(57)【特許請求の範囲】
【請求項１】
クライアント装置がサーバ装置により提供されるサイトのＵＲＬへアクセスする際に最初にアクセスするＵＲＬである入口ＵＲＬと、該入口ＵＲＬを経由して最終的にアクセスするサイトのＵＲＬであるアクセス先ＵＲＬとの組を記憶する記憶部と、
既知の悪性ＵＲＬとして、入口ＵＲＬと攻撃コードが配置されている攻撃ＵＲＬとの組を記憶する悪性ＵＲＬリスト記憶部と、
前記記憶部に記憶された入口ＵＲＬまたはアクセス先ＵＲＬのうち、前記悪性ＵＲＬリスト記憶部に記憶された既知の悪性ＵＲＬと一致するＵＲＬが存在するか照合し、一致する既知の悪性ＵＲＬが攻撃ＵＲＬである場合には該攻撃ＵＲＬの参照元のＵＲＬを抽出し、一致する既知の悪性ＵＲＬが入口ＵＲＬである場合には該入口ＵＲＬの参照先のＵＲＬを抽出し、抽出された攻撃ＵＲＬおよび参照元のＵＲＬの組、または、抽出された入口ＵＲＬおよび参照先のＵＲＬの組を、悪性なＵＲＬの組として検出し、検出した悪性なＵＲＬの組を前記悪性ＵＲＬリスト記憶部に記憶させる検出部と、
前記検出部によって検出された悪性なＵＲＬの組の入口ＵＲＬに対して、クライアント装置がアクセスすることを監視する監視部と、
を有することを特徴とする監視装置。
【請求項２】
前記検出部は、検出した悪性なＵＲＬの組を前記悪性ＵＲＬリスト記憶部に記憶させることを特徴とする請求項１に記載の監視装置。
【請求項３】
前記監視部は、前記検出部によって検出された悪性なＵＲＬの組の入口ＵＲＬに対して、クライアント装置がアクセスすることを検知した場合には、該アクセスを中止させることを特徴とする請求項１または２に記載の監視装置。
【請求項４】
監視装置で実行される監視方法であって、
前記監視装置は、クライアント装置がサーバ装置により提供されるサイトのＵＲＬへアクセスする際に最初にアクセスするＵＲＬである入口ＵＲＬと、該入口ＵＲＬにより最終的にアクセスするサイトのＵＲＬであるアクセス先ＵＲＬとの組を記憶する記憶部と、
既知の悪性ＵＲＬとして、入口ＵＲＬと攻撃コードが配置されている攻撃ＵＲＬとの組を記憶する悪性ＵＲＬリスト記憶部とを備え、
前記記憶部に記憶された入口ＵＲＬまたはアクセス先ＵＲＬのうち、前記悪性ＵＲＬリスト記憶部に記憶された既知の悪性ＵＲＬと一致するＵＲＬが存在するか照合し、一致する既知の悪性ＵＲＬが攻撃ＵＲＬである場合には該攻撃ＵＲＬの参照元のＵＲＬを抽出し、一致する既知の悪性ＵＲＬが入口ＵＲＬである場合には該入口ＵＲＬの参照先のＵＲＬを抽出し、抽出された攻撃ＵＲＬおよび参照元のＵＲＬの組、または、抽出された入口ＵＲＬおよび参照先のＵＲＬの組を、悪性なＵＲＬの組として検出し、検出した悪性なＵＲＬの組を前記悪性ＵＲＬリスト記憶部に記憶させる検出工程と、
前記検出工程によって検出された悪性なＵＲＬの組の入口ＵＲＬに対して、クライアント装置がアクセスすることを監視する監視工程と、
を含んだことを特徴とする監視方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視装置および監視方法に関する。
【背景技術】
【０００２】
従来、多くのセキュリティインシデントはマルウェア（コンピュータウィルス、ワーム、ボットなどの悪意のあるソフトウェアの総称）によって引き起こされており、マルウェアの感染を防ぐための技術がアンチウィルスベンダ等から提供されている。ファイヤーフォールによる外部ネットワークから内部ネットワークへの一方的な感染のための攻撃通信を防ぐ対策がなされてきたが、Ｗｅｂサイトにアクセスすることでクライアントが感染する攻撃に対しては防ぐ事ができない場合があった。
【０００３】
Ｗｅｂ経由でのマルウェア感染は、クリックダウンロードとドライブバイダウンロードの２種類が存在する。クリックダウンロードとは、ユーザ自らがマルウェアであるということを認識することなくファイルをダウンロードして実行することで感染するものである。これはＷｅｂページ内にマルウェアのプログラムへのハイパーリンクを張っておき、ユーザが当該Ｗｅｂページをアクセスした際にハイパーリンクをクリックするとダウンロードおよび実行するかどうかのダイアログボックスが出現する。ユーザが許可を意味するダイアログボックス内部のボタンを押下することで、当該プログラム（マルウェア）のダウンロードおよび実行がなされる。つまり、クリックダウンロードによるマルウェア感染には、マルウェアが配置されたＵＲＬへのハイパーリンクとユーザインタラクション（ユーザによる操作）の２つの特徴がある。
【０００４】
一方、ドライブバイダウンロードは、Ｗｅｂブラウザの脆弱性を攻撃することで制御を乗っ取ってマルウェアをダウンロードおよび実行する。ＷｅｂサイトにはＷｅｂブラウザの脆弱性を攻撃してマルウェアをインストールさせる攻撃コードをＷｅｂコンテンツ内に仕組んでおき、Ｗｅｂブラウザが当該Ｗｅｂサイトへアクセスすることを持ちかまえる。脆弱性のあるＷｅｂブラウザで当該Ｗｅｂサイトにアクセスするとユーザインタラクション無しでマルウェアのダウンロードと実行が行われる。さらに、攻撃コードが配置されているＷｅｂサイトに対して自動転送を行うサイトが存在する場合がある。
【０００５】
図１４を用いて、クリックダウンロードとドライブバイダウンロードにおける各ＵＲＬの役割と関係性を説明する。図１４に示す入口ＵＲＬとは、マルウェア感染における起点となるＵＲＬである。クリックダウンロードの場合、入口ＵＲＬにマルウェア配布ＵＲＬへのハイパーリンクが存在する。ドライブバイダウンロードの場合、別のＵＲＬへの自動転送コードが含まれており、攻撃コードが配置されているＵＲＬ（以下、「攻撃ＵＲＬ」と呼ぶ）もしくは、入口ＵＲＬと攻撃ＵＲＬの間で複数の踏み台ＵＲＬを中継する場合もある。また、入口ＵＲＬが攻撃ＵＲＬであるケースもある（つまり、最初にアクセスしたＵＲＬが攻撃ＵＲＬであるケースである。メールにＵＲＬを記載して誘導する手法では直接、攻撃ＵＲＬが記述されることがある）。攻撃ＵＲＬにアクセスするとＷｅｂブラウザの制御を奪取した後にマルウェア配布ＵＲＬへ強制的にアクセスしてマルウェアのプログラムをダウンロードおよびインストールする。このようなＷｅｂ経由でのマルウェア感染に関わる悪性なＵＲＬのネットワークをマルウェア配布ネットワークと呼ぶ。
【０００６】
図１５および図１６に例示するように、マルウェア配布ネットワークにおける悪性ＵＲＬ群の関係は一対一対応とは限らず、複数の悪性ＵＲＬ間で関係性を持つ場合がある。このようなＷｅｂ経由でのマルウェア感染等の攻撃を検知するため、ハニーポットと呼ばれる技術が提案されている。ハニーポットは脆弱な端末を装ったおとりとして動作し、攻撃者からの攻撃を誘い込む。またＷｅｂ経由での感染を検知するために、Ｗｅｂブラウザとして動作するハニーポットとしてＷｅｂクライアントハニーポットが提案されている。
【０００７】
Ｗｅｂクライアントハニーポットの技術として、脆弱性のあるＷｅｂブラウザを起動して指定したＵＲＬへアクセスを行い、システムの改変等（通常Ｗｅｂブラウザとしては行わないファイルシステム・レジストリの入出力、プロセスの起動）を検知する技術が知られている（例えば、非特許文献１参照）。また、自動転送が発生した場合の転送元と転送先のＵＲＬを関連付けてログ出力を行うことができ、さらに一連のアクセスしたＵＲＬの中から、入口ＵＲＬ・踏み台ＵＲＬ、攻撃ＵＲＬ、マルウェア配布ＵＲＬを判断できる技術が知られている（例えば、非特許文献２参照）。
【０００８】
ところで、このようなマルウェア配布ネットワークは、各ＵＲＬ間が１対１で対応しているわけではない。例えば、複数の入口ＵＲＬから共通の攻撃ＵＲＬへ自動転送する場合もあれば、時間経過とともに自動転送先の攻撃ＵＲＬが変化する場合がある。よって、マルウェア配布ネットワークに参加する未知の悪性のＵＲＬ群を把握する技術が求められる。
【０００９】
例えば、検索エンジンでは、Ｗｅｂ空間をクロールしてコンテンツの内容を分析し、最終的に検索結果として検索クエリに対して結果を返す。この時、コンテンツ内部にどのような文章が記述されているか、および、どのＵＲＬに対するハイパーリンクが記述されているかを分析する。前者の文章は、キーワード検索の処理に利用され、後者のハイパーリンクは、クロール対象やページランクに利用される。よって、検索エンジンでは、ハイパーリンクを基にしたＵＲＬ間の接続関係情報（Ｗｅｂグラフ）を内部に保持している。このＷｅｂグラフを用いて、悪性なＵＲＬを発見する方法が提案されている（例えば、非特許文献３参照）。
【００１０】
このＷｅｂグラフを用いて悪性なＵＲＬを発見する方法では、ある既知のマルウェア配布ＵＲＬがあるとき、そのＵＲＬに対してハイパーリンクを張ってある未知の入口ＵＲＬを、Ｗｅｂグラフから辿ることができる。また、発見した入口ＵＲＬからハイパーリンクを張っているＵＲＬは未知のマルウェア配布ＵＲＬである可能性が高い。このように検索エンジンが保有するＷｅｂグラフから既知の悪性ＵＲＬを起点として辿ることで未知の悪性ＵＲＬを発見する手法である。
【先行技術文献】
【非特許文献】
【００１１】
【非特許文献１】“Capture-HPC”、［online］、［平成２４年６月４日検索］、インターネット＜https://projects.honeynet.org/capture-hpc＞
【非特許文献２】Mitsuaki  Akiyama,  Makoto  Iwamura,  Yuhei  Kawakoya,  Kazufumi  Aoki,  Mitsutaka  Itoh:  Design  and  Implementation  of  High  Interaction  Client  Honeypot  for  Drive-by-Download  Attacks.  IEICE  Transactions  E93-B(5):  1131-1139  (2010)
【非特許文献３】Jack  W.  Stokes  and  Reid  Andersen  and  Christian  Seifert  and  Kumar  Chellapilla,  "WebCop:  locating  neighborhoods  of  malware  on  the  web",  USENIX  LEET'10,  2010
【発明の概要】
【発明が解決しようとする課題】
【００１２】
しかしながら、上記したＷｅｂグラフを用いて悪性なＵＲＬを発見する技術では、未知の悪性なＵＲＬを適切に発見することができないという課題があった。具体的には、Ｗｅｂグラフを用いて悪性なＵＲＬを発見する技術では、ハイパーリンクで接続されたＵＲＬ間の接続関係を基にしているため、クリックダウンロードに関連する悪性なＵＲＬしか発見できず、ドライブバイダウンロードに関連する悪性なＵＲＬは対象外であるため、ドライブバイダウンロードに関連する悪性なＵＲＬについては、未知の悪性なＵＲＬを適切に発見することができない。また、検索エンジンが内部で保有するＷｅｂグラフは、基本的に当該検索エンジンプロバイダのみしか参照できないため、検索エンジンプロバイダ以外はＷｅｂグラフを参照できずに、未知の悪性なＵＲＬを適切に発見することができなかった。
【００１３】
そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、未知の悪性なＵＲＬを適切に発見し、悪性なＵＲＬへのアクセスを適切に監視することを目的とする。
【課題を解決するための手段】
【００１４】
上述した課題を解決し、目的を達成するため、監視装置は、クライアント装置がサーバ装置により提供されるサイトのＵＲＬへアクセスする際に最初にアクセスするＵＲＬである入口ＵＲＬと、該入口ＵＲＬを経由して最終的にアクセスするサイトのＵＲＬであるアクセス先ＵＲＬとの組を記憶する記憶部と、前記記憶部に記憶された入口ＵＲＬまたはアクセス先ＵＲＬのうち、既知の悪性ＵＲＬと一致するＵＲＬが存在するか照合し、既知の悪性ＵＲＬと一致するＵＲＬが存在する入口ＵＲＬとアクセス先ＵＲＬとの組が存在する場合には、該入口ＵＲＬとアクセス先ＵＲＬとの組を悪性なＵＲＬの組として検出する検出部と、前記検出部によって検出された悪性なＵＲＬの組の入口ＵＲＬに対して、クライアント装置がアクセスすることを監視する監視部と、を有することを特徴とする。
【００１５】
また、監視方法は、監視装置で実行される監視方法であって、前記監視装置は、クライアント装置がサーバ装置により提供されるサイトのＵＲＬへアクセスする際に最初にアクセスするＵＲＬである入口ＵＲＬと、該入口ＵＲＬにより最終的にアクセスするサイトのＵＲＬであるアクセス先ＵＲＬとの組を記憶する記憶部を備え、前記記憶部に記憶された入口ＵＲＬまたはアクセス先ＵＲＬのうち、既知の悪性ＵＲＬと一致するＵＲＬが存在するか照合し、既知の悪性ＵＲＬと一致するＵＲＬが存在する入口ＵＲＬとアクセス先ＵＲＬとの組が存在する場合には、該入口ＵＲＬとアクセス先ＵＲＬとの組を悪性なＵＲＬの組として検出する検出工程と、前記検出工程によって検出された悪性なＵＲＬの組の入口ＵＲＬに対して、クライアント装置がアクセスすることを監視する監視工程と、を含んだことを特徴とする。
【発明の効果】
【００１６】
本願に開示する監視装置および監視方法は、未知の悪性なＵＲＬを適切に発見し、悪性なＵＲＬへのアクセスを適切に監視することができるという効果を奏する。
【図面の簡単な説明】
【００１７】
【図１】図１は、第一の実施の形態に係る通信システムの全体構成の一例を説明する図である。
【図２】図２は、第一の実施の形態に係る監視装置の構成の一例を示すブロック図である。
【図３】図３は、接続関係記憶部に記憶されるデータの一例を示す図である。
【図４】図４は、悪性ＵＲＬリスト記憶部に記憶されるデータの一例を示す図である。
【図５】図５は、監視対象ＵＲＬ記憶部に記憶されるデータの一例を示す図である。
【図６】図６は、悪性ＵＲＬとユーザのアクセス先ＵＲＬとの照合から未知の悪性ＵＲＬを検出する処理を説明する図である。
【図７】図７は、ドライブバイダウンロードにおける未知悪性ＵＲＬを検出する処理を説明する図である。
【図８】図８は、クリックダウンロードにおける未知悪性ＵＲＬを検出する処理を説明する図である。
【図９】図９は、第一の実施の形態に係る監視装置による処理の流れの一例を説明するためのフローチャートである。
【図１０】図１０は、クライアントと監視装置とが接続されている場合の通信システムの全体構成の一例を説明する図である。
【図１１】図１１は、ゲートウェイに監視装置が含まれる場合の通信システムの全体構成の一例を説明する図である。
【図１２】図１２は、クライアントに監視装置が含まれる場合の通信システムの全体構成の一例を説明する図である。
【図１３】図１３は、監視プログラムを実行するコンピュータを示す図である。
【図１４】図１４は、クリックダウンロードとドライブバイダウンロードを説明する図である。
【図１５】図１５は、クリックダウンロードにおける悪性ＵＲＬ間の関係性を説明する図である。
【図１６】図１６は、ドライブバイダウンロードにおける悪性ＵＲＬ間の関係性を説明する図である。
【発明を実施するための形態】
【００１８】
以下に、本願に係る監視装置および監視方法の実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本願に係る監視装置および監視方法が限定されるものではない。
【００１９】
［第一の実施の形態］
以下の実施の形態では、第一の実施の形態に係る通信システムの構成、監視装置の構成および処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。
【００２０】
［第一の実施の形態に係る通信システムの構成］
まず、図１を用いて、第一の実施の形態に係る通信システム１００について説明する。図１は、第一の実施の形態に係る通信システム１００の全体構成の一例を説明するための図である。通信システム１００では、監視装置１０とゲートウェイ２０とクライアント３０Ａ〜３０Ｃとサーバ４０とインターネット５０で構成される。また、クライアント３０Ａ〜３０Ｃとサーバ４０とはゲートウェイ２０およびインターネット５０を介して通信が行われる。なお、複数のクライアント３０Ａ〜３０Ｃについて、特に区別なく説明する場合には、「クライアント３０」と記載して説明する。
【００２１】
監視装置１０は、ゲートウェイ２０とクライアント３０Ａ〜３０Ｃとの間で通信されるパケットがゲートウェイ２０から送信され、送信されたパケットのヘッダ情報からアクセス先を特定し、悪性ＵＲＬへのアクセスを監視する。なお、監視装置１０の詳しい構成や処理については、図２等を用いて後に詳述する。
【００２２】
ゲートウェイ２０は、ＬＡＮ（Local  Area  Network）上のクライアント３０Ａ〜３０Ｃとインターネット５０とを中継する通信装置であって、ゲートウェイ２０とクライアント３０Ａ〜３０Ｃとの間で通信されるパケットを転送するとともに、該パケットを監視装置１０にも送信する。
【００２３】
クライアント３０Ａ〜３０Ｃは、企業や大学などの特定のＬＡＮに配置されたユーザ端末である。例えば、クライアント３０Ａ〜３０Ｃは、ＵＲＬにアクセスしてＷｅｂサイトにアクセスする。なお、図１の例では、クライアント３０Ａ〜３０Ｃが３台の場合を例示しているが、これに限定されるものではなく、２台以下であってもよいし、４台以上であってもよい。
【００２４】
サーバ４０は、ＵＲＬによりアクセスされる各種ウェブサイトを提供するサーバ装置である。なお、図１の例では、サーバ４０が１台の場合を例示しているが、これに限定されるものではなく、２台以上であってもよい。
【００２５】
［監視装置の構成］
次に、図２を用いて、図１に示した監視装置１０の構成を説明する。図２は、第一の実施の形態に係る監視装置の構成を示すブロック図である。図２に示すように、この監視装置１０は、通信制御部１１、制御部１２、記憶部１３を有する。以下にこれらの各部の処理を説明する。
【００２６】
通信制御部１１は、接続されるゲートウェイ２０との間でやり取りする各種情報に関する通信を制御する。例えば、通信制御部１１は、クライアント３０Ａ〜３０Ｃとサーバ４０との間で通信されるパケットをゲートウェイ２０から受信する。
【００２７】
記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、接続関係記憶部１３ａ、悪性ＵＲＬリスト記憶部１３ｂおよび監視対象ＵＲＬ記憶部１３ｃを備える。
【００２８】
接続関係記憶部１３ａは、クライアント３０がサーバ４０により提供されるサイトのＵＲＬへアクセスする際に最初にアクセスするＵＲＬである入口ＵＲＬと、該入口ＵＲＬを経由して最終的にアクセスするサイトのＵＲＬであるアクセス先ＵＲＬとの組を記憶する。例えば、接続関係記憶部１３ａに記憶される接続関係（入口ＵＲＬとアクセス先ＵＲＬとの組）は、事前に記憶された情報であって、クライアント３０とサーバ４０との間で行われる通信パケットのヘッダ情報に含まれるリクエストＵＲＬとリソースＵＲＬとを用いて特定されたＵＲＬ同士の関係を示す情報である。
【００２９】
具体的には、接続関係記憶部１３ａは、ユーザの一連のＷｅｂアクセスからＵＲＬの接続関係を記憶するものであり、図３に例示するように、入口ＵＲＬとアクセス先ＵＲＬとを対応付けて記憶する。例えば、図３の例を挙げて説明すると、接続関係記憶部１３ａは、入口ＵＲＬ「ＵＲＬ＿Ｅ」とアクセス先ＵＲＬ「ＵＲＬ＿Ｂ」とを対応付けて記憶する。なお、接続関係記憶部１３ａに記憶された情報は、後述する検出部１２ａによって参照される情報である。
【００３０】
悪性ＵＲＬリスト記憶部１３ｂは、既知の悪性ＵＲＬが列挙されたリストを記憶する。具体的には、悪性ＵＲＬリスト記憶部１３ｂは、図４に示すように、既知の悪性ＵＲＬにアクセスする際に最初にアクセスする「入口ＵＲＬ」と、攻撃コードが配置されているＷｅｂサイトのＵＲＬである「攻撃ＵＲＬ」とを対応付けて記憶する。例えば、図４の例を挙げて説明すると、悪性ＵＲＬリスト記憶部１３ｂは、入口ＵＲＬ「ＵＲＬ＿Ａ」と攻撃ＵＲＬ「ＵＲＬ＿Ｂ」とを対応付けて記憶する。なお、悪性ＵＲＬリスト記憶部１３ｂに記憶された情報は、後述する検出部１２ａによって参照される情報である。
【００３１】
監視対象ＵＲＬ記憶部１３ｃは、監視対象となる悪性のＵＲＬを記憶する。具体的には、監視対象ＵＲＬ記憶部１３ｃは、監視対象となる「入口ＵＲＬ」と、攻撃コードが配置されているＷｅｂサイトのＵＲＬである「攻撃ＵＲＬ」とを対応付けて記憶する。例えば、図５の例を挙げて説明すると、監視対象ＵＲＬ記憶部１３ｃは、入口ＵＲＬ「ＵＲＬ＿Ａ」と攻撃ＵＲＬ「ＵＲＬ＿Ｂ」とを対応付けて記憶する。なお、監視対象ＵＲＬ記憶部１３ｃに記憶された情報は、後述する監視部１２ｂによって参照される情報である。
【００３２】
また、監視対象ＵＲＬ記憶部１３ｃに記憶される監視対象となる悪性のＵＲＬは、削除することが可能である。例えば、悪性ＵＲＬでなくなった場合には、当該ＵＲＬを監視対象ＵＲＬ記憶部１３ｃから削除することで、アクセス禁止を解除することが可能となる。
【００３３】
制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、検出部１２ａおよび監視部１２ｂを有する。
【００３４】
検出部１２ａは、接続関係記憶部１３ａに記憶された入口ＵＲＬまたはアクセス先ＵＲＬのうち、既知の悪性ＵＲＬと一致するＵＲＬが存在するかを照合し、既知の悪性ＵＲＬと一致するＵＲＬが存在する入口ＵＲＬとアクセス先ＵＲＬとの組が存在する場合には、該入口ＵＲＬとアクセス先ＵＲＬとの組を悪性なＵＲＬの組として検出する。そして、検出部１２ａは、検出した悪性なＵＲＬの組を監視対象ＵＲＬ記憶部１３ｃに記憶させる。
【００３５】
ここで、図６を用いて、接続関係記憶部１３ａに記憶されたＵＲＬと既知の悪性ＵＲＬとの照合から未知の悪性ＵＲＬを検出する処理を説明する。図６は、悪性ＵＲＬとユーザのアクセス先ＵＲＬとの照合から未知の悪性ＵＲＬを検出する処理を説明する図である。検出部１２ａは、あらかじめ準備した悪性ＵＲＬリスト記憶部１３ｂ内の悪性ＵＲＬと、ユーザのアクセスから取得したアクセス先ＵＲＬとの関係について、照合することで悪性ＵＲＬが含まれるかどうかを探す。
【００３６】
照合した結果、もしも悪性ＵＲＬが含まれる場合は、その悪性ＵＲＬが攻撃ＵＲＬならば参照元ＵＲＬ、悪性ＵＲＬが入口ＵＲＬならば参照先ＵＲＬを抽出する。抽出したＵＲＬが悪性ＵＲＬリスト記憶部１３ｂに記憶されていない場合は、未知の悪性ＵＲＬを発見したことになる。
【００３７】
例えば、図６の例では、攻撃ＵＲＬである「ＵＲＬ＿Ｂ」と一致するアクセス先ＵＲＬ「ＵＲＬ＿Ｂ」および「ＵＲＬ＿Ｅ」の組と、「ＵＲＬ＿Ｂ」および「ＵＲＬ＿Ｆ」の組とが存在し、そのアクセス先ＵＲＬ「ＵＲＬ＿Ｂ」に対応する入口ＵＲＬ「ＵＲＬ＿Ｅ」および入口ＵＲＬ「ＵＲＬ＿Ｆ」が未知の入口ＵＲＬであるものとして検出する。また、例えば、図６の例では、悪性なＵＲＬにアクセスする入口ＵＲＬ「ＵＲＬ＿Ｃ」と一致する入口ＵＲＬ「ＵＲＬ＿Ｃ」および「ＵＲＬ＿Ｇ」の組が存在し、その入口ＵＲＬ「ＵＲＬ＿Ｃ」に対応するアクセス先ＵＲＬ「ＵＲＬ＿Ｇ」が未知の攻撃ＵＲＬであるものとして検出する。
【００３８】
つまり、検出部１２ａは、ユーザの一連のＷｅｂアクセスからＵＲＬの関連性を特定し、あらかじめ準備しておいた悪性なＵＲＬのリストと照合させることで、一致する悪性なＵＲＬの特定を行い、それに関連するＵＲＬを連鎖的に発見することで未知の悪性なＵＲＬを検出することができる。
【００３９】
また、これにより、ドライブバイダウンロードに関連する悪性なＵＲＬについても、クリックダウンロードに関連する悪性なＵＲＬについても、それぞれ未知の悪性ＵＲＬを検出することが可能である。例えば、ドライブバイダウンロードに関連する悪性なＵＲＬについて、図７に示すように、既知のマルウェア配布ネットワークにおける各悪性ＵＲＬ（既知の入口ＵＲＬ、既知の踏み台ＵＲＬ、既知の攻撃ＵＲＬ）と、新たに特定された未知のマルウェア配布ネットワークにおける各ＵＲＬ（未知の入口ＵＲＬ、未知の踏み台ＵＲＬ、未知の攻撃ＵＲＬ）との関係を把握することができる。
【００４０】
また、例えば、クリックダウンロードに関連する悪性なＵＲＬについても、図８に示すように、既知のマルウェア配布ネットワークにおける各悪性ＵＲＬ（既知の入口ＵＲＬ、既知の攻撃ＵＲＬ）と、新たに特定された未知のマルウェア配布ネットワークにおける各ＵＲＬ（未知の入口ＵＲＬ、未知の攻撃ＵＲＬ）との関係を把握することができる。
【００４１】
また、検出部１２ａは、検出した悪性なＵＲＬの組を悪性ＵＲＬリスト記憶部１３ｂに記憶させるようにしてもよい。つまり、新たに検出した悪性なＵＲＬを悪性ＵＲＬリスト記憶部１３ｂに記憶させることで、悪性ＵＲＬリスト記憶部１３ｂが記憶する悪性なＵＲＬが更新され、次回未知の悪性ＵＲＬを検出する処理の精度を向上させることが可能である。
【００４２】
図２の説明に戻って、監視部１２ｂは、検出部１２ａによって検出された悪性なＵＲＬの組の入口ＵＲＬに対して、クライアント３０がアクセスすることを監視する。そして、監視部１２ｂは、検出部１２ａによって検出された悪性なＵＲＬの組の入口ＵＲＬに対して、クライアント３０がアクセスすることを検知した場合には、該アクセスを中止するように制御する。
【００４３】
なお、監視部１２ｂは、悪性ＵＲＬがなくなった場合、または、悪性でなくなったＵＲＬがある場合には、当該ＵＲＬを監視対象ＵＲＬ記憶部１３ｃから削除するようにしてもよい。悪性でなくなったＵＲＬ等を監視対象ＵＲＬ記憶部１３ｃから削除することで、監視部１２ｂによるアクセス禁止を解除することができ、監視対象ＵＲＬ記憶部１３ｃを適切に更新することが可能となる。
【００４４】
［監視装置による処理］
次に、図９を用いて、第一の実施形態に係る監視装置１０による処理を説明する。図９は、第一の実施の形態に係る監視装置による処理の流れの一例を説明するためのフローチャートである。
【００４５】
図９に示すように、監視装置１０の検出部１２ａは、未知の悪性ＵＲＬ検出指示を受け付けると（ステップＳ１０１肯定）、記憶部１３の接続関係記憶部１３ａに記憶された入口ＵＲＬまたはアクセス先ＵＲＬのうち、既知の悪性ＵＲＬと一致するＵＲＬが存在するか照合する（ステップＳ１０２）。
【００４６】
この結果、検出部１２ａは、既知の悪性ＵＲＬと一致するＵＲＬが存在する入口ＵＲＬとアクセス先ＵＲＬとの組を悪性なＵＲＬの組として検出する（ステップＳ１０３）。そして、検出された悪性なＵＲＬの組を監視対象ＵＲＬ記憶部１３ｃに追加する（ステップＳ１０４）。
【００４７】
その後、監視部１２ｂは、監視対象ＵＲＬ記憶部１３ｃに記憶された入口ＵＲＬに対して、クライアント３０がアクセスすることを監視する（ステップＳ１０５）。具体的には、監視部１２ｂは、悪性なＵＲＬの組の入口ＵＲＬに対して、クライアント３０がアクセスすることを監視し、悪性なＵＲＬの組の入口ＵＲＬに対して、クライアント３０がアクセスすることを検知した場合には、該アクセスを中止させる。
【００４８】
[第一の実施形態に係る監視装置による効果]
上述してきたように、第一の実施形態に係る監視装置１０では、クライアント３０がサーバ４０により提供されるサイトのＵＲＬへアクセスする際に最初にアクセスするＵＲＬである入口ＵＲＬと、該入口ＵＲＬを経由して最終的にアクセスするサイトのＵＲＬであるアクセス先ＵＲＬとの組を接続関係記憶部１３ａに記憶する。そして、監視装置１０は、接続関係記憶部１３ａに記憶された入口ＵＲＬまたはアクセス先ＵＲＬのうち、既知の悪性ＵＲＬと一致するＵＲＬが存在するか照合し、既知の悪性ＵＲＬと一致するＵＲＬが存在する入口ＵＲＬとアクセス先ＵＲＬとの組が存在する場合には、該入口ＵＲＬとアクセス先ＵＲＬとの組を悪性なＵＲＬの組として検出する。そして、監視装置１０は、検出された悪性なＵＲＬの組の入口ＵＲＬに対して、クライアント３０がアクセスすることを監視する。これにより、クライアント３０とサーバ４０との間で行われる通信から未知の悪性なＵＲＬを適切に発見することが可能となり、悪性なＵＲＬへのアクセスを適切に監視することが可能となる。
【００４９】
また、第一の実施形態に係る監視装置１０では、既知の悪性ＵＲＬを記憶する悪性ＵＲＬリスト記憶部１３ｂをさらに有し、検出した悪性なＵＲＬの組を悪性ＵＲＬリスト記憶部１３ｂに記憶させる。悪性ＵＲＬリスト記憶部１３ｂが記憶する悪性なＵＲＬが更新され、次回未知の悪性ＵＲＬを検出する処理の精度を向上させることが可能である。
【００５０】
また、実施例１によれば、検出された悪性なＵＲＬの組の入口ＵＲＬに対して、クライアント装置がアクセスすることを検知した場合には、該アクセスを中止させる。これにより、悪性なＵＲＬへのアクセスを適切に禁止することが可能となる。
【００５１】
［ハニーポット］
上記実施形態では、事前に既知の悪性ＵＲＬを記憶する場合を説明したが、この悪性ＵＲＬを収集するためにＷｅｂクライアントハニーポットの技術を利用してもよい。Ｗｅｂクライアントハニーポットは、脆弱なＷｅｂブラウザを模擬したおとりホストであり、自動的にＷｅｂサイトを検査してドライブバイダウンロードに関する攻撃情報（ドライブバイダウンロードにおける入口ＵＲＬ、攻撃ＵＲＬ、およびその関係性）を収集できる。また、既存技術であるＭａｒｉｏｎｅｔｔｅは、ハイパーリンクを自動的にクリックしてファイルをダウンロードする事が可能であるため、ダウンロードしたファイルがアンチウィルスソフト等でマルウェアと判定されるかどうかを基に、クリックダウンロードにおける入口ＵＲＬとマルウェア配布ＵＲＬおよびその関係性を収集できる。これらの情報を事前に収集しておき、入口ＵＲＬとアクセス先ＵＲＬとを照合することによって未知の悪性ＵＲＬを発見することができる。
【００５２】
［監視装置の接続関係等］
上記実施形態では、監視装置１０がゲートウェイ２０に接続されている場合を説明したが、これに限定されるものではなく、クライアント３０と接続されていてもよい。具体的には、図１０に示すように、監視装置１０は、特定のＬＡＮに配置された各クライアント装置３０Ａ〜３０Ｃにそれぞれ接続されており、各クライアント装置３０Ａ〜３０Ｃからサーバ４０との間で通信されるパケットを受信し、クライアント装置３０Ａ〜３０Ｃの通信を監視する。
【００５３】
また、上記実施形態では、通信システム１００に監視装置１０が設けられている場合を説明したが、通信システム１００内の装置が監視装置１０の機能を有するようにしてもよい。例えば、図１１に示すように、ゲートウェイ２０が監視装置１０と同様の機能を有してもよい。また、図１２に示すように、各クライアント３０Ａ〜３０Ｃそれぞれが監視装置１０と同様の機能を有するようにしてもよい。これによれば、通信システム１００に監視装置１０を新たに設けることなく、クライアント３０とサーバ４０との間で行われる通信から未知の悪性なＵＲＬを適切に発見することが可能である。
【００５４】
［システム構成］
また、上記実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００５５】
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。
【００５６】
［プログラム］
また、上記実施形態において説明した監視装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、第一の実施形態に係る監視装置１０が実行する処理をコンピュータが実行可能な言語で記述した監視プログラムを作成することもできる。この場合、コンピュータが監視プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる監視プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録され監視プログラムをコンピュータに読み込ませて実行することにより上記実施形態１と同様の処理を実現してもよい。以下に、図２に示した監視装置１０と同様の機能を実現する監視プログラムを実行するコンピュータの一例を説明する。
【００５７】
図１３は、監視プログラムを実行するコンピュータ１０００を示す図である。図１３に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【００５８】
メモリ１０１０は、図１３に例示するように、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１３に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図１３に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。シリアルポートインタフェース１０５０は、図１３に例示するように、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図１３に例示するように、例えばディスプレイ１０６１に接続される。
【００５９】
ここで、図１３に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の監視プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。
【００６０】
また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種手順を実行する。
【００６１】
なお、監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、監視プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local  Area  Network）、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００６２】
１０  監視装置
１１  通信制御部
１２  制御部
１２ａ  検出部
１２ｂ  監視部
１３  記憶部
１３ａ  接続関係記憶部
１３ｂ  悪性ＵＲＬリスト記憶部
１３ｃ  監視対象ＵＲＬ記憶部
２０  ゲートウェイ
３０Ａ〜３０Ｃ  クライアント
４０  サーバ
５０  インターネット
１００  通信システム
【図１】
0005752642.tif 000002
【図２】
0005752642.tif 000003
【図３】
0005752642.tif 000004
【図４】
0005752642.tif 000005
【図５】
0005752642.tif 000006
【図６】
0005752642.tif 000007
【図７】
0005752642.tif 000008
【図８】
0005752642.tif 000009
【図９】
0005752642.tif 000010
【図１０】
0005752642.tif 000011
【図１１】
0005752642.tif 000012
【図１２】
0005752642.tif 000013
【図１３】
0005752642.tif 000014
【図１４】
0005752642.tif 000015
【図１５】
0005752642.tif 000016
【図１６】
0005752642.tif 000017