JP2022002036A - 検出装置、検出システム及び検出プログラム - Google Patents

Abstract

【課題】未知のフィッシングサイトを精度良く検出できる検出装置、検出システム及び検出プログラムを提供すること。【解決手段】検出装置１０は、ブラウザにおいてＷｅｂページを構成するためにアクセスしたリソースの種類及びサイズを含むアクセスログを取得する取得部１１１と、アクセスログから、Ｗｅｂページ毎に、リソースの種類及びサイズからなるリソース情報の集合を、当該Ｗｅｂページの構成情報として取得する解析部１１２と、Ｗｅｂページの構成情報に対して、ブラックリストに格納された構成情報それぞれとの類似度を算出し、当該類似度が閾値以上の既知のフィッシングサイトが存在する場合、当該Ｗｅｂページをフィッシングサイトとして検出する検出部１１４と、を備える。【選択図】図１

Description

本発明は、フィッシングサイトを検出するための装置、システム及びプログラムに関する。

近年、有名企業又は公的機関等の信頼された主体になりすましてメールを送り、公式サイトを装った偽サイト（フィッシングサイト）に誘導することで、ログインＩＤ及びパスワード等の個人情報を盗み出す行為による被害が急増している。
このような被害を防ぐため、アクセス先がフィッシングサイトであることを検出する技術が望まれている。

例えば、非特許文献１では、あるＷｅｂサイトを構成するリソースの統計情報と、既知のフィッシングサイトを構成するリソースの統計情報とを比較し、両者が一致した場合に、このＷｅｂサイトをフィッシングサイトと判定する技術が提案されている。

田中 翔真，松中 隆志，山田 明，窪田 歩，「リソース統計情報を用いたフィッシングサイト検知」，コンピュータセキュリティシンポジウム２０１９論文集，２０１９，９２６−９３３

従来技術では、あるＷｅｂサイトを構成するリソースの種類毎の総アクセス数及び総サイズに基づく統計情報が、既知のフィッシングサイトを構成するリソースの統計情報と完全一致している場合にのみ未知のフィッシングサイトとして検知される。
しかしながら、一部のリソースのサイズに差異がある場合、又はＷｅｂアクセスログに一部欠損がある場合に、リソースの種類毎の総サイズ及び総アクセス数に差分が生じるため、既知のフィッシングサイトのリソースの統計情報と完全に一致せず、見逃しが発生してしまうことがあった。

本発明は、未知のフィッシングサイトを精度良く検出できる検出装置、検出システム及び検出プログラムを提供することを目的とする。

本発明に係る検出装置は、ブラウザにおいてＷｅｂページを構成するためにアクセスしたリソースの種類及びサイズを含むアクセスログを取得する取得部と、前記アクセスログから、前記Ｗｅｂページ毎に、前記リソースの種類及びサイズからなるリソース情報の集合を、当該Ｗｅｂページの構成情報として取得する解析部と、前記Ｗｅｂページの構成情報に対して、ブラックリストに格納された構成情報それぞれとの類似度を算出し、当該類似度が閾値以上の既知のフィッシングサイトが存在する場合、当該Ｗｅｂページをフィッシングサイトとして検出する検出部と、を備える。

前記解析部は、前記Ｗｅｂページのドメインが所定期間に出現した回数を計測し、当該回数が閾値以上の場合、当該Ｗｅｂページを検出対象から除外してもよい。

前記検出部は、前記Ｗｅｂページの構成情報のうち、前記既知のフィッシングサイトと共通する前記リソース情報の個数が閾値未満の場合、当該Ｗｅｂページを検出対象から除外してもよい。

前記検出部は、前記既知のフィッシングサイトと共通する前記リソース情報のうち、所定以上のサイズのリソースに関するリソース情報の個数が閾値未満の場合に、前記Ｗｅｂページを検出対象から除外してもよい。

前記解析部は、予め設定された所定のドメインのリソースを除外して前記構成情報を取得してもよい。

前記解析部は、前記Ｗｅｂページが所定のステータスコードを有する場合、当該Ｗｅｂページを検出対象から除外してもよい。

前記検出部は、前記類似度として、Ｊａｃｃａｒｄ係数を用いてもよい。

前記検出装置は、前記検出部によりフィッシングサイトと判定された前記ＷｅｂページのＵＲＬを、既知のフィッシングサイトのＵＲＬリストに追加登録する登録部を備え、前記検出部は、前記構成情報を前記ブラックリストと照合する前に、前記ＵＲＬリストを参照し、前記ＷｅｂページのＵＲＬが当該ＵＲＬリストに含まれる場合に、前記Ｗｅｂページをフィッシングサイトとして検出してもよい。

本発明に係る検出システムは、前記検出装置と、ユーザ端末と、を備え、前記ユーザ端末は、前記ブラウザによるネットワークへのアクセスを監視し、ユーザのＩＤ及び前記ブラウザのタブを識別するＩＤを含む前記アクセスログを生成し、前記検出装置へ送信する。

本発明に係る検出プログラムは、前記検出装置としてコンピュータを機能させるためのものである。

本発明によれば、未知のフィッシングサイトを精度良く検出できる。

実施形態における検出システムの機能構成を示すブロック図である。 実施形態におけるＷｅｂページ毎の構成情報を例示する図である。 実施形態における構成情報の類似度を例示する図である。 実施形態におけるブラックリストの生成、及びフィッシングサイトの検出を行う処理の流れを示すフローチャートである。

以下、本発明の実施形態の一例について説明する。
図１は、本実施形態における検出システム１の機能構成を示すブロック図である。
検出システム１は、検出装置１０と、ユーザ端末２０とを備え、両者は、ネットワークを介して互いに接続される。

検出装置１０は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１１及び記憶部１２の他、各種データの入出力デバイス及び通信デバイス等を備える。

ユーザ端末２０は、パーソナルコンピュータ、タブレット端末又はスマートフォン等の情報処理装置（コンピュータ）であり、アプリケーション・ソフトウェアとしてブラウザを備え、インターネットに接続される。
また、ユーザ端末２０は、例えばブラウザのアドオン機能として設けられたブラウザセンサ２１により、ブラウザを介したネットワークへのアクセスを監視し、ユーザのＩＤ及びブラウザのタブを識別するＩＤを含むＷｅｂアクセスログを生成し、検出装置１０へ送信する。

Ｗｅｂアクセスログは、ブラウザセンサ２１によって取得されるＷｅｂブラウジングの履歴データであり、次の情報を含む。
（１）ユーザを識別するＩＤ（ユーザＩＤ）
（２）ブラウザのタブを識別するＩＤ（タブＩＤ）
（３）リソースの種類
（４）リソースのサイズ
（５）リソースのＵＲＬ

ここで、リソースは、Ｗｅｂページを構成する画像、動画又はスクリプト等の要素であり、例えば、ＷｅｂＡＰＩを介して、「ｍａｉｎ＿ｆｒａｍｅ」、「ｓｕｂ＿ｆｒａｍｅ」、「ｓｔｙｌｅｓｈｅｅｔ」、「ｓｃｒｉｐｔ」、「ｉｍａｇｅ」、「ｆｏｎｔ」、「ｏｂｊｅｔ」、「ｘｍｌｈｔｔｐｒｅｑｕｅｓｔ」、「ｐｉｎｇ」、「ｃｓｐ＿ｒｅｐｏｒｔ」、「ｍｅｄｉａ」、「ｗｅｂｓｏｃｋｅｔ」、「ｏｔｈｅｒ」といった種類が特定される。
また、各リソースのサイズは、例えば、ＨＴＴＰレスポンスヘッダの「ｃｏｎｔｅｎｔ−ｌｅｎｇｔｈ」であってよい。

なお、「ｍａｉｎ＿ｆｒａｍｅ」は、ブラウザのタブにロードされたトップレベルのドキュメントであり、次に「ｍａｉｎ＿ｆｒａｍｅ」がロードされる直前までの一連のＷｅｂアクセスログが、一つのＷｅｂページを構成するためのリソースを示している。

検出装置１０の制御部１１は、記憶部１２に格納されたソフトウェア（検出プログラム）を読み出して実行することにより、取得部１１１、解析部１１２、リスト生成部１１３、検出部１１４、及びＵＲＬ登録部１１５として機能する。

検出装置１０は、これらの機能部により、既知のフィッシングサイトのＵＲＬリスト１２１とは別に、これらのフィッシングサイトのＷｅｂページを構成する際にアクセスするリソースの構成情報をブラックリスト１２２として生成する。なお、ＵＲＬリスト１２１は、記憶部１２に予め記憶されていてもよいし、外部サーバにより提供されてもよい。
これにより、検出装置１０は、ユーザ端末２０がブラウザによりアクセスしたサイトのＷｅｂページを表示する際に、このＷｅｂページを構成するリソースの構成情報をブラックリスト１２２と照合して、アクセスしたサイトがフィッシングサイトであることを検出する。

取得部１１１は、ブラウザにおいてＷｅｂページを構成するためにアクセスしたリソースの種類及びサイズを含むＷｅｂアクセスログを取得する。

解析部１１２は、一連のＷｅｂアクセスログから、Ｗｅｂページそれぞれに関するリソースの種類及びサイズからなるリソース情報の集合を、Ｗｅｂページ毎の構成情報として取得する。

図２は、本実施形態におけるＷｅｂページ毎の構成情報を例示する図である。
この例では、リソースの種類（ｔｙｐｅ）が「ｍａｉｎ＿ｆｒａｍｅ」であるＷｅｂアクセスログ（ｕｒｌ１）に続いて、各種のリソース（ｓｃｒｉｐｔ、ｉｍａｇｅ、…）に対するＷｅｂアクセスログ（ｕｒｌ２、ｕｒｌ３、・・・）が取得されている。

ここで、ｕｒｌ１０の次のＷｅｂアクセスログ（ｕｒｌ１１）が「ｍａｉｎ＿ｆｒａｍｅ」であるため、ｕｒｌ１へのアクセスにより表示されるＷｅｂページは、ｕｒｌ１からｕｒｌ１０までのリソースにより構成されていることが分かる。
したがって、構成情報は、ｕｒｌ１に紐づけて、ｕｒｌ２からｕｒｌ１０までのリソース情報の集合として記述される。
なお、ｕｒｌ１（ｍａｉｎ＿ｆｒａｍｅ）のリソース情報がＷｅｂページの構成情報に追加されてもよい。

例えば、リソースの種類が「ｓｃｒｉｐｔ」、リソースのサイズが２００バイトの場合、リソース情報は「ｓｃｒｉｐｔ−２００」と表され、各リソースのリソース情報からなる次のような集合がＷｅｂページの構成情報となる。
｛ｓｃｒｉｐｔ−２００，ｉｍａｇｅ−３００，ｉｍａｇｅ−５００，ｉｍａｇｅ−２００，ｍｅｄｉａ−３００，ｍｅｄｉａ−４００，ｓｔｙｌｅｓｈｅｅｔ−５００，ｆｏｎｔ−６００，ｏｔｈｅｒ−１０００｝
このように、例えば、画像（ｉｍａｇｅ）が複数あっても、それぞれ別々のリソース情報として構成情報の要素に追加される。

ここで、解析部１１２は、Ｗｅｂページのドメインが月毎の１か月間、あるいは現在までの１か月間等、所定期間に出現した回数を計測し、回数が閾値以上の場合、このＷｅｂページを通常のサイトと判断し、フィッシングサイトの検出対象から除外してもよい。

また、解析部１１２は、良性サイト及び悪性サイトが共通してアクセスするリソースとして、予め設定された所定のドメインのリソースを除外して構成情報を取得してもよい。例えば、アクセスカウンタ等の一般的に用いられるパーツ等が除外される。

さらに、解析部１１２は、Ｗｅｂページが所定のステータスコードを有する場合、このＷｅｂページを検出対象から除外する。具体的には、例えば、ｍａｉｎ＿ｆｒａｍｅのステータスコードが４００番台又は５００番台であるエラーサイトは、フィッシングサイトではないとして、構成情報の作成対象から除外される。

リスト生成部１１３は、ＷｅｂページのＵＲＬ（「ｍａｉｎ＿ｆｒａｍｅ」のＵＲＬ）が既知のフィッシングサイトのＵＲＬリスト１２１に含まれる場合に、このＷｅｂページに関する構成情報を、フィッシングサイトを検出するために記憶部１２に格納されたブラックリスト１２２に記録する。

検出部１１４は、取得されたＷｅｂページの構成情報に対して、ブラックリスト１２２に格納された構成情報それぞれとの類似度を算出し、類似度が閾値以上の既知のフィッシングサイトが存在する場合、このＷｅｂページをフィッシングサイトとして検出する。
検出部１１４は、構成情報の類似度として、例えば、Ｊａｃｃａｒｄ係数を用いることができる。

図３は、本実施形態における構成情報の類似度を例示する図である。
例えば、判定対象のＷｅｂページの構成情報が９個のリソース情報の集合で、既知のフィッシングサイトの構成情報が８個のリソース情報の集合であり、７個のリソース情報が共通している場合、両者の積集合の要素数は７、和集合の要素数は１０となる。
この場合、Ｊａｃｃａｒｄ係数（類似度）は、７／１０＝０．７である。

ここで、検出部１１４は、取得されたＷｅｂページの構成情報のうち、既知のフィッシングサイトと共通するリソース情報の個数が閾値未満の場合、このＷｅｂページを検出対象から除外してもよい。
さらに、検出部１１４は、既知のフィッシングサイトと共通するリソース情報のうち、所定以上のサイズのリソースに関するリソース情報の個数が閾値未満の場合に、このＷｅｂページを検出対象から除外してもよい。

また、検出部１１４は、構成情報をブラックリスト１２２と照合する前に、既知のフィッシングサイトのＵＲＬリスト１２１を参照し、ＷｅｂページのＵＲＬがこのＵＲＬリスト１２１に含まれる場合に、アクセスしたＷｅｂページをフィッシングサイトとして検出してもよい。

ＵＲＬ登録部１１５は、検出部１１４により構成情報に基づいてフィッシングサイトと判定されたＷｅｂページのＵＲＬを、既知のフィッシングサイトのＵＲＬリスト１２１に追加登録する。

図４は、本実施形態におけるブラックリスト１２２の生成、及びフィッシングサイトの検出を行う処理の流れを示すフローチャートである。

ステップＳ１において、取得部１１１は、一定期間のＷｅｂアクセスログを取得する。

ステップＳ２において、解析部１１２は、ステップＳ１で取得したＷｅｂアクセスログをユーザＩＤ及びタブＩＤでソートし、ユーザＩＤ及びタブＩＤ毎に以下の処理を実行する。

ステップＳ３において、解析部１１２は、あるｍａｉｎ＿ｆｒａｍｅのＵＲＬ（例えば、図２のｕｒｌ１）へのアクセスに関して、次のｍａｉｎ＿ｆｒａｍｅのＵＲＬ（例えば、図２のｕｒｌ１１）にアクセスするまでの間にアクセスしたリソースのリソース情報を取得し、Ｗｅｂページの構成情報を作成してｍａｉｎ＿ｆｒａｍｅのＵＲＬ（ｕｒｌ１）に紐付ける。

ステップＳ４において、検出部１１４は、ステップＳ３で観測されたｍａｉｎ＿ｆｒａｍｅのＵＲＬ（ｕｒｌ１）が既知のフィッシングサイトのＵＲＬリスト１２１に含まれているか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ５に移り、判定がＮＯの場合、処理はステップＳ６に移る。

ステップＳ５において、リスト生成部１１３は、既知のフィッシングサイトと判定されたＷｅｂページの構成情報をブラックリスト１２２に記録する。
その後、処理はステップＳ８に移る。

ステップＳ６において、検出部１１４は、ステップＳ３で取得した構成情報と、ブラックリスト１２２に含まれる構成情報それぞれとの類似度を算出し、閾値以上の類似度の構成情報がブラックリスト１２２に存在するか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ７に移り、判定がＮＯの場合、処理はステップＳ９に移る。

ステップＳ７において、ＵＲＬ登録部１１５は、新たに判明したフィッシングサイトのＵＲＬ（ｕｒｌ１）をＵＲＬリスト１２１に登録する。

ステップＳ８において、検出部１１４は、アクセスしたＷｅｂページ（ｕｒｌ１）がフィッシングサイトであることを、検出結果として出力する。

ステップＳ９において、検出部１１４は、アクセスしたＷｅｂページ（ｕｒｌ１）がフィッシングサイトではないことを、検出結果として出力する。

なお、このフローチャートでは、ユーザ端末２０のＷｅｂアクセスに応じてブラックリスト１２２が生成されるが、ブラックリスト１２２は、既知のフィッシングサイトのリストに基づいて予め生成されてもよい。
例えば、既存のインターネットサービスから取得した既知のフィッシングサイトのリストに基づいて、クローリングサーバによるＷｅｂアクセスログが取得部１１１に入力されてもよい。

本実施形態によれば、検出装置１０は、既知のフィッシングサイトを構成する際にアクセスするリソースの構成情報を、ブラックリスト１２２に記録する。そして、検出装置１０は、ユーザ端末２０がアクセスしたＷｅｂページを構成するリソースの構成情報と、ブラックリスト１２２に格納された構成情報との類似度が閾値以上である場合に、アクセスしたＷｅｂページをフィッシングサイトとして検出する。
したがって、検出装置１０は、個別のリソース単位の情報に基づく構成情報をブラックリスト１２２と詳細に照合しつつも、一部のリソースのサイズの誤差、又はリソース情報を取得する際のアクセスログの一部の欠損等に起因する構成情報の誤差を許容して、既知のフィッシングサイトに類似した未知のフィッシングサイトを精度良く検知できる。

検出装置１０は、Ｗｅｂページのドメインが所定期間に出現した回数を計測し、この回数が閾値以上の場合、このＷｅｂページをフィッシングサイトの検出対象から除外する。
したがって、検出装置１０は、頻繁にアクセスされるＷｅｂページを通常の良性サイトと判断して、誤検出を抑制すると共に、処理負荷を低減できる。

検出装置１０は、Ｗｅｂページの構成情報のうち、既知のフィッシングサイトと共通するリソース情報の個数が閾値未満の場合、このＷｅｂページを検出対象から除外する。
これにより、検出装置１０は、僅かなリソースの偶然の一致による誤検出を抑制できる。
さらに、検出装置１０は所定以上のサイズのリソースに関するリソース情報の個数が閾値未満の場合に、Ｗｅｂページを検出対象から除外することで、識別性の低いリソース情報による判定を行わず、例えば画像がファビコンだけのようなサイトを除外して、ブラックリスト１２２との偶然の一致による誤検出を抑制できる。

検出装置１０は、予め設定された所定のドメインのリソースを除外して構成情報を取得する。
したがって、検出装置１０は、様々なサイトで一般的に用いられるパーツ等のリソース情報を除外して、サイトの特徴を適切に表した構成情報により、フィッシングサイトを精度良く検出できる。

検出装置１０は、Ｗｅｂページが所定のステータスコードを有する場合、このＷｅｂページを検出対象から除外する。
したがって、検出装置１０は、エラーページ等、フィッシングサイトではないことが明らかなＷｅｂページの誤検出を防ぐと共に、処理負荷を低減できる。

検出装置１０は、構成情報の類似度として、Ｊａｃｃａｒｄ係数を用いることにより、容易に適切な類似判定を行うことができる。

検出装置１０は、構成情報に基づいてフィッシングサイトと判定したＷｅｂページのＵＲＬを、既知のフィッシングサイトのＵＲＬリスト１２１に追加してもよい。
これにより、検出装置１０は、ＵＲＬに基づいて検出できるフィッシングサイトの数を自動で拡張することができる。この結果、検出装置１０は、構成情報に基づく検出の前にＵＲＬに基づく判定を行うことで、同一のＵＲＬに対する重複した処理を削減し、処理負荷を低減できる。

検出システム１は、ユーザ端末２０においてブラウザによるネットワークへのアクセスを監視することにより、ユーザＩＤ及びタブＩＤを含むＷｅｂアクセスログを生成できる。
これにより、検出装置１０は、ユーザの閲覧したＷｅｂページがフィッシングサイトであるか否かを適時に判定し、通知することができる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

前述の実施形態では、ＵＲＬリスト１２１及びブラックリスト１２２が検出装置１０の記憶部１２に格納されることとしたが、これには限られず、外部サーバに格納されてもよい。
また、検出装置１０の機能は、ブラックリスト１２２を生成する解析装置と、ブラックリスト１２２に基づいてフィッシングサイトを検出する検出装置とに分散されてもよい。

検出装置１０による検出方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１ 検出システム
１０ 検出装置
１１ 制御部
１２ 記憶部
２０ ユーザ端末
２１ ブラウザセンサ
１１１ 取得部
１１２ 解析部
１１３ リスト生成部
１１４ 検出部
１１５ ＵＲＬ登録部
１２１ ＵＲＬリスト
１２２ ブラックリスト

Claims (10)

1. ブラウザにおいてＷｅｂページを構成するためにアクセスしたリソースの種類及びサイズを含むアクセスログを取得する取得部と、
   前記アクセスログから、前記Ｗｅｂページ毎に、前記リソースの種類及びサイズからなるリソース情報の集合を、当該Ｗｅｂページの構成情報として取得する解析部と、
   前記Ｗｅｂページの構成情報に対して、ブラックリストに格納された構成情報それぞれとの類似度を算出し、当該類似度が閾値以上の既知のフィッシングサイトが存在する場合、当該Ｗｅｂページをフィッシングサイトとして検出する検出部と、を備える検出装置。
2. 前記解析部は、前記Ｗｅｂページのドメインが所定期間に出現した回数を計測し、当該回数が閾値以上の場合、当該Ｗｅｂページを検出対象から除外する請求項１に記載の検出装置。
3. 前記検出部は、前記Ｗｅｂページの構成情報のうち、前記既知のフィッシングサイトと共通する前記リソース情報の個数が閾値未満の場合、当該Ｗｅｂページを検出対象から除外する請求項１又は請求項２に記載の検出装置。
4. 前記検出部は、前記既知のフィッシングサイトと共通する前記リソース情報のうち、所定以上のサイズのリソースに関するリソース情報の個数が閾値未満の場合に、前記Ｗｅｂページを検出対象から除外する請求項３に記載の検出装置。
5. 前記解析部は、予め設定された所定のドメインのリソースを除外して前記構成情報を取得する請求項１から請求項４のいずれかに記載の検出装置。
6. 前記解析部は、前記Ｗｅｂページが所定のステータスコードを有する場合、当該Ｗｅｂページを検出対象から除外する請求項１から請求項５のいずれかに記載の検出装置。
7. 前記検出部は、前記類似度として、Ｊａｃｃａｒｄ係数を用いる請求項１から請求項６のいずれかに記載の検出装置。
8. 前記検出部によりフィッシングサイトと判定された前記ＷｅｂページのＵＲＬを、既知のフィッシングサイトのＵＲＬリストに追加登録する登録部を備え、
   前記検出部は、前記構成情報を前記ブラックリストと照合する前に、前記ＵＲＬリストを参照し、前記ＷｅｂページのＵＲＬが当該ＵＲＬリストに含まれる場合に、前記Ｗｅｂページをフィッシングサイトとして検出する請求項１から請求項７のいずれかに記載の検出装置。
9. 請求項１から請求項８のいずれかに記載の検出装置と、ユーザ端末と、を備え、
   前記ユーザ端末は、前記ブラウザによるネットワークへのアクセスを監視し、ユーザのＩＤ及び前記ブラウザのタブを識別するＩＤを含む前記アクセスログを生成し、前記検出装置へ送信する検出システム。
10. 請求項１から請求項８のいずれかに記載の検出装置としてコンピュータを機能させるための検出プログラム。

Images