JP2016045887A

JP2016045887A - 監視システム、観測装置、解析装置、監視方法およびコンピュータプログラム

Info

Publication number: JP2016045887A
Application number: JP2014171927A
Authority: JP
Inventors: 隆志松中; Takashi Matsunaka; 歩窪田; Ayumi Kubota; 裕二星澤; Yuji Hoshisawa
Original assignee: KDDI Corp; Securebrain Corp
Current assignee: KDDI Corp; Securebrain Corp
Priority date: 2014-08-26
Filing date: 2014-08-26
Publication date: 2016-04-04

Abstract

【課題】未知の悪性サイトへのアクセスを検出可能とすると共に該検出にかかる負担を軽減すること。
【解決手段】観測装置１−１，１−２は、ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部１２と、該収集された情報を解析装置２へ送信する送受信部２１と、を備え、解析装置２は、該送信された情報を受信する送受信部２１と、該受信された情報に基づいて特定のページ遷移方法の検出を行い、該特定のページ遷移方法の検出結果に基づいてWebページへのアクセスからダウンロードされたコンテンツの悪性を判断する解析部２２と、解析部２２により悪性が疑われると判断されたコンテンツだけを解析の対象に決定する情報要求部２３と、を備える。
【選択図】図１

Description

本発明は、ウェブ（Web）ページへのアクセスについての監視システム、観測装置、解析装置、監視方法およびコンピュータプログラムに関する。

従来、Webページの改ざんや悪性Webページによる攻撃の一例として、ドライブバイダウンロード（Drive-by Download）攻撃と呼ばれるものが知られている。Drive-by Download攻撃とは、ユーザがWebブラウザを使用して悪性Webページにアクセスした際に、WebブラウザやWebブラウザのプラグインソフトウェアの脆弱性を悪用してマルウェアをダウンロードさせる攻撃である。一般的なDrive-by Download攻撃では、攻撃者は正規のWebページを改ざんして、マルウェアを配布するサイト又はマルウェア自身へリンクさせるためのスクリプトコードを挿入することにより、当該Webページへアクセスしたユーザを自動的にExploitサイトへ転送させる。ユーザは、その転送先のExploitサイトでWebブラウザやプラグインソフトウェアなどの脆弱性をつく攻撃を受けることにより、マルウェア配布サイトへ転送させられる。この結果、ユーザは、その転送先のマルウェア配布サイトからマルウェアを自動的にダウンロードして実行することになる。

Webページの改ざんや悪性Webページを監視する従来技術として、例えば、特許文献１、非特許文献１，２などが知られている。特許文献１に記載される従来技術では、Webサイト上のコンテンツに対して、あらかじめ保持しておいたコンテンツの特徴量や複製を用いて、コンテンツの特徴量の差異、コンテンツの差分を検出することにより、コンテンツの改ざんを検知している。非特許文献１に記載される従来技術では、マルウェア配布サイトの情報とWebページ間のリンク構造を示すグラフに基づいて、マルウェア配布サイトへのlandingサイトを検出し、検出されたlandingサイトに基づいて未知のマルウェア配布サイトを検出している。非特許文献２に記載される従来技術では、「honeyclient」と呼ばれるマルウェア収集用Webクローラを使用してWebページを巡回し情報を収集することにより、マルウェアおよびマルウェア配布サイトを能動的に検出している。honeyclientには、探索の起点となるWebページ（シードと呼ばれる）を与える。

特開２００４−０２１８７３号公報

J. W. Stokes et al, "WebCop: Locating Neighborhoods of Malware on the Web", Proc. 3rd USENIX Workshop on Large-scale Exploits and Emergent Threats (LEET2010), 2010 Y-M. Wang et al, "Automated Web Patrol with Strider HoneyMonkeys: Finding Web Sites That Exploit Browser Vulnerabilities", Proc. 13th Annual Network & Distributed System Security Symposium (NDSS2006), 2006

しかし、上述した従来技術では以下に示す課題がある。
特許文献１に記載される従来技術では、Webページが正規に変更された場合と不正に改ざんされた場合とを区別することが難しい。また、コンテンツの特徴量によってはコンテンツの変化を検出できないようにコンテンツが改ざんされると、その検出が難しい。
非特許文献１に記載される従来技術では、既知のマルウェア配布サイトのURL（Uniform Resource Locator）が豊富にないと、未知のマルウェア配布サイトを検出する効果が十分に得られない。
非特許文献２に記載される従来技術では、検出能力を高めるために的確なシードを与えないと、マルウェアおよびマルウェア配布サイトを効率的に検出できない。

本発明は、このような事情を考慮してなされたもので、未知の悪性サイトを検出可能とすると共に該検出にかかる負担を軽減できる、監視システム、観測装置、解析装置、監視方法およびコンピュータプログラムを提供することを課題とする。

（１）本発明の一態様は、観測装置と、前記観測装置と通信回線で接続される解析装置とを有する監視システムであり、前記観測装置は、ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部と、前記データ観測部で収集された情報を前記解析装置へ送信する送信部と、を備え、前記解析装置は、前記観測装置から送信された情報を受信する受信部と、前記受信部で受信された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスからダウンロードされたコンテンツの悪性を判断する解析部と、
前記解析部により悪性が疑われると判断されたコンテンツだけを解析の対象に決定する解析対象決定部と、を備えた、監視システムである。
（２）本発明の一態様は、上記（１）の監視システムにおいて、前記特定のページ遷移方法は、ドライブバイダウンロード（Drive-by Download）攻撃における特徴的なページ遷移方法である、監視システムである。
（３）本発明の一態様は、上記（２）の監視システムにおいて、前記特定のページ遷移方法は、参照元サイトの情報がHTTPヘッダ上に付かない、且つ、先頭ページからの一連のページ遷移において取得されたコンテンツから転送元を推測できない方法である監視システムである。
（４）本発明の一態様は、上記（１）の監視システムにおいて、前記特定のページ遷移方法は、前記Webページへのアクセスにおける先頭ページからの一連の遷移ページのURLの中に、該先頭ページに関する過去の遷移ページのドメイン名の記録に存在しない新規のドメイン名を持つURLが存在する方法である、監視システムである。

（５）本発明の一態様は、ユーザによるWebページへのアクセスに関する情報を観測装置から受信する受信部と、前記受信部で受信された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスからダウンロードされたコンテンツの悪性を判断する解析部と、前記解析部により悪性が疑われると判断されたコンテンツだけを解析の対象に決定する解析対象決定部と、を備えた解析装置である。
（６）本発明の一態様は、ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部と、前記データ観測部で収集された情報を、上記（５）の解析装置へ送信する送信部と、を備えた観測装置である。

（７）本発明の一態様は、ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部と、前記データ観測部で収集された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスからダウンロードされたコンテンツの悪性を判断し、前記判断により悪性が疑われると判断されたコンテンツだけを解析の対象に決定する解析部と、を備えた観測装置である。

（８）本発明の一態様は、データ観測部が、ユーザによるWebページへのアクセスに関する情報を収集し、解析部が、前記データ観測部で収集された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスからダウンロードされたコンテンツの悪性を判断し、解析対象決定部が、前記解析部により悪性が疑われると判断されたコンテンツだけを解析の対象に決定する、監視方法である。

（９）本発明の一態様は、コンピュータに、ユーザによるWebページへのアクセスに関する情報を観測装置から受信する受信機能と、前記受信機能により受信された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスからダウンロードされたコンテンツの悪性を判断する解析機能と、前記解析機能により悪性が疑われると判断されたコンテンツだけを解析の対象に決定する解析対象決定機能と、を実現させるためのコンピュータプログラムである。

本発明によれば、未知の悪性サイトを検出可能とすると共に該検出にかかる負担を軽減できるという効果が得られる。

本発明の一実施形態に係る監視システムの構成を示すブロック図である。本発明の一実施形態に係る解析方法を説明するための概念図である。本発明の一実施形態に係る監視方法の手順を示すシーケンスチャートである。本発明の一実施形態に係る監視方法の手順を示すシーケンスチャートである。本発明の一実施形態に係る監視方法の手順を示すシーケンスチャートである。図４のステップＳ７の処理として他の解析方法を説明するための概念図である。本発明の他の実施形態に係る監視システムの構成を示すブロック図である。

以下、図面を参照し、本発明の実施形態について説明する。
図１は、本発明の一実施形態に係る監視システムの構成を示すブロック図である。図１において、観測装置１−１，１−２（以下、特に区別しないときは「観測装置１」と称する）と解析装置２とは通信回線で接続されている。観測装置１は、送受信部１１とデータ観測部１２とコンテンツ保存部１３を備える。解析装置２は、送受信部２１と解析部２２と情報要求部２３とコンテンツ解析部２４とブラックリスト管理部２５と収集履歴保存部２６を備える。

観測装置１において、送受信部１１は、通信回線を介して解析装置２とメッセージを交換する。データ観測部１２は、ユーザによるWebページへのアクセス（Webアクセス）に関する情報を収集する。Webアクセスに関する情報として、例えば、アクセス先のURL（Uniform Resource Locator）、ダウンロードしたコンテンツ、該コンテンツのハッシュ値などが挙げられる。コンテンツ保存部１３は、データ観測部１２が収集したコンテンツを保存する。

観測装置１−１は、ユーザが使用するWebブラウザ１０１にインストールされたプラグインソフトウェア（プラグイン）として実装されている。観測装置１−１のデータ観測部１２は、Webブラウザ１０１がインターネット１００上のWebサイトとの間でやり取りするHTTP（Hypertext Transfer Protocol）メッセージを取得することによって、ユーザのWebアクセスに関する情報やダウンロードされたコンテンツを取得する。

観測装置１−２は、インターネット１００と接続しているHTTPプロキシサーバ（HTTPプロキシ）１０３に接続されているWebプロキシサーバ（Webプロキシ）に付随して設けられている。観測装置１−２として、例えば、ユーザ端末１０２とWebプロキシサーバとの間の通信を仲介するミドルウェアとして実装されることが挙げられる。観測装置１−２のデータ観測部１２は、ユーザ端末１０２がWebプロキシサーバを介してインターネット１００上のWebサイトとの間でやり取りするHTTPメッセージを取得することによって、ユーザのWebアクセスに関する情報やダウンロードされたコンテンツを取得する。

観測装置１において、データ観測部１２によって取得されたWebアクセスに関する収集情報は、送受信部１１により解析装置２へ送信される。また、データ観測部１２によって取得されたコンテンツは、コンテンツ保存部１３で保存される。コンテンツ保存部１３で保存されているコンテンツは、解析装置２からのコンテンツ要求に応じて、送受信部１１により解析装置２へ送信される。

解析装置２において、送受信部２１は、通信回線を介して観測装置１とメッセージを交換する。解析部２２は、観測装置１から受信した収集情報を解析する。この解析結果は情報要求部２３へ送られる。情報要求部２３（解析対象決定部）は、解析部２２による解析結果に基づいて、観測装置１へ送信されるコンテンツ要求メッセージを生成する。このコンテンツ要求メッセージでは、解析部２２の解析結果から悪性が疑われるコンテンツを観測装置１へ要求する。コンテンツ解析部２４は、観測装置１から受信されたコンテンツの解析を行う。この観測装置１から受信されて解析されるコンテンツは、情報要求部２３で生成されたコンテンツ要求メッセージに応じて観測装置１から送信されたものである。つまり、コンテンツ解析部２４で解析の対象とされるコンテンツは、観測装置１で収集されたコンテンツのうち、解析部２２の解析結果から悪性が疑われるコンテンツである。

ブラックリスト管理部２５は、コンテンツ解析部２４による解析結果に基づいて、悪性と判断されたコンテンツの情報を記録するブラックリストを作成し保持する。該ブラックリストには、コンテンツのURLおよびハッシュ値が記録される。収集履歴保存部２６は、観測装置１から受信されたコンテンツのハッシュ値を保存する。収集履歴保存部２６は、過去に観測装置１で収集されたコンテンツのハッシュ値のリストを格納する。解析装置２として、例えば、通信ネットワーク上に配置された中央集積型のサーバ装置を利用することが挙げられる。

図２は、本実施形態に係る解析方法を説明するための概念図である。図２には、Drive-by Download攻撃における特徴的なページ遷移方法が例示されている。図２において、マルウェア配布サイトへのlandingサイトには、改ざんされたページが存在し、クライアントが該改ざんされたページへアクセスすると、自動的にExploitサイトへ転送される。クライアントは、その転送先のExploitサイトでWebブラウザやプラグインソフトウェアなどの脆弱性をつく攻撃を受けることにより、マルウェア配布サイトへ転送させられる。

図２に示されるように、landingサイトの改ざんされたページにある転送用スクリプトは、一般に難読化されており、その改ざんされたページのコンテンツからは転送先を推測できない。つまり、該転送用スクリプトには、Exploitサイトやマルウェア配布サイトへのページ遷移を示す記載がない。そして、Exploitサイトからマルウェア配布サイトへのページ遷移では、一般に脆弱性をつく攻撃によって自動的に転送させられるため、Refererヘッダなどの参照元サイトの情報がHTTPヘッダ上に付かない。本実施形態では、この特徴を利用して悪性サイトへのアクセスを判断する。

次に、図３、図４および図５を参照して、図１に示す監視システムの動作を説明する。図３、図４および図５は、本実施形態に係る監視方法の手順を示すシーケンスチャートである。ここでは、観測装置１として観測装置１−１を例に挙げて説明する。なお、観測装置１−２についても同様の監視方法の手順である。

（図３：ステップＳ１）観測装置１−１はWebブラウザ１０１からのHTTPリクエスト（ｑ_ｉ）を捕捉する。

（図３：ステップＳ２）観測装置１−１は、その捕捉したHTTPリクエスト（ｑ_ｉ）をリクエスト先のWebサイトへ転送し、該WebサイトからのHTTPレスポンスを受信する。

（図３：ステップＳ３）観測装置１−１は、その受信したHTTPレスポンスが先頭ページであるか否かを調べる。例えば、当該HTTPリクエスト（ｑ_ｉ）が、Webブラウザ１０１のブックマークから選択されることによって発生した場合や、Webブラウザ１０１のロケーションバーに直接URLが入力されたことで発生した場合に、先頭ページであると判断する。又は、当該HTTPリクエスト（ｑ_ｉ）の送信時のマウスイベント（ユーザ操作としてのクリック、アンカーへのポインタ移動など）が有った場合に、先頭ページであると判断する。この判断の結果、先頭ページである場合には、観測装置１−１は、参照情報２０１を初期化する。一方、先頭ページでない場合には、ステップＳ４へ進む。なお、先頭ページとは、Webサイトにアクセスした際に発生する一連のページ遷移において、はじめにアクセスされたWebページのことを指す。

（図３：ステップＳ４）観測装置１−１は、HTTPレスポンス内のコンテンツを走査し、当該コンテンツ内に記載されているURL（ｕ_ｉ１，ｕ_ｉ２）を当該コンテンツのURL（ｑ_ｉ）に関連付けて参照情報２０１へ保存する。また、観測装置１−１は、当該コンテンツのハッシュ値（ｈ_ｉ）を計算する。該走査の対象となるコンテンツとして、例えば、HTML（HyperText Markup Language）文書、スクリプト言語（簡易プログラミング言語）ファイルなどが挙げられる。

（図３：ステップＳ５）観測装置１−１は、収集情報を解析装置２へ送信する。この収集情報として以下がある。
・コンテンツのハッシュ値（ｈ_ｉ）
・HTTPリクエストURL（ｑ_ｉ）
・HTTPリクエストとHTTPレスポンスのHTTPヘッダ情報、特にはRefererヘッダに示されているURL（ｒ_ｉ）およびLocationヘッダに示されているURL（ｌ_ｉ）
・当該リクエスト先のURL（ｑ_ｉ）が以前に受信したコンテンツ内に記載されていたURL（ｕ_ｋｉ）と合致する場合「ｕ_ｋｉ＝ｑ_ｉ」に、その参照元コンテンツのURL（ｑ_ｋ）
・HTTPリクエスト送信時のマウスイベント（ユーザ操作としてのクリック、アンカーへのポインタ移動など）の有無（ｍ_ｉ：１が有り、０が無し）
・当該リクエスト先（ｑ_ｉ）のWebページが先頭ページか否かを示すフラグ（ｎ_ｉ：１が先頭ページである、０が先頭ページではない）
なお、フラグ（ｎ_ｉ）として、例えば、当該リクエストが、Webブラウザ１０１のブックマークから選択されることによって発生した場合や、Webブラウザ１０１のロケーションバーに直接URLが入力されたことで発生した場合に、当該リクエスト先（ｑ_ｉ）のWebページが先頭ページであることを示す値「１」を設定する。

（図４：ステップＳ６）解析装置２は、観測装置１−１から収集情報を受信すると、該受信した収集情報（以下、受信収集情報と称する）内のHTTPリクエストURL（ｑ_ｉ）およびコンテンツのハッシュ値（ｈ_ｉ）が、ブラックリスト管理部２５で保持されるブラックリスト内に在るかを調べる。この結果、ブラックリスト内に在る場合にはステップＳ８へ進み、ブラックリスト内にない場合にはステップＳ７に進む。HTTPリクエストURL（ｑ_ｉ）およびコンテンツのハッシュ値（ｈ_ｉ）がブラックリスト内に在る場合、当該URL（ｑ_ｉ）およびコンテンツは、悪性が疑われるコンテンツとして、当該コンテンツのステータスが「１（悪性）」とされる。なお、ブラックリスト管理部２５で保持されるブラックリストには、コンテンツ解析部２４による過去のコンテンツ解析によって悪性と判定されたコンテンツのURLおよびハッシュ値が記録されている。

（図４：ステップＳ７）解析装置２は、受信収集情報に基づいて、ユーザのWebアクセスにおけるページ遷移方法を解析する。図５は、本実施形態に係る解析方法のフローチャートである。以下、図５を参照して、ステップＳ７の処理を説明する。

（図５：ステップＳ７０１）解析装置２は、受信収集情報に基づいて、リクエスト先（ｑ_ｉ）のWebページが先頭ページか否かを判断する。具体的には、フラグ（ｎ_ｉ）とマウスイベントの有無（ｍ_ｉ）に基づいて判断する。フラグ（ｎ_ｉ）が１である場合には先頭ページであると判断する。フラグ（ｎ_ｉ）が０である場合において、マウスイベントの有無（ｍ_ｉ）が１（有り）である場合には先頭ページであると判断する。それ以外の場合には先頭ページではないと判断する。この判断の結果、先頭ページである場合にはステップＳ７０２へ進み、先頭ページではない場合にはステップＳ７０３へ進む。

（図５：ステップＳ７０２）解析装置２は、ページ遷移に関するページ遷移情報（Ｌ，Ｑ，Ｈ）を初期化する。そして、解析装置２は、当該コンテンツのステータスを「０（良性）」とする。

（図５：ステップＳ７０３）解析装置２は、受信収集情報に含まれるHTTPヘッダ情報が実行形式のファイルを示しているか否かを判断する。この判断として、例えばContent-Typeヘッダにおいてapplication/x-msdownload、application/octet-stream、application/java-archiveなどを示す場合に、実行形式のファイルを示していると判断することが挙げられる。この判断の結果、実行形式のファイルを示していない場合には、解析装置２は、当該コンテンツのステータスを「０（良性）」とする。一方、実行形式のファイルを示している場合には、ステップＳ７０４へ進む。

（図５：ステップＳ７０４）解析装置２は、実行形式のファイルを示していると判断された該当ファイルが、以前にアクセスされたページから遷移されたものか否かを判断する。この判断では、以下の３つの条件１，２，３を調べる。
（条件１）当該ファイルのURL（ｑ_ｉ）が以前Locationヘッダに記載されていた（ｑ_ｉ∈Ｌ）。
（条件２）受信収集情報内にRefererヘッダが存在し、該Refererヘッダに示されているURL（ｒ_ｉ）が以前アクセスされたURLと合致する（ｒ_ｉ∈Ｑ）。
（条件３）受信収集情報内に参照元コンテンツのURL（ｑ_ｋ）が存在し、該参照元コンテンツのURL（ｑ_ｋ）が以前アクセスされたURLと合致する（ｑ_ｋ∈Ｑ）。
上記した条件１，２，３のうち、少なくともいずれか一つの条件が成立する場合には、実行形式のファイルを示していると判断された該当ファイルが、以前にアクセスされたページから遷移されたものであると判断する。この場合、解析装置２は、当該コンテンツのステータスを「０（良性）」とする。一方、上記した条件１，２，３の全てが不成立である場合には、解析装置２は、当該コンテンツのステータスを「１（悪性）」とする。この場合には、先頭ページからの一連のページ遷移において取得されたコンテンツおよび当該コンテンツの取得のために送受信されたHTTPヘッダから転送元を推測できないことになる。

（図５：ステップＳ７０５）解析装置２は、受信収集情報に基づいてページ遷移情報（Ｌ，Ｑ，Ｈ）を蓄積する。この蓄積では、リクエスト先のURL（ｑ_ｉ）を情報Ｑに追加する。さらに、HTTPヘッダ情報にLocationヘッダが存在する場合には、該Locationヘッダに示されているURL（ｌ_ｉ）を情報Ｌに追加する。さらに、コンテンツのハッシュ値（ｈ_ｉ）を情報Ｈに追加する。

以上がステップＳ７の処理の説明である。

説明を図４に戻す。
（図４：ステップＳ８）解析装置２は、ステップＳ６，Ｓ７において、悪性が疑われるコンテンツとして当該コンテンツのステータスが「１（悪性）」とされた場合、先頭ページからの一連のWebアクセスにおいて観測装置１がアクセスしたコンテンツのURL（Ｑ）およびハッシュ値（Ｈ）を収集要求候補とする。ステップＳ６において、悪性が疑われるコンテンツとして当該コンテンツのステータスが「１（悪性）」とされた場合、「Ｑ＝ｑ_ｉ」であり、「Ｈ＝ｈ_ｉ」である。ステップＳ７において、悪性が疑われるコンテンツとして当該コンテンツのステータスが「１（悪性）」とされた場合、ＱおよびＨは、ページ遷移情報（Ｌ，Ｑ，Ｈ）内の情報ＱおよびＨである。

（図４：ステップＳ９）解析装置２は、収集要求候補のハッシュ値（Ｈ）を、過去に観測装置１で収集されたコンテンツのハッシュ値のリスト（ハッシュ値収集履歴リスト）と照合する。ハッシュ値収集履歴リストは、収集履歴保存部２６に格納されている。解析装置２は、収集要求候補のハッシュ値（Ｈ）のうちハッシュ値収集履歴リスト内に存在したハッシュ値を収集要求候補のハッシュ値（Ｈ）から削除すると共に、該削除したハッシュ値に該当するコンテンツのURLを収集要求候補のコンテンツのURL（Ｑ）から削除する。

（図４：ステップＳ１０）解析装置２は、収集要求候補の数が０ではない（つまり、少なくとも１つの収集要求候補が存在する）場合、収集要求候補（URL（Ｑ））のコンテンツを要求するコンテンツ要求メッセージを観測装置１へ送信する。

（図４：ステップＳ１１）観測装置１は、解析装置２からコンテンツ要求メッセージを受信すると、該コンテンツ要求メッセージで要求されているコンテンツをコンテンツ保存部１３から取得して解析装置２へ送信する。

（図４：ステップＳ１２）解析装置２は、コンテンツ要求メッセージの応答として観測装置１から受信したコンテンツを解析する。この解析は、コンテンツ解析部２４によって、動的解析手法や静的解析手法を用いて行われる。又は、コンテンツ解析部２４は、Webサイト上で公開されているコンテンツ解析サービスを利用して、コンテンツの解析を行ってもよい。

（図４：ステップＳ１３）解析装置２は、そのコンテンツの解析結果が悪性であった場合には、当該コンテンツのURLおよびハッシュ値のエントリを、ブラックリスト管理部２５のブラックリストに追加する。

一方、該コンテンツの解析結果が良性であった場合には、解析装置２は、当該コンテンツのURLおよびハッシュ値がブラックリスト管理部２５のブラックリストに存在するかを調べる。この結果、ブラックリストに存在した場合には、該ブラックリストから当該コンテンツのURLおよびハッシュ値のエントリを削除する。

なお、上述したステップＳ７におけるステップＳ７０３では、実行形式のファイルを検出したが、実行形式以外の特定のファイル形式のファイルを検出してもよい。例えば、静止画や動画などの画像ファイル形式のファイルを検出してもよい。これにより、実行形式以外の特定のファイル形式のファイルを対象にして、マルウェア配布サイトへのページ遷移の検知を行うことができる。また、実行形式のファイルと、特定のファイル形式（例えば、画像ファイル形式）のファイルとの両方を検出してもよい。また、画像ファイル形式のファイルを検出する場合においては検出の条件としてコンテンツのサイズの下限値を設定してもよい。これにより、トラッキング目的のWebBugを誤検知することを防ぐことができる。

上述したように本実施形態によれば、ユーザによるWebページへのアクセスにおけるページ遷移方法についての情報を取得し、該取得した情報に基づいて特定のページ遷移方法の検出を行い、特定のページ遷移方法の検出結果に基づいて当該Webページへのアクセスからダウンロードされたコンテンツの悪性を判断する。そして、その判断の結果、悪性が疑われると判断されたコンテンツだけを解析の対象とする。上述の実施形態では、Drive-by Download攻撃における特徴的なページ遷移方法の検出有りで、当該Webページへのアクセスからダウンロードされたコンテンツを、悪性が疑われると判断する。このため、既知の悪性サイトへのページ遷移における特徴的なページ遷移方法を特定できれば、既知の悪性サイトのURLが豊富に得られなくても、未知の悪性サイトへのアクセスを検出できる。これにより、未知の悪性サイトへのアクセスを検出可能とすると共に該検出にかかる負担を軽減できるという効果が得られる。また、その検出された未知の悪性サイトへのアクセスからダウンロードされたコンテンツだけを解析の対象とすることにより、解析の対象とするコンテンツ数を効果的に削減できる。

また、特定のページ遷移方法の検出結果に基づいてWebページへのアクセスの悪性を判断するので、改ざんされていたWebページの改ざんが解消されたことによって該特定のページ遷移方法が検出されなくなった場合には、該改ざんされていたWebページへのアクセスが問題なしと判断できる。これにより、改ざんされていたWebページの改ざんが解消されたことに対しても直ぐに適応できるので、改ざんが解消されたのに悪性サイトであると誤検知することを防止できる。

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

例えば、上述の実施形態では、Drive-by Download攻撃を対象にしたが、これ以外の攻撃における特徴的なページ遷移方法に基づいて、Webページへのアクセスの悪性を判断してもよい。

また、上述した図４のステップＳ７の処理として、上述した図５の解析方法とは別の解析方法を用いてもよい。図６は、上述した実施形態に係る図４のステップＳ７の処理として他の解析方法を説明するための概念図である。図６に示される解析方法では、先頭ページ毎に遷移ページのドメイン名を記録しておく。そして、ある先頭ページからの一連の遷移ページのURLの中に、該記録に存在しない新規のドメイン名を持つURLが検出された場合に、ステップＳ８へ移行し、そうではない場合にはステップＳ８へ移行しない。なお、図６の例では、有名なドメイン名は、記録の対象外としているが、記録の対象としてもよい。但し、安全性が保障されている既知の有名なドメイン名については、記録の対象外とすることが処理量の効果的な削減の点で好ましい。

また、観測装置１が、悪性コンテンツのシグネチャなどを基にしてダウンロードしたコンテンツの悪性を判定する悪性判定機能を備えてもよい。そして、上述した図３のステップＳ５において、観測装置１は、解析装置２へ送信する収集情報に、該悪性判定機能による判定結果も含める。そして、上述した図４のステップＳ６において、解析装置２は、ブラックリストとの照合結果がブラックリスト内に在り、且つ、該悪性判定機能による判定結果が悪性である場合に、ステップＳ８へ移行し、そうではない場合にはステップＳ８へ移行しないとしてもよい。

また、本発明に係る監視システムとして、上述した図１の構成とは別に、図７に示されるような構成であってもよい。図７は、本発明に係る監視システムの他の構成例を示すブロック図である。図７において、図１の各部に対応する部分には同一の符号を付している。図７の構成例では、観測装置３は、図１の観測装置１−２に対して、図１の解析装置２の解析部２２、ブラックリスト管理部２５および収集履歴保存部２６を追加した構成となっている。そして、図７の解析装置４は、送受信部２１とコンテンツ解析部２４とブラックリスト管理部２５だけを備える。この図７の監視システムの運用方法として、観測装置３は、観測されるHTTPメッセージに対して随時、ページ遷移方法の解析を行い、この解析の結果から悪性が疑われるコンテンツだけを解析装置４へ送信する。そして、解析装置４は、該観測装置３から受信したコンテンツの解析を行う。そして、解析装置４は、その解析の結果として悪性と判定したコンテンツの情報である悪性コンテンツ情報（URLおよびハッシュ値）を観測装置３へ送信する。観測装置３は、該解析装置４から受信した悪性コンテンツ情報（URLおよびハッシュ値）を自己のブラックリスト管理部２５のブラックリストに記録する。

また、上述した観測装置、解析装置の機能を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disk）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

１−１，１−２，３…観測装置、２，４…解析装置、１１，２１…送受信部、１２…データ観測部、１３…コンテンツ保存部、２２…解析部、２３…情報要求部（解析対象決定部）、２４…コンテンツ解析部、２５…ブラックリスト管理部、２６…収集履歴保存部、１００…インターネット、１０１…Webブラウザ、１０２…ユーザ端末、１０３…HTTPプロキシサーバ

Claims

観測装置と、前記観測装置と通信回線で接続される解析装置とを有する監視システムであり、
前記観測装置は、
ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部と、
前記データ観測部で収集された情報を前記解析装置へ送信する送信部と、を備え、
前記解析装置は、
前記観測装置から送信された情報を受信する受信部と、
前記受信部で受信された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスからダウンロードされたコンテンツの悪性を判断する解析部と、
前記解析部により悪性が疑われると判断されたコンテンツだけを解析の対象に決定する解析対象決定部と、を備えた、
監視システム。
前記特定のページ遷移方法は、ドライブバイダウンロード（Drive-by Download）攻撃における特徴的なページ遷移方法である、
請求項１に記載の監視システム。
前記特定のページ遷移方法は、参照元サイトの情報がHTTPヘッダ上に付かない、且つ、先頭ページからの一連のページ遷移において取得されたコンテンツから転送元を推測できない方法である請求項２に記載の監視システム。
前記特定のページ遷移方法は、前記Webページへのアクセスにおける先頭ページからの一連の遷移ページのURLの中に、該先頭ページに関する過去の遷移ページのドメイン名の記録に存在しない新規のドメイン名を持つURLが存在する方法である、
請求項１に記載の監視システム。
ユーザによるWebページへのアクセスに関する情報を観測装置から受信する受信部と、
前記受信部で受信された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスからダウンロードされたコンテンツの悪性を判断する解析部と、
前記解析部により悪性が疑われると判断されたコンテンツだけを解析の対象に決定する解析対象決定部と、
を備えた解析装置。
ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部と、
前記データ観測部で収集された情報を、請求項５に記載の解析装置へ送信する送信部と、
を備えた観測装置。
ユーザによるWebページへのアクセスに関する情報を収集するデータ観測部と、
前記データ観測部で収集された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスからダウンロードされたコンテンツの悪性を判断し、前記判断により悪性が疑われると判断されたコンテンツだけを解析の対象に決定する解析部と、
を備えた観測装置。
データ観測部が、ユーザによるWebページへのアクセスに関する情報を収集し、
解析部が、前記データ観測部で収集された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスからダウンロードされたコンテンツの悪性を判断し、
解析対象決定部が、前記解析部により悪性が疑われると判断されたコンテンツだけを解析の対象に決定する、
監視方法。
コンピュータに、
ユーザによるWebページへのアクセスに関する情報を観測装置から受信する受信機能と、
前記受信機能により受信された情報に基づいて特定のページ遷移方法の検出を行い、前記特定のページ遷移方法の検出結果に基づいて前記Webページへのアクセスからダウンロードされたコンテンツの悪性を判断する解析機能と、
前記解析機能により悪性が疑われると判断されたコンテンツだけを解析の対象に決定する解析対象決定機能と、
を実現させるためのコンピュータプログラム。