一括登録されたドメインには隠れたリスクが伴う

よくある質問

ドメインの一括登録にはどのようなリスクがあるのでしょうか？

• 武器の迅速なローテーション：スパム、ランサムウェア攻撃、ボットネット運用などの攻撃は、追跡される前にインフラを迅速に活用し、即座に放棄できる能力に依存しています。一括登録されたドメインにより、攻撃者は必要に応じてローテーションできる膨大なドメインプールを利用できるようになります。セキュリティチームが1つのドメインをブロックしても、攻撃者はそのプール内の別の事前登録済みドメインにシームレスに切り替え、攻撃を中断することなく継続させることができます。
• 大規模な攻撃：攻撃者は、わずか数分のうちに数百から数千ものドメイン名を取得することができます。この能力により、セキュリティシステムが脅威のパターンを検知する前に、単一の攻撃を複数のネットワークに分散させることが可能になります。
• 対応の遅れ：ドメインクラスターの存在は、セキュリティチームの追跡作業を複雑にします。なぜなら、単一の不審なドメインだけに分析を集中させることができないからです。セキュリティチームは、大規模なクラスター全体にわたって、変動するDNSレコード、ホスティングの重複、SSL証明書、リダイレクトのパターンを追跡しなければなりません。こうした手作業による検証は、インシデント対応を遅らせ、アラート疲労を招く原因となります。
• ブランドの悪用と顧客の混乱：一括登録には、タイポスクワッティング、ホモグリフ、単語の追加、偽のサポートポータル、クーポンページ、ログインを装ったドメインなどが含まれる場合があります。こうしたなりすまし手口は、標的となった企業が攻撃とは何の関係もない場合でも、信頼を損なう恐れがあります。

ドメインの一括登録には正当な理由があるのでしょうか？

はい、組織は、ブランド保護、地域トップレベルドメイン（TLD）の取得、あるいはマルチブランド・マーケティング・キャンペーンの展開など、正当な目的で一括登録を利用しています。

「一括ドメイン登録リスクAPI」はどのような結果を返しますか？

このAPIは、JSONまたはXML形式でデータを提供します。具体的な出力形式は、4つのエンドポイントのうちどれを使用するかによって異なります：

• ドメインの確認：この機能を使用すると、ドメインがどのグループに属しているかを確認できます。応答には、グループが検出された日付、グループ識別番号、およびそのグループに含まれるドメインの総数が含まれます。
• ドメインの確認（詳細）：これは、単一のドメインに対して実行できる最も詳細なクエリです。検索に関連付けられたすべてのグループ内のすべてのドメインについて、ドメイン登録の詳細情報を返します。
• グループの取得：このエンドポイントは、特定のグループ内のすべてのドメインを取得します。ASCII形式およびUTF-8形式のドメイン名、グループ内での位置、グループの総サイズなどの基本フィールドを提供します。
• グループの取得（拡張情報付き）：指定されたグループ内のすべてのドメインについて、完全な拡張WHOISデータおよび登録データを提供します。拡張情報付きエンドポイントは、各ドメインの登録データと関連するIPアドレスを返します。

APIはどのような場合にドメインクラスターを返すのですか？

APIは、同じ日に登録され、類似したセカンドレベルドメインの命名パターンを共有するドメインが3つ以上見つかった場合、それらをクラスターとして返します。これらのシグナルは、孤立した類似ドメインではなく、一括登録の可能性が高い活動を特定するのに役立ちます。

ドメインの一括登録に伴うリスクを軽減するためのベストプラクティスにはどのようなものがありますか？

業界で認められている慣行では、多くの場合、以下のような複数の対策を組み合わせています。

• 先手を打った登録：自社ブランドに関連するよくある誤表記やさまざまなトップレベルドメイン（TLD）を、他者に先んじて登録しましょう。
• 一括登録のパターンを特定する：「Bulk Registration Risk API」または「First Watch API」を使用して、類似したドメインが同時に、あるいは同じレジストラを通じて一括登録されていないかを監視します。一括登録は、組織的な攻撃の一般的な兆候であるためです。
• 継続的な監視： Brand Alert APIなどの自動化ツールを使用して、自社ブランド名を模倣した新規登録がないかスキャンします。