JP6709909B2 - 検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法 - Google Patents

検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法 Download PDF

Info

Publication number
JP6709909B2
JP6709909B2 JP2018502586A JP2018502586A JP6709909B2 JP 6709909 B2 JP6709909 B2 JP 6709909B2 JP 2018502586 A JP2018502586 A JP 2018502586A JP 2018502586 A JP2018502586 A JP 2018502586A JP 6709909 B2 JP6709909 B2 JP 6709909B2
Authority
JP
Japan
Prior art keywords
web application
response
parameter
request
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2018502586A
Other languages
English (en)
Other versions
JPWO2017150003A1 (ja
Inventor
卓郎 柳田
卓郎 柳田
邦男 郷原
邦男 郷原
智宏 高井
智宏 高井
孝一 金村
孝一 金村
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Intellectual Property Management Co Ltd
Original Assignee
Panasonic Intellectual Property Management Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Intellectual Property Management Co Ltd filed Critical Panasonic Intellectual Property Management Co Ltd
Publication of JPWO2017150003A1 publication Critical patent/JPWO2017150003A1/ja
Application granted granted Critical
Publication of JP6709909B2 publication Critical patent/JP6709909B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0245—Filtering by information in the payload
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/66—Arrangements for connecting between networks having differing types of switching systems, e.g. gateways
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

本開示は、ネットワークからの攻撃を回避する、検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法に関する。
従来、通信情報監視装置では、予め設定されたチェックルールに基づいてクライアントからのリクエスト（リクエストメッセージ）のパラメータをチェックし、攻撃と判断してこのリクエストを排除する（例えば特許文献１参照）。
また、マルウェア解析システムでは、マルウェア候補サンプル（不正なパラメータ）がマルウェアであると判定された場合にシグネチャを自動的に生成する（例えば特許文献２参照）。
特開２００７−４６８５号公報 特開２０１４−５１９１１３号公報
検知システムの一態様は、ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置と、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置と、を備える。ウェブアプリケーションファイアウォール装置は、ウェブクライアントから送られてきたリクエストを受信し、リクエストが正当か否かを判定する第１の制御部と、ウェブアプリケーション装置からリクエストに対応するレスポンスを受信して分析する分析受信部と、を有する。ウェブアプリケーション装置は、ウェブアプリケーションファイアウォール装置から送信されてくるリクエストを受信し、リクエストが正当か否かを判定する第２の制御部と、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置にレスポンスを送信する応答生成部と、を有する。そして、リクエストに対するレスポンスは、リクエストが正当か否かの判定結果を含む。第１の制御部は、ウェブクライアントから送られてきたパラメータを含むリクエストを受信し、リクエストが不正なパラメータを含むか否かを判定する判定部と、ウェブクライアントの不正なパラメータを含むリクエストをフィルタリングするためのデータを格納している第１の記憶部と、データを生成する生成部と、を備え、判定部は、分析受信部がレスポンスから不正なパラメータの情報である不正情報を抽出した場合に、第１の記憶部に格納されているデータを更新してリクエストをフィルタリングすることにより、不正なパラメータを含むリクエストを遮断し、分析受信部は、レスポンスから不正情報を抽出した場合に、不正情報を生成部に送信し、生成部は、不正情報や不正なパラメータからデータを生成する。
また、本開示の一態様に係るウェブアプリケーション装置は、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置であって、ウェブアプリケーションファイアウォール装置から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する第２の制御部と、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置にレスポンスを送信する応答生成部と、を有する。そして、応答生成部は、不正なパラメータであると第２の制御部が判定した場合に、不正なパラメータの情報である不正情報をレスポンスに格納し、正当なパラメータであると第２の制御部が判定した場合に、正当なパラメータの情報である正当情報をレスポンスに格納し、応答生成部は、不正情報を含むレスポンス又は正当情報を含むレスポンスを生成してウェブアプリケーションファイアウォール装置に送信する。
また、本開示の一態様に係るウェブアプリケーションファイアウォール装置は、ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置であって、ウェブクライアントから送られてきたリクエストを受信し、リクエストが正当か否かを判定する第１の制御部と、ウェブアプリケーション装置からレスポンスを受信して分析する分析受信部と、前記ウェブクライアントのリクエストを遮断するためのデータを格納している第１の記憶部と、を備える。そして、第１の制御部は、ウェブクライアントから送られてきたパラメータを含むリクエストを受信し、リクエストが不正なパラメータを含むか否かを判定する判定部と、リクエストから不正なパラメータを遮断するシグネチャを生成する生成部と、シグネチャから不正なパラメータを遮断する規定を第１の記憶部に格納する規定部と、を有する。さらに、分析受信部は、ウェブアプリケーションから送られてきたレスポンスに不正情報が含まれていた場合、不正情報を生成部に送信する。
また、本開示の一態様に係る検知システムにおける検知方法は、ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置と、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置とを備える検知システムにおける検知方法であって、ウェブアプリケーションファイアウォール装置において、ウェブクライアントから送られてきたパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する第１判定ステップと、ウェブアプリケーション装置からリクエストに対応するレスポンスを受信して分析する分析受信ステップと、を含む。第１判定ステップでは、分析受信ステップでレスポンスから不正なパラメータの情報である不正情報を抽出した場合に、パラメータをフィルタリングするためのデータを更新する。検知システムにおける検知方法は、さらに、ウェブアプリケーション装置において、ウェブアプリケーションファイアウォール装置から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する第２判定ステップと、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置にレスポンスを送信する応答生成ステップとを含む。応答生成ステップでは、不正情報を含むレスポンス又は正当なパラメータの情報である正当情報を含むレスポンスを生成してウェブアプリケーションファイアウォール装置に送信する。
また、本開示の一態様に係るウェブアプリケーション装置の検知方法は、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置を備える検知システムにおける検知方法であって、ウェブアプリケーション装置からウェブアプリケーションファイアウォール装置へリクエストをフィルタリングするための情報をヘッダに含むレスポンスを送信する。
また、本開示の一態様に係るウェブアプリケーションファイアウォール装置の検知方法は、ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置の検知方法であって、リクエストをフィルタリングするための情報をヘッダに含むレスポンスをウェブアプリケーション装置から受信して分析する分析受信部が、レスポンスから不正なパラメータの情報である不正情報を抽出した場合に、リクエストをフィルタリングするためのデータを更新する。
ウェブアプリケーションファイアウォール装置では、リクエストを発行したウェブクライアントをフィルタリングするため、ウェブアプリケーション装置からウェブアプリケーションファイアウォール装置へ送信する情報として、少なくともＩＰアドレスまたはウェブクライアントを一意に特定する識別子を利用する。ウェブクライアントを一意に特定する識別子は、ウェブクライアント自身が内部ファームウェアに内包するＩＤであってもよく、ウェブクライアントに対して、ウェブサーバが一意に割り当てるＩＤであってもよく、ウェブクライアントからのログイン情報に基づいてウェブサーバが一意に割り当てるセッションＩＤであってもよい。
本開示によれば、上述した判定、生成、分析が、継続的かつ速やかに実現でき、サーバセキュリティが安定して確保できる。また、未知の攻撃であってもその攻撃を未然に防ぐことができる。また、正当なパラメータを有するリクエストを誤って遮断することを防止することができる。さらに、システム構築に費やすコストを低廉化することができる。
図１は、実施の形態１の検知システムを示すブロック図である。 図２は、実施の形態１の検知システムを示す説明図である。 図３は、実施の形態１の検知システムにおけるウェブアプリケーションファイアウォール装置を示すブロック図である。 図４は、実施の形態１の検知システムにおけるウェブアプリケーション装置を示すブロック図である。 図５は、実施の形態１の検知システムにおける動作を示すシーケンス図である。 図６は、実施の形態１の検知システムにおけるウェブアプリケーション装置の制御部の判定を示す説明図である。 図７は、実施の形態２の検知システムにおけるウェブアプリケーションファイアウォール装置を示すブロック図である。 図８は、実施の形態２の検知システムを示す説明図である。 図９は、実施の形態２の検知システムにおける動作を示すシーケンス図である。 図１０は、実施の形態２の検知システムを示す概念図である。 図１１は、検知システムにおけるウェブアプリケーション装置の制御部の判定を示す説明図である。
（発明の基礎となった知見）
インターネット等のネットワークを介したサービスの提供として、例えば、ウェブアプリケーション装置がある。ウェブクライアントは、サービスを利用する場合に、ネットワークを介してウェブアプリケーション装置にリクエストを送信する。そして、ウェブアプリケーション装置はこのリクエストに対してレスポンスをウェブクライアントに送信する。
ウェブクライアントからウェブアプリケーション装置の脆弱性を悪用した不正なパラメータを含んだリクエストが送信されてくる場合には、ウェブアプリケーション装置に影響を与え、これが誤動作等を行うことがある。このため、ウェブアプリケーションファイアウォール装置を介し、リクエストに含まれる不正なパラメータを遮断してウェブアプリケーション装置を保護している。
従来、ウェブアプリケーションファイアウォール装置では、正当なパラメータを装う攻撃として、ＳＱＬインジェクション、ＤＤｏｓ攻撃（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ攻撃）等の攻撃パターンをブロックすることが知られている。
ウェブアプリケーションファイアウォール装置において、攻撃か否かの判断方法には、ブラックリスト方式とホワイトリスト方式とが知られている。
ブラックリスト方式は、ウェブアプリケーションファイアウォール装置に予め格納されている不当（実行不可能）なパラメータの情報であるブラックリストと、リクエストのパラメータとを照合し、照合が一致した場合に、リクエストを遮断することで、攻撃を未然に防止する方式である。このブラックリスト方式では、予め格納されているデータを定期的に更新しないと、このデータに記載されていない未知の攻撃を受けてしまうという課題がある。また、ブラックリストを定期的に更新したとしても、攻撃パターンの調査等による負担が増加するという課題もある。
一方、ホワイトリスト方式では、ウェブアプリケーションファイアウォール装置に予め格納されている正当（実行可能）なパラメータの情報であるホワイトリストと、リクエストのパラメータとを照合し、照合が一致した場合以外は、不正なパラメータと判定する。このホワイトリスト方式では、ブラックリスト方式よりもセキュリティの強度が高いといえるが、パラメータごとにホワイトリストを定義することが困難であり、運用負担が大きくなるという課題がある。こうしたことから現在では、ブラックリスト方式が主流となっている。
しかしながら、従来のブラックリスト方式を用いたウェブアプリケーションファイアウォール装置では、ブラックリストとして予め格納されていない未知の攻撃（最初の攻撃）防ぐことができない。また、リクエストが正当なパラメータを含んでいても、リクエストを誤って遮断（誤検出）してしまうという問題も生じている。
このため、未知の攻撃であっても、その攻撃を未然に防ぐことができたり、正当なパラメータを有するリクエストを誤って遮断することを防止することができたり、システム構築に費やすコストを低廉化することができたりすることが求められている。
そこで、上記のような課題から検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法を検討した。
以下、適宜図面を参照しながら、実施の形態を詳細に説明する。但し、必要以上に詳細な説明は省略する場合がある。例えば、既によく知られた事項の詳細説明や実質的に同一の構成に対する重複説明を省略する場合がある。これは、以下の説明が不必要に冗長になるのを避け、当業者の理解を容易にするためである。
なお、発明者らは、当業者が本開示を十分に理解するために添付図面および以下の説明を提供するのであって、これらによって特許請求の範囲に記載の主題を限定することを意図するものではない。
なお、各図は、必ずしも厳密に図示されたものではない。また、各図において、実質的に同一の構成に対しては同一の符号を付しており、重複する説明は省略又は簡略化する。
（実施の形態１）
ここでは、本開示の実施の形態１として、本開示に関わる検知システム１について図面を参照しながら説明する。
（検知システム全体の構成）
図１は、実施の形態１の検知システム１を示すブロック図である。
図１に示すように、検知システム１は、ウェブアプリケーションファイアウォール装置３と、ウェブアプリケーション装置５とを備えている。ウェブアプリケーションファイアウォール装置３及びウェブアプリケーション装置５は、例えば、情報処理装置を用いて実現することができる。
ウェブアプリケーションファイアウォール装置３は、ウェブアプリケーション装置５に対する攻撃を防ぐために、ウェブクライアント９からのリクエストに含まれるパラメータをフィルタリングする。ウェブアプリケーションファイアウォール装置３は、通信部を介してインターネットなどのネットワーク７に接続されて、ネットワーク７を介してウェブクライアント９に接続されている。リクエストに含まれるパラメータは、例えば、セキュリティＩＤ、セキュリティＩＤを含むＣｏｏｋｉｅなどである。
図２は、実施の形態１の検知システム１を示す説明図である。
図２に示すように、図１のウェブクライアント９からのリクエストは、図１のネットワーク７を介してウェブアプリケーションファイアウォール装置３でフィルタリングされる。ウェブアプリケーションファイアウォール装置３でフィルタリングされたリクエストは、ウェブアプリケーション装置５に送信される。ウェブアプリケーション装置５は、リクエストに対するレスポンスをウェブアプリケーションファイアウォール装置３に送信する。ウェブアプリケーションファイアウォール装置３は、図１のネットワーク７を介して図１のウェブクライアント９にレスポンスを送信する。実線の矢印で示すように、ウェブアプリケーション装置５がリクエストに含まれる不正なパラメータを検出した場合は、今後、不正なパラメータを含むリクエストを遮断するために、ウェブアプリケーションファイアウォール装置３の記憶部３５（第１の記憶部）に、不正なパラメータの情報である不正情報をフィードバックする。つまり、不正情報をブラックリストに登録し、ブラックリストを更新する。なお、リクエスト及びレスポンスは、ＨＴＴＰ通信を用いて送信される。
ウェブアプリケーションファイアウォール装置３は、ブラックリストに登録する不正情報として、少なくともＩＰアドレス、またはウェブクライアント９を一意に特定する識別子を利用する。ウェブクライアント９を一意に特定する識別子は、ウェブクライアント９自身が内部ファームウェアに内包するＩＤであってもよく、ウェブクライアント９に対してウェブサーバが一意に割り当てるＩＤであってもよく、ウェブクライアント９からのログイン情報に基づいてウェブサーバが一意に割り当てるセッションＩＤであってもよい。
（ウェブアプリケーションファイアウォール装置の構成）
図３は、実施の形態１の検知システム１におけるウェブアプリケーションファイアウォール装置３を示すブロック図である。
図３に示すように、ウェブアプリケーションファイアウォール装置３は、分析受信部３３、記憶部３５（第１の記憶部）、制御部４１（第１の制御部）及びインターフェイス４３を有している。また、制御部４１は、判定部３１、生成部３７、規定部３９を備えている。
判定部３１は、ウェブクライアント９から送られてきたパラメータを含むリクエストを受信する。判定部３１は、メソッドやＵＲＩなどのリクエストライン、ジェネラルヘッダやリクエストヘッダ等のヘッダ等を検査する。判定部３１は、リクエストが不正なパラメータを含むか否かを判定する。言い換えれば、判定部３１は、記憶部３５に格納されているブラックリストとリクエストのパラメータとが一致するか否かを判定する。判定部３１は、分析受信部３３がレスポンスから不正情報を抽出した場合に、記憶部３５に格納されているパラメータをフィルタリングするためのデータを更新（規定部３９が生成した後述する規定を更新）する。
分析受信部３３は、リクエストに対応するレスポンスを行うウェブアプリケーション装置５からレスポンスを受信し、レスポンスに含まれる情報が不正情報か正当なパラメータの情報である正当情報かを分析する。分析受信部３３は、例えば、レスポンスのステータスコード、レスポンスヘッダ等の分析である。分析受信部３３は、レスポンスから不正情報が抽出された場合に、不正情報を生成部３７に送信する。一方、分析受信部３３は、レスポンスから正当情報を抽出した場合に、正当情報を含むレスポンスがインターフェイス４３を介してウェブクライアント９に送信される。
記憶部３５は、例えば、ＨＤＤ（Ｈａｒｄ ｄｉｓｋ ｄｒｉｖｅ）などの不揮発性記録媒体により実現される。記憶部３５は、ウェブクライアント９の不正なパラメータを含むリクエストを遮断するためのデータを格納している。記憶部３５のデータは、不正なパラメータといったブラックリストや、不正なパラメータを含むリクエストを遮断する規定（ルール）や、遮断することとなったエラーログなどである。このエラーログは、後に、記憶部３５に格納されているエラーの解析がなされる。
生成部３７は、判定部３１でエラー処理されたパラメータや不正情報から不正なパラメータを遮断するシグネチャを生成する。
規定部３９は、不正なパラメータを含むリクエストを検出するために、シグネチャから不正なパラメータを含むリクエストを遮断する規定（ルール）を定義する。
制御部４１は、この規定を更新し、記憶部３５に格納する。制御部４１は、ＣＰＵ、メインメモリ等が格納されている制御回路である。メインメモリは、例えば、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等の記憶媒体である。
（ウェブアプリケーション装置の構成）
図４は、実施の形態１の検知システム１におけるウェブアプリケーション装置５を示すブロック図である。
図４に示すように、ウェブアプリケーション装置５は、フィルタリングされたリクエストに対応するＨＴＴＰレスポンスをウェブアプリケーションファイアウォール装置３に送信する。ウェブアプリケーション装置５は、制御部５１（第２の制御部）、応答生成部５３及び記憶部５５（第２の記憶部）を有している。
制御部５１は、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する。言い換えれば、制御部５１は、記憶部５５に格納されているホワイトリストとリクエストのパラメータとが一致するか否かを判定する。記憶部５５は、ウェブクライアント９の不正なパラメータを含むリクエストを遮断するためのデータを格納している。ウェブアプリケーション装置５における記憶部５５のデータは、正当なパラメータといったホワイトリストなどである。なお、記憶部５５は、制御部５１内に備わっていてもよい。
制御部５１は、ホワイトリストとリクエストのパラメータとが一致しないと判定した場合に、検出された不正情報をレスポンスのヘッダに登録する。不正情報は、ログイン認証失敗回数、検出日時、選択した処理方法、接続元ＩＰアドレス、接続先ＵＲＬ、不正だと判定したヘッダ等である。
また、制御部５１は、ホワイトリストとリクエストのパラメータとが一致する場合に、検出された正当なパラメータに関する情報である正当情報をレスポンスのヘッダに登録する。
応答生成部５３は、不正情報を含むレスポンス及び正当情報を含むレスポンスを選択的に生成してウェブアプリケーションファイアウォール装置３に送信する。つまり、応答生成部５３は、不正情報を含むレスポンス又は正当情報を含むレスポンス（リクエストに対応するレスポンス）を生成し、ウェブアプリケーションファイアウォール装置３にレスポンスを送信する。応答生成部５３は、不正なパラメータであると制御部５１が判定した場合に、不正情報を含むレスポンスを生成し、正当なパラメータであると制御部５１が判定した場合に、正当情報を含むレスポンスを生成する。
［動作］
以上のように構成された検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法について、その動作を以下に説明する。
図５は、実施の形態１の検知システム１における動作を示すシーケンス図である。図６は、実施の形態１の検知システム１におけるウェブアプリケーション装置５の制御部５１の判定を示す説明図である。
図１及び図５に示すように、ウェブアプリケーションファイアウォール装置３は、ウェブクライアント９からのリクエストを受信する。ウェブアプリケーションファイアウォール装置３の判定部３１は、このリクエストのパラメータと記憶部３５（第１の記憶部）に格納されているブラックリストとが一致するか否かを判定する（第１判定ステップＳ１）。
判定部３１は、このリクエストのパラメータと記憶部３５に格納されているブラックリストとが一致する場合（Ｓ１ではＹＥＳ）に、エラーとして処理されたパラメータ（不正なパラメータ）をエラーログとして記憶部３５に格納する（Ｓ２）。なお、不正なパラメータについて、記憶部３５に格納されているエラーの解析がなされる（Ｓ３）。
なお、ウェブアプリケーションファイアウォール装置３では、ステップＳ１でＹＥＳの場合に、検出された不正なパラメータが検出されたことをウェブクライアント９にエラーを通知してもよい。そして、分析受信部３３は、エラーの通知をウェブクライアント９に送信してもよい。
判定部３１は、このリクエストのパラメータと記憶部３５に格納されているブラックリストとが一致しない場合（Ｓ１ではＮＯ）に、ウェブアプリケーションファイアウォール装置３がパラメータを含むリクエストを、ウェブアプリケーション装置５に送信する（Ｓ４）。つまり、ウェブアプリケーションファイアウォール装置３では、判定部３１がブラックリスト方式を採用している。
次に、制御部５１は、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信する。制御部５１は、リクエストが正当なパラメータを含むか否かを判定する（第２判定ステップＳ５）。言い換えれば、制御部５１は、ホワイトリストとリクエストのパラメータとが一致するか否かを判定する。
制御部５１は、リクエストのパラメータと記憶部５５（第２の記憶部）に格納されているホワイトリストと、が一致しない場合（Ｓ５ではＮＯ）に、どのパラメータで一致しないとされたのか等の情報を後に判断するために、障害切り分けを行う（Ｓ６）。制御部５１は、障害切り分けされた不正なパラメータの情報である不正情報を登録する（Ｓ７）。
例えば、図６に示すように、ホワイトリストのパラメータを（ｘ１、ｘ２）とし、リクエストのパラメータを（ｘ１、ｘ２、ｘ３）とした場合に、その判定結果は、ｘ１＝正当、ｘ２＝正当、ｘ３＝不正となる。レスポンスのヘッダには、ありえないパラメータであるｘ３が存在することを不正情報として登録する。そして、図５に示すように、制御部５１は、応答生成部５３に不正情報を含むレスポンスを送信する。
応答生成部５３は、不正情報を含んだレスポンスを生成する（応答生成ステップＳ８）。応答生成部５３は、ウェブアプリケーションファイアウォール装置３の分析受信部３３に不正情報を含んだレスポンス送信する（Ｓ９、ウェブアプリケーション装置５の検知方法）。
制御部５１は、リクエストのパラメータと記憶部５５に格納されているホワイトリストとが一致する場合（Ｓ５ではＹＥＳ）に、正当なパラメータの情報である正当情報として扱う。つまり、このウェブアプリケーション装置５では、制御部５１がホワイトリスト方式を採用している。
例えば、図６に示すように、ホワイトリストのパラメータを（ｙ１、ｙ２）とし、リクエストのパラメータを（ｙ１、ｙ２）とした場合に、その判定結果は、ｙ１＝正当、ｙ２＝正当となる。レスポンスのヘッダには、パラメータ（ｙ１、ｙ２）を含むリクエストを正当情報として登録する（図５のＳ１０）。そして、図５に示すように、制御部５１は、応答生成部５３に正当情報を含むレスポンスを送信する。
応答生成部５３は、正当情報を含んだレスポンスを生成する（応答生成ステップＳ８）。応答生成部５３は、ウェブアプリケーションファイアウォール装置３の分析受信部３３に正当情報を送信する（Ｓ９、ウェブアプリケーション装置５の検知方法）。
分析受信部３３は、応答生成部５３からレスポンスを受信する。分析受信部３３は、レスポンスに正当情報が含まれているか否かを分析する（Ｓ１１、分析受信ステップ）。分析受信部３３は、正当情報が含まれていない場合（Ｓ１１ではＮＯ）、つまり、不正情報がレスポンスに含まれている場合に、生成部３７に不正情報を送信する。
図１及び図５に示すように、生成部３７は、ウェブクライアント９から不正なパラメータを含むリクエストをフィルタリングするために、不正情報に基づくシグネチャを生成する（Ｓ１２）。また、生成部３７は、ステップＳ３のエラーに基づいて生成部がシグネチャを生成したりもする。生成部３７は、生成したシグネチャを規定部３９に送信する。
規定部３９は、シグネチャに基づいて不正なパラメータを含むリクエストを遮断する規定（ルール）を定義する（Ｓ１３）。判定部３１は、リクエストを遮断する規定を記憶部３５に格納する（Ｓ１４、ウェブアプリケーションファイアウォール装置３の検知方法）。つまり、記憶部３５に新たな規定が更新されることで、ウェブアプリケーションファイアウォール装置３の判定部３１は、同一のパラメータを含んだリクエストを今後遮断する。
なお、判定部３１は、検出された不正なパラメータが検出されたことをウェブクライアント９にエラーを通知してもよい。そして、エラーの通知をウェブクライアント９に送信してもよい。また、なお、分析受信部３３は、不正情報を検出した場合に、ウェブクライアント９にレスポンスを送信しない遮断処理を行ってもよい。
分析受信部３３は、正当情報を検出した場合（Ｓ１２ではＹＥＳ）に、インターフェイス４３を介してウェブクライアント９に、リクエストに対応するレスポンスを送信する（Ｓ１５）。
［作用効果］
次に、本実施の形態に係る検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法の作用効果について説明する。
上述したように、本実施の形態に係る検知システム１では、ウェブクライアント９からのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置３と、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置５とを備えている。ウェブアプリケーションファイアウォール装置３は、ウェブクライアント９から送られてきたパラメータを含むリクエストを受信し、リクエストが不正なパラメータを含むか否かを判定する判定部３１と、ウェブアプリケーション装置５からリクエストに対応するレスポンスを受信して分析する分析受信部３３とを有している。ウェブアプリケーション装置５は、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する制御部５１と、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置３にレスポンスを送信する応答生成部５３とを有している。判定部３１は、分析受信部３３がレスポンスから不正なパラメータの情報である不正情報を抽出した場合に、パラメータをフィルタリングするためのデータを更新する。応答生成部５３は、不正情報を含むレスポンス及び正当なパラメータの情報である正当情報を含むレスポンスを選択的に生成してウェブアプリケーションファイアウォール装置３に送信する。
この構成によれば、判定部３１が不正なパラメータを遮断し、制御部５１が正当なパラメータを許容することができている。判定部３１は、制御部５１が抽出した正当なパラメータ以外のパラメータをフィルタリングするためのデータを更新することができている。これにより、ウェブアプリケーション装置５におけるホワイトリスト以外のパラメータを不正情報とし、この不正情報をウェブアプリケーションファイアウォール装置３のブラックリストに追加することができている。また、正当なパラメータを有するリクエストは、判定部３１及び制御部５１を通過してこのリクエストに対応するレスポンスをウェブクライアント９に送信することができている。
また、この検知システム１では、仮想マシン上や解析用の物理マシン上に、ヒューリスティックエンジンを搭載した攻撃を検出する専用の装置を必要とすることもなく、システム構築に費やすコストが増大し難い。
したがって、未知の攻撃であってもその攻撃を未然に防ぐことができる。また、正当なパラメータを有するリクエストを遮断することを防止することができる。さらに、システム構築に費やすコストを低廉化することができる。
また、本実施の形態に係る検知システム１において、ウェブアプリケーションファイアウォール装置３は、さらに、ウェブクライアント９の不正なパラメータを含むリクエストを遮断するためのデータを格納している記憶部３５と、データを生成する生成部３７とを有している。また、分析受信部３３は、レスポンスから不正情報を抽出した場合に、不正情報を生成部３７に送信する。そして、判定部３１は、記憶部３５に格納されているデータを更新してリクエストをフィルタリングすることにより、不正なパラメータを含むリクエストを遮断する。
この構成によれば、ウェブアプリケーションファイアウォール装置３とウェブアプリケーション装置５とが連携してシグネチャを自動で更新することができる。シグネチャが自動で更新されていくことで、リクエストを遮断するデータに簡易に反映することができる。
上述したように、本実施の形態に係るウェブアプリケーション装置５では、フィルタリングされたリクエストに対応するレスポンスを送信する。ウェブアプリケーション装置５は、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する制御部５１と、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置３にレスポンスを送信する応答生成部５３とを有している。応答生成部５３は、不正なパラメータであると制御部５１が判定した場合に、不正なパラメータの情報である不正情報をレスポンスに格納する。応答生成部５３は、正当なパラメータであると制御部５１が判定した場合に、正当なパラメータの情報である正当情報をレスポンスに格納する。応答生成部５３は、不正情報を含むレスポンス又は正当情報を含むレスポンスを生成してウェブアプリケーションファイアウォール装置３に送信する。
この構成によれば、正当なパラメータの情報である正当情報と、正当なパラメータ以外のパラメータを不正なパラメータの情報である不正情報とに振り分けて、ウェブアプリケーションファイアウォール装置３にフィードバックすることができる。
上述したように、本実施の形態に係るウェブアプリケーションファイアウォール装置３では、ウェブクライアント９からのリクエストをフィルタリングする。ウェブアプリケーションファイアウォール装置３は、ウェブクライアント９から送られてきたパラメータを含むリクエストを受信し、リクエストが不正なパラメータを含むか否かを判定する判定部３１と、ウェブアプリケーション装置５からレスポンスを受信して分析する分析受信部３３と、ウェブクライアント９の不正なパラメータを含むリクエストを遮断するためのデータを格納している記憶部３５と、リクエストから不正なパラメータを遮断するシグネチャを生成する生成部３７と、シグネチャから不正なパラメータを遮断する規定を記憶部３５に格納する規定部３９と、を有している。分析受信部３３は、不正なパラメータが抽出された場合に、不正なパラメータを生成部３７に送信する。
この構成によれば、ウェブアプリケーションファイアウォール装置３とウェブアプリケーション装置５とが連携してこの規定を自動で更新することができる。ウェブアプリケーションファイアウォール装置３では、この規定が自動で更新されていくことで、リクエストを遮断するデータに簡易に反映することができる。このため、再度、不正なパラメータを含むリクエストがあってもウェブアプリケーションファイアウォール装置３で遮断することができる。その結果、ウェブアプリケーションファイアウォール装置３のフィルタリングを強化することができる。
特に、ウェブアプリケーションファイアウォール装置３では、ウェブアプリケーション装置５の仕様に変更が生じても、この規定を自動で更新することができるため、柔軟な対応を行うことができる。
上述したように、本実施の形態に係る検知システム１における検知方法では、ウェブクライアント９からのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置３と、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置５とを備える。ウェブアプリケーションファイアウォール装置３において、ウェブクライアント９から送られてきたパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する判定ステップと、ウェブアプリケーション装置５からリクエストに対応するレスポンスを受信して分析する分析受信ステップとを含んでいる。第１判定ステップでは、分析受信部３３がレスポンスから不正なパラメータの情報である不正情報を抽出した場合に、パラメータをフィルタリングするためのデータを更新する。検知システム１における検知方法は、さらに、ウェブアプリケーション装置５において、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する第２判定ステップと、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置３にレスポンスを送信する応答生成ステップとを含む。応答生成ステップでは、不正情報を含むレスポンス又は正当なパラメータの情報である正当情報を含むレスポンスを生成してウェブアプリケーションファイアウォール装置３に送信する。
この方法によれば、判定部３１が不正なパラメータを遮断し、制御部５１が正当なパラメータを許容する。判定部３１は、制御部５１が抽出した正当なパラメータ以外のパラメータをフィルタリングするためのデータを更新する。これにより、ウェブアプリケーション装置におけるホワイトリスト以外のパラメータを不正情報とし、この不正情報をウェブアプリケーションファイアウォール装置３のブラックリストに追加する。また、正当なパラメータを有するリクエストは、判定部３１及び制御部５１を通過してこのリクエストに対応するレスポンスをウェブクライアント９に送信する。
また、この検知システム１では、仮想マシン上や解析用の物理マシン上に、ヒューリスティックエンジンを搭載した攻撃を検出する専用の装置を必要とすることもなく、システム構築に費やすコストが増大し難い。
したがって、未知の攻撃であってもその攻撃を未然に防ぐことができる。また、正当なパラメータを有するリクエストを遮断することを防止することができる。さらに、システム構築に費やすコストを低廉化することができる。
上述したように、本実施の形態に係るウェブアプリケーション装置５の検知方法では、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置５を備える。ウェブアプリケーション装置５の検知方法は、ウェブアプリケーション装置５からウェブアプリケーションファイアウォール装置３へリクエストをフィルタリングするための情報をヘッダに含むレスポンスを送信する。
この方法によれば、フィルタリングを行う情報をウェブアプリケーションファイアウォール装置３にフィードバックすることができる。このため、未知の攻撃であってもその攻撃を未然に防ぐことができる。
上述したように、本実施の形態に係るウェブアプリケーションファイアウォール装置３の検知方法では、ウェブクライアントからのリクエストをフィルタリングする。この検知方法では、リクエストをフィルタリングするための情報をヘッダに含むレスポンスをウェブアプリケーション装置５から受信して分析する分析受信部３３が、レスポンスから不正なパラメータの情報である不正情報を抽出した場合に、リクエストをフィルタリングするためのデータを更新する。
この方法によれば、ウェブアプリケーション装置５から受信したレスポンスを分析受信部３３が分析し、不正情報を抽出してリクエストをフィルタリングするためのデータを更新する。このため、リクエストを遮断する規定を簡易に反映することができる。
（実施の形態２）
次に、本開示の実施の形態２として、本開示に関わる検知システム１について図７及び図８を参照しながら説明する。
［構成］
図７は、実施の形態２の検知システム１におけるウェブアプリケーションファイアウォール装置３を示すブロック図である。図８は、実施の形態２の検知システム１を示す説明図である。
図７に示すように、この検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法における他の構成は、実施の形態１の検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法と同様であり、同一の構成については同一の符号を付して構成に関する詳細な説明を省略する。
実施の形態１の検知システム１では分析受信部３３が不正情報を生成部３７に送信するが、実施の形態２の検知システム１では分析受信部３３が不正情報を生成部３７または規定部３９に送信する点で異なっている。
図８に示すように、本開示の実施の形態２の検知システム１では、図１のウェブクライアント９がログイン認証のリクエストを送信してきた場合に、ウェブアプリケーションファイアウォール装置３がログイン認証のリクエストに含まれるパラメータをフィルタリングする。このパラメータは、Ｃｏｏｋｉｅに登録されている。ウェブアプリケーションファイアウォール装置３は、ログイン認証のリクエストをウェブアプリケーション装置５に送信する。ウェブアプリケーション装置５は、ログイン認証の失敗回数をカウントしてＣｏｏｋｉｅに登録し、Ｃｏｏｋｉｅを含むレスポンスをウェブアプリケーションファイアウォール装置３に送信する。ウェブアプリケーションファイアウォール装置３は、図１のウェブクライアント９にレスポンスを送信する。
ウェブアプリケーションファイアウォール装置３は、ログイン認証の失敗回数が所定の回数以上となると、ウェブクライアント９のリクエストをウェブアプリケーションファイアウォール装置３が遮断する。ウェブアプリケーションファイアウォール装置３は、ブラックリストに登録する不正情報を記憶部３５に格納し、この図１のウェブクライアント９のリクエストを遮断する。
また、ログイン認証の失敗回数が所定の回数未満でログイン認証が成功した場合は、リクエストに対応するレスポンスを図１のウェブクライアント９に送信する。
［動作］
以上のように構成された検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法について、その動作を以下に説明する。
図９は、実施の形態２の検知システム１における動作を示すシーケンス図である。
図９に示すように、実施の形態１の検知システム１とステップＳ１〜ステップＳ１０のフローについては、本実施の形態２と同様であるため、説明を省略する。ステップＳ１１では、分析受信部３３がレスポンスに正当情報が含まれているか否かを分析する。分析受信部３３は、不正情報がレスポンスに含まれている場合（Ｓ１１ではＮＯ）、生成部３７または規定部３９に不正情報を送信する。
生成部３７は、不正情報を受信し、不正なパラメータを含むリクエストを検出するために、不正情報に基づくシグネチャを生成する（Ｓ１２）。判定部３１は、生成されたシグネチャを記憶部３５（第１の記憶部）に格納する。規定部３９は、不正情報に基づいて不正なパラメータを含むリクエストを遮断する規定（ルール）を定義する（Ｓ１３）。判定部３１は、リクエストを遮断する規定を記憶部３５に格納する（Ｓ１４）。これにより、記憶部３５には新たな規定が更新されることで、ウェブアプリケーションファイアウォール装置３の判定部３１は、再度、同一のパラメータを含んだリクエストが送信された場合に、ウェブアプリケーション装置５に送ることなく遮断する。
分析受信部３３は、正当情報を検出した場合（Ｓ１１ではＹＥＳ）に、インターフェイス４３を介してウェブクライアント９に、リクエストに対応するレスポンスを送信する（Ｓ１５）。
次に、図９における分析受信部３３のステップＳ１１、生成部３７のステップＳ１２、規定部３９のステップＳ１３、及び記憶部３５に規定を保存するステップＳ１４を、図１０を用いて以下に説明する。
図１０は、実施の形態２の検知システム１を示す概念図である。
図１０に示すように、リクエストに含まれるパラメータがウェブアプリケーション装置５の制御部５１（第２の制御部）で不正情報とされ、分析受信部３３にこの不正情報が送信されている状態である。また、図１のウェブクライアント９からのログイン認証の失敗回数は、３回未満とする。ログイン認証が失敗すると、不正情報を含むレスポンスが分析受信部３３に送信される。
分析受信部３３は、不正情報を含むレスポンスを受信し、レスポンスのヘッダの情報を分析する（Ｓ２１）。分析受信部３３が分析した情報は、不正情報のステップ（Ｓ２２）と、正当情報のステップ（Ｓ２３）とに分岐する。ステップＳ２１が図９のステップＳ１１に相当する。分析受信部３３は、不正情報を生成部３７に送信する。
生成部３７は、不正情報のステップから受信した場合（Ｓ２２）に、不正情報に基づくシグネチャを生成する（Ｓ２４）。ステップＳ２４が図９のステップＳ１２に相当する。生成部３７は、生成したシグネチャを規定部３９に送信する。シグネチャには、パラメータ、エラー状態、現在のログイン認証の失敗回数などが格納されている。規定部３９は、生成部３７で生成した不正情報に基づくシグネチャを定義する（Ｓ２５）。制御部４１（第１の制御部）は、規定部３９が生成したこの規定を記憶部３５（第１の記憶部）に格納する（Ｓ４０）。
レスポンスのヘッダの情報を分析（Ｓ２１）で正当情報を含むレスポンスを受信した分析受信部３３のステップＳ２３の場合は、レスポンスのヘッダからログイン認証の結果を分析する（Ｓ３１）。分析受信部３３が分析したログイン認証の結果は、ウェブクライアント９からのログイン認証の許諾（Ｓ３２）、ウェブクライアント９からのログイン認証の回数が３回以上となったことによるログイン認証の遮断（Ｓ３３）、ログイン認証の失敗回数（Ｓ３４）に分岐する。ステップＳ３１も図９のステップＳ１１に相当する。分析受信部３３は、ログイン認証の許諾、ログイン認証の遮断、又はログイン認証の失敗回数のいずれかの結果を規定部３９に送信する。
規定部３９は、分析受信部３３から受信し、ログイン認証の許諾（Ｓ３５）を含むか否かを判断する。ステップＳ２５が図９のステップＳ１３に相当する。規定部３９には、ログイン認証の失敗回数が３回未満と設定されている（Ｓ３６）。規定部３９は、ログイン認証の失敗回数が３回未満か否かを判断する（Ｓ３７）。
ログイン認証の失敗回数が２回未満であれば（Ｓ３７ではＹＥＳ）、ログイン認証の失敗回数として１を追加し（Ｓ３８）、制御部４１がユーザのレスポンスに含まれるパラメータを記憶部３５に格納する（Ｓ４０）。ステップＳ４０が図９のステップＳ１４に相当する。制御部４１は、ログイン認証の失敗について、ウェブクライアント９に送信する。
また、ステップＳ３８でログイン認証の失敗回数が３回となれば、次に行われるログイン認証でステップＳ３１の分岐がステップＳ３３のログイン認証の遮断となる。この場合、ステップＳ３５〜ステップＳ３７まで進み、ステップＳ３７でＮＯとなる。制御部４１は、ユーザのレスポンスに含まれるパラメータを遮断する規定を登録（Ｓ３９）し、記憶部３５に格納する（Ｓ４０）。具体的には、ユーザのレスポンスに含まれるパラメータを遮断するために、フィルタリングするための規定を更新する（Ｓ４０）。これにより、今後、３度目以降のユーザによるログイン認証は遮断される。制御部４１は、ログイン認証の失敗について、ウェブクライアント９に送信する。
規定部３９は、ウェブクライアント９からのログイン認証が許諾である場合（Ｓ３５ではＹＥＳ）に、記憶部３５の規定を更新する（Ｓ４０）。また、例えば、正当情報を含むレスポンスにおいてログイン認証が１回目で成功した場合は、ステップＳ３１の分岐がステップＳ３２のログイン認証の許諾となり、ステップＳ３５でＹＥＳとなる。そして、記憶部３５に規定が更新される。なお、ログイン認証が１回目で成功した場合は、規定部３９を介さずにステップＳ３２でウェブクライアントにログイン認証の許諾のレスポンスを送信してもよい。
なお、ログイン認証が許諾の場合には、記憶部３５に格納されているログイン認証の失敗回数をクリアにするよう、記憶部３５に信号を送信してもよい。そして、記憶部３５は、失敗回数が０になった情報が更新させてもよい。
実施の形態２においても、他の作用効果については、実施の形態１と同様の作用効果を奏する。
（その他変形例等）
以上、本実施の形態に係る検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法について、実施の形態１、２に基づいて説明したが、本開示は、上記実施の形態１、２に限定されるものではない。
図１１は、検知システムにおけるウェブアプリケーション装置の制御部の判定を示す説明図である。図１１に示すように、上記実施の形態１、２において、ウェブアプリケーション装置の仕様を変更してホワイトリストのパラメータを図６の場合よりもパラメータｙ３を追加した場合で、リクエストのパラメータがｙ１、ｙ２の場合に、制御部の判定結果は、ｙ３のパラメータが無いとされる。この場合でも、制御部は、レスポンスヘッダにｙ３のパラメータを正当情報として登録してもよい。
なお、実施の形態１、２では、ブラックリストにパラメータが登録されても、このパラメータをブラックリストから削除（判定部によるフィルタリングの解除）することができてもよい。また、ホワイトリストについても、ホワイトリストを追加、変更等を行うことができてもよい。
以上のように、本開示における技術の例示として、実施の形態１、２を説明した。そのために、添付図面および詳細な説明を提供した。
したがって、添付図面および詳細な説明に記載された構成要素の中には、課題解決のために必須な構成要素だけでなく、上記技術を例示するために、課題解決のためには必須でない構成要素も含まれ得る。そのため、それらの必須ではない構成要素が添付図面や詳細な説明に記載されていることをもって、直ちに、それらの必須ではない構成要素が必須であるとの認定をするべきではない。
また、上述の実施の形態１、２は、本開示における技術を例示するためのものであるから、特許請求の範囲またはその均等の範囲において種々の変更、置き換え、付加、省略などを行うことができる。
本開示は、情報の送受信を行う、テレビ、冷蔵庫等の家電機器、車両等が備える検知システム等として有用である。
１ 検知システム
３ ウェブアプリケーションファイアウォール装置
５ ウェブアプリケーション装置
３１ 判定部
３３ 分析受信部
３５ 記憶部（第１の記憶部）
３７ 生成部
３９ 規定部
４１ 制御部（第１の制御部）
５１ 制御部（第２の制御部）
５３ 応答生成部
５５ 記憶部（第２の記憶部）

Claims (8)

  1. ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置と、フィルタリングされた前記リクエストに対応するレスポンスを送信するウェブアプリケーション装置と、を備え、
    前記ウェブアプリケーションファイアウォール装置は、
    前記ウェブクライアントから送られてきたパラメータを含む前記リクエストを受信し、前記リクエストが正当か否かを判定する第１の制御部と、
    前記ウェブアプリケーション装置から前記フィルタリングされたリクエストに対応する前記レスポンスを受信して分析する分析受信部と、を有し、
    前記ウェブアプリケーション装置は、
    前記ウェブアプリケーションファイアウォール装置から送信されてくる前記フィルタリングされたリクエストを受信し、前記ウェブアプリケーション装置の仕様に応じて追加、変更、若しくは削除される正当な前記パラメータの情報である正当情報が格納されたホワイトリストを用いて、前記フィルタリングされたリクエストが正当か否かを判定する第２の制御部と、
    前記フィルタリングされたリクエストに対応する前記レスポンスを生成し、前記ウェブアプリケーションファイアウォール装置に前記レスポンスを送信する応答生成部と、を有し、
    前記フィルタリングされたリクエストに対する前記レスポンスは、前記フィルタリングされたリクエストが正当か否かの判定結果を含み、
    前記第１の制御部は、前記パラメータを含む前記リクエストを受信し、前記リクエストが不正な前記パラメータを含むか否かを判定する判定部と、
    前記ウェブクライアントの不正な前記パラメータを含む前記リクエストをフィルタリングするためのデータを格納している第１の記憶部と、
    前記データを生成する生成部と、を備え、
    前記判定部は、前記分析受信部が前記レスポンスから不正な前記パラメータの情報である不正情報を抽出した場合に、前記第１の記憶部に格納されている前記データを更新して前記リクエストをフィルタリングすることにより、不正な前記パラメータを含む前記リクエストを遮断し、
    前記分析受信部は、前記レスポンスから前記不正情報を抽出した場合に、前記不正情報を
    前記生成部に送信し、
    前記生成部は、前記不正情報や前記不正な前記パラメータから前記データを生成する
    検知システム。
  2. 前記第２の制御部は、前記ウェブアプリケーションファイアウォール装置から送信されてくる前記パラメータを含む前記フィルタリングされたリクエストを受信し、前記ホワイトリストを用いて、前記フィルタリングされたリクエストが正当な前記パラメータを含むか否かを判定し、
    前記応答生成部は、前記不正情報を含む前記レスポンス及び前記正当情報を含む前記レスポンスを選択的に生成して前記ウェブアプリケーションファイアウォール装置に送信する請求項１に記載の検知システム。
  3. フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置であって、
    ウェブアプリケーションファイアウォール装置から送信されてくるパラメータを含む前記フィルタリングされたリクエストを受信し、前記ウェブアプリケーション装置の仕様に応じて追加、変更、若しくは削除される正当な前記パラメータの情報である正当情報が格納されたホワイトリストを用いて、前記フィルタリングされたリクエストが正当な前記パラメータを含むか否かを判定する第２の制御部と、
    前記フィルタリングされたリクエストに対応する前記レスポンスを生成し、前記ウェブアプリケーションファイアウォール装置に前記レスポンスを送信する応答生成部と、を有し、
    前記応答生成部は、不正な前記パラメータであると前記第２の制御部が判定した場合に、不正な前記パラメータの情報である不正情報を前記レスポンスに格納し、正当な前記パラメータであると前記第２の制御部が判定した場合に、正当な前記パラメータの情報である正当情報を前記レスポンスに格納し、
    前記応答生成部は、前記不正情報を含む前記レスポンス又は前記正当情報を含む前記レスポンスを生成して前記ウェブアプリケーションファイアウォール装置に送信する
    ウェブアプリケーション装置。
  4. ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置であって、
    前記ウェブクライアントから送られてきた前記リクエストを受信し、前記リクエストが正当か否かを判定する第１の制御部と、
    ウェブアプリケーション装置からレスポンスを受信して分析する分析受信部と、
    前記ウェブクライアントの前記リクエストを遮断するためのデータを格納している第１の記憶部と、を備え、
    前記第１の制御部は、
    前記ウェブクライアントから送られてきたパラメータを含む前記リクエストを受信し、前記リクエストが不正な前記パラメータを含むか否かを判定する判定部と、
    前記リクエストから不正な前記パラメータを遮断するシグネチャを生成する生成部と、
    前記シグネチャから不正な前記パラメータを遮断する規定を前記第１ の記憶部に格納する規定部と、を有し、
    前記分析受信部は、前記ウェブアプリケーション装置から送られてきた、前記ウェブアプリケーション装置の仕様に応じて追加、変更、若しくは削除される正当な前記パラメータの情報である正当情報が格納されたホワイトリストを用いて正当か否かが判定されたリクエストに対する前記レスポンスから不正情報が抽出された場合に、前記不正情報を前記生成部に送信する
    ウェブアプリケーションファイアウォール装置。
  5. 前記分析受信部は、前記ウェブアプリケーション装置から送られてきた前記レスポンス中の不正情報が抽出された場合に、前記不正情報を前記生成部または前記規定部に送信する請求項４記載のウェブアプリケーションファイアウォール装置。
  6. ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置と、フィルタリングされた前記リクエストに対応するレスポンスを送信するウェブアプリケーション装置とを備える検知システムにおける検知方法であって、 前記ウェブアプリケーションファイアウォール装置において、
    前記ウェブクライアントから送られてきたパラメータを含む前記リクエストを受信し、前記リクエストが正当な前記パラメータを含むか否かを判定する第１判定ステップと、
    前記ウェブアプリケーション装置から前記フィルタリングされたリクエストに対応する前記レスポンスを受信して分析する分析受信ステップと、を含み、
    前記第１判定ステップでは、前記分析受信ステップで前記レスポンスから不正な前記パラメータの情報である不正情報を抽出した場合に、前記パラメータをフィルタリングするためのデータを更新し、
    検知システムにおける検知方法は、さらに、前記ウェブアプリケーション装置において、前記ウェブアプリケーションファイアウォール装置から送信されてくる前記パラメータを含む前記フィルタリングされたリクエストを受信し、前記ウェブアプリケーション装置の仕様に応じて追加、変更、若しくは削除される正当な前記パラメータの情報である正当情報が格納されたホワイトリストを用いて、前記フィルタリングされたリクエストが正当な前記パラメータを含むか否かを判定する第２判定ステップと、
    前記フィルタリングされたリクエストに対応するレスポンスを生成し、前記ウェブアプリケーションファイアウォール装置に前記レスポンスを送信する応答生成ステップと、を含み、
    前記応答生成ステップでは、前記不正情報を含む前記レスポンス又は正当な前記パラメータの情報である正当情報を含む前記レスポンスを生成して前記ウェブアプリケーションファイアウォール装置に送信する
    検知システムにおける検知方法。
  7. フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置の検知方法であって、
    ウェブアプリケーションファイアウォール装置から送信されてくるパラメータを含む前記フィルタリングされたリクエストを受信し、前記ウェブアプリケーション装置の仕様に応じて追加、変更、若しくは削除される正当な前記パラメータの情報である正当情報が格納されたホワイトリストを用いて、前記フィルタリングされたリクエストが正当な前記パラメータを含むか否かを判定する第２の制御ステップと、
    前記フィルタリングされたリクエストに対応する前記レスポンスを生成し、前記ウェブアプリケーションファイアウォール装置に前記レスポンスを送信する応答生成ステップと、含み、
    前記応答生成ステップは、不正な前記パラメータであると前記第２の制御ステップが判定した場合に、不正な前記パラメータの情報である不正情報を前記レスポンスに格納し、正当な前記パラメータであると前記第２の制御ステップが判定した場合に、正当な前記パラメータの情報である正当情報を前記レスポンスに格納し、
    前記応答生成ステップは、前記不正情報を含む前記レスポンス又は前記正当情報を含む前記レスポンスを生成して前記ウェブアプリケーションファイアウォール装置に送信する
    ウェブアプリケーション装置の検知方法。
  8. ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置の検知方法であって、
    前記ウェブクライアントから送られてきた前記リクエストを受信し、前記リクエストが正
    当か否かを判定する第１の制御ステップと、
    ウェブアプリケーション装置からレスポンスを受信して分析する分析受信ステップと、を含み、
    前記第１の制御ステップは、前記ウェブクライアントから送られてきたパラメータを含む前記リクエストを受信し、前記リクエストが不正な前記パラメータを含むか否かを判定する判定ステップと、
    前記リクエストから不正な前記パラメータを遮断するシグネチャを生成する生成ステップと、
    前記シグネチャから不正な前記パラメータを遮断する規定を前記第１の記憶部に格納する規定ステップと、を含み、
    前記分析受信ステップは、前記ウェブアプリケーション装置から送られてきた、前記ウェブアプリケーション装置の仕様に応じて追加、変更、若しくは削除される正当な前記パラメータの情報である正当情報が格納されたホワイトリストを用いて正当か否かが判定されたリクエストに対する前記レスポンスから不正情報が抽出された場合に、前記不正情報を前記生成ステップに送信する
    ウェブアプリケーションファイアウォール装置の検知方法。
JP2018502586A 2016-02-29 2017-01-24 検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法 Active JP6709909B2 (ja)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
JP2016038448 2016-02-29
JP2016038448 2016-02-29
JP2016082462 2016-04-15
JP2016082462 2016-04-15
PCT/JP2017/002250 WO2017150003A1 (ja) 2016-02-29 2017-01-24 検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法

Publications (2)

Publication Number Publication Date
JPWO2017150003A1 JPWO2017150003A1 (ja) 2018-12-27
JP6709909B2 true JP6709909B2 (ja) 2020-06-17

Family

ID=59742719

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2018502586A Active JP6709909B2 (ja) 2016-02-29 2017-01-24 検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法

Country Status (4)

Country Link
US (1) US20180351913A1 (ja)
JP (1) JP6709909B2 (ja)
DE (1) DE112017001052T5 (ja)
WO (1) WO2017150003A1 (ja)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10805269B2 (en) * 2017-02-17 2020-10-13 Royal Bank Of Canada Web application firewall
TW202010325A (zh) * 2018-08-10 2020-03-01 華創車電技術中心股份有限公司 車載設備單元之資訊系統及車載資訊處理方法
JP7157200B1 (ja) * 2021-03-31 2022-10-19 エヌ・ティ・ティ・コミュニケーションズ株式会社 分析装置、分析方法及び分析プログラム

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3723076B2 (ja) * 2000-12-15 2005-12-07 富士通株式会社 不正侵入防御機能を有するｉｐ通信ネットワークシステム
JP2007004685A (ja) 2005-06-27 2007-01-11 Hitachi Ltd 通信情報監視装置
JP2008017179A (ja) * 2006-07-06 2008-01-24 Nec Corp アクセス制御システム、アクセス制御方法、およびアクセス制御プログラム
JP2010026547A (ja) * 2008-07-15 2010-02-04 Fujitsu Ltd ファイアウォール負荷分散方法及びファイアウォール負荷分散システム
US9047441B2 (en) 2011-05-24 2015-06-02 Palo Alto Networks, Inc. Malware analysis system

Also Published As

Publication number Publication date
US20180351913A1 (en) 2018-12-06
JPWO2017150003A1 (ja) 2018-12-27
WO2017150003A1 (ja) 2017-09-08
DE112017001052T5 (de) 2018-11-29

Similar Documents

Publication Publication Date Title
KR102206562B1 (ko) 원격 실행 코드 기반 노드의 제어 플로우 관리 시스템 및 그에 관한 방법
Shah et al. A survey on Classification of Cyber-attacks on IoT and IIoT devices
US20230035336A1 (en) Systems and methods for mitigating and/or preventing distributed denial-of-service attacks
US10452853B2 (en) Disarming malware in digitally signed content
US9660960B2 (en) Real-time reconfigurable web application firewall for a distributed platform
US8302198B2 (en) System and method for enabling remote registry service security audits
US8683588B2 (en) Method of and apparatus for monitoring for security threats in computer network traffic
US20190207772A1 (en) Network scan for detecting compromised cloud-identity access information
US7950056B1 (en) Behavior based processing of a new version or variant of a previously characterized program
JP5987627B2 (ja) 不正アクセス検出方法、ネットワーク監視装置及びプログラム
JP2009543163A (ja) ソフトウェア脆弱性悪用防止シールド
WO2015134034A1 (en) Network security for encrypted channel based on reputation
JP6709909B2 (ja) 検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法
JP2006262019A (ja) ネットワーク検疫プログラム、該プログラムを記録した記録媒体、ネットワーク検疫方法、およびネットワーク検疫装置
CN111935095A (zh) 一种源代码泄露监控方法、装置及计算机存储介质
WO2016162687A1 (en) Detecting 'man-in-the-middle' attacks
CN106209907B (zh) 一种检测恶意攻击的方法及装置
CN117155716B (zh) 访问校验方法和装置、存储介质及电子设备
US11784993B2 (en) Cross site request forgery (CSRF) protection for web browsers
JP6814659B2 (ja) 情報処理システム及び情報処理方法
Kfouri et al. Design of a Distributed HIDS for IoT Backbone Components.
CN114422248A (zh) 一种攻击处理方法、系统、网络安全设备及存储介质
KR100695489B1 (ko) 프로파일링 기반 웹 서비스 보안 시스템 및 그 방법
JP2016021621A (ja) 通信システム及び通信方法
JP2009037651A (ja) セキュリティ管理システム

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20180723

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20190121

RD01 Notification of change of attorney

Free format text: JAPANESE INTERMEDIATE CODE: A7421

Effective date: 20190124

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20191015

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20191107

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20200121

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20200218

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200407

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200420

R151 Written notification of patent or utility model registration

Ref document number: 6709909

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151

S111 Request for change of ownership or part of ownership

Free format text: JAPANESE INTERMEDIATE CODE: R313113

S531 Written request for registration of change of domicile

Free format text: JAPANESE INTERMEDIATE CODE: R313531

SZ03 Written request for cancellation of trust registration

Free format text: JAPANESE INTERMEDIATE CODE: R313Z03