ウェブページ検査装置、コンピュータシステム、ウェブページ検査方法、及びプログラム
【課題】検査対象として指定されたウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する。
【解決手段】サーバ２０のホストＯＳ３０上で、通信部３１がファイルを受信し、ＵＲＬリスト生成部３２がファイルからＵＲＬリストを生成してＵＲＬリスト記憶部３３に記憶する。そして、ゲストＯＳ４０上で、ＵＲＬ読出し部４１がＵＲＬリストからＵＲＬを読み出し、ブラウザ部４２がそのＵＲＬのページにアクセスし、状態変化監視部４３が状態変化ログを状態変化ログ記憶部４４に記録すれば、情報出力部４５が、通信情報記憶部３４、巡回情報記憶部３５、状態変化情報記憶部３６に情報を出力すると共に再起動部３７にゲストＯＳ４０の再起動を指示する。その後、ホストＯＳ３０上で、ページ生成部３８が上記の出力された情報に基づいてクライアントに表示するページを生成する。
【解決手段】サーバ２０のホストＯＳ３０上で、通信部３１がファイルを受信し、ＵＲＬリスト生成部３２がファイルからＵＲＬリストを生成してＵＲＬリスト記憶部３３に記憶する。そして、ゲストＯＳ４０上で、ＵＲＬ読出し部４１がＵＲＬリストからＵＲＬを読み出し、ブラウザ部４２がそのＵＲＬのページにアクセスし、状態変化監視部４３が状態変化ログを状態変化ログ記憶部４４に記録すれば、情報出力部４５が、通信情報記憶部３４、巡回情報記憶部３５、状態変化情報記憶部３６に情報を出力すると共に再起動部３７にゲストＯＳ４０の再起動を指示する。その後、ホストＯＳ３０上で、ページ生成部３８が上記の出力された情報に基づいてクライアントに表示するページを生成する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査するウェブページ検査装置、コンピュータシステム、ウェブページ検査方法、及びプログラムに関する。
【背景技術】
【０００２】
近年のインターネットの爆発的な普及に伴い、ネットワーク上に存在する脅威は無視できないものとなっている。そのようなネットワーク上の脅威の１つに、悪性プログラムがある。この悪性プログラムは、「マルウェア」とも呼ばれ、ユーザにとって好ましくない悪意を持つプログラムのことを指している。マルウェアの代表的なものとして、所謂コンピュータウイルスがある。
【０００３】
このようなマルウェアとして、これまでは、ネットワークを通じて能動的に感染を広げるものが多く確認されてきた。例えば、電子メール等を通じて一気に大量感染するタイプのマルウェアである。しかし、昨今、パーソナルファイアウォールが標準装備されたオペレーティングシステム（ＯＳ）が浸透してきたこともあり、そのような「能動的攻撃」型のマルウェアによる被害は、以前よりは目立たなくなってきている。
これに対して、ここ最近急激に増加しているのが、ウェブサイトを利用した「受動的な攻撃」型のマルウェアである。このようなマルウェアは、例えば、ウェブサーバの脆弱性を突いて書き換えられたウェブページを閲覧しただけで感染するように仕掛けられている。安全なはずの一般企業のウェブページが書き換えられることもあるため、「怪しいウェブサイト」に近付かないように気を付けていてもマルウェアに感染する事例は増えている。
【０００４】
ここで、公報記載の技術として、ウイルス感染ページをウェブサイト側で検知し、ユーザ環境へのウイルス侵入を未然に阻止するシステムがある（例えば、特許文献１参照）。この特許文献１では、自動巡回ロボットが、ウイルスデータベースを参照しながら各ウェブサイトを巡回することにより、ウェブページがウイルスに感染していないかどうかの検知を行い、ウイルスに感染しているウェブページを発見した場合はそのウェブページの情報をウイルス感染ページデータベースに登録し、感染ページを有するウェブサイトに対してウェブページがウイルスに感染している旨の通知を行っている。
【０００５】
【特許文献１】特開２００１−２２２４２５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
このように、ウェブページを閲覧することによるユーザ環境へのマルウェアの侵入を阻止する技術は、従来から存在した。
しかしながら、特許文献１の技術において、自動巡回ロボットは、ウェブ検索サービス機能を持ったウェブサイトで稼働するプログラムのように、複数のウェブサイト／ページを自動的に渡り歩いているに過ぎず、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象として指定されたウェブページを渡り歩いて検査することはできないという問題点があった。
【０００７】
本発明の目的は、検査対象として指定されたウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査することにある。
【課題を解決するための手段】
【０００８】
かかる目的のもと、本発明は、実マシン上に仮想的なマシン環境である仮想マシンが構築された装置において、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象のウェブページを特定するウェブページ特定情報を他の装置から受信する受信手段と、仮想マシン上で動作し、受信手段により受信したウェブページ特定情報で特定されるウェブページにアクセスするアクセス手段と、仮想マシン上で動作し、仮想マシン内の状態の変化を検出する検出手段と、検出手段により状態の変化が検出された場合に、受信手段により受信したウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示すウェブページの検査結果を他の装置に送信する送信手段とを備えたことを特徴とするウェブページ検査装置を提供する。
【０００９】
また、この装置において、受信手段は、ウェブページ特定情報を、ウェブページ特定情報の記述を含むファイルとして受信する、ものであってよい。その場合、ファイルには、特定の文字列が付加されており、送信手段は、ウェブページの検査結果を含む複数の検査結果を表示するための表示情報であって、特定の文字列を検索キーとして複数の検査結果の中からウェブページの検査結果を検索可能な表示情報を、他の装置に送信する、ものであってよい。
【００１０】
更に、この装置は、検出手段により状態の変化が検出された場合に、受信手段により受信したウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを他の装置に表示するための表示情報を生成する生成手段を更に備え、送信手段は、生成手段により生成された表示情報を、ウェブページの検査結果として他の装置に送信する、ものであってよい。
その場合、この装置は、第一に、アクセス手段によるウェブページへのアクセスの際の通信のログを保存する第１の保存手段を更に備え、生成手段は、第１の保存手段により保存された通信のログを更に含む表示情報を生成する、ものであってよく、第１の保存手段は、ウェブページにアクセスした際にダウンロードされたデータを更に保存し、生成手段は、第１の保存手段により保存されたデータにアクセスするための記述を更に含む表示情報を生成する、ものであってよい。そして、受信手段、送信手段、第１の保存手段は、実マシン上で動作する、ものであってよい。
また、この装置は、第二に、検出手段により検出された状態の変化のログを保存する第２の保存手段を更に備え、生成手段は、第２の保存手段により保存された状態の変化のログを更に含む表示情報を生成する、ものであってよい。そして、受信手段、送信手段は、実マシン上で動作し、第２の保存手段は、仮想マシン上で動作し、生成手段は、検出手段による状態の変化の検出に応じた仮想マシンの再構築に先立ち、第２の保存手段により保存された状態の変化のログを実マシンに出力し、実マシンに出力された状態の変化のログを用いて表示情報を生成する、ものであってよい。
【００１１】
また、本発明は、クライアントコンピュータと、実マシン上に仮想的なマシン環境である仮想マシンが構築されたサーバコンピュータとが通信回線を介して接続されてなるコンピュータシステムであって、クライアントコンピュータは、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象のウェブページを特定するウェブページ特定情報を通信回線を介してサーバコンピュータに送信する送信手段を備え、サーバコンピュータは、ウェブページ特定情報をクライアントコンピュータから通信回線を介して受信する受信手段と、仮想マシン上で動作し、受信手段により受信したウェブページ特定情報で特定されるウェブページにアクセスするアクセス手段と、仮想マシン上で動作し、仮想マシン内の状態の変化を検出する検出手段と、検出手段により状態の変化が検出された場合に、受信手段により受信したウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示すウェブページの検査結果を通信回線を介してクライアントコンピュータに送信する送信手段とを備え、クライアントコンピュータは、ウェブページの検査結果をサーバコンピュータから通信回線を介して受信する受信手段を更に備えたことを特徴とするコンピュータシステムも提供する。
【００１２】
更に、本発明は、実マシン上に仮想的なマシン環境である仮想マシンが構築された装置において、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象のウェブページを特定するウェブページ特定情報を他の装置から受信するステップと、仮想マシン上で実行され、ウェブページ特定情報で特定されるウェブページにアクセスするステップと、仮想マシン上で実行され、仮想マシン内の状態の変化を検出するステップと、状態の変化が検出された場合に、ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示すウェブページの検査結果を他の装置に送信するステップとを含むことを特徴とするウェブページ検査方法も提供する。
【００１３】
更にまた、本発明は、実マシン上に仮想的なマシン環境である仮想マシンが構築されたコンピュータにおける仮想マシンに、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象のウェブページを特定するウェブページ特定情報を他の装置から受信する機能と、仮想マシン上で動作するブラウザを、ウェブページ特定情報で特定されるウェブページにアクセスさせる機能と、仮想マシン内の状態の変化を検出する機能と、状態の変化が検出された場合に、実マシンに対して、ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示すウェブページの検査結果を他の装置に送信させる機能とを実現させるためのプログラムも提供する。
【発明の効果】
【００１４】
本発明によれば、検査対象として指定されたウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査することができる。
【発明を実施するための最良の形態】
【００１５】
以下、添付図面を参照して、本発明を実施するための最良の形態（以下、「実施の形態」という）について詳細に説明する。
まず、本実施の形態が適用されるコンピュータシステムについて説明する。
図１は、このようなコンピュータシステムの全体構成例を示した図である。
図示するように、このコンピュータシステムは、クライアント１０ａ，１０ｂと、サーバ２０とが、ネットワーク８０を介して接続されている。
【００１６】
クライアント１０ａ，１０ｂは、ユーザが使用するクライアントコンピュータである。例えば、パーソナルコンピュータやワークステーション、その他のコンピュータ装置にて実現される。本実施の形態において、クライアント１０ａ，１０ｂは、アクセスするとマルウェアに感染するかどうかを検査する対象のウェブページ（以下、単に「ページ」という）のＵＲＬ（Uniform Resource Locator）のリスト（ＵＲＬリスト）をサーバ２０にアップロードするために用いられる。例えば、クライアント１０ａ，１０ｂには、ウェブブラウザがインストールされ、ＵＲＬリストは、このウェブブラウザにより表示されたサーバ２０のページ上で所定の操作を行うことによりサーバ２０にアップロードするとよい。そして、クライアント１０ａ，１０ｂは、サーバ２０によるページの検査結果を受信して表示する。尚、図では、クライアント１０ａ，１０ｂを示したが、これらを区別する必要がない場合は、クライアント１０と称することもある。また、図には、２台のクライアント１０しか示していないが、３台以上のクライアント１０を設けてもよい。
【００１７】
サーバ２０は、クライアント１０からアップロードされたＵＲＬリストに基づいてページを巡回し、ページにアクセスするとマルウェアに感染する可能性があるか等を示す情報を生成してクライアント１０に提供するサーバコンピュータである。例えば、パーソナルコンピュータやワークステーション、その他のコンピュータ装置にて実現される。尚、サーバ２０の詳細な機能及び動作については後述する。
ネットワーク８０は、情報の送受信に用いる通信回線である。このネットワーク８０としては、インターネットやＬＡＮ（Local Area Network）が例示される。
【００１８】
ところで、本実施の形態では、図１のようなコンピュータシステムのサーバ２０において、実マシン上に仮想的なマシン環境である仮想マシンを構築する。このような仮想マシンは、例えば、ＶＭＷａｒｅ（登録商標）を用いて構築するとよい。そして、仮想マシン上で、クライアント１０から送られたＵＲＬリストに含まれるＵＲＬへのアクセスを行い、その結果、仮想マシンがマルウェアに感染したと判断されれば、その旨の情報及びマルウェアに関する詳細な情報をクライアント１０に送信する。
【００１９】
そこで、まず、このような動作を行うサーバ２０の機能構成について説明する。
図２は、サーバ２０の機能構成例を示したブロック図である。
上述したように、サーバ２０では、実マシン上に仮想マシンが構築されているので、図示するように、実マシン上で動作するＯＳ（以下、「ホストＯＳ」という）３０と、仮想マシン上で動作するＯＳ（以下、「ゲストＯＳ」という）４０とが動作している。そして、サーバ２０は、ホストＯＳ３０上で動作する機能として、通信部３１と、ＵＲＬリスト生成部３２と、ＵＲＬリスト記憶部３３と、通信情報記憶部３４と、巡回情報記憶部３５と、状態変化情報記憶部３６と、再起動部３７と、ページ生成部３８とを備えている。また、ゲストＯＳ４０上で動作する機能として、ＵＲＬ読出し部４１と、ブラウザ部４２と、状態変化監視部４３と、状態変化ログ記憶部４４と、情報出力部４５とを備えている。
【００２０】
まず、ホストＯＳ３０上で動作する機能について説明する。このホストＯＳ３０としては、例えば、Ｌｉｎｕｘ（登録商標）を用いることができる。
通信部３１は、クライアント１０からＵＲＬリストを含むファイルを受信したり、ＵＲＬリスト内のＵＲＬのページの検査結果をクライアント１０に送信したりする。また、ゲストＯＳ４０と外部との間の通信も行い、このときの通信ログを採取して通信情報記憶部３４に記憶する。本実施の形態では、ウェブページ特定情報の一例として、ＵＲＬを用いており、ウェブページ特定情報を他の装置から受信する受信手段の一例として、また、ウェブページの検査結果を他の装置に送信する送信手段の一例として、通信部３１を設けている。
【００２１】
尚、この通信部３１によるゲストＯＳ４０と外部との間の通信、及び、通信ログの採取に関する具体的な実装としては、次のようなものが考えられる。
まず、ＵＲＬへのアクセス時の通信を集約して処理するため、例えばＰｅｒｌスクリプトで作成したプロキシを用意し、かつ、仮想マシンとの間にＨｏｓｔ−Ｏｎｌｙの仮想ネットワークを作成する。そして、ＵＲＬへのアクセス時の通信は全てこのプロキシを経由させ、将来的な拡張、例えばアクセス先のコンテンツに含まれるリンク先の収集といった機能を具備することを可能とする。このような状態で、プロキシのネットワーク８０側のネットワークインターフェイスにtcpdumpをバインドさせ、通信ログを記録させる。
【００２２】
ＵＲＬリスト生成部３２は、通信部３１が受信したファイルからＵＲＬリストを生成する。また、通信部３１が受信したファイルに付加されたタグを取り出す。
ＵＲＬリスト記憶部３３は、ＵＲＬリスト生成部３２が生成したＵＲＬリストを記憶する。
【００２３】
通信情報記憶部３４は、ゲストＯＳ４０上で動作するブラウザ部４２がＵＲＬリストに基づいてページを巡回した際の通信の内容に関する情報（以下、「通信情報」という）を記憶する。本実施の形態では、通信のログを保存する第１の保存手段の一例として、通信情報記憶部３４を設けている。
巡回情報記憶部３５は、ゲストＯＳ４０上で動作するブラウザ部４２がＵＲＬリストに基づいてページを巡回した際に得られるＵＲＬごとの情報（以下、「巡回情報」という）を記憶する。
状態変化情報記憶部３６は、ゲストＯＳ４０上で動作するブラウザ部４２がＵＲＬリストに基づいてページを巡回した際のゲストＯＳ４０上のシステムの状態の変化に関する情報（以下、「状態変化情報」という）を記憶する。本実施の形態では、状態の変化のログを保存する第２の保存手段の一例として、状態変化情報記憶部３６を設けている。
【００２４】
再起動部３７は、ゲストＯＳ４０の指示に従い、仮想マシンの再起動（クリーンな状態へのリセット）を行う。
ページ生成部３８は、ＵＲＬリスト記憶部３３に記憶されたＵＲＬリスト、巡回情報記憶部３５に記憶された巡回情報、通信情報記憶部３４に記憶された通信情報、状態変化情報記憶部３６に記憶された状態変化情報に基づいて、クライアント１０に表示するページを生成する。本実施の形態では、表示情報を生成する生成手段の一例として、ページ生成部３８を設けている。
【００２５】
次に、ゲストＯＳ４０上で動作する機能について説明する。ホストＯＳ３０としてＬｉｎｕｘ（登録商標）を用いたとすると、このゲストＯＳ４０としては、例えば、Ｗｉｎｄｏｗｓ（登録商標）を用いることができる。
ＵＲＬ読出し部４１は、ＵＲＬリスト記憶部３３からＵＲＬを読み出す。このＵＲＬ読出し部４１は、例えば、仮想マシンにおいて事前に読み込まれているカーネルドライバによって実現すればよく、ホストＯＳ３０は、ＵＲＬリストに含まれるＵＲＬを、事前に定義した制御チャネルを通じてＵＲＬ読出し部４１に通知する。また、ＵＲＬ読出し部４１は、ＵＲＬを読み出すと、ブラウザ部４２を起動し、読み出したＵＲＬにアクセスさせる。このような一連の動作を繰り返し行うことで、サーバ２０は、ＵＲＬリストで指定されたページを巡回する。
ブラウザ部４２は、ＵＲＬ読出し部４１が読み出したＵＲＬに基づいてページにアクセスする。ゲストＯＳ４０としてＷｉｎｄｏｗｓ（登録商標）を用いたとすると、このブラウザ部４２としては、例えば、Internet Explorer（登録商標）を用いることができる。本実施の形態では、ウェブページにアクセスするアクセス手段の一例として、ブラウザ部４２を設けている。
【００２６】
状態変化監視部４３は、ブラウザ部４２がページにアクセスした際のゲストＯＳ４０上のシステムの状態の変化を監視し、システムの状態の変化を検出すると、状態の変化のログ（状態変化ログ）を記録する。ここで、システムの状態とは、ファイルアクセスやレジストリアクセス等である。
【００２７】
尚、この状態変化監視部４３によるシステムの状態の変化の監視に関する具体的な実装としては、次のようなものが考えられる。
まず、プロセスの監視である。
下記（１），（２）のＡＰＩを利用することでカーネルによるプロセス生成処理に対する通知処理を登録する。これによりカーネルによるプロセス生成処理に併せて独自のプロセスエントリを生成し、状態変化監視部４３が管理する。また、その情報をロギング機能により状態変化ログ記憶部４４に記録する。
（１）PsSetCreateProcessNotifyRoutine
カーネルによるプロセス生成処理時に対象プロセスの親プロセスのコンテキストにおいて実行される通知処理を登録するためのＡＰＩ
（２）PsSetLoadImageNotifyRoutine
カーネルによるプロセス生成処理時に対象プロセスのコンテキストにおいて、対象プロセスにロードされる実行モジュールがロードされる際に実行される通知処理を登録するためのＡＰＩ
これにより、あらゆるプロセス並びにスレッドの新規生成を記録するようにした。
【００２８】
次に、ファイルシステムの監視である。
ＳＳＤＴ（System Service Description Table）フッキングにより下記（３），（４）のＡＰＩのフィルタリングを行う。これによりファイル生成時のファイルハンドルを記録し、そのファイルハンドルが開放された直後に対象ファイルのバックアップを行う。また、その情報をロギング機能により状態変化ログ記憶部４４に記録する。
（３）ZwCreateFile
ファイルの生成処理を行うためのＡＰＩ
（４）ZwClose
ハンドルの開放を行うためのＡＰＩ
尚、この処理では、ブラウザ部４２が使用する一時ディレクトリ以外の全てのディレクトリに含まれるファイルを対象とした。これにより、極力全てのプロセスとマルウェア検体の収集を図るものとした。
【００２９】
また、状態変化監視部４３は、マルウェア検体の捕捉も行う。即ち、状態変化監視部４３は、マルウェアの感染活動を確認すると、その検体をその活動を記した状態変化ログと共に一時的に状態変化ログ記憶部４４にコピーする。
【００３０】
状態変化ログ記憶部４４は、状態変化監視部４３が生成した状態変化ログを記憶する。
情報出力部４５は、状態変化ログ記憶部４４における状態変化ログの記録の状況に基づいて、仮想マシンがマルウェアに感染したと判定する。そして、一定時間後に発生するホストＯＳ３０からの問い合わせに対して感染を報告し、ＵＲＬ読出し部４１から受け取った情報を巡回情報記憶部３５及び状態変化情報記憶部３６に記録し、状態変化ログ記憶部４４に記録された状態変化ログを状態変化情報記憶部３６にコピーし、マルウェアの検体をホストＯＳ３０の管理下にある記憶領域（図示せず）にコピーする。本実施の形態では、仮想マシン内の状態の変化を検出する検出手段の一例として、情報出力部４５を設けている。
【００３１】
尚、この情報出力部４５による仮想マシンでの監視の結果の回収は、ホストＯＳ３０側に結果の回収を行うＰｅｒｌスクリプトを用意することで実現可能である。
また、仮想マシンで収集されたマルウェアの検体の回収は、VIX APIを使用したスクリプトによって実現可能である。ＶＭＷａｒｅ（登録商標）に標準で用意されているVIX APIを使用することで、仮想マシンの操作を自動化することや、仮想マシン内でスクリプトを実行すること、或いは仮想マシン間でファイルを転送することが可能となる。
【００３２】
次に、本実施の形態の動作について説明する。
まず、本実施の形態においてクライアント１０に表示される初期ページについて説明する。
図３は、クライアント１０に表示される初期ページの一例を示した図である。尚、この初期ページは、例えば、ＨＴＭＬ文書として作成されている。
図示するように、この初期ページは、メールアドレス記述１０１と、登録フォーム１０２と、新規登録ボタン１０５とを含んでいる。
【００３３】
このうち、メールアドレス記述１０１は、検査対象のＵＲＬをサーバ２０に伝える電子メールの送信先となるメールアドレスを記述したものである。表題（subject）にタグを記述し、本文にＵＲＬを記述した電子メールを「urlcrawl@gmail.com」に送信すれば、本文に記述されたＵＲＬのページの検査がサーバ２０にて行われ、クライアント１０は、その検査結果をタグで検索可能な形式で受信することになる。
また、登録フォーム１０２は、検査対象のＵＲＬを一般的なファイルの形式でサーバ２０に伝えるために用いられるものである。タグをファイル名とし、ＵＲＬを内容とするファイルを参照ボタン１０３で指定し、登録ボタン１０４でサーバ２０にアップロードすれば、ファイルに記述されたＵＲＬのページの検査がサーバ２０にて行われ、クライアント１０は、その検査結果をタグで検索可能な形式で受信することになる。
更に、新規登録ボタン１０５は、検査対象のＵＲＬを手入力によりサーバ２０に伝えるために用いられるものである。新規登録ボタン１０５を押下して表示された入力画面にタグ及びＵＲＬを入力してサーバ２０に送信すれば、入力されたＵＲＬのページの検査がサーバ２０にて行われ、クライアント１０は、その検査結果をタグで検索可能な形式で受信することになる。
【００３４】
このような画面から、例えば、ＵＲＬリストが一般的なファイルの形式でサーバ２０に送信されると、サーバ２０は、そのファイルからＵＲＬリストを生成する処理を行う。
図４は、このときのサーバ２０のホストＯＳ３０上の各機能の動作例を示したフローチャートである。尚、この動作例において、ファイルの１行には１つのＵＲＬが記述されているものとする。
クライアント１０からファイルが送信されると、サーバ２０では、まず、通信部３１が、ファイルを受信し、ＵＲＬリスト生成部３２に受け渡す（ステップ３０１）。
すると、ＵＲＬリスト生成部３２は、受け渡されたファイルからファイル名を取得する（ステップ３０２）。
【００３５】
次に、ＵＲＬリスト生成部３２は、ファイルから１行を読み出し（ステップ３０３）、ＥＯＦ（End Of File）であるかどうかを判定する（ステップ３０４）。
その結果、ＥＯＦでなければ、ＵＲＬリスト生成部３２は、ステップ３０２で取得したファイル名を、ＵＲＬリスト記憶部３３内のタグ欄に記憶する（ステップ３０５）。また、ステップ３０３で読み出した１行のＵＲＬをＵＲＬリスト記憶部３３内のＵＲＬ欄に記憶する（ステップ３０６）。更に、ＵＲＬリスト記憶部３３内の巡回済フラグ欄には、巡回済でないことを示す「ＯＦＦ」を記憶する（ステップ３０７）。
その後、ステップ３０３〜３０７の処理を繰り返すが、ファイル内のＵＲＬを全て読み出すと、ステップ３０４でＥＯＦと判定されるので、処理は終了する。
【００３６】
尚、図４の動作例では、ＵＲＬリストが一般的なファイルの形式でサーバ２０に送信されたことを前提としたが、ＵＲＬリストが電子メールでサーバ２０に送信された場合であっても、同様の動作となる。その場合は、図４において、ファイルを電子メールのファイルと捉え、ファイル名を電子メールの表題と読み替えればよい。
【００３７】
ここで、図４の動作が行われた結果、ＵＲＬリスト記憶部３３に記憶されるＵＲＬリストについて具体的に説明する。
図５は、ＵＲＬリストの具体的な内容を示した図である。
図示するように、ＵＲＬリストは、タグと、ＵＲＬと、巡回済フラグとを対応付けたものとなっている。
【００３８】
このうち、タグは、既述の通り、ユーザがＵＲＬリストをサーバ２０に送信する際に同時に送信した文字列である。クライアント１０に表示された複数のＵＲＬに関する検査結果の中から自分が依頼したＵＲＬの検査結果を検索する際の検索キーとなるものであるので、ＵＲＬリストに含めて管理している。
ＵＲＬは、ユーザがサーバ２０に送信したＵＲＬリストに含まれる個々のＵＲＬである。
巡回済フラグは、対応するＵＲＬのページを巡回したかどうかを示すフラグである。ＵＲＬリストにＵＲＬが登録されたばかりで未巡回の場合は「ＯＦＦ」に設定され、その後、ページを巡回すると、そのページのＵＲＬの巡回済フラグは「ＯＮ」に書き換えられる。
【００３９】
このようにＵＲＬリスト記憶部３３にＵＲＬリストが記憶されると、ゲストＯＳ４０上で、ＵＲＬリストに含まれるＵＲＬのページを巡回し、マルウェアへの感染の可能性を検査する処理が開始する。
図６は、このときのサーバ２０のゲストＯＳ４０上の各機能の動作例を示したフローチャートである。
まず、ＵＲＬ読出し部４１は、ＵＲＬリスト記憶部３３に記憶されたＵＲＬリストから１行を読み出し（ステップ４０１）、ＥＯＦであるかどうかを判定する（ステップ４０２）。
その結果、ＥＯＦでなければ、ＵＲＬ読出し部４１は、ステップ４０１で読み出した行に含まれるＵＲＬをブラウザ部４２に渡し、ブラウザ部４２が、渡されたＵＲＬを用いてページにアクセスする（ステップ４０３）。このとき、ブラウザ部４２から外部のページへのアクセスは、ホストＯＳ３０上の通信部３１を介して行われ、そのときの通信のログが通信情報記憶部３４に記憶される。また、このとき、ブラウザ部４２は、例えば、ページへのアクセスのための一連の通信が終了した日時を巡回日時とし、ページへのアクセスが完了した旨と巡回日時とをＵＲＬ読出し部４１に伝える。すると、ＵＲＬ読出し部４１は、ＵＲＬリスト記憶部３３内の巡回済フラグを「ＯＮ」に書き換える（ステップ４０４）。そして、ＵＲＬ読出し部４１は、ステップ４０１で読み出した行に含まれるタグ及びＵＲＬと、ステップ４０３で取得した巡回日時とを情報出力部４５に渡し、情報出力部４５は、タグ、ＵＲＬ、巡回日時、巡回が完了したことを示すステータス「Ｄｏｎｅ」を、それぞれ、ホストＯＳ３０上の巡回情報記憶部３５内のタグ欄、ＵＲＬ欄、巡回日時欄、ステータス欄に記憶する（ステップ４０５）。
【００４０】
その後、情報出力部４５は、状態変化ログ記憶部４４に状態変化ログが記録されているかどうかを判定する（ステップ４０６）。
その結果、状態変化ログ記憶部４４に状態変化ログが記録されていると判定されれば、情報出力部４５は、ステップ４０１で読み出した行に含まれるＵＲＬが悪性ＵＲＬであることを示す判定「ｅｘｐｌｏｉｔ」と、状態変化ログ記憶部４４に記憶された状態変化ログとをホストＯＳ３０上に保存する（ステップ４０７）。具体的には、巡回情報記憶部３５において、ステップ４０５で記憶したＵＲＬ及び巡回日時の組み合わせに対する判定欄に「ｅｘｐｌｏｉｔ」を記憶する。また、ステップ４０５で巡回情報記憶部３５に記憶したＵＲＬ及び巡回日時の組み合わせと、状態変化ログ記憶部４４に記憶されたイベント発生日時、イベントＩＤ、プロセスＩＤ、イベントタイプ、検体活動情報とを、状態変化情報記憶部３６に記憶する。更に、状態変化ログ記憶部４４に記憶されたマルウェアの検体を記憶領域（図示せず）に保存し、通信情報記憶部３４において、ステップ４０５で記憶したＵＲＬ及び巡回日時の組み合わせに対する検体欄にその記憶領域のアドレス情報を記憶する。そして、情報出力部４５は、仮想マシンの再起動を再起動部３７に指示する（ステップ４０８）。これにより、仮想マシンは再起動され、仮想マシン内の状態の変化はクリアされることになる。
【００４１】
一方、ステップ４０６で、状態変化ログ記憶部４４に状態変化ログが記録されていないと判定されれば、ステップ４０１に戻り、次のＵＲＬについて同様の処理を繰り返す。そして、ＵＲＬリスト記憶部３３に記憶されたＵＲＬリストからＵＲＬを全て読み出すと、ステップ４０２でＥＯＦと判定されるので、ＵＲＬリスト記憶部３３にＵＲＬリストが登録されるまで処理は停止する。
【００４２】
ここで、図６の動作が行われた結果、通信情報記憶部３４に記憶される通信情報について具体的に説明する。
図７は、通信情報の具体的な内容を示した図である。
図示するように、通信情報は、ＵＲＬと、巡回日時と、通信日時と、通信時間と、ＩＰアドレス／ポート番号と、プロトコルと、データ量と、通信内容と、検体とを対応付けたものとなっている。
ＵＲＬは、既述の通り、ユーザがサーバ２０に送信したＵＲＬリストに含まれる個々のＵＲＬである。
巡回日時は、対応するＵＲＬのページを巡回した日時である。
通信日時は、対応するＵＲＬのページにアクセスするために発生した個々の通信の日時である。
通信時間は、対応するＵＲＬのページにアクセスするために発生した個々の通信に要した時間である。
ＩＰアドレス／ポート番号は、対応するＵＲＬのページにアクセスするために発生した個々の通信における送信元及び送信先のＩＰアドレス及びポート番号である。
プロトコルは、対応するＵＲＬのページにアクセスするために発生した個々の通信で用いられたプロトコルである。
データ量は、対応するＵＲＬのページにアクセスするために発生した個々の通信でやり取りされたデータの容量である。
通信内容は、対応するＵＲＬのページにアクセスするために発生した個々の通信でやり取りされた実際のデータである。或いは、実際のデータは、別の記憶領域に記憶しておき、その記憶領域のアドレス情報を記憶するようにしてもよい。
検体は、仮想マシンにて捕捉されたマルウェアの検体を保存した記憶領域のアドレス情報を意味する。
【００４３】
また、図６の動作が行われた結果、巡回情報記憶部３５に記憶される巡回情報について具体的に説明する。
図８は、巡回情報の具体的な内容を示した図である。
図示するように、巡回情報は、タグと、ＵＲＬと、巡回日時と、ステータスと、判定とを対応付けたものとなっている。
タグ、ＵＲＬ、巡回日時については、既に述べたので、ここでの説明は省略する。
ステータスは、対応するＵＲＬのページの巡回が完了したかどうかを示す情報である。巡回が完了したＵＲＬに対して「Ｄｏｎｅ」が書き込まれる。
判定は、対応するＵＲＬがアクセスするとマルウェアに感染する可能性のある悪性ＵＲＬであるかどうかを示す情報である。悪性ＵＲＬに対して「ｅｘｐｌｏｉｔ」が書き込まれる。
【００４４】
更に、図６の動作が行われた結果、状態変化情報記憶部３６に記憶される状態変化情報について具体的に説明する。
図９は、状態変化情報の具体的な内容を示した図である。
図示するように、状態変化情報は、ＵＲＬと、巡回日時と、イベント発生日時、イベントＩＤ、プロセスＩＤ、イベントタイプ、検体活動情報とを対応付けたものとなっている。
ＵＲＬ、巡回日時については、既に述べたので、ここでの説明は省略する。
イベント発生日時は、状態の変化を生じさせたイベントが発生した日時である。
イベントＩＤは、状態の変化を生じさせたイベントを一意に識別するための情報である。
プロセスＩＤは、状態の変化を生じさせたプロセスを一意に識別するための情報である。
イベントタイプは、状態の変化を生じさせたイベントの種類を示す情報である。例えば、プロセスを生成するイベントであれば「ＣＲＥＡＴＥ＿ＰＲＯＣＥＳＳ」が記憶され、ファイルを生成するイベントであれば「ＣＲＥＡＴＥ＿ＦＩＬＥ」が記憶される。
検体活動情報は、状態の変化を生じさせたイベントの対象となるプロセスやファイルを示す情報である。
【００４５】
このように通信情報記憶部３４に通信情報が記憶され、巡回情報記憶部３５に巡回情報が記憶され、状態変化情報記憶部３６に状態変化情報が記憶されると、ホストＯＳ３０上では、ページ生成部３８が、クライアント１０に表示されるページを生成する処理を開始する。
図１０は、このときのページ生成部３８の動作例を示したフローチャートである。
まず、ページ生成部３８は、悪性ＵＲＬ数、累積検体数、巡回待ちＵＲＬ数を取得し、トップページにセットする（ステップ３２１）。ここで、悪性ＵＲＬ数としては、巡回情報記憶部３５に記憶されたＵＲＬのうち、判定「ｅｘｐｌｏｉｔ」が対応付けられたＵＲＬの数を取得すればよい。また、累積検体数としては、通信情報記憶部３４に記憶された通信情報内の検体のアドレス情報を用いて、これまでに捕捉した検体の種類の数を求めて記憶しておき、その求めた数を取得すればよい。更に、巡回待ちＵＲＬ数としては、ＵＲＬリスト記憶部３３に記憶されたＵＲＬのうち、巡回済フラグ「ＯＦＦ」が対応付けられたＵＲＬの数を取得すればよい。
【００４６】
次に、ページ生成部３８は、巡回情報記憶部３５に記憶された巡回情報から１行を読み出し（ステップ３２２）、ＥＯＦであるかどうかを判定する（ステップ３２３）。
その結果、ＥＯＦでなければ、ページ生成部３８は、ステップ３２２で読み出した１行分の情報をトップページにセットする（ステップ３２４）。具体的には、ＵＲＬ、ステータス、判定、タグ、巡回日時をセットする。
【００４７】
また、ページ生成部３８は、通信情報記憶部３４に記憶された通信情報から、ステップ３２２で読み出した行に含まれるＵＲＬ及び巡回日時の組み合わせと同じ組み合わせを含む行を読み出す（ステップ３２５）。そして、ＥＯＦであるかどうかを判定する（ステップ３２６）。
その結果、ＥＯＦでなければ、ページ生成部３８は、ステップ３２５で読み出した１行分の情報をトップページにリンクされたリンク先ページＢにセットする（ステップ３２７）。トップページには４つのリンク先ページＡ，Ｂ，Ｃ，Ｄがリンクされており、ここでは、そのうちのリンク先ページＢに情報をセットするものとする。詳細は後述する。具体的には、通信日時、通信時間、ＩＰアドレス／ポート番号、プロトコル、データ量、通信内容及び検体へのリンク記述をセットする。
その後、ステップ３２５〜３２７の処理を繰り返すが、通信情報記憶部３４内の目的のＵＲＬ及び巡回日時の組み合わせに対応する通信情報を全て読み出すと、ステップ３２６でＥＯＦと判定されるので、状態変化情報に関する処理に移行する。
【００４８】
次いで、ページ生成部３８は、状態変化情報記憶部３６に記憶された状態変化情報から、ステップ３２２で読み出した行に含まれるＵＲＬ及び巡回日時の組み合わせと同じ組み合わせを含む行を読み出す（ステップ３２８）。そして、ＥＯＦであるかどうかを判定する（ステップ３２９）。
その結果、ＥＯＦでなければ、ページ生成部３８は、ステップ３２８で読み出した１行分の情報をトップページにリンクされたリンク先ページＣにセットする（ステップ３３０）。上述したように、トップページには４つのリンク先ページＡ，Ｂ，Ｃ，Ｄがリンクされているが、ここでは、そのうちのリンク先ページＣに情報をセットするものとする。詳細は後述する。具体的には、イベント発生日時、イベントＩＤ、プロセスＩＤ、イベントタイプ、検体活動情報をセットする。
その後、ステップ３２８〜３３０の処理を繰り返すが、状態変化情報記憶部３６内の目的のＵＲＬ及び巡回日時の組み合わせに対応する状態変化情報を全て読み出すと、ステップ３２９でＥＯＦと判定される。そこで、ステップ３２２に戻り、次の巡回情報について同様の処理を繰り返す。そして、巡回情報記憶部３５から巡回情報を全て読み出すと、ステップ３２３でＥＯＦと判定されるので、ページ生成部３８は、生成されたページを通信部３１に受け渡す。すると、通信部３１は、受け取ったページをクライアント１０に送信する（ステップ３３１）。
【００４９】
これにより、クライアント１０には、ページ生成部３８で生成されたページが表示される。
図１１〜１４は、クライアント１０に表示されるページの一例を示した図である。
まず、図１１は、トップページ（巡回情報ページ）を示している。尚、この巡回情報ページは、例えば、ＨＴＭＬ文書として作成されている。
この巡回情報ページは、図３の初期ページに表示されたＵＲＬリストのアップロードのための記述の下に、巡回情報が表示されたものとなっている。尚、この巡回情報は、図１０のステップ３２４でセットされたものである。
ここで、巡回情報にはタグが含まれ、前述した通り、検索ボタン１１１を用いてタグを検索キーとした検索が行えるようになっている。
また、巡回情報の各行の右端には、履歴ボタン１１２、編集ボタン１１３、削除ボタン１１４、表示ボタン１１５が設けられている。このうち、編集ボタン１１３は、対応する行のＵＲＬを編集するためのボタンであり、削除ボタン１１４は、対応する行を削除するためのボタンであり、表示ボタン１１５は、対応する行のＵＲＬに関するより詳細な情報を表示するためのボタンである。また、履歴ボタン１１２は、対応する行のＵＲＬに関する各種履歴等を表示するためのボタンである。
【００５０】
図１２は、ＵＲＬ「http://drmyy.cn/」に対応する履歴ボタン１１２を押下したときに表示されるページ（中間ページ）を示している。尚、この中間ページも、例えば、ＨＴＭＬ文書として作成されている。ここでは、ＵＲＬ「http://drmyy.cn/」にアクセスすることにより１つの検体が見つかったことが表示されており、この検体に対して、地図ボタン１２１、通信ログボタン１２２、状態変化ログボタン１２３、表示ボタン１２４が設けられている。このうち、地図ボタン１２１を押下すると、リンク先ページＡが表示される。このリンク先ページＡには、例えば、ＵＲＬで特定されるコンピュータの実際の位置が示された地図を表示するとよい。また、通信ログボタン１２２を押下すると、後述するリンク先ページＢが表示され、状態変化ログボタン１２３を押下すると、後述するリンク先ページＣが表示される。更に、表示ボタン１２４を押下すると、リンク先ページＤが表示される。このリンク先ページＤには、例えば、検体に関するより詳細な情報を表示するとよい。
【００５１】
次に、リンク先ページＢ（通信情報ページ）について説明する。
図１３は、リンク先ページＢ（通信情報ページ）を示している。尚、この通信情報ページも、例えば、ＨＴＭＬ文書として作成されている。ここでは、ＵＲＬ「http://drmyy.cn/」に対応する通信ログボタン１２２を押下することにより表示された通信情報ページを想定しているので、そのＵＲＬの行の下に、通信情報が表示されたものとなっている。具体的には、左から、シーケンシャル番号、通信日時、通信時間、ＩＰアドレス／ポート番号（左側が送信元、右側が送信先）、プロトコル、データ量、通信内容及び検体へのリンク記述となっている。図では、記述１３１（「as_html」）が、通信内容を表すＨＴＭＬ文書へのリンク記述であり、記述１３２（「session__0004.part_01.data」）が、検体（そのＵＲＬのページからダウンロードされたデータ）へのリンク記述である。尚、この通信情報は、図１０のステップ３２７でセットされたものである。
【００５２】
次いで、リンク先ページＣ（状態変化情報ページ）について説明する。
図１４は、リンク先ページＣ（状態変化情報ページ）を示している。尚、この状態変化情報ページも、例えば、ＨＴＭＬ文書として作成されている。ここでは、ＵＲＬ「http://drmyy.cn/」に対応する通信ログボタン１２２を押下することにより表示された状態変化情報ページを想定しているので、そのＵＲＬの行の下に、状態変化情報が表示されたものとなっている。具体的には、左から、イベント発生日時、イベントＩＤ、プロセスＩＤ、イベントタイプ、検体活動情報となっている。尚、この状態変化情報は、図１０のステップ３３０でセットされたものである。
【００５３】
以上により、本実施の形態の動作は終了する。
ところで、本実施の形態では、通信部３１、ＵＲＬリスト生成部３２、ＵＲＬリスト記憶部３３、通信情報記憶部３４、巡回情報記憶部３５、状態変化情報記憶部３６、ページ生成部３８をホストＯＳ３０上で動作するものとしたが、これらをゲストＯＳ４０上で動作するものとしてもよい。その場合、仮想マシンのマルウェアへの感染に応じた仮想マシンの再起動に先立ち、仮想マシンの再起動後に使用するデータ（例えば、ＵＲＬリスト）は、ゲストＯＳ４０に出力して保全しておく必要がある。
【００５４】
以上述べたように、本実施の形態では、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象のウェブページのＵＲＬを受信し、仮想マシンを用いてこのＵＲＬのページを巡回し、仮想マシンの状態の変化を検出するようにした。これにより、検査対象として指定されたウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査することが可能となった。
【００５５】
最後に、本実施の形態を適用するのに好適なコンピュータのハードウェア構成について説明する。図１５は、このようなコンピュータのハードウェア構成の一例を示した図である。図示するように、コンピュータは、演算手段であるＣＰＵ（Central Processing Unit）９０ａと、Ｍ／Ｂ（マザーボード）チップセット９０ｂを介してＣＰＵ９０ａに接続されたメインメモリ９０ｃと、同じくＭ／Ｂチップセット９０ｂを介してＣＰＵ９０ａに接続された表示機構９０ｄとを備える。また、Ｍ／Ｂチップセット９０ｂには、ブリッジ回路９０ｅを介して、ネットワークインターフェイス９０ｆと、磁気ディスク装置（ＨＤＤ）９０ｇと、音声機構９０ｈと、キーボード／マウス９０ｉと、フレキシブルディスクドライブ９０ｊとが接続されている。
【００５６】
尚、図１５において、各構成要素は、バスを介して接続される。例えば、ＣＰＵ９０ａとＭ／Ｂチップセット９０ｂの間や、Ｍ／Ｂチップセット９０ｂとメインメモリ９０ｃの間は、ＣＰＵバスを介して接続される。また、Ｍ／Ｂチップセット９０ｂと表示機構９０ｄとの間は、ＡＧＰ（Accelerated Graphics Port）を介して接続されてもよいが、表示機構９０ｄがＰＣＩ Ｅｘｐｒｅｓｓ対応のビデオカードを含む場合、Ｍ／Ｂチップセット９０ｂとこのビデオカードの間は、ＰＣＩ Ｅｘｐｒｅｓｓ（ＰＣＩｅ）バスを介して接続される。また、ブリッジ回路９０ｅと接続する場合、ネットワークインターフェイス９０ｆについては、例えば、ＰＣＩ Ｅｘｐｒｅｓｓを用いることができる。また、磁気ディスク装置９０ｇについては、例えば、シリアルＡＴＡ（AT Attachment）、パラレル転送のＡＴＡ、ＰＣＩ（Peripheral Components Interconnect）を用いることができる。更に、キーボード／マウス９０ｉ、及び、フレキシブルディスクドライブ９０ｊについては、ＵＳＢ（Universal Serial Bus）を用いることができる。
【図面の簡単な説明】
【００５７】
【図１】本実施の形態が適用されるコンピュータシステムの全体構成図である。
【図２】本実施の形態におけるサーバの機能構成例を示したブロック図である。
【図３】本実施の形態でクライアントに表示される初期ページの例を示した図である。
【図４】本実施の形態におけるサーバのホストＯＳ上の機能の動作例を示したフローチャートである。
【図５】本実施の形態で生成されるＵＲＬリストの例を示した図である。
【図６】本実施の形態におけるサーバのゲストＯＳ上の機能の動作例を示したフローチャートである。
【図７】本実施の形態で記憶される通信情報の例を示した図である。
【図８】本実施の形態で記憶される巡回情報の例を示した図である。
【図９】本実施の形態で記憶される状態変化情報の例を示した図である。
【図１０】本実施の形態におけるサーバのホストＯＳ上の機能の動作例を示したフローチャートである。
【図１１】本実施の形態でクライアントに表示される巡回情報ページの例を示した図である。
【図１２】本実施の形態でクライアントに表示される中間ページの例を示した図である。
【図１３】本実施の形態でクライアントに表示される通信情報ページの例を示した図である。
【図１４】本実施の形態でクライアントに表示される状態変化情報ページの例を示した図である。
【図１５】本実施の形態が適用されるコンピュータのハードウェア構成図である。
【符号の説明】
【００５８】
１０…クライアント、２０…サーバ、３０…ホストＯＳ、３１…通信部、３２…ＵＲＬリスト生成部、３３…ＵＲＬリスト記憶部、３４…通信情報記憶部、３５…巡回情報記憶部、３６…状態変化情報記憶部、３７…再起動部、３８…ページ生成部、４０…ゲストＯＳ、４１…ＵＲＬ読出し部、４２…ブラウザ部、４３…状態変化監視部、４４…状態変化ログ記憶部、４５…情報出力部
【技術分野】
【０００１】
本発明は、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査するウェブページ検査装置、コンピュータシステム、ウェブページ検査方法、及びプログラムに関する。
【背景技術】
【０００２】
近年のインターネットの爆発的な普及に伴い、ネットワーク上に存在する脅威は無視できないものとなっている。そのようなネットワーク上の脅威の１つに、悪性プログラムがある。この悪性プログラムは、「マルウェア」とも呼ばれ、ユーザにとって好ましくない悪意を持つプログラムのことを指している。マルウェアの代表的なものとして、所謂コンピュータウイルスがある。
【０００３】
このようなマルウェアとして、これまでは、ネットワークを通じて能動的に感染を広げるものが多く確認されてきた。例えば、電子メール等を通じて一気に大量感染するタイプのマルウェアである。しかし、昨今、パーソナルファイアウォールが標準装備されたオペレーティングシステム（ＯＳ）が浸透してきたこともあり、そのような「能動的攻撃」型のマルウェアによる被害は、以前よりは目立たなくなってきている。
これに対して、ここ最近急激に増加しているのが、ウェブサイトを利用した「受動的な攻撃」型のマルウェアである。このようなマルウェアは、例えば、ウェブサーバの脆弱性を突いて書き換えられたウェブページを閲覧しただけで感染するように仕掛けられている。安全なはずの一般企業のウェブページが書き換えられることもあるため、「怪しいウェブサイト」に近付かないように気を付けていてもマルウェアに感染する事例は増えている。
【０００４】
ここで、公報記載の技術として、ウイルス感染ページをウェブサイト側で検知し、ユーザ環境へのウイルス侵入を未然に阻止するシステムがある（例えば、特許文献１参照）。この特許文献１では、自動巡回ロボットが、ウイルスデータベースを参照しながら各ウェブサイトを巡回することにより、ウェブページがウイルスに感染していないかどうかの検知を行い、ウイルスに感染しているウェブページを発見した場合はそのウェブページの情報をウイルス感染ページデータベースに登録し、感染ページを有するウェブサイトに対してウェブページがウイルスに感染している旨の通知を行っている。
【０００５】
【特許文献１】特開２００１−２２２４２５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
このように、ウェブページを閲覧することによるユーザ環境へのマルウェアの侵入を阻止する技術は、従来から存在した。
しかしながら、特許文献１の技術において、自動巡回ロボットは、ウェブ検索サービス機能を持ったウェブサイトで稼働するプログラムのように、複数のウェブサイト／ページを自動的に渡り歩いているに過ぎず、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象として指定されたウェブページを渡り歩いて検査することはできないという問題点があった。
【０００７】
本発明の目的は、検査対象として指定されたウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査することにある。
【課題を解決するための手段】
【０００８】
かかる目的のもと、本発明は、実マシン上に仮想的なマシン環境である仮想マシンが構築された装置において、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象のウェブページを特定するウェブページ特定情報を他の装置から受信する受信手段と、仮想マシン上で動作し、受信手段により受信したウェブページ特定情報で特定されるウェブページにアクセスするアクセス手段と、仮想マシン上で動作し、仮想マシン内の状態の変化を検出する検出手段と、検出手段により状態の変化が検出された場合に、受信手段により受信したウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示すウェブページの検査結果を他の装置に送信する送信手段とを備えたことを特徴とするウェブページ検査装置を提供する。
【０００９】
また、この装置において、受信手段は、ウェブページ特定情報を、ウェブページ特定情報の記述を含むファイルとして受信する、ものであってよい。その場合、ファイルには、特定の文字列が付加されており、送信手段は、ウェブページの検査結果を含む複数の検査結果を表示するための表示情報であって、特定の文字列を検索キーとして複数の検査結果の中からウェブページの検査結果を検索可能な表示情報を、他の装置に送信する、ものであってよい。
【００１０】
更に、この装置は、検出手段により状態の変化が検出された場合に、受信手段により受信したウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを他の装置に表示するための表示情報を生成する生成手段を更に備え、送信手段は、生成手段により生成された表示情報を、ウェブページの検査結果として他の装置に送信する、ものであってよい。
その場合、この装置は、第一に、アクセス手段によるウェブページへのアクセスの際の通信のログを保存する第１の保存手段を更に備え、生成手段は、第１の保存手段により保存された通信のログを更に含む表示情報を生成する、ものであってよく、第１の保存手段は、ウェブページにアクセスした際にダウンロードされたデータを更に保存し、生成手段は、第１の保存手段により保存されたデータにアクセスするための記述を更に含む表示情報を生成する、ものであってよい。そして、受信手段、送信手段、第１の保存手段は、実マシン上で動作する、ものであってよい。
また、この装置は、第二に、検出手段により検出された状態の変化のログを保存する第２の保存手段を更に備え、生成手段は、第２の保存手段により保存された状態の変化のログを更に含む表示情報を生成する、ものであってよい。そして、受信手段、送信手段は、実マシン上で動作し、第２の保存手段は、仮想マシン上で動作し、生成手段は、検出手段による状態の変化の検出に応じた仮想マシンの再構築に先立ち、第２の保存手段により保存された状態の変化のログを実マシンに出力し、実マシンに出力された状態の変化のログを用いて表示情報を生成する、ものであってよい。
【００１１】
また、本発明は、クライアントコンピュータと、実マシン上に仮想的なマシン環境である仮想マシンが構築されたサーバコンピュータとが通信回線を介して接続されてなるコンピュータシステムであって、クライアントコンピュータは、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象のウェブページを特定するウェブページ特定情報を通信回線を介してサーバコンピュータに送信する送信手段を備え、サーバコンピュータは、ウェブページ特定情報をクライアントコンピュータから通信回線を介して受信する受信手段と、仮想マシン上で動作し、受信手段により受信したウェブページ特定情報で特定されるウェブページにアクセスするアクセス手段と、仮想マシン上で動作し、仮想マシン内の状態の変化を検出する検出手段と、検出手段により状態の変化が検出された場合に、受信手段により受信したウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示すウェブページの検査結果を通信回線を介してクライアントコンピュータに送信する送信手段とを備え、クライアントコンピュータは、ウェブページの検査結果をサーバコンピュータから通信回線を介して受信する受信手段を更に備えたことを特徴とするコンピュータシステムも提供する。
【００１２】
更に、本発明は、実マシン上に仮想的なマシン環境である仮想マシンが構築された装置において、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象のウェブページを特定するウェブページ特定情報を他の装置から受信するステップと、仮想マシン上で実行され、ウェブページ特定情報で特定されるウェブページにアクセスするステップと、仮想マシン上で実行され、仮想マシン内の状態の変化を検出するステップと、状態の変化が検出された場合に、ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示すウェブページの検査結果を他の装置に送信するステップとを含むことを特徴とするウェブページ検査方法も提供する。
【００１３】
更にまた、本発明は、実マシン上に仮想的なマシン環境である仮想マシンが構築されたコンピュータにおける仮想マシンに、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象のウェブページを特定するウェブページ特定情報を他の装置から受信する機能と、仮想マシン上で動作するブラウザを、ウェブページ特定情報で特定されるウェブページにアクセスさせる機能と、仮想マシン内の状態の変化を検出する機能と、状態の変化が検出された場合に、実マシンに対して、ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示すウェブページの検査結果を他の装置に送信させる機能とを実現させるためのプログラムも提供する。
【発明の効果】
【００１４】
本発明によれば、検査対象として指定されたウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査することができる。
【発明を実施するための最良の形態】
【００１５】
以下、添付図面を参照して、本発明を実施するための最良の形態（以下、「実施の形態」という）について詳細に説明する。
まず、本実施の形態が適用されるコンピュータシステムについて説明する。
図１は、このようなコンピュータシステムの全体構成例を示した図である。
図示するように、このコンピュータシステムは、クライアント１０ａ，１０ｂと、サーバ２０とが、ネットワーク８０を介して接続されている。
【００１６】
クライアント１０ａ，１０ｂは、ユーザが使用するクライアントコンピュータである。例えば、パーソナルコンピュータやワークステーション、その他のコンピュータ装置にて実現される。本実施の形態において、クライアント１０ａ，１０ｂは、アクセスするとマルウェアに感染するかどうかを検査する対象のウェブページ（以下、単に「ページ」という）のＵＲＬ（Uniform Resource Locator）のリスト（ＵＲＬリスト）をサーバ２０にアップロードするために用いられる。例えば、クライアント１０ａ，１０ｂには、ウェブブラウザがインストールされ、ＵＲＬリストは、このウェブブラウザにより表示されたサーバ２０のページ上で所定の操作を行うことによりサーバ２０にアップロードするとよい。そして、クライアント１０ａ，１０ｂは、サーバ２０によるページの検査結果を受信して表示する。尚、図では、クライアント１０ａ，１０ｂを示したが、これらを区別する必要がない場合は、クライアント１０と称することもある。また、図には、２台のクライアント１０しか示していないが、３台以上のクライアント１０を設けてもよい。
【００１７】
サーバ２０は、クライアント１０からアップロードされたＵＲＬリストに基づいてページを巡回し、ページにアクセスするとマルウェアに感染する可能性があるか等を示す情報を生成してクライアント１０に提供するサーバコンピュータである。例えば、パーソナルコンピュータやワークステーション、その他のコンピュータ装置にて実現される。尚、サーバ２０の詳細な機能及び動作については後述する。
ネットワーク８０は、情報の送受信に用いる通信回線である。このネットワーク８０としては、インターネットやＬＡＮ（Local Area Network）が例示される。
【００１８】
ところで、本実施の形態では、図１のようなコンピュータシステムのサーバ２０において、実マシン上に仮想的なマシン環境である仮想マシンを構築する。このような仮想マシンは、例えば、ＶＭＷａｒｅ（登録商標）を用いて構築するとよい。そして、仮想マシン上で、クライアント１０から送られたＵＲＬリストに含まれるＵＲＬへのアクセスを行い、その結果、仮想マシンがマルウェアに感染したと判断されれば、その旨の情報及びマルウェアに関する詳細な情報をクライアント１０に送信する。
【００１９】
そこで、まず、このような動作を行うサーバ２０の機能構成について説明する。
図２は、サーバ２０の機能構成例を示したブロック図である。
上述したように、サーバ２０では、実マシン上に仮想マシンが構築されているので、図示するように、実マシン上で動作するＯＳ（以下、「ホストＯＳ」という）３０と、仮想マシン上で動作するＯＳ（以下、「ゲストＯＳ」という）４０とが動作している。そして、サーバ２０は、ホストＯＳ３０上で動作する機能として、通信部３１と、ＵＲＬリスト生成部３２と、ＵＲＬリスト記憶部３３と、通信情報記憶部３４と、巡回情報記憶部３５と、状態変化情報記憶部３６と、再起動部３７と、ページ生成部３８とを備えている。また、ゲストＯＳ４０上で動作する機能として、ＵＲＬ読出し部４１と、ブラウザ部４２と、状態変化監視部４３と、状態変化ログ記憶部４４と、情報出力部４５とを備えている。
【００２０】
まず、ホストＯＳ３０上で動作する機能について説明する。このホストＯＳ３０としては、例えば、Ｌｉｎｕｘ（登録商標）を用いることができる。
通信部３１は、クライアント１０からＵＲＬリストを含むファイルを受信したり、ＵＲＬリスト内のＵＲＬのページの検査結果をクライアント１０に送信したりする。また、ゲストＯＳ４０と外部との間の通信も行い、このときの通信ログを採取して通信情報記憶部３４に記憶する。本実施の形態では、ウェブページ特定情報の一例として、ＵＲＬを用いており、ウェブページ特定情報を他の装置から受信する受信手段の一例として、また、ウェブページの検査結果を他の装置に送信する送信手段の一例として、通信部３１を設けている。
【００２１】
尚、この通信部３１によるゲストＯＳ４０と外部との間の通信、及び、通信ログの採取に関する具体的な実装としては、次のようなものが考えられる。
まず、ＵＲＬへのアクセス時の通信を集約して処理するため、例えばＰｅｒｌスクリプトで作成したプロキシを用意し、かつ、仮想マシンとの間にＨｏｓｔ−Ｏｎｌｙの仮想ネットワークを作成する。そして、ＵＲＬへのアクセス時の通信は全てこのプロキシを経由させ、将来的な拡張、例えばアクセス先のコンテンツに含まれるリンク先の収集といった機能を具備することを可能とする。このような状態で、プロキシのネットワーク８０側のネットワークインターフェイスにtcpdumpをバインドさせ、通信ログを記録させる。
【００２２】
ＵＲＬリスト生成部３２は、通信部３１が受信したファイルからＵＲＬリストを生成する。また、通信部３１が受信したファイルに付加されたタグを取り出す。
ＵＲＬリスト記憶部３３は、ＵＲＬリスト生成部３２が生成したＵＲＬリストを記憶する。
【００２３】
通信情報記憶部３４は、ゲストＯＳ４０上で動作するブラウザ部４２がＵＲＬリストに基づいてページを巡回した際の通信の内容に関する情報（以下、「通信情報」という）を記憶する。本実施の形態では、通信のログを保存する第１の保存手段の一例として、通信情報記憶部３４を設けている。
巡回情報記憶部３５は、ゲストＯＳ４０上で動作するブラウザ部４２がＵＲＬリストに基づいてページを巡回した際に得られるＵＲＬごとの情報（以下、「巡回情報」という）を記憶する。
状態変化情報記憶部３６は、ゲストＯＳ４０上で動作するブラウザ部４２がＵＲＬリストに基づいてページを巡回した際のゲストＯＳ４０上のシステムの状態の変化に関する情報（以下、「状態変化情報」という）を記憶する。本実施の形態では、状態の変化のログを保存する第２の保存手段の一例として、状態変化情報記憶部３６を設けている。
【００２４】
再起動部３７は、ゲストＯＳ４０の指示に従い、仮想マシンの再起動（クリーンな状態へのリセット）を行う。
ページ生成部３８は、ＵＲＬリスト記憶部３３に記憶されたＵＲＬリスト、巡回情報記憶部３５に記憶された巡回情報、通信情報記憶部３４に記憶された通信情報、状態変化情報記憶部３６に記憶された状態変化情報に基づいて、クライアント１０に表示するページを生成する。本実施の形態では、表示情報を生成する生成手段の一例として、ページ生成部３８を設けている。
【００２５】
次に、ゲストＯＳ４０上で動作する機能について説明する。ホストＯＳ３０としてＬｉｎｕｘ（登録商標）を用いたとすると、このゲストＯＳ４０としては、例えば、Ｗｉｎｄｏｗｓ（登録商標）を用いることができる。
ＵＲＬ読出し部４１は、ＵＲＬリスト記憶部３３からＵＲＬを読み出す。このＵＲＬ読出し部４１は、例えば、仮想マシンにおいて事前に読み込まれているカーネルドライバによって実現すればよく、ホストＯＳ３０は、ＵＲＬリストに含まれるＵＲＬを、事前に定義した制御チャネルを通じてＵＲＬ読出し部４１に通知する。また、ＵＲＬ読出し部４１は、ＵＲＬを読み出すと、ブラウザ部４２を起動し、読み出したＵＲＬにアクセスさせる。このような一連の動作を繰り返し行うことで、サーバ２０は、ＵＲＬリストで指定されたページを巡回する。
ブラウザ部４２は、ＵＲＬ読出し部４１が読み出したＵＲＬに基づいてページにアクセスする。ゲストＯＳ４０としてＷｉｎｄｏｗｓ（登録商標）を用いたとすると、このブラウザ部４２としては、例えば、Internet Explorer（登録商標）を用いることができる。本実施の形態では、ウェブページにアクセスするアクセス手段の一例として、ブラウザ部４２を設けている。
【００２６】
状態変化監視部４３は、ブラウザ部４２がページにアクセスした際のゲストＯＳ４０上のシステムの状態の変化を監視し、システムの状態の変化を検出すると、状態の変化のログ（状態変化ログ）を記録する。ここで、システムの状態とは、ファイルアクセスやレジストリアクセス等である。
【００２７】
尚、この状態変化監視部４３によるシステムの状態の変化の監視に関する具体的な実装としては、次のようなものが考えられる。
まず、プロセスの監視である。
下記（１），（２）のＡＰＩを利用することでカーネルによるプロセス生成処理に対する通知処理を登録する。これによりカーネルによるプロセス生成処理に併せて独自のプロセスエントリを生成し、状態変化監視部４３が管理する。また、その情報をロギング機能により状態変化ログ記憶部４４に記録する。
（１）PsSetCreateProcessNotifyRoutine
カーネルによるプロセス生成処理時に対象プロセスの親プロセスのコンテキストにおいて実行される通知処理を登録するためのＡＰＩ
（２）PsSetLoadImageNotifyRoutine
カーネルによるプロセス生成処理時に対象プロセスのコンテキストにおいて、対象プロセスにロードされる実行モジュールがロードされる際に実行される通知処理を登録するためのＡＰＩ
これにより、あらゆるプロセス並びにスレッドの新規生成を記録するようにした。
【００２８】
次に、ファイルシステムの監視である。
ＳＳＤＴ（System Service Description Table）フッキングにより下記（３），（４）のＡＰＩのフィルタリングを行う。これによりファイル生成時のファイルハンドルを記録し、そのファイルハンドルが開放された直後に対象ファイルのバックアップを行う。また、その情報をロギング機能により状態変化ログ記憶部４４に記録する。
（３）ZwCreateFile
ファイルの生成処理を行うためのＡＰＩ
（４）ZwClose
ハンドルの開放を行うためのＡＰＩ
尚、この処理では、ブラウザ部４２が使用する一時ディレクトリ以外の全てのディレクトリに含まれるファイルを対象とした。これにより、極力全てのプロセスとマルウェア検体の収集を図るものとした。
【００２９】
また、状態変化監視部４３は、マルウェア検体の捕捉も行う。即ち、状態変化監視部４３は、マルウェアの感染活動を確認すると、その検体をその活動を記した状態変化ログと共に一時的に状態変化ログ記憶部４４にコピーする。
【００３０】
状態変化ログ記憶部４４は、状態変化監視部４３が生成した状態変化ログを記憶する。
情報出力部４５は、状態変化ログ記憶部４４における状態変化ログの記録の状況に基づいて、仮想マシンがマルウェアに感染したと判定する。そして、一定時間後に発生するホストＯＳ３０からの問い合わせに対して感染を報告し、ＵＲＬ読出し部４１から受け取った情報を巡回情報記憶部３５及び状態変化情報記憶部３６に記録し、状態変化ログ記憶部４４に記録された状態変化ログを状態変化情報記憶部３６にコピーし、マルウェアの検体をホストＯＳ３０の管理下にある記憶領域（図示せず）にコピーする。本実施の形態では、仮想マシン内の状態の変化を検出する検出手段の一例として、情報出力部４５を設けている。
【００３１】
尚、この情報出力部４５による仮想マシンでの監視の結果の回収は、ホストＯＳ３０側に結果の回収を行うＰｅｒｌスクリプトを用意することで実現可能である。
また、仮想マシンで収集されたマルウェアの検体の回収は、VIX APIを使用したスクリプトによって実現可能である。ＶＭＷａｒｅ（登録商標）に標準で用意されているVIX APIを使用することで、仮想マシンの操作を自動化することや、仮想マシン内でスクリプトを実行すること、或いは仮想マシン間でファイルを転送することが可能となる。
【００３２】
次に、本実施の形態の動作について説明する。
まず、本実施の形態においてクライアント１０に表示される初期ページについて説明する。
図３は、クライアント１０に表示される初期ページの一例を示した図である。尚、この初期ページは、例えば、ＨＴＭＬ文書として作成されている。
図示するように、この初期ページは、メールアドレス記述１０１と、登録フォーム１０２と、新規登録ボタン１０５とを含んでいる。
【００３３】
このうち、メールアドレス記述１０１は、検査対象のＵＲＬをサーバ２０に伝える電子メールの送信先となるメールアドレスを記述したものである。表題（subject）にタグを記述し、本文にＵＲＬを記述した電子メールを「urlcrawl@gmail.com」に送信すれば、本文に記述されたＵＲＬのページの検査がサーバ２０にて行われ、クライアント１０は、その検査結果をタグで検索可能な形式で受信することになる。
また、登録フォーム１０２は、検査対象のＵＲＬを一般的なファイルの形式でサーバ２０に伝えるために用いられるものである。タグをファイル名とし、ＵＲＬを内容とするファイルを参照ボタン１０３で指定し、登録ボタン１０４でサーバ２０にアップロードすれば、ファイルに記述されたＵＲＬのページの検査がサーバ２０にて行われ、クライアント１０は、その検査結果をタグで検索可能な形式で受信することになる。
更に、新規登録ボタン１０５は、検査対象のＵＲＬを手入力によりサーバ２０に伝えるために用いられるものである。新規登録ボタン１０５を押下して表示された入力画面にタグ及びＵＲＬを入力してサーバ２０に送信すれば、入力されたＵＲＬのページの検査がサーバ２０にて行われ、クライアント１０は、その検査結果をタグで検索可能な形式で受信することになる。
【００３４】
このような画面から、例えば、ＵＲＬリストが一般的なファイルの形式でサーバ２０に送信されると、サーバ２０は、そのファイルからＵＲＬリストを生成する処理を行う。
図４は、このときのサーバ２０のホストＯＳ３０上の各機能の動作例を示したフローチャートである。尚、この動作例において、ファイルの１行には１つのＵＲＬが記述されているものとする。
クライアント１０からファイルが送信されると、サーバ２０では、まず、通信部３１が、ファイルを受信し、ＵＲＬリスト生成部３２に受け渡す（ステップ３０１）。
すると、ＵＲＬリスト生成部３２は、受け渡されたファイルからファイル名を取得する（ステップ３０２）。
【００３５】
次に、ＵＲＬリスト生成部３２は、ファイルから１行を読み出し（ステップ３０３）、ＥＯＦ（End Of File）であるかどうかを判定する（ステップ３０４）。
その結果、ＥＯＦでなければ、ＵＲＬリスト生成部３２は、ステップ３０２で取得したファイル名を、ＵＲＬリスト記憶部３３内のタグ欄に記憶する（ステップ３０５）。また、ステップ３０３で読み出した１行のＵＲＬをＵＲＬリスト記憶部３３内のＵＲＬ欄に記憶する（ステップ３０６）。更に、ＵＲＬリスト記憶部３３内の巡回済フラグ欄には、巡回済でないことを示す「ＯＦＦ」を記憶する（ステップ３０７）。
その後、ステップ３０３〜３０７の処理を繰り返すが、ファイル内のＵＲＬを全て読み出すと、ステップ３０４でＥＯＦと判定されるので、処理は終了する。
【００３６】
尚、図４の動作例では、ＵＲＬリストが一般的なファイルの形式でサーバ２０に送信されたことを前提としたが、ＵＲＬリストが電子メールでサーバ２０に送信された場合であっても、同様の動作となる。その場合は、図４において、ファイルを電子メールのファイルと捉え、ファイル名を電子メールの表題と読み替えればよい。
【００３７】
ここで、図４の動作が行われた結果、ＵＲＬリスト記憶部３３に記憶されるＵＲＬリストについて具体的に説明する。
図５は、ＵＲＬリストの具体的な内容を示した図である。
図示するように、ＵＲＬリストは、タグと、ＵＲＬと、巡回済フラグとを対応付けたものとなっている。
【００３８】
このうち、タグは、既述の通り、ユーザがＵＲＬリストをサーバ２０に送信する際に同時に送信した文字列である。クライアント１０に表示された複数のＵＲＬに関する検査結果の中から自分が依頼したＵＲＬの検査結果を検索する際の検索キーとなるものであるので、ＵＲＬリストに含めて管理している。
ＵＲＬは、ユーザがサーバ２０に送信したＵＲＬリストに含まれる個々のＵＲＬである。
巡回済フラグは、対応するＵＲＬのページを巡回したかどうかを示すフラグである。ＵＲＬリストにＵＲＬが登録されたばかりで未巡回の場合は「ＯＦＦ」に設定され、その後、ページを巡回すると、そのページのＵＲＬの巡回済フラグは「ＯＮ」に書き換えられる。
【００３９】
このようにＵＲＬリスト記憶部３３にＵＲＬリストが記憶されると、ゲストＯＳ４０上で、ＵＲＬリストに含まれるＵＲＬのページを巡回し、マルウェアへの感染の可能性を検査する処理が開始する。
図６は、このときのサーバ２０のゲストＯＳ４０上の各機能の動作例を示したフローチャートである。
まず、ＵＲＬ読出し部４１は、ＵＲＬリスト記憶部３３に記憶されたＵＲＬリストから１行を読み出し（ステップ４０１）、ＥＯＦであるかどうかを判定する（ステップ４０２）。
その結果、ＥＯＦでなければ、ＵＲＬ読出し部４１は、ステップ４０１で読み出した行に含まれるＵＲＬをブラウザ部４２に渡し、ブラウザ部４２が、渡されたＵＲＬを用いてページにアクセスする（ステップ４０３）。このとき、ブラウザ部４２から外部のページへのアクセスは、ホストＯＳ３０上の通信部３１を介して行われ、そのときの通信のログが通信情報記憶部３４に記憶される。また、このとき、ブラウザ部４２は、例えば、ページへのアクセスのための一連の通信が終了した日時を巡回日時とし、ページへのアクセスが完了した旨と巡回日時とをＵＲＬ読出し部４１に伝える。すると、ＵＲＬ読出し部４１は、ＵＲＬリスト記憶部３３内の巡回済フラグを「ＯＮ」に書き換える（ステップ４０４）。そして、ＵＲＬ読出し部４１は、ステップ４０１で読み出した行に含まれるタグ及びＵＲＬと、ステップ４０３で取得した巡回日時とを情報出力部４５に渡し、情報出力部４５は、タグ、ＵＲＬ、巡回日時、巡回が完了したことを示すステータス「Ｄｏｎｅ」を、それぞれ、ホストＯＳ３０上の巡回情報記憶部３５内のタグ欄、ＵＲＬ欄、巡回日時欄、ステータス欄に記憶する（ステップ４０５）。
【００４０】
その後、情報出力部４５は、状態変化ログ記憶部４４に状態変化ログが記録されているかどうかを判定する（ステップ４０６）。
その結果、状態変化ログ記憶部４４に状態変化ログが記録されていると判定されれば、情報出力部４５は、ステップ４０１で読み出した行に含まれるＵＲＬが悪性ＵＲＬであることを示す判定「ｅｘｐｌｏｉｔ」と、状態変化ログ記憶部４４に記憶された状態変化ログとをホストＯＳ３０上に保存する（ステップ４０７）。具体的には、巡回情報記憶部３５において、ステップ４０５で記憶したＵＲＬ及び巡回日時の組み合わせに対する判定欄に「ｅｘｐｌｏｉｔ」を記憶する。また、ステップ４０５で巡回情報記憶部３５に記憶したＵＲＬ及び巡回日時の組み合わせと、状態変化ログ記憶部４４に記憶されたイベント発生日時、イベントＩＤ、プロセスＩＤ、イベントタイプ、検体活動情報とを、状態変化情報記憶部３６に記憶する。更に、状態変化ログ記憶部４４に記憶されたマルウェアの検体を記憶領域（図示せず）に保存し、通信情報記憶部３４において、ステップ４０５で記憶したＵＲＬ及び巡回日時の組み合わせに対する検体欄にその記憶領域のアドレス情報を記憶する。そして、情報出力部４５は、仮想マシンの再起動を再起動部３７に指示する（ステップ４０８）。これにより、仮想マシンは再起動され、仮想マシン内の状態の変化はクリアされることになる。
【００４１】
一方、ステップ４０６で、状態変化ログ記憶部４４に状態変化ログが記録されていないと判定されれば、ステップ４０１に戻り、次のＵＲＬについて同様の処理を繰り返す。そして、ＵＲＬリスト記憶部３３に記憶されたＵＲＬリストからＵＲＬを全て読み出すと、ステップ４０２でＥＯＦと判定されるので、ＵＲＬリスト記憶部３３にＵＲＬリストが登録されるまで処理は停止する。
【００４２】
ここで、図６の動作が行われた結果、通信情報記憶部３４に記憶される通信情報について具体的に説明する。
図７は、通信情報の具体的な内容を示した図である。
図示するように、通信情報は、ＵＲＬと、巡回日時と、通信日時と、通信時間と、ＩＰアドレス／ポート番号と、プロトコルと、データ量と、通信内容と、検体とを対応付けたものとなっている。
ＵＲＬは、既述の通り、ユーザがサーバ２０に送信したＵＲＬリストに含まれる個々のＵＲＬである。
巡回日時は、対応するＵＲＬのページを巡回した日時である。
通信日時は、対応するＵＲＬのページにアクセスするために発生した個々の通信の日時である。
通信時間は、対応するＵＲＬのページにアクセスするために発生した個々の通信に要した時間である。
ＩＰアドレス／ポート番号は、対応するＵＲＬのページにアクセスするために発生した個々の通信における送信元及び送信先のＩＰアドレス及びポート番号である。
プロトコルは、対応するＵＲＬのページにアクセスするために発生した個々の通信で用いられたプロトコルである。
データ量は、対応するＵＲＬのページにアクセスするために発生した個々の通信でやり取りされたデータの容量である。
通信内容は、対応するＵＲＬのページにアクセスするために発生した個々の通信でやり取りされた実際のデータである。或いは、実際のデータは、別の記憶領域に記憶しておき、その記憶領域のアドレス情報を記憶するようにしてもよい。
検体は、仮想マシンにて捕捉されたマルウェアの検体を保存した記憶領域のアドレス情報を意味する。
【００４３】
また、図６の動作が行われた結果、巡回情報記憶部３５に記憶される巡回情報について具体的に説明する。
図８は、巡回情報の具体的な内容を示した図である。
図示するように、巡回情報は、タグと、ＵＲＬと、巡回日時と、ステータスと、判定とを対応付けたものとなっている。
タグ、ＵＲＬ、巡回日時については、既に述べたので、ここでの説明は省略する。
ステータスは、対応するＵＲＬのページの巡回が完了したかどうかを示す情報である。巡回が完了したＵＲＬに対して「Ｄｏｎｅ」が書き込まれる。
判定は、対応するＵＲＬがアクセスするとマルウェアに感染する可能性のある悪性ＵＲＬであるかどうかを示す情報である。悪性ＵＲＬに対して「ｅｘｐｌｏｉｔ」が書き込まれる。
【００４４】
更に、図６の動作が行われた結果、状態変化情報記憶部３６に記憶される状態変化情報について具体的に説明する。
図９は、状態変化情報の具体的な内容を示した図である。
図示するように、状態変化情報は、ＵＲＬと、巡回日時と、イベント発生日時、イベントＩＤ、プロセスＩＤ、イベントタイプ、検体活動情報とを対応付けたものとなっている。
ＵＲＬ、巡回日時については、既に述べたので、ここでの説明は省略する。
イベント発生日時は、状態の変化を生じさせたイベントが発生した日時である。
イベントＩＤは、状態の変化を生じさせたイベントを一意に識別するための情報である。
プロセスＩＤは、状態の変化を生じさせたプロセスを一意に識別するための情報である。
イベントタイプは、状態の変化を生じさせたイベントの種類を示す情報である。例えば、プロセスを生成するイベントであれば「ＣＲＥＡＴＥ＿ＰＲＯＣＥＳＳ」が記憶され、ファイルを生成するイベントであれば「ＣＲＥＡＴＥ＿ＦＩＬＥ」が記憶される。
検体活動情報は、状態の変化を生じさせたイベントの対象となるプロセスやファイルを示す情報である。
【００４５】
このように通信情報記憶部３４に通信情報が記憶され、巡回情報記憶部３５に巡回情報が記憶され、状態変化情報記憶部３６に状態変化情報が記憶されると、ホストＯＳ３０上では、ページ生成部３８が、クライアント１０に表示されるページを生成する処理を開始する。
図１０は、このときのページ生成部３８の動作例を示したフローチャートである。
まず、ページ生成部３８は、悪性ＵＲＬ数、累積検体数、巡回待ちＵＲＬ数を取得し、トップページにセットする（ステップ３２１）。ここで、悪性ＵＲＬ数としては、巡回情報記憶部３５に記憶されたＵＲＬのうち、判定「ｅｘｐｌｏｉｔ」が対応付けられたＵＲＬの数を取得すればよい。また、累積検体数としては、通信情報記憶部３４に記憶された通信情報内の検体のアドレス情報を用いて、これまでに捕捉した検体の種類の数を求めて記憶しておき、その求めた数を取得すればよい。更に、巡回待ちＵＲＬ数としては、ＵＲＬリスト記憶部３３に記憶されたＵＲＬのうち、巡回済フラグ「ＯＦＦ」が対応付けられたＵＲＬの数を取得すればよい。
【００４６】
次に、ページ生成部３８は、巡回情報記憶部３５に記憶された巡回情報から１行を読み出し（ステップ３２２）、ＥＯＦであるかどうかを判定する（ステップ３２３）。
その結果、ＥＯＦでなければ、ページ生成部３８は、ステップ３２２で読み出した１行分の情報をトップページにセットする（ステップ３２４）。具体的には、ＵＲＬ、ステータス、判定、タグ、巡回日時をセットする。
【００４７】
また、ページ生成部３８は、通信情報記憶部３４に記憶された通信情報から、ステップ３２２で読み出した行に含まれるＵＲＬ及び巡回日時の組み合わせと同じ組み合わせを含む行を読み出す（ステップ３２５）。そして、ＥＯＦであるかどうかを判定する（ステップ３２６）。
その結果、ＥＯＦでなければ、ページ生成部３８は、ステップ３２５で読み出した１行分の情報をトップページにリンクされたリンク先ページＢにセットする（ステップ３２７）。トップページには４つのリンク先ページＡ，Ｂ，Ｃ，Ｄがリンクされており、ここでは、そのうちのリンク先ページＢに情報をセットするものとする。詳細は後述する。具体的には、通信日時、通信時間、ＩＰアドレス／ポート番号、プロトコル、データ量、通信内容及び検体へのリンク記述をセットする。
その後、ステップ３２５〜３２７の処理を繰り返すが、通信情報記憶部３４内の目的のＵＲＬ及び巡回日時の組み合わせに対応する通信情報を全て読み出すと、ステップ３２６でＥＯＦと判定されるので、状態変化情報に関する処理に移行する。
【００４８】
次いで、ページ生成部３８は、状態変化情報記憶部３６に記憶された状態変化情報から、ステップ３２２で読み出した行に含まれるＵＲＬ及び巡回日時の組み合わせと同じ組み合わせを含む行を読み出す（ステップ３２８）。そして、ＥＯＦであるかどうかを判定する（ステップ３２９）。
その結果、ＥＯＦでなければ、ページ生成部３８は、ステップ３２８で読み出した１行分の情報をトップページにリンクされたリンク先ページＣにセットする（ステップ３３０）。上述したように、トップページには４つのリンク先ページＡ，Ｂ，Ｃ，Ｄがリンクされているが、ここでは、そのうちのリンク先ページＣに情報をセットするものとする。詳細は後述する。具体的には、イベント発生日時、イベントＩＤ、プロセスＩＤ、イベントタイプ、検体活動情報をセットする。
その後、ステップ３２８〜３３０の処理を繰り返すが、状態変化情報記憶部３６内の目的のＵＲＬ及び巡回日時の組み合わせに対応する状態変化情報を全て読み出すと、ステップ３２９でＥＯＦと判定される。そこで、ステップ３２２に戻り、次の巡回情報について同様の処理を繰り返す。そして、巡回情報記憶部３５から巡回情報を全て読み出すと、ステップ３２３でＥＯＦと判定されるので、ページ生成部３８は、生成されたページを通信部３１に受け渡す。すると、通信部３１は、受け取ったページをクライアント１０に送信する（ステップ３３１）。
【００４９】
これにより、クライアント１０には、ページ生成部３８で生成されたページが表示される。
図１１〜１４は、クライアント１０に表示されるページの一例を示した図である。
まず、図１１は、トップページ（巡回情報ページ）を示している。尚、この巡回情報ページは、例えば、ＨＴＭＬ文書として作成されている。
この巡回情報ページは、図３の初期ページに表示されたＵＲＬリストのアップロードのための記述の下に、巡回情報が表示されたものとなっている。尚、この巡回情報は、図１０のステップ３２４でセットされたものである。
ここで、巡回情報にはタグが含まれ、前述した通り、検索ボタン１１１を用いてタグを検索キーとした検索が行えるようになっている。
また、巡回情報の各行の右端には、履歴ボタン１１２、編集ボタン１１３、削除ボタン１１４、表示ボタン１１５が設けられている。このうち、編集ボタン１１３は、対応する行のＵＲＬを編集するためのボタンであり、削除ボタン１１４は、対応する行を削除するためのボタンであり、表示ボタン１１５は、対応する行のＵＲＬに関するより詳細な情報を表示するためのボタンである。また、履歴ボタン１１２は、対応する行のＵＲＬに関する各種履歴等を表示するためのボタンである。
【００５０】
図１２は、ＵＲＬ「http://drmyy.cn/」に対応する履歴ボタン１１２を押下したときに表示されるページ（中間ページ）を示している。尚、この中間ページも、例えば、ＨＴＭＬ文書として作成されている。ここでは、ＵＲＬ「http://drmyy.cn/」にアクセスすることにより１つの検体が見つかったことが表示されており、この検体に対して、地図ボタン１２１、通信ログボタン１２２、状態変化ログボタン１２３、表示ボタン１２４が設けられている。このうち、地図ボタン１２１を押下すると、リンク先ページＡが表示される。このリンク先ページＡには、例えば、ＵＲＬで特定されるコンピュータの実際の位置が示された地図を表示するとよい。また、通信ログボタン１２２を押下すると、後述するリンク先ページＢが表示され、状態変化ログボタン１２３を押下すると、後述するリンク先ページＣが表示される。更に、表示ボタン１２４を押下すると、リンク先ページＤが表示される。このリンク先ページＤには、例えば、検体に関するより詳細な情報を表示するとよい。
【００５１】
次に、リンク先ページＢ（通信情報ページ）について説明する。
図１３は、リンク先ページＢ（通信情報ページ）を示している。尚、この通信情報ページも、例えば、ＨＴＭＬ文書として作成されている。ここでは、ＵＲＬ「http://drmyy.cn/」に対応する通信ログボタン１２２を押下することにより表示された通信情報ページを想定しているので、そのＵＲＬの行の下に、通信情報が表示されたものとなっている。具体的には、左から、シーケンシャル番号、通信日時、通信時間、ＩＰアドレス／ポート番号（左側が送信元、右側が送信先）、プロトコル、データ量、通信内容及び検体へのリンク記述となっている。図では、記述１３１（「as_html」）が、通信内容を表すＨＴＭＬ文書へのリンク記述であり、記述１３２（「session__0004.part_01.data」）が、検体（そのＵＲＬのページからダウンロードされたデータ）へのリンク記述である。尚、この通信情報は、図１０のステップ３２７でセットされたものである。
【００５２】
次いで、リンク先ページＣ（状態変化情報ページ）について説明する。
図１４は、リンク先ページＣ（状態変化情報ページ）を示している。尚、この状態変化情報ページも、例えば、ＨＴＭＬ文書として作成されている。ここでは、ＵＲＬ「http://drmyy.cn/」に対応する通信ログボタン１２２を押下することにより表示された状態変化情報ページを想定しているので、そのＵＲＬの行の下に、状態変化情報が表示されたものとなっている。具体的には、左から、イベント発生日時、イベントＩＤ、プロセスＩＤ、イベントタイプ、検体活動情報となっている。尚、この状態変化情報は、図１０のステップ３３０でセットされたものである。
【００５３】
以上により、本実施の形態の動作は終了する。
ところで、本実施の形態では、通信部３１、ＵＲＬリスト生成部３２、ＵＲＬリスト記憶部３３、通信情報記憶部３４、巡回情報記憶部３５、状態変化情報記憶部３６、ページ生成部３８をホストＯＳ３０上で動作するものとしたが、これらをゲストＯＳ４０上で動作するものとしてもよい。その場合、仮想マシンのマルウェアへの感染に応じた仮想マシンの再起動に先立ち、仮想マシンの再起動後に使用するデータ（例えば、ＵＲＬリスト）は、ゲストＯＳ４０に出力して保全しておく必要がある。
【００５４】
以上述べたように、本実施の形態では、ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象のウェブページのＵＲＬを受信し、仮想マシンを用いてこのＵＲＬのページを巡回し、仮想マシンの状態の変化を検出するようにした。これにより、検査対象として指定されたウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査することが可能となった。
【００５５】
最後に、本実施の形態を適用するのに好適なコンピュータのハードウェア構成について説明する。図１５は、このようなコンピュータのハードウェア構成の一例を示した図である。図示するように、コンピュータは、演算手段であるＣＰＵ（Central Processing Unit）９０ａと、Ｍ／Ｂ（マザーボード）チップセット９０ｂを介してＣＰＵ９０ａに接続されたメインメモリ９０ｃと、同じくＭ／Ｂチップセット９０ｂを介してＣＰＵ９０ａに接続された表示機構９０ｄとを備える。また、Ｍ／Ｂチップセット９０ｂには、ブリッジ回路９０ｅを介して、ネットワークインターフェイス９０ｆと、磁気ディスク装置（ＨＤＤ）９０ｇと、音声機構９０ｈと、キーボード／マウス９０ｉと、フレキシブルディスクドライブ９０ｊとが接続されている。
【００５６】
尚、図１５において、各構成要素は、バスを介して接続される。例えば、ＣＰＵ９０ａとＭ／Ｂチップセット９０ｂの間や、Ｍ／Ｂチップセット９０ｂとメインメモリ９０ｃの間は、ＣＰＵバスを介して接続される。また、Ｍ／Ｂチップセット９０ｂと表示機構９０ｄとの間は、ＡＧＰ（Accelerated Graphics Port）を介して接続されてもよいが、表示機構９０ｄがＰＣＩ Ｅｘｐｒｅｓｓ対応のビデオカードを含む場合、Ｍ／Ｂチップセット９０ｂとこのビデオカードの間は、ＰＣＩ Ｅｘｐｒｅｓｓ（ＰＣＩｅ）バスを介して接続される。また、ブリッジ回路９０ｅと接続する場合、ネットワークインターフェイス９０ｆについては、例えば、ＰＣＩ Ｅｘｐｒｅｓｓを用いることができる。また、磁気ディスク装置９０ｇについては、例えば、シリアルＡＴＡ（AT Attachment）、パラレル転送のＡＴＡ、ＰＣＩ（Peripheral Components Interconnect）を用いることができる。更に、キーボード／マウス９０ｉ、及び、フレキシブルディスクドライブ９０ｊについては、ＵＳＢ（Universal Serial Bus）を用いることができる。
【図面の簡単な説明】
【００５７】
【図１】本実施の形態が適用されるコンピュータシステムの全体構成図である。
【図２】本実施の形態におけるサーバの機能構成例を示したブロック図である。
【図３】本実施の形態でクライアントに表示される初期ページの例を示した図である。
【図４】本実施の形態におけるサーバのホストＯＳ上の機能の動作例を示したフローチャートである。
【図５】本実施の形態で生成されるＵＲＬリストの例を示した図である。
【図６】本実施の形態におけるサーバのゲストＯＳ上の機能の動作例を示したフローチャートである。
【図７】本実施の形態で記憶される通信情報の例を示した図である。
【図８】本実施の形態で記憶される巡回情報の例を示した図である。
【図９】本実施の形態で記憶される状態変化情報の例を示した図である。
【図１０】本実施の形態におけるサーバのホストＯＳ上の機能の動作例を示したフローチャートである。
【図１１】本実施の形態でクライアントに表示される巡回情報ページの例を示した図である。
【図１２】本実施の形態でクライアントに表示される中間ページの例を示した図である。
【図１３】本実施の形態でクライアントに表示される通信情報ページの例を示した図である。
【図１４】本実施の形態でクライアントに表示される状態変化情報ページの例を示した図である。
【図１５】本実施の形態が適用されるコンピュータのハードウェア構成図である。
【符号の説明】
【００５８】
１０…クライアント、２０…サーバ、３０…ホストＯＳ、３１…通信部、３２…ＵＲＬリスト生成部、３３…ＵＲＬリスト記憶部、３４…通信情報記憶部、３５…巡回情報記憶部、３６…状態変化情報記憶部、３７…再起動部、３８…ページ生成部、４０…ゲストＯＳ、４１…ＵＲＬ読出し部、４２…ブラウザ部、４３…状態変化監視部、４４…状態変化ログ記憶部、４５…情報出力部
【特許請求の範囲】
【請求項１】
実マシン上に仮想的なマシン環境である仮想マシンが構築された装置において、
ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象の当該ウェブページを特定するウェブページ特定情報を他の装置から受信する受信手段と、
前記仮想マシン上で動作し、前記受信手段により受信した前記ウェブページ特定情報で特定されるウェブページにアクセスするアクセス手段と、
前記仮想マシン上で動作し、当該仮想マシン内の状態の変化を検出する検出手段と、
前記検出手段により前記状態の変化が検出された場合に、前記受信手段により受信した前記ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示す当該ウェブページの検査結果を前記他の装置に送信する送信手段と
を備えたことを特徴とするウェブページ検査装置。
【請求項２】
前記受信手段は、前記ウェブページ特定情報を、当該ウェブページ特定情報の記述を含むファイルとして受信することを特徴とする請求項１記載のウェブページ検査装置。
【請求項３】
前記ファイルには、特定の文字列が付加されており、
前記送信手段は、前記ウェブページの検査結果を含む複数の検査結果を表示するための表示情報であって、前記特定の文字列を検索キーとして当該複数の検査結果の中から当該ウェブページの検査結果を検索可能な表示情報を、前記他の装置に送信することを特徴とする請求項２記載のウェブページ検査装置。
【請求項４】
前記検出手段により前記状態の変化が検出された場合に、前記受信手段により受信した前記ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを前記他の装置に表示するための表示情報を生成する生成手段を更に備え、
前記送信手段は、前記生成手段により生成された前記表示情報を、前記ウェブページの検査結果として前記他の装置に送信することを特徴とする請求項１記載のウェブページ検査装置。
【請求項５】
前記アクセス手段による前記ウェブページへのアクセスの際の通信のログを保存する第１の保存手段を更に備え、
前記生成手段は、前記第１の保存手段により保存された前記通信のログを更に含む前記表示情報を生成することを特徴とする請求項４記載のウェブページ検査装置。
【請求項６】
前記第１の保存手段は、前記ウェブページにアクセスした際にダウンロードされたデータを更に保存し、
前記生成手段は、前記第１の保存手段により保存された前記データにアクセスするための記述を更に含む前記表示情報を生成することを特徴とする請求項５記載のウェブページ検査装置。
【請求項７】
前記受信手段、前記送信手段、前記第１の保存手段は、前記実マシン上で動作することを特徴とする請求項５記載のウェブページ検査装置。
【請求項８】
前記検出手段により検出された前記状態の変化のログを保存する第２の保存手段を更に備え、
前記生成手段は、前記第２の保存手段により保存された前記状態の変化のログを更に含む前記表示情報を生成することを特徴とする請求項４記載のウェブページ検査装置。
【請求項９】
前記受信手段、前記送信手段は、前記実マシン上で動作し、
前記第２の保存手段は、前記仮想マシン上で動作し、
前記生成手段は、前記検出手段による前記状態の変化の検出に応じた前記仮想マシンの再構築に先立ち、前記第２の保存手段により保存された前記状態の変化のログを前記実マシンに出力し、当該実マシンに出力された当該状態の変化のログを用いて前記表示情報を生成することを特徴とする請求項８記載のウェブページ検査装置。
【請求項１０】
クライアントコンピュータと、実マシン上に仮想的なマシン環境である仮想マシンが構築されたサーバコンピュータとが通信回線を介して接続されてなるコンピュータシステムであって、
前記クライアントコンピュータは、
ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象の当該ウェブページを特定するウェブページ特定情報を前記通信回線を介して前記サーバコンピュータに送信する送信手段を備え、
前記サーバコンピュータは、
前記ウェブページ特定情報を前記クライアントコンピュータから前記通信回線を介して受信する受信手段と、
前記仮想マシン上で動作し、前記受信手段により受信した前記ウェブページ特定情報で特定されるウェブページにアクセスするアクセス手段と、
前記仮想マシン上で動作し、当該仮想マシン内の状態の変化を検出する検出手段と、
前記検出手段により前記状態の変化が検出された場合に、前記受信手段により受信した前記ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示す当該ウェブページの検査結果を前記通信回線を介して前記クライアントコンピュータに送信する送信手段とを備え、
前記クライアントコンピュータは、
前記ウェブページの検査結果を前記サーバコンピュータから前記通信回線を介して受信する受信手段を更に備えたことを特徴とするコンピュータシステム。
【請求項１１】
実マシン上に仮想的なマシン環境である仮想マシンが構築された装置において、
ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象の当該ウェブページを特定するウェブページ特定情報を他の装置から受信するステップと、
前記仮想マシン上で実行され、前記ウェブページ特定情報で特定されるウェブページにアクセスするステップと、
前記仮想マシン上で実行され、当該仮想マシン内の状態の変化を検出するステップと、
前記状態の変化が検出された場合に、前記ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示す当該ウェブページの検査結果を前記他の装置に送信するステップと
を含むことを特徴とするウェブページ検査方法。
【請求項１２】
実マシン上に仮想的なマシン環境である仮想マシンが構築されたコンピュータにおける当該仮想マシンに、
ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象の当該ウェブページを特定するウェブページ特定情報を他の装置から受信する機能と、
前記仮想マシン上で動作するブラウザを、前記ウェブページ特定情報で特定されるウェブページにアクセスさせる機能と、
前記仮想マシン内の状態の変化を検出する機能と、
前記状態の変化が検出された場合に、前記実マシンに対して、前記ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示す当該ウェブページの検査結果を前記他の装置に送信させる機能と
を実現させるためのプログラム。
【請求項１】
実マシン上に仮想的なマシン環境である仮想マシンが構築された装置において、
ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象の当該ウェブページを特定するウェブページ特定情報を他の装置から受信する受信手段と、
前記仮想マシン上で動作し、前記受信手段により受信した前記ウェブページ特定情報で特定されるウェブページにアクセスするアクセス手段と、
前記仮想マシン上で動作し、当該仮想マシン内の状態の変化を検出する検出手段と、
前記検出手段により前記状態の変化が検出された場合に、前記受信手段により受信した前記ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示す当該ウェブページの検査結果を前記他の装置に送信する送信手段と
を備えたことを特徴とするウェブページ検査装置。
【請求項２】
前記受信手段は、前記ウェブページ特定情報を、当該ウェブページ特定情報の記述を含むファイルとして受信することを特徴とする請求項１記載のウェブページ検査装置。
【請求項３】
前記ファイルには、特定の文字列が付加されており、
前記送信手段は、前記ウェブページの検査結果を含む複数の検査結果を表示するための表示情報であって、前記特定の文字列を検索キーとして当該複数の検査結果の中から当該ウェブページの検査結果を検索可能な表示情報を、前記他の装置に送信することを特徴とする請求項２記載のウェブページ検査装置。
【請求項４】
前記検出手段により前記状態の変化が検出された場合に、前記受信手段により受信した前記ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを前記他の装置に表示するための表示情報を生成する生成手段を更に備え、
前記送信手段は、前記生成手段により生成された前記表示情報を、前記ウェブページの検査結果として前記他の装置に送信することを特徴とする請求項１記載のウェブページ検査装置。
【請求項５】
前記アクセス手段による前記ウェブページへのアクセスの際の通信のログを保存する第１の保存手段を更に備え、
前記生成手段は、前記第１の保存手段により保存された前記通信のログを更に含む前記表示情報を生成することを特徴とする請求項４記載のウェブページ検査装置。
【請求項６】
前記第１の保存手段は、前記ウェブページにアクセスした際にダウンロードされたデータを更に保存し、
前記生成手段は、前記第１の保存手段により保存された前記データにアクセスするための記述を更に含む前記表示情報を生成することを特徴とする請求項５記載のウェブページ検査装置。
【請求項７】
前記受信手段、前記送信手段、前記第１の保存手段は、前記実マシン上で動作することを特徴とする請求項５記載のウェブページ検査装置。
【請求項８】
前記検出手段により検出された前記状態の変化のログを保存する第２の保存手段を更に備え、
前記生成手段は、前記第２の保存手段により保存された前記状態の変化のログを更に含む前記表示情報を生成することを特徴とする請求項４記載のウェブページ検査装置。
【請求項９】
前記受信手段、前記送信手段は、前記実マシン上で動作し、
前記第２の保存手段は、前記仮想マシン上で動作し、
前記生成手段は、前記検出手段による前記状態の変化の検出に応じた前記仮想マシンの再構築に先立ち、前記第２の保存手段により保存された前記状態の変化のログを前記実マシンに出力し、当該実マシンに出力された当該状態の変化のログを用いて前記表示情報を生成することを特徴とする請求項８記載のウェブページ検査装置。
【請求項１０】
クライアントコンピュータと、実マシン上に仮想的なマシン環境である仮想マシンが構築されたサーバコンピュータとが通信回線を介して接続されてなるコンピュータシステムであって、
前記クライアントコンピュータは、
ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象の当該ウェブページを特定するウェブページ特定情報を前記通信回線を介して前記サーバコンピュータに送信する送信手段を備え、
前記サーバコンピュータは、
前記ウェブページ特定情報を前記クライアントコンピュータから前記通信回線を介して受信する受信手段と、
前記仮想マシン上で動作し、前記受信手段により受信した前記ウェブページ特定情報で特定されるウェブページにアクセスするアクセス手段と、
前記仮想マシン上で動作し、当該仮想マシン内の状態の変化を検出する検出手段と、
前記検出手段により前記状態の変化が検出された場合に、前記受信手段により受信した前記ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示す当該ウェブページの検査結果を前記通信回線を介して前記クライアントコンピュータに送信する送信手段とを備え、
前記クライアントコンピュータは、
前記ウェブページの検査結果を前記サーバコンピュータから前記通信回線を介して受信する受信手段を更に備えたことを特徴とするコンピュータシステム。
【請求項１１】
実マシン上に仮想的なマシン環境である仮想マシンが構築された装置において、
ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象の当該ウェブページを特定するウェブページ特定情報を他の装置から受信するステップと、
前記仮想マシン上で実行され、前記ウェブページ特定情報で特定されるウェブページにアクセスするステップと、
前記仮想マシン上で実行され、当該仮想マシン内の状態の変化を検出するステップと、
前記状態の変化が検出された場合に、前記ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示す当該ウェブページの検査結果を前記他の装置に送信するステップと
を含むことを特徴とするウェブページ検査方法。
【請求項１２】
実マシン上に仮想的なマシン環境である仮想マシンが構築されたコンピュータにおける当該仮想マシンに、
ウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があるかどうかを検査する対象の当該ウェブページを特定するウェブページ特定情報を他の装置から受信する機能と、
前記仮想マシン上で動作するブラウザを、前記ウェブページ特定情報で特定されるウェブページにアクセスさせる機能と、
前記仮想マシン内の状態の変化を検出する機能と、
前記状態の変化が検出された場合に、前記実マシンに対して、前記ウェブページ特定情報で特定されるウェブページにアクセスしたコンピュータがマルウェアに感染する可能性があることを示す当該ウェブページの検査結果を前記他の装置に送信させる機能と
を実現させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公開番号】特開２０１０−１４０１９６（Ｐ２０１０−１４０１９６Ａ）
【公開日】平成２２年６月２４日（２０１０．６．２４）
【国際特許分類】
【出願番号】特願２００８−３１４９５２（Ｐ２００８−３１４９５２）
【出願日】平成２０年１２月１０日（２００８．１２．１０）
【出願人】（５０００７２８８４）株式会社ラック (25)
【Ｆターム（参考）】
【公開日】平成２２年６月２４日（２０１０．６．２４）
【国際特許分類】
【出願日】平成２０年１２月１０日（２００８．１２．１０）
【出願人】（５０００７２８８４）株式会社ラック (25)
【Ｆターム（参考）】
[ Back to top ]