JP2016057767A - 解析装置、解析方法およびコンピュータプログラム - Google Patents

Abstract

【課題】未知の悪性サイトを検出可能とすると共に該検出にかかる負担を軽減すること。【解決手段】Webサイトへ行われたアクセスの参照元及び参照先の情報に基づいて、各Webページの参照元及び参照先を解析する解析部１１と、前記解析部１１の解析結果によるWebページの参照元の個数及び参照先の個数に基づいて悪性Webページの検出を行う検出部１２と、を備える。検出部１２は、悪性Webページであるか否かを判定する対象Webページについて、対象Webページへの参照元サイトの数が２以上であり、且つ、対象Webページからの参照先サイトの数が１である場合に、当該対象Webページを悪性であると判定する。【選択図】図１

Description

本発明は、ウェブ（Web）ページについての解析装置、解析方法およびコンピュータプログラムに関する。

従来、Webページの改ざんや悪性Webページによる攻撃の一例として、ドライブバイダウンロード（Drive-by Download）攻撃と呼ばれるものが知られている。Drive-by Download攻撃とは、ユーザがWebブラウザを使用して悪性Webページにアクセスした際に、WebブラウザやWebブラウザのプラグインソフトウェアの脆弱性を悪用してマルウェアをダウンロードさせる攻撃である。一般的なDrive-by Download攻撃では、攻撃者は正規のWebページを改ざんして、マルウェアを配布するサイト又はマルウェア自身へリンクさせるためのスクリプトコードを挿入することにより、当該Webページへアクセスしたユーザを自動的にExploitサイトへ転送させる。ユーザは、その転送先のExploitサイトでWebブラウザやプラグインソフトウェアなどの脆弱性をつく攻撃を受けることにより、マルウェア配布サイトへ転送させられる。この結果、ユーザは、その転送先のマルウェア配布サイトからマルウェアを自動的にダウンロードして実行することになる。

Webページの改ざんや悪性Webページを監視する従来技術として、例えば、特許文献１、非特許文献１，２などが知られている。特許文献１に記載される従来技術では、Webサイト上のコンテンツに対して、あらかじめ保持しておいたコンテンツの特徴量や複製を用いて、コンテンツの特徴量の差異、コンテンツの差分を検出することにより、コンテンツの改ざんを検知している。非特許文献１に記載される従来技術では、WebブラウザがアクセスするURL（Uniform Resource Locator）を監視し、アクセスされたURLが既知の悪性WebページのURLと一致した場合に、当該アクセスを遮断している。非特許文献２に記載される従来技術では、マルウェア配布サイトの情報とWebページ間のリンク構造を示すグラフに基づいて、マルウェア配布サイトへのLandingサイトを検出し、検出されたLandingサイトに基づいて未知のマルウェア配布サイトを検出している。

特開２００４−０２１８７３号公報

"Google Safe Browsing", インターネット＜ＵＲＬ：https://developers.google.com/safe-browsing/＞ J. W. Stokes et al, "WebCop: Locating Neighborhoods of Malware on the Web", Proc. 3rd USENIX Workshop on Large-scale Exploits and Emergent Threats (LEET2010), 2010

しかし、上述した従来技術では以下に示す課題がある。
特許文献１に記載される従来技術では、Webページが正規に変更された場合と不正に改ざんされた場合とを区別することが難しい。また、コンテンツの特徴量によってはコンテンツの変化を検出できないようにコンテンツが改ざんされると、その検出が難しい。
非特許文献１に記載される従来技術では、既知の悪性Webページには有効であるが、未知の悪性Webページには効果がない。
非特許文献２に記載される従来技術では、既知のマルウェア配布サイトのURLが豊富にないと、未知のマルウェア配布サイトを検出する効果が十分に得られない。

本発明は、このような事情を考慮してなされたもので、未知の悪性サイトを検出可能とすると共に該検出にかかる負担を軽減できる、解析装置、解析方法およびコンピュータプログラムを提供することを課題とする。

（１）本発明の一態様は、Webサイトへ行われたアクセスの参照元及び参照先の情報に基づいて、各Webページの参照元及び参照先を解析する解析部と、前記解析部の解析結果によるWebページの参照元の個数及び参照先の個数に基づいて悪性Webページの検出を行う検出部と、を備えた解析装置である。
（２）本発明の一態様は、上記（１）の解析装置において、前記検出部は、悪性Webページであるか否かを判定する対象Webページについて、対象Webページへの参照元サイトの数が２以上であり、且つ、対象Webページからの参照先サイトの数が１である場合に、当該対象Webページを悪性であると判定する、解析装置である。
（３）本発明の一態様は、上記（１）の解析装置において、前記検出部は、悪性Webページであるか否かを判定する対象Webページについて、対象Webページへの参照元サイトの数が２以上であり、且つ、対象Webページからの参照先サイトの数が第１の閾値以下である場合に、当該対象Webページを悪性であると判定し、一方、対象Webページへの参照元サイトの数が２以上であり、且つ、対象Webページからの参照先サイトの数が前記第１の閾値よりも大きい第２の閾値以上である場合に、当該対象Webページを良性であると判定する、解析装置である。
（４）本発明の一態様は、上記（１）から（３）のいずれかの解析装置において、前記参照元及び参照先の情報は、URLのホスト部分の情報である解析装置である。
（５）本発明の一態様は、上記（１）から（３）のいずれかの解析装置において、前記参照元及び参照先の情報は、IPアドレスである解析装置である。
（６）本発明の一態様は、上記（１）から（５）のいずれかの解析装置において、前記解析部は、Webページの参照先が画像データであり且つ該画像データのサイズが所定値よりも小さいものを、前記解析結果において当該Webページの参照先としない解析装置である。
（７）本発明の一態様は、上記（１）から（６）のいずれかの解析装置において、前記解析部は、Webページの参照先の少なくとも２ホップは先の参照先も、前記解析結果において当該Webページの参照先とする解析装置である。

（８）本発明の一態様は、解析部が、Webサイトへ行われたアクセスの参照元及び参照先の情報に基づいて、各Webページの参照元及び参照先を解析し、検出部が、前記解析部の解析結果によるWebページの参照元の個数及び参照先の個数に基づいて悪性Webページの検出を行う、解析方法である。

（９）本発明の一態様は、コンピュータに、Webサイトへ行われたアクセスの参照元及び参照先の情報に基づいて、各Webページの参照元及び参照先を解析する解析機能と、前記解析機能の解析結果によるWebページの参照元の個数及び参照先の個数に基づいて悪性Webページの検出を行う検出機能と、を実現させるためのコンピュータプログラムである。

本発明によれば、未知の悪性サイトを検出可能とすると共に該検出にかかる負担を軽減できるという効果が得られる。

本発明の一実施形態に係る解析装置１の構成を示すブロック図である。 本発明の一実施形態に係る解析方法を説明するための概念図である。 本発明の一実施形態に係る解析方法を説明するための概念図である。 本発明の一実施形態に係る解析方法のフローチャートである。 本発明の一実施形態に係る悪性Webページ検出方法の例１を説明するための概念図である。 本発明の一実施形態に係る悪性Webページ検出方法の例２を説明するための概念図である。 本発明の一実施形態に係る解析装置１を利用した通信システムの一例を示す構成図である。 本発明の一実施形態に係る解析装置１を利用した通信システムの他の例を示す構成図である。

以下、図面を参照し、本発明の実施形態について説明する。
図１は、本発明の一実施形態に係る解析装置１の構成を示すブロック図である。図１において、解析装置１は解析部１１と検出部１２を備える。解析装置１には、Webアクセス情報が入力される。Webアクセス情報は、Webサイトへ行われたアクセスの参照元（Fan-In）及び参照先（Fan-Out）の情報である。Webアクセス情報として、例えば、HTTP（Hypertext Transfer Protocol）プロキシサーバで作成されたWebアクセスログや、ユーザ端末のWebブラウザにインストールされているプラグインソフトウェアで作成されたWebアクセスログなどが利用可能である。解析部１１は、Webアクセス情報に基づいて、各Webページの参照元（Fan-In）及び参照先（Fan-Out）を解析する。検出部１２は、解析部１１の解析結果に基づいて悪性Webページを検出する。検出部１２は、検出した悪性Webページを特定する情報（例えばURL）を有する検出結果情報を出力する。

図２及び図３は、本実施形態に係る解析方法を説明するための概念図である。図２には、Drive-by Download攻撃における特徴的なページ遷移方法が例示されている。図２において、マルウェア配布サイトへのLandingサイトには、改ざんされたページが存在し、クライアントが該改ざんされたページへアクセスすると、自動的にExploitサイトへ転送される。クライアントは、その転送先のExploitサイトでWebブラウザやプラグインソフトウェアなどの脆弱性をつく攻撃を受けることにより、マルウェア配布サイトへ転送させられ、該マルウェア配布サイトからマルウェアをダウンロードさせられる。

図３には、Exploitサイト及びマルウェア配布サイトの一般的な構成が例示されている。図３の例では、Exploitサイト及びマルウェア配布サイトは、同じWebサイトＣ内に構築されている。WebサイトＣは、環境検査用ページと攻撃用ページを有する。環境検査用ページは、WebサイトＣにアクセスしてきたユーザ端末（クライアント）の環境（オペレーティングシステム（OS）、Webブラウザにインストールされているプラグインソフトウェアなど）を調べる機能を有する。攻撃用ページは、環境検査用ページによる調査の結果、クライアントの環境が攻撃対象の脆弱性をもつ環境と一致する場合に、脆弱性をつく攻撃を行う媒体（オブジェクト指向プログラム言語によるアプリケーション等のリソースの書庫ファイル（アーカイブ）、PDF（Portable Document Format）ファイルなど）を当該クライアントへダウンロードさせる。その後、該クライアントに対して、WebサイトＣからマルウェアをダウンロードさせる。

ここで、ExploitサイトはLandingサイトから参照されるが、該Landingサイトは様々なWebサイトが改ざんされたものであって一般に複数存在する。よって、Exploitサイトは、通常、複数のLandingサイトから参照される。このため、Exploitサイト内のWebページ、特にExploitサイトにおいてはじめにアクセスされるWebページは、通常、複数のWebサイトから参照される。一方、該Exploitサイト内のWebページ、特にExploitサイトにおいてはじめにアクセスされるWebページが参照する先のWebサイトは、攻撃のための特定のWebサイト（例えば、Exploitサイト自身のみ）に限定されると考えられる。本実施形態では、それらの特徴をもとにし、Webページの参照元（Fan-In）の個数及び参照先（Fan-Out）の個数に基づいて、悪性Webページの検出を行う。

次に、本実施形態に係る解析装置１の動作を説明する。

［解析部］
解析部１１は、Webアクセス情報に基づいて、各Webページの参照元（Fan-In）及び参照先（Fan-Out）を解析する。図４は、本実施形態に係る解析方法のフローチャートである。図４を参照して、本実施形態に係る解析方法を説明する。ここでは、Webアクセス情報として、Webアクセスログ（例えばHTTPプロキシサーバで作成されたWebアクセスログなど）に記録されたHTTPリクエストメッセージ及びHTTPレスポンスメッセージを使用する。

（ステップＳ１）解析部１１は、Webアクセス情報から、リクエストURL（ｑ_ｉ）、Refererヘッダに記載されたURL（ｒ_ｉ）及びLocationヘッダに記載されたURL（ｌ_ｉ）を抽出する。この抽出では、図２に示されるように、HTTPリクエストメッセージとHTTPレスポンスメッセージの組ごとに、リクエストURL（ｑ_ｉ）、URL（ｒ_ｉ）及びURL（ｌ_ｉ）を関連づけておく。

（ステップＳ２）解析部１１は、ステップＳ１で抽出されたリクエストURL（ｑ_ｉ）、URL（ｒ_ｉ）及びURL（ｌ_ｉ）を使用して、以下の更新方法ａ及びｂにより、参照元サイト群Ｉ及び参照先サイト群Ｏを更新する。

（更新方法ａ）URL（ｒ_ｉ）のFQDN（Fully Qualified Domain Name：完全修飾ドメイン名）部分（ｒ_ｉ．ｈｏｓｔ）を、該URL（ｒ_ｉ）に関連付けられているリクエストURL（ｑ_ｉ）への参照元サイト群Ｉ［ｑ_ｉ］に追加する。また、リクエストURL（ｑ_ｉ）のFQDN部分（ｑ_ｉ．ｈｏｓｔ）を、該リクエストURL（ｑ_ｉ）に関連付けられているURL（ｒ_ｉ）からの参照先サイト群Ｏ［ｒ_ｉ］に追加する。

（更新方法ｂ）URL（ｌ_ｉ）のFQDN部分（ｌ_ｉ．ｈｏｓｔ）を、該URL（ｌ_ｉ）に関連付けられているリクエストURL（ｑ_ｉ）からの参照先サイト群Ｏ［ｑ_ｉ］に追加する。また、リクエストURL（ｑ_ｉ）のFQDN部分（ｑ_ｉ．ｈｏｓｔ）を、該リクエストURL（ｑ_ｉ）に関連付けられているURL（ｌ_ｉ）への参照元サイト群Ｉ［ｌ_ｉ］に追加する。

なお、上記のステップＳ２において、各参照元サイト群Ｉ［ｑ_ｉ］，Ｉ［ｌ_ｉ］及び各参照先サイト群Ｏ［ｒ_ｉ］，Ｏ［ｑ_ｉ］に追加する情報として、FQDNに対応するIP（Internet Protocol）アドレス（ｒ_ｉ．ａｄｄｒ），（ｑ_ｉ．ａｄｄｒ），（ｌ_ｉ．ａｄｄｒ）を使用してもよい。

また、上記のステップＳ２において、URLによる参照先が画像データであり且つ該画像データのサイズが所定値よりも小さいものは参照先サイト群に追加しないようにすることも好ましい。これにより、ユーザによるトラッキングを目的とした画像データを、悪性コンテンツとして誤検知することを防ぐ効果が得られる。

また、上記のステップＳ２において、各参照先サイト群Ｏ［ｒ_ｉ］，Ｏ［ｑ_ｉ］に追加する情報として、上記した追加対象「リクエストURL（ｑ_ｉ）のFQDN部分（ｑ_ｉ．ｈｏｓｔ）」及び「URL（ｌ_ｉ）のFQDN部分（ｌ_ｉ．ｈｏｓｔ）」のWebページの２ホップ先や３ホップ先、４ホップ先など、該追加対象のWebページの少なくとも２ホップは先の参照先も、さらに各参照先サイト群Ｏ［ｒ_ｉ］，Ｏ［ｑ_ｉ］に追加することも好ましい。該各参照先サイト群Ｏ［ｒ_ｉ］，Ｏ［ｑ_ｉ］にさらに追加する参照先（追加参照先）として、例えば、上記した追加対象「リクエストURL（ｑ_ｉ）のFQDN部分（ｑ_ｉ．ｈｏｓｔ）」及び「URL（ｌ_ｉ）のFQDN部分（ｌ_ｉ．ｈｏｓｔ）」のWebページのＭホップ先の参照先とすることが挙げられる。但し、Ｍは２以上の所定の自然数であり、Ｍを１つだけ設定してもよく、若しくは、値の異なるＭを２つ以上同時に設定してもよい。又は、該追加参照先として、上記した追加対象「リクエストURL（ｑ_ｉ）のFQDN部分（ｑ_ｉ．ｈｏｓｔ）」及び「URL（ｌ_ｉ）のFQDN部分（ｌ_ｉ．ｈｏｓｔ）」のWebページの、Ｎホップ先までの全ての参照先としたり（但し、Ｎは２以上の自然数）若しくは２ホップ以上先の全ての参照先としたり、することが挙げられる。これにより、良性Webページを誤って悪性Webページとして検出することを防ぐ効果が得られる。

［検出部］
検出部１２は、解析部１１の解析結果に基づいて悪性Webページを検出する。この悪性Webページ検出方法について以下に例１，例２を挙げて説明する。

（悪性Webページ検出方法の例１）
図５は、本実施形態に係る悪性Webページ検出方法の例１を説明するための概念図である。悪性Webページ検出方法の例１では、悪性Webページであるか否かを判定する対象のWebページ（対象Webページ）について、対象Webページへの参照元サイトの数が２以上であり、且つ、対象Webページからの参照先サイトの数が１である場合に、当該対象Webページを悪性であると判定する。悪性であると判定されなかった対象Webページについては良性であると判定する。

具体的には、検出部１２は、解析部１１の解析結果において、ある対象WebページのURL（ｑ_ｉ）に関し、当該URL（ｑ_ｉ）への参照元サイトの数（参照元サイト群Ｉ［ｑ_ｉ］に含まれる参照元サイトの数）と、当該URL（ｑ_ｉ）からの参照先サイトの数（参照先サイト群Ｏ［ｑ_ｉ］に含まれる参照元サイトの数）とを調べる。そして、検出部１２は、当該URL（ｑ_ｉ）への参照元サイトの数が２以上であり、且つ、当該URL（ｑ_ｉ）からの参照先サイトの数が１である場合に、当該URL（ｑ_ｉ）の対象Webページを悪性であると判定する。一方、検出部１２は、当該URL（ｑ_ｉ）への参照元サイトの数が２以上であり、且つ、当該URL（ｑ_ｉ）からの参照先サイトの数が２以上である場合に、当該URL（ｑ_ｉ）の対象Webページを悪性であると判定する。

（悪性Webページ検出方法の例２）
図６は、本実施形態に係る悪性Webページ検出方法の例２を説明するための概念図である。悪性Webページ検出方法の例２では、悪性であると判定する条件として、対象Webページへの参照元サイトの数が複数であり、対象Webページからの参照先サイトの数が１又は複数である。但し、参照先サイトの数に対しては、悪性であると判定するための上限値Ｔｈ１と、悪性ではないと判定するための下限値Ｔｈ２とを設ける（但し、Ｔｈ２＞Ｔｈ１）。つまり、対象Webページへの参照元サイトの数が２以上であり、且つ、対象Webページからの参照先サイトの数がＴｈ１以下である場合に、当該対象Webページを悪性であると判定する。一方、対象Webページへの参照元サイトの数が２以上であり、且つ、対象Webページからの参照先サイトの数がＴｈ２以上である場合に、当該対象Webページを良性であると判定する。

具体的には、検出部１２は、解析部１１の解析結果において、ある対象WebページのURL（ｑ_ｉ）に関し、当該URL（ｑ_ｉ）への参照元サイトの数（参照元サイト群Ｉ［ｑ_ｉ］に含まれる参照元サイトの数）と、当該URL（ｑ_ｉ）からの参照先サイトの数（参照先サイト群Ｏ［ｑ_ｉ］に含まれる参照元サイトの数）とを調べる。そして、検出部１２は、当該URL（ｑ_ｉ）への参照元サイトの数が２以上であり、且つ、当該URL（ｑ_ｉ）からの参照先サイトの数がＴｈ１以下である場合に、当該URL（ｑ_ｉ）の対象Webページを悪性であると判定する。一方、検出部１２は、当該URL（ｑ_ｉ）への参照元サイトの数が２以上であり、且つ、当該URL（ｑ_ｉ）からの参照先サイトの数がＴｈ２以上である場合に、当該URL（ｑ_ｉ）の対象Webページを悪性であると判定する。

上述したように本実施形態によれば、Webページの参照元（Fan-In）の個数及び参照先（Fan-Out）の個数に基づいて悪性Webページの検出を行う。このため、Webサイトへ行われたアクセスの参照元（Fan-In）及び参照先（Fan-Out）の情報（Webアクセス情報）が取得できれば、既知の悪性サイトのURLが豊富に得られなくても、未知の悪性サイトを検出できる。これにより、未知の悪性サイトを検出可能とすると共に該検出にかかる負担を軽減できるという効果が得られる。

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

例えば、上述した実施形態に係る解析装置１を利用して各種のシステムを構成するようにしてもよい。図７は、上述した実施形態に係る解析装置１を利用した通信システムの一例を示す構成図である。図７において、解析装置１は、ユーザ端末１０２のWebブラウザ１０１にインストールされたプラグインソフトウェア（ブラウザプラグインソフトウェア）で作成されたWebアクセスログや、ユーザ端末１０２からアクセスされるHTTPプロキシサーバ１０３で作成されたWebアクセスログを取得する。解析装置１は、それら取得したWebアクセスログを解析して悪性Webページを検出し、検出した悪性WebページのURLの情報（悪性URL情報）をWebアクセスログの取得元のユーザ端末１０２やHTTPプロキシサーバ１０３へ送信する。ユーザ端末１０２やHTTPプロキシサーバ１０３は、解析装置１から受信した悪性URL情報に基づいて、悪性Webページ又は悪性Webページを有する悪性Webサイトへのアクセスを遮断する。

図８は、上述した実施形態に係る解析装置１を利用した通信システムの他の例を示す構成図である。図８において、解析装置１は、図７の通信システムと同様に、ユーザ端末１０２やHTTPプロキシサーバ１０３で作成されたWebアクセスログを取得し、それら取得したWebアクセスログを解析して悪性Webページを検出する。解析装置１は、その検出した悪性WebページのURL上のコンテンツを、Webアクセスログの取得元のユーザ端末１０２やHTTPプロキシサーバ１０３から取得する。そして、解析装置１は、その取得したコンテンツをコンテンツ解析システム２００へ送信し、コンテンツ解析システム２００から該コンテンツの詳細な解析結果を受信する。

また、上述した解析装置１の機能を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disk）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

１…解析装置、１１…解析部、１２…検出部、１０１…Webブラウザ、１０２…ユーザ端末、１０３…HTTPプロキシサーバ、２００…コンテンツ解析システム

Claims (9)

1. Webサイトへ行われたアクセスの参照元及び参照先の情報に基づいて、各Webページの参照元及び参照先を解析する解析部と、
   前記解析部の解析結果によるWebページの参照元の個数及び参照先の個数に基づいて悪性Webページの検出を行う検出部と、
   を備えた解析装置。
2. 前記検出部は、悪性Webページであるか否かを判定する対象Webページについて、対象Webページへの参照元サイトの数が２以上であり、且つ、対象Webページからの参照先サイトの数が１である場合に、当該対象Webページを悪性であると判定する、
   請求項１に記載の解析装置。
3. 前記検出部は、悪性Webページであるか否かを判定する対象Webページについて、
   対象Webページへの参照元サイトの数が２以上であり、且つ、対象Webページからの参照先サイトの数が第１の閾値以下である場合に、当該対象Webページを悪性であると判定し、
   一方、対象Webページへの参照元サイトの数が２以上であり、且つ、対象Webページからの参照先サイトの数が前記第１の閾値よりも大きい第２の閾値以上である場合に、当該対象Webページを良性であると判定する、
   請求項１に記載の解析装置。
4. 前記参照元及び参照先の情報は、URLのホスト部分の情報である請求項１から３のいずれか１項に記載の解析装置。
5. 前記参照元及び参照先の情報は、IPアドレスである請求項１から３のいずれか１項に記載の解析装置。
6. 前記解析部は、Webページの参照先が画像データであり且つ該画像データのサイズが所定値よりも小さいものを、前記解析結果において当該Webページの参照先としない請求項１から５のいずれか１項に記載の解析装置。
7. 前記解析部は、Webページの参照先の少なくとも２ホップは先の参照先も、前記解析結果において当該Webページの参照先とする請求項１から６のいずれか１項に記載の解析装置。
8. 解析部が、Webサイトへ行われたアクセスの参照元及び参照先の情報に基づいて、各Webページの参照元及び参照先を解析し、
   検出部が、前記解析部の解析結果によるWebページの参照元の個数及び参照先の個数に基づいて悪性Webページの検出を行う、
   解析方法。
9. コンピュータに、
   Webサイトへ行われたアクセスの参照元及び参照先の情報に基づいて、各Webページの参照元及び参照先を解析する解析機能と、
   前記解析機能の解析結果によるWebページの参照元の個数及び参照先の個数に基づいて悪性Webページの検出を行う検出機能と、
   を実現させるためのコンピュータプログラム。

Images