JP2009223375A - 悪性Ｗｅｂサイト判定装置、悪性Ｗｅｂサイト判定システム、それらの方法、プログラム - Google Patents

Abstract

【課題】従来技術では検知・防御できない新たな攻撃に対して検知・防御を行いユーザが悪性Ｗｅｂサイトを閲覧することを防ぐ、悪性Ｗｅｂサイト判定装置・方法を実現する。
【解決手段】本発明の悪性Ｗｅｂサイト判定装置１０は、ユーザＰＣ１００がアクセスを試みるＷｅｂサイトのＵＲＬ等の情報を装置内に取り込む入力部１１と、装置内に実現された仮想環境の下で上記ＵＲＬに代理アクセスして代理アクセス前後のＯＳのパラメータの変更内容を検知して変更内容リストを作成する代理アクセス実行部１２と、良性の変更内容がリスト化されたホワイトリストが登録された判定データベース１３と、変更内容リストとホワイトリストとを照合して判定結果を出力する判定部１４と、判定結果が良性の場合にはＷｅｂサイトへのアクセスを許可し、悪性の場合にはアクセスを許可せずに警告情報をユーザ端末１００に通知する許可部１５とを備える。
【選択図】図１

Description

本発明は、情報セキュリティ技術の応用技術に関し、詳しくは、ユーザ端末からオペレーションシステム、アプリケーションを介してＷｅｂサイトに安全にアクセスするための、悪性Ｗｅｂサイト判定装置、悪性Ｗｅｂサイト判定システム、それらの方法、及びプログラムに関する。

ユーザのＰＣからＷｅｂサイトにアクセスする際には、ＰＣから対象のＵＲＬに向けてリクエストを送信し、そのレスポンスとして各種ファイルがダウンロードされる。このようにダウンロードされるファイルの中には、時にコンピュータウイルスやボットその他の不正プログラムが存在し、これらがＰＣに侵入することにより、情報の漏洩やＰＣの異常動作など様々なセキュリティ上の問題を引き起こす。このような問題を回避するための技術として、主に以下のものが用いられている。

（１）ウイルス検知技術
代表的なものとして、コンピュータウイルス等の不正プログラムのコード内の特徴的な部分をパターンファイル化し、これとダウンロードされたファイルの内容とを照合する技術がある（非特許文献１参照）。この技術は、ネット上でやり取りされる実際のファイルを解析してパターンファイルと照合するため、誤警告の確率が低いというメリットがある。

（２）ＩＤＳ／ＩＰＳ技術
ＩＤＳ（不正侵入検知システム）は、ネットワークを流れる通信パケットを監視することによって不正侵入や攻撃がないかをチェックするシステムである（非特許文献２参照）。ＩＤＳの方式には、攻撃パターンの特徴を表すデータと照合して攻撃や侵入を検出するシグネチャ・マッチング方式や、プロトコル・データが異常な値を取ることを検出して攻撃であると判断するアノーマリ方式がある。またＩＰＳ（不正侵入防御システム）は、ＩＤＳの検出機能に加え、攻撃と思われる通信を自動的に遮断する機能を付加したシステムである。これらの技術は、ファイアウォールで遮断できなかった不正侵入についてもパケットを追跡監視することによって防御することができるというメリットがある。

（３）レピュテーションＤＢ技術
フィッシングやウイルス感染に繋がる悪性Ｗｅｂサイトを、運用の安定性や信頼性、送り元の共通性等、所定の評価基準の下でデータベース化し、アクセス前にそのデータベースに問い合わせることで悪性Ｗｅｂサイトへのアクセスを防ぐ技術である（非特許文献１参照）。この技術は、パターンファイルに依存しないため、多くの亜種を持つ不正プログラムの連鎖的な侵入を防御できる等のメリットがあり、ウイルス検知技術やＩＤＳ／ＩＰＳ技術等を補完する技術として複合的に用いられることが多い。
平原 伸明、"脅威、すべてはWebアクセスから始まる 第５回 パターン照合だけではだめ、力を合わせてディフェンスを固める"、[online]、平成19年10月19日、株式会社日経ＢＰ、[平成20年2月26日検索]、インターネット<URL: http://itpro.nikkeibp.co.jp/article/COLUMN/20071005/283934/?ST=web_threat> 横森 利裕、"知ってるつもり？「セキュリティの常識」を再確認 第４回 不正侵入に対抗するIDS／IPSの常識"、[online]、平成16年12月10日、アイティメディア株式会社、[平成20年2月26日検索]、インターネット<URL: http://www.itmedia.co.jp/enterprise/articles/0412/10/news068.html > 山口 哲弘、"仮想化技術を学ぶ"、[online]、平成19年1月26日、株式会社日経ＢＰ、[平成19年12月27日検索]、インターネット<URL: http://itpro.nikkeibp.co.jp/article/lecture/20061228/258010/>

背景技術に示したウイルス検知技術やＩＤＳ／ＩＰＳ技術においては、既知のウイルスや攻撃パターンに基づいてパターンファイルやシグネチャ等を作成し、それを用いて防御を行うため、出現したばかりのウイルスや亜種、新たな攻撃パターン等に対する防御が困難である。また、悪性Ｗｅｂサイトは一般に生成・消滅のサイクルが早いため、鮮度の良いレピュテーションＤＢを維持することが困難である。

本発明の目的は、従来技術では検知・防御できない新たな攻撃に対して検知・防御を行い、ユーザが悪性Ｗｅｂサイトを閲覧することを防ぐ、悪性Ｗｅｂサイト判定装置・方法等の実現にある。

本発明の悪性Ｗｅｂサイト判定装置は、任意のＷｅｂサイトへアクセスするための入力情報を装置内に取り込む入力部と、装置内に仮想環境を実現し、その仮想環境下で起動されたオペレーションシステムの配下で上記Ｗｅｂサイトに代理アクセスし、代理アクセス前後の当該オペレーションシステムの所定のパラメータの変更内容を検知する代理アクセス実行部と、上記パラメータの変更内容に基づき上記Ｗｅｂサイトの良性・悪性を判定する判定部とを備える。

本発明の悪性Ｗｅｂサイト判定装置・方法によれば、従来技術では検知・防御できない新たな攻撃に対する検知・防御が可能となり、ユーザが悪性Ｗｅｂサイトを閲覧することを防ぐことができる。その結果、ウイルス感染、ボット感染、１クリック詐欺、フィッシング等の被害に遭うことなくＷｅｂサイトを安全に閲覧することができる。

〔第１実施形態〕
図１は、第１実施形態の悪性Ｗｅｂサイト判定装置１０のブロック図、図２はその処理フローである。悪性Ｗｅｂサイト判定装置１０は、入力部１１と代理アクセス実行部１２と判定データベース１３と判定部１４と許可部１５とを備える。

入力部１１は、ユーザの端末であるユーザＰＣ１００から出力された、アクセスを試みるＷｅｂサイト３００のＵＲＬ情報とユーザＰＣ１００のオペレーションシステム（以下、ＯＳという。）の種別情報と当該ＯＳ上で動作しＷｅｂサイト３００と情報のやりとりをするアプリケーションの種別情報とを装置内に取り込む（Ｓ１）。ここで、ＯＳの種別は例えばWindows（登録商標）2000、WindowsXP等のことであり、アプリケーションの種別はInternetExploreやFirefox等のブラウザだけでなくWindows Media PlayerやAcrobat ReaderやWord・Excel等のＷｅｂサイトとの情報のやりとりが可能なアプリケーションも含む。

代理アクセス実行部１２は、ユーザＰＣ１００がＷｅｂサイト３００にアクセスするのに先立ち代理アクセスを行い、ＯＳのパラメータに変更が生じた場合は変更内容リストを生成し出力する（Ｓ２）。代理アクセス実行部１２は公知技術である仮想化技術（例えば、非特許文献３参照）を用いて装置内に構築された仮想環境であり、この仮想環境において、ユーザＰＣ１００のＯＳ種別に等しい仮想ＯＳとアプリケーション種別に等しいアプリケーションとを起動し（予め起動しておいてもよい）、そのアプリケーションにより対象のＵＲＬに代理アクセスを行う。仮想ＯＳはインターネット２００へのＨＴＴＰ及びＨＴＴＰＳプロトコルによるアクセスのみが許可され、仮想ＯＳ外（例えばホストＯＳや他の仮想ＯＳ）へのアクセスはできない設定とする。また、代理アクセス実行部１２は、代理アクセスによる仮想ＯＳ内の各パラメータ（ファイル・レジストリ・プロセス・メモリ等）の変更内容を検出し、変更内容リストを生成・出力する変更検出機能を有する。変更検出機能は例えばドライバソフトウェアとして実装され、仮想ＯＳ内の変更をリアルタイムでキャッチできるものとする。変更内容リストの作成例を図３に示す。この作成例は、あるＵＲＬにアクセスしたところcookieが設定されinstall.exeプロセスが立ち上がった場合の変更内容を示すものである。なお、仮想ＯＳ内の各パラメータが変更された場合には、変更内容リストを生成次第、次のＷｅｂアクセスに備え、仮想化技術のスナップショット機能等を用いて仮想ＯＳの各パラメータを初期状態に戻しておく。以上のような環境下で代理アクセスを行うことで、ユーザＰＣ１００がＷｅｂサイト３００にアクセスした場合のＯＳの挙動を的確に把握できるとともに、代理アクセス時にウイルス感染しても仮想ＯＳ外への感染を回避することができる。

判定データベース１３には、ホワイトリストが記憶されている。ホワイトリストは、Ｗｅｂサイトに接続した場合に生じうる各パラメータの変更内容のうち、ウイルス感染等ではない正常なＷｅｂサイトの閲覧時やアプリケーションの起動時等に生じる良性の変更内容がアプリケーション種別やパラメータ種別と関連付けられてリスト化されたものである。ホワイトリストの作成例を図４に示す。ホワイトリストは予め作成しておく必要があるが、ホワイトリストの内容はＯＳやブラウザ・アプリケーションの構成に依存し、新たなウイルスや新たな攻撃パターンが出現してもそれらには依存しないため、構成が大きく変更されない限り基本的に変更の必要は無い。

判定部１４は、代理アクセス実行部１２で生成された変更内容リストと判定データベース１３に記憶されているホワイトリストとを照合し、変更内容リスト上のすべての変更内容がホワイトリストにあった場合には良性と判定し、そうでない場合には悪性と判定して、判定結果を出力する（Ｓ３）。例えば、変更内容リストとホワイトリストがそれぞれ図３、図４に示したものである場合、cookieの設定についてはホワイトリストにあるがinstall.exe生成については無いため悪性と判定される。

許可部１５は、判定部１４での判定結果が良性であった場合には、ユーザＰＣ１００がＷｅｂサイト３００へアクセスすることを許可し、悪性であった場合にはユーザＰＣ１００に警告情報（警告画面等）を通知する（Ｓ４）。

Ｗｅｂサイトへのアクセスによりウイルスが侵入したり攻撃が開始される際には、ウイルスや攻撃方法の新旧を問わず、ＯＳ内のいずれかのパラメータにほぼ必ず異常な変更が加えられる。そこで本発明ではそれに着目し、Ｗｅｂサイトへの代理アクセスの結果生じたパラメータの変更内容のリスト（変更内容リスト）と正常なＷｅｂサイト閲覧やアプリケーションの起動時等に生じる良性のパラメータの変更内容のリスト（ホワイトリスト）とを照合し、良性と判断されたＷｅｂサイトへのアクセスのみを許可する。このように許否判断をすることで、従来のようにパターンファイルやシグネチャ等の準備で後手に回ることなく、出現したばかりのウイルスや新たな攻撃パターン等に対しても即座に検知し、防御することが可能となる。

〔第２実施形態〕
図５は、第２実施形態の悪性Ｗｅｂサイト判定装置２０のブロック図、図６はその処理フローである。悪性Ｗｅｂサイト判定装置２０は、入力部１１と代理アクセス実行部１２と判定データベース２３と判定部２４と許可部２５とを備える。入力部１１と代理アクセス実行部１２は第１実施形態と同様のものであるため同じ符号を付し、説明は省略する。以下の実施形態でもこのように構成要素・機能が共通する場合は同じ符号を付し、基本的に説明は省略する。

判定データベース２３には、第１実施形態で用いたホワイトリストに加え、ブラックリストも記憶されている。ブラックリストは、ウイルス感染等が疑われる悪性の変更内容がアプリケーション種別やパラメータ種別と関連付けられてリスト化されたものである。また、ブラックリストの各変更内容にはそれぞれ悪性の程度を示す悪性スコア（例えば、悪性度が高いほど大きな値）を付与されている。ブラックリストの作成例を図７に示す。なお、判定データベース２３内でのホワイトリストとブラックリストの構成方法は、図４、図７のように別々に構成する方法のほか、図８（ａ）のようなソースリストを構成し、そこからリレーションを取る形でホワイトリスト（図８（ｂ））とブラックリスト（図８（ｃ））を構成しても構わない。

判定部２４は、まず、代理アクセス実行部１２で生成された変更内容リストと判定データベース２３に記憶されているホワイトリストとを照合し、変更内容リスト上の変更内容のうちホワイトリストにないものがあれば、その時点で変更内容リストに対して所定の基礎悪性スコア（例えば１０）を付与する。次に、ホワイトリストになかった変更内容リスト上の残りの変更内容とブラックリストとを照合し、一致するものがあればその悪性スコア（複数の変更内容が一致した場合はそれらの悪性スコアの合計）を基礎悪性スコアに加算し、総合悪性スコアを求める。そして、総合悪性スコアが所定のしきい値（例えば０）より大きい場合は悪性と判定して総合悪性スコアを含めて判定結果を出力し、しきい値以下の場合（例えば、総合悪性スコアが０の場合）は良性と判定して判定結果を出力する（Ｓ５）。例えば、変更内容リスト、ホワイトリスト、ブラックリストがそれぞれ図３、図４、図７に示したものである場合、まず変更内容リストとホワイトリストとが照合され、cookieの設定についてはホワイトリストにあるがinstall.exe生成については無いため、変更内容リストに対し基礎悪性スコア（例えば１０）が付与される。続いてホワイトリストになかったinstall.exe生成をブラックリストと照合すると、*.exeファイル生成に該当するため、基礎悪性スコアに悪性スコア８０が加算され、総合悪性スコアは９０となる。そして、所定のしきい値が０であるとすると、それより大きいため悪性と判定され、悪性・スコア９０という判定結果が出力される。

許可部２５は、判定部２４での判定結果が良性であった場合には、ユーザＰＣ１００がＷｅｂサイト３００へアクセスすることを許可し、悪性であった場合にはユーザＰＣ１００に総合悪性スコアに応じた警告情報（警告画面等）を通知する（Ｓ６）。

このように、ホワイトリストだけでなくブラックリストを用いて判定を行うことで、Ｗｅｂサイトが悪性と判定された場合にその悪性度合いに応じた警告情報をユーザＰＣに向けて提供することが可能となる。

〔第３実施形態〕
図９は、第３実施形態の悪性Ｗｅｂサイト判定装置３０のブロック図、図１０はその処理フローである。悪性Ｗｅｂサイト判定装置３０は、入力部１１と悪性Ｗｅｂサイトデータベース３１とデータベース確認部３２と代理アクセス実行部１２と判定データベース１３（又は２３）と判定部３４と許可部１５（又は２５）とを備える。入力部１１、代理アクセス実行部１２、判定データベース１３（又は２３）、及び許可部１５（又は２５）は第１（又は第２）実施形態と同様のものである。

悪性Ｗｅｂサイトデータベース３１には、予め判明している悪性ＷｅｂサイトのＵＲＬが記憶されている。このデータベースは、上記背景技術の（３）で説明したレピュテーションＤＢ技術に基づき構築すると更に効果的である。

データベース確認部３２は、代理アクセス実行部１２での代理アクセス実行に先立ち、入力部１１で取り込んだＷｅｂサイト３００のＵＲＬが悪性Ｗｅｂサイトデータベース３１に存在するか否かを照会し、存在した場合には判定部３４にその旨を通知し、代理アクセスは行わない。存在しなかった場合には第１（又は第２）実施形態と同様に代理アクセスを行う（Ｓ７）。

判定部３４は、代理アクセスを行った場合には第１（又は第２）実施形態の判定部１４（又は２４）と同様な処理を行うほか、もし悪性と判定した場合（総合悪性スコアが所定の値より大きい場合）には、そのＷｅｂサイトのＵＲＬを悪性Ｗｅｂサイトデータベース３１に追記する。また、代理アクセスを行わなかった場合、つまり、データベース確認部３２からＷｅｂサイト３００のＵＲＬが悪性Ｗｅｂサイトデータベース３１に存在した旨の通知があった場合には悪性と判定し、判定結果を（判定部２４の場合は、所定の総合悪性スコア（例えば１０）を含めて）出力する（Ｓ８）。

このように、悪性Ｗｅｂサイトデータベース３１を設け、代理アクセス実行に先立ち照会することで、予め判明している悪性Ｗｅｂサイトの場合には代理アクセスを省略することができるため、判定を高速化することができる。

〔第４実施形態〕
図１１は、第４実施形態の悪性Ｗｅｂサイト判定装置４０のブロック図である。悪性Ｗｅｂサイト判定装置４０は、第３実施形態の悪性Ｗｅｂサイト判定装置３０にデータベース維持管理部４１を追加した構成である。

悪性Ｗｅｂサイトデータベース３１を維持管理することなく放置した場合、データベース容量が不足してくるとともに、容量の肥大化により検索速度が低下する場合がある。一方、悪性Ｗｅｂサイトは一般にライフサイクルが短いため、消滅したＷｅｂサイトのＵＲＬを順次削除すればデータベースを有効利用できる。

そこで、本実施形態では第３実施形態の構成に加えデータベース維持管理部４１を設け、このデータベース維持管理部４１が悪性Ｗｅｂサイトデータベース３１に記憶されたＵＲＬに定期的にアクセスして良性・悪性の判定を行い、良性となったＵＲＬについては悪性Ｗｅｂサイトデータベース３１から順次削除する。なお、データベース維持管理部４１の代理アクセス・判定機能は、上記各実施形態の代理アクセス実行部及び判定部の機能と同様であることから、これらと同様な構成をデータベース維持管理部４１内に実装することにより実現することができる。

このように、データベース維持管理部４１を設けることで、悪性Ｗｅｂサイトデータベース３１の記憶領域の有効活用を図ることができるとともに、検索速度の低下を防ぐことができる。

〔第５実施形態〕
図１２は、第５実施形態の悪性Ｗｅｂサイト判定システム５０のブロック図である。悪性Ｗｅｂサイト判定システム５０は、本体装置６０と外部装置７０とから構成される。本体装置６０は、第４実施形態の悪性Ｗｅｂサイト判定装置４０の悪性Ｗｅｂサイトデータベース３１とデータベース維持管理部４１とを、それぞれ悪性Ｗｅｂサイトキャッシュ６１とキャッシュ維持管理部６２とに置き換えた構成であり、外部装置７０は、悪性Ｗｅｂサイト外部データベース７１と外部データベース維持管理部７２とから構成される。

第４実施形態の構成では、代理アクセス実行部１２とデータベース維持管理部４１が共に代理アクセスが可能なように、装置内に仮想環境を２つ構築する（またはそれを実質的に実現可能な構成とする）必要があった。これに対し、第５実施形態は、代理アクセス実行部とデータベース維持管理部とを別の装置に分離可能とするものである。

本実施形態では、外部装置７０の悪性Ｗｅｂサイト外部データベース７１と外部データベース維持管理部７２とが、第４実施形態の悪性Ｗｅｂサイト判定装置４０の悪性Ｗｅｂサイトデータベース３１とデータベース維持管理部４１と同様な、データベースの直接的な維持管理機能を実現する。つまり、悪性Ｗｅｂサイト外部データベース７１には、予め判明している悪性ＷｅｂサイトのＵＲＬが記憶され、データベース維持管理部７２が悪性Ｗｅｂサイトデータベース７１に記憶されたＵＲＬに定期的にアクセスして良性・悪性の判定を行い、良性となったＵＲＬを悪性Ｗｅｂサイトデータベース７１から削除する。一方、本体装置６０のキャッシュ維持管理部６２は、定期的に外部装置７０の悪性Ｗｅｂサイト外部データベース７１にアクセスし、最新の悪性ＷｅｂサイトのＵＲＬ情報を悪性Ｗｅｂサイト外部データベース７１から吸い上げて悪性Ｗｅｂサイトキャッシュ６１に供給する。このように悪性Ｗｅｂサイト外部データベース７１のＵＲＬ情報と悪性Ｗｅｂサイトキャッシュ６１のＵＲＬ情報とを定期的にミラーリングすることで、悪性Ｗｅｂサイトキャッシュ６１のＵＲＬ情報は間接的に維持管理され、その結果、代理アクセス実行部とデータベース維持管理部とが別の装置に分離していても実質的に第４実施形態と同様の機能を実現することができる。なお、図１２においては本体装置６０と外部装置７０はインターネット２００を介して接続されているが、相互に情報を送受できれば接続手段はいかなるものでも構わない。

＜変形例＞
第５実施形態の構成を応用して、図１３に示すようにユーザＰＣに本体装置機能を持たせた悪性Ｗｅｂサイト判定システム８０を構成することもできる。つまり、第５実施形態の本体装置６０を内蔵したユーザＰＣ１０１を構成して本体装置とし、これを外部装置７０と組み合わせて用いる。

このように、代理アクセス実行部とデータベース維持管理部とを別の装置に分離可能とすることで、柔軟に悪性Ｗｅｂサイト判定システムを構成することができる。

本発明における悪性Ｗｅｂサイト判定装置・システム及び方法は、上記の実施形態に限定されるものではなく、本発明を逸脱しない範囲で適宜変更が可能である。また、上記に説明した処理は記載の順に従った時系列において実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。

また、上記悪性Ｗｅｂサイト判定装置・システム及び方法の処理機能をコンピュータによって実現する場合、上記悪性Ｗｅｂサイト判定装置・システム及び方法が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより上記悪性Ｗｅｂサイト判定装置・システム及び方法における処理機能がコンピュータ上で実現される。なお、処理内容の一部をハードウェア的に実現しても構わない。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

本発明は、インターネット接続事業者がより安全性の高いサービスをユーザに提供したい場合に特に有用である。

第１実施形態の悪性Ｗｅｂサイト判定装置１０の構成例を示す図。 第１実施形態の悪性Ｗｅｂサイト判定装置１０の処理フロー例を示す図。 変更内容リストの作成例を示す図。 ホワイトリストの作成例を示す図。 第２実施形態の悪性Ｗｅｂサイト判定装置２０の構成例を示す図。 第２実施形態の悪性Ｗｅｂサイト判定装置２０の処理フロー例を示す図。 ブラックリストの作成例を示す図。 ソースリストからホワイトリストとブラックリストを構成するイメージを示す図。 第３実施形態の悪性Ｗｅｂサイト判定装置３０の構成例を示す図。 第３実施形態の悪性Ｗｅｂサイト判定装置３０の処理フロー例を示す図。 第４実施形態の悪性Ｗｅｂサイト判定装置４０の構成例を示す図。 第５実施形態の悪性Ｗｅｂサイト判定システム５０の構成例を示す図。 第５実施形態の変形例である悪性Ｗｅｂサイト判定システム８０の構成例を示す図。

符号の説明

１０、２０、３０、４０ 悪性Ｗｅｂサイト判定装置
１１ 入力部
１２ 代理アクセス実行部
１３、２３ 判定データベース
１４、２４、３４ 判定部
１５、２５ 許可部
３１ 悪性Ｗｅｂサイトデータベース
３２ データベース確認部
４１ データベース維持管理部
５０、８０ 悪性Ｗｅｂサイト判定システム
６０ 本体装置
６１ 悪性Ｗｅｂサイトキャッシュ
６２ キャッシュ維持管理部
７０ 外部装置
７１ 悪性Ｗｅｂサイト外部データベース
７２ 外部データベース維持管理部
１００、１１０ ユーザＰＣ
２００ インターネット
３００ Ｗｅｂサイト

Claims (9)

1. 任意のＷｅｂサイトへアクセスするための入力情報を装置内に取り込む入力部と、
   装置内に仮想環境を実現し、その仮想環境下で起動されたオペレーションシステムの配下で上記Ｗｅｂサイトに代理アクセスし、代理アクセス前後の当該オペレーションシステムの所定のパラメータの変更内容を検知する代理アクセス実行部と、
   上記パラメータの変更内容に基づき上記Ｗｅｂサイトの良性・悪性を判定する判定部と、
   を備える悪性Ｗｅｂサイト判定装置。
2. 請求項１に記載の悪性Ｗｅｂサイト判定装置において、
   更に、良性の変更内容がリスト化されたホワイトリストが記憶される判定データベースを備え、
   上記入力情報は、ＵＲＬ、オペレーションシステム種別、及びアプリケーション種別であり、
   上記代理アクセス実行部は、上記仮想環境下で上記オペレーションシステム種別に等しいオペレーションシステムと上記アプリケーション種別に等しいアプリケーションとを起動して上記ＵＲＬに代理アクセスして、上記検知したパラメータの変更内容をリスト化した変更内容リストを出力し、
   上記判定部は、上記変更内容リストと上記ホワイトリストとを照合し、変更内容リスト上のすべての変更内容がホワイトリストにあった場合には良性と判定し、そうでない場合には悪性と判定して、判定結果を出力する
   ことを特徴とする悪性Ｗｅｂサイト判定装置。
3. 請求項１又は２に記載の悪性Ｗｅｂサイト判定装置において、
   更に、上記判定結果が良性の場合には上記入力情報の入力元からの上記Ｗｅｂサイトへのアクセスを許可し、悪性の場合にはアクセスを許可せずに当該入力元に警告情報を通知する許可部を備えることを特徴とする悪性Ｗｅｂサイト判定装置。
4. 請求項２又は３に記載の悪性Ｗｅｂサイト判定装置において、
   上記判定データベースには更に、悪性の変更内容が悪性スコア付きでリスト化されたブラックリストが記憶され、
   上記判定部は更に、上記変更内容リストと上記ブラックリストとを照合し、一致する悪性の変更内容があればその悪性スコアを合算して、合計の悪性スコアを含む判定結果を出力し、
   上記許可部は、悪性の場合に悪性スコアに応じた警告情報を通知する
   ことを特徴とする悪性Ｗｅｂサイト判定装置。
5. 請求項１〜４のいずれかに記載の悪性Ｗｅｂサイト判定装置において、更に、
   悪性ＷｅｂサイトのＵＲＬが記憶されている悪性Ｗｅｂサイトデータベースと、
   上記代理アクセス実行部での処理に先立ち、上記入力部で取り込んだ上記ＵＲＬが上記悪性Ｗｅｂサイトデータベースに存在するか否かを照会し、存在した場合は上記許可部にその旨を通知するデータベース確認部と、
   を備え、
   上記判定部は、代理アクセスの結果として悪性と判定した場合にはそのＷｅｂサイトのＵＲＬを上記悪性Ｗｅｂサイトデータベースに追加し、また、上記データベース確認部から上記通知を受けた場合は悪性と判定する
   ことを特徴とする悪性Ｗｅｂサイト判定装置。
6. 請求項５に記載の悪性Ｗｅｂサイト判定装置において、更に、
   上記悪性Ｗｅｂサイトデータベースに記憶された各ＵＲＬに定期的にアクセスして悪性・良性の判定を行い、判定結果が良性となったＵＲＬを当該悪性Ｗｅｂサイトデータベースから順次削除するデータベース維持管理部を備えることを特徴とする悪性Ｗｅｂサイト判定装置。
7. 請求項１〜４のいずれかに記載の悪性Ｗｅｂサイト判定装置と、悪性ＷｅｂサイトのＵＲＬが記憶される悪性Ｗｅｂサイトキャッシュと、上記代理アクセス実行部での処理に先立ち、上記入力部で取り込んだ上記ＵＲＬが上記悪性Ｗｅｂサイトキャッシュに存在するか否かを照会し、存在した場合は悪性と判定して上記許可部に向けて判定結果を出力するデータベース確認部と、悪性Ｗｅｂサイト外部データベースに定期的にアクセスし、上記悪性Ｗｅｂサイトキャッシュを上記悪性Ｗｅｂサイト外部データベースとミラーリングするキャッシュ維持管理部と、を備える本体装置と、
   悪性ＷｅｂサイトのＵＲＬが記憶されている上記悪性Ｗｅｂサイト外部データベースと、当該悪性Ｗｅｂサイト外部データベースに記憶された各ＵＲＬに定期的にアクセスして悪性・良性の判定を行い、良性となったＵＲＬを当該悪性Ｗｅｂサイト外部データベースから順次削除する外部データベース維持管理部と、を備える外部装置と、
   からなる悪性Ｗｅｂサイト判定システム。
8. 任意のＷｅｂサイトへアクセスするための入力情報を装置内に取り込む入力ステップと、
   装置内に仮想環境を実現し、その仮想環境下で起動されたオペレーションシステムの配下で上記Ｗｅｂサイトに代理アクセスし、代理アクセス前後の当該オペレーションシステムの所定のパラメータの変更内容を検知する代理アクセス実行ステップと、
   上記パラメータの変更内容に基づき上記Ｗｅｂサイトの良性・悪性を判定する判定ステップと、
   を実行する悪性Ｗｅｂサイト判定方法。
9. 請求項１〜７のいずれかに記載した装置又はシステムとしてコンピュータを機能させるためのプログラム。

Images