ドメインを用いないWeb アクセスに着目した悪性サイト検知手法の提案

摘要

改ざんされた正規のWeb サイトや不正な広告を利用してユーザを悪性Web サイトに誘導し，Web ブラウザの脆弱性を悪用してマルウェアを強制的にダウンロード・実行させる Drive-by Download 攻撃が問題となっている．このようなDBD 攻撃を行う悪性サイトの中には，ドメインを持たずにIP アドレスを直接指定して通信を行うものが存在する．本稿では，エンドユーザから得られる膨大なWeb アクセスログの中から，DBD 攻撃などに用いられる悪性サイトのIP アドレスを検知する手法を提案する．具体的には，Web アクセスログの中からIP アドレスを直接指定したアクセスに着目し，IP アドレス空間，ユーザアクセス，URL 文字列を分析して5 つの特徴量を抽出する．そして，機械学習を適用することで判定器を作成し，悪性サイトのIP アドレスを検知する．評価実験の結果，最も精度の高い判定器が90.09％の検知率を示した．