JP6408395B2 - ブラックリストの管理方法 - Google Patents

Description

本発明は、ブラックリストの管理方法に関するものである。

攻撃者は、マルウェアの配布や感染マシンの遠隔操作などの不正活動を行うために、インターネット上のサイト・サーバを利用する。これら不正活動に利用されるサイト・サーバをまとめて悪性サイトと呼ぶ。

組織内のマシンを攻撃者から守るために、ブラックリストを用いた方法が使われる。ブラックリストとは、悪性サイトのＵＲＬ（悪性ＵＲＬ：Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）をリスト化したものである。ブラックリストをファイアウォール、ＩＤＳ／ＩＰＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ／Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ）、プロキシサーバなどのセキュリティ装置に登録することで、ブラックリストに含まれる外部サーバへのアクセスを検知することができる。悪性サイトへのアクセスを検知した場合、アクセスを中断することで、被害の拡大を防ぐことができる。このような技術は、一般にフィルタリングと呼ばれる。

悪性サイトの数が増加するに従い、ブラックリストの容量も増加する。フィルタリングに登録するブラックリストの容量が増大するとセキュリティ装置の負荷が増大する。その結果、通信遅延などの問題が発生する。そのため、一般にフィルタリングに利用できるブラックリストの容量には上限がある。

これに関連した技術として、特許文献１には、マルウェア配布サイトからダウンロードしたファイルに基づく、ブラックリストの更新技術が開示されている。マルウェア配布サイトからファイルをダウンロードし、過去にダウンロードしたファイルと異なるか判別する。異なる場合は、ダウンロードしたファイルを仮想環境で実行し、その挙動によってマルウェアかどうか判断する。マルウェアではなく正常なファイルと判断した場合は、マルウェア配布サイトのＵＲＬをブラックリストから除外する。

特許第５３８９７４０号明細書

上述した特許文献１に開示された技術によると、マルウェア配布サイトのＵＲＬをブラックリストから削除するかどうか判断することができる。しかしながら、特許文献１に開示された技術は、マルウェア配布サイトのみを対象にしているのに対し、悪性サイトはマルウェア配布サイトだけではない。

他の悪性サイトへ誘導するリダイレクトサイト、ブラウザの脆弱性を探る攻撃サイト、感染したマルウェアに指令を送るＣ＆Ｃ（コマンドアンドコントロール）サイトなども、悪性サイトだがマルウェアを直接配布しない。そのため、マルウェア配布サイト以外の悪性サイトに対しては、ブラックリストから除外するかどうかの判断をおこなえない。

そこで、上記の問題点を考慮し、本発明は、悪性サイト一般に対して適用可能な、ブラックリストの管理を目的とする。

本発明の代表的なブラックリストの管理方法は、サーバにおける、ネットワークサイトが登録されるブラックリストの管理方法であって、ネットワークサイトを特定する第１の情報を取得するステップと、前記取得した第１の情報に基づき、前記特定されたネットワークサイトに関する第２の情報を複数の情報源から取得するステップと、前記取得した第２の情報に基づき、前記特定されたネットワークサイトのリスクを算出するステップと、前記算出したリスクに基づき、前記ブラックリストを更新するステップと、を有することを特徴とする。

本発明によれば、悪性サイト一般に対して適用可能な、ブラックリストの管理が可能となる。

システム構成の例を示した図である。 ブラックリスト管理サーバの処理全体の例を示した図である。 リクエスト機能の例を示した図である。 スコアリング機能の例を示した図である。 ブラックリスト選択機能の例を示した図である。 ブラックリスト更新機能の例を示した図である。 ブラックリスト候補の例を示した図である。 ＵＲＬスコアリストの例を示した図である。 ブラックリストの例を示した図である。 リクエスト定義リストの例を示した図である。 ＵＲＬ属性リストの例を示した図である。 セグメントルールの例を示した図である。 危険度の重み付けルールの例を示した図である。 統合リスクの重み付けルールの例を示した図である。 ブラックリスト選択ルールのホワイトルールの例を示した図である。 ブラックリスト選択ルールのブラックルールの例を示した図である。 スコアリング制御モジュールの処理フローの例を示した図である。 ブラックリスト選択モジュールの処理フローの例を示した図である。

以下、好ましい実施の形態について、適宜図面を参照しつつ、説明する。以下の説明において、テーブルと見える情報やリストという表現の情報を用いて説明するが、これらの情報は、テーブルやリスト以外の他のデータ構造で表現されてもよい。

図１は、システム構成の例を示した図である。図１に示すように、本システムは、悪性サイト１１１、レピュテーションサイト１１２、ＷＨＯＩＳサイト１１３と、ファイアウォール１３０、プロキシサーバ１２１、ログ解析サーバ１２２、マルウェア解析サーバ１２３、ブラックリスト管理サーバ１２４、管理者用端末１２５、クライアント１２６などとを含み、これらの装置はネットワーク１０１を介して相互に接続されて構成される。

なお、図１に示した各サーバは、複数種類のサーバが１つのサーバであってもよいし、同じ種類のサーバが複数あってもよい。また、管理用端末１２５は、いずれかのサーバに含まれてもよい。

悪性サイト１１１は、組織などの図１に示したイントラネット１２０に対して攻撃を行う者が利用するサイトである。悪性サイト１１１は、目的や機能により、複数の種類に分類される。例えば、他の悪性サイト１１１へ誘導するリダイレクトサイト、ブラウザの脆弱性を探る攻撃サイト、マルウェアをクライアント１２６へダウンロードさせるマルウェア配布サイト、感染したマルウェアに指令を送るＣ＆Ｃ（コマンドアンドコントロール）サイト、侵入に成功した組織の情報を収集する情報収集サイトなどがある。悪性サイト１１１はインターネット上に複数存在する。

レピュテーションサイト１１２は、悪性サイト１１１に関する情報を提供するサイトであり、セキュリティベンダや、公共機関により運営される。レピュテーションサイト１１２は、独自のブラックリストや、マルウェア解析結果を公開している。レピュテーションサイト１１２の提供する情報を利用することで、あるＵＲＬが悪性サイト１１１に属しているかどうか判定できる。また、悪性サイト１１１の種別なども提供している。なお、ＵＲＬを例に説明するが、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスなどのネットワークアドレスであってもよい。

インターネット上には、複数のレピュテーションサイト１１２が存在する。悪性サイト１１１の基準は、レピュテーションサイト１１２ごとに異なる。一般に、複数のレピュテーションサイト１１２で悪性サイト１１１と判定されるサイトほど危険度が高いといえる。

ファイアウォール１３０は、イントラネット１２０のローカルエリアネットワークとインターネット１１０との間で、互いのネットワークを行き来するパケットの中から、特定の条件に合ったパケットを破棄（遮断）あるいは許可（通過）する機能を備える。特にプロキシサーバ１２１を経由しないパケットを破棄することで、イントラネット１２０からインターネット１１０へ向かう全てのアクセスをプロキシサーバ１２１経由で行うことができる。

プロキシサーバ１２１は、クライアント１２６とインターネット１１０上のサーバ間のパケットのやり取りを中継する。プロキシサーバ１２１に悪性サイト１１１のＵＲＬを登録しておくことで、悪性サイト１１１へのアクセスを検知することができる。アクセスを検知した場合、アクセスを中止することで、攻撃者との通信を遮断することができる。この機能を、フィルタリングと呼ぶ。また、プロキシサーバ１２１は、クライアント１２６が行ったアクセスを全て記録する機能を備える。この記録をアクセスログと呼ぶ。なお、プロキシサーバ１２１の代わりに、ファイアウォール１３０がフィルタリングの機能を有してもよい。

ログ解析サーバ１２２は、プロキシサーバ１２１が出力するアクセスログを解析し、悪性サイト１１１にアクセスしたユーザを検索する機能などを備える。マルウェア解析サーバ１２３は、仮想環境などでマルウェアを実行し、ネットワークアクセスの振る舞いなどを記録する機能を備える。図１では、マルウェア解析サーバ１２３は、イントラネット１２０に接続されているが、インターネット１１０に接続されてもよい。

マルウェア解析サーバ１２３の解析対象となるマルウェアを収集する方法は大きく２通りある。一つは、マルウェア解析サーバ１２３とは別のコンピュータで発見されたマルウェアを、手動操作でマルウェア解析サーバ１２３へコピーする方法である。もう一つは、マルウェア解析サーバ１２３を攻撃者が狙いやすい場所に設置し、マルウェアに感染させる方法である。この方法は、一般にハニーポットと呼ばれる。

ブラックリスト管理サーバ１２４は、組織内外から取得したブラックリストを管理する機能を備える。組織内外のサーバにアクセスし、ブラックリストに関する情報を取得する。取得した情報から、悪性サイト１１１の危険度、活動度、新鮮度、アクセス可能性などの指標を算出する。算出した結果に基づいて、プロキシフィルタリングやログ解析に利用するブラックリストを決定する。

管理者用端末１２５は、セキュリティ対策を行う管理者が利用する端末であり、ブラックリスト管理サーバ１２４へアクセスして、各種の設定を行う機能を備える。クライアント１２６は、イントラネット１２０を介してインターネット１１０にアクセスする機能を備える。クライアント１２６は、偽造メールに添付された実行ファイルを実行するなどして、マルウェアに感染する可能性がある。マルウェアに感染したクライアント１２６は、正規のユーザに気づかれずに、攻撃者と通信を行う。

イントラネット１２０に接続されたこれらの装置は、少なくともＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ハードディスクドライブなどの補助記憶装置、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）やＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）などの主記憶装置、キーボードやマウスといった入力装置と接続されるＩ（Ｉｎｐｕｔ）／Ｏ（Ｏｕｔｐｕｔ）インターフェース、イントラネット１２０、およびイントラネット１２０経由でインターネット１１０に接続するためのネットワークインターフェースなどを備える。

図２を参照して、ブラックリスト管理サーバ１２４の処理の全体像を説明する。ブラックリスト管理サーバ１２４は、まず、悪性ＵＲＬを悪性ＵＲＬ生成元２１０から取得する。悪性ＵＲＬ生成元２１０は、悪性サイト１１１に関する情報を提供する組織や手段の総称である。警察やセキュリティベンダなどのセキュリティ機関２１１は、独自に収集したマルウェアや悪性サイト１１１の情報を公開している。セキュリティ機関２１１に定期的にアクセスすることで、セキュリティ機関２１１が提供する悪性ＵＲＬを取得できる。

また、組織内の従業員に届いたスパムメール、フィッシングメールからもブラックリストを生成できる。メールシステム２１２は、未知のメールを自動抽出し、メールの本文中にリンクとして書かれたＵＲＬを抽出することで、悪性ＵＲＬとして利用できる。組織内で見つかったマルウェアをマルウェア解析システム２１３で解析した結果から、悪性ＵＲＬを生成できる。マルウェア解析システム２１３でマルウェアを動作させることで、マルウェアの通信先が特定できる。特定した通信先のＵＲＬを抽出することで、悪性ＵＲＬとして利用できる。

悪性ＵＲＬ生成元２１０が生成した悪性ＵＲＬは、ブラックリスト候補２２１として、ブラックリスト管理サーバ１２４へ保存される。ブラックリスト候補２２１への登録は手動操作あるいは自動で行われる。手動操作で行う場合は、管理者が定期的に悪性ＵＲＬ生成元２１０を確認し、新たな悪性ＵＲＬが生成されていた場合は、ブラックリスト候補２２１に追加する。

自動で行う場合は、ブラックリスト管理サーバ１２４が定期的に悪性ＵＲＬ生成元２１０にアクセスし、新たな悪性ＵＲＬが生成されていた時に、ブラックリスト候補２２１に追加する。ブラックリスト管理サーバ１２４は、悪性ＵＲＬに加え、悪性ＵＲＬに関連する情報も取得して保存する。例えば、ＵＲＬを抽出したマルウェアの実行ファイルなどを関連情報として保存する。ブラックリスト候補２２１の詳細は、図７を用いて後で説明する。

リクエスト機能２２２は、ＵＲＬ属性取得先２４０へリクエストを送信し、レスポンスを加工してＵＲＬ属性を生成する。リクエスト機能２２２は、あらかじめ設定された時刻や、ブラックリスト候補２２１に新たなＵＲＬが追加された時に処理を行う。ＵＲＬ属性は、悪性ＵＲＬの危険度、活動度、新鮮度、アクセス可能性などの判断指標を算出するのに利用する属性情報である。例えば、あるレピュテーションサイト１１２に悪性サイト１１１として登録されているか否かが、ＵＲＬ属性になる。ひとつの悪性ＵＲＬに対して、複数のＵＲＬ属性を取得し、判断指標算出に利用する。リクエスト機能２２２の詳細は、図３を用いて後で説明する。

なお、悪性ＵＲＬ生成元２１２はＵＲＬを生成し、ＵＲＬ属性取得先２４０はＵＲＬに基づいてサイトの情報を提供するものであるが、悪性ＵＲＬ生成元２１２の一部または全てとＵＲＬ属性取得先２４０の一部または全てとが同じであってもよい。例えば、セキュリティ機関２１１はレピュテーションサイト１１２であってもよいし、マルウェア解析システム２１３はマルウェア解析サーバ１２３を含んでもよい。

スコアリング機能２２３は、リクエスト機能２２２が生成したＵＲＬ属性から、ＵＲＬスコアを算出する。ＵＲＬスコアは、危険度、活動度、新鮮度、アクセス可能性を数値化した判断指標とそれらを統合して算出する統合リスクから構成される。スコアリング機能２２３の詳細は、図４を用いて後で説明する。

ブラックリスト選択機能２２４は、スコアリング機能２２３が算出したＵＲＬスコアに基づき、プロキシフィルタリングやログ解析に利用するブラックリストをブラックリスト候補２２１から選択する。ブラックリスト選択機能２２４の詳細は、図５を用いて後で説明する。ブラックリストは、悪性ＵＲＬおよび対策システム２３０の機器などの情報を含む。ブラックリストの詳細は図９を用いて後で説明する。

ブラックリスト更新機能２２６は、ブラックリストに基づいて、対策システム２３０内の機器に設定されたブラックリストを更新する。更新処理には、ブラックリストの追加や削除が含まれる。ブラックリスト更新機能２２６の詳細は、図６を用いて後で説明する。

なお、リクエスト機能２２２、スコアリング機能２２３、ブラックリスト選択機能２２４、ブラックリスト更新機能２２６のそれぞれは、ブラックリスト管理サーバ１２４に含まれるＲＡＭに格納されたプログラムにしたがって、ＣＰＵが動作することにより実現されてもよい。このため、各機能は部あるいはモジュールと呼んでもよく、例えばリクエスト機能２２２はリクエスト部あるいはリクエストモジュールとしてもよい。

対策システム２３０は、ブラックリストを利用したセキュリティ対策を行う機器全体を示す。例えば、プロキシサーバ１２１、ファイアウォール１３０、ログ解析サーバ１２２などが対策システム２３０に含まれる。対策システム２３０の各機器は、内部にブラックリストとしてフィルタリスト２３１、照合リスト２３２、フィルタリスト２３３を保持する。ブラックリスト更新機能２２６は、対策システム２３０内のブラックリストの更新を行う。

図３を参照して、リクエスト機能２２２の詳細を説明する。リクエスト機能２２２は、リクエスト制御モジュール３０１、レスポンス整形モジュール３０２、リクエスト機能設定モジュール３０３、ＵＲＬ属性取得先情報３０４、ＵＲＬ属性リスト３０５、リクエスト定義リスト３０６、リクエストモジュール３０７などを備える。リクエスト制御モジュール３０１は、あらかじめ設定されたタイミングで、リクエストモジュールを呼び出し、ＵＲＬ属性取得先２４０からレスポンスを取得する。

レスポンス整形モジュール３０２は、リクエスト制御モジュール３０１が取得したレスポンスから、スコアリング機能２２３がスコアリングに利用する情報を抽出し、あらかじめ決めた形式に加工して保存する。例えば、レピュテーションサイト１１２に対して、ＵＲＬの情報を問い合わせた場合、レスポンスに含まれる情報や形式は、レピュテーションごとに異なる可能性がある。

そこで、取得したいＵＲＬ属性ごとに、値の形式が定義されている。例えば、取得したいＵＲＬ属性がＵＲＬを悪性と判定しているかの場合、値の形式が真偽の２値と定義され、取得したいＵＲＬ属性が悪性サイト１１１の種類の場合、値の形式が「リダイレクトサイト」、「攻撃サイト」、「マルウェア配布サイト」、「Ｃ＆Ｃサイト」、「情報収集サイト」のいずれかと定義される。この処理により、レピュテーションサイト１１２の種類によらずレスポンスに含まれる情報の形式を統一化できる。整形した結果は、ＵＲＬ属性リスト３０５して保存される。

リクエスト機能設定モジュール３０３は、管理者がＵＲＬ属性取得先情報３０４や、リクエストモジュール３０７の設定情報を編集するＣＵＩあるいはＧＵＩ機能を提供する。ＵＲＬ属性取得先情報３０４は、ＵＲＬ属性取得先２４０のＵＲＬや、リクエストを送るタイミングなどリクエスト制御モジュール３０１がＵＲＬ属性取得先２４０からレスポンスを取得するために必要な情報を提供する。

ＵＲＬ属性リスト３０５は、レスポンス整形モジュール３０２がレスポンスを整形した結果である。ＵＲＬ属性リスト３０５の詳細は、図１１を用いて後で説明する。リクエスト定義リスト３０６は、リクエスト制御モジュール３０１が送信するリクエストの内容と、リクエストによって得られたレスポンスから生成するＵＲＬ属性を定義したリストである。リクエスト定義リスト３０６の詳細は、図１０を用いて後で説明する。

リクエストモジュール３０７は、組織外（インターネット１１０）と組織内（イントラネット１２０）のリクエスト先にアクセスし、レスポンスを取得する機能を備え、レピュテーション用モジュール３０８、悪性サーバ用モジュール３０９、ＷＨＯＩＳ用モジュール３１０などを備える。レピュテーション用モジュール３０８は、複数種類のレピュテーションサイト１１２にアクセスし、ブラックリスト候補２２１のＵＲＬに関する情報を取得する。

悪性サーバ用モジュール３０９は、ブラックリスト候補２２１のＵＲＬで指定されるサーバ・サイトへＨＴＴＰリクエストなどを送り、サーバ・サイトのＨＴＴＰレスポンスなどを取得する。スコアリング機能２２３は、取得したＨＴＴＰレスポンスの内容により、サーバ・サイトの活動状況を推測する。

ＷＨＯＩＳ用モジュール３１０は、ＷＨＯＩＳサイト１１３へアクセスし、ブラックリスト候補２２１のＵＲＬのドメインに関する情報を取得する。具体的には、ドメイン取得日や更新日などを取得する。ログ解析用モジュール３１１は、ログ解析サーバ１２２へアクセスし、クライアント１２６がアクセスしたＵＲＬのログを取得して、ブラックリスト候補２２１のＵＲＬへアクセスしているクライアント１２６などを検索する。

リクエストモジュール３０７は、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の標準機能やリクエスト先が提供するＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｉｎｔｅｒｆａｃｅ）を用いて実現される。例えば、ＬＩＮＵＸ（登録商標）が備えるＷＨＯＩＳコマンドを利用することで、ＷＨＯＩＳサイト１１３へのアクセスとレスポンスの取得が実現できる。本実施形態は、リクエストモジュール３０７の実現方式には依存しない。図３に示したリクエストモジュール３０７は一例であり、取得したいＵＲＬ属性に応じて、リクエストモジュール３０７へモジュールを追加可能である。

図４を参照して、スコアリング機能２２３の詳細を説明する。スコアリング機能２２３は、スコアリング制御モジュール４０１、スコアリング機能設定モジュール４０２、ＵＲＬスコアリスト４０３、判断指標算出モジュール４１０、セグメントルール４２０、重み付けルール４３０などを備える。スコアリング機能２２３は、決まった時刻、リクエスト結果の更新時、管理者による手動操作などで処理を開始する。

スコアリング制御モジュール４０１は、ＵＲＬ属性リスト３０５を読み込み、判断指標算出モジュール４１０を利用して、悪性ＵＲＬごとにＵＲＬスコアを算出する。算出したＵＲＬスコアはＵＲＬスコアリスト４０３に格納される。スコアリング制御モジュール４０１の詳細は、図１５を用いて後で説明する。スコアリング機能設定モジュール４０２は、セグメントルール４２０、重み付けルール４３０などを編集するＣＵＩやＧＵＩ機能を提供する。

ＵＲＬスコアリスト４０３は、リクエスト結果から判断指標算出ルールに従って算出した各種の判断指標をブラックリストと紐付けて保存されたデータである。ＵＲＬスコアリスト４０３の詳細は、図８を用いて後で説明する。

判断指標算出モジュール４１０は、リクエスト結果から判断指標を算出する機能を備える。算出する判断指標に応じて、危険度算出モジュール４１１、新鮮度算出モジュール４１２、活動度算出モジュール４１３、アクセス可能性算出モジュール４１４、統合リスク算出モジュール４１５などを備える。また、各判断指標を算出するためのルールを定義した危険度算出ルール４２１、４３１、新鮮度算出ルール４２２、４３２、活動度算出ルール４２３、４３３、アクセス可能性算出ルール４２４、４３４、統合リスク算出ルール４３５などを利用する。
危険度算出モジュール４１１は、ブラックリスト候補２２１のＵＲＬで指定される悪性サイト１１１の危険度を算出するためのモジュールである。悪性サイト１１１にアクセスした場合に引き起こされる障害の大きさをもとに危険度を算出する。新鮮度算出モジュール４１２は、ブラックリスト候補２２１のＵＲＬで指定される悪性サイト１１１の新鮮度を算出するためのモジュールである。悪性サイト１１１が活動を開始してから経過した日数などをもとに新鮮度を算出する。

活動度算出モジュール４１３は、ブラックリスト候補２２１のＵＲＬで指定される悪性サイト１１１の活動度を算出するためのモジュールである。ＨＴＴＰリクエストに対する悪性サイトの応答の有無などをもとに活動度を算出する。アクセス可能性算出モジュール４１４は、ブラックリスト候補２２１のＵＲＬで指定される悪性サイト１１１へ組織内の従業員などがアクセスする可能性を算出するためのモジュールである。同一ドメインへのアクセスの多さなどをもとに、アクセス可能性を算出する。

統合リスク算出モジュール４１５は、ブラックリスト候補２２１のＵＲＬで指定される悪性サイト１１１の統合リスクを算出するためのモジュールである。組織のシステム環境や、セキュリティポリシによって、どの判断指標に基づいてブラックリストを決めるかが変わる。そこで、危険度、新鮮度、活動度、アクセス可能性に対して、重み付けを設定し、総合的な指標を算出する。その指標を統合リスクと呼ぶ。

セグメントルール４２０は、ＵＲＬ属性から判断指標を算出するために、個々のＵＲＬ属性を数値に置き換えるためのルールである。セグメントルール４２０の詳細は、図１２を用いて後で説明する。重み付けルール４３０は、ＵＲＬ属性から判断指標および統合スコアを算出するための重み付けを定義したルールである。重み付けルールの詳細は、図１３を用いて後で説明する。

図５を参照して、ブラックリスト選択機能２２４の詳細を説明する。ブラックリスト選択機能２２４は、ブラックリスト選択モジュール５０１、ブラックリスト選択機能設定モジュール５０２、ブラックリスト選択ルール５０３などをもとに構成される。ブラックリスト選択モジュール５０１は、ＵＲＬ属性リスト３０５を読み込み、対策システム２３０の機器に登録あるいは削除するブラックリストを決定する。ブラックリスト選択モジュール５０１の詳細は図１６で説明する。

ブラックリスト選択機能設定モジュール５０２は、管理者がブラックリスト選択ルールを編集するＣＵＩあるいはＧＵＩ機能を提供する。ブラックリスト選択ルール５０３は、ブラックリストに登録するあるいは登録しない悪性ＵＲＬをＵＲＬ属性の値に基づいて決めるルールである。登録する悪性ＵＲＬを決めるルールをブラックルール、登録しない悪性ＵＲＬを決めるルールをホワイトルールと呼ぶ。ブラックリスト選択モジュール５０１は、ブラックリスト選択ルール５０３とＵＲＬ属性リスト３０５に基づいて、ブラックリストを選定する。ブラックリスト選択ルール５０３の詳細は図１４を用いて後で説明する。

図６を参照して、ブラックリスト更新機能２２６の詳細を説明する。ブラックリスト更新機能２２６は、ブラックリスト更新モジュール６０１、更新レポート６０２、機器情報６０３などから構成される。ブラックリスト更新モジュール６０１は、ブラックリスト選択機能２２４が決定したブラックリストに応じて、対策機器内のブラックリストを追加あるいは削除する。処理は、決まった時刻、リクエスト結果の更新時、管理者による手動操作などで開始する。更新処理を行った後、その結果をレポートとして更新レポート６０２へ出力する。

更新レポート６０２は、ブラックリスト更新モジュール６０１が行った更新処理が成功したか何らかのエラーにより失敗したかの情報を含む。また、成功した場合は、レポートは、各対策システム２３０に登録されたブラックリストを含む。管理者は、対策システム２３０でブラックリストが利用されている内容をレポートにより確認できる。機器情報６０３は、ブラックリスト更新モジュール６０１が更新処理を行うのに必要な機器情報を含む。すなわち、機器にアクセスするのに必要なＩＰアドレス、ポート番号などの情報を含む。

図７を参照して、ブラックリスト候補２２１の例を説明する。ブラックリスト候補２２１は悪性ＵＲＬ＿ＩＤ、ＵＲＬ、取得日時、取得元ソース、関連情報などの項目７０１を含む。また、悪性ＵＲＬごとにこれらの項目に対応する値７０２を格納する。悪性ＵＲＬ＿ＩＤは、ブラックリスト管理サーバ１２４内で、ブラックリスト候補２２１に含まれるＵＲＬを一意に識別するための識別子である。ＵＲＬは悪性サイト１１１のＵＲＬである。ＩＰアドレスで記述される場合や、ドメインのみで記述される場合もある。

取得日時は、悪性ＵＲＬ生成元２１０から、ブラックリスト候補２２１となる悪性ＵＲＬを取得した日時である。取得元ソースは、ブラックリスト候補２２１を取得した悪性ＵＲＬ生成元２１０を識別するための情報である。関連情報は、ＵＲＬ以外のブラックリスト候補２２１に関する情報である。例えば、マルウェア解析により得られたＵＲＬの場合は、そのマルウェアの種別やハッシュ値などを含む。

図８を参照して、ＵＲＬスコアリスト４０３の例を説明する。ＵＲＬスコアリスト４０３は、悪性ＵＲＬ＿ＩＤ、ＵＲＬ、危険度、活動度、新鮮度、アクセス可能性、統合リスクなどの項目８０１を含む。また、悪性ＵＲＬごとにこれらの項目８０１に対応する値８０２を格納する。悪性ＵＲＬ＿ＩＤとＵＲＬは、図７で説明した項目と同じである。

危険度は、危険度算出モジュール４１１が算出した値である。活動度は、活動度度算出モジュール４１３が算出した値である。新鮮度は、新鮮度度算出モジュール４１２が算出した値である。アクセス可能性は、アクセス可能性算出モジュール４１４が算出した値である。統合リスクは、統合リスク算出モジュール４１５が算出した値である。

図９を参照して、ブラックリストの例を説明する。ブラックリストは、ブラックリストＩＤ９０１、対策機器９０２、対策９０３、悪性ＵＲＬ＿ＩＤリスト９０４、更新日９０５などの項目を含む。ブラックリストＩＤ９０１は、ブラックリストを一意に識別するための識別子である。対策機器９０２は、対策システム２３０の対象機器を識別する情報である。例えば、プロキシサーバ１２１、ログ解析サーバ１２２などがある。

対策９０３は、ブラックリストを利用した対策の種類である。例えば、リアルタイムで行うフィルタフィルタ、バッチ処理によるアクセスログの照合などがある。悪性ＵＲＬ＿ＩＤリスト９０４は、対策で利用する悪性ＵＲＬ＿ＩＤをリスト化したものである。更新日９０５は、ブラックリストが更新された年月日である。

図１０を参照して、リクエスト定義リスト３０６の例を説明する。リクエスト定義リスト３０６は、リクエストＩＤ１００１、リクエスト説明１００２、アドレス１００３、リクエスト時刻１００４、クエリ１００５、ＵＲＬ属性１００６、利用モジュール１００７などの項目を含む。リクエストＩＤ１００１は、リクエスト機能２２２の発行するリクエストを一意に識別するための識別子である。リクエスト説明１００２は、リクエストの内容を管理者などが理解しやすいようにテキストなどで説明した内容である。

アドレス１００３は、ＵＲＬ属性取得先２４０のサーバやサイトを特定するＵＲＬなどの情報である。リクエスト時刻１００４は、リクエストを送信する時刻タイミングを定義する情報である。例えば、「毎日０時」に設定する。クエリ１００５は、リクエストを送信する際に、ＵＲＬ属性取得先２４０に渡すデータである。ブラックリスト候補２２１に含まれるＵＲＬなどを設定する。

ＵＲＬ属性１００６は、このリクエストにより取得するＵＲＬ属性の内容の形式を定義した情報である。図１０に示した例では、レピュテーションサイト１１２に悪性サイト１１１として登録されているかどうかを取得し、登録されている場合は１、登録されていない場合は０として保存することを表す。利用モジュール１００７は、リクエストを送信するのに利用するモジュールを表す。

図１１を参照して、ＵＲＬ属性リスト３０５の例を説明する。ＵＲＬ属性リスト３０５は、リクエストＩＤ１１０１、リクエスト説明１１０２、ＵＲＬ属性値１１０３などを含む。悪性ＵＲＬごとに、これらの項目１１０１〜１１０３に対応する値を格納する。リクエストＩＤ１１０１は、リクエスト定義リスト３０６を識別する識別子である。リクエスト説明１１０２は、リクエスト定義リスト３０６に含まれるリクエスト説明１００２と同じ内容である。

ＵＲＬ属性値１１０３は、リクエスト制御モジュール３０１がリクエスト先から取得したレスポンスを、レスポンス整形モジュール３０２が整形した後のデータである。例えば、ＵＲＬ属性値１１０３の一行目（リクエストＩＤ１１０１がＲ００１に対応する行）は、該当する悪性ＵＲＬがレピュテーションサイト１１２に登録されていることを示す。

図１２を参照して、セグメントルール４２０の例を説明する。セグメントルール４２０は、ＵＲＬ属性値１２０１とスコア１２０２の対応が定義されて、予め設定されている。図１２に示した例は、危険度算出に関するひとつのＵＲＬ属性のセグメントルールを示しているが、リクエスト定義（リクエストＩＤ）ごとに同様の項目が定義される。

図１２に示した例では、レピュテーションサイト１１２へのリクエストで得られた悪性サイト１１１の種別に関するスコアが定義されており、ＵＲＬ属性のひとつである悪性サイト１１１の種別が「リダイレクト」の場合は１、「攻撃サイト」の場合は２、といったスコアが定義されている。ここで、スコア１２０２の数値は危険度を表している。

このように、セグメントルールを定義することで、もともと数値として表されていないＵＲＬ属性値を数値化できる。この例では文字列からスコアである数値への対応を定義しているが、数値の範囲に対し、スコアとして１つの数値が定義されてもよい。例えば、レピュテーションサイト１１２の登録数が０から１０の場合は１、１１から２０の場合は２というスコアが定義されてもよい。

図１３を参照して、重み付けルール４３０の例を説明する。重み付けルール４３０は、リクエストＩＤ１３０１と重み１３０２などを含む。リクエストＩＤ１３０１は、リクエスト定義リスト３０６で定義されたリクエストＩＤである。

重み１３０２は、各リクエストＩＤの重要度に応じて割り振られる数値である。図１３Ａに示した例では、リクエストＩＤ１３０１のＲ００１により得られたＵＲＬ属性に１、Ｒ００２により得られたＵＲＬ属性に３の重みがそれぞれ与えられている。これらの重みは、危険度を算出する際に、Ｒ００２から得られたＵＲＬ属性をＲ００１から得られたＵＲＬ属性より３倍の重要度で評価することを意味する。

図１３Ｂに示した例は、統合リスクを算出する際に利用する重み付けルール４３０の例である。この例では、危険度に３が、活動度に２が、新鮮度に１が、アクセス可能性に１が、重みとして与えられている。セグメントルール４２０と重み付けルール４３０は、ＵＲＬ属性値から評価指標を算出するために利用される。２種類のルールを組み合わせることで、表現可能なルールを増やすことも可能となる。

図１４Ａと図１４Ｂを参照して、ブラックリスト選択ルール５０３の例を説明する。ブラックリスト選択ルール５０３はホワイトルールとブラックルールから構成される。図１４Ａに示したホワイトルールは、ブラックリストを選択するさいに、ＵＲＬスコアにかかわらず、優先的にブラックリストから除外する条件を定義したものである。ホワイトルールは、ＵＲＬ属性とその値を指定する形で表現される。図１４Ａに示した例は、リクエストＩＤが００４のリクエストにより得られるＵＲＬ属性、すなわちＵＲＬに対するＨＴＴＰコードが「４０４」の場合、優先的にブラックリストから除外するというルールを表す。

図１４Ｂに示したブラックルールは、ブラックリストを選択するさいに、ＵＲＬスコアにかかわらず、優先的にブラックリストに登録する条件を定義したものである。ブラックルールは、ＵＲＬ属性とその値を指定する形で表現される。図１４Ｂに示した例は、リクエストＩＤが００４のリクエストにより得られるＵＲＬ属性、すなわちＵＲＬに対するＨＴＴＰコードが「２００」の場合は、優先的にブラックリストへ含めるというルールを表す。

図１５を参照して、スコアリング制御モジュール４０１の処理フローの例を説明する。この処理フローは、ひとつの悪性ＵＲＬに対して、統合リスクを算出するまでの処理を表す。スコアリング制御モジュール４０１は、ブラックリスト候補２２１に含まれるすべての悪性ＵＲＬに対して、図１５に示した処理フローを実行する。ステップ１５０１において、スコアリング制御モジュール４０１は、ＵＲＬ属性リスト３０５を検索し、悪性ＵＲＬに対応するＵＲＬ属性の集合を読み込む。

ステップ１５０２において、スコアリング制御モジュール４０１は、セグメントルール４２０を参照し、ＵＲＬ属性をスコアに変換する。ＵＲＬ属性が、レピュテーションサイト１１２の登録の有無（０または１）のようにあらかじめ数値データであり、変換の必要がない場合は、ＵＲＬ属性そのものをスコアとして利用する。一方、悪性サイト１１１の種別（「リダイレクトサイト」など）のようにカテゴリカルデータの場合などは、セグメントルールに従って、スコアに変換する。

ステップ１５０３において、スコアリング制御モジュール４０１は、重み付けルール４３０を参照し評価指標を算出する。評価指標には、危険度、活動度、新鮮度、アクセス可能性などの種類がある。ここでは、図１３Ａに示したリクエストＩＤ１３０１のＲ００１の重み１３０２は１、Ｒ００２の重み１３０２は３である例を用いて、危険度の評価指標の算出方法を説明する。

リクエストＩＤ１３０１のＲ００１に対応するスコアが３、Ｒ００２に対応するスコアが５と仮定すると、危険度は、スコアと重みの乗算値を加算し、各重み１３０２を考慮した平均として、
（１×３＋３×５）÷（１＋３）＝４．５
となる。評価指標を算出した後、ステップ１５０４に進む。

ステップ１５０４において、スコアリング制御モジュール４０１は、統合リスクを算出する。統合リスクは、各評価指標の値の重みを考慮した平均値として算出される。図１３Ｂに示したように、危険度の重みは３、活動度の重みは２、新鮮度の重み１、アクセス可能性の重みが１であり、危険度の評価指標が４、活動度の評価指標が１０、新鮮度の評価指標が３、アクセス可能性の評価指標が２でるとする。

これらの数値に対する統合リスクは、
（３×４＋２×１０＋１×３＋１×２）÷（３＋２＋１＋１）＝５．３
となる。なお、この例では、危険度の評価指標は小数点以下が切り捨てられ、統合リスクは小数点以下２桁が四捨五入されているが、このような数値の表現に限定されるものではない。そして、スコアリング制御モジュール４０１は、統合リスクを算出した後、処理を終了する。

図１６を参照して、ブラックリスト選択モジュール５０１の処理フローの例を説明する。この処理の目的は、ブラッククリスト候補２２１に含まれる悪性ＵＲＬを、ＵＲＬ属性リスト３０５、ＵＲＬスコアリスト４０３に基き、対策システム２３０の各対策機器に設定するかどうかを決めることである。ここでは、便宜上、対策機器はプロキシサーバ１２１とログ解析サーバ１２２に限定して説明する。ある悪性ＵＲＬは、フィルタリスト２３１に登録される第１のパタンか、照合リスト２３２に登録される第２のパタンか、どちらのリストにも登録されない第３のパタンかのいずれかのパタンに分類される。

ステップ１６０１において、ブラックリスト選択モジュール５０１は、ブラックリス候補に含まれるすべての悪性ＵＲＬに対応するＵＲＬ属性リスト３０５とＵＲＬスコアリスト４０３を読み込む。ステップ１６０２において、ブラックリスト選択モジュール５０１は、ブラックリスト候補２２１に含まれる悪性ＵＲＬのうち、ブラックリスト選択ルール５０３のいずれかのホワイトルールと一致する悪性ＵＲＬを除外する。除外された悪性ＵＲＬは第３のパタンに該当することになる。第３のパタンに該当する悪性ＵＲＬの除外が完了した後、ステップ１６０３に進む。

ステップ１６０３において、ブラックリスト選択モジュール５０１は、除外後の残りの悪性ＵＲＬの数が、フィルタリスト２３１の予め設定された上限値を超えるか判定し、超える場合はステップ１６０４へ進み、超えない場合はステップ１６０９へ進む。ステップ１６０９において、ブラックリスト選択モジュール５０１は、除外後の残りのブラックリスト候補２２１内の悪性ＵＲＬを、フィルタリスト２３１に設定する。これは第１のパタンに該当する。

ステップ１６０４において、ブラックリスト選択モジュール５０１は、ブラックリスト選択ルール５０３のいずれかのブラックルールに一致する悪性ＵＲＬを抽出する。ステップ１６０５において、ブラックリスト選択モジュール５０１は、ブラックルールに一致し抽出された悪性ＵＲＬの数が、フィルタリスト２３１の予め設定された上限値を超えるか判定し、超える場合はステップ１６０６へ進み、超えない場合はステップ１６１０へ進む。ステップ１６１０において、ブラックリスト選択モジュール５０１は、ブラックリスト候補２２１からブラックルールに一致して抽出されたすべての悪性ＵＲＬをフィルタリスト２３１に設定する。これは、第１のパタンに該当する。

ステップ１６０６において、ブラックリスト選択モジュール５０１は、ブラックルールに一致するブラックリスト候補２２１内の悪性ＵＲＬを、統合リスクの大きい順にフィルタリスト２３１へ設定する。これは、第１のパタンに該当する。この設定の過程において、予め設定された上限値を超えた場合、低い統合リスクの悪性ＵＲＬはフィルタリスト２３１に登録されない。高い統合リスクの悪性ＵＲＬをフィルタリスト２３１に設定した後、ステップ１６０７に進む。

ステップ１６０７において、ブラックリスト選択モジュール５０１は、残りのブラックリスト候補２２１が照合リスト２３２の予め設定された上限値を超えるか判定する。すなわち、ステップ１６０７において、ブラックリスト選択モジュール５０１は、ブラックルールに一致しなかった悪性ＵＲＬおよび一致したがフィルタリスト２３１の上限を超えたためにフィルタリスト２３１に設定できないブラックリスト候補２２１内の悪性ＵＲＬの数が、照合リスト２３２の予め設定された上限値を超えるかを判定する。その判定の結果として、超える場合はステップ１６０８へ進み、超えない場合はステップ１６１１に進む。

ステップ１６１１において、ブラックリスト選択モジュール５０１は、残りすべてのブラックリスト候補２２１を照合リスト２３２に設定し、処理を終了する。この設定は、第２のパタンに該当する。ステップ１６０８において、ブラックリスト選択モジュール５０１は、統合リスクの大きい順に悪性ＵＲＬを照合リスト２３２に設定する。この設定は、第２のパタンに該当する。この設定の過程において、予め設定された上限値を超えた場合、低い統合リスクの悪性ＵＲＬは照合リスト２３２に登録されない。これは、第３のパタンに該当する。そして、照合リスト２３２へ設定した後、処理を終了する。

なお、図２と図１６を用いた以上の説明では、プロキシサーバ１２１が有するフィルタリスト２３１へブラックリストを設定すると説明したが、フィルタリスト２３１の代わりに、ファイアウォール１３０が有するフィルタリスト２３３へブラックリストを設定し、インターネット１１０とイントラネット１２０との間の通信をフィルタリングしてもよい。また、悪性サイトを識別するため、ＵＲＬの代わりにシグネチャを用い、対策システム２３０においてＩＤＳ／ＩＰＳが実現されてもよい。

以上で説明したように、悪性ＵＲＬ生成元およびＵＲＬ属性取得先の複数の情報源から悪性サイトに関する情報を得て、リスクを算出し、ブラックリストを更新できるため、マルウェア配布サイト以外も含めた悪性サイト一般に対して、ブラックリストを管理することができる。また、悪性サイトの種別やＵＲＬ属性取得先などに応じたリスクの数値化が可能であり、数値化のルールも多様化が可能である。さらに、複数種類の対策システムそれぞれへリスクに応じたブラックリストを提供することが可能になる。

１１０：インターネット
１１１：悪性サイト
１１２：レピュテーションサイト
１２０：イントラネット
１２１：プロキシサーバ
１２４：ブラックリスト管理サーバ
１２６：クライアント
２３０：対策システム
２４０：ＵＲＬ属性取得先

Claims (11)

1. サーバにおける、ネットワークサイトが登録されるブラックリストの管理方法であって、
   前記サーバは、第２の情報の候補とスコア値とを対応付けて格納するセグメントルールと、複数の情報源それぞれの候補とスコア値に重み付けする値とを格納する重み付けルールと、を有し、
   前記サーバは、ネットワークサイトを特定する第１の情報を取得し、
   前記サーバは、前記取得した第１の情報に基づき、前記特定されたネットワークサイトに関する第２の情報を前記複数の情報源から取得し、
   前記サーバは、前記取得した第２の情報に対応する候補を前記セグメントルールの中で特定し、
   前記サーバは、前記特定した候補に対応するスコア値を取得し、
   前記サーバは、前記取得の元となる情報源に対応する候補を前記重み付けルールの中で特定し、
   前記サーバは、前記特定した候補に対応する重み付けする値を前記取得したスコア値へ乗算して、前記特定されたネットワークサイトのリスクを算出し、
   前記サーバは、前記算出したリスクに基づき、前記ブラックリストを更新すること
   を特徴とするブラックリストの管理方法。
2. 前記第１の情報は、ＵＲＬまたはＩＰアドレスであること
   を特徴とする請求項１に記載のブラックリストの管理方法。
3. 前記第２の情報は、前記特定されたネットワークサイトの種別を含むこと
   を特徴とする請求項１に記載のブラックリストの管理方法。
4. 前記複数の情報源は、複数のネットワークサイトであること
   を特徴とする請求項１に記載のブラックリストの管理方法。
5. 前記複数の情報源は、１つのネットワークサイトに格納された複数の異なる情報であること
   を特徴とする請求項１に記載のブラックリストの管理方法。
6. 前記情報源となる複数のネットワークサイトは、レピュテーションサイトを含むこと
   を特徴とする請求項４に記載のブラックリストの管理方法。
7. 前記サーバは、前記情報源となるネットワークサイトのアドレスと、前記取得した第１の情報とを格納するリクエスト定義リストをさらに有し、
   前記サーバは、前記第２の情報を取得するために、前記リクエスト定義リストに格納された情報源となるネットワークサイトのアドレスへ、前記リクエスト定義リストに格納された第１の情報を送信し、前記第２の情報を取得すること
   を特徴とする請求項１に記載のブラックリストの管理方法。
8. プロキシサーバと管理サーバを含むシステムにおける、ネットワークサイトが登録されるブラックリストの管理方法であって、
   前記管理サーバは、第２の情報の候補とスコア値とを対応付けて格納するセグメントルールと、複数の情報源それぞれの候補とスコア値に重み付けする値とを格納する重み付けルールと、を有し、
   前記管理サーバは、ネットワークサイトを特定する第１の情報を取得し、
   前記管理サーバは、前記取得した第１の情報に基づき、前記特定されたネットワークサイトに関する第２の情報を前記複数の情報源から取得し、
   前記管理サーバは、前記取得した第２の情報に対応する候補を前記セグメントルールの中で特定し、
   前記管理サーバは、前記特定した候補に対応するスコア値を取得し、
   前記管理サーバは、前記取得の元となる情報源に対応する候補を前記重み付けルールの中で特定し、
   前記管理サーバは、前記特定した候補に対応する重み付けする値を前記取得したスコア値へ乗算して、前記特定されたネットワークサイトのリスクを算出し、
   前記管理サーバは、前記算出したリスクに基づき、前記プロキシサーバのフィルタリストをブラックリストとして更新すること
   を特徴とするブラックリストの管理方法。
9. 前記管理サーバは、前記情報源となるネットワークサイトのアドレスと、前記取得した第１の情報とを格納するリクエスト定義リストをさらに有し、
   前記管理サーバは、前記第２の情報を取得するために、前記リクエスト定義リストに格納された情報源となるネットワークサイトのアドレスへ、前記リクエスト定義リストに格納された第１の情報を送信し、前記第２の情報を取得すること
   を特徴とする請求項８に記載のブラックリストの管理方法。
10. 前記管理サーバは、前記ブラックリストとして更新するため、前記算出したリスクの小さいネットワークサイトを含まない第１のブラックリストを前記プロキシサーバへ送信し、
    前記プロキシサーバは、前記第１のブラックリストを受信し、前記フィルタリストへ設定すること
    を特徴とする請求項９に記載のブラックリストの管理方法。
11. 前記システムは、照合リストに基づきログを解析するログ解析サーバをさらに含み、
    前記管理サーバは、前記第１のブラックリストに含まれないネットワークサイトを含む第２のブラックリストを前記ログ解析サーバへ送信し、
    前記ログ解析サーバは、前記第２のブラックリストを受信し、前記照合リストへ設定すること
    を特徴とする請求項１０に記載のブラックリストの管理方法。

Images