PTRレコードの連続的設定を加味した動的IPアドレスブロックおよびクラウド領域検出

摘要

サイバー攻撃ではマルウェアに感染しボット化したマルウェア感染端末からの攻撃が多い．このようなマルウェアに感染したホストの多くは主に一般のユーザのものである．それらのIP アドレスの多くは動的IP アドレスである．このような攻撃や異常トラヒックに対してIP アドレスで対処することがある．しかし，動的IP アドレスは設定や状況によって必ずしも同一マシンに同一のIP アドレスが振られるわけではない．したがって，IP アドレスを基に正確なサイバー攻撃の対策を実施するためには，対象のIP アドレスが動的かどうか把握する必要がある．従来の動的IP アドレスブロックの特定手法には，対象IP アドレスのPTR レコード（DNS 定義ファイルに設定される逆引きのレコードでIP アドレスに対するホスト名を示す）に含まれる文字列を利用したキーワードマッチングや，対象IP アドレスから送出されるトラヒック観測がある．しかし，事前に指定するキーワードでは網羅できない領域がある．また，実トラヒックを広く取得可能な事業者は限定される．本稿では動的IP アドレスブロックのPTR レコードは連続的に設定されることが多いという特徴に着目して，動的IP アドレスブロックを判別する手法を提案する．大規模かつ多様な範囲の実データを利用した評価の結果，提案手法は従来手法と比較して高精度の正解率を保持しながらPTR レコード登録があるすべてのIP アドレスに対して判別が可能であることを確認できた．また，この手法で得られる情報とクラウド領域（クラウドサービスで利用されるIP アドレスブロック）の特徴を用いてクラウド領域を識別可能であることを確認した．