JP2018190209A - Ｗｅｂアクセス制御装置 - Google Patents

Abstract

【課題】アクセス先Ｗｅｂサイトの悪性度を判定し、ユーザの意図しない悪性サイトへのアクセスを遮断する。【解決手段】アクセス先Ｗｅｂサイトの悪性度が一定の閾値より高いと判定されたアクセス先に関してはユーザにアクセス可否を尋ね、ユーザが認証した場合のみアクセスを許可する。また、ユーザの認証結果を検証し、確からしさの高い認証結果を悪性度判定機構へ反映することにより、該判定機構の精度を向上する。【選択図】 図１

Description

本発明は、アクセス先Ｗｅｂサイトの悪性度を判定し、悪性サイトへの通信を遮断しつつ、ユーザによるフィードバックを基に判別精度を改善する技術に関する。

近年、標的型攻撃に見られるように、攻撃が高度化しており、企業や国家にとって重大な脅威となっている。また、攻撃の高度化に伴い、外部からの侵入を完全に遮断することは困難になってきている。ここで、侵入された後の被害を抑制するためには、機密情報の窃取や感染拡大を目的とした外部への通信を遮断することが重要である。

以上のような背景から、適切に外部への通信を制御し、不審な通信は遮断する技術が求められている。

特許文献１の技術を用いることにより、既知の悪性サイトへのアクセスを遮断できる。また、既知の良性サイトへのみアクセスを許可する等の応用も考えられる。しかし、同技術では、未知のサイトへは対応できないこと、および手動でリストを更新し続ける必要があることが課題として挙げられる。

ここで、特許文献２のように、プロキシサーバ等のログから計算したＷｅｂサイトの悪性度に基づいて、悪性度が低いホワイトリスト、悪性度が高いブラックリスト、および、いずれにも属さないグレーリストを自動的に生成する技術がある。これにより、手動でのリスト更新コストを抑制できる。また、グレーリストに含まれるＷｅｂサイトに接続する際に追加認証を要求し、該追加認証に成功したときグレーリストをホワイトリストに振り分け、一定期間一度も成功しなかったときブラックリストに振り分ける技術も有する。これにより、機械的にホワイトリストやブラックリストに振り分けられなかったＷｅｂサイトであっても、認証結果に応じていずれかのリストに振り分けることが可能である。

特開２００５−２７５６０４号公報 特開２０１５−１７０２１９号公報

既存技術では、Ｗｅｂサイトの悪性度を判定する機構や認証結果の精度については考慮されていない。このため、悪性度判定機構の精度によっては、悪性度の高いＷｅｂサイトを安全と判断してしまい、アクセス時に被害を受けてしまう可能性や悪性度の低いＷｅｂサイトを危険と判断してしまい、追加認証が頻発して利便性を低下してしまう可能性がある。また、ユーザの知識不足や操作ミスにより、追加認証の結果が本来あるべきものと異なってしまった場合、グレーリストからの各リストへの振り分け精度が低下し、同様の問題が発生してしまう可能性がある。

なお、以降では、サイバー攻撃に利用される悪性なＷｅｂサイトを悪性サイト、悪性サイトではないＷｅｂサイトを良性サイトと呼称する。

本発明の代表的な一例は、以下の通りである。すなわち、本発明のＷｅｂアクセス制御装置は、ユーザが操作する端末と、インターネットと、をネットワークを介して接続する装置であって、アクセス先Ｗｅｂサイトの悪性度をそれぞれが重み付けされた複数の機構を用いて推測するＷｅｂサイト悪性度判定プログラムと、悪性度の高いサイトへのアクセスを検出した際に、ユーザに対してその旨を伝え、ユーザの判断に基づいてアクセス可否を決定する追加認証要求プログラムと、ユーザの判断やその付随情報を基に前記Ｗｅｂサイト悪性度判定プログラムにフィードバックする内容を決定するフィードバック値算出プログラムと、前記Ｗｅｂサイトの悪性度判定プログラムを構成する各推測器の重みを前記フィードバック値算出プログラムが算出した値に基づいて更新する重み更新プログラムと、を備えることを特徴とするＷｅｂアクセス制御装置である。

本発明によれば、Ｗｅｂサイトの悪性度を複数の推測器を用いて推測すること、および推測結果の正否をユーザからのフィードバックによって判定することが可能である。この際、ユーザからのフィードバックを利用し、推測結果とユーザ判断の一致率が高い推測器の重みを大きくすることにより、全体の検出精度を自動的に改善する。これらの組み合わせによって、悪性サイトへの通信は遮断しつつ、不要な追加認証やブラックリストの手動での更新コストを抑制し、利便性を向上する。

本発明の実施例に係るＷｅｂアクセス制御装置の構成例を示した図である。 本発明の実施例に係る認証情報管理表の一例を示す図である。 本発明の実施例に係る推測器管理表の一例を示す図である。 本発明の実施例に係る推測器重み履歴の一例を示す図である。 本発明の実施例に係るグレーリストの一例を示す図である。 本発明の実施例に係るブラックリストの一例を示す図である。 本発明の実施例に係るホワイトリストの一例を示す図である。 本発明の実施例に係る全体処理フローを示す図である。 本発明の実施例に係るＷｅｂサイト悪性度判定プログラムプログラムの処理フローを示す図である。 本発明の実施例に係るリスト更新プログラムの処理フローを示す図である。 本発明の実施例に係るフィードバック値算出の処理フローを示す図である。 本発明の実施に係る重み更新の処理フローを示す図である。 本発明の実施例に係る追加認証画面（追加情報取得前）の一例を示す図である。 本発明の実施例に係る追加認証画面（追加情報取得後）の一例を示す図である。 本発明の実施に係る時系列変化を考慮した重み更新の処理フローを示す図である。

以降、本発明を実施するための形態（実施例）を説明する。本実施例では、それぞれに重みが付与された悪性度を判定する推測器を複数用意してアクセス先Ｗｅｂサイトの悪性度を判定し、悪性度が一定の閾値より高かった場合には、ユーザに追加認証を要求する。ユーザは、追加認証を要求された際に該アクセス先Ｗｅｂサイトへの接続可否を判断し、問題ないと判断した場合のみ追加認証を突破し、該Ｗｅｂサイトへアクセスする。これにより、利用者が意図しない、あるいは追加認証の存在を想定しておらず、該追加認証を突破できないマルウェア等による悪性サイトへのアクセスを抑制できる。また、該利用者判断と該Ｗｅｂサイト悪性度判定プログラムが算出した結果を突合し、両者が一致したか否かによって該Ｗｅｂサイト悪性度判定プログラムを構成する各推測器の重みを更新する。これにより、精度の高い推測器の判定を重視するようにし、全体としての悪性度判定精度を向上する。また、利用者判断を確認する際、付随的に得られる情報を用いて該判断が正しいか否か推定し、より確からしい利用者判断の結果を悪性度判定機構に反映する。これにより、誤った利用者判断を反映することによる悪性度判定精度の低下を抑制できる。

以降では、これらの点に着目し、Ｗｅｂサイトの悪性度判定処理フロー、リスト更新処理、およびフィードバック値算出処理の実施例について説明する。

図１は、本発明の実施例に係るＷｅｂアクセス制御装置の構成例を示す図である。実施例に係るＷｅｂアクセス制御装置１０１は、ユーザが操作するユーザ端末１２１と、インターネット１２３と、をネットワーク１２２を介して接続される。

Ｗｅｂアクセス制御装置１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０３と、ＣＰＵ１０３が処理を実行するために必要なデータを格納するためのメインメモリ１０４と、大量のデータを記憶する容量を持つハードディスクやフラッシュメモリなどの記憶装置１０５と、他装置と通信を行なうためのＩＦ（インタフェース）１０２と、キーボード、ディスプレイなどの入出力を行うための入出力装置１０６と、これらの各装置を接続する通信路１０７と、を備えたコンピュータである。なお、通信路１０７は、例えば、バスやケーブルなどの情報伝達媒体である。

ＣＰＵ１０３は、メインメモリ１０４に格納されたアクセス中継プログラム１０８を実行することにより不審な通信の制御を、Ｗｅｂサイト悪性度判定プログラム１０９を実施することによりアクセス先Ｗｅｂサイトの悪性度の判定を、追加認証要求プログラム１１０を実行することによりユーザ端末１２１を操作するユーザの追加認証を、アクセス先情報取得プログラム１１１を実行することによりアクセス先Ｗｅｂサイトの情報取得を、リスト更新プログラム１１２を実行することによりグレーリスト１１８、ブラックリスト１１９、ホワイトリスト１２０の更新を、フィードバック値算出プログラム１１３を実行することによりＷｅｂサイト悪性度判定プログラム１０９を構成する各悪性度推測器１２４に割り当てられた重みへフィードバックする値の算出を、重み更新プログラム１１４を実行することによりフィードバック値算出プログラム１１３での算出値に基づいて推測器管理表１１６に記録されているＷｅｂサイト悪性度判定プログラム１０９を構成する各悪性度推測器１２４に割り当てられた重みの更新を行う。 記憶装置１０５には、ユーザ端末１２１を操作するユーザの追加認証結果やその際の付随情報を示す追加認証履歴１１５、Ｗｅｂサイト悪性度判定プログラム１０９を構成する悪性度推測器１２４の情報を管理する推測器管理表１１６、該推測器の時系列ごとの重みを管理する推測器重み履歴１１７、不審な通信先の情報を示すグレーリスト１１８、危険な通信先の情報を示すブラックリスト１１９、安全な通信先の情報を示すホワイトリスト１２０が格納されている。

上記の各プログラムやデータは、あらかじめメモリ１０４または記憶装置１０５に格納されていてもよいし、必要な時に、入出力装置１０６からまたは、ＩＦ１０２を介して他の装置から、インストール（ロード）されても良い。

図２は、追加認証履歴１１５の一例を示す図である。図２に示すように、追加認証履歴１１５は、ＩＤ２０１と、認証結果２０２と、付随情報２０３と、ユーザ識別情報２０７と、ＵＲＬ２０８とを含んで構成される。また、付随情報は、例えば、認証に要した時間２０４と、正解数２０５と、サイト情報表示有無２０６とから構成される。

ＩＤ２０１は、認証情報を一意に識別できる情報を表す。

認証結果２０２は、ユーザが追加認証に成功したか否かを表す。例えば、認証結果２０２が「成功」の場合は、ユーザが追加認証の突破に成功したことを、認証結果２０２が「失敗」の場合は、ユーザが追加認証の突破に失敗したことを表す。

付随情報２０３は、ユーザが追加認証に臨んだ際に付随的に得られる情報を表す。ここでは、付随情報２０３は、認証に要した時間２０４と、正解数２０５と、サイト情報表示有無２０６とから構成されるものとして説明する。

認証に要した時間２０４は、ユーザに追加認証画面が提示されてから、認証が試行されるまでに要した時間を表す。例えば、追加認証画面が表示されてから認証の試行に４．３秒を要した場合、認証の成否に関わらず、「４．３」と記録される。また、あらかじめ定められた一定時間認証突破の試行がなかった場合、「ｔｉｍｅｏｕｔ」と記録される。

正解数２０５は、追加認証に文字列での認証を用いた場合に、全体の文字数のうち、どれだけ正解したかの数と、その正解率とを表す。例えば、認証文字列が「ａｂｃｄ」だった際、「ａｂｖｆ」と入力があったならば、全４文字中前半の２文字が正解しているため、「２（５０％）」と記録される。なお、該時間は、追加認証要求プログラム１１０において、追加認証画面を提示した時間とユーザからの追加認証文字列を受信した時間の差分によって算出される。

サイト情報表示有無２０６は、追加認証時にユーザが該アクセス先Ｗｅｂサイトが悪性か否か判断する材料として追加情報を要求したか否かを表す。例えば、「有」の場合は、ユーザが追加情報を要求したことを、「無」の場合には、ユーザが追加情報を要求しなかったことを表す。なお、ユーザの判断を補助するための追加情報としては、該アクセス先Ｗｅｂサイトのサムネイル画像、ｗｈｏｉｓ情報、およびＤＮＳ情報等が挙げられる。

なお、追加認証履歴１１５の格納情報は、不審サイトへのアクセス試行があった際の追加認証時に取得され、格納されるものとする。また、今回は、付随情報として認証に要した時間２０４と、正解数２０５と、サイト情報表示有無２０６とを挙げたが、該情報以外に付随的に得られる情報を用いても良いものとする。

ユーザ識別情報２０７は、追加認証に臨んだユーザを一意に識別できる情報を表す。例えば、該ネットワーク環境において、「１２３」と識別子を付与されたユーザが該認証に望んだ場合、該ユーザを表す「１２３」が記録される。なお、今回はネットワークシステム上でユーザに付与された識別子を用いたが、ユーザを一意に識別できればよく、例えば、ユーザ端末のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスや、該ユーザのユーザ名を用いても良い。

ＵＲＬ２０８は、該追加認証の対象となった不審な接続先のＵＲＬを表す。例えば、「ｆｏｏ．ｃｏｍ」の場合は、該ＵＲＬは、該追加認証の対象となった不審な接続先であることを表す。なお、今回は、ＵＲＬを用いたが、不審な接続先を識別できれば良く、例えば、ＩＰアドレスや、ＦＱＤＮ（Ｆｕｌｌｙ Ｑｕａｌｉｆｉｅｄ Ｄｏｍａｉｎ Ｎａｍｅ）を用いても良い。

図３は、推測器管理表１１６の一例を示す図である。図３に示すように、推測器管理表１１６は、ＩＤ３０１と、正解率３０２と、重み３０３と、直近の悪性度判定結果３０４とを含んで構成される。

ＩＤ３０１は、Ｗｅｂサイト悪性度判定プログラム１０９を構成する各悪性度推測器１２４を一意に識別できる情報を表す。

正解率３０２は、これまでの各不審サイトに対する判定結果（悪性／良性）とユーザの追加認証結果（非突破／突破）の一致率を表す。例えば、「８０％」の場合は、Ｎ回の不審サイトの悪性度判定機会のうち、０．８Ｎ回分の判定結果がユーザの追加認証結果と一致していたことを表す。該正解率が高い推測器ほどＷｅｂアクセス制御装置を導入した組織での悪性サイトの判別精度が高いものとして、重みを大きく付与される。各推測器に付与する重みを算出する際の具体的な処理手順については、図１１を用いて後述する。

重み３０３は、各推測器に割り当てられた重みの合計値が１になるように正規化された値を表す。例えば、「０．２」の場合は、全推測器のうち２０％の判断権を該推測器が有することを表す。

直近の悪性度判定結果３０４は、直近の悪性度判断機会において、判定対象の悪性度をどのように判定したかを表す。例えば、「７５％」の場合は、当該推測器は、判定対象が７５％の確率で悪性であると判断したことを表す。なお、今回はアクセス先Ｗｅｂサイトの不審度を表す指標として、該アクセス先Ｗｅｂサイトの悪性度を用いて説明したが、該アクセス先Ｗｅｂサイトの良性度等、不審度を表すことのできる指標であれば、どのような情報を用いても良い。

なお、推測器管理表１１６の各情報は、管理者が必要に応じて、入力または更新しても良い。

図４は、推測器重み履歴１１７の一例を示す図である。図４に示すように、推測器重み履歴１１７は、時刻４０１と、重み４０２と、悪性度判定結果４０３と、認証結果との一致４０４とを含んで構成される。また、推測器重み履歴１１７は、Ｗｅｂサイト悪性度判定プログラム１０９を構成する悪性度推測器１２４毎に用意され、該推測器に関する情報を格納する。なお、図４では、図３のＩＤが０の悪性度推測器１２４に対応する悪性度重み履歴１１７を例示している。

時刻４０１は、推測器が不審サイトの悪性度を判定した時間を表す。なお、図では、年／月／日 時間：分：秒．小数秒の表記を用いているが、Ｕｎｉｘｔｉｍｅ等、時刻が判別できる情報であれば、どのような情報を用いても良い。

重み４０２は、当該時刻における該推測器の重みを表す。例えば、「０．３」の場合は、当該時刻に該推測器へ０．３の重みが付与されていたことを表す。

悪性度判定結果４０３は、当該時刻における悪性度判定対象のＷｅｂサイトに対して、該推測器が算出した悪性度を表す。例えば、「７５％」の場合は、該推測器は、当該時刻に判定対象が７５％の確率で悪性であると判断したことを表す。

認証結果との一致４０４は、当該時刻における不審サイトに対する判定結果（悪性／良性）とユーザの追加認証結果（非突破／突破）が一致したか否かを表す。例えば、「一致」の場合は、両者が一致していたことを、「不一致」の場合は、両者が一致していなかったことを表す。

図５は、グレーリスト１１８の一例を示す図である。図５に示すように、グレーリスト１１８は、ＩＤ５０１と、ＵＲＬ５０２と、認証成功ユーザ数５０３と、認証失敗ユーザ数５０４と、ユーザ毎の認証結果５０５とを含んで構成される。

ＩＤ５０１は、グレーリスト１１８を一意に識別できる情報を表す。

ＵＲＬ５０２は、不審な接続先のＵＲＬを表す。例えば、「ｅｘａｍｐｌｅ．ｃｏｍ」の場合は、該ＵＲＬは不審な接続先であることを表す。なお、今回は、ＵＲＬを用いたが、不審な接続先を識別できれば良く、例えば、ＩＰアドレスや、ＦＱＤＮを用いても良い。

認証成功ユーザ数５０３は、該接続先の追加認証を突破したユーザのユニーク数を表す。例えば、「２」の場合は、２人のユーザが該接続先の追加認証を突破したことを表す。なお、該成功回数は、後述するユーザ毎の認証結果５０５を用いることによって算出できる。

認証失敗ユーザ数５０４は、該接続先の追加認証を突破しなかったユーザのユニーク数を表す。例えば、「４」の場合は、４人のユーザが該接続先の追加認証を突破しなかったことを表す。なお、該失敗回数は、後述するユーザ毎の認証結果５０５を用いることによって算出できる。

ユーザ毎の認証結果５０５は、該接続先に対するユーザ毎の最新の認証結果を表す。例えば、「１２３：成功, ７８９：失敗」の場合は、識別子１２３のユーザが追加認証を突破したことと識別子７８９のユーザが追加認証を突破しなかったことを表す。

グレーリスト１１８は、Ｗｅｂサイト悪性度判定プログラム１０９によって悪性であると判定された接続先がリスト更新プログラム１１０によって登録される。Ｗｅｂサイト悪性度判定プログラム１０９と、リスト更新プログラム１１０との具体的な処理については、図９と、図１０とを用いて後述する。

なお、グレーリスト１１８の各情報は、管理者が必要に応じて、登録または更新しても良い。

図６は、ブラックリスト１１９の一例を示す図である。図６に示すように、ブラックリスト１１９は、ＩＤ６０１と、ＵＲＬ６０２とを含んで構成される。

ＩＤ６０１は、ブラックリスト１１９を一意に識別できる情報を表す。

ＵＲＬ６０２は、悪性サイトのＵＲＬを表す。例えば、「ｂｌａｃｋ．ｃｏｍ」の場合は、該ＵＲＬは悪性サイトであることを表す。なお、今回は、ＵＲＬを用いたが、悪性サイトを識別できれば良く、例えば、ＩＰアドレスや、ＦＱＤＮを用いても良い。

ブラックリスト１１９は、Ｗｅｂサイト悪性度判定プログラム１０９によって悪性であると判定され、かつ一定数以上ユーザが認証を突破しなかった接続先がリスト更新プログラム１１０によって登録される。Ｗｅｂサイト悪性度判定プログラム１０９と、リスト更新プログラム１１０との具体的な処理については、図９と、図１０とを用いて後述する。

なお、グレーリスト１１９の各情報は、管理者が必要に応じて、登録または更新しても良い。

図７は、ホワイトリスト１２０の一例を示す図である。図７に示すように、ホワイトリスト１２０は、ＩＤ７０１と、ＵＲＬ７０２とを含んで構成される。

ＩＤ７０１は、ホワイトリスト１２０を一意に識別できる情報を表す。

ＵＲＬ７０２は、良性サイトのＵＲＬを表す。例えば、「ｗｈｉｔｅ．ｃｏｍ」の場合は、該ＵＲＬは良性サイトであることを表す。なお、今回は、ＵＲＬを用いたが、悪性サイトを識別できれば良く、例えば、ＩＰアドレスや、ＦＱＤＮを用いても良い。

ホワイトリスト１２０は、Ｗｅｂサイト悪性度判定プログラム１０９によって悪性であると判定されたものの、一定数以上ユーザが認証を突破した接続先がリスト更新プログラム１１０によって登録される。Ｗｅｂサイト悪性度判定プログラム１０９と、リスト更新プログラム１１０との具体的な処理については、図９と、図１０とを用いて後述する。

なお、ホワイトリスト１１９の各情報は、管理者が必要に応じて、登録または更新しても良い。

続いて、Ｗｅｂアクセス制御装置１０１のアクセス中継プログラム１０８が、端末１２１からの通信を中継し、Ｗｅｂサイト悪性度判定プログラム１０９がアクセス先Ｗｅｂサイトの悪性度を判定し、追加認証要求プログラム１１０がユーザ１２１に対して追加認証を要求し、アクセス先情報取得プログラム１１１がアクセス先Ｗｅｂサイトの情報を取得し、リスト更新プログラム１１２がグレーリスト１１８、ブラックリスト１１９、およびホワイトリスト１２０を更新し、フィードバック値算出プログラム１１３がＷｅｂサイト悪性度判定プログラム１０９を構成する各悪性度推測器１２４に割り当てられた重みへフィードバックする値を算出し、重み更新プログラム１１４がフィードバック値算出プログラム１１３での算出値に基づいてＷｅｂサイト悪性度判定プログラム１０９を構成する各悪性度推測器１２４に割り当てられた重みを更新する処理について説明する。

図８は、Ｗｅｂアクセス制御装置１０１の全体処理フローを示す図である。図８に示すように、アクセス中継プログラム１０８は、ＣＰＵ１０３により実行され、ユーザ端末１２１からの通信をＩＦ１０２ａ経由で中継する（ステップ８０１）。

アクセス中継プログラム１０８は、ブラックリストを参照し、アクセス先Ｗｅｂサイトが該ブラックリストに該当した場合はステップ８１０ａに進み、該当しなかった場合はステップ８０３に進む（ステップ８０２）。

アクセス中継プログラム１０８は、ホワイトリストを参照し、アクセス先Ｗｅｂサイトが該ホワイトリストに該当した場合はステップ８１１ａに進み、該当しなかった場合はステップ８０４に進む（ステップ８０３）。

Ｗｅｂサイト悪性度判定プログラム１０９は、アクセス先Ｗｅｂサイトの悪性度を算出し、ステップ８０５に進む（ステップ８０４）。なお、Ｗｅｂサイト悪性度判定プログラム１０９の悪性度算出フローについては、図９を用いて後述する。

アクセス中継プログラム１０８は、ステップ８０４で算出した悪性度をあらかじめ制定しておいた閾値と比較し、該悪性度が閾値よりも低い場合はステップ８１１ａに進み、高い場合はステップ８０６へ進む（ステップ８０５）。

追加認証要求プログラム１１０は、ユーザに追加認証を要求し、ステップ８０７へ進む（ステップ８０６）。

ここで、追加認証要求プログラム１１０は、ユーザへの追加認証に、ＣＡＰＴＣＨＡ（Ｃｏｍｐｌｅｔｅｌｙ Ａｕｔｏｍａｔｅｄ Ｐｕｂｌｉｃ Ｔｕｒｉｎｇ ｔｅｓｔ ｔｏ ｔｅｌｌ Ｃｏｍｐｕｔｅｒｓ ａｎｄ Ｈｕｍａｎｓ Ａｐａｒｔ）のような人間と機械を分別するような方式を利用することが考えられる。これにより、マルウェアが機械的に悪性サイトへアクセスしようとした場合でも、該認証を突破することは困難であり、人間の悪性サイトへのアクセスに加え、マルウェアによる悪性サイトへのアクセスも抑制できる。ユーザの。なお、追加認証要求プログラム１１０の表示画面については、図１３を用いて後述する。

追加認証要求プログラム１１０は、ユーザがアクセスＷｅｂ先サイトの追加認証に際して追加情報を要求したか確認し、要求があった場合はステップ８０８へ、要求が無かった場合はステップ８０９へ進む（ステップ８０７）。

アクセス先情報取得プログラム１１１は、アクセス先のサイト情報を取得し、取得した情報をユーザ端末１１８へ表示する。（ステップ８０８）。

追加認証要求プログラム１１０は、ユーザが追加認証に成功したか確認し、成功していた場合は８１１ｂへ、失敗していた場合は８１０ｂへ進む（ステップ８０９）。

アクセス中継プログラム１０８は、ユーザの当該サイトへのアクセスを拒否し、処理を終了する（ステップ８１０ａ）。

アクセス中継プログラム１０８は、ユーザの当該サイトへのアクセスを許可し、処理を終了する（ステップ８１１ａ）。

アクセス中継プログラム１０８は、ユーザの当該サイトへのアクセスを拒否し、ステップ８１２へ進む（ステップ８１０ｂ）。

アクセス中継プログラム１０８は、ユーザの当該サイトへのアクセスを許可し、ステップ８１２へ進む（ステップ８１１ｂ）。

アクセス中継プログラム１０８は、ユーザからの追加認証文字列を受信し、追加認証履歴１１５に、該追加認証文字列による認証結果や該認証時の付随情報等の追加認証の情報を記録し、ステップ８１３へ進む（ステップ８１２）。

アクセス中継プログラム１０８は、ユーザの追加認証結果（認証を突破したか否か）をリスト更新プログラム１１２とフィードバック内容値プログラム１１３に通知し、各プログラムの処理であるステップ８１４と、ステップ８１５とに進む（ステップ８１３）。

リスト更新プログラム１１２は、追加認証履歴１１５を参照し、ユーザの追加認証結果を取得後、該情報を用いてグレーリスト１１８、ブラックリスト１１９、およびホワイトリスト１２０を更新する（ステップ８１４）。なお、リスト更新プログラム１１２の各リスト更新フローについては、図１０を用いて後述する。

フィードバック値算出プログラム１１３は、追加認証履歴１１５を参照し、ユーザの追加認証結果や付随情報を取得後、該情報を用いてフィードバック値を算出し、ステップ８１５へ進む（ステップ８１５）。なお、フィードバック値算出プログラム１１３のフィードバック値算出フローについては、図１１を用いて後述する。

重み更新プログラム１１４は、フィードバック値算出プログラム１１３が算出した値を基に推測器管理表１１６に記録されている各推測器の重みを更新し、処理を終了する（ステップ８１６）。

なお、ステップ８０６において、アクセス先Ｗｅｂサイトの悪性度が閾値以上の場合にユーザへ追加認証を要求しているが、ユーザの認証結果をキャッシュしておき、該ユーザが該アクセス先サイトに対する追加認証を１度でも突破していた場合、追加認証を要求せずアクセスを許可しても良い。これにより、ユーザの利便性が効率することが期待できる。

図９は、Ｗｅｂサイト悪性度判定プログラム１０９の処理フローの一例を示す図である。図９に示すように、ＣＰＵ１０３により実行され、ユーザ端末１２１の通信先のうち、ブラックリストと、ホワイトリストとに記録されていないものをアクセス中継プログラム１０８より受信すると、処理を開始する（ステップ９０１）。なお、Ｗｅｂサイト悪性度判定プログラムは、それぞれが重みを持つ複数の悪性度推測器１２４から構成されており、各推測器の判断結果を統合して最終的な値を算出する。ここでの悪性度推測器としては、ＵＲＬの文字列から該Ｗｅｂサイトの悪性度を推測するもの、該Ｗｅｂサイトに関する外部情報（ｗｈｏｉｓ情報やＤＮＳ情報等）から該Ｗｅｂサイトの悪性度を推測するもの、および該Ｗｅｂサイトのコンテンツから該Ｗｅｂサイトの悪性度を推測するものが考えられる。

Ｗｅｂサイト悪性度判定プログラム１０９は、アクセス中継プログラム１０８から受信したアクセス先Ｗｅｂサイトを各悪性度推測器１２４へ入力し、ステップ９０３へ進む（ステップ９０２）。

Ｗｅｂサイト悪性度判定プログラム１０９は、各悪性度推測器１２４の判定結果の受信を開始し、全ての推測器から結果を受信した後、ステップ９０４へ進む（ステップ９０３）。

Ｗｅｂサイト悪性度判定プログラム１０９は、ステップ９０３で受信した各推測器の判定結果を推測器管理表１１６と推測器重み履歴１１７へ記録し、ステップ９０５へ進む（ステップ９０４）
Ｗｅｂサイト悪性度判定プログラム１０９は、ステップ９０３で受信した各推測器の推測結果を推測器管理表１１６を参照することによって得られる各推測器に付与された重みに掛け合わせ、その合計値を最終予測結果として算出し、処理を終了する（ステップ９０５）。なお、上述の算出手順は、次の計算式（数１）のように示すことができる。

なお、今回は上述の計算式を用いた最終予測結果の算出手順を例示したが、各推測器の予測結果に対して重みを反映させ、最終的に統合する方式であれば、どのような方式を用いても良い。

また、悪性度推測器１２４の追加・削除は可能であり、管理者が必要に応じて該悪性度推測器１２４の追加・削除を行っても良い。

図１０は、リスト更新プログラム１１２の処理フローの一例を示す図である。図１０に示すように、ＣＰＵ１０３により実行され、ユーザ端末１２１の通信先のうち、Ｗｅｂサイト悪性度判定プログラム１０９によって、その悪性度が閾値以上と判定されたＷｅｂサイトに対するユーザの追加認証結果をアクセス中継プログラム１０８より受信すると、処理を開始する（ステップ１００１）。

リスト更新プログラム１１２は、グレーリスト１１８を参照し、アクセス先Ｗｅｂサイトが該グレーリストに該当した場合はステップ１００４に進み、該当しなかった場合はステップ１００３に進む（ステップ１００２）。

リスト更新プログラム１１２は、アクセス先Ｗｅｂサイトをグレーリスト１１８に登録し、ステップ１００４に進む（ステップ１００３）。

リスト更新プログラム１１２は、アクセス中継プログラム１０８より受信したユーザの追加認証結果を参照し、該追加認証結果をグレーリスト１１８に記録し、グレーリスト１１８の認証成功ユーザ数、認証失敗ユーザ数、およびユーザ毎の認証結果を更新した後、ステップ１００５に進む（ステップ１００４）。

リスト更新プログラム１１２は、アクセス中継プログラム１０８より受信したユーザの追加認証結果を参照し、認証に成功していた場合はステップ１００６に進み、認証に失敗していた場合はステップ１００９に進む（ステップ１００５）。

リスト更新プログラム１１２は、グレーリスト１１８を参照し、アクセス先Ｗｅｂサイトの累計認証成功ユーザ数が一定数を超えていた場合はステップ１００７に進み、超えていなかった場合は処理を終了する（ステップ１００６）。

リスト更新プログラム１１２は、アクセス先Ｗｅｂサイトをホワイトリスト１２０に登録し、ステップ１００８に進む（ステップ１００７）
リスト更新プログラム１１２は、アクセス先Ｗｅｂサイトに対応する行をグレーリスト１１８から削除し、処理を終了する（ステップ１００８）。

リスト更新プログラム１１２は、グレーリスト１１８を参照し、アクセス先Ｗｅｂサイトの累計認証失敗ユーザ数が一定数を超えていた場合はステップ１０１０に進み、超えていなかった場合は処理を終了する（ステップ１００９）。

リスト更新プログラム１１２は、アクセス先Ｗｅｂサイトをブラックリスト１１９に登録し、ステップ１０１１に進む（ステップ１０１０）
リスト更新プログラム１１２は、アクセス先Ｗｅｂサイトに対応する行をグレーリスト１１８から削除し、処理を終了する（ステップ１０１１）。

図１１は、フィードバック値算出プログラム１１３の処理フローを示す図である。図１１に示すように、ＣＰＵ１０３により実行され、ユーザ端末１２１の通信先のうち、Ｗｅｂサイト悪性度判定プログラム１０９によって、その悪性度が閾値以上と判定されたアクセス先Ｗｅｂサイトに対するユーザの追加認証結果をアクセス中継プログラム１０８より受信すると、処理を開始する（ステップ１１０１）。なお、今回は認証結果２０２と付随情報２０３として認証に要した時間２０４、正解数２０５、およびサイト情報表示有無２０６を用いた場合の一例を説明するが、該情報以外を用いることや同様の情報を用いた場合でも異なる処理フローで最終的な値を算出することも可能である。

フィードバック値算出プログラム１１３は、値の初期値１．０を設定し、ステップ１１０３に進む（ステップ１１０２）。

フィードバック値算出プログラム１１３は、追加認証履歴１１５の最新エントリから認証情報を取得し、ステップ１１０４に進む（ステップ１１０３）。

フィードバック値算出プログラム１１３は、ステップ１１０３で取得した認証情報を参照し、認証に成功していた場合はステップ１１０９に進み、認証に失敗していた場合はステップ１１０５に進む（ステップ１１０４）。

フィードバック値算出プログラム１１３は、ステップ１１０３で取得した認証情報を参照し、認証がタイムアウトしていた場合はステップ１１１２に進み、していなかった場合はステップ１１０６に進む（ステップ１１０５）。

フィードバック値算出プログラム１１３は、ステップ１１０３で取得した認証情報を参照し、サイト情報の表示があった場合はステップ１１１２に進み、なかった場合はステップ１１０７に進む（ステップ１１０６）。

フィードバック値算出プログラム１１３は、値を０．５倍し、ステップ１１０８に進む（ステップ１１０７）
フィードバック値算出プログラム１１３は、ステップ１１０３で取得した認証情報を参照し、値を正解数に応じて減少し、ステップ１１１２に進む（ステップ１１０８）
フィードバック値算出プログラム１１３は、ステップ１１０３で取得した認証情報を参照し、値を認証に要した時間に応じて減少し、ステップ１１１０に進む（ステップ１１０９）
フィードバック値算出プログラム１１３は、ステップ１１０３で取得した認証情報を参照し、サイト情報の表示があった場合はステップ１１１２に進み、なかった場合はステップ１１１１に進む（ステップ１１１０）。

フィードバック値算出プログラム１１３は、値を０．５倍し、ステップ１１１２に進む（ステップ１１１１）
フィードバック値算出プログラム１１３は、ここまでのステップで算出した最終的な値を返却し、処理を終了する（ステップ１１１２）。

本処理により、ユーザの認証結果の確からしさを数値化し、該確からしさに応じてＷｅｂサイト悪性度判定プログラム１０９を構成する各推測器１２４へフィードバックを行うことが可能となる。

なお、今回付随情報２０３として認証に要した時間２０４、正解数２０５、およびサイト情報表示有無２０６を用いた理由は、以下の通りである。

認証に要した時間２０４は、主に人間によるアクセスとマルウェアによるアクセスを分別するために用いる。不審サイトへアクセスした際に要求する追加認証は、通常のＷｅｂアクセス時には発生せず、人間は該追加認証が出た際に人間は柔軟に対応できるのに対し、該追加認証を想定していないマルウェアは、これを突破できずタイムアウトになる。あるいは、近年の攻撃の高度化に伴い、追加認証を突破する機能を持つマルウェアも報告されているが、この場合は、プログラムによって人間では達成困難な入力速度で認証突破を試みると推察される。以上のように、マルウェアが認証に要する時間には、タイムアウト、あるいはきわめて短いといった特徴があり、人間による認証と分類に有用であることから、該情報を利用した。

また、認証結果が成功だった場合、フィードバック値算出プログラム１１３は、ステップ１１０９において、認証に要した時間に応じてフィードバックする値を減算している。一方で、認証結果が失敗の場合は、同減算は行っていない。これは、アクセス先Ｗｅｂサイトが不審な場合でもリスクを鑑みずにアクセスしてしまうユーザを考慮したものである。セキュリティレベルの低いユーザは、アクセス先Ｗｅｂサイトが不審であると警告を受けたとしても、そのリスクを鑑みずにアクセスしてしまうことが考えられる。一方で、追加認証を突破せずにアクセスを中止した場合は、アクセス先Ｗｅｂサイトのリスクを考慮した上のものであると推察される。上述の追加認証結果の性質から、認証成功の信頼性は、認証失敗の信頼性よりも高いと推察される。以上の理由から、認証突破の場合は、認証を突破しなかった場合にはないフィードバックする値の減算を行っており、これによって、該追加認証の信頼性を反映している。

正解数２０５は、主に認証失敗時、該失敗がヒューマンエラーによるものか否かを分別するために用いる。例えば、認証に失敗した際、意図したものであれば、何も入力しない、あるいは適当な文字を入力することにより、認証突破のために要求された文字列から大きく外れることが推察される。一方で、意図しないもの（ヒューマンエラー）は、突破しようとしたものの外れてしまった入力であることから、認証突破のために要求された文字列から大きくは外れないことが推察される。以上のように、認証の失敗がヒューマンエラーによるか否かは、認証突破のために要求された文字列に対する入力の正解数に現れることから、該情報を利用した。

サイト情報表示有無２０６は、主にユーザの認証結果の確からしさを検証するために用いる。Ｗｅｂアクセス制御装置１０１は、前述の通り、ユーザが追加認証を要求された際にユーザの要求に応じてアクセス先Ｗｅｂサイトの情報を追加で取得・表示する機能を有する。該情報を要求したユーザは、追加情報を要求し、アクセス先Ｗｅｂサイトの性質を多角的に判断しようとするセキュリティ意識の高いユーザであることが推察されることに加え、その際の判断は追加情報を見た上のものであることから、該追加情報を見ていない判断よりも信頼性が高いと推察される。以上のように、サイト情報表示有無２０６は、ユーザの認証結果の信頼性を検証するのに有用であることから、該情報を利用した。

図１２は、重み更新プログラム１１４の処理フローを示す図である。図１２に示すように、ＣＰＵ１０３により実行され、フィードバック値算出プログラム１１３よりＷｅｂサイト悪性度判定プログラムを構成する各悪性度推測器１２４に反映するフィードバック値を受信すると、処理を開始する（ステップ１２０１）。

重み更新プログラム１１４は、悪性度推測器１２４のＩＤを意味する変数ｉに初期値０を設定し、ステップ１２０３に進む（ステップ１２０２）。

重み更新プログラム１１４は、追加認証履歴１１５と推測器管理表１１６を参照し、ＩＤが変数ｉの推測器の推測結果と認証結果を取得した後、ステップ１２０４に進む（ステップ１２０３）。

重み更新プログラム１１４は、ステップ１１０３で取得したＩＤが変数ｉの推測器の推測結果と認証結果を比較し、両者が一致していた場合はステップ１２０５に進み、一致していなかった場合はステップ１２０６に進む（ステップ１２０４）。

重み更新プログラム１１４は、ＩＤが変数ｉの推測器の重みをフィードバック値算出プログラム１１３より受信した値に応じて加算し、推測器管理表１１６に記録されている該推測器の重みを加算後の値に更新した後、ステップ１２０７へ進む（ステップ１２０５）。

重み更新プログラム１１４は、ＩＤが変数ｉの推測器の重みをフィードバック値算出プログラム１１３より受信した値に応じて減算し、推測器管理表１１６に記録されている該推測器の重みを減算後の値に更新した後、ステップ１２０７へ進む（ステップ１２０６）。

重み更新プログラム１１４は、変数ｉに１加算し、ステップ１２０３に進む（ステップ１２０７）。

重み更新プログラム１１４は、変数ｉと推測器管理表１１６を参照することによって得ることのできる推測器数を比較し、変数ｉが推測器数に満たない場合はステップ１２０３に戻り、推測器数を上回っていた場合はステップ１２０９へ進む（ステップ１２０８）。

重み更新プログラム１１４は、推測器の重みの合計が１になるように、推測器管理表１１６に記録されている各悪性度推測器１２４の重みを正規化し、処理を終了する（ステップ１２０９）。

図１３は、追加認証要求プログラム１１０によって表示される追加認証画面の一例を示す図である。図１３ａに示すように、アクセス先Ｗｅｂサイト悪性度判定プログラムによって閾値以上の悪性度を示したＷｅｂサイトへアクセスしようとした際、追加認証画面を表示し、画面内の追加認証を突破した場合のみ、該Ｗｅｂサイトへのアクセスを許可する。該追加認証画面は、アクセス先Ｗｅｂサイトが不審であるという警告文１３０１と、追加認証用の文字列表示欄１３０２と、追加認証文字列入力フォーム１３０３と、追加認証文字列送信ボタン１３０４と、追加情報要求ボタン１３０５とから構成される。ユーザは、該Ｗｅｂサイトが悪性でないと判断した場合のみ追加認証用の文字列表示欄１３０２に示された文字列を追加認証文字列入力フォーム１３０３に正しく入力し、追加認証文字列送信ボタン１３０４を押下することにより、アクセスを続行できる。また、ユーザがアクセス可否の判断に窮した際には、追加情報要求ボタン１３０５を押下することにより、該判断のための追加情報を取得・表示できる。該追加情報表示後の画面の一例を図１３ｂに示す。追加情報表示後の追加認証画面は、Ｗｅｂサイト情報表示欄１３０６と、Ｗｅｂサイトサムネイル表示欄１３０７とから構成される。Ｗｅｂサイト情報表示欄１３０６には、ｗｈｏｉｓ情報やＤＮＳ情報といった該アクセス先Ｗｅｂサイトに関する公開情報が表示される。Ｗｅｂサイトサムネイル表示欄１３０７には、実際に該該アクセス先Ｗｅｂサイトにアクセスした際のサムネイルが画像で表示される。ユーザはこれらの情報を基に、該アクセス先Ｗｅｂサイトへのアクセス可否を判断する。

なお、本実施例の一部を変更して以下のように実施しても良い。

アクセス先Ｗｅｂサイトの悪性度の最終予測結果が閾値以下であっても、ある1つ以上の推測器が高い悪性度を算出した場合は、追加認証を要求しても良い。これにより、汎用性の低さから重みが少なくなりがちな特定の悪性サイトを検出することに特化したような推測器であっても、Ｗｅｂサイト悪性度判定プログラム１１０に組み込むことが可能になり、検出漏れを抑制できる。

また、悪性度の値によって追加認証の難易度を上下させても良い。例えば、悪性度が相対的に低い場合はボタンのクリックのみ、高い場合はＣＡＰＴＣＨＡ認証を行うことが考えられる。これにより、良性よりのグレーなサイトに対するユーザの認証にかかる負荷を抑制できる。

また、検証後のユーザの追加認証結果を正解データ（Ｇｒｏｕｎｄ Ｔｒｕｔｈ）として扱い、データが与えられる毎に逐次的に学習し、モデルを構築するオンライン学習の教師データに利用しても良い。これにより、各推測器に付与する重みの最適化だけでなく、推測器そのものの最適化も可能となる。

また、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化することができる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成することができる。例えば、実施形態に示される全構成要素からいくつかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせても良い。

本実施例は、実施例１に係るＷｅｂアクセス制御装置１０１を含み、さらに悪性度推測器１２４に付与する重みを更新する際に、該重みの時系列変化に着目し、より適した形で重みを付与する機能を有するＷｅｂアクセス制御装置である。

実施例２では、推測器の重みの時系列変化に着目し、重みの変化にこれまでと異なる傾向が見られた場合、重みの更新を保留する。例えば、潜在的に精度の高い推測器の重みは、単調増加を続け、上昇値が飽和した値へ収束することが推察されるが、ユーザの認証結果があるべきものと異なっていた場合、単調増加、あるいは一定値に収束していた重みが減少方向に向かう。この変化点を検出し、その場合重みの更新を一旦保留することにより、その重みの変動が正しいものなのか、あるいはユーザの認証ミス等によるノイズかを見極め、不適切な重みの上下を抑制でき、Ｗｅｂサイト悪性度の判定精度の低下を抑制できる。

図１４は、本実施例における重み更新フローの例である。実施例１と同一の構成要素には同一の符号を付すことによってその説明を省略し、以下では、実施例１と異なる点を中心に説明する。

重み更新プログラム１１４は、図１２に示したフローに加え、重み更新時にその時系列変化に着目した処理フローを有する。具体的には、ステップ１２０４において、該推測器の推測結果と認証結果が一致したか否かを検証し、重みを加算／減算するフローに分岐した際に、重みの時系列変化を基に実際に重みを加算／減算するか判断するステップ１２１０とステップ１２１１を有する。以降では、ステップ１２１０とステップ１２１１の処理内容について説明する。

重み更新プログラム１１４は、ＩＤが変数ｉの推測器の重みの時系列変化を該推測器に対応する推測器時系列重み管理表１１７を参照し、取得する。また、仮に重みを加算した場合、重みの変化の傾向がこれまでと異なるか検証し、これまでの変化と異なる傾向が見られた場合、重み更新を保留するために、ステップ１２０７へ進む。重みの変化にこれまでと異なる傾向が見られなかった場合は、ステップ１２０５へ進む（ステップ１２１０）。

重み更新プログラム１１４は、ＩＤが変数ｉの推測器の重みの時系列変化を該推測器に対応する推測器時系列重み管理表１１７を参照し、取得する。また、仮に重みを減算した場合、重みの変化の傾向がこれまでと異なるか検証し、これまでの変化と異なる傾向が見られた場合、重み更新を保留するために、ステップ１２０７へ進む。重みの変化にこれまでと異なる傾向が見られなかった場合は、ステップ１２０６へ進む（ステップ１２１１）。

また、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化することができる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成することができる。例えば、実施形態に示される全構成要素からいくつかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせても良い。

１０１：Ｗｅｂアクセス制御装置
１０８：アクセス中継プログラム
１０９：Ｗｅｂサイト悪性度判定プログラム
１１０：追加認証要求プログラム
１１１：アクセス先情報取得プログラム
１１２：リスト更新プログラム
１１３：フィードバック値算出プログラム
１１４：重み更新プログラム
１１５：追加認証履歴
１１６：推測器管理表
１１７：推測器重み履歴
１１８：グレーリスト
１１９：ブラックリスト
１２０：ホワイトリスト
１２１：ユーザ端末
１２３：インターネット
１２４：悪性度推測器

Claims (2)

1. ネットワークを介してユーザが操作する端末と接続するＷｅｂアクセス制御装置であって、
   アクセス先Ｗｅｂサイトの悪性度を複数の推測器を用いて推測するＷｅｂサイト悪性度判定部と、
   悪性度の高いサイトへのアクセスを検出した際に、アクセス可否を決定する追加認証要求部と、
   を備えることを特徴とするＷｅｂアクセス制御装置。
2. ネットワークを介してユーザが操作する端末と接続するＷｅｂアクセス制御装置を用いたＷｅｂアクセス制御方法であって、
   アクセス先Ｗｅｂサイトの悪性度を複数の推測器を用いて推測し、
   悪性度の高いサイトへのアクセスを検出した際に、アクセス可否を決定する追加認証を要求する、
   ことを特徴とするＷｅｂアクセス制御方法。

Images