(57)【要約】【課題】攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させること。【解決手段】パス管理リスト記憶部１２は、囮サーバが搭載するファイルのプログラム配置パスのリストを記憶し、ＵＲＬ変換テーブル記憶部１３は、変換前パスと変換後パスとを対応付けたＵＲＬ変換テーブルを記憶する。宛先ＵＲＬ抽出部１１ａは、囮サーバ宛の宛先ＵＲＬを抽出し、宛先ＵＲＬ変換部１１ｂは、パス管理リストに宛先ＵＲＬのパス名が記憶されておらず、ＵＲＬ変換規則記録部１４に規則１が設定されている場合、宛先ＵＲＬのファイル名を含むパス管理リストのエントリにより変換した変換後宛先ＵＲＬを転送先特定部１１ｃに通知する。一方、宛先ＵＲＬ変換部１１ｂは、規則２が設定されている場合、ＵＲＬ変換テーブルにより変換した変換後宛先ＵＲＬを転送先特定部１１ｃに通知する。【選択図】図３
2011086192.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置に適用される転送制御方法であって、
転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を前記転送制御装置の第一の記憶部に格納する格納ステップと、
前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定ステップと、
前記判定ステップによる前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御ステップと、
を含んだことを特徴とする転送制御方法。
【請求項２】
前記制御ステップは、
前記第一の判定処理によって前記受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されていると判定された場合、前記受信した宛先統一資源位置指定子を用いた転送処理を行なうように制御する第一の制御処理と、
前記第二の判定処理によって前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に一つのみ格納されていると判定された場合、前記受信した宛先統一資源位置指定子に記載されている配置位置情報を、当該ファイル名を含む配置位置情報に変換し、変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御し、前記第二の判定処理によって前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に複数格納されていると判定された場合、当該複数の配置位置情報の中で、前記受信した宛先統一資源位置指定子に記載されている配置位置情報との一致度合いが、配置位置情報に記載されている階層構造を下位から上位に向かって参照した場合に最も高い配置位置情報を、当該受信した宛先統一資源位置指定子の配置位置情報として変換し、変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する第二の制御処理と、
前記第二の判定処理によって前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されていないと判定された場合、前記受信した宛先統一資源位置指定子を用いた転送処理を行なうように制御する第三の制御処理とを行なうことを特徴とする請求項１に記載の転送制御方法。
【請求項３】
前記格納ステップは、さらに、前記対象サーバを宛先とする宛先統一資源位置指定子に記載されると想定される配置位置情報である変換前配置位置情報と、当該変換前配置位置情報を前記対象サーバにおける配置位置情報に変換するための配置位置候補情報とを対応付けた変換情報を前記転送制御装置の第二の記憶部に格納し、
前記判定ステップは、
前記第二の判定処理として、前記第一の判定処理によって前記受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されていないと判定された場合、前記受信した宛先統一資源位置指定子に記載されている配置位置情報と一致する変換前配置位置情報を含む変換情報が前記第二の記憶部に格納されているか否かを判定し、
前記制御ステップは、
前記第二の制御処理として、前記第二の判定処理によって前記受信した宛先統一資源位置指定子に記載されている配置位置情報と一致する変換前配置位置情報を含む変換情報が前記第二の記憶部に格納されていると判定された場合、前記受信した宛先統一資源位置指定子に記載されている配置位置情報を、当該変換情報の変換前配置位置情報に対応付けられている配置位置候補情報に変換し、変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御し、
前記第三の制御処理として、前記第二の判定処理によって前記受信した宛先統一資源位置指定子に記載されている配置位置情報と一致する変換前配置位置情報を含む変換情報が前記第二の記憶部に格納されていないと判定された場合、前記受信した宛先統一資源位置指定子を用いた転送処理を行なうように制御することを特徴とする請求項２に記載の転送制御方法。
【請求項４】
前記判定ステップの前記第一の判定処理によって前記受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されていないと判定された場合、前記第二の記憶部に格納されている前記変換情報を用いた第二の判定処理を行なう場合であって、
前記制御ステップは、前記第三の制御処理として、
前記変換情報を用いた第二の判定処理によって前記受信した宛先統一資源位置指定子に記載されている配置位置情報と一致する変換前配置位置情報を含む変換情報が前記第二の記憶部に格納されていないと判定された場合、前記変換情報を用いた第二の判定処理を前記第一の記憶部に格納されている前記配置位置情報を用いた第二の判定処理に切り替えて、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かをさらに判定させ、
前記配置位置情報を用いた第二の判定処理による判定結果に基づいて、前記変換後の宛先統一資源位置指定子を用いた転送処理、または前記受信した宛先統一資源位置指定子を用いた転送処理を行なうように制御することを特徴とする請求項３に記載の転送制御方法。
【請求項５】
前記判定ステップの前記第一の判定処理によって前記受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されていないと判定された場合、前記第一の記憶部にて格納される前記配置位置情報の末尾に記載されているファイル名を用いた第二の判定処理を行なう場合であって、
前記制御ステップは、前記第三の制御処理として、
前記配置位置情報の末尾に記載されているファイル名を用いた第二の判定処理によって前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されていないと判定された場合、前記配置位置情報の末尾に記載されているファイル名を用いた第二の判定処理を前記第二の記憶部に格納されている前記変換情報を用いた第二の判定処理に切り替えて、前記受信した宛先統一資源位置指定子に記載されている配置位置情報と一致する変換前配置位置情報を含む変換情報が前記第二の記憶部に格納されているか否かをさらに判定させ、
前記変換情報を用いた第二の判定処理による判定結果に基づいて、前記変換後の宛先統一資源位置指定子を用いた転送処理、または前記受信した宛先統一資源位置指定子を用いた転送処理を行なうように制御することを特徴とする請求項３に記載の転送制御方法。
【請求項６】
前記変換情報を用いた第二の判定処理を前記第一の記憶部に格納されている前記配置位置情報を用いた第二の判定処理に切り替えたのちに、前記第三の制御処理によって変換後の宛先統一資源位置指定子に採用された配置位置情報を配置位置候補情報とし、変換前の宛先統一資源位置指定子に記載されている配置位置情報を変換前配置位置情報とする変換情報を、前記第二の記憶部に追加して格納する追加格納ステップをさらに含むことを特徴とする請求項４に記載の転送制御方法。
【請求項７】
複数の対象サーバへのデータの転送を制御する場合であって、
前記格納ステップは、前記複数の対象サーバそれぞれの配置位置情報を第一の記憶部に格納し、
前記判定ステップの前記第一の判定処理および前記第二の判定処理は、前記受信した宛先統一資源位置指定子の端末識別子に対応する対象サーバの配置位置情報を前記第一の記憶部から検索して判定処理を行なうことを特徴とする請求項２に記載の転送制御方法。
【請求項８】
複数の対象サーバへのデータの転送を制御する場合であって、
前記格納ステップは、前記複数の対象サーバそれぞれの配置位置情報を前記第一の記憶部に格納し、かつ、前記複数の対象サーバそれぞれの変換情報を前記第二の記憶部に格納し、
前記判定ステップの前記第一の判定処理は、前記受信した宛先統一資源位置指定子の端末識別子に対応する対象サーバの配置位置情報を前記第一の記憶部から検索して判定処理を行ない、
前記判定ステップの前記第二の判定処理は、前記受信した宛先統一資源位置指定子の端末識別子に対応する対象サーバの配置位置情報を前記第一の記憶部から検索し、および／または、変換情報を前記第二の記憶部から検索して判定処理を行なうことを特徴とする請求項３〜６のいずれか一つに記載の転送制御方法。
【請求項９】
ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置であって、
転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を記憶する配置位置情報記憶手段と、
前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手段と、
前記判定手段による前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手段と、
を備えたことを特徴とする転送制御装置。
【請求項１０】
ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置を含む転送制御システムであって、
前記転送制御装置は、
転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を記憶する配置位置情報記憶手段と、
前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手段と、
前記判定手段による前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手段と、
を備えたことを特徴とする転送制御システム。
【請求項１１】
ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置としてのコンピュータに実行させる転送制御プログラムであって、
転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を前記転送制御装置の第一の記憶部に格納する格納手順と、
前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手順と、
前記判定手順による前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手順と、
をコンピュータに実行させることを特徴とする転送制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラムに関する。
【背景技術】
【０００２】
近年、インターネットの普及に伴い、個人情報の管理やアプリケーションの配信を実施するサーバに対するサイバー攻撃が急増している。サイバー攻撃の代表例としては、マルウェア（攻撃者が正規ユーザのサーバや端末に不正アクセスするために用いる攻撃ツールプログラム）を利用したＤＤｏＳ（Distributed  Denial  of  Services）攻撃やスパム送信、情報盗難などが挙げられる。これらの攻撃の多くは、既存のサーバを乗っ取り、乗っ取ったサーバを踏み台として他のサーバを攻撃する形で実施される。
【０００３】
従来、これらの脅威に対処することを目的として、ファイアウォール機能と転送データ監視機能とをルータなどのパケット転送装置に実装してサーバ監視機能を構築し、サーバ監視機能をサーバの前段に配置することで、送受信されるデータの内容やパケットヘッダの内容に応じて通信を制御するアクセス制御技術が用いられている。アクセス制御技術では、サーバ監視機能を開発したセキュリティベンダが、既知のソフトウェアの脆弱性やマルウェアを解析することで、攻撃者がサーバに対して取りうる送信メッセージのパターンをシグネチャ化し、シグネチャにマッチする送信メッセージをサーバ監視機能でフィルタする。これにより、攻撃者の不正アクセスからサーバを防御する。
【０００４】
しかし、かかるサーバ監視機能では、シグネチャにマッチしない通信についてはネットワークの通過を許容するため、この通過可能な通信サービスを悪用した不正アクセスを完全に阻止することは困難である。このため、例えば、セキュリティベンダにとって未知となるソフトウェア（アプリケーションに代表されるソフトウェア）の脆弱性や、セキュリティベンダが解析していないソフトウェアの脆弱性に基づいた攻撃には対応することができなかった。
【０００５】
かかる問題を解決するために、脆弱性があるソフトウェアを故意に搭載した囮サーバをサーバ監視機能配下に配置し、サーバ監視機能で囮サーバへのアクセスを監視する仕組みが検討されている（例えば、非特許文献１参照）。具体的には、攻撃者がアプリケーション提供サーバなどに不正アクセスする際に利用するマルウェアを代表としたプログラムを囮サーバがダウンロードする際の挙動を捉え、例えば、ダウンロード要求先をマルウェアダウンロード用のサイトと特定する方式などが検討されている。
【０００６】
この方式により取得したマルウェアダウンロードサイトをブラックリストとして、顧客サーバまたは顧客サーバとネットワークの境界に配置されたファイアフォール機能やセキュリティアプライアンスなどに入力することで、顧客サーバがマルウェアに感染する事態を回避する。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】八木毅、谷本直人、浜田雅樹、伊藤光恭「プロバイダによるWebサイトへのマルウェア配布防御方式」信学技報IN2009-34
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかし、上記した従来の技術では、攻撃者が予想したサーバのディレクトリ構成と、囮サーバのディレクトリ構成とが異なった際に、攻撃者が指定する宛先ＵＲＬ（Uniform  Resource  Locator）と、ぜい弱なプログラムが配置された囮サーバのパスが一致せず、攻撃が失敗し、マルウェアダウンロードサイトなどの攻撃情報が収集できない場合がある。
【０００９】
失敗する攻撃の中にも、マルウェアダウンロードサイトの情報やマルウェアの情報およびぜい弱なプログラムの情報が記載されているため、失敗する攻撃に関しては、機械的な分析が困難になる。従来では、このような攻撃は、攻撃者が事前に攻撃対象のサーバのディレクトリ構造を調査していたため、失敗する可能性が低かった。しかし、近年では、このような攻撃はツールにより自動化され、攻撃者が予め指定した多数の宛先ＵＲＬに対して機械的に実施されているため、失敗する攻撃が多い。
【００１０】
すなわち、上記した従来の技術では、多数の攻撃を収集したとしても、攻撃防御のために抽出可能な攻撃情報量が減少し、その結果、セキュリティアプライアンスなどでの攻撃検知精度が低下するという課題があった。
【００１１】
なお、攻撃情報を収集する対象となるサーバが囮サーバでない場合であっても、アクセスした者が予想したサーバのディレクトリ構成と、アクセスされたサーバのディレクトリ構成とが異なった際に、アクセスが失敗するので、アクセスした者が目標としているプログラムにアクセスできず上記と同様の課題が発生していた。
【００１２】
そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることが可能となる転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１３】
上述した課題を解決し、目的を達成するために、本願の開示する方法は、一つの態様において、ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置に適用される転送制御方法であって、転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を前記転送制御装置の第一の記憶部に格納する格納ステップと、前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定ステップと、前記判定ステップによる前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御ステップと、を含んだことを要件とする。
【００１４】
また、本願の開示する装置は、一つの態様において、ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置であって、転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を記憶する配置位置情報記憶手段と、前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手段と、前記判定手段による前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手段と、を備えたことを要件とする。
【００１５】
また、本願の開示するシステムは、一つの態様において、ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置を含む転送制御システムであって、前記転送制御装置は、転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を記憶する配置位置情報記憶手段と、前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手段と、前記判定手段による前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手段と、を備えたことを要件とする。
【００１６】
また、本願の開示するプログラムは、一つの態様において、ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置としてのコンピュータに実行させる転送制御プログラムであって、転送制御の対象となるサーバ端末である対象サーバに搭載されているファイルの当該対象サーバにおける配置位置情報を前記転送制御装置の第一の記憶部に格納する格納手順と、前記対象サーバに対応する端末識別子を含む宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子の配置位置情報の末尾に記載されているファイル名と一致するファイル名を含む配置位置情報が前記第一の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手順と、前記判定手順による前記第一の判定処理および前記第二の判定処理の処理結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子を前記第一の記憶部に格納されている前記配置位置情報に変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手順と、をコンピュータに実行させることを要件とする。
【発明の効果】
【００１７】
本願の開示する方法、装置、システムおよびプログラムの一つの態様によれば、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることが可能となる。
【図面の簡単な説明】
【００１８】
【図１】図１は、実施例１における転送制御システムの一例を示す全体構成図である。
【図２】図２は、宛先ＵＲＬを説明するための図である。
【図３】図３は、実施例１における転送制御装置の構成を説明するためのブロック図である。
【図４】図４は、パス管理リストの一例を説明するための図である。
【図５】図５は、ＵＲＬ変換テーブルの一例を説明するための図である。
【図６】図６は、実施例１におけるＵＲＬ変換規則記録部を説明するための図である。
【図７】図７は、宛先ＵＲＬ抽出部を説明するための図である。
【図８】図８は、実施例１における宛先ＵＲＬ変換部を説明するための図（１）である。
【図９】図９は、実施例１における宛先ＵＲＬ変換部を説明するための図（２）である。
【図１０】図１０は、実施例１における宛先ＵＲＬ変換部を説明するための図（３）である。
【図１１】図１１は、実施例１における宛先ＵＲＬ変換部を説明するための図（４）である。
【図１２】図１２は、実施例１における転送制御装置の規則１設定時の処理を説明するためのフローチャートである。
【図１３】図１３は、実施例１における転送制御装置の規則２設定時の処理を説明するためのフローチャートである。
【図１４】図１４は、実施例２におけるＵＲＬ変換規則記録部を説明するための図である。
【図１５】図１５は、実施例２において宛先ＵＲＬ抽出部が抽出した宛先ＵＲＬを説明するための図である。
【図１６】図１６は、実施例２における宛先ＵＲＬ変換部を説明するための図（１）である。
【図１７】図１７は、実施例２における宛先ＵＲＬ変換部を説明するための図（２）である。
【図１８】図１８は、実施例２における宛先ＵＲＬ変換部を説明するための図（３）である。
【図１９】図１９は、実施例２における宛先ＵＲＬ変換部を説明するための図（４）である。
【図２０】図２０は、実施例２における宛先ＵＲＬ変換部を説明するための図（５）である。
【図２１】図２１は、実施例２における転送制御装置の規則３設定時の処理を説明するためのフローチャートである。
【図２２】図２２は、実施例２における転送制御装置の規則４設定時の処理を説明するためのフローチャートである。
【発明を実施するための形態】
【００１９】
以下に、本願の開示する転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラムの実施例を詳細に説明する。なお、以下では、本願の開示する転送制御方法を実行する転送制御装置がネットワークに配置された転送制御システムを実施例として説明するが、以下の実施例により本発明が限定されるものではない。
【実施例１】
【００２０】
まず、図１を用いて、実施例１における転送制御システムの全体構成について説明する。図１は、実施例１における転送制御システムの一例を示す全体構成図である。
【００２１】
図１の一例に示すように、実施例１における転送制御システムは、ネットワーク１にて構築される。ネットワーク１は、ネットワーク２、ネットワーク３およびネットワーク４を収容するネットワークである。ここで、ネットワーク１は、インターネットのような広域ネットワークである場合であってもよいし、企業ネットワークのような比較的狭い狭域ネットワークである場合であってもよい。
【００２２】
ネットワーク３は、ユーザ端末７を収容し、ネットワーク４は、ユーザ端末８を収容している。なお、図１では、ネットワーク３およびネットワーク４に収容されるユーザ端末をそれぞれ１台のみ示しているが、実際には、ネットワーク３およびネットワーク４それぞれは、複数のユーザ端末を収容している。ここで、図１に示すユーザ端末７およびユーザ端末８は、宛先統一資源位置指定子（ＵＲＬ：Uniform Resource Locator）を保有するハイパーテキスト転送プロトコル（ＨＴＴＰ：Hypertext Transfer Protocol）データを送受信することが可能な装置である。
【００２３】
ネットワーク２は、脆弱性があるソフトウェアを故意に搭載した囮サーバを収容し、図１に示す一例では、囮サーバ５および囮サーバ６を２台収容している。なお、本実施例は、ネットワーク２に、囮サーバとともにユーザ端末が収容される場合であっても適用可能である。
【００２４】
そして、ネットワーク２のトポロジは、ネットワーク３およびネットワーク４から囮サーバ５および囮サーバ６へのアクセスが、図１に示す転送制御装置１０を経由するように構成されている。すなわち、転送制御装置１０は、ネットワーク３およびネットワーク４それぞれに設置させているルータやスイッチ、ゲートウェイ装置などのデータ中継装置（図示せず）と接続されており、ネットワーク２のゲートウェイとして配置されている。なお、図１には示さないが、囮サーバ５および囮サーバ６には、攻撃者が行なった攻撃に関する情報を収集する攻撃収集装置が接続されている。さらに、攻撃収集装置には、攻撃収集装置が収集した攻撃情報を分析する攻撃分析装置が接続されている。そして、攻撃分析装置には、攻撃分析装置の分析結果から特定された攻撃者のユーザ端末との通信を遮断するための攻撃防御装置が接続されている。なお、図１に示す構成例では、ネットワーク２において、囮サーバ５、囮サーバ６および転送制御装置１０が、それぞれ異なる装置として配置されている場合について説明している。しかし、本実施例は、ネットワーク２を仮想ネットワークとし、囮サーバ５、囮サーバ６および転送制御装置１０が仮想装置として、１台の物理サーバ内に配されている場合であっても適用可能である。
【００２５】
ここで、図１に示すように、囮サーバ５には、「ホスト名： host#1」が割り当てられており、囮サーバ６には、「ホスト名： host#2」が割り当てられているとする。以下、囮サーバ５をアクセス先とするＨＴＴＰデータが保有する宛先ＵＲＬの一例について、図２を用いて説明する。図２は、宛先ＵＲＬを説明するための図である。
【００２６】
例えば、ユーザ端末７が囮サーバ５にＨＴＴＰデータを転送する場合、宛先ＵＲＬには、図２に示すように、「アクセス手段識別子：http」が記載され、続いて「ホスト名：host#1」が記載される。そして、ユーザ端末７が「ホスト名： host#1」の「d-A/d-B/d-C」というパスに配置された「ファイル：file-a」にアクセスする場合、宛先ＵＲＬには、図２に示すように、「ファイル名：file-a」を末尾とする「パス名：/d-A/d-B/d-C/file-a」が配置位置情報として指定される。すなわち、宛先ＵＲＬは、図２に示すように、「http://host#1/d-A/d-B/d-C/file-a」となる。
【００２７】
しかし、攻撃者が囮サーバ５上に存在しないディレクトリを宛先ＵＲＬに指定した場合、通常、囮サーバ５からユーザ端末７に「404エラーメッセージ：not found」が返信される。すなわち、ユーザ端末７のユーザが攻撃者であり、ぜい弱なプログラムが配置されていると攻撃者が考えているユーザ端末のディレクトリ構造が、囮サーバのディレクトリ構造と一致しない場合、攻撃者からの攻撃は失敗することとなり、マルウェアダウンロードサイトなどの攻撃情報が収集できない。
【００２８】
そこで、実施例１では、ネットワーク２のゲートウェイとして転送制御装置１０を配置することで、攻撃防御のために抽出可能な攻撃情報量を増加させ、攻撃検知精度を向上させることを可能とする。すなわち、転送制御装置１０は、ぜい弱なプログラムが配置されていると攻撃者が考えているユーザ端末のディレクトリ構造が、囮サーバのディレクトリ構造と一致しない場合でも、ぜい弱なプログラムが配置されたディレクトリ宛てとなるようＨＴＴＰデータの宛先ＵＲＬを変換して転送する機能を有する。
【００２９】
以下、実施例１における転送制御装置１０について、図３などを用いて説明する。なお、図３は、実施例１における転送制御装置の構成を説明するためのブロック図である。
【００３０】
図３に示すように、実施例１における転送制御装置１０は、パケット転送部１１と、パス管理リスト記憶部１２と、ＵＲＬ変換テーブル記憶部１３と、ＵＲＬ変換規則記録部１４とを有する。
【００３１】
パス管理リスト記憶部１２は、転送制御装置１０が有する第一の記憶部であり、転送制御の対象となる囮サーバ５および囮サーバ６それぞれのディレクトリ構造をパス管理リストとして記憶する。具体的には、パス管理リスト記憶部１２は、囮サーバ５および囮サーバ６それぞれに搭載されているプログラムファイルの配置位置情報（パス名）をプログラム配置パスとして記憶する。図４は、パス管理リストの一例を説明するための図である。例えば、パス管理リスト記憶部１２は、図４に示すように、「ホスト名：host#1」である囮サーバ５のディレクトリ構造のリストと、「ホスト名：host#2」である囮サーバ６のディレクトリ構造のリストとをそれぞれ記憶する。例えば、図４に示す一例では、「ホスト名：host#1」である囮サーバ５には、「ファイル：file-a」が「d-A/d-B/d-C」というパスに配置されていることを示す「プログラム配置パス：/d-A/d-B/d-C/file-a」などが記憶されている。
【００３２】
ここで、パス管理リスト記憶部１２は、転送制御装置１０の操作者が転送制御システムの運用開始時に設定したパス管理リストを記憶する。ただし、パス管理リスト記憶部１２が記憶するパス管理リストは、サーバ内のディレクトリ構造を抽出するツールを用いて自動的に生成することも可能である。さらに、かかる抽出ツールを用いてディレクトリ構造を定期的に抽出してディレクトリ構造の更新を検知し、リストを自動的に更新することも可能である。
【００３３】
図３に戻って、ＵＲＬ変換テーブル記憶部１３は、転送制御装置１０が有する第二の記憶部であり、囮サーバを宛先とする攻撃用の宛先ＵＲＬに記載されると想定されるプログラム配置パスを変換前パスとし、当該変換前パスと、当該変換前パスを囮サーバにおけるプログラム配置パスに変換するための変換後パスとを対応付けたＵＲＬ変換テーブルを記憶する。図５は、ＵＲＬ変換テーブルの一例を説明するための図である。例えば、ＵＲＬ変換テーブル記憶部１３は、図５に示すように、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルと、「ホスト名：host#2」である囮サーバ６のＵＲＬ変換テーブルとをそれぞれ記憶する。例えば、図５に示す一例では、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルには、「変換前パス：/d-X/d-Y/d-C/file-a」に対する「変換後パス」として「/d-A/d-B/d-C/file-a」が記憶されている。
【００３４】
ここで、ＵＲＬ変換テーブル記憶部１３は、転送制御装置１０の操作者が転送制御システムの運用開始時に設定したテーブルを記憶する。具体的には、転送制御装置１０の操作者は、囮サーバごとに、当該囮サーバに搭載されている複数の脆弱なプログラムファイルが攻撃される場合に攻撃者が設定すると想定されるプログラム配置パスを変換前パスとして設定する。そして、転送制御装置１０の操作者は、変換前パスに対応する変換後パスを、囮サーバに搭載されているプログラムファイルのプログラム配置パスから設定する。
【００３５】
なお、複数の囮サーバごとに記憶されるパス管理リストおよびＵＲＬ変換テーブルは、上述したように、囮サーバのホスト名を用いて管理される場合であってもよいし、囮サーバのＩＰ（Internet Protocol）アドレスを用いて管理される場合であってもよい。
【００３６】
図３に戻って、ＵＲＬ変換規則記録部１４は、後述する宛先ＵＲＬ変換部１１ｂが実行する判定処理および宛先ＵＲＬ変換処理の変換規則を、転送制御装置１０の操作者から受け付けて記録する。図６は、実施例１におけるＵＲＬ変換規則記録部を説明するための図である。
【００３７】
例えば、図６に示す一例では、実施例１におけるＵＲＬ変換規則記録部１４には、規則１および規則２の変換規則に対して、フラグを設定するためのカラムが設けられており、転送制御装置１０の操作者が規則１により宛先ＵＲＬ変換部１１ｂの処理を実行させると設定した場合には、規則１のフラグにチェックが設定される。また、転送制御装置１０の操作者が規則２により宛先ＵＲＬ変換部１１ｂの処理を実行させると設定した場合には、規則２のフラグにチェックが設定される。なお、規則１および規則２については、後に詳述する。
【００３８】
図３に戻って、パケット転送部１１は、ネットワーク３およびネットワーク４から受信したパケットの転送制御を、パス管理リスト記憶部１２および／またはＵＲＬ変換テーブル記憶部１３に記憶されている各情報を参照して行なう処理部であり、宛先ＵＲＬ抽出部１１ａと、宛先ＵＲＬ変換部１１ｂと、転送先特定部１１ｃとを有する。
【００３９】
宛先ＵＲＬ抽出部１１ａは、ネットワーク２に収容されている囮サーバ宛のパケットから、宛先ＵＲＬを抽出して、抽出した宛先ＵＲＬを宛先ＵＲＬ変換部１１ｂに通知する。図７は、宛先ＵＲＬ抽出部を説明するための図である。例えば、図７に示すように、ネットワーク３に収容されているユーザ端末７から、「http://host#1/d-X/d-Y/d-C/file-a」という宛先ＵＲＬを保有するＨＴＴＰデータを受信した場合、宛先ＵＲＬ抽出部１１ａは、宛先ＵＲＬを抽出して宛先ＵＲＬ変換部１１ｂに通知する。ここで、ユーザ端末７から受信した宛先ＵＲＬは、「ホスト名：host#1」が「プログラム配置パス：/ d-X/d-Y/d-C/file-a」に配置している「ファイル名：file-a」のプログラムファイルをアクセス先として指定している。
【００４０】
なお、以下では、ユーザ端末７から受信した宛先ＵＲＬのことを、「受信宛先ＵＲＬ」と記載する場合がある。
【００４１】
図３に戻って、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａから通知された宛先ＵＲＬを用いて、判定処理および宛先ＵＲＬ変換処理を実行する。以下、宛先ＵＲＬ変換部１１ｂが行なう処理について、図８〜図１１を用いて説明する。なお、図８〜図１１は、実施例１における宛先ＵＲＬ変換部を説明するための図である。
【００４２】
まず、宛先ＵＲＬ変換部１１ｂは、図８に示すように、受信宛先ＵＲＬから「ホスト名：host#1」を参照して、図４を用いて説明した囮サーバごとのパス管理リストのうち、「ホスト名：host#1」である囮サーバ５のパス管理リストを用いて判定処理を行なうと決定する。そして、宛先ＵＲＬ変換部１１ｂは、図８に示すように、受信宛先ＵＲＬに記載されている「パス名：/d-X/d-Y/d-C/file-ａ」を検索キーとして、当該検索キーと一致するプログラム配置パスが囮サーバ５のパス管理リストに記憶されているか否かを判定する（第一判定処理）。
【００４３】
ここで、仮に、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-Y/d-C/file-ａ」が記憶されている場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬを変換することなく、受信宛先ＵＲＬをそのまま後述する転送先特定部１１ｃに通知する（第一通知処理：変換なし）。
【００４４】
一方、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-Y/d-C/file-ａ」が記憶されてない場合、宛先ＵＲＬ変換部１１ｂは、ＵＲＬ変換規則記録部１４を参照して、フラグが設定されている規則が、規則１であるか規則２であるかを判定する。以下では、規則１が設定されている場合の処理について説明し、そののち、規則２が設定されている場合の処理について説明する。
【００４５】
規則１が設定されている状況においては、宛先ＵＲＬ変換部１１ｂは、図９に示すように、受信宛先ＵＲＬに記載されている「パス名：/d-X/d-Y/d-C/file-ａ」の末尾にある「ファイル名：file-a」を検索キーとして、当該検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されているか否かを判定する（規則１における第二判定処理）。
【００４６】
ここで、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに一つのみ記憶されている場合、受信宛先ＵＲＬの「パス名」を、囮サーバ５のパス管理リストにて一つのみ存在していたプログラム配置パスに変換して、変換後宛先ＵＲＬを後述する転送先特定部１１ｃに通知する（規則１における第二通知処理その一）。
【００４７】
また、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに複数記憶されている場合、当該複数のプログラム配置パスの中で、受信宛先ＵＲＬの「パス名」との一致度合いが、プログラム配置パスに記載されている階層構造を下位から上位に向かって探索した場合に最も高いプログラム配置パスを特定する。そして、宛先ＵＲＬ変換部１１ｂは、特定したプログラム配置パスに、受信宛先ＵＲＬの「パス名」を変換して、変換後宛先ＵＲＬを後述する転送先特定部１１ｃに通知する（規則１における第二通知処理その二）。
【００４８】
例えば、宛先ＵＲＬ変換部１１ｂは、図９に示すように、「ファイル名：file-a」を末尾とするプログラム配置パスが「/d-A/d-B/d-C/file-a」および「/d-A/d-B/d-D/file-a」の２つ存在していると判定する。そして、宛先ＵＲＬ変換部１１ｂは、図１０に示すように、「/d-A/d-B/d-C/file-a」および「/d-A/d-B/d-D/file-a」のうち、下位から上位に向かった探索方向では「プログラム配置パス：/d-X/d-Y/d-C/file-ａ」の「d-C/file-ａ」と一致するのは「/d-A/d-B/d-C/file-a」であると判定する。そして、宛先ＵＲＬ変換部１１ｂは、「/d-A/d-B/d-C/file-a」を変換用のプログラム配置パスとして特定する。そして、宛先ＵＲＬ変換部１１ｂは、図９に示すように、受信宛先ＵＲＬである「http://host#1/d-X/d-Y/d-C/file-a」を変換した「http://host#1/d-A/d-B/d-C/file-a」を変換後宛先ＵＲＬとして、後述する転送先特定部１１ｃに通知する。
【００４９】
一方、仮に、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま後述する転送先特定部１１ｃに通知する（規則１における第三通知処理：変換なし）。
【００５０】
以上が、規則１が設定されている状況における処理となる。続いて、規則２が設定されている状況における処理について説明する。規則２が設定されている状況において、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-Y/d-C/file-ａ」が記憶されてない場合、宛先ＵＲＬ変換部１１ｂは、図５を用いて説明した囮サーバごとのＵＲＬ変換テーブルのうち、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルを用いて判定処理を行なう。すなわち、宛先ＵＲＬ変換部１１ｂは、図１１の（Ａ）に示すように、受信宛先ＵＲＬに記載されている「パス名：/d-X/d-Y/d-C/file-ａ」を検索キーとして、当該検索キーと一致する変換前パスが囮サーバ５のＵＲＬ変換テーブルに記憶されているか否かを判定する（規則２における第二判定処理）。
【００５１】
図１１の（Ａ）に示す一例では、宛先ＵＲＬ変換部１１ｂは、検索キーである「/d-X/d-Y/d-C/file-ａ」と一致する「変換前パス：/d-X/d-Y/d-C/file-a」がエントリされており、当該変換前パスに「変換後パス：/d-A/d-B/d-C/file-a」が対応付けられていると判定する。
【００５２】
かかる場合、宛先ＵＲＬ変換部１１ｂは、図１１の（Ｂ）に示すように、受信宛先ＵＲＬの「プログラム配置パス：/ d-X/d-Y/d-C/file-ａ」を、「変換後パス：/d-A/d-B/d-C/file-a」に変換した「http://host#1//d-A/d-B/d-C/file-a」を変換後宛先ＵＲＬとして、後述する転送先特定部１１ｃに通知する（規則２における第二通知処理）。
【００５３】
なお、本実施例では、規則２の第二判定処理において、受信宛先ＵＲＬの「プログラム配置パス：/ d-X/d-Y/d-C/file-ａ」と１００％一致する変換前パスがエントリされている場合に、規則２における第二通知処理が行なわれる場合について説明した。しかし、宛先ＵＲＬ変換部１１ｂは、規則２の第二判定処理においても、受信宛先ＵＲＬの「プログラム配置パス：/ d-X/d-Y/d-C/file-ａ」を検索キーとして、下位から上位に向かう探索方向にてＵＲＬ変換テーブルを探索して、一致度が最も高い変換前パスを特定し、特定した変換前パスに対応付けられた変換後パスを変換後宛先ＵＲＬに用いてもよい。
【００５４】
例えば、図５に示すＵＲＬ変換テーブルでは、受信宛先ＵＲＬの「パス名：/d-X/d-Y/d-C/file-ａ」の「file-ａ」を検索キーとすると、「/d-X/d-Y/d-C/file-ａ」、「/d-Z/d-C/file-ａ」および「d-W/d-X/d-Y/d-C/file-a」が特定対象エントリとなる。そして、受信宛先ＵＲＬの「プログラム配置パス：/ d-X/d-Y/d-C/file-ａ」の「/d-Y/d-C/file-ａ」を検索キーとすると、「/d-Z/d-C/file-ａ」が対象外となり、「/d-X/d-Y/d-C/file-ａ」および「d-W/d-X/d-Y/d-C/file-a」が特定対象エントリとして残る。そして、受信宛先ＵＲＬの「パス名：/d-X/d-Y/d-C/file-ａ」の「/d-X/d-Y/d-C/file-ａ」を検索キーとすると、「d-W/d-X/d-Y/d-C/file-a」が対象外となり、「/d-X/d-Y/d-C/file-ａ」が特定対象エントリとして残ることとなる。ここで、宛先ＵＲＬ変換部１１ｂは、「変換前パス：/d-X/d-Y/d-Z/file-a」がエントリされていない場合、「変換前パス：d-W/d-X/d-Y/d-C/file-a」に対応付けられている変換後パスを変換後宛先ＵＲＬに用いる。
【００５５】
一方、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルにおいて、「パス名：/d-X/d-Y/d-C/file-ａ」と一致する変換前パスが記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま後述する転送先特定部１１ｃに通知する（規則２における第三通知処理：変換なし）。
【００５６】
図３に戻って、転送先特定部１１ｃは、宛先ＵＲＬ変換部１１ｂから通知された宛先ＵＲＬ（受信宛先ＵＲＬまたは変換後宛先ＵＲＬ）から出力先を特定し、ＨＴＴＰデータパケットを転送する。例えば、転送先特定部１１ｃは、宛先ＵＲＬを用いてＤＮＳ（Domain Name System）サーバ（図示せず）にＩＰ（Internet Protocol）を問い合わせて宛先ＩＰアドレスを特定し、宛先ＩＰアドレスに対応する出力先インタフェースにＨＴＴＰデータパケットを転送する。なお、転送先特定部１１ｃは、ＩＰアドレスと出力先インタフェースとを対応付けたテーブルを参照して宛先ＩＰアドレスに対応付けられた出力先インタフェースを特定する。また、転送先特定部１１ｃは、宛先ＵＲＬと出力先インタフェースとを対応付けたテーブルを参照して宛先ＵＲＬに対応付けられた出力先インタフェースを特定する場合であってもよい。
【００５７】
すなわち、第一通知処理（変換なし）の場合、ＨＴＴＰデータは、囮サーバ５に到達する。また、規則１または規則２における第三通知処理（変換なし）の場合、ＨＴＴＰデータは、囮サーバ５に到達せず、攻撃者の攻撃は失敗することとなる。一方、規則１における第二通知処理（その一およびその二）、または、規則２における第二通知処理により、通常、囮サーバ５に到達しなかったＨＴＴＰデータは、囮サーバ５に到達できる。これにより、囮サーバ５に接続される攻撃収集装置は、攻撃情報を収集し、攻撃分析装置は、攻撃収集装置が収集した攻撃情報を分析し、攻撃防御装置は、攻撃分析装置の分析結果から特定された攻撃者のユーザ端末７との通信を遮断するための防御処理を実行することができる。
【００５８】
続いて、図１２および図１３を用いて実施例１における転送制御装置１０の処理の手順について説明する。図１２は、実施例１における転送制御装置の規則１設定時の処理を説明するためのフローチャートであり、図１３は、実施例１における転送制御装置の規則２設定時の処理を説明するためのフローチャートである。
【００５９】
図１２に示すように、実施例１における転送制御装置１０は、規則１が設定されている状態で、外部ネットワークから、自装置が転送制御する対象となる囮サーバ宛の宛先ＵＲＬを保有するＨＴＴＰデータを受信すると（ステップＳ１０１肯定）、宛先ＵＲＬ抽出部１１ａは、受信したＨＴＴＰデータが保有する宛先ＵＲＬを抽出する（ステップＳ１０２）。
【００６０】
そして、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬに記載されているホスト名およびパス名を特定し（ステップＳ１０３）、特定したホスト名のパス管理リストに、特定したパス名が存在するか否かを判定する（ステップＳ１０４、第一判定処理）。
【００６１】
ここで、特定したホスト名のパス管理リストに、特定したパス名が存在する場合（ステップＳ１０４肯定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ１０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ１１２、変換なしの第一通知処理）。そして、転送先特定部１１ｃは、ステップＳ１０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ１１３）、処理を終了する。
【００６２】
一方、特定したホスト名のパス管理リストに、特定したパス名が存在しない場合（ステップＳ１０４否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在するか否かを判定する（ステップＳ１０５、規則１における第二判定処理）。
【００６３】
ここで、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在しない場合（ステップＳ１０５否定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ１０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ１１２、規則１における変換なしの第三通知処理）。そして、転送先特定部１１ｃは、ステップＳ１０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ１１３）、処理を終了する。
【００６４】
一方、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在する場合（ステップＳ１０５肯定）、該当するエントリが複数であるか否かを判定する（ステップＳ１０６）。
【００６５】
ここで、エントリが単一である場合（ステップＳ１０６否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のパス管理リストに単一で存在するプログラム配置パスにステップＳ１０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ１０７）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ１１０、規則１における変換ありの第二通知処理その一）。
【００６６】
ここで、エントリが複数である場合（ステップＳ１０６肯定）、宛先ＵＲＬ変換部１１ｂは、下位階層からのマッチングにより、複数のエントリの中から、変換後のプログラム配置パスを決定し（ステップＳ１０８）、決定したプログラム配置パスにステップＳ１０２で抽出した宛先ＵＲＬのパス名を変換する（ステップＳ１０９）。そして、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知し（ステップＳ１１０、規則１における変換ありの第二通知処理その二）、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ１１１）、処理を終了する。
【００６７】
これに対して、図１３に示すように、実施例１における転送制御装置１０は、規則２が設定されている状態で、外部ネットワークから、自装置が転送制御する対象となる囮サーバ宛の宛先ＵＲＬを保有するＨＴＴＰデータを受信すると（ステップＳ２０１肯定）、宛先ＵＲＬ抽出部１１ａは、受信したＨＴＴＰデータが保有する宛先ＵＲＬを抽出する（ステップＳ２０２）。
【００６８】
そして、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬに記載されているホスト名およびパス名（プログラム配置パス）を特定し（ステップＳ２０３）、特定したホスト名のパス管理リストに、特定したパス名が存在するか否かを判定する（ステップＳ２０４、第一判定処理）。
【００６９】
ここで、特定したホスト名のパス管理リストに、特定したパス名が存在する場合（ステップＳ２０４肯定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ２０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ２０９、変換なしの第一通知処理）。そして、転送先特定部１１ｃは、ステップＳ２０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ２１０）、処理を終了する。
【００７０】
一方、特定したホスト名のパス管理リストに、特定したパス名が存在しない場合（ステップＳ２０４否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在するか否かを判定する（ステップＳ２０５、規則２における第二判定処理）。例えば、宛先ＵＲＬ変換部１１ｂは、特定したパス名と完全一致する変換前パスがエントリされているか否かを判定する。
【００７１】
ここで、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在しない場合（ステップＳ２０５否定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ２０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ２０９、規則２における変換なしの第三通知処理）。そして、転送先特定部１１ｃは、ステップＳ２０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ２１０）、処理を終了する。
【００７２】
一方、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在する場合（ステップＳ２０５肯定）、特定したエントリにて変換前パスに対応付けられている変換後パスにステップＳ２０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ２０６）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ２０７、規則２における変換ありの第二通知処理）。
【００７３】
そして、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ２０８）、処理を終了する。
【００７４】
上述してきたように、実施例１によれば、パス管理リスト記憶部１２は、転送制御の対象となる囮サーバ５および囮サーバ６それぞれに搭載されているプログラムファイルのパス名（プログラム配置パス）を記憶する。ＵＲＬ変換テーブル記憶部１３は、囮サーバを宛先とする攻撃用の宛先ＵＲＬに記載されると想定されるプログラム配置パスを変換前パスとし、当該変換前パスと、当該変換前パスを囮サーバにおけるプログラム配置パスに変換するための変換後パスとを対応付けたＵＲＬ変換テーブルを記憶する。ＵＲＬ変換規則記録部１４は、宛先ＵＲＬ変換部１１ｂが実行する判定処理および宛先ＵＲＬ変換処理の変換規則を、転送制御装置１０の操作者から受け付けて記録する。
【００７５】
そして、宛先ＵＲＬ抽出部１１ａは、囮サーバ宛のパケットから、宛先ＵＲＬを抽出して、抽出した宛先ＵＲＬ（受信宛先ＵＲＬ）を宛先ＵＲＬ変換部１１ｂに通知する。宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬに記載されているホスト名のパス管理リストに、受信宛先ＵＲＬに記載されているパス名が記憶されているか否かを判定する（第一判定処理）。パス管理リストにパス名が記憶されている場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬを変換することなく、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する（第一通知処理：変換なし）。
【００７６】
一方、パス管理リストにパス名が記憶されてない場合、宛先ＵＲＬ変換部１１ｂは、ＵＲＬ変換規則記録部１４を参照して、規則１が設定されている状況においては、受信宛先ＵＲＬに記載されているファイル名を検索キーとして、当該検索キーと一致するファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されているか否かを判定する（規則１における第二判定処理）。宛先ＵＲＬ変換部１１ｂは、検索キーと一致するファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに一つのみ記憶されている場合、受信宛先ＵＲＬの「パス名」を、パス管理リストにて一つのみ存在していたプログラム配置パスに変換して、変換後宛先ＵＲＬを転送先特定部１１ｃに通知する（規則１における第二通知処理その一）。
【００７７】
また、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに複数記憶されている場合、当該複数のプログラム配置パスの中で、受信宛先ＵＲＬのパス名との一致度合いが、プログラム配置パスに記載されている階層構造を下位から上位に向かって探索した場合に最も高いプログラム配置パスを特定する。そして、宛先ＵＲＬ変換部１１ｂは、特定したプログラム配置パスに、受信宛先ＵＲＬの「パス名」を変換して、変換後宛先ＵＲＬを転送先特定部１１ｃに通知する（規則１における第二通知処理その二）。一方、検索キーと一致するファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する（規則１における第三通知処理：変換なし）。
【００７８】
したがって、実施例１によれば、従来、攻撃者が指定する宛先ＵＲＬに誤記があった際、囮サーバはマルウェアをダウンロードすることができず、その結果、収集できる攻撃情報に限界があったが、「規則１における第二通知処理その一、または規則１における第二通知処理その二」により、宛先ＵＲＬのパス名を脆弱なプログラムファイルが配置されているパス名に変換することで攻撃を適切な範囲で故意に成功させることができる。その結果、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることが可能となる。
【００７９】
また、実施例１によれば、規則２が設定されている状況において、パス管理リストにプログラム配置パスが記憶されてない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬに記載されているパス名を検索キーとして、当該検索キーと一致する変換前パスが囮サーバ５のＵＲＬ変換テーブルに記憶されているか否かを判定する（規則２における第二判定処理）。
【００８０】
検索キーと一致する変換前パスが囮サーバ５のＵＲＬ変換テーブルに記憶されている場合、宛先ＵＲＬ変換部１１ｂは受信宛先ＵＲＬのプログラム配置パスを、変換前パスに対応付けられている変換後パスに変換した変換後宛先ＵＲＬを転送先特定部１１ｃに通知する（規則２における第二通知処理）。一方、検索キーと一致する変換前パスが囮サーバ５のＵＲＬ変換テーブルに記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する（規則２における第三通知処理：変換なし）。
【００８１】
したがって、実施例１によれば、規則２が設定されている場合でも、「規則２における第二通知処理」により、宛先ＵＲＬのパス名を脆弱なプログラムファイルが配置されているパス名に変換することで攻撃を成功させることができる。その結果、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることが可能となる。
【００８２】
また、実施例１によれば、囮サーバごとにパス管理リストとＵＲＬ変換テーブルを記憶するので、宛先ＵＲＬにて指定されている囮サーバのパス管理リストとＵＲＬ変換テーブルとを容易に特定することができ、判定処理および通知処理を迅速に行なうことが可能となる。
【実施例２】
【００８３】
実施例２では、実施例１にて説明した規則１および規則２を併用して行なう場合について、図１４〜図２０を用いて説明する。なお、図１４は、実施例２におけるＵＲＬ変換規則記録部を説明するための図であり、図１５は、実施例２において宛先ＵＲＬ抽出部が抽出した宛先ＵＲＬを説明するための図であり、図１６〜図２０は、実施例２における宛先ＵＲＬ変換部を説明するための図である。
【００８４】
実施例２における転送制御装置１０は、図３を用いて実施例１にて説明した転送制御装置１０と同様の構成となるが、ＵＲＬ変換規則記録部１４にて設定される変換規則の内容と、宛先ＵＲＬ変換部１１ｂが実行する処理の内容とが実施例１と異なる。以下、これらを中心にして説明する。
【００８５】
実施例２におけるＵＲＬ変換規則記録部１４は、図１４に示すように、規則１および規則２に加え、規則３および規則４が変換規則として追加されたテーブルとなっている。そして、実施例２におけるＵＲＬ変換規則記録部１４でも、フラグを設定するためのカラムが設けられており、転送制御装置１０の操作者が規則３により宛先ＵＲＬ変換部１１ｂの処理を実行させると設定した場合には、規則３のフラグにチェックが設定される。また、転送制御装置１０の操作者が規則４により宛先ＵＲＬ変換部１１ｂの処理を実行させると設定した場合には、規則４のフラグにチェックが設定される。
【００８６】
まず、規則３または規則４が設定されている場合、実施例２においても、実施例１で説明した第一判定処理が行なわれる。
【００８７】
例えば、図１５に示すように、ネットワーク３に収容されているユーザ端末７から、「http://host#1/d-X/d-B/d-C/file-b」という宛先ＵＲＬを保有するＨＴＴＰデータを受信した場合、宛先ＵＲＬ抽出部１１ａは、宛先ＵＲＬを抽出して宛先ＵＲＬ変換部１１ｂに通知する。ここで、ユーザ端末７から受信した宛先ＵＲＬは、「ホスト名：host#1」が「プログラム配置パス：/d-X/d-B/d-C/file-b」に配置している「ファイル名：file-b」のプログラムファイルをアクセス先として指定している。
【００８８】
宛先ＵＲＬ変換部１１ｂは、図１６に示すように、受信宛先ＵＲＬから「ホスト名：host#1」を参照して、図４を用いて説明した囮サーバごとのパス管理リストのうち、「ホスト名：host#1」である囮サーバ５のパス管理リストを用いて第一判定処理を行なうと決定する。そして、宛先ＵＲＬ変換部１１ｂは、図１６に示すように、受信宛先ＵＲＬに記載されている「パス名：/d-X/d-B/d-C /file-b」を検索キーとして、当該検索キーと一致するプログラム配置パスが囮サーバ５のパス管理リストに記憶されているか否かを判定する。
【００８９】
ここで、仮に、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-B/d-C /file-b」が記憶されている場合、実施例１と同様に、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬを変換することなく、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する（第一通知処理：変換なし）。
【００９０】
一方、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-B/d-C /file-b」が記憶されてない場合、宛先ＵＲＬ変換部１１ｂは、ＵＲＬ変換規則記録部１４を参照して、フラグが設定されている規則が規則１〜４のいずれに設定されているかを判定する。なお、規則１または規則２が設定されている場合は、実施例１で説明した処理が実行される。
【００９１】
以下、規則３が設定されている場合の処理について説明し、そののち、規則４が設定されている場合の処理について説明する。
【００９２】
規則３が設定されている場合、実施例２における宛先ＵＲＬ変換部１１ｂは、第一判定処理の判定結果が否定である際に、規則２における第二判定処理および規則２における第二通知処理を行ない、規則２における第二判定処理の判定結果が否定である際に、さらに規則１における第二判定処理を行なう。
【００９３】
例えば、宛先ＵＲＬ変換部１１ｂは、規則３が設定されている状況において、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-B/d-C /file-b」が記憶されてない場合、規則２における第二判定処理を行なう。すなわち、宛先ＵＲＬ変換部１１ｂは、図１７に示すように、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルに、検索キーである「パス名：/d-X/d-B/d-C /file-b」と一致する変換前パスがエントリされているか否かを判定する。
【００９４】
宛先ＵＲＬ変換部１１ｂは、「/d-X/d-B/d-C /file-b」と一致する変換前パスがエントリされているならば、当該変換前パスに対応付けられている変換後パスを特定する。そして、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬのプログラム配置パスを、特定した変換後パスに変換した宛先ＵＲＬを変換後宛先ＵＲＬとして、転送先特定部１１ｃに通知する（規則２における第二通知処理：変換あり）。なお、実施例２においても、規則２における第二通知処理は、下位の階層からのマッチングにより検索キーと最も一致する変換前パスを特定し、特定した変換前パスに対応付けられた変換後パスを変換後宛先ＵＲＬに用いてもよい。
【００９５】
一方、図１７に示すように、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルにおいて、「パス名：/d-X/d-B/d-C /file-b」と一致する変換前パスが記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬを転送先特定部１１ｃに通知するのではなく、「規則１における第二判定処理」を行なう。
【００９６】
すなわち、宛先ＵＲＬ変換部１１ｂは、図１８に示すように、受信宛先ＵＲＬに記載されている「パス名：/d-X/d-B/d-C /file-b」の末尾にある「ファイル名：file-b」を検索キーとして、当該検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５（ホスト名：host#1）のパス管理リストに記憶されているか否かを判定する。
【００９７】
ここで、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに一つのみ記憶されている場合、「規則１における第二変換処理その一」として、受信宛先ＵＲＬの「プログラム配置パス」を囮サーバ５のパス管理リストにて一つのみ存在していたプログラム配置パスに変換して、変換後宛先ＵＲＬを転送先特定部１１ｃに通知する（規則１における第二通知処理その一：変換あり）。
【００９８】
また、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに複数記憶されている場合、当該複数のプログラム配置パスの中で、受信宛先ＵＲＬの「パス名」との一致度合いが、プログラム配置パスに記載されている階層構造を下位から上位に向かって探索した場合に最も高いプログラム配置パスを特定する。そして、宛先ＵＲＬ変換部１１ｂは、「規則１における第二変換処理その二」として、特定したプログラム配置パスに、受信宛先ＵＲＬの「プログラム配置パス」を変換して、変換後宛先ＵＲＬを転送先特定部１１ｃに通知する（規則１における第二通知処理その二：変換あり）。
【００９９】
例えば、宛先ＵＲＬ変換部１１ｂは、図１８に示すように、「ファイル名：file-b」を末尾とするプログラム配置パスが「/d-A/d-B/d-C/file-b」および「/d-A/d-E/d-C/file-b」の２つ存在していると判定する。そして、宛先ＵＲＬ変換部１１ｂは、図１９に示すように、「/d-A/d-B/d-C/file-b」および「/d-A/d-E/d-C/file-b」のうち、下位から上位に向かった探索方向では「パス名：/d-X/d-B/d-C /file-b」と最も一致するのは「/d-A/d-B/d-C/file-b」であることから、「/d-A/d-B/d-C/file-b」を変換用のプログラム配置パスとして特定する。そして、宛先ＵＲＬ変換部１１ｂは、図１９に示すように、受信宛先ＵＲＬである「http://host#1/d-X/d-B/d-C/file-b」を変換した「http://host#1/d-A/d-B/d-C/file-b」を変換後宛先ＵＲＬとして、転送先特定部１１ｃに通知する。
【０１００】
一方、仮に、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されていない場合、「規則１における第三変換処理：変換なし」として、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する（規則１における第三通知処理：変換なし）。
【０１０１】
なお、実施例２における宛先ＵＲＬ変換部１１ｂは、規則３が設定されている状況で、「規則１における第二通知処理その一」または「規則１における第二通知処理その二」により受信宛先ＵＲＬを変換後宛先ＵＲＬに変換した場合に、以下に説明する処理を行なう。すなわち、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬに記載されていたパス名を「変換前パス」とし、変換後宛先ＵＲＬの変換に用いたプログラム配置パスを「変換後パス」として、ＵＲＬ変換テーブル記憶部１３に追加する。例えば、図１９に示す「規則１における第二通知処理その二」を行なった場合には、宛先ＵＲＬ変換部１１ｂは、図２０に示すように、検索キーとして用いた「/d-X/d-B/d-C /file-b」を変換前パスとし、変換用のプログラム配置パスとして特定した「/d-A/d-B/d-C/file-b」を変換後パスとして、「ホスト名：host#1」のＵＲＬ変換テーブルに追加して格納する。
【０１０２】
以上が、規則３が設定されている場合に宛先ＵＲＬ変換部１１ｂが実行する処理となる。一方、規則４が設定されている場合、実施例２における宛先ＵＲＬ変換部１１ｂは、第一判定処理の判定結果が否定である際に、規則１における第二判定処理および規則１における第二変換処理（その一またはその二）を行ない、規則１における第二判定処理の判定結果が否定である際に、さらに規則２における第二判定処理を行なう。
【０１０３】
例えば、宛先ＵＲＬ変換部１１ｂは、規則４が設定されている状況において、「ホスト名：host#1」のパス管理リストに「プログラム配置パス：/d-X/d-B/d-C /file-b」が記憶されてない場合、「規則１における第二判定処理」を行なう。すなわち、宛先ＵＲＬ変換部１１ｂは、「ホスト名：host#1」である囮サーバ５のパス管理リストに、検索キーである「file-b」と一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されているか否かを判定する（規則１における第二判定処理）。
【０１０４】
ここで、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに一つのみ記憶されている場合、「規則１における第二通知処理その一」を行なう。
【０１０５】
また、宛先ＵＲＬ変換部１１ｂは、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに複数記憶されている場合、「規則１における第二通知処理その二」を行なう。すなわち、本実施例では、「規則１における第二通知処理その二」が実行されて、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬである「http://host#1/d-X/d-B/d-C/file-b」を変換した「http://host#1/d-A/d-B/d-C/file-b」を変換後宛先ＵＲＬとして、転送先特定部１１ｃに通知する。
【０１０６】
一方、検索キーと一致するプログラムファイル名を含むプログラム配置パスが囮サーバ５のパス管理リストに記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬを転送先特定部１１ｃに通知するのではなく、「規則２における第二判定処理」を行なう。
【０１０７】
すなわち、宛先ＵＲＬ変換部１１ｂは、「ホスト名：host#1」である囮サーバ５のＵＲＬ変換テーブルに、検索キーである「パス名：/d-X/d-B/d-C /file-b」と一致する変換前パスがエントリされているか否かを判定する。
【０１０８】
宛先ＵＲＬ変換部１１ｂは、「/d-X/d-B/d-C /file-b」と一致する変換前パス：/d-X/d-Y/d-Z/file-a」がエントリされているならば、当該変換前パスに対応付けられている変換後パスを特定する。そして、宛先ＵＲＬ変換部１１ｂは、「規則２における第二通知処理」として、受信宛先ＵＲＬのプログラム配置パスを、特定した変換後パスに変換した宛先ＵＲＬを変換後宛先ＵＲＬとして、転送先特定部１１ｃに通知する。
【０１０９】
一方、「/d-X/d-B/d-C /file-b」と一致する変換前パス：/d-X/d-Y/d-Z/file-a」がエントリされていない場合、「規則２における第三通知処理：変換なし」として、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する。
【０１１０】
続いて、図２１および図２２を用いて実施例２における転送制御装置１０の処理の手順について説明する。図２１は、実施例２における転送制御装置の規則３設定時の処理を説明するためのフローチャートであり、図２２は、実施例２における転送制御装置の規則４設定時の処理を説明するためのフローチャートである。
【０１１１】
図２１に示すように、実施例２における転送制御装置１０は、規則３が設定されている状態で、外部ネットワークから、自装置が転送制御する対象となる囮サーバ宛の宛先ＵＲＬを保有するＨＴＴＰデータを受信すると（ステップＳ３０１肯定）、宛先ＵＲＬ抽出部１１ａは、受信したＨＴＴＰデータが保有する宛先ＵＲＬを抽出する（ステップＳ３０２）。
【０１１２】
そして、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬに記載されているホスト名およびパス名を特定し（ステップＳ３０３）、特定したホスト名のパス管理リストに、特定したパス名が存在するか否かを判定する（ステップＳ３０４、第一判定処理）。
【０１１３】
ここで、特定したホスト名のパス管理リストに、特定したパス名が存在する場合（ステップＳ３０４肯定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ３０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ３０９、変換なしの第一通知処理）。そして、転送先特定部１１ｃは、ステップＳ３０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ３１０）、処理を終了する。
【０１１４】
一方、特定したホスト名のパス管理リストに、特定したパス名が存在しない場合（ステップＳ３０４否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在するか否かを判定する（ステップＳ３０５、規則２における第二通知処理）。例えば、宛先ＵＲＬ変換部１１ｂは、特定したパス名と完全一致する変換前パスがエントリされているか否かを判定する。
【０１１５】
ここで、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在する場合（ステップＳ３０５肯定）、特定したエントリにて変換前パスに対応付けられている変換後パスにステップＳ３０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ３０６）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ３０７、規則２における変換ありの第二通知処理）。そして、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ３０８）、処理を終了する。
【０１１６】
一方、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在しない場合（ステップＳ３０５否定）、宛先ＵＲＬ変換部１１ｂは、規則１に切り替えて、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在するか否かを判定する（ステップＳ３１１、規則１における第二判定処理）。
【０１１７】
ここで、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在しない場合（ステップＳ３１１否定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ３０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ３０９、規則１における変換なしの第三通知処理）。そして、転送先特定部１１ｃは、ステップＳ３０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ３１０）、処理を終了する。
【０１１８】
一方、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在する場合（ステップＳ３１１肯定）、該当するエントリが複数であるか否かを判定する（ステップＳ３１２）。
【０１１９】
ここで、エントリが単一である場合（ステップＳ３１２否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のパス管理リストに単一で存在するプログラム配置パスにステップＳ３０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ３１３）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ３０７、規則１における変換ありの第二変換処理その一）。そして、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ３０８）、処理を終了する。
【０１２０】
一方、エントリが複数である場合（ステップＳ３１２肯定）、宛先ＵＲＬ変換部１１ｂは、下位階層からのマッチングにより、複数のエントリの中から、変換後のプログラム配置パスを決定し（ステップＳ３１４）、決定したプログラム配置パスにステップＳ３０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ３１５）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ３０７、規則１における変換ありの第二変換処理その二）。そして、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ３０８）、処理を終了する。なお、宛先ＵＲＬ変換部１１ｂは、「規則１における変換ありの第二変換処理その一」または「規則１における変換ありの第二変換処理その二」を実行した場合、宛先ＵＲＬの変換処理に用いた情報を、該当するホスト名のＵＲＬ変換テーブルに追加する（図２０参照）。
【０１２１】
これに対して、図２２に示すように、実施例２における転送制御装置１０は、規則４が設定されている状態で、外部ネットワークから、自装置が転送制御する対象となる囮サーバ宛の宛先ＵＲＬを保有するＨＴＴＰデータを受信すると（ステップＳ４０１肯定）、宛先ＵＲＬ抽出部１１ａは、受信したＨＴＴＰデータが保有する宛先ＵＲＬを抽出する（ステップＳ４０２）。
【０１２２】
そして、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬに記載されているホスト名およびパス名を特定し（ステップＳ４０３）、特定したホスト名のパス管理リストに、特定したパス名が存在するか否かを判定する（ステップＳ４０４、第一判定処理）。
【０１２３】
ここで、特定したホスト名のパス管理リストに、特定したパス名が存在する場合（ステップＳ４０４肯定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ４０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ４１２、変換なしの第一通知処理）。そして、転送先特定部１１ｃは、ステップＳ４０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ４１３）、処理を終了する。
【０１２４】
一方、特定したホスト名のパス管理リストに、特定したパス名が存在しない場合（ステップＳ４０４否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在するか否かを判定する（ステップＳ４０５、規則１における第二判定処理）。
【０１２５】
ここで、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むプログラム配置パスが存在する場合（ステップＳ４０５肯定）、該当するエントリが複数であるか否かを判定する（ステップＳ４０６）。
【０１２６】
ここで、エントリが単一である場合（ステップＳ４０６否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のパス管理リストに単一で存在するプログラム配置パスにステップＳ４０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ４０７）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ４１０、規則１における変換ありの第二通知処理その一）。
【０１２７】
ここで、エントリが複数である場合（ステップＳ４０６肯定）、宛先ＵＲＬ変換部１１ｂは、下位階層からのマッチングにより、複数のエントリの中から、変換後のプログラム配置パスを決定し（ステップＳ４０８）、決定したプログラム配置パスにステップＳ４０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ４０９）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ４１０、規則１における変換ありの第二通知処理その二）。そして、転送先特定部１１ｃは、ステップＳ４０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ４１１）、処理を終了する。
【０１２８】
一方、特定したホスト名のパス管理リストに、特定したパス名の末尾にあるファイル名を含むパス名が存在しない場合（ステップＳ４０５否定）、宛先ＵＲＬ変換部１１ｂは、規則２に切り替えて、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在するか否かを判定する（ステップＳ４１２、規則２における第二判定処理）。例えば、宛先ＵＲＬ変換部１１ｂは、特定したパス名と完全一致する変換前パスがエントリされているか否かを判定する。
【０１２９】
ここで、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在しない場合（ステップＳ４１２否定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ４０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ４１２、規則２における変換なしの第三通知処理）。そして、転送先特定部１１ｃは、ステップＳ４０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ４１３）、処理を終了する。
【０１３０】
一方、特定したホスト名のＵＲＬ変換テーブルに、特定したパス名を変換前パスとするエントリが存在する場合（ステップＳ４１２肯定）、特定したエントリにて変換前パスに対応付けられている変換後パスにステップＳ４０２で抽出した宛先ＵＲＬのパス名を変換し（ステップＳ４１３）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ４１０、規則２における変換ありの第二通知処理）。そして、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ４１１）、処理を終了する。
【０１３１】
上述してきたように、実施例２によれば、規則２では攻撃情報を収集できない場合でも、規則３を設定することで、規則１により収集可能な情報量を増大させることができ、また、規則１では攻撃情報を収集できない場合でも、規則４を設定することで、収集可能な情報量を増大させることができる。その結果、攻撃防御のために抽出可能な攻撃情報量をより増加させることで、攻撃検知精度をさらに向上させることが可能となる。
【０１３２】
また、実施例２によれば、規則３が設定される状況で、ＵＲＬ変換テーブルを自動的に追加更新することができるので、規則２または規則３の設定下における収集可能な情報量をさらに増大させることができる。
【０１３３】
なお、上記した実施例１および２では、転送制御装置１０の転送制御対象となる囮サーバが複数である場合について説明したが、本発明は、転送制御装置１０の転送制御対象となる囮サーバが１台である場合であっても適用可能である。
【０１３４】
また、上記した実施例１および２では、転送制御装置１０の転送制御対象となる装置が脆弱なプログラムファイルを故意に搭載された囮サーバである場合について説明した。しかし、本発明は、転送制御装置１０の転送制御対象となる装置が、搭載するプログラムファイルが脆弱なプログラムファイルとなってしまう可能性があり、ＨＴＴＰデータを送受信可能な機能を有するユーザ端末である場合であっても適用可能である。また、本発明は、転送制御装置１０の転送制御対象となる装置が囮サーバおよびユーザ端末である場合であっても適用可能である。また、本発明は、宛先ＵＲＬのアクセス先が、転送制御対象となる装置が搭載するプログラムファイル以外のファイルである場合でも、これらファイルの配置位置情報を含むパス管理リストや、これらファイルの配置位置情報を変換後パスとするＵＲＬ変換テーブルを転送制御装置１０に格納することで、適用可能である。
【０１３５】
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【０１３６】
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０１３７】
なお、本実施例で説明した転送制御方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。
【産業上の利用可能性】
【０１３８】
以上のように、本発明に係る転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラムは、宛先ＵＲＬを保有するデータの転送を制御する場合に有用であり、特に、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることに適する。
【符号の説明】
【０１３９】
１、２、３、４  ネットワーク
５、６  囮サーバ
７、８  ユーザ端末
１０  転送制御装置
１１  パケット転送部
１１ａ  宛先ＵＲＬ抽出部
１１ｂ  宛先ＵＲＬ変換部
１１ｃ  転送先特定部
１２  パス管理リスト記憶部
１３  ＵＲＬ変換テーブル記憶部
１４  ＵＲＬ変換規則記録部
【図１】
2011086192.tif 000003
【図２】
2011086192.tif 000004
【図３】
2011086192.tif 000005
【図４】
2011086192.tif 000006
【図５】
2011086192.tif 000007
【図６】
2011086192.tif 000008
【図７】
2011086192.tif 000009
【図８】
2011086192.tif 000010
【図９】
2011086192.tif 000011
【図１０】
2011086192.tif 000012
【図１１】
2011086192.tif 000013
【図１２】
2011086192.tif 000014
【図１３】
2011086192.tif 000015
【図１４】
2011086192.tif 000016
【図１５】
2011086192.tif 000017
【図１６】
2011086192.tif 000018
【図１７】
2011086192.tif 000019
【図１８】
2011086192.tif 000020
【図１９】
2011086192.tif 000021
【図２０】
2011086192.tif 000022
【図２１】
2011086192.tif 000023
【図２２】
2011086192.tif 000024