DNSにおける直接外部クエリー分析と不正通信検知手法の検討

摘要

組織の内部のいずれのPCもDNSリゾルバも把握していない外部のコンピュータへの直接DNS通信は不自然であり、ポットプログラム内にDNSリゾルバのIPアドレスがハードコーディングされていたことが原因の可能性がある。そのようなDNS通信を見つけることで、ボットネット通信を効果的に発見する方法について検討する。そのため本稿では、企業内や大学内で運用されているDNSリゾルバを経由しない直接外部クエリーの通信履歴を調査することで、ボットネット通信あるいは不正通信の可能性を分析する。