JP4612535B2 - 正当サイト検証手法におけるホワイトリスト収集方法および装置 - Google Patents

Description

本発明はネットワークセキュリティに関し、特にフィッシング詐欺対策方法に関する。

昨今のネットワーク技術の発達に伴い、メールやＷｅｂなどのネットワークツールを利用して、氏名・年齢・住所・電話番号などの個人情報や、クレジットカード番号・ＩＤ・パスワードなどの信用情報を盗むフィッシング詐欺が多発するようになってきた。

フィッシング詐欺は個人情報の確認や修正を要求する内容のメールを始めとすることが多い。同メールは、あたかも有名な銀行やクレジットカード会社が送信したかのように装い、受信者にＷｅｂサイトにおいて個人情報の入力・修正などを要求し、そのＵＲＬが記載されている。当該ＵＲＬは偽のＵＲＬであるが、当該ＵＲＬの画面は正規のサイトに酷似していたり、アドレスバーが詐称されていたりして、利用者にフィッシング詐欺サイトだと気づかれないよう装っている。図４にこの流れを示す。

このようなフィッシング詐欺への対策として様々な技術が提案されている。

ＣｏｒｅＳｔｒｅｅｔ社のＳｐｏｏｆＳｔｉｃｋは、Ｗｅｂブラウザのツールバーに接続しているサイト名を巨大に表示する手法を取ることで利用者の注意を喚起し、ＩＰアドレスだけといった嫌疑サイトが分かり易いようにしている（非特許文献１）。

Ｄｅｅｐｎｅｔ Ｔｅｃｈｎｏｌｏｇｉｅｓ社のＤｅｅｐｎｅｔ Ｅｘｐｌｏｒｅｒは、フィッシングサイトとしてブラックリストに載ったサイトを閲覧しようとした場合や、ＩＰアドレスだけなどのイレギュラーなＵＲＬサイトを閲覧しようとした場合には、ポップアップダイアログにて利用者の注意を喚起する手法を採用している（非特許文献２）。

Ｎｅｔｓｃａｐｅ社のＮｅｔｓｃａｐｅ ８．０は、ブラックリストを用いてフィッシング詐欺サイトを排除する手法を採用している（非特許文献３）。

これらの技術においてはブラックリストを用いてフィッシングサイトの疑いのあるサイトへの接続を防ごうとしているが、以下の理由によりブラックリストを用いた方式の危険性が考えられる。
・全てのフィッシングサイトをインタネット上から発見することは非常に困難
・フィッシングサイトがｏｎｌｉｎｅになってから、それを発見し、ブラックリストに登録するまでには一定の期間が必要である。しかし、フィッシングサイトの平均寿命は６日未満であり、あるフィッシングサイトがブラックリストに登録されてからオフラインとなり消滅するまでの「ブラックリスト有効期間」が非常に短い、またはブラックリスト登録がフィッシングサイト消滅後になる可能性が高い。
・ブラックリストに無いサイトは「危険ではない」と判断されるため、上記のような理由でブラックリストに未登録のフィッシングサイトに対しては効果が全くなく、ブラックリストとのマッチングが失敗（リストに存在しない）した場合にＦａｉｌ Ｏｕｔなシステムとなっている。

そこで、安全と考えられるサイトを登録するホワイトリスト方式が提案されている（非特許文献４、非特許文献５）。
http://www.corestreet.com/spoofstick/ http://www.deepnetexplorer.com/ http://browser.netscape.com/nsb/support/relnotes.jsp SecureBrain 社のPhishWall、http://www.securebrain.co.jp/products/phishwall/index.html NetMove 社のnProtect Netizen、http://nprotect.jp/netizen/

しかしながら、これらのホワイトリスト方式では、ホワイトリストを収集する手法が課題となる。上記のＳｅｃｕｒｅＢｒａｉｎ社、ＮｅｔＭｏｖｅ社とも特定の企業と契約することで、その企業のサイトをホワイトリストに登録する手法を採っている。しかし、エンドユーザの視点では、小数の契約企業のサイトだけではなく、より多くのサイトに対してホワイトリストを発行することが望まれる。

また、従来の手法では、契約企業のサイト構成を把握し、ユーザ端末に対してそれを証明する役割のセンタが必要であり、一定の運用コストが必須である。

本発明の目的は、ホワイトリスト管理・証明用のセンタが不用なホワイトリスト収集方法および装置を提供することにある。

上記目的を達成するために、本発明のホワイトリスト収集方法は、
利用者が受信したメールの文章を解析して企業の正当サイトのＵＲＬホワイトリストを作成する、ホワイトリスト収集装置で行なわれるホワイトリスト収集方法であって、
企業名抽出部が前記メールから企業名を抽出し、取得企業名リストを作成するステップと、
ＵＲＬ解析部が前記メールからＵＲＬを抽出するステップと、
リンク企業名解析部が、抽出された各ＵＲＬおよびそれらのメール内の位置関係から、抽出された企業名のうち当該ＵＲＬと関係の深い企業名を抽出するステップと、
Ｗｅｂサイト取得・解析部が、取得企業名リストに含まれる企業名による検索を行い、検索結果である当該企業のトップページＵＲＬおよびそこから辿った範囲のＵＲＬを、当該企業の正当サイトのホワイトリストとして抽出するステップと
を有する。

本発明では、フィッシング詐欺の発端となるフィッシングメールの内容を解析して詐称先企業名を割り出し、インタネット上の検索エンジンを利用して当該企業名から当該企業名の正規サイトを発見し、そのサイトをクロールして情報を集めることで、ホワイトリストをユーザ端末が自動的に取得するものである。

ユーザ端末が受信したメールの情報と検索サイトを用いてホワイトリストを構築するため、従来のホワイトリストでは必須であったホワイトリスト管理・証明用のセンタが不要となり、運用コスト削減に資する。

次に、本発明の実施の形態について図面を参照して説明する。

図１は本発明の一実施形態によるホワイトリスト収集装置のブロック図、図２は図１のホワイトリスト収集装置の処理の流れを示すフローチャートである。

本実施形態のホワイトリスト収集装置はメール解析部１とホワイトリスト構築部２で構成されている。

メール解析部１は、利用者が受信したメール３を解析し、メール３中に現れる企業名およびメール中のＵＲＬと結びつく企業名を解析・抽出し、取得企業名リスト１４およびリンク企業名リスト１８を作成するもので、ＵＲＬルール辞書１１とＵＲＬ解析部１２と企業名ルール辞書１３と企業名リスト１４と企業名解析部１５と取得企業名リスト１６とリンク企業名解析部１７とリンク企業名リスト１８で構成されている。

企業名解析部１５は、企業名ルール辞書１３および企業名リスト１４を用いてメールヘッダとメールボディ（ヘッダ以外）から企業名を抽出する（ステップ１０１）。企業名ルール辞書１３は、例えば正規表現で記述されており、表１、表２に示すように、「変数名リスト」と「ルールリスト」から構成される。

企業名解析部１５は「変数名リスト」に記載されている“変数値”を“変数名”で記憶する。そして「ルールリスト」に記載されている各“ルール”の変数を、記憶した“変数名”−“変数値”の組で展開する。そして、入力である、メールヘッダとメールボディに対して“ルール”を用いて企業名を抽出する。なお、表２に示す例では、正規表現解析対象である入力は“＄＿”に代入されているとしている。そして、“企業名変数”に格納される抽出された企業名を取得企業名リスト１６に登録する（ステップ１０２）。例として表１に示す変数ｖ１、ｖ２、ｖ３は、それぞれＥＵＣ ＪＰ Ｅｎｃｏｄｉｎｇの「全角アルファベット」「半角アルファベット」「全角カタカナ」を示し、表２に示すルールｒ１、ｒ２、ｒ３は、それぞれ「３文字以上の連続する全角アルファベット」「３文字以上の連続する半角アルファベット」「３文字以上の連続する全角カタカナ」を企業名として抽出するルール例である。

表３に企業名リスト１４の表記例を示す。

“企業名”およびその“別名（エイリアス）”から構築されており、“企業名”または“別名”に合致する文字列をメールヘッダとメールボディに見つけた場合には、それを取得企業名リスト１６に登録する。なお、“別名”で抽出された場合には、その“別名”の“企業名”で取得企業名リスト１６に登録されることで、複数の書き方が乱立した場合でも統合することが可能となる。さらに、企業名ルール辞書１３を用いて抽出された企業名についても企業名リスト１４との照合を行い、それが“別名”として登録されている場合には、その“別名”の“企業名”で取得企業名リスト１６に登録が行われる。取得企業名リスト１６の表記例を表４に示す。

企業名解析部１５により抽出された企業名とその企業名が現れる位置（行数とその行の何文字目か）が記憶されている。

一方、ＵＲＬ解析部１２は、メールヘッダとメールボディの中からリンクとなるＵＲＬと思われる文字列を抽出する（ステップ１０３）。表５にＵＲＬ解析部１２が利用するＵＲＬルール辞書１１の記述例を示す。図３の例では、「ｈｔｔｐ：／／」または「ｈｔｔｐｓ：／／」または「ｆｔｐ：／／」で始まるアドレスをＵＲＬであると定義している。

ＵＲＬ解析部１２は抽出したＵＲＬをリンク企業名解析部１７に通知する。

リンク企業名解析部１７は、取得企業名リスト１６とＵＲＬ解析部１２から通知されるＵＲＬリストおよびそれらの位置を用いて、各ＵＲＬとそれが指し示す企業名との関係を求める（ステップ１０４）。例えば、メールヘッダのＳｕｂｊｅｃｔに記載されている企業名は＋２０点、当該ＵＲＬ前５行以内に出現する企業名は＋１０点、メール末尾に記載されている企業名は＋１５点などのルールに基づき得点が合算され、各ＵＲＬに対して関係があると考えられる企業名のリストとその得点を抽出し、リンク企業名リスト１８に格納される（ステップ１０５）。リンク企業名リスト１８の記述例を表６に示す。

ホワイトリスト構築部２はホワイトリストを構築するもので、Ｗｅｂサイト取得・解析部２１とホワイトリスト２２から構成される。

Ｗｅｂサイト取得・解析部２１は取得企業名リスト１６にある企業名に対応するサイトを検索・収集してホワイトリスト２２を作成する。Ｗｅｂサイト取得・解析部２１は、取得企業名リスト１６の“抽出企業名”を用いて、インタネット上の検索サイトで検索処理を行う（ステップ１０６）。そして、検索結果のトップを当該企業のホームページであるとして取得し（ステップ１０７）、ホワイトリスト２２にトップページとして登録する（ステップ１０８）。次に、トップページのソースを解析し、トップページからリンクが張られているページを取得する。そして、さらにそのページのリンクについても同様に回帰的にページを取得してゆく。ただし、トップページのＵＲＬを解析し、そのＵＲＬと関係のあるページまでしか取得しないこととする。“関係のある”とは、例えば以下のような定義に基づく。
・トップページと同じドメイン内であれば関係があるとする。
・トップページと同じドメインであっても、トップページが「ｈｔｔｐ：／／ｗｗｗ．ｉｓｐ．ｎｅ．ｊｐ／〜ｕｓｅｒｎａｍｅ／」などの“〜（チルダ）”を利用している場合には、チルダの示すアカウント名のディレクトリ配下は関係があるとする。

ホワイトリスト登録処理例を図３に示す。他ドメインであっても同一ドメインからリンクが１ホップにあるＵＲＬは信頼して「ホワイトリスト」に登録するが、２ホップ以上についてはホワイトリストには登録しない。ただし、図３に示すようにリンクを辿る経路において再び同一ドメインとなった場合は「ホワイトリスト」に登録するものとする。

「ホワイトリスト」の記述例を表７、表８に示す。

本発明の一実施形態によるホワイトリスト収集装置のブロック図である。 図１のホワイトリスト収集装置の処理の流れを示すフローチャートである。 ホワイトリストに登録する範囲を示す図である。 フィッシング詐欺の流れの説明図である。

符号の説明

１ メール解析部
２ ホワイトリスト構築部
１１ ＵＲＬルール辞書
１２ ＵＲＬ解析部
１３ 企業名ルール辞書
１４ 企業名リスト
１５ 企業名解析部
１６ 取得企業名リスト
１７ リンク企業名解析部
１８ リンク企業名リスト
２１ Ｗｅｂサイト取得・解析部
２２ ホワイトリスト
１０１〜１０８ ステップ

Claims (7)

1. 利用者が受信したメールの文章を解析して企業の正当サイトのＵＲＬホワイトリストを作成する、ホワイトリスト収集装置で行なわれるホワイトリスト収集方法であって、
   企業名抽出部が前記メールから企業名を抽出し、取得企業名リストを作成するステップと、
   ＵＲＬ解析部が前記メールからＵＲＬを抽出するステップと、
   リンク企業名解析部が、抽出された各ＵＲＬおよび抽出された各企業名のメール内の位置関係に基づき、各ＵＲＬごとに、前記取得企業名リストに含まれる、抽出された各企業名に得点を合算し、その得点に応じて企業名を抽出するステップと、
   Ｗｅｂサイト取得・解析部が、前記取得企業名リストに含まれる企業名による検索を行い、検索結果である当該企業のトップページＵＲＬおよびそこから辿った範囲のＵＲＬを、当該企業の正当サイトのホワイトリストとして抽出するステップと
   を有するホワイトリスト収集方法。
2. 前記企業名を抽出し、取得企業名リストを作成するステップは、企業名およびその企業名の別名が記載されている企業名リストを用いて、メール内に企業名またはその別名がある場合に、その企業名がメール内に存在したと判断して、その企業名および出現位置を前期取得企業名リストに記録する、請求項１に記載のホワイトリスト収集方法。
3. 前記企業名を抽出し、取得企業名リストを作成するステップは、３文字以上のアルファベットまたはカタカナを企業名として抽出し、その企業名および出現位置を前記取得企業名リストに記録する、請求項１に記載のホワイトリスト収集方法。
4. 前記のＵＲＬと深い関係にある企業名を抽出するステップは、メールの文章から抽出されたＵＲＬと、前記取得企業名リストを照合し、メール文章内におけるＵＲＬの出現位置および取得企業名の出現位置から、当該ＵＲＬに対する取得企業名の重み付けを行い、リンク企業名リストに登録する、請求項２または３に記載のホワイトリスト収集方法。
5. 前記当該会社の正当サイトのホワイトリストとして抽出するステップは、前記取得企業名リストの各企業名に対して、インタネット上の検索サイトによる検索を行い、検索結果最上位のＵＲＬを当該企業のトップページであるとし、当該トップページから一定の範囲のリンクに対して、当該企業の正規サイトとしてホワイトリストに登録する、請求項２または３に記載のホワイトリスト収集方法。
6. 前記ホワイトリストへの登録範囲として、トップページを基準として同一ドメイン内および同一ドメインから１ホップ内のＵＲＬを登録対象とする、請求項５に記載のホワイトリスト収集方法。
7. 利用者が受信したメールの文章を解析して企業の正当サイトのＵＲＬホワイトリストを作成する、ホワイトリスト収集装置であって、
   前記メールから企業名を抽出し、取得企業名リストを作成する企業名抽出部と、
   前記メールからＵＲＬを抽出するＵＲＬ解析部と、
   抽出された各ＵＲＬおよび抽出された各企業名のメール内の位置関係に基づき、各ＵＲＬごとに、抽出された各企業名に得点を合算し、その得点に応じて企業名を抽出するリンク企業名解析部と、
   検索サイトで抽出した企業名による検索を行い、検索結果である当該企業のトップページＵＲＬおよびそこから辿った範囲のＵＲＬを、当該企業の正当サイトのホワイトリストとして抽出するＷｅｂサイト取得・解析部と
   を有するホワイトリスト収集装置。
   

Images