WO2020075330A1 - 検知装置および検知プログラム - Google Patents

検知装置および検知プログラム Download PDF

Info

Publication number
WO2020075330A1
WO2020075330A1 PCT/JP2019/017310 JP2019017310W WO2020075330A1 WO 2020075330 A1 WO2020075330 A1 WO 2020075330A1 JP 2019017310 W JP2019017310 W JP 2019017310W WO 2020075330 A1 WO2020075330 A1 WO 2020075330A1
Authority
WO
WIPO (PCT)
Prior art keywords
uri
unit
normalized
uris
detection device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2019/017310
Other languages
English (en)
French (fr)
Inventor
琴海 黒木
楊 鐘本
一史 青木
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to US17/283,021 priority Critical patent/US11818153B2/en
Priority to JP2020549946A priority patent/JP6930667B2/ja
Publication of WO2020075330A1 publication Critical patent/WO2020075330A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis

Definitions

  • the present invention relates to a detection device and a detection program.
  • An attacker who attempts to attack a web server may scan a web application in order to find a vulnerable web server that may be the target of the attack. Scanning is the act of investigating the existence of a vulnerable Web application by the response when a URI (Uniform Resource Identifier) existing in the vulnerable Web application is requested to the target Web server. If such a scanning action by an attacker can be detected at an early stage, it becomes possible to identify the Web application targeted by the attacker and take countermeasures.
  • URI Uniform Resource Identifier
  • the detection technology by signature match used in OSS (Open Source Software) Snort and the like is known.
  • a scan is detected by using a signature obtained from an observation in normal Web traffic or a honeypot.
  • malicious Web access is characterized by an HTTP response code (see Non-Patent Document 1).
  • the scan can be detected based on the HTTP response. For example, since most of HTTP response codes for Web access by scanning are 404 indicating “page does not exist”, in this technique, an access with a response code of 404 is extracted as a scan.
  • Non-Patent Documents 2 and 3 a technique for detecting an abnormal web access such as an attack based on the access order / interval of web pages is known (see Non-Patent Documents 2 and 3). By applying this technique, an access that is significantly different from the transition order or pattern of the web page when a normal user accesses the web server is detected as a scan. Further, a detection technique based on the co-occurrence of URI is known (see Non-Patent Document 4). Attackers tend to request the same URI from multiple IP servers from the same IP address during scanning. Therefore, in this technique, a URI co-occurring during access to a plurality of Web servers is detected as a scan target.
  • the signature matching detection technology cannot detect a scan that is not registered as a signature in advance.
  • a normal Web access that causes an error may be erroneously detected as a scan. For example, if the link destination in the web page is incorrect, or if it is automatically accessed by the function of the web browser regardless of the presence or absence of files, such as "/favicon.ico", false detection will occur. Can occur.
  • URIs such as “/” and “/index.php” that are widely used in Web servers may be erroneously detected as scan targets. Further, with this technology, it is difficult to detect the URI that is both the scan target and the normal access target.
  • the present invention has been made in view of the above, and an object thereof is to detect a scanning act of an attacker with high accuracy.
  • the detection device unifies the URIs of access logs to a plurality of Web servers by standardizing similar notations among a plurality of URIs. And a calculation unit that calculates a ratio of an access log having a predetermined response code to the same normalized URI of a different destination among the access logs having the same transmission source. For each of the normalized URIs, a determination unit that determines the normalized URI as a scan target when the calculated maximum value of the ratio is equal to or greater than a predetermined threshold value is provided. .
  • FIG. 1 is a diagram for explaining a system including the detection device of this embodiment.
  • FIG. 2 is a schematic diagram illustrating the schematic configuration of the detection device.
  • FIG. 3 is an explanatory diagram for explaining the process of the normalization unit.
  • FIG. 4 is an explanatory diagram for explaining the processing of the calculation unit and the determination unit.
  • FIG. 5 is a flowchart showing a detection processing procedure.
  • FIG. 6 is a schematic view illustrating the schematic configuration of the detection device according to the second embodiment.
  • FIG. 7 is an explanatory diagram for explaining the processing of the transmission source grouping unit.
  • FIG. 8 is a diagram for explaining the processing of the exclusion unit.
  • FIG. 9 is a diagram for explaining the process of the application name matching unit.
  • FIG. 10 is a diagram for explaining the process of the structure matching unit.
  • FIG. 11 is a diagram illustrating an example of a computer that executes a detection program.
  • FIG. 1 is a diagram for explaining a system including the detection device of this embodiment.
  • Various Web applications are published via the Internet.
  • a large number of Web servers 1 on which this Web application operates are built in a network n of an organization such as a company, and are connected to the Internet N via a gateway 2.
  • the user accesses the Web server 1 via the Internet N and uses the Web application.
  • the detection device 10 acquires an access log from the gateway 2 or the like to a group of Web servers 1 existing in the same network by a normal user or an attacker, and executes a detection process described later, Detect the scanning activity of the attacker from the access log.
  • FIG. 2 is a schematic diagram illustrating the schematic configuration of the detection device.
  • a control unit realized by using a CPU (Central Processing Unit) of a general-purpose computer functions as a normalization unit 11, a calculation unit 12, and a determination unit 13 as illustrated in FIG. Note that these functional units may be implemented in hardware that is different from each other or in part.
  • CPU Central Processing Unit
  • the access log 14 is stored in a storage unit realized by a semiconductor memory device such as a RAM (Random Access Memory) or a flash memory (Flash Memory), or a storage device such as a hard disk or an optical disk. .
  • a semiconductor memory device such as a RAM (Random Access Memory) or a flash memory (Flash Memory), or a storage device such as a hard disk or an optical disk.
  • the access log 14 is a collection of a large number of HTTP access logs for a large number of Web servers 1 acquired from the gateway 2 or the like in advance.
  • Each access log includes the source IP address and the destination IP address of the request, the URI of the target of the request, and the response code to the access.
  • the normalization unit 11 changes the URI of the access log to the plurality of Web servers 1 to a normalized URI by unifying similar notations among the plurality of URIs. Specifically, the normalization unit 11 performs normalization to unify the URIs having similar notations by unifying the differences in the version and case of the Web applications in the URI. By this normalization, the detection apparatus 10 can perform processing in a unit such as a Web application unit in subsequent processing.
  • FIG. 3 is a diagram for explaining the process of the normalization unit 11.
  • the normalization unit 11 deletes all consecutive numbers such as “2.1.1”, “3”, and “3.1” that represent the version of the Web application in the URI. . Further, the normalization unit 11 unifies all uppercase letters of the alphabet in the URI into lowercase letters. Further, the normalization unit 11 deletes the query part after "?" In the URI.
  • the normalization unit 11 uses "/phpMyAdmin2.1.1/setup.php”, “/phpMyAdmin3/setup.php”, “/phpmyadmin3.1/setup.php”, “/ phpmyadmin2 / setup”.
  • the calculation unit 12 calculates, as the score of the source IP address, the ratio of the access log having a predetermined response code to the same normalized URI of different destinations among the access logs having the same source. .
  • the calculation unit 12 targets the same normalized URI to different transmission destination IP addresses in the access log of the transmission source, and the response code is 300 or more. Calculate the percentage of an access log.
  • An access log with a response code of 300 or more means an abnormal request that may be a scan.
  • the determining unit 13 determines the normalized URIs. Judge as the URI of the scan target. For example, when the threshold value is 0.5, the determination unit 13 determines this normalized URI as the scan target URI when the score of the normalized URI is 0.5 or more.
  • the determination unit 13 determines the scanning action by using the maximum value of the score of the transmission source IP address to detect the scanning action with a high score by one attacker among many normal users. Is possible.
  • FIG. 4 is a diagram for explaining the processing of the calculation unit 12 and the determination unit 13.
  • FIG. 4A illustrates an access log whose URI is normalized by the normalization unit 11. With this access log as a processing target, first, the calculation unit 12 makes an access log with a response code of 300 or more for the same normalized URI as the score of this source IP address for each source IP address. Calculate the ratio of
  • the same normalized URI "/phpmyadmin/setup.php” is requested to a different destination IP address in the access log of the source IP address "XXXX".
  • the access log targeted for is illustrated.
  • a response code of 300 or more is illustrated among the five access logs of the transmission source IP address “X.X.X.X”.
  • the calculation unit 12 calculates the score of the source IP address “Y.Y.Y.Y” as 0.0.
  • the determination unit 13 sets the maximum score of the source IP address of the access log for each normalized URI as the score of each normalized URI. To do. For example, the determination unit 13 determines that the normalized URI “/phpmyadmin/setup.php” has a score of 0.6 for the source IP address “XXXX” and 0.0 for the source IP address “YYYY”. The maximum value of 0.6 is calculated.
  • the determination unit 13 determines the normalized URI as the scan target URI.
  • the threshold value is 0.5.
  • the URI "/phpmyadmin/setup.php” and the URI “/scripts/setup.php” are determined to be the scan target URIs, as shown in the area c1 in FIG. 4C.
  • FIG. 5 is a flowchart showing a detection processing procedure.
  • the flowchart of FIG. 5 is started, for example, at the timing when the user inputs an operation instructing the start of the detection process.
  • the normalization unit 11 reads the access logs 14 to the plurality of Web servers 1 (step S1), and repeats the process of step S3 for each access log indicating a request (step S2).
  • the normalization unit 11 changes the URI of the access log to a normalized URI by unifying similar notations among a plurality of URIs.
  • the normalization unit 11 performs normalization to unify the URIs having similar notations by unifying the differences in the version and case of the Web applications in the URI.
  • the calculation unit 12 repeats the process of step S5 for the source IP address (step S4).
  • the calculation unit 12 determines the ratio of the access log, which is the predetermined response code, to the same normalized URI of the different destination among the access logs of the same source. Calculated as the score of the address. For example, as the score of the transmission source IP address, the calculation unit 12 targets the same normalized URI to different transmission destination IP addresses in the access log of the transmission source, and the response code is 300 or more. Calculate the percentage of access logs that are not normal.
  • step S6 the determination unit 13 repeats the process of step S7 for each normalized URI (step S6).
  • step S7 the determination unit 13 calculates the maximum score of the calculated transmission source IP address as the normalized URI score for each of the normalized URIs.
  • the determination unit 13 determines the normalized URI as the scan target URI (step S8). For example, when the score of the normalized URI is 0.5 or more, the determination unit 13 determines the normalized URI as the scan target URI.
  • the detection device 10 outputs the determination result URI to a display or another device. This completes a series of detections.
  • the normalization unit 11 normalizes the URIs of access logs to the plurality of Web servers 1 by unifying similar notations among the plurality of URIs. Change to URI. Further, the calculation unit 12 calculates the ratio of the access log having a predetermined response code to the same normalized URI of the different destination among the access logs having the same transmission source. Further, when the maximum value of the calculated ratios for each of the normalized URIs is greater than or equal to a predetermined threshold value, the determining unit 13 determines the normalized URI as a scan target.
  • the detection apparatus 10 of the present embodiment can analyze the scanning action in a unit such as a Web application unit. Further, the detection device 10 can detect the scanning action by one attacker among many normal users by determining the scanning action using the maximum value of the calculated ratios. As described above, the detection device 10 uses the URI co-occurrence and the response code together to reduce the detection of scans and the false detections that could not be detected in the past, and the scanning action of an attacker with high accuracy. It becomes possible to detect.
  • FIG. 6 is a schematic diagram illustrating the schematic configuration of the detection device according to the second embodiment.
  • the detection device 10 of the present exemplary embodiment includes a part or all of the transmission source grouping unit 15, the exclusion unit 16, the application name matching unit 18, or the structure matching unit 20 in the control unit.
  • the exclusion unit 16 is included in the control unit
  • the detected information DB 17 is stored in the storage unit.
  • the control unit includes the application name collation unit 18, the application name DB 19 is stored in the storage unit.
  • the description of the same functional units as those in the above embodiment will be omitted.
  • the transmission source grouping unit 15 includes different transmission sources in the same group when the similarity of the set of normalized URIs of the access log for each transmission source is equal to or higher than a predetermined threshold. Specifically, the transmission source grouping unit 15 first creates a list of normalized URIs that are request targets for each transmission source IP address of the access log. Then, the transmission source grouping unit 15 calculates the similarity S of the set of normalized URIs included in the list for different transmission source IP addresses, for example, by the following expression (1).
  • the transmission source grouping unit 15 regards transmission sources as the same when the similarity S is equal to or higher than a predetermined threshold, and includes the transmission source IP addresses in the same group.
  • the calculation unit 12 regards the transmission sources included in the same group as the same transmission source and performs the above processing to calculate the score of the transmission source IP address.
  • the detection device 10 can detect a scanning action even when an attacker uses a plurality of IP addresses properly or performs a web scan using a botnet.
  • FIG. 7 is a diagram for explaining the processing of the transmission source grouping unit 15.
  • the transmission source grouping unit 15 first creates a list of normalized URIs that are request targets for each transmission source IP address of the access log.
  • the transmission source grouping unit 15 calculates the similarity of the set of normalized URIs included in the list for different transmission source IP addresses, and if the similarity is equal to or greater than a predetermined threshold value, those transmission sources are calculated. Include IP addresses in the same group. Note that the transmission source grouping unit 15 includes the transmission source IP addresses in the group having the highest degree of similarity when there are a plurality of groups whose degrees of similarity are equal to or higher than a predetermined threshold. Further, when there are a plurality of groups having the highest degree of similarity, the transmission source grouping unit 15 includes the transmission source IP addresses in all the groups.
  • the transmission source grouping unit 15 creates a group 1 and includes the transmission source IP address “A.A.A.A” in the group 1 as shown in FIG. 7B. Then, the transmission source grouping unit 15 calculates the degree of similarity between the normalized URI set of the transmission source IP address “B.B.B.B” and the normalized URI set of group 1.
  • the normalized URI set of group 1 is ⁇ / aaa, / bbb ⁇
  • the transmission source grouping unit 15 groups the transmission source IP address “BBBB” as shown in FIG. 7C. Not included in 1 but included in new group 2.
  • the transmission source grouping unit 15 calculates the similarity S between the transmission source IP address “C.C.C.C” and the groups 1 and 2.
  • the normalized URI set of the source IP address “CCCC” is ⁇ / aaa, / bbb, / ddd ⁇
  • the normalized URI set of group 1 is ⁇ / aaa. aaa, / bbb ⁇
  • the transmission source grouping unit 15 includes the transmission source IP address “C.C.C.C” in the group 1 whose similarity S is equal to or higher than the threshold.
  • the source IP address "A.A.A.A” and the source IP address "C.C.C.C” that are included in the same source group in this way are regarded as the same source.
  • the calculation unit 12 calculates a score for each source group as the score of the source IP address.
  • the transmission source grouping unit 15 includes different transmission sources in the same group when the similarity of the set of normalized URIs of the access log for each transmission source is equal to or higher than a predetermined threshold.
  • the calculation unit 12 regards the transmission sources included in the same group as the same transmission source, and calculates the ratio that is the score of the transmission source.
  • the detection device 10 can detect a scanning action with higher accuracy even when an attacker uses a plurality of IP addresses properly or performs a Web scan using a botnet.
  • the exclusion unit 16 excludes a known scan target URI from the URIs determined by the determination unit 13 as scan targets.
  • FIG. 8 is a diagram for explaining the processing of the exclusion unit 16.
  • the detection device 10 stores in the detected information DB 17 the URI that was previously determined to be the scan target and the scan target URI in the known attack information.
  • the exclusion unit 16 filters the URI illustrated in FIG. 8A, which is determined to be a scan target by the determination unit 13, using the URI of the detected information DB 17 illustrated in FIG. 8B. As a result, the remaining URI is an unknown URI newly detected as a scan target. Therefore, the exclusion unit 16 can extract an unknown scan target URI, as illustrated in FIG. 8C.
  • the exclusion unit 16 updates the detected information DB 17 as shown in FIG. 8D using the extracted unknown scan target URI.
  • the scan target URI “/ eee” detected by the determination unit 13 is not stored in the detected information DB 17, and thus is extracted as an unknown scan target URI and newly added. It is stored in the detected information DB 17.
  • the exclusion unit 16 excludes a known scan target URI from the URIs determined by the determination unit 13 as scan targets.
  • the detection device 10 can detect an unknown URI that is a new scan target.
  • the application name matching unit 18 outputs the Web application name when the URI determined by the determination unit 13 to be scanned includes a known Web application name.
  • FIG. 9 is a diagram for explaining the processing of the application name matching unit 18.
  • the detection device 10 acquires a list of Web application names from an external open source software (OSS) information site and stores the list in the application name DB 19.
  • the normalization unit 11 normalizes the acquired Web application name. That is, the normalization unit 11 unifies the Web application name, such as the difference in version and difference in upper and lower case, as in the case of the Web application in the URI, for matching with the normalized URI.
  • OSS open source software
  • the application name collation unit 18 includes the Web application name of the application name DB 19 illustrated in FIG. 9B in the URI illustrated in FIG. 9A that is determined to be the scan target by the determination unit 13. Check whether or not When the URI determined to be the scan target includes the web application name, the application name matching unit 18 associates the web application name with the scan target URI, as illustrated in FIG. 9C. It is attached and output to a display, an external device, or the like, not shown. As a result, the detection device 10 can estimate the web application that is the scan target.
  • the scan target URIs “/ aaa / bbb / ccc /” and “/ aaa / ddd / eee /” detected by the determination unit 13 are stored in the application name DB 19 “Web application name”. aaa "is included. Therefore, it is estimated that this Web application "aaa" is the target of scanning.
  • the application name collation unit 18 outputs the Web application name when the URI determined by the determination unit 13 to be scanned includes a known Web application name.
  • the detection device 10 can estimate the web application targeted for scanning.
  • the application name matching unit 18 cannot specify the web application name if the URI determined to be scanned does not include the web application name. In that case, the detection apparatus 10 of the present embodiment can estimate the Web application name by the structure matching unit 20 described later.
  • the structure matching unit 20 outputs the Web application name of the Web application when the URI determined to be scanned by the determination unit 13 matches the directory structure of the resource of the known Web application.
  • FIG. 10 is a diagram for explaining the process of the structure matching unit 20.
  • the structure matching unit 20 acquires the directory structure of the Web application resource from the source code information of an external OSS information site or the like, as illustrated in FIG. Then, when the URI illustrated in FIG. 10B, which is determined to be a scan target by the determination unit 13, has the same directory structure as that in FIG. Is assumed to be the URI of.
  • the structure matching unit 20 associates the Web application name with the URI to be scanned and outputs it to a display (not shown) or an external device.
  • the detection device 10 can estimate the web application that is the target of scanning even when the web application name is not included in the URI.
  • the directory structure of the scan target URIs “/ aaa / bbb / ccc /” and “/ aaa / fff” detected by the determination unit 13 is the resource of the Web application “XXX”. It matches the directory structure. Therefore, it is estimated that this Web application “XXX” is the target of scanning.
  • the structure matching unit 20 outputs the Web application name of the Web application when the URI determined by the determination unit 13 to be scanned matches the directory structure of the resource of the known Web application.
  • the detection device 10 can estimate the web application that is the target of the scan even when the URI does not include the web application name.
  • the detection device 10 can be implemented by installing a detection program that executes the above-described detection processing as package software or online software in a desired computer.
  • the information processing device can be caused to function as the detection device 10.
  • the information processing device referred to here includes a desktop or notebook personal computer.
  • the information processing device includes in its category a mobile communication terminal such as a smartphone, a mobile phone, a PHS (Personal Handyphone System), and a slate terminal such as a PDA (Personal Digital Assistant).
  • FIG. 11 is a diagram illustrating an example of a computer that executes a detection program.
  • the computer 1000 has, for example, a memory 1010, a CPU 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These units are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012.
  • the ROM 1011 stores, for example, a boot program such as a BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1031.
  • the disk drive interface 1040 is connected to the disk drive 1041.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted.
  • a mouse 1051 and a keyboard 1052 are connected to the serial port interface 1050.
  • the display 1061 is connected to the video adapter 1060, for example.
  • the hard disk drive 1031 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094. Each information described in the above embodiment is stored in, for example, the hard disk drive 1031 or the memory 1010.
  • the detection program is stored in the hard disk drive 1031 as a program module 1093 in which a command executed by the computer 1000 is described, for example.
  • the program module 1093 in which each process executed by the detection device 10 described in the above embodiment is described is stored in the hard disk drive 1031.
  • data used for information processing by the detection program is stored as program data 1094 in, for example, the hard disk drive 1031.
  • the CPU 1020 reads the program module 1093 and the program data 1094 stored in the hard disk drive 1031 into the RAM 1012 as necessary, and executes the above-described procedures.
  • the program module 1093 and the program data 1094 related to the detection program are not limited to being stored in the hard disk drive 1031.
  • the program module 1093 or the program data 1094 may be stored in a removable storage medium and read by the CPU 1020 via the disk drive 1041 or the like. May be done.
  • the program module 1093 and the program data 1094 related to the detection program are stored in another computer connected via a network such as LAN or WAN (Wide Area Network) and read by the CPU 1020 via the network interface 1070. May be.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Information Transfer Between Computers (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Debugging And Monitoring (AREA)

Abstract

正規化部（１１）が、複数のＷｅｂサーバへのアクセスログのＵＲＩを、複数のＵＲＩ間で類似する表記を統一して正規化済ＵＲＩに変更する。算出部（１２）が、送信元が同一のアクセスログのうち、異なる宛先の同一の正規化済ＵＲＩを対象とした、所定のレスポンスコードであるアクセスログの割合を算出する。判定部（１３）が、正規化済ＵＲＩのそれぞれについて、算出された割合の最大値が所定の閾値以上の場合に、該正規化済ＵＲＩをスキャンの対象と判定する。

Description

検知装置および検知プログラム
　本発明は、検知装置および検知プログラムに関する。
　Ｗｅｂサーバの攻撃を行おうとする攻撃者が、攻撃対象となり得る脆弱なＷｅｂサーバを探すために、Ｗｅｂアプリケーションのスキャンを行う場合がある。スキャンとは、脆弱なＷｅｂアプリケーションに存在するＵＲＩ（Uniform　Resource　Identifier）を、標的のＷｅｂサーバにリクエストした際のレスポンスによって、脆弱なＷｅｂアプリケーションの有無を調査する行為のことである。このような攻撃者によるスキャン行為を早期に検知できれば、攻撃者が標的としているＷｅｂアプリケーションを特定して対策を施すことが可能となる。
　従来、例えば、ＯＳＳ（Open　Source　Software）のＳｎｏｒｔ等で用いられているシグネチャマッチによる検知技術が知られている。この技術では、通常のＷｅｂトラフィックやハニーポット等での観測から得られたシグネチャを利用して、スキャンが検知される。また、悪意のあるＷｅｂアクセスはＨＴＴＰレスポンスコードに特徴が表れることが知られている（非特許文献１参照）。これを応用することで、ＨＴＴＰレスポンスに基づいてスキャンを検知することができる。例えば、スキャンによるＷｅｂアクセスに対するＨＴＴＰのレスポンスコードの多くが「ページが存在しない」ことを示す４０４であることから、この技術では、レスポンスコードが４０４のアクセスがスキャンとして抽出される。
　また、Ｗｅｂページのアクセス順序・間隔に基づいて攻撃等の異常なＷｅｂアクセスを検知する技術が知られている（非特許文献２、３参照）。この技術を応用することで、通常のユーザがＷｅｂサーバにアクセスした際のＷｅｂページの遷移の順序やパターンと大きく異なるアクセスがスキャンとして検知される。また、ＵＲＩの共起性に基づく検知技術が知られている（非特許文献４参照）。攻撃者はスキャンの際に同じＩＰアドレスから複数のＷｅｂサーバに対して同じＵＲＩをリクエストする傾向がある。そこでこの技術では、複数のＷｅｂサーバに対するアクセスの中で共起しているＵＲＩがスキャンの対象として検出される。
Katerina　Goseva-Popstojanova，Goce　Anastasovski，Risto　Pantev，"Classification　of　malicious　Web　sessions"，ICCCN，2012年 Kruegel　Christopher，Giovanni　Vigna，William　Robertson，"A　multi-model　approach　to　the　detection　of　web-based　attacks"，In　Computer　Networks，2005年 Sanghyun　Cho，Sungdeok　Cha，"SAD:　web　session　anomaly　detection　based　on　parameter　estimation"，Computers　&　Security，2004年 鐘揚，折原慎吾，谷川真樹，嶋田創，村瀬勉，高倉弘喜，大嶋嘉人，"URIの共起性検知に基づくWebスキャンの実態調査"，電子情報通信学会技術報告，2016年
　しかしながら、従来の技術では、検知されるべきスキャン行為を検知できない場合や誤検知する場合がある。例えば、シグネチャマッチによる検知技術では、事前にシグネチャとして登録されていないスキャンを検知することはできない。また、ＨＴＴＰレスポンスに基づく検知技術では、エラーとなってしまう正常なＷｅｂアクセスをスキャンと誤検知する場合がある。例えば、Ｗｅｂページ内のリンク先が誤っている場合や、「/favicon.ico」等のように、Ｗｅｂブラウザの機能によりファイルの有無に関わらず自動的にアクセスされる場合等には、誤検知が生じ得る。
　また、Ｗｅｂページのアクセス順序・間隔に基づく検知技術では、攻撃者がページのアクセス順序を調整したりアクセス間隔を広げたりすることにより、スキャンの検知を回避できてしまう。また、ＵＲＩの共起性に基づく検知技術では、広く一般にＷｅｂサーバで利用されている「/」、「/index.php」等のＵＲＩがスキャンの対象と誤検知される場合がある。また、この技術では、スキャンの対象にも正常なアクセスの対象にもなっているＵＲＩの検知は困難である。
　本発明は、上記に鑑みてなされたものであって、攻撃者のスキャン行為を精度高く検知することを目的とする。
　上述した課題を解決し、目的を達成するために、本発明に係る検知装置は、複数のＷｅｂサーバへのアクセスログのＵＲＩを、複数のＵＲＩ間で類似する表記を統一して正規化済ＵＲＩに変更する正規化部と、送信元が同一の前記アクセスログのうち、異なる宛先の同一の前記正規化済ＵＲＩを対象とした、所定のレスポンスコードであるアクセスログの割合を算出する算出部と、前記正規化済ＵＲＩのそれぞれについて、算出された前記割合の最大値が所定の閾値以上の場合に、該正規化済ＵＲＩをスキャンの対象と判定する判定部と、を備えることを特徴とする。
　本発明によれば、攻撃者のスキャン行為を精度高く検知することが可能となる。
図１は、本実施形態の検知装置を含むシステムを説明するための図である。 図２は、検知装置の概略構成を例示する模式図である。 図３は、正規化部の処理を説明するための説明図である。 図４は、算出部および判定部の処理を説明するための説明図である。 図５は、検知処理手順を示すフローチャートである。 図６は、第２の実施形態の検知装置の概略構成を例示する模式図である。 図７は、送信元グループ化部の処理を説明するための説明図である。 図８は、除外部の処理を説明するための図である。 図９は、アプリ名照合部の処理を説明するための図である。 図１０は、構造照合部の処理を説明するための図である。 図１１は、検知プログラムを実行するコンピュータの一例を示す図である。
　以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
［第１の実施形態］
［システム構成］
　図１は、本実施形態の検知装置を含むシステムを説明するための図である。様々なＷｅｂアプリケーションがインターネットを介して公開されている。このＷｅｂアプリケーションが稼働する多数のＷｅｂサーバ１が、図１に示すように、会社等の組織のネットワークｎに構築され、ゲートウェイ２を介してインターネットＮに接続されている。ユーザは、インターネットＮを介してＷｅｂサーバ１にアクセスして、Ｗｅｂアプリケーションを利用する。
　このシステムにおいて、検知装置１０は、ゲートウェイ２等から、正常なユーザや攻撃者の同一のネットワークに存在するＷｅｂサーバ１群へのアクセスログを取得して、後述する検知処理を実行することにより、アクセスログから攻撃者のスキャン行為を検知する。
［検知装置の構成］
　図２は、検知装置の概略構成を例示する模式図である。検知装置１０では、汎用コンピュータのＣＰＵ（Central　Processing　Unit）等を用いて実現される制御部が、図２に示すように、正規化部１１、算出部１２、および判定部１３として機能する。なお、これらの機能部は、それぞれあるいは一部が異なるハードウェアに実装されてもよい。
　また、検知装置１０では、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される記憶部に、アクセスログ１４が記憶される。
　ここで、アクセスログ１４は、予め、例えばゲートウェイ２等から取得された多数のＷｅｂサーバ１に対する多数のＨＴＴＰアクセスログが蓄積されたものである。各アクセスログには、リクエストの送信元ＩＰアドレスおよび送信先ＩＰアドレスと、リクエストの対象のＵＲＩと、アクセスに対するレスポンスコードとが含まれる。
　正規化部１１は、複数のＷｅｂサーバ１へのアクセスログのＵＲＩを、複数のＵＲＩ間で類似する表記を統一して正規化済ＵＲＩに変更する。具体的には、正規化部１１は、ＵＲＩ中のＷｅｂアプリケーションのバージョン違いや大文字小文字等の違いを統一することにより、類似した表記のＵＲＩを統一する正規化を行う。この正規化により、検知装置１０は、以降の処理において、Ｗｅｂアプリケーション単位等のまとまった単位での処理が可能となる。
　ここで、図３は、正規化部１１の処理を説明するための図である。例えば、図３に示すように、正規化部１１は、ＵＲＩ中でＷｅｂアプリケーションのバージョンを表す「２．１．１」、「３」、「３．１」等の連続した数字を全て削除する。また、正規化部１１は、ＵＲＩ中のアルファベットの大文字を全て小文字に統一する。また、正規化部１１は、ＵＲＩ中の「？」以降のクエリ部を削除する。
　図３に示した例では、正規化部１１は、「/phpMyAdmin2.1.1/setup.php」、「/phpMyAdmin3/setup.php」、「/phpmyadmin3.1/setup.php」、「/phpmyadmin2/setup.php?param=xx」等のＵＲＩを、同一の正規化済ＵＲＩ「/phpmyadmin/setup.php」に変更している。
　図２の説明に戻る。算出部１２は、送信元が同一のアクセスログのうち、異なる宛先の同一の正規化済ＵＲＩを対象とした、所定のレスポンスコードであるアクセスログの割合を、送信元ＩＰアドレスのスコアとして算出する。例えば、算出部１２は、送信元ＩＰアドレスのスコアとして、この送信元のアクセスログのうち、異なる送信先ＩＰアドレスへの同一の正規化済ＵＲＩをリクエストの対象とした、レスポンスコードが３００以上であるアクセスログの割合を算出する。レスポンスコードが３００以上のアクセスログとは、スキャンである可能性のある正常ではないリクエストであることを意味している。
　また、判定部１３は、正規化済ＵＲＩのそれぞれについて、算出された送信元ＩＰアドレスのスコアの最大値である正規化済ＵＲＩのスコアが所定の閾値以上の場合に、該正規化済ＵＲＩをスキャンの対象のＵＲＩと判定する。例えば、閾値が０．５であれば、判定部１３は、正規化済ＵＲＩのスコアが０．５以上である場合に、この正規化済ＵＲＩをスキャンの対象のＵＲＩと判定する。
　このように、判定部１３が、送信元ＩＰアドレスのスコアの最大値を用いてスキャン行為を判定することにより、多数の正常なユーザの中でも一人の攻撃者によるスコアの高いスキャン行為を検知することが可能となる。
　ここで、図４は、算出部１２および判定部１３の処理を説明するための図である。図４（ａ）には、正規化部１１でＵＲＩが正規化されたアクセスログが例示されている。このアクセスログを処理対象として、まず、算出部１２が、送信元ＩＰアドレスごとに、この送信元ＩＰアドレスのスコアとして、同一の正規化済ＵＲＩを対象とした、レスポンスコードが３００以上のアクセスログの割合を算出する。
　例えば、図４（ａ）に示す領域ａ１には、送信元ＩＰアドレス「X.X.X.X」のアクセスログのうち、異なる送信先ＩＰアドレスへの同一の正規化済ＵＲＩ「/phpmyadmin/setup.php」をリクエストの対象としたアクセスログが例示されている。また、図４（ａ）に示す領域ａ２には、送信元ＩＰアドレス「X.X.X.X」の５つのアクセスログのうち、３００以上であるレスポンスコードが例示されている。この場合に、異なる送信先ＩＰアドレスへの同一の正規化済ＵＲＩ「/phpmyadmin/setup.php」をリクエストの対象とした、レスポンスコードが３００以上のアクセスログは３つである。したがって、算出部１２は、図４（ｂ）に示すように、送信元ＩＰアドレス「X.X.X.X」のスコアを０．６と算出する。
　同様に、図４（ａ）に示す送信元ＩＰアドレス「Y.Y.Y.Y」の２つのアクセスログのうち、異なる送信先ＩＰアドレスへの同一の正規化済ＵＲＩをリクエストの対象とした、レスポンスコードが３００以上のアクセスログは０である。したがって、算出部１２は、図４（ｂ）に示すように、送信元ＩＰアドレス「Y.Y.Y.Y」のスコアを０．０と算出する。
　この場合に、判定部１３は、図４（ｃ）に示すように、各正規化済ＵＲＩを対象としたアクセスログの送信元ＩＰアドレスのスコアの最大値を、各正規化済ＵＲＩのスコアとする。例えば、判定部１３は、正規化済ＵＲＩ「/phpmyadmin/setup.php」のスコアとして、送信元ＩＰアドレス「X.X.X.X」のスコア０．６、送信元ＩＰアドレス「Y.Y.Y.Y」のスコア０．０のうちの最大値である０．６を算出している。
　そして判定部１３は、正規化済ＵＲＩのスコアが所定の閾値以上の場合に、この正規化済ＵＲＩをスキャンの対象のＵＲＩと判定する。図４に示す例では、閾値は０．５とされている。その結果、図４（ｃ）の領域ｃ１に示すように、ＵＲＩ「/phpmyadmin/setup.php」およびＵＲＩ「/scripts/setup.php」が、スキャンの対象のＵＲＩと判定されている。
［検知処理］
　次に、図５を参照して、本実施形態に係る検知装置１０による検知処理について説明する。図５は、検知処理手順を示すフローチャートである。図５のフローチャートは、例えば、ユーザが検知処理の開始を指示する操作入力を行ったタイミングで開始される。
　まず、正規化部１１が、複数のＷｅｂサーバ１へのアクセスログ１４を読み込んで（ステップＳ１）、リクエストを示す各アクセスログに対して、ステップＳ３の処理を繰り返す（ステップＳ２）。ステップＳ３の処理では、正規化部１１は、アクセスログのＵＲＩを、複数のＵＲＩ間で類似する表記を統一して正規化済ＵＲＩに変更する。具体的には、正規化部１１は、ＵＲＩ中のＷｅｂアプリケーションのバージョン違いや大文字小文字等の違いを統一することにより、類似した表記のＵＲＩを統一する正規化を行う。
　次に、算出部１２が、送信元ＩＰアドレスに対して、ステップＳ５の処理を繰り返す（ステップＳ４）。ステップＳ５の処理では、算出部１２が、送信元が同一のアクセスログのうち、異なる宛先の同一の正規化済ＵＲＩを対象とした、所定のレスポンスコードであるアクセスログの割合を、送信元ＩＰアドレスのスコアとして算出する。例えば、算出部１２は、送信元ＩＰアドレスのスコアとして、この送信元のアクセスログのうち、異なる送信先ＩＰアドレスへの同一の正規化済ＵＲＩをリクエストの対象とした、レスポンスコードが３００以上である正常な処理ではないアクセスログの割合を算出する。
　次に、判定部１３が、各正規化済ＵＲＩに対して、ステップＳ７の処理を繰り返す（ステップＳ６）。ステップＳ７の処理では、判定部１３が、正規化済ＵＲＩのそれぞれについて、算出された送信元ＩＰアドレスのスコアの最大値を正規化済ＵＲＩのスコアとして算出する。
　そして、判定部１３は、正規化済ＵＲＩのスコアが所定の閾値以上の場合に、該正規化済ＵＲＩをスキャンの対象のＵＲＩと判定する（ステップＳ８）。例えば、判定部１３は、正規化済ＵＲＩのスコアが０．５以上であった場合に、この正規化済ＵＲＩをスキャンの対象のＵＲＩと判定する。検知装置１０は、判定結果のＵＲＩをディスプレイや他の装置に出力する。これにより、一連の検知が終了する。
　以上、説明したように、本実施形態の検知装置１０において、正規化部１１が、複数のＷｅｂサーバ１へのアクセスログのＵＲＩを、複数のＵＲＩ間で類似する表記を統一して正規化済ＵＲＩに変更する。また、算出部１２が、送信元が同一のアクセスログのうち、異なる宛先の同一の正規化済ＵＲＩを対象とした、所定のレスポンスコードであるアクセスログの割合を算出する。また、判定部１３が、正規化済ＵＲＩのそれぞれについて、算出された割合の最大値が所定の閾値以上の場合に、該正規化済ＵＲＩをスキャンの対象と判定する。
　これにより、本実施形態の検知装置１０は、Ｗｅｂアプリケーション単位等のまとまった単位でスキャン行為の解析を行うことが可能となる。また、検知装置１０は、算出された割合の最大値を用いてスキャン行為を判定することにより、多数の正常なユーザの中での一人の攻撃者によるスキャン行為を検知することが可能となる。このように、検知装置１０は、ＵＲＩの共起性とレスポンスコードとを併せて用いることにより、従来は検知できなかったスキャンの検知や、誤検知を低減し、攻撃者のスキャン行為を精度高く検知することが可能となる。
［第２の実施形態］
　本発明の検知装置１０は、上記実施形態に限定されず、上記実施形態の構成（図２参照）に加え、以下に説明する機能部を含んで構成されてもよい。図６は、第２の実施形態に係る検知装置の概略構成を例示する模式図である。図６に示すように、本実施形態の検知装置１０は、送信元グループ化部１５、除外部１６、アプリ名照合部１８、または構造照合部２０の一部または全てを制御部に含む。制御部に除外部１６が含まれる場合には、記憶部に検出済情報ＤＢ１７が記憶される。また、制御部にアプリ名照合部１８が含まれる場合には、記憶部にアプリ名ＤＢ１９が記憶される。なお、上記実施形態と同様の機能部については、説明を省略する。
　送信元グループ化部１５は、送信元ごとのアクセスログの対象の正規化済ＵＲＩのセットの類似度が所定の閾値以上の場合に、異なる送信元を同一のグループに含める。具体的には、送信元グループ化部１５は、まず、アクセスログの送信元ＩＰアドレスごとに、リクエストの対象の正規化済ＵＲＩのリストを作成する。そして、送信元グループ化部１５は、異なる送信元ＩＰアドレスについてのリストに含まれる正規化済ＵＲＩのセットの類似度Ｓを、例えば、次式（１）により算出する。
Figure JPOXMLDOC01-appb-M000001
　送信元グループ化部１５は、類似度Ｓが所定の閾値以上である場合に、送信元を同一とみなし、それらの送信元ＩＰアドレスを同一のグループに含める。
　その場合には、算出部１２は、同一のグループに含まれる送信元を同一の送信元とみなして上記の処理を行って、送信元ＩＰアドレスのスコアを算出する。これにより、検知装置１０は、攻撃者が複数のＩＰアドレスを使い分けたり、ボットネットを用いてＷｅｂスキャンを行なったりした場合にも、スキャン行為を検知することが可能となる。
　ここで、図７は、送信元グループ化部１５の処理を説明するための図である。送信元グループ化部１５は、まず、図７（ａ）に示すように、アクセスログの送信元ＩＰアドレスごとに、リクエストの対象の正規化済ＵＲＩのリストを作成する。
　次に、送信元グループ化部１５は、異なる送信元ＩＰアドレスについてのリストに含まれる正規化済ＵＲＩのセットの類似度を算出し、類似度が所定の閾値以上の場合に、それらの送信元ＩＰアドレスを同一のグループに含める。なお、送信元グループ化部１５は、類似度が所定の閾値以上のグループが複数あった場合には、それらの送信元ＩＰアドレスを最も類似度の高いグループに含める。また、送信元グループ化部１５は、最も類似度の高いグループが複数あった場合には、それらの送信元ＩＰアドレスをその全てのグループに含める。
　例えば、送信元グループ化部１５は、図７（ｂ）に示すように、グループ１を作成し、送信元ＩＰアドレス「A.A.A.A」をグループ１に含める。そして、送信元グループ化部１５は、送信元ＩＰアドレス「B.B.B.B」の正規化済ＵＲＩのセットについて、グループ１の正規化済ＵＲＩのセットとの類似度を算出する。
　図７（ｂ）に示す例では、グループ１の正規化済ＵＲＩのセットは｛/aaa、/bbb｝であり、送信元ＩＰアドレス「B.B.B.B」の正規化済ＵＲＩのセットは｛/ccc｝であるので、上記式（１）により、類似度Ｓ＝０／３と算出される。閾値を２／３とした場合に、算出された類似度Ｓは閾値未満であるので、送信元グループ化部１５は、図７（ｃ）に示すように、送信元ＩＰアドレス「B.B.B.B」をグループ１には含めずに、新たなグループ２に含める。
　同様にして、送信元グループ化部１５は、送信元ＩＰアドレス「C.C.C.C」について、グループ１およびグループ２との類似度Ｓを算出する。図７（ｃ）に示す例では、送信元ＩＰアドレス「C.C.C.C」の正規化済ＵＲＩのセットは｛/aaa、/bbb、/ddd｝であり、グループ１の正規化済ＵＲＩのセットは｛/aaa、/bbb｝であるので、グループ１との類似度Ｓ＝２／３と算出される。また、グループ２の正規化済ＵＲＩのセットは｛/ccc｝であるので、類似度Ｓ＝０／４と算出される。したがって、送信元グループ化部１５は、図７（ｄ）に示すように、送信元ＩＰアドレス「C.C.C.C」を、類似度Ｓが閾値以上であるグループ１に含める。
　このようにして同一の送信元グループに含められた送信元ＩＰアドレス「A.A.A.A」と送信元ＩＰアドレス「C.C.C.C」とは、同一の送信元とみなされる。この場合には、算出部１２は、上記の送信元ＩＰアドレスのスコアとして、送信元グループごとのスコアを算出する。
　このように、送信元グループ化部１５が、送信元ごとのアクセスログの対象の正規化済ＵＲＩのセットの類似度が所定の閾値以上の場合に、異なる送信元を同一のグループに含める。この場合に、算出部１２は、同一のグループに含まれる送信元を同一の送信元とみなして、送信元のスコアである割合を算出する。これにより、検知装置１０は、攻撃者が複数のＩＰアドレスを使い分けたり、ボットネットを用いてＷｅｂスキャンを行なったりした場合にも、より精度高くスキャン行為を検知することが可能となる。
　図６の説明に戻る。除外部１６は、判定部１３によりスキャンの対象と判定されたＵＲＩから、既知のスキャンの対象のＵＲＩを除外する。
　ここで、図８は、除外部１６の処理を説明するための図である。検知装置１０は、図８（ｂ）に例示するように、過去にスキャンの対象と判定されたＵＲＩや既知の攻撃情報におけるスキャンの対象のＵＲＩを、検出済情報ＤＢ１７に記憶している。
　そこで、除外部１６は、判定部１３によりスキャンの対象と判定された、図８（ａ）に例示したＵＲＩを、図８（ｂ）に例示した検出済情報ＤＢ１７のＵＲＩを用いてフィルタリングする。その結果、残ったＵＲＩは、新たにスキャンの対象と検知された未知のＵＲＩである。したがって、除外部１６は、図８（ｃ）に例示するように、未知のスキャン対象のＵＲＩを抽出することができる。
　なお、除外部１６は、抽出した未知のスキャン対象のＵＲＩを用いて、図８（ｄ）に示すように、検出済情報ＤＢ１７を更新する。図８に示す例では、例えば、判定部１３により検知されたスキャン対象のＵＲＩ「/eee」は、検出済情報ＤＢ１７に記憶されていないことから、未知のスキャン対象のＵＲＩとして抽出され、新たに検出済情報ＤＢ１７に記憶されている。
　このように、除外部１６が、判定部１３によりスキャンの対象と判定されたＵＲＩから、既知のスキャンの対象のＵＲＩを除外する。これにより、検知装置１０は、新たにスキャンの対象となった未知のＵＲＩを検知することが可能となる。
　図６の説明に戻る。アプリ名照合部１８は、判定部１３によりスキャンの対象と判定されたＵＲＩに、既知のＷｅｂアプリケーション名が含まれていた場合に、該Ｗｅｂアプリケーション名を出力する。
　ここで、図９は、アプリ名照合部１８の処理を説明するための図である。検知装置１０は、図９（ｂ）に示すように、外部のオープンソースソフトウェア（ＯＳＳ）情報サイト等からＷｅｂアプリケーション名の一覧を取得して、アプリ名ＤＢ１９に記憶している。その際に、正規化部１１が、取得されたＷｅｂアプリケーション名の正規化を行う。すなわち、正規化部１１は、正規化済ＵＲＩとの照合のため、Ｗｅｂアプリケーション名に対し、ＵＲＩ中のＷｅｂアプリケーションと同様に、バージョン違いや大文字小文字等の違いの統一を行う。
　そして、アプリ名照合部１８は、判定部１３によりスキャンの対象と判定された、図９（ａ）に例示したＵＲＩに、図９（ｂ）に例示したアプリ名ＤＢ１９のＷｅｂアプリケーション名が含まれているか否かを確認する。スキャン対象と判定されたＵＲＩにＷｅｂアプリケーション名が含まれていた場合には、アプリ名照合部１８は、図９（ｃ）に例示するように、そのＷｅｂアプリケーション名とスキャン対象のＵＲＩとを対応付けて、不図示のディスプレイや外部装置等に出力する。これにより、検知装置１０は、スキャンの標的となっているＷｅｂアプリケーションを推定することが可能となる。
　図９に示す例では、例えば、判定部１３により検知されたスキャン対象のＵＲＩ「/aaa/bbb/ccc/」と「/aaa/ddd/eee/」とに、アプリ名ＤＢ１９のＷｅｂアプリケーション名「aaa」が含まれている。したがって、このＷｅｂアプリケーション「aaa」がスキャンの標的となっていることが推定されている。
　このように、アプリ名照合部１８が、判定部１３によりスキャンの対象と判定されたＵＲＩに、既知のＷｅｂアプリケーション名が含まれていた場合に、該Ｗｅｂアプリケーション名を出力する。これにより、検知装置１０は、スキャンの標的とされたＷｅｂアプリケーションを推定することが可能となる。
　なお、アプリ名照合部１８は、スキャン対象と判定されたＵＲＩにＷｅｂアプリケーション名が含まれていない場合には、Ｗｅｂアプリケーション名を特定できない。その場合には、本実施形態の検知装置１０は、後述する構造照合部２０によって、Ｗｅｂアプリケーション名を推定することが可能となる。
　図６の説明に戻る。構造照合部２０は、判定部１３によりスキャンの対象と判定されたＵＲＩが、既知のＷｅｂアプリケーションのリソースのディレクトリ構造と一致する場合に、該ＷｅｂアプリケーションのＷｅｂアプリケーション名を出力する。
　ここで、図１０は、構造照合部２０の処理を説明するための図である。構造照合部２０は、外部のＯＳＳ情報サイト等のソースコード情報から、図１０（ａ）に例示するように、Ｗｅｂアプリケーションリソースのディレクトリ構造を取得する。そして、構造照合部２０は、判定部１３によりスキャンの対象と判定された、図１０（ｂ）に例示したＵＲＩに、図１０（ａ）と同様のディレクトリ構造がある場合に、該当のＷｅｂアプリケーションのＵＲＩであると推定する。
　その場合に、構造照合部２０は、図１０（ｃ）に例示するように、そのＷｅｂアプリケーション名とスキャン対象のＵＲＩとを対応付けて、不図示のディスプレイや外部装置等に出力する。このように、検知装置１０は、ＵＲＩにＷｅｂアプリケーション名が含まれていない場合にも、スキャンの標的となっているＷｅｂアプリケーションを推定することが可能となる。
　図１０に示す例では、例えば、判定部１３により検知されたスキャン対象のＵＲＩ「/aaa/bbb/ccc/」と「/aaa/fff」とのディレクトリ構造が、Ｗｅｂアプリケーション「XXX」のリソースのディレクトリ構造と一致している。したがって、このＷｅｂアプリケーション「XXX」がスキャンの標的となっていることが推定されている。
　このように、構造照合部２０が、判定部１３によりスキャンの対象と判定されたＵＲＩが、既知のＷｅｂアプリケーションのリソースのディレクトリ構造と一致する場合に、該ＷｅｂアプリケーションのＷｅｂアプリケーション名を出力する。これにより、検知装置１０は、ＵＲＩにＷｅｂアプリケーション名が含まれていない場合にも、スキャンの標的となっているＷｅｂアプリケーションを推定することが可能となる。
［プログラム］
　上記実施形態に係る検知装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、検知装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の検知処理を実行する検知プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の検知プログラムを情報処理装置に実行させることにより、情報処理装置を検知装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal　Handyphone　System）などの移動体通信端末、さらには、ＰＤＡ（Personal　Digital　Assistant）などのスレート端末などがその範疇に含まれる。また、検知装置１０の機能を、クラウドサーバに実装してもよい。
　図１１は、検知プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ＲＯＭ（Read　Only　Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。
　ここで、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各情報は、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。
　また、検知プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した検知装置１０が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
　また、検知プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
　なお、検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide　Area　Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。
　１０　検知装置
　１１　正規化部
　１２　算出部
　１３　判定部
　１４　アクセスログ
　１５　送信元グループ化部
　１６　除外部
　１７　検出済情報ＤＢ
　１８　アプリ名照合部
　１９　アプリ名ＤＢ
　２０　構造照合部

Claims (6)

  1. 　複数のＷｅｂサーバへのアクセスログのＵＲＩを、複数のＵＲＩ間で類似する表記を統一して正規化済ＵＲＩに変更する正規化部と、
    　送信元が同一の前記アクセスログのうち、異なる宛先の同一の前記正規化済ＵＲＩを対象とした、所定のレスポンスコードであるアクセスログの割合を算出する算出部と、
    　前記正規化済ＵＲＩのそれぞれについて、算出された前記割合の最大値が所定の閾値以上の場合に、該正規化済ＵＲＩをスキャンの対象のＵＲＩと判定する判定部と、
    　を備えることを特徴とする検知装置。
  2. 　前記判定部によりスキャンの対象と判定されたＵＲＩから、既知のスキャンの対象のＵＲＩを除外する除外部をさらに備えることを特徴とする請求項１に記載の検知装置。
  3. 　前記判定部によりスキャンの対象と判定されたＵＲＩに、既知のＷｅｂアプリケーション名が含まれていた場合に、該Ｗｅｂアプリケーション名を出力するアプリ名照合部をさらに備えることを特徴とする請求項１に記載の検知装置。
  4. 　前記判定部によりスキャンの対象と判定されたＵＲＩが、既知のＷｅｂアプリケーションのリソースのディレクトリ構造と一致する場合に、該ＷｅｂアプリケーションのＷｅｂ
    アプリケーション名を出力する構造照合部をさらに備えることを特徴とする請求項１に記載の検知装置。
  5. 　送信元ごとの前記アクセスログの対象の前記正規化済ＵＲＩのセットの類似度が所定の閾値以上の場合に、異なる前記送信元を同一のグループに含める送信元グループ化部をさらに備え、
    　前記算出部は、同一の前記グループに含まれる送信元を同一の送信元とみなして、前記割合を算出することを特徴とする請求項１に記載の検知装置。
  6. 　コンピュータに、請求項１～５のいずれか１項に記載の検知装置として機能させるための検知プログラム。
PCT/JP2019/017310 2018-10-10 2019-04-23 検知装置および検知プログラム Ceased WO2020075330A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US17/283,021 US11818153B2 (en) 2018-10-10 2019-04-23 Detection device and detection program
JP2020549946A JP6930667B2 (ja) 2018-10-10 2019-04-23 検知装置および検知プログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018-192049 2018-10-10
JP2018192049 2018-10-10

Publications (1)

Publication Number Publication Date
WO2020075330A1 true WO2020075330A1 (ja) 2020-04-16

Family

ID=70164704

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/017310 Ceased WO2020075330A1 (ja) 2018-10-10 2019-04-23 検知装置および検知プログラム

Country Status (3)

Country Link
US (1) US11818153B2 (ja)
JP (1) JP6930667B2 (ja)
WO (1) WO2020075330A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7533058B2 (ja) * 2020-09-17 2024-08-14 富士フイルムビジネスイノベーション株式会社 情報処理装置及び情報処理プログラム

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008187701A (ja) * 2007-01-04 2008-08-14 Oita Univ スキャン攻撃不正侵入防御装置
JP2015121968A (ja) * 2013-12-24 2015-07-02 三菱電機株式会社 ログ分析装置及びログ分析方法及びログ分析プログラム
JP2017117255A (ja) * 2015-12-25 2017-06-29 株式会社ラック 情報処理装置、情報処理方法及びプログラム
US9838407B1 (en) * 2016-03-30 2017-12-05 EMC IP Holding Company LLC Detection of malicious web activity in enterprise computer networks
JP2018060288A (ja) * 2016-10-03 2018-04-12 富士通株式会社 ネットワーク監視装置、ネットワーク監視プログラム及びネットワーク監視方法
WO2018143097A1 (ja) * 2017-01-31 2018-08-09 日本電信電話株式会社 判定装置、判定方法、および、判定プログラム

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7496962B2 (en) * 2004-07-29 2009-02-24 Sourcefire, Inc. Intrusion detection strategies for hypertext transport protocol
US8631497B1 (en) * 2007-02-01 2014-01-14 Mcafee, Inc. Systems and methods for automating blind detection of computational vulnerabilities
JP4876962B2 (ja) * 2007-02-20 2012-02-15 ソニー株式会社 ネットワークシステム、サービスサーバ、リモート録画予約先録画装置の決定方法、及びコンピュータプログラム
WO2014195890A1 (en) * 2013-06-06 2014-12-11 Topspin Security Ltd. Methods and devices for identifying the presence of malware in a network
US20160335373A1 (en) * 2015-05-14 2016-11-17 Honeywell International Inc. Apparatus and method for universal annotation in industrial process control and automation system
US11146573B2 (en) * 2017-07-18 2021-10-12 Imperva, Inc. Insider threat detection utilizing user group to data object and/or resource group access analysis
US11223637B2 (en) * 2018-01-07 2022-01-11 Microsoft Technology Licensing, Llc Detecting attacks on web applications using server logs
US12041084B2 (en) * 2018-02-09 2024-07-16 Bolster, Inc Systems and methods for determining user intent at a website and responding to the user intent
US11196746B2 (en) * 2018-07-04 2021-12-07 Microsoft Technology Licensing, Llc Whitelisting of trusted accessors to restricted web pages
RU2708508C1 (ru) * 2018-12-17 2019-12-09 Общество с ограниченной ответственностью "Траст" Способ и вычислительное устройство для выявления подозрительных пользователей в системах обмена сообщениями
US11196761B2 (en) * 2019-06-12 2021-12-07 Paypal, Inc. Security risk evaluation for user accounts

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008187701A (ja) * 2007-01-04 2008-08-14 Oita Univ スキャン攻撃不正侵入防御装置
JP2015121968A (ja) * 2013-12-24 2015-07-02 三菱電機株式会社 ログ分析装置及びログ分析方法及びログ分析プログラム
JP2017117255A (ja) * 2015-12-25 2017-06-29 株式会社ラック 情報処理装置、情報処理方法及びプログラム
US9838407B1 (en) * 2016-03-30 2017-12-05 EMC IP Holding Company LLC Detection of malicious web activity in enterprise computer networks
JP2018060288A (ja) * 2016-10-03 2018-04-12 富士通株式会社 ネットワーク監視装置、ネットワーク監視プログラム及びネットワーク監視方法
WO2018143097A1 (ja) * 2017-01-31 2018-08-09 日本電信電話株式会社 判定装置、判定方法、および、判定プログラム

Also Published As

Publication number Publication date
US20210344697A1 (en) 2021-11-04
JP6930667B2 (ja) 2021-09-01
US11818153B2 (en) 2023-11-14
JPWO2020075330A1 (ja) 2021-04-30

Similar Documents

Publication Publication Date Title
CN109583193B (zh) 目标攻击的云检测、调查以及消除的系统和方法
JP6557334B2 (ja) アクセス分類装置、アクセス分類方法、及びアクセス分類プログラム
CN103180863B (zh) 计算机系统分析方法和装置
CA2856729C (en) Detecting malware using stored patterns
US11270001B2 (en) Classification apparatus, classification method, and classification program
JP6503141B2 (ja) アクセス分類装置、アクセス分類方法及びアクセス分類プログラム
JP6697123B2 (ja) プロファイル生成装置、攻撃検知装置、プロファイル生成方法、および、プロファイル生成プログラム
CN108573146A (zh) 一种恶意url检测方法及装置
CN114070632A (zh) 一种自动化渗透测试方法、装置及电子设备
JP2018148267A (ja) 検知装置、検知方法および検知プログラム
JP7052602B2 (ja) 生成装置、生成方法及び生成プログラム
US11550920B2 (en) Determination apparatus, determination method, and determination program
JP6708575B2 (ja) 分類装置、分類方法および分類プログラム
JP6930667B2 (ja) 検知装置および検知プログラム
Chiba et al. Botprofiler: Profiling variability of substrings in http requests to detect malware-infected hosts
JPWO2017208969A1 (ja) 検知装置、検知方法、検知システム、および検知プログラム
WO2022219792A1 (ja) 収集装置、収集方法、および、収集プログラム
CN115883258B (zh) Ip信息处理方法、装置、电子设备和存储介质
JP5684842B2 (ja) 悪性サイト検出装置、悪性サイト検出方法およびプログラム
Ahlgren Local And Network Ransomware Detection Comparison
KR101896679B1 (ko) 악성코드 탐지장치 및 이의 악성코드 탐지방법
CN118233278A (zh) 过滤用于传输到远程设备的事件的系统和方法
CN112269990A (zh) 一种安全事件类型确定方法、设备、系统及存储介质
US20200252419A1 (en) Learning device, relearning necessity determination method, and relearning necessity determination program
CN111259391A (zh) 文件恶意评分方法、装置、设备及计算机可读存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19871423

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020549946

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19871423

Country of ref document: EP

Kind code of ref document: A1