワークデバイスを構成すること、及び不良ネットワークドメインとの関係付け（例えば、不良ネットワークドメインへのＤＮＳクエリをサブミットしたこと）に基づいて感染されたと決定された感染されたホストを隔絶すること、のうちの１つ以上を含むことができる。幾つかの実装形態では、緩和措置は、感染されたホストを隔絶するための及び／若しくは不良ネットワークドメインへのアクセスをブロックするためのネットワークアクセス制御若しくはその他のメカニズムを使用して、感染されたホストを隔絶する及び／若しくは不良ネットワークドメインへのアクセスをブロックするように、ネットワークデバイス（例えば、物理的な若しくは仮想的なスイッチ／ルータとして実装されたスイッチ若しくはルータ）を構成すること、感染されたホストを隔絶するように及び／若しくは不良ネットワークドメインへのアクセスをブロックするように、ネットワークデバイス（例えば、物理的な若しくは仮想的なスイッチ／ルータとして実装されたスイッチ若しくはルータ）を構成するために、オープンフロー技術若しくはその他のソフトウェア定義ネットワーキング（ＳＤＮ）技術を使用してセキュリティデバイスコントローラを構成すること、並びに／又は感染されたホストを隔絶するように及び／若しくは不良ネットワークドメインへのアクセスをブロックするように、ネットワークデバイス（例えば、物理的な若しくは仮想的なスイッチ／ルータとして実装されたスイッチ若しくはルータ）を構成するために、ＡＰＩ又はパブリッシュ／サブスクライブメカニズムを通じてなどしてその他のコンフィギュレーション／プログラミング技術を実装すること、を含むことができる。
【００２８】
一実施形態では、ＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、更に、ソースＩＰアドレス、ソースホスト、または、不良ネットワークドメイン及び／又は不良ＩＰアドレスをクエリする試み、を識別することを含む。
【００２９】
一実施形態では、ＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、更に、パッシブＤＮＳトラフィックデータの時系列収集をデータストア（例えば、オブザベーションキャッシュ）に格納することを含む。
【００３０】
一実施形態では、ＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、更に、ＤＮＳアプライアンス上で実行されるエージェントから収集されるＤＮＳデータを受信することを含む。例えば、エージェントは、ＤＮＳアプライアンス上でＤＮＳデータを収集するように、並びにパッシブＤＮＳトラフィックに基づくＤＮＳトンネリング検出及び／又はフラックスドメイン検出のための解析フレームワークを実装するオンラインプラットフォームに上記収集されたＤＮＳデータをＤＮＳデータストリームとして送信するように、構成できる。一実装形態例では、ＤＮＳデータは、１つ以上のＤＮＳアプライアンスで収集されて、オンラインプラットフォームのリアルタイムプロセッサクラスタに送信でき、該リアルタイムプロセッサクラスタは、パッシブＤＮＳデータトラフィックから抽出された１つ以上の特徴に基づく１つ以上の行動モデルの適用に基づいて、不良ネットワークドメインを決定することができる。
【００３１】
一実施形態では、ＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、更に、ＤＮＳデータストリームから複数の特徴を抽出し、これらの特徴のうちの１つ以上に基づいてＤＮＳトンネリングを検出及び分類することを含む。一実施形態では、ＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、更に、ＤＮＳトンネリング活動を検出及び分類するために、抽出されたＤＮＳデータ特徴に基づく行動モデルを適用する（例えば、以下で更に説明されるように１つ以上の分類子を使用し、抽出されたＤＮＳデータ特徴に基づいてＤＮＳトンネリング行動を検出する）ことを含む。
【００３２】
一実施形態では、ＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、更に、ＤＮＳデータストリームから複数の特徴を抽出し、これらの抽出された特徴のうちの１つ以上に基づいて、ネットワークドメインがフラックスドメイン（例えば、ファストフラックスドメイン）に関係付けられているかどうかを決定することを含む。例えば、ＤＮＳデータ特徴抽出に基づく１つ以上のモデルは、ネットワークドメインが合法のフラックスドメイン（例えば、ＣＤＮサービス、ＮＴＰサービス、又はＩＲＣサービス）に関係付けられていて且つ疑わしい又は悪質なフラックスドメインではないかを決定するために適用できる。
【００３３】
一実施形態では、ＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、更に、（例えば、単純なブラックリスト比較を使用するのではなく、）抽出されたＤＮＳデータ特徴に基づく行動モデルを適用することによって、非合法のフラックスドメインを検出することを含む。
【００３４】
幾つかの実装形態では、（例えば、ユーザフィードバック、更なる処理済みＤＮＳデータの解析、及び／又は本書で更に論じられるようにオフラインプラットフォームを使用して実施される訓練の改善などの行動モデルの訓練の改善に基づくなどして、相関付けのための閾値を自動的に調整することによって、）ＤＮＳトンネリング活動検出及び／又はフラックスドメイン検出を改善するために、フィードバックループが使用できる。
【００３５】
一実施形態では、ＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、更に、リアルタイムプロセッサクラスタを使用してＤＮＳデータストリームを処理することを含む。例えば、リアルタイムプロセッサは、フラックスドメイン検出のために、ｎ特徴モデル（例えば、本書で更に説明されるような５特徴モデルの例があり、又は類似の若しくは異なる行動モデルを使用して異なる抽出特徴数の別のモデルが実装できる）などの１つ以上のＤＮＳベースの行動モデルを実装することができる。別の例として、リアルタイムプロセッサクラスタは、ＤＮＳトンネリング検出のために、ｎ特徴モデル（例えば、モデルの一例は、本書で更に説明されるようにエントロピ特徴、語彙特徴、ｎグラム特徴、及び時系列特徴を利用し、又は類似の若しくは異なる行動モデルを使用して更なる／異なる抽出特徴が実装できる）などの１つ以上のＤＮＳベースの行動モデルを実装することができる。
【００３６】
一実装形態例では、リアルタイムプロセッサクラスタは、オブザベーションキャッシュと通信関係にある（オブザベーションキャッシュは、例えば、ＤＮＳデータ、及びＤＮＳデータについて抽出若しくは計算できるメタデータなどの、ＤＮＳデータストリームの時系列データを格納するためのものであり、永続的な拡張性キャッシュとして実装できる）。場合によっては、リアルタイムプロセッサクラスタからの不良ネットワークドメイン検出結果は、検出データストア（例えば、検出データベース）に、及び／又は応答性の措置（例えば、緩和エンジンが決定及びリクエストした措置）を実施するための緩和エンジンに提供できる。
【００３７】
例えば、オンラインプラットフォームは、（例えば、ネットワークセキュリティのために企業ネットワーク上に配備された、）ネットワークにおけるＤＮＳセキュリティのためのアプライアンスを使用して実装できる。別の例として、オンラインプラットフォームは、計算機器（例えば、ネットワークセキュリティのために企業ネットワーク上に配備できる、アプライアンス、サーバ、ゲートウェイ、又は別の計算機器）上で実行される、ネットワークにおけるＤＮＳセキュリティを提供するためのソフトウェア内に実装できる。
【００３８】
一実施形態では、ＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、ＤＮＳデータのリアルタイムストリームの中の既知の及び／又は未知の悪質なＤＮＳクエリ又は異常を検出するために１つ以上のモデル（例えば、行動モデル）を適用することができるオンラインフレームワークを含む。ＤＮＳリクエストは、大半のネットワーク通信のための第１のステップであるのが一般的であるので、これらの技術は、悪質なＤＮＳクエリパターンを正確に識別し、次いで、感染した（１つ以上の）ホストと例えばボットネット又はコマンド・制御などとの間におけるそのようなネットワーク通信試行を効果的に検出及びブロックするために、オンラインプラットフォームを使用して実装できる。
【００３９】
一実施形態では、ＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームは、ＤＮＳトンネリング活動及び／又はフラックスドメインなどのＤＮＳセキュリティ問題を検出するために行動ベースのモデルに適用できる顕著な特徴の集合を適用することによって、特徴の集合に基づく時系列モデルを適用することを含む。ネットワークデータが非常に多量であること及び高速で流れることを踏まえて、各種の実施形態に関連して本書で更に説明されるように、水平に拡張可能なオンラインシステムが、ほぼリアルタイムで大データスループットを促進するために提供できる。
【００４０】
一実施形態では、各種の実施形態に関連して本書で更に説明されるように、既知の及び／又は未知の悪質なＤＮＳクエリ又は異常を検出するためのモデルが、オフラインプラットフォームを使用してオフラインで作成及び訓練できる。一実装形態例では、ＤＮＳ／ネットワークセキュリティのための旧来の管理式の機械学習でよくある困難を克服するために、各種の実施形態に関連して本書で更に説明されるように、半管理式の訓練フレームワークが提供できる。
【００４１】
各種の実施形態に関連して、以下では、ＤＮＳセキュリティのための解析フレームワークを実装するオンラインプラットフォームのための技術を適用するためのこれらの及びその他の様々な例が論じられる。
【００４２】
ＤＮＳセキュリティのための解析フレームワークを実装するためのオンラインプラットフォームアーキテクチャ
【００４３】
図１は、幾つかの実装形態にしたがった、ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するオンラインプラットフォームを提供するためのアーキテクチャを示した機能ブロック図である。一実施形態では、オンラインプラットフォームのためのフレームワークは、リアルタイムプロセッサクラスタを含み、幾つかの実装形態では、随意として、バッチプロセッサクラスタも含むことができる（例えば、これらのプロセッサクラスタは、ともに、拡張可能な実装形態であることができる）。例えば、リアルタイムプロセッサクラスタは、ＤＮＳストリームデータ入力を処理及び解析し、ＤＮＳストリーミングデータのリアルタイム検出を行い、特徴を抽出し、ローデータ及びメタデータをオブザベーションキャッシュに送信する、複合イベント処理（ＣＥＰ）機能を扱うように構成できる。システムリソースによる制約を受ける恐れがあるリアルタイム検出を補うために、随意として、オブザベーションキャッシュに格納されたＤＮＳデータに対してコスト効率の良いやり方で既定のスケジュールで検出を実施することができるバッチプロセッサクラスタが提供できる。一実装形態例では、検出モジュールは、図２に関連して更に説明されるような、オフラインプラットフォーム（例えば、オフラインフォレンジック（forensic）プラットフォーム）から訓練されるプラグ可能なモジュールであることができる。具体的には、オンラインプラットフォームは、本書で更に説明されるように、ＤＮＳトンネリング活動検出及び／又はフラックスドメイン検出のために様々なモデルを適用することができる。また、これらのモデルは、本書で更に説明されるように、オンラインシステムにおいて再訓練及び細緻化されることが可能である。
【００４４】
図１を参照すると、オンラインプラットフォームは、入力キュー１０６を通じてＤＮＳデータストリーム１０４を受信するリアルタイムプロセッサクラスタ１０２を含む。例えば、ＤＮＳトンネリング活動検出及び／又はフラックスドメインをリアルタイムで検出するために、リアルタイムなエンド・ツー・エンド処理を促進することができる水平に拡張可能なインフラストラクチャが提供できる。以下で更に論じられるように、時系列モデルも、ウェブスケールで且つＤＮＳ速度で実施することができる大規模な高速オブザベーションキャッシュを使用して実装できる。図１に示されたオンラインプラットフォームのアーキテクチャの一実装形態例では、アーキテクチャは、以下で更に論じられるように、水平に拡張可能な且つ分散された様々なオープンソースコンポーネントで構成される。
【００４５】
一実装形態例では、ＤＮＳクエリを収集しＤＮＳストリーム１０４に定期的に又はリアルタイムで送信するために、エージェントが、１つ以上のＤＮＳサーバ又はＤＮＳアプライアンス上で実行するように構成でき、ＤＮＳクエリは、次いで、そのＤＮＳデータを収集しリアルタイムプロセッサクラスタを使用してほぼリアルタイムで処理するために、待ち行列メカニズムに提供される。例えば、エージェントは、図１に示されるように入力キュー１０６を使用し構造化データとしてＤＮＳストリームに載せて送信を行うように構成できる。場合によっては、ＤＮＳデータストリームは、セキュリティのために及び／又はポリシー／ルールの分離などのために、グリッドごとに区分けできる（例えば、グリッドごとのポリシー又はその他の何らかの粒度レベルに基づいて、グリッドごとに緩和が構成できる）。入力キュー１０６は、ＤＮＳメッセージストリームの入力のための永続性の待ち行列として使用できるＡｐａｃｈｅ  Ｋａｆｋａ高スループット分散メッセージングシステムなどの、オープンソースメッセージ待ち行列を使用して実装できる。
【００４６】
一実施形態では、リアルタイムプロセッサクラスタ１０２は、本書で説明されるような様々な技術を使用して、パッシブＤＮＳトラフィック解析に基づくＤＮＳセキュリティのための自動化検出解析を実施し、ＤＮＳセキュリティ検出結果を検出データベース１０８に提供する（そして、例えば、幾つかの実装形態では、この活動は、図１に示されるような、バッチプロセッサクラスタ１１２によっても実施される）。一実装形態例では、リアルタイムプロセッサクラスタ１０２は、Ａｐａｃｈｅ  Ｓｔｏｒｍ又はＡｐａｃｈｅ  Ｓｐａｒｋなどの、ストリームデータ処理のためのオープンソースプラットフォームを使用して実装でき、これらのオープンソースプラットフォームは、本書で更に説明されるようにモデル及び様々な機械学習技術に基づくリアルタイム解析を実施するために実装できるフリーなオープンソース分散リアルタイム計算システム（例えば、アプリケーションの並列実行を可能にする分散フレームワークであり、ユーザは、そのＡＰＩに基づいてアプリケーションレイヤ内でトポロジーネットワークを構築することができ、Ｓｔｏｒｍネットワークによって分散及び管理される各トポロジーは、１つ以上のアプリケーションを対象とする）である。具体的には、リアルタイムプロセッサクラスタ１０２は、ＤＮＳセキュリティ特徴検出解析を実施する（例えば、経時変化するＩＰアドレス、及び／又はその他の特徴、ＤＮＳデータの時系列収集を使用してそれらの特徴を計算するためにキャッシング技術を使用して）。
【００４７】
幾つかの実装形態では、リアルタイムプロセッサクラスタ１０２と通信関係にあるオブザベーションキャッシュ１１０も提供され、これは、ＤＮＳデータの時系列集合の使用を伴う特徴抽出技術を利用するモデル（例えば、分類子）を適用するためのＤＮＳデータの時系列集合を提供するために使用できる。例えば、ＤＮＳクエリから抽出又は算出された特徴を含むＤＮＳデータ及びメタデータなどの時系列データが、オブザベーションキャッシュ１１０に格納できる。オブザベーションキャッシュは、（例えば、特定のネットワークドメインについてのＩＰの経時変化が検出できるように時系列データを格納するための、及び／又はＤＮＳデータの時系列収集に関係付けられたその他の様々な特徴を観測するための、）永続性で且つ拡張可能な並列計算キャッシュとして実装できる。一実装形態例では、オブザベーションキャッシュは、非常に高速な挿入速度及び内蔵ＴＴＬと、オブザベーションキャッシュによって使用できるヴァージョニング特徴とを有する永続性のキー値ストアであるＭｅｍｃａｃｈｅｄ高性能分散型メモリオブジェクトキャッシングシステム、即ちＨＢａｓｅなどの、オープンソースキャッシュソリューションを使用して実装でき、これは、緩和及びレポートのための検出結果を格納するためにも使用できる。また、バッチプロセッサクラスタ１１２として示された随意のバッチプロセッサクラスタも、このような時系列データの解析のために使用できる。幾つかの実装形態では、このような時系列データの解析のために、リアルタイムプロセッサクラスタ１０２が使用でき、このような実装形態では、バッチプロセッサクラスタが不要である。
【００４８】
図１に示されるように、入来するストリームが、Ａｐａｃｈｅ  Ｓｔｏｒｍフレームワーク又はＡｐａｃｈｅ  Ｓｐａｒｋフレームワークによってリアルタイムで処理され、例えばリクエスト元のＩＰアドレス及びＳＬＤによってインデックスを付けられる抽出された特徴とともに、オブザベーションキャッシュに挿入される。オブザベーションキャッシュは、インメモリレイヤと、オンディスクレイヤとを含むことができ、その使用は、データサイズに依存する。検出は、イベントによってトリガできる、又はコスト効率が良いように間隔を決められる。
【００４９】
このオンライン検出フレームワークは、アプライアンスとして（例えば、又はアプライアンス及び／若しくはコンピューティングサーバ若しくはその他のタイプの計算機器の集合を使用して）実装できる。例えば、オンラインプラットフォームの、参照符号１３０によって示される部分は、１つ以上のコンピュータサーバ若しくはアプライアンスデバイス上に実装できる、又はＡｍａｚｏｎ  Ｗｅｂ  Ｓｅｒｖｉｃｅ若しくはクラウドベースのコンピューティング・ストレージサービスのための別のクラウドサービスプロバイダを使用するなどしてクラウドサービスとして実装できる。
【００５０】
やはり図１に示されるように、オンラインプラットフォーム１３０を使用して決定されたＤＮＳセキュリティ検出結果は、緩和エンジン１１４にも通信できる。幾つかの実装形態では、緩和エンジンは、オンラインプラットフォーム内に実装できる、又はオンラインプラットフォームに統合できる。緩和エンジン１１４は、ポリシーデータベース１１６に格納されたＤＮＳセキュリティポリシーなどのポリシーに基づいて、ＤＮＳセキュリティ検出結果を受けて様々な緩和措置を決定及びリクエストすることができる。例えば、緩和エンジン１１４は、リアルタイムプロセッサクラスタ１０２を使用して不良ネットワークドメイン（例えば、ドメイン名／ＦＱＤＮ）及び／又は不良ＩＰアドレスに関係付けられていると決定されたＤＮＳクエリ／リクエストをフィルタリングにかける（例えば、ブロックする又はブラックリストに入れる）ように、スイッチ又はルータネットワーキングデバイス１１８を構成することができる。別の一例として、緩和エンジン１１４は、リアルタイムプロセッサクラスタ１０２を使用して不良ネットワークドメイン（例えば、ドメイン名／ＦＱＤＮ）及び／又は不良ＩＰアドレスに関係付けられていると決定された１つ以上の決定された不良ドメインを識別するために、ＤＮＳファイヤウォール１２０と通信することができる。幾つかの実装形態では、緩和エンジン１１４は、レスポンスポリシーゾーン（ＲＰＺ）データフィードなどのデータフィードを使用して、パブリッシュ／サブスクライブ接続プロトコル及び／又はその他の様々な通信メカニズムを通じてＤＮＳファイヤウォール（例えば、又はその他のファイヤウォールデバイス）１２０と通信する。
【００５１】
使用の筋書きの一例として、ＤＮＳストリームに、ＸＹＺ．ｃｏｍなどの新しいネットワークドメインが受信されたと想定する（この新しいネットワークドメインは、ＦＱＤＮ又はＳＬＤの形式で指定できる）。ＸＹＺ．ｃｏｍドメインは、プロセッサクラスタによって初めて受信されたときに、オブザベーションキャッシュに格納できる（例えば、このネットワークドメインは、その解決されたＩＰアドレスとともにキャッシュに格納できる）。この特定のＸＹＺ．ｃｏｍドメインは、同じＸＹＺ．ｃｏｍに関係付けられた異なるＩＰアドレスを伴って、閾値期間（例えば、１時間、１日、１週間、又はその他の何らかの閾値期間）に達するまで、閾値回数（例えば、１００回、１，０００回、又はその他の何らかの閾値回数）に至るまで受信できる。このキャッシュ格納プロセス中、所定のドメインの時系列が悪質であると分類されたときは、いつでも、ＸＹＺ．ｃｏｍは、フラグを付けられて検出データベースに格納される（例えば、この例では、ＸＹＺ．ｃｏｍは、このような捕獲されたＤＮＳデータの、この期間中に観察されたこれらの及び／又は追加のパラメータに基づいて、非合法のＤＮＳトンネリング活動及び／又は非合法のフラックスドメインに関係付けられていると識別できる）。場合によっては、ＤＮＳデータのうち事前に優良又は不良であると決定されたネットワークドメインの処理を排除するために、ホワイトリスト及び／又はブラックリストが使用できる。もし、この例で不良ドメインであると決定されたＸＹＺ．ｃｏｍなどの不良ネットワークドメイン（例えば、不良ドメイン）が検出されたならば、検出データベースは、次いで、ポリシーデータストアと通信を行うことができる緩和エンジンと通信することができる（例えば、ポリシーは、企業によって／企業用に、グリッドによって、及び／又はグリッド、ネットワーク、カスタマ／エンティティ、及び／又はそのようなポリシーの中で設定されたルールの適用範囲およびその他の設定、によるその他のポリシー設定で、設定できる）。緩和エンジンは、（１）ＸＹＺ．ｃｏｍドメインを、この例では不良ネットワークドメインであると決定されたゆえにブラックリストに追加し、また、プロセッサクラスタ及び／又はＤＮＳセキュリティサービス（例えば、クラウドベースのＤＮＳセキュリティサービス）にフィードバックも提供できる、（２）ルータ及び／又はスイッチ（例えば、物理的な又はソフト／バーチャルネットワーキングデバイス）などのネットワーキングデバイスに、ＸＹＺ．ｃｏｍドメインを送信し、該デバイスは、次いで、この例で不良ネットワークドメインであると決定されたＸＹＺ．ｃｏｍドメインを求めるＤＮＳクエリリクエストのソースであったホストを隔絶することができる、（３）ＸＹＺ．ｃｏｍドメインを、（例えば、ＤＮＳファイヤウォールへのレスポンスポリシーゾーン（ＲＰＺ）データフィードを通じて、コネクタモデル若しくはパブリッシュ／サブスクライブ通信プロトコル／モデルを通じて、及び／又は別の通信メカニズムを使用して）ＤＮＳファイヤウォール又はその他のファイヤウォールに送信する、などの様々な措置を実施するために、ポリシーに基づいて構成できる。緩和エンジンを使用して実施される上述のレスポンスは、この例で不良ネットワークドメインであると決定されたＸＹＺ．ｃｏｍドメインへのネットワークトラフィックをブロックするように、及び／又はこの不良ネットワークドメインとの通信を試みているホストを隔絶するように（例えば、ホストは、不良ドメインであると決定されたＸＹＺ．ｃｏｍドメインとの通信を試みたという事実によって、ボットネット及び／若しくはその他のマルウェアなどによって感染されたと見なせる）、又はルータ及び／若しくはスイッチを、これらのネットワークデバイスが不良ネットワークドメインのホストソースを隔絶するように（例えば、ＮＥＴＭＲＩを使用して、若しくはオープンフローを使用したセキュリティデバイスコントローラを使用して、若しくはこのような自動化デットワークデバイス構成を実施することができる別のメカニズムを使用して）自動的に構成するために、自動的に再構成するように、実装できる。場合によっては、ＤＮＳストリームデータを事前に処理し、ＤＮＳデータストリームに含まれて受信されたＤＮＳクエリが有効なＤＮＳクエリであるかどうかを決定するために、（例えば、誤判定を排除又は低減するために調査分析専門家によって生成された）ビナイン（無害）分類子が使用でき、したがって、ＣＤＮサービス、ＮＴＰサービス、若しくはＩＲＣサービス、又は企業ネットワーク上の企業ホストに関係付けられていることが知られているドメインを求めるＤＮＳクエリなどについては、そのＤＮＳクエリを、オンラインプラットフォームを使用して更に処理する必要はないと決定することができる。
【００５２】
一実施形態では、ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するオンラインプラットフォームは、ＤＮＳトンネリング活動検出・分類のために１つ以上のモデルを適用することを含む。一実施形態例では、オンラインプラットフォームは、以下で更に説明されるように、ＤＮＳトンネリング活動に関係付けできる顕著な特徴をＤＮＳトンネリング活動検出のために抽出及び解析するｎ特徴モデルなどの、１つ以上のＤＮＳベースの行動モデル（例えば、モデルの一例は、本書で更に説明されるように、エントロピ特徴、語彙特徴、ｎグラム特徴、及び時系列特徴を利用する、又は類似の若しくは異なる行動モデルを使用して、更なる／異なる抽出特徴が実装できる）を実装することによって、ＤＮＳトンネリング検出のための解析フレームワークを実装する。例えば、以下で更に説明されるように、旧来の、ネットワークセキュリティのための管理式機械学習でよくある困難を克服するために、半管理式訓練フレームワークが提供できる。ネットワークデータが非常に多量であること及び高速で流れることを踏まえて、各種の実施形態に関連して本書で更に説明されるように、図１に関連して上述されたオンラインプラットフォームなどの水平に拡張可能なオンラインシステムが、ほぼリアルタイムで大データスループットを促進するために提供できる。
【００５３】
一実施形態では、ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するオンラインプラットフォームは、フラックスドメイン検出のために１つ以上のモデルを適用することも含む。一実施形態例では、オンラインプラットフォームは、パッシブＤＮＳトラフィック解析に基づくフラックスドメイン検出のための解析フレームワークを実装し、これは、ドメインフラックスにおける行動変化に対処することができる顕著な特徴の集合を適用することによって、特徴の集合に基づく時系列モデルを適用することができる。例えば、旧来の、ネットワークセキュリティのための管理式機械学習でよくある困難を克服するために、半管理式訓練フレームワークが提供できる。ネットワークデータが非常に多量であること及び高速で流れることを踏まえて、各種の実施形態に関連して本書で更に説明されるように、図１に関連して上述されたオンラインプラットフォームなどの水平に拡張可能なオンラインシステムが、ほぼリアルタイムで大データスループットを促進するために提供できる。
【００５４】
一実施形態では、ＤＮＳセキュリティを実施するために複数の分類子をサポートする、ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するオンラインプラットフォームのためのアーキテクチャが開示される。例えば、ＤＮＳセキュリティを実施するために２つ以上の異なる分類子を使用することによって、ＤＮＳデータストリームから共通の属性が効率的に抽出できる。分類子の例として、ドメインフラックス（ファストフラックス）関連活動のための分類子、ＤＮＳトンネリング関連活動のための分類子、ドメイン生成アルゴリズム（ＤＧＡ）関連活動のための分類子、及び／又はＤＮＳセキュリティ実施のためのその他の分類子が挙げられる。ＤＮＳトンネリング関連活動及びドメインフラックス関連活動のための分類子の例が、以下で更に説明される。
【００５５】
ＤＮＳトンネリング分類モデルの例−特徴の抽出及び選択
【００５６】
一実施形態では、ＤＮＳトンネリング活動の検出を促進することができる顕著な特徴の集合を適用することによって、特徴の集合に基づく時系列モデル（例えば、以下で更に説明されるような、特徴抽出・選択技術）が、上記のオンラインプラットフォームを使用するなどして適用される。具体的に言うと、提案された検出メカニズムは、以下で更に論じられるように、ＤＮＳデータストリーム（例えば、一連のＤＮＳメッセージ）からのＤＮＳデータ（例えば、特徴）の抽出に基づく。
【００５７】
合法のＤＮＳトラフィックは、通常、非常に小さいペイロードを有する。多くのアプローチがペイロードのサイズに基づいてトンネルを検出するのは、総じて、これが理由である。しかしながら、スペース及び帯域幅が安価になるにつれて、より多くの正規ユーザが、長いドメイン名を使用するようになる。トンネリング技術の主目的は、可能な限り効率的にトンネルを通じて情報を伝達することであるので、このようなＤＮＳトンネリング活動を検出するための特徴として、エントロピ計測値が抽出できる。その一方で、トンネル検出における指標として、人が読めるドメイン名も抽出できる。
【００５８】
実効ペイロード
【００５９】
ＤＮＳクエリには、多くのタイプがある。トンネルは、アウトバウンドペイロードを運ぶためにクエリ名を使用する。インバウンドペイロードは、ＤＮＳリソース記録のタイプに応じ、様々なやり方で運ばれる。例えば、ＴＸＴタイプでは、ペイロードは、テキスト内で符号化される。Ａ、ＡＡＡＡ、又はＣＮＡＭＥなどの、その他の多くのタイプでは、ペイロードは、１つ以上のＦＱＤＮに入れて運ばれる。クエリ及びレスポンスに一貫性がある合法のＤＮＳクエリとは異なり、悪質なトンネルは、メッセージごとにペイロードを変更する傾向がある。実効ペイロードは、実信号が際立つように、共通するプレフィックス、サフィックス、及びアラインメントを経た中間セグメントを元のペイロードから取り除いて抽出された文字列である。
【００６０】
インバウンド及びアウトバウンドに共通する特徴
【００６１】
インバウンドトラフィック及びアウトバウンドトラフィックの両方に共通する幾つかのペイロード特徴が抽出される。図８Ａ〜８Ｉは、幾つかの実施形態にしたがった、（例えば、陽性サンプルと陰性サンプルとでそれぞれ異なる曲線が示された特徴解析分布結果の例として、）インバウンドトラフィックについての特徴解析結果を示したチャートである。具体的には、図８Ａ〜８Ｉは、インバウンドトラフィックに対する特徴解析結果を、図８Ａではエントロピについて、図８Ｂではバイグラムについて、図８Ｃではトリグラムについて、図８Ｄでは語彙特徴について、図８Ｅではペイロードサイズについて、図８Ｆではジニインデックスについて、図８Ｇでは分類誤差について、図８Ｈではドメインラベルの数について、図８Ｉでは符号化分類について提供している。これらの詳細が、以下で更に説明される。
【００６２】
エントロピ
【００６３】
情報理論にしたがうと、エントロピは、ペイロード上の情報の量を定量化するための計測値である。トンネル（例えば、ＤＮＳトンネル）の主目的は、限られたペイロードサイズで可能な限り多くの情報を伝達することである。個々のペイロードについて、エントロピ特徴は、実効ペイロードの文字分布に基づいて計算される。
【００６４】
テキスト文字列内の文字集合｛ｘ｝の分布Ｄ（ｘ）が与えられると、そのエントロピは、以下のように定義される。
【００６５】
ｅｎｔ＝Σ−Ｄ（ｘ）ｌｏｇＤ（ｘ）
【００６６】
トンネルは、その帯域幅を、トンネルを通るデータのエントロピを増加させることによって最大にすると仮定される。
【００６７】
Ｎグラム特徴
【００６８】
自然な英語の用語では、それらを自然ではない英語の語句から区別するために、均一でないＮグラムの分布が使用できる。この実装形態例では、この特徴は、テキスト文字列ＳからのＮグラムスコア分布ｆN（ｘ｜Ｓ）のＰ番目パーセンタイルにおける値として、即ち次のように、定義される。
【００６９】
【数１】
2018513592.tif 000003
【００７０】
Ｐは、経験に基づいて、４０から５５までの間に設定できる。例えば、Ｎグラムスコアを生成するためには、（例えば、http://storage.googleapis.com/books/ngrams/books/datasetsv2.htmlから公的に入手できる）多量の過去出版物からＧｏｏｇｌｅが収集したＮグラムの英語の用語の集合をもとにして、Ｎグラムとそれらの頻度とを対応付けたルックアップテーブルが作成できる。実験に基づく一実装形態例では、それぞれｎｌ２及びｎｌ３と呼ばれる特徴を得るために２グラム及び３グラム（例えば、バイグラム及びトリグラム）を使用するという判断が下された。
【００７１】
語彙特徴
【００７２】
非テキストデータ、即ちバイナリデータを通過させるために、トンネルは、６４進法などの何らかのコード化法を使用する傾向があり、これは、語彙特徴によって測定できる人が読めない多くの文字を導入する。所定のテキスト文字列Ｓについて、語彙特徴は、次のように定義される。
【００７３】
【数２】
2018513592.tif 000004
【００７４】
ペイロードサイズ
【００７５】
この実装形態例では、ペイロードサイズについて２つの特徴がある。１つは、実効ペイロードのサイズｌｅｎであり、もう１つは、実効ペイロード対元のペイロードの比率ｒｅｏである。
【００７６】
ジニインデックス
【００７７】
エントロピ特徴と同様に、ジニインデックスは、データの不純度を測る別のやり方であり、次のように定義される。
【００７８】
ｇｎｉ＝１−ΣＤ２（ｘ）
【００７９】
しかしながら、エントロピ特徴とは異なり、ジニインデックスは、その値がゼロから１までの範囲内に限られる特徴である。
【００８０】
分類誤差
【００８１】
この実装形態例では、データセットの多様性を測るための別の特徴が、分類誤差と呼ばれる。ジニインデックス特徴と同様に、この特徴の値も、ゼロから１までの範囲内に限られる。その定義は、以下のとおりである。
【００８２】
ｃｅｒ＝１−ｍａｘ｛Ｄ（ｘ）｝
【００８３】
ラベルの数
【００８４】
この実装形態例では、別の特徴は、合法のペイロードと悪質なペイロードとを区別するための、ｎｌｂと命名されたＦＱＤＮペイロード内のドメインラベルの数である。
【００８５】
符号化
【００８６】
この実装形態例では、符合化特徴ｅｎｃは、上述された全ての特徴を入力として取り入れるニューラルネットワークの出力である。分類子は、以下で更に説明される。
【００８７】
更なるインバウンド特徴
【００８８】
一実施形態では、ＤＮＳトンネリング検出のために、更なる（例えば、異なる及び／又は少ない）インバウンド特徴が利用できる。例えば、ＤＮＳレスポンスから来るインバウンドメッセージについては、キャッシュ格納によるクエリの数を減らすために大半の合法ＤＮＳクエリが長めのＴＴＬを有する傾向があるという論理的根拠に基づいて、特徴として、リソース記録ＴＴＬ及びレスポンス遅延が使用できる。その一方で、トンネリングされるＤＮＳメッセージは、符号化及び復号化、暗号化及び暗号解読、プロキシなどの、余分な処理を伴う。これは、通常のＤＮＳトラフィックよりもレスポンス時間が長いことを示唆している。
【００８９】
時系列特徴
【００９０】
この実装形態例では、時系列データは、トンネルＩＤによって定義される。トンネルは、一方の端におけるリクエスト元ＩＰアドレスと、もう一方の端におけるＳＬＤとによって定義されるので、トンネルＩＤは、クエリＩＰアドレスと、ＳＬＤとで構成される。リクエスト元ＩＰアドレスは、情報の可用性に応じて組み合わされた、リゾルバ又はＤＮＳサーバのＩＰアドレスと、内部クライアントのＩＰアドレスとであることができる。データ点は、時系列から古いデータ点を除去するようにＴＴＬを事前設定されたオブザベーションキャッシュに挿入される。オブザベーションキャッシュは、また、データ点の数がＴＴＬ基準を超えていなくても容量に達すれば古いデータ点を除去するために、時系列ごとに容量が事前設定されている。これは、データの新鮮さを保証するため、及びストレージスペースを再利用可能であるように保持するためである。時系列内の各メッセージにペイロード特徴を適用すると、二次元行列として表わされる特徴集合は、次のようになる。
【００９１】
Ｆ＝｛ｆi,k｝
【００９２】
ここで、ｆi,kは、それぞれ、アウトバウンド・インバウンドペイロードのｉ番目のメッセージ上におけるｋ番目の特徴である。時系列ベースの行動特徴は、時系列上の個々の特徴の基礎統計であり、次のように表せる。
【００９３】
ｇk＝ｓｔａｔi（ｆi,k）
【００９４】
ここで、ｓｔａｔは、時系列における個々の特徴の分布を表すための集まり［ｃｏｕｎｔ，ｓｕｍ，ｍｉｎ，ｍａｘ，ａｖｇ］である。また、合法トラフィックのペイロードが、悪質なペイロードのように頻繁に時系列中で変化することはないないという事実ゆえに、実効インバウンドペイロード上及び実効アウトバウンドペイロード上におけるエントロピが、それぞれ計算される。
【００９５】
分類
【００９６】
この実装形態例では、２つの分類段がある。第１の段では、分類は、符号化されたペイロードの識別をターゲットとし、第２の段は、トンネル検出のためである。
【００９７】
符号化分類
【００９８】
この実装形態例では、それぞれインバウンドペイロード及びアウトバウンドペイロードについて、符号化されたテキストでペイロードが満杯であるかどうかを示すスコアを提供するために、２つのニューラルネットワーク分類子が設計及び訓練される。例えば、分類子は、それぞれ、大きなＤＮＳデータ集合（例えば、セキュリティ専門家によって真であるとラベル付けされ、それぞれ独立サンプル集合を対象としてテストされた、幾百万のサンプル）上で訓練できる。分類子は、４つのニューロンを伴う１枚の隠しレイヤを有し、各自、次のように定義されるロジスティックアクティベーション関数を使用する。
【００９９】
【数３】
2018513592.tif 000005
【０１００】
ここで、ｆkは、入力であり、ｗkは、重みであり、ｗ0は、各ニューロンのためのバイアスである。分類子訓練の精度を測るために、それぞれ独立したテストデータセットについて、受信者動作特性（ＲＯＣ）曲線が作成される。図９は、幾つかの実施形態にしたがった、インバウンド分類子についてのＲＯＣ曲線である。
【０１０１】
ＤＮＳトンネリング行動分類
【０１０２】
様々な持続的標的型攻撃のうち、ＤＮＳトンネリングは、ＤＮＳトラフィックを利用する最も活発で且つ有害な攻撃の１つであり、したがって、その検出が、開示されたオンライン検出システムに含まれている。以下では、様々な検出ワークフローの例が、図４、図６、及び図７に示されたフローチャートとの関連のもとなどで説明され、また、ビナイン検出モジュール及びファストフラックス検出モジュールの詳細も、例えば図４において論じられる。
【０１０３】
使用の筋書きの一例として、図２に示されるオフライン解析プラットフォームを使用して解析される初期ＤＮＳデータセットの入力を伴うシステムのために、ベースラインが提供できる。この例では、初期ＤＮＳデータセットは、初期ＤＮＳデータとして使用できる幾百万もの又はひいては幾十億ものＤＮＳメッセージを伴うＦａｒｓｉｇｈｔ  Ｓｅｃｕｒｉｔｙによるインターネットシステムズコンソーシアム（ＩＳＣ）／セキュリティ情報交換（ＳＩＥ）などの１つ以上のソースから一定の期間にわたって収集されたＤＮＳデータの集合を含むことができる（例えば、このようなＤＮＳデータは、世界中に散らばった８０を超える投稿者からＩＳＣ／ＳＩＥパッシブＤＮＳ技術を通じて収集される）。場合によっては、ベースラインは、定義された様々な計測値によって検出精度を示すことができる。また、初期ＤＮＳデータは、ＤＮＳトンネリングの活動及び（１つ以上の）その行動に関する洞察を提供するために解析できる。幾つかの実装形態では、オフラインプラットフォームは、本書で説明される様々な技術を使用したオフラインデータ解析及び半管理式訓練に使用できる。特徴抽出、時系列モデリング、及びＤＮＳトンネリング検出などのオンライン検出をシミュレーションするために、ＭａｐＲｅｄｕｃｅ又はＳｐａｒｋジョブが作成及び実行できる。
【０１０４】
例えば、大量の初期ＤＮＳデータセットの例を使用すると、上述されたオフラインプラットフォーム及び技術を使用して、以下の結果が示された。結果は、２０１２年から２０１３年にかけて１日あたり１．８Ｂの速度で９カ月近くにわたってＦａｒｓｉｇｈｔから収集されたＤＮＳデータの集まりを使用すると、６つのＳＬＤについて７３のＤＮＳサーバによって観測された９０トンネルの合計２８．８Ｍのトンネリングトランザクションが（例えば、ネットワークセキュリティ専門家によって）検出され手動で確定されたことを示している（ここでは、ＤＮＳタイプ、ペイロードサイズ、時系列長さ、及びホワイトリスト作成などの幾つかの単純なフィルタリングロジックによって、セキュリティ専門家が、候補の集合を真偽のラベル付けのために抽出及び見直しすることができ、例えば、２０００のサンプルが、誤検出率を最少にするように微調整されたツリー分類子を訓練及びテストするために選択された）。トンネルによる、末端ユーザの識別欠如ゆえに、これは、下層ＤＮＳサーバとＳＬＤとの間の接続を意味している。トンネリングトランザクションは、ＤＮＳクエリとＤＮＳレスポンスとを含むのが一般的である。トンネルの大半は、データ収集期間の終わりまで持続し、１日未満しか持続しないのは、少数のみである。トンネルを検出するまでの平均観測時間は、３１日であった。結果は、より高い精度のための分類設定に基づいている。したがって、誤検出率は、ゼロであった。
【０１０５】
一実施形態では、ＤＮＳトラフィックのタイプごとに、分類子が提供される。例えば、レスポンス内に有意なペイロードがなくクエリのみの場合、クエリ内に有意なペイロードが無くレスポンスのみの場合、及び／又はクエリとレスポンスとの両方の場合に、それぞれ違った分類子が提供できる。
【０１０６】
一実施形態では、ＤＮＳトンネリング検出の結果が、評価フィードに含めることができる１つ以上の新しい不良ドメイン名を決定した。例えば、不良ドメイン名のリストを、（例えば、ＤＮＳレスポンスポリシーゾーン（ＲＰＺ）フィード又は別の通信メカニズムを使用して）評価フィードに含めることができる。既知の不良ドメイン名のリストは、ドメイン名及び／又はＩＰアドレスによって識別できる。既知の不良ドメイン名のリストは、ブラックリストとして使用できる。一例として、ＤＮＳデバイスは、ＲＰＺフィードを受信し、該ＲＰＺフィードに基づいてＤＮＳデータを処理することができる。この例では、もし、ドメイン名又はＩＰアドレスが、ＲＰＺフィードの中のブラックリストに載っていると識別されるならば、ＤＮＳデバイスは、ＲＰＺフィードに基づいてリクエストを処理（例えば、ブラックリストに含まれるドメイン名又はＩＰアドレスを求めるクエリには応答しないなど）することができる。このように、ＲＰＺフィード及び／又はその他の通信メカニズムは、ＤＮＳトンネリング検出のための開示された技術を使用して決定されるアップデートされた不良ドメインリストの拡散／分散を促進することができる（例えば、及び／又は以下で更に説明されるように、ドメインフラックス検出にも同様に適用できる）。
【０１０７】
ドメインフラックス分類モデルの例
【０１０８】
フラックスドメイン検出のための先行するアプローチに関連して上述されたように、フラックスドメインのＤＮＳメッセージが運ぶだろう最も顕著な特性として、短いＴＴＬ値、変化する解決されたＩＰアドレス、及び解決されたＩＰアドレスの大集合が挙げられる。しかしながら、多くのフラックスドメインクエリレスポンスが、非常に大きいＴＴＬ値、及び解決されたＩＰアドレスを１つのみ又は解決されたＩＰアドレスの小集合のみを有することが観察されている。このような場合は、完全修飾ドメイン名（ＦＱＤＮ）がファストフラックス技術を使用しているかどうかの判断に信頼性がない、又は各１つのＤＮＳメッセージに基づいてこのような決定を単純に下すことができない。
【０１０９】
したがって、一実施形態では、上記のオンラインプラットフォームを使用するなど、ドメインフラックスにおける行動変化に対処することができる顕著な特徴の集合を適用することによって、特徴の集合に基づく時系列モデルが適用される。具体的には、提案された検出メカニズムは、以下で更に論じられるように、下位のＦＱＤＮに関係付けられた一連のＤＮＳメッセージに基づく。
【０１１０】
ｍd（ｔ，Ｐ）を、ＦＱＤＮ  ｄのための１つのＤＮＳメッセージであるとする。ｔは、ＴＴＬ値であり、
【０１１１】
Ｐ＝｛ｐ｝
【０１１２】
は、ＤＮＳレスポンスからの、解決されたＩＰアドレスの集合である。連続するＤＮＳメッセージの集合：
【０１１３】
Ｍd＝｛ｍd｝
【０１１４】
は、ｄがフラックスドメインであるか否かを決定するために、ＦＱＤＮ  ｄに対して収集される。したがって、
【０１１５】
Ｕ＝∪m∈MＰ
【０１１６】
は、連続するメッセージＭの集合からの固有ＩＰアドレスの集合として定義できる。
【０１１７】
フラックスドメインは、ＤＮＳキャッシュ内に長期にわたってとどまらないように、低めのＴＴＬ値を設定する傾向がある。最も自明な特徴は、集合Ｍdについての平均ＴＴＬ値：
【０１１８】
【数４】
2018513592.tif 000006
【０１１９】
である。また、Ｃ＆Ｃボットネット及び／又はその他のマルウェアなどのマルウェアは、多くの場合、異なるＩＰアドレスへ宛先を頻繁に変更する傾向がある。この例では、ＩＰｖ４アドレスに注目することにし、ただし、当業者にならば明らかであるように、ＩＰｖ６アドレスにも類似の技術が適用できる。解決された固有ＩＰアドレスの数は、
【０１２０】
Ｎ＝｜Ｕ｜                                （２）
【０１２１】
である別の特徴である。悪質なフラックスドメインの検出における困難の１つは、変化する宛先ＩＰアドレス及び短いＴＴＬ値をやはり多く提供している例えばＣＤＮ、ロードバランサ供給業者、及びＮＴＰプロバイダによって所有される多くの合法ドメインを区別することにある。これらは、非合法フラックスドメインユーザ（例えば、悪質な又は疑わしいフラックスドメインユーザ）との対比で合法フラックスユーザと呼ばれる。
【０１２２】
ランダムに随所に分布している感染したシステムから宛先ＩＰアドレスを取得する、それぞれ非常に短い寿命を有する悪質なフラックスドメインの作成者と比較すると、合法フラックスユーザによって提供される解決されたＩＰアドレスは、限られた数のサブネット内に分布しているのが一般的であり、通常は、ＩＰｖ４アドレスのオクテットのうちの先頭から１つ目、２つ目、及び３つ目に多くを共有している。したがって、集合Ｕのアドレスのオクビットのうちの先頭から２つについて、エントロピ特徴Ｅが定義される。エントロピは、ランダム変数の不確実性を測る有用な計測値を提供することができる。要素の集合Ｓについて、ＤSを固有要素の分布とすると、集合Ｓのエントロピは、以下のように定義される。
【０１２３】
ＥS＝１−Σ[ＤSｌｏｇ（ＤS）]                              （３）
【０１２４】
これは、０から１までの間の値を有する。この原理は、各ＤＮＳメッセージにも適用できる。その結果、これは、ＤＮＳメッセージごとに、解決されたＩＰアドレス集合のアドレスのオクテットのうちの先頭から３つについて計算された平均エントロピを提供し、これは、以下のように表される。
【０１２５】
【数５】
2018513592.tif 000007
【０１２６】
これは、近隣のターゲットアドレスについての優れた指標を提供する。解析される更なる特徴は、解決されたＩＰアドレスの忠実度を測るものであり、以下のように定義される。
【０１２７】
【数６】
2018513592.tif 000008
【０１２８】
Ｌ値は、ターゲットＩＰアドレスが頻繁に再利用されるほど高くなり、逆もまた同様である。合法フラックスドメインユーザの場合、解決されたＩＰアドレスは、安全に管理されたプールから来るので、宛先ＩＰが、一領域内で再利用されることが多い。これに対して、悪質なフラックスドメインユーザは、通常、解決されたＩＰアドレスを頻繁に変更することによって、検出システムを回避して、感染したサーバの可用性の変動に適応しようとする。したがって、忠実度特徴は、悪質なフラックスドメイン検出のためのこのドメインフラックス分類技術の誤検出率の低下を促進する顕著な属性を提供することができる。
【０１２９】
参照された一連の方程式（１）、（２）、（３）、（４）、及び（５）によって示されるように上記の方程式が定義され、次は、これらの方程式を使用して実施できるドメインフラックス分類について論じる。訓練用データセットの大集合に対し、（例えば、図２に関連して後述されるようなオフラインプラットフォームを使用して）特徴選択プロセスが最後まで実施された後、次は、方程式（１）、（２）、（３）、（４）、及び（５）に基づいて、フラックスドメインの分類において時系列モデルを構築するために使用される特徴ベクトル（Ｔ，Ｎ，Ｅ，Ｆ，Ｌ）が着目される。
【０１３０】
平凡なアプローチによる管理式の機械学習は、セキュリティ専門家によって真であると記された、何らかのサイズのサンプルの集合を収集し、次いで、そのデータを、様々な機械学習技術による訓練及びテストのために区切ることである。実際のネットワークセキュリティの世界では、ＤＮＳトラフィックにおける悪質なメッセージの数対無害なメッセージの数の比率が非常に小さい。したがって、専門家がこの平凡なアプローチにしたがって、極めて大きい集合のサンプルに目を通すには、非常に費用がかかる。その一方で、旧来の非管理式の方法は、この高くバイアスをかけられたネットワークデータセットについて優れた結果を提供できる可能性が低い。したがって、新規の半管理式の機械学習技術が開示される。
【０１３１】
一実施形態では、経験則に基づく半管理式の回帰を使用する半管理式の機械学習技術が提供される。例えば、経験則に基づく半管理式の回帰アプローチは、フラックスドメインクエリを高い確実性で検出するための分類システムを定義するために適用できる反面、このアプローチは、自明な誤検出を生じない。一実装形態例では、回帰は、比較的小さい捕獲率から開始し、その対象範囲を、自明な誤検出結果が観察され始める程度（例えば、１％）まで拡大させる。この実装形態例では、各ステップにおいて、（１人以上の）セキュリティ専門家が結果の差を見直し、この差が対象範囲及び再現率の計測値を構成する。
【０１３２】
ＤＮＳセキュリティのための解析フレームワークを実装するためのオフラインプラットフォームアーキテクチャ
【０１３３】
図２は、幾つかの実施形態にしたがった、ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するオフラインプラットフォームを提供するためのアーキテクチャを示した機能ブロック図である。例えば、大量のクエリ・レスポンスデータの様々なオフラインフォレンジック（例えば、ＤＮＳログの解析）を実施するために、オフラインプラットフォームが提供できる。
【０１３４】
図２に示されるように、（例えば、パッシブＤＮＳトラフィック解析に基づく）ＤＮＳセキュリティのための解析フレームワークを実装するために、オフラインプラットフォーム２３０のアーキテクチャが提供される。例えば、オフラインフォレンジックプラットフォームは、ＤＮＳデータを収集するために、及び過去のＤＮＳデータ収集に基づいて様々な検出モデルを生成するために使用できる機械学習プロセスをサポートするために、使用できる。ネットワークがかなり大きい場合は、ＤＮＳボリュームが非常に大きい一方で、特異なクエリの数は比較的小さいのが通例である。オフラインフォレンジックプラットフォームのために十分な数のサンプルを捕獲するためには、一般に、ＤＮＳクエリ及びＤＮＳレスポンスから、多量の過去ＤＮＳデータを属性一式とともに収集して格納することが望ましい。困難は、コストの有効性及びこのようなストレージにおけるパフォーマンスにのみならず、このような多量のデータを並列に処理するための計算力の能力及び柔軟性にもある。したがって、幾つかの実装形態では、開示されるオフラインフォレンジックプラットフォームは、Ａｐａｃｈｅオープンソースプロジェクトからの、Ｈａｄｏｏｐ、ＨＢａｓｅ、Ｉｍｐａｌａ、Ｈｉｖｅ、Ｓｏｌｒ、及びその他の各種のＨａｄｏｏｐエコシステムを含むことができる。例えば、ストレージ・プロセッサクラスタは、マルチノードＨａｄｏｏｐシステム（例えば、９ノードＨａｄｏｏｐシステム）上に構築できる。オフラインフォレンジックプラットフォームは、例えば検索、Ｓｔｒｕｃｔｕｒｅｄ  Ｑｕｅｒｙ  Ｌａｎｇｕａｇｅ（ＳＱＬ）、及びＭａｐＲｅｄｕｃｅなどの３タイプのインターフェースを通じた高度なビッグデータ解析のために使用される特性及び機能性を提供することができる。これらのコンポーネントは、いずれも、拡張性及び耐故障性の性質を承継しているので、このシステムは、高い可用性のためにデータ成長及び耐故障性に適応するように拡張可能である。通常のリレーショナルデータベース管理システム（ＲＤＢＭＳ）と異なり、ストレージは、データの変化及び多様性を促進するためにスキーマフリーであることができ、ただし、格納時ではなくクエリ時にスキーマが定義できるＳＱＬクエリをサポートしている。モデル化には、ＤＮＳクエリ及びＤＮＳレスポンスからの属性一式を含めることができる。
【０１３５】
図２を参照すると、ＤＮＳクエリ・レスポンスデータ２０４が、ストレージ・プロセッサクラスタ２０２への入力として提供される。例えば、ＤＮＳクエリ・レスポンスデータは、ＩＳＣから、又はエンティティのネットワークのローカルＤＮＳアプライアンスなどの別のＤＮＳデータソースからなどのように、大量のＤＮＳクエリのソースからであることができる。
【０１３６】
やはり図に示されるように、ストレージ・プロセッサクラスタ２０２は、オープンソース検索プラットフォーム（例えば、Ａｐａｃｈｅ  Ｌｕｃｅｎｅ又はＡｐａｃｈｅ  ＳＯＬＲ）を使用して実装できる検索インターフェース２０６、（例えば、Ｈａｄｏｏｐ  Ｍａｐｒｅｄｕｃｅを使用して実装される）ＭａｐＲｅｄｕｃｅインターフェース２０８、及び（例えば、Ａｐａｃｈｅ  Ｈｉｖｅ又はＣｌｏｕｄｅｒａ  Ｉｍｐａｌａを使用して実装される）データベース／ＳＱＬインターフェース２１０などの、様々なインターフェースを含むことができ、これらのインターフェースのいずれも、本書で開示されるＤＮＳ検出モデル例などの検出モデル２１２に供給を行うことができる。特に、これらのいずれのインターフェースも、様々な機械学習技術及び特徴解析技術のためのインターフェースとして使用できる。特徴解析技術の例として、エントロピ特徴抽出、分布解析、特徴選択、次元縮小、及びその他の様々な特徴解析技術が挙げられる。機械学習技術の例として、ｋ平均クラスタリング、単純ベイズ分類、ロジスティク回帰、分類ツリー、並びに（例えば、本書で開示されるようにフラックスドメイン関連活動の検出及び／又はＤＮＳトンネリング関連活動の検出のためのＤＮＳセキュリティ検出に同様に適用できる）その他の様々な機械学習技術が挙げられる。幾つかの実装形態では、オフラインプラットフォームは、精度を向上させるために、この機械学習プロセス及びその反復を促進することができる。
【０１３７】
一実装形態例では、オフラインプラットフォームは、ＤＮＳトンネリング活動検出モデル及び／又はフラックスドメイン検出モデルなどの１つ以上のＤＮＳ検出モデルを発展させるために使用できる。例えば、ＤＮＳ検出モデルは、これらの機械学習技術を使用して訓練できる。場合によっては、オフラインプラットフォームは、新しいＤＮＳ検出モデルを提供するために、及び／又は既存のＤＮＳ検出モデルを再訓練／修正して改善するために使用でき、新しい又は改善されたＤＮＳ検出モデルは、図１に関連して上述されたオンラインプラットフォームに提供及び適用できる。
【０１３８】
一実施形態では、ストレージ・プロセッサクラスタ２０２は、（例えば、Ａｍａｚｏｎ  Ｗｅｂ  Ｓｅｒｖｉｃｅなどの計算サービスを使用するなどサーバの集合を使用する）拡張性の並列計算実装形態である。具体的には、ストレージ・プロセッサクラスタ２０２は、ＤＮＳ構造化クエリデータを格納するためにＨａｄｏｏｐクラスタを使用して実装できる。より具体的には、（例えば、ＤＮＳプロトコルのためのＩｎｔｅｒｎｅｔ  Ｅｎｇｉｎｅｅｒｉｎｇ  Ｔａｓｋ  Ｆｏｒｃｅ（ＩＥＴＦ）コメントリクエスト（ＲＦＣ）要件などの、ＤＮＳプロトコルのための標準要件に基づいて、）Ｈａｄｏｏｐクラスタの中でＤＮＳクエリ・レスポンスデータがモデル化できる。結果として、検索、クエリ、及びＭａｐＲｅｄｕｃｅインターフェースアクセスを最適化して様々な機械学習技術の使用によってＤＮＳに最適なパフォーマンスを提供するためにＤＮＳプロトコルを定義するＲＦＣに基づいて属性を定義するために、構造化情報が格納され得る。
【０１３９】
使用の筋書きの一例として、図２に示されるオフライン解析プラットフォームを使用して解析される初期ＤＮＳデータセットの入力を伴うシステムのために、ベースラインが提供できる。この例では、初期ＤＮＳデータセットは、初期ＤＮＳデータとして使用できる幾百万もの又はひいては幾十億ものＤＮＳメッセージを伴うＦａｒｓｉｇｈｔ  Ｓｅｃｕｒｉｔｙによるインターネットシステムズコンソーシアム（ＩＳＣ）／セキュリティ情報交換（ＳＩＥ）などの１つ以上のソースから一定の期間にわたって収集されたＤＮＳデータの集合を含むことができる（例えば、このようなＤＮＳデータは、世界中に散らばった８０を超える投稿者からＩＳＣ／ＳＩＥパッシブＤＮＳ技術を通じて収集される）。場合によっては、ベースラインは、定義された様々な計測値によって検出精度を示すことができる。また、初期ＤＮＳデータは、ファストフラックスマルウェア及びその（１つ以上の）行動に関する洞察を提供するために解析できる。幾つかの実装形態では、オフラインプラットフォームは、本書で説明される様々な技術を使用したオフラインデータ解析及び半管理式訓練に使用できる。特徴抽出、時系列モデリング、及びフラックス検出などのオンライン検出をシミュレーションするために、ＭａｐＲｅｄｕｃｅ又はＳｐａｒｋジョブが作成及び実行できる。
【０１４０】
例えば、大量の初期ＤＮＳデータセットの例を使用すると、上述されたオフラインプラットフォーム及び技術を使用して、以下の結果が示された。結果は、２０１２年１１月から２０１３年６月にわたって２００日にわたって収集されたＤＮＳデータの集まりを使用すると、フラックスドメインとして分類された９０６の固有ドメインのものとして、１０００万のＤＮＳのメッセージがあることを示している。更に、これらのフラックスドメインは、５２７のセカンドレベルドメインから来ており、分離された固有ＩＰの数は、５０万に達する。この例では、各フラックスドメインが手動で見直され、クロスチェックが実施された。検出されたフラックスドメインのうち、olendi.com、lodgelocker.com、及びloenbun.comとして識別される３つは、Ａｌｅｘａによるウェブサイトランキングによると、あまり一般的なサイトではない。その他の５つ、即ちdashjr.org、sipa.be、bluematt.me、litecoinpool.org、及びxurious.comとして識別されるサイトは、ピア・ツー・ピアシードトラッカであるように見える。興味深いのは、これらの検出されたクエリの平均ＴＴＬ値が、１４時間にも及ぶことがあることである。これは、フラックスドメインが、最大限の検出アルゴリズムから身を隠すためにそのターゲットＩＰアドレスを徐々に変更することができることを意味する。平均すると、１日あたり２３，８９２のＤＮＳメッセージが、フラックスドメインであると検出される、即ち、その割合は、１００万メッセージあたり２４である。
【０１４１】
同じＳＬＤを伴う全てのフラックスドメインが、同じ攻撃者によって作成されると想定すると、表１に示されるように、攻撃者の数の順に上位１０の自律システム（ＡＳ）ネットワークが、以下で挙げられる。
【０１４２】
【表１】
2018513592.tif 000009
【０１４３】
パッシブＤＮＳトラフィック解析に基づくフラックスドメイン検出及びＤＮＳトンネリング検出のためのリアルタイム検出システム
【０１４４】
図４は、幾つかの実施形態にしたがった、ファストフラックスドメイントラフィック及びＤＮＳトンネリングトラフィックを識別するためにＤＮＳトラフィックの行動解析を実施するＤＮＳセキュリティのための解析フレームワークを実装するためのフローチャートである。
【０１４５】
図４を参照すると、４０２では、処理及び分類のために、ＤＮＳクエリが受信される。４０４では、ビナイン特徴抽出が実施される。ネットワークの複雑性及びデバイスの数が増すにつれて、例えば、大規模ネットワーク内のピーク時には、１秒あたり最大１００万ＤＮＳメッセージのスループットが予期されるのが妥当である。その一方で、リクエストされる固有ＦＱＤＮの数は、例えば２億程度である可能性があり、この数は、増加の一途をたどる。このように、リアルタイム検出システムは、ＤＮＳストリームデータを多量に尚且つ高速で処理できることが望ましい。フラックスドメイン検出にかかる作業負荷を軽減するために、１つの処理段階としてビナイン分類が実施され、これは、悪質なものではないと決定されるＤＮＳメッセージを高い確実性で振り落とすために使用できる。例えば、ビナイン分類は、ホワイトリスト（例えば、既知の優良ネットワークドメインを挙げたリスト）として実装できる。
【０１４６】
４０６において、もし、ＤＮＳクエリが無害であると決定されたならば、プロセスは、４１２Ａにおいて、ＤＮＳクエリに対するビナイン分類によって完了する。そうでないならば、処理は、４０８に進み、次いで、ＤＮＳクエリがファストフラックス（ＦＦ）ブラックリスト（例えば、悪質なフラックスドメインに関係付けられていると事前に識別／決定された既知の不良ネットワークドメインを挙げたリスト）に載っているかどうかを決定するために４１０に進む。もし、ブラックリストに載っているならば、プロセスは、４１４において、ＤＮＳクエリに対するファストフラックス（ＦＦ）分類によって完了する。載っていないならば、処理は、ファストフラックス（ＦＦ）セカンドレベルドメイン（ＳＬＤ）特徴抽出を実施するために４１６に進む。
【０１４７】
４１８では、ＤＮＳクエリが疑わしいＦＦ  ＳＬＤであるかどうかが決定される。もし、疑わしくないならば、プロセスは、４１２Ｂにおいて、ＤＮＳクエリに対するビナイン分類によって完了する。もし、疑わしいならば、処理は、ファストフラックス（ＦＦ）完全修飾ドメイン名（ＦＱＤＮ）特徴抽出を実施するために４２０に進む。
【０１４８】
４２２では、ＤＮＳクエリが疑わしいＦＦ  ＦＱＤＮであるかどうかが決定される。もし、疑わしくないならば、プロセスは、４１２Ｂにおいて、ＤＮＳクエリに対するビナイン分類によって完了する。もし、疑わしいならば、処理は、４１４において、ＤＮＳクエリに対するファストフラックス（ＦＦ）分類によって完了する。
【０１４９】
一実装形態例では、ビナイン分類子のコンポーネントが、例えば、上位１００のセカンドレベルドメイン即ちＳＬＤから注意深く選択された８０アイテムを載せたホワイトリストである。
【０１５０】
また、クエリ：
【０１５１】
｛ｍd（ｔ，Ｐ）：ｔ＞８６４００  ｏｒ  ｜Ｐ｜＞１  ａｎｄ  Ｅp＜０．５｝
【０１５２】
は、高い確実度で無害であると分類できる。ここで、Ｅpは、分離されたＩＰアドレスの集合Ｐのオクテットのうちの先頭から２つに基づいて計算されるエントロピである。しかしながら、ＤＮＳメッセージがファストフラックス（ＦＦ）ではないと分類されたときに、それは、下位のＦＱＤＮ  ｄが無害であることを意味しなく、下位のＦＱＤＮは、新しいメッセージ（例えば、そのＦＱＤＮに関係付けられたＤＮＳストリームデータ）によって時系列がアップデートされたときに更に分類される。
【０１５３】
図４を参照すると、４３０において、ＤＮＳクエリがＤＮＳトンネリング（ＤＮＳＴ）ブラックリスト（例えば、不正な／悪質なＤＮＳトンネリング活動に関係付けられていると事前に識別／決定された既知の不良ネットワークドメインを挙げたリスト）に載っているかどうかが決定される。もし、ブラックリストに載っているならば、プロセスは、４３２において、ＤＮＳクエリに対するＤＮＳトンネリング（ＤＮＳＴ）分類によって完了する。もし、載っていないならば、処理は、ＤＮＳトンネリング（ＤＮＳＴ）特徴抽出を実施するために４３４に進む。抽出されたＤＮＳＴ特徴は、４３６において、（例えば、開示されたＤＮＳＴ検出のための特徴抽出・解析技術を使用して）（もしあるならば）ＤＮＳトンネリング活動を検出及び分類するために解析される。図に示されるように、４３６では、ＤＮＳクエリが疑わしいＤＮＳトンネリング活動であるかどうかが決定される。もし、そうでないならば、プロセスは、４１２Ｂにおいて、ＤＮＳクエリに対するビナイン分類によって完了する。もし、そうであるならば、プロセスは、４３２において、ＤＮＳクエリに対するＤＮＳＴ分類によって完了する。
【０１５４】
オンラインプラットフォーム用の非同期検出モード
【０１５５】
図５は、幾つかの実施形態にしたがった、パッシブＤＮＳトラフィック解析に基づくＤＮＳセキュリティのためのオンラインプラットフォーム用の非同期検出モードを示したトランザクション図である。例えば、図５に示された代表的なトランザクションプロセスは、図１に関連して上述されたオンラインプラットフォームを使用して実施できる。
【０１５６】
特に、ＤＮＳトラフィックが大スループットであると、コスト効率を良くするために、オンラインプラットフォーム用の非同期検出モードが提供される。一実装形態では、ほぼインメモリ挿入速度を有するように設計されたＧｏｏｇｌｅのＢｉｇＴａｂｌｅパブリケーションに基づいて構築されるキー値ストアを提供するために、ＨＢａｓｅが提供される。大半のデータベースアーキテクチャと同様に、そのランダム読み出し速度は、その書き込み速度よりも遅い。システムリソース要件は、データ速度に線形比例するのが一般的である。非同期検出モードでは、新しいＤＮＳメッセージによるアップデートがあるたびに、時系列データの取り出し、特徴の抽出、及び分類を含む検出プロセスが、対象とされるＦＱＤＮに対してトリガされる。或る程度になると、非同期検出モードは、限られたハードウェアリソースに対してディスク入力／出力（Ｉ／Ｏ）限界に達する。この問題を克服するために、オンライン検出が、頻繁なランダム読み出しを回避するべく非同期モードで実施される。したがって、検出は、例えば１０分ごとのようにスケジュールを決められたＭａｐＲｅｄｕｃｅジョブによるスキャンによって、バッチモードで行うことができる。プロセスは、以下で更に論じられるように、図５に示されている。
【０１５７】
図５を参照すると、５０２では、非同期検出器が、ＤＮＳデータソース５０４からＤＮＳメッセージがいつ受信されるかを検出する。例えば、ＤＮＳストリームは、ＤＮＳストリームデータをオンラインプラットフォームに提供するためにエージェントを実行するＤＮＳアプライアンスから受信されるＤＮＳメッセージであることができる。図に示されるように、新しいＤＮＳメッセージごとに、Ｎ取得動作が実施され、Ｎ書き込み動作が実施される。書き込み動作は、ＤＮＳメッセージをオブザベーションキャッシュ５０６に書き込むために実施され、オブザベーションキャッシュは、例えば図１に関連して上述されたように、時系列ＤＮＳデータを収集するために使用できる。新しいＤＮＳメッセージが受信されるたびに、別の、Ｎ＋１取得動作及びＮ＋１書き込み動作がそれぞれ実施される。上述されたのと及び後述されるのと同様に、スキャン動作と、ファストフラックス（ＦＦ）検出及び／又はＤＮＳトンネリング（ＤＮＳＴ）検出とが、５０８に示されるように実施できる。
【０１５８】
オンライン検出パフォーマンス
【０１５９】
一実装形態例では、高速の大ストリームデータを扱うように指定されたオンラインリアルタイム検出システム内に、上述されたオフラインシステムで訓練されたＤＮＳトンネリング分類子が配備できる。一例として、企業配備では、スループットは、毎秒約１〜３百万ＤＮＳクエリで提供できる。別の例として、スループットは、クラウドベースの配備では毎秒１０億に達することができる。したがって、水平の拡張性は、本書で開示されるように高スループットを促進するための、重要な設計要素である。
【０１６０】
一例として、この実装形態例ではそれぞれ２．９ＧＨｚのＣＰＵと４つのコアとでなるＣＰＵと、１６ＧＢのメモリと、２つの１ＴＢハードディスクとを備えている９つのシステムからなるクラスタ上で、パフォーマンスベンチマークが実行できる。クラスタは、１Ｇｂｐｓのネットワークにリンクすることができ、ＣｅｎｔＯＳ  ６．４、Ｈａｄｏｏｐ  ２．０、ＨＢａｓｅ  ０．９４、Ｓｔｏｒｍ  ０．８、及びＫａｆｋａ  ０．７を取り込むことができる。この実装形態例では、クラスタは、最大で毎秒２８０万ＤＮＳメッセージの処理スループットに達することができる。当業者にならば明らかであるように、このパフォーマンスは、異なる組み合わせのハードウェア／ソフトウェア、及び／又は処理のための更なるハードウェアを使用して、更に微調整及び最適化できる。
【０１６１】
ＤＮＳトンネリング検出プロセスの実施形態の例
【０１６２】
図６は、幾つかの実施形態にしたがった、ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するプラットフォームを提供するためのプロセスを示したフローチャートである。
【０１６３】
６０２では、ＤＮＳデータストリームが受信される。例えば、ＤＮＳデータストリームは、ＤＮＳクエリ・ＤＮＳレスポンスデータ、及び／又はその他のＤＮＳ関連データを含むことができる。
【０１６４】
６０４では、ＤＮＳデータストリームは、パッシブＤＮＳトラフィックデータの時系列収集に適用される行動解析モデル（例えば、分類子）に基づいてＤＮＳトンネリング活動（例えば、ＤＮＳトンネリング行動）を識別するために処理される。例えば、ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するために、様々な技術が開示される。
【０１６５】
６０６では、識別されたＤＮＳトンネリング活動（例えば、ＤＮＳトンネリング行動）に基づいて、緩和措置が実施される。例えば、緩和措置は、コンフィギュレーション措置及び／又はフィルタリング措置（例えば、ＤＮＳトンネリング活動に関係付けられた不良／マルウェアネットワークドメイン及び／又は不良／マルウェアＩＰアドレスに向かう／から来るパケットをブロックする又は振り落とすこと）を含むことができる。別の例として、疑わしい／悪質なＤＮＳトンネリング活動に関係付けられた不良／マルウェアネットワークドメイン／ＦＱＤＮ及び／又はマルウェアＩＰを識別してブラックリスト／ポリシーに追加することができ、このブラックリスト／ポリシーは、評価フィード（例えば、ＲＰＺフィード）又は別の通信メカニズムを使用するなどして通信／分散できる。
【０１６６】
図７は、幾つかの実施形態にしたがった、ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するプラットフォームを提供するためのプロセスを示した別のフローチャートである。
【０１６７】
７０２では、ＤＮＳデータストリームが受信される。例えば、ＤＮＳデータストリームは、ＤＮＳクエリ・ＤＮＳレスポンスデータ、及び／又はその他のＤＮＳ関連データを含むことができる。
【０１６８】
７０４では、パッシブＤＮＳトラフィックデータの時系列収集が格納される。例えば、パッシブＤＮＳトラフィックデータの時系列収集は、オブザベーションキャッシュに格納できる。幾つかの実装形態では、所定の期間内に受信された特定のネットワークドメインに関連したＤＮＳクエリのインスタント数の閾値が、（例えば、抽出された特徴に基づくその特定のＤＮＳドメインの）更なるＤＮＳトンネリング解析を実施するためのトリガとして使用される。
【０１６９】
７０６では、複数の特徴が、ＤＮＳデータストリームから抽出される。例えば、ソースＩＰアドレス、ソースホスト、ネットワークドメイン名（例えば、ＳＬＤ及び／若しくはＦＱＤＮ）、ＴＴＬ値、及び／又はその他の特徴が、ＤＮＳデータストリームから抽出できる。
【０１７０】
７０８では、ＤＮＳデータストリームは、上記の抽出された複数の特徴のうちの１つ以上を使用して、ＤＮＳトラフィックデータの時系列収集に適用される行動解析モデル（例えば、分類子）に基づいてＤＮＳトンネリング活動（例えば、ＤＮＳトンネリング行動）を識別するために処理される。例えば、ネットワークセキュリティのための行動解析ベースのＤＮＳトンネリング検出・分類フレームワークを実装するために、様々な技術が開示される。
【０１７１】
７１０では、識別されたＤＮＳトンネリング活動（例えば、ＤＮＳトンネリング行動）に基づいて、緩和措置が実施される。例えば、緩和措置は、コンフィギュレーション措置及び／又はフィルタリング措置（例えば、ＤＮＳトンネリング活動に関係付けられた不良／マルウェアネットワークドメイン及び／又は不良／マルウェアＩＰアドレスに向かう／から来るパケットをブロックする又は振り落とすこと）を含むことができる。別の例として、緩和措置は、感染されたホストを隔絶するための及び／若しくは不良ネットワークドメイン及び／若しくは不良ＩＰアドレスへのアクセスをブロックするためのネットワークアクセス制御若しくはその他のメカニズムを使用して、感染されたホストを隔絶する及び／若しくは不良ネットワークドメイン及び／若しくは不良ＩＰアドレスへのアクセスをブロックするように、ネットワークデバイス（例えば、物理的な若しくは仮想的なスイッチ／ルータとして実装されたスイッチ若しくはルータ）を構成すること、感染されたホストを隔絶するように及び／若しくは不良ネットワークドメイン及び／若しくは不良ＩＰアドレスへのアクセスをブロックするように、ネットワークデバイス（例えば、物理的な若しくは仮想的なスイッチ／ルータとして実装されたスイッチ若しくはルータ）を構成するために、オープンフロー技術を使用して、セキュリティデバイスコントローラを構成すること、並びに／又は感染されたホストを隔絶するように及び／若しくは不良ネットワークドメイン及び／若しくは不良ＩＰアドレスへのアクセスをブロックするように、ネットワークデバイス（例えば、物理的な若しくは仮想的なスイッチ／ルータとして実装されたスイッチ若しくはルータ）を構成するために、ＡＰＩ若しくはパブリッシュ／サブスクライブメカニズムを通じてなどしてその他のコンフィギュレーション／プログラミング技術を実装すること、を含むことができる。
【０１７２】
以上の実施形態は、理解を明瞭にする目的で幾分詳細に説明されてきたが、発明は、提供された詳細に限定されない。発明を実装するためには、多くの代替的手法がある。開示された実施形態は、例示的であり、限定的ではない。
【図１】
2018513592.tif 000010
【図２】
2018513592.tif 000011
【図３】
2018513592.tif 000012
【図４】
2018513592.tif 000013
【図５】
2018513592.tif 000014
【図６】
2018513592.tif 000015
【図７】
2018513592.tif 000016
【図８Ａ】
2018513592.tif 000017
【図８Ｂ】
2018513592.tif 000018
【図８Ｃ】
2018513592.tif 000019
【図８Ｄ】
2018513592.tif 000020
【図８Ｅ】
2018513592.tif 000021
【図８Ｆ】
2018513592.tif 000022
【図８Ｇ】
2018513592.tif 000023
【図８Ｈ】
2018513592.tif 000024
【図８Ｉ】
2018513592.tif 000025
【図９】
2018513592.tif 000026
【国際調査報告】
2018513592.tif 000027