JP2004038272A - ウェブ監視装置及び方法、コンピュータプログラム - Google Patents

Abstract

【課題】Ｗｅｂサーバに対する不正アクセスを監視する際に、Ｗｅｂサーバに与える負荷を軽減することができるウェブ監視装置を実現する。
【解決手段】ユーザから指定されたウェブページの構成に含まれる監視ファイルのＵＲＬからなる監視ファイル情報３２及び監視ファイルの監視基礎データからなるシグネチャ情報３３を記憶する記憶部１３と、監視ファイル情報３２のＵＲＬに基づいて監視ファイルまたは監視ファイルのファイル情報を取得し、この取得した内容とシグネチャ情報３３の該当する監視基礎データとを比較し、不一致を検出した場合に当該ウェブサーバに対する不正アクセス発生の可能性有りと判定する監視処理部２１と、該監視結果を通信ネットワークを介してユーザ端末に提供するユーザインタフェース１５と、を備える。
【選択図】　　図１

Description

【０００１】
【発明の属する技術分野】
本発明は、ウェブ（Ｗｅｂ）サーバに対する不正アクセスを監視するウェブ監視装置及び方法、並びにそのウェブ監視装置をコンピュータを利用して実現するためのコンピュータプログラムに関する。
【０００２】
【従来の技術】
近年、インターネットを介してウェブ（Ｗｅｂ）ページを提供するＷｅｂサーバが多数設けられている。Ｗｅｂページは、例えばコンテンツファイルとこのファイル情報データ（更新日付やファイルサイズ）などを有しており、複数のＨＴＭＬ（Ｈｙｐｅｒ　Ｔｅｘｔ　Ｍａｒｋｕｐ　Ｌａｎｇｕａｇｅ）ファイルとこのＨＴＭＬファイルからリンクされるリンクファイルとから構成される。ユーザは端末のＷｅｂブラウザを使用してＷｅｂサーバにアクセスし、Ｗｅｂページをダウンロードして取得することができる。
【０００３】
しかし、そのＷｅｂサーバに対する不正アクセスが多数発生しており社会問題となっている。例えば、Ｗｅｂサーバが有するＷｅｂページが第三者によって改竄されることにより、本来のＷｅｂページとは異なるものがインターネット上で開示され、Ｗｅｂページ提供者が不利益を被る結果となる。このために、通信ネットワーク上で開示されているコンテンツの改竄を監視する装置が、例えば特開平１１−１５４１３９号公報に記載されている。この装置では、ネットワーク上の所定のロケーションで開示されているコンテンツを定期的に入手して、その都度、コンテンツの内容が改竄されているか否かを判定する。
【０００４】
【発明が解決しようとする課題】
しかし、上述した従来の監視装置では、Ｗｅｂサーバから定期的にＷｅｂページに含まれるコンテンツファイルをダウンロードするので、Ｗｅｂサーバに与える負荷が大きいという問題がある。また、通信ネットワークの輻輳により、一定期間内にダウンロードが完了しない場合もある。
【０００５】
また、Ｗｅｂサーバの中には、ＣＧＩ（Ｃｏｍｍｏｎ　Ｇａｔｅｗａｙ　Ｉｎｔｅｒｆａｃｅ）機能を有し、これによりＷｅｂページを動的に変更するものがある。この場合には、Ｗｅｂページの変更が改竄による不正なものか、あるいはＣＧＩ機能による正当なものなのかを判別することができない。
【０００６】
また、Ｗｅｂサーバに対する攻撃には、Ｗｅｂページの改竄以外のＤｏＳ（Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ　ａｔｔａｃｋ）／ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ　Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ　ａｔｔａｃｋｓ）などの攻撃があるが、これら攻撃を検出することができないという問題もある。上記ＤｏＳやＤＤｏＳによる攻撃は、インターネット上のサーバに対して大量のサービス接続要求を送り付け、サーバの負荷を高めて、サーバを過負荷でダウンさせたり、ほかの正当なユーザへのサービスを妨げたりするものである。
【０００７】
本発明は、このような事情を考慮してなされたもので、その目的は、Ｗｅｂサーバに対する不正アクセスを監視する際に、Ｗｅｂサーバに与える負荷を軽減することができるウェブ監視装置及び方法を提供することにある。
【０００８】
また、本発明は、Ｗｅｂページの変更がＣＧＩ機能による正当なものではなく、改竄による不正なものであると判別することができるウェブ監視装置及び方法を提供することも目的とする。
【０００９】
また、本発明は、Ｗｅｂページの改竄以外のＤｏＳやＤＤｏＳによる攻撃を検出することができるウェブ監視装置及び方法を提供することも目的とする。
【００１０】
また、本発明は、そのウェブ監視装置をコンピュータを利用して実現するためのコンピュータプログラムを提供することも目的とする。
【００１１】
【課題を解決するための手段】
上記の課題を解決するために、請求項１に記載のウェブ監視装置は、通信ネットワークを介してウェブページを提供するウェブサーバに対する不正アクセスを、前記通信ネットワークを介して監視するウェブ監視装置であって、前記通信ネットワークを介してデータ通信を行う通信手段と、ユーザから指定された前記ウェブページの構成に含まれる監視ファイルの前記通信ネットワーク上の位置情報を記憶する監視ファイル情報記憶手段と、前記監視ファイルの監視基礎データを記憶するシグネチャ情報記憶手段と、前記位置情報に基づいて前記監視ファイルまたは前記監視ファイルのファイル情報を取得し、この取得した内容と前記シグネチャ情報記憶手段の該当する監視基礎データとを比較し、不一致を検出した場合に前記ウェブサーバに対する不正アクセス発生の可能性有りと判定する監視処理手段と、該監視結果を前記通信ネットワークを介してユーザ端末に提供するユーザ対応手段と、を備えたことを特徴としている。
この発明によれば、監視ファイルのファイル情報のみを取得して監視処理を行う簡易検査と、監視ファイルも取得して監視処理を行う厳密検査とを行うことができるので、それら検査を適宜使い分けすることにより、ウェブサーバに与える負荷を軽減することが可能となる。
【００１２】
請求項２に記載のウェブ監視装置においては、前記監視処理手段に対して定期的に監視処理についてのプロセスを生成させて実行させる監視タスク管理手段を備えたことを特徴とする。
この発明によれば、所定時刻に監視プロセスが生成され実行されるので、インターネット上に一時的な輻輳が発生してある監視プロセスの監視ファイルダウンロードに時間がかかり、監視周期期間内に当該監視プロセスが終了しなくても、一定間隔で新たな監視処理を開始することができ、監視精度を向上することが可能となる。
【００１３】
請求項３に記載のウェブ監視装置においては、前記監視処理手段に対して監視処理についての複数のタスクを与える監視タスク管理手段を備え、前記監視処理手段は、該複数のタスクを並列処理することを特徴とする。
この発明によれば、監視処理の並列化がなされるので、監視ファイルダウンロード中の監視処理手段の処理能力の空きをダウンロード以外の処理を行っているタスク用に割り当てることができる。これにより、監視処理手段の処理能力を効率よく使用することが可能となる。
【００１４】
請求項４に記載のウェブ監視装置においては、前記ウェブページの構成を解析し、該ウェブページの構成に含まれる監視ファイルを抽出して該位置情報を前記監視ファイル情報記憶手段に記録するリンク解析手段を備えたことを特徴とする。
この発明によれば、自動的にウェブページのリンクを解析して監視ファイルを抽出するので、ユーザは監視のための設定が楽になる。
【００１５】
請求項５に記載のウェブ監視装置においては、ＣＧＩ機能により変更されるウェブページを登録するＣＧＩ登録情報記憶手段と、前記位置情報に基づいて前記ファイル情報または前記監視ファイルを複数回取得し、これら取得内容を比較することによりウェブページが動的に更新されるものか否かを検出し、動的に更新されている場合に当該ウェブページをＣＧＩ機能により変更されるものであると判定し、この判定に基づいて当該ウェブページを前記ＣＧＩ登録情報記憶手段に登録し且つ当該ウェブページの固定データ部分を検査対象範囲に決定して該検査対象範囲を示す情報を前記ＣＧＩ登録情報記憶手段に記録するＣＧＩ判定手段を備え、前記監視処理手段は、前記ＣＧＩ登録情報記憶手段に登録されているウェブページについては該当する検査対象範囲を適用することを特徴とする。
この発明によれば、ウェブページが動的に更新されることを検出して当該ウェブページをＣＧＩ機能により変更されるものであると判定する。さらに、ＣＧＩ機能により変更されるウェブページについては固定データ部分のみを検査するので、ウェブページの変更がＣＧＩ機能による正当なものではなく、改竄による不正なものであると判別することができる。
【００１６】
請求項６に記載のウェブ監視装置においては、改竄前後にみられるウェブページの差分の特徴情報を記憶する改竄判定用コンテンツ特徴情報記憶手段を備え、前記監視処理手段は、前記改竄判定用コンテンツ特徴情報記憶手段の特徴情報に基づいて、前記監視ファイルの改竄の度合いを判定することを特徴とする。
この発明によれば、ウェブページに対する改竄の度合いが得られるので、ユーザは該度合いに基づいて不正アクセス有無の判断を行うことができる。
【００１７】
上記の課題を解決するために、請求項７に記載のウェブ監視装置は、通信ネットワークを介してウェブページを提供するウェブサーバに対する不正アクセスを、前記通信ネットワークを介して監視するウェブ監視装置であって、前記通信ネットワークを介してデータ通信を行う通信手段と、ユーザから指定された前記ウェブページの前記通信ネットワーク上の位置情報を記憶する位置情報記憶手段と、前記位置情報に基づいてウェブページを取得するのに要したダウンロード時間を計測し、該ダウンロード時間に基づいて前記ウェブサーバの負荷状況を監視し、通常以上の負荷がかかっている場合に不正アクセス発生の可能性有りと判定する監視処理手段と、該監視結果を前記通信ネットワークを介してユーザ端末に提供するユーザ対応手段と、を備えたことを特徴としている。
この発明によれば、ウェブページのダウンロード時間に基づき当該ウェブサーバの負荷状況を監視して不正アクセス発生の可能性有りを検出するので、ウェブページの改竄以外のＤｏＳやＤＤｏＳによる攻撃を検出することができる。
【００１８】
上記の課題を解決するために、請求項８に記載のウェブ監視方法は、通信ネットワークを介してウェブページを提供するウェブサーバに対する不正アクセスを、前記通信ネットワークを介して監視するウェブ監視方法であって、ユーザから指定された前記ウェブページの構成に含まれる監視ファイルまたは該監視ファイルのファイル情報を取得する過程と、この取得した内容と前記監視ファイルの監視基礎データとを比較する過程と、この比較により不一致を検出した場合に前記ウェブサーバに対する不正アクセス発生の可能性有りと判定する過程と、この監視結果を前記通信ネットワークを介してユーザ端末に提供する過程と、を含むことを特徴としている。
この発明によれば、監視ファイルのファイル情報のみを取得して監視処理を行う簡易検査と、監視ファイルも取得して監視処理を行う厳密検査とを行うことができるので、それら検査を適宜使い分けすることにより、ウェブサーバに与える負荷を軽減することが可能となる。
【００１９】
請求項９に記載のウェブ監視方法においては、前記ファイル情報または前記監視ファイルを複数回取得する過程と、これら取得内容を比較することによりウェブページが動的に更新されるものか否かを検出する過程と、動的に更新されている場合に当該ウェブページをＣＧＩ機能により変更されるものであると判定する過程と、ＣＧＩ機能により変更されるウェブページについては該ウェブページの固定データ部分を検査対象範囲に決定する過程と、を含むことを特徴とする。
この発明によれば、ウェブページが動的に更新されることを検出して当該ウェブページをＣＧＩ機能により変更されるものであると判定する。さらに、ＣＧＩ機能により変更されるウェブページについては固定データ部分のみを検査するので、ウェブページの変更がＣＧＩ機能による正当なものではなく、改竄による不正なものであると判別することができる。
【００２０】
上記の課題を解決するために、請求項１０に記載のウェブ監視方法は、通信ネットワークを介してウェブページを提供するウェブサーバに対する不正アクセスを、前記通信ネットワークを介して監視するウェブ監視方法であって、ユーザから指定された前記ウェブページを取得するのに要したダウンロード時間を計測する過程と、該ダウンロード時間に基づいて前記ウェブサーバの負荷状況を監視する過程と、前記ウェブサーバに通常以上の負荷がかかっている場合に不正アクセス発生の可能性有りと判定する過程と、該監視結果を前記通信ネットワークを介してユーザ端末に提供する過程と、を含むことを特徴としている。
この発明によれば、ウェブページのダウンロード時間に基づき当該ウェブサーバの負荷状況を監視して不正アクセス発生の可能性有りを検出するので、ウェブページの改竄以外のＤｏＳやＤＤｏＳによる攻撃を検出することができる。
【００２１】
上記の課題を解決するために、請求項１１に記載のコンピュータプログラムは、通信ネットワークを介してウェブページを提供するウェブサーバに対する不正アクセスを、前記通信ネットワークを介して監視するウェブ監視処理を行うためのコンピュータプログラムであって、ユーザから指定された前記ウェブページの構成に含まれる監視ファイルまたは該監視ファイルのファイル情報を取得する処理と、この取得した内容と前記監視ファイルの監視基礎データとを比較する過程と、この比較により不一致を検出した場合に前記ウェブサーバに対する不正アクセス発生の可能性有りと判定する処理と、この監視結果を前記通信ネットワークを介してユーザ端末に提供する処理と、をコンピュータに実行させることを特徴としている。
【００２２】
請求項１２に記載のコンピュータプログラムは、前記ファイル情報または前記監視ファイルを複数回取得する処理と、これら取得内容を比較することによりウェブページが動的に更新されるものか否かを検出する処理と、動的に更新されている場合に当該ウェブページをＣＧＩ機能により変更されるものであると判定する処理と、ＣＧＩ機能により変更されるウェブページについては該ウェブページの固定データ部分を検査対象範囲に決定する処理と、をコンピュータに実行させることを特徴とする。
【００２３】
上記の課題を解決するために、請求項１３に記載のコンピュータプログラムは、通信ネットワークを介してウェブページを提供するウェブサーバに対する不正アクセスを、前記通信ネットワークを介して監視するウェブ監視処理を行うためのコンピュータプログラムであって、ユーザから指定された前記ウェブページを取得するのに要したダウンロード時間を計測する処理と、該ダウンロード時間に基づいて前記ウェブサーバの負荷状況を監視する処理と、前記ウェブサーバに通常以上の負荷がかかっている場合に不正アクセス発生の可能性有りと判定する処理と、該監視結果を前記通信ネットワークを介してユーザ端末に提供する処理と、をコンピュータに実行させることを特徴としている。
【００２４】
これらコンピュータプログラムにより、前述のウェブ監視装置がコンピュータを利用して実現できるようになる。
【００２５】
【発明の実施の形態】
以下、図面を参照し、本発明の一実施形態について説明する。
図１は、本発明の一実施形態によるウェブ監視装置１の構成を示すブロック図である。この図１のウェブ監視装置１において、監視部１１は、Ｗｅｂサーバに対する不正アクセスを監視する処理を行う監視処理部２１と、監視処理部２１の処理実行を制御する監視タスク管理部２２とから構成される。リンク解析部１２はユーザから指定されたＷｅｂページの構成を解析し、Ｗｅｂページの構成に含まれる監視すべきファイル（以下、監視ファイルと称する）を抽出する。
【００２６】
記憶部１３は各種情報３１〜３７を記憶する。ユーザ情報３１は監視依頼者であるユーザのＩＤ、パスワード及び通信アドレス（ＩＰアドレスや電子メールアドレス、電話番号等）、監視対象のＷｅｂサーバを特定する情報（ドメイン名やＩＰアドレス等）などからなる。監視ファイル情報３２は、監視ファイルのインターネット上の位置情報（ＵＲＬ；Ｕｎｉｆｏｒｍ　Ｒｅｓｏｕｒｃｅ　Ｌｏｃａｔｏｒ）であり、ユーザから指定されたＷｅｂページの先頭ページのＨＴＭＬファイルのＵＲＬ（マスタＵＲＬ）と該Ｗｅｂページ内からリンクされている監視ファイルのＵＲＬを含む。
【００２７】
シグネチャ情報３３は、監視ファイルの内容に変化があるか否かを検査するための照合用の監視基礎データである。この監視基礎データは、監視ファイルの更新日付とファイルサイズとファイル特徴値（ハッシュ値）を含む。ダウンロード時間履歴情報３４は、Ｗｅｂページのファイル情報と監視ファイルをダウンロードするのに要した時間（ダウンロード時間）の履歴である。監視ログ情報３５は監視結果のログである。ＣＧＩ登録情報３６はＣＧＩ機能により変更されるＷｅｂページの登録情報である。この登録情報は、ＷｅｂページのマスタＵＲＬと該ページ内の検査対象範囲を示す情報とを含む。改竄判定用コンテンツ特徴情報３７は、過去に発見された変更前のＷｅｂページと変更後のＷｅｂページについて、改竄によくみられる特徴箇所をそれぞれ抽出したものである。
【００２８】
ネットワークインタフェース１４は、通信ネットワーク（例えばインターネット）に接続してＴＣＰ及びＩＰによるパケット通信を行う。
ユーザインタフェース１５は、ユーザ端末からアクセスされ、ユーザ情報の登録及び変更の設定を受け付けて記憶部１３のユーザ情報３１の内容を更新する。また、監視ファイルの登録及び変更の設定を受け付けて監視ファイル情報３２の内容を更新する。また、ユーザインタフェース１５は、記憶部１３の監視ログ情報３５に基づいて、Ｗｅｂサーバの状態（不正アクセスの有無など）の履歴（Ｗｅｂサーバ状態履歴）を保持し、この履歴をユーザ端末から参照可能なようにしている。ユーザインタフェース１５はＷｅｂサーバ機能を有し、Ｗｅｂページにより上記設定及び参照機能を実現する。ユーザは端末のＷｅｂブラウザによりそれら機能を利用することができる。
【００２９】
次に、図２を参照して監視処理部２１の基本動作を説明する。図２において、監視対象のＷｅｂサーバ２はＷｅｂページ２００を有しており、インターネット３を介してＷｅｂページ２００を提供する。Ｗｅｂページ２００はコンテンツファイル（監視ファイル）とこのファイル情報（更新日付、ファイルサイズ）を有する。ウェブ監視装置１は、インターネット３を介してＷｅｂサーバ２へアクセスし、Ｗｅｂページ２００を閲覧する。
【００３０】
監視処理部２１は、Ｗｅｂサーバに対する不正アクセスを監視するために、監視処理を実行する。そして、この監視処理において簡易検査処理または厳密検査処理を行う。図２に示すように、簡易検査処理では、ＨＴＴＰ（Ｈｙｐｅｒ　Ｔｅｘｔ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）コマンドの一つであるＨＥＡＤコマンドを使用して、Ｗｅｂサーバ２からＷｅｂページ２００の監視ファイルのファイル情報（更新日付、ファイルサイズ）のみを取得する。この取得時には記憶部１３の監視ファイル情報３２の該当するＵＲＬを使用する。監視処理部２１は、取得したファイル情報を簡易検査シグネチャとして、記憶部１３のシグネチャ情報３３と比較する。この結果、不一致の部分があった場合に、当該監視ファイルの内容に変化があったと判断する。
【００３１】
厳密検査処理では、ＨＴＴＰコマンドの一つであるＧＥＴコマンドを使用して、Ｗｅｂサーバ２からＷｅｂページ２００の監視ファイルとこのファイル情報（更新日付、ファイルサイズ）の両方を取得する。この取得時には記憶部１３の監視ファイル情報３２の該当するＵＲＬを使用する。監視処理部２１は、取得した監視ファイルのハッシュ値を求める。そして、このハッシュ値と取得したファイル情報を厳密検査シグネチャとして、記憶部１３のシグネチャ情報３３と比較する。この結果、不一致の部分があった場合に、当該監視ファイルの内容に変化があったと判断する。
【００３２】
監視処理部２１は、上記簡易検査または厳密検査の結果、監視ファイルの内容に変化があった場合に、当該Ｗｅｂサーバ２に対する不正アクセスによりＷｅｂページ２００の改竄がなされた可能性があると判定する。監視処理部２１は、この判定結果を記憶部１３の監視ログ情報３５内に記録する。また、「不正アクセス発生の可能性有り」のアラームを、ユーザインタフェース１５により電子メールでユーザへ通知するようにしてもよい。
【００３３】
上記簡易検査及び厳密検査の使い分けの仕方としては、例えば重要度の高い監視ファイルについては毎回厳密検査を実施し、それ以外の監視ファイルについては簡易検査を複数回（例えば５回）実施した後に厳密検査を一回実施する。このように使い分けることによって、不正アクセスを監視する際にＷｅｂサーバへ与える負荷を軽減することが可能となる。また、監視ファイルの重要度を考慮した柔軟な監視を実現することができる。
【００３４】
なお、厳密検査処理において、更新日付が異なっていても、ハッシュ値が同じ場合には、ミラーサーバが存在する可能性があるので、更新日付を検査範囲から除外するようにしてもよい。
【００３５】
また、簡易検査及び厳密検査において各々の検査内容を、更新日付及びファイルサイズ及びハッシュ値の中から、Ｗｅｂページ毎に個別に選択して指定することができるようにしてもよい。例えば、複数のＷｅｂサーバで提供されているＷｅｂページの場合、一般的に同一のＷｅｂページのデータを各Ｗｅｂサーバがコピーして使用している。この結果、Ｗｅｂサーバ間でファイルサイズやハッシュ値は一致するが、更新日付は異なる。このため、更新日付を検査内容から除外することにより、誤った監視結果となることを防止することができる。
【００３６】
また、シグネチャ情報３３の監視基礎データを自動的に更新するようにしてもよい。例えば、簡易検査または厳密検査で更新日付が変化していた場合に、ユーザへ改竄によるものか否かを問い合わせし、正当な更新である旨の回答受信時に該当する監視ファイルに基づいて監視基礎データを更新する。これにより、ユーザがＷｅｂページを更新した際に、シグネチャ情報を再登録する手間が省ける。
【００３７】
なお、監視処理部２１が監視ファイルの内容を解析して改竄の度合いを判定するようにしてもよい。例えば、「正規の変更」か、あるいは「意図しない改竄」かを危険度レベルで判定する。危険度レベルの決定は、改竄判定用コンテンツ特徴情報３７に格納されている改竄前後にみられるＷｅｂページの差分の特徴、との合致度合いに基づいて行う。以下に、改竄前後にみられるＷｅｂページの差分の特徴例を示す。
特徴１；ファイルサイズの差分有り。
特徴２；ＨＴＭＬにおける「ｔｉｔｌｅ」の変更、もしくはシグネチャ情報の全ての不一致。
特徴３；Ｗｅｂページの背景色が黒色。
特徴４；リンクファイル数の変化。
特徴５；ＨＴＭＬにおける「ｃｈａｒｓｅｔ」の変更
特徴６；改竄に用いられる頻度が大きい特定キーワードの使用。
【００３８】
これら特徴１〜６うち、例えば３つ以上合致している危険度レベルの場合に、「意図しない改竄」であると判定する。これにより、Ｗｅｂページの作成者（更新実施者）とＷｅｂサーバの管理者（ユーザ）が異なっていたとしても、ユーザは「正規の変更」か、あるいは「意図しない改竄」かをＷｅｂページ作成者に問い合わせることなく、判断することができる。
【００３９】
次に、図３、図４を参照して監視タスク管理部２２の動作を説明する。図３に示すように、監視タスク管理部２２は、監視処理部２１に対して、定期的に監視処理についてのプロセス（監視プロセス）を生成させて実行させる。一つの監視プロセスにおいて、上記簡易検査または厳密検査のいずれか、あるいは両方が一回実施される。図３の例では、監視タスク管理部２２は、監視周期期間の１０分が経過する毎に、新たな監視プロセスの生成及びその実行を監視処理部２１へ指示する。これにより、例えば時刻００：２０に示すように、実行中の監視プロセス１０１ｂが終了していなくても、新たな監視プロセス１０１ｃが所定時刻に生成され実行される。この結果、インターネット上に一時的な輻輳が発生してある監視プロセスの監視ファイルダウンロードに時間がかかり、監視周期期間内に当該監視プロセスが終了しなくても、一定間隔で新たな監視処理を開始することができ、監視精度を向上することが可能となる。
【００４０】
また、図４に示すように、監視タスク管理部２２は、一つの監視プロセス１０１に対して複数の監視タスク１２０を与える。監視タスク１２０には、記憶部１３の監視ファイル情報３２に含まれる監視ファイルのＵＲＬが示されている。監視処理部２１は監視プロセス１０１実行時に、複数の監視タスク１２０を待ち行列に入力する。そして、待ち行列から順次監視タスク１２０を取り出して空きの監視スレッド１１１で処理する。このように複数スレッドによる監視処理の並列化を行うことによって、ある監視スレッドで監視ファイルダウンロードを行っていても、このダウンロード終了までの監視処理部２１の処理能力の空きをダウンロード以外の処理を行っている監視スレッドに割り当てることができる。これにより、監視処理部２１の処理能力を効率よく使用することが可能となる。
【００４１】
次に、図５、図６を参照してリンク解析部１２の動作を説明する。図５に示す例のように、Ｗｅｂページ２００は、複数のＨＴＭＬファイル２０１〜２０４とそのリンクファイル２１１〜２１３から構成される。リンク解析部１２は、このＷｅｂページ２００の構成を解析し、Ｗｅｂページ２００の構成に含まれる監視ファイルを抽出する。この解析処理において、リンク解析部１２は、外部Ｗｅｂサーバに保持されるファイル２１３へのリンクと、リンクの関係がループ状になっているリンクをリンク探索の対象から除外する。また、リンクの関係がループ状になっているリンクについては、重複して探索しないようにする。そして、このリンク探索によって検出した全てのリンクファイルを監視ファイルとして抽出する。リンク解析部１２は、この抽出した監視ファイルのＵＲＬを記憶部１３の監視ファイル情報３２内に記録する。
【００４２】
図６に、抽出した監視ファイルのＵＲＬ表示及びその監視ファイルの検査内容を設定するための画面１３０を示す。リンク解析部１２は、抽出した監視ファイルのＵＲＬをユーザインタフェース１５に通知し、ユーザインタフェース１５が画面１３０を作成してユーザ端末へ提供する。この画面１３０により、ユーザは各監視ファイルについて、簡易検査及び厳密検査の実施間隔を設定することができる。また、簡易検査または厳密検査のいずれか、あるいは両方の未実施を設定することも可能である。
【００４３】
図６の例では、Ｗｅｂページの先頭ページ（マスタＵＲＬ）に対してＵＲＬ２〜ＵＲＬ７の６つの監視ファイルを抽出結果として表示している。そして、全ての監視ファイルについて、簡易検査を１０分間隔で実施し、且つ厳密検査を６０分間隔で実施するように設定されている。また、マスタＵＲＬがダウンロード速度の測定対象である旨を表示している。
【００４４】
このようにリンク解析部１２が自動的にＷｅｂページのリンクを解析して監視ファイルを抽出するので、ユーザは監視のための設定が楽になる。
【００４５】
次に、図７を参照してＣＧＩ機能を有するＷｅｂサーバを監視する場合を説明する。図７は、監視処理部２１が行うＣＧＩ判定処理の流れを示すフローチャートである。ユーザから監視ファイルの登録あるいは変更がなされた際に、監視処理部２１は、図７のＣＧＩ判定処理を実行する。図７において、監視処理部２１は、Ｗｅｂページを複数回ダウンロードし、ダウンロード毎の監視ファイルのハッシュ値を求めて比較する。また、ファイル情報についてもダウンロード毎に比較する（ステップＳ１１）。次いで、このハッシュ値及びファイル情報の比較の結果、不一致のものがあった場合に、当該ＷｅｂページがＣＧＩ機能により動的に更新されるものであると判定してステップＳ１３へ進む。一方、全て一致した場合には処理を終了する（ステップＳ１２）。
【００４６】
ステップＳ１３では、監視処理部２１は、当該ＷｅｂページをＣＧＩ機能により変更されるものとして登録するか否かを問い合わせる（ステップＳ１３）。この問い合わせは、ユーザインタフェース１５によりＷｅｂページあるいは電子メールを利用して行う。次いで、問い合わせの結果、登録許可の場合にはステップＳ１５へ進み、一方、非許可の場合には処理を終了する（ステップＳ１４）。
【００４７】
ステップＳ１５では、監視処理部２１は、ステップＳ１１の比較結果において毎回一致していた固定データ部分をＷｅｂページ内の検査対象範囲に決定する。次いで、当該ＷｅｂページのマスタＵＲＬ及び該検査対象範囲を示す情報を記憶部１３のＣＧＩ登録情報３６内に記録する（ステップＳ１６）。
【００４８】
監視処理部２１は、簡易検査処理または厳密検査処理を実行する際に、記憶部１３のＣＧＩ登録情報３６を参照し、検査対象のＷｅｂページがＣＧＩ登録されているか否かを確認する。そして、ＣＧＩ登録されていた場合には、ＣＧＩ登録情報３６の該当する検査対象範囲についてのみ検査する。
【００４９】
このように本実施形態では、複数回Ｗｅｂページを取得し、これら取得内容を比較することによりＷｅｂページが動的に更新されるものか否かを検出し、動的に更新されている場合に当該ＷｅｂページをＣＧＩ機能により変更されるものであると判定する。さらに、ＣＧＩ機能により変更されるＷｅｂページについては固定データ部分のみを検査する。これにより、Ｗｅｂページの変更がＣＧＩ機能による正当なものではなく、改竄による不正なものであると判別することができる。
【００５０】
次に、図８、図９を参照してＷｅｂページのダウンロード時間に基づいてＷｅｂサーバへの不正アクセスを検出する動作を説明する。監視処理部２１は、ＨＴＴＰのＧＥＴコマンドを使用してＷｅｂページから監視ファイルとこのファイル情報の両方を取得する際に要したダウンロード時間を計測する。そして、計測したダウンロード時間を記憶部１３のダウンロード時間履歴情報３４内に記録する。また、監視処理部２１は、該計測済みのダウンロード時間をグラフ化して管理する。このグラフデータについてもダウンロード時間履歴情報３４内に記録する。
【００５１】
図８にダウンロード時間のグラフデータに基づいた波形Ｗ１を表示する画面１４０を示す。この画面１４０は、ユーザインタフェース１５によって作成され、ユーザ端末に提供される。
【００５２】
また、監視処理部２１は、過去のダウンロード時間を使用して一日の時間帯毎の平均値を算出する。そして、時間帯ごとに平均値と当日の計測結果のダウンロード時間とを比較する。この比較の結果、当日の計測結果が平均値よりも予め設定されている閾値以上に大きな値であった場合に、当該Ｗｅｂサーバに対する不正アクセス発生の可能性ありと判定する。図９に平均値のグラフの波形Ｗ２と当日の計測結果のグラフの波形Ｗ３を表示する画面１４１を示す。この画面１４１に示す例では、時刻ｔ１に波形Ｗ３の値が波形Ｗ２の値よりも閾値Ａ以上大きな値となっている。監視処理部２１は、この監視結果を記憶部１３の監視ログ情報３５内に記録する。上記画面１４１についてもユーザインタフェース１５によって作成され、ユーザ端末に提供される。
【００５３】
なお、本実施形態では、ダウンロード時間を求めたが、このダウンロード時間を使用してダウンロード速度（単位時間あたりのダウンロードデータ量）を算出するようにしてもよい。
【００５４】
上述したように本実施形態では、Ｗｅｂページのダウンロードに要する時間を計測し、このダウンロード時間に基づいて当該Ｗｅｂサーバの負荷状況を監視し、通常以上の負荷がかかっている場合に不正アクセス発生の可能性有りと判定する。これにより、Ｗｅｂページの改竄以外のＤｏＳ（Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ　ａｔｔａｃｋ）／ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ　Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ　ａｔｔａｃｋｓ）による攻撃を検出することができる。
【００５５】
なお、本実施形態においては、監視処理部２１が監視処理手段とＣＧＩ判定手段に対応する。また、監視タスク管理部２２が監視タスク管理手段に対応し、リンク解析部１２がリンク解析手段に対応する。また、ネットワークインタフェース１４が通信手段に対応し、ユーザインタフェース１５がユーザ対応手段に対応する。また、記憶部１３の監視ファイル情報３２の記憶領域が監視ファイル情報記憶手段と位置情報記憶手段に対応する。また、記憶部１３のシグネチャ情報３３の記憶領域がシグネチャ情報記憶手段に対応し、ＣＧＩ登録情報３６の記憶領域がＣＧＩ登録情報記憶手段に対応し、改竄判定用コンテンツ特徴情報３７の記憶領域が改竄判定用コンテンツ特徴情報記憶手段に対応する。
【００５６】
また、図１に示すウェブ監視装置が行う各処理を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによりウェブ監視処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。
【００５７】
さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００５８】
以上、本発明の実施形態を図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【００５９】
【発明の効果】
以上説明したように、本発明によれば、監視ファイルのファイル情報のみを取得して監視処理を行う簡易検査と、監視ファイルも取得して監視処理を行う厳密検査とを行うことができるので、それら検査を適宜使い分けすることにより、ウェブサーバに与える負荷を軽減することが可能となる。
【００６０】
また、請求項２に記載の発明によれば、所定時刻に監視プロセスが生成され実行されるので、インターネット上に一時的な輻輳が発生してある監視プロセスの監視ファイルダウンロードに時間がかかり、監視周期期間内に当該監視プロセスが終了しなくても、一定間隔で新たな監視処理を開始することができ、監視精度を向上することが可能となる。
【００６１】
また、請求項３に記載の発明によれば、監視処理の並列化がなされるので、監視ファイルダウンロード中の監視処理手段の処理能力の空きをダウンロード以外の処理を行っているタスク用に割り当てることができる。これにより、監視処理手段の処理能力を効率よく使用することが可能となる。
【００６２】
また、請求項４に記載の発明によれば、自動的にウェブページのリンクを解析して監視ファイルを抽出するので、ユーザは監視のための設定が楽になる。
【００６３】
また、請求項５に記載の発明によれば、ウェブページが動的に更新されることを検出して当該ウェブページをＣＧＩ機能により変更されるものであると判定する。さらに、ＣＧＩ機能により変更されるウェブページについては固定データ部分のみを検査するので、ウェブページの変更がＣＧＩ機能による正当なものではなく、改竄による不正なものであると判別することができる。
【００６４】
また、請求項６に記載の発明によれば、ウェブページに対する改竄の度合いが得られるので、ユーザは該度合いに基づいて不正アクセス有無の判断を行うことができる。
【００６５】
また、請求項７に記載の発明によれば、ウェブページのダウンロード時間に基づき当該ウェブサーバの負荷状況を監視して不正アクセス発生の可能性有りを検出するので、ウェブページの改竄以外のＤｏＳやＤＤｏＳによる攻撃を検出することができる。
【図面の簡単な説明】
【図１】本発明の一実施形態によるウェブ監視装置１の構成を示すブロック図である。
【図２】図１に示す監視処理部２１の基本動作を説明するための概念図である。
【図３】図１に示す監視タスク管理部２２の動作を説明するための概念図である。
【図４】図１に示す監視処理部２１及び監視タスク管理部２２の動作を説明するための概念図である。
【図５】図１に示すリンク解析部１２の動作を説明するための概念図である。
【図６】リンク解析部１２が抽出した監視ファイルのＵＲＬ表示及びその監視ファイルの検査内容を設定するための画面構成例を示す図である。
【図７】図１に示す監視処理部２１が行うＣＧＩ判定処理の流れを示すフローチャートである。
【図８】ダウンロード時間のグラフの波形Ｗ１を表示する画面構成例を示す図である。
【図９】ダウンロード時間の平均値のグラフの波形Ｗ２と当日の計測結果のグラフの波形Ｗ３を表示する画面構成例を示す図である。
【符号の説明】
１…ウェブ監視装置、２…ウェブ（Ｗｅｂ）サーバ、１１…監視部、１２…リンク解析部、１３…記憶部、１４…ネットワークインタフェース、１５…ユーザインタフェース、２１…監視処理部、２２…監視タスク管理部、３１…ユーザ情報、３２…監視ファイル情報、３３…シグネチャ情報、３４…ダウンロード時間履歴情報、３５…監視ログ情報、３６…ＣＧＩ登録情報、３７…改竄判定用コンテンツ特徴情報、２００…ウェブ（Ｗｅｂ）ページ

Claims (13)

1. 通信ネットワークを介してウェブページを提供するウェブサーバに対する不正アクセスを、前記通信ネットワークを介して監視するウェブ監視装置であって、
   前記通信ネットワークを介してデータ通信を行う通信手段と、
   ユーザから指定された前記ウェブページの構成に含まれる監視ファイルの前記通信ネットワーク上の位置情報を記憶する監視ファイル情報記憶手段と、
   前記監視ファイルの監視基礎データを記憶するシグネチャ情報記憶手段と、
   前記位置情報に基づいて前記監視ファイルまたは前記監視ファイルのファイル情報を取得し、この取得した内容と前記シグネチャ情報記憶手段の該当する監視基礎データとを比較し、不一致を検出した場合に前記ウェブサーバに対する不正アクセス発生の可能性有りと判定する監視処理手段と、
   該監視結果を前記通信ネットワークを介してユーザ端末に提供するユーザ対応手段と、
   を備えたことを特徴とするウェブ監視装置。
2. 前記監視処理手段に対して定期的に監視処理についてのプロセスを生成させて実行させる監視タスク管理手段を備えたことを特徴とする請求項１に記載のウェブ監視装置。
3. 前記監視処理手段に対して監視処理についての複数のタスクを与える監視タスク管理手段を備え、
   前記監視処理手段は、該複数のタスクを並列処理する
   ことを特徴とする請求項１に記載のウェブ監視装置。
4. 前記ウェブページの構成を解析し、該ウェブページの構成に含まれる監視ファイルを抽出して該位置情報を前記監視ファイル情報記憶手段に記録するリンク解析手段を備えたことを特徴とする請求項１乃至請求項３のいずれかの項に記載のウェブ監視装置。
5. ＣＧＩ機能により変更されるウェブページを登録するＣＧＩ登録情報記憶手段と、
   前記位置情報に基づいて前記ファイル情報または前記監視ファイルを複数回取得し、これら取得内容を比較することによりウェブページが動的に更新されるものか否かを検出し、動的に更新されている場合に当該ウェブページをＣＧＩ機能により変更されるものであると判定し、この判定に基づいて当該ウェブページを前記ＣＧＩ登録情報記憶手段に登録し且つ当該ウェブページの固定データ部分を検査対象範囲に決定して該検査対象範囲を示す情報を前記ＣＧＩ登録情報記憶手段に記録するＣＧＩ判定手段を備え、
   前記監視処理手段は、前記ＣＧＩ登録情報記憶手段に登録されているウェブページについては該当する検査対象範囲を適用する
   ことを特徴とする請求項１乃至請求項４のいずれかの項に記載のウェブ監視装置。
6. 改竄前後にみられるウェブページの差分の特徴情報を記憶する改竄判定用コンテンツ特徴情報記憶手段を備え、
   前記監視処理手段は、前記改竄判定用コンテンツ特徴情報記憶手段の特徴情報に基づいて、前記監視ファイルの改竄の度合いを判定する
   ことを特徴とする請求項１乃至請求項５のいずれかの項に記載のウェブ監視装置。
7. 通信ネットワークを介してウェブページを提供するウェブサーバに対する不正アクセスを、前記通信ネットワークを介して監視するウェブ監視装置であって、
   前記通信ネットワークを介してデータ通信を行う通信手段と、
   ユーザから指定された前記ウェブページの前記通信ネットワーク上の位置情報を記憶する位置情報記憶手段と、
   前記位置情報に基づいてウェブページを取得するのに要したダウンロード時間を計測し、該ダウンロード時間に基づいて前記ウェブサーバの負荷状況を監視し、通常以上の負荷がかかっている場合に不正アクセス発生の可能性有りと判定する監視処理手段と、
   該監視結果を前記通信ネットワークを介してユーザ端末に提供するユーザ対応手段と、
   を備えたことを特徴とするウェブ監視装置。
8. 通信ネットワークを介してウェブページを提供するウェブサーバに対する不正アクセスを、前記通信ネットワークを介して監視するウェブ監視方法であって、
   ユーザから指定された前記ウェブページの構成に含まれる監視ファイルまたは該監視ファイルのファイル情報を取得する過程と、
   この取得した内容と前記監視ファイルの監視基礎データとを比較する過程と、この比較により不一致を検出した場合に前記ウェブサーバに対する不正アクセス発生の可能性有りと判定する過程と、
   この監視結果を前記通信ネットワークを介してユーザ端末に提供する過程と、
   を含むことを特徴とするウェブ監視方法。
9. 前記ファイル情報または前記監視ファイルを複数回取得する過程と、
   これら取得内容を比較することによりウェブページが動的に更新されるものか否かを検出する過程と、
   動的に更新されている場合に当該ウェブページをＣＧＩ機能により変更されるものであると判定する過程と、
   ＣＧＩ機能により変更されるウェブページについては該ウェブページの固定データ部分を検査対象範囲に決定する過程と、
   を含むことを特徴とする請求項８に記載のウェブ監視方法。
10. 通信ネットワークを介してウェブページを提供するウェブサーバに対する不正アクセスを、前記通信ネットワークを介して監視するウェブ監視方法であって、
    ユーザから指定された前記ウェブページを取得するのに要したダウンロード時間を計測する過程と、
    該ダウンロード時間に基づいて前記ウェブサーバの負荷状況を監視する過程と、
    前記ウェブサーバに通常以上の負荷がかかっている場合に不正アクセス発生の可能性有りと判定する過程と、
    該監視結果を前記通信ネットワークを介してユーザ端末に提供する過程と、
    を含むことを特徴とするウェブ監視方法。
11. 通信ネットワークを介してウェブページを提供するウェブサーバに対する不正アクセスを、前記通信ネットワークを介して監視するウェブ監視処理を行うためのコンピュータプログラムであって、
    ユーザから指定された前記ウェブページの構成に含まれる監視ファイルまたは該監視ファイルのファイル情報を取得する処理と、
    この取得した内容と前記監視ファイルの監視基礎データとを比較する過程と、この比較により不一致を検出した場合に前記ウェブサーバに対する不正アクセス発生の可能性有りと判定する処理と、
    この監視結果を前記通信ネットワークを介してユーザ端末に提供する処理と、
    をコンピュータに実行させることを特徴とするコンピュータプログラム。
12. 前記ファイル情報または前記監視ファイルを複数回取得する処理と、
    これら取得内容を比較することによりウェブページが動的に更新されるものか否かを検出する処理と、
    動的に更新されている場合に当該ウェブページをＣＧＩ機能により変更されるものであると判定する処理と、
    ＣＧＩ機能により変更されるウェブページについては該ウェブページの固定データ部分を検査対象範囲に決定する処理と、
    をコンピュータに実行させることを特徴とする請求項１１に記載のコンピュータプログラム。
13. 通信ネットワークを介してウェブページを提供するウェブサーバに対する不正アクセスを、前記通信ネットワークを介して監視するウェブ監視処理を行うためのコンピュータプログラムであって、
    ユーザから指定された前記ウェブページを取得するのに要したダウンロード時間を計測する処理と、
    該ダウンロード時間に基づいて前記ウェブサーバの負荷状況を監視する処理と、
    前記ウェブサーバに通常以上の負荷がかかっている場合に不正アクセス発生の可能性有りと判定する処理と、
    該監視結果を前記通信ネットワークを介してユーザ端末に提供する処理と、
    をコンピュータに実行させることを特徴とするコンピュータプログラム。

Images