特許 7293170 シグネチャ生成装置、検出装置、シグネチャ生成プログラム及び検出プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-06-09

(45)【発行日】2023-06-19

(54)【発明の名称】シグネチャ生成装置、検出装置、シグネチャ生成プログラム及び検出プログラム

(51)【国際特許分類】

   G06F 21/56 20130101AFI20230612BHJP

   G06F 21/55 20130101ALI20230612BHJP

【ＦＩ】

G06F21/56 340

G06F21/55 320

【請求項の数】 11

(21)【出願番号】P 2020110151

(22)【出願日】2020-06-26

(65)【公開番号】P2022007278

(43)【公開日】2022-01-13

【審査請求日】2022-06-07

【国等の委託研究の成果に係る記載事項】（出願人による申告）平成２８年度、国立研究開発法人情報通信研究機構、「「Ｗｅｂ媒介型攻撃対策技術の実用化に向けた研究開発」副題「Ｗｅｂ媒介型攻撃の網羅的な観測・分析に基づくユーザ環境のセキュリティ高度化」」委託事業、産業技術力強化法第１７条の適用を受ける特許出願

(73)【特許権者】

【識別番号】000208891

【氏名又は名称】ＫＤＤＩ株式会社

(74)【代理人】

【識別番号】100106002

【弁理士】

【氏名又は名称】正林 真之

(74)【代理人】

【識別番号】100120891

【弁理士】

【氏名又は名称】林 一好

(72)【発明者】

【氏名】田中 翔真

(72)【発明者】

【氏名】松中 隆志

(72)【発明者】

【氏名】山田 明

(72)【発明者】

【氏名】窪田 歩

【審査官】局 成矢

(56)【参考文献】

【文献】特開２０１４－２１９７０８（ＪＰ，Ａ）

【文献】特表２０１８－５２６７２１（ＪＰ，Ａ）

【文献】田中翔真, ほか，リソース統計情報を用いたフィッシングサイト検知，Computer Security Symposium 2019，日本，Information Processing Society of Japan，2019年10月24日，pp.926-933

【文献】田中翔真, ほか，Ｗｅｂサイトを構成するリソースの種類・サイズを用いたフィッシングサイト検知，2020 Symposium on Cryptography and Information Security，The Institute of Electronics, Information and Communcation Engineers，2020年01月31日，pp.1-8

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５６

Ｇ０６Ｆ ２１／５５

(57)【特許請求の範囲】

【請求項1】

Ｗｅｂプロキシログの各レコードを、ユーザＩＤ毎に分類し、直前のレコードとのタイムスタンプの間隔が所定以上で、かつ、コンテンツの種類が所定のものであるレコードを、Ｗｅｂサイトのメインページとして特定する特定部と、
特定された前記メインページのレコードから続く、次のメインページの直前までのレコード群を、前記メインページに属するレコードとし、当該レコードそれぞれのコンテンツの種類、及びレスポンスのトラフィック量からなるリソース情報の集合を、前記メインページの構成情報として生成する生成部と、
前記メインページのＵＲＬが既知のフィッシングサイトのＵＲＬと一致する場合に、当該メインページの前記構成情報を、未知のフィッシングサイトを検出するためのシグネチャとして出力する出力部と、を備えるシグネチャ生成装置。

【請求項2】

前記生成部は、前記トラフィック量における所定値未満の値を切り捨てる請求項１に記載のシグネチャ生成装置。

【請求項3】

Ｗｅｂプロキシログの各レコードを、ユーザＩＤ毎に分類し、直前のレコードとのタイムスタンプの間隔が所定以上で、かつ、コンテンツの種類が所定のものであるレコードを、Ｗｅｂサイトのメインページとして特定する特定部と、
特定された前記メインページのレコードから続く、次のメインページの直前までのレコード群を、前記メインページに属するレコードとし、当該レコードそれぞれのコンテンツの種類、及びレスポンスのトラフィック量からなるリソース情報の集合を、前記メインページの構成情報として生成する生成部と、
前記メインページの構成情報を、既知のフィッシングサイトの構成情報であるシグネチャと比較し、類似度が閾値以上である場合に、当該メインページをフィッシングサイトとして検出する検出部と、を備える検出装置。

【請求項4】

前記検出部によりフィッシングサイトとして検出された前記メインページのＵＲＬを、既知のフィッシングサイトのＵＲＬリストに追加登録する登録部を備える請求項３に記載の検出装置。

【請求項5】

前記生成部は、前記メインページのドメインが所定期間に出現した回数を計測し、当該回数が閾値以上の場合、前記構成情報を生成しない請求項３又は請求項４に記載の検出装置。

【請求項6】

前記検出部は、前記メインページの構成情報のうち、前記既知のフィッシングサイトと共通する前記リソース情報の個数が閾値未満の場合、当該メインページを検出対象から除外する請求項３から請求項５のいずれかに記載の検出装置。

【請求項7】

前記検出部は、前記既知のフィッシングサイトと共通する前記リソース情報のうち、所定以上のサイズのリソースに関するリソース情報の個数が閾値未満の場合に、前記メインページを検出対象から除外する請求項６に記載の検出装置。

【請求項8】

前記生成部は、ユーザ端末からのリクエストを受けたＷｅｂプロキシサーバから、前記Ｗｅｂプロキシログを取得し、
前記検出部による検出結果を前記Ｗｅｂプロキシサーバへ通知し、フィッシングサイトとして検出された前記メインページにおけるコンテンツの前記ユーザ端末への転送を停止させる通知部を備える請求項３から請求項７のいずれかに記載の検出装置。

【請求項9】

前記検出部は、前記類似度として、Ｊａｃｃａｒｄ係数を用いる請求項３から請求項８のいずれかに記載の検出装置。

【請求項10】

請求項１又は請求項２に記載のシグネチャ生成装置としてコンピュータを機能させるためのシグネチャ生成プログラム。

【請求項11】

請求項３から請求項９のいずれかに記載の検出装置としてコンピュータを機能させるための検出プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、フィッシングサイトを検出するための装置及びプログラムに関する。

【背景技術】

【0002】

近年、有名企業又は公的機関等の信頼された主体になりすましてメールを送り、公式サイトを装った偽サイト（フィッシングサイト）に誘導することで、ログインＩＤ及びパスワード等の個人情報を盗み出す行為による被害が急増している。
このような被害を防ぐため、アクセス先がフィッシングサイトであることを検出する技術が望まれている。そこで、例えば、既知のフィッシングサイトのＵＲＬとの類似性に基づいて、未知のフィッシングサイトを検出する手法が提案されている（例えば、特許文献１参照）。
また、ＨＴＴＰトラフィックデータに基づいて、悪性Ｗｅｂサイトのリダイレクト遷移を示す木構造を構成し、この木構造の類似性から悪性Ｗｅｂサイトを識別する手法が提案されている（例えば、非特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【文献】特表２０１２－５２１５９９号公報

【非特許文献】

【0004】

【文献】Tatsuya NAGAI, Masaki KAMIZONO, Yoshiaki SHIRAISHI, Kelin XIA, Masami MOHRI, Yasuhiro TAKANO, Masakatu MORII, “A Malicious Web Site Identification Technique Using Web Structure Clustering”, IEICE Transactions on Information and Systems, 2019 Volume E102.D Issue 9 Pages 1665-1672.

【発明の概要】

【発明が解決しようとする課題】

【0005】

特許文献１の手法では、検出対象は、ＵＲＬの文字列が既知のフィッシングサイトと類似している場合に限定される。しかしながら、攻撃者は、フィッシングサイトのＵＲＬを頻繁に変更し、又は多数のＵＲＬを同時に利用して複数のサイトを作成する場合が多く、これらのＵＲＬは、必ずしも類似していないため検出が難しかった。

【0006】

非特許文献１の手法では、ＨＴＴＰトラフィックデータからＷｅｂサイト間のリダイレクト遷移の関係を示すＲｅｆｅｒｅｒヘッダ及びＬｏｃａｔｉｏｎヘッダ等を取得できないと、木構造を構成できない。例えば、オープンソースソフトウェアのｓｑｕｉｄにより構築されたＷｅｂプロキシサーバでは、Ｌｏｃａｔｉｏｎヘッダの情報はログに出力されないため、Ｗｅｂプロキシログに適用することは難しかった。さらに、ＷｅｂプロキシサーバがＨＴＴＰＳのトラフィックに対応していない場合は、ＷｅｂプロキシサーバがＨＴＴＰヘッダの情報を見ることができないため、ヘッダ情報をログに出力できなかった。

【0007】

本発明は、Ｗｅｂプロキシログに通常記録されている情報のみを用いて、未知のフィッシングサイトを検出できるシステムを提供することを目的とする。

【課題を解決するための手段】

【0008】

本発明に係るシグネチャ生成装置は、Ｗｅｂサイトにアクセスした際に生成されたＷｅｂプロキシログにおけるレコード群を、当該Ｗｅｂサイトのメインページに属するレコードとし、当該レコードそれぞれのコンテンツの種類、及びレスポンスのトラフィック量からなるリソース情報の集合を、前記メインページの構成情報として生成する生成部と、前記メインページのＵＲＬが既知のフィッシングサイトのＵＲＬと一致する場合に、当該メインページの前記構成情報を、未知のフィッシングサイトを検出するためのシグネチャとして出力する出力部と、を備える。

【0009】

前記シグネチャ生成装置は、前記Ｗｅｂプロキシログの各レコードを、ユーザＩＤ毎に分類し、直前のレコードとのタイムスタンプの間隔が所定以上で、かつ、コンテンツの種類が所定のものであるレコードを、前記メインページとして特定する特定部を備え、前記生成部は、特定された前記メインページのレコードから続く、次のメインページの直前までのレコード群を、前記メインページに属するレコードとしてもよい。

【0010】

前記生成部は、前記トラフィック量における所定値未満の値を切り捨ててもよい。

【0011】

本発明に係る検出装置は、Ｗｅｂサイトにアクセスした際に生成されたＷｅｂプロキシログにおけるレコード群を、当該Ｗｅｂサイトのメインページに属するレコードとし、当該レコードそれぞれのコンテンツの種類、及びレスポンスのトラフィック量からなるリソース情報の集合を、前記メインページの構成情報として生成する生成部と、前記メインページの構成情報を、既知のフィッシングサイトの構成情報であるシグネチャと比較し、類似度が閾値以上である場合に、当該メインページをフィッシングサイトとして検出する検出部と、を備える。

【0012】

前記検出装置は、前記Ｗｅｂプロキシログの各レコードを、ユーザＩＤ毎に分類し、直前のレコードとのタイムスタンプの間隔が所定以上で、かつ、コンテンツの種類が所定のものであるレコードを、前記メインページとして特定する特定部を備え、前記生成部は、特定された前記メインページのレコードから続く、次のメインページの直前までのレコード群を、前記メインページに属するレコードとしてもよい。

【0013】

前記検出装置は、前記検出部によりフィッシングサイトとして検出された前記メインページのＵＲＬを、既知のフィッシングサイトのＵＲＬリストに追加登録する登録部を備えてもよい。

【0014】

前記生成部は、前記メインページのドメインが所定期間に出現した回数を計測し、当該回数が閾値以上の場合、前記構成情報を生成しなくてもよい。

【0015】

前記検出部は、前記メインページの構成情報のうち、前記既知のフィッシングサイトと共通する前記リソース情報の個数が閾値未満の場合、当該メインページを検出対象から除外してもよい。

【0016】

前記検出部は、前記既知のフィッシングサイトと共通する前記リソース情報のうち、所定以上のサイズのリソースに関するリソース情報の個数が閾値未満の場合に、前記メインページを検出対象から除外してもよい。

【0017】

前記生成部は、ユーザ端末からのリクエストを受けたＷｅｂプロキシサーバから、前記Ｗｅｂプロキシログを取得し、前記検出装置は、前記検出部による検出結果を前記Ｗｅｂプロキシサーバへ通知し、フィッシングサイトとして検出された前記メインページにおけるコンテンツの前記ユーザ端末への転送を停止させる通知部を備えてもよい。

【0018】

前記検出部は、前記類似度として、Ｊａｃｃａｒｄ係数を用いてもよい。

【0019】

本発明に係るシグネチャ生成プログラムは、前記シグネチャ生成装置としてコンピュータを機能させるためのものである。

【0020】

本発明に係る検出プログラムは、前記検出装置としてコンピュータを機能させるためのものである。

【発明の効果】

【0021】

本発明によれば、Ｗｅｂプロキシログに通常記録されている情報のみを用いて、未知のフィッシングサイトを検出できるシステムを提供できる。

【図面の簡単な説明】

【0022】

【図1】第１実施形態における解析システムの機能構成を示す図である。

【図2】第２実施形態における解析システムの機能構成を示す図である。

【図3】第３実施形態における解析システムの機能構成を示す図である。

【図4】第４実施形態における解析システムの機能構成を示す図である。

【発明を実施するための形態】

【0023】

［第１実施形態］
以下、本発明の第１実施形態について説明する。
第１実施形態では、Ｗｅｂプロキシログと既知のフィッシングサイトのＵＲＬとを入力とし、Ｗｅｂプロキシログ内に存在する未知のフィッシングサイトのＵＲＬを検出して出力するシステムを提供する。

【0024】

図１は、本実施形態における解析システム１ａの機能構成を示す図である。
解析システム１ａは、検出装置１０ａと、Ｗｅｂプロキシサーバ２０とを備え、両者は、ネットワークを介して互いに接続される。

【0025】

検出装置１０ａは、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１１ａ及び記憶部１２ａの他、各種データの入出力デバイス及び通信デバイス等を備える。

【0026】

Ｗｅｂプロキシサーバ２０は、内部ネットワークからインターネットへの通信を中継する装置である。具体的には、ネットワーク内のユーザ端末があるＷｅｂサイトを閲覧する場合、ユーザ端末からのリクエストをＷｅｂプロキシサーバ２０が中継して、目的のＷｅｂサイトにリクエストを出す。そして、Ｗｅｂサイトからのレスポンス（コンテンツ）をＷｅｂプロキシサーバ２０が受け、要求元であるユーザ端末にコンテンツを提供する。
このとき、Ｗｅｂプロキシサーバ２０は、Ｗｅｂサイトへのアクセスに関する情報をＷｅｂアクセスログとして記憶し、検出装置１０ａに提供する。

【0027】

検出装置１０ａの制御部１１ａは、記憶部１２ａに格納されたソフトウェア（検出プログラム）を読み出して実行することにより、生成部１１１、特定部１１２、出力部１１３、検出部１１４、及び登録部１１５として機能する。

【0028】

生成部１１１は、ユーザ端末がＷｅｂサイトにアクセスした際に生成されたＷｅｂプロキシログを、Ｗｅｂプロキシサーバ２０から取得する。そして、生成部１１１は、Ｗｅｂプロキシログにおけるレコード群を、このＷｅｂサイトのメインページに属するレコードとし、レコードそれぞれのコンテンツの種類、及びレスポンスのトラフィック量からなるリソース情報の集合を、メインページの特徴を示す構成情報として生成する。
なお、メインページとは、ユーザがハイパーリンクのクリック等で最初にアクセスするＷｅｂページのことをいう。

【0029】

このとき、生成部１１１は、ＨＴＴＰヘッダの差分等によるトラフィック量の差異を加味して、レスポンスのトラフィック量における所定値未満の値を切り捨ててもよい。生成部１１１は、例えば、トラフィック量の百の位より下位の数値（１００バイト未満）を切り捨ててもよい。

【0030】

これにより、生成部１１１は、例えば、コンテンツの種類がｔｅｘｔ／ｈｔｍｌ、レスポンスのトラフィック量が１２３４５バイトのリソースに対して、リソース情報を「ｔｅｘｔ／ｈｔｍｌ－１２３００」と記述する。そして、生成部１１１は、次のようなメインページに属するレコードそれぞれのリソース情報の集合を、このメインページの構成情報とする。
｛ｔｅｘｔ／ｈｔｍｌ－１２３００，ｉｍａｇｅ／ｇｉｆ－４００，ｔｅｘｔ／ｊａｖａｓｃｒｉｐｔ－５６００｝

【0031】

生成部１１１は、メインページのドメインが月毎の１か月間、又は現在までの１か月間等の所定期間に出現した回数を計測し、この回数が閾値以上の場合、例えば月毎のアクセス数が１０以上のドメインに属するＵＲＬをフィッシングサイトではないと判断し、構成情報の生成を省略してもよい。

【0032】

また、生成部１１１は、Ｗｅｂページの構成情報を生成するにあたり、Ｗｅｂアクセスにより構成されるリソースの特徴を効率的に取得するため、Ｗｅｂプロキシログの各レコードのうち、次の条件のいずれかを満たすレコードを除外してもよい。
・ＨＴＴＰメソッドがＧＥＴ又はＣＯＮＮＥＣＴ以外である。
・ＵＲＬに記載のスキームがｈｔｔｐ又はｈｔｔｐｓ以外である。
・ＵＲＬのドメインが例えば、Ｗｅｂページのアクセス解析用、広告用、及び広く普及しているＷｅｂサービス用等、予め設定された所定のドメインと一致する。
・ユーザＩＤの記載がない。
・ＨＴＴＰレスポンスコードがエラーのステータス（４００番台、５００番台）である。

【0033】

なお、生成部１１１は、Ｗｅｂプロキシサーバ２０がＨＴＴＰＳに対応していない場合、ＨＴＴＰＳによる通信においてコンテンツの種類を取得できない。この場合、ＨＴＴＰＳによる通信におけるコンテンツの種類は、一律「ｈｔｔｐｓ」のようにＨＴＴＰＳによる通信である旨を示す識別子で代用してもよい。

【0034】

特定部１１２は、Ｗｅｂプロキシログが複数のＷｅｂページへのアクセスの情報を含んでいる場合に、Ｗｅｂサイトへのアクセス毎のレコード群を抽出するため、メインページのレコードを特定する。
具体的には、特定部１１２は、まず、Ｗｅｂプロキシログの各レコードを、Ｗｅｂサイトへアクセスしたクライアントを特定する識別子（ユーザＩＤ）毎に分類する。特定部１１２は、分類した各ユーザのレコードの集合の中で、次の２つの条件を満たすレコードを、Ｗｅｂサイトのメインページとして特定する。
・直前のレコードとのタイムスタンプの間隔が所定値（例えば、１秒）以上である。
・コンテンツの種類が所定のもの（例えば、「ｔｅｘｔ／ｈｔｍｌ」又は「ｈｔｔｐｓ」）である。

【0035】

これにより、生成部１１１は、特定部１１２により特定されたメインページのレコードから続く、次のメインページの直前までのレコード群を、メインページに属するレコードとして処理する。

【0036】

出力部１１３は、メインページのＵＲＬがブラックリストに記述されている既知のフィッシングサイトのＵＲＬのいずれかと一致する場合に、このメインページの構成情報を、未知のフィッシングサイトを検出するためのシグネチャとして出力する。

【0037】

検出部１１４は、メインページの構成情報を、出力部１１３により出力された既知のフィッシングサイトの構成情報であるシグネチャと比較し、類似度が閾値以上である場合に、このメインページを未知のフィッシングサイトとして検出する。
検出部１１４は、構成情報の類似度として、例えば、Ａをシグネチャ、Ｂを検出対象のＷｅｂページの構成情報とすると、次の式で定義されるＪａｃｃａｒｄ係数Ｊ（Ａ，Ｂ）を用いることができる。
Ｊ（Ａ，Ｂ）＝｜Ａ∩Ｂ｜／｜Ａ∪Ｂ｜

【0038】

ここで、検出部１１４は、検出対象のメインページの構成情報のうち、既知のフィッシングサイトと共通するリソース情報の個数（｜Ａ∩Ｂ｜）が閾値未満の場合、このメインページを検出対象から除外してもよい。
さらに、検出部１１４は、既知のフィッシングサイトと共通するリソース情報のうち、所定以上のサイズのリソースに関するリソース情報の個数が閾値未満の場合に、このメインページを検出対象から除外してもよい。

【0039】

登録部１１５は、検出部１１４により未知のフィッシングサイトとして検出されたメインページのＵＲＬを、既知のフィッシングサイトのＵＲＬが記述されたブラックリストに追加登録する。

【0040】

［第２実施形態］
以下、本発明の第２実施形態について説明する。
第２実施形態では、既知のフィッシングサイトのＵＲＬを入力とし、このＵＲＬへのアクセスによって生成されたＷｅｂプロキシログから、既知のフィッシングサイトのシグネチャを出力するシステムを提供する。

【0041】

図２は、本実施形態における解析システム１ｂの機能構成を示す図である。
解析システム１ｂは、シグネチャ生成装置１０ｂを備える。

【0042】

シグネチャ生成装置１０ｂは、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１１ｂ及び記憶部１２ｂの他、各種データの入出力デバイス及び通信デバイス等、さらには、Ｗｅｂプロキシサーバ２０及びＷｅｂクローラ３０を備える。
なお、Ｗｅｂプロキシサーバ２０及びＷｅｂクローラ３０は、シグネチャ生成装置１０ｂとは別の装置として実装され、互いに通信接続されてもよい。

【0043】

Ｗｅｂクローラ３０は、ブラックリストに含まれる既知のフィッシングサイトのＵＲＬが入力されると、Ｗｅｂプロキシサーバ２０に対して、このＵＲＬへアクセスを要求する。

【0044】

Ｗｅｂプロキシサーバ２０は、第１実施形態と同様に、Ｗｅｂクローラ３０からのリクエストに応じて、対象のＵＲＬへアクセスし、この際にＷｅｂプロキシログを生成すると、制御部１１ｂへ提供する。

【0045】

シグネチャ生成装置１０ｂの制御部１１ｂは、記憶部１２ｂに格納されたソフトウェア（シグネチャ生成プログラム）を読み出して実行することにより、生成部１１１、及び出力部１１３として機能する。

【0046】

生成部１１１は、Ｗｅｂプロキシサーバ２０から、Ｗｅｂプロキシログを取得すると、第１実施形態と同様に、入力された既知のフィッシングサイトのＵＲＬに対応するメインページの構成情報を生成する。
出力部１１３は、生成された構成情報を、第１実施形態と同様に、未知のフィッシングサイトを検出するためのシグネチャとして出力する。

【0047】

［第３実施形態］
以下、本発明の第３実施形態について説明する。
第３実施形態では、Ｗｅｂプロキシログと、第２実施形態により生成される既知のフィッシングサイトのシグネチャを入力として、Ｗｅｂプロキシログ内の未知のフィッシングサイトのＵＲＬを出力するシステムを提供する。

【0048】

図３は、本実施形態における解析システム１ｃの機能構成を示す図である。
解析システム１ｃは、検出装置１０ｃと、Ｗｅｂプロキシサーバ２０とを備え、両者は、ネットワークを介して互いに接続される。

【0049】

検出装置１０ｃは、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１１ｃ及び記憶部１２ｃの他、各種データの入出力デバイス及び通信デバイス等を備える。

【0050】

検出装置１０ｃの制御部１１ｃは、記憶部１２ｃに格納されたソフトウェア（検出プログラム）を読み出して実行することにより、生成部１１１、特定部１１２、検出部１１４、及び登録部１１５として機能する。

【0051】

生成部１１１は、第１実施形態と同様に、ユーザ端末がＷｅｂサイトにアクセスした際に生成されたＷｅｂプロキシログを、Ｗｅｂプロキシサーバ２０から取得する。そして、生成部１１１は、Ｗｅｂプロキシログにおけるレコード群を、このＷｅｂサイトのメインページに属するレコードとし、レコードそれぞれのコンテンツの種類、及びレスポンスのトラフィック量からなるリソース情報の集合を、メインページの特徴を示す構成情報として生成する。

【0052】

特定部１１２は、第１実施形態と同様に、Ｗｅｂプロキシログが複数のＷｅｂページへのアクセスの情報を含んでいる場合に、Ｗｅｂサイトへのアクセス毎のレコード群を抽出するため、メインページのレコードを特定する。

【0053】

検出部１１４は、第１実施形態と同様に、メインページの構成情報を、入力された既知のフィッシングサイトの構成情報であるシグネチャと比較し、類似度が閾値以上である場合に、このメインページを未知のフィッシングサイトとして検出する。

【0054】

なお、検出部１１４は、構成情報をシグネチャと照合する前に、既知のフィッシングサイトのＵＲＬが記述されたブラックリストを参照し、メインページのＵＲＬがこのブラックリストに含まれる場合に、メインページをフィッシングサイトとして検出してもよい。

【0055】

登録部１１５は、検出部１１４により未知のフィッシングサイトとして検出されたメインページのＵＲＬを、既知のフィッシングサイトのＵＲＬが記述されたブラックリストに追加登録する。

【0056】

［第４実施形態］
以下、本発明の第４実施形態について説明する。
第４実施形態では、ユーザ端末からのリクエストに応じてインターネットにアクセスし、既知のフィッシングサイトのシグネチャに基づいてアクセス先がフィッシングサイトであることを検出した場合に、ユーザ端末へのコンテンツの転送を停止するシステムを提供する。

【0057】

図４は、本実施形態における解析システム１ｄの機能構成を示す図である。
解析システム１ｄは、検出装置１０ｄを備える。

【0058】

検出装置１０ｄは、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１１ｄ及び記憶部１２ｄの他、各種データの入出力デバイス及び通信デバイス等、さらには、Ｗｅｂプロキシサーバ２０を備える。
なお、Ｗｅｂプロキシサーバ２０は、検出装置１０ｄとは別の装置として実装され、互いに通信接続されてもよい。

【0059】

Ｗｅｂプロキシサーバ２０は、第１実施形態と同様に、ユーザ端末からのリクエストに応じて、対象のＵＲＬへアクセスし、この際にＷｅｂプロキシログを生成すると、制御部１１ｄへ提供する。
また、Ｗｅｂプロキシサーバ２０は、対象のＵＲＬからコンテンツを取得すると、制御部１１ｄによるフィッシングサイトであるか否かの検出結果に応じて、ユーザ端末に対して、警告画面又はコンテンツのいずれかを出力する。すなわち、Ｗｅｂプロキシサーバ２０は、通常、Ｗｅｂサイトからのレスポンスをユーザ端末へ転送するが、Ｗｅｂサイトがフィッシングサイトであると検出されると、コンテンツの転送を停止し警告画面を出力する。

【0060】

検出装置１０ｄの制御部１１ｄは、記憶部１２ｄに格納されたソフトウェア（検出プログラム）を読み出して実行することにより、生成部１１１、検出部１１４、及び通知部１１６として機能する。

【0061】

生成部１１１は、Ｗｅｂプロキシサーバ２０から、Ｗｅｂプロキシログを取得すると、ユーザ端末からリクエストされたＵＲＬに対応するメインページの構成情報を生成する。

【0062】

検出部１１４は、第１実施形態と同様に、メインページの構成情報を、入力された既知のフィッシングサイトの構成情報であるシグネチャと比較し、類似度が閾値以上である場合に、このメインページを未知のフィッシングサイトとして検出する。
なお、既知のフィッシングサイトのシグネチャは、ブラックリストから第１実施形態又は第２実施形態と同様にして生成されてもよい。

【0063】

通知部１１６は、検出部１１４による検出結果をＷｅｂプロキシサーバ２０へ通知し、フィッシングサイトとして検出されたメインページにおけるコンテンツのユーザ端末への転送を停止させる。

【0064】

前述の実施形態によれば、解析システム１（１ａ～１ｄ）は、Ｗｅｂプロキシログに記載されている情報から、各Ｗｅｂページを構成するコンテンツの種類及びトラフィック量からなる構成情報を生成する。

【0065】

シグネチャ生成装置１０ｂは、既知のフィッシングサイトのＵＲＬに相当するＷｅｂページの構成情報を、未知のフィッシングサイトを検出するために照合するためのシグネチャとして出力する。
検出装置１０ａ、１０ｃ、１０ｄは、このようにして生成されたシグネチャと、ユーザがアクセスしたＷｅｂページの構成情報とを比較し、類似性が所定以上の場合に未知のフィッシングサイトとして検出する。

【0066】

したがって、解析システム１（１ａ～１ｄ）は、Ｗｅｂプロキシログに通常記録されている情報のみを用いて、未知のフィッシングサイトを検出できるシステムを提供できる。
また、解析システム１は、検出対象を、ＵＲＬの文字列が既知のフィッシングサイトと類似しているフィッシングサイトに限定することなく、構成情報が類似しているＷｅｂサイトを広く検出できる。
さらに、ＨＴＴＰトラフィックデータからＷｅｂサイト間のリダイレクト遷移の関係を示す情報を十分に取得できない場合においても、解析システム１は、Ｗｅｂプロキシログに通常記録されている情報のみを用いてＷｅｂページの構成情報を生成でき、未知のフィッシングサイトを検知できる。

【0067】

また、解析システム１は、Ｗｅｂプロキシログの各レコードを、ユーザＩＤ毎に分類し、直前のレコードとのタイムスタンプの間隔が所定以上で、かつ、コンテンツの種類が所定のものであるレコードを、メインページとして特定する。
これにより、特定されたメインページのレコードから続く、次のメインページの直前までのレコード群を、メインページに属するレコードとすることで、解析システム１は、Ｗｅｂページ毎リソース情報を容易に区別し、構成情報を適切に生成できる。

【0068】

解析システム１は、トラフィック量における所定値未満の値を切り捨ててリソース情報とする。これにより、ＨＴＴＰヘッダの差分等による差異を吸収して、適切に構成情報の類似性が算出される。

【0069】

解析システム１は、構成情報に基づいてフィッシングサイトとして検出したＷｅｂページのＵＲＬを、既知のフィッシングサイトのＵＲＬを記述したブラックリストに追加してもよい。
これにより、解析システム１は、ＵＲＬに基づいて検出できるフィッシングサイトの数を自動で拡張することができる。この結果、解析システム１は、構成情報に基づく検出の前にＵＲＬに基づく検出を行うことで、同一のＵＲＬに対する重複した処理を削減し、処理負荷を低減できる。

【0070】

解析システム１は、Ｗｅｂページのドメインが所定期間に出現した回数を計測し、この回数が閾値以上の場合、このＷｅｂページをフィッシングサイトの検出対象から除外する。
したがって、解析システム１は、頻繁にアクセスされるＷｅｂページを通常の良性サイトと判断して、誤検出を抑制すると共に、処理負荷を低減できる。

【0071】

解析システム１は、Ｗｅｂページの構成情報のうち、既知のフィッシングサイトのシグネチャと共通するリソース情報の個数が閾値未満の場合、このＷｅｂページを検出対象から除外する。
これにより、解析システム１は、僅かなリソースの偶然の一致による誤検出を抑制できる。
さらに、解析システム１は、所定以上のサイズのリソースに関するリソース情報の個数が閾値未満の場合に、Ｗｅｂページを検出対象から除外することで、識別性の低いリソース情報による判定を行わず、例えば画像がファビコンだけのようなサイトを除外して、シグネチャとの偶然の一致による誤検出を抑制できる。

【0072】

解析システム１は、フィッシングサイトとして検出されたＷｅｂページからユーザ端末へのコンテンツの転送を停止することにより、ユーザ端末からのリクエストに応じて、適時にフィッシングサイトであるか否かを判断して悪性サイトの表示を抑制できる。

【0073】

解析システム１は、構成情報の類似度として、Ｊａｃｃａｒｄ係数を用いることにより、容易にシグネチャとの適切な類似判定を行うことができる。

【0074】

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

【0075】

解析システム１におけるシグネチャ生成方法及びフィッシングサイトの検出方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

【符号の説明】

【0076】

１ａ、１ｂ、１ｃ、１ｄ 解析システム
１０ａ 検出装置（シグネチャ生成装置）
１０ｂ シグネチャ生成装置
１０ｃ 検出装置
１０ｄ 検出装置
１１ａ、１１ｂ、１１ｃ、１１ｄ 制御部
１２ａ、１２ｂ、１２ｃ、１２ｄ 記憶部
２０ Ｗｅｂプロキシサーバ
３０ Ｗｅｂクローラ
１１１ 生成部
１１２ 特定部
１１３ 出力部
１１４ 検出部
１１５ 登録部
１１６ 通知部

【図1】

【図2】

【図3】

【図4】