WO2020022456A1 - 情報処理装置、情報処理方法、及び情報処理プログラム - Google Patents

情報処理装置、情報処理方法、及び情報処理プログラム Download PDF

Info

Publication number
WO2020022456A1
WO2020022456A1 PCT/JP2019/029287 JP2019029287W WO2020022456A1 WO 2020022456 A1 WO2020022456 A1 WO 2020022456A1 JP 2019029287 W JP2019029287 W JP 2019029287W WO 2020022456 A1 WO2020022456 A1 WO 2020022456A1
Authority
WO
WIPO (PCT)
Prior art keywords
url
connection destination
information processing
access
content
Prior art date
Application number
PCT/JP2019/029287
Other languages
English (en)
French (fr)
Inventor
登志夫 道具
松本　卓也
計介 細谷
猪俣　清人
Original Assignee
デジタルアーツ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by デジタルアーツ株式会社 filed Critical デジタルアーツ株式会社
Priority to SG11202100798YA priority Critical patent/SG11202100798YA/en
Priority to EP19840525.0A priority patent/EP3828745A4/en
Priority to CN201980047327.5A priority patent/CN112424778A/zh
Priority to US17/262,664 priority patent/US20210168172A1/en
Publication of WO2020022456A1 publication Critical patent/WO2020022456A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • the embodiments of the present invention relate to an information processing device, an information processing method, and an information processing program.
  • the Web server performs an operation of storing content created and updated by an administrator who manages the server, and returning the content in response to a request from the client terminal.
  • various kinds of software including the OS are installed in the Web server, and the creation and updating of contents, communication with client terminals, and the like are executed by the software. If a vulnerability (security weakness) exists in such software, a malicious third party may execute an attack on the server (for example, SQL injection) using the vulnerability.
  • a vulnerability security weakness
  • a malicious third party may execute an attack on the server (for example, SQL injection) using the vulnerability.
  • Drinking fountain-type attacks are malicious attacks in which a malicious third party falsifies a legitimate Web site that users normally access via the Internet, and downloads malware and the like to client terminals that have accessed the legitimate Web site. This is a type of cyber attack that leads to a site.
  • an execution device that virtually executes a malware file acquired based on a URL or the like acquired via a communication log of a user is provided, and when the malware file is executed, a destination with which the malware file communicates is determined.
  • a technique of acquiring a URL or the like and collecting a URL of a connection destination as a blacklist is disclosed.
  • the administrator who manages the server corresponding to the legitimate site cannot notice the alteration of the content at an early stage, and the legitimate site may be left as a harmful Web site for the user.
  • the present invention has been made in view of such circumstances, and has as its object to provide an information processing apparatus, an information processing method, and an information processing program capable of detecting falsification of contents of a Web server at an early stage.
  • An information processing apparatus includes an access log collection unit that collects an access log when a client terminal requests content from a Web server, a database that registers a malicious URL in advance, and a connection between the client terminal.
  • a falsification detection unit that checks the corresponding connection destination URL against a database and detects falsification of the content when the connection destination URL matches the malicious URL.
  • an information processing apparatus capable of detecting falsification of contents of a Web server at an early stage.
  • FIG. 1 is a configuration diagram illustrating an example of a configuration of an information processing apparatus according to a first embodiment.
  • A An explanatory diagram illustrating an access flow when a URL is connected to a URL different from the requested URL by a URL redirect after a request from a client terminal, and (B) a log extraction unit of the information processing apparatus. The figure which shows an example of the extracted access log.
  • A An explanatory diagram showing an example of a URL stored in a database
  • 5 is a flowchart illustrating an example of an information processing method according to the first embodiment.
  • A This is an example of a drive-by download attack.
  • FIG. 9 is a configuration diagram illustrating an example of a configuration of an information processing apparatus according to a second embodiment. 9 is a flowchart illustrating an example of an information processing method according to the second embodiment. FIG. 9 is a configuration diagram illustrating an example of a configuration of an information processing apparatus according to a third embodiment. 9 is a flowchart illustrating an example of an information processing method according to a third embodiment.
  • FIG. 1 is a diagram illustrating an example of a configuration of an information processing apparatus 10 according to the first embodiment.
  • the client terminal 11 is connected to the Web server 12 via the Internet, and requests the contents of the Web server 12 specified by the URL. Then, the content returned from the Web server 12 is displayed via the Web browser.
  • the content include various data such as html data, image data, and pdf files.
  • FIG. 1 illustrates html data as the content.
  • the Web server 12 returns the content requested from the client terminal 11 to the client terminal 11.
  • the administrator terminal 13 is a computer that can be connected to the Web server 12, and creates and updates content by the administrator.
  • the information processing apparatus 10 detects the falsification of the content corresponding to the URL of the access source of the user by checking the access log collected from the client terminal 11 of the user against the database 16 in which the malicious URL is registered in advance. I do.
  • the information processing device 10 collects an access log relating to information on connection of the client terminal 11 to the Web server 12.
  • the information processing device 10 may acquire the access log directly from the client terminal 11 or, when the client terminal 11 is connected to the Web server 12 via a proxy server for controlling connection to the Internet,
  • the information processing device 10 may acquire an access log from a proxy server. Further, the access log may be obtained through a firewall or the like that controls communication of the client terminal 11 at the entrance to the external network. Further, the information processing apparatus 10 may acquire the access log via a separate server that collects the access log from the client terminal 11 as needed.
  • the information processing apparatus 10 may be connected to a plurality of client terminals 11 and collect an access log from each of the client terminals 11.
  • the information processing apparatus 10 includes an access log collection unit 14, a log extraction unit 15, a database 16, a falsification detection unit 19, and a falsification notification unit 20.
  • each unit constituting the information processing apparatus 10 may be realized by executing a predetermined program code using a processor, and is not limited to such software processing.
  • a processor for example, an ASIC or the like may be used. It may be realized by hardware processing, or may be realized by combining software processing and hardware processing.
  • the access log collection unit 14 collects an access log when the client terminal 11 requests content from the Web server 12.
  • the access log collection unit 14 includes identification information (for example, an IP address) for identifying the client terminal 11 when the client terminal 11 connects to the Web server 12, an access source URL, a connection destination URL, and a Web used for accessing the content. Obtain the browser name, access time, etc. as an access log.
  • the access source URL means a URL for requesting a content from the client terminal 11.
  • the connection destination URL means a URL to which the client terminal 11 is actually connected after the content request.
  • the URL accessed by the client terminal 11 for requesting the content matches the URL to which the client terminal 11 is actually connected after the request. That is, the access source URL matches the connection destination URL.
  • the URL is redirected (the URL reference is automatically changed) after the request from the client terminal 11 and the client terminal 11 is automatically connected to a URL different from the URL of the request destination
  • the URL at which the content was requested from the client terminal 11 does not match the URL to which the client terminal 11 was actually connected after the request. That is, the access source URL and the connection destination URL do not match.
  • FIG. 2A is an explanatory diagram illustrating an access flow when the client terminal 11 is connected to a URL different from the requested URL by a URL redirection after the request from the client terminal 11.
  • the client terminal 11 accesses “http://www.aaa.com/aaa.html” as the access source URL and requests the content “aaa.html” from the Web server 12. An http response is returned to the client terminal 11. Then, the URL of the client terminal 11 is redirected to “http://www.ccc.com/ccc.html” and requests the content “ccc.html” from the Web server 50. The client terminal 11 acquires ccc.html data from the connection destination URL. As described above, when the client terminal 11 is connected to a URL that does not match the request destination URL due to the URL redirection, the access source URL does not match the connection destination URL.
  • the log extraction unit 15 determines that the connection destination URL corresponding to the connection destination of the client terminal 11 and the access source URL corresponding to the content request destination are different, that is, two An access log whose URL does not match is extracted.
  • FIG. 2B is a diagram illustrating an example of the access log extracted by the log extracting unit 15 of the information processing device 10.
  • the log extraction unit 15 determines, for each user ID (IP address) that identifies the client terminal 11 of the user, the connection destination URL to which the client terminal 11 has actually connected, and the user requesting the content. An access source URL or the like accessed to perform the operation is extracted.
  • IP address IP address
  • the database 16 has a malignant URL storage unit 17 in which a malignant URL is registered in advance, and a benign URL storage unit 18 in which a benign URL is registered in advance.
  • the database 16 is registered in a benign or malignant category corresponding to a URL, but may be registered in a benign or malignant category in accordance with an IP address. .
  • the malicious URL means a harmful URL that causes the client terminal 11 to download a malicious file or connect to a Web site, such as a content that causes the client terminal 11 to download malware such as a virus, a phishing (fraud) site, and the like.
  • a benign URL means a URL that is harmless to the client terminal 11. In the database 16, each of the registered URLs is assigned a malignant or benign category and stored.
  • the database 16 stores, in association with each benign URL, a notification destination to the administrator terminal 13 (or an administrator) that manages the content corresponding to the benign URL.
  • the notification destination is, for example, a mail address. This notification destination is used when notifying the administrator of the occurrence of tampering when content tampering is detected.
  • FIG. 3A is a diagram showing an example of saving a URL stored in the database 16. As shown in FIG. 3A, benign or malignant category information is stored in association with each URL registered in the database 16.
  • FIG. 3B is an explanatory diagram showing an example of a notification destination to a manager associated with a benign URL. As shown in FIG. 3B, for each registered benign URL, an e-mail address that is a notification destination to an administrator who manages the content corresponding to the benign URL is stored.
  • the tampering detection unit 19 outputs, from the log extraction unit 15, a log whose connection destination URL extracted by the log extraction unit 15 and corresponding to the connection destination of the client terminal 11 does not match the access source URL corresponding to the content request destination. get. Then, the connection destination URL serving as the actual connection destination of the client terminal 11 is checked against the database 16, and if the connection destination URL matches the malicious URL, tampering of the content corresponding to the access source URL is detected. In the case where the database 16 has been registered in a benign or malicious category corresponding to the IP address, if the IP address corresponding to the connection destination URL matches the malicious IP address, the content is falsified. Is detected.
  • the URL of the access source and the actual destination URL of the client terminal 11 match, and any URL belongs to a benign URL. Therefore, if the connection destination URL does not match the access source URL and the connection destination URL matches the malicious URL, it is determined that the connection to the legitimate website has been intentionally changed, and the legitimate website has been tampered with. That is, it can be determined that the content corresponding to the access source URL has been falsified.
  • the tampering notification unit 20 notifies the administrator of the Web server 12 corresponding to the tampered content of the occurrence of tampering. Specifically, the notification of the occurrence of falsification is made using the notification destination of the administrator terminal 13 (or the administrator) that manages the content corresponding to the benign URL. In addition, as a method of notifying the administrator, it is not necessary to save the notification destination of the administrator terminal 13 in advance, and the administrator's access destination is searched based on the access source URL corresponding to the content whose tampering is detected. Alternatively, the falsification may be notified to the administrator of the Web server 12.
  • a domain part is extracted from an access source URL, and the domain part is notified by connecting “/ content /”, “/ info /”, etc., which are generally used in the URL of the inquiry destination (contact destination).
  • the destination is searched for, and the administrator of the Web server 12 is notified of the falsification based on the notification destination.
  • FIG. 4 is a flowchart of the information processing method according to the first embodiment (see FIG. 1 as appropriate).
  • the access log collection unit 14 acquires an access log to the Internet from the client terminal 11 (S10).
  • the log extracting unit 15 extracts, from the access logs acquired from the client terminal 11, a log in which the connection destination URL actually connected to the client terminal 11 does not match the access source URL corresponding to the content request destination. (S11).
  • the falsification detection unit 19 checks the connection destination URL in the database 16 and determines whether the connection destination URL matches the malicious URL. If the connection destination URL matches the malicious URL, falsification of the content corresponding to the access source URL is detected (S12, S13: YES, S14). On the other hand, if they do not match, the falsification detecting unit 19 determines that the content has not been falsified (S13: NO, end).
  • the tampering notification unit 20 notifies the administrator of the Web server 12 corresponding to the tampered content of the occurrence of tampering (S15).
  • the access source URL corresponding to the content whose tampering has been detected may be stored in the database 16 as a malicious URL. For URLs already categorized as benign URLs, the category is changed to malignant URLs.
  • the information processing apparatus 10 collates the access log collected from the user's client terminal 11 with the database 16 in which the malicious URL is registered in advance, so that the falsification of the Web server 12 can be quickly performed. Can be detected. Then, the administrator of the Web server 12 can be notified of the falsification of the content. As a result, the administrator can notice the tampering of the Web server 12 at an early stage, and can end an attack by a malicious third party such as a watering hole type attack in a short time.
  • a malicious third party such as a watering hole type attack
  • FIG. 5A when the user inputs a keyword related to Company A to the search site X, the URL of the content of Company A corresponding to the keyword is displayed on the client terminal 11. Then, the client terminal 11 of the user requests aaa.html from the Web server 12 of Company A. At this time, the client terminal 11 that has executed access while having the referrer of the search site X is guided to the Web server 50 managed by a malicious third party by the redirect script embedded in aaa.html, Get ccc.html which is the content of
  • the embedded redirect script is not executed, and the client terminal 11 Aaa.html is acquired from the Web server 12 of the company.
  • the script is not executed when the URL is directly accessed, such as the access by the bookmark, and the URL of the client terminal 11 is redirected only when the access is performed through the search site. For this reason, an administrator who does not normally access via a search site is difficult to notice even if tampering has occurred, and there is a possibility that detection of tampering may be delayed.
  • the information processing apparatus 10 when the actual connection destination URL of the client terminal 11 matches the malicious URL, the information processing apparatus 10 directly requests the access source URL, that is, transmits the content without the referrer. By making the request, the connection destination URL is verified.
  • FIG. 6 is a diagram illustrating an example of a configuration of the information processing apparatus 10 according to the second embodiment.
  • portions having the same configuration or function as those of the first embodiment (FIG. 1) are denoted by the same reference numerals, and redundant description will be omitted.
  • first connection destination URL the connection destination URL extracted from the access log
  • second connection destination URL the connection destination URL when the access source URL is directly requested in the access verification unit 21
  • the log extraction unit 15 From the access log collected by the access log collection unit 14, the log extraction unit 15 does not match the first connection destination URL corresponding to the connection destination of the client terminal 11 with the access source URL corresponding to the content request destination. Extract the access log.
  • the access verification unit 21 checks the first connection destination URL in the database 16 and, when the first connection destination URL matches the malicious URL, sends the Web server 12 an access source extracted from the access log. Request URL directly. Then, at the time of executing the direct request, the access verification unit 21 compares the second connection destination URL with the access source URL.
  • the falsification detection unit 19 detects the falsification of the content when the access source URL and the second connection destination URL match according to the comparison by the access verification unit 21.
  • the access source URL does not match the first connection destination URL, and the first connection destination URL matches the malicious URL, the access source URL is transmitted to the Web server 12.
  • the fact that the second connection destination URL matches the access source URL means that the connection to the legitimate Web site has been intentionally changed according to the access method, and that the legitimate Web site It can be determined that the content has been falsified, that is, the content corresponding to the access source URL has been falsified.
  • the access source URL and the second connection destination URL do not match as a result of the comparison by the access verification unit 21, and the client terminal 11 is URL redirected to the malicious third party Web server 50, so that the second connection destination URL is obtained. If the URL matches the malicious URL, falsification of the content is detected. If the second connection destination URL does not match the malicious URL, the connected second connection destination URL is harmless, but the presence or absence of falsification of the content corresponding to the access source URL is undecided.
  • the access source URL is re-verified by the administrator of the processing device 10 to confirm whether the content has been tampered with.
  • FIG. 7 is a flowchart illustrating an example of the information processing method according to the second embodiment (see FIG. 6 as appropriate).
  • the access log collection unit 14 acquires an access log to the Internet from the client terminal 11 (S20).
  • the log extracting unit 15 does not match the access source URL corresponding to the content requested by the user from the access log acquired from the client terminal 11 with the first connection destination URL actually connected to the client terminal 11.
  • a log is extracted (S21).
  • the access verification unit 21 determines whether the first connection destination URL matches the malicious URL (S22).
  • the access verification unit 21 directly accesses the access source URL to the Web server 12 without referrer, and executes the second connection destination URL.
  • the URL is acquired (S22; YES, S23).
  • the access source URL is re-verified by the administrator of the information processing apparatus 10 to check whether the content has been tampered with (S22: NO, S28).
  • the administrator of the information processing apparatus 10 saves the access source URL corresponding to the content in the database 16 as a malicious URL. In addition, it notifies the administrator of the content corresponding to the access source URL of the falsification. If tampering has not been confirmed, the access source URL is stored in the database 16 as a benign URL.
  • the falsification detection unit 19 detects tampering of the content corresponding to the access source URL (S24: YES, S26).
  • the client terminal 11 is URL redirected to the malicious third party Web server 50, so that the second connection destination When the URL matches the malicious URL, falsification of the content is detected (S24: NO, S25: YES, S26).
  • the administrator of the information processing apparatus 10 specifies the access source URL. By re-verifying the URL, it is confirmed whether the content has been tampered with (S24: NO, S25: NO, S28).
  • the administrator of the information processing apparatus 10 sets the access source URL corresponding to the content and the second connection destination URL that did not match the malicious URL at the time of the access validation to the malicious URL. In the database 16. In addition, it notifies the administrator of the content corresponding to the access source URL of the falsification. On the other hand, if tampering has not been confirmed, the access source URL is stored in the database 16 as a benign URL.
  • the tampering notification unit 20 notifies the administrator of the content corresponding to the access source URL of the tampering (S27).
  • the access source URL corresponding to the content whose tampering has been detected may be stored in the database 16 as a malicious URL. For URLs already categorized as benign URLs, the category is changed to malignant URLs.
  • the information processing apparatus 10 requests the content from the information processing apparatus 10 to the access source URL without the referrer and executes the verification of the connection destination, thereby falsifying the Web server 12.
  • the administrator can quickly realize that a malicious third party has deliberately altered the connection destination URL in accordance with the method of accessing the Web site, and the above-mentioned drive-by download attack has been performed. Such a sophisticated attack by a malicious third party can be terminated in a short time.
  • FIG. 8 is a diagram illustrating an example of a configuration of an information processing device 10 according to the third embodiment.
  • portions having the same configuration or function as those of the first embodiment (FIG. 1) are denoted by the same reference numerals, and redundant description will be omitted.
  • the URL that is not classified in the database 16 is extracted in the access log
  • the URL that is not classified is analyzed to perform the category classification, and the result of the category classification is performed.
  • Content falsification is detected based on the content.
  • the log extracting unit 15 detects an unclassified URL that does not match the URL registered in the database 16 from the collected access logs.
  • the URL analysis unit 22 analyzes whether or not the unclassified URL is a malignant URL and registers the unclassified URL as a benign URL or a malignant URL.
  • an unclassified URL for example, in a virtual environment in which an uncategorized URL is accessed and an acquired executable file can be executed, whether or not the uncategorized URL is a malicious URL is determined based on a result of executing the file.
  • a hash belonging to a malicious file is stored in advance, and whether the obtained file is malicious is determined by comparing the hash value with the hash value, and analysis is performed to determine whether the unclassified URL is a malicious URL. I do.
  • an unclassified URL is accessed to determine whether or not the acquired executable file is malware, thereby analyzing whether the unclassified URL is a malicious URL. May be.
  • a harmless benign URL domain may be acquired in advance, and an unclassified URL including the domain may be classified as benign, and a URL not including the domain may be classified as a malignant URL. It should be noted that the category of an unclassified URL registered as benign or malignant may be changed by the administrator of the information processing apparatus 10.
  • the tampering detection unit 19 detects tampering when the access source URL matches the benign URL, while the connection destination URL matches the malicious URL, and the category of the URL changes from benign to malicious. If the content has not been tampered with, the category transition of the URL from a benign URL to a malignant URL cannot occur, so that the category transition from benign to malignant can be determined to be content tampering.
  • FIG. 9 is a flowchart illustrating an example of an information processing method according to the third embodiment (see FIG. 8 as appropriate).
  • the access log collection unit 14 acquires an access log to the Internet from the client terminal 11 (S30).
  • the log extracting unit 15 extracts, from the access logs acquired from the client terminal 11, a log in which the access source URL corresponding to the content requested by the user does not match the connection destination URL actually connected to the client terminal 11. (S31).
  • the log extraction unit 15 checks the connection destination URL against the database 16 and extracts an unclassified URL for which the connection destination URL is not registered in the database (S32).
  • the ⁇ URL analysis unit 22 analyzes whether the extracted unclassified URL is a malignant URL, and classifies the unclassified URL into a benign or malignant category (S33).
  • the falsification detection unit 19 determines which category the access source URL and the connection destination URL belong to in the database. The falsification detection unit 19 determines that the access source URL is classified into the benign category while the connection destination URL is classified into the malignant category, and the category of the connection destination URL changes from benign to malignant from the access source URL. Falsification of the content corresponding to the original URL is detected (S34: YES, S35).
  • the tampering notification unit 20 notifies the administrator of the content corresponding to the access source URL of the tampering (S37).
  • the access source URL corresponding to the content whose tampering has been detected may be stored in the database 16 as a malicious URL. For URLs already categorized as benign URLs, the category is changed to malignant URLs.
  • the information processing apparatus 10 classifies uncategorized URLs as malignant URLs, and detects tampering using the classification result.
  • the malignant URL is constantly increasing, and it takes time to find it, and it is difficult to detect the malignant site immediately comprehensively. However, it is difficult to determine whether the unclassified URL not registered in the database 16 is the malignant URL or not.
  • the tampering of the Web server 12 can be detected at an early stage.
  • the access log collected from the user's client terminal 11 is checked against the database in which the malicious URL is registered in advance, so that the tampering of the Web server can be detected at an early stage. It is possible to notify the administrator of the server 12 of the alteration of the content at an early stage. As a result, the administrator can notice the tampering of the Web server 12 at an early stage, and can end an attack by a malicious third party such as a watering hole type attack in a short time.
  • the program executed by the information processing device 10 is provided by being previously incorporated in a storage circuit such as a ROM.
  • the program may be provided as a file in an installable format or an executable format stored in a computer-readable storage medium such as a CD-ROM, a CD-R, a memory card, a DVD, and a flexible disk. You may.
  • the program executed by the information processing apparatus 10 may be stored on a computer connected to a network such as the Internet, and may be provided by being downloaded via the network.
  • SYMBOLS 10 Information processing apparatus, 11 ... Client terminal, 12 ... Web server, 13 ... Administrator terminal, 14 ... Access log collection part, 15 ... Log extraction part, 16 ... Database, 17 ... Malicious URL storage part, 18 ... Benign URL Storage unit, 19: falsification detection unit, 20: falsification notification unit, 21: access verification unit, 22: URL analysis unit, 50: Web server of a malicious third party.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Databases & Information Systems (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

情報処理装置１０は、クライアント端末１１がＷｅｂサーバ１２に対してコンテンツをリクエストした際のアクセスログを収集するアクセスログ収集部１４と、悪性ＵＲＬを予め登録するデータベース１６と、接続先ＵＲＬをデータベース１６と照合して、クライアント端末１１の接続先に対応する接続先ＵＲＬが悪性ＵＲＬと一致する場合に、コンテンツの改ざんを検知する改ざん検知部１９と、を備える。

Description

情報処理装置、情報処理方法、及び情報処理プログラム
　本発明の実施形態は、情報処理装置、情報処理方法、及び情報処理プログラムに関する。
　Ｗｅｂサーバは、サーバを管理する管理者により作成、更新されたコンテンツを保存して、クライアント端末からのリクエストに応じてコンテンツを返す動作を実行する。
　ところで、Ｗｅｂサーバには、ＯＳを含む各種のソフトウェアがインストールされており、これらのソフトウェアにより、コンテンツの作成、更新の支援やクライアント端末との通信などが実行されている。これらのソフトウェアに脆弱性（セキュリティ上の弱点）が存在すると、悪意の第三者がこの脆弱性を利用してサーバへの攻撃（例えば、ＳＱＬインジェクション）を実行するおそれがある。
　悪意の第三者による攻撃が成功した場合、悪意の第三者はサーバ内へ侵入して、コンテンツの内容を意図的に改ざんすることで水飲み場型攻撃などを仕掛ける場合がある。水飲み場型攻撃とは、ユーザがインターネットを介して普段アクセスする、正規のＷｅｂサイトを悪意の第三者が改ざんして、正規のＷｅｂサイトにアクセスしたクライアント端末を、マルウェアなどをダウンロードする悪性のサイトへ誘導するサイバー攻撃の一種である。
　マルウェアなどをダウンロードする悪性ＵＲＬへのアクセスを防止するためには、悪性ＵＲＬを予め多く取得することが重要となる。従来では、ユーザの通信ログを介して取得したＵＲＬ等に基づいて取得したマルウェアファイルを仮想的に実行する実行装置を備えて、マルウェアを実行させた際に、このマルウェアファイルが通信を行う宛先となるＵＲＬ等を取得して接続先のＵＲＬをブラックリストとして収集する技術が開示されている。
特開２０１４－１７９０２５号公報
　しかしながら、マルウェアをダウンロードさせるサイト、あるいはフィッシングサイト（詐欺）等に誘導する悪性のＵＲＬを多く検出できたとしても、正規なＷｅｂサイトに対応するコンテンツに意図的な改ざんが実行されて、正規なＷｅｂサイトへアクセスした場合に悪性のサイトに遷移させる攻撃が仕掛けられた場合、改ざんされた正規なＷｅｂサイトのＵＲＬを即時に検知することは困難である。
　このため、正規なサイトに対応するサーバを管理する管理者は、コンテンツの改ざんに早期に気付くことはできず、正規なサイトがユーザにとって有害なＷｅｂサイトのまま放置されてしまうおそれがある。
　本発明はこのような事情を考慮してなされたもので、Ｗｅｂサーバのコンテンツの改ざんを早期に検知できる情報処理装置、情報処理方法、及び情報処理プログラムを提供することを目的とする。
　本発明の実施形態に係る情報処理装置は、クライアント端末がＷｅｂサーバに対してコンテンツをリクエストした際のアクセスログを収集するアクセスログ収集部と、悪性ＵＲＬを予め登録するデータベースと、クライアント端末の接続先に対応する接続先ＵＲＬをデータベースと照合して、接続先ＵＲＬが悪性ＵＲＬと一致する場合に、コンテンツの改ざんを検知する改ざん検知部と、を備えることを特徴とする。
　本発明の実施形態により、Ｗｅｂサーバのコンテンツの改ざんを早期に検知できる情報処理装置、情報処理方法、及び情報処理プログラムが提供される。
第１実施形態に係る情報処理装置の構成の一例を示す構成図。 （Ａ）クライアント端末からのリクエスト後に、ＵＲＬリダイレクトにより、リクエスト先のＵＲＬとは別のＵＲＬに接続された場合の、アクセスの流れを説明する説明図、（Ｂ）情報処理装置のログ抽出部において抽出されたアクセスログの一例を示す図。 （Ａ）データベースで保存されるＵＲＬの一例を示す説明図、（Ｂ）良性ＵＲＬに関連付けられた管理者への通知先の一例を示す説明図。 第１実施形態に係る情報処理方法の一例を示すフローチャート。 （Ａ）ドライブバイダウンロード攻撃の一例であり、Ａ社のＷｅｂサーバで管理されるhtmlデータが悪意の第三者により改ざんされた場合に、特定の検索サイトのリファラを有した状態でリクエストがされたときのアクセスの流れを示す図、（Ｂ）検索サイトを介さないでhtmlデータのリクエストがされたときのアクセスの流れを示す図。 第２実施形態に係る情報処理装置の構成の一例を示す構成図。 第２実施形態に係る情報処理方法の一例を示すフローチャート。 第３実施形態に係る情報処理装置の構成の一例を示す構成図。 第３実施形態に係る情報処理方法の一例を示すフローチャート。
（第１実施形態）
　以下、本発明の実施形態を添付図面に基づいて説明する。
　図１は、第１実施形態に係る情報処理装置１０の構成の一例を示す図である。
　まず、全体の構成について説明する。
　クライアント端末１１は、インターネットを介してＷｅｂサーバ１２と接続されて、ＵＲＬにより特定されるＷｅｂサーバ１２のコンテンツをリクエストする。そして、Ｗｅｂサーバ１２から返されたコンテンツを、Ｗｅｂブラウザを介して表示させる。なお、コンテンツとしては、ｈｔｍｌデータ、画像データ、ｐｄｆファイル等の種々のデータが例示される。図１では、コンテンツとしてｈｔｍｌデータを例示している。
　Ｗｅｂサーバ１２は、クライアント端末１１から要求されたコンテンツをクライアント端末１１に返す。
　管理者端末１３は、Ｗｅｂサーバ１２に接続可能なコンピュータであり、管理者によりコンテンツの作成、更新が実行される。
　実施形態に係る情報処理装置１０は、ユーザのクライアント端末１１から収集したアクセスログを、悪性ＵＲＬを予め登録したデータベース１６と照合することで、ユーザのアクセス元のＵＲＬに対応するコンテンツの改ざんを検知する。
　情報処理装置１０は、クライアント端末１１のＷｅｂサーバ１２への接続情報に関するアクセスログを収集する。情報処理装置１０は、クライアント端末１１から直接アクセスログを取得してもよいし、クライアント端末１１が、インターネットへの接続を制御するためのプロキシサーバを介してＷｅｂサーバ１２に接続される場合には、情報処理装置１０はプロキシサーバからアクセスログを取得してもよい。また、外部のネットワークへの出入り口でクライアント端末１１の通信制御を行うファイアウォールなどを介してアクセスログを取得してもよい。また、クライアント端末１１からアクセスログを随時収集する別個のサーバを経由して情報処理装置１０はアクセスログを取得してもよい。
　なお、図１では、クライアント端末１１を１つで記載しているが、情報処理装置１０は、複数のクライアント端末１１に接続されて、クライアント端末１１のそれぞれからアクセスログを収集してもよい。
　第１実施形態に係る情報処理装置１０の具体的な構成について説明する。
　情報処理装置１０は、アクセスログ収集部１４と、ログ抽出部１５と、データベース１６と、改ざん検知部１９と、改ざん通知部２０と、を備えている。
　なお、情報処理装置１０を構成する各ユニットの機能は、所定のプログラムコードを、プロセッサを用いて実行することによって実現しても良く、このようなソフトウェア処理に限らず、例えば、ＡＳＩＣ等を用いたハードウェア処理で実現してもよいし、ソフトウェア処理とハードウェア処理とを組み合わせて実現してもよい。
　アクセスログ収集部１４は、クライアント端末１１がＷｅｂサーバ１２に対してコンテンツをリクエストした際のアクセスログを収集する。アクセスログ収集部１４は、クライアント端末１１がＷｅｂサーバ１２に接続した際の、クライアント端末１１を識別する識別情報（例えば、ＩＰアドレス）、アクセス元ＵＲＬ、接続先ＵＲＬ、コンテンツのアクセスに用いたＷｅｂブラウザ名、アクセス時間などをアクセスログとして取得する。
　アクセス元ＵＲＬは、クライアント端末１１からコンテンツをリクエストするためのＵＲＬを意味する。接続先ＵＲＬは、コンテンツのリクエスト後に、実際にクライアント端末１１が接続されたＵＲＬを意味する。通常、クライアント端末１１がコンテンツをリクエストするためにアクセスするＵＲＬと、そのリクエスト後に、実際にクライアント端末１１が接続されるＵＲＬとは一致する。つまりアクセス元ＵＲＬと接続先ＵＲＬとは一致する。
　一方で、クライアント端末１１からのリクエスト後に、ＵＲＬリダイレクト（ＵＲＬの参照先が自動的に変更されること）されて、リクエスト先のＵＲＬとは異なるＵＲＬにクライアント端末１１が自動で接続された場合、クライアント端末１１からコンテンツがリクエストされたＵＲＬと、リクエスト後に実際にクライアント端末１１が接続されたＵＲＬとは一致しない。つまりアクセス元ＵＲＬと接続先ＵＲＬとは一致しないものとなる。
　図２（Ａ）は、クライアント端末１１からのリクエスト後に、ＵＲＬリダイレクトにより、リクエスト先のＵＲＬとは別のＵＲＬにクライアント端末１１が接続された場合の、アクセスの流れを説明する説明図である。
　クライアント端末１１が、アクセス元ＵＲＬとなる「http://www.aaa.com/aaa.html」にアクセスして、Ｗｅｂサーバ１２にコンテンツ「aaa.html」をリクエストする。クライアント端末１１には、httpレスポンスが返される。そして、クライアント端末１１は、「http://www.ccc.com/ccc.html」にＵＲＬリダイレクトされて、Ｗｅｂサーバ５０にコンテンツ「ccc.html」を要求する。クライアント端末１１は、接続先ＵＲＬからccc.htmlデータを取得する。このように、ＵＲＬリダイレクトにより、リクエスト先のＵＲＬとは一致しないＵＲＬにクライアント端末１１が接続された場合、アクセス元ＵＲＬと接続先ＵＲＬとは一致しない。
　ログ抽出部１５は、アクセスログ収集部１４で収集されたアクセスログから、クライアント端末１１の接続先に対応する接続先ＵＲＬと、コンテンツのリクエスト先に対応するアクセス元ＵＲＬとが異なる、つまり２つのＵＲＬが一致しないアクセスログを抽出する。
　図２（Ｂ）は、情報処理装置１０のログ抽出部１５において抽出されたアクセスログの一例を示す図である。
　図２（Ｂ）に示すように、ログ抽出部１５は、ユーザのクライアント端末１１を識別するユーザＩＤ（ＩＰアドレス）ごとに、クライアント端末１１が実際に接続した接続先ＵＲＬ、ユーザがコンテンツをリクエストするためにアクセスしたアクセス元ＵＲＬなどを抽出する。
　データベース１６は、悪性ＵＲＬが予め登録された悪性ＵＲＬ保存部１７と、良性ＵＲＬが予め登録された良性ＵＲＬ保存部１８と、を有している。なお、以下の実施形態では、データベース１６において、ＵＲＬに対応させて良性または悪性のカテゴリに分けて登録しているが、ＩＰアドレスに対応させて良性または悪性のカテゴリに分けて登録してもよい。
　悪性ＵＲＬとは、クライアント端末１１にウィルスなどのマルウェアをダウンロードさせるコンテンツ、フィッシング（詐欺）サイトなど、悪意のあるファイルのダウンロードやＷｅｂサイトへの接続にクライアント端末１１を誘導する有害なＵＲＬを意味する。一方、良性ＵＲＬとは、クライアント端末１１にとって無害なＵＲＬを意味する。データベース１６では、登録されたＵＲＬのそれぞれに悪性、または、良性のカテゴリが付与されて保存されている。
　データベース１６は、良性ＵＲＬのそれぞれに対応させて、良性ＵＲＬに対応するコンテンツを管理する管理者端末１３（または管理者）への通知先を保存している。通知先としては、例えばメールアドレスが例示される。この通知先は、コンテンツの改ざんを検知したときに、改ざんの発生を管理者側に通知する際に用いられる。
　図３（Ａ）は、データベース１６で保存されるＵＲＬの保存例を示す図である。図３（Ａ）に示すように、データベース１６で登録されるＵＲＬのそれぞれについて、良性または悪性のカテゴリ情報が関連付けて保存される。
　図３（Ｂ）は、良性ＵＲＬに関連付けられた管理者への通知先の一例を示す説明図である。図３（Ｂ）に示すように、登録される良性ＵＲＬのそれぞれについて、良性ＵＲＬに対応するコンテンツを管理する管理者への通知先となるメールアドレスが保存される。
　図１に戻って説明を続ける。
　改ざん検知部１９は、ログ抽出部１５において抽出された、クライアント端末１１の接続先に対応する接続先ＵＲＬと、コンテンツのリクエスト先に対応するアクセス元ＵＲＬとが一致しないログをログ抽出部１５から取得する。そして、クライアント端末１１の実際の接続先となる接続先ＵＲＬをデータベース１６と照合して、接続先ＵＲＬが悪性ＵＲＬと一致する場合に、アクセス元ＵＲＬに対応するコンテンツの改ざんを検知する。なお、データベース１６において、ＩＰアドレスに対応させて良性または悪性のカテゴリに分けて登録している場合には、接続先ＵＲＬに対応するＩＰアドレスが悪性のＩＰアドレスと一致する場合に、コンテンツの改ざんを検知する。
　通常、ユーザが正規のＷｅｂサイトにアクセスする場合、アクセス元のＵＲＬとクライアント端末１１による実際の接続先ＵＲＬは一致し、いずれのＵＲＬも良性ＵＲＬに属する。このため、接続先ＵＲＬとアクセス元ＵＲＬとが一致せず、接続先ＵＲＬが悪性ＵＲＬと一致する場合、正規のＷｅｂサイトへの接続が意図的に変更されているとして、正規のＷｅｂサイトの改ざん、すなわちアクセス元ＵＲＬに対応するコンテンツの改ざんが発生していると判定できる。
　なお、正規のＷｅｂサイトが、Ｗｅｂサイトにアクセスしてきたクライアント端末１１を意図的にＵＲＬリダイレクトするときには、アクセス元のＵＲＬと実際の接続先ＵＲＬは一致しない場合が想定される。この場合、接続先ＵＲＬが悪性ＵＲＬと一致することは無いため、コンテンツの改ざんが検知されることは無い。
　改ざん通知部２０は、改ざんが検知された場合に、改ざんが検知されたコンテンツに対応するＷｅｂサーバ１２の管理者に改ざんの発生を通知する。具体的には、良性ＵＲＬに対応するコンテンツを管理する管理者端末１３（または管理者）の通知先を用いて改ざんの発生を通知する。また、管理者への通知方法として、管理者端末１３の通知先を予め保存しておく必要は無く、改ざんが検知されたコンテンツに対応するアクセス元ＵＲＬに基づき管理者のアクセス先を検索して、改ざんの発生をＷｅｂサーバ１２の管理者に通知してもよい。例えば、アクセス元ＵＲＬからドメイン部分を抽出して、このドメイン部分と、問い合わせ先（コンタクト先）のＵＲＬにおいて一般的に用いられる「/content/」、「/info/」等を連結させることで通知先を探索し、この通知先に基づいて改ざんの発生をＷｅｂサーバ１２の管理者に通知する。
　続いて、第１実施形態に係る情報処理装置１０の動作について説明する。
　図４は、第１実施形態に係る情報処理方法のフローチャートである（適宜、図１参照）。
　アクセスログ収集部１４は、クライアント端末１１から、インターネットへのアクセスログを取得する（Ｓ１０）。
　ログ抽出部１５は、クライアント端末１１から取得したアクセスログの中から、実際にクライアント端末１１に接続された接続先ＵＲＬと、コンテンツのリクエスト先に対応するアクセス元ＵＲＬとが一致しないログを抽出する（Ｓ１１）。
　改ざん検知部１９は、接続先ＵＲＬをデータベース１６で照合して、接続先ＵＲＬが悪性ＵＲＬに一致するか否かを判定する。接続先ＵＲＬが悪性ＵＲＬに一致する場合には、アクセス元ＵＲＬに対応するコンテンツの改ざんを検知する（Ｓ１２，Ｓ１３：ＹＥＳ，Ｓ１４）。一方、改ざん検知部１９は、一致しない場合には、コンテンツの改ざんは発生していない判定する（Ｓ１３：ＮＯ，終了）。
　改ざん通知部２０は、改ざんが検知された場合に、改ざんが検知されたコンテンツに対応するＷｅｂサーバ１２の管理者に改ざんの発生を通知する（Ｓ１５）。また、改ざんが検知されたコンテンツに対応するアクセス元ＵＲＬを、データベース１６に悪性ＵＲＬとして保存してもよい。すでに良性ＵＲＬにカテゴリされているＵＲＬについては、悪性ＵＲＬにカテゴリを変更する。
　このように、第１実施形態に係る情報処理装置１０は、ユーザのクライアント端末１１から収集したアクセスログを、悪性ＵＲＬを予め登録したデータベース１６と照合することで、Ｗｅｂサーバ１２の改ざんを早期に検知できる。そして、Ｗｅｂサーバ１２の管理者にコンテンツの改ざんを通知することができる。これにより、管理者は、Ｗｅｂサーバ１２の改ざんを早期に気付くことができ、水飲み場型攻撃などの悪意の第三者による攻撃を短期間で終息させることができる。
（第２実施形態）
　まず、図５を用いて、水飲み場型攻撃を利用したドライブバイダウンロード攻撃の一例について説明する。ここでは、Ａ社のＷｅｂサーバ１２で管理されるhtmlデータ（aaa.html）が悪意の第三者により改ざんされて、特定の検索サイトのリファラを有した状態でaaa.htmlのリクエストがされたときに、悪意の第三者のＷｅｂサーバ５０へのＵＲＬリダイレクトが実行される特殊なリダイレクトスクリプトがaaa.htmlに埋め込まれているものとする。リファラとは、クライアント端末１１に接続されているＵＲＬに対して、当該ＵＲＬに遷移する直前にアクセスしていたＵＲＬを意味する。
　図５（Ａ）に示すように、ユーザが、検索サイトＸにＡ社に関連するキーワードを入力すると、クライアント端末１１にはキーワードに応じたＡ社のコンテンツのＵＲＬが表示される。そして、ユーザのクライアント端末１１は、Ａ社のＷｅｂサーバ１２にaaa.htmlをリクエストする。このとき、検索サイトＸのリファラを有した状態でアクセスを実行したクライアント端末１１は、aaa.htmlに埋め込まれたリダイレクトスクリプトにより、悪意の第三者が管理するＷｅｂサーバ５０に誘導されて、悪性のコンテンツであるccc.htmlを取得する。
　一方、図５（Ｂ）に示すように、クライアント端末１１が、検索サイトＸを介さないでaaa.htmlのリクエストがされたときに、埋め込まれたリダイレクトスクリプトは実行されず、クライアント端末１１はＡ社のＷｅｂサーバ１２からaaa.htmlを取得する。このように、ブックマークによるアクセスなど、ＵＲＬに直接アクセスした際にはスクリプトは実行されず、検索サイトを介したアクセス時にのみクライアント端末１１をＵＲＬリダイレクトさせる。このため、通常検索サイトを介してアクセスすることの無い管理者は、改ざんが発生している場合でも気づきにくく、改ざんの検知が遅れるおそれがある。
　そこで、第２実施形態に係る情報処理装置１０では、クライアント端末１１の実際の接続先ＵＲＬが悪性ＵＲＬと一致する場合において、情報処理装置１０からアクセス元ＵＲＬに直接リクエスト、すなわちリファラ無しでコンテンツをリクエストすることで、接続先ＵＲＬの検証を実行する。
　図６は、第２実施形態に係る情報処理装置１０の構成の一例を示す図である。なお、図６において第１実施形態（図１）と共通の構成又は機能を有する部分は、同一符号で示し、重複する説明を省略する。以下では、アクセスログから抽出された接続先ＵＲＬを「第１の接続先ＵＲＬ」として、アクセス検証部２１においてアクセス元ＵＲＬが直接リクエストされた際の接続先ＵＲＬを「第２の接続先ＵＲＬ」として区別して記載する。
　ログ抽出部１５は、アクセスログ収集部１４で収集されたアクセスログから、クライアント端末１１の接続先に対応する第１の接続先ＵＲＬと、コンテンツのリクエスト先に対応するアクセス元ＵＲＬとが一致しないアクセスログを抽出する。
　アクセス検証部２１は、第１の接続先ＵＲＬをデータベース１６で照合して、第１の接続先ＵＲＬが悪性ＵＲＬと一致する場合に、Ｗｅｂサーバ１２に対して、アクセスログから抽出されたアクセス元ＵＲＬを直接リクエストする。そして、アクセス検証部２１は、この直接リクエスト実行時において、第２の接続先ＵＲＬとアクセス元ＵＲＬとを比較する。
　改ざん検知部１９は、アクセス検証部２１の比較によりアクセス元ＵＲＬと第２の接続先ＵＲＬとが一致する場合に、コンテンツの改ざんを検知する。
　収集されたアクセスログにおいて、アクセス元ＵＲＬと第１の接続先ＵＲＬとが一致せず、第１の接続先ＵＲＬが悪性ＵＲＬに一致するにも関わらず、Ｗｅｂサーバ１２に対してアクセス元ＵＲＬを直接リクエストした場合に、第２の接続先ＵＲＬとアクセス元ＵＲＬとが一致することは、正規のＷｅｂサイトへの接続がアクセス方法に応じて意図的に変更されているとして、正規のＷｅｂサイトの改ざん、すなわちアクセス元ＵＲＬに対応するコンテンツの改ざんが発生していると判定できる。
　一方、アクセス検証部２１の比較によりアクセス元ＵＲＬと第２の接続先ＵＲＬが一致せず、クライアント端末１１が悪意の第３者のＷｅｂサーバ５０にＵＲＬリダイレクトされることで第２の接続先ＵＲＬが悪性ＵＲＬに一致するときにはコンテンツの改ざんを検知する。なお、第２の接続先ＵＲＬが悪性ＵＲＬに一致しないときは、接続された第２の接続先ＵＲＬは無害となるものの、アクセス元ＵＲＬに対応するコンテンツの改ざんの有無が未定となるため、情報処理装置１０の管理者よりアクセス元ＵＲＬが再検証されることで、コンテンツの改ざんの有無が確認される。
　続いて、第２実施形態に係る情報処理装置１０の動作について説明する。
　図７は、第２実施形態に係る情報処理方法の一例を示すフローチャートである（適宜、図６参照）。
　アクセスログ収集部１４は、クライアント端末１１から、インターネットへのアクセスログを取得する（Ｓ２０）。
　ログ抽出部１５は、クライアント端末１１から取得したアクセスログの中から、ユーザがリクエストするコンテンツに対応するアクセス元ＵＲＬと、実際にクライアント端末１１に接続された第１の接続先ＵＲＬとが一致しないログを抽出する（Ｓ２１）。
　アクセス検証部２１は、第１の接続先ＵＲＬが悪性ＵＲＬに一致するか否かを判定する（Ｓ２２）。
　そして、アクセス検証部２１は、第１の接続先ＵＲＬが悪性ＵＲＬと一致する場合に、リファラを無しの状態で、Ｗｅｂサーバ１２に対してアクセス元ＵＲＬに直接アクセスを実行して第２の接続先ＵＲＬを取得する（Ｓ２２；ＹＥＳ，Ｓ２３）。第１の接続先ＵＲＬが悪性ＵＲＬと一致しない場合、情報処理装置１０の管理者によりアクセス元ＵＲＬが再検証されることで、コンテンツの改ざんの有無を確認する（Ｓ２２：ＮＯ、Ｓ２８）。
　再検証の結果、改ざんが確認された場合には、情報処理装置１０の管理者はコンテンツに対応するアクセス元ＵＲＬを悪性ＵＲＬとしてデータベース１６に保存する。加えて、アクセス元ＵＲＬに対応するコンテンツの管理者に改ざんの発生を通知する。改ざんが確認されなかった場合は、アクセス元ＵＲＬを良性ＵＲＬとしてデータベース１６に保存する。
　改ざん検知部１９は、アクセス検証部２１の比較によりアクセス元と第２の接続先ＵＲＬが一致する場合には、アクセス元ＵＲＬに対応するコンテンツの改ざん検知する（Ｓ２４：ＹＥＳ、Ｓ２６）。
　一方、アクセス検証部２１の比較によりアクセス元ＵＲＬと第２の接続先ＵＲＬが一致しない場合において、クライアント端末１１が悪意の第３者のＷｅｂサーバ５０にＵＲＬリダイレクトされることで第２の接続先ＵＲＬが悪性ＵＲＬに一致するときには、コンテンツの改ざんを検知する（Ｓ２４：ＮＯ、Ｓ２５：ＹＥＳ、Ｓ２６）。
　また、アクセス検証部２１の比較によりアクセス元ＵＲＬと第２の接続先ＵＲＬが一致しない場合において、第２の接続先ＵＲＬが悪性ＵＲＬに一致しないときは、情報処理装置１０の管理者によりアクセス元ＵＲＬが再検証されることで、コンテンツの改ざんの有無が確認される（Ｓ２４：ＮＯ、Ｓ２５：ＮＯ、Ｓ２８）。
　再検証の結果、改ざんが確認された場合には、情報処理装置１０の管理者はコンテンツに対応するアクセス元ＵＲＬ及びアクセス検証時に悪性ＵＲＬと一致しなかった第２の接続先ＵＲＬを、悪性ＵＲＬとしてデータベース１６に保存する。加えて、アクセス元ＵＲＬに対応するコンテンツの管理者に改ざんの発生を通知する。一方、改ざんが確認されなかった場合は、アクセス元ＵＲＬを良性ＵＲＬとしてデータベース１６に保存する。
　最後に、改ざん通知部２０は、改ざんが検知されたとき、アクセス元ＵＲＬに対応するコンテンツの管理者に改ざんの発生を通知する（Ｓ２７）。また、改ざんが検知されたコンテンツに対応するアクセス元ＵＲＬを、データベース１６に悪性ＵＲＬとして保存してもよい。すでに良性ＵＲＬにカテゴリされているＵＲＬについては、悪性ＵＲＬにカテゴリを変更する。
　このように、第２実施形態に係る情報処理装置１０は、情報処理装置１０からアクセス元ＵＲＬにリファラ無しでコンテンツをリクエストして、接続先の検証を実行することで、Ｗｅｂサーバ１２の改ざんを早期かつ正確に検知できる。管理者は、悪意の第三者により、Ｗｅｂサイトへのアクセス方法に応じて意図的に接続先ＵＲＬが変更されるような巧妙な改ざん行為を早期に気付くことができ、上述のドライブバイダウンロード攻撃などの悪意の第三者による巧妙な攻撃を短期間で終息させることができる。
（第３実施形態）
　図８は、第３実施形態に係る情報処理装置１０の構成の一例を示す図である。なお、図８において第１実施形態（図１）と共通の構成又は機能を有する部分は、同一符号で示し、重複する説明を省略する。
　第３実施形態に係る情報処理装置１０では、データベース１６に登録されていないＵＲＬがアクセスログにおいて抽出された場合に、この未分類のＵＲＬを解析してカテゴリ分類を実行し、カテゴリ分類の結果に基づいてコンテンツの改ざんを検知する。
　ログ抽出部１５は、収集されたアクセスログから、データベース１６に登録されたＵＲＬと一致しない未分類ＵＲＬを検出する。
　ＵＲＬ解析部２２は、未分類ＵＲＬを悪性ＵＲＬか否かを解析して、未分類ＵＲＬを良性ＵＲＬ、または、悪性ＵＲＬのいずれかに登録する。
　未分類ＵＲＬを解析する方法として、例えば未分類のＵＲＬにアクセスして、取得した実行ファイルを実行できる仮想環境において、当該ファイルを実行した結果などに基づいて未分類ＵＲＬを悪性ＵＲＬか否かを解析する。より具体的には、悪性ファイルに属するハッシュを予め保存しておき、このハッシュ値と比較することで取得したファイルが悪性か否かを判定して、未分類ＵＲＬが悪性ＵＲＬか否かを解析する。また、一般的に使用されるアンチウィルスソフトを使用して、未分類のＵＲＬにアクセスして、取得した実行ファイルがマルウェアか否かを判定することで、未分類ＵＲＬを悪性ＵＲＬか否かを解析してもよい。
　また、無害となる良性ＵＲＬのドメインを予め取得しておき、そのドメインを含む未分類ＵＲＬについては良性として、ドメインを含まないＵＲＬについては悪性ＵＲＬと分類してもよい。なお、良性または悪性に登録された未分類ＵＲＬについて、情報処理装置１０の管理者によりカテゴリを変更可能な構成としてもよい。
　改ざん検知部１９は、アクセス元ＵＲＬが良性ＵＲＬに一致する一方、接続先ＵＲＬが悪性ＵＲＬに一致して、ＵＲＬのカテゴリが良性から悪性に遷移する場合に改ざんを検知する。コンテンツの改ざんが発生していなければ、ＵＲＬが良性ＵＲＬから悪性ＵＲＬへのカテゴリ遷移は起こり得ないため、良性から悪性へのカテゴリ遷移は、コンテンツの改ざんと判定することができる。
　続いて、第３実施形態に係る情報処理装置１０の動作について説明する。
　図９は、第３実施形態に係る情報処理方法の一例を示すフローチャートである（適宜、図８参照）。
　アクセスログ収集部１４は、クライアント端末１１から、インターネットへのアクセスログを取得する（Ｓ３０）。
　ログ抽出部１５は、クライアント端末１１から取得したアクセスログの中から、ユーザがリクエストするコンテンツに対応するアクセス元ＵＲＬと、実際にクライアント端末１１に接続された接続先ＵＲＬとが一致しないログを抽出する（Ｓ３１）。
　ログ抽出部１５は、接続先ＵＲＬをデータベース１６に照合して、接続先ＵＲＬがデータベース内で登録されてない未分類ＵＲＬを抽出する（Ｓ３２）。
　ＵＲＬ解析部２２は、抽出された未分類ＵＲＬが悪性ＵＲＬか否かを解析して、この未分類ＵＲＬを良性または悪性のいずれかのカテゴリに分類する（Ｓ３３）。
　改ざん検知部１９は、アクセス元ＵＲＬ及び接続先ＵＲＬがデータベース内でいずれのカテゴリに属するかを判定する。改ざん検知部１９は、アクセス元ＵＲＬが良性カテゴリに分類される一方、接続先ＵＲＬが悪性カテゴリに分類されて、アクセス元ＵＲＬから接続先ＵＲＬのカテゴリが良性から悪性に遷移する場合には、アクセス元ＵＲＬに対応するコンテンツの改ざん検知する（Ｓ３４：ＹＥＳ，Ｓ３５）。
　一方、アクセス元ＵＲＬから接続先ＵＲＬのカテゴリが良性のままで変化しない場合には、改ざんは発生していないと判定する（Ｓ３４：ＮＯ，終了）。
　最後に、改ざん通知部２０は、改ざんが検知されたとき、アクセス元ＵＲＬに対応するコンテンツの管理者に改ざんの発生を通知する（Ｓ３７）。また、改ざんが検知されたコンテンツに対応するアクセス元ＵＲＬを、データベース１６に悪性ＵＲＬとして保存してもよい。すでに良性ＵＲＬにカテゴリされているＵＲＬについては、悪性ＵＲＬにカテゴリを変更する。
　第３実施形態に係る情報処理装置１０は、未分類ＵＲＬについて悪性ＵＲＬか否かのカテゴリ分類を行って、この分類結果を用いて改ざんを検知する。悪性ＵＲＬは常に増加して、その発見には時間を要し、網羅的に悪性サイトを即時に検知することは困難となるが、データベース１６に登録されていない未分類ＵＲＬについて悪性ＵＲＬか否かのカテゴリ分類を実行することで、Ｗｅｂサーバ１２の改ざんを早期に検知できる。
　以上述べた各実施形態の情報処理装置によれば、ユーザのクライアント端末１１から収集したアクセスログを、悪性ＵＲＬを予め登録したデータベースと照合することで、Ｗｅｂサーバの改ざんを早期に検知でき、Ｗｅｂサーバ１２の管理者にコンテンツの改ざんを早期に通知することができる。これにより、管理者は、Ｗｅｂサーバ１２の改ざんを早期に気付くことができ、水飲み場型攻撃などの悪意の第三者による攻撃を短期間で終息させることができる。
　なお、情報処理装置１０で実行されるプログラムは、ＲＯＭ等の記憶回路に予め組み込んで提供される。もしくは、このプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ－ＲＯＭ、ＣＤ－Ｒ、メモリカード、ＤＶＤ、フレキシブルディスク等のコンピュータで読み取り可能な記憶媒体に記憶されて提供するようにしてもよい。また、情報処理装置１０で実行されるプログラムは、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせて提供するようにしてもよい。
　本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
　１０…情報処理装置、１１…クライアント端末、１２…Ｗｅｂサーバ、１３…管理者端末、１４…アクセスログ収集部、１５…ログ抽出部、１６…データベース、１７…悪性ＵＲＬ保存部、１８…良性ＵＲＬ保存部、１９…改ざん検知部、２０…改ざん通知部、２１…アクセス検証部、２２…ＵＲＬ解析部、５０…悪意の第三者のＷｅｂサーバ。

Claims (9)

  1. 　クライアント端末がＷｅｂサーバに対してコンテンツをリクエストした際のアクセスログを収集するアクセスログ収集部と、
    　悪性ＵＲＬを予め登録するデータベースと、
    　前記クライアント端末の接続先に対応する接続先ＵＲＬを前記データベースと照合して、前記接続先ＵＲＬが前記悪性ＵＲＬと一致する場合に、前記コンテンツの改ざんを検知する改ざん検知部と、
    を備えることを特徴とする情報処理装置。
  2. 　前記アクセスログ収集部で収集された前記アクセスログから、前記コンテンツのリクエスト先に対応するアクセス元ＵＲＬと前記接続先ＵＲＬとが一致しないアクセスログを抽出するログ抽出部を備えることを特徴とする請求項１に記載の情報処理装置。
  3. 　前記改ざん検知された場合に、改ざんが検知された前記コンテンツに対応する前記Ｗｅｂサーバの管理者に前記改ざんの発生を通知する改ざん通知部を備えることを特徴とする請求項１に記載の情報処理装置。
  4. 　前記接続先ＵＲＬが前記悪性ＵＲＬと一致する場合に、前記Ｗｅｂサーバに対して、前記アクセスログから抽出されたアクセス元ＵＲＬを直接リクエストして、前記アクセス元ＵＲＬと前記直接リクエスト時における接続先ＵＲＬとを比較するアクセス検証部を備えて、
    　前記改ざん検知部は、前記アクセス検証部の比較により前記アクセス元ＵＲＬと前記直接リクエスト時における接続先ＵＲＬとが一致するときに、前記コンテンツの改ざんを検知する、
    ことを特徴とする請求項１に記載の情報処理装置。
  5. 　収集された前記アクセスログから、前記データベースに登録されたＵＲＬと一致しない未分類ＵＲＬを抽出し、
    　前記データベースは、前記悪性ＵＲＬとともに良性ＵＲＬを予め登録し、
    　前記未分類ＵＲＬについて悪性ＵＲＬか否かを解析して、前記未分類ＵＲＬを前記良性ＵＲＬ、または、前記悪性ＵＲＬのいずれかに登録するＵＲＬ解析部を備える、
    ことを特徴とする請求項１に記載の情報処理装置。
  6. 　前記データベースは、前記悪性ＵＲＬとともに良性ＵＲＬを予め登録し、
    　改ざん検知部は、アクセス元ＵＲＬが前記良性ＵＲＬに一致する一方、前記接続先ＵＲＬが前記悪性ＵＲＬに一致して、ＵＲＬのカテゴリが良性から悪性に遷移する場合に前記コンテンツの改ざんを検知する、
    ことを特徴とする請求項１に記載の情報処理装置。
  7. 　クライアント端末がＷｅｂサーバに対してコンテンツをリクエストした際のアクセスログを収集するアクセスログ収集部と、
    　悪性のＩＰアドレスを予め登録するデータベースと、
    　前記クライアント端末の接続先に対応する接続先ＵＲＬを前記データベースと照合して、前記接続先ＵＲＬに対応するＩＰアドレスが前記悪性のＩＰアドレスと一致する場合に、前記コンテンツの改ざんを検知する改ざん検知部と、
    を備えることを特徴とする情報処理装置。
  8. 　クライアント端末がＷｅｂサーバに対してコンテンツをリクエストした際のアクセスログを収集するステップと、
    　悪性ＵＲＬをデータベースに予め登録するステップと、
    　前記クライアント端末の接続先に対応する接続先ＵＲＬを前記データベースと照合して、前記接続先ＵＲＬが前記悪性ＵＲＬと一致する場合に、前記コンテンツの改ざんを検知するステップと、
    を含むことを特徴とする情報処理方法。
  9. 　コンピュータを、
    　クライアント端末がＷｅｂサーバに対してコンテンツをリクエストした際のアクセスログを収集する機能と、
    　悪性ＵＲＬをデータベースに予め登録する機能と、
    　前記クライアント端末の接続先に対応する接続先ＵＲＬを前記データベースと照合して、前記接続先ＵＲＬが前記悪性ＵＲＬと一致する場合に、前記コンテンツの改ざんを検知する機能と、
    として機能させることを特徴とする情報処理プログラム。
PCT/JP2019/029287 2018-07-26 2019-07-25 情報処理装置、情報処理方法、及び情報処理プログラム WO2020022456A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
SG11202100798YA SG11202100798YA (en) 2018-07-26 2019-07-25 Information processing device, information processing method and information processing program
EP19840525.0A EP3828745A4 (en) 2018-07-26 2019-07-25 INFORMATION PROCESSING DEVICE, INFORMATION PROCESSING METHOD AND INFORMATION PROCESSING PROGRAM
CN201980047327.5A CN112424778A (zh) 2018-07-26 2019-07-25 信息处理装置、信息处理方法、及信息处理程序
US17/262,664 US20210168172A1 (en) 2018-07-26 2019-07-25 Information processing device, information processing method and information processing program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018140538A JP6716051B2 (ja) 2018-07-26 2018-07-26 情報処理装置、情報処理方法、及び情報処理プログラム
JP2018-140538 2018-07-26

Publications (1)

Publication Number Publication Date
WO2020022456A1 true WO2020022456A1 (ja) 2020-01-30

Family

ID=69181556

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/029287 WO2020022456A1 (ja) 2018-07-26 2019-07-25 情報処理装置、情報処理方法、及び情報処理プログラム

Country Status (6)

Country Link
US (1) US20210168172A1 (ja)
EP (1) EP3828745A4 (ja)
JP (1) JP6716051B2 (ja)
CN (1) CN112424778A (ja)
SG (1) SG11202100798YA (ja)
WO (1) WO2020022456A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6955602B2 (ja) * 2020-03-30 2021-10-27 デジタルア−ツ株式会社 情報処理装置、情報処理方法、及び情報処理プログラム
US20230359728A1 (en) * 2022-05-05 2023-11-09 Bank Of America Corporation Data securement leveraging secure qr code scanner

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006155124A (ja) * 2004-11-29 2006-06-15 Savant:Kk 監視プログラム、これを記憶したコンピュータ読み取り可能な記録媒体、並びに前記監視プログラムが格納されたサーバ及び監視装置
US20070136806A1 (en) * 2005-12-14 2007-06-14 Aladdin Knowledge Systems Ltd. Method and system for blocking phishing scams
US20120060221A1 (en) * 2010-09-08 2012-03-08 At&T Intellectual Property I, L.P. Prioritizing Malicious Website Detection
JP2013257773A (ja) * 2012-06-13 2013-12-26 Nippon Telegr & Teleph Corp <Ntt> 監視装置および監視方法
JP2014179025A (ja) 2013-03-15 2014-09-25 Ntt Communications Corp 接続先情報抽出装置、接続先情報抽出方法、及び接続先情報抽出プログラム
JP2015170219A (ja) * 2014-03-07 2015-09-28 株式会社日立システムズ アクセス管理方法およびアクセス管理システム
JP2016045887A (ja) * 2014-08-26 2016-04-04 Kddi株式会社 監視システム、観測装置、解析装置、監視方法およびコンピュータプログラム
JP2017502625A (ja) * 2014-03-07 2017-01-19 ミツビシ・エレクトリック・アールアンドディー・センター・ヨーロッパ・ビーヴィＭｉｔｓｕｂｉｓｈｉ Ｅｌｅｃｔｒｉｃ Ｒ＆Ｄ Ｃｅｎｔｒｅ Ｅｕｒｏｐｅ Ｂ．Ｖ． Ｈｔｔｐトラフィックを搬送するｔｃｐ接続を分類する方法、デバイス、コンピュータプログラム及び情報記憶手段

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010105184A2 (en) * 2009-03-13 2010-09-16 Breach Security , Inc. A method and apparatus for phishing and leeching vulnerability detection
JP5518594B2 (ja) * 2010-06-30 2014-06-11 三菱電機株式会社 内部ネットワーク管理システム及び内部ネットワーク管理方法及びプログラム
WO2013097742A1 (zh) * 2011-12-30 2013-07-04 北京奇虎科技有限公司 识别被篡改网页以及识别被劫持网址的方法及装置
CN102594934B (zh) * 2011-12-30 2015-03-25 奇智软件（北京）有限公司 一种识别被劫持网址的方法及装置
CN102436564A (zh) * 2011-12-30 2012-05-02 奇智软件（北京）有限公司 一种识别被篡改网页的方法及装置
GB2513168B (en) * 2013-04-18 2017-12-27 F Secure Corp Detecting unauthorised changes to website content
WO2015141665A1 (ja) * 2014-03-19 2015-09-24 日本電信電話株式会社 ウェブサイト情報抽出装置、システム、ウェブサイト情報抽出方法、および、ウェブサイト情報抽出プログラム
CN104361035B (zh) * 2014-10-27 2017-10-27 深信服网络科技（深圳）有限公司 检测数据库篡改行为的方法及装置
CN105184159B (zh) * 2015-08-27 2018-11-27 深信服科技股份有限公司 网页篡改的识别方法和装置
JP6378808B2 (ja) * 2017-06-28 2018-08-22 エヌ・ティ・ティ・コミュニケーションズ株式会社 接続先情報判定装置、接続先情報判定方法、及びプログラム
US10728250B2 (en) * 2017-07-31 2020-07-28 International Business Machines Corporation Managing a whitelist of internet domains

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006155124A (ja) * 2004-11-29 2006-06-15 Savant:Kk 監視プログラム、これを記憶したコンピュータ読み取り可能な記録媒体、並びに前記監視プログラムが格納されたサーバ及び監視装置
US20070136806A1 (en) * 2005-12-14 2007-06-14 Aladdin Knowledge Systems Ltd. Method and system for blocking phishing scams
US20120060221A1 (en) * 2010-09-08 2012-03-08 At&T Intellectual Property I, L.P. Prioritizing Malicious Website Detection
JP2013257773A (ja) * 2012-06-13 2013-12-26 Nippon Telegr & Teleph Corp <Ntt> 監視装置および監視方法
JP2014179025A (ja) 2013-03-15 2014-09-25 Ntt Communications Corp 接続先情報抽出装置、接続先情報抽出方法、及び接続先情報抽出プログラム
JP2015170219A (ja) * 2014-03-07 2015-09-28 株式会社日立システムズ アクセス管理方法およびアクセス管理システム
JP2017502625A (ja) * 2014-03-07 2017-01-19 ミツビシ・エレクトリック・アールアンドディー・センター・ヨーロッパ・ビーヴィＭｉｔｓｕｂｉｓｈｉ Ｅｌｅｃｔｒｉｃ Ｒ＆Ｄ Ｃｅｎｔｒｅ Ｅｕｒｏｐｅ Ｂ．Ｖ． Ｈｔｔｐトラフィックを搬送するｔｃｐ接続を分類する方法、デバイス、コンピュータプログラム及び情報記憶手段
JP2016045887A (ja) * 2014-08-26 2016-04-04 Kddi株式会社 監視システム、観測装置、解析装置、監視方法およびコンピュータプログラム

Also Published As

Publication number Publication date
JP6716051B2 (ja) 2020-07-01
CN112424778A (zh) 2021-02-26
JP2020017138A (ja) 2020-01-30
US20210168172A1 (en) 2021-06-03
EP3828745A1 (en) 2021-06-02
EP3828745A4 (en) 2022-04-20
SG11202100798YA (en) 2021-03-30

Similar Documents

Publication Publication Date Title
KR102130122B1 (ko) 온라인 사기를 검출하기 위한 시스템 및 방법
CN106357696B (zh) 一种sql注入攻击检测方法及系统
Kapravelos et al. Hulk: Eliciting malicious behavior in browser extensions
US10033746B2 (en) Detecting unauthorised changes to website content
JP4405248B2 (ja) 通信中継装置、通信中継方法及びプログラム
US8683031B2 (en) Methods and systems for scanning and monitoring content on a network
Malik et al. CREDROID: Android malware detection by network traffic analysis
US20090064337A1 (en) Method and apparatus for preventing web page attacks
CN112887341B (zh) 一种外部威胁监控方法
WO2015001970A1 (ja) 不正アクセス検知システム及び不正アクセス検知方法
JP2016033690A (ja) 不正侵入検知装置、不正侵入検知方法、不正侵入検知プログラム及び記録媒体
WO2020022456A1 (ja) 情報処理装置、情報処理方法、及び情報処理プログラム
KR101398740B1 (ko) 악성 도메인 탐지 시스템, 방법 및 컴퓨터 판독 가능한 기록 매체
JP4564916B2 (ja) フィッシング詐欺対策方法、端末、サーバ及びプログラム
KR101468798B1 (ko) 파밍 탐지 및 차단 장치, 이를 이용한 방법
US20170054742A1 (en) Information processing apparatus, information processing method, and computer readable medium
Duraisamy et al. A server side solution for protection of web applications from cross-site scripting attacks
JP6955527B2 (ja) 情報処理装置、情報処理方法、及び情報処理プログラム
CN117955739B (zh) 一种接口安全的识别方法、装置、计算设备和存储介质
JP2022007278A (ja) シグネチャ生成装置、検出装置、シグネチャ生成プログラム及び検出プログラム
CN117278288A (zh) 一种网络攻击防护方法、装置、电子设备及存储介质
KR20040083340A (ko) 인터넷 검색 엔진에 있어서의 무효 클릭 검출 방법 및 장치

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19840525

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2019840525

Country of ref document: EP