(57)【特許請求の範囲】
【請求項１】
改ざんされたウェブサイトのコンテンツに挿入されたリダイレクトコードを検査する検査部と、
前記検査の結果、前記リダイレクトコードに新たなウェブサイトの情報が記述されているとき、前記ウェブサイトの情報をブラックリストに追加する追加部と、
前記検査の結果、前記リダイレクトコードに記述されなくなった前記ウェブサイトの情報を前記ブラックリストから削除する削除部と
を備えることを特徴とする監視装置。
【請求項２】
前記検査部は、１以上の改ざんされたウェブサイトのコンテンツを検査し、
前記追加部は、前記検査の結果、少なくともいずれかの前記ウェブサイトのコンテンツのリダイレクトコードに新たなウェブサイトの情報が記述されているとき、前記ウェブサイトの情報を前記ブラックリストに追加し、
前記削除部は、前記検査の結果、いずれのウェブサイトのコンテンツのリダイレクトコードにも記述されなくなった前記ウェブサイトの情報を前記ブラックリストから削除すること
を特徴とする請求項１に記載の監視装置。
【請求項３】
前記追加部は、前記ウェブサイトの情報として、ＵＲＬ（Uniform  Resource  Locator）、ＦＱＤＮ（Fully  Qualified  Domain  Name）、または、当該ＦＱＤＮに割り当てられているＩＰ（Internet  Protocol）アドレスを取得すること
を特徴とする請求項１または２に記載の監視装置。
【請求項４】
改ざんされたウェブサイトのコンテンツに挿入されたリダイレクトコードを検査するステップと、
前記検査の結果、前記リダイレクトコードに新たなウェブサイトの情報が記述されているとき、前記ウェブサイトの情報をブラックリストに追加する追加ステップと、
前記検査の結果、前記リダイレクトコードに記述されなくなった前記ウェブサイトの情報を前記ブラックリストから削除するステップと
を含んだことを特徴とする監視方法。
【請求項５】
改ざんされたウェブサイトのコンテンツに挿入されたリダイレクトコードを検査するステップと、
前記検査の結果、前記リダイレクトコードに新たなウェブサイトの情報が記述されているとき、前記ウェブサイトの情報をブラックリストに追加する追加ステップと、
前記検査の結果、前記リダイレクトコードに記述されなくなった前記ウェブサイトの情報を前記ブラックリストから削除するステップと
をコンピュータに実行させることを特徴とする監視プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視装置、監視方法、および、監視プログラムに関する。
【背景技術】
【０００２】
マルウェア感染やフィッシング攻撃等のさまざまなサイバー攻撃に、悪意のあるウェブサイト（以下、悪性ウェブサイト）が用いられている。悪性ウェブサイトを、あらかじめブラックリスト化することで、ユーザの悪性ウェブサイトへのアクセスを遮断し、攻撃を防ぐことができる。悪性ウェブサイトの発見方法は、検索エンジンのキーワード検索により列挙したＵＲＬ（Uniform  Resource  Locator）を検査する方法や、ハイパーリンクを辿って発見する方法、スパムメールのＵＲＬを検査する方法、ユーザ申告に基づく方法等、様々な方法が存在する（非特許文献１〜４参照）。【０００３】
一般的に、ブラックリストに登録できるエントリー数の上限が存在する。またブラックリストに登録されるエントリー数が多いほど、ＵＲＬのマッチングの処理が増加するため、利用されなくなった悪性ウェブサイトはなるべくブラックリストから除外することが望ましい。このためブラックリストに登録された悪性ウェブサイトのＵＲＬを一定期間（例えば、２４時間、７日間等）経過後に除外したり（以下、エイジングと称す）、応答のない悪性ウェブサイトのＵＲＬを削除したりすることが行われている。
【先行技術文献】
【非特許文献】
【０００４】
【非特許文献１】The  Honeynet  Project、“Know  Your  Enemy:  Malicious  Web  Servers”、[online]、[平成26年1月7日検索]、インターネット<http://www.honeynet.org/papers/mws>
【非特許文献２】Mitsuaki  Akiyama,“Searching  structural  neighborhood  of  malicious  URLs  to  improve  blacklisting”,IEEE/IPSJ  SAINT,2011
【非特許文献３】Jack  W.Stokes,“WebCop:  Locating  Neighborhoods  of  Malware  on  the  Web”,USENIX  LEET,2010
【非特許文献４】Luca  Invernizzi,“EvilSeed:  A  Guided  Approach  to  Finding  Malicious  Web  Pages”,IEEE  Security  and  Privacy,2012
【非特許文献５】Mitsuaki  Akiyama,“Design  and  Implementation  of  High  Interaction  Client  Honeypot  for  Drive-by-Download  Attacks,IEICE  Transaction  on  Communication,Vol.93-B,pp.1131-1139,2010
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、前記したエイジングによりブラックリストからＵＲＬを削除すると、実際には悪性ウェブサイトとして生存しているウェブサイトのＵＲＬを除外してしまう可能性がある。【０００６】
また、応答のない悪性ウェブサイトのＵＲＬをブラックリストから削除する方法においても、悪性ウェブサイト側でクローキングと呼ばれる、セキュリティ検査の回避手法が用いられると、検査システム側で実際には生存している悪性ウェブサイトについて生存していないと判断してしまうおそれがある。このクローキングの例としては、例えば、悪性ウェブサイト側で、自身のウェブサイトにアクセスするクライアントのＩＰアドレス（Internet  Protocol  address）情報を記録しておき、２回目以降、同じＩＰアドレスのクライアントからのアクセスを禁止する方法がある。【０００７】
悪性ウェブサイト側でこのようなクローキングが行われると、検査システムは悪性ウェブサイトに１回しか正常にアクセスできない。このため、例えば、検査システムが、HTTP（HyperText  Transfer  Protocol）の正常応答（“200  OK”ステータスコードの応答）により悪性ウェブサイトの生存確認をする場合、悪性ウェブサイト側でクローキングが行われていると、検査システムは、この悪性ウェブサイト側からの応答が得られない（例えば、“200  OK”ステータスコードを応答するが、コンテンツが無害もしくはコンテンツが無い）。その結果、検査システムは、実際にはこの悪性ウェブサイトが生存しているにもかかわらず生存していないと判断し、この悪性ウェブサイトのＵＲＬをブラックリストから削除してしまうという問題がある。【０００８】
そこで、本発明は前記した問題を解決し、実際に生存している悪性ウェブサイトの情報をブラックリストに登録することを課題とする。
【課題を解決するための手段】
【０００９】
上述した課題を解決し、目的を達成するために、本発明は、改ざんされたウェブサイトのコンテンツに挿入されたリダイレクトコードを検査する検査部と、前記検査の結果、前記リダイレクトコードに新たなウェブサイトの情報が記述されているとき、前記ウェブサイトの情報をブラックリストに追加する追加部と、前記検査の結果、前記リダイレクトコードに記述されなくなった前記ウェブサイトの情報を前記ブラックリストから削除する削除部とを備えることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、実際に生存している悪性ウェブサイトの情報を削除することなく、実際には生存していない悪性ウェブサイトの情報がブラックリストに登録され続けることを防止することができる。その結果、新たな悪性ウェブサイトの情報をブラックリストに追加するとともに、ブラックリストのエントリー数の増大を抑制し、ブラックリストを用いたフィルタリングの処理時間を低減することができる。
【図面の簡単な説明】
【００１１】
【図１】図１は、本実施形態のシステムの構成を示す図である。
【図２】図２は、監視装置の構成を示す図である。
【図３Ａ】図３Ａは、悪性ウェブサイト生存確認テーブルの例を示す図である。
【図３Ｂ】図３Ｂは、悪性ウェブサイト生存確認テーブルの例を示す図である。
【図３Ｃ】図３Ｃは、悪性ウェブサイト生存確認テーブルの例を示す図である。
【図４Ａ】図４Ａは、悪性ウェブサイト生存確認テーブルから、出現ウェブサイトの情報とその生存期間との対応を取り出した情報の例を示す図である。
【図４Ｂ】図４Ｂは、悪性ウェブサイト生存確認テーブルから、出現ウェブサイトの情報とその生存期間との対応を取り出した情報の例を示す図である。
【図４Ｃ】図４Ｃは、悪性ウェブサイト生存確認テーブルから、出現ウェブサイトの情報とその生存期間との対応を取り出した情報の例を示す図である。
【図５】図５は、監視装置の処理手順を示すフローチャートである。
【図６】図６は、監視プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【００１２】
以下、本発明を実施するための形態（実施形態）について説明する。なお、本実施形態により本発明が限定されるものではない。
【００１３】
本実施形態のシステムの構成図を図１に示す。システムは、検査対象のウェブサイト１０と、悪性ウェブサイト２０と、監視装置３０と、ブラックリスト４０とを含んで構成される。
【００１４】
ウェブサイト１０は、監視装置３０による検査対象のウェブサイトであり、予め改ざんされていることが知られているものとする。このウェブサイト１０はコンテンツ１１を含む。このコンテンツ１１は、攻撃者の改ざんにより、当該コンテンツ１１へのアクセスを、悪性ウェブサイト２０にリダイレクトするためのコード（リダイレクトコード）が埋め込まれているものとする。
【００１５】
悪性ウェブサイト２０は攻撃者により管理されるウェブサイトであり、悪性コンテンツ２１を含む。
【００１６】
監視装置３０は、継続的にウェブサイト１０のコンテンツ１１のリダイレクトコードを検査し、その検査結果を用いて、ブラックリスト４０への登録や削除を行う。例えば、監視装置３０は、コンテンツ１１に挿入されたリダイレクトコードから、新たな悪性ウェブサイト２０の情報を発見すると、この悪性ウェブサイト２０の情報をブラックリスト４０に登録する。この悪性ウェブサイト２０の情報は、ＵＲＬ、ＦＱＤＮ（Fully  Qualified  Domain  Name）、ＦＱＤＮに割り当てられているＩＰアドレス等である。また、監視装置３０は、ウェブサイトのコンテンツ１１のリダイレクトコードを検査し、当該リダイレクトコードに、以前ブラックリスト４０に登録した悪性ウェブサイト２０の情報がなくなったとき、この悪性ウェブサイト２０の情報をブラックリスト４０から削除する。
【００１７】
ブラックリスト４０は悪性ウェブサイト２０の情報を示した情報である。
【００１８】
なお、監視装置３０が検査対象とするウェブサイト１０は、図１に示すように複数でもよいし、単数でもよい。
【００１９】
また、コンテンツ１１のリダイレクトコードに記述されなくなった悪性ウェブサイト２０の情報であっても、所定期間経過後に再度記述される場合もある。このような場合、監視装置３０がブラックリスト４０からいったん当該情報を削除しても、再度の検査により発見され、ブラックリスト４０に登録されることになる。
【００２０】
次に、図２を用いて、監視装置３０を詳細に説明する。図２は、監視装置の構成を示す図である。
【００２１】
監視装置３０は、入出力部３１と、通信部３２と、制御部３３と、記憶部３４とを備える。
【００２２】
入出力部３１は、外部装置（例えば、ブラックリスト４０を記憶する装置）との間での各種データの入出力を司る。通信部３２は、ウェブサイト１０等との通信を司る。
【００２３】
制御部３３は、検査部３３１と、追加部３３２と、削除部３３３とを備える。
【００２４】
検査部３３１は、検査対象のウェブサイト１０のコンテンツ１１のリダイレクトコードを検査する。例えば、検査部３３１は、所定期間ごとに、検査対象のウェブサイト１０のコンテンツ１１のリダイレクトコードに記述されるリダイレクト先、具体例を挙げると、コンテンツ１１のiframeタグやscriptタグのsrc属性に記述される悪性ウェブサイト２０の情報（例えば、ＵＲＬ）を検査する。そして、このリダイレクトコードに悪性ウェブサイト２０の情報が記述されていれば、検査部３３１は、この悪性ウェブサイト２０の情報を取得し、記憶部３４の悪性ウェブサイト生存確認テーブルに記録する。この悪性ウェブサイト生存確認テーブルの詳細は後記する。なお、検査部３３１による検査の間隔は、例えば、１日等、一般的な悪性ウェブサイト２０のＵＲＬの生存期間等を考慮して設定することが好ましい。これは、悪性ウェブサイト２０のＵＲＬの生存期間に比べて長過ぎる検査の間隔を設定すると、悪性ウェブサイト２０のＵＲＬが生存していたにもかかわらず検査部３３１における検査漏れが生じる可能性があり、また悪性ウェブサイト２０のＵＲＬの生存期間に比べて短過ぎる検査の間隔を設定すると、検査部３３１における検査の処理負荷が過大になってしまう可能性があるからである。なお、上記の検査の間隔は、監視装置３０のユーザが適宜変更可能である。
【００２５】
追加部３３２は、悪性ウェブサイト生存確認テーブルを参照して、検査対象のウェブサイト１０のうち、少なくともいずれかのウェブサイト１０のコンテンツ１１のリダイレクトコードに記述された新たな悪性ウェブサイト２０の情報をブラックリスト４０に追加する。
【００２６】
削除部３３３は、検査部３３１による検査の結果、いずれのウェブサイト１０のコンテンツ１１のリダイレクトコードにも記述されなくなった悪性ウェブサイト２０の情報をブラックリスト４０から削除する。
【００２７】
記憶部３４は、前記した悪性ウェブサイト生存確認テーブルを記憶する。この悪性ウェブサイト生存確認テーブルは、検査部３３１による各ウェブサイト１０の検査結果を示した情報であり、検査対象のウェブサイト１０ごとに、当該ウェブサイト１０のコンテンツ１１のリダイレクトコードに記述される悪性ウェブサイト２０（出現ウェブサイト）の情報と、その悪性ウェブサイト２０の情報が記述された期間とを対応付けて示した情報である。この悪性ウェブサイト生存確認テーブルは、検査部３３１による検査が行われるたび更新される。
【００２８】
この悪性ウェブサイト生存確認テーブルは、例えば、図３Ａ〜図３Ｃに示すような複数のテーブルから構成される。ここでは図３ＡはウェブサイトＡのコンテンツ１１においてリダイレクト先に「example.com」、「example.net」、「example.org」それぞれが記述された期間（生存期間）を示し、図３ＢはウェブサイトＢのコンテンツ１１においてリダイレクト先に「example.com」、「example.net」、「example.org」が記述された期間を示し、図３ＣはウェブサイトＣのコンテンツ１１においてリダイレクト先に「example.com」、「example.net」、「example.org」が記述された期間を示す。図３Ａ〜図３Ｃ、および図４Ａ〜図４Ｃにおける塗りつぶし部分は、当該ウェブサイトにおいて当該出現ウェブサイトへのリダイレクトがあった期間を示す。
【００２９】
なお、この悪性ウェブサイト生存確認テーブルにおける、出現ウェブサイトの情報は、検査部３３１により新たな悪性ウェブサイト２０を発見されたときに追加される。
【００３０】
この悪性ウェブサイト生存確認テーブルから、出現ウェブサイトの情報とその生存期間との対応情報を取り出すと、図４Ａ〜図４Ｃに示すようになる。図４Ａは「example.com」の各ウェブサイト１０での生存期間を示し、図４Ｂは「example.net」の各ウェブサイト１０での生存期間を示し、図４Ｃは「example.org」の各ウェブサイト１０での生存期間を示す。
【００３１】
なお、上記の図４Ａ〜図４Ｃの情報における「全体」の行は、当該出現ウェブサイトが、当該期間において、いずれかのウェブサイト１０に生存したことを示す。例えば、図４Ａに示す「example.com」の場合、ウェブサイトＡではＤａｙ１からＤａｙ３の間生存し、ウェブサイトＢではＤａｙ３からＤａｙ４まで生存し、全体としてはＤａｙ１からＤａｙ４まで生存したことを示す。同様に、図４Ｂに示す「example.net」は全体としてＤａｙ３からＤａｙ５まで生存し、図４Ｃに示す「example.org」は全体としてＤａｙ４からＤａｙ７まで生存したことを示す。
【００３２】
追加部３３２は、例えば、前記した悪性ウェブサイト生存確認テーブルを参照し、検査対象のウェブサイト１０のうちいずれかのウェブサイト１０で新規に出現した悪性ウェブサイト２０の情報をブラックリスト４０に追加する。また、削除部３３３は、悪性ウェブサイト生存確認テーブルを参照し、検査対象のウェブサイト１０のうちいずれのウェブサイト１０にも生存しなくなった悪性ウェブサイト２０の情報をブラックリスト４０から削除する。なお、当該悪性ウェブサイト２０の情報をブラックリスト４０から削除するタイミングは、削除部３３３が悪性ウェブサイト生存確認テーブルを参照し、検査対象のウェブサイト１０のうちいずれのウェブサイト１０にも当該悪性ウェブサイト２０の情報が生存しなくなったと判断した直後でもよいし、当該判断から所定時間経過後であってもよい。後者の場合、削除部３３３は、例えば、当該判断から、検査部３３１に設定された検査の間隔（例えば、１日等）が経過してから削除する。このようにすることで、直前の検査では生存しないと判断されたが、その次の検査で生存すると判断された悪性ウェブサイト２０の情報があったとき、当該悪性ウェブサイト２０の情報を、削除部３３３がブラックリスト４０から削除してしまうことを避けることができる。
【００３３】
（処理手順）
また、監視装置３０が行う処理のフローチャートを図５に示す。
【００３４】
まず、監視装置３０の検査部３３１は、検査対象のウェブサイト１０のコンテンツ１１を列挙する（Ｓ１）。そして検査部３３１は、検査対象のウェブサイト１０のコンテンツ１１について順番に検査を行う。すなわち、検査部３３１は、検査対象のウェブサイト１０のコンテンツ１１の１つを検査し、このコンテンツ１１におけるリダイレクト先の悪性ウェブサイト２０を列挙する（Ｓ２）。
【００３５】
Ｓ２で列挙された出現ウェブサイト（悪性ウェブサイト２０）が新規なものであれば（Ｓ３でＹｅｓ）、検査部３３１は、悪性ウェブサイト生存確認テーブルの出現ウェブサイトの情報を追加する（Ｓ４）。その後、検査部３３１は悪性ウェブサイト生存確認テーブルに検査結果を反映し（Ｓ５）、Ｓ２で列挙したすべての出現ウェブサイトについて処理を実行し（Ｓ６でＹｅｓ）、かつ、すべての検査対象のウェブサイト１０のコンテンツを検査したことを確認すると（Ｓ７でＹｅｓ）、Ｓ８へ進む。一方、Ｓ２で列挙された出現ウェブサイト（悪性ウェブサイト２０）が新規なものでなければ（Ｓ３でＮｏ）、Ｓ５へ進む。
【００３６】
なお、Ｓ２で列挙した出現ウェブサイトのうち、まだ処理を実行していない出現ウェブサイトがあれば（Ｓ６でＮｏ）、Ｓ３へ戻り、検査対象のウェブサイト１０のコンテンツ１１のうち、まだ検査していないコンテンツ１１があれば（Ｓ７でＮｏ）、Ｓ２へ戻る。
【００３７】
Ｓ７でＹｅｓのとき、削除部３３３は、悪性ウェブサイト生存確認テーブルに格納されている各悪性ウェブサイト２０（出現ウェブサイト）のうち、前回の検査ではいずれかのウェブサイト１０で生存していたが、今回の検査では生存していなかったものをブラックリスト４０から除外（削除）し、また、追加部３３２は新規に出現した悪性ウェブサイト２０の情報をブラックリスト４０に追加する（Ｓ８）。
【００３８】
監視装置３０が上記の処理を所定期間ごとに実行し、ブラックリスト４０における悪性ウェブサイト２０の情報の追加と削除とを行う。このようにすることで、監視装置３０は、検査対象のウェブサイト１０のうちいずれかのウェブサイト１０でリダイレクト先として記述された新規な悪性ウェブサイト２０の情報をブラックリスト４０に登録することができる。また、監視装置３０は、その後、どのウェブサイト１０においてもリダイレクト先として記述されなくなった悪性ウェブサイト２０の情報をブラックリスト４０から削除することができる。
【００３９】
（その他の実施形態）
なお、前記した監視装置３０は、悪性ウェブサイト２０の生存期間の長さに応じて、当該悪性ウェブサイト２０をブラックリスト４０に残すか否かの判断を行うようにしてもよい。
【００４０】
例えば、監視装置３０の削除部３３３は、ブラックリスト４０に登録されている悪性ウェブサイト２０の情報のうち、悪性ウェブサイト生存確認テーブルに示される生存期間の短い悪性ウェブサイト２０の情報から優先的に削除する。また、削除部３３３は、どのウェブサイト１０においても生存しなくなった悪性ウェブサイト２０の情報であっても、悪性ウェブサイト生存確認テーブルに示される過去の生存期間が比較的長いものであったとき削除対象外としてもよい。
【００４１】
このようにすることで、ブラックリスト４０に比較的生存期間が長い（または長かった）悪性ウェブサイト２０の情報ほど優先的にブラックリスト４０に残ることになる。
【００４２】
さらに、監視装置３０は、悪性ウェブサイト生存確認テーブルを参照して、過去に多数のウェブサイト１０において生存していた悪性ウェブサイト２０の情報ほど優先的にブラックリスト４０に残すようにしてもよい。
【００４３】
なお、検査対象のウェブサイト１０は、当該ウェブサイト１０の管理者等が侵入に気付くことや、外部機関からの注意喚起等により早期に修正されることがある。このため、ウェブサイト１０として事前に用意したおとりのウェブサイト（非特許文献５参照）を用いてもよい。このようにすることで、長期的に悪性ウェブサイト２０へのリダイレクトを観測できる。また、この手法では改ざんされたウェブサイトを探す手間がかからないため、効率的な観測が可能である。
【００４４】
以上説明した監視装置３０によれば、実際に生存している悪性ウェブサイト２０の情報をブラックリスト４０から削除することなく、実際には生存していない悪性ウェブサイト２０の情報がブラックリスト４０に登録され続けることを防止することができる。その結果、監視装置３０は、新たな悪性ウェブサイト２０の情報をブラックリスト４０に追加するとともに、ブラックリスト４０のエントリー数の増大を抑制し、ブラックリスト４０を用いたフィルタリングの処理時間を低減することができる。
【００４５】
（プログラム）
また、上記実施形態に係る監視装置３０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、監視装置３０と同様の機能を実現する監視プログラムを実行するコンピュータの一例を説明する。
【００４６】
図６は、監視プログラムを実行するコンピュータを示す図である。図６に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
【００４７】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
【００４８】
ここで、図６に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した悪性ウェブサイト生存確認テーブルは、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
【００４９】
また、監視プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明した監視装置３０が実行する各処理が記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。
【００５０】
また、監視プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
【００５１】
なお、監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local  Area  Network）やＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００５２】
１０    ウェブサイト
１１    コンテンツ
２０    悪性ウェブサイト
２１    悪性コンテンツ
３０    監視装置
３１    入出力部
３２    通信部
３３    制御部
３４    記憶部
４０    ブラックリスト
３３１  検査部
３３２  追加部
３３３  削除部
【図１】
0005986338.tif 000002
【図２】
0005986338.tif 000003
【図３Ａ】
0005986338.tif 000004
【図３Ｂ】
0005986338.tif 000005
【図３Ｃ】
0005986338.tif 000006
【図４Ａ】
0005986338.tif 000007
【図４Ｂ】
0005986338.tif 000008
【図４Ｃ】
0005986338.tif 000009
【図５】
0005986338.tif 000010
【図６】
0005986338.tif 000011