ＤＮＳ偽装をするトロイの木馬を検出及び緩和するシステム及び方法
【解決手段】本発明の実施形態は、ドメインネームシステム（ＤＮＳ）偽装をするトロイの木馬（又はトロイの）プログラムの検出及び／又は緩和するための方法及びシステムに関する。トロイの木馬プログラム（時々、マルウエア又は悪意があるソフトウェアと呼ばれる）は、コンピュータセキュリティの一般的課題である。トロイの木馬の中には感染したコンピュータを使ってＤＮＳ解決のメカニズムを修正し、インターネットを閲覧する際、前記コンピュータの正当な所有者が意図しない地点へ前記コンピュータのデータ通信の経路を設定するものがある。本発明は、リモートの装置又は場所からこの現象の検知を可能し及びその影響を緩和するための行動を実施することができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はインターネット通信の分野に関し、さらに詳細にはインターネットセキュリティに関する。
【背景技術】
【０００２】
トロイの木馬は、ターゲットであるマシン（例えばユーザのパーソナルコンピュータ（ＰＣ））に感染する悪意があるソフトウェア「ウィルス」であり、ユーザの信用を傷つけるもの及び／又は私的情報のようなものを意図しない第三者、例えばトロイの木馬の所有者又は送信者へ開示することにより、望ましくない目標に向かって人目を盗んで動作する。トロイの木馬は、被害者からの情報を取得するための「フィッシング」攻撃の一部として使用され得る。トロイの木馬によって採用される一技術は、人（そのユーザ）が安全なサイト又は信頼できる団体（例えば銀行のウェブサイト）を閲覧しているとユーザにだまして思わせることであり、その一方で実際にユーザは、例えばトロイの木馬の所有者によって管理されているサイトである異なるサイトをアクセスしている。この戦法はドメインネームシステム（ＤＮＳ）偽装として知られ、安全又は信頼できるウェブサイトであると思う所にユーザがログインする際に、被害者の信用証明物、パスワード、アカウント又は他の個人情報を最終的に取得するために使用される。
【０００３】
トロイの木馬がマシンのＤＮＳを偽装する１つの方法は、オペレーティングシステムの「ｈｏｓｔｓ」ファイルへエントリを追加することによる。異なるオペレーティングシステムは、異なる場所にそのｈｏｓｔｓファイルをストアする。したがって例えば、Ｗｉｎｄｏｗｓ ＮＴ／２０００／２００３／ＸＰでは完全なファイルパスは、％ｗｉｎｄｉｒ％￥ｓｙｓｔｅｍ３２￥ｄｒｉｖｅｒｓ￥ｅｔｃ￥ｈｏｓｔｓであり、Ｗｉｎｄｏｗｓ ９５／９８／ＭＥでは完全なファイルパスは、Ｃ：￥Ｗｉｎｄｏｗｓ￥ｈｏｓｔｓであり、ＵＮＩＸシステム及びＭａｃ ＯＳ／Ｘでは完全なファイルパスは、／ｅｔｃ／ｈｏｓｔｓであり、そしてＭａｃ ＯＳ／９及びそれ以下では、そのファイル名は、Ｈｏｓｔｓであり、プリファレンス（Ｐｒｅｆｅｒｅｎｃｅ）ホルダ（またそれは異なるフォーマットであるが、トロイの木馬によって同種の作用が及ぼされる）の中に配置される。「ｈｏｓｔｓ」ファイルは、一般に静的なＤＮＳマッピング（例えば英数字であるホスト名から数値であるＩＰアドレスへのマッピング）を含み、それは、ユーザによって入力されたドメイン名のＩＰアドレスを解決するプロセスの間にコンピュータによって調べられる。
【０００４】
以下は操作又は侵入されていないＷｉｎｄｏｗｓ／ＸＰのｈｏｓｔｓファイルの例である。
【０００５】
【表１】
【０００６】
一般にｈｏｓｔｓファイル中のマッピング又はエントリは、ＤＮＳサーバクエリのような他のマッピングより優先する。したがってｈｏｓｔｓファイルへエントリを追加することによってトロイの木馬ソフトウェアは、ｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍの本当のＩＰアドレスの代わりに、犠牲となるマシン（通常ＰＣ）がトロイの木馬の所有者によって制御されるＩＰアドレス（例えば１０．２０．３０．４０）を指すように、所望のウェブサイトの名前、ホスト名はここではクライアントの銀行のウェブサイトの例として使用される（例えばｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍ）を強制的にマップする。以下の例は、トロイの木馬によって操作された後に見られるようなｈｏｓｔｓファイルを例示している。読者は、このファイルの中の最終行がトロイの木馬によって追加されたことに気づくであろう。
【０００７】
【表２】
【０００８】
その結果として、ユーザがブラウザのアドレスバー中にｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍをタイプした際、そのユーザのＰＣは、（ｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍの本当のＩＰアドレスの代わりに）１０．２０．３０．４０へＨＴＴＰリクエストを送信し、ユーザは、（ｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍのウェブサイトの内容の代わりに）１０．２０．３０．４０上で見い出だすあらゆるページをブラウザの中で見ることになる。こうしてｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍのウェブサイト上の本当のページが表示されるのではなくむしろ、ユーザの機密事項を扱う情報を取得するように詐欺師によって作成されたページがそのユーザに表示される。このように、例えば安全又は信頼できるウェブページであると称しているウェブページが機密事項を扱う又は貴重なログインの詳細情報を要求する場合、ユーザはその詐欺師にこれらを提供することを知らずに信頼して提示するであろう。結果として詐欺師は、ユーザからの貴重な信用証明物を１０．２０．３０．４０サーバーから容易に集めることができる。
【０００９】
代替として、（一般にトロイの木馬の所有者によって操作される）悪意があるＤＮＳサーバを指すように、トロイの木馬はユーザマシンのネットワーク（ＴＣＰ／ＩＰ）スタック中のＤＮＳサーバのエントリを変更する。この場合、クライアントによって必要とされるあらゆるＤＮＳ解決は、このネットワークスタックが悪意あるＤＮＳサーバを参考にする原因となる。このサーバは、１つ又は限定されたアドレス、例えば詐欺師のサイト例えば１０．２０．３０．４０へ解決するｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍを除いて、ほとんどあらゆるホスト名の本物のＩＰアドレスと共に応答するように構成される。
【００１０】
既知の（アンチウィルス及びアンチマルウエアソフトソリューションのような）セキュリティソリューションは、感染したマシン自体の上で、ローカルに実行されるときにｈｏｓｔｓファイル又はＤＮＳサーバの構成が修正された（又は敵対している）ということを検知することができる。インターネットサービスプロバイダ（ＩＳＰ）及びクライアントマシンへこのようなアクセスをしない他の団体に対しては、一般にこれらのソリューションそれ自体は、適切な解を提供することはできないが、しかし、それと同時に彼ら自身のリソース（ネットワーク帯域、カスタマサポートコールの削減、セキュリティ）はもちろん、このトロイの木馬の脅威からこれらクライアントを守るという動機が出る。
【００１１】
したがって、ＤＮＳ偽装攻撃に対する防御のための改良された方法、装置及びシステムに関する要求がある。
【発明の開示】
【課題を解決するための手段】
【００１２】
本発明の実施形態は、ＤＮＳ偽装攻撃のような攻撃を検出するための方法に関し、ＩＰリクエストの通知の受信を含み、そのＩＰリクエストは、要求されたＩＰアドレスと所望のホスト名が関連付けされていて、さらに要求されたＩＰアドレスが所望のホスト名と一致しているか否かを検出することからなる方法である。
【００１３】
本発明のいくつかの実施形態では、要求されたＩＰアドレスが所望のホスト名と一致しているか否かの検出は、要求されたＩＰアドレスの少なくとも１つのプロパティと所望のホスト名の比較可能なプロパティとの比較からなる。
【００１４】
本発明のいくつかの実施形態では、ＩＰアドレスが所望のホスト名と一致しない場合、その方法は、さらに前記ＩＰアドレスへの接続を防止することを含む。
本発明のいくつかの実施形態では、検知ステップは要求されたＩＰアドレスと関連付けされている真のホスト名を取得すること、及び真のホスト名と所望のホスト名を比較することからなる。実施形態の中には、要求されたＩＰアドレスと関連付けされている真のホスト名の取得が、リバースＤＮＳルックアップデータベースを使用することからなるものもある。実施形態の中には、要求されたＩＰアドレスと関連付けされている真のホスト名の取得が、要求されたＩＰアドレスの身元を検索するＷＨＯＩＳデータベースを使用することからなるものもある。
【００１５】
ＩＰリクエストが申込者によって作成される本発明のいくつかの実施形態では、ＩＰアドレスが所望のホスト名と一致しない場合、その方法はさらにその申込者へ通知を送信することを含む。
【００１６】
ＩＰリクエストが申込者によって作成される本発明のいくつかの実施形態では、ＩＰアドレスが所望のホスト名と一致しない場合、その方法はさらにその申込者に情報提供するインターネットウェブサイトへ申込者を導くことを含む。
【００１７】
本発明のいくつかの実施形態では、ＩＰアドレスが所望のホスト名と一致しない場合、その方法はさらに第三者へ通知を送信することを含む。
ＩＰリクエストが申込者によって作成される本発明のいくつかの実施形態では、ＩＰアドレスが所望のホスト名と一致しない場合、その方法はさらに所望のホスト名と関連付けされている正しいＩＰアドレスの取得、及びその正しいＩＰアドレスへ申込者を導くことを含む。
【００１８】
本発明のいくつかの実施形態では、ＩＰリクエストの通知は、申込者へ向けられたドメインネームサーバからの応答であり、その応答は要求されたＩＰアドレスを含んでいる。
本発明のいくつかの実施形態では、その通知はインターネットサービスプロバイダ（ＩＳＰ）によって、そのＩＳＰの申込者から受信されたＩＰリクエストである。
【００１９】
本発明のいくつかの実施形態では、その方法は、ネットワークアドレスへ送信されたリクエストの通知の受信を含み、そのリクエストは、要求されたネットワークアドレスと所望のホスト名が関連付けされていて、更に要求されたネットワークアドレスが所望のホスト名と一致しているか否かを検出することを含む。本発明のいくつかの実施形態では、ネットワークアドレスはＩＰｖ６ネットワークアドレスであってもよい。
【発明を実施するための最良の形態】
【００２０】
本発明で取り上げた主題の件が具体的に指摘され、本発明の結論の部分において明確に特許請求されている。しかし、その特徴及び利点と共にオペレーションの機構および方法の双方に関して、本発明が以下の図面と共に読まれる際に後述の詳細説明を参照することによって最も理解されるであろう。
【００２１】
例示の単純さ及び明確のために図中に示された要素は、一定の縮尺で描かれる必要がないことは理解されよう。例えば要素のいくつかの外形は、明確性のために他の要素と比較して誇張されているかもしれない。さらに適切さが考慮される所において、対応する又は類似する要素を示すために参照番号が図の中で繰り返されているかもしれない。
【００２２】
以下の説明において、本発明の様々な特徴を記述する。説明の目的のために、特定の構成及び詳細が、本発明の完全な理解を提供するために説明されている。しかし、またこの分野の当業者にとっては、ここで表現された特定の詳細がなくても本発明が実施できることは明らかであろう。さらによく知られた特徴は、本発明を不明瞭にしないように省略され、簡潔化されている。様々な例はこの説明を通して与えられる。これらは本発明の特定の実施形態の記述にすぎないが、本発明の範囲は、与えられた例に限定するものではない。
【００２３】
以下の本発明の例である実施形態では、インターネットサービスプロバイダ（ＩＳＰ）は、リモートの場所又は装置からそのクライアントの一部でＤＮＳ偽装をするトロイの木馬の存在を検出（及び緩和する）する能力を提供する。
【００２４】
一般にＩＳＰは、サービスの申込者又はクライアントからのインターネット向けのすべての（ＨＴＴＰ）データ通信を監視する。一般に申込者は、異なるＰＣ、例えば自宅、オフィス、友人宅、インターネットカフェ又はキオスク（売店）などからサービスにログインすることが分る。したがって、「背景技術」の中で上述した例を続けると、クライアントのオペレーティングシステムがＩＰアドレス１０．２０．３０．４０への英数字のホスト名であるｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍを解決後、クライアントのブラウザは、そのアドレスへＨＴＴＰリクエストを送信する。そのＨＴＴＰリクエスト中に、クライアントのブラウザはそのホスト名の値を持ったＨＴＴＰホストヘッダを含める。典型的なリクエストは、以下のように見えるであろう。
【００２５】
【表３】
【００２６】
本発明の実施形態では、ＩＳＰはクライアントからのＩＰリクエストの直接受信、又は例えばＩＰリクエストへの返信のような別の通知、又は第三者による前記ＩＰリクエストの通知を含む様々な形式の中から少なくとも１つの形式でこのＩＰリクエストが通知される。
【００２７】
ＩＰリクエストの通知の時点で、ＩＳＰは、所望のホスト名のプロパティを確証（ｅｓｔａｂｌｉｓｈ）又は検証し（又は以前確証又は検証した所望のホスト名のプロパティを取得し）、要求されたＩＰアドレスの類似するプロパティに対してこの正しい即ち真のプロパティと比較し、それによって要求されたＩＰアドレスが実際にそのホスト名に本当に対応しているかを検証する。これは例えば後述する１つ以上の技術の組み合わせを含むいくつかの方法で実施されてもよい。
【００２８】
本発明のいくつかの実施形態では、前記プロパティはＩＰアドレスそれ自身であってもよい。前記ＩＰリクエストの通知が提供された際に、（ブラウザによって要求されたホスト名である）ｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍが実際に要求されたＩＰアドレスと一致するか否かをＩＳＰは独立して検証する。
【００２９】
本発明の一実施形態では、ホスト名及び要求されたＩＰアドレスのプロパティは、ウェブサイトの所有者である。したがってＩＳＰは、そのＩＰアドレスが信頼されたウェブサイトの所有者と称する者によって実際に所有されているか否かを判定するために、要求されたＩＰアドレスのリバースＤＮＳルックアップを実行する。このようにして与えられた例を続けると、１０．２０．３０．４０のリバースルックアップは、ＩＰアドレスの標準的ホスト名が実際にはｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍの中になかったことを明らかにする。別の代替は、ＩＰアドレスに関するＷＨＯＩＳルックアップを実行し、ＩＰアドレスの所有者とドメイン名（そのドメイン名は、ホスト名から導き出せる）の所有者とを比較することである。ＷＨＯＩＳデータベースがネームサーバ、ドメイン名の登録機関、及びいくつかのケースにおいては、ドメイン名についての完全なコンタクト情報を含み得ることが思い起こせるであろう。各ドメイン名登録機関は、それらがサービスしているドメイン向けのすべてのコンタクト情報を含むＷＨＯＩＳデータベースを維持管理しているに違いない。
【００３０】
本発明の実施形態による代替的又は付加的なものとして、ＩＳＰは認可したＩＰアドレスのキャッシュを保存していてもよい。このようにＩＰアドレスが認可されていることを一旦認識されると、ＩＳＰが所定の時間の間は再びクエリしないように決定することによって、その認可が毎回毎回実行される必要がなくなるように、常にこの方法の性能を改善できる。
【００３１】
さらに本発明の実施形態における代替的又は付加的なものとして、比較されるプロパティがＩＰクラスに関連してもよい。大きな団体はしばしば、完全なクラスＢ／Ｃアドレス空間を所有するので、そのＩＰアドレスがクラスＢ／Ｃの任意の箇所にある場合、そのリクエストが疑わしくないと見なすことは無難である。このように例えばｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍに関する１つのＩＰアドレスが知られている場合、同じネットワーククラス（例えばクラスＣ，又はクラスＢ）は、安全か又は少なくとも危険はより少ないと見なされる。本発明の実施形態の中には、同じホスト名に関してＩＰアドレスが以前正当性を立証されたＩＰアドレスとは異なるクラスＢ／Ｃを有している場合、ＩＳＰが要求されたそのＩＰアドレスにクライアントを接続しないものがある。反対に、ＩＳＰは同じホスト名に関してＩＰアドレスが以前正当性を立証されたＩＰアドレスと同じクラスＢ／Ｃを有しているところでは、そのＩＰアドレス向けのリクエストに関してより少ない安全検査をするか又は全く実行しない。
【００３２】
本発明の実施形態において、別のホスト名に関してではなく、ここで説明した種類の特定のホスト名を含んでいるＩＰリクエストに関してのみＩＳＰは、トロイの木馬のＤＮＳ偽装に対する高度のセキュリティチェックを実行する。このようにＩＳＰは、例えばフィッシング／トロイの木馬によって攻撃されそうな、例えば金融会社のような会社に関連するホスト名のリストを作成する。これらのホスト名は、例えばデータベースにおいて、ＩＳＰによって公式のＩＰアドレス関連付けされていて、そのホスト名を含んでいるＩＰリクエストに関するものに関して、ＩＳＰは、要求されたＩＰアドレスとそのデータベースに含まれたものとを比較する。このデータベースは、例えばＩＳＰによる独立した検証によるか又は例えばターゲットになるようなものから公式のリストを取得することによって蓄積される。実施形態の中には、このデータベースが「フィッシング攻撃者」のような既知のＩＰアドレスを含んでいて、及びクライアントの要求されたＩＰアドレスがフィッシング攻撃者のＩＰアドレスの「ブラックリスト」に対して比較されるものもある。実施形態の中には、より攻撃されやすい対象のドメインがＩＳＰにおけるこのデータベースに設置されるように出資又は対価を支払うものもある。つまり例えばｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍがＤＮＳ偽装をするトロイの木馬の好むターゲットであるということを決定し、前記サービスへ登録する。したがって本発明の実施形態を採用するＩＳＰは、ｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍを有するＨｏｓｔヘッダを監視し、及び公式のＩＰアドレスと一致しないＩＰアドレスをつきとめる。
【００３３】
本発明の実施形態では、一旦フィッシング攻撃が検出されると、ＩＳＰは後述する方法のうち１つ又は組み合わせの中から対処することができる。
ＩＳＰが第一の場所にクライアントのＩＰアドレスを設定し、したがってＩＳＰは、そのコンタクト情報及び請求のアドレスと同様、クライアントの身元も知っているということを覚えているであろう。このようにしてＩＳＰは、クライアントＰＣがトロイの木馬によって感染していることをクライアントに積極的に知らせる事ができ、その結果、クライアントとの関係及びサービスのレベルを改善する。
【００３４】
本発明のいくつかの実施形態では、ＩＳＰは第三者へ通知を送信する。その一実施形態では、ＩＳＰはＣｙｏｔａ（登録商標）Ｃｏｎｓｕｍｅｒ Ｓｏｌｕｔｉｏｎｓのような既知の「フィッシング対策者（ｐｈｉｓｈ−ｆｉｇｈｔｅｒ）」、ＲＳＡ Ｓｅｃｕｒｉｔｙ Ｉｎｃ．が提供しているものにコンタクトし、問題を起こすアドレス及びそれに「マップされた」ドメイン名を提供する。その後、フィッシング対策者は、そのフィッシング攻撃のウェブサイトを閉鎖するための行動をとることができる。
【００３５】
本発明の実施形態では、目的のＩＰアドレスがＨｏｓｔヘッダの値と一致しないようなＨＴＴＰリクエストに応答して、ＩＳＰはクライアントに通知を送信する。一実施形態では、ＩＳＰはその彼の／又は彼女のＰＣがトロイの木馬に感染していることを情報提供するページを返し、及びＩＳＰのカスタマーサポート又はそのユーザを援助する第三者にコンタクトすることをクライントに提案する。
【００３６】
最終的に本発明のいくつかの実施形態では、目的のＩＰアドレスがＨｏｓｔヘッダの値と一致しないようなＨＴＴＰリクエストに応答して、ＩＳＰは正しいウェブサイトを単に決定し、その正しいウェブサイトへの再経路設定を隠れて行う。
【００３７】
上述したトロイの木馬によって使用されるＤＮＳ偽装技術の２つのタイプ、すなわちＨｏｓｔｓファイルを変更すること、さらにクライアントマシンによって使用中のＤＮＳサーバを変更することに対して本発明の実施形態が適用可能であることに注意されたい。つまり、ＨＴＴＰリクエストは、依然ＩＳＰを通過し、しかもなお一致しないＩＰとホスト名を有しているので、同じソリューションが適用され得る。
【００３８】
攻撃者のＤＮＳサーバからクライアントへ返されるＤＮＳ応答をＩＳＰが監視することによって、後者の種類の攻撃であろうとも検出することができることにも注意されたい。例えばｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍを１０．２０．３０．４０へマップするＤＮＳ応答は、フィッシング詐欺がおそらくここで作用していることを示している。実際に本発明の実施形態の中には、疑いを抱きそしてアンチフィッシングの計測をトリガするためにＩＳＰのものではないＤＮＳサーバをクライアントが使用することで十分なものもある。
【００３９】
本発明の実施形態では、ここで新しく提案した方法及び機能を追加する可能な場所は、外部に向かうすべてのデータ通信を見るＨＴＴＰ用の（ＨＴＴＰ−ａｗａｒｅ）装置内である。これは、例えば透過的キャッシュプロキシサーバであってもよい。外部に向かうＨＴＴＰデータ通信を監視する場合には、コンテンツ検閲サーバも適切である。同様にＩＳＰのＬＡＮ上のネットワークのデータ通信の監視を実行する任意の製品にもこの機能を含むことができる。
【００４０】
フィッシング攻撃者は、一般にポート８０接続の使用が後続する慣習に従うという仮定を基にして構成されているプロキシサーバによる遮断といったものを回避又は低減するために、フィッシング電子メール中でポート８０接続ではないものを使用する。クライアントがアドレスバー中に既知の例えば銀行へのリンクをタイプする場合、非標準のポートを含むことは有りそうにない事が注目される。しかし実際、詐欺師がポート８０ではない接続を使用する場合は、通常ポート８０接続であると仮定している透過的プロキシサーバではデータ通信を途中で押さえること（ｉｎｔｅｒｃｅｐｔ）ができない。さらに、この問題を克服するために、透過的プロキシサーバの範囲内で例えば非標準のポートが一旦わかると、そのような非標準ポートを含ませること、又はすべてのデータ通信を調査（監視）することが可能である。
【００４１】
トロイの木馬によるＤＮＳ偽装の検出の代わり又はそれに加えて様々な目的の促進となるものの中で上述の本発明の実施形態が採用され得るということが分るであろう。例えばクライアントマシンのＤＮＳデータ内の機能不良又はデータ破損検出のために使用されてもよい。さらにＨＴＴＰ以外のプロトコル特にリクエスト又はサイトからの応答の中の一部としてホスト名を引用する必要がある場合に本発明が適用されてもよい。
【００４２】
ＩＳＰが本発明の意図する場所又は受益者である一方で、最終的に同じ発明が別の設定と関連し、例えばファイアウォール又はインターネットゲートウェイ、及びローカルのクライアントのマシン上（パーソナルのファイアウォール内）で結集して使用され得ることが分るであろう。後者の実装においては、ＤＮＳマッピング用の信頼すべきソース（例えばＩＳＰのＤＮＳサーバ）が、ホスト名に関連付けされているＩＰアドレスを比較及び検証することに対して信用に値するソースであることを保証するために、そのソリューションに対して有効になっていなければならない。
【００４３】
様々な装置、アーキテクチャ、及び／又はシステム又は装置の一式が、システムを形成し、又は本発明の実施形態による方法を実行し、及び／又は本発明の実施形態による方法を達成する。本発明の様々な実施形態による方法は、１つ以上のプロセッサ又は（例えばメモリ、プロセッサ、ソフトウェア、データベースなどを含む）計算システムによって実行され、例えば様々なサイト又は計算プラットフォームを越えて分散され、一方実施形態による方法の中には、代替として単一のプロセッサ又は計算システムによって実行されるものもある。以下の例示は、本発明の一実施形態によるソリューションのアーキテクチャの要点を説明しており、別の適したアーキテクチャが本発明の別の実施形態によっても可能である。
【００４４】
図１は、本発明のいくつかの実施形態による通信システム（１００）の概略ブロック図を例示したものである。システム（１００）は、例えばクライアント又は申込者（１１０）及びサーバ（１２０）を含んでもよい。システム（１００）は、オプションとして追加的及び／又は別のハードウェアコンポーネント及び／又はソフトウェアコンポーネントを含んでもよい。
【００４５】
クライアント（１１０）は、例えばパーソナルコンピュータ、デスクトップコンピュータ、モバイルコンピュータ、ラップトップコンピュータ、ノートブックコンピュータ、タブレットコンピュータ、個人用携帯情報端末（ＰＤＡ）装置、ワイヤレス通信ステーション、ワイヤレス通信装置、又は同種のものであってもよいし又は含んでもよい。
【００４６】
クライアント（１１０）は、例えばオペレーティングシステム（ＯＳ）（１１１）と同様に、１つ以上のアプリケーション（１１２）、例えばインターネットブラウザアプリケーション、電子メールクライアント、又は同種のものも含んでもよい。クライアント（１１０）は、さらにｈｏｓｔｓファイル（１１３）及び／又はネットワークスタック（１１４）例えばＴＣＰ／ＩＰスタックを含んでもよい。
【００４７】
クライアント（１１０）は、例えば１つ以上のワイヤードリンク、１つ以上のワイヤレスリンク、１つ以上のコネクション、ネットワークリンク、ＴＣＰ／ＩＰリンク、ＩＰｖ６リンク、又は１つ以上の中継ユニット（例えばゲートウェイ、プロキシ、又は同種のもの）を含むリンクであるリンク（１３０）を使用してサーバ（１２０）と通信してもよい。
【００４８】
サーバ（１２０）は、例えばＩＳＰに設置されたインターネットサーバであってもよいし又は含んでいてもよい。サーバ（１２０）は、リンク（１３０）を介して例えばＩＰリクエストそれ自体を含むＩＰリクエストの通知をクライアント（１１０）から受信してもよい。サーバ（１２０）のアナライザ（１２１）は、例えば要求されたホスト名のプロパティが要求されたＩＰアドレスのプロパティと一致するか否かチェックするために、その受信したＩＰリクエストを解析してもよい。前述したように、相互に対して一致したプロパティは、例えばＩＰアドレス、及び／又は１つ以上の他のプロパティであってもよい。例えばそのＩＰリクエストの中に含まれる要求されたホスト名を基にして、サーバプロセッサ又はアナライザ（１２１）は、そのＩＰリクエスト以外のソースから、例えばローカルの又はリモートのＤＮＳルックアップテーブル（１２２）又は同種のものから対応するＩＰアドレスを取得してもよい。そのＩＰリクエスト以外のソースから取得されたＩＰアドレスは、ここでは本当の又は「真のＩＰアドレス」と呼ぶ。
【００４９】
アナライザ（１２０）は、受信したＩＰリクエスト中に含まれるＩＰアドレスがそのＩＰリクエスト以外のソースから取得された真のＩＰアドレスと同一であるかをチェックしてもよい。そのチェック結果が肯定の場合、アナライザ（１２０）がそのＩＰアドレスは、悪意がないと判定し、サーバ（１２０）は、そのＩＰリクエストを受信したものそのままとして処理するために次に進む。チェック結果が否定の場合、アナライザ（１２０）がそのＩＰリクエストは悪意があるものとし、サーバ（１２０）は、例えばそのＩＰリクエストを受信したものそのままとして処理をせず、及び／又はその代わり又は追加として、１つ以上の所定の処理手続き例えばハンドラ（１２３）を使って実行する。
【００５０】
一実施形態では、例えばハンドラ（１２３）がクライアント（１１０）から受信したＩＰリクエストは悪意ありと判定されたという通知をクライアント（１１０）へ送信してもよい。別の実施形態では、クライアント（１１０）から受信したＩＰリクエストは悪意ありと判定されたという通知をハンドラ（１２３）が第三者例えばシステム管理者、アンチウィルスメーカ、フィッシング対策者又は同種のものへ送信してもよい。さらに別の実施形態では、ハンドラ（１２３）がクライアント（１１０）から受信したＩＰリクエストは悪意ありと判定されたという通知を含む特定のウェブサイト又はウェブページへクライアント（１１０）の出力先が変更されるように、通信の出力先を変更（リダイレクト）してもよい。またさらに別の実施形態では、ハンドラ（１２３）がそのＩＰリクエスト中に含まれたＩＰアドレスの代わりに（例えばそのＩＰリクエスト以外のソースから取得した）本当の又は真のＩＰアドレスへクライアント（１１０）を出力先変更されるように通信をリダイレクトしてもよい。実施形態の中には、上記の１つ以上の手続きが使用されてもよいし、及び／又は別の適応した手続きが使用されてもよい。
【００５１】
ここでの論議の一部は例示目的のため、ＩＰリクエスト中に含まれるＩＰアドレスと（例えばＩＰリクエスト以外のソースからの取得した）本当の即ち真のＩＰアドレスとの比較に関連するものであるが、別の適切な比較及び／又は解析が実行されてもよい。実施形態の中には、例えば要求されたＩＰアドレスの少なくとも１つのプロパティが所望のホスト名に対応するプロパティと比較されてもよい。例えばＩＰアドレスの比較の代わりに又は追加として、アナライザ（１２１）は例えばリバースＤＮＳルックアップ又はローカルの又はリモートのＷＨＯＩＳデータベースを使用して、所望のホスト名及び要求されたＩＰアドレス双方のドメイン所有者の比較をしてもよい。
【００５２】
図２は、本発明のいくつかの実施形態によるＤＮＳ偽装の検出及び緩和する方法の概略流れ図である。その方法のオペレーションは、例えば図１のシステム（１００）、図１のサーバ（１２０）、及び／又は別の適したトランシーバ、ユニット、ステーション、装置、及び／又はシステムによって実装されてもよい。
【００５３】
ボックス（２１０）で示すように、方法は例えばクライアントからサーバによる例えばＩＰリクエストの受信をオプションとして含んでもよい。
ボックス（２２０）で示すように、方法は例えばＩＰリクエスト中に含まれるＩＰアドレスのプロパティとそのリクエスト中に含まれる対応するホスト名のプロパティの比較をオプションとして含んでいてもよい。これは例えばＩＰリクエスト中に含まれるＩＰアドレスとＩＰリクエスト以外のソースから取得した（例えばＩＰリクエスト中に含まれる要求されたホスト名を基にした）真のＩＰアドレスとの比較を含んでいてもよい。
【００５４】
ボックス（２３０）で示すように、方法は例えば比較結果がＩＰリクエストは悪意を持っているということを示しているか否かをチェックすることをオプションとして含んでもよい。
【００５５】
ＩＰリクエストが悪意を持っていない場合（矢印２３１）、方法は例えば受信した通りのそのＩＰリクエストの実行（ボックス２４０）をオプションとして含んでもよい。
反対に、ＩＰリクエストが悪意を持っている場合（矢印２３２）、方法は例えば１つ以上のハンドリング手続き（ボックス２５０）の実行をオプションとして含んでもよい。これは、例えばそのクライアントへの通知の送信、第三者への通知の送信、通知を表示するウェブサイトへクライアントの出力先を変更（リダイレクト）、本当の又は真のＩＰアドレスを基にしたウェブサイトへクライアントの出力先を変更（リダイレクト）、及び／又は他の適したハンドリング手続きを含んでもよい。
【００５６】
別の適したオペレーション又はオペレーションの一式が本発明の実施形態によって使用されてもよい。
実施形態の中には、その方法は、例えば１つ以上の所定のユーザ、申込者、スポンサ団体、又は同種のものに関してのみ選択的に実装されてもよいものがある。一実施形態では、例えばスポンサ団体（例えば銀行団体、保険プロバイダ、クレジットカードプロバイダ、又は同種のもの）は、ホスト名及び／又はＩＰリクエストによってスポンサ団体を参照する（例えば様々なユーザから来る）ＩＰリクエストをＩＳＰが監視し、かつ前記ＩＰリクエストが悪意を持っているか否かをチェックするように、ＩＳＰに登録してもよい。別の実施形態では、例えばコンピュータユーザは、そのコンピュータユーザから来るＩＰリクエストをＩＳＰが監視し、かつ前記ＩＰリクエストが悪意を持っているか否かをチェックするようにＩＳＰに登録してもよい。別の適した登録方法が本発明の実施形態においてオプションとして使用されてもよい。
【００５７】
この分野の当業者にとって、本発明の実施形態がこれまでに示し、詳細に記述してきた具体的なものによって限定されるものではないということが理解されるであろう。もっと正確に言えば、本発明の少なくとも一実施形態の範囲は、本発明の請求範囲によって定義される。
【図面の簡単な説明】
【００５８】
【図１】本発明の一実施形態による通信システムの概略ブロック図である。
【図２】本発明の一実施形態によるＤＮＳ偽装を検出及び緩和するための方法を例示している流れ図である。
【技術分野】
【０００１】
本発明はインターネット通信の分野に関し、さらに詳細にはインターネットセキュリティに関する。
【背景技術】
【０００２】
トロイの木馬は、ターゲットであるマシン（例えばユーザのパーソナルコンピュータ（ＰＣ））に感染する悪意があるソフトウェア「ウィルス」であり、ユーザの信用を傷つけるもの及び／又は私的情報のようなものを意図しない第三者、例えばトロイの木馬の所有者又は送信者へ開示することにより、望ましくない目標に向かって人目を盗んで動作する。トロイの木馬は、被害者からの情報を取得するための「フィッシング」攻撃の一部として使用され得る。トロイの木馬によって採用される一技術は、人（そのユーザ）が安全なサイト又は信頼できる団体（例えば銀行のウェブサイト）を閲覧しているとユーザにだまして思わせることであり、その一方で実際にユーザは、例えばトロイの木馬の所有者によって管理されているサイトである異なるサイトをアクセスしている。この戦法はドメインネームシステム（ＤＮＳ）偽装として知られ、安全又は信頼できるウェブサイトであると思う所にユーザがログインする際に、被害者の信用証明物、パスワード、アカウント又は他の個人情報を最終的に取得するために使用される。
【０００３】
トロイの木馬がマシンのＤＮＳを偽装する１つの方法は、オペレーティングシステムの「ｈｏｓｔｓ」ファイルへエントリを追加することによる。異なるオペレーティングシステムは、異なる場所にそのｈｏｓｔｓファイルをストアする。したがって例えば、Ｗｉｎｄｏｗｓ ＮＴ／２０００／２００３／ＸＰでは完全なファイルパスは、％ｗｉｎｄｉｒ％￥ｓｙｓｔｅｍ３２￥ｄｒｉｖｅｒｓ￥ｅｔｃ￥ｈｏｓｔｓであり、Ｗｉｎｄｏｗｓ ９５／９８／ＭＥでは完全なファイルパスは、Ｃ：￥Ｗｉｎｄｏｗｓ￥ｈｏｓｔｓであり、ＵＮＩＸシステム及びＭａｃ ＯＳ／Ｘでは完全なファイルパスは、／ｅｔｃ／ｈｏｓｔｓであり、そしてＭａｃ ＯＳ／９及びそれ以下では、そのファイル名は、Ｈｏｓｔｓであり、プリファレンス（Ｐｒｅｆｅｒｅｎｃｅ）ホルダ（またそれは異なるフォーマットであるが、トロイの木馬によって同種の作用が及ぼされる）の中に配置される。「ｈｏｓｔｓ」ファイルは、一般に静的なＤＮＳマッピング（例えば英数字であるホスト名から数値であるＩＰアドレスへのマッピング）を含み、それは、ユーザによって入力されたドメイン名のＩＰアドレスを解決するプロセスの間にコンピュータによって調べられる。
【０００４】
以下は操作又は侵入されていないＷｉｎｄｏｗｓ／ＸＰのｈｏｓｔｓファイルの例である。
【０００５】
【表１】
【０００６】
一般にｈｏｓｔｓファイル中のマッピング又はエントリは、ＤＮＳサーバクエリのような他のマッピングより優先する。したがってｈｏｓｔｓファイルへエントリを追加することによってトロイの木馬ソフトウェアは、ｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍの本当のＩＰアドレスの代わりに、犠牲となるマシン（通常ＰＣ）がトロイの木馬の所有者によって制御されるＩＰアドレス（例えば１０．２０．３０．４０）を指すように、所望のウェブサイトの名前、ホスト名はここではクライアントの銀行のウェブサイトの例として使用される（例えばｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍ）を強制的にマップする。以下の例は、トロイの木馬によって操作された後に見られるようなｈｏｓｔｓファイルを例示している。読者は、このファイルの中の最終行がトロイの木馬によって追加されたことに気づくであろう。
【０００７】
【表２】
【０００８】
その結果として、ユーザがブラウザのアドレスバー中にｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍをタイプした際、そのユーザのＰＣは、（ｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍの本当のＩＰアドレスの代わりに）１０．２０．３０．４０へＨＴＴＰリクエストを送信し、ユーザは、（ｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍのウェブサイトの内容の代わりに）１０．２０．３０．４０上で見い出だすあらゆるページをブラウザの中で見ることになる。こうしてｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍのウェブサイト上の本当のページが表示されるのではなくむしろ、ユーザの機密事項を扱う情報を取得するように詐欺師によって作成されたページがそのユーザに表示される。このように、例えば安全又は信頼できるウェブページであると称しているウェブページが機密事項を扱う又は貴重なログインの詳細情報を要求する場合、ユーザはその詐欺師にこれらを提供することを知らずに信頼して提示するであろう。結果として詐欺師は、ユーザからの貴重な信用証明物を１０．２０．３０．４０サーバーから容易に集めることができる。
【０００９】
代替として、（一般にトロイの木馬の所有者によって操作される）悪意があるＤＮＳサーバを指すように、トロイの木馬はユーザマシンのネットワーク（ＴＣＰ／ＩＰ）スタック中のＤＮＳサーバのエントリを変更する。この場合、クライアントによって必要とされるあらゆるＤＮＳ解決は、このネットワークスタックが悪意あるＤＮＳサーバを参考にする原因となる。このサーバは、１つ又は限定されたアドレス、例えば詐欺師のサイト例えば１０．２０．３０．４０へ解決するｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍを除いて、ほとんどあらゆるホスト名の本物のＩＰアドレスと共に応答するように構成される。
【００１０】
既知の（アンチウィルス及びアンチマルウエアソフトソリューションのような）セキュリティソリューションは、感染したマシン自体の上で、ローカルに実行されるときにｈｏｓｔｓファイル又はＤＮＳサーバの構成が修正された（又は敵対している）ということを検知することができる。インターネットサービスプロバイダ（ＩＳＰ）及びクライアントマシンへこのようなアクセスをしない他の団体に対しては、一般にこれらのソリューションそれ自体は、適切な解を提供することはできないが、しかし、それと同時に彼ら自身のリソース（ネットワーク帯域、カスタマサポートコールの削減、セキュリティ）はもちろん、このトロイの木馬の脅威からこれらクライアントを守るという動機が出る。
【００１１】
したがって、ＤＮＳ偽装攻撃に対する防御のための改良された方法、装置及びシステムに関する要求がある。
【発明の開示】
【課題を解決するための手段】
【００１２】
本発明の実施形態は、ＤＮＳ偽装攻撃のような攻撃を検出するための方法に関し、ＩＰリクエストの通知の受信を含み、そのＩＰリクエストは、要求されたＩＰアドレスと所望のホスト名が関連付けされていて、さらに要求されたＩＰアドレスが所望のホスト名と一致しているか否かを検出することからなる方法である。
【００１３】
本発明のいくつかの実施形態では、要求されたＩＰアドレスが所望のホスト名と一致しているか否かの検出は、要求されたＩＰアドレスの少なくとも１つのプロパティと所望のホスト名の比較可能なプロパティとの比較からなる。
【００１４】
本発明のいくつかの実施形態では、ＩＰアドレスが所望のホスト名と一致しない場合、その方法は、さらに前記ＩＰアドレスへの接続を防止することを含む。
本発明のいくつかの実施形態では、検知ステップは要求されたＩＰアドレスと関連付けされている真のホスト名を取得すること、及び真のホスト名と所望のホスト名を比較することからなる。実施形態の中には、要求されたＩＰアドレスと関連付けされている真のホスト名の取得が、リバースＤＮＳルックアップデータベースを使用することからなるものもある。実施形態の中には、要求されたＩＰアドレスと関連付けされている真のホスト名の取得が、要求されたＩＰアドレスの身元を検索するＷＨＯＩＳデータベースを使用することからなるものもある。
【００１５】
ＩＰリクエストが申込者によって作成される本発明のいくつかの実施形態では、ＩＰアドレスが所望のホスト名と一致しない場合、その方法はさらにその申込者へ通知を送信することを含む。
【００１６】
ＩＰリクエストが申込者によって作成される本発明のいくつかの実施形態では、ＩＰアドレスが所望のホスト名と一致しない場合、その方法はさらにその申込者に情報提供するインターネットウェブサイトへ申込者を導くことを含む。
【００１７】
本発明のいくつかの実施形態では、ＩＰアドレスが所望のホスト名と一致しない場合、その方法はさらに第三者へ通知を送信することを含む。
ＩＰリクエストが申込者によって作成される本発明のいくつかの実施形態では、ＩＰアドレスが所望のホスト名と一致しない場合、その方法はさらに所望のホスト名と関連付けされている正しいＩＰアドレスの取得、及びその正しいＩＰアドレスへ申込者を導くことを含む。
【００１８】
本発明のいくつかの実施形態では、ＩＰリクエストの通知は、申込者へ向けられたドメインネームサーバからの応答であり、その応答は要求されたＩＰアドレスを含んでいる。
本発明のいくつかの実施形態では、その通知はインターネットサービスプロバイダ（ＩＳＰ）によって、そのＩＳＰの申込者から受信されたＩＰリクエストである。
【００１９】
本発明のいくつかの実施形態では、その方法は、ネットワークアドレスへ送信されたリクエストの通知の受信を含み、そのリクエストは、要求されたネットワークアドレスと所望のホスト名が関連付けされていて、更に要求されたネットワークアドレスが所望のホスト名と一致しているか否かを検出することを含む。本発明のいくつかの実施形態では、ネットワークアドレスはＩＰｖ６ネットワークアドレスであってもよい。
【発明を実施するための最良の形態】
【００２０】
本発明で取り上げた主題の件が具体的に指摘され、本発明の結論の部分において明確に特許請求されている。しかし、その特徴及び利点と共にオペレーションの機構および方法の双方に関して、本発明が以下の図面と共に読まれる際に後述の詳細説明を参照することによって最も理解されるであろう。
【００２１】
例示の単純さ及び明確のために図中に示された要素は、一定の縮尺で描かれる必要がないことは理解されよう。例えば要素のいくつかの外形は、明確性のために他の要素と比較して誇張されているかもしれない。さらに適切さが考慮される所において、対応する又は類似する要素を示すために参照番号が図の中で繰り返されているかもしれない。
【００２２】
以下の説明において、本発明の様々な特徴を記述する。説明の目的のために、特定の構成及び詳細が、本発明の完全な理解を提供するために説明されている。しかし、またこの分野の当業者にとっては、ここで表現された特定の詳細がなくても本発明が実施できることは明らかであろう。さらによく知られた特徴は、本発明を不明瞭にしないように省略され、簡潔化されている。様々な例はこの説明を通して与えられる。これらは本発明の特定の実施形態の記述にすぎないが、本発明の範囲は、与えられた例に限定するものではない。
【００２３】
以下の本発明の例である実施形態では、インターネットサービスプロバイダ（ＩＳＰ）は、リモートの場所又は装置からそのクライアントの一部でＤＮＳ偽装をするトロイの木馬の存在を検出（及び緩和する）する能力を提供する。
【００２４】
一般にＩＳＰは、サービスの申込者又はクライアントからのインターネット向けのすべての（ＨＴＴＰ）データ通信を監視する。一般に申込者は、異なるＰＣ、例えば自宅、オフィス、友人宅、インターネットカフェ又はキオスク（売店）などからサービスにログインすることが分る。したがって、「背景技術」の中で上述した例を続けると、クライアントのオペレーティングシステムがＩＰアドレス１０．２０．３０．４０への英数字のホスト名であるｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍを解決後、クライアントのブラウザは、そのアドレスへＨＴＴＰリクエストを送信する。そのＨＴＴＰリクエスト中に、クライアントのブラウザはそのホスト名の値を持ったＨＴＴＰホストヘッダを含める。典型的なリクエストは、以下のように見えるであろう。
【００２５】
【表３】
【００２６】
本発明の実施形態では、ＩＳＰはクライアントからのＩＰリクエストの直接受信、又は例えばＩＰリクエストへの返信のような別の通知、又は第三者による前記ＩＰリクエストの通知を含む様々な形式の中から少なくとも１つの形式でこのＩＰリクエストが通知される。
【００２７】
ＩＰリクエストの通知の時点で、ＩＳＰは、所望のホスト名のプロパティを確証（ｅｓｔａｂｌｉｓｈ）又は検証し（又は以前確証又は検証した所望のホスト名のプロパティを取得し）、要求されたＩＰアドレスの類似するプロパティに対してこの正しい即ち真のプロパティと比較し、それによって要求されたＩＰアドレスが実際にそのホスト名に本当に対応しているかを検証する。これは例えば後述する１つ以上の技術の組み合わせを含むいくつかの方法で実施されてもよい。
【００２８】
本発明のいくつかの実施形態では、前記プロパティはＩＰアドレスそれ自身であってもよい。前記ＩＰリクエストの通知が提供された際に、（ブラウザによって要求されたホスト名である）ｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍが実際に要求されたＩＰアドレスと一致するか否かをＩＳＰは独立して検証する。
【００２９】
本発明の一実施形態では、ホスト名及び要求されたＩＰアドレスのプロパティは、ウェブサイトの所有者である。したがってＩＳＰは、そのＩＰアドレスが信頼されたウェブサイトの所有者と称する者によって実際に所有されているか否かを判定するために、要求されたＩＰアドレスのリバースＤＮＳルックアップを実行する。このようにして与えられた例を続けると、１０．２０．３０．４０のリバースルックアップは、ＩＰアドレスの標準的ホスト名が実際にはｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍの中になかったことを明らかにする。別の代替は、ＩＰアドレスに関するＷＨＯＩＳルックアップを実行し、ＩＰアドレスの所有者とドメイン名（そのドメイン名は、ホスト名から導き出せる）の所有者とを比較することである。ＷＨＯＩＳデータベースがネームサーバ、ドメイン名の登録機関、及びいくつかのケースにおいては、ドメイン名についての完全なコンタクト情報を含み得ることが思い起こせるであろう。各ドメイン名登録機関は、それらがサービスしているドメイン向けのすべてのコンタクト情報を含むＷＨＯＩＳデータベースを維持管理しているに違いない。
【００３０】
本発明の実施形態による代替的又は付加的なものとして、ＩＳＰは認可したＩＰアドレスのキャッシュを保存していてもよい。このようにＩＰアドレスが認可されていることを一旦認識されると、ＩＳＰが所定の時間の間は再びクエリしないように決定することによって、その認可が毎回毎回実行される必要がなくなるように、常にこの方法の性能を改善できる。
【００３１】
さらに本発明の実施形態における代替的又は付加的なものとして、比較されるプロパティがＩＰクラスに関連してもよい。大きな団体はしばしば、完全なクラスＢ／Ｃアドレス空間を所有するので、そのＩＰアドレスがクラスＢ／Ｃの任意の箇所にある場合、そのリクエストが疑わしくないと見なすことは無難である。このように例えばｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍに関する１つのＩＰアドレスが知られている場合、同じネットワーククラス（例えばクラスＣ，又はクラスＢ）は、安全か又は少なくとも危険はより少ないと見なされる。本発明の実施形態の中には、同じホスト名に関してＩＰアドレスが以前正当性を立証されたＩＰアドレスとは異なるクラスＢ／Ｃを有している場合、ＩＳＰが要求されたそのＩＰアドレスにクライアントを接続しないものがある。反対に、ＩＳＰは同じホスト名に関してＩＰアドレスが以前正当性を立証されたＩＰアドレスと同じクラスＢ／Ｃを有しているところでは、そのＩＰアドレス向けのリクエストに関してより少ない安全検査をするか又は全く実行しない。
【００３２】
本発明の実施形態において、別のホスト名に関してではなく、ここで説明した種類の特定のホスト名を含んでいるＩＰリクエストに関してのみＩＳＰは、トロイの木馬のＤＮＳ偽装に対する高度のセキュリティチェックを実行する。このようにＩＳＰは、例えばフィッシング／トロイの木馬によって攻撃されそうな、例えば金融会社のような会社に関連するホスト名のリストを作成する。これらのホスト名は、例えばデータベースにおいて、ＩＳＰによって公式のＩＰアドレス関連付けされていて、そのホスト名を含んでいるＩＰリクエストに関するものに関して、ＩＳＰは、要求されたＩＰアドレスとそのデータベースに含まれたものとを比較する。このデータベースは、例えばＩＳＰによる独立した検証によるか又は例えばターゲットになるようなものから公式のリストを取得することによって蓄積される。実施形態の中には、このデータベースが「フィッシング攻撃者」のような既知のＩＰアドレスを含んでいて、及びクライアントの要求されたＩＰアドレスがフィッシング攻撃者のＩＰアドレスの「ブラックリスト」に対して比較されるものもある。実施形態の中には、より攻撃されやすい対象のドメインがＩＳＰにおけるこのデータベースに設置されるように出資又は対価を支払うものもある。つまり例えばｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍがＤＮＳ偽装をするトロイの木馬の好むターゲットであるということを決定し、前記サービスへ登録する。したがって本発明の実施形態を採用するＩＳＰは、ｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍを有するＨｏｓｔヘッダを監視し、及び公式のＩＰアドレスと一致しないＩＰアドレスをつきとめる。
【００３３】
本発明の実施形態では、一旦フィッシング攻撃が検出されると、ＩＳＰは後述する方法のうち１つ又は組み合わせの中から対処することができる。
ＩＳＰが第一の場所にクライアントのＩＰアドレスを設定し、したがってＩＳＰは、そのコンタクト情報及び請求のアドレスと同様、クライアントの身元も知っているということを覚えているであろう。このようにしてＩＳＰは、クライアントＰＣがトロイの木馬によって感染していることをクライアントに積極的に知らせる事ができ、その結果、クライアントとの関係及びサービスのレベルを改善する。
【００３４】
本発明のいくつかの実施形態では、ＩＳＰは第三者へ通知を送信する。その一実施形態では、ＩＳＰはＣｙｏｔａ（登録商標）Ｃｏｎｓｕｍｅｒ Ｓｏｌｕｔｉｏｎｓのような既知の「フィッシング対策者（ｐｈｉｓｈ−ｆｉｇｈｔｅｒ）」、ＲＳＡ Ｓｅｃｕｒｉｔｙ Ｉｎｃ．が提供しているものにコンタクトし、問題を起こすアドレス及びそれに「マップされた」ドメイン名を提供する。その後、フィッシング対策者は、そのフィッシング攻撃のウェブサイトを閉鎖するための行動をとることができる。
【００３５】
本発明の実施形態では、目的のＩＰアドレスがＨｏｓｔヘッダの値と一致しないようなＨＴＴＰリクエストに応答して、ＩＳＰはクライアントに通知を送信する。一実施形態では、ＩＳＰはその彼の／又は彼女のＰＣがトロイの木馬に感染していることを情報提供するページを返し、及びＩＳＰのカスタマーサポート又はそのユーザを援助する第三者にコンタクトすることをクライントに提案する。
【００３６】
最終的に本発明のいくつかの実施形態では、目的のＩＰアドレスがＨｏｓｔヘッダの値と一致しないようなＨＴＴＰリクエストに応答して、ＩＳＰは正しいウェブサイトを単に決定し、その正しいウェブサイトへの再経路設定を隠れて行う。
【００３７】
上述したトロイの木馬によって使用されるＤＮＳ偽装技術の２つのタイプ、すなわちＨｏｓｔｓファイルを変更すること、さらにクライアントマシンによって使用中のＤＮＳサーバを変更することに対して本発明の実施形態が適用可能であることに注意されたい。つまり、ＨＴＴＰリクエストは、依然ＩＳＰを通過し、しかもなお一致しないＩＰとホスト名を有しているので、同じソリューションが適用され得る。
【００３８】
攻撃者のＤＮＳサーバからクライアントへ返されるＤＮＳ応答をＩＳＰが監視することによって、後者の種類の攻撃であろうとも検出することができることにも注意されたい。例えばｗｗｗ．ｎｏｓｕｃｈｂａｎｋ．ｃｏｍを１０．２０．３０．４０へマップするＤＮＳ応答は、フィッシング詐欺がおそらくここで作用していることを示している。実際に本発明の実施形態の中には、疑いを抱きそしてアンチフィッシングの計測をトリガするためにＩＳＰのものではないＤＮＳサーバをクライアントが使用することで十分なものもある。
【００３９】
本発明の実施形態では、ここで新しく提案した方法及び機能を追加する可能な場所は、外部に向かうすべてのデータ通信を見るＨＴＴＰ用の（ＨＴＴＰ−ａｗａｒｅ）装置内である。これは、例えば透過的キャッシュプロキシサーバであってもよい。外部に向かうＨＴＴＰデータ通信を監視する場合には、コンテンツ検閲サーバも適切である。同様にＩＳＰのＬＡＮ上のネットワークのデータ通信の監視を実行する任意の製品にもこの機能を含むことができる。
【００４０】
フィッシング攻撃者は、一般にポート８０接続の使用が後続する慣習に従うという仮定を基にして構成されているプロキシサーバによる遮断といったものを回避又は低減するために、フィッシング電子メール中でポート８０接続ではないものを使用する。クライアントがアドレスバー中に既知の例えば銀行へのリンクをタイプする場合、非標準のポートを含むことは有りそうにない事が注目される。しかし実際、詐欺師がポート８０ではない接続を使用する場合は、通常ポート８０接続であると仮定している透過的プロキシサーバではデータ通信を途中で押さえること（ｉｎｔｅｒｃｅｐｔ）ができない。さらに、この問題を克服するために、透過的プロキシサーバの範囲内で例えば非標準のポートが一旦わかると、そのような非標準ポートを含ませること、又はすべてのデータ通信を調査（監視）することが可能である。
【００４１】
トロイの木馬によるＤＮＳ偽装の検出の代わり又はそれに加えて様々な目的の促進となるものの中で上述の本発明の実施形態が採用され得るということが分るであろう。例えばクライアントマシンのＤＮＳデータ内の機能不良又はデータ破損検出のために使用されてもよい。さらにＨＴＴＰ以外のプロトコル特にリクエスト又はサイトからの応答の中の一部としてホスト名を引用する必要がある場合に本発明が適用されてもよい。
【００４２】
ＩＳＰが本発明の意図する場所又は受益者である一方で、最終的に同じ発明が別の設定と関連し、例えばファイアウォール又はインターネットゲートウェイ、及びローカルのクライアントのマシン上（パーソナルのファイアウォール内）で結集して使用され得ることが分るであろう。後者の実装においては、ＤＮＳマッピング用の信頼すべきソース（例えばＩＳＰのＤＮＳサーバ）が、ホスト名に関連付けされているＩＰアドレスを比較及び検証することに対して信用に値するソースであることを保証するために、そのソリューションに対して有効になっていなければならない。
【００４３】
様々な装置、アーキテクチャ、及び／又はシステム又は装置の一式が、システムを形成し、又は本発明の実施形態による方法を実行し、及び／又は本発明の実施形態による方法を達成する。本発明の様々な実施形態による方法は、１つ以上のプロセッサ又は（例えばメモリ、プロセッサ、ソフトウェア、データベースなどを含む）計算システムによって実行され、例えば様々なサイト又は計算プラットフォームを越えて分散され、一方実施形態による方法の中には、代替として単一のプロセッサ又は計算システムによって実行されるものもある。以下の例示は、本発明の一実施形態によるソリューションのアーキテクチャの要点を説明しており、別の適したアーキテクチャが本発明の別の実施形態によっても可能である。
【００４４】
図１は、本発明のいくつかの実施形態による通信システム（１００）の概略ブロック図を例示したものである。システム（１００）は、例えばクライアント又は申込者（１１０）及びサーバ（１２０）を含んでもよい。システム（１００）は、オプションとして追加的及び／又は別のハードウェアコンポーネント及び／又はソフトウェアコンポーネントを含んでもよい。
【００４５】
クライアント（１１０）は、例えばパーソナルコンピュータ、デスクトップコンピュータ、モバイルコンピュータ、ラップトップコンピュータ、ノートブックコンピュータ、タブレットコンピュータ、個人用携帯情報端末（ＰＤＡ）装置、ワイヤレス通信ステーション、ワイヤレス通信装置、又は同種のものであってもよいし又は含んでもよい。
【００４６】
クライアント（１１０）は、例えばオペレーティングシステム（ＯＳ）（１１１）と同様に、１つ以上のアプリケーション（１１２）、例えばインターネットブラウザアプリケーション、電子メールクライアント、又は同種のものも含んでもよい。クライアント（１１０）は、さらにｈｏｓｔｓファイル（１１３）及び／又はネットワークスタック（１１４）例えばＴＣＰ／ＩＰスタックを含んでもよい。
【００４７】
クライアント（１１０）は、例えば１つ以上のワイヤードリンク、１つ以上のワイヤレスリンク、１つ以上のコネクション、ネットワークリンク、ＴＣＰ／ＩＰリンク、ＩＰｖ６リンク、又は１つ以上の中継ユニット（例えばゲートウェイ、プロキシ、又は同種のもの）を含むリンクであるリンク（１３０）を使用してサーバ（１２０）と通信してもよい。
【００４８】
サーバ（１２０）は、例えばＩＳＰに設置されたインターネットサーバであってもよいし又は含んでいてもよい。サーバ（１２０）は、リンク（１３０）を介して例えばＩＰリクエストそれ自体を含むＩＰリクエストの通知をクライアント（１１０）から受信してもよい。サーバ（１２０）のアナライザ（１２１）は、例えば要求されたホスト名のプロパティが要求されたＩＰアドレスのプロパティと一致するか否かチェックするために、その受信したＩＰリクエストを解析してもよい。前述したように、相互に対して一致したプロパティは、例えばＩＰアドレス、及び／又は１つ以上の他のプロパティであってもよい。例えばそのＩＰリクエストの中に含まれる要求されたホスト名を基にして、サーバプロセッサ又はアナライザ（１２１）は、そのＩＰリクエスト以外のソースから、例えばローカルの又はリモートのＤＮＳルックアップテーブル（１２２）又は同種のものから対応するＩＰアドレスを取得してもよい。そのＩＰリクエスト以外のソースから取得されたＩＰアドレスは、ここでは本当の又は「真のＩＰアドレス」と呼ぶ。
【００４９】
アナライザ（１２０）は、受信したＩＰリクエスト中に含まれるＩＰアドレスがそのＩＰリクエスト以外のソースから取得された真のＩＰアドレスと同一であるかをチェックしてもよい。そのチェック結果が肯定の場合、アナライザ（１２０）がそのＩＰアドレスは、悪意がないと判定し、サーバ（１２０）は、そのＩＰリクエストを受信したものそのままとして処理するために次に進む。チェック結果が否定の場合、アナライザ（１２０）がそのＩＰリクエストは悪意があるものとし、サーバ（１２０）は、例えばそのＩＰリクエストを受信したものそのままとして処理をせず、及び／又はその代わり又は追加として、１つ以上の所定の処理手続き例えばハンドラ（１２３）を使って実行する。
【００５０】
一実施形態では、例えばハンドラ（１２３）がクライアント（１１０）から受信したＩＰリクエストは悪意ありと判定されたという通知をクライアント（１１０）へ送信してもよい。別の実施形態では、クライアント（１１０）から受信したＩＰリクエストは悪意ありと判定されたという通知をハンドラ（１２３）が第三者例えばシステム管理者、アンチウィルスメーカ、フィッシング対策者又は同種のものへ送信してもよい。さらに別の実施形態では、ハンドラ（１２３）がクライアント（１１０）から受信したＩＰリクエストは悪意ありと判定されたという通知を含む特定のウェブサイト又はウェブページへクライアント（１１０）の出力先が変更されるように、通信の出力先を変更（リダイレクト）してもよい。またさらに別の実施形態では、ハンドラ（１２３）がそのＩＰリクエスト中に含まれたＩＰアドレスの代わりに（例えばそのＩＰリクエスト以外のソースから取得した）本当の又は真のＩＰアドレスへクライアント（１１０）を出力先変更されるように通信をリダイレクトしてもよい。実施形態の中には、上記の１つ以上の手続きが使用されてもよいし、及び／又は別の適応した手続きが使用されてもよい。
【００５１】
ここでの論議の一部は例示目的のため、ＩＰリクエスト中に含まれるＩＰアドレスと（例えばＩＰリクエスト以外のソースからの取得した）本当の即ち真のＩＰアドレスとの比較に関連するものであるが、別の適切な比較及び／又は解析が実行されてもよい。実施形態の中には、例えば要求されたＩＰアドレスの少なくとも１つのプロパティが所望のホスト名に対応するプロパティと比較されてもよい。例えばＩＰアドレスの比較の代わりに又は追加として、アナライザ（１２１）は例えばリバースＤＮＳルックアップ又はローカルの又はリモートのＷＨＯＩＳデータベースを使用して、所望のホスト名及び要求されたＩＰアドレス双方のドメイン所有者の比較をしてもよい。
【００５２】
図２は、本発明のいくつかの実施形態によるＤＮＳ偽装の検出及び緩和する方法の概略流れ図である。その方法のオペレーションは、例えば図１のシステム（１００）、図１のサーバ（１２０）、及び／又は別の適したトランシーバ、ユニット、ステーション、装置、及び／又はシステムによって実装されてもよい。
【００５３】
ボックス（２１０）で示すように、方法は例えばクライアントからサーバによる例えばＩＰリクエストの受信をオプションとして含んでもよい。
ボックス（２２０）で示すように、方法は例えばＩＰリクエスト中に含まれるＩＰアドレスのプロパティとそのリクエスト中に含まれる対応するホスト名のプロパティの比較をオプションとして含んでいてもよい。これは例えばＩＰリクエスト中に含まれるＩＰアドレスとＩＰリクエスト以外のソースから取得した（例えばＩＰリクエスト中に含まれる要求されたホスト名を基にした）真のＩＰアドレスとの比較を含んでいてもよい。
【００５４】
ボックス（２３０）で示すように、方法は例えば比較結果がＩＰリクエストは悪意を持っているということを示しているか否かをチェックすることをオプションとして含んでもよい。
【００５５】
ＩＰリクエストが悪意を持っていない場合（矢印２３１）、方法は例えば受信した通りのそのＩＰリクエストの実行（ボックス２４０）をオプションとして含んでもよい。
反対に、ＩＰリクエストが悪意を持っている場合（矢印２３２）、方法は例えば１つ以上のハンドリング手続き（ボックス２５０）の実行をオプションとして含んでもよい。これは、例えばそのクライアントへの通知の送信、第三者への通知の送信、通知を表示するウェブサイトへクライアントの出力先を変更（リダイレクト）、本当の又は真のＩＰアドレスを基にしたウェブサイトへクライアントの出力先を変更（リダイレクト）、及び／又は他の適したハンドリング手続きを含んでもよい。
【００５６】
別の適したオペレーション又はオペレーションの一式が本発明の実施形態によって使用されてもよい。
実施形態の中には、その方法は、例えば１つ以上の所定のユーザ、申込者、スポンサ団体、又は同種のものに関してのみ選択的に実装されてもよいものがある。一実施形態では、例えばスポンサ団体（例えば銀行団体、保険プロバイダ、クレジットカードプロバイダ、又は同種のもの）は、ホスト名及び／又はＩＰリクエストによってスポンサ団体を参照する（例えば様々なユーザから来る）ＩＰリクエストをＩＳＰが監視し、かつ前記ＩＰリクエストが悪意を持っているか否かをチェックするように、ＩＳＰに登録してもよい。別の実施形態では、例えばコンピュータユーザは、そのコンピュータユーザから来るＩＰリクエストをＩＳＰが監視し、かつ前記ＩＰリクエストが悪意を持っているか否かをチェックするようにＩＳＰに登録してもよい。別の適した登録方法が本発明の実施形態においてオプションとして使用されてもよい。
【００５７】
この分野の当業者にとって、本発明の実施形態がこれまでに示し、詳細に記述してきた具体的なものによって限定されるものではないということが理解されるであろう。もっと正確に言えば、本発明の少なくとも一実施形態の範囲は、本発明の請求範囲によって定義される。
【図面の簡単な説明】
【００５８】
【図１】本発明の一実施形態による通信システムの概略ブロック図である。
【図２】本発明の一実施形態によるＤＮＳ偽装を検出及び緩和するための方法を例示している流れ図である。
【特許請求の範囲】
【請求項１】
偽装検出の方法が、ＩＰリクエスト通知の受信からなり、前記ＩＰリクエストは、要求されたＩＰアドレスと所望のホスト名とに関連付けされていて、前記要求されたＩＰアドレスが前記所望のホスト名と一致するか否かを検出することからなる偽装検出方法。
【請求項２】
前記要求されたＩＰアドレスが前記所望のホスト名と一致するか否かを検出するステップが、前記要求されたＩＰアドレスの少なくとも１つのプロパティと前記所望のホスト名の比較され得るプロパティとの比較からなる請求項１記載の方法。
【請求項３】
前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに前記ＩＰアドレスへの接続の防止を含む請求項１記載の方法。
【請求項４】
前記検出ステップが、前記要求されたＩＰアドレスに関連付けされた真のホスト名の取得、及び前記真のホスト名と前記所望のホスト名との比較からなる請求項１記載の方法。
【請求項５】
前記要求されたＩＰアドレスに関連付けされた真のホスト名の取得がリバースＤＮＳルックアップデータベースの使用からなる請求項４記載の方法。
【請求項６】
前記要求されたＩＰアドレスに関連付けされた真のホスト名の取得が前記要求されたＩＰアドレスの身元を検索するためのＷＨＯＩＳデータベースの使用からなる請求項４記載の方法。
【請求項７】
前記ＩＰリクエストが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに前記申込者への通知の送信を含む請求項１記載の方法。
【請求項８】
前記ＩＰリクエストが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに前記申込者に情報提供するインターネットウェブサイトへ前記申込者を導くことを含む請求項１記載の方法。
【請求項９】
前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに第三者への通知送信を含む請求項１記載の方法。
【請求項１０】
前記ＩＰリクエストが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに前記所望のホスト名と関連付けされた正しいＩＰアドレスの取得と、前記正しいＩＰアドレスへ前記申込者を導くことを含むこと特徴とする請求項１記載の方法。
【請求項１１】
前記ＩＰリクエストの前記通知が申込者へ向けられたドメインネームサーバからの応答であって、前記応答が前記要求されたＩＰアドレスを含むことを特徴とする請求項１記載の方法。
【請求項１２】
前記通知がインタネットサービスプロバイダ（ＩＳＰ）によって前記ＩＳＰの申込者から受信されたＩＰリクエストであることを特徴とする請求項１記載の方法。
【請求項１３】
ネットワークアドレスへ送信されたリクエストの通知の受信からなる方法であって、前記リクエストは、要求されたネットワークアドレス及び所望のホスト名が関連付けされていて、前記要求されたネットワークアドレスが前記所望のホスト名と一致するか否かを検出することからなる方法。
【請求項１４】
前記ネットワークアドレスがＩＰｖ６ネットワークアドレスであることを特徴とする請求項１３記載の方法。
【請求項１５】
ＩＰリクエストの通知を受信するアナライザからなるシステムであって、前記ＩＰリクエストは要求されたＩＰアドレス及び所望のホスト名が関連付けされていて、前記要求されたＩＰアドレスが前記所望のホスト名と一致するか否かを検出するアナライザからなるシステム。
【請求項１６】
前記アナライザは、前記要求されたＩＰアドレスの少なくとも１つのプロパティと前記所望のホスト名の比較され得るプロパティとの比較を特徴とする請求項１５記載のシステム。
【請求項１７】
前記ＩＰアドレスが前記ホスト名と一致しない場合、前記ＩＰアドレスへの接続を防止することを特徴とする請求項１５記載のシステム。
【請求項１８】
前記アナライザが、前記要求されたＩＰアドレスに関連付けされた真のホスト名の取得、及び前記真のホスト名と前記所望のホスト名との比較をすることを特徴とする請求項１５記載のシステム。
【請求項１９】
前記アナライザがリバースＤＮＳルックアップデータベースを使用して前記要求されたＩＰアドレスに関連付けされた前記真のホスト名を取得することを特徴とする請求項１８記載のシステム。
【請求項２０】
前記アナライザが前記要求されたＩＰアドレスの身元を検索可能なＷＨＯＩＳデータベースを使用して前記要求されたＩＰアドレスに関連付けされた前記真のホスト名を取得することを特徴とする請求項１８記載のシステム。
【請求項２１】
前記ＩＰリクエストが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、前記システムが前記申込者へ通知を送信することを特徴とする請求項１５記載のシステム。
【請求項２２】
前記ＩＰリクエストが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、前記システムが前記申込者に情報提供するインターネットウェブサイトへ前記申込者を導くことを特徴とする請求項１５記載のシステム。
【請求項２３】
前記ＩＰアドレスが前記ホスト名と一致しない場合、前記システムが第三者へ通知を送信することを特徴とする請求項１５記載のシステム。
【請求項２４】
前記ＩＰリクエストが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、前記所望のホスト名と関連付けされた正しいＩＰアドレスの取得と、前記正しいＩＰアドレスへ前記申込者を導くことを特徴とする請求項１５記載のシステム。
【請求項２５】
前記ＩＰリクエストの前記通知が申込者へ向けられたドメインネームサーバからの応答であって、前記応答が前記要求されたＩＰアドレスを含むことを特徴とする請求項１５記載のシステム。
【請求項２６】
前記通知がインターネットサービスプロバイダ（ＩＳＰ）によって前記ＩＳＰの申込者から受信されたＩＰリクエストであることを特徴とする請求項１５記載のシステム。
【請求項２７】
前記アナライザがサーバコンピュータ内に含まれていて、さらに前記サーバコンピュータへＩＰリクエストの前記通知を送信するクライアント計算プラットフォームを含む請求項１５記載のシステム。
【請求項２８】
計算装置にて、要求された物理アドレス及び論理アドレスを関連付けされている計算要素の、物理アドレスを含む通知を受信することと、
前記要求された物理アドレスが前記論理アドレスと一致するか否かを判定することとからなる方法。
【請求項２９】
前記物理アドレスが、インターネットサイトのＩＰアドレス、ネットワークアドレス、ＩＰｖ６アドレス、及び電子メールヘッダのうち少なくともヘッダの一部からなる一群から選択されることを特徴とする請求項２８記載の方法。
【請求項３０】
前記論理アドレスが、ホスト名、及びユニフォームリソースロケータ（ＵＲＬ）からなる一群から選択されることを特徴とする請求項２８記載の方法。
【請求項３１】
前記計算装置がパーソナルコンピュータ（ＰＣ）、ＤＮＳサーバ、ＨＴＴＰサーバ、及びファイアウォール装置からなる一群から選択されることを特徴とする請求項２８記載の方法。
【請求項３２】
前記要求された物理アドレスが前記論理アドレスと一致するか否かを判定する前記ステップが、ＷＨＯＩＳデータベースの使用からなる請求項２８記載の方法。
【請求項３３】
前記要求された物理アドレスが前記論理アドレスと一致するか否かの前記判定が、前記要求された物理アドレスを使用してＤＮＳサーバへのＤＮＳクエリを実行することと、前記論理アドレスへ前記ＤＮＳクエリに応答して返された論理アドレスを比較することとからなる請求項２８記載の方法。
【請求項３４】
前記要求されたＩＰアドレスが所定のＩＰアドレスのホワイトリストに存在するか否かを判定することを含む請求項２記載の方法。
【請求項３５】
前記要求されたＩＰアドレスが所定のＩＰアドレスのブラックリストに存在しないかどうかを判定することを含む請求項２記載の方法。
【請求項３６】
前記要求されたＩＰアドレスが所定のドメイン名に対応していないかどうかを判定することを含む請求項２記載の方法。
【請求項３７】
検出が、キャッシュ代理サーバ、内容検閲サーバ、ＨＴＴＰ用（ＨＴＴＰ−ａｗａｒｅ）装置、ネットワークデータを監視可能な装置、透過な代理サーバ、及び複数の分散計算プラットフォームのうち少なくとも１つを利用した検出からなる請求項２記載の方法。
【請求項３８】
前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに前記ＩＰリクエストが送信されたところのネットワークを管理する団体への通知を含む請求項１記載の方法。
【請求項３９】
前記ＩＰアドレスが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに前記所望のホスト名と関連付けされた正しいＩＰアドレスを取得することを含む請求項１記載の方法。
【請求項４０】
物理アドレスクラスを基に、前記要求されたＩＰアドレスが前記所望のホスト名と一致するか否かを検出することからなる請求項１記載の方法。
【請求項４１】
所定のＩＰアドレスのリストを含む物理アドレスクラスを基に、前記要求されたＩＰアドレスが前記所望のホスト名と一致するか否かを検出することからなる請求項１記載の方法。
【請求項４２】
さらに前記ＩＰリクエストを修正するオペレーションを実行することを含む請求項１記載の方法。
【請求項４３】
前記修正オペレーションが、前記ＩＰリクエストを発したクライアントへの通知、前記ＩＰリクエストを発したクライアント内のトロイの木馬の駆除、信頼されているソースからの正しいＩＰアドレスの取得、前記ＩＰリクエストを発したクライアントへのセキュリティ通知の送信、アンチウィルスメーカへ通知の送信、隠れた再経路指定（リルーティング）の実行、フィッシング対策団体へ通知の送信、及びヘルプデスクとの連絡からなる一群から選択することを特徴とする請求項１記載の方法。
【請求項４４】
さらにＩＳＰのサーバにおいて前記ＩＰリクエストの修正オペレーションを実行することを含む請求項１記載の方法。
【請求項４５】
さらに前記所望のホスト名がスポンサ団体に相当する場合、前記要求されたＩＰアドレスが前記所望のホスト名と一致しているか否かを検知することを含む請求項１記載の方法。
【請求項４６】
さらに前記所望のホスト名がスポンサ団体に相当する場合、前記ＩＰリクエストの修正ステップを実行することを含む請求項１記載の方法。
【請求項４７】
さらに前記所望のホスト名がスポンサ団体に相当する場合、ＩＳＰのサーバにおいて前記ＩＰリクエストの修正ステップを実行することを含む請求項１記載の方法。
【請求項４８】
さらに前記所望のホスト名がスポンサ団体に相当する場合、前記スポンサ団体に通知することを含む請求項１記載の方法。
【請求項４９】
前記要求されたＩＰアドレスが所定のドメイン名に対応していないかどうかをＩＳＰサーバによって判定することからなる請求項２記載の方法。
【請求項５０】
前記要求されたＩＰアドレスが所定のドメイン名に対応していないかどうかをファイアウォールサーバによって判定することからなる請求項２記載の方法。
【請求項５１】
前記要求されたＩＰアドレスが所定のドメイン名に対応していないかどうかをインターネットゲートウェイによって判定することからなる請求項２記載の方法。
【請求項５２】
前記要求されたＩＰアドレスが所定のドメイン名に対応していないかどうかをパーソナルコンピュータによって判定することからなる請求項２記載の方法。
【請求項１】
偽装検出の方法が、ＩＰリクエスト通知の受信からなり、前記ＩＰリクエストは、要求されたＩＰアドレスと所望のホスト名とに関連付けされていて、前記要求されたＩＰアドレスが前記所望のホスト名と一致するか否かを検出することからなる偽装検出方法。
【請求項２】
前記要求されたＩＰアドレスが前記所望のホスト名と一致するか否かを検出するステップが、前記要求されたＩＰアドレスの少なくとも１つのプロパティと前記所望のホスト名の比較され得るプロパティとの比較からなる請求項１記載の方法。
【請求項３】
前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに前記ＩＰアドレスへの接続の防止を含む請求項１記載の方法。
【請求項４】
前記検出ステップが、前記要求されたＩＰアドレスに関連付けされた真のホスト名の取得、及び前記真のホスト名と前記所望のホスト名との比較からなる請求項１記載の方法。
【請求項５】
前記要求されたＩＰアドレスに関連付けされた真のホスト名の取得がリバースＤＮＳルックアップデータベースの使用からなる請求項４記載の方法。
【請求項６】
前記要求されたＩＰアドレスに関連付けされた真のホスト名の取得が前記要求されたＩＰアドレスの身元を検索するためのＷＨＯＩＳデータベースの使用からなる請求項４記載の方法。
【請求項７】
前記ＩＰリクエストが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに前記申込者への通知の送信を含む請求項１記載の方法。
【請求項８】
前記ＩＰリクエストが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに前記申込者に情報提供するインターネットウェブサイトへ前記申込者を導くことを含む請求項１記載の方法。
【請求項９】
前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに第三者への通知送信を含む請求項１記載の方法。
【請求項１０】
前記ＩＰリクエストが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに前記所望のホスト名と関連付けされた正しいＩＰアドレスの取得と、前記正しいＩＰアドレスへ前記申込者を導くことを含むこと特徴とする請求項１記載の方法。
【請求項１１】
前記ＩＰリクエストの前記通知が申込者へ向けられたドメインネームサーバからの応答であって、前記応答が前記要求されたＩＰアドレスを含むことを特徴とする請求項１記載の方法。
【請求項１２】
前記通知がインタネットサービスプロバイダ（ＩＳＰ）によって前記ＩＳＰの申込者から受信されたＩＰリクエストであることを特徴とする請求項１記載の方法。
【請求項１３】
ネットワークアドレスへ送信されたリクエストの通知の受信からなる方法であって、前記リクエストは、要求されたネットワークアドレス及び所望のホスト名が関連付けされていて、前記要求されたネットワークアドレスが前記所望のホスト名と一致するか否かを検出することからなる方法。
【請求項１４】
前記ネットワークアドレスがＩＰｖ６ネットワークアドレスであることを特徴とする請求項１３記載の方法。
【請求項１５】
ＩＰリクエストの通知を受信するアナライザからなるシステムであって、前記ＩＰリクエストは要求されたＩＰアドレス及び所望のホスト名が関連付けされていて、前記要求されたＩＰアドレスが前記所望のホスト名と一致するか否かを検出するアナライザからなるシステム。
【請求項１６】
前記アナライザは、前記要求されたＩＰアドレスの少なくとも１つのプロパティと前記所望のホスト名の比較され得るプロパティとの比較を特徴とする請求項１５記載のシステム。
【請求項１７】
前記ＩＰアドレスが前記ホスト名と一致しない場合、前記ＩＰアドレスへの接続を防止することを特徴とする請求項１５記載のシステム。
【請求項１８】
前記アナライザが、前記要求されたＩＰアドレスに関連付けされた真のホスト名の取得、及び前記真のホスト名と前記所望のホスト名との比較をすることを特徴とする請求項１５記載のシステム。
【請求項１９】
前記アナライザがリバースＤＮＳルックアップデータベースを使用して前記要求されたＩＰアドレスに関連付けされた前記真のホスト名を取得することを特徴とする請求項１８記載のシステム。
【請求項２０】
前記アナライザが前記要求されたＩＰアドレスの身元を検索可能なＷＨＯＩＳデータベースを使用して前記要求されたＩＰアドレスに関連付けされた前記真のホスト名を取得することを特徴とする請求項１８記載のシステム。
【請求項２１】
前記ＩＰリクエストが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、前記システムが前記申込者へ通知を送信することを特徴とする請求項１５記載のシステム。
【請求項２２】
前記ＩＰリクエストが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、前記システムが前記申込者に情報提供するインターネットウェブサイトへ前記申込者を導くことを特徴とする請求項１５記載のシステム。
【請求項２３】
前記ＩＰアドレスが前記ホスト名と一致しない場合、前記システムが第三者へ通知を送信することを特徴とする請求項１５記載のシステム。
【請求項２４】
前記ＩＰリクエストが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、前記所望のホスト名と関連付けされた正しいＩＰアドレスの取得と、前記正しいＩＰアドレスへ前記申込者を導くことを特徴とする請求項１５記載のシステム。
【請求項２５】
前記ＩＰリクエストの前記通知が申込者へ向けられたドメインネームサーバからの応答であって、前記応答が前記要求されたＩＰアドレスを含むことを特徴とする請求項１５記載のシステム。
【請求項２６】
前記通知がインターネットサービスプロバイダ（ＩＳＰ）によって前記ＩＳＰの申込者から受信されたＩＰリクエストであることを特徴とする請求項１５記載のシステム。
【請求項２７】
前記アナライザがサーバコンピュータ内に含まれていて、さらに前記サーバコンピュータへＩＰリクエストの前記通知を送信するクライアント計算プラットフォームを含む請求項１５記載のシステム。
【請求項２８】
計算装置にて、要求された物理アドレス及び論理アドレスを関連付けされている計算要素の、物理アドレスを含む通知を受信することと、
前記要求された物理アドレスが前記論理アドレスと一致するか否かを判定することとからなる方法。
【請求項２９】
前記物理アドレスが、インターネットサイトのＩＰアドレス、ネットワークアドレス、ＩＰｖ６アドレス、及び電子メールヘッダのうち少なくともヘッダの一部からなる一群から選択されることを特徴とする請求項２８記載の方法。
【請求項３０】
前記論理アドレスが、ホスト名、及びユニフォームリソースロケータ（ＵＲＬ）からなる一群から選択されることを特徴とする請求項２８記載の方法。
【請求項３１】
前記計算装置がパーソナルコンピュータ（ＰＣ）、ＤＮＳサーバ、ＨＴＴＰサーバ、及びファイアウォール装置からなる一群から選択されることを特徴とする請求項２８記載の方法。
【請求項３２】
前記要求された物理アドレスが前記論理アドレスと一致するか否かを判定する前記ステップが、ＷＨＯＩＳデータベースの使用からなる請求項２８記載の方法。
【請求項３３】
前記要求された物理アドレスが前記論理アドレスと一致するか否かの前記判定が、前記要求された物理アドレスを使用してＤＮＳサーバへのＤＮＳクエリを実行することと、前記論理アドレスへ前記ＤＮＳクエリに応答して返された論理アドレスを比較することとからなる請求項２８記載の方法。
【請求項３４】
前記要求されたＩＰアドレスが所定のＩＰアドレスのホワイトリストに存在するか否かを判定することを含む請求項２記載の方法。
【請求項３５】
前記要求されたＩＰアドレスが所定のＩＰアドレスのブラックリストに存在しないかどうかを判定することを含む請求項２記載の方法。
【請求項３６】
前記要求されたＩＰアドレスが所定のドメイン名に対応していないかどうかを判定することを含む請求項２記載の方法。
【請求項３７】
検出が、キャッシュ代理サーバ、内容検閲サーバ、ＨＴＴＰ用（ＨＴＴＰ−ａｗａｒｅ）装置、ネットワークデータを監視可能な装置、透過な代理サーバ、及び複数の分散計算プラットフォームのうち少なくとも１つを利用した検出からなる請求項２記載の方法。
【請求項３８】
前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに前記ＩＰリクエストが送信されたところのネットワークを管理する団体への通知を含む請求項１記載の方法。
【請求項３９】
前記ＩＰアドレスが申込者によって作成されていて、かつ前記ＩＰアドレスが前記ホスト名と一致しない場合、さらに前記所望のホスト名と関連付けされた正しいＩＰアドレスを取得することを含む請求項１記載の方法。
【請求項４０】
物理アドレスクラスを基に、前記要求されたＩＰアドレスが前記所望のホスト名と一致するか否かを検出することからなる請求項１記載の方法。
【請求項４１】
所定のＩＰアドレスのリストを含む物理アドレスクラスを基に、前記要求されたＩＰアドレスが前記所望のホスト名と一致するか否かを検出することからなる請求項１記載の方法。
【請求項４２】
さらに前記ＩＰリクエストを修正するオペレーションを実行することを含む請求項１記載の方法。
【請求項４３】
前記修正オペレーションが、前記ＩＰリクエストを発したクライアントへの通知、前記ＩＰリクエストを発したクライアント内のトロイの木馬の駆除、信頼されているソースからの正しいＩＰアドレスの取得、前記ＩＰリクエストを発したクライアントへのセキュリティ通知の送信、アンチウィルスメーカへ通知の送信、隠れた再経路指定（リルーティング）の実行、フィッシング対策団体へ通知の送信、及びヘルプデスクとの連絡からなる一群から選択することを特徴とする請求項１記載の方法。
【請求項４４】
さらにＩＳＰのサーバにおいて前記ＩＰリクエストの修正オペレーションを実行することを含む請求項１記載の方法。
【請求項４５】
さらに前記所望のホスト名がスポンサ団体に相当する場合、前記要求されたＩＰアドレスが前記所望のホスト名と一致しているか否かを検知することを含む請求項１記載の方法。
【請求項４６】
さらに前記所望のホスト名がスポンサ団体に相当する場合、前記ＩＰリクエストの修正ステップを実行することを含む請求項１記載の方法。
【請求項４７】
さらに前記所望のホスト名がスポンサ団体に相当する場合、ＩＳＰのサーバにおいて前記ＩＰリクエストの修正ステップを実行することを含む請求項１記載の方法。
【請求項４８】
さらに前記所望のホスト名がスポンサ団体に相当する場合、前記スポンサ団体に通知することを含む請求項１記載の方法。
【請求項４９】
前記要求されたＩＰアドレスが所定のドメイン名に対応していないかどうかをＩＳＰサーバによって判定することからなる請求項２記載の方法。
【請求項５０】
前記要求されたＩＰアドレスが所定のドメイン名に対応していないかどうかをファイアウォールサーバによって判定することからなる請求項２記載の方法。
【請求項５１】
前記要求されたＩＰアドレスが所定のドメイン名に対応していないかどうかをインターネットゲートウェイによって判定することからなる請求項２記載の方法。
【請求項５２】
前記要求されたＩＰアドレスが所定のドメイン名に対応していないかどうかをパーソナルコンピュータによって判定することからなる請求項２記載の方法。
【図１】
【図２】
【図２】
【公表番号】特表２００８−５３２１３３（Ｐ２００８−５３２１３３Ａ）
【公表日】平成２０年８月１４日（２００８．８．１４）
【国際特許分類】
【出願番号】特願２００７−５５６７１１（Ｐ２００７−５５６７１１）
【出願日】平成１８年２月２６日（２００６．２．２６）
【国際出願番号】ＰＣＴ／ＩＬ２００６／０００２５４
【国際公開番号】ＷＯ２００６／０９０３９２
【国際公開日】平成１８年８月３１日（２００６．８．３１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＷＩＮＤＯＷＳ
２．ＵＮＩＸ
【出願人】（５００１９８８４１）アールエスエイ セキュリティー インコーポレーテッド (4)
【Ｆターム（参考）】
【公表日】平成２０年８月１４日（２００８．８．１４）
【国際特許分類】
【出願日】平成１８年２月２６日（２００６．２．２６）
【国際出願番号】ＰＣＴ／ＩＬ２００６／０００２５４
【国際公開番号】ＷＯ２００６／０９０３９２
【国際公開日】平成１８年８月３１日（２００６．８．３１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＷＩＮＤＯＷＳ
２．ＵＮＩＸ
【出願人】（５００１９８８４１）アールエスエイ セキュリティー インコーポレーテッド (4)
【Ｆターム（参考）】
[ Back to top ]