JP2018163535A - Ｗｅｂページ監視装置および方法 - Google Patents

Abstract

【課題】ユーザが脅威のあるＷｅｂページを閲覧する可能性を効率よく低減する。【解決手段】ＵＲＬ選択部１７が、クライアント端末２０によるインターネットＮＷへのアクセス頻度が一定量以下である空時間帯に、ＵＲＬリストＤＢ１５からアクセス頻度が規定値より高いＵＲＬをウィルスチェックの対象ＵＲＬとして選択してアクセスし、ウィルスチェック部１４が、対象ＵＲＬから受信したＷｅｂページのウィルスチェックを行い、ウィルスが検出された場合には当該対象ＵＲＬをブラックリストＤＢ１６に登録する。【選択図】 図１

Description

本発明は、ユーザが閲覧するＷｅｂページを監視するためのＷｅｂページ監視技術に関する。

従来、ＵＴＭ（Unified Threat Management）装置などのＷｅｂページ監視装置では、ユーザがインターネットを経由してＷｅｂページへアクセスした際、受信したＷｅｂページをチェックしてウィルスなど脅威が含まれていないか確認し、脅威が見つかればそれを取り除した後、ユーザへ提供するものとなっている（例えば、特許文献１など参照）。

特開２００２−２９０９００号公報

一方、Ｗｅｂページのチェックを専用のサーバが定期的に実施して、脅威が見つかったＷｅｂページのＵＲＬを示すブラックリストをインターネット上で提供しておき、このブラックリストに基づいてＷｅｂページ監視装置が、ユーザによるＷｅｂページへのアクセス時に、そのＵＲＬをチェックする技術も利用されている。これにより、ユーザがＷｅｂページへアクセスする前にアクセスを禁止することができる。

しかし、このようなブラックリストは定期的に更新されているものの、ユーザがアクセスするＷｅｂページのすべてについて毎回更新されるとは限らない。一方、脅威が含まれるようなＷｅｂページは頻繁に攻撃を受けている傾向がある。したがって、タイミングよっては、ブラックリストに登録されていなくても、ユーザがアクセスしたＷｅｂページに脅威が含まれていることも考えられる。このため、ユーザが脅威のあるＷｅｂページを閲覧する可能性をさらに低減することは難しい。

本発明はこのような課題を解決するためのものであり、ユーザが脅威のあるＷｅｂページを閲覧する可能性を効率よく低減できるＷｅｂページ監視技術を提供することを目的としている。

このような目的を達成するために、本発明にかかるＷｅｂページ監視装置は、ユーザが利用するクライアント端末とインターネットとの間に接続されて、前記クライアント端末で閲覧するＷｅｂページを監視するＷｅｂページ監視装置であって、前記クライアント端末で閲覧したＷｅｂページのＵＲＬが登録されるＵＲＬリストＤＢと、前記クライアント端末からのアクセスが禁止されているＵＲＬが登録されるブラックリストＤＢと、前記クライアント端末による前記インターネットへのアクセス頻度が一定量以下である空時間帯に、前記ＵＲＬリストＤＢからアクセス頻度が規定値より高いＵＲＬをウィルスチェックの対象ＵＲＬとして選択してアクセスするＵＲＬ選択部と、前記対象ＵＲＬから受信したＷｅｂページのウィルスチェックを行い、ウィルスが検出された場合には当該対象ＵＲＬを前記ブラックリストＤＢに登録するウィルスチェック部と、前記クライアント端末からのアクセス要求に応じて、指定されたＵＲＬが前記ブラックリストＤＢに登録されているか確認し、登録されていない場合のみ当該ＵＲＬに対するアクセス要求を前記インターネットに送信するアクセス制御部とを備えている。

また、本発明にかかる上記Ｗｅｂページ監視装置の一構成例は、前記ウィルスチェック部が、前記対象ＵＲＬのＷｅｂページからリンク先ＵＲＬを抽出し、これらリンク先ＵＲＬのＷｅｂページのウィルスチェックを再帰的に行うようにしたものである。

また、本発明にかかる上記Ｗｅｂページ監視装置の一構成例は、前記ＵＲＬ選択部が、前記インターネットと接続されている通信回線のトラヒック量を監視し、前記トラヒック量が一定値まで低下した期間を前記空時間帯として自動判定するようにしたものである。

また、本発明にかかるＷｅｂページ監視方法は、ユーザが利用するクライアント端末とインターネットとの間に接続されて、前記クライアント端末で閲覧するＷｅｂページを監視するＷｅｂページ監視方法であって、前記クライアント端末で閲覧したＷｅｂページのＵＲＬが登録されるＵＲＬリストＤＢと、前記クライアント端末からのアクセスが禁止されているＵＲＬが登録されるブラックリストＤＢと、前記クライアント端末による前記インターネットへのアクセス頻度が一定量以下である空時間帯に、前記ＵＲＬリストＤＢからアクセス頻度が規定値より高いＵＲＬをウィルスチェックの対象ＵＲＬとして選択してアクセスするＵＲＬ選択ステップと、前記対象ＵＲＬから受信したＷｅｂページのウィルスチェックを行い、ウィルスが検出された場合には当該対象ＵＲＬを前記ブラックリストＤＢに登録するウィルスチェックステップと、前記クライアント端末からのアクセス要求に応じて、指定されたＵＲＬが前記ブラックリストＤＢに登録されているか確認し、登録されていない場合のみ当該ＵＲＬに対するアクセス要求を前記インターネットに送信するアクセス制御ステップとを備えている。

本発明によれば、ＵＲＬリストＤＢからアクセス頻度の高いＵＲＬのＷｅｂページが自動的にウィルスチェックされて、その結果に基づいてブラックリストＤＢが更新される。したがって、ユーザがアクセスする前に、ユーザのアクセス頻度が高いＷｅｂページが優先してウィルスチェックされるため、ユーザが脅威のあるＷｅｂページを閲覧する可能性を効率よく低減することができ、結果として、ユーザに高い安全性を提供することが可能となる。また、このような自動ウィルスチェックは、インターネットへのアクセス頻度が低い空時間帯、例えばオフィスでは夜間や休日などの業務時間帯以外の時間帯に自動実行される。このため、ネットワーク負荷を効率よく分散することができ、ユーザによるインターネットを利用した業務への影響を回避することが可能となる。

Ｗｅｂページ監視装置の構成を示すブロック図である。 Ｗｅｂページ監視動作を示すシーケンス図である。 Ｗｅｂページ閲覧動作を示すシーケンス図である。

次に、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
まず、図１を参照して、本発明の第１の実施の形態にかかるＷｅｂページ監視装置１０について説明する。図１は、Ｗｅｂページ監視装置の構成を示すブロック図である。
このＷｅｂページ監視装置１０は、全体として通信機能を有する情報処理装置からなり、ユーザが利用する１つまたは複数のクライアント端末２０とインターネットＮＷとの間に接続されて、クライアント端末２０で閲覧するＷｅｂページの安全性を監視する機能を有している。

クライアント端末２０は、通信回線Ｌ２を介してＷｅｂページ監視装置１０と接続された、ＰＣ、スマートホン、タブレットなどの一般的な情報処理端末である。このクライアント端末２０は、任意のＵＲＬのＷｅｂページを閲覧するためのインターネット・ブラウザ機能を備え、ユーザが指定したＵＲＬに対するアクセス要求をＷｅｂページ監視装置１０へ送信する機能と、Ｗｅｂページ監視装置１０から受信したＷｅｂページを画面表示する機能とを有している。

Ｗｅｂサーバ３０は、通信回線Ｌ３を介してインターネットＮＷに接続された、ＨＴＴＰ対応の一般的なサーバ装置からなり、ＵＲＬを指定したアクセス要求に応じて、当該ＵＲＬと対応するＷｅｂページ（ＨＴＴＰデータ）を配信する機能を有している。

［Ｗｅｂページ監視装置］
Ｗｅｂページ監視装置１０には、主な機能部として、網Ｉ／Ｆ部１１、端末Ｉ／Ｆ部１２、データ受信部１３、ウィルスチェック部１４、ＵＲＬリストＤＢ１５、ブラックリストＤＢ１６、ＵＲＬ選択部１７、データ送信部１８、およびアクセス制御部１９が設けられている。これら機能部のうち、データ受信部１３、ウィルスチェック部１４、ＵＲＬ選択部１７、データ送信部１８、およびアクセス制御部１９は、ＣＰＵとプログラムとが協働してなる演算処理部により実現されている。

網Ｉ／Ｆ部１１は、通信回線Ｌ１を介してインターネットＮＷとデータ通信を行うことにより、任意のＵＲＬのＷｅｂページを取得する機能を有している。

端末Ｉ／Ｆ部１２は、通信回線Ｌ２を介して各クライアント端末２０とデータ通信を行うことにより、これらクライアント端末２０からのアクセス要求や、アクセス要求に応じてインターネットＮＷから取得したＷｅｂページ（ＨＴＴＰデータ）をやり取りする機能を有している。

データ受信部１３は、Ｗｅｂサーバ３０からインターネットＮＷを介して配信された、任意のＷｅｂページ（ＨＴＴＰデータ）を、網Ｉ／Ｆ部１１を介して受信する機能を有している。

ウィルスチェック部１４は、予め設定されているチェック用データに基づいて、データ受信部１３で受信したＷｅｂページのウィルスチェックを行う機能と、ウィルスが検出された場合には当該ＵＲＬをブラックリストＤＢ１６に登録する機能と、当該ＵＲＬをＵＲＬリストＤＢ１５に登録する機能とを有している。なお、本発明でいう「ウィルスチェック」は、単にウィルスをチェックするという狭義の意味ではなく、ワーム、スパイウェア、トロイなど悪意のあるソフトウェア、すなわちマルウェア全般をチェックするという広義の意味を指している。また、「ウィルス」も同様であり、マルウェア全般を指している。

ＵＲＬリストＤＢ１５は、全体としてハードディスクや半導体メモリなどの記憶装置からなり、クライアント端末２０で閲覧したＷｅｂページのＵＲＬが登録されるデータベースである。

ブラックリストＤＢ１６は、全体としてハードディスクや半導体メモリなどの記憶装置からなり、クライアント端末２０からのアクセスが禁止されているＵＲＬが登録されるデータベースである。

ＵＲＬ選択部１７は、通信回線Ｌ１のトラヒック量を監視し、トラヒック量が一定量以下まで低下した期間をインターネットＮＷへのアクセス頻度が低い空時間帯と判定する機能と、この低い空時間帯に、ＵＲＬリストＤＢ１５からアクセス頻度が規定値より高いＵＲＬをウィルスチェック対象として選択し、当該ＵＲＬを含むアクセス要求を網Ｉ／Ｆ部１１を介してインターネットＮＷに送信する機能とを有している。

データ送信部１８は、ウィルスチェック部１４でウィルスが検出されなかったＷｅｂページを端末Ｉ／Ｆ部１２を介してクライアント端末２０へ送信する機能を有している。

アクセス制御部１９は、クライアント端末２０からのアクセス要求に応じて、指定されたＵＲＬがブラックリストＤＢ１６に登録されているか確認する機能と、登録されていない場合のみ当該ＵＲＬに対するアクセス要求を網Ｉ／Ｆ部１１を介してインターネットＮＷに送信する機能とを有している。

［Ｗｅｂページ監視動作］
次に、図２を参照して、本実施の形態にかかるＷｅｂページ監視装置１０でのＷｅｂページ監視動作について説明する。図２は、Ｗｅｂページ監視動作を示すシーケンス図である。
Ｗｅｂページ監視装置１０は、図２のＷｅｂページ監視動作を実行することにより、ユーザがアクセスするＷｅｂページを監視している。

まず、ＵＲＬ選択部１７は、通信回線Ｌ１のトラヒック量を常時監視し、トラヒック量が一定値まで低下した期間、すなわちインターネットＮＷへのアクセス頻度が一定量以下である空時間帯か否か判定する（ステップ１００）。
ここでは、トラヒック量が一定値以上であり空時間帯でないと判定された場合（ステップ１００：ＮＯ）、ＵＲＬ選択部１７は、トラヒック量の監視を継続する。

一方、トラヒック量が一定値未満に低下し空時間帯であると判定された場合（ステップ１００：ＹＥＳ）、ＵＲＬ選択部１７は、ＵＲＬリストＤＢ１５を確認して（ステップ１０１）、アクセス頻度が規定値より高いＵＲＬをウィルスチェック対象となる対象ＵＲＬを選択し（ステップ１０２）、対象ＵＲＬを指定したアクセス要求を網Ｉ／Ｆ部１１からインターネットＮＷへ送信する（ステップ１０３）。

これにより、インターネットＮＷを介して対象ＵＲＬと対応するＷｅｂサーバ３０へアクセス要求が転送され、これに応じたＷｅｂサーバ３０からのＷｅｂページ（ＨＴＴＰデータ）が、インターネットＮＷを介してＷｅｂページ監視装置１０へ返送される（ステップ１０４）。
Ｗｅｂページ監視装置１０のデータ受信部１３は、網Ｉ／Ｆ部１１を介してＷｅｂページを受信し、ウィルスチェック部１４が、このＷｅｂページのウィルスチェックを行う（ステップ１０５）。

ここで、Ｗｅｂページからウィルスが検出された場合（ステップ１０６：ＹＥＳ）、ウィルスチェック部１４は、当該対象ＵＲＬをアクセス禁止ＵＲＬとしてブラックリストＤＢ１６に登録し（ステップ１０７）、ステップ１００へ戻る。
また、Ｗｅｂページからウィルスが検出されなかった場合（ステップ１０６：ＮＯ）、当該対象ＵＲＬをブラックリストＤＢ１６に登録せずに、ステップ１００へ戻る。

これにより、クライアント端末２０によるインターネットＮＷへのアクセス頻度が低い空時間帯には、ＵＲＬリストＤＢ１５からアクセス頻度の高いＵＲＬのＷｅｂページが自動的にウィルスチェックされて、その結果に基づいてブラックリストＤＢ１６が更新される。

［Ｗｅｂページ閲覧動作］
次に、図３を参照して、本実施の形態にかかるＷｅｂページ監視装置１０でのＷｅｂページ閲覧動作について説明する。図３は、Ｗｅｂページ閲覧動作を示すシーケンス図である。
Ｗｅｂページ監視装置１０は、クライアント端末２０からのアクセス要求に応じて、図３のＷｅｂページ閲覧動作を実行することにより、指定されたＵＲＬのＷｅｂページを取得してクライアント端末２０に転送する。

端末Ｉ／Ｆ部１２を介してクライアント端末２０からのアクセス要求を受信した場合（ステップ１１０）、アクセス制御部１９は、ブラックリストＤＢ１６を確認し（ステップ１１１）、アクセス要求で指定されたＵＲＬがアクセス禁止ＵＲＬとして登録されているか判定する（ステップ１１２）。

ここで、指定されたＵＲＬがアクセス禁止ＵＲＬとして登録されている場合（ステップ１１２：ＹＥＳ）、アクセス制御部１９は、アクセス禁止画面を作成し（ステップ１１３）、端末Ｉ／Ｆ部１２からクライアント端末２０へ送信する（ステップ１１４）。これにより、クライアント端末２０において、アクセス要求したＵＲＬへのアクセスが禁止されている旨のアクセス禁止画面が画面表示される（ステップ１１５）。

一方、指定されたＵＲＬがブラックリストＤＢ１６に登録されていない場合（ステップ１１２：Ｎ０）、アクセス制御部１９は、指定されたＵＲＬのアクセス要求を、網Ｉ／Ｆ部１１からインターネットＮＷへ送信する（ステップ１２０）。

これにより、インターネットＮＷを介して対象ＵＲＬと対応するＷｅｂサーバ３０へアクセス要求が転送され、これに応じたＷｅｂサーバ３０からのＷｅｂページ（ＨＴＴＰデータ）が、インターネットＮＷを介してＷｅｂページ監視装置１０へ返送される（ステップ１２１）。
Ｗｅｂページ監視装置１０のデータ受信部１３は、網Ｉ／Ｆ部１１を介してＷｅｂページを受信し、ウィルスチェック部１４が、このＷｅｂページのウィルスチェックを行う（ステップ１２２）。

ここで、Ｗｅｂページからウィルスが検出されなかった場合（ステップ１２３：ＮＯ）、当該対象ＵＲＬをＵＲＬリストＤＢ１５に登録する（ステップ１２４）。これに応じて、データ送信部１８は、チェック済みのＷｅｂページを端末Ｉ／Ｆ部１２からクライアント端末２０へ送信する（ステップ１２５）。これにより、クライアント端末２０において、アクセス要求したＵＲＬのＷｅｂページが閲覧画面として画面表示される（ステップ１２６）。

一方、Ｗｅｂページからウィルスが検出された場合（ステップ１２３：ＹＥＳ）、ウィルスチェック部１４は、当該対象ＵＲＬをアクセス禁止ＵＲＬとしてブラックリストＤＢ１６に登録する（ステップ１３０）。
また、ウィルスチェック部１４は、ウィルス検出結果を示す事由画面を作成し（ステップ１３１）、端末Ｉ／Ｆ部１２からクライアント端末２０へ送信する（ステップ１３２）。これに応じて、クライアント端末２０で、アクセス要求したＵＲＬのＷｅｂページからウィルスが検出された旨の事由画面が画面表示される（ステップ１３３）。

［第１の実施の形態の効果］
このように、本実施の形態は、ＵＲＬ選択部１７が、クライアント端末２０によるインターネットＮＷへのアクセス頻度が一定量以下である空時間帯に、ＵＲＬリストＤＢ１５からアクセス頻度が規定値より高いＵＲＬをウィルスチェックの対象ＵＲＬとして選択してアクセスし、ウィルスチェック部１４が、対象ＵＲＬから受信したＷｅｂページのウィルスチェックを行い、ウィルスが検出された場合には当該対象ＵＲＬをブラックリストＤＢ１６に登録するようにしたものである。

これにより、ＵＲＬリストＤＢ１５からアクセス頻度の高いＵＲＬのＷｅｂページが自動的にウィルスチェックされて、その結果に基づいてブラックリストＤＢ１６が更新される。したがって、ユーザがアクセスする前に、ユーザのアクセス頻度が高いＷｅｂページが優先してウィルスチェックされるため、ユーザが脅威のあるＷｅｂページを閲覧する可能性を効率よく低減することができ、結果として、ユーザに高い安全性を提供することが可能となる。

また、ＵＲＬ選択部１７が、インターネットＮＷと接続されている通信回線Ｌ１のトラヒック量を監視し、トラヒック量が一定値まで低下した期間を空時間帯として自動判定するようにしたので、このような自動ウィルスチェックが、インターネットＮＷへのアクセス頻度が低い空時間帯、例えばオフィスでは夜間や休日などの業務時間帯以外の時間帯に自動実行される。このため、ネットワーク負荷を効率よく分散することができ、ユーザによるインターネットＮＷを利用した業務への影響を回避することが可能となる。

［第２の実施の形態］
次に、本発明の第２の実施の形態にかかるＷｅｂページ監視装置１０について説明する。第１の実施の形態では、対象ＵＲＬと対応するＷｅｂページを自動的にウィルスチェックする場合を例として説明した。本実施の形態では、対象ＵＲＬと対応するＷｅｂページに含まれるリンク先のＷｅｂページも自動的にウィルスチェックする場合について説明する。

すなわち、本実施の形態において、ウィルスチェック部１４は、対象ＵＲＬのＷｅｂページからリンク先ＵＲＬを抽出し、これらリンク先ＵＲＬのＷｅｂページのウィルスチェックを行う機能を有している。

Ｗｅｂページを構成するオブジェクトには、リンク先ＵＲＬを付加できるオブジェクトが含まれており、オブジェクトを選択操作することにより、当該リンク先ＵＲＬのＷｅｂページへジャンプすることができる。したがって、元のＷｅｂページは安全であっても、リンク先ＵＲＬのＷｅｂページに脅威が含まれていた場合、ユーザの操作によっては、危険なＷｅｂページを閲覧してしまう場合も考えられる。

本実施の形態では、ＵＲＬ選択部１７により、対象ＵＲＬのＷｅｂページを自動的にウィルスチェックを行う場合、ウィルスチェック部１４が、対象ＵＲＬのＷｅｂページに含まれているすへてのリンク先ＵＲＬを抽出し、これらリンク先ＵＲＬのＷｅｂページへ順にアクセスしてウィルスチェックを行うようにしたものである。これにより、より高い安全性を確保することができる。

なお、リンク先ＵＲＬのＷｅｂページに含まれるリンク先ＵＲＬについても、再帰的にウィルスチェックを行ってもよい。この際、元の対象ＵＲＬからの再帰リンク数によって自動ウィルスチェックを行うリンク範囲を予め指定しておけばよい。
また、チェック済みＵＲＬを一定時間記憶しておき、リンク先ＵＲＬのチェック時に未チェックのＵＲＬのみ新たにウィルスチェックするようにしてもよく、効率よく自動ウィルスチェックを行うことができる。

［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。また、各実施形態については、矛盾しない範囲で任意に組み合わせて実施することができる。

１０…Ｗｅｂページ監視装置、１１…網Ｉ／Ｆ部、１２…端末Ｉ／Ｆ部、１３…データ受信部、１４…ウィルスチェック部、１５…ＵＲＬリストＤＢ、１６…ブラックリストＤＢ、１７…ＵＲＬ選択部、１８…データ送信部、１９…アクセス制御部、２０…クライアント端末、３０…Ｗｅｂサーバ、ＮＷ…インターネット、Ｌ１，Ｌ２，Ｌ３…通信回線。

Claims (4)

1. ユーザが利用するクライアント端末とインターネットとの間に接続されて、前記クライアント端末で閲覧するＷｅｂページを監視するＷｅｂページ監視装置であって、
   前記クライアント端末で閲覧したＷｅｂページのＵＲＬが登録されるＵＲＬリストＤＢと、
   前記クライアント端末からのアクセスが禁止されているＵＲＬが登録されるブラックリストＤＢと、
   前記クライアント端末による前記インターネットへのアクセス頻度が一定量以下である空時間帯に、前記ＵＲＬリストＤＢからアクセス頻度が規定値より高いＵＲＬをウィルスチェックの対象ＵＲＬとして選択してアクセスするＵＲＬ選択部と、
   前記対象ＵＲＬから受信したＷｅｂページのウィルスチェックを行い、ウィルスが検出された場合には当該対象ＵＲＬを前記ブラックリストＤＢに登録するウィルスチェック部と、
   前記クライアント端末からのアクセス要求に応じて、指定されたＵＲＬが前記ブラックリストＤＢに登録されているか確認し、登録されていない場合のみ当該ＵＲＬに対するアクセス要求を前記インターネットに送信するアクセス制御部と
   を備えることを特徴とするＷｅｂページ監視装置。
2. 請求項１に記載のＷｅｂページ監視装置において、
   前記ウィルスチェック部は、前記対象ＵＲＬのＷｅｂページからリンク先ＵＲＬを抽出し、これらリンク先ＵＲＬのＷｅｂページのウィルスチェックを再帰的に行うことを特徴とするＷｅｂページ監視装置。
3. 請求項１または請求項２に記載のＷｅｂページ監視装置において、
   前記ＵＲＬ選択部は、前記インターネットと接続されている通信回線のトラヒック量を監視し、前記トラヒック量が一定値まで低下した期間を前記空時間帯として自動判定することを特徴とするＷｅｂページ監視装置。
4. ユーザが利用するクライアント端末とインターネットとの間に接続されて、前記クライアント端末で閲覧するＷｅｂページを監視するＷｅｂページ監視方法であって、
   前記クライアント端末で閲覧したＷｅｂページのＵＲＬが登録されるＵＲＬリストＤＢと、
   前記クライアント端末からのアクセスが禁止されているＵＲＬが登録されるブラックリストＤＢと、
   前記クライアント端末による前記インターネットへのアクセス頻度が一定量以下である空時間帯に、前記ＵＲＬリストＤＢからアクセス頻度が規定値より高いＵＲＬをウィルスチェックの対象ＵＲＬとして選択してアクセスするＵＲＬ選択ステップと、
   前記対象ＵＲＬから受信したＷｅｂページのウィルスチェックを行い、ウィルスが検出された場合には当該対象ＵＲＬを前記ブラックリストＤＢに登録するウィルスチェックステップと、
   前記クライアント端末からのアクセス要求に応じて、指定されたＵＲＬが前記ブラックリストＤＢに登録されているか確認し、登録されていない場合のみ当該ＵＲＬに対するアクセス要求を前記インターネットに送信するアクセス制御ステップと
   を備えることを特徴とするＷｅｂページ監視方法。

Images