通信ネットワーク監視システム
【課題】簡易な手法で悪性ホストを検出する。
【解決手段】ＤＮＳ（Domain Name System）サーバ３０から、端末装置を特定する第１の情報および第２の情報を受信する受信部１１ａと、前記受信した第１の情報および第２の情報をデータベースに格納する格納部１１ｂと、前記第１の情報に対応する前記第２の情報の数を算出し、前記第２の情報の数を予め定められた第１の閾値と比較し、前記第２の情報の数が前記第１の閾値よりも大きいときは、前記第２の情報の平均生存期間を算定し、前記平均生存期間を予め定められた第２の閾値と比較する判定部１３ａと、前記判定結果を、判定要求を行なった端末装置を送信する送信部と、を備え、前記判定部１３ａは、前記平均生存期間が前記第２の閾値よりも小さい場合は、前記第１の情報および前記第２の情報で特定されるホストを悪性と判定する。
【解決手段】ＤＮＳ（Domain Name System）サーバ３０から、端末装置を特定する第１の情報および第２の情報を受信する受信部１１ａと、前記受信した第１の情報および第２の情報をデータベースに格納する格納部１１ｂと、前記第１の情報に対応する前記第２の情報の数を算出し、前記第２の情報の数を予め定められた第１の閾値と比較し、前記第２の情報の数が前記第１の閾値よりも大きいときは、前記第２の情報の平均生存期間を算定し、前記平均生存期間を予め定められた第２の閾値と比較する判定部１３ａと、前記判定結果を、判定要求を行なった端末装置を送信する送信部と、を備え、前記判定部１３ａは、前記平均生存期間が前記第２の閾値よりも小さい場合は、前記第１の情報および前記第２の情報で特定されるホストを悪性と判定する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークに接続された端末装置に対して、マルウェアを含む反社会的なプログラムを提供する悪性ホストを検出する通信ネットワーク監視システムに関する。
【背景技術】
【０００２】
近時、Ｗｅｂ（World wide web）を経由したマルウェア（malware）の感染が拡大しており、大きな社会問題となっている。このマルウェアとは、コンピューターウイルスをはじめとする有害なソフトウェアの総称のことである。例えば、悪意を持って作られたソフトウェア、ワーム、スパイウェアなどに加え、初めから犯罪目的で作られたクライムウェアなども含まれる。この問題の対策として、マルウェアの配布などを行なう悪性のＷｅｂサイトをリスト化し、ユーザが誤ってその悪性のＷｅｂサイトにアクセスしないように制限を設ける対策が有望視されている。
【０００３】
マルウェアの配布などを行なう悪性ホストを検出する技術として、次のようなものが存在する。まず、パターンマッチングによりマルウェアを検出する技術がある。この技術では、Ｗｅｂサイトからダウンロードされたコンテンツについて、パターンマッチングを行ない、マルウェアの検出を行なう。そして、マルウェアが検出されたホストを悪性ホストと判定する。次に、挙動解析によりマルウェアを検出する技術がある。この技術では、Ｗｅｂサイトからダウンロードされるコンテンツについて、検証用に設置されたシステムでその挙動を監視し、不正なファイルやプロセス、レジストリ情報などの作成、変更などを検出することによって、対象となるホストを判定する。さらに、Ｗｅｂサイトを巡回する手法がある。この手法では、Ｗｅｂサイトを自動的に巡回し、コンテンツを収集し、上記のいずれかの手法を用いて悪性ホストの判定を行なうものである。また、例えば、特許文献１には、ＤＮＳ（Domain Name System）の偽装をするトロイの木馬プログラムを検出するシステムが開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特表２００８−５３２１３３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、最近のマルウェアは短期間に大量に亜種が作られるため、パターンの作成が追いつかないことが多い。このため、パターンマッチングによりマルウェアを検出する手法では限界がある。挙動解析によりマルウェアを検出する手法では、ＯＳ（Operating System）やソフトウェアの環境によっては検出できないマルウェアが多く、この手法にも限界がある。Ｗｅｂサイトを巡回する手法では、大量のリソースを使うと共に、多くの時間を要するため、すべてのＷｅｂサイトを網羅することは困難である。また、悪性のＷｅｂサイトの中には、ある端末装置から一度アクセスされると、それ以降は、同じ端末装置からアクセスがあっても、無害なコンテンツを返すようなアクセス制限機能を具備したものもあるため、正しく悪性判定を行なうことが困難となっている。
【０００６】
本発明は、このような事情に鑑みてなされたものであり、簡易な手法で悪性ホストを検出することができる通信ネットワーク監視システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
（１）上記の目的を達成するために、本発明は、以下のような手段を講じた。すなわち、本発明の通信ネットワーク監視システムは、通信ネットワークに接続された端末装置に対して、マルウェアを含む反社会的なプログラムを提供する悪性ホストを検出する通信ネットワーク監視システムであって、ＤＮＳ（Domain Name System）サーバから、端末装置を特定する第１の情報および第２の情報を受信する受信部と、前記受信した第１の情報および第２の情報をデータベースに格納する格納部と、前記第１の情報に対応する前記第２の情報の数を算出し、前記第２の情報の数を予め定められた第１の閾値と比較し、前記第２の情報の数が前記第１の閾値よりも大きいときは、前記第２の情報の平均生存期間を算定し、前記平均生存期間を予め定められた第２の閾値と比較する判定部と、前記判定結果を、判定要求を行なった端末装置を送信する送信部と、を備え、前記判定部は、前記平均生存期間が前記第２の閾値よりも小さい場合は、前記第１の情報および前記第２の情報で特定されるホストを悪性と判定することを特徴とする。
【０００８】
このように、第１の情報に対応する第２の情報の数を算出し、第２の情報の数を予め定められた第１の閾値と比較し、第２の情報の数が第１の閾値よりも大きいときは、第２の情報の平均生存期間を算定し、平均生存期間を予め定められた第２の閾値と比較し、平均生存期間が第２の閾値よりも小さい場合は、第１の情報および第２の情報で特定されるホストを悪性と判定するので、簡易な手法で悪性ホストを検出することができる。
【０００９】
（２）また、本発明の通信ネットワーク監視システムは、通信ネットワークに接続された端末装置に対して、マルウェアを含む反社会的なプログラムを提供する悪性ホストを検出する通信ネットワーク監視システムであって、ＤＮＳ（Domain Name System）サーバから、端末装置を特定する第１の情報および第２の情報を受信する受信部と、前記受信した第１の情報および第２の情報をデータベースに格納する格納部と、前記第２の情報に対応する前記第１の情報の数を算出し、前記第１の情報の数を予め定められた第３の閾値と比較し、前記第１の情報の数が前記第３の閾値よりも大きいときは、前記第１の情報の平均生存期間を算定し、前記平均生存期間を予め定められた第４の閾値と比較する判定部と、前記判定結果を、判定要求を行なった端末装置を送信する送信部と、を備え、前記判定部は、前記平均生存期間が前記第４の閾値よりも小さい場合は、前記第１の情報および前記第２の情報で特定されるホストを悪性と判定することを特徴とする。
【００１０】
このように、第２の情報に対応する第１の情報の数を算出し、第１の情報の数を予め定められた第３の閾値と比較し、第１の情報の数が第３の閾値よりも大きいときは、第１の情報の平均生存期間を算定し、平均生存期間を予め定められた第４の閾値と比較し、平均生存期間が第４の閾値よりも小さい場合は、第１の情報および第２の情報で特定されるホストを悪性と判定するので、簡易な手法で悪性ホストを検出することができる。
【００１１】
（３）また、本発明の通信ネットワーク監視システムにおいて、前記判定部は、前記第１の情報に対応する前記第２の情報のばらつき、または前記第２の情報に対応する第１の情報のばらつきに基づいて、前記判定を行なうことを特徴とする。
【００１２】
このように、第１の情報に対応する第２の情報のばらつき、または第２の情報に対応する第１の情報のばらつきに基づいて、判定を行なうので、簡易な手法で悪性ホストを検出することができる。例えば、一般的に、同じドメイン名に関連付けられているＩＰアドレスは、アドレス空間が近くにあるため、ばらつきは小さい傾向にあるため、ばらつきが大きい場合は、悪性度が高いと判定することが可能となる。
【００１３】
（４）また、本発明の通信ネットワーク監視システムにおいて、前記閾値は、可変であることを特徴とする。
【００１４】
このように、閾値が可変であるため、システムの運用状況に応じた閾値の設定をすることが可能となる。すなわち、同一ドメイン名と関連付けられたＩＰアドレス数（例えば、１００個）と、そのＩＰアドレスの生存期間（例えば、１か月）、同一ＩＰアドレスと関連付けられたドメイン数（例えば、５０個）と、そのドメインの生存期間（例えば、１か月）としたときに、これらの閾値を運用状況に応じて調整可能となる。
【００１５】
（５）また、本発明の通信ネットワーク監視システムにおいて、前記第１の情報はドメイン名であり、前記第２の情報はＩＰアドレスであることを特徴とする。
【００１６】
このように、第１の情報はドメイン名であり、前記第２の情報はＩＰアドレスであるので、簡易な手法で悪性ホストを検出することができる。
【発明の効果】
【００１７】
本発明によれば、第１の情報に対応する第２の情報の数を算出し、第２の情報の数を予め定められた第１の閾値と比較し、第２の情報の数が第１の閾値よりも大きいときは、第２の情報の平均生存期間を算定し、平均生存期間を予め定められた第２の閾値と比較し、平均生存期間が第２の閾値よりも小さい場合は、第１の情報および第２の情報で特定されるホストを悪性と判定するので、簡易な手法で悪性ホストを検出することができる。
【図面の簡単な説明】
【００１８】
【図１】本実施形態に係る悪性ホスト判定システム（通信ネットワーク監視システム）の概要を示す図である。
【図２】本実施形態に係る悪性ホスト判定システム（通信ネットワーク監視システム）の動作の概念を示す図である。
【図３】ＤＮＳ情報収集装置１１の具体的な動作を示すフローチャートである。
【図４】悪性ホスト判定装置１３の具体的な動作を示すフローチャートである。
【図５】悪性ホスト判定装置１３の具体的な動作を示すフローチャートである。
【図６Ａ】ＩＰアドレスについて、グループ化した例を示す図である。
【図６Ｂ】ドメイン名について、グループ化した例を示す図である。
【発明を実施するための形態】
【００１９】
本発明者らは、Ｗｅｂにおける調査および検証を繰り返し、マルウェアの配布などを行なう悪性ホストには、同じドメイン名に対し、複数のＩＰアドレスを設定し、これらを頻繁に変更したり、複数のドメイン名を単一のＩＰアドレスに設定し、これらを頻繁に変更したりする傾向があることに着目し、ドメイン名をキーとして関連付けられたＩＰアドレスを検索し、ある一定数以上のＩＰアドレスに関連付けられ、その生存期間の平均が一定時間以下である場合に悪性であると判定できることを見出し、本発明をするに至った。
【００２０】
すなわち、本発明は、通信ネットワークに接続された端末装置に対して、マルウェアを含む反社会的なプログラムを提供する悪性ホストを検出する通信ネットワーク監視システムであって、ＤＮＳ（Domain Name System）サーバから、端末装置を特定する第１の情報および第２の情報を受信する受信部と、前記受信した第１の情報および第２の情報をデータベースに格納する格納部と、前記第１の情報に対応する前記第２の情報の数を算出し、前記第２の情報の数を予め定められた第１の閾値と比較し、前記第２の情報の数が前記第１の閾値よりも大きいときは、前記第２の情報の平均生存期間を算定し、前記平均生存期間を予め定められた第２の閾値と比較する判定部と、前記判定結果を、判定要求を行なった端末装置を送信する送信部と、を備え、前記判定部は、前記平均生存期間が前記第２の閾値よりも小さい場合は、前記第１の情報および前記第２の情報で特定されるホストを悪性と判定することを特徴とする。
【００２１】
これにより、本発明者らは、簡易な手法で悪性ホストを検出することを可能とした。以下、本発明の実施形態について、図面を参照しながら説明する。
【００２２】
図１は、本実施形態に係る悪性ホスト判定システム（通信ネットワーク監視システム）の概要を示す図である。この通信ネットワーク監視システム１０は、トラヒック分岐装置２０と接続しており、ＤＮＳサーバ３０が管理するＤＮＳ情報を受信する。ＤＮＳサーバ３０は、トラヒック分岐装置２０を介して、ネットワーク４０およびインターネット５０に接続されている端末装置５０ａ〜５０ｃと情報の授受を行なう。
【００２３】
通信ネットワーク監視システムとしての悪性ホスト判定システム１０は、ＤＮＳ情報収集装置１１、ＤＢ１２および悪性ホスト判定装置１３から構成されている。ＤＮＳ情報収集装置１１において、トラヒック分岐装置２０からＤＮＳサーバ３０が有するＤＮＳ情報、すなわち、ドメイン名とＩＰアドレスを取得する。ＤＢ１２は、ＤＮＳ情報収集装置１１が収集したＤＮＳ情報を格納する。悪性ホスト判定装置１３は、端末装置５０ｃからのリクエストに応じて、ＤＢ１２に格納されているドメイン名とＩＰアドレスの組み合わせに基づいて、悪性ホストであるかどうかの判定を行なう。
【００２４】
以上のように構成された通信ネットワーク監視システムは、ドメイン名とＩＰアドレスの関連付けを、その生存期間と共に管理する。そして、過去に遡ってその関連付けを検証する。本実施形態に係る通信ネットワーク監視システムは、ある一定規模（例えば、ユーザ数が１万人以上）のネットワークを対象とし、そのネットワークのＤＮＳへの問い合わせ通信の内容に基づいて、情報を抽出する。これにより、既存のＤＮＳサーバに改変を加えることなく、本発明を実施することが可能となる。なお、ＤＢ１２における情報の格納形式は、例えば、次の表のようにすることができる。
【００２５】
【表１】
【００２６】
図２は、本実施形態に係る通信ネットワーク監視システムの動作の概念を示す図である。トラヒック分岐装置２０は、ＤＮＳサーバ３０に対するＤＮＳ問い合わせ要求および、ＤＮＳサーバ３０からのＤＮＳ問い合わせ返答をＤＮＳ情報収集装置に出力する。受信部１１ａは、ＤＮＳ要求としてのホスト名および、ＤＮＳ返答としてのＩＰアドレスを受信すると、格納部１１ｂは、ＤＢ１２にそのホスト名、ＩＰアドレスおよび、受信時の時間情報を格納する。また、ＤＮＳ情報収集装置１１は、ＤＢ１２に対して、新規レコードを作成したり、既存のレコードを更新したりする。また、悪性ホスト判定装置１３は、受信部１３ｂで端末装置５０ｃからの判定要求（リクエスト）を受信し、判定部１３ａがＤＢ１２で検索を行ない、送信部１３ｃが判定結果を端末装置５０ｃに送信する。
【００２７】
次に、ＤＮＳ情報収集装置１１が、ＤＮＳ情報を収集・管理する動作について説明する。ＤＮＳ情報収集装置１１は、一定規模以上のネットワーク、例えば、１万人以上のユーザに利用されているＤＮＳサーバを対象とする。ＤＮＳサーバへの問い合わせ通信内容を解析し、ドメイン名と、関連付けられているＩＰアドレス、および問い合わせのあった時間を収集する。ＤＮＳ情報収集装置１１が管理する情報としては、ドメイン名、ＩＰアドレス、初問い合わせ時間、最終問い合わせ時間の４項目とする。なお、ドメイン名とＩＰアドレスの組み合わせが初めて出現した場合、最終問い合わせ時間を初問い合わせ時間とする。また、ドメイン名とＩＰアドレスの組み合わせが既に存在する場合、ここで観測した時間を最終問い合わせ時間として更新する。なお、ＤＢ１２における情報の格納形式は、例えば、次の表のようにすることができる。
【００２８】
【表２】
【００２９】
図３は、ＤＮＳ情報収集装置１１の具体的な動作を示すフローチャートである。まず、ＤＮＳ問い合わせ通信を検出すると（ステップＳ１）、ドメイン名および時間情報を取得する（ステップＳ２）。次に、ＤＮＳ応答通信を検出すると（ステップＳ３）、ＩＰアドレスを取得する（ステップＳ４）。そして、上記のように取得したドメイン名およびＩＰアドレスに基づいて、ＤＢを検索する（ステップＳ５）。ＤＢにドメイン名およびＩＰアドレスの組み合わせが存在するかどうかを判断し（ステップＳ６）、ドメイン名およびＩＰアドレスの組み合わせが存在する場合は、対象レコードの最終時間を更新し（ステップＳ７）、ステップＳ１へ遷移する。一方、ステップＳ７において、ドメイン名およびＩＰアドレスの組み合わせが存在しない場合は、新規レコードを作成し（ステップＳ８）、取得したドメイン名、ＩＰアドレスおよび時間情報をＤＢに登録する（ステップＳ９）。最終時間もここでの取得時間に設定し、ステップＳ１へ遷移する。
【００３０】
次に、悪性ホスト判定装置１３が、悪性ホストを判定する動作について説明する。ここでは、頻繁に更新される複数のＩＰアドレスを持つ悪性ホスト（悪性ドメイン）の検出について説明する。悪性ホスト判定装置１３は、ドメイン名をキーとして、関連付けられたＩＰアドレスを検索する。ここでは、ある一定数（例えば、５０）以上のＩＰアドレスに関連付けられており、かつその生存期間の平均が一定時間以下の場合、悪性と判定するものとする。
【００３１】
図４は、悪性ホスト判定装置１３の具体的な動作を示すフローチャートである。まず、検索キーとなるドメイン名が指定されると（ステップＴ１）、ＤＢを検索する（ステップＴ２）。次に、ＩＰアドレス数を抽出し（ステップＴ３）、ＩＰアドレス数と閾値（第１の閾値）とを比較する（ステップＴ４）。この閾値は、例えば、５０に設定することができる。この比較の結果、ＩＰアドレス数が閾値よりも小さかった場合は、良性判定を行なう（ステップＴ５）。一方、ステップＴ４において、ＩＰアドレス数が閾値よりも大きかった場合は、そのＩＰアドレスの平均生存時間を算出する（ステップＴ６）。そして、平均生存時間と閾値（第２の閾値）とを比較する（ステップＴ７）。この閾値は、例えば、１か月とすることができる。平均生存時間が閾値よりも大きかった場合は、良性判定を行なう（ステップＴ５）。一方、ステップＴ７において、平均生存時間が閾値よりも小さかった場合は、悪性判定を行なう（ステップＴ８）。
【００３２】
なお、ＩＰアドレスのばらつきを判定基準に用いることもできる。一般的に、同じドメイン名に関連付けられているＩＰアドレスは、アドレス空間が近くにあるため、ばらつきは小さい傾向にある。例えば、３つのＩＰアドレスが次のようになっていれば、ばらつきは小さく、悪性度も小さいと考えられる。
aaa.bbb.ccc.200
aaa.bbb.ccc.202
aaa.bbb.ccc.205
【００３３】
一方、３つのＩＰアドレスが次のようになっていれば、ばらつきは大きく、悪性度は大きいと考えられる。
aaa.bbb.ccc.200
ddd.eee.fff.1
ggg.hhh.iii.90
また、誤検知を防ぐために、ホワイトリストを持たせることも可能である。
【００３４】
次に、悪性ホスト判定装置１３が、悪性ホストを判定する動作について説明する。ここでは、頻繁に更新される複数のドメインを持つＩＰアドレスの検出について説明する。悪性ホスト判定装置１３は、ＩＰアドレスをキーとして、関連付けられたドメイン名を検索する。ある一定数（例えば、１００）以上のドメイン名に関連付けられており、かつその生存期間の平均が一定時間以下である場合、悪性と判定する。なお、ＤＢ１２における情報の格納形式は、例えば、次の表のようにすることができる。
【００３５】
【表３】
【００３６】
図５は、悪性ホスト判定装置１３の具体的な動作を示すフローチャートである。まず、検索キーとなるＩＰアドレスが指定されると（ステップＲ１）、ＤＢを検索する（ステップＲ２）。次に、ドメイン数を抽出し（ステップＲ３）、ドメイン数と閾値（第３の閾値）とを比較する（ステップＲ４）。この閾値は、例えば、１００とすることができる。この比較の結果、ドメイン数が閾値よりも小さかった場合は、良性判定を行なう（ステップＲ５）。一方、ステップＲ４において、ドメイン数が閾値よりも大きかった場合は、そのドメイン名の平均生存時間を算出する（ステップＲ６）。そして、平均生存時間と閾値（第４の閾値）とを比較する（ステップＲ７）。この閾値は、例えば、１か月とすることができる。平均生存時間が閾値よりも大きかった場合は、良性判定を行なう（ステップＲ５）。一方、ステップＲ７において、平均生存時間が閾値よりも小さかった場合は、悪性判定を行なう（ステップＲ８）。
【００３７】
なお、ドメイン名の類似性を判定基準に用いることもできる。一般的に、同じIPアドレスに関連付けられているドメイン名は、上位のドメイン名は変わらず、サブドメイン名のみ異なるものが多い。例えば、３つのドメイン名が次のようになっていれば、類似性は大きく、悪性度も小さいと考えられる。
aaa.xxx.com
bbb.aaa.xxx.com
ccc.xxx.com
【００３８】
一方、３つのドメイン名が次のようになっていれば、類似性は小さく、悪性度は大きいと考えられる。
aaa.xxx.com
aaa.yyy.net
ddd.zzz.co.jp
【００３９】
図６Ａは、ＩＰアドレスについて、グループ化した例を示す図であり、図６Ｂは、ドメイン名について、グループ化した例を示す図である。上記の類似度は、例えば、次のように算出することができる。すなわち、ホスト識別子（IPアドレスなど）、ホスト名が階層的な構成をとる場合、その末端部を除いた部分が同じものを、同じグループとして分類する。要素数の多い上位n個のグループについて、その要素数の合計がm以上の場合、類似度が高いと判定する。nは全構成要素数のxパーセント（小数点以下は切り上げ）とする。mは全構成要素数のyパーセントとする。xおよびyは変更可能とする。なお、誤検知を防ぐために、ホワイトリストを持たせることも可能である。
【符号の説明】
【００４０】
１０ 悪性ホスト判定システム（通信ネットワーク監視システム）
１１ ＤＮＳ情報収集装置
１１ａ 受信部
１１ｂ 格納部
１３ 悪性ホスト判定装置
１３ａ 判定部
１３ｂ 受信部
１３ｃ 送信部
２０ トラヒック分岐装置
３０ ＤＮＳサーバ
４０ ネットワーク
５０ インターネット
５０ａ−５０ｃ 端末装置
【技術分野】
【０００１】
本発明は、通信ネットワークに接続された端末装置に対して、マルウェアを含む反社会的なプログラムを提供する悪性ホストを検出する通信ネットワーク監視システムに関する。
【背景技術】
【０００２】
近時、Ｗｅｂ（World wide web）を経由したマルウェア（malware）の感染が拡大しており、大きな社会問題となっている。このマルウェアとは、コンピューターウイルスをはじめとする有害なソフトウェアの総称のことである。例えば、悪意を持って作られたソフトウェア、ワーム、スパイウェアなどに加え、初めから犯罪目的で作られたクライムウェアなども含まれる。この問題の対策として、マルウェアの配布などを行なう悪性のＷｅｂサイトをリスト化し、ユーザが誤ってその悪性のＷｅｂサイトにアクセスしないように制限を設ける対策が有望視されている。
【０００３】
マルウェアの配布などを行なう悪性ホストを検出する技術として、次のようなものが存在する。まず、パターンマッチングによりマルウェアを検出する技術がある。この技術では、Ｗｅｂサイトからダウンロードされたコンテンツについて、パターンマッチングを行ない、マルウェアの検出を行なう。そして、マルウェアが検出されたホストを悪性ホストと判定する。次に、挙動解析によりマルウェアを検出する技術がある。この技術では、Ｗｅｂサイトからダウンロードされるコンテンツについて、検証用に設置されたシステムでその挙動を監視し、不正なファイルやプロセス、レジストリ情報などの作成、変更などを検出することによって、対象となるホストを判定する。さらに、Ｗｅｂサイトを巡回する手法がある。この手法では、Ｗｅｂサイトを自動的に巡回し、コンテンツを収集し、上記のいずれかの手法を用いて悪性ホストの判定を行なうものである。また、例えば、特許文献１には、ＤＮＳ（Domain Name System）の偽装をするトロイの木馬プログラムを検出するシステムが開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特表２００８−５３２１３３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、最近のマルウェアは短期間に大量に亜種が作られるため、パターンの作成が追いつかないことが多い。このため、パターンマッチングによりマルウェアを検出する手法では限界がある。挙動解析によりマルウェアを検出する手法では、ＯＳ（Operating System）やソフトウェアの環境によっては検出できないマルウェアが多く、この手法にも限界がある。Ｗｅｂサイトを巡回する手法では、大量のリソースを使うと共に、多くの時間を要するため、すべてのＷｅｂサイトを網羅することは困難である。また、悪性のＷｅｂサイトの中には、ある端末装置から一度アクセスされると、それ以降は、同じ端末装置からアクセスがあっても、無害なコンテンツを返すようなアクセス制限機能を具備したものもあるため、正しく悪性判定を行なうことが困難となっている。
【０００６】
本発明は、このような事情に鑑みてなされたものであり、簡易な手法で悪性ホストを検出することができる通信ネットワーク監視システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
（１）上記の目的を達成するために、本発明は、以下のような手段を講じた。すなわち、本発明の通信ネットワーク監視システムは、通信ネットワークに接続された端末装置に対して、マルウェアを含む反社会的なプログラムを提供する悪性ホストを検出する通信ネットワーク監視システムであって、ＤＮＳ（Domain Name System）サーバから、端末装置を特定する第１の情報および第２の情報を受信する受信部と、前記受信した第１の情報および第２の情報をデータベースに格納する格納部と、前記第１の情報に対応する前記第２の情報の数を算出し、前記第２の情報の数を予め定められた第１の閾値と比較し、前記第２の情報の数が前記第１の閾値よりも大きいときは、前記第２の情報の平均生存期間を算定し、前記平均生存期間を予め定められた第２の閾値と比較する判定部と、前記判定結果を、判定要求を行なった端末装置を送信する送信部と、を備え、前記判定部は、前記平均生存期間が前記第２の閾値よりも小さい場合は、前記第１の情報および前記第２の情報で特定されるホストを悪性と判定することを特徴とする。
【０００８】
このように、第１の情報に対応する第２の情報の数を算出し、第２の情報の数を予め定められた第１の閾値と比較し、第２の情報の数が第１の閾値よりも大きいときは、第２の情報の平均生存期間を算定し、平均生存期間を予め定められた第２の閾値と比較し、平均生存期間が第２の閾値よりも小さい場合は、第１の情報および第２の情報で特定されるホストを悪性と判定するので、簡易な手法で悪性ホストを検出することができる。
【０００９】
（２）また、本発明の通信ネットワーク監視システムは、通信ネットワークに接続された端末装置に対して、マルウェアを含む反社会的なプログラムを提供する悪性ホストを検出する通信ネットワーク監視システムであって、ＤＮＳ（Domain Name System）サーバから、端末装置を特定する第１の情報および第２の情報を受信する受信部と、前記受信した第１の情報および第２の情報をデータベースに格納する格納部と、前記第２の情報に対応する前記第１の情報の数を算出し、前記第１の情報の数を予め定められた第３の閾値と比較し、前記第１の情報の数が前記第３の閾値よりも大きいときは、前記第１の情報の平均生存期間を算定し、前記平均生存期間を予め定められた第４の閾値と比較する判定部と、前記判定結果を、判定要求を行なった端末装置を送信する送信部と、を備え、前記判定部は、前記平均生存期間が前記第４の閾値よりも小さい場合は、前記第１の情報および前記第２の情報で特定されるホストを悪性と判定することを特徴とする。
【００１０】
このように、第２の情報に対応する第１の情報の数を算出し、第１の情報の数を予め定められた第３の閾値と比較し、第１の情報の数が第３の閾値よりも大きいときは、第１の情報の平均生存期間を算定し、平均生存期間を予め定められた第４の閾値と比較し、平均生存期間が第４の閾値よりも小さい場合は、第１の情報および第２の情報で特定されるホストを悪性と判定するので、簡易な手法で悪性ホストを検出することができる。
【００１１】
（３）また、本発明の通信ネットワーク監視システムにおいて、前記判定部は、前記第１の情報に対応する前記第２の情報のばらつき、または前記第２の情報に対応する第１の情報のばらつきに基づいて、前記判定を行なうことを特徴とする。
【００１２】
このように、第１の情報に対応する第２の情報のばらつき、または第２の情報に対応する第１の情報のばらつきに基づいて、判定を行なうので、簡易な手法で悪性ホストを検出することができる。例えば、一般的に、同じドメイン名に関連付けられているＩＰアドレスは、アドレス空間が近くにあるため、ばらつきは小さい傾向にあるため、ばらつきが大きい場合は、悪性度が高いと判定することが可能となる。
【００１３】
（４）また、本発明の通信ネットワーク監視システムにおいて、前記閾値は、可変であることを特徴とする。
【００１４】
このように、閾値が可変であるため、システムの運用状況に応じた閾値の設定をすることが可能となる。すなわち、同一ドメイン名と関連付けられたＩＰアドレス数（例えば、１００個）と、そのＩＰアドレスの生存期間（例えば、１か月）、同一ＩＰアドレスと関連付けられたドメイン数（例えば、５０個）と、そのドメインの生存期間（例えば、１か月）としたときに、これらの閾値を運用状況に応じて調整可能となる。
【００１５】
（５）また、本発明の通信ネットワーク監視システムにおいて、前記第１の情報はドメイン名であり、前記第２の情報はＩＰアドレスであることを特徴とする。
【００１６】
このように、第１の情報はドメイン名であり、前記第２の情報はＩＰアドレスであるので、簡易な手法で悪性ホストを検出することができる。
【発明の効果】
【００１７】
本発明によれば、第１の情報に対応する第２の情報の数を算出し、第２の情報の数を予め定められた第１の閾値と比較し、第２の情報の数が第１の閾値よりも大きいときは、第２の情報の平均生存期間を算定し、平均生存期間を予め定められた第２の閾値と比較し、平均生存期間が第２の閾値よりも小さい場合は、第１の情報および第２の情報で特定されるホストを悪性と判定するので、簡易な手法で悪性ホストを検出することができる。
【図面の簡単な説明】
【００１８】
【図１】本実施形態に係る悪性ホスト判定システム（通信ネットワーク監視システム）の概要を示す図である。
【図２】本実施形態に係る悪性ホスト判定システム（通信ネットワーク監視システム）の動作の概念を示す図である。
【図３】ＤＮＳ情報収集装置１１の具体的な動作を示すフローチャートである。
【図４】悪性ホスト判定装置１３の具体的な動作を示すフローチャートである。
【図５】悪性ホスト判定装置１３の具体的な動作を示すフローチャートである。
【図６Ａ】ＩＰアドレスについて、グループ化した例を示す図である。
【図６Ｂ】ドメイン名について、グループ化した例を示す図である。
【発明を実施するための形態】
【００１９】
本発明者らは、Ｗｅｂにおける調査および検証を繰り返し、マルウェアの配布などを行なう悪性ホストには、同じドメイン名に対し、複数のＩＰアドレスを設定し、これらを頻繁に変更したり、複数のドメイン名を単一のＩＰアドレスに設定し、これらを頻繁に変更したりする傾向があることに着目し、ドメイン名をキーとして関連付けられたＩＰアドレスを検索し、ある一定数以上のＩＰアドレスに関連付けられ、その生存期間の平均が一定時間以下である場合に悪性であると判定できることを見出し、本発明をするに至った。
【００２０】
すなわち、本発明は、通信ネットワークに接続された端末装置に対して、マルウェアを含む反社会的なプログラムを提供する悪性ホストを検出する通信ネットワーク監視システムであって、ＤＮＳ（Domain Name System）サーバから、端末装置を特定する第１の情報および第２の情報を受信する受信部と、前記受信した第１の情報および第２の情報をデータベースに格納する格納部と、前記第１の情報に対応する前記第２の情報の数を算出し、前記第２の情報の数を予め定められた第１の閾値と比較し、前記第２の情報の数が前記第１の閾値よりも大きいときは、前記第２の情報の平均生存期間を算定し、前記平均生存期間を予め定められた第２の閾値と比較する判定部と、前記判定結果を、判定要求を行なった端末装置を送信する送信部と、を備え、前記判定部は、前記平均生存期間が前記第２の閾値よりも小さい場合は、前記第１の情報および前記第２の情報で特定されるホストを悪性と判定することを特徴とする。
【００２１】
これにより、本発明者らは、簡易な手法で悪性ホストを検出することを可能とした。以下、本発明の実施形態について、図面を参照しながら説明する。
【００２２】
図１は、本実施形態に係る悪性ホスト判定システム（通信ネットワーク監視システム）の概要を示す図である。この通信ネットワーク監視システム１０は、トラヒック分岐装置２０と接続しており、ＤＮＳサーバ３０が管理するＤＮＳ情報を受信する。ＤＮＳサーバ３０は、トラヒック分岐装置２０を介して、ネットワーク４０およびインターネット５０に接続されている端末装置５０ａ〜５０ｃと情報の授受を行なう。
【００２３】
通信ネットワーク監視システムとしての悪性ホスト判定システム１０は、ＤＮＳ情報収集装置１１、ＤＢ１２および悪性ホスト判定装置１３から構成されている。ＤＮＳ情報収集装置１１において、トラヒック分岐装置２０からＤＮＳサーバ３０が有するＤＮＳ情報、すなわち、ドメイン名とＩＰアドレスを取得する。ＤＢ１２は、ＤＮＳ情報収集装置１１が収集したＤＮＳ情報を格納する。悪性ホスト判定装置１３は、端末装置５０ｃからのリクエストに応じて、ＤＢ１２に格納されているドメイン名とＩＰアドレスの組み合わせに基づいて、悪性ホストであるかどうかの判定を行なう。
【００２４】
以上のように構成された通信ネットワーク監視システムは、ドメイン名とＩＰアドレスの関連付けを、その生存期間と共に管理する。そして、過去に遡ってその関連付けを検証する。本実施形態に係る通信ネットワーク監視システムは、ある一定規模（例えば、ユーザ数が１万人以上）のネットワークを対象とし、そのネットワークのＤＮＳへの問い合わせ通信の内容に基づいて、情報を抽出する。これにより、既存のＤＮＳサーバに改変を加えることなく、本発明を実施することが可能となる。なお、ＤＢ１２における情報の格納形式は、例えば、次の表のようにすることができる。
【００２５】
【表１】
【００２６】
図２は、本実施形態に係る通信ネットワーク監視システムの動作の概念を示す図である。トラヒック分岐装置２０は、ＤＮＳサーバ３０に対するＤＮＳ問い合わせ要求および、ＤＮＳサーバ３０からのＤＮＳ問い合わせ返答をＤＮＳ情報収集装置に出力する。受信部１１ａは、ＤＮＳ要求としてのホスト名および、ＤＮＳ返答としてのＩＰアドレスを受信すると、格納部１１ｂは、ＤＢ１２にそのホスト名、ＩＰアドレスおよび、受信時の時間情報を格納する。また、ＤＮＳ情報収集装置１１は、ＤＢ１２に対して、新規レコードを作成したり、既存のレコードを更新したりする。また、悪性ホスト判定装置１３は、受信部１３ｂで端末装置５０ｃからの判定要求（リクエスト）を受信し、判定部１３ａがＤＢ１２で検索を行ない、送信部１３ｃが判定結果を端末装置５０ｃに送信する。
【００２７】
次に、ＤＮＳ情報収集装置１１が、ＤＮＳ情報を収集・管理する動作について説明する。ＤＮＳ情報収集装置１１は、一定規模以上のネットワーク、例えば、１万人以上のユーザに利用されているＤＮＳサーバを対象とする。ＤＮＳサーバへの問い合わせ通信内容を解析し、ドメイン名と、関連付けられているＩＰアドレス、および問い合わせのあった時間を収集する。ＤＮＳ情報収集装置１１が管理する情報としては、ドメイン名、ＩＰアドレス、初問い合わせ時間、最終問い合わせ時間の４項目とする。なお、ドメイン名とＩＰアドレスの組み合わせが初めて出現した場合、最終問い合わせ時間を初問い合わせ時間とする。また、ドメイン名とＩＰアドレスの組み合わせが既に存在する場合、ここで観測した時間を最終問い合わせ時間として更新する。なお、ＤＢ１２における情報の格納形式は、例えば、次の表のようにすることができる。
【００２８】
【表２】
【００２９】
図３は、ＤＮＳ情報収集装置１１の具体的な動作を示すフローチャートである。まず、ＤＮＳ問い合わせ通信を検出すると（ステップＳ１）、ドメイン名および時間情報を取得する（ステップＳ２）。次に、ＤＮＳ応答通信を検出すると（ステップＳ３）、ＩＰアドレスを取得する（ステップＳ４）。そして、上記のように取得したドメイン名およびＩＰアドレスに基づいて、ＤＢを検索する（ステップＳ５）。ＤＢにドメイン名およびＩＰアドレスの組み合わせが存在するかどうかを判断し（ステップＳ６）、ドメイン名およびＩＰアドレスの組み合わせが存在する場合は、対象レコードの最終時間を更新し（ステップＳ７）、ステップＳ１へ遷移する。一方、ステップＳ７において、ドメイン名およびＩＰアドレスの組み合わせが存在しない場合は、新規レコードを作成し（ステップＳ８）、取得したドメイン名、ＩＰアドレスおよび時間情報をＤＢに登録する（ステップＳ９）。最終時間もここでの取得時間に設定し、ステップＳ１へ遷移する。
【００３０】
次に、悪性ホスト判定装置１３が、悪性ホストを判定する動作について説明する。ここでは、頻繁に更新される複数のＩＰアドレスを持つ悪性ホスト（悪性ドメイン）の検出について説明する。悪性ホスト判定装置１３は、ドメイン名をキーとして、関連付けられたＩＰアドレスを検索する。ここでは、ある一定数（例えば、５０）以上のＩＰアドレスに関連付けられており、かつその生存期間の平均が一定時間以下の場合、悪性と判定するものとする。
【００３１】
図４は、悪性ホスト判定装置１３の具体的な動作を示すフローチャートである。まず、検索キーとなるドメイン名が指定されると（ステップＴ１）、ＤＢを検索する（ステップＴ２）。次に、ＩＰアドレス数を抽出し（ステップＴ３）、ＩＰアドレス数と閾値（第１の閾値）とを比較する（ステップＴ４）。この閾値は、例えば、５０に設定することができる。この比較の結果、ＩＰアドレス数が閾値よりも小さかった場合は、良性判定を行なう（ステップＴ５）。一方、ステップＴ４において、ＩＰアドレス数が閾値よりも大きかった場合は、そのＩＰアドレスの平均生存時間を算出する（ステップＴ６）。そして、平均生存時間と閾値（第２の閾値）とを比較する（ステップＴ７）。この閾値は、例えば、１か月とすることができる。平均生存時間が閾値よりも大きかった場合は、良性判定を行なう（ステップＴ５）。一方、ステップＴ７において、平均生存時間が閾値よりも小さかった場合は、悪性判定を行なう（ステップＴ８）。
【００３２】
なお、ＩＰアドレスのばらつきを判定基準に用いることもできる。一般的に、同じドメイン名に関連付けられているＩＰアドレスは、アドレス空間が近くにあるため、ばらつきは小さい傾向にある。例えば、３つのＩＰアドレスが次のようになっていれば、ばらつきは小さく、悪性度も小さいと考えられる。
aaa.bbb.ccc.200
aaa.bbb.ccc.202
aaa.bbb.ccc.205
【００３３】
一方、３つのＩＰアドレスが次のようになっていれば、ばらつきは大きく、悪性度は大きいと考えられる。
aaa.bbb.ccc.200
ddd.eee.fff.1
ggg.hhh.iii.90
また、誤検知を防ぐために、ホワイトリストを持たせることも可能である。
【００３４】
次に、悪性ホスト判定装置１３が、悪性ホストを判定する動作について説明する。ここでは、頻繁に更新される複数のドメインを持つＩＰアドレスの検出について説明する。悪性ホスト判定装置１３は、ＩＰアドレスをキーとして、関連付けられたドメイン名を検索する。ある一定数（例えば、１００）以上のドメイン名に関連付けられており、かつその生存期間の平均が一定時間以下である場合、悪性と判定する。なお、ＤＢ１２における情報の格納形式は、例えば、次の表のようにすることができる。
【００３５】
【表３】
【００３６】
図５は、悪性ホスト判定装置１３の具体的な動作を示すフローチャートである。まず、検索キーとなるＩＰアドレスが指定されると（ステップＲ１）、ＤＢを検索する（ステップＲ２）。次に、ドメイン数を抽出し（ステップＲ３）、ドメイン数と閾値（第３の閾値）とを比較する（ステップＲ４）。この閾値は、例えば、１００とすることができる。この比較の結果、ドメイン数が閾値よりも小さかった場合は、良性判定を行なう（ステップＲ５）。一方、ステップＲ４において、ドメイン数が閾値よりも大きかった場合は、そのドメイン名の平均生存時間を算出する（ステップＲ６）。そして、平均生存時間と閾値（第４の閾値）とを比較する（ステップＲ７）。この閾値は、例えば、１か月とすることができる。平均生存時間が閾値よりも大きかった場合は、良性判定を行なう（ステップＲ５）。一方、ステップＲ７において、平均生存時間が閾値よりも小さかった場合は、悪性判定を行なう（ステップＲ８）。
【００３７】
なお、ドメイン名の類似性を判定基準に用いることもできる。一般的に、同じIPアドレスに関連付けられているドメイン名は、上位のドメイン名は変わらず、サブドメイン名のみ異なるものが多い。例えば、３つのドメイン名が次のようになっていれば、類似性は大きく、悪性度も小さいと考えられる。
aaa.xxx.com
bbb.aaa.xxx.com
ccc.xxx.com
【００３８】
一方、３つのドメイン名が次のようになっていれば、類似性は小さく、悪性度は大きいと考えられる。
aaa.xxx.com
aaa.yyy.net
ddd.zzz.co.jp
【００３９】
図６Ａは、ＩＰアドレスについて、グループ化した例を示す図であり、図６Ｂは、ドメイン名について、グループ化した例を示す図である。上記の類似度は、例えば、次のように算出することができる。すなわち、ホスト識別子（IPアドレスなど）、ホスト名が階層的な構成をとる場合、その末端部を除いた部分が同じものを、同じグループとして分類する。要素数の多い上位n個のグループについて、その要素数の合計がm以上の場合、類似度が高いと判定する。nは全構成要素数のxパーセント（小数点以下は切り上げ）とする。mは全構成要素数のyパーセントとする。xおよびyは変更可能とする。なお、誤検知を防ぐために、ホワイトリストを持たせることも可能である。
【符号の説明】
【００４０】
１０ 悪性ホスト判定システム（通信ネットワーク監視システム）
１１ ＤＮＳ情報収集装置
１１ａ 受信部
１１ｂ 格納部
１３ 悪性ホスト判定装置
１３ａ 判定部
１３ｂ 受信部
１３ｃ 送信部
２０ トラヒック分岐装置
３０ ＤＮＳサーバ
４０ ネットワーク
５０ インターネット
５０ａ−５０ｃ 端末装置
【特許請求の範囲】
【請求項１】
通信ネットワークに接続された端末装置に対して、マルウェアを含む反社会的なプログラムを提供する悪性ホストを検出する通信ネットワーク監視システムであって、
ＤＮＳ（Domain Name System）サーバから、端末装置を特定する第１の情報および第２の情報を受信する受信部と、
前記受信した第１の情報および第２の情報をデータベースに格納する格納部と、
前記第１の情報に対応する前記第２の情報の数を算出し、前記第２の情報の数を予め定められた第１の閾値と比較し、前記第２の情報の数が前記第１の閾値よりも大きいときは、前記第２の情報の平均生存期間を算定し、前記平均生存期間を予め定められた第２の閾値と比較する判定部と、
前記判定結果を、判定要求を行なった端末装置を送信する送信部と、を備え、
前記判定部は、前記平均生存期間が前記第２の閾値よりも小さい場合は、前記第１の情報および前記第２の情報で特定されるホストを悪性と判定することを特徴とする通信ネットワーク監視システム。
【請求項２】
通信ネットワークに接続された端末装置に対して、マルウェアを含む反社会的なプログラムを提供する悪性ホストを検出する通信ネットワーク監視システムであって、
ＤＮＳ（Domain Name System）サーバから、端末装置を特定する第１の情報および第２の情報を受信する受信部と、
前記受信した第１の情報および第２の情報をデータベースに格納する格納部と、
前記第２の情報に対応する前記第１の情報の数を算出し、前記第１の情報の数を予め定められた第３の閾値と比較し、前記第１の情報の数が前記第３の閾値よりも大きいときは、前記第１の情報の平均生存期間を算定し、前記平均生存期間を予め定められた第４の閾値と比較する判定部と、
前記判定結果を、判定要求を行なった端末装置を送信する送信部と、を備え、
前記判定部は、前記平均生存期間が前記第４の閾値よりも小さい場合は、前記第１の情報および前記第２の情報で特定されるホストを悪性と判定することを特徴とする通信ネットワーク監視システム。
【請求項３】
前記判定部は、前記第１の情報に対応する前記第２の情報のばらつき、または前記第２の情報に対応する第１の情報のばらつきに基づいて、前記判定を行なうことを特徴とする請求項１または請求項２記載の通信ネットワーク監視システム。
【請求項４】
前記閾値は、可変であることを特徴とする請求項１から請求項３のいずれかに記載の通信ネットワーク監視システム。
【請求項５】
前記第１の情報はドメイン名であり、前記第２の情報はＩＰアドレスであることを特徴とする請求項１から請求項４のいずれかに記載の通信ネットワーク監視システム。
【請求項１】
通信ネットワークに接続された端末装置に対して、マルウェアを含む反社会的なプログラムを提供する悪性ホストを検出する通信ネットワーク監視システムであって、
ＤＮＳ（Domain Name System）サーバから、端末装置を特定する第１の情報および第２の情報を受信する受信部と、
前記受信した第１の情報および第２の情報をデータベースに格納する格納部と、
前記第１の情報に対応する前記第２の情報の数を算出し、前記第２の情報の数を予め定められた第１の閾値と比較し、前記第２の情報の数が前記第１の閾値よりも大きいときは、前記第２の情報の平均生存期間を算定し、前記平均生存期間を予め定められた第２の閾値と比較する判定部と、
前記判定結果を、判定要求を行なった端末装置を送信する送信部と、を備え、
前記判定部は、前記平均生存期間が前記第２の閾値よりも小さい場合は、前記第１の情報および前記第２の情報で特定されるホストを悪性と判定することを特徴とする通信ネットワーク監視システム。
【請求項２】
通信ネットワークに接続された端末装置に対して、マルウェアを含む反社会的なプログラムを提供する悪性ホストを検出する通信ネットワーク監視システムであって、
ＤＮＳ（Domain Name System）サーバから、端末装置を特定する第１の情報および第２の情報を受信する受信部と、
前記受信した第１の情報および第２の情報をデータベースに格納する格納部と、
前記第２の情報に対応する前記第１の情報の数を算出し、前記第１の情報の数を予め定められた第３の閾値と比較し、前記第１の情報の数が前記第３の閾値よりも大きいときは、前記第１の情報の平均生存期間を算定し、前記平均生存期間を予め定められた第４の閾値と比較する判定部と、
前記判定結果を、判定要求を行なった端末装置を送信する送信部と、を備え、
前記判定部は、前記平均生存期間が前記第４の閾値よりも小さい場合は、前記第１の情報および前記第２の情報で特定されるホストを悪性と判定することを特徴とする通信ネットワーク監視システム。
【請求項３】
前記判定部は、前記第１の情報に対応する前記第２の情報のばらつき、または前記第２の情報に対応する第１の情報のばらつきに基づいて、前記判定を行なうことを特徴とする請求項１または請求項２記載の通信ネットワーク監視システム。
【請求項４】
前記閾値は、可変であることを特徴とする請求項１から請求項３のいずれかに記載の通信ネットワーク監視システム。
【請求項５】
前記第１の情報はドメイン名であり、前記第２の情報はＩＰアドレスであることを特徴とする請求項１から請求項４のいずれかに記載の通信ネットワーク監視システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６Ａ】
【図６Ｂ】
【図２】
【図３】
【図４】
【図５】
【図６Ａ】
【図６Ｂ】
【公開番号】特開２０１１−１９３３４３（Ｐ２０１１−１９３３４３Ａ）
【公開日】平成２３年９月２９日（２０１１．９．２９）
【国際特許分類】
【出願番号】特願２０１０−５９２７４（Ｐ２０１０−５９２７４）
【出願日】平成２２年３月１６日（２０１０．３．１６）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成２１年度、独立行政法人情報通信研究機構「高度通信・放送研究開発委託研究／マルウェア対策ユーザサポートシステムの研究開発」、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【Ｆターム（参考）】
【公開日】平成２３年９月２９日（２０１１．９．２９）
【国際特許分類】
【出願日】平成２２年３月１６日（２０１０．３．１６）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成２１年度、独立行政法人情報通信研究機構「高度通信・放送研究開発委託研究／マルウェア対策ユーザサポートシステムの研究開発」、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（０００２０８８９１）ＫＤＤＩ株式会社 (2,700)
【Ｆターム（参考）】
[ Back to top ]