(57)【要約】  ウェブアプリケーションファイアウォール装置は、リクエストが不正なパラメータか否かを判定する判定部及び分析受信部を有する。ウェブアプリケーション装置は、リクエストが正当なパラメータか否かを判定する制御部と、レスポンスを生成する応答生成部とを有する。判定部は、不正情報に基づき、パラメータをフィルタリングするためのデータを更新する。応答生成部は、不正情報及び正当情報を含むこれらのレスポンスを選択的に生成してウェブアプリケーションファイアウォール装置に送信する。
2017150003.tif 000002
【特許請求の範囲】
【請求項１】
ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置と、フィルタリングされた前記リクエストに対応するレスポンスを送信するウェブアプリケーション装置と、を備え、
前記ウェブアプリケーションファイアウォール装置は、
前記ウェブクライアントから送られてきた前記リクエストを受信し、前記リクエストが正当か否かを判定する第１の制御部と、
前記ウェブアプリケーション装置から前記リクエストに対応する前記レスポンスを受信して分析する分析受信部と、を有し、
前記ウェブアプリケーション装置は、
前記ウェブアプリケーションファイアウォール装置から送信されてくる前記リクエストを受信し、前記リクエストが正当か否かを判定する第２の制御部と、
前記リクエストに対応する前記レスポンスを生成し、前記ウェブアプリケーションファイアウォール装置に前記レスポンスを送信する応答生成部と、を有し、
前記リクエストに対する前記レスポンスは、前記リクエストが正当か否かの判定結果を含む、
検知システム。
【請求項２】
前記第１の制御部は、前記ウェブクライアントから送られてきたパラメータを含む前記リクエストを受信し、前記リクエストが不正な前記パラメータを含むか否かを判定する判定部を備え、
前記第２の制御部は、前記ウェブアプリケーションファイアウォール装置から送信されてくる前記パラメータを含む前記リクエストを受信し、前記リクエストが正当な前記パラメータを含むか否かを判定し、
前記判定部は、前記分析受信部が前記レスポンスから不正な前記パラメータの情報である不正情報を抽出した場合に、前記パラメータをフィルタリングするためのデータを更新し、
前記応答生成部は、前記不正情報を含む前記レスポンス及び正当な前記パラメータの情報である正当情報を含む前記レスポンスを選択的に生成して前記ウェブアプリケーションファイアウォール装置に送信する
請求項１に記載の検知システム。
【請求項３】
前記第１の制御部は、さらに、
前記ウェブクライアントの不正な前記パラメータを含む前記リクエストを遮断するための前記データを格納している第１の記憶部と、
前記データを生成する生成部と、を備え、
前記分析受信部は、前記レスポンスから前記不正情報を抽出した場合に、前記不正情報を前記生成部に送信し、
前記判定部は、前記第１の記憶部に格納されている前記データを更新して前記リクエストをフィルタリングすることにより、不正な前記パラメータを含む前記リクエストを遮断する
請求項２記載の検知システム。
【請求項４】
フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置であって、
ウェブアプリケーションファイアウォール装置から送信されてくるパラメータを含む前記リクエストを受信し、前記リクエストが正当な前記パラメータを含むか否かを判定する第２の制御部と、
前記リクエストに対応する前記レスポンスを生成し、前記ウェブアプリケーションファイアウォール装置に前記レスポンスを送信する応答生成部と、を有し、
前記応答生成部は、不正な前記パラメータであると前記第２の制御部が判定した場合に、不正な前記パラメータの情報である不正情報を前記レスポンスに格納し、正当な前記パラメータであると前記第２の制御部が判定した場合に、正当な前記パラメータの情報である正当情報を前記レスポンスに格納し、
前記応答生成部は、前記不正情報を含む前記レスポンス又は前記正当情報を含む前記レスポンスを生成して前記ウェブアプリケーションファイアウォール装置に送信する
ウェブアプリケーション装置。
【請求項５】
ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置であって、
前記ウェブクライアントから送られてきた前記リクエストを受信し、前記リクエストが正当か否かを判定する第１の制御部と、
ウェブアプリケーション装置からレスポンスを受信して分析する分析受信部と、
前記ウェブクライアントの前記リクエストを遮断するためのデータを格納している第１の記憶部と、を備え、
前記第１の制御部は、
前記ウェブクライアントから送られてきたパラメータを含む前記リクエストを受信し、前記リクエストが不正な前記パラメータを含むか否かを判定する判定部と、
前記リクエストから不正な前記パラメータを遮断するシグネチャを生成する生成部と、
前記シグネチャから不正な前記パラメータを遮断する規定を前記第１の記憶部に格納する規定部と、を有し、
前記分析受信部は、前記ウェブアプリケーション装置から送られてきた前記レスポンス中の不正情報が抽出された場合に、前記不正情報を前記生成部に送信する
ウェブアプリケーションファイアウォール装置。
【請求項６】
前記分析受信部は、前記ウェブアプリケーション装置から送られてきた前記レスポンス中の不正情報が抽出された場合に、前記不正情報を前記生成部または前記規定部に送信する
請求項５記載のウェブアプリケーションファイアウォール装置。
【請求項７】
ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置と、フィルタリングされた前記リクエストに対応するレスポンスを送信するウェブアプリケーション装置とを備える検知システムにおける検知方法であって、
前記ウェブアプリケーションファイアウォール装置において、
前記ウェブクライアントから送られてきたパラメータを含む前記リクエストを受信し、前記リクエストが正当な前記パラメータを含むか否かを判定する第１判定ステップと、
前記ウェブアプリケーション装置から前記リクエストに対応する前記レスポンスを受信して分析する分析受信ステップと、を含み、
前記第１判定ステップでは、前記分析受信ステップで前記レスポンスから不正な前記パラメータの情報である不正情報を抽出した場合に、前記パラメータをフィルタリングするためのデータを更新し、
検知システムにおける検知方法は、さらに、前記ウェブアプリケーション装置において、
前記ウェブアプリケーションファイアウォール装置から送信されてくる前記パラメータを含む前記リクエストを受信し、前記リクエストが正当な前記パラメータを含むか否かを判定する第２判定ステップと、
前記リクエストに対応するレスポンスを生成し、前記ウェブアプリケーションファイアウォール装置に前記レスポンスを送信する応答生成ステップと、を含み、
前記応答生成ステップでは、前記不正情報を含む前記レスポンス又は正当な前記パラメータの情報である正当情報を含む前記レスポンスを生成して前記ウェブアプリケーションファイアウォール装置に送信する
検知システムにおける検知方法。
【請求項８】
フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置の検知方法であって、
前記ウェブアプリケーション装置からウェブアプリケーションファイアウォール装置へ前記リクエストをフィルタリングするための情報をヘッダに含む前記レスポンスを送信する
ウェブアプリケーション装置の検知方法。
【請求項９】
ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置の検知方法であって、
前記リクエストをフィルタリングするための情報をヘッダに含むレスポンスをウェブアプリケーション装置から受信して分析する分析受信部が、前記レスポンスから不正なパラメータの情報である不正情報を抽出した場合に、前記リクエストをフィルタリングするためのデータを更新する
ウェブアプリケーションファイアウォール装置の検知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、ネットワークからの攻撃を回避する、検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法に関する。
【背景技術】
【０００２】
従来、通信情報監視装置では、予め設定されたチェックルールに基づいてクライアントからのリクエスト（リクエストメッセージ）のパラメータをチェックし、攻撃と判断してこのリクエストを排除する（例えば特許文献１参照）。【０００３】
また、マルウェア解析システムでは、マルウェア候補サンプル（不正なパラメータ）がマルウェアであると判定された場合にシグネチャを自動的に生成する（例えば特許文献２参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−４６８５号公報
【特許文献２】特開２０１４−５１９１１３号公報
【発明の概要】
【０００５】
検知システムの一態様は、ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置と、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置と、を備える。ウェブアプリケーションファイアウォール装置は、ウェブクライアントから送られてきたリクエストを受信し、リクエストが正当か否かを判定する第１の制御部と、ウェブアプリケーション装置からリクエストに対応するレスポンスを受信して分析する分析受信部と、を有する。ウェブアプリケーション装置は、ウェブアプリケーションファイアウォール装置から送信されてくるリクエストを受信し、リクエストが正当か否かを判定する第２の制御部と、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置にレスポンスを送信する応答生成部と、を有する。そして、リクエストに対するレスポンスは、リクエストが正当か否かの判定結果を含む。
【０００６】
また、本開示の一態様に係るウェブアプリケーション装置は、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置であって、ウェブアプリケーションファイアウォール装置から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する第２の制御部と、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置にレスポンスを送信する応答生成部と、を有する。そして、応答生成部は、不正なパラメータであると第２の制御部が判定した場合に、不正なパラメータの情報である不正情報をレスポンスに格納し、正当なパラメータであると第２の制御部が判定した場合に、正当なパラメータの情報である正当情報をレスポンスに格納し、応答生成部は、不正情報を含むレスポンス又は正当情報を含むレスポンスを生成してウェブアプリケーションファイアウォール装置に送信する。
【０００７】
また、本開示の一態様に係るウェブアプリケーションファイアウォール装置は、ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置であって、ウェブクライアントから送られてきたリクエストを受信し、リクエストが正当か否かを判定する第１の制御部と、ウェブアプリケーション装置からレスポンスを受信して分析する分析受信部と、前記ウェブクライアントのリクエストを遮断するためのデータを格納している第１の記憶部と、を備える。そして、第１の制御部は、ウェブクライアントから送られてきたパラメータを含むリクエストを受信し、リクエストが不正なパラメータを含むか否かを判定する判定部と、リクエストから不正なパラメータを遮断するシグネチャを生成する生成部と、シグネチャから不正なパラメータを遮断する規定を第１の記憶部に格納する規定部と、を有する。さらに、分析受信部は、ウェブアプリケーションから送られてきたレスポンスに不正情報が含まれていた場合、不正情報を生成部に送信する。
【０００８】
また、本開示の一態様に係る検知システムにおける検知方法は、ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置と、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置とを備える検知システムにおける検知方法であって、ウェブアプリケーションファイアウォール装置において、ウェブクライアントから送られてきたパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する第１判定ステップと、ウェブアプリケーション装置からリクエストに対応するレスポンスを受信して分析する分析受信ステップと、を含む。第１判定ステップでは、分析受信ステップでレスポンスから不正なパラメータの情報である不正情報を抽出した場合に、パラメータをフィルタリングするためのデータを更新する。検知システムにおける検知方法は、さらに、ウェブアプリケーション装置において、ウェブアプリケーションファイアウォール装置から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する第２判定ステップと、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置にレスポンスを送信する応答生成ステップとを含む。応答生成ステップでは、不正情報を含むレスポンス又は正当なパラメータの情報である正当情報を含むレスポンスを生成してウェブアプリケーションファイアウォール装置に送信する。
【０００９】
また、本開示の一態様に係るウェブアプリケーション装置の検知方法は、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置を備える検知システムにおける検知方法であって、ウェブアプリケーション装置からウェブアプリケーションファイアウォール装置へリクエストをフィルタリングするための情報をヘッダに含むレスポンスを送信する。
【００１０】
また、本開示の一態様に係るウェブアプリケーションファイアウォール装置の検知方法は、ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置の検知方法であって、リクエストをフィルタリングするための情報をヘッダに含むレスポンスをウェブアプリケーション装置から受信して分析する分析受信部が、レスポンスから不正なパラメータの情報である不正情報を抽出した場合に、リクエストをフィルタリングするためのデータを更新する。
【００１１】
ウェブアプリケーションファイアウォール装置では、リクエストを発行したウェブクライアントをフィルタリングするため、ウェブアプリケーション装置からウェブアプリケーションファイアウォール装置へ送信する情報として、少なくともＩＰアドレスまたはウェブクライアントを一意に特定する識別子を利用する。ウェブクライアントを一意に特定する識別子は、ウェブクライアント自身が内部ファームウェアに内包するＩＤであってもよく、ウェブクライアントに対して、ウェブサーバが一意に割り当てるＩＤであってもよく、ウェブクライアントからのログイン情報に基づいてウェブサーバが一意に割り当てるセッションＩＤであってもよい。
【００１２】
本開示によれば、上述した判定、生成、分析が、継続的かつ速やかに実現でき、サーバセキュリティが安定して確保できる。また、未知の攻撃であってもその攻撃を未然に防ぐことができる。また、正当なパラメータを有するリクエストを誤って遮断することを防止することができる。さらに、システム構築に費やすコストを低廉化することができる。
【図面の簡単な説明】
【００１３】
【図１】図１は、実施の形態１の検知システムを示すブロック図である。
【図２】図２は、実施の形態１の検知システムを示す説明図である。
【図３】図３は、実施の形態１の検知システムにおけるウェブアプリケーションファイアウォール装置を示すブロック図である。
【図４】図４は、実施の形態１の検知システムにおけるウェブアプリケーション装置を示すブロック図である。
【図５】図５は、実施の形態１の検知システムにおける動作を示すシーケンス図である。
【図６】図６は、実施の形態１の検知システムにおけるウェブアプリケーション装置の制御部の判定を示す説明図である。
【図７】図７は、実施の形態２の検知システムにおけるウェブアプリケーションファイアウォール装置を示すブロック図である。
【図８】図８は、実施の形態２の検知システムを示す説明図である。
【図９】図９は、実施の形態２の検知システムにおける動作を示すシーケンス図である。
【図１０】図１０は、実施の形態２の検知システムを示す概念図である。
【図１１】図１１は、検知システムにおけるウェブアプリケーション装置の制御部の判定を示す説明図である。
【発明を実施するための形態】
【００１４】
（発明の基礎となった知見）
インターネット等のネットワークを介したサービスの提供として、例えば、ウェブアプリケーション装置がある。ウェブクライアントは、サービスを利用する場合に、ネットワークを介してウェブアプリケーション装置にリクエストを送信する。そして、ウェブアプリケーション装置はこのリクエストに対してレスポンスをウェブクライアントに送信する。
【００１５】
ウェブクライアントからウェブアプリケーション装置の脆弱性を悪用した不正なパラメータを含んだリクエストが送信されてくる場合には、ウェブアプリケーション装置に影響を与え、これが誤動作等を行うことがある。このため、ウェブアプリケーションファイアウォール装置を介し、リクエストに含まれる不正なパラメータを遮断してウェブアプリケーション装置を保護している。
【００１６】
従来、ウェブアプリケーションファイアウォール装置では、正当なパラメータを装う攻撃として、ＳＱＬインジェクション、ＤＤｏｓ攻撃（Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ  ａｔｔａｃｋ攻撃）等の攻撃パターンをブロックすることが知られている。
【００１７】
ウェブアプリケーションファイアウォール装置において、攻撃か否かの判断方法には、ブラックリスト方式とホワイトリスト方式とが知られている。
【００１８】
ブラックリスト方式は、ウェブアプリケーションファイアウォール装置に予め格納されている不当（実行不可能）なパラメータの情報であるブラックリストと、リクエストのパラメータとを照合し、照合が一致した場合に、リクエストを遮断することで、攻撃を未然に防止する方式である。このブラックリスト方式では、予め格納されているデータを定期的に更新しないと、このデータに記載されていない未知の攻撃を受けてしまうという課題がある。また、ブラックリストを定期的に更新したとしても、攻撃パターンの調査等による負担が増加するという課題もある。
【００１９】
一方、ホワイトリスト方式では、ウェブアプリケーションファイアウォール装置に予め格納されている正当（実行可能）なパラメータの情報であるホワイトリストと、リクエストのパラメータとを照合し、照合が一致した場合以外は、不正なパラメータと判定する。このホワイトリスト方式では、ブラックリスト方式よりもセキュリティの強度が高いといえるが、パラメータごとにホワイトリストを定義することが困難であり、運用負担が大きくなるという課題がある。こうしたことから現在では、ブラックリスト方式が主流となっている。
【００２０】
しかしながら、従来のブラックリスト方式を用いたウェブアプリケーションファイアウォール装置では、ブラックリストとして予め格納されていない未知の攻撃（最初の攻撃）防ぐことができない。また、リクエストが正当なパラメータを含んでいても、リクエストを誤って遮断（誤検出）してしまうという問題も生じている。
【００２１】
このため、未知の攻撃であっても、その攻撃を未然に防ぐことができたり、正当なパラメータを有するリクエストを誤って遮断することを防止することができたり、システム構築に費やすコストを低廉化することができたりすることが求められている。
【００２２】
そこで、上記のような課題から検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法を検討した。
【００２３】
以下、適宜図面を参照しながら、実施の形態を詳細に説明する。但し、必要以上に詳細な説明は省略する場合がある。例えば、既によく知られた事項の詳細説明や実質的に同一の構成に対する重複説明を省略する場合がある。これは、以下の説明が不必要に冗長になるのを避け、当業者の理解を容易にするためである。
【００２４】
なお、発明者らは、当業者が本開示を十分に理解するために添付図面および以下の説明を提供するのであって、これらによって特許請求の範囲に記載の主題を限定することを意図するものではない。
【００２５】
なお、各図は、必ずしも厳密に図示されたものではない。また、各図において、実質的に同一の構成に対しては同一の符号を付しており、重複する説明は省略又は簡略化する。
【００２６】
（実施の形態１）
ここでは、本開示の実施の形態１として、本開示に関わる検知システム１について図面を参照しながら説明する。
【００２７】
（検知システム全体の構成）
図１は、実施の形態１の検知システム１を示すブロック図である。
【００２８】
図１に示すように、検知システム１は、ウェブアプリケーションファイアウォール装置３と、ウェブアプリケーション装置５とを備えている。ウェブアプリケーションファイアウォール装置３及びウェブアプリケーション装置５は、例えば、情報処理装置を用いて実現することができる。
【００２９】
ウェブアプリケーションファイアウォール装置３は、ウェブアプリケーション装置５に対する攻撃を防ぐために、ウェブクライアント９からのリクエストに含まれるパラメータをフィルタリングする。ウェブアプリケーションファイアウォール装置３は、通信部を介してインターネットなどのネットワーク７に接続されて、ネットワーク７を介してウェブクライアント９に接続されている。リクエストに含まれるパラメータは、例えば、セキュリティＩＤ、セキュリティＩＤを含むＣｏｏｋｉｅなどである。
【００３０】
図２は、実施の形態１の検知システム１を示す説明図である。
【００３１】
図２に示すように、図１のウェブクライアント９からのリクエストは、図１のネットワーク７を介してウェブアプリケーションファイアウォール装置３でフィルタリングされる。ウェブアプリケーションファイアウォール装置３でフィルタリングされたリクエストは、ウェブアプリケーション装置５に送信される。ウェブアプリケーション装置５は、リクエストに対するレスポンスをウェブアプリケーションファイアウォール装置３に送信する。ウェブアプリケーションファイアウォール装置３は、図１のネットワーク７を介して図１のウェブクライアント９にレスポンスを送信する。実線の矢印で示すように、ウェブアプリケーション装置５がリクエストに含まれる不正なパラメータを検出した場合は、今後、不正なパラメータを含むリクエストを遮断するために、ウェブアプリケーションファイアウォール装置３の記憶部３５（第１の記憶部）に、不正なパラメータの情報である不正情報をフィードバックする。つまり、不正情報をブラックリストに登録し、ブラックリストを更新する。なお、リクエスト及びレスポンスは、ＨＴＴＰ通信を用いて送信される。
【００３２】
ウェブアプリケーションファイアウォール装置３は、ブラックリストに登録する不正情報として、少なくともＩＰアドレス、またはウェブクライアント９を一意に特定する識別子を利用する。ウェブクライアント９を一意に特定する識別子は、ウェブクライアント９自身が内部ファームウェアに内包するＩＤであってもよく、ウェブクライアント９に対してウェブサーバが一意に割り当てるＩＤであってもよく、ウェブクライアント９からのログイン情報に基づいてウェブサーバが一意に割り当てるセッションＩＤであってもよい。
【００３３】
（ウェブアプリケーションファイアウォール装置の構成）
図３は、実施の形態１の検知システム１におけるウェブアプリケーションファイアウォール装置３を示すブロック図である。
【００３４】
図３に示すように、ウェブアプリケーションファイアウォール装置３は、分析受信部３３、記憶部３５（第１の記憶部）、制御部４１（第１の制御部）及びインターフェイス４３を有している。また、制御部４１は、判定部３１、生成部３７、規定部３９を備えている。
【００３５】
判定部３１は、ウェブクライアント９から送られてきたパラメータを含むリクエストを受信する。判定部３１は、メソッドやＵＲＩなどのリクエストライン、ジェネラルヘッダやリクエストヘッダ等のヘッダ等を検査する。判定部３１は、リクエストが不正なパラメータを含むか否かを判定する。言い換えれば、判定部３１は、記憶部３５に格納されているブラックリストとリクエストのパラメータとが一致するか否かを判定する。判定部３１は、分析受信部３３がレスポンスから不正情報を抽出した場合に、記憶部３５に格納されているパラメータをフィルタリングするためのデータを更新（規定部３９が生成した後述する規定を更新）する。
【００３６】
分析受信部３３は、リクエストに対応するレスポンスを行うウェブアプリケーション装置５からレスポンスを受信し、レスポンスに含まれる情報が不正情報か正当なパラメータの情報である正当情報かを分析する。分析受信部３３は、例えば、レスポンスのステータスコード、レスポンスヘッダ等の分析である。分析受信部３３は、レスポンスから不正情報が抽出された場合に、不正情報を生成部３７に送信する。一方、分析受信部３３は、レスポンスから正当情報を抽出した場合に、正当情報を含むレスポンスがインターフェイス４３を介してウェブクライアント９に送信される。
【００３７】
記憶部３５は、例えば、ＨＤＤ（Ｈａｒｄ  ｄｉｓｋ  ｄｒｉｖｅ）などの不揮発性記録媒体により実現される。記憶部３５は、ウェブクライアント９の不正なパラメータを含むリクエストを遮断するためのデータを格納している。記憶部３５のデータは、不正なパラメータといったブラックリストや、不正なパラメータを含むリクエストを遮断する規定（ルール）や、遮断することとなったエラーログなどである。このエラーログは、後に、記憶部３５に格納されているエラーの解析がなされる。
【００３８】
生成部３７は、判定部３１でエラー処理されたパラメータや不正情報から不正なパラメータを遮断するシグネチャを生成する。
【００３９】
規定部３９は、不正なパラメータを含むリクエストを検出するために、シグネチャから不正なパラメータを含むリクエストを遮断する規定（ルール）を定義する。
【００４０】
制御部４１は、この規定を更新し、記憶部３５に格納する。制御部４１は、ＣＰＵ、メインメモリ等が格納されている制御回路である。メインメモリは、例えば、ＤＲＡＭ（Ｄｙｎａｍｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等の記憶媒体である。
【００４１】
（ウェブアプリケーション装置の構成）
図４は、実施の形態１の検知システム１におけるウェブアプリケーション装置５を示すブロック図である。
【００４２】
図４に示すように、ウェブアプリケーション装置５は、フィルタリングされたリクエストに対応するＨＴＴＰレスポンスをウェブアプリケーションファイアウォール装置３に送信する。ウェブアプリケーション装置５は、制御部５１（第２の制御部）、応答生成部５３及び記憶部５５（第２の記憶部）を有している。
【００４３】
制御部５１は、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する。言い換えれば、制御部５１は、記憶部５５に格納されているホワイトリストとリクエストのパラメータとが一致するか否かを判定する。記憶部５５は、ウェブクライアント９の不正なパラメータを含むリクエストを遮断するためのデータを格納している。ウェブアプリケーション装置５における記憶部５５のデータは、正当なパラメータといったホワイトリストなどである。なお、記憶部５５は、制御部５１内に備わっていてもよい。
【００４４】
制御部５１は、ホワイトリストとリクエストのパラメータとが一致しないと判定した場合に、検出された不正情報をレスポンスのヘッダに登録する。不正情報は、ログイン認証失敗回数、検出日時、選択した処理方法、接続元ＩＰアドレス、接続先ＵＲＬ、不正だと判定したヘッダ等である。
【００４５】
また、制御部５１は、ホワイトリストとリクエストのパラメータとが一致する場合に、検出された正当なパラメータに関する情報である正当情報をレスポンスのヘッダに登録する。
【００４６】
応答生成部５３は、不正情報を含むレスポンス及び正当情報を含むレスポンスを選択的に生成してウェブアプリケーションファイアウォール装置３に送信する。つまり、応答生成部５３は、不正情報を含むレスポンス又は正当情報を含むレスポンス（リクエストに対応するレスポンス）を生成し、ウェブアプリケーションファイアウォール装置３にレスポンスを送信する。応答生成部５３は、不正なパラメータであると制御部５１が判定した場合に、不正情報を含むレスポンスを生成し、正当なパラメータであると制御部５１が判定した場合に、正当情報を含むレスポンスを生成する。
【００４７】
［動作］
以上のように構成された検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法について、その動作を以下に説明する。
【００４８】
図５は、実施の形態１の検知システム１における動作を示すシーケンス図である。図６は、実施の形態１の検知システム１におけるウェブアプリケーション装置５の制御部５１の判定を示す説明図である。
【００４９】
図１及び図５に示すように、ウェブアプリケーションファイアウォール装置３は、ウェブクライアント９からのリクエストを受信する。ウェブアプリケーションファイアウォール装置３の判定部３１は、このリクエストのパラメータと記憶部３５（第１の記憶部）に格納されているブラックリストとが一致するか否かを判定する（第１判定ステップＳ１）。
【００５０】
判定部３１は、このリクエストのパラメータと記憶部３５に格納されているブラックリストとが一致する場合（Ｓ１ではＹＥＳ）に、エラーとして処理されたパラメータ（不正なパラメータ）をエラーログとして記憶部３５に格納する（Ｓ２）。なお、不正なパラメータについて、記憶部３５に格納されているエラーの解析がなされる（Ｓ３）。
【００５１】
なお、ウェブアプリケーションファイアウォール装置３では、ステップＳ１でＹＥＳの場合に、検出された不正なパラメータが検出されたことをウェブクライアント９にエラーを通知してもよい。そして、分析受信部３３は、エラーの通知をウェブクライアント９に送信してもよい。
【００５２】
判定部３１は、このリクエストのパラメータと記憶部３５に格納されているブラックリストとが一致しない場合（Ｓ１ではＮＯ）に、ウェブアプリケーションファイアウォール装置３がパラメータを含むリクエストを、ウェブアプリケーション装置５に送信する（Ｓ４）。つまり、ウェブアプリケーションファイアウォール装置３では、判定部３１がブラックリスト方式を採用している。
【００５３】
次に、制御部５１は、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信する。制御部５１は、リクエストが正当なパラメータを含むか否かを判定する（第２判定ステップＳ５）。言い換えれば、制御部５１は、ホワイトリストとリクエストのパラメータとが一致するか否かを判定する。
【００５４】
制御部５１は、リクエストのパラメータと記憶部５５（第２の記憶部）に格納されているホワイトリストと、が一致しない場合（Ｓ５ではＮＯ）に、どのパラメータで一致しないとされたのか等の情報を後に判断するために、障害切り分けを行う（Ｓ６）。制御部５１は、障害切り分けされた不正なパラメータの情報である不正情報を登録する（Ｓ７）。
【００５５】
例えば、図６に示すように、ホワイトリストのパラメータを（ｘ１、ｘ２）とし、リクエストのパラメータを（ｘ１、ｘ２、ｘ３）とした場合に、その判定結果は、ｘ１＝正当、ｘ２＝正当、ｘ３＝不正となる。レスポンスのヘッダには、ありえないパラメータであるｘ３が存在することを不正情報として登録する。そして、図５に示すように、制御部５１は、応答生成部５３に不正情報を含むレスポンスを送信する。
【００５６】
応答生成部５３は、不正情報を含んだレスポンスを生成する（応答生成ステップＳ８）。応答生成部５３は、ウェブアプリケーションファイアウォール装置３の分析受信部３３に不正情報を含んだレスポンス送信する（Ｓ９、ウェブアプリケーション装置５の検知方法）。
【００５７】
制御部５１は、リクエストのパラメータと記憶部５５に格納されているホワイトリストとが一致する場合（Ｓ５ではＹＥＳ）に、正当なパラメータの情報である正当情報として扱う。つまり、このウェブアプリケーション装置５では、制御部５１がホワイトリスト方式を採用している。
【００５８】
例えば、図６に示すように、ホワイトリストのパラメータを（ｙ１、ｙ２）とし、リクエストのパラメータを（ｙ１、ｙ２）とした場合に、その判定結果は、ｙ１＝正当、ｙ２＝正当となる。レスポンスのヘッダには、パラメータ（ｙ１、ｙ２）を含むリクエストを正当情報として登録する（図５のＳ１０）。そして、図５に示すように、制御部５１は、応答生成部５３に正当情報を含むレスポンスを送信する。
【００５９】
応答生成部５３は、正当情報を含んだレスポンスを生成する（応答生成ステップＳ８）。応答生成部５３は、ウェブアプリケーションファイアウォール装置３の分析受信部３３に正当情報を送信する（Ｓ９、ウェブアプリケーション装置５の検知方法）。
【００６０】
分析受信部３３は、応答生成部５３からレスポンスを受信する。分析受信部３３は、レスポンスに正当情報が含まれているか否かを分析する（Ｓ１１、分析受信ステップ）。分析受信部３３は、正当情報が含まれていない場合（Ｓ１１ではＮＯ）、つまり、不正情報がレスポンスに含まれている場合に、生成部３７に不正情報を送信する。
【００６１】
図１及び図５に示すように、生成部３７は、ウェブクライアント９から不正なパラメータを含むリクエストをフィルタリングするために、不正情報に基づくシグネチャを生成する（Ｓ１２）。また、生成部３７は、ステップＳ３のエラーに基づいて生成部がシグネチャを生成したりもする。生成部３７は、生成したシグネチャを規定部３９に送信する。
【００６２】
規定部３９は、シグネチャに基づいて不正なパラメータを含むリクエストを遮断する規定（ルール）を定義する（Ｓ１３）。判定部３１は、リクエストを遮断する規定を記憶部３５に格納する（Ｓ１４、ウェブアプリケーションファイアウォール装置３の検知方法）。つまり、記憶部３５に新たな規定が更新されることで、ウェブアプリケーションファイアウォール装置３の判定部３１は、同一のパラメータを含んだリクエストを今後遮断する。
【００６３】
なお、判定部３１は、検出された不正なパラメータが検出されたことをウェブクライアント９にエラーを通知してもよい。そして、エラーの通知をウェブクライアント９に送信してもよい。また、なお、分析受信部３３は、不正情報を検出した場合に、ウェブクライアント９にレスポンスを送信しない遮断処理を行ってもよい。
【００６４】
分析受信部３３は、正当情報を検出した場合（Ｓ１２ではＹＥＳ）に、インターフェイス４３を介してウェブクライアント９に、リクエストに対応するレスポンスを送信する（Ｓ１５）。
【００６５】
［作用効果］
次に、本実施の形態に係る検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法の作用効果について説明する。
【００６６】
上述したように、本実施の形態に係る検知システム１では、ウェブクライアント９からのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置３と、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置５とを備えている。ウェブアプリケーションファイアウォール装置３は、ウェブクライアント９から送られてきたパラメータを含むリクエストを受信し、リクエストが不正なパラメータを含むか否かを判定する判定部３１と、ウェブアプリケーション装置５からリクエストに対応するレスポンスを受信して分析する分析受信部３３とを有している。ウェブアプリケーション装置５は、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する制御部５１と、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置３にレスポンスを送信する応答生成部５３とを有している。判定部３１は、分析受信部３３がレスポンスから不正なパラメータの情報である不正情報を抽出した場合に、パラメータをフィルタリングするためのデータを更新する。応答生成部５３は、不正情報を含むレスポンス及び正当なパラメータの情報である正当情報を含むレスポンスを選択的に生成してウェブアプリケーションファイアウォール装置３に送信する。
【００６７】
この構成によれば、判定部３１が不正なパラメータを遮断し、制御部５１が正当なパラメータを許容することができている。判定部３１は、制御部５１が抽出した正当なパラメータ以外のパラメータをフィルタリングするためのデータを更新することができている。これにより、ウェブアプリケーション装置５におけるホワイトリスト以外のパラメータを不正情報とし、この不正情報をウェブアプリケーションファイアウォール装置３のブラックリストに追加することができている。また、正当なパラメータを有するリクエストは、判定部３１及び制御部５１を通過してこのリクエストに対応するレスポンスをウェブクライアント９に送信することができている。
【００６８】
また、この検知システム１では、仮想マシン上や解析用の物理マシン上に、ヒューリスティックエンジンを搭載した攻撃を検出する専用の装置を必要とすることもなく、システム構築に費やすコストが増大し難い。
【００６９】
したがって、未知の攻撃であってもその攻撃を未然に防ぐことができる。また、正当なパラメータを有するリクエストを遮断することを防止することができる。さらに、システム構築に費やすコストを低廉化することができる。
【００７０】
また、本実施の形態に係る検知システム１において、ウェブアプリケーションファイアウォール装置３は、さらに、ウェブクライアント９の不正なパラメータを含むリクエストを遮断するためのデータを格納している記憶部３５と、データを生成する生成部３７とを有している。また、分析受信部３３は、レスポンスから不正情報を抽出した場合に、不正情報を生成部３７に送信する。そして、判定部３１は、記憶部３５に格納されているデータを更新してリクエストをフィルタリングすることにより、不正なパラメータを含むリクエストを遮断する。
【００７１】
この構成によれば、ウェブアプリケーションファイアウォール装置３とウェブアプリケーション装置５とが連携してシグネチャを自動で更新することができる。シグネチャが自動で更新されていくことで、リクエストを遮断するデータに簡易に反映することができる。
【００７２】
上述したように、本実施の形態に係るウェブアプリケーション装置５では、フィルタリングされたリクエストに対応するレスポンスを送信する。ウェブアプリケーション装置５は、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する制御部５１と、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置３にレスポンスを送信する応答生成部５３とを有している。応答生成部５３は、不正なパラメータであると制御部５１が判定した場合に、不正なパラメータの情報である不正情報をレスポンスに格納する。応答生成部５３は、正当なパラメータであると制御部５１が判定した場合に、正当なパラメータの情報である正当情報をレスポンスに格納する。応答生成部５３は、不正情報を含むレスポンス又は正当情報を含むレスポンスを生成してウェブアプリケーションファイアウォール装置３に送信する。
【００７３】
この構成によれば、正当なパラメータの情報である正当情報と、正当なパラメータ以外のパラメータを不正なパラメータの情報である不正情報とに振り分けて、ウェブアプリケーションファイアウォール装置３にフィードバックすることができる。
【００７４】
上述したように、本実施の形態に係るウェブアプリケーションファイアウォール装置３では、ウェブクライアント９からのリクエストをフィルタリングする。ウェブアプリケーションファイアウォール装置３は、ウェブクライアント９から送られてきたパラメータを含むリクエストを受信し、リクエストが不正なパラメータを含むか否かを判定する判定部３１と、ウェブアプリケーション装置５からレスポンスを受信して分析する分析受信部３３と、ウェブクライアント９の不正なパラメータを含むリクエストを遮断するためのデータを格納している記憶部３５と、リクエストから不正なパラメータを遮断するシグネチャを生成する生成部３７と、シグネチャから不正なパラメータを遮断する規定を記憶部３５に格納する規定部３９と、を有している。分析受信部３３は、不正なパラメータが抽出された場合に、不正なパラメータを生成部３７に送信する。
【００７５】
この構成によれば、ウェブアプリケーションファイアウォール装置３とウェブアプリケーション装置５とが連携してこの規定を自動で更新することができる。ウェブアプリケーションファイアウォール装置３では、この規定が自動で更新されていくことで、リクエストを遮断するデータに簡易に反映することができる。このため、再度、不正なパラメータを含むリクエストがあってもウェブアプリケーションファイアウォール装置３で遮断することができる。その結果、ウェブアプリケーションファイアウォール装置３のフィルタリングを強化することができる。
【００７６】
特に、ウェブアプリケーションファイアウォール装置３では、ウェブアプリケーション装置５の仕様に変更が生じても、この規定を自動で更新することができるため、柔軟な対応を行うことができる。
【００７７】
上述したように、本実施の形態に係る検知システム１における検知方法では、ウェブクライアント９からのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置３と、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置５とを備える。ウェブアプリケーションファイアウォール装置３において、ウェブクライアント９から送られてきたパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する判定ステップと、ウェブアプリケーション装置５からリクエストに対応するレスポンスを受信して分析する分析受信ステップとを含んでいる。第１判定ステップでは、分析受信部３３がレスポンスから不正なパラメータの情報である不正情報を抽出した場合に、パラメータをフィルタリングするためのデータを更新する。検知システム１における検知方法は、さらに、ウェブアプリケーション装置５において、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する第２判定ステップと、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置３にレスポンスを送信する応答生成ステップとを含む。応答生成ステップでは、不正情報を含むレスポンス又は正当なパラメータの情報である正当情報を含むレスポンスを生成してウェブアプリケーションファイアウォール装置３に送信する。
【００７８】
この方法によれば、判定部３１が不正なパラメータを遮断し、制御部５１が正当なパラメータを許容する。判定部３１は、制御部５１が抽出した正当なパラメータ以外のパラメータをフィルタリングするためのデータを更新する。これにより、ウェブアプリケーション装置におけるホワイトリスト以外のパラメータを不正情報とし、この不正情報をウェブアプリケーションファイアウォール装置３のブラックリストに追加する。また、正当なパラメータを有するリクエストは、判定部３１及び制御部５１を通過してこのリクエストに対応するレスポンスをウェブクライアント９に送信する。
【００７９】
また、この検知システム１では、仮想マシン上や解析用の物理マシン上に、ヒューリスティックエンジンを搭載した攻撃を検出する専用の装置を必要とすることもなく、システム構築に費やすコストが増大し難い。
【００８０】
したがって、未知の攻撃であってもその攻撃を未然に防ぐことができる。また、正当なパラメータを有するリクエストを遮断することを防止することができる。さらに、システム構築に費やすコストを低廉化することができる。
【００８１】
上述したように、本実施の形態に係るウェブアプリケーション装置５の検知方法では、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置５を備える。ウェブアプリケーション装置５の検知方法は、ウェブアプリケーション装置５からウェブアプリケーションファイアウォール装置３へリクエストをフィルタリングするための情報をヘッダに含むレスポンスを送信する。
【００８２】
この方法によれば、フィルタリングを行う情報をウェブアプリケーションファイアウォール装置３にフィードバックすることができる。このため、未知の攻撃であってもその攻撃を未然に防ぐことができる。
【００８３】
上述したように、本実施の形態に係るウェブアプリケーションファイアウォール装置３の検知方法では、ウェブクライアントからのリクエストをフィルタリングする。この検知方法では、リクエストをフィルタリングするための情報をヘッダに含むレスポンスをウェブアプリケーション装置５から受信して分析する分析受信部３３が、レスポンスから不正なパラメータの情報である不正情報を抽出した場合に、リクエストをフィルタリングするためのデータを更新する。
【００８４】
この方法によれば、ウェブアプリケーション装置５から受信したレスポンスを分析受信部３３が分析し、不正情報を抽出してリクエストをフィルタリングするためのデータを更新する。このため、リクエストを遮断する規定を簡易に反映することができる。
【００８５】
（実施の形態２）
次に、本開示の実施の形態２として、本開示に関わる検知システム１について図７及び図８を参照しながら説明する。
【００８６】
［構成］
図７は、実施の形態２の検知システム１におけるウェブアプリケーションファイアウォール装置３を示すブロック図である。図８は、実施の形態２の検知システム１を示す説明図である。
【００８７】
図７に示すように、この検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法における他の構成は、実施の形態１の検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法と同様であり、同一の構成については同一の符号を付して構成に関する詳細な説明を省略する。
【００８８】
実施の形態１の検知システム１では分析受信部３３が不正情報を生成部３７に送信するが、実施の形態２の検知システム１では分析受信部３３が不正情報を生成部３７または規定部３９に送信する点で異なっている。
【００８９】
図８に示すように、本開示の実施の形態２の検知システム１では、図１のウェブクライアント９がログイン認証のリクエストを送信してきた場合に、ウェブアプリケーションファイアウォール装置３がログイン認証のリクエストに含まれるパラメータをフィルタリングする。このパラメータは、Ｃｏｏｋｉｅに登録されている。ウェブアプリケーションファイアウォール装置３は、ログイン認証のリクエストをウェブアプリケーション装置５に送信する。ウェブアプリケーション装置５は、ログイン認証の失敗回数をカウントしてＣｏｏｋｉｅに登録し、Ｃｏｏｋｉｅを含むレスポンスをウェブアプリケーションファイアウォール装置３に送信する。ウェブアプリケーションファイアウォール装置３は、図１のウェブクライアント９にレスポンスを送信する。
【００９０】
ウェブアプリケーションファイアウォール装置３は、ログイン認証の失敗回数が所定の回数以上となると、ウェブクライアント９のリクエストをウェブアプリケーションファイアウォール装置３が遮断する。ウェブアプリケーションファイアウォール装置３は、ブラックリストに登録する不正情報を記憶部３５に格納し、この図１のウェブクライアント９のリクエストを遮断する。
【００９１】
また、ログイン認証の失敗回数が所定の回数未満でログイン認証が成功した場合は、リクエストに対応するレスポンスを図１のウェブクライアント９に送信する。
【００９２】
［動作］
以上のように構成された検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法について、その動作を以下に説明する。
【００９３】
図９は、実施の形態２の検知システム１における動作を示すシーケンス図である。
【００９４】
図９に示すように、実施の形態１の検知システム１とステップＳ１〜ステップＳ１０のフローについては、本実施の形態２と同様であるため、説明を省略する。ステップＳ１１では、分析受信部３３がレスポンスに正当情報が含まれているか否かを分析する。分析受信部３３は、不正情報がレスポンスに含まれている場合（Ｓ１１ではＮＯ）、生成部３７または規定部３９に不正情報を送信する。
【００９５】
生成部３７は、不正情報を受信し、不正なパラメータを含むリクエストを検出するために、不正情報に基づくシグネチャを生成する（Ｓ１２）。判定部３１は、生成されたシグネチャを記憶部３５（第１の記憶部）に格納する。規定部３９は、不正情報に基づいて不正なパラメータを含むリクエストを遮断する規定（ルール）を定義する（Ｓ１３）。判定部３１は、リクエストを遮断する規定を記憶部３５に格納する（Ｓ１４）。これにより、記憶部３５には新たな規定が更新されることで、ウェブアプリケーションファイアウォール装置３の判定部３１は、再度、同一のパラメータを含んだリクエストが送信された場合に、ウェブアプリケーション装置５に送ることなく遮断する。
【００９６】
分析受信部３３は、正当情報を検出した場合（Ｓ１１ではＹＥＳ）に、インターフェイス４３を介してウェブクライアント９に、リクエストに対応するレスポンスを送信する（Ｓ１５）。
【００９７】
次に、図９における分析受信部３３のステップＳ１１、生成部３７のステップＳ１２、規定部３９のステップＳ１３、及び記憶部３５に規定を保存するステップＳ１４を、図１０を用いて以下に説明する。
【００９８】
図１０は、実施の形態２の検知システム１を示す概念図である。
【００９９】
図１０に示すように、リクエストに含まれるパラメータがウェブアプリケーション装置５の制御部５１（第２の制御部）で不正情報とされ、分析受信部３３にこの不正情報が送信されている状態である。また、図１のウェブクライアント９からのログイン認証の失敗回数は、３回未満とする。ログイン認証が失敗すると、不正情報を含むレスポンスが分析受信部３３に送信される。
【０１００】
分析受信部３３は、不正情報を含むレスポンスを受信し、レスポンスのヘッダの情報を分析する（Ｓ２１）。分析受信部３３が分析した情報は、不正情報のステップ（Ｓ２２）と、正当情報のステップ（Ｓ２３）とに分岐する。ステップＳ２１が図９のステップＳ１１に相当する。分析受信部３３は、不正情報を生成部３７に送信する。
【０１０１】
生成部３７は、不正情報のステップから受信した場合（Ｓ２２）に、不正情報に基づくシグネチャを生成する（Ｓ２４）。ステップＳ２４が図９のステップＳ１２に相当する。生成部３７は、生成したシグネチャを規定部３９に送信する。シグネチャには、パラメータ、エラー状態、現在のログイン認証の失敗回数などが格納されている。規定部３９は、生成部３７で生成した不正情報に基づくシグネチャを定義する（Ｓ２５）。制御部４１（第１の制御部）は、規定部３９が生成したこの規定を記憶部３５（第１の記憶部）に格納する（Ｓ４０）。
【０１０２】
レスポンスのヘッダの情報を分析（Ｓ２１）で正当情報を含むレスポンスを受信した分析受信部３３のステップＳ２３の場合は、レスポンスのヘッダからログイン認証の結果を分析する（Ｓ３１）。分析受信部３３が分析したログイン認証の結果は、ウェブクライアント９からのログイン認証の許諾（Ｓ３２）、ウェブクライアント９からのログイン認証の回数が３回以上となったことによるログイン認証の遮断（Ｓ３３）、ログイン認証の失敗回数（Ｓ３４）に分岐する。ステップＳ３１も図９のステップＳ１１に相当する。分析受信部３３は、ログイン認証の許諾、ログイン認証の遮断、又はログイン認証の失敗回数のいずれかの結果を規定部３９に送信する。
【０１０３】
規定部３９は、分析受信部３３から受信し、ログイン認証の許諾（Ｓ３５）を含むか否かを判断する。ステップＳ２５が図９のステップＳ１３に相当する。規定部３９には、ログイン認証の失敗回数が３回未満と設定されている（Ｓ３６）。規定部３９は、ログイン認証の失敗回数が３回未満か否かを判断する（Ｓ３７）。
【０１０４】
ログイン認証の失敗回数が２回未満であれば（Ｓ３７ではＹＥＳ）、ログイン認証の失敗回数として１を追加し（Ｓ３８）、制御部４１がユーザのレスポンスに含まれるパラメータを記憶部３５に格納する（Ｓ４０）。ステップＳ４０が図９のステップＳ１４に相当する。制御部４１は、ログイン認証の失敗について、ウェブクライアント９に送信する。
【０１０５】
また、ステップＳ３８でログイン認証の失敗回数が３回となれば、次に行われるログイン認証でステップＳ３１の分岐がステップＳ３３のログイン認証の遮断となる。この場合、ステップＳ３５〜ステップＳ３７まで進み、ステップＳ３７でＮＯとなる。制御部４１は、ユーザのレスポンスに含まれるパラメータを遮断する規定を登録（Ｓ３９）し、記憶部３５に格納する（Ｓ４０）。具体的には、ユーザのレスポンスに含まれるパラメータを遮断するために、フィルタリングするための規定を更新する（Ｓ４０）。これにより、今後、３度目以降のユーザによるログイン認証は遮断される。制御部４１は、ログイン認証の失敗について、ウェブクライアント９に送信する。
【０１０６】
規定部３９は、ウェブクライアント９からのログイン認証が許諾である場合（Ｓ３５ではＹＥＳ）に、記憶部３５の規定を更新する（Ｓ４０）。また、例えば、正当情報を含むレスポンスにおいてログイン認証が１回目で成功した場合は、ステップＳ３１の分岐がステップＳ３２のログイン認証の許諾となり、ステップＳ３５でＹＥＳとなる。そして、記憶部３５に規定が更新される。なお、ログイン認証が１回目で成功した場合は、規定部３９を介さずにステップＳ３２でウェブクライアントにログイン認証の許諾のレスポンスを送信してもよい。
【０１０７】
なお、ログイン認証が許諾の場合には、記憶部３５に格納されているログイン認証の失敗回数をクリアにするよう、記憶部３５に信号を送信してもよい。そして、記憶部３５は、失敗回数が０になった情報が更新させてもよい。
【０１０８】
実施の形態２においても、他の作用効果については、実施の形態１と同様の作用効果を奏する。
【０１０９】
（その他変形例等）
以上、本実施の形態に係る検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法について、実施の形態１、２に基づいて説明したが、本開示は、上記実施の形態１、２に限定されるものではない。
【０１１０】
図１１は、検知システムにおけるウェブアプリケーション装置の制御部の判定を示す説明図である。図１１に示すように、上記実施の形態１、２において、ウェブアプリケーション装置の仕様を変更してホワイトリストのパラメータを図６の場合よりもパラメータｙ３を追加した場合で、リクエストのパラメータがｙ１、ｙ２の場合に、制御部の判定結果は、ｙ３のパラメータが無いとされる。この場合でも、制御部は、レスポンスヘッダにｙ３のパラメータを正当情報として登録してもよい。
【０１１１】
なお、実施の形態１、２では、ブラックリストにパラメータが登録されても、このパラメータをブラックリストから削除（判定部によるフィルタリングの解除）することができてもよい。また、ホワイトリストについても、ホワイトリストを追加、変更等を行うことができてもよい。
【０１１２】
以上のように、本開示における技術の例示として、実施の形態１、２を説明した。そのために、添付図面および詳細な説明を提供した。
【０１１３】
したがって、添付図面および詳細な説明に記載された構成要素の中には、課題解決のために必須な構成要素だけでなく、上記技術を例示するために、課題解決のためには必須でない構成要素も含まれ得る。そのため、それらの必須ではない構成要素が添付図面や詳細な説明に記載されていることをもって、直ちに、それらの必須ではない構成要素が必須であるとの認定をするべきではない。
【０１１４】
また、上述の実施の形態１、２は、本開示における技術を例示するためのものであるから、特許請求の範囲またはその均等の範囲において種々の変更、置き換え、付加、省略などを行うことができる。
【産業上の利用可能性】
【０１１５】
本開示は、情報の送受信を行う、テレビ、冷蔵庫等の家電機器、車両等が備える検知システム等として有用である。
【符号の説明】
【０１１６】
１  検知システム
３  ウェブアプリケーションファイアウォール装置
５  ウェブアプリケーション装置
３１  判定部
３３  分析受信部
３５  記憶部（第１の記憶部）
３７  生成部
３９  規定部
４１  制御部（第１の制御部）
５１  制御部（第２の制御部）
５３  応答生成部
５５  記憶部（第２の記憶部）
【図１】
2017150003.tif 000003
【図２】
2017150003.tif 000004
【図３】
2017150003.tif 000005
【図４】
2017150003.tif 000006
【図５】
2017150003.tif 000007
【図６】
2017150003.tif 000008
【図７】
2017150003.tif 000009
【図８】
2017150003.tif 000010
【図９】
2017150003.tif 000011
【図１０】
2017150003.tif 000012
【図１１】
2017150003.tif 000013
【手続補正書】
【提出日】平成30年7月23日(2018.7.23)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、ネットワークからの攻撃を回避する、検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法に関する。
【背景技術】
【０００２】
従来、通信情報監視装置では、予め設定されたチェックルールに基づいてクライアントからのリクエスト（リクエストメッセージ）のパラメータをチェックし、攻撃と判断してこのリクエストを排除する（例えば特許文献１参照）。
【０００３】
また、マルウェア解析システムでは、マルウェア候補サンプル（不正なパラメータ）がマルウェアであると判定された場合にシグネチャを自動的に生成する（例えば特許文献２参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−４６８５号公報
【特許文献２】特開２０１４−５１９１１３号公報
【発明の概要】
【０００５】
検知システムの一態様は、ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置と、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置と、を備える。ウェブアプリケーションファイアウォール装置は、ウェブクライアントから送られてきたリクエストを受信し、リクエストが正当か否かを判定する第１の制御部と、ウェブアプリケーション装置からリクエストに対応するレスポンスを受信して分析する分析受信部と、を有する。ウェブアプリケーション装置は、ウェブアプリケーションファイアウォール装置から送信されてくるリクエストを受信し、リクエストが正当か否かを判定する第２の制御部と、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置にレスポンスを送信する応答生成部と、を有する。そして、リクエストに対するレスポンスは、リクエストが正当か否かの判定結果を含む。第１の制御部は、ウェブクライアントから送られてきたパラメータを含むリクエストを受信し、リクエストが不正なパラメータを含むか否かを判定する判定部と、ウェブクライアントの不正なパラメータを含むリクエストをフィルタリングするためのデータを格納している第１の記憶部と、データを生成する生成部と、を備え、判定部は、分析受信部がレスポンスから不正なパラメータの情報である不正情報を抽出した場合に、第１の記憶部に格納されているデータを更新してリクエストをフィルタリングすることにより、不正なパラメータを含むリクエストを遮断し、分析受信部は、レスポンスから不正情報を抽出した場合に、不正情報を生成部に送信し、生成部は、不正情報や不正なパラメータからデータを生成する。
【０００６】
また、本開示の一態様に係るウェブアプリケーション装置は、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置であって、ウェブアプリケーションファイアウォール装置から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する第２の制御部と、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置にレスポンスを送信する応答生成部と、を有する。そして、応答生成部は、不正なパラメータであると第２の制御部が判定した場合に、不正なパラメータの情報である不正情報をレスポンスに格納し、正当なパラメータであると第２の制御部が判定した場合に、正当なパラメータの情報である正当情報をレスポンスに格納し、応答生成部は、不正情報を含むレスポンス又は正当情報を含むレスポンスを生成してウェブアプリケーションファイアウォール装置に送信する。
【０００７】
また、本開示の一態様に係るウェブアプリケーションファイアウォール装置は、ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置であって、ウェブクライアントから送られてきたリクエストを受信し、リクエストが正当か否かを判定する第１の制御部と、ウェブアプリケーション装置からレスポンスを受信して分析する分析受信部と、前記ウェブクライアントのリクエストを遮断するためのデータを格納している第１の記憶部と、を備える。そして、第１の制御部は、ウェブクライアントから送られてきたパラメータを含むリクエストを受信し、リクエストが不正なパラメータを含むか否かを判定する判定部と、リクエストから不正なパラメータを遮断するシグネチャを生成する生成部と、シグネチャから不正なパラメータを遮断する規定を第１の記憶部に格納する規定部と、を有する。さらに、分析受信部は、ウェブアプリケーションから送られてきたレスポンスに不正情報が含まれていた場合、不正情報を生成部に送信する。
【０００８】
また、本開示の一態様に係る検知システムにおける検知方法は、ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置と、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置とを備える検知システムにおける検知方法であって、ウェブアプリケーションファイアウォール装置において、ウェブクライアントから送られてきたパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する第１判定ステップと、ウェブアプリケーション装置からリクエストに対応するレスポンスを受信して分析する分析受信ステップと、を含む。第１判定ステップでは、分析受信ステップでレスポンスから不正なパラメータの情報である不正情報を抽出した場合に、パラメータをフィルタリングするためのデータを更新する。検知システムにおける検知方法は、さらに、ウェブアプリケーション装置において、ウェブアプリケーションファイアウォール装置から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する第２判定ステップと、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置にレスポンスを送信する応答生成ステップとを含む。応答生成ステップでは、不正情報を含むレスポンス又は正当なパラメータの情報である正当情報を含むレスポンスを生成してウェブアプリケーションファイアウォール装置に送信する。
【０００９】
また、本開示の一態様に係るウェブアプリケーション装置の検知方法は、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置を備える検知システムにおける検知方法であって、ウェブアプリケーション装置からウェブアプリケーションファイアウォール装置へリクエストをフィルタリングするための情報をヘッダに含むレスポンスを送信する。
【００１０】
また、本開示の一態様に係るウェブアプリケーションファイアウォール装置の検知方法は、ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置の検知方法であって、リクエストをフィルタリングするための情報をヘッダに含むレスポンスをウェブアプリケーション装置から受信して分析する分析受信部が、レスポンスから不正なパラメータの情報である不正情報を抽出した場合に、リクエストをフィルタリングするためのデータを更新する。
【００１１】
ウェブアプリケーションファイアウォール装置では、リクエストを発行したウェブクライアントをフィルタリングするため、ウェブアプリケーション装置からウェブアプリケーションファイアウォール装置へ送信する情報として、少なくともＩＰアドレスまたはウェブクライアントを一意に特定する識別子を利用する。ウェブクライアントを一意に特定する識別子は、ウェブクライアント自身が内部ファームウェアに内包するＩＤであってもよく、ウェブクライアントに対して、ウェブサーバが一意に割り当てるＩＤであってもよく、ウェブクライアントからのログイン情報に基づいてウェブサーバが一意に割り当てるセッションＩＤであってもよい。
【００１２】
本開示によれば、上述した判定、生成、分析が、継続的かつ速やかに実現でき、サーバセキュリティが安定して確保できる。また、未知の攻撃であってもその攻撃を未然に防ぐことができる。また、正当なパラメータを有するリクエストを誤って遮断することを防止することができる。さらに、システム構築に費やすコストを低廉化することができる。
【図面の簡単な説明】
【００１３】
【図１】図１は、実施の形態１の検知システムを示すブロック図である。
【図２】図２は、実施の形態１の検知システムを示す説明図である。
【図３】図３は、実施の形態１の検知システムにおけるウェブアプリケーションファイアウォール装置を示すブロック図である。
【図４】図４は、実施の形態１の検知システムにおけるウェブアプリケーション装置を示すブロック図である。
【図５】図５は、実施の形態１の検知システムにおける動作を示すシーケンス図である。
【図６】図６は、実施の形態１の検知システムにおけるウェブアプリケーション装置の制御部の判定を示す説明図である。
【図７】図７は、実施の形態２の検知システムにおけるウェブアプリケーションファイアウォール装置を示すブロック図である。
【図８】図８は、実施の形態２の検知システムを示す説明図である。
【図９】図９は、実施の形態２の検知システムにおける動作を示すシーケンス図である。
【図１０】図１０は、実施の形態２の検知システムを示す概念図である。
【図１１】図１１は、検知システムにおけるウェブアプリケーション装置の制御部の判定を示す説明図である。
【発明を実施するための形態】
【００１４】
（発明の基礎となった知見）
インターネット等のネットワークを介したサービスの提供として、例えば、ウェブアプリケーション装置がある。ウェブクライアントは、サービスを利用する場合に、ネットワークを介してウェブアプリケーション装置にリクエストを送信する。そして、ウェブアプリケーション装置はこのリクエストに対してレスポンスをウェブクライアントに送信する。
【００１５】
ウェブクライアントからウェブアプリケーション装置の脆弱性を悪用した不正なパラメータを含んだリクエストが送信されてくる場合には、ウェブアプリケーション装置に影響を与え、これが誤動作等を行うことがある。このため、ウェブアプリケーションファイアウォール装置を介し、リクエストに含まれる不正なパラメータを遮断してウェブアプリケーション装置を保護している。
【００１６】
従来、ウェブアプリケーションファイアウォール装置では、正当なパラメータを装う攻撃として、ＳＱＬインジェクション、ＤＤｏｓ攻撃（Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ  ａｔｔａｃｋ攻撃）等の攻撃パターンをブロックすることが知られている。
【００１７】
ウェブアプリケーションファイアウォール装置において、攻撃か否かの判断方法には、ブラックリスト方式とホワイトリスト方式とが知られている。
【００１８】
ブラックリスト方式は、ウェブアプリケーションファイアウォール装置に予め格納されている不当（実行不可能）なパラメータの情報であるブラックリストと、リクエストのパラメータとを照合し、照合が一致した場合に、リクエストを遮断することで、攻撃を未然に防止する方式である。このブラックリスト方式では、予め格納されているデータを定期的に更新しないと、このデータに記載されていない未知の攻撃を受けてしまうという課題がある。また、ブラックリストを定期的に更新したとしても、攻撃パターンの調査等による負担が増加するという課題もある。
【００１９】
一方、ホワイトリスト方式では、ウェブアプリケーションファイアウォール装置に予め格納されている正当（実行可能）なパラメータの情報であるホワイトリストと、リクエストのパラメータとを照合し、照合が一致した場合以外は、不正なパラメータと判定する。このホワイトリスト方式では、ブラックリスト方式よりもセキュリティの強度が高いといえるが、パラメータごとにホワイトリストを定義することが困難であり、運用負担が大きくなるという課題がある。こうしたことから現在では、ブラックリスト方式が主流となっている。
【００２０】
しかしながら、従来のブラックリスト方式を用いたウェブアプリケーションファイアウォール装置では、ブラックリストとして予め格納されていない未知の攻撃（最初の攻撃）防ぐことができない。また、リクエストが正当なパラメータを含んでいても、リクエストを誤って遮断（誤検出）してしまうという問題も生じている。
【００２１】
このため、未知の攻撃であっても、その攻撃を未然に防ぐことができたり、正当なパラメータを有するリクエストを誤って遮断することを防止することができたり、システム構築に費やすコストを低廉化することができたりすることが求められている。
【００２２】
そこで、上記のような課題から検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法を検討した。
【００２３】
以下、適宜図面を参照しながら、実施の形態を詳細に説明する。但し、必要以上に詳細な説明は省略する場合がある。例えば、既によく知られた事項の詳細説明や実質的に同一の構成に対する重複説明を省略する場合がある。これは、以下の説明が不必要に冗長になるのを避け、当業者の理解を容易にするためである。
【００２４】
なお、発明者らは、当業者が本開示を十分に理解するために添付図面および以下の説明を提供するのであって、これらによって特許請求の範囲に記載の主題を限定することを意図するものではない。
【００２５】
なお、各図は、必ずしも厳密に図示されたものではない。また、各図において、実質的に同一の構成に対しては同一の符号を付しており、重複する説明は省略又は簡略化する。
【００２６】
（実施の形態１）
ここでは、本開示の実施の形態１として、本開示に関わる検知システム１について図面を参照しながら説明する。
【００２７】
（検知システム全体の構成）
図１は、実施の形態１の検知システム１を示すブロック図である。
【００２８】
図１に示すように、検知システム１は、ウェブアプリケーションファイアウォール装置３と、ウェブアプリケーション装置５とを備えている。ウェブアプリケーションファイアウォール装置３及びウェブアプリケーション装置５は、例えば、情報処理装置を用いて実現することができる。
【００２９】
ウェブアプリケーションファイアウォール装置３は、ウェブアプリケーション装置５に対する攻撃を防ぐために、ウェブクライアント９からのリクエストに含まれるパラメータをフィルタリングする。ウェブアプリケーションファイアウォール装置３は、通信部を介してインターネットなどのネットワーク７に接続されて、ネットワーク７を介してウェブクライアント９に接続されている。リクエストに含まれるパラメータは、例えば、セキュリティＩＤ、セキュリティＩＤを含むＣｏｏｋｉｅなどである。
【００３０】
図２は、実施の形態１の検知システム１を示す説明図である。
【００３１】
図２に示すように、図１のウェブクライアント９からのリクエストは、図１のネットワーク７を介してウェブアプリケーションファイアウォール装置３でフィルタリングされる。ウェブアプリケーションファイアウォール装置３でフィルタリングされたリクエストは、ウェブアプリケーション装置５に送信される。ウェブアプリケーション装置５は、リクエストに対するレスポンスをウェブアプリケーションファイアウォール装置３に送信する。ウェブアプリケーションファイアウォール装置３は、図１のネットワーク７を介して図１のウェブクライアント９にレスポンスを送信する。実線の矢印で示すように、ウェブアプリケーション装置５がリクエストに含まれる不正なパラメータを検出した場合は、今後、不正なパラメータを含むリクエストを遮断するために、ウェブアプリケーションファイアウォール装置３の記憶部３５（第１の記憶部）に、不正なパラメータの情報である不正情報をフィードバックする。つまり、不正情報をブラックリストに登録し、ブラックリストを更新する。なお、リクエスト及びレスポンスは、ＨＴＴＰ通信を用いて送信される。
【００３２】
ウェブアプリケーションファイアウォール装置３は、ブラックリストに登録する不正情報として、少なくともＩＰアドレス、またはウェブクライアント９を一意に特定する識別子を利用する。ウェブクライアント９を一意に特定する識別子は、ウェブクライアント９自身が内部ファームウェアに内包するＩＤであってもよく、ウェブクライアント９に対してウェブサーバが一意に割り当てるＩＤであってもよく、ウェブクライアント９からのログイン情報に基づいてウェブサーバが一意に割り当てるセッションＩＤであってもよい。
【００３３】
（ウェブアプリケーションファイアウォール装置の構成）
図３は、実施の形態１の検知システム１におけるウェブアプリケーションファイアウォール装置３を示すブロック図である。
【００３４】
図３に示すように、ウェブアプリケーションファイアウォール装置３は、分析受信部３３、記憶部３５（第１の記憶部）、制御部４１（第１の制御部）及びインターフェイス４３を有している。また、制御部４１は、判定部３１、生成部３７、規定部３９を備えている。
【００３５】
判定部３１は、ウェブクライアント９から送られてきたパラメータを含むリクエストを受信する。判定部３１は、メソッドやＵＲＩなどのリクエストライン、ジェネラルヘッダやリクエストヘッダ等のヘッダ等を検査する。判定部３１は、リクエストが不正なパラメータを含むか否かを判定する。言い換えれば、判定部３１は、記憶部３５に格納されているブラックリストとリクエストのパラメータとが一致するか否かを判定する。判定部３１は、分析受信部３３がレスポンスから不正情報を抽出した場合に、記憶部３５に格納されているパラメータをフィルタリングするためのデータを更新（規定部３９が生成した後述する規定を更新）する。
【００３６】
分析受信部３３は、リクエストに対応するレスポンスを行うウェブアプリケーション装置５からレスポンスを受信し、レスポンスに含まれる情報が不正情報か正当なパラメータの情報である正当情報かを分析する。分析受信部３３は、例えば、レスポンスのステータスコード、レスポンスヘッダ等の分析である。分析受信部３３は、レスポンスから不正情報が抽出された場合に、不正情報を生成部３７に送信する。一方、分析受信部３３は、レスポンスから正当情報を抽出した場合に、正当情報を含むレスポンスがインターフェイス４３を介してウェブクライアント９に送信される。
【００３７】
記憶部３５は、例えば、ＨＤＤ（Ｈａｒｄ  ｄｉｓｋ  ｄｒｉｖｅ）などの不揮発性記録媒体により実現される。記憶部３５は、ウェブクライアント９の不正なパラメータを含むリクエストを遮断するためのデータを格納している。記憶部３５のデータは、不正なパラメータといったブラックリストや、不正なパラメータを含むリクエストを遮断する規定（ルール）や、遮断することとなったエラーログなどである。このエラーログは、後に、記憶部３５に格納されているエラーの解析がなされる。
【００３８】
生成部３７は、判定部３１でエラー処理されたパラメータや不正情報から不正なパラメータを遮断するシグネチャを生成する。
【００３９】
規定部３９は、不正なパラメータを含むリクエストを検出するために、シグネチャから不正なパラメータを含むリクエストを遮断する規定（ルール）を定義する。
【００４０】
制御部４１は、この規定を更新し、記憶部３５に格納する。制御部４１は、ＣＰＵ、メインメモリ等が格納されている制御回路である。メインメモリは、例えば、ＤＲＡＭ（Ｄｙｎａｍｉｃ  Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等の記憶媒体である。
【００４１】
（ウェブアプリケーション装置の構成）
図４は、実施の形態１の検知システム１におけるウェブアプリケーション装置５を示すブロック図である。
【００４２】
図４に示すように、ウェブアプリケーション装置５は、フィルタリングされたリクエストに対応するＨＴＴＰレスポンスをウェブアプリケーションファイアウォール装置３に送信する。ウェブアプリケーション装置５は、制御部５１（第２の制御部）、応答生成部５３及び記憶部５５（第２の記憶部）を有している。
【００４３】
制御部５１は、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する。言い換えれば、制御部５１は、記憶部５５に格納されているホワイトリストとリクエストのパラメータとが一致するか否かを判定する。記憶部５５は、ウェブクライアント９の不正なパラメータを含むリクエストを遮断するためのデータを格納している。ウェブアプリケーション装置５における記憶部５５のデータは、正当なパラメータといったホワイトリストなどである。なお、記憶部５５は、制御部５１内に備わっていてもよい。
【００４４】
制御部５１は、ホワイトリストとリクエストのパラメータとが一致しないと判定した場合に、検出された不正情報をレスポンスのヘッダに登録する。不正情報は、ログイン認証失敗回数、検出日時、選択した処理方法、接続元ＩＰアドレス、接続先ＵＲＬ、不正だと判定したヘッダ等である。
【００４５】
また、制御部５１は、ホワイトリストとリクエストのパラメータとが一致する場合に、検出された正当なパラメータに関する情報である正当情報をレスポンスのヘッダに登録する。
【００４６】
応答生成部５３は、不正情報を含むレスポンス及び正当情報を含むレスポンスを選択的に生成してウェブアプリケーションファイアウォール装置３に送信する。つまり、応答生成部５３は、不正情報を含むレスポンス又は正当情報を含むレスポンス（リクエストに対応するレスポンス）を生成し、ウェブアプリケーションファイアウォール装置３にレスポンスを送信する。応答生成部５３は、不正なパラメータであると制御部５１が判定した場合に、不正情報を含むレスポンスを生成し、正当なパラメータであると制御部５１が判定した場合に、正当情報を含むレスポンスを生成する。
【００４７】
［動作］
以上のように構成された検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法について、その動作を以下に説明する。
【００４８】
図５は、実施の形態１の検知システム１における動作を示すシーケンス図である。図６は、実施の形態１の検知システム１におけるウェブアプリケーション装置５の制御部５１の判定を示す説明図である。
【００４９】
図１及び図５に示すように、ウェブアプリケーションファイアウォール装置３は、ウェブクライアント９からのリクエストを受信する。ウェブアプリケーションファイアウォール装置３の判定部３１は、このリクエストのパラメータと記憶部３５（第１の記憶部）に格納されているブラックリストとが一致するか否かを判定する（第１判定ステップＳ１）。
【００５０】
判定部３１は、このリクエストのパラメータと記憶部３５に格納されているブラックリストとが一致する場合（Ｓ１ではＹＥＳ）に、エラーとして処理されたパラメータ（不正なパラメータ）をエラーログとして記憶部３５に格納する（Ｓ２）。なお、不正なパラメータについて、記憶部３５に格納されているエラーの解析がなされる（Ｓ３）。
【００５１】
なお、ウェブアプリケーションファイアウォール装置３では、ステップＳ１でＹＥＳの場合に、検出された不正なパラメータが検出されたことをウェブクライアント９にエラーを通知してもよい。そして、分析受信部３３は、エラーの通知をウェブクライアント９に送信してもよい。
【００５２】
判定部３１は、このリクエストのパラメータと記憶部３５に格納されているブラックリストとが一致しない場合（Ｓ１ではＮＯ）に、ウェブアプリケーションファイアウォール装置３がパラメータを含むリクエストを、ウェブアプリケーション装置５に送信する（Ｓ４）。つまり、ウェブアプリケーションファイアウォール装置３では、判定部３１がブラックリスト方式を採用している。
【００５３】
次に、制御部５１は、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信する。制御部５１は、リクエストが正当なパラメータを含むか否かを判定する（第２判定ステップＳ５）。言い換えれば、制御部５１は、ホワイトリストとリクエストのパラメータとが一致するか否かを判定する。
【００５４】
制御部５１は、リクエストのパラメータと記憶部５５（第２の記憶部）に格納されているホワイトリストと、が一致しない場合（Ｓ５ではＮＯ）に、どのパラメータで一致しないとされたのか等の情報を後に判断するために、障害切り分けを行う（Ｓ６）。制御部５１は、障害切り分けされた不正なパラメータの情報である不正情報を登録する（Ｓ７）。
【００５５】
例えば、図６に示すように、ホワイトリストのパラメータを（ｘ１、ｘ２）とし、リクエストのパラメータを（ｘ１、ｘ２、ｘ３）とした場合に、その判定結果は、ｘ１＝正当、ｘ２＝正当、ｘ３＝不正となる。レスポンスのヘッダには、ありえないパラメータであるｘ３が存在することを不正情報として登録する。そして、図５に示すように、制御部５１は、応答生成部５３に不正情報を含むレスポンスを送信する。
【００５６】
応答生成部５３は、不正情報を含んだレスポンスを生成する（応答生成ステップＳ８）。応答生成部５３は、ウェブアプリケーションファイアウォール装置３の分析受信部３３に不正情報を含んだレスポンス送信する（Ｓ９、ウェブアプリケーション装置５の検知方法）。
【００５７】
制御部５１は、リクエストのパラメータと記憶部５５に格納されているホワイトリストとが一致する場合（Ｓ５ではＹＥＳ）に、正当なパラメータの情報である正当情報として扱う。つまり、このウェブアプリケーション装置５では、制御部５１がホワイトリスト方式を採用している。
【００５８】
例えば、図６に示すように、ホワイトリストのパラメータを（ｙ１、ｙ２）とし、リクエストのパラメータを（ｙ１、ｙ２）とした場合に、その判定結果は、ｙ１＝正当、ｙ２＝正当となる。レスポンスのヘッダには、パラメータ（ｙ１、ｙ２）を含むリクエストを正当情報として登録する（図５のＳ１０）。そして、図５に示すように、制御部５１は、応答生成部５３に正当情報を含むレスポンスを送信する。
【００５９】
応答生成部５３は、正当情報を含んだレスポンスを生成する（応答生成ステップＳ８）。応答生成部５３は、ウェブアプリケーションファイアウォール装置３の分析受信部３３に正当情報を送信する（Ｓ９、ウェブアプリケーション装置５の検知方法）。
【００６０】
分析受信部３３は、応答生成部５３からレスポンスを受信する。分析受信部３３は、レスポンスに正当情報が含まれているか否かを分析する（Ｓ１１、分析受信ステップ）。分析受信部３３は、正当情報が含まれていない場合（Ｓ１１ではＮＯ）、つまり、不正情報がレスポンスに含まれている場合に、生成部３７に不正情報を送信する。
【００６１】
図１及び図５に示すように、生成部３７は、ウェブクライアント９から不正なパラメータを含むリクエストをフィルタリングするために、不正情報に基づくシグネチャを生成する（Ｓ１２）。また、生成部３７は、ステップＳ３のエラーに基づいて生成部がシグネチャを生成したりもする。生成部３７は、生成したシグネチャを規定部３９に送信する。
【００６２】
規定部３９は、シグネチャに基づいて不正なパラメータを含むリクエストを遮断する規定（ルール）を定義する（Ｓ１３）。判定部３１は、リクエストを遮断する規定を記憶部３５に格納する（Ｓ１４、ウェブアプリケーションファイアウォール装置３の検知方法）。つまり、記憶部３５に新たな規定が更新されることで、ウェブアプリケーションファイアウォール装置３の判定部３１は、同一のパラメータを含んだリクエストを今後遮断する。
【００６３】
なお、判定部３１は、検出された不正なパラメータが検出されたことをウェブクライアント９にエラーを通知してもよい。そして、エラーの通知をウェブクライアント９に送信してもよい。また、なお、分析受信部３３は、不正情報を検出した場合に、ウェブクライアント９にレスポンスを送信しない遮断処理を行ってもよい。
【００６４】
分析受信部３３は、正当情報を検出した場合（Ｓ１２ではＹＥＳ）に、インターフェイス４３を介してウェブクライアント９に、リクエストに対応するレスポンスを送信する（Ｓ１５）。
【００６５】
［作用効果］
次に、本実施の形態に係る検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法の作用効果について説明する。
【００６６】
上述したように、本実施の形態に係る検知システム１では、ウェブクライアント９からのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置３と、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置５とを備えている。ウェブアプリケーションファイアウォール装置３は、ウェブクライアント９から送られてきたパラメータを含むリクエストを受信し、リクエストが不正なパラメータを含むか否かを判定する判定部３１と、ウェブアプリケーション装置５からリクエストに対応するレスポンスを受信して分析する分析受信部３３とを有している。ウェブアプリケーション装置５は、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する制御部５１と、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置３にレスポンスを送信する応答生成部５３とを有している。判定部３１は、分析受信部３３がレスポンスから不正なパラメータの情報である不正情報を抽出した場合に、パラメータをフィルタリングするためのデータを更新する。応答生成部５３は、不正情報を含むレスポンス及び正当なパラメータの情報である正当情報を含むレスポンスを選択的に生成してウェブアプリケーションファイアウォール装置３に送信する。
【００６７】
この構成によれば、判定部３１が不正なパラメータを遮断し、制御部５１が正当なパラメータを許容することができている。判定部３１は、制御部５１が抽出した正当なパラメータ以外のパラメータをフィルタリングするためのデータを更新することができている。これにより、ウェブアプリケーション装置５におけるホワイトリスト以外のパラメータを不正情報とし、この不正情報をウェブアプリケーションファイアウォール装置３のブラックリストに追加することができている。また、正当なパラメータを有するリクエストは、判定部３１及び制御部５１を通過してこのリクエストに対応するレスポンスをウェブクライアント９に送信することができている。
【００６８】
また、この検知システム１では、仮想マシン上や解析用の物理マシン上に、ヒューリスティックエンジンを搭載した攻撃を検出する専用の装置を必要とすることもなく、システム構築に費やすコストが増大し難い。
【００６９】
したがって、未知の攻撃であってもその攻撃を未然に防ぐことができる。また、正当なパラメータを有するリクエストを遮断することを防止することができる。さらに、システム構築に費やすコストを低廉化することができる。
【００７０】
また、本実施の形態に係る検知システム１において、ウェブアプリケーションファイアウォール装置３は、さらに、ウェブクライアント９の不正なパラメータを含むリクエストを遮断するためのデータを格納している記憶部３５と、データを生成する生成部３７とを有している。また、分析受信部３３は、レスポンスから不正情報を抽出した場合に、不正情報を生成部３７に送信する。そして、判定部３１は、記憶部３５に格納されているデータを更新してリクエストをフィルタリングすることにより、不正なパラメータを含むリクエストを遮断する。
【００７１】
この構成によれば、ウェブアプリケーションファイアウォール装置３とウェブアプリケーション装置５とが連携してシグネチャを自動で更新することができる。シグネチャが自動で更新されていくことで、リクエストを遮断するデータに簡易に反映することができる。
【００７２】
上述したように、本実施の形態に係るウェブアプリケーション装置５では、フィルタリングされたリクエストに対応するレスポンスを送信する。ウェブアプリケーション装置５は、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する制御部５１と、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置３にレスポンスを送信する応答生成部５３とを有している。応答生成部５３は、不正なパラメータであると制御部５１が判定した場合に、不正なパラメータの情報である不正情報をレスポンスに格納する。応答生成部５３は、正当なパラメータであると制御部５１が判定した場合に、正当なパラメータの情報である正当情報をレスポンスに格納する。応答生成部５３は、不正情報を含むレスポンス又は正当情報を含むレスポンスを生成してウェブアプリケーションファイアウォール装置３に送信する。
【００７３】
この構成によれば、正当なパラメータの情報である正当情報と、正当なパラメータ以外のパラメータを不正なパラメータの情報である不正情報とに振り分けて、ウェブアプリケーションファイアウォール装置３にフィードバックすることができる。
【００７４】
上述したように、本実施の形態に係るウェブアプリケーションファイアウォール装置３では、ウェブクライアント９からのリクエストをフィルタリングする。ウェブアプリケーションファイアウォール装置３は、ウェブクライアント９から送られてきたパラメータを含むリクエストを受信し、リクエストが不正なパラメータを含むか否かを判定する判定部３１と、ウェブアプリケーション装置５からレスポンスを受信して分析する分析受信部３３と、ウェブクライアント９の不正なパラメータを含むリクエストを遮断するためのデータを格納している記憶部３５と、リクエストから不正なパラメータを遮断するシグネチャを生成する生成部３７と、シグネチャから不正なパラメータを遮断する規定を記憶部３５に格納する規定部３９と、を有している。分析受信部３３は、不正なパラメータが抽出された場合に、不正なパラメータを生成部３７に送信する。
【００７５】
この構成によれば、ウェブアプリケーションファイアウォール装置３とウェブアプリケーション装置５とが連携してこの規定を自動で更新することができる。ウェブアプリケーションファイアウォール装置３では、この規定が自動で更新されていくことで、リクエストを遮断するデータに簡易に反映することができる。このため、再度、不正なパラメータを含むリクエストがあってもウェブアプリケーションファイアウォール装置３で遮断することができる。その結果、ウェブアプリケーションファイアウォール装置３のフィルタリングを強化することができる。
【００７６】
特に、ウェブアプリケーションファイアウォール装置３では、ウェブアプリケーション装置５の仕様に変更が生じても、この規定を自動で更新することができるため、柔軟な対応を行うことができる。
【００７７】
上述したように、本実施の形態に係る検知システム１における検知方法では、ウェブクライアント９からのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置３と、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置５とを備える。ウェブアプリケーションファイアウォール装置３において、ウェブクライアント９から送られてきたパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する判定ステップと、ウェブアプリケーション装置５からリクエストに対応するレスポンスを受信して分析する分析受信ステップとを含んでいる。第１判定ステップでは、分析受信部３３がレスポンスから不正なパラメータの情報である不正情報を抽出した場合に、パラメータをフィルタリングするためのデータを更新する。検知システム１における検知方法は、さらに、ウェブアプリケーション装置５において、ウェブアプリケーションファイアウォール装置３から送信されてくるパラメータを含むリクエストを受信し、リクエストが正当なパラメータを含むか否かを判定する第２判定ステップと、リクエストに対応するレスポンスを生成し、ウェブアプリケーションファイアウォール装置３にレスポンスを送信する応答生成ステップとを含む。応答生成ステップでは、不正情報を含むレスポンス又は正当なパラメータの情報である正当情報を含むレスポンスを生成してウェブアプリケーションファイアウォール装置３に送信する。
【００７８】
この方法によれば、判定部３１が不正なパラメータを遮断し、制御部５１が正当なパラメータを許容する。判定部３１は、制御部５１が抽出した正当なパラメータ以外のパラメータをフィルタリングするためのデータを更新する。これにより、ウェブアプリケーション装置におけるホワイトリスト以外のパラメータを不正情報とし、この不正情報をウェブアプリケーションファイアウォール装置３のブラックリストに追加する。また、正当なパラメータを有するリクエストは、判定部３１及び制御部５１を通過してこのリクエストに対応するレスポンスをウェブクライアント９に送信する。
【００７９】
また、この検知システム１では、仮想マシン上や解析用の物理マシン上に、ヒューリスティックエンジンを搭載した攻撃を検出する専用の装置を必要とすることもなく、システム構築に費やすコストが増大し難い。
【００８０】
したがって、未知の攻撃であってもその攻撃を未然に防ぐことができる。また、正当なパラメータを有するリクエストを遮断することを防止することができる。さらに、システム構築に費やすコストを低廉化することができる。
【００８１】
上述したように、本実施の形態に係るウェブアプリケーション装置５の検知方法では、フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置５を備える。ウェブアプリケーション装置５の検知方法は、ウェブアプリケーション装置５からウェブアプリケーションファイアウォール装置３へリクエストをフィルタリングするための情報をヘッダに含むレスポンスを送信する。
【００８２】
この方法によれば、フィルタリングを行う情報をウェブアプリケーションファイアウォール装置３にフィードバックすることができる。このため、未知の攻撃であってもその攻撃を未然に防ぐことができる。
【００８３】
上述したように、本実施の形態に係るウェブアプリケーションファイアウォール装置３の検知方法では、ウェブクライアントからのリクエストをフィルタリングする。この検知方法では、リクエストをフィルタリングするための情報をヘッダに含むレスポンスをウェブアプリケーション装置５から受信して分析する分析受信部３３が、レスポンスから不正なパラメータの情報である不正情報を抽出した場合に、リクエストをフィルタリングするためのデータを更新する。
【００８４】
この方法によれば、ウェブアプリケーション装置５から受信したレスポンスを分析受信部３３が分析し、不正情報を抽出してリクエストをフィルタリングするためのデータを更新する。このため、リクエストを遮断する規定を簡易に反映することができる。
【００８５】
（実施の形態２）
次に、本開示の実施の形態２として、本開示に関わる検知システム１について図７及び図８を参照しながら説明する。
【００８６】
［構成］
図７は、実施の形態２の検知システム１におけるウェブアプリケーションファイアウォール装置３を示すブロック図である。図８は、実施の形態２の検知システム１を示す説明図である。
【００８７】
図７に示すように、この検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法における他の構成は、実施の形態１の検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法と同様であり、同一の構成については同一の符号を付して構成に関する詳細な説明を省略する。
【００８８】
実施の形態１の検知システム１では分析受信部３３が不正情報を生成部３７に送信するが、実施の形態２の検知システム１では分析受信部３３が不正情報を生成部３７または規定部３９に送信する点で異なっている。
【００８９】
図８に示すように、本開示の実施の形態２の検知システム１では、図１のウェブクライアント９がログイン認証のリクエストを送信してきた場合に、ウェブアプリケーションファイアウォール装置３がログイン認証のリクエストに含まれるパラメータをフィルタリングする。このパラメータは、Ｃｏｏｋｉｅに登録されている。ウェブアプリケーションファイアウォール装置３は、ログイン認証のリクエストをウェブアプリケーション装置５に送信する。ウェブアプリケーション装置５は、ログイン認証の失敗回数をカウントしてＣｏｏｋｉｅに登録し、Ｃｏｏｋｉｅを含むレスポンスをウェブアプリケーションファイアウォール装置３に送信する。ウェブアプリケーションファイアウォール装置３は、図１のウェブクライアント９にレスポンスを送信する。
【００９０】
ウェブアプリケーションファイアウォール装置３は、ログイン認証の失敗回数が所定の回数以上となると、ウェブクライアント９のリクエストをウェブアプリケーションファイアウォール装置３が遮断する。ウェブアプリケーションファイアウォール装置３は、ブラックリストに登録する不正情報を記憶部３５に格納し、この図１のウェブクライアント９のリクエストを遮断する。
【００９１】
また、ログイン認証の失敗回数が所定の回数未満でログイン認証が成功した場合は、リクエストに対応するレスポンスを図１のウェブクライアント９に送信する。
【００９２】
［動作］
以上のように構成された検知システム１、ウェブアプリケーション装置５、ウェブアプリケーションファイアウォール装置３、検知システム１における検知方法、ウェブアプリケーション装置５の検知方法及びウェブアプリケーションファイアウォール装置３の検知方法について、その動作を以下に説明する。
【００９３】
図９は、実施の形態２の検知システム１における動作を示すシーケンス図である。
【００９４】
図９に示すように、実施の形態１の検知システム１とステップＳ１〜ステップＳ１０のフローについては、本実施の形態２と同様であるため、説明を省略する。ステップＳ１１では、分析受信部３３がレスポンスに正当情報が含まれているか否かを分析する。分析受信部３３は、不正情報がレスポンスに含まれている場合（Ｓ１１ではＮＯ）、生成部３７または規定部３９に不正情報を送信する。
【００９５】
生成部３７は、不正情報を受信し、不正なパラメータを含むリクエストを検出するために、不正情報に基づくシグネチャを生成する（Ｓ１２）。判定部３１は、生成されたシグネチャを記憶部３５（第１の記憶部）に格納する。規定部３９は、不正情報に基づいて不正なパラメータを含むリクエストを遮断する規定（ルール）を定義する（Ｓ１３）。判定部３１は、リクエストを遮断する規定を記憶部３５に格納する（Ｓ１４）。これにより、記憶部３５には新たな規定が更新されることで、ウェブアプリケーションファイアウォール装置３の判定部３１は、再度、同一のパラメータを含んだリクエストが送信された場合に、ウェブアプリケーション装置５に送ることなく遮断する。
【００９６】
分析受信部３３は、正当情報を検出した場合（Ｓ１１ではＹＥＳ）に、インターフェイス４３を介してウェブクライアント９に、リクエストに対応するレスポンスを送信する（Ｓ１５）。
【００９７】
次に、図９における分析受信部３３のステップＳ１１、生成部３７のステップＳ１２、規定部３９のステップＳ１３、及び記憶部３５に規定を保存するステップＳ１４を、図１０を用いて以下に説明する。
【００９８】
図１０は、実施の形態２の検知システム１を示す概念図である。
【００９９】
図１０に示すように、リクエストに含まれるパラメータがウェブアプリケーション装置５の制御部５１（第２の制御部）で不正情報とされ、分析受信部３３にこの不正情報が送信されている状態である。また、図１のウェブクライアント９からのログイン認証の失敗回数は、３回未満とする。ログイン認証が失敗すると、不正情報を含むレスポンスが分析受信部３３に送信される。
【０１００】
分析受信部３３は、不正情報を含むレスポンスを受信し、レスポンスのヘッダの情報を分析する（Ｓ２１）。分析受信部３３が分析した情報は、不正情報のステップ（Ｓ２２）と、正当情報のステップ（Ｓ２３）とに分岐する。ステップＳ２１が図９のステップＳ１１に相当する。分析受信部３３は、不正情報を生成部３７に送信する。
【０１０１】
生成部３７は、不正情報のステップから受信した場合（Ｓ２２）に、不正情報に基づくシグネチャを生成する（Ｓ２４）。ステップＳ２４が図９のステップＳ１２に相当する。生成部３７は、生成したシグネチャを規定部３９に送信する。シグネチャには、パラメータ、エラー状態、現在のログイン認証の失敗回数などが格納されている。規定部３９は、生成部３７で生成した不正情報に基づくシグネチャを定義する（Ｓ２５）。制御部４１（第１の制御部）は、規定部３９が生成したこの規定を記憶部３５（第１の記憶部）に格納する（Ｓ４０）。
【０１０２】
レスポンスのヘッダの情報を分析（Ｓ２１）で正当情報を含むレスポンスを受信した分析受信部３３のステップＳ２３の場合は、レスポンスのヘッダからログイン認証の結果を分析する（Ｓ３１）。分析受信部３３が分析したログイン認証の結果は、ウェブクライアント９からのログイン認証の許諾（Ｓ３２）、ウェブクライアント９からのログイン認証の回数が３回以上となったことによるログイン認証の遮断（Ｓ３３）、ログイン認証の失敗回数（Ｓ３４）に分岐する。ステップＳ３１も図９のステップＳ１１に相当する。分析受信部３３は、ログイン認証の許諾、ログイン認証の遮断、又はログイン認証の失敗回数のいずれかの結果を規定部３９に送信する。
【０１０３】
規定部３９は、分析受信部３３から受信し、ログイン認証の許諾（Ｓ３５）を含むか否かを判断する。ステップＳ２５が図９のステップＳ１３に相当する。規定部３９には、ログイン認証の失敗回数が３回未満と設定されている（Ｓ３６）。規定部３９は、ログイン認証の失敗回数が３回未満か否かを判断する（Ｓ３７）。
【０１０４】
ログイン認証の失敗回数が２回未満であれば（Ｓ３７ではＹＥＳ）、ログイン認証の失敗回数として１を追加し（Ｓ３８）、制御部４１がユーザのレスポンスに含まれるパラメータを記憶部３５に格納する（Ｓ４０）。ステップＳ４０が図９のステップＳ１４に相当する。制御部４１は、ログイン認証の失敗について、ウェブクライアント９に送信する。
【０１０５】
また、ステップＳ３８でログイン認証の失敗回数が３回となれば、次に行われるログイン認証でステップＳ３１の分岐がステップＳ３３のログイン認証の遮断となる。この場合、ステップＳ３５〜ステップＳ３７まで進み、ステップＳ３７でＮＯとなる。制御部４１は、ユーザのレスポンスに含まれるパラメータを遮断する規定を登録（Ｓ３９）し、記憶部３５に格納する（Ｓ４０）。具体的には、ユーザのレスポンスに含まれるパラメータを遮断するために、フィルタリングするための規定を更新する（Ｓ４０）。これにより、今後、３度目以降のユーザによるログイン認証は遮断される。制御部４１は、ログイン認証の失敗について、ウェブクライアント９に送信する。
【０１０６】
規定部３９は、ウェブクライアント９からのログイン認証が許諾である場合（Ｓ３５ではＹＥＳ）に、記憶部３５の規定を更新する（Ｓ４０）。また、例えば、正当情報を含むレスポンスにおいてログイン認証が１回目で成功した場合は、ステップＳ３１の分岐がステップＳ３２のログイン認証の許諾となり、ステップＳ３５でＹＥＳとなる。そして、記憶部３５に規定が更新される。なお、ログイン認証が１回目で成功した場合は、規定部３９を介さずにステップＳ３２でウェブクライアントにログイン認証の許諾のレスポンスを送信してもよい。
【０１０７】
なお、ログイン認証が許諾の場合には、記憶部３５に格納されているログイン認証の失敗回数をクリアにするよう、記憶部３５に信号を送信してもよい。そして、記憶部３５は、失敗回数が０になった情報が更新させてもよい。
【０１０８】
実施の形態２においても、他の作用効果については、実施の形態１と同様の作用効果を奏する。
【０１０９】
（その他変形例等）
以上、本実施の形態に係る検知システム、ウェブアプリケーション装置、ウェブアプリケーションファイアウォール装置、検知システムにおける検知方法、ウェブアプリケーション装置の検知方法及びウェブアプリケーションファイアウォール装置の検知方法について、実施の形態１、２に基づいて説明したが、本開示は、上記実施の形態１、２に限定されるものではない。
【０１１０】
図１１は、検知システムにおけるウェブアプリケーション装置の制御部の判定を示す説明図である。図１１に示すように、上記実施の形態１、２において、ウェブアプリケーション装置の仕様を変更してホワイトリストのパラメータを図６の場合よりもパラメータｙ３を追加した場合で、リクエストのパラメータがｙ１、ｙ２の場合に、制御部の判定結果は、ｙ３のパラメータが無いとされる。この場合でも、制御部は、レスポンスヘッダにｙ３のパラメータを正当情報として登録してもよい。
【０１１１】
なお、実施の形態１、２では、ブラックリストにパラメータが登録されても、このパラメータをブラックリストから削除（判定部によるフィルタリングの解除）することができてもよい。また、ホワイトリストについても、ホワイトリストを追加、変更等を行うことができてもよい。
【０１１２】
以上のように、本開示における技術の例示として、実施の形態１、２を説明した。そのために、添付図面および詳細な説明を提供した。
【０１１３】
したがって、添付図面および詳細な説明に記載された構成要素の中には、課題解決のために必須な構成要素だけでなく、上記技術を例示するために、課題解決のためには必須でない構成要素も含まれ得る。そのため、それらの必須ではない構成要素が添付図面や詳細な説明に記載されていることをもって、直ちに、それらの必須ではない構成要素が必須であるとの認定をするべきではない。
【０１１４】
また、上述の実施の形態１、２は、本開示における技術を例示するためのものであるから、特許請求の範囲またはその均等の範囲において種々の変更、置き換え、付加、省略などを行うことができる。
【産業上の利用可能性】
【０１１５】
本開示は、情報の送受信を行う、テレビ、冷蔵庫等の家電機器、車両等が備える検知システム等として有用である。
【符号の説明】
【０１１６】
１    検知システム
３    ウェブアプリケーションファイアウォール装置
５    ウェブアプリケーション装置
３１    判定部
３３    分析受信部
３５    記憶部（第１の記憶部）
３７    生成部
３９    規定部
４１    制御部（第１の制御部）
５１    制御部（第２の制御部）
５３    応答生成部
５５    記憶部（第２の記憶部）
【手続補正２】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置と、フィルタリングされた前記リクエストに対応するレスポンスを送信するウェブアプリケーション装置と、を備え、
前記ウェブアプリケーションファイアウォール装置は、
前記ウェブクライアントから送られてきた前記リクエストを受信し、前記リクエストが正当か否かを判定する第１の制御部と、
前記ウェブアプリケーション装置から前記フィルタリングされたリクエストに対応する前記レスポンスを受信して分析する分析受信部と、を有し、
前記ウェブアプリケーション装置は、
前記ウェブアプリケーションファイアウォール装置から送信されてくる前記フィルタリングされたリクエストを受信し、前記フィルタリングされたリクエストが正当か否かを判定する第２の制御部と、
前記フィルタリングされたリクエストに対応する前記レスポンスを生成し、前記ウェブアプリケーションファイアウォール装置に前記レスポンスを送信する応答生成部と、を有し、
前記フィルタリングされたリクエストに対する前記レスポンスは、前記フィルタリングされたリクエストが正当か否かの判定結果を含み、
前記第１の制御部は、前記ウェブクライアントから送られてきたパラメータを含む前記リクエストを受信し、前記リクエストが不正な前記パラメータを含むか否かを判定する判定部と、
前記ウェブクライアントの不正な前記パラメータを含む前記リクエストをフィルタリングするためのデータを格納している第１の記憶部と、
前記データを生成する生成部と、を備え、
前記判定部は、前記分析受信部が前記レスポンスから不正な前記パラメータの情報である不正情報を抽出した場合に、前記第１の記憶部に格納されている前記データを更新して前記リクエストをフィルタリングすることにより、不正な前記パラメータを含む前記リクエストを遮断し、
前記分析受信部は、前記レスポンスから前記不正情報を抽出した場合に、前記不正情報を前記生成部に送信し、
前記生成部は、前記不正情報や前記不正な前記パラメータから前記データを生成する
検知システム。
【請求項２】
前記第２の制御部は、前記ウェブアプリケーションファイアウォール装置から送信されてくる前記パラメータを含む前記フィルタリングされたリクエストを受信し、前記フィルタリングされたリクエストが正当な前記パラメータを含むか否かを判定し、
前記応答生成部は、前記不正情報を含む前記レスポンス及び正当な前記パラメータの情報である正当情報を含む前記レスポンスを選択的に生成して前記ウェブアプリケーションファイアウォール装置に送信する
請求項１に記載の検知システム。
【請求項３】
フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置であって、
ウェブアプリケーションファイアウォール装置から送信されてくるパラメータを含む前記フィルタリングされたリクエストを受信し、前記フィルタリングされたリクエストが正当な前記パラメータを含むか否かを判定する第２の制御部と、
前記フィルタリングされたリクエストに対応する前記レスポンスを生成し、前記ウェブアプリケーションファイアウォール装置に前記レスポンスを送信する応答生成部と、を有し、
前記応答生成部は、不正な前記パラメータであると前記第２の制御部が判定した場合に、不正な前記パラメータの情報である不正情報を前記レスポンスに格納し、正当な前記パラメータであると前記第２の制御部が判定した場合に、正当な前記パラメータの情報である正当情報を前記レスポンスに格納し、
前記応答生成部は、前記不正情報を含む前記レスポンス又は前記正当情報を含む前記レスポンスを生成して前記ウェブアプリケーションファイアウォール装置に送信する
ウェブアプリケーション装置。
【請求項４】
ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置であって、
前記ウェブクライアントから送られてきた前記リクエストを受信し、前記リクエストが正当か否かを判定する第１の制御部と、
ウェブアプリケーション装置からレスポンスを受信して分析する分析受信部と、
前記ウェブクライアントの前記リクエストを遮断するためのデータを格納している第１の記憶部と、を備え、
前記第１の制御部は、
前記ウェブクライアントから送られてきたパラメータを含む前記リクエストを受信し、前記リクエストが不正な前記パラメータを含むか否かを判定する判定部と、
前記リクエストから不正な前記パラメータを遮断するシグネチャを生成する生成部と、
前記シグネチャから不正な前記パラメータを遮断する規定を前記第１の記憶部に格納する規定部と、を有し、
前記分析受信部は、前記ウェブアプリケーション装置から送られてきた前記レスポンスから不正情報が抽出された場合に、前記不正情報を前記生成部に送信する
ウェブアプリケーションファイアウォール装置。
【請求項５】
前記分析受信部は、前記ウェブアプリケーション装置から送られてきた前記レスポンス中の不正情報が抽出された場合に、前記不正情報を前記生成部または前記規定部に送信する
請求４項記載のウェブアプリケーションファイアウォール装置。
【請求項６】
ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置と、フィルタリングされた前記リクエストに対応するレスポンスを送信するウェブアプリケーション装置とを備える検知システムにおける検知方法であって、
前記ウェブアプリケーションファイアウォール装置において、
前記ウェブクライアントから送られてきたパラメータを含む前記リクエストを受信し、前記リクエストが正当な前記パラメータを含むか否かを判定する第１判定ステップと、
前記ウェブアプリケーション装置から前記フィルタリングされたリクエストに対応する前記レスポンスを受信して分析する分析受信ステップと、を含み、
前記第１判定ステップでは、前記分析受信ステップで前記レスポンスから不正な前記パラメータの情報である不正情報を抽出した場合に、前記パラメータをフィルタリングするためのデータを更新し、
検知システムにおける検知方法は、さらに、前記ウェブアプリケーション装置において、
前記ウェブアプリケーションファイアウォール装置から送信されてくる前記パラメータを含む前記フィルタリングされたリクエストを受信し、前記フィルタリングされたリクエストが正当な前記パラメータを含むか否かを判定する第２判定ステップと、
前記フィルタリングされたリクエストに対応するレスポンスを生成し、前記ウェブアプリケーションファイアウォール装置に前記レスポンスを送信する応答生成ステップと、を含み、
前記応答生成ステップでは、前記不正情報を含む前記レスポンス又は正当な前記パラメータの情報である正当情報を含む前記レスポンスを生成して前記ウェブアプリケーションファイアウォール装置に送信する
検知システムにおける検知方法。
【請求項７】
フィルタリングされたリクエストに対応するレスポンスを送信するウェブアプリケーション装置の検知方法であって、
前記ウェブアプリケーション装置からウェブアプリケーションファイアウォール装置へリクエストをフィルタリングするための情報をヘッダに含む前記レスポンスを送信する
ウェブアプリケーション装置の検知方法。
【請求項８】
ウェブクライアントからのリクエストをフィルタリングするウェブアプリケーションファイアウォール装置の検知方法であって、
前記リクエストをフィルタリングするための情報をヘッダに含むレスポンスをウェブアプリケーション装置から受信して分析する分析受信部が、前記レスポンスから不正なパラメータの情報である不正情報を抽出した場合に、前記リクエストをフィルタリングするためのデータを更新する
ウェブアプリケーションファイアウォール装置の検知方法。
【国際調査報告】
2017150003.tif 000014
2017150003.tif 000015