(57)【要約】  推定装置（１０）は、解析対象のドメイン名と、正規ドメイン名リストに示された各ドメイン名との類似度を特徴量としてそれぞれ取得する特徴量取得部（１００）と、特徴量取得部（１００）によって取得された各特徴量と、特徴量の入力に対して解析対象のドメイン名を正規ドメイン名であると誤認識する度合いを出力する訓練モデルとを基に、解析対象のドメイン名を正規ドメイン名であると誤認識する度合いを推定する確率推定部（１６）と、を有する。
2020170806.tif 000002
【特許請求の範囲】
【請求項１】
推定装置によって実行される推定方法であって、
解析対象のドメイン名と、正規ドメイン名リストに示された各ドメイン名との類似度を特徴量としてそれぞれ取得する取得工程と、
前記取得工程において取得された各特徴量と、前記特徴量の入力に対して前記解析対象のドメイン名を正規ドメイン名であると誤認識する度合いを出力する訓練モデルとを基に、前記解析対象のドメイン名を正規ドメイン名であると誤認識する度合いを推定する推定工程と、
を含んだことを特徴とする推定方法。
【請求項２】
前記取得工程は、前記解析対象のドメイン名と、前記正規ドメイン名リストの各ドメイン名との組み合わせから、視覚的類似度に基づく特徴量、正規情報に基づく特徴量、及び、ドメイン名の階層構造に基づく特徴量の、全部または一部を取得することを特徴とする請求項１に記載の推定方法。
【請求項３】
前記取得工程は、
前記解析対象のドメイン名を示す文字列の少なくとも一部を変換した第１の画像と、前記正規ドメイン名リストの各ドメイン名を示す文字列の少なくとも一部をそれぞれ変換した第２の画像群との間の各類似度を算出し、各類似度のうち最も高い類似度に対応する正規ドメイン名を、前記解析対象のドメイン名に最も視覚的に類似する正規ドメイン名として取得するとともに、各類似度のうち最も高い類似度を、前記解析対象のドメイン名の視覚的類似度に基づく特徴量として取得する第１の取得工程、
を含んだことを特徴とする請求項２に記載の推定方法。
【請求項４】
前記取得工程は、
前記解析対象のドメイン名に最も視覚的に類似する正規ドメイン名の評価情報を外部公開情報から抽出し、抽出した評価情報を、前記正規情報に基づく特徴量として取得する第２の取得工程
を含んだことを特徴とする請求項３に記載の推定方法。
【請求項５】
前記取得工程は、
前記解析対象のドメイン名から抽出したトップレベルドメインの種別情報と、前記解析対象のドメイン名に最も視覚的に類似する正規ドメイン名から抽出したトップレベルドメインの種別情報とを、前記ドメイン名の階層構造に基づく特徴量として取得する第３の取得工程
を含んだことを特徴とする請求項４に記載の推定方法。
【請求項６】
前記推定工程は、正規ドメイン名に視覚的に類似する既知悪性ドメイン名の特徴量と、前記既知悪性ドメイン名を正規ドメイン名であると誤認識する度合いとを訓練データとして学習した前記訓練モデルを予め生成し、該訓練モデルと、前記第１の取得工程、前記第２の取得工程及び前記第３の取得工程が取得した各特徴量の全部または一部を統合した特徴量とを用いて、前記解析対象のドメイン名を正規ドメイン名であると誤認識する度合いを推定することを特徴とする請求項５に記載の推定方法。
【請求項７】
解析対象のドメイン名と、正規ドメイン名リストに示された各ドメイン名との類似度を特徴量としてそれぞれ取得する取得部と、
前記取得部によって取得された各特徴量と、前記特徴量の入力に対して前記解析対象のドメイン名を正規ドメイン名であると誤認識する度合いを出力する訓練モデルとを基に、前記解析対象のドメイン名を正規ドメイン名であると誤認識する度合いを推定する推定部と、
を有することを特徴とする推定装置。
【請求項８】
解析対象のドメイン名と、正規ドメイン名リストに示された各ドメイン名との類似度を特徴量としてそれぞれ取得する取得ステップと、
前記取得ステップにおいて取得された各特徴量と、前記特徴量の入力に対して前記解析対象のドメイン名を正規ドメイン名であると誤認識する度合いを出力する訓練モデルとを基に、前記解析対象のドメイン名を正規ドメイン名であると誤認識する度合いを推定する推定ステップと、
をコンピュータに実行させるための推定プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、推定方法、推定装置及び推定プログラムに関する。
【背景技術】
【０００２】
ドメイン名は、インターネット上でサービスを展開する事業者にとって必要不可欠な資産となっている。元来、インターネットは国境や言語の区別がないように設計されたが、ドメイン名は、当初は英語（ＡＳＣＩＩ文字、数値、ハイフン）しか利用することができなかった。その後、国際化ドメイン名（Internationalized  Domain  Name：ＩＤＮ）が標準化及び実装されることによって、英語以外の文字（Ｕｎｉｃｏｄｅ文字）をドメイン名として利用することができるようになった。【０００３】
サイバー攻撃を行う攻撃者は、ＩＤＮの性質を悪用することによって、正規のサービスで利用されているドメイン名に視覚的に類似したドメイン名を自ら用意し攻撃を行っている。【０００４】
攻撃者の目的は、該ドメイン名を、あたかも正規のブランドのドメイン名であるようにユーザに誤認識させて騙すことにある。この攻撃は、ＩＤＮホモグラフ攻撃と呼ばれ、多くの事例が報告されている。例えば、著名な会社のドメイン名に視覚的に類似するＩＤＮを登録し、ＳＳＬ（Secure  Sockets  Layer）証明書も設定された、見た目では本物と区別することが極めて困難なフィッシングサイトを作成可能であることが実証されている。また、他の著名な会社のドメイン名に視覚的に類似するＩＤＮが悪意のあるソフトウェア（マルウェア）を内包する偽物の該会社のソフトウェアを配信していることを発見した。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】B.  Liu,  C.  Lu,  Z.  Li,  Y.  Liu,  H.  Duan,  S.  Hao,  and  Z.  Zhang,  “A  Reexamination  of  Internationalized  Domain  Names:  the  Good,  the  Bad  and  the  Ugly”,  Proceedings  of  the  48th  Annual  IEEE/IFIP  International  Conference  on  Dependable  Systems  and  Networks  (DSN),  pp.654-665,  2018.
【非特許文献２】Y.  Sawabe,  D.  Chiba,  M.  Akiyama,  and  S.  Goto,  “Detecting  Homograph  IDNs  Using  OCR”,  Proceeding  of  the  Asia-Pacific  Advanced  Network  (APAN)  Research  Workshop  2018,  vol.46,  pp.56-64,  2018.
【発明の概要】
【発明が解決しようとする課題】
【０００６】
そこで、ＩＤＮホモグラフ攻撃に代表される、正規のサービスで利用されているドメイン名に視覚的に類似したドメイン名を検出するための方法が提案されている（非特許文献１，２参照）。非特許文献１に記載の方法は、調査対象のＩＤＮと英語ブランドドメイン名との視覚的類似度をStructural  SIMilarity（ＳＳＩＭ）  indexという画像間の類似度指標で計測し、当該指標が事前に決めた閾値以上の場合には、偽物のドメイン名であると判定する。また、非特許文献２に記載の方法は、調査対象のＩＤＮに含まれる非ＡＳＣＩＩ文字に類似するＡＳＣＩＩ文字を光学文字認識（Optical  Character  Recognition：ＯＣＲ）を利用して特定し、類似させようとしている標的の英語ブランドドメイン名を特定する。【０００７】
しかしながら、上記の非特許文献１，２に記載の方法では、いずれも、ユーザが、該ＩＤＮを本物のブランドドメイン名であると誤認識する度合いを求めることはできない。また、上記の非特許文献１，２に記載の方法では、ブランドドメイン名の一部の文字が置換されて生成されたＩＤＮしか検知の対象としていない。【０００８】
本発明は、上記に鑑みてなされたものであって、ユーザが、任意の解析対象であるドメイン名を正規ドメイン名であると誤認識する度合いを推定できる推定方法、推定装置及び推定プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上述した課題を解決し、目的を達成するために、本発明に係る推定方法は、推定装置によって実行される推定方法であって、解析対象のドメイン名と、正規ドメイン名リストに示された各ドメイン名との類似度を特徴量としてそれぞれ取得する取得工程と、取得工程において取得された各特徴量と、特徴量の入力に対して解析対象のドメイン名を正規ドメイン名であると誤認識する度合いを出力する訓練モデルとを基に、解析対象のドメイン名を正規ドメイン名であると誤認識する度合いを推定する推定工程と、を含んだことを特徴とする。
【発明の効果】
【００１０】
本発明によれば、ユーザが、任意の解析対象であるドメイン名を正規ドメイン名であると誤認識する度合いを推定できる。
【図面の簡単な説明】
【００１１】
【図１】図１は、実施の形態に係る推定装置の概略構成を示す図である。
【図２】図２は、ドメイン名入力部に入力する解析対象のドメイン名の一例を示す図である。
【図３】図３は、ブランドドメイン名リスト入力部に入力するブランドドメイン名リストの一例を示す図である。
【図４】図４は、入力ドメイン名を示す文字列に対する変換画像の一例を示す図である。
【図５】図５は、ブランドドメイン名リストの各ドメイン名を示す文字列に対する画像の一例を示す図である。
【図６】図６は、入力ドメイン名を示す文字列の変換画像と、ブランドドメイン名リストの各ドメイン名を示す文字列の変換画像との間の類似度を示す図である。
【図７】図７は、ブランドドメイン名の評価情報の一例を示す図である。
【図８】図８は、入力ドメイン名に最も視覚的に類似すると特定されたブランドドメイン名と、その人気順位とを示す図である。
【図９】図９は、トップレベルドメインの種別例を示す図である。
【図１０】図１０は、入力ドメイン名からドメイン名の階層構造に基づく特徴量算出の例を示す図である。
【図１１】図１１は、入力ドメイン名から特徴量取得部が取得した特徴量の統合の一例を示す図である。
【図１２】図１２は、訓練データの一例を示す図である。
【図１３】図１３は、テストデータ（入力ドメイン名）に対し、ユーザがブランドドメイン名であると誤認識する確率の算出例を示す図である。
【図１４】図１４は、実施の形態に係る推定処理の処理手順を示す図である。
【図１５】図１５は、プログラムが実行されることにより、実施の形態の推定装置が実現されるコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１２】
以下、図面を参照して、本発明の一実施の形態を詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
【００１３】
［実施の形態］
図１は、実施の形態に係る推定装置の概略構成を示す図である。図１に示す推定装置１０は、ユーザが、任意の解析対象であるドメイン名をブランドドメイン名（正規ドメイン名）であると誤認識する度合いを推定する推定装置である。推定装置１０は、ドメイン名入力部１１、ブランドドメイン名リスト入力部１２、特徴量取得部１００（取得部）、確率推定部１６（推定部）及び出力部１７を有する。なお、推定装置１０は、例えば、ＲＯＭ（Read  Only  Memory）、ＲＡＭ（Random  Access  Memory）、ＣＰＵ（Central  Processing  Unit）等を含むコンピュータ等に所定のプログラムが読み込まれて、ＣＰＵが所定のプログラムを実行することで実現される。
【００１４】
ドメイン名入力部１１は、解析対象のドメインの入力を受け付ける。図２は、ドメイン名入力部１１に入力する解析対象のドメイン名の一例を示す図である。例えば、図２の通番「1」は、「exampleログイン.test」が、入力ドメイン名である。
【００１５】
ブランドドメイン名リスト入力部１２は、正規なブランド名をリスト化したブランドドメイン名リストの入力を受け付ける。図３は、ブランドドメイン名リスト入力部１２に入力するブランドドメイン名リストの一例を示す図である。例えば、図３の通番「1」には、「example.test」というブランドドメイン名が示される。
【００１６】
特徴量取得部１００は、ドメイン名入力部１１から入力された解析対象のドメイン名（以降、入力ドメイン名とする。）と、ブランドドメイン名リスト入力部１２から入力されたブランドドメイン名リストに示された各ドメイン名との類似度を、特徴量としてそれぞれ取得する。特徴量取得部１００は、入力ドメイン名と、ブランドドメイン名リストの各ドメイン名との組み合わせから、視覚的類似度に基づく特徴量、ブランド情報（正規情報）に基づく特徴量、及び、ドメイン名の階層構造に基づく特徴量の、全部または一部を取得する。特徴量取得部１００は、第１の特徴量取得部１３（第１の取得部）と、第２の特徴量取得部１４（第２の取得部）と、第３の特徴量取得部１５（第３の取得部）とを有する。
【００１７】
第１の特徴量取得部１３は、入力ドメイン名を示す文字列の少なくとも一部を変換した第１の画像と、ブランドドメイン名リストの各ドメイン名を示す文字列の少なくとも一部をそれぞれ変換した第２の画像群との間の各類似度を算出する。第１の特徴量取得部１３は、各類似度のうち最も高い類似度に対応するブランドドメイン名を、入力ドメイン名に最も視覚的に類似するブランドドメイン名として取得する。第１の特徴量取得部１３は、各類似度のうち最も高い類似度を、入力ドメイン名の視覚的類似度に基づく特徴量として取得する。
【００１８】
図４は、入力ドメイン名を示す文字列に対する変換画像の一例を示す図である。図４では、入力ドメイン名に対し、入力ドメイン名の文字列全体をそのまま画像変換する例と、入力ドメイン名の文字列を対象に一般的な自然言語処理である字句解析に基づく単語分割を行い部分文字列に分割した上で画像変換する一例を示す。
【００１９】
図４の通番「1」を例にした場合、第１の特徴量取得部１３は、「exampleログイン.test」という入力ドメイン名に対して、文字列全体を画像変換して「exampleログイン.test」という画像を用意する。また、図４の通番「1」を例にした場合、「exampleログイン.test」からトップレベルドメイン「.test」以外の部分については、英単語「example」と日本語単語「ログイン」の間に言語の違いがある。このため、第１の特徴量取得部１３は、この間で部分文字列に分割し、「example」と「ログイン」との２つの画像を用意する。このように、第１の特徴量取得部１３は、入力ドメイン名から、文字列全体をそのまま画像に変換したものを用意し、或いは、文字列の一部のみを画像に変換したものを用意する。
【００２０】
図５は、ブランドドメイン名リストの各ドメイン名を示す文字列に対する画像の一例を示す図である。図５に示すように、ブランドドメイン名リストの各ドメイン名に対し、ブランドドメイン名の文字列全体をそのまま画像変換する例と、ブランドドメイン名の文字列を対象に一般的な自然言語処理である字句解析に基づく単語分割を行い部分文字列に分割した上で画像変換する一例を示す。
【００２１】
図５の通番「1」を例にした場合、第１の特徴量取得部１３は、「example.test」というブランドドメイン名に対して、文字列全体を画像変換して「example.test」という画像を用意する。また、図５の通番「1」を例にした場合、第１の特徴量取得部１３は、「example.test」というブランドドメイン名に対し、トップレベルドメイン「.test」以外の部分に対し部分文字列への分割を試みて「example」という画像を用意する。このように、第１の特徴量取得部１３は、ブランドドメイン名リストの各ドメイン名から、文字列全体をそのまま画像に変換したものを用意し、或いは、文字列の一部のみを画像に変換したものを用意する。
【００２２】
図６は、入力ドメイン名を示す文字列の変換画像と、ブランドドメイン名リストの各ドメイン名を示す文字列の変換画像との間の類似度を示す図である。第１の特徴量取得部１３は、図４に例示する入力ドメイン名の各文字列全体画像と、図５で例示するブランドドメイン名の各文字列全体画像との間の類似度をそれぞれ算出する。第１の特徴量取得部１３は、算出した各類似度のうち、最も高い類似度に対応するブランドドメイン名を、図６の「文字列全体を考慮したときに最も類似するブランドドメイン名」欄に記載し、この際の類似度を、この欄の右欄の「左記ブランドドメイン名との類似度」欄に記載する。
【００２３】
また、第１の特徴量取得部１３は、図４に例示する入力ドメイン名の各部分文字列画像と、図５で例示するブランドドメイン名の各部分文字列画像との間の類似度をそれぞれ算出する。第１の特徴量取得部１３は、算出した各類似度のうち、最も高い類似度に対応するブランドドメイン名を、図６の「部分文字列を考慮したときに最も類似するブランドドメイン名」欄に記載し、この際の類似度を、この欄の右欄の「左記ブランドドメイン名との類似度」欄に記載する。
【００２４】
第１の特徴量取得部１３は、画像間の類似度を算出する手法として、例えば、Structural  SIMilarity（ＳＳＩＭ）  indexという画像間の類似度指標を用いる。一般に、ＳＳＩＭ  indexは、０．０から１．０の連続値で表記される２つの画像間の類似度を示す指標であり、１．０に近いほど、より類似することを意味する。
【００２５】
今回対象とするドメイン名文字列の画像間の類似度に対しては、文字列として、かなり類似しているものだけを対象にする必要がある。このため、第１の特徴量取得部１３は、ＳＳＩＭ  indexの閾値を、例えば０．９５以上に設定し、０．９５以上のＳＳＩＭ  indexの場合にのみ、当該類似度を特徴量として考慮する（図６参照）。
【００２６】
例えば、図６の通番「1」では、「exampleログイン.test」という入力ドメイン名に対し、文字列全体を考慮したときには、図５のブランドドメイン名の中には、閾値0.95を超える類似度を持つドメイン名が存在しない。このため、図６の通番「1」では、「文字列全体を考慮したときに最も類似するブランドドメイン名」が「なし」となり、その類似度も「なし」となる。一方で、図６の通番「1」では、部分文字列を考慮したときには、入力ドメイン名から抽出された「example」という部分文字列と、図５の通番「1」で抽出される「example」という部分文字列が完全一致する。このため、図６の通番「1」では、このブランドドメイン名「example.test」が、最も類似するブランドドメイン名として選択され、その類似度「1.00」が特徴量として採用される。なお、第１の特徴量取得部１３は、画像間の類似度を算出する手法として、ＳＳＩＭ  index以外の手法を用いてもよい。
【００２７】
第１の特徴量取得部１３は、入力ドメイン名に対し、文字列全体で考慮した際に最も視覚的に類似するブランドドメイン名との類似度、または、部分文字列を考慮した際に最も視覚的に類似する対応ブランドドメイン名との類似度の一方または両方を、視覚的類似度に基づく特徴量として取得する。
【００２８】
第２の特徴量取得部１４は、入力ドメイン名に最も視覚的に類似するブランドドメイン名の評価情報を外部公開情報から抽出する。第２の特徴量取得部１４は、抽出した評価情報を、ブランド情報に基づく特徴量として取得する。
【００２９】
図７は、ブランドドメイン名の評価情報の一例を示す図である。図７に示すように、例えば、通番「1」には、ブランドドメイン名「example.test」に対し、ドメイン名保有組織名「Example  Company」、ドメイン名保有組織の所在国「米国」、世界での当該ドメイン名へのアクセス数の人気順位「1」、国別での当該ドメイン名へのアクセス数の人気順位「1」が対応付けられる。第２の特徴量取得部１４は、図７に例示するようなブランドドメイン名の評価情報を、外部から入手する。
【００３０】
第２の特徴量取得部１４は、このような情報を、複数の情報源から入手することが可能である。第２の特徴量取得部１４は、例えば、Alexa  Internet社が提供するAlexa  Topsites（https://www.alexa.com/topsites）から入手することができる。
【００３１】
図８は、入力ドメイン名に最も視覚的に類似すると特定されたブランドドメイン名と、その人気順位とを示す図である。図８を用いて、第２の特徴量取得部１４が、入力ドメイン名に対応するブランド情報に基づいて、特徴量を算出する例を説明する。第２の特徴量取得部１４は、ブランドドメイン名評価情報（図７参照）を参照し、第１の特徴量取得部１３によって取得された、入力ドメイン名に最も視覚的に類似すると特定されたブランドドメイン名（図６参照）に対応する人気順位を、特徴量として抽出する。
【００３２】
例えば、図８の通番「1」に示すように、「exampleログイン.test」という入力ドメイン名に対し、文字列全体を考慮したときには類似するブランドドメイン名がないことから、「ブランドドメイン名の人気順位（世界）」と「左記ブランドドメイン名の人気順位（国別）」のいずれも「なし」となる。一方で、図８の通番「1」に示すように、部分文字列を考慮したときには最も類似するブランドドメイン名として「example.test」が特定されている。このため、図８の通番「1」に示すように、第２の特徴量取得部１４は、このブランドドメイン名に対応する「ブランドドメイン名の人気順位（世界）」と「左記ブランドドメイン名の人気順位（国別）」を、図７に示す評価情報を基に、それぞれ「1」と特定する。
【００３３】
第３の特徴量取得部１５は、入力ドメイン名から抽出したトップレベルドメインの種別情報と、入力ドメイン名に最も視覚的に類似するブランドドメイン名から抽出したトップレベルドメインの種別情報とを、ドメイン名の階層構造に基づく特徴量として取得する。すなわち、第３の特徴量取得部１５は、入力ドメイン名と、該入力ドメイン名に最も視覚的に類似すると特定されたブランドドメイン名の双方から、ドメイン名の階層構造を鑑み、トップレベルドメインを特定して抽出する。第３の特徴量取得部１５は、抽出したトップレベルドメインの種別を抽出し、抽出した情報の一部または全部を、入力ドメイン名の階層構造に基づく特徴量とする。
【００３４】
図９は、トップレベルドメインの種別例を示す図である。図９の通番「1」には、トップレベルドメイン「.com」を「Legacy  gTLD」と分類する例が示される。図９の通番「101」には「.top」を「New  gTLD」と分類する例が示される。
【００３５】
ｇＴＬＤ（generic  Top  Level  Domain）は、特定の領域や分野に割り当てられるトップレベルドメインのことであり、非営利団体であるＩＣＡＮＮ（Internet  Corporation  for  Assigned  Names  and  Numbers）によって制定されている。
【００３６】
ＩＣＡＮＮは、２０１３年以降に新たなｇＴＬＤを募集して制定する制度を開始し、これにより、新たなＴＬＤが爆発的に増加している。このため、図９に示すように、２０１３年以降に新たに制定されたｇＴＬＤを、特に「New  gTLD」と区別して扱う場合がある。
【００３７】
図１０は、入力ドメイン名からドメイン名の階層構造に基づく特徴量算出の例を示す図である。第３の特徴量取得部１５は、入力ドメイン名と、第１の特徴量取得部１３によって、入力ドメイン名に最も視覚的に類似すると特定されたブランドドメイン名から、トップレベルドメイン種別情報（図９参照）を参照し、トップレベルドメインと、その種別情報を、特徴量として抽出する。
【００３８】
図１０の通番「1」の例では、第３の特徴量取得部１５は、入力ドメイン名「exampleログイン.test」に対し、入力ドメイン名のトップレベルドメインとして「.test」を抽出する。そして、図１０の通番「1」の例では、第３の特徴量取得部１５は、このトップレベルドメイン「.test」の種別を図９の通番「2」から「Legacy  gTLD」と特定する。
【００３９】
そして、入力ドメイン名「exampleログイン.test」について文字列全体を考慮した場合、類似するブランドドメイン名がない。このため、図１０の通番「1」の例では、第３の特徴量取得部１５は、入力ドメイン名「exampleログイン.test」に対する、文字列全体を考慮した時に最も類似する「ブランドドメイン名のトップレベルドメイン」と「ブランドドメイン名のトップレベルドメイン種別」のいずれも「なし」とする。
【００４０】
続いて、「exampleログイン.test」について、部分文字列を考慮した場合、最も類似するブランドドメイン名として「example.test」が特定されている。このため、図１０の通番「1」の例では、第３の特徴量取得部１５は、入力ドメイン名「exampleログイン.test」に対する、部分文字列を考慮した時に最も類似する「ブランドドメイン名のトップレベルドメイン」を「.test」とし、「ブランドドメイン名のトップレベルドメイン種別」を「Legacy  gTLD」とする。
【００４１】
確率推定部１６は、特徴量取得部１００によって取得された各特徴量と、訓練モデルとを基に、入力ドメイン名をブランドドメイン名であると誤認識する度合いを推定する。訓練モデルは、特徴量の入力に対して入力ドメイン名をブランドドメイン名であると誤認識する度合いを出力する。
【００４２】
確率推定部１６は、ブランドドメイン名に視覚的に類似する既知悪性ドメイン名の特徴量と、既知悪性ドメイン名をブランドドメイン名であると誤認識する度合いとを訓練データとして学習することによって、予め訓練モデルを生成する。
【００４３】
確率推定部１６は、該訓練モデルと、第１の特徴量取得部１３、第２の特徴量取得部１４及び第３の特徴量取得部１５が取得した各特徴量の一部または全部を統合した特徴量とを用いて、入力ドメイン名をブランドドメイン名であると誤認識する度合いを推定する。確率推定部１６は、入力ドメイン名をブランドドメイン名であると誤認識する確率を推定する。
【００４４】
図１１は、入力ドメイン名から特徴量取得部が取得した特徴量の統合の一例を示す図である。例えば、確率推定部１６は、図２に記載の入力ドメイン名に対し、第１の特徴量取得部１３が取得した視覚的類似度に基づく特徴量（図６参照）と、第２の特徴量取得部１４が取得したブランド情報に基づく特徴量（図８参照）と、第３の特徴量取得部１５が取得したドメイン名の階層構造に基づく特徴量（図１０参照）を統合する。
【００４５】
具体的には、図１１の通番「1」の例では、確率推定部１６は、入力ドメイン名「exampleログイン.test」に対し、視覚的類似度に基づく特徴量として、「文字列全体を考慮したときに最も類似するブランドドメイン名との類似度」と「部分文字列を考慮したときに最も類似するブランドドメイン名との類似度」と（図６参照）を抽出する。確率推定部１６は、ブランド情報に基づく特徴量として、「文字列全体を考慮したときに最も類似するブランドドメイン名の人気順位（世界）」と「文字列全体を考慮したときに最も類似するブランドドメイン名の人気順位（国別）」と「部分文字列を考慮したときに最も類似するブランドドメイン名の人気順位（世界）」と「部分文字列を考慮したときに最も類似するブランドドメイン名の人気順位（国別）」と（図８参照）を抽出する。そして、確率推定部１６は、ドメイン名の階層構造に基づく特徴量として、「入力ドメイン名のトップレベルドメイン」と「入力ドメイン名のトップレベルドメイン種別」と「文字列全体を考慮したときに最も類似するブランドドメイン名のトップレベルドメイン」と「文字列全体を考慮したときに最も類似するブランドドメイン名のトップレベルドメイン種別」と「部分文字列を考慮したときに最も類似するブランドドメイン名のトップレベルドメイン」と「部分文字列を考慮したときに最も類似するブランドドメイン名のトップレベルドメイン種別」と（図１０参照）を抽出する。そして、図１１の例では、確率推定部１６は、抽出された各特徴量をすべて統合して利用する。
【００４６】
ここで、確率推定部１６にて算出したい確率は、ユーザが対象ドメイン名をブランドドメイン名であると誤認識する確率である。このため、教師あり機械学習手法で利用する訓練データ（教師データとも呼ばれる。）として、あるドメイン名を誤認識する確率を事前に調べた結果を用いる。例えば、あるドメイン名を、何のブランドドメイン名であると認識するかを調べるアンケート調査を行うことによって、確率を求める。
【００４７】
図１２は、訓練データの一例を示す図である。図１２の通番「1」では、ドメイン名「exampleログイン.test」をユーザに見せるアンケート調査を「100人」（調査ユーザ数）に実施し、そのうち類似するブランドドメイン名だと誤認識したユーザ数が「70人」であり、「誤認識するユーザの割合」が「0.7（=70/100）」であると特定する例を記載している。このように、実施の形態では、複数の任意のドメイン名に対して、類似するブランドドメイン名だと誤認識したユーザ数を求め、誤認識するユーザの割合を求め、訓練データとして用いる。
【００４８】
確率推定部１６では、図１２に示す訓練データと、図１１に示す特徴量とを入力し、公知の教師あり機械学習手法を適用し訓練モデルを生成する。本実施の形態に適用する教師あり機械学習手法として、例えば、確率付きの二値分類を実施可能な任意の方法、確率を直接予測する回帰予測方法が考えられる。例えば、サポートベクターマシンやランダムフォレストやロジスティック回帰が適用可能である。もちろん、本実施の形態に適用する教師あり機械学習手法は、これらに限るものではない。
【００４９】
図１３は、テストデータ（入力ドメイン名）に対し、ユーザがブランドドメイン名であると誤認識する確率の算出例を示す図である。図１３は、確率推定部１６が、学習済みの訓練モデルを用いて、入力ドメイン名に対して、ユーザがブランドドメイン名であると誤認識する確率の算出した例を示す。
【００５０】
確率推定部１６は、生成された訓練モデルに対し、図１３で示す入力ドメイン名を、図１１に示す特徴量とともに入力することによって、ユーザがドメイン名をブランドドメイン名であると誤認識する確率を算出する。
【００５１】
例えば、図１３の通番「1」の例では、テストデータのドメイン名として、「例えログイン.test」を入力したときに、ブランドドメイン名であると「誤認識する確率」として「0.6」が算出される。
【００５２】
出力部１７は、確率推定部１６が推定した、入力ドメイン名をブランドドメイン名であると誤認識する度合いを出力する。例えば、出力部１７は、液晶ディスプレイなどの表示装置、プリンター等の印刷装置、情報通信装置等によって実現される。また、出力部１７は、ネットワーク等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースであってもよく、確率推定部１６の推定結果を外部装置に送信してもよい。
【００５３】
［推定処理の処理手順］
図１４は、実施の形態に係る推定処理の処理手順を示す図である。図１４に示すように、ドメイン名入力部１１は、入力ドメインの入力を受け付け、特徴量取得部１００に入力する（ステップＳ１）。ブランドドメイン名リスト入力部１２は、ブランドドメイン名リストの入力を受け付け、特徴量取得部１００に入力する（ステップＳ２）。
【００５４】
特徴量取得部１００では、第１の特徴量取得部１３が、入力ドメイン名と、ブランドドメイン名リストの各ドメイン名との組み合わせから、視覚的類似度に基づく特徴量を算出する（ステップＳ３）。そして、第２の特徴量取得部１４が、入力ドメイン名に最も視覚的に類似するブランドドメイン名の評価情報を外部公開情報し、抽出した評価情報を、ブランド情報に基づく特徴量として取得する（ステップＳ４）。第３の特徴量取得部１５が、入力ドメイン名から抽出したトップレベルドメインの種別情報と、入力ドメイン名に最も視覚的に類似するブランドドメイン名から抽出したトップレベルドメインの種別情報とを、ドメイン名の階層構造に基づく特徴量として取得する（ステップＳ５）。
【００５５】
確率推定部１６は、特徴量取得部１００によって取得された各特徴量と、訓練モデルとを基に、入力ドメイン名をブランドドメイン名であると誤認識する度合い（確率）を推定する（ステップＳ６）。出力部１７は、確率推定部１６による推定結果を出力する（ステップＳ７）。
【００５６】
［実施の形態の効果］
このように、実施の形態に係る推定装置１０は、入力ドメイン名と、ブランドドメイン名リストに示された各ドメイン名との類似度を特徴量としてそれぞれ取得し、取得した各特徴量と、特徴量の入力に対して入力ドメイン名をブランドドメイン名であると誤認識する度合いを出力する訓練モデルとを基に、入力ドメイン名をブランドドメイン名であると誤認識する度合いを推定する。すなわち、推定装置１０は、ユーザが解析対象のＩＤＮをブランドドメイン名であると誤認知する確率を推定する。したがって、推定装置１０によれば、任意の解析対象のＩＤＮに対して、視覚的に類似するブランドドメイン名を特定し、さらに、ユーザが、解析対象のＩＤＮをブランドドメイン名であると誤認識して騙される確率を推定することができる。
【００５７】
また、推定装置１０は、特徴量取得部１００において、入力ドメイン名と、ブランドドメイン名リストの各ドメイン名との組み合わせから、視覚的類似度に基づく特徴量、正規情報に基づく特徴量、及び、ドメイン名の階層構造に基づく特徴量の、全部または一部を取得する。
【００５８】
具体的には、推定装置１０は、第１の特徴量取得部１３が、入力ドメイン名を示す文字列の少なくとも一部を変換した第１の画像と、ブランドドメイン名リストの各ドメイン名を示す文字列の少なくとも一部をそれぞれ変換した第２の画像群との間の各類似度を算出する。そして、第１の特徴量取得部１３は、各類似度のうち最も高い類似度に対応する正規ドメイン名を、入力ドメイン名に最も視覚的に類似するブランドドメイン名として取得する。これとともに、第１の特徴量取得部１３は、各類似度のうち最も高い類似度を、入力ドメイン名の視覚的類似度に基づく特徴量として取得する。
【００５９】
このため、推定装置１０によれば、ブランドドメイン名の一部の文字を置換して生成されたＩＤＮだけでなく、ブランドドメイン名に含まれるブランド名と任意の単語とを組み合わせたＩＤＮも検知が可能である。
【００６０】
また、推定装置１０は、第２の特徴量取得部１４が、入力ドメイン名に最も視覚的に類似するブランドドメイン名の評価情報を外部公開情報から抽出し、抽出した評価情報を、ブランド情報に基づく特徴量として取得する。このため、推定装置１０によれば、解析対象のＩＤＮが、より人気のあるブランドドメイン名に類似させて作られたＩＤＮであるかを考慮可能にする。
【００６１】
また、推定装置１０は、第３の特徴量取得部１５が、入力ドメイン名から抽出したトップレベルドメインの種別情報と、入力ドメイン名に最も視覚的に類似するブランドドメイン名から抽出したトップレベルドメインの種別情報とを、ドメイン名の階層構造に基づく特徴量として取得する。このため、推定装置１０によれば、解析対象のＩＤＮがブランドドメイン名と同一のトップレベルドメインやセカンドレベルドメインを利用しているか否か、及び、より簡単にドメイン名を取得しやすいトップレベルドメインやセカンドレベルドメインを利用しているか否か、を考慮可能にする。
【００６２】
また、推定装置１０では、確率推定部１６が、学習済みの訓練モデルと、特徴量取得部１００が取得した、入力ドメイン名の視覚的類似度に基づく特徴量、ブランド情報に基づく特徴量及びドメイン名の階層構造に基づく特徴量の全部または一部を統合した特徴量と、を用いて、入力ドメイン名をブランドドメイン名であると誤認識する度合いを推定する。したがって、推定装置１０によれば、多くのユーザが騙されることが確認できたドメイン名の傾向を基に、より騙されやすいＩＤＮに対し、高い確率を推定でき、適切な確率推定を実行することができる。
【００６３】
［システム構成等］
図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００６４】
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行なうこともでき、あるいは、手動的に行なわれるものとして説明した処理の全部又は一部を公知の方法で自動的に行なうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００６５】
［プログラム］
図１５は、プログラムが実行されることにより、推定装置１０が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００６６】
メモリ１０１０は、ＲＯＭ１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【００６７】
ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating  System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、推定装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、推定装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid  State  Drive）により代替されてもよい。
【００６８】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００６９】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【００７０】
以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例及び運用技術等は全て本発明の範疇に含まれる。
【符号の説明】
【００７１】
１０  推定装置
１１  ドメイン名入力部
１２  ブランドドメイン名リスト入力部
１３  第１の特徴量取得部
１４  第２の特徴量取得部
１５  第３の特徴量取得部
１６  確率推定部
１７  出力部
１００  特徴量取得部
【図１】
2020170806.tif 000003
【図２】
2020170806.tif 000004
【図３】
2020170806.tif 000005
【図４】
2020170806.tif 000006
【図５】
2020170806.tif 000007
【図６】
2020170806.tif 000008
【図７】
2020170806.tif 000009
【図８】
2020170806.tif 000010
【図９】
2020170806.tif 000011
【図１０】
2020170806.tif 000012
【図１１】
2020170806.tif 000013
【図１２】
2020170806.tif 000014
【図１３】
2020170806.tif 000015
【図１４】
2020170806.tif 000016
【図１５】
2020170806.tif 000017
【国際調査報告】
2020170806.tif 000018
2020170806.tif 000019