JP2011013974A - ウェブサイト評価装置およびプログラム - Google Patents

Abstract

【課題】従来の手法で検出できなかった悪性ウェブサイトを検出することができるウェブサイト評価装置およびプログラムを提供する。
【解決手段】通信部１０は、ネットワークを介してウェブサイトにアクセスし、当該ウェブサイトからデータを受信する。通信制御部１０は、受信したデータと関連付けられているウェブサイトに通信部１０をアクセスさせる。ウェブサイト情報記憶部１６は、通信部１０がアクセスしたウェブサイトを記憶する。判定部１２は、アクセスしたウェブサイトが悪性であるか否かを判定し、ウェブサイトが悪性であると判定された場合に、ウェブサイト情報記憶部１６に記憶されている、当該ウェブサイトにアクセスするまでに経由したウェブサイトが悪性であると判定する。
【選択図】図１

Description

本発明は、ウェブサイトが悪性であるか否かを評価するウェブサイト評価装置に関する。また、本発明は、本ウェブサイト評価装置としてコンピュータを機能させるためのプログラムにも関する。

昨今、ウェブ（Web）ブラウザでウェブサイトにアクセスしコンテンツを閲覧しただけで、パーソナルコンピュータ（PC）がウイルス（マルウェア）に感染する問題が発生している。一般に、こうしたウェブサイトをいち早く見つけ出し、悪性ウェブサイトとしてリスト化するブラックリスト化が進められている。

従来、ファイル変化検知システムやウイルス対策ソフトの利用により、評価対象のウェブサイトが評価されていた。具体的には、評価対象のウェブサイトにアクセスした後、アクセス元のPCのシステムファイルが改竄されたりファイルが追加されたりした場合、もしくはウイルス対策ソフトによる検査でウイルスが発見された場合に、評価対象のウェブサイトが悪性のウェブサイトであると判断されていた（例えば非特許文献１参照）。また、改竄されたホームページ（HP）に挿入される典型的な文字列である“<script<script src=http://*”などの文字列を検索サイトで検索することで、悪性ウェブサイトへ誘導する入り口サイトを見つけ出す手法が提案されていた（例えば非特許文献２参照）。

秋山 満昭, 川古谷 裕平, 岩村 誠, 伊藤 光恭，"クライアントハニーポットを用いたWeb感染型マルウェアの実態調査"，情報処理学会，CSS2008，A4-1． 田村 佑輔, 甲斐 俊文, 佐々木 良一，"ユーザ標的型Webサイト改ざんに対する検索エンジンを用いた検知手法の提案"，情処研報，CSEC-44，Vol. 2009，No.20，pp. 229-234，2009年3月．

評価対象のウェブサイトは、ウイルスの置かれているウェブサイトへ誘導するだけの機能を持つ入り口サイトであることが多い。また、悪性ウェブサイトは、入り口サイトから別の入り口サイトへ誘導する多段構成となっていることが多い。このため、悪性ウェブサイトであるか否かの判断が困難になっている。具体的には、評価対象のウェブサイトや途中の入り口サイトから改竄による攻撃やウイルスを受けとらなかった場合、そのようなサイトを悪性ウェブサイトとして検出することができないという問題があった。

また、悪性ウェブサイトから、未知の攻撃を受けたり未知のウイルスを仕込まれたりした場合、ファイル変化検知システムやウイルス対策ソフトを利用しても、その悪性ウェブサイトを検出することができないという問題があった。さらに、悪性ウェブサイトから、ウェブブラウザを乗っ取るだけの攻撃を受けたり、ウェブブラウザ内で動作する悪意のコードを受け取ったりした場合、PC内のファイルに変化がないため、ファイル変化検知システムやウイルス対策ソフトを利用しても、その悪性ウェブサイトを検出することができないという問題があった。さらに、入り口サイトを見つけ出すための検索に利用される典型的な文字列は、事前に判明している既知の文字列であるため、未知の文字列で改竄された入り口サイトを検索することができず、その入り口サイトを持つ悪性ウェブサイトを検出することができないという問題があった。

本発明は、上述した課題に鑑みてなされたものであって、従来の手法で検出できなかった悪性ウェブサイトを検出することができるウェブサイト評価装置およびプログラムを提供することを目的とする。

悪性ウェブサイト同士は、互いにリンクしていることが多い。例えば、第１の悪性ウェブサイトから得られるHTML（HyperText Markup Language）ファイルにおいて、第２の悪性ウェブサイトのIPアドレスまたはFQDN（Fully Qualified Domain Name）が記載されている。あるいは例えば、ウェブブラウザが、スクリプト言語を用いて作成されたスクリプトを第１の悪性ウェブサイトから受信し、そのスクリプトに従った処理により第２の悪性ウェブサイトにアクセスする。あるいは例えば、ウェブブラウザが、.exeの拡張子を有する実行ファイルを第１の悪性ウェブサイトから受信し、その実行ファイルを実行することにより第２の悪性ウェブサイトにアクセスする。これらは、悪性ウェブサイト同士のリンクを示す一例である。

上記のリンクを利用して、ウェブサイトに次々とアクセスした場合、アクセスした一連のウェブサイトの中に、未知の攻撃を行うなどの理由により悪性ウェブサイトとして検出することができないウェブサイトが存在していても、既知の手法などを利用することにより、いずれかのウェブサイトを悪性ウェブサイトとして検出できることが多い。悪性ウェブサイトが検出された場合、上記のように互いにリンクしているウェブサイトを悪性ウェブサイトとして検出することができる。

本発明は、上記に鑑みてなされたもので、ネットワークを介してウェブサイトにアクセスし、当該ウェブサイトからデータを受信するアクセス手段と、前記アクセス手段が受信したデータと関連付けられているウェブサイトに前記アクセス手段をアクセスさせる制御手段と、前記アクセス手段がアクセスしたウェブサイトを記憶するウェブサイト記憶手段と、前記アクセス手段がアクセスしたウェブサイトが悪性であるか否かを判定する第１の判定手段と、前記第１の判定手段によってウェブサイトが悪性であると判定された場合に、前記ウェブサイト記憶手段に記憶されている、当該ウェブサイトにアクセスするまでに経由したウェブサイトが悪性であると判定する第２の判定手段と、を備えたことを特徴とするウェブサイト評価装置である。

また、本発明のウェブサイト評価装置は、ファイルを記憶するファイル記憶手段をさらに備え、前記第１の判定手段は、前記アクセス手段がウェブサイトにアクセスした後に前記ファイルの変化を検知した場合に、前記アクセス手段がアクセスしたウェブサイトが悪性であると判定することを特徴とする。

また、本発明のウェブサイト評価装置は、ウイルスの特徴を定義した定義ファイルを記憶するファイル記憶手段をさらに備え、前記第１の判定手段は、前記アクセス手段がウェブサイトにアクセスした後に、前記定義ファイルに定義された特徴と一致する挙動を検知した場合に、前記アクセス手段がアクセスしたウェブサイトが悪性であると判定することを特徴とする。

また、本発明のウェブサイト評価装置は、悪性であることが判明しているウェブサイトのIPアドレスまたはFQDN（Fully Qualified Domain Name）を記憶する悪性ウェブサイト情報記憶手段をさらに備え、前記第１の判定手段は、前記アクセス手段がアクセスしたウェブサイトのIPアドレスまたはFQDNが、前記悪性ウェブサイト情報記憶手段に記憶されているIPアドレスまたはFQDNと一致した場合に、前記アクセス手段がアクセスしたウェブサイトが悪性であると判定することを特徴とする。

また、本発明のウェブサイト評価装置は、ウイルスに感染していないことが判明している状態でホストにアクセスするときに使用されるポート番号を記憶するポート番号記憶手段をさらに備え、前記第１の判定手段は、前記アクセス手段がウェブサイトにアクセスした後、ネットワーク上のホストにアクセスしたときに使用されたポート番号が、前記ポート番号記憶手段によって記憶されているポート番号と一致しなかった場合に、前記アクセス手段がアクセスしたウェブサイトが悪性であると判定することを特徴とする。

また、本発明のウェブサイト評価装置は、前記第１の判定手段および前記第２の判定手段によって悪性であると判定されたウェブサイトを、前記アクセス手段がアクセスした順序に基づいて互いに関連付ける処理を実行する処理手段をさらに備えたことを特徴とする。

また、本発明のウェブサイト評価装置において、前記処理手段はさらに、前記第１の判定手段および前記第２の判定手段によって悪性であると判定されたウェブサイトを、前記アクセス手段が受信したデータに基づくアクセスの種類と関連付ける処理を実行することを特徴とする。

また、本発明は、ネットワークを介してウェブサイトにアクセスし、当該ウェブサイトからデータを受信するアクセス手段と、前記アクセス手段が受信したデータと関連付けられているウェブサイトに前記アクセス手段をアクセスさせる制御手段と、前記アクセス手段がアクセスしたウェブサイトを記憶するウェブサイト記憶手段と、前記アクセス手段がアクセスしたウェブサイトが悪性であるか否かを判定する第１の判定手段と、前記第１の判定手段によってウェブサイトが悪性であると判定された場合に、前記ウェブサイト記憶手段に記憶されている、当該ウェブサイトにアクセスするまでに経由したウェブサイトが悪性であると判定する第２の判定手段と、としてコンピュータを機能させるためのプログラムである。

本発明によれば、第１の判定手段によってウェブサイトが悪性であると判定された場合に、当該ウェブサイトにアクセスするまでに経由したウェブサイトが悪性であると判定することによって、従来の手法で検出できなかった悪性ウェブサイトを検出することができる。

本発明の第１の実施形態による評価システムの構成を示すブロック図である。 本発明の第１の実施形態による評価システムの動作の手順を示すフローチャートである。 本発明の第１の実施形態において、ウェブサイトを評価する動作を示す参考図である。 本発明の第１の実施形態において、ブラックリストで互いに関連付けられた悪性ウェブサイトを示す参考図である。 本発明の第２の実施形態による評価システムの構成を示すブロック図である。 本発明の第２の実施形態による評価システムの動作の手順を示すフローチャートである。 本発明の第２の実施形態において、ウェブサイトを評価する動作を示す参考図である。 本発明の第３の実施形態による評価システムの構成を示すブロック図である。 本発明の第３の実施形態による評価システムの動作の手順を示すフローチャートである。 本発明の第３の実施形態において、ウェブサイトを評価する動作を示す参考図である。

以下、図面を参照し、本発明の実施形態を説明する。

（第１の実施形態）
まず、本発明の第１の実施形態を説明する。図１は、本実施形態による評価システム（本発明のウェブサイト評価装置に対応）の構成を示している。図１に示す評価システム１ａは、通信部１０、通信制御部１１、判定部１２、ファイル変化検知部１３、ウイルス検知部１４、データ処理部１５、ウェブサイト情報記憶部１６、ブラックリスト記憶部１７、ファイル記憶部１８を有する。

通信部１０は、外部のネットワークを介してウェブサイトにアクセスし、ウェブサイトの管理サーバから、ウェブページを表示するためのHTMLファイルなどのコンテンツのデータを受信する。通信制御部１１は、通信部１０の動作を制御する。判定部１２は、通信部１０がアクセスしたウェブページが悪性ウェブページであるか否かを判定する。

ファイル変化検知部１３は、ファイル記憶部１８に格納されているファイルの状態を監視し、ファイルの変化（hostsファイルの改竄、DLLの追加・変更など）を検知する。より具体的には、ファイル変化検知部１３は、ファイルの状態をデータベースに保存しておき、現在のファイルの状態が、データベースに保存されている状態と異なっている場合に、ファイルの変化を検知する。ウイルス検知部１４は、評価システム１ａの動作を監視し、既知のウイルスを検知する。より具体的には、ウイルス検知部１４は、データ処理部１５による処理結果を監視し、ファイル記憶部１８に格納されているウイルス定義ファイル（ウイルスパターンファイル）に記載されているウイルスパターンと一致するパターンを検出した場合にウイルスを検知する。データ処理部１５は各種データ処理を行う。

ウェブサイト情報記憶部１６は、通信部１０がアクセスしたウェブサイトのIPアドレスおよびFQDNなどの情報を一時的に記憶する。ブラックリスト記憶部１７は、判定部１２によって悪性ウェブページであると判定されたウェブページの各種情報をブラックリストとして記憶する。ファイル記憶部１８は、評価システム１ａを動作させるためのシステムファイルや、ユーザが作成したユーザファイルなどのファイルを記憶する。

次に、図２を参照しながら、評価システム１ａの動作を説明する。ウェブサイトから受信するHTMLファイルには、他のウェブサイトへのリンクが記載されていることがある。また、ウェブサイトから受信するスクリプトを実行すると、他のウェブサイトへ誘導されることがある。また、ウェブサイトから受信する.exe形式の実行ファイルを実行すると、他のウェブサイトへ誘導されることがある。評価システム１ａは、上記のようなウェブサイト同士のリンクを利用して、ウェブサイトに次々とアクセスし、各ウェブサイトの評価を行う。

最初にアクセスする評価対象のウェブサイトは予め判明しており、そのウェブサイトにアクセスするためのURLなどの情報はウェブサイト情報記憶部１６等の記憶装置に予め格納されているものとする。通信制御部１１は、通信部１０を評価対象のウェブサイトにアクセスさせる（ステップＳ１００）。通信部１０は、評価対象のウェブサイトからHTMLファイルなどのデータを受信し、通信制御部１１へ出力する（ステップＳ１０５）。通信制御部１１は、通信部１０がウェブサイトとの間で送受信するパケットのヘッダを見るなどの手法により、通信部１０がアクセスしたウェブサイトのIPアドレスおよびFQDNの情報を抽出し、ウェブサイト情報記憶部１６に格納する（ステップＳ１１０）。

後述するステップＳ１４５で、HTMLファイルによりリンクしているウェブサイトにアクセスした場合、またはスクリプトもしくは実行ファイルの実行によりウェブサイトにアクセスした場合、ステップＳ１１０では、そのHTMLファイル、スクリプト、または実行ファイルの送信元であるウェブサイトの情報と、そのウェブサイトの次にアクセスしたウェブサイトの情報とが関連付けられてウェブサイト情報記憶部１６に格納される。すなわち、ウェブサイト情報記憶部１６では、HTMLファイルのリンクをたどる、またはスクリプトもしくは実行ファイルを実行することによりアクセスした一連のウェブサイトの情報が関連付けられている。

ステップＳ１１０の後、ファイルの改竄やウイルスの挙動を検知するため、悪性ウェブサイトの検出に関する処理は一定時間、中断する。一定時間が経過すると、判定部１２は、ファイル変化検知部１３がファイルの状態を監視した結果に基づいて、ファイルの変化が検知されたか否かを判定する（ステップＳ１１５）。ファイル変化検知部１３によってファイルの変化が検知された場合、判定部１２は、評価対象のウェブサイトを起点として通信部１０がアクセスした一連のウェブサイトが悪性ウェブサイトであると判定し、一連のウェブサイトの情報をウェブサイト情報記憶部１６から読み出し、ブラックリスト記憶部１７に格納する（ステップＳ１２５）。

ステップＳ１１５において、ファイル変化検知部１３によってファイルの変化が検知されなかった場合、判定部１２は、ウイルス検知部１４が評価システム１ａの動作を監視した結果に基づいて、ウイルスが検知されたか否かを判定する（ステップＳ１２０）。ウイルス検知部１４によってウイルスが検知された場合、判定部１２は、評価対象のウェブサイトを起点として通信部１０がアクセスした一連のウェブサイトが悪性ウェブサイトであると判定し、一連のウェブサイトの情報をウェブサイト情報記憶部１６から読み出し、ブラックリスト記憶部１７に格納する（ステップＳ１２５）。ステップＳ１２０において、ウイルス検知部１４によってウイルスが検知されなかった場合、処理はステップＳ１３０に進む。

ステップＳ１２５に続いて、通信制御部１１は、ステップＳ１０５で受信したHTMLファイルに他のウェブサイトへのリンクが含まれているか否かを判定する（ステップＳ１３０）。HTMLファイルに他のウェブサイトへのリンクが含まれている場合、通信制御部１１は、そのリンクが示すウェブサイトに通信部１０をアクセスさせる（ステップＳ１４５）。

ステップＳ１３０において、HTMLファイルに他のウェブサイトへのリンクが含まれていなかった場合、通信制御部１１は、ステップＳ１０５で受信したスクリプトを実行する。スクリプトによって指示される処理の中にウェブサイトへのアクセス処理が含まれる場合（ステップＳ１３５でＹＥＳの場合）、通信制御部１１は、スクリプトによって指示されるウェブサイトに通信部１０をアクセスさせる（ステップＳ１４５）。

スクリプトによって指示される処理の中にウェブサイトへのアクセス処理が含まれない場合、またはステップＳ１０５でスクリプトを受信していない場合（ステップＳ１３５でＮＯの場合）、通信制御部１１は、ステップＳ１０５で受信した実行ファイルを実行する（ステップＳ１４０）。実行ファイルによって指示される処理の中にウェブサイトへのアクセス処理が含まれる場合（ステップＳ１４０でＹＥＳの場合）、通信制御部１１は、実行ファイルによって指示されるウェブサイトに通信部１０をアクセスさせる（ステップＳ１４５）。

実行ファイルによって指示される処理の中にウェブサイトへのアクセス処理が含まれない場合、またはステップＳ１０５で実行ファイルを受信していない場合（ステップＳ１４０でＮＯの場合）、ウェブサイトの評価が終了する。

上記の処理に従ってウェブサイトにアクセスし、異常（ファイルの変化またはウイルス）が一度でも検知されると、そのウェブサイトの情報、およびそのウェブサイトにアクセスするまでに経由した全てのウェブサイトの情報がブラックリスト記憶部１７に格納される。

図３は、ウェブサイトを評価する動作の一例を示している。まず、評価システム１ａは、評価対象のウェブサイト３００にアクセスし、ウェブサイト３００から様々なコンテンツ（HTMLファイル、スクリプト、実行ファイルなど）を受信する（図３（ａ））。この後の一定時間内にファイルの変化やウイルスは検知されなかったとする。

続いて、評価システム１ａは、ウェブサイト３００から受信したコンテンツに基づいて、他のウェブサイト３１０にアクセスし、ウェブサイト３１０からコンテンツを受信する（図３（ａ））。この後の一定時間内にファイルの改竄が検知されたとする。このため、ウェブサイト３００，３１０が悪性ウェブサイトと判定され、各ウェブサイトのIPアドレスやFQDNなどが互いに関連付けられてブラックリストに記録される（図３（ｂ））。

続いて、評価システム１ａは、ウェブサイト３１０から受信したコンテンツに基づいて、他のウェブサイト３２０にアクセスし、ウェブサイト３２０からコンテンツを受信する（図３（ａ））。この後の一定時間内に既知のウイルスが検知されたとする。このため、ウェブサイト３００，３１０，３２０が悪性ウェブサイトと判定され、各ウェブサイトのIPアドレスやFQDNなどが互いに関連付けられてブラックリストに記録される（図３（ｂ））。このとき、ウェブサイト３００，３１０の情報が既にブラックリストに記録されているので、ウェブサイト３２０の情報が新たに追加される。この結果、ウェブサイト３００，３１０，３２０のIPアドレスやFQDNなどが、互いに関連付けられた状態でブラックリストに保存される。

次に、本実施形態におけるブラックリストのフォーマットを説明する。ブラックリストには、以下の情報が含まれる。
（１）各悪性ウェブサイトのIPアドレス
（２）各悪性ウェブサイトのFQDN
（３）各悪性ウェブサイトのURL
（４）グループIDとウェブサイトID
（５）ブラックリストへの登録日時
（６）各悪性ウェブサイトのドメイン名取得日時
（７）誘導手法
（８）改竄されたファイルのファイル名
（９）検知されたウイルスのウイルス名
（１０）悪性の評価理由

（４）のグループIDは、関連付けられた悪性ウェブサイトからなるグループ全体に付与されるIDである。（４）のウェブサイトIDは、各悪性ウェブサイトに付与されるIDである。（６）のドメイン名取得日時は、悪性ウェブサイトがドメイン名を取得した日時である。ドメイン名取得日時は、whois検索を行うことにより知ることができる。

（７）の誘導手法は、あるウェブサイトにアクセスしてそのウェブサイトから受信したデータに基づいて他のウェブサイトにアクセスした際のアクセスの種類である。本実施形態では、HTMLファイルに含まれるリンクに基づいてウェブサイトにアクセスした場合の誘導手法をHTML誘導とする。また、スクリプトを実行することでウェブサイトにアクセスした場合の誘導手法をスクリプト誘導とする。また、実行ファイルを実行することでウェブサイトにアクセスした場合の誘導手法を*.exe誘導とする。（１０）の悪性の評価理由は、悪性ウェブサイトであると評価された理由である。本実施形態では、「攻撃」と「ウイルス」の２種類の評価理由がある。

図４は、ブラックリストにおいて互いに関連付けられた悪性ウェブサイトの一例を示している。ウェブサイト４００，４１０，４２０，４３０は、AというIDを有するグループAに属している。ウェブサイト４００，４１０，４２０，４３０のウェブサイトIDはそれぞれ、A-1、A-2、A-3、A-4である。ウェブサイト４４０，４５０は、BというIDを有するグループBに属している。ウェブサイト４３０はグループAとグループBの両方に属している。ウェブサイト４４０，４５０のウェブサイトIDはそれぞれ、B-1、B-2である。

グループAにおいては、ウェブサイト４００が、最初にアクセスしたウェブサイトである。ウェブサイト４００から受信したHTMLファイルに含まれるリンクに基づいてウェブサイト４１０へのアクセスが行われている。また、ウェブサイト４１０から受信したスクリプトを実行することでウェブサイト４２０へのアクセスが行われている。また、ウェブサイト４２０から受信した実行ファイルを実行することでウェブサイト４３０へのアクセスが行われている。

グループBにおいては、ウェブサイト４４０が、最初にアクセスしたウェブサイトである。ウェブサイト４４０から受信したHTMLファイルに含まれるリンクに基づいてウェブサイト４５０へのアクセスが行われている。また、ウェブサイト４５０から受信したスクリプトを実行することでウェブサイト４３０へのアクセスが行われている。

通信制御部１１は、図２のステップＳ１１０において、通信部１０がアクセスしたウェブサイトのIPアドレスおよびFQDNの情報を、時刻情報、グループID、およびウェブサイトIDと関連付けてウェブサイト情報記憶部１６に格納する。時刻情報は、ウェブサイトにアクセスした時刻を示している。

判定部１２は、ステップＳ１２５において、同一のグループIDが付与された悪性ウェブサイトの情報をウェブサイト情報記憶部１６から読み出し、時刻情報に基づいてアクセスの順序を決定する。続いて、判定部１２は、悪性ウェブサイトのIPアドレスおよびFQDNの情報と、アクセスの順序を示す順序情報、誘導手法、グループID、およびウェブサイトIDとを関連付けてブラックリスト記憶部１７に格納する。同一のグループIDを有する情報が既にブラックリスト記憶部１７に存在した場合、判定部１２は、その情報に対して、新たに上記の情報を追加する。

誘導手法は、ステップＳ１３０，Ｓ１３５，Ｓ１４０の判定結果に応じて決定される。すなわち、ステップＳ１３０でＹＥＳの場合、誘導手法はHTML誘導である。また、ステップＳ１３５でＹＥＳの場合、誘導手法はスクリプト誘導である。また、ステップＳ１４０でＹＥＳの場合、誘導手法は*.exe誘導である。

図４に示す情報を参照することで、ある悪性ウェブサイトから他の悪性ウェブサイトへ誘導されるときの両者の関係を把握することができる。また、図４に示す情報を、ルータにおけるフィルタリングルールの決定に利用することができる。例えば、図４に示すように、２種類の経路によって同一のウェブサイト４３０に誘導される場合、ルータに対して、ウェブサイト４３０へのルーティングを禁止する設定を行うことによって、ユーザ端末が悪性ウェブサイトへ誘導されることを未然に防止するためのルーティングの設定を効率的に行うことができる。また、*.exe誘導によって誘導された悪性ウェブサイトから攻撃を受けたりウイルスを仕込まれたりすることが多いので、特に*.exe誘導によって誘導される悪性ウェブサイトへのルーティングを禁止する設定を行うことによって、ユーザ端末が悪性ウェブサイトへ誘導されることを効果的に防止することができる。

上述したように、本実施形態によれば、アクセスしたウェブサイトが悪性であると判定された場合に、そのウェブサイトにアクセスするまでに経由した全てのウェブサイトも悪性であると判定される。悪性ウェブサイト同士は、図４に示したような形態で互いにリンクしていることが多い。このリンクを利用して、ウェブサイトに次々とアクセスした場合、アクセスした一連のウェブサイトの中に、未知の攻撃を行ったり未知のウイルスを仕込んだりするなどの理由により悪性ウェブサイトとして検出することができないウェブサイトや、入り口サイトとしてのみ機能するウェブサイトが存在していても、ファイル変化検知機能またはウイルス検知機能により、いずれかの悪性ウェブサイトを検出できることが多い。このようにして悪性ウェブサイトが検出された場合、上記のように互いにリンクしているウェブサイトを悪性ウェブサイトとして検出することができる。したがって、従来の手法で検出できなかった悪性ウェブサイトを検出することができる。

（第２の実施形態）
次に、本発明の第２の実施形態を説明する。図５は、本実施形態による評価システムの構成を示している。図５に示す評価システム１ｂは、通信部１０、通信制御部１１、判定部１２、ウェブサイト情報記憶部１６、およびブラックリスト記憶部１９を有する。本実施形態のブラックリスト記憶部１９は、予め判明している悪性ウェブページの各種情報をブラックリストとして記憶している。

以下、図６を参照しながら、評価システム１ｂの動作を説明する。ステップＳ２００〜Ｓ２１０の内容は図２のステップＳ１００〜Ｓ１１０の内容と同様であるので、説明を省略する。ステップＳ２１０に続いて、判定部１２は、通信部１０が直前にアクセスしたウェブサイトのIPアドレスおよびFQDNをウェブサイト情報記憶部１６から読み出すと共に、ブラックリストをブラックリスト記憶部１７から読み出す。そして、判定部１２は、通信部１０が直前にアクセスしたウェブサイトのIPアドレスおよびFQDNの組合せがブラックリスト中のIPアドレスおよびFQDNの組合せと一致するか否かを判定する（ステップＳ２１５）。

通信部１０が直前にアクセスしたウェブサイトのIPアドレスおよびFQDNの組合せがブラックリスト中のIPアドレスおよびFQDNの組合せのいずれかと一致した場合、判定部１２は、評価対象のウェブサイトを起点として通信部１０がアクセスした一連のウェブサイトが悪性ウェブサイトであると判定し、一連のウェブサイトの情報をウェブサイト情報記憶部１６から読み出し、ブラックリスト記憶部１７に格納する（ステップＳ２２０）。また、ステップＳ２１５において、通信部１０が直前にアクセスしたウェブサイトのIPアドレスおよびFQDNの組合せがブラックリスト中のIPアドレスおよびFQDNの組合せのいずれとも一致しなかった場合、処理はステップＳ２２５に進む。ステップＳ２２５〜Ｓ２４０の内容は図２のステップＳ１３０〜Ｓ１４５の内容と同様であるので、説明を省略する。

上記の処理に従ってウェブサイトにアクセスし、そのウェブサイトがブラックリスト中の悪性ウェブサイトと一致すると、そのウェブサイトの情報、およびそのウェブサイトにアクセスするまでに経由した全てのウェブサイトの情報がブラックリスト記憶部１７に格納される。

図７は、ウェブサイトを評価する動作の一例を示している。まず、評価システム１ｂは、評価対象のウェブサイト７００にアクセスし、ウェブサイト７００から様々なコンテンツ（HTMLファイル、スクリプト、実行ファイルなど）を受信する（図７（ａ））。このとき、ウェブサイト７００のIPアドレスおよびFQDNはブラックリストに登録されていなかったとする。

続いて、評価システム１ｂは、ウェブサイト７００から受信したコンテンツに基づいて、他のウェブサイト７１０にアクセスし、ウェブサイト７１０からコンテンツを受信する（図７（ａ））。このとき、ウェブサイト７１０のIPアドレスおよびFQDNはブラックリストに登録されていなかったとする。

続いて、評価システム１ｂは、ウェブサイト７１０から受信したコンテンツに基づいて、他のウェブサイト７２０にアクセスし、ウェブサイト７２０からコンテンツを受信する（図７（ａ））。このとき、ウェブサイト７２０のIPアドレスおよびFQDNはブラックリストに登録されていたとする。このため、ウェブサイト７００，７１０，７２０が悪性ウェブサイトと判定され、各ウェブサイトのIPアドレスやFQDNなどが互いに関連付けられてブラックリストに記録される（図７（ｂ））。このとき、ウェブサイト７００，７１０の情報が既にブラックリストに記録されているので、ウェブサイト７２０の情報が新たに追加される。この結果、ウェブサイト７００，７１０，７２０のIPアドレスやFQDNなどが、互いに関連付けられた状態でブラックリストに保存される。

上述したように、本実施形態によれば、アクセスしたウェブサイトが悪性であると判定された場合に、そのウェブサイトにアクセスするまでに経由した全てのウェブサイトも悪性であると判定される。ウェブサイトが悪性であるか否かを判定する際に既存のブラックリストを利用することによって、評価システムがファイル変化検知機能やウイルス検知機能を備えていなくても悪性ウェブサイトを検出することができる。また、アクセスした一連のウェブサイトの中に、既存のブラックリストに登録されていない悪性ウェブサイト（入り口サイトを含む）が存在していても、既存のブラックリストを利用することにより、いずれかの悪性ウェブサイトを検出できることが多い。このようにして悪性ウェブサイトが検出された場合、互いにリンクしているウェブサイトを悪性ウェブサイトとして検出することができる。したがって、従来の手法で検出できなかった悪性ウェブサイトを検出することができる。

（第３の実施形態）
次に、本発明の第３の実施形態を説明する。図８は、本実施形態による評価システムの構成を示している。図８に示す評価システム１ｃは、通信部１０、通信制御部１１、判定部１２、ウェブサイト情報記憶部１６、ブラックリスト記憶部１７、およびホワイトリスト記憶部２０を有する。本実施形態のホワイトリスト記憶部２０は、ウイルスに感染していないことが判明しているホストがネットワーク上の他のホストにアクセスするときに宛先ポート番号（Destination Port）として通常利用するポート番号をホワイトリストとして予め記憶している。

ホワイトリストには、ウェブブラウザが一般的に利用する80/TCP（TCP80番ポート）、443/TCP（TCP443番ポート）や、名前解決に利用される53/UDPなどのポート番号が登録されている。ホワイトリストに登録されるポート番号は、正規のホストが利用するポート番号の状況に合わせて適宜、追記および修正される。

以下、図９を参照しながら、評価システム１ｃの動作を説明する。図９に示す処理が実行される前には評価システム１ｃがウイルスに感染していないことが保証されているものとする。ステップＳ３００〜Ｓ３１０の内容は図２のステップＳ１００〜Ｓ１１０の内容と同様であるので、説明を省略する。ウェブサイトにアクセスしてウイルスに感染したことにより行われる通信の挙動を監視するため、ステップＳ３１０の後、悪性ウェブサイトの検出に関する処理は一定時間、中断する。一定時間内にネットワーク上のホストとの通信が行われた場合、通信制御部１１は、通信部１０がホストとの間で送受信するパケットのヘッダを見るなどの手法により、通信部１０がホストとのアクセスに利用した宛先ポート番号（評価システム１ｃからの発信における宛先ポート番号）を抽出し、ウェブサイト情報記憶部１６に格納する。

一定時間が経過すると、判定部１２は、通信部１０がホストにアクセスしたときに使用された宛先ポート番号をウェブサイト情報記憶部１６から読み出すと共に、ホワイトリストをホワイトリスト記憶部２０から読み出す。そして、判定部１２は、通信部１０がホストにアクセスしたときに使用された宛先ポート番号がホワイトリスト中のポート番号と一致するか否かを判定する（ステップＳ３１５）。

通信部１０がホストにアクセスしたときに使用された宛先ポート番号がホワイトリスト中のポート番号のいずれとも一致しなかった場合、判定部１２は、通信部１０がアクセスした一連のウェブサイトが悪性ウェブサイトであると判定し、一連のウェブサイトの情報をウェブサイト情報記憶部１６から読み出し、ブラックリスト記憶部１７に格納する（ステップＳ３２０）。また、ステップＳ３１５において、通信部１０がホストにアクセスしたときに使用された宛先ポート番号がホワイトリスト中のポート番号のいずれかと一致した場合、処理はステップＳ３２５に進む。また、図示していないが、一定時間内にホストとの通信が行われなかった場合も、処理はステップＳ３２５に進む。ステップＳ３２５〜Ｓ３４０の内容は図２のステップＳ１３０〜Ｓ１４５の内容と同様であるので、説明を省略する。

上記の処理に従ってウェブサイトにアクセスした後にネットワーク上のホストにアクセスしたときに使用された宛先ポート番号がホワイトリスト中のポート番号と一致しないと、そのウェブサイトの情報、およびそのウェブサイトにアクセスするまでに経由した全てのウェブサイトの情報がブラックリスト記憶部１７に格納される。

図１０は、ウェブサイトを評価する動作の一例を示している。まず、評価システム１ｃは、評価対象のウェブサイト１０００にアクセスし、ウェブサイト１０００から様々なコンテンツ（HTMLファイル、スクリプト、実行ファイルなど）を受信する（図１０（ａ））。この後の一定時間内にネットワーク上のホストとの通信は行われなかったとする。

続いて、評価システム１ｃは、ウェブサイト１０００から受信したコンテンツに基づいて、他のウェブサイト１０１０にアクセスし、ウェブサイト１０１０からコンテンツを受信する（図１０（ａ））。この後の一定時間内にネットワーク上のホストとの通信は行われなかったとする。

続いて、評価システム１ｃは、ウェブサイト１０１０から受信したコンテンツに基づいて、他のウェブサイト１０２０にアクセスし、ウェブサイト１０２０からコンテンツを受信する（図１０（ａ））。この後の一定時間内にネットワーク上のホストとの通信が行われ、そのホストへのアクセスに使用された宛先ポート番号（例えば、135/TCP）はホワイトリストに登録されていなかったとする。このため、ウェブサイト１０００，１０１０，１０２０が悪性ウェブサイトと判定され、各ウェブサイトのIPアドレスやFQDNなどが互いに関連付けられてブラックリストに記録される（図１０（ｂ））。このとき、ウェブサイト１０００，１０１０の情報が既にブラックリストに記録されているので、ウェブサイト１０２０の情報が新たに追加される。この結果、ウェブサイト１０００，１０１０，１０２０のIPアドレスやFQDNなどが、互いに関連付けられた状態でブラックリストに保存される。

上述したように、本実施形態によれば、アクセスしたウェブサイトが悪性であると判定された場合に、そのウェブサイトにアクセスするまでに経由した全てのウェブサイトも悪性であると判定される。ウェブサイトが悪性であるか否かを判定する際に、ホストとの通信で使用される宛先ポート番号のホワイトリストを利用することによって、評価システムがファイル変化検知機能やウイルス検知機能を備えていなくても悪性ウェブサイトを検出することができる。また、アクセスした一連のウェブサイトの中に、未知の攻撃を行ったり未知のウイルスを仕込んだりするなどの理由により悪性ウェブサイトとして検出することができないウェブサイトや、入り口サイトとしてのみ機能するウェブサイトが存在していても、ホワイトリストを利用することにより、いずれかの悪性ウェブサイトを検出できることが多い。このようにして悪性ウェブサイトが検出された場合、互いにリンクしているウェブサイトを悪性ウェブサイトとして検出することができる。したがって、従来の手法で検出できなかった悪性ウェブサイトを検出することができる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上記の評価システムの動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。

ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

１ａ，１ｂ，１ｃ・・・評価システム、１０・・・通信部（アクセス手段）、１１・・・通信制御部（制御手段）、１２・・・判定部（判定手段、処理手段）、１３・・・ファイル変化検知部、１４・・・ウイルス検知部、１５・・・データ処理部、１６・・・ウェブサイト情報記憶部（ウェブサイト記憶手段）、１７，１９・・・ブラックリスト記憶部（悪性ウェブサイト情報記憶手段）、１８・・・ファイル記憶部（ファイル記憶手段）、２０・・・ホワイトリスト記憶部（ポート番号記憶手段）

Claims (8)

1. ネットワークを介してウェブサイトにアクセスし、当該ウェブサイトからデータを受信するアクセス手段と、
   前記アクセス手段が受信したデータと関連付けられているウェブサイトに前記アクセス手段をアクセスさせる制御手段と、
   前記アクセス手段がアクセスしたウェブサイトを記憶するウェブサイト記憶手段と、
   前記アクセス手段がアクセスしたウェブサイトが悪性であるか否かを判定する第１の判定手段と、
   前記第１の判定手段によってウェブサイトが悪性であると判定された場合に、前記ウェブサイト記憶手段に記憶されている、当該ウェブサイトにアクセスするまでに経由したウェブサイトが悪性であると判定する第２の判定手段と、
   を備えたことを特徴とするウェブサイト評価装置。
2. ファイルを記憶するファイル記憶手段をさらに備え、
   前記第１の判定手段は、前記アクセス手段がウェブサイトにアクセスした後に前記ファイルの変化を検知した場合に、前記アクセス手段がアクセスしたウェブサイトが悪性であると判定する
   ことを特徴とする請求項１に記載のウェブサイト評価装置。
3. ウイルスの特徴を定義した定義ファイルを記憶するファイル記憶手段をさらに備え、
   前記第１の判定手段は、前記アクセス手段がウェブサイトにアクセスした後に、前記定義ファイルに定義された特徴と一致する挙動を検知した場合に、前記アクセス手段がアクセスしたウェブサイトが悪性であると判定する
   ことを特徴とする請求項１に記載のウェブサイト評価装置。
4. 悪性であることが判明しているウェブサイトのIPアドレスまたはFQDN（Fully Qualified Domain Name）を記憶する悪性ウェブサイト情報記憶手段をさらに備え、
   前記第１の判定手段は、前記アクセス手段がアクセスしたウェブサイトのIPアドレスまたはFQDNが、前記悪性ウェブサイト情報記憶手段に記憶されているIPアドレスまたはFQDNと一致した場合に、前記アクセス手段がアクセスしたウェブサイトが悪性であると判定する
   ことを特徴とする請求項１に記載のウェブサイト評価装置。
5. ウイルスに感染していないことが判明している状態でホストにアクセスするときに使用されるポート番号を記憶するポート番号記憶手段をさらに備え、
   前記第１の判定手段は、前記アクセス手段がウェブサイトにアクセスした後、ネットワーク上のホストにアクセスしたときに使用されたポート番号が、前記ポート番号記憶手段によって記憶されているポート番号と一致しなかった場合に、前記アクセス手段がアクセスしたウェブサイトが悪性であると判定する
   ことを特徴とする請求項１に記載のウェブサイト評価装置。
6. 前記第１の判定手段および前記第２の判定手段によって悪性であると判定されたウェブサイトを、前記アクセス手段がアクセスした順序に基づいて互いに関連付ける処理を実行する処理手段をさらに備えたことを特徴とする請求項１〜請求項５のいずれかに記載のウェブサイト評価装置。
7. 前記処理手段はさらに、前記第１の判定手段および前記第２の判定手段によって悪性であると判定されたウェブサイトを、前記アクセス手段が受信したデータに基づくアクセスの種類と関連付ける処理を実行することを特徴とする請求項６に記載のウェブサイト評価装置。
8. ネットワークを介してウェブサイトにアクセスし、当該ウェブサイトからデータを受信するアクセス手段と、
   前記アクセス手段が受信したデータと関連付けられているウェブサイトに前記アクセス手段をアクセスさせる制御手段と、
   前記アクセス手段がアクセスしたウェブサイトを記憶するウェブサイト記憶手段と、
   前記アクセス手段がアクセスしたウェブサイトが悪性であるか否かを判定する第１の判定手段と、
   前記第１の判定手段によってウェブサイトが悪性であると判定された場合に、前記ウェブサイト記憶手段に記憶されている、当該ウェブサイトにアクセスするまでに経由したウェブサイトが悪性であると判定する第２の判定手段と、
   としてコンピュータを機能させるためのプログラム。

Images