JP2011086192A - 転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラム - Google Patents

Abstract

【課題】攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させること。
【解決手段】パス管理リスト記憶部１２は、囮サーバが搭載するファイルのプログラム配置パスのリストを記憶し、ＵＲＬ変換テーブル記憶部１３は、変換前パスと変換後パスとを対応付けたＵＲＬ変換テーブルを記憶する。宛先ＵＲＬ抽出部１１ａは、囮サーバ宛の宛先ＵＲＬを抽出し、宛先ＵＲＬ変換部１１ｂは、パス管理リストに宛先ＵＲＬのパス名が記憶されておらず、ＵＲＬ変換規則記録部１４に規則１が設定されている場合、宛先ＵＲＬのファイル名を含むパス管理リストのエントリにより変換した変換後宛先ＵＲＬを転送先特定部１１ｃに通知する。一方、宛先ＵＲＬ変換部１１ｂは、規則２が設定されている場合、ＵＲＬ変換テーブルにより変換した変換後宛先ＵＲＬを転送先特定部１１ｃに通知する。
【選択図】図３

Description

この発明は、転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラムに関する。

近年、インターネットの普及に伴い、個人情報の管理やアプリケーションの配信を実施するサーバに対するサイバー攻撃が急増している。サイバー攻撃の代表例としては、マルウェア（攻撃者が正規ユーザのサーバや端末に不正アクセスするために用いる攻撃ツールプログラム）を利用したＤＤｏＳ（Distributed Denial of Services）攻撃やスパム送信、情報盗難などが挙げられる。これらの攻撃の多くは、既存のサーバを乗っ取り、乗っ取ったサーバを踏み台として他のサーバを攻撃する形で実施される。

従来、これらの脅威に対処することを目的として、ファイアウォール機能と転送データ監視機能とをルータなどのパケット転送装置に実装してサーバ監視機能を構築し、サーバ監視機能をサーバの前段に配置することで、送受信されるデータの内容やパケットヘッダの内容に応じて通信を制御するアクセス制御技術が用いられている。アクセス制御技術では、サーバ監視機能を開発したセキュリティベンダが、既知のソフトウェアの脆弱性やマルウェアを解析することで、攻撃者がサーバに対して取りうる送信メッセージのパターンをシグネチャ化し、シグネチャにマッチする送信メッセージをサーバ監視機能でフィルタする。これにより、攻撃者の不正アクセスからサーバを防御する。

しかし、かかるサーバ監視機能では、シグネチャにマッチしない通信についてはネットワークの通過を許容するため、この通過可能な通信サービスを悪用した不正アクセスを完全に阻止することは困難である。このため、例えば、セキュリティベンダにとって未知となるソフトウェア（アプリケーションに代表されるソフトウェア）の脆弱性や、セキュリティベンダが解析していないソフトウェアの脆弱性に基づいた攻撃には対応することができなかった。

かかる問題を解決するために、脆弱性があるソフトウェアを故意に搭載した囮サーバをサーバ監視機能配下に配置し、サーバ監視機能で囮サーバへのアクセスを監視する仕組みが検討されている（例えば、非特許文献１参照）。具体的には、攻撃者がアプリケーション提供サーバなどに不正アクセスする際に利用するマルウェアを代表としたプログラムを囮サーバがダウンロードする際の挙動を捉え、例えば、ダウンロード要求先をマルウェアダウンロード用のサイトと特定する方式などが検討されている。

この方式により取得したマルウェアダウンロードサイトをブラックリストとして、顧客サーバまたは顧客サーバとネットワークの境界に配置されたファイアフォール機能やセキュリティアプライアンスなどに入力することで、顧客サーバがマルウェアに感染する事態を回避する。

八木毅、谷本直人、浜田雅樹、伊藤光恭「プロバイダによるWebサイトへのマルウェア配布防御方式」信学技報IN2009-34

しかし、上記した従来の技術では、攻撃者が予想したサーバのディレクトリ構成と、囮サーバのディレクトリ構成とが異なった際に、攻撃者が指定する宛先ＵＲＬ（Uniform Resource Locator）と、ぜい弱なプログラムが配置された囮サーバのパスが一致せず、攻撃が失敗し、マルウェアダウンロードサイトなどの攻撃情報が収集できない場合がある。

失敗する攻撃の中にも、マルウェアダウンロードサイトの情報やマルウェアの情報およびぜい弱なプログラムの情報が記載されているため、失敗する攻撃に関しては、機械的な分析が困難になる。従来では、このような攻撃は、攻撃者が事前に攻撃対象のサーバのディレクトリ構造を調査していたため、失敗する可能性が低かった。しかし、近年では、このような攻撃はツールにより自動化され、攻撃者が予め指定した多数の宛先ＵＲＬに対して機械的に実施されているため、失敗する攻撃が多い。

すなわち、上記した従来の技術では、多数の攻撃を収集したとしても、攻撃防御のために抽出可能な攻撃情報量が減少し、その結果、セキュリティアプライアンスなどでの攻撃検知精度が低下するという課題があった。

なお、攻撃情報を収集する対象となるサーバが囮サーバでない場合であっても、アクセスした者が予想したサーバのディレクトリ構成と、アクセスされたサーバのディレクトリ構成とが異なった際に、アクセスが失敗するので、アクセスした者が目標としているプログラムにアクセスできず上記と同様の課題が発生していた。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることが可能となる転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本願の開示する方法は、一つの態様において、ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置に適用される転送制御方法であって、転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を前記転送制御装置の第一の記憶部に格納する格納ステップと、前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定ステップと、前記判定ステップによる前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御ステップと、を含んだことを要件とする。

また、本願の開示する装置は、一つの態様において、ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置であって、転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を記憶する配置位置情報記憶手段と、前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手段と、前記判定手段による前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手段と、を備えたことを要件とする。

また、本願の開示するシステムは、一つの態様において、ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置を含む転送制御システムであって、前記転送制御装置は、転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を記憶する配置位置情報記憶手段と、前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手段と、前記判定手段による前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手段と、を備えたことを要件とする。

また、本願の開示するプログラムは、一つの態様において、ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置としてのコンピュータに実行させる転送制御プログラムであって、転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を前記転送制御装置の第一の記憶部に格納する格納手順と、前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手順と、前記判定手順による前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手順と、をコンピュータに実行させることを要件とする。

本願の開示する方法、装置、システムおよびプログラムの一つの態様によれば、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることが可能となる。

図１は、実施例１における転送制御システムの一例を示す全体構成図である。 図２は、宛先ＵＲＬを説明するための図である。 図３は、実施例１における転送制御装置の構成を説明するためのブロック図である。 図４は、パス管理リストの一例を説明するための図である。 図５は、ＵＲＬ変換テーブルの一例を説明するための図である。 図６は、実施例１におけるＵＲＬ変換規則記録部を説明するための図である。 図７は、宛先ＵＲＬ抽出部を説明するための図である。 図８は、実施例１における宛先ＵＲＬ変換部を説明するための図（１）である。 図９は、実施例１における宛先ＵＲＬ変換部を説明するための図（２）である。 図１０は、実施例１における宛先ＵＲＬ変換部を説明するための図（３）である。 図１１は、実施例１における宛先ＵＲＬ変換部を説明するための図（４）である。 図１２は、実施例１における転送制御装置の規則１設定時の処理を説明するためのフローチャートである。 図１３は、実施例１における転送制御装置の規則２設定時の処理を説明するためのフローチャートである。 図１４は、実施例２におけるＵＲＬ変換規則記録部を説明するための図である。 図１５は、実施例２において宛先ＵＲＬ抽出部が抽出した宛先ＵＲＬを説明するための図である。 図１６は、実施例２における宛先ＵＲＬ変換部を説明するための図（１）である。 図１７は、実施例２における宛先ＵＲＬ変換部を説明するための図（２）である。 図１８は、実施例２における宛先ＵＲＬ変換部を説明するための図（３）である。 図１９は、実施例２における宛先ＵＲＬ変換部を説明するための図（４）である。 図２０は、実施例２における宛先ＵＲＬ変換部を説明するための図（５）である。 図２１は、実施例２における転送制御装置の規則３設定時の処理を説明するためのフローチャートである。 図２２は、実施例２における転送制御装置の規則４設定時の処理を説明するためのフローチャートである。

以下に、本願の開示する転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラムの実施例を詳細に説明する。なお、以下では、本願の開示する転送制御方法を実行する転送制御装置がネットワークに配置された転送制御システムを実施例として説明するが、以下の実施例により本発明が限定されるものではない。

まず、図１を用いて、実施例１における転送制御システムの全体構成について説明する。図１は、実施例１における転送制御システムの一例を示す全体構成図である。

図１の一例に示すように、実施例１における転送制御システムは、ネットワーク１にて構築される。ネットワーク１は、ネットワーク２、ネットワーク３およびネットワーク４を収容するネットワークである。ここで、ネットワーク１は、インターネットのような広域ネットワークである場合であってもよいし、企業ネットワークのような比較的狭い狭域ネットワークである場合であってもよい。

ネットワーク３は、ユーザ端末７を収容し、ネットワーク４は、ユーザ端末８を収容している。なお、図１では、ネットワーク３およびネットワーク４に収容されるユーザ端末をそれぞれ１台のみ示しているが、実際には、ネットワーク３およびネットワーク４それぞれは、複数のユーザ端末を収容している。ここで、図１に示すユーザ端末７およびユーザ端末８は、宛先統一資源位置指定子（ＵＲＬ：Uniform Resource Locator）を保有するハイパーテキスト転送プロトコル（ＨＴＴＰ：Hypertext Transfer Protocol）データを送受信することが可能な装置である。

ネットワーク２は、脆弱性があるソフトウェアを故意に搭載した囮サーバを収容し、図１に示す一例では、囮サーバ５および囮サーバ６を２台収容している。なお、本実施例は、ネットワーク２に、囮サーバとともにユーザ端末が収容される場合であっても適用可能である。

そして、ネットワーク２のトポロジは、ネットワーク３およびネットワーク４から囮サーバ５および囮サーバ６へのアクセスが、図１に示す転送制御装置１０を経由するように構成されている。すなわち、転送制御装置１０は、ネットワーク３およびネットワーク４それぞれに設置させているルータやスイッチ、ゲートウェイ装置などのデータ中継装置（図示せず）と接続されており、ネットワーク２のゲートウェイとして配置されている。なお、図１には示さないが、囮サーバ５および囮サーバ６には、攻撃者が行なった攻撃に関する情報を収集する攻撃収集装置が接続されている。さらに、攻撃収集装置には、攻撃収集装置が収集した攻撃情報を分析する攻撃分析装置が接続されている。そして、攻撃分析装置には、攻撃分析装置の分析結果から特定された攻撃者のユーザ端末との通信を遮断するための攻撃防御装置が接続されている。なお、図１に示す構成例では、ネットワーク２において、囮サーバ５、囮サーバ６および転送制御装置１０が、それぞれ異なる装置として配置されている場合について説明している。しかし、本実施例は、ネットワーク２を仮想ネットワークとし、囮サーバ５、囮サーバ６および転送制御装置１０が仮想装置として、１台の物理サーバ内に配されている場合であっても適用可能である。

ここで、図１に示すように、囮サーバ５には、「ホスト名： host#1」が割り当てられており、囮サーバ６には、「ホスト名： host#2」が割り当てられているとする。以下、囮サーバ５をアクセス先とするＨＴＴＰデータが保有する宛先ＵＲＬの一例について、図２を用いて説明する。図２は、宛先ＵＲＬを説明するための図である。

例えば、ユーザ端末７が囮サーバ５にＨＴＴＰデータを転送する場合、宛先ＵＲＬには、図２に示すように、「アクセス手段識別子：http」が記載され、続いて「ホスト名：host#1」が記載される。そして、ユーザ端末７が「ホスト名： host#1」の「d-A/d-B/d-C」というパスに配置された「ファイル：file-a」にアクセスする場合、宛先ＵＲＬには、図２に示すように、「ファイル名：file-a」を末尾とする「パス名：/d-A/d-B/d-C/file-a」が配置位置情報として指定される。すなわち、宛先ＵＲＬは、図２に示すように、「http://host#1/d-A/d-B/d-C/file-a」となる。

しかし、攻撃者が囮サーバ５上に存在しないディレクトリを宛先ＵＲＬに指定した場合、通常、囮サーバ５からユーザ端末７に「404エラーメッセージ：not found」が返信される。すなわち、ユーザ端末７のユーザが攻撃者であり、ぜい弱なプログラムが配置されていると攻撃者が考えているユーザ端末のディレクトリ構造が、囮サーバのディレクトリ構造と一致しない場合、攻撃者からの攻撃は失敗することとなり、マルウェアダウンロードサイトなどの攻撃情報が収集できない。

そこで、実施例１では、ネットワーク２のゲートウェイとして転送制御装置１０を配置することで、攻撃防御のために抽出可能な攻撃情報量を増加させ、攻撃検知精度を向上させることを可能とする。すなわち、転送制御装置１０は、ぜい弱なプログラムが配置されていると攻撃者が考えているユーザ端末のディレクトリ構造が、囮サーバのディレクトリ構造と一致しない場合でも、ぜい弱なプログラムが配置されたディレクトリ宛てとなるようＨＴＴＰデータの宛先ＵＲＬを変換して転送する機能を有する。

以下、実施例１における転送制御装置１０について、図３などを用いて説明する。なお、図３は、実施例１における転送制御装置の構成を説明するためのブロック図である。

図３に示すように、実施例１における転送制御装置１０は、パケット転送部１１と、パス管理リスト記憶部１２と、ＵＲＬ変換テーブル記憶部１３と、ＵＲＬ変換規則記録部１４とを有する。

パス管理リスト記憶部１２は、転送制御装置１０が有する第一の記憶部であり、転送制御の対象となる囮サーバ５および囮サーバ６それぞれのディレクトリ構造をパス管理リストとして記憶する。具体的には、パス管理リスト記憶部１２は、囮サーバ５および囮サーバ６それぞれに搭載されているプログラムファイルの配置位置情報（パス名）をプログラム配置パスとして記憶する。図４は、パス管理リストの一例を説明するための図である。例えば、パス管理リスト記憶部１２は、図４に示すように、「ホスト名：host#1」である囮サーバ５のディレクトリ構造のリストと、「ホスト名：host#2」である囮サーバ６のディレクトリ構造のリストとをそれぞれ記憶する。例えば、図４に示す一例では、「ホスト名：host#1」である囮サーバ５には、「ファイル：file-a」が「d-A/d-B/d-C」というパスに配置されていることを示す「プログラム配置パス：/d-A/d-B/d-C/file-a」などが記憶されている。

ここで、パス管理リスト記憶部１２は、転送制御装置１０の操作者が転送制御システムの運用開始時に設定したパス管理リストを記憶する。ただし、パス管理リスト記憶部１２が記憶するパス管理リストは、サーバ内のディレクトリ構造を抽出するツールを用いて自動的に生成することも可能である。さらに、かかる抽出ツールを用いてディレクトリ構造を定期的に抽出してディレクトリ構造の更新を検知し、リストを自動的に更新することも可能である。

図３に戻って、ＵＲＬ変換テーブル記憶部１３は、転送制御装置１０が有する第二の記憶部であり、囮サーバを宛先とする攻撃用の宛先ＵＲＬに記載されると想定されるプログラム配置パスを変換前パスとし、当該変換前パスと、当該変換前パスを囮サーバにおけるプログラム配置パスに変換するための変換後パスとを対応付けたＵＲＬ変換テーブルを記憶する。図５は、ＵＲＬ変換テーブルの一例を説明するための図である。例えば、ＵＲＬ変換テーブル記憶部１３は、図５に示すように、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルと、「ホスト名：host#2」である囮サーバ６のＵＲＬ変換テーブルとをそれぞれ記憶する。例えば、図５に示す一例では、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルには、「変換前パス：/d-X/d-Y/d-C/file-a」に対する「変換後パス」として「/d-A/d-B/d-C/file-a」が記憶されている。

ここで、ＵＲＬ変換テーブル記憶部１３は、転送制御装置１０の操作者が転送制御システムの運用開始時に設定したテーブルを記憶する。具体的には、転送制御装置１０の操作者は、囮サーバごとに、当該囮サーバに搭載されている複数の脆弱なプログラムファイルが攻撃される場合に攻撃者が設定すると想定されるプログラム配置パスを変換前パスとして設定する。そして、転送制御装置１０の操作者は、変換前パスに対応する変換後パスを、囮サーバに搭載されているプログラムファイルのプログラム配置パスから設定する。

なお、複数の囮サーバごとに記憶されるパス管理リストおよびＵＲＬ変換テーブルは、上述したように、囮サーバのホスト名を用いて管理される場合であってもよいし、囮サーバのＩＰ（Internet Protocol）アドレスを用いて管理される場合であってもよい。

図３に戻って、ＵＲＬ変換規則記録部１４は、後述する宛先ＵＲＬ変換部１１ｂが実行する判定処理および宛先ＵＲＬ変換処理の変換規則を、転送制御装置１０の操作者から受け付けて記録する。図６は、実施例１におけるＵＲＬ変換規則記録部を説明するための図である。

例えば、図６に示す一例では、実施例１におけるＵＲＬ変換規則記録部１４には、規則１および規則２の変換規則に対して、フラグを設定するためのカラムが設けられており、転送制御装置１０の操作者が規則１により宛先ＵＲＬ変換部１１ｂの処理を実行させると設定した場合には、規則１のフラグにチェックが設定される。また、転送制御装置１０の操作者が規則２により宛先ＵＲＬ変換部１１ｂの処理を実行させると設定した場合には、規則２のフラグにチェックが設定される。なお、規則１および規則２については、後に詳述する。

図３に戻って、パケット転送部１１は、ネットワーク３およびネットワーク４から受信したパケットの転送制御を、パス管理リスト記憶部１２および／またはＵＲＬ変換テーブル記憶部１３に記憶されている各情報を参照して行なう処理部であり、宛先ＵＲＬ抽出部１１ａと、宛先ＵＲＬ変換部１１ｂと、転送先特定部１１ｃとを有する。

宛先ＵＲＬ抽出部１１ａは、ネットワーク２に収容されている囮サーバ宛のパケットから、宛先ＵＲＬを抽出して、抽出した宛先ＵＲＬを宛先ＵＲＬ変換部１１ｂに通知する。図７は、宛先ＵＲＬ抽出部を説明するための図である。例えば、図７に示すように、ネットワーク３に収容されているユーザ端末７から、「http://host#1/d-X/d-Y/d-C/file-a」という宛先ＵＲＬを保有するＨＴＴＰデータを受信した場合、宛先ＵＲＬ抽出部１１ａは、宛先ＵＲＬを抽出して宛先ＵＲＬ変換部１１ｂに通知する。ここで、ユーザ端末７から受信した宛先ＵＲＬは、「ホスト名：host#1」が「プログラム配置パス：/ d-X/d-Y/d-C/file-a」に配置している「ファイル名：file-a」のプログラムファイルをアクセス先として指定している。

なお、以下では、ユーザ端末７から受信した宛先ＵＲＬのことを、「受信宛先ＵＲＬ」と記載する場合がある。

図３に戻って、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａから通知された宛先ＵＲＬを用いて、判定処理および宛先ＵＲＬ変換処理を実行する。以下、宛先ＵＲＬ変換部１１ｂが行なう処理について、図８〜図１１を用いて説明する。なお、図８〜図１１は、実施例１における宛先ＵＲＬ変換部を説明するための図である。

まず、宛先ＵＲＬ変換部１１ｂは、図８に示すように、受信宛先ＵＲＬから「ホスト名：host#1」を参照して、図４を用いて説明した囮サーバごとのパス管理リストのうち、「ホスト名：host#1」である囮サーバ５のパス管理リストを用いて判定処理を行なうと決定する。そして、宛先ＵＲＬ変換部１１ｂは、図８に示すように、受信宛先ＵＲＬに記載されている「パス名：/d-X/d-Y/d-C/file-ａ」を検索キーとして、当該検索キーと一致するプログラム配置パスが囮サーバ５のパス管理リストに記憶されているか否かを判定する（第一判定処理）。

ここで、仮に、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-Y/d-C/file-ａ」が記憶されている場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬを変換することなく、受信宛先ＵＲＬをそのまま後述する転送先特定部１１ｃに通知する（第一通知処理：変換なし）。

一方、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-Y/d-C/file-ａ」が記憶されてない場合、宛先ＵＲＬ変換部１１ｂは、ＵＲＬ変換規則記録部１４を参照して、フラグが設定されている規則が、規則１であるか規則２であるかを判定する。以下では、規則１が設定されている場合の処理について説明し、そののち、規則２が設定されている場合の処理について説明する。

規則１が設定されている状況においては、宛先ＵＲＬ変換部１１ｂは、図９に示すように、受信宛先ＵＲＬに記載されている「パス名：/d-X/d-Y/d-C/file-ａ」の末尾にある「ファイル名：file-a」を検索キーとして、当該検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されているか否かを判定する（規則１における第二判定処理）。

ここで、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに一つのみ記憶されている場合、受信宛先ＵＲＬの「パス名」を、囮サーバ５のパス管理リストにて一つのみ存在していたプログラム配置パスに変換して、変換後宛先ＵＲＬを後述する転送先特定部１１ｃに通知する（規則１における第二通知処理その一）。

また、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに複数記憶されている場合、当該複数のプログラム配置パスの中で、受信宛先ＵＲＬの「パス名」との一致度合いが、プログラム配置パスに記載されている階層構造を下位から上位に向かって探索した場合に最も高いプログラム配置パスを特定する。そして、宛先ＵＲＬ変換部１１ｂは、特定したプログラム配置パスに、受信宛先ＵＲＬの「パス名」を変換して、変換後宛先ＵＲＬを後述する転送先特定部１１ｃに通知する（規則１における第二通知処理その二）。

例えば、宛先ＵＲＬ変換部１１ｂは、図９に示すように、「ファイル名：file-a」を末尾とするプログラム配置パスが「/d-A/d-B/d-C/file-a」および「/d-A/d-B/d-D/file-a」の２つ存在していると判定する。そして、宛先ＵＲＬ変換部１１ｂは、図１０に示すように、「/d-A/d-B/d-C/file-a」および「/d-A/d-B/d-D/file-a」のうち、下位から上位に向かった探索方向では「プログラム配置パス：/d-X/d-Y/d-C/file-ａ」の「d-C/file-ａ」と一致するのは「/d-A/d-B/d-C/file-a」であると判定する。そして、宛先ＵＲＬ変換部１１ｂは、「/d-A/d-B/d-C/file-a」を変換用のプログラム配置パスとして特定する。そして、宛先ＵＲＬ変換部１１ｂは、図９に示すように、受信宛先ＵＲＬである「http://host#1/d-X/d-Y/d-C/file-a」を変換した「http://host#1/d-A/d-B/d-C/file-a」を変換後宛先ＵＲＬとして、後述する転送先特定部１１ｃに通知する。

一方、仮に、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま後述する転送先特定部１１ｃに通知する（規則１における第三通知処理：変換なし）。

以上が、規則１が設定されている状況における処理となる。続いて、規則２が設定されている状況における処理について説明する。規則２が設定されている状況において、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-Y/d-C/file-ａ」が記憶されてない場合、宛先ＵＲＬ変換部１１ｂは、図５を用いて説明した囮サーバごとのＵＲＬ変換テーブルのうち、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルを用いて判定処理を行なう。すなわち、宛先ＵＲＬ変換部１１ｂは、図１１の（Ａ）に示すように、受信宛先ＵＲＬに記載されている「パス名：/d-X/d-Y/d-C/file-ａ」を検索キーとして、当該検索キーと一致する変換前パスが囮サーバ５のＵＲＬ変換テーブルに記憶されているか否かを判定する（規則２における第二判定処理）。

図１１の（Ａ）に示す一例では、宛先ＵＲＬ変換部１１ｂは、検索キーである「/d-X/d-Y/d-C/file-ａ」と一致する「変換前パス：/d-X/d-Y/d-C/file-a」がエントリされており、当該変換前パスに「変換後パス：/d-A/d-B/d-C/file-a」が対応付けられていると判定する。

かかる場合、宛先ＵＲＬ変換部１１ｂは、図１１の（Ｂ）に示すように、受信宛先ＵＲＬの「プログラム配置パス：/ d-X/d-Y/d-C/file-ａ」を、「変換後パス：/d-A/d-B/d-C/file-a」に変換した「http://host#1//d-A/d-B/d-C/file-a」を変換後宛先ＵＲＬとして、後述する転送先特定部１１ｃに通知する（規則２における第二通知処理）。

なお、本実施例では、規則２の第二判定処理において、受信宛先ＵＲＬの「プログラム配置パス：/ d-X/d-Y/d-C/file-ａ」と１００％一致する変換前パスがエントリされている場合に、規則２における第二通知処理が行なわれる場合について説明した。しかし、宛先ＵＲＬ変換部１１ｂは、規則２の第二判定処理においても、受信宛先ＵＲＬの「プログラム配置パス：/ d-X/d-Y/d-C/file-ａ」を検索キーとして、下位から上位に向かう探索方向にてＵＲＬ変換テーブルを探索して、一致度が最も高い変換前パスを特定し、特定した変換前パスに対応付けられた変換後パスを変換後宛先ＵＲＬに用いてもよい。

例えば、図５に示すＵＲＬ変換テーブルでは、受信宛先ＵＲＬの「パス名：/d-X/d-Y/d-C/file-ａ」の「file-ａ」を検索キーとすると、「/d-X/d-Y/d-C/file-ａ」、「/d-Z/d-C/file-ａ」および「d-W/d-X/d-Y/d-C/file-a」が特定対象エントリとなる。そして、受信宛先ＵＲＬの「プログラム配置パス：/ d-X/d-Y/d-C/file-ａ」の「/d-Y/d-C/file-ａ」を検索キーとすると、「/d-Z/d-C/file-ａ」が対象外となり、「/d-X/d-Y/d-C/file-ａ」および「d-W/d-X/d-Y/d-C/file-a」が特定対象エントリとして残る。そして、受信宛先ＵＲＬの「パス名：/d-X/d-Y/d-C/file-ａ」の「/d-X/d-Y/d-C/file-ａ」を検索キーとすると、「d-W/d-X/d-Y/d-C/file-a」が対象外となり、「/d-X/d-Y/d-C/file-ａ」が特定対象エントリとして残ることとなる。ここで、宛先ＵＲＬ変換部１１ｂは、「変換前パス：/d-X/d-Y/d-Z/file-a」がエントリされていない場合、「変換前パス：d-W/d-X/d-Y/d-C/file-a」に対応付けられている変換後パスを変換後宛先ＵＲＬに用いる。

一方、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルにおいて、「パス名：/d-X/d-Y/d-C/file-ａ」と一致する変換前パスが記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま後述する転送先特定部１１ｃに通知する（規則２における第三通知処理：変換なし）。

図３に戻って、転送先特定部１１ｃは、宛先ＵＲＬ変換部１１ｂから通知された宛先ＵＲＬ（受信宛先ＵＲＬまたは変換後宛先ＵＲＬ）から出力先を特定し、ＨＴＴＰデータパケットを転送する。例えば、転送先特定部１１ｃは、宛先ＵＲＬを用いてＤＮＳ（Domain Name System）サーバ（図示せず）にＩＰ（Internet Protocol）を問い合わせて宛先ＩＰアドレスを特定し、宛先ＩＰアドレスに対応する出力先インタフェースにＨＴＴＰデータパケットを転送する。なお、転送先特定部１１ｃは、ＩＰアドレスと出力先インタフェースとを対応付けたテーブルを参照して宛先ＩＰアドレスに対応付けられた出力先インタフェースを特定する。また、転送先特定部１１ｃは、宛先ＵＲＬと出力先インタフェースとを対応付けたテーブルを参照して宛先ＵＲＬに対応付けられた出力先インタフェースを特定する場合であってもよい。

すなわち、第一通知処理（変換なし）の場合、ＨＴＴＰデータは、囮サーバ５に到達する。また、規則１または規則２における第三通知処理（変換なし）の場合、ＨＴＴＰデータは、囮サーバ５に到達せず、攻撃者の攻撃は失敗することとなる。一方、規則１における第二通知処理（その一およびその二）、または、規則２における第二通知処理により、通常、囮サーバ５に到達しなかったＨＴＴＰデータは、囮サーバ５に到達できる。これにより、囮サーバ５に接続される攻撃収集装置は、攻撃情報を収集し、攻撃分析装置は、攻撃収集装置が収集した攻撃情報を分析し、攻撃防御装置は、攻撃分析装置の分析結果から特定された攻撃者のユーザ端末７との通信を遮断するための防御処理を実行することができる。

続いて、図１２および図１３を用いて実施例１における転送制御装置１０の処理の手順について説明する。図１２は、実施例１における転送制御装置の規則１設定時の処理を説明するためのフローチャートであり、図１３は、実施例１における転送制御装置の規則２設定時の処理を説明するためのフローチャートである。

図１２に示すように、実施例１における転送制御装置１０は、規則１が設定されている状態で、外部ネットワークから、自装置が転送制御する対象となる囮サーバ宛の宛先ＵＲＬを保有するＨＴＴＰデータを受信すると（ステップＳ１０１肯定）、宛先ＵＲＬ抽出部１１ａは、受信したＨＴＴＰデータが保有する宛先ＵＲＬを抽出する（ステップＳ１０２）。

そして、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬに記載されているホスト名およびパス名を特定し（ステップＳ１０３）、特定したホスト名のパス管理リストに、特定したパス名が存在するか否かを判定する（ステップＳ１０４、第一判定処理）。

ここで、特定したホスト名のパス管理リストに、特定したパス名が存在する場合（ステップＳ１０４肯定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ１０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ１１２、変換なしの第一通知処理）。そして、転送先特定部１１ｃは、ステップＳ１０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ１１３）、処理を終了する。

一方、特定したホスト名のパス管理リストに、特定したパス名が存在しない場合（ステップＳ１０４否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在するか否かを判定する（ステップＳ１０５、規則１における第二判定処理）。

ここで、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在しない場合（ステップＳ１０５否定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ１０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ１１２、規則１における変換なしの第三通知処理）。そして、転送先特定部１１ｃは、ステップＳ１０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ１１３）、処理を終了する。

一方、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在する場合（ステップＳ１０５肯定）、該当するエントリが複数であるか否かを判定する（ステップＳ１０６）。

ここで、エントリが単一である場合（ステップＳ１０６否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のパス管理リストに単一で存在するプログラム配置パスにステップＳ１０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ１０７）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ１１０、規則１における変換ありの第二通知処理その一）。

ここで、エントリが複数である場合（ステップＳ１０６肯定）、宛先ＵＲＬ変換部１１ｂは、下位階層からのマッチングにより、複数のエントリの中から、変換後のプログラム配置パスを決定し（ステップＳ１０８）、決定したプログラム配置パスにステップＳ１０２で抽出した宛先ＵＲＬのパス名を変換する（ステップＳ１０９）。そして、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知し（ステップＳ１１０、規則１における変換ありの第二通知処理その二）、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ１１１）、処理を終了する。

これに対して、図１３に示すように、実施例１における転送制御装置１０は、規則２が設定されている状態で、外部ネットワークから、自装置が転送制御する対象となる囮サーバ宛の宛先ＵＲＬを保有するＨＴＴＰデータを受信すると（ステップＳ２０１肯定）、宛先ＵＲＬ抽出部１１ａは、受信したＨＴＴＰデータが保有する宛先ＵＲＬを抽出する（ステップＳ２０２）。

そして、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬに記載されているホスト名およびパス名（プログラム配置パス）を特定し（ステップＳ２０３）、特定したホスト名のパス管理リストに、特定したパス名が存在するか否かを判定する（ステップＳ２０４、第一判定処理）。

ここで、特定したホスト名のパス管理リストに、特定したパス名が存在する場合（ステップＳ２０４肯定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ２０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ２０９、変換なしの第一通知処理）。そして、転送先特定部１１ｃは、ステップＳ２０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ２１０）、処理を終了する。

一方、特定したホスト名のパス管理リストに、特定したパス名が存在しない場合（ステップＳ２０４否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在するか否かを判定する（ステップＳ２０５、規則２における第二判定処理）。例えば、宛先ＵＲＬ変換部１１ｂは、特定したパス名と完全一致する変換前パスがエントリされているか否かを判定する。

ここで、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在しない場合（ステップＳ２０５否定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ２０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ２０９、規則２における変換なしの第三通知処理）。そして、転送先特定部１１ｃは、ステップＳ２０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ２１０）、処理を終了する。

一方、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在する場合（ステップＳ２０５肯定）、特定したエントリにて変換前パスに対応付けられている変換後パスにステップＳ２０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ２０６）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ２０７、規則２における変換ありの第二通知処理）。

そして、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ２０８）、処理を終了する。

上述してきたように、実施例１によれば、パス管理リスト記憶部１２は、転送制御の対象となる囮サーバ５および囮サーバ６それぞれに搭載されているプログラムファイルのパス名（プログラム配置パス）を記憶する。ＵＲＬ変換テーブル記憶部１３は、囮サーバを宛先とする攻撃用の宛先ＵＲＬに記載されると想定されるプログラム配置パスを変換前パスとし、当該変換前パスと、当該変換前パスを囮サーバにおけるプログラム配置パスに変換するための変換後パスとを対応付けたＵＲＬ変換テーブルを記憶する。ＵＲＬ変換規則記録部１４は、宛先ＵＲＬ変換部１１ｂが実行する判定処理および宛先ＵＲＬ変換処理の変換規則を、転送制御装置１０の操作者から受け付けて記録する。

そして、宛先ＵＲＬ抽出部１１ａは、囮サーバ宛のパケットから、宛先ＵＲＬを抽出して、抽出した宛先ＵＲＬ（受信宛先ＵＲＬ）を宛先ＵＲＬ変換部１１ｂに通知する。宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬに記載されているホスト名のパス管理リストに、受信宛先ＵＲＬに記載されているパス名が記憶されているか否かを判定する（第一判定処理）。パス管理リストにパス名が記憶されている場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬを変換することなく、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する（第一通知処理：変換なし）。

一方、パス管理リストにパス名が記憶されてない場合、宛先ＵＲＬ変換部１１ｂは、ＵＲＬ変換規則記録部１４を参照して、規則１が設定されている状況においては、受信宛先ＵＲＬに記載されているファイル名を検索キーとして、当該検索キーと一致するファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されているか否かを判定する（規則１における第二判定処理）。宛先ＵＲＬ変換部１１ｂは、検索キーと一致するファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに一つのみ記憶されている場合、受信宛先ＵＲＬの「パス名」を、パス管理リストにて一つのみ存在していたプログラム配置パスに変換して、変換後宛先ＵＲＬを転送先特定部１１ｃに通知する（規則１における第二通知処理その一）。

また、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに複数記憶されている場合、当該複数のプログラム配置パスの中で、受信宛先ＵＲＬのパス名との一致度合いが、プログラム配置パスに記載されている階層構造を下位から上位に向かって探索した場合に最も高いプログラム配置パスを特定する。そして、宛先ＵＲＬ変換部１１ｂは、特定したプログラム配置パスに、受信宛先ＵＲＬの「パス名」を変換して、変換後宛先ＵＲＬを転送先特定部１１ｃに通知する（規則１における第二通知処理その二）。一方、検索キーと一致するファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する（規則１における第三通知処理：変換なし）。

したがって、実施例１によれば、従来、攻撃者が指定する宛先ＵＲＬに誤記があった際、囮サーバはマルウェアをダウンロードすることができず、その結果、収集できる攻撃情報に限界があったが、「規則１における第二通知処理その一、または規則１における第二通知処理その二」により、宛先ＵＲＬのパス名を脆弱なプログラムファイルが配置されているパス名に変換することで攻撃を適切な範囲で故意に成功させることができる。その結果、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることが可能となる。

また、実施例１によれば、規則２が設定されている状況において、パス管理リストにプログラム配置パスが記憶されてない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬに記載されているパス名を検索キーとして、当該検索キーと一致する変換前パスが囮サーバ５のＵＲＬ変換テーブルに記憶されているか否かを判定する（規則２における第二判定処理）。

検索キーと一致する変換前パスが囮サーバ５のＵＲＬ変換テーブルに記憶されている場合、宛先ＵＲＬ変換部１１ｂは受信宛先ＵＲＬのプログラム配置パスを、変換前パスに対応付けられている変換後パスに変換した変換後宛先ＵＲＬを転送先特定部１１ｃに通知する（規則２における第二通知処理）。一方、検索キーと一致する変換前パスが囮サーバ５のＵＲＬ変換テーブルに記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する（規則２における第三通知処理：変換なし）。

したがって、実施例１によれば、規則２が設定されている場合でも、「規則２における第二通知処理」により、宛先ＵＲＬのパス名を脆弱なプログラムファイルが配置されているパス名に変換することで攻撃を成功させることができる。その結果、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることが可能となる。

また、実施例１によれば、囮サーバごとにパス管理リストとＵＲＬ変換テーブルを記憶するので、宛先ＵＲＬにて指定されている囮サーバのパス管理リストとＵＲＬ変換テーブルとを容易に特定することができ、判定処理および通知処理を迅速に行なうことが可能となる。

実施例２では、実施例１にて説明した規則１および規則２を併用して行なう場合について、図１４〜図２０を用いて説明する。なお、図１４は、実施例２におけるＵＲＬ変換規則記録部を説明するための図であり、図１５は、実施例２において宛先ＵＲＬ抽出部が抽出した宛先ＵＲＬを説明するための図であり、図１６〜図２０は、実施例２における宛先ＵＲＬ変換部を説明するための図である。

実施例２における転送制御装置１０は、図３を用いて実施例１にて説明した転送制御装置１０と同様の構成となるが、ＵＲＬ変換規則記録部１４にて設定される変換規則の内容と、宛先ＵＲＬ変換部１１ｂが実行する処理の内容とが実施例１と異なる。以下、これらを中心にして説明する。

実施例２におけるＵＲＬ変換規則記録部１４は、図１４に示すように、規則１および規則２に加え、規則３および規則４が変換規則として追加されたテーブルとなっている。そして、実施例２におけるＵＲＬ変換規則記録部１４でも、フラグを設定するためのカラムが設けられており、転送制御装置１０の操作者が規則３により宛先ＵＲＬ変換部１１ｂの処理を実行させると設定した場合には、規則３のフラグにチェックが設定される。また、転送制御装置１０の操作者が規則４により宛先ＵＲＬ変換部１１ｂの処理を実行させると設定した場合には、規則４のフラグにチェックが設定される。

まず、規則３または規則４が設定されている場合、実施例２においても、実施例１で説明した第一判定処理が行なわれる。

例えば、図１５に示すように、ネットワーク３に収容されているユーザ端末７から、「http://host#1/d-X/d-B/d-C/file-b」という宛先ＵＲＬを保有するＨＴＴＰデータを受信した場合、宛先ＵＲＬ抽出部１１ａは、宛先ＵＲＬを抽出して宛先ＵＲＬ変換部１１ｂに通知する。ここで、ユーザ端末７から受信した宛先ＵＲＬは、「ホスト名：host#1」が「プログラム配置パス：/d-X/d-B/d-C/file-b」に配置している「ファイル名：file-b」のプログラムファイルをアクセス先として指定している。

宛先ＵＲＬ変換部１１ｂは、図１６に示すように、受信宛先ＵＲＬから「ホスト名：host#1」を参照して、図４を用いて説明した囮サーバごとのパス管理リストのうち、「ホスト名：host#1」である囮サーバ５のパス管理リストを用いて第一判定処理を行なうと決定する。そして、宛先ＵＲＬ変換部１１ｂは、図１６に示すように、受信宛先ＵＲＬに記載されている「パス名：/d-X/d-B/d-C /file-b」を検索キーとして、当該検索キーと一致するプログラム配置パスが囮サーバ５のパス管理リストに記憶されているか否かを判定する。

ここで、仮に、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-B/d-C /file-b」が記憶されている場合、実施例１と同様に、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬを変換することなく、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する（第一通知処理：変換なし）。

一方、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-B/d-C /file-b」が記憶されてない場合、宛先ＵＲＬ変換部１１ｂは、ＵＲＬ変換規則記録部１４を参照して、フラグが設定されている規則が規則１〜４のいずれに設定されているかを判定する。なお、規則１または規則２が設定されている場合は、実施例１で説明した処理が実行される。

以下、規則３が設定されている場合の処理について説明し、そののち、規則４が設定されている場合の処理について説明する。

規則３が設定されている場合、実施例２における宛先ＵＲＬ変換部１１ｂは、第一判定処理の判定結果が否定である際に、規則２における第二判定処理および規則２における第二通知処理を行ない、規則２における第二判定処理の判定結果が否定である際に、さらに規則１における第二判定処理を行なう。

例えば、宛先ＵＲＬ変換部１１ｂは、規則３が設定されている状況において、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-B/d-C /file-b」が記憶されてない場合、規則２における第二判定処理を行なう。すなわち、宛先ＵＲＬ変換部１１ｂは、図１７に示すように、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルに、検索キーである「パス名：/d-X/d-B/d-C /file-b」と一致する変換前パスがエントリされているか否かを判定する。

宛先ＵＲＬ変換部１１ｂは、「/d-X/d-B/d-C /file-b」と一致する変換前パスがエントリされているならば、当該変換前パスに対応付けられている変換後パスを特定する。そして、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬのプログラム配置パスを、特定した変換後パスに変換した宛先ＵＲＬを変換後宛先ＵＲＬとして、転送先特定部１１ｃに通知する（規則２における第二通知処理：変換あり）。なお、実施例２においても、規則２における第二通知処理は、下位の階層からのマッチングにより検索キーと最も一致する変換前パスを特定し、特定した変換前パスに対応付けられた変換後パスを変換後宛先ＵＲＬに用いてもよい。

一方、図１７に示すように、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルにおいて、「パス名：/d-X/d-B/d-C /file-b」と一致する変換前パスが記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬを転送先特定部１１ｃに通知するのではなく、「規則１における第二判定処理」を行なう。

すなわち、宛先ＵＲＬ変換部１１ｂは、図１８に示すように、受信宛先ＵＲＬに記載されている「パス名：/d-X/d-B/d-C /file-b」の末尾にある「ファイル名：file-b」を検索キーとして、当該検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５（ホスト名：host#1）のパス管理リストに記憶されているか否かを判定する。

ここで、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに一つのみ記憶されている場合、「規則１における第二変換処理その一」として、受信宛先ＵＲＬの「プログラム配置パス」を囮サーバ５のパス管理リストにて一つのみ存在していたプログラム配置パスに変換して、変換後宛先ＵＲＬを転送先特定部１１ｃに通知する（規則１における第二通知処理その一：変換あり）。

また、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに複数記憶されている場合、当該複数のプログラム配置パスの中で、受信宛先ＵＲＬの「パス名」との一致度合いが、プログラム配置パスに記載されている階層構造を下位から上位に向かって探索した場合に最も高いプログラム配置パスを特定する。そして、宛先ＵＲＬ変換部１１ｂは、「規則１における第二変換処理その二」として、特定したプログラム配置パスに、受信宛先ＵＲＬの「プログラム配置パス」を変換して、変換後宛先ＵＲＬを転送先特定部１１ｃに通知する（規則１における第二通知処理その二：変換あり）。

例えば、宛先ＵＲＬ変換部１１ｂは、図１８に示すように、「ファイル名：file-b」を末尾とするプログラム配置パスが「/d-A/d-B/d-C/file-b」および「/d-A/d-E/d-C/file-b」の２つ存在していると判定する。そして、宛先ＵＲＬ変換部１１ｂは、図１９に示すように、「/d-A/d-B/d-C/file-b」および「/d-A/d-E/d-C/file-b」のうち、下位から上位に向かった探索方向では「パス名：/d-X/d-B/d-C /file-b」と最も一致するのは「/d-A/d-B/d-C/file-b」であることから、「/d-A/d-B/d-C/file-b」を変換用のプログラム配置パスとして特定する。そして、宛先ＵＲＬ変換部１１ｂは、図１９に示すように、受信宛先ＵＲＬである「http://host#1/d-X/d-B/d-C/file-b」を変換した「http://host#1/d-A/d-B/d-C/file-b」を変換後宛先ＵＲＬとして、転送先特定部１１ｃに通知する。

一方、仮に、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されていない場合、「規則１における第三変換処理：変換なし」として、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する（規則１における第三通知処理：変換なし）。

なお、実施例２における宛先ＵＲＬ変換部１１ｂは、規則３が設定されている状況で、「規則１における第二通知処理その一」または「規則１における第二通知処理その二」により受信宛先ＵＲＬを変換後宛先ＵＲＬに変換した場合に、以下に説明する処理を行なう。すなわち、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬに記載されていたパス名を「変換前パス」とし、変換後宛先ＵＲＬの変換に用いたプログラム配置パスを「変換後パス」として、ＵＲＬ変換テーブル記憶部１３に追加する。例えば、図１９に示す「規則１における第二通知処理その二」を行なった場合には、宛先ＵＲＬ変換部１１ｂは、図２０に示すように、検索キーとして用いた「/d-X/d-B/d-C /file-b」を変換前パスとし、変換用のプログラム配置パスとして特定した「/d-A/d-B/d-C/file-b」を変換後パスとして、「ホスト名：host#1」のＵＲＬ変換テーブルに追加して格納する。

以上が、規則３が設定されている場合に宛先ＵＲＬ変換部１１ｂが実行する処理となる。一方、規則４が設定されている場合、実施例２における宛先ＵＲＬ変換部１１ｂは、第一判定処理の判定結果が否定である際に、規則１における第二判定処理および規則１における第二変換処理（その一またはその二）を行ない、規則１における第二判定処理の判定結果が否定である際に、さらに規則２における第二判定処理を行なう。

例えば、宛先ＵＲＬ変換部１１ｂは、規則４が設定されている状況において、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-B/d-C /file-b」が記憶されてない場合、「規則１における第二判定処理」を行なう。すなわち、宛先ＵＲＬ変換部１１ｂは、「ホスト名：host#1」である囮サーバ５のパス管理リストに、検索キーである「file-b」と一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されているか否かを判定する（規則１における第二判定処理）。

ここで、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに一つのみ記憶されている場合、「規則１における第二通知処理その一」を行なう。

また、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに複数記憶されている場合、「規則１における第二通知処理その二」を行なう。すなわち、本実施例では、「規則１における第二通知処理その二」が実行されて、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬである「http://host#1/d-X/d-B/d-C/file-b」を変換した「http://host#1/d-A/d-B/d-C/file-b」を変換後宛先ＵＲＬとして、転送先特定部１１ｃに通知する。

一方、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬを転送先特定部１１ｃに通知するのではなく、「規則２における第二判定処理」を行なう。

すなわち、宛先ＵＲＬ変換部１１ｂは、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルに、検索キーである「パス名：/d-X/d-B/d-C /file-b」と一致する変換前パスがエントリされているか否かを判定する。

宛先ＵＲＬ変換部１１ｂは、「/d-X/d-B/d-C /file-b」と一致する変換前パス：/d-X/d-Y/d-Z/file-a」がエントリされているならば、当該変換前パスに対応付けられている変換後パスを特定する。そして、宛先ＵＲＬ変換部１１ｂは、「規則２における第二通知処理」として、受信宛先ＵＲＬのプログラム配置パスを、特定した変換後パスに変換した宛先ＵＲＬを変換後宛先ＵＲＬとして、転送先特定部１１ｃに通知する。

一方、「/d-X/d-B/d-C /file-b」と一致する変換前パス：/d-X/d-Y/d-Z/file-a」がエントリされていない場合、「規則２における第三通知処理：変換なし」として、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する。

続いて、図２１および図２２を用いて実施例２における転送制御装置１０の処理の手順について説明する。図２１は、実施例２における転送制御装置の規則３設定時の処理を説明するためのフローチャートであり、図２２は、実施例２における転送制御装置の規則４設定時の処理を説明するためのフローチャートである。

図２１に示すように、実施例２における転送制御装置１０は、規則３が設定されている状態で、外部ネットワークから、自装置が転送制御する対象となる囮サーバ宛の宛先ＵＲＬを保有するＨＴＴＰデータを受信すると（ステップＳ３０１肯定）、宛先ＵＲＬ抽出部１１ａは、受信したＨＴＴＰデータが保有する宛先ＵＲＬを抽出する（ステップＳ３０２）。

そして、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬに記載されているホスト名およびパス名を特定し（ステップＳ３０３）、特定したホスト名のパス管理リストに、特定したパス名が存在するか否かを判定する（ステップＳ３０４、第一判定処理）。

ここで、特定したホスト名のパス管理リストに、特定したパス名が存在する場合（ステップＳ３０４肯定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ３０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ３０９、変換なしの第一通知処理）。そして、転送先特定部１１ｃは、ステップＳ３０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ３１０）、処理を終了する。

一方、特定したホスト名のパス管理リストに、特定したパス名が存在しない場合（ステップＳ３０４否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在するか否かを判定する（ステップＳ３０５、規則２における第二通知処理）。例えば、宛先ＵＲＬ変換部１１ｂは、特定したパス名と完全一致する変換前パスがエントリされているか否かを判定する。

ここで、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在する場合（ステップＳ３０５肯定）、特定したエントリにて変換前パスに対応付けられている変換後パスにステップＳ３０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ３０６）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ３０７、規則２における変換ありの第二通知処理）。そして、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ３０８）、処理を終了する。

一方、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在しない場合（ステップＳ３０５否定）、宛先ＵＲＬ変換部１１ｂは、規則１に切り替えて、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在するか否かを判定する（ステップＳ３１１、規則１における第二判定処理）。

ここで、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在しない場合（ステップＳ３１１否定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ３０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ３０９、規則１における変換なしの第三通知処理）。そして、転送先特定部１１ｃは、ステップＳ３０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ３１０）、処理を終了する。

一方、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在する場合（ステップＳ３１１肯定）、該当するエントリが複数であるか否かを判定する（ステップＳ３１２）。

ここで、エントリが単一である場合（ステップＳ３１２否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のパス管理リストに単一で存在するプログラム配置パスにステップＳ３０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ３１３）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ３０７、規則１における変換ありの第二変換処理その一）。そして、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ３０８）、処理を終了する。

一方、エントリが複数である場合（ステップＳ３１２肯定）、宛先ＵＲＬ変換部１１ｂは、下位階層からのマッチングにより、複数のエントリの中から、変換後のプログラム配置パスを決定し（ステップＳ３１４）、決定したプログラム配置パスにステップＳ３０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ３１５）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ３０７、規則１における変換ありの第二変換処理その二）。そして、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ３０８）、処理を終了する。なお、宛先ＵＲＬ変換部１１ｂは、「規則１における変換ありの第二変換処理その一」または「規則１における変換ありの第二変換処理その二」を実行した場合、宛先ＵＲＬの変換処理に用いた情報を、該当するホスト名のＵＲＬ変換テーブルに追加する（図２０参照）。

これに対して、図２２に示すように、実施例２における転送制御装置１０は、規則４が設定されている状態で、外部ネットワークから、自装置が転送制御する対象となる囮サーバ宛の宛先ＵＲＬを保有するＨＴＴＰデータを受信すると（ステップＳ４０１肯定）、宛先ＵＲＬ抽出部１１ａは、受信したＨＴＴＰデータが保有する宛先ＵＲＬを抽出する（ステップＳ４０２）。

そして、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬに記載されているホスト名およびパス名を特定し（ステップＳ４０３）、特定したホスト名のパス管理リストに、特定したパス名が存在するか否かを判定する（ステップＳ４０４、第一判定処理）。

ここで、特定したホスト名のパス管理リストに、特定したパス名が存在する場合（ステップＳ４０４肯定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ４０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ４１２、変換なしの第一通知処理）。そして、転送先特定部１１ｃは、ステップＳ４０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ４１３）、処理を終了する。

一方、特定したホスト名のパス管理リストに、特定したパス名が存在しない場合（ステップＳ４０４否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在するか否かを判定する（ステップＳ４０５、規則１における第二判定処理）。

ここで、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在する場合（ステップＳ４０５肯定）、該当するエントリが複数であるか否かを判定する（ステップＳ４０６）。

ここで、エントリが単一である場合（ステップＳ４０６否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のパス管理リストに単一で存在するプログラム配置パスにステップＳ４０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ４０７）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ４１０、規則１における変換ありの第二通知処理その一）。

ここで、エントリが複数である場合（ステップＳ４０６肯定）、宛先ＵＲＬ変換部１１ｂは、下位階層からのマッチングにより、複数のエントリの中から、変換後のプログラム配置パスを決定し（ステップＳ４０８）、決定したプログラム配置パスにステップＳ４０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ４０９）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ４１０、規則１における変換ありの第二通知処理その二）。そして、転送先特定部１１ｃは、ステップＳ４０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ４１１）、処理を終了する。

一方、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むパス名が存在しない場合（ステップＳ４０５否定）、宛先ＵＲＬ変換部１１ｂは、規則２に切り替えて、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在するか否かを判定する（ステップＳ４１２、規則２における第二判定処理）。例えば、宛先ＵＲＬ変換部１１ｂは、特定したパス名と完全一致する変換前パスがエントリされているか否かを判定する。

ここで、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在しない場合（ステップＳ４１２否定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ４０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ４１２、規則２における変換なしの第三通知処理）。そして、転送先特定部１１ｃは、ステップＳ４０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ４１３）、処理を終了する。

一方、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在する場合（ステップＳ４１２肯定）、特定したエントリにて変換前パスに対応付けられている変換後パスにステップＳ４０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ４１３）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ４１０、規則２における変換ありの第二通知処理）。そして、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ４１１）、処理を終了する。

上述してきたように、実施例２によれば、規則２では攻撃情報を収集できない場合でも、規則３を設定することで、規則１により収集可能な情報量を増大させることができ、また、規則１では攻撃情報を収集できない場合でも、規則４を設定することで、収集可能な情報量を増大させることができる。その結果、攻撃防御のために抽出可能な攻撃情報量をより増加させることで、攻撃検知精度をさらに向上させることが可能となる。

また、実施例２によれば、規則３が設定される状況で、ＵＲＬ変換テーブルを自動的に追加更新することができるので、規則２または規則３の設定下における収集可能な情報量をさらに増大させることができる。

なお、上記した実施例１および２では、転送制御装置１０の転送制御対象となる囮サーバが複数である場合について説明したが、本発明は、転送制御装置１０の転送制御対象となる囮サーバが１台である場合であっても適用可能である。

また、上記した実施例１および２では、転送制御装置１０の転送制御対象となる装置が脆弱なプログラムファイルを故意に搭載された囮サーバである場合について説明した。しかし、本発明は、転送制御装置１０の転送制御対象となる装置が、搭載するプログラムファイルが脆弱なプログラムファイルとなってしまう可能性があり、ＨＴＴＰデータを送受信可能な機能を有するユーザ端末である場合であっても適用可能である。また、本発明は、転送制御装置１０の転送制御対象となる装置が囮サーバおよびユーザ端末である場合であっても適用可能である。また、本発明は、宛先ＵＲＬのアクセス先が、転送制御対象となる装置が搭載するプログラムファイル以外のファイルである場合でも、これらファイルの配置位置情報を含むパス管理リストや、これらファイルの配置位置情報を変換後パスとするＵＲＬ変換テーブルを転送制御装置１０に格納することで、適用可能である。

また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

なお、本実施例で説明した転送制御方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上のように、本発明に係る転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラムは、宛先ＵＲＬを保有するデータの転送を制御する場合に有用であり、特に、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることに適する。

１、２、３、４ ネットワーク
５、６ 囮サーバ
７、８ ユーザ端末
１０ 転送制御装置
１１ パケット転送部
１１ａ 宛先ＵＲＬ抽出部
１１ｂ 宛先ＵＲＬ変換部
１１ｃ 転送先特定部
１２ パス管理リスト記憶部
１３ ＵＲＬ変換テーブル記憶部
１４ ＵＲＬ変換規則記録部

Claims (11)

1. ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置に適用される転送制御方法であって、
   転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を前記転送制御装置の第一の記憶部に格納する格納ステップと、
   前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定ステップと、
   前記判定ステップによる前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御ステップと、
   を含んだことを特徴とする転送制御方法。
2. 前記制御ステップは、
   前記第一の判定処理によって前記受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されていると判定された場合、前記受信した宛先統一資源位置指定子を用いた転送処理を行なうように制御する第一の制御処理と、
   前記第二の判定処理によって前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に一つのみ格納されていると判定された場合、前記受信した宛先統一資源位置指定子に記載されている配置位置情報を、当該ファイル名を含む配置位置情報に変換し、変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御し、前記第二の判定処理によって前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に複数格納されていると判定された場合、当該複数の配置位置情報の中で、前記受信した宛先統一資源位置指定子に記載されている配置位置情報との一致度合いが、配置位置情報に記載されている階層構造を下位から上位に向かって参照した場合に最も高い配置位置情報を、当該受信した宛先統一資源位置指定子の配置位置情報として変換し、変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する第二の制御処理と、
   前記第二の判定処理によって前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されていないと判定された場合、前記受信した宛先統一資源位置指定子を用いた転送処理を行なうように制御する第三の制御処理とを行なうことを特徴とする請求項１に記載の転送制御方法。
3. 前記格納ステップは、さらに、前記対象サーバを宛先とする宛先統一資源位置指定子に記載されると想定される配置位置情報である変換前配置位置情報と、当該変換前配置位置情報を前記対象サーバにおける配置位置情報に変換するための配置位置候補情報とを対応付けた変換情報を前記転送制御装置の第二の記憶部に格納し、
   前記判定ステップは、
   前記第二の判定処理として、前記第一の判定処理によって前記受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されていないと判定された場合、前記受信した宛先統一資源位置指定子に記載されている配置位置情報と一致する変換前配置位置情報を含む変換情報が前記第二の記憶部に格納されているか否かを判定し、
   前記制御ステップは、
   前記第二の制御処理として、前記第二の判定処理によって前記受信した宛先統一資源位置指定子に記載されている配置位置情報と一致する変換前配置位置情報を含む変換情報が前記第二の記憶部に格納されていると判定された場合、前記受信した宛先統一資源位置指定子に記載されている配置位置情報を、当該変換情報の変換前配置位置情報に対応付けられている配置位置候補情報に変換し、変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御し、
   前記第三の制御処理として、前記第二の判定処理によって前記受信した宛先統一資源位置指定子に記載されている配置位置情報と一致する変換前配置位置情報を含む変換情報が前記第二の記憶部に格納されていないと判定された場合、前記受信した宛先統一資源位置指定子を用いた転送処理を行なうように制御することを特徴とする請求項２に記載の転送制御方法。
4. 前記判定ステップの前記第一の判定処理によって前記受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されていないと判定された場合、前記第二の記憶部に格納されている前記変換情報を用いた第二の判定処理を行なう場合であって、
   前記制御ステップは、前記第三の制御処理として、
   前記変換情報を用いた第二の判定処理によって前記受信した宛先統一資源位置指定子に記載されている配置位置情報と一致する変換前配置位置情報を含む変換情報が前記第二の記憶部に格納されていないと判定された場合、前記変換情報を用いた第二の判定処理を前記第一の記憶部に格納されている前記配置位置情報を用いた第二の判定処理に切り替えて、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かをさらに判定させ、
   前記配置位置情報を用いた第二の判定処理による判定結果に基づいて、前記変換後の宛先統一資源位置指定子を用いた転送処理、または前記受信した宛先統一資源位置指定子を用いた転送処理を行なうように制御することを特徴とする請求項３に記載の転送制御方法。
5. 前記判定ステップの前記第一の判定処理によって前記受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されていないと判定された場合、前記第一の記憶部にて格納される前記配置位置情報の末尾に記載されているファイル名を用いた第二の判定処理を行なう場合であって、
   前記制御ステップは、前記第三の制御処理として、
   前記配置位置情報の末尾に記載されているファイル名を用いた第二の判定処理によって前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されていないと判定された場合、前記配置位置情報の末尾に記載されているファイル名を用いた第二の判定処理を前記第二の記憶部に格納されている前記変換情報を用いた第二の判定処理に切り替えて、前記受信した宛先統一資源位置指定子に記載されている配置位置情報と一致する変換前配置位置情報を含む変換情報が前記第二の記憶部に格納されているか否かをさらに判定させ、
   前記変換情報を用いた第二の判定処理による判定結果に基づいて、前記変換後の宛先統一資源位置指定子を用いた転送処理、または前記受信した宛先統一資源位置指定子を用いた転送処理を行なうように制御することを特徴とする請求項３に記載の転送制御方法。
6. 前記変換情報を用いた第二の判定処理を前記第一の記憶部に格納されている前記配置位置情報を用いた第二の判定処理に切り替えたのちに、前記第三の制御処理によって変換後の宛先統一資源位置指定子に採用された配置位置情報を配置位置候補情報とし、変換前の宛先統一資源位置指定子に記載されている配置位置情報を変換前配置位置情報とする変換情報を、前記第二の記憶部に追加して格納する追加格納ステップをさらに含むことを特徴とする請求項４に記載の転送制御方法。
7. 複数の対象サーバへのデータの転送を制御する場合であって、
   前記格納ステップは、前記複数の対象サーバそれぞれの配置位置情報を第一の記憶部に格納し、
   前記判定ステップの前記第一の判定処理および前記第二の判定処理は、前記受信した宛先統一資源位置指定子の端末識別子に対応する対象サーバの配置位置情報を前記第一の記憶部から検索して判定処理を行なうことを特徴とする請求項２に記載の転送制御方法。
8. 複数の対象サーバへのデータの転送を制御する場合であって、
   前記格納ステップは、前記複数の対象サーバそれぞれの配置位置情報を前記第一の記憶部に格納し、かつ、前記複数の対象サーバそれぞれの変換情報を前記第二の記憶部に格納し、
   前記判定ステップの前記第一の判定処理は、前記受信した宛先統一資源位置指定子の端末識別子に対応する対象サーバの配置位置情報を前記第一の記憶部から検索して判定処理を行ない、
   前記判定ステップの前記第二の判定処理は、前記受信した宛先統一資源位置指定子の端末識別子に対応する対象サーバの配置位置情報を前記第一の記憶部から検索し、および／または、変換情報を前記第二の記憶部から検索して判定処理を行なうことを特徴とする請求項３〜６のいずれか一つに記載の転送制御方法。
9. ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置であって、
   転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を記憶する配置位置情報記憶手段と、
   前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手段と、
   前記判定手段による前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手段と、
   を備えたことを特徴とする転送制御装置。
10. ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置を含む転送制御システムであって、
    前記転送制御装置は、
    転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を記憶する配置位置情報記憶手段と、
    前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手段と、
    前記判定手段による前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手段と、
    を備えたことを特徴とする転送制御システム。
11. ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置としてのコンピュータに実行させる転送制御プログラムであって、
    転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を前記転送制御装置の第一の記憶部に格納する格納手順と、
    前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手順と、
    前記判定手順による前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手順と、
    をコンピュータに実行させることを特徴とする転送制御プログラム。

Images