特表2020-516187 | 知財ポータル「IP Force」

知財求人 - 知財ポータルサイト「IP Force」

▶ エヌエスフォーカス　インフォメーション　テクノロジー　カンパニー，リミテッドの特許一覧 ▶ エヌエスフォーカス　テクノロジーズ　インクの特許一覧

特表2020-516187ＤＮＳを評価するための方法及び装置

書誌要約請求の範囲詳細な説明課題実施例実施するための形態図面の説明

目に優しい文字サイズ小中大 PDF Top

< >

1
2
3
4
5

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】特表2020-516187(P2020-516187A)

(43)【公表日】2020年5月28日

(54)【発明の名称】ＤＮＳを評価するための方法及び装置

(51)【国際特許分類】

H04L 12/70 20130101AFI20200501BHJP

【ＦＩ】

H04L12/70 B

【審査請求】有

【予備審査請求】未請求

【全頁数】61

(21)【出願番号】特願2019-553903(P2019-553903)

(86)(22)【出願日】2017年11月27日

(85)【翻訳文提出日】2019年9月30日

(86)【国際出願番号】CN2017113183

(87)【国際公開番号】WO2018176874

(87)【国際公開日】20181004

(31)【優先権主張番号】201710214360.5

(32)【優先日】2017年4月1日

(33)【優先権主張国】CN

(81)【指定国】 AP(BW,GH,GM,KE,LR,LS,MW,MZ,NA,RW,SD,SL,ST,SZ,TZ,UG,ZM,ZW),EA(AM,AZ,BY,KG,KZ,RU,TJ,TM),EP(AL,AT,BE,BG,CH,CY,CZ,DE,DK,EE,ES,FI,FR,GB,GR,HR,HU,IE,IS,IT,LT,LU,LV,MC,MK,MT,NL,NO,PL,PT,RO,RS,SE,SI,SK,SM,TR),OA(BF,BJ,CF,CG,CI,CM,GA,GN,GQ,GW,KM,ML,MR,NE,SN,TD,TG),AE,AG,AL,AM,AO,AT,AU,AZ,BA,BB,BG,BH,BN,BR,BW,BY,BZ,CA,CH,CL,CN,CO,CR,CU,CZ,DE,DJ,DK,DM,DO,DZ,EC,EE,EG,ES,FI,GB,GD,GE,GH,GM,GT,HN,HR,HU,ID,IL,IN,IR,IS,JO,JP,KE,KG,KH,KN,KP,KR,KW,KZ,LA,LC,LK,LR,LS,LU,LY,MA,MD,ME,MG,MK,MN,MW,MX,MY,MZ,NA,NG,NI,NO,NZ,OM,PA,PE,PG,PH,PL,PT,QA,RO,RS,RU,RW,SA,SC,SD,SE,SG,SK,SL,SM,ST,SV,SY,TH,TJ,TM,TN,TR,TT

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＷＣＤＭＡ

(71)【出願人】

【識別番号】511273078

【氏名又は名称】エヌエスフォーカスインフォメーションテクノロジーカンパニー，リミテッド

【氏名又は名称原語表記】ＮＳＦＯＣＵＳＩＮＦＯＲＭＡＴＩＯＮＴＥＣＨＮＯＬＯＧＹＣＯ．，ＬＴＤ

(71)【出願人】

【識別番号】515056130

【氏名又は名称】エヌエスフォーカステクノロジーズインク

【氏名又は名称原語表記】ＮＳＦＯＣＵＳＴＥＣＨＮＯＬＯＧＩＥＳ，ＩＮＣ．

(74)【代理人】

【識別番号】110000671

【氏名又は名称】八田国際特許業務法人

(72)【発明者】

【氏名】リウ，ウェイシン

(72)【発明者】

【氏名】シ，ユチャオ

【テーマコード（参考）】

5K030

【Ｆターム（参考）】

5K030HA08

5K030HD09

5K030KA07

5K030LE16

5K030MD06

(57)【要約】

本発明はＤＮＳを評価する方法及び装置を提供する。ＤＮＳトラフィックログに基づいて、ＤＮＳシステムにおけるＭ個のドメインネームと、Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリの各々複数のカテゴリの複数の特徴次元情報とを決定することを含む。Ｍは１以上の整数であり、前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を決定することと、アソシエーション識別子情報は、ＩＰアドレス及び／又はアイデンティティ情報を含む。前記Ｍ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれの属性情報と関連するアソシエーション識別子との対応関係に従って、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアを決定するステップと、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいてＤＮＳシステムの総合システムスコアを決定する。このようにして、ＤＮＳ評価の精度を向上させる。

【特許請求の範囲】

【請求項1】

ＤＮＳトラフィックログに基づいて、ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報を決定するステップと、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を決定するステップと、
前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又は前記Ｍ個のドメインネームの各ドメインネームの属性情報に基づいて、ＤＮＳシステムの各所定のカテゴリ中のカテゴリごとのクラスタースコアを決定するステップと、
ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに従って、前記ＤＮＳシステムの総合システムスコアを決定するステップとを備え、
前記Ｍは１以上の整数であり、
前記アソシエーション識別子情報はＩＰアドレス及び／又はアイデンティティ情報を含むことを特徴とするドメインネームシステム（ＤＮＳ）の評価方法。

【請求項2】

前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又は前記Ｍ個のドメインネームの各ドメインネームの属性情報に基づいて、ＤＮＳシステムの各所定のカテゴリ中のカテゴリごとのクラスタースコアを決定するステップでは、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得し、前記Ｎ個の第１のエンティティ要素グループに従って、ＤＮＳシステムの所定のカテゴリの第１クラスタースコアを決定し、Ｎは１以上Ｍ以下の整数であり、
前記Ｍ個のドメインネームの属性情報の差異が所定の属性閾値より小さいドメインネームと前記ドメインネームに関連するアソシエーション識別子情報とを第２のエンティティ要素グループに分割し、Ｋ個の第２のエンティティ要素グループを取得し、前記Ｋ個の第２のエンティティ要素グループによって、ＤＮＳシステムの所定のカテゴリの第２のクラスタースコアを決定し、Ｋは１以上の整数であり、
また、所定のカテゴリの第１のクラスタースコアと、所定のカテゴリの第２のクラスタースコアとに基づいて、前記ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定することを特徴とする請求項１に記載のドメインネームシステム（ＤＮＳ）の評価方法。

【請求項3】

前記Ｎ個の第１のエンティティ要素グループに従って、ＤＮＳシステムの第１のクラスタースコアを決定するステップでは、
前記Ｎ個の第１のエンティティ要素グループのそれぞれの第１のエンティティ要素グループに対し、
前記第１のエンティティ要素グループに含まれるターゲットドメインネームに対応する複数の特徴次元情報のそれぞれを正規化し、前記ターゲットドメインネームは、前記Ｍ個のドメインネームのいずれかであり、
前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定するステップと、
前記第１のエンティティ要素グループのターゲットドメインネームに対応する正規化された前記複数の特徴次元情報の各特徴次元情報と、前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの前記第１のクラスタースコアを決定し、
前記Ｋ個の第２のエンティティ要素グループに従って、前記ＤＮＳシステムの第２のクラスタースコアを決定するステップでは、
前記Ｋ個の第２のエンティティ要素グループのそれぞれに対し、
前記第２のエンティティ要素グループに含まれるドメインネームに対応する複数の属性情報の各属性情報を正規化し、
前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定し、
前記第２のエンティティ要素グループのドメインネームに対応する正規化された前記複数の属性情報の各属性情報と、前記第２のエンティティ要素グループ内のアソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの前記第２のクラスタースコアを決定することを特徴とする請求項１に記載のドメインネームシステム（ＤＮＳ）の評価方法。

【請求項4】

前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいて前記ＤＮＳシステムの総合システムスコアを決定するステップでは、
ターゲットドメインネームに対応する所定のカテゴリの複数の特徴次元情報の各特徴次元情報を正規化し、前記ターゲットドメインネームは前記Ｍ個のドメインネームのいずれかであり、
前記ターゲットドメインネームに対応する所定のカテゴリの正規化された前記複数の特徴次元情報に基づいて、前記ＤＮＳシステムの所定のカテゴリの個別スコアを決定し、
前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアと前記ＤＮＳシステムの所定のカテゴリの各カテゴリの個別スコアに基づいてＤＮＳシステムの総合システムスコアを決定することを特徴とする請求項１に記載のドメインネームシステム（ＤＮＳ）の評価方法。

【請求項5】

前記所定のカテゴリは、悪意度、人気度又は異常度を含み、
前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに従って、ＤＮＳシステムの総合システムスコアを決定する場合、
前記ＤＮＳシステムの悪意度のクラスタースコアとＤＮＳシステムの悪意度の個別スコアに基づいて、ＤＮＳシステムの悪意度のシステムスコアを決定し、
前記ＤＮＳシステムの人気度のクラスタースコアとＤＮＳシステムの人気度の個別スコアに基づいて、ＤＮＳシステムの人気度度のシステムスコアを決定し、
前記ＤＮＳシステムの異常度のクラスタースコアと前記ＤＮＳシステムの異常度の個別スコアとに基づいて、前記ＤＮＳシステムの異常度度のシステムスコアを決定し、
前記ＤＮＳシステムの悪意度度のシステムスコア、人気度度のシステムスコア、及び異常度度のシステムスコアに基づいて、前記ＤＮＳシステムの総合システムスコアを決定することを特徴とする請求項４に記載のドメインネームシステム（ＤＮＳ）の評価方法。

【請求項6】

ＤＮＳトラフィックログに基づいて、ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報を決定し、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を決定し、
前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又はＭ個のドメインネームの各ドメインネームの属性情報に基づいて、前記ＤＮＳシステムの各所定のカテゴリのクラスタースコアを決定するための決定ユニットと、
前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいて、ＤＮＳシステムの総合システムスコアを決定するためのスコアリングユニットとを備え、
前記Ｍは、１以上の整数であり、
前記アソシエーション識別子情報は、ＩＰアドレス及び／又はアイデンティティ情報を含むことを特徴とするドメインネームシステム（ＤＮＳ）の評価装置。

【請求項7】

前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を、第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得し、Ｎは、１以上Ｍ以下の整数であり、Ｍ個のドメインネームの属性情報の差異が所定の属性閾値よりも小さいドメインネームと、前記ドメインネームに関連するアソシエーション識別子情報を第２のエンティティ要素グループに分割し、Ｋ個の第２のエンティティ要素グループを取得する処理ユニットをさらに備え、
前記スコアリングユニットは、
前記Ｎ個の第１のエンティティ要素グループに従って、前記ＤＮＳシステムの所定のカテゴリの第１のクラスタースコアを決定し、前記Ｋ個の第２のエンティティ要素グループに従って、前記ＤＮＳシステムの所定のカテゴリを決定し、前記Ｋは１以上の整数であり、前記所定のカテゴリの第１クラスタースコア及び前記所定のカテゴリの第２クラスタースコアに従って、前記ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定することを特徴とする請求項６に記載のドメインネームシステム（ＤＮＳ）の評価装置。

【請求項8】

前記スコアリングユニットは、
前記Ｎ個の第１のエンティティ要素グループのそれぞれについて、前記第１のエンティティ要素グループに含まれるターゲットドメインネームに対応する複数の特徴次元情報の各特徴次元情報に対して正規化し、前記ターゲットドメインネームは、前記Ｍ個のドメインネームのいずれかであり、前記第１のエンティティ要素グループ内の前記関連アソシエーション情報に対応する特徴次元情報を決定し、
前記第１のエンティティ要素グループのターゲットドメインネームに対応する正規化された複数の特徴次元情報の各特徴次元情報と、前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特アイデンティティ情報徴次元情報に基づいて、ＤＮＳシステムの第一クラスタースコアを決定すし、
前記Ｋ個の第２のエンティティ要素グループのそれぞれに従って、前記ＤＮＳシステムの第２のクラスタースコアを決定する場合、
前記Ｋ個の第２のエンティティ要素グループのそれぞれに含まれる前記ドメインネームに対応する複数の特徴次元情報の各特徴次元情報を正規化し、前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応するフィーチャ次元情報を決定し、
前記第２のエンティティ要素グループのドメインネームに対応する正規化された複数の特徴次元情報の各特徴次元情報と、前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの前記第２のクラスタースコアを決定することを特徴とする請求項６に記載のドメインネームシステム（ＤＮＳ）の評価装置。

【請求項9】

前記スコアリングユニットは、ターゲットドメインネームに対応する所定のカテゴリの複数の特徴次元情報の各特徴次元情報を正規化し、前記ターゲットドメインネームは前記Ｍ個のドメインネームのいずれかであり、前記ターゲットドメインネームに対応する所定のカテゴリの正規化された複数の特徴次元情報に従って、前記ＤＮＳシステムの所定のカテゴリの個別スコアを決定し、前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアと前記ＤＮＳシステムの所定のカテゴリの各カテゴリの個別スコアに基づいて、前記ＤＮＳシステムの総合システムスコアを決定することを特徴とする請求項６に記載のドメインネームシステム（ＤＮＳ）の評価装置。

【請求項10】

前記所定のカテゴリは、悪意度、人気度又は異常度を含み、
前記スコアリングユニットは、
前記ＤＮＳシステムの悪意度度のクラスタースコアと前記ＤＮＳシステムの悪意度の個別スコアに基づいて、ＤＮＳシステムの悪意度のシステムスコアを決定し、前記ＤＮＳシステムの人気度度のクラスタースコアと前記ＤＮＳシステム人気度の個別スコアに基づいて、前記ＤＮＳシステムの人気度のシステムスコアを決定し、前記ＤＮＳシステムの異常度度のクラスタースコアと前記ＤＮＳシステムの異常度の個別スコアに基づいて、前記ＤＮＳシステムの異常度度のシステムスコアを決定し、
前記ＤＮＳシステムの悪意度度のシステムスコア、人気度度のシステムスコア、及び異常度度のシステムスコアに基づいて前記ＤＮＳシステムの総合システムスコアを決定することを特徴とする請求項９に記載のドメインネームシステム（ＤＮＳ）の評価装置。

【請求項11】

プロセッサと、メモリと、バスインターフェースとを備え、前記プロセッサと、前記メモリと、トランシーバとの間に、バスによって接続されており、
前記プロセッサは、前記メモリ内のプログラムを読み取り、
前記ＤＮＳトラフィックログに基づいて、ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報を決定し、前記Ｍは１以上の整数であり、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を決定し、前記アソシエーション識別子情報はＩＰアドレス及び／又はアイデンティティ情報を含み、前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又は前記Ｍ個ドメインネームの各ドメインネームの属性情報に基づいて、前記ＤＮＳシステムの各所定のカテゴリのカテゴリごとのクラスタースコアを決定し、
前記ＤＮＳシステムの前記所定のカテゴリのカテゴリごとのクラスタースコアに基づいて前記ＤＮＳシステムの総合システムスコアを決定し、
前記メモリは、１つ又は複数の実行可能プログラムを格納するように構成され、動作を実行するときにプロセッサによって使用されるデータを格納することができることを特徴とする電子デバイス。

【請求項12】

前記プロセッサは、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得し、前記Ｎは、１以上Ｍ以下の整数であり、前記Ｍ個のドメインネームの属性情報の差異が所定の属性閾値よりも小さいドメインネームと、前記ドメインネームに関連するアソシエーション識別子情報を１つの第２のエンティティ要素グループに分割し、Ｋ個の第２のエンティティ要素グループを取得し、
前記Ｎ個の第１のエンティティ要素グループに従って、前記ＤＮＳシステムの所定のカテゴリの第１のクラスタースコアを決定し、前記Ｋ個の第２のエンティティ要素グループに従って、前記ＤＮＳシステムの所定のカテゴリの第２のクラスタースコアを決定し、
前記Ｋは１以上の整数であり、前記所定のカテゴリの第１クラスタースコアと、前記所定のカテゴリの第２クラスタースコアに基づいて、前記ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定することを特徴とする請求項１１に記載の電子デバイス。

【請求項13】

前記プロセッサは、
前記Ｎ個の第１のエンティティ要素グループのそれぞれについ、前記第１のエンティティ要素グループに含まれるターゲットドメインネームに対応する複数の特徴次元情報の各特徴次元情報に対して正規化し、前記ターゲットドメインネームが前記Ｍ個のドメインネームのいずれかであり、前記第１のエンティティ要素グループ内のアソシエーション識別子情報に対応する特徴次元情報を決定し、
前記第１のエンティティ要素グループのターゲットドメインネームに対応する正規化された複数の特徴次元情報の各特徴次元情報と、前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴アイデンティティ情報に基づいて、前記ＤＮＳシステムの第１クラスタースコアを決定し、
前記Ｋ個の第２のエンティティ要素グループに従って、前記ＤＮＳシステムの第２クラスタースコアを決定する場合、前記Ｋ個の第２のエンティティ要素グループのそれぞれに含まれるドメインネームに対応する複数の特徴次元情報の各特徴次元情報を正規化し、前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定し、前記第２のエンティティ要素グループのドメインネームに対応する正規化された複数の特徴次元情報の各特徴、及び前記第２のエンティティ要素グループのアソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの第２クラスタースコアを決定することを特徴とする請求項１１に記載の電子デバイス。

【請求項14】

前記プロセッサは、
ターゲットドメインネームに対応する所定のカテゴリの複数の特徴次元情報の各特徴次元情報を正規化し、前記ターゲットドメインネームは前記Ｍ個のドメインネームのいずれかであり、
前記ターゲットドメインネームに対応する前記所定のカテゴリの正規化された複数の特徴次元情報に従って、前記ＤＮＳシステムの所定のカテゴリの個別スコアを決定し、前記ＤＮＳシステムのカテゴリごとのクラスタースコア、及び前記ＤＮＳシステムの所定のカテゴリの各カテゴリの個別スコアによって、前記ＤＮＳシステムの総合システムスコアを決定することを特徴とする請求項１１に記載の電子デバイス。

【請求項15】

前記所定のカテゴリは、悪意度、人気度、又は異常度を含み、
前記プロセッサは、前記ＤＮＳシステムの悪意度のクラスタースコア及び前記ＤＮＳシステムの悪意度の個別スコアに従って、前記ＤＮＳシステムの悪意度度のシステムスコアを決定し、前記ＤＮＳシステムの人気度のクラスタースコアと前記ＤＮＳシステムの人気度の個別スコアに基づいて、前記ＤＮＳシステムの人気度度のシステムスコアを決定し、前記ＤＮＳシステムの異常度のクラスタースコアと前記ＤＮＳシステムの異常度の個別スコアに基づいて、前記ＤＮＳシステムの異常度度のシステムスコアを決定し、
前記ＤＮＳシステムの悪意度度のシステムスコア、人気度度のシステムスコア、及び異常度度のシステムスコアに基づいて前記ＤＮＳシステムの総合システムスコアを決定することを特徴とする請求項１４に記載の電子デバイス。

【請求項16】

コンピュータに請求項１ないし請求項５のいずれか１項に記載の方法を実行させるためのコンピュータ命令を記憶することを特徴とする非一時的なコンピュータ可読記憶媒体。

【請求項17】

非一時的なコンピュータ可読記憶媒体に格納されたコンピュータプログラムを含み、コンピュータプログラムがプログラム命令を含み、前記プログラム命令がコンピュータによって実行されるとき、コンピュータが、請求項１ないし請求項５のいずれか１項に記載の方法を実行することを特徴とするコンピュータプログラム製品。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、ネットワークセキュリティの分野に関し、特に、ＤＮＳを評価するための方法及び装置に関する。

【背景技術】

【0002】

関連出願の相互参照
本出願は、２０１７年４月１日に中国特許庁に提出し、出願番号が２０１７１０２１４３６０．５であり、発明の名称「ＤＮＳを評価するための方法及び装置」との中国特許出願を基礎とする優先権を主張し、その開示のすべてをここに取り込む。

【0003】

ネットワーク通信では、ＩＰサーバーへのアクセスは、ＩＰアドレスを使用する必要があるが、ＩＰアドレスは覚えにくいため、通常はサーバーへアクセスする際にドメインネームが入力され、ドメインネームを対応するＩＰアドレスに転換する必要がある。クライアント・サーバがドメインネームに対応するＩＰアドレスを取得した後、クライアント・サーバは、そのドメインネームに対応するサーバーにアクセスすることができ、ドメインネームからＩＰアドレスへのマッピング関係はドメインネームシステムによって実行される。

【0004】

ドメインネームサービス（ＤｏｍａｉｎＮａｍｅＳｅｒｖｉｃｅ，ＤＮＳ）は、インターネット上のドメインネームとＩＰアドレスの間でマッピングするための分散型データベースである。ドメインネームシステムは、ＩＰアドレスマッピングの問題を解決するだけでなく、様々なアプリケーションやネットワーク構築の基礎となり、インターネット全体の可用性に関係しているので、ＤＮＳ自体のセキュリティは非常に重要である。

【0005】

実際の使用では、ハッカーが、コンピュータやルータのＤＮＳ設定を改ざんし、通常のネットワークアドレスをフィッシングウェブサイト又はハッカーによって制御されているホストに転送することで、ユーザーからお金を奪ったり、プライバシーを侵害したりする。悪意度のあるＤＮＳは非常に有害であるため、ユーザーの財産が失われる可能性があり、さらにＷｅｂサイトやネットワークさえも破壊される可能性がある。

【0006】

ＤＮＳはドメインネームごとに評価されている。すなわち、ＤＮＳは、クライアントによるドメイン名へのアクセス数によってのみ悪性度について評価されており、悪意度このように、ＤＮＳに対する評価は単にドメインネームのみに基づいているため、評価結果の信頼性が低下する可能性がある悪意度。

【0007】

要約すると、ＤＮＳを評価する精度を改善するためにＤＮＳを評価するための解決策を提供することが非常に望ましい。

【発明の概要】

【発明が解決しようとする課題】

【0008】

本発明の実施形態は、ＤＮＳ評価の精度を向上させるためにＤＮＳの評価方法及び装置を提供する。

【課題を解決するための手段】

【0009】

第１の態様によれば、本発明の実施形態に係るＤＮＳの評価方法は、
ＤＮＳトラフィックログに基づいて、ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報を決定するステップと、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を決定するステップと、
前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又は前記Ｍ個のドメインネームの各ドメインネームの属性情報に基づいて、ＤＮＳシステムの各所定のカテゴリ中のカテゴリごとのクラスタースコアを決定するステップと、
ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに従って、前記ＤＮＳシステムの総合システムスコアを決定するステップとを備え、前記Ｍは１以上の整数であり、前記アソシエーション識別子情報はＩＰアドレス及び／又はアイデンティティ情報を含む。

【0010】

本発明の実施形態では、Ｍ個のドメインネームとＭ個のドメインネームのそれぞれに対応する所定のカテゴリの各カテゴリの複数の特徴次元情報（ＤＮＳ評価を行う際に評価基準の特徴ディメンションが追加される）に基づいて評価するため、ＤＮＳ評価の精度が向上し、さらに、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいてＤＮＳシステムの総合システムスコアが決定されるため、ＤＮＳ評価の精度がさらに向上する。

【0011】

任意選択的に、
前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又は前記Ｍ個のドメインネームの各ドメインネームの属性情報に基づいて、ＤＮＳシステムの各所定のカテゴリ中のカテゴリごとのクラスタースコアを決定するステップでは、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得し、前記Ｎ個の第１のエンティティ要素グループに従って、ＤＮＳシステムの所定のカテゴリの第１クラスタースコアを決定し、Ｎは１以上Ｍ以下の整数であり、
前記Ｍ個のドメインネームの属性情報の差異が所定の属性閾値より小さいドメインネームと前記ドメインネームに関連するアソシエーション識別子情報とを第２のエンティティ要素グループに分割し、Ｋ個の第２のエンティティ要素グループを取得し、前記Ｋ個の第２のエンティティ要素グループによって、ＤＮＳシステムの所定のカテゴリの第２のクラスタースコアを決定し、Ｋは１以上の整数であり、
また、所定のカテゴリの第１のクラスタースコアと、所定のカテゴリの第２のクラスタースコアとに基づいて、前記ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定する。

【0012】

任意選択的に、
前記Ｎ個の第１のエンティティ要素グループに従って、ＤＮＳシステムの第１のクラスタースコアを決定するステップでは、
前記Ｎ個の第１のエンティティ要素グループのそれぞれの第１のエンティティ要素グループに対し、
前記第１のエンティティ要素グループに含まれるターゲットドメインネームに対応する複数の特徴次元情報のそれぞれを正規化し、前記ターゲットドメインネームは、前記Ｍ個のドメインネームのいずれかであり、
前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定するステップと、
前記第１のエンティティ要素グループのターゲットドメインネームに対応する正規化された前記複数の特徴次元情報の各特徴次元情報と、前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの前記第１のクラスタースコアを決定し、
前記Ｋ個の第２のエンティティ要素グループに従って、前記ＤＮＳシステムの第２のクラスタースコアを決定するステップでは、
前記Ｋ個の第２のエンティティ要素グループのそれぞれに対し、
前記第２のエンティティ要素グループに含まれるドメインネームに対応する複数の属性情報の各属性情報を正規化し、
前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定し、
前記第２のエンティティ要素グループのドメインネームに対応する正規化された前記複数の属性情報の各属性情報と、前記第２のエンティティ要素グループ内のアソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの前記第２のクラスタースコアを決定する。

【0013】

任意選択的に、前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいて前記ＤＮＳシステムの総合システムスコアを決定するステップでは、
ターゲットドメインネームに対応する所定のカテゴリの複数の特徴次元情報の各特徴次元情報を正規化し、前記ターゲットドメインネームは前記Ｍ個のドメインネームのいずれかであり、
前記ターゲットドメインネームに対応する所定のカテゴリの正規化された前記複数の特徴次元情報に基づいて、前記ＤＮＳシステムの所定のカテゴリの個別スコアを決定し、
前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアと前記ＤＮＳシステムの所定のカテゴリの各カテゴリの個別スコアに基づいてＤＮＳシステムの総合システムスコアを決定する。

【0014】

任意選択的に、前記所定のカテゴリは、悪意度、人気度又は異常度を含み、
前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに従って、ＤＮＳシステムの総合システムスコアを決定する場合、
前記ＤＮＳシステムの悪意度のクラスタースコアとＤＮＳシステムの悪意度の個別スコアに基づいて、ＤＮＳシステムの悪意度のシステムスコアを決定し、
前記ＤＮＳシステムの人気度のクラスタースコアとＤＮＳシステムの人気度の個別スコアに基づいて、ＤＮＳシステムの人気度度のシステムスコアを決定し、
前記ＤＮＳシステムの異常度のクラスタースコアと前記ＤＮＳシステムの異常度の個別スコアとに基づいて、前記ＤＮＳシステムの異常度度のシステムスコアを決定し、
前記ＤＮＳシステムの悪意度度のシステムスコア、人気度度のシステムスコア、及び異常度度のシステムスコアに基づいて、前記ＤＮＳシステムの総合システムスコアを決定する。

【0015】

第２の態様によれば、ＤＮＳトラフィックログに基づいて、ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報を決定し、前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を決定し、前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又はＭ個のドメインネームの各ドメインネームの属性情報に基づいて、前記ＤＮＳシステムの各所定のカテゴリのクラスタースコアを決定するための決定ユニットと、前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいて、ＤＮＳシステムの総合システムスコアを決定するためのスコアリングユニットとを備え、前記Ｍは、１以上の整数であり、前記アソシエーション識別子情報は、ＩＰアドレス及び／又はアイデンティティ情報を含む。

【0016】

任意選択的に、前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を、第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得し、Ｎは、１以上Ｍ以下の整数であり、Ｍ個のドメインネームの属性情報の差異が所定の属性閾値よりも小さいドメインネームと、前記ドメインネームに関連するアソシエーション識別子情報を第２のエンティティ要素グループに分割し、Ｋ個の第２のエンティティ要素グループを取得する処理ユニットをさらに備え、
前記スコアリングユニットは、
前記Ｎ個の第１のエンティティ要素グループに従って、前記ＤＮＳシステムの所定のカテゴリの第１のクラスタースコアを決定し、前記Ｋ個の第２のエンティティ要素グループに従って、前記ＤＮＳシステムの所定のカテゴリを決定し、前記Ｋは１以上の整数であり、前記所定のカテゴリの第１クラスタースコア及び前記所定のカテゴリの第２クラスタースコアに従って、前記ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定する。

【0017】

任意選択的に、前記スコアリングユニットは、
前記Ｎ個の第１のエンティティ要素グループのそれぞれについて、前記第１のエンティティ要素グループに含まれるターゲットドメインネームに対応する複数の特徴次元情報の各特徴次元情報に対して正規化し、前記ターゲットドメインネームは、前記Ｍ個のドメインネームのいずれかであり、前記第１のエンティティ要素グループ内の前記関連アソシエーション情報に対応する特徴次元情報を決定し、
前記第１のエンティティ要素グループのターゲットドメインネームに対応する正規化された複数の特徴次元情報の各特徴次元情報と、前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報に基づいて、ＤＮＳシステムの第一クラスタースコアを決定すし、
前記Ｋ個の第２のエンティティ要素グループのそれぞれに従って、前記ＤＮＳシステムの第２のクラスタースコアを決定する場合、
前記Ｋ個の第２のエンティティ要素グループのそれぞれに含まれる前記ドメインネームに対応する複数の特徴次元情報の各特徴次元情報を正規化し、前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応するフィーチャ次元情報を決定し、
前記第２のエンティティ要素グループのドメインネームに対応する正規化された複数の特徴次元情報の各特徴次元情報と、前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの前記第２のクラスタースコアを決定する。

【0018】

任意選択的に、前記スコアリングユニットは、ターゲットドメインネームに対応する所定のカテゴリの複数の特徴次元情報の各特徴次元情報を正規化し、前記ターゲットドメインネームは前記Ｍ個のドメインネームのいずれかであり、前記ターゲットドメインネームに対応する所定のカテゴリの正規化された複数の特徴次元情報に従って、前記ＤＮＳシステムの所定のカテゴリの個別スコアを決定し、前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアと前記ＤＮＳシステムの所定のカテゴリの各カテゴリの個別スコアに基づいて、前記ＤＮＳシステムの総合システムスコアを決定する。

【0019】

任意選択的に、前記所定のカテゴリは、悪意度、人気度又は異常度を含み、
前記スコアリングユニットは、
前記ＤＮＳシステムの悪意度度のクラスタースコアと前記ＤＮＳシステムの悪意度の個別スコアに基づいて、ＤＮＳシステムの悪意度のシステムスコアを決定し、前記ＤＮＳシステムの人気度度のクラスタースコアと前記ＤＮＳシステム人気度の個別スコアに基づいて、前記ＤＮＳシステムの人気度のシステムスコアを決定し、前記ＤＮＳシステムの異常度度のクラスタースコアと前記ＤＮＳシステムの異常度の個別スコアに基づいて、前記ＤＮＳシステムの異常度度のシステムスコアを決定し、
前記ＤＮＳシステムの悪意度度のシステムスコア、人気度度のシステムスコア、及び異常度度のシステムスコアに基づいて前記ＤＮＳシステムの総合システムスコアを決定する。

【0020】

第３の態様によれば、本発明の実施形態に係る電子デバイスは、プロセッサと、メモリと、バスインターフェースとを備え、前記プロセッサと、前記メモリと、トランシーバとの間に、バスによって接続されており、
前記プロセッサは、前記メモリ内のプログラムを読み取り、
前記ＤＮＳトラフィックログに基づいて、ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報を決定し、前記Ｍは１以上の整数であり、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を決定し、前記アソシエーション識別子情報はＩＰアドレス及び／又はアイデンティティ情報を含み、前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又は前記Ｍ個ドメインネームの各ドメインネームの属性情報に基づいて、前記ＤＮＳシステムの各所定のカテゴリのカテゴリごとのクラスタースコアを決定し、
前記ＤＮＳシステムの前記所定のカテゴリのカテゴリごとのクラスタースコアに基づいて前記ＤＮＳシステムの総合システムスコアを決定し、
前記メモリは、１つ又は複数の実行可能プログラムを格納するように構成され、動作を実行するときにプロセッサによって使用されるデータを格納することができること。

【0021】

第４の態様は、コンピュータに態様１又は態様１のいずれかの実施可能な方法を実行させるためのコンピュータ命令を記憶することを特徴とする非一時的なコンピュータ可読記憶媒体を提供する。

【0022】

第５の態様は、非一時的なコンピュータ可読記憶媒体に格納されたコンピュータプログラムを含み、前記プログラム命令がコンピュータによって実行されるときにコンピュータが、態様１又は態様１のいずれかの実施可能な方法を実行することを特徴とするコンピュータプログラム製品を提供する。

【発明の効果】

【0023】

【0024】

本発明の実施形態における技術的解決策をより明確に説明するために、以下では、実施形態の説明で使用される図面について簡単に説明する。

【図面の簡単な説明】

【0025】

【図1】本発明の実施形態に係る通信システムのアーキテクチャの概略図である。

【図2】本発明の実施形態に係るＤＮＳを評価するための方法の概略フローチャートである。

【図3】本発明の実施形態に係るドメインネームと、ＩＰアドレスと、電子メールアドレスとの間の関連つけを示すサブグラフである。

【図4】本発明の実施形態に係るＤＮＳ評価装置の概略構成図である。

【図5】本発明の実施形態に係る電子デバイスの概略構成図である。

【発明を実施するための形態】

【0026】

本発明の目的、技術的解決法及び有益な効果をより明確にするために、以下で添付の図面及び実施形態を参照してさらに詳細に説明する。本明細書に記載の特定の実施形態は、単に本発明の例示であり、本発明を限定するものではないことが理解されたい。

【0027】

本発明の実施形態の技術的解決策は、様々な通信システム、例えばグローバル移動通信（ＧＳＭ）システム、符号分割多元接続（ＣＤＭＡ）システム、広帯域符号分割多元接続（ＷＣＤＭＡ）、ＧＰＲＳ（ＧｅｎｅｒａｌＰａｃｋｅｔＲａｄｉｏＳｅｒｖｉｃｅ）システム、（ＬＴＥ（ｌｏｎｇＴｅｒｍＥｖｏｌｕｔｉｏｎ）システム、ＬＴＥ周波数分割複信（ＦＤＤ）システム、ＬＴＥ時分割複信（ＴＤＤ）システム、ＵＭＴＳ（ＵｎｉｖｅｒｓａｌＭｏｂｉｌｅＴｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎＳｙｓｔｅｍ）、ＷｉＭＡＸ（ＷｏｒｌｄｗｉｄｅＩｎｔｅｒｏｐｅｒａｂｉｌｉｔｙｆｏｒＭｉｃｒｏｗａｖｅＡｃｃｅｓｓ）通信システム、及び将来の５Ｇ通信システムなどに適用することができる。

【0028】

図１は、本発明の実施形態に係る通信システムアーキテクチャの概略図である。図１に示すように、当該システムアーキテクチャは、クライアント１０１、ローカルドメインネームサーバ１０２、ドメインネームサーバー１０３、及びドメインネームサーバー１０４を含むことができる。クライアントとドメインネームサーバーは、無線又は有線又はその他の手段で接続されている。

【0029】

各クライアントは、ユーザーにより入力されたドメインネーム解析要求を受信するように構成され、クライアント１０１は、受信したドメインネーム解析要求をローカルドメインネームサーバ１０２に送る。ローカルドメインネームサーバ１０２がドメインネームを解析できる場合、ローカルドメインネームサーバ１０２は結果をクライアントに直接返す。ローカルドメインネームサーバ１０２がドメインネームを解析できない場合、ローカルドメインネームサーバ１０２は、上位ドメインネームサーバー１０３にドメインネーム解析要求を送信する。ドメインネームサーバー１０３が解析できる場合、解析結果をクライアントに送信する。ドメインネームサーバー１０３が解析できない場合、ドメインネーム解析要求はより上位のドメインネームサーバー１０４に送信され、このように、ドメインネームのＩＰアドレスが解析されるまで続く。

【0030】

各ドメインネームサーバーは、受信したドメインネーム解析要求を解析するために使用され、各ドメインネームサーバーは、管理するＤＮＳネームスペースのすべてのリソースレコードを含む。リソースレコードは、タイプ、分類、及び存続時間フィールドを含むドメインネームと値の間のバインディングである。

【0031】

ドメインネームフィールドと値フィールドは、解析されたコンテンツと解析結果のそれぞれを表すために使用される。タイプフィールドは値のタイプを示す。タイプＡは、値フィールドがＩＰアドレス、つまりユーザーが希望する最終的な回答であり、タイプはネームサーバー（ＮａｍｅＳｅｒｖｅｒ、略してＮＳ）であり、値フィールドは別のドメインネームサーバーのドメインネームであることを表す。前記メインネームサーバーは、ドメインネームフィールドで示されたドメインネームを解析する方法を知ることができる。エイリアスレコード（ＣＮＡＭＥ）であるタイプは、値フィールドがドメインネームで示されたホストのエイリアスであることを表す。メールＭＸ（ＭａｉｌＥｘｃｈａｎｇｅｒ）であるタイプは、値フィールドが、メールサーバのドメインネームであることを表す。メールサーバは、ドメインネームフィールドで示されたドメインのメールを受信する。タイプＰＴＲは、ドメインネームの逆解析などに使用される。カテゴリフィールドでは、追加のレコードタイプを指定できる。存続時間フィールドは、リソースレコードの有効期間を示すために使用される。

【0032】

ドメインネーム解析の時間を短縮するために、ドメインネームサーバーは、照会された他のドメインネームサーバーからのリソースレコードをキャッシュする。これらのリソースレコードは変更により無効になるため、ドメインネームサーバーは有効期間を設定し、期限切れのリソースレコードはキャッシュからクリアされる。

【0033】

図２に示すように、図１に示すシステムアーキテクチャに基づいて、本発明の一実施形態によるＤＮＳ評価方法のフローチャートは、以下のステップを含む。

【0034】

ステップＳ２０１において、ＤＮＳトラフィックログに基づいて、ＤＮＳシステムのＭ個のドメインネームと、Ｍ個のドメインネームの各ドメインネームに対応する所定のカテゴリの各カテゴリの複数の特徴次元情報とを決定する。Ｍは１以上の整数である。

【0035】

ステップＳ２０２において、Ｍ個のドメインネームの各ドメインネームに関連するアソシエーション識別子情報を決定する。アソシエーション識別子情報は、ＩＰアドレス及び／又はアイデンティティ情報を含む。

【0036】

ステップＳ２０３において、Ｍ個のドメインネームとアソシエーション識別子情報との関連つけ、又はＭ個のドメインネームの各ドメインネームの属性情報に従って、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアを決定する。

【0037】

ステップＳ２０４において、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいて、ＤＮＳシステムの総合システムスコアを決定する。

【0038】

本発明の実施形態では、Ｍ個のドメインネームとＭ個のドメインネームのそれぞれに対応する所定のカテゴリの各カテゴリの複数の特徴次元情報（ＤＮＳ評価を行う際に評価基準の特徴次元が追加される）に基づいて評価するため、ＤＮＳ評価の精度が向上し、さらに、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいてＤＮＳシステムの総合システムスコアが決定されるため、ＤＮＳ評価の精度がさらに向上する。

【0039】

任意選択的に、本発明の実施形態では、ステップＳ２０１の前に、所定期間内にＤＮＳトラフィックログを取得する。

【0040】

ＤＮＳトラフィックログには、ＤＮＳ要求メッセージの解析ログとＤＮＳ応答メッセージの解析ログを含めることができる。ＤＮＳ要求メッセージとＤＮＳ応答メッセージは、ＤＮＳヘッダーセクション（ＨｅａｄｅｒＳｅｃｔｉｏｎ）と質問セクション（ＱｕｅｓｔｉｏｎＳｅｃｔｉｏｎ）、回答セクション（ＡｎｓｗｅｒＳｅｃｔｉｏｎ）、権限セクション（ＡｕｔｈｏｒｉｔｙＳｅｃｔｉｏｎ）及び追加セクション（ＡｄｄｉｔｉｏｎａｌＳｅｃｔｉｏｎ）の５つの部分から構成される。

【0041】

ＤＮＳ要求メッセージの解析ログ及びＤＮＳ応答メッセージの解析ログには、ホスト（Ａｄｄｒｅｓｓａ）レコード、ＡＡＡＡレコード、ＮＳレコード、ＣＮＡＭＥレコードなど、ＤＮＳのリソースレコードが含まれる。ここで、Ａレコードはドメインネーム解析の重要な記録であり、特定のホスト名を対応するホストのＩＰアドレスにマッピングするために使用される。ＮＳはＤＮＳエリアを担当する権限ネームサーバーを指定する。ＣＮＡＭＥレコードは、ＤＮＳサーバーによってドメインネームが解析されることを指定するために使用されるドメインネームサーバーレコードである。

【0042】

本発明の実施形態では、ＤＮＳトラフィックログが取得された後、無駄な無効なＤＮＳトラフィックログをフィルタリングすることを含むＤＮＳトラフィックログのデータ前処理が実行される。

【0043】

例えば、イントラネットのＤＮＳレコードに表示されるドメインネーム、イントラネットホスト名などの情報の交換に使用されるドメインネーム、「ｌｏｃａｌｈｏｓｔ」、「ｂｏｇｏｎ」、「ａｒｐａ」、「ｌｏｃａｌｄｏｍ」などのキャラクタで終了するドメインネームなどをフィルタリングする。このタイプのドメインネームはイントラネットに表示されるため、インターネットの動作には関係しない。

【0044】

ホワイトリストのドメインネームをフィルタリングする。ホワイトリストのドメインネームは、通常大企業や組織が所有しているが、トラフィックは大きく、セキュリティは高く、異常度の確率は低い。ホワイトリストのドメインネームは例えばＡｌｅｘａＴｏｐ１００Ｍのプライマリドメインネームとしては、例えば、ｂａｉｄｕ．ｃｏｍ、ｇｏｏｇｌｅ．ｃｏｍ、ｑｑ．ｃｏｍなどである。ＤＮＳトラフィックログのデータを前処理することで、有効なＤＮＳトラフィックログを取得できるため、データ処理量を削減できる。

【0045】

任意選択的に、本発明の実施形態では、ＤＮＳシステム内のＭ個のドメインネームは、ＤＮＳトラフィックログに従って決定され、Ｍ個のドメインネームは、単一のドメインネーム、特定のルールによって集約されたドメインネームの集合、及び特定のキャラクタを含むドメインネームの集合を含むことができる。

【0046】

Ｍ個のドメインネームの各々に対応する前記所定のカテゴリの各々の複数の特徴次元情報を決定する。前記複数の特徴次元は、ドメインネームの長さ、ＴＴＬ（ｔｉｍｅｔｏｌｉｖｅ）の統計値、例えばＴＴＬの最大値、ＴＴＬの最小値、ＴＴＬの平均値、ＴＴＬの分散、ドメインネームレベルの数、要求送信時間間隔、クライアントＩＰアドレス数に対する要求、応答ステータス、ドメインネームに対応する解析ＩＰアドレスの数、ヌルドメインネームの周期性、解析ＩＰの数、初期出現時間、アクセス周期、ドメインネームのキャラクタの特性（例えば異なる母音の数、子音の数、母音と子音と交替の頻度）、桁数、ドメインネームのトピック特性（例えば電気通信、情報、ポータル、ゲームなど）、国の範囲、緯度及び経度の範囲、行政区の範囲（中国の省、市）などのクライアントアクセスエリア特性、アクセス頻度、解析の結果としてｎｕｌｌであるドメイン名へのクライアントのアクセスの統計的特徴（例えば要求数、異なるドメインネームの数、アクセスの周期性、アクセスの頻度など）が含まれる。

【0047】

任意選択的に、本発明の実施形態では、Ｍ個のドメインネームのそれぞれのドメインネームとアソシエーション識別子情報との関連つけ、又はＭ個のドメインネームの各ドメインネームの属性情報に基づいて、ＤＮＳシステムのクラスタースコアを決定する。本方法は、Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得する。Ｎ個の第１のエンティティ要素グループに従って、前記ＤＮＳシステムの所定のカテゴリの第１のクラスタースコアを決定する。前記Ｍ個のドメインネームの属性情報の差異が所定の属性閾値より小さいドメインネームと前記ドメインネームに関連するアソシエーション識別子情報を第２のエンティティ要素グループに分割し、Ｋ個の第２のエンティティ要素グループを取得する。前記Ｋ個の第２のエンティティ要素グループに従って、ＤＮＳシステムの所定のカテゴリの第２のクラスタースコアを決定する。所定のカテゴリの第１のクラスタースコア、及び所定のカテゴリの第２のクラスタに従って、ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定することが含まれる。

【0048】

任意選択的に、本発明の実施形態では、Ｍ個のドメインネーム及びアソシエーション識別子情報の各ドメインネームが決定され、各ドメインネームに関連するアソシエーション識別子情報は、クライアントＩＰ、解析ＩＰ、アイデンティティ情報などであってもよい。各ドメインネームと関連するアソシエーション識別子情報との関連付けには、クライアントＩＰとドメインネームとの関連付け、ドメインネームとアイデンティティ情報との関連付け、ドメインネームと解決ＩＰとの関連付け、クライアントＩＰとＤＮＳサーバーＩＰとの関連付けが含まれる。関連付けは、ＤＮＳトラフィックログとアイデンティティ情報データベースから４種類の関連付けを取得できる。

【0049】

ここで、ドメインネームとアイデンティティ情報との間の関連付けは、ＤＮＳ要求メッセージの質問セクションのＱＮＡＭＥに基づいているか、又はＤＮＳ応答メッセージ内の回答セクションからＮＡＭＥを抽出して、クライアントＩＰとドメインネームとの間の関連付けを決定する。ドメインネームと解析ＩＰとの関連付けは、ＤＮＳ応答メッセージ内の応答セクション、権限セクション、及び追加セクションのリソースレコード（ＲＲ）に基づいてドメインネームと解析ＩＰの間の関連付けを取得する。クライアントＩＰとＤＮＳサーバーＩＰとの関連付けは、ＤＮＳ要求メッセージとＤＮＳ応答メッセージのＵＤＰヘッダに基づいて、クライアントＩＰとＤＮＳサーバーＩＰとの関連付けを取得する。

【0050】

ドメインネームとアイデンティティ情報との関連付けは、アイデンティティ情報データベースから取得され、アイデンティティ情報は、Ｗｈｏｉｓ情報であってもよい。Ｗｈｏｉｓは、ドメインネームが登録されているかどうかの照会、およびと登録されているドメインネームの詳細情報、例えばドメインネーム所有者、ドメインネームレジストラ及び他の情報などを照会することができる。アイデンティティ情報には、ＲｅｇｉｓｔｒａｎｔＮａｍｅ、ＲｅｇｉｓｔｒａｎｔＯｒｇａｎｉｚａｔｉｏｎ、ＲｅｇｉｓｔｒａｎｔＥｍａｉｌ、ＡｄｍｉｎＮａｍｅ、ＡｄｍｉｎＯｒｇａｎｉｚａｔｉｏｎ、ＡｄｍｉｎＥｍａｉｌなどが含まれる。本発明の実施形態におけるＤＮＳの評価は、ＤＮＳトラフィックログに基づいているだけでなく、実際のアイデンティティ情報のような現実的な要件も考慮するため、得られたＤＮＳ評価はより正確で実用的である。また、関連付けグルーピング及び属性情報からグルーピングすることにより、手動分析及び検索ワークロードが削減され、ドメインネーム関連におけるクラスタリングの特徴を、関連付けグルーピングによって発見することができる。

【0051】

任意選択的に、本発明の実施形態は、Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割する方法を提供し、特定のプロセスは以下のとおりである。

【0052】

Ｍ個のドメインネームと関連アイデンティティ情報との４種類の関連付けに基づいて、知識マップを構築し、形成された知識マップをＧ（Ｖ、Ｅ）とする。Ｖは知識マップのノードを表し、Ｅは知識マップのエッジを表す。Ｖ＝｛ｖ_ｉ（ＩＤ、値、タイプ、当該ノードの属性｝を表し、ｖ_ｉは知識マップ内の任意のノードを表し、ＩＤは知識マップ内のノードによって割り当てられた唯一の番号を表し、１つのノードは複数の集合に属することができる。Ｅ＝｛ｅ_ｉ（ソースノード、ターゲットノード、タイプ、当該エッジの属性集合）、ｅ_ｉは知識マップ内の任意のエッジを表す。知識マップ内の任意のノードｖ_ｉは、４つのタイプの関連付け係のうちのいずれか１つを表し、知識マップ内の各ノードは、２つの属性、すなわち、エンティティ要素のタイプ及びエンティティ要素に対応する値を含む。

【0053】

エンティティ要素のタイプには、ドメインネーム、クライアントＩＰ、ＤＮＳサーバーＩＰ、解析ＩＰ、アイデンティティ情報が含まれる。値は異なるタイプのエンティティ要素に対応する値であり、例えば、ドメインネームはｂａｉｄｕ．ｃｏｍ（ｔｙｐｅ＝ドメインネーム、ｖａｌｕｅ＝ｂａｉｄｕ．ｃｏｍ）に対応するノードでる。例えば、Ｇｏｏｇｌｅが提供する無料ＤＮＳサーバーのＩＰアドレス：８．８．８．８、当該ノードは（タイプ＝ドメインネームサーバー、値＝８．８．８．８）である。知識マップ内のエッジは、エンティティ要素ノード間の関連付け及びエッジ関連属性情報を表す。

【0054】

ここで関連する属性情報には、タイプ：ドメインネーム→ＩＰ、クライアント→ドメインネーム、クライアント→ＤＮＳサーバー、ドメインネーム→アイデンティティ情報、時間間隔、初期発生時間、発生頻度、発生回数が含まれる。ｂａｉｄｕ．ｃｏｍへのクライアントのＤＮＳ要求が、１２：００〜１４：００の間に発生されると、時間間隔は１２：００〜１４：００である。

【0055】

具体的な例を使用して知識マップの構築方法を説明する。例えば、所定の時間内に取得されたＤＮＳトラフィックログによると、ドメインネームｂａｉｄｕ．ｃｏｍが２０１６．１０．１７２３：００−２０１６．１０．１８０９：００の間の解析結果には、２２０．１８１．５７．２１７の解析ＩＰ、発生数が１０００、発生頻度が１０である。当該ＤＮＳトラフィックログに従って構成された知識マップのノードＶは、ｖ_１（ｔｙｐｅ＝ドメインネーム、ｖａｌｕｅ＝ｂａｉｄｕ．ｃｏｍ）、ｖ_２（タイプ＝ドメインネームサーバー、値＝８．８．８．８）、知識マップのエッジＥはｅ_１（ｔｙｐｅ＝ドメインネーム→ＩＰ、開始時刻＝２０１６．１０．１７２３：００、終了時刻＝２０１６．１０．１８０９：００、発生回数＝１０００、発生頻度＝１０）である。

【0056】

任意選択的に、Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報は、第１のエンティティ要素グループに分割される。

【0057】

本発明の実施形態は、形成された知識マップに従ってグループ化する実装方法を提供する。知識マップ内のノードは、関連付けにおけるエンティティ要素を表し、ノードタイプは、主にドメインネーム、ＩＰ、及びアイデンティティ情報を含む。従って、第１のエンティティ要素グループの組み合わせは、ドメインネームとＩＰ、ドメインネームとアイデンティティ情報、ドメインネーム、ＩＰとアイデンティティ情報のような３つの組み合わせを持つことができる。ドメインネームとＩＰのグループはグループ内のエンティティ要素ドメインネームとＩＰ間の関連付けを示す。ドメインネーム及びアイデンティティ情報のグループは、グループ内のエンティティ要素ドメインネームとアイデンティティ情報との間の関連付けを表す。ドメインネーム、ＩＰ及びアイデンティティ情報のグループは、グループ内のエンティティ要素ドメインネーム、ＩＰ及びアイデンティティ情報間の関連付けを表す。

【0058】

任意選択的に、Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報は、第１のエンティティ要素グループに分割される。本発明の実施形態は、以下のような１つの実装方法を提供する。

【0059】

例えば、ドメインネーム、ＩＰアドレス、電子メールアドレスを集約する必要があるとする。

【0060】

まず、（ノード／エッジ）の初期フィルタリング条件を定義ずる。ノードｖ_ｉの初期フィルタリング条件は、ｔｙｐｅ＝ドメインネーム又はｔｙｐｅ＝ＩＰ又はｔｙｐｅ＝ｍａｉｌｂｏｘである。ｅｄｇｅｅ_ｉの初期フィルタ条件はｔｙｐｅ＝ドメインネーム→ＩＰ又はｄｏｍａｉｎｎａｍｅ→ｍａｉｌｂｏｘである。ＤＮＳの解析タイプを以下のように定義する：解析タイプ＝Ａ、又は解析タイプ＝ＡＡＡＡである。

【0061】

上記で定義した２つの初期フィルタリング条件に従って、エンティティ要素ドメインネーム、ＩＰ、メールボックス、及びそれらの間の関連付けを含むサブグラフを知識マップからフィルタリングすることにより取得することができる。

【0062】

説明の便宜のために、図３は、本発明の実施形態に係るドメインネーム、ＩＰアドレス、メールボックス及びそれらの間の関連付けのサブグラフを例示的に示す。

【0063】

図３に示すように、カンマの前の１，２，３，４，５，６は、対応するノードのサブグラフにおけるＩＤを示しており、これは、割り当てられた対応するノードの固有の番号である。例えば、１，メールボックス１では、カンマの前の１は、メールボックス１のノードのサブグラフにおけるＩＤがノードに割り当てられた唯一の番号であることを示し、メールボックス１はサブグラフ内のノードを示す。ドメインネーム、ＩＰアドレス、メールボックス及びそれらの関連付けのサブグラフをグループ化したが、本発明の実施の形態では、マルチテーブルジョイン法、ＳｐａｒｋのＧｒａｐｈＸグラフ計算スイート、又はＧｒａｐｈＬａｂグラフ計算ライブラリを用い関連付けをグループ化してもよい。

【0064】

本発明の実施形態は、最も一般的なマルチテーブルジョイン法を例として、特定のグループ化の仕方を例示する。図３で説明したサブグラフによれば、ドメインネームとメールボックスとの関連付け、ドメインネームとＩＰとの関連付けを２つのテーブルにまとめることができる。ドメインネームとメールボックスの関連付けを表Ａ、ドメインネームとＩＰの関係を表Ｂに示す。

【0065】

【表1】

【0066】

【表2】

【0067】

表Ａ及び表Ｂでは、ドメインネームＩＤはサブグラフ内のドメインネームの唯一の番号を示し、メールボックスＩＤはサブグラフ内のメールボックスの唯一の番号を示し、ＩＰＩＤはサブグラフ内のＩＰの唯一の番号を示す。

【0068】

表Ａと表Ｂを、ドメインネームを主キーとして右接続させて表Ｃを形成する。

【0069】

【表3】

【0070】

表Ｃに基づいて、ドメインネーム＆ＩＰグループ_{（ドメインネーム＆ＩＰ）}、ドメインネーム＆メールボックスグループ_{（ドメインネーム＆メールボックス）}、ドメインネームとメールボックス＆ＩＰグループ_{（ドメインネーム＆メールボックス＆ＩＰ）}との３つのグループに分ける。

【0071】

ドメインネーム＆ＩＰグループを例にとると、同じドメインネームのＩＰを第１のエンティティエレメントグループに分け、グループ化した後、ドメインネームＩＤとＩＰＩＤの最小値でグループドメインネームを表記し、ｇｒｏｕｐ_{ドメインネーム＆ＩＰ}＝ＭＩＮ（ドメインネームＩＤ、ＩＰＩＤ）とする。例えば、表Ｃに示すように、ドメインネーム１はＩＰ１とＩＰ２に対応し、グループ化する場合、同じドメインネーム（ドメインネーム１）を有するＰ（ＩＰ１、ＩＰ２）は１つのグループ｛２、ドメインネーム１；４；ＩＰ１；５、ＩＰ２｝とする。

【0072】

任意選択的に、グループ識別子ｇｒｏｕｐ_{ドメインネーム＆ＩＰ}＝ＭＩＮ（ドメインネームＩＤ、ＩＰＩＤ）を決定する。まず、ＩＰ（ＩＰ１ｇｒｏｕｐ_{ドメインネーム＆メールボックス}ＩＰ２）に対応するドメインネームＩＤ（２，２）とＩＰＩＤ（４，５）の最小値が２であると判断し、２を当該グループ識別子ｇｒｏｕｐ_{ドメインネーム＆ＩＰ}（２）とする。すなわち、同じドメインネームを持つＩＰグループは、ｇｒｏｕｐ_{ドメインネーム＆ＩＰ}（２）＝｛２，ドメインネーム１；４ｇｒｏｕｐ_{ドメインネーム＆メールボックス}ＩＰ１；５ｇｒｏｕｐ_{ドメインネーム＆メールボックス}ＩＰ２｝、ｇｒｏｕｐ_{ドメインネーム＆ＩＰ}（３）＝｛３、ドメインネーム２；６ｇｒｏｕｐ_{ドメインネーム＆メールボックス}ＩＰ３｝である。

【0073】

同じ方法でドメインネーム＆メールボックスでグループ化された第１のエンティティ要素グループを取得することができる。つまり同じドメインネームのメールボックスをグループ化し、サブグラフによれば、ｇｒｏｕｐ_{ドメインネーム＆メールボックス}（１）＝｛２，ドメインネーム１；メールボックス１｝、ｇｒｏｕｐ_{ドメインネーム＆メールボックス}（１）＝｛３，ドメインネーム２；１，メールボックス１｝を決定することができる。

【0074】

ドメインネーム＆メールボックス＆ＩＰでグループ化された第１のエンティティ要素グループｇｒｏｕｐ_{ドメインネーム＆メールボックス＆ＩＰ}を取得することができる。同じドメインネームを持つメールボックスとＩＰを１つのグループに分ける。つまり、ドメインネームがメールボックスとＩＰの両方に接続されている場合に対してグループ化する。

【0075】

サブグラフによって、ｇｒｏｕｐ_{ドメインネーム＆メールボックス＆ＩＰ}（１）＝｛２，ドメインネーム１；メールボックス１；４；ＩＰ１；５，ＩＰ２｝、ｇｒｏｕｐ_{ドメインネーム＆メールボックス＆ＩＰ}（１）＝｛２，ドメインネーム２；１，メールボックス１；６，ＩＰ３｝を決定することができる。

【0076】

任意選択的に、本発明の実施形態では、前記Ｍ個のドメインネームにおける属性情報の差異が所定の属性閾値より小さいドメインネームと、そのドメインネームに関連するアソシエーション識別子情報とを第２のエンティティ要素グループに分割する。Ｋ個の第２エンティティ要素グループを得る。

【0077】

任意選択的に、本発明の実施形態では、Ｍ個のドメインネームのそれぞれの属性情報に基づいてグループ化し、属性情報の一つ又は属性情報の組み合わせに応じてグループ化してもよい。

【0078】

Ｍ個のドメインネームの各々の属性情報は、解析ＩＰの数、最初の発生時間、アクセス周期、ドメインネームキャラクタの特性（異なる母音の数、異なる子音の数、可読性及び母音子音交替の頻度など）、桁数、ドメインネームトピック特性（電気通信、情報、ポータル、ゲームなどのドメインネームトピックなど）、国の範囲、緯度及び経度の範囲、行政区の範囲（中国の省、市）などのクライアントアクセスエリア特性、アクセス頻度、解析の結果としてｎｕｌｌであるドメイン名へのクライアントのアクセスの統計的特徴（例えば要求数、異なるドメインネームの数、アクセスの周期性、アクセスの頻度、解析期間など）を含む。

【0079】

特徴ベクトルは、異なる属性情報又は属性情報の組み合わせに基づいて形成されてもよい。そして、属性情報又は属性情報の組み合わせを正規化した後、Ｘｍｅａｎｓ／Ｋｍｅａｎｓなどのクラスタリングアルゴリズムによって、グループ化させ、グループ化後に各第２のエンティティ要素グループに唯一のラベルを割り当てる。

【0080】

具体例として、ドメインネームの属性情報の組み合わせ、すなわち、クライアントからのドメインネームへのアクセス動作をグループ化し、グループ１＝｛クライアント１のアクセスドメイン１、クライアント１のアクセスドメイン３｝、グループ２＝｛クライアント１のアクセスドメイン２｝、を取得する。

【0081】

そして、クライアント１のグループラベルの集合は｛グループ１、グループ２｝であり、ドメインネーム１のグループラベルの集合は｛グループ１｝であり、ドメインネーム２のグループラベルの集合は｛グループ２｝であり、ドメインネーム３のグループラベルは｛グループ１｝である。すなわち、ドメインネームがグループ化される場合、各ドメインネームは１つの第２のエンティティ要素に従属し、そのグループのラベルはドメインネームのグループラベルである。

【0082】

任意選択的に、Ｎ個の第１のエンティティ要素グループに従って、前記ＤＮＳシステムの第１のクラスタースコアを決定する場合、前記Ｎ個の第１のエンティティ要素グループのそれぞれに含まれるターゲットドメインネームに対応する複数の特徴次元情報の各特徴次元を正規化する。前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定する。前記ターゲットドメインネームは、前記Ｍ個のドメインネームのうちのいずれか１つである。

【0083】

前記第１のエンティティ要素グループのターゲットドメインネームに対応する正規化された前記複数の特徴次元情報の各特徴次元情報と、第１のエンティティ要素グループ内のソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの第１クラスタースコアを決定する。前記Ｋ個の第２のエンティティ要素グループに従って前記ＤＮＳシステムの第２のクラスタースコアを決定する場合、前記Ｋ個の第２エンティティ要素グループのそれぞれについて含まれるドメインネームに対応する複数の属性情報の各属性情報を正規化し、前記第２のエンティティ要素グループのアソシエーション識別子情報に対応する特徴次元情報を決定し、前記第２のエンティティ要素グループのドメインネームに対応する正規化された複数の属性情報の各属性情報と、第２のエンティティ要素グループのアソシエーション識別子情報に対応する特徴次元情報に従って、前記ＤＮＳシステムの第２クラスタースコアを決定する。

【0084】

本発明の実施形態では、前記Ｎ個の第１のエンティティ要素グループのそれぞれについて、各第１のエンティティグループに含まれるドメインネームに対応する複数の特徴次元情報の各次元情報を正規化する。本発明の実施形態は、選択可能の正規化方法を提供する。第１のエンティティ要素グループの各々における前記複数の特徴次元情報の最大値と最小値を決定し、前記第１のエンティティ要素グループの各々における前記特徴次元情報を式（１）に従って正規化する。

【0085】

χ’＝（χ−ｍｉｎ）／（ｍａｘ−ｍｉｎ）式（１）
ここで、χ’は正規化された特徴次元情報を示し、χは現在の特徴次元情報を示し、ｍｉｎはグループ内の特徴次元情報の最小値、ｍａｘはグループ内の特徴次元情報の最大値を表す。

【0086】

前記第１のエンティティ要素グループのそれぞれのアソシエーション識別子情報に対応する特徴次元情報を決定する場合、ＩＰ及び／又はアイデンティティ情報に対応する特徴次元情報を決定する。アイデンティティ情報に対応する特徴次元情報は、外部の脅威情報データベースに基づいて取得することができる。例えば、ユーザーのフィードバックに応じて脅威情報データベースにＩＰの特徴次元情報を格納し、ユーザーがフィードバックした統計結果に応じて該当するＩＰを外部脅威情報データベースに記録することができる。特性次元情報は、０又は１で表すことができ、０はＩＰセキュリティを意味し、１はＩＰ危険を意味する。アイデンティティ情報データベースに基づいて、アイデンティティ情報に対応する特徴次元情報を取得することができる。

【0087】

第１のエンティティ要素グループのドメインネームに対応する正規化された複数の特徴次元情報の各特徴次元情報に従って、前記ＤＮＳシステムの第１のクラスタースコアを決定する。任意選択的に、本発明の実施形態では、ＤＮＳシステムの第１クラスタースコアを決定するための方法が提供される。前記第１のエンティティ要素グループのドメインネームに対応する正規化された複数の特徴次元情報の各特徴次元情報と、第１のエンティティ要素グループ内のアソシエーション識別子情報に対応する特徴次元情報と、そして各特徴次元情報のプリセットされた高から低へ順序に基づいて、式（２）に従って、第１のエンティティ要素グループのそれぞれの第１クラスタースコアを決定する。所定のカテゴリの各カテゴリにおける複数の特徴次元情報の高から低への順番は、研究の重要度に応じて決定される。

【0088】

【数1】

【0089】

式（２）において、ｍ_ｇは第１のエンティティ要素グループの第１クラスタースコアを表し、ｍ_１、ｍ_ｉ、ｍ_ｊは所定のカテゴリの各カテゴリに対応する複数の特徴次元情報を高から低への順番で正規化された複数の特徴次元情報を表し、ｍ_１は複数の特徴次元の中の最高の１つを表し、ｍ_ｉ、ｍ_ｊは複数の特徴次元のいずれかを表し、Ｎは全部でＮ個の特徴次元情報を有することを表す。

【0090】

決定されたＮ個の第１のエンティティ要素グループの各々の第１クラスタースコアに従って、最大の第１クラスタースコアをＤＮＳシステムの第１クラスタースコアとする。

【0091】

本発明の実施形態では、前記Ｋ個の第２エンティティ要素グループに従ってＤＮＳシステムの第２クラスタースコアが決定されル場合、前記Ｋ個のエンティティ要素グループのそれぞれに含まれるドメインネームに対応する複数の属性情報の各属性情報を正規化する。本発明の実施形態は、代替可能の正規化方法を提供する。第２エンティティ要素グループ内の複数の属性情報の最大値と最小値を決定し、前記Ｋ個の第２エンティティ要素グループの属性情報ごとに、式（１）に従って、各エンティティ要素グループの各属性情報を正規化する。

【0092】

前記第２エンティティ要素グループの各々のアソシエーション識別子情報に対応する特徴次元情報を決定し、前記ＩＰ及び／又はアイデンティティ情報に対応する特徴次元情報が含まれる。アソシエーション識別子情報アソシエーション識別子情報の特徴次元情報は、外部の脅威情報データに従って取得され、例えば、ＩＰの特徴次元情報は、ユーザフィードバックによって脅威情報データベースに保存され、ユーザフィードバックの統計結果によって、外部の脅威情報データベースに対応するＩＰの特徴的な次元情報をマークし、特性次元情報は、０又は１で表すことができ、０はＩＰセキュリティを意味し、１はＩＰ危険を意味する。

【0093】

アイデンティティ情報データベースに基づいて、アイデンティティ情報に対応する特徴次元情報を取得することができる。第２エンティティ要素グループのドメインネームに対応する正規化された複数の属性情報の各属性情報と、第２エンティティ要素グループのアソシエーション識別子情報に対応する特徴次元情報に基づいて、ＤＮＳシステムの第２のクラスタースコアが決定される。

【0094】

任意選択的に、本発明の実施形態では、ＤＮＳシステムの第２ラスタースコアを決定するためのオプションの方法が提供される。第２エンティティ要素グループのドメインネームに対応する正規化された複数の特徴次元情報の各特徴次元情報と、第２エンティティ要素グループ内のアソシエーション識別子情報に対応する特徴次元情報と、そして各特徴次元情報のプリセットされた順序は、高から低へ、式（２）に従って、第２エンティティ要素グループのそれぞれの第２クラスタースコアを決定する。所定のカテゴリの各カテゴリにおける複数の特徴次元情報の高から低への順番は、研究の重要度に応じて決定される。

【0095】

決定されたＫ個の第２のエンティティ要素グループの第２クラスタースコアに従って、最大の第２クラスタースコアをＤＮＳシステムの第２クラスタースコアとする。

【0096】

任意選択的に、本発明の実施形態では、ＤＮＳシステムの第１のクラスタースコア及びＤＮＳシステムの第２のクラスタースコア中の最大値が、ＤＮＳシステムのクラスタースコアであると決定される。

【0097】

任意選択的に、前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに従って、ＤＮＳシステムの総合システムスコアを決定する場合、ターゲットドメインネームに対応する所定のカテゴリの複数の各特徴次元情報を正規化する。ここで、前記ターゲットドメインネームはＭ個のドメインネームのいずれかであり、ターゲットドメインネームに対応する所定のカテゴリの正規化された複数の特徴次元情報に基づいて、ＤＮＳシステムのプリセットの個別スコアを決定する。前記ＤＮＳシステムの所定のカテゴリの各カテゴリのクラスタースコアとＤＮＳシステムの所定のカテゴリの各カテゴリの個別スコアとに基づいてＤＮＳシステムの総合システムスコアを決定する。

【0098】

任意選択的に、本発明の実施形態では、複数のドメインネームのそれぞれに対応する所定のカテゴリの複数の特徴次元情報の各特徴次元情報を正規化する別の方法を提供する。所定のカテゴリのうちの１つの対応する複数の特徴次元を正規化することを一例として説明する。例えば、所定のカテゴリ中の１つの所定のカテゴリに対応する複数の特徴次元情報は、｛ａ＝２．５、ｂ＝３．５、ｃ＝０．５、ｄ＝１．５｝であり、当該４つの特徴次元情報を正規化するプロセスは次のとおりである。

【0099】

４つの特徴次元情報を合計すると、２．５＋３．５＋０．５＋１．５＝８であり、４つの特徴次元情報に対する各特徴次元情報の合計の割合を求めると、２．５／８＝０．３１２５，３．５／８＝０．４３７５，０．５／８＝０．０６２５，１．５／８＝０．１８７５である。正規化された４つの特徴次元情報は、｛ａ＝０．３１２５，ｂ＝０．４３７５，ｃ＝０．０６２５，ｄ＝０．１８７５｝であり、式（３）とプリセットの各特徴次元情報の高いものから低いものへの順位に従って、ＤＮＳシステムの所定のカテゴリの個別スコアを決定する。

【0100】

【数2】

【0101】

式（３）において、ｍ_ｄは個別スコアを表し、ｍ_１，ｍ_ｉ，ｍ_ｊは予め所定のカテゴリの各カテゴリに対応する複数の特徴次元情報の高いものから低いものへの正規化された複数の特徴次元情報を表す。ｍ_１は複数の特徴次元の中で最高ものを表し、ｍ_ｉ，ｍ_ｊは複数の特徴次元のいずれかを表し、ＮはＮ個の特徴次元情報の合計を表す。

【0102】

任意選択的に、ＤＮＳシステムの所定のカテゴリの個別スコアが目標ドメインネームに対するものであると判定された場合、当該ドメインネームに関連する情報及び／又はドメインネームに関連する特徴次元に関連する情報が計算され、各統計的特徴次元情報は、正規化され、式（３）及びプリセットされた各特徴次元情報の高い順から低い順に従って、ＤＮＳシステムの所定のカテゴリの個別スコアを決定する。

【0103】

任意選択的に、ＤＮＳシステムの所定のカテゴリの個別スコアを決定する際に、外部脅威情報データに基づいて関連情報の特徴次元情報を取得するので、外部脅威情報データの情報源と評価基準が異なることがあり、１つの関連情報の特徴次元は、複数の情報に対応すること、すなわち、１つの特徴次元は、複数の値に対応することがあるだろう。このとき、特徴次元のすべての情報の中央値又は平均値を求め、求めた中央値又は平均値を特徴次元の特徴次元情報として用いる。

【0104】

任意選択的に、本発明の実施形態では、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコア及びＤＮＳシステムの所定のカテゴリの各カテゴリの個別スコアに基づいて、式（４）に従ってＤＮＳシステムの総合システムスコアが決定される方法を提供する。

【0105】

ｍ＝ｍ_ｇ＋αｍ_ｄ式（４）
式（４）において、ｍはＤＮＳシステムの総合システムスコア、ｍ_ｇはカテゴリごとのクラスタースコア、ｍ_ｄは各カテゴリの個別スコア、αは任意の数である。

【0106】

任意選択的に、所定のカテゴリには、悪意度、人気度又は異常度が含まれる。前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに従って、ＤＮＳシステムの総合システムスコアを決定する場合、前記ＤＮＳシステムの悪意度度のクラスタースコア及びＤＮＳシステムの悪意度の個別スコアに従って、ＤＮＳシステムの悪意度度のシステムスコアを決定する。ＤＮＳシステムの人気度度のクラスタースコアとＤＮＳシステムの人気度の個別スコアとに基づいてＤＮＳシステムの人気度度のシステムスコアを決定する。ＤＮＳシステムの異常度度のクラスタースコア及びＤＮＳシステムの異常度の個別スコアに従って、ＤＮＳシステムの異常度度のシステムスコアを決定する。ＤＮＳシステムの悪意度度のシステムスコア、人気度度のシステムスコア、及び異常度度のシステムスコアに基づいてＤＮＳシステムの総合システムスコアを決定する。

【0107】

任意選択的に、本発明の実施形態における所定のカテゴリは、悪意度、人気度、又は異常度を含む。悪意度の特徴次元は、ドメインネームの長さ、ＴＴＬ（ｔｉｍｅ−ｔｏ−ｌｉｖｅ）値、ドメインレベル、要求送信の時間間隔、応答状態、ドメインネームに対応するＩＰアドレスの数、空ドメインネームの周期性、ＩＰ悪意度及びアイデンティティ情報の悪意度が含まれる。人気度の特徴次元は、ＤＮＳ要求の数、別個の要求クライアントＩＰの数、同じクラスタ内のドメインネームの数、同じクラスタ内のドメインネームターゲットトラッキング（ＴＬＤ）の数、別個の要求クライアントの地理的数、ＩＰの悪意度、及びアイデンティティ情報の悪意度が含まれる。人気度の特徴的な次元情報は、取得されたＤＮＳトラフィックログ、アイデンティティ情報データベース、及び脅威情報に基づいて統計処理により取得される。

【0108】

異常度の特徴的な次元情報は、同じドメインネーム要求数の異常度、同じドメインネームのサブドメインネームの数の異常度、解析ＩＰの数の異常度、同じＩＰの指すドメインネームの異常度、ＩＰの悪性度、アイデンティティ情報の悪意度が含まれる。人気度の特徴的な次元情報は、取得したＤＮＳトラフィックログ、アイデンティティ情報データベース、及び脅威情報に従って統計処理により取得される。ここで、ＩＰの悪意度とアイデンティティ情報の悪意度は、脅威情報データとアイデンティティ情報データベースによって得られる。

【0109】

任意選択的に、本発明の実施形態では、ＤＮＳシステムを評価することは、悪意度、人気度及び異常度の３つの所定のカテゴリのうちの１つ又は複数のカテゴリを評価することを含む。複数の評価を行う場合には、ＤＮＳシステムの悪性度のシステムスコア、人気度のシステムスコア、異常度のシステムスコアの加重値に基づいて、ＤＮＳシステムの総合システムスコアを決定することができる。これによれば、ＤＮＳ評価の精度をさらに高めることができる。

【0110】

本発明の実施形態では、Ｍ個のドメインネームとＭ個のドメインネームのそれぞれに対応する所定のカテゴリの各カテゴリの複数の特徴次元情報に基づいているため、ＤＮＳ評価では、評価基準の特徴次元を追加した。このようにして、ＤＮＳ評価の精度が向上し、さらに、ＤＮＳシステムの予め所定のカテゴリのカテゴリごとのクラスタースコアに基づいてＤＮＳシステムの総合システムスコアが決定されるため、ＤＮＳ評価の精度がさらに向上する。

【0111】

図４は、本発明の実施形態に係るＤＮＳ評価装置の概略構成図である。

【0112】

同じ発明思想に基づいて、本発明の実施形態に係るＤＮＳ評価装置は、図４に示すように、ＤＮＳ評価装置４００は、決定ユニット４０１とスコアリングユニット４０２を備えている。また、処理ユニット４０３がさらに含まれている。

【0113】

前記決定ユニットは、前記ＤＮＳトラフィックログに基づいて、前記ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する前記所定のカテゴリ内の各カテゴリの前記複数の特徴次元情報とを決定する前記Ｍは１以上の整数であり、前記Ｍ個のドメインネームのそれぞれに関連する前記アソシエーション識別子情報を決定し、前記アソシエーション識別子情報は、ＩＰアドレス及び／又はアイデンティティ情報を含み、前記Ｍ個のドメインネーム中の各ドメインネームと関連するアイデンティティ情報との関連付け、又はＭ個のドメインネームそれぞれの属性情報に基づいて、前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアを決定する。前記スコアリングユニットは、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいて、ＤＮＳシステムの総合システムスコアを決定する。

【0114】

任意選択的に、前記処理ユニットは、前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得する。ここでＮは、１以上Ｍ以下の整数であり、Ｍ個のドメインネームの属性情報の差異がプリセットされた属性閾値より小さいドメインネーム、及びドメインネームに関連するアソシエーション識別子情報を第２のエンティティ要素グループに分割し、Ｋ個の第２エンティティ要素グループを得る。Ｋは１以上の整数である。

【0115】

前記スコアリングユニットは、前記Ｎ個の第１のエンティティ要素グループに従って、前記ＤＮＳシステムの所定のカテゴリの第１クラスタースコアを決定し、Ｋ個の第２のエンティティ要素グループに従って、前記ＤＮＳシステムの所定のカテゴリの第２のクラスタースコアを決定する。また、前記所定のカテゴリの第１のクラスタースコアと、所定のカテゴリの第２のクラスタースコアに基づいて、ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定する。

【0116】

任意選択的に、スコアリングユニットは、Ｎ個の第１のエンティティ要素グループのそれぞれに含まれる複数のターゲットドメインネームに対応する特徴次元情報の各特徴次元情報に対して正規化する。前記ターゲットドメインネームは、前記Ｍ個のドメインネームのいずれかである。前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定し、前記第１のエンティティ要素グループのターゲットドメインネームに対応する正規化された複数の特徴次元情報の特徴次元情報と、前記第１のエンティティ要素グループ内のアソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの第１クラスタースコアを決定する。

【0117】

前記Ｋ個の第２のエンティティ要素グループに従って、前記ＤＮＳシステムの第２のクラスタ−スコアを決定する場合、前記Ｋ個の第２のエンティティ要素グループのそれぞれについて、前記第２のエンティティ要素グループに含まれる前記ドメインネームに対応する複数の特徴次元情報の各特徴次元情報を正規化し、前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定する。前記第２のエンティティ要素グループのドメインネームに対応する正規化された複数の特徴次元情報における各特徴次元情報と第２のエンティティ要素グループ内のアソシエーション識別子情報に対応する特徴次元情報に従って、ＤＮＳシステムの第２のクラスタースコアを決定する。

【0118】

任意選択的に、前記スコアリングユニットは、ターゲットドメインネームに対応する所定のカテゴリの複数の特徴次元情報の各特徴次元情報を正規化する。前記ターゲットドメインネームはＭ個のドメインネーム中のいずれかである。前記ターゲットドメインネームに対応する前記所定のカテゴリの正規化された複数の特徴次元情報に従って、ＤＮＳシステムの所定のカテゴリの個別スコアを決定する。ＤＮＳシステムの前記所定のカテゴリのカテゴリごとのクラスタースコア及びＤＮＳシステムの前記所定のカテゴリの各カテゴリの個別スコアに従って、ＤＮＳシステムの総合システムスコアを決定する。

【0119】

任意選択的に、前記所定のカテゴリは、悪意度、人気度又は異常度を含み、スコアリングユニットは、前記ＤＮＳシステムの悪意度のクラスタースコア及びＤＮＳシステムの個々の悪意度スコアに従って、ＤＮＳシステムの悪意度度のシステムスコアを決定する。前記ＤＮＳシステムの人気度のクラスタースコアとＤＮＳシステムの個々の人気度スコアに従って、ＤＮＳシステムの人気度度のシステムスコアを決定する。前記ＤＮＳシステムの異常度のクラスタースコアとＤＮＳシステムの個々の異常度スコアに従って、ＤＮＳシステムの異常度度のシステムスコアを決定する。またＤＮＳシステムの悪意度度のシステムスコア、人気度度のシステムスコア、及び異常度度のシステムスコアによって、ＤＮＳシステムの総合システムスコアを決定する。

【0120】

以上のことから、本発明の実施形態では、Ｍ個のドメインネームとＭ個のドメインネームのそれぞれに対応する所定のカテゴリのそれぞれのカテゴリの複数の特徴次元情報に基づいて評価するため、ＤＮＳ評価では、評価基準とする特徴量次元を追加し、ＤＮＳ評価の精度が向上する。さらに、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいてＤＮＳシステムの総合システムスコアが決定されるため、ＤＮＳ評価の精度がさらに向上する。

【0121】

同じ発明思想に基づいて、本出願は、上述したバックグラウンドシステム側の方法のフローを実行するために使用できる電子デバイスを提供する。

【0122】

図５は、本願によって提供される電子デバイスの概略構成図である。前記電子デバイスは、プロセッサ５０１と、メモリ５０２と、バスインターフェース５０３とを含み、プロセッサ５０１、メモリ５０２、及びバスインターフェース５０３は、バス５０４を介して相互に接続されている。

【0123】

メモリ５０２は、プログラムを格納するためのものであり、具体的には、プログラムはプログラムコードを含み、プログラムコードはコンピュータ動作命令を含む。メモリ５０２は、ランダムアクセスメモリ（ＲＡＭ）などの揮発性メモリ（ｖｏｌａｔｉｌｅｍｅｍｏｒｙ）を含むことができる。また、メモリは、フラッシュメモリ（フラッシュ）などの不揮発性メモリ（ｎｏｎ−ｖｏｌａｔｉｌｅｍｅｍｏｒｙ）、ハードディスクドライブ（ＨＤＤ）又はソリッドステートドライブ（ＳＳＤ）であり、メモリ５０２はまた、上記タイプのメモリの組み合わせを含むことができる。

【0124】

メモリ５０２は、以下の要素、実行可能モジュールもしくはデータ構造、又はそれらのサブセットもしくは拡張セットを格納する。

【0125】

操作指示：各種操作を実行するための各種操作指示を含む。

【0126】

オペレーティングシステム：様々な基本サービスを実装し、ハードウェアベースのタスクを処理するための様々なシステムプログラムが含まれている。

【0127】

バス５０４は、周辺コンポーネント相互接続（ＰｅｒｉｐｈｅｒａｌＣｏｍｐｏｎｅｎｔＩｎｔｅｒｃｏｎｎｅｃｔ，ＰＣＩ）バス又は拡張業界標準アーキテクチャ（ＥｘｔｅｎｄｅｄＩｎｄｕｓｔｒｙＳｔａｎｄａｒｄＡｒｃｈｉｔｅｃｔｕｒｅ，ＥＩＳＡ）バスであってもよい。

【0128】

バスは、アドレスバス、データバス、制御バス等に分けることができる。説明の便宜のために、図５には１本の太い線しか示されていないが、１本のバス又は１種類のバスしか存在しないことを意味するものではない。

【0129】

バスインターフェース５０３は、有線通信インターフェース、無線通信インターフェース、又はそれらの組み合わせであってもよい。ここで、有線通信インターフェースは、例えば、イーサネット（登録商標）インターフェースであり得る。イーサネットインターフェイスは、光インターフェース、電気インターフェース、又はそれらの組み合わせとすることができる。無線通信インターフェースは、ＷＬＡＮインターフェースとすることができる。

【0130】

プロセッサ５０１は、中央処理装置（ＣＰＵ）、ネットワークプロセッサ（ＮＰ）、又はＣＰＵとＮＰの組み合わせとすることができる。また、ハードウェアチップであってもよいです。ハードウェアチップは、特定用途向け集積回路（ＡＳＩＣ）、プログラマブルロジックデバイス（ＰＬＤ）、又はそれらの組み合わせであってもよい。ＰＬＤは、複合プログラマブルロジックデバイス（ＣＰＬＤ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、汎用アレイロジック（ＧＡＬ）、又は任意の組み合わせであってもよい。

【0131】

プロセッサ５０１は、メモリ５０２内のプログラムを読み出し、以下の方法を実行するように構成される。ＤＮＳトラフィックログに基づいて、前記ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する前記所定のカテゴリ内の各カテゴリの前記複数の特徴次元情報を決定する。前記Ｍは１以上の整数であり、前記Ｍ個のドメインネームのそれぞれに関連する前記アソシエーション識別子情報が決定され、前記アソシエーション識別子情報は、ＩＰアドレス及び／又はアイデンティティ情報を含み、前記Ｍ個のドメインネーム中の各ドメインネームと関連するアイデンティティ情報との対応関係、又はＭ個のドメインネームそれぞれの属性情報に基づいて、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアを決定するステップと、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいて、ＤＮＳシステムの総合システムスコアを決定する。

【0132】

メモリ５０２は、１つ又は複数の実行可能プログラムを格納するように構成され、動作を実行するときにプロセッサ５０１によって使用されるデータを格納することができる。

【0133】

任意選択的に、プロセッサは、前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得する。ここでＮは１以上Ｍ以下の整数である。前記Ｍ個のドメインネームの属性情報の差異がプリセットされた属性閾値より小さいドメインネームと、ドメインネームとドメインネームに対応するアソシエーション識別子情報とを第２のエンティティ要素グループに分割し、Ｋ個の第２エンティティ要素グループを得る。Ｋは１以上の整数であり、Ｎ個の第１のエンティティ要素グループに従って、ＤＮＳシステムの所定のカテゴリの第１クラスタースコアを決定し、Ｋ個の第２のエンティティ要素グループに従って、ＤＮＳシステムの所定のカテゴリの第２のクラスタースコアを決定する。また、所定のカテゴリの第１のクラスタースコアと、所定のカテゴリの第２のクラスタースコアに基づいて、ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定する。

【0134】

任意選択的に、プロセッサは、前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得する。ここでＮは１以上Ｍ以下の整数である。Ｍ個のドメインネームの属性情報の差異がプリセットされた属性閾値より小さいドメインネームと、ドメインネームとドメインネームに対応するアソシエーション識別子情報とを第２のエンティティ要素グループに分割し、Ｋ個の第２エンティティ要素グループを得る。Ｋは１以上の整数であり、Ｎ個の第１のエンティティ要素グループに従って、ＤＮＳシステムの所定のカテゴリの第１クラスタースコアを決定し、Ｋ個の第２のエンティティ要素グループに従って、ＤＮＳシステムの所定のカテゴリの第２のクラスタースコアを決定する。また、所定のカテゴリの第１のクラスタースコアと、所定のカテゴリの第２のクラスタースコアに基づいて、ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定する。

【0135】

任意選択的に、プロセッサは、Ｎ個の第１のエンティティ要素グループのそれぞれに含まれるターゲットドメインネームに対応する複数の特徴次元情報の各特徴次元情報を正規化する。前記ターゲットドメインネームは、Ｍ個のドメインネームのいずれかであり、第１のエンティティ要素グループ内のアソシエーション識別子情報に対応する特徴次元情報が決定される。そして、第１のエンティティ要素グループのターゲットドメインネームに対応する正規化された複数の特徴次元情報と、第１のエンティティ要素グループ内のアソシエーション識別子情報に関連する特徴次元情報に従って、ＤＮＳシステムの第１クラスタースコアを決定する。

【0136】

前記Ｋ個の第２のエンティティ要素グループに従って、ＤＮＳシステムの第２のクラスタースコアを決定する場合、Ｋ個の第２エンティティ要素グループのそれぞれに含まれるドメインネームに対応する複数の特徴次元情報の各特徴次元情報を正規化し、前記第２エンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定する。第２エンティティ要素グループのドメインネームに対応する正規化された複数の特徴次元情報の各特徴次元情報と、第２エンティティ要素グループのアソシエーション識別子情報に対応する特徴次元情報に従って、ＤＮＳシステムの第２クラスタースコアを決定する。

【0137】

任意選択的に、プロセッサは、ターゲットドメインネームに対応する所定のカテゴリの複数の各特徴次元情報を正規化されていることを含む。ターゲットドメインネームはＭ個のドメインネームのいずれかであり、ターゲットドメインネームに対応する所定のカテゴリの正規化された複数の特徴次元情報に基づいて、ＤＮＳシステムのプリセットの個別スコアが決定される。ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアとＤＮＳシステムの所定のカテゴリの各カテゴリの個別スコアとに基づいてＤＮＳシステムの総合システムスコアを決定する。

【0138】

任意選択的に、前記所定のカテゴリは、悪意度、人気度又は異常度を含み、前記プロセッサは、ＤＮＳシステムの悪意度度のクラスタースコアとＤＮＳシステムの悪意度の個別スコアに基づいて、ＤＮＳシステムの悪意度度のシステムスコアを決定するステップと、ＤＮＳシステムの人気度のクラスタースコア及びＤＮＳシステムの人気度の個別スコアに基づいて、ＤＮＳシステムの人気度のシステムスコアを決定する。ＤＮＳシステムの人気度のクラスタースコア及びＤＮＳシステムの人気度の個別スコアに基づいて、ＤＮＳシステムの人気度のシステムスコアを決定するステップと。ＤＮＳシステムの異常度のクラスタースコア及びＤＮＳシステムの異常度の個別スコアに基づいて、ＤＮＳシステムの異常度のシステムスコアを決定するステップを含む。またＤＮＳシステムの悪意度のシステムスコア、人気度のシステムスコアと異常度のシステムスコアに基づいて、ＤＮＳシステムの総合システムスコアを決定する。

【0139】

以上のことから、本発明の実施形態では、Ｍ個のドメインネームとＭ個のドメインネームのそれぞれに対応する所定のカテゴリのそれぞれのカテゴリの複数の特徴次元情報に基づいて評価するため、ＤＮＳ評価では、評価基準の特徴次元が追加され、ＤＮＳ評価の精度が向上し、さらに、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいてＤＮＳシステムの総合システムスコアが決定されるため、ＤＮＳ評価の精度がさらに向上する。

【0140】

当業者であれば、本発明の実施形態は、方法、システム、又はコンピュータプログラム製品として提供されることを理解できるであろう。従って、本発明の実施形態は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態、又はソフトウェアとハードウェアの組み合わせの形態であってもよい。さらに、本発明の実施形態は、コンピュータ使用可能プログラムコードを含む１つ又は複数のコンピュータ使用可能な記憶媒体（ディスク記憶装置、ＣＤ−ＲＯＭ、光学記憶装置などを含むが、これに限定されない）上で実施されるコンピュータプログラム製品の形態をとってもよい。

【0141】

本発明の実施形態は、本発明の実施形態による方法、装置（システム）、及びコンピュータプログラム製品のフローチャート図及び／又はブロック図を参照して説明される。

【0142】

フローチャートは、コンピュータプログラム命令によって実施することができ、フローチャート及び／又はブロック図の各フロー及び／又はブロック、及びフローチャート及び／又はブロック図のフロー及び／又はブロックの結合は、コンピュータプログラム命令によって実施できることが理解される。これらのコンピュータプログラム命令は、汎用コンピュータ、専用コンピュータ、組み込みプロセッサ、又は他のプログラマブルデータ処理装置のプロセッサに提供し機械を製造する。こうしてコンピュータ又は他のプログラムデータ処理装置のプロセッサによって実行される命令は、フローチャートの１つ又は複数のブロック又はフローチャートのブロックに指定された機能のデバイスに実装する。

【0143】

これらのコンピュータプログラム命令は、コンピュータ又は他のプログラマブルデータ処理装置を特定の方法で動作させることができるコンピュータ可読メモリに格納することもできる。こうして該当コンピュータ可読メモリに格納された命令は、命令装置を含む製品を製造させ、命令装置は、フローの１つ又は複数のブロック、又はフローチャートのフロー図及び／又はブロック図に指定された機能を実装する。

【0144】

これらのコンピュータプログラム命令は、コンピュータ又は他のプログラム可能なデータ処理装置にロードされて、コンピュータ又は他のプログラム可能な装置上で実行されるコンピュータ実装の処理を生成させ、コンピュータ又は他のプログラマブルデバイス上で実行される命令は、フローの１つ又は複数のブロック、又はフローチャートのフロー図及び／又はブロック図に指定された機能を実装するステップに用いる。

【0145】

当業者であれば、本発明の精神及び範囲から逸脱することなく、本発明の実施形態に対して様々な変更及び変形を行うことができることは明らかである。従って、本発明は、本発明の実施形態の修正及び変形を包含することが意図される。

【図1】

【図2】

【図3】

【図4】

【図5】

【手続補正書】

【提出日】2019年10月1日

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

ＤＮＳトラフィックログに基づいて、ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報を決定するステップと、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を決定するステップと、
前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又は前記Ｍ個のドメインネームの各ドメインネームの属性情報に基づいて、及び前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報に基づき、ＤＮＳシステムの各所定のカテゴリ中のカテゴリごとのクラスタースコアを決定するステップと、
ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに従って、前記ＤＮＳシステムの総合システムスコアを決定するステップとを備え、
前記Ｍは１以上の整数であり、
前記アソシエーション識別子情報はＩＰアドレス及び／又はアイデンティティ情報を含むことを特徴とするドメインネームシステム（ＤＮＳ）の評価方法。

【請求項2】

前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又は前記Ｍ個のドメインネームの各ドメインネームの属性情報、及び前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報に基づいて、ＤＮＳシステムの各所定のカテゴリ中のカテゴリごとのクラスタースコアを決定するステップでは、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得し、前記Ｎ個の第１のエンティティ要素グループ及び前記特徴次元情報に従って、ＤＮＳシステムの所定のカテゴリの第１クラスタースコアを決定し、Ｎは１以上Ｍ以下の整数であり、
前記Ｍ個のドメインネームの属性情報の差異が所定の属性閾値より小さいドメインネームと前記ドメインネームに関連するアソシエーション識別子情報とを第２のエンティティ要素グループに分割し、Ｋ個の第２のエンティティ要素グループを取得し、前記Ｋ個の第２のエンティティ要素グループ及び前記特徴次元情報に従って、ＤＮＳシステムの所定のカテゴリの第２のクラスタースコアを決定し、Ｋは１以上の整数であり、
また、所定のカテゴリの第１のクラスタースコアと、所定のカテゴリの第２のクラスタースコアとに基づいて、前記ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定することを特徴とする請求項１に記載のドメインネームシステム（ＤＮＳ）の評価方法。

【請求項3】

前記Ｎ個の第１のエンティティ要素グループ及び前記特徴次元情報に従って、ＤＮＳシステムの第１のクラスタースコアを決定するステップでは、
前記Ｎ個の第１のエンティティ要素グループのそれぞれの第１のエンティティ要素グループに対し、
前記第１のエンティティ要素グループに含まれるターゲットドメインネームに対応する複数の特徴次元情報のそれぞれを正規化し、前記ターゲットドメインネームは、前記Ｍ個のドメインネームのいずれかであり、
前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定するステップと、
前記第１のエンティティ要素グループのターゲットドメインネームに対応する正規化された前記複数の特徴次元情報の各特徴次元情報と、前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの前記第１のクラスタースコアを決定し、
前記Ｋ個の第２のエンティティ要素グループ及び前記特徴次元情報に従って、前記ＤＮＳシステムの第２のクラスタースコアを決定するステップでは、
前記Ｋ個の第２のエンティティ要素グループのそれぞれに対し、
前記第２のエンティティ要素グループに含まれるドメインネームに対応する複数の属性情報の各属性情報を正規化し、
前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定し、
前記第２のエンティティ要素グループのドメインネームに対応する正規化された前記複数の属性情報の各属性情報と、前記第２のエンティティ要素グループ内のアソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの前記第２のクラスタースコアを決定することを特徴とする請求項１に記載のドメインネームシステム（ＤＮＳ）の評価方法。

【請求項4】

【請求項5】

【請求項6】

プロセッサと、メモリと、バスインターフェースとを備え、前記プロセッサと、前記メモリと、トランシーバとの間に、バスによって接続されており、
前記プロセッサは、前記メモリ内のプログラムを読み取り、
前記ＤＮＳトラフィックログに基づいて、ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報を決定し、前記Ｍは１以上の整数であり、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を決定し、前記アソシエーション識別子情報はＩＰアドレス及び／又はアイデンティティ情報を含み、前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又は前記Ｍ個ドメインネームの各ドメインネームの属性情報に基づいて、及び前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報に基づき、前記ＤＮＳシステムの各所定のカテゴリのカテゴリごとのクラスタースコアを決定し、
前記ＤＮＳシステムの前記所定のカテゴリのカテゴリごとのクラスタースコアに基づいて前記ＤＮＳシステムの総合システムスコアを決定し、
前記メモリは、１つ又は複数の実行可能プログラムを格納するように構成され、動作を実行するときにプロセッサによって使用されるデータを格納することができることを特徴とする電子デバイス。

【請求項7】

前記プロセッサは、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得し、前記Ｎは、１以上Ｍ以下の整数であり、前記Ｍ個のドメインネームの属性情報の差異が所定の属性閾値よりも小さいドメインネームと、前記ドメインネームに関連するアソシエーション識別子情報を１つの第２のエンティティ要素グループに分割し、Ｋ個の第２のエンティティ要素グループを取得し、
前記Ｎ個の第１のエンティティ要素グループ及び前記特徴次元情報に従って、前記ＤＮＳシステムの所定のカテゴリの第１のクラスタースコアを決定し、前記Ｋ個の第２のエンティティ要素グループ及び前記特徴次元情報に従って、前記ＤＮＳシステムの所定のカテゴリの第２のクラスタースコアを決定し、
前記Ｋは１以上の整数であり、前記所定のカテゴリの第１クラスタースコアと、前記所定のカテゴリの第２クラスタースコアに基づいて、前記ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定することを特徴とする請求項６に記載の電子デバイス。

【請求項8】

前記プロセッサは、
前記Ｎ個の第１のエンティティ要素グループのそれぞれについ、前記第１のエンティティ要素グループに含まれるターゲットドメインネームに対応する複数の特徴次元情報の各特徴次元情報に対して正規化し、前記ターゲットドメインネームが前記Ｍ個のドメインネームのいずれかであり、前記第１のエンティティ要素グループ内のアソシエーション識別子情報に対応する特徴次元情報を決定し、
前記第１のエンティティ要素グループのターゲットドメインネームに対応する正規化された複数の特徴次元情報の各特徴次元情報と、前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴アイデンティティ情報に基づいて、前記ＤＮＳシステムの第１クラスタースコアを決定し、
前記Ｋ個の第２のエンティティ要素グループのそれぞれに含まれるドメインネームに対応する複数の特徴次元情報の各特徴次元情報を正規化し、前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定し、前記第２のエンティティ要素グループのドメインネームに対応する正規化された複数の特徴次元情報の各特徴、及び前記第２のエンティティ要素グループのアソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの第２クラスタースコアを決定することを特徴とする請求項６に記載の電子デバイス。

【請求項9】

【請求項10】

【請求項11】

【請求項12】

【手続補正2】

【補正対象書類名】明細書

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、ネットワークセキュリティの分野に関し、特に、ＤＮＳを評価するための方法及び装置に関する。

【背景技術】

【0002】

【0003】

ネットワーク通信では、ＩＰサーバーへのアクセスは、ＩＰアドレスを使用する必要があるが、ＩＰアドレスは覚えにくいため、通常はサーバーへアクセスする際にドメインネームが入力され、ドメインネームを対応するＩＰアドレスに転換する必要がある。クライアント・サーバーがドメインネームに対応するＩＰアドレスを取得した後、クライアント・サーバーは、そのドメインネームに対応するサーバーにアクセスすることができ、ドメインネームからＩＰアドレスへのマッピング関係はドメインネームシステムによって実行される。

【0004】

ドメインネームサービス（ＤｏｍａｉｎＮａｍｅＳｅｒｖｉｃｅ，ＤＮＳ）は、インターネット上のドメインネームとＩＰアドレスの間でマッピングするための分散型データベースである。ドメインネームサービスシステムは、ＩＰアドレスマッピングの問題を解決するだけでなく、様々なアプリケーションやネットワーク構築の基礎となり、インターネット全体の可用性に関係しているので、ＤＮＳ自体のセキュリティは非常に重要である。実際の使用では、ハッカーが、コンピュータやルータのＤＮＳ設定を改ざんし、通常のネットワークアドレスをフィッシングウェブサイト又はハッカーによって制御されているホストに転送することで、ユーザーからお金を奪ったり、プライバシーを侵害したりする。る。悪意度のあるＤＮＳは非常に有害であるため、ユーザーの財産が失われる可能性があり、さらにＷｅｂサイトやネットワークさえも破壊される可能性がある。

【0005】

【0006】

要約すると、ＤＮＳを評価する精度を改善するためにＤＮＳを評価するための解決策を提供することが非常に望ましい。

【発明の概要】

【発明が解決しようとする課題】

【0007】

本発明の実施形態は、ＤＮＳ評価の精度を向上させるためにＤＮＳの評価方法及び装置を提供する。

【課題を解決するための手段】

【0008】

第１の態様によれば、本発明の実施形態に係るＤＮＳの評価方法は、
ＤＮＳトラフィックログに基づいて、ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報を決定するステップと、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を決定するステップと、
前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又は前記Ｍ個のドメインネームの各ドメインネームの属性情報に基づいて、及び前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報に基づき、ＤＮＳシステムの各所定のカテゴリ中のカテゴリごとのクラスタースコアを決定するステップと、
ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに従って、前記ＤＮＳシステムの総合システムスコアを決定するステップとを備え、前記Ｍは１以上の整数であり、前記アソシエーション識別子情報はＩＰアドレス及び／又はアイデンティティ情報を含む。

【0009】

【0010】

任意選択的に、
前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又は前記Ｍ個のドメインネームの各ドメインネームの属性情報に基づいて、及び前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報に基づき、ＤＮＳシステムの各所定のカテゴリ中のカテゴリごとのクラスタースコアを決定するステップでは、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得し、前記Ｎ個の第１のエンティティ要素グループ及び前記特徴次元情報に従って、ＤＮＳシステムの所定のカテゴリの第１クラスタースコアを決定し、Ｎは１以上Ｍ以下の整数であり、
前記Ｍ個のドメインネームの属性情報の差異が所定の属性閾値より小さいドメインネームと前記ドメインネームに関連するアソシエーション識別子情報とを第２のエンティティ要素グループに分割し、Ｋ個の第２のエンティティ要素グループを取得し、前記Ｋ個の第２のエンティティ要素グループ及び前記特徴次元情報によって、ＤＮＳシステムの所定のカテゴリの第２のクラスタースコアを決定し、Ｋは１以上の整数であり、
また、所定のカテゴリの第１のクラスタースコアと、所定のカテゴリの第２のクラスタースコアとに基づいて、前記ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定する。

【0011】

任意選択的に、
前記Ｎ個の第１のエンティティ要素グループ及び前記特徴次元情報に従って、ＤＮＳシステムの第１のクラスタースコアを決定するステップでは、
前記Ｎ個の第１のエンティティ要素グループのそれぞれの第１のエンティティ要素グループに対し、
前記第１のエンティティ要素グループに含まれるターゲットドメインネームに対応する複数の特徴次元情報のそれぞれを正規化し、前記ターゲットドメインネームは、前記Ｍ個のドメインネームのいずれかであり、
前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定するステップと、
前記第１のエンティティ要素グループのターゲットドメインネームに対応する正規化された前記複数の特徴次元情報の各特徴次元情報と、前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの前記第１のクラスタースコアを決定し、
前記Ｋ個の第２のエンティティ要素グループ及び前記特徴次元情報に従って、前記ＤＮＳシステムの第２のクラスタースコアを決定するステップでは、
前記Ｋ個の第２のエンティティ要素グループのそれぞれに対し、
前記第２のエンティティ要素グループに含まれるドメインネームに対応する複数の属性情報の各属性情報を正規化し、
前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定し、
前記第２のエンティティ要素グループのドメインネームに対応する正規化された前記複数の属性情報の各属性情報と、前記第２のエンティティ要素グループ内のアソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの前記第２のクラスタースコアを決定する。

【0012】

【0013】

【0014】

第２の態様によれば、ＤＮＳトラフィックログに基づいて、ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報を決定し、前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を決定し、前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又はＭ個のドメインネームの各ドメインネームの属性情報に基づいて、及び前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報に基づき、前記ＤＮＳシステムの各所定のカテゴリのクラスタースコアを決定するための決定ユニットと、前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいて、ＤＮＳシステムの総合システムスコアを決定するためのスコアリングユニットとを備え、前記Ｍは、１以上の整数であり、前記アソシエーション識別子情報は、ＩＰアドレス及び／又はアイデンティティ情報を含む。

【0015】

任意選択的に、前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を、第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得し、Ｎは、１以上Ｍ以下の整数であり、Ｍ個のドメインネームの属性情報の差異が所定の属性閾値よりも小さいドメインネームと、前記ドメインネームに関連するアソシエーション識別子情報を第２のエンティティ要素グループに分割し、Ｋ個の第２のエンティティ要素グループを取得し、
前記スコアリングユニットは、前記Ｎ個の第１のエンティティ要素グループ及び前記特徴次元情報に従って、前記ＤＮＳシステムの所定のカテゴリの第１のクラスタースコアを決定し、前記Ｋ個の第２のエンティティ要素グループ及び前記特徴次元情報に従って、前記ＤＮＳシステムの所定のカテゴリを決定し、前記Ｋは１以上の整数であり、前記所定のカテゴリの第１クラスタースコア及び前記所定のカテゴリの第２クラスタースコアに従って、前記ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定する。

【0016】

及び
任意選択的に、前記スコアリングユニットは、
前記Ｎ個の第１のエンティティ要素グループのそれぞれについて、前記第１のエンティティ要素グループに含まれるターゲットドメインネームに対応する複数の特徴次元情報の各特徴次元情報に対して正規化し、前記ターゲットドメインネームは、前記Ｍ個のドメインネームのいずれかであり、前記第１のエンティティ要素グループ内の前記関連アソシエーション情報に対応する特徴次元情報を決定し、
前記第１のエンティティ要素グループのターゲットドメインネームに対応する正規化された複数の特徴次元情報の各特徴次元情報と、前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報に基づいて、ＤＮＳシステムの第一クラスタースコアを決定すし、
前記Ｋ個の第２のエンティティ要素グループのそれぞれに含まれる前記ドメインネームに対応する複数の特徴次元情報の各特徴次元情報を正規化し、前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応するフィーチャ次元情報を決定し、
前記第２のエンティティ要素グループのドメインネームに対応する正規化された複数の特徴次元情報の各特徴次元情報と、前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの前記第２のクラスタースコアを決定する。

【0017】

【0018】

【0019】

第３の態様によれば、本発明の実施形態に係る電子デバイスは、プロセッサと、メモリと、バスインターフェースとを備え、前記プロセッサと、前記メモリと、トランシーバとの間に、バスによって接続されており、
前記プロセッサは、前記メモリ内のプログラムを読み取り、
前記ＤＮＳトラフィックログに基づいて、ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報を決定し、前記Ｍは１以上の整数であり、
前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を決定し、前記アソシエーション識別子情報はＩＰアドレス及び／又はアイデンティティ情報を含み、前記Ｍ個のドメインネームそれぞれとアソシエーション識別子情報との関連付け、又は前記Ｍ個ドメインネームの各ドメインネームの属性情報に基づいて、及び前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報に基づき、前記ＤＮＳシステムの各所定のカテゴリのカテゴリごとのクラスタースコアを決定し、
前記ＤＮＳシステムの前記所定のカテゴリのカテゴリごとのクラスタースコアに基づいて前記ＤＮＳシステムの総合システムスコアを決定し、
前記メモリは、１つ又は複数の実行可能プログラムを格納するように構成され、動作を実行するときにプロセッサによって使用されるデータを格納することができること。

【0020】

【0021】

【発明の効果】

【0022】

【0023】

本発明の実施形態における技術的解決策をより明確に説明するために、以下では、実施形態の説明で使用される図面について簡単に説明する。

【図面の簡単な説明】

【0024】

【図1】本発明の実施形態に係る通信システムのアーキテクチャの概略図である。

【図2】本発明の実施形態に係るＤＮＳを評価するための方法の概略フローチャートである。

【図3】本発明の実施形態に係るドメインネームと、ＩＰアドレスと、電子メールアドレスとの間の関連つけを示すサブグラフである。

【図4】本発明の実施形態に係るＤＮＳ評価装置の概略構成図である。

【図5】本発明の実施形態に係る電子デバイスの概略構成図である。

【発明を実施するための形態】

【0025】

【0026】

【0027】

図１は、本発明の実施形態に係る通信システムアーキテクチャの概略図である。図１に示すように、当該システムアーキテクチャは、クライアント１０１、ローカルドメインネームサーバー１０２、ドメインネームサーバー１０３、及びドメインネームサーバー１０４を含むことができる。クライアントとドメインネームサーバーは、無線又は有線又はその他の手段で接続されている。

【0028】

各クライアントは、ユーザーにより入力されたドメインネーム解析要求を受信するように構成され、クライアント１０１は、受信したドメインネーム解析要求をローカルドメインネームサーバー１０２に送る。ローカルドメインネームサーバー１０２がドメインネームを解析できる場合、ローカルドメインネームサーバー１０２は結果をクライアントに直接返す。ローカルドメインネームサーバー１０２がドメインネームを解析できない場合、ローカルドメインネームサーバー１０２は、上位ドメインネームサーバー１０３にドメインネーム解析要求を送信する。ドメインネームサーバー１０３が解析できる場合、解析結果をクライアントに送信する。ドメインネームサーバー１０３が解析できない場合、ドメインネーム解析要求はより上位のドメインネームサーバー１０４に送信され、このように、ドメインネームのＩＰアドレスが解析されるまで続く。

【0029】

【0030】

ドメインネームフィールドと値フィールドは、解析されたコンテンツと解析結果のそれぞれを表すために使用される。タイプフィールドは値のタイプを示す。タイプＡは、値フィールドがＩＰアドレス、つまりユーザーが希望する最終的な回答であり、タイプはネームサーバー（ＮａｍｅＳｅｒｖｅｒ、略してＮＳ）であり、値フィールドは別のドメインネームサーバーのドメインネームであることを表す。前記メインネームサーバーは、ドメインネームフィールドで示されたドメインネームを解析する方法を知ることができる。エイリアスレコード（ＣＮＡＭＥ）であるタイプは、値フィールドがドメインネームで示されたホストのエイリアスであることを表す。メールＭＸ（ＭａｉｌＥｘｃｈａｎｇｅｒ）であるタイプは、値フィールドが、メールサーバーのドメインネームであることを表す。メールサーバーは、ドメインネームフィールドで示されたドメインのメールを受信する。タイプＰＴＲは、ドメインネームの逆解析などに使用される。カテゴリフィールドでは、追加のレコードタイプを指定できる。存続時間フィールドは、リソースレコードの有効期間を示すために使用される。

【0031】

【0032】

【0033】

【0034】

【0035】

ステップＳ２０３において、Ｍ個のドメインネームとアソシエーション識別子情報との関連つけ、又はＭ個のドメインネームの各ドメインネームの属性情報に従って、及び前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報に基づき、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアを決定する。

【0036】

【0037】

【0038】

任意選択的に、本発明の実施形態では、ステップＳ２０１の前に、所定期間内にＤＮＳトラフィックログを取得する。

【0039】

【0040】

ＤＮＳ要求メッセージの解析ログ及びＤＮＳ応答メッセージの解析ログには、ホスト（Ａｄｄｒｅｓｓ，Ａとして略称する）レコード、ＡＡＡＡレコード、ＮＳレコード、ＣＮＡＭＥレコードなど、ＤＮＳのリソースレコードが含まれる。ここで、Ａレコードはドメインネーム解析の重要な記録であり、特定のホスト名を対応するホストのＩＰアドレスにマッピングするために使用される。ＮＳはＤＮＳエリアを担当する権限ネームサーバーを指定する。ＣＮＡＭＥレコードは、ＤＮＳサーバーによってドメインネームが解析されることを指定するために使用されるドメインネームサーバーレコードである。

【0041】

【0042】

【0043】

【0044】

【0045】

【0046】

任意選択的に、本発明の実施形態では、Ｍ個のドメインネームのそれぞれのドメインネームとアソシエーション識別子情報との関連つけ、又はＭ個のドメインネームの各ドメインネームの属性情報に基づいて、ＤＮＳシステムのクラスタースコアを決定する。本方法は、Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得する。Ｎ個の第１のエンティティ要素グループ及び前記特徴次元情報に従って、前記ＤＮＳシステムの所定のカテゴリの第１のクラスタースコアを決定する。前記Ｍ個のドメインネームの属性情報の差異が所定の属性閾値より小さいドメインネームと前記ドメインネームに関連するアソシエーション識別子情報を第２のエンティティ要素グループに分割し、Ｋ個の第２のエンティティ要素グループを取得する。前記Ｋ個の第２のエンティティ要素グループに従って、ＤＮＳシステムの所定のカテゴリの第２のクラスタースコアを決定する。所定のカテゴリの第１のクラスタースコア、及び所定のカテゴリの第２のクラスタに従って、ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定することが含まれる。

【0047】

【0048】

【0049】

ドメインネームとアイデンティティ情報との関連付けは、アイデンティティ情報データベースから取得され、アイデンティティ情報は、Ｗｈｏｉｓ情報であってもよい。Ｗｈｏｉｓは、ドメインネームが登録されているかどうかの照会、及びと登録されているドメインネームの詳細情報、例えばドメインネーム所有者、ドメインネームレジストラ及び他の情報などを照会することができる。アイデンティティ情報には、ＲｅｇｉｓｔｒａｎｔＮａｍｅ、ＲｅｇｉｓｔｒａｎｔＯｒｇａｎｉｚａｔｉｏｎ、ＲｅｇｉｓｔｒａｎｔＥｍａｉｌ、ＡｄｍｉｎＮａｍｅ、ＡｄｍｉｎＯｒｇａｎｉｚａｔｉｏｎ、ＡｄｍｉｎＥｍａｉｌなどが含まれる。本発明の実施形態におけるＤＮＳの評価は、ＤＮＳトラフィックログに基づいているだけでなく、実際のアイデンティティ情報のような現実的な要件も考慮するため、得られたＤＮＳ評価はより正確で実用的である。また、関連付けグルーピング及び属性情報からグルーピングすることにより、手動分析及び検索ワークロードが削減され、ドメインネーム関連におけるクラスタリングの特徴を、関連付けグルーピングによって発見することができる。

【0050】

【0051】

Ｍ個のドメインネームと関連アイデンティティ情報との４種類の関連付けに基づいて、知識マップを構築し、形成された知識マップをＧ（Ｖ、Ｅ）とする。Ｖは知識マップのノードを表し、Ｅは知識マップのエッジを表す。Ｖ＝｛ｖ_ｉ（ＩＤ、値、タイプ、当該ノードの追加属性｝を表し、ｖ_ｉは知識マップ内の任意のノードを表し、ＩＤは知識マップ内のノードによって割り当てられた唯一の番号を表し、１つのノードは複数の集合に属することができる。Ｅ＝｛ｅ_ｉ（ソースノード、ターゲットノード、タイプ、当該エッジの属性集合）、ｅ_ｉは知識マップ内の任意のエッジを表す。知識マップ内の任意のノードｖ_ｉは、４つのタイプの関連付け係のうちのいずれか１つを表し、知識マップ内の各ノードは、２つのデフォルト属性、すなわち、エンティティ要素のタイプ及びエンティティ要素に対応する値を含む。

【0052】

【0053】

【0054】

【0055】

任意選択的に、Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報は、第１のエンティティ要素グループに分割される。

【0056】

【0057】

【0058】

例えば、ドメインネーム、ＩＰアドレス、電子メールアドレスを集約する必要があるとする。

【0059】

まず、（ノード／エッジ）の初期フィルタリング条件を定義ずる。ノードｖｉの初期フィルタリング条件は、ｔｙｐｅ＝ドメインネーム又はｔｙｐｅ＝ＩＰ又はｔｙｐｅ＝ｍａｉｌｂｏｘである。ｅｄｇｅｅｉの初期フィルタ条件はｔｙｐｅ＝ドメインネーム→ＩＰ又はｄｏｍａｉｎｎａｍｅ→ｍａｉｌｂｏｘである。ＤＮＳの解析タイプを以下のように定義する：解析タイプ＝Ａ、又は解析タイプ＝ＡＡＡＡである。

【0060】

【0061】

【0062】

【0063】

【0064】

【表1】

【0065】

【表2】

【0066】

【0067】

表Ａと表Ｂを、ドメインネームを主キーとして右接続させて表Ｃを形成する。

【0068】

【表3】

【0069】

【0070】

【0071】

【0072】

【0073】

【0074】

【0075】

【0076】

【0077】

【0078】

【0079】

【0080】

【0081】

任意選択的に、Ｎ個の第１のエンティティ要素グループ及び前記特徴次元情報に従って、前記ＤＮＳシステムの第１のクラスタースコアを決定する場合、前記Ｎ個の第１のエンティティ要素グループのそれぞれに含まれるターゲットドメインネームに対応する複数の特徴次元情報の各特徴次元を正規化する。前記第１のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定する。前記ターゲットドメインネームは、前記Ｍ個のドメインネームのうちのいずれか１つである。

【0082】

前記第１のエンティティ要素グループのターゲットドメインネームに対応する正規化された前記複数の特徴次元情報の各特徴次元情報と、第１のエンティティ要素グループ内のソシエーション識別子情報に対応する特徴次元情報に基づいて、前記ＤＮＳシステムの第１クラスタースコアを決定する。前記Ｋ個の第２のエンティティ要素グループ及び前記特徴次元情報に従って前記ＤＮＳシステムの第２のクラスタースコアを決定する場合、前記Ｋ個の第２エンティティ要素グループのそれぞれについて含まれるドメインネームに対応する複数の属性情報の各属性情報を正規化し、前記第２のエンティティ要素グループのアソシエーション識別子情報に対応する特徴次元情報を決定し、前記第２のエンティティ要素グループのドメインネームに対応する正規化された複数の属性情報の各属性情報と、第２のエンティティ要素グループのアソシエーション識別子情報に対応する特徴次元情報に従って、前記ＤＮＳシステムの第２クラスタースコアを決定する。

【0083】

【0084】

【0085】

【0086】

【0087】

【数1】

【0088】

式（２）において、ｍ_ｇは第１のエンティティ要素グループの第１クラスタースコアを表し、ｍ_１、ｍ_ｉ、ｍ_ｊは所定のカテゴリの各カテゴリに対応する複数の特徴次元情報を高から低への順番で正規化された複数の特徴次元情報を表し、ｍ_１は複数の特徴次元の最大値を表し、ｍ_ｉ、ｍ_ｊは複数の特徴次元のいずれかを表し、Ｎは全部でＮ個の特徴次元情報を有することを表す。

【0089】

【0090】

【0091】

【0092】

【0093】

【0094】

【0095】

【0096】

【0097】

【0098】

【0099】

【数2】

【0100】

式（３）において、ｍ_ｄは個別スコアを表し、ｍ_１，ｍ_ｉ，ｍ_ｊは予め所定のカテゴリの各カテゴリに対応する複数の特徴次元情報の高いものから低いものへの正規化された複数の特徴次元情報を表す。ｍ_１は複数の特徴次元の最大値を表しｍ_ｉ，ｍ_ｊは複数の特徴次元のいずれかを表し、ＮはＮ個の特徴次元情報の合計を表す。

【0101】

【0102】

任意選択的に、ＤＮＳシステムの所定のカテゴリの個別スコアを決定する際に、外部脅威情報データに基づいて関連情報の特徴次元情報を取得するので、外部脅威情報データの情報源と評価基準が異なることがあり、
１つの関連情報の特徴次元は、複数の情報に対応すること、すなわち、１つの特徴次元は、複数の値に対応することがあるだろう。このとき、特徴次元のすべての情報の中央値又は平均値を求め、求めた中央値又は平均値を特徴次元の特徴次元情報として用いる。

【0103】

【0104】

【0105】

【0106】

【0107】

【0108】

【0109】

【0110】

図４は、本発明の実施形態に係るＤＮＳ評価装置の概略構成図である。

【0111】

【0112】

前記決定ユニットは、前記ＤＮＳトラフィックログに基づいて、前記ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する前記所定のカテゴリ内の各カテゴリの前記複数の特徴次元情報とを決定する前記Ｍは１以上の整数であり、前記Ｍ個のドメインネームのそれぞれに関連する前記アソシエーション識別子情報を決定し、前記アソシエーション識別子情報は、ＩＰアドレス及び／又はアイデンティティ情報を含み、前記Ｍ個のドメインネーム中の各ドメインネームと関連するアイデンティティ情報との関連付け、又はＭ個のドメインネームそれぞれの属性情報に基づいて、及び前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報に基づき、前記ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアを決定する。前記スコアリングユニットは、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいて、ＤＮＳシステムの総合システムスコアを決定する。

【0113】

任意選択的に、前記処理ユニットは、前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得する。ここでＮは１以上Ｍ以下の整数であり、Ｍ個のドメインネームの属性情報の差異がプリセットされた属性閾値より小さいドメインネーム、及びドメインネームに関連するアソシエーション識別子情報を第２のエンティティ要素グループに分割し、Ｋ個の第２エンティティ要素グループを得る。Ｋは１以上の整数である。

【0114】

前記スコアリングユニットは、前記Ｎ個の第１のエンティティ要素グループ及び前記特徴次元情報に従って、前記ＤＮＳシステムの所定のカテゴリの第１クラスタースコアを決定し、Ｋ個の第２のエンティティ要素グループ及び前記特徴次元情報に従って、前記ＤＮＳシステムの所定のカテゴリの第２のクラスタースコアを決定する。また、前記所定のカテゴリの第１のクラスタースコアと、所定のカテゴリの第２のクラスタースコアに基づいて、ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定する。

【0115】

【0116】

前記Ｋ個の第２のエンティティ要素グループのそれぞれについて、前記第２のエンティティ要素グループに含まれる前記ドメインネームに対応する複数の特徴次元情報の各特徴次元情報を正規化し、前記第２のエンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定する。前記第２のエンティティ要素グループのドメインネームに対応する正規化された複数の特徴次元情報における各特徴次元情報と第２のエンティティ要素グループ内のアソシエーション識別子情報に対応する特徴次元情報に従って、ＤＮＳシステムの第２のクラスタースコアを決定する。

【0117】

【0118】

【0119】

【0120】

同じ発明思想に基づいて、本出願は、上述したバックグラウンドシステム側の方法のフローを実行するために使用できる電子デバイスを提供する。

【0121】

【0122】

【0123】

メモリ５０２は、以下の要素、実行可能モジュールもしくはデータ構造、又はそれらのサブセットもしくは拡張セットを格納する。

【0124】

操作指示：各種操作を実行するための各種操作指示を含む。

【0125】

【0126】

【0127】

【0128】

バスインターフェース５０３は、有線通信インターフェース、無線通信インターフェース、又はそれらの組み合わせであってもよい。ここで、有線通信インターフェースは、例えば、イーサネット（登録商標）インターフェースであり得る。イーサネット（登録商標）インターフェイスは、光インターフェース、電気インターフェース、又はそれらの組み合わせとすることができる。無線通信インターフェースは、ＷＬＡＮインターフェースとすることができる。

【0129】

【0130】

プロセッサ５０１は、メモリ５０２内のプログラムを読み出し、以下の方法を実行するように構成される。ＤＮＳトラフィックログに基づいて、前記ＤＮＳシステムにおけるＭ個のドメインネームと、前記Ｍ個のドメインネームのそれぞれに対応する前記所定のカテゴリ内の各カテゴリの前記複数の特徴次元情報を決定する。前記Ｍは１以上の整数であり、前記Ｍ個のドメインネームのそれぞれに関連する前記アソシエーション識別子情報が決定され、前記アソシエーション識別子情報は、ＩＰアドレス及び／又はアイデンティティ情報を含み、前記Ｍ個のドメインネーム中の各ドメインネームと関連するアイデンティティ情報との対応関係、又はＭ個のドメインネームそれぞれの属性情報に基づいて、及び前記Ｍ個のドメインネームのそれぞれに対応する所定のカテゴリ内の各カテゴリの複数の特徴次元情報に基づき、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアを決定するステップと、ＤＮＳシステムの所定のカテゴリのカテゴリごとのクラスタースコアに基づいて、ＤＮＳシステムの総合システムスコアを決定する。

【0131】

【0132】

任意選択的に、プロセッサは、前記Ｍ個のドメインネームのそれぞれに関連するアソシエーション識別子情報を第１のエンティティ要素グループに分割し、Ｎ個の第１のエンティティ要素グループを取得する。ここでＮは１以上Ｍ以下の整数である。前記Ｍ個のドメインネームの属性情報の差異がプリセットされた属性閾値より小さいドメインネームと、ドメインネームとドメインネームに対応するアソシエーション識別子情報とを第２のエンティティ要素グループに分割し、Ｋ個の第２エンティティ要素グループを得る。Ｋは１以上の整数であり、Ｎ個の第１のエンティティ要素グループ及び前記特徴次元情報に従って、ＤＮＳシステムの所定のカテゴリの第１クラスタースコアを決定し、Ｋ個の第２のエンティティ要素グループ及び前記特徴次元情報に従って、ＤＮＳシステムの所定のカテゴリの第２のクラスタースコアを決定する。また、所定のカテゴリの第１のクラスタースコアと、所定のカテゴリの第２のクラスタースコアに基づいて、ＤＮＳシステムの所定のカテゴリのクラスタースコアを決定する。

【0133】

【0134】

【0135】

Ｋ個の第２エンティティ要素グループのそれぞれに含まれるドメインネームに対応する複数の特徴次元情報の各特徴次元情報を正規化し、前記第２エンティティ要素グループ内の前記アソシエーション識別子情報に対応する特徴次元情報を決定する。第２エンティティ要素グループのドメインネームに対応する正規化された複数の特徴次元情報の各特徴次元情報と、第２エンティティ要素グループのアソシエーション識別子情報に対応する特徴次元情報に従って、ＤＮＳシステムの第２クラスタースコアを決定する。

【0136】

【0137】

【0138】

【0139】

【0140】

【0141】

【0142】

【0143】

これらのコンピュータプログラム命令は、コンピュータ又は他のプログラム可能なデータ処理装置にロードされて、コンピュータ又は他のプログラム可能な装置上で実行されるコンピュータ実装の処理を生成させ、
コンピュータ又は他のプログラマブルデバイス上で実行される命令は、フローの１つ又は複数のブロック、又はフローチャートのフロー図及び／又はブロック図に指定された機能を実装するステップに用いる。

【0144】

【手続補正3】

【補正対象書類名】図面

【補正対象項目名】図２

【補正方法】変更

【補正の内容】

【図2】

【国際調査報告】

知財求人

知財求人お知らせサービス

知財のニュースを調べる
- 知財ニュース
- 知財周辺ニュース
企業の特許を調べる
知財のセミナーを調べる
知財,特許事務所への求職・転職
特許事務所をさがす
弁理士試験を受ける
- 年の弁理士試験情報
- 弁理士試験の合格率など統計
知財の法律をしらべる
期限日をしらべる
- 今日に対して意見書・補正書の期限
- 今日に対して審査請求期限日
知財の判決をしらべる
コンテンツ・リンク
運営会社
プレスの皆様へ
- お問い合わせ
ユーザーの皆様
- お問い合わせ・フィードバック
広告掲載を希望の皆様へ
- 広告掲載について
- 求人広告の掲載について

特表2020-516187(P2020-516187A)IP Force 特許公報掲載プロジェクト 2022.1.31 β版