(57)【要約】      （修正有）【課題】悪性ウェブサイトのＵＲＬを検出できる悪性ウェブサイト検出装置、悪性ウェブサイト検出方法、悪性ウェブサイト検出プログラムを提供する。【解決手段】悪性ウェブサイト検出装置は、端末が所定期間内にウェブサイトに接続した第１アクセスログ２２と、端末が所定期間後にウェブサイトに接続した第２アクセスログ２４とが記憶される記憶部２０と、第２アクセスログ２４に基づいて、悪性ウェブサイトのＵＲＬを抽出する制御部３０とを備える。制御部は、悪性ウェブサイトのＵＲＬを検出する。【選択図】図１
2019185624.tif 000002
【特許請求の範囲】
【請求項１】
端末が所定期間内にウェブサイトに接続した第１アクセスログと、端末が前記所定期間後にウェブサイトに接続した第２アクセスログとが記憶される記憶部と、
前記第２アクセスログに基づいて、悪性ウェブサイトのＵＲＬ（Uniform Resource Locator）を抽出する制御部とを備え、
前記制御部は、
前記第２アクセスログから前記第１アクセスログに含まれないＵＲＬで、かつ、ＵＲＬ長が所定数以上のＵＲＬを抽出する第１抽出部と、
前記第１抽出部が抽出したＵＲＬから、前記ＵＲＬにＵＲＬエンコードされた文字列を含まないＵＲＬを抽出する第２抽出部と、
前記第２抽出部が抽出したＵＲＬから、前記ＵＲＬに含まれる文字数の含有率に基づいてＵＲＬを抽出する第３抽出部と、
を有し、前記第３抽出部が抽出したＵＲＬに基づいて悪性ウェブサイトのＵＲＬを検出する
ことを特徴とする悪性ウェブサイト検出装置。
【請求項２】
請求項１に記載の悪性ウェブサイト検出装置において、
前記第３抽出部は、
前記第２抽出部が抽出したＵＲＬから、前記ＵＲＬに含まれる数字の含有率が９％〜２６％であるＵＲＬを抽出する第３ａ抽出部と、
前記第２抽出部が抽出したＵＲＬから、前記ＵＲＬに含まれる大文字アルファベットの含有率が１９％〜３８％であるＵＲＬを抽出する第３ｂ抽出部と、
前記第２抽出部が抽出したＵＲＬから、前記ＵＲＬに含まれる小文字アルファベットの含有率が３５％〜５０％であるＵＲＬを抽出する第３ｃ抽出部と、
前記第２抽出部が抽出したＵＲＬから、前記ＵＲＬに含まれる特殊文字の含有率が６％〜９％を抽出する第３ｄ抽出部と、
のうち、少なくとも２つの処理部を有する
ことを特徴とする悪性ウェブサイト検出装置。
【請求項３】
請求項１に記載の悪性ウェブサイト検出装置において、
前記第３抽出部は、
前記第２抽出部が抽出したＵＲＬから、特定の文字列を含むＵＲＬを抽出する第３ｅ抽出部を有することを特徴とする悪性ウェブサイト検出装置。
【請求項４】
請求項１〜３のいずれか１項に記載の悪性ウェブサイト検出装置において、
前記第３抽出部が抽出したＵＲＬを有する判定サーバを備え、
端末がウェブサイトに接続する場合に、前記端末が前記判定サーバに前記ウェブサイトのＵＲＬを送信し、前記判定サーバで前記ウェブサイトの悪性ウェブサイトの当否を判定することを特徴とする悪性ウェブサイト検出装置。
【請求項５】
第１アクセスログが、端末が所定期間内にウェブサイトに接続したアクセスログであって、第２アクセスログが、端末が前記所定期間後にウェブサイトに接続したアクセスログであって、
前記第２アクセスログから前記第１アクセスログに含まれないＵＲＬで、かつ、ＵＲＬ長が所定数以上のＵＲＬを抽出する第１抽出工程と、
前記第１抽出工程で抽出したＵＲＬから、前記ＵＲＬにＵＲＬエンコードされた文字列を含まないＵＲＬを抽出する第２抽出工程と、
前記第２抽出工程で抽出したＵＲＬから、前記ＵＲＬに含まれる文字数の含有率に基づいてＵＲＬを抽出する第３抽出工程とを、
を備え、
前記第３抽出工程で抽出したＵＲＬに基づいて悪性ウェブサイトのＵＲＬを検出する
ことを特徴とする悪性ウェブサイト検出方法。
【請求項６】
第１アクセスログが、端末が所定期間内にウェブサイトに接続したアクセスログであって、第２アクセスログが、端末が前記所定期間後にウェブサイトに接続したアクセスログであって、
前記第２アクセスログから前記第１アクセスログに含まれないＵＲＬで、かつ、ＵＲＬ長が所定数以上のＵＲＬを抽出する第１抽出工程と、
前記第１抽出工程で抽出したＵＲＬから、前記ＵＲＬにＵＲＬエンコードされた文字列を含まないＵＲＬを抽出する第２抽出工程と、
前記第２抽出工程で抽出したＵＲＬから、前記ＵＲＬに含まれる文字数の含有率に基づいてＵＲＬを抽出する第３抽出工程とを、
コンピュータに実行させ、前記第３抽出工程で抽出したＵＲＬに基づいて悪性ウェブサイトのＵＲＬを検出する
ことを特徴とする悪性ウェブサイト検出プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、悪性ウェブサイトのＵＲＬ（Uniform Resource Locator）を検出する悪性ウェブサイト検出装置、悪性ウェブサイト検出方法及び悪性ウェブサイト検出プログラムに関する。
【背景技術】
【０００２】
従来、端末やソフトウェアの脆弱性を攻撃して、端末をハッキングするプログラムとしてエクスプロイトキット（Exploit Kit）が知られている。エクスプロイトキットが設置されている悪性ウェブサイトをリスト化して、端末の利用者が、前記悪性ウェブサイトへの接続の回避が行われている。
【０００３】
この悪性ウェブサイトをリスト化するために、悪性ウェブサイトのＵＲＬである悪性ＵＲＬに含まれる任意の文字列を組み合わせてリストを生成する、リスト生成装置が知られている（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１２−１１８７１３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、特許文献１のリスト生成装置では、悪性ウェブサイトを継続的に観測し、悪性ＵＲＬのリストを更新する必要があり、膨大な人的労力を要する。また、悪性ウェブサイトの判定は、膨大なウェブコンテンツを取得、分析する必要があり、作業が非常に煩雑なる。さらに、一般に同一のドメイン又はＵＲＬで悪性ウェブサイトが活動する時間は、数時間から１日以内と短い場合が多く、リストの更新は、精度の高いリストの更新は困難である。
【０００６】
本発明は、上記の課題を考慮してなされたものであって、効率的に悪性ウェブサイトのＵＲＬを検出できる悪性ウェブサイト検出装置、悪性ウェブサイト検出方法、悪性ウェブサイト検出プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係る悪性ウェブサイト検出装置は、端末が所定期間内にウェブサイトに接続した第１アクセスログと、端末が前記所定期間後にウェブサイトに接続した第２アクセスログとが記憶される記憶部と、前記第２アクセスログに基づいて、悪性ウェブサイトのＵＲＬ（Uniform Resource Locator）を抽出する制御部とを備え、前記制御部は、前記第２アクセスログから前記第１アクセスログに含まれないＵＲＬで、かつ、ＵＲＬ長が所定数以上のＵＲＬを抽出する第１抽出部と、前記第１抽出部が抽出したＵＲＬから、前記ＵＲＬにＵＲＬエンコードされた文字列を含まないＵＲＬを抽出する第２抽出部と、前記第２抽出部が抽出したＵＲＬから、前記ＵＲＬに含まれる文字数の含有率に基づいてＵＲＬを抽出する第３抽出部と、を有し、前記第３抽出部が抽出したＵＲＬに基づいて悪性ウェブサイトのＵＲＬを検出することを特徴とする。
【０００８】
前記悪性ウェブサイト検出装置において、前記第３抽出部は、前記第２抽出部が抽出したＵＲＬから、前記ＵＲＬに含まれる数字の含有率が９％〜２６％であるＵＲＬを抽出する第３ａ抽出部と、前記第２抽出部が抽出したＵＲＬから、前記ＵＲＬに含まれる大文字アルファベットの含有率が１９％〜３８％であるＵＲＬを抽出する第３ｂ抽出部と、前記第２抽出部が抽出したＵＲＬから、前記ＵＲＬに含まれる小文字アルファベットの含有率が３５％〜５０％であるＵＲＬを抽出する第３ｃ抽出部と、前記第２抽出部が抽出したＵＲＬから、前記ＵＲＬに含まれる特殊文字の含有率が６％〜９％を抽出する第３ｄ抽出部と、のうち、少なくとも２つの処理部を有することを特徴とする。
【０００９】
前記悪性ウェブサイト検出装置において、前記第３抽出部は、前記第２抽出部が抽出したＵＲＬから、特定の文字列を含むＵＲＬを抽出する第３ｅ抽出部を有することを特徴とする。
【００１０】
前記悪性ウェブサイト検出装置において、前記第３抽出部が抽出したＵＲＬを有する判定サーバを備え、端末がウェブサイトに接続する場合に、前記端末が前記判定サーバに前記ウェブサイトのＵＲＬを送信し、前記判定サーバで前記ウェブサイトの悪性ウェブサイトの当否を判定することを特徴とする。
【００１１】
本発明に係る悪性ウェブサイト検出方法は、第１アクセスログが、端末が所定期間内にウェブサイトに接続したアクセスログであって、第２アクセスログが、端末が前記所定期間後にウェブサイトに接続したアクセスログであって、前記第２アクセスログから前記第１アクセスログに含まれないＵＲＬで、かつ、ＵＲＬ長が所定数以上のＵＲＬを抽出する第１抽出工程と、前記第１抽出工程で抽出したＵＲＬから、前記ＵＲＬにＵＲＬエンコードされた文字列を含まないＵＲＬを抽出する第２抽出工程と、前記第２抽出工程で抽出したＵＲＬから、前記ＵＲＬに含まれる文字数の含有率に基づいてＵＲＬを抽出する第３抽出工程とを、を備え、前記第３抽出工程で抽出したＵＲＬに基づいて悪性ウェブサイトのＵＲＬを検出することを特徴とする。
【００１２】
本発明に係る悪性ウェブサイト検出プログラムは、第１アクセスログが、端末が所定期間内にウェブサイトに接続したアクセスログであって、第２アクセスログが、端末が前記所定期間後にウェブサイトに接続したアクセスログであって、前記第２アクセスログから前記第１アクセスログに含まれないＵＲＬで、かつ、ＵＲＬ長が所定数以上のＵＲＬを抽出する第１抽出工程と、前記第１抽出工程で抽出したＵＲＬから、前記ＵＲＬにＵＲＬエンコードされた文字列を含まないＵＲＬを抽出する第２抽出工程と、前記第２抽出工程で抽出したＵＲＬから、前記ＵＲＬに含まれる文字数の含有率に基づいてＵＲＬを抽出する第３抽出工程とを、コンピュータに実行させ、前記第３抽出工程で抽出したＵＲＬに基づいて悪性ウェブサイトのＵＲＬを検出することを特徴とする。
【発明の効果】
【００１３】
本発明の悪性ウェブサイト検出装置では、第１抽出部と第２抽出部と第３抽出部でウェブサイトのＵＲＬを抽出することにより、効率的に悪性ウェブサイトのＵＲＬを検出することができる。
【００１４】
悪性ウェブサイト検出装置では、第３抽出部として、第３ａ抽出部、第３ｂ抽出部、第３ｃ抽出部、第３ｄ抽出部の少なくとも２つの処理部によりウェブサイトのＵＲＬを抽出することにより、さらに、効率的に悪性ウェブサイトのＵＲＬを検出することができる。
【００１５】
悪性ウェブサイト検出装置では、第３抽出部として、第３ｅ抽出部によりウェブサイトのＵＲＬを抽出することにより、さらに、効率的に悪性ウェブサイトのＵＲＬを検出することができる。
【００１６】
悪性ウェブサイト検出装置では、第１抽出部と第２抽出部と第３抽出部で悪性ウェブサイトのＵＲＬを検出することにより、端末が接続しようとするウェブサイトが悪性ウェブサイトであるか否かを知ることができる。
【図面の簡単な説明】
【００１７】
【図１】本発明の実施形態に係る悪性ウェブサイト検出装置の説明図である。
【図２】図２Ａは第１アクセスログの説明図であり、図２ＢはＵＲＬリストの説明図である。
【図３】本発明の実施形態に悪性ウェブサイト検出装置の処理手順の説明図である。
【図４】ＵＲＬに含まれる数字の含有率、大文字アルファベットの含有率を変化させた場合のＵＲＬの分布を示した図である。
【図５】ＵＲＬに含まれる大文字アルファベットの含有率、小文字アルファベットの含有率を変化させた場合のＵＲＬの分布を示した図である。
【図６】各抽出工程で、抽出されたＵＲＬ数を示した図である
【図７】各抽出工程で、抽出されたＵＲＬ数を示した図である。
【図８】本発明の実施形態の変形例に係る悪性ウェブサイト検出システムの説明図である。
【図９】本発明の実施形態の変形例に係る悪性ウェブサイト検出システムの処理手順の説明図である。
【図１０】悪性ウェブサイト検出装置の機能を実現するコンピュータの一例を示すハードウェアの説明図である。
【発明を実施するための形態】
【００１８】
以下に、本願にかかる悪性ウェブサイト検出装置、悪性ウェブサイト検出方法及び悪性ウェブサイト検出プログラムを実施するための形態（以下、「実施形態」という）について、図面を参照しつつ詳細に説明する。図１は、本発明の実施形態に係る悪性ウェブサイト検出装置１０の説明図であり、図２Ａは第１アクセスログ２２の説明図であり、図２ＢはＵＲＬリスト２６の説明図である。
【００１９】
＜悪性ウェブサイト検出装置１０の構成の説明＞
悪性ウェブサイト検出装置１０は、記憶部２０、制御部３０及び通信部４０を備える。記憶部２０は、第１アクセスログ２２、第２アクセスログ２４及びＵＲＬリスト２６を備える。
【００２０】
第１アクセスログ２２は、利用者が端末によって、所定期間内にウェブサイトに接続したアクセスログである。具体的には、アクセス時刻、利用者ＩＤ、アクセス先のＵＲＬ、アクセス先ドメイン名を備える。
【００２１】
第２アクセスログ２４は、第１アクセスログ２２を取得するための前記所定期間経過後に、利用者が端末によって、所定期間内にウェブサイトに接続したアクセスログである。
【００２２】
ＵＲＬリスト２６は、悪性ウェブサイトのＵＲＬである可能性が高いＵＲＬを示すリストである。なお、前記ＵＲＬには、ドメインも含まれる。
【００２３】
図２Ａに示されるように第１アクセスログ２２では、アクセス時刻として、xx:xx:xx、利用者ＩＤとして、ＩＤ１、アクセス先のＵＲＬとして、http://www.yyy.yyy/yyy.html、アクセス先ドメイン名として、yyy.yyyが記録されている。
【００２４】
制御部３０は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等によって構成される。制御部３０は、悪性ウェブサイト検出装置１０内の記憶装置に記憶されている各種プログラムがＲＡＭ（Random Access Memory）上にロードされて、実行される。制御部３０は、例えば、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）等の集積回路により実現される。制御部３０は、第１抽出部３２、第２抽出部３４及び第３抽出部３６を備える。
【００２５】
第１抽出部３２は、第２アクセスログ２４から第１アクセスログ２２に含まれないＵＲＬを抽出し、かつ、ＵＲＬ長が所定数以上、例えば、２００文字以上のＵＲＬを抽出する機能を有する。
【００２６】
第２抽出部３４は、第１抽出部３２が抽出したＵＲＬから、ＵＲＬエンコードされた文字列を含まないＵＲＬを抽出する機能を有する。
【００２７】
ここで、ＵＲＬエンコードとは、ＲＦＣ３９８６で規定されているＵＲＩ（Uniform Resource Identifier）において使用できない文字を使う際に行われる符号化であるパーセントエンコーディング（Percent Eencoding）と、ＨＴＭＬのＦｏｒｍで送信するデータ種類の一種である、application/x-www-form-urlencodedの仕様として規定されている符号化を意味する。
【００２８】
第３抽出部３６は、第３ａ抽出部３６ａ、第３ｂ抽出部３６ｂ、第３ｃ抽出部３６ｃ、第３ｄ抽出部３６ｄ及び第３ｅ抽出部３６ｅを備える。
【００２９】
第３ａ抽出部３６ａは、ＵＲＬに含まれる数字の含有率が９％〜２６％であるＵＲＬを抽出する機能を有する。
【００３０】
第３ｂ抽出部３６ｂは、ＵＲＬに含まれる大文字アルファベットの含有率が１９％〜３８％であるＵＲＬを抽出する機能を有する。ここで、大文字アルファベットは、Ａ、Ｂ、Ｃ、Ｄ、Ｅ、Ｆであることが好ましい。
【００３１】
第３ｃ抽出部３６ｃは、ＵＲＬに含まれる小文字アルファベットの含有率が３５％〜５０％であるＵＲＬを抽出する機能を有する。
【００３２】
第３ｄ抽出部３６ｄは、ＵＲＬに含まれる特殊文字の含有率が６％〜９％であるＵＲＬを抽出する機能を有する。ここで、特殊文字とは、ＨＴＭＬにおいて、文字参照で表記される文字を意味する。
【００３３】
制御部３０は、第３ａ抽出部３６ａ、第３ｂ抽出部３６ｂ、第３ｃ抽出部３６ｃ、第３ｄ抽出部３６ｄのうち、少なくとも２以上の処理部、すなわち、第３ａ抽出部３６ａと第３ｂ抽出部３６ｂ、第３ａ抽出部３６ａと第３ｃ抽出部３６ｃ、第３ａ抽出部３６ａと第３ｄ抽出部３６ｄ、第３ｂ抽出部３６ｂと第３ｃ抽出部３６ｃ、第３ｂ抽出部３６ｂと第３ｄ抽出部３６ｄ、第３ｃ抽出部３６ｃと第３ｄ抽出部３６ｄ、第３ａ抽出部３６ａと第３ｂ抽出部３６ｂと第３ｃ抽出部３６ｃ、第３ａ抽出部３６ａと第３ｂ抽出部３６ｂと第３ｄ抽出部３６ｄ、第３ａ抽出部３６ａと第３ｃ抽出部３６ｃと第３ｄ抽出部３６ｄ、第３ｂ抽出部３６ｂと第３ｃ抽出部３６ｃと第３ｄ抽出部３６ｄ、第３ａ抽出部３６ａと第３ｂ抽出部３６ｂと第３ｃ抽出部３６ｃと第３ｄ抽出部３６ｄのいずれかの組み合わせによる処理を行う。
【００３４】
第３ｅ抽出部３６ｅは、第２抽出部３４が抽出したＵＲＬから、特定の文字列を含むＵＲＬを抽出する機能を有する。ここで、特定の文字列としては、例えば、セキュリティ研究者であるBaber Pervez氏によって示された「Rig Exploit Kit malware URL Patterns」がある（以下、「Baber文字列パターン」という）。その一例としては、「Qc_Wfa,Qc_WYa,Qc_WZa,Qc_Wea,Qd_Wda,Qd_Wea,Qd_Wfa,QcvWda,QcvWea,QcvWfa,QcvWYa,QcvWZa,QdfWda,QdfWea,QdfWfa,QdfWYa,QdfWza,QdPWda,QdPWea,QdPWfa,QdPWYa,QdPWZa,QMrDYb,QMrLYb,QMrPYb,QMrTYb,QMrXYb,QMvWdb,QMvWeb,QMvWfb,QMvWYb,QMvWZb」の32パターンの文字列が知られている。
【００３５】
通信部４０は、外部の端末やサーバ等の装置と通信するための機能を有する。
【００３６】
＜悪性ウェブサイト検出装置１０の動作の説明＞
次に、悪性ウェブサイト検出装置１０の動作について、図３を用いて説明する。図３は、本発明の実施形態に係る悪性ウェブサイト検出装置１０の処理手順の説明図である。
【００３７】
まず、予め取得していた第１アクセスログ２２が記憶部２０に記録される（ステップＳ１）。次に、第２アクセスログ２４が記憶部２０に記録される（ステップＳ２）。
【００３８】
制御部３０は、第１抽出部３２によって、第２アクセスログ２４から第１アクセスログ２２に含まれないＵＲＬであって、かつ、ＵＲＬ長が所定数以上、例えば、２００文字以上であるＵＲＬを抽出する（ステップＳ３）。
【００３９】
一般に同一のドメイン又はＵＲＬで悪性ウェブサイトが活動する時間は、数時間から１日以内と短い場合が多いことを、発明者は見いだした。従って、第１アクセスログ２２で取得されたＵＲＬの悪性ウェブサイトは、その後、消滅している可能性が高いので、第２アクセスログ２４から第１アクセスログ２２に含まれないＵＲＬを抽出することにより、悪性ウェブサイトではないウェブサイトのＵＲＬを取り除くことができる。
【００４０】
制御部３０は、第１抽出部３２が抽出したＵＲＬから、第２抽出部３４によって、ＵＲＬエンコードされた文字列を含まないＵＲＬを抽出する（ステップＳ４）。
【００４１】
制御部３０は、第２抽出部３４が抽出したＵＲＬから、第３抽出部３６によってＵＲＬを抽出する（ステップＳ５）。具体的には、制御部３０は、第２抽出部３４が抽出したＵＲＬから、第３ａ抽出部３６ａによって、前記ＵＲＬに含まれる数字の含有率が９％〜２６％であるＵＲＬを抽出する。さらに、第３ａ抽出部３６ａが抽出したＵＲＬから、第３ｂ抽出部３６ｂによってＵＲＬに含まれる大文字アルファベット（Ａ〜Ｆ）の含有率が１９％〜３８％であるＵＲＬを抽出する。
【００４２】
制御部３０は、第３抽出部３６によって抽出したＵＲＬをＵＲＬリスト２６として、記憶部２０に記憶する（ステップＳ６）。
【００４３】
ここで、第３ａ抽出部３６ａ、第３ｂ抽出部３６ｂによって抽出されたＵＲＬリスト２６のＵＲＬについて、悪性ウェブサイトのＵＲＬの当否の結果を示す。図４は、ステップＳ４において、抽出されたＵＲＬにおいて、ＵＲＬに含まれる数字の含有率、大文字アルファベットの含有率を変化させた場合のＵＲＬの分布を示した図である。縦軸は、ＵＲＬに含まれる大文字の含有率を示し、横軸は、ＵＲＬに含まれる数字の含有率を示す。
【００４４】
図４においては、Baber文字列パターンと、ステップＳ４において抽出されたＵＲＬとを照合すると、線で囲んだ範囲、すなわち、ＵＲＬに含まれる数字の含有率が９％〜２６％、大文字アルファベット（Ａ〜Ｆ）の含有率が１９％〜３８％のＵＲＬが悪性ウェブサイトであるとことがわかった。
【００４５】
ステップＳ５においては、第３ａ抽出部３６ａと第３ｂ抽出部３６ｂにより、ＵＲＬを抽出している。制御部３０は、第３ａ抽出部３６ａ、第３ｂ抽出部３６ｂ、第３ｃ抽出部３６ｃ、第３ｄ抽出部３６ｄのうち、少なくとも２以上の処理部によりＵＲＬを抽出できれば、これに限定されるものではない。
【００４６】
例えば、第３ｂ抽出部３６ｂと第３ｃ抽出部３６ｃにより、ＵＲＬを抽出してもよい。具体的には、ステップＳ５において、制御部３０は、第２抽出部３４が抽出したＵＲＬから、第３ｂ抽出部３６ｂによって、ＵＲＬに含まれる大文字アルファベット（Ａ〜Ｆ）の含有率が１９％〜３８％であるＵＲＬを抽出する。さらに、第３ｂ抽出部３６ｂが抽出したＵＲＬから、第３ｃ抽出部３６ｃによって、ＵＲＬに含まれる小文字アルファベットの含有率が３５％〜５０％であるＵＲＬを抽出する。
【００４７】
ここで、第３ｂ抽出部３６ｂ、第３ｃ抽出部３６ｃによって抽出されたＵＲＬリスト２６のＵＲＬについて、悪性ウェブサイトの当否の結果を示す。図５は、ステップＳ４において、抽出されたＵＲＬから、ＵＲＬに含まれる大文字アルファベットの含有率、小文字アルファベットの含有率を変化させた場合のＵＲＬの分布を示す図である。縦軸は、ＵＲＬに含まれる小文字の含有率を示し、横軸は、ＵＲＬに含まれる大文字の含有率を示す。
【００４８】
図５においては、Baber文字列パターンと、ステップＳ４において抽出されたＵＲＬとを照合すると、線で囲んだ範囲、すなわち、ＵＲＬに含まれる大文字アルファベット（Ａ〜Ｆ）含有率が１９％〜３８％、子文字アルファベットの含有率が３５％〜５０％のＵＲＬが悪性ウェブサイトであるとことがわかった。
【００４９】
また、異なる３日間で、第２抽出部３４が抽出したＵＲＬから、第３ａ抽出部３６ａ、第３ｂ抽出部３６ｂ及び第３ｃ抽出部３６ｃによって、ＵＲＬを抽出する実験１〜３の３回の実験をした。図６は、各抽出工程で、抽出されたＵＲＬ数を示した図である。
【００５０】
実験１で取得した全ＵＲＬ数は、１３２４５２２３０個であった。これに対して、ステップＳ３で、第１抽出部３２によって抽出したＵＲＬ数は１０２０７個、ステップＳ４で、第２抽出部３４によって抽出したＵＲＬ数は２９６０個であった。ステップＳ５で、第３ａ抽出部３６ａ、第３ｂ抽出部３６ｂ及び第３ｃ抽出部３６ｃによって抽出したＵＲＬ数は４９３個であった。この第３ａ抽出部３６ａ、第３ｂ抽出部３６ｂ及び第３ｃ抽出部３６ｃによって抽出したＵＲＬについて、Baber文字列パターンと照合し、悪性ウェブサイトの検証をした。その結果、ＵＲＬ数４９３個に対して、悪性ウェブサイトのＵＲＬが１５３個含まれていた。
【００５１】
同様に実験２では、第２抽出部３４が抽出したＵＲＬから、第３ａ抽出部３６ａ、第３ｂ抽出部３６ｂ及び第３ｃ抽出部３６ｃによって抽出したＵＲＬについて、ＵＲＬ数２７３個に対して、悪性ウェブサイトのＵＲＬが１５個含まれていた。
【００５２】
同様に実験３では、第２抽出部３４が抽出したＵＲＬから、第３ａ抽出部３６ａ、第３ｂ抽出部３６ｂ及び第３ｃ抽出部３６ｃによって抽出したＵＲＬについて、ＵＲＬ数４４３個に対して、悪性ウェブサイトのＵＲＬが６８個含まれていた。
【００５３】
さらに、ステップＳ４において、第２抽出部３４が抽出したＵＲＬから、特定の文字列、例えば、Baber文字列パターンを含むＵＲＬを抽出し、このＵＲＬを悪性ウェブサイトのＵＲＬとしてもよい。
【００５４】
図７は、各抽出工程で、抽出されたＵＲＬ数を示した図であった。図７では、異なる３日間について、実験４〜６の３回の実験をした。実験４〜６で取得したＵＲＬは、各々実験１〜３で取得したＵＲＬと同じものである。
【００５５】
実験４で取得した全ＵＲＬ数は、１３２４５２２３０個であった。これに対して、ステップＳ３で、第１抽出部３２によって抽出したＵＲＬ数は１０２０７個、ステップＳ４で、第２抽出部３４によって抽出したＵＲＬ数は２９６０個であった。ステップＳ５で、第３ｅ抽出部３６ｅによって抽出したＵＲＬ数は１５４個であった。
【００５６】
同様に実験５では、第２抽出部３４が抽出したＵＲＬから、第３ｅ抽出部３６ｅによって抽出したＵＲＬ数は２５であった。実験６では、第３ｅ抽出部３６ｅによって抽出したＵＲＬ数は９８であった。
【００５７】
次に、本発明の実施形態の変形例について説明する。図８は、本発明の実施形態の変形例に係る悪性ウェブサイト検出システム１００の説明図であり、図９は、本発明の実施形態の変形例に係る悪性ウェブサイト検出システム１００の処理手順の説明図である。
【００５８】
＜悪性ウェブサイト検出システム１００の構成の説明＞
悪性ウェブサイト検出システム１００は、悪性ウェブサイト検出装置１０Ａ、端末１２０、公衆回線１３０及び外部サーバ１４０を備える。悪性ウェブサイト検出装置１０Ａは、記憶部２０、制御部３０Ａ及び通信部４０を備える。制御部３０Ａは、悪性ウェブサイト検出装置１０の第３抽出部３６に判定部１１０が追加され、第３抽出部３６Ａとしている。なお、悪性ウェブサイト検出装置１０の構成要素と同一の機能を有する構成要素には、同一の参照符号を付し、詳細な説明は省略する。また、悪性ウェブサイト検出装置１０Ａには、端末１２０が公衆回線１３０を介して接続可能であり、また、端末１２０は、公衆回線１３０を介して外部サーバ１４０に接続可能である。
【００５９】
判定部１１０は、端末１２０が接続するウェブサイトについて、ＵＲＬリスト２６に基づいて、悪性ウェブサイトの当否を判定する機能を有する。端末１２０は、通信機能を有する端末である。公衆回線１３０は、例えば、インターネット等で構成される。外部サーバ１４０は、ウェブサイトが存在するサーバである。
【００６０】
＜悪性ウェブサイト検出システム１００の動作の説明＞
次に、悪性ウェブサイト検出システム１００の動作について、図９を用いて説明する。図９は、本発明の実施形態の変形例に係る悪性ウェブサイト検出システム１００の処理手順の説明図である。
【００６１】
まず、悪性ウェブサイト検出装置１０Ａの制御部３０Ａは、上述したステップＳ１〜Ｓ４の処理手順に従って、ＵＲＬリスト２６を生成し、記憶部２０に記憶する（ステップＳ１１）。
【００６２】
次に、利用者は、接続するウェブサイトのＵＲＬを端末１２０に入力し、入力されたＵＲＬが、公衆回線１３０を介して悪性ウェブサイト検出装置１０Ａに送信される（ステップＳ１２）。
【００６３】
制御部３０Ａは、通信部４０を介して、前記ＵＲＬを受信し、判定部１１０に供給する（ステップＳ１３）。
【００６４】
判定部１１０は、受信したＵＲＬとＵＲＬリスト２６とを照合し、受信したＵＲＬが悪性ウェブサイトのＵＲＬであるか否かを判定する（ステップＳ１４）。受信したＵＲＬがＵＲＬリスト２６に記載のＵＲＬと一致した場合には、判定部１１０は、受信したＵＲＬが悪性ウェブサイトのＵＲＬであると判定する。一方、受信したＵＲＬがＵＲＬリスト２６に記載のＵＲＬと不一致の場合には、判定部１１０は、受信したＵＲＬが悪性ウェブサイトのＵＲＬでないと判定する。
【００６５】
判定部１１０は、判定結果を通信部４０を介して、端末１２０に送信する（ステップＳ１５）。利用者は、端末１２０で受信した判定結果により、接続しようとするウェブサイトが悪性ウェブサイトであるか否かを知ることができる。
【００６６】
上述した悪性ウェブサイト検出装置１０は、例えば、図１０に示すような構成のコンピュータ１０００によって実現される。図１０は、悪性ウェブサイト検出装置１０の機能を実現するコンピュータ１０００の一例を示すハードウェアの説明図である。コンピュータ１０００は、ＣＰＵ１０１０、ＲＡＭ１０２０、ＲＯＭ１０３０、補助記憶部１０４０、通信インターフェイス（通信Ｉ／Ｆ）１０５０、入出力インターフェイス（入出力Ｉ／Ｆ）１０６０、及び記憶媒体インターフェイス（記憶媒体Ｉ／Ｆ）１０７０を有する。これらの各部は、バス１０８０によって接続される。
【００６７】
＜プログラムに係る実施形態の説明＞
ＣＰＵ１０１０は、ＲＯＭ１０３０又は補助記憶部１０４０に記憶されたプログラムに基づいて動作し、各部を制御する。ＲＯＭ１０３０には、コンピュータ１０００の起動時にＣＰＵ１０１０によって実行されるＢＩＯＳ（Basic Input Output System）等のブートプログラムや、コンピュータ１０００のハードウェアに依存するプログラム等が記憶される。
【００６８】
補助記憶部１０４０としては、例えば、ハードディスクドライブやソリッドステートドライブ（SSD:Solid State Drive）を用いることができる。また、補助記憶部１０４０には、ＣＰＵ１０１０によって実行されるプログラム、及び、前記プログラムによって使用されるデータ等が記憶されている。
【００６９】
通信インターフェイス１０５０には、公衆回線１３０が接続される。通信インターフェイス１０５０は、公衆回線１３０を介して他の機器からデータを受信し、ＣＰＵ１０１０へ送信する。また、通信インターフェイス１０５０は、ＣＰＵ１０１０が生成したデータを、公衆回線１３０を介して他の機器へ送信する。
【００７０】
入出力インターフェイス１０６０には、入力装置１０９０及び出力装置１１００が接続される。入力装置１０９０は、キーボードやマウス等で構成される。また、出力装置１１００は、ディスプレイやプリンタ等で構成される。ＣＰＵ１０１０は、入出力インターフェイス１０６０を介して、入力装置１０９０及び出力装置１１００を制御する。
【００７１】
記憶媒体インターフェイス１０７０は、記憶媒体１１１０に記憶されたプログラム又はデータを読み取り、ＲＡＭ１０２０を介してＣＰＵ１０１０に提供する。なお、出力装置１１００は、例えば、ＤＶＤ、ＤＶＤ−ＲＡＭ、Ｂｌｕ−ｒａｙ（登録商標）Ｄｉｓｋ等の光学記録媒体、フラッシュメモリ等の半導体メモリ、ＭＯ等の光磁気記録媒体、テープ媒体、磁気記録媒体等である。
【００７２】
例えば、コンピュータ１０００がＣＰＵ１０１０として機能する場合、ＣＰＵ１０１０は、補助記憶部１０４０からプログラムを読み取り、ＲＡＭ１０２０上にロードされたプログラムを実行することにより、悪性ウェブサイト検出装置１０の機能を実現する。また、ＣＰＵ１０１０は、記憶媒体インターフェイス１０７０を介して、出力装置１１００からプログラムを読み取り、ＲＡＭ１０２０上にロードされたプログラムを実行することにより、悪性ウェブサイト検出装置１０の機能を実現してもよい。
【００７３】
悪性ウェブサイト検出装置１０は、端末１２０が所定期間内にウェブサイトに接続した第１アクセスログ２２と、端末１２０が前記所定期間後にウェブサイトに接続した第２アクセスログ２４とが記憶される記憶部２０と、前記第２アクセスログ２４に基づいて、悪性ウェブサイトのＵＲＬ（Uniform Resource Locator）を抽出する制御部３０とを備え、前記制御部３０は、前記第２アクセスログ２４から前記第１アクセスログ２２に含まれないＵＲＬで、かつ、ＵＲＬ長が所定数以上のＵＲＬを抽出する第１抽出部３２と、前記第１抽出部３２が抽出したＵＲＬから、前記ＵＲＬにＵＲＬエンコードされた文字列を含まないＵＲＬを抽出する第２抽出部３４と、前記第２抽出部３４が抽出したＵＲＬから、前記ＵＲＬに含まれる文字数の含有率に基づいてＵＲＬを抽出する第３抽出部３６と、を有し、前記第３抽出部３６が抽出したＵＲＬに基づいて悪性ウェブサイトのＵＲＬを検出する。
【００７４】
悪性ウェブサイト検出装置１０では、第１抽出部３２と第２抽出部３４と第３抽出部３６でウェブサイトのＵＲＬを抽出することにより、効率的に悪性ウェブサイトのＵＲＬを検出することができる。
【００７５】
悪性ウェブサイト検出装置１０において、前記第３抽出部３６は、前記第２抽出部３４が抽出したＵＲＬから、前記ＵＲＬに含まれる数字の含有率が９％〜２６％であるＵＲＬを抽出する第３ａ抽出部３６ａと、前記第２抽出部３４が抽出したＵＲＬから、前記ＵＲＬに含まれる大文字アルファベットの含有率が１９％〜３８％であるＵＲＬを抽出する第３ｂ抽出部３６ｂと、前記第２抽出部３４が抽出したＵＲＬから、前記ＵＲＬに含まれる小文字アルファベットの含有率が３５％〜５０％であるＵＲＬを抽出する第３ｃ抽出部３６ｃと、前記第２抽出部３４が抽出したＵＲＬから、前記ＵＲＬに含まれる特殊文字の含有率が６％〜９％を抽出する第３ｄ抽出部３６ｄと、のうち、少なくとも２つの処理部を有する。
【００７６】
悪性ウェブサイト検出装置１０では、第３抽出部３６として、第３ａ抽出部３６ａ、第３ｂ抽出部３６ｂ、第３ｃ抽出部３６ｃ、第３ｄ抽出部３６ｄの少なくとも２つの処理部によりウェブサイトのＵＲＬを抽出することにより、さらに、効率的に悪性ウェブサイトのＵＲＬを検出することができる。
【００７７】
悪性ウェブサイト検出装置１０において、前記第３抽出部３６は、前記第２抽出部３４が抽出したＵＲＬから、特定の文字列を含むＵＲＬを抽出する第３ｅ抽出部３６ｅを有する。
【００７８】
悪性ウェブサイト検出装置１０では、第２抽出部３４として、第３ｅ抽出部３６ｅによりウェブサイトのＵＲＬを抽出することにより、さらに、効率的に悪性ウェブサイトのＵＲＬを検出することができる。
【００７９】
悪性ウェブサイト検出装置１０において、前記第３抽出部３６が抽出したＵＲＬを有する判定サーバを備え、端末１２０がウェブサイトに接続する場合に、前記端末１２０が前記判定サーバに前記ウェブサイトのＵＲＬを送信し、前記判定サーバで前記ウェブサイトの悪性ウェブサイトの当否を判定する。
【００８０】
悪性ウェブサイト検出装置１０では、第１抽出部３２と第２抽出部３４と第３抽出部３６で悪性ウェブサイトのＵＲＬを検出することにより、端末１２０が接続しようとするウェブサイトが悪性ウェブサイトであるか否かを知ることができる。
【００８１】
悪性ウェブサイト検出方法は、第１アクセスログ２２が、端末１２０が所定期間内にウェブサイトに接続したアクセスログであって、第２アクセスログ２４が、端末１２０が前記所定期間後にウェブサイトに接続したアクセスログであって、前記第２アクセスログ２４から前記第１アクセスログ２２に含まれないＵＲＬで、かつ、ＵＲＬ長が所定数以上のＵＲＬを抽出する第１抽出工程と、前記第１抽出工程で抽出したＵＲＬから、前記ＵＲＬにＵＲＬエンコードされた文字列を含まないＵＲＬを抽出する第２抽出工程と、前記第２抽出工程で抽出したＵＲＬから、前記ＵＲＬに含まれる文字数の含有率に基づいてＵＲＬを抽出する第３抽出工程とを、を備え、前記第３抽出工程で抽出したＵＲＬに基づいて悪性ウェブサイトのＵＲＬを検出する。
【００８２】
悪性ウェブサイト検出プログラムは、第１アクセスログ２２が、端末１２０が所定期間内にウェブサイトに接続したアクセスログであって、第２アクセスログ２４が、端末１２０が前記所定期間後にウェブサイトに接続したアクセスログであって、前記第２アクセスログ２４から前記第１アクセスログ２２に含まれないＵＲＬで、かつ、ＵＲＬ長が所定数以上のＵＲＬを抽出する第１抽出工程と、前記第１抽出工程で抽出したＵＲＬから、前記ＵＲＬにＵＲＬエンコードされた文字列を含まないＵＲＬを抽出する第２抽出工程と、前記第２抽出工程で抽出したＵＲＬから、前記ＵＲＬに含まれる文字数の含有率に基づいてＵＲＬを抽出する第３抽出工程とを、コンピュータに実行させ、前記第３抽出工程で抽出したＵＲＬに基づいて悪性ウェブサイトのＵＲＬを検出する。
【００８３】
なお、本発明は、上述の実施形態に限らず、本発明の要旨を逸脱することなく、種々の構成を採り得ることはもちろんである。
【００８４】
例えば、上述の実施形態では、ステップＳ５において、第３ａ抽出部３６ａによってＵＲＬを抽出した後に、第３ｂ抽出部３６ｂによって、さらにＵＲＬを抽出していたが、ＵＲＬの抽出処理の順序は、第３ｂ抽出部３６ｂによってＵＲＬを抽出した後に、第３ａ抽出部３６ａによって、さらにＵＲＬを抽出をしてもよい。同様に、ステップＳ５においては、第３ａ抽出部３６ａ、第３ｂ抽出部３６ｂ、第３ｃ抽出部３６ｃ、第３ｄ抽出部３６ｄによる抽出処理の順序は任意である。
【符号の説明】
【００８５】
１０、１０Ａ…悪性ウェブサイト検出装置
２０…記憶部
２２…第１アクセスログ
２４…第２アクセスログ
２６…ＵＲＬリスト
３０、３０Ａ…制御部
３２…第１抽出部
３４…第２抽出部
３６、３６Ａ…第３抽出部
３６ａ…第３ａ抽出部
３６ｂ…第３ｂ抽出部
３６ｃ…第３ｃ抽出部
３６ｄ…第３ｄ抽出部
３６ｅ…第３ｅ抽出部
４０…通信部
１００…悪性ウェブサイト検出システム
１１０…判定部
１２０…端末
１３０…公衆回線
１４０…外部サーバ
１０００…コンピュータ
１０１０…ＣＰＵ
１０２０…ＲＡＭ
１０３０…ＲＯＭ
１０４０…補助記憶部
１０５０…通信インターフェイス（通信Ｉ／Ｆ）
１０６０…入出力インターフェイス（入出力Ｉ／Ｆ）
１０７０…記憶媒体インターフェイス（記憶媒体Ｉ／Ｆ）
１０８０…バス
１０９０…入力装置
１１００…出力装置
１１１０…記憶媒体
【図１】
2019185624.tif 000003
【図２】
2019185624.tif 000004
【図３】
2019185624.tif 000005
【図４】
2019185624.tif 000006
【図５】
2019185624.tif 000007
【図６】
2019185624.tif 000008
【図７】
2019185624.tif 000009
【図８】
2019185624.tif 000010
【図９】
2019185624.tif 000011
【図１０】
2019185624.tif 000012