JP5465651B2 - リスト生成方法、リスト生成装置及びリスト生成プログラム - Google Patents

Description

この発明は、リスト生成方法、リスト生成装置及びリスト生成プログラムに関する。

従来、ＷＷＷ（World Wide Web）に存在する多数のＷｅｂサイトの中には、悪質なＷｅｂサイトや悪質なＷｅｂコンテンツが存在している。そこで、このような悪質なＷｅｂサイトや悪質なＷｅｂコンテンツからＷＷＷを利用するユーザを保護するために、フィルタリングが実施されている。

フィルタリングは、任意に設定される基準に合わせて情報を選択的に受信することであり、例えば、ＤＮＳ（Domain Name System）サーバやＷｅｂプロキシサーバなどのネットワーク装置やクライアント端末などにおいて実行される。ここで、フィルタリングには、任意に設定される基準として、悪質なＷｅｂサイトや悪質なＷｅｂコンテンツをリスト化したブラックリストなどが利用される。

例えば、ブラックリストを利用したフィルタリングとして、ユーザが指定したＷｅｂページとブラックリストに含まれるページとの関連度によってレイティングを実行し、当該レイティングに基づいてユーザが指定したＷｅｂページを取得するか否かを判定するフィルタリング方法が知られている。なお、レイティングとは、任意に設定される基準に基づいて情報に格付けすることである。

すなわち、ブラックリストはフィルタリングを支える重要な情報源であり、悪質なＷｅｂサイトや悪質なＷｅｂコンテンツに対する対策の効果は、ブラックリストの品質に依存する。このようなフィルタリングに利用されるブラックリストは、アンチウィルスベンダ、セキュリティＳＩ（System Integration）事業者、通信事業組織などの営利組織や、大学などの非営利組織など様々な組織によって独自の観点で作成及び運用されている。

特許第４０２１６８１号公報

しかしながら、上述した従来技術では、ブラックリストを維持管理することが容易ではないという課題がある。具体的には、Ｗｅｂを対象としてフィルタリングを行なう場合には、Ｗｅｂコンテンツを単位とするＵＲＬ（Uniform Resource Locator）フィルタリングが適しているが、ＵＲＬフィルタリングに用いられるブラックリストのＵＲＬに存在するＷｅｂサイトやＷｅｂコンテンツは、時間経過と共に消失する場合がある。また、悪質なＷｅｂサイトや悪質なＷｅｂコンテンツが新規に生成された場合には、ブラックリストは、新規の情報が追加される必要がある。

すなわち、効果的なフィルタリングを実行するためには、ＵＲＬフィルタリングに用いられるブラックリストを、常に新しい情報を含んだものに維持管理する必要がある。ここで、ブラックリストの維持管理を行なう場合には、新規に生成された悪質なＷｅｂサイトや悪質なＷｅｂコンテンツのＵＲＬをＷｅｂ空間から検出して、検出した情報を追加する必要があるが、Ｗｅｂ空間には、数百億ページのＷｅｂページが存在する。また、Ｗｅｂコンテンツは、日々、更新され続けている。従って、Ｗｅｂ空間の中から悪質なＷｅｂサイトやＷｅｂコンテンツのＵＲＬを検出することには膨大なコストがかかるため、ブラックリストを新しい状態に維持管理することが容易ではない。

そこで、本願に開示する技術は、上述した従来技術の問題に鑑みてなされたものであって、ブラックリストを維持管理することを容易にすることを可能とするリスト生成方法、リスト生成装置及びリスト生成プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するため、開示の方法は、コンピュータが、悪質な資源情報の格納先を示す悪性統一資源位置指定子に含まれる任意の文字列を組み合わせた部分文字列を生成する部分文字列生成ステップと、前記部分文字列生成ステップによって生成された前記部分文字列を含む統一資源位置指定子をネットワーク上から抽出する抽出ステップと、前記抽出ステップによって抽出された統一資源位置指定子が指定する格納先に格納された情報が悪性か否かを判定し、悪性であった場合に当該統一資源位置指定子を新規の悪性統一資源位置指定子として前記悪性統一資源位置指定子のリストに反映すると決定する決定ステップとを含んだことを特徴とする。

開示の方法は、ブラックリストの維持管理を容易にすることを可能にする。

図１は、実施例１に係るリスト生成装置の構成の一例を説明するための図である。 図２は、実施例２に係るリスト生成装置の構成の一例を説明するための図である。 図３は、ブラックリスト記憶部によって記憶されるブラックリストの一例を説明するための図である。 図４は、判定基準記憶部によって記憶される判定基準の一例を説明するための図である。 図５は、部分ＵＲＬ生成部によるＵＲＬの分解及び連結処理を説明するための図である。 図６は、部分ＵＲＬ生成部による処理の一例を説明するための図である。 図７は、近隣ＵＲＬ抽出部による処理の一例を説明するための図である。 図８は、実施例２に係るリスト生成装置によるリスト生成処理の手順を示すフローチャートである。 図９は、近隣ＵＲＬ抽出部によるクエリ生成の一例を説明するための図である。 図１０は、複数の検索エンジンを用いた場合の近隣探索の一例を説明するための図である。 図１１は、本実施例に係るリスト生成プログラムを実行するコンピュータを示す図である。

以下に添付図面を参照して、本願の開示するリスト生成方法、リスト生成装置及びリスト生成プログラムの実施例を詳細に説明する。なお、本願の開示するリスト生成方法、リスト生成装置及びリスト生成プログラムは、以下の実施例により限定されるものではない。

［実施例１に係るリスト生成装置の構成］
実施例１に係るリスト生成装置の構成について説明する。図１は、実施例１に係るリスト生成装置１の構成の一例を説明するための図である。図１に示すように、実施例１に係るリスト生成装置１は、部分ＵＲＬ生成部２と、近隣ＵＲＬ抽出部３と、悪性ＵＲＬ決定部４とを有し、ネットワーク５と接続されている。そして、実施例１に係るリスト生成装置１は、悪質な資源情報の格納先を示す悪性統一資源位置指定子に基づいて、新規の悪性統一資源位置指定子を決定してリストに反映する。なお、資源情報の格納先を示す統一資源位置指定子としては、ＵＲＬが挙げられる。

具体的には、実施例１に係るリスト生成装置１は、図１に示すように、既存のブラックリストを用いて新規の悪性ＵＲＬを決定し、決定した新規の悪性ＵＲＬをブラックリストに反映する。ここで、ブラックリストとは、悪質なＷｅｂサイトや悪質なＷｅｂコンテンツのＵＲＬを悪性ＵＲＬとしてリスト化したものである。また、新規の悪性ＵＲＬとは、攻撃者などによって新たに生成された悪質なＷｅｂサイトや悪質なＷｅｂコンテンツのＵＲＬである。

部分ＵＲＬ生成部２は、悪性ＵＲＬに含まれる任意の文字列を組み合わせた部分ＵＲＬを生成する。具体的には、部分ＵＲＬ生成部２は、ブラックリストに含まれる悪性ＵＲＬをスキーム（scheme）ごとに定義された書式に沿って文字列に分解し、分解した文字列を上位概念から順に連結した部分ＵＲＬを生成する。

ここで、ＵＲＬの上位概念について説明する。ＵＲＬには、情報資源を格納するホストが所属する所属ドメイン空間を示す「ドメイン」とホスト内で情報資源が配置される位置を示す「パス」とが含まれている。「ドメイン」及び「パス」は、それぞれ階層構造を有している。例えば、「ドメイン」には、最上位の「トップレベルドメイン（ＴＬＤ：Top Level Domain）」から順に「セカンドレベルドメイン」、「サードレベルドメイン」が含まれている。また、「パス」には、最上位の「トップディレクトリ」から順に下位の「ディレクトリ」が含まれている。

すなわち、部分ＵＲＬ生成部２は、悪性ＵＲＬのドメインをＴＬＤから順に連結した部分ＵＲＬと、ＦＱＤＮ（Fully Qualified Domain Name）にトップディレクトリから順にディレクトリを連結した部分ＵＲＬとを順次生成する。

近隣ＵＲＬ抽出部３は、部分ＵＲＬ生成部２によって生成された部分ＵＲＬを含むＵＲＬをネットワーク５から抽出する。具体的には、近隣ＵＲＬ抽出部３は、まず、部分ＵＲＬ生成部２によって生成された部分ＵＲＬの先頭に検索コマンドを付与したクエリ（query）を生成する。そして、近隣ＵＲＬ抽出部３は、生成したクエリを用いた検索エンジンによる検索により、部分ＵＲＬを含むＵＲＬである近隣ＵＲＬを抽出する。なお、クエリとは、システムなどに対する処理要求を文字列にしたものである。

悪性ＵＲＬ決定部４は、近隣ＵＲＬ抽出部３によって抽出された近隣ＵＲＬに存在する情報が悪性か否かを判定し、悪性であった場合に当該近隣ＵＲＬを新規の悪性ＵＲＬと決定する。具体的には、悪性ＵＲＬ決定部４は、アンチウィルスソフトやクライアント型ハニーポット（Honeypot）などを利用することにより、近隣ＵＲＬに存在するＷｅｂサイトやＷｅｂコンテンツが悪性か否かを判定する。例えば、悪性ＵＲＬ決定部４は、近隣ＵＲＬから受信した情報にアンチウィルスソフトに含まれるシグネチャと同様のものが存在した場合に、当該近隣ＵＲＬのＷｅｂサイトやＷｅｂコンテンツが悪性であると判定する。なお、アンチウィルスソフトが有するシグネチャは、攻撃コードやマルウェアの実行ファイルなどの特徴などを基に作成されたものである。

また、例えば、悪性ＵＲＬ決定部４は、クライアント型ハニーポットとして動作することにより、近隣ＵＲＬに存在するＷｅｂサイトやＷｅｂコンテンツが悪性か否かを判定する。なお、ハニーポットとは、セキュリティパッチを適用せず脆弱性を残したまま攻撃を受け、悪質なＷｅｂサイトや悪質なＷｅｂコンテンツの情報を収集する囮システムである。クライアント型ハニーポットとは、Ｗｅｂブラウザに脆弱性を持たせたハニーポットである。

そして、悪性ＵＲＬ決定部４は、悪性であると判定した近隣ＵＲＬを新規の悪性ＵＲＬとして決定し、ブラックリストに反映する。

上述したように、実施例１に係るリスト生成装置１は、悪性ＵＲＬに含まれる文字列を用いて当該悪性ＵＲＬの近隣ＵＲＬを生成し、生成した近隣ＵＲＬに存在するＷｅｂサイトが悪性か否かを判定し、悪性であった場合に、ブラックリストに反映する。一般に、ブラックリストを用いたフィルタリングでは、対象となるＵＲＬがブラックリストに含まれるＵＲＬと完全一致する場合に、フィルタリングが実行される。従って、攻撃者は、悪性ＵＲＬを部分的に変更することにより完全一致のフィルタリングを回避しようとする。

例えば、攻撃者は、新規ドメインを取得することでＵＲＬのドメイン部を変更したり、ＵＲＬのパス部やサブドメイン部などを部分的に変更したりする。ここで、攻撃者にとっては、新規ドメインを確保するよりは、新たなパス部やサブドメイン部を生成する方がコストを低減できる。このため、攻撃者は、ＵＲＬのパス部やサブドメイン部の部分変更により、フィルタリングを回避することが多いと考えられる。例えば、攻撃者が悪質なＷｅｂサイトや悪質なＷｅｂコンテンツのＵＲＬのドメイン管理者である場合には、該当するドメインに対する任意のサブドメイン部を生成することで、フィルタリングを回避する。また、攻撃者がサイトの管理権限を持つ場合には、攻撃者は、悪性コンテンツの再配置によりＵＲＬのパス部を任意に変更することで、フィルタリングを回避する。

従って、実施例１に係るリスト生成装置１は、攻撃者によって部分的に変更されたＵＲＬを悪性ＵＲＬとして効率的に検出することができ、ブラックリストの維持管理を容易にすることを可能にする。

［実施例２に係るリスト生成装置の構成］
まず、実施例２に係るリスト生成装置の構成について説明する。図２は、実施例２に係るリスト生成装置１００の構成の一例を説明するための図である。図２に示すように、実施例２に係るリスト生成装置１００、入出力制御Ｉ／Ｆ部１０と、入力部２０と、表示部３０と、通信部４０と、ブラックリスト記憶部５１と、判定基準記憶部５２と、近隣ＵＲＬ記憶部５３と、制御部６０とを有している。そして、リスト生成装置１００は、図２に示すように、インターネット２００と接続されている。

なお、リスト生成装置１００は、例えば、ＰＣ（Personal Computer）、ワークステーション又は解析用の専用装置である。また、ブラックリスト記憶部５１、判定基準記憶部５２及び近隣ＵＲＬ記憶部５３は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）などの半導体メモリ素子、または、ハードディスク、光ディスクなどの記憶装置である。また、制御部６０は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路、または、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路である。

入出力制御Ｉ／Ｆ部１０は、入力部２０、表示部３０、通信部４０と制御部６０との間での各種情報のやり取りを制御するインタフェースである。入力部２０は、例えば、操作者による種々の情報の入力処理を受付ける。例えば、入力部２０は、キーボードやタッチパネルなどである。表示部３０は、例えば、操作者に対して処理結果を表示出力する。例えば、表示部３０は、ディスプレイなどである。通信部４０は、リスト生成装置１００とインターネット２００に接続された所定のサイトやコンテンツなどの接続先との間の通信を制御する。なお、接続先としては、例えば、悪性又は正規のサイトやコンテンツなどである。例を挙げると、悪性のサイトやコンテンツとは、マルウェア（Malware）などを含むサイトやコンテンツである。また、正規のサイトやコンテンツとは、検索エンジンなどを含むサイトやコンテンツである。

ブラックリスト記憶部５１は、悪質なＷｅｂサイトや悪質なＷｅｂコンテンツの格納先を示す統一資源位置指定子であるＵＲＬを悪性ＵＲＬとしてリスト化したブラックリストを記憶する。具体的には、ブラックリスト記憶部５１は、後述する制御部６０やリスト生成装置１００の管理者、或いは、他の装置などによって収集されたブラックリストを記憶する。図３は、ブラックリスト記憶部５１によって記憶されるブラックリストの一例を説明するための図である。

例えば、ブラックリスト記憶部５１は、図３に示すように、「ＵＲＬ：http://www.example.co.jp/test/index.html」や「ＵＲＬ：http://www.example.co.jp/test1/index.html」などを記憶する。すなわち、図３に示す「ＵＲＬ：http://www.example.co.jp/test/index.html」や「ＵＲＬ：http://www.example.co.jp/test1/index.html」は、悪質なＷｅｂサイトや悪質なＷｅｂコンテンツのＵＲＬである。

図２に戻って、判定基準記憶部５２は、後述する制御部６０やリスト生成装置１００の管理者などによって収集された判定基準を記憶する。ここで、判定基準とは、トップレベルドメイン（ＴＬＤ：Top Level Domain）やパブリックサフィックス（public suffix）をリスト化したものである。なお、トップレベルドメインとは、ドット「．」で区切られ階層構造となっているドメイン名のうち最後尾のコードを意味している。また、パブリックサフィックスとは、一般的なドメイン名を示す接尾辞を意味している。

図４は、判定基準記憶部５２によって記憶される判定基準の一例を説明するための図である。例えば、判定基準記憶部５２は、図４に示すように、「トップレベルドメイン」として、「ｇＴＬＤ」の「.aero」や「.com」など、「ｃｃＴＬＤ」の「.ac」や「.jp」など、「ｓＴＬＤ」の「.aero」や「.museum」などを記憶する。なお、「ｇＴＬＤ」とは、ジェネリック（generic）ＴＬＤである。また、「ｃｃＴＬＤ」とは、国別コード（country code）ＴＬＤである。また、「ｓＴＬＤ」とは、スポンサー付（sponsored）ＴＬＤである。また、判定基準記憶部５２は、図４に示すように、「パブリックサフィックス」として、「co.jp」や「ne.jp」などを記憶する。

図２に戻って、近隣ＵＲＬ記憶部５３は、後述する制御部６０によって抽出された近隣ＵＲＬを記憶する。具体的には、近隣ＵＲＬ記憶部５３は、後述する制御部６０がブラックリスト記憶部５１によって記憶されたブラックリストに含まれるＵＲＬの文字列に基づいて抽出した近隣ＵＲＬを記憶する。なお、近隣ＵＲＬ記憶部５３によって記憶される近隣ＵＲＬ及びその抽出方法については、後に詳述する。

制御部６０は、図２に示すように、情報収集部６１と、部分ＵＲＬ生成部６２と、近隣ＵＲＬ抽出部６３と、悪性ＵＲＬ決定部６４とを有し、ブラックリスト記憶部５１によって記憶されたブラックリストに基づいて新規の悪性ＵＲＬを検出し、ブラックリストの更新を行う。

情報収集部６１は、ブラックリストを収集し、収集したブラックリストをブラックリスト記憶部５１に格納する。具体的には、情報収集部６１は、ブラックリストの作成を行なっている組織がインターネット２００上で公開しているブラックリストを、通信部４０を介して収集し、収集したブラックリストをブラックリスト記憶部５１に格納する。なお、悪性ＵＲＬの作成を行なっている組織としては、アンチウィルスベンダ、セキュリティＳＩ事業者、通信事業組織などの営利組織や、大学などの非営利組織などが挙げられる。

例えば、情報収集部６１は、ネットワーク上から「http://www.example.co.jp/test/index.html」や「http://www.example.co.jp/test1/index.html」などのＵＲＬが含まれるブラックリストを取得する。そして、情報収集部６１は、図３に示すように、取得したブラックリストをブラックリスト記憶部５１に格納する。なお、情報収集部６１によるブラックリストの収集は、定期的に行われる場合であってもよい。

また、情報収集部６１は、ＴＬＤやパブリックサフィックスなどの判定基準を、通信部４０を介してインターネット２００上から取得し、取得した判定基準を判定基準記憶部５２に格納する。具体的には、情報収集部６１は、ＴＬＤを管理している組織や、パブリックサフィックスの作成を行っている組織などがインターネット２００上で公開しているＴＬＤやパブリックサフィックスを、通信部４０を介して収集する。そして、情報収集部６１は、収集したＴＬＤやパブリックサフィックスを判定基準として判定基準記憶部５２に格納する。なお、ＴＬＤは、ＩＡＮＡ（Internet Assigned Number Authority）によって一元管理されている。また、パブリックサフィックスは、Mozilla Projectによってリスト化されている（RFC1035 DOMAIN NAME-IMPLEMENTATION AND SPECIFICATION 参照）。

例えば、情報収集部６１は、ネットワーク上から「ｇＴＬＤ」、「ｃｃＴＬＤ」、「ｓＴＬＤ」などのＴＬＤとパブリックサフィックスとを収集する。そして、情報収集部６１は、収集したＴＬＤとパブリックサフィックスとを、図４に示すように、判定基準記憶部５２に格納する。

部分ＵＲＬ生成部６２は、ブラックリスト記憶部５１によって記憶されたブラックリストに含まれるＵＲＬを読み出し、読み出したＵＲＬに含まれる文字列を任意に組み合わせた部分ＵＲＬを生成する。ここで、部分ＵＲＬ生成部６２による処理について、図５を用いて説明する。図５は、部分ＵＲＬ生成部６２によるＵＲＬの分解及び連結処理を説明するための図である。なお、以下では、ＨＴＴＰ（Hypertext Transfer Protocol）スキームで定義された書式のＵＲＬ（RFC1738 Uniform Resource Locators (URL) 参照）から部分ＵＲＬを生成する場合について説明する。また、以下では、情報資源を格納するホスト（ウェブサーバ）が所属する所属ドメイン空間を示すＵＲＬの文字列を「ドメイン部」と定義する。また、以下では、ホスト内で情報資源が配置される位置を示すＵＲＬの文字列を「パス部」と定義する。

部分ＵＲＬ生成部６２は、まず、ブラックリスト記憶部５１によって記憶されたＵＲＬを読み出す。そして、部分ＵＲＬ生成部６２は、読み出したＵＲＬをドメイン部とパス部に分離し、ドメイン部及びパス部それぞれについて文字列ごとの分解を行う。例えば、部分ＵＲＬ生成部６２は、図５に示すように、ブラックリスト記憶部５１から「http://www.example .co.jp/path1/path2/index.html」を読み出し、シードＵＲＬとする。そして、部分ＵＲＬ生成部６２は、図５に示すように、読み出したシードＵＲＬ「http://www.example .co.jp/path1/path2/index.html」のドメイン部「www.example .co.jp」とパス部「/path1/path2/index.html」とを分離して、それぞれの文字列分解を実行する。

ここで、部分ＵＲＬ生成部６２は、ドメイン部とパス部とで異なる区切り文字を用いて文字列分解を実行する。具体的には、部分ＵＲＬ生成部６２は、ドメイン部に対してドット「．」を区切り文字とした文字列分解を実行する。例えば、部分ＵＲＬ生成部６２は、図５に示すように、ドメイン部「www.example .co.jp」をドット「．」を区切り文字として、「www」、「example」、「co」、「jp」に分解する。

また、部分ＵＲＬ生成部６２は、パス部に対してスラッシュ「／」を区切り文字とした文字列分解を実行する。例えば、部分ＵＲＬ生成部６２は、図５に示すように、パス部「/path1/path2/index.html」をスラッシュ「／」を区切り文字として、「path1」、「path2」、「index.html」に分解する。

そして、部分ＵＲＬ生成部６２は、文字列分解を実行したドメイン部とパス部とを上位概念から順に文字列連結を行い、部分ＵＲＬを生成する。すなわち、部分ＵＲＬ生成部６２は、ドメインを単位とした接尾辞と、ディレクトリを単位とした接頭辞とをそれぞれ生成し、文字列連結を行う。例えば、部分ＵＲＬ生成部６２は、図５に示すように、文字列連結を実行することで、接尾辞「jp」、「co.jp」、「example .co.jp」のみの部分ＵＲＬを生成する。また、部分ＵＲＬ生成部６２は、図５に示すように、ＦＱＤＮ（Fully Qualified Domain Name）「www.example .co.jp」とパス部の接頭辞「path1」又は「path1/path2」とを連結した部分ＵＲＬを生成する。なお、部分ＵＲＬ生成部６２は、文字列連結を実行する場合に、ドメイン部及びパス部それぞれにおける文字列間にドット「．」及びスラッシュ「／」をそれぞれ付与する。

ここで、部分ＵＲＬ生成部６２は、生成した部分ＵＲＬにおいて、ＴＬＤ或いはパブリックサフィックスのみの部分ＵＲＬを削除する。すなわち、部分ＵＲＬ生成部６２は、判定基準記憶部５２によって記憶された判定基準を参照し、ＴＬＤ或いはパブリックサフィックスのみの部分ＵＲＬを削除する。

図６は、部分ＵＲＬ生成部６２よる処理の一例を説明するための図である。例えば、部分ＵＲＬ生成部６２は、ブラックリスト記憶部５１によって記憶されたＵＲＬ「http://www.example.co.jp/test/index.html」をシードＵＲＬとして読み出し、ＵＲＬ分解処理を実行することにより、部分ＵＲＬ「example.co.jp」、「www.example.co.jp」及び「www.example.co.jp/test/」を生成する。

図２に戻って、近隣ＵＲＬ抽出部６３は、部分ＵＲＬ生成部６２によって生成された部分ＵＲＬを含むＵＲＬをインターネット２００から抽出する。具体的には、近隣ＵＲＬ抽出部６３は、まず、部分ＵＲＬ生成部６２によって生成された部分ＵＲＬを範囲指定で検索するためのクエリを生成する。そして、近隣ＵＲＬ抽出部６３は、検索エンジンを用いて、生成したクエリの検索を実行し、検索結果として取得されたＵＲＬをシードＵＲＬの近隣ＵＲＬとして近隣ＵＲＬ記憶部５３に格納する。なお、近隣ＵＲＬとは、悪性ＵＲＬの文字列の構成に類似するＵＲＬであって、つまり悪性ＵＲＬであると推定し得るＵＲＬである。また、検索エンジンによるクエリの検索は、検索エンジンごとにユーザに提供されている検索用のＡＰＩ（Application Program Interface）を用いて実行される。

図７は、近隣ＵＲＬ抽出部６３による処理の一例を説明するための図である。例えば、近隣ＵＲＬ抽出部６３は、図７に示すように、まず、部分ＵＲＬ「example.co.jp」、「www.example.co.jp」及び「www.example.co.jp/test/」の先頭に、範囲指定検索コマンドである「site:」を付与したクエリ「site:example.co.jp」、「site:www.example.co.jp」及び「site:www.example.co.jp/test/」を生成する。そして、近隣ＵＲＬ抽出部６３は、検索エンジンによるクエリの近隣探索により、近隣ＵＲＬとして「http://example.com/...」などを抽出し、抽出した近隣ＵＲＬを近隣ＵＲＬ記憶部５３に格納する。すなわち、近隣ＵＲＬ抽出部６３は、部分ＵＲＬを範囲指定で検索することで、部分ＵＲＬ配下のＵＲＬを抽出することができる。

図２に戻って、悪性ＵＲＬ決定部６４は、近隣ＵＲＬ抽出部６３によって抽出された近隣ＵＲＬの中から悪性ＵＲＬを決定し、決定した悪性ＵＲＬをブラックリスト記憶部５１に格納する。なお、近隣ＵＲＬが悪性であるか否かを決定する方法は、任意の方法が用いられてよく、その一例としてアンチウィルスソフトやクライアント型ハニーポットが挙げられる。以下では、悪性ＵＲＬ決定部６４による悪性ＵＲＬの決定方法について上記２つの例について説明する。

まず、悪性ＵＲＬ決定部６４がアンチウィルスソフトを利用して悪性ＵＲＬを決定する場合について説明する。かかる場合には、悪性ＵＲＬ決定部６４は、アンチウィルスソフトが有する不正プログラムの攻撃コードやマルウェアの実行ファイルなどの特徴を基にしたシグネチャに基づいて近隣ＵＲＬが悪性ＵＲＬであるか否かを判定する。例えば、悪性ＵＲＬ決定部６４は、近隣ＵＲＬ記憶部５３によって記憶された近隣ＵＲＬにアクセスしてファイルを取得する。そして、悪性ＵＲＬ決定部６４は、取得したファイルとシグネチャとのパターンマッチングを実行することにより、ファイルの取得先ＵＲＬ（近隣ＵＲＬ）が悪性ＵＲＬであるか否かを判定する。すなわち、悪性ＵＲＬ決定部６４は、ファイルとシグネチャとのパターンが一致した場合に、近隣ＵＲＬを新規の悪性ＵＲＬであると決定し、当該近隣ＵＲＬをブラックリスト記憶部５１に格納する。

次に、悪性ＵＲＬ決定部６４がクライアント型ハニーポットとして機能することにより悪性ＵＲＬを決定する場合について説明する。悪性ＵＲＬ決定部６４が利用するクライアント型ハニーポットの技術としては、以下に示す「参考文献」に記載の技術が挙げられる。

「参考文献：Mitsuaki Akiyama, Kazufumi Aoki, Yuhei Kawakoya, Makoto Iwamura, and Mitsuataka Itoh, Design and Implementation of High Interaction Client Honeypot for Drive-by-download Attacks, IEICE Transactions on Communication, Vol.E93-B No.5 pp.1131-1139, May. 2010.」

クライアント型ハニーポットとして機能する場合には、悪性ＵＲＬ決定部６４は、Ｗｅｂブラウザとして動作する。そして、悪性ＵＲＬ決定部６４は、近隣ＵＲＬ記憶部５３によって記憶された近隣ＵＲＬにアクセスし、攻撃を受けたアクセス先の近隣ＵＲＬを悪性ＵＲＬとして決定する。具体的には、悪性ＵＲＬ決定部６４は、アクセス先の近隣ＵＲＬから受信したファイルからのＷｅｂブラウザやプラグインの脆弱性に対する攻撃を検知する。そして、悪性ＵＲＬ決定部６４は、攻撃を検知した場合に、アクセス先の近隣ＵＲＬを新規の悪性ＵＲＬとして決定し、ブラックリスト記憶部５１に格納する。

ここで、攻撃を受ける際には、悪性サイトにアクセスするとリンクで別のサイトに次々と飛ばされ、その過程で、例えば、マルウェアに感染することもあり、どこに真の悪性サイトが潜んでいるのかわからない場合がある。そこで、悪性ＵＲＬ決定部６４は、攻撃を受けるまでＷｅｂ空間を巡回し、真の悪性サイトに到達するまでの経路に位置する踏み台となるサイト全てのＵＲＬも悪性ＵＲＬとして決定し、ブラックリスト記憶部５１に格納することも可能である。

上述したように、実施例２に係るリスト生成装置１００は、既存のブラックリストに含まれる悪性ＵＲＬを文字列に分解し、分解した文字列を組み合わせた近隣ＵＲＬを用いて新規の悪性ＵＲＬを検出し、ブラックリストを更新する。リスト生成装置１００は、ブラックリストに含まれる全ての悪性ＵＲＬに対して上述した処理を実行して、ブラックリストを更新する。

ここで、ブラックリストを更新する際には、全ての悪性ＵＲＬに対して処理を実行して、検出しうる全ての新規の悪性ＵＲＬを決定した後に、決定した新規の悪性ＵＲＬをブラックリスト記憶部５１に格納することが可能である。また、ブラックリストに含まれる悪性ＵＲＬそれぞれに処理を実行したことを示すフラグを対応付けて記憶させ、未処理の悪性ＵＲＬをブラックリスト記憶部５１から読み出して処理を実行するように制御させることも可能である。

リスト生成装置１００は、上述したブラックリストの更新を定期的に実行することで、ブラックリストを常に新しい情報を含む状態に維持管理することができる。すなわち、リスト生成装置１００によって定期的に更新されるブラックリストをフィルタリングに用いることで、効果的なフィルタリングを実行させることが可能になる。なお、ブラックリストの更新頻度は、管理者によって任意に決定することができる。

［実施例２に係るリスト生成装置によるリスト生成処理の手順］
次に、実施例２に係るリスト生成装置１００による処理の手順について、図８を用いて説明する。なお、図８においては、情報収集部６１によってブラックリスト及び判定基準が収集され、それぞれブラックリスト記憶部５１及び判定基準記憶部５２に格納された後の手順について示している。図８は、実施例２に係るリスト生成装置１００によるリスト生成処理の手順を示すシーケンス図である。

図８に示すように、実施例２に係るリスト生成装置１００においては、リスト生成の開始コマンドが実行されると（ステップＳ１０１肯定）、部分ＵＲＬ生成部６２が、ブラックリスト記憶部５１によって記憶されたブラックリストに含まれるＵＲＬを読み出し、読み出したＵＲＬから部分ＵＲＬを生成する（ステップＳ１０２）。

そして、近隣ＵＲＬ抽出部６３が、部分ＵＲＬ生成部６２によって生成された部分ＵＲＬを範囲指定で検索するためのクエリを生成する（ステップＳ１０３）。さらに、近隣ＵＲＬ抽出部６３は、生成したクエリを検索エンジンに実行させることで、近隣ＵＲＬを抽出する（ステップＳ１０４）。

その後、悪性ＵＲＬ決定部６４が、近隣ＵＲＬ抽出部６３によって抽出され、近隣ＵＲＬ記憶部５３によって記憶された近隣ＵＲＬの中から悪性ＵＲＬを決定し（ステップＳ１０５）、決定した悪性ＵＲＬをブラックリスト記憶部５１に格納して（ステップＳ１０６）、処理を終了する。なお、リスト生成装置１００は、開始コマンドが実行されるまで待機状態である（ステップＳ１０１否定）。

［実施例２の効果］
上述したように、実施例２によれば、部分ＵＲＬ生成部６２が、悪質な資源情報の格納先を示す悪性ＵＲＬに含まれる任意の文字列を組み合わせた部分ＵＲＬを生成する。そして、近隣ＵＲＬ抽出部６３が、部分ＵＲＬ生成部６２によって生成された部分ＵＲＬを含む近隣ＵＲＬをネットワーク上から抽出する。そして、悪性ＵＲＬ決定部６４が、近隣ＵＲＬ抽出部６３によって抽出された近隣ＵＲＬが指定する格納先に格納された情報が悪性か否かを判定し、悪性であった場合に当該近隣ＵＲＬを新規の悪性ＵＲＬとしてブラックリストに反映すると決定する。従って、実施例２に係るリスト生成装置１００は、攻撃者によって部分的に変更されたＵＲＬを悪性ＵＲＬとして効率的に検出することができ、ブラックリストを維持管理することを容易にすることを可能にする。

また、実施例２によれば、部分ＵＲＬ生成部６２が、悪性ＵＲＬのドメイン部及びパス部それぞれにおいて、階層構造の上位層から順に段階的に連結した複数の部分ＵＲＬを生成する。そして、近隣ＵＲＬ抽出部６３が、部分ＵＲＬ生成部６２によって生成された複数の部分ＵＲＬそれぞれが、対応する階層に配置された近隣ＵＲＬを抽出する。従って、実施例２に係るリスト生成装置１００は、検索範囲を細分化することができ、上位一定数のＵＲＬのみしか取得することができないという検索エンジンの機能的制約による検索結果の取りこぼしを抑制することを可能とする。

また、実施例２に係るリスト生成装置１００は、上位層から順に段階的に連結した部分ＵＲＬを生成し、生成した部分ＵＲＬが、対応する階層に配置された近隣ＵＲＬを抽出することで、適切な近隣探索を可能にする。例えば、悪性ＵＲＬのドメイン部が「www.example.co.jp」であった場合に、前方から「www.example」を部分ＵＲＬとして抽出すると、検索エンジンに「site:www.example」というクエリで検索を行うこととなる。この場合には、検索エンジンは「exampleというトップレベルドメインで、かつwwwというセカンドレベルドメインの配下を対象として検索する」と解釈するため、本来の「www.example.co.jp」というドメインとは全く異なる範囲を検索することとなる。

また、例えば、部分ＵＲＬが「example.coｍ」であった場合に、単に部分ＵＲＬが含まれるＵＲＬを抽出すると、「http://test.com/?url=example.com」や「http://example.com.test.com/」などが抽出されることとなる。「http://test.com/?url=example.com」は、URLパラメータに文字列として「example.com」が記述されているが、「example.com」のドメインとは関係ない。また、「http://example.com.test.com/」は、「test.com」のドメインの配下に「com」というサブドメインがあり、さらにそのサブドメインに「example」があるが、「example.com」のドメインとは関係ない。

実施例２に係るリスト生成装置１００は、上位層から順に段階的に連結した部分ＵＲＬを生成し、生成した部分ＵＲＬが、対応する階層に配置された近隣ＵＲＬを抽出することで、上述した例のような誤検索を抑止し、適切な近隣探索を可能にする。例えば、部分ＵＲＬが「example.coｍ」であった場合に、実施例２に係るリスト生成装置１００は、「http://example.com/index.html」や「http://example.com/path/index.php」、「http://www.example.com/index.htm」などのＵＲＬを近隣ＵＲＬとして抽出することを可能にする。

また、実施例２によれば、部分ＵＲＬ生成部６２は、悪性ＵＲＬのドメイン部のみの部分ＵＲＬを生成する場合に、当該部分ＵＲＬにトップレベルドメイン又はパブリックサフィックスに加えて少なくとも１つ以上の文字列を含ませる。従って、実施例２に係るリスト生成装置１００は、近隣ＵＲＬとして不特定多数のＵＲＬが取得されることを抑止することを可能にする。

これまでいくつかの実施例を説明したが、本願が開示する技術はこれらの実施例に限定されるものではない。すなわち、これらの実施例は、その他の様々な形態で実施されることが可能であり、種々の省略、置き換え、変更を行うことができる。

（１）クエリ生成
上述した実施例２では、検索コマンドとして「site:」のみを用いてクエリを生成する場合について説明した。しかしながら、開示の技術はこれに限定されるものではなく、例えば、他の検索コマンドと組み合わせたクエリを生成する場合であってもよい。図９は、近隣ＵＲＬ抽出部６３によるクエリ生成の一例を説明するための図である。

例えば、図９に示すように、近隣ＵＲＬ抽出部６３は、部分ＵＲＬ「example.co.jp」からクエリ「site:example.co.jp inurl:text」を生成して、検索エンジンにより近隣探索を実行する。検索コマンド「inurl:」は、「inurl:」に続く文字列を含むＵＲＬのみを検索させる検索コマンドである。すなわち、クエリ「site:example.co.jp inurl:text」によって近隣探索を実行することによって、「example.co.jp」の配下であり、かつ、「http://example.co.jp/test/」や「http://example.co.jp/str/test/」の配下のＵＲＬを抽出することが可能になる。言い換えると、開示の技術は、複数の検索コマンドを任意に組み合わせることで、検索する近隣ＵＲＬの対象範囲を絞り込むことが可能である。なお、「http://example.co.jp/str/test/」に含まれる文字列「str」は、任意の文字列を意味している。

（２）検索エンジン
上述した実施例２では、１つの検索エンジンに近隣探索を実行させる場合について説明した。しかしながら、開示の技術はこれに限定されるものではなく、例えば、複数の検索エンジンにより近隣探索を実行する場合であってもよい。図１０は、複数の検索エンジンを用いた場合の近隣探索の一例を説明するための図である。

例えば、近隣ＵＲＬ抽出部６３は、図１０に示すように、部分ＵＲＬから生成したクエリを検索エンジンＡ〜Ｃに実行させ、検索エンジンＡ〜Ｃそれぞれから取得した近隣ＵＲＬの中からユニークな近隣ＵＲＬを抽出する。検索エンジンは、それぞれ独自の手法によりＷｅｂ空間のクロール（crawl）とインデックス化を行っていることから、このように複数の検索エンジンを利用することにより、近隣探索の網羅性を向上させることが可能である。

（３）ドメイン内の文字列検索コマンド
上述した実施例２では、ドメイン内の文字列検索コマンドの一例として「site:」を用いる場合について説明した。しかしながら、開示の技術はこれに限定されるものではなく、例えば、検索エンジンごとの固有の検索コマンドを用いる場合であってもよい。例を挙げると、サブドメインのレベルに関係なく、指定したドメイン名が含まれるＵＲＬを検索範囲とする検索コマンドを用いる場合であってもよい。このような検索コマンドとしては、例えば、「domain:」などが知られている。

（４）対象とする悪性ＵＲＬ
上述した実施例２では、近隣ＵＲＬがマルウェアなどを含むサイトであるか否かにより悪性ＵＲＬを決定する場合について説明した。しかしながら、開示の技術はこれに限定されるものではなく、例えば、近隣ＵＲＬがフィッシングサイトや有害サイトであるか否かにより悪性ＵＲＬを決定する場合であってもよい。

（５）適用範囲
上述した実施例１及び２では、リストを生成する専用装置を例に挙げて説明した。しかしながら、開示の技術はこれに限定されるものではなく、例えば、プロキシサーバなどに搭載されたフィルタリング装置に組み込む場合であってもよい。かかる場合には、部分ＵＲＬ生成部６２、近隣ＵＲＬ抽出部６３及び悪性ＵＲＬ決定部６４をフィルタリング装置に組み込み、フィルタリング装置が有するブラックリストを更新する。

（６）クライアント型ハニーポット
上述した実施例２では、悪性ＵＲＬ決定部６４がクライアント型ハニーポットとして機能することで悪性ＵＲＬを決定する場合について説明した。しかしながら、開示の技術はこれに限定されるものではなく、例えば、悪性ＵＲＬ決定部６４が、インターネット２００に接続された他のクライアント型ハニーポットに近隣ＵＲＬを転送して、検査を実行させた結果に基づいて、悪性ＵＲＬを決定する場合であってもよい。

（７）ＵＲＬのスキーム
上述した実施例２では、ＵＲＬのスキームがＨＴＴＰである場合について説明した。しかしながら、開示の技術はこれに限定されるものではなく、例えば、ＵＲＬのスキームがＨＴＴＰＳやＦＴＰ（File Transfer Protocol）である場合であってもよい。

（８）システム構成等
例えば、各装置の分散・統合の具体的形態（例えば、図２の形態）は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合することができる。一例を挙げると、ブラックリスト記憶部５１と判定基準記憶部５２とを一つの記憶部として統合してもよく、一方、近隣ＵＲＬ抽出部６３を、クエリを生成するクエリ生成部と、検索エンジンに近隣探索を実行させる探索実行部とに分散してもよい。

また、制御部６０をリスト生成装置１００の外部装置としてネットワーク経由で接続するようにしてもよく、或いは、部分ＵＲＬ生成部６２、近隣ＵＲＬ抽出部６３を別の装置がそれぞれ有し、ネットワークに接続されて協働することで、上述したリスト生成装置１００の機能を実現するようにしてもよい。

（９）リスト生成プログラム
上記実施例で説明したリスト生成装置１００は、あらかじめ用意されたプログラムをコンピュータで実行することで実現することもできる。そこで、以下では、図２に示したリスト生成装置１００と同様の機能を実現するリスト生成プログラムを実行するコンピュータの一例を説明する。

図１１は、本実施例に係るリスト生成プログラムを実行するコンピュータ１０００を示す図である。図１１に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central Processing Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。

ここで、図１１に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。本実施例に係るリスト生成プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。具体的には、上記実施例で説明した部分ＵＲＬ生成部６２と同様の情報処理を実行する部分文字列生成手順と、近隣ＵＲＬ抽出部６３と同様の情報処理を実行する抽出手順と、悪性ＵＲＬ決定部６４と同様の情報処理を実行する決定手順とが記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。

また、上記実施例で説明したブラックリスト記憶部５１に記憶されるデータのように、リスト生成プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュールやプログラムデータを必要に応じてＲＡＭ１０１２に読み出して、部分文字列生成手順と、抽出手順と、決定手順とを実行する。

なお、情報送受信プログラムに係るプログラムモジュールやプログラムデータは、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、情報送受信プログラムに係るプログラムモジュールやプログラムデータは、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

これらの実施例やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１、１００ リスト生成装置
２、６２ 部分ＵＲＬ生成部
３、６３ 近隣ＵＲＬ抽出部
４、６４ 悪性ＵＲＬ決定部

Claims (7)

1. 悪質な資源情報の格納先を示す悪性統一資源位置指定子に含まれる任意の文字列を組み合わせた部分文字列を生成する部分文字列生成ステップと、
   前記部分文字列生成ステップによって生成された前記部分文字列を含む統一資源位置指定子をネットワーク上から抽出する抽出ステップと、
   前記抽出ステップによって抽出された統一資源位置指定子が指定する格納先に格納された情報が悪性か否かを判定し、悪性であった場合に当該統一資源位置指定子を新規の悪性統一資源位置指定子として前記悪性統一資源位置指定子のリストに反映すると決定する決定ステップと、
   を含み、コンピュータで実行されることを特徴とするリスト生成方法。
2. 前記部分文字列生成ステップは、前記統一資源位置指定子としてＵＲＬを対象とし、悪性ＵＲＬのドメイン部及びパス部それぞれにおいて、階層構造の上位層の文字列から順に段階的に連結した複数の部分文字列を生成し、
   前記抽出ステップは、ＵＲＬの階層構造に基づいて、前記部分文字列生成ステップによって生成された複数の部分文字列それぞれが対応する階層に配置されたＵＲＬを抽出することを特徴とする請求項１に記載のリスト生成方法。
3. 前記部分文字列生成ステップは、前記悪性ＵＲＬのドメイン部のみの部分文字列を生成する場合に、当該部分文字列にトップレベルドメイン又はパブリックサフィックスに加えて少なくとも１つ以上の文字列を含ませることを特徴とする請求項２に記載のリスト生成方法。
4. 前記抽出ステップは、前記部分文字列に対して１つ又は複数の検索コマンドを付与したクエリを生成し、生成したクエリを検索エンジンに実行させることにより、当該部分文字列が対応する階層に配置されたＵＲＬを抽出することを特徴とする請求項１又は２に記載のリスト生成方法。
5. 前記抽出ステップは、前記クエリを複数の検索エンジンに実行させることにより、前記部分文字列が対応する階層に配置されたＵＲＬを抽出することを特徴とする請求項４に記載のリスト生成方法。
6. 悪質な資源情報の格納先を示す悪性統一資源位置指定子に含まれる任意の文字列を組み合わせた部分文字列を生成する部分文字列生成部と、
   前記部分文字列生成部によって生成された前記部分文字列を含む統一資源位置指定子をネットワーク上から抽出する抽出部と、
   前記抽出部によって抽出された統一資源位置指定子が指定する格納先に格納された情報が悪性か否かを判定し、悪性であった場合に当該統一資源位置指定子を新規の悪性統一資源位置指定子として前記悪性統一資源位置指定子のリストに反映すると決定する決定部と、
   を有することを特徴とするリスト生成装置。
7. コンピュータに請求項１〜５のいずれか１つに記載のリスト生成方法を実行させるためのリスト生成プログラム。

Images