Time Table

WHOISは、脅威インテリジェンス、インシデント対応、アタックサーフェス探索をはじめとする多くのインターネット観測において重要な情報源であり、後継のRDAPが登場した現在も広く利用されている。

一方、WHOIS応答は人間が読むことを想定しており、フィールド名やレコード構造はTLDやレジストリごとに多様で際限ないフォーマットが存在するため、WHOISは闇・沼・魔境と称されるほど機械処理は困難を極めていた。

2000年以前から現在まで様々なパーサーが開発されてきたが、いずれもad hocな実装であり適用できる状況は極度に限定されていた。

そこで、WHOISに対応する875個全てのTLDから最大100個ずつ収集したWHOIS応答を体系的に分析した結果、TLDを8つの戦略として体系化できることを明らかにし、この体系に基づいてLLM支援により開発した実用的なパーサーvwhoisを開発した。vwhoisはWHOIS応答が確認された全TLDを網羅し、応答に含まれる観測された情報をパースして全てのフィールドを抽出した上で、統一されたスキーマに格納する。

本発表ではツール開発時の評価方法のデモと、vwhois の動作デモを実施し、ほぼ全てのドメインに対して網羅的に WHOIS のパース処理が実行可能であることを説明する。