講演抄録/キーワード |
講演名 |
2009-03-05 14:00
DNSクエリグラフを用いた悪性ドメイン名リスト評価 ○石橋圭介・豊野 剛・佐藤一道・岩村 誠(NTT) SITE2008-47 IA2008-70 |
抄録 |
(和) |
DDoS やスパム,フィッシングに用いられるボットネットはインターネット上の最も重要な脅威の一つとなっている.ボットネット検出の一手段として悪性ドメイン名リストに基づくDNS クエリ監視手法が挙げられる.この手法ではボットネット観測などによって得られる悪性ドメイン名リストに基づき,そのドメイン名の名前解決を行っているユーザをボットネット感染ホストとして特定する.しかしながら,そのような手法で取得された悪性ドメイン名リストはボットネットの全挙動を反映していない可能性がある.逆にいくつかのボットネットは接続性確認のために著名な検索サイトへアクセスすることがあり,このような場合悪性ドメイン名リストに著名サイトが登録されてしまう問題がある.本稿では,悪性ドメイン名リストにおけるその精度に関する上記課題を,ドメイン名とそのドメイン名の名前解決を行うユーザの関係からなるグラフを用いて向上する手法を提案する.試験的に評価し,悪性ドメイン名リストに掲載されていないドメイン名でワーム感染ホストが特有に名前解決を行うドメイン名を抽出出来ることを確認した. |
(英) |
Botnet hosts, which can be controlled by malicious operators for executing DDoS attacks or spamming,
have been one of the major concerns of Internet security. One of the promising approaches for detecting those hosts
is monitoring DNS traffic and detecting botnet-infected hosts by using black domain names. However, black domain
name lists obtained through these methods may have a problem in their accuracy in that they do not cover all
domain names caused by botnets. In addition, they may contain domain names that are not involved with botnet
activities. In this paper, we propose a method to improve the accuracy of a black domain name list by using a DNS
query graph, which composed with nodes of hosts and domains edeges representing query-relationship. Intuitively,
domain names resolved by hosts that resolve many black domain names are also expected to be black, and domain
names resolved by many hosts that do not resolve any black domain names are expected to be white. Thus, the
DNS query graph indicates to us which domain names might be black or white. We also propose approximating a
graph kernel value with random walk sampling because calculating a graph kernel requires operation of adjacency
matrices of graphs, which may be difficult for huge graphs. We experimentally applied the proposed method using
a black domain name list and DNS traffic. The result shows that most of the white domains mislisted as black can
be removed. |
キーワード |
(和) |
DNS / グラフ / ブラックリスト / / / / / |
(英) |
DNS / graph / black list / / / / / |
文献情報 |
信学技報, vol. 108, no. 460, IA2008-70, pp. 19-24, 2009年3月. |
資料番号 |
IA2008-70 |
発行日 |
2009-02-26 (SITE, IA) |
ISSN |
Print edition: ISSN 0913-5685 Online edition: ISSN 2432-6380 |
著作権に ついて |
技術研究報告に掲載された論文の著作権は電子情報通信学会に帰属します.(許諾番号:10GA0019/12GB0052/13GB0056/17GB0034/18GB0034) |
PDFダウンロード |
SITE2008-47 IA2008-70 |
研究会情報 |
研究会 |
IA SITE |
開催期間 |
2009-03-05 - 2009-03-06 |
開催地(和) |
阿蘇山(熊本県) |
開催地(英) |
|
テーマ(和) |
インターネットと情報倫理教育、一般 (IA, SITE, IPSJ-IOT共催) |
テーマ(英) |
|
講演論文情報の詳細 |
申込み研究会 |
IA |
会議コード |
2009-03-IA-SITE |
本文の言語 |
日本語 |
タイトル(和) |
DNSクエリグラフを用いた悪性ドメイン名リスト評価 |
サブタイトル(和) |
|
タイトル(英) |
Evaluation of Black Domain List by Using DNS Query Graph |
サブタイトル(英) |
|
キーワード(1)(和/英) |
DNS / DNS |
キーワード(2)(和/英) |
グラフ / graph |
キーワード(3)(和/英) |
ブラックリスト / black list |
キーワード(4)(和/英) |
/ |
キーワード(5)(和/英) |
/ |
キーワード(6)(和/英) |
/ |
キーワード(7)(和/英) |
/ |
キーワード(8)(和/英) |
/ |
第1著者 氏名(和/英/ヨミ) |
石橋 圭介 / Keisuke Ishibashi / イシバシ ケイスケ |
第1著者 所属(和/英) |
日本電信電話株式会社 (略称: NTT)
NTT Corporation (略称: NTT) |
第2著者 氏名(和/英/ヨミ) |
豊野 剛 / Tsuyoshi Toyono / トヨノ ツヨシ |
第2著者 所属(和/英) |
日本電信電話株式会社 (略称: NTT)
NTT Corporation (略称: NTT) |
第3著者 氏名(和/英/ヨミ) |
佐藤 一道 / Kazumichi Sato / サトウ カズミチ |
第3著者 所属(和/英) |
日本電信電話株式会社 (略称: NTT)
NTT Corporation (略称: NTT) |
第4著者 氏名(和/英/ヨミ) |
岩村 誠 / Makoto Iwamura / イワムラ マコト |
第4著者 所属(和/英) |
日本電信電話株式会社 (略称: NTT)
NTT Corporation (略称: NTT) |
第5著者 氏名(和/英/ヨミ) |
/ / |
第5著者 所属(和/英) |
(略称: )
(略称: ) |
第6著者 氏名(和/英/ヨミ) |
/ / |
第6著者 所属(和/英) |
(略称: )
(略称: ) |
第7著者 氏名(和/英/ヨミ) |
/ / |
第7著者 所属(和/英) |
(略称: )
(略称: ) |
第8著者 氏名(和/英/ヨミ) |
/ / |
第8著者 所属(和/英) |
(略称: )
(略称: ) |
第9著者 氏名(和/英/ヨミ) |
/ / |
第9著者 所属(和/英) |
(略称: )
(略称: ) |
第10著者 氏名(和/英/ヨミ) |
/ / |
第10著者 所属(和/英) |
(略称: )
(略称: ) |
第11著者 氏名(和/英/ヨミ) |
/ / |
第11著者 所属(和/英) |
(略称: )
(略称: ) |
第12著者 氏名(和/英/ヨミ) |
/ / |
第12著者 所属(和/英) |
(略称: )
(略称: ) |
第13著者 氏名(和/英/ヨミ) |
/ / |
第13著者 所属(和/英) |
(略称: )
(略称: ) |
第14著者 氏名(和/英/ヨミ) |
/ / |
第14著者 所属(和/英) |
(略称: )
(略称: ) |
第15著者 氏名(和/英/ヨミ) |
/ / |
第15著者 所属(和/英) |
(略称: )
(略称: ) |
第16著者 氏名(和/英/ヨミ) |
/ / |
第16著者 所属(和/英) |
(略称: )
(略称: ) |
第17著者 氏名(和/英/ヨミ) |
/ / |
第17著者 所属(和/英) |
(略称: )
(略称: ) |
第18著者 氏名(和/英/ヨミ) |
/ / |
第18著者 所属(和/英) |
(略称: )
(略称: ) |
第19著者 氏名(和/英/ヨミ) |
/ / |
第19著者 所属(和/英) |
(略称: )
(略称: ) |
第20著者 氏名(和/英/ヨミ) |
/ / |
第20著者 所属(和/英) |
(略称: )
(略称: ) |
講演者 |
第1著者 |
発表日時 |
2009-03-05 14:00:00 |
発表時間 |
20分 |
申込先研究会 |
IA |
資料番号 |
SITE2008-47, IA2008-70 |
巻番号(vol) |
vol.108 |
号番号(no) |
no.459(SITE), no.460(IA) |
ページ範囲 |
pp.19-24 |
ページ数 |
6 |
発行日 |
2009-02-26 (SITE, IA) |
|