JP2013520719A

JP2013520719A - ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステム

Info

Publication number: JP2013520719A
Application number: JP2012553807A
Authority: JP
Inventors: パク，ヒジョン
Original assignee: パク，ヒジョン
Priority date: 2010-02-19
Filing date: 2011-01-18
Publication date: 2013-06-06
Also published as: KR101092024B1; KR20110095534A; WO2011102605A3; WO2011102605A2; US20120324582A1

Abstract

本発明に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムは、ウェブサービスを介してユーザのウェブサービスアドレスを入力され、当該ウェブサービスを自動的に訪問してリアルタイムにてウェブページを分析して、主たる脆弱性が存在するか否かを確認し、その結果情報をユーザＰＣに伝送することができ、脆弱性の発見状況と、進行過程及びウェブページ内にリンクされた外部ＵＲＬをユーザ画面にディスプレイすることから直観的なサービスが提供可能であり、ウェブページの分析によって因子値のうち特殊文字または予約語（システム命令語）のフィルタリングの有無を確認することにより、ＵＲＬに含まれている情報流出の可能性を見出すことができ、ウェブページに表示される前に対象システムから送られる結果を分析して、各ＤＢ別に脆弱性が分類された結果を示すことができることはもとより、各ＤＢ別の脆弱性に関する資料をプログラム内に資料の形式で保有して、ウェブサービスから送られてきた結果と照合して問題点の有無を確認することができ、ウェブページのリンクを見出して問題点を確認する過程及び分析が行われる過程をオンライン上においてユーザが直接確認することができる。なお、スクリプトを分析する部分があり、インデックスページを分析した部分によってリンクを分析して、リンクごとに検査を行う過程をリアルタイムにて確認することができることはもとより、診断の最中にそれまで行われた結果を随時確認することができ、接続されたリンクを確認することも可能であり、ユーザのブラウザにおいて問題が発生するＵＲＬとＵＲＬに含まれている因子（問題が発生する因子）、問題の種類を直視することにより、ユーザのどのような問題が存在するかを確認することができ、ウェブページの分析時に外部リンク部分を確認することができることはもとより、ウェブサービスにおいて悪性コードを流布する外部ドメインが存在する場合に手軽に見出すことができ、オンラインにおけるユーザ選択によるサービス診断に対する項目、リアルタイムにて進行過程を確認する項目、診断結果をオンラインにおいて確認して問題点確認すると共に、問題点に対する対策までも直接確認することができる、ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムに関する。
【選択図】図１

Description

本発明は、ウェブサービスを介してユーザのウェブサービスアドレスを入力され、当該ウェブサービスを自動的に訪問してリアルタイムにてウェブページを分析して、主たる脆弱性が存在するか否かを確認し、その結果情報をユーザＰＣに伝送することができ、脆弱性の発見状況と、進行過程及びウェブページ内にリンクされた外部ＵＲＬをユーザ画面にディスプレイすることから直観的なサービスが提供可能であり、ウェブページの分析によって因子値のうち特殊文字または予約語（システム命令語）のフィルタリングの有無を確認することにより、ＵＲＬに含まれている情報流出の可能性を見出すことができ、ウェブページに表示される前に対象システムから送られる結果を分析して、各ＤＢ別に脆弱性が分類された結果を示すことができることはもとより、各ＤＢ別の脆弱性に関する資料をプログラム内に資料の形式で保有して、ウェブサービスから送られてきた結果と照合して問題点の有無を確認することができ、ウェブページのリンクを見出して問題点を確認する過程及び分析が行われる過程をオンライン上においてユーザが直接確認することができる。なお、スクリプトを分析する部分があり、インデックスページを分析した部分によってリンクを分析して、リンクごとに検査を行う過程をリアルタイムにて確認することができることはもとより、診断の最中にそれまで行われた結果を随時確認することができ、接続されたリンクを確認することも可能であり、ユーザのブラウザにおいて問題が発生するＵＲＬとＵＲＬに含まれている因子（問題が発生する因子）、問題の種類を直視することにより、ユーザのどのような問題が存在するかを確認することができ、ウェブページの分析時に外部リンク部分を確認することができることはもとより、ウェブサービスにおいて悪性コードを流布する外部ドメインが存在する場合に手軽に見出すことができ、オンラインにおけるユーザ選択によるサービス診断に対する項目、リアルタイムにて進行過程を確認する項目、診断結果をオンラインにおいて確認して問題点確認すると共に、問題点に対する対策までも直接確認することができる、ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムに関する。

通信技術の発達及びインターネットの大衆化によって、オフラインを介して行われていた業務がオンライン上において行われている。既存のオフラインにおいて行われていた多くの業務がオンライン上において行われるためには、各サービスプロバイダーは、一種の窓口の役割を果たす「ウェブアプリケーション」をユーザに提供することとなる。しかしながら、ウェブアプリケーションを介して入出力される情報のうち、ユーザの金融情報など外部に流出されて悪用されたときにユーザに直接的で且つ金銭的な被害を与える虞のある情報がある。

このため、いわゆるハッカーは、このような情報にアクセスするために、情報の唯一の通路であるウェブアプリケーションへと攻撃の目標を移している傾向にあり、セキュリティが考慮されていないウェブアプリケーションはこのような攻撃に負け易い状況である。

ＯＷＡＳＰ（ＯｐｅｎＷｅｂＡｐｐｌｉｃａｔｉｏｎＳｅｃｕｒｉｔｙＰｒｏｊｅｃｔ）において発表した「ＡＧｕｉｄｅｔｏＢｕｉｌｄｉｎｇＳｅｃｕｒｅＷｅｂＡｐｐｌｉｃａｔｉｏｎ」という文書においては、このようなウェブアプリケーションに対する攻撃の類型として、ＳＱＬインジェクション、クックスプーフィング及びインジェクション、ファイルのアップロード及びダウンロード、パラメータの改ざん、クロスサイトスクリプティング（ＸＳＳ：ＣｒｏｓｓＳｉｔｅｓｃｒｉｐｔｉｎｇ）などを例示しているが、これらのウェブアプリケーションに対する攻撃の類型のうち現在最も問題視されているのは、ＳＱＬインジェクション及びＸＳＳである。

ＳＱＬインジェクションとは、悪意的な命令語の注入攻撃の一つであり、ウェブサイトユーザ認証ウィンドウやＵＲＬ直接入力ウィンドウなどを介して非正常的なＳＱＬ命令語を入力することにより、ＳＱＬクエリーを変調して未許可の情報を取得する攻撃技法を意味する。このようなＳＱＬインジェクションが発生する場合に、ユーザ認証が非正常的に行われるか、データベースに格納されたデータが任意に閲覧されるか、あるいは、データベースのシステム命令を用いたシステム操作が可能になるとった被害が発生する虞がある。

ＸＳＳとは、動的に生成されたウェブページに悪意的なスクリプトを埋め込んで、ユーザが当該ウェブページを閲覧した場合に、埋め込まれたスクリプトが実行されることにより、ユーザのデータを奪う攻撃技法を意味する。このようなＣＳＳが発生する場合に、ユーザのクッキー情報が流出されるか、あるいは、ユーザの端末に悪性コードが実行されるといった被害が発生することがある。

このようなウェブアプリケーションに対する様々な攻撃を防ぐためには、ＵＲＬに含まれている各因子別に攻撃コードが侵入することを遮断する必要があり、各因子別の攻撃コードの侵入を源泉的に遮断するためには、何よりも各ＵＲＬに含まれている全ての因子に対して、各攻撃類型別に脆弱性が存在するか否かの判断が先行される必要がある。

しかしながら、ＵＲＬに含まれている因子のうち同じ因子が多数存在するにも関わらず、従来の各ＵＲＬ因子別の脆弱性有無の判断方法は、ＵＲＬに含まれている全ての因子を対象として脆弱性が行われていたため、脆弱性の判断に長時間がかかるという問題点があり、しかも、判断済みのＵＲＬまたは因子に対しても重複して脆弱性の判断が行われる虞があるという問題点がある。特に、このような問題点は、ポータルウェブサイトのように大規模のウェブサイトであるほど一層深刻になるといえる。

本発明は、上記の問題点を解消するためになされたものであり、ウェブサービスを介してユーザのウェブサービスアドレスを入力され、当該ウェブサービスを自動的に訪問してリアルタイムにてウェブページを分析して、主たる脆弱性が存在するか否かを確認し、その結果情報をユーザＰＣに伝送することができる、ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムを提供するところにその目的がある。

本発明の他の目的は、脆弱性の発見状況と、進行過程及びウェブページ内にリンクされた外部ＵＲＬをユーザ画面にディスプレイすることから直観的なサービス提供が可能になる、ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムを提供するところにある。

本発明のさらに他の目的は、ウェブページの分析によって因子値のうち特殊文字または予約語（システム命令語）のフィルタリングの有無を確認することにより、ＵＲＬに含まれている情報流出の可能性を見出すことができる、ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムを提供するところにある。

本発明のさらに他の目的は、ウェブページに表示される前に対象システムから送られる結果を分析して、各ＤＢ別に脆弱性が分類された結果を表示することができることはもとより、各ＤＢ別の脆弱性に関する資料をプログラム内に資料の形式で保有して、ウェブサービスから送られてきた結果と照合して問題点の有無を確認することができる、ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムを提供するところにある。

本発明のさらに他の目的は、ウェブページのリンクを見出して問題点を確認する過程及び分析が行われる過程をオンライン上においてユーザが直接確認することができる、ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムを提供するところにある。

本発明のさらに他の目的は、スクリプトを分析する部分があり、インデックスページを分析した部分によってリンクを分析して、リンクごとに検査を行う過程をリアルタイムにて確認することができることはもとより、診断の最中にそれまで行われた結果を随時確認することができ、接続されたリンクを確認することも可能になる、ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムを提供するところにある。

本発明のさらに他の目的は、ユーザのブラウザにおいて問題が発生するＵＲＬとＵＲＬに含まれている因子（問題が発生する因子）、問題の種類を直視することにより、ユーザのどのような問題が存在するかを確認することができる、ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムを提供するところにある。

本発明のさらに他の目的は、ウェブページの分析時に外部リンク部分を確認することができることはもとより、ウェブサービスにおいて悪性コードを流布する外部ドメインが存在する場合に手軽に見出すことができる、ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムを提供するところにある。

本発明のさらに他の目的は、オンラインにおけるユーザ選択によるサービス診断に対する項目、リアルタイムにて進行過程を確認する項目、診断結果をオンラインにおいて確認して問題点を確認すると共に、問題点に対する対策までも直接確認することができる、ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムを提供するところにある。

上記の目的を達成するための本発明の好適な一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムは、ユーザが、ユーザ端末から、最初のユーザが管理するウェブサービスのＵＲＬ若しくは開始ページを入力または選択して、脆弱性判別システムにより診断する機能を有し、前記脆弱性判別システムから、脆弱性の結果情報と、悪性コードの確認された外部リンクの問題点に関する解決情報と、統計情報と、を伝送されるユーザ端末と、前記ユーザ端末から、ウェブサービスのＵＲＬ若しくは開始ページを入力され、ＵＲＬリンクを抽出し、ウェブページを走査して対象システムに伝送した後、対象システムから発見した問題が転送されウェブページを分析し、脆弱性データベースに格納した後、診断結果情報と解決情報をユーザ端末に伝送する脆弱性判別システムと、前記脆弱性判別システムから伝送されたウェブページを読み込んで診断し、脆弱性とリンクの問題を発見して脆弱性判別システムに伝送する対象システムと、を備えることを特徴とする。

前記本発明において、前記脆弱性判別システムは、ユーザ端末から、ウェブサービスのＵＲＬ若しくは開始ページを入力されて走査して対象システムに伝送する脆弱性スキャナと、前記ユーザ端末からウェブサービスのＵＲＬを入力され、ＵＲＬリンクを抽出するＵＲＬリンク抽出部と、前記脆弱性スキャナから対象システムへとウェブページを伝送した後、対象システムから診断結果を受け取って分析するウェブページ分析部と、前記ウェブページ分析部において分析された結果における脆弱性問題を格納する脆弱性データベースと、前記脆弱性問題に関する解決情報を有していて、問題が発生すると、適切に脆弱性を解決する脆弱性解決リンク部と、前記対象システムから伝送された脆弱性問題と解決情報をユーザ端末に伝送する診断結果転送部と、を備えることを特徴とする。

前記本発明において、前記ＵＲＬリンク抽出部におけるリンク確認は、Ｈｔｍｌにおいて用いるｕｒｌリンク部分、すなわち、ｓｒｃ、ｉｍｇ、ｈｒｅｆ、ｌｉ、ｏｐｔｉｏｎ、ｆｏｒｍなどの因子値を調べてリンクを確認するか、あるいは、ウェブページ内のソースにおいてウェブサービスが用いる拡張子を有している文字列に対するアドレス、ｈｔｔｐ、ｈｔｔｐｓを、文字をもって判別して確認するか、あるいは、「、」、引用符号で囲まれている文字の値を全て読み込んだ後、ウェブページのアドレス形式を有している文字列の値を読み込んでアドレスの有無を判別して確認することを特徴とする。

前記本発明において、前記ＵＲＬリンク抽出部におけるリンクの確認方式は、ウェブページではない別個のファイルとして見なされ得るｘｍｌファイル、ｊｓファイル、ｓｗｆ（フラッシュ）ファイルにも同様に適用できることを特徴とする。

前記本発明において、前記ウェブページ分析部におけるフラッシュファイルの分析は、ファイルをリアルタイムにてダウンロードしてウェブページ分析部に接続し、ウェブページ分析部においては、フラッシュファイルの有無を確認した後、内部のファイル構造を分析して、アクションスクリプトで作成された部分を見出し、当該部分に存在する外部リンク及び内部リンクを見出して次に訪問すべきアドレスに格納することを特徴とする。

前記本発明において、前記対象システムは、ウェブページに存在する脆弱性を速やかに診断するために、リアルタイムにて分析可能な脆弱性に基本的な問題が存在するか否かを確認するための因子区切り部と、各因子に追加の文字を入力して診断対象となるウェブサービスに転送する転送部と、ウェブサービスの戻された結果を判別する判別部と、を備えることを特徴とする。

本発明に係る、ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムは、下記の効果を奏する。

まず、本発明は、ウェブサービスを介してユーザのウェブサービスアドレスを入力され、当該ウェブサービスを自動的に訪問してリアルタイムにてウェブページを分析し、主たる脆弱性が存在するか否かを確認し、その結果情報をユーザＰＣに伝送することができる。

第二に、本発明は、脆弱性の発見状況と、進行過程及びウェブページ内にリンクされた外部ＵＲＬをユーザ画面にディスプレイすることから直観的なサービス提供が可能になる。

第三に、本発明は、ウェブページの分析によって因子値のうち特殊文字または予約語（システム命令語）のフィルタリングの有無を確認することにより、ＵＲＬに含まれている情報流出の可能性を見出すことができる。

第四に、本発明は、ウェブページに表示される前に対象システムから送られる結果を分析して、各ＤＢ別に脆弱性が分類された結果を表示することができることはもとより、各ＤＢ別の脆弱性に関する資料をプログラム内に資料の形式で保有して、ウェブサービスから送られてきた結果と照合して問題点の有無を確認することができる。

第五に、本発明は、ウェブページのリンクを見出して問題点を確認する過程及び分析が行われる過程をオンライン上においてユーザが直接確認することができる。

第六に、本発明は、スクリプトを分析する部分があり、インデックスページを分析した部分によってリンクを分析して、リンクごとに検査を行う過程をリアルタイムにて確認することができることはもとより、診断の最中にそれまで行われた結果を随時確認することができ、接続されたリンクを確認することも可能になる。

第七に、本発明は、ユーザのブラウザにおいて問題が発生するＵＲＬとＵＲＬに含まれている因子（問題が発生する因子）、問題の種類を直視することにより、ユーザのどのような問題が存在するかを確認することができる。

第八に、本発明は、ウェブページの分析時に外部リンク部分を確認することができることはもとより、ウェブサービスにおいて悪性コードを流布する外部ドメインが存在する場合に手軽に見出すことができる。

最後に、本発明は、オンラインにおけるユーザ選択によるサービス診断に対する項目、リアルタイムにて進行過程を確認する項目、診断結果をオンラインにおいて確認して問題点を確認すると共に、問題点に対する対策までも直接確認することができる。

本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムを説明するために示す図である。本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスの流れを説明するために示す図である。本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、ウェブページに表示される前に対象システムから送られる結果を分析して、各ＤＢ別に脆弱性を分類した結果であり、ＤＢの直接的なエラーが表示されている画面である。本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、アドレスをユーザが入力した後、診断を行ったときにユーザの画面に直観的に表示される結果値を示す画面である。本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、診断を行う最中にこれまでの結果を画面で直接確認する画面である。本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、ユーザのＰＣのブラウザページに表示される診断結果を示す画面である。本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、ウェブサービス内にリンクされた全ての外部ＵＲＬに対して結果を調べた後、ユーザのＰＣのブラウザページに表示される診断結果画面である。本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、オンラインにおけるユーザ選択によるサービス診断に対する項目、リアルタイムにて進行過程を確認する項目、診断結果をオンラインにおいて確認し、問題点を確認し、問題点に対する対策を直接確認するための画面である。本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、過去の診断実行時期を基準として全体的な脆弱性が解決されていく過程を一目瞭然に確認するための画面である。本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、大量のドメインに対する診断結果を１画面にまとめて示すものである。

以下、添付図面に基づき、本発明の好適な実施形態を説明する。本発明を説明するに当たって、関連する公知技術又は構成についての具体的な説明が本発明の要旨を余計に曖昧にする虞があると判断される場合には、その詳細な説明は省き、後述する用語は、本発明における機能を考慮して定義された用語であり、これは、ユーザ、運用者の意図または慣例などによって異なってくるため、その定義は、本発明に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムを説明する本明細書の全般に亘っての内容を踏まえて下されるべきである。

図１は、本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムを説明するために示す図である。

前記ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムは、ユーザ端末１００と、脆弱性判別システム２００と、脆弱性スキャナ２１０と、ウェブページ分析部２２０と、ＵＲＬリンク抽出部２３０と、診断結果転送部２４０と、脆弱性データベース２５０と、脆弱性解決リンク部２６０と、対象システム３００と、ウェブページ３１０と、ＤＢスサーバー３２０、を備える。

図１に示すように、ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムは、ユーザが、ユーザ端末から、最初のユーザが管理するウェブサービスのＵＲＬ若しくは開始ページを入力または選択して、脆弱性判別システムにより診断する機能を有し、前記脆弱性判別システムから、脆弱性の結果情報と、悪性コードの確認された外部リンクの問題点に関する解決情報と、統計情報と、を伝送されるユーザ端末１００と、前記ユーザ端末から、ウェブサービスのＵＲＬ若しくは開始ページを入力され、ＵＲＬリンクを抽出し、ウェブページを走査して対象システムに伝送した後、対象システムから発見した問題を転送されてウェブページを分析し、脆弱性データベースに格納した後、診断結果情報と解決情報をユーザ端末に伝送する脆弱性判別システム２００と、前記脆弱性判別システムから伝送されたウェブページを読み込んで診断し、脆弱性とリンクの問題を発見して脆弱性判別システムに伝送する対象システム３００と、を備える。

以下、前記本発明に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムを構成する技術的手段の機能について説明する。

前記ユーザ端末１００は、ユーザが、ユーザ端末１００から、最初のユーザが管理するウェブサービスのＵＲＬ若しくは開始ページを入力または選択して、脆弱性判別システム２００を用いて診断する機能を有し、前記脆弱性判別システム２００から、脆弱性の結果情報と、悪性コードの確認された外部リンクの問題点に関する解決情報と、統計情報と、を伝送される。

前記脆弱性判別システム２００は、前記ユーザ端末１００から、ウェブサービスのＵＲＬ若しくは開始ページを入力され、ＵＲＬリンクを抽出し、ウェブページを走査して対象システム３００に伝送した後、対象システム３００から発見した問題を転送されてウェブページを分析し、脆弱性データベース２５０に格納した後、診断結果情報と解決情報をユーザ端末に伝送する。

ここで、前記脆弱性判別システム２００は、ユーザ端末１００からウェブサービスのＵＲＬ若しくは開始ページを入力され、且つ、走査して対象システム３００に伝送する脆弱性スキャナ２１０と、前記ユーザ端末１００からウェブサービスのＵＲＬを入力され、ＵＲＬリンクを抽出するＵＲＬリンク抽出部２３０と、前記脆弱性スキャナ２１０から対象システム３００へとウェブページを伝送した後、対象システム３００から診断結果を受け取って分析するウェブページ分析部２２０と、前記ウェブページ分析部２２０において分析された結果における脆弱性問題を格納する脆弱性データベース２５０と、前記脆弱性問題に関する解決情報を有しており、問題が発生すると、適切に脆弱性を解決する脆弱性解決リンク部２６０と、前記対象システム３００から伝送された脆弱性問題と解決情報をユーザ端末１００に転送する診断結果転送部２４０を備える。

前記ＵＲＬリンク抽出部２３０におけるリンクの確認は、第一に、Ｈｔｍｌにおいて用いるｕｒｌリンク部分、すなわち、ｓｒｃ、ｉｍｇ、ｈｒｅｆ、ｌｉ、ｏｐｔｉｏｎ、ｆｏｒｍなどの因子値を調べてリンクを確認する、第二に、ウェブページ内のソースにおいてウェブサービスが用いる拡張子を有している文字列に対するアドレス、ｈｔｔｐ、ｈｔｔｐｓを文字をもって判別して確認する、第三に、「、」、引用符号で囲まれている文字列の値を全て読み込んだ後、ウェブページのアドレス形式を有している文字列の値を読み込んでアドレスの有無を判別して確認する、といった方式により行われる。前記３種類の方式を同時に用いて、外部若しくは内部の他のページへのリンク部分を見出す部分が存在し、前記３種類の方式は、ウェブページではなく、別個のファイルとして見なされ得るｘｍｌファイル、ｊｓファイル、ｓｗｆ（フラッシュ）ファイルにも同様に適用できる。

前記ウェブページ分析部２２０におけるフラッシュファイルの分析は、ファイルをリアルタイムにてダウンロードしてウェブページ分析部に接続し、ウェブページ分析部においては、フラッシュファイルの有無を確認した後、内部のファイル構造を分析してアクションスクリプトで作成された部分を見出し、当該部分に存在する外部リンク及び内部リンクを見出して次に訪問して分析すべきアドレスに格納する。

前記対象システム３００は、前記脆弱性判別システム２００から伝送されたウェブページを読み込んで診断し、脆弱性とリンクの問題を発見して脆弱性判別システム２００に伝送する。ここで、前記対象システム３００は、ウェブページに存在する脆弱性を速やかに診断するために、リアルタイムにて分析可能な脆弱性に基本的な問題が存在するか否かを確認するための因子区切り部と、各因子に追加の文字を入力して診断対象となるウェブサービスに転送する転送部と、ウェブサービスの戻された結果を判別する判別部と、を備える。ウェブサービスを介した速やかな診断を目的としているため、基本的に、ウェブサービスとデータベースサーバーとの間の通信結果を確認して問題点を指摘するインジェクション脆弱性と、ウェブページの結果に外部リンクを埋め込むＸＳＳ脆弱性とを重点的に診断するように構成されている。インジェクション脆弱性はほとんどのデータベースにおいて発見されており、ウェブサービスからデータベースへと転送される質疑構文（ＳＱＬ）が外部入力によって操作された場合に、正常的なサービス結果値を伝送できない状況下においてページに転送される。

図２は、本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービス過程を説明するために示す図である。

図２に示すように、ユーザが、ユーザ端末１００から、ウェブサービスのＵＲＬ若しくはウェブページを入力し、ユーザ端末１００のブラウザ画面においてウェブページのセキュリティ点検を受けるためにサービスを申請した後、正常的な認証であれば、ユーザがアドレスを入力または選択する。次いで、ユーザ端末１００のブラウザ画面上においてウェブページのセキュリティを点検するためにユーザＤＢに認証確認をし、認証結果を受けてサービスを実行する。次いで、ウェブサービスのセキュリティを点検し、外部のリンクを確認するサービスを受けるために、脆弱性判別システム２００内の脆弱性スキャナ２１０にウェブサービス情報を伝送する。次いで、脆弱性スキャナ２１０から脆弱性データベース２５０へと脆弱性分析の依頼が行われたとき、例えば、ＡＰＰ脆弱性を発見すると、脆弱性判別システム２００内の脆弱性スキャナ２１０に脆弱性情報を伝送した後、脆弱性スキャナ２１０において診断サービスを行う。次いで、脆弱性スキャナ２１０は、ユーザ端末１００のブラウザ画面に、脆弱性に対する結果と修正方案をウェブページの形式で表示する。次いで、ユーザは、ユーザ端末１００のユーザのブラウザ画面からリアルタイムにて脆弱性に対する結果と修正方案を確認する。

図３は、本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、ウェブページに表示される前に対象システムから送られる結果を分析して、各ＤＢ別に脆弱性を分類した結果であり、ＤＢの直接的なエラーが表示されている画面である。

図３からは、ＤＢの直接的なエラーが画面に転送されることを確認することができ、ウェブページに表示される前に対象システムから送られる結果を分析して、各ＤＢ別に脆弱性を分類した結果を示しているが、上記の結果は、ＭＳＳＱＬに対するＳＱＬインジェクションが可能であることを示している。現在支援可能なＤＢは、ＭＳＳＱＬ、Ｏｒａｃｌｅ、Ｍｙｓｑｌ、ＰｏｓｔｇｒｅＳＱＬであり、全世界のＤＢの９０％以上に対する問題点が診断可能である。なお、各ウェブページの開発言語によって異なる結果が表示されることもあるが、開発言語は、Ｊａｖａ、ＰＨＰ、ＡＳＰ、ｄｏｔＮｅｔ、Ｐｌ、ＣＧＩなどほとんどのウェブサービスの開発言語に対しても問題点を見出すようになっている。

各データベース別の脆弱性に関する資料をプログラム内に保有して、ウェブサービスから送られてきた結果と照合して問題点の有無を確認する部分が核心として作用し、各開発言語別の相違点による問題点は、プログラム内において別途の疑い結果判別ルーチンをもって運営することにより見出すことができる。

図４は、本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、アドレスをユーザが入力した後、診断を行ったときにユーザの画面に直観的に表示される結果値を示す画面である。

図４に示すように、アドレスをユーザが入力した後、診断を行ったとき、ユーザの画面に直観的に表示される結果値であるが、各ブラウザごとに異なる結果が表示されるが、全体の結果が閲覧可能であるということは既に確認されている。スクリプトを分析する部分があり、インデックスページを分析した部分によってリンクを分析してリンクごとに検査を行う過程をリアルタイムにて確認することができ、診断の最中にこれまで行われた結果を随時確認することができ、接続されたリンクを確認することも可能である。

図５は、本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、診断を行う最中にこれまでの結果を画面で直接確認する画面である。

図５に示すように、診断の最中にこれまでの結果を画面で直接確認することができるが、ユーザのブラウザにおいて直接確認することができ、問題が発生される部分に関する正確なデータを確認することができる。問題が発生されるＵＲＬとＵＲＬに含まれている因子（問題が発生される因子）、問題の種類を直視することにより、ユーザのどのような問題が存在するかを確認することができる。なお、診断が完了した後には、統計資料も提供され、現在は、以前の記録を比較して改善の有無を確認できる部分が存在する。なお、全体的な脆弱性の現況についても一目瞭然に確認することができる。

図６は、本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、ユーザのＰＣのブラウザページに表示される診断結果を示す画面である。

図６に示すように、統計値は、一回診断に対する統計と、以前の記録がある場合の統計とに分けられ、一回診断時には、全体のページに対する統計と、分析されたｈｔｍｌではないファイル（Ｆｌａｓｈ、ＪＳ）に対する統計と、分析が試みられたページ（分析が試みられていないページは、分析エンジンにおいてＵＲＬ構成を有さない因子として区別して除外された部分）と、疑われるＵＲＬのカウント（因子値をもってＤＢに質疑をする類型のページを区別する）及び以降には各脆弱性別の結果ルーチンが出る。各脆弱性は、危険度によって区別されており、軽重に応じて対応するようになっている。既に定義された脆弱性の他に、疑われる部分が存在する問題は、Ｓｕｓｐｉｃｉｏｕｓｖａｌｉｄａｔｉｏｎｅｒｒｏｒという項目を介してユーザが直接確認できるようになっている。診断結果として、ユーザのＰＣのブラウザページに表示される結果は、リンクをクリックする場合に直接問題点を確認できるようになっている。ページの分析時には、外部リンク部分を確認することができ、ウェブサービスにおいて悪性コードを流布する外部ドメインが存在する場合に、手軽に見出すようになっている。

図７は、本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、ウェブサービス内にリンクされた全ての外部ＵＲＬに対して結果を調べた後、ユーザのＰＣのブラウザページに表示される診断結果画面である。

図７は、ウェブサービス内にリンクされた全ての外部ＵＲＬに対して結果を調べたものであり、どのようなページにおいてリンクが発見されたかを表示しているため、外部ＵＲＬによる悪性コードの流布時に手軽に見出されるようになっている。

図８は、本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、オンラインにおけるユーザ選択によるサービス診断に対する項目、リアルタイムにて進行過程を確認する項目、診断結果をオンラインにおいて確認し、問題点を確認し、問題点に対する対策を直接確認できる画面である。

図８に示すように、オンラインにおけるユーザ選択によるサービス診断に対する項目、リアルタイムにて進行過程を確認する項目、診断結果をオンラインにおいて確認し、問題点を確認することができ、問題点に対する対策まで直接確認できる項目が選定される。なお、外部リンクを全てチェックして外部における悪性コードの流布位置と悪性コードを流布するドメインを全てのソースコードを分析することなく直観的に確認できる項目と、結果に対する統計値項目とがある。

図９は、本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、過去の診断実行時期を基準として、全体的な脆弱性が解決されていく過程を一目瞭然に確認できる画面である。

図９に示すように、統計部分は、過去の実行時期を基準として、全体的な脆弱性が解決されていく過程を一目瞭然に確認できるように構成されて、現在の脆弱性問題の解決の進み具合を確認することができる。上中下に分けられた脆弱性の危険度によって、以前の診断実行記録に基づいて回数ことに脆弱性発見カウントを生成してチャート化させることにより、実際のサービスの改善と変化を確認できるようになっている。

図１０は、本発明の一実施形態に係るウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスにおいて、大量のドメインに対する診断結果を１画面にまとめて示すものである。

図１０に示すように、ユーザから入力されて大規模のドメインに対して一括して診断可能なサービスも別途の項目として指定することができる。ユーザが登録したドメインにおいて一定の時間を指定したり、診断を行う場合に、１画面において全体の登録されたドメインの脆弱性を確認できるようになっている。このため、１００余個以上のサブドメインに対して一括して診断が行われ、ユーザのブラウザ内に脆弱性項目が１枚の画面に表示されるようになっている。

このため、ウェブサービスを介してユーザのウェブサービスアドレスを入力され、当該ウェブサービスを自動的に訪問してリアルタイムにてウェブページを分析して、主たる脆弱性が存在するか否かを確認し、その結果情報をユーザＰＣに伝送することができ、脆弱性の発見状況と、進行過程及びウェブページ内にリンクされた外部ＵＲＬをユーザ画面にディスプレイすることから直観的なサービスが提供可能であり、ウェブページの分析によって因子値のうち特殊文字または予約語（システム命令語）のフィルタリングの有無を確認することにより、ＵＲＬに含まれている情報流出の可能性を見出すことができ、ウェブページに表示される前に対象システムから送られる結果を分析して、各ＤＢ別に脆弱性が分類された結果を示すことができることはもとより、各ＤＢ別の脆弱性に関する資料をプログラム内に資料の形式で保有して、ウェブサービスから送られてきた結果と照合して問題点の有無を確認することができ、ウェブページのリンクを見出して問題点を確認する過程及び分析が行われる過程をオンライン上においてユーザが直接確認することができる。

以上で説明した本発明は、本発明の属する技術分野における通常の知識を有する者にとって、本発明の技術的思想を逸脱しない範囲内において様々な置換、変形及び変更が可能なため、前述の実施例及び添付図面によって限定されるものではない。

産業上の利用可能性
以上述べたように、本発明は、ウェブサービスを介してユーザのウェブサービスアドレスを入力され、当該ウェブサービスを自動的に訪問してリアルタイムにてウェブページを分析して主たる脆弱性が存在するか否かを確認して診断し、その結果情報をユーザＰＣに伝送するサービスを提供するのに応用可能である。なお、ウェブアプリケーションに対する様々な形の攻撃を防ぐ分野に応用可能であるため、産業上の利用可能性がある発明である。

１００：ユーザ端末２００：脆弱性判別システム
２１０：脆弱性スキャナ２２０：ウェブページ分析部
２３０：ＵＲＬリンク抽出部２４０：診断結果転送部
２５０：脆弱性データベース２６０：脆弱性解決リンク部
３００：対象システム３１０：ウェブページ
３２０：ＤＢスサーバー

Claims

ウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステムにおいて、
ユーザが、ユーザ端末から、最初のユーザが管理するウェブサービスのＵＲＬ若しくは開始ページを入力または選択して、脆弱性判別システムにより診断する機能を有し、前記脆弱性判別システムから、脆弱性の結果情報と、悪性コードの確認された外部リンクの問題点に関する解決情報と、統計情報と、を伝送されるユーザ端末と、
前記ユーザ端末から、ウェブサービスのＵＲＬ若しくは開始ページを入力され、ＵＲＬリンクを抽出し、ウェブページを走査して対象システムに伝送した後、対象システムから発見した問題を転送されてウェブページを分析し、脆弱性データベースに格納した後、診断結果情報と解決情報をユーザ端末に伝送する脆弱性判別システムと、
前記脆弱性判別システムから伝送されたウェブページを読み込んで診断し、脆弱性とリンクの問題を発見して脆弱性判別システムに伝送する対象システムと、を備えることを特徴とするウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステム。
前記脆弱性判別システムは、ユーザ端末から、ウェブサービスのＵＲＬ若しくは開始ページを入力されて走査して対象システムに伝送する脆弱性スキャナと、
前記ユーザ端末からウェブサービスのＵＲＬを入力され、ＵＲＬリンクを抽出するＵＲＬリンク抽出部と、
前記脆弱性スキャナから対象システムへとウェブページを伝送した後、対象システムから診断結果を受け取って分析するウェブページ分析部と、
前記ウェブページ分析部において分析された結果における脆弱性問題を格納する脆弱性データベースと、
前記脆弱性問題に関する解決情報を有していて、問題が発生すると、適切に脆弱性を解決する脆弱性解決リンク部と、
前記対象システムから伝送された脆弱性問題と解決情報をユーザ端末に伝送する診断結果転送部と、を備えることを特徴とする請求項１に記載のウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステム。
前記ＵＲＬリンク抽出部におけるリンク確認は、Ｈｔｍｌにおいて用いるｕｒｌリンク部分、すなわち、ｓｒｃ、ｉｍｇ、ｈｒｅｆ、ｌｉ、ｏｐｔｉｏｎ、ｆｏｒｍなどの因子値を調べてリンクを確認するか、あるいは、ウェブページ内のソースにおいてウェブサービスが用いる拡張子を有している文字列に対するアドレス、ｈｔｔｐ、ｈｔｔｐｓを文字をもって判別して確認するか、あるいは、「、」、引用符号で囲まれている文字の値を全て読み込んだ後、ウェブページのアドレス形式を有している文字列の値を読み込んでアドレスの有無を判別して確認することを特徴とする請求項２に記載のウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステム。
前記ＵＲＬリンク抽出部におけるリンクの確認方式は、ウェブページではない別個のファイルとして見なされ得るｘｍｌファイル、ｊｓファイル、ｓｗｆ（フラッシュ）ファイルにも同様に適用できることを特徴とする請求項２に記載のウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステム。
前記ウェブページ分析部におけるフラッシュファイルの分析は、ファイルをリアルタイムにてダウンロードしてウェブページ分析部に接続し、ウェブページ分析部においては、フラッシュファイルの有無を確認した後、内部のファイル構造を分析して、アクションスクリプトで作成された部分を見出し、当該部分に存在する外部リンク及び内部リンクを見出して次に訪問すべきアドレスに格納することを特徴とする請求項２に記載のウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステム。
前記対象システムは、ウェブページに存在する脆弱性を速やかに診断するために、リアルタイムにて分析可能な脆弱性に基本的な問題が存在するか否かを確認するための因子区切り部と、
各因子に追加の文字を入力して診断対象となるウェブサービスに転送する転送部と、
ウェブサービスの戻された結果を判別する判別部と、を備えることを特徴とする請求項１に記載のウェブサービスのリアルタイム脆弱性診断及び結果情報提供サービスシステム。