JP7069090B2 - 解析装置、検出装置、システム及びプログラム - Google Patents

Description

本発明は、フィッシングサイトを検出するための装置、システム及びプログラムに関する。

近年、有名企業又は公的機関等の信頼された主体になりすましてメールを送り、公式サイトを装った偽サイト（フィッシングサイト）に誘導することで、ログインＩＤ及びパスワード等の個人情報を盗み出す行為による被害が急増している。
このような被害を防ぐため、アクセス先がフィッシングサイトであることを検出する技術が望まれている。そこで、例えば、既知のフィッシングサイトのＵＲＬとの類似性に基づいて、未知のフィッシングサイトを検出する手法が提案されている（例えば、特許文献１参照）。

特表２０１２－５２１５９９号公報

しかしながら、攻撃者は、フィッシングサイトのＵＲＬを頻繁に変更し、あるいは多数のＵＲＬを同時に利用して複数のサイトを作成する場合が多く、これらのＵＲＬは、必ずしも類似していない。このため、従来の手法では、検出対象は、ＵＲＬの文字列が既知のフィッシングサイトと類似している場合に限定されるという課題があった。

本発明は、精度良くフィッシングサイトを検出できる解析装置、検出装置、システム及びプログラムを提供することを目的とする。

本発明に係る解析装置は、ブラウザにおいてＷｅｂページを構成するためにアクセスしたリソースの種類及びサイズを含むアクセスログを取得する取得部と、前記アクセスログから、前記Ｗｅｂページに関する前記リソースの種類毎の統計情報を取得する解析部と、前記ＷｅｂページのＵＲＬが既知のフィッシングサイトのＵＲＬリストに含まれる場合に、当該Ｗｅｂページに関する前記統計情報を、フィッシングサイトを検出するためのブラックリストに記録するリスト生成部と、を備える。

前記統計情報は、前記リソースの種類毎のアクセス数を含んでもよい。

前記リスト生成部は、前記統計情報における前記アクセス数の総和が閾値以下の場合、当該統計情報をブラックリストに登録しなくてもよい。

前記統計情報は、前記リソースの種類毎のサイズの総和を含んでもよい。

前記リスト生成部は、前記統計情報における所定のリソースの種類に対する前記サイズの総和が０の場合、当該統計情報をブラックリストに登録しなくてもよい。

前記統計情報は、前記リソースの種類毎のＵＲＬドメイン数を含んでもよい。

本発明に係る検出装置は、ブラウザにおいてＷｅｂページを構成するためにアクセスしたリソースの種類及び大きさを含むアクセスログを取得する取得部と、前記アクセスログから、前記Ｗｅｂページに関する前記リソースの種類毎の統計情報を取得する解析部と、前記統計情報が既知のフィッシングサイトの統計情報を記録したブラックリストに含まれる場合に、前記Ｗｅｂページをフィッシングサイトと判定する判定部と、を備える。

前記検出装置は、前記判定部によりフィッシングサイトと判定された前記ＷｅｂページのＵＲＬを、前記既知のフィッシングサイトのＵＲＬリストに追加登録するＵＲＬ登録部を備え、前記判定部は、前記統計情報を前記ブラックリストと照合する前に、前記ＵＲＬリストを参照し、前記ＷｅｂページのＵＲＬが当該ＵＲＬリストに含まれる場合に、前記Ｗｅｂページをフィッシングサイトと判定してもよい。

前記判定部は、前記Ｗｅｂページのドメインの出現頻度が閾値未満の場合にのみ、前記ブラックリストに基づくフィッシングサイトの判定を行ってもよい。

本発明に係る解析システムは、前記解析装置と、ユーザ端末と、を備え、前記ユーザ端末は、前記ブラウザによるネットワークへのアクセスを監視し、ユーザのＩＤ及び前記ブラウザのタブを識別するＩＤを含む前記アクセスログを生成し、前記解析装置へ送信する。

本発明に係る検出システムは、前記検出装置と、ユーザ端末と、を備え、前記ユーザ端末は、前記ブラウザによるネットワークへのアクセスを監視し、ユーザのＩＤ及び前記ブラウザのタブを識別するＩＤを含む前記アクセスログを生成し、前記検出装置へ送信する。

本発明に係る解析プログラムは、前記解析装置としてコンピュータを機能させるためのものである。

本発明に係る検出プログラムは、前記検出装置としてコンピュータを機能させるためのものである。

本発明によれば、精度良くフィッシングサイトを検出できる。

実施形態における検出システムの機能構成を示すブロック図である。 実施形態におけるＷｅｂアクセスログが集計された統計情報を例示する図である。 実施形態におけるＷｅｂページ毎のリソースの統計情報と、ブラックリストとの照合の方法を例示する図である。 実施形態におけるブラックリストの生成、及びフィッシングサイトの検出を行う処理の流れを示すフローチャートである。

以下、本発明の実施形態の一例について説明する。
図１は、本実施形態における検出システム１の機能構成を示すブロック図である。
検出システム１は、解析装置１０と、ユーザ端末２０とを備え、両者は、ネットワークを介して互いに接続される。

解析装置１０は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１１及び記憶部１２の他、各種データの入出力デバイス及び通信デバイス等を備える。

ユーザ端末２０は、パーソナルコンピュータ、タブレット端末又はスマートフォン等の情報処理装置（コンピュータ）であり、アプリケーション・ソフトウェアとしてブラウザを備え、インターネットに接続される。
また、ユーザ端末２０は、例えばブラウザのアドオン機能として設けられたブラウザセンサ２１により、ブラウザを介したネットワークへのアクセスを監視し、ユーザのＩＤ及びブラウザのタブを識別するＩＤを含むＷｅｂアクセスログを生成し、解析装置１０へ送信する。

Ｗｅｂアクセスログは、ブラウザセンサ２１によって取得されるＷｅｂブラウジングの履歴データであり、次の情報を含む。
（１）ユーザを識別するＩＤ（ユーザＩＤ）
（２）ブラウザのタブを識別するＩＤ（タブＩＤ）
（３）リソースの種類
（４）リソースのサイズ
（５）リソースのＵＲＬ

ここで、リソースは、Ｗｅｂページを構成する画像、動画又はスクリプト等の要素であり、例えば、ＷｅｂＡＰＩを介して、「ｍａｉｎ＿ｆｒａｍｅ」、「ｓｕｂ＿ｆｒａｍｅ」、「ｓｔｙｌｅｓｈｅｅｔ」、「ｓｃｒｉｐｔ」、「ｉｍａｇｅ」、「ｆｏｎｔ」、「ｏｂｊｅｔ」、「ｘｍｌｈｔｔｐｒｅｑｕｅｓｔ」、「ｐｉｎｇ」、「ｃｓｐ＿ｒｅｐｏｒｔ」、「ｍｅｄｉａ」、「ｗｅｂｓｏｃｋｅｔ」、「ｏｔｈｅｒ」といった種類が特定される。
また、各リソースのサイズは、例えば、ＨＴＴＰレスポンスヘッダの「ｃｏｎｔｅｎｔ－ｌｅｎｇｔｈ」であってよい。

なお、「ｍａｉｎ＿ｆｒａｍｅ」は、ブラウザのタブにロードされたトップレベルのドキュメントであり、次に「ｍａｉｎ＿ｆｒａｍｅ」がロードされる直前までの一連のＷｅｂアクセスログが、一つのＷｅｂページを構成するためのリソースを示している。

解析装置１０の制御部１１は、記憶部１２に格納されたソフトウェア（解析プログラム、検出プログラム）を読み出して実行することにより、取得部１１１、解析部１１２、リスト生成部１１３、判定部１１４、及びＵＲＬ登録部１１５として機能する。

解析装置１０は、これらの機能部により、既知のフィッシングサイトのＵＲＬリスト１２１とは別に、これらのフィッシングサイトのＷｅｂページを構成する際にアクセスするリソースの統計情報をブラックリスト１２２として生成する。なお、ＵＲＬリスト１２１は、記憶部１２に予め記憶されていてもよいし、外部サーバにより提供されてもよい。
これにより、解析装置１０は、ユーザ端末２０がブラウザによりアクセスしたサイトのＷｅｂページを表示する際に、このＷｅｂページを構成するリソースの統計情報をブラックリスト１２２と照合して、アクセスしたサイトがフィッシングサイトであることを検出する。

取得部１１１は、ブラウザにおいてＷｅｂページを構成するためにアクセスしたリソースの種類及びサイズを含むＷｅｂアクセスログを取得する。

解析部１１２は、一連のＷｅｂアクセスログから、Ｗｅｂページそれぞれに関するリソースの種類毎の統計情報を取得する。
統計情報は、例えば、「ｍａｉｎ＿ｆｒａｍｅ」毎に集計される次の情報である。
（１）リソースの種類毎のアクセス数（例えば、画像の数）
（２）リソースの種類毎のサイズの総和（例えば、画像の総容量）
（３）リソースの種類毎のＵＲＬドメイン数（例えば、画像の取得先ドメインの数）

図２は、本実施形態におけるＷｅｂアクセスログが集計された統計情報を例示する図である。
この例では、リソースの種類が「ｍａｉｎ＿ｆｒａｍｅ」であるＷｅｂアクセスログ（ｕｒｌ１）に続いて、各種のリソース（ｒｅｓｏｕｒｃｅ０１、ｒｅｓｏｕｒｃｅ０２、…）に対するＷｅｂアクセスログ（ｕｒｌ２、ｕｒｌ３、・・・）が取得されている。

ここで、ｕｒｌＸＸＸの次にＷｅｂアクセスログ（ｕｒｌ（ＸＸＸ＋１））が「ｍａｉｎ＿ｆｒａｍｅ」であるため、ｕｒｌ１へのアクセスにより表示されるＷｅｂページは、ｕｒｌ１からｕｒｌＸＸＸまでのリソースにより構成されていることが分かる。
したがって、統計情報は、ｕｒｌ１に紐づけて、例えば、種類（ｒｅｓｏｕｒｃｅ０１、ｒｅｓｏｕｒｃｅ０２、…）毎のアクセス数と、種類毎のｃｏｎｔｅｎｔ－ｌｅｎｇｔｈの総和とがそれぞれ配列で記述される。

リスト生成部１１３は、ＷｅｂページのＵＲＬ（「ｍａｉｎ＿ｆｒａｍｅ」のＵＲＬ）が既知のフィッシングサイトのＵＲＬリスト１２１に含まれる場合に、このＷｅｂページに関する統計情報を、フィッシングサイトを検出するために記憶部１２に格納されたブラックリスト１２２に記録する。

ここで、リスト生成部は、統計情報におけるリソースの種類毎のアクセス数の総和が閾値以下の場合、この統計情報をブラックリスト１２２に登録しない。
また、リスト生成部は、統計情報における所定のリソースの種類（例えば、「ｉｍａｇｅ」）に対するサイズの総和が０の場合、この統計情報をブラックリスト１２２に登録しない。

判定部１１４は、統計情報が既知のフィッシングサイトの統計情報を記録したブラックリスト１２２に含まれる場合に、該当のＷｅｂページをフィッシングサイトと判定する。
ここで、判定部１１４は、アクセス頻度の高いドメインは通常のサイトと判断し、Ｗｅｂページのドメインの出現頻度が閾値未満の場合にのみ、ブラックリスト１２２に基づくフィッシングサイトの判定を行ってもよい。

また、判定部１１４は、統計情報をブラックリスト１２２と照合する前に、既知のフィッシングサイトのＵＲＬリスト１２１を参照し、ＷｅｂページのＵＲＬがこのＵＲＬリスト１２１に含まれる場合に、アクセスしたＷｅｂページをフィッシングサイトと判定してもよい。

図３は、本実施形態におけるＷｅｂページ毎のリソースの統計情報と、ブラックリスト１２２との照合の方法を例示する図である。

Ｗｅｂアクセスログから、トップレベルドキュメント（ｍａｉｎ＿ｆｒａｍｅ）のＵＲＬ（ｕｒｌ１、ｕｒｌ２、…）毎に、リソースの統計情報が取得されている。
例えば、ｕｒｌ１で提供されるＷｅｂページは、リソースの種類毎にそれぞれ２回，３回，…，４回のアクセスにより構成され、リソースの種類毎にそれぞれ５００，６００，…，７００のサイズを有している。

ブラックリスト１２２には、既知のフィッシングサイトのＵＲＬに紐づけて、同様にリソースの統計情報が格納されている。
判定部１１４は、アクセス数の配列［３，４，…，５］及びサイズの総和の配列［６００，７００，…，８００］が共に一致するｕｒｌ２とＰｈｉｓｈｉｎｇＳｉｔｅＵＲＬとが同一構成のＷｅｂページであると判断し、ｕｒｌ２を未知のフィッシングサイトとして検出する。

ＵＲＬ登録部１１５は、判定部１１４により統計情報に基づいてフィッシングサイトと判定されたＷｅｂページのＵＲＬを、既知のフィッシングサイトのＵＲＬリスト１２１に追加登録する。

図４は、本実施形態におけるブラックリスト１２２の生成、及びフィッシングサイトの検出を行う処理の流れを示すフローチャートである。

ステップＳ１において、取得部１１１は、一定期間のＷｅｂアクセスログを取得する。

ステップＳ２において、解析部１１２は、ステップＳ１で取得したＷｅｂアクセスログをユーザＩＤ及びタブＩＤでソートし、ユーザＩＤ及びタブＩＤ毎に以下の処理を実行する。

ステップＳ３において、解析部１１２は、あるｍａｉｎ＿ｆｒａｍｅ（例えば、図２のｍａｉｎ＿ｆｒａｍｅ１）のＵＲＬ（例えば、図２のｕｒｌ１）へのアクセスに関して、次のｍａｉｎ＿ｆｒａｍｅ（例えば、図２のｍａｉｎ＿ｆｒａｍｅ２）のＵＲＬ（例えば、図２のｕｒｌ（ＸＸＸ＋１））にアクセスするまでの間にアクセスしたリソースの統計情報を取得し、Ｗｅｂページを構成するためのリソースの統計情報としてｍａｉｎ＿ｆｒａｍｅのＵＲＬ（ｕｒｌ１）に紐付ける。

ステップＳ４において、制御部１１は、ステップＳ３で観測されたｍａｉｎ＿ｆｒａｍｅのＵＲＬが既知のフィッシングサイトのＵＲＬリスト１２１に含まれるか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ５に移り、判定がＮＯの場合、処理はステップＳ６に移る。

ステップＳ５において、リスト生成部１１３は、既知のフィッシングサイトと判定されたＷｅｂページを構成するためのリソースの統計情報をブラックリスト１２２に記録する。
その後、処理はステップＳ８に移る。

ステップＳ６において、判定部１１４は、ステップＳ３で取得したリソースの統計情報がブラックリスト１２２に含まれるか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ７に移り、判定がＮＯの場合、処理はステップＳ９に移る。

ステップＳ７において、ＵＲＬ登録部１１５は、新たに判明したフィッシングサイトのＵＲＬ（ｕｒｌ１）をＵＲＬリスト１２１に登録する。

ステップＳ８において、判定部１１４は、アクセスしたＷｅｂページ（ｕｒｌ１）がフィッシングサイトであることを、判定結果として出力する。

ステップＳ９において、判定部１１４は、アクセスしたＷｅｂページ（ｕｒｌ１）がフィッシングサイトではないことを、判定結果として出力する。

本実施形態によれば、検出システム１は、既知のフィッシングサイトを構成する際にアクセスするリソースの統計情報を、ブラックリスト１２２に記録する。
これにより、検出システム１は、ユーザ端末２０がアクセスしたＷｅｂページを構成するリソースの統計情報をブラックリスト１２２と照合することにより、ＵＲＬの類似性に関係なく、既知のフィッシングサイトとはＵＲＬが異なる未知のフィッシングサイトを精度良く検出できる。
また、検出システム１は、同一内容だがＵＲＬが異なる複数のフィッシングサイトを、単一の統計情報を用いて効率的に検出できる。

検出システム１は、統計情報に、リソースの種類毎のアクセス数、サイズの総和、ドメイン数の少なくともいずれかを含むことで、各Ｗｅｂページの内容を効率的に識別し、ＵＲＬが異なる未知のフィッシングサイトを精度良く検出できる。

検出システム１は、統計情報におけるアクセス数の総和が閾値以下の場合、この統計情報をブラックリスト１２２に登録せず、リソースの数が閾値を超えるＷｅｂページのみを対象としてもよい。また、このような統計情報が得られたＷｅｂページについては、ブラックリスト１２２との照合の処理を省略してもよい。
これにより、検出システム１は、識別性が低い統計情報を除外することで、例えば画像がファビコンだけのようなサイトを除外して、リソース数が少ないと通常のサイトと偶然に一致してしまう事態を抑制できる。

検出システム１は、統計情報における所定のリソースの種類に対するサイズの総和が０の場合、この統計情報をブラックリスト１２２に登録せず、所定のリソースを含むＷｅｂページのみを対象としてもよい。また、このような統計情報が得られたＷｅｂページについては、ブラックリスト１２２との照合の処理を省略してもよい。
これにより、検出システム１は、画像等の所定のリソースを含まない通常のサイトと偶然に一致してしまう事態を抑制できる。

検出システム１は、統計情報に基づいてフィッシングサイトと判定したＷｅｂページのＵＲＬを、既知のフィッシングサイトのＵＲＬリスト１２１に追加してもよい。
これにより、検出システム１は、ＵＲＬの類似性に基づいて検出できるフィッシングサイトの数を自動で拡張することができる。この結果、検出システム１は、統計情報に基づく判定の前にＵＲＬに基づく判定を行うことで、同一のＵＲＬに対する重複した処理を削減し、処理負荷を低減できる。

検出システム１は、ユーザ端末２０においてブラウザによるネットワークへのアクセスを監視することにより、ユーザＩＤ及びタブＩＤを含むＷｅｂアクセスログを生成できる。
これにより、検出システム１は、ユーザの閲覧したＷｅｂページがフィッシングサイトであるか否かを適時に判定し、通知することができる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

前述の実施形態では、ＵＲＬリスト１２１及びブラックリスト１２２が解析装置１０の記憶部１２に格納されることとしたが、これには限られず、外部サーバに格納されてもよい。
また、解析装置１０の機能は、ブラックリスト１２２を生成する解析装置と、ブラックリスト１２２に基づいてフィッシングサイトを検出する検出装置とに分散されてもよい。

検出システム１による解析方法及び検出方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１ 検出システム（解析システム）
１０ 解析装置（検出装置）
１１ 制御部
１２ 記憶部
２０ ユーザ端末
２１ ブラウザセンサ
１１１ 取得部
１１２ 解析部
１１３ リスト生成部
１１４ 判定部
１１５ ＵＲＬ登録部
１２１ ＵＲＬリスト
１２２ ブラックリスト

Claims (13)

1. ブラウザにおいてＷｅｂページを構成するためにアクセスしたリソースの種類及びサイズを含むアクセスログを取得する取得部と、
   前記アクセスログから、前記Ｗｅｂページに関する前記リソースの種類毎の統計情報を取得する解析部と、
   前記ＷｅｂページのＵＲＬが既知のフィッシングサイトのＵＲＬリストに含まれる場合に、当該Ｗｅｂページに関する前記統計情報を、フィッシングサイトを検出するためのブラックリストに記録するリスト生成部と、を備える解析装置。
2. 前記統計情報は、前記リソースの種類毎のアクセス数を含む請求項１に記載の解析装置。
3. 前記リスト生成部は、前記統計情報における前記アクセス数の総和が閾値以下の場合、当該統計情報をブラックリストに登録しない請求項２に記載の解析装置。
4. 前記統計情報は、前記リソースの種類毎のサイズの総和を含む請求項１から請求項３のいずれかに記載の解析装置。
5. 前記リスト生成部は、前記統計情報における所定のリソースの種類に対する前記サイズの総和が０の場合、当該統計情報をブラックリストに登録しない請求項４に記載の解析装置。
6. 前記統計情報は、前記リソースの種類毎のＵＲＬドメイン数を含む請求項１から請求項４のいずれかに記載の解析装置。
7. ブラウザにおいてＷｅｂページを構成するためにアクセスしたリソースの種類及び大きさを含むアクセスログを取得する取得部と、
   前記アクセスログから、前記Ｗｅｂページに関する前記リソースの種類毎の統計情報を取得する解析部と、
   前記統計情報が既知のフィッシングサイトの統計情報を記録したブラックリストに含まれる場合に、前記Ｗｅｂページをフィッシングサイトと判定する判定部と、を備える検出装置。
8. 前記判定部によりフィッシングサイトと判定された前記ＷｅｂページのＵＲＬを、前記既知のフィッシングサイトのＵＲＬリストに追加登録するＵＲＬ登録部を備え、
   前記判定部は、前記統計情報を前記ブラックリストと照合する前に、前記ＵＲＬリストを参照し、前記ＷｅｂページのＵＲＬが当該ＵＲＬリストに含まれる場合に、前記Ｗｅｂページをフィッシングサイトと判定する請求項７に記載の検出装置。
9. 前記判定部は、前記Ｗｅｂページのドメインの出現頻度が閾値未満の場合にのみ、前記ブラックリストに基づくフィッシングサイトの判定を行う請求項７又は請求項８に記載の検出装置。
10. 請求項１から請求項６のいずれかに記載の解析装置と、ユーザ端末と、を備え、
    前記ユーザ端末は、前記ブラウザによるネットワークへのアクセスを監視し、ユーザのＩＤ及び前記ブラウザのタブを識別するＩＤを含む前記アクセスログを生成し、前記解析装置へ送信する解析システム。
11. 請求項７から請求項９のいずれかに記載の検出装置と、ユーザ端末と、を備え、
    前記ユーザ端末は、前記ブラウザによるネットワークへのアクセスを監視し、ユーザのＩＤ及び前記ブラウザのタブを識別するＩＤを含む前記アクセスログを生成し、前記検出装置へ送信する検出システム。
12. 請求項１から請求項６のいずれかに記載の解析装置としてコンピュータを機能させるための解析プログラム。
13. 請求項７から請求項９のいずれかに記載の検出装置としてコンピュータを機能させるための検出プログラム。

Images