"ウェブサーバにファイルをアップロードするためのFTPサーバと、該FTPサーバと接続されたFTPプロキシサーバと、該FTPプロキシサーバと接続されたコンピュータネットワークと、該コンピュータネットワークを介して接続されたクライアントコンピュータと、を備えた、ファイルのアップロード遮断システムであって、前記FTPプロキシサーバは、CPUと、出入力手段と、URL抽出手段と、判定手段と、URLを格納するURL格納手段と、リンク先のサイト名もしくはIPアドレスに対する信頼度を示すレピュテーション値が格納されたレピュテーション手段と、ブラックリスト格納手段と、ホワイトリスト格納手段と、を有し、前記FTPプロキシサーバの前記判定手段は、ファイルのウェブサーバへのアップロードの可否を判定するものであって、前記URL格納手段と、前記レピュテーション手段と、前記ブラックリスト格納手段と、前記ホワイトリスト格納手段と接続され、前記判定手段は、前記URL抽出エンジンにより、アップロードされるファイルに含まれるURL情報を取得し、該取得したURL情報と、少なくとも前記レピュテーション手段、前記ブラックリスト格納手段、前記ホワイトリスト格納手段のいずれかを参照して、前記取得したURLの信頼度情報を得て、該信頼情報をもとにファイルのウェブサーバへのアップロードの可否を判定することを特徴とするファイルのアップロード遮断システム。前記URL情報は、難読化されたスクリプトを複号する処理で得られた情報、符号化されたURL文字列を復号する処理で得られた情報、復号されたURL文字列を分解する処理で得られた情報、前記分解された情報に基づいてホスト名,ポート番号,パス名からなる文字列を生成する処理で得られた情報、前記ホスト名に基づいてIPアドレスを取得する処理で得られた情報のうち少なくとも一つを含むことを特徴とする請求項1に記載のファイルのアップロード遮断システム。前記ファイルのアップロード遮断システムは、さらに電子指紋計算手段と、マルウェア判定手段と、マルウェアの電子指紋が蓄積された電子指紋蓄積手段と、を備え、アップロードされるファイルの電子指紋と、前記電子指紋蓄積手段を対比し、マルウェアを検知することを特徴とする請求項1又は2に記載のファイルのアップロード遮断システム。前記判定手段は、前記URL格納手段に格納されたURLに対して定期的に信頼度を検査し、再度公開に足る信頼度を持つかどうかを判定して、書き換えられることを特徴とする請求項1又は2に記載のファイルのアップロード遮断システム。レピュテーション手段は、前記FTPプロキシサーバとネットワークで接続された外部に設けられていることを特徴とする請求項1に記載のファイルのアップロード遮断システム。ウェブサーバにファイルをアップロードするためのFTPサーバと、該FTPサーバと接続されたFTPプロキシサーバと、該FTPプロキシサーバと接続されたコンピュータネットワークと、該コンピュータネットワークを介して接続されたクライアントコンピュータと、を備えたシステムにおけるファイルのアップロード遮断方法であって、アップロードされるファイルに含まれるURL情報を取得するURL情報取得工程と、前記URL情報取得工程で取得したURL情報と、該URL情報のリンク先のサイト名もしくはIPアドレスに対する信頼度を格納したレピュテーション手段、ブラックリスト格納手段、ホワイトリスト格納手段の少なくとも一つ以上を参照し判定する参照判定工程と、前記参照判定工程に基づくURLの信頼度情報をもとにそのファイルのウェブサーバへのアップロードの可否を判定する判定工程と、を備えているファイルのアップロード遮断方法。前記URL情報取得工程では、難読化されたスクリプトを複号する処理、符号化されたURL文字列を復号する処理、復号されたURL文字列を分解する処理、前記分解された情報に基づいてホスト名,ポート番号,パス名からなる文字列を生成する処理、前記ホスト名に基づいてIPアドレスを取得する処理のうち少なくとも一つの処理がなされることを特徴とする請求項6に記載のファイルのアップロード遮断方法。前記ファイルのアップロード遮断方法は、前記アップロードされるファイルの電子指紋を取得し、マルウェアの電子指紋が蓄積された電子指紋蓄積データベースを検索することで、マルウェアを検知しアップロードの可否を判定することを特徴とする請求項6又は7に記載のファイルのアップロード遮断方法。前記URL情報取得工程で得られたファイル毎のURLを記録しておくための格納手段への書込み工程と、前記URL格納手段に格納されたURLに対して定期的に信頼度を検査し、再度公開に足る信頼度を持つかどうかを判定する再審査の工程と、を備えたことを特徴とする請求項6又は7に記載のファイルのアップロード遮断方法。リンク先のサイト名もしくはIPアドレスに対する信頼度の取得を前記FTPプロキシサーバと接続された外部のレピュテーション手段から取得することを特徴とする請求項6に記載のファイルのアップロード遮断方法。本明細書において、リンク、リダイレクト、不正サイト、不正リンク、不正ファイル、リバースProxy、ホワイトリストWL、ブラックリストBL、マルウェアMalwareは、以下の意味で使用する。リンクとは、ハイパーテキストにおいてドキュメントを結びつける役割を担う参照を意味する。ウェブWebブラウザは、リンクをたどることで、設定されたページやファイルに移動できる。HTMLでは<ahref=url>の形式で指定される。リダイレクトとは、HTTPステータスコードの3xxRedirectionで定義される機能である。代表的なものとして301MovedPermanentlyや302MovedTemporarilyがある。リダイレクトの定義は、httpd.confや.htaccessなどの設定ファイルで行われるため、コンテンツ自体には含まれない。不正サイトとは、何らかの悪意を持つ者が作成したウェブWebサイトをいう。不正リンクとは、不正サイトへの誘導を行うリンクをいう。不正ファイルとは、何らかの悪意を持つ者が作成したファイルをいう。コンテンツや設定ファイルなどを含む。リバースProxyとは、特定のサーバの代理としてそのサーバへの要求を中継するProxyサーバをいう。代行されているサーバにアクセスしようとしたユーザは全てリバースProxyを経由することになるため、サーバが直接アクセスを受けることはなくなる。ホワイトリストWLとは、信頼できると判断されたURL,IPアドレス、FQDN、メールアドレスなどの一覧表をいう。ブラックリストBLとは、悪質なものと判断されたURL,IPアドレス、FQDN、メールアドレスなどの一覧表をいう。マルウェアMalwareとは、不正かつ有害な動作を行う意図で作成された悪意のあるソフトウェアや悪質なコードの総称をいう。最近、ウェブサイトを改ざんしてコンテンツの中に感染用のコード別サイトへのリンクなどを埋め込むウィルスが流行している例えばGumblar:ガンブラー。これらは、例えばJavaScript登録商標、以下同じでURLを偽造し、さらに難読化されており、パターンが多数あるため、従来技術で示した特許文献1等のパターンマッチングでは検知することは非常に困難である。なお、難読化とは、JavaScriptが内容を理解しにくいように加工されていることであり、unescapeやreplaceなどのJavaScriptの関数を使って難読化している場合、見た目ではプログラムの内容を把握することが困難である。ここで、Gumblarガンブラーとは、攻撃元のURLからのGumblarと呼ばれるドライブバイダウンロード攻撃の一種であり、求めるサイトと異なる別サイトである不正サイトに誘導し、不正サイトに誘導されたFTPクライアントユーザ端末等のコンピュータPCは、誘導先に存在するAdobeReader登録商標やJava登録商標、Windows登録商標の脆弱性を突いたマルウェアに感染する。つまり、悪質なサイトへのリンクを張って増殖する。感染したFTPクライアントユーザ端末PCからFTPのアカウント,パスワードを盗み、ウェブサイトを改ざんする。このようなGumblarガンブラーは、事前に検知することが難しく、感染した後に発見、検出されることが一般的である。より詳しく述べると、日本での最初の感染が通販サイトのGENOだったため、GENOと呼ばれるGumblar=GENOこともあり、2009年4~5月頃から話題になった。改竄されたサイトに誘導コードマルウェアに感染させるための別サイトへのリンクを含むスクリプトが埋め込まれており、改竄されたサイトにアクセスした場合、別サイトへ誘導される。別サイトには実行ファイル、PDFPortableDocumentFormat,ISO32000-1/国際規格、AdobeFlash登録商標などの脆弱性を突くファイルマルウェアが存在し、アクセスしたマシン上で実行されることでマルウェアに感染する仕組みである。マルウェアの形態はプログラムとは限らず、悪意のあるスクリプトを内包したPDFファイルだったりする。Gumblarガンブラーには、亜種が存在し、2009年10~11月頃から話題になったGumblar.X、2009年12月頃から話題になった8080が知られている。8080の由来は、ウィルス設置サイトへアクセスする際のポートが8080であったためとされている。この8080は、GNUGPLLGPLと呼ばれることもあり、改竄部分の先頭に、<script>/GNUGPL/<script>/CODE1/<script>/LGPL/という表記があることが知られている。この8080の別名の由来は、上記から始まる難読化元の文字列を判読できないように変換する処理したスクリプトが埋め込まれているためであり、Pegelピーゲルと呼ばれることもある。これらの亜種であっても感染の仕組み自体は、上述のGumblarと同様である。つまり、従来技術では、コンテンツ内にウィルスが存在する場合には、有効に作動するが、上記のようなGumblarガンブラーで代表される不正サイトを介したウィルスに対しては、有効ではなかったという問題があった。本発明の目的は、ウェブコンテンツの改ざんを防止するために、ファイルのアップロード遮断システム及びファイルのアップロード遮断方法を提供することにある。より詳しくは、ファイル中に含まれるURL群の評価信用度に基づいて、マルウェア等の存在を指すような悪質なURL/リンクを検知し、そのファイルのウェブWebへの公開を阻止することで、ウェブWebコンテンツのリンクを辿った閲覧ユーザに発生する二次被害を防ぐことが可能なファイルのアップロード遮断システム及びファイルのアップロード遮断方法の提供を目的とする。前記課題は、本発明のファイルのアップロード遮断システムによれば、ウェブサーバにファイルをアップロードするためのFTPサーバと、該FTPサーバと接続されたFTPプロキシサーバと、該FTPプロキシサーバと接続されたコンピュータネットワークと、該コンピュータネットワークを介して接続されたクライアントコンピュータと、を備えた、ファイルのアップロード遮断システムであって、前記FTPプロキシサーバは、CPUと、出入力手段と、URL抽出手段と、判定手段と、URLを格納するURL格納手段と、リンク先のサイト名もしくはIPアドレスに対する信頼度を示すレピュテーション値が格納されたレピュテーション手段と、ブラックリスト格納手段と、ホワイトリスト格納手段と、を有し、前記FTPプロキシサーバの前記判定手段は、ファイルのウェブサーバへのアップロードの可否を判定するものであって、前記URL格納手段と、前記レピュテーション手段と、前記ブラックリスト格納手段と、前記ホワイトリスト格納手段と接続され、前記判定手段は、前記URL抽出エンジンにより、アップロードされるファイルに含まれるURL情報を取得し、該取得したURL情報と、少なくとも前記レピュテーション手段、前記ブラックリスト格納手段、前記ホワイトリスト格納手段のいずれかを参照して、前記取得したURLの信頼度情報を得て、該信頼情報をもとにファイルのウェブサーバへのアップロードの可否を判定すること、により解決される。このとき、前記URL情報は、難読化されたスクリプトを複号する処理で得られた情報、符号化されたURL文字列を復号する処理で得られた情報、復号されたURL文字列を分解する処理で得られた情報、前記分解された情報に基づいてホスト名,ポート番号,パス名からなる文字列を生成する処理で得られた情報、前記ホスト名に基づいてIPアドレスを取得する処理で得られた情報のうち少なくとも一つを含むように構成すると好適である。また前記ファイルのアップロード遮断システムは、さらに電子指紋計算手段と、マルウェア判定手段と、マルウェアの電子指紋が蓄積された電子指紋蓄積手段と、を備え、アップロードされるファイルの電子指紋と、前記電子指紋蓄積手段を対比し、マルウェアを検知するように構成するとよい。このように構成すると、マルウェアへのリンクを含むファイルだけではなくマルウェア自体のアップロードを防ぐ機能を付加することとなり、より確実に遮断が可能となる。さらに、前記判定手段は、前記URL格納手段に格納されたURLに対して定期的に信頼度を検査し、再度公開に足る信頼度を持つかどうかを判定して、書き換えられるように構成すると、より好適である。このように構成することにより、URL格納データベースを定期的に再審査する機能を付加させることが可能となる。また、レピュテーション手段は、前記FTPプロキシサーバとネットワークで接続された外部に設けられているものを用いることが可能である。このようにすることにより、外部のレピュテーション手段を用いることが可能となり、システム内に自ら構築する必要がなくなる。前記課題は、本発明のファイルのアップロード遮断方法によれば、ウェブサーバにファイルをアップロードするためのFTPサーバと、該FTPサーバと接続されたFTPプロキシサーバと、該FTPプロキシサーバと接続されたコンピュータネットワークと、該コンピュータネットワークを介して接続されたクライアントコンピュータと、を備えたシステムにおけるファイルのアップロード遮断方法であって、アップロードされるファイルに含まれるURL情報を取得するURL情報取得工程と、前記URL情報取得工程で取得したURL情報と、該URL情報のリンク先のサイト名もしくはIPアドレスに対する信頼度を格納したレピュテーション手段、ブラックリスト格納手段、ホワイトリスト格納手段の少なくとも一つ以上を参照し判定する参照判定工程と、前記参照判定工程に基づくURLの信頼度情報をもとにそのファイルのウェブサーバへのアップロードの可否を判定する判定工程と、を備えていること、により解決される。このとき、前記URL情報取得工程では、難読化されたスクリプトを複号する処理、符号化されたURL文字列を復号する処理、復号されたURL文字列を分解する処理、前記分解された情報に基づいてホスト名,ポート番号,パス名からなる文字列を生成する処理、前記ホスト名に基づいてIPアドレスを取得する処理のうち少なくとも一つの処理がなされると好適である。また前記ファイルのアップロード遮断方法は、前記アップロードされるファイルの電子指紋を取得し、マルウェアの電子指紋が蓄積された電子指紋蓄積データベースを検索することで、マルウェアを検知しアップロードの可否を判定するように構成することができる。さらに、前記URL情報取得工程で得られたファイル毎のURLを記録しておくための格納手段への書込み工程と、前記URL格納手段に格納されたURLに対して定期的に信頼度を検査し、再度公開に足る信頼度を持つかどうかを判定する再審査の工程と、を備えるように構成すると好適である。また、リンク先のサイト名もしくはIPアドレスに対する信頼度の取得を前記FTPプロキシサーバと接続された外部のレピュテーション手段から取得するように構成することができる。本発明によれば、不正ファイルのアップデートを即時に検知除外できる。つまり、FTPサーバとFTPクライアントコンピュータユーザ端末の間にFTPプロキシサーバを設置し、FTPクライアントコンピュータユーザ端末からFTPサーバにファイルを置く前にチェックし不正ファイルを除外できるので、従来の改竄検知サービスのように、アップロードされた後に異常を検知するものではなく、本発明のシステム及び方法では事前にマルウェア等を除外し、不正ファイルのアップロードを防ぐことが可能となる。また、改竄元の確認が容易となる。そして、不正ファイルを検知したときに、指定されたメールアドレスに検知内容を送付することができる。検知内容には、検知日時、該当するFTPID、対象ファイル、FTPでアップロードしようとしたIPアドレスが含まれ、影響範囲の確定や事後の対応に役立つ。さらに、コンテンツ以外のファイルも検査可能となる。つまり、HTTPを利用し、ウェブWebブラウザと同様にクローリングする改竄検知サービスでは存在を確認できない設定ファイルや他のコンテンツからのリンクがない独立したコンテンツのチェックが可能となる。また、クローリング型で問題になるログイン認証を伴うページについても、ファイルとして一律に検査できるので、検査漏れが発生しない。さらに、低負荷なものとなる。つまり、本発明のシステム及び方法ではFTPでアップロードしたファイルのみをチェックする。このため、クローリングなどで全件検査するシステムとは異なり、検査が必要なファイルのみをチェックするため、サーバに不要な負荷をかけない。以下、本発明の一実施形態を図面に基づいて説明する。なお、以下に説明する部材,配置等は本発明を限定するものでなく、本発明の趣旨の範囲内で種々改変することができるものである。図1乃至図10は、本発明を示すものであり、図1はシステムの全体構成図、図2は簡略して示す概念説明図、図3はファイルのアップロード遮断システムを示す概念説明、図4はFTPプロキシサーバのハード構成の一部を示す説明図、図5はファイルのアップロード遮断システムの機能連携を示す説明図、図6はファイルのアップロード遮断システムの通信フローを示す関係図、図7はファイルのアップロード遮断システムを説明する全体図、図8は判定エンジンとURL格納データベースとの対応関係を示すブロック図、図9はマルウェア検知が無い場合のフローチャート、図10はマルウェア検知が有る場合のフローチャートである。本発明の概略は、ウェブWebコンテンツの改ざんを防止するためのシステム及び方法であり、いわばリンクのスクリーニングシステム及びリンクのスクリーニング方法でもあり、ウェブWebサーバの入口で阻止し、未然に感染を防ぐシステム及び方法である。本発明は、要するにアプライアンス型のFTP中継フィルタシステム及び方法である。本発明は、アップ時のチェックと、既にアップされているページのチェックの両方を行なえるシステム及び方法である。つまり、図2で示すように、アップ時のチェックシステム及び方法としては、クライアント側のFTPクライアントコンピュータユーザ端末20:PCとウェブWebサーバFTPサーバ10の間に、不正を検出するために本発明のシステムや方法を介在させる。そして、図3で示すように、ユーザが、FTPクライアントコンピュータユーザ端末20からウェブWebサーバFTPサーバ10にコンテンツをアップしようとするときに、その内容をチェックする。コンテンツ、リンクを解析し、問題があった場合にはアップロードを遮断する。そして、問題のないファイルのみをFTPサーバ10へ転送する。また、システム管理者へ通知する。このとき、どこから送られてきたのか改ざん元も特定できる。JavaScriptでURLを偽造している場合、一般に、難読化されており、パターンが多数有りパターンマッチングでは検知できないため、解析解読を行って、この解析により、URLを検出する。また、レピュテーションサービス自ら構成或いは第三者が提供:データベースが高品質を用いて、リンク先IPアドレスの信頼度をチェックし、信頼度が低いと判断された場合には、アップロードを遮断するものである。一方、既にアップされているページのチェック方法としては、既にアップロードされているページの信頼度のチェックを行うように構成している。例えば、アップロードのときにリンク情報をデータベースに蓄積し、そのデータベースを用いて定期的にチェックする。これにより、DNSが変わってリンク情報がすりかえられることがあっても、対応することが可能となる。本発明のシステム及び方法は、基本構成では1日あたり3万件以下のFTPによるファイルアップロードが可能である1ファイルあたり平均100Kbyte以下を想定。本発明のシステム及び方法では、FTPクライアントコンピュータユーザ端末20の認証情報を有せず、認証の制御はFTPサーバ10が行なうもので、FTPクライアントコンピュータユーザ端末20がファイルをアップロードする場合のみ、ファイル検査を行い、FTPサーバ10へのアップロードを実行するか否かを制御するものである。以下、詳細に説明する。図1は、本発明のファイルのアップロード遮断システム及びファイルのアップロード遮断方法が利用されるシステムの全体構成図の一例を示すものであり、図示されているように、ファイルのアップロード遮断システムSは、アプライアンス型のシステムであり、FTPサーバ10と、それを利用するクライアント側のFTPクライアントコンピュータユーザ端末20の間に、アプライアンス型のFTPプロキシサーバ30を設置し、各FTPFTPサーバ10、FTPクライアントコンピュータ20でのファイル転送を中継する。また、本実施形態では、システム管理者用コンピュータ40、顧客管理システム用コンピュータ50を備えている。また、複数のクライアント側のFTPクライアントコンピュータユーザ端末20は、ネットワークとしてインターネット60と接続されている。本実施形態のFTPサーバ10は、ファイルシステムOSがファイルを管理し、データを読み書きできるようにするための仕組:例としてNTFS、FAT,HFS,ext2、ext3などをウェブWebサーバと共有し、WWWコンテンツの公開先としてファイルをアップロードすることが可能に構成されている。実際の適用においては、対象FTPサーバFTPサーバ10の指定をするが、対象とするFTPサーバ10は独自に定義する。FTPIDのサフィックスごと、または接続を受け付けるIPアドレスごとに対象FTPサーバを指定することが可能である。この対象とするFTPサーバ10の指定は、開始時に、ICDの設定ファイルにて指定する。ドメインごとに対応するFTPサーバを指定できる。クライアント側のFTPクライアントコンピュータユーザ端末20は、URLを取得してファイルを作成及び送受信する機能を持つソフトウェアを備えており、このクライアント側のFTPクライアントコンピュータユーザ端末20は、FTPサーバ10と、FTPプロキシサーバ30を介して接続される構成となっている。つまり、クライアント側のFTPクライアントコンピュータユーザ端末20は、直接FTPサーバ10と接続されず、FTPプロキシサーバ30を介して接続される構成となっている。本発明のファイルのアップロード遮断システム及び方法は、1ユニットのアプライアンスサーバ特定の用途向けに設計開発されたサーバとしてのFTPプロシキサーバ30に実装されており、図1乃至図3で示すように、FTPプロキシサーバ30は、FTPサーバ10とクライアント側のFTPクライアントコンピュータ20の間に設置し、中継時にGumblarガンブラーなどの不正サイトへの誘導リンクやリダイレクトを検出し、クライアント側のFTPクライアントコンピュータ20からFTPサーバ10にファイルを置く前にチェックし不正ファイルを除外する。なお、FTPプロキシサーバ30は、FTPのリバースProxyとして動作する。このため、FTPサーバ10の代わりに、クライアント側のFTPクライアントコンピュータ20からのFTP接続を受け付けるため、FTPサーバ10のIPアドレスを変更したり、FireWallなどでアドレス変換を行っておく。FTPプロキシサーバ30は、クライアント側のFTPクライアントコンピュータ20からのFTP接続を対象FTPサーバ本例ではFTPサーバ10の代わりに受け付けるため、通常は対象FTPサーバ本例ではFTPサーバ10の前段に設置する。そして、通常は対象FTPサーバが設置されているネットワークに設置する。このFTPプロシキサーバ30には、図4及び図5で示すように、CPU31と、このCPU31に内蔵し、或いは不図示の記憶装置HDD,メモリに設けられたURL抽出手段としてのURL抽出エンジン32、判定手段としての判定エンジン33、電子指紋計算手段としての電子指紋計算エンジン34、マルウェア判定手段としてのマルウェア判定エンジン35と、URL格納手段としてのURL格納データベースDB1と、レピュテーション手段としてのレピュテーションデータベースDB2と、電子指紋蓄積手段としてのマルウェアの電子指紋データベースDB3と、ブラックリスト格納手段としてのブラックリストデータベースBLと、ホワイトリスト格納手段としてのホワイトリストデータベースWLと、を備えている。そして、CPU31は、不図示の入出力手段I/Oインターフェースを含むを介して入力側36と出力側37と接続されており、これら入力側36と出力側37からの情報等と、上記URL抽出エンジン32,判定エンジン33,電子指紋計算エンジン34,マルウェア判定エンジン35と、URL格納データベースDB1,レピュテーションデータベースDB2,マルウェアの電子指紋データベースDB3,ブラックリストデータベースBL,ホワイトリストデータベースWLと、を制御及び演算して、ファイルのアップロード遮断システム及び方法を制御しているものである。URL格納データベースDB1は、図4及び図5で示すように、判定エンジン33を介してURL抽出エンジン32と接続されており、URL抽出エンジン32によって抽出されたURLを、判定エンジン33によって判定し、判定されたものを格納する。つまり、判定エンジン33には、URL格納データベースDB1が接続され、このURL格納データベースDB1と前述したURL抽出エンジン32によって抽出されたURLとを対比するように構成されている。判定エンジン33は、URL抽出エンジン32によって抽出されたデータを受け取り判定するものであるが、レピュテーションデータベースDB2と、ホワイトリストデータベースWLと、ブラックリストデータベースBLを参照して、マルウェア等の有無を判定するものである。レピュテーションデータベースDB2は、判定エンジン33で判定対象となったリンク先のサイト名もしくはIPアドレスに対する信頼度を示すレピュテーション値が格納されている。基本機能として、検出する場合に、ホワイトリストデータベースWLブラックリストデータベースBL以外に、レピュテーションデータベースDB2を用いた照合を行う。転送先が信用度の低いネットワークに存在する場合、不正なアップロードと判断する。本実施形態では、より具体的に説明すると、URLのFQDN部分をDNS解決して得られるIPアドレスに対して、レピュテーション検査を実施する。レピュテーションデータベースDB2にアクセス問い合わせを行なうするときには、判定エンジン33は、IPアドレスに変換して、レピュテーション判定用常駐プログラムで行なう。検査判定の結果は、閾値として、A.悪い評判は無いknown、B.疑わしい評判suspect、C.評判が悪いpoorの3段階に分別される。標準設定では、レピュテーションによる判定結果のうち、poorCとsuspectBに該当したIPアドレスをNGとしている。なお、NGの条件をpoorCだけにすることも可能である。本実施形態では、レピュテーションの閾値設定はFTPサーバ単位で行っており、レピュテーション検査の実施はFTPアカウント単位に設定している。なお、DNS解決されない場合はレピュテーションの対象から除外され、NGと同じ扱いとしている。上述のようにして、レピュテーションの結果が、OKとなったファイルはFTPサーバにアップロードし、NGとなったファイルは、FTPサーバにアップロードすることを保留して次ステップのホワイトリスト照合を行い、判定される。なお、本システムではレピュテーションデータベースDB2を外部のレピュテーションDBサーバから定期的にレピュテーション情報を取得して最新のデータとし、これを基に判定している。例えば、外部データベースであるCloudmark社のReputationデータベースによりリンク先の信頼度を分析することが可能である。このCloudmark社のReputationデータベースは、本願出願時点で、世界で1億3,000万人が利用する最大規模のSNSサイトでも採用されているものであり、Cloudmark社のIPレピュテーションサービスCloudmarkSenderIntelligence以下CSIを用いて、リンクURLの信頼度を分析する。CSIは、全世界で10億人を超すCloudmarkユーザコミュニティからのトラフィックパターン、フィンガープリント、フィードバック情報などによりリアルタイムで更新され、これらの相関を解析、レピュテーションスコアをリアルタイムに算出する。分析の結果、信頼度が低いと判断されたサイトへのリンクを含むコンテンツは、アップロードをブロックする。ホワイトリストデータベースWLには、予め信頼できると判断されたURL,IPアドレス,FQDN,メールアドレスなどを登録するが、順次取得して信頼できると判断されたURL,IPアドレス,FQDN,メールアドレスなどを予め登録し、或いは追加して登録しておくものである。なお、本システムの開始時に、ホワイトリストデータベースWLホワイトリストの参照先定義は、顧客全体で同一に指定する。ホワイトリストデータベースWLホワイトリストの参照先は本システムの設定ファイルにて指定する。開始時ではなく、拡張時においてのホワイトリストデータベースWLホワイトリストの参照先定義は、機能追加時に行うもので、エンドユーザごとにホワイトリストデータベースWLホワイトリストを定義できる。エンドユーザごとのホワイトリストデータベースWLホワイトリストは顧客側のLDAPサーバのアトリビュートで定義され、本システムはそれを参照する。アトリビュートは本システムの設定ファイルにて指定するように構成されている。より具体的には、上記設定に該当するURLの含まれたファイルは、FTPサーバ10にアップロードする。このとき、トップドメイン、FQDN等の半角英数字にて定義する。本実施形態では、無効な設定、または未定義の場合は処理されないように構成されている。また、ホワイトリストデータベースWLホワイトリストはFTPクライアント単位で設定するようにしている。ブラックリストデータベースBLには、悪質なものと判断されたURL,IPアドレス,FQDNなどを登録するが、順次取得して悪質なものと判断されたURL,IPアドレス,FQDNなどを登録する。具体的には、上記設定に該当するURLの含まれたファイルはFTPサーバにアップロードしない。このとき、トップドメイン、FQDN等の半角英数字にて定義する。本実施形態では無効な設定、または未定義の場合は処理されないように構成されている。またブラックリストデータベースBLブラックリストはFTPクライアント単位で設定するようにしている。本発明で使用するホワイトリストデータベースWL及びブラックリストデータベースBLは、独自に構築するものであり、システム全体または対象FTPサーバごとに、同一のホワイトリストデータベースを使用し、システム全体または対象FTPサーバごとに、同一のブラックリストデータベースを使用する。また、判定エンジン33は、ホワイトリストデータベースWL及びブラックリストデータベースBLへは、URLとして問い合わせを行なう。本実施形態のシステムの基幹部分は、FTPサーバでファイルがアップロードされた時点で、コンテンツに含まれるリンク先に問題があるかどうかをチェックするものであるが、実際には既にアップロードされているコンテンツに含まれるリンク先に、後から改竄等の問題が発生することも考えられる。そこで図8で示すように、既にアップロードされたコンテンツについて、そこに含まれるリンクの参照先に問題が発生していないかどうかを、常に更新され続けているレピュテーションデータベースDB2のレピュテーションデータを使用して定期的にチェックし、信用度がしきい値を下回るURLを発見し通知する仕組みを備えている。つまり、図8で示すように、外部データベースDBであるCloudmark社のReputationデータベース、レピュテーションデータベースDB2を利用している。この利用は、CPU31の制御のもとで入力側36からインターネット60を介して接続されるように構成されている。また、本実施形態では、電子指紋計算手段としての電子指紋計算エンジン34によって、電子指紋を取得するが、電子指紋計算は、ハッシュ値を取得して行なう。ハッシュ値とは、任意の長さのデータを固定長のデータに投影するハッシュ関数を用いて計算される固定長のデータを指すものである。ハッシュ関数の種類によって、得られるハッシュ値のデータ長は異なる。本例では、160bitのハッシュ値が得られるSHA1と称するハッシュ関数を用いている。ハッシュ関数としては、上記SHA1の他に、MD5128bit、RIPEMD160bit、SHA256256bit、SHA512512bitなどがあるが、本例ではSHA1を用いている。ファイル各部の特徴を捉える多値複合型の電子指紋も用いることができる。ハッシュ関数を使った場合、データの内容が1バイトでも異なると、全く別のハッシュ値が生成される。このため、ハッシュ値が同一であれば同一のデータであることが判明し、ハッシュ値が異なれば別の内容であると判定することができる。次に、本実施形態において、図6に示す通信フローを示す関係図に基づいて説明する。図6では、認証の場合、転送OKの場合、転送NGの場合についての通信フローである。○認証:FTPプロキシサーバ30がFTPクライアント20から認証手続きを受け付けると、FTPアカウントIDの問い合わせをデータベースサーバに行なう。そして、FTPプロキシサーバ30は、FTPアカウントIDのサービス要件回答を得ると、FTPサーバ10に認証手続きを行なう。FTPサーバ10は認証の許可或いは失敗について、FTPプロキシサーバ30に返し、FTPプロキシサーバ30は、FTPクライアント20に、FTPサーバ10からの認証の許可或いは失敗について、通知する。○転送OK:FTPクライアント20からファイルアップロードをFTPサーバ10に行なう場合、先ずはFTPプロキシサーバ30でファイルを受け取り、ファイル検査を行なう。そして、不正リンクやマルウェア等の未検出時には、FTPサーバ20にファイルアップロードを行なう。FTPサーバ10でアップロードが完了した場合、その旨の通知がFTPプロキシサーバ30に返され、FTPプロキシサーバ30ではFTPクライアント20に、アップロード完了の通知を行なう。○転送NG:FTPプロキシサーバ30でファイルを受け取り、ファイル検査を行なう。不正リンクやマルウェア等を検出したときには、FTPプロキシサーバ30はSMTPサーバを介して、システム管理者用コンピュータ40にメールを送付し、同時にSMTPサーバを介して、FTPクライアント20にメールを送付する。このように、検出結果メールは、出力側37からシステム管理者システム管理者用コンピュータ40及びFTPクライアント20に送付するように構成している。特に本実施形態では、FTPクライアント20に送付しているが、この場合には、LDAPを用い顧客管理システムと連携、アカウントに対応するメールアドレスを取得し、エンドユーザであるFTPクライアントユーザ端末20に検出結果メールを送付するようにしている。本実施形態では、ログ出力について、リバースFTPProxyのログをsyslogプロトコルにより出力側37から外部に送出可能としている。つまり、FTPの中継やチェック、アップロードの除外に関するログ動作ログをsyslog形式で外部のサーバに送付できる。次に、本発明のシステム及び方法において、システム連携について、簡単に説明する。顧客システムとの連携は、開始時において、顧客側のLDAPサーバと連携することができる。当初の連携項目はエンドユーザへのメール通知を行うためのメールアドレスの取得である。また顧客システムとの連携は、開始後の機能追加時において、顧客側のLDAPサーバとの連携項目に、次の項目を追加することが可能である。エンドユーザごとのホワイトリストエンドユーザごとの接続可能なIPアドレスエンドユーザごとのアップロード可能なファイル種別エンドユーザごとのJavaScriptのアップロード可否さらに、顧客システムとの連携は、開始後の機能追加時において、LDAP以外への連携としては、Oracle登録商標、PostgreSQL登録商標、MySQL登録商標などが可能である。次に、マルウェアMalware:不正かつ有害な動作を行う意図で作成された悪意のあるソフトウェアや悪質なコードの総称検知の無い場合と検知した場合について、図9と図10で示すフローチャートを用いて説明する。コンテンツの検査は、FTPプロトコルによりコンテンツや設定ファイル.htaccessなどがアップロードされるときに不正コンテンツか判断する。不正コンテンツと判定したときにはコンテンツのアップロードを行わず、クライアント側にはエラーメッセージを返す。なお、コンテンツ検査のタイミングは、開始時以降、リアルタイムFTPプロトコルによりコンテンツがアップロードされるときに調査するである。本実施形態において、チェック対象からの除外する場合について述べる。開始時において、エンドユーザごとにアップロード時のチェックを行うか否か、定義することも可能である。エンドユーザごとのチェックの可否は顧客側のLDAPサーバのアトリビュートで定義され、ICDはそれを参照する。アトリビュートはICDの設定ファイルにて指定する。結果通知本実施形態では、不正ファイルと判定しアップロードの中止を行った場合、結果をメールにて顧客側の管理者とエンドユーザに通知する。つまり、図6及び図7で示すように、SMTPサーバからFTPクライアントへメールで通知することができる図6の転送NGを参照。なお顧客側の管理者のメールアドレスは独自に定義する。エンドユーザへの通知は、FTPIDに対応するエンドユーザのメールアドレスが顧客側システムから取得可能な場合、対応できるシステム連携はLDAPを想定。不正コンテンツ発見後の動作本実施形態では、不正ファイルと判定しアップロードの中止を行った場合、FTP接続を中断する。その後のFTP接続を一定期間許可しないことも可能である。チェック対象からの除外本実施形態では、FTPIDごとのチェック実行/除外に関する定義を顧客側システムから取得可能な場合、アップロード時の検査から除外できるシステム連携はLDAPを想定。FTP接続元のIPアドレスの制限本実施形態では、FTPIDごとに、FTP接続に関するIPアドレスによるアクセスリストを顧客側システムから取得可能な場合、本システムのアクセスリストとして使用することが可能であるシステム連携はLDAPを想定。マルウェア等の検出としては、例として、以下のような検出が可能である。不正なURL転送の検出の場合想定しないURLに転送リンクされているか検査する。ホワイトリストデータベースブラックリストデータベースと照合し、本来のファイルには存在しないはずのリンクを検知し、FTPでのアップロードから除外する。アップロードから除外した場合、メールで通知する。なお、JavaScriptを用いて難読化やスクリプト内でURLを生成している場合も検知できる。不正なリダイレクトの検出の場合想定しないURLにリダイレクトされているか検査する。ホワイトリストブラックリストと照合し、本来のファイルには存在しないはずのリダイレクトを検知し、FTPでのアップロードから除外する。アップロードから除外した場合、メールで通知する。図9は、マルウェア検知の無い場合を示すもので、ステップS1でloginAuth認証付きメールに使うプロトコルかどうか判定する。ここでは、FTPプロトコルにおけるユーザー認証アカウント/パスワードを行う。ここでPassするステップS1:Passと、ステップ2でファイルを受信する。ここでは、FTPプロトコルにおけるファイルの受信設置ディレクトリのPathを含むを行なう。ステップS2でファイル受信した後で、ステップS3でファイルの種別バイナリ形式かテキスト形式を判断する。バイナリ形式である場合ステップS3:バイナリ形式には、ステップS16の処理、すなわち正規FTPサーバファイルへファイル転送を行なう。ここでは、可読でない場合は、チェックをパスしてWWWサーバにアップロードさせる。一方、テキスト形式である場合ステップS3:テキスト形式には、ステップS4でJavaScriptの有無を判断する。JavaScriptが無い場合ステップS4:No、ステップS7の処理を行なう。一方、JavaScriptが有る場合ステップS4:Yes、ステップS5でJavaScriptの構文解析を行なう。ここでは、JavaScriptを使ってJavaScriptのスクリプトを難読化してあるのを復号する動作を行なう。ステップS5でJavaScriptの構文解析を行なった後で、JavaScriptのURLの抽出を行なうステップS6。ここでは、JavaScript内部にあるリンクを抽出する。ステップS4でJavaScriptが無い場合ステップS4:No、及びステップS6でJavaScriptのURLの抽出を行なった後で、JavaScript以外の部分でURLの抽出を行なうステップS7。ここでは、JavaScript以外の部分にあるリンクを抽出する。上記ステップS1~S7の処理の後で、URLの偽装を解いて正規化を行なうステップS8。ここでは、URLエンコードエスケープ、数値実体参照等の復号を行なう。このようにして、URLの正規化が行なわれた後で、ページ名と内包URLをURL格納データベースDB1に格納するステップS9。次にIPアドレスを取得するステップS10。次に、レピュテーションデータベースDB2からレピュテーション値を取得するステップS11。つまり、抽出されたIPアドレスについてレピュテーション値を取得する。ステップS1~ステップS11の処理の後、ステップS12で、ブラックリストデータベースBLに格納されたブラックリストの符号と照合する。そして、ブラックリストの照合の結果、符号がある場合にはステップS15でFTPエラーを応答し、終了する。一方、ブラックリストデータベースBLに格納されたブラックリストの符号と照合し、符号が無い場合ステップS12:No、ステップS13で、ステップS11でレピュテーションデータベースDB2から取得したレピュテーション値が、閾値を下回るURLが存在するかどうか判断する。レピュテーション値が、閾値を下回るURLが存在しない場合ステップS13:No、ステップS16で正規FTPサーバファイルへファイルを転送する。レピュテーション値が、閾値を下回るURLが存在する場合ステップS13:Yes、ステップS14で、ホワイトリストデータベースWLのホワイトリストの符号と照合する。このとき、ホワイトリストを用いた不正コンテンツの判定は、ホワイトリストを定義し、アップロード対象コンテンツ設定ファイルにホワイトリストに存在しないURLへの誘導が存在する場合、不正コンテンツと判定する。ホワイトリストデータベースWLのホワイトリストの符号が有る場合ステップS14:Yes、ステップS16で正規FTPサーバファイルへファイルを転送する。一方、ホワイトリストデータベースWLのホワイトリストの符号が無い場合ステップS14:No、ステップS15でFTPエラーを応答し、終了する。ステップS16で正規FTPサーバファイルへファイルを転送した後で、ステップS17でページ名と内包URLをURL格納データベースDB1に格納して、終了する。次に、マルウェア等を検出した場合について、図10で示すフローチャートを用いて説明する。図10で示すフローチャートと図9で示すフローチャートにおける各ステップにおいて、同一記号及び符号のステップは同一処理を示すものであり、図9の説明と重複するので、その説明を省略し、図10のフローチャートでは、図9で説明していない処理ステップを中心に説明する。つまり、ステップS1~ステップS8、ステップS10~ステップS17まではマルウェア等を検出しない図9のフローチャート処理と同様であり、マルウェア等を検出しない場合のようなステップS9で、ページ名と内包URLをURL格納データベースDB1に格納は、しない。そして、マルウェア等を検出しない処理である図9の処理では、バイナリ形式である場合ステップS3:バイナリ形式には、ステップS16の処理、すなわち正規FTPサーバファイルへファイル転送を行なっているが、マルウェア等を検出する場合については、ステップS21~ステップS24までの処理を行うものである。つまり、バイナリ形式である場合ステップS3:バイナリ形式には、ステップS21でファイルの電子指紋を取得する。ここでは可読でないファイルに対して電子指紋を計算する。形式としては、電子指紋データベースDB3で採用されているハッシュ形式を用いる。そして、取得した電子指紋について、ステップS22でマルウェアの電子指紋データベースDB3に格納されている電子指紋と照合をする。ステップS22で照合したときに、一致する電子指紋が存在しない場合ステップS23:No、ステップS16で正規FTPサーバファイルへファイルを転送した後で、ステップS17でページ名と内包URLをURL格納データベースDB1に格納して、終了する。ステップS22で照合したときに、一致する電子指紋が存在した場合ステップS23:Yes、そのファイルはマルウェアであり、ステップS24でFTPエラーを応答し、終了する。不正コンテンツの発見後の動作として、不正コンテンツと判定しアップロードの中止を行った場合、FTP接続を中断する。また、その後のFTP接続は一定期間1日程度を想定許可しない。さらに、本実施形態では、不正コンテンツの記録を行う。ここでは一定期間、アップロードが試みられた不正コンテンツを保管しておく。ただし、保管左記の最大容量を超える場合、古いものから削除される。FTPエラーの応答として、不正コンテンツと判定しアップロードの中止を行った場合、結果通知を行うが、結果をメールにて顧客側の管理者とエンドユーザに通知する。顧客側の管理者のメールアドレスはICDの設定ファイルにて指定する。エンドユーザのメールアドレスは顧客側のLDAPサーバから取得する。顧客側のエンドユーザのFTPIDやメールIDなどのアカウント管理を行っているシステムと連携し、検知時のメール連絡をエンドユーザのメールアドレスに送信することも可能である。この場合には、FTPIDに対応するメールIDが一意に判別できることが前提となる。データ連携はデフォルトではLDAPを想定しているが、これに限るものではない。次に、レポートメールの例として、FTPアップロード検査の実行結果を示す。■検知内容不正リンクの検出検出内容:http://URL名/FILE名※上記URLは、リンクを誤って参照しないよう、http://を全角文字で記載している。■検査対象のIDFTPID:foo■検査対象ファイルtest.html■アップロードに使用されたIPアドレスXXX.XXX.XXX.XXX■検知時間2010/03/1513:20:15次に、より具体的な通知メールの例を以下に示す。件名:[○○○○:20100415-104856]不正リンク検出連絡----○○○○○○○○サービスをご利用いただきまして誠にありがとうございます。不正ファイルを検出し、アップロードを中止しましたので報告いたします。■検出日時2010年4月15日10時48分56秒■対象ファイル名x.html■送信元IPアドレス192.168.0.×××■アカウント名△△△■アップロード先FTPサーバ10.10.0.×××:21■不正スクリプト転送先検出数1個検出サイト名:script.example.cn■不正リンク転送先検出数0個検出サイト名:なし■不正リダイレクト転送先検出数0個検出サイト名:なし■ご注意点本メールは○○○○○○○○サービスシステムが自動的に作成しています。■○○○○○○○○サービスに関するお問い合わせご不明な点や問題点がございましたら、下記までお問い合わせください。株式会社○○○○TEL受付時間平日1000120013001700Email:jp次に、FTPアップロード検査の実行について、例を挙げて説明する。例えば、Gumblarの難読化例一重下線部分が難読化されている部分左記一重下線部分の間の0上記の例は、例示のため下線部を変更している実際にはGumblarのサイトのスクリプトのURL。以下では、不正サイトへの誘導を含むコンテンツJavaScript内に含むケースを例に、不正サイト誘導の解析をして、URL抽出の事例を示している。◎不正サイトへの誘導を含むコンテンツJavaScript内に含むケースTESTpageTESTpage009このページは、test用のページです。PageID009index◎上記のJavaScriptの構文解析を実施した例。JavaScriptプログラムeval0◎構文解析結果からscriptsrcを抽出◎FQDNを抽出test00xxxbbseccojp※上記をブラックリスト、ホワイトリスト、レピュテーション値との照合をする。なお、本発明で示す検知技術をメールサーバに適用し、HTMLメール上に存在するリンクをチェックすることも可能である。"