DNSシンクホールとハニーポットを用いた不正FQDNに対する通信観測システムの開発

• Item type: SIG Technical Reports(1)
• 公開日: 2018-05-10
• タイトル: DNSシンクホールとハニーポットを用いた不正FQDNに対する通信観測システムの開発
• タイトル / 言語: en
• タイトル: Development of a monitoring system for communication to illegal FQDNs using the DNS sinkhole and the honeypot
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: 攻撃検知
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 大分大学大学院工学研究科工学専攻知能情報システム工学コース
• 著者所属: 大分大学理工学部共創理工学科知能情報システムコース
• 著者所属: 大分大学学術情報拠点情報基盤センター
• 著者所属(英): en
• 著者所属(英): Course of Computer Science and Intelligent Systems, Graduate School of Engineering, Oita University
• 著者所属(英): en
• 著者所属(英): Division of Computer Science and Intelligent Systems, Department of Integrated Science and Technology, Faculty of Science and Technology, Oita University
• 著者所属(英): en
• 著者所属(英): Center for Academic Information and Library Services, Oita University
• 著者名: 佐保, 航輝; 池部, 実; 吉田, 和幸
• 著者名(英): Koki, Saho; Minoru, Ikebe; Kazuyuki, Yoshida
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: インターネットではドメイン名を悪用した詐欺や攻撃が多く発生している．不正な FQDN を用いた Web サーバに接続することで，フィッシング被害やマルウェア感染などの被害が発生する．不正 FQDN に対する接続を阻止する手法の一つとして DNS シンクホールがある．DNS シンクホールは C & C サーバの FQDN やフィッシングサイトの FQDN などの不正な FQDN に対するクライアントからの問い合わせについて，本来とは異なる回答を返して悪意のあるサーバへの接続性を防ぐ．現在大分大学理工学部知能情報システムコース内で DNS シンクホールを運用し，登録している不正 FQDN に対してループバックアドレスを返している．本研究では不正 FQDN に接続を試みるクライアントを検知，挙動の分析を目的として，DNS シンクホールとハニーポットを用いて不正 FQDN に対する通信を観測するシステムを構築した．DNS シンクホールからの回答としてハニーポットの IP アドレスを返すことで当該通信をハニーポットへ誘導し，不正 FQDN を問い合わせたクライアントの通信の分析を可能とする．本観測システムではハニーポットによって収集されたクライアントからの HTTP リクエストを分析することで，ブラックリストに記載された FQDN のみでは分析できない接続後の挙動やどのように攻撃を行うかなどを分析する．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Abused domain names occurs cyber criminals on the Internet. Users suffer from phishing scam or malware infection when connected to Web server with the use of the illegal FQNDs. A DNS sinkhole is one of a method to prevent the connection to the illegal FQDNs. The DNS sinkhole responses a fake answer against the inquiry of illegal FQDN. Therefore, the administrator blocks the connection to a malicious server from clients. Now, we operate DNS sinkhole in our division's network. Our DNS sinkhole responses the loopback address to the inquiry of illegal FQDN. Our research purpose is to detect the connection to illegal FQDN from the client and to analyze the behavior of the client. Therefore, we develop a monitoring system for the communication to the illegal FQDN using the DNS sinkhole and the honeypot. The DNS sinkhole responses the IP address of honeypot. Our system collects the connection by the honeypot. Our monitoring system focuses the HTTP request from the client. We are able to analyze the communication of the client against the illegal FQDN. Our system not only bans the illegal connection but also monitor possible.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA11235941
• 書誌情報: 研究報告コンピュータセキュリティ（CSEC）; 巻 2018-CSEC-81, 号 18, p. 1-7, 発行日 2018-05-10
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8655
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会