目次
はじめに：新規登録ドメインの早期把握が重要な理由
フィッシング、ブランドのなりすまし、マルウェア配布などのサイバー攻撃では、攻撃用に新しく登録されたドメインが利用されることがあります。
新規ドメインは、登録直後には悪性ドメインとしての履歴がなく、一般的なブラックリストやレピュテーションデータベースに登録されていない場合があります。
そのため、すでに不正利用が確認されたドメインだけでなく、新しく追加・更新・削除・検出されたドメインの動きを継続的に把握することが重要です。
WhoisXML APIのNewly Registered Domains（NRD）データフィードは、こうしたドメインイベントを日次ファイルで提供します。
データ収集範囲の拡大により、収録されるドメインイベントは従来と比べて約1.5倍から最大2倍に増加しています。さらに、WHOISとRDAPを比較して、より完全な登録情報を自動的に採用します。
本記事では、NRDデータフィードで現在利用できる機能と、セキュリティやブランド保護における活用方法を解説します。
Newly Registered Domainsデータフィードとは
Newly Registered Domainsデータフィードは、新しく登録されたドメインを含む各種ドメインイベントを収録したデータフィードです。
単に新規登録ドメインの一覧を提供するだけでなく、次の4種類のイベントを確認できます。
- Added：新しく作成されたドメイン
- Updated：既存ドメインのWHOISレコードに変更が確認されたドメイン
- Dropped：期限切れまたは削除されたドメイン
- Discovered：これまで未確認だったドメイン
これらの情報を継続的に取得することで、新規ドメインの登録だけでなく、登録情報の変更、ドメインの削除、これまで把握されていなかったドメインの出現も確認できます。
データは、SIEM、SOAR、TIP、ブランド監視システム、脅威分析基盤などへ取り込み、検索、照合、リスク評価、アラート生成などに利用できます。
ドメインイベントの収録範囲を最大2倍に拡大
WhoisXML APIは、データ収集基盤の拡張と新しい情報源の追加により、NRDデータフィードで取得できるドメインイベントの範囲を拡大しています。
日次ファイルに収録されるドメインイベントは、従来と比べて約1.5倍から最大2倍に増加しています。
この改善は、新規追加、更新、削除、検出の各カテゴリに適用されています。
収録範囲が広がることで、これまでデータソースの違いなどによって確認できなかったドメインも調査対象に加えられます。
特に、多数のドメインを継続的に監視するSOC、脅威インテリジェンスチーム、ブランド保護部門にとって、データの網羅性は重要です。
監視できるドメインイベントが増えることで、不審なドメインを見落とす可能性を抑え、より広い範囲から調査対象を抽出できます。
WHOISとRDAPから完全性の高いレコードを自動選択
ドメインの登録情報は、WHOISまたはRDAPを通じて取得できます。
しかし、レジストリ、レジストラ、TLDなどによって、WHOISとRDAPから取得できる情報やフィールドの充足状況が異なる場合があります。
NRDデータフィードでは、各ドメインについて利用可能なWHOISレコードとRDAPレコードを比較し、より完全な情報を含むレコードを自動的に採用します。
そのため、利用者側でWHOISとRDAPを個別に取得し、どちらの情報が充実しているかを比較する必要がありません。
利用可能なデータの中から、より完全性の高い登録レコードを利用できます。
取得できる情報には、登録日、更新日、有効期限、レジストラ、ドメインステータス、ネームサーバー、取得可能な登録者情報などがあります。
実際に取得できる項目は、レジストリやレジストラの公開状況、プライバシー保護、データ保護規則などによって異なります。
削除ドメインをより高い信頼度で検出
NRDデータフィードでは、期限切れまたは削除されたドメインを示すDroppedイベントも提供されます。
WhoisXML APIは、削除されたドメインを特定する検出方法を改善し、Droppedとして記録されるシグナルの信頼性を高めています。
削除ドメインの情報は、単に利用されなくなったドメインを確認するためだけのものではありません。
過去にフィッシングやマルウェア配布に利用されたドメインの追跡、攻撃インフラの変化、ドメインの再登録、保有ドメインの管理状況などを調査する際にも役立ちます。
新規登録から更新、削除までの動きを確認することで、ドメインのライフサイクルを含めた分析が可能になります。
用途に応じて選べるデータ形式
NRDデータフィードでは、必要な情報量や処理環境に応じて複数のデータ形式を利用できます。
Ultimate
Ultimateは、各ドメインについて完全なWHOISまたはRDAPレコードを収録したファイルです。
ドメイン名だけでなく、登録情報を利用した詳細な調査、データエンリッチメント、関連性分析などに適しています。
Ultimate Simple
Ultimate Simpleは、Ultimateと同じドメインを収録しながら、提供するフィールドを絞った軽量版です。
圧縮時のファイルサイズは通常、完全版の約8分の1となり、数ギガバイト規模のUltimateファイルに対して、Ultimate Simpleは数百メガバイト程度に抑えられます。
同じドメインを対象にしながら、データ転送量、保存容量、展開時間、処理負荷を軽減できます。
すべての登録フィールドを必要とせず、主要な情報だけを分析や照合に利用したい場合に適しています。
Ultimate Simpleは、Ultimateプランで追加料金なしで利用できます。
ドメイン名のみのファイル
WHOISやRDAPの登録情報を含めず、ドメイン名を中心に収録した軽量なファイルも提供されています。
既存のログやセキュリティイベントとの照合、自社で保有する別のデータによるエンリッチメント、ドメイン名を使ったフィルタリングなどに適しています。
利用できるデータセットと収録項目は契約プランによって異なるため、導入時には必要なイベント、TLD、登録情報、データ形式を確認することが重要です。
既存の連携方法を変更せずに利用可能
NRDデータフィードの収録範囲と登録レコードは強化されていますが、利用者がダウンロードするファイルや既存の連携方法は維持されています。
すでにNRDデータフィードを取得している場合、データ収集範囲の拡大に対応するために、新しいAPIや別の配信方式へ移行する必要はありません。
既存のダウンロード処理やデータパイプラインを維持しながら、より多くのドメインイベントと完全性の高い登録レコードを利用できます。
収録範囲の拡大、WHOISとRDAPの比較、削除シグナルの改善は、すべてのNRDプランに適用されています。
ただし、各プランで提供されるドメインの種類、WHOIS・RDAPレコードの有無、利用できるファイル形式などは異なります。
NRDデータフィードを活用できる6つのユースケース
1．フィッシングドメインの早期発見
企業名、サービス名、製品名などを含む新規ドメインを抽出し、フィッシングサイトや偽のログイン画面に利用される可能性を調査できます。
既知の悪性ドメインだけでなく、新しく登録・検出されたドメインを監視対象に加えられます。
2．ブランドのなりすまし対策
正規のブランド名に似た文字列、文字の置き換え、スペルミス、別のTLDなどを利用したドメインを確認できます。
タイポスクワッティング、サイバースクワッティング、商標侵害、偽サイトの調査に活用できます。
3．脅威ハンティング
新しく確認されたドメインを、登録情報、レジストラ、ネームサーバーなどの情報と組み合わせて分析できます。
共通する登録情報やインフラを手掛かりに、不審なドメイン群や攻撃キャンペーンの関連性を調査できます。
4．SIEM・SOAR・TIPのデータ拡充
セキュリティログやアラートに含まれるドメインをNRDデータと照合し、新しく登録されたドメインかどうかを確認できます。
登録直後のドメインをリスク要因の一つとして、アラートの優先順位付け、追加調査、自動対応などに利用できます。
5．メールセキュリティの強化
メールに含まれる送信元ドメインやURLをNRDデータと照合し、登録から間もないドメインを利用した不審なメールの調査に活用できます。
メールゲートウェイ、サンドボックス、フィッシング分析システムなどの判断を補完できます。
6．削除・再登録ドメインの追跡
削除されたドメインを把握し、過去に不正利用されたドメインの再登録や、攻撃者によるインフラ変更を監視できます。
企業が保有するドメインの期限切れや、第三者による再取得のリスクを確認する用途にも利用できます。
まとめ
新しく登録されたドメインは、ビジネスやサービスの開始に利用される一方、フィッシング、ブランドのなりすまし、マルウェア配布などに悪用される場合があります。
登録直後のドメインは、既存のブラックリストやレピュテーション情報に十分な履歴がないため、ドメインイベントを継続的に把握することが重要です。
WhoisXML APIのNewly Registered Domainsデータフィードは、新規追加、更新、削除、検出されたドメインを日次ファイルで提供します。
データ収集範囲の拡大により、収録されるドメインイベントは従来と比べて約1.5倍から最大2倍に増加しています。
さらに、利用可能なWHOISレコードとRDAPレコードを比較し、より完全な登録情報を自動的に採用します。削除ドメインの検出方法も改善され、Droppedイベントをより高い信頼度で調査できます。
完全な登録レコードを収録するUltimate、フィールドを絞ったUltimate Simple、ドメイン名のみのファイルを用途に応じて選択することで、既存のシステムやデータ処理環境に合わせた運用が可能です。
フィッシング対策、ブランド保護、脅威ハンティング、メールセキュリティ、SIEM・SOAR・TIPとの連携などで課題をお持ちの場合は、WhoisXML APIおよびNewly Registered Domainsデータフィードの導入や利用方法についてお気軽にお問い合わせください。
今後も、セキュリティと実務運用の両面から役立つ情報を発信してまいります。
ぜひブックマークのうえ、最新記事をお見逃しなく！