JP4881718B2

JP4881718B2 - ウェブページの改竄検知装置、プログラム、および記録媒体

Info

Publication number: JP4881718B2
Application number: JP2006350992A
Authority: JP
Inventors: 敬祐竹森; 彰一遠藤
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2006-12-27
Filing date: 2006-12-27
Publication date: 2012-02-22
Anticipated expiration: 2026-12-27
Also published as: JP2008165292A

Description

本発明は、ウェブページの改竄を検知するウェブページの改竄検知装置に関する。また、本発明は、このウェブページの改竄検知装置としてコンピュータを機能させるためのプログラム、およびこのプログラムを記録した記録媒体にも関する。

ネットワーク上で閲覧可能なウェブページを定期的に監視して、ウェブページの改竄を検知するウェブ改竄検知システムがある（例えば特許文献１および非特許文献１参照）。このシステムでは、ウェブサーバが管理するウェブファイルをウェブ監視装置が定期的に取得してウェブファイルの変化の有無を検査し、もし変化を検出した場合には、改竄に見られる特徴の有無を検査する。もし、改竄に見られる特徴が検出された場合には、ウェブ監視装置は、ウェブページが改竄されたと判定する。また、改竄に見られる特徴が全く検出されなかった場合には、ウェブ監視装置は、ウェブページが更新されたと判定する。
特開２００４−３８２７２号公報竹森敬祐、三宅優、中尾康二，「Webサーバリモート監視におけるホームページ改竄判定」，情報処理学会，第１８回CSEC研究会，２００２年７月

ウェブページの中には、ＣＧＩ（Common Gateway Interface）機能により、ユーザがウェブページにアクセスするたびにコンテンツ（アクセスカウンタや広告等）が変化する動的ウェブページがある。従来のウェブ改竄検知システムでは、ユーザのアクセスのみではコンテンツが変化しない静的ウェブページの改竄を検知することはできる。しかし、動的ウェブページの監視に関しては、ユーザのアクセスによりウェブページが正規に更新された場合でも、以下の例のように、ウェブページの改竄が誤検知されてしまう可能性があった。

従来のウェブ改竄検知システムでは、例えば背景色の変化やタイトルの変化が静的ウェブページの改竄の特徴としてデータベースに登録されている。しかし、動的ウェブページの中には、ユーザのアクセスにより背景色やタイトルが変化するものがあり、従来のウェブ改竄検知システムによりこのような動的ウェブページを監視した場合、正規の更新が行われているにもかかわらず、ウェブページが改竄されたと誤判定されてしまう。

本発明は、上述した課題に鑑みてなされたものであって、ウェブページの改竄の誤検知を低減することができるウェブページの改竄検知装置、プログラム、および記録媒体を提供することを目的とする。

本発明は、上記の課題を解決するためになされたもので、ウェブページ情報を記憶するウェブページ情報記憶手段と、前記ウェブページ情報の変化の大きさに係る指標値を算出する指標値算出手段と、前記指標値算出手段によって過去の複数の時点で算出された前記指標値を記憶する指標値記憶手段と、前記指標値算出手段によって算出された前記指標値と、前記指標値記憶手段によって記憶されている前記指標値とに基づいてウェブページの改竄の有無を検知する改竄検知手段とを備えたことを特徴とするウェブページの改竄検知装置である。

静的ウェブページ、動的ウェブページにかかわらず、ウェブページが改竄されたときには、普段のウェブページの更新時と比較して、ウェブページ情報が大きく変化する。このウェブページ情報の変化の大きさは指標値に現れる。したがって、指標値算出手段によって算出された指標値と、指標値記憶手段によって記憶されている指標値とに基づいてウェブページの改竄の有無を検知することによって、ウェブページの改竄の誤検知を低減することができる。

また、本発明のウェブページの改竄検知装置において、前記改竄検知手段は、前記指標値算出手段によって算出された前記指標値と、前記指標値記憶手段によって記憶されている前記指標値の平均値との差分の大きさが閾値を超えた場合に、前記ウェブページが改竄されたと判定することを特徴とする。

また、本発明のウェブページの改竄検知装置において、前記改竄検知手段は、前記指標値算出手段によって算出された前記指標値が、前記指標値記憶手段によって記憶されている前記指標値の統計分布の信頼区間から外れている場合に、前記ウェブページが改竄されたと判定することを特徴とする。

また、本発明は、ウェブページ情報を記憶するウェブページ情報記憶手段と、前記ウェブページ情報に含まれる情報のうち、異なる時点間で変化した情報を検出する検出手段と、過去の複数の時点間で変化が検出された情報を識別する識別情報と、当該情報の変化の頻度を示す頻度情報とを関連付けて記憶する識別情報記憶手段と、改竄による前記ウェブページ情報の変化の特徴を示す特徴情報を記憶する特徴情報記憶手段と、前記ウェブページ情報に含まれる情報の変化が検出された場合に、当該変化の検出された情報に対応した前記頻度情報に基づいて、当該変化の検出された情報を改竄検知の対象とするか否かを判定する判定手段と、当該変化の検出された情報を改竄検知の対象とすると判定された場合に、当該変化の検出された情報と前記特徴情報とに基づいてウェブページの改竄の有無を検知する改竄検知手段とを備えたことを特徴とするウェブページの改竄検知装置である。

また、本発明は、ウェブページ情報を記憶するウェブページ情報記憶手段と、前記ウェブページ情報に含まれる情報のうち、異なる時点間で変化した情報を検出する検出手段と、過去の複数の時点間で変化が検出された情報のうち、変化の頻度が所定の条件を満たす情報を識別する識別情報を記憶する識別情報記憶手段と、改竄による前記ウェブページ情報の変化の特徴を示す特徴情報を記憶する特徴情報記憶手段と、前記ウェブページ情報に含まれる情報の変化が検出された場合に、当該変化の検出された情報が、前記識別情報が示す情報と一致するか否かを判定することによって、当該変化の検出された情報を改竄検知の対象とするか否かを判定する判定手段と、当該変化の検出された情報を改竄検知の対象とすると判定された場合に、当該変化の検出された情報と前記特徴情報とに基づいてウェブページの改竄の有無を検知する改竄検知手段とを備えたことを特徴とするウェブページの改竄検知装置である。

動的ウェブページには、変化の頻度が高い情報と、変化の頻度が低い情報とが存在する。ユーザのアクセス毎に変化する情報は、変化の頻度が高い情報であり、従来技術では改竄が誤検知されやすい。したがって、情報の変化の頻度を考慮して、変化の検出された情報を改竄検知の対象とするか否かを判定することによって、ウェブページ情報に含まれる情報のうち、変化の頻度が高い情報を除いた情報を改竄検知の対象とすることが可能となる。これによって、ウェブページの改竄の誤検知を低減することができる。

また、本発明は、上記のウェブページの改竄検知装置としてコンピュータを機能させるためのプログラムである。

また、本発明は、上記のプログラムを記録したコンピュータ読み取り可能な記録媒体である。

本発明によれば、ウェブページの改竄の誤検知を低減することができるという効果が得られる。特に、動的ウェブページの改竄の誤検知を低減することができるという効果が得られる。

以下、図面を参照し、本発明の実施形態を説明する。

（第１の実施形態）
まず、本発明の第１の実施形態を説明する。図１は、本実施形態によるウェブ監視装置（本発明のウェブページの改竄検知装置に対応）の構成を示している。図１において、ウェブ監視装置１は、ウェブページを管理しているウェブサーバ２と、ネットワーク３を介して接続されている。

ウェブ監視装置１において、通信部１０は、ネットワーク３を介してウェブサーバ２と通信を行う。監視処理部１１は、ウェブサーバ２から定期的にウェブページ情報を取得し、ウェブページの改竄を検知する監視処理を実行する。ウェブページ情報は、ウェブページを表示するのに必要な各種ファイルに含まれる情報であり、本実施形態では、「.html」、「.htm」、「.txt」等の拡張子を有するテキストベースのファイルに含まれる情報であるものとする。ウェブページ情報の具体例は後述する。

ウェブページ情報記憶部１２は、ウェブサーバ２から取得されたウェブページ情報を記憶する。差分情報記憶部１３は、異なる２つの時点で取得された２つのウェブページ情報の差分を示す差分情報を記憶する。変化量記憶部１４は、差分情報に基づいて算出されたウェブページ情報の変化量を記憶する。指標値記憶部１５は、変化量に基づいて算出された指標値を記憶する。この指標値は、複数種類の情報の変化量を総合的に評価するための値である。

監視処理部１１において、ウェブページ情報取得部１１ａは、例えばgetコマンドによる処理を実行し、通信部１０による通信処理を介してウェブサーバ２にアクセスし、ウェブページ情報を含むファイルをウェブサーバ２から取得する。ページ変化検出部１１ｂは、ウェブページ情報取得部１１ａによって取得されたウェブページ情報の変化の有無を検出する。ウェブページ情報を含むファイルのハッシュ値の変化を検出することによって、ウェブページ情報の変化が検出される。

差分抽出部１１ｃは、ページ変化検出部１１ｂによってウェブページ情報の変化が検出された場合に、変化前と変化後のウェブページ情報から、差分の情報を抽出する。抽出された情報は差分情報として差分情報記憶部１３に格納される。変化量算出部１１ｄは、差分抽出部１１ｃによって抽出された差分情報に基づいて、ウェブページ情報の変化量を算出する。算出された変化量は変化量記憶部１４に格納される。指標値算出部１１ｅは、変化量に基づいて指標値を算出する。算出された指標値は指標値記憶部１５に格納される。

一般に、動的ウェブページの変化は、画像ファイルが置き換わるなどの見た目が変化する程度のものであり、発信するテキストベースの情報の趣旨が大きく変化することはない。もし、このようなテキスト系のウェブページが改竄された場合には、発信する情報そのものの趣旨が大きく変化するため、この変化量に注目することによって、改竄を検知することが可能となる。

静的ウェブページ、動的ウェブページにかかわらず、ウェブページが改竄されたときには、普段のウェブページの更新時と比較して、ウェブページ情報が大きく変化する。このウェブページ情報の変化の大きさは、変化量算出部１１ｄによって算出された変化量、および指標値算出部１１ｅによって算出された指標値に現れる。

改竄検知部１１ｆは、指標値算出部１１ｅによって算出された指標値に基づいてウェブページの改竄を検知する。アラーム処理部１１ｇは、改竄検知部１１ｆによってウェブページの改竄が検知された場合に、ウェブサーバ２の管理者に対してアラームを発信して注意を促すためのアラーム情報（警告を通知する電子メール等）を生成する。

次に、本実施形態によるウェブ監視装置１の動作を説明する。本実施形態の改竄検知部１１ｆは、指標値算出部１１ｅによって算出された指標値を過去の指標値と比較した結果に基づいてウェブページの改竄の有無を検知する。この改竄検知処理が開始される前の複数の時点で、ウェブページ情報の変化量と、その変化量に基づいた指標値とが算出される。以下、図２を適宜参照しながら、改竄検知処理に先立って行われる、ウェブページ情報の変化量および指標値の算出処理の手順を説明する。

処理の開始後、ウェブページ情報取得部１１ａは、通信部１０による通信処理を介してウェブサーバ２にアクセスし、ウェブページ情報を含むファイルを取得する。ウェブページ情報取得部１１ａは、取得したファイルをウェブページ情報記憶部１２に格納する（ステップＳ１００）。続いて、ウェブページ情報取得部１１ａは、ステップＳ１００で取得したウェブパージ情報が、初めて取得したウェブページ情報であるか否かを判定する（ステップＳ１０１）。初めてウェブページ情報が取得された場合には、処理がステップＳ１００に戻る。また、既に別のウェブページ情報を取得していた場合には、処理がステップＳ１０２に進む。

既に別のウェブページ情報を取得していた場合、ページ変化検出部１１ｂは、ウェブページ情報を含むファイルをウェブページ情報記憶部１２から読み出し、そのファイルのハッシュ値を算出する（ステップＳ１０２）。ページ変化検出部１１ｂは、前回ウェブページ情報を取得したときに算出したハッシュ値と、今回算出したハッシュ値とを比較し（ステップＳ１０３）、比較結果に基づいて、ウェブページ情報の変化の有無を検出する（ステップＳ１０４）。

２つのハッシュ値が同じ値であった場合には、ウェブページ情報は変化していない。この場合には、処理がステップＳ１００に戻る。また、２つのハッシュ値が異なる値であった場合には、ウェブページ情報が変化している。この場合には、処理がステップＳ１０５に進む。ウェブページ情報の変化が検出された場合、差分抽出部１１ｃは、前回取得したウェブページ情報と、今回取得したウェブページ情報との差分の情報を抽出し、差分情報記憶部１３に格納する（ステップＳ１０５）。

本実施形態では、テキスト系のウェブページに含まれる情報として、以下の情報に注目している。すなわち、以下の情報がウェブページ情報の具体例である。
（１）データサイズ（Byte）
（２）リンク数
（３）英単語数もしくは漢字数
（４）タグ（HTMLファイルに含まれる<title>タグや、<charset>タグ、<body bgcolor>タグ、<body text>タグ）

ステップＳ１０５において、差分抽出部１１ｃは、上記の情報の変化量を検出するのに用いる差分情報を抽出するため、diffコマンドによる処理を実行する。diffコマンドは、２つのファイルのテキストを比較して、異なるテキストの部分を抽出する処理を実行するコマンドである。抽出されたテキストの部分（変化前と変化後の両方のテキストの部分を含む）の情報が差分情報である。

図３はdiffコマンドの実行により得られるデータの内容を示している。図３にはテキスト中の３箇所の変化が示されている。テキスト３０１は変化前のテキストを示しており、テキスト３０２は同一箇所の変化後のテキストを示している。テキスト３０３と３０４の関係およびテキスト３０５と３０６の関係もテキスト３０１と３０２の関係と同様である。すなわち、テキスト３０１，３０３，３０５が変化前のテキストを示しており、テキスト３０２，３０４，３０６が変化後のテキストを示している。

ステップＳ１０５に続いて、変化量算出部１１ｄは、差分情報記憶部１３から差分情報を読み出し、差分情報に基づいてウェブページ情報の変化量を算出して変化量記憶部１４に格納する（ステップＳ１０６）。データサイズの変化量は、差分情報が示す変化前のテキストの部分と変化後のテキストの部分とを別々のファイルに保存したときのファイルサイズの差として求める。リンク数は、差分情報が示す変化前または変化後のテキストの部分から求める。英単語数もしくは漢字数の変化量は、差分情報が示す変化前のテキストの部分と変化後のテキストの部分を比較して求める。

タグの変化量は以下のようにして検出する。差分情報が示す変化前のテキストの部分と変化後のテキストの部分を比較し、<title>タグで指定されたタイトルの変化の有無を検出する。同様に、<charset>タグで指定された言語エンコードの変化の有無を検出する。同様に、<body bgcolor>タグで指定された背景色の変化の有無を検出する。同様に、<body text>タグで指定された文字色の変化の有無を検出する。

これらの４つのタグで指定された文字に変化が全くない場合には、タグの変化量は０となる。また、各タグで指定された文字の全てが変化した場合には、タグの変化量は４となる。

ステップＳ１０６に続いて、指標値算出部１１ｅは、上記のようにして求めた変化量を評価する指標値を算出し、指標値記憶部１５に格納する（ステップＳ１０７）。本実施形態では、指標値としてユークリッド距離を使用する。ユークリッド距離とは、ユークリッド空間における２点間の最短距離である。ｎ次元空間の直交座標系における２点Ｐ，Ｑの座標がそれぞれ（Xp1，Xp2，・・・，Xpn）、（Xq1，Xq2，・・・，Xqn）であるとき、２点Ｐ，Ｑ間のユークリッド距離ｄは次の（１）式で定義される。

点Ｐの座標には、ステップＳ１０６で算出された変化量が使用される。例えば、Xp1はデータサイズの変化量であり、Xp2はリンク数の変化量であり、Xp3は英単語数もしくは漢字数の変化量であり、Xp4はタグの変化量である。また、点Ｑの座標には原点（ウェブページ情報に変化がない点）の座標が使用される。すなわち、Xq1＝Xq2＝・・・＝Xqn＝0である。

（１）式に従ってユークリッド距離を算出することによって、複数種類の情報の変化量を総合的に評価するための指標値を求めることができる。なお、特定の情報について、普段から変化量が大きいと、その変化量がユークリッド距離に与える影響が大きくなり、他の情報の変化量の影響がユークリッド距離に反映されにくくなる。したがって、情報毎に普段の変化量を基準にして、変化量に対して補正を行うようにし、各情報がユークリッド距離に与える影響が公平となるようにしてもよい。

ステップＳ１０７に続いて、指標値算出部１１ｅは、指標値の算出処理を終了するか否かを判定する（ステップＳ１０８）。判定基準は、例えば所定数の指標値を算出したか否か、または図２に示した処理を開始してから所定時間が経過したか否か等である。指標値の算出処理を続ける場合には、処理がステップＳ１００に戻る。また、指標値の算出処理を終了する場合には、処理がステップＳ１０９に進む。

ステップＳ１０７の処理が繰り返し実行されると、指標値記憶部１５には、過去の複数の時点で算出された複数の指標値が保存されていることになる。指標値の算出処理を終了する場合、指標値算出部１１ｅは指標値記憶部１５からこれら複数の指標値を読み出し、それらの平均値を算出する。算出された平均値は指標値記憶部１５に格納される（ステップＳ１０９）。以上でウェブページ情報の変化量および指標値の算出処理が終了する。

次に、図４を適宜参照しながら、ウェブページの改竄検知処理の手順を説明する。ステップＳ２００〜Ｓ２０７の処理は図２のステップＳ１００〜Ｓ１０７の処理と同様であるので、これらの処理の説明を省略する。ステップＳ２０７に続いて、改竄検知部１１ｆは、過去の複数の時点で算出された指標値の平均値を指標値記憶部１５から読み出し、その平均値を、ステップＳ２０７で算出された指標値と比較する（ステップＳ２０８）。

続いて、改竄検知部１１ｆは、ステップＳ２０８での比較結果に基づいて、ウェブページが改竄されたか否かを判定する。指標値と平均値の差分の大きさが所定の閾値を超えている場合には、改竄検知部１１ｆは、ウェブページが改竄されたと判定する。また、指標値と平均値の差分の大きさが所定の閾値以下である場合には、改竄検知部１１ｆは、ウェブページが改竄されていないと判定する（ステップＳ２０９）。

ウェブページが改竄されたと判定された場合には、処理はステップＳ２１０に進む。また、ウェブページが改竄されていないと判定された場合には、処理はステップＳ２１１に進む。ウェブページが改竄されたと判定された場合、アラーム処理部１１ｇはアラーム情報を生成し、通信部１０へ出力する。通信部１０は、ネットワーク３を介してアラーム情報をウェブサーバ２へ送信する（ステップＳ２１０）。

続いて、改竄検知部１１ｆは、改竄検知処理を終了するか否かを判定する（ステップＳ２１１）。改竄検出処理を続けると判定された場合には、処理がステップＳ２００に戻る。また、改竄検知処理を終了すると判定された場合には、一連の処理が終了する。

上記の処理では、算出した指標値および過去の指標値の平均値から求めた差分の大きさと閾値の大小関係により改竄の有無を判定しているが、算出した指標値と閾値の大小関係により改竄の有無を判定してもよい。この場合、過去の指標値の統計分布（確率分布）から閾値を決定することが望ましい。以下、算出した指標値と閾値の大小関係により改竄の有無を判定する方法を説明する。

図２のステップＳ１０９の処理は以下の処理に変わる。指標値算出部１１ｅは、ステップＳ１０７の処理を繰り返すことによって算出した複数の指標値を指標値記憶部１５から読み出す。指標値算出部１１ｅはそれらの平均値と標準偏差を算出し、平均値と標準偏差から閾値を算出する。算出された閾値は指標値記憶部１５に格納される。

図５に示すように、ウェブページの正規の変化による指標値の統計分布５００の上側信頼区間Ａから外れる指標値が異常値とみなされる。この上側信頼区間Ａの上限値が上記の閾値である。例えば、指標値が、上側信頼区間Ａから外れる区間Ｂに存在する確率が１％となるような閾値が算出される。統計分布５００の信頼区間は任意に設定してよい。

また、図３のステップＳ２０８の処理は以下の処理に変わる。改竄検知部１１ｆは、上記の閾値を指標値記憶部１５から読み出し、ステップＳ２０７で算出された指標値と閾値を比較する。

また、図３のステップＳ２０９の処理は以下の処理に変わる。改竄検知部１１ｆは、ステップＳ２０８での比較結果に基づいて、ウェブページが改竄されたか否かを判定する。指標値が閾値を超えている場合には、改竄検知部１１ｆは、ウェブページが改竄されたと判定する。また、指標値が閾値以下である場合には、改竄検知部１１ｆは、ウェブページが改竄されていないと判定する。

上述したように、本実施形態によれば、新たに算出された指標値と、過去に算出された指標値とに基づいてウェブページの改竄の有無を検知することによって、ウェブページの改竄の誤検知を低減することができる。特に、動的ウェブページについては、普段の更新による変化と改竄による変化とを見分けることが可能となるので、動的ウェブページの改竄の誤検知を低減することができる。

また、新たに算出された指標値と、過去に算出された指標値の平均値との差分が閾値を超えた場合にウェブページが改竄されたと判定することによって、ウェブページの改竄の有無の判定を定量的な基準で行うことが可能となり、ウェブページの改竄の誤検知を低減することができる。

また、新たに算出された指標値が、過去に算出された指標値の統計分布の信頼区間から外れた場合にウェブページが改竄されたと判定することによって、ウェブページの改竄の有無の判定をより客観的な基準で行うことが可能となり、ウェブページの改竄の誤検知を低減することができる。

（第２の実施形態）
次に、本発明の第２の実施形態を説明する。動的ウェブページには、変化の頻度が高い情報と、変化の頻度が低い情報とが存在する。ユーザのアクセス毎に変化する情報は、変化の頻度が高い情報であり、従来技術では改竄が誤検知されやすい。したがって、本実施形態では、ウェブページ情報に含まれる情報のうち、変化の頻度が高い情報を除いた情報を改竄検知の対象とする。本実施形態では、特にタグの情報に注目している。

図６は、本実施形態によるウェブ監視装置の構成を示している。以下、図１に示したウェブ監視装置１にはない構成を説明する。図６において、タグ情報抽出部１１ｈは、差分抽出部１１ｃによって変化前後のウェブページ情報から抽出された差分情報に基づいて、変化したタグの情報を抽出する。タグ情報記憶部１６は、抽出されたタグの情報を記憶する。改竄特徴情報記憶部１７は、改竄によるウェブページ情報の変化の特徴を示す特徴情報を記憶する。

次に、本実施形態によるウェブ監視装置１の動作を説明する。本実施形態の改竄検知部１１ｆは、変化したタグの情報のうち、変化の頻度が高いタグの情報を除外し、変化の頻度が低いタグの情報を用いてウェブページの改竄の有無を検知する。この改竄検知処理が開始される前に、複数の時点でタグの情報の変化とその変化の頻度が検出される。以下、図７を適宜参照しながら、改竄検知処理に先立って行われる、タグの変化頻度の検出処理の手順を説明する。

図７のステップＳ３００〜Ｓ３０５の処理は図２のステップＳ１００〜Ｓ１０５の処理と同様であるので、これらの処理の説明を省略する。ステップＳ３０６において、タグ情報抽出部１１ｈは差分情報記憶部１３から差分情報を読み出し、差分情報から、内容が変化したタグの情報を抽出する。タグ情報抽出部１１ｈは、抽出したタグの識別情報（タグ名等）と、そのタグの変化を検出した回数（変化検出回数）とを関連付けてタグ情報記憶部１６に格納する。

より具体的には、タグ情報記憶部１６には、タグの識別情報と変化検出回数を関連付けて記憶する領域が予め用意されており、図３の処理の開始前には変化検出回数は０となっている。タグの内容（タグで指定されたテキスト）に変化があった場合、そのタグの識別情報と関連付けられている変化検出回数の値に１が加算され、値が更新される。

ステップＳ３０６に続いて、タグ情報抽出部１１ｈは、タグの変化頻度の検出処理を終了するか否かを判定する（ステップＳ３０７）。判定基準は、例えば図７に示した処理を開始してから所定時間が経過したか否か等である。タグの変化頻度の検出処理を続けると判定された場合には、処理がステップＳ３００に戻る。また、タグの変化頻度の検出処理を終了すると判定された場合には、一連の処理が終了する。

上記の処理によってタグ情報記憶部１６に保存された変化検出回数は、タグの変化頻度に応じた値となっている。この変化検出回数に基づいて、変化頻度が高いタグと、変化頻度が低いタグとを区別することが可能となる。

以下、図８を適宜参照しながら、ウェブページの改竄検知処理の手順を説明する。ステップＳ４００〜Ｓ４０５の処理は図４のステップＳ２００〜Ｓ２０５の処理と同様であるので、これらの処理の説明を省略する。

ステップＳ４０５に続いて、タグ情報抽出部１１ｈは差分情報記憶部１３から差分情報を読み出し、差分情報から、内容が変化したタグの情報を抽出する。タグ情報抽出部１１ｈは、タグ情報記憶部１６に格納されている情報を参照し、抽出したタグの識別情報と関連付けられている変化検出回数の値に基づいて、抽出したタグの情報を改竄検知の対象に設定するか否かを判定する。変化検出回数の値が所定値未満であった場合には、タグ情報抽出部１１ｈは、抽出したタグの情報を改竄検知の対象に設定する。変化検出回数の値が所定値以上であった場合には、タグ情報抽出部１１ｈは、抽出したタグの情報を改竄検知の非対象に設定する（ステップＳ４０６）。

続いて、改竄検知部１１ｆは、改竄検知対象のタグの改竄による変化の特徴を示す特徴情報を改竄特徴情報記憶部１７から読み出し、改竄検知対象のタグの情報と比較する（ステップＳ４０７）。

改竄検知部１１ｆは、この比較結果に基づいて、ウェブページが改竄されたか否かを判定する。タグの情報と特徴情報が一致した場合には、改竄検知部１１ｆは、ウェブページが改竄されたと判定する。また、タグの情報と特徴情報が一致しなかった場合には、改竄検知部１１ｆは、ウェブページが改竄されていないと判定する（ステップＳ４０８）。例えば、<title>タグに関する特徴情報として、「Hack」や「Fuck」という文字列が登録されており、ステップＳ４０６で抽出されたテキストに含まれる、<title>タグで指定された文字列に上記の文字列が含まれている場合には、ウェブページが改竄されたと判定される。

ステップＳ４０９，Ｓ４１０の処理は図４のステップＳ２１０，Ｓ２１１の処理と同様であるので、それらの説明を省略する。

図７および図８に示した処理を以下のように変更してもよい。図７のステップＳ３０７の処理は以下の処理に変わる。タグの変化頻度の検出処理を終了すると判定した場合、タグ情報抽出部１１ｈは、タグ情報記憶部１６に保存されている情報のうち、変化検出回数の値が所定値以上であった情報を削除する。この結果、タグ情報記憶部１６には、変化頻度が低いタグのみの情報が保存されていることになる。

図８のステップＳ４０６の処理は以下の処理に変わる。タグ情報抽出部１１ｈは、タグ情報記憶部１６に格納されている識別情報が示すタグと、抽出したタグとが一致するか否か（両者が同一のタグであるか否か）を判定することによって、抽出したタグの情報を改竄検知の対象に設定するか否かを判定する。両者が一致した場合には、タグ情報抽出部１１ｈは、抽出したタグの情報を改竄検知の対象に設定する。また、両者が一致しなかった場合には、タグ情報抽出部１１ｈは、抽出したタグの情報を改竄検知の非対象に設定する。

上述したように、本実施形態によれば、変化の検出されたタグの情報のうち、変化の頻度が高いタグを除いたタグの情報を改竄検知の対象とすることが可能となる。これによって、ウェブページ（特に動的ウェブページ）の改竄の誤検知を低減することができる。

以上、図面を参照して本発明の実施形態について詳述してきたが、具体的な構成は上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。例えば、上述したウェブ監視装置の動作および機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行させてもよい。

ここで、「コンピュータ」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上述したプログラムは、このプログラムを記憶装置等に格納したコンピュータから、伝送媒体を介して、あるいは伝送媒体中の伝送波により他のコンピュータに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように、情報を伝送する機能を有する媒体のことをいう。また、上述したプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能を、コンピュータに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

本発明の第１の実施形態によるウェブ監視装置の構成を示すブロック図である。本発明の第１の実施形態におけるウェブページ情報の変化量および指標値の算出処理の手順を示すフローチャートである。本発明の第１の実施形態におけるdiffコマンドの実行によって得られるデータの内容を示す参考図である。本発明の第１の実施形態におけるウェブページの改竄検知処理の手順を示すフローチャートである。本発明の第１の実施形態における指標値の統計分布から閾値を求める方法を説明するための参考図である。本発明の第２の実施形態によるウェブ監視装置の構成を示すブロック図である。本発明の第２の実施形態におけるタグの変化頻度の検出処理の手順を示すフローチャートである。本発明の第２の実施形態におけるウェブページの改竄検知処理の手順を示すフローチャートである。

符号の説明

１・・・ウェブ監視装置、２・・・ウェブサーバ、３・・・ネットワーク、１０・・・通信部、１１・・・監視処理部、１１ａ・・・ウェブページ情報取得部、１１ｂ・・・ページ変化検出部、１１ｃ・・・差分抽出部、１１ｄ・・・変化量算出部、１１ｅ・・・指標値算出部（指標値算出手段）、１１ｆ・・・改竄検知部（改竄検知手段、判定手段）、１１ｇ・・・アラーム処理部、１１ｈ・・・タグ情報抽出部（検出手段）、１２・・・ウェブページ情報記憶部（ウェブページ情報記憶手段）、１３・・・差分情報記憶部、１４・・・変化量記憶部、１５・・・指標値記憶部（指標値記憶手段）、１６・・・タグ情報記憶部（識別情報記憶手段）、１７・・・改竄特徴情報記憶部（特徴情報記憶手段）

Claims

ウェブページ情報を記憶するウェブページ情報記憶手段と、
前記ウェブページ情報に含まれる情報のうち、異なる時点間で変化した情報を検出する検出手段と、
過去の複数の時点間で変化が検出された情報を識別する識別情報と、当該情報の変化の頻度を示す頻度情報とを関連付けて記憶する識別情報記憶手段と、
改竄された前記ウェブページ情報の特徴を示す文字列である特徴情報を記憶する特徴情報記憶手段と、
前記ウェブページ情報に含まれる情報の変化が検出された場合に、当該変化の検出された情報に対応した前記頻度情報が示す頻度が所定の頻度よりも低ければ当該変化の検出された情報を改竄検知の対象とすると判定し、当該変化の検出された情報に対応した前記頻度情報が示す頻度が所定の頻度よりも高ければ当該変化の検出された情報を改竄検知の対象としないと判定する判定手段と、
当該変化の検出された情報を改竄検知の対象とすると判定された場合に、当該変化の検出された情報と前記特徴情報とに基づいてウェブページの改竄の有無を検知する改竄検知手段と、
を備えたことを特徴とするウェブページの改竄検知装置。
ウェブページ情報を記憶するウェブページ情報記憶手段と、
前記ウェブページ情報に含まれる情報のうち、異なる時点間で変化した情報を検出する検出手段と、
過去の複数の時点間で変化が検出された情報のうち、変化の頻度が所定の頻度よりも低い情報を識別する識別情報を記憶する識別情報記憶手段と、
改竄された前記ウェブページ情報の特徴を示す文字列である特徴情報を記憶する特徴情報記憶手段と、
前記ウェブページ情報に含まれる情報の変化が検出された場合に、当該変化の検出された情報が、前記識別情報が示す情報と一致すれば当該変化の検出された情報を改竄検知の対象とすると判定し、当該変化の検出された情報、前記識別情報が示す情報と一致しなければ当該変化の検出された情報を改竄検知の対象としないと判定する判定手段と、
当該変化の検出された情報を改竄検知の対象とすると判定された場合に、当該変化の検出された情報と前記特徴情報とに基づいてウェブページの改竄の有無を検知する改竄検知手段と、
を備えたことを特徴とするウェブページの改竄検知装置。
請求項１または請求項２に記載のウェブページの改竄検知装置としてコンピュータを機能させるためのプログラム。
請求項３に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。