JP5254656B2 - ドライブバイ・ファーミングに対するリファラーチェックを介したクライアント側の保護 - Google Patents

ドライブバイ・ファーミングに対するリファラーチェックを介したクライアント側の保護 Download PDF

Info

Publication number
JP5254656B2
JP5254656B2 JP2008122127A JP2008122127A JP5254656B2 JP 5254656 B2 JP5254656 B2 JP 5254656B2 JP 2008122127 A JP2008122127 A JP 2008122127A JP 2008122127 A JP2008122127 A JP 2008122127A JP 5254656 B2 JP5254656 B2 JP 5254656B2
Authority
JP
Japan
Prior art keywords
http
content
http request
address
request
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2008122127A
Other languages
English (en)
Other versions
JP2008283686A (ja
Inventor
ショーン・クーリー
ロワン・トロロープ
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NortonLifeLock Inc
Original Assignee
Symantec Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Symantec Corp filed Critical Symantec Corp
Publication of JP2008283686A publication Critical patent/JP2008283686A/ja
Application granted granted Critical
Publication of JP5254656B2 publication Critical patent/JP5254656B2/ja
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H04L67/563—Data redirection of data network streams
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services

Description

本発明は、コンピュータシステムに関するものである。より詳しくは、本発明は、コンピュータのセキュリティに関するものである。
低価格のブロードバンドルータは、コンピュータユーザが、ホームネットワークや、ワイヤレスホームネットワークを作る際によく使用されている。残念なことに、ユーザが悪意のあるウェブページを訪れることによって、そのユーザのルータは知らぬ間に悪質な攻撃を受ける。クライアント側のルータに組み込まれ得るあるタイプの悪質な攻撃は、ドライブバイ・ファーミング（drive-by pharming）攻撃と呼ばれるものであり、サービスの拒否、悪意のあるコードによる感染、又は個人情報の盗難のほか、その他の迷惑な結果をもたらす。
本発明のある実施形態によれば、ドライブバイ・ファーミング攻撃からクライアント・コンピュータシステムを保護するための方法であって、ＨＴＴＰヘッダーを含むＨＴＴＰリクエストをルータにリリースする前に、クライアント・コンピュータシステムで、前記ＨＴＴＰリクエストをプロキシするステップと、前記ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬ及びルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬを識別するか否かを判定するステップとを含み、前記ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬ及びルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬを識別すると判定したとき、前記ＨＴＴＰリクエストをブロックするステップと、アラート通知を発生するステップとをさらに含む方法を提供する。前記ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬ及びルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬを識別しないと判定したとき、前記ＨＴＴＰリクエストはリリースされる。
本発明の別の実施形態によれば、前記方法はさらに、リリースされたＨＴＴＰリクエストをウェブブラウザに送信する前に、前記リリースされたＨＴＴＰリクエストに対するＨＴＴＰレスポンスをプロキシするステップと、前記ＨＴＴＰレスポンスのコンテンツタイプを判定するステップと、前記コンテンツタイプがtext/htmlタイプ又はスクリプトタイプか否かを判定するステップとを含み、前記コンテンツタイプがtext/htmlタイプ又はスクリプトタイプであると判定されたとき、悪意のある行動を防止するために前記コンテンツを修正するステップと、前記ＨＴＴＰレスポンスをリリースするステップとをさらに含む。前記コンテンツタイプがtext/htmlタイプ又はスクリプトタイプではないと判定されたとき、ＨＴＴＰレスポンスはリリースされる。
前記コンテンツタイプがtext/htmlタイプのとき、悪意のある行動を防止するために前記コンテンツを修正する前記ステップが、各ＨＴＭＬ参照ＵＲＬについてＨＴＭＬコンテンツを解析するステップと、各ＨＴＭＬ参照ＵＲＬが、ルーティング不可能なプライベートＩＰアドレスに対応するか否かを判定するステップとを含み、ＨＴＭＬ参照ＵＲＬが、ルーティング不可能なプライベートＩＰアドレスに対応すると判定されたとき、前記ＨＴＭＬ参照ＵＲＬを安全なＵＲＬに置き換えるステップと、前記ＨＴＴＰレスポンスをリリースするステップとをさらに含む。ある実施形態では、ユーザへ警告が通知される。ＨＴＭＬ参照ＵＲＬが、ルーティング不可能なプライベートＩＰアドレスに対応しないと判定されたとき、ＨＴＴＰレスポンスがリリースされる。
前記コンテンツタイプがスクリプトタイプのとき、悪意のある行動を防止するために前記コンテンツを修正するステップが、安全なＸＭＬＨＴＴＰリクエスト及び安全なアクティブＸ置換オブジェクトを定義するジャバスクリプト・オーバライドを、前記コンテンツの先頭、かつ任意のスクリプトの前に挿入するステップと、前記ジャバスクリプト・オーバライド以外のスクリプトについて前記コンテンツを解析するステップと、各スクリプトの各ＸＭＬＨＴＴＰリクエストを安全な各ＸＭＬＨＴＴＰリクエストに置き換えるステップと、各スクリプトの各オブジェクトタグをアクティブＸ置換オブジェクトに置き換えるステップと、前記ＨＴＴＰレスポンスをリリースするステップとをさらに含む。
本明細書で説明される実施形態は、以下の詳細な説明を添付の図面と共に参照することによって、最も良く理解されるであろう。
ルータを利用した代表的なホームネットワークにおいては、ユーザが、ウェブページのＵＲＬなどのリソースに対するリクエスト（要求）をホームネットワークのクライアント・コンピュータシステム上でウェブブラウザに入力する。ウェブブラウザは、ホームネットワーク上のコンピュータシステムについてのＤＮＳ設定を管理するルータに送信されるウェブページに対するＨＴＴＰリクエストを生成する。一般的に、ルータは、ＤＮＳルックアップを実行してリクエストされたウェブページのＵＲＬに対応するＩＰアドレスを割り出し、それが終わると、前記ＨＴＴＰリクエストは、ウェブページをホストする対応するサーバに送信される。
ドライブバイ・ファーミング攻撃においては、ドライブバイ・ファーミング・コードなどの悪意のあるコードを含むウェブページが、前記ＨＴＴＰリクエストに対するＨＴＴＰレスポンスとして返信される。ユーザのウェブブラウザにおいて前記ウェブページを起動すると、悪意のあるコードが、ルータのＩＰアドレスを突き止めようとしてウェブブラウザからルータへＨＴＴＰリクエストを送信する。そして、ルータのＩＰアドレスを入手すると、悪意のあるコードは、ルータのウェブインタフェースに接続して、ＤＮＳレゾリューションが偽のウェブサイトにリダイレクト（出力先変更）するようにＤＮＳ設定を変更する。
多くの場合、偽のウェブサイトの見た目は、ユーザがリダイレクトを警戒しないように、本物のウェブサイトそっくりに似せている。このことにより、ユーザが偽のウェブサイトに入力した情報、例えば個人情報及びパスワードが、攻撃者に詐取されてしまう。そして、攻撃者が、ユーザの情報を利用したデータへの不正アクセスやユーザの銀行口座から金を盗むなどの悪質な行為を行うことが可能となる。ドライブバイ・ファーミングに関する更なる情報は、シド・スタム（Sid Stamm）、ズルフィカル・ラムザン（Zulfikar Ramzan）及びマーカス・ヤコブソン（Markus Jakobsson）による論文「ドライブバイ・ファーミング（Drive-By Pharming）」（２００６年１２月１３日）に記載されている（http://www.symantec.com/avcenter/reference/Driveby_Pharming.pdf.参照）。
ＨＴＴＰリクエストにおいては、リクエストされたリソースは通常、ＵＲＬ（Uniform Resource Locator）によって識別される。ＵＲＬは、ＨＴＴＰを介してアクセス可能なリソースの位置を指定する一連のテキストである。例えば、ＨＴＴＰを用いて、ＵＲＬは、「http://abigbank.com」のように記述することができる。
ＵＲＬは、一般的に、例えばウェブブラウザによってドメインネームサーバ（ＤＮＳ）クエリを介して特定のインターネットプロトコル（ＩＰ）アドレスに分解される。通常、ＩＰアドレスは３２ビットの数である。したがって、例えば、「http://abigbank.com」というＵＲＬを「25.234.56.71」というＩＰアドレスに分解する。
ＩＰアドレスは、プライベートＩＰアドレス又はパブリックＩＰアドレスのいずれかである。ＵＲＬは特定のＩＰアドレスに対応するので、本明細書中では、プライベートＩＰアドレスに対応するＵＲＬをプライベートＵＲＬと称し、パブリックＩＰアドレスに対応するＵＲＬをパブリックＵＲＬと称する。
本明細書中では、プライベートＩＰアドレスは、ルーティング不可能なＩＰアドレスである。すなわち、プライベートＩＰアドレスは、インターネットへの直接接続に使用することができない。一般的に、ホームルータによってサービスを提供されるホームネットワーク上のクライアント・コンピュータシステムに割り当てられるＩＰアドレスは、ルーティング不可能なプライベートＩＰアドレスである。例えば、通常、ドット形式１０進表記法に対応するＩＰアドレス、10.x.x.x、172.16.x.x、192.168.x.xは、プライベートＩＰアドレスであり、ルーティング不可能である。
本明細書中では、パブリックＩＰアドレスは、ルーティング可能であるＩＰアドレスである。すなわち、パブリックＩＰアドレスは、インターネットへの直接接続に使用することができる。一般的に、インターネット上でウェブページをホストするウェブサーバに割り当てられるＩＰアドレスは、ルーティング可能なパブリックＩＰアドレスである。例えば、通常、ドット形式１０進表記法に対応しないＩＰアドレス、10.x.x.x、172.16.x.x、192.168.x.xは、パブリックＩＰアドレスであり、ルーティング可能である。
ウェブページなどのリソースに対するＨＴＴＰリクエストのフォーマットは、ＨＴＴＰリクエストについての情報を提供するＨＴＴＰヘッダーを必要とするＨＴＴＰプロトコルによって指定される。ＨＴＴＰプロトコルは、ＨＴＴＰヘッダー中に利用可能な多数のフィールドを定義する。具体的には、ＨＴＴＰクライアントからのＨＴＴＰリクエストは、一般的に、ターゲットＵＲＬフィールドと、リファラーＵＲＬフィールドとを含む。ターゲットＵＲＬフィールドは、リクエストされたＵＲＬ（本明細書中では「ターゲットＵＲＬ」と称する）を識別するデータを含む。リファラーＵＲＬフィールドは、ＨＴＴＰリクエストが開始されたときにユーザが現在のページへ移動するのに辿ったリンクを含むページのＵＲＬ（本明細書中では「リファラーＵＲＬ」と称する）を識別するデータを含む。
また、ＨＴＴＰリクエストに対するＨＴＴＰレスポンスのフォーマットも、ＨＴＴＰレスポンスについての情報を提供するＨＴＴＰヘッダーを必要とするＨＴＴＰプロトコルによって指定される。ＨＴＴＰレスポンスは、一般的に、ＨＴＴＰメッセージ・フィールド（コンテンツ・フィールドと呼ばれることもある）を含む。ＨＴＴＰメッセージ・フィールドは、例えば、ＨＴＭＬウェブページ、スクリプト、ファイル又はプログラムコードなどの、リクエストされたデータまたはコンテンツを含む。ＨＴＴＰレスポンスには、一般的に、ＨＴＴＰレスポンスにおいて返信されるコンテンツのメディアタイプ及び適用できる場合はサブタイプ（本明細書中では「コンテンツタイプ」と呼ぶ）を識別するデータを含むコンテンツタイプ・フィールドが含まれる。例えば、コンテンツタイプ・フィールドは、コンテンツのメディア型をtext/htmlあるいはスクリプトと識別するデータを含み得る。
図２を参照して、ある実施形態では、クライアント・コンピュータシステムにおいて例えばウェブブラウザによって作成されたＨＴＴＰリクエストは、クライアント・コンピュータシステムからルータ（例えば、クライアント側ホームルータ）へリリースする前にプロキシされる（オペレーション２０４）。ＨＴＴＰリクエストに含まれるＨＴＴＰヘッダーは、ターゲットＵＲＬ（オペレーション２０６）及びリファラーＵＲＬ（オペレーション２０８）を判定するために解析される。
ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬと、ルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬとの両方を識別するか否かが判定される（オペレーション２１０）。ＨＴＴＰヘッダーが、パブリックＩＰアドレスに対応するリファラーＵＲＬと、プライベートＩＰアドレスに対応するターゲットＵＲＬとの両方を識別する場合は、ＨＴＴＰリクエストはドライブバイ・ファーミング攻撃の徴候であると判定される。選択的に排除されない場合は（オペレーション２１２）、ＨＴＴＰリクエストのルータへの送信はブロックされ（オペレーション２１４）、ユーザへの警告が作成される（オペレーション２１６）。
反対に、ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬと、ルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬとの両方を識別しない場合は、ＨＴＴＰリクエストはドライブバイ・ファーミング攻撃の徴候ではないと判定され、ＨＴＴＰリクエストはルータへ送信するためにリリースされる（オペレーション２１８）。
他の実施形態では、図２の方法を拡張して、埋め込まれたＨＴＭＬオブジェクトタグ、スクリプトで作成されたＨＴＭＬオブジェクトタグ、及びＡＪＡＸスタイルＸＭＬのＨＴＴＰリクエストコールを利用したドライブバイ・ファーミング攻撃からクライアント・コンピュータシステムを保護するために、リリースされたＨＴＴＰリクエストに対するＨＴＴＰレスポンスを前述したようにプロキシし修正する。従って、図４Ａ〜４Ｄに概略的に示すように、ある実施形態では、リリースされたＨＴＴＰリクエストに対するＨＴＴＰレスポンスは、ウェブブラウザに受信される前にプロキシされ（オペレーション４０６）、ＨＴＴＰレスポンスのコンテンツタイプが判定される（オペレーション４０８）。そして、コンテンツタイプが、text／html又はスクリプトとして識別されるか否かが判定される（オペレーション４１０）。
コンテンツタイプがtext／html又はスクリプトであると判定されない場合（「ＮＯ」）は、ＨＴＴＰレスポンスが、ウェブブラウザへ送信するためにリリースされる（オペレーション４１２）。反対に、コンテンツタイプがtext／html又はスクリプトであると判定された場合は、図４Ｃに概略的に示すように、前記コンテンツは、例えばＨＴＭＬ参照ＵＲＬについて解析される（オペレーション４１６）。各ＨＴＭＬ参照ＵＲＬは、前記ＵＲＬがルーティング不可能なプライベートＩＰアドレスを示すか否か判定するために解析される（オペレーション４２０、４２２）。ＨＴＭＬ参照ＵＲＬがルーティング不可能なプライベートＩＰアドレスを示す場合は、元のＨＴＭＬ参照ＵＲＬを、例えば、空白文字列や安全な代替ＵＲＬなどの安全なＵＲＬに置き換える（オペレーション４２６）。選択的に、ユーザへの警告が作成される（オペレーション４２４）。前記ＨＴＴＰレスポンスは、その後、ウェブブラウザへ送信するためにリリースされる（オペレーション４１２）。
反対に、コンテンツタイプがスクリプトであると判定された場合は、図４Ｄに概略的に示すように、任意のスクリプトの前に、ジャバスクリプト・オーバライドがコンテンツの先頭に挿入される（オペレーション４３２）。ある実施形態では、ジャバスクリプト・オーバライドは、安全なＸＭＬＨＴＴＰリクエスト及びアクティブＸ置換オブジェクトを定義する。前記コンテンツは、ジャバスクリプト・オーバライド以外は、スクリプトについて解析される（オペレーション４３４）。各スクリプトにおけるＸＭＬＨＴＴＰリクエストの直接的使用の各例は、安全なＸＭＬＨＴＴＰリクエストと置き換えられ（オペレーション４４０）、各オブジェクトタグはアクティブＸ置換オブジェクトと置き換えられる（オペレーション４４２）。前記ＨＴＴＰレスポンスは、その後、ウェブブラウザへ送信するためにリリースされる（オペレーション４１２）。
図１は、本発明の一実施形態に係るコンピュータシステム１００を示す図である。コンピュータシステム１００は、クライアント・アンチファーミング・アプリケーション１０６で実行されるクライアント・コンピュータシステム１０２（例えば第１のコンピュータシステム）を含む。クライアント・コンピュータシステム１０２（以降、ユーザデバイスとも称する）は、一般的に、中央演算処理装置（ＣＰＵ）１０８（以降、プロセッサ１０８とも称する）、入出力（Ｉ／Ｏ）インターフェース１１０、及びメモリ１１２を備える。メモリ１１２は、オペレーティングシステム１０４を含む。
ある実施形態では、メモリ１１２は、クライアント・アンチファーミング・アプリケーション１０６と、ウェブブラウザ・アプリケーション１１４を含む。ある実施形態では、ウェブブラウザ・アプリケーション１１４は、ウェブページコンテンツを表示する。ウェブブラウザ・アプリケーション１１４は、従来のウェブブラウザ・アプリケーションのうちのいずれか１つであり、特定のウェブブラウザ・アプリケーションは本実施形態に必須ではない。従来のウェブブラウザは当業者には周知であるので、本発明の本質についての説明から逸れることを避けるためにここではこれ以上の詳しい説明は省略する。
クライアント・コンピュータシステム１０２は、キーボード１１６、マウス１１８、プリンタ１２０及びディスプレイ装置１２２などの標準的な装置、並びに、１つ以上の標準的な入出力（Ｉ／Ｏ）装置１２４をさらに含み得る。入出力（Ｉ／Ｏ）装置１２４としては、例えば、コンパクトディスク（ＣＤ）若しくはＤＶＤドライブ、フレキシブルディスクドライブ、又は、クライアント・コンピュータシステム１０２との間でデータの入出力を行うための他のデジタル信号若しくは波形信号用のポートなどがある。ある実施形態では、クライアント・アンチファーミング・アプリケーション１０６は、クライアント・アンチファーミング・アプリケーション１０６を記憶しているＣＤ、ＤＶＤ又はフレキシブルディスクなどから、入出力装置１２４を介してクライアント・コンピュータシステム１０２にロードされる。
クライアント・コンピュータシステム１０２は、家庭用ブロードバンドルータなどのルータ１４０に接続される。ルータ１４０は、ウェブブラウザ１１４で作成され、クライアント・コンピュータシステム１０２から送信されたアウトバウンドＨＴＴＰリクエストを受信する。ルータ１４０は、ＨＴＴＰリクエストを、コンピュータシステム１２８などの指定されたコンピュータシステムへ送信する。
また、ルータ１４０は、ＨＴＴＰリクエストに対して返信されたインバウンドＨＴＴＰレスポンスなどのインバウンド通信を受信する。ルータ１４０は、ＨＴＴＰレスポンスを、クライアント・コンピュータシステム１０２などの指定されたコンピュータシステムへ送信する。より詳細には、ルータ１４０は、ＨＴＴＰレスポンスを、クライアント・コンピュータシステム１０２のウェブブラウザ１１４へ送信する。ルータ１４０は、家庭用ブロードバンドルータなどの従来のルータのうちのいずれか１つであり、特定のルータは本実施形態に必須ではない。
本実施形態では、クライアント・アンチファーミング・アプリケーション１０６は、ウェブブラウザ１１４で作成されたＨＴＴＰリクエストを、クライアント・コンピュータシステム１０２からルータ１４０へリリースする前にプロキシする。ＨＴＴＰリクエストは、例えばドライブバイ・ファーミング攻撃などの悪意のあるコードの活動の徴候について解析される。ＨＴＴＰリクエストにドライブバイ・ファーミング攻撃の徴候があると判定された場合は、クライアント・コンピュータシステム１０２からルータ１４０へのＨＴＴＰリクエストのリリースがブロックされる、又は、ＨＴＴＰリクエストがルータ１４０へリリースされる前に他の保護アクションが実行される。
ある実施形態では、クライアント・アンチファーミング・アプリケーション１０６は、ＨＴＴＰレスポンス（例えば、ウェブブラウザ１１４からのＨＴＴＰリクエストに応えてコンピュータシステム１２８から送信されたＨＴＴＰレスポンス）を、ウェブブラウザ１１４に受信される前にプロキシする。ＨＴＴＰレスポンスは、ドライブバイ・ファーミング攻撃などの悪意のある活動を防止するために解析され修正される。
ルータ１４０は、ネットワーク１２６を介して外部コンピュータシステム１３０に接続される。例えば、ルータ１４０は、ネットワーク１２６（例えば、インターネット）を介して、サーバー・コンピュータシステム１３０及びコンピュータシステム１２８に接続される。サーバー・コンピュータシステム１３０は、一般的に、ディスプレイ装置１３２、プロセッサ１３４、メモリ１３６、及びネットワークインタフェース１３８を備える。
ある実施形態では、コンピュータシステム１２８は、コンピュータシステムにダウンロードしたときにドライブバイ・ファーミング攻撃を引き起こす悪意のあるコードを有するウェブページをホスティングするウェブコンテンツサーバーであり得る。本明細書では、ある実施形態では、悪意のあるコードは、認定ユーザの承認及び／又は許可を得ずにコンピュータシステム環境に侵入するコンピュータプログラム、モジュール、一組のモジュール、又はコードと定義される。ドライブバイ・ファーミング攻撃を引き起こすコードは、悪意のあるコードの一例である。そして、本明細書では、悪意のある活動は、悪意のあるコードの実行により引き起こされる任意の活動と定義される。
ある実施形態では、コンピュータシステム１２８は、クライアント・コンピュータシステム１０２及び／又はサーバー・コンピュータシステム１３０と同様であり、例えば、中央演算処理装置、入出力（Ｉ／Ｏ）インターフェース、及びメモリを含む。コンピュータシステム１２８は、キーボード、マウス、プリンタ、ディスプレイ装置、及びＩ／Ｏ装置などの標準的な装置をさらに含み得る。コンピュータシステム１２８の種々のハードウェアコンポーネントは、発明の本質についての説明から逸れることを避けるためにここではこれ以上の詳しい説明は省略する。
ネットワーク１２６は、ユーザが関心を持つあらゆるネットワークまたはネットワーク・システムであり得る。種々の実施形態において、ネットワークインタフェース１３８及びＩ／Ｏインタフェース１１０としては、アナログモデム、デジタルモデムまたはネットワークインタフェースカードなどが挙げられる。クライアント・コンピュータシステム１０２、コンピュータシステム１２８、及びサーバー・コンピュータシステム１３０の特定の種類と構成は、本発明の本実施形態に必須ではない。
図２は、本発明の一実施形態に係るクライアント・コンピュータシステム１０２をドライブバイ・ファーミング攻撃から保護するための方法２００を説明するためのフロー図である。この実施形態では、ウェブサイトへの第１のＨＴＴＰリクエストをウェブブラウザ１１４からコンピュータシステム１２８へ送信すると、有害なドライブバイ・ファーミング・コードを含んでいるウェブページがウェブブラウザ１１４へ返信され、ウェブブラウザ１１４で実行されると仮定する。より詳細には、ウェブブラウザ１１４で実行されるウェブページに含まれている有害なドライブバイ・ファーミング・コードは、クライアント・コンピュータシステム１０２上でドライブバイ・ファーミング攻撃をしようとして、ＨＴＴＰリクエストを開始する。
図１及び図２を参照すると、ある実施形態では、プロセッサ１０８でクライアント・アンチファーミング・アプリケーション１０６を実行すると、後述するような方法２００が実施される。方法２００は、開始オペレーション２０２で開始され、ＨＴＴＰリクエスト・プロキシオペレーション２０４へ進む。
ＨＴＴＰリクエスト・プロキシオペレーション２０４では、例えばウェブブラウザ１１４で悪意のあるコードを実行することによりクライアント・コンピュータシステム１０２で生成されたアウトバウンドＨＴＴＰリクエストは、クライアント・コンピュータシステム１０２からルータ１４０へリリースされる前にプロキシされる。ある実施形態では、前記ＨＴＴＰリクエストは、クライアント・アンチファーミング・アプリケーション１０６のＨＴＴＰプロキシコンポーネントによってプロキシされる。前記ＨＴＴＰリクエストは、当該ＨＴＴＰリクエストのルータ１４０への送信をブロックするように、例えばフッキング技術などの任意の様々なプロキシ技術を利用してプロキシされる。ＨＴＴＰリクエストのプロキシングは、当業者に周知であるので、本発明の本質についての説明から逸れることを避けるためにここではこれ以上の詳しい説明は省略する。
ある実施形態では、ＨＴＴＰリクエストは、少なくともリファラーＵＲＬ及びターゲットＵＲＬを有するＨＴＴＰヘッダーを含む。前述したように、リファラーＵＲＬは、ターゲットＵＲＬがリクエストされユーザがアクセスしたウェブページのＩＰアドレスに対応する（すなわち分解する）。ターゲットＵＲＬは、リクエストされたウェブページのＩＰアドレス（以降、ターゲットＵＲＬのＩＰアドレスと称する）に対応する（すなわち、分解する）。プロセスフローは、ＨＴＴＰリクエスト・プロキシオペレーション２０４から、ターゲットＵＲＬ判定オペレーション２０６へ進む。
ターゲットＵＲＬ判定オペレーション２０６では、ＨＴＴＰリクエストのＨＴＴＰヘッダーからターゲットＵＲＬが判定される。ターゲットＵＲＬの判定は、例えば、ＨＴＴＰヘッダーを解析することによって、又は、ターゲットＵＲＬを判定するための他の解析技術を用いることによって行われる。プロセスフローは、ターゲットＵＲＬ判定オペレーション２０６から、リファラーＵＲＬ判定オペレーション２０８へ進む。
リファラーＵＲＬ判定オペレーション２０８では、オペレーション２０４でプロキシされたＨＴＴＰリクエストのＨＴＴＰヘッダーからリファラーＵＲＬが判定される。リファラーＵＲＬの判定は、例えば、ＨＴＴＰヘッダーを解析することによって、又は、リファラーＵＲＬを判定するための他の解析技術を用いることによって行われる。プロセスフローは、リファラーＵＲＬ判定オペレーション２０８から、パブリックリファラー及びプライベートターゲットのチェックオペレーション２１０へ進む。
パブリックリファラー及びプライベートターゲットのチェックオペレーション２１０では、オペレーション２０６で判定されたターゲットＵＲＬ及びオペレーション２０８で判定されたリファラーＵＲＬのそれぞれが分解される、あるいは、各ＩＰアドレスに対応される。例えば、ターゲットＵＲＬが分解される又はターゲットＵＲＬのＩＰアドレスに対応され、リファラーＵＲＬが分解される又はリファラーＵＲＬのＩＰアドレスに対応される。
リファラーＵＲＬのＩＰアドレスがルーティング可能なパブリックＩＰアドレスであるか否か、ターゲットＵＲＬのＩＰアドレスがルーティング不可能なプライベートＩＰアドレスであるか否かの判定がなされる。ある実施形態では、リファラーＵＲＬのＩＰアドレスとターゲットＵＲＬのＩＰアドレスは、既知のプライベート及び／又はパブリックＩＰアドレスのデータベースと比較される。あるいは、リファラーＵＲＬのＩＰアドレスとターゲットＵＲＬのＩＰアドレスは、各ＵＲＬのＩＰアドレスがパブリック又はプライベートＩＰアドレスであるか否かを判定するために解析される。
ある実施形態では、ルーティング可能なパブリックＩＰアドレスであると判定されたリファラーＵＲＬのＩＰアドレスの組み合わせは、ルーティング不可能なプライベートＩＰアドレスであると判定されたターゲットＵＲＬのＩＰアドレスと共に、ドライブバイ・ファーミング攻撃の徴候と見なされる。例えば、上記の組み合わせは、ドライブバイ・ファーミング攻撃を可能にすべくルータ１４０上で悪質な改変を実施するために、ルータ１４０のＩＰアドレスを確認するためにウェブブラウザ１１４で実行される悪意のあるコードによる攻撃の徴候と見なされる。
一方、パブリックＩＰアドレスであるリファラーＵＲＬのＩＰアドレスとパブリックＩＰアドレスであるターゲットＵＲＬのＩＰアドレスとの組み合わせ、又は、プライベートＩＰアドレスであるリファラーＵＲＬのＩＰアドレスとパブリック若しくはプライベートＩＰアドレスであるターゲットＵＲＬのＩＰアドレスとの組み合わせは、ドライブバイ・ファーミング攻撃の徴候と見なされない。したがって、ある実施形態では、リファラーＵＲＬのＩＰアドレスがルーティング可能なパブリックＩＰアドレスであり、ターゲットＵＲＬのＩＰアドレスがルーティング不可能なプライベートＩＰアドレスと判定されない場合（「ＮＯ」）は、ドライブバイ・ファーミング攻撃の徴候と見なされない。その場合、プロセスフローは、パブリックリファラー及びプライベートターゲットのチェックオペレーション２１０から、ＨＴＴＰリクエスト・リリースオペレーション２１８へ進む。
ＨＴＴＰリクエスト・リリースオペレーション２１８では、オペレーション２０４でプロキシされたＨＴＴＰリクエストがリリースされ、クライアント・コンピュータシステム１０２からルータ１４０へ送信される。その後、プロセスフローは、ＨＴＴＰリクエスト・リリースオペレーション２１８から、終了オペレーション２２０へ進んで方法プロセス２００を終了する。あるいは、選択的に、次のＨＴＴＰリクエストをプロキシするときに、オペレーション２０４に戻る。
パブリックリファラー及びプライベートターゲットのチェックオペレーション２１０に再び戻って、リファラーＵＲＬのＩＰアドレスがルーティング可能なパブリックＩＰアドレスであり、ターゲットＵＲＬのＩＰアドレスがルーティング不可能なライベートＩＰアドレスであると判定された場合（「ＹＥＳ」）は、この組み合わせは、ドライブバイ・ファーミング攻撃の徴候と見なされる。プロセスフローは、パブリックリファラー及びプライベートターゲットのチェックオペレーション２１０からブロック解除のチェックオペレーション２１２へ選択的に進む。あるいは、チェックオペレーション２１０からＨＴＴＰリクエスト・ブロックオペレーション２１４へ直接的に進む。
ブロック解除のチェックオペレーション２１２では、ＨＴＴＰリクエストに対してなされているブロックを解除するか否かの判定が行われる。例えば、ある実施形態では、リファラーＵＲＬのＩＰアドレスが、ブロックが解除されたリファラーＵＲＬのＩＰアドレスのリストの項目と比較される、及び／又は、ターゲットＵＲＬのＩＰアドレスが、ブロックが解除されたターゲットＵＲＬのＩＰアドレスのリストの項目と比較される。
ある実施形態では、リファラーＵＲＬのＩＰアドレスとブロックが解除されたリファラーＵＲＬのＩＰアドレスのリストの項目とが一致する場合、及び／又は、ターゲットＵＲＬのＩＰアドレスがブロックが解除されたターゲットＵＲＬのＩＰアドレスのリストの項目と一致する場合は、ＨＴＴＰリクエストに対してなされているブロックが解除される。他の実施形態では、リファラーＵＲＬのＩＰアドレス及び／又はターゲットＵＲＬのＩＰアドレスを用いた排他的な解析技術が利用可能である。さらなる他の実施形態では、ＨＴＴＰリクエストのブロックを解除するか否かを判定するために、ＨＴＴＰリクエストの他のパラメータを解析する。
ある実施形態では、ＨＴＴＰリクエストのブロックを解除すると判定された場合（「ＹＥＳ」）は、プロセスフローは、ブロック解除のチェックオペレーション２１２から、前述したＨＴＴＰリクエスト・リリースオペレーション２１８へ進む。反対に、ＨＴＴＰリクエストのブロックを解除しないと判定された場合（「ＮＯ」）は、プロセスフローは、ブロック解除のチェックオペレーション２１２から、ＨＴＴＰリクエスト・ブロックオペレーション２１４へ進む。
ＨＴＴＰリクエスト・ブロックオペレーション２１４では、ＨＴＴＰリクエストがブロックされる。ある実施形態では、ＨＴＴＰリクエストのルータ１４０への送信を防止する。このようにして、悪意のあるコードがＨＴＴＰリクエストを介してルータのＩＰアドレスを取得することを防止し、ルータ１４０に対してドライブバイ・ファーミング攻撃を補助するための悪質な改変が開始されるのを防止する。プロセスフローは、ＨＴＴＰリクエスト・ブロックオペレーション２１４から、ユーザ警告オペレーション２１６へ進む。
ユーザ警告オペレーション２１６では、警告を作成して、ユーザへ通知する。ユーザには、様々な技術のうちの１つを使用して通知する。例えば、ディスプレイ装置１２２にポップアップ・ウィンドウを表示することにより通知する。ある実施形態では、クライアント・コンピュータシステム１０２のユーザには、悪意のあるコード（例えば、ドライブバイ・ファーミング・コード）がクライアント・コンピュータシステム１０２に存在すること、及び／又は、ＨＴＴＰリクエストをブロックしたことが通知される。その後、プロセスフローは、ユーザ警告オペレーション２１６から、終了オペレーション２２０へ進んで方法プロセス２００を終了する。あるいは、クライアント・コンピュータシステム１０２で次のアウトバウンドＨＴＴＰリクエスをプロキシするときに、オペレーション２０４に戻る。
上述した実施形態では、ＨＴＴＰリクエストのブロック（例えば、オペレーション２１４）は、ユーザ入力を必要とせずに、自動的に実施される。他の実施形態では、図３Ａ及び３Ｂを参照しつつ後述するように、ＨＴＴＰリクエストをブロックする前に、前記ブロックの可否をユーザに確認する。
図３Ａ及び３Ｂは、本発明の他の実施形態に係る、クライアント・コンピュータシステム１０２をドライブバイ・ファーミング攻撃から保護するための方法３００を説明するためのフロー図である。図１、２、３Ａ及び３Ｂを参照して、ある実施形態では、プロセッサ１０８で実行されるクライアント・アンチファーミング・アプリケーション１０６は、下記のような方法３００のオペレーションとなる。
ＨＴＴＰリクエスト・プロキシオペレーション２０４、オペレーション２０６、２０８、チェックオペレーション２１０、及びチェックオペレーション２１２（選択された場合）が、図２を参照しつつ説明した方法２００のようにして実施される。そして、ブロック解除のチェックオペレーション２１２で「ＮＯ」が選択された場合、あるいは、チェックオペレーション２１２が実施されなくパブリックリファラー及びプライベートターゲットのチェックオペレーション２１０で「ＹＥＳ」が選択された場合は、プロセスフローは、ユーザ警告オペレーション３０６（図３参照）へ進む。
図３Ｂを参照して、ユーザ警告オペレーション３０６では、ユーザへの警告を作成しクライアント・コンピュータシステム１０２に表示し、ブロックの可否をユーザに尋ねる（ユーザ入力を要求する）。例えば、ある実施形態では、ポップアップ又は他の通知を作成してディスプレイ装置１２２に表示し、ＨＴＴＰリクエストのブロックの可否をユーザに尋ねる（ユーザに入力を要求する）。
いくつかの実施形態では、ユーザへの通知は、ＨＴＴＰリクエストが不審である及び／又はドライブバイ・ファーミング攻撃の徴候があるという文章説明によって行われる。ある実施形態では、ユーザへの通知は、クライアント・アンチファーミング・アプリケーション１０６がＨＴＴＰリクエストを受信したときに、ＨＴＴＰリクエストをブロックするかリリースするかの応答選択をユーザが入力可能なグラフィカル・ユーザ・インターフェースを使用して行われる。
例えば、グラフィカル・ユーザ・インターフェースは、「ドライブバイ・ファーミング攻撃の徴候があるＨＴＴＰリクエストが作成されました。このリクエストをブロックしますか？」という文章の質問と、その質問に対する「ＹＥＳ」及び「ＮＯ」の２つの選択ボタンとを含むことができる。ある実施形態では、「ＹＥＳ」のボタンを選択すると承認応答がクライアント・アンチファーミング・アプリケーション１０６へ送信され、「ＮＯ」のボタンを選択すると拒否応答がクライアント・アンチファーミング・アプリケーション１０６へ送信される。プロセスフローは、ユーザ警告オペレーション３０６から、ユーザ入力の受信オペレーション３０８へ進む。
ユーザ入力の受信オペレーション３０８では、クライアント・アンチファーミング・アプリケーション１０６は、ユーザ入力を受信する。例えば、クライアント・アンチファーミング・アプリケーション１０６は、オペレーション３０６においてグラフィカル・ユーザ・インターフェースへ入力された、ＨＴＴＰリクエストのブロックの可否についてのユーザ入力を受信する。プロセスフローは、ユーザ入力の受信オペレーション３０８から、ユーザのブロック承認のチェックオペレーション３１０へ進む。
ユーザのブロック承認のチェックオペレーション３１０では、オペレーション３０８で受信されたユーザ入力がＨＴＴＰリクエストのブロックを承認しているか否かが判定される。ユーザ入力が、承認応答の場合（「ＹＥＳ」）は、ＨＴＴＰリクエストのブロックが承認されたと判定する。ユーザ入力が、拒否応答の場合（「ＮＯ」）は、ＨＴＴＰリクエストのブロックが拒否されたと判定する。
ユーザがＨＴＴＰリクエストのブロックを拒否した場合（「ＮＯ」）は、ＨＴＴＰリクエストがリリースされる。そして、プロセスフローは、ユーザのブロック承認のチェックオペレーション３１０から、前述したＨＴＴＰリクエスト・リリースオペレーション２１８へ進む。その後、プロセスフローは、ＨＴＴＰリクエスト・リリースオペレーション２１８から、終了オペレーション３０４へ進んで方法プロセス３００を終了する。あるいは、次のアウトバウンドＨＴＴＰリクエスをプロキシするときに、オペレーション２０４に戻る。
ユーザのブロック承認のチェックオペレーション３１０に再び戻って、ユーザがＨＴＴＰリクエストのブロックを承認した場合（ＹＥＳ）は、ＨＴＴＰリクエストはブロックされる。プロセスフローは、ユーザのブロック承認のチェックオペレーション３１０から、前述したＨＴＴＰリクエスト・ブロックオペレーション２１４へ進む。そして、プロセスフローは、ＨＴＴＰリクエスト・ブロックオペレーション２１４から、前述したユーザ警告オペレーション２１６へ進む。その後、プロセスフローは、ユーザ警告オペレーション２１６から、終了オペレーション３０４へ進んで方法プロセス３００を終了する。あるいは、次のアウトバウンドＨＴＴＰリクエストをプロキシするときに、オペレーション２０４に戻る。
別の実施形態を、図４Ａ〜４Ｄを参照して説明する。ドライブバイ・ファーミング攻撃から、クライアント・コンピュータシステム１０２をさらに保護するため、図示のように方法２００を拡張し、ＨＴＴＰリクエストに応じて返信されたＨＴＴＰレスポンスが解析され修正される。より詳しくは、クライアント・コンピュータシステム１０２を、ＨＴＴＰレスポンスのコンテンツに存在する悪意のあるコードから保護するため、図示のように、インバウンドＨＴＴＰレスポンスが、ウェブブラウザ１１４に受信される前にプロキシされ、プロキシされたＨＴＴＰレスポンスが解析され修正される。
図４Ａ〜４Ｄは、本発明の別の実施形態に係るクライアント・コンピュータシステムをドライブバイ・ファーミング攻撃から保護するための方法４００を説明するためのフロー図である。図１、図２、及び図４Ａ〜図４Ｄを一緒に参照して、ある実施形態では、プロセッサ１０８でクライアント・アンチファーミング・アプリケーション１０６を実行すると、後述するような方法４００が実施される。
ある実施形態では、方法４００は、開始オペレーション４０２で開始され、ＨＴＴＰリクエスト・プロキシオペレーション２０４へ進む。ＨＴＴＰリクエスト・プロキシオペレーション２０４が、上述の図２を参照しつつ説明した方法２００のようにして実施され（参照することによりここに組み込まれる）、オペレーション２０６、２０８、チェックオペレーション２１０、チェックオペレーション２１２、オペレーション２１４、２１６及び２１８が、ＨＴＴＰリクエスト送信オペレーション２１８の後に続くオペレーションを除いて、上述の図２を参照しつつ説明した方法２００のようにして連続的に処理される。そして、プロセスフローは、オペレーション２１８でリリースされたＨＴＴＰリクエストに応じて返信されたＨＴＴＰレスポンスをプロキシするため、ＨＴＴＰレスポンス・プロキシオペレーション４０６（図４Ｂ）へ進む。
図４Ｂを参照すると、ＨＴＴＰレスポンス・プロキシオペレーション４０６では、クライアント・コンピュータシステム１０２で受信した、コンピュータシステム１２８からのインバウンドＨＴＴＰレスポンスが、ウェブブラウザ１１４へリリースされる前にプロキシされる。例えば、ある実施形態では、インバウンドＨＴＴＰレスポンスが、クライアント・アンチファーミング・アプリケーション１０６のＨＴＴＰプロキシコンポーネントによって外部に出力されないようにする。フッキング技術などの任意の様々なプロキシ技術を利用して、ＨＴＴＰレスポンスが外部に出力されないようにすることができる。ＨＴＴＰレスポンスのプロキシングは、当業者に周知であるので、本発明の本質についての説明から逸れることを避けるためにここではこれ以上の詳しい説明は省略する。
ある実施形態では、ＨＴＴＰレスポンスは、少なくとも１つのコンテンツタイプ・フィールドを有するＨＴＴＰヘッダーを含み、さらに悪意のあるドライブバイ・ファーミング・コードなどのコンテンツを含むこともある。プロセスフローは、ＨＴＴＰレスポンス・プロキシオペレーション４０６から、コンテンツタイプ判定オペレーション４０８へ進む。
コンテンツタイプ判定オペレーション４０８では、ＨＴＴＰレスポンスは、必要に応じて、ＨＴＴＰレスポンスで返信されたコンテンツのコンテンツタイプを判定するために解析される。ある実施形態では、ＨＴＴＰレスポンスのコンテンツタイプ・フィールドが、適用可能であれば、例えば、ＨＴＴＰレスポンスを解析することによって、スキャニングすることによって、又はその他の評価方法によって、コンテンツタイプ及び様々なサブタイプを判定するために解析される。プロセスフローは、コンテンツタイプ判定オペレーション４０８から、コンテンツタイプ（text/html又はスクリプト）チェックオペレーション４１０へ進む。
コンテンツタイプ（text/html又はスクリプト）チェックオペレーション４１０では、オペレーション４０８で判定されたコンテンツタイプが、text/html又はスクリプトのどちらかとして識別されたか否かの判定が行われる。コンテンツタイプがtext/html又はスクリプトではない場合（「ＮＯ」）は、プロセスフローは、コンテンツタイプ（text/html又はスクリプト）チェックオペレーション４１０から、ＨＴＴＰレスポンス・リリースオペレーション４１２へ進む。
ＨＴＴＰレスポンス・リリースオペレーション４１２では、オペレーション４０６でプロキシされたＨＴＴＰレスポンスがリリースされ、ウェブブラウザ１１４に送信される。プロセスフローは、ＨＴＴＰレスポンス・リリースオペレーション４１２から、終了オペレーション４０４へ進んで方法プロセス４００を終了する。あるいは、選択的に、次のＨＴＴＰリクエストをプロキシするときに、オペレーション２０４（図４Ａ）に戻る。
コンテンツタイプ（text/html又はスクリプト）チェックオペレーション４１０（図４Ｂ）に再び戻って、反対に、コンテンツタイプがtext/html又はスクリプトである場合（「ＹＥＳ」）は、コンテンツタイプがtext/htmlであれば、プロセスフローは、コンテンツタイプ（text/html又はスクリプト）チェックオペレーション４１０から、コンテンツのＨＴＭＬ参照ＵＲＬ解析オペレーション４１６（図４Ｃ）へ進み、あるいは、コンテンツタイプがスクリプトであれば、プロセスフローは、コンテンツタイプ（text/html又はスクリプト）チェックオペレーション４１０から、ジャバスクリプト・オーバライド挿入オペレーション４３２（図４Ｄ）へ進む。
次に図４Ｃを参照して、コンテンツのＨＴＭＬ参照ＵＲＬ解析オペレーション４１６では、ＨＴＴＰレスポンスのコンテンツタイプがtext/htmlであると判定されたとき、ＨＴＴＰレスポンスのＨＴＭＬコンテンツは、各ＨＴＭＬ参照ＵＲＬを特定するために解析される。ある実施形態では、クライアント・アンチファーミング・アプリケーション１０６の簡易ＨＴＭＬ解析コンポーネントを、ＨＴＭＬコンテンツの解析及び各ＨＴＭＬ参照ＵＲＬの特定のために使用することができる。ある実施形態では、ＨＴＭＬ参照ＵＲＬの例として、Ａ、ＩＭＧ、スクリプト、スタイル、オブジェクト、及び埋め込みタグのほかに、インラインスタイル又はブロックスタイルから参照されるＵＲＬが含まれる。プロセスフローは、コンテンツのＨＴＭＬ参照ＵＲＬ解析オペレーション４１６から、ＨＴＭＬ参照ＵＲＬチェックオペレーション４１８へ進む。
ＨＴＭＬ参照ＵＲＬチェックオペレーション４１８では、少なくとも１つのＨＴＭＬ参照ＵＲＬが、オペレーション４１６で識別されたか否かの判定が行われる。ＨＴＭＬ参照ＵＲＬが、オペレーション４１６で１つも識別されなかった場合（「ＮＯ」）は、プロセスフローは、ＨＴＭＬ参照ＵＲＬチェックオペレーション４１８から、オペレーション４３０に進んで、上述のＨＴＴＰレスポンスのウェブブラウザ１１４への送信を含むＨＴＴＰレスポンス・リリースオペレーション４１２（図４Ｂ）へ進むようにする。
図４Ｃに再び戻って、反対に、少なくとも１つのＨＴＭＬ参照ＵＲＬが、オペレーション４１６で識別された場合（「ＹＥＳ」）は、プロセスフローは、ＨＴＭＬ参照ＵＲＬチェックオペレーション４１８から、ＨＴＭＬ参照ＵＲＬ選択オペレーション４２０へ進む。
ＨＴＭＬ参照ＵＲＬ選択オペレーション４２０では、解析するための、オペレーション４１６で識別された第１のＨＴＭＬ参照ＵＲＬが選択される。プロセスフローは、ＨＴＭＬ参照ＵＲＬ選択オペレーション４２０から、プライベートＩＰアドレスの指示チェックオペレーション４２２へ進む。
プライベートＩＰアドレスの指示チェックオペレーション４２２では、オペレーション４２０で選択されたＨＴＭＬ参照ＵＲＬが、プライベートＩＰアドレスに対応しているか否かの判定が行われる。ある実施形態では、ＨＴＭＬ参照ＵＲＬが分解されるとき、あるいは、ＨＴＭＬ参照ＵＲＬのＩＰアドレスに対応されるとき、本明細書中では、それをＨＴＭＬ参照ＵＲＬのＩＰアドレスと称する。
ある実施形態では、ＨＴＭＬ参照ＵＲＬのＩＰアドレスは、既知のプライベート及び／又はパブリックＩＰアドレスのデータベースと比較される。あるいは、ＨＴＭＬ参照ＵＲＬのＩＰアドレスは、ＨＴＭＬ参照ＵＲＬのＩＰアドレスがプライベートＩＰアドレスであるか否かを判定するために解析される。ＨＴＭＬ参照ＵＲＬのＩＰアドレスが、プライベートＩＰアドレスではないとき、即ちパブリックＩＰアドレスである場合（「ＮＯ」）は、プロセスフローは、プライベートＩＰアドレスの指示チェックオペレーション４２２から、次のＨＴＭＬ参照ＵＲＬチェックオペレーション４２８へ進む。
次のＨＴＭＬ参照ＵＲＬチェックオペレーション４２８では、オペレーション４１６で識別されたＨＴＭＬ参照ＵＲＬで、まだ評価されていない次のＨＴＭＬ参照ＵＲＬが残っているか否かの判定が行われる。まだ評価されていない次のＨＴＭＬ参照ＵＲＬが残っている場合（「ＹＥＳ」）は、プロセスフローは、選択された次のＨＴＭＬ参照ＵＲＬを解析するために、次のＨＴＭＬ参照ＵＲＬチェックオペレーション４２８から、オペレーション４２０に戻る。また、まだ評価されていない次のＨＴＭＬ参照ＵＲＬが残っていない場合（「ＮＯ」）は、プロセスフローは、次のＨＴＭＬ参照ＵＲＬチェックオペレーション４２８から、オペレーション４３０へ進んで、ウェブブラウザ１１４へ送信するためにリリースされたＨＴＴＰレスポンスが、ＨＴＴＰレスポンス・リリースオペレーション４１２（図４Ｂ）へ進むようにし、終了オペレーション４０４で方法プロセス４００を終了する。あるいは、選択的に、次のＨＴＴＰリクエストをプロキシするときに、オペレーション２０４（図４Ａ）に戻る。
図４Ｃ及びプライベートＩＰアドレスの指示チェックオペレーション４２２に再び戻って、反対に、ＨＴＭＬ参照ＵＲＬのＩＰアドレスが、プライベートＩＰアドレスである場合（「ＹＥＳ」）は、プロセスフローは、プライベートＩＰアドレスの指示チェックオペレーション４２２から、選択的に、ユーザ警告オペレーション４２４へ進む、あるいは、ＨＴＭＬ参照ＵＲＬの安全なＵＲＬへの置き換えオペレーション４２６へ直接的に進む。
オプションのユーザ警告オペレーション４２４では、ユーザへの警告が作成され、ユーザへ通知される。ユーザには、様々な技術のうちの１つを使用して通知する。例えば、ディスプレイ装置１２２にポップアップ・ウィンドウを表示することにより通知する。ある実施形態では、クライアント・コンピュータシステム１０２（図１）のユーザには、悪意のあるコード（例えば、ドライブバイ・ファーミングコード）が検出されたことや、ＨＴＴＰレスポンスのＨＴＭＬ参照ＵＲＬが安全なＨＴＭＬＵＲＬに置き換えられたこと又はＨＴＴＰレスポンスのＨＴＭＬ参照ＵＲＬが削除されたことが通知される。プロセスフローは、オプションのユーザ警告オペレーション４２４から、ＨＴＭＬ参照ＵＲＬの安全なＵＲＬへの置き換えオペレーション４２６へ進む。
ＨＴＭＬ参照ＵＲＬの安全なＵＲＬへの置き換えオペレーション４２６では、元のＨＴＭＬ参照ＵＲＬが、安全なＵＲＬ、例えば、空白文字列、又はダミーファイルを指定するダミーＵＲＬに置き換えられる。ある実施形態では、元のＨＴＭＬ参照ＵＲＬ、例えば、「A HREF= "http://192.168.1.1"」が削除され、「A HREF=""」になる。あるいは、元のＨＴＭＬ参照ＵＲＬに特定の処理が行われ、ゼロバイトの返信が戻るようにする。プロセスフローは、ＨＴＭＬ参照ＵＲＬの安全なＵＲＬへの置き換えオペレーション４２６から、次のＨＴＭＬ参照ＵＲＬチェックオペレーション４２８へ進み、その後、上述のオペレーション４２０に戻る（「ＹＥＳ」の場合）、又は上述のＨＴＴＰレスポンス・リリースオペレーション４１２（図４Ｂ）（「ＮＯ」の場合）へ進む。ＨＴＴＰレスポンス・リリースオペレーション４１２（図４Ｂ）では、ＨＴＴＰレスポンスは、ウェブブラウザ１１４へ送信するためにリリースされる。
図４Ｂ及びコンテンツタイプ（text/html又はスクリプト）チェックオペレーション４１０に再び戻って、反対に、ＨＴＴＰレスポンスのコンテンツタイプが、スクリプトであると判定されたとき、プロセスフローは、コンテンツタイプ（text/html又はスクリプト）チェックオペレーション４１０から、ジャバスクリプト・オーバライド挿入オペレーション４３２（図４Ｄ）へ進む。次に図４Ｄを参照して、ジャバスクリプト・オーバライド挿入オペレーション４３２では、スクリプトに記述された攻撃を防止するべく、コンテンツ内の選択された適切な機能をオーバライドするジャバスクリプト（本明細書中では、ジャバスクリプト・オーバライドと称する）が、ＨＴＭＬリクエストのコンテンツに挿入される。ある実施形態では、ジャバスクリプト・オーバライドが、ＨＴＭＬページのコンテンツの先頭に、全ての＜スクリプト＞タグの前に挿入される。
ある実施形態では、ジャバスクリプト・オーバライドは、安全なアプリケーションプログラムインタフェース（ＡＰＩ）のクラス、例えば、標準的なＸＭＬＨＴＴＰリクエストＡＰＩの全機能を含む、安全なＸＭＬＨＴＴＰリクエストＡＰＩ（安全なＸＭＬＨＴＴＰリクエストと称する）を定義し、またＨＴＴＰリクエストを発信する前にリファラーＩＰアドレス及びターゲットＩＰアドレスを判定する。ジャバスクリプト・オーバライドは、次に、「document.write = SafeWrite」の実行を行う。
「document.write = SafeWrite」は、document.write()に対する全ての呼び出しが、プライベートＩＰアドレスを参照する新たなＨＴＭＬを挿入しないようにする、又は標準的なＸＭＬＨＴＴＰリクエストを使用させようとする新たなジャバスクリプトを挿入しないようにする。document.write()が、プライベートＩＰアドレスを参照するＨＴＭＬで呼び出されたとき、オペレーション４２６（図４Ｃ）を参照しつつ説明した上述の削除／置き換え（参照することによりここに組み込まれる）と、同一の削除／置き換えが行われる。
document.write()が、標準的なＸＭＬＨＴＴＰリクエストＡＰＩを使用させようとするジャバスクリプトで呼び出されたとき、そのジャバスクリプトは、安全なＸＭＬＨＴＴＰリクエストＡＰＩに置き換えられる、あるいは、ランダムに選択された同等の名称に置き換えられる。ある実施形態では、挿入されたジャバスクリプト・オーバライドで使用される変数及びクラス名を攻撃者が知ってしまったときに、ジャバスクリプト・オーバライドの抜け道を見つける可能性を減少させるため、ジャバスクリプト・オーバライドで使用される変数及びクラス名はランダムに選択される。
ある実施形態では、ジャバスクリプト・オーバライドは、アクティブＸ置換オブジェクトも定義する。アクティブＸ置換オブジェクトが呼び出されたとき、アクティブＸ置換オブジェクトは、元のアクティブＸオブジェクトに対するリクエストをプロキシする。まず、そのリクエストが、パブリックのリファラーＩＰアドレス及びプライベートのターゲットＩＰアドレスを識別するか否かを確認し、方法２００及び３００を参照しつつ説明した上述の適切なブロック／指示を実行する。これにより、ＸＭＬＨＴＴＰリクエストＡＰＩをサポートしていない、いくつかのウェブブラウザ、例えば、インターネットエクスプローラの旧バージョンを保護し、コンピュータシステムを攻撃するため、旧バージョンのアクティブＸオブジェクトを使用させようとするウェブサイトに対する防御を可能にする。
アクティブＸ置換オブジェクトは、オペレーション４２６（図４Ｃ）を参照しつつ説明した上述のＸＭＬＨＴＴＰリクエストＡＰＩを安全なＸＭＬＨＴＴＰリクエストＡＰＩに置き換える方法のように、真のアクティブＸオブジェクト用のレジストを引き継ぐ必要がない。アクティブＸ置換オブジェクトは、Microsoft.XMLHTTPを、例えば、Symantec.SafeXMLHTTPなどの安全なオブジェクトに置き換えるために使用することもできる。例えば、存在するジャバスクリプトを探して置き換えたり、作成されたスクリプトを検索しているdocument.write()の呼び出しを探して置き換えたりする。プロセスフローは、ジャバスクリプト・オーバライド挿入オペレーション４３２から、コンテンツのスクリプト解析オペレーション４３４へ進む。
コンテンツのスクリプト解析オペレーション４３４では、ＨＴＴＰレスポンスのコンテンツは、オペレーション４３２で挿入されたジャバスクリプト・オーバライド以外は、各スクリプトについて解析される。ある実施形態では、ＨＴＴＰレスポンスのコンテンツフィールドに存在するデータが、各スクリプトを識別するために解析される。プロセスフローは、コンテンツのスクリプト解析オペレーション４３４から、スクリプトチェックオペレーション４３６へ進む。
スクリプトチェックオペレーション４３６では、少なくとも１つのスクリプトが、オペレーション４３４で識別されたか否かの判定が行われる。オペレーション４３４で１つのスクリプトも識別されなかった場合（「ＮＯ」）は、プロセスフローは、スクリプトチェックオペレーション４３６から、オペレーション４５０へ進み、上述のウェブブラウザ１１４へＨＴＴＰレスポンスを送信することに関連するＨＴＴＰレスポンス・リリースオペレーション４１２（図４Ｂ）へ進むようにする。あるいは、少なくとも１つのスクリプトがオペレーション４３４で識別された場合（「ＹＥＳ」）は、プロセスフローは、スクリプトチェックオペレーション４３６から、スクリプト選択オペレーション４３８へ進む。
スクリプト選択オペレーション４３８では、解析するための、オペレーション４３４で識別されたスクリプトが選択される。プロセスフローは、スクリプト選択オペレーション４３８から、ＸＭＬＨＴＴＰリクエストＡＰＩの安全なＸＭＬＨＴＴＰリクエストＡＰＩへの置き換えオペレーション４４０へ進む。
ＸＭＬＨＴＴＰリクエストＡＰＩの安全なＸＭＬＨＴＴＰリクエストＡＰＩへの置き換えオペレーション４４０では、スクリプトに存在する各ＸＭＬＨＴＴＰリクエストＡＰＩは、必要に応じて、安全なＸＭＬＨＴＴＰリクエストＡＰＩ（例えば、オペレーション４３２で既に挿入及び定義済みの安全なＸＭＬＨＴＴＰリクエストＡＰＩ、又はその他の安全な同等物）に置き換えられる。プロセスフローは、ＸＭＬＨＴＴＰリクエストＡＰＩの安全なＸＭＬＨＴＴＰリクエストＡＰＩへの置き換えオペレーション４４０から、オブジェクトタグのアクティブＸ置換オブジェクトへの置き換えオペレーション４４２へ進む。
オブジェクトタグのアクティブＸ置換オブジェクトへの置き換えオペレーション４４２では、スクリプトに存在する各オブジェクトタグは、必要に応じて、オペレーション４３２で既に挿入及び定義済みのアクティブＸ置換オブジェクトに置き換えられる。ある実施形態では、Microsoft.XMLHTTPオブジェクトのほかに、MsXML2.XMLHTTPオブジェクト及びその他の使用済みのＸＭＬリクエスタが、アクティブＸ置換オブジェクトに置き換えられる。プロセスフローは、オブジェクトタグのアクティブＸ置換オブジェクトへの置き換えオペレーション４４２から、次のスクリプトチェックオペレーション４４８へ進む。
次のスクリプトチェックオペレーション４４８では、オペレーション４３４で識別されたスクリプトで、まだ評価されていない次のスクリプトが残っているか否かの判定が行われる。まだ評価されていない次のスクリプトが残っている場合（「ＹＥＳ」）は、プロセスフローは、選択された次のスクリプトを解析するため、オペレーション４３８に戻る。あるいは、まだ評価されていない次のスクリプトが残っていない場合（「ＮＯ」）は、プロセスフローは、オペレーション４５０へ進み、ウェブブラウザ１１４へ送信されるべきＨＴＴＰレスポンスがオペレーション４１２（図４Ｂ）へ進むようにし、終了オペレーション４０４（図４Ａ）で方法プロセス４００を終了する。あるいは、選択的に、次のインバウンドＨＴＴＰリクエストをプロキシするときに、オペレーション２０４（図４Ａ）に戻る。
別の実施形態では、方法４００は、例えば、オペレーション２１０／２１２とオペレーション２１４との間に、オペレーション３０４、３０６、及び３０８（図３Ｂ）を含むように拡張することもでき、方法３００と同様に、ユーザは、選択されたＨＴＴＰリクエストをブロックする前に、ＨＴＴＰリクエストをブロックすることの承認又は拒否を入力するように要求される。
さらに別の実施形態では、ＨＴＴＰレスポンスをプロキシすること及び解析することを別々に実行することもできる。したがって、別の実施形態では、オペレーション４０２〜４５０は、クライアント・コンピュータシステムをドライブバイ・ファーミング攻撃などの悪意のあるコード及び／又は悪意のある行動から保護するため、クライアント・アンチファーミング・アプリケーション１０６によって別々に実行することもできる。
再び図１を参照して、クライアント・アンチファーミング・アプリケーション１０６が、コンピュータメモリ１１２に記憶されている。本明細書中では、コンピュータメモリは、揮発性メモリ、不揮発性メモリ、又はそれらの組み合わせの何れかである。
また、クライアント・アンチファーミング・アプリケーション１０６はアプリケーションと称しているが、これは例示にすぎない。クライアント・アンチファーミング・アプリケーション１０６は、アプリケーション又はオペレーティングシステムから呼び出され得るものでなければならない。ある実施形態では、アプリケーションは、通常は任意の実行可能なコードとして定義される。さらに、アプリケーション又はオペレーションがある動作を行っている場合、その動作はプロセッサが１以上の命令を実行した結果であることは、当業者には理解されよう。
本発明の実施形態を、クライアント構成に基づいて説明してきたが、本発明は、パーソナルコンピュータ、ワークステーション、モバイル機器、又はコンピュータ装置のネットワークを含むハードウェア構成及び／又は任意の適切な手段を用いて実施することができる。他の実施形態では、クライアント構成以外の他のネットワーク構成（例えば、クライアント・サーバ構成、ピアツーピア構成、ウェブベースの構成、イントラネット構成、インターネット・ネットワーク構成）が用いられる。
ここでは、コンピュータプログラム製品は、本発明のある実施形態においてコンピュータが読み出し可能なコードを格納又は持ち運びできるように構成されたメディア（媒体）を含む。コンピュータプログラム製品の例としては、ＣＤ−ＲＯＭディスク、ＤＶＤ、ＲＯＭカード、フレキシブルディスク、磁気テープ、ＨＤＤ、ネットワーク上のサーバ、及びネットワークを介して送信されるコンピュータが読み出し可能なコードを表す信号等が挙げられる。別の実施形態では、コンピュータプログラム製品としては、ＣＤ−ＲＯＭディスク、ＤＶＤ、ＲＯＭカード、フレキシブルディスク、磁気テープ、ＨＤＤ、及びネットワーク上のサーバを含む、コンピュータが読み出し可能なコードを格納するべく構成された有形のメディアを含む。
図１に示すように、メディアは、コンピュータシステム自体に属するものであり得る。しかし、メディアは、コンピュータシステムから取り外すことも可能であり得る。例えば、クライアント・アンチファーミング・アプリケーション１０６は、プロセッサ１０８と異なる物理的位置に存在するメモリ１１２に記憶され得る。プロセッサ１０８は、メモリ１１２に接続されなければならない。このことは、クライアントサーバシステムによって、あるいは、モデムとアナログラインやデジタルインタフェースとデジタルキャリアラインを介した別のコンピュータとの接続によって達成され得る。
より詳細には、ある実施形態では、クライアント・コンピュータシステム１０２及び／又はサーバー・コンピュータシステム１３０は、モバイルコンピュータ、ワークステーション、双方向ポケベル、携帯電話、デジタル無線電話機、携帯情報端末（ＰＤＡ）、サーバー・コンピュータ、インターネット機器、又は上記した実施形態の少なくとも１つに従ってクライアント・アンチファーミング・アプリケーション１０６の機能を実行することができる構成要素を含む他の任意の装置である。同様に、別の実施形態では、クライアント・コンピュータシステム１０２及び／又はサーバー・コンピュータシステム１３０は、複数の異なるコンピュータ、無線装置、携帯電話、デジタル電話、双方向ポケベル、携帯情報端末（ＰＤＡ）、サーバー・コンピュータ、又は上記の方法を実行するために相互接続される装置の任意の組み合わせから構成される。
上記の開示内容に基づき、本発明の実施形態によるクライアント・アンチファーミング・アプリケーション１０６の機能は、多種多様なコンピュータシステム構成において実施することができる。さらに、クライアント・アンチファーミング・アプリケーション１０６の機能は、異なる装置のメモリに異なるモジュールとして記憶させることができる。例えば、最初はクライアント・アンチファーミング・アプリケーション１０６をサーバー・コンピュータシステム１３０に保存しておき、それから必要に応じて、クライアント・アンチファーミング・アプリケーション１０６の一部をクライアント・コンピュータシステム１０２へ移して、クライアント・コンピュータシステム１０２上で実行させることもできる。その結果、クライアント・アンチファーミング・アプリケーション１０６の機能の一部がサーバー・コンピュータシステム１３０のプロセッサ１３４で実行され、前記アプリケーション１０６の他の部分はクライアント・コンピュータシステム１０２のプロセッサ１０８で実行されることになる。
上記の開示内容に基づき、当業者は、本発明の様々な実施形態を、多種多様な物理的ハードウェア構成において任意のオペレーティングシステム及びコンピュータ言語を用いて実施することができよう。さらなる別の実施形態では、クライアント・アンチファーミング・アプリケーション１０６は、サーバー・コンピュータシステム１３０のメモリ１３６に記憶される。クライアント・アンチファーミング・アプリケーション１０６は、ネットワーク１２６を介してクライアント・コンピュータシステム１０２のメモリ１１２に移される。この実施形態では、ネットワークインタフェース１３８及びＩ／Ｏインタフェース１１０は、アナログモデム、デジタルモデム、又はネットワークインタフェースカードを含み得る。モデムを使用する場合は、ネットワーク１２６は通信ネットワークを含み、クライアント・アンチファーミング・アプリケーション１０６は通信ネットワークを介してダウンロードされる。
上記の開示内容は、本発明の例示的な実施形態を示すものである。本発明の範囲は、上記の実施形態に限定されるものではない。本明細書中に明示的に記載されている又は示唆されているか否かに関わらず、当業者であれば、本明細書の開示内容から本発明の実施形態に種々の改変を加えて実施し得るであろう。
本発明の一実施形態による、クライアント・コンピュータシステム上で実行されるクライアント・アンチファーミング・アプリケーションを含むコンピュータシステムを示す図である。 本発明の一実施形態に係る、クライアント・コンピュータシステムをドライブバイ・ファーミング攻撃から保護する方法を説明するためのフロー図である。 本発明の一実施形態に係る、ユーザの指示によってクライアント・コンピュータシステムをドライブバイ・ファーミング攻撃から保護する方法を説明するためのフロー図である。 図３Ａのフロー図の続きである。 本発明の他の実施形態に係る、クライアント・コンピュータシステムをドライブバイ・ファーミング攻撃から保護する方法を説明するためのフロー図である。 図４Ａのフロー図の続きである。 図４Ｂのフロー図の続きである。 図４Ｂのフロー図の続きである。
符号の説明
１００ コンピュータシステム
１０２ クライアント・コンピュータシステム
１０４ オペレーティングシステム
１０６ クライアント・アンチファーミング・アプリケーション
１０８ プロセッサ
１１２ メモリ
１１４ ウェブブラウザ
１１０ Ｉ／Ｏインタフェース
１１４ メモリ
１１６ キーボード
１１８ マウス
１４０ ルータ
１２６ ネットワーク
１２８ コンピュータシステム
１３０ サーバー・コンピュータシステム

Claims (20)

  1. コンピュータで実行される方法であって、
    ＨＴＴＰヘッダーを含むＨＴＴＰリクエストをルータにリリースする前に、クライアント・コンピュータシステムで、前記ＨＴＴＰリクエストをプロキシするステップと、
    前記ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬ及びルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬを識別するか否かを判定するステップと、
    前記ＨＴＴＰヘッダーを判定する前記ステップにおいて、
    前記ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬ及びルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬを識別すると判定したとき、
    前記ＨＴＴＰリクエストをブロックするステップと、
    アラート通知を発生するステップとを含むことを特徴とするコンピュータで実行される方法。
  2. 前記ＨＴＴＰリクエストをブロックする前記ステップの前に、
    前記ＨＴＴＰリクエストのブロックを解除するか否かを判定するステップと、
    前記ＨＴＴＰリクエストのブロックの解除を判定する前記ステップにおいて、
    前記ＨＴＴＰリクエストのブロックを解除すると判定したとき、前記ＨＴＴＰリクエストをリリースするステップと、
    前記ＨＴＴＰリクエストのブロックを解除しないと判定したとき、前記ＨＴＴＰリクエストをブロックするステップとをさらに含むことを特徴とする請求項１に記載のコンピュータで実行される方法。
  3. 前記ＨＴＴＰリクエストをブロックする前記ステップの前に、
    ユーザに、前記ＨＴＴＰリクエストのブロックを承認するか又は拒否するかを入力させるステップと、
    前記ＨＴＴＰリクエストのブロックの拒否を受信したとき、前記ＨＴＴＰリクエストをリリースするステップと、
    前記ＨＴＴＰリクエストのブロックの承認を受信したとき、前記ＨＴＴＰリクエストをブロックするステップとをさらに含むことを特徴とする請求項１に記載のコンピュータで実行される方法。
  4. 前記ＨＴＴＰヘッダーを判定する前記ステップにおいて、
    前記ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬ及びルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬを識別しないと判定したとき、
    前記ＨＴＴＰリクエストをリリースするステップをさらに含み、
    前記ＨＴＴＰリクエストをリリースする前記ステップにおいて、
    前記ＨＴＴＰリクエストを、リリースされたＨＴＴＰリクエストとして、前記ターゲットＵＲＬへ送信されるようにすることを特徴とする請求項１に記載のコンピュータで実行される方法。
  5. 前記リリースされたＨＴＴＰリクエストに応じて受信されたＨＴＴＰレスポンスをプロキシするステップと、
    前記ＨＴＴＰレスポンスが、コンテンツタイプがtext/htmlのコンテンツ又はコンテンツタイプがスクリプトのコンテンツを識別するか否かを判定するステップと、
    前記ＨＴＴＰレスポンスを判定する前記ステップにおいて、
    前記ＨＴＴＰレスポンスが、コンテンツタイプがtext/htmlのコンテンツ又はコンテンツタイプがスクリプトのコンテンツを識別しないと判定したとき、
    前記ＨＴＴＰレスポンスを送信するステップと、
    前記ＨＴＴＰレスポンスが、コンテンツタイプがtext/htmlのコンテンツ又はコンテンツタイプがスクリプトのコンテンツを識別すると判定したとき、
    悪意のある行動を防止するために前記コンテンツを修正するステップと、
    前記ＨＴＴＰレスポンスをリリースするステップとをさらに含むことを特徴とする請求項４に記載のコンピュータで実行される方法。
  6. 前記ＨＴＴＰレスポンスが、コンテンツタイプがtext/htmlのコンテンツを識別すると判定したとき、悪意のある行動を防止するために前記コンテンツを修正する前記ステップが、
    前記コンテンツに存在する各ＨＴＭＬ参照ＵＲＬを識別するため、前記コンテンツを解析するステップと、
    前記各ＨＴＭＬ参照ＵＲＬが、ルーティング不可能なプライベートＩＰアドレスに対応するか否かを判定するステップと、
    前記各ＨＴＭＬ参照ＵＲＬを判定する前記ステップにおいて、
    ＨＴＭＬ参照ＵＲＬが、ルーティング不可能なプライベートＩＰアドレスに対応しているとき、
    前記ＨＴＭＬ参照ＵＲＬを安全なＵＲＬに置き換えるステップと、
    前記ＨＴＴＰリクエストをリリースするステップとをさらに含むことを特徴とする請求項５に記載のコンピュータで実行される方法。
  7. 前記ＨＴＴＰレスポンスが、コンテンツタイプがスクリプトのコンテンツを識別すると判定したとき、悪意のある行動を防止するために前記コンテンツを修正する前記ステップが、
    前記コンテンツの先頭に、かつ任意のスクリプトの前に、安全なＸＭＬＨＴＴＰリクエストＡＰＩ及びアクティブＸ置換オブジェクトを定義するジャバスクリプト・オーバライドを挿入するステップと、
    前記ジャバスクリプト・オーバライド以外の各スクリプトを識別するため、前記コンテンツを解析するステップと、
    前記各スクリプトにＸＭＬＨＴＴＰリクエストＡＰＩがある場合、前記安全なＸＭＬＨＴＴＰリクエストＡＰＩに置き換えるステップと、
    前記各スクリプトにオブジェクトタグがある場合、前記アクティブＸ置換オブジェクトに置き換えるステップと、
    前記ＨＴＴＰリクエストをリリースするステップとをさらに含むことを特徴とする前記請求項５に記載のコンピュータで実行される方法。
  8. コンピュータプログラムコードを含むコンピュータで読み出し可能な有形のメディアを含むコンピュータプログラムであって、
    ＨＴＴＰヘッダーを含むＨＴＴＰリクエストをルータに送信する前に、クライアントコンピュータで、前記ＨＴＴＰリクエストをプロキシするためのクライアント・アンチファーミング・アプリケーションを含み、
    前記クライアント・アンチファーミング・アプリケーションが、
    前記ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬ及びルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬを識別するか否かを判定するステップと、
    前記ＨＴＴＰヘッダーを判定する前記ステップにおいて、
    前記ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬ及びルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬを識別すると判定したとき、
    前記ＨＴＴＰリクエストをブロックするステップと、
    アラート通知を発生するステップとをさらに含むことを特徴とするコンピュータプログラム。
  9. 前記クライアント・アンチファーミング・アプリケーションが、
    前記ＨＴＴＰリクエストをブロックする前記ステップの前に、前記ＨＴＴＰリクエストのブロックを解除するか否かを判定するステップと、
    前記ＨＴＴＰリクエストのブロックの解除を判定する前記ステップにおいて、
    前記ＨＴＴＰリクエストのブロックを解除すると判定したとき、前記ＨＴＴＰリクエストをリリースするステップと、
    前記ＨＴＴＰリクエストのブロックを解除しないと判定したとき、前記ＨＴＴＰリクエストをブロックするステップとをさらに含むことを特徴とする請求項８に記載のコンピュータプログラム。
  10. 前記クライアント・アンチファーミング・アプリケーションが、
    前記ＨＴＴＰリクエストをブロックする前記ステップの前に、ユーザに、前記ＨＴＴＰリクエストのブロックを承認するか又は拒否するかを入力させるステップと、
    前記ＨＴＴＰリクエストのブロックの拒否を受信したとき、前記ＨＴＴＰリクエストをリリースするステップと、
    前記ＨＴＴＰリクエストのブロックの承認を受信したとき、前記ＨＴＴＰリクエストをブロックするステップとをさらに含むことを特徴とする請求項８に記載のコンピュータプログラム。
  11. 前記ＨＴＴＰヘッダーを判定する前記ステップにおいて、
    前記ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬ及びルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬを識別しないと判定したとき、
    前記クライアント・アンチファーミング・アプリケーションが、
    前記ＨＴＴＰリクエストをリリースするステップをさらに含み、
    前記ＨＴＴＰリクエストをリリースする前記ステップにおいて、
    前記ＨＴＴＰリクエストを、リリースされたＨＴＴＰリクエストとして、前記ターゲットＵＲＬへ送信されるようにすることを特徴とする請求項８に記載のコンピュータプログラム。
  12. 前記クライアント・アンチファーミング・アプリケーションが、
    リリースされたＨＴＴＰリクエストに応じて受信されたＨＴＴＰレスポンスをプロキシするステップと、
    前記ＨＴＴＰレスポンスが、コンテンツタイプがtext/htmlのコンテンツ又はコンテンツタイプがスクリプトのコンテンツを識別するか否かを判定するステップと、
    前記ＨＴＴＰレスポンスを判定する前記ステップにおいて、
    前記ＨＴＴＰレスポンスが、コンテンツタイプがtext/htmlのコンテンツ又はコンテンツタイプがスクリプトのコンテンツを識別しないと判定したとき、
    前記ＨＴＴＰレスポンスをリリースするステップと、
    前記ＨＴＴＰレスポンスが、コンテンツタイプがtext/htmlのコンテンツ又はコンテンツタイプがスクリプトのコンテンツを識別すると判定したとき、
    悪意のある行動を防止するために前記コンテンツを修正するステップと、
    前記ＨＴＴＰレスポンスをリリースするステップとをさらに含むことを特徴とする請求項８に記載のコンピュータプログラム。
  13. 前記ＨＴＴＰレスポンスを判定する前記ステップにおいて、
    前記ＨＴＴＰレスポンスが、コンテンツタイプがtext/htmlのコンテンツを識別すると判定したとき、
    前記クライアント・アンチファーミング・アプリケーションが、
    前記コンテンツに存在する各ＨＴＭＬ参照ＵＲＬを識別するため、前記コンテンツを解析するステップと、
    前記各ＨＴＭＬ参照ＵＲＬが、ルーティング不可能なプライベートＩＰアドレスに対応するか否かを判定するステップと、
    前記各ＨＴＭＬ参照ＵＲＬを判定する前記ステップにおいて、
    ＨＴＭＬ参照ＵＲＬが、ルーティング不可能なプライベートＩＰアドレスに対応するとき、
    前記ＨＴＭＬ参照ＵＲＬを安全なＵＲＬに置き換えるステップとをさらに含むことを特徴とする請求項１２に記載のコンピュータプログラム。
  14. 前記ＨＴＴＰレスポンスを判定する前記ステップにおいて、
    前記ＨＴＴＰレスポンスが、コンテンツタイプがスクリプトのコンテンツを識別すると判定したとき、
    前記クライアント・アンチファーミング・アプリケーションが、
    安全なＸＭＬＨＴＴＰリクエストＡＰＩ及びアクティブＸ置換オブジェクトを含むジャバスクリプト・オーバライドを、前記コンテンツの先頭に、かつ任意のスクリプトの前に挿入するステップと、
    前記ジャバスクリプト・オーバライド以外の各スクリプトを識別するため、前記コンテンツを解析するステップと、
    前記各スクリプトにＸＭＬＨＴＴＰリクエストＡＰＩがある場合、前記安全なＸＭＬＨＴＴＰリクエストＡＰＩに置き換えるステップと、
    前記各スクリプトにオブジェクトタグがある場合、前記アクティブＸ置換オブジェクトに置き換えるステップとをさらに含むことを特徴とする請求項１２に記載のコンピュータプログラム。
  15. コンピュータシステムであって、
    クライアント・アンチファーミング・アプリケーションを記憶させたメモリと、
    前記メモリに接続したプロセッサとを含み、
    前記クライアント・アンチファーミング・アプリケーションを実行すると、
    ＨＴＴＰヘッダーを含むＨＴＴＰリクエストをルータに送信する前に、クライアント・コンピュータシステムで、前記ＨＴＴＰリクエストをプロキシするステップと、
    前記ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬ及びルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬを識別するか否かを判定するステップと、
    前記ＨＴＴＰヘッダーを判定する前記ステップにおいて、
    前記ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬ及びルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬを識別すると判定したとき、
    前記ＨＴＴＰリクエストをブロックするステップと、
    アラート通知を発生するステップとを含む方法が実行されることを特徴とするコンピュータシステム。
  16. 前記ＨＴＴＰリクエストをブロックする前記ステップの前に、ユーザに、前記ＨＴＴＰリクエストのブロックを承認するか又は拒否するかを入力させるステップと、
    前記ＨＴＴＰリクエストのブロックの拒否を受信したとき、前記ＨＴＴＰリクエストを送信するステップと、
    前記ＨＴＴＰリクエストのブロックの承認を受信したとき、前記ＨＴＴＰリクエストをブロックするステップとをさらに含むことを特徴とする請求項１５に記載のコンピュータシステム。
  17. 前記ＨＴＴＰヘッダーを判定する前記ステップにおいて、
    前記ＨＴＴＰヘッダーが、ルーティング可能なパブリックＩＰアドレスに対応するリファラーＵＲＬ及びルーティング不可能なプライベートＩＰアドレスに対応するターゲットＵＲＬを識別しないと判定したとき、
    前記ＨＴＴＰリクエストをリリースするステップをさらに含み、
    前記ＨＴＴＰリクエストをリリースする前記ステップにおいて、
    前記ＨＴＴＰリクエストを、リリースされたＨＴＴＰリクエストとして、前記ターゲットＵＲＬへ送信されるにようすることを特徴とする請求項１５に記載のコンピュータシステム。
  18. 前記リリースされたＨＴＴＰリクエストに応じて受信されたＨＴＴＰレスポンスをプロキシするステップと、
    前記ＨＴＴＰレスポンスが、コンテンツタイプがtext/htmlのコンテンツ又はコンテンツタイプがスクリプトのコンテンツを識別するか否かを判定するステップと、
    前記ＨＴＴＰレスポンスを判定する前記ステップにおいて、
    前記ＨＴＴＰレスポンスが、コンテンツタイプがtext/htmlのコンテンツ又はコンテンツタイプがスクリプトのコンテンツを識別しないと判定したとき、
    前記ＨＴＴＰレスポンスをリリースするステップと、
    前記ＨＴＴＰレスポンスが、コンテンツタイプがtext/htmlのコンテンツ又はコンテンツタイプがスクリプトのコンテンツを識別すると判定したとき、
    悪意のある行動を防止するために前記コンテンツを修正するステップと、
    前記ＨＴＴＰレスポンスをリリースするステップとをさらに含むことを特徴とする請求項１７に記載のコンピュータシステム。
  19. 前記ＨＴＴＰレスポンスが、コンテンツタイプがtext/htmlのコンテンツを識別すると判定したとき、悪意のある行動を防止するために前記コンテンツを修正する前記ステップが、
    前記コンテンツに存在する各ＨＴＭＬ参照ＵＲＬを識別するため、前記コンテンツを解析するステップと、
    前記各ＨＴＭＬ参照ＵＲＬが、ルーティング不可能なプライベートＩＰアドレスに対応するか否かを判定するステップと、
    前記各ＨＴＭＬ参照ＵＲＬを判定するステップにおいて、
    ＨＴＭＬ参照ＵＲＬが、ルーティング不可能なプライベートＩＰアドレスに対応するとき、
    前記ＨＴＭＬ参照ＵＲＬを安全なＵＲＬに置き換えるステップと、
    前記ＨＴＴＰリクエストをリリースするステップとをさらに含むことを特徴とする請求項１８に記載のコンピュータシステム。
  20. 前記ＨＴＴＰレスポンスが、前記コンテンツタイプがスクリプトの前記コンテンツを識別すると判定したとき、悪意のある行動を防止するために前記コンテンツを修正する前記ステップが、
    安全なＸＭＬＨＴＴＰリクエストＡＰＩ及びアクティブＸ置換オブジェクトを定義するジャバスクリプト・オーバライドを、前記コンテンツの先頭に、かつ任意のスクリプトの前に挿入するステップと、
    前記ジャバスクリプト・オーバライド以外の各スクリプトを識別するため、前記コンテンツを解析するステップと、
    前記各スクリプトにＸＭＬＨＴＴＰリクエストＡＰＩがある場合、前記安全なＸＭＬＨＴＴＰリクエストＡＰＩに置き換えるステップと、
    前記各スクリプトにオブジェクトタグがある場合、前記アクティブＸ置換オブジェクトに置き換えるステップと、
    前記ＨＴＴＰリクエストをリリースするステップとをさらに含むことを特徴とする請求項１８に記載のコンピュータシステム。
JP2008122127A 2007-05-09 2008-05-08 ドライブバイ・ファーミングに対するリファラーチェックを介したクライアント側の保護 Expired - Fee Related JP5254656B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/746,188 2007-05-09
US11/746,188 US7827311B2 (en) 2007-05-09 2007-05-09 Client side protection against drive-by pharming via referrer checking

Publications (2)

Publication Number Publication Date
JP2008283686A JP2008283686A (ja) 2008-11-20
JP5254656B2 true JP5254656B2 (ja) 2013-08-07

Family

ID=39766821

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2008122127A Expired - Fee Related JP5254656B2 (ja) 2007-05-09 2008-05-08 ドライブバイ・ファーミングに対するリファラーチェックを介したクライアント側の保護

Country Status (5)

Country Link
US (1) US7827311B2 (ja)
EP (1) EP1990977B1 (ja)
JP (1) JP5254656B2 (ja)
CN (1) CN101304418B (ja)
AU (1) AU2008201981B2 (ja)

Families Citing this family (41)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8181246B2 (en) 2007-06-20 2012-05-15 Imperva, Inc. System and method for preventing web frauds committed using client-scripting attacks
US9906549B2 (en) * 2007-09-06 2018-02-27 Microsoft Technology Licensing, Llc Proxy engine for custom handling of web content
US20090070663A1 (en) * 2007-09-06 2009-03-12 Microsoft Corporation Proxy engine for custom handling of web content
US8949990B1 (en) 2007-12-21 2015-02-03 Trend Micro Inc. Script-based XSS vulnerability detection
US8578482B1 (en) 2008-01-11 2013-11-05 Trend Micro Inc. Cross-site script detection and prevention
US8850567B1 (en) * 2008-02-04 2014-09-30 Trend Micro, Inc. Unauthorized URL requests detection
WO2009114634A1 (en) 2008-03-11 2009-09-17 Hongguag Bi Ad matching system and method thereof
US8473346B2 (en) 2008-03-11 2013-06-25 The Rubicon Project, Inc. Ad network optimization system and method thereof
US10157280B2 (en) * 2009-09-23 2018-12-18 F5 Networks, Inc. System and method for identifying security breach attempts of a website
US8214903B2 (en) 2009-10-02 2012-07-03 International Business Machines Corporation Analysis of scripts
US20110231891A1 (en) * 2010-03-18 2011-09-22 Tovar Tom C Systems and Methods for Expression of Disassociation with Online Content
US9009330B2 (en) * 2010-04-01 2015-04-14 Cloudflare, Inc. Internet-based proxy service to limit internet visitor connection speed
US9049247B2 (en) 2010-04-01 2015-06-02 Cloudfare, Inc. Internet-based proxy service for responding to server offline errors
US8484740B2 (en) 2010-09-08 2013-07-09 At&T Intellectual Property I, L.P. Prioritizing malicious website detection
US8285808B1 (en) 2011-05-20 2012-10-09 Cloudflare, Inc. Loading of web resources
US8949350B2 (en) 2011-08-26 2015-02-03 International Business Machines Corporation Tracking desktop application referrals to content distributed over a network
US9122870B2 (en) 2011-09-21 2015-09-01 SunStone Information Defense Inc. Methods and apparatus for validating communications in an open architecture system
GB2496107C (en) * 2011-10-26 2022-07-27 Cliquecloud Ltd A method and apparatus for preventing unwanted code execution
US20130132508A1 (en) * 2011-11-21 2013-05-23 Google Inc. Low latency referrer free requests
US9195477B1 (en) * 2012-10-09 2015-11-24 Sencha, Inc. Device profiles, deep linking, and browser history support for web applications
CN102917049A (zh) * 2012-10-17 2013-02-06 北京奇虎科技有限公司 呈现访问网站的信息的方法、浏览器和系统
GB2512267B (en) * 2012-10-30 2015-09-16 Openwave Mobility Inc Determination of information relating to messages
US9450970B2 (en) * 2013-08-12 2016-09-20 Wal-Mart Stores, Inc. Automatic blocking of bad actors across a network
US9231915B2 (en) * 2013-10-29 2016-01-05 A 10 Networks, Incorporated Method and apparatus for optimizing hypertext transfer protocol (HTTP) uniform resource locator (URL) filtering
GB2518460B (en) * 2013-12-09 2015-10-28 F Secure Corp Unauthorised/Malicious redirection
EP3136277B1 (en) * 2014-04-25 2020-04-08 Hitachi Systems, Ltd. Illicit activity sensing network system and illicit activity sensing method
CN104378357A (zh) * 2014-10-23 2015-02-25 河北省电力建设调整试验所 一种HTTP Get Flood攻击的防护方法
JP6499461B2 (ja) * 2015-01-29 2019-04-10 株式会社三菱Ｕｆｊ銀行 情報処理装置
WO2016142856A1 (en) * 2015-03-08 2016-09-15 Soreq Nuclear Research Center Secure document transmission
GB2540375A (en) * 2015-07-14 2017-01-18 F Secure Corp Preventing browser-originating attacks in a local area network
WO2017132087A1 (en) 2016-01-25 2017-08-03 nToggle, Inc. Platform for programmatic advertising
CN105700894A (zh) * 2016-02-25 2016-06-22 深圳市分期乐网络科技有限公司 一种修改http响应数据的方法及装置
CN107528811A (zh) * 2016-06-21 2017-12-29 中兴通讯股份有限公司 请求的响应方法及装置
CN106161478B (zh) * 2016-09-19 2019-02-19 成都知道创宇信息技术有限公司 基于http响应头变化的准确攻击识别方法
US11496438B1 (en) 2017-02-07 2022-11-08 F5, Inc. Methods for improved network security using asymmetric traffic delivery and devices thereof
US10791119B1 (en) 2017-03-14 2020-09-29 F5 Networks, Inc. Methods for temporal password injection and devices thereof
US10931662B1 (en) 2017-04-10 2021-02-23 F5 Networks, Inc. Methods for ephemeral authentication screening and devices thereof
US11658995B1 (en) 2018-03-20 2023-05-23 F5, Inc. Methods for dynamically mitigating network attacks and devices thereof
WO2020014712A1 (en) 2018-07-13 2020-01-16 Pubwise, LLLP Digital advertising platform with demand path optimization
US10681048B1 (en) * 2018-11-26 2020-06-09 Jpmorgan Chase Bank, N.A. Systems and methods for intercepting WebView traffic
CN113726757B (zh) * 2021-08-24 2023-08-22 杭州迪普科技股份有限公司 Https协议客户端的验证方法及装置

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8029454B2 (en) 2003-11-05 2011-10-04 Baxter International Inc. High convection home hemodialysis/hemofiltration and sorbent system
US20060075494A1 (en) * 2004-10-01 2006-04-06 Bertman Justin R Method and system for analyzing data for potential malware
ATE548841T1 (de) 2005-01-14 2012-03-15 Bae Systems Plc Netzwerkbasiertes sicherheitssystem
US20070174630A1 (en) * 2005-02-21 2007-07-26 Marvin Shannon System and Method of Mobile Anti-Pharming and Improving Two Factor Usage
WO2007025279A2 (en) * 2005-08-25 2007-03-01 Fortify Software, Inc. Apparatus and method for analyzing and supplementing a program to provide security
JP4950606B2 (ja) * 2005-09-30 2012-06-13 トレンドマイクロ株式会社 通信システム、セキュリティ管理装置およびアクセス制御方法
EP2005698B1 (en) * 2006-04-13 2012-01-04 Art of Defence GmbH Method for providing web application security
US20080060054A1 (en) * 2006-09-05 2008-03-06 Srivastava Manoj K Method and system for dns-based anti-pharming

Also Published As

Publication number Publication date
CN101304418A (zh) 2008-11-12
EP1990977A2 (en) 2008-11-12
JP2008283686A (ja) 2008-11-20
EP1990977A3 (en) 2008-11-19
AU2008201981A1 (en) 2008-11-27
US20080281983A1 (en) 2008-11-13
CN101304418B (zh) 2012-10-24
AU2008201981B2 (en) 2013-04-04
EP1990977B1 (en) 2012-10-03
US7827311B2 (en) 2010-11-02

Similar Documents

Publication Publication Date Title
JP5254656B2 (ja) ドライブバイ・ファーミングに対するリファラーチェックを介したクライアント側の保護
US10868819B2 (en) Systems for detecting a headless browser executing on a client computer
US8578481B2 (en) Method and system for determining a probability of entry of a counterfeit domain in a browser
US8528079B2 (en) System and method for combating phishing
US8826411B2 (en) Client-side extensions for use in connection with HTTP proxy policy enforcement
KR102130122B1 (ko) 온라인 사기를 검출하기 위한 시스템 및 방법
JP4912400B2 (ja) Ｈｔｍｌブラウザおよび拡張機能の既知の脆弱性からの免疫付与
US7690035B2 (en) System and method for preventing fraud of certification information, and recording medium storing program for preventing fraud of certification information
Kirda et al. Noxes: a client-side solution for mitigating cross-site scripting attacks
US8464318B1 (en) System and method for protecting web clients and web-based applications
US8566945B2 (en) System and method for testing web applications with recursive discovery and analysis
US8286225B2 (en) Method and apparatus for detecting cyber threats
KR100935776B1 (ko) 네트워크 어드레스 평가 방법, 컴퓨터 판독 가능한 기록 매체, 컴퓨터 시스템, 네트워크 어드레스 액세스 방법, 컴퓨터 인프라를 활용하는 방법 및 기업의 네트워크 통신 트래픽의 분석을 수행하는 방법
US20080301766A1 (en) Content processing system, method and program
US20080222299A1 (en) Method for preventing session token theft
US20160142439A1 (en) Methods and systems for phishing detection
US9426171B1 (en) Detecting network attacks based on network records
US8738711B2 (en) System and method for redirecting client-side storage operations
US9756058B1 (en) Detecting network attacks based on network requests
CN1838122A (zh) 在浏览器显示中突出显示域的系统和方法
US20190222587A1 (en) System and method for detection of attacks in a computer network using deception elements
US20210006591A1 (en) Identifying, reporting and mitigating unauthorized use of Web code
US11082437B2 (en) Network resources attack detection
US10686834B1 (en) Inert parameters for detection of malicious activity
JP2009519531A (ja) マクロ・サポートによりｈｔｔｐセキュリティ・メッセージ処理を外部化するための方法およびシステム

Legal Events

Date Code Title Description
RD02 Notification of acceptance of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7422

Effective date: 20100813

RD04 Notification of resignation of power of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7424

Effective date: 20100818

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20110427

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20121122

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20121127

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20130226

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20130409

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20130418

R150 Certificate of patent or registration of utility model

Ref document number: 5254656

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

Free format text: JAPANESE INTERMEDIATE CODE: R150

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20160426

Year of fee payment: 3

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

LAPS Cancellation because of no payment of annual fees
S531 Written request for registration of change of domicile

Free format text: JAPANESE INTERMEDIATE CODE: R313531

S533 Written request for registration of change of name

Free format text: JAPANESE INTERMEDIATE CODE: R313533

R350 Written notification of registration of transfer

Free format text: JAPANESE INTERMEDIATE CODE: R350