DNSキャッシュサーバの問い合わせログを用いたボットの発見

抄録

ボットは攻撃者が用意した指令サーバへ接続し，DoSやスパム送信などの攻撃をする特徴があり，インターネット上での脅威となっている．DNSにおける名前解決はドメイン名から接続先のIPアドレスを得るための仕組みである．ボットは定期的に指令サーバへ接続する．また，指令サーバへの名前解決は正規ユーザが問い合わせないドメイン名である可能性が高い．そのため，学内LANにおいてボットを発見するには名前解決の問い合わせ状況を把握することが有効であると考えられる．本研究では，学内に設置しているDNSキャッシュサーバのログから，問い合わせをしたIPアドレスと問い合わせられたドメイン名の組み合わせの集計し，学内LANにおけるボットの探索をした．