JP2016170524A

JP2016170524A - 悪性ｕｒｌ候補取得装置、悪性ｕｒｌ候補取得方法、及びプログラム

Info

Publication number: JP2016170524A
Application number: JP2015048653A
Authority: JP
Inventors: 恭之田中; Yasuyuki Tanaka; 隼有川; Hayato Arikawa; 充弘畑田; Mitsuhiro Hatada
Original assignee: NTT Communications Corp
Current assignee: NTT Communications Corp
Priority date: 2015-03-11
Filing date: 2015-03-11
Publication date: 2016-09-23
Anticipated expiration: 2035-03-11
Also published as: JP6478730B2

Abstract

【課題】インターネット上の未知の悪性ＵＲＬ候補を効率的に取得することを可能とする。
【解決手段】悪性サイトを検出するために使用されるＵＲＬである悪性ＵＲＬ候補を取得するための悪性ＵＲＬ候補取得装置において、既知の悪性サイトで使用される文字列である特徴文字列を格納する特徴文字列格納手段と、前記特徴文字列をキーワードとして使用することにより、インターネット上の検索装置に対する検索を実行する検索手段と、前記検索手段により得られた検索結果に基づき、悪性ＵＲＬ候補を決定する決定手段とを備えて構成する。
【選択図】図２

Description

本発明は、ブラックリストを構成する悪性ＵＲＬの候補を収集するための技術に関連するものである。

コンピュータの脆弱性を狙った不正プログラムによる攻撃や、コンピュータの情報を不正に取得するような動作を実行するマルウェアの配付による攻撃等が重要な問題となっている。

不正プログラム等がダウンロードされる可能性のあるアクセス先のＵＲＬを悪性ＵＲＬと呼ぶ。悪性ＵＲＬのリストをブラックリストとして保持し、フィルタリングに用いることでユーザを保護することができる。

特許第４７３９９６２号特開２０１２−１１８７１３号公報

悪性ＵＲＬからなるブラックリストを作成するには、悪性であることが疑わしい悪性ＵＲＬ候補について、例えば特許文献１に記載された技術を用いて、当該悪性ＵＲＬ候補のサイトが実際に攻撃を行うサイトであるかどうかを判定する。そして、判定の結果、攻撃を行うサイトであると判定された悪性ＵＲＬ候補を、悪性ＵＲＬとしてブラックリストに含める。なお、特許文献１に記載された技術は、シードと呼ばれる悪性ＵＲＬ候補をハニークライアントに投入することにより悪性ＵＲＬ候補が悪性ＵＲＬであるかどうかを判定する技術である。

しかしながら、現状、シード（悪性ＵＲＬ候補）の数が少なく、結果として、上記のような技術により得られる悪性ＵＲＬの数が少ないという課題がある。

現状のシードは、ＳＰＡＭメールや様々なセキュリティデバイスのログから抽出したＵＲＬ、ＳＯＣ（セキュリティ・オペレーション・センター）のオペレータが顧客対応中に見つけたＵＲＬ等を収集することで得られる。しかし、当該手法では、既知の悪性ＵＲＬ候補しか発見できず、悪性ＵＲＬ候補を数多く取得することができない。

上記の課題に鑑みて、特許文献２では、悪性ＵＲＬの近傍に悪性ＵＲＬが存在する可能性が高いという知見を用いて、未知の悪性ＵＲＬ候補を探す技術が提案されている。しかし、インターネット空間は非常に広く、近傍にない場所に存在する可能性のある多くの悪性ＵＲＬ候補を見つけることはできない。

本発明は上記の点に鑑みてなされたものであり、インターネット上の未知の悪性ＵＲＬ候補を効率的に取得することを可能とする技術を提供することを目的とする。

本発明の実施の形態によれば、悪性サイトを検出するために使用されるＵＲＬである悪性ＵＲＬ候補を取得するための悪性ＵＲＬ候補取得装置であって、
既知の悪性サイトで使用される文字列である特徴文字列を格納する特徴文字列格納手段と、
前記特徴文字列をキーワードとして使用することにより、インターネット上の検索装置に対する検索を実行する検索手段と、
前記検索手段により得られた検索結果に基づき、悪性ＵＲＬ候補を決定する決定手段と
を備える悪性ＵＲＬ候補取得装置が提供される。

また、本発明の実施の形態によれば、悪性サイトを検出するために使用されるＵＲＬである悪性ＵＲＬ候補を取得するための悪性ＵＲＬ候補取得装置が実行する悪性ＵＲＬ候補取得方法であって、
前記悪性ＵＲＬ候補取得装置は、既知の悪性サイトで使用される文字列である特徴文字列を格納する特徴文字列格納手段を備え、
前記特徴文字列をキーワードとして使用することにより、インターネット上の検索装置に対して検索を実行する検索ステップと、
前記検索ステップにより得られた検索結果に基づき、悪性ＵＲＬ候補を決定する決定ステップと
を備える悪性ＵＲＬ候補取得方法が提供される。

本発明の実施の形態によれば、インターネット上の未知の悪性ＵＲＬ候補を効率的に取得することが可能となる。

本発明の実施の形態の概要を説明するための図である。本発明の実施の形態に係る悪性ＵＲＬ候補取得装置１０の構成図である。本実施の形態における悪性ＵＲＬ候補取得装置１０の動作を説明するためのフロー図である。特徴文字列の例を示す図である。

以下、図面を参照して本発明の実施の形態を説明する。なお、以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。

以下、悪性サイト／攻撃サイト等で使用される「サイト」の用語は、コンテンツとＵＲＬを含む意味で使用する。また、「コンテンツ」は、ＨＴＭＬデータ等、サーバから端末に送られることになる情報を意味し、「ＵＲＬ」は、コンテンツのネットワーク上の場所を示す。

（実施の形態の概要）
まず、図１を参照して本発明の実施の形態における悪性ＵＲＬ候補取得技術の概要を説明する。図１に示すように、本実施の形態において、悪性ＵＲＬ候補取得装置１０が備えられる。悪性ＵＲＬ候補取得装置１０は、インターネット３０に接続され、インターネット３０上の検索装置２０を用いて、インターネット３０における情報の検索を行う機能を持つ。各検索装置は、検索エンジンが備えられた装置であり、１又は複数のサーバを含む。なお、悪性ＵＲＬ候補取得装置１０が検索を行う先のネットワークは、インターネット３０に限られず、インターネット３０以外の通信ネットワークであってもよい。

ステップ１において、悪性ＵＲＬ候補取得装置１０は、悪性サイトに存在する可能性が高い特徴文字列を取得する。特徴文字列に関し、悪性ＵＲＬ候補取得装置１０自身が後述する観点により取得してもよいし、既に取得された特徴文字列を入力することとしてもよい。

悪性ＵＲＬ候補取得装置１０は、ステップ１で取得した特徴文字列をキーとして用いることにより、インターネット３０上の検索装置２０を用いて検索を行う（ステップ２）。詳しくは後述するが、検索装置２０は、一般的なインターネット検索用の検索エンジンを備える装置、ソースコード検索エンジンを備える装置、悪性サイト蓄積サイトを提供する装置等である。

悪性ＵＲＬ候補取得装置１０は、ステップ２の検索で得られたＵＲＬそのもの、もしくは、所定の基準で選択されたＵＲＬを悪性ＵＲＬ候補として出力する。

出力された悪性ＵＲＬ候補は、例えば特許文献１に記載された技術における悪性ＵＲＬ候補のシードとして使用され、悪性ＵＲＬ候補が実際に悪性ＵＲＬであるかどうかの判定が実行される。

（悪性ＵＲＬ候補取得装置１０の構成例）
図２に、本実施の形態に係る悪性ＵＲＬ候補取得装置１０の構成図を示す。図２に示すように、本実施の形態に係る悪性ＵＲＬ候補取得装置１０は、特徴文字列取得部１１、特徴文字列格納部１２、検索制御部１３、検索実行部１４、検索結果格納部１５、ＵＲＬ候補決定部１６を有する。なお、図２に示す悪性ＵＲＬ候補取得装置１０の機能区分及び機能名称は一例に過ぎない。本実施の形態における処理を実行可能な悪性ＵＲＬ候補取得装置１０の機能区分及び機能名称は、図２に示すものに限られない。各機能部の概要は以下のとおりである。

特徴文字列取得部１１は、外部から特徴文字列の入力を受けることで特徴文字列を取得する、もしくは、既知の悪性サイトのコンテンツ及び／又はＵＲＬ等から特徴文字列を取得する。取得した特徴文字例は、特徴文字例格納部１２に格納される。

検索制御部１３は、特徴文字列に格納された個々の特徴文字列の種類等に応じて、どの検索装置で検索を行うか、どのような手順で検索を行うか等の制御内容を決定する。検索実行部１４は、検索制御部１３により決定された制御内容に従って、特徴文字列を用いてインターネット３０上の検索装置に対する検索を実行する。検索実行部１４により実行された検索による検索結果（ＵＲＬ、当該コンテンツの一部等）は、検索結果格納部１５に格納される。なお、検索制御部１３と検索実行部１４を検索部（検索手段）として一体で構成してもよい。

ＵＲＬ候補決定部１６は、検索結果格納部１５に格納されている検索結果のＵＲＬから、悪性ＵＲＬ候補を決定し、決定した悪性ＵＲＬ候補を出力する。

本実施の形態に係る悪性ＵＲＬ候補取得装置１０は、例えば、１つ又は複数のコンピュータに、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現可能である。すなわち、悪性ＵＲＬ候補取得装置１０が有する機能は、当該コンピュータに内蔵されるＣＰＵやメモリ、ハードディスクなどのハードウェア資源を用いて、悪性ＵＲＬ候補取得装置１０で実施される処理に対応するプログラムを実行することによって実現することが可能である。上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メールなど、ネットワークを通して提供することも可能である。

（悪性ＵＲＬ候補取得装置１０の詳細動作）
以下、悪性ＵＲＬ候補取得装置１０の詳細動作を図３のフロー図に従って説明する。ここでの詳細動作の説明では、悪性サイトの例として攻撃サイトを挙げているが、これは例であり、本発明は、攻撃サイトに限定されない悪性サイトに対して適用可能である。攻撃サイトとは、例えば、ドライブバイダウンロードのように、ブラウザ等でアクセスすると何等かの攻撃が発動されるサイトである。

＜ステップ１０１：特徴文字列抽出＞
まず、ステップ１０１として、特徴文字列の抽出が行われる。この特徴文字列の抽出は、悪性ＵＲＬ候補取得装置１０の外で、装置（コンピュータ）が自動的に行ってもよいし、コンピュータを用いて人手で行ってもよいし、悪性ＵＲＬ候補取得装置１０の特徴文字列取得部１１が自動的に行ってもよい。

攻撃サイトは、アプリケーションの一種であるＥｘｐｌｏｉｔＫＩＴ（以下、ＥＫと呼ぶ）と呼ばれる攻撃ツールを用いて作成されることが多く、各ＥＫで作成された攻撃サイトのコンテンツ等には特徴的な文字列が含まれることが多い。また、ＥＫが使われない場合でも、攻撃に必須となる特徴的なコードが攻撃サイトのコンテンツ内に存在する傾向がある。

上記の知見に基づき、本実施の形態では、既知の攻撃サイトのコンテンツ内に含まれる特徴文字列、及び／又は、既知の攻撃サイトのＵＲＬである攻撃ＵＲＬ内に含まれる特徴文字列を抽出する。より具体的には、以下の観点で抽出を行う。以下では、コンテンツに含まれる特徴文字列と、ＵＲＬ内に含まれる特徴文字列に分けて説明する。図３においては、コンテンツに含まれる特徴文字列をＨＴＭＬ系として示し、ＵＲＬに含まれる特徴文字列をＵＲＬ系として示している。

＜ＨＴＭＬデータ等のコンテンツに含まれる特徴文字列＞
観点（１）：ＥＫや難読化アプリケーションの仕様上に表れる特徴
（１−１）種々のＥＫ（アプリケーション）において、各アプリケーション固有に表れる特徴文字列が存在する。このようなＥＫがサイトに組み込まれることで攻撃が行われることから、当該アプリケーション固有に表れる特徴文字列をＥＫもしくは既知の攻撃サイトのコンテンツから抽出し、当該特徴文字列を有するサイトを検索することで攻撃ＵＲＬ候補を得ることができる。

一例として、ＢｌａｃｋｈｏｌｅＥＫと呼ばれるＥＫに特徴的な文字列として、図４の（ａ）に示すように、「<?PHP//003ab if(!extension_loaded('ionCube Loader'))」がある。なお、例示における特徴文字列において「」は特徴文字列に含まれない。以下同様である。

（１−２）攻撃サイトの作成者は、サイトのソースコードの解読を困難にするために、ソースコード難読化ツールを用いて、コンテンツのソースコードを難読化する場合が多い。特に、ＥＫを用いた多くのサイトはソースコード難読化ツールを用いて難読化される。このような観点で、本実施の形態では、ソースコード難読化ツールを用いた場合に現れる特徴文字列を、ソースコード難読化ツール自体、あるいは、ソースコード難読化ツールを用いて作成された攻撃サイトのコンテンツから抽出する。

このような特徴文字列の一例として、図４の（ｂ）に示すように、ＢｌａｃｋｈｏｌｅＥＫを用いて作成されたコンテンツ等から抽出される「/*km0ae9gr6m*/」がある。

（１−３）攻撃サイトのコンテンツをソースコード難読化ツールで難読化処理を行った場合でも、一部のソースコード難読化ツールでは難読化されない文字列が存在する。例えば、文字列特定の関数名等である。本実施の形態では、このような観点で、難読化されない文字列を、ソースコード難読化ツールを用いて作成された攻撃サイトのコンテンツ等から抽出する。

このような特徴文字列の一例として、図４の（ｃ）に示すように、ＦｉｅｓｔａＥＫを用いて作成される攻撃サイトのコンテンツにおける「function mulls(cqq, lg6) {var hx, ik, bhf, dr, jbf, fr; ik' ';hx='」がある。

観点（２）：攻撃サイト自体の性質から現れる特徴
攻撃サイトから提供されるコンテンツは、攻撃先で攻撃コードを発動させるために、正規サイトのコンテンツにはない特徴文字列を入れ込むことが必要不可欠である。本実施の形態では、このような観点から、例えば既知の攻撃サイトのコンテンツから攻撃コードに関係する特徴文字列を抽出する。

このような特徴文字列の一例として、図４（ｄ）に示すように、脆弱性（CVE-2006-0003(MS06-014)）の場合におけるRDS.DataControlを示すクラスＩＤである「clsid:BD96C556-65A3-11D0-983A-00C04FC29E36」がある。

観点（３）：攻撃サイトのリンク関係の性質から現れる特徴
攻撃者は、改ざん入口サイトのように、ｉｆｒａｍｅやリダイレクトでサイトの遷移を行わせることが多い。このような観点から、ｉｆｒａｍｅやリダイレクトで遷移をさせるためのコードを含んだ文字列を特徴文字列として、例えば、改ざん入口サイトのコンテンツ等から抽出する。

このような特徴文字列の一例として、図４（ｅ）に示すように、「<iframe src="/news/information - ups - 934387535.php ? iczbdqgs = 1f: 1h: 1l: 1f: 2w & wtxsk = o & qfgksyd = 1m: 1f: 1m: 31: 31: 1f: 1j: 31: 1l : 1l & ova = 1f: 1d: 1f: 1d: 1f: 1d: 1f"> </iframe>」がある。

なお、ＨＴＭＬデータ等のコンテンツに含まれる特徴文字列の例として、上記の３つの観点の特徴文字列を示したが、当該コンテンツに含まれる特徴文字列の抽出の観点は上記の例に限られるわけではない。また、上記各観点で抽出された特徴文字列は、そのまま単独で用いてもよいし、複数の特徴文字列を組み合わせて用いてもよいし、各観点で抽出された特徴文字列の一部（断片）を用いてもよいし、断片の組み合わせを用いてもよい。また、複数の観点のうちの全部を用いてもよいし、一部を用いてもよい。

上記のように、断片／組み合わせを特徴文字列とすることについては、抽出の段階で断片／組み合わせの特徴文字列を作成してもよいし、検索手順等の決定の段階あるいは検索実行の段階で断片／組み合わせの特徴文字列を作成してもよい。

＜ＵＲＬ内に含まれる特徴文字列＞
ＥＫを用いて作成される攻撃サイトのＵＲＬには、ＥＫに特有の特徴的な文字列が含まれている場合が多い。このような観点で、本実施の形態では、例えば、ＥＫにより作成された攻撃サイトのＵＲＬから当該特徴文字列を抽出する。このような特徴文字列の一例として、図４の（ｆ）に示すように、「.com/content/main.php?page= , /r57.php」がある。

また、上記の観点で抽出されたＵＲＬの文字列におけるパス部を分解した文字列、分解した文字列の組み合わせを特徴文字列として取得してもよい。

図４の（ｇ）に示すように、上記の具体例に対応するパス部分解文字列の例として「main.php」があり、組み合わせの例として「com, main.php」がある。

上記のように、分解／組み合わせを特徴文字列とすることについては、抽出の段階で分解／組み合わせの特徴文字列を作成してもよいし、検索手順等の決定の段階あるいは検索実行の段階で分解／組み合わせの特徴文字列を作成してもよい。

以上、コンテンツ内に含まれる特徴文字列の抽出の例と、ＵＲＬ内に含まれる特徴文字列の抽出の例を説明したが、コンテンツ内に含まれる特徴文字列（全体、断片等）とＵＲＬ内に含まれる特徴文字列（全体、一部等）との組み合わせを特徴文字列として使用してもよい。

悪性ＵＲＬ候補取得装置１０における特徴文字列取得部１１は、上記のようにして抽出された特徴文字列の入力を受けて当該特徴文字列を特徴文字列格納部１２に格納する。もしくは、悪性ＵＲＬ候補取得装置１０における特徴文字列取得部１１は、上記のような観点で自動的に既知の攻撃サイトのコンテンツ／ＵＲＬ等から特徴文字列を取得し、取得した特徴文字列を特徴文字列格納部１２に格納する。

＜ステップ１０２：各装置用最適検索情報及び手順決定＞
次に、悪性ＵＲＬ候補取得装置１０における検索制御部１３は、特徴文字列格納部１２に格納されている特徴文字列を用いて、どの検索装置に対してどの特徴文字列を使用し、どのような手順で検索を行うかを決定する。例えば、検索制御部１３は、予め定めたルールに従って各装置用の検索情報及び手順を決定する。

本実施の形態では、検索に利用する検索装置の例として、インターネット検索エンジンを備える装置、ソースコード検索エンジンを備える装置、悪性サイト蓄積サイト（悪性サイトの情報を蓄積した装置）の３種類を使用することとしている。ただし、本発明は特定の数／種類の検索装置に限定されない。例えば、１種類の検索装置を用いてもよい。また、１種類の検索装置を用いる場合でも、複数個の検索装置（検索サイト）を使用して検索を行うこととしてもよい。

以下、各検索装置の特徴を説明し、当該検索装置に適した検索情報、及び検索手順の例を説明する。当該検索情報及び検索手順の決定は検索制御部１３が行う。以下で説明する検索の内容（検索制御部１３が決定する内容）については、全てを実行してもよいし、一部のみを実行することとしてもよい。

（１）インターネット検索エンジン
インターネット検索エンジンは、一般的なインターネット検索サービスを提供する検索エンジンであり、例えばＧｏｏｇｌｅ（登録商標）、ｂｉｎｇ（登録商標）等により提供される検索エンジンである。

インターネット検索エンジンは、一般に、一旦アクセスしたサイトの情報（コンテンツ、ＵＲＬ等）をキャッシュしており、当該キャッシュを用いることにより検索要求に係る検索を高速に行うことができる。なお、インターネット検索エンジンに限らず、後述するソースコード検索エンジン、悪性サイト蓄積サイトもこのようなキャッシュを用いている。

インターネット検索エンジンは、キャッシュの量が大きく、また、検索する際に様々な条件を指定して検索を行うことができるという利点がある。後者の特徴は、ＩＦ（インターフェース）の自由度が高いと言い換えてもよい。インターネット検索エンジンにはこのような利点がある反面、検索結果に目的としない結果が多く含まれる場合があるという欠点がある。後者は、「ゴミが多い」と言い換えることができる。

このような特徴により、インターネット検索エンジンは、ＨＴＭＬ系特徴文字列とＵＲＬ系特徴文字列のどちらにでも適用することができるので、本実施の形態では、例えば、検索制御部１３は、ＨＴＭＬ系特徴文字列とＵＲＬ系特徴文字列のそれぞれでインターネット検索エンジンを用いて検索を行うことを決定する。ここでの検索は、例えば、通常の検索窓を用いた検索もしくは、検索エンジン側のＡＰＩを用いてプログラムが検索を行うこととしてよい。

上記のように、インターネット検索エンジンを用いた検索結果にはゴミが多いため、本実施の形態では、検索制御部１３は、ホワイトリストを利用することで、インターネット検索エンジンを用いた検索結果から攻撃ＵＲＬではない正規ＵＲＬを除く処理を実行する手順を行うことを決定する。ここでのホワイトリストとは、例えば、インターネット上でのアクセス回数の多い順にＵＲＬを並べたリストであり、このようなホワイトリストとして、ａｌｅｘａ、ＯｐｅｎＤＮＳ、ＤＭＯＺ等により提供されるホワイトリストを利用できる。つまり、上記手順において、検索で得られた結果から、ホワイトリストに含まれるＵＲＬを除く処理を行う。

また、例えば、検索制御部１３は、ＵＲＬ系特徴文字列については、ＵＲＬ内での検索を行うために、ｉｎｕｒｌ検索を行うと決定してもよい。

また、例えば、検索制御部１３は、特定のＦＱＤＮ（ＦｕｌｌｙＱｕａｌｉｆｉｅｄＤｏｍａｉｎＮａｍｅ）を予め保持し、当該特定のＦＱＤＮ内において、ＨＴＭＬ系の特徴文字列を用いて検索を行うことを決定する。特定のＦＱＤＮが示すサイトは、例えば、攻撃サイト、改ざんサイト、操作シェル配置サイト等である。特定のサイト内の検索は、ｓｉｔｅ検索を行うことで実現できる。また、ｌｉｎｋ検索（被リンクに関する検索）を利用して、例えば、特定のＦＱＤＮのサイトにリンクするサイトのＵＲＬを見つけ、当該ＵＲＬのサイトでＨＴＭＬ系の特徴文字列を用いて検索を行うことを決定してもよい。

（２）ソースコード検索エンジン
ソースコード検索エンジンは、Ｗｅｂサイト内のＣＳＳ、ＨＴＭＬ、Ｊａｖａｓｃｒｉｐｔ（登録商標）等のソースコードを検索の対象とする検索エンジンである。ソースコード検索エンジンとして、例えば、ｎｅｒｄｙｄａｔａ、ｍｅａｎｐａｔｈ等がある。ソースコード検索エンジンについては、キャッシュ量は中程度であるが、検索要求に係る文字列を含むソースコードを有するサイトを正確に特定できるという特徴を有する。

上記の特徴に鑑みて、検索制御部１３は、ＨＴＭＬ系特徴文字列を用いて、ソースコード検索エンジンによる検索を行うことを決定する。

（３）悪性サイト蓄積サイト
悪性サイト蓄積サイトとは、攻撃サイト等の悪性サイトの情報を蓄積し、検索を可能としているサイトであり、例えば、ｓｃｕｍｗａｒｅ．ｏｒｇ、ｄｆｋ．ｄｅ等のサイトがある。悪性サイト蓄積サイトは、悪性サイトの情報が蓄積されているが、キャッシュ量は小さく、また、ＩＦの自由度が小さい。

悪性サイト蓄積サイトの検索方法（ＩＦ）は、ＩＰ検索、ＦＱＤＮ検索、パス部検索等に限られるため、検索制御部１３は、例えば、特徴文字列（ＵＲＬ系でもよいし、ＨＴＭＬ系でもよい）について、所定の検索手順を用いて悪性サイト蓄積サイトに対する検索を行うことを決定する。

所定の検索手順は、例えば、ＦＱＤＮ部を有する特徴文字列から、当該ＦＱＤＮ部を取得し、ｗｈｏｉｓコマンドを用いて当該ＦＱＤＮ部に対応するＩＰアドレスを取得し、当該ＩＰアドレスをキーとして悪性サイト蓄積サイトを検索することである。また、当該検索手順において、ＩＰ検索で得た検索結果から得られるＦＱＤＮを用いてＦＱＤＮ検索あるいは「ｗｈｏｉｓによるＩＰアドレス取得−＞ＩＰアドレス検索」を行うこととしてもよい。

また、所定の検索手順として、ＦＱＤＮ部を有する特徴文字列から、当該ＦＱＤＮ部を取得し、先にＦＱＤＮ検索を実施し、当該検索により得られたＩＰアドレスでＩＰアドレス検索を行う手順を用いてもよい。当該手順において、ＦＱＤＮ検索により得られた検索結果が、ＦＱＤＮである場合、ｗｈｏｉｓでＩＰアドレスを得てからＩＰアドレス検索を行う。

また、検索制御部１３は、上記のＦＱＤＮ検索を行う際に、部分ＦＱＤＮ検索（部分パス部検索）を行うことを決定してもよい。例えば、元のＦＱＮＤが「aaa.bbb.ccc.yahoo.co.jp」である場合に、部分ＦＱＤＮとして「bbb.ccc.yahoo.co.jp」、「ccc.yahoo.co.jp」、「yahoo.co.jp」の全部又は一部を用いて検索を行うことを決定する。

＜ステップ１０３：検索実行＞
検索制御部１３は、各検索装置に対して決定した特徴文字列と検索手順を示す情報を検索実行部１４に渡すことで検索実行部１４に対して検索実行を指示する。検索手順としては、予め手順のパターンを定めておき、どのパターンの検索かを示す情報を検索実行部１４に渡すこととしてもよいし、プログラムコードの形で検索手順を渡すこととしてもよい。

また、特徴文字列／検索手順を検索実行部１４に渡し、検索実行部１４が検索手順を実行する制御に代えて、検索制御部１３が検索手順の情報を持ち、検索制御部１３が、検索手順に従って検索実行部１４に特徴文字列と検索サイトを指示することで検索を実行させることとしてもよい。

ステップ１０３での検索実行により、例えば、検索装置毎（インターネット検索エンジン、ソースコード検索エンジン、悪性サイト蓄積サイト等）に、検索結果が検索結果格納部１５に格納される。検索結果格納部１５に格納される検索結果は、悪性ＵＲＬ候補として使用され得るＵＲＬのみであってもよいし、ＵＲＬに加え、検索により得られるサイトの情報（要約、ソースコードの一部等）が含まれていてもよい。特徴文字列格納部１２に複数の特徴文字列が格納されている場合、検索は、ステップ１０２で決定された制御内容に従って、それぞれの（全ての）特徴文字列について実行されることとしてもよいし、一部の特徴文字列について実行されることとしてもよい。

検索結果は、前述した手順に従った検索による結果であるので、例えば、インターネット検索エンジンによる検索結果については、ホワイトリストによるフィルタリング後の検索結果となっている。

＜ステップ１０４：悪性ＵＲＬ候補決定＞
次に、ＵＲＬ候補決定部１６が、検索結果格納部１５に格納された検索結果の中から、悪性ＵＲＬ候補（シード）とするＵＲＬを決定する。ここでの決定については、例えば、得られたＵＲＬの数が所定の閾値以下であれば、全ての検索結果のＵＲＬを悪性ＵＲＬ候補として決定してよい。また、得られたＵＲＬの数に関わらず、全ての検索結果のＵＲＬを悪性ＵＲＬ候補として決定してもよい。

また、得られたＵＲＬの数が所定の閾値よりも大きい場合、あるいは、得られたＵＲＬの数に関わらずに、ＵＲＬ候補決定部１６は、複数の検索装置から得られたＵＲＬを悪性ＵＲＬ候補として決定することとしてよい。例えば、検索装置（検索エンジン、検索サイト等）として、検索装置Ａ、検索装置Ｂ、検索装置Ｃの３つの検索装置がある場合において、ある特徴文字列に基づく検索を各検索装置で実施した結果、ＵＲＬ１は検索装置Ａのみから得られ、ＵＲＬ２は、例えば検索装置Ｂと検索装置Ｃの２つから得られた場合において、ＵＲＬ１を悪性ＵＲＬ候補とせず、ＵＲＬ２を悪性ＵＲＬ候補とするように決定する。また、検索結果として得られたＵＲＬ以外の情報も加味してスコアリングを行い、スコアを含めて出力することとしてもよい。もしくは、スコアに閾値を設けて、閾値以上のものを悪性ＵＲＬ候補として決定し、出力することとしてもよい。

（他検索条件抽出について）
図３のステップ２０１として示すように、前述したインターネット検索エンジン、ソースコード検索エンジン、悪性ＵＲＬ蓄積サイトのそれぞれに対する検索において、検索制御部１３は、検索対象を、特定のＩＰアドレス、特定のＦＱＤＮ、特定のＶＰＳ（仮想専用サーバのホスティングサービス）に絞ることを決定してもよい。特定のＩＰアドレス／特定のＦＱＤＮ／特定のＶＰＳに、悪性サイトの存在する可能性が高いことが発明者の過去の知見からわかっているため、この検索条件は効果的であると考えられる。

また、上記特定のＩＰアドレス／特定のＦＱＤＮ／特定のＶＰＳについての検索を独立して実施することとしてもよい。

例えば、特定のＶＰＳに関し、特定のＶＰＳ事業者のセキュリティが弱く改ざんされる傾向があるため、特定のＶＰＳのＩＰレンジから対応するＦＱＤＮをリストアップする。ここでは例えばｒｅｂｔｅｘを利用する。当該ＦＱＤＮ自体を攻撃ＵＲＬ候補（シード）として用いることができる。これは、多くの場合、トップサイトに攻撃サイトへの誘導改ざんコードが埋め込まれるためである。

（実施の形態の効果等）
以上、詳細に説明したように、本実施の形態では、図３のフロー図に示した「特徴文字列抽出」、「各装置用最適検索情報及び手順決定」、及び「ＵＲＬ候補決定」を組み合わせて実施することにより、悪性の確率が高い数多くのシードを得ることができる。また、「他検索条件抽出」を組み合わせることにより、さらに悪性確率の高いシードを得ることができる。本実施の形態の技術により、インターネット空間から、未知の悪性ＵＲＬを効率的に発見できる。その結果、数多くの悪性ＵＲＬ候補を提供できる。

（実施の形態のまとめ）
本実施の形態により、悪性サイトを検出するために使用されるＵＲＬである悪性ＵＲＬ候補を取得するための悪性ＵＲＬ候補取得装置であって、既知の悪性サイトで使用される文字列である特徴文字列を格納する特徴文字列格納手段と、前記特徴文字列をキーワードとして使用することにより、インターネット上の検索装置に対する検索を実行する検索手段と、前記検索手段により得られた検索結果に基づき、悪性ＵＲＬ候補を決定する決定手段とを備える悪性ＵＲＬ候補取得装置が提供される。

前記検索手段は、前記検索装置としてインターネット検索エンジンを備える検索装置を用いる場合に、特定のサイト内で前記特徴文字列に基づく検索を行う、又は、ＵＲＬ内での前記特徴文字列に基づく検索を行うことができる。

前記検索手段は、前記検索装置としてソースコード検索エンジンを備える検索装置を用いる場合に、既知の悪性サイトのコンテンツに含まれる特徴文字列に基づく検索を行うこととしてもよい。

前記検索手段は、前記検索装置として悪性サイトの情報を蓄積した検索装置を用いる場合に、前記特徴文字列に含まれるＦＱＤＮ部からＩＰアドレスを取得し、当該ＩＰアドレスに基づく検索を行うこととしてもよい。

前記検索手段は、前記検索装置としてインターネット検索エンジンを備える検索装置を用いる場合に、当該検索装置に対する検索で得られた結果からホワイトリストに含まれるＵＲＬを除去した結果を前記検索結果とすることとしてもよい。

前記検索手段は、複数の検索装置を用いて前記特徴文字列に基づく検索を行い、前記決定手段は、前記複数の検索装置のうちの複数の検索装置から得られたＵＲＬを前記悪性ＵＲＬ候補として決定することとしてもよい。

前記特徴文字列は、例えば、所定のアプリケーションを使用して作成された悪性サイトのコンテンツに含まれる文字列、当該悪性サイトのＵＲＬに含まれる文字列、攻撃先で攻撃コードを発動させるための文字列、又は、他サイトへの遷移を指示する文字列である。

本発明は、上記の実施の形態に限定されることなく、特許請求の範囲内において、種々変更・応用が可能である。

１０悪性ＵＲＬ候補取得装置
２０検索装置
３０インターネット
１１特徴文字列取得部
１２特徴文字列格納部
１３検索制御部
１４検索実行部
１５検索結果格納部
１６ＵＲＬ候補決定部

Claims

悪性サイトを検出するために使用されるＵＲＬである悪性ＵＲＬ候補を取得するための悪性ＵＲＬ候補取得装置であって、
既知の悪性サイトで使用される文字列である特徴文字列を格納する特徴文字列格納手段と、
前記特徴文字列をキーワードとして使用することにより、インターネット上の検索装置に対する検索を実行する検索手段と、
前記検索手段により得られた検索結果に基づき、悪性ＵＲＬ候補を決定する決定手段と
を備える悪性ＵＲＬ候補取得装置。
前記検索手段は、
前記検索装置としてインターネット検索エンジンを備える検索装置を用いる場合に、特定のサイト内で前記特徴文字列に基づく検索を行う、又は、ＵＲＬ内での前記特徴文字列に基づく検索を行う
請求項１に記載の悪性ＵＲＬ候補取得装置。
前記検索手段は、
前記検索装置としてソースコード検索エンジンを備える検索装置を用いる場合に、既知の悪性サイトのコンテンツに含まれる特徴文字列に基づく検索を行う
請求項１又は２に記載の悪性ＵＲＬ候補取得装置。
前記検索手段は、
前記検索装置として悪性サイトの情報を蓄積した検索装置を用いる場合に、前記特徴文字列に含まれるＦＱＤＮ部からＩＰアドレスを取得し、当該ＩＰアドレスに基づく検索を行う
請求項１ないし３のうちいずれか１項に記載の悪性ＵＲＬ候補取得装置。
前記検索手段は、
前記検索装置としてインターネット検索エンジンを備える検索装置を用いる場合に、当該検索装置に対する検索で得られた結果からホワイトリストに含まれるＵＲＬを除去した結果を前記検索結果とする
請求項１ないし４のうちいずれか１項に記載の悪性ＵＲＬ候補取得装置。
前記検索手段は、複数の検索装置を用いて前記特徴文字列に基づく検索を行い、
前記決定手段は、前記複数の検索装置のうちの複数の検索装置から得られたＵＲＬを前記悪性ＵＲＬ候補として決定する
請求項１ないし５のうちいずれか１項に記載の悪性ＵＲＬ候補取得装置。
前記特徴文字列は、所定のアプリケーションを使用して作成された悪性サイトのコンテンツに含まれる文字列、当該悪性サイトのＵＲＬに含まれる文字列、攻撃先で攻撃コードを発動させるための文字列、又は、他サイトへの遷移を指示する文字列である
請求項１ないし６のうちいずれか１項に記載の悪性ＵＲＬ候補取得装置。
悪性サイトを検出するために使用されるＵＲＬである悪性ＵＲＬ候補を取得するための悪性ＵＲＬ候補取得装置が実行する悪性ＵＲＬ候補取得方法であって、
前記悪性ＵＲＬ候補取得装置は、既知の悪性サイトで使用される文字列である特徴文字列を格納する特徴文字列格納手段を備え、
前記特徴文字列をキーワードとして使用することにより、インターネット上の検索装置に対して検索を実行する検索ステップと、
前記検索ステップにより得られた検索結果に基づき、悪性ＵＲＬ候補を決定する決定ステップと
を備える悪性ＵＲＬ候補取得方法。
コンピュータを、請求項１ないし７のうちいずれか１項に記載の悪性ＵＲＬ候補取得装置における各手段として機能させるためのプログラム。