JP2005011061A

JP2005011061A - ホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム，方法およびプログラム

Info

Publication number: JP2005011061A
Application number: JP2003174438A
Authority: JP
Inventors: Akiko Taniguchi; 亜紀子谷口
Original assignee: NEC Fielding Ltd
Current assignee: NEC Fielding Ltd
Priority date: 2003-06-19
Filing date: 2003-06-19
Publication date: 2005-01-13
Anticipated expiration: 2023-06-19
Also published as: JP4047770B2

Abstract

【課題】ホームページの改ざんを事前に防御するホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム，方法およびプログラムを提供する。
【解決手段】Ｗｅｂサーバ１０は、Ｗｅｂ閲覧者端末４０がＷｅｂコンテンツ閲覧時に送信してきたコマンドを確認する。送信コマンドがシグネチャパターンと一致する場合、アクセスを切断してＷｅｂ閲覧者端末４０を拒否リストに登録しＷｅｂコンテンツのハッシュ値の検証を行う。送信コマンドがシグネチャパターンと一致せず且つアクセス制限テーブルの範囲内の場合、Ｗｅｂ閲覧者端末４０を許可リストに登録しＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーする。送信コマンドがシグネチャパターンと一致せず且つアクセス制限テーブルの範囲外の場合、Ｗｅｂコンテンツのハッシュ値の検証を行う。ハッシュ値の検証結果が正常でなければ改ざんされていると判断し改ざん発覚時の処理を行う。
【選択図】図１

Description

【０００１】
【発明の属する技術分野】
本発明は、ホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム，方法およびプログラムに関し、特に改ざんされにくいＷｅｂサーバの運用を行うためにホームページの改ざんを事前に防御するホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム，方法およびプログラムに関する。
【０００２】
【従来の技術】
インターネットの爆発的な普及に伴い、ホームページを持つ企業や学校、個人が急増している。
【０００３】
従来のホームページ改ざん監視機能は、改ざんされた後の検査による監視であり、公開しているホームページデータと監視用データベースとの差分で「不正な更新（改ざん）」を検出している。ホームページの改ざん発生時には、ホームページの閲覧サービスを停止する。
【０００４】
また、運用面においては、ホームページデータの退避、改ざん時の復元、正当なホームページデータの更新に伴う監視データベースの更新等を人手により行っている。
【０００５】
従来のホームページ改ざん監視方式の一例が、特許文献１に記載されている。特許文献１では、ウェブページの基準時に係るコンテンツファイルのハッシュ値を算出して記憶手段に記憶し、ウェブページの検査時に係るコンテンツファイルのハッシュ値を算出して記憶手段から読み出した基準時のハッシュ値と比較し、両者の差異を検証することで改ざんを監視している。
【０００６】
【特許文献１】
特開２００１−２６５２１７号公報
【０００７】
【発明が解決しようとする課題】
しかしながら、上述した従来の技術には、以下のような問題点がある。
【０００８】
すなわち、従来の監視方法は「改ざん後」の検出であり、全て事後処理となってしまっており、事前の防御がなされていないことである。
【０００９】
また、改ざん発生時にホームページの閲覧サービスが停止され、ホームページ閲覧サービスの継続性が保たれないことである。
【００１０】
また、ホームページデータの退避、改ざん時の復元、正当なホームページデータの更新に伴う監視データベースの更新等を人手により行っているので、これらの作業時における人為ミスに起因する誤動作・誤検出が発生することである。
【００１１】
本発明の目的は、上記の問題点を解決したホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム，方法およびプログラムを提供することにある。
【００１２】
【課題を解決するための手段】
本願第１の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムは、ＷｅｂサーバにアクセスしてＷｅｂコンテンツの閲覧を行うＷｅｂ閲覧者端末と、攻撃パターンを登録する攻撃パターンテーブルとＷｅｂコンテンツに対するアクセス制限を設定するアクセス制限テーブルを有し、前記Ｗｅｂ閲覧者端末に対してＷｅｂコンテンツの閲覧サービスを行い、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが前記攻撃パターンと一致する場合には前記Ｗｅｂ閲覧者端末とのアクセスを切断して前記Ｗｅｂ閲覧者端末を拒否リストに登録し、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが前記攻撃パターンと一致せず且つ前記アクセス制限テーブルに設定されるアクセス制限の範囲内の場合には前記Ｗｅｂ閲覧者端末を許可リストに登録してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーし、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが前記攻撃パターンと一致せず且つ前記アクセス制限テーブルに設定されるアクセス制限の範囲外の場合にはＷｅｂコンテンツのハッシュ値の検証結果が正常であれば改ざんはされていないと判断してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーし検証結果が正常でなければ改ざんされていると判断して改ざん発覚時の処理を行うＷｅｂサーバと、前記Ｗｅｂサーバを管理する管理者端末と、を備える。
【００１３】
本願第２の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムは、第１の発明において前記Ｗｅｂサーバは、アクセスしてきた前記Ｗｅｂ閲覧者端末が前記拒否リストに登録されている場合には接続を拒否する手段を有する。
【００１４】
本願第３の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムは、第１の発明において前記Ｗｅｂサーバは、前記Ｗｅｂコンテンツの改ざん発覚時にＷｅｂ閲覧者端末がアクセスするＷｅｂコンテンツを前記ミラーＷｅｂコンテンツへ切り替える手段と、Ｗｅｂ閲覧者端末からの前記ミラーＷｅｂコンテンツへのアクセスを前記アクセス制限テーブルに設定されるアクセス制限の範囲内に制限する手段と、前記ミラーＷｅｂコンテンツから前記Ｗｅｂコンテンツへコピーして前記Ｗｅｂコンテンツの復旧を行う手段と、を有する。
【００１５】
本願第４の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムは、第１の発明において前記管理者端末は、前記Ｗｅｂコンテンツを更新する手段を有し、前記Ｗｅｂサーバは、前記管理者端末からの前記Ｗｅｂコンテンツに対する更新を前記アクセス制限テーブルに設定されるアクセス制限の範囲内に制限する手段と、前記Ｗｅｂコンテンツが前記管理者端末により更新されたときに前記ＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーすると共にバックアップファイルに退避する手段を有する。
【００１６】
本願第５の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法は、Ｗｅｂ閲覧者端末とＷｅｂサーバと管理者端末とを備えるシステムのホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法であって、前記Ｗｅｂサーバは、前記Ｗｅｂ閲覧者端末に対してＷｅｂコンテンツの閲覧サービスを行い、前記Ｗｅｂ閲覧者端末は、前記Ｗｅｂサーバにアクセスして前記Ｗｅｂコンテンツの閲覧を行い、前記Ｗｅｂサーバは、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致する場合には、前記Ｗｅｂ閲覧者端末とのアクセスを切断して前記Ｗｅｂ閲覧者端末を拒否リストに登録し、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲内の場合には、前記Ｗｅｂ閲覧者端末を許可リストに登録してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーし、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲外の場合には、前記Ｗｅｂコンテンツのハッシュ値を算出してハッシュ値記憶部に格納されているハッシュ値と比較し、比較結果が一致すれば改ざんはされていないと判断してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーし、比較結果が不一致であれば改ざんされていると判断して改ざん発覚時の処理を行う、ことを特徴とする。
【００１７】
本願第６の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法は、第５の発明において前記Ｗｅｂサーバは、アクセスしてきた前記Ｗｅｂ閲覧者端末が前記拒否リストに登録されている場合には、前記Ｗｅｂ閲覧者端末との接続を拒否する、ことを特徴とする。
【００１８】
本願第７の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法は、第５の発明において前記改ざん発覚時に、前記Ｗｅｂサーバは、前記Ｗｅｂ閲覧者端末がアクセスするＷｅｂコンテンツを前記ミラーＷｅｂコンテンツへ切り替え、前記Ｗｅｂ閲覧者端末からの前記ミラーＷｅｂコンテンツへのアクセスをアクセス制限テーブルに設定されるアクセス制限の範囲内に制限し、前記ミラーＷｅｂコンテンツから前記Ｗｅｂコンテンツへコピーして前記Ｗｅｂコンテンツの復旧を行い、前記Ｗｅｂコンテンツの改ざん検出を前記管理者端末に通知する、ことを特徴とする。
【００１９】
本願第８の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法は、第５の発明において前記管理者端末は、前記Ｗｅｂコンテンツの更新を行い、前記Ｗｅｂサーバは、前記管理者端末からの前記Ｗｅｂコンテンツに対する更新をアクセス制限テーブルに設定されるアクセス制限の範囲内に制限し、前記Ｗｅｂコンテンツが前記管理者端末により更新されたときに前記ＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーすると共にバックアップファイルに退避する、ことを特徴とする。
【００２０】
本願第９の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラムは、Ｗｅｂ閲覧者端末とＷｅｂサーバと管理者端末とを備えるシステムのホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラムであって、コンピュータに、前記Ｗｅｂサーバが、前記Ｗｅｂ閲覧者端末に対してＷｅｂコンテンツの閲覧サービスを行う機能、前記Ｗｅｂ閲覧者端末が、前記Ｗｅｂサーバにアクセスして前記Ｗｅｂコンテンツの閲覧を行う機能、前記Ｗｅｂサーバが、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致する場合には、前記Ｗｅｂ閲覧者端末とのアクセスを切断して前記Ｗｅｂ閲覧者端末を拒否リストに登録する機能、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲内の場合には、前記Ｗｅｂ閲覧者端末を許可リストに登録してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーする機能、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲外の場合には、前記Ｗｅｂコンテンツのハッシュ値を算出してハッシュ値記憶部に格納されているハッシュ値と比較する機能、比較結果が一致すれば改ざんはされていないと判断してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーする機能、比較結果が不一致であれば改ざんされていると判断して改ざん発覚時の処理を行う機能、を実現させる。
【００２１】
本願第１０の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラムは、第９の発明において前記Ｗｅｂサーバが、アクセスしてきた前記Ｗｅｂ閲覧者端末が前記拒否リストに登録されている場合には前記Ｗｅｂ閲覧者端末との接続を拒否する機能、を実現させる。
【００２２】
本願第１１の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラムは、第９の発明において前記Ｗｅｂサーバが、前記Ｗｅｂコンテンツの改ざん発覚時に前記Ｗｅｂ閲覧者端末がアクセスするＷｅｂコンテンツを前記ミラーＷｅｂコンテンツへ切り替える機能、前記Ｗｅｂ閲覧者端末からの前記ミラーＷｅｂコンテンツへのアクセスをアクセス制限テーブルに設定されるアクセス制限の範囲内に制限する機能、前記ミラーＷｅｂコンテンツから前記Ｗｅｂコンテンツへコピーして前記Ｗｅｂコンテンツの復旧を行う機能、前記Ｗｅｂコンテンツの改ざん検出を前記管理者端末に通知する機能、を実現させる。
【００２３】
本願第１２の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラムは、第９の発明において前記管理者端末が、前記Ｗｅｂコンテンツの更新を行う機能、前記Ｗｅｂサーバが、前記管理者端末からの前記Ｗｅｂコンテンツに対する更新をアクセス制限テーブルに設定されるアクセス制限の範囲内に制限する機能、前記Ｗｅｂコンテンツが前記管理者端末により更新されたときに前記ＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーすると共にバックアップファイルに退避する機能、を実現させる。
【００２４】
【発明の実施の形態】
最初に、本発明の特徴を説明する。
【００２５】
本発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム，方法およびプログラムは、ホームページが改ざんされる前に出来る限りの防御を行い、改ざん発生時においても閲覧サービスを継続し、運用面においてはホームページ領域のミラーリング機能により人手による退避および改ざん時の復元がほとんど不要となることを特徴としている。
【００２６】
本発明の特徴をより詳細に説明する。
【００２７】
Ｗｅｂ（ウェブ）閲覧者がＷｅｂサーバに送信したコマンドパターンが登録済攻撃パターンと一致する場合、Ｗｅｂサーバはアクセスを切断してＷｅｂ閲覧者を拒否リストに登録し、Ｗｅｂコンテンツのハッシュ値の検証結果が正常であれば改ざんはされていないと判断しＷｅｂコンテンツデータをミラーＷｅｂコンテンツにコピー（ミラーリング）して終了し、検証結果が正常でなければ改ざんされていると判断して改ざん発覚時の処理を行う。
【００２８】
Ｗｅｂ閲覧者がＷｅｂサーバに送信したコマンドパターンが登録済攻撃パターンと一致しなく且つアクセス制限テーブルの範囲内の場合、ＷｅｂサーバはＷｅｂ閲覧者を許可リストに登録しＷｅｂコンテンツデータをミラーＷｅｂコンテンツにコピー（ミラーリング）して終了する。
【００２９】
Ｗｅｂ閲覧者がＷｅｂサーバに送信したコマンドパターンが登録済攻撃パターンと一致しなく且つアクセス制限テーブルの範囲外の場合、ＷｅｂサーバはＷｅｂコンテンツのハッシュ値の検証結果が正常であれば改ざんはされていないと判断しＷｅｂコンテンツデータをミラーＷｅｂコンテンツにコピー（ミラーリング）して終了し、検証結果が正常でなければ改ざんされていると判断して改ざん発覚時の処理を行う。
【００３０】
拒否リストに登録されると、次回からＷｅｂサーバに対するアクセスが拒否される。
【００３１】
許可リストに登録されると、次回からＷｅｂサーバに対して、許可リストに登録されていないものより広範囲のアクセスができる。
【００３２】
改ざん発覚時の処理では、ＷｅｂサーバはＷｅｂ閲覧者がアクセスするホームページ領域をミラーＷｅｂコンテンツへ切り替え緊急時アクセスで定義する範囲内のアクセスのみを許可してホームページを閲覧可能し、ミラーＷｅｂコンテンツからＷｅｂコンテンツへデータをコピーし復旧作業を行う。復旧作業実施中でもサービスは継続される。
【００３３】
次に、本発明の実施の形態の構成について、図面を参照して詳細に説明する。
図１は、本発明の全体構成図である。
図２は、Ｗｅｂサーバ１０の構成図である。
図３は、Ｗｅｂサーバソフト１０２の構成図である。
図４は、改ざん検査エンジン１０３の構成図である。
図５は、アクセスリストＤＢ１０３３の構成図である。
図９は、シグネチャパターンの例を示す図である。
図１０は、アクセス制限テーブルの例を示す図である。
図１３は、ハッシュの例を示す図である。
【００３４】
本発明の実施の形態は、図１に示す通り、Ｗｅｂサーバ１０と、管理サーバ２０と、管理者端末３０と、Ｗｅｂ閲覧者端末４０と、ネットワーク１００と、を備えており、Ｗｅｂサーバ１０とＷｅｂ閲覧者端末４０はネットワーク１００を介して接続している。尚、図１では１つのＷｅｂ閲覧者端末４０を図示しているが、Ｗｅｂ閲覧者端末の個数に制約は無い。不特定多数のユーザは各自が使用するＷｅｂ閲覧者端末からネットワーク１００を介してＷｅｂサーバ１０にアクセスする。また、図１では１つの管理者端末３０を図示しているが、管理サーバ２０に接続される管理者端末の個数に制約は無い。
【００３５】
Ｗｅｂサーバ１０は、プログラム制御で動作するサーバ等の情報処理装置で、Ｗｅｂ閲覧者端末４０に対してＷｅｂコンテンツの閲覧等のサービスを提供する。Ｗｅｂサーバ１０は、図２に示す通り、アクセス制御部１０１と、Ｗｅｂサーバソフト１０２と、改ざん検査エンジン１０３と、を備え、各種のログ（Ｗｅｂ閲覧者端末４０のアクセスログ等）を採取する機能を有している。
【００３６】
アクセス制御部１０１は、改ざん検査エンジン１０３の指示により、Ｗｅｂ閲覧者端末４０のアクセスを制御する。アクセス制御部１０１は、Ｗｅｂ閲覧者端末４０とのセッションを切断した時点で、Ｗｅｂ閲覧者端末４０のＩＰアドレスを許可リスト１０３３２あるいは拒否リスト１０３３３に登録する。
【００３７】
Ｗｅｂサーバソフト１０２は、図３に示す通り、Ｗｅｂコンテンツ１０２１が含まれた構成を示している。Ｗｅｂサーバソフト１０２は、例えばＩＩＳ（ＩｎｔｅｒｎｅｔＩｎｆｏｒｍａｔｉｏｎＳｅｒｖｉｃｅｓ）やＡｐａｃｈｅ等である。
【００３８】
Ｗｅｂコンテンツ１０２１には、ＨＴＭＬファイル（ｉｎｄｅｘ．ｈｔｍｌ）や画像ファイルなどが含まれる。
【００３９】
改ざん検査エンジン１０３は、図４に示す通り、ミラーＷｅｂコンテンツ１０３１と、監視ＤＢ（データベース）１０３２と、アクセスリストＤＢ１０３３と、シグネチャパターンＤＢ１０３４と、を備えている。改ざん検査エンジン１０３は、セッションが切断された時点で、Ｗｅｂコンテンツ１０２１のハッシュ値を算出し、算出したＷｅｂコンテンツ１０２１のハッシュ値と監視ＤＢ１０３２が保持する確定されたＷｅｂコンテンツのハッシュ値との比較を行い、改ざんの事実を判定する。ハッシュ方法は、図１３に示す通り、ＭＤ５（ｍｅｓｓａｇｅｄｉｇｅｓｔａｌｇｏｒｉｔｈｍ５）などに代表される一方向ハッシュ関数による値を用いる。図１３の例では、ある時点において．／ｉｍａｇｅ２．ｇｉｆファイルが改ざんされたことを表している。
【００４０】
ミラーＷｅｂコンテンツ１０３１は、Ｗｅｂコンテンツ１０２１に対するＷｅｂ閲覧者端末４０の行為が正当な場合のみ、セッションの切断後にＷｅｂコンテンツ１０２１のデータがコピーされる（以下、ミラーリングと称す）。ミラーＷｅｂコンテンツ１０３１は、Ｗｅｂコンテンツ１０２１の改ざん検出時に切り替え用コンテンツとしてサービスの提供に使用され、Ｗｅｂ閲覧の継続性を保つ。
【００４１】
監視ＤＢ１０３２は、Ｗｅｂコンテンツ監視用の情報を保持する記憶装置である。監視ＤＢ１０３２には、確定されたＷｅｂコンテンツのハッシュ値を保持する。確定されたＷｅｂコンテンツのハッシュ値は、改ざん検査エンジン１０３が算出したＷｅｂコンテンツ１０２１のハッシュ値と比較され、改ざんの事実判定に使用される。
【００４２】
アクセスリストＤＢ１０３３は、Ｗｅｂコンテンツに対するアクセス制御用の情報を保持する記憶装置である。アクセスリストＤＢ１０３３は、図５に示すように、管理者用ＩＰアドレスリスト１０３３１と、許可リスト１０３３２と、拒否リスト１０３３３と、アクセス制限テーブル１０３３４と、を含む。
【００４３】
管理者用ＩＰアドレスリスト１０３３１は、Ｗｅｂコンテンツ１０２１へ対する全てのアクセスが可能である管理者端末のＩＰアドレスが登録される。管理者用ＩＰアドレスリスト１０３３１に登録されている管理者端末はＷｅｂコンテンツ１０２１の更新／保守等を行うことができる。
【００４４】
許可リスト１０３３２は、以前の閲覧時に正当な行為を行ったＷｅｂ閲覧者端末４０のＩＰアドレスが登録されろ。
【００４５】
拒否リスト１０３３３は、以前の閲覧時に不正な行為を行ったＷｅｂ閲覧者端末４０のＩＰアドレスが登録される。
【００４６】
アクセス制限テーブル１０３３４は、図１０に示すように、Ｗｅｂコンテンツ１０２１に格納されているファイル毎の実行可能なアクセス制限を設定してあるテーブルである。
【００４７】
図１０を参照すると、［ファイル名］項は、規定のディレクトリからの相対パスで記述されており、アクセス制限の対象となるディレクトリやファイル名が登録される。
【００４８】
［管理者アクセス］項は、管理者用ＩＰアドレスリスト１０３３１に登録されたＩＰアドレスからの通信時に許可できるアクセスを登録する。この例の場合は、全てのディレクトリ／ファイルに対して全ての操作が可能となる。
【００４９】
［システムアクセス］項は、Ｗｅｂサーバソフト１０２がディレクトリ／ファイルに対して行えるアクセスを登録してある。この例の場合、システムは、ＨＴＭＬファイル（ｉｎｄｅｘ．ｈｔｍｌ）やイメージファイル（＊．ｇｉｆ）に対しては読み取りのみで、ＣＧＩ（ｃｏｕｎｔｅｒ．ｐｌ，ｍａｉｌｆｏｒｍ．ｐｌ）に対しては実行、データファイル（ｃｏｕｎｔｅｒ．ｄａｔ）に対しては更新も許可されている。この項を設定することにより、未知なる不正プログラムが万が一サーバ上に常駐しても、許可されていないファイルに対しては更新（＝改ざん）が出来ない事を意味する。
【００５０】
［一般アクセス］項は、拒否リスト１０３３３や許可リスト１０３３２に登録されていないＷｅｂ閲覧者端末４０に対するアクセスを登録してある。この例では、ＨＴＭＬファイル（ｉｎｄｅｘ．ｈｔｍｌ）やイメージファイル（＊．ｇｉｆ）に対する読み取りと、一部のＣＧＩ（ｍａｉｌｆｏｒｍ．ｐｌ）の実行のみ可能である。
【００５１】
［許可閲覧者アクセス］項は、許可リスト１０３３２に登録されているＷｅｂ閲覧者端末４０にのみ許されるアクセスを登録してある。この例では、［一般アクセス］に許可されているアクセス及び信頼されたユーザにのみ実行可能なＣＧＩ（ｕｓｅｒｔｏｕｒｏｋｕ．ｐｌ）の実行を許可している。
【００５２】
［緊急時アクセス］項は、緊急時（ミラーＷｅｂコンテンツにて運用している時、Ｗｅｂコンテンツの更新／保守時等）に管理者端末３０以外のアクセスに対する制限を登録する。この例の場合は、ＨＴＭＬファイル（ｉｎｄｅｘ．ｈｔｍｌ）やイメージファイル（＊．ｇｉｆ）の読み取りのみしか許可されていないために、Ｗｅｂサーバソフト１０２からのＣＧＩ（ｃｏｍｍｏｎｇａｔｅｗａｙｉｎｔｅｒｆａｃｅ）も実行が不可能となる。この事により、参照系の動作しか許可されていないために、サービス継続中であってもデータの整合性が保てることになる。
【００５３】
シグネチャパターンＤＢ１０３４は、明らかに攻撃と判断出来るコマンドパターン（シグネチャパターン、攻撃パターン）が予め登録されている記憶装置である。新たなシグネチャパターンは、管理者端末３０から管理サーバ２０を介してシグネチャパターンＤＢ１０３４に登録される。シグネチャパターンＤＢ１０３４の例を図９に示す。Ｗｅｂ閲覧者端末４０からのコマンドをシグネチャパターンＤＢ１０３４に登録されているシグネチャパターン（コマンドパターン）と比較することで、Ｗｅｂ閲覧者端末４０が攻撃を仕掛けているか否かを判定する。
【００５４】
管理サーバ２０は、プログラム制御で動作するサーバ等の情報処理装置で、Ｗｅｂサーバ１０の管理等を行う。管理サーバ２０には、管理者端末３０が接続される。
【００５５】
管理者端末３０は、プログラム制御で動作するパーソナルコンピュータ等の情報処理装置で、管理者が管理サーバ２０を介してＷｅｂサーバ１０の管理等を行うために使用される。管理者端末３０は、Ｗｅｂサーバ１０の各ログ情報や改ざん検査エンジン１０３が発信する情報の一元管理を行う。Ｗｅｂサーバ１０においてＷｅｂコンテンツ１０２１の改ざんが検出されミラーＷｅｂコンテンツ１０３１へ移行した場合に、管理者端末３０は改ざん検査エンジン１０３から管理サーバ２０を介してアラーム通知を受信する。また、管理者端末３０は、Ｗｅｂコンテンツ１０２１の更新／保守等を行う機能を有する。
【００５６】
Ｗｅｂ閲覧者端末４０は、プログラム制御で動作するパーソナルコンピュータ等の情報処理装置で、Ｗｅｂサーバ１０にアクセスしてＷｅｂコンテンツの表示等を行う。ユーザがＷｅｂサーバ１０にアクセスしてＷｅｂコンテンツの閲覧等を行うために使用される。
【００５７】
ネットワーク１００は、Ｗｅｂサーバ１０とＷｅｂ閲覧者端末４０とをつなぐインターネット等の通信網である。
【００５８】
次に、本発明の実施の形態の動作について、図１〜図１１を参照して詳細に説明する。
図６は、本発明の動作のフローチャートを示す図（その１）である。
図７は、本発明の動作のフローチャートを示す図（その２）である。
図８は、本発明の動作のフローチャートを示す図（その３）である。
図１１は、正規のＷｅｂ閲覧者のアクセス例を示す図である。
図１２は、正規とは考えられないＷｅｂ閲覧者のアクセス例を示す図である。
【００５９】
図６〜図８を参照すると、先ず、ステップＳ１において、Ｗｅｂ閲覧者端末４０がＷｅｂサーバ１０のホームページへアクセスする。
【００６０】
ステップＳ２において、アクセス制御部１０１は検査フラグをＯＦＦにする。
【００６１】
ステップＳ３において、アクセス制御部１０１はアクセスしてきたＷｅｂ閲覧者端末４０が拒否リスト１０３３３に登録されているかどうかを確認し、Ｗｅｂ閲覧者端末４０が使用しているＩＰアドレスが拒否リスト１０３３３に登録されているならばステップＳ４に進み、登録されていない場合にはステップＳ５に進む。
【００６２】
ステップＳ４において、アクセス制御部１０１がＷｅｂの閲覧を自動的に拒否し、セッションを切断して処理を終了させる。
【００６３】
ステップＳ５において、Ｗｅｂ閲覧者端末４０がＷｅｂコンテンツ１０２１を閲覧する。
【００６４】
ステップＳ６において、改ざん検査エンジン１０３がパケットを収集してＷｅｂ閲覧者端末４０のコマンドパターンを監視し、シグネチャパターンＤＢ１０３４に登録されているシグネチャパターン（例えば図９に示すシグネチャパターン）が実行されているかどうかを確認し、シグネチャパターンＤＢ１０３４に登録されているシグネチャパターンが実行されているならばステップＳ７に進み、実行されていなければステップＳ１０に進む。
【００６５】
ステップＳ７において、アクセス制御部１０１はセッションを切断する。
【００６６】
ステップＳ８において、アクセス制御部１０１はＷｅｂ閲覧者端末４０が使用しているＩＰアドレスを拒否リスト１０３３３に登録する。
【００６７】
ステップＳ９において、改ざん検査エンジン１０３がＷｅｂコンテンツ１０２１のハッシュ値を算出し、監視ＤＢ１０３２に格納されている正常なＷｅｂコンテンツ１０２１のハッシュ値と比較し、比較結果が一致していれば改ざんされていないと判断してステップＳ１７に進み、比較結果が不一致ならば改ざんされていると判断してステップＳ１８に進む。
【００６８】
ステップＳ１０において、改ざん検査エンジン１０３はＷｅｂ閲覧者端末４０がアクセス制限テーブル１０３３４に示すアクセス制限通りのコマンドを実行しているかを監視し、アクセス制限通りのコマンドを実行していれば（例えば図１０に示すアクセス通りに行っている図１１の場合）ステップＳ１３に進み、アクセス制限通りのコマンドを実行していなければ（例えば図１０に示すアクセス通りに行っていない図１２の場合）ステップＳ１１に進む。
【００６９】
ステップＳ１１において、アクセス制御部１０１がＷｅｂ閲覧者端末４０に対してアクセス抑制を行う。
【００７０】
ステップＳ１２において、検査フラグをＯＮにする。
【００７１】
ステップＳ１３において、アクセス制御部１０１はセッションが切断されているかを調べ、セッションが切断されている場合にはステップＳ１４に進み、切断されていなければステップＳ５に戻る。
【００７２】
ステップＳ１４において、検査フラグがＯＮであるかを確認し、ＯＮであればステップＳ１６に進み、ＯＮでなければステップＳ１５に進む。
【００７３】
ステップＳ１５において、アクセス制御部１０１は、Ｗｅｂ閲覧者端末４０は正当な閲覧者として、Ｗｅｂ閲覧者端末４０が使用しているＩＰアドレスを許可リスト１０３３２に登録し、ステップＳ１７に進む。
【００７４】
ステップＳ１６において、改ざん検査エンジン１０３がＷｅｂコンテンツ１０２１のハッシュ値を算出し、監視ＤＢ１０３２に格納されている正常なＷｅｂコンテンツ１０２１のハッシュ値と比較し、比較結果が一致していれば改ざんされていないと判断して（この場合、Ｗｅｂ閲覧者端末４０は正当な閲覧者とは考えられないので許可リスト１０３３２への登録は行われず、拒否リスト１０３３３への登録も行われない）ステップＳ１７に進み、比較結果が不一致ならば改ざんされていると判断してステップＳ１８に進む。
【００７５】
ステップＳ１７において、Ｗｅｂコンテンツ１０２１のデータをミラーＷｅｂコンテンツ１０３１へコピーを行い、終了する。
【００７６】
以下のステップＳ１８〜ステップＳ２５は、改ざん発覚時の処理である。
【００７７】
ステップＳ１８において、アクセス制御部１０１は、改ざんが発覚したので、即時に、Ｗｅｂ閲覧者端末４０がアクセスするホームページ領域をミラーＷｅｂコンテンツ１０３１へ切り替え、ホームページを閲覧可能にする。
【００７８】
ステップＳ１９において、切り替え後、改ざん検査エンジン１０３はＷｅｂ閲覧者端末４０に対してアクセス制限テーブル１０３３４に示す［緊急時アクセス］項のアクセスのみを許可する。参照系コマンドのみ実行可能にすることで、ミラーＷｅｂコンテンツ１０３１のデータ整合性が保たれる。
【００７９】
ステップＳ２０において、コマンドの限定を行った後、自動的にミラーＷｅｂコンテンツ１０３１からＷｅｂコンテンツ１０２１へデータをコピーし復旧作業を行う。なお、復旧作業実施中でも、次のような動作によりサービスは継続される。
【００８０】
ステップＳ２１において、Ｗｅｂ閲覧者端末４０がＷｅｂサーバ１０のホームページへアクセスする。
【００８１】
ステップＳ２２において、アクセス制御部１０１はアクセスしてきたＷｅｂ閲覧者端末４０が拒否リスト１０３３３に登録されているかどうかを確認し、Ｗｅｂ閲覧者端末４０が使用しているＩＰアドレスが拒否リスト１０３３３に登録されているならばステップＳ２３に進み、登録されていない場合にはステップＳ２４に進む。
【００８２】
ステップＳ２３において、アクセス制御部１０１がＷｅｂの閲覧を自動的に拒否し、セッションを切断して処理を終了させる。
【００８３】
ステップＳ２４において、Ｗｅｂ閲覧者端末４０はミラーＷｅｂコンテンツ１０３１を閲覧する。このとき、アクセス制限テーブルに示す［緊急時のアクセス］項に登録されたコマンドのみを使用してミラーＷｅｂコンテンツ１０３１を制限されたコマンドの範囲で閲覧が可能である。復旧作業終了後は、再びＷｅｂコンテンツ１０２１へ切り替え、通常の動作へ復帰する。
【００８４】
ステップＳ２５において、アクセス制御部１０１はセッションが切断されているかを調べ、セッションが切断されていなければステップＳ２４に戻り、セッションが切断されている場合には終了する。
【００８５】
次に、Ｗｅｂコンテンツ１０２１の更新／保守時の処理について説明する。
【００８６】
管理者端末３０によるＷｅｂコンテンツ１０２１の更新／保守時に、Ｗｅｂサーバ１０は管理者用ＩＰアドレスリスト１０３３１に登録された管理者端末であるかを確認し、登録されている管理者端末であればアクセス制限テーブル１０３３４の［管理者アクセス］に示される制限に従ってＷｅｂコンテンツ１０２１に対するアクセスを許可する。本例では、管理者端末３０のＩＰアドレスが管理者用ＩＰアドレスリスト１０３３１に登録されており且つ図１１に示すようにアクセス制限テーブル１０３３４の［管理者アクセス］には”全て”と定義されているので、管理者端末３０によるＷｅｂコンテンツ１０２１へのアクセスは全て許可されて、Ｗｅｂコンテンツ１０２１の更新／保守等が可能である。
【００８７】
Ｗｅｂコンテンツ１０２１の更新時は、Ｗｅｂ閲覧者端末４０へのサービスとして、図１１に示す［緊急時のアクセス］項に登録されているコマンドのみ使用してホームページ（ミラーＷｅｂコンテンツ１０３１）を閲覧可能とし、閲覧サービスを継続させながらＷｅｂコンテンツ１０２１の更新を行う。管理者端末３０からのデータはすべて正しいと判断し、変更があると自動的にＷｅｂコンテンツ１０２１を更新する。Ｗｅｂコンテンツ１０２１の更新が終了すると、Ｗｅｂコンテンツ１０２１のデータをミラーＷｅｂコンテンツ１０３１へコピーすると共にバックアップファイル（図示せず）へ退避する。改ざん検査エンジン１０３はＷｅｂコンテンツ１０２１のハッシュ値を算出し、監視ＤＢ１０３２に保持されている確定されたＷｅｂコンテンツのハッシュ値を更新する。その後、ミラーＷｅｂコンテンツ１０３１からＷｅｂコンテンツ１０２１へ切り替えて、通常の動作へ復帰する。
【００８８】
Ｗｅｂコンテンツ１０２１の保守時は、Ｗｅｂ閲覧者端末４０へのサービスとして、図１１に示す［緊急時のアクセス］項に登録されているコマンドのみ使用してホームページ（ミラーＷｅｂコンテンツ１０３１）を閲覧可能とし、閲覧サービスを継続させながらＷｅｂコンテンツ１０２１の保守（例えばＷｅｂコンテンツ１０２１のハードウェアエラー発生に伴う処置等）を行う。Ｗｅｂ閲覧者端末４０は参照系のコマンドしか使用できないのでデータの整合性は保たれる。バックアップファイル（図示せず）からＷｅｂコンテンツ１０２１へコピーしてＷｅｂコンテンツ１０２１の保守が終了すると、Ｗｅｂコンテンツ１０２１のデータをミラーＷｅｂコンテンツ１０３１へコピーする。改ざん検査エンジン１０３はＷｅｂコンテンツ１０２１のハッシュ値を算出し、監視ＤＢ１０３２に保持されている確定されたＷｅｂコンテンツのハッシュ値を更新した後、ミラーＷｅｂコンテンツ１０３１からＷｅｂコンテンツ１０２１へ切り替えて、通常の動作へ復帰する。
【００８９】
上述した本発明の実施の形態では、Ｗｅｂ閲覧者端末が送信してきたコマンドパターンがシグネチャパターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲外の場合でＷｅｂコンテンツのハッシュ値の検証結果が正常でない場合に、許可リストにも拒否リストにも登録していないが、本発明の他の実施の形態として、この場合に、拒否リストに登録するようにしてもよい。これにより、攻撃に対する事前防御がより一層高まることになる。
【００９０】
本発明による上述した実施の形態において、ホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムの処理動作を実行するためのプログラム等を、データとしてコンピュータの磁気ディスクや光ディスク等の記録媒体（図示せず）に記録するようにし、記録されたデータを読み出してホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムを動作させるために用いる。このように、本発明によるホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムを動作させるデータを記録媒体に記録させ、この記録媒体をインストールすることによりホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムの機能が実現できるようになる。
【００９１】
【発明の効果】
第１の効果は、事前に防御することにより、改ざんされにくいＷｅｂサーバを運用することができることである。
【００９２】
その理由は、拒否リストに登録されているＷｅｂ閲覧者からのアクセスを拒否し、また、シグネチャパターンの実行を検出すると直ちにアクセスを切断するようにしたからである。
【００９３】
第２の効果は、改ざん発生時にサービスを継続することができることである。
【００９４】
その理由は、Ｗｅｂコンテンツのミラーリングを行い、改ざん発生時に自動的にミラーＷｅｂコンテンツに切り替え、ミラーＷｅｂコンテンツによる閲覧を行うようにしたからである。
【００９５】
第３の効果は、Ｗｅｂ閲覧者自身の評価によりＷｅｂページの差別化を図ることができることである。
【００９６】
その理由は、許可リストに登録されているＷｅｂ閲覧者からのアクセスに対して、アクセス制限テーブルの［許可閲覧者アクセス］項に示すアクセスを許可するようにし、一般のＷｅｂ閲覧者よりも優遇するようにしたからである。
【図面の簡単な説明】
【図１】本発明の全体構成図
【図２】Ｗｅｂサーバの構成図
【図３】Ｗｅｂサーバソフトの構成図
【図４】改ざん検査エンジンの構成図
【図５】アクセスリストＤＢの構成図
【図６】本発明の動作のフローチャートを示す図（その１）
【図７】本発明の動作のフローチャートを示す図（その２）
【図８】本発明の動作のフローチャートを示す図（その３）
【図９】シグネチャパターンの例を示す図
【図１０】アクセス制限テーブルの例を示す図
【図１１】正規のＷｅｂ閲覧者のアクセス例を示す図
【図１２】正規とは考えられないＷｅｂ閲覧者のアクセス例を示す図
【図１３】ハッシュの例を示す図
【符号の説明】
１０Ｗｅｂサーバ
２０管理サーバ
３０管理者端末
４０Ｗｅｂ閲覧者端末
１００ネットワーク
１０１アクセス制御部
１０２Ｗｅｂサーバソフト
１０３改ざん検査エンジン
１０２１Ｗｅｂコンテンツ
１０３１ミラーＷｅｂコンテンツ
１０３２監視ＤＢ
１０３３アクセスリストＤＢ
１０３４シグネチャパターンＤＢ
１０３３１管理者用ＩＰアドレスリスト
１０３３２許可リスト
１０３３３拒否リスト
１０３３４アクセス制限テーブル

Claims

ＷｅｂサーバにアクセスしてＷｅｂコンテンツの閲覧を行うＷｅｂ閲覧者端末と、
攻撃パターンを登録する攻撃パターンテーブルとＷｅｂコンテンツに対するアクセス制限を設定するアクセス制限テーブルを有し、前記Ｗｅｂ閲覧者端末に対してＷｅｂコンテンツの閲覧サービスを行い、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが前記攻撃パターンと一致する場合には前記Ｗｅｂ閲覧者端末とのアクセスを切断して前記Ｗｅｂ閲覧者端末を拒否リストに登録し、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが前記攻撃パターンと一致せず且つ前記アクセス制限テーブルに設定されるアクセス制限の範囲内の場合には前記Ｗｅｂ閲覧者端末を許可リストに登録してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーし、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが前記攻撃パターンと一致せず且つ前記アクセス制限テーブルに設定されるアクセス制限の範囲外の場合にはＷｅｂコンテンツのハッシュ値の検証結果が正常であれば改ざんはされていないと判断してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーし検証結果が正常でなければ改ざんされていると判断して改ざん発覚時の処理を行うＷｅｂサーバと、
前記Ｗｅｂサーバを管理する管理者端末と、
を備えるホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム。
前記Ｗｅｂサーバは、
アクセスしてきた前記Ｗｅｂ閲覧者端末が前記拒否リストに登録されている場合には接続を拒否する手段を有する、
ことを特徴とする請求項１記載のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム。
前記Ｗｅｂサーバは、
前記Ｗｅｂコンテンツの改ざん発覚時にＷｅｂ閲覧者端末がアクセスするＷｅｂコンテンツを前記ミラーＷｅｂコンテンツへ切り替える手段と、
Ｗｅｂ閲覧者端末からの前記ミラーＷｅｂコンテンツへのアクセスを前記アクセス制限テーブルに設定されるアクセス制限の範囲内に制限する手段と、
前記ミラーＷｅｂコンテンツから前記Ｗｅｂコンテンツへコピーして前記Ｗｅｂコンテンツの復旧を行う手段と、
を有することを特徴とする請求項１記載のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム。
前記管理者端末は、
前記Ｗｅｂコンテンツを更新する手段を有し、
前記Ｗｅｂサーバは、
前記管理者端末からの前記Ｗｅｂコンテンツに対する更新を前記アクセス制限テーブルに設定されるアクセス制限の範囲内に制限する手段と、
前記Ｗｅｂコンテンツが前記管理者端末により更新されたときに前記ＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーすると共にバックアップファイルに退避する手段を有する、
ことを特徴とする請求項１記載のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム。
Ｗｅｂ閲覧者端末とＷｅｂサーバと管理者端末とを備えるシステムのホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法であって、
前記Ｗｅｂサーバは、
前記Ｗｅｂ閲覧者端末に対してＷｅｂコンテンツの閲覧サービスを行い、
前記Ｗｅｂ閲覧者端末は、
前記Ｗｅｂサーバにアクセスして前記Ｗｅｂコンテンツの閲覧を行い、
前記Ｗｅｂサーバは、
前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致する場合には、
前記Ｗｅｂ閲覧者端末とのアクセスを切断して前記Ｗｅｂ閲覧者端末を拒否リストに登録し、
前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲内の場合には、
前記Ｗｅｂ閲覧者端末を許可リストに登録してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーし、
前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲外の場合には、
前記Ｗｅｂコンテンツのハッシュ値を算出してハッシュ値記憶部に格納されているハッシュ値と比較し、
比較結果が一致すれば改ざんはされていないと判断してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーし、
比較結果が不一致であれば改ざんされていると判断して改ざん発覚時の処理を行う、
ことを特徴とするホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法。
前記Ｗｅｂサーバは、
アクセスしてきた前記Ｗｅｂ閲覧者端末が前記拒否リストに登録されている場合には、
前記Ｗｅｂ閲覧者端末との接続を拒否する、
ことを特徴とする請求項５記載のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法。
前記改ざん発覚時に、
前記Ｗｅｂサーバは、
前記Ｗｅｂ閲覧者端末がアクセスするＷｅｂコンテンツを前記ミラーＷｅｂコンテンツへ切り替え、
前記Ｗｅｂ閲覧者端末からの前記ミラーＷｅｂコンテンツへのアクセスをアクセス制限テーブルに設定されるアクセス制限の範囲内に制限し、
前記ミラーＷｅｂコンテンツから前記Ｗｅｂコンテンツへコピーして前記Ｗｅｂコンテンツの復旧を行い、
前記Ｗｅｂコンテンツの改ざん検出を前記管理者端末に通知する、
ことを特徴とする請求項５記載のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法。
前記管理者端末は、
前記Ｗｅｂコンテンツの更新を行い、
前記Ｗｅｂサーバは、
前記管理者端末からの前記Ｗｅｂコンテンツに対する更新をアクセス制限テーブルに設定されるアクセス制限の範囲内に制限し、
前記Ｗｅｂコンテンツが前記管理者端末により更新されたときに前記ＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーすると共にバックアップファイルに退避する、
ことを特徴とする請求項５記載のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法。
Ｗｅｂ閲覧者端末とＷｅｂサーバと管理者端末とを備えるシステムのホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラムであって、
コンピュータに、
前記Ｗｅｂサーバが、
前記Ｗｅｂ閲覧者端末に対してＷｅｂコンテンツの閲覧サービスを行う機能、
前記Ｗｅｂ閲覧者端末が、
前記Ｗｅｂサーバにアクセスして前記Ｗｅｂコンテンツの閲覧を行う機能、
前記Ｗｅｂサーバが、
前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致する場合には、
前記Ｗｅｂ閲覧者端末とのアクセスを切断して前記Ｗｅｂ閲覧者端末を拒否リストに登録する機能、
前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲内の場合には、
前記Ｗｅｂ閲覧者端末を許可リストに登録してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーする機能、
前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲外の場合には、
前記Ｗｅｂコンテンツのハッシュ値を算出してハッシュ値記憶部に格納されているハッシュ値と比較する機能、
比較結果が一致すれば改ざんはされていないと判断してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーする機能、
比較結果が不一致であれば改ざんされていると判断して改ざん発覚時の処理を行う機能、
を実現させるためのホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラム。
前記Ｗｅｂサーバが、
アクセスしてきた前記Ｗｅｂ閲覧者端末が前記拒否リストに登録されている場合には前記Ｗｅｂ閲覧者端末との接続を拒否する機能、
を実現させるための請求項９記載のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラム。
前記Ｗｅｂサーバが、
前記Ｗｅｂコンテンツの改ざん発覚時に前記Ｗｅｂ閲覧者端末がアクセスするＷｅｂコンテンツを前記ミラーＷｅｂコンテンツへ切り替える機能、
前記Ｗｅｂ閲覧者端末からの前記ミラーＷｅｂコンテンツへのアクセスをアクセス制限テーブルに設定されるアクセス制限の範囲内に制限する機能、
前記ミラーＷｅｂコンテンツから前記Ｗｅｂコンテンツへコピーして前記Ｗｅｂコンテンツの復旧を行う機能、
前記Ｗｅｂコンテンツの改ざん検出を前記管理者端末に通知する機能、
を実現させるための請求項９記載のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラム。
前記管理者端末が、
前記Ｗｅｂコンテンツの更新を行う機能、
前記Ｗｅｂサーバが、
前記管理者端末からの前記Ｗｅｂコンテンツに対する更新をアクセス制限テーブルに設定されるアクセス制限の範囲内に制限する機能、
前記Ｗｅｂコンテンツが前記管理者端末により更新されたときに前記ＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーすると共にバックアップファイルに退避する機能、
を実現させるための請求項９記載のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラム。