(関連出願の相互参照) 本出願は、参照により本明細書に組み込まれている、2013年10月11日に出願した「CHARACTERIZATION OF DOMAINS BASED ON CHANGES OF AUTHORITATIVE NAME SERVERS」という名称の米国特許仮出願第61/889,847号の優先権を主張するものである。

本開示は、ネームサーバの変化に基づいてドメイン名を特徴付けるためのシステム、デバイス、および方法に関する。

インターネットの使用が指数関数的に増加するにつれて、インターネット関連サービスに対する需要も急速に増大しつつある。インターネットの増加する使用の結果として、ドメイン名に対する需要も急速に増大している。したがって、ドメイン関連サービスに対する需要も増えている。このようなドメイン関連サービスは、ドメイン名生成、ドメイン名登録更新などを含み得る。通常、ウェブサイトは、ドメイン名に対するオンラインでの存在を確立するための主要な手段として働く。このドメイン名関連サービスに対する常に増加する需要を満たすために、これらのサービスを提供する事業体は効率的かつコスト効率の良いようにそれらを提供する必要がある。

ドメイン名システム(「DNS」)は、人間が読めるドメイン名を、インターネットを通してTCP/IP通信を確立するために必要なインターネット・プロトコル(「IP」)番号に変換するインターネット・インフラストラクチャの一部である。DNSは、ウェブサイトに関連付けられ、インターネット上のコンピュータに割り当てられた数値的なIPアドレス例えば123.4.56.78ではなく、「www.example.com」などの覚えやすいドメイン名を用いて、ユーザがウェブサイトおよび他のリソースを参照することを可能にする。各ドメイン名は、ドットによって隔てられた一連の文字列(例えばラベル)で構成することができる。ドメイン名での最も右側のラベルは、トップレベル・ドメイン(「TLD」)として知られる。よく知られたTLDの例は、「com」、「net」、「org」などである。各TLDはTLDのすぐ左に記入される第2レベル・ドメイン、例えば「www.example.com」における「example」レベルをサポートする。各第2レベル・ドメインは、第2レベル・ドメインのすぐ左にあるいくつかの第3レベル・ドメイン、例えばwww.example.comにおける「www」レベルを含むことができる。

TLD内の第2レベル・ドメインのレジストリを維持することを含む各TLDを運用する責任は、ドメイン名レジストリ(「レジストリ」)として知られる特定の組織体に委任される。レジストリは主として、ドメインに関連付けられたIPアドレスに対する照会に対して、通常、このような情報を大きなデータベースに維持するDNSサーバを通して応答(「解決」)し、そのトップレベル・ドメインを運用する責任を負う。

ほとんどのTLDの場合、ドメイン名を取得するためには、そのドメイン名が、ドメイン名レジストラ、すなわちエンドユーザの代わりにインターネット・ドメイン名を登録するように承認された事業体を通してレジストリによって登録される必要がある。あるいはエンドユーザは、1つまたは複数の再販売業者の層を通して間接的にドメイン名を登録することができる。レジストリは、数百のレジストラから登録を受け取ることができる。

レジストラは通常、ドメイン関連サービス、例えばドメイン名生成または更新にアクセスするためにレジストリとの専用サービス接続を有する。レジストラは通常、ドメイン名を登録または更新するためにレジストリと通信するための手段として、拡張可能なプロビジョニング・プロトコル(Extensible Provisioning Protocol)(「EPP」)を用いる。EPPは、インターネットを通してレジストリ内でオブジェクトを割り振るように設計されたプロトコルである。EPPプロトコルは、構造化されたテキストベースのフォーマットである拡張マークアップ言語(「XML」)に基づく。基礎をなすネットワーク・トランスポートは固定されないが、現在指定される方法は伝送制御プロトコル(「TCP」)を通すものである。

ゾーンファイルは、DNSゾーンと呼ばれるDNSの一部分を記述するテキストファイルである。ゾーンファイルはリソース・レコード(RR)の形で構成され、ドメイン名およびIPアドレスおよび他のリソースの間のマッピングを定義する情報を含む。ゾーンファイルのフォーマットは標準によって定義され、通常、各行は単一のリソース・レコードを定義する。行はドメイン名から始まるが、ブランクである場合は前に定義されたドメイン名がデフォルトとなる。ドメイン名の後に有効期間(TTL)、クラス(これはほとんど常に「インターネット」を表す「IN」であり、まれにしか含まれない)、リソース・レコードのタイプ(A、MX、SOAなど)、その後にAレコードに対するIPv4アドレスなどのタイプ固有のデータが続く。セミコロンを用いることによってコメントを含めることができる。またドル記号で始まるキーワードでマークされたファイル指示文がある。

DNSは、各ドメインに対して権威ネームサーバを指定することにより、ドメイン名を割り当て、それらの名前をIPアドレスにマッピングする責任を分散する。権威ネームサーバが、それらの特定のドメインに責任をもつように割り当てられ、権威ネームサーバは、それらのサブドメインに対して他の権威ネームサーバを割り当てることができる。この機構は一般に、単一の中央レジスタが絶えず尋ねられ更新される必要性を回避するのに役立つ。DNS解決プロセスは、ユーザが所望のドメインをそれによって入力するルックアップ・プロセスにより、所望のドメインに案内されることを可能し、DNSは適切なIP番号を返す。DNS解決プロセス時には、所与のドメイン名に対する要求は、IPアドレスを取り出すためにリゾルバ(例えばスタブ・リゾルバ)から、適切なサーバ(例えば再帰リゾルバ)に送られる。効率を改善し、インターネットにわたるDNSトラフィックを低減し、エンドユーザ・アプリケーションにおける性能を向上させるためにDNSは、当該のドメイン名レコードの有効期間(TTL)によって決定される期間のDNS照会結果を記憶するDNSキャッシュ・サーバをサポートする。通常、DNSキャッシュとも呼ばれるこのようなキャッシングDNSサーバはまた、照会されたドメインの権威ネームサーバを通して、DNSルートから始めて所与の名前を解決するのに必要な再帰アルゴリズムを実装する。インターネット・サービス・プロバイダ(ISP)は通常、それらの顧客のために再帰およびキャッシングDNSサーバを用意する。さらにホーム・ネットワーク・ルータは、ローカル・ネットワークにおける効率を改善するためにDNSキャッシュおよびプロキシを実装することができる。

耐障害性、負荷バランス、および地理的負荷分散を含む多くの理由により、ドメイン名に対して複数のネームサーバを維持することが望ましい可能性がある。頻繁なネームサーバ切り換えを、いくつかのサービス・プロバイダにわたってさえ行う多数のドメインが存在する。このネームサーバ切り換えの現象は、既存のDNSサービスとの干渉を要求するので、通常、正常な状況下では予想されない。加えて、頻繁なネームサーバ切り換えを行うドメイン名は、好ましくない挙動に関連する傾向がある。

したがって、ネームサーバ切り換えに基づいてドメイン名を特徴付けるための方法、システム、およびコンピュータ可読媒体が求められている。

本開示は一般に、ドメイン特徴付け技術に上記その他の改善をもたらすための方法、システム、およびコンピュータ可読媒体に関する。

本教示の実装形態は、ドメイン名に対するネームサーバ動作に対応するデータセットを用いて、ドメイン名に対するネームサーバ切り換えフットプリントを決定することによってドメイン名を特徴付けるための方法、システム、およびコンピュータ可読記憶媒体に関する。ドメイン名はネームサーバ切り換えフットプリントに基づいてグループにクラスタ化することができ、グループ内のドメイン名の所期の使用はグループ内の他のドメイン名に外挿することができる。ネームサーバ切り換えフットプリントはまた、データセット内のドメイン名に対して決定されたネームサーバ切り換えフットプリントを用いてトレーニングされた予測モデルを用いて、新しいドメイン名に対して予測することができる。

いくつかの実施形態ではドメイン名は、一致するネームサーバ切り換えフットプリントに基づいてクラスタ化することができる。

他の実施形態ではドメイン名は、各ネームサーバ切り換えフットプリントに対してNグラムを決定し、Nグラムに基づいてドメイン名の間の距離を決定することによってクラスタ化することができる。ドメイン名は距離に基づいてクラスタ化することができる。

いくつかの実装形態では距離閾値を指定することができ、ドメイン名は、それらの間の距離が指定の閾値を超える場合は一緒にクラスタ化されなくてもよい。

いくつかの実施形態ではグループ内のドメイン名は、グループ内のドメイン名の所期の使用が好ましくないとの判断に基づいてブラックリスト化することができる。ドメイン名の所期の使用は例えば、ドメイン名に関連するウェブサイトのコンテンツ、ドメイン名に関連するWHOIS情報、またはドメイン名に関連するドメイン名情報サービス情報を用いて識別することができる。

いくつかの実装形態では、新しいドメイン名の将来の所期の使用を識別するために、予測されたネームサーバ切り換えフットプリントを用いることができる。加えて、新しいドメイン名の将来の所期の使用が好ましくないとの判断に基づいて、新しいドメイン名の悪用を防止することができる。

本明細書に組み込まれその一部を構成する添付の図面は、本開示の様々な実施形態を示し、説明と共に本開示の原理を説明するために役立つ。

いくつかの開示される実施形態と一致した、例示的DNS概略図である。

いくつかの開示される実施形態と一致した、ネームサーバ切り換えフットプリントを決定する例示の方法を示すフロー図である。

いくつかの開示される実施形態と一致した、ネームサーバ切り換えフットプリントを組み立てるための例示的擬似コード、例示のドメイン名のデータセット、および例示のネームサーバ切り換えフットプリントを示す図である。

いくつかの開示される実施形態と一致した、完全一致を用いてドメイン名をクラスタ化する例示の方法を示すフロー図である。

いくつかの開示される実施形態と一致した、Nグラムを用いてドメイン名をクラスタ化する例示の方法を示すフロー図である。

いくつかの開示される実施形態と一致した、ネームサーバ切り換えフットプリントを予測する例示の方法を示すフロー図である。

いくつかの開示される実施形態と一致した、ネームサーバの変化に基づいてドメイン名を特徴付けるための例示のハードウェア・システムを示す図である。

以下の詳細な説明は添付の図面を参照する。可能な限り図面では同じ参照番号が用いられ、以下の説明は同じまたは同様な部分を参照する。本明細書では本開示のいくつかの例示の実施形態および特徴が述べられるが、本開示の趣旨および範囲から逸脱せずに変更、適合化、および他の実装形態が可能である。したがって以下の詳細な説明は本開示を限定するものではない。代わりに本開示の適切な範囲は添付の特許請求の範囲によって定義される。

図1は、いくつかの開示される実施形態と一致した、例示的DNS概略図である。具体的には図1はDNS100を示す。クライアント要求元110は、ドメイン名に関連付けられたIPアドレスを要求することができる。要求は最初にクライアントのプライマリDNSサーバに向かうことができ、これは再帰ネームサーバ120とすることができる。

再帰ネームサーバ120は、要求されたドメイン名に対する権威ネームサーバではない場合がある。したがって再帰ネームサーバは、要求をルート・サーバ130に転送することができる。ルート・サーバ130は、ドメイン名に関連付けられたトップレベル・ドメイン(「TLD」)ネームサーバ140を知らせることによって応答することができる。例えばドメインのTLDは.comとすることができ、ルート・サーバ130は、TLDネームサーバ140が.comのためのTLDネームサーバであることを知らせることによって応答することができる。

次いで再帰ネームサーバ120は、要求をTLDネームサーバ140に転送することができる。TLDネームサーバ140は、TLDの各ゾーンに対して権威ネームサーバを指定することにより、ドメイン名を割り当て、それらの名前をIPアドレスにマッピングする責任を分散している場合がある。ドメインの各ゾーンはTLDにおけるドメイン名のサブセットを含むことができる。いくつかの場合には、同じゾーンを複数のネームサーバに割り当てることができ、ゾーンは含まれたドメイン名に重なり合うことができる。再帰ネームサーバ120は権威ネームサーバの1つとすることができるが、要求されたドメイン名を含むゾーンに対する権威ネームサーバとはなり得ない。

TLDネームサーバ140は、再帰ネームサーバ150が、要求されたドメイン名を含むゾーンに対する権威ネームサーバであることを知らせることによって要求に応答することができる。次いで再帰ネームサーバ120は、要求を再帰ネームサーバ150の1つに転送することができる。再帰ネームサーバ150の1つはドメイン名に対応するIPアドレスと共に要求に応答することができ、再帰ネームサーバ120はIPアドレスを要求元110に転送することができ、要求元110はIPアドレスを用いてドメイン名のウェブサイトにアクセスすることができる。

様々なドメイン名に対して、ネームサーバ切り換えが生じる場合がある。ネームサーバ切り換えは、例えばドメインの所期の使用に対する隠蔽機構をもたらす目的のための、意図において悪意がある場合がある。ネームサーバ切り換えはまた悪意がない場合もある。例えばネームサーバ切り換えは、正常なホスティングおよび動作変化などの、妥当な挙動の結果の場合もある。加えて例えばネームサーバ切り換えは、プロバイダ再割り当ての意図しない結果の場合もある。プロバイダは、例えばドメインが好ましくないコンテンツを提供していることを含む様々な理由により、ドメインを再割り当てすることができる。好ましくないコンテンツの例は、違法なコンテンツ、マルウェア、ポルノグラフィ、認可されていない調合薬、リンクファームなどを含むことができる。

図1に示される例は単に例示のためのみに過ぎず、限定するものではない。例えばDNSの一部として、さらなるルート・サーバ、ネームサーバ、およびクライアント要求元を用いることができる。加えて、示されるDNS構造および述べられるプロセスは、単にいくつかの開示される実施形態と一致したDNSおよびネームサーバ切り換えの簡略化した例に過ぎず、このような例は、限定するものではない。

図2は、いくつかの開示される実施形態と一致した、ネームサーバ切り換えフットプリントを決定する例示の方法を示すフロー図である。例示の方法は200で、コンピューティング・デバイスがドメイン名サーバ動作に関するデータセットを受け取ったときに開始することができる。データセットは、設定された期間にわたるネームサーバ動作を示す時系列に順序付けられたテキストデータを含むことができる。

例えばコンピューティング・デバイスは、データセットをTLDネームサーバおよび/またはドメイン名レジストリから受け取ることができる。いくつかの実施形態ではドメイン名レジストリは、再帰ネームサーバから受け取った高速ゾーン更新ファイルに基づいてデータセットを生成することができる。高速ゾーン更新ファイルは、頻繁な間隔で送られるテキストファイルとすることができ、前の高速ゾーン更新ファイルからのゾーンにおける変化に関する情報を含む。

いくつかの実施形態ではデータセットは、ドメイン名ゾーン・アラート(「DNZA」)ファイルとすることができ、またはDNZAファイルに基づいて発生することができる。DNZAファイルは、1つまたは複数のゾーン、および/または1つまたは複数のネームサーバに対するゾーンに影響を与えるすべてのトランザクションに関する情報を含むことができる。いくつかの実装形態ではDNZAは、各ドメイン名に関連するネームサーバの権威あるリストへの変化に基づいて生成することができる。例えばDNZAファイルは、設定された期間(例えば90日)にわたる、ゾーンに影響を与える各トランザクションおよび関連するドメイン名を表す、時系列に順序付けられたテキストデータを含むことができる。ゾーンに影響を与えるトランザクションは、例えばネームサーバをドメイン名に対する権威あるリストに追加すること、ドメイン名に対する権威あるリスト内のネームサーバを更新すること、ドメイン名に対する権威あるリストからネームサーバを削除することなどのネームサーバ動作とすることができる。DNZAファイルは、受け取った高速ゾーン更新ファイルを用いて、レジストリによって生成することができる。

210でコンピューティング・デバイスは、ネームサーバ切り換えに関連するイベントのウィンドウを定義することができる。様々な実施形態ではウィンドウは、ネームサーバ切り換えを示すものとなり得る、ネームサーバ動作の所定のシーケンスまたは系列とすることができる。例えばいくつかの実施形態では、イベントのウィンドウは単一のドメイン名に対して、少なくとも1つの追加動作、その後の少なくとも1つの削除動作、その後の少なくとも1つの追加動作とすることができる。例えばデータセットは、時系列順に第1の追加動作、第2の追加動作、第1の削除動作、第2の削除動作、および第3の追加動作である、単一のドメイン名に対する5つのネームサーバ・トランザクションを含むことができる。したがって少なくとも1つの追加動作(第1の追加動作)、その後に削除動作(第1の削除動作)、その後に追加動作(第3の追加動作)があり、単一のドメイン名においてイベントのウィンドウの1つのインスタンスが存在する。

220でコンピューティング・デバイスは、データセットを用いてイベントのウィンドウの1つまたは複数のインスタンスを求めて検索する。いくつかの実施形態ではコンピューティング・デバイスは、データセットを各ドメイン名のためのレコードに分離することができ、一方、他の実施形態ではデータセットはすでにレコードに分離しておくことができる。このような実施形態では各レコードは、そのレコードに対するドメイン名に関連するすべての動作を含むことができる。コンピューティング・デバイスは、各レコードにおいてイベントのウィンドウの1つまたは複数のインスタンスを求めて検索することができ、どのドメイン名がイベントのウィンドウのインスタンスを含むか、およびどれだけ多くのインスタンスが含まれるかを識別することができる。

230でコンピューティング・デバイスは、ネームサーバを切り換えたドメイン名を決定することができる。220で識別されたウィンドウの1つまたは複数のインスタンスは、ウィンドウのインスタンスが識別された動作において、新しいネームサーバが追加されたかどうかを判定するためにさらに分析することができる。1つまたは複数の追加動作の第1の組にはなかった新しいネームサーバが、1つまたは複数の追加動作の第2の組に追加された場合は、ネームサーバ切り換えが生じている。上記に示された例を用いると、第3の追加動作において、最初の2つの追加動作で追加されたネームサーバとは異なる新しいネームサーバが追加された場合は、ネームサーバ切り換えが生じている。言い換えればネームサーバが追加され、ネームサーバが削除され、次いで新しいネームサーバが追加された。いくつかの実施形態では、ウィンドウの少なくとも1つのインスタンスが識別されたドメイン名は、上記の分析に基づいてネームサーバ切り換えドメイン名としてフラグを立てることができる。

加えて、ウィンドウの複数のインスタンスが識別されたドメイン名に対しては、ウィンドウのインスタンス(NSw)における1組のネームサーバは、前のウィンドウのインスタンス(NSw’)における1組のネームサーバと比較することができる。NSwとNSw’の集合論の差として遷移を定義することができる(すなわち一方の組における要素の組が、他方の組にない)。遷移の組が空でない(すなわち、NSw\NSw’≠0)とき、ネームサーバ切り換えが生じたと判断することができる。

したがってネームサーバの個々の連続した追加および削除を無視し、代わりに総計としての変化に焦点を当てることによって、ドメイン名のネームサーバ・サービスの状態における有意な変化を捕捉することができる。

240でコンピューティング・デバイスは、ネームサーバ切り換えドメイン名として示される各ドメイン名に対する、ネームサーバ切り換えフットプリント(「NSSF」)を決定することができる。NSSFは、時間にわたるネームサーバ切り換えのパターンを特徴付けるための、ドメイン名の一意の識別子とすることができる。ドメインに対するNSSFを組み立てるための例示の擬似コードは図3に示される。またNSSFの使用については、図4A、図4B、および図5に関連して以下で詳しく述べる。

図2に示されるステップは特定の順序で行われるように述べられたが、述べられた順序は単に例に過ぎず、いくつかの開示される実施形態と一致した、様々な異なるシーケンスのステップを行うことができる。加えてステップは単に説明のために別個のステップとして述べられ、いくつかの実施形態では複数のステップを同時に、および/または単一の計算の一部として行うことができる。さらに述べられたステップは、網羅的または絶対的であることを意図するものではなく、様々なステップを挿入するまたは削除することができる。

図3は、いくつかの開示される実施形態と一致した、ネームサーバ切り換えフットプリントを組み立てるための例示的擬似コード、例示のドメイン名のデータセット、例示のネームサーバ切り換えフットプリントを示す。

擬似コード300は、NSSFを組み立てるためにコンピューティング・デバイスによって行うことができる、略式の高レベルの動作ステップの例を示す。擬似コード300は、入力としてドメインデータ(d)を受け入れるBuild_NSSFメソッドを示す。ドメインデータは、指定のドメイン名に関連するDNZAファイルからのネームサーバ動作を含むことができる。擬似コード300はまた、90日の総期間を規定する。したがって90日の総期間内に含まれる動作のみが考察される。この場合は動作は、1と90の間のタイムスタンプ(1日目から90日目を表す)を含む。他の実施形態では異なる期間および時間単位を用いることができる。

Build_NSSFメソッドは、前のNSSFを現在のNSSFに連結することによって、NSSFを発生することになる。各NSSFは、アンダスコア(「_」)によって隔てられたいくつかの追加されたネームサーバ、およびいくつかの削除されたネームサーバを含むことになる。前のNSSFと現在のNSSFは、コロン(「:」)によって隔てられることになる。

例えば擬似コード300において示される動作ステップは、データセット310に対して行うことができる。データセット310は、ドメイン名a.comに対応するデータを表すことができ、DNZAファイルから取得することができる。データセット310は以下の一連のイベントを示すことができる:1日目にネームサーバ1(ns1.b.com)が、a.comのためのネームサーバの権威あるリストに追加された;1日目にネームサーバ3(ns3.b.com)が、a.comのためのネームサーバの権威あるリストに追加された;1日目にネームサーバ1が、a.comのためのネームサーバの権威あるリストから削除された;1日目にネームサーバ3が、a.comのためのネームサーバの権威あるリストから削除された;3日目にネームサーバ3(ns3.b.com)が、a.comのためのネームサーバの権威あるリストに追加された;3日目にネームサーバ3がa.comのためのネームサーバの権威あるリストから削除された;および3日目にネームサーバ4(ns4.c.com)が、a.comのためのネームサーバの権威あるリストに追加された。

擬似コード300において示される動作ステップをデータセット310に対して行うことにより、結果としてa.comに対するNSSF320を生じる。a.comに対するNSSF320は、1日目に対する追加数(2)続いて削除数(2)、次いで3日目に対する追加数(2)続いて削除数(1)とすることができる。a.comに対するNSSF320は、時間にわたるネームサーバ切り換えのパターンを特徴付けるための、a.comの一意の識別子とすることができる。NSSF320は、ネームサーバ相互作用に基づいてドメイン名使用における異常を識別するために用いることができる。

ネームサーバ切り換えは、悪意がある、好ましくない、および/または芳しくない挙動に関連する傾向があるので、異常なネームサーバ相互作用を有するドメイン名には、さらなる再検討、ブラックリスト化などのためにフラグを立てることができる。加えて、同様な所期の使用を有するドメイン名は同様なNSSFを有し得るので、ドメイン名の所期の使用を識別するためにNSSFを用いることができる。しかし同様な所期の使用を有するドメイン名のNSSFは完全一致しない場合があり、したがって同様なNSSFを突き合わせることにより、フラグが立てられたドメイン名の所期の使用を完全に識別するためのプロセスは、大きな手間が必要になり得る。いくつかの実施形態では識別プロセスは、図4Aおよび4Bに関してさらに述べるように、ドメイン名をクラスタ化することによって自動化することができる。

図3に示される擬似コード、データセット、およびNSSFは例示のための簡略化した例とするものであり、限定するものではない。例えば開示される実施形態と一致した、異なる動作ステップ、異なるデータセット・フォーマット、および異なるNSSFフォーマットを用いることができる。

図4Aは、いくつかの開示される実施形態と一致した、完全一致を用いてドメイン名をクラスタ化する例示の方法を示すフロー図である。例示の方法は400で、コンピューティング・デバイスがドメイン名サーバ動作に関するデータセットを受け取ったときに開始することができる。データセットは、1つまたは複数の高速ゾーン更新ファイル、DNZAファイル、および/またはそれらから発生されたデータセットを含むことができる。いくつかの実施形態ではデータセットは、指定の基準に適合するドメイン名のみを含むことができる。例えば、少なくとも閾値数のネームサーバ動作を有するドメイン名のみを、データセットに含めることができる。

402でコンピューティング・デバイスは、データセット内のドメイン名に対してNSSFを決定することができる。例えばコンピューティング・デバイスは、データセット内の各ドメインに対して、またはデータセット内の、切り換えられたネームサーバを有すると判断された各ドメインに対して、NSSFを決定することができる。NSSFは、例えば図2および/または図3に関連して上述したプロセスを用いて決定することができる。

404ではNSSFを互いに比較することができ、一致を識別することができる。いくつかの実施形態では、完全一致のNSSFのみが識別される。

406では一致したNSSFを有するドメイン名を一緒にグループ化することができる。いくつかの実施形態では、あらゆるドメイン名を1つまたは複数のドメイン名のグループまたはクラスタに入れることができる。他の実施形態では、指定の基準を満たすドメイン名のみをグループまたはクラスタに入れることができる。例えばいくつかの実施形態では、少なくとも閾値長さのNSSFを有するドメイン名を、一致するNSSFを有するドメインのグループにクラスタ化することができ、閾値長さ未満のNSSFを有するドメイン名は、グループ化されなくてもよくおよび/またはさらに分析されなくてもよい。

408ではグループは、例えばグループ内のドメイン名の所期の使用に基づいて識別することができる。いくつかの実施形態ではグループは、グループ内の1つまたは複数のドメイン名の事前識別に基づいて識別することができる。グループ内の1つまたは複数のドメイン名の事前識別は、グループ内の残りのドメイン名に対して外挿することができる。他の実施形態ではグループは、全体として分析することができ、またはグループからのドメイン名のサンプルを手作業で分析することができ、グループに対する識別を生成することができる。

例えばドメイン名のグループは自動でまたは手作業で、引き継ぎドメイン名として識別することができる。引き継ぎドメイン名は、以前に期限が切れており、ドメインの以前の使用に基づいてトラフィックを引き付ける意図を有して異なる登録者によって再登録されたドメイン名である。さらなる例としてドメイン名のグループは、リンクファーム・ドメイン名として自動でまたは手作業で識別することができる。リンクファーム・ドメイン名は、1つまたは複数のターゲット・ドメイン名の認知される重要性を増大させる(例えばターゲット・ドメイン名のページ・ランクを増加させる)意図を有して、1つまたは複数のターゲット・ドメイン名にリンクすることを主目的として登録されるドメイン名である。

グループは手作業または自動で、例えばドメインに関連するウェブページのコンテンツ、ドメイン名についてのWHOIS情報、ドメイン名情報サービス情報、レジストリ情報、ドメイン名の前の識別などに基づいて識別することができる。例えばコンピューティング・デバイスは登録情報(例えば登録者およびレジストラ)を、情報が利用可能な各ドメイン名についてのWHOISデータベースから抽出することができる。加えて、他の例としてコンピューティング・デバイスは、Verisign(登録商標) corporationによって提供されるInternet Profile Service for Registrars(本明細書の以下では「IPS」)などのドメイン名情報サービスから、ホスティング情報を抽出することができる。

図4Aに示されるステップは特定の順序で行われるように述べられたが、述べられた順序は単に例に過ぎず、いくつかの開示される実施形態と一致した、様々な異なるシーケンスのステップを行うことができる。加えてステップは単に説明のために別個のステップとして述べられ、いくつかの実施形態では複数のステップを同時に、および/または単一の計算の一部として行うことができる。さらに述べられたステップは、網羅的または絶対的であることを意図するものではなく、様々なステップを挿入するまたは削除することができる。

図4Bは、いくつかの開示される実施形態と一致した、Nグラムを用いてドメイン名をクラスタ化する例示の方法を示すフロー図である。例示の方法は410で、コンピューティング・デバイスがドメイン名サーバ動作に関するデータセットを受け取ったときに開始することができる。データセットは、1つまたは複数の高速ゾーン更新ファイル、DNZAファイル、および/またはそれらから発生されたデータセットを含むことができる。

412でコンピューティング・デバイスは、データセット内のドメイン名に対してNSSFを決定することができる。例えばコンピューティング・デバイスは、データセット内の各ドメインに対して、またはデータセット内の、切り換えられたネームサーバを有すると判断された各ドメインに対して、NSSFを決定することができる。NSSFは、例えば図2および/または図3に関連して上述したプロセスを用いて決定することができる。

414でNSSFを互いに比較することができ、Nグラムを識別することができる。

Nグラムは、2つ以上のNSSFに含まれる任意の長さの文字列とすることができる。例えば第1のNSSF”2_2_1:1_1_2:3_1_3”、および第2のNSSF”2_1_1:1_1_2:3_1_3”は、共に文字列”1_1_2:3_1_3”を含み、これはNグラム一致を表す。

いくつかの実施形態ではNグラムは、ドメインを取り出し、時間にわたりドメインに対するNSSFを分割し、フットプリントの各部分を、Nグラムが構築される1組のうちの項目と見なすことによって識別することができる。したがってNSSFは1組の項目に分割され、各項目がNグラムとなり、設定されるサイズはタイムスタンプの数と同じになる。組は、他のドメイン名からの組と比較することができる。

例としてドメインa.comは、フットプリント”2_0_1:0_2_2:4_3_3”をもつことができ、これはNSSF_a.comと表すことができる。NSSFはドメインa.comが、時間1において2つのネームサーバを追加し、時間2において両方のネームサーバを削除し、時間3において4つのネームサーバを追加し3つのネームサーバを削除したことを示すことができる。Nグラムを組み立てるためにNSSF_a.comは時間にわたって分割することができ、NSSFの各部分は、Nグラムが構築される1組のうちの項目と見なすことができる。NSSF_a.comは3つのタイムスタンプにわたり、したがって時間にわたる分割は3つのNグラム{”2_0_1”、”0_2_2”、”4_3_3”}の組を生じることになる。組における各Nグラムは、他のドメイン名からのNグラムおよび/または組と比較することができる。

上記の例では例示的NSSFは、指定のタイムスタンプ(例えば1日目、2日目、および3日目)に基づく。しかし他の実施形態では代わりに、NSSFにおけるイベントは順序付けられたイベントと見なすことができる。言い換えればNSSFで用いられるタイムスタンプは、時系列における時間インデックスとすることができる。例えば、第3日および第5日における動作を示すタイムスタンプ3および5を有する2_2_3:2_1_5などのNSSFの代わりに、NSSFは”2_2_i:2_1_i+2”などのインデックス(例えばi)を用いることができる。いくつかの実施形態ではインデックスは、第1のネームサーバ動作、パターンに適合する動作の第1の組などに基づいて設定することができる。加えて時間間隔およびタイムスタンプは、日によって提示されなくてもよく、いくつかの開示される実施形態と一致した他の時間単位を利用することができる。

他の実施形態ではNグラムは、ドメインを取り出し、イベント(例えば追加、削除)、および時間に基づいてドメインに対するNSSFを分割することによって識別することができる。したがってNSSFは1組の項目に分割されることになり、各項目はNグラムであり、設定されるサイズは、異なるイベントの数足す時間のための1と同じとなる。組は、他のドメイン名の組と比較することができる。

例としてドメインa.comは、フットプリント”2_0_1:0_2_2:4_3_3”をもつことができ、これはNSSF_a.comと表すことができる。Nグラムを組み立てるために、NSSF_a.comは、Nグラムを構築するようにイベントおよび時間に基づいて分割することができる。NSSF_a.comは2つのタイプのイベント、追加および削除を含むので、イベント数足す時間のための1に基づく分割は、結果として{”2_0_4”、”0_2_3”、”1_2_3”}を生じることになる。第1のNグラム(”2_0_4”)は、それぞれ1日目、2日目、3日目に行われた追加動作の数を表す。第2のNグラム(”0_2_3”)は、それぞれ1日目、2日目、3日目に行われた削除動作の数を表す。第3のNグラム(”1_2_3”)はタイムスタンプを表す。組における各Nグラムは、他のドメイン名からのNグラムおよび/または組と比較することができる。

416では、ドメイン名の対に対して、距離計量および/または測定をNグラムに適用することができる。いくつかの実施形態では、ドメイン対のNグラムに対して距離測定を行うことができ、最終距離を求めることができる。例えば距離測定はNグラムの各対に対して行うことができ、距離の平均はドメイン名の対に対する最終距離と見なすことができる。本明細書で用いられる距離とは、少なくとも2組のデータの間の差異を表すために用いられる数値とすることができる。

いくつかの実施形態では、あらゆるドメイン名に対するあらゆるNグラムを、あらゆる他のドメイン名のNグラムと比較することができる。他の実施形態では、指定の基準を満たすドメイン名のNグラムのみ、および/または指定のイベント(例えば追加および削除)に関するNグラムのみを比較することができる。

用いることができる距離測定の例は、Tribased距離およびKeselj距離を含むがそれらに限定されない。

418でドメイン名は、距離に基づいてクラスタ化することができる。いくつかの実施形態では、あらゆるドメイン名を1つまたは複数のドメイン名のグループまたはクラスタに入れることができる。他の実施形態では、指定の基準を満たすドメイン名のみをグループまたはクラスタに入れることができる。例えばいくつかの実施形態では、少なくとも閾値長さのNSSFを有するドメイン名をそれぞれドメインのグループにクラスタ化することができ、閾値長さ未満のNSSFを有するドメイン名は、グループ化されなくてもよくおよび/またはさらに分析されなくてもよい。

当技術分野で知られている様々なクラスタ化方法を用いることができる。例えば凝縮型階層的クラスタリングを用いることができ、そこでは各ドメインはそれ自体のクラスタにおいて開始し、クラスタは、最適クラスタ化が得られるまで、他のドメイン名および/またはクラスタとの距離測定に基づいて漸進的にマージされる。

いくつかの実施形態では閾値距離を設定することができ(例えば手作業で)、閾値距離は一緒にクラスタ化された2つのドメイン対の間の最大距離を表すことができる。

420ではグループは、例えばグループ内のドメイン名の所期の使用に基づいて識別することができる。いくつかの実施形態ではグループは、グループ内の1つまたは複数のドメイン名の事前識別に基づいて識別することができる。グループ内の1つまたは複数のドメイン名の事前識別は、グループ内の残りのドメイン名に対して外挿することができる。他の実施形態ではグループは、全体として分析することができ、またはグループからのドメイン名のサンプルを手作業で分析することができ、グループに対する識別を生成することができる。

グループは手作業または自動で、例えばドメインに関連するウェブページのコンテンツ、ドメイン名についてのWHOIS情報、ドメイン名情報サービス情報、レジストリ情報、ドメイン名の前の識別などに基づいて識別することができる。

いくつかの実施形態ではすべてのグループを識別することができ、一方、他の実施形態ではいくつかのグループは識別されなくてもよい。例えばいくつかの実施形態では、所定の数のグループのみを識別することができる(例えば最も大きなグループ)。

図4Bに示されるステップは特定の順序で行われるように述べられたが、述べられた順序は単に例に過ぎず、いくつかの開示される実施形態と一致した、様々な異なるシーケンスのステップを行うことができる。加えてステップは単に説明のために別個のステップとして述べられ、いくつかの実施形態では複数のステップを同時に、および/または単一の計算の一部として行うことができる。さらに述べられたステップは、網羅的または絶対的であることを意図するものではく、様々なステップを挿入するまたは削除することができる。

図5は、いくつかの開示される実施形態と一致した、ネームサーバ切り換えフットプリントを予測する例示の方法を示すフロー図である。例示の方法は500で、コンピューティング・デバイスがドメイン名サーバ動作に関するデータセットを受け取ったときに開始することができる。データセットは、1つまたは複数の高速ゾーン更新ファイル、DNZAファイル、および/またはそれらから発生されたデータセットを含むことができる。

510でコンピューティング・デバイスは、データセット内のドメイン名に対してNSSFを決定することができる。例えばコンピューティング・デバイスは、データセット内の各ドメイン名に対して、またはデータセット内の、切り換えられたネームサーバを有すると判断された各ドメイン名に対して、NSSFを決定することができる。NSSFは、例えば図2および/または図3に関連して上述したプロセスを用いて決定することができる。

520でコンピューティング・デバイスは、決定されたNSSFに基づいて予測モデルを組み立てることができる。実施形態では予測モデルは、決定されたNSSFを用いてトレーニングすることができる。例えば予測モデルは、自己回帰和分移動平均(「ARIMA」)モデルとすることができる。ARIMAモデルは、Y_t=(1−L)^dX_tと定義することができ、Y_tは予測される変数、Lは遅延演算子またはバックシフト(前の要素を生じるための時系列に対する演算子として定義される)、およびdは多重度因子である。

予測モデルを用いて、530でコンピューティング・デバイスは、ドメインに対する将来のNSSFを決定することができる。ドメインに対するネームサーバ動作は予測モデルに入力することができ、予測モデルは予測された値を将来の動作のために出力することができる。いくつかの実施形態では、予測された値は最も近い整数に四捨五入することができる。

簡略化した例として、3つのNSSFの組を{(3_1_i:2_3_i+1:2_2_i+3);(3_1_i:2_3_i+1:2_1_i+3);(3_1_i:2_3_i+1:2_2_i+3)}とすることができ、ただしiはインデックス・タイムスタンプである。NSSFの組は、予測モデルを組み立てるために用いることができる。新しいドメインに対するネームサーバ動作は、予測モデルに入力することができる。新しいドメインに対するネームサーバ動作は、5日目の3つの追加動作および1つの削除動作、ならびに6日目の2つの追加動作および3つの削除動作とすることができる。インデックス値が5である場合は、新しいドメインに対するNSSFは”3_1_i:2_3_i+1”となる。予測モデルを用いることによってコンピューティング・デバイスは、将来の動作が8日目の2つの追加動作と1.67個の削除動作であると予測することができる。予測された削除動作は、2に四捨五入することができる。

予測モデルは、未だ起きていない相互作用に対して完全な(予測モデルの確実性保証内で)NSSFの識別を可能にする。これはまた、所期の使用が生じる前に、ドメイン名の所期の使用を確率的に識別することを可能にする(例えば予測されたNSSFを用いて)。これはドメイン名の意図される悪用を防止するためのプロアクティブな、または先制的な対策を可能にする。例えばドメイン名は、先制的にブラックリスト化することができる。

図5に示されるステップは特定の順序で行われるように述べられたが、述べられた順序は単に例に過ぎず、いくつかの開示される実施形態と一致した、様々な異なるシーケンスのステップを行うことができる。加えてステップは単に説明のために別個のステップとして述べられ、いくつかの実施形態では複数のステップを同時に、および/または単一の計算の一部として行うことができる。さらに述べられたステップは、網羅的または絶対的であることを意図するものではなく、様々なステップを挿入するまたは削除することができる。

図6は、いくつかの開示される実施形態と一致した、ネームサーバの変化に基づいてドメイン名を特徴付けるための例示のハードウェア・システムを示す図である。例示のシステム600は、用いることができる例示のシステム構成要素を含む。しかし構成要素および構成は変わり得る。

コンピュータ601は、プロセッサ610、メモリ620、記憶装置630、および入力/出力(I/O)デバイス(図示せず)を含むことができる。コンピュータ601は様々に実現することができ、上述の実施形態のいずれかを行うように構成することができる。例えばコンピュータ601は汎用コンピュータ、メインフレーム・コンピュータ、これらの構成要素に任意の組み合わせ、または任意の他の適切なコンピューティング・デバイスとすることができる。コンピュータ601は独立型とすることができ、またはサブシステムの一部とすることができ、これはより大きなシステムの一部とすることができる。

プロセッサ610は、Intel(商標)によって製造されるIntel Core(商標)ファミリ、AMD(商標)によって製造されるPhenom(商標)ファミリからのマイクロプロセッサ、またはSun Microsystemsによって製造される様々なプロセッサのいずれかなどの、1つまたは複数の知られている処理デバイスを含むことができる。メモリ620は、開示される実施形態に関するいくつかの機能を行うためにプロセッサ610によって用いられる情報を記憶するように構成された、1つまたは複数の記憶装置を含むことができる。記憶装置630は、揮発性または不揮発性、磁気、半導体、テープ、光、リムーバブル、非リムーバブル、または記憶装置として用いられる他のタイプのコンピュータ可読媒体を含むことができる。

一実施形態ではメモリ620は、コンピュータ601によって実行されたときに開示される実施形態と一致した様々な手順、動作、またはプロセスを行う、記憶装置630または他の場所からロードすることができる、1つまたは複数のプログラムまたはサブプログラムを含むことができる。例えばメモリ620は、開示される実施形態によりNSSFを決定する、ドメインをクラスタ化する、およびNSSFを予測するための、ドメイン特徴付けプログラム625を含むことができる。メモリ620はまた、通信サポート、インターネット・アクセス等をもたらすプログラムなどの他の機能およびプロセスを行う、他のプログラムを含むことができる。ドメイン特徴付けプログラム625は実行されたときに、開示される実施形態によりドメイン特徴付けプログラム625の機能を行うように一緒に動作する、単一のプログラムとして実施することができ、または代替として複数のサブプログラムを含むことができる。

コンピュータ601はリンクを通してネットワーク660と通信することができる。例えばリンクは、直接通信リンク、LAN、WAN、または他の適切な接続とすることができる。ネットワーク660は、インターネットならびに他のシステムを含むことができる。

コンピュータ601は、コンピュータ601によってデータを受け取るおよび/または送出することを可能にする1つまたは複数のI/Oデバイス(図示せず)を含むことができる。I/Oデバイスはまた、コンピュータ601が他のマシンおよびデバイスと通信することを可能にする1つまたは複数のデジタルおよび/またはアナログ通信入力/出力デバイスを含むことができる。I/Oデバイスはまた、キーボードまたはマウスなどの入力デバイスを含むことができ、およびディスプレイまたはプリンタなどの出力デバイスを含むことができる。コンピュータ601は、外部のマシンおよびデバイスからデータを受け取り、I/Oデバイスを通じて外部のマシンおよびデバイスにデータを出力することができる。I/Oデバイスに組み込まれる入力および/または出力デバイスの構成および数は、様々な実施形態に対して適切となるように変わり得る。

実施形態ではコンピュータ601はまた、1つまたは複数のデータ保存場所に通信可能に接続され得る。

システム600の例示の使用は、上述の例示の実施形態を参照して例として示すことができる。

教示についてそれらの例示の実施形態を参照して述べてきたが、当業者は真の趣旨および範囲から逸脱せずに、述べられた実施形態に対して様々な変更を行うことができるであろう。本明細書で用いられる用語および説明は例示のみとして記述され、限定するものではない。特に、方法については例によって述べられたが、方法のステップは示されたものとは異なる順序で、または同時に行うことができる。さらに「含む(including、includes)」、「有する(having、has、with)」またはそれらの変形は、「発明を実施するための形態」および「特許請求の範囲」のいずれかで用いられる範囲において、このような用語は「備える、含む(comprising)」という用語と同様に包含的であることが意図される。例えばAおよびBなどの項目の列挙に対する、本明細書で用いられる「の1つまたは複数」という用語は、A単独、B単独、またはAおよびBを意味する。当業者には、添付の特許請求の範囲およびそれらの均等物において定義される通りの趣旨および範囲内において、これらおよびその他の変形形態が可能であることが理解されるであろう。