JP7348698B1 - ウェブサイトの自動巡回を行うためのシステム、方法、及びプログラム - Google Patents

Abstract

【課題】 ウェブサイトの自動巡回における入力項目に対する適切な入力値の設定を支援する。【解決手段】本発明の一実施形態に係るウェブサイト検査サーバ１０は、通信ネットワーク２０を介して通信可能に接続されているユーザ端末３０を操作するユーザに対して、当該ユーザによって指定されるウェブサイト２２を検査するウェブサイト検査サービスを提供する。当該サーバ１０は、ウェブサイト２２を自動巡回する際に、ウェブページにおける入力項目を特定し、当該入力項目に対して設定する入力値が、学習済みモデルから出力される情報に基づいて設定されるから、予め準備された入力値を利用する場合と比較して、様々なウェブサイトにとって適切な入力値の利用が促進される。【選択図】 図１

Description

本発明は、ウェブサイトの自動巡回を行うためのシステム、方法、及びプログラムに関するものである。

従来、様々な目的でウェブサイトの自動巡回（「クローリング」と呼ばれることもある。）が行われている（例えば、下記特許文献１を参照）。こうした自動巡回では、例えば、ウェブページに含まれる、リンク及びスクリプト等が設定されたボタン等の要素が選択されることによって、次のウェブページへの遷移が行われる。また、ウェブページに入力項目（例えば、入力可能なフォーム要素等）が存在する場合には、適切な値を入力して送信する必要があり、こうした入力値には、例えば、予め準備された値が設定される。

特開２０２２－１３４０９４号公報

しかしながら、入力項目に対して設定される入力値のチェック方法は、ウェブサイトによって様々であり、全ての入力項目にとって適切な入力値を予め準備することは難しい。そして、不適切な入力値の設定によって予期しないエラーが発生してしまうと、自動巡回が中断してしまい、手動でのフォローが必要となってしまう。

本発明の実施形態は、ウェブサイトの自動巡回における入力項目に対する適切な入力値の設定を支援することを目的の一つとする。本発明の実施形態の他の目的は、本明細書全体を参照することにより明らかとなる。

本発明の一実施形態に係るシステムは、１又は複数のコンピュータプロセッサを備え、ウェブサイトの自動巡回を行うためのシステムであって、前記１又は複数のコンピュータプロセッサは、前記ウェブサイトに含まれる第１ウェブページを取得するステップと、前記第１ウェブページにおける入力項目を特定し、前記入力項目に対して入力値を設定するステップと、設定した前記入力値の送信を伴って、前記第１ウェブページから遷移した第２ウェブページを取得するステップと、を実行し、前記入力値を設定するステップは、前記第１ウェブページに関する第１ページ情報の少なくとも一部を含む第１入力情報を第１学習済みモデルに対して入力し、前記第１学習済みモデルから出力される第１出力情報に基づいて、前記入力値を設定することを含む。

本発明の一実施形態に係る方法は、１又は複数のコンピュータによって実行され、ウェブサイトの自動巡回を行うための方法であって、前記ウェブサイトに含まれる第１ウェブページを取得するステップと、前記第１ウェブページにおける入力項目を特定し、前記入力項目に対して入力値を設定するステップと、設定した前記入力値の送信を伴って、前記第１ウェブページから遷移した第２ウェブページを取得するステップと、を備え、前記入力値を設定するステップは、前記第１ウェブページに関する第１ページ情報の少なくとも一部を含む第１入力情報を第１学習済みモデルに対して入力し、前記第１学習済みモデルから出力される第１出力情報に基づいて、前記入力値を設定することを含む。

本発明の一実施形態に係るプログラムは、ウェブサイトの自動巡回を行うためのプログラムであって、１又は複数のコンピュータに、前記ウェブサイトに含まれる第１ウェブページを取得するステップと、前記第１ウェブページにおける入力項目を特定し、前記入力項目に対して入力値を設定するステップと、設定した前記入力値の送信を伴って、前記第１ウェブページから遷移した第２ウェブページを取得するステップと、を実行させ、前記入力値を設定するステップは、前記第１ウェブページに関する第１ページ情報の少なくとも一部を含む第１入力情報を第１学習済みモデルに対して入力し、前記第１学習済みモデルから出力される第１出力情報に基づいて、前記入力値を設定することを含む。

本発明の様々な実施形態は、ウェブサイトの自動巡回における入力項目に対する適切な入力値の設定を支援する。

本発明の一実施形態に係るウェブサイト検査サーバ１０を含むネットワークの構成を概略的に示す構成図。 検査管理テーブル１５２が管理する情報を例示する図。 ページ管理テーブル１５４が管理する情報を例示する図。 エラー管理テーブル１５６が管理する情報を例示する図。 ウェブサイトの脆弱性を検査する際にウェブサイト検査サーバ１０が実行する処理を例示するフローチャート。 対象サイト設定画面５０を例示する図。 ウェブサイトの自動巡回の際にウェブサイト検査サーバ１０が実行する処理を例示するフローチャート。 入力項目に対する入力値を生成可能な大規模言語モデルにおける入出力情報の一例を示す図。 大規模言語モデルにおける入出力情報の他の例を示す図。 大規模言語モデルにおける入出力情報のさらに他の例を示す図。 検査結果確認画面６０を例示する図。 入力値のみが出力される場合の大規模言語モデルにおける入出力情報の一例を示す図。 エラーの拡張情報を出力する大規模言語モデルにおける入出力情報の一例を示す図。

以下、図面を参照しながら、本発明の実施形態について説明する。各図面において、同一の又は類似する構成要素に対しては同一の参照符号が付され得る。

図１は、本発明の一実施形態に係るウェブサイト検査サーバ１０を含むネットワークの構成を概略的に示す構成図である。サーバ１０は、図示するように、インターネット等の通信ネットワーク２０を介してユーザ端末３０と通信可能に接続されている。図１においては、１つのユーザ端末３０のみが図示されているが、サーバ１０は、複数のユーザ端末３０と通信可能に接続されている。ウェブサイト検査サーバ１０は、ユーザ端末３０を操作するユーザに対して、当該ユーザによって指定されるウェブサイト２２を検査するウェブサイト検査サービスを提供する。ウェブサイト検査サーバ１０は、本発明のシステムの全部又は一部を実装する装置の一例である。

まず、ウェブサイト検査サーバ１０のハードウェア構成について説明する。ウェブサイト検査サーバ１０は、一般的なコンピュータとして構成されており、図１に示すように、コンピュータプロセッサ１１と、メインメモリ１２と、入出力Ｉ／Ｆ１３と、通信Ｉ／Ｆ１４と、ストレージ（記憶装置）１５とを備え、これらの各構成要素が図示しないバス等を介して電気的に接続されている。

コンピュータプロセッサ１１は、ＣＰＵ又はＧＰＵ等として構成され、ストレージ１５等に記憶されている様々なプログラムをメインメモリ１２に読み込んで、当該プログラムに含まれる各種の命令を実行する。メインメモリ１２は、例えば、ＤＲＡＭ等によって構成される。

入出力Ｉ／Ｆ１３は、操作者等との間で情報をやり取りするための各種の入出力装置を含む。入出力Ｉ／Ｆ１３は、例えば、キーボード、ポインティングデバイス（例えば、マウス、タッチパネル等）等の情報入力装置、マイクロフォン等の音声入力装置、カメラ等の画像入力装置を含む。また、入出力Ｉ／Ｆ１３は、ディスプレイ等の画像出力装置、スピーカー等の音声出力装置を含む。

通信Ｉ／Ｆ１４は、ネットワークアダプタ等のハードウェア、各種の通信用ソフトウェア、又はこれらの組み合わせとして実装され、通信ネットワーク２０等を介した有線又は無線の通信を実現できるように構成されている。

ストレージ１５は、例えば、磁気ディスク又はフラッシュメモリ等によって構成される。ストレージ１５は、オペレーティングシステムを含む様々なプログラム及び各種データ等を記憶する。例えば、ストレージ１５は、図１に示すように、検査に関する情報を管理する検査管理テーブル１５２と、検査対象のウェブサイト２２に含まれるウェブページに関する情報を管理するページ管理テーブル１５４と、ウェブサイト２２の自動巡回の際に発生したエラーに関する情報を管理するエラー管理テーブル１５６とを有する。これらのテーブルは、その一部が１つのテーブルに統合されてもよいし、複数のテーブルに分割されてもよい。

また、例えば、ストレージ１５は、本発明の一実施形態に係るサーバ側プログラム４０を記憶する。当該プログラム４０は、サーバ１０を、ウェブサイト検査サービスを提供するためのシステムの全部又は一部として機能させるためのプログラムである。サーバ側プログラム４０の少なくとも一部は、後述する端末側プログラム４２を介して、ユーザ端末３０側において実行されるように構成され得る。

本実施形態において、ウェブサイト検査サーバ１０は、それぞれが上述したハードウェア構成を有する複数のコンピュータを用いて構成され得る。例えば、サーバ１０は、複数のサーバ装置によって構成される。

このように構成されたウェブサイト検査サーバ１０は、ウェブサーバ及びアプリケーションサーバとしての機能を有するように構成することができ、ユーザ端末３０からの要求に応答して各種の処理を実行し、当該処理の結果に応じた画面データ（例えば、ＨＴＭＬデータ）及び制御データ等をユーザ端末３０に対して送信する。ユーザ端末３０では、受信したデータに基づくウェブページ又はその他の画面が出力される。

次に、ユーザ端末３０のハードウェア構成について説明する。ユーザ端末３０は、一般的なコンピュータとして構成されており、図１に示すように、コンピュータプロセッサ３１と、メインメモリ３２と、入出力Ｉ／Ｆ３３と、通信Ｉ／Ｆ３４と、ストレージ（記憶装置）３５とを備え、これらの各構成要素が図示しないバス等を介して電気的に接続されている。

コンピュータプロセッサ３１は、ＣＰＵ又はＧＰＵ等として構成され、ストレージ３５等に記憶されている様々なプログラムをメインメモリ３２に読み込んで、当該プログラムに含まれる各種の命令を実行する。メインメモリ３２は、例えば、ＤＲＡＭ等によって構成される。

入出力Ｉ／Ｆ３３は、操作者等との間で情報をやり取りするための各種の入出力装置を含む。入出力Ｉ／Ｆ３３は、例えば、キーボード、ポインティングデバイス（例えば、マウス、タッチパネル等）等の情報入力装置、マイクロフォン等の音声入力装置、カメラ等の画像入力装置を含む。また、入出力Ｉ／Ｆ３３は、ディスプレイ等の画像出力装置、スピーカー等の音声出力装置を含む。

通信Ｉ／Ｆ３４は、ネットワークアダプタ等のハードウェア、各種の通信用ソフトウェア、及びこれらの組み合わせとして実装され、通信ネットワーク２０等を介した有線又は無線の通信を実現できるように構成されている。

ストレージ３５は、例えば、磁気ディスク又はフラッシュメモリ等によって構成される。ストレージ３５は、オペレーティングシステムを含む様々なプログラム及び各種データ等を記憶する。ストレージ３５が記憶するプログラムは、アプリケーションマーケット等からダウンロードされてインストールされ得る。また、ストレージ３５は、上述した端末側プログラム４２を記憶する。当該プログラム４２は、ウェブブラウザ、又は、その他のアプリケーション（例えば、本実施形態のウェブサイト検査サービス用の端末側アプリケーション等）として構成され、上述したように、サーバ側プログラム４０の少なくとも一部を実行するように構成され得る。

本実施形態において、ユーザ端末３０は、スマートフォン、タブレット端末、又はパーソナルコンピュータ等として構成され得る。

このように構成されたユーザ端末３０を操作するユーザ（例えば、ウェブサイト２２の管理者）は、ストレージ３５等にインストールされている端末側プログラム４２を介したサーバ１０との通信を実行することによって、当該サーバ１０が提供するウェブサイト検査サービスを利用することができる。

次に、このように構成されたウェブサイト検査サーバ１０が有する機能について説明する。サーバ１０のコンピュータプロセッサ１１は、図１に示すように、メインメモリ１２に読み込まれたプログラム（例えば、サーバ側プログラム４０の少なくとも一部）に含まれる命令を実行することによって、管理機能制御部１１２、自動巡回制御部１１４、及び、検査制御部１１６として機能するように構成されている。

管理機能制御部１１２は、ウェブサイト検査サービスの管理機能の制御に関する様々な処理を実行するように構成されている。例えば、管理機能制御部１１２は、当該管理機能に関する様々な画面の画面データ及び制御データ等をユーザ端末３０に対して送信し、ユーザ端末３０において出力される当該画面を介したユーザによる操作入力に応答して様々な処理を実行し、当該処理の結果に応じた画面データ及び制御データ等をユーザ端末３０に対して送信する。管理機能制御部１１２によって制御される管理機能は、例えば、ログイン処理（ユーザ認証）、課金制御、及び、ユーザアカウントの管理等を含む。

自動巡回制御部１１４は、ウェブサイト２２の自動巡回の制御に関する様々な処理を実行するように構成されている。例えば、自動巡回制御部１１４は、ウェブサイト２２に含まれるウェブページを取得し、当該ページに含まれる遷移対象要素（例えば、リンク又はスクリプト等が設定された様々な種類のオブジェクト（ボタン、画像、及び、テキスト等）を含む。）を特定し、当該遷移対象要素を選択（クリック）して遷移先のウェブページを取得し、これらを繰り返すことによって、ウェブサイト２２を巡回する。

本実施形態において、自動巡回制御部１１４は、ウェブページに入力項目（例えば、入力可能なフォーム要素）が存在する場合に、当該入力項目に対して入力値を設定し、当該入力値の送信を伴って、遷移先のウェブページに遷移するように構成されている。つまり、自動巡回制御部１１４は、ウェブページにおける入力項目を特定し、当該入力項目に対して入力値を設定し、設定した入力値の送信を伴って、当該ウェブページから遷移した遷移先のウェブページを取得する。

本実施形態において、入力項目に対する入力値の設定は、こうした入力値を設定するための第１学習済みモデルを用いて行われる。例えば、自動巡回制御部１１４は、ウェブページに関するページ情報の少なくとも一部を含む入力情報を第１学習済みモデルに対して入力し、当該第１学習済みモデルから出力される出力情報に基づいて、当該ウェブページにおける入力項目に対する入力値を設定するように構成されている。こうした学習済みモデルは、多量の訓練データを用いた機械学習を介して生成される。

検査制御部１１６は、ウェブサイト２２の検査の制御に関する様々な処理を実行するように構成されている。例えば、検査制御部１１６は、ウェブサイト２２の自動巡回によって取得された各ウェブページにおいて、予め定められた検査項目を検査するための様々なリクエストを送信し、当該ウェブサイト２２から受信したレスポンスの内容に基づいて、対応する検査項目について判断する。

このように、本実施形態におけるウェブサイト検査サーバ１０は、ウェブサイト２２を自動巡回する際に、ウェブページにおける入力項目を特定し、当該入力項目に対して設定する入力値が、学習済みモデルから出力される情報に基づいて設定されるから、予め準備された入力値を利用する場合と比較して、様々なウェブサイトにとって適切な入力値の利用が促進される。このように、ウェブサイト検査サーバ１０は、ウェブサイト２２の自動巡回における適切な入力値の設定を支援する。

本実施形態において、ウェブサイト２２の検査は、様々な種類の検査を含む。例えば、当該検査は、ウェブサイト２２の脆弱性の検査（診断）を含む。また、例えば、当該検査は、ウェブサイト２２の性能、機能、その他の検査を含む。

本実施形態において、入力項目に対する入力値を設定するための第１学習済みモデルは、様々な情報を出力するように構成され得る。例えば、第１学習済みモデルは、当該入力値自体を出力するように構成される。こうした学習済みモデルは、例えば、ウェブページのＨＴＭＬデータと共に、当該ウェブページにおける入力項目に対する入力値の提示を指示する情報が入力されると、当該入力値自体を提示する情報を出力する大規模言語モデル（ＬＬＭ）として構成される。こうした構成は、学習済みモデルから出力される入力値自体の利用を可能とする。

また、例えば、第１学習済みモデルは、入力項目、及び、入力値の組合せを出力するように構成される。こうした学習済みモデルは、例えば、ウェブページのＨＴＭＬデータと共に、当該ウェブページにおける入力項目及び入力値の組合せの提示を指示する情報が入力されると、当該組合せを提示する情報を出力する大規模言語モデル（ＬＬＭ）として構成される。つまり、この場合、ウェブページにおける入力項目の特定は、第１学習済みモデルを用いて行われ、自動巡回制御部１１４は、第１学習済みモデルから出力される各入力項目に対して、同じく第１学習済みモデルから出力される、各入力項目に対応する入力値を設定するように構成される。こうした構成は、学習済みモデルから出力される入力項目及び入力値の組合せの利用を可能とする。

また、例えば、第１学習済みモデルは、入力項目、及び、入力値の組合せが入力されると、当該入力項目に対して当該入力値を設定した場合にエラーとなる可能性を示すエラー可能性情報を出力するように構成され得る。こうした学習済みモデルは、例えば、多量の訓練データ（例えば、ウェブページのページ情報（ＨＴＭＬデータ等）、当該ウェブページにおける入力項目、当該入力項目に対して設定された入力値、及び、当該入力値の送信後のエラーの有無等）を用いた機械学習を介して生成され、エラー可能性情報として、エラーとなる可能性を示すスコア等を出力するように構成される。この場合、自動巡回制御部１１４は、特定の入力項目に対して設定可能な、予め準備された入力値の複数の候補の各々について、第１学習済みモデルから出力されるエラー可能性情報に基づいて、エラーとなる可能性を判断し、エラーとなる可能性が低い候補が優先されるように、入力値を設定するように構成される。こうした構成は、学習済みモデルから出力されるエラー可能性情報に基づく入力値の設定を可能とする。

また、自動巡回制御部１１４は、入力値の送信を伴う遷移先のウェブページに関するページ情報に基づいて、エラーを判定し、エラーが有ると判定された場合に、遷移元のウェブページにおける入力項目に対して新たな入力値を設定するように構成され得る。こうした構成は、ページ情報に基づいてエラーが有ると判定された場合の入力値の再設定を可能とする。

本実施形態において、遷移先のウェブページに関するページ情報に基づくエラーの判定もまた、機械学習を介して生成された学習済みモデルを用いて行われるようにしてもよい。例えば、自動巡回制御部１１４は、遷移先のウェブページに関するページ情報の少なくとも一部を含む入力情報を第２学習済みモデルに対して入力し、当該第２学習済みモデルから出力される出力情報に基づいて、エラーを判定するように構成され得る。例えば、第２学習済みモデルは、エラーの有無に関する情報（エラーである可能性を示すスコア等）を出力し、当該情報に基づいて、エラーの有無が判定される（例えば、エラーである可能性を示すスコアが閾値以上である場合にエラーであると判定される。）。こうした構成は、学習済みモデルを介したエラーの判定を可能とする。

本実施形態において、ウェブページにおける複数の入力項目が特定され、これらの複数の入力項目の各々に対して対応する入力値が設定されるようにしてもよい。この場合、エラーを判定するための第２学習済みモデルは、これらの複数の入力項目のうち、エラーの原因である入力項目を特定するための情報（例えば、複数の入力項目の各々について、エラーの原因である可能性を示す情報、又は、当該入力項目自体を特定する情報等）を出力するように構成され得る。こうした構成は、エラーの原因である入力項目を、学習済みモデルを介して特定することを可能とする。

また、自動巡回制御部１１４は、エラーが有ると判定された場合に、遷移元のウェブページにおける入力項目、及び、当該入力項目に対して設定されて送信された入力値の組合せを含むデータを、第２学習済みモデルの訓練データとして追加するように構成され得る。こうした構成は、エラーを判定するための学習済みモデルの適切な追加学習を支援する。

また、自動巡回制御部１１４は、エラーが有ると判定された場合の当該エラーに関する情報をユーザに提示するように構成され得る。例えば、自動巡回制御部１１４は、エラーに関する情報（例えば、エラー管理テーブル１５６によって管理される。）を含む画面の画面データ及び制御データ等をユーザ端末３０に対して送信することによって、当該情報をユーザに対して提示する。こうした構成は、エラーに関する情報をユーザ（例えば、ウェブサイト２２の管理者等）に知らせることを可能とする。

次に、このような機能を有する本実施形態のウェブサイト検査サーバ１０の一態様としての具体例について説明する。この具体例におけるサーバ１０は、ウェブサイト検査サービスの一例として、ウェブサイトの脆弱性を検査する脆弱性検査サービスを提供する。

まず、この例において、各テーブルが管理する情報について説明する。図２は、この例において、検査管理テーブル１５２が管理する情報を例示する。この例における検査管理テーブル１５２は、個別の検査に関する情報を管理し、図示するように、個別の検査（案件）を識別する「検査ＩＤ」に対応付けて、検査対象のウェブサイトの検査の起点となるトップ画面（トップページ）のＵＲＬである「トップ画面ＵＲＬ」、画面遷移の設定日時である「画面遷移設定日時」、検査の実行日時である「検査実行日時」等の情報を管理する。

図３は、この例において、ページ管理テーブル１５４が管理する情報を例示する。この例におけるページ管理テーブル１５４は、検査対象のウェブサイトに含まれる各ウェブページ（画面）に関する情報を管理し、図示するように、個別の検査を識別する「検査ＩＤ」、及び、当該検査において個別の画面を識別する「画面ＩＤ」の組合せに対応付けて、当該画面のＵＲＬである「画面ＵＲＬ」、当該画面の画面キャプチャに関する情報である「画面キャプチャ情報」、当該画面の「ＨＴＭＬデータ」、当該画面の遷移元の画面を識別する「遷移元画面ＩＤ」、当該画面の遷移元の要素（当該画面に遷移する際にクリックされた遷移対象要素）を識別する「遷移元要素ＩＤ」、遷移元の画面において、入力項目に対して入力された入力値に関する情報である「遷移元入力情報」、当該画面における検査結果に関する情報である「検査結果情報」等の情報を管理する。

図４は、この例において、エラー管理テーブル１５６が管理する情報を例示する。この例におけるエラー管理テーブル１５６は、検査対象のウェブサイトを自動巡回する際に発生したエラーに関する情報を管理し、図示するように、個別の検査を識別する「検査ＩＤ」、及び、当該検査において個別のエラーを識別する「エラーＩＤ」の組合せに対応付けて、エラーが発生した画面のＵＲＬである「画面ＵＲＬ」、当該画面の画面キャプチャに関する情報である「画面キャプチャ情報」、当該画面の「ＨＴＭＬデータ」、当該画面の遷移元の画面を識別する「遷移元画面ＩＤ」、当該画面の遷移元の要素（当該画面に遷移する際にクリックされた遷移対象要素）を識別する「遷移元要素ＩＤ」、遷移元の画面において、入力項目に対して入力された入力値に関する情報である「遷移元入力情報」、当該画面においてエラーが発生した可能性を示す「エラースコア」等の情報を管理する。

以上、この例において、各テーブルが管理する情報について説明した。次に、この例において、ウェブサイト検査サーバ１０が実行する処理、及び、ユーザ端末３０において出力される画面等について説明する。

図５は、この例において、ウェブサイトの脆弱性を検査する際にウェブサイト検査サーバ１０が実行する処理を例示するフローチャートである。サーバ１０は、まず、図示するように、脆弱性を検査する対象のウェブサイトの設定を受け付ける（ステップＳ１００）。こうした設定の受付は、ユーザ端末３０において出力される画面を介して行われる。

図６は、ユーザ端末３０において出力される、検査対象のウェブサイトの設定を受け付けるための対象サイト設定画面５０を例示する。当該画面５０は、図示するように、検査対象のウェブサイトのトップ画面（トップページ）のＵＲＬを入力するためのＵＲＬ入力領域５２と、当該ウェブサイトへのログインに用いられるログインＩＤを入力するためのログインＩＤ入力領域５４と、当該ウェブサイトへのログインに用いられるパスワードを入力するためのパスワード入力領域５６と、「巡回・検査開始」というテキストが付加された続行ボタン５８とを有する。このように、この例では、検査対象のウェブサイトの設定情報として、トップ画面のＵＲＬ、ログインＩＤ、及び、パスワードが受け付けられる。

続行ボタン５８は、検査対象のウェブサイトの自動巡回及び検査を指示するためのオブジェクトである。図５のフローチャートに戻り、当該ボタン５８が選択されると、サーバ１０は、次に、検査対象のウェブサイトを自動巡回し、検査の際の画面遷移を設定する（ステップＳ１１０）。

図７は、ウェブサイトの自動巡回の際にサーバ１０が実行する処理を例示するフローチャートである。サーバ１０は、まず、図示するように、検査対象のウェブサイトのトップ画面にアクセスし、当該トップ画面を画面遷移に追加する（ステップＳ２００）。具体的には、サーバ１０において、ウェブブラウザが起動され、対象サイト設定画面５０を介して入力されたＵＲＬによって特定されるトップ画面へのアクセスが行われる。また、ページ管理テーブル１５４において、当該トップ画面に関する情報が登録され、具体的には、検査ＩＤ、画面ＩＤ，画面ＵＲＬ、画面キャプチャ情報、及び、ＨＴＭＬデータが設定される。このように、ページ管理テーブル１５４は、個別の検査において設定される画面遷移を管理するテーブルであるとも言える。

続いて、サーバ１０は、トップ画面に含まれる複数の遷移対象要素を特定する（ステップＳ２１０）。具体的には、リンク又はスクリプト等が設定された画面構成要素（ボタン、画像、及び、テキスト等）が、遷移対象要素として特定される。こうした要素の特定は、対応するＨＴＭＬデータに基づいて行われ、例えば、ｂｕｔｔｏｎタグ、ｉｍｇタグ、及び、ｉｎｐｕｔタグ（ｔｙｐｅ＝“ｂｕｔｔｏｎ”）等に対応する要素が、遷移対象要素の候補となる。

次に、サーバ１０は、入力項目（例えば、入力可能なフォーム要素）が存在する場合には（ステップＳ２２０においてＹＥＳ）、入力項目に対する入力値を生成し、生成した入力値を設定する（ステップＳ２３０、Ｓ２４０）。入力項目の有無は、対応するＨＴＭＬデータに基づいて判定され、例えば、ｉｎｐｕｔタグ（ｔｙｐｅ＝“ｔｅｘｔ”）、及び、ｔｅｘｔａｒｅａタグ等が、入力項目の候補となる。

また、入力項目に対する入力値は、具体的には、こうした入力値を生成可能な学習済みモデルを用いて生成される。当該学習済みモデルは、この例では、大規模言語モデルとして構成され、対象画面のＨＴＭＬデータと共に、当該画面における入力項目及び入力値の組合せの提示を指示する情報が入力されると、当該画面に含まれる各入力項目が、対応する入力値を伴って出力する（つまり、入力項目及び入力値の組合せが出力される。）ように構成されている。こうした大規模言語モデルとして、例えば、米国ＯｐｅｎＡＩ社が提供するＧＰＴ－４が適用され得る。

図８は、大規模言語モデルにおける入出力情報の一例を示す。図示するように、入力情報において、ＪＳＯＮ形式での出力を指示することによって、出力情報に基づく入力値の設定が可能となる。

図９は、大規模言語モデルにおける入出力情報の他の例を示す。図示するように、ＨＴＭＬデータにおけるパラメータ名（「ｐａｒａｍ１」及び「ｐａｒａｍ２」）がパラメータの用途を示していない場合であっても、大規模言語モデルは、ラベル等の周辺の要素に基づいて、パラメータの用途を判定することができる。また、入力規則が自然言語（「半角カナで指定し、苗字と氏名の間にスペースを空けないでください」との記載）で指定されている場合であっても、大規模言語モデルは、こうした入力規則に従った入力値を提示することができる。

図１０は、大規模言語モデルにおける入出力情報のさらに他の例を示す。図示するように、ＨＴＭＬデータにおけるパラメータ名に誤記がある（「ｌｓａｔ＿ｎａｍｅ」は「ｌａｓｔ＿ｎａｍｅ」の誤記である）場合であっても、大規模言語モデルは、こうした誤記を予測して、パラメータの用途を判定することができる。

続いて、サーバ１０は、対応する遷移対象要素を選択（クリック）する（ステップＳ２５０）。なお、入力項目が存在しない場合には（ステップＳ２２０においてＮＯ）、直ちに、遷移対象要素の選択が行われる。

次に、サーバ１０は、遷移先の画面におけるエラーを判定する（ステップＳ２６０）。こうしたエラーは、具体的には、当該エラーを判定するための学習済みモデルを用いて判定される。当該学習済みモデルは、この例では、多量の訓練データを用いた機械学習を介して生成され、遷移元の画面のＨＴＭＬデータ、ＨＴＴＰリクエスト（入力項目に対して設定された入力値を含む。）、及び、ＨＴＴＰレスポンス（遷移先の画面のＨＴＭＬデータを含む。）が入力されると、エラーが発生している可能性を示すエラースコアを出力するように構成されている。そして、当該エラースコアの値が閾値以上である場合、エラーが発生していると判定され、当該エラースコアの値が閾値未満である場合、エラーが発生していないと判定される。

例えば、エラーのメッセージが自然言語（予め列挙できない文言等）のみで表示される場合（例えば、「処理を完了することができませんでした」とのメッセージ等）には、ルールベースの手法でのエラーの判定は困難であるが、学習済みモデルを用いることによって、こうしたエラーの判定が可能となる。

そして、遷移先の画面においてエラーが発生していると判定されない場合には（ステップＳ２６５においてＮＯ）、サーバ１０は、遷移先画面への遷移を画面遷移に追加する（ステップＳ２７０）。具体的には、ページ管理テーブル１５４において、遷移先の画面に関する情報が登録され、つまり、検査ＩＤ、画面ＩＤ，画面ＵＲＬ、画面キャプチャ情報、ＨＴＭＬデータ、遷移元画面ＩＤ、遷移元要素ＩＤ、及び、遷移元入力情報が設定される。遷移元入力情報には、入力項目及び入力値の組合せが設定される。

ここで、エラーが発生していない場合であっても、遷移先の画面が、画面遷移への追加対象外の画面である場合には、画面遷移への追加が行われないようにしてもよい。例えば、検査対象のウェブサイトの外部のサイトの画面、及び、既に画面遷移に含まれる画面と重複する画面（こうした重複は、例えば、画面の類似度に基づいて判断される。）等については、画面遷移への追加対象外と判断される。

一方、遷移先の画面においてエラーが発生していると判定される場合には（ステップＳ２６５においてＹＥＳ）、サーバ１０は、遷移先画面におけるエラーを登録する（ステップＳ２８０）。具体的には、エラー管理テーブル１５６において、検査ＩＤ、エラーＩＤ，画面ＵＲＬ、画面キャプチャ情報、ＨＴＭＬデータ、遷移元画面ＩＤ、遷移元要素ＩＤ、遷移元入力情報、及び、エラースコアが設定される。なお、エラーが発生している場合、当該画面の画面遷移への追加は行われない。

そして、トップ画面に含まれる複数の遷移対象要素の全てについて、選択（クリック）に応じた遷移先画面の画面遷移への追加、又は、エラーの登録が行われると（ステップＳ２９０においてＮＯ）、次に、サーバ１０は、画面遷移に追加された各画面について、トップ画面と同様に、当該画面に含まれる複数の遷移対象要素の特定（ステップＳ３１０）、及び、当該要素の選択に応じた遷移先画面の画面遷移への追加、又は、エラーの登録を行う（ステップＳ２２０～Ｓ２９０）。こうした処理は、画面遷移への新たな画面の追加がなくなるまでの間（ステップＳ３００においてＮＯ）、繰り返し行われる。

図５のフローチャートに戻り、こうして画面遷移が設定されると、続いて、サーバ１０は、設定された画面遷移に従って、脆弱性の検査を実行する（ステップＳ１２０）。具体的には、ウェブブラウザを起動し、ページ管理テーブル１５４において管理されている情報に従って、画面遷移に含まれる各画面を順に訪れて、予め定められた脆弱性の検査項目の検査を行う。脆弱性の検査項目は、例えば、ＯＷＡＳＰ Ｔｏｐ１０において規定されている項目を含む。検査結果は、ページ管理テーブル１５４の検査結果情報に登録される。なお、ウェブサイトの自動巡回の際に（つまり、画面遷移の設定の際に）、各画面において、検査項目の検査を行うようにしてもよい。

図１１は、ユーザ端末３０において出力される、検査結果を確認するための検査結果確認画面６０を例示する。当該画面６０は、図示するように、脆弱性の検査結果を一覧表示する一覧表示領域６２を有する。当該領域６２は、各画面の脆弱性の検査結果（深刻度、脆弱性名、検出箇所、及び、脆弱箇所等）を一覧表示する。これらの情報は、ページ管理テーブル１５４の検査結果情報において管理されている。

上述した例において、エラー管理テーブル１５６において管理されている情報は、遷移先の画面におけるエラーを判定するための上述した学習済みモデルの追加学習の際の訓練データに自動的に追加される。

上述した例において、エラー管理テーブル１５６において管理されている情報を含む画面が、対応するユーザ（ウェブサイトの管理者等）のユーザ端末３０において、出力されるようにしてもよい。

上述した例では、大規模言語モデルとして構成される学習済みモデルから、入力項目及び入力値の組合せが出力されるようにしたが、入力値のみが出力されるようにしてもよい。この場合、対象画面のＨＴＭＬデータ等に基づいて入力項目が特定され、学習済みモデルに対して、当該ＨＴＭＬデータと共に、特定された入力項目に対する入力値の提示を指示する情報が入力されると、当該学習済みモデルから、当該入力値自体を提示する情報が出力される。図１２は、この場合の大規模言語モデルにおける入出力情報の一例を示す。この例において、「ｐａｒａｍ１」は、対象画面のＨＴＭＬデータに基づいて特定された入力項目（氏名）のパラメータであり、こうした入力情報が、サーバ１０によって自動的に生成される。

また、学習済みモデルが、ＨＴＭＬデータ、並びに、入力項目及び入力値の組合せが入力されると、エラーとなる可能性を示す情報（エラースコア等）を出力するように構成されてもよい。この場合、対象画面のＨＴＭＬデータ等に基づいて入力項目が特定され、当該入力項目に対して設定可能な複数の入力値の候補（予め定められている。）の各々について、学習済みモデルを介してエラーとなる可能性を取得し、当該可能性が最も低い候補を入力値として適用するようにすればよい。

上述した例では、遷移先の画面におけるエラーを判定するための学習済みモデルは、遷移元の画面のＨＴＭＬデータ、ＨＴＴＰリクエスト、及び、ＨＴＴＰレスポンスが入力されると、エラーが発生している可能性を示すエラースコアを出力するように構成されているが、複数の入力項目のうち、エラーの原因である入力項目を特定するための情報が出力されるようにしてもよい。例えば、当該学習済みモデルは、大規模言語モデルとして構成され、遷移元の画面のＨＴＭＬデータ、ＨＴＴＰリクエスト、及び、ＨＴＴＰレスポンスと共に、エラーの原因である入力項目の提示を指示する情報が入力されると、当該学習済みモデルから、当該入力項目を提示する情報が出力される。

さらに、エラーを判定するための学習済みモデルから、エラーの理由、及び、入力値の代替値等の拡張情報を取得するようにしてもよい。こうした学習済みモデルは、大規模言語モデルとして構成され、遷移元の画面のＨＴＭＬデータ、及び、入力項目に対する入力値と共に、こうした情報の提示を指示する情報が入力されると、当該学習済みモデルから、当該拡張情報を提示する情報が出力される。図１３は、この場合の大規模言語モデルにおける入出力情報の一例を示す。こうして取得した拡張情報は、例えば、エラー管理テーブル１５６において管理される。

上述した例では、ウェブサイトの脆弱性を検査する脆弱性検査サービスが提供されるようにしたが、本実施形態の他の例では、脆弱性以外の他の観点での様々な検査が行われ、例えば、ウェブサイトのその他の性能、及び、機能等の検査が行われる。

以上説明した本実施形態に係るウェブサイト検査サーバ１０は、ウェブサイト２２を自動巡回する際に、ウェブページにおける入力項目を特定し、当該入力項目に対して設定する入力値が、学習済みモデルから出力される情報（例えば、入力項目及び入力値の組合せ）に基づいて設定されるから、予め準備された入力値を利用する場合と比較して、様々なウェブサイトにとって適切な入力値の利用が促進される。このように、ウェブサイト検査サーバ１０は、ウェブサイト２２の自動巡回における適切な入力値の設定を支援する。

本発明の他の実施形態において、上述した実施形態におけるウェブサイト検査サーバ１０が有する機能の一部又は全部は、ウェブサイト検査サーバ１０及びユーザ端末３０が協動することによって実現され、又は、ユーザ端末３０によって実現され得る。また、本発明の他の実施形態においては、ウェブサイト２２の検査以外の様々な目的で、当該ウェブサイト２２の自動巡回が行われる。

本明細書で説明された処理及び手順は、明示的に説明されたもの以外にも、ソフトウェア、ハードウェアまたはこれらの任意の組み合わせによって実現される。例えば、本明細書で説明される処理及び手順は、集積回路、揮発性メモリ、不揮発性メモリ、磁気ディスク等の媒体に、当該処理及び手順に相当するロジックを実装することによって実現される。また、本明細書で説明された処理及び手順は、当該処理・手順に相当するコンピュータプログラムとして実装し、各種のコンピュータに実行させることが可能である。

本明細書中で説明された処理及び手順が単一の装置、ソフトウェア、コンポーネント、モジュールによって実行される旨が説明されたとしても、そのような処理または手順は複数の装置、複数のソフトウェア、複数のコンポーネント、及び／又は複数のモジュールによって実行され得る。また、本明細書において説明されたソフトウェアおよびハードウェアの要素は、それらをより少ない構成要素に統合して、またはより多い構成要素に分解することによって実現することも可能である。

本明細書において、発明の構成要素が単数もしくは複数のいずれか一方として説明された場合、又は、単数もしくは複数のいずれとも限定せずに説明された場合であっても、文脈上別に解すべき場合を除き、当該構成要素は単数又は複数のいずれであってもよい。

１０ ウェブサイト検査サーバ
１１ コンピュータプロセッサ
１１２ 管理機能制御部
１１４ 自動巡回制御部
１１６ 検査制御部
１５ ストレージ
１５２ 検査管理テーブル
１５４ ページ管理テーブル
１５６ エラー管理テーブル
３０ ユーザ端末
４０ サーバ側プログラム
４２ 端末側プログラム
５０ 対象サイト設定画面
６０ 検査結果確認画面

Claims (12)

1. １又は複数のコンピュータプロセッサを備え、ウェブサイトの自動巡回を行うためのシステムであって、前記１又は複数のコンピュータプロセッサは、
   前記ウェブサイトに含まれる第１ウェブページを取得するステップと、
   前記第１ウェブページにおける入力項目を特定し、前記入力項目に対して入力値を設定するステップと、
   設定した前記入力値の送信を伴って、前記第１ウェブページから遷移した第２ウェブページを取得するステップと、を実行し、
   前記入力値を設定するステップは、前記第１ウェブページに関する第１ページ情報の少なくとも一部を含む第１入力情報を第１学習済みモデルに対して入力し、前記第１学習済みモデルから出力される第１出力情報に基づいて、前記入力値を設定することを含み、
   前記第１入力情報は、前記入力項目、及び、前記入力値の組合せを含み、
   前記第１出力情報は、前記入力項目に対して前記入力値を設定した場合にエラーとなる可能性を示すエラー可能性情報を含み、
   前記入力値を設定するステップは、前記エラー可能性情報に基づいて、前記入力値を設定するか否かを判断することを含む、
   システム。
2. １又は複数のコンピュータプロセッサを備え、ウェブサイトの自動巡回を行うためのシステムであって、前記１又は複数のコンピュータプロセッサは、
   前記ウェブサイトに含まれる第１ウェブページを取得するステップと、
   前記第１ウェブページにおける入力項目を特定し、前記入力項目に対して入力値を設定するステップと、
   設定した前記入力値の送信を伴って、前記第１ウェブページから遷移した第２ウェブページを取得するステップと、
   前記第２ウェブページに関する第２ページ情報に基づいて、エラーを判定するステップと、
   前記エラーが有ると判定された場合に、前記入力項目に対して新たな入力値を設定するステップと、を実行し、
   前記入力値を設定するステップは、前記第１ウェブページに関する第１ページ情報の少なくとも一部を含む第１入力情報を第１学習済みモデルに対して入力し、前記第１学習済みモデルから出力される第１出力情報に基づいて、前記入力値を設定することを含み、
   前記エラーを判定するステップは、前記第２ページ情報の少なくとも一部を含む第２入力情報を第２学習済みモデルに対して入力し、前記第２学習済みモデルから出力される第２出力情報に基づいて前記エラーを判定することを含む、
   システム。
3. 前記第１出力情報は、前記入力値を含む、
   請求項２のシステム。
4. 前記第１出力情報は、前記入力項目、及び、前記入力値の組合せを含み、
   前記入力値を設定するステップは、前記第１出力情報に含まれる前記入力項目に対して、前記第１出力情報に含まれる前記入力値を設定することを含む、
   請求項２のシステム。
5. 前記第２出力情報は、前記エラーの有無に関する情報を含む、
   請求項２のシステム。
6. 前記入力値を設定するステップは、前記第１ウェブページにおける複数の入力項目を特定し、前記複数の入力項目の各々に対して対応する入力値を設定することを含み、
   前記第２出力情報は、前記複数の入力項目のうち、前記エラーの原因である入力項目に関する情報を含む、
   請求項２のシステム。
7. 前記１又は複数のコンピュータプロセッサは、さらに、前記エラーが有ると判定された場合に、前記入力項目、及び、前記入力項目に対して設定されて送信された前記入力値の組合せを含むデータを、前記第２学習済みモデルの訓練データとして追加するステップを実行する、
   請求項２のシステム。
8. 前記１又は複数のコンピュータプロセッサは、さらに、前記エラーが有ると判定された場合の前記エラーに関する情報をユーザに提示するステップを実行する、
   請求項２のシステム。
9. １又は複数のコンピュータによって実行され、ウェブサイトの自動巡回を行うための方法であって、
   前記ウェブサイトに含まれる第１ウェブページを取得するステップと、
   前記第１ウェブページにおける入力項目を特定し、前記入力項目に対して入力値を設定するステップと、
   設定した前記入力値の送信を伴って、前記第１ウェブページから遷移した第２ウェブページを取得するステップと、を備え、
   前記入力値を設定するステップは、前記第１ウェブページに関する第１ページ情報の少なくとも一部を含む第１入力情報を第１学習済みモデルに対して入力し、前記第１学習済みモデルから出力される第１出力情報に基づいて、前記入力値を設定することを含み、
   前記第１入力情報は、前記入力項目、及び、前記入力値の組合せを含み、
   前記第１出力情報は、前記入力項目に対して前記入力値を設定した場合にエラーとなる可能性を示すエラー可能性情報を含み、
   前記入力値を設定するステップは、前記エラー可能性情報に基づいて、前記入力値を設定するか否かを判断することを含む、
   方法。
10. １又は複数のコンピュータによって実行され、ウェブサイトの自動巡回を行うための方法であって、
    前記ウェブサイトに含まれる第１ウェブページを取得するステップと、
    前記第１ウェブページにおける入力項目を特定し、前記入力項目に対して入力値を設定するステップと、
    設定した前記入力値の送信を伴って、前記第１ウェブページから遷移した第２ウェブページを取得するステップと、
    前記第２ウェブページに関する第２ページ情報に基づいて、エラーを判定するステップと、
    前記エラーが有ると判定された場合に、前記入力項目に対して新たな入力値を設定するステップと、を備え、
    前記入力値を設定するステップは、前記第１ウェブページに関する第１ページ情報の少なくとも一部を含む第１入力情報を第１学習済みモデルに対して入力し、前記第１学習済みモデルから出力される第１出力情報に基づいて、前記入力値を設定することを含み、
    前記エラーを判定するステップは、前記第２ページ情報の少なくとも一部を含む第２入力情報を第２学習済みモデルに対して入力し、前記第２学習済みモデルから出力される第２出力情報に基づいて前記エラーを判定することを含む、
    方法。
11. ウェブサイトの自動巡回を行うためのプログラムであって、１又は複数のコンピュータに、
    前記ウェブサイトに含まれる第１ウェブページを取得するステップと、
    前記第１ウェブページにおける入力項目を特定し、前記入力項目に対して入力値を設定するステップと、
    設定した前記入力値の送信を伴って、前記第１ウェブページから遷移した第２ウェブページを取得するステップと、を実行させ、
    前記入力値を設定するステップは、前記第１ウェブページに関する第１ページ情報の少なくとも一部を含む第１入力情報を第１学習済みモデルに対して入力し、前記第１学習済みモデルから出力される第１出力情報に基づいて、前記入力値を設定することを含み、
    前記第１入力情報は、前記入力項目、及び、前記入力値の組合せを含み、
    前記第１出力情報は、前記入力項目に対して前記入力値を設定した場合にエラーとなる可能性を示すエラー可能性情報を含み、
    前記入力値を設定するステップは、前記エラー可能性情報に基づいて、前記入力値を設定するか否かを判断することを含む、
    プログラム。
12. ウェブサイトの自動巡回を行うためのプログラムであって、１又は複数のコンピュータに、
    前記ウェブサイトに含まれる第１ウェブページを取得するステップと、
    前記第１ウェブページにおける入力項目を特定し、前記入力項目に対して入力値を設定するステップと、
    設定した前記入力値の送信を伴って、前記第１ウェブページから遷移した第２ウェブページを取得するステップと、
    前記第２ウェブページに関する第２ページ情報に基づいて、エラーを判定するステップと、
    前記エラーが有ると判定された場合に、前記入力項目に対して新たな入力値を設定するステップと、を実行させ、
    前記入力値を設定するステップは、前記第１ウェブページに関する第１ページ情報の少なくとも一部を含む第１入力情報を第１学習済みモデルに対して入力し、前記第１学習済みモデルから出力される第１出力情報に基づいて、前記入力値を設定することを含み、
    前記エラーを判定するステップは、前記第２ページ情報の少なくとも一部を含む第２入力情報を第２学習済みモデルに対して入力し、前記第２学習済みモデルから出力される第２出力情報に基づいて前記エラーを判定することを含む、
    プログラム。