(57)【要約】【課題】効率的かつ精度よくブラックリストを拡充し、ブラックリストによる防御の効果を向上させる。【解決手段】ブラックリスト拡充装置は、ログ取得部と、ログ分析部と、前処理部と、悪性ＵＲＬリスト作成部と、を備える。ログ取得部は、通信ログを取得する。ログ分析部は、ログ取得部が取得した通信ログに基づき、当該通信ログに含まれ、第１の基準を満たすＵＲＬである悪性ＵＲＬ候補を抽出する。前処理部は、ログ取得部が取得した通信ログに基づき、対象ネットワークの統計情報を抽出する。悪性ＵＲＬリスト作成部は、ログ分析部が抽出した悪性ＵＲＬ候補を統合し、前処理部が抽出した統計情報を参照して第２の基準を満たす悪性ＵＲＬ候補を統合した悪性ＵＲＬ候補から除外して悪性ＵＲＬリストを作成する。【選択図】図１
2015179416.tif 000002
【特許請求の範囲】
【請求項１】
通信ログを取得するログ取得部と、
前記ログ取得部が取得した通信ログに基づき、当該通信ログに含まれ、第１の基準を満たすＵＲＬである悪性ＵＲＬ候補を抽出するログ分析部と、
前記ログ取得部が取得した通信ログに基づき、対象ネットワークの統計情報を抽出する前処理部と、
前記ログ分析部が抽出した悪性ＵＲＬ候補を統合し、前記前処理部が抽出した統計情報を参照して第２の基準を満たす悪性ＵＲＬ候補を統合した悪性ＵＲＬ候補から除外して悪性ＵＲＬリストを作成する悪性ＵＲＬリスト作成部と、
を備えることを特徴とするブラックリスト拡充装置。
【請求項２】
前記ログ分析部は、前記通信ログの中から、ＦＱＤＮがＩＰアドレスであり、且つ、出現回数が所定の閾値以下のＵＲＬを悪性ＵＲＬ候補として抽出することを特徴とする請求項１に記載のブラックリスト拡充装置。
【請求項３】
前記ログ分析部は、前記前処理部が抽出した統計情報に基づき、前記対象ネットワーク内のアクセス数が所定の閾値以下のＦＱＤＮを含むＵＲＬを悪性ＵＲＬ候補として抽出することを特徴とする請求項２に記載のブラックリスト拡充装置。
【請求項４】
前記悪性ＵＲＬリスト作成部は、フォーマット違反のＵＲＬ、プライベートＩＰアドレスを含むＵＲＬ、または広告系のＵＲＬを除外して悪性ＵＲＬリストを作成することを特徴とする請求項１乃至３のいずれか１項に記載のブラックリスト拡充装置。
【請求項５】
前記悪性ＵＲＬリスト作成部は、前記統計情報に基づき、前記対象ネットワーク内のアクセス数が所定閾値以上のＵＲＬを除外して悪性ＵＲＬリストを作成することを特徴とする請求項１乃至３のいずれか１項に記載のブラックリスト拡充装置。
【請求項６】
通信ログを取得するログ取得工程と、
前記ログ取得工程において取得した通信ログに基づき、当該通信ログに含まれ、第１の基準を満たすＵＲＬである悪性ＵＲＬ候補を抽出するログ分析工程と、
前記ログ取得工程において取得した通信ログに基づき、対象ネットワークの統計情報を抽出する前処理工程と、
前記ログ分析工程において抽出した悪性ＵＲＬ候補を統合し、前記前処理工程において抽出した統計情報を参照して第２の基準を満たす悪性ＵＲＬ候補を統合した悪性ＵＲＬ候補から除外して悪性ＵＲＬリストを作成する悪性ＵＲＬリスト作成工程と、
を含むことを特徴とするブラックリスト拡充方法。
【請求項７】
ブラックリストを拡充するために、ブラックリスト拡充装置によって実行されるブラックリスト拡充プログラムであって、
通信ログを取得するログ取得手順と、
前記ログ取得手順において取得した通信ログに基づき、当該通信ログに含まれ、第１の基準を満たすＵＲＬである悪性ＵＲＬ候補を抽出するログ分析手順と、
前記ログ取得手順が取得した通信ログに基づき、対象ネットワークの統計情報を抽出する前処理手順と、
前記ログ分析手順において抽出した悪性ＵＲＬ候補を統合し、前記前処理手順において抽出した統計情報を参照して第２の基準を満たす悪性ＵＲＬ候補を統合した悪性ＵＲＬ候補から除外して悪性ＵＲＬリストを作成する悪性ＵＲＬリスト作成手順と、
を含むことを特徴とするブラックリスト拡充プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ブラックリスト拡充装置、ブラックリスト拡充方法およびブラックリスト拡充プログラムに関する。
【背景技術】
【０００２】
ネットワークを介して行われるサイバー攻撃は日々複雑さを増しており、入口対策だけでは通信端末のマルウェアへの感染を完全に防ぐことが困難になっている。そこで、通信端末がサイバー攻撃によってマルウェアに感染した場合でも、マルウェアを定義するブラックリストを用いて通信のアクセス制御を行い、早期に感染を発見し被害の拡大を防止する技術がある。たとえば、図８は、従来技術に係るブラックリスト拡充技術の一例を説明するための図である。従来技術では、図８に示すような、Ｗｅｂサーバ型ハニーポットとクライアント型ハニーポットを備える隔離ネットワークを準備して、外部ネットワークと接続し、外部ネットワークを経由して送られるサーバ攻撃を監視する。そして、監視を通じて取得した情報に基づき、悪性ＵＲＬのブラックリストを生成する。ブラックリストに記述された文字列や疑わしい文字列を含むデータ等をブロックすることで被害拡大を防止する。
【０００３】
ブラックリストを用いた防御技術では、高い精度で継続的にブラックリストを拡充することが求められる。そこで、巡回システム等が、ハニーポットで収集した悪性ＵＲＬ（Uniform  Resource  Locator）候補を巡回してブラックリストを拡充することが行われている。つまり、巡回システムが、悪性の疑いがあるＵＲＬに実際にアクセスしてその後の通信挙動を監視し、悪性か否かを判断する。そして、巡回システムが悪性と判断した場合に、当該ＵＲＬをブラックリストに追加する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１２−１１８７１３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来のように巡回システムが悪性ＵＲＬ候補を巡回する手法では、ブラックリストの精度を高めることはできるが、収集することができる悪性ＵＲＬの数が少ない。また、確認することができる悪性ＵＲＬの種類に制約があり、効率よくブラックリストを拡充することが困難である。
【０００６】
開示の技術は、上記に鑑みてなされたものであって、効率的かつ精度よくブラックリストを拡充し、ブラックリストによる防御の効果を向上させることを目的とする。
【課題を解決するための手段】
【０００７】
開示するブラックリスト拡充装置、ブラックリスト拡充方法およびブラックリスト拡充プログラムは、通信ログを取得し、取得した通信ログに基づき、当該通信ログに含まれ、第１の基準を満たすＵＲＬである悪性ＵＲＬ候補を抽出し、通信ログに基づき、対象ネットワークの統計情報を抽出し、抽出した悪性ＵＲＬ候補を統合し、抽出した統計情報を参照して第２の基準を満たす悪性ＵＲＬ候補を統合した悪性ＵＲＬ候補から除外して悪性ＵＲＬリストを作成することを特徴とする。
【発明の効果】
【０００８】
開示するブラックリスト拡充装置、ブラックリスト拡充方法およびブラックリスト拡充プログラムは、効率的かつ精度よくブラックリストを拡充し、ブラックリストによる防御の効果を向上させることができるという効果を奏する。
【図面の簡単な説明】
【０００９】
【図１】図１は、第１の実施形態に係る通信システムの概要を示す図である。
【図２】図２は、ログに含まれる情報の例を説明するための図である。
【図３】図３は、第１の実施形態に係るログ収集蓄積装置におけるログの処理の流れを説明するための図である。
【図４】図４は、第１の実施形態に係るブラックリスト拡充処理の流れの一例を示すフローチャートである。
【図５】図５は、第１の実施形態に係るログ分析処理の流れの一例を示すフローチャートである。
【図６】図６は、第１の実施形態に係る悪性ＵＲＬリスト作成処理の流れの一例を示すフローチャートである。
【図７】図７は、ブラックリスト拡充プログラムを実行するコンピュータを示す図である。
【図８】図８は、従来技術に係るブラックリスト拡充技術の一例を説明するための図である。
【発明を実施するための形態】
【００１０】
以下に、開示するブラックリスト拡充装置、ブラックリスト拡充方法およびブラックリスト拡充プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。また、各実施形態は適宜組み合わせることができる。
【００１１】
（第１の実施形態）
［第１の実施形態に係る通信システム１の構成の一例］
図１は、第１の実施形態に係る通信システム１の概要を示す図である。図１に示すように、通信システム１は、ログ収集蓄積装置１０と、ブラックリスト拡充装置２０と、ブラックリスト情報配信システム３０と、Ｗｅｂサイト巡回システム４０と、を備える。
【００１２】
通信システム１中、ブラックリスト拡充装置２０は、ログ収集蓄積装置１０が収集したネットワークの通信ログと、ブラックリスト情報配信システム３０が保持する既存のブラックリスト情報とに基づいて、自装置が保持するブラックリスト情報を更新し拡充する。また、ブラックリスト拡充装置２０は、ブラックリスト情報の更新拡充の過程で、Ｗｅｂサイト巡回システム４０に、悪性ＵＲＬの疑いがあるＵＲＬの巡回および検査を要求する。ブラックリスト拡充装置２０は、Ｗｅｂサイト巡回システム４０の巡回検査の結果を取得して、自装置内のブラックリスト情報に検査結果を反映する。なお、図１では、ブラックリスト拡充装置２０は、自装置内のブラックリスト情報を更新拡充するものとして示す。ただし、ブラックリスト拡充装置２０の更新拡充後のブラックリスト情報を、ブラックリスト情報配信システム３０にフィードバックするように構成してもよい。
【００１３】
［ログ収集蓄積装置１０の構成の一例］
ログ収集蓄積装置１０は、防御対象ネットワークの通信のログを収集し蓄積する装置である。防御対象ネットワークは、たとえば所定の組織において利用する内部ネットワーク、たとえばローカルエリアネットワーク（ＬＡＮ）等でもよいし、インターネット等でもよい。防御対象ネットワークは、ＩＰパケット等の情報を転送するネットワークであれば特に限定されない。
【００１４】
ログ収集蓄積装置１０はたとえば、プロキシサーバやファイヤウォール（ＦＷ）などのセキュリティアプライアンスやネットワークアプライアンスのログを収集する。ただし、所定のネットワーク内の通信ログを収集できれば、ログ収集蓄積装置１０のログ収集の態様は特に限定されない。
【００１５】
ログ収集蓄積装置１０は、ログ収集部１１０と、正規化部１２０と、ログ格納部１３０と、を備える。
【００１６】
ログ収集部１１０は、セキュリティアプライアンスやネットワークアプライアンスのログを収集する。たとえば、ログ収集部１１０は、Syslog等のログ転送手段により、クライアント端末がインターネット上の任意のウェブサイトにアクセスする都度、プロキシサーバからアクセスログを一行ずつ受信するように構成してもよい。また、ログ収集部１１０は、ＦＴＰ（File  Transfer  Protocol）やＳＭＢ（Server  Message  Block）等のファイル転送手段により、定期的にプロキシサーバから所定のまとまりのアクセスログのファイルを受信するように構成してもよい。
【００１７】
正規化部１２０は、ログ収集部１１０が収集したログを整形して後続処理に適した形にする。たとえば、正規化部１２０は、ログから、ＨＴＴＰの通信における、アクセス時刻、クライアント端末のＩＰアドレスおよびアクセス先のＵＲＬ等の情報を抽出して整形する。ここで、アクセス時刻とは、クライアント端末がプロキシサーバを経由してインターネット上の任意のウェブサイトにアクセスした時刻を指す。また、クライアント端末ＩＰアドレスとは、プロキシサーバを経由したクライアント端末のＩＰアドレスを指す。また、アクセス先ＵＲＬとは、クライアント端末がプロキシサーバを経由してアクセスしたインターネット上の外部サイトもしくは内部サイトのＵＲＬを指す。
【００１８】
こうして正規化部１２０により正規化されたログは少なくとも、宛先ＵＲＬ（たとえば上記アクセス先のＵＲＬ）と、送信元ＩＰアドレス（たとえば上記クライアント端末のＩＰアドレス）と、を含む。ただし、正規化されたログは、この他の情報を含んでもよい。たとえば、正規化されたログは、タイムスタンプ、LogSource、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号等の情報を含んでもよい。また、正規化されたログは、通信プロトコル名、送信バイト数、受信バイト数、メソッド名、UserAgent、ステータスコード、継続時間、通信方向等の情報を含んでもよい。図２は、ログに含まれる情報の例を説明するための図である。正規化部１２０が正規化したログは、図２に示すような項目の情報を含んでよい。正規化部１２０が正規化したログは、ログ格納部１３０に格納される。
【００１９】
図３は、第１の実施形態に係るログ収集蓄積装置１０におけるログの処理の流れを説明するための図である。図３に示すように、まず、ログ収集部１１０がアクセスログを受信（収集）する（図３の（１））。そして、正規化部１２０が収集したログを正規化する（図３の（２））。そして、ログ格納部１３０に正規化したログを格納し蓄積する（図３の（３））。ログ格納部１３０に格納されるログの情報は、図３の（４）に示すように、「アクセス時刻」、「クライアント端末ＩＰアドレス」、「アクセス先ＵＲＬ」等の情報を含む。ログ格納部１３０は、ブラックリスト拡充装置２０のログ取得部２１０（後述）からログデータ要求を受けると、要求されたログをログ取得部２１０に送信する（図３の（５））。このとき、ログ格納部１３０は、指定された期間分のログを送信するように構成してもよい。
【００２０】
［ブラックリスト拡充装置２０の構成の一例］
ブラックリスト拡充装置２０は、ブラックリスト情報配信システム３０から取得したブラックリスト情報を、ログ収集蓄積装置１０から取得したログから得られる情報に基づき、更新し拡充する。図１に示すように、ブラックリスト拡充装置２０は、ログ収集蓄積装置１０、ブラックリスト情報配信システム３０およびＷｅｂサイト巡回システム４０と相互に連携可能な状態で構築される。なお、連携の態様は特に限定されない。
【００２１】
ブラックリスト拡充装置２０は、ログ取得部２１０と、ブラックリスト取得部２２０と、前処理部２３０と、ログ分析部２４０と、悪性ＵＲＬリスト作成部２５０と、検査要求部２６０と、を備える。
【００２２】
ログ取得部２１０は、ブラックリストを拡充する際に、ログ格納部１３０からログ取得問合せを受け、ログデータ要求を送信する。ログ格納部１３０は、要求に応じてログ取得部２１０に要求されたログを検索し、結果を応答する。すなわち、ログ格納部１３０は、要求されたログを送信する。なお、ログ取得部２１０によるログ取得のタイミングは特に限定されない。たとえば、予め定められた期間ごとにログ取得問合せをログ格納部１３０が送信するものとしてもよいし、外部からのトリガ、たとえばオペレータからの入力に応じてログ取得部２１０がログデータ要求を送信するものとしてもよい。
【００２３】
ブラックリスト取得部２２０は、ログ取得部２１０によるログの取得とは別個に、ブラックリスト情報配信システム３０からブラックリスト情報を取得する。ブラックリスト取得部２２０によるブラックリスト取得のタイミングも特に限定されない。ここでは、ブラックリスト取得部２２０は、定期的にブラックリスト情報配信システム３０にアクセスしてブラックリスト情報を取得するものとする。ブラックリスト取得部２２０が取得したブラックリスト情報は、ブラックリスト情報記憶部２７１（後述）に記憶する。なお、それまでにブラックリスト情報記憶部２７１に記憶されているブラックリスト情報があれば、上書きするものとしてもよいし、別個の領域に区別して記憶するようにしてもよい。
【００２４】
ブラックリスト取得部２２０が取得するブラックリスト情報にはたとえば、悪性と判断されたＵＲＬ、ドメイン、ＩＰアドレス、悪性度、種類、ブラックリストに登録された日時等の情報が含まれる。
【００２５】
前処理部２３０は、ログ取得部２１０が取得したログに基づいて、防御対象ネットワークの統計情報（ネットワーク情報）を抽出する。前処理部２３０が抽出する統計情報の種類は特に限定されず、当該ネットワーク上の通信の特徴を示すものであればよい。統計情報としてたとえば、１日の通信ログの中に出現するＦＱＤＮ（Fully  Qualified  Domain  Name）のランキング情報等が挙げられる。この場合、ランキングの作成手法としては、一つのＦＱＤＮに対してアクセスしているユニークな送信元ＩＰアドレスの数を集計して、集計に基づいてランキングしてもよい。また、単純に当該ＦＱＤＮに対するアクセスの回数を集計してランキングしてもよい。また、ＦＱＤＮ単位でなく、ＵＲＬ単位で同様の回数のランキング情報を抽出してもよい。
【００２６】
前処理部２３０が抽出した統計情報は、ネットワーク情報記憶部２７２（後述）に記憶する。統計情報は、前処理部２３０が前処理を実行するたびに追加してネットワーク情報記憶部２７２に記憶するものとする。また、ネットワーク情報記憶部２７２は、少なくとも所定期間は過去の統計情報を保持するものとする。
【００２７】
ログ分析部２４０は、ログ取得部２１０が取得したログを分析して、所定の基準に基づき悪性ＵＲＬ候補を抽出する。このとき、ログ分析部２４０は、先に前処理部２３０が抽出し記憶させた統計情報を参照する。また、ログ分析部２４０は、ブラックリスト情報記憶部２７１に記憶されたブラックリスト情報を参照する。
【００２８】
ログ分析部２４０は、たとえば、ブラックリスト情報を参照して、ブラックリストに含まれるＵＲＬにアクセスしている端末すなわち送信元ＩＰアドレスを、マルウェアに感染した端末とみなしてログから抽出する。かかる端末をみなし感染端末と呼ぶ。さらに、ログ分析部２４０は、みなし感染端末がアクセスしているＵＲＬであってブラックリストに含まれていないＵＲＬを、ログから抽出する。そして、ログ分析部２４０は、みなし感染端末がアクセスしているＵＲＬであってブラックリストに含まれていないＵＲＬを、当該ＵＲＬにアクセスしているみなし感染端末の数に基づいてスコアリングする。たとえば、ログ分析部２４０は、二つのみなし感染端末がアクセスしているＵＲＬは２、五つのみなし感染端末がアクセスしているＵＲＬは５等のスコアを付与する。そして、ログ分析部２４０は、予め定めた閾値（たとえば３）をスコアが超えるＵＲＬを、悪性ＵＲＬ候補として抽出する。
【００２９】
これらのＵＲＬを悪性ＵＲＬ候補とするのは、ブラックリストに含まれるＵＲＬにアクセスしている端末はマルウェアに感染している可能性が高く、当該端末がアクセスしている他のＵＲＬもマルウェアの通信先である可能性が疑われるからである。そして、アクセスしているマルウェア感染端末の数が多いほど、ＵＲＬが悪性サイトである確率も高いといえる。
【００３０】
また、ログ分析部２４０は、たとえば、前処理部２３０が抽出した統計情報を参照して、アクセス数が所定の閾値よりも少ないＵＲＬを抽出して悪性ＵＲＬ候補とする。このとき、アクセス数としては、ユニークな送信元ＩＰアドレスによるアクセス数に基づく統計情報を利用してもよいし、ユニークな送信元ＩＰアドレスに限定しない単純なアクセス総数に基づく統計情報を利用してもよい。
【００３１】
また、ログ分析部２４０は、たとえば、ログから抽出したＵＲＬのうち、ＦＱＤＮの部分がＩＰアドレス形式のＵＲＬを抽出して悪性ＵＲＬ候補とする。これは、正規ユーザが外部のウェブサイトを閲覧する際にはＦＱＤＮ部がＩＰアドレス形式であるパターンは少ないため、当該ログはマルウェアの行った通信によるものである可能性が高いからである。
【００３２】
ログ分析部２４０は、以上のように所定の基準に基づきログを分析して悪性ＵＲＬ候補を抽出する。このとき適用する所定の基準、すなわち分析ロジックは特に限定されず、悪性のＵＲＬ情報と送信元ＩＰアドレスの組を抽出できるような分析ロジックであれば任意のものを適用することができる。また、上記のログ分析部２４０の処理順序は特に限定されず、アクセス数が少ないＵＲＬを抽出したのちにＦＱＤＮの部分がＩＰアドレス形式のＵＲＬを抽出してもよく、その逆であってもよい。
【００３３】
悪性ＵＲＬリスト作成部２５０は、統計情報等を参照して、ログ分析部２４０が抽出した悪性ＵＲＬ候補から悪性ＵＲＬである可能性が低い候補を除外して、悪性ＵＲＬリストを作成する。
【００３４】
たとえば、悪性ＵＲＬリスト作成部２５０は、悪性ＵＲＬ候補にホワイトリスト情報記憶部２７３に記憶されたＵＲＬが含まれている場合、この悪性ＵＲＬ候補を悪性ＵＲＬリストに含めず除外する。
【００３５】
また、たとえば、悪性ＵＲＬリスト作成部２５０は、統計情報を参照して、ＦＱＤＮのアクセスランキングにおいてアクセス数が所定の値以上であるＦＱＤＮ部を持つＵＲＬが悪性ＵＲＬ候補に含まれている場合、この悪性ＵＲＬ候補を悪性ＵＲＬリストに含めず除外する。これは、アクセス数が多いＵＲＬは不正なＵＲＬである可能性は低いという推定に基づく。
【００３６】
また、悪性ＵＲＬリスト作成部２５０は、通信の性質等から必ずアクセスしなければならないＵＲＬやＦＱＤＮも悪性ＵＲＬリストには含めず除外する。
【００３７】
さらに、悪性ＵＲＬリスト作成部２５０は、Ｗｅｂサイト巡回システム４０による巡回検査に適さないＵＲＬ、たとえばフォーマット違反のＵＲＬ等も悪性ＵＲＬリストには含めず除外する。ここで、フォーマット違反のＵＲＬとはたとえば、ＲＦＣ３９８６に準拠していない形式のＵＲＬを指す。
【００３８】
さらに、悪性ＵＲＬリスト作成部２５０は、プライベートＩＰアドレスや広告系のＵＲＬについても悪性ＵＲＬリストには含めず除外する。プライベートＩＰアドレスとは、ＲＦＣ１９１８に規定されているＩＰアドレスである。たとえば、クラスＡが、１０．０.０．０-１０．２５５.２５５．２５５等である。また、広告系のＵＲＬとはたとえば、ウェブサイト上に表示される広告バナーのＵＲＬ等である。
【００３９】
このようにして、悪性ＵＲＬリスト作成部２５０は、悪性ＵＲＬリストを作成して出力する。
【００４０】
検査要求部２６０は、悪性ＵＲＬリスト作成部２５０が作成した悪性ＵＲＬリストに含まれるＵＲＬへの巡回検査を、Ｗｅｂサイト巡回システム４０に要求する。そして、検査要求部２６０は、Ｗｅｂサイト巡回システム４０による検査結果を取得する。その後、検査要求部２６０は、検査結果を反映した悪性ＵＲＬリストをブラックリスト情報記憶部２７１に記憶されるブラックリストの情報に反映させる。
【００４１】
ブラックリスト情報記憶部２７１は、上述のように、ブラックリスト取得部２２０がブラックリスト情報配信システム３０から取得したブラックリスト情報を記憶する。また、ブラックリスト情報記憶部２７１は、検査要求部２６０から悪性ＵＲＬリストを受け取り、記憶内容に反映する。
【００４２】
ネットワーク情報記憶部２７２は、上述のように、前処理部２３０が抽出した統計情報を記憶する。そして、ログ分析部２４０および悪性ＵＲＬリスト作成部２５０は、ネットワーク情報記憶部２７２を参照して処理を実行する。なお、統計情報の種類や形式は特に限定されない。
【００４３】
ホワイトリスト情報記憶部２７３は、ホワイトリストを記憶する。ホワイトリストとは、検査要求から除くＵＲＬやＦＱＤＮを記載したものであり、安全が確認されているＵＲＬやＦＱＤＮ等のリストである。ブラックリスト拡充装置２０は、予め安全性が確認されているＵＲＬ等をホワイトリスト情報記憶部２７３に登録しておく。また、ブラックリスト拡充装置２０は、ブラックリストと同様にホワイトリストを外部の装置から定期的に取得するものとしてもよい。
【００４４】
ブラックリスト情報配信システム３０は、ブラックリスト情報を格納したデータベースを備え、他の装置等の要求に応じてブラックリスト情報を配信するシステムである。たとえば、ブラックリスト情報配信システム３０は、研究機関や情報セキュリティ関連企業等が独自の調査により作成した悪性ＵＲＬリストを保持する。そして、ブラックリスト情報配信システム３０は、保持する悪性ＵＲＬリストを、インターネット等を通じて一般に公開する。
【００４５】
Ｗｅｂサイト巡回システム４０は、巡回型ハニーポットやＵＲＬスキャナ等、悪性ＵＲＬの候補リストを受信して検査を行い、当該候補リストに含まれるＵＲＬが悪性か否かを判定する。Ｗｅｂサイト巡回システム４０は、検査要求受付部を備え、外部装置、たとえばブラックリスト拡充装置２０からの検査要求を受け付けて、検査を実行する。
【００４６】
［第１の実施形態に係るブラックリスト拡充処理の流れの一例］
図４は、第１の実施形態に係るブラックリスト拡充処理の流れの一例を示すフローチャートである。図４を参照して、第１の実施形態に係るブラックリスト拡充処理の流れの一例について説明する。
【００４７】
まず、ブラックリスト拡充処理が開始すると、ログ取得部２１０は、ログ格納部１３０にログデータ要求を送信し、ログを取得する（ステップＳ４０１）。また、ブラックリスト取得部２２０は、ブラックリスト情報配信システム３０からブラックリスト情報を取得する（ステップＳ４０２）。なお、図４では便宜上、ログの取得とブラックリスト情報の取得が順番に実行されたものとして記載するが、ログとブラックリスト情報の取得タイミングは特に限定されない。
【００４８】
次に、前処理部２３０は、ログ取得部２１０が取得したログから統計情報を抽出する（ステップＳ４０３）。その後、ログ分析部２４０は、ログ取得部２１０が取得したログを分析して悪性ＵＲＬ候補を抽出するログ分析処理を実行する（ステップＳ４０４）。さらに、悪性ＵＲＬリスト作成部２５０は、ログ分析部２４０の分析結果として得られる悪性ＵＲＬ候補から所定の条件を満たすＵＲＬを除外して、悪性ＵＲＬリストを作成する悪性ＵＲＬリスト作成処理を実行する（ステップＳ４０５）。そして、検査要求部２６０は、悪性ＵＲＬリスト作成部２５０が作成した悪性ＵＲＬリストに基づく検査を、Ｗｅｂサイト巡回システム４０に要求する（ステップＳ４０６）。検査要求部２６０は、Ｗｅｂサイト巡回システム４０から検査結果を取得すると（ステップＳ４０７）、検査結果をブラックリスト情報記憶部２７１に記憶されるブラックリスト情報に反映させる（ステップＳ４０８）。これでブラックリスト拡充処理が終わる。
【００４９】
［ログ分析処理の流れの一例］
図５は、第１の実施形態に係るログ分析処理の流れの一例を示すフローチャートである。なお、図５に示すログ分析処理のフローは一例にすぎず、図５に示す以外の基準に基づいても悪性ＵＲＬ候補を抽出できる。
【００５０】
まず、ログ分析処理が開始すると、ログ分析部２４０は、ログを参照して、ＦＱＤＮがＩＰアドレス形式となっているＵＲＬがないか判定する（ステップＳ５０１）。ＦＱＤＮがＩＰアドレス形式のＵＲＬがあると判定した場合（ステップＳ５０１、肯定）、ログ分析部２４０は、当該ＵＲＬがログ中に出現する回数が予め定めた閾値以下か否かを判定する（ステップＳ５０２）。そして、出現する回数が予め定めた閾値以下であると判定した場合（ステップＳ５０２、肯定）、ログ分析部２４０は、当該ＵＲＬを悪性ＵＲＬ候補に追加する（ステップＳ５０３）。
【００５１】
他方、ログ分析部２４０は、ＦＱＤＮがＩＰアドレス形式のＵＲＬがないと判定した場合（ステップＳ５０１、否定）およびＵＲＬはあるものの出現回数は閾値より多いと判定した場合（ステップＳ５０２、否定）、ステップＳ５０４に進む。また、ステップＳ５０３において悪性ＵＲＬ候補への追加が終わった場合も、ログ分析部２４０はステップＳ５０４に進む。
【００５２】
ステップＳ５０４において、ログ分析部２４０は、統計情報を参照して、統計情報が示すアクセス数ランキング中、アクセス数が所定値以下のＦＱＤＮを抽出する。そして、ログ分析部２４０は当該ＦＱＤＮに紐付けられるＵＲＬがログ中にないか判定する（ステップＳ５０４）。紐付けられるＵＲＬがあると判定した場合（ステップＳ５０４、肯定）、ログ分析部２４０は当該ＵＲＬを悪性ＵＲＬ候補に追加して（ステップＳ５０５）、処理を終了する。他方、紐付けられるＵＲＬがないと判定した場合（ステップＳ５０４、否定）、ログ分析部２４０は処理を終了する。作成された悪性ＵＲＬ候補は悪性ＵＲＬリスト作成部２５０へ出力される。
【００５３】
［悪性ＵＲＬリスト作成処理の流れの一例］
図６は、第１の実施形態に係る悪性ＵＲＬリスト作成処理の流れの一例を示すフローチャートである。図６を参照して悪性ＵＲＬリスト作成処理の流れの一例につき説明する。ただし、悪性ＵＲＬリスト作成処理において悪性ＵＲＬ候補を除外する基準は図示するものに限られず、悪性ＵＲＬ候補を絞り込むことができるものであれば他の任意の基準を適用してもよい。
【００５４】
まず、悪性ＵＲＬリスト作成処理が開始すると、悪性ＵＲＬリスト作成部２５０は、悪性ＵＲＬ候補をマージして暫定的な悪性ＵＲＬリストを作成する（ステップＳ６０１）。そして、悪性ＵＲＬリスト作成部２５０は、統計情報を参照して、アクセス数ランキング上位５位までのＵＲＬを暫定悪性ＵＲＬリストから除外する（ステップＳ６０２）。次に、悪性ＵＲＬリスト作成部２５０は、ホワイトリスト情報を参照して、ホワイトリストに含まれるＵＲＬを悪性ＵＲＬリストから除外する（ステップＳ６０３）。次に、悪性ＵＲＬリスト作成部２５０は、フォーマット違反のＵＲＬを悪性ＵＲＬリストから抽出し、除外する（ステップＳ６０４）。そして、悪性ＵＲＬリスト作成部２５０は、除外後の暫定悪性ＵＲＬリストを最終的な悪性ＵＲＬリストとして出力する（ステップＳ６０５）。これによって悪性ＵＲＬリスト作成処理は終了する。
【００５５】
［第１の実施形態の効果］
上記のように、第１の実施形態に係るブラックリスト拡充装置は、通信ログを取得するログ取得部と、ログ取得部が取得した通信ログに基づき、当該通信ログに含まれ、第１の基準を満たすＵＲＬである悪性ＵＲＬ候補を抽出するログ分析部と、ログ取得部が取得した通信ログに基づき、対象ネットワークの統計情報を抽出する前処理部と、ログ分析部が抽出した悪性ＵＲＬ候補を統合し、前処理部が抽出した統計情報を参照して第２の基準を満たす悪性ＵＲＬ候補を統合した悪性ＵＲＬ候補から除外して悪性ＵＲＬリストを作成する悪性ＵＲＬリスト作成部と、を備える。このため、通信ログの情報に基づいて悪性ＵＲＬ候補を抽出した上で、所定の基準に基づいて不適当な悪性ＵＲＬ候補を除外した悪性ＵＲＬリストを作成することができ、効率的かつ精度よくブラックリストを拡充し、ブラックリストによる防御の効果を向上させることができるという効果を奏する。また、第１の実施形態のブラックリスト拡充装置は、対象ネットワークの統計情報をさらに参照して、悪性ＵＲＬ候補を絞り込んだ悪性ＵＲＬリストを作成することができ、悪性か否かを確認する必要のあるＵＲＬを絞り込むことができる。このため、ブラックリストの拡充にかかる時間や手間を抑制し、効率的かつ精度よくブラックリストを拡充することができる。
【００５６】
また、第１の実施形態に係るブラックリスト拡充装置において、ログ分析部は、通信ログの中から、ＦＱＤＮがＩＰアドレスであり、且つ、出現回数が所定の閾値以下のＵＲＬを悪性ＵＲＬ候補として抽出する。
【００５７】
また、第１の実施形態に係るブラックリスト拡充装置において、ログ分析部は、前処理部が抽出した統計情報に基づき、対象ネットワーク内のアクセス数が所定の閾値以下のＦＱＤＮに紐付くＵＲＬ、すなわち当該ＦＱＤＮを含むＵＲＬを悪性ＵＲＬ候補として抽出する。このように、ブラックリスト拡充装置は、ログおよび統計情報に基づいて、多様な基準を用いて悪性ＵＲＬ候補を抽出するため、網羅的且つ効率的に悪性ＵＲＬ候補を抽出することができる。また、ブラックリスト拡充装置は、基準を適宜変更することによって所望の特性をもつ悪性ＵＲＬ候補を網羅的且つ効率的に抽出することができる。
【００５８】
また、第１の実施形態に係るブラックリスト拡充装置において、悪性ＵＲＬリスト作成部は、フォーマット違反のＵＲＬ、プライベートＩＰアドレスを含むＵＲＬ、または広告系のＵＲＬを除外して悪性ＵＲＬリストを作成する。また、悪性ＵＲＬリスト作成部は、統計情報に基づき、対象ネットワーク内のアクセス数が所定閾値以上のＵＲＬを除外して悪性ＵＲＬリストを作成する。このため、ブラックリスト拡充装置は、一つの基準に基づいて悪性ＵＲＬの可能性ありと判定されたＵＲＬであっても多様な観点から設定される別の基準に基づいて再度フィルタリングすることができる。このため、ブラックリスト拡充装置は、多様な観点からＵＲＬの悪性、良性を判定して、精度の高いブラックリストとなるようブラックリストを拡充することができる。また、ブラックリスト拡充装置は、所定の観点から良性の可能性が高いＵＲＬを悪性ＵＲＬリストから除外するため、その後の巡回検査等の手間を削減することができる。
【００５９】
（その他の実施形態）
これまで本発明の実施形態について説明したが、本発明は上述した実施形態以外にも、その他の実施形態にて実施されてもよい。以下に、その他の実施形態を説明する。
【００６０】
［ブラックリスト情報の提供］
上記実施の形態に係るブラックリスト拡充装置において、フィードバック処理によって更新されたブラックリスト情報を、ブラックリスト情報配信システムに対して送信するように構成してもよい。ブラックリスト情報配信システム側が、複数のブラックリスト拡充装置から更新されたブラックリスト情報を受信してマージできるように構成すれば、さらにブラックリスト情報の精度を通信システム全体として向上させることができる。
【００６１】
［ブラックリストの作成］
本実施の形態に係るブラックリスト拡充装置２０は、ログ収集蓄積装置１０に蓄積された通信ログを取得して当該通信ログに基づき悪性ＵＲＬリストを作成し、作成したリストに基づき既存のブラックリスト情報を拡充する。しかし、これに限らず、ブラックリスト拡充装置２０は、既存のブラックリスト情報が存在しない場合に、一からブラックリストを作成するよう動作することもできる。この場合は、ブラックリスト拡充装置２０が初めて動作する際に、悪性ＵＲＬリストによってブラックリスト情報が作成され、その後の動作ごとにブラックリスト情報が拡充されるものとする。この場合、ブラックリスト取得部２２０は設けないものとしてもよい。
【００６２】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。たとえば、ログ分析部２４０と悪性ＵＲＬリスト作成部２５０とを統合して、最終的な悪性ＵＲＬリストを出力するように構成してもよい。また、ログ収集蓄積装置１０とブラックリスト拡充装置２０とを統合して一体的に構成してもよい。また、ブラックリスト拡充装置２０をブラックリスト情報配信システム３０に組み入れてもよい。
【００６３】
さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００６４】
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００６５】
［プログラム］
また、上記実施形態において説明したブラックリスト拡充装置２０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。たとえば、第１の実施形態に係るブラックリスト拡充装置２０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記第１の実施形態と同様の処理を実現してもよい。以下に、図１に示したブラックリスト拡充装置２０と同様の機能を実現するプログラムを実行するコンピュータの一例を説明する。
【００６６】
図７は、プログラムを実行するコンピュータ１０００を示す図である。図７に例示するように、コンピュータ１０００は、たとえば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【００６７】
メモリ１０１０は、図７に例示するように、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、たとえば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図７に例示するように、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、図７に例示するように、ディスクドライブ１０４１に接続される。たとえば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０４１に挿入される。シリアルポートインタフェース１０５０は、図７に例示するように、たとえばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、図７に例示するように、たとえばディスプレイ１１３０に接続される。
【００６８】
ここで、図７に例示するように、ハードディスクドライブ１０９０は、たとえば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、たとえばハードディスクドライブ１０９０に記憶される。
【００６９】
また、上記実施形態で説明した各種データは、プログラムデータとして、たとえばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
【００７０】
なお、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、たとえば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００７１】
１  通信システム
１０  ログ収集蓄積装置
２０  ブラックリスト拡充装置
３０  ブラックリスト情報配信システム
４０  Ｗｅｂサイト巡回システム
１１０  ログ収集部
１２０  正規化部
１３０  ログ格納部
２１０  ログ取得部
２２０  ブラックリスト取得部
２３０  前処理部
２４０  ログ分析部
２５０  悪性ＵＲＬリスト作成部
２６０  検査要求部
２７１  ブラックリスト情報記憶部
２７２  ネットワーク情報記憶部
２７３  ホワイトリスト情報記憶部
【図１】
2015179416.tif 000003
【図２】
2015179416.tif 000004
【図３】
2015179416.tif 000005
【図４】
2015179416.tif 000006
【図５】
2015179416.tif 000007
【図６】
2015179416.tif 000008
【図７】
2015179416.tif 000009
【図８】
2015179416.tif 000010