WO2021149119A1 - 推定システム及び推定プログラム - Google Patents

推定システム及び推定プログラム Download PDF

Info

Publication number
WO2021149119A1
WO2021149119A1 PCT/JP2020/001781 JP2020001781W WO2021149119A1 WO 2021149119 A1 WO2021149119 A1 WO 2021149119A1 JP 2020001781 W JP2020001781 W JP 2020001781W WO 2021149119 A1 WO2021149119 A1 WO 2021149119A1
Authority
WO
WIPO (PCT)
Prior art keywords
attack
subtree
query
unit
type
Prior art date
Application number
PCT/JP2020/001781
Other languages
English (en)
French (fr)
Inventor
琴海 黒木
楊 鐘本
一史 青木
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to PCT/JP2020/001781 priority Critical patent/WO2021149119A1/ja
Priority to JP2021572968A priority patent/JP7424393B2/ja
Priority to US17/793,657 priority patent/US20230007020A1/en
Priority to PCT/JP2020/040152 priority patent/WO2021149317A1/ja
Publication of WO2021149119A1 publication Critical patent/WO2021149119A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/901—Indexing; Data structures therefor; Storage structures
    • G06F16/9027—Trees
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/953—Querying, e.g. by the use of web search engines
    • G06F16/9538—Presentation of query results
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web

Definitions

  • the present invention relates to an estimation system and an estimation program.
  • SQL injection is an attack that causes a Web server to execute an invalid SQL query.
  • SQL injection is one of the most numerous attacks on a web server because many web applications use a web server with a database and the attack itself is easy.
  • WAF Web Application Firewall
  • SVM Small Vector Machine
  • Patent Document 1 a technique for determining the success or failure of an SQL injection attack based on an emulation result and a response is known (see, for example, Patent Document 1).
  • Non-Patent Document 3 a technique for classifying and detecting an attack type of SQL injection using machine learning is known. Further, there is known a technique of classifying an attack type of SQL injection using a regular expression and further extracting a leaked character string from the payload of a response (see, for example, Non-Patent Document 4).
  • the conventional technology has a problem that it may be difficult to estimate the damage caused by SQL injection. Even if SQL injection can be detected, if it is unclear what kind of damage is expected when the attack is successful, it is possible that the details of countermeasures cannot be examined efficiently.
  • Non-Patent Document 1 and Non-Patent Document 2 it is difficult to identify how the detected SQL injection actually attacks. Further, although the success or failure of the attack can be determined by the technique described in Patent Document 1, it is difficult to specify the attack type, the type of damage, and the type of leaked information. Further, with the techniques described in Non-Patent Document 3 and Non-Patent Document 4, although the attack type can be specified, it is difficult to specify the type of leaked information.
  • the estimation system extracts the query inserted in the Web request detected as an attack from the extraction unit and the query extracted by the extraction unit.
  • a creation part that creates a syntax tree according to a predefined rule, and an assignment part that assigns a label to the subtree based on the result of executing a query corresponding to the subtree that is a part of the syntax tree. It is characterized by having an identification unit that identifies the type of damage caused by the attack by the Web request based on the label assigned by the granting unit.
  • FIG. 1 is a diagram showing a configuration example of an estimation system according to the first embodiment.
  • FIG. 2 is a diagram showing a configuration example of the estimation device.
  • FIG. 3 is a diagram showing an example of an attack query.
  • FIG. 4 is a diagram showing an example of an attack query.
  • FIG. 5 is a diagram showing an example of other attack queries.
  • FIG. 6 is a diagram showing an example of an attack query in which quotation marks and parentheses are completed.
  • FIG. 7 is a diagram showing an example of a method of completing quotation marks.
  • FIG. 8 is a diagram showing an example of a method of complementing parentheses.
  • FIG. 9 is a diagram illustrating details of the method of complementing parentheses.
  • FIG. 10 is a diagram showing a node legend.
  • FIG. 10 is a diagram showing a node legend.
  • FIG. 11 is a diagram showing an example of a syntax tree.
  • FIG. 12 is a diagram showing an example of a type node.
  • FIG. 13 is a diagram showing an example of a token node.
  • FIG. 14 is a diagram showing an example of a syntax tree conversion method.
  • FIG. 15 is a diagram showing an example of a semantic analysis rule.
  • FIG. 16 is a diagram showing an example of a subtree satisfying Rule 2.
  • FIG. 17 is a diagram showing an example of a subtree satisfying Rule 3.
  • FIG. 18 is a diagram showing an example of a subtree satisfying the rule 4.
  • FIG. 19 is a diagram showing an example of a subtree satisfying the rule 5.
  • FIG. 20 is a diagram showing an example of a subtree that satisfies the rule 6.
  • FIG. 20 is a diagram showing an example of a subtree that satisfies the rule 6.
  • FIG. 21 is a diagram showing an example of a subtree whose attack type is Boolean-based blind.
  • FIG. 22 is a diagram showing an example of a subtree whose attack type is Time-based blind.
  • FIG. 23 is a diagram showing an example of a subtree whose attack type is Union-based.
  • FIG. 24 is a diagram showing an example of a subtree whose attack type is Stacked queries.
  • FIG. 25 is a diagram showing an example of a rule for identifying a vulnerability investigation.
  • FIG. 26 is a diagram showing an example of a rule for identifying the leakage of system information.
  • FIG. 27 is a diagram showing an example of a rule for identifying the leakage of system information.
  • FIG. 22 is a diagram showing an example of a subtree whose attack type is Time-based blind.
  • FIG. 23 is a diagram showing an example of a subtree whose attack type is Union-based.
  • FIG. 24 is a diagram showing an example
  • FIG. 28 is a diagram showing an example of a rule for identifying leakage of table contents.
  • FIG. 29 is a diagram showing an example of a rule for identifying tampering.
  • FIG. 30 is a flowchart showing a processing flow of the estimation device.
  • FIG. 31 is a flowchart showing the flow of parenthesis completion processing.
  • FIG. 32 is a flowchart showing the flow of analysis processing.
  • FIG. 33 is a flowchart showing the flow of the identification process.
  • FIG. 34 is a diagram showing an example of a computer that executes an estimation program.
  • FIG. 1 is a diagram showing a configuration example of an estimation system according to the first embodiment.
  • the estimation system 1 includes a server 3, a detection device 4, and an estimation device 10. Further, the server 3 is connected to the Internet 2 via the detection device 4.
  • Server 3 is a web server for executing a web application.
  • the server 3 executes a database or a Web application that uses the database.
  • the server 3 receives a Web request via the Internet 2, executes a process according to the Web request, and returns a response.
  • the server 3 can construct an SQL query based on a predetermined query included in the Web request and execute the SQL query on the database.
  • the detection device 4 is a Web request sent via the Internet 2 and detects a Web request for the purpose of attacking the server 3.
  • the detection device 4 functions as a WAF and can perform detection using the technique described in Non-Patent Document 1.
  • the estimation device 10 estimates the damage that occurs when the server 3 executes the process according to the Web request based on the Web request detected by the detection device 4.
  • the estimation device 10 can estimate the content of damage caused by SQL injection.
  • FIG. 2 is a diagram showing a configuration example of the estimation device.
  • the estimation device 10 includes an interface unit 11, a storage unit 12, and a control unit 13.
  • the interface unit 11 is an interface for input / output of data and communication of data.
  • the interface unit 11 receives data input from an input device such as a keyboard and a mouse. Further, for example, the interface unit 11 outputs data to an output device such as a display and a speaker. Further, for example, the interface unit 11 may be a NIC (Network Interface Card).
  • NIC Network Interface Card
  • the storage unit 12 is a storage device for HDD (Hard Disk Drive), SSD (Solid State Drive), optical disk, and the like.
  • the storage unit 12 may be a semiconductor memory in which data such as RAM (Random Access Memory), flash memory, and NVSRAM (Non Volatile Static Random Access Memory) can be rewritten.
  • the storage unit 12 stores the OS (Operating System) and various programs executed by the estimation device 10.
  • the storage unit 12 stores the semantic analysis rule 121, the attack type identification rule 122, and the damage identification rule 123.
  • Semantic analysis rule 121 is a rule for performing a semantic analysis of an attack query.
  • the attack type identification rule 122 is a rule for identifying the type of attack by an attack query.
  • the damage identification rule 123 is a rule for identifying the damage that occurs due to an attack by an attack query.
  • the control unit 13 controls the entire estimation device 10.
  • the control unit 13 is, for example, an electronic circuit such as a CPU (Central Processing Unit) and an MPU (Micro Processing Unit), and an integrated circuit such as an ASIC (Application Specific Integrated Circuit) and an FPGA (Field Programmable Gate Array).
  • the control unit 13 has an internal memory for storing programs and control data that define various processing procedures, and executes each process using the internal memory.
  • the control unit 13 functions as various processing units by operating various programs.
  • the control unit 13 has an extraction unit 131, a complement unit 132, a creation unit 133, an addition unit 134, and an identification unit 135.
  • Extraction unit 131 extracts an attack query from a Web request that is detected as an attack.
  • the attack query is a query inserted in a Web request detected as an attack.
  • a SQL query generated based on an attack query may actually execute the attack.
  • An attack query may be paraphrased as "a query suspected of being used in an attack.”
  • FIGS. 3 and 4 are diagrams showing an example of an attack query.
  • the Web request of the GET method of FIG. 3 and the Web request of the POST method of FIG. 4 are Web requests detected by the detection device 4.
  • Complementary unit 132 adds quotation marks and parentheses to the attack query in order to facilitate parsing of the attack query.
  • FIG. 6 is a diagram showing an example of an attack query in which quotation marks and parentheses are completed.
  • the complementary unit 132 can complement various quotation marks, parentheses, and the like.
  • the quotation marks include single quotes "'", double quotes "" ", and back quotes" ⁇ ".
  • FIG. 7 is a diagram showing an example of a method of completing quotation marks. As shown in FIG. 7, when the attack query contains quotation marks, the completion unit 132 adds the same quotation marks as those included in the attack query before and after the attack query. On the other hand, if the attack query does not include quotation marks, the completion unit 132 does not complete the quotation marks.
  • FIG. 8 is a diagram showing an example of a method of complementing parentheses.
  • the completion unit 132 adds the corresponding parentheses before and after the attack query when the corresponding opposite parenthesis does not exist in the attack query among the parentheses included in the attack query. ..
  • the completion unit 132 considers that the part surrounded by the parenthesis is complete and does not complete the parenthesis.
  • FIG. 9 is a diagram illustrating details of the method of complementing parentheses.
  • the completion unit 132 extracts only the parentheses from the attack query.
  • the complementary unit 132 deletes the completed parentheses from the extracted parentheses.
  • two closing parentheses "())" remain as parentheses for which the corresponding parentheses do not exist, so the completion unit 132 adds two opening parentheses "((") to the beginning of the attack query. ..
  • the creation unit 133 creates a syntax tree from the attack query extracted by the extraction unit 131 according to a predefined rule. For example, the creation unit 133 creates a syntax tree having a first node representing the type of sentence included in the attack query extracted by the extraction unit 131 and a second node representing the character string included in the statement. .. In this way, the creation unit 133 parses the attack query and creates a syntax tree.
  • the first node and the second node are referred to as a type node and a token node, respectively.
  • the type node represents the type of statement contained in the attack query.
  • the token node represents a character string included in the statement.
  • FIG. 10 is a diagram showing a node legend.
  • the type node is represented by a quadrangle with rounded corners.
  • the token node is represented by a quadrangle divided into two areas by a partition.
  • the type of token is described in the area on the left side of the token node.
  • the token value is described in the area on the right side of the token node.
  • FIG. 11 is a diagram showing an example of a syntax tree.
  • “Sqli-query”, “statement”, and “condition” in FIG. 11 are examples of sentence types included in the attack query.
  • “STRING”, “SQL-WORD”, “NUMBER” and the like in FIG. 11 are examples of token types.
  • "'a'", “OR”, “1", etc. in FIG. 11 are examples of token values.
  • the creation unit 133 sets a second node as a character string included in the SQL syntax, which is classified into at least one of a word, an operator, a character string enclosed in quotation marks, a numerical value, a variable name, and a comment. Then, a syntax tree is created in which the combination of the types of the second node and matching the predefined grammar is set as the first node.
  • FIG. 12 is a diagram showing an example of a type node.
  • FIG. 12 shows the grammar for creating a syntax tree.
  • the creation unit 133 creates a type node according to the syntax shown in FIG. For example, the creation unit 133 selects the type node ⁇ statement> from the part of the attack query that matches the grammar " ⁇ items>
  • FIG. 13 is a diagram showing an example of a token node.
  • ⁇ SQL-WORD> is a word included in the SQL syntax, such as "SELECT" and "FROM”.
  • ⁇ NAME> is a variable name, a table name, or the like, and is an arbitrary character string or the like such as "abc" or "a1".
  • the token node may be described as ⁇ type: value>.
  • the token node is written as ⁇ SQL-WORD: SELECT>, ⁇ NAME: abc>, ⁇ STRING:'abc'>.
  • the granting unit 134 assigns a label to the subtree based on the result when the subquery corresponding to the subtree rooted at the first node is executed.
  • the granting unit 134 assigns a label to the subtree based on the result of executing the subquery corresponding to the subtree that is a part of the syntax tree. In this way, the granting unit 134 analyzes the meaning of the attack query and assigns a label.
  • the assigning unit 134 may convert the syntax tree before assigning the label.
  • FIG. 14 is a diagram showing an example of a syntax tree conversion method. As shown in FIG. 14, the granting unit 134 performs conversion based on the result of emulation for each subtree.
  • the granting unit 134 connects the tokens included in the subtree rooted at the type node near the end.
  • the giving unit 134 converts each subtree and gives a label according to the semantic analysis rule 121.
  • FIG. 15 is a diagram showing an example of a semantic analysis rule. Conditions (1) to (5) are as follows. (1) All child nodes of the root are token nodes. (2) There is an environment-dependent label in the subtree. (3) The emulation result is an error. (4) The emulation result is an error that the table etc. does not exist. (5) Refer to the existing table for the emulation result.
  • (1) and (2) can be said to be conditions related to the tree structure. Further, (3) to (5) can be said to be information regarding the emulation result. Further, ⁇ in FIG. 15 means that the condition is satisfied. Further,-in FIG. 15 means that the condition is not determined. Further, x in FIG. 15 means that the condition is not satisfied.
  • the granting unit 134 determines that rule 1 is satisfied. In this case, the imparting unit 134 does not perform conversion or label assignment.
  • FIG. 16 is a diagram showing an example of a subtree that satisfies Rule 2. If the condition (1) is satisfied and the conditions (2), (3), and (5) are not satisfied, the granting unit 134 determines that the rule 2 is satisfied. That is, in the granting unit 134, all the child nodes of the root are token nodes (condition (1), ⁇ ), there is no environment-dependent label in the subtree (condition (2), ⁇ ), and the emulation result is an error. If the emulation result does not refer to an existing table (condition (5), x) instead (condition (3), x), it is determined that rule 2 is satisfied. In this case, the granting unit 134 converts the subtree into an execution result. In the example of FIG. 16, the granting unit 134 converts the subtree rooted at the type node ⁇ function> into the token node ⁇ STRING:'a'>.
  • FIG. 17 is a diagram showing an example of a subtree that satisfies Rule 3. If the conditions (1) and (3) are satisfied and the conditions (2) and (4) are not satisfied, the granting unit 134 determines that the rule 3 is satisfied. That is, in the granting unit 134, all the child nodes of the root are token nodes (condition (1), ⁇ ), there is no environment-dependent label in the subtree (condition (2), ⁇ ), and the emulation result is an error. If (condition (3), ⁇ ) and the emulation result is not an error that the table or the like does not exist (condition (4), ⁇ ), it is determined that rule 3 is satisfied.
  • the granting unit 134 sets the character string of the partial query as the token node and assigns a label indicating an error.
  • the assigning unit 134 converts the subtree rooted at the type node ⁇ function> into the token node ⁇ QUERY: EXP (10000)> and assigns the label “ERROR”.
  • FIG. 18 is a diagram showing an example of a subtree that satisfies Rule 4. If the root of the subtree is the type node ⁇ function>, the number of child nodes is 3, the condition (1) is satisfied, and the condition (3) is not satisfied, the granting unit 134 satisfies the rule 4. Is determined. That is, in the granting unit 134, the root of the subtree is the type node ⁇ function>, the number of child nodes is 3, all the child nodes of the root are token nodes (condition (1), ⁇ ), and the emulation result. If is not an error (condition (3), ⁇ ), it is determined that rule 4 is satisfied.
  • the granting unit 134 uses the character string of the partial query as the token node and assigns a label representing the environment-dependent function.
  • the granting unit 134 converts the subtree rooted at the type node ⁇ function> into the token node ⁇ QUERY: VERSION ()> and assigns the label "environment-dependent function”.
  • FIG. 19 is a diagram showing an example of a subtree that satisfies Rule 5. If the conditions (1) and (5) are satisfied and the condition (2) is not satisfied, the granting unit 134 determines that the rule 5 is satisfied. That is, in the granting unit 134, all the child nodes of the root are token nodes (condition (1), ⁇ ), there is no environment-dependent label in the subtree (condition (2), ⁇ ), and the emulation result already exists. When referring to the table of (Condition (6), ⁇ ), it is determined that Rule 5 is satisfied. In this case, the granting unit 134 uses the character string of the partial query as the token node and assigns a label indicating access to the environment-dependent system table. In the example of FIG. 19, the granting unit 134 converts the subtree rooted at the type node ⁇ statement> into the token node ⁇ QUERY: SELECT * FROM sys.user> and assigns the label "environment-dependent system table". ..
  • FIG. 20 is a diagram showing an example of a subtree that satisfies Rule 6. If the conditions (1), (3), and (4) are satisfied and the condition (2) is not satisfied, the granting unit 134 determines that the rule 5 is satisfied. That is, in the granting unit 134, all the child nodes of the root are token nodes (condition (1), ⁇ ), there is no environment-dependent label in the subtree (condition (2), ⁇ ), and the emulation result is usually If the error is (condition (3), ⁇ ) and the error is an error in which a table or the like does not exist (condition (4), ⁇ ), it is determined that rule 6 is satisfied.
  • the granting unit 134 uses the character string of the partial query as the token node and assigns a label indicating access to the server-specific table.
  • the granting unit 134 converts the subtree rooted at the type node ⁇ statement> into the token node ⁇ QUERY: SELECT * FROM abc> and assigns the label “environment-dependent table”.
  • the granting unit 134 has a label indicating an error, a label indicating an environment-dependent function, a label indicating access to an environment-dependent system table, and a label indicating access to an environment-dependent server-specific table in the subtree. Either can be given.
  • the identification unit 135 identifies the type of damage caused by the attack caused by the Web request based on the label assigned by the granting unit 134.
  • the identification unit 135 identifies the type of attack by the Web request based on the label given by the granting unit 134.
  • the identification unit 135 identifies the attack type as the type of attack by the Web request, and among the tree structures.
  • the type of damage caused by the attack by the Web request is identified based on the label given to the subtree at the predetermined position.
  • FIG. 21 is a diagram showing an example of a subtree whose attack type is Boolean-based blind.
  • FIG. 22 is a diagram showing an example of a subtree whose attack type is Time-based blind.
  • FIG. 23 is a diagram showing an example of a subtree whose attack type is Union-based.
  • FIG. 24 is a diagram showing an example of a subtree whose attack type is Stacked queries.
  • the identification unit 135 identifies the type of damage caused by the attack based on the node or subtree at the position described as "damage identification target" in FIGS. 21 to 24. Such a node or subtree is called a damage identification target subtree.
  • the rules regarding the type of attack as shown in FIGS. 21 to 24 are stored in the storage unit 12 as the attack type identification rule 122.
  • FIG. 25 is a diagram showing an example of a rule for identifying a vulnerability investigation.
  • the identification unit 135 identifies the damage caused by the attack query including the damage identification target subtree as a vulnerability investigation.
  • Such an attack is characterized in that the output does not include information such as a specific environment-dependent character string.
  • 26 and 27 are diagrams showing an example of a rule for identifying the leakage of system information.
  • the identification unit 135 provides system information on the damage caused by the attack query including the damage identification target subtree. Identify as a leak.
  • Such an attack is characterized by executing a function that accesses a table for the system that exists by default and outputs system information.
  • FIG. 28 is a diagram showing an example of a rule for identifying leakage of table contents.
  • the identification unit 135 identifies the damage caused by the attack query including the damage identification target subtree as the leakage of the table contents.
  • Such an attack is characterized by leaking the contents of a server-specific table.
  • FIG. 29 is a diagram showing an example of a rule for identifying tampering.
  • the identification unit 135 identifies the damage of the attack by the attack query including the damage identification target subtree as falsification. Such an attack is characterized by rewriting the contents of the database.
  • the identification unit 135 identifies the type of damage as a vulnerability investigation, and attaches a label representing the environment-dependent function to the subtree or an environment-dependent system table. If a label indicating access is attached, the type of damage is identified as a leak of system information, and if a label indicating access to an environment-dependent server-specific table is attached to the subtree, the type of damage is shown in the table. Identify as leaked content. Further, it is assumed that the rule for identifying the damage as shown in FIGS. 25 to 29 is stored in the storage unit 12 as the damage identification rule 123.
  • FIG. 30 is a flowchart showing a processing flow of the estimation device.
  • the estimation device 10 complements the acquired attack query (step S10).
  • the estimation device 10 complements the parentheses (step S11).
  • the estimation device 10 performs a syntactic analysis (step S20).
  • step S21, Yes the estimation device 10 proceeds to step S30.
  • step S21, No the estimation device 10 proceeds to step S12.
  • the estimation device 10 repeats the process between steps S12 and S16 for each quotation mark included in the attack query. If the quotation marks are not included in the attack query (step S13, No), the estimator 10 returns to step S12 and repeats the process. On the other hand, when the quotation marks are included in the attack query (step S13, Yes), the estimation device 10 complements the quotation marks (step S14). Further, the estimation device 10 complements the parentheses (step S15).
  • the estimation device 10 performs a syntactic analysis after the completion is completed (step S22).
  • step S23, Yes the estimation device 10 proceeds to step S30.
  • step S23, No the estimation device 10 proceeds to step S16.
  • FIG. 31 is a flowchart showing the flow of parenthesis completion processing.
  • the estimation device 10 extracts all parentheses from the attack query (step S101).
  • the estimation device 10 deletes the closed parentheses "()" until there are no closed parentheses "()" in the extracted parenthesis string (steps S102, S103, S104).
  • the estimation device 10 adds open parentheses "(" to the beginning of the attack query by the number of closing parentheses ")" remaining in the extraction parenthesis string (step S105). Further, the estimation device 10 adds the opening parenthesis "(") to the extraction parenthesis string. Add the closing parenthesis "(" as many as the number of closing parentheses ")" remaining in the attack query (step S106).
  • FIG. 32 is a flowchart showing the flow of analysis processing. Here, it is assumed that the syntactic analysis and the semantic analysis are performed continuously.
  • the estimation device 10 iteratively processes all type nodes in order from the type node closest to the end (steps S201 and S210).
  • the estimation device 10 acquires a character string (partial query) in which tokens included in the subtree rooted at the selected type node are concatenated (step S202).
  • a character string partial query
  • the estimation device 10 proceeds to step S205.
  • the estimation device 10 adds "SELECT” to the beginning of the partial query (step S204). Further, the estimation device 10 adds ";" to the end of the additional query to execute emulation (step S205).
  • the estimation device 10 repeats the process of determining whether or not the conditions are met for each semantic analysis rule (steps S206, S207, S208). If the conditions are met (step S207, Yes), the estimation device 10 transforms the subtree according to the rule conversion method (step S209).
  • FIG. 33 is a flowchart showing the flow of the identification process.
  • the identification process may be performed, for example, after step S16 in FIG.
  • the estimation device 10 repeats the process between steps S301 and S310 for each attack type rule.
  • the estimation device 10 acquires a list of subtrees that match the tree structure specified in the rule (step S302). Here, the estimation device 10 repeats the process between steps S303 and S309 for each subtree in the list. The estimation device 10 extracts a subtree to be identified for damage according to the rules (step S304).
  • the estimation device 10 repeats the process of determining whether or not there is a subtree whose damage rule matches in the damage identification target subtree for each damage rule (steps S305, S306, S307). If the conditions are met (step S306, Yes), the estimation device 10 outputs the attack type and damage (step S308).
  • the extraction unit 131 of the estimation device 10 extracts the attack query inserted in the Web request detected as an attack.
  • the creation unit 133 creates a syntax tree from the attack query extracted by the extraction unit 131 according to a predefined rule.
  • the granting unit 134 assigns a label to the subtree based on the result of executing an attack query corresponding to the subtree that is a part of the syntax tree.
  • the identification unit 135 identifies the type of damage caused by the attack caused by the Web request based on the label given by the granting unit 134. In this way, the estimation device 10 identifies the type of damage from the attack query of the Web request. As a result, according to the present embodiment, it is possible to estimate the damage caused by SQL injection.
  • the creation unit 133 creates a syntax tree having a first node representing the type of the sentence included in the attack query extracted by the extraction unit 131 and a second node representing the character string included in the sentence. ..
  • the granting unit 134 assigns a label to the subtree based on the result when the attack query corresponding to the subtree rooted at the first node is executed.
  • the estimation device 10 generates a tree structure in which the sentence and the character string included in the sentence are nodes.
  • the damage can be estimated more accurately by clarifying the relationship between each character string included in the attack query.
  • the creation unit 133 sets a character string classified into at least one of a word, an operator, a character string enclosed in quotation marks, a numerical value, a variable name, and a comment included in the SQL syntax as a second node. Then, a syntax tree is created in which the combination of the types of the second node and matching the predefined grammar is set as the first node. In this way, the estimation device 10 creates a syntax tree that clarifies the role of each character string in the attack query in SQL. As a result, according to the present embodiment, the result of the attack can be estimated more accurately.
  • the identification unit 135 identifies the attack type as the type of attack by the Web request, and among the tree structures.
  • the type of damage caused by the attack by the Web request is identified based on the label given to the subtree at the predetermined position. In this way, the estimation device 10 identifies the attack type. As a result, according to the present embodiment, the damage caused by the attack query can be estimated more accurately.
  • the assigning unit 134 assigns a label indicating an error, a label indicating an environment-dependent function, a label indicating access to an environment-dependent system table, or a label indicating access to an environment-dependent server-specific table to the subtree. do.
  • the role of each part of the attack query can be clarified.
  • the identification unit 135 identifies the type of damage as a vulnerability investigation, and the subtree is labeled with an environment-dependent function or an access to an environment-dependent system table. If is given, the type of damage is identified as a leak of system information, and if the subtree is given a label indicating access to an environment-dependent server-specific table, the type of damage is called a leak of table contents. Identify. As described above, according to the present embodiment, the damage caused by the attack query can be classified in an easy-to-understand manner.
  • each component of each of the illustrated devices is a functional concept, and does not necessarily have to be physically configured as shown in the figure. That is, the specific form of distribution and integration of each device is not limited to the one shown in the figure, and all or part of the device may be functionally or physically dispersed or physically distributed in arbitrary units according to various loads and usage conditions. Can be integrated and configured. Further, each processing function performed by each device may be realized by a CPU and a program analyzed and executed by the CPU, or may be realized as hardware by wired logic.
  • the estimation device 10 can be implemented by installing an estimation program that executes the above estimation process as package software or online software on a desired computer.
  • the information processing device can function as the estimation device 10.
  • the information processing device referred to here includes a desktop type or notebook type personal computer.
  • information processing devices include smartphones, mobile communication terminals such as mobile phones and PHS (Personal Handyphone System), and slate terminals such as PDAs (Personal Digital Assistants).
  • the estimation device 10 can be implemented as an estimation server device in which the terminal device used by the user is a client and the service related to the above estimation processing is provided to the client.
  • the estimation server device is implemented as a server device that provides an estimation service that receives a Web request as an input and outputs an identification result of damage caused by an attack.
  • the estimation server device may be implemented as a Web server, or may be implemented as a cloud that provides services related to the above estimation processing by outsourcing.
  • FIG. 34 is a diagram showing an example of a computer that executes an estimation program.
  • the computer 1000 has, for example, a memory 1010 and a CPU 1020.
  • the computer 1000 also has a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. Each of these parts is connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012.
  • the ROM 1011 stores, for example, a boot program such as a BIOS (BASIC Input Output System).
  • BIOS BASIC Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1090.
  • the disk drive interface 1040 is connected to the disk drive 1100.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1100.
  • the serial port interface 1050 is connected to, for example, a mouse 1110 and a keyboard 1120.
  • the video adapter 1060 is connected to, for example, the display 1130.
  • the hard disk drive 1090 stores, for example, OS1091, application program 1092, program module 1093, and program data 1094. That is, the program that defines each process of the estimation device 10 is implemented as a program module 1093 in which a code that can be executed by a computer is described.
  • the program module 1093 is stored in, for example, the hard disk drive 1090.
  • a program module 1093 for executing a process similar to the functional configuration in the estimation device 10 is stored in the hard disk drive 1090.
  • the hard disk drive 1090 may be replaced by an SSD.
  • the setting data used in the processing of the above-described embodiment is stored as program data 1094 in, for example, a memory 1010 or a hard disk drive 1090. Then, the CPU 1020 reads the program module 1093 and the program data 1094 stored in the memory 1010 and the hard disk drive 1090 into the RAM 1012 as needed, and executes the processing of the above-described embodiment.
  • the program module 1093 and the program data 1094 are not limited to those stored in the hard disk drive 1090, but may be stored in, for example, a removable storage medium and read by the CPU 1020 via the disk drive 1100 or the like. Alternatively, the program module 1093 and the program data 1094 may be stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.). Then, the program module 1093 and the program data 1094 may be read by the CPU 1020 from another computer via the network interface 1070.
  • LAN Local Area Network
  • WAN Wide Area Network

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Databases & Information Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Data Mining & Analysis (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

推定装置（１０）の抽出部（１３１）は、攻撃であることが検知されたWebリクエストに挿入された攻撃クエリを抽出する。作成部（１３３）は、抽出部（１３１）によって抽出された攻撃クエリから、あらかじめ定義されたルールに従って構文木を作成する。付与部（１３４）は、構文木の一部である部分木に対応する部分クエリを実行した場合の結果を基に、部分木にラベルを付与する。識別部（１３５）は、付与部（１３４）によって付与されたラベルを基に、Webリクエストによる攻撃の被害の種類を識別する。

Description

推定システム及び推定プログラム
　本発明は、推定システム及び推定プログラムに関する。
　従来、SQLインジェクションの対策を行うための技術が知られている。ここで、SQLインジェクションは、Webサーバに不正なSQLクエリを実行させる攻撃である。SQLインジェクションは、データベースを備えたWebサーバを利用するWebアプリケーションが多いことや攻撃自体が容易なことから、Webサーバに対する攻撃の中でも特に数が多い。
　例えば、SQLインジェクションを検知する技術として、事前に用意した正規表現等のルールに一致するトラフィックを攻撃として検知又はブロックするWAF（Web Application Firewall）が知られている（例えば、非特許文献１を参照）。また、データベースで実行されるSQLクエリに対してSVM（Support Vector Machine）を適用して攻撃を検知する技術が知られている（例えば、非特許文献２を参照）。
　また、エミュレート結果とレスポンスに基づいて、SQLインジェクションの攻撃成否を判定する技術が知られている（例えば、特許文献１を参照）。
　また、機械学習を用いて、SQLインジェクションの攻撃タイプを分類し検知する技術が知られている（例えば、非特許文献３を参照）。また、正規表現を用いてSQLインジェクションの攻撃タイプを分類し、さらに、レスポンスのペイロードから漏洩した文字列を抽出する技術が知られている（例えば、非特許文献４を参照）。
国際公開第２０１９／０１３２６６号
OWASP ModSecurity Core Rule Set: https://coreruleset.org/ D. Kar, S. Panigrahi, and S. Sundararajan,　"SQLiGoT: Detecting SQL injection attacks using graph of tokens and SVM," Comput. Secur., vol.60, pp. 206-225, 2016. Naghmeh Moradpoor Sheykhkanloo,　"A Learning-based Neural Network Model for the Detection and Classification of SQL Injection Attacks," International Journal of Cyber Warfare and Terrorism (IJCWT), 2017. Haifeng Gu, Jianning Zhang, Tian Liu, Ming Hu, Junlong Zhou, Tongquan Wei and Mingsong Chen,　"DIAVA: A Traffic-Based Framework for Detection of SQL Injection Attacks and Vulnerability Analysis of Leaked Data," IEEE Transactions on Reliability, 2019.
　しかしながら、従来の技術には、SQLインジェクションによって発生する被害を推定することが困難な場合があるという問題がある。SQLインジェクションを検知できたとしても、その攻撃が成功した際にどのような被害が想定されるかが不明であれば、対策の内容等の検討を効率良く行うことができないことが考えられる。
　例えば、非特許文献１及び非特許文献２に記載された技術では、検知したSQLインジェクションが、実際にどういった方法で攻撃を行うかを識別することは困難である。また、特許文献１に記載の技術では、攻撃の成否は判定できるが、攻撃タイプ、被害の種類、及び漏洩した情報の種類を特定することは困難である。また、非特許文献３及び非特許文献４に記載された技術では、攻撃タイプは特定できるが、漏洩した情報の種類を特定することは困難である。
　上述した課題を解決し、目的を達成するために、推定システムは、攻撃であることが検知されたWebリクエストに挿入されたクエリを抽出する抽出部と、前記抽出部によって抽出されたクエリから、あらかじめ定義されたルールに従って構文木を作成する作成部と、前記構文木の一部である部分木に対応するクエリを実行した場合の結果を基に、前記部分木にラベルを付与する付与部と、前記付与部によって付与されたラベルを基に、前記Webリクエストによる攻撃の被害の種類を識別する識別部と、を有することを特徴とする。
　本発明によれば、SQLインジェクションによって発生する被害を推定することができる。
図１は、第１の実施形態に係る推定システムの構成例を示す図である。 図２は、推定装置の構成例を示す図である。 図３は、攻撃クエリの一例を示す図である。 図４は、攻撃クエリの一例を示す図である。 図５は、その他の攻撃クエリの例を示す図である。 図６は、引用符及び括弧が補完された攻撃クエリの例を示す図である。 図７は、引用符の補完方法の例を示す図である。 図８は、括弧の補完方法の例を示す図である。 図９は、括弧の補完方法の詳細を説明する図である。 図１０は、ノードの凡例を示す図である。 図１１は、構文木の一例を示す図である。 図１２は、typeノードの例を示す図である。 図１３は、tokenノードの例を示す図である。 図１４は、構文木の変換方法の一例を示す図である。 図１５は、意味解析ルールの例を示す図である。 図１６は、ルール２を充足する部分木の一例を示す図である。 図１７は、ルール３を充足する部分木の一例を示す図である。 図１８は、ルール４を充足する部分木の一例を示す図である。 図１９は、ルール５を充足する部分木の一例を示す図である。 図２０は、ルール６を充足する部分木の一例を示す図である。 図２１は、攻撃タイプがBoolean-based blindである部分木の一例を示す図である。 図２２は、攻撃タイプがTime-based blindである部分木の一例を示す図である。 図２３は、攻撃タイプがUnion-basedである部分木の一例を示す図である。 図２４は、攻撃タイプがStacked queriesである部分木の一例を示す図である。 図２５は、脆弱性の調査を識別するためのルールの一例を示す図である。 図２６は、システム情報の漏洩を識別するためのルールの一例を示す図である。 図２７は、システム情報の漏洩を識別するためのルールの一例を示す図である。 図２８は、テーブル内容の漏洩を識別するためのルールの一例を示す図である。 図２９は、改ざんを識別するためのルールの一例を示す図である。 図３０は、推定装置の処理の流れを示すフローチャートである。 図３１は、括弧の補完処理の流れを示すフローチャートである。 図３２は、解析処理の流れを示すフローチャートである。 図３３は、識別処理の流れを示すフローチャートである。 図３４は、推定プログラムを実行するコンピュータの一例を示す図である。
　以下に、本願に係る推定システム及び推定プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。
［第１の実施形態の構成］
　まず、図１を用いて、第１の実施形態に係る推定システムの構成について説明する。図１は、第１の実施形態に係る推定システムの構成例を示す図である。図１に示すように、推定システム１は、サーバ３、検知装置４及び推定装置１０を有する。また、サーバ３は、検知装置４を介してインターネット２に接続されている。
　サーバ３は、Webアプリケーションを実行するためのWebサーバである。サーバ３は、データベース、又はデータベースを利用するWebアプリケーションを実行する。サーバ３は、インターネット２を介してWebリクエストを受け付け、当該Webリクエストに従って処理を実行し、レスポンスを返す。ここで、サーバ３は、Webリクエストに含まれる所定のクエリを基にSQLクエリを構築し、データベースに対し当該SQLクエリを実行することができる。
　検知装置４は、インターネット２を介して送られてきたWebリクエストであって、サーバ３への攻撃を目的とするWebリクエストを検知する。例えば、検知装置４はWAFとして機能し、非特許文献１に記載の技術を使って検知を行うことができる。
　推定装置１０は、検知装置４によって検知されたWebリクエストに基づき、当該Webリクエストに従ってサーバ３が処理を実行した場合に発生する被害に関する推定を行う。特に、推定装置１０は、SQLインジェクションによって発生する被害の内容を推定することができる。
　図２を用いて、推定装置１０の構成について説明する。図２は、推定装置の構成例を示す図である。図２に示すように、推定装置１０は、インタフェース部１１、記憶部１２及び制御部１３を有する。
　インタフェース部１１は、データの入出力及びデータの通信を行うためのインタフェースである。例えば、インタフェース部１１は、キーボード及びマウス等の入力装置からデータの入力を受け付ける。また、例えば、インタフェース部１１は、ディスプレイ及びスピーカ等の出力装置にデータを出力する。また、例えば、インタフェース部１１はNIC（Network　Interface　Card）であってもよい。
　記憶部１２は、HDD（Hard　Disk　Drive）、SSD（Solid　State　Drive）、光ディスク等の記憶装置である。なお、記憶部１２は、RAM（Random　Access　Memory）、フラッシュメモリ、NVSRAM（Non　Volatile　Static　Random　Access　Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１２は、推定装置１０で実行されるOS（Operating　System）や各種プログラムを記憶する。記憶部１２は、意味解析ルール１２１、攻撃タイプ識別ルール１２２及び被害識別ルール１２３を記憶する。
　意味解析ルール１２１は、攻撃クエリの意味的な解析を行うためのルールである。攻撃タイプ識別ルール１２２は、攻撃クエリによる攻撃のタイプを識別するためのルールである。被害識別ルール１２３は、攻撃クエリによる攻撃にともない発生する被害を識別するためのルールである。
　制御部１３は、推定装置１０全体を制御する。制御部１３は、例えば、CPU（Central　Processing　Unit）、MPU（Micro　Processing　Unit）等の電子回路や、ASIC（Application　Specific　Integrated　Circuit）、FPGA（Field　Programmable　Gate　Array）等の集積回路である。また、制御部１３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１３は、抽出部１３１、補完部１３２、作成部１３３、付与部１３４及び識別部１３５を有する。
　抽出部１３１は、攻撃であることが検知されたWebリクエストから攻撃クエリを抽出する。ここで、攻撃クエリとは、攻撃であることが検知されたWebリクエストに挿入されたクエリである。例えば、攻撃クエリを基に生成されたSQLクエリが実際に攻撃を実行する場合がある。攻撃クエリは、「攻撃に利用されることが疑われるクエリ」のように言い換えられてもよい。
　図３及び図４は、攻撃クエリの一例を示す図である。図３のGETメソッドのWebリクエスト及び図４のPOSTメソッドのWebリクエストは、検知装置４によって検知されたWebリクエストである。例えば、図３及び図４に示すように、抽出部１３１は、Webリクエストの攻撃クエリ内の変数の値を抽出する。つまり、抽出部１３１は、図３に示すWebリクエストの「?」の後に現れる「id=」以降の文字列を攻撃クエリとして抽出する。また、抽出部１３１は、図４に示すWebリクエストの「?」の後に現れる「id=」以降であって、「&」より前の文字列を攻撃クエリとして抽出する。
　図３の例では、抽出部１３１は、「a' OR 1=1 --」を攻撃クエリとして抽出する。また、図４の例では、抽出部１３１は、「1 ;WAITFOR DELAY '0:0:5'--」を攻撃クエリとして抽出する。その他にも、抽出部１３１は、図５に示すような攻撃クエリを抽出する。また、抽出部１３１は、既存の正規表現等を用いて攻撃クエリを抽出してもよい。
　補完部１３２は、攻撃クエリの構文解析を容易にするため、攻撃クエリに掛けている引用符や括弧を追加する。図６は、引用符及び括弧が補完された攻撃クエリの例を示す図である。図６に示すように、補完部１３２は、各種の引用符及び丸括弧等を補完することができる。なお、引用符には、シングルクォート「'」、ダブルクォート「"」、バッククォート「`」等がある。
　図７は、引用符の補完方法の例を示す図である。図７に示すように、攻撃クエリに引用符が含まれている場合、補完部１３２は、攻撃クエリに含まれている引用符と同じ引用符を攻撃クエリの前後に追加する。一方、攻撃クエリに引用符が含まれていない場合、補完部１３２は引用符の補完を行わない。
　図８は、括弧の補完方法の例を示す図である。図８に示すように、補完部１３２は、攻撃クエリ内に含まれている括弧の中で、対応する反対の括弧が攻撃クエリ内に存在しない場合、対応する括弧を攻撃クエリの前後に追加する。一方、対応する括弧が攻撃クエリ内に存在する場合、補完部１３２は、当該括弧に囲まれた部分については、完結しているとみなし、括弧の補完を行わない。
　図９は、括弧の補完方法の詳細を説明する図である。図９に示すように、まず、補完部１３２は、攻撃クエリから括弧のみを抽出する。そして、補完部１３２は、抽出した括弧のうち、完結している括弧を削除していく。ここで、図９の例では、対応する括弧が存在しない括弧として２つの閉じ括弧「)　)」が残るので、補完部１３２は、攻撃クエリの先頭に２つの開き括弧「(　(」を追加する。
　作成部１３３は、抽出部１３１によって抽出された攻撃クエリから、あらかじめ定義されたルールに従って構文木を作成する。例えば、作成部１３３は、抽出部１３１によって抽出された攻撃クエリに含まれる文の種類を表す第１のノードと、文に含まれる文字列を表す第２のノードとを持つ構文木を作成する。このように、作成部１３３は、攻撃クエリの構文解析を行い、構文木を作成する。
　本実施形態では、第１のノード及び第２のノードを、それぞれtypeノード及びtokenノードと呼ぶ。typeノードは、攻撃クエリに含まれる文の種類を表す。また、tokenノードは、文に含まれる文字列を表す。
　図１０は、ノードの凡例を示す図である。以降の説明では、typeノードを角丸四角形で表す。また、tokenノードは、仕切りによって２つの領域に分けられた四角形で表す。tokenノードの左側の領域には、tokenの種類が記載される。また、tokenノードの右側の領域には、tokenの値が記載される。
　図１１は、構文木の一例を示す図である。図１１に示す構文木は、補完部１３２による補完が行われた攻撃クエリ「'a' OR 1=1 --'」から、作成部１３３が作成したものである。図１１の「sqli-query」、「statement」、「condition」は、攻撃クエリに含まれる文の種類の例である。また、図１１の「STRING」、「SQL-WORD」、「NUMBER」等は、tokenの種類の例である。また、図１１の「'a'」、「OR」、「1」等は、tokenの値の例である。
　例えば、作成部１３３は、SQLの構文に含まれる単語、演算子、引用符で囲まれた文字列、数値、変数名及びコメントの少なくともいずれかの種別に分類される文字列を第２のノードとし、第２のノードの種別の組み合わせであって、あらかじめ定義された文法に合致する組み合わせを第１のノードとする構文木を作成する。
　図１２は、typeノードの例を示す図である。図１２は、構文木を作成するための文法を示している。作成部１３３は、図１２に示す文法に従ってtypeノードを作成する。例えば、作成部１３３は、攻撃クエリのうち、「<items>　|　(<SQL-WORD>　[　<items>　[<NAME>]　]　)+」という文法に合致する部分から、typeノード<statement>をルートとする部分木を作成する。そして、作成部１３３は、<SQL-WORD>及び<NAME>に該当する文字列から、typeノード<statement>の下に位置するtokenノードを作成する。なお、<SQL-WORD>及び<NAME>は、tokenの種類である。なお、部分木には、単独のノードも含まれるものとする。
　図１３は、tokenノードの例を示す図である。図１３に示すように、<SQL-WORD>は、SQLの構文に含まれる単語であり、例えば「SELECT」、「FROM」等である。また、<NAME>は、変数名、テーブル名等であり、「abc」、「a1」のような任意の文字列等である。なお、以降の説明では、tokenノードを<種類：値>のように表記する場合がある。例えば、tokenノードを、<SQL-WORD:SELECT>、<NAME:abc>、<STRING:'abc'>のように表記する。
　付与部１３４は、第１のノードをルートとする部分木に対応する部分クエリを実行した場合の結果を基に、部分木にラベルを付与する。付与部１３４は、構文木の一部である部分木に対応する部分クエリを実行した場合の結果を基に、部分木にラベルを付与する。このように、付与部１３４は、攻撃クエリの意味解析を行い、ラベルを付与する。
　また、付与部１３４は、ラベルの付与を行う前に、構文木の変換を行ってもよい。図１４は、構文木の変換方法の一例を示す図である。図１４に示すように、付与部１３４は、部分木ごとのエミュレーションの結果を基に変換を行う。
　付与部１３４は、まず、末端に近いtypeノードをルートとする部分木に含まれるtokenを結合する。図１４の例では、付与部１３４は、typeノード<condition>をルートとする部分木に含まれるtokenノードの値「1」、「=」及び「1」を結合する。さらに、付与部１３４は、結合による得られた文字列の先頭に「SELECT」を追加し、末尾に「;」を追加する。
　このとき、付与部１３４は、「SELECT 1=1;」というSQLクエリを得る。ここで得られたSQLクエリ「SELECT 1=1;」は、部分クエリの一例である。つまり、部分クエリは、構文木全体から構成されるSQLクエリの一部である。「SELECT 1=1;」をエミュレータ上で実行すると「1」が得られるため、図１４に示すように、付与部１３４は、typeノード<condition>をルートとする部分木を、tokenノード<NUMBER:1>に変換する。このように、付与部１３４は、構文木を簡略化することができる。
　付与部１３４は、意味解析ルール１２１に従って各部分木の変換及びラベルの付与を行う。図１５は、意味解析ルールの例を示す図である。条件の（１）から（５）は、下記の通りである。
（１）ルートの子ノードが全てtokenノード。
（２）部分木内に環境依存のラベルが存在。
（３）エミュレーション結果がエラー。
（４）エミュレーション結果がテーブル等が存在しないエラー。
（５）エミュレーション結果が既存のテーブルを参照。
　（１）及び（２）は、木構造に関する条件ということができる。また、（３）から（５）は、エミュレーション結果に関する情報ということができる。また、図１５の○は、条件が満たされることを意味する。また、図１５の-は、条件の判定を行わないことを意味する。また、図１５の×は、条件が満たされないことを意味する。
　部分木のルートがtypeノード<statement>であり、ルートの親ノードがtypeノード<sqli-query>である場合、付与部１３４は、ルール１が充足されると判定する。この場合、付与部１３４は、変換及びラベルの付与を行わない。
　図１６は、ルール２を充足する部分木の一例を示す図である。条件（１）が満たされ、条件（２）、（３）、（５）が満たされない場合、付与部１３４は、ルール２が充足されると判定する。つまり、付与部１３４は、ルートの子ノードが全てtokenノードであり（条件（１）、○）、部分木内に環境依存のラベルが存在せず（条件（２）、×）、エミュレーション結果がエラーではなく（条件（３）、×）、エミュレーション結果が既存のテーブルを参照しない（条件（５）、×）場合、ルール２が充足されると判定する。この場合、付与部１３４は、部分木を実行結果に変換する。図１６の例では、付与部１３４は、typeノード<function>をルートとする部分木をtokenノード<STRING:'a'>に変換する。
　図１７は、ルール３を充足する部分木の一例を示す図である。条件（１）、（３）が満たされ、条件（２）、（４）が満たされない場合、付与部１３４は、ルール３が充足されると判定する。つまり、付与部１３４は、ルートの子ノードが全てtokenノードであり（条件（１）、○）、部分木内に環境依存のラベルが存在せず（条件（２）、×）、エミュレーション結果がエラーであり（条件（３）、○）、エミュレーション結果がテーブル等が存在しないエラーではない（条件（４）、×）、場合、ルール３が充足されると判定する。この場合、付与部１３４は、部分クエリの文字列をtokenノードとし、エラーを表すラベルを付与する。図１７の例では、付与部１３４は、typeノード<function>をルートとする部分木をtokenノード<QUERY:EXP(10000)>に変換し、ラベル「ERROR」を付与する。
　図１８は、ルール４を充足する部分木の一例を示す図である。部分木のルートがtypeノード<function>であり、子ノードの数が３であり、条件（１）が満たされ、条件（３）が満たされない場合、付与部１３４は、ルール４が充足されると判定する。つまり、付与部１３４は、部分木のルートがtypeノード<function>であり、子ノードの数が３であり、ルートの子ノードが全てtokenノードであり（条件（１）、○）、エミュレーション結果がエラーではない（条件（３）、×）場合、ルール４が充足されると判定する。この場合、付与部１３４は、部分クエリの文字列をtokenノードとし、環境依存関数を表すラベルを付与する。図１８の例では、付与部１３４は、typeノード<function>をルートとする部分木をtokenノード<QUERY:VERSION()>に変換し、ラベル「環境依存関数」を付与する。
　図１９は、ルール５を充足する部分木の一例を示す図である。条件（１）、（５）が満たされ、条件（２）が満たされない場合、付与部１３４は、ルール５が充足されると判定する。つまり、付与部１３４は、ルートの子ノードが全てtokenノードであり（条件（１）、○）、部分木内に環境依存のラベルが存在せず（条件（２）、×）、エミュレーション結果が既存のテーブルを参照する（条件（６）、×）場合、ルール５が充足されると判定する。この場合、付与部１３４は、部分クエリの文字列をtokenノードとし、環境依存のシステムテーブルへのアクセスを表すラベルを付与する。図１９の例では、付与部１３４は、typeノード<statement>をルートとする部分木をtokenノード<QUERY: SELECT * FROM sys.user>に変換し、ラベル「環境依存のシステムテーブル」を付与する。
　図２０は、ルール６を充足する部分木の一例を示す図である。条件（１）、（３）、（４）が満たされ、条件（２）が満たされない場合、付与部１３４は、ルール５が充足されると判定する。つまり、付与部１３４は、ルートの子ノードが全てtokenノードであり（条件（１）、○）、部分木内に環境依存のラベルが存在せず（条件（２）、×）、エミュレーション結果が通常のエラーであり（条件（３）、○）、そのエラーがテーブル等が存在しないエラーである（条件（４）、○）場合、ルール６が充足されると判定する。この場合、付与部１３４は、部分クエリの文字列をtokenノードとし、サーバ固有のテーブルへのアクセスを表すラベルを付与する。図２０の例では、付与部１３４は、typeノード< statement>をルートとする部分木をtokenノード<QUERY: SELECT * FROM abc>に変換し、ラベル「環境依存テーブル」を付与する。
　このように、付与部１３４は、部分木に、エラーを表すラベル、環境依存関数を表すラベル、環境依存のシステムテーブルへのアクセスを表すラベル、環境依存のサーバ固有テーブルへのアクセスを表すラベルのいずれかを付与することができる。
　識別部１３５は、付与部１３４によって付与されたラベルを基に、Webリクエストによる攻撃の被害の種類を識別する。識別部１３５は、付与部１３４によって付与されたラベルを基に、Webリクエストによる攻撃のタイプを識別する。
　識別部１３５は、構文木の少なくとも一部が、あらかじめ攻撃のタイプと対応付けられた木構造と一致する場合、当該攻撃のタイプを、Webリクエストによる攻撃のタイプとして識別し、当該木構造のうちあらかじめ指定された位置にある部分木に付与されたラベルを基に、Webリクエストによる攻撃の被害の種類を識別する。
　図２１は、攻撃タイプがBoolean-based blindである部分木の一例を示す図である。図２２は、攻撃タイプがTime-based blindである部分木の一例を示す図である。図２３は、攻撃タイプがUnion-basedである部分木の一例を示す図である。図２４は、攻撃タイプがStacked queriesである部分木の一例を示す図である。また、識別部１３５は、図２１から図２４における「被害識別対象」と記載された位置にあるノード又は部分木を基に、攻撃による被害の種類を識別する。このようなノード又は部分木を、被害識別対象部分木と呼ぶ。また、図２１から図２４に示すような攻撃のタイプに関するルールは、攻撃タイプ識別ルール１２２として記憶部１２に格納されているものとする。
　図２５は、脆弱性の調査を識別するためのルールの一例を示す図である。識別部１３５は、被害識別対象部分木に環境依存ラベルが付与されていない場合、当該被害識別対象部分木を含む攻撃クエリによる攻撃の被害を、脆弱性の調査と識別する。このような攻撃には、出力に環境依存の特定の文字列等の情報を含まないという特徴がある。
　図２６及び図２７は、システム情報の漏洩を識別するためのルールの一例を示す図である。識別部１３５は、被害識別対象部分木にラベル「環境依存関数」又はラベル「環境依存システムテーブル」が付与されている場合、当該被害識別対象部分木を含む攻撃クエリによる攻撃の被害を、システム情報の漏洩と識別する。このような攻撃には、デフォルトで存在するシステム用のテーブルへのアクセスやシステム情報を出力する関数を実行するという特徴がある。
　図２８は、テーブル内容の漏洩を識別するためのルールの一例を示す図である。識別部１３５は、被害識別対象部分木にラベル「環境依存テーブル」が付与されている場合、当該被害識別対象部分木を含む攻撃クエリによる攻撃の被害を、テーブル内容の漏洩と識別する。このような攻撃には、サーバ固有のテーブルの内容を漏洩させるという特徴がある。
　図２９は、改ざんを識別するためのルールの一例を示す図である。識別部１３５は、被害識別対象部分木がtokenノード<SQL-WORD:DROP>である場合、当該被害識別対象部分木を含む攻撃クエリによる攻撃の被害を、改ざんと識別する。このような攻撃には、データベースの内容を書き換えるという特徴がある。
　このように、識別部１３５は、部分木にラベルが付与されていない場合、被害の種類を脆弱性の調査と識別し、部分木に環境依存関数を表すラベル、又は環境依存のシステムテーブルへのアクセスを表すラベルが付与されている場合、被害の種類をシステム情報の漏洩と識別し、部分木に環境依存のサーバ固有テーブルへのアクセスを表すラベルが付与されている場合、被害の種類をテーブル内容の漏洩と識別する。また、図２５から図２９に示すような被害を識別するためのルールは、被害識別ルール１２３として記憶部１２に格納されているものとする。
［処理の流れ］
　図３０は、推定装置の処理の流れを示すフローチャートである。図３０に示すように、まず、推定装置１０は、取得した攻撃クエリの補完を行う（ステップＳ１０）。推定装置１０は、括弧の補完を行う（ステップＳ１１）。そして、推定装置１０は、構文解析を行う（ステップＳ２０）。ここで、構文解析が可能であった場合（ステップＳ２１、Ｙｅｓ）、推定装置１０は、ステップＳ３０へ進む。一方、構文解析が可能でなかった場合（ステップＳ２１、Ｎｏ）、推定装置１０は、ステップＳ１２へ進む。
　推定装置１０は、攻撃クエリに含まれる各引用符について、ステップＳ１２とステップＳ１６の間の処理を繰り返す。引用符が攻撃クエリに含まれない場合（ステップＳ１３、Ｎｏ）、推定装置１０は、ステップＳ１２に戻り、処理を繰り返す。一方、引用符が攻撃クエリに含まれる場合（ステップＳ１３、Ｙｅｓ）、推定装置１０は、引用符の補完を行う（ステップＳ１４）。さらに、推定装置１０は、括弧の補完を行う（ステップＳ１５）。
　さらに、推定装置１０は、補完が終わった後、構文解析を行う（ステップＳ２２）。ここで、構文解析が可能であった場合（ステップＳ２３、Ｙｅｓ）、推定装置１０は、ステップＳ３０へ進む。一方、構文解析が可能でなかった場合（ステップＳ２３、Ｎｏ）、推定装置１０は、ステップＳ１６へ進む。
　図３１を用いて、括弧の補完処理（図３０のステップＳ１１、Ｓ１５）の流れを説明する。図３１は、括弧の補完処理の流れを示すフローチャートである。まず、推定装置１０は、攻撃クエリから括弧を全て抽出する（ステップＳ１０１）。ここで、推定装置１０は、抽出した括弧列の中に閉じた括弧"()"がなくなるまで、閉じた括弧"()"を削除する（ステップＳ１０２、Ｓ１０３、Ｓ１０４）。
　そして、推定装置１０は、抽出括弧列中に残った閉じ括弧")"の数だけ攻撃クエリの先頭に開き括弧"("を追加する（ステップＳ１０５）。また、推定装置１０は、抽出括弧列中に残った開き括弧"("の数だけ攻撃クエリの末尾に閉じ括弧")"を追加する（ステップＳ１０６）。
　図３２を用いて、解析処理（図３０のステップＳ２０、Ｓ２２、３０）の流れを説明する。図３２は、解析処理の流れを示すフローチャートである。ここでは、構文解析と意味解析が連続して行われるものとして説明する。推定装置１０は、末端に近いtypeノードから順に全てのtypeノードに対して繰り返し処理を行う（ステップＳ２０１、Ｓ２１０）。
　推定装置１０は、選択したtypeノードをルートとする部分木に含まれるtokenを連結した文字列（部分クエリ）を取得する（ステップＳ２０２）。ここで、部分クエリの先頭が"SELECT"である場合（ステップＳ２０３、Ｙｅｓ）、推定装置１０はステップＳ２０５へ進む。一方、部分クエリの先頭が"SELECT"でない場合（ステップＳ２０３、Ｎｏ）、推定装置１０は部分クエリの先頭に"SELECT"を追加する（ステップＳ２０４）。さらに、推定装置１０は、追加クエリの末尾に";"を追加してエミュレーションを実行する（ステップＳ２０５）。
　ここで、推定装置１０は、各意味解析ルールに対して、条件に一致するか否かを判定する処理を繰り返す（ステップＳ２０６、Ｓ２０７、Ｓ２０８）。条件に一致した場合（ステップＳ２０７、Ｙｅｓ）、推定装置１０は、ルールの変換方法に従って部分木を変換する（ステップＳ２０９）。
　図３３を用いて、識別処理の流れを説明する。図３３は、識別処理の流れを示すフローチャートである。識別処理は、例えば、図３０のステップＳ１６の後に行われてもよい。推定装置１０は、各攻撃タイプルールに対して、ステップＳ３０１とステップＳ３１０の間の処理を繰り返す。
　推定装置１０は、ルールに指定された木構造に一致する部分木のリストを取得する（ステップＳ３０２）。ここで、推定装置１０は、リスト内の各部分木に対して、ステップＳ３０３とステップＳ３０９の間の処理を繰り返す。推定装置１０は、ルールに従って被害識別対象の部分木を抽出する（ステップＳ３０４）。
　ここで、推定装置１０は、各被害ルールに対して、被害識別対象部分木内に被害ルールが一致する部分木が存在するか否かを判定する処理を繰り返す（ステップＳ３０５、Ｓ３０６、Ｓ３０７）。条件に一致した場合（ステップＳ３０６、Ｙｅｓ）、推定装置１０は、攻撃タイプと被害を出力する（ステップＳ３０８）。
［第１の実施形態の効果］
　これまで説明してきたように、推定装置１０の抽出部１３１は、攻撃であることが検知されたWebリクエストに挿入された攻撃クエリを抽出する。作成部１３３は、抽出部１３１によって抽出された攻撃クエリから、あらかじめ定義されたルールに従って構文木を作成する。付与部１３４は、構文木の一部である部分木に対応する攻撃クエリを実行した場合の結果を基に、部分木にラベルを付与する。識別部１３５は、付与部１３４によって付与されたラベルを基に、Webリクエストによる攻撃の被害の種類を識別する。このように、推定装置１０は、Webリクエストの攻撃クエリから被害の種類を識別する。その結果、本実施形態によれば、SQLインジェクションによって発生する被害を推定することができる。
　また、作成部１３３は、抽出部１３１によって抽出された攻撃クエリに含まれる文の種類を表す第１のノードと、文に含まれる文字列を表す第２のノードとを持つ構文木を作成する。付与部１３４は、第１のノードをルートとする部分木に対応する攻撃クエリを実行した場合の結果を基に、部分木にラベルを付与する。このように、推定装置１０は、文と文に含まれる文字列をノードとする木構造を生成する。その結果、本実施形態によれば、攻撃クエリに含まれる各文字列間の関係を明確にすることで、被害をより正確に推定することができる。
　また、作成部１３３は、SQLの構文に含まれる単語、演算子、引用符で囲まれた文字列、数値、変数名及びコメントの少なくともいずれかの種別に分類される文字列を第２のノードとし、第２のノードの種別の組み合わせであって、あらかじめ定義された文法に合致する組み合わせを第１のノードとする構文木を作成する。このように、推定装置１０は、攻撃クエリの各文字列の、SQLにおける役割が明確になるような構文木を作成する。その結果、本実施形態によれば、攻撃の結果をより正確に推定することができる。
　識別部１３５は、構文木の少なくとも一部が、あらかじめ攻撃のタイプと対応付けられた木構造と一致する場合、当該攻撃のタイプを、Webリクエストによる攻撃のタイプとして識別し、当該木構造のうちあらかじめ指定された位置にある部分木に付与されたラベルを基に、Webリクエストによる攻撃の被害の種類を識別する。このように、推定装置１０は、攻撃タイプを識別する。これにより、本実施形態によれば、攻撃クエリによる被害をより正確に推定することができる。
　付与部１３４は、部分木に、エラーを表すラベル、環境依存関数を表すラベル、環境依存のシステムテーブルへのアクセスを表すラベル、環境依存のサーバ固有テーブルへのアクセスを表すラベルのいずれかを付与する。このように、本実施形態によれば、攻撃クエリの各部分の役割を明確化することができる。
　識別部１３５は、部分木にラベルが付与されていない場合、被害の種類を脆弱性の調査と識別し、部分木に環境依存関数を表すラベル、又は環境依存のシステムテーブルへのアクセスを表すラベルが付与されている場合、被害の種類をシステム情報の漏洩と識別し、部分木に環境依存のサーバ固有テーブルへのアクセスを表すラベルが付与されている場合、被害の種類をテーブル内容の漏洩と識別する。このように、本実施形態によれば、攻撃クエリによる被害を分かりやすく分類することができる。
［システム構成等］
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散及び統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、CPU及び当該CPUにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
　また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
［プログラム］
　一実施形態として、推定装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の推定処理を実行する推定プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の推定プログラムを情報処理装置に実行させることにより、情報処理装置を推定装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やPHS（Personal　Handyphone　System）等の移動体通信端末、さらには、PDA（Personal　Digital　Assistant）等のスレート端末等がその範疇に含まれる。
　また、推定装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の推定処理に関するサービスを提供する推定サーバ装置として実装することもできる。例えば、推定サーバ装置は、Webリクエストを入力とし、攻撃による被害の識別結果を出力とする推定サービスを提供するサーバ装置として実装される。この場合、推定サーバ装置は、Webサーバとして実装することとしてもよいし、アウトソーシングによって上記の推定処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。
　図３４は、推定プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、CPU１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
　メモリ１０１０は、ROM（Read　Only　Memory）１０１１及びRAM１０１２を含む。ROM１０１１は、例えば、BIOS（BASIC　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
　ハードディスクドライブ１０９０は、例えば、OS１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、推定装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、推定装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、SSDにより代替されてもよい。
　また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、CPU１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてRAM１０１２に読み出して、上述した実施形態の処理を実行する。
　なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してCPU１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（LAN（Local　Area　Network）、WAN（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してCPU１０２０によって読み出されてもよい。
　１　推定システム
　２　インターネット
　３　サーバ
　４　検知装置
　１０　推定装置
　１１　インタフェース部
　１２　記憶部
　１３　制御部
　１２１　意味解析ルール
　１２２　攻撃タイプ識別ルール
　１２３　被害識別ルール
　１３１　抽出部
　１３２　補完部
　１３３　作成部
　１３４　付与部
　１３５　識別部

Claims (7)

  1. 　攻撃であることが検知されたWebリクエストに挿入されたクエリを抽出する抽出部と、
    　前記抽出部によって抽出されたクエリから、あらかじめ定義されたルールに従って構文木を作成する作成部と、
    　前記構文木の一部である部分木に対応するクエリを実行した場合の結果を基に、前記部分木にラベルを付与する付与部と、
    　前記付与部によって付与されたラベルを基に、前記Webリクエストによる攻撃の被害の種類を識別する識別部と、
    　を有することを特徴とする推定システム。
  2. 　前記作成部は、前記抽出部によって抽出されたクエリに含まれる文の種類を表す第１のノードと、前記文に含まれる文字列を表す第２のノードとを持つ構文木を作成し、
    　前記付与部は、前記第１のノードをルートとする部分木に対応するクエリを実行した場合の結果を基に、前記部分木にラベルを付与することを特徴とする請求項１に記載の推定システム。
  3. 　前記作成部は、SQLの構文に含まれる単語、演算子、引用符で囲まれた文字列、数値、変数名及びコメントの少なくともいずれかの種別に分類される文字列を前記第２のノードとし、前記第２のノードの種別の組み合わせであって、あらかじめ定義された文法に合致する組み合わせを前記第１のノードとする構文木を作成することを特徴とする請求項２に記載の推定システム。
  4. 　前記識別部は、前記構文木の少なくとも一部が、あらかじめ攻撃のタイプと対応付けられた木構造と一致する場合、当該攻撃のタイプを、前記Webリクエストによる攻撃のタイプとして識別し、当該木構造のうちあらかじめ指定された位置にある部分木に付与されたラベルを基に、前記Webリクエストによる攻撃の被害の種類を識別することを特徴とする請求項１に記載の推定システム。
  5. 　前記付与部は、前記部分木に、エラーを表すラベル、環境依存関数を表すラベル、環境依存のシステムテーブルへのアクセスを表すラベル、環境依存のサーバ固有テーブルへのアクセスを表すラベルのいずれかを付与することを特徴とする請求項１に記載の推定システム。
  6. 　前記識別部は、部分木にラベルが付与されていない場合、被害の種類を脆弱性の調査と識別し、部分木に環境依存関数を表すラベル、又は環境依存のシステムテーブルへのアクセスを表すラベルが付与されている場合、被害の種類をシステム情報の漏洩と識別し、部分木に環境依存のサーバ固有テーブルへのアクセスを表すラベルが付与されている場合、被害の種類をテーブル内容の漏洩と識別することを特徴とする請求項５に記載の推定システム。
  7. 　攻撃であることが検知されたWebリクエストに挿入されたクエリを抽出する抽出ステップと、
    　前記抽出ステップによって抽出されたクエリから、あらかじめ定義されたルールに従って構文木を作成する作成ステップと、
    　前記構文木の一部である部分木に対応するクエリを実行した場合の結果を基に、前記部分木にラベルを付与する付与ステップと、
    　前記付与ステップによって付与されたラベルを基に、前記Webリクエストによる攻撃の被害の種類を識別する識別ステップと、
    　をコンピュータに実行させることを特徴とする推定プログラム。
PCT/JP2020/001781 2020-01-20 2020-01-20 推定システム及び推定プログラム WO2021149119A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
PCT/JP2020/001781 WO2021149119A1 (ja) 2020-01-20 2020-01-20 推定システム及び推定プログラム
JP2021572968A JP7424393B2 (ja) 2020-01-20 2020-10-26 推定システム、推定方法及び推定プログラム
US17/793,657 US20230007020A1 (en) 2020-01-20 2020-10-26 Estimation system, estimation method, and estimation program
PCT/JP2020/040152 WO2021149317A1 (ja) 2020-01-20 2020-10-26 推定システム、推定方法及び推定プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/001781 WO2021149119A1 (ja) 2020-01-20 2020-01-20 推定システム及び推定プログラム

Publications (1)

Publication Number Publication Date
WO2021149119A1 true WO2021149119A1 (ja) 2021-07-29

Family

ID=76992126

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/JP2020/001781 WO2021149119A1 (ja) 2020-01-20 2020-01-20 推定システム及び推定プログラム
PCT/JP2020/040152 WO2021149317A1 (ja) 2020-01-20 2020-10-26 推定システム、推定方法及び推定プログラム

Family Applications After (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/040152 WO2021149317A1 (ja) 2020-01-20 2020-10-26 推定システム、推定方法及び推定プログラム

Country Status (3)

Country Link
US (1) US20230007020A1 (ja)
JP (1) JP7424393B2 (ja)
WO (2) WO2021149119A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012043344A (ja) * 2010-08-23 2012-03-01 Canon Inc 情報処理装置、情報処理方法、及びプログラム
US20150205951A1 (en) * 2014-01-20 2015-07-23 Prevoty, Inc. Systems and methods for sql query constraint solving
WO2019225216A1 (ja) * 2018-05-21 2019-11-28 日本電信電話株式会社 判定方法、判定装置および判定プログラム

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080047009A1 (en) * 2006-07-20 2008-02-21 Kevin Overcash System and method of securing networks against applications threats
KR101436874B1 (ko) * 2013-10-18 2014-09-11 한국전자통신연구원 침입 탐지 시스템의 탐지 성능 향상 장치 및 방법
EP3637292B1 (en) * 2017-07-12 2022-08-31 Nippon Telegraph and Telephone Corporation Determination device, determination method, and determination program
US10637887B2 (en) 2017-12-29 2020-04-28 Cyphort Inc. System for query injection detection using abstract syntax trees

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012043344A (ja) * 2010-08-23 2012-03-01 Canon Inc 情報処理装置、情報処理方法、及びプログラム
US20150205951A1 (en) * 2014-01-20 2015-07-23 Prevoty, Inc. Systems and methods for sql query constraint solving
WO2019225216A1 (ja) * 2018-05-21 2019-11-28 日本電信電話株式会社 判定方法、判定装置および判定プログラム

Also Published As

Publication number Publication date
JPWO2021149317A1 (ja) 2021-07-29
WO2021149317A1 (ja) 2021-07-29
JP7424393B2 (ja) 2024-01-30
US20230007020A1 (en) 2023-01-05

Similar Documents

Publication Publication Date Title
US10073974B2 (en) Generating containers for applications utilizing reduced sets of libraries based on risk analysis
US11650905B2 (en) Testing source code changes
US20180121320A1 (en) Analysis to check web api code usage and specification
WO2021076377A1 (en) Networking device configuration value persistence
US10042654B2 (en) Computer-based distribution of large sets of regular expressions to a fixed number of state machine engines for products and services
US9244679B1 (en) Systems and methods for automatically identifying changes in deliverable files
US20200285716A1 (en) Detection and monitoring of software license terms and conditions
US10339320B2 (en) Applying machine learning techniques to discover security impacts of application programming interfaces
US20230262096A1 (en) Hardening of cloud security policies
JP6557334B2 (ja) アクセス分類装置、アクセス分類方法、及びアクセス分類プログラム
US11783047B1 (en) Vulnerability inference for identifying vulnerable processes
US10579799B2 (en) System and method for execution of objects lacking rules of interpretation
US20160098563A1 (en) Signatures for software components
US11620179B1 (en) Method, apparatus, device, storage medium and program product for log information processing
JP2016099857A (ja) 不正プログラム対策システムおよび不正プログラム対策方法
US20150286947A1 (en) Graph syntax validation system and method
Lin et al. Gui test transfer from web to android
WO2021149119A1 (ja) 推定システム及び推定プログラム
WO2022195848A1 (ja) 分析条件生成装置、分析システム、分析条件生成プログラム、分析プログラム、分析条件生成方法、及び分析方法
Urbanska et al. Structuring a vulnerability description for comprehensive single system security analysis
WO2021166271A1 (ja) 解析装置、解析方法及び解析プログラム
JPWO2018131200A1 (ja) 解析装置、解析方法及び解析プログラム
RU2697951C2 (ru) Система и способ прекращения работы функционально ограниченного приложения, взаимосвязанного с веб-сайтом, запускаемого без установки
KR20200113831A (ko) 컴포넌트 개발 장치 및 방법
WO2024139849A1 (zh) 一种用于生成漏洞挖掘模型的平台及相关方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20915550

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20915550

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP