JP2015511338A - サービスプロバイダによって提供されたｉｐデータの信頼性を保証するための方法およびシステム - Google Patents

Abstract

コンピュータ実装方法およびシステム（１０）は、リポジトリ（１２）に記憶されているウェブコンテンツは、ウェブコンテンツを要求するクライアントに提供する前に、ウェブコンテンツの権限保持者によって承認された本物のウェブコンテンツであるウェブコンテンツから外れているかどうかを識別する。リポジトリへのウェブ通信は監視され、また、ウェブコンテンツが所定の規格に準拠していることを立証するために、ウェブコンテンツは傍受され、また、安全な環境（３５）で解析される。そうでない場合、ウェブコンテンツを提供するウェブホストは警告される。一実施形態では、クライアントに提供する前に、ウェブコンテンツを傍受して解析し、認証されるか、または、適切な修正が施された後に受信可能なようにレンダリングされた場合にのみ、クライアントに提供される。

Description

本発明は、ネットワークデータのセキュリティに関し、より詳しくは、ウェブサイトのデータの整合性に関する。

望ましくないウイルスのダウンロード、スパイウェア、アドウェア、ワーム、トロイの木馬、その他の悪質なコードから保護することを目的とした、インターネットのためのデータセキュリティシステムに関連する先行技術の富がある。

米国特許出願公開第２００９／０２８７６５３号明細書は、マルウェアが含まれているコンテンツの一部へのアクセスを防止するように適応されたインターネットブラウザを開示している。

国際公開第２０１０／０２９０３６号は、有効なデジタル署名をチェックし、署名が信頼できるソースに属していることを検証することに基づいて、コンピュータ内に実装されたマルウェアの検出方法が開示されている。署名が信頼できるソースに属していると確認できない場合、マルウェアのスキャンが行われる。

米国特許出願公開第２００８／０２６２９９１号明細書は、コンピュータまたはコンピュータシステムにセキュリティおよび保護を提供するために、自己組織化マップ等のようなパターン認識のための人工ニューロンのセットを使用して、データフローを処理し、また、コンピュータネットワークを含むコンピュータシステムに関する脅威の種類に関連する、様々なパターンに少なくとも部分的に基づいて、統合された脅威の管理をサポートするための、システムおよび方法が開示されている。システムは、正規表現のマッチングと自己組織化マップに基づいて、コンテンツマッチングと異常動作検出手法を適用することで、ＩＰスタックのアクセス可能なレイヤー全体のセキュリティの脅威や侵入を検出する。

米国特許第７５６５５５０号明細書は、システム管理者の特定のニーズに応じて、検査モードの数のいずれかにおけるネットワークトラフィックの流れを監視することが可能な、ネットワークレベルのウイルス監視システムを開示している。システムは、コンピュータウイルスやワームを検出し、ポリシーおよび検出ルールで定義された複数の観測された異常事象の統計結果を使用するための検出ルールを複数記憶し、供給するために使用されるルールエンジンを記憶するコントローラを含む。異常動作レポートが生成され、実行するアクションを決定するために、サーバコンピュータのいずれかによって評価される。

米国特許第７２９６２７４号明細書には、詐欺および／または情報システムにおけるロジックの変更された実行を提供する方法および装置を開示している。特定の実施形態において、詐欺および／または保護は、オペレーティングシステムの１つ以上のシステムコールの動作を変更および／または傍受することによって提供される。

既知のシステムおよび方法は、一般に、クライアントマシン上に存在するマルウェアからクライアントマシンを保護する必要性に向けられている。しかし、不正な事業者は、ウェブプロバイダのサーバに侵入し、クライアントによってダウンロードされた、ウェブプロバイダが意図していない情報と共に存在するデータを破壊することが知られている。マシン上で見られるように結果のウェブページには、クライアントへの事実上不正なデータを提示するだけでなく、ウェブプロバイダを誤表示し、かつ、メッセージをウェブプロバイダに伝達することを阻止する。

しかし、既知のシステムは、マルウェアがウェブページに埋め込まれていないという条件で、ウェブページの内容が破損していることを検出するために何もしないであろう。マルウェアが埋め込まれている場合でも、既知のシステムは、マルウェアを傍受およびブロックし、場合によってはエンドユーザに警告するが、ウェブコンテンツの整合性を確認することはできない。

本発明の目的は、ソースにおけるウェブコンテンツの整合性をチェックし、所有者が意図したものの忠実な表現である場合にのみ、クライアントマシンにダウンロードされることを可能にするネットワークセキュリティシステムおよび方法を提供することである。

この目的のために、本発明の一態様が提供されるが、レポジトリに格納されたウェブコンテンツが真正のウェブコンテンツから逸脱しているか否かを確認するための、コンピュータの実装方法であって、真正のウェブコンテンツは、ウェブコンテンツを要求するクライアントへ提供するのに先立って、ウェブコンテンツの権限保持者によって承認されたウェブコンテンツであって、方法は、リポジトリへのウェブ通信を監視し、クライアントに提供するのに先立って、ウェブコンテンツを傍受し、ウェブコンテンツが所定の規格に準拠していることを立証するために、安全な環境でウェブコンテンツを解析し、また、ウェブコンテンツが規格に準拠していない場合、ウェブコンテンツを提供するウェブホストを警告する。

本発明の別の態様によれば、レポジトリに格納されるウェブコンテンツが、コンテンツを要求するクライアントへ提供されることを防ぐための、コンピュータの実装方法であって、方法は、レポジトリへのウェブ通信を監視し、クライアントに提供するのに先立って、ウェブコンテンツを傍受し、ウェブコンテンツが期待どおりに動作することを立証するために、安全な環境でウェブコンテンツを解析し、ウェブコンテンツが期待どおりに動作する場合にだけ、クライアントへウェブコンテンツを提供する。

本発明の別の態様によれば、通信ネットワークを介して、ウェブコンテンツを要求するクライアントに提供するのに先立って、リポジトリに格納されたウェブコンテンツが疑われ得ることを識別するための装置であって、装置は、クライアントがウェブコンテンツを要求するために、リポジトリへアクセスを可能にする通信ポートと、リポジトリによってクライアントへアップロードされたウェブコンテンツを傍受するために、データ通信ネットワークに結合するためのデータ通信ポートを有するモニタリング部と、モニタリング部によって傍受されたウェブコンテンツを受信するためにモニタリング部に結合されて、ウェブコンテンツが所定の規格に準拠していることを立証するために、安全な環境でウェブコンテンツを解析する解析部と、解析部に結合され、ウェブコンテンツを提供することをウェブホストに警告するために、規格に準拠していないウェブコンテンツに応答するアラーティング部とを備える。

本発明のさらに別の態様によれば、リポジトリに格納されたウェブコンテンツが、データ通信ネットワークを介してウェブコンテンツを要求するクライアントに提供されることを防止するための装置であって、装置は、クライアントがウェブコンテンツを要求するために、リポジトリへアクセスを可能にする通信ポートと、リポジトリによってクライアントへアップロードされたウェブコンテンツを傍受するために、データ通信ネットワークに結合するためのデータ通信ポートを有するモニタリング部と、モニタリング部によって傍受されたウェブコンテンツを受信するためにモニタリング部に結合され、また、ウェブコンテンツが所定の規格に準拠していることを立証するために、安全な環境で受信されたウェブコンテンツを解析する解析部と、解析部に結合され、また、クライアントへのウェブコンテンツを遮断するために規格に準拠していないウェブコンテンツに応答する通信出力とを備える。

本発明を理解し、実際に実施され得るかを見るために、添付図面を参照して、唯一の非限定的な例として、実施形態が説明される。

本発明の実施形態に係る、インラインアナライザの配置のためのネットワーク構成の概略図である。

本発明の別の実施形態に係る、アウトオブバンドアナライザの配置のためのネットワーク構成の概略図である。

図１に示されたネットワークの概略図であって、ＨＴＴＰの解析において実行される主たる動作を詳細に示す。

いくつかの実施形態の以下の説明では、複数の図において現れるか、もしくは、類似の機能を共有する、同一の構成要素は同一の符号によって参照されるであろう。

図１は、ウェブサーバ１２（リポジトリを構成する）に記憶されたウェブコンテンツが、真正のウェブコンテンツから外れているか否かを確認することを目的に、ＨＴＴＰを解析するための、本発明に係るシステム１０の概略図である。本発明および添付の特許請求の範囲の文脈において、真正のウェブコンテンツは、ウェブコンテンツを要求するクライアントＦ１００へ先立って提供するウェブコンテンツの、権限保持者によって承認されたウェブコンテンツである。

ウェブサーバ１２へのウェブ通信は、インライン監視され、また、ウェブコンテンツは、トランスペアレントなＨＴＴＰゲートウェイの役割でＩＥＴＦ ＲＦＣ ２６１６に基づいて動作するか、もしくは、受動的なネットワークトラフィックのスニッフィングデバイスとして、ウェブコンテンツとオリジンサーバ（ウェブホスト）コンテンツの提供を要求しているクライアント間のトラフィックを傍受または盗聴することが出来るような方法で、ネットワークに配置された、カスタムＨＴＴＰプロキシソフトウェアを使用することによって、先立ってクライアント１１に提供するのが傍受される。プロキシソフトウェアは、すべてのＨＴＴＰ要求（クライアントから来る）および応答（オリジンサーバから来る）をデコードして検査する。ポリシー設定に応じて、それをそのまま、あるいは、修正された形で、または、それらを置き換えて、もしくは、それらを完全にブロックして渡すことが出来る。種々の起こり得る振る舞い、および、各振る舞いが適用される環境は、以下に詳述される。

従って、図１をより詳細に参照すると、インターネットなどのＩＰネットワーク１３を介してウェブサーバ１２と通信する、クライアント１１を備えるシステム１０が示されている。ウェブサーバ１２は、一般的には、１つ以上のバックエンドサーバ１４によってバックアップされる。サーバ１２は、クライアント１１とサーバ１２との間の通信を傍受するインターセプタ部１６を備えるＨＴＴＰプロキシアナライザ１５を介して、ＩＰネットワーク１３に接続される。具体的には、以下により詳細に説明され得るように、双方向のアクセス量が傍受されるが、サーバからのデータのみが解析されてフィルタされる。それにもかかわらず、クライアントからサーバへのデータは、クライアントの識別情報、および、適切なクライアントの要求に関して正しいクライアントにウェブの応答を伝えることができるように生成された、ＨＴＴＰリクエストを確立するために遮断される。ＨＴＴＰアナライザ１５内では、インターセプタ部１６は、スタティックアナライザ１７、ダイナミックアナライザ１８と、ビヘイビアアナライザ１９に接続される。スタティックアナライザ１７は、クライアントに到達するのに先立って、ウェブサーバ１２からクライアント１１へダウンロードした、ウェブページのスタティックコンテンツを解析するように構成される。ダイナミックアナライザ１８およびビヘイビアアナライザ１９は、ウェブページのダイナミックコンテンツおよび挙動について同等のタスクを実行し、クライアントの要求に応答して、まさにクライアントに伝達されようとしている、ウェブページのスタティックおよびダイナミックなコンテンツおよび挙動が、真正のウェブページに準拠しているか否かを判別する。

ＨＴＴＰアナライザ１５は、クライアントの表示装置上のウェブコンテンツが表示する画像を取得し、所定の代表画像と比較するように適合されてもよい。ダイナミックアナライザ１８は、ダイナミック機能が変更されているかどうか、もしくは、それらが所定のフォーマットに準拠しているか否かを判定してもよい。ビヘイビアアナライザ１９は、ユーザエクスペリエンスが所定の認証されたエクスペリエンスに適合しているかどうかを判定するために、ウェブコンテンツとユーザエクスペリエンスをシミュレートするためのシミュレータを含む。ユーザエクスペリエンスは、一般的にブラウザ依存であるため、シミュレータは、ウェブコンテンツを要求するウェブブラウザの識別情報を取得し、ブラウザ固有のシミュレーションを実行するように構成されてもよい。シミュレータはまた、反復累積部分的なウェブコンテンツが、所定の認証された部分的なウェブコンテンツに関連するエクスペリエンスに適合されることを判定するための装置によって傍受される、累積的で部分的なウェブコンテンツをシミュレートするように構成され、また、その後の解析のためにコピーを維持しつつ、クライアントに部分的なウェブコンテンツを解放するように構成されてもよい。

ＨＴＴＰアナライザ１５内のアラーティング部２０は、真正のウェブページのものに準拠していないウェブページを示す警告信号を生成する。モニタリング部２１は、警告信号を監視し、ウェブページが真正のウェブページから逸脱した場合に適切な動作をとる。例えば、モニタリング部２１は、自動的にウェブサーバからクライアントへのトラフィックをブロックすることができる。代替的に、または、追加的に、さらなるトラフィックをブロックし、また、破損の原因を調査することを決定できるように、ウェブホストに適切な警告を提供することができる。

インライン解析が使用されている上記のネットワーク構成では、クライアント１１とウェブサーバ１２との間のトラフィックは、ＨＴＴＰアナライザ１５のみを介して通過することができる。これは、データがバッファリングされることを要求し、データを解析して実質的に解放する間、場合によっては図３を参照して以下に説明するように、修正の後のわずかな遅延を引き起こす。遅延は、インラインアナライザの潜在的な欠点であるが、このようなアプローチは真正ではないデータがブロックされ、また、クライアントに到達しないという利点を提供する。この考察は、高セキュリティアプリケーションのために最も重要かもしれない。

図２は、アウトオブバンドアナライザ解析に使用され得る代替的なネットワーク構成を示している。見られるように、図２における事実を除いて、システム１０は、図１に示したものと同一である。ＨＴＴＰアナライザ１５を介さずに、クライアント１１とウェブサーバ１２との間のトラフィックはウェブ１３を介して直接に通過し、コピーを効果的に吸い出し、また、ＨＴＴＰアナライザ１５によって解析される。したがって、このような構成では、データはクライアントとＨＴＴＰアナライザ１５に伝達されているものとは独立して解析され、既に伝達されたデータを遡ってブロックすることはできない。しかしながら、それは、ウェブページが真正のウェブページから逸脱した場合に適切な動作をとる応答が可能であるモニタリング部２１へ、警告信号を提供することができる。例えば、モニタリング部２１は、さらなるトラフィックをブロックすること、および、破損の原因を調査することを決定することができる、ウェブホストに適切な警告を提供することができる。

図３は、双方のネットワーク構成において、上述のモジュールによって行われる処理をややより詳細に示す。したがって、クライアント１１に渡すのに先立って、インターセプタ部１６は、ウェブサーバ１２から伝達されるＩＰパケットを傍受する。図中のＨＴＴＰレスポンス２５として示される、傍受されたデータは、デコーダ／インスペクション部２６によってアンラップされ、ＨＴＴＰレスポンス２５が後続の解析に適した形態にすることを確実にする。例えば、ＨＴＴＰレスポンス２５が圧縮されて到着した場合には、それがデコーダ／インスペクション部２６によって非圧縮される。同様に、ＨＴＴＰレスポンス２５が、チャンクで送信されるデータのより大きなチャンクの一部であってもよく、解析に先立って、デコーダ／インスペクション部２６によって一緒にステッチされる必要がある。場合によっては修正の後、インターセプタ部１６が、どのクライアントがＨＴＴＰレスポンスを伝達するかを知るように、開封されたデータは、その後、クライアントリクエストコリレーション部２７によって、特定のクライアントの要求に関連付けられる。コンテンツは、その後、アナリシスエンジン２９による解析のためのコンテンツを用意する、コンテンツバリデーション部２８に渡されるが、これは、実際には、上述のスタティックアナライザ１７、ダイナミックアナライザ１８、および、ビヘイビアアナライザ１９と機能的に等価である。ノーティフィケーションエンジン３０は、アナリシスエンジン２９に結合され、インターセプタ部１６が作用する手順を制御することによって生成された警告信号に応答する。したがって、その後、インターセプタ部１６は、ブロック３１でＨＴＴＰレスポンス２５からクライアントに伝達されるのを遮断してもよく、または、リプレイス３２で異なるＨＴＴＰデータに置き換えてもよく（すなわち、完全なデータパケットに置き換える）、または、モディファイ３３でそれを修正してもよく（すなわち、データパケットの部分的な変更を加える）、もしくは、パス３４で変更なしにクライアントにパケットを受信されてもよい。

傍受されたウェブコンテンツは、ウェブコンテンツが所定の規格に準拠していることを立証するための安全な環境で解析される。このために、解析に先立って、ＨＴＴＰレスポンス２５はセキュアストレージホストデバイス３５に記憶される。ウェブコンテンツ（すなわち、オリジンサーバによって送信されたＨＴＴＰレスポンスのコンテンツペイロード）は、二種類の方法で解析される。まず、コンテンツは、ＨＴＴＰプロキシによって呼び出されたカスタムアプリケーションコードによって解析される。このように、コンテンツは、ソフトウェアコードによってスタティックに記述することができる任意の状態をチェックする。第二に、コンテンツは、プロキシによって制御される仮想マシンで実行されている、標準的なブラウザアプリケーションに供給され、ブラウザの挙動はブラックボックスとして観察される。このように、それを要求しているクライアントに安全に送信することができるか否かの予測を可能にするように、複雑なウェブコンテンツの実際の挙動がシミュレートされてもよい。

ウェブコンテンツが規格に準拠していない場合、警告は、ウェブコンテンツを提供するウェブホストに通信される。例えば、上記の解析の一つが、ウェブコンテンツが設定されたセキュリティポリシーを満たしていないと判定した場合、応答してとり得る挙動の一つは、状態が異なるサーバを通知することである。通知されるサーバは、コンテンツのオリジンウェブホストのように振る舞う同一のサーバ、もしくは、別のサーバであってもよい。

本発明によれば、ウェブコンテンツは、それが真正であるか否かを立証するために解析される。ウェブコンテンツが真正でないと判定された場合、次いで、上記のように、ウェブホストに警告するなどの様々な動作が取られ得る。ウェブホストに如何なる是正措置を取るべきかを決定させることができるため、図２を参照して説明されたアプローチにしたがって動作するセキュリティシステムは受動的である。

図２の受動的なアプローチとは対照的に、図１を参照して説明されたシステムは能動的で、かつ、クライアントに提供される真正でないと判定されたウェブコンテンツを防ぐことが出来る。ウェブコンテンツは、前述のように、監視され、傍受され、また、解析されるが、期待通りにウェブコンテンツが動作している場合にのみクライアントに提供される。これにより、ウェブコンテンツが期待されているものに準拠していない旨の通知に応答して、要求元であるクライアントを遮断することができる（すなわち、ウェブコンテンツが配信されていない）。あるいは、破損したウェブコンテンツは、前もって安全であるとわかっており、また、セキュリティポリシーに準拠するコンテンツに置き換えられるか、あるいは、設定可能なエラーメッセージに置き換えることができ、または、クライアントが保証されたコンテンツを受信するために代替ホストストレージデバイスにリダイレクトすることが可能である。

いくつかの実施形態によれば、ウェブコンテンツの解析は、“スタティックコンパリソン”を含む。これは、コンテンツをＨＴＴＰペイロード（つまりバイトストリーム）として、前もって提供されている内部データベース（要求が行われた先のＵＲＬ（ユニフォームリソースロケータ）をキーとし）に格納された安全なペイロードと比較する。ペイロードは、２つのペイロードがと同一である場合（バイトストリームとして比較）にのみ承認される。

スタティックコンテンツが変更されたかどうかを判定する一つの方法は、スタティックコンテンツの署名を算出し、有効なコンテンツの既知の署名と比較することを含む。または、“署名”−ペイロードデータの暗号化ハッシュ−は、ペイロードの完全なコピーよりむしろ、製品の内部データベースに格納されてもよい。オリジンサーバによって返されたウェブコンテンツのハッシュが計算され、ハッシュがデータベースに格納されている既知の有効なコンテンツのハッシュに等しい場合、解析に合格したとみなされる。

いくつかの実施形態によれば、ウェブコンテンツの解析は、“ダイナミックコンパリソン”を含み、これは、ウェブコンテンツがダイナミックコンテンツを含むか否かを判定し、そうであれば、ダイナミックコンテンツが所定のフォーマットに準拠しているか否かを判定する。

ウェブコンテンツ上で行うことができる別の解析は、“ストラクチュアルアナリシス”であり、これによって、ブラックボックスバイトストリームとしてレスポンスペイロードを処理するのに代わって、レスポンスがデコードされ（ペイロードのコンテンツタイプに固有の方法で）、また、その構造と内容が解析される。例えば、ＨＴＭＬのウェブコンテンツは、そのようにデコードされ、結果としてロジカルＨＴＭＬＤＯＭツリーになり、後にこれは、そのＵＲＬのデータベースに格納されている既知の正常なコンテンツのロジカルストラクチャと比較されるか、または、そのＵＲＬに対して設定された、解析されるための、リンク（アンカー）、オブジェクト、スクリプト（クライアント側コード）等のロジカルポリシールールと比較される。

ウェブコンテンツの解析は、ダイナミックコンテンツからスタティック機能とダイナミック機能を抽出することを含んでもよい。例えば、ウェブコンテンツは、そこに含まれるデータが抽出されるのを可能にするように解析されてもよい。別の（設定可能な）解析ルールは、データの異なる部分に適用可能である。例えば、あるルールは、ＨＴＭＬドキュメントが特定のタグを含まなければならないように指定してもよく、また、あるルールは、ＰＤＦ文書に含まれるすべてのインラインイメージを検証するように適用されてもよい。

これは、次いで、スタティックおよびダイナミック機能が変更されたか否かを判定することができる。解析されたコンテンツの（スタティック機能）の各部分、および、各構造パターンは、そのＵＲＬ用に設定されている適切なルールを使用して解析される。コンテンツのこのような特徴は、トップレベルのコンテンツ（すなわち、ＨＴＴＰレスポンスにおいてオリジンホストによって返されたペイロード）の方法と同様に解析され得る。

ダイナミック機能は、それらが所定のフォーマットに準拠しているか否かを判定するために解析され得る。あるルールは、解析された文書の構造が特定の設定された形式に準拠しているか否かを判定するように構成されてもよい。特に、あるルールは、ＨＴＭＬ（またはＸＨＴＭＬ）文書のＤＯＭツリーの構造が特定の機能を有するか否かを判定するように構成されてもよい。このようなルールは、ＤＯＭツリーのスキーマを含む。これは、ＸＭＬスキーマ（ＸＳＤ）ドキュメントに似たカスタムストラクチャであり、どの要素が何回、ツリー内の各ポイントで、現れなければならないか、もしくは、現れる可能性があるかを指定する。

いくつかの実施形態によれば、ウェブコンテンツの解析は、ユーザエクスペリエンスが所定の認証されたエクスペリエンスに準拠するか否かを判定するためのウェブコンテンツと共にユーザエクスペリエンスをシミュレーションすることを含む。このような場合には、アナライザソフトウェアは、標準的なウェブブラウザのインスタンスを制御する。種々のブラウザ（例えば、Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ、Ｍｏｚｉｌｌａ Ｆｉｒｅｆｏｘ、Ｇｏｏｇｌｅ Ｃｈｒｏｍｅ）がサポートされており、使用されるブラウザは、ＵＲＬに応じて設定されてもよく、もしくは、自動的に選択されてもよい。アナライザは、クライアントから要求されたＵＲＬにアクセスするために、制御ブラウザを指示する。ブラウザのネットワークアクセスはカスタムプロキシを介して行われ、不必要にオリジンサーバにアクセスすることなく、現在検査中のコンテンツを使用して、その要求に応答する。

次に、アナライザは、要求されたＵＲＬのローディング中、および、ローディング後にブラウザの挙動を観察する。これは、別のＵＲＬへの自動ナビゲーション（リダイレクション）、新しいブラウザウィンドウを開くための要求、Ｊａｖａ（登録商標）、フラッシュ、または、シルバーライトプラグインなどのソフトウェアを実行しようとする試み、また、クライアント側のスクリプトを使用してブラウザを実行しているマシンにアクセスしようとする試み（ポップアップを使用してユーザと対話するためのネットワーク接続を開くために、ローカルクリップボードや、ローカルファイルにアクセスする試み、など）のようなイベントを検出することができる。

アナライザは、ブラウザの観察された挙動が有効か否かを判定する。これは、以前に観察された、オリジンサーバによって同一のＵＲＬに提供されたコンテンツの挙動から逸脱する挙動（例えば、以前存在しなかったＦｌａｓｈアプリケーションをロードする要求）、もしくは、本質的に危険であるか又は悪意のあるいずれかの挙動（例えば、ローカルファイルにアクセスしようとする試み）を識別することができる。それは、このＵＲＬに設定されたポリシーで禁止されている動作を検出することができ、解析検査に合格しないコンテンツに利用可能な、すべてのフィルタリングやブロッキングの挙動を適用することができる。

アナライザソフトウェアによって制御されるブラウザは、ＶＭ（仮想マシン）のインスタンスにおいて実行される。これは、応答ペイロード中に存在する可能性があり、また、プロキシおよびアナライザソフトウェア、または、どのようなサードパーティの攻撃からも、ブラウザによって実行される可能性のある、いかなる悪意のあるコンテンツおよびブラウザを防ぐ。ＶＭインスタンスは、別個のコンテンツの解析の間に再開することができ、別個に共存しているＶＭインスタンスは、種々の無関係のコンテンツを解析するために並行して実行され得る。インスタンスの数は、使用するハードウェアによってしか制限されない。開始される新しいインスタンスの各々は同一であり、インスタンスが他のインスタンスに影響を与えないで実行されている間（ローカルＯＳおよびファイルシステムへの）任意の変更が行われ、インスタンスが終了したときに保存されない。（これはＶＭソフトウェアの設定可能な機能である。）これは、同じコンテンツＵＲＬであることを考慮に入れても、ブラウザの解析セッション内で実行される可能性のある悪質なコンテンツが、今後実行され得る他の解析セッションの挙動および結果に影響を与えることを防止する。

ブラウザシミュレーション解析は、いくつかのサポートされているブラウザ、および、ブラウザのバージョンのいずれかを実行することができる。さらに、ブラウザが実行されることになるＶＭは、Ｗｉｎｄｏｗｓ（登録商標）、Ｍａｃ ＯＳ Ｘ、およびＬｉｎｕｘ（登録商標）のさまざまなバージョンを含む、いくつかのサポートのＯＳ（オペレーティングシステム）やＯＳのバージョンのいずれかを実行するように設定することができる。解析で使用される特定のＯＳおよびブラウザは、（存在する場合、）クライアントによって使用されるバージョン、ウェブブラウザ、ＯＳ名を示す、クライアントのオリジナルのＨＴＴＰリクエスト内にあるＵｓｅｒ−Ａｇｅｎｔヘッダに従って選択することができる。アナライザは、プロキシによって変更されずにウェブコンテンツが配信された場合に、クライアントが経験するであろう挙動を、最もよくシミュレートするために利用可能なＯＳとブラウザの最も類似した組み合わせを選択する。

いくつかの実施形態によれば、ウェブコンテンツを解析し、ウェブコンテンツがクライアントの表示装置上に表示する画像を取得し、所定の代表画像と比較することを含んでもよい。コンテンツの種類によっては、ブラウザに表示されたとき、その外観と同一である、メモリ内の画像をレンダリングすることができる。これは、画像ファイルやプレーンテキストのような、他のいくつかのコンテンツを含む。アナライザソフトウェアは、そのようなコンテンツの画像レンダリングを直接計算することができる。

他の種類のコンテンツは、アナライザソフトウェアによって画像にレンダリングすることができない。その代わりに、シミュレータブラウザに渡され、アナライザソフトウェアは、シミュレーションをしているブラウザウィンドウのスクリーンショットを取る。これらの方法のいずれかを使用して画像が取得されると、クライアントによって要求されたＵＲＬから過去に提供された、有効なコンテンツを表すことが知られている、データベースに格納された画像と比較することができる。アナライザは、二つの画像（現在のもの、格納されたもの）が正確に同一であることを要求するか、または、２つの画像間の差が予め設定されたしきい値を超えるかどうかを判定するために、種々の画像処理アルゴリズムが適用されてもよい。

性能を向上させるために、ウェブコンテンツは変更され得る。例えば、プロキシソフトウェアが、（上述の解析検査に合格した後で）クライアントに提供されるウェブコンテンツを変更するように構成されてもよい。これらの変更は、ウェブコンテンツの動作、つまり、それを受信するクライアントで発生する挙動を変えない。これらの変更は、ウェブコンテンツを、より速くクライアントに配信させるか、より速くロードさせて、クライアントのブラウザソフトウェアによって解析させる。これらの変更には、
１）ｇｚｉｐ圧縮符号化を使用してＨＴＴＰ転送エンコーディングまたはコンテンツエンコーディングを追加することにより、コンテンツを圧縮する。これは、コンテンツがまだオリジンサーバによって（例えば、ｄｅｆｌａｔｅアルゴリズムのようなｇｚｉｐや他の方法を使用して）圧縮されていない場合にのみ適用される。これは、プロキシからクライアントへ、ネットワークを介して送信されなければならない、コンテンツペイロードのサイズを縮小し、また、クライアントがコンテンツを受信し終わるまでの時間を短縮する。
２）ＨＴＭＬ、ＸＨＴＭＬ、ＪａｖａＳｃｒｉｐｔ（登録商標）およびＣＳＳコンテンツだけでなく、ＪａｖａＳｃｒｉｐｔ（登録商標）とＨＴＭＬとＸＨＴＭＬ文書のコンテンツに埋め込まれたＣＳＳデータを“縮小化”によって書き換える。縮小は、コンテンツの意味を変えずに最短の方法でこれらのいずれかの形式でコンテンツを書き換えることを指す。これは、例えば、他の技術の中で、無意味な空白を削除すること、Ｊａｖａｓｃｒｉｐｔ（登録商標）の識別文字列を（ローカル変数名など）短いものに変更すること、ＨＴＭＬ文書の良好な圧縮を達成するために、小文字のＨＴＭＬ要素名によって行われること、によって実施される。これは、プロキシからクライアントへ転送されなければならないデータのサイズを縮小し、それが転送されるために必要な時間を短縮する。
３）インラインコンテンツは、画像、ＪａｖａＳｃｒｉｐｔ（登録商標）、ＣＳＳデータなどのＨＴＭＬやＸＨＴＭＬ文書からリンクされている。ＨＴＭＬ、ＸＨＴＭＬ文書が、外部ドキュメントを表示しているブラウザがダウンロードして、外部リファレンスのコンテンツを処理しなければならないような方法で、これらのタイプのうちの１つの外部リソースにリンクする場合、および、プロキシソフトウェアが、以前にこの外部コンテンツを見てその内部データベースにキャッシュされたそのコピーを保持している場合には、リンクが参照するリソースのインラインコピーで外部リンクを置き換えてもよい。これは、外部リソースデータをロードするために別のネットワーク要求を実行するクライアントブラウザの必要性を取り除き、それにより、そこからリンクされているすべてのリソースを、ウェブページ全体をロードして表示するため、クライアントのブラウザに必要な時間が短縮される。

本発明は、これまで、複合システムとして説明されてきたが、それは、ＨＴＴＰアナライザ１５は、図１及び図２に示されており、既存のネットワーク内での統合のために適応された独立型のモジュールであってもよいことが理解されるであろう。このような独立型のモジュールは、ネットワークに結合されたリポジトリに格納されたウェブコンテンツが、データ通信ネットワークを介したクライアントのウェブコンテンツの要求に先立って提供される疑いがあるか否かを識別するように構成される。

一般的には、ＨＴＴＰアナライザ１５の構成要素は、ソフトウェアによって実現される。カスタムＨＴＴＰプロキシ（ゲートウェイ）がセットアップされ、また、このプロキシを介してクライアントとウェブサーバとの間において、ＤＮＳおよび／またはクライアントネットワークのルーティングルールは、ルートトラフィックに変更される。プロキシによって傍受された、ＨＴＴＰ要求と応答は、要求されたＵＲＬのために設定されたプロキシのとき、上記のような試験のいずれかを実行する解析モジュールに解析されて送られる。これらの試験の結果は、コンテンツがプロキシによって修正されないで渡されるか、または、カスタムコンテンツ（例えば、エラーメッセージ）で置換されているか否かを判定し、また、解析チェックに失敗した内容を記述したアウトオブバンド警告メッセージが生成されるか否かを判定する。

このような警告メッセージは、製品の内部データベースに格納され、製品の管理ユーザインターフェイスを使用して表示され得る。解析モジュールはまた、それが発生したときに電子メールやＳＭＳなどのいくつかの方法のいずれかを使用して、外部サーバに、すべての警告メッセージのコピーを送信するように構成することができる。

図１および図２を参照して説明された、インラインまたはアウトオブバンドネットワーク構成を実現するために必要な、ＨＴＴＰアナライザ１５をカスタマイズすることができることが理解されるであろう。ＨＴＴＰアナライザ１５は、コンテンツ上で実行できるテストの結果およびその構成に基づいて、コンテンツはそのＵＲＬに設定されたポリシールールに合格しなかったと判定した場合は、次に、構成に応じて、クライアントにそれを転送しないようにコンテンツをブロックしてもよい。このようなエラーメッセージとして、代わりに異なるコンテンツを転送することができるか、応答を返さずに、クライアントのネットワーク接続を閉じるように構成されてもよい。この目的のために、ウェブコンテンツが予想どおりに動作しない場合、安全でスタティックなウェブコンテンツをアップロードするための代替ホストストレージデバイスに、クライアントを自動的にリダイレクトするための通信ポートに結合されたダイバータを含めてもよい。アップデート部は、性能を向上させる目的で、同様に、ウェブコンテンツを変更するための通信ポートに結合されてもよい。

また、本発明に係るＨＴＴＰアナライザは、適切にプログラムされたコンピュータであってもよいことが理解されるであろう。同様に、本発明は、本発明の方法を実行するためのコンピュータによって読み取り可能であるコンピュータプログラムを考慮する。本発明は、さらに、本発明の方法を実行するために、マシンによって実行可能な、命令のプログラムを明白に具現化する、マシンが読み取り可能なメモリを考慮する。

Claims (30)

1. レポジトリに格納されたウェブコンテンツが真正のウェブコンテンツから逸脱しているか否かを確認するための、コンピュータの実装方法であって、真正のウェブコンテンツは、前記ウェブコンテンツを要求するクライアントへ提供するのに先立って、ウェブコンテンツの権限保持者によって承認されたウェブコンテンツであって、前記方法は、
   前記リポジトリへのウェブ通信を監視し、
   クライアントに提供するのに先立って、前記ウェブコンテンツを傍受し、
   ウェブコンテンツが所定の規格に準拠していることを立証するために、安全な環境でウェブコンテンツを解析し、また、
   前記ウェブコンテンツが前記規格に準拠していない場合、前記ウェブコンテンツを提供するウェブホストを警告することを特徴とする方法。
2. レポジトリに格納されるウェブコンテンツが、前記コンテンツを要求するクライアントへ提供されることを防ぐための、コンピュータの実装方法であって、前記方法は、
   前記レポジトリへのウェブ通信を監視し、
   クライアントに提供するのに先立って、前記ウェブコンテンツを傍受し、
   ウェブコンテンツが期待どおりに動作することを立証するために、安全な環境でウェブコンテンツを解析し、
   ウェブコンテンツが期待どおりに動作する場合にだけ、クライアントへ前記ウェブコンテンツを提供することを特徴とする方法。
3. 前記ウェブコンテンツの解析が、前記スタティックコンテンツが変更されたか否かを判定することを含むことを特徴とする請求項１または請求項２に記載の方法。
4. スタティックコンテンツが変更されたか否かの判定は、スタティックコンテンツの署名を算出して妥当なコンテンツの既知の署名と比較することを含むことを特徴とする請求項３に記載の方法。
5. ウェブコンテンツの解析は、前記ウェブコンテンツがダイナミックコンテンツを含むか否かの判定を含み、その場合、前記ダイナミックコンテンツが所定のフォーマットに準拠するか否かを判定することを含むことを特徴とする請求項１または請求項２に記載の方法。
6. 前記ウェブコンテンツの解析は、
   ダイナミックコンテンツからスタティック機能およびダイナミック機能を抽出し、
   スタティック機能が変更されたか否かを判定し、
   ダイナミック機能が変更されたか否かを判定することを特徴とする請求項５に記載の方法。
7. 前記ダイナミック機能が、所定のフォーマットに準拠しているか否か判定することを含む請求項６に記載の方法。
8. 前記ウェブコンテンツの解析は、ユーザエクスペリエンスが所定の真正のエクスペリエンスに準拠しているか否かを判定するために、ユーザエクスペリエンスを前記ウェブコンテンツと共にシミュレートすることを含むことを特徴とする請求項１または請求項２に記載の方法。
9. 前記ウェブコンテンツを要求するウェブブラウザの識別情報を取得し、また、ブラウザ固有のシミュレーションを実行することを含むことを特徴とする請求項８に記載の方法。
10. 前記方法が、
    （ａ）前記ウェブブラウザによって要求された部分的なウェブコンテンツを抽出し、
    （ｂ）前記部分的なウェブコンテンツのシミュレーションを行い、
    （ｃ）前記部分的なウェブコンテンツのシミュレーションが、前記部分的なウェブコンテンツに関連する、所定の認証されたエクスペリエンスに準拠している場合、後の解析のためのコピーを維持しつつ、前記部分的なウェブコンテンツをクライアントへ解放し、
    （ｄ）追加の部分的なウェブコンテンツを受信すると、累積的で部分的なウェブコンテンツに対する操作（ｂ）および（ｃ）を反復して繰り返すことを含むことを特徴とする請求項８に記載の方法。
11. 前記ウェブコンテンツの解析が、前記クライアントの表示装置上に表示されるウェブコンテンツの画像を取得し、また、所定の代表画像と前記画像を比較することを含むことを特徴とする請求項１または請求項２に記載の方法。
12. 前記ウェブコンテンツが予想どおりに動作しない場合、安全でスタティックなウェブコンテンツをアップロードするための代替ホストストレージデバイスへ、クライアントを自動的にリダイレクトさせることを、さらに含むことを特徴とする前記請求項のいずれかに記載の方法。
13. 性能を向上させるために前記ウェブコンテンツを変更することをさらに含む前記請求項のいずれかに記載の方法。
14. 通信ネットワーク（１３）を介して、前記ウェブコンテンツを要求するクライアント（１１）に提供するのに先立って、リポジトリ（１２）に格納されたウェブコンテンツが疑われ得ることを識別するための装置（１５）であって、前記装置は、
    クライアントが前記ウェブコンテンツを要求するために、前記リポジトリへアクセスを可能にする通信ポートと、
    リポジトリによってクライアントへアップロードされたウェブコンテンツを傍受するために、データ通信ネットワークに結合するためのデータ通信ポートを有する前記モニタリング部（２１）と、
    モニタリング部によって傍受されたウェブコンテンツを受信するためにモニタリング部に結合されて、前記ウェブコンテンツが所定の規格に準拠していることを立証するために、安全な環境で前記ウェブコンテンツを解析する解析部（１７、１８、１９、２９）と、
    解析部に結合され、前記ウェブコンテンツを提供することをウェブホストに警告するために、前記規格に準拠していないウェブコンテンツに応答するアラーティング部（３０）とを備えることを特徴とする装置。
15. リポジトリ（１２）に格納されたウェブコンテンツが、データ通信ネットワークを介して前記ウェブコンテンツを要求するクライアントに提供されることを防止するための装置（１５）であって、前記装置は、
    クライアントが前記ウェブコンテンツを要求するために、前記リポジトリへアクセスを可能にする通信ポートと、
    リポジトリによってクライアントへアップロードされたウェブコンテンツを傍受するために、データ通信ネットワークに結合するためのデータ通信ポートを有する前記モニタリング部（２１）と、
    モニタリング部によって傍受されたウェブコンテンツを受信するためにモニタリング部に結合され、また、ウェブコンテンツが所定の規格に準拠していることを立証するために、安全な環境で受信されたウェブコンテンツを解析する解析部（１７、１８、１９、２９）と、
    解析部に結合され、また、クライアントへのウェブコンテンツを遮断するために前記規格に準拠していないウェブコンテンツに応答する通信出力（１６）とを備えることを特徴とする装置。
16. 前記解析部が、スタティックコンテンツが変更されているか否かを判定するためのスタティックフィルタ（１７）を含むことを特徴とする請求項１４または請求項１５に記載の装置。
17. 前記スタティックフィルタが、前記スタティックコンテンツの署名を算出し、また、妥当なコンテンツの既知の署名と比較するプロセッサを含むことを特徴とする請求項１６に記載の装置。
18. 前記解析部が、前記ウェブコンテンツ内のダイナミックコンテンツが所定のフォーマットに準拠するか否かを判定するための第２のフィルタを含むことを特徴とする請求項１５または請求項１６に記載の装置。
19. 前記第２のフィルタが、
    ダイナミックコンテンツからスタティック機能およびダイナミック機能を抽出するための抽出部と、
    スタティック機能が変更されたか否かを判定するための、抽出部に結合されたスタティックコンパレータと、
    前記ダイナミック機能が変更されたか否かを判定するための、抽出部に結合されたダイナミックコンパレータとを含むことを特徴とする請求項１８に記載の装置。
20. 前記第２のフィルタが、前記ダイナミック機能が所定のフォーマットに準拠しているか否か判定するように設定されていることを特徴とする請求項１９に記載の装置。
21. 前記解析部が、ユーザエクスペリエンスが所定の真正のエクスペリエンスに準拠しているか否かを判定するために、前記ユーザエクスペリエンスを前記ウェブコンテンツと共にシミュレートすることを含むことを特徴とする請求項１４または請求項１５に記載の装置。
22. 前記シミュレータが、前記ウェブコンテンツを要求するウェブブラウザの識別情報を取得し、また、ブラウザ固有のシミュレーションを実行するように構成されることを特徴とする請求項８または請求項２１に記載の装置。
23. 前記シミュレータが、部分的なウェブコンテンツのシミュレーションが、部分的なウェブコンテンツに関連する、前記所定の認証されたエクスペリエンスに準拠しているか否かを判定するための装置によって傍受された、累積的な一部のウェブコンテンツを反復的にシミュレートし、また、後の解析のためのコピーを維持しつつ、前記部分的なウェブコンテンツをクライアントへ解放するように構成されることを特徴とする請求項２１に記載の装置。
24. 前記解析部が、前記クライアントの表示装置上に表示されるウェブコンテンツの画像を取得するように適応され、所定の代表画像と前記画像を比較することを含むことを特徴とする請求項２２または請求項２３に記載の装置。
25. 前記ウェブコンテンツが予想どおりに動作しない場合、安全でスタティックなウェブコンテンツをアップロードするための代替ホストストレージデバイスへ、クライアントを自動的にリダイレクトさせるための通信ポートに結合されたダイバータをさらに含むことを特徴とする請求項１４から請求項２４のいずれかに記載の装置。
26. パフォーマンスを向上させるために、前記ウェブコンテンツを変更するための通信ポートに結合されたアップデート部をさらに備えることを特徴とする請求項１４から請求項２５のいずれかに記載の装置。
27. ウェブコンテンツを格納するためのレポジトリ（１２）と、
    クライアントコンピュータをリポジトリに結合させるためのデータ通信ネットワーク（１３）と、
    請求項１４から請求項２６に記載のいずれかの装置（１５）とを備えることを特徴とするシステム（１０）。
28. 前記装置がリポジトリとクライアントとの間のインバンドに連結されることを特徴とする請求項２７に記載のシステム。
29. 前記装置がリポジトリとクライアントとの間のアウトオブバンドに連結されることを特徴とする請求項２７に記載のシステム。
30. 前記プログラムがコンピュータ上で実行されるとき、請求項１から請求項１３のいずれかに記載の方法を実行するためのコンピュータプログラムコードを格納することを特徴とするコンピュータが読み取り可能な記憶媒体。

Images