(57)【要約】【課題】悪性サイトリストの正確性および網羅性を向上させることを可能にした悪性サイト検出装置を提供する。【解決手段】情報端末がネットワーク上のＷｅｂサイトにアクセスした履歴であるサイトアクセス情報、および既知の悪性サイトが掲載されたリストである既知悪性サイトリストを記憶する記憶部と、記憶部が記憶するサイトアクセス情報から、情報端末が既知の悪性サイトにアクセスした前後の所定の時間内にアクセスしたサイトを抽出し、抽出したサイトを疑悪性サイトとするサイトアクセス情報収集部と、サイトアクセス情報収集部が抽出した疑悪性サイトに悪性度を表すスコアを付与するスコア計算部と、スコア計算部が付与したスコアが予め設定された閾値を超える疑悪性サイトを未知の悪性サイトと判定し、未知の悪性サイトを既知悪性サイトリストに追加する悪性リスト更新部と、を有する。【選択図】図１
2014160376.tif 000002
【特許請求の範囲】
【請求項１】
情報端末がネットワーク上のＷｅｂサイトにアクセスした履歴であるサイトアクセス情報、および既知の悪性サイトが掲載されたリストである既知悪性サイトリストを記憶する記憶部と、
前記記憶部が記憶するサイトアクセス情報から、前記情報端末が前記既知の悪性サイトにアクセスした前後の所定の時間内にアクセスしたサイトを抽出し、抽出したサイトを疑悪性サイトとするサイトアクセス情報収集部と、
前記サイトアクセス情報収集部が抽出した疑悪性サイトに悪性度を表すスコアを付与するスコア計算部と、
前記スコア計算部が付与したスコアが予め設定された閾値を超える疑悪性サイトを未知の悪性サイトと判定し、該未知の悪性サイトを前記既知悪性サイトリストに追加する悪性リスト更新部と、
を有する悪性サイト検出装置。
【請求項２】
請求項１記載の悪性サイト検出装置において、
前記スコア計算部は、
前記サイトアクセス情報収集部が抽出した前記疑悪性サイトに所定の値のスコアを付与し、前記所定の時間内に、前記既知悪性サイトリストに掲載されていないサイトである非悪性サイトへのアクセスがある場合、該非悪性サイトへのアクセスがない場合に比べて、該スコアを小さくする、悪性サイト検出装置。
【請求項３】
請求項２記載の悪性サイト検出装置において、
前記スコア計算部は、
前記疑悪性サイトのスコアについて、前記所定の時間内にアクセスした前記既知の悪性サイトの数が多いほど該スコアの増加を大きくし、該所定の時間内にアクセスした前記非悪性サイトの数が多いほど該スコアの増加を小さくする、悪性サイト検出装置。
【請求項４】
請求項２または３記載の悪性サイト検出装置において、
前記スコア計算部は、
前記疑悪性サイトおよび前記所定の時間内にアクセスされた前記既知の悪性サイトの２つのサイトについて、該２つのサイトのアクセス時刻の差、または、該２つのサイトのアクセス間にアクセスされた別のサイトのアクセス数に対応する値をアクセス間隔と定義したとき、該アクセス間隔が短いほど前記スコアの増加を大きくし、該アクセス間隔が長いほど前記スコアの増加を小さくする、悪性サイト検出装置。
【請求項５】
情報端末がネットワーク上のＷｅｂサイトにアクセスした履歴であるサイトアクセス情報、および既知の悪性サイトが掲載されたリストである既知悪性サイトリストを収集する手順と、
収集したサイトアクセス情報から、前記情報端末が前記既知の悪性サイトにアクセスした前後の所定の時間内にアクセスしたサイトを抽出し、抽出したサイトを疑悪性サイトとする疑悪性サイト抽出手順と、
前記疑悪性サイト抽出手順で抽出した前記疑悪性サイトに悪性度を表すスコアを付与するスコア付与手順と、
前記スコア付与手順で付与したスコアが予め設定された閾値を超える疑悪性サイトを未知の悪性サイトと判定する判定手順と、
前記判定手順で判定した前記未知の悪性サイトを前記既知悪性サイトリストに追加する手順と、
を有する悪性サイト検出方法。
【請求項６】
コンピュータに、
情報端末がネットワーク上のＷｅｂサイトにアクセスした履歴であるサイトアクセス情報、および既知の悪性サイトが掲載されたリストである既知悪性サイトリストを収集する手順と、
収集したサイトアクセス情報から、前記情報端末が前記既知の悪性サイトにアクセスした前後の所定の時間内にアクセスしたサイトを抽出し、抽出したサイトを疑悪性サイトとする疑悪性サイト抽出手順と、
前記疑悪性サイト抽出手順で抽出した前記疑悪性サイトに悪性度を表すスコアを付与するスコア付与手順と、
前記スコア付与手順で付与したスコアが予め設定された閾値を超える疑悪性サイトを未知の悪性サイトと判定する判定手順と、
前記判定手順で判定した前記未知の悪性サイトを前記既知悪性サイトリストに追加する手順を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上に開設されるＷｅｂサイトから、悪意のあるサイトを検出する技術に関するものである。
【背景技術】
【０００２】
オンライン脅威の多様化、複雑化により、ユーザ端末が悪意あるプログラムに感染する事象が急増している。コンピュータウィルスに代表される悪意あるソフトウェアプログラムは「マルウェア」と呼ばれている。例えば、ユーザ端末が悪意あるＷｅｂサイトにアクセスすると、ユーザが意図しないサイトへ誘導されてユーザ端末がマルウェアに感染し、ユーザ端末内の情報の漏洩などの被害を受ける。
【０００３】
ユーザ端末にマルウェアを感染させる攻撃として、近年、Drive- by- Download攻撃と呼ばれるものが急増している。Drive- by- Download攻撃について簡単に説明する。図９はマルウェアによる攻撃方法の一例を説明するための図である。
【０００４】
まず、ユーザ端末が悪意ある第三者に改竄されたＷｅｂサイト(入口サイト)にアクセスすると、改竄によってサイトに埋め込まれたコードによって、別のサイト(踏み台サイト)へリダイレクトされ、さらにユーザ端末に攻撃を行うサイト(攻撃サイト)へとリダイレクトされる。このようにして、攻撃サイトまで誘導されると、ユーザ端末はマルウェアに感染する。
【０００５】
これらの脅威の対策として、悪意あるＷｅｂサイトである悪性サイトの情報(ＵＲＬ（Uniform Resource Locator）、ドメイン名、ＩＰ（Internet Protocol）アドレス)をリストにした悪性サイトリストを生成し、リストに掲載されたサイトへのアクセスを制御する手法が提案されている。
【０００６】
その関連技術として、非特許文献１および非特許文献２が知られている。これらの文献に開示された技術は、ユーザ端末が送出する通信、特にＤＮＳ（Domain Name System）クエリに注目し、既知の悪性サイトリストの精度を向上させるものである。非特許文献１では、ユーザ端末のＤＮＳクエリの共起関係から既知の悪性サイトリストに未掲載のドメイン名に悪性度を表すスコアを付与する。また、非特許文献２は既知の悪性サイトリストに掲載されているサイトのうち、良性なものを取り除く技術である。この技術では、グラフカーネル（非特許文献３参照）を用いてドメイン名にスコアを付与している。
【０００７】
非特許文献１および非特許文献２に開示された技術では、ユーザのアクセス情報を基に、悪性サイトリストの精度を向上させている。
【０００８】
他の関連技術として、非特許文献４〜７が知られている。非特許文献４〜７はいずれもＤＮＳパケットを分析し、未知の悪性サイトを検出するものである。これらの技術では、ＤＮＳ応答に含まれるＩＰアドレス、ＴＴＬ（Time to Live）、そのＩＰアドレスから得られるＡＳ（Autonomous System）番号、地理情報などのパラメータを、悪性サイトと非悪性サイトごとに学習パラメータをシステムに学習させる。新たに出現するサイトに対して、前述のパラメータと過去の学習データを基に悪性度を表すスコアを付与する。
【先行技術文献】
【非特許文献】
【０００９】
【非特許文献１】K. Sato, K. Ishibashi, T. Toyono, and N. Miyake, "Extending Black Domain Name List by Using Co-occurrence Relation between DNS Queries," Proceedings of Leet 2010
【非特許文献２】石橋圭介, 豊野剛, 佐藤一道, 岩村誠, "DNSクエリグラフを用いた悪性ドメイン名リスト評価," インターネットアーキテクチャ研究会, 2009
【非特許文献３】R. L. Kondor, "Diffusion Kernels on Graphs and Other Discrete Input Spaces," Proceedings of the 19th International Conference on Machine Learning, 2002
【非特許文献４】L. Bilge, E. Kirda, C. Kruegel, and M. Balduzzi, "EXPOSURE: Finding Malicious Domains Using Passive DNS Analysis," Proceedings of NDSS 2011
【非特許文献５】M. Antonakakis, R. Perdisci, W. Lee, N. Vasiloglou, and D. Dagon, "Detecting Malware Domains at the Upper DNS Hierarchy," Proceedings of USENIX Security 2011
【非特許文献６】M. Antonakakis, R. Perdisci, D. Dagon, W. Lee, and N. Feamster, "Building a Dynamic Reputation Sysytem for DNS," USENIX Security 2010
【非特許文献７】M. Felegyhazi, C. Kreibich, and V. Paxon, "On the Potential of Proactive Domain Blacklisting," Proceedings of Leet 2010
【発明の概要】
【発明が解決しようとする課題】
【００１０】
しかしながら、悪性サイトのＵＲＬ、ドメイン名などは日々更新され、既知の悪性サイトが短期間で非悪性サイトとなる、または新たな悪性サイトが日々大量に生成される。これにより、リストが陳腐化し、リストの正確性や網羅性が低下してしまう問題がある。リストの正確性が低下すると、悪性ではないサイトへのアクセスを遮断してしまう等の問題が発生し得る。また、網羅性が低下すると、本来遮断すべき通信を遮断できず、マルウェア感染端末が増加してしまうことになる。
【００１１】
本発明は上述したような技術が有する問題点を解決するためになされたものであり、悪性サイトリストの正確性および網羅性を向上させることを可能にした悪性サイト検出装置、悪性サイト検出方法、およびコンピュータに実行させるためのプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
上記目的を達成するための本発明の悪性サイト検出装置は、
情報端末がネットワーク上のＷｅｂサイトにアクセスした履歴であるサイトアクセス情報、および既知の悪性サイトが掲載されたリストである既知悪性サイトリストを記憶する記憶部と、
前記記憶部が記憶するサイトアクセス情報から、前記情報端末が前記既知の悪性サイトにアクセスした前後の所定の時間内にアクセスしたサイトを抽出し、抽出したサイトを疑悪性サイトとするサイトアクセス情報収集部と、
前記サイトアクセス情報収集部が抽出した疑悪性サイトに悪性度を表すスコアを付与するスコア計算部と、
前記スコア計算部が付与したスコアが予め設定された閾値を超える疑悪性サイトを未知の悪性サイトと判定し、該未知の悪性サイトを前記既知悪性サイトリストに追加する悪性リスト更新部と、
を有する構成である。
【００１３】
また、本発明の悪性サイト検出方法は、
情報端末がネットワーク上のＷｅｂサイトにアクセスした履歴であるサイトアクセス情報、および既知の悪性サイトが掲載されたリストである既知悪性サイトリストを収集する手順と、
収集したサイトアクセス情報から、前記情報端末が前記既知の悪性サイトにアクセスした前後の所定の時間内にアクセスしたサイトを抽出し、抽出したサイトを疑悪性サイトとする疑悪性サイト抽出手順と、
前記疑悪性サイト抽出手順で抽出した前記疑悪性サイトに悪性度を表すスコアを付与するスコア付与手順と、
前記スコア付与手順で付与したスコアが予め設定された閾値を超える疑悪性サイトを未知の悪性サイトと判定する判定手順と、
前記判定手順で判定した前記未知の悪性サイトを前記既知悪性サイトリストに追加する手順と、を有するものである。
【００１４】
さらに、本発明のプログラムは、コンピュータに、
情報端末がネットワーク上のＷｅｂサイトにアクセスした履歴であるサイトアクセス情報、および既知の悪性サイトが掲載されたリストである既知悪性サイトリストを収集する手順と、
収集したサイトアクセス情報から、前記情報端末が前記既知の悪性サイトにアクセスした前後の所定の時間内にアクセスしたサイトを抽出し、抽出したサイトを疑悪性サイトとする疑悪性サイト抽出手順と、
前記疑悪性サイト抽出手順で抽出した前記疑悪性サイトに悪性度を表すスコアを付与するスコア付与手順と、
前記スコア付与手順で付与したスコアが予め設定された閾値を超える疑悪性サイトを未知の悪性サイトと判定する判定手順と、
前記判定手順で判定した前記未知の悪性サイトを前記既知悪性サイトリストに追加する手順を実行させるものである。
【発明の効果】
【００１５】
本発明によれば、悪性サイトリストの正確性および網羅性を向上させることができる。
【図面の簡単な説明】
【００１６】
【図１】本実施形態の悪性サイト検出方法の概要を説明するための図である。
【図２】本実施形態の悪性サイト検出装置を含む通信システムの一構成例を示すブロック図である。
【図３】本実施形態の悪性サイト検出装置の一構成例を示すブロック図である。
【図４】本実施形態の悪性サイト検出方法を説明するための図である。
【図５】本実施形態の悪性サイト検出方法の手順を示すフローチャートである。
【図６】図５に示すステップ１０１の処理を説明するための図である。
【図７】図５に示すステップ１０２の処理を説明するための図である。
【図８】図５に示すステップ１０３の処理を説明するための図である。
【図９】マルウェアによる攻撃方法の一例を説明するための図である。
【発明を実施するための形態】
【００１７】
本実施形態の悪性サイト検出方法の特徴を説明する。図１は本実施形態の悪性サイト検出方法の概要を説明するための図である。
【００１８】
本実施形態の悪性サイト検出方法は、Drive- by- Download攻撃では、ユーザの情報端末が次々と連続して悪性サイトにアクセスする性質に注目する。この性質から、既知の悪性サイトへのアクセスの前後に、アクセスしたサイトの中には未知の悪性サイトが含まれていると言える。
【００１９】
本実施形態の悪性サイト検出装置は、ユーザの情報端末がアクセスしたＷｅｂサイトの履歴の情報であるサイトアクセス情報と、既知の悪性サイトが掲載された悪性サイトリストとを入力として、マルウェアに感染した情報端末のサイトアクセス順序を分析することにより未知の悪性サイトを検出し、検出した未知の悪性サイトの情報を既知の悪性サイトが掲載されたリストに追加してリストを更新するものである。
以下に、本発明の悪性サイト検出装置の実施形態を詳しく説明する。
【００２０】
はじめに、本実施形態の悪性サイト検出装置を含む通信システムの構成を説明する。
【００２１】
図２は本実施形態の悪性サイト検出装置を含む通信システムの一構成例を示すブロック図である。
【００２２】
図２に示すように、本実施形態の悪性サイト検出装置１０は複数のユーザ端末３０とネットワーク２００を介して接続されている。また、悪性サイト検出装置１０はプロキシサーバ２０を介してネットワーク１００と接続されている。例えば、ネットワーク２００はＬＡＮ（Local Area Network）であり、ネットワーク１００はインターネットである。
【００２３】
インターネットには、複数のＷｅｂサーバ４０が接続されている。Ｗｅｂサーバ４０は、Ｗｅｂページの情報を記憶し、ユーザ端末３０にＷｅｂページを提供するＷｅｂサイトを、ユーザ端末１０がアクセス可能にネットワーク１００上に開設している。
【００２４】
ユーザ端末３０は、例えば、パーソナルコンピュータ（ＰＣ）に代表される情報端末であり、デスクトップ型ＰＣに限らず、ノート型ＰＣであってもよく、また、ＰＤＡ（Personal Digital Assistants）およびスマートフォン等の携帯端末であってもよい。
【００２５】
図１では、説明のために、プロキシサーバ２０とネットワーク２００とを接続する通信線に悪性サイト検出装置１０が接続されるように示しているが、悪性サイト１０がユーザ端末３０のアクセス履歴を収集できる構成であれば、図１に示す接続構成に限らない。
【００２６】
次に、図１に示した悪性サイト検出装置１０の構成を説明する。図３は本実施形態の悪性サイト検出装置の一構成例を示すブロック図である。
【００２７】
悪性サイト検出装置１０は、記憶部１５と、情報処理部１１とを有する。情報処理部１１は、サイトアクセス情報収集部１２と、スコア計算部１３と、悪性リスト更新部１４と、アクセス制御部１６とを有する。記憶部１５は、アクセス情報蓄積部１５１と、悪性サイトリスト蓄積部１５２とを有する。
【００２８】
アクセス情報蓄積部１５１は、ユーザ端末３０がアクセスしたサイトの履歴であるサイトアクセス情報を蓄積する。サイトアクセス情報は、複数のユーザ端末３０のそれぞれがアクセスしたサイトについて、サイトを特定するための情報となるＵＲＬ等の識別子と、そのサイトにアクセスした時刻であるアクセス時刻とが時系列に記録された情報を含む。悪性サイトリスト蓄積部１５２は、既知の悪性サイトが掲載された悪性サイトリストを蓄積する。本実施形態では、既知の悪性サイトが掲載された悪性サイトリストが予め悪性サイトリスト蓄積部１５２に格納されているものとする。以下では、既知の悪性サイトが掲載された悪性サイトリストを既知悪性サイトリストと称する。
【００２９】
情報処理部１１は、プログラムにしたがって処理を実行するＣＰＵ（Central Processing Unit）（不図示）と、プログラムを記憶するメモリ（不図示）とを有する。ＣＰＵがプログラムにしたがって処理を実行することで、サイトアクセス情報収集部１２、スコア計算部１３、悪性リスト更新部１４およびアクセス制御部１６が悪性サイト検出装置１０に仮想的に構成される。
【００３０】
サイトアクセス情報収集部１２は、プロキシサーバ２０からサーバログやトラヒックデータを収集して、収集したデータに基づくサイトアクセス情報をアクセス情報蓄積部１５１に格納する。トラヒックデータの収集は、プロキシサーバ２０から収集する場合に限らず、トラヒックデータの収集機能に特化したトラヒック収集装置（不図示）がネットワークに設けられていれば、このトラヒック収集装置から収集してもよい。
【００３１】
また、サイトアクセス情報収集部１２は、アクセス情報蓄積部１５１に格納したサイトアクセス情報を参照し、ユーザ端末３０が既知悪性サイトリストに掲載された悪性サイトにアクセスしたことを認識すると、そのアクセスの前後の所定の時間内にアクセスしたサイトを抽出し、抽出したサイトを、悪性サイトと疑わしいサイトである疑悪性サイトとしてスコア計算部１３に通知する。
【００３２】
スコア計算部１３は、サイトアクセス情報収集部１２から疑悪性サイトの通知を受けると、サイトアクセス情報および既知悪性サイトリストを参照し、疑悪性サイトのうち、既知悪性サイトリストに未掲載の疑悪性サイトにスコアを付与する。
【００３３】
悪性リスト更新部１４は、スコア計算部１３が算出したスコアと予め設定された閾値とを比較し、算出されたスコアが閾値を超える疑悪性サイトを悪性サイトとして既知悪性サイトリストに追加する。これにより、新たに検出された未知の悪性サイトがリストに加わり、既知悪性サイトリストが更新される。
【００３４】
アクセス制御部１６は、悪性サイトリスト蓄積部１５から最新の既知悪性サイトリストを参照し、ユーザ端末３０の悪性サイトへの通信を制御する。例えば、アクセス制御部１６は、ユーザ端末３０が悪性サイトにアクセスしようとすると、警告表示をユーザ端末３０に表示させ、悪性サイトへのアクセスを許可しないなどの処理を行う。
【００３５】
次に、本実施形態の悪性サイト検出装置による悪性サイト検出方法を説明する。
【００３６】
図４は本実施形態の悪性サイト検出方法を説明するための図であり、図５はそのフローチャートである。ここでは、サイトアクセス情報が予め収集されているものとする。
【００３７】
サイトアクセス情報収集部１２は、収集したユーザ端末３０のサイトアクセス情報と既知悪性サイトリストのマッチングにより、悪性サイトにアクセスした感染端末を抽出する（ステップ１０１）。続いて、サイトアクセス情報収集部１２は、ステップ１０１で抽出した感染端末がアクセスした悪性サイトの前後の所定の時間内にアクセスした別サイトを抽出する（ステップ１０２）。そして、サイトアクセス情報収集部１２は、ステップ１０２で抽出したサイトを疑悪性サイトとしてスコア計算部１３に通知する。
【００３８】
スコア計算部１３は、サイトアクセス情報収集部１２から通知された疑悪性サイトに対し、悪性度を表すスコアを付与する（ステップ１０３）。スコア計算部１３は、疑悪性サイトについて、所定の値のスコアを付与するが、悪性サイトの前後の所定の時間内に、既知悪性サイトリストに掲載されていないサイトである非悪性サイトへのアクセスがある場合、非悪性サイトにアクセスしない場合に比べて付与するスコアを小さくする。
【００３９】
図４に、スコア計算部１３が作成した、疑悪性サイトが掲載された疑悪性サイトリストを示す。疑悪性サイトリストでは、疑悪性サイトを特定するための情報（識別子）とその疑悪性サイトに付与されたスコアとが組になってリストに掲載されている。スコア計算部１３は、疑悪性サイトリストを悪性リスト更新部１４に渡す。
【００４０】
悪性リスト更新部１４は、スコア計算部１３から疑悪性サイトリストを受け取ると、疑悪性サイトリストに掲載された各疑悪性サイトのスコアを閾値と比較する。比較の結果、悪性リスト更新部１４は、スコアが閾値を超えた疑悪性サイトを未知の悪性サイトと判定し、そのサイトの情報を、悪性サイトリスト蓄積部１５１に格納された既知悪性サイトリストに追加する（ステップ１０４）。アクセス制御部１６は、悪性サイトリスト蓄積部１５に格納された最新の既知悪性サイトリストを参照し、ユーザ端末３０の悪性サイトへの通信を制御する。
【００４１】
このようにして、ユーザ端末３０のアクセス順序を分析して未知の悪性サイトを検出し、既知悪性リストの精度の向上を図る。
【００４２】
次に、図５に示したステップ１０１〜１０３の処理について詳しく説明する。
【００４３】
ここでは、ｕをユーザ、Ｕをユーザの集合、ｓをサイト、Ｓをサイトの集合、Ｂを既知の悪性サイトの集合とする。また、ｉをｉ番目にアクセスしたサイト、Ｉをｉの集合とし、ｔをサイトのアクセス時刻、Ｔをアクセス時刻の集合とする。
【００４４】
図６は図５に示すステップ１０１の処理を説明するための図である。
【００４５】
ステップ１０１では、ユーザ端末３０のサイトアクセス情報と、既知悪性サイトリストの突合により、ユーザ端末３０がアクセスした悪性サイトおよびアクセス時刻を抽出する。サイトアクセス情報には、ユーザ端末３０がアクセスしたサイトのＵＲＬまたはドメイン名等の識別子、およびアクセス時刻が含まれているものとする。
【００４６】
具体的には、以下の条件を満たすサイトを全て抽出する。
【００４７】
【数１】
2014160376.tif 000003
【００４８】
図６では、サイトＢが悪性サイトである場合を示し、サイトＢが抽出対象サイトとなっている。
【００４９】
次に、ステップ１０２の処理の具体例を説明する。図７は図５に示すステップ１０２の処理を説明するための図である。
【００５０】
抽出した悪性サイト、感染端末およびサイトアクセス情報から、悪性サイトと疑わしい疑悪性サイトを抽出する。前述の通り、悪性サイトのアクセスの前後には、他の悪性サイトにアクセスしている可能性が高いことから、ある感染端末が悪性サイトへアクセスした前後に、同一の端末がアクセスしたサイトを疑悪性サイトとする。ここで、前後の定義としては時刻情報(前後ｎ秒)およびサイト数(前後ｎサイト)が考えられる。
【００５１】
具体的には、以下の条件を満たすサイトを全て抽出する。ここでΔｔを時刻としての前後の範囲、Δｉをサイト数としての前後の範囲とする。すなわち、［数式２］は時刻を用いた前後の定義、［数式３］はサイト数を用いた前後の定義から抽出した疑悪性サイトの集合となる。
【００５２】
【数２】
2014160376.tif 000004
【００５３】
【数３】
2014160376.tif 000005
【００５４】
図７では、サイトＢおよびサイトＣは、悪性サイトのサイトＢの前後にアクセスされたサイトであり、疑悪性サイトであることを示している。
【００５５】
次に、ステップ１０３の処理の具体例を説明する。図８は図５に示すステップ１０３の処理を説明するための図である。
【００５６】
悪性サイトのアクセス前後には他の悪性サイトが含まれている可能性が高いが、ユーザ端末の操作(Ｗｅｂ閲覧)により、非悪性サイトが含まれている。すなわち、疑悪性サイト全てを悪性サイトとした場合、非悪性サイトを悪性サイトと誤判定する問題が生じる。そこで、本実施形態では疑悪性サイトに対して悪性度を表すスコアを付与する。
【００５７】
前述の通り、本実施形態では悪性サイトへのアクセスの前後には他の悪性サイトへアクセスする性質を利用しているが、非悪性サイトも同様の性質を持つ。すなわち、非悪性サイトのアクセスの前後にアクセスしたサイトは非悪性サイトである可能性が高い。これは、一般的にはマルウェアに感染している端末は感染していない端末よりも非常に少なく、大半のユーザは非悪性サイトのみアクセスするためである。
【００５８】
マルウェアに感染している端末は感染していない端末よりも非常に少ないことは、例えば、Microsoft Security Intelligence Report（http:// www. microsoft. com/ security/ sir/ default. aspx）で報告されている。
【００５９】
そこで、悪性度を表すスコアとして、疑悪性サイトへアクセスした前後にアクセスしたサイトに、悪性サイトが多く含まれていればスコアを大きくし、非悪性サイトが多ければスコアを小さくするものとする。また、疑悪性サイトの前後にアクセスしたサイトに悪性サイトが存在するとき、その２サイトの距離が近い場合はスコアの増加を大きく、遠い場合はスコアの増加を小さくする。これは、距離が遠いほど２サイトの関連性が低いと考えられるからである。
【００６０】
ここで、２つの異なるサイトの距離として、ｔの差の絶対値、ｉの差の絶対値などが考えられるが、その他数学的に定義可能な別の距離を用いてもよい。ｔの差は、疑悪性サイトと悪性サイトのアクセス時刻の差に対応するアクセス間隔に相当し、ｉの差は、これら２つサイトのアクセス間にアクセスされた別のアクセス数に対応するアクセス間隔に相当する。アクセス間隔が短いほどスコアの増加を大きくし、アクセス間隔が長いほどスコアの増加を小さくする。
【００６１】
具体的には、サイトｓのスコアｓｃｏｒｅ（ｓ）を以下のように定義する。［数式４］は距離をアクセス時刻ｔで定義したとき、［数式５］は距離をｉ番目のアクセスで定義したものである。
【００６２】
【数４】
2014160376.tif 000006
【００６３】
【数５】
2014160376.tif 000007
【００６４】
図８には、［数式４］による、サイトＣのスコアが示されている。ｓｃｏｒｅblackは悪性サイトの数に対応するスコアを示し、ｓｃｏｒｅwhiteは非悪性サイトの数に対応するスコアを示す。ｓｃｏｒｅは最終的なスコアを示す。スコア計算は、［数式４］および［数式５］のいずれか一方の場合に限らず、これらの数式の組み合わせてもよい。
【００６５】
本実施形態の悪性サイト検出装置では、ユーザのアクセスの順番を考慮してユーザのアクセス情報を分析することで、既知の悪性サイトリストに未掲載の悪性リストを検出することが可能となり、検出精度が向上する。その結果、悪性サイトリストの正確性および網羅性を向上させることができる。
【００６６】
なお、本発明の悪性サイト検出方法を実行するための手順を記述したプログラムをコンピュータにインストールし、コンピュータに本発明の悪性サイト検出方法を実行させてもよい。
【符号の説明】
【００６７】
１０    悪性サイト検出装置
１２    サイトアクセス情報収集部
１３    スコア計算部
１４    悪性リスト更新部
１５    記憶部
１６    アクセス制御部
【図２】
2014160376.tif 000008
【図３】
2014160376.tif 000009
【図５】
2014160376.tif 000010
【図１】
2014160376.tif 000011
【図４】
2014160376.tif 000012
【図６】
2014160376.tif 000013
【図７】
2014160376.tif 000014
【図８】
2014160376.tif 000015
【図９】
2014160376.tif 000016