(57)【要約】      （修正有）【課題】不規則な不特定の時期のウェッブページ変造及び惡性コード流布に対して、效果的な対応が可能な惡性コード遮断システムを提供する。【解決手段】ウェッブサイトを繰り返し接続して惡性行為が発見されたサイトのＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）住所と惡性コード流布に活用されたサーバーのＵＲＬとを提供する変造サイト探知装置と、惡性ＵＲＬが保存された惡性ＵＲＬリストの変更状態の可否を示す状態フラッグ（Ｆｌａｇ）値を保存する臨時惡性ＵＲＬ保存所を有し、ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）クォリ要請が発生する場合に、前記臨時惡性ＵＲＬ保存所の状態フラッグの変更可否を確認し、前記状態フラッグが変更されたら、前記臨時惡性ＵＲＬ保存所に保存された情報によって前記使用者端末機の惡性ＵＲＬが保存されたリストである惡性ＵＲＬリストを更新するＵＲＬフィルター装置と、を含む。【選択図】図１
2013242869.tif 000002
【特許請求の範囲】
【請求項１】
モニタリング対象になるウェッブサイトを繰り返し的に接続して惡性コードを含む惡性行為の発生可否を探知し、前記惡性行為が発見されたサイトの探知ログをデータベースに保存し、前記惡性行為が発見されたサイトのＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）住所と惡性コード流布に活用されたサーバーのＵＲＬとを提供する変造サイト探知装置と、
前記変造サイト探知装置から提供された前記惡性行為が発見されたサイトのＵＲＬ住所と、惡性コード流布に活用されたサーバーのＵＲＬとを臨時に保存し、惡性ＵＲＬが保存された惡性ＵＲＬリストの変更状態の可否を示す状態フラッグ（Ｆｌａｇ）値を保存する臨時惡性ＵＲＬ保存所と、
使用者が使う端末機である使用者端末機内に設置され、前記使用者端末機で送受信されるネットワークパッケージを監視し、特定ウェッブサイトを利用するためのＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）クォリ要請が発生する場合に、前記臨時惡性ＵＲＬ保存所の状態フラッグの変更可否を確認し、前記状態フラッグが変更されたら、前記臨時惡性ＵＲＬ保存所に保存された情報によって前記使用者端末機の惡性ＵＲＬが保存されたリストである惡性ＵＲＬリストを更新するＵＲＬフィルター装置と、
を含む惡性コード遮断システムにおいて、
前記変造サイト探知装置は、既存の惡性ＵＲＬリストと前記惡性行為が発見されたサイトのＵＲＬとを比べて、前記惡性行為が発見されたサイトのＵＲＬが前記既存の惡性ＵＲＬリストにない新しいＵＲＬなら、これによって前記惡性行為が発見されたサイトのＵＲＬを前記臨時惡性ＵＲＬ保存所に送る時に、前記状態フラッグ値を変更することを特徴にする惡性コード遮断システム。
【請求項２】
前記変造サイト探知装置は、特定サイトで一定の時間の間、惡性行為が繰り返し的に発見されれば、最後の探知時点から決まった時間ほど前記臨時惡性ＵＲＬ保存所に前記惡性行為が発見されたサイトのＵＲＬが保存されるようにすることを特徴にする請求項１記載の惡性コード遮断システム。
【請求項３】
前記惡性行為は、スェルコド動作を含むことを特徴にする請求項１記載の惡性コード遮断システム。
【請求項４】
前記ＵＲＬフィルター装置は、ＨＴＴＰ（ｈｙｐｅｒｔｅｘｔ  ｔｒａｎｓｆｅｒ  ｐｒｏｔｏｃｏｌ）クォリ要請パッケージを対象としてＵＲＬピルトリングを行うことを特徴にする請求項１記載の惡性コード遮断システム。
【請求項５】
前記モニタリング対象になるウェッブサイトは、接続者が多い順に、あらかじめ決まることを特徴にする請求項１記載の惡性コード遮断システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネットなどの有無線通信時に惡性コードを遮断する技術に関する。
【背景技術】
【０００２】
最近、超高速インターネット環境が構築されながら、プログラムや電子メール（ｅ−ｍａｉｌ）などを通じて流布される惡性コードによる被害が急増している。
【０００３】
普通、惡性コードは、コンピューターの速度を低下させることができるし、ウェッブブラウザーの初期ページを不健全サイトに固定することができるし、使用者のコンピューターをスパムメール発送サーバーに使うとか、ＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ  Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ  Ａｔｔａｃｋ）攻撃の拠点ＰＣとして使うことができるし、使用者の個人情報を流出させることができる。
【０００４】
惡性コードが使用者のコンピューターに設置されてが及ぶ方式は、ＡｃｔｉｖｅＸ、  Ｊａｖａ  Ａｐｐｌｅｔ、  Ｊａｖａ  ＷｅｂＳｔａｒｔ、  ．ＮＥＴＣｌｉｃｋＯｎｃｅ、  Ｆｌａｓｈ、  ＵＣＣなど、多様に存在するが、すべてＨＴＴＰ（ｈｙｐｅｒｔｅｘｔ  ｔｒａｎｓｆｅｒ  ｐｒｏｔｏｃｏｌ）プロトコルを利用してウェッブサーバーから原本ファイルを受けるという点は等しい。
【０００５】
最近には、このような惡性コードの流布を防止するために、多様な防御技術に対する研究が進行されている。
【０００６】
その中、既存のウェッブ防火壁または防火壁は、前もって知られたＩＰ（ＢｌａｃｋＵＲＬＬｉｓｔ）や惡性パターンを使用者装置に保存し、これを基に惡性コードを遮断する方式である。
【０００７】
このように、前もって規則及び政策を作って使用者装置に保存する方式は、ネットワーク端で分散サービス攻撃やワームウイルス（ｗｏｒｍ  ｖｉｒｕｓ）の攻撃に対応することはできるが、ウェッブページを通じる惡性コード感染を阻むごとには、限界がある。例えば、ブラウザーを使ってポータルやニュースサイトに接続する時に、広告サーバーが変調されるとか、内部的な弱みによってページが変調されたら、自分も分からなく惡性コード流布サーバーに接続する結果になる。
【０００８】
こんなウェッブ流布方式の特徴を見れば、下記の特徴がある。
【０００９】
先ず、攻撃者は前もってＡｎｔｉ−Ｖｉｒｕｓ業社に対して自分が流布に使うウェッブページと惡性コードとを探知するのか可否を確認する。第二に、一度流布を始めれば、探知・流布サーバーの遮断に備えて、特定しない時点で流布サーバーを変更する。そして、第三に、インターネット利用時間が一番活発な時間に、使用者が多いサイトを中心として変造を試みて、短時間内に大量の感染が行われるようにする誘導する。このように、攻撃者はウェッブ変造攻撃以後のＡｎｔｉ−Ｖｉｒｕｓ業社などがパターンを分析してアップデートするまでの時間的空白を狙うから、既存の使用者装置の保存方式は、ウェッブサイトを通じる惡性コード流布を防御するにおいて效果的ではない。
【発明の概要】
【発明が解決しようとする課題】
【００１０】
本発明は、前記のような問題点を解決するために案出されたこととし、ポータル、ニュース、コミュニティなどの接続者が多いウェッブサイトをリスト（Ｌｉｓｔ）化した後、該当ウェッブサイトを繰り返し的に確認して判断し、変調されたウェッブページと流布サーバー探知時、その情報を使用者に即刻提供し、これをシステム化することにより、不規則な不特定の時期のウェッブページ変造及び惡性コード流布に対して、效果的な対応が可能な惡性コード遮断システムを提供することに、その目的がある。
【００１１】
本発明の目的は、以上で言及した目的に制限されないし、言及されなかった他の目的も、下記の記載から当業者に明確に理解されることができるものである。
【課題を解決するための手段】
【００１２】
このような目的を果たすための本発明の惡性コード遮断システムは、モニタリング対象になるウェッブサイトたちを繰り返し的に接続して惡性コードを含む惡性行為発生可否を探知し、前記惡性行為が発見されたサイトの探知ログをデータベースに保存し、前記惡性行為が発見されたサイトのＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）住所と惡性コード流布に活用されたサーバーのＵＲＬとを提供する変造サイト探知装置、前記変造サイト探知装置から提供された前記惡性行為が発見されたサイトのＵＲＬ住所と、惡性コード流布に活用されたサーバーのＵＲＬとを臨時に保存し、惡性ＵＲＬが保存された惡性ＵＲＬリストの変更状態可否を示す状態フラッグ（Ｆｌａｇ）値を保存する臨時惡性ＵＲＬ保存所及び使用者が使う端末機である使用者端末機内に設置され、前記使用者端末機から送受信されるネットワークパッケージを監視し、特定ウェッブサイトを利用するためのＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）クォリ要請が発生する場合、前記臨時惡性ＵＲＬ保存所の状態フラッグの変更可否を確認し、前記状態フラッグが変更されたら、前記臨時惡性ＵＲＬ保存所に保存された情報によって前記使用者端末機の惡性ＵＲＬが保存されたリストである惡性ＵＲＬリストを更新するＵＲＬフィルター装置を含むが、前記変造サイト探知装置は、既存の惡性ＵＲＬリストと前記惡性行為が発見されたサイトのＵＲＬとを比べて、前記惡性行為が発見されたサイトのＵＲＬが前記既存の惡性ＵＲＬリストにない新しいＵＲＬなら、これによって前記惡性行為が発見されたサイトのＵＲＬを前記臨時惡性ＵＲＬ保存所に送る時に、前記状態フラッグ値打ちを変更する。
【００１３】
前記変造サイト探知装置は、特定サイトで一定時間の間、惡性行為が繰り返し的に発見されれば、最後の探知時点から決まった時間ほど前記臨時惡性ＵＲＬ保存所に前記惡性行為が発見されたサイトのＵＲＬが保存されるようにできる。
【００１４】
前記惡性行為は、スェルコド動作を含むことができる。
【００１５】
前記ＵＲＬフィルター装置は、ＨＴＴＰ（ｈｙｐｅｒｔｅｘｔ  ｔｒａｎｓｆｅｒ  ｐｒｏｔｏｃｏｌ）クォリ要請パッケージを対象としてＵＲＬピルトリングを行することができる。
【００１６】
前記モニタリング対象になるウェッブサイトは、接続者が多い順にあらかじめ決まることが好ましい。
【発明の効果】
【００１７】
既存にない新しい規則を作って不特定した時間にサイトを変調して惡性コードを流布する方式に対して、惡性データを保存し、それを基に遮断を行する従来方法では、即刻な対応ができないが、本発明によれば、サーバーで探知装置を通じて分単位に変造可否を判断し、使用者端末機に直ちに惡性ＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）情報を提供することにより、惡性コード探知までの時間的な空白を最小化して效果的に惡性行為を遮断することができるという效果がある。
【００１８】
また、本発明で使用者端末機に設置されるＵＲＬフィルター装置は、多くのデータを持っている必要がなくて、軽く動作し、ＵＲＬだけ比べるから既存の他の遮断プログラムとは違い、パターンマッチングなどの作業を行わないから、早いウェッブサーフィンが可能だという效果がある。
【００１９】
また、本発明で臨時保存所の惡性ＵＲＬリストは、累積するデータではないから、使用者を通じる流布サーバー解除・登録のような人的リソース無駄使いと、サイト管理のための別途の費用とが必要とならないという長所がある。
【図面の簡単な説明】
【００２０】
【図１】本発明の一つの実施形態による惡性コード遮断システムを示す概念図である。
【図２】本発明の一つの実施形態による惡性コード遮断システムでの惡性コード遮断方法を示すフローチャートである。
【発明を実施するための形態】
【００２１】
以下、本発明の好適な実施形態について、図面を参照しながら詳しく説明する。まず、各図面の構成要素に参照符号を付け加えるにおいて、同一構成要素に限っては、たとえ他の図面上に表示されても、できるだけ同一符号を持つようにしている事に留意しなければならない。そして、本発明を説明するにおいて、係わる公知機能あるいは構成に対する具体的な説明が、本発明の要旨を不必要に不明瞭にさせることができると判断される場合、その詳細な説明を略する。また、明細書全般にわたって、どんな部分が、どんな構成要素を「含み」とする時、これは、特別に反対の記載がない限り、他の構成要素を除くのではなく、他の構成要素をもっと含むことができるということを意味する。
【００２２】
図１は、本発明の一つの実施形態による惡性コード遮断システムを示す概念図である。
【００２３】
図１を参照すれば、本発明の惡性コード遮断システムは、変造サイト探知装置１００、臨時惡性ＵＲＬ保存所２００、及びＵＲＬフィルター装置３００を含んでいる。本発明で、変造サイト探知装置１００と、使用者端末機（１０）のＵＲＬフィルター装置３００とは有無線通信網４００を通じてネットワーキングし、有無線通信網はインターネットを含む各種有線及び無線通信網を含む。
【００２４】
変造サイト探知装置１００は、仮想化されたシステムを基に、モニタリング対象になるウェッブサイトたちを繰り返し的に接続してスェルコド動作、正常ファイル変造などの惡性行為を探知する。この場合、モニタリング対象になるウェッブサイトたちは、接続者が多い順にあらかじめ決まることができる。
【００２５】
本発明で、変造サイト探知装置１００は、惡性行為が探知されたサイトの場合、該当のサイトの探知ログをデータベースに保存し、これと同時に惡性行為が探知されたサイトのＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）と惡性コード流布に活用されるサーバーＵＲＬを臨時惡性ＵＲＬ保存所２００に送る。
【００２６】
本発明の一つの実施形態において、特定サイトで惡性行為がＨ時間の間、繰り返して探知されたら、最後の探知時点から＋ａ時間ほど臨時惡性ＵＲＬ保存所２００に惡性ＵＲＬが保存されてから消滅することができる。本発明の一つの実施形態において、＋ａ時間を置く理由は、変造サイト探知装置１００が一定の週期ごとに探知・判断を行なうから、繰り返して確認する時までの時間の間、臨時惡性ＵＲＬ保存所２００に惡性ＵＲＬが消滅することを防止するためのことである。
【００２７】
臨時惡性ＵＲＬ保存所２００は、惡性ＵＲＬリスト（Ｌｉｓｔ）の変更状態を通知するためのフラッグ（Ｆｌａｇ）値を設定する。これは、ネットワーク負荷を最小化するためのことで、使用者の端末機１０に含まれているＵＲＬフィルター装置３００から臨時惡性ＵＲＬ保存所２００に接続する時に、リスト全体を比べなく状態フラッグ（Ｆｌａｇ）が変更された場合にだけリスト（Ｌｉｓｔ）を更新する。
【００２８】
本発明で、変造サイト探知装置１００は、既存のリスト（Ｌｉｓｔ）を比べて新しい惡性ＵＲＬ情報を送る時に、自動的に状態フラッグ（Ｆｌａｇ）を変更する。
【００２９】
ＵＲＬフィルター装置３００は、使用者の端末機１０に設置されていり、ネットワークパッケージを監視する役目をする。
【００３０】
本発明で、ＵＲＬフィルター装置３００は、ウェッブサイトを利用するためにＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）クォリ要請が発生する場合、臨時惡性ＵＲＬ保存所２００の状態フラッグを確認し、状態フラッグが変更されたら、使用者端末機１０の惡性ＵＲＬリストを更新する。以後、ＵＲＬフィルター装置３００は、ＨＴＴＰ（ｈｙｐｅｒｔｅｘｔ  ｔｒａｎｓｆｅｒ  ｐｒｏｔｏｃｏｌ）クォリ要請パッケージを対象としてＵＲＬピルトリングを進行する。
【００３１】
本発明で、ＵＲＬフィルター装置３００は、使用者が使う端末機である使用者端末機１０に設置されるのが望ましい。ここで、使用者端末機は、コンピューター、ラップトップ（Ｌａｐｔｏｐ）コンピューター、テブルリッＰＣなどを含むネットワーク通信が可能な端末機を意味する。
【００３２】
図２は、本発明の一つの実施形態による惡性コード遮断システムでの惡性コード遮断方法を示すフローチャートである。
【００３３】
図２を参照すれば、変造サイト探知装置１００は、モニタリング対象になるウェッブサイトたちを繰り返し的に接続し（Ｓ２０１）、惡性行為があるのか可否を探知する（Ｓ２０３）。例えば、惡性行為には、スェルコド動作、正常ファイル変造動作などがある。
【００３４】
惡性行為が発見されれば、変造サイト探知装置１００は、惡性行為が発見されたサイトの探知ログをデータベースに保存する（Ｓ２０５、Ｓ２０７）。そして、変造サイト探知装置１００は、惡性行為が発見されたサイトのＵＲＬと惡性コード流布に活用されたサーバーＵＲＬとを臨時惡性ＵＲＬ保存所２００に送る（Ｓ２０９）。
【００３５】
本発明の一つの実施形態で、特定サイトから惡性行為がＨ時間の間、繰り返して探知されたら、最後の探知時点から＋ａ時間ほど臨時惡性ＵＲＬ保存所２００に惡性ＵＲＬが保存されてから消滅するようにすることが望ましい。＋ａ時間を置く理由は、変造サイト探知装置１００が一定の週期に探知・判断を行なうから、繰り返して確認する時までの時間の間、臨時惡性ＵＲＬ保存所２００に惡性ＵＲＬが消滅することを防止するためのことである。
【００３６】
臨時惡性ＵＲＬ保存所２００では、惡性ＵＲＬリストの変更状態を通知するための状態フラッグ（Ｆｌａｇ）値を設定する（Ｓ２１１）。本発明で、Ｓ２１１段階は、ネットワーク負荷を最小化するためのことである。すなわち、ＵＲＬフィルター装置３００で、臨時惡性ＵＲＬ保存所に接続する時にリスト全体を比べなく、状態フラッグの変更可否だけ確認してリストを変更するようになっている。本発明で、変造サイト探知装置１００は、既存リストを比べて新しい惡性ＵＲＬ情報を送る時に、状態フラッグを自動に変更する。
【００３７】
次に、ＵＲＬフィルター装置３００で、臨時惡性ＵＲＬ保存所２００に接続する時に状態フラッグを確認する（Ｓ２１３）。
【００３８】
確認結果、状態フラッグ値が変更されたら、ＵＲＬフィルター装置３００は、使用者端末機１０の惡性ＵＲＬリストを更新する（Ｓ２１５、Ｓ２１７）。以後、ＵＲＬフィルター装置３００は、ＨＴＴＰ（ｈｙｐｅｒｔｅｘｔ  ｔｒａｎｓｆｅｒ  ｐｒｏｔｏｃｏｌ）クォリ要請パッケージを対象としてＵＲＬピルトリングを進行する。
【００３９】
以上、本発明を各種の好ましい実施形態を使って説明したが、これら実施形態は、例示的なことで、限定的なのではない。本発明が属する技術分野で通常の知識を持った者なら、本発明の思想と添付された特許請求範囲に提示された権利範囲とから逸脱しない範囲において、種々の変化と修正を施すことにより具現化することができる。
【符号の説明】
【００４０】
１００    変造サイト探知装置、
２００    臨時惡性ＵＲＬ保存所、
３００    ＵＲＬフィルター装置、
４００    有無線通信網、
１０      使用者端末機。
【図１】
2013242869.tif 000003
【図２】
2013242869.tif 000004