JP6055726B2 - ウェブページ監視装置、ウェブページ監視システム、ウェブページ監視方法およびコンピュータプログラム - Google Patents

Description

本発明は、ウェブページ監視装置、ウェブページ監視システム、ウェブページ監視方法およびコンピュータプログラムに関する。

従来、ウェブ（Web）ページの改ざんや悪性Webページを監視する技術が知られている。例えば特許文献１に記載される従来技術では、インターネットを介して公開しているコンテンツ情報を、あらかじめマスタとして保管しておき、定期的に該保管されたマスタと公開情報との差分をチェックしデータが変更されているかを確認している。また、非特許文献１に記載される従来技術では、WebブラウザがアクセスするURL（Uniform Resource Locator）を監視し、アクセスされたURLが既知の悪性WebページのURLと一致した場合に、当該アクセスを遮断している。

また、非特許文献２に記載される従来技術では、アクセスしてきた端末に対してマルウェアをダウンロードさせるWebページ（マルウェア配布サイト）の情報とWebページ間のリンク構造を示すグラフに基づいて、アクセスしてきた端末に対して該アクセスをマルウェア配布サイトに転送させるWebページ（転送サイト）を検出し、検出された転送サイトに基づいて未知のマルウェア配布サイトを検出している。また、非特許文献３に記載される従来技術では、「honeyclient」と呼ばれるマルウェア収集用Webクローラを使用してマルウェアおよびマルウェア配布サイトを能動的に検出している。honeyclientには、探索の起点となるWebページ（シードと呼ばれる）を与える。

特開２００４−０２１８７３号公報

"Google Safe Browsing", インターネット＜ＵＲＬ：https://developers.google.com/safe-browsing/＞ J. W. Stokes et al, "WebCop: Locating Neighborhoods of Malware on the Web", Proc. 3rd USENIX Workshop on Large-scale Exploits and Emergent Threats (LEET2010), 2010 Y-M. Wang et al, "Automated Web Patrol with Strider HoneyMonkeys: Finding Web Sites That Exploit Browser Vulnerabilities", Proc. 13th Annual Network & Distributed System Security Symposium (NDSS2006), 2006

しかし、上述した従来技術では以下に示す課題がある。
特許文献１に記載される従来技術では、Webページが正規に変更された場合と不正に改ざんされた場合とを区別することが難しい。
非特許文献１に記載される従来技術では、既知の悪性Webページには有効であるが、未知の悪性Webページには効果がない。
非特許文献２に記載される従来技術では、既知のマルウェア配布サイトの情報が必要であるが、その情報の収集が課題である。
非特許文献３に記載される従来技術では、検出能力を高めるために的確なシードを如何にして与えるかが課題である。

本発明は、このような事情を考慮してなされたもので、Webページの改ざんを検出可能とすると共に該検出にかかる負担を軽減できるWebページ監視装置、Webページ監視システム、Webページ監視方法およびコンピュータプログラムを提供することを課題とする。

（１）本発明に係るウェブページ監視装置は、観測対象ウェブページにアクセスした端末の当該アクセスが前記観測対象ウェブページから転送された先の転送先ホストを特定する転送先ホスト情報を取得する転送先ホスト情報取得部と、前記転送先ホスト情報に基づいて、前記転送先ホストを、転送先として正しいと設定されていない第１の転送先ホストと、転送先として正しいと設定されている第２の転送先ホストとに分類する転送先ホスト分類部と、前記第１の転送先ホストへの分類結果の増変化に基づいて、前記観測対象ウェブページに関する改ざん有りの改ざん情報を出力する改ざん情報出力部と、を備えたことを特徴とする。

（２）本発明に係るウェブページ監視装置においては、上記（１）のウェブページ監視装置において、前記改ざん情報出力部は、前記第１の転送先ホストの割合が所定値以上になった場合に、前記改ざん情報を出力することを特徴とする。

（３）本発明に係るウェブページ監視装置においては、上記（２）のウェブページ監視装置において、前記改ざん情報出力部は、前記第１の転送先ホストの割合が所定値以下に減った場合に、前記観測対象ウェブページに関する改ざん修復の改ざん情報を出力することを特徴とする。

（４）本発明に係るウェブページ監視装置においては、上記（１）のウェブページ監視装置において、前記改ざん情報出力部は、前記第１の転送先ホストへの転送数が所定値以上になった場合に、前記改ざん情報を出力することを特徴とする。

（５）本発明に係るウェブページ監視装置においては、上記（４）のウェブページ監視装置において、前記改ざん情報出力部は、前記第１の転送先ホストへの転送数が所定値以下に減った場合に、前記観測対象ウェブページに関する改ざん修復の改ざん情報を出力することを特徴とする。

（６）本発明に係るウェブページ監視システムは、上記（１）から（５）のいずれかのウェブページ監視装置と、ウェブブラウザとウェブページ開設ホストの間で送受されるHTTPメッセージに関する処理を行うHTTPメッセージ制御部と、を備え、前記HTTPメッセージ制御部は、前記HTTPメッセージを取得し、前記HTTPメッセージに基づいた転送先ホスト情報を前記ウェブページ監視装置へ送信し、前記ウェブページ監視装置から前記ウェブページ開設ホストに関する改ざん情報を受信する、ことを特徴とする。

（７）本発明に係るウェブページ監視システムにおいては、上記（６）のウェブページ監視システムにおいて、前記HTTPメッセージ制御部は、改ざん有りの前記改ざん情報に基づいて前記端末から前記ウェブページ開設ホストへのアクセスを遮断することを特徴とする。

（８）本発明に係るウェブページ監視システムにおいては、上記（６）又は（７）のいずれかのウェブページ監視システムにおいて、前記HTTPメッセージ制御部は前記ウェブブラウザを有する情報端末に設けられることを特徴とする。

（９）本発明に係るウェブページ監視システムにおいては、上記（６）又は（７）のいずれかのウェブページ監視システムにおいて、前記HTTPメッセージ制御部はウェブプロキシサーバに設けられることを特徴とする。

（１０）本発明に係るウェブページ監視方法は、観測対象ウェブページにアクセスした端末の当該アクセスが前記観測対象ウェブページから転送された先の転送先ホストを特定する転送先ホスト情報を取得する転送先ホスト情報取得ステップと、前記転送先ホスト情報に基づいて、前記転送先ホストを、転送先として正しいと設定されていない第１の転送先ホストと、転送先として正しいと設定されている第２の転送先ホストとに分類する転送先ホスト分類ステップと、前記第１の転送先ホストへの分類結果の増変化に基づいて、前記観測対象ウェブページに関する改ざん有りの改ざん情報を出力する改ざん情報出力ステップと、を含むことを特徴とする。

（１１）本発明に係るウェブページ監視方法においては、上記（１０）のウェブページ監視方法において、前記改ざん有りの改ざん情報に基づいて前記端末から前記ウェブページ開設ホストへのアクセスを遮断するステップをさらに含むことを特徴とする。

（１２）本発明に係るコンピュータプログラムは、コンピュータに、観測対象ウェブページにアクセスした端末の当該アクセスが前記観測対象ウェブページから転送された先の転送先ホストを特定する転送先ホスト情報を取得する転送先ホスト情報取得ステップと、前記転送先ホスト情報に基づいて、前記転送先ホストを、転送先として正しいと設定されていない第１の転送先ホストと、転送先として正しいと設定されている第２の転送先ホストとに分類する転送先ホスト分類ステップと、前記第１の転送先ホストへの分類結果の増変化に基づいて、前記観測対象ウェブページに関する改ざん有りの改ざん情報を出力する改ざん情報出力ステップと、を実行させるためのコンピュータプログラムであることを特徴とする。

（１３）本発明に係るコンピュータプログラムにおいては、上記（１２）のコンピュータプログラムにおいて、前記コンピュータに、前記改ざん有りの改ざん情報に基づいて前記端末から前記ウェブページ開設ホストへのアクセスを遮断するステップをさらに実行させることを特徴とする。

本発明によれば、Webページの改ざんを検出可能とすると共に該検出にかかる負担を軽減できるという効果が得られる。

本発明の一実施形態に係るWebページ監視装置１の構成を示す構成図である。 本発明の一実施形態に係る改ざん判定方法の例１を説明するための説明図である。 本発明の一実施形態に係る改ざん判定方法の例２を説明するための説明図である。 本発明に係るWebページ監視システムの実施例１の構成を示す構成図である。 本発明に係るWebページ監視システムの実施例１の処理手順を示すシーケンス図である。 本発明に係るWebページ監視システムの実施例２の構成を示す構成図である。

以下、図面を参照し、本発明の実施形態について説明する。
図１は、本発明の一実施形態に係るWebページ監視装置１の構成を示す構成図である。図１において、Webページ監視装置１は、転送先ホスト情報取得部１１と転送先ホスト分類部１２と改ざん情報出力部１３と転送先ホスト分類情報記憶部１４を備える。

転送先ホスト情報取得部１１は、観測対象Webページにアクセスした端末の当該アクセスが該観測対象Webページから転送された先の転送先ホストを特定する転送先ホスト情報を取得する。観測対象Webページは監視対象のWebページである。転送先ホストは、観測対象Webページにアクセスした端末の該アクセスが該観測対象Webページから転送された先のコンピュータである。

転送先ホスト分類部１２は、転送先ホスト情報取得部１１によって取得された転送先ホスト情報に基づいて、転送先ホストを、転送先として正しいと設定されていない第１の転送先ホスト（以下、非正規ホストと称する）と、転送先として正しいと設定されている第２の転送先ホスト（以下、正規ホストと称する）とに分類する。正規ホストを特定する正規ホスト情報は、予め転送先ホスト分類部１２に保持される。

転送先ホスト分類部１２は、転送先ホスト情報で特定される転送先ホストが正規ホスト情報で特定される転送先ホストに一致する場合に、当該転送先ホストを正規ホストに分類する。転送先ホスト分類部１２は、転送先ホスト情報で特定される転送先ホストが正規ホスト情報で特定される転送先ホストに一致しない場合に、当該転送先ホストを非正規ホストに分類する。

転送先ホスト分類部１２は、転送先ホストの分類結果を示す転送先ホスト分類情報を転送先ホスト分類情報記憶部１４に格納する。転送先ホスト分類情報記憶部１４は、転送先ホスト分類情報を記憶する。転送先ホスト分類情報は、観測対象Webページの転送先ホストの内訳（正規ホストまたは非正規ホスト）を示す。例えば、転送先ホスト分類情報は、観測対象Webページの転送先ホストの内訳として、正規ホストと非正規ホストの比率を示す。又は、転送先ホスト分類情報は、観測対象Webページの転送先ホストの内訳として、正規ホストへの転送数と非正規ホストへの転送数を示す。

改ざん情報出力部１３は、転送先ホスト分類情報記憶部１４に格納される転送先ホスト分類情報に基づいて、観測対象Webページに関する改ざん情報を出力する。ここで、本実施形態に係る改ざん判定方法の例１、例２を説明する。

（改ざん判定方法の例１）
図２は、本実施形態に係る改ざん判定方法の例１を説明するための説明図である。図２の円グラフには、観測対象Webページの転送先ホストの内訳として、正規ホストの割合と非正規ホストの割合が示されている。また、非正規ホストの割合のしきい値（３０％）が示されている。なお、図２に示される割合およびしきい値は説明の便宜上の値である。

図２（１）の円グラフは、時刻（ｔ１）における正規ホストの割合（８５％）と非正規ホストの割合（１５％）を示している。図２（２）の円グラフは、時刻（ｔ１）から後の時刻（ｔ２）における正規ホストの割合（６５％）と非正規ホストの割合（３５％）を示している。改ざん判定方法の例１では、非正規ホストの割合がしきい値以上になった場合に、観測対象Webページが改ざんされたと判定する。時刻（ｔ１）では、非正規ホストの割合（１５％）はしきい値（３０％）未満である。その後、時刻（ｔ２）では、非正規ホストの割合（３５％）はしきい値（３０％）以上になっている。これにより、観測対象Webページが改ざんされたと判定する。改ざん情報出力部１３は、非正規ホストの割合がしきい値以上に増えたことを検出すると、観測対象Webページに関する改ざん情報（改ざん有りを示すもの）を出力する。

なお、非正規ホストの割合がしきい値以下に減った場合に、改ざんされた観測対象Webページに対して改ざんの修復が行われたと判定してもよい。この場合、改ざん情報出力部１３は、改ざんの修復を示す改ざん情報を出力する。

（改ざん判定方法の例２）
図３は、本実施形態に係る改ざん判定方法の例２を説明するための説明図である。図３のグラフには、観測対象Webページの転送先ホストの内訳として、正規ホストへの転送数と非正規ホストへの転送数が示されている。但し、正規ホストへの転送数は、観測対象Webページのホスト（自ホスト）と自ホストを除く正規ホストとに分かれている。また、非正規ホストへの転送数のしきい値が示されている。なお、図３に示される転送数およびしきい値は説明の便宜上の値である。

図３（１）のグラフは、時刻（ｔ１）における正規ホストへの転送数と非正規ホストへの転送数を示している。図３（２）のグラフは、時刻（ｔ１）から後の時刻（ｔ２）における正規ホストへの転送数と非正規ホストへの転送数を示している。改ざん判定方法の例２では、非正規ホストへの転送数がしきい値以上になった場合に、観測対象Webページが改ざんされたと判定する。時刻（ｔ１）では、非正規ホストへの転送数はしきい値未満である。その後、時刻（ｔ２）では、非正規ホストへの転送数はしきい値以上になっている。これにより、観測対象Webページが改ざんされたと判定する。改ざん情報出力部１３は、非正規ホストへの転送数がしきい値以上に増えたことを検出すると、観測対象Webページに関する改ざん情報（改ざん有りを示すもの）を出力する。

なお、非正規ホストへの転送数がしきい値以下に減った場合に、改ざんされた観測対象Webページに対して改ざんの修復が行われたと判定してもよい。この場合、改ざん情報出力部１３は、改ざんの修復を示す改ざん情報を出力する。

次に本実施形態に係るWebページ監視システムの実施例を説明する。

図４は本発明に係るWebページ監視システムの実施例１の構成を示す構成図である。図４において、Webページ監視装置１はインターネット５０に接続されている。インターネット５０には、Webページ開設ホスト４０と情報端末３０が接続されている。Webページ開設ホスト４０は、インターネット５０介してWebページを公開するコンピュータである。情報端末３０は、インターネット５０介して、Webページ開設ホスト４０によって公開されているWebページにアクセスする。

情報端末３０は、通信部３１とHTTPメッセージ制御部３２とWebブラウザ３３と記憶部３４を備える。通信部３１は、インターネット５０を介して、Webページ監視装置１およびWebページ開設ホスト４０と通信する。HTTPメッセージ制御部３２は、Webブラウザ３３とWebページ開設ホスト４０の間で送受されるHTTPメッセージに関する処理を行う。Webブラウザ３３は、Webページ開設ホスト４０によって公開されているWebページの閲覧を行う。記憶部３４はデータを記憶する。

なお、HTTPメッセージ制御部３２は、Webブラウザ３３のプラグインソフトウェアとして実装されてもよい。

次に図５を参照して、図４に示すWebページ監視システムの動作を説明する。図５は、本発明に係るWebページ監視システムの実施例１の処理手順を示すシーケンス図である。

（ステップＳ１）情報端末３０において、HTTPメッセージ制御部３２は、Webブラウザ３３から送信されたHTTPリクエストを捕捉する。

（ステップＳ２）HTTPメッセージ制御部３２は、通信部３１により、該捕捉したHTTPリクエストをリクエスト先のWebページ開設ホスト４０（以下、リクエスト先ホスト４０と称する）へ送信する。

（ステップＳ３）HTTPメッセージ制御部３２は、通信部３１により、リクエスト先ホスト４０からHTTPレスポンスを受信する。

（ステップＳ４）HTTPメッセージ制御部３２は、該受信されたHTTPレスポンスに含まれるコンテンツを記憶部３４に保存する。

（ステップＳ５）HTTPメッセージ制御部３２は、転送先ホスト情報をWebページ監視装置１へ送信する。この実施例では、転送先ホスト情報は、ステップＳ１で捕捉したHTTPリクエストおよびステップＳ３で受信したHTTPレスポンスに関して、ヘッダ情報、HTTPリクエスト送信時のマウスイベントの有無を示す情報、及びリクエスト先ホスト４０側でのリダイレクトの有無を示す情報、を有する。マウスイベントとしては、マウスのクリック、アンカーへのマウスポインタの移動などが挙げられる。

（ステップＳ６）Webページ監視装置１は、情報端末３０から転送先ホスト情報を受信すると、該受信した転送先ホスト情報を保存する。そして、Webページ監視装置１は、該転送先ホスト情報に基づいて、転送先ホストの分類を行う。例えば、最初のHTTPリクエストによって発動されたHTTPリクエストの数、HTTPリクエストの宛先ホストの数などを利用して、正規ホストもしくは非正規ホストの数、または、正規ホストもしくは非正規ホストへの転送数を取得する。

（ステップＳ７）Webページ監視装置１は、ステップＳ６の分類結果に基づいた改ざん情報を、情報端末３０へ返信する。該改ざん情報は、リクエスト先ホスト４０のWebページが改ざんされていると判定されたか否かを示す。なお、Webページ監視装置１は、リクエスト先ホスト４０のWebページが改ざんされたと判定された場合にのみ、改ざん情報を情報端末３０へ返信してもよい。

（ステップＳ８）情報端末３０において、HTTPメッセージ制御部３２は、通信部３１によりWebページ監視装置１から受信された改ざん情報によりリクエスト先ホスト４０のWebページが改ざんされていないと認識した場合、又は、ステップＳ５の転送先ホスト情報の送信から一定時間経過しても改ざん情報が受信されない場合、ステップＳ３で受信されたHTTPレスポンスをWebブラウザ３３へ送信する。

一方、HTTPメッセージ制御部３２は、通信部３１によりWebページ監視装置１から受信された改ざん情報によりリクエスト先ホスト４０のWebページが改ざんされていると認識した場合、ステップＳ３で受信されたHTTPレスポンスをWebブラウザ３３へ送信しない。これにより、Webブラウザ３３からリクエスト先ホスト４０へのアクセスは遮断される。

（ステップＳ９）Webページ監視装置１は、定期的に、または、新規にWebページの改ざん有りを判定した場合に、改ざん情報を情報端末３０へ送信する。情報端末３０において、HTTPメッセージ制御部３２は、Webページ監視装置１から改ざん情報を受信した場合、該改ざん情報で示される改ざん有りのWebページへのアクセスを遮断する処理を行う。

本実施例１では、各情報端末３０にHTTPメッセージ制御部３２が設けられる。Webページ監視装置１は、各情報端末３０から転送先ホスト情報を取得し、該取得された転送先ホスト情報に基づいて、各リクエスト先ホスト４０の改ざんの有無を判定する。これにより、多数の情報端末３０から転送先ホスト情報を取得できることにより、多数のリクエスト先ホスト４０に対して改ざんの有無を判定することができる。

図６は本発明に係るWebページ監視システムの実施例２の構成を示す構成図である。図６において図４の各部に対応する部分には同一の符号を付している。図６において、インターネット５０には、Webページ監視装置１とWebページ開設ホスト４０とWebプロキシサーバ６０が接続されている。情報端末７０は、Webブラウザ３３を有し、Webプロキシサーバ６０を介してWebページ開設ホスト４０にアクセスする。

Webプロキシサーバ６０は、第１通信部６１とHTTPメッセージ制御部３２と第２通信部６３と記憶部６４を備える。第１通信部６１は、インターネット５０を介して、Webページ監視装置１およびWebページ開設ホスト４０と通信する。第２通信部６３は情報端末７０と通信する。記憶部６４はデータを記憶する。

実施例２では、図６に示されるように、HTTPメッセージ制御部３２はWebプロキシサーバ６０に具備される。HTTPメッセージ制御部３２は、第２通信部６３により、情報端末７０のWebブラウザ３３との間でHTTPメッセージを送受する。また、HTTPメッセージ制御部３２は、第１通信部６１により、Webページ開設ホスト４０との間でHTTPメッセージを送受する。また、HTTPメッセージ制御部３２は、第１通信部６１により、Webページ監視装置１との間でデータを送受する。

図６に示すWebページ監視システムの動作は、図５に示される実施例１と同様である。図５において、実施例１と異なる点は、HTTPメッセージ制御部３２が第２通信部６３を介して情報端末７０のWebブラウザ３３とHTTPメッセージを送受する点である。

本実施例２では、Webプロキシサーバ６０にHTTPメッセージ制御部３２が設けられる。Webプロキシサーバ６０には各情報端末７０がアクセスする。Webページ監視装置１は、Webプロキシサーバ６０から各情報端末７０に係る転送先ホスト情報を取得し、該取得された転送先ホスト情報に基づいて、各リクエスト先ホスト４０の改ざんの有無を判定する。これにより、多数の情報端末７０に係る転送先ホスト情報を取得できることにより、多数のリクエスト先ホスト４０に対して改ざんの有無を判定することができる。また、Webプロキシサーバ６０にHTTPメッセージ制御部３２を設けるこれにより、情報端末７０には機能追加が不要である。

上述した実施形態によれば、新規の悪性Webページの発見が可能となる。また、任意に取得された転送先ホスト情報を利用することから、該発見にかかる負担が軽減される効果が得られる。

本実施形態は、例えばDrive-by Download攻撃に対する対策に活用できる。本実施形態によって、Drive-by Download攻撃に使用されるマルウェア配布サイトやマルウェア配布サイトへの入り口となる入口サイトに改ざんされたことを検出し、該検出されたマルウェア配布サイトや入口サイトへのアクセスを遮断することができる。

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

例えば、Webページ監視装置１の機能を情報端末３０に備え、情報端末３０がリクエスト先ホスト４０の改ざんの有無を判定するようにしてもよい。又は、Webページ監視装置１の機能をWebプロキシサーバ６０に備え、Webプロキシサーバ６０がリクエスト先ホスト４０の改ざんの有無を判定するようにしてもよい。

また、正規ホスト情報の取得方法として、既知のレピュテーションデータベースなどから取得してもよい。又は、正規ホスト情報の他の取得方法として、リクエスト先ホスト４０から取得したHTTPレスポンスに含まれるコンテンツを利用することが挙げられる。この正規ホスト情報取得方法では、リクエスト先ホスト４０から取得したHTTPレスポンスに含まれるコンテンツを解析し、該解析結果から該リクエスト先ホスト４０を正規ホスト、非正規サイトに分類し、該分類結果を正規ホスト情報とする。該正規ホスト情報は以降のホストの分類に利用可能である。

また、上述したWebページ監視装置１またはHTTPメッセージ制御部３２を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。

また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disk）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

１…Webページ監視装置、１１…転送先ホスト情報取得部、１２…転送先ホスト分類部、１３…改ざん情報出力部、１４…転送先ホスト分類情報記憶部、３０，７０…情報端末、３１…通信部、３２…HTTPメッセージ制御部、３３…Webブラウザ、３４，６４…記憶部、４０…Webページ開設ホスト、６０…Webプロキシサーバ、６１…第１通信部、６３…第２通信部

Claims (13)

1. 観測対象ウェブページにアクセスした端末の当該アクセスが前記観測対象ウェブページから転送された先の転送先ホストを特定する転送先ホスト情報を取得する転送先ホスト情報取得部と、
   前記転送先ホスト情報に基づいて、前記転送先ホストを、転送先として正しいと設定されていない第１の転送先ホストと、転送先として正しいと設定されている第２の転送先ホストとに分類する転送先ホスト分類部と、
   前記第１の転送先ホストへの分類結果の増変化に基づいて、前記観測対象ウェブページに関する改ざん有りの改ざん情報を出力する改ざん情報出力部と、
   を備えたことを特徴とするウェブページ監視装置。
2. 前記改ざん情報出力部は、前記第１の転送先ホストの割合が所定値以上になった場合に、前記改ざん情報を出力することを特徴とする請求項１に記載のウェブページ監視装置。
3. 前記改ざん情報出力部は、前記第１の転送先ホストの割合が所定値以下に減った場合に、前記観測対象ウェブページに関する改ざん修復の改ざん情報を出力することを特徴とする請求項２に記載のウェブページ監視装置。
4. 前記改ざん情報出力部は、前記第１の転送先ホストへの転送数が所定値以上になった場合に、前記改ざん情報を出力することを特徴とする請求項１に記載のウェブページ監視装置。
5. 前記改ざん情報出力部は、前記第１の転送先ホストへの転送数が所定値以下に減った場合に、前記観測対象ウェブページに関する改ざん修復の改ざん情報を出力することを特徴とする請求項４に記載のウェブページ監視装置。
6. 請求項１から５のいずれか１項に記載のウェブページ監視装置と、
   ウェブブラウザとウェブページ開設ホストの間で送受されるHTTPメッセージに関する処理を行うHTTPメッセージ制御部と、を備え、
   前記HTTPメッセージ制御部は、前記HTTPメッセージを取得し、前記HTTPメッセージに基づいた転送先ホスト情報を前記ウェブページ監視装置へ送信し、前記ウェブページ監視装置から前記ウェブページ開設ホストに関する改ざん情報を受信する、
   ことを特徴とするウェブページ監視システム。
7. 前記HTTPメッセージ制御部は、改ざん有りの前記改ざん情報に基づいて前記端末から前記ウェブページ開設ホストへのアクセスを遮断することを特徴とする請求項６に記載のウェブページ監視システム。
8. 前記HTTPメッセージ制御部は前記ウェブブラウザを有する情報端末に設けられることを特徴とする請求項６又は７のいずれか１項に記載のウェブページ監視システム。
9. 前記HTTPメッセージ制御部はウェブプロキシサーバに設けられることを特徴とする請求項６又は７のいずれか１項に記載のウェブページ監視システム。
10. 観測対象ウェブページにアクセスした端末の当該アクセスが前記観測対象ウェブページから転送された先の転送先ホストを特定する転送先ホスト情報を取得する転送先ホスト情報取得ステップと、
    前記転送先ホスト情報に基づいて、前記転送先ホストを、転送先として正しいと設定されていない第１の転送先ホストと、転送先として正しいと設定されている第２の転送先ホストとに分類する転送先ホスト分類ステップと、
    前記第１の転送先ホストへの分類結果の増変化に基づいて、前記観測対象ウェブページに関する改ざん有りの改ざん情報を出力する改ざん情報出力ステップと、
    を含むことを特徴とするウェブページ監視方法。
11. 前記改ざん有りの改ざん情報に基づいて前記端末から前記ウェブページ開設ホストへのアクセスを遮断するステップをさらに含むことを特徴とする請求項１０に記載のウェブページ監視方法。
12. コンピュータに、
    観測対象ウェブページにアクセスした端末の当該アクセスが前記観測対象ウェブページから転送された先の転送先ホストを特定する転送先ホスト情報を取得する転送先ホスト情報取得ステップと、
    前記転送先ホスト情報に基づいて、前記転送先ホストを、転送先として正しいと設定されていない第１の転送先ホストと、転送先として正しいと設定されている第２の転送先ホストとに分類する転送先ホスト分類ステップと、
    前記第１の転送先ホストへの分類結果の増変化に基づいて、前記観測対象ウェブページに関する改ざん有りの改ざん情報を出力する改ざん情報出力ステップと、
    を実行させるためのコンピュータプログラム。
13. 前記コンピュータに、
    前記改ざん有りの改ざん情報に基づいて前記端末から前記ウェブページ開設ホストへのアクセスを遮断するステップをさらに実行させることを特徴とする請求項１２に記載のコンピュータプログラム。

Images