JP2013152497A

Movatterモバイル変換

Info

Publication number: JP2013152497A
Application number: JP2012011601A
Authority: JP
Inventors: Kengo Maeda; 健吾前田
Original assignee: NEC System Technologies Ltd
Current assignee: NEC Solution Innovators Ltd
Priority date: 2012-01-24
Filing date: 2012-01-24
Publication date: 2013-08-08
Anticipated expiration: 2032-01-24
Also published as: JP5656266B2

Abstract

【課題】複数のウェブサイトのアクセスログから有効に不正アクセスを検出することを可能とするブラックリスト抽出装置等を提供する。
【解決手段】本発明に係るブラックリスト抽出装置は、各ウェブサーバで記録されたアクセス情報を収集して、これを予め備えられた記憶手段にアクセスログとして記憶させるアクセスログ収集部１０１と、予め与えられた検知条件に基づいて、アクセスログに記録された複数のウェブサーバに対するアクセス情報から不正アクセスをブラックリストとして抽出する攻撃情報抽出部１０２と、抽出されたブラックリストを出力するブラックリスト出力部１０３とを有する。
【選択図】図１A black list extraction device and the like that can effectively detect unauthorized access from access logs of a plurality of websites.
A black list extraction apparatus according to the present invention collects access information recorded in each web server and stores the access information as an access log in a storage means provided in advance, Based on a given detection condition, an attack information extraction unit 102 that extracts unauthorized access as a black list from access information for a plurality of web servers recorded in an access log, and a black list output unit that outputs the extracted black list 103.
[Selection] Figure 1

Description

Translated fromJapanese

本発明は、ウェブサイトへのアクセス情報から不正アクセスをブラックリストとして抽出するブラックリスト抽出装置、抽出方法および抽出プログラムに関する。 The present invention relates to a blacklist extraction device, an extraction method, and an extraction program that extract unauthorized access as blacklist from access information to a website.

インターネット、特にウェブサイトを利用した情報発信や商取引などが一般的なものになるにつれ、それらのウェブサイトに対する（個人情報や取引情報などの）不正取得や不正な改竄などを意図した不正アクセスが多く行われるようになり、ウェブサイトの管理者はそのような不正アクセスへの対策がもはや必須である。 As information transmission and business transactions using the Internet, especially websites, become commonplace, there are many unauthorized accesses to such websites intended for unauthorized acquisition (such as personal information and transaction information) and unauthorized tampering. Now that website administrators are taking action, measures against such unauthorized access are no longer essential.

その中でも特に多い不正アクセスの手口が、クロスサイトスクリプティング、ＳＱＬインジェクション攻撃、ＯＳコマンドインジェクション攻撃といったものである。以下、これらについて説明する。 Among them, particularly illegal access techniques are cross-site scripting, SQL injection attack, OS command injection attack, and the like. Hereinafter, these will be described.

クロスサイトスクリプティング（ＸＳＳ）は、悪意を持ったユーザが（ウェブメールや掲示板などの）フォームからジャバスクリプトなどブラウザで実行可能なコードを入力すると、そのコードがそのまま他のユーザのブラウザに送り込まれて実行されてしまうというウェブサーバソフトの脆弱性を利用した不正アクセス行為である。これによって、たとえば特定のウェブサイトの表示内容を書き換えられたり、ブラウザのクッキー（cookie）として記憶された個人情報や取引情報を攻撃者に奪われたり、などといった被害が起こりうる。 In cross-site scripting (XSS), when a malicious user enters code that can be executed in a browser such as Javascript from a form (such as a web mail or a bulletin board), the code is sent to another user's browser as it is. This is an unauthorized access act using the vulnerability of web server software that is executed. As a result, for example, the display content of a specific website can be rewritten, or personal information or transaction information stored as a cookie of a browser can be taken away by an attacker.

ＳＱＬインジェクション攻撃は、ウェブサイトで利用されるデータベースを操作する言語であるＳＱＬ（Structured Query Language）コマンドをＵＲＬ内の引数やフォームなどを通じて入力することによって、当該データベースを不正に操作するという不正アクセス行為である。たとえばパスワードを知らなくても、そのデータベースにログインすることが、この行為によって可能になってしまう。これによって、当該データベースの内容が不正に改竄されるなどのような被害が起こりうる。 The SQL injection attack is an unauthorized access act in which an SQL (Structured Query Language) command, which is a language for operating a database used on a website, is input through an argument or a form in a URL to illegally operate the database. It is. For example, it is possible to log in to the database without knowing the password. As a result, damage such as illegal alteration of the contents of the database may occur.

これと同じように、ウェブサイトの動作を制御しているオペレーティングシステム（ＯＳ）のコマンドをＵＲＬ内の引数やフォームなどを通じて入力することによって行われる不正アクセス行為が、ＯＳコマンドインジェクション攻撃である。これによって、当該ウェブサイトの管理者権限を攻撃者に奪われるなどのような重大な被害が起こりうる。 Similarly, an unauthorized access action performed by inputting an operating system (OS) command that controls the operation of a website through an argument or a form in a URL is an OS command injection attack. This can cause serious damage, such as an attacker taking the administrator authority of the website.

これに関連して、以下のような技術資料がある。その中でも特許文献１には、ユーザ名データが同一であり、かつパスワードデータが互いに異なるデータが短時間に連続して送信された場合にこれをクラッカーからの攻撃として検出するというクラッカー監視システムについて記載されている。特許文献２には、複数のサーバから収集したログから、侵入容疑の高いアクセス情報を収集して、専門家によって容易に分析できるログを記録するという侵入検知システムについて記載されている。 There are the following technical documents related to this. Among them,Patent Document 1 describes a cracker monitoring system in which when user name data is the same and password data is different from each other and transmitted continuously in a short time, this is detected as an attack from the cracker. Has been.Patent Document 2 describes an intrusion detection system that collects access information with high suspicion of intrusion from logs collected from a plurality of servers and records a log that can be easily analyzed by an expert.

特許文献３には、ＳＱＬサーバに対して送信されたクエリーに含まれるＳＱＬインジェクション攻撃に係る文字列が実行されないように保護するというセキュリティプログラムについて記載されている。特許文献４には、アクセスポイントにおいて不正アクセスを検知してこれを防止するという広域ネットワークについて記載されている。特許文献５には、多数のウェブサーバからログ利用サーバがログを収集して、これを容易に利用して管理できるというログ収集管理システムについて記載されている。 Patent Document 3 describes a security program for protecting a character string related to a SQL injection attack included in a query transmitted to an SQL server from being executed.Patent Document 4 describes a wide area network that detects and prevents unauthorized access at an access point.Patent Document 5 describes a log collection management system in which a log use server collects logs from a large number of web servers and can easily use and manage the logs.

特許文献６には、インターネットから内部ネットワークに対して送られた不審な通信パケットを「おとり装置」に送信してそこで攻撃の有無を判定するという攻撃検知システムについて記載されている。非特許文献１には前述のクロスサイトスクリプティング、非特許文献２にはＳＱＬインジェクション攻撃についての解説がそれぞれ記載されている。 Patent Document 6 describes an attack detection system in which a suspicious communication packet sent from the Internet to an internal network is transmitted to a “decoy device” and the presence or absence of an attack is determined there. Non-PatentDocument 1 describes the above-mentioned cross-site scripting, and Non-PatentDocument 2 describes a SQL injection attack.

特開２００１−０５７５５４号公報JP 2001-057554 A特開２００５−１８９９９６号公報JP 2005-189996 A特表２００９−５０６４３９号公報Special table 2009-506439特開２００４−０８６８８０号公報JP 2004-086880 A特開２００４−２９５３０３号公報JP 2004-295303 A特開２００７−３１２４１４号公報JP 2007-31414 A

国分裕、「クロスサイトスクリプティング対策の基本」、２００２年１１月９日、アイティメディア株式会社、［平成２４年１月１７日検索］、インターネット＜URL：http://www.atmarkit.co.jp/fsecurity/special/30xss/xss01.html＞Yutaka Kokubun, “Basics of Cross-site Scripting Measures”, November 9, 2002, IT Media Co., Ltd. [searched January 17, 2012], Internet <URL: http://www.atmarkit.co.jp /fsecurity/special/30xss/xss01.html>上野宣、「今夜分かるSQLインジェクション対策」、２００６年１１月２日、アイティメディア株式会社、［平成２４年１月１７日検索］、インターネット＜URL：http://www.atmarkit.co.jp/fsecurity/column/ueno/42.html＞Nobu Ueno, “Today's SQL Injection Countermeasures”, November 2, 2006, ITMedia Corporation, [Search January 17, 2012], Internet <URL: http://www.atmarkit.co.jp/ fsecurity / column / ueno / 42.html>

前述のように、ウェブサイトに対する不正アクセスは近年ますます手口が巧妙化していて、特にそのような不正アクセスの行われる範囲が複数のウェブサイトに及ぶことも多くなっている。また実際、これらのような不正アクセスを複数のウェブサイトに対して自動的に行うソフトウェアも存在する。 As described above, unauthorized access to websites has become increasingly sophisticated in recent years, and in particular, the scope of such unauthorized access has spread to a plurality of websites. In fact, there is software that automatically performs unauthorized access to a plurality of websites.

そのようなソフトウェアを使われた場合、多数のウェブサイトに対して同一の文字列を含むリクエストが送られることになる。しかしながら、そのような不正アクセスは、単一のウェブサイトに対するリクエストとしては正当なものに見えることも多い。複数のウェブサイトに対するアクセスを見比べることによって、初めてこれを不正アクセスとして検出することが可能である。また、あるウェブサイトに対しては特に問題の無いリクエストであっても、同じリクエストを他のウェブサイトに対して送られた場合には不正アクセスとなる場合もある。 When such software is used, requests containing the same character string are sent to a large number of websites. However, such unauthorized access often appears legitimate as a request for a single website. By comparing access to a plurality of websites, it is possible to detect this as unauthorized access for the first time. Further, even if there is no problem for a certain website, there is a case where unauthorized access occurs when the same request is sent to another website.

即ち、複数のウェブサイトのアクセスログを見比べないと、不正アクセスを見逃す可能性が高くなる。しかしながら、複数のウェブサイトのアクセスログを見比べて不正アクセスを検出することは、高度なスキルを持ったネットワーク管理者が、分析作業を繰り返し、これによって情報を絞り込んでいくことが必要である。この作業は煩雑で、かつ自動化が困難なものである。また、ただでさえアクセスログのデータ量は膨大なものであるので、目視による検出では見逃しやヒューマンエラーが多く発生することにもなる。 That is, if the access logs of a plurality of websites are not compared, there is a high possibility that the unauthorized access will be missed. However, detecting unauthorized access by comparing the access logs of multiple websites requires a highly skilled network administrator to repeat the analysis work and thereby narrow down the information. This operation is complicated and difficult to automate. In addition, since the amount of data in the access log is enormous, the detection by visual inspection often causes oversight and human error.

しかしながら、特許文献１〜６および非特許文献１〜２に記載された技術は、そのような問題点を解決するものではない。特許文献２に記載の技術は、各ウェブサイトの側で「（不正侵入と判断された）ログ情報をフィルタリング」して分析センタに送っているので、ウェブサイト単体でそれが正当なリクエストと判断された場合には、もうそれを不正アクセスとして検出することはできない。他の文献に記載の技術を組み合わせても同様である。 However, the techniques described inPatent Documents 1 to 6 andNon-Patent Documents 1 and 2 do not solve such problems. Since the technique described inPatent Document 2 “filters log information (determined as unauthorized intrusion)” sent to the analysis center on each website side, the website alone determines that it is a legitimate request. If this happens, it can no longer be detected as unauthorized access. The same applies when the techniques described in other documents are combined.

本発明の目的は、複数のウェブサイトのアクセスログから有効に不正アクセスを検出することを可能とするブラックリスト抽出装置、抽出方法および抽出プログラムを提供することにある。 An object of the present invention is to provide a black list extraction device, an extraction method, and an extraction program that enable effective detection of unauthorized access from access logs of a plurality of websites.

上記目的を達成するため、本発明に係るブラックリスト抽出装置は、複数のウェブサーバとネットワークを介して相互に接続されたブラックリスト抽出装置であって、各ウェブサーバで記録されたアクセス情報を収集して、これを予め備えられた記憶手段にアクセスログとして記憶させるアクセスログ収集部と、予め与えられた検知条件に基づいて、アクセスログに記録された同一のアクセス元からの複数のウェブサーバに対するアクセス情報から不正アクセスをブラックリストとして抽出する攻撃情報抽出部と、抽出されたブラックリストを出力するブラックリスト出力部とを有することを特徴とする。 In order to achieve the above object, a blacklist extraction apparatus according to the present invention is a blacklist extraction apparatus connected to a plurality of web servers via a network, and collects access information recorded by each web server. Then, an access log collection unit that stores this as an access log in a storage unit provided in advance, and a plurality of web servers from the same access source recorded in the access log based on a predetermined detection condition An attack information extraction unit that extracts unauthorized access from the access information as a black list, and a black list output unit that outputs the extracted black list.

上記目的を達成するため、本発明に係るブラックリスト抽出方法は、複数のウェブサーバとネットワークを介して相互に接続されたブラックリスト抽出装置にあって、各ウェブサーバで記録されたアクセス情報をアクセスログ収集部が収集して、これを予め備えられた記憶手段にアクセスログとして記憶させ、予め与えられた検知条件に基づいて、アクセスログに記録された同一のアクセス元からの複数のウェブサーバに対するアクセス情報から不正アクセスを攻撃情報抽出部がブラックリストとして抽出し、抽出されたブラックリストをブラックリスト出力部が出力することを特徴とする。 In order to achieve the above object, a blacklist extraction method according to the present invention is a blacklist extraction device interconnected with a plurality of web servers via a network, and accesses access information recorded in each web server. The log collection unit collects and stores this as an access log in a storage means provided in advance, and a plurality of web servers from the same access source recorded in the access log based on a predetermined detection condition The attack information extraction unit extracts unauthorized access from the access information as a black list, and the black list output unit outputs the extracted black list.

上記目的を達成するため、本発明に係るブラックリスト抽出プログラムは、複数のウェブサーバとネットワークを介して相互に接続されたブラックリスト抽出装置にあって、ブラックリスト抽出装置が備えているコンピュータに、各ウェブサーバで記録されたアクセス情報を収集して、これを予め備えられた記憶手段にアクセスログとして記憶させる手順、予め与えられた検知条件に基づいて、アクセスログに記録された同一のアクセス元からの複数のウェブサーバに対するアクセス情報から不正アクセスをブラックリストとして抽出する手順、および抽出されたブラックリストを出力する手順を実行させることを特徴とする。 In order to achieve the above object, a blacklist extraction program according to the present invention is a blacklist extraction device interconnected with a plurality of web servers via a network, and a computer provided in the blacklist extraction device includes: The same access source recorded in the access log based on the procedure of collecting the access information recorded in each web server and storing it as an access log in a storage means provided in advance, and detection conditions given in advance And executing a procedure for extracting unauthorized access as a black list from access information for a plurality of web servers and a procedure for outputting the extracted black list.

本発明は、上記したように、同一のアクセス元からの複数のウェブサーバに対するアクセス情報から不正アクセスを抽出するように構成したので、複数のウェブサイトに対するアクセスを見比べることによって初めて検出できる不正アクセスを、容易に検出することが可能となる。これによって、複数のウェブサイトのアクセスログから有効に不正アクセスを検出することを可能であるという、優れた特徴を持つブラックリスト抽出装置、抽出方法および抽出プログラムを提供することができる。 Since the present invention is configured to extract unauthorized access from access information for a plurality of web servers from the same access source as described above, unauthorized access that can only be detected by comparing accesses to a plurality of websites is detected. It becomes possible to detect easily. Accordingly, it is possible to provide a black list extraction device, an extraction method, and an extraction program having an excellent feature that it is possible to effectively detect unauthorized access from access logs of a plurality of websites.

本発明の実施形態に係るブラックリスト抽出装置の構成について示す説明図である。It is explanatory drawing shown about the structure of the black list extraction apparatus which concerns on embodiment of this invention.図１に示したアクセスログ収集部によって収集されるアクセスログの一例について示す説明図である。It is explanatory drawing shown about an example of the access log collected by the access log collection part shown in FIG.図１に示した検知条件記憶部に予め記憶されている検知条件の一例について示す説明図である。It is explanatory drawing shown about an example of the detection conditions previously memorize | stored in the detection condition memory | storage part shown in FIG.図１に示したブラックリスト抽出装置が、ウェブサーバからアクセスログを収集して、そこから不正アクセスを抽出する動作について示すフローチャートである。It is a flowchart which shows about the operation | movement which the blacklist extraction apparatus shown in FIG. 1 collects an access log from a web server, and extracts unauthorized access from there.図１に示したブラックリスト記憶部に記憶されるブラックリストの一例について示す説明図である。It is explanatory drawing shown about an example of the black list memorize | stored in the black list memory | storage part shown in FIG.本発明の第２の実施形態に係るブラックリスト抽出装置の構成について示す説明図である。It is explanatory drawing shown about the structure of the black list extraction apparatus which concerns on the 2nd Embodiment of this invention.図６に示したウェブサーバ情報記憶部に記憶されているウェブサーバ情報の一例について示す説明図である。It is explanatory drawing shown about an example of the web server information memorize | stored in the web server information storage part shown in FIG.図６に示したブラックリスト抽出装置が、ウェブサーバからアクセスログを収集して、そこから不正アクセスを抽出する動作について示すフローチャートである。FIG. 7 is a flowchart showing an operation in which the black list extraction device shown in FIG. 6 collects access logs from a web server and extracts unauthorized access therefrom.

（第１の実施形態）
以下、本発明の実施形態の構成について添付図１に基づいて説明する。
最初に、本実施形態の基本的な内容について説明し、その後でより具体的な内容について説明する。
本実施形態に係るブラックリスト抽出装置１０は、複数のウェブサーバ２０とネットワーク３０を介して相互に接続されたブラックリスト抽出装置である。このブラックリスト抽出装置１０は、各ウェブサーバで記録されたアクセス情報を収集して、これを予め備えられた記憶手段にアクセスログ１５０として記憶させるアクセスログ収集部１０１と、予め与えられた検知条件１６０に基づいて、アクセスログに記録された同一のアクセス元からの複数のウェブサーバに対するアクセス情報から不正アクセスをブラックリストとして抽出する攻撃情報抽出部１０２と、抽出されたブラックリストを出力するブラックリスト出力部１０６とを有する。(First embodiment)
Hereinafter, the configuration of an embodiment of the present invention will be described with reference to FIG.
First, the basic content of the present embodiment will be described, and then more specific content will be described.
The blacklist extraction apparatus 10 according to the present embodiment is a black list extraction apparatus that is connected to a plurality of web servers 20 via a network 30. Thisblacklist extraction device 10 collects access information recorded by each web server and stores it as an access log 150 in a storage means provided in advance, and a detection condition given in advance. 160, an attackinformation extraction unit 102 that extracts unauthorized access as a blacklist from access information for a plurality of web servers from the same access source recorded in the access log, and a blacklist that outputs the extracted blacklist And anoutput unit 106.

ここで、攻撃情報抽出部１０２は、同一のアクセス元から複数のウェブサーバ２０に対して同一の文字列を含むリクエストが検知条件１６０で定められた時間範囲内に送信されていることがアクセスログから検出された場合に、これを不正アクセスとして抽出する。 Here, the attackinformation extraction unit 102 indicates that requests including the same character string are transmitted from the same access source to the plurality of web servers 20 within the time range defined by the detection condition 160. This is extracted as unauthorized access.

この構成を備えることにより、ブラックリスト抽出装置１０は、複数のウェブサイトのアクセスログから有効に不正アクセスを検出することが可能となる。
以下、これをより詳細に説明する。With this configuration, theblacklist extraction apparatus 10 can effectively detect unauthorized access from access logs of a plurality of websites.
Hereinafter, this will be described in more detail.

図１は、本発明の実施形態に係るブラックリスト抽出装置１０の構成について示す説明図である。ブラックリスト抽出装置１０は、コンピュータ装置としての基本的な構成を備えている。即ち、コンピュータプログラムの動作主体であるプロセッサ１１と、プログラムおよびデータを記憶する記憶手段１２と、ネットワーク３０を介して他の装置との通信を行う通信手段１３と、処理結果を出力する出力手段１４とを備える。 FIG. 1 is an explanatory diagram showing the configuration of ablacklist extraction apparatus 10 according to an embodiment of the present invention. The blacklist extraction device 10 has a basic configuration as a computer device. That is, theprocessor 11 that is the computer program operating entity, thestorage unit 12 that stores the program and data, thecommunication unit 13 that communicates with other devices via the network 30, and theoutput unit 14 that outputs the processing result. With.

また、ブラックリスト抽出装置１０は、ネットワーク３０を介して、複数のウェブサーバ２０に接続されている。このウェブサーバの台数については、２台以上であれば特に制限は無い。図１では、本発明の概念を平易に示すため、２台のウェブサーバ２０ａおよび２０ｂについてのみ、それらの構成を示している。 Theblacklist extraction device 10 is connected to a plurality of web servers 20 via the network 30. The number of web servers is not particularly limited as long as it is two or more. In FIG. 1, only the twoweb servers 20a and 20b are shown in order to simply illustrate the concept of the present invention.

そして、ウェブサーバ２０では、ネットワーク３０を介してウェブページ閲覧要求を送信する不特定多数のクライアントコンピュータ４０ａ、４０ｂ、４０ｃ、…からのアクセスログを記録するログ採取手段２１と、それらの閲覧要求に対してウェブページ表示用のデータを送信するウェブサービス手段２２とが各々動作している。 And in the web server 20, the log collection means 21 which records the access log from the unspecified number ofclient computers 40a, 40b, 40c,... Which transmits the web page browsing request via the network 30, and the browsing request On the other hand, web service means 22 for transmitting web page display data operates.

ブラックリスト抽出装置１０のプロセッサ１１は、ブラックリスト抽出プログラムを実行することにより、アクセスログ収集部１０１、攻撃情報抽出部１０２、およびブラックリスト出力部１０６として動作する。また、記憶手段１２には、収集されたアクセスログを記憶するための記憶域であるアクセスログ記憶部１０３と、不正アクセスを抽出するための条件を記憶する検知条件記憶部１０４と、抽出されたブラックリストの内容を記憶するための記憶域であるブラックリスト記憶部１０５が確保されている。 Theprocessor 11 of the blacklist extraction apparatus 10 operates as an accesslog collection unit 101, an attackinformation extraction unit 102, and a blacklist output unit 106 by executing a black list extraction program. Further, the storage means 12 includes an accesslog storage unit 103 that is a storage area for storing the collected access logs, a detectioncondition storage unit 104 that stores conditions for extracting unauthorized access, and an extracted A blacklist storage unit 105, which is a storage area for storing the contents of the black list, is secured.

アクセスログ収集部１０１は、各々のウェブサーバ２０のログ採取手段２１で記録されたアクセスログをネットワーク３０を介して収集して、アクセスログ記憶部１０３に記憶する。そして攻撃情報抽出部１０２は、検知条件記憶部１０４に記憶された条件に基づいて、これらのアクセスログの記録内容の中から不正アクセスをブラックリストとして抽出し、その内容をブラックリスト記憶部１０５のブラックリスト１７０として記憶する。 The accesslog collection unit 101 collects the access logs recorded by thelog collection unit 21 of each web server 20 via the network 30 and stores them in the accesslog storage unit 103. Based on the conditions stored in the detectioncondition storage unit 104, the attackinformation extraction unit 102 extracts unauthorized access from the recorded contents of these access logs as a black list, and stores the contents in the blacklist storage unit 105. Store as blacklist 170.

ブラックリスト出力部１０６は、最終的に記憶されたブラックリスト１７０を、出力手段１４を介して出力する。ここで、出力手段１４は、典型的にはディスプレイやプリンタなどであるが、たとえばネットワーク３０を介して他のコンピュータに対して情報を出力させるものでもよく、また電子メールや音声通話などを介してネットワーク管理者を呼び出すものでもよい。 Theblacklist output unit 106 outputs the finally stored blacklist 170 via theoutput unit 14. Here, theoutput unit 14 is typically a display, a printer, or the like. For example, theoutput unit 14 may output information to another computer via the network 30, or via an e-mail or a voice call. You may call a network administrator.

図２は、図１に示したアクセスログ収集部１０１によって収集されるアクセスログ１５０の一例について示す説明図である。このアクセスログ１５０は、各々の記録データを一意に示す通し番号であるデータ番号１５０ａ、当該アクセスの対象となったウェブサイト名１５０ｂ、当該アクセスが行われた日時を示すタイムスタンプ１５０ｃ、当該アクセスを行ったクライアントコンピュータ４０のＩＰアドレスを示すアクセス元ＩＰ１５０ｄ、および当該アクセスの具体的な内容を示すリクエスト内容１５０ｅなどといったデータを含む。 FIG. 2 is an explanatory diagram showing an example of the access log 150 collected by the accesslog collection unit 101 shown in FIG. The access log 150 includes adata number 150a that is a serial number that uniquely indicates each recorded data, awebsite name 150b that is a target of the access, atime stamp 150c that indicates the date and time when the access was performed, and the access. Data such as anaccess source IP 150d indicating the IP address of the client computer 40 and arequest content 150e indicating the specific content of the access.

この中で、データ番号１５０ａ＝「１」「５」「１３」「１４」の各データが、ウェブサイト名１５０ｂが各々違うが、タイムスタンプ１５０ｃが近接した日時（２０１２年１月１７日１２時００〜１２分）であり、アクセス元ＩＰ１５０ｄが全て同一（１９２．１６８．１２３．４５）であり、さらにリクエスト内容１５０ｅの引数の部分（？以後）が全て同一の文字列（ｔｘｔ＝ａｔｔａｃｋ＿ｐａｔｔｅｒｎ）を含む。 Among them, thedata numbers 150a = “1”, “5”, “13”, “14” havedifferent website names 150b, but the date and time when thetime stamp 150c is close (January 17, 2012, 12:00) 0 to 12 minutes), theaccess source IPs 150d are all the same (192.168.123.45), and the argument part of therequest content 150e (after?) Is the same character string (txt = attack_pattern). Including.

図３は、図１に示した検知条件記憶部１０４に予め記憶されている検知条件１６０の一例について示す説明図である。この検知条件１６０は、各々の記録データを一意に示す通し番号である条件番号１６０ａ、設定されて記憶された検知条件である条件内容１６０ｂ、および条件内容１６０ｂに該当した場合に判定される判定内容１６０ｃなどといったデータを含む。 FIG. 3 is an explanatory diagram showing an example of the detection condition 160 stored in advance in the detectioncondition storage unit 104 shown in FIG. The detection condition 160 includes acondition number 160a that is a serial number that uniquely indicates each recorded data, acondition content 160b that is a set and stored detection condition, and adetermination content 160c that is determined when thecondition content 160b is satisfied. Data.

ここでは、条件番号１６０ａ＝「１」として、「２つ以上のウェブサーバに対して」「１０分以内に」「同一のアクセス元ＩＰから」「同一の文字列を含んだリクエストが」送られている場合に、これを不正アクセスとして判定するという条件内容１６０ｂ、この条件内容に該当した場合に判定内容１６０ｃ＝「攻撃パターンＡ」として検出するという検知条件が示されている。 Here, withcondition number 160a = “1”, “to two or more web servers” “within 10 minutes” “from the same access source IP” “request including the same character string” is sent In this case, there is shown acondition content 160b for determining this as unauthorized access, and a detection condition for detecting thedetermination content 160c = “attack pattern A” when this condition content is met.

また、条件番号１６０ａ＝「２」として、「１つ以上のウェブサーバに対して」「１０分以内に」「同一のアクセス元ＩＰから」「同一のＩＤ入力欄およびパスワード入力欄に対して２つ以上連続した入力が」送られている場合に、これを不正アクセスとして判定するという条件内容１６０ｂ、この条件内容に該当した場合に判定内容１６０ｃ＝「攻撃パターンＢ」として検出するという検知条件が示されている。 Also, withcondition number 160a = “2”, “for one or more web servers” “within 10 minutes” “from the same access source IP” “2 for the same ID input field and password input field Thecondition content 160b for determining that this is regarded as unauthorized access when two or more continuous inputs are sent, and the detection condition for detecting thedetermination content 160c = “attack pattern B” when this condition is satisfied It is shown.

また、検知条件１６０は、上記以外にもたとえば、条件内容１６０ｂに設定された内容のうち何割以上が一致したら該当すると判断するための「一致率」や、文字列検索の具体的な方法を指定する「検索内容（たとえばあいまい検索のオン／オフなど）」、あるいは同一の文字列が複数のウェブサーバから検出されてもこれを不正アクセスとして検出しない「例外文字列」、などといった点を指定する内容を適宜含むこともできる。これらのような点については、公知技術に属する内容であるので詳しく説明しない。 In addition to the above, the detection condition 160 may be, for example, a “match rate” for determining that a percentage of the content set in thecondition content 160b matches or a specific method of character string search. Specify "Search content (eg, fuzzy search on / off)" or "Exception string" that does not detect the same character string as unauthorized access even if it is detected from multiple web servers. The contents to be included can be included as appropriate. Since these points belong to the known technology, they will not be described in detail.

図４は、図１に示したブラックリスト抽出装置１０が、ウェブサーバ２０からアクセスログ１５０を収集して、そこから不正アクセスを抽出する動作について示すフローチャートである。 FIG. 4 is a flowchart showing an operation in which theblacklist extraction apparatus 10 shown in FIG. 1 collects the access log 150 from the web server 20 and extracts unauthorized access therefrom.

まず、アクセスログ収集部１０１が、各々のウェブサーバ２０のログ採取手段２１で記録されたアクセスログをネットワーク３０を介して収集して、アクセスログ記憶部１０３に記憶する（ステップＳ２０１）。そして攻撃情報抽出部１０２は、変数ｉ＝１、かつブラックリスト記憶部１０５に記憶されるブラックリスト１７０を空データとして初期設定し（ステップＳ２０２）、条件番号１６０ａ＝ｉの条件内容１６０ｂに該当する内容がアクセスログ１５０の中に存在するか否かを判定する（ステップＳ２０３）。 First, the accesslog collection unit 101 collects the access logs recorded by thelog collection unit 21 of each web server 20 via the network 30 and stores it in the access log storage unit 103 (step S201). Then, the attackinformation extraction unit 102 initializes the variable i = 1 and the black list 170 stored in the blacklist storage unit 105 as empty data (step S202), and corresponds to thecondition content 160b of thecondition number 160a = i. It is determined whether the content exists in the access log 150 (step S203).

ステップＳ２０３で、該当する内容がアクセスログ１５０の中に存在すれば、攻撃情報抽出部１０２はその該当する内容を抽出して（ステップＳ２０４）、その該当する判定内容１６０ｃ、タイムスタンプ１５０ｃ、アクセス元ＩＰ１５０ｄ、およびリクエスト内容１５０ｅをブラックリスト１７０に追加して（ステップＳ２０５）ステップＳ２０６に進む。該当する内容が存在しなければ、そのままステップＳ２０６に進む。 If the corresponding content exists in the access log 150 in step S203, the attackinformation extraction unit 102 extracts the corresponding content (step S204), the correspondingdetermination content 160c, thetime stamp 150c, the access source TheIP 150d and therequest content 150e are added to the black list 170 (step S205), and the process proceeds to step S206. If there is no corresponding content, the process proceeds to step S206 as it is.

そして攻撃情報抽出部１０２はｉ＝ｉ＋１として（ステップＳ２０６）、ｉが条件番号１６０ａの最大値を越えるまでステップＳ２０３〜２０６の処理を繰り返す（ステップＳ２０７）。全ての条件番号１６０ａに対してこの処理を行ったら、ブラックリスト出力部１０６が記憶されたブラックリスト１７０を出力手段１４を介して出力し（ステップＳ２０８）、処理を終了する。 The attackinformation extraction unit 102 sets i = i + 1 (step S206), and repeats the processing of steps S203 to 206 until i exceeds the maximum value of thecondition number 160a (step S207). When this process is performed for all thecondition numbers 160a, the black list 170 stored in the blacklist output unit 106 is output via the output unit 14 (step S208), and the process ends.

図５は、図１に示したブラックリスト記憶部１０５に記憶されるブラックリスト１７０の一例について示す説明図である。図５に示したブラックリスト１７０は、図２に示したアクセスログ１５０に対して、図３に示した検知条件１６０で検知を行った例である。 FIG. 5 is an explanatory diagram showing an example of the black list 170 stored in the blacklist storage unit 105 shown in FIG. The black list 170 illustrated in FIG. 5 is an example in which the access log 150 illustrated in FIG. 2 is detected under the detection condition 160 illustrated in FIG.

前述のように、アクセスログ１５０には、データ番号１５０ａ＝「１」「５」「１３」「１４」の各データが、複数のウェブサイトに対して、日時のタイムスタンプ１５０ｃが１０分以内で、同一のアクセス元ＩＰ１５０ｄからの、同一の文字列を含むリクエスト内容１５０ｅ、という内容が記録されている。これは、条件番号１６０ａ＝「１」として登録された条件内容１６０ｂに一致する。 As described above, in the access log 150, thedata numbers 150a = “1”, “5”, “13”, and “14” have a date /time stamp 150c within 10 minutes for a plurality of websites. The contents ofrequest contents 150e including the same character string from the sameaccess source IP 150d are recorded. This matches thecondition contents 160b registered ascondition number 160a = “1”.

従って、攻撃情報抽出部１０２はこれを判定内容１６０ｃ＝「攻撃パターンＡ」として検出し、該当するタイムスタンプ１５０ｃ、アクセス元ＩＰ１５０ｄ、およびリクエスト内容１５０ｅで一致した文字列をブラックリスト１７０に追加する。その際、タイムスタンプ１５０ｃのブラックリスト１７０に出力される内容は、その日時そのままでなく、当該アクセスがあった時刻の範囲や間隔などを出力するようにしてもよい。 Therefore, the attackinformation extraction unit 102 detects this as thedetermination content 160c = “attack pattern A”, and adds a character string that matches thecorresponding time stamp 150c,access source IP 150d, andrequest content 150e to the black list 170. At that time, the contents output to the black list 170 of thetime stamp 150c may be output not only as of the date and time but also as to the time range or interval at which the access was made.

以上の処理によって出力されたブラックリスト１７０は、たとえばネットワーク管理者が目視によって、検出された各々のアクセスの危険性を判断するようにしてもよい。その場合も、複数のウェブサーバから検出された情報を一括して判断できるので、複数のログを見比べるよりも容易に判断することができる。 The black list 170 output by the above processing may be determined by the network administrator, for example, by visually checking the risk of each detected access. Also in this case, since information detected from a plurality of web servers can be determined collectively, it can be determined more easily than comparing a plurality of logs.

（第１の実施形態の全体的な動作）
次に、上記の実施形態の全体的な動作について説明する。
本実施形態に係るブラックリスト抽出方法は、複数のウェブサーバとネットワークを介して相互に接続されたブラックリスト抽出装置１０にあって、各ウェブサーバで記録されたアクセス情報をアクセスログ収集部が収集して、これを予め備えられた記憶手段にアクセスログとして記憶させ（図４・ステップＳ２０１）、予め与えられた検知条件に基づいて、アクセスログに記録された同一のアクセス元からの複数のウェブサーバに対するアクセス情報から不正アクセスを攻撃情報抽出部がブラックリストとして抽出し（図４・ステップＳ２０３〜２０６）、抽出されたブラックリストをブラックリスト出力部が出力する（図４・ステップＳ２０８）。(Overall operation of the first embodiment)
Next, the overall operation of the above embodiment will be described.
The blacklist extraction method according to this embodiment is in theblacklist extraction apparatus 10 connected to a plurality of web servers via a network, and the access log collection unit collects access information recorded by each web server. Then, this is stored as an access log in a storage means provided in advance (FIG. 4, step S201), and a plurality of webs from the same access source recorded in the access log are recorded based on detection conditions given in advance. The attack information extraction unit extracts unauthorized access from the access information to the server as a black list (FIG. 4, steps S203 to 206), and the black list output unit outputs the extracted black list (step S208 in FIG. 4).

また、この不正アクセスを抽出する処理は、同一のアクセス元から複数のウェブサーバに対して同一の文字列を含むリクエストが検知条件で定められた時間範囲内に送信されていることがアクセスログから検出された場合に、これを不正アクセスとして抽出する。 In addition, this process of extracting unauthorized access is based on the fact that requests containing the same character string are transmitted from the same access source to a plurality of web servers within the time range defined by the detection conditions. If detected, this is extracted as unauthorized access.

ここで、上記各動作ステップについては、これをコンピュータで実行可能にプログラム化し、これらを前記各ステップを直接実行するブラックリスト抽出装置１０のプロセッサ１１に実行させるようにしてもよい。本プログラムは、非一時的な記録媒体、例えば、ＤＶＤ、ＣＤ、フラッシュメモリ等に記録されてもよい。その場合、本プログラムは、記録媒体からコンピュータによって読み出され、実行される。
この動作により、本実施形態は以下のような効果を奏する。Here, each of the above-described operation steps may be programmed to be executable by a computer, and may be executed by theprocessor 11 of the blacklist extraction apparatus 10 that directly executes each of the steps. The program may be recorded on a non-temporary recording medium, such as a DVD, a CD, or a flash memory. In this case, the program is read from the recording medium by a computer and executed.
By this operation, this embodiment has the following effects.

本実施形態によれば、複数のウェブサイトのアクセスログを見比べて不正アクセスを検出するという、従来は高度なスキルを必要とする煩雑な行為であったが、これを有効に自動化して工数を削減し、また見逃しやヒューマンエラーの発生を抑制することが可能となる。また、不正アクセスに利用される攻撃パターンを、従来とは違う観点で抽出することが可能となる。 According to the present embodiment, it has been a complicated action that requires advanced skills by comparing access logs of a plurality of websites in the past, but this is effectively automated to reduce the man-hours. It is possible to reduce, and to suppress the occurrence of oversight and human error. In addition, attack patterns used for unauthorized access can be extracted from a different viewpoint.

出力されたブラックリスト１７０は、その全体の内容、あるいはネットワーク管理者がそこから取捨選択した内容を、各ウェブサーバが備えるウェブアプリケーションファイアウォールに適したデータ形式に変換して、適用することができる。これによって、危険性の高いアクセスを容易に遮断することが可能となる。この場合においても、ネットワーク管理者による手動での判断は最終段階での情報の取捨選択のみであるので、少ない工数で不正アクセスを遮断することが可能となる。 The output black list 170 can be applied by converting the entire contents or contents selected by the network administrator into a data format suitable for the web application firewall provided in each web server. This makes it possible to easily block high-risk access. Even in this case, the manual judgment by the network administrator is only the selection of information at the final stage, so that unauthorized access can be blocked with a small number of man-hours.

（第２の実施形態）
本発明の第２の実施形態に係るブラックリスト抽出装置３１０は、第１の実施形態で示した構成に加えて、リクエストにどの開発言語のコマンドが含まれているかを特定し、特定された開発言語がウェブサーバの開発言語と異なっているか否かを判定する言語種類判定部４０７を備え、攻撃情報抽出部４０２がリクエストとウェブサーバとの間で開発言語が異なっている場合にこれをブラックリストとして抽出するよう構成した。(Second Embodiment)
Theblacklist extraction apparatus 310 according to the second embodiment of the present invention identifies which development language command is included in the request in addition to the configuration shown in the first embodiment, and identifies the identified development A languagetype determination unit 407 for determining whether or not the language is different from the development language of the web server is provided, and when the attackinformation extraction unit 402 has a different development language between the request and the web server, this is blacklisted. Configured to extract as.

この構成によっても第１の実施形態と同一の効果が得られるのに加えて、さらに複数のサーバに対して特定の開発言語に依存するコマンドを送信することによる不正アクセスを有効に検出することが可能となる。
以下、これをより詳細に説明する。In addition to the same effects as in the first embodiment, this configuration can also effectively detect unauthorized access by sending commands depending on a specific development language to a plurality of servers. It becomes possible.
Hereinafter, this will be described in more detail.

図６は、本発明の第２の実施形態に係るブラックリスト抽出装置３１０の構成について示す説明図である。ブラックリスト抽出装置３１０は、図１に示した第１の実施形態のブラックリスト抽出装置１０と、ハードウェアとしては同一の構成を有する。これに接続されているネットワーク３０およびウェブサーバ２０も、第１の実施形態と同一である。 FIG. 6 is an explanatory diagram showing the configuration of the blacklist extraction apparatus 310 according to the second embodiment of the present invention. The blacklist extraction device 310 has the same hardware configuration as the blacklist extraction device 10 of the first embodiment shown in FIG. The network 30 and the web server 20 connected to this are the same as those in the first embodiment.

また、ソフトウェアとしても、攻撃情報抽出部１０２が別の攻撃情報抽出部４０２に置換され、プロセッサ１１ではさらに言語種類判定部４０７が動作し、記憶手段１２にさらにウェブサーバ情報記憶部４０８が追加されている点以外は第１の実施形態と同一である。従って、第１の実施形態と同一である要素については、同一の呼称および参照番号でいう。 Also, as software, the attackinformation extraction unit 102 is replaced with another attackinformation extraction unit 402, the languagetype determination unit 407 further operates in theprocessor 11, and the web serverinformation storage unit 408 is further added to thestorage unit 12. Except for this point, the second embodiment is the same as the first embodiment. Therefore, elements that are the same as in the first embodiment are referred to by the same designations and reference numbers.

図７は、図６に示したウェブサーバ情報記憶部４０８に記憶されているウェブサーバ情報４８０の一例について示す説明図である。ウェブサーバ情報４８０は、各々のウェブサーバ２０のウェブサイト名４８０ａと、当該ウェブサーバで使用されているウェブアプリケーションの開発言語種類４８０ｂが対応づけられて記憶されている。 FIG. 7 is an explanatory diagram showing an example of the web server information 480 stored in the web serverinformation storage unit 408 shown in FIG. The web server information 480 stores thewebsite name 480a of each web server 20 and thedevelopment language type 480b of the web application used in the web server in association with each other.

たとえばウェブサイト名４８０ａ＝「ＷｅｂＳｉｔｅ００１」は、開発言語種類４８０ｂ＝「Ｐｅｒｌ」である。開発言語種類４８０ｂは、他にも「Ｊａｖａ（登録商標）」「ＰＨＰ」「ＶＢ．Ｎｅｔ」などのような内容を含むことができる。また、これとは別個にデータベースの種類などのデータを、ウェブサイト名４８０ａと対応させて記憶させることもできる。 For example, thewebsite name 480a = “WebSite001” is thedevelopment language type 480b = “Perl”. Thedevelopment language type 480b can include other contents such as “Java (registered trademark)”, “PHP”, “VB.Net”, and the like. Separately from this, data such as the type of database can be stored in association with thewebsite name 480a.

言語種類判定部４０７は、各アクセスのリクエスト内容１５０ｅに、どの開発言語のコマンドが含まれているかを判定し、判定された開発言語がウェブサーバ情報４８０の開発言語種類４８０ｂと異なっているか否かについて判定する。そして攻撃情報抽出部４０２は、開発言語種類４８０ｂとは異なる言語のコマンドがリクエスト内容１５０ｅに含まれていれば、これを異常なアクセスとしてブラックリスト１７０に出力する機能を持つ。 The languagetype determination unit 407 determines which development language command is included in eachaccess request content 150e, and whether or not the determined development language is different from thedevelopment language type 480b of the web server information 480. Judge about. The attackinformation extraction unit 402 has a function of outputting a command in a language different from thedevelopment language type 480b to the black list 170 as an abnormal access if therequest content 150e includes the command.

より具体的には、言語種類判定部４０７は、たとえばリクエスト内容１５０ｅに含まれるファイル名の拡張子が「．ｐｌ」であれば開発言語は「Ｐｅｒｌ」、「．ｐｈｐ」であれば開発言語は「ＰＨＰ」などのように検出することができる。または、拡張子以外のリクエスト内容から、各言語に固有の語法を検出するようにしてもよい。 More specifically, the languagetype determination unit 407 determines that the development language is “Perl” if the extension of the file name included in therequest content 150e is “.pl”, and the development language is “.php”. It can be detected like “PHP”. Alternatively, a unique language for each language may be detected from the request content other than the extension.

図８は、図６に示したブラックリスト抽出装置３１０が、ウェブサーバ２０からアクセスログ１５０を収集して、そこから不正アクセスを抽出する動作について示すフローチャートである。これも、第１の実施形態と同一である動作内容については、図４と同一の参照番号を付している。ステップＳ２０１〜２０５は、第１の実施形態と同一の動作である。 FIG. 8 is a flowchart showing an operation in which theblacklist extraction apparatus 310 shown in FIG. 6 collects the access log 150 from the web server 20 and extracts unauthorized access therefrom. The same operation numbers as those in the first embodiment are also given the same reference numerals as in FIG. Steps S201 to S205 are the same operations as those in the first embodiment.

ステップＳ２０３〜２０５の判定の後、攻撃情報抽出部４０２は、アクセスログ１５０のウェブサイト名１５０ｂをウェブサーバ情報４８０のウェブサイト名４８０ａの中から検索し、当該ウェブサイトで使用されている開発言語種類４８０ｂを特定する（ステップＳ５０１）。そして、言語種類判定部４０７が、リクエスト内容１５０ｅに含まれるコマンドの開発言語の種類を特定して、これが開発言語種類４８０ｂと一致するか否かについて判定する（ステップＳ５０２）。 After the determination in steps S203 to 205, the attackinformation extraction unit 402 searches thewebsite name 150b of the access log 150 from thewebsite name 480a of the web server information 480, and uses the development language used in the website. Thetype 480b is specified (step S501). Then, the languagetype determination unit 407 identifies the type of the development language of the command included in therequest content 150e, and determines whether or not this matches thedevelopment language type 480b (step S502).

ステップＳ５０２で、開発言語の種類が一致しなければ、その旨をブラックリスト１７０に追加して（ステップＳ５０３）ステップＳ２０６に進む。開発言語の種類が一致すれば、そのままステップＳ２０６に進む。ステップ２０６以降の動作は、第１の実施形態と同一である。 If the development language types do not match in step S502, the fact is added to the black list 170 (step S503), and the process proceeds to step S206. If the types of development languages match, the process proceeds directly to step S206. The operations after step 206 are the same as those in the first embodiment.

ステップＳ５０３で、ブラックリスト１７０に出力される内容は、「言語の種類が一致しないリクエストがあった」旨と、これに該当するタイムスタンプ１５０ｃ、アクセス元ＩＰ１５０ｄ、およびリクエスト内容１５０ｅである。これらの内容を、図５に示したものに準じる形で出力すればよい。 In step S503, the contents output to the black list 170 are “there is a request whose language types do not match”, acorresponding time stamp 150c,access source IP 150d, andrequest content 150e. What is necessary is just to output these contents in the form according to what was shown in FIG.

前述のように、不正アクセス行為の多くは特定のソフトウェアによって複数のウェブサイトに対して自動的に行われるものである。従って、リクエスト内容に含まれる開発言語の種類とウェブサーバのそれとが異なっていることも多くなり、それは正当なアクセスではまず生じ得ないことであると考えることができる。本実施形態によれば、そのような行為を有効に検出して、不正アクセスであると判定することができる。 As described above, many unauthorized access actions are automatically performed on a plurality of websites by specific software. Therefore, the type of development language included in the request content is often different from that of the web server, and it can be considered that this cannot occur at first by proper access. According to the present embodiment, such an action can be detected effectively to determine unauthorized access.

これまで本発明について図面に示した特定の実施形態をもって説明してきたが、本発明は図面に示した実施形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができる。 Although the present invention has been described with reference to the specific embodiments shown in the drawings, the present invention is not limited to the embodiments shown in the drawings, and any known ones can be used as long as the effects of the present invention are exhibited. Even if it is a structure, it is employable.

上述した実施形態について、その新規な技術内容の要点をまとめると、以下のようになる。なお、上記実施形態の一部または全部は、新規な技術として以下のようにまとめられるが、本発明は必ずしもこれに限定されるものではない。 Regarding the embodiment described above, the main points of the new technical contents are summarized as follows. In addition, although a part or all of the said embodiment is put together as follows as a novel technique, this invention is not necessarily limited to this.

（付記１）複数のウェブサーバとネットワークを介して相互に接続されたブラックリスト抽出装置であって、
前記各ウェブサーバで記録されたアクセス情報を収集して、これを予め備えられた記憶手段にアクセスログとして記憶させるアクセスログ収集部と、
予め与えられた検知条件に基づいて、前記アクセスログに記録された同一のアクセス元からの複数のウェブサーバに対するアクセス情報から不正アクセスをブラックリストとして抽出する攻撃情報抽出部と、
抽出された前記ブラックリストを出力するブラックリスト出力部と
を有することを特徴とするブラックリスト抽出装置。(Supplementary note 1) A blacklist extraction device connected to a plurality of web servers via a network,
An access log collection unit that collects the access information recorded in each of the web servers, and stores the access information as an access log in a storage unit provided in advance;
Based on detection conditions given in advance, an attack information extraction unit that extracts unauthorized access as a blacklist from access information for a plurality of web servers from the same access source recorded in the access log;
And a black list output unit for outputting the extracted black list.

（付記２）前記攻撃情報抽出部が、
前記同一のアクセス元から複数の前記ウェブサーバに対して同一の文字列を含むリクエストが前記検知条件で定められた時間範囲内に送信されていることが前記アクセスログから検出された場合に、これを前記不正アクセスとして抽出することを特徴とする、付記１に記載のブラックリスト抽出装置。(Supplementary Note 2) The attack information extraction unit
When it is detected from the access log that a request including the same character string is transmitted from the same access source to the plurality of web servers within the time range defined by the detection condition, The blacklist extraction device according toappendix 1, wherein the blacklist is extracted as the unauthorized access.

（付記３）前記リクエストにどの開発言語のコマンドが含まれているかを特定し、特定された前記開発言語が前記ウェブサーバの開発言語と異なっているか否かを判定する言語種類判定部を備え、
前記攻撃情報抽出部が前記リクエストと前記ウェブサーバとの間で前記開発言語が異なっている場合にこれを前記ブラックリストとして抽出することを特徴とする、付記２に記載のブラックリスト抽出装置。(Supplementary Note 3) A language type determination unit that determines which development language command is included in the request and determines whether the identified development language is different from the development language of the web server,
The blacklist extraction apparatus according toappendix 2, wherein the attack information extraction unit extracts the development list as the blacklist when the development language differs between the request and the web server.

（付記４）複数のウェブサーバとネットワークを介して相互に接続されたブラックリスト抽出装置にあって、
前記各ウェブサーバで記録されたアクセス情報をアクセスログ収集部が収集して、これを予め備えられた記憶手段にアクセスログとして記憶させ、
予め与えられた検知条件に基づいて、前記アクセスログに記録された同一のアクセス元からの複数のウェブサーバに対するアクセス情報から不正アクセスを攻撃情報抽出部がブラックリストとして抽出し、
抽出された前記ブラックリストをブラックリスト出力部が出力する
ことを特徴とするブラックリスト抽出方法。(Supplementary Note 4) In a blacklist extraction apparatus connected to a plurality of web servers via a network,
The access log collection unit collects the access information recorded in each of the web servers, and stores it as an access log in a storage unit provided in advance.
Based on the detection condition given in advance, the attack information extraction unit extracts unauthorized access as a blacklist from access information for a plurality of web servers from the same access source recorded in the access log,
A black list extraction method, wherein a black list output unit outputs the extracted black list.

（付記５）前記不正アクセスを抽出する処理が、
前記同一のアクセス元から複数の前記ウェブサーバに対して同一の文字列を含むリクエストが前記検知条件で定められた時間範囲内に送信されていることが前記アクセスログから検出された場合に、これを前記不正アクセスとして抽出することを特徴とする、付記４に記載のブラックリスト抽出方法。(Supplementary Note 5) The process of extracting the unauthorized access includes
When it is detected from the access log that a request including the same character string is transmitted from the same access source to the plurality of web servers within the time range defined by the detection condition, The blacklist extraction method according toappendix 4, wherein the blacklist is extracted as the unauthorized access.

（付記６）複数のウェブサーバとネットワークを介して相互に接続されたブラックリスト抽出装置にあって、
前記ブラックリスト抽出装置が備えているコンピュータに、
前記各ウェブサーバで記録されたアクセス情報を収集して、これを予め備えられた記憶手段にアクセスログとして記憶させる手順、
予め与えられた検知条件に基づいて、前記アクセスログに記録された同一のアクセス元からの複数のウェブサーバに対するアクセス情報から不正アクセスをブラックリストとして抽出する手順、
および抽出された前記ブラックリストを出力する手順
を実行させることを特徴とするブラックリスト抽出プログラム。(Supplementary Note 6) In a blacklist extraction apparatus connected to a plurality of web servers via a network,
In the computer provided in the blacklist extraction device,
A procedure for collecting access information recorded in each web server and storing it as an access log in a storage means provided in advance.
A procedure for extracting unauthorized access as a blacklist from access information for a plurality of web servers from the same access source recorded in the access log, based on detection conditions given in advance,
And a black list extraction program for executing a procedure of outputting the extracted black list.

（付記７）前記不正アクセスを抽出する手順が、
前記同一のアクセス元から複数の前記ウェブサーバに対して同一の文字列を含むリクエストが前記検知条件で定められた時間範囲内に送信されていることが前記アクセスログから検出された場合に、これを前記不正アクセスとして抽出することを特徴とする、付記６に記載のブラックリスト抽出プログラム。(Appendix 7) The procedure for extracting the unauthorized access is as follows:
When it is detected from the access log that a request including the same character string is transmitted from the same access source to the plurality of web servers within the time range defined by the detection condition, The blacklist extraction program according toappendix 6, wherein the program is extracted as the unauthorized access.

本発明は、ウェブサーバに対して適用することが可能である。特に、ウェブアプリケーションファイアウォールを利用して危険性の高いアクセスを遮断する場合に有効である。 The present invention can be applied to a web server. This is particularly effective when a highly dangerous access is blocked using a web application firewall.

１０、３１０ブラックリスト抽出装置
１１プロセッサ
１２記憶手段
１３通信手段
１４出力手段
２０、２０ａ、２０ｂウェブサーバ
２１ログ採取手段
２２ウェブサービス手段
３０ネットワーク
４０、４０ａ、４０ｂ、４０ｃクライアントコンピュータ
１０１アクセスログ収集部
１０２、４０２攻撃情報抽出部
１０３アクセスログ記憶部
１０４検知条件記憶部
１０５ブラックリスト記憶部
１０６ブラックリスト出力部
１５０アクセスログ
１６０検知条件
１７０ブラックリスト
４０７言語種類判定部
４０８ウェブサーバ情報記憶部
４８０ウェブサーバ情報DESCRIPTION OF SYMBOLS 10,310Blacklist extraction apparatus 11Processor 12 Storage means 13 Communication means 14 Output means 20, 20a,20b Web server 21 Log collection means 22 Web service means 30Network 40, 40a, 40b,40c Client computer 101 Accesslog collection part 102 402 Attackinformation extraction unit 103 Accesslog storage unit 104 Detectioncondition storage unit 105Blacklist storage unit 106 Blacklist output unit 150 Access log 160 Detection condition 170Blacklist 407 Languagetype determination unit 408 Web server information storage unit 480 Web server information

Claims

Translated fromJapanese

複数のウェブサーバとネットワークを介して相互に接続されたブラックリスト抽出装置であって、
前記各ウェブサーバで記録されたアクセス情報を収集して、これを予め備えられた記憶手段にアクセスログとして記憶させるアクセスログ収集部と、
予め与えられた検知条件に基づいて、前記アクセスログに記録された同一のアクセス元からの複数のウェブサーバに対するアクセス情報から不正アクセスをブラックリストとして抽出する攻撃情報抽出部と、
抽出された前記ブラックリストを出力するブラックリスト出力部と
を有することを特徴とするブラックリスト抽出装置。A black list extraction device connected to a plurality of web servers via a network,
An access log collection unit that collects the access information recorded in each of the web servers, and stores the access information as an access log in a storage unit provided in advance;
Based on detection conditions given in advance, an attack information extraction unit that extracts unauthorized access as a blacklist from access information for a plurality of web servers from the same access source recorded in the access log;
And a black list output unit for outputting the extracted black list.

前記攻撃情報抽出部が、
前記同一のアクセス元から複数の前記ウェブサーバに対して同一の文字列を含むリクエストが前記検知条件で定められた時間範囲内に送信されていることが前記アクセスログから検出された場合に、これを前記不正アクセスとして抽出することを特徴とする、請求項１に記載のブラックリスト抽出装置。The attack information extraction unit
When it is detected from the access log that a request including the same character string is transmitted from the same access source to the plurality of web servers within the time range defined by the detection condition, The blacklist extraction apparatus according to claim 1, wherein the blacklist is extracted as the unauthorized access.

前記リクエストにどの開発言語のコマンドが含まれているかを特定し、特定された前記開発言語が前記ウェブサーバの開発言語と異なっているか否かを判定する言語種類判定部を備え、
前記攻撃情報抽出部が前記リクエストと前記ウェブサーバとの間で前記開発言語が異なっている場合にこれを前記ブラックリストとして抽出することを特徴とする、請求項２に記載のブラックリスト抽出装置。A language type determination unit that identifies which development language command is included in the request and determines whether the identified development language is different from the development language of the web server,
The black list extraction device according to claim 2, wherein the attack information extraction unit extracts the development list as the black list when the development language is different between the request and the web server.

複数のウェブサーバとネットワークを介して相互に接続されたブラックリスト抽出装置にあって、
前記各ウェブサーバで記録されたアクセス情報をアクセスログ収集部が収集して、これを予め備えられた記憶手段にアクセスログとして記憶させ、
予め与えられた検知条件に基づいて、前記アクセスログに記録された同一のアクセス元からの複数のウェブサーバに対するアクセス情報から不正アクセスを攻撃情報抽出部がブラックリストとして抽出し、
抽出された前記ブラックリストをブラックリスト出力部が出力する
ことを特徴とするブラックリスト抽出方法。In a blacklist extraction device connected to a plurality of web servers via a network,
The access log collection unit collects the access information recorded in each of the web servers, and stores it as an access log in a storage unit provided in advance.
Based on the detection condition given in advance, the attack information extraction unit extracts unauthorized access as a blacklist from access information for a plurality of web servers from the same access source recorded in the access log,
A black list extraction method, wherein a black list output unit outputs the extracted black list.

前記不正アクセスを抽出する処理が、
前記同一のアクセス元から複数の前記ウェブサーバに対して同一の文字列を含むリクエストが前記検知条件で定められた時間範囲内に送信されていることが前記アクセスログから検出された場合に、これを前記不正アクセスとして抽出することを特徴とする、請求項４に記載のブラックリスト抽出方法。The process of extracting the unauthorized access is:
When it is detected from the access log that a request including the same character string is transmitted from the same access source to the plurality of web servers within the time range defined by the detection condition, The blacklist extraction method according to claim 4, wherein the blacklist is extracted as the unauthorized access.

複数のウェブサーバとネットワークを介して相互に接続されたブラックリスト抽出装置にあって、
前記ブラックリスト抽出装置が備えているコンピュータに、
前記各ウェブサーバで記録されたアクセス情報を収集して、これを予め備えられた記憶手段にアクセスログとして記憶させる手順、
予め与えられた検知条件に基づいて、前記アクセスログに記録された同一のアクセス元からの複数のウェブサーバに対するアクセス情報から不正アクセスをブラックリストとして抽出する手順、
および抽出された前記ブラックリストを出力する手順
を実行させることを特徴とするブラックリスト抽出プログラム。In a blacklist extraction device connected to a plurality of web servers via a network,
In the computer provided in the blacklist extraction device,
A procedure for collecting access information recorded in each web server and storing it as an access log in a storage means provided in advance.
A procedure for extracting unauthorized access as a blacklist from access information for a plurality of web servers from the same access source recorded in the access log, based on detection conditions given in advance,
And a black list extraction program for executing a procedure of outputting the extracted black list.

前記不正アクセスを抽出する手順が、
前記同一のアクセス元から複数の前記ウェブサーバに対して同一の文字列を含むリクエストが前記検知条件で定められた時間範囲内に送信されていることが前記アクセスログから検出された場合に、これを前記不正アクセスとして抽出することを特徴とする、請求項６に記載のブラックリスト抽出プログラム。The procedure for extracting the unauthorized access includes:
When it is detected from the access log that a request including the same character string is transmitted from the same access source to the plurality of web servers within the time range defined by the detection condition, The blacklist extraction program according to claim 6, wherein the blacklist is extracted as the unauthorized access.