ドメインは、企業ブランドを守る上で非常に重要な情報資産です。有名な企業のドメインを乗っ取ることができればフィッシング攻撃などへの悪用は非常にやりやすくなります。
今回は、ドメイン保護手法について、予防・検知・対応の観点から整理をしていきましょう。（参考： ドメイン名のライフサイクルマネージメント）
予防の観点から
まずは、予防の観点から議論をしましょう。
基本戦略
ドメイン保護手法の基本戦略は、基本的に以下の通りです。
自社のブランディングに影響するドメインは取得しておき、他人に取得されないようにする。
以下の記事によれば、Appleなどは240近いドメインを取得しているそうですし、こうしたドメイン管理はブランディング維持の上で重要な役割となります。
とはいえ、該当する可能性があるドメインを全て登録することは現実的ではありません。完璧ではないですが、以下の仕組みで部分的には対応ができるでしょう。
TMCH（商標保護プログラム）
TMCH（商標保護プログラム・TrademarkClearinghouse）に登録して、他社が登録することを防ぐという方法があるそうです。具体的には、商標として登録しておくと、新しいgTLDが出た際に優先的に登録することができるというものです。また、第三者が申請に来た場合、商標保有者に通知してくれるという仕組みです。（Trademark Clearinghouse - Wikipedia）
ムームードメインの説明がわかりやすいために以下に記載しておきます。
他にも、Donuts社などで提供しているDPML（Domain Protect Marketing List）というサービスがあるそうです。
ドロップキャッチ攻撃への対策
既に取得したドメインがある場合、ドロップキャッチ（Drop Catch）と呼ばれる悪用手法が存在します。これは、有効期限が切れ、誰でも購入できるようになったドメインについて、購入して悪用する手口です。過去良いレピュテーションを持っている場合、フィッシングなどに悪用しやすいため、この手口はたびたび悪用されています。
ドロップキャッチを防ぐためには、基本はドメインの永代供養を基本とします。逆に言えば、使い捨て感覚でドメインを取得することはあまり推奨できません。（日本
日本DNSオペレーターズグループのページに面白い画像があります）
検知の観点から
次に検知の観点から見ると、攻撃者がいつドメインを取得したのか検知できるようにする必要があります。思いつく限り、２つの手法が考えられます。
TMCH（商標保護プログラム）による検知
TMCH（商標保護プログラム）を利用している場合、この登録を軸にアラートを挙げるようにする方法があります。
ツールによる検知
最近では、ツールを利用して、変な登録がないか検知する方法も考えられます。
- 例１）RiskIQなどの棚卸製品ベースで検知を行う場合
- 例２）TIP（Threat Intel Platform）を利用して検知を行う場合
- 例３）DomainTools PhishEyeなどを利用する。
個人的には、Domain Toolsを活用した方法が有益ではないかと考えています。
Domain Toolsとは、DNSレコードを記録しているデータベースで、過去の登録情報などを追いかけることができます。そのため、Domain Tools Irisという主力製品は、Threat Intelligenceの調査などによく使われます。例えば、あるC2通信に使われていたドメインがどのIPに過去紐づいていたか、どんな登録情報を持っていたかを調査するために使われます。
最近では、当該データベースを活用して、Phishyなドメインを探すというDomain Tools PhishEyeというサービスを始めています。こうしたツールは、検知の観点から非常に有益なのではないかと考えています。
対応の観点から
対応の観点では、既に誰かに奪取されたドメインを取り換えすという作業がメインになります。おれは、レジストラなどと協力して行う対応方法ですが、有効な手段として 二種類の方法があることを知っておくことが重要だと思います。
ドメインを取り戻す手法（UDRP）
UDRP（Uniform Domain Name Resolution Policy）と呼ばれる方法で、ドメインを実際に取り戻す方法です。但し、ある程度時間がかかるため、あくまでも積極的に取りたい手段ではないかと思います。なお、JPCERT自らドメイン名紛争処理をした時の内容がブログに乗っているため、参考として読まれると良いかと思います。
ドメインを停止させる（URS）
URS（Uniform Rapid Suspension）と呼ばれ、ドメインを一時停止する機能です。
JPNICの記事では、以下のように説明されています。
インターネット用語1分解説～Uniform Rapid Suspension (URS)とは～ - JPNIC
申請受領後の事務的なチェックが済み次第、 24時間以内にドメイン名の登録内容がロックされ、 ドメイン名の移転やレジストラ変更等ができない状態になります。 その後、裁定で申請者の主張が認められれば、当該ドメイン名の利用が差し止められ、 そのドメイン名を持つWebサイトなどにアクセスしても、 利用差し止め中である旨を表示する紛争処理機関のWebサイトにリダイレクトされるようになります。
まとめ
予防・検知・対応の枠組みで考えると、万が一変なドメインを取られても取り返すことは可能だと思われますが、まずは適切な予防策を取ることが非常に重要だと思われます。
また、上記以外にも保険的対策として考えらえる方法はいくつか挙げられます。但し、実際に使ったことがある方法ばかりではないので、対策の検討案の参考としてご検討いただければと思います。
- 検索エンジン会社に申請して、検索エンジンに引っかからない、あるいは Safe Browsingなどに登録してもらうように働きかける。
- ブラックリストエンジンなどに登録する。（例えば、https://www.phishtank.com/など）
- EV-SSL証明書を使って、サイトの真正性を証明し、それ以外については自社でないことを宣言する。
- サービスで利用しているドメイン名リストを公開する。
