特許 7464804 セキュリティテストシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】

(24)【登録日】2024-04-01

(45)【発行日】2024-04-09

(54)【発明の名称】セキュリティテストシステム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20240402BHJP

【ＦＩ】

G06F21/57 370

【請求項の数】 5

(21)【出願番号】P 2024001934

(22)【出願日】2024-01-10

【審査請求日】2024-01-11

【早期審査対象出願】

(73)【特許権者】

【識別番号】308020663

【氏名又は名称】株式会社ユービーセキュア

(74)【代理人】

【識別番号】100216677

【弁理士】

【氏名又は名称】坂次 哲也

(72)【発明者】

【氏名】岡島 未来

(72)【発明者】

【氏名】筧 賢太

【審査官】金沢 史明

(56)【参考文献】

【文献】国際公開第２０２２／０５９１４６（ＷＯ，Ａ１）

【文献】中国特許出願公開第１１４４９１５６０（ＣＮ，Ａ）

【文献】特開２０２０－０３８６９０（ＪＰ，Ａ）

【文献】中国特許出願公開第１１３２８２８４９（ＣＮ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ２１／５７

(57)【特許請求の範囲】

【請求項1】

Ｗｅｂアプリケーションにおけるセキュリティの脆弱性の有無を検査するセキュリティテストシステムであって、
検査対象の前記Ｗｅｂアプリケーション内のページを巡回して取得し、取得した前記ページ内のリンクに係る１つ以上の第１のＵＲＬを取得して、予め設定された同一判定ルールにより前記各第１のＵＲＬに係るページが前記Ｗｅｂアプリケーション内の他のページと同一であるか否かを判定して、同一ではないと判定した場合に前記第１のＵＲＬを巡回対象ページリストに登録し、
前記巡回対象ページリストに新たに登録された第２のＵＲＬをプロンプトに設定してＬＬＭ（大規模言語モデル）に入力してグルーピングさせ、前記グルーピングの結果に基づいて、同じグループに含まれるＵＲＬを特定するためのルールを生成して前記同一判定ルールの内容を更新する、セキュリティテストシステム。

【請求項2】

請求項１に記載のセキュリティテストシステムにおいて、
更新された前記同一判定ルールにより前記巡回対象ページリストに登録されているＵＲＬに係るページが前記Ｗｅｂアプリケーション内の他のページと同一であるか否かを判定する、セキュリティテストシステム。

【請求項3】

請求項１に記載のセキュリティテストシステムにおいて、
前記巡回対象ページリストに登録されている各第３のＵＲＬには、前記第３のＵＲＬに係るページが前記Ｗｅｂアプリケーション内の他のページと同一であるか否かの判定結果に基づいて設定された、巡回の優先度が併せて登録されている、セキュリティテストシステム。

【請求項4】

請求項１に記載のセキュリティテストシステムにおいて、
前記ＬＬＭによる前記グルーピングの結果において同一のグループに含まれる第４のＵＲＬのペアについて、前記第４のＵＲＬのペアそれぞれのＨＴＭＬの全部もしくは一部をプロンプトに設定して前記ＬＬＭに入力して、前記第４のＵＲＬのペアのコンテンツが同一であるか否かを判定させ、判定結果に基づいて前記グルーピングの結果を更新する、セキュリティテストシステム。

【請求項5】

請求項１に記載のセキュリティテストシステムにおいて、
前記巡回対象ページリスト内の各ＵＲＬについて前記同一判定ルールにより同一であると判定された各ＵＲＬ群に係る情報をプロンプトに設定して前記ＬＬＭに入力して、前記ＵＲＬ群を識別可能な自然言語によるラベルを設定させる、セキュリティテストシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、アプリケーションのテスト技術に関し、特に、Ｗｅｂアプリケーションの脆弱性の有無を検査するセキュリティテストシステムに適用して有効な技術に関するものである。

【背景技術】

【0002】

Ｗｅｂアプリケーションはネットワークの利用が前提であり、セキュリティの観点から脆弱性の有無を検査・テストすることは非常に重要である。Ｗｅｂアプリケーションの脆弱性の有無を検査するツールやサービスは各種のものが利用可能であり、検討・開発も日々に行われている。

【0003】

Ｗｅｂアプリケーションのセキュリティテストの手法としては、大きくＳＡＳＴ（Static Application Security Testing）と、ＤＡＳＴ（Dynamic Application Security Testing）に分けられる。ソースコード等を静的に分析するＳＡＳＴに対して、ＤＡＳＴでは、稼働しているアプリケーションに対して、攻撃者の視点を踏まえて疑似的な攻撃（検査）リクエストを送信し、アプリケーションの挙動の変化から脆弱性があるかどうかを判定する。したがって、ＤＡＳＴによるセキュリティテストの仕組みでは、Ｗｅｂアプリケーションにおいて攻撃（検査）の対象とするページを特定する必要があり、そのために対象のＷｅｂアプリケーション（Ｗｅｂサイト）を自動もしくは手動により巡回してリンク等の構成を解析して、ページの情報を収集することが行われる。

【0004】

このようなＷｅｂサイトの自動巡回に関する技術として、例えば、特許第７３２０２１１号公報（特許文献１）には、Ｗｅｂサイトの脆弱性検査において、Ｗｅｂサイトを自動巡回する際に、ＡＩ（Artificial Intelligence）を利用し、脆弱性の検査が必要な検査必要機能を判定し、Ｗｅｂページにおいて実行可能な複数の実行可能操作と検査必要機能との関連度を判定して、関連度が高いものとして特定された操作を優先して実行することが記載されている。

【先行技術文献】

【特許文献】

【0005】

【文献】特許第７３２０２１１号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

上記の従来技術によれば、Ｗｅｂサイトの自動巡回の際、各Ｗｅｂページにおいて実行可能な複数の操作のうち、優先度の高い操作から実行して巡回することができるため、例えば、自動巡回するＷｅｂページの数や階層数、経過時間等により上限が設定されているような場合でも、重要な機能の検査漏れを抑制することができるとされている。

【0007】

ここで、例えば、ＥＣ（Electronic Commerce）サイトのように膨大な商品に対応した多数のページを有するＷｅｂサイトでは、異なる商品であっても同じコード（プログラム）やテンプレートにより生成されたページが数千件など多数あることも多い。この場合、これらすべてのページを巡回する必要はなく、１ページ巡回すれば十分である。しかしながら、上記の従来技術によれば、当該コードにより生成されたページに検査必要機能と関連度が高い操作が含まれていると、当該コードにより生成された多数のページすべてが巡回対象となってしまい、巡回規模が膨大となる上に、巡回に制限が設定されている場合には巡回し切れないという場合も生じ得る。

【0008】

そこで本発明の目的は、Ｗｅｂサイト内の各Ｗｅｂページのコンテンツが実質的に同一か否かを判定し、実質的に同一であるＷｅｂページを特定してグルーピングすることで効率的・効果的に自動巡回を行うセキュリティテストシステムを提供することにある。

【0009】

本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記載および添付図面から明らかになるであろう。

【課題を解決するための手段】

【0010】

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。

【0011】

本発明の代表的な実施の形態であるセキュリティテストシステムは、Ｗｅｂアプリケーションにおけるセキュリティの脆弱性の有無を検査するセキュリティテストシステムであって、検査対象の前記Ｗｅｂアプリケーション内のページを巡回して取得し、取得した前記ページ内のリンクに係る１つ以上の第１のＵＲＬを取得して、予め設定された同一判定ルールにより前記各第１のＵＲＬに係るページが前記Ｗｅｂアプリケーション内の他のページと同一であるか否かを判定して、同一ではないと判定した場合に前記第１のＵＲＬを巡回対象ページリストに登録し、前記巡回対象ページリストに新たに登録された第２のＵＲＬをプロンプトに設定してＬＬＭ（大規模言語モデル）に入力してグルーピングさせ、前記グルーピングの結果に基づいて、同じグループに含まれるＵＲＬを特定するためのルールを生成して前記同一判定ルールの内容を更新するものである。

【発明の効果】

【0012】

本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば、以下のとおりである。

【0013】

すなわち、本発明の代表的な実施の形態によれば、Ｗｅｂサイトの脆弱性の検査の仕組みにおいて、Ｗｅｂサイト内の各Ｗｅｂページのコンテンツが実質的に同一か否かを判定し、実質的に同一であるＷｅｂページを特定してグルーピングすることで効率的・効果的に自動巡回を行うことが可能となる。

【図面の簡単な説明】

【0014】

【図1】本発明の一実施の形態であるセキュリティテストシステムの構成例について概要を示した図である。

【図2】本発明の一実施の形態における自動巡回処理の流れの例について概要を示したフローチャートである。

【図3】本発明の一実施の形態におけるリンク先のＵＲＬの抽出の例について概要を示した図である。

【図4】本発明の一実施の形態における新規ＵＲＬの抽出の例について概要を示した図である。

【図5】本発明の一実施の形態におけるページの仮グルーピングの例について概要を示した図である。

【図6】本発明の一実施の形態におけるコンテンツの内容の比較による同一性の判定の例について概要を示した図である。

【図7】本発明の一実施の形態における同一判定ルールの生成の例について概要を示した図である。

【図8】本発明の一実施の形態におけるＵＲＬのラベリングの処理の流れの例について概要を示したフローチャートである。

【図9】本発明の一実施の形態におけるＵＲＬ群のラベリングの例について概要を示した図である。

【図10】本発明の一実施の形態における巡回対象ページリストのデータ構成の例について概要を示した図である。

【図11】本発明の一実施の形態における同一判定ルールのデータ構成の例について概要を示した図である。

【図12】本発明の一実施の形態におけるページリストのデータ構成の例について概要を示した図である。

【発明を実施するための形態】

【0015】

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一の符号を付し、その繰り返しの説明は省略する。一方で、ある図において符号を付して説明した部位について、他の図の説明の際に再度の図示はしないが同一の符号を付して言及する場合がある。

【0016】

＜概要＞
上述したように、ＤＡＳＴによるＷｅｂサイトのセキュリティテストでは、対象Ｗｅｂサイトの巡回により検査対象とする各Ｗｅｂページの情報を収集、特定する。Ｗｅｂサイトによっては、例えば、別のページではあるが内容、コンテンツが実質的に同一であるページが多数存在する場合がある。このようなＷｅｂサイトを自動巡回する場合、これらのページをそれぞれ巡回対象することで巡回時間が大幅に伸び、自動巡回にページ数や経過時間等の制限が設定されている場合、他のページが巡回できない場合が生じ得る。

【0017】

しかし、脆弱性の検査においては、検査対象のＷｅｂサイト内のすべてのページを網羅することではなく、各ページを生成したコード（プログラム）等を網羅することが求められる。例えば、ＥＣサイトにおいて販売する商品のページが数千件あり、これら各ページは同じコードやテンプレートにより生成されていた場合、まとめて１件巡回すれば検査としては十分であるが、数千件すべて巡回しようとして膨大な時間を要してしまうということが生じる。しかし、自動巡回中に各Ｗｅｂページがどのコードから生成されたのかを知ることはできないため、結局は総当たりで各ページを巡回せざるを得ないことになる。

【0018】

そこで本発明の一実施の形態であるセキュリティテストシステムでは、各ページのＵＲＬ（Uniform Resource Locator）やページの内容等の情報に基づいて実質的に同一のページ（同一のコード等から生成されたページ）であるか否かを判定し、実質的に同一のページをグルーピングして優先度を設定可能とする。これにより巡回対象のページを実質的に削減し、効率的・効果的な自動巡回を実現する。

【0019】

一方で、上記の自動巡回により取得・収集した検査対象のページについては、その網羅性なども含めて巡回が十分であるか否かをユーザが確認できるよう、ＵＲＬの一覧や画面遷移図等の形式によりユーザに提示することになる。しかし、ユーザとしては、ＵＲＬのパスを見てもそれがどのような画面のページなのか容易に理解することができない上に、Ｗｅｂサイトによっては対象ページが数百件にもなる場合があり、いずれの形式で提示しても自動巡回が十分であるかを確認することは困難である。

【0020】

そこで本実施の形態であるセキュリティテストシステムでは、自動巡回により取得した検査対象の各Ｗｅｂページに適切な名称を付してラベリングすることで、ユーザによる識別性を向上させ、効率的・効果的な自動巡回を実現する。

【0021】

＜システム構成＞
図１は、本発明の一実施の形態であるセキュリティテストシステムの構成例について概要を示した図である。セキュリティテストシステム１は、例えば、サーバ機器やクラウドコンピューティングサービス上に構築された仮想サーバ等により構成され、これにユーザが使用するＰＣ（Personal Computer）等のユーザ端末２が、図示しないインターネットやＶＰＮ（Virtual Private Network）、ＬＡＮ（Local Area Network）などのネットワークを介して、図示しないＷｅｂブラウザや専用のアプリケーション等を利用してアクセスする構成を有する。

【0022】

セキュリティテストシステム１は、例えば、図示しないＣＰＵ（Central Processing Unit）により、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の記録装置からメモリ上に展開したＯＳ（Operating System）やＤＢＭＳ（DataBase Management System）、Ｗｅｂサーバプログラム等のミドルウェアや、その上で稼働するソフトウェアを実行することで、セキュリティテストの実施に係る各種機能を実現する。このセキュリティテストシステム１は、例えば、ソフトウェアにより実装された検査管理部１１、巡回処理部１２、および検査実施部１３などの各部を有する。また、データベースやファイルテーブル等により実装された巡回対象ページリスト１４、同一判定ルール１５、ページリスト１６、検査結果１７などの各データストアを有する。

【0023】

検査管理部１１は、例えば、ユーザ端末２を介して検査対象となる対象Ｗｅｂサイト３に係る情報の入力や設定をユーザから受け付けたり、検査の実施に係る各種の設定や指示等の入力を受け付けたり、検査の実施結果である検査結果１７に基づいてレポートを作成してユーザ端末２を介してユーザに提示したり等、脆弱性検査に係る管理機能やユーザインタフェースの機能を有する。

【0024】

巡回処理部１２は、例えば、ユーザから指定された対象Ｗｅｂサイト３について自動で巡回し、検出したＷｅｂページについて同一判定ルール１５に基づいて実質的に同一のページ（コンテンツ）か否かを判定して、判定結果に応じてグルーピングして巡回の優先度を設定した上で巡回対象ページリスト１４に登録する機能を有する。また、グルーピングされたＷｅｂページ群について適切な名称を付してラベリングし、ページリスト１６として出力する機能も有する。なお、グルーピングやラベリングの処理に際しては、ＣｈａｔＧＰＴ（登録商標）等の外部もしくは内部のＬＬＭ（Large language Models：大規模言語モデル）４を利用する。巡回処理部１２の処理内容の詳細については後述する。

【0025】

検査実施部１３は、例えば、ページリスト１６に登録されている各Ｗｅｂページについて、ＤＡＳＴの手法による脆弱性の検査を実施する機能を有する。すなわち、対象の各Ｗｅｂページについて、対象Ｗｅｂサイト３にリクエストを送信する際にフォームに不正な値を入力する等により擬似的な攻撃リクエストとして送信する。そして、対象Ｗｅｂサイト３からのレスポンスについて通常と異なる応答であるか否かを解析して脆弱性の有無を判定するとともに、判定結果を検査結果１７に記録する。

【0026】

＜処理の流れ＞
図２は、本発明の一実施の形態における巡回処理部１２による自動巡回処理の流れの例について概要を示したフローチャートである。自動巡回処理を開始すると、巡回処理部１２では、まず、ユーザから指定された対象Ｗｅｂサイト３の開始ページを取得して巡回対象ページリスト１４に登録する（Ｓ０１）。そして、自動巡回の終了条件に該当するか否かを判定する（Ｓ０２）。例えば、巡回対象ページリスト１４が空であるか、もしくは巡回したページ数が予め設定された上限値に到達したか、もしくは巡回開始からの経過時間が予め設定されたタイムアウト時間に到達したかのいずれかに該当した場合に、終了条件に該当したものと判定し（ステップＳ０２でＹｅｓ）、自動巡回処理を終了する。

【0027】

終了条件に該当していない場合（ステップＳ０２でＮｏ）、巡回対象ページリスト１４から巡回対象のページの情報を取得して（Ｓ０３）、対象Ｗｅｂサイト３の当該ページにアクセスし、当該ページを解析することでリンク先のＵＲＬの情報を抽出する（Ｓ０４）。

【0028】

図３は、本発明の一実施の形態におけるリンク先のＵＲＬの抽出の例について概要を示した図である。ここでは、対象Ｗｅｂサイト３における対象ページのＨＴＭＬ（Hyper Text Markup Language）データを取得して、これを公知の手法により解析して下段の図に示すようなリンク先のＵＲＬのリストを得たことを示している。なお、対象ページ内には図中の例のように複数のリンクが含まれている場合があるが、これらのリンクの中には、それぞれＵＲＬは異なるものの、実質的には同一であるとみなしたい（リンク先の各ページは同一のコード等により生成されている）ＵＲＬ群がある場合がある。

【0029】

図２に戻り、対象ページから図３の例に示すようなリンク先のＵＲＬのリストを取得（ステップＳ０４）した後、これらの各ＵＲＬについて他のＵＲＬと実質的に同一のコンテンツであるかを判定し、同一ではない新規ＵＲＬを抽出する（Ｓ０５）。そして、新規ＵＲＬについては巡回の優先度を高く設定するとともに、同一であると判定されたＵＲＬについては巡回の優先度を下げ（Ｓ０６）、新規ＵＲＬを巡回対象ページリスト１４に登録する（Ｓ０７）。これにより、以後の自動巡回において、巡回対象ページリスト１４に登録されたＵＲＬを総当りするのに代えて、新規ＵＲＬを優先的に巡回するように制御することができる。

【0030】

図４は、本発明の一実施の形態における新規ＵＲＬの抽出の例について概要を示した図である。ここでは、上段の図に示した、対象ページの解析により取得したリンク先のＵＲＬのリストに対して、同一判定ルール１５を適用したルールベースでの判定により、下段の図に示した、同一ではない新規ＵＲＬのリストを抽出したことを示している。なお、同一判定ルール１５には、後述するように、これと合致するものは実質的に同一であるとみなすＵＲＬを正規表現により表したリストが登録されている。図中の同一判定ルール１５の先頭行のＵＲＬの末尾における”＄｛ｉｄ｝”のようにプレースホルダーを用いて可変の文字列・数字を扱えるようにしてもよい。これにより、例えば、上段の図のＵＲＬリストにおける３行目～５行目のＵＲＬは、いずれも図中の同一判定ルール１５の先頭行のＵＲＬと合致するとしてすべて実質的に同一であると判定することができる。

【0031】

図２に戻り、新規ＵＲＬを巡回対象ページリスト１４に登録（ステップＳ０７）した後、巡回対象ページリスト１４に新たに登録されたＵＲＬが所定の数以上蓄積されたか否かを判定する（Ｓ０８）。ここでは、例えば、後述するステップＳ０９以降の処理により同一判定ルール１５が直近で生成・更新されて以降に巡回対象ページリスト１４に新たに登録されたＵＲＬの数を対象とする。この数が例えば２０件未満の場合にはまだ新規ページ（ＵＲＬ）が蓄積されていないとして（ステップＳ０８でＮｏ）、ステップＳ０２に戻って以降の処理を繰り返す。なお、繰り返しの処理では、ステップＳ０５で実質的に同一のコンテンツであるかを判定する対象となるＵＲＬとして、これまでに同一のコンテンツではない新規ＵＲＬであると判定されてグルーピングされていないＵＲＬを含むようにしてもよい。

【0032】

一方、新たに登録されたＵＲＬの数が例えば２０件以上となった場合は、新規ページが一定程度蓄積されたとして（ステップＳ０８でＹｅｓ）、以降の処理により、蓄積されたページの内容に基づいて同一判定ルール１５を更新する。まず、巡回対象ページリスト１４中の各ページについて、ＬＬＭ４を利用して実質的に同一と推測されるページ（ＵＲＬ）を仮グルーピングし（Ｓ０９）、さらに、仮グルーピングされたリストからグループを選択して、その中のＵＲＬの各ペアについて、ＬＬＭ４を利用してページの内容を比較・検証して実質的に同一のコンテンツか否かを判定し（Ｓ１０）、判定結果に基づいてグルーピングを調整・確定する。なお、図２および後述する図８において、ＬＬＭ４を利用したＡＩでの処理が行われるステップは理解の便宜のため網掛けにより示している。

【0033】

このステップＳ１０の処理、すなわちページのコンテンツの内容を比較して同一性を判定する処理は、処理コストが高く、すべてのＵＲＬの組み合わせに対して比較・検証することは時間的制約からも困難な場合がある。そこで本実施の形態では、事前にステップＳ０９において、ＵＲＬの外形から同じと思われるＵＲＬを仮グルーピングすることで、ページのコンテンツの内容を比較する対象の組み合わせを絞り込む。なお、より一層の高速化を図るため、ステップＳ１０でのコンテンツの内容の比較処理を行わず、ステップＳ０９で得られた仮グルーピングされたリストをそのまま採用して後続の処理を行うようにしてもよい。

【0034】

図５は、本発明の一実施の形態におけるページの仮グルーピング（図２のステップＳ０９）の例について概要を示した図である。ここでは、例えば、巡回対象ページリスト１４に登録されているＵＲＬでまだ巡回していないもののうち、巡回の優先度が高いものから順に一定数（例えば、２０件）のＵＲＬを抽出して、ＬＬＭ４に入力するプロンプトのテンプレートに設定することで、上段の図に示すような、ＬＬＭ４にＵＲＬのグルーピングをさせるためのプロンプトを得る。これをＬＬＭ４に入力することで、下段の図に示すような配列の配列（入れ子）の形で仮グルーピングの出力を得ることができる。なお、本実施の形態では、上述したようにプロンプトにはＵＲＬのリストを設定しているが、グルーピングの精度を向上させるため、例えば、対象ＵＲＬに対するリクエストとレスポンスの一部など、他の情報を追加で設定するようにしてもよい。

【0035】

図６は、本発明の一実施の形態におけるコンテンツの内容の比較による同一性の判定（図２のステップＳ１０）の例について概要を示した図である。ここでは、上述の図５の下段の図に示したような仮グルーピングリストの中からグループ（上位の配列における各要素）を選択し、さらにそこに含まれるＵＲＬ（下位の配列における各要素）のペア（すなわち、仮グルーピングによって同一のページであると判定されたＵＲＬのペア）を選択して、ペア中の各ＵＲＬのＨＴＭＬの内容をプロンプトのテンプレートに設定することで、図６の上段の図に示すような、ＬＬＭ４にコンテンツの同一性を判定させるためのプロンプトを得る。これをＬＬＭ４に入力することで、下段の図に示すような判定結果の出力（”ｔｒｕｅ”、同一）を得ることができる。

【0036】

なお、比較対象の各ページについてプロンプトに設定するＨＴＭＬは、全体をそのまま設定してもよいし、ＬＬＭ４が解釈できるプロンプトのトークン数の上限も考慮して、一部を抽出・省略等して設定してもよい。例えば、コンテンツの特徴が出そうな重要な要素だけにフィルタリングして設定する（例えば、ＨＴＭＬのテキストは省略してタグの構造のみとする）など、有効な比較が可能となるように適宜加工して設定することができる。レスポンスボディがＨＴＭＬではない場合（ＪＳＯＮ（JavaScript Object Notation）やｔｅｘｔなど）にこれらをプロンプトに設定してもよいし、レスポンスボディ以外にレスポンスヘッダやリクエストを設定してもよい。

【0037】

図２に戻り、実質的に同一のコンテンツを判定して（ステップＳ１０）グルーピングを確定させた後、その内容に基づいて同一判定ルール１５を生成もしくは更新する（Ｓ１１）。

【0038】

図７は、本発明の一実施の形態における同一判定ルール１５の生成の例について概要を示した図である。上段の図は、図２のステップＳ０９の処理により得られた仮グルーピングリストの例である。そして、左側の中段の図は、仮グルーピングリスト内の各グループの中で、図２のステップＳ１０の処理によりコンテンツの比較によって実質的に同一であると判断されたＵＲＬを示し、左側の下段の図は、これらのＵＲＬを特定する（すなわち同一のものと判断する）ためのルール（正規表現）を示している。このルールは同一判定ルール１５に追加される。なお、上述したように、可変の文字列や数字に対応する”＄｛ｉｄ｝”のようなプレースホルダーを用いて表現するようにしてもよい。

【0039】

一方、右側の中段の図は、仮グルーピングリスト内の各グループの中で、コンテンツの比較によって相違すると判断されたＵＲＬを示し、右側の下段の図は、これらのＵＲＬを相違するものと判断する（それぞれ別のＵＲＬとして識別する）ためのルール（正規表現）を示している。このルールも同様に同一判定ルール１５に追加される。

【0040】

図２に戻り、同一判定ルール１５を生成・更新（ステップＳ１１）した後、この同一判定ルール１５を使用して、巡回対象ページリスト１４に新たに蓄積されているページについてルールベースで同一のコンテンツであるか否かを判定する（Ｓ１２）。ここでの処理の内容は、上述の図４の例で示した処理（図２のステップＳ０５）と同様であるため、再度の説明は省略する。ステップＳ１２において新たに同一であると判定されたＵＲＬについては、巡回の優先度を下げて巡回対象ページリスト１４を更新する（Ｓ１３）。その後、ステップＳ０２に戻って、自動巡回の終了条件に達するまで以降の処理を繰り返す。

【0041】

図８は、本発明の一実施の形態におけるＵＲＬのラベリングの処理の流れの例について概要を示したフローチャートである。ここでは、上述の図２に示した自動巡回処理が終了した後、実質的に同一であると判定されてグルーピングされた巡回対象ページリスト１４内のＵＲＬ群毎に対して、ＬＬＭ４を利用して、ユーザによる識別が容易となるような名称を付してラベリングする（Ｓ２１）。

【0042】

図９は、本発明の一実施の形態におけるＵＲＬ群のラベリングの例について概要を示した図である。ここでは、実質的に同一であると判定されグルーピングされたＵＲＬのリスト（正規表現で表された同一判定ルール１５でもよい）を、ＬＬＭ４に入力するプロンプトのテンプレートに設定することで、上段の図に示すような、ＬＬＭ４にラベリングをさせるためのプロンプトを得る。これをＬＬＭ４に入力することで、下段の図に示すような形でＵＲＬ毎に自然言語によるラベル（図中の例では”トップページ”や”ファッションカテゴリ”）が設定された形の出力を得ることができる。なお、本実施の形態では、上述したようにプロンプトにはＵＲＬのリストを設定しているが、ラベリングの精度を向上させるため、例えば、対象ＵＲＬのページタイトルや、対象ＵＲＬに対するリクエストとレスポンスの一部など、他の情報を追加で入力するようにしてもよい。

【0043】

図８に戻り、実質的に同一と判定されたＵＲＬ群に対してＬＬＭ４を利用してラベリング（ステップＳ２１）した後、巡回対象（巡回結果）のページの一覧にラベルを付した状態でページリスト１６として出力し（Ｓ２２）、処理を終了する。ページリスト１６は、例えば、検査管理部１１によりユーザ端末２を介してユーザに提示され、ユーザは各ページ（ＵＲＬ）がどのようなページか容易に把握することができる。

【0044】

＜データ構成＞
図１０は、本発明の一実施の形態における巡回対象ページリスト１４のデータ構成の例について概要を示した図である。巡回対象ページリスト１４は、自動巡回の対象となる（もしくは巡回した）ページ（ＵＲＬ）のリストを保持するテーブルであり、例えば、巡回対象ページＩＤ、巡回リクエストＩＤ、ＵＲＬ、メソッド、リクエスト、レスポンス、キャプチャ、ページ巡回ステータス、およびページ巡回優先度などの各項目を有する。

【0045】

巡回対象ページＩＤの項目は、巡回対象のページを一意に特定するＩＤの情報を保持する。また、巡回リクエストＩＤの項目は、対象のページが含まれる対象Ｗｅｂサイト３に対する巡回のリクエストを一意に特定するＩＤの情報を保持する。巡回のリクエスト毎に個別に特定可能とすることで、例えば、巡回毎にそれぞれの全体としてのステータス（巡回待ち、巡回中、巡回完了等）の情報を図示しない管理テーブル等により別途管理することができる。

【0046】

ＵＲＬの項目は、対象のページのＵＲＬの情報を保持する。また、メソッド、リクエスト、レスポンス、キャプチャの各項目は、それぞれ、対象のページのメソッド（ＧＥＴ、ＰＯＳＴ、ＰＵＴ等）、対象のページに対するリクエストとこれに対するレスポンスの情報、対象のページをキャプチャした情報を保持する。また、ページ巡回ステータスの項目は、対象のページに対する巡回のステータス（巡回待ち、巡回中、巡回完了等）の情報を保持する。また、ページ巡回優先度の項目は、対象のページの巡回の優先度の情報を保持する。この優先度が高いページを優先して巡回することで、自動巡回にページ数や時間等の制限がある場合でも効率的・効果的に巡回することができる。

【0047】

図１１は、本発明の一実施の形態における同一判定ルール１５のデータ構成の例について概要を示した図である。同一判定ルール１５は、実質的に同一であるとみなすＵＲＬを判定するための正規表現等からなるルールのリストを保持するテーブルであり、例えば、ルールＩＤ、巡回リクエストＩＤ、判定ルール、およびコンテンツ巡回優先度などの各項目を有する。

【0048】

ルールＩＤの項目は、各判定ルールを一意に特定するＩＤの情報を保持する。また、巡回リクエストＩＤの項目は、対象の判定ルールが適用される（適用された）巡回のリクエストを一意に特定するＩＤの情報を保持する。また、判定ルールの項目は、実質的に同一のコンテンツであるＵＲＬを特定する正規表現等からなるルールを保持する。この正規表現にマッチするＵＲＬは同一のコンテンツであると判定する。また、コンテンツ巡回優先度の項目は、対象のルールにより同一であると判定されたページにおけるコンテンツの巡回の優先度の情報を保持する。例えば、ＥＣサイトにおける決済機能など、優先して検査すべきコンテンツの優先度を高く設定する。

【0049】

図１２は、本発明の一実施の形態におけるページリスト１６のデータ構成の例について概要を示した図である。ページリスト１６は、自動巡回の結果得られたページについて実質的に同一のコンテンツをグルーピングしたリストを保持するテーブルであり、例えば、ページＩＤ、ＵＲＬ、およびラベルなどの各項目を有する。

【0050】

ページＩＤの項目は、対象のページを一意に特定するＩＤの情報を保持する。また、ＵＲＬの項目は、対象のページのＵＲＬの情報を保持する。また、ラベルの項目は、対象のページに対して付された名称等の自然言語のラベルの情報を保持する。ユーザはこのラベルを参照することにより対象のＵＲＬがどのようなページやコンテンツに係るものであるかを容易に把握することができ、ページのリストの識別性を向上させることができる。

【0051】

以上に説明したように、本発明の一実施の形態であるセキュリティテストシステム１によれば、対象Ｗｅｂサイト３の各ページのＵＲＬやページの内容等の情報に基づいて実質的に同一のページ（同一のコードやテンプレート等から生成されたページ）であるか否かを判定し、実質的に同一のページをグルーピングする。これにより自動巡回の対象のページを実質的に削減し、効率的・効果的な自動巡回を実現することができる。さらに、自動巡回により取得した検査対象の各Ｗｅｂページに適切な名称を付してラベリングすることで、ユーザによる識別性を向上させ、効率的・効果的な自動巡回を実現することができる。

【0052】

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は上記の実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

【0053】

例えば、上記の実施の形態では、実質的に同一のページをグルーピングする際、同一判定ルール１５を適用したルールベースでの判定を行い（図２のステップＳ０５）、この同一性判定ルール１５について、ＬＬＭ４による仮グルーピングとコンテンツの同一性の判定（図２のステップＳ０９、Ｓ１０）の結果に基づいて更新する（ステップＳ１１）という構成としているが、ルールベースの判定を用いず、ＬＬＭ４による仮グルーピングとコンテンツの同一性の判定の結果をもって実質的に同一のページをグルーピングする構成としてもよい。

【0054】

また、上記の実施の形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、上記の実施の形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

【0055】

また、上記の各構成、機能、処理部、処理手段等は、それらの一部または全部を、例えば、集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリやハードディスク、ＳＳＤ等の記録装置、またはＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

【0056】

また、上記の各図において、制御線や情報線は説明上必要と考えられるものを示しており、必ずしも実装上の全ての制御線や情報線を示しているとは限らない。実際にはほとんど全ての構成が相互に接続されていると考えてもよい。

【産業上の利用可能性】

【0057】

本発明は、Ｗｅｂアプリケーションの脆弱性の有無を検査するセキュリティテストシステムに利用可能である。

【符号の説明】

【0058】

１…セキュリティテストシステム、２…ユーザ端末、３…対象Ｗｅｂサイト、４…ＬＬＭ、
１１…検査管理部、１２…巡回処理部、１３…検査実施部、１４…巡回対象ページリスト、１５…同一判定ルール、１６…ページリスト、１７…検査結果

【要約】

【課題】Ｗｅｂサイト内の各Ｗｅｂページのコンテンツが実質的に同一か否かを判定し、実質的に同一であるＷｅｂページを特定してグルーピングすることで効率的・効果的に自動巡回を行う。
【解決手段】対象Ｗｅｂサイト３内のページを巡回して取得し、取得したページ内のリンクに係るＵＲＬを取得して、同一判定ルール１５により他のページと同一であるか否かを判定して、同一ではないと判定した場合にＵＲＬを巡回対象ページリスト１４に登録し、新たに登録されたＵＲＬが所定の数に達した場合に、各ＵＲＬをプロンプトに設定してＬＬＭ４に入力してグルーピングさせ、グルーピングの結果に基づいて、同じグループに含まれるＵＲＬを特定するためのルールを生成して同一判定ルール１５の内容を更新する。
【選択図】図１

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】