(57)【要約】【課題】  近年、ブラウザ通信を模倣した通信により企業情報等の漏洩を図るマルウェアが増加している。マルウェアによるブラウザ模倣通信は極めて検出しにくく、マルウェアのステルス性に加えて、マルウェア模倣通信の検出困難性は非常に大きな問題となりつつある。【解決手段】  クライアント端末からの外部ネットワークアクセス要求に応じてサーバー装置は認証用プログラムをクライアント端末に送付し、サーバー装置はクライアント端末が実行した結果に応じて前記アクセス要求の許否を判断することによりマルウェアによるブラウザ模倣通信を検出する。【選択図】  図２
2013192019.tif 000002
【特許請求の範囲】
【請求項１】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、
クライアント端末はサーバー装置に外部ネットワークへのアクセス要求を行い、
該アクセス要求に応じてサーバー装置は認証用プログラムをクライアント端末に送付し、
クライアント端末は該認証用プログラムを実行して実行結果をサーバー装置に送付し、
サーバー装置は受信した実行結果の有無、受信した場合の当該実行結果に応じて前記アクセス要求の許否を判断することを特徴としたマルウェア通信検出システム。
【請求項２】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、
クライアント端末はサーバー装置に外部ネットワークへのアクセス要求を行い、
該アクセス要求に応じてサーバー装置は認証用プログラムをクライアント端末に送付し、
クライアント端末は該認証用プログラムを実行して実行結果をサーバー装置に送付し、
サーバー装置は受信した実行結果があらかじめ想定した結果と同一であればクライアント端末に対してさらに外部ネットワーク接続先情報要求信号を送付し、
クライアント端末は該外部接続先情報要求信号の応答信号に特定情報を付加してサーバー装置に送付し、
サーバー装置は該受信した外部接続先情報要求信号の応答信号に付加された特定情報に応じて前記アクセス要求の許否を判断することを特徴としたマルウェア通信検出システム。
【請求項３】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、
クライアント端末はサーバー装置に外部ネットワークへのアクセス要求を、特定情報を付加した後に行い、
サーバー装置は受信したアクセス要求信号に付加された特定情報に応じて、認証用プログラムをクライアント端末に送付し、
クライアント端末は該認証用プログラムを実行して実行結果をサーバー装置に送付し、
サーバー装置は前記受信した特定情報と前記受信した実行結果に応じて前記アクセス要求の許否を判断することを特徴としたマルウェア通信検出システム。
【請求項４】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、
前記サーバー装置はプロキシサーバーであり、クライアント端末にインストールされたブラウザアプリケーション（以下、ブラウザ）が前記プロキシサーバーを介して外部ネットワークにアクセスする際に、
ブラウザはプロキシサーバーに外部ネットワークへのアクセス要求を行い、
該アクセス要求に応じてプロキシサーバーは認証用プログラムをブラウザに送付し、
ブラウザは該認証用プログラムを実行して実行結果をプロキシサーバーに送付し、
プロキシサーバーは受信した実行結果があらかじめ想定した結果と同一であれば、ブラウザに認証済み情報を付加したリダイレクトページを送信し、
ブラウザはプロキシサーバーに対して、該リダイレクトページ上で第三者のＷｅｂサーバー（以下、Ｗｅｂサーバー）への接続リクエストを行い、
プロキシサーバーは該接続リクエストに付加された認証済み情報を確認後Ｗｅｂサーバーからの情報をブラウザに転送することによりマルウェア通信を防止する通信システム。
【請求項５】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、
前記サーバー装置はプロキシサーバーであり、クライアント端末にインストールされたブラウザが前記プロキシサーバーを介して外部ネットワークにアクセスする際に、
ブラウザはプロキシサーバーに外部ネットワークへのアクセス要求を行い、
該アクセス要求に応じてプロキシサーバーは認証用プログラムをブラウザに送付し、
ブラウザは該認証用プログラムを実行して実行結果をプロキシサーバーに送付し、
プロキシサーバーは受信した実行結果があらかじめ想定した結果と同一であればブラウザに対してさらにＷｅｂサーバーへの接続リクエスト送信要求を行い、
ブラウザは接続リクエスト送信要求の応答信号に特定情報を付加してプロキシサーバーに送付し、
プロキシサーバーは該受信した接続リクエストの応答信号に付加された特定情報に応じて前記アクセス要求の許否を判断することを特徴としたマルウェア通信を防止する通信システム。
【請求項６】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、
前記サーバー装置はプロキシサーバーであり、クライアント端末にインストールされたブラウザが前記プロキシサーバーを介して外部ネットワークにアクセスする際に、
ブラウザはプロキシサーバーに外部ネットワークへのアクセス要求を、特定情報を付加した後に行い、
プロキシサーバーは受信したアクセス要求信号に付加された特定情報に応じて、認証用プログラムをブラウザに送付し、
ブラウザは該認証用プログラムを実行して実行結果をプロキシサーバーに送付し、
プロキシサーバーは前記受信した特定情報と前記受信した実行結果に応じて前記アクセス要求の許否を判断することを特徴としたマルウェア通信を防止する通信システム。
【請求項７】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、
サーバー装置用プログラムはクライアント端末から外部ネットワークへのアクセス要求を受信した後、
認証用プログラムをクライアント端末に送付し、
クライアント端末から受信した該認証用プログラム実行結果に応じて前記アクセス要求の許否を判断することを特徴としたマルウェア通信検出システム用プログラム。
【請求項８】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、
サーバー装置用プログラムはクライアント端末から外部ネットワークへのアクセス要求を受信した後、
認証用プログラムをクライアント端末に送付し、
クライアント端末から受信した該認証用プログラム実行結果があらかじめ想定した結果と同一で有れば、クライアント端末に対してさらに外部ネットワーク接続先情報要求信号を送付し、
クライアント端末からの該外部接続先情報要求信号の応答信号に付加された特定情報に応じて前記アクセス要求の許否を判断することを特徴としたマルウェア通信検出システム用プログラム。
【請求項９】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、
サーバー装置用プログラムはクライアント端末から外部ネットワークへのアクセス要求を受信した後、
アクセス要求信号に付加された特定情報を抽出し、
該特定情報に応じて認証用プログラムをクライアント端末に送付し、
クライアント端末から受信した該認証用プログラム実行結果の受信の有無、受信した当該実行結果と前記特定情報に応じて前記アクセス要求の許否を判断することを特徴としたマルウェア通信検出システム用プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ブラウザにより行われるインターネットを介した通信を模倣して秘密情報等を漏洩させるマルウェアによる通信を検出するシステムに関する。
【先行技術文献】
【特許文献】
【０００２】
【特許文献１】特開２００７−２１９７８６
【特許文献２】特開２０１０−１９８０５４
【非特許文献】
【０００３】
【非特許文献１】インターネットＵＲＬ  ｈｔｔｐ：／／ｗｗｗ．ｉｐａ．ｇｏ．ｊｐ／ｓｅｃｕｒｉｔｙ／ｖｕｌｎ／ｄｏｃｕｍｅｎｔｓ／ｎｅｗａｔｔａｃｋ．ｐｄｆ  ２０１２年２月１３日検索
【非特許文献２】インターネットＵＲＬ  ｈｔｔｐ：／／ｗｗｗ．ｉｐａ．ｇｏ．ｊｐ／ｓｅｃｕｒｉｔｙ／ｖｕｌｎ／ｄｏｃｕｍｅｎｔｓ／ｍａｔｅｒｉａｌ０２．ｐｄｆ  ２０１２年２月１３日検索
【発明の概要】
【発明が解決しようとする課題】
【０００４】
近年、コンピュータウイルス等のマルウェアによる企業組織等からの情報漏洩が増加している。インターネット普及初期においては、コンピュータウイルスは開発者の技術力を誇示するための悪戯を目的として感染させるものが殆どであったが、最近は、企業情報・個人情報等を営利目的あるいは加害目的のために意図的に侵入させるという例が目立ってきている。非特許文献１では現実に被害があった実例を元に、マルウェアへの対処について取り組みの方向性について検討している。
【０００５】
特許文献１は、マルウェアが外部から侵入することを前提として、アプリケーションがアクセスできる仮想領域を限定することで外部への漏洩を防止する手段を提案している。また、特許文献２では、マルウェアの侵入を防止するために、ユーザＰＣが検出した被疑マルウェアを、データベースを保有した外部サーバーとマルウェア解析システムに送付して検証し、マルウェアの侵入を防ぐ方法を提案している。
【０００６】
しかし、特許文献２で述べられているように、近年はマルウェアの自己変貌化等の巧妙なステルス化技術によりマルウェアの検出が極めて難しくなってきており、悪意開発者と防御側のイタチごっこ的な状況を来している。そのため、悪意者であるマルウェア開発側は被害者側の対策を精緻に検証することで技術的な不備を突きながらマルウェアの侵入を画策している。また、被侵入者側で技術的に高度な防衛対策が奏功したとしても、メール偽装等によりオペレータの不注意を引き出してマルウェアを侵入させること等があり得るため、マルウェアの侵入を完全には防止できないという状況である。
【０００７】
さらに近年、ブラウザ通信を模倣した通信により企業情報等の漏洩を図るマルウェアが増加している。ブラウザ通信によるＷＥＢアクセスを主体としたインターネットアクセスにおいては、マルウェアによるブラウザ模倣通信は極めて検出しにくく、マルウェアのステルス性に加えて、マルウェア模倣通信の検出困難性は非常に大きな問題となりつつある。
【０００８】
そのような状況を考慮すると、特許文献２による対策はかなりの効果を上げ得るが完璧な対策とはなり得ない一方、特許文献１による対策はマルウェアの侵入を想定して対策を行っているが、防御システムを構築した後に悪意者によりその対策への対応策がさらに講じられる可能性があり、同様に完璧な対策とはなり得ない。また、特許文献１による対策は、マルウェア模倣通信への対応はできていない。
【０００９】
現在検討されている既知のマルウェア模倣通信防御策について、図１、図５及び図６により説明する。図１に検討対象となる機器及びネットワーク構成を示す。クライアントはクライアントＰＣ０３〜０５により構内ＬＡＮ０２及びプロキシサーバー０１を経由してインターネット０６に接続されている外部Ｗｅｂサーバー０７〜０９にアクセスする。プロキシサーバー０１はクライアントＰＣからのアクセス要求が正規のクライアントからの要求か否かを判別してＷｅｂサーバーに代理で接続する。
【００１０】
図１のシステムにおいて、マルウェアはクライアントＰＣ０３〜０５の何れか又は全てに侵入して常駐して、マルウェア自らあるいは外部からの指令によりプロキシサーバーに外部接続要求を送信する。該外部接続要求がブラウザ模倣通信である場合には、当該要求がマルウェアによる要求か、或いは正規のクライアントによる要求かの判別は極めて難しい。
【００１１】
図５は、現在のマルウェアはリダイレクト要求に対応する機能を有しないという性質を利用してマルウェアによるブラウザ模倣通信を検出する方法を示している。図５において、クライアントＰＣブラウザの処理（１０）は図面左側に表し、プロキシサーバーの処理（１１）は図面中央、外部Ｗｅｂサーバーの処理（１２）は図面右側に表している。
【００１２】
ユーザはクライアントＰＣから外部Ｗｅｂサーバーへのアクセス要求をプロキシサーバーに送信する（Ｓ４０１）。プロキシサーバーでは、リダイレクト先要求を生成して（Ｓ４０２）アクセス要求したクライアントＰＣに送信する（Ｓ４０３）。クライアントＰＣはリダイレクトを行い（Ｓ４０４）、プロキシサーバーに送信する。プロキシサーバーはリダイレクト結果を検証し（Ｓ４０５）、リダイレクト要求の応答が無い場合あるいはリダイレクトによる信号が期待値とは異なる場合には、アクセス要求はマルウェアによる要求と判断する（Ｓ４０９）。マルウェアでないと判断した場合は、外部Ｗｅｂに接続して情報の送受信を行う（Ｓ４０６〜Ｓ４０８）。
【００１３】
リダイレクトによる検出は現状のマルウェアでは効果があるものと思われるが、将来的に、マルウェアがこれに対応できるようになれば前記方法ではマルウェアの検出は行うことができなくなる。
【００１４】
図６に、ブラウザ通信のヘッダ情報を検証することでマルウェアによるブラウザ通信を検出する方法を示す。プロキシサーバーがクライアントＰＣから外部Ｗｅｂアクセス要求を受信すると、プロキシサーバーはブラウザ通信のヘッダ部の情報を検証する（Ｓ５０２）。既存の一般的なマルウェアは、ヘッダ情報を持たないか、単純な固定のヘッダ情報を使用している。そのため、ブラウザが限定されるので有れば、ブラウザ固有のヘッダ情報の値を検証することで、正規の通信か否かの判定が可能である。これによりマルウェアと判断されない場合のみ外部Ｗｅｂとの通信を行う（Ｓ５０３〜Ｓ５０５）。
【００１５】
マルウェアが正規のブラウザ通信のヘッダ情報をコピー等することで自らの通信に窃取した情報を埋め込むことができるようになった場合には、上記方法は効果がなくなる。
【００１６】
本発明は、リダイレクト要求に対応可能で、ヘッダ情報を窃取して正規のブラウザ通信を模倣するような高度なマルウェアがクライアントＰＣに常駐し、プロキシサーバー経由で悪意者サイトにアクセスしようとしても、当該通信を検出し、情報漏洩を防止することを目的とする。
【課題を解決するための手段】
【００１７】
以下の方法で上記の課題を解決する。
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、クライアント端末はサーバー装置に外部ネットワークへのアクセス要求を行い、該アクセス要求に応じてサーバー装置は認証用プログラムをクライアント端末に送付し、クライアント端末は該認証用プログラムを実行して実行結果をサーバー装置に送付し、サーバー装置は受信した実行結果に応じて前記アクセス要求の許否を判断することによりマルウェアによるブラウザ模倣通信を検出する。
【００１８】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、クライアント端末はサーバー装置に外部ネットワークへのアクセス要求を行い、該アクセス要求に応じてサーバー装置は認証用プログラムをクライアント端末に送付し、クライアント端末は該認証用プログラムを実行して実行結果をサーバー装置に送付し、サーバー装置は受信した実行結果があらかじめ想定した結果と同一であればクライアント端末に対してさらに外部ネットワーク接続先情報要求信号を送付し、クライアント端末は該外部接続先情報要求信号の応答信号に特定情報を付加してサーバー装置に送付し、サーバー装置は該受信した外部接続先情報要求信号の応答信号に付加された特定情報に応じて前記アクセス要求の許否を判断することによりマルウェアによるブラウザ模倣通信を検出する。
【００１９】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、クライアント端末はサーバー装置に外部ネットワークへのアクセス要求を、特定情報を付加した後に行い、サーバー装置は受信したアクセス要求信号に付加された特定情報に応じて、認証用プログラムをクライアント端末に送付し、クライアント端末は該認証用プログラムを実行して実行結果をサーバー装置に送付し、サーバー装置は前記受信した特定情報と前記受信した実行結果に応じて前記アクセス要求の許否を判断することによりマルウェアによるブラウザ模倣通信を検出する。
【００２０】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、前記サーバー装置はプロキシサーバーであり、クライアント端末にインストールされたブラウザアプリケーション（以下、ブラウザ）が前記プロキシサーバーを介して外部ネットワークにアクセスする際に、ブラウザはプロキシサーバーに外部ネットワークへのアクセス要求を行い、該アクセス要求に応じてプロキシサーバーは認証用プログラムをブラウザに送付し、ブラウザは該認証用プログラムを実行して実行結果をプロキシサーバーに送付し、プロキシサーバーは受信した実行結果があらかじめ想定した結果と同一であれば、ブラウザに認証済み情報を付加したリダイレクトページを送信し、ブラウザはプロキシサーバーに対して、該リダイレクトページ上で第三者のＷｅｂサーバー（以下、Ｗｅｂサーバー）への接続リクエストを行い、プロキシサーバーは該接続リクエストに付加された認証済み情報を確認後Ｗｅｂサーバーからの情報をブラウザに転送することによりマルウェアによるブラウザ模倣通信を検出する。
【００２１】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、前記サーバー装置はプロキシサーバーであり、クライアント端末にインストールされたブラウザが前記プロキシサーバーを介して外部ネットワークにアクセスする際に、ブラウザはプロキシサーバーに外部ネットワークへのアクセス要求を行い、該アクセス要求に応じてプロキシサーバーは認証用プログラムをブラウザに送付し、ブラウザは該認証用プログラムを実行して実行結果をプロキシサーバーに送付し、プロキシサーバーは受信した実行結果があらかじめ想定した結果と同一であればブラウザに対してさらにＷｅｂサーバーへの接続リクエスト送信要求を行い、ブラウザは接続リクエスト送信要求の応答信号に特定情報を付加してプロキシサーバーに送付し、プロキシサーバーは該受信した接続リクエストの応答信号に付加された特定情報に応じて前記アクセス要求の許否を判断することによりマルウェアによるブラウザ模倣通信を検出する。
【００２２】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、前記サーバー装置はプロキシサーバーであり、クライアント端末にインストールされたブラウザが前記プロキシサーバーを介して外部ネットワークにアクセスする際に、ブラウザはプロキシサーバーに外部ネットワークへのアクセス要求を、特定情報を付加した後に行い、プロキシサーバーは受信したアクセス要求信号に付加された特定情報に応じて、認証用プログラムをブラウザに送付し、ブラウザは該認証用プログラムを実行して実行結果をプロキシサーバーに送付し、プロキシサーバーは前記受信した特定情報と前記受信した実行結果に応じて前記アクセス要求の許否を判断することによりマルウェアによるブラウザ模倣通信を検出する。
【００２３】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、サーバー装置用プログラムはクライアント端末から外部ネットワークへのアクセス要求を受信した後、認証用プログラムをクライアント端末に送付し、クライアント端末から受信した該認証用プログラム実行結果に応じて前記アクセス要求の許否を判断するプログラムによりマルウェアによるブラウザ模倣通信を検出する。
【００２４】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、サーバー装置用プログラムはクライアント端末から外部ネットワークへのアクセス要求を受信した後、認証用プログラムをクライアント端末に送付し、クライアント端末から受信した該認証用プログラム実行結果があらかじめ想定した結果と同一で有れば、クライアント端末に対してさらに外部ネットワーク接続先情報要求信号を送付し、クライアント端末からの該外部接続先情報要求信号の応答信号に付加された特定情報に応じて前記アクセス要求の許否を判断するプログラムによりマルウェアによるブラウザ模倣通信を検出する。
【００２５】
外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、サーバー装置用プログラムはクライアント端末から外部ネットワークへのアクセス要求を受信した後、アクセス要求信号に付加された特定情報を抽出し、該特定情報に応じて認証用プログラムをクライアント端末に送付し、クライアント端末から受信した該認証用プログラム実行結果と前記特定情報に応じて前記アクセス要求の許否を判断するプログラムによりマルウェアによるブラウザ模倣通信を検出する。
【発明の効果】
【００２６】
本発明により、ブラウザ通信を模倣するマルウェアのクライアント端末への侵入があった場合でも当該通信を検出し、企業情報等の窃取を防止することができる。
【図面の簡単な説明】
【００２７】
【図１】本発明の対象となる機器及びネットワーク構成を示す図である。
【図２】本発明の第一の実施例を示す図である。
【図３】本発明の第二の実施例を示す図である。
【図４】本発明の第三の実施例を示す図である。
【図５】リダイレクトによりマルウェアによるブラウザ模倣通信を検出する従来例である。
【図６】ヘッダ情報を検証することでマルウェアによるブラウザ模倣通信を検出する従来例である。
【図７】本発明の関連発明を示す図である。
【発明を実施するための形態】
【００２８】
図２に、本発明による第一の実施例を示す。図２において、クライアントＰＣブラウザの処理（１０）は図面左側に表し、プロキシサーバーの処理（１１）は図面中央、外部Ｗｅｂサーバーの処理（１２）は図面右側に表している。１３はインターネットを、１４はクライアントＰＣのブラウザが必要に応じて呼び出す、あらかじめ登録されたプログラムを示している。
【００２９】
クライアントＰＣブラウザはプロキシサーバーに外部Ｗｅｂアクセス要求を送信する（Ｓ０１）。プロキシサーバーは、クライアントＰＣブラウザがあらかじめ認証されているかを検証する（Ｓ０２）。認証されている場合には、以下の認証プロセスは行わず、外部Ｗｅｂとの通信を開始する（Ｓ１２以降）。認証されていない場合は、以下の処理を行う。
【００３０】
プロキシサーバーはクライアントＰＣブラウザに実行させるプログラムを生成する（Ｓ０３）。生成プログラムが行う処理は結果が一意に定まる処理で有ればどのような処理でも良い。例えば、算術演算処理（１＋１＝等）、情報の並べ替え（ＡＢＣ→ＣＢＡ等）、クライアント情報の取得（ブラウザのバージョン情報等）等がある。また、当該生成プログラムがクライアントＰＣにあらかじめ登録しておいたプログラム（１４）を呼び出すことで、さらにセキュリティーを高めることができる。例えば、生成プログラムをＪａｖａＳｃｒｉｐｔ（登録商標）とし、登録プログラムをＪａｖａ（登録商標）アプレットとすることで、登録済みプログラムの存在又はアロケートされたアドレスをマルウェアから隠蔽することができる。
【００３１】
プロキシサーバーは生成したプログラムをクライアントＰＣブラウザに送信し（Ｓ０４）、クライアントＰＣブラウザは当該プログラムを実行する。必要に応じて当該プログラムは登録済みプログラムを呼び出して実行し（Ｓ０５）、演算結果をプロキシサーバーに送信する（Ｓ０６）。プロキシサーバーは受信した演算結果を期待値と比較し（Ｓ０７）、期待値と異なる場合にはクライアントから送信されたリクエスト（Ｓ０１）がマルウェアからのリクエストであるものと判断する（Ｓ１５）。
【００３２】
本発明においては、クライアントから送信されたリクエスト（Ｓ０１）がマルウェアからの要求であるか否かの判断は前記した処理で完了する。図２においては、さらにセキュリティーを確保するために、以下の処理を行う。受信した演算結果が期待値と同一であれば、認証済みであるという情報（認証クッキー）を付加（Ｓ０８）してリダイレクト要求をクライアントＰＣに送信する（Ｓ０９）。マルウェアはリダイレクトの応答を返すことができない場合が多いため、プロキシサーバーがリダイレクトの応答を受信しない場合には認証不可（Ｓ１１）としてマルウェアであるものと判断する（Ｓ１５）。さらに、リダイレクト要求の応答信号に認証済み情報が無い場合にも認証不可（Ｓ１１）としてマルウェアであるものと判断する（Ｓ１５）。
【００３３】
プロキシサーバーが認証した場合（Ｓ１１）にはインターネット１３を介してＷｅｂサーバーにアクセスし、応答信号をクライアントＰＣブラウザに送信する（Ｓ１２〜Ｓ１４）。
【００３４】
図３により本発明による第二の実施例について説明する。
図中、１０〜１３、Ｓ０１〜Ｓ０９は図２及び前記説明と同様である。クライアントＰＣブラウザがプロキシサーバーによるリダイレクト要求（Ｓ０９）を受信した後、クライアントＰＣブラウザはあらかじめ設定された独自ヘッダ情報を付加（Ｓ１６）して再度アクセスリクエストを送信する（Ｓ１７）。独自ヘッダ情報は、例えば、Ｕｓｅｒ−Ａｇｅｎｔの情報として定義されるがそれに限らない。
【００３５】
プロキシサーバーは前記リクエストを待っているが、該リクエストが受信できない場合には認証不可としてクライアントＰＣからのリクエストはマルウェアによるものであると判断する（Ｓ１１、Ｓ１５）。プロキシサーバーが前記リクエストを受信し、認証情報が付加されている場合には、その内容によりマルウェアか否かを判断する（Ｓ１１、Ｓ１５）。マルウェアでないものと判断した場合には、さらに付加された独自ヘッダを検証し、期待値でない場合はマルウェアによるリクエストと判断する（Ｓ１８、Ｓ１５）。
【００３６】
プロキシサーバーがＳ１１、Ｓ１８によりマルウェアでないものと判断した場合には、外部Ｗｅｂサーバーにアクセスし、クライアントＰＣブラウザに情報を転送する（Ｓ１２〜Ｓ１４）。
【００３７】
図４により本発明による第三の実施例について説明する。
図中、１０〜１３、Ｓ０１〜Ｓ１５、Ｓ１７は図３と同様である。図４において、クライアントＰＣブラウザはプロキシサーバーに外部Ｗｅｂアクセス要求を送信する（Ｓ０１）前に独自ヘッダ情報を付加する（Ｓ４０１）。プロキシサーバーは外部Ｗｅｂアクセス要求を受信すると、付加された独自ヘッダ情報を抽出し内容を検証する（Ｓ４０２）。検証は、例えば、事前に取り決めた値と同一か否か、或いは、クライアント情報から一意に導出された値と同一か否か等の方法があるがそれに限られない。
【００３８】
プロキシサーバーは、前記検証によりマルウェアによるものでないと判断した場合、次に、クライアントＰＣブラウザがあらかじめ認証されているかを検証する（Ｓ０２）。以下、Ｓ０３〜Ｓ１０の処理は図３と同様である。クライアントＰＣブラウザはリダイレクト（Ｓ１０）を行った後、外部Ｗｅｂサーバーアクセス要求を行い（Ｓ１７）プロキシサーバーは当該要求を受信後、認証情報が付加されているか否かの判定を行い（Ｓ１１）、付加されていれば認証済みとして外部Ｗｅｂサーバー、クライアントＰＣブラウザ間で情報の授受を行う（Ｓ１２〜Ｓ１４）。
【００３９】
次に、本発明の関連発明について図７により説明する。
図７の実施例は、ブラウザがプロキシサーバーに対して接続リクエストを送付する際に、ヘッダに特定情報を付加して送付し、プロキシサーバーは該特定情報に応じて接続リクエストの許否を判断することを特徴とする通信システムである。
【００４０】
図７の実施例は、外部ネットワークに接続されたサーバー装置と外部から独立したネットワークにより該サーバー装置と接続されたクライアント端末から構成されるシステムにおいて、クライアント端末はサーバー装置に対する外部ネットワークへのアクセス要求のヘッダ部に特定情報を付加し（Ｓ７０１）、プロキシサーバーは該特定情報に応じて接続リクエストの許否を判断する（Ｓ７０３）ことを特徴とする通信システムである。これにより、サーバー装置は認証を行うことなくマルウェアによるブラウザ模倣通信を検知することが可能となる。
【符号の説明】
【００４１】
０１  プロキシサーバー
０２  ローカルネットワーク
０３  クライアントＰＣ
０４  クライアントＰＣ
０５  クライアントＰＣ
０６  インターネット
０７  Ｗｅｂサーバー
０８  Ｗｅｂサーバー
０９  Ｗｅｂサーバー
１０  クライアントＰＣブラウザの処理
１１  プロキシサーバーの処理
１２  外部Ｗｅｂサーバーの処理
１３  インターネット
【図１】
2013192019.tif 000003
【図２】
2013192019.tif 000004
【図３】
2013192019.tif 000005
【図４】
2013192019.tif 000006
【図５】
2013192019.tif 000007
【図６】
2013192019.tif 000008
【図７】
2013192019.tif 000009