Botnet hosts, which can be controlled by malicious operators for executing DDoS attacks or spamming, have been one of the major concerns of Internet security. One of the promising approaches for detecting those hosts is monitoring DNS traffic and detecting botnet-infected hosts by using black domain names. However, black domain name lists obtained through these methods may have a problem in their accuracy in that they do not cover all domain names caused by botnets. In addition, they may contain domain names that are not involved with botnet activities. In this paper, we propose a method to improve the accuracy of a black domain name list by using a DNS query graph, which composed with nodes of hosts and domains edeges representing query-relationship. Intuitively, domain names resolved by hosts that resolve many black domain names are also expected to be black, and domain names resolved by many hosts that do not resolve any black domain names are expected to be white. Thus, the DNS query graph indicates to us which domain names might be black or white. We also propose approximating a graph kernel value with random walk sampling because calculating a graph kernel requires operation of adjacency matrices of graphs, which may be difficult for huge graphs. We experimentally applied the proposed method using a black domain name list and DNS traffic. The result shows that most of the white domains mislisted as black can be removed.%DDoS やスパム，フィッシングに用いられるポットネットはインターネット上の最も重要な脅威の一つとなっている.ポットネット検出の一手段として悪性ドメイン名リストに基づくDNS クエリ監視手法が挙げられる[1].この手法ではポットネット観測などによって得られる悪性ドメイン名リストに基づき，そのドメイン名の名前解決を行っているユーザをポットネット感染ホストとして特定する.しかしながら，そのような手法で取得された悪性ドメイン名リストはポットネットの全挙動を反映していない可能性がある.逆にいくつかのポットネットは接続性確認のために著名な検索サイトヘアクセスすることがあり，このような場合悪性ドメイン名リストに著名サイトが登録されてしまう問題がある.本稿では，悪性ドメイン名リストにおけるその精度に関する上記課題を，ドメイン名とそのドメイン名の名前解決を行うユーザの関係からなるグラフを用いて向上する手法を提案する.試験的に評価し，悪性ドメイン名リストに掲載されていないドメイン名でワーム感染ホストが特有に名前解決を行うドメイン名を抽出出来ることを確認した.
展开▼
