(57)【要約】【課題】特定のコンピュータからアクセスされた場合に悪意のある動作を行うＷｅｂサイトを判定する。【解決手段】複数の情報処理端末から共通のコンテンツを指定したコンテンツ送信要求を情報処理サーバに送信した際に前記情報処理サーバが前記複数の情報処理端末にそれぞれ送信したコンテンツからそれぞれ抽出された前記コンテンツの特徴を示す特徴情報を、前記複数の情報処理端末からそれぞれ取得する特徴情報取得部と、前記複数の情報処理端末から取得した複数の前記特徴情報の一致の度合いに応じて、前記情報処理サーバの安全性を判定する安全性判定部と、を備えることを特徴とする判定装置。【選択図】図３
2015201071.tif 000002
【特許請求の範囲】
【請求項１】
複数の情報処理端末から共通のコンテンツを指定したコンテンツ送信要求を情報処理サーバに送信した際に前記情報処理サーバが前記複数の情報処理端末にそれぞれ送信したコンテンツからそれぞれ抽出された前記コンテンツの特徴を示す特徴情報を、前記複数の情報処理端末からそれぞれ取得する特徴情報取得部と、
前記複数の情報処理端末から取得した複数の前記特徴情報の一致の度合いに応じて、前記情報処理サーバの安全性を判定する安全性判定部と、
を備えることを特徴とする判定装置。
【請求項２】
請求項１に記載の判定装置であって、
前記安全性判定部は、
前記複数の特徴情報がすべて同一である場合に前記情報処理サーバは安全であると判定し、前記複数の特徴情報が同一ではない場合に前記情報処理サーバは安全でないと判定する
ことを特徴とする判定装置。
【請求項３】
請求項１に記載の判定装置であって、
前記安全性の判定結果を前記複数の情報処理端末に送信する判定結果送信部と、
をさらに備えることを特徴とする判定装置。
【請求項４】
請求項３に記載の判定装置であって、
前記安全性判定部は、
前記情報処理サーバは安全でないと判定した場合には、前記複数の情報処理端末の中から事前に選出された特定の情報処理端末から取得した特徴情報と相違する特徴情報を送信してきた情報処理端末を特定し、
前記判定結果送信部は、
前記判定結果とともに、特定した前記情報処理端末を示す情報を、前記複数の情報処理端末に送信する
ことを特徴とする判定装置。
【請求項５】
請求項１に記載の判定装置であって、
前記コンテンツには、ＨＴＭＬ(Hyper Text Markup Language)を用いて記述されたウェブページが含まれ、
前記特徴情報には、前記ウェブページを記述するＨＴＭＬのデータから、文書構造に関する情報のみを抽出した情報が含まれる
ことを特徴とする判定装置。
【請求項６】
請求項１に記載の判定装置であって、  
前記複数の情報処理端末のいずれかとして機能する情報処理端末機能部と、
をさらに備えることを特徴とする判定装置。
【請求項７】
情報処理端末から送信されたコンテンツ送信要求を受信し、前記コンテンツ送信要求によって指定されたコンテンツを前記情報処理端末に送信する情報処理サーバの安全性を判定する判定装置と、複数の前記情報処理端末と、を備え、
前記情報処理端末は、
他の前記情報処理端末とともに、共通のコンテンツを指定したコンテンツ送信要求を前記情報処理サーバに送信するコンテンツ送信要求送信部と、
前記情報処理サーバから前記コンテンツを受信するコンテンツ受信部と、
前記コンテンツから、前記コンテンツの特徴を示す特徴情報を抽出する特徴情報抽出部と、
前記特徴情報を前記判定装置に送信する抽出情報送信部と、
を備え、
前記判定装置は、
前記複数の情報処理端末から前記特徴情報を取得する特徴情報取得部と、
前記複数の情報処理端末から取得した複数の前記特徴情報の一致の度合いに応じて、前記情報処理サーバの安全性を判定する安全性判定部と、
を備えることを特徴とする判定システム。
【請求項８】
複数の情報処理端末から共通のコンテンツを指定したコンテンツ送信要求を情報処理サーバに送信した際に前記情報処理サーバが前記複数の情報処理端末にそれぞれ送信したコンテンツからそれぞれ抽出された前記コンテンツの特徴を示す特徴情報を、前記複数の情報処理端末からそれぞれ取得し、
前記複数の情報処理端末から取得した複数の前記特徴情報の一致の度合いに応じて、前記情報処理サーバの安全性を判定する
ことを特徴とする判定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、判定装置、判定システム及び判定方法に関する。
【背景技術】
【０００２】
インターネットに接続されるコンピュータは、日々、様々な危険にさらされている。例えば、悪意のあるＷｅｂサイトにアクセスした場合には、悪意のある情報処理（攻撃）を行う所謂ウイルスプログラムをコンピュータにインストールされてしまう可能性がある。
【０００３】
アクセスした際に攻撃を仕掛けてくるようなＷｅｂサイトを悪性Ｗｅｂサイトとして判定する技術として、様々な技術が開発されている（例えば特許文献１参照）。
【０００４】
特許文献１に記載の技術は仮想環境を用いて実際に判定対象のＷｅｂサイトにアクセスし、ＯＳのパラメータなどの変更が行われたかどうかで対象のＷｅｂサイトが悪性であるかどうか判定するものであり、判定対象のＷｅｂサイトが悪性であった場合には仮想環境において悪性のプログラム（マルウェア）が実行されることになる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００９−２２３３７５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
そのような中で、近年、水飲み場型攻撃というタイプの攻撃方法が出現している。水飲み場型攻撃を行う者は、攻撃目標に定めた特定のコンピュータからアクセスされることが想定されるＷｅｂサイトを改竄し、その特定のコンピュータからアクセスがあった場合に、悪意のある動作（攻撃）を行うようにしておく。例えば、攻撃対象にされた特定の国や企業、あるいは組織内のコンピュータからアクセスがあった場合にのみ悪意のある動作を行うようにＷｅｂサイトを改竄しておく。
【０００７】
このように改竄されたＷｅｂサイトは、攻撃対象にされたコンピュータからのアクセスに対しては所定の攻撃を仕掛けるように振る舞うが、それ以外のコンピュータからのアクセスに対しては悪意を持たない通常のＷｅｂサイトとして振る舞う。
【０００８】
しかしながら、特許文献１に記載された技術は、上記のような特定のコンピュータからのアクセスに対してのみ攻撃を仕掛けるようなＷｅｂサイトを判定することは困難である。
【０００９】
また特許文献１に記載の技術では、仮想環境を用いて悪性Ｗｅｂサイトにアクセスし、悪性プログラムのダウンロードと実行を行わなければならない。実際に悪性プログラムの実行を行うため、仮想環境外に問題を起こさないような管理が必要になり、また、悪性であるかどうかの判定は仮想環境内での振る舞いに基づいて行われるため、所謂False Negative（見逃し）が発生することがある。
【００１０】
このようなことから、特定のコンピュータを攻撃対象として悪意のある動作を行うようなＷｅｂサイトを判別することを可能とする技術が求められている。
【課題を解決するための手段】
【００１１】
上記課題を解決するための一つの側面に係る判定装置は、複数の情報処理端末から共通のコンテンツを指定したコンテンツ送信要求を情報処理サーバに送信した際に前記情報処理サーバが前記複数の情報処理端末にそれぞれ送信したコンテンツからそれぞれ抽出された前記コンテンツの特徴を示す特徴情報を、前記複数の情報処理端末からそれぞれ取得する特徴情報取得部と、前記複数の情報処理端末から取得した複数の前記特徴情報の一致の度合いに応じて、前記情報処理サーバの安全性を判定する安全性判定部と、を備える。
【発明の効果】
【００１２】
特定のコンピュータからアクセスされた場合に悪意のある動作をおこなうＷｅｂサイトを判定することができる。
【図面の簡単な説明】
【００１３】
【図１】Ｗｅｂサイト判定システムの全体構成を示す図である。
【図２】Ｗｅｂサイト判定装置及びＷｅｂサイトアクセス装置のハードウェア構成を示す図である。
【図３】Ｗｅｂサイト判定システムの論理的な構成を示すブロック図である。
【図４】検査対象ＷｅｂサイトリストＤＢを示す図である。
【図５】Ｗｅｂサイトアクセス装置リストＤＢを示す図である。
【図６】比較ルールＤＢを示す図である。
【図７】コンテンツ処理ルールＤＢを示す図である。
【図８】Ｗｅｂサイト判定システムの処理の流れを示すフローチャートである。
【図９】判定指示受信処理及び定期処理実施処理の流れを示すフローチャートである。
【図１０】アクセス指示送信処理の流れを示すフローチャートである。
【図１１】アクセス結果処理の流れを示すフローチャートである。
【図１２】判定実施処理の流れを示すフローチャートである。
【図１３Ａ】検査対象Ｗｅｂサイトから送信されるコンテンツを示す図である。
【図１３Ｂ】検査対象Ｗｅｂサイトから送信されるコンテンツを示す図である。
【図１４Ａ】検査対象Ｗｅｂサイトから送信されるコンテンツの処理結果の一例を示す図である。
【図１４Ｂ】検査対象Ｗｅｂサイトから送信されるコンテンツの処理結果の一例を示す図である。
【図１５】各Ｗｅｂサイトアクセス装置によるコンテンツの処理結果の一覧を示す図である。
【図１６】検査対象Ｗｅｂサイトの安全性の判定結果を示す図である。
【発明を実施するための形態】
【００１４】
本明細書および添付図面の記載により、少なくとも以下の事項が明らかとなる。
【００１５】
＝＝第１実施形態＝＝
＜構成＞
本発明の実施形態に係るＷｅｂサイト判定システム１０００の全体構成を図１に示す。
【００１６】
本実施形態に係るＷｅｂサイト判定システム１０００は、Ｗｅｂサイト判定装置１００と、複数のＷｅｂサイトアクセス装置２００とが、ネットワーク４００を介して通信可能に接続されて構成される。
【００１７】
Ｗｅｂサイトアクセス装置２００は、Ｗｅｂブラウザを実行する情報処理端末として機能するコンピュータであり、Ｗｅｂサーバ（不図示）として機能する様々なコンピュータに対して、コンテンツを指定したコンテンツ送信要求をネットワーク４００を介して送信し、Ｗｅｂサーバから所望のコンテンツを受信する（なお、Ｗｅｂサーバとして機能するコンピュータに対してコンテンツ送信要求を送信することを、以下の説明において、コンピュータにアクセスする、とも記載する）。
【００１８】
Ｗｅｂサイトアクセス装置２００はＷｅｂサーバから様々なコンテンツを取得可能である。例えばＷｅｂサイトアクセス装置２００は、Ｗｅｂサーバにコンテンツ送信要求を送信することにより、ＨＴＭＬ(Hyper Text Markup Language)を用いて記述されたＷｅｂページの他、各種の動画ファイル、音声ファイル、静止画像ファイル、テキストファイル、プログラムなどを取得可能である。
【００１９】
図１に記載した検査対象Ｗｅｂサイト３００は、Ｗｅｂサイトアクセス装置２００からコンテンツ送信要求を受信し、このコンテンツ送信要求によって指定されたコンテンツをＷｅｂサイトアクセス装置２００に送信するＷｅｂサーバを実行する情報処理サーバとして機能するコンピュータの一つである。
【００２０】
ところで、ネットワーク４００には、Ｗｅｂサーバとして機能する様々なコンピュータが接続されているが、中には悪意のある動作を行うコンピュータ（以下、悪性Ｗｅｂサイトとも記載する）も含まれている。たとえば、特定の企業や団体のコンピュータからコンテンツ送信要求を受信した場合には、それ以外のコンピュータからコンテンツ送信要求を受信した場合と異なる悪意を持った動作を行うような、所謂水飲み場型攻撃を行うコンピュータも含まれている。
【００２１】
本実施形態に係るＷｅｂサイト判定システム１０００は、上記のようなネットワーク４００に接続されてＷｅｂサーバとして機能する様々なコンピュータの安全性を判定することが可能である。
【００２２】
詳細は後述するが、本実施形態に係るＷｅｂサイト判定装置１００は、安全性の判定対象として定めたネットワーク４００上のコンピュータ（すなわち検査対象Ｗｅｂサイト３００）に対して、攻撃対象になり得る各種企業や団体によってそれぞれ運用される複数のＷｅｂサイトアクセス装置２００から、共通のコンテンツを指定したコンテンツ送信要求を送信させる。
【００２３】
そして各Ｗｅｂサイトアクセス装置２００は、それぞれが受信したコンテンツから、このコンテンツの特徴を示す特徴情報を抽出して、Ｗｅｂサイト判定装置１００に送信する。
【００２４】
Ｗｅｂサイト判定装置１００は、それぞれのＷｅｂサイトアクセス装置２００から送信された特徴情報の一致の度合いに応じて、検査対象Ｗｅｂサイト３００の安全性を判定する。
【００２５】
なお図示してはいないが、Ｗｅｂサイト判定装置１００を運用する組織内のその他のコンピュータ機器やネットワーク装置、Ｗｅｂサイト判定装置１００を管理する管理者が利用するコンピュータなどがネットワーク４００に接続されていてもよい。
【００２６】
Ｗｅｂサイト判定装置１００及びＷｅｂサイトアクセス装置２００のハードウェア構成の一例をまとめて図２に示す。
【００２７】
Ｗｅｂサイト判定装置１００は、演算装置１１０、メモリ１２０、通信装置１３０、記憶装置１４０、入力装置１５０、表示装置１６０及び記録媒体読取装置１７０を有して構成されるコンピュータである。
【００２８】
演算装置１１０はＷｅｂサイト判定装置１００の全体の制御を司るもので、記憶装置１４０に記憶される本実施形態に係る各種の動作を行うためのコードから構成されるＷｅｂサイト判定装置制御プログラム６００をメモリ１２０に読み出して実行することにより、Ｗｅｂサイト判定装置１００としての各種機能を実現する。
【００２９】
例えば、詳細は後述するが、演算装置１１０によりＷｅｂサイト判定装置制御プログラム６００が実行され、メモリ１２０や通信装置１３０、記憶装置１４０等のハードウェア機器と協働することにより、判定指示受信部１０１、定期処理実施部１０２、検査対象ＷｅｂサイトリストＤＢ（DataBase）１０３、アクセス指示送信部１０４、Ｗｅｂサイトアクセス装置リストＤＢ１０５、処理結果受信部（特徴情報取得部）１０６、判定実施部（安全性判定部）１０７、比較ルールＤＢ１０８、対策実施部（判定結果送信部）１０９、情報処理端末機能部１８０などが実現される。
【００３０】
メモリ１２０は例えば半導体記憶装置により構成することができる。
【００３１】
通信装置１３０は、ネットワークカードなどのネットワークインタフェースである。通信装置１３０は、ネットワーク４００を介して他の装置からデータを受信し、受信したデータを演算装置１１０へ送る。そして、通信装置１３０は、演算装置１１０によって生成されたデータを、ネットワーク４００を介して他の装置へ送信する。
【００３２】
入力装置１５０は、キーボードまたはマウス等の装置であり、ユーザによる情報の入力を受け付けるための装置である。表示装置１６０は、ＬＣＤ（Liquid Crystal Display）等の装置であり、管理者に情報を出力するための装置である。
【００３３】
記憶装置１４０は、例えばハードディスク装置や半導体記憶装置等により構成することができる。記憶装置１４０は、各種プログラムやデータ、テーブル等を記憶するための物理的な記憶領域を提供する装置である。
【００３４】
本実施形態では、記憶装置１４０には、Ｗｅｂサイト判定装置制御プログラム６００、検査対象ＷｅｂサイトリストＤＢ１０３、Ｗｅｂサイトアクセス装置リストＤＢ１０５、比較ルールＤＢ１０８が記憶されている。
【００３５】
記憶装置１４０は、Ｗｅｂサイト判定装置１００に内蔵されている形態とすることもできるし、外付されている形態とすることもできる。
【００３６】
なお、Ｗｅｂサイト判定装置制御プログラム６００、検査対象ＷｅｂサイトリストＤＢ１０３、Ｗｅｂサイトアクセス装置リストＤＢ１０５、比較ルールＤＢ１０８は、記録媒体読取装置１７０を用いて、記録媒体（各種の光ディスクや磁気ディスク、半導体メモリ等）８００から記憶装置１４０に読み出すことで、Ｗｅｂサイト判定装置１００に格納されるようにすることもできるし、通信装置１３０を介して通信可能に接続される他のコンピュータから取得することで、Ｗｅｂサイト判定装置１００に格納されるようにすることもできる。また後者の場合には、Ｗｅｂサイト判定装置１００は記憶装置１４０を備えずに、上記他のコンピュータに記憶されている上記のプログラムやテーブル等の各種データを用いてＷｅｂサイト判定装置１００としての機能を実現する形態も可能である。
【００３７】
なおＷｅｂサイト判定装置１００は、仮想マシン上に構成される形態でもよい。
【００３８】
一方、Ｗｅｂサイトアクセス装置２００は、演算装置２１０、メモリ２２０、通信装置２３０、記憶装置２４０、入力装置２５０、表示装置２６０及び記録媒体読取装置２７０を有して構成されるコンピュータである。
【００３９】
演算装置２１０はＷｅｂサイトアクセス装置２００の全体の制御を司るもので、記憶装置２４０に記憶される本実施形態に係る各種の動作を行うためのコードから構成されるＷｅｂサイトアクセス装置制御プログラム６１０をメモリ２２０に読み出して実行することにより、Ｗｅｂサイトアクセス装置２００としての各種機能を実現する。
【００４０】
例えば、詳細は後述するが、演算装置２１０によりＷｅｂサイトアクセス装置制御プログラム６１０が実行され、メモリ２２０や通信装置２３０、記憶装置２４０等のハードウェア機器と協働することにより、アクセス指示受信部２０１、アクセス実施部（コンテンツ送信要求送信部、コンテンツ受信部）２０２、アクセス結果処理部（特徴情報抽出部）２０３、コンテンツ処理ルールＤＢ２０４、処理結果送信部（抽出情報送信部）２０５などが実現される。
【００４１】
メモリ２２０は例えば半導体記憶装置により構成することができる。
【００４２】
通信装置２３０は、ネットワークカードなどのネットワークインタフェースである。通信装置２３０は、ネットワーク４００を介して他の装置からデータを受信し、受信したデータを演算装置２１０へ送る。そして、通信装置２３０は、演算装置２１０によって生成されたデータを、ネットワーク４００を介して他の装置へ送信する。
【００４３】
入力装置２５０は、キーボードまたはマウス等の装置であり、ユーザによる情報の入力を受け付けるための装置である。表示装置２６０は、ＬＣＤ（Liquid Crystal Display）等の装置であり、管理者に情報を出力するための装置である。
【００４４】
記憶装置２４０は、例えばハードディスク装置や半導体記憶装置等により構成することができる。記憶装置２４０は、各種プログラムやデータ、テーブル等を記憶するための物理的な記憶領域を提供する装置である。
【００４５】
記憶装置２４０には、Ｗｅｂサイトアクセス装置制御プログラム６１０、コンテンツ処理ルールＤＢ２０４が記憶されている。
【００４６】
記憶装置２４０は、Ｗｅｂサイトアクセス装置２００に内蔵されている形態とすることもできるし、外付されている形態とすることもできる。
【００４７】
なお、Ｗｅｂサイトアクセス装置制御プログラム６１０、コンテンツ処理ルールＤＢ２０４は、記録媒体読取装置２７０を用いて、記録媒体８００から記憶装置２４０に読み出すことで、Ｗｅｂサイトアクセス装置２００に格納されるようにすることもできるし、通信装置２３０を介して通信可能に接続される他のコンピュータから取得することで、Ｗｅｂサイトアクセス装置２００に格納されるようにすることもできる。また後者の場合には、Ｗｅｂサイトアクセス装置２００は記憶装置２４０を備えずに、上記他のコンピュータに記憶されている上記のプログラムやテーブル等の各種データを用いてＷｅｂサイトアクセス装置２００としての機能を実現する形態も可能である。
【００４８】
またＷｅｂサイトアクセス装置２００も、Ｗｅｂサイト判定装置１００と同様に仮想マシン上に構成される形態でもよい。
【００４９】
次に、本実施形態に係るＷｅｂサイト判定装置１００およびＷｅｂサイトアクセス装置２００の論理的な構成を図３に示す。
【００５０】
Ｗｅｂサイト判定装置１００は、判定指示受信部１０１、定期処理実施部１０２、検査対象ＷｅｂサイトリストＤＢ１０３、アクセス指示送信部１０４、Ｗｅｂサイトアクセス装置リストＤＢ１０５、処理結果受信部１０６、判定実施部１０７、比較ルールＤＢ１０８、対策実施部１０９を備えて構成される。
【００５１】
また、Ｗｅｂサイトアクセス装置２００は、アクセス指示受信部２０１、アクセス実施部２０２、アクセス結果処理部２０３、コンテンツ処理ルールＤＢ２０４、処理結果送信部２０５を備えて構成される。
【００５２】
判定指示受信部１０１は、後述するＷｅｂサイト判定指示の内容に応じてアクセス指示送信部３０４を呼び出して検査対象Ｗｅｂサイト３００へのアクセスを実施させる。
【００５３】
Ｗｅｂサイト判定指示の内容には、特定のＷｅｂサイト（検査対象Ｗｅｂサイト３００）に関して判定を行うものや、検査対象ＷｅｂサイトリストＤＢ３０３に格納されているＷｅｂサイト（検査対象Ｗｅｂサイト３００）全てについて判定を行うものがある。
【００５４】
なおＷｅｂサイト判定指示は、ネットワーク４００を介して管理端末等の他のコンピュータから送信されてくる場合や、入力装置１５０を介して入力される場合、Ｗｅｂサイト判定装置１００が実行する他のプログラムから送信される場合などがある。
【００５５】
定期処理実施部３０２は、事前に設定された日時や特定の曜日などの所定のタイミングに呼び出され、検査対象ＷｅｂサイトリストＤＢ３０３に格納されているＷｅｂサイト全てについてアクセス指示送信部３０４を呼び出して判定を実施させる。
【００５６】
検査対象ＷｅｂサイトリストＤＢ１０３は、検査対象Ｗｅｂサイト３００のリストが格納されている。検査対象ＷｅｂサイトリストＤＢ１０３の一例を図４に示す。検査対象ＷｅｂサイトリストＤＢ１０３は、サイトＩＤ欄、ＵＲＬ（Uniform Resource Locator）欄を有して構成される。サイトＩＤ欄には、検査対象Ｗｅｂサイト３００を一意に識別するための識別子が記載される。ＵＲＬ欄には、各検査対象Ｗｅｂサイト３００のコンテンツのＵＲＬが記載される。
【００５７】
図３に戻って、アクセス指示送信部１０４は、判定指示受信部１０１や定期処理実施部１０２から呼び出された際に、Ｗｅｂサイトアクセス装置リストＤＢ１０５に記載されている複数のＷｅｂサイトアクセス装置２００に対して、検査対象Ｗｅｂサイト３００へのアクセス指示を送信する。
【００５８】
Ｗｅｂサイトアクセス装置リストＤＢ１０５には、Ｗｅｂサイトアクセス装置２００のリストが格納されている。
【００５９】
Ｗｅｂサイトアクセス装置リストＤＢ１０５の一例を図５に示す。Ｗｅｂサイトアクセス装置リストＤＢ１０５は、装置ＩＤ欄、所属欄、アクセス指示受信部アドレス欄を有して構成される。
【００６０】
装置ＩＤ欄には、複数のＷｅｂサイトアクセス装置２００を一意に識別するための識別子が記載される。所属欄には、それぞれのＷｅｂサイトアクセス装置２００が設置されているネットワークがどの組織のものか、もしくはどのような回線かという情報が記載されている。アクセス指示受信部アドレス欄には、各Ｗｅｂサイトアクセス装置２００のアドレスが記載される。Ｗｅｂサイト判定装置１００は、アクセス指示受信部アドレス欄に記載されているアドレスに対して、検査対象Ｗｅｂサイト３００へのアクセス指示を送信する。なお各Ｗｅｂサイトアクセス装置２００のアドレスは、例えばホスト名もしくはＩＰ（Internet Protocol）アドレスで表現される。
【００６１】
図３に戻って、アクセス指示受信部２０１は、アクセス指示送信部１０４から送信された検査対象Ｗｅｂサイト３００へのアクセス指示を受信し、検査対象Ｗｅｂサイト３００のコンテンツのＵＲＬをパラメータとしてアクセス実施部２０２を呼び出す。
【００６２】
アクセス実施部２０２は、アクセス指示受信部２０１から与えられたＵＲＬによって特定されるコンテンツを指定したコンテンツ送信要求を検査対象Ｗｅｂサイト３００に送信する。
【００６３】
なお、検査対象Ｗｅｂサイト３００へのコンテンツ送信要求の送信は複数のＷｅｂサイトアクセス装置２００から行われるが、これらの複数のＷｅｂサイトアクセス装置２００からそれぞれ送信されるコンテンツ送信要求において指定されるコンテンツは、検査対象ＷｅｂサイトリストＤＢ１０３のＵＲＬ欄に記載されているＵＲＬにより特定されるので、各Ｗｅｂサイトアクセス装置２００において共通している。
【００６４】
つまり各Ｗｅｂサイトアクセス装置２００は、他のＷｅｂサイトアクセス装置２００とともに、共通のコンテンツを指定したコンテンツ送信要求を検査対象Ｗｅｂサイト３００に送信する。
【００６５】
その後アクセス実施部２０２は、検査対象Ｗｅｂサイト３００からコンテンツを受信して、このコンテンツをパラメータとしてアクセス結果処理部２０３を呼び出す。
【００６６】
アクセス結果処理部２０３は、このコンテンツから、コンテンツの特徴を示す特徴情報を抽出する。本実施形態では、アクセス結果処理部２０３は、アクセス実施部２０２からパラメータとして与えられたコンテンツを、コンテンツ処理ルールＤＢ２０４に格納されているコンテンツ処理ルールに従って処理することによって、コンテンツの特徴情報を抽出する。そしてアクセス結果処理部２０３は、処理結果すなわち特徴情報をパラメータとして処理結果送信部２０５に引き渡す。
【００６７】
コンテンツ処理ルールＤＢ２０４の一例を図７に示す。コンテンツ処理ルールＤＢ２０４は、処理ルールＩＤ欄と、処理ルール欄とを有して構成される。処理ルールＩＤ欄には、コンテンツの特徴情報を抽出するための処理ルールを一意に識別するための識別子が記載される。処理ルール欄には、与えられたコンテンツに対してどのような処理を行い、どのような情報を特徴情報として出力するか、という、コンテンツの特徴情報を抽出するための処理ルールが記載される。
【００６８】
図３に戻って、処理結果送信部２０５は、アクセス結果処理部２０３からパラメータとして与えられた処理結果を、処理結果受信部１０６へと送信する。
【００６９】
処理結果受信部１０６は、複数のＷｅｂサイトアクセス装置２００の処理結果送信部２０５からそれぞれ送信された複数の処理結果（各Ｗｅｂサイトアクセス装置２００が検査対象Ｗｅｂサイト３００から取得したコンテンツの特徴情報）を受信する。そして処理結果受信部１０６は、これらの処理結果を判定実施部１０７に引き渡す。
【００７０】
判定実施部１０７は、処理結果受信部１０６から取得した複数の処理結果の一致の度合いに応じて検査対象Ｗｅｂサイト３００の安全性を判定する。たとえば判定実施部１０７は、複数の処理結果がすべて同一である場合に検査対象Ｗｅｂサイト３００は安全であると判定し、複数の処理結果が同一ではない場合に検査対象Ｗｅｂサイト３００は安全でないと判定する。より具体的には判定実施部１０７は、図６に示す比較ルールＤＢ１０８に格納された比較ルールに従って複数の処理結果を比較することにより、検査対象Ｗｅｂサイト３００が安全であるか否か、つまり、悪性Ｗｅｂサイトであるかどうかの判定を実施する。
【００７１】
比較ルールＤＢ１０８は、複数のＷｅｂサイトアクセス装置２００から得られた処理結果を比較して検査対象Ｗｅｂサイト３００が悪性Ｗｅｂサイトであるかどうかの判定を行うためのルールを格納する。
【００７２】
比較ルールＤＢ１０８の一例を図６に示す。比較ルールＤＢ１０８は、比較ルールＩＤ欄、比較ルール欄を有して構成される。比較ルールＩＤ欄には、比較ルールを一意に識別するための識別子が記録される。比較ルール欄には、与えられた複数の処理結果に対してどのような比較をし、どのような場合に悪性Ｗｅｂサイトと判断するか、という比較ルールが記録される。
【００７３】
このような態様によれば、コンテンツ送信要求の送信元がどこであろうと同じコンテンツを送信するようなＷｅｂサイトを安全であると判定し、コンテンツ送信要求の送信元によって異なるコンテンツを送信するようなＷｅｂサイトを安全ではないと判定することが可能となる。
【００７４】
なお判定実施部１０７は、検査対象Ｗｅｂサイト３００が安全でないと判定した場合には、例えば上記複数のＷｅｂサイトアクセス装置２００の中から事前に選出しておいた特定のＷｅｂサイトアクセス装置２００（第１Ｗｅｂサイトアクセス装置２００）から取得した処理結果と相違する処理結果を送信してきたＷｅｂサイトアクセス装置２００（第２Ｗｅｂサイトアクセス装置２００）を攻撃対象として特定するようにしてもよい。
【００７５】
このような態様によって、検査対象Ｗｅｂサイト３００が第１Ｗｅｂサイトアクセス装置２００を攻撃の対象としていないことがわかっている場合には、検査対象Ｗｅｂサイト３００が第２Ｗｅｂサイトアクセス装置２００を攻撃対象としていることを特定することが可能となる。
【００７６】
またもちろん、図６に示した比較ルールＤＢ１０８に記載されているように、複数のＷｅｂサイトアクセス装置２００が送信してきた処理結果のうち、一つだけ他とは処理結果が異なる場合には、他とは異なる処理結果を送信してきたＷｅｂサイトアクセス装置２００が攻撃対象であると特定することもできる。
【００７７】
そして判定実施部１０７は、判定結果を対策実施部１０９に引き渡す。
【００７８】
対策実施部１０９は、判定実施部１０７から引き渡された判定結果に応じて様々な処理を行う。
【００７９】
たとえば対策実施部１０９は、判定結果の表示装置１６０への提示や、管理者により操作される管理端末（不図示）への電子メールなどでの通報、あるいは、悪性コンテンツを受信したと判断された（つまり攻撃対象であると判断された）Ｗｅｂサイトアクセス装置２００の管理者への警告の実施、悪性と判断された検査対象Ｗｅｂサイト３００のブラックリストへの追加、といった対策を実施する。
【００８０】
また対策実施部１０９は、検査対象Ｗｅｂサイト３００の安全性の判定結果を各Ｗｅｂサイトアクセス装置２００に送信するようにしてもよい。
【００８１】
このような態様により、各Ｗｅｂサイトアクセス装置２００を管理する企業や団体は、検査対象Ｗｅｂサイト３００が安全であるのか安全でないのかの判定結果を知ることが可能となる。
【００８２】
さらに、対策実施部１０９は、判定実施部１０７が攻撃対象と判定したＷｅｂサイトアクセス装置２００を示す情報（ホスト名やＩＰアドレス、所属など）も各Ｗｅｂサイトアクセス装置２００に送信するようしてもよい。
【００８３】
このような態様により、各Ｗｅｂサイトアクセス装置２００を管理する企業や団体は、どこの企業や団体が検査対象Ｗｅｂサイト３００の攻撃対象とされているのかを知ることが可能となる。
【００８４】
情報処理端末機能部１８０については後述する。
【００８５】
＜処理の流れ＞
次に、図８〜図１２に示すフローチャートを参照しながら、本実施形態に係る処理の流れについて説明する。
【００８６】
まずＷｅｂサイト判定装置１００は、判定指示受信処理あるいは定期処理実施処理を行う（S1000）。判定指示受信処理は、管理者によって操作される管理端末等の他のコンピュータからネットワーク４００を介してＷｅｂサイト判定指示を受信する処理である。一方、定期処理実施処理は、定期的に所定のタイミングが到来した際に、Ｗｅｂサイト判定装置１００あるいは他のコンピュータが実行する他のプログラムから、Ｗｅｂサイト判定指示を取得する処理である。
【００８７】
まず、判定指示受信処理の流れを図９を参照しながら説明する。
【００８８】
Ｗｅｂサイト判定装置１００がＷｅｂサイト判定指示を受信すると（S2000）、判定指示受信部１０１は、当該Ｗｅｂサイト判定指示の中に検査対象Ｗｅｂサイト３００から取得するコンテンツを特定する情報が含まれるか否かを確認する（S2010）。
【００８９】
Ｗｅｂサイト判定指示の中に検査対象Ｗｅｂサイト３００から取得するコンテンツを特定する情報（ＵＲＬ）が含まれている場合には、判定指示受信部１０１は、検査対象Ｗｅｂサイト３００から取得するコンテンツを示す情報をパラメータとしてアクセス指示送信部１０４を呼び出して処理を終了する（S2020）。
【００９０】
一方、Ｗｅｂサイト判定指示の中に検査対象Ｗｅｂサイト３００から取得するコンテンツを示す情報が含まれていない場合には、判定指示受信部１０１は、S2030に進み、検査対象ＷｅｂサイトリストＤＢ１０３を参照して、検査対象Ｗｅｂサイト３００のリストを取得する（S2030）。
【００９１】
続いて判定指示受信部１０１は、S2040に進み、検査対象ＷｅｂサイトリストＤＢ１０３に列挙されているすべての検査対象Ｗｅｂサイト３００について処理を行ったか否かを確認する。まだ処理を行っていない検査対象Ｗｅｂサイト３００がある場合、つまり残りがある場合にはS2050に進む。
【００９２】
そして判定指示受信部１０１は、検査対象Ｗｅｂサイト３００から取得するコンテンツを特定する情報（ＵＲＬ）を検査対象ＷｅｂサイトリストＤＢ１０３から一つ取り出し（S2050）、このＵＲＬをパラメータとしてアクセス指示送信部１０４を呼び出す（S2060）。
【００９３】
判定指示受信部１０１は、検査対象ＷｅｂサイトリストＤＢ１０３に列挙されているすべての検査対象Ｗｅｂサイト３００について処理を完了した場合には処理を終了する（S2040）。
【００９４】
一方、定期処理実施部１０２は、定期的に所定のタイミングが到来すると、Ｗｅｂサイト判定装置１００あるいは他のコンピュータが実行する他のプログラムからＷｅｂサイト判定指示を取得し（S2000）、検査対象ＷｅｂサイトリストＤＢ１０３から検査対象Ｗｅｂサイト３００のリストを取得し（S2030）、このリストで特定されるそれぞれのＵＲＬをパラメータとしてアクセス指示送信部１０４を順次呼び出す（S2040、S2050、S2060）。
【００９５】
図８に戻って、続いてＷｅｂサイト判定装置１００は、アクセス指示送信処理を実行する（S1010）。
【００９６】
アクセス指示送信処理は、アクセス指示送信部１０４が、判定指示受信部１０１や定期処理実施部１０２から呼び出された際に、Ｗｅｂサイトアクセス装置リストＤＢ１０５に記載されている複数のＷｅｂサイトアクセス装置２００に対して、検査対象Ｗｅｂサイト３００へのアクセス指示を送信する処理である（S1010、S1020）。
【００９７】
アクセス指示送信処理の流れを図１０を参照しながら説明する。
【００９８】
アクセス指示送信部１０４は、検査対象Ｗｅｂサイト３００からコンテンツを取得するためのＵＲＬが指定されたアクセス指示を、判定指示受信部１０１あるいは定期処理実施部１０２から取得する（S3000、S3010）。
【００９９】
そうするとアクセス指示送信部１０４は、Ｗｅｂサイトアクセス装置リストＤＢ１０５を参照し、Ｗｅｂサイトアクセス装置２００のリストを取得する（S3030）。
【０１００】
続いてアクセス指示送信部１０４は、S3030に進み、Ｗｅｂサイトアクセス装置リストＤＢ１０５に列挙されているすべてのＷｅｂサイトアクセス装置２００に対して検査対象Ｗｅｂサイト３００へのアクセス指示を行ったか否かを確認する。まだアクセス指示を行っていないＷｅｂサイトアクセス装置２００がある場合、つまり残りがある場合にはS3040に進む。
【０１０１】
そしてアクセス指示送信部１０４は、Ｗｅｂサイトアクセス装置２００のアドレス（例えばＩＰアドレス）をＷｅｂサイトアクセス装置リストＤＢ１０５から一つ取り出し（S3040）、このアドレスにより特定されるＷｅｂサイトアクセス装置２００に対して、検査対象Ｗｅｂサイト３００からコンテンツを取得するためのＵＲＬをパラメータとしたアクセス指示を送信する（S3050）。
【０１０２】
アクセス指示送信部１０４は、Ｗｅｂサイトアクセス装置リストＤＢ１０５に列挙されているすべてのＷｅｂサイトアクセス装置２００に対してアクセス指示を完了した場合には処理を終了する（S3030）。
【０１０３】
図８に戻って、Ｗｅｂサイトアクセス装置２００は、Ｗｅｂサイト判定装置１００からアクセス指示を受信すると（S1020）、アクセス指示受信処理を実行する（S1030）。
【０１０４】
アクセス指示受信処理は、検査対象Ｗｅｂサイト３００からコンテンツを取得するためのＵＲＬをパラメータとしたアクセス指示を受信する処理である。
【０１０５】
アクセス指示受信処理が完了すると、Ｗｅｂサイトアクセス装置２００はアクセス実施処理を実行する（S1040）。
【０１０６】
アクセス実施処理では、Ｗｅｂサイトアクセス装置２００は、Ｗｅｂサイト判定装置１００から送信されたアクセス指示内に指定されているＵＲＬによって特定されるコンテンツを指定したコンテンツ送信要求を検査対象Ｗｅｂサイト３００に送信し（S1050）、検査対象Ｗｅｂサイト３００からコンテンツを取得する（S1070）。例えばＷｅｂサイトアクセス装置２００は、ＨＴＴＰ（HyperText Transfer Protocol）リクエストを検査対象Ｗｅｂサイト３００に送信し、ＨＴＴＰレスポンスを受信する。
【０１０７】
検査対象Ｗｅｂサイト３００は、Ｗｅｂサイトアクセス装置２００からコンテンツ送信要求を受信すると、このコンテンツ送信要求によって指定されているコンテンツを準備して（S1060）、コンテンツ送信要求の送信元であるＷｅｂサイトアクセス装置２００にコンテンツを送信する（S1070）。たとえば検査対象Ｗｅｂサイト３００は、ＨＴＴＰレスポンスをＷｅｂサイトアクセス装置２００に送信する。
【０１０８】
Ｗｅｂサイトアクセス装置２００は、検査対象Ｗｅｂサイト３００からコンテンツを受信すると、アクセス結果処理を実行する（S1080）。
【０１０９】
アクセス結果処理は、検査対象Ｗｅｂサイト３００から取得したコンテンツから、コンテンツの特徴を示す特徴情報を抽出する処理である。
【０１１０】
アクセス結果処理の流れを図１１を参照しながら説明する。
【０１１１】
アクセス結果処理では、アクセス結果処理部２０３は、まずアクセス実施部２０２からアクセス結果処理指示を受信する（S4000）。アクセス結果処理指示には、アクセス実施部２０２が検査対象Ｗｅｂサイト３００から取得したコンテンツがパラメータとして含まれている。
【０１１２】
アクセス結果処理部２０３は、アクセス結果処理指示においてパラメータとして与えられたアクセス結果（コンテンツ）を取得する（S4010）。
【０１１３】
そしてアクセス結果処理部２０３は、コンテンツ処理ルールＤＢ２０４を参照し、処理ルールのリストを取得する（S4020）。
【０１１４】
続いてアクセス結果処理部２０３は、S4030に進み、コンテンツ処理ルールＤＢ２０４に列挙されているすべての処理ルールについてコンテンツの処理を行ったか否かを確認する。まだコンテンツの処理を行っていない処理ルールがある場合、つまり残りがある場合にはS4040に進む。
【０１１５】
そしてアクセス結果処理部２０３は、処理ルールをコンテンツ処理ルールＤＢ２０４から一つ取り出し（S4040）、この処理ルールに従ってコンテンツの処理を行う（S4050）。本実施形態では、アクセス結果処理部２０３が処理ルールに従ってコンテンツの処理を行うことによって、コンテンツの特徴情報が抽出される。
【０１１６】
アクセス結果処理部２０３は、コンテンツ処理ルールＤＢ２０４に列挙されているすべての処理ルールについてコンテンツの処理を完了した場合には、それぞれの処理ルールについての処理結果（コンテンツの特徴情報）を処理結果送信部２０５に引き渡す（S4060）。
【０１１７】
図８に戻って、続いてＷｅｂサイトアクセス装置２００は、処理結果送信処理を実行する（S1090）。
【０１１８】
処理結果送信処理は、処理結果送信部２０５が、アクセス結果処理部２０３からコンテンツの処理結果を引き渡された際に、この処理結果をＷｅｂサイト判定装置１００に送信する処理である（S1090、S1100）。
【０１１９】
Ｗｅｂサイト判定装置１００は、Ｗｅｂサイトアクセス装置２００から処理結果を受信すると、処理結果受信処理を実行する（S1110）。
【０１２０】
処理結果受信処理が完了すると、Ｗｅｂサイト判定装置１００は判定実施処理を実行する（S1120）。
【０１２１】
判定実施処理は、Ｗｅｂサイト判定装置１００がＷｅｂサイトアクセス装置２００から取得した複数の処理結果の一致の度合いに応じて検査対象Ｗｅｂサイト３００の安全性を判定する処理である。
【０１２２】
判定実施処理の流れを図１２を参照しながら説明する。
【０１２３】
判定実施処理では、判定実施部１０７は、まず、処理結果受信部１０６からの判定実施指示を受信する（S5000）。判定実施指示には、Ｗｅｂサイト判定装置１００が複数のＷｅｂサイトアクセス装置２００からそれぞれ取得した複数の処理結果がパラメータとして含まれている。
【０１２４】
判定実施部１０７は、判定実施指示においてパラメータとして与えられたコンテンツの処理結果を取得する（S5010）。
【０１２５】
そして判定実施部１０７は、比較ルールＤＢ１０８を参照し、比較ルールのリストを取得する（S5020）。
【０１２６】
続いて判定実施部１０７は、S5030に進み、比較ルールＤＢ１０８に列挙されているすべての比較ルールについて処理結果の判定を行ったか否かを確認する。まだ処理結果の判定を行っていない比較ルールがある場合、つまり残りがある場合にはS5040に進む。
【０１２７】
そして判定実施部１０７は、比較ルールを比較ルールＤＢ１０８から一つ取り出し（S5040）、この比較ルールに従って処理結果の判定を行う（S5050）。判定実施部１０７が順次比較ルールに従って処理結果の判定を行うことによって、各Ｗｅｂサイトアクセス装置２００から検査対象Ｗｅｂサイト３００からそれぞれ取得したコンテンツの特徴情報の一致度合いが判定され、検査対象Ｗｅｂサイト３００の安全性が判定される。
【０１２８】
判定実施部１０７は、比較ルールＤＢ１０８に列挙されているすべての比較ルールについて処理結果の判定を完了した場合には、それぞれの比較ルールについての判定結果を対策実施部１０９に引き渡す（S5060）。
【０１２９】
図８に戻って、続いてＷｅｂサイト判定装置１００は、対策実施処理を実行する（S1130）。
【０１３０】
対策実施処理は、対策実施部１０９が、判定実施部１０７から引き渡された判定結果に応じて様々な処理を行う処理である。
【０１３１】
たとえば対策実施部１０９は、判定結果の表示装置１６０への提示や、管理者により操作される管理端末（不図示）への電子メールなどでの通報、あるいは、悪性コンテンツを受信したと判断された（つまり攻撃対象であると判断された）Ｗｅｂサイトアクセス装置２００の管理者への警告の実施、悪性と判断された検査対象Ｗｅｂサイト３００のブラックリストへの追加、といった対策を実施する。
【０１３２】
以上説明した様に、本実施形態に係るＷｅｂサイト判定システム１０００によれば、Ｗｅｂサイトの安全性を判定することが可能となる。特に、特定のコンピュータを攻撃対象として悪意のある動作を行うようなＷｅｂサイトを判別することが可能になる。
【０１３３】
＝＝第２の実施形態＝＝
続いてＷｅｂサイト判定システム１０００の第２実施形態について説明する。本実施形態に係るＷｅｂサイト判定システム１０００は、第１実施形態に係るＷｅｂサイト判定システム１０００をより具体的に実現した場合の例である。
【０１３４】
本実施形態では、検査対象Ｗｅｂサイト３００のＵＲＬを「http://www.example.com」とする。
【０１３５】
当該検査対象Ｗｅｂサイト３００は所謂悪性サイトであり、攻撃対象組織を組織Ｃ（図５参照）とし、攻撃対象組織以外のコンピュータからのアクセスに対しては図１３Ａのようなウェブページを記述したＨＴＭＬのデータをコンテンツとして返し、攻撃対象組織（組織Ｃ）のコンピュータからのアクセスに対しては図１３Ｂのようなウェブページを記述したＨＴＭＬのデータをコンテンツとして返すものとする。
【０１３６】
図１３Ｂに示すコンテンツは、図１３Ａに示すコンテンツに比べて、<script>タグが追加されている。Ｗｅｂブラウザを実行するコンピュータ（Ｗｅｂサイトアクセス装置２００）がこの追加された<script>タグの部分を実行すると、<script>タグ内に記述されている他のコンピュータから悪性コード（悪意のある動作を行うプログラムなど）を読み込んで実行するようになっている。
【０１３７】
また、図１３Ａおよび図１３Ｂに示す各コンテンツにおいて「あなたのホスト名は〜です」となっている部分のように、アクセス元（コンテンツ送信要求の送信元）に応じてコンテンツの一部が変化するようになっている。
【０１３８】
まず、Ｗｅｂサイト判定装置１００の判定指示受信部１０１に、検査対象Ｗｅｂサイト３００のＵＲＬ（http://www.example.com）を入力して判定を指示する。
【０１３９】
そうすると判定指示受信部１０１は、入力されたＵＲＬをパラメータにしてアクセス指示送信部１０４を呼び出す。
【０１４０】
アクセス指示送信部１０４は、Ｗｅｂサイトアクセス装置リストＤＢ１０５を参照し、図５に示されている４つのＷｅｂサイトアクセス装置２００のリストを取得する。アクセス指示送信部１０４は、取得したリストから一つずつ情報を取り出し、アクセス指示受信部アドレス欄に記載されているホスト名もしくはＩＰアドレスにより特定されるＷｅｂサイトアクセス装置２００に対して、検査対象Ｗｅｂサイト３００のＵＲＬを含めたアクセス指示を送信する。
【０１４１】
Ｗｅｂサイトアクセス装置２００のアクセス指示受信部２０１は、このアクセス指示を受信する。そうするとアクセス指示受信部２０１は、アクセス指示に含まれる検査対象Ｗｅｂサイト３００のＵＲＬを取得し、当該ＵＲＬをパラメータにアクセス実施部２０２を呼び出す。
【０１４２】
アクセス実施部２０２は、与えられたＵＲＬを取得し、当該ＵＲＬにより特定される検査委対象Ｗｅｂサイト３００へとアクセスし、コンテンツを取得する。
【０１４３】
図５に示すＷｅｂサイトアクセス装置リストＤＢ１０５に記載されている装置ＩＤが１、２、４のＷｅｂサイトアクセス装置２００は、検査対象Ｗｅｂサイト３００から図１３Ａに示すようなコンテンツを取得する（ただし上述した様に、「あなたのホスト名は〜です」の「〜」の部分は、装置ごとに異なる）。
【０１４４】
一方、装置ＩＤが３のＷｅｂサイトアクセス装置２００は、図１３Ｂに示すようなコンテンツを取得する。
【０１４５】
それぞれのＷｅｂサイトアクセス装置２００は、それぞれが取得したコンテンツをパラメータとしてアクセス結果処理部２０３を呼び出す。
【０１４６】
アクセス結果処理部２０３は、コンテンツ処理ルールＤＢ２０４を参照し、図７に示されている５つの処理ルールのリストを取得する。そしてアクセス結果処理部２０３は、取得したリストから一つずつ処理ルールを取り出し、それぞれの処理ルールに従って、パラメータで与えられたコンテンツを処理していく。
【０１４７】
本実施形態では、アクセス結果処理部２０３は、処理ルールＩＤが１の処理ルールによってコンテンツを処理する際には何も行わずにコンテンツそのものを出力する。
【０１４８】
またアクセス結果処理部２０３は、処理ルールＩＤが２の処理ルールによってコンテンツを処理する際には、コンテンツの中の本文に該当する部分を除去し、文書構造を表すタグのみを抽出し、出力する。図１３Ａおよび図１３Ｂに示すコンテンツを処理ルールＩＤが２の処理ルールによって処理した場合の処理結果は、それぞれ図１４Ａおよび図１４Ｂに示すようなデータとなる。
【０１４９】
続いてアクセス結果処理部２０３が、処理ルールＩＤが３の処理ルールによってコンテンツを処理する際には、コンテンツ内でさらに読み込まれているScriptファイルの数を出力する。図１３Ａに示すコンテンツでは、読み込まれているScriptファイルは１つのため、アクセス結果処理部２０３は１を出力する。一方、図１３Ｂに示すコンテンツでは、<script>タグが２つあり、Scriptファイルが２つ読み込まれているため、アクセス結果処理部２０３は２を出力する。
【０１５０】
続いてアクセス結果処理部２０３が、処理ルールＩＤが４の処理ルールによってコンテンツを処理する際には、コンテンツ内に含まれる＜iframe＞タグの数を出力する。図１３Ａ及び図１３Ｂに示すコンテンツにはいずれも＜iframe＞タグはない。そのためアクセス結果処理部２０３は、処理ルールＩＤが４の処理ルールによるコンテンツの処理結果として０を出力する。
【０１５１】
そしてアクセス結果処理部２０３が、処理ルールＩＤが５の処理ルールによってコンテンツを処理する際には、タグ情報に含まれるＵＲＬのドメイン数を出力する。アクセス結果処理部２０３は、図１３Ａに示すコンテンツを処理する場合には、コンテンツ内に記述されているＵＲＬのドメインの数である１を出力する。一方アクセス結果処理部２０３は、図１３Ｂに示すコンテンツを処理する場合には、コンテンツ内に記述されているＵＲＬのドメインの数である２を出力する。
【０１５２】
続いて各Ｗｅｂサイトアクセス装置２００の処理結果送信部２０５は、それぞれのコンテンツの処理結果をＷｅｂサイト判定装置１００の処理結果受信部１０６に送信する。
【０１５３】
処理結果受信部１０６は、検査対象Ｗｅｂサイト３００へのアクセス指示を送信したそれぞれのＷｅｂサイトアクセス装置２００からコンテンツの処理結果を受信する。本実施形態では、Ｗｅｂサイト判定装置１００は、４つのＷｅｂサイトアクセス装置２００にアクセス指示を送信しており、各Ｗｅｂサイトアクセス装置２００からコンテンツの処理結果を受信する。
【０１５４】
処理結果受信部１０６は、各Ｗｅｂサイトアクセス装置２００から受信したコンテンツの処理結果をパラメータとして判定実施部１０７を呼び出す。
【０１５５】
判定実施部１０７は、各Ｗｅｂサイトアクセス装置２００からそれぞれ取得した複数の処理結果の一致の度合いに応じて検査対象Ｗｅｂサイト３００の安全性を判定する。
【０１５６】
判定実施部１０７が各Ｗｅｂサイトアクセス装置２００からそれぞれ取得した複数の処理結果を、図１５に示す。
【０１５７】
判定実施部１０７は、図６に示す比較ルールＤＢ１０８を参照し、比較ルールＤＢ１０８に記載されている比較ルールのリストを取得する。
【０１５８】
そして判定実施部１０７は、取得したリストから一つずつ比較ルールを取り出し、当該比較ルールに従って複数の処理結果を比較し、検査対象Ｗｅｂサイト３００の安全性の判定を行う。
【０１５９】
判定実施部１０７は、比較ルールＩＤが１の比較ルールによって上記複数の処理結果を比較する場合には、図６の比較ルール１に定義されているように、処理ルールＩＤが１の処理ルールによって各Ｗｅｂサイトアクセス装置２００がコンテンツを処理した処理結果をそれぞれ比較する。そして判定実施部１０７は、これらの処理結果のうち、１つだけ他と異なる処理結果となっているものがあった場合には、この処理結果を送信してきたＷｅｂサイトアクセス装置２００が設置されている組織を攻撃対象とする攻撃が検査対象Ｗｅｂサイト３００で行われていると判断する。そして判定実施部１０７はこの検査対象Ｗｅｂサイト３００を悪性Ｗｅｂサイトであると判定する。
【０１６０】
図１５には省略しているが、上述した様に、検査対象Ｗｅｂサイト３００から各Ｗｅｂサイトアクセス装置２００が取得するコンテンツは、「あなたのホスト名は〜です」の「〜」の部分が装置ごとに異なるため、全てのＷｅｂサイトアクセス装置２００での処理結果が他と異なる。そのため、判定実施部１０７は、比較ルールＩＤが１の比較ルールでは、検査対象Ｗｅｂサイト３００を悪性とは判定しない。
【０１６１】
続いて判定実施部１０７は、比較ルールＩＤが２の比較ルールによって上記複数の処理結果を比較する場合には、図６の比較ルール２に定義されているように、処理ルールＩＤが２の処理ルールによって各Ｗｅｂサイトアクセス装置２００がコンテンツを処理した処理結果をそれぞれ比較する。そして判定実施部１０７は、これらの処理結果のうち、１つだけ他と異なる処理結果となっているものがあった場合には、この処理結果を送信してきたＷｅｂサイトアクセス装置２００が設置されている組織を攻撃対象とする攻撃が検査対象Ｗｅｂサイト３００で行われていると判断する。そして判定実施部１０７はこの検査対象Ｗｅｂサイト３００を悪性Ｗｅｂサイトであると判定する。
【０１６２】
具体的には、判定実施部１０７は、図１５に示す処理ルール２によるコンテンツの処理結果を比較する。そうすると、装置ＩＤが３のＷｅｂサイトアクセス装置２００によるコンテンツの処理結果のみ他と異なるため、判定実施部１０７は、検査対象Ｗｅｂサイト３００は悪性であると判定する。
【０１６３】
続いて判定実施部１０７は、比較ルールＩＤが３の比較ルールによって上記複数の処理結果を比較する場合には、図６の比較ルール３に定義されているように、処理ルールＩＤが３の処理ルールによって各Ｗｅｂサイトアクセス装置２００がコンテンツを処理した処理結果をそれぞれ比較する。そして判定実施部１０７は、これらの処理結果のうち、１つだけ他と異なる処理結果となっているものがあった場合には、この処理結果を送信してきたＷｅｂサイトアクセス装置２００が設置されている組織を攻撃対象とする攻撃が検査対象Ｗｅｂサイト３００で行われていると判断する。そして判定実施部１０７はこの検査対象Ｗｅｂサイト３００を悪性Ｗｅｂサイトであると判定する。
【０１６４】
具体的には、判定実施部１０７は、図１５に示す処理ルール３によるコンテンツの処理結果を比較する。そうすると、装置ＩＤが３のＷｅｂサイトアクセス装置２００によるコンテンツの処理結果のみ他と異なるため、判定実施部１０７は、検査対象Ｗｅｂサイト３００は悪性であると判定する。
【０１６５】
続いて判定実施部１０７は、比較ルールＩＤが４の比較ルールによって上記複数の処理結果を比較する場合には、図６の比較ルール４に定義されているように、処理ルールＩＤが４の処理ルールによって各Ｗｅｂサイトアクセス装置２００がコンテンツを処理した処理結果をそれぞれ比較する。そして判定実施部１０７は、これらの処理結果のうち、１つだけ他と異なる処理結果となっているものがあった場合には、この処理結果を送信してきたＷｅｂサイトアクセス装置２００が設置されている組織を攻撃対象とする攻撃が検査対象Ｗｅｂサイト３００で行われていると判断する。そして判定実施部１０７はこの検査対象Ｗｅｂサイト３００を悪性Ｗｅｂサイトであると判定する。
【０１６６】
具体的には、判定実施部１０７は、図１５に示す処理ルール４によるコンテンツの処理結果を比較する。そうすると、全てのＷｅｂサイトアクセス装置２００によるコンテンツの処理結果において０となっているため、判定実施部１０７は、検査対象Ｗｅｂサイト３００は悪性とは判定しない。
【０１６７】
続いて判定実施部１０７は、比較ルールＩＤが５の比較ルールによって上記複数の処理結果を比較する場合には、図６の比較ルール５に定義されているように、処理ルールＩＤが５の処理ルールによって各Ｗｅｂサイトアクセス装置２００がコンテンツを処理した処理結果をそれぞれ比較する。そして判定実施部１０７は、これらの処理結果のうち、１つだけ他と異なる処理結果となっているものがあった場合には、この処理結果を送信してきたＷｅｂサイトアクセス装置２００が設置されている組織を攻撃対象とする攻撃が検査対象Ｗｅｂサイト３００で行われていると判断する。そして判定実施部１０７はこの検査対象Ｗｅｂサイト３００を悪性Ｗｅｂサイトであると判定する。
【０１６８】
具体的には、判定実施部１０７は、図１５に示す処理ルール５によるコンテンツの処理結果を比較する。そうすると、装置ＩＤが３のＷｅｂサイトアクセス装置２００によるコンテンツの処理結果のみ他と異なるため、判定実施部１０７は、検査対象Ｗｅｂサイト３００は悪性であると判定する。
【０１６９】
判定実施部１０７は、上記のようにして得られた判定結果をパラメータとして対策実施部１０９を呼び出す。
【０１７０】
対策実施部１０９は、上記判定結果を出力する。たとえば対策実施部１０９は、判定結果の表示装置１６０への提示や、管理者により操作される管理端末（不図示）への電子メールなどでの通報、あるいは、悪性コンテンツを受信したと判断された（つまり攻撃対象であると判断された）Ｗｅｂサイトアクセス装置２００の管理者への警告の実施、悪性と判断された検査対象Ｗｅｂサイト３００のブラックリストへの追加、といった対策を実施する。
【０１７１】
あるいは対策実施部１０９は、判定指示受信部１０１に検査対象Ｗｅｂサイト３００のＵＲＬ（http://www.example.com）を入力して判定を指示したユーザによって操作される端末に判定結果を送信するようにしてもよい。
【０１７２】
対策実施部１０９が判定結果を表示装置１６０に表示した場合の画面例を図１６に示す。
【０１７３】
以上、本実施形態に係るＷｅｂサイト判定システム１０００について説明したが、本実施形態に係るＷｅｂサイト判定システム１０００によれば、Ｗｅｂサイトの安全性を判定することが可能となる。特に、特定のコンピュータを攻撃対象として悪意のある動作を行うようなＷｅｂサイトを判別することが可能になる。
【０１７４】
また本実施形態に係るＷｅｂサイト判定システム１０００は、Ｗｅｂサイト判定装置１００が各Ｗｅｂサイトアクセス装置２００から取得したコンテンツの処理結果がすべて同一である場合に検査対象Ｗｅｂサイト３００は安全であると判定し、処理結果が同一ではない場合に検査対象Ｗｅｂサイト３００は安全でないと判定するようにしてもよい。
【０１７５】
このような態様によれば、コンテンツ送信要求の送信元がどこであろうと同じコンテンツを送信するようなＷｅｂサイトを安全であると判定し、コンテンツ送信要求の送信元によって異なるコンテンツを送信するようなＷｅｂサイトを安全ではないと判定することが可能となる。
【０１７６】
また本実施形態に係るＷｅｂサイト判定システム１０００は、検査対象Ｗｅｂサイト３００が安全でないと判定した場合には、例えば複数のＷｅｂサイトアクセス装置２００の中から事前に選出しておいた特定のＷｅｂサイトアクセス装置２００（第１Ｗｅｂサイトアクセス装置２００）から取得した処理結果と相違する処理結果を送信してきたＷｅｂサイトアクセス装置２００（第２Ｗｅｂサイトアクセス装置２００）を攻撃対象として特定するようにしてもよい。
【０１７７】
このような態様によれば、検査対象Ｗｅｂサイト３００が第１Ｗｅｂサイトアクセス装置２００を攻撃の対象としていないことがわかっている場合には、検査対象Ｗｅｂサイト３００が第２Ｗｅｂサイトアクセス装置２００を攻撃対象としていることを容易に特定することが可能となる。
【０１７８】
また本実施形態に係るＷｅｂサイト判定システム１０００は、検査対象Ｗｅｂサイト３００の安全性の判定結果を各Ｗｅｂサイトアクセス装置２００に送信するようにしてもよい。
【０１７９】
このような態様によれば、各Ｗｅｂサイトアクセス装置２００を管理する企業や団体は、検査対象Ｗｅｂサイト３００が安全であるのか安全でないのかの判定結果を知ることが可能となる。
【０１８０】
さらに本実施形態に係るＷｅｂサイト判定システム１０００は、攻撃対象と判定されたＷｅｂサイトアクセス装置２００を示す情報（ホスト名やＩＰアドレス、所属など）を各Ｗｅｂサイトアクセス装置２００に送信するようしてもよい。
【０１８１】
このような態様によれば、各Ｗｅｂサイトアクセス装置２００を管理する企業や団体は、どこの企業や団体が検査対象Ｗｅｂサイト３００の攻撃対象とされているのかを知ることが可能となる。
【０１８２】
なお、検査対象Ｗｅｂサイト３００から送信されるコンテンツにＨＴＭＬを用いて記述されたウェブページが含まれる場合には、このウェブページを記述するＨＴＭＬのデータから文書構造に関する情報のみを抽出することによってコンテンツの特徴情報を抽出するようにしてもよい。
【０１８３】
このような態様によれば、攻撃対象とされた特定のコンピュータがＨＴＭＬのデータ内に記述された<script>タグの部分を実行した際に、<script>タグ内に記述されている他のコンピュータから悪性コード（悪意のある動作を行うウイルスプログラムなど）を読み込んで実行する、というような悪意のあるコンテンツを送信しようするＷｅｂサイトを容易に判定することが可能となる。
【０１８４】
また、本実施形態におけるＷｅｂサイト判定装置１００およびＷｅｂサイトアクセス装置２００の論理的な構成は図３に示した通りであるが、これに限られるものではない。
【０１８５】
例えば、Ｗｅｂサイトアクセス装置２００内のアクセス指示受信部２０１、アクセス実施部（コンテンツ送信要求送信部、コンテンツ受信部）２０２、アクセス結果処理部（特徴情報抽出部）２０３、コンテンツ処理ルールＤＢ２０４、処理結果送信部（抽出情報送信部）２０５の各機能を有する情報処理端末機能部１８０を、Ｗｅｂサイト判定装置１００が備えるようにし、Ｗｅｂサイト判定装置１００がＷｅｂサイトアクセス装置２００としても機能するようにしてもよい。この場合、Ｗｅｂサイト判定装置１００の演算装置１１０がＷｅｂサイト判定装置制御プログラム６００を実行し、メモリ１２０や通信装置１３０、記憶装置１４０等のハードウェア機器と協働することにより、上記情報処理端末機能部１８０が実現される。
【０１８６】
このような態様によれば、Ｗｅｂサイト判定装置１００を運用する企業や団体自身が、検査対象Ｗｅｂサイト３００からの攻撃対象とされているか否かの判定も行うことが可能となる。
【０１８７】
あるいは、図３に示したアクセス結果処理部２０３およびコンテンツ処理ルールＤＢ２０４は、Ｗｅｂサイトアクセス装置２００が備えるのではなく、Ｗｅｂサイト判定装置１００が備えるようにしても良い。
【０１８８】
この場合は、各Ｗｅｂサイトアクセス装置２００は、検査対象Ｗｅｂサイト３００から取得したコンテンツそのものをＷｅｂサイト判定装置１００に送信する。そしてＷｅｂサイト判定装置１００が各Ｗｅｂサイトアクセス装置２００から取得したコンテンツを、コンテンツ処理ルールＤＢ２０４に記載されている処理ルールに従って処理する。
【０１８９】
このような態様によれば、Ｗｅｂサイトアクセス装置２００の処理負荷を軽減することが可能となる。そして各企業や団体が有するコンピュータをＷｅｂサイトアクセス装置２００として機能させるための設定作業を簡便化し、Ｗｅｂサイトアクセス装置２００の導入負担を軽減することが可能となる。
【０１９０】
また、Ｗｅｂサイト判定装置１００のアクセス指示送信部１０４は、アクセス指示をＷｅｂサイトアクセス装置２００に送信する際に、検査対象Ｗｅｂサイト３００へアクセスする日時等のタイミングを指示するようにしてもよい。これによりＷｅｂサイトアクセス装置２００は、例えば、アクセス指示を受信して所定時間が経過した後に検査対象Ｗｅｂサイト３００へのアクセスを実施するようなことも可能になる。またアクセス指示内にアクセス日時を指定しておき、Ｗｅｂサイトアクセス装置２００は、指定された特定の日時に検査対象Ｗｅｂサイト３００へのアクセスを実施するようにすることも可能となる。
【０１９１】
このような態様によれば、たとえば時間帯や曜日等によって送信するコンテンツの内容を変えるようなＷｅｂサイトに対しても、効果的に安全性の判定を行うことが可能となる。
【０１９２】
また、本実施形態のアクセス実施部２０２は、検査対象Ｗｅｂサイト３００にアクセスして得られるコンテンツだけでなく、当該コンテンツからリンクされているスクリプトファイルやドキュメントファイル、音声ファイルなどを取得するようになっていてもよい。
【０１９３】
また、本実施形態のコンテンツ処理ルールＤＢ２０４には、図７に示したように５通りの処理ルールを記載しているが、処理ルールはこれらに限られない。例えば、コンテンツの言語情報などのメタ情報、コンテンツ内のスクリプト量を抽出するもの、コンテンツをScriptの実行エンジンに入力して得られるドキュメントを得るもの、このドキュメントにさらに前述したような処理を行いその結果を得るものなどを処理ルールとしてもよい。
【０１９４】
また、本実施形態の比較ルールＤＢ３０８には、図６に示したような５通りの比較ルールを記載しているが、比較ルールはこれらに限られない。例えば、各Ｗｅｂサイトアクセス装置２００からそれぞれ取得したコンテンツの処理結果に対して、クラスタリングと呼ばれる手法を用いて、他のＷｅｂサイトアクセス装置２００と傾向の異なる処理結果を送信してきたＷｅｂサイトアクセス装置２００を抽出するような処理ルールや、各コンテンツの処理結果を、処理結果内の一部の値でグルーピングし、グループ内での異常値を抽出するような処理ルール、さらには、グルーピングした後に異常な値となるグループを抽出するような処理ルールとしてもよい。
【０１９５】
本実施形態のＷｅｂサイト判定システム１０００によれば、仮想環境を用いたプログラムの実行を行う必要もなく、特定組織内のコンピュータから検査対象Ｗｅｂサイト３００にアクセスした場合には悪性Ｗｅｂサイトとして振る舞い、その他の組織内のコンピュータからアクセスした場合には良性Ｗｅｂサイトとして振舞うようなＷｅｂサイトを悪性Ｗｅｂサイトとして判定することが可能になる。
【０１９６】
なお上述した実施の形態は本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。本発明はその趣旨を逸脱することなく変更、改良され得るとともに、本発明にはその等価物も含まれる。
【符号の説明】
【０１９７】
１００    Ｗｅｂサイト判定装置
１０１    判定指示受信部
１０２    定期処理実施部
１０３    検査対象ＷｅｂサイトリストＤＢ
１０４    アクセス指示送信部
１０５    Ｗｅｂサイトアクセス装置リストＤＢ
１０６    処理結果受信部
１０７    判定実施部
１０８    比較ルールＤＢ
１０９    対策実施部
１１０    演算装置
１２０    メモリ
１３０    通信装置
１４０    記憶装置
１５０    入力装置
１６０    出力装置
１７０    記録媒体読取装置
１８０    情報処理端末機能部
２００    Ｗｅｂサイトアクセス装置
２０１    アクセス指示受信部
２０２    アクセス実施部
２０３    アクセス結果処理部
２０４    コンテンツ処理ルールＤＢ
２０５    処理結果送信部
２１０    演算装置
２２０    メモリ
２３０    通信装置
２４０    記憶装置
２５０    入力装置
２６０    出力装置
２７０    記録媒体読取装置
３００    検査対象Ｗｅｂサイト
４００    ネットワーク
６００    Ｗｅｂサイト判定装置制御プログラム
６１０    Ｗｅｂサイトアクセス装置制御プログラム
８００    記録媒体
１０００  Ｗｅｂサイト判定システム
【図１】
2015201071.tif 000003
【図２】
2015201071.tif 000004
【図３】
2015201071.tif 000005
【図４】
2015201071.tif 000006
【図５】
2015201071.tif 000007
【図６】
2015201071.tif 000008
【図７】
2015201071.tif 000009
【図８】
2015201071.tif 000010
【図９】
2015201071.tif 000011
【図１０】
2015201071.tif 000012
【図１１】
2015201071.tif 000013
【図１２】
2015201071.tif 000014
【図１３Ａ】
2015201071.tif 000015
【図１３Ｂ】
2015201071.tif 000016
【図１４Ａ】
2015201071.tif 000017
【図１４Ｂ】
2015201071.tif 000018
【図１５】
2015201071.tif 000019
【図１６】
2015201071.tif 000020