JP5702470B2 - リンクの評価を決定することによって未知の悪意ある行為から保護する方法およびシステム - Google Patents

Description

本発明は、概してコンピュータセキュリティおよびマルウェア対策に関し、具体的にはリンクの評価を決定することによって未知の悪意ある行為から保護する方法およびシステムに関する。

サイトクローラーおよびウェブ格付けセキュリティアプリケーションは、インターネットを介してアクセス可能なウェブサイトの格付けを決定するために利用される場合がある。サイトクローラーは、ウェブサイトを見ることによって情報（例えば、ウェブサイトのコンテンツ）を収集するために用いられるとしてよい。この情報は、例えば、見た各サイトの評価を決定する場合にウェブ格付けセキュリティアプリケーションによって利用されるとしてよい。そして、この評価は、特定のサイトが安全なサイトであるか、または、悪意ある行為に関連しているかを判断するために用いられるとしてよい。

しかし、これらのアプリケーションが解決できないオンラインセキュリティリスクが幾つか存在する。例えば、サイトクローラーは、パスワードを入力することによってのみアクセス可能なコンテンツおよびリンク、例えば、ユーザプロフィールおよびソーシャルネットワーク内でのオンライン交流等を検出することができない。また、サイトクローラーは従来、サイトを巡回することによってコンテンツを発見するが、当該サイトのユーザがどのリンクをクリックするか、そして、これらのリンクのコンテンツについては、把握していない。また、ハッカーの多くも、多数のリダイレクトおよび短縮ＵＲＬ（ユニフォーム・リソース・ロケータ）で、リンクに対応付けられるペイロードまたはデスティネーションを隠すことによって、ウェブ格付けセキュリティアプリケーションを回避することを習得している。

本開示によると、未知の悪意ある行為から保護する技術に関連する問題点および欠点が、大幅に軽減されるか、または、無くなる。特定の実施形態によると、リンクの評価を決定する方法は、複数のリンクに対応付けられている評価情報を含むデータベースに対して評価サーバからクエリを行い、リダイレクトされたリンクの評価を読み出す段階を備える。評価情報は、リンクが悪意ある行為に対応付けられているか否かを示すとしてよい。リダイレクトされたリンクの評価は元々のリンクに対応付けられて、元々のリンクの評価となる。

本開示の一実施形態によると、リンクの評価を決定するシステムは、複数のリンクに対応付けられている評価情報を有するデータベースと、プロセッサと、コンピュータ可読メモリと、コンピュータ可読メモリに符号化されている処理命令とを備える。評価情報は、リンクが悪意ある行為に対応付けられているか否かを示すとしてよい。処理命令は、プロセッサによって実行されると、データベースに対してクエリを実行してリダイレクトされたリンクの評価を読み出す処理と、リダイレクトされたリンクの評価を元々のリンクと対応付けて、元々のリンクの評価を作成する処理とを実行させるとしてよい。

本開示の別の実施形態によると、非一時的なコンピュータ可読媒体は、リンクの評価を決定する命令を格納している。当該命令は、プロセッサによって実行されると、元々のリンクおよび当該元々のリンクに対応付けられているリダイレクトされたリンクをクライアントに登録させ、元々のリンクおよびリダイレクトされたリンクを評価サーバに送信させる命令である。評価サーバは、複数のリンクについての評価情報を持つデータベースに対してクエリを行うことによって、リダイレクトされたリンクの評価に基づいて元々のリンクの評価を決定する。評価情報は、元々のリンクが悪意ある行為に対応付けられているか否かを示すとしてよい。当該命令はさらに、元々のリンクが悪意ある行為に対応付けられているか否かを示す元々のリンクの評価を含む通知を評価サーバからクライアントにおいて受信させる命令であってよい。

本開示の別の実施形態によると、リンクの評価を決定する方法は、複数のリンクに対応付けられている評価情報を含むデータベースに対して評価サーバからクエリを行って、複数のリダイレクトされたリンクのそれぞれの評価を読み出す段階を備える。評価情報は、リンクが悪意ある行為に対応付けられているか否かを示すとしてよい。元々のリンクの評価は、複数のリンクのうち最低評価スコアを持つリダイレクトされたリンクの評価、複数のリダイレクトされたリンクの評価の平均評価スコア、および、元々のリンクの最終デスティネーションを表すリダイレクトされたリンクの評価のうち少なくとも１つに基づいて、決定される。

本発明、ならびに、本発明の特徴および利点をさらに理解していただくべく、以下で添付図面を参照しつつ説明する。添付図面は以下の通りである。
本開示の教示内容に応じて、リンクの評価を決定することによって、未知の悪意ある行為から保護するセキュリティアプリケーションを含むネットワークを示すブロック図である。 本開示の教示内容に応じて、リンクの評価を決定することによって、未知の悪意ある行為から保護するセキュリティアプリケーションを含むシステムを示すブロック図である。 本開示の教示内容に応じて、複数のリンクについての評価情報を含む評価データベースを示す図である。 本開示の教示内容に応じて、セキュリティアプリケーションがクライアントにインストールされている場合、未知の悪意ある行為から保護する方法を説明するためのフローチャートである。 本開示の教示内容に応じて、セキュリティアプリケーションがクライアントにインストールされていない場合、未知の悪意ある行為から保護する方法を説明するためのフローチャートである。 本開示の教示内容に応じて、リンクの評価を決定する方法を説明するためのフローチャートである。

本開示の実施形態およびその利点は、図１から図６を参照することで良く理解されるであろう。図１から図６では、同様および対応する構成要素は同様の番号を用いている。

図１は、本開示の教示内容に応じて、リンクの評価を決定することによって、未知の悪意ある行為から保護するセキュリティアプリケーションを含むネットワークを示すブロック図である。悪意ある行為は、システム内で望ましくない行為を発生させるデジタルコンテンツの形式を取るとしてもよい。悪意ある行為の種類には、これらに限定されないが、ウイルス、トロイの木馬、ワーム、スパイウェア、未承諾電子メッセージ、フィッシング詐欺攻撃、または、これらの任意の組み合わせが含まれるとしてよい。

システム１００は、ネットワーク１０８に通信可能に結合されているクライアント１０２、パートナーサーバ１０４、および、評価サーバ１０６を備えるとしてよい。クライアント１０２は、プログラム命令を解釈および／または実行し、および／または、データを処理する任意の電子デバイスであってよい。例えば、これらに限定されないが、コンピュータ、携帯情報端末または電話機であってよい。パートナーサーバ１０４は、共通アドレスを利用してアクセスされ得るデータ群を含むサイトをホストする任意のサーバであってよい。例えば、データは、ハイパーテキスト・トランスファー・プロトコル（ＨＴＴＰ）、ＨＴＴＰセキュア（ＨＴＴＰＳ）、ファイル・トランスファー・プロトコル（ＦＴＰ）、テルネット・プロトコル、セキュア・シェル・プロトコル（ＳＳＨ）、シンプル・メール・トランスファー・プロトコル（ＳＭＴＰ）、または、インターネットを介してデータにアクセスするために利用可能な任意のその他のプロトコルのうち１以上を利用して、アクセスされるとしてよい。評価サーバ１０６は、プログラム命令を解釈および／または実行し、および／または、データを処理するとしてよい。図示されている実施形態では、評価データベース１１０およびパートナーデータベース１１２は、評価サーバ１０６に通信可能に結合されているとしてよい。評価データベース１１０およびパートナーデータベース１１２は、１以上のユーザによってアクセス可能な、整理されたデータ群を格納するとしてよい。図示された実施形態は評価データベース１１０およびパートナーデータベース１１２が直接評価サーバに結合されている様子を図示しているが、評価データベース１１０およびパートナーデータベース１１２は、例えば、ネットワーク１０８を介して、評価サーバ１０６にリモートに結合されているとしてよい。

図１には具体的なネットワークが図示されているが、「ネットワーク」という用語は、電気通信信号、データおよび／またはメッセージを送信可能な任意のネットワークを総称的に定義するものと解釈されたい。ネットワーク１０８は、データの配信および転送をサポートする任意の適切な通信設備群が任意の適切な方式で配列されていることを表す。例えば、ネットワーク１０８は、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、バックホールネットワーク、インターネット等のグローバルコンピュータネットワークに対応付けられている一のコンポーネントまたはコンポーネント群、または、無線通信および／または有線通信を実行するのに適した任意のその他の通信設備であってよい。特定の実施形態によると、ネットワーク１０８はインターネットプロトコル（ＩＰ）ネットワークであってよい。

図示した実施形態では、クライアント１０２ｃおよび評価サーバ１０６は、リンクに対応付けられている評価に基づいて、未知の悪意ある行為から保護するセキュリティアプリケーション１１４を含むとしてよい。また、パートナーサーバ１０４は、パートナーサーバ１０４がホストするサイト上に位置するアウトバウンドリンク（たとえば、パートナーサイト外へと誘導するリンク）を、評価サーバ１０６に対して示す評価サーバスクリプト１１６を含むとしてよい。

動作について説明すると、システム１００は、リンクの評価および保護ポリシーに基づいて、リンクが悪意ある行為に対応付けられるか否かを判断するとしてよい。１以上のリンクに対応付けられる評価情報は、評価サーバ１０６に対応付けられるデータベース１１０に格納されているとしてよい。評価情報は、リンクが安全または危険と格付けされたか否か、または、リンクが未知であるか否かを示す指標と、リンクの評価スコアと、コンテンツに基づいたリンクの分類とを含むとしてよい。他の実施形態では、リンクに対応付けられている任意のその他の適切な種類の情報、例えば、リンクのトラフィックパターンおよびサイト挙動が評価情報に含まれるとしてよい。保護ポリシーは、クライアント１０２および／または評価サーバ１０６に格納されているとしてよい。保護ポリシーは、クライアント１０２がリンクに誘導されないようにブロックされるタイミングを判断するためのルールを含むとしてよい。例えば、このルールは、リンクについての評価情報に基づいて決まるとしてよい。一実施形態によると、あるルールは、リンクが最小しきい値よりも低い評価スコアを持つ場合、および、分類がコンテンツは悪意ある行為である旨を示す場合、当該リンクをブロックすべきである旨を示すとしてよい。他の実施形態によると、これらのルールは、評価データベース１１０にある評価情報を任意に組み合わせることに基づいて決まるとしてよい。

ユーザがクライアント１０２のうち１つにおいてリンクをクリックし、ネットワーク１０８を介して、サイト上のデータにアクセスするとしてよい。当該リンクは、デスクトップアプリケーション（例えば、ブラウザアプリケーション、電子メールアプリケーション、ワードプロセッシングアプリケーション等）、サーバアプリケーションおよびウェブサービス等の任意のアプリケーションを利用してアクセスされ、ネットワーク１０８を介してコンテンツにアクセスするとしてよい。一実施形態によると、リンクは、特定されたリソースが利用可能な場所を示すＵＲＬ（ユニフォーム・リソース・ロケータ）、および、当該リソースを読み出すためのメカニズムを含むとしてよい。別の実施形態によると、リンクは、要求された情報を特定すると共にその位置を示すＩＰアドレスを含むとしてよい。

一部の実施形態によると、リンクはデータにアクセスするための最終デスティネーションを表わしておらず、リンクは１回以上リダイレクトされるとしてもよい。ユーザがクライアント１０２ｃにおいてリンクをクリックすると、クライアント１０２ｃ上のセキュリティアプリケーション１１４によってリダイレクトが記録されるとしてよい。リンクについての情報および対応付けられているリダイレクトは、クライアント１０２ｃから評価サーバ１０６へとネットワーク１０８を介して送信されるとしてよい。ユーザがクライアント１０２ａおよび１０２ｂのいずれかにおいてリンクをクリックして、リンクがパートナーサーバ１０４がホストするパートナーサイト上にある場合、評価サーバスクリプト１１６は、リンクを評価サーバ１０６に対して指し示して、評価サーバ１０６上のセキュリティアプリケーション１１４は、リンクに対応付けられているリダイレクトを記録する。リンクについて記録されている情報は、これに限定されないが、識別情報、例えば、ＵＲＬまたはＩＰアドレス等を含むとしてよい。

評価サーバ１０６は、リンクのＵＲＬまたはＩＰアドレス、および、任意の対応付けられているリダイレクトを利用して、リンクに対応付けられている評価情報、および、任意の対応付けられているリダイレクトを評価データベース１１０から読み出して、リンクの評価を決定するとしてよい。一実施形態によると、リンクの評価は、最低評価スコアを持つリダイレクトに基づいて決まるとしてよい。別の実施形態によると、リンクの評価は、リンクの評価スコアの平均値および対応付けられているリダイレクトに基づいて決まるとしてよい。別の実施形態によると、リンクの評価は、最終デスティネーション（例えば、最終リダイレクト）の評価情報に基づいて決まるとしてよい。評価サーバ１０６は、リンクに対応付けられている評価と、保護ポリシーとを比較することによって、リンクのポリシー共通点を算出するとしてよい。ポリシー共通点がリンクは悪意ある行為に対応付けられている旨を示す場合、クライアント１０２は、クライアント１０２のユーザに対して、リンクが悪意ある行為に対応付けられている旨を示す情報を表示する安全なページにリダイレクトされる。リンクの評価情報がリンクは悪意ある行為に対応付けられていない旨を示す場合、クライアント１０２は、リンクに対応付けられているサイトへと誘導されて、要求されたデータをユーザに表示する。

一実施形態によると、データベース１１０は、リンクの評価情報、および／または、対応付けられているリダイレクトを含まないとしてよい。この場合、リンクの評価情報、および／または、対応付けられているリダイレクトは、評価サーバ１０６によって決定され、データベース１１０に格納されるとしてよい。別の実施形態によると、リンクに対応付けられている評価情報は、対応付けられているリダイレクトのうち１以上に対応付けられている評価情報に一致しない場合がある。この場合、データベース１１０に格納されているリンクの評価情報を更新して、リダイレクトのうち１以上に対応付けられている評価情報に一致させるとしてよい。一実施形態によると、リンクの評価情報は、最低評価スコアを持つリダイレクトに基づいて更新されるとしてよい。別の実施形態によると、リンクの評価は、リンクの評価スコアの平均値、および、対応付けられているリダイレクトに基づいて更新されるとしてよい。他の実施形態によると、リンクの評価は、最終デスティネーション（例えば、最終リダイレクト）の評価情報に基づいて更新されるとしてよい。

図２は、本開示の教示内容に応じて、リンクの評価を決定することによって、未知の悪意ある行為から保護するセキュリティアプリケーションを含むシステムを示すブロック図である。具体的には、システム２００は、クライアント１０２ｃ、評価サーバ１０６、評価データベース１１０およびパートナーデータベース１１２を備えるとしてよい。

クライアント１０２ｃは、メモリ２０４に機能的に結合されているプロセッサ２０２を含むとしてよい。特定の実施形態によると、プロセッサ２０２は、例えば、マイクロプロセッサ、マイクロコントローラ、デジタルシグナルプロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、または、プログラム命令を解釈および／または実行して、および／または、データを処理する任意のその他のデジタル回路またはアナログ回路であってよい。一部の実施形態によると、プロセッサ２０２は、メモリ２０４に格納されているプログラム命令を解釈および／または実行して、および／または、データを処理するとしてよい。メモリ２０４は、１以上のメモリモジュールを格納する任意のシステム、デバイス、または、装置を含むとしてよい。各メモリモジュールは、プログラム命令および／またはデータを所定の期間にわたって保持する任意のシステム、デバイスまたは装置（例えば、コンピュータ可読媒体）を含むとしてよい。本開示では、コンピュータ可読媒体は、データおよび／または命令を所定の期間にわたって保持する任意の手段、または、任意の手段の集合を含むとしてよい。コンピュータ可読媒体は、これらに限定されないが、ダイレクトアクセスストレージデバイス（例えば、ハードディスクドライブまたはフロッピー（登録商標）ディスク）、シーケンシャルアクセスストレージデバイス（たとえば、テープディスクドライブ）、コンパクトディスク、ＣＤ−ＲＯＭ、ＤＶＤ、ランダムアクセスメモリ（ＲＡＭ）、リードオンリーメモリ（ＲＯＭ）、電気的消去可能プログラム可能リードオンリーメモリ（ＥＥＰＲＯＭ）、および／または、フラッシュメモリ等の格納媒体、ならびに、ワイヤ、光ファイバ、および、その他の電磁搬送波および／または光搬送波、および／または、これらの任意の組み合わせ等の通信媒体を含むとしてよい。

クライアント１０２ｃはさらに、メモリ２０４に格納されている間にプロセッサ２０２によって実行される、セキュリティアプリケーション１１４およびアプリケーション２０８を含むとしてよい。セキュリティアプリケーション１１４は、クライアント１０２ｃでユーザがリンクをクリックすると、アプリケーション２０８からアクセス可能な当該リンクに対応付けられている情報を記録して、評価サーバ１０６と通信して、クライアント１０２ｃが悪意ある行為に対応付けられているリンクにアクセスしないようにするアプリケーションであってよい。アプリケーション２０８は、プロセス、実行可能ファイル、共有ライブラリ、ドライバ、デバイスドライバ、ランタイムエンジン、オペレーティングシステム、オブジェクトコード、または、クライアント１０２ｃによって実行される任意のその他のバイナリ命令であってよい。特定の実施形態によると、アプリケーション２０８は、これに限定されないが、ブラウザアプリケーション、電子メールアプリケーション、ワードプロセッシングアプリケーション、スプレッドシートアプリケーション、プレゼンテーションアプリケーション、ポータブルドキュメントフォーマット（ＰＤＦ）をサポートするアプリケーション、または、任意のその他の適切なデスクトップアプリケーションを含むとしてよい。

図示した実施形態によると、保護ポリシーデータベース２１０は、プロセッサ２０２によってクライアント１０２ｃ上で実行されるモジュールであってよい。保護ポリシーデータベース２１０は、メモリ２０４およびセキュリティアプリケーション１１４に機能的に結合されているとしてよい。別の実施形態によると、保護ポリシーデータベース２１０は、セキュリティアプリケーション１１４のサブモジュールであってよい。別の実施形態によると、セキュリティアプリケーション１１４または保護ポリシーデータベース２１０のうち一方または両方は、クライアント１０２ｃから離れており、ネットワーク１０８等のネットワークを介してアクセス可能なクラウドコンピューティングサーバ内のデバイス上に設けられているとしてよい。別の実施形態によると、セキュリティアプリケーション１１４または保護ポリシーデータベース２１０のうち一方または両方は、評価サーバ１０６上に設けられるとしてよく、評価サーバ１０６によって実行されるとしてよい。

保護ポリシーデータベース２１０は、クライアント１０２ｃがリンクに誘導されないようにすべきタイミングを決定するためのルールに関するセキュリティアプリケーション１１４に情報を適切に提供するのに適切な方法で実現されるとしてよい。一実施形態によると、保護ポリシーデータベース２１０は、データベースであってよい。別の実施形態によると、保護ポリシーデータベース２１０は、データストレージを持つ機能ライブラリであってよい。別の実施形態によると、保護ポリシーデータベース２１０は、ルックアップテーブルであってよい。より詳細に後述するが、セキュリティアプリケーション１１４は、アプリケーションの動作を監視するとしてよい。例えば、ユーザがアプリケーション２０８内のリンクをクリックしてサイト上のデータにアクセスする場合、当該リンクに対応付けられている評価情報と、保護ポリシーデータベース２１０に含まれている保護ポリシーのルールとを比較して、評価および保護ポリシーが、当該リンクが悪意ある行為に対応付けられている旨を示す場合には、クライアント１０２ｃが当該リンクに誘導されないようにする。

評価サーバ１０６は、プログラム命令を解釈および／または実行して、および／または、データを処理するとしてよい。評価サーバ１０６は、プロセッサ２１４、メモリ２１６、および、リンク保護サーバ２１８を有するとしてよい。特定の実施形態によると、プロセッサ２１４は、例えば、マイクロプロセッサ、マイクロコントローラ、デジタルシグナルプロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、または、プログラム命令を解釈および／または実行して、および／または、データを処理する任意のその他のデジタル回路またはアナログ回路であってよい。一部の実施形態によると、プロセッサ２１４は、メモリ２１６に格納されているプログラム命令を解釈および／または実行するとしてよく、および／または、データを処理するとしてよい。メモリ２１６は、１以上のメモリモジュールを格納する任意のシステム、デバイスまたは装置を含むとしてよい。各メモリモジュールは、プログラム命令および／またはデータを所定の期間にわたって保持する任意のシステム、デバイスまたは装置（例えば、コンピュータ可読媒体）を含むとしてよい。評価サーバ１０６は、評価サーバ１０６がネットワーク１０８等のネットワークを介してクライアント１０２ｃに通信可能に結合されるように、任意の適切なネットワーク位置に設けられるとしてよい。

リンク保護サーバ２１８は、プロセッサ２１４によって実行されるとしてよく、メモリ２１６に格納されるとしてよい。リンク保護サーバ２１８は、クライアント１０２に含まれるセキュリティアプリケーション１１４に通信可能に結合されるとしてよい。一実施形態によると、リンク保護サーバ２１８およびセキュリティアプリケーション１１４は、インターネット・プロトコル・スイートを利用して通信を行うとしてよい。リンク保護サーバ２１８は、ネットワーク１０８等のネットワークを介してセキュリティアプリケーション１１４に通信可能に結合されているとしてよい。リンク保護サーバ２１８は、リンクに対応付けられている評価情報について評価データベース１１０に対してクエリを行い、パートナーポリシー情報についてパートナーデータベース１１２に対してクエリを行い、リンクの評価を決定して、リンクの評価をクライアント１０２ｃ上のセキュリティアプリケーション１１４に通信するとしてよい。

別の実施形態によると、セキュリティアプリケーション１１４は、評価サーバ１０６に含まれており、リンク保護サーバ２１８はセキュリティアプリケーション１１４に機能的に結合されるとしてよい。本実施形態によると、図１に示すクライアント１０２ａおよび１０２ｂ等のクライアントは、セキュリティアプリケーション１１４がクライアントにインストールされていない場合であっても、未知の悪意ある行為から保護されるとしてよい。例えば、クライアント１０２ａまたは１０２ｂのうち一方でユーザがパートナーサーバ１０４がホストするパートナーサイト内のリンクをクリックすると、パートナーサーバ１０４上の評価サーバスクリプト１１６は、リンクを評価サーバ１０６に対して指し示す。セキュリティアプリケーション１１４は評価サーバ１０６上に含まれるので、セキュリティアプリケーション１１４は、リンクおよび対応付けられているリダイレクトを記録して、リンク保護サーバ２１８と協働して、リンクが悪意ある行為に対応付けられているか否かを判断するとしてよい。

評価データベース１１０および／またはパートナーデータベース１１２は、評価サーバ１０６に設けられているとしてよく、または、別のデバイスに配置されているとしてよい。評価データベース１１０および／またはパートナーデータベース１１２は、リンクに関する情報を格納し、そして、当該情報にアクセスする上で適切な方法で実現されるとしてよい。一実施形態によると、評価データベース１１０および／またはパートナーデータベース１１２は、データベースであってよい。別の実施形態によると、評価データベース１１０および／またはパートナーデータベース１１２は、データストレージを持つ機能ライブラリであるとしてよい。他の実施形態によると、評価データベース１１０および／またはパートナーデータベース１１２は、ルックアップテーブルであってよい。評価データベース１１０および／またはパートナーデータベース１１２は、別々であるとしてもよいし、または、より少数のデータベースに統合されるとしてもよい。評価データベース１１０および／またはパートナーデータベース１１２は、互いに通信可能に結合されるとしてよく、または、ネットワーク１０８等のネットワークを介して評価サーバ１０６に通信可能に結合されるとしてもよい。評価データベース１１０および／またはパートナーデータベース１１２は、評価サーバ１０６からデータベースクエリを利用してアクセス可能であるとしてよい。

動作について説明すると、ユーザはクライアント１０２ｃで、アプリケーション２０８に含まれるリンク２１２ａをクリックして、ネットワーク１０８を介してサイトのデータにアクセスするとしてよい。セキュリティアプリケーション１１４は、リンク２１２ａが１以上のリダイレクトを含むか否かを判断するとしてよい。例えば、リンク２１２ａは、リンク２１２ｂおよびリンク２１２ｃ（例えば、中間デスティネーション）にリダイレクトされ、最終的にリンク２１２ｎ（例えば、最終デスティネーション）にリダイレクトされるとしてよい。この場合、セキュリティアプリケーション１１４は、リンク２１２ａ、２１２ｂ、２１２ｃ、および、２１２ｎのそれぞれに対応付けられている情報を記録するとしてよい。リンク２１２のそれぞれについて記録された情報は、対応付けられているドメイン名またはＵＲＬおよび／またはＩＰアドレスを含むとしてよい。セキュリティアプリケーション１１４はさらに、保護ポリシーデータベース２１０にアクセスして、クライアント１０２ｃがリンクに誘導されないように制御すべきタイミングに関するルールを含む保護ポリシーを読み出すとしてよい。セキュリティアプリケーション１１４はこの後、リンク２１２ａ、２１２ｂ、２１２ｃおよび２１２ｎのそれぞれに対応付けられている情報、および、保護ポリシーを、評価サーバ１０６上のリンク保護サーバ２１８に送信するとしてよい。別の実施形態によると、セキュリティアプリケーション１１４は、リンク２１２ａ、２１２ｂ、２１２ｃおよび２１２ｎのそれぞれに対応付けられている情報のみをリンク保護サーバ２１８に送信するとしてよい。

リンク保護サーバ２１８は、リンク２１２ａ、２１２ｂ、２１２ｃおよび２１２ｎのそれぞれに対応付けられている情報を利用して、評価データベース１１０に対してクエリを行って、リンク２１２ａ、２１２ｂ、２１２ｃおよび２１２ｎのそれぞれに対応付けられている評価を読み出して、リンク２１２ａの評価を決定するとしてよい。リンク２１２ａに対応付けられている評価がリンク２１２ｂ、２１２ｃおよび２１２ｎに対応付けられている評価に一致している場合、リンク保護サーバ２１８は、リンク２１２ａに対応付けられている評価を読み出す。リンク２１２ａに対応付けられている評価がリンク２１２ｂ、２１２ｃおよび２１２ｎに対応付けられている評価に一致しない場合、リンク保護サーバ２１８は、リンク２１２ｂ、２１２ｃおよび２１２ｎに対応付けられている評価のうち１以上に基づいて、リンク２１２に対応付けられている評価を決定するとしてよい。一実施形態によると、リンク２１２ａに対応付けられている評価は、リンク２１２ｂ、２１２ｃおよび２１２ｎのうち評価スコアが最も低い１つのリンクに基づいて決まるとしてよい。別の実施形態によると、リンク２１２ａに対応付けられている評価は、リンク２１２ｂ、２１２ｃおよび２１２ｎに対応付けられている評価スコアの平均に基づいて決まるとしてよい。別の実施形態によると、リンク２１２ａに対応付けられている評価は、リンク２１２ａの最終デスティネーションであるリンク２１２ｎに対応付けられている評価情報に基づいて決まるとしてよい。これらの実施形態のいずれにおいても、リンク保護サーバ２１８は、リンク２１２ａに対応付けられている評価情報を、リンク２１２ｂ、２１２ｃおよび２１２ｎのうち１以上に基づいた適切な評価情報で更新するとしてよい。

リンク保護サーバ２１８がリンク２１２ａの評価を決定すると、リンク保護サーバ２１８は、評価および保護ポリシーに基づいて、リンク２１２ａのポリシー共通点を算出するとしてよい。一部の実施形態によると、リンク保護サーバ２１８は、クライアント１０２から保護ポリシーを受信しないとしてよく、評価に基づいてリンク２１２ａのポリシー共通点を決定するとしてもよい。評価サーバ１０６はこの後、リンク２１２ａのポリシー共通点をクライアント１０２ｃに送信するとしてよい。クライアント１０２ｃが保護ポリシーを評価サーバ１０６に送信しない場合、クライアントは、評価サーバ１０６から受信したリンク２１２ａに対応付けられている評価および保護ポリシーデータベース２１０からの保護ポリシーを用いて、リンク２１２ａに対応付けられているポリシー共通点を算出するとしてよい。ポリシー共通点がリンク２１２ａは悪意ある行為に対応付けられている旨を示す場合、クライアント１０２ｃは、ユーザに対してリンク２１２ａは悪意ある行為に対応付けられている旨を示す安全なページに誘導されるとしてよい。ポリシー共通点がリンク２１２ａは悪意ある行為に対応付けられていない旨を示す場合、クライアント１０２は、リンク２１２ｎに誘導されて要求されたデータをユーザに表示する。

図３は、本開示の教示内容に応じて、複数のリンクについての評価情報を含む評価データベースを示す図である。評価データベース１１０は、リンクおよび該リンクが含むコンテンツの種類と、評価とを対応付ける情報を含むとしてよい。評価データベース１１０は、さまざまなリンクを表すエントリ３０８−３２６のコンテンツのカテゴリまたは分類を含むとしてよい。例えば、評価データベース１１０の各エントリは、ドメイン名フィールド３０２、格付けフィールド３０３、評価スコアフィールド３０４、および／または、１以上のコンテンツ種類フィールド３０６を有するとしてよい。尚、評価データベース１１０で利用されるドメイン名、ＵＲＬ、アドレス、分類およびカテゴリは、説明のために記載されているに過ぎない。

ドメイン名フィールド３０２は、「ｍｙ＿ｂａｎｋ．ｃｏｍ」３０８、「２５５．２５５．１０３．＊」３２０等、全てのサブドメインに一致するワイルドカードを持つ、または、持たないＩＰアドレス、「ｍｙ＿ｓｔｏｒｅ．ｃｏｍ／ｃｈｅｃｋｏｕｔ．ｈｔｍｌ」３１０等の特定のＵＲＬアドレスを持つドメイン、「ｕｓ．ｓｏｃｉａｌ＿ｎｅｔｗｏｒｋ．ｃｏｍ」３１６等の特定のサブドメインを持つドメイン、または、これらの組み合わせ、例えば、「２３１．２１０．９３．２０１／ａａａ．ｈｔｍｌ」３２２等のドメイン名を含むとしてよい。格付けフィールドは、ドメイン名フィールド３０２で指定されるドメインが安全か危険かを示す指標を含むとしてよい。例えば、「ｍｙ＿ｂａｎｋ．ｃｏｍ」３０８は、「良」という格付けを持つ。これは、このドメインは見ても安全である旨を意味するとしてよい。一方、「ｂｏｇｕｓ＿ｓｅａｒｃｈ．ｃｏｍ」３１８は「不良」という格付けを持つ。これは、当該ドメインが安全でなく、悪意ある行為に対応付けられている旨を意味するとしてよい。また、「ｎｅｗ＿ｄｏｍａｉｎ．ｃｏｍ」３１２は、「未知」という格付けを持つとしてよい。これは、当該ドメインの格付けが完了していない旨を意味する。

評価スコアフィールド３０４は、ドメイン名フィールド３０２で示したドメインの評価スコアを含むとしてよい。評価スコアは、望ましくない挙動または悪意ある挙動が見られないか否かに関する、ドメインの健全性の定量的な格付けを示すとしてよい。評価スコアは、望ましくない挙動または悪意ある挙動が無いか否かに関して、ドメインの健全性を判断する任意の条件を満たす手段によって算出されて維持されるとしてよい。多くの要因に基づいて、評価スコアを決定するとしてよい。例えば、ドメインがスパムメッセージのソースであるか否か、ドメインがスパムメッセージに含まれているリンクのデスティネーションであるか否か、ドメインがマルウェアを含む電子メッセージに含まれているリンクのデスティネーションであるか否か、ドメインがマルウェアをホストする他のドメインまたはサーバにリンクされているか否か、ドメインとの間でやり取りされる電子メッセージまたはトラフィックの頻度および量、ドメインとの間でやり取りされる電子メッセージまたはトラフィックのデスティネーションまたはソース、ドメインと同じサーバまたはネットワーク上でホストされている他のドメインの評価、ドメインのコンテンツにマルウェアが含まれていないか否か、ドメインのホストであるサイトが公知の従来の挙動とは異なるか否か、または、ドメインがブラックリスト（悪意あるサイトを列挙）またはホワイトリスト（安全なサイトを列挙）に挙げられているか否かに基づいて決定するとしてよい。評価スコアフィールド３０４のエントリは、新しい情報を用いて評価データベース１１０をポピュレートすると、変化する場合がある。一実施形態によると、評価スコアフィールド３０４の値は、０から１００の範囲内であるとしてよく、０は信用度が最も低いことを意味し、１００は、ドメインの信用度が最も高いことを示す。一実施形態によると、評価がまだされていない新しいエントリ、例えば、「ｎｅｗ＿ｄｏｍａｉｎ．ｃｏｍ」３１２というエントリが評価データベース１１３に入れられると、評価スコアとして０が割り当てられるとしてよい。

分類フィールド３０６は、ドメインのコンテンツを特定する指標を含む１以上のフィールドを含むとしてよい。分類フィールド３０６は、ドメインのコンテンツを概略的または具体的に示すとしてよい。例えば、評価データベース１１０において、「ｍａｌｗａｒｅ＿ｉｎｆｅｓｔｅｄ．ｃｏｍ」３１４は、「マルウェア−フィッシング詐欺攻撃」および「マルウェア−ルートキット」と分類されている。これは、当該サイトがフィッシング詐欺攻撃のコンテンツおよびルートキットのコンテンツを含むものとして知られていることを意味する。分類フィールド３０６はさらに、ドメインの中立的なコンテンツの種類を指定するとしてよい。例えば、「ｍｙ＿ｂａｎｋ．ｃｏｍ」３０８は、「金融」に分類され、「ｕｓ．ｓｏｃｉａｌ＿ｎｅｔｗｏｒｋ．ｃｏｍ」３１６は「ソーシャルネットワーク」と分類される。分類フィールド３０６のさまざまな値は、マルウェアについての任意の利用可能なカテゴリまたは種類を意味するべく設けられるとしてよい。

ユーザがクライアント１０２で、図２に示すリンク２１２ａ等のリンクをクリックすると、リンク保護サーバ２１８は、例えば、リンク２１２ａのＵＲＬ（「ｗｗｗ．ｅｘａｍｐｌｅ１．ｃｏｍ」）を用いて、リンク２１２ａに関して評価データベース１１０に対してクエリを行うとしてよい。図３に示すように、リンク２１２ａは、評価データベース１１０のエントリ３２４に対応付けられているとしてよい。図２に示すように、リンク２１２ａは、最終デスティネーションにリンク２１２ｎで到達するまで、リンク２１２ｂおよび２１２ｃでリダイレクトされている。リンク保護サーバ２１８はさらに、リンク２１２ｂ、２１２ｃおよび２１２ｎについて、各リンクに対応付けられているＵＲＬを用いて、評価データベース１１０に対してクエリを行うとしてよい。リンク２１２ｎは、図３に示されている評価データベース１１０内のエントリ３２６に対応付けられているとしてよい。図３では、リンク２１２ｎがトロイの木馬ウイルスに対応付けられている旨が示されている。リンク保護サーバ２１８は、リンク２１２ｎの評価と、リンク２１２ａの評価とを対応付けて、リンク２１２ａの最後のデスティネーション２１２ｎのコンテンツがトロイの木馬ウイルスであるので、リンク２１２ａが悪意ある行為に対応付けられている旨を示すとしてよい。リンク評価サーバ２１８はこの後、エントリ３２４（例えば、リンク２１２ａ）に対応付けられている評価を更新して、格付けフィールド３０３、評価スコアフィールド３０４、および、分類フィールド３０６の値を、エントリ３２６（例えば、リンク２１２ｎ）の値で置き換えるとしてよい。

図４は、本開示の教示内容に応じて、セキュリティアプリケーションがクライアントにインストールされている場合、未知の悪意ある行為から保護する方法を説明するためのフローチャートである。一般的に、ユーザは図１のクライアント１０２ｃで、リンクをクリックしてネットワーク１０８を介してサイトのデータにアクセスするとしてよい。クライアント１０２ｃ上のセキュリティアプリケーション１１４は、リンクに対応付けられているリダイレクトがあるか否かを判断するとしてよい。セキュリティアプリケーション１１４は、リンクおよび対応付けられているリダイレクトに対応付けられている情報を記録して、この情報を評価サーバ１０６に送信するとしてよい。評価サーバ１０６は、リンクおよびリダイレクトに対応付けられている情報を用いて、リンクが悪意ある行為に対応付けられているか否かを示す、リンクのポリシー共通点を決定するとしてよい。評価サーバ１０６はこの後、ポリシー共通点をクライアント１０２ｃに送信して、クライアント１０２ｃはリンクに誘導されても安全か否か、または、リンクが悪意ある行為に対応付けられておりサイトへのアクセスをブロックすべきか否かを判断するとしてよい。

方法４００は、ユーザが図１のクライアント１０２ｃでリンクをクリックしてネットワーク１０８を介して利用可能なサイトのデータにアクセスすると、ステップ４０２で開始される。ステップ４０４において、クライアント１０２ｃは、当該リンクがパートナーサイト上にあるか否かを判断する。一実施形態によると、パートナーサイトは、スクリプト（例えば、図１のパートナーサーバ１０４上のサーバ評価スクリプト１１６）またはパートナーサイト上のアウトバウンドリンクを評価サーバ１０６に対応付けられているアドレスに指し示す他の命令を含む任意のサイトであってよい。リンクがパートナーサイト上にあれば、クライアント１０２ｃは、ステップ４０６において、セキュリティアプリケーション１１４がクライアント１０２ｃ上にはインストールされている旨を示す識別情報を評価サーバ１０６に送信する。クライアント１０２ｃはこの後、ステップ４０８において、保護ポリシー、リンクおよびパートナー名を格納する。クライアント１０２ｃは、ステップ４１０において、評価サーバ１０６に誘導され、評価サーバ１０６は、ステップ４１２において、パートナーデータベース１１２に対してクエリを行って、パートナーサイトのパートナーポリシーを読み出す。一実施形態によると、パートナーポリシーは、リンク、および、パートナーサイト上ではアクセスが禁止されている対応付けられているコンテンツを含むとしてよい。評価サーバ１０６はこの後、ステップ４１４において、パートナーサイトのパートナーポリシーが、リンクが未承認リンクである旨を示すか否かを判断するとしてよい。パートナーポリシーがリンクは未承認リンクである旨を示す場合、クライアント１０２ｃは、ステップ４１６において、ユーザがクリックしたリンクが未承認コンテンツを含むのでパートナーサイトからアクセスできない旨を示すページに誘導される。ステップ４１４において、パートナーポリシーがリンクは承認リンクである旨を示す場合、当該方法はステップ４２０に進む。

ステップ４０４において、リンクがパートナーサイト上に含まれていない場合、クライアント１０２は、ステップ４１８において、当該リンクを処理する。リンクの処理は、ドメイン名、リンクのＵＲＬまたはアドレス等の情報を収集すること、および、サイトをクライアント１０２ｃにおいてユーザに表示することなく、最後のデスティネーションまでリンクを追跡することを含むとしてよい。ステップ４２０において、クライアント１０２ｃは、リンクがリダイレクトされて最後のデスティネーションに到達したか否かを判断する。クライアント１０２ｃは、リンクがリダイレクトされたことを検出すると、ステップ４２２において、リンクと最後のデスティネーションとの間の各リダイレクトを記録する。クライアント１０２ｃは、各リダイレクトに対応付けられているドメイン名またはＵＲＬおよび／またはアドレス、例えば、ＩＰアドレスを記録するとしてよい。クライアント１０２がリダイレクトを検出しない場合、当該方法はステップ４２４に移動する。

ステップ４２４において、クライアント１０２ｃは、リンクおよびリダイレクトに対応付けられている情報を評価サーバ１０６に送信する。一実施形態において、リンクおよびリダイレクトに対応付けられている情報は、ドメイン名、ＵＲＬまたはアドレス等の識別情報であってよい。別の実施形態において、この情報は、リンクおよび対応付けられているリダイレクトの識別情報、および、クライアント１０２ｃの保護ポリシー（例えば、図２の保護ポリシーデータベース２１０から取得される保護ポリシー）を含むとしてよい。保護ポリシーは、リンクが悪意ある行為に対応付けられているので、クライアント１０２ｃがリンクに誘導されないようにブロックされるべきタイミングを示すルールを含むとしてよい。ステップ４２６において、評価サーバ１０６は、クライアント１０２ｃから受信した、リンクおよび対応付けられているリダイレクトに対応付けられている情報に基づいて、リンクのポリシー共通点を決定するとしてよい。リンクのポリシー共通点を決定する処理の詳細な内容は、図６を参照しつつ後述する。評価サーバ１０６がリンクのポリシー共通点を決定すると、評価サーバ１０６は、ステップ４２８において、リンクのポリシー共通点を含む通知をクライアント１０２ｃに送信する。

ステップ４３０において、クライアント１０２は、ポリシー共通点を含む通知が、リンクが悪意ある行為に対応付けられている旨を示すか否かを判断する。リンクが悪意ある行為に対応付けられていない場合、クライアント１０２ｃは、ステップ４３２において、サイトのデータをユーザに表示するべくリンクの最後のネットワークデスティネーションに誘導される。リンクが悪意ある行為に対応付けられている場合、クライアント１０２ｃは、ステップ４３４において、リンクが悪意ある行為に対応付けられている旨を示す安全なページに誘導される。

方法４００は、図１から図３のシステム、または、方法４００を実行する任意のその他のシステムを用いて実行されるとしてよい。このため、方法４００の好ましい初期化ポイントおよび方法４００を構成するステップの順序は、選択された実施例に応じて決まるとしてよい。一部の実施形態によると、一部のステップは、任意で省略したり、繰り返したり、組み合わせたりするとしてもよい。一部の実施形態によると、方法４００の複数の部分を組み合わせるとしてよい。特定の実施形態によると、方法４００は、コンピュータ可読媒体で具現化されるソフトウェアで部分的に、または、全て実施されるとしてよい。

図５は、本開示の教示内容に応じて、セキュリティアプリケーションがクライアントにインストールされていない場合、未知の悪意ある行為から保護する方法を説明するためのフローチャートである。通常、ユーザは、例えば、図１のクライアント１０２ａで、ネットワーク１０８を介して別のサイトのデータにアクセスするべく、パートナーサイト上でリンクをクリックするとしてよい。図１に示すように、セキュリティアプリケーション１１４は、クライアント１０２ａにはインストールされていない。パートナーサーバ１０４上の評価サーバスクリプト１１６は、クライアント１０２ａが評価サーバ１０６にセキュリティアプリケーション１１４がクライアント１０２ａにインストールされている旨の通知を送信していないので、評価サーバ１０６に誘導されるとしてよい。評価サーバ１０６上のセキュリティアプリケーションは、リンクおよびリダイレクトに対応付けられている情報を記録するとしてよい。評価サーバ１０６は、リンクおよびリダイレクトに対応付けられている情報に基づいて、リンクが悪意ある行為に対応付けられているか否かを示すポリシー共通点をリンクについて決定するとしてよい。評価サーバ１０６は、ポリシー共通点に基づいて、リンクに誘導するのが安全か否か、または、リンクが悪意ある行為に対応付けられており、サイトへのアクセスをブロックすべきか否かを判断するとしてよい。

方法５００は、ユーザが図１のクライアント１０２ａにおいて、ネットワーク１０８を介して利用可能な別のサイトのデータにアクセスするべくパートナーサイトのリンクをクリックすると、ステップ５０２において開始される。セキュリティアプリケーション１１４がクライアント１０２ａにはインストールされていないので、クライアント１０２ａは、ステップ５０４において、評価サーバ１０６に誘導される。この誘導を実行するべく、スクリプト（例えば、図１のパートナーサーバ１０４上のサーバ評価スクリプト１１６）または他の命令をパートナーサイトに含めて、パートナーサイト上の全てのアウトバウンドリンクが評価サーバ１０６に対応付けられているアドレスを指し示すようにするとしてよい。評価サーバ１０６への誘導は、ユーザには分からないが、評価サーバ１０６は、リンクが悪意ある行為に対応付けられているか否かを判断するべく、リンクに対応付けられている適切な情報を収集できるとしてよい。

ステップ５０６において、評価サーバ１０６は、パートナーデータベースにクエリを行って、パートナーサイトに対応付けられているパートナーポリシーを読み出すとしてよい。一実施形態によると、パートナーは、パートナーサイトに対応付けられているドメイン名および／またはアドレスによって特定されるとしてよい。評価サーバ１０６はこの後、ステップ５０８において、パートナーサイトのパートナーポリシーがリンクは未承認リンクである旨を示すか否かを判断するとしてよい。パートナーポリシーがリンクは未承認リンクである旨を示す場合、クライアント１０２ａは、ステップ５１０において、ユーザがクリックしたリンクは未承認コンテンツを含むのでパートナーサイトからアクセスできない旨を示すページにリダイレクトされる。ステップ５０８においてパートナーポリシーがリンクは承認リンクである旨を示す場合、評価サーバ１０６は、ステップ５１２においてリンクを処理する。リンクの処理は、リンクのドメイン名、ＵＲＬまたはアドレス等の情報を収集することと、サイトをユーザに対してクライアント１０２ａで表示することなく最後のデスティネーションまでリンクを追跡することとを含むとしてよい。

ステップ５１４において、評価サーバ１０６は、リンクがリダイレクトされて最後のデスティネーションに到達するか否かを判断する。評価サーバ１０６がリンクはリダイレクトされた旨を検出すると、評価サーバ１０６は、ステップ５１６において、リンクと最後のデスティネーションとの間の各リダイレクトを記録する。評価サーバ１０６は、各リダイレクトに対応付けられているドメイン名またはＵＲＬおよび／またはアドレス、例えば、ＩＰアドレスを記録するとしてよい。評価サーバ１０６がリダイレクトを検出しない場合、当該方法はステップ５１８に移動する。

ステップ５１８において、評価サーバ１０６は、リンクおよび対応付けられているリダイレクトに対応付けられている情報に基づいて、リンクのポリシー共通点を決定するとしてよい。一実施形態によると、リンクおよびリダイレクトに対応付けられている情報は、ドメイン名、ＵＲＬまたはアドレス等の識別情報であってよい。別の実施形態によると、情報は、リンクおよび対応付けられているリダイレクトの識別情報および保護ポリシーを含むとしてよい。保護ポリシーは、リンクが悪意ある行為に対応付けられているのでクライアント１０２ａがリンクに誘導されないようにすべきタイミングを示すルールを含むとしてよい。リンクのポリシー共通点を決定する処理の詳細な内容は、図６を参照しつつ後述する。

ステップ５２０において、評価サーバ１０６は、リンクが悪意ある行為に対応付けられている旨をポリシー共通点が示すか否かを判断する。リンクが悪意ある行為に対応付けられていない場合、評価サーバ１０６は、ステップ５２２において、サイトのデータをユーザに対してクライアント１０２ａで表示するべくリンクの最後のネットワークデスティネーションに誘導される。リンクが悪意ある行為に対応付けられている場合、評価サーバ１０６は、ステップ５２４において、リンクが悪意ある行為に対応付けられている旨を示す安全なページに誘導する。

方法５００は、図１から図３に図示したシステム、または、方法５００を実行可能な任意のその他のシステムを用いて実現されるとしてよい。このため、方法５００の好ましい初期化ポイントおよび方法５００を構成するステップの順序は、選択された実行例に応じて決まるとしてよい。一部の実施形態によると、一部のステップは、任意で省略されたり、繰り返されたり、または、組み合わせられたりするとしてよい。一部の実施形態によると、方法５００の複数の部分を組み合わせるとしてもよい。特定の実施形態によると、方法５００は、一部分または全体を、コンピュータ可読媒体で具現化されるソフトウェアで実現されるとしてもよい。

図６は、本開示の教示内容に応じて、リンクの評価を決定する方法を説明するためのフローチャートである。一般的に、図１の評価サーバ１０６は、リンクに関する情報を、クライアントから直接的に（図４のステップ４２４を参照のこと）、または、パートナーサーバ１０４を介してクライアントから間接的に（図５のステップ５１６を参照のこと）受信する。評価サーバ１０６は、リンクおよび対応付けられているリダイレクトに関する識別情報を取り出して、リンクおよび対応付けられているリダイレクトについて評価情報を評価データベース１１０から読み出す。評価サーバ１０６は、対応付けられているリダイレクトの評価のうち１以上に基づいてリンクの評価を決定した後、決定した評価に基づいてリンクのポリシー共通点を算出する。リンクの評価情報とリダイレクトのうちいずれか１つの評価情報とが一致しない場合、評価サーバ１０６は、評価データベース１１０のリンクの評価情報を更新する。

方法６００は、方法４００のステップ４２６および方法５００のステップ５１８で行われるが、ポリシー共通点を決定するために用いられるとしてよい。ステップ６０２において、評価サーバ１０６は、リンクおよびリダイレクトに対応付けられている情報を取り出す。一実施形態によると、リンクおよびリダイレクトに対応付けられている情報は、ドメイン名、ＵＲＬまたはアドレス等の識別情報であってよい。別の実施形態によると、情報は、リンクおよび対応付けられているリダイレクトの識別情報およびパートナーサイトの保護ポリシーを含むとしてよい。ステップ６０４において、評価サーバ１０６は、リンクおよび対応付けられているリダイレクトがホワイトリストにあってサイトのコンテンツが悪意ある行為に対応付けられていないことを示しているか否かを判断する。リンクおよび対応付けられているリダイレクトがホワイトリストにあれば、評価サーバ１０６は、リンクの評価を決定することなく、リンクへの誘導をクライアント１０２に許可する。セキュリティアプリケーションが図１のクライアント１０２ｃ等のクライアントにインストールされている場合、評価サーバ１０６は、リンクがホワイトリストにある旨を示す通知をクライアント１０２に送信するとしてよい。セキュリティアプリケーションが図１のクライアント１０２ａおよび１０２ｂ等のクライアントにインストールされていない場合、評価サーバ１０６は、リンクに誘導されて、サイトからのデータがクライアント１０２ａおよび１０２ｂ上に表示されるようにするとしてよい。

リンクおよび対応付けられているリダイレクトのうち１以上がホワイトリストにない場合、評価サーバ１０６は、ステップ６０８において、評価データベース１１０に対してクエリを行って、リンクおよび対応付けられているリダイレクトの評価を読み出すとしてよい。評価サーバ１０６はこの後、対応付けられているリダイレクトの評価のうち１以上に基づいて、ステップ６１０においてリンクの評価を決定するとしてよい。一実施形態によると、リンクの評価は、評価スコアが最も低いリダイレクトに基づいて決まるとしてよい。別の実施形態によると、リンクの評価は、リンクおよび対応付けられているリダイレクトの評価スコアの平均に基づいて決まるとしてよい。他の実施形態によると、リンクの評価は、最後のデスティネーション（例えば、最後のリダイレクト）についての評価情報に基づいて決まるとしてよい。

ステップ６１２において、評価サーバ１０６は、決定した評価および保護ポリシーに基づいて、リンクのポリシー共通点を算出するとしてよい。保護ポリシーは、クライアント１０２がリンクに誘導されないようにブロックされるタイミングを決定するためのルールを含むとしてよい。セキュリティアプリケーションがクライアント、例えば、図１のクライアント１０２ｃにインストールされている場合、評価サーバ１０６は、クライアント１０２ｃから保護ポリシーを受信するとしてよい。保護アプリケーションが、クライアント、例えば、図１のクライアント１０２ａおよび１０２ｂ等にインストールされていない場合、評価サーバ１０６は、評価サーバ１０６と一体的または別箇に形成されている保護ポリシーデータベースから保護ポリシーを読み出すとしてよい。

評価サーバ１０６は、リンクのポリシー共通点を算出すると、図１のセキュリティアプリケーション１１４等のセキュリティアプリケーションがクライアント１０２上にインストールされているか否かを判断するとしてよい。セキュリティアプリケーション１１４がクライアント、例えば、図１のクライアント１０２ｃ等にインストールされている場合、評価サーバ１０６は、ステップ６１６において、リンクのポリシー共通点を含む通知をクライアント１０２ｃに送信する。ステップ６１６は、図４の方法４００のステップ４２８と同様のステップであるとしてよい。セキュリティアプリケーション１１４がクライアント、例えば、クライアント１０２ａまたは１０２ｂ等にインストールされていない場合、評価サーバ１０６は、ステップ６１８において、ポリシー共通点はリンクが悪意ある行為に対応付けられている旨を示すか否かを判断する。ステップ６１８は、図５の方法５００のステップ５２０と同様のステップであるとしてよい。

ステップ６２０において、評価サーバ１０６は、リンクに対応付けられている評価情報とリダイレクトに対応付けられている情報とが不一致か否かを判断するとしてよい。一実施形態によると、不一致が発生するのは、評価データベース１１０に格納されている、リンクに対応付けられている評価情報が評価データベース１１０に格納されている、リダイレクトのうち１以上に対応付けられている評価情報と同じでない場合であるとしてよい。一実施形態によると、不一致が発生するのは、リンクおよびリダイレクトの評価スコアが同じでない場合であるとしてよい。別の実施形態によると、不一致が発生するのは、リンクおよびリダイレクトのコンテンツが同じでない場合であるとしてよい。不一致が見られる場合、評価サーバ１０６は、ステップ６２２において、評価データベース１１０のリンクに対応付けられている評価情報を更新するとしてよい。一実施形態によると、リンクの評価は、評価スコアが最も低いリダイレクトに基づいて決まるとしてよい。別の実施形態によると、リンクの評価は、リンクおよび対応付けられているリダイレクトの評価スコアの平均に基づいて決まるとしてよい。他の実施形態によると、リンクの評価は、最後のデスティネーション（例えば、最後のリダイレクト）の評価情報に基づいて決まるとしてよい。リンクおよびリダイレクトの評価が一致する場合、方法６００は終了するとしてよい。

方法６００は、図１から図３のシステム、または、方法６００を実行する任意のその他のシステムを用いて実行されるとしてよい。このため、方法６００の好ましい初期化ポイントおよび方法６００を構成するステップの順序は、選択された実施例に応じて決まるとしてよい。一部の実施形態によると、一部のステップは、任意で省略したり、繰り返したり、組み合わせたりするとしてもよい。一部の実施形態によると、方法６００の複数の部分を組み合わせるとしてよい。特定の実施形態によると、方法６００は、コンピュータ可読媒体で具現化されるソフトウェアで部分的に、または、全て実施されるとしてよい。

本開示を詳細に説明してきたが、請求項に定義されている本開示の意図および範囲から逸脱することなく、さまざまな変更、置換および変形が可能であるものと理解されたい。

Claims (29)

1. リンクの評価を決定する方法であって、
   評価サーバが、複数のリンクが悪意ある行為に対応付けられているか否かを示す評価情報が記録されたデータベースに対してクエリを行って、元々のリンクからリダイレクトされたリダイレクトリンクの前記評価を読み出す段階と、
   前記評価サーバが、前記リダイレクトリンクの前記評価に基づいて前記元々のリンクの前記評価を決定する段階と、
   前記評価サーバが前記データベースに対してクエリを行って前記元々のリンクの前記評価を読み出す段階と、
   前記元々のリンクの前記評価が前記リダイレクトリンクの前記評価に一致するか否かを前記評価サーバが判断する段階と、
   前記元々のリンクの前記評価と前記リダイレクトリンクの前記評価とが一致しない場合、前記評価サーバが、前記リダイレクトリンクの前記評価に基づいて、前記元々のリンクの前記評価を更新する段階と
   を備える方法。
2. 前記元々のリンクおよび前記リダイレクトリンクで表されるそれぞれのデスティネーションの位置情報を、クライアントから前記評価サーバが受信する段階をさらに備える請求項１に記載の方法。
3. 前記クライアントから、前記元々のリンクに対応付けられているデスティネーションに前記クライアントが誘導されないようにすべきか否かを示すルールを含む保護ポリシーを前記評価サーバが受信する段階と、
   前記元々のリンクの前記評価および前記保護ポリシーに基づいて、前記元々のリンクが前記悪意ある行為に対応付けられているか否かを示すポリシー共通点を前記評価サーバが算出する段階と、
   前記クライアントに、前記元々のリンクについての前記ポリシー共通点を含む通知を前記評価サーバが送信する段階と
   をさらに備える請求項２に記載の方法。
4. 前記元々のリンクの前記評価を含む通知を、前記評価サーバからクライアントが受信する段階と、
   前記評価サーバが、前記元々のリンクの前記評価、および、前記元々のリンクに対応付けられているデスティネーションに前記クライアントが誘導されないようにすべきか否かを示すルールを含む保護ポリシーに基づいて、前記元々のリンクが前記悪意ある行為に対応付けられているか否かを示すポリシー共通点を算出する段階と、
   前記ポリシー共通点が前記元々のリンクは前記悪意ある行為に対応付けられている旨を示す場合、前記評価サーバまたは前記クライアントが、前記元々のリンクへのアクセスをブロックする段階と
   をさらに備える請求項１に記載の方法。
5. 前記評価サーバが前記データベースを、前記決定する段階で作成された前記元々のリンクの前記評価で更新する段階をさらに備える請求項１から４のいずれか一項に記載の方法。
6. 前記元々のリンクの前記評価が前記元々のリンクは前記悪意ある行為に対応付けられている旨を示す場合、前記評価サーバまたはクライアントが、前記クライアントにおいて、前記元々のリンクへのアクセスをブロックする段階をさらに備える請求項１から５のいずれか一項に記載の方法。
7. 前記通知が前記元々のリンクは前記悪意ある行為に対応付けられていない旨を示す場合、前記評価サーバまたは前記クライアントが、前記クライアントにおいて、前記元々のリンクに対応付けられている最後のデスティネーションへと誘導する段階をさらに備える請求項３または４に記載の方法。
8. 前記リダイレクトリンクは、前記元々のリンクに対応付けられている最後のデスティネーションを表す請求項１から７のいずれか一項に記載の方法。
9. 前記リダイレクトリンクは、前記元々のリンクに対応付けられている中間デスティネーションを表す請求項１から７のいずれか一項に記載の方法。
10. 前記複数のリンクに対応付けられている前記評価情報は、格付け、評価スコアおよびコンテンツの種類のうち少なくとも１つを含む請求項１から９のいずれか一項に記載の方法。
11. リンクの評価を決定するシステムであって、
    複数のリンクが悪意ある行為に対応付けられているか否かを示す評価情報が記録されたデータベースと、
    プロセッサと、
    コンピュータ可読メモリと、
    前記コンピュータ可読メモリに符号化されている処理命令と
    を備え、
    前記処理命令は、前記プロセッサによって実行されると、
    前記データベースに対してクエリを行って、元々のリンクからリダイレクトされたリダイレクトリンクの前記評価を読み出す手順と、
    前記リダイレクトリンクの前記評価に基づいて前記元々のリンクの前記評価を決定する手順と、
    前記データベースに対してクエリを行って、前記元々のリンクの前記評価を読み出す手順と、
    前記元々のリンクの前記評価が前記リダイレクトリンクの前記評価に一致するか否かを判断する手順と、
    前記元々のリンクの前記評価と前記リダイレクトリンクの前記評価とが一致しない場合、前記リダイレクトリンクの前記評価に基づいて、前記元々のリンクの前記評価を更新する手順と
    を実行させるシステム。
12. 前記処理命令はさらに、クライアントから評価サーバが前記元々のリンクおよび前記リダイレクトリンクで表されるそれぞれのデスティネーションの位置情報を受信する手順を実行させる請求項１１に記載のシステム。
13. 前記処理命令はさらに、
    クライアントから、前記元々のリンクに対応付けられているデスティネーションに前記クライアントが誘導されないようにすべきか否かを示すルールを含む保護ポリシーを受信する手順と、
    前記元々のリンクの前記評価および前記保護ポリシーに基づいて、前記元々のリンクが前記悪意ある行為に対応付けられているか否かを示すポリシー共通点を算出する手順と、
    前記クライアントに、前記元々のリンクについての前記ポリシー共通点を含む通知を送信する手順と
    を実行させる請求項１１または１２に記載のシステム。
14. 前記処理命令はさらに、前記決定する段階で決定された前記元々のリンクの前記評価で前記データベースを更新する手順を実行させる請求項１１から１３のいずれか一項に記載のシステム。
15. 前記リダイレクトリンクは、前記元々のリンクに対応付けられている最後のデスティネーションを表す請求項１１から１４のいずれか一項に記載のシステム。
16. 前記リダイレクトリンクは、前記元々のリンクに対応付けられている中間デスティネーションを表す請求項１１から１４のいずれか一項に記載のシステム。
17. 前記複数のリンクに対応付けられている前記評価情報は、格付け、評価スコアおよびコンテンツの種類のうち少なくとも１つを含む請求項１１から１６のいずれか一項に記載のシステム。
18. 評価サーバにリンクの評価を決定させるためのクライアントプログラムであって、
    元々のリンクおよび前記元々のリンクからリダイレクトされたリダイレクトリンクで表されるそれぞれのデスティネーションの位置情報をクライアントに記録する手順と、
    複数のリンクが悪意ある行為に対応付けられているか否かを示す評価情報が記録されたデータベースに対してクエリを行うことによって前記リダイレクトリンクの前記評価に基づいて前記元々のリンクの前記評価を決定するとともに前記データベースに対してクエリを行って、前記元々のリンクの前記評価を読み出し、前記元々のリンクの前記評価が前記リダイレクトリンクの前記評価に一致するか否かを判断し、前記元々のリンクの前記評価と前記リダイレクトリンクの前記評価とが一致しない場合、前記リダイレクトリンクの前記評価に基づいて、前記元々のリンクの前記評価を更新する前記評価サーバに対して、前記元々のリンクおよび前記リダイレクトリンクで表されるそれぞれのデスティネーションの位置情報を送信する手順と、
    前記元々のリンクの前記評価を含む通知を、前記評価サーバから前記クライアントによって受信する手順と、
    をコンピュータに実行させるクライアントプログラム。
19. 前記クライアントに対応付けられている保護ポリシーデータベースから、前記元々のリンクに対応付けられているデスティネーションに前記クライアントが誘導されないようにすべきか否かを示すルールを含む保護ポリシーを読み出す手順と、
    前記元々のリンクの前記評価および前記保護ポリシーに基づいて、前記元々のリンクが前記悪意ある行為に対応付けられているか否かを示すポリシー共通点を前記評価サーバが算出するように前記保護ポリシーを前記評価サーバに送信する手順と
    をさらに前記コンピュータに実行させる請求項１８に記載のクライアントプログラム。
20. 前記通知は、前記ポリシー共通点を含む請求項１９に記載のクライアントプログラム。
21. 前記ポリシー共通点が前記元々のリンクは前記悪意ある行為に対応付けられている旨を示す場合、前記元々のリンクへのアクセスをブロックする手順をさらに前記コンピュータに実行させる請求項２０に記載のクライアントプログラム。
22. 前記リダイレクトリンクは、前記元々のリンクに対応付けられている最後のデスティネーションを表す請求項１８から２１のいずれか一項に記載のクライアントプログラム。
23. 前記リダイレクトリンクは、前記元々のリンクに対応付けられている中間デスティネーションを表す請求項１８から２１のいずれか一項に記載のクライアントプログラム。
24. リンクの評価を決定する方法であって、
    評価サーバが、複数のリンクが悪意ある行為に対応付けられているか否かを示す評価情報が記録されたデータベースに対してクエリを行って、元々のリンクからリダイレクトされた複数のリダイレクトリンクのそれぞれの前記評価を読み出す段階と、
    前記評価サーバが前記元々のリンクの前記評価を決定する段階と、
    前記評価サーバが前記データベースに対してクエリを行って前記元々のリンクの前記評価を読み出す段階と、
    前記元々のリンクの前記評価が前記複数のリダイレクトリンクのうち１または複数のリダイレクトリンクの前記評価に一致するか否かを前記評価サーバが判断する段階と、
    前記元々のリンクの前記評価と前記複数のリダイレクトリンクのうち前記１または複数のリダイレクトリンクの前記評価とが一致しない場合、前記評価サーバが、前記複数のリダイレクトリンクの前記評価に基づいて、前記元々のリンクの前記評価を更新する段階と
    を備え、
    前記決定する段階は、前記複数のリダイレクトリンクの前記評価のうち、最も低い評価スコアを含む前記評価、
    前記複数のリダイレクトリンクの前記評価に含まれる評価スコアの平均、および、
    前記元々のリンクの最後のデスティネーションを表す前記リダイレクトリンクの前記評価
    の何れか１つに基づいて行われる方法。
25. 前記元々のリンクおよび前記複数のリダイレクトリンクで表されるそれぞれのデスティネーションの位置情報をクライアントから前記評価サーバが受信する段階をさらに備える請求項２４に記載の方法。
26. 前記クライアントから、前記元々のリンクに対応付けられているデスティネーションへ前記クライアントが誘導されないようにすべきか否かを示すルールを含む保護ポリシーを前記評価サーバが受信する段階と、
    前記元々のリンクの前記評価および前記保護ポリシーに基づいて、前記元々のリンクが前記悪意ある行為に対応付けられているか否かを示すポリシー共通点を前記評価サーバが算出する段階と、
    前記元々のリンクについての前記ポリシー共通点を含む通知を、前記評価サーバが前記クライアントへ送信する段階と
    をさらに備える請求項２５に記載の方法。
27. 前記評価サーバが、前記決定する段階で作成された前記元々のリンクの前記評価で前記データベースを更新する段階をさらに備える請求項２４から２６のいずれか一項に記載の方法。
28. 前記元々のリンクの前記評価が前記元々のリンクは前記悪意ある行為に対応付けられている旨を示す場合、前記評価サーバまたはクライアントが、前記クライアントにおいて前記元々のリンクへのアクセスをブロックする段階をさらに備える請求項２４から２７のいずれか一項に記載の方法。
29. 評価サーバでリンクの評価を決定する評価サーバプログラムであって、
    複数のリンクが悪意ある行為に対応付けられているか否かを示す評価情報が記録されたデータベースに対してクエリを行って、元々のリンクからリダイレクトされたリダイレクトリンクの前記評価を読み出す手順と、
    前記リダイレクトリンクの前記評価に基づいて前記元々のリンクの前記評価を決定する手順と
    前記データベースに対してクエリを行って、前記元々のリンクの前記評価を読み出す手順と、
    前記元々のリンクの前記評価が前記リダイレクトリンクの前記評価に一致するか否かを判断する手順と、
    前記元々のリンクの前記評価と前記リダイレクトリンクの前記評価とが一致しない場合、前記リダイレクトリンクの前記評価に基づいて、前記元々のリンクの前記評価を更新する手順と
    をコンピュータに実行させる評価サーバプログラム。

Images