プロ並みの脅威ハンティング：類似ドメインを見抜く検索テクニック

Axur の**類似ドメイン監視（Similar Domains Monitoring）**には、最も一般的な脅威パターンをカバーするデフォルトの検知設定が用意されています。しかし、それだけではありません。各検知タイプの仕組みと適切な利用シーンを理解することで、ルールを最適化し、誤検知を抑えながら検知範囲を最大化できます。

この記事では、各検知タイプ、その最適な利用シーン、および生成されるクエリについて説明します。

ブランド名をそのまま使用しながら、異なるトップレベルドメイン（TLD）で登録されたドメインを検知します。

利用するタイミング: 常に有効にすることを推奨します。これは基本となる検知方式であり、すべてのお客様のデフォルト監視クエリに含まれています。

クエリ例:

検知例:

ブランド名の文字を、見た目が似ている別の文字（主にラテン文字以外の文字）に置き換えたドメインを検知します。システムは照合前にドメインを正規化するため、キリル文字の「п」はラテン文字の「n」と同じものとして扱われます。

利用するタイミング: 常に有効にすることを推奨します。TLD-squat と組み合わせて使用することで、すべてのお客様向けのデフォルトクエリとなります。

デフォルトクエリ（TLD-squat + Homoglyphs）:

検知例:

ブランド名に対して、1文字の置換・削除・挿入・文字順の入れ替えが行われたドメインを検知します。

利用するタイミング: ブランド名が6文字以上の場合に推奨します。短いブランド名では検索範囲が広くなりすぎ、多数の誤検知が発生する可能性があります。

クエリ例:

検知例:

ブランド名を含み、その前後に別の単語を追加したドメインを検知します。公式サブドメインやログインページ、公式サービスを装う目的で使用されることが多くあります。

利用するタイミング: ブランド名が4文字以上の場合に推奨します。短いブランド名では、無関係なドメインまで大量に一致する可能性があります。

クエリ例:

検知例:

Axur 独自の演算子で、Combosquat と Typosquat を1回の検索で組み合わせて検知します。ブランド名のスペルミスを含むドメインを、単独でも他の文字列の一部として含まれていても検知します。

利用するタイミング: Combosquat と Typosquat の両方を広範囲に検知したい場合に推奨します。ただし、両方の検知方式に由来する誤検知リスクも引き継ぐため、ブランド名が6文字以上の場合のみ推奨されます。

クエリ例:

検知例:

有効な MX（Mail Exchange）DNS レコードを持つドメインのみに結果を限定します。これは、そのドメインがメールの送受信に利用できることを意味し、フィッシング攻撃に利用される可能性が高い重要な指標です。

利用するタイミング: 優先度の高い脅威に絞って監視したい場合に推奨します。MX レコードを持つドメインは、未使用またはパーキングされたドメインよりもフィッシングに悪用される可能性が高くなります。

以下のように、他の検知タイプと組み合わせて使用できます。

dnsRecordMX に加え、**詳細モード（Advanced mode）**では他の DNS フィールドも利用でき、疑わしいドメインのインフラをより詳しく確認できます。

Threat Hunting の **Simulate（シミュレーション）**機能を利用する際は、**Deduplicate by domain（ドメインごとに重複を除外）**を有効にしてください。同じドメインに対する複数の検知結果が1件にまとめられるため、総検知数ではなく、ルールによって検知されるユニークなドメイン数を把握しやすくなります。

Advanced mode を有効にすると、クエリを手動で編集できます。これにより、チェックボックスでは設定できない条件を追加できます。例えば、以下のようなケースに役立ちます。

ご不明な点がございましたら、お気軽に [email protected] までお問い合わせください。😊