JP4047770B2

JP4047770B2 - Monitoring / operation system, method and program for protecting web servers from homepage tampering attacks

Info

Publication number: JP4047770B2
Application number: JP2003174438A
Authority: JP
Inventors: 亜紀子谷口
Original assignee: NEC Fielding Ltd
Current assignee: NEC Fielding Ltd
Priority date: 2003-06-19
Filing date: 2003-06-19
Publication date: 2008-02-13
Anticipated expiration: 2023-06-19
Also published as: JP2005011061A

Description

【０００１】
【発明の属する技術分野】
本発明は、ホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム，方法およびプログラムに関し、特に改ざんされにくいＷｅｂサーバの運用を行うためにホームページの改ざんを事前に防御するホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム，方法およびプログラムに関する。
【０００２】
【従来の技術】
インターネットの爆発的な普及に伴い、ホームページを持つ企業や学校、個人が急増している。
【０００３】
従来のホームページ改ざん監視機能は、改ざんされた後の検査による監視であり、公開しているホームページデータと監視用データベースとの差分で「不正な更新（改ざん）」を検出している。ホームページの改ざん発生時には、ホームページの閲覧サービスを停止する。
【０００４】
また、運用面においては、ホームページデータの退避、改ざん時の復元、正当なホームページデータの更新に伴う監視データベースの更新等を人手により行っている。
【０００５】
従来のホームページ改ざん監視方式の一例が、特許文献１に記載されている。特許文献１では、ウェブページの基準時に係るコンテンツファイルのハッシュ値を算出して記憶手段に記憶し、ウェブページの検査時に係るコンテンツファイルのハッシュ値を算出して記憶手段から読み出した基準時のハッシュ値と比較し、両者の差異を検証することで改ざんを監視している。
【０００６】
【特許文献１】
特開２００１−２６５２１７号公報
【０００７】
【発明が解決しようとする課題】
しかしながら、上述した従来の技術には、以下のような問題点がある。
【０００８】
すなわち、従来の監視方法は「改ざん後」の検出であり、全て事後処理となってしまっており、事前の防御がなされていないことである。
【０００９】
また、改ざん発生時にホームページの閲覧サービスが停止され、ホームページ閲覧サービスの継続性が保たれないことである。
【００１０】
また、ホームページデータの退避、改ざん時の復元、正当なホームページデータの更新に伴う監視データベースの更新等を人手により行っているので、これらの作業時における人為ミスに起因する誤動作・誤検出が発生することである。
【００１１】
本発明の目的は、上記の問題点を解決したホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム，方法およびプログラムを提供することにある。
【００１２】
【課題を解決するための手段】
本願第１の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムは、ＷｅｂサーバにアクセスしてＷｅｂコンテンツの閲覧を行うＷｅｂ閲覧者端末と、攻撃パターンを登録する攻撃パターンテーブルとＷｅｂコンテンツに対するアクセス制限を設定するアクセス制限テーブルを有し、前記Ｗｅｂ閲覧者端末に対してＷｅｂコンテンツの閲覧サービスを行い、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが前記攻撃パターンと一致する場合には前記Ｗｅｂ閲覧者端末とのアクセスを切断して前記Ｗｅｂ閲覧者端末を拒否リストに登録し、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが前記攻撃パターンと一致せず且つ前記アクセス制限テーブルに設定されるアクセス制限の範囲内の場合には前記Ｗｅｂ閲覧者端末を許可リストに登録してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーし、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが前記攻撃パターンと一致せず且つ前記アクセス制限テーブルに設定されるアクセス制限の範囲外の場合にはＷｅｂコンテンツのハッシュ値の検証結果が正常であれば改ざんはされていないと判断してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーし検証結果が正常でなければ改ざんされていると判断して改ざん発覚時の処理を行うＷｅｂサーバと、前記Ｗｅｂサーバを管理する管理者端末と、を備える。
【００１３】
本願第２の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムは、第１の発明において前記Ｗｅｂサーバは、アクセスしてきた前記Ｗｅｂ閲覧者端末が前記拒否リストに登録されている場合には接続を拒否する手段を有する。
【００１４】
本願第３の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムは、第１の発明において前記Ｗｅｂサーバは、前記Ｗｅｂコンテンツの改ざん発覚時にＷｅｂ閲覧者端末がアクセスするＷｅｂコンテンツを前記ミラーＷｅｂコンテンツへ切り替える手段と、Ｗｅｂ閲覧者端末からの前記ミラーＷｅｂコンテンツへのアクセスを前記アクセス制限テーブルに設定されるアクセス制限の範囲内に制限する手段と、前記ミラーＷｅｂコンテンツから前記Ｗｅｂコンテンツへコピーして前記Ｗｅｂコンテンツの復旧を行う手段と、を有する。
【００１５】
本願第４の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムは、第１の発明において前記管理者端末は、前記Ｗｅｂコンテンツを更新する手段を有し、前記Ｗｅｂサーバは、前記管理者端末からの前記Ｗｅｂコンテンツに対する更新を前記アクセス制限テーブルに設定されるアクセス制限の範囲内に制限する手段と、前記Ｗｅｂコンテンツが前記管理者端末により更新されたときに前記ＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーすると共にバックアップファイルに退避する手段を有する。
【００１６】
本願第５の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法は、Ｗｅｂ閲覧者端末とＷｅｂサーバと管理者端末とを備えるシステムのホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法であって、前記Ｗｅｂサーバは、前記Ｗｅｂ閲覧者端末に対してＷｅｂコンテンツの閲覧サービスを行い、前記Ｗｅｂ閲覧者端末は、前記Ｗｅｂサーバにアクセスして前記Ｗｅｂコンテンツの閲覧を行い、前記Ｗｅｂサーバは、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致する場合には、前記Ｗｅｂ閲覧者端末とのアクセスを切断して前記Ｗｅｂ閲覧者端末を拒否リストに登録し、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲内の場合には、前記Ｗｅｂ閲覧者端末を許可リストに登録してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーし、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲外の場合には、前記Ｗｅｂコンテンツのハッシュ値を算出してハッシュ値記憶部に格納されているハッシュ値と比較し、比較結果が一致すれば改ざんはされていないと判断してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーし、比較結果が不一致であれば改ざんされていると判断して改ざん発覚時の処理を行う、ことを特徴とする。
【００１７】
本願第６の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法は、第５の発明において前記Ｗｅｂサーバは、アクセスしてきた前記Ｗｅｂ閲覧者端末が前記拒否リストに登録されている場合には、前記Ｗｅｂ閲覧者端末との接続を拒否する、ことを特徴とする。
【００１８】
本願第７の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法は、第５の発明において前記改ざん発覚時に、前記Ｗｅｂサーバは、前記Ｗｅｂ閲覧者端末がアクセスするＷｅｂコンテンツを前記ミラーＷｅｂコンテンツへ切り替え、前記Ｗｅｂ閲覧者端末からの前記ミラーＷｅｂコンテンツへのアクセスをアクセス制限テーブルに設定されるアクセス制限の範囲内に制限し、前記ミラーＷｅｂコンテンツから前記Ｗｅｂコンテンツへコピーして前記Ｗｅｂコンテンツの復旧を行い、前記Ｗｅｂコンテンツの改ざん検出を前記管理者端末に通知する、ことを特徴とする。
【００１９】
本願第８の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用方法は、第５の発明において前記管理者端末は、前記Ｗｅｂコンテンツの更新を行い、前記Ｗｅｂサーバは、前記管理者端末からの前記Ｗｅｂコンテンツに対する更新をアクセス制限テーブルに設定されるアクセス制限の範囲内に制限し、前記Ｗｅｂコンテンツが前記管理者端末により更新されたときに前記ＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーすると共にバックアップファイルに退避する、ことを特徴とする。
【００２０】
本願第９の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラムは、Ｗｅｂ閲覧者端末とＷｅｂサーバと管理者端末とを備えるシステムのホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラムであって、コンピュータに、前記Ｗｅｂサーバが、前記Ｗｅｂ閲覧者端末に対してＷｅｂコンテンツの閲覧サービスを行う機能、前記Ｗｅｂ閲覧者端末が、前記Ｗｅｂサーバにアクセスして前記Ｗｅｂコンテンツの閲覧を行う機能、前記Ｗｅｂサーバが、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致する場合には、前記Ｗｅｂ閲覧者端末とのアクセスを切断して前記Ｗｅｂ閲覧者端末を拒否リストに登録する機能、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲内の場合には、前記Ｗｅｂ閲覧者端末を許可リストに登録してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーする機能、前記Ｗｅｂ閲覧者端末が送信してきたコマンドパターンが攻撃パターン記憶部に登録されている攻撃パターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲外の場合には、前記Ｗｅｂコンテンツのハッシュ値を算出してハッシュ値記憶部に格納されているハッシュ値と比較する機能、比較結果が一致すれば改ざんはされていないと判断してＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーする機能、比較結果が不一致であれば改ざんされていると判断して改ざん発覚時の処理を行う機能、を実現させる。
【００２１】
本願第１０の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラムは、第９の発明において前記Ｗｅｂサーバが、アクセスしてきた前記Ｗｅｂ閲覧者端末が前記拒否リストに登録されている場合には前記Ｗｅｂ閲覧者端末との接続を拒否する機能、を実現させる。
【００２２】
本願第１１の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラムは、第９の発明において前記Ｗｅｂサーバが、前記Ｗｅｂコンテンツの改ざん発覚時に前記Ｗｅｂ閲覧者端末がアクセスするＷｅｂコンテンツを前記ミラーＷｅｂコンテンツへ切り替える機能、前記Ｗｅｂ閲覧者端末からの前記ミラーＷｅｂコンテンツへのアクセスをアクセス制限テーブルに設定されるアクセス制限の範囲内に制限する機能、前記ミラーＷｅｂコンテンツから前記Ｗｅｂコンテンツへコピーして前記Ｗｅｂコンテンツの復旧を行う機能、前記Ｗｅｂコンテンツの改ざん検出を前記管理者端末に通知する機能、を実現させる。
【００２３】
本願第１２の発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用プログラムは、第９の発明において前記管理者端末が、前記Ｗｅｂコンテンツの更新を行う機能、前記Ｗｅｂサーバが、前記管理者端末からの前記Ｗｅｂコンテンツに対する更新をアクセス制限テーブルに設定されるアクセス制限の範囲内に制限する機能、前記Ｗｅｂコンテンツが前記管理者端末により更新されたときに前記ＷｅｂコンテンツをミラーＷｅｂコンテンツにコピーすると共にバックアップファイルに退避する機能、を実現させる。
【００２４】
【発明の実施の形態】
最初に、本発明の特徴を説明する。
【００２５】
本発明のホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システム，方法およびプログラムは、ホームページが改ざんされる前に出来る限りの防御を行い、改ざん発生時においても閲覧サービスを継続し、運用面においてはホームページ領域のミラーリング機能により人手による退避および改ざん時の復元がほとんど不要となることを特徴としている。
【００２６】
本発明の特徴をより詳細に説明する。
【００２７】
Ｗｅｂ（ウェブ）閲覧者がＷｅｂサーバに送信したコマンドパターンが登録済攻撃パターンと一致する場合、Ｗｅｂサーバはアクセスを切断してＷｅｂ閲覧者を拒否リストに登録し、Ｗｅｂコンテンツのハッシュ値の検証結果が正常であれば改ざんはされていないと判断しＷｅｂコンテンツデータをミラーＷｅｂコンテンツにコピー（ミラーリング）して終了し、検証結果が正常でなければ改ざんされていると判断して改ざん発覚時の処理を行う。
【００２８】
Ｗｅｂ閲覧者がＷｅｂサーバに送信したコマンドパターンが登録済攻撃パターンと一致しなく且つアクセス制限テーブルの範囲内の場合、ＷｅｂサーバはＷｅｂ閲覧者を許可リストに登録しＷｅｂコンテンツデータをミラーＷｅｂコンテンツにコピー（ミラーリング）して終了する。
【００２９】
Ｗｅｂ閲覧者がＷｅｂサーバに送信したコマンドパターンが登録済攻撃パターンと一致しなく且つアクセス制限テーブルの範囲外の場合、ＷｅｂサーバはＷｅｂコンテンツのハッシュ値の検証結果が正常であれば改ざんはされていないと判断しＷｅｂコンテンツデータをミラーＷｅｂコンテンツにコピー（ミラーリング）して終了し、検証結果が正常でなければ改ざんされていると判断して改ざん発覚時の処理を行う。
【００３０】
拒否リストに登録されると、次回からＷｅｂサーバに対するアクセスが拒否される。
【００３１】
許可リストに登録されると、次回からＷｅｂサーバに対して、許可リストに登録されていないものより広範囲のアクセスができる。
【００３２】
改ざん発覚時の処理では、ＷｅｂサーバはＷｅｂ閲覧者がアクセスするホームページ領域をミラーＷｅｂコンテンツへ切り替え緊急時アクセスで定義する範囲内のアクセスのみを許可してホームページを閲覧可能し、ミラーＷｅｂコンテンツからＷｅｂコンテンツへデータをコピーし復旧作業を行う。復旧作業実施中でもサービスは継続される。
【００３３】
次に、本発明の実施の形態の構成について、図面を参照して詳細に説明する。図１は、本発明の全体構成図である。
図２は、Ｗｅｂサーバ１０の構成図である。
図３は、Ｗｅｂサーバソフト１０２の構成図である。
図４は、改ざん検査エンジン１０３の構成図である。
図５は、アクセスリストＤＢ１０３３の構成図である。
図９は、シグネチャパターンの例を示す図である。
図１０は、アクセス制限テーブルの例を示す図である。
図１３は、ハッシュの例を示す図である。
【００３４】
本発明の実施の形態は、図１に示す通り、Ｗｅｂサーバ１０と、管理サーバ２０と、管理者端末３０と、Ｗｅｂ閲覧者端末４０と、ネットワーク１００と、を備えており、Ｗｅｂサーバ１０とＷｅｂ閲覧者端末４０はネットワーク１００を介して接続している。尚、図１では１つのＷｅｂ閲覧者端末４０を図示しているが、Ｗｅｂ閲覧者端末の個数に制約は無い。不特定多数のユーザは各自が使用するＷｅｂ閲覧者端末からネットワーク１００を介してＷｅｂサーバ１０にアクセスする。また、図１では１つの管理者端末３０を図示しているが、管理サーバ２０に接続される管理者端末の個数に制約は無い。
【００３５】
Ｗｅｂサーバ１０は、プログラム制御で動作するサーバ等の情報処理装置で、Ｗｅｂ閲覧者端末４０に対してＷｅｂコンテンツの閲覧等のサービスを提供する。Ｗｅｂサーバ１０は、図２に示す通り、アクセス制御部１０１と、Ｗｅｂサーバソフト１０２と、改ざん検査エンジン１０３と、を備え、各種のログ（Ｗｅｂ閲覧者端末４０のアクセスログ等）を採取する機能を有している。
【００３６】
アクセス制御部１０１は、改ざん検査エンジン１０３の指示により、Ｗｅｂ閲覧者端末４０のアクセスを制御する。アクセス制御部１０１は、Ｗｅｂ閲覧者端末４０とのセッションを切断した時点で、Ｗｅｂ閲覧者端末４０のＩＰアドレスを許可リスト１０３３２あるいは拒否リスト１０３３３に登録する。
【００３７】
Ｗｅｂサーバソフト１０２は、図３に示す通り、Ｗｅｂコンテンツ１０２１が含まれた構成を示している。Ｗｅｂサーバソフト１０２は、例えばＩＩＳ(Internet Information Services)やＡｐａｃｈｅ等である。
【００３８】
Ｗｅｂコンテンツ１０２１には、ＨＴＭＬファイル（index.html）や画像ファイルなどが含まれる。
【００３９】
改ざん検査エンジン１０３は、図４に示す通り、ミラーＷｅｂコンテンツ１０３１と、監視ＤＢ（データベース）１０３２と、アクセスリストＤＢ１０３３と、シグネチャパターンＤＢ１０３４と、を備えている。改ざん検査エンジン１０３は、セッションが切断された時点で、Ｗｅｂコンテンツ１０２１のハッシュ値を算出し、算出したＷｅｂコンテンツ１０２１のハッシュ値と監視ＤＢ１０３２が保持する確定されたＷｅｂコンテンツのハッシュ値との比較を行い、改ざんの事実を判定する。ハッシュ方法は、図１３に示す通り、ＭＤ５(message digest algorithm 5)などに代表される一方向ハッシュ関数による値を用いる。図１３の例では、ある時点において./image2.gifファイルが改ざんされたことを表している。
【００４０】
ミラーＷｅｂコンテンツ１０３１は、Ｗｅｂコンテンツ１０２１に対するＷｅｂ閲覧者端末４０の行為が正当な場合のみ、セッションの切断後にＷｅｂコンテンツ１０２１のデータがコピーされる（以下、ミラーリングと称す）。ミラーＷｅｂコンテンツ１０３１は、Ｗｅｂコンテンツ１０２１の改ざん検出時に切り替え用コンテンツとしてサービスの提供に使用され、Ｗｅｂ閲覧の継続性を保つ。
【００４１】
監視ＤＢ１０３２は、Ｗｅｂコンテンツ監視用の情報を保持する記憶装置である。監視ＤＢ１０３２には、確定されたＷｅｂコンテンツのハッシュ値を保持する。確定されたＷｅｂコンテンツのハッシュ値は、改ざん検査エンジン１０３が算出したＷｅｂコンテンツ１０２１のハッシュ値と比較され、改ざんの事実判定に使用される。
【００４２】
アクセスリストＤＢ１０３３は、Ｗｅｂコンテンツに対するアクセス制御用の情報を保持する記憶装置である。アクセスリストＤＢ１０３３は、図５に示すように、管理者用ＩＰアドレスリスト１０３３１と、許可リスト１０３３２と、拒否リスト１０３３３と、アクセス制限テーブル１０３３４と、を含む。
【００４３】
管理者用ＩＰアドレスリスト１０３３１は、Ｗｅｂコンテンツ１０２１へ対する全てのアクセスが可能である管理者端末のＩＰアドレスが登録される。管理者用ＩＰアドレスリスト１０３３１に登録されている管理者端末はＷｅｂコンテンツ１０２１の更新／保守等を行うことができる。
【００４４】
許可リスト１０３３２は、以前の閲覧時に正当な行為を行ったＷｅｂ閲覧者端末４０のＩＰアドレスが登録されろ。
【００４５】
拒否リスト１０３３３は、以前の閲覧時に不正な行為を行ったＷｅｂ閲覧者端末４０のＩＰアドレスが登録される。
【００４６】
アクセス制限テーブル１０３３４は、図１０に示すように、Ｗｅｂコンテンツ１０２１に格納されているファイル毎の実行可能なアクセス制限を設定してあるテーブルである。
【００４７】
図１０を参照すると、［ファイル名］項は、規定のディレクトリからの相対パスで記述されており、アクセス制限の対象となるディレクトリやファイル名が登録される。
【００４８】
［管理者アクセス］項は、管理者用ＩＰアドレスリスト１０３３１に登録されたＩＰアドレスからの通信時に許可できるアクセスを登録する。この例の場合は、全てのディレクトリ／ファイルに対して全ての操作が可能となる。
【００４９】
［システムアクセス］項は、Ｗｅｂサーバソフト１０２がディレクトリ／ファイルに対して行えるアクセスを登録してある。この例の場合、システムは、ＨＴＭＬファイル(index.html)やイメージファイル(*.gif)に対しては読み取りのみで、ＣＧＩ(counter.pl , mailform.pl)に対しては実行、データファイル(counter.dat)に対しては更新も許可されている。この項を設定することにより、未知なる不正プログラムが万が一サーバ上に常駐しても、許可されていないファイルに対しては更新（＝改ざん）が出来ない事を意味する。
【００５０】
［一般アクセス］項は、拒否リスト１０３３３や許可リスト１０３３２に登録されていないＷｅｂ閲覧者端末４０に対するアクセスを登録してある。この例では、ＨＴＭＬファイル(index.html)やイメージファイル(*.gif)に対する読み取りと、一部のＣＧＩ(mailform.pl)の実行のみ可能である。
【００５１】
［許可閲覧者アクセス］項は、許可リスト１０３３２に登録されているＷｅｂ閲覧者端末４０にのみ許されるアクセスを登録してある。この例では、［一般アクセス］に許可されているアクセス及び信頼されたユーザにのみ実行可能なＣＧＩ(usertouroku.pl)の実行を許可している。
【００５２】
［緊急時アクセス］項は、緊急時（ミラーＷｅｂコンテンツにて運用している時、Ｗｅｂコンテンツの更新／保守時等）に管理者端末３０以外のアクセスに対する制限を登録する。この例の場合は、ＨＴＭＬファイル(index.html)やイメージファイル(*.gif)の読み取りのみしか許可されていないために、Ｗｅｂサーバソフト１０２からのＣＧＩ(common gateway interface)も実行が不可能となる。この事により、参照系の動作しか許可されていないために、サービス継続中であってもデータの整合性が保てることになる。
【００５３】
シグネチャパターンＤＢ１０３４は、明らかに攻撃と判断出来るコマンドパターン（シグネチャパターン、攻撃パターン）が予め登録されている記憶装置である。新たなシグネチャパターンは、管理者端末３０から管理サーバ２０を介してシグネチャパターンＤＢ１０３４に登録される。シグネチャパターンＤＢ１０３４の例を図９に示す。Ｗｅｂ閲覧者端末４０からのコマンドをシグネチャパターンＤＢ１０３４に登録されているシグネチャパターン（コマンドパターン）と比較することで、Ｗｅｂ閲覧者端末４０が攻撃を仕掛けているか否かを判定する。
【００５４】
管理サーバ２０は、プログラム制御で動作するサーバ等の情報処理装置で、Ｗｅｂサーバ１０の管理等を行う。管理サーバ２０には、管理者端末３０が接続される。
【００５５】
管理者端末３０は、プログラム制御で動作するパーソナルコンピュータ等の情報処理装置で、管理者が管理サーバ２０を介してＷｅｂサーバ１０の管理等を行うために使用される。管理者端末３０は、Ｗｅｂサーバ１０の各ログ情報や改ざん検査エンジン１０３が発信する情報の一元管理を行う。Ｗｅｂサーバ１０においてＷｅｂコンテンツ１０２１の改ざんが検出されミラーＷｅｂコンテンツ１０３１へ移行した場合に、管理者端末３０は改ざん検査エンジン１０３から管理サーバ２０を介してアラーム通知を受信する。また、管理者端末３０は、Ｗｅｂコンテンツ１０２１の更新／保守等を行う機能を有する。
【００５６】
Ｗｅｂ閲覧者端末４０は、プログラム制御で動作するパーソナルコンピュータ等の情報処理装置で、Ｗｅｂサーバ１０にアクセスしてＷｅｂコンテンツの表示等を行う。ユーザがＷｅｂサーバ１０にアクセスしてＷｅｂコンテンツの閲覧等を行うために使用される。
【００５７】
ネットワーク１００は、Ｗｅｂサーバ１０とＷｅｂ閲覧者端末４０とをつなぐインターネット等の通信網である。
【００５８】
次に、本発明の実施の形態の動作について、図１〜図１１を参照して詳細に説明する。
図６は、本発明の動作のフローチャートを示す図（その１）である。
図７は、本発明の動作のフローチャートを示す図（その２）である。
図８は、本発明の動作のフローチャートを示す図（その３）である。
図１１は、正規のＷｅｂ閲覧者のアクセス例を示す図である。
図１２は、正規とは考えられないＷｅｂ閲覧者のアクセス例を示す図である。
【００５９】
図６〜図８を参照すると、先ず、ステップＳ１において、Ｗｅｂ閲覧者端末４０がＷｅｂサーバ１０のホームページへアクセスする。
【００６０】
ステップＳ２において、アクセス制御部１０１は検査フラグをＯＦＦにする。
【００６１】
ステップＳ３において、アクセス制御部１０１はアクセスしてきたＷｅｂ閲覧者端末４０が拒否リスト１０３３３に登録されているかどうかを確認し、Ｗｅｂ閲覧者端末４０が使用しているＩＰアドレスが拒否リスト１０３３３に登録されているならばステップＳ４に進み、登録されていない場合にはステップＳ５に進む。
【００６２】
ステップＳ４において、アクセス制御部１０１がＷｅｂの閲覧を自動的に拒否し、セッションを切断して処理を終了させる。
【００６３】
ステップＳ５において、Ｗｅｂ閲覧者端末４０がＷｅｂコンテンツ１０２１を閲覧する。
【００６４】
ステップＳ６において、改ざん検査エンジン１０３がパケットを収集してＷｅｂ閲覧者端末４０のコマンドパターンを監視し、シグネチャパターンＤＢ１０３４に登録されているシグネチャパターン（例えば図９に示すシグネチャパターン）が実行されているかどうかを確認し、シグネチャパターンＤＢ１０３４に登録されているシグネチャパターンが実行されているならばステップＳ７に進み、実行されていなければステップＳ１０に進む。
【００６５】
ステップＳ７において、アクセス制御部１０１はセッションを切断する。
【００６６】
ステップＳ８において、アクセス制御部１０１はＷｅｂ閲覧者端末４０が使用しているＩＰアドレスを拒否リスト１０３３３に登録する。
【００６７】
ステップＳ９において、改ざん検査エンジン１０３がＷｅｂコンテンツ１０２１のハッシュ値を算出し、監視ＤＢ１０３２に格納されている正常なＷｅｂコンテンツ１０２１のハッシュ値と比較し、比較結果が一致していれば改ざんされていないと判断してステップＳ１７に進み、比較結果が不一致ならば改ざんされていると判断してステップＳ１８に進む。
【００６８】
ステップＳ１０において、改ざん検査エンジン１０３はＷｅｂ閲覧者端末４０がアクセス制限テーブル１０３３４に示すアクセス制限通りのコマンドを実行しているかを監視し、アクセス制限通りのコマンドを実行していれば（例えば図１０に示すアクセス通りに行っている図１１の場合）ステップＳ１３に進み、アクセス制限通りのコマンドを実行していなければ（例えば図１０に示すアクセス通りに行っていない図１２の場合）ステップＳ１１に進む。
【００６９】
ステップＳ１１において、アクセス制御部１０１がＷｅｂ閲覧者端末４０に対してアクセス抑制を行う。
【００７０】
ステップＳ１２において、検査フラグをＯＮにする。
【００７１】
ステップＳ１３において、アクセス制御部１０１はセッションが切断されているかを調べ、セッションが切断されている場合にはステップＳ１４に進み、切断されていなければステップＳ５に戻る。
【００７２】
ステップＳ１４において、検査フラグがＯＮであるかを確認し、ＯＮであればステップＳ１６に進み、ＯＮでなければステップＳ１５に進む。
【００７３】
ステップＳ１５において、アクセス制御部１０１は、Ｗｅｂ閲覧者端末４０は正当な閲覧者として、Ｗｅｂ閲覧者端末４０が使用しているＩＰアドレスを許可リスト１０３３２に登録し、ステップＳ１７に進む。
【００７４】
ステップＳ１６において、改ざん検査エンジン１０３がＷｅｂコンテンツ１０２１のハッシュ値を算出し、監視ＤＢ１０３２に格納されている正常なＷｅｂコンテンツ１０２１のハッシュ値と比較し、比較結果が一致していれば改ざんされていないと判断して（この場合、Ｗｅｂ閲覧者端末４０は正当な閲覧者とは考えられないので許可リスト１０３３２への登録は行われず、拒否リスト１０３３３への登録も行われない）ステップＳ１７に進み、比較結果が不一致ならば改ざんされていると判断してステップＳ１８に進む。
【００７５】
ステップＳ１７において、Ｗｅｂコンテンツ１０２１のデータをミラーＷｅｂコンテンツ１０３１へコピーを行い、終了する。
【００７６】
以下のステップＳ１８〜ステップＳ２５は、改ざん発覚時の処理である。
【００７７】
ステップＳ１８において、アクセス制御部１０１は、改ざんが発覚したので、即時に、Ｗｅｂ閲覧者端末４０がアクセスするホームページ領域をミラーＷｅｂコンテンツ１０３１へ切り替え、ホームページを閲覧可能にする。
【００７８】
ステップＳ１９において、切り替え後、改ざん検査エンジン１０３はＷｅｂ閲覧者端末４０に対してアクセス制限テーブル１０３３４に示す［緊急時アクセス］項のアクセスのみを許可する。参照系コマンドのみ実行可能にすることで、ミラーＷｅｂコンテンツ１０３１のデータ整合性が保たれる。
【００７９】
ステップＳ２０において、コマンドの限定を行った後、自動的にミラーＷｅｂコンテンツ１０３１からＷｅｂコンテンツ１０２１へデータをコピーし復旧作業を行う。なお、復旧作業実施中でも、次のような動作によりサービスは継続される。
【００８０】
ステップＳ２１において、Ｗｅｂ閲覧者端末４０がＷｅｂサーバ１０のホームページへアクセスする。
【００８１】
ステップＳ２２において、アクセス制御部１０１はアクセスしてきたＷｅｂ閲覧者端末４０が拒否リスト１０３３３に登録されているかどうかを確認し、Ｗｅｂ閲覧者端末４０が使用しているＩＰアドレスが拒否リスト１０３３３に登録されているならばステップＳ２３に進み、登録されていない場合にはステップＳ２４に進む。
【００８２】
ステップＳ２３において、アクセス制御部１０１がＷｅｂの閲覧を自動的に拒否し、セッションを切断して処理を終了させる。
【００８３】
ステップＳ２４において、Ｗｅｂ閲覧者端末４０はミラーＷｅｂコンテンツ１０３１を閲覧する。このとき、アクセス制限テーブルに示す［緊急時のアクセス］項に登録されたコマンドのみを使用してミラーＷｅｂコンテンツ１０３１を制限されたコマンドの範囲で閲覧が可能である。復旧作業終了後は、再びＷｅｂコンテンツ１０２１へ切り替え、通常の動作へ復帰する。
【００８４】
ステップＳ２５において、アクセス制御部１０１はセッションが切断されているかを調べ、セッションが切断されていなければステップＳ２４に戻り、セッションが切断されている場合には終了する。
【００８５】
次に、Ｗｅｂコンテンツ１０２１の更新／保守時の処理について説明する。
【００８６】
管理者端末３０によるＷｅｂコンテンツ１０２１の更新／保守時に、Ｗｅｂサーバ１０は管理者用ＩＰアドレスリスト１０３３１に登録された管理者端末であるかを確認し、登録されている管理者端末であればアクセス制限テーブル１０３３４の［管理者アクセス］に示される制限に従ってＷｅｂコンテンツ１０２１に対するアクセスを許可する。本例では、管理者端末３０のＩＰアドレスが管理者用ＩＰアドレスリスト１０３３１に登録されており且つ図１１に示すようにアクセス制限テーブル１０３３４の［管理者アクセス］には”全て”と定義されているので、管理者端末３０によるＷｅｂコンテンツ１０２１へのアクセスは全て許可されて、Ｗｅｂコンテンツ１０２１の更新／保守等が可能である。
【００８７】
Ｗｅｂコンテンツ１０２１の更新時は、Ｗｅｂ閲覧者端末４０へのサービスとして、図１１に示す［緊急時のアクセス］項に登録されているコマンドのみ使用してホームページ（ミラーＷｅｂコンテンツ１０３１）を閲覧可能とし、閲覧サービスを継続させながらＷｅｂコンテンツ１０２１の更新を行う。管理者端末３０からのデータはすべて正しいと判断し、変更があると自動的にＷｅｂコンテンツ１０２１を更新する。Ｗｅｂコンテンツ１０２１の更新が終了すると、Ｗｅｂコンテンツ１０２１のデータをミラーＷｅｂコンテンツ１０３１へコピーすると共にバックアップファイル（図示せず）へ退避する。改ざん検査エンジン１０３はＷｅｂコンテンツ１０２１のハッシュ値を算出し、監視ＤＢ１０３２に保持されている確定されたＷｅｂコンテンツのハッシュ値を更新する。その後、ミラーＷｅｂコンテンツ１０３１からＷｅｂコンテンツ１０２１へ切り替えて、通常の動作へ復帰する。
【００８８】
Ｗｅｂコンテンツ１０２１の保守時は、Ｗｅｂ閲覧者端末４０へのサービスとして、図１１に示す［緊急時のアクセス］項に登録されているコマンドのみ使用してホームページ（ミラーＷｅｂコンテンツ１０３１）を閲覧可能とし、閲覧サービスを継続させながらＷｅｂコンテンツ１０２１の保守（例えばＷｅｂコンテンツ１０２１のハードウェアエラー発生に伴う処置等）を行う。Ｗｅｂ閲覧者端末４０は参照系のコマンドしか使用できないのでデータの整合性は保たれる。バックアップファイル（図示せず）からＷｅｂコンテンツ１０２１へコピーしてＷｅｂコンテンツ１０２１の保守が終了すると、Ｗｅｂコンテンツ１０２１のデータをミラーＷｅｂコンテンツ１０３１へコピーする。改ざん検査エンジン１０３はＷｅｂコンテンツ１０２１のハッシュ値を算出し、監視ＤＢ１０３２に保持されている確定されたＷｅｂコンテンツのハッシュ値を更新した後、ミラーＷｅｂコンテンツ１０３１からＷｅｂコンテンツ１０２１へ切り替えて、通常の動作へ復帰する。
【００８９】
上述した本発明の実施の形態では、Ｗｅｂ閲覧者端末が送信してきたコマンドパターンがシグネチャパターンと一致せず且つアクセス制限テーブルに設定されるアクセス制限の範囲外の場合でＷｅｂコンテンツのハッシュ値の検証結果が正常でない場合に、許可リストにも拒否リストにも登録していないが、本発明の他の実施の形態として、この場合に、拒否リストに登録するようにしてもよい。これにより、攻撃に対する事前防御がより一層高まることになる。
【００９０】
本発明による上述した実施の形態において、ホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムの処理動作を実行するためのプログラム等を、データとしてコンピュータの磁気ディスクや光ディスク等の記録媒体（図示せず）に記録するようにし、記録されたデータを読み出してホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムを動作させるために用いる。このように、本発明によるホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムを動作させるデータを記録媒体に記録させ、この記録媒体をインストールすることによりホームページ改ざん攻撃からＷｅｂサーバを守る監視／運用システムの機能が実現できるようになる。
【００９１】
【発明の効果】
第１の効果は、事前に防御することにより、改ざんされにくいＷｅｂサーバを運用することができることである。
【００９２】
その理由は、拒否リストに登録されているＷｅｂ閲覧者からのアクセスを拒否し、また、シグネチャパターンの実行を検出すると直ちにアクセスを切断するようにしたからである。
【００９３】
第２の効果は、改ざん発生時にサービスを継続することができることである。
【００９４】
その理由は、Ｗｅｂコンテンツのミラーリングを行い、改ざん発生時に自動的にミラーＷｅｂコンテンツに切り替え、ミラーＷｅｂコンテンツによる閲覧を行うようにしたからである。
【００９５】
第３の効果は、Ｗｅｂ閲覧者自身の評価によりＷｅｂページの差別化を図ることができることである。
【００９６】
その理由は、許可リストに登録されているＷｅｂ閲覧者からのアクセスに対して、アクセス制限テーブルの［許可閲覧者アクセス］項に示すアクセスを許可するようにし、一般のＷｅｂ閲覧者よりも優遇するようにしたからである。
【図面の簡単な説明】
【図１】本発明の全体構成図
【図２】Ｗｅｂサーバの構成図
【図３】Ｗｅｂサーバソフトの構成図
【図４】改ざん検査エンジンの構成図
【図５】アクセスリストＤＢの構成図
【図６】本発明の動作のフローチャートを示す図（その１）
【図７】本発明の動作のフローチャートを示す図（その２）
【図８】本発明の動作のフローチャートを示す図（その３）
【図９】シグネチャパターンの例を示す図
【図１０】アクセス制限テーブルの例を示す図
【図１１】正規のＷｅｂ閲覧者のアクセス例を示す図
【図１２】正規とは考えられないＷｅｂ閲覧者のアクセス例を示す図
【図１３】ハッシュの例を示す図
【符号の説明】
１０Ｗｅｂサーバ
２０管理サーバ
３０管理者端末
４０Ｗｅｂ閲覧者端末
１００ネットワーク
１０１アクセス制御部
１０２Ｗｅｂサーバソフト
１０３改ざん検査エンジン
１０２１Ｗｅｂコンテンツ
１０３１ミラーＷｅｂコンテンツ
１０３２監視ＤＢ
１０３３アクセスリストＤＢ
１０３４シグネチャパターンＤＢ
１０３３１管理者用ＩＰアドレスリスト
１０３３２許可リスト
１０３３３拒否リスト
１０３３４アクセス制限テーブル[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a monitoring / operation system, method, and program for protecting a Web server from a homepage alteration attack, and in particular, to protect the Web server from a homepage alteration attack that protects the homepage from being altered in advance in order to operate the Web server that is not easily altered. The present invention relates to a monitoring / operation system, a method, and a program.
[0002]
[Prior art]
With the explosive spread of the Internet, companies, schools, and individuals with homepages are rapidly increasing.
[0003]
The conventional homepage falsification monitoring function is monitoring by inspection after falsification, and detects “illegal update (falsification)” by the difference between the publicly available homepage data and the monitoring database. When homepage tampering occurs, the homepage browsing service is stopped.
[0004]
In terms of operation, the homepage data is saved, restored at the time of falsification, and the monitoring database is updated by updating the legitimate homepage data.
[0005]
An example of a conventional homepage alteration monitoring method is described in Patent Document 1. In Patent Document 1, a hash value of a content file related to a reference time of a web page is calculated and stored in a storage unit, and a hash value of a content file related to a web page inspection is calculated and read from the storage unit. Tampering is monitored by comparing the value and verifying the difference between the two.
[0006]
[Patent Document 1]
JP 2001-265217 A
[0007]
[Problems to be solved by the invention]
However, the conventional techniques described above have the following problems.
[0008]
In other words, the conventional monitoring method is “after tampering” detection, and all the post-processing is performed, and the advance protection is not performed.
[0009]
Also, the homepage browsing service is stopped when tampering occurs, and the continuity of the homepage browsing service is not maintained.
[0010]
Also, since the homepage data is saved, restored at the time of falsification, and the monitoring database is updated manually due to the update of legitimate homepage data, malfunctions and false detections due to human error during these operations occur. That is.
[0011]
An object of the present invention is to provide a monitoring / operation system, method, and program for protecting a Web server from a homepage tampering attack that solves the above problems.
[0012]
[Means for Solving the Problems]
A monitoring / operation system for protecting a Web server from a homepage alteration attack according to the first invention of the present application is directed to a Web browser terminal for browsing a Web content by accessing the Web server, an attack pattern table for registering an attack pattern, and a Web content Having an access restriction table for setting access restrictions, providing a web content browsing service to the web browser terminal, and when the command pattern transmitted by the web browser terminal matches the attack pattern, The access to the web browser terminal is disconnected and the web browser terminal is registered in the rejection list, and the command pattern transmitted by the web browser terminal does not match the attack pattern and is set in the access restriction table. If the access limit is within the range of Access restriction set by registering the browser terminal in the permission list, copying the web content to the mirror web content, and the command pattern transmitted by the web browser terminal does not match the attack pattern and set in the access restriction table If the verification result of the hash value of the Web content is normal when it is out of the range, it is determined that the content has not been tampered with, and the Web content is copied to the mirror Web content. A Web server that performs processing upon detection of tampering and an administrator terminal that manages the Web server.
[0013]
The monitoring / operation system for protecting a Web server from a homepage alteration attack according to the second aspect of the present invention is the Web server according to the first aspect, wherein the Web browser terminal accessed is registered in the rejection list. A means for rejecting the connection;
[0014]
According to a third aspect of the present invention, there is provided a monitoring / operation system for protecting a Web server from a homepage alteration attack. In the first invention, the Web server uses the mirror Web to access Web content accessed by a Web browser terminal when the Web content is detected as being altered. Means for switching to content, means for restricting access to the mirror web content from a web browser terminal within an access restriction range set in the access restriction table, and copying from the mirror web content to the web content And means for recovering the Web content.
[0015]
According to a fourth aspect of the present invention, there is provided a monitoring / operation system for protecting a Web server from a homepage tampering attack. In the first invention, the administrator terminal has means for updating the Web content, and the Web server includes the administrator. Means for restricting updates to the web content from a terminal within an access restriction range set in the access restriction table; and when the web content is updated by the administrator terminal, the web content is converted to a mirror web content. Means for copying and saving to a backup file.
[0016]
The monitoring / operation method for protecting a Web server from a homepage alteration attack of the fifth invention of the present application is a monitoring / operation method for protecting a Web server from a homepage alteration attack of a system including a Web browser terminal, a Web server, and an administrator terminal. The web server performs a web content browsing service to the web browser terminal, the web browser terminal accesses the web server to browse the web content, and the web server When the command pattern transmitted by the web browser terminal matches the attack pattern registered in the attack pattern storage unit, the access to the web browser terminal is cut off and the web browser terminal is rejected. The command pattern registered by the Web browser terminal is the attack pattern If the attack pattern does not match with the attack pattern registered in the storage unit and is within the access restriction range set in the access restriction table, the web browser terminal is registered in the permission list and the web content is changed to the mirror web content. If the command pattern copied and transmitted by the web browser terminal does not match the attack pattern registered in the attack pattern storage unit and is outside the access restriction range set in the access restriction table, the web pattern The hash value of the content is calculated and compared with the hash value stored in the hash value storage unit. If the comparison results match, it is determined that the content has not been tampered with, and the Web content is copied to the mirror Web content. If they do not match, it is judged that the file has been tampered with, and the processing at the time of tampering detection is performed. To.
[0017]
According to a sixth aspect of the present invention, there is provided a monitoring / operation method for protecting a Web server from a homepage alteration attack. In the fifth invention, the Web server is configured such that when the accessed Web browser terminal is registered in the rejection list. The connection with the Web browser terminal is rejected.
[0018]
According to a seventh aspect of the present invention, in the monitoring / operation method for protecting a Web server from a homepage alteration attack, when the falsification is detected in the fifth invention, the Web server converts the Web content accessed by the Web browser terminal to the mirror Web content. The access to the mirror web content from the web browser terminal is restricted within an access restriction range set in an access restriction table, and the mirror web content is copied to the web content and copied to the web content. Recovery is performed, and detection of alteration of the Web content is notified to the administrator terminal.
[0019]
According to an eighth aspect of the present invention, there is provided a monitoring / operation method for protecting a Web server from a homepage alteration attack. In the fifth aspect, the administrator terminal updates the Web content, and the Web server is connected to the administrator terminal. Updates to the web content are restricted within the access restriction range set in the access restriction table, and when the web content is updated by the administrator terminal, the web content is copied to the mirror web content and used as a backup file. It is characterized by evacuating.
[0020]
The monitoring / operation program for protecting a Web server from a homepage alteration attack according to the ninth aspect of the present invention is a monitoring / operation program for protecting a Web server from a homepage alteration attack of a system including a Web browser terminal, a Web server, and an administrator terminal. A function in which the Web server performs a Web content browsing service to the Web browser terminal, and a function in which the Web browser terminal accesses the Web server to browse the Web content. When the command pattern transmitted from the web browser terminal matches the attack pattern registered in the attack pattern storage unit, the web server disconnects access to the web browser terminal and performs the web browsing. Function for registering a user terminal in a rejection list, the Web browser terminal When the transmitted command pattern does not match the attack pattern registered in the attack pattern storage unit and is within the access restriction range set in the access restriction table, the web browser terminal is registered in the permission list. A function for copying Web contents to mirror Web contents, and a command pattern transmitted from the Web browser terminal does not match the attack pattern registered in the attack pattern storage unit and the access restriction set in the access restriction table When the content is out of the range, the hash value of the Web content is calculated and compared with the hash value stored in the hash value storage unit. If the comparison result matches, it is determined that the content has not been altered. Function to copy to the mirror Web content, if the comparison results do not match, It is determined to be N in function to perform the processing at the time of falsification discovered, to realize.
[0021]
The monitoring / operation program for protecting a Web server from a homepage alteration attack according to the tenth invention of the present application is such that, in the ninth invention, the Web browser terminal accessed by the Web server is registered in the rejection list. A function of refusing connection with the Web browser terminal;
[0022]
According to an eleventh aspect of the present invention, there is provided a monitoring / operation program for protecting a Web server from a homepage tampering attack according to the ninth aspect, wherein the Web server accesses the Web content accessed by the Web browser terminal when the Web content is detected as being altered. A function for switching to Web content, a function for restricting access to the mirror Web content from the Web browser terminal within an access restriction range set in an access restriction table, and copying from the mirror Web content to the Web content A function of restoring the Web content and a function of notifying the administrator terminal of detection of alteration of the Web content are realized.
[0023]
A monitoring / operation program for protecting a Web server from a homepage alteration attack according to a twelfth aspect of the present invention is the function of the administrator terminal to update the Web content in the ninth invention, and the Web server from the administrator terminal. A function of restricting updates to the web content within the access restriction range set in the access restriction table, and copying and backing up the web content to the mirror web content when the web content is updated by the administrator terminal Implement the function to save to a file.
[0024]
DETAILED DESCRIPTION OF THE INVENTION
First, the features of the present invention will be described.
[0025]
The monitoring / operation system, method and program for protecting a Web server from a homepage tampering attack according to the present invention provides as much protection as possible before the homepage is tampered with, and continues the browsing service even when tampering occurs. It is characterized by almost no need for manual evacuation and restoration by tampering with the mirroring function of the homepage area.
[0026]
The features of the present invention will be described in more detail.
[0027]
When the command pattern transmitted to the web server by the web (web) viewer matches the registered attack pattern, the web server disconnects the access and registers the web viewer in the rejection list, and the verification result of the hash value of the web content If it is normal, it is determined that the content has not been tampered with, and the Web content data is copied (mirrored) to the mirror Web content, and the processing is terminated. I do.
[0028]
When the command pattern transmitted to the web server by the web browser does not match the registered attack pattern and is within the access restriction table, the web server registers the web viewer in the permission list and converts the web content data to the mirror web content. Copy (mirror) and finish.
[0029]
If the command pattern sent by the web browser to the web server does not match the registered attack pattern and is outside the range of the access restriction table, the web server has been altered if the verification result of the hash value of the web content is normal. If it is determined that there is no verification, the Web content data is copied (mirrored) to the mirror Web content and the process ends. If the verification result is not normal, it is determined that the content has been falsified and processing is performed.
[0030]
When registered in the rejection list, access to the Web server is denied from the next time.
[0031]
Once registered in the permission list, the Web server can be accessed in a wider range from the next time than those not registered in the permission list.
[0032]
In the processing when tampering is detected, the Web server switches the home page area accessed by the Web viewer to mirror Web content, allows access only within the range defined by emergency access, and can browse the home page. Copy data to content and perform recovery work. The service will continue even during the recovery work.
[0033]
Next, the configuration of the embodiment of the present invention will be described in detail with reference to the drawings. FIG. 1 is an overall configuration diagram of the present invention.
FIG. 2 is a configuration diagram of the Web server 10.
FIG. 3 is a configuration diagram of the Web server software 102.
FIG. 4 is a configuration diagram of the falsification inspection engine 103.
FIG. 5 is a configuration diagram of the access list DB 1033.
FIG. 9 is a diagram illustrating an example of a signature pattern.
FIG. 10 is a diagram illustrating an example of an access restriction table.
FIG. 13 is a diagram illustrating an example of a hash.
[0034]
As shown in FIG. 1, the embodiment of the present invention includes a Web server 10, a management server 20, an administrator terminal 30, a Web browser terminal 40, and a network 100. The web browser terminal 40 is connected via the network 100. In FIG. 1, one web browser terminal 40 is illustrated, but the number of web browser terminals is not limited. An unspecified number of users access the Web server 10 via the network 100 from the Web browser terminal used by each user. In addition, although one administrator terminal 30 is illustrated in FIG. 1, the number of administrator terminals connected to the management server 20 is not limited.
[0035]
The web server 10 is an information processing apparatus such as a server that operates under program control, and provides a web browsing service to the web browser terminal 40. As shown in FIG. 2, the Web server 10 includes an access control unit 101, Web server software 102, and a falsification inspection engine 103, and collects various logs (such as an access log of the Web browser terminal 40). have.
[0036]
The access control unit 101 controls access of the web browser terminal 40 according to an instruction from the falsification inspection engine 103. When the session with the web browser terminal 40 is disconnected, the access control unit 101 registers the IP address of the web browser terminal 40 in the allow list 10332 or the deny list 10333.
[0037]
The Web server software 102 has a configuration including Web content 1021 as shown in FIG. The Web server software 102 is, for example, IIS (Internet Information Services) or Apache.
[0038]
The Web content 1021 includes an HTML file (index.html), an image file, and the like.
[0039]
As shown in FIG. 4, the falsification inspection engine 103 includes a mirror Web content 1031, a monitoring DB (database) 1032, an access list DB 1033, and a signature pattern DB 1034. The tampering inspection engine 103 calculates the hash value of the Web content 1021 when the session is disconnected, and compares the calculated hash value of the Web content 1021 with the hash value of the confirmed Web content held in the monitoring DB 1032. And determine the fact of tampering. As shown in FIG. 13, the hash method uses a value based on a one-way hash function typified by MD5 (message digest algorithm 5). The example of FIG. 13 indicates that the ./image2.gif file has been tampered with at a certain point in time.
[0040]
In the mirror Web content 1031, the data of the Web content 1021 is copied after the session is disconnected only when the Web browser terminal 40 acts on the Web content 1021 is valid (hereinafter referred to as mirroring). The mirror Web content 1031 is used for providing a service as a switching content when alteration of the Web content 1021 is detected, and maintains Web browsing continuity.
[0041]
The monitoring DB 1032 is a storage device that holds information for Web content monitoring. The monitoring DB 1032 holds the hash value of the confirmed Web content. The determined hash value of the Web content is compared with the hash value of the Web content 1021 calculated by the falsification inspection engine 103, and used for determining the fact of falsification.
[0042]
The access list DB 1033 is a storage device that holds information for controlling access to Web content. As shown in FIG. 5, the access list DB 1033 includes an administrator IP address list 10331, an allow list 10332, a deny list 10333, and an access restriction table 10334.
[0043]
The administrator IP address list 10331 is registered with the IP addresses of administrator terminals that can access all of the Web content 1021. The administrator terminal registered in the administrator IP address list 10331 can update / maintain the Web content 1021.
[0044]
In the permission list 10332, the IP address of the Web browser terminal 40 that has performed a legitimate action during previous browsing is registered.
[0045]
In the refusal list 10333, the IP address of the Web browser terminal 40 that has performed an illegal act during previous browsing is registered.
[0046]
The access restriction table 10334 is a table in which executable access restrictions for each file stored in the Web content 1021 are set as shown in FIG.
[0047]
Referring to FIG. 10, the [file name] item is described by a relative path from a specified directory, and a directory or file name subject to access restriction is registered.
[0048]
The [Administrator Access] section registers an access that can be permitted at the time of communication from an IP address registered in the administrator IP address list 10331. In this example, all operations can be performed on all directories / files.
[0049]
In the [System Access] section, the access that the Web server software 102 can make to the directory / file is registered. In this example, the system only reads HTML files (index.html) and image files (* .gif), executes CGI (counter.pl, mailform.pl), and executes data files ( counter.dat) is also allowed to update. By setting this item, it means that even if an unknown malicious program resides on the server, it is not possible to update (= falsify) an unauthorized file.
[0050]
In the [general access] section, access to the Web browser terminal 40 that is not registered in the deny list 10333 or the permission list 10332 is registered. In this example, only reading of an HTML file (index.html) or an image file (* .gif) and execution of a part of CGI (mailform.pl) are possible.
[0051]
In the “permitted browser access” section, access permitted only to the web browser terminal 40 registered in the permission list 10332 is registered. In this example, access permitted for [general access] and execution of CGI (usertouroku.pl) that can be executed only by trusted users are permitted.
[0052]
The [Emergency Access] section registers restrictions on access other than the administrator terminal 30 in an emergency (when operating with mirror Web content, when updating / maintaining Web content, etc.). In the case of this example, only reading of an HTML file (index.html) or an image file (* .gif) is permitted, so that it is impossible to execute CGI (common gateway interface) from the Web server software 102. Become. As a result, since only the operation of the reference system is permitted, data consistency can be maintained even during service continuation.
[0053]
The signature pattern DB 1034 is a storage device in which command patterns (signature patterns, attack patterns) that can be clearly determined as attacks are registered in advance. The new signature pattern is registered in the signature pattern DB 1034 from the administrator terminal 30 via the management server 20. An example of the signature pattern DB 1034 is shown in FIG. By comparing the command from the web browser terminal 40 with the signature pattern (command pattern) registered in the signature pattern DB 1034, it is determined whether or not the web browser terminal 40 is attacking.
[0054]
The management server 20 is an information processing apparatus such as a server that operates under program control, and manages the Web server 10. An administrator terminal 30 is connected to the management server 20.
[0055]
The administrator terminal 30 is an information processing apparatus such as a personal computer that operates under program control, and is used by the administrator to manage the Web server 10 via the management server 20. The administrator terminal 30 performs unified management of each log information of the Web server 10 and information transmitted from the falsification inspection engine 103. When the web server 102 detects that the web content 1021 has been tampered with and shifts to the mirror web content 1031, the administrator terminal 30 receives an alarm notification from the tampering inspection engine 103 via the management server 20. Further, the administrator terminal 30 has a function of updating / maintaining the Web content 1021.
[0056]
The web browser terminal 40 is an information processing apparatus such as a personal computer that operates under program control, and accesses the web server 10 to display web content. It is used for a user to access the Web server 10 and browse Web contents.
[0057]
The network 100 is a communication network such as the Internet that connects the Web server 10 and the Web browser terminal 40.
[0058]
Next, the operation of the embodiment of the present invention will be described in detail with reference to FIGS.
FIG. 6 is a diagram (part 1) illustrating a flowchart of the operation of the present invention.
FIG. 7 is a diagram (part 2) illustrating a flowchart of the operation of the present invention.
FIG. 8 is a diagram (part 3) illustrating the flowchart of the operation of the present invention.
FIG. 11 is a diagram illustrating an example of access by a legitimate Web browser.
FIG. 12 is a diagram illustrating an example of an access by a web viewer who is not considered to be regular.
[0059]
6 to 8, first, in step S 1, the web browser terminal 40 accesses the home page of the web server 10.
[0060]
In step S2, the access control unit 101 turns off the inspection flag.
[0061]
In step S 3, the access control unit 101 confirms whether the accessed web browser terminal 40 is registered in the deny list 10333, and the IP address used by the web browser terminal 40 is registered in the deny list 10333. If YES in step S4, the flow advances to step S4. If not registered, the flow advances to step S5.
[0062]
In step S4, the access control unit 101 automatically refuses web browsing, disconnects the session, and ends the process.
[0063]
In step S5, the web browser terminal 40 browses the web content 1021.
[0064]
In step S6, the falsification inspection engine 103 collects the packets, monitors the command pattern of the Web browser terminal 40, and whether the signature pattern registered in the signature pattern DB 1034 (for example, the signature pattern shown in FIG. 9) is executed. If the signature pattern registered in the signature pattern DB 1034 is executed, the process proceeds to step S7. If not executed, the process proceeds to step S10.
[0065]
In step S7, the access control unit 101 disconnects the session.
[0066]
In step S 8, the access control unit 101 registers the IP address used by the web browser terminal 40 in the deny list 10333.
[0067]
In step S9, the falsification inspection engine 103 calculates the hash value of the Web content 1021, compares it with the hash value of the normal Web content 1021 stored in the monitoring DB 1032, and if the comparison result matches, it has not been falsified. The process proceeds to step S17, and if the comparison result does not match, it is determined that tampering has occurred, and the process proceeds to step S18.
[0068]
In step S10, the falsification inspection engine 103 monitors whether the Web browser terminal 40 is executing a command according to the access restriction shown in the access restriction table 10334, and if the command is executed according to the access restriction (for example, FIG. 10). In the case of FIG. 11 that is performed according to the access shown in FIG. 11), the process proceeds to step S13, and if the command according to the access restriction is not executed (for example, in the case of FIG. 12 that is not performed according to the access illustrated in FIG. 10), the process proceeds to step S11. .
[0069]
In step S 11, the access control unit 101 controls access to the web browser terminal 40.
[0070]
In step S12, the inspection flag is turned ON.
[0071]
In step S13, the access control unit 101 checks whether the session is disconnected. If the session is disconnected, the process proceeds to step S14. If not disconnected, the process returns to step S5.
[0072]
In step S14, it is confirmed whether the inspection flag is ON. If it is ON, the process proceeds to step S16, and if not, the process proceeds to step S15.
[0073]
In step S15, the access control unit 101 registers the IP address used by the web browser terminal 40 in the permission list 10332, assuming that the web browser terminal 40 is a valid browser, and proceeds to step S17.
[0074]
In step S16, the falsification inspection engine 103 calculates the hash value of the Web content 1021, compares it with the hash value of the normal Web content 1021 stored in the monitoring DB 1032, and if the comparison result matches, it has not been falsified. (In this case, since the Web browser terminal 40 is not considered a valid viewer, registration in the permission list 10332 is not performed, and registration in the rejection list 10333 is not performed), the process proceeds to step S17. If the comparison result does not match, it is determined that the image has been tampered with and the process proceeds to step S18.
[0075]
In step S17, the data of the Web content 1021 is copied to the mirror Web content 1031 and the process ends.
[0076]
The following steps S18 to S25 are processes when tampering is detected.
[0077]
In step S18, since the tampering is detected, the access control unit 101 immediately switches the homepage area accessed by the web browser terminal 40 to the mirror web content 1031 so that the homepage can be browsed.
[0078]
In step S 19, after switching, the falsification inspection engine 103 permits only the access in the “Emergency access” section shown in the access restriction table 10334 to the Web browser terminal 40. By making only the reference system command executable, the data consistency of the mirror Web content 1031 is maintained.
[0079]
In step S20, after the command is limited, data is automatically copied from the mirror web content 1031 to the web content 1021, and a recovery operation is performed. Even during the recovery work, the service is continued by the following operation.
[0080]
In step S 21, the web browser terminal 40 accesses the home page of the web server 10.
[0081]
In step S22, the access control unit 101 confirms whether or not the web browser terminal 40 that has accessed is registered in the deny list 10333, and the IP address used by the web browser terminal 40 is registered in the deny list 10333. If YES in step S23, the flow advances to step S23. If not registered, the flow advances to step S24.
[0082]
In step S23, the access control unit 101 automatically refuses web browsing, disconnects the session, and ends the process.
[0083]
In step S24, the web browser terminal 40 browses the mirror web content 1031. At this time, the mirror Web content 1031 can be browsed within the restricted command range using only the commands registered in the [Emergency access] section shown in the access restriction table. After the restoration work is completed, the content is switched again to the Web content 1021 and returns to the normal operation.
[0084]
In step S25, the access control unit 101 checks whether the session is disconnected. If the session is not disconnected, the process returns to step S24, and ends if the session is disconnected.
[0085]
Next, processing during update / maintenance of the Web content 1021 will be described.
[0086]
When the Web content 1021 is updated / maintained by the administrator terminal 30, the Web server 10 checks whether the administrator terminal is registered in the administrator IP address list 10331, and if it is a registered administrator terminal, the access is made. Access to the Web content 1021 is permitted in accordance with the restrictions shown in [Administrator access] of the restriction table 10334. In this example, the IP address of the administrator terminal 30 is registered in the administrator IP address list 10331, and as shown in FIG. 11, “all” is defined in [Administrator access] of the access restriction table 10334. Therefore, all access to the Web content 1021 by the administrator terminal 30 is permitted, and the Web content 1021 can be updated / maintained.
[0087]
When the Web content 1021 is updated, the homepage (mirror Web content 1031) can be browsed by using only the command registered in the [Emergency access] section shown in FIG. 11 as a service to the Web browser terminal 40. The Web content 1021 is updated while continuing the browsing service. It is determined that all data from the administrator terminal 30 is correct, and the web content 1021 is automatically updated when there is a change. When the update of the Web content 1021 is completed, the data of the Web content 1021 is copied to the mirror Web content 1031 and saved to a backup file (not shown). The tampering inspection engine 103 calculates the hash value of the Web content 1021 and updates the determined hash value of the Web content held in the monitoring DB 1032. Thereafter, the mirror Web content 1031 is switched to the Web content 1021, and the normal operation is restored.
[0088]
During maintenance of the Web content 1021, as a service to the Web browser terminal 40, the homepage (mirror Web content 1031) can be browsed using only the command registered in the [Emergency access] section shown in FIG. The Web content 1021 is maintained while the browsing service is continued (for example, a measure associated with the occurrence of a hardware error in the Web content 1021). Since the Web browser terminal 40 can use only reference commands, data consistency is maintained. When copying from a backup file (not shown) to the Web content 1021 and maintenance of the Web content 1021 is completed, the data of the Web content 1021 is copied to the mirror Web content 1031. The tampering inspection engine 103 calculates the hash value of the Web content 1021, updates the hash value of the confirmed Web content held in the monitoring DB 1032, and then switches from the mirror Web content 1031 to the Web content 1021 to perform normal operation. Return to.
[0089]
In the above-described embodiment of the present invention, the hash value of the Web content is verified when the command pattern transmitted from the Web browser terminal does not match the signature pattern and is outside the access restriction range set in the access restriction table. If the result is not normal, it is not registered in the allow list or the deny list, but in this case, it may be registered in the deny list as another embodiment of the present invention. This further increases the pre-defense against attacks.
[0090]
In the above-described embodiment according to the present invention, a program for executing a processing operation of a monitoring / operation system that protects a Web server from a homepage tampering attack is recorded as a recording medium (not shown) such as a computer magnetic disk or optical disk. ), And the recorded data is read out and used to operate a monitoring / operation system that protects the Web server from homepage tampering attacks. As described above, data for operating the monitoring / operation system for protecting the Web server from the homepage alteration attack according to the present invention is recorded on the recording medium, and the monitoring / operation system for protecting the Web server from the homepage alteration attack by installing this recording medium. The function can be realized.
[0091]
【The invention's effect】
The first effect is that a Web server that is not easily tampered with can be operated by protecting in advance.
[0092]
The reason is that the access from the Web browser registered in the rejection list is rejected, and the access is disconnected as soon as the execution of the signature pattern is detected.
[0093]
The second effect is that the service can be continued when tampering occurs.
[0094]
The reason is that the Web content is mirrored and automatically switched to the mirror Web content when tampering occurs and browsed by the mirror Web content.
[0095]
The third effect is that web pages can be differentiated by the web browser's own evaluation.
[0096]
The reason is that the access shown in the [Permitted Browser Access] section of the access restriction table is permitted for the access from the web browser registered in the permission list, which is more preferential than the general web viewer. It was because it did so.
[Brief description of the drawings]
FIG. 1 is an overall configuration diagram of the present invention.
FIG. 2 is a configuration diagram of a Web server.
FIG. 3 is a configuration diagram of Web server software.
FIG. 4 is a block diagram of a tamper inspection engine.
FIG. 5 is a configuration diagram of an access list DB.
FIG. 6 is a diagram showing a flowchart of the operation of the present invention (part 1);
FIG. 7 is a diagram showing a flowchart of the operation of the present invention (part 2);
FIG. 8 is a diagram showing a flowchart of the operation of the present invention (part 3);
FIG. 9 is a diagram showing an example of a signature pattern
FIG. 10 is a diagram showing an example of an access restriction table
FIG. 11 is a diagram showing an example of access by an authorized Web browser
FIG. 12 is a diagram showing an example of access by a web viewer who is not considered to be regular
FIG. 13 is a diagram showing an example of a hash
[Explanation of symbols]
10 Web server
20 Management server
30 Administrator terminal
40 Web browser terminal
100 network
101 Access control unit
102 Web server software
103 Tamper inspection engine
1021 Web content
1031 Mirror Web content
1032 Monitoring DB
1033 Access list DB
1034 Signature pattern DB
10331 IP address list for administrators
10332 Allow list
10333 Denial list
10334 Access restriction table

Claims

A web browser terminal for accessing web servers and browsing web content;
A command having an attack pattern table for registering an attack pattern and an access restriction table for setting an access restriction for Web content, a Web content browsing service for the Web browser terminal, and a command transmitted by the Web browser terminal When the pattern matches the attack pattern, the access to the web browser terminal is disconnected, the web browser terminal is registered in the rejection list, and the command pattern transmitted by the web browser terminal is the attack pattern. And the web browser terminal is registered in the permission list, the web content is copied to the mirror web content, and the web browser terminal The transmitted command pattern is the attack pattern If it does not match and is outside the access restriction range set in the access restriction table, if the verification result of the hash value of the web content is normal, it is determined that the content has not been altered and the web content is copied to the mirror web content If the verification result is not normal, it is determined that the file has been tampered with, and a Web server that performs processing upon detection of tampering;
An administrator terminal for managing the Web server;
A monitoring / operation system that protects Web servers from website tampering attacks.

The web server
A means for rejecting the connection when the accessed web browser terminal is registered in the rejection list;
The monitoring / operation system for protecting a Web server from a homepage alteration attack according to claim 1.

The web server
Means for switching the web content accessed by the web browser terminal when the alteration of the web content is detected to the mirror web content;
Means for restricting access to the mirror web content from a web browser terminal within an access restriction range set in the access restriction table;
Means for copying the mirror web content to the web content and restoring the web content;
The monitoring / operation system for protecting a Web server from a homepage tampering attack according to claim 1.

The administrator terminal is
Means for updating the web content;
The web server
Means for restricting updates to the Web content from the administrator terminal within an access restriction range set in the access restriction table;
Means for copying the web content to a mirror web content and saving it to a backup file when the web content is updated by the administrator terminal;
The monitoring / operation system for protecting a Web server from a homepage alteration attack according to claim 1.

A monitoring / operation method for protecting a Web server from a homepage tampering attack of a system including a Web browser terminal, a Web server, and an administrator terminal,
The web server
Web content browsing service for the Web browser terminal,
The web browser terminal
Browse the web content by accessing the web server,
The web server
When the command pattern transmitted by the Web browser terminal matches the attack pattern registered in the attack pattern storage unit,
Cutting off access to the web browser terminal and registering the web browser terminal in the rejection list;
If the command pattern transmitted by the Web browser terminal does not match the attack pattern registered in the attack pattern storage unit and is within the access restriction range set in the access restriction table,
Register the web browser terminal in the permission list, copy the web content to the mirror web content,
When the command pattern transmitted by the Web browser terminal does not match the attack pattern registered in the attack pattern storage unit and is outside the access restriction range set in the access restriction table,
Calculating the hash value of the Web content and comparing it with the hash value stored in the hash value storage unit;
If the comparison results match, it is determined that the content has not been tampered with, and the web content is copied to the mirror web content.
If the comparison result does not match, it is determined that the file has been tampered with, and processing at the time of tampering detection is performed.
A monitoring / operation method for protecting a Web server from a homepage alteration attack characterized by the above.

The web server
When the accessed web browser terminal is registered in the rejection list,
Rejecting the connection with the Web browser terminal;
The monitoring / operation method for protecting a Web server from a homepage alteration attack according to claim 5.

Upon detection of the alteration,
The web server
Switching the web content accessed by the web browser terminal to the mirror web content,
Restricting access to the mirror web content from the web browser terminal within the range of access restrictions set in the access restriction table;
Copy the mirror web content to the web content and restore the web content,
Notifying the administrator terminal of detection of alteration of the Web content;
The monitoring / operation method for protecting a Web server from a homepage alteration attack according to claim 5.

The administrator terminal is
Update the web content,
The web server
Limiting the update to the Web content from the administrator terminal within the range of access restrictions set in the access restriction table;
When the web content is updated by the administrator terminal, the web content is copied to a mirror web content and saved to a backup file;
The monitoring / operation method for protecting a Web server from a homepage alteration attack according to claim 5.

A monitoring / operation program for protecting a Web server from a homepage tampering attack of a system including a Web browser terminal, a Web server, and an administrator terminal,
On the computer,
The web server is
A function of providing a web content browsing service to the web browser terminal;
The web browser terminal is
A function of accessing the web server and browsing the web content;
The web server is
When the command pattern transmitted by the Web browser terminal matches the attack pattern registered in the attack pattern storage unit,
A function of disconnecting access to the web browser terminal and registering the web browser terminal in a rejection list;
If the command pattern transmitted by the Web browser terminal does not match the attack pattern registered in the attack pattern storage unit and is within the access restriction range set in the access restriction table,
A function of registering the web browser terminal in an allow list and copying web content to mirror web content;
When the command pattern transmitted by the Web browser terminal does not match the attack pattern registered in the attack pattern storage unit and is outside the access restriction range set in the access restriction table,
A function of calculating a hash value of the Web content and comparing it with a hash value stored in a hash value storage unit;
If the comparison results match, it is determined that the content has not been tampered with, and the web content is copied to the mirror web content.
If the comparison result does not match, it is judged that the file has been tampered with,
Monitoring / operation program that protects Web servers from homepage tampering attacks.

The web server is
A function of rejecting connection with the web browser terminal when the web browser terminal that has been accessed is registered in the rejection list;
The monitoring / operation program which protects a Web server from the homepage alteration attack of Claim 9 for implement | achieving.

The web server is
A function of switching the web content accessed by the web browser terminal to the mirror web content when the alteration of the web content is detected;
A function of restricting access to the mirror web content from the web browser terminal within an access restriction range set in an access restriction table;
A function of copying the mirror web content to the web content and restoring the web content;
A function of notifying the administrator terminal of detection of alteration of the Web content;
The monitoring / operation program which protects a Web server from the homepage alteration attack of Claim 9 for implement | achieving.

The administrator terminal is
A function of updating the Web content;
The web server is
A function of restricting updates to the Web content from the administrator terminal within the range of access restrictions set in an access restriction table;
A function of copying the web content to a mirror web content and saving it to a backup file when the web content is updated by the administrator terminal;
The monitoring / operation program which protects a Web server from the homepage alteration attack of Claim 9 for implement | achieving.