Instrument Effects in the Measured Lifetime of Malicious Domains: A Two-Instrument Decomposition by Cause

デジタル世界では、悪意のあるアクターがマルウェアを拡散したり情報を盗んだりするために、絶えず数千ものウェブアドレスを登録しています。セキュリティチームは、これらの危険なアドレスの最新リストである「脅威インテリジェンス・フィード」に頼ってネットワークを保護しています。これらのチームにとって極めて重要な決定は、アドレスをいつまでウォッチリストに保持し続けるかという点です。危険なアドレスを早すぎるタイミングでリストから削除すると、攻撃者に門戸を開けることになります。一方で、脅威ではなくなった後も長くリストに保持しすぎると、貴重なリソースを浪費し、不必要なノイズを生み出すことになります。この決定を下すために、チームは、悪質なウェブサイトがシャットダウンまたは放棄されるまでに通常どの程度の期間生存するのかを知る必要があります。しかし、これらのウェブサイトの「寿命」を測定することは、驚くほど困難です。なぜなら、これらのウェブサイトを追跡するために使用されるツールは、ドメイン名の実際の登録記録とは異なる現実を見ていることがよくあるからです。

研究者のデュズギュン・キュチュクとファティ・ハ・エルタムによる新しい研究は、追跡ツールが、悪質なウェブサイトの生存期間に関する私たちの理解をどのように歪めているかを正確に調査しています。研究者たちは、2018年から2026年の間に脅威フィードに現れた122,000件を超える膨大な悪質なドメイン名のコレクションを収集しました。彼らは単にフィードのリストを信頼するのではなく、これらすべてのドメインを、ドメイン名が実際にインターネット上でどのように使用されているかを追跡する公式の登録データベースやパッシブDNSデータなどの独立した記録と照合しました。脅威フィードがドメインの生と死について何と言っているかと、独立した記録が示している内容を比較することで、チームはウェブサイトの「真の寿命」と、リスト自体の「人工的な限界」を分離することができました。

この研究は、脅威フィードがドメインの死を報告する方法が、しばしば誤解を招くものであることを明らかにしています。脅威フィードからドメインが消えると、通常は「死亡」とカウントされます。しかし、研究者たちは、多くの場合において、そのドメインは依然としてインターネット上でアクティブであり、解決（レゾルブ）されているものの、フィードの運営者が優先順位を下げたか、あるいは監視を停止したためにリストから外されただけであるという事実を発見しました。これは、「監視バイアス」を生み出します。つまり、対象を観察するという行為自体が、その寿命の測定を変えてしまうのです。研究者たちは、悪質なドメインが脅威でなくなる理由として、3つの明確な原因を特定しました。それは、当局によって強制的に取り下げられる、所有者によって登録がキャンセルされる、あるいは運営者が単にそれを放棄する、のいずれかです。独立した記録では、最初の2つの原因しか確認できませんでした。3番目の原因である「放棄」は、悪意のあるアクターが立ち去った後もドメイン名が登録されたままの状態であったため、記録からは不可視でした。

研究者がこれら2つの情報源を比較したとき、その差は歴然としていました。独立した記録によれば、ドメインの約35パーセントが真に死亡していました。しかし、脅威フィードは55パーセントが死亡したと報告していました。この20パーセントポイントの格差は、測定エラーではなく、2つのツールが見ているものの根本的な違いによるものでした。研究者たちは、この不一致のほぼ4分の3が「放棄」という原因に起因すると算出しました。脅威フィードは、運営者がドメインを放棄した時点でその監視を止めるため、フィードはその瞬間を「死」とカウントしますが、登録記録ではそのドメインは依然として技術的に生存しており、登録されている状態を示します。これは、放棄という特定の原因に関して言えば、フィードはドメインの実際の寿命ではなく、自身がいつ観察を止めるかというポリシーを測定していることを意味します。

また、研究では、悪質なドメインが最初に作成されてから脅威フィードに現れるまでにどれくらいの時間がかかるかについても調査しました。研究者たちは、この遅延がしばしば非常に長く、中にはドメインがリストに追加されるまでに数年かかるものもあることを発見しました。これは、遅延自体が脅威インテリジェンスのプロセスの一部であるため、ドメインの寿命を測る「時計」は、それが最初に作成された時ではなく、フィードにリストされた時に開始すべきであることを示唆しています。さらに、チームは、古いインジケーターをウォッチリストから削除するための現在のルールが効果的であるかどうかをテストしました。その結果、もしチームがリストへの掲載遅延を考慮せずにフィードのタイムラインに基づいたルールを使用している場合、依然としてアクティブで危険なインジケーターを削除してしまう可能性があることが分かりました。具体的には、正確な終了日が判明しているドメインのサブセットにおいて、標準的なルールでは、依然として生存し危険な状態にあるドメインの約6パーセントを削除することになっていました。

最終的に、本研究は、セキュリティチームは一つのソースから別のソースへ、そのままの形で保持ポリシーをコピーすることはできないと結論付けています。脅威フィードに適用できるルールは、登録記録に基づくシステムには適用できません。なぜなら、フィードには、記録には見えない特定の種類の「死」（放棄）が含まれているからです。本研究は、何がドメインの死に見えるかの大部分が、実際には観察者が観察をやめただけであることを理解することで、セキュリティチームが適切な期間、危険なアドレスをリストに保持するように戦略を調整できる、明確な手法を提供しています。これにより、脅威を早すぎるタイミングで逃してしまうことも、すでに消滅した脅威に対して労力を浪費することも防ぐことができるようになります。