JP2014146307A - ウェブシェル検知／対応システム - Google Patents

Abstract

【課題】ウェブシェル検知／対応システムを提供すること。
【解決手段】検知対象サーバにバイナリファイル（ 二進化されたファイル）形態でコンパイルされた別途のウェブシェル検知アプリケーションをインストールせず、検知対象サーバのウェブページホーム経路内に挿入される情報収集スクリプトを介して検知対象サーバから情報を収集し、収集された情報を利用して遠隔で検知対象サーバがウェブシェルに感染されたかどうかを判断できるようにしたものである。
【選択図】 図２

Description

本発明は、ウェブシェル（Ｗｅｂｓｈｅｌｌ）検知技術に関し、特に検知対象サーバにバイナリファイル（二進化されたファイル）形態でコンパイルされた別途のウェブシェル検知アプリケーションをインストールしなくても、検知対象サーバのウェブシェルを手軽に検知できるウェブシェル検知／対応システムに関する。

ウェブシェルは、攻撃者が遠隔で侵入対象サーバに命令を行うことができるように作成したａｓｐ、ｐｈｐ、ｊｓｐ、ｃｇｉファイルなどのウェブスクリプト（Ｗｅｂ Ｓｃｒｉｐｔ）ファイルのことをいう。攻撃者は、ウェブシェルを利用して侵入対象サーバの管理者権限を獲得した後、侵入対象サーバのウェブページソースコード閲覧、侵入対象サーバ内のコンテンツなどの資料流出、バックドアプログラムのインストールなどの多様な攻撃をすることができる。最近では、ファイルアップロードだけでなく、ＳＱＬインジェクション（Ｉｎｊｅｃｔｉｏｎ）などのようなウェブ脆弱性を攻撃した後、侵入対象サーバをハッキングし続ける等、その類型が次第に巧妙化している。

韓国公開特許第１０−２００９−００８８６８７号（特許文献１）において検知対象コンピュータにインストールされてウェブシェルシグナチャー分析を介して検知対象コンピュータがウェブシェルに感染されたかどうかを検知し、登録されないウェブシェルシグナチャーが発生した場合には、サーバからウェブシェルシグナチャーをアップデートするウェブシェル検知技術を提案している。

韓国公開特許第１０−２００９−００８８６８７号（２００９．０８．２０）

しかしながら、このような従来のウェブシェル検知技術は、検知対象サーバにバイナリファイル形態でコンパイルされた別途のウェブシェル検知アプリケーションをインストールしてウェブシェルを検知しなければならなかったので、検知対象サーバでプロセシング（ｐｒｏｃｅｓｓｉｎｇ）している他のアプリケーションとの衝突可能性があり、ウェブシェル検知のための別途の管理人力が必要であり、ウェブシェルによる事故発生時にウェブシェルに対する専門的な知識不在で迅速な対応が難しいという問題があった。

そのため、本発明者は、検知対象サーバにバイナリファイル形態でコンパイルされた別途のウェブシェル検知アプリケーションをインストールしなくても、検知対象サーバのウェブシェルを手軽に検知できるウェブシェル検知技術に対する研究を行うようになった。

本発明は、上記の課題を解決するためになされたものであって、その目的は、検知対象サーバにバイナリファイル形態でコンパイルされた別途のウェブシェル検知アプリケーションをインストールせず、検知対象サーバのウェブページホーム経路内に挿入される情報収集スクリプトを介して検知対象サーバから情報を収集し、収集された情報を利用して遠隔で検知対象サーバがウェブシェルに感染されたかどうかを判断できるウェブシェル検知／対応システムを提供することにある。

上記目的を達成すべく、本発明の一様相によれば、ウェブシェル検知／対応システムが検知対象サーバのウェブページホーム経路内に挿入されて、該当検知対象サーバから情報を収集する情報収集スクリプトとの連動を処理するスクリプト連動部と、検知対象サーバのウェブページ構成コンテンツの各々の無欠性ハッシュ情報をデータベースに予め格納して管理するＤＢ管理部と、前記スクリプト連動部により連動された情報収集スクリプトにより周期的または非周期的に収集される検知対象サーバのウェブページ構成コンテンツの各々の現在ハッシュ情報と、前記ＤＢ管理部により格納された検知対象サーバのウェブページ構成コンテンツの各々の無欠性ハッシュ情報とを比較して、変調されたウェブページ構成コンテンツを検索する情報分析部とを備えて構成されることを特徴とする。

本発明の付加的な様相によれば、ウェブシェル検知／対応システムの情報分析部が、変調されたウェブページ構成コンテンツファイル送信を情報収集スクリプトに要請して、検知対象サーバから変調されたウェブページ構成コンテンツファイルを受信することを特徴とする。

本発明の付加的な様相によれば、ウェブシェル検知／対応システムの情報分析部が、検知対象サーバから受信された変調されたウェブページ構成コンテンツファイルに対するウェブシェル特徴パターン（Ｗｅｂｓｈｅｌｌ Ｓｉｇｎａｔｕｒｅ Ｐａｔｔｅｒｎ）分析を行って、該当検知対象サーバがウェブシェルに感染されたかどうかを検知することを特徴とする。

本発明の付加的な様相によれば、ウェブシェル検知／対応システムが、前記情報分析部により検知対象サーバがウェブシェルに感染したと判断された場合、該当検知対象サーバ担当者に警告を行う対応管理部をさらに備えることを特徴とする。

本発明の付加的な様相によれば、ウェブシェル検知／対応システムの対応管理部が、前記情報分析部により検知対象サーバがウェブシェルに感染されなかったと判断された場合、ウェブページ構成コンテンツの無欠性ハッシュ情報に対するアップデートを要請することを特徴とする。

本発明の付加的な様相によれば、ウェブシェル検知／対応システムのＤＢ管理部が、前記対応管理部からのウェブページ構成コンテンツの無欠性ハッシュ情報に対するアップデート要請に従って、前記変調されたウェブページ構成コンテンツの現在ハッシュ情報を該当ウェブページ構成コンテンツの無欠性ハッシュ情報としてデータベースに格納して、ウェブページ構成コンテンツの無欠性ハッシュ情報を更新することを特徴とする。

本発明の付加的な様相によれば、ウェブシェル検知／対応システムのスクリプト連動部が、検知対象サーバのアクティブ状態または非アクティブ状態を検査し、該当検知対象サーバがアクティブ状態である場合に、前記情報分析部に変調されたウェブページ構成コンテンツ検索を要請することを特徴とする。

本発明の付加的な様相によれば、ウェブシェル検知／対応システムのスクリプト連動部が、前記検知対象サーバが非アクティブ状態である場合、該当検知対象サーバ接続失敗ログを格納することを特徴とする。

本発明の付加的な様相によれば、前記ハッシュ情報が、検知対象サーバ識別情報、ウェブページ構成コンテンツファイルのハッシュ値、ウェブページ構成コンテンツファイルが格納された経路深さ、ウェブページ構成コンテンツファイル名、ウェブページ構成コンテンツファイルが格納された経路名、ウェブページ構成コンテンツファイルの実行権限、ウェブページ構成コンテンツファイルの最終修正日、ウェブページ構成コンテンツファイルの登録日を含むことを特徴とする。

本発明の付加的な様相によれば、情報収集スクリプトが、ウェブシェル検知／対応システムと連動される装置連動部と、検知対象サーバのウェブページホーム経路内のすべてのウェブページ構成コンテンツファイルに対する現在ハッシュ情報を生成して、前記装置連動部により連動されたウェブシェル検知／対応システムに送信するハッシュ情報処理部と、前記装置連動部により連動されたウェブシェル検知／対応システムからの変調されたウェブページ構成コンテンツファイル送信要請に従って、検知対象サーバのウェブページホーム経路内の変調されたウェブページ構成コンテンツファイルをウェブシェル検知／対応システムに送信するファイル処理部とを備えて構成されることを特徴とする。

本発明は、検知対象サーバにバイナリファイル形態でコンパイルされた別途のウェブシェル検知アプリケーションをインストールせず、遠隔で検知対象サーバから収集された情報を利用して、検知対象サーバがウェブシェルに感染されたかどうかを検知することによって、検知対象サーバでプロセシング（ｐｒｏｃｅｓｓｉｎｇ）中である他のアプリケーションとの衝突可能性が全くなく、検知対象サーバ運営側でウェブシェル検知のための別途の管理人力を必要とせず、検知対象サーバにウェブシェルによる事故発生時に遠隔でウェブシェルを統合管理する専門的な管理者により迅速な対応が可能であるという効果がある。

本発明に係るウェブシェル検知／対応システムが適用されたネットワーク概要図である。 本発明に係るウェブシェル検知／対応システムの一実施形態の構成を示すブロック図である。 検知対象サーバのウェブページホーム経路内に挿入されて、検知対象サーバから情報を収集する情報収集スクリプトの一実施形態の構成を示すブロック図である。 本発明に係るウェブシェル検知／対応システムのウェブシェル検知動作の一例を示すフローチャートである。

以下、本発明の好ましい実施の形態を添付した図面を参照して詳細に説明する。そして、本発明を説明するに当たって、関連した公知の機能又は構成についての具体的な説明が本発明の要旨を不明確にする恐れがあると判断される場合には、その詳細な説明を省略する。そして、後述する用語は、本発明での機能を考慮して定義された用語であり、これは、ユーザ、操作者の意図又は慣例などによって変わりうる。したがって、その定義は、本明細書全般にわたる内容に基づいて行わなければならない。

図１は、本発明に係るウェブシェル検知／対応システムが採用されたネットワーク概要図である。図１に示すように、本発明に係るウェブシェル検知／対応システム１００は、インターネットを介して少なくとも一つの検知対象サーバ２００と接続される。各検知対象サーバ２００のウェブページホーム経路内には、情報収集スクリプト３００が挿入されて、各検知対象サーバ２００から情報を収集してウェブシェル検知／対応システム１００に送信する。

ウェブシェル検知／対応システム１００は、検知対象サーバ２００のウェブページホーム経路内に挿入されて、該当検知対象サーバから情報を収集する情報収集スクリプト３００により周期的または非周期的に収集される検知対象サーバのウェブページ構成コンテンツの各々の現在ハッシュ情報と、予め格納されている検知対象サーバのウェブページ構成コンテンツの各々の無欠性ハッシュ情報とを比較して、変調されたウェブページ構成コンテンツを検索する。

そして、ウェブシェル検知／対応システム１００は、情報収集スクリプト３００を介して検知対象サーバ２００から変調されたウェブページ構成コンテンツファイルを受信し、変調されたウェブページ構成コンテンツファイルに対するウェブシェル特徴パターン分析を行って、該当検知対象サーバがウェブシェルに感染されたかどうかを検知する。

これにより、本発明は、検知対象サーバにバイナリファイル形態でコンパイルされた別途のウェブシェル検知アプリケーションをインストールせず、遠隔で検知対象サーバから収集された情報を利用して、検知対象サーバがウェブシェルに感染されたかどうかを検知することによって、検知対象サーバでプロセシング中である他のアプリケーションとの衝突可能性が全くなく、検知対象サーバ運営側でウェブシェル検知のための別途の管理人力を必要とせず、検知対象サーバにウェブシェルによる事故発生時に遠隔でウェブシェルを統合管理する専門的な管理者により迅速な対応が可能になる。

図２は、本発明に係るウェブシェル検知／対応システムの一実施形態の構成を示すブロック図である。図２に示すように、この実施の形態に係るウェブシェル検知／対応システム１００は、スクリプト連動部１１０と、ＤＢ管理部１２０と、情報分析部１３０とを備えて構成される。

前記スクリプト連動部１１０は、検知対象サーバ２００のウェブページホーム経路内に挿入されて、該当検知対象サーバから情報を収集する情報収集スクリプト３００との連動を処理する。

例えば、前記スクリプト連動部１１０が周期的または非周期的に情報収集スクリプト３００とソケット（Ｓｏｃｋｅｔ）通信を行って、ウェブシェル検知／対応システム１００が情報収集スクリプト３００と連動されるように実現することができる。情報収集スクリプト３００の具体的な構成は後述する。

一方、スクリプト連動部１１０が検知対象サーバ２００のアクティブまたは非アクティブ状態を検査し、該当検知対象サーバ２００がアクティブ状態である場合に、情報分析部１３０に変調されたウェブページ構成コンテンツ検索を要請するように実現することができる。

仮に、前記検知対象サーバが非アクティブ状態である場合、前記スクリプト連動部１１０が該当検知対象サーバ接続失敗ログを格納するように実現することもできる。検知対象サーバ接続失敗ログには、検知対象サーバの識別情報、検知対象サーバのＩＰアドレス、接続試み日時などが記録されることができる。

前記ＤＢ管理部１２０は、検知対象サーバ２００のウェブページ構成コンテンツの各々の無欠性ハッシュ情報をデータベースに予め格納して管理する。例えば、情報収集スクリプト３００により検知対象サーバ２００から最初情報を収集するとき、前記ＤＢ管理部１２０が該当検知対象サーバのウェブページ構成コンテンツの各々の無欠性ハッシュ情報を検知対象サーバ２００から受信してデータベースに格納することによって、検知対象サーバ２００のウェブページ構成コンテンツの各々の無欠性ハッシュ情報がウェブシェル検知／対応システム１００に登録されるように実現することができる。

前記情報分析部１３０は、前記スクリプト連動部１１０により連動された情報収集スクリプト３００により周期的または非周期的に収集される検知対象サーバ２００のウェブページ構成コンテンツの各々の現在ハッシュ情報と、前記ＤＢ管理部により格納された検知対象サーバのウェブページ構成コンテンツの各々の無欠性ハッシュ情報とを比較して、変調されたウェブページ構成コンテンツを検索する。

このとき、前記無欠性ハッシュ情報及び情報収集スクリプト３００により周期的または非周期的に収集される現在ハッシュ情報が検知対象サーバの暗号化プライベートキー（Ｐｒｉｖａｔｅ Ｋｅｙ）などのような検知対象サーバ識別情報、ウェブページ構成コンテンツファイルを特定のハッシュ関数（Ｈａｓｈ Ｆｕｎｃｔｉｏｎ）のシード値として算出されたウェブページ構成コンテンツファイルのハッシュ値、ウェブページ構成コンテンツファイルが格納された経路深さ、ウェブページ構成コンテンツファイル名、ウェブページ構成コンテンツファイルが格納された経路名、ウェブページ構成コンテンツファイルの実行権限、ウェブページ構成コンテンツファイルの最終修正日、ウェブページ構成コンテンツファイルの登録日などを含むことができる。

すなわち、予め格納されている検知対象サーバのウェブページ構成コンテンツの各々の無欠性ハッシュ情報と情報収集スクリプト３００により周期的または非周期的に収集される検知対象サーバのウェブページ構成コンテンツの各々の現在ハッシュ情報が互いに異なる検知対象サーバのウェブページ構成コンテンツは、変調されたコンテンツであるから、前記情報分析部１３０を介して変調されたウェブページ構成コンテンツを検索できる。

例えば、検知対象サーバのウェブページ構成コンテンツの無欠性ハッシュ情報と現在ハッシュ情報に含まれた検知対象サーバ識別情報とが互いに異なるか、ウェブページ構成コンテンツファイルのハッシュ値が互いに異なるか、ウェブページ構成コンテンツファイルが格納された経路深さが互いに異なるか、ウェブページ構成コンテンツファイル名が互いに異なるか、ウェブページ構成コンテンツファイルが格納された経路名が互いに異なるか、ウェブページ構成コンテンツファイルの実行権限が互いに異なるか、ウェブページ構成コンテンツファイルの最終修正日が互いに異なるか、又はウェブページ構成コンテンツファイルの登録日が互いに異なると判断される場合、前記情報分析部１３０が該当ウェブページ構成コンテンツを変調されたと判断できる。

一方、発明の付加的な様相によれば、前記情報分析部１３０が変調されたウェブページ構成コンテンツファイル送信を情報収集スクリプト３００に要請して、検知対象サーバ２００から変調されたウェブページ構成コンテンツファイルを受信するように実現することができる。

変調されたウェブページ構成コンテンツが検索されると、変調されたウェブページ構成コンテンツが攻撃者により悪意的に追加または変更されたウェブシェル（Ｗｅｂｓｈｅｌｌ）であるか、それともウェブシェルでなく正当に変更されたことであるかに対する分析が必要である。

このために、前記情報分析部１３０が変調されたウェブページ構成コンテンツファイル送信を情報収集スクリプト３００に要請すると、情報収集スクリプト３００は、検知対象サーバ２００から変調されたウェブページ構成コンテンツファイルを検索して、変調されたウェブページ構成コンテンツファイルをウェブシェル検知／対応システム１００に送信し、ウェブシェル検知／対応システム１００は、情報分析部１３０を介して変調されたウェブページ構成コンテンツファイルを受信する。

一方、発明の付加的な様相によれば、前記情報分析部１３０が検知対象サーバ２００から受信された変調されたウェブページ構成コンテンツファイルに対するウェブシェル特徴パターン分析を行って、該当検知対象サーバ２００がウェブシェルに感染されたかどうかを検知するように実現することができる。

例えば、ウェブシェル検知／対応システム１００が予めウェブシェル特徴パターンをデータベースに格納し、検知対象サーバ２００から受信された変調されたウェブページ構成コンテンツファイルがデータベースに格納されたウェブシェル特徴パターンを含んでいるかどうかを検査して、該当検知対象サーバ２００がウェブシェルに感染されたかどうかを検知するように実現することができる。

一方、発明の付加的な様相によれば、前記ウェブシェル検知／対応システム１００が対応管理部１４０をさらに備えることができる。前記対応管理部１４０は、前記情報分析部１３０により検知対象サーバがウェブシェルに感染したと判断された場合、該当検知対象サーバ担当者に警告を行う。

例えば、前記対応管理部１４０が検知対象サーバ担当者の電子メール（PC及び携帯等）を介して該当検知対象サーバがウェブシェルに感染されたウェブページ構成コンテンツファイル名、ウェブシェル識別情報などを含むウェブシェル感染リポートを送信して、該当検知対象サーバがウェブシェルに感染されたことを通報するように実現することができる。

一方、発明の付加的な様相によれば、前記対応管理部１４０が前記情報分析部１３０により検知対象サーバがウェブシェルに感染されなかったと判断された場合、ウェブページ構成コンテンツの無欠性ハッシュ情報に対するアップデートを要請するように実現することができる。

そうすると、前記ＤＢ管理部１２０が前記対応管理部１４０からのウェブページ構成コンテンツの無欠性ハッシュ情報に対するアップデート要請に従って、前記変調されたウェブページ構成コンテンツの現在ハッシュ情報を該当ウェブページ構成コンテンツの無欠性ハッシュ情報としてデータベースに格納して、ウェブページ構成コンテンツの無欠性ハッシュ情報を更新する。

すなわち、この実施形態は、変調されたウェブページ構成コンテンツがウェブシェルに感染されずに正当に変調された場合、変調されたウェブページ構成コンテンツの無欠性ハッシュ情報が変更されるので、この変更されたウェブページ構成コンテンツの無欠性ハッシュ情報を該当ウェブページ構成コンテンツの新しい無欠性ハッシュ情報として更新するための実施形態である。

一方、発明の付加的な様相によれば、前記情報収集スクリプト３００が変調されたウェブページ構成コンテンツファイルをエンコード（Ｅｎｃｏｄｉｎｇ）して送信し、これを受信したウェブシェル検知／対応システム１００の情報分析部１３０がエンコードされた変調されたウェブページ構成コンテンツファイルをデコード（Ｄｅｃｏｄｉｎｇ）して、ウェブシェル感染有無を分析するように実現することもできる。

一方、発明の付加的な様相によれば、前記情報分析部１３０が変調されたウェブページ構成コンテンツファイルに対するウェブシェル特徴パターン分析の遂行結果として、ウェブシェル検知ログを格納するように実現することもできる。ウェブシェル検知ログには、検知対象サーバの識別情報、検知対象サーバのＩＰアドレス、分析日時などが記録されることができる。

一方、発明の付加的な様相によれば、ウェブシェル検知／対応システム１００のスクリプト連動部１１０と、ＤＢ管理部１２０と、情報分析部１３０及び対応管理部１４０が物理的または論理的に一つのサーバ個体で実現することができ、その各々が物理的または論理的に分散される複数のサーバ個体で実現することもできる。

したがって、このように実現することによって、本発明は、検知対象サーバにバイナリファイル形態でコンパイルされた別途のウェブシェル検知アプリケーションをインストールせず、遠隔で検知対象サーバから収集された情報を利用して、検知対象サーバがウェブシェルに感染されたかどうかを検知することによって、検知対象サーバでプロセシング中である他のアプリケーションとの衝突可能性が全くなく、検知対象サーバ運営側でウェブシェル検知のための別途の管理人力を必要とせず、検知対象サーバにウェブシェルによる事故発生時に遠隔でウェブシェルを統合管理する専門的な管理者により迅速な対応が可能である。

図３は、検知対象サーバのウェブページホーム経路内に挿入されて検知対象サーバから情報を収集する情報収集スクリプトの一実施形態の構成を示すブロック図である。図３に示すように、情報収集スクリプト３００は、装置連動部３１０と、ハッシュ情報処理部３２０と、ファイル処理部３３０とを備えて構成される。

前記装置連動部３１０は、ウェブシェル検知／対応システム１００と連動される。例えば、前記装置連動部３１０がウェブシェル検知／対応システム１００からの要請に従って、周期的または非周期的にウェブシェル検知／対応システム１００とソケット（Ｓｏｃｋｅｔ）通信を行って、ウェブシェル検知／対応システム１００と連動されるように実現することができる。

ソケット（Ｓｏｃｋｅｔ）通信は、ネットワークに接続されている２つのコンピュータの通信接点に位置する通信オブジェクトであるソケット（Ｓｏｃｋｅｔ）を生成し、このソケットを介して互いにデータを交換する方式であって、片方から送った信号を他方で受信すると接続が成立し、その後にデータをやり取りし、信頼性が保障されるＩＰプロトコルのＴＣＰパケットまたは信頼性が保障されないＩＰプロトコルのＵＤＰパケットを利用して、データをやりとりすることができる。

前記ハッシュ情報処理部３２０は、検知対象サーバ２００のウェブページホーム経路内のすべてのウェブページ構成コンテンツファイルに対する現在ハッシュ情報を生成して、前記装置連動部により連動されたウェブシェル検知／対応システムに送信する。

例えば、現在ハッシュ情報が検知対象サーバ識別情報、ウェブページ構成コンテンツファイルのハッシュ値、ウェブページ構成コンテンツファイルが格納された経路深さ、ウェブページ構成コンテンツファイル名、ウェブページ構成コンテンツファイルが格納された経路名、ウェブページ構成コンテンツファイルの実行権限、ウェブページ構成コンテンツファイルの最終修正日、ウェブページ構成コンテンツファイルの登録日などを含むことができる。

前記ハッシュ情報処理部３２０は、検知対象サーバのウェブページホーム経路内のすべてのウェブページ構成コンテンツファイルに対するハッシュ値、格納された経路深さ、ファイル名、経路名、実行権限、最終修正日、登録日を把握し、これに該当検知対象サーバの識別情報を追加して検知対象サーバ２００のウェブページ構成コンテンツファイルの各々に対する現在ハッシュ情報を生成する。

このとき、検知対象サーバ２００のウェブページ構成コンテンツファイルの各々の現在ハッシュ情報が最初に生成された場合、この最初に生成されたウェブページ構成コンテンツファイルの各々の現在ハッシュ情報が検知対象サーバ２００のウェブページ構成コンテンツの各々の無欠性ハッシュ情報になることができる。

前記ファイル処理部３３０は、前記装置連動部３１０により連動されたウェブシェル検知／対応システムからの変調されたウェブページ構成コンテンツファイル送信要請に従って、検知対象サーバ２００のウェブページホーム経路内の変調されたウェブページ構成コンテンツファイルをウェブシェル検知／対応システムに送信する。

上で説明したように、ウェブシェル検知／対応システム１００により変調されたウェブページ構成コンテンツが検索されると、変調されたウェブページ構成コンテンツが攻撃者により悪意的に追加または変更されたウェブシェルであるか、それとも正当に変更されたことであるかに対する分析が必要となり、ウェブシェル検知／対応システム１００は、情報分析部１３０を介して変調されたウェブページ構成コンテンツファイル送信を情報収集スクリプト３００に要請する。

そうすると、情報収集スクリプト３００のファイル処理部３３０が検知対象サーバ２００のウェブページホーム経路で変調されたウェブページ構成コンテンツファイルを検索し、変調されたウェブページ構成コンテンツファイルをウェブシェル検知／対応システム１００に送信する。そうすると、ウェブシェル検知／対応システム１００は、情報分析部１３０を介して変調されたウェブページ構成コンテンツファイルを受信し、変調されたウェブページ構成コンテンツが攻撃者により悪意的に追加または変更されたウェブシェルであるか、それともウェブシェルではなく正当に変更されたことであるかに対する分析を行う。

以上で説明した本発明に係るウェブシェル検知／対応システムのウェブシェル検知の手順を図４を参照して述べる。図４は、本発明に係るウェブシェル検知／対応システムのウェブシェル検知動作の一例を示すフローチャートである。

説明に先立って、検知対象サーバのウェブページホーム経路内に該当検知対象サーバから情報を収集する情報収集スクリプトが挿入され、検知対象サーバのウェブページ構成コンテンツの各々の無欠性ハッシュ情報及びウェブシェル特徴パターンが予めウェブシェル検知／対応システムに格納されたと仮定する。

まず、ステップ４１０にてウェブシェル検知／対応システムが周期的または非周期的に検知対象サーバから情報を収集する情報収集スクリプトと連動される。ウェブシェル検知／対応システムの情報収集スクリプト連動については既に説明したので、重なる説明は省略する。

前記ステップ４１０によりウェブシェル検知／対応システムと情報収集スクリプトとが連動されると、ステップ４２０にてウェブシェル検知／対応システムが情報収集スクリプトを介して検知対象サーバのウェブページ構成コンテンツの各々の現在ハッシュ情報を受信する。検知対象サーバのウェブページ構成コンテンツの各々の現在ハッシュ情報生成及び送信については既に説明したので、重複説明は省略する。

前記ステップ４２０により検知対象サーバのウェブページ構成コンテンツの各々の現在ハッシュ情報が受信されると、ステップ４３０にてウェブシェル検知／対応システムが受信された検知対象サーバのウェブページ構成コンテンツの各々の現在ハッシュ情報と、予め格納されている検知対象サーバのウェブページ構成コンテンツの各々の無欠性ハッシュ情報とを比較して、変調されたウェブページ構成コンテンツを検索する。変調されたウェブページ構成コンテンツ検索については既に説明したので、重複説明は省略する。

前記ステップ４３０により変調されたウェブページ構成コンテンツファイルが検索されると、ステップ４４０にてウェブシェル検知／対応システムが変調されたウェブページ構成コンテンツファイル送信を情報収集スクリプトに要請して受信する。

変調されたウェブページ構成コンテンツファイル送信要請に従って、情報収集スクリプトが検知対象サーバのウェブページホーム経路で変調されたウェブページ構成コンテンツファイルを検索し、変調されたウェブページ構成コンテンツファイルをウェブシェル検知／対応システムに送信し、ウェブシェル検知／対応システムがこれを受信する。

変調されたウェブページ構成コンテンツファイルを受信したウェブシェル検知／対応システムは、ステップ４５０にて変調されたウェブページ構成コンテンツが攻撃者により悪意的に追加または変更されたウェブシェルであるか、それとも正当に変更されたことであるかに対する分析を行う。

このとき、変調されたウェブページ構成コンテンツファイルが予め格納されているウェブシェル特徴パターンを含んでいるかどうかを検索することにより、変調されたウェブページ構成コンテンツが攻撃者により悪意的に追加または変更されたウェブシェルであるか、それとも正当に変更されたことであるかを判断できる。

仮に、ステップ４５０による判断結果、検知対象サーバがウェブシェルに感染したと判断された場合には、ステップ４６０にてウェブシェル検知／対応システムが該当検知対象サーバ担当者に警告を行う。ウェブシェルに感染される際の警告遂行については既に説明したので、重複説明は省略する。

一方、ステップ４５０による判断結果、検知対象サーバがウェブシェルに感染されなかたっと判断された場合には、ステップ４７０にてウェブシェル検知／対応システムがウェブページ構成コンテンツの無欠性ハッシュ情報に対するアップデートを行う。ウェブページ構成コンテンツの無欠性ハッシュ情報アップデートについては既に説明したので、重複説明は省略する。

したがって、このように実現することによって、本発明は、検知対象サーバにバイナリファイル形態でコンパイルされた別途のウェブシェル検知アプリケーションをインストールせず、遠隔で検知対象サーバから収集された情報を利用して、検知対象サーバがウェブシェルに感染されたかどうかを検知することによって、検知対象サーバでプロセシング中である他のアプリケーションとの衝突可能性が全くなく、検知対象サーバ運営側でウェブシェル検知のための別途の管理人力を必要とせず、検知対象サーバにウェブシェルによる事故発生時に遠隔でウェブシェルを統合管理する専門的な管理者により迅速な対応が可能なので、上で提示した本発明の目的を達成することができる。

本発明は、添付された図面により参照される好ましい実施形態を中心に記述されたが、このような記載から後述する特許請求の範囲により包括される範囲内で本発明の範ちゅうを逸脱せずに多様な変形が可能であることは明らかである。

本発明は、ウェブシェル検知技術分野及びその応用技術分野において産業上利用可能である。

Claims (10)

1. 検知対象サーバのウェブページホーム経路内に挿入されて、該当検知対象サーバから情報を収集する情報収集スクリプトとの連動を処理するスクリプト連動部と、
   検知対象サーバのウェブページ構成コンテンツの各々の無欠性ハッシュ情報をデータベースに予め格納して管理するＤＢ管理部と、
   前記スクリプト連動部により連動された情報収集スクリプトにより周期的または非周期的に収集される検知対象サーバのウェブページ構成コンテンツの各々の現在ハッシュ情報と、前記ＤＢ管理部により格納された検知対象サーバのウェブページ構成コンテンツの各々の無欠性ハッシュ情報とを比較して、変調されたウェブページ構成コンテンツを検索する情報分析部と
   を備えて構成されることを特徴とするウェブシェル検知／対応システム。
2. 前記情報分析部が、
   変調されたウェブページ構成コンテンツファイル送信を情報収集スクリプトに要請して、検知対象サーバから変調されたウェブページ構成コンテンツファイルを受信することを特徴とする請求項１に記載のウェブシェル検知／対応システム。
3. 前記情報分析部が、
   検知対象サーバから受信された変調されたウェブページ構成コンテンツファイルに対するウェブシェル特徴パターン（Ｗｅｂｓｈｅｌｌ Ｓｉｇｎａｔｕｒｅ Ｐａｔｔｅｒｎ）分析を行って、該当検知対象サーバがウェブシェルに感染されたかどうかを検知することを特徴とする請求項２に記載のウェブシェル検知／対応システム。
4. 前記ウェブシェル検知／対応システムが、
   前記情報分析部により検知対象サーバがウェブシェルに感染したと判断された場合、該当検知対象サーバ担当者に警告を行う対応管理部をさらに備えることを特徴とする請求項３に記載のウェブシェル検知／対応システム。
5. 前記対応管理部が、
   前記情報分析部により検知対象サーバがウェブシェルに感染されなかったと判断された場合、ウェブページ構成コンテンツの無欠性ハッシュ情報に対するアップデートを要請することを特徴とする請求項４に記載のウェブシェル検知／対応システム。
6. 前記ＤＢ管理部が、
   前記対応管理部からのウェブページ構成コンテンツの無欠性ハッシュ情報に対するアップデート要請に従って、前記変調されたウェブページ構成コンテンツの現在ハッシュ情報を該当ウェブページ構成コンテンツの無欠性ハッシュ情報としてデータベースに格納して、ウェブページ構成コンテンツの無欠性ハッシュ情報を更新することを特徴とする請求項５に記載のウェブシェル検知／対応システム。
7. 前記スクリプト連動部が、
   検知対象サーバのアクティブ状態または非アクティブ状態を検査し、該当検知対象サーバがアクティブ状態である場合に、前記情報分析部に変調されたウェブページ構成コンテンツ検索を要請することを特徴とする請求項１に記載のウェブシェル検知／対応システム。
8. 前記スクリプト連動部が、
   前記検知対象サーバが非アクティブ状態である場合、該当検知対象サーバ接続失敗ログを格納することを特徴とする請求項７に記載のウェブシェル検知／対応システム。
9. 前記ハッシュ情報が、
   検知対象サーバ識別情報、ウェブページ構成コンテンツファイルのハッシュ値、ウェブページ構成コンテンツファイルが格納された経路深さ、ウェブページ構成コンテンツファイル名、ウェブページ構成コンテンツファイルが格納された経路名、ウェブページ構成コンテンツファイルの実行権限、ウェブページ構成コンテンツファイルの最終修正日、ウェブページ構成コンテンツファイルの登録日を含むことを特徴とする請求項１ないし８のうちの何れか１項に記載のウェブシェル検知／対応システム。
10. 前記情報収集スクリプトが、
    ウェブシェル検知／対応システムと連動される装置連動部と、
    検知対象サーバのウェブページホーム経路内のすべてのウェブページ構成コンテンツファイルに対する現在ハッシュ情報を生成して、前記装置連動部により連動されたウェブシェル検知／対応システムに送信するハッシュ情報処理部と、
    前記装置連動部により連動されたウェブシェル検知／対応システムからの変調されたウェブページ構成コンテンツファイル送信要請に従って、検知対象サーバのウェブページホーム経路内の変調されたウェブページ構成コンテンツファイルをウェブシェル検知／対応システムに送信するファイル処理部と
    を備えて構成されることを特徴とする請求項１ないし８のうちの何れか１項に記載のウェブシェル検知／対応システム。

Images