JP2009087226A - ウェブサイト判定装置およびウェブサイト判定プログラム - Google Patents

Abstract

【課題】判定先ウェブサイトの画像を使用して、判定先ウェブサイトが偽装されているウェブサイトであるか否かを判定することが可能となる。
【解決手段】ホワイトリストＤＢ１６は、ウェブサイトの画面画像を記憶する。入力部１１はウェブサイト２のＵＲＬの入力を受け付ける。キャプチャ画面取得部１２は、入力部１１が入力を受け付けたＵＲＬで示されるウェブサイト２の画面画像を取得する。アクセス判定部１４は、キャプチャ画面取得部１２が取得した画面画像と、ホワイトリストＤＢ１６が記憶する画面画像とを比較し、比較した結果に基づいて、ウェブサイト２が偽装されているウェブサイトか否か判断する。
【選択図】図１

Description

本発明は、判定先ウェブサイトが偽装されているか否かを判定する、ウェブサイト判定装置およびウェブサイト判定プログラムに関する。

従来、判定先ウェブサイトが偽装されているウェブサイトであるか否かを判定する方法として、アクセスを許可するウェブサイトのＵＲＬを予め記憶部に記憶し、判定先ウェブサイトのＵＲＬと、記憶部が記憶しているＵＲＬとを比較し、ＵＲＬが一致した場合、判定先ウェブサイトは偽装されているウェブサイトではないと判断する方法が知られている（例えば特許文献１参照）。
特開２００７−２５７８９号公報

しかしながら、判定先ウェブサイトの画像を使用して、判定先ウェブサイトが偽装されているか否かを判定する方法は記載されていない。

本発明は、判定先ウェブサイトの画像を使用して、判定先ウェブサイトが偽装されているウェブサイトであるか否かを判定することが可能なウェブサイト判定装置およびウェブサイト判定プログラムを提供することを目的とする。

本発明は、ウェブサイトの画面画像を記憶する記憶部と、判定先ウェブサイトのＵＲＬの入力を受け付ける入力部と、前記入力部が入力を受け付けたＵＲＬで示される前記判定先ウェブサイトの画面画像を取得する画面取得部と、前記画面取得部が取得した画面画像と、前記記憶部が記憶する画面画像とを比較する画面画像比較部と、前記画面画像比較部が比較した結果に基づいて、前記判定先ウェブサイトが偽装されているウェブサイトか否か判定するアクセス判定部と、を備えたことを特徴とするウェブサイト判定装置である。

また、本発明のウェブサイト判定装置において、前記記憶部は、ウェブサイトの画面画像と、前記ウェブサイトのドメイン名とを関連して記憶し、前記画面画像比較部はさらに、前記記憶部が記憶する前記ウェブサイトのドメイン名と、前記ＵＲＬに含まれるドメイン名とを比較することを特徴とする。

また、本発明は、ウェブサイトの画面画像を記憶する記憶ステップと、判定先ウェブサイトのＵＲＬの入力を受け付ける入力ステップと、前記入力ステップで入力を受け付けたＵＲＬで示される前記判定先ウェブサイトの画面画像を取得する画面取得ステップと、前記画面取得ステップで取得した画面画像と、前記記憶ステップで記憶する画面画像とを比較する画面画像比較ステップと、前記画面画像比較ステップで比較した結果に基づいて、前記判定先ウェブサイトが偽装されているウェブサイトか否か判定するアクセス判定ステップと、の処理をコンピュータに実行させることを特徴とするウェブサイト判定プログラムである。

本発明によれば、判定先ウェブサイトの画像を使用して、判定先ウェブサイトが偽装されているウェブサイトであるか否かを判定することが可能となる。

以下、図面を参照し、本発明の実施形態を説明する。図１は本発明の一実施形態によるウェブサイト判定装置の構成を示した構成図である。ウェブサイト判定装置１は、入力されたＵＲＬで示されるウェブサイトが、偽装されたウェブサイトか否か判断する。ウェブサイト判定装置１は、入力部１１と、キャプチャ画面取得部１２と、画像処理部１３と、アクセス判定部１４と、出力部１５と、ホワイトリストＤＢ１６と、画像ＤＢ１７とを備える。

入力部１１は、偽装されたウェブサイトか否か判定するウェブサイトのＵＲＬの入力を受け付ける。キャプチャ画面取得部１２は、ウェブサイト２にアクセスし、判定対象のウェブサイトの画面イメージを取得する。画像処理部１３は、判定対象のウェブサイトのキャプチャ画面の処理を行う。アクセス判定部１４は、画像処理部１３が処理したキャプチャ画面の情報と、ホワイトリストＤＢ１６が記憶している情報もしくは画像ＤＢ１７が記憶している情報とに基づいて、入力部１１が入力を受け付けたウェブサイトが偽装されたウェブサイトか否か判定する。出力部１５は、アクセス判定部１４が判定した結果を出力する。

次に、ウェブサイト判定装置１が判定対象のウェブサイトが偽装されたウェブサイトか否か判定する手順について図２を参照して説明する。図２はウェブサイト判定装置１が、判定対象のウェブサイトが偽装されたウェブサイトか否か判定する手順を示したフローチャートである。

（ステップＳ１０１）
入力部１１は、判定対象のウェブサイトのＵＲＬの入力を受け付ける。入力部１１におけるＵＲＬの受け付け方法としては、キーボードなどの入力装置を用いてユーザが直接指定したＵＲＬを受け付ける方法や、メールなどの文書中から抽出したＵＲＬを受け付ける方法や、ウェブブラウザがアクセスしたページから抽出したＵＲＬを受け付ける方法などが考えられる。

（ステップＳ１０２）
キャプチャ画面取得部１２は、入力部が受け付けたＵＲＬで指定されるウェブサイトにアクセスし、アクセスした先のウェブサイトのキャプチャ画面を取得する。例えば、キャプチャ画面取得部１２は、ブラウザを立ち上げ、立ち上げたブラウザにステップＳ１０１で入力を受け付けたＵＲＬを読み込ませ、ＵＲＬで指定されたサイトの画像をブラウザに表示させ、サイトの画像が表示された状態のブラウザのキャプチャ画面を取得しても良い。

（ステップＳ１０３）画像処理部１３は、ステップＳ１０２でキャプチャ画面取得部１２が取得したキャプチャ画面の処理を行う。なお、ここでのキャプチャ画面の処理は、ステップＳ１０４もしくはステップＳ１０８でのキャプチャ画面の画像比較を行いやすくするために行う。キャプチャ画面の処理を終了後、ステップＳ１０４に進む。

例えば、キャプチャ画面の解像度を下げて画像比較を行いやすくする手法がある。ステップＳ１０３での処理手順を以下に示す。
（ステップＳ２０１）画像処理部１３は、キャプチャ画面を加工し、ブラウザ特有の画像を削除する。例えば、ブラウザの操作部分、ＵＲＬ入力部分などを削除する。
（ステップＳ２０２）画像処理部１３は、ステップＳ２０１で加工したキャプチャ画面で使用されている色についてのヒストグラムを作成する。例えば、ヒストグラムの横軸には色、縦軸には画素数をとる。

（ステップＳ２０３）画像処理部１３は、ステップＳ２０２で作成したヒストグラムにおいて横軸を分割し、その領域ごとに色を指定して減色を行う。例えば、横軸を６４個に分割して６４色まで減色する。なお、色の数は予め決めておき、減色後に使用される色はどのキャプチャ画面の場合も同じとする。
（ステップＳ２０４）画像処理部１３は、キャプチャ画面の各画素の色を、ステップＳ２０３で減色を行った色に基づいて変更する。その後、画像処理部１３は、キャプチャ画面の画素毎に使用されている色を数え、使用されている数が少ない順に順序を付ける。

（ステップＳ２０５）画像処理部１３は、キャプチャ画面を２×２画素ごとの領域に分ける。それぞれの領域には４個の画素が含まれる。画像処理部１３は、領域に含まれる４個の画素の色のうち、ステップＳ２０４で数えたキャプチャ画面内で使用されている数が一番少ない色を選択し、２×２マスの領域に含まれる画素を選択した色に変更し、１個の画素とする。例えば、領域内に含まれている色は、赤、青、黄、緑であり、ステップＳ２０４で数えたキャプチャ画面内で使用されている色の数は、黄＞緑＞赤＞青であるとすると、領域内は１個の青の画素となる。

（ステップＳ２０６）画面処理部１３は、キャプチャ画面の画素を、ステップＳ２０５の処理で生成された画素とする。よって、キャプチャ画面の縦および横の画素数は、ステップＳ２０５時点でのキャプチャ画面の画素数と比較して半分の数の画像となる。
（ステップＳ２０７）画像処理部１３は、キャプチャ画面の画素数が予め指定した大きさになるまでステップＳ２０４からステップＳ２０６の処理を繰り返し、キャプチャ画面の画素数が予め指定した大きさになるとキャプチャ画面処理を終了する。例えば、ステップＳ２０６で生成するキャプチャ画面の画素数が縦２００画素かつ横２００画素以下になるまで、画像処理部１３は処理を繰り返し、キャプチャ画面の画素数が縦２００画素かつ横２００画素以下になるとキャプチャ画面処理を終了する。

また、キャプチャ画面の特徴を抽出し、抽出した特徴に基づいて比較することで、画像比較を行いやすくする手法がある。ステップＳ１０３でのキャプチャ画面の処理手順を以下に示す。
（ステップＳ３０１）画像処理部１３は、キャプチャ画面を加工し、ｈｔｍｌ表示部分以外を削除する。
（ステップＳ３０２）画像処理部１３は、ステップＳ３０１で加工したキャプチャ画面のヒストグラムを作成する。

（ステップＳ３０３）画像処理部１３は、ステップＳ３０２で作成したヒストグラム内を固まりに分け、その領域ごとに色を指定して減色を行う。例えば、６４色まで減色する。なお、色の数は予め決めておき、減色後に使用される色はどのキャプチャ画面の場合も同じとする。
（ステップＳ３０４）画像処理部１３は、ステップＳ３０３で減色を行った後のキャプチャ画面を文字領域と画像領域とに分ける。

（ステップＳ３０５）画像処理部１３は、背景色と、ステップＳ３０４で分けた文字領域、画像領域それぞれの領域の形や色、位置情報および位置関係を記憶し、画像処理を終了する。

（ステップＳ１０４）
アクセス判定部１４は、ステップＳ１０３での処理によって得られたキャプチャ画面の情報と、ホワイトリストＤＢ１６に記憶されている画像情報とを比較し、一致するか否か判断する。ステップＳ１０３での処理によって得られたキャプチャ画面の情報と、ホワイトリストＤＢ１６に記憶されている画像情報とが一致するとアクセス判定部１４が判断した場合、ステップＳ１０５に進み、ステップＳ１０３での処理によって得られたキャプチャ画面と、ホワイトリストＤＢ１６に記憶されている画像情報とが一致しないとアクセス判定部１４が判断した場合、ステップＳ１０８に進む。なお、ホワイトリストＤＢ１６には、予め、代表的な金融サイトや、ショッピングサイトの画像情報と、ドメイン名とが関連付けられて記憶されている。また、画像情報は、予め取得したサイトのキャプチャ画面に対して、ステップＳ１０３と同一の処理を行い作成する。

なお、ステップＳ１０４において、ステップＳ１０３での処理によって得られたキャプチャ画面の情報と、ホワイトリストＤＢ１６に記憶されている画像情報とが一致するとアクセス判定部１４が判断した場合、当該ウェブサイトへのアクセスを許可し、ステップＳ１０３での処理によって得られたキャプチャ画面と、ホワイトリストＤＢ１６に記憶されている画像情報とが一致しないとアクセス判定部１４が判断した場合、当該ウェブサイトへのアクセスを許可しないとしてもよい。これにより、ステップＳ１０２でキャプチャ画面取得部１２が取得したキャプチャ画面に基づいて、ウェブサイトへのアクセス可否を判定することが可能となる。

（ステップＳ１０５）
アクセス判定部１４は、ステップＳ１０１で入力を受け付けたＵＲＬに含まれるドメイン名と、ステップＳ１０４で一致すると判断した画像情報に関連付けられてホワイトリストＤＢ１６に記憶されているドメイン名とを比較し、ドメイン名が一致しているか否か判断する。ドメイン名が一致しているのであれば正規のサイトであることがわかり、ドメイン名が異なっていれば、フィッシングサイトなどの偽装サイトであることがわかる。
アクセス判定部１４が、ドメイン名が一致していると判断した場合、ステップＳ１０６に進み、ドメイン名が一致していないと判断した場合、ステップＳ１０７に進む。

（ステップＳ１０６）
アクセス判定部１４は、ステップＳ１０１で受け付けたＵＲＬのサイトにはアクセスを許可すると判断する。出力部１５は、アクセス判定部１４が判断した結果を出力し、その後処理を終了する。
（ステップＳ１０７）
アクセス判定部１４は、ステップＳ１０１で受け付けたＵＲＬのサイトにはアクセスを許可しないと判断する。出力部１５は、アクセス判定部１４の判断した結果を出力し、その後処理を終了する。

（ステップＳ１０８）
アクセス判定部１４は、ステップＳ１０３で処理を行ったキャプチャ画面が画像ＤＢ１７に記憶されている画像情報と一致するか否か判断する。ステップＳ１０３で処理を行ったキャプチャ画面が画像ＤＢ１７に記憶されている画像情報と一致するとアクセス判定部１４が判断した場合、ステップＳ１０９に進み、ステップＳ１０３で処理を行ったキャプチャ画面が画像ＤＢ１７に記憶されている画像情報と一致しないとアクセス判定部１４が判断した場合、ステップＳ１１１に進む。なお、画像ＤＢ１７には、ステップＳ１１２で取得した情報および判断した結果であるアクセス情報（画像情報と、ドメイン名と、アクセス許可もしくは不許可の許可情報とが関連付けられた情報）が記憶されている。ステップＳ１１２の処理については後述する。

（ステップＳ１０９）
アクセス判定部１４は、ステップＳ１０１で入力を受け付けたＵＲＬに含まれるドメイン名と、ステップＳ１０８で一致すると判断した画像情報に関連付けられて画像ＤＢ１７に記憶されているドメイン名とを比較し、ドメイン名が一致しているか否か判断する。ドメイン名が一致しているのであれば、ステップＳ１１１で判断した処理と同一の処理を行えば良いため、ステップＳ１１０に進む。ドメイン名が異なっていれば、以前アクセスしたサイトと似ているが異なるサイトであるため、スパムサイトやフィッシングサイトであるとアクセス判定部１４は判断し、ステップＳ１０７に進む。

（ステップＳ１１０）アクセス判定部１４は、ステップＳ１０８で一致すると判断した画像情報に関連付けられて画像ＤＢ１７に記憶されているアクセス許可もしくは不許可の許可情報に基づいて、ステップＳ１０１で受け付けたＵＲＬのサイトへのアクセスを許可もしくは不許可を判断する。出力部１５は、アクセス判定部１４の判断した結果を出力し、その後処理を終了する。

（ステップＳ１１１）ステップＳ１０３で処理を行ったキャプチャ画面と一致する画像がホワイトリストＤＢ１６および画像ＤＢ１７に含まれていないため、本発明とは別の手法で、ステップＳ１０１で受け付けたＵＲＬのサイトへのアクセスを許可もしくは不許可を判断する。アクセス判定部１４は、別の手法で判断したアクセスの許可もしくは不許可の判断結果と、ステップＳ１０３で処理を行ったキャプチャ画面と、ステップＳ１０１で受け付けたＵＲＬに含まれるドメイン名とを関連付けて、アクセス情報として画像ＤＢ１７に記憶させる。出力部１５は、別の手法で判断したアクセスの許可もしくは不許可の判断結果を出力し、その後処理を終了する。なお、別の手法は本発明とは関係なく、既存のサイト判断手法を使用する。

上述したとおり、本実施形態では、判定対象サイトのキャプチャ画面を取得し、取得したキャプチャ画面と、予めホワイトリストＤＢに記憶されている画像情報とを比較する。比較した結果に基づいて、判定対象サイトが偽装されているウェブサイトであるか否かを判定する。よって、判定対象サイトのＵＲＬが変更された場合においても、判定対象サイトが偽装されているウェブサイトであるか否かを判定することを可能とする。

また、サイトのＵＲＬが変更される場合においても、ドメイン名の部分は既存のドメイン名を使用することが多いため、キャプチャ画面と画像情報とが一致した場合、さらに判定対象サイトのドメイン名と、ホワイトリストＤＢに画像情報と関連付けて記憶されているドメイン名とが一致するか否か判断し、ドメイン名が一致した場合は判定先ウェブサイトは偽装されていないと判断する。これにより、さらに精度を向上させたウェブサイトの判定を行うことが可能となる。

なお、上述した実施形態におけるウェブサイト判定装置の入力部全体あるいはその一部、キャプチャ画面取得部全体あるいはその一部、画像処理部全体あるいはその一部、およびアクセス判定部全体あるいはその一部は、これらの機能実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによって実現しても良い。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。

また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時刻の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時刻プログラムを保持しているものも含んでも良い。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成や方法はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

例えば、本実施形態では、画像比較の手法として、キャプチャ画面の解像度を下げて画像比較を行う手法または、キャプチャ画面の特徴を抽出し、抽出した特徴に基づいて画像比較を行う手法とを挙げたが、画像比較のための手法の種類は問わない。

本発明の一実施形態によるウェブサイト判定装置の構成を示した構成図である。 本実施形態における、偽装されたウェブサイトか否か判定する手順を示したフローチャートである。

符号の説明

１・・・ウェブサイト判定装置、２・・・ウェブサイト、１１・・・入力部、１２・・・キャプチャ画面取得部、１３・・・画像処理部、１４・・・アクセス判定部、１５・・・出力部、１６・・・ホワイトリストＤＢ、１７・・・画像ＤＢ

Claims (3)

1. ウェブサイトの画面画像を記憶する記憶部と、
   判定先ウェブサイトのＵＲＬの入力を受け付ける入力部と、
   前記入力部が入力を受け付けたＵＲＬで示される前記判定先ウェブサイトの画面画像を取得する画面取得部と、
   前記画面取得部が取得した画面画像と、前記記憶部が記憶する画面画像とを比較する画面画像比較部と、
   前記画面画像比較部が比較した結果に基づいて、前記判定先ウェブサイトが偽装されているウェブサイトか否か判定するアクセス判定部と、
   を備えたことを特徴とするウェブサイト判定装置。
2. 前記記憶部は、ウェブサイトの画面画像と、前記ウェブサイトのドメイン名とを関連して記憶し、
   前記画面画像比較部はさらに、前記記憶部が記憶する前記ウェブサイトのドメイン名と、前記ＵＲＬに含まれるドメイン名とを比較する
   ことを特徴とする請求項１に記載のウェブサイト判定装置。
3. ウェブサイトの画面画像を記憶する記憶ステップと、
   判定先ウェブサイトのＵＲＬの入力を受け付ける入力ステップと、
   前記入力ステップで入力を受け付けたＵＲＬで示される前記判定先ウェブサイトの画面画像を取得する画面取得ステップと、
   前記画面取得ステップで取得した画面画像と、前記記憶ステップで記憶する画面画像とを比較する画面画像比較ステップと、
   前記画面画像比較ステップで比較した結果に基づいて、前記判定先ウェブサイトが偽装されているウェブサイトか否か判定するアクセス判定ステップと、
   の処理をコンピュータに実行させることを特徴とするウェブサイト判定プログラム。

Images