アドレス抽出装置
【課題】ユーザが意図しない通信によりアクセスされたアクセス先のアドレスを抽出するアドレス抽出装置を実現する。
【解決手段】情報漏洩検知システム１００は、プロキシサーバ装置６００のプロキシログ２０１に示されるアクセス先のアドレスの内、あらかじめ正当と定義されたアドレスが示されるＵＲＬホワイトリスト２０２と、ユーザの指示に基づき端末装置５００がプロキシサーバ装置６００に通知したアクセス先のアドレスが示されるユーザ指示情報とのいずれにも示されていないアドレスを抽出する。
【解決手段】情報漏洩検知システム１００は、プロキシサーバ装置６００のプロキシログ２０１に示されるアクセス先のアドレスの内、あらかじめ正当と定義されたアドレスが示されるＵＲＬホワイトリスト２０２と、ユーザの指示に基づき端末装置５００がプロキシサーバ装置６００に通知したアクセス先のアドレスが示されるユーザ指示情報とのいずれにも示されていないアドレスを抽出する。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、インターネット通信を行う端末装置が利用するプロキシサーバ装置がアクセスしたアドレスの内、所定のアドレスを抽出するアドレス抽出装置に関する。
【背景技術】
【０００２】
近年、特定の組織を狙う標的型攻撃が増加している。標的型攻撃とは、特定の組織（例えば企業）の特定の部署に限定した不正アクセスである。例えば、特定の企業Ａ社の経理課の社員（ユーザ）に対して、企業Ａ社の関係者を装った偽装メールにマルウェアを添付して送り込む例が挙げられる。メールの文面で言葉巧みに添付ファイル（ドキュメントなどを装っていることが多い）を例えば経理課の社員（ユーザ）に開かせることで、マルウェアは実行される。経理課の社員（ユーザ）により実行されたことにより企業への侵入に成功したマルウェアは、インターネット上のウェブサーバと通信し、情報漏洩等の不正アクセスを行う。
【０００３】
特定の組織（例えば企業）に送り込まれるマルウェアは、多くのアンチウイルスソフトウェアで採用されるパターンファイルを回避するように製造されることが多く、アンチウイルスソフトウェアの検知をすり抜けてしまう。
すなわち、アンチウイルスソフトウェアでの検知にはマルウェアに対応したパターンファイルが必要である。しかし、標的型攻撃を行うマルウェアは、従来のマルウェアと異なり攻撃対象が限定されているため、一般に知られにくく、すぐに存在を認識できない。従って、アンチウイルスソフトウェアベンダのパターンファイル作成が遅れることがある。そして、多くのアンチウイルスソフトウェアでは標的型攻撃で用いられるマルウェアの検知が遅れる可能性がある。
【０００４】
技術的に標的型攻撃を防御することは困難であり、関係者を装う怪しいメールが送られてきた場合はマルウェアを懸念し添付ファイルを開かせないように、従業員（ユーザ）に教育して対応するという考え方もある（例えば、非特許文献１）。しかしながら、一定の効果はあるものの、一部の従業員（ユーザ）は怪しいメールの添付ファイルを開いてしまい、マルウェアが実行されてしまうという課題がある。そして、例えば、従業員（ユーザ）は、実行されたマルウェアが情報漏洩等の不正アクセスを行っているか否かを認識することが出来ないという課題がある。
【０００５】
また、スパイウェア（マルウェア）の検知にＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）ヘッダの特徴を調べ、ブラウザによる通信か、それ以外のプログラムによる通信かを判断する方法が示されている（例えば、非特許文献２）。しかしながら、スパイウェア（マルウェア）の誤検知の課題がある。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】ユーザへの予防接種というアプローチによる標的型攻撃対策−２、山口他、情報処理学会第７１回全国大会 ６Ｅ−４
【非特許文献２】ＨＴＴＰ利用型スパイウェアの検知および遮断方式の検討、大谷他、情報処理学会 研究報告２００５−ＣＳＥＣ−３１
【発明の概要】
【発明が解決しようとする課題】
【０００７】
前記のように例えばユーザは、ユーザが意図しない通信（例えばマルウェアによる不正アクセス）が行われていても、その通信（不正アクセス）を検知することが出来ないという課題がある。
【０００８】
この発明は前記のような課題を解決することを主な目的とするもので、例えば、ユーザが意図しない通信によりアクセスされたアクセス先のアドレスを抽出するアドレス抽出装置を実現することを主な目的とする。
【課題を解決するための手段】
【０００９】
この発明に係るアドレス抽出装置は、
端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスを抽出するアドレス抽出部と
を備えたことを特徴とする。
【発明の効果】
【００１０】
この発明に係るアドレス抽出装置は、例えば、プロキシサーバ装置のプロキシログに記録されたアクセス先のアドレスから、正当なアクセスによるアクセス先のアドレス以外のアドレスを抽出する。この為、この発明に係るアドレス抽出装置は、正当なアクセス以外、すなわちユーザが意図しない不正な通信によりアクセスされたアクセス先のアドレスを抽出することが可能である。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１を示す図で、情報漏洩検知システムの周辺構成の例を示す図。
【図２】実施の形態１を示す図で、情報漏洩検知システムの構成の例を示す図。
【図３】実施の形態１を示す図で、端末操作ログ２０３の例を示す図。
【図４】実施の形態１を示す図で、端末操作ログ取り込み部１０３の処理の例を示すフローチャート。
【図５】実施の形態１を示す図で、ＷｅｂアクセスＵＲＬ情報３０３の例を示す図。
【図６】実施の形態１を示す図で、ローカルプロキシログ２０４の例を示す図。
【図７】実施の形態１を示す図で、コンテンツ実体３５０の例を示す図。
【図８】実施の形態１を示す図で、ローカルプロキシログ取り込み部１０４の処理の例を示すフローチャート。
【図９】実施の形態１を示す図で、ローカルプロキシログエントリ３０４の例を示す図。
【図１０】実施の形態１を示す図で、トップページＵＲＬ特定部１０６の第１の処理の例を示すフローチャート。
【図１１】実施の形態１を示す図で、トップページＵＲＬ特定部１０６の第１の処理によって抽出されたＵＲＬリストの例を示す図。
【図１２】実施の形態１を示す図で、トップページＵＲＬ特定部１０６の第２の処理の例を示すフローチャート。
【図１３】実施の形態１を示す図で、トップページＵＲＬ情報３０６の例を示す図。
【図１４】実施の形態１を示す図で、ブラウザアクセスＵＲＬ特定部１０７の処理の例を示すフローチャート。
【図１５】実施の形態１を示す図で、トップページ内ＵＲＬ６０６の例を示す図。
【図１６】実施の形態１を示す図で、ブラウザアクセスＵＲＬ情報３０７の例を示す図。
【図１７】実施の形態１を示す図で、プロキシログ２０１の例を示す図。
【図１８】実施の形態１を示す図で、プロキシログ取り込み部１０１の処理の例を示すフローチャート。
【図１９】実施の形態１を示す図で、プロキシログエントリ３０１の例を示す図。
【図２０】実施の形態１を示す図で、ＵＲＬホワイトリスト取り込み部１０２の処理の例を示すフローチャート。
【図２１】実施の形態１を示す図で、ＵＲＬホワイトリスト２０２の例を示す図。
【図２２】実施の形態１を示す図で、ホワイトＵＲＬ３０２の例を示す図。
【図２３】実施の形態１を示す図で、グレーＵＲＬ特定部１０５の処理の第１の例を示すフローチャート。
【図２４】実施の形態１を示す図で、グレーＵＲＬ特定部１０５の第１の例の処理によるグレーＵＲＬ情報３０５の例を示す図。
【図２５】実施の形態１を示す図で、グレーＵＲＬ特定部１０５の処理の第２の例を示すフローチャート。
【図２６】実施の形態１を示す図で、グレーＵＲＬ特定部１０５の第２の例の処理によるグレーＵＲＬ情報３０５の例を示す図。
【図２７】実施の形態１を示す図で、ブラックＵＲＬ特定部１０８の処理の第１の例と第２の例とを示すフローチャート。
【図２８】実施の形態１を示す図で、ブラックＵＲＬ２０８の例を示す図。
【図２９】実施の形態１を示す図で、ローカルプロキシログ２０４を使用しない場合のブラウザアクセスＵＲＬ情報３０７の例を示す図。
【図３０】実施の形態１を示す図で、ブラウザアクセスＵＲＬ情報３０７保存処理の第１の例を示すフローチャート。
【図３１】実施の形態１を示す図で、ブラウザアクセスＵＲＬ情報３０７保存処理の第２の例を示すフローチャート。
【図３２】実施の形態１を示す図で、従来の情報漏洩検知システム１００の課題の例を示す図。
【図３３】実施の形態２を示す図で、トップページＵＲＬ特定部１０６の処理の例を示すフローチャート。
【図３４】実施の形態３を示す図で、期間特定部２００の処理の例を示すフローチャート。
【図３５】実施の形態４を示す図で、端末操作ログ取り込み部１０３の処理の例を示すフローチャート。
【図３６】実施の形態５を示す図で、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャート。
【図３７】実施の形態６を示す図で、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャート。
【図３８】実施の形態６を示す図で、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図。
【図３９】実施の形態７を示す図で、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャート。
【図４０】実施の形態７を示す図で、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図。
【図４１】実施の形態８を示す図で、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャート。
【図４２】実施の形態９を示す図で、ＷｅｂアクセスＵＲＬ情報３０３の例を示す図。
【図４３】実施の形態９を示す図で、コンテンツ実体３５０の例を示す図。
【図４４】実施の形態９を示す図で、トップページＵＲＬ特定部１０６の処理の例を示す図。
【図４５】実施の形態１〜９を示す図で、本実施の形態に示した情報漏洩検知システム１００のハードウェア資源の例を示す図。
【発明を実施するための形態】
【００１２】
実施の形態１．
（情報漏洩検知システムの周辺構成）
図１は、情報漏洩検知システムの周辺構成の例を示す図である。
情報漏洩検知システム１００は、例えばマルウェアによってアクセスされたＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）を抽出する。ここで、ＵＲＬは例えばプロキシサーバ装置６００（後述で説明）がアクセスを行うアクセス先のアドレスである。すなわち、情報漏洩検知システム１００は、アドレス抽出装置である。そして、情報漏洩検知システム１００はプロキシサーバ装置６００がアクセスを行ったアドレスの内、所定のアドレスを抽出する。情報漏洩検知システム１００が抽出する所定のアドレスについては後述で説明する。
【００１３】
情報漏洩検知システム１００が抽出するアドレスは、ＵＲＬに限られるものではなく、例えば、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスでも良いし、電子メールアドレスでも良い。
ここで、例えばマルウェアによってアクセスされたアドレス（ＵＲＬ）を以降「不正なアドレス」と称する。
【００１４】
そして、情報漏洩検知システム１００の周辺には、端末装置５００とプロキシサーバ装置６００とが配置される。情報漏洩検知システム１００と端末装置５００とプロキシサーバ装置６００とは、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などで接続されている。
ここで、図示は省略するが、端末装置５００は例えば、企業などの組織で使われる個人用のパーソナルコンピュータなどであり、複数の端末装置５００も例えばＬＡＮなどで接続されている。
【００１５】
そして、情報漏洩検知システム１００は、プロキシサーバ装置６００からプロキシログ２０１を入力する。また、情報漏洩検知システム１００は、端末装置５００から端末操作ログ２０３とローカルプロキシログ２０４とを入力する。更に、情報漏洩検知システム１００は、例えば企業などの組織に設置されたサーバ装置の記憶装置などに記憶されているＵＲＬホワイトリスト２０２を入力する。
【００１６】
本実施の形態の情報漏洩検知システム１００は、これらのログ（プロキシログ２０１など）を用いて、マルウェアによるＷｅｂ通信を検知する。ここでＷｅｂ通信とは、端末装置５００などの例えばコンピュータがインターネット上のＷｅｂ（ウェブ）サイト（ＷｅｂサイトをＷｅｂ（ウェブ）ページとも称する）と行う通信のことである。ＨＴＴＰを用いた通信の場合は、Ｗｅｂ通信をＨＴＴＰ通信とも称する。
【００１７】
（プロキシサーバ装置６００の説明）
例えば、企業などの組織では、端末装置５００がネットワーク１５０（例えばインターネットなど）を介して、Ｗｅｂサイトにアクセスする際に、端末装置５００から直接Ｗｅｂサイトにアクセスするのではなく、プロキシが端末装置５００の代理でＷｅｂサイトにアクセスする。
本実施の形態では、例えば組織に１台設置されているプロキシをプロキシサーバ装置６００と称する。
【００１８】
端末装置５００は、Ｗｅｂサイトのアドレスと共に、プロキシサーバ装置６００にＷｅｂサイトへ送りたいＨＴＴＰリクエストを送信し、プロキシサーバ装置６００はＷｅｂサイトへこのＨＴＴＰリクエストを転送する。
すなわち、プロキシサーバ装置６００は、端末装置５００からアクセス先として通知されたアドレスにアクセスを行う。
【００１９】
ＷｅｂサイトからのＨＴＴＰレスポンスはプロキシサーバ装置６００に送られ、プロキシサーバ装置６００はこのレスポンスを端末装置５００へ転送することで、端末装置５００はＷｅｂサイトにアクセスする。従って、プロキシサーバ装置６００は、アクセスを行った端末装置５００と、アクセス先のＷｅｂサイトと、アクセスの際のリクエスト及びレスポンスの内容とを記録することができる。
【００２０】
（プロキシログ２０１の説明）
前述のように、例えば企業など組織内の端末装置５００はＷｅｂサイトにアクセスする際に、プロキシサーバ装置６００にＨＴＴＰ接続する。プロキシサーバ装置６００は端末装置５００の代りにインターネットに接続しＷｅｂ通信（ＨＴＴＰ通信）を行う。Ｗｅｂ通信（ＨＴＴＰ通信）の結果はプロキシサーバ装置６００から端末装置５００へ転送される。
【００２１】
そして、端末装置５００がＷｅｂサイトにアクセスする際に接続するプロキシサーバ装置６００のログが、プロキシログ２０１である。すなわち、プロキシログ２０１はプロキシサーバ装置６００が端末装置５００とＷｅｂサイトとの通信状況（例えばＷｅｂサイトのアドレス）を記録したログである。
例えば、マルウェアがＷｅｂアクセスする場合は必ずプロキシサーバ装置６００に接続するため、プロキシログ２０１に通信記録が残る。また、マルウェア以外のＷｅｂアクセス（ブラウザ、アプリケーションからの通信）もプロキシログ２０１に通信記録が残る。
【００２２】
（ＵＲＬホワイトリスト２０２の説明）
ＵＲＬホワイトリスト２０２は、ホワイトＵＲＬのリストである。ホワイトＵＲＬは予め組織でアクセスが許可されているＵＲＬである。例えば、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）、オフィスアプリケーションのアップデートサイトやニュースサイトなどがある。
すなわち、ホワイトＵＲＬは、あらかじめ正当と定義されたアドレスである。そして、ＵＲＬホワイトリスト２０２は、あらかじめ正当と定義されたアドレスが示される正当アドレス情報に対応する。
【００２３】
（端末操作ログ２０３の説明）
端末装置５００は、端末操作記録アプリケーションを備える。端末操作記録アプリケーションが、ユーザの端末装置５００の操作を記録したものが端末操作ログ２０３である。端末操作ログ２０３は、例えば端末装置５００の記憶装置に記憶される。
【００２４】
ここで、端末操作記録アプリケーションは各ユーザが端末装置５００上でどのような操作を行っているか監視し内部統制するためのソフトウェアである。端末操作記録アプリケーションはファイル操作（ファイルの生成、削除、コピー、リネーム、移動など）、外部記憶媒体への書き出し、操作されたアプリケーション（ウィンドウタイトル）、Ｗｅｂアクセス状況などを記録する。端末操作記録アプリケーションは例えば市販されているソフトウェアを用いても良い。
【００２５】
ユーザがブラウザを用いて行った指示に基づき、端末装置５００がＷｅｂアクセスした場合、その操作の記録（例えばＷｅｂサイトのアドレス）は端末操作ログ２０３に記録される。
【００２６】
ここで、端末装置５００は、ユーザの指示（例えばユーザがブラウザを用いて行う指示）に基づいて、プロキシサーバ装置６００にアクセス先のアドレスを通知する。そして、ユーザの指示に基づき、端末装置５００が通知したアドレスが示される情報をユーザ指示情報と称する。
すなわち、端末操作ログ２０３は、ユーザ指示情報に対応する。
【００２７】
（ローカルプロキシ５５０、ローカルプロキシログ２０４の説明）
ローカルプロキシ５５０は、各端末装置５００にインストールされるプロキシである。端末装置５００上のブラウザやＷｅｂアクセスするアプリケーションは、ローカルプロキシ５５０を通じて、プロキシサーバ装置６００にアクセスする。
【００２８】
詳細には、端末装置５００内のブラウザなどのアプリケーションは、ローカルプロキシ５５０に、Ｗｅｂサイトへ送りたいＨＴＴＰリクエストを送信し、ローカルプロキシ５５０はプロキシサーバ装置６００へ、このＨＴＴＰリクエストを転送する。更に、プロキシサーバ装置６００はＷｅｂサイトへ、このＨＴＴＰリクエストを転送する。そして、ＷｅｂサイトからのＨＴＴＰレスポンスはプロキシサーバ装置６００に送られ、プロキシサーバ装置６００はこのレスポンスをローカルプロキシ５５０へ転送する。ローカルプロキシ５５０はアプリケーションへ、このレスポンスを転送する。この様にローカルプロキシ５５０とプロキシサーバ装置６００を経由してアプリケーションはＷｅｂサイトと通信を行う。
【００２９】
そして、ローカルプロキシ５５０で取得されるＷｅｂアクセスが記録されたものがローカルプロキシログ２０４である。ローカルプロキシログ２０４には、ユーザがブラウザを用いて行った指示に基づき、端末装置５００がＷｅｂアクセスした際のＷｅｂアクセスした日時、アクセス先のＵＲＬ（アドレス）、メソッド、Ｗｅｂコンテンツなどが記録される。すなわち、ローカルプロキシログ２０４はユーザ指示情報に対応する。そして、ローカルプロキシログ２０４は例えば端末装置５００の記憶装置に記憶される。
ローカルプロキシログ２０４に記録されるＷｅｂコンテンツには、ブラウザでアクセスしたＷｅｂページ（Ｗｅｂコンテンツ）に関連付けられるコンテンツの情報（ＵＲＬの情報）が含まれる。
このＷｅｂページに関連付けられるコンテンツの情報（ＵＲＬの情報）とは、Ｗｅｂページにアクセスしたブラウザ（または、ローカルプロキシ５５０やプロキシサーバ装置６００）が自動で取得したり、リンクしたりする他のコンテンツの情報である。このＷｅｂページに関連付けられるコンテンツの情報には、関連付けられたコンテンツのＵＲＬの情報も含まれる。そして、関連付けられたコンテンツのＵＲＬの情報は、関連アドレス情報に対応し、ローカルプロキシログ２０４は関連アドレス情報にも対応する。
このＷｅｂページ（Ｗｅｂコンテンツ）に関連付けられ、Ｗｅｂページ（Ｗｅｂコンテンツ）にアクセスしたブラウザ（または、ローカルプロキシ５５０やプロキシサーバ装置６００）が自動で取得したり、リンクしたりする他のコンテンツの情報を以降「Ｗｅｂコンテンツが自動で取得するコンテンツ」と称する。
【００３０】
（情報漏洩検知システム１００の構成）
図２は、情報漏洩検知システム１００の構成の例を示す図である。情報漏洩検知システム１００を構成する各要素について説明する。
【００３１】
（プロキシログ取り込み部１０１）
プロキシログ取り込み部１０１は、プロキシログ２０１、端末識別子２０５、期間２０６を入力とし、ログの内容であるプロキシログエントリ３０１を抽出する。
【００３２】
ここで、図１において図示は省略しているが、端末装置５００は前述の通り複数設置されており、端末識別子２０５は、個々の端末装置５００を識別する為の識別子である。
例えばユーザが情報漏洩検知システム１００を用いて調査を行いたい対象の端末装置５００の識別子を、例えばキーボードの様な入力装置を用いて入力する。この入力装置は、情報漏洩検知システム１００に備えられていても良いし、情報漏洩検知システム１００の外部であっても良い。
【００３３】
また、期間２０６は、例えばユーザが情報漏洩検知システム１００を用いて不正なアドレスを調査したい期間の情報である。期間２０６は、期間特定部２００によって入力される。期間特定部２００は、例えばキーボードの様な入力装置であっても良いし、予め期間２０６の情報が記憶されている記憶装置であっても良い。そして、期間特定部２００は情報漏洩検知システム１００に備えられていても良いし、情報漏洩検知システム１００の外部であっても良い。
【００３４】
また、プロキシログ２０１は前述の通り、Ｗｅｂサイトのアドレスが記録されている。すなわち、プロキシログ取り込み部１０１はアドレス入力部に対応する。
【００３５】
（ＵＲＬホワイトリスト取り込み部１０２）
ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２を入力し、ＵＲＬホワイトリスト２０２の内容であるホワイトＵＲＬ３０２を抽出する。
【００３６】
ここで、ＵＲＬホワイトリスト２０２は前述の通り、あらかじめ正当と定義されたアドレスが示される。すなわち、ＵＲＬホワイトリスト取り込み部１０２はアドレス入力部に対応する。
【００３７】
ＵＲＬホワイトリスト２０２は、例えばキーボードの様な入力装置からユーザが入力しても良いし、予め記憶装置に記憶されていても良い。そして、これらの入力装置や記憶装置は情報漏洩検知システム１００に備えられていても良いし、情報漏洩検知システム１００の外部であっても良い。
【００３８】
（端末操作ログ取り込み部１０３）
端末操作ログ取り込み部１０３は、端末操作ログ２０３を入力し、ブラウザによりアクセスされたＷｅｂサイトのＵＲＬ情報であるＷｅｂアクセスＵＲＬ情報３０３を抽出する。
【００３９】
ここで、端末操作ログ２０３は前述の通り、Ｗｅｂサイトのアドレスが記録されている。すなわち、端末操作ログ取り込み部１０３はアドレス入力部に対応する。
また、端末操作ログ取り込み部１０３は、非操作期間（後述で説明）又は非アドレス対応期間（後述で説明）を算出する。すなわち、端末操作ログ取り込み部１０３は、期間算出部に対応する。
【００４０】
（ローカルプロキシログ取り込み部１０４）
ローカルプロキシログ取り込み部１０４は、ローカルプロキシログ２０４、端末識別子２０５、期間２０６を入力し、ローカルプロキシログ２０４の内容であるローカルプロキシログエントリ３０４を抽出する。すなわち、ローカルプロキシログエントリ３０４も図２における図示は省略するが、ユーザ指示情報と関連アドレス情報とに対応する。
【００４１】
ここで、ローカルプロキシログ２０４は前述の通り、Ｗｅｂサイトのアドレスが記録されている。すなわち、ローカルプロキシログ取り込み部１０４はアドレス入力部に対応する。
【００４２】
（グレーＵＲＬ特定部１０５）
グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１、ホワイトＵＲＬ３０２、ブラウザアクセスＵＲＬ情報３０７（後述で説明）を入力し、マルウェアがアクセスしている可能性があるＵＲＬ情報であるグレーＵＲＬ情報３０５を抽出する。すなわち、グレーＵＲＬ特定部１０５は、アドレス抽出部に対応する。
【００４３】
（トップページＵＲＬ特定部１０６）
トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３、ローカルプロキシログエントリ３０４を入力し、ローカルプロキシログエントリ３０４から、ＷｅｂアクセスＵＲＬ情報３０３とＵＲＬが一致するログエントリを抽出し、トップページＵＲＬ情報３０６として出力する。トップページＵＲＬ情報３０６は、ユーザ指示情報に対応する。
【００４４】
ここで、トップページＵＲＬ情報３０６は、ローカルプロキシログエントリ３０４から抽出されたローカルプロキシ５５０の情報、すなわちローカルプロキシ情報である。そして、トップページＵＲＬ特定部１０６は、ローカルプロキシ情報抽出部に対応する。
【００４５】
（ブラウザアクセスＵＲＬ特定部１０７）
ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ情報３０６、ローカルプロキシログエントリ３０４を入力し、ローカルプロキシログエントリ３０４のＷｅｂコンテンツに含まれる、Ｗｅｂコンテンツが自動で取得するコンテンツや、他のＷｅｂページへのリンク情報（ＵＲＬ）を、トップページ内ＵＲＬとして抽出する。このトップページ内ＵＲＬは、Ｗｅｂコンテンツに関連する関連アドレス情報である。
【００４６】
さらに、ブラウザアクセスＵＲＬ特定部１０７は、トップページ内ＵＲＬとトップページＵＲＬ情報３０６とを合わせてブラウザがアクセスするＵＲＬの情報であるブラウザアクセスＵＲＬ情報３０７として出力する。すなわち、ブラウザアクセスＵＲＬ情報３０７にはトップページ内ＵＲＬの情報が含まれており、ブラウザアクセスＵＲＬ情報３０７は、ユーザ指示情報と関連アドレス情報とに対応する。
【００４７】
（ブラックＵＲＬ特定部１０８）
ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５、ブラウザアクセスＵＲＬ情報３０７、ブラック判定条件２０７を入力し、マルウェアのアクセスしたサイトと思われるブラックＵＲＬ２０８を抽出する。すなわち、ブラックＵＲＬ特定部１０８はアドレス抽出部に対応する。
【００４８】
そして、ブラック判定条件２０７はグレーＵＲＬ情報に含まれるＵＲＬ情報がマルウェアによりアクセスされたか判定するための条件を表す情報である。ブラックＵＲＬ特定部１０８はブラック判定条件２０７に合致するアドレスを特定する条件合致アドレス特定部である。
また、ブラックＵＲＬ特定部１０８は、外部サービス２０９（後述で説明）から情報を入力する情報入力部に対応する。
【００４９】
更に、図２では図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１を入力することも可能である。そして、ブラックＵＲＬ特定部１０８は入力したプロキシログ２０１のデータを用いて所定の時間毎のアクセス数などを算出する（後述で説明）通信量算出部に対応する。
【００５０】
（ログ蓄積部１０９）
ログ蓄積部１０９は、プロキシログ２０１、端末操作ログ２０３、ローカルプロキシログ２０４を取り込み、蓄積する。ログ蓄積部１０９は、例えば、磁気ディスク装置などの記憶装置である。
【００５１】
プロキシログ取り込み部１０１は、ログ蓄積部１０９が蓄積したプロキシログ２０１を入力する。また、端末操作ログ取り込み部１０３は、ログ蓄積部１０９が蓄積した端末操作ログ２０３を入力する。また、ローカルプロキシログ取り込み部１０４は、ログ蓄積部１０９が蓄積したローカルプロキシログ２０４を入力する。
【００５２】
（情報漏洩検知システム１００の動作説明）
情報漏洩検知システム１００の動作について説明する。
【００５３】
（端末操作ログ取り込み部１０３の処理）
図３は、端末操作ログ２０３の例を示す図である。
図４は、端末操作ログ取り込み部１０３の処理の例を示すフローチャートである。
図５は、ＷｅｂアクセスＵＲＬ情報３０３の例を示す図である。
【００５４】
端末操作ログ取り込み部１０３は、端末操作ログ２０３と期間２０６と端末識別子２０５とを入力する。
期間２０６は、ある特定の期間にマルウェアからＷｅｂアクセスがあったか否かを確認するために、例えばユーザが期間特定部２００を用いて指定する期間である。例えば、「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」の期間にマルウェアからのＷｅｂアクセスの有無を調べる場合、期間特定部２００は、期間２０６として「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」を指定する。
【００５５】
端末操作ログ２０３は、各端末装置５００にインストールされる端末操作記録アプリケーションが記録するログである。端末操作ログ２０３は、図３に示すフォーマットのように、例えば「操作日時、端末識別子、ユーザ識別子、操作タイプ、操作内容」が時系列順に記録される。
【００５６】
ここで、操作日時は、ユーザが端末装置５００の操作を行った日時である。端末識別子は、例えば端末装置５００のＩＰアドレスである。ユーザ識別子は、例えば従業員の従業員番号などのＩＤ（識別子、アイディー）である。操作タイプは、例えば、「ファイル生成」、「Ｗｅｂアクセス」などの操作の種別である。操作内容は、操作タイプに依存する記録である。
【００５７】
端末操作記録アプリケーションの機能により、ユーザが、ブラウザのアドレスバーに入力したＵＲＬやＷｅｂサイトのコンテンツのリンクをクリックしてアクセスしたＵＲＬが端末操作ログ２０３に記録されている。
【００５８】
例えば、図３に示すＤ２０３１は、「２０１１／０６／２３ ９：００：００に、ＩＰアドレス１９２．１６８．１．２で識別される端末装置５００が、ＵｓｅｒＩＤ１２３４で識別される従業員の操作により、Ｃ：￥ｗｏｒｋ￥ｓａｍｐｌｅ．ｔｘｔというファイルを生成した」ことを意味する。
【００５９】
また、例えば、図３に示すＤ２０３３は、「２０１１／０６／２３ １２：００：００に、ＩＰアドレス１９２．１６８．１．２で識別される端末装置５００が、ＵｓｅｒＩＤ１２３４で識別される従業員の操作により、ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／に対してＧＥＴメソッドを送信（Ｗｅｂアクセス）した」ことを意味する。
ここで、実施の形態の説明において示されるＵＲＬ（例えば、前述の「ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／」）は、あくまで例として挙げられたものであり、実在のＵＲＬとは無関係である。
【００６０】
ここで、図３のＤ２０３３に示される操作タイプ「Ｗｅｂアクセス」のように、端末装置５００がＷｅｂアクセスする場合を説明する。ユーザが端末装置５００を用いてＷｅｂアクセスする場合、ユーザは端末装置５００に対してアクセス先のアドレスを指示するアドレス指示操作を行う。ユーザは、このアドレス指示操作により、端末装置５００に対してＷｅｂアクセスを指示する。すなわち、このアドレス指示操作は、ユーザが端末装置５００に対してアクセス先のアドレスを指示すると共に、ユーザが端末装置５００に対して指示したアドレスに端末装置５００がＷｅｂアクセスを行うよう指示している。そして、このアドレス指示操作が端末操作ログ２０３（例えば、図３）においては、「Ｗｅｂアクセス」のように表記されている。
このアドレス指示操作によるアドレスが端末操作ログ２０３には示されている（例えば、図３のＤ２０３３では「ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／」）。そして、端末装置５００は、プロキシサーバ装置６００にアクセス先として、このアドレスを通知する。そして、端末装置５００は、前述の通りプロキシサーバ装置６００を利用してＷｅｂアクセスを行う。
【００６１】
すなわち、端末操作ログ２０３は、ユーザが端末装置５００に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて端末装置５００がプロキシサーバ装置６００にアクセス先として通知したアドレスがアドレス指示操作と対応付けられて示されている。
【００６２】
図４を用いて、端末操作ログ取り込み部１０３の動作を説明する。
ここで、期間２０６は「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」、端末識別子２０５は、「１９２．１６８．１．２」が指定されているとする。
【００６３】
まず、端末操作ログ取り込み部１０３は、端末操作ログ２０３の全てのエントリを入力したか否かを判定する（図４のＳ４０１）。ここで、端末操作ログ２０３などの情報を構成する行を以降「エントリ」と称する。例えば図４のＤ２０３１の行が１つのエントリとなる。
【００６４】
端末操作ログ取り込み部１０３は、全てのエントリを入力していなければ（図４のＳ４０１の「ＮＯ」）、入力していない端末操作ログ２０３のエントリを例えば操作日時の時系列順に入力する（図４のＳ４０２）。
次に、端末操作ログ取り込み部１０３は、入力したエントリの操作日時が期間２０６の範囲内か否かを判定する（図４のＳ４０３）。
操作日時が期間２０６の範囲内であれば（図４のＳ４０３の「ＹＥＳ」）、端末操作ログ取り込み部１０３は、入力したエントリの端末識別子が、端末識別子２０５と一致するか否かを判定する（図４のＳ４０４）。
端末識別子が、端末識別子２０５と一致すれば（図４のＳ４０４の「ＹＥＳ」）、端末操作ログ取り込み部１０３は、入力したエントリの操作タイプがＷｅｂアクセスか否かを判定する（図４のＳ４０５）。
操作タイプがＷｅｂアクセスであれば（図４のＳ４０５の「ＹＥＳ」）、端末操作ログ取り込み部１０３は、読み込んだエントリをＷｅｂアクセスＵＲＬ情報３０３として出力する（図４のＳ４０６）。
【００６５】
そして、図４のＳ４０１の処理に戻り、端末操作ログ取り込み部１０３は、端末操作ログ２０３の全てのエントリを入力するまで（図４のＳ４０１の「ＹＥＳ」）、図４のＳ４０１からＳ４０６の処理を繰り返す。
【００６６】
例えば、図５に示すＷｅｂアクセスＵＲＬ情報３０３ａ〜３０３ｄのそれぞれ１行ずつが１つのＷｅｂアクセスＵＲＬ情報である。そして、例えば、ＷｅｂアクセスＵＲＬ情報３０３ａ〜３０３ｄでＷｅｂアクセスＵＲＬ情報３０３のセットを構成している。
【００６７】
すなわち、端末操作ログ取り込み部１０３は、図３に示す端末操作ログ２０３のエントリの内、期間２０６に操作日時が該当し、端末識別子が端末識別子２０５に該当し、操作タイプがＷｅｂアクセスであるエントリを抽出し、図５に示すＷｅｂアクセスＵＲＬ情報３０３のセットを生成する。
【００６８】
（ローカルプロキシログ取り込み部１０４の処理）
図６は、ローカルプロキシログ２０４の例を示す図である。
図７は、コンテンツ実体３５０の例を示す図である。
図８は、ローカルプロキシログ取り込み部１０４の処理の例を示すフローチャートである。
図９は、ローカルプロキシログエントリ３０４の例を示す図である。
【００６９】
ローカルプロキシログ取り込み部１０４は、ローカルプロキシログ２０４と期間２０６と端末識別子２０５とからローカルプロキシログエントリ３０４を抽出する。
【００７０】
ローカルプロキシログ２０４は、ローカルプロキシ５５０を利用して、端末装置５００のブラウザなどのアプリケーションがＷｅｂアクセスして得たコンテンツの内容やＷｅｂアクセスして送出したコンテンツの内容が記録される。
ローカルプロキシログ２０４は、図６に示すファーマットのように、例えば「アクセス日時、端末識別子、アクセスしたＷｅｂサイトのＵＲＬ、メソッド（ＧＥＴ／ＰＯＳＴなど）、ステータスコード、通信サイズ、コンテンツ実体３５０」が時系列順に記録される。
【００７１】
ここで、ローカルプロキシ５５０を有する端末装置５００が、ローカルプロキシ５５０を利用してＷｅｂアクセスする場合は、まずユーザが例えば端末装置５００の入力装置などを用いて、アクセス先のアドレスを指示する。そして、端末装置５００はローカルプロキシ５５０を利用してアクセス先のアドレスをプロキシサーバ装置６００に通知する。そして、端末装置５００は、前述の通りプロキシサーバ装置６００を利用し、更にローカルプロキシ５５０も利用してＷｅｂアクセスを行う。
【００７２】
すなわち、ローカルプロキシログ２０４は、ローカルプロキシ５５０を有する端末装置５００がユーザの指示に基づいてローカルプロキシ５５０を利用してプロキシサーバ装置６００にアクセス先として通知したアドレスが示されている。
【００７３】
例えば、図６に示すＤ３０４１の行が、端末装置５００がローカルプロキシ５５０を介してＷｅｂサイトへアクセスした１件のエントリである。
そして、図６において、コンテンツ実体３５０の部分「（コンテンツ実体）」の図示を省略しているが、実際には例えば図７に示すような内容が記録されている。
図７に示す例では、「ｈｔｔｐ ＧＥＴ」の結果として得られたコンテンツが示されているが、ＰＯＳＴの場合は送付されたコンテンツが記録される。
【００７４】
図８を用いて、ローカルプロキシログ取り込み部１０４の動作を説明する。
ここで、期間２０６は「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」、端末識別子２０５は、「１９２．１６８．１．２」が指定されているとする。
【００７５】
まず、ローカルプロキシログ取り込み部１０４は、ローカルプロキシログ２０４の全てのエントリを入力したか否かを判定する（図８のＳ５０１）。
ローカルプロキシログ取り込み部１０４は、全てのエントリを入力していなければ（図８のＳ５０１の「ＮＯ」）、入力していないローカルプロキシログ２０４のエントリを例えばアクセス日時の時系列順に入力する（図８のＳ５０２）。
次に、ローカルプロキシログ取り込み部１０４は、入力したエントリのアクセス日時が期間２０６の範囲内か否かを判定する（図８のＳ５０３）。
アクセス日時が期間２０６の範囲内であれば（図８のＳ５０３の「ＹＥＳ」）、ローカルプロキシログ取り込み部１０４は、入力したエントリの端末識別子が、端末識別子２０５と一致するか否かを判定する（図８のＳ５０４）。
端末識別子が、端末識別子２０５と一致すれば（図８のＳ５０４の「ＹＥＳ」）、ローカルプロキシログ取り込み部１０４は、読み込んだエントリをローカルプロキシログエントリ３０４として出力する（図８のＳ５０５）。
【００７６】
そして、図８のＳ５０１の処理に戻り、ローカルプロキシログ取り込み部１０４は、ローカルプロキシログ２０４の全てのエントリを入力するまで（図８のＳ５０１の「ＹＥＳ」）、図８のＳ５０１からＳ５０５の処理を繰り返す。
【００７７】
例えば、図９に示すローカルプロキシログエントリ３０４ａ〜３０４ｄのそれぞれ１行ずつが１つのローカルプロキシログエントリである。そして、例えば、ローカルプロキシログエントリ３０４ａ〜３０４ｄでローカルプロキシログエントリ３０４のセットを構成している。
【００７８】
すなわち、ローカルプロキシログ取り込み部１０４は、図６に示すローカルプロキシログ２０４のエントリの内、期間２０６にアクセス日時が該当し、端末識別子が端末識別子２０５に該当するエントリを抽出し、図９に示すローカルプロキシログエントリ３０４のセットを生成する。
ここで、図６に示すＤ３０４５のアクセス日時が、期間２０６に該当しない為、図９に示すローカルプロキシログエントリ３０４のセットには含まれていない。
【００７９】
（トップページＵＲＬ特定部１０６の処理）
図１０は、トップページＵＲＬ特定部１０６の第１の処理の例を示すフローチャートである。
図１１は、トップページＵＲＬ特定部１０６の第１の処理によって抽出されたＵＲＬリストの例を示す図である。
図１２は、トップページＵＲＬ特定部１０６の第２の処理の例を示すフローチャートである。
図１３は、トップページＵＲＬ情報３０６の例を示す図である。
【００８０】
トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３とローカルプロキシログエントリ３０４とを入力する。そして、トップページＵＲＬ特定部１０６は、第１の処理として、ＷｅｂアクセスＵＲＬ情報３０３に含まれるＵＲＬを抽出する。そして、トップページＵＲＬ特定部１０６は、第２の処理として、ローカルプロキシログエントリ３０４から第１の処理で抽出したＷｅｂアクセスＵＲＬ情報３０３に含まれるＵＲＬと一致するエントリを抽出する。
【００８１】
図１０を用いて、トップページＵＲＬ特定部１０６の動作（第１の処理）を説明する。最初にトップページＵＲＬ特定部１０６は第１の処理として、ＷｅｂアクセスＵＲＬ情報３０３からＵＲＬ（ＷｅｂアクセスＵＲＬ）を抽出し、リストを生成する。
【００８２】
まず、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３を全て入力したか否かを判定する（図１０のＳ６０１）。
トップページＵＲＬ特定部１０６は、全てのＷｅｂアクセスＵＲＬ情報３０３を入力していなければ（図１０のＳ６０１の「ＮＯ」）、入力していないＷｅｂアクセスＵＲＬ情報３０３を例えばアクセス日時の時系列順に入力する（図１０のＳ６０２）。
次に、トップページＵＲＬ特定部１０６は、入力したＷｅｂアクセスＵＲＬ情報３０３のＵＲＬ（ＷｅｂアクセスＵＲＬ）を抽出する（図１０のＳ６０３）。
次に、トップページＵＲＬ特定部１０６は、入力したＷｅｂアクセスＵＲＬ情報３０３の操作日時を抽出する（図１０のＳ６０４）。
そして、トップページＵＲＬ特定部１０６は、抽出したＵＲＬ（ＷｅｂアクセスＵＲＬ）と操作日時とを１つのエントリとしたリストを生成する。リストの例を図１１に示す。
そして、図１０のＳ６０１の処理に戻り、トップページＵＲＬ特定部１０６は、全てのＷｅｂアクセスＵＲＬ情報３０３を入力するまで（図１０のＳ６０１の「ＹＥＳ」）、図１０のＳ６０１からＳ６０５の処理を繰り返す。
【００８３】
具体例で説明する。
例えば、ＷｅｂアクセスＵＲＬ情報３０３のセットが図５に示される例の場合、トップページＵＲＬ特定部１０６は、最初に図５のＷｅｂアクセスＵＲＬ情報３０３ａ「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２，ＵｓｅｒＩＤ１２３４、Ｗｅｂアクセス、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／，ＧＥＴ」を入力する（図１０のＳ６０２）。そして、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３ａから、ＵＲＬ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」を抽出し（図１０のＳ６０３）、操作日時「２０１１／０６／２３ １０：００：００」を抽出する（図１０のＳ６０４）。そして、トップページＵＲＬ特定部１０６は「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、２０１１／０６／２３ １０：００：００」を１つのエントリ（図１１のＤ１０６１）としたリストを生成する。
【００８４】
図１２を用いて、トップページＵＲＬ特定部１０６の動作（第２の処理）を説明する。
トップページＵＲＬ特定部１０６は第２の処理として、第１の処理で生成した例えば図１１に示すリストに含まれるエントリのＵＲＬと操作日時とに一致するローカルプロキシログエントリ３０４を抽出する。
ここで図１２の図示は省略しているが、トップページＵＲＬ特定部１０６は、第１の処理で生成した例えば図１１に示すリストに含まれる全てのエントリに対して、図１２の処理を行う。
ここでは、トップページＵＲＬ特定部１０６が第１の処理で抽出したエントリとして、図１１のＤ１０６１に示されるエントリ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、２０１１／０６／２３ １０：００：００」を例に説明する。
【００８５】
まず、トップページＵＲＬ特定部１０６は、ローカルプロキシログエントリ３０４を全て入力したか否かを判定する（図１２のＳ１０１）。
トップページＵＲＬ特定部１０６は、全てのローカルプロキシログエントリ３０４を入力していなければ（図１２のＳ１０１の「ＮＯ」）、入力していないローカルプロキシログエントリ３０４を例えばアクセス日時の時系列順に入力する（図１２のＳ１０２）。
ここで、例えば、トップページＵＲＬ特定部１０６は、図９のローカルプロキシログエントリ３０４ａ「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、ＧＥＴ、２００、１０００、コンテンツ実体」を入力したとする。
【００８６】
そして、トップページＵＲＬ特定部１０６は、第１の処理で抽出したエントリにおけるＷｅｂアクセスＵＲＬである「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」と一致するＵＲＬがローカルプロキシログエントリ３０４ａに含まれるか否かを判定する。また、トップページＵＲＬ特定部１０６は、第１の処理で抽出したエントリにおける操作日時である「２０１１／０６／２３ １０：００：００」とローカルプロキシログエントリ３０４ａのアクセス日時とが一致するか否かを判定する（図１２のＳ１０３）。
そして、第１の処理で抽出したエントリにおけるＵＲＬとローカルプロキシログエントリ３０４ａに含まれるＵＲＬとが一致し、第１の処理で抽出したエントリにおける操作日時とローカルプロキシログエントリ３０４ａのアクセス日時とが一致するので（図１２のＳ１０３の「ＹＥＳ」）、処理はＳ１０４に進められる。
【００８７】
そして、図１２において、図示は省略するが、トップページＵＲＬ特定部１０６は図１２のＳ１０３において「ＹＥＳ」と判定されたローカルプロキシログエントリ３０４ａから、トップページＵＲＬ情報３０６を生成する。
この場合、トップページＵＲＬ情報３０６ａは、図１３に示す例のようになる。すなわち、ＵＲＬとローカルプロキシログ２０４におけるアクセス日時と端末識別子とメソッドとステータスと通信サイズとが含まれた情報をトップページＵＲＬ情報３０６と称する。そして、トップページＵＲＬ情報３０６に示されるＵＲＬをトップページＵＲＬと称する。
【００８８】
そして、トップページＵＲＬ情報３０６が生成される毎に、図１２のＳ１０４の処理が行われるが、このＳ１０４の処理は、ブラウザアクセスＵＲＬ特定部１０７によって行われるため、後述で説明する。
【００８９】
そして、図１２のＳ１０１の処理に戻り、トップページＵＲＬ特定部１０６は、ローカルプロキシログエントリ３０４の全てのエントリを入力するまで（図１２のＳ１０１の「ＹＥＳ」）、図１２のＳ１０１からＳ１０３の処理を繰り返す。また、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ情報３０６が生成される毎に、図１２のＳ１０４の処理を行う。
【００９０】
（ブラウザアクセスＵＲＬ特定部１０７の処理）
図１４は、ブラウザアクセスＵＲＬ特定部１０７の処理の例を示すフローチャートである。なお、図１４のフローチャートは、図１２のＳ１０４の処理を詳細に示したものである。
図１５は、トップページ内ＵＲＬ６０６の例を示す図である。
図１６は、ブラウザアクセスＵＲＬ情報３０７の例を示す図である。
【００９１】
前述の例において、トップページＵＲＬ特定部１０６が図１２のＳ１０２において、入力したローカルプロキシログエントリ３０４ａは「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、ＧＥＴ、２００、１０００、コンテンツ実体」である。
ここで、コンテンツ実体３５０は前述の通り、例えば、実際には図７に示されるような情報である。つまりコンテンツ実体３５０は、端末装置５００がＷｅｂアクセスした結果得られたｈｔｍｌコンテンツの実体である。
【００９２】
図１４を用いてブラウザアクセスＵＲＬ特定部１０７の動作を説明する。
ここで、コンテンツ実体３５０は、図７に示す例を用いる。
【００９３】
前述のように、トップページＵＲＬ特定部１０６がトップページＵＲＬ情報３０６を生成すると、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ特定部１０６が入力したローカルプロキシログエントリ３０４とトップページＵＲＬ特定部１０６が生成したトップページＵＲＬ情報３０６とを入力し、図１４に示す処理を行う。
【００９４】
まず、ブラウザアクセスＵＲＬ特定部１０７は、コンテンツ実体３５０の内容をコンテンツ実体３５０の最初の行から１行入力する（図１４のＳ２０１）。具体的には、ブラウザアクセスＵＲＬ特定部１０７は図７のＤ３５０１に示される「＜ｈｔｍｌ ｌａｎｇ＝“ｊａ”＞」を入力する。
次に、ブラウザアクセスＵＲＬ特定部１０７は、入力した内容が＜ｈｔｍｌ＞タグであるか否かを判定する（図１４のＳ２０２）。すなわち、この処理により、ブラウザアクセスＵＲＬ特定部１０７はｈｔｍｌコンテンツの始まりか否かを判定している。この場合、「＜ｈｔｍｌ ｌａｎｇ＝“ｊａ”＞」は＜ｈｔｍｌ＞タグである（図１４のＳ２０２の「ＹＥＳ」）。
【００９５】
更に、ブラウザアクセスＵＲＬ特定部１０７は、コンテンツ実体３５０の内容をコンテンツ実体３５０の行の順番通りに１行入力する（図１４のＳ２０３）。
そして、ブラウザアクセスＵＲＬ特定部１０７は、入力したコンテンツ実体３５０の内容にサブコンテンツのＵＲＬが含まれるか否かを判定する（図１４のＳ２０４）。
【００９６】
ここで、サブコンテンツとは、例えば＜ａ＞タグにおける「ｈｒｅｆ＝」に続くＵＲＬや、＜ｉｍｇ ｓｒｃ＞タグにおけるｓｒｃ属性のＵＲＬや、動画表示用タグにおけるＵＲＬなどである。つまり、コンテンツ実体３５０には、ｈｔｍｌコンテンツが自動で取得するサブコンテンツ（「ｉｍｇ ｓｒｃ」で指定される画像、動画表示用タグで指定される動画など）や、リンクされるサブコンテンツ（＜ａ＞タグで指定されるＵＲＬ）などが記載されている。
【００９７】
ブラウザアクセスＵＲＬ特定部１０７は、図１４のＳ２０３で読み込んだコンテンツ実体３５０の内容にサブコンテンツのＵＲＬが含まれる場合（図１４のＳ２０４の「ＹＥＳ」）は、サブコンテンツのＵＲＬをトップページ内ＵＲＬに設定する（図１４のＳ２０５）。そして、ブラウザアクセスＵＲＬ特定部１０７は図１４のＳ２０３の処理を再度行う。
【００９８】
ここで、トップページ内ＵＲＬとは、端末装置５００がトップページＵＲＬでアクセスしたＷｅｂサイトが自動で取得するコンテンツやリンクされるコンテンツのＵＲＬを意味しており、トップページに付随して得られるコンテンツのＵＲＬを意味する。
【００９９】
ブラウザアクセスＵＲＬ特定部１０７は、図１４のＳ２０３で読み込んだコンテンツ実体３５０の内容にサブコンテンツのＵＲＬが含まれない場合（図１４のＳ２０４の「ＮＯ」）は、読み込んだコンテンツ実体３５０の内容が＜／ｈｔｍｌ＞タグが否かを判定する（図１４のＳ２０６）。この処理により、ブラウザアクセスＵＲＬ特定部１０７は、ｈｔｍｌコンテンツの終わりか否かを判定している。
【０１００】
読み込んだコンテンツ実体３５０の内容が＜／ｈｔｍｌ＞タグである場合、ブラウザアクセスＵＲＬ特定部１０７は処理を終了（図１４のＳ２０６の「ＹＥＳ」）する。そして、トップページＵＲＬ特定部１０６から入力したトップページＵＲＬ情報３０６と設定したトップページ内ＵＲＬ６０６とからブラウザアクセスＵＲＬ情報３０７を生成する。
すなわち、トップページＵＲＬ情報３０６とトップページＵＲＬ情報３０６の各エントリ（各行）に対応づけられたトップページ内ＵＲＬ６０６とを合わせた情報をブラウザアクセスＵＲＬ情報３０７と称する。
その後、トップページＵＲＬ特定部１０６が引き続き、図１２のＳ１０１の処理を行う。
【０１０１】
一方、読み込んだコンテンツ実体３５０の内容が＜／ｈｔｍｌ＞タグでない場合、ブラウザアクセスＵＲＬ特定部１０７は、図１４のＳ２０３の処理を再度行う。
【０１０２】
ブラウザアクセスＵＲＬ特定部１０７が、図１４に示す処理を実行することにより、図７に示されるコンテンツ実体３５０の例から設定したトップページ内ＵＲＬ６０６の例を図１５に示す。
【０１０３】
そして、トップページＵＲＬ特定部１０６が図１２に示す処理を実行し、図６に示されるローカルプロキシログエントリ３０４からトップページＵＲＬ情報３０６を生成し、更に、ブラウザアクセスＵＲＬ特定部１０７がトップページＵＲＬ情報３０６毎に対しトップページ内ＵＲＬ６０６を設定したブラウザアクセスＵＲＬ情報３０７の例を図１６に示す。
【０１０４】
例えば、図１６に示すブラウザアクセスＵＲＬ情報３０７ａ〜３０７ｄのそれぞれ１行ずつが１つのブラウザアクセスＵＲＬ情報である。そして、例えば、ブラウザアクセスＵＲＬ情報３０７ａ〜３０７ｄでブラウザアクセスＵＲＬ情報３０７のセットを構成している。
そして、例えば、図１６のブラウザアクセスＵＲＬ情報３０７ａの「（トップページ内ＵＲＬ）」は、図示を省略しているが、実際には図１５に示すようなトップページ内ＵＲＬ６０６の内容が記録されている。
【０１０５】
（ローカルプロキシログ取り込み部１０４の処理）
図１７は、プロキシログ２０１の例を示す図である。
図１８は、プロキシログ取り込み部１０１の処理の例を示すフローチャートである。
図１９は、プロキシログエントリ３０１の例を示す図である。
【０１０６】
プロキシログ取り込み部１０１は、プロキシログ２０１と期間２０６と端末識別子２０５とを入力する。
【０１０７】
プロキシログ２０１は、図１７に示すフォーマットのように、例えば「アクセス日時、端末識別子、アクセスしたＷｅｂサイトのＵＲＬ、メソッド（ＧＥＴ／ＰＯＳＴなど）、ステータスコード、通信サイズ」が時系列順に記録される。
【０１０８】
また、プロキシログ２０１には、プロキシサーバ装置６００に接続された全ての端末装置５００からの全てのＷｅｂアクセスが記録される。ただし、図１７では、端末識別子「１９２．１６８．１．２」以外の端末装置５００のＷｅｂアクセスの図示を省略している。ここで、全てのＷｅｂアクセスとは、例えば、ブラウザや、Ｗｅｂ通信を行うアプリケーションや、Ｗｅｂ通信を行うマルウェアなどによるＷｅｂアクセスである。
【０１０９】
そして、プロキシログ２０１には、これらのＷｅｂアクセス毎にプロキシサーバ装置６００がアクセスを行ったアクセス先のアドレスが示されている。
すなわち、プロキシログ２０１は、プロキシサーバ装置６００が行ったアクセス毎にアクセス先のアドレスが示されている。
【０１１０】
なお、図１７に示すプロキシログ２０１の例えば、「（ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／のコンテンツが自動で取得したコンテンツの記録）」を説明する。プロキシサーバ装置６００がｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／にアクセスした結果、プロキシサーバ装置６００が取得したコンテンツの中に、画像や動画などを取り込むタグが記録されていた場合に、プロキシサーバ装置６００は、ｈｔｔｐでそれらの画像や動画を自動的に取得する。そして、それらの画像や動画もプロキシログ２０１に記録されていることを意味している。
【０１１１】
図１８を用いて、プロキシログ取り込み部１０１の動作を説明する。
ここで、期間２０６は「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」、端末識別子２０５は、「１９２．１６８．１．２」が指定されているとする。
【０１１２】
まず、プロキシログ取り込み部１０１は、プロキシログ２０１の全てのエントリを入力したか否かを判定する（図１８のＳ７０１）。
【０１１３】
プロキシログ取り込み部１０１は、全てのエントリを入力していなければ（図１８のＳ７０１の「ＮＯ」）、入力していないプロキシログ２０１のエントリを例えばアクセス日時の時系列順に入力する（図１８のＳ７０２）。
次に、プロキシログ取り込み部１０１は、入力したエントリのアクセス日時が期間２０６の範囲内か否かを判定する（図１８のＳ７０３）。
アクセス日時が期間２０６の範囲内であれば（図１８のＳ７０３の「ＹＥＳ」）、プロキシログ取り込み部１０１は、入力したエントリの端末識別子が、端末識別子２０５と一致するか否かを判定する（図１８のＳ７０４）。
端末識別子が、端末識別子２０５と一致すれば（図１８のＳ７０４の「ＹＥＳ」）、プロキシログ取り込み部１０１は、読み込んだエントリをプロキシログエントリ３０１として出力する（図１８のＳ７０５）。
【０１１４】
そして、図１８のＳ７０１の処理に戻り、プロキシログ取り込み部１０１は、プロキシログ２０１の全てのエントリを入力するまで（図１８のＳ７０１の「ＹＥＳ」）、図１８のＳ７０１からＳ７０５の処理を繰り返す。
【０１１５】
例えば、図１９に示すプロキシログエントリ３０１ａ〜３０１ｆのそれぞれ１行ずつが１つのプロキシログエントリである。そして、例えば、プロキシログエントリ３０１ａ〜３０１ｆでプロキシログエントリ３０１のセットを構成している。
【０１１６】
すなわち、プロキシログ取り込み部１０１は、図１７に示すプロキシログ２０１のエントリの内、期間２０６にアクセス日時が該当し、端末識別子が端末識別子２０５に該当するエントリを抽出し、図１９に示すプロキシログエントリ３０１のセットを生成する。
【０１１７】
（ＵＲＬホワイトリスト取り込み部１０２の処理）
図２０は、ＵＲＬホワイトリスト取り込み部１０２の処理の例を示すフローチャートである。
図２１は、ＵＲＬホワイトリスト２０２の例を示す図である。
図２２は、ホワイトＵＲＬ３０２の例を示す図である。
【０１１８】
ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２を入力する。
【０１１９】
ＵＲＬホワイトリスト２０２は、例えば企業などの組織でアクセスが許可されたＵＲＬのリストであり、図２１に示すフォーマットのように、例えば「ＵＲＬ、備考」が記録される。
ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２の各エントリの最初の要素であるＵＲＬを抽出し、ホワイトＵＲＬ３０２として出力する。
【０１２０】
図２０を用いて、ＵＲＬホワイトリスト取り込み部１０２の動作を説明する。
【０１２１】
まず、ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２の全てのエントリを入力したか否かを判定する（図２０のＳ８０１）。
【０１２２】
ＵＲＬホワイトリスト取り込み部１０２は、全てのエントリを入力していなければ（図２０のＳ８０１の「ＮＯ」）、入力していないＵＲＬホワイトリスト２０２のエントリを入力する（図２０のＳ８０２）。
次に、ＵＲＬホワイトリスト取り込み部１０２は、入力したエントリのＵＲＬを抽出する（図２０のＳ８０３）。
そして、ＵＲＬホワイトリスト取り込み部１０２は、抽出したＵＲＬをホワイトＵＲＬ３０２として出力する（図２０のＳ８０４）。
【０１２３】
そして、図２０のＳ８０１の処理に戻り、ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２の全てのエントリを入力するまで（図２０のＳ８０１の「ＹＥＳ」）、図２０のＳ８０１からＳ８０４の処理を繰り返す。
【０１２４】
例えば、図２２に示すホワイトＵＲＬ３０２ａ〜３０２ｂのそれぞれ１行ずつが１つのホワイトＵＲＬである。そして、例えば、ホワイトＵＲＬ３０２ａ〜３０２ｂでホワイトＵＲＬ３０２のセットを構成している。
【０１２５】
（グレーＵＲＬ特定部１０５の処理）
グレーＵＲＬ特定部１０５の処理を第１の例と第２の例とに分けて説明する。
【０１２６】
（グレーＵＲＬ特定部１０５の処理の第１の例）
図２３は、グレーＵＲＬ特定部１０５の処理の第１の例を示すフローチャートである。
図２４は、グレーＵＲＬ特定部１０５の第１の例の処理によるグレーＵＲＬ情報３０５の例を示す図である。
【０１２７】
図２３を用いて、グレーＵＲＬ特定部１０５の処理の第１の例を説明する。
グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）とホワイトＵＲＬ３０２（ホワイトＵＲＬ３０２のセット）とを入力する（図２３のＳ２３０１）。
ここで、プロキシログエントリ３０１は、図１９に示す例とし、ホワイトＵＲＬ３０２は図２２に示す例とする。
なお、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）は、前述の通りプロキシログ２０１から抽出されたものであり、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）に示されるＵＲＬ（アドレス）は、前述の通りプロキシログ２０１に示されるＵＲＬ（アドレス）である。
そして、ホワイトＵＲＬ３０２は、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されるアドレスである。
【０１２８】
そして、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセットの内、ホワイトＵＲＬ３０２が含まれるプロキシログエントリ３０１を削除する（図２３のＳ２３０２）。
具体的には、図１９に示すプロキシログエントリ３０１ａに、図２２に示すホワイトＵＲＬ３０２ａが含まれ、図１９に示すプロキシログエントリ３０１ｄに、図２２に示すホワイトＵＲＬ３０２ｂが含まれる。よって、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセットの内、プロキシログエントリ３０１ａとプロキシログエントリ３０１ｄとを削除する。
【０１２９】
ここで、ホワイトＵＲＬ３０２が含まれるプロキシログエントリ３０１を削除するとは、換言すると、ホワイトＵＲＬ３０２以外のＵＲＬが含まれるプロキシログエントリ３０１を抽出することである。つまり、グレーＵＲＬ特定部１０５は、実質的にホワイトＵＲＬ３０２以外のＵＲＬをプロキシログエントリ３０１のセットから抽出している。
すなわち、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬ（アドレス）の内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬ（アドレス）を抽出する。
換言すると、グレーＵＲＬ情報３０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬを示す情報である。
【０１３０】
そして、グレーＵＲＬ特定部１０５は、編集したプロキシログエントリ３０１のセット（すなわち、ホワイトＵＲＬ３０２が含まれるプロキシログエントリ３０１を削除したプロキシログエントリ３０１のセット）をグレーＵＲＬ情報３０５として出力する（図２３のＳ２３０３）。
グレーＵＲＬ情報３０５の例を図２４に示す。ここで、図２４の例は、プロキシログエントリ３０１に含まれるＵＲＬ以外の情報（例えばアクセス日時、端末識別子など）も含まれているが、グレーＵＲＬ情報３０５は、ＷｅｂサイトのＵＲＬの情報のみであってもも良い。
【０１３１】
（グレーＵＲＬ特定部１０５の処理の第２の例）
図２５は、グレーＵＲＬ特定部１０５の処理の第２の例を示すフローチャートである。
図２６は、グレーＵＲＬ特定部１０５の第２の例の処理によるグレーＵＲＬ情報３０５の例を示す図である。
【０１３２】
次に図２５を用いて、グレーＵＲＬ特定部１０５の処理の第２の例を説明する。
グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）とホワイトＵＲＬ３０２（ホワイトＵＲＬ３０２のセット）とに加えて、ブラウザアクセスＵＲＬ情報３０７（ブラウザアクセスＵＲＬ情報３０７のセット）を入力する（図２５のＳ２４０１）。
【０１３３】
ここで、プロキシログエントリ３０１は、図１９に示す例とし、ホワイトＵＲＬ３０２は図２２に示す例とし、ブラウザアクセスＵＲＬ情報３０７は図１６に示す例とする。
更に、ブラウザアクセスＵＲＬ情報３０７ａに含まれるトップページ内ＵＲＬ６０６は、図１５に示す例とする。図１６には、ブラウザアクセスＵＲＬ情報３０７ａ〜３０７ｄの４つが示されており、それぞれに対応したトップページ内ＵＲＬ６０６が存在し得る。しかし、ここでは、ブラウザアクセスＵＲＬ情報３０７ｂ〜３０７ｄに対応するトップページ内ＵＲＬ６０６は無いものと想定する。
【０１３４】
そして、グレーＵＲＬ特定部１０５は、ホワイトＵＲＬ３０２で示されるＷｅｂサイトが自動で取得するコンテンツやリンクされるコンテンツのＵＲＬを抽出する。すなわち、グレーＵＲＬ特定部１０５は、ホワイトＵＲＬ３０２に対応するトップページ内ＵＲＬ６０６を抽出する（図２５のＳ２４０２）。
具体的には、グレーＵＲＬ特定部１０５は、入力したブラウザアクセスＵＲＬ情報３０７のセットから、例えば図２２のホワイトＵＲＬ３０２ａ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」に一致するＵＲＬを含むブラウザアクセスＵＲＬ情報３０７を選択する。この場合、グレーＵＲＬ特定部１０５は、「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」が含まれている、図１６に示すブラウザアクセスＵＲＬ情報３０７ａを選択する。そして、グレーＵＲＬ特定部１０５は、ブラウザアクセスＵＲＬ情報３０７ａのトップページ内ＵＲＬ６０６を抽出する。
【０１３５】
そして、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセットの内、入力したホワイトＵＲＬ３０２と、入力したホワイトＵＲＬ３０２のそれぞれに対応するトップページ内ＵＲＬ６０６とのいずれかが含まれるプロキシログエントリ３０１を削除する（図２５のＳ２４０３）。
そして、グレーＵＲＬ特定部１０５は、編集したプロキシログエントリ３０１のセットをグレーＵＲＬ情報３０５として出力する（図２５のＳ２４０４）。
【０１３６】
グレーＵＲＬ情報３０５の具体例を図２６に示す。
グレーＵＲＬ特定部１０５の第１の例の処理によるグレーＵＲＬ情報３０５の例（図２４）には、図２４のＤ２５０４に示される情報（「ｈｔｔｐ：／／○○○．ｓａｍｐｌｅ１．△△△／」のＵＲＬが示される情報）が含まれている。
一方、図１５のＤ６０６１に示されるトップページ内ＵＲＬ６０６に「ｈｔｔｐ：／／○○○．ｓａｍｐｌｅ１．△△△／」が有る。従って、グレーＵＲＬ特定部１０５は、第２の例の処理において、プロキシログエントリ３０１のセット（図１９）の内プロキシログエントリ３０１ｆを削除して、グレーＵＲＬ情報３０５を出力する。よって、グレーＵＲＬ特定部１０５の第２の例の処理によるグレーＵＲＬ情報３０５の例（図２６）には、「ｈｔｔｐ：／／○○○．ｓａｍｐｌｅ１．△△△／」のＵＲＬが示される情報が含まれていない。
【０１３７】
（ブラックＵＲＬ特定部１０８の処理）
ブラックＵＲＬ特定部１０８の処理を第１〜第４の例に分けて説明する。
【０１３８】
（ブラックＵＲＬ特定部１０８の処理の第１の例）
図２７は、ブラックＵＲＬ特定部１０８の処理の第１の例と第２の例とを示すフローチャートである。
図２８は、ブラックＵＲＬ２０８の例を示す図である。
【０１３９】
図２７を用いて、ブラックＵＲＬ特定部１０８の処理の第１の例を説明する。
ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５とブラウザアクセスＵＲＬ情報３０７（ブラウザアクセスＵＲＬ情報３０７のセット）とを入力する（図２７のＳ２６０１）。
ここで、グレーＵＲＬ情報３０５は、前述のグレーＵＲＬ特定部１０５の第１の例で処理された情報でも、前述のグレーＵＲＬ特定部１０５の第２の例で処理された情報でも良い。ここでは、グレーＵＲＬ情報３０５は、前述のグレーＵＲＬ特定部１０５の第２の例で処理された情報として、図２６に示す具体例で説明を行う。すなわち、グレーＵＲＬ情報３０５に示されるＵＲＬは、プロキシログエントリ３０１に示されるＵＲＬから、ホワイトＵＲＬ３０２とトップページ内ＵＲＬ６０６とに示されるＵＲＬが除外されたものである。
また、ブラウザアクセスＵＲＬ情報３０７は図１６に示す例とする。
【０１４０】
そして、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７のＵＲＬが含まれるエントリを削除する（図２７のＳ２６０２）。
なお、ブラックＵＲＬ特定部１０８の処理の第１の例の場合、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７の内、トップページＵＲＬ情報３０６の部分に示されるＵＲＬが含まれるエントリを削除する。
例えば、図２６のＤ２６０１の行に示すグレーＵＲＬ情報３０５のエントリは、図１６のブラウザアクセスＵＲＬ情報３０７ｂのトップページＵＲＬ情報３０６部分に示されるＵＲＬが含まれる。よって、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５から図２６のＤ２６０１の行に示すグレーＵＲＬ情報３０５のエントリを削除する。
【０１４１】
なお、ここで、例えば、図２６のＤ２６０１の行に示すグレーＵＲＬ情報３０５のエントリの「（ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／のコンテンツが自動で取得したコンテンツの記録）」に示されるＵＲＬと、図１６のブラウザアクセスＵＲＬ情報３０７ｂの「（トップページ内ＵＲＬ）」に示されるＵＲＬとは、重複する。
したがって、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリの「（ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／のコンテンツが自動で取得したコンテンツの記録）」に示されるＵＲＬも、グレーＵＲＬ情報３０５のエントリの一部として削除して構わない。
【０１４２】
そして、ブラックＵＲＬ特定部１０８は、編集後のグレーＵＲＬ情報３０５をブラックＵＲＬ情報２５０とし、ブラックＵＲＬ情報２５０からブラックＵＲＬ２０８を抽出する（図２７のＳ２６０３）。ブラックＵＲＬ情報２５０の具体例を図２８に示す。
ここで、ブラックＵＲＬ情報２５０（例えば図２８に示す例）に含まれるＵＲＬの情報を（例えば「ｈｔｔｐ：／／○○○．７８９−ｓａｍｐｌｅ．△△△／」）を、ブラックＵＲＬ２０８と称する。
【０１４３】
そして、図２８に示す「（ｈｔｔｐ：／／○○○．７８９−ｓａｍｐｌｅ．△△△／のコンテンツが自動で取得したコンテンツの記録）」にもＵＲＬの情報が含まれる場合がある。その場合、ブラックＵＲＬ特定部１０８は、このＵＲＬをブラックＵＲＬ２０８として抽出しても良い。
【０１４４】
なお、ブラウザアクセスＵＲＬ情報３０７のトップページＵＲＬ情報３０６部分に示されるＵＲＬは、例えば端末操作ログ２０３などのユーザ指示情報に示されるＵＲＬであり、ユーザがブラウザを用いて端末装置５００にアクセスを指示したＵＲＬである。
【０１４５】
そして、ブラックＵＲＬ特定部１０８の処理の具体例として、図２６に示すグレーＵＲＬ特定部１０５の第２の例で処理された情報を示した。ここで、グレーＵＲＬ特定部１０５の処理の第１の例と第２の例とのいずれも、グレーＵＲＬ情報３０５は、プロキシログエントリ３０１に示されるＵＲＬから、ホワイトＵＲＬ３０２に示されるＵＲＬが除外されたものである。（グレーＵＲＬ特定部１０５の処理の第２の例のグレーＵＲＬ情報３０５は、トップページ内ＵＲＬ６０６に示されるＵＲＬが追加で除外されている。）
すなわち、グレーＵＲＬ情報３０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬを示す情報である。
【０１４６】
そして、ブラックＵＲＬ２０８は、グレーＵＲＬ情報３０５に示されるＵＲＬの内、トップページＵＲＬ情報３０６（ユーザ指示情報）に示されないＵＲＬである。すなわち、ブラックＵＲＬ２０８は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）とトップページＵＲＬ情報３０６（ユーザ指示情報）とのいずれにも示されていないＵＲＬである。
換言すると、ブラックＵＲＬ特定部１０８は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬ（アドレス）の内、ＵＲＬホワイトリスト２０２（正当アドレス情報）とトップページＵＲＬ情報３０６（ユーザ指示情報）とのいずれにも示されていないＵＲＬ（アドレス）を抽出する。
【０１４７】
つまり、ブラックＵＲＬ２０８とは、例えば企業などの組織に許可されたホワイトＵＲＬ３０２ではなく、かつ、ユーザの操作によるブラウザからアクセスではないＵＲＬである。その為、ブラックＵＲＬ２０８は、マルウェアの通信によるアクセス先ＵＲＬであると考えられる。
【０１４８】
（ブラックＵＲＬ特定部１０８の処理の第２の例）
次に図２７を用いて、ブラックＵＲＬ特定部１０８の処理の第２の例を説明する。
ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５とブラウザアクセスＵＲＬ情報３０７（ブラウザアクセスＵＲＬ情報３０７のセット）とを入力する（図２７のＳ２６０１）。
ここで、グレーＵＲＬ情報３０５は、前述のグレーＵＲＬ特定部１０５の第１の例で処理された情報であり、図２４に示す例とする。すなわち、グレーＵＲＬ情報３０５に示されるＵＲＬは、プロキシログエントリ３０１に示されるＵＲＬから、ホワイトＵＲＬ３０２に示されるＵＲＬが除外されたものである。
また、ブラウザアクセスＵＲＬ情報３０７は図１６に示す例とし、ブラウザアクセスＵＲＬ情報３０７ａに含まれるトップページ内ＵＲＬ６０６は、図１５に示す例とする。
ここで、グレーＵＲＬ特定部１０５の処理における説明と同様に、ブラウザアクセスＵＲＬ情報３０７ｂ〜３０７ｄに対応するトップページ内ＵＲＬ６０６は無いものと想定する。
【０１４９】
そして、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７のＵＲＬが含まれるエントリを削除する（図２７のＳ２６０２）。
ここで、ブラックＵＲＬ特定部１０８の処理の第１の例と同様に、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７の内、トップページＵＲＬ情報３０６の部分に示されるＵＲＬが含まれるエントリを削除する。そして、更に、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ特定部１０８の処理の第２の例の場合、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７の内、トップページ内ＵＲＬ６０６の部分に示されるＵＲＬが含まれるエントリも削除する。
【０１５０】
例えば、図２４のＤ２５０１の行に示すグレーＵＲＬ情報３０５のエントリは、図１６のブラウザアクセスＵＲＬ情報３０７ｂのトップページＵＲＬ情報３０６部分に示されるＵＲＬが含まれる。よって、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５から図２４のＤ２５０１の行に示すグレーＵＲＬ情報３０５のエントリを削除する。
更に、図２４のＤ２５０４の行に示すグレーＵＲＬ情報３０５のエントリは、図１５のＤ６０６１の行に示されるトップページ内ＵＲＬ６０６のＵＲＬが含まれる。よって、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５から図２４のＤ２５０４の行に示すグレーＵＲＬ情報３０５のエントリを削除する。
【０１５１】
そして、ブラックＵＲＬ特定部１０８は、編集後のグレーＵＲＬ情報３０５をブラックＵＲＬ情報２５０とし、ブラックＵＲＬ情報２５０からブラックＵＲＬ２０８を抽出する（図２７のＳ２６０３）。
結果的に、ブラックＵＲＬ特定部１０８の処理の第１の例と、第２の例とによるブラックＵＲＬ２０８は、図２８に示すように同内容になる。
【０１５２】
なお、ブラウザアクセスＵＲＬ情報３０７のトップページＵＲＬ情報３０６部分に示されるＵＲＬは、前述の通り、ユーザ指示情報に示されるＵＲＬである。そして、ブラウザアクセスＵＲＬ情報３０７のトップページ内ＵＲＬ６０６に示されるＵＲＬは、ユーザ指示情報に示されるＵＲＬのウェブページにリンクなどで関連付けされているＵＲＬが示される関連アドレス情報である。
すなわち、ローカルプロキシログ取り込み部１０４は、ユーザ指示情報に示されるアドレスのウェブページに関連付けされているアドレスが示される関連アドレス情報を入力している。
そして、前述のように、グレーＵＲＬ情報３０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬを示す情報である。
【０１５３】
そして、ブラックＵＲＬ２０８は、グレーＵＲＬ情報３０５に示されるＵＲＬの内、トップページＵＲＬ情報３０６（ユーザ指示情報）とトップページ内ＵＲＬ６０６とに示されないＵＲＬである。すなわち、ブラックＵＲＬ２０８は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）とトップページＵＲＬ情報３０６（ユーザ指示情報）とトップページ内ＵＲＬ６０６（関連アドレス情報）とのいずれにも示されていないＵＲＬである。
換言すると、ブラックＵＲＬ特定部１０８は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬ（アドレス）の内、ＵＲＬホワイトリスト２０２（正当アドレス情報）とトップページＵＲＬ情報３０６（ユーザ指示情報）とトップページ内ＵＲＬ６０６（関連アドレス情報）とのいずれにも示されていないＵＲＬ（アドレス）を抽出する。
【０１５４】
（ブラックＵＲＬ特定部１０８の処理の第３の例）
図２９は、ローカルプロキシログ２０４を使用しない場合のブラウザアクセスＵＲＬ情報３０７の例を示す図である。
【０１５５】
図２９を用いて、ブラックＵＲＬ特定部１０８の処理の第３の例を説明する。
ブラックＵＲＬ特定部１０８の処理の第１の例は、ローカルプロキシログ２０４を使用したが、ブラックＵＲＬ特定部１０８の処理の第２の例では、ローカルプロキシログ２０４を使用しない場合を説明する。
この場合、ローカルプロキシログ取り込み部１０４、トップページＵＲＬ特定部１０６、ブラウザアクセスＵＲＬ特定部１０７は、使用されない。
そして、ブラックＵＲＬ特定部１０８は、端末操作ログ取り込み部１０３が出力するＷｅｂアクセスＵＲＬ情報３０３をブラウザアクセスＵＲＬ情報３０７として入力する。
【０１５６】
ここで、ローカルプロキシログ２０４を使用しない場合のブラウザアクセスＵＲＬ情報３０７の例を図２９に示す。ここで、メソッド、ステータス、通信サイズ、トップページ内ＵＲＬが「ＮＵＬＬ」となっているのは、ローカルプロキシログ２０４を使用しない為、情報が無いことを示している。
【０１５７】
その他の処理は、ブラックＵＲＬ特定部１０８の処理の第１の例と同じである為、説明を省略する。
なお、ローカルプロキシログ２０４を使用しないので、トップページ内ＵＲＬ６０６の情報が無く、グレーＵＲＬ特定部１０５における処理は、前述の第１の例に示す処理となる。
【０１５８】
（ブラックＵＲＬ特定部１０８の処理の第４の例）
ブラックＵＲＬ特定部１０８の処理の第４の例を説明する。
ブラックＵＲＬ特定部１０８の処理の第４の例は、端末操作ログ２０３とローカルプロキシログ２０４とを使用しない場合を説明する。
この場合、端末操作ログ取り込み部１０３、ローカルプロキシログ取り込み部１０４、トップページＵＲＬ特定部１０６、ブラウザアクセスＵＲＬ特定部１０７は使用されない。従って、ブラウザアクセスＵＲＬ情報３０７も生成されない。
【０１５９】
そして、ローカルプロキシログ２０４を使用しないので、トップページ内ＵＲＬ６０６の情報が無く、グレーＵＲＬ特定部１０５における処理は、前述の第１の例に示す処理となる。
ブラックＵＲＬ特定部１０８は、グレーＵＲＬ特定部１０５が前述の第１の例の処理により出力したグレーＵＲＬ情報３０５を入力し、入力したグレーＵＲＬ情報３０５をブラックＵＲＬ情報２５０とし、ブラックＵＲＬ２０８を抽出する。
【０１６０】
（ブラウザアクセスＵＲＬ情報３０７の保存処理）
ブラウザアクセスＵＲＬ情報３０７の保存処理を第１の例と第２の例とに分けて説明する。
【０１６１】
（ブラウザアクセスＵＲＬ情報３０７の保存処理の第１の例）
図３０は、ブラウザアクセスＵＲＬ情報３０７保存処理の第１の例を示すフローチャートである。
【０１６２】
情報漏洩検知システム１００の記憶装置（例えば磁気ディスク装置）は、ブラウザアクセスＵＲＬ情報３０７を記憶する。そして、情報漏洩検知システム１００の記憶装置は、情報漏洩検知システム１００が動作する毎に、既に記憶しているブラウザアクセスＵＲＬ情報３０７に新しいブラウザアクセスＵＲＬ情報３０７を追加して記憶する。従って、情報漏洩検知システム１００を動作させる度に、ブラウザアクセスＵＲＬ情報３０７は増える。
図３０を用いて、ブラウザアクセスＵＲＬ情報３０７の保存処理の第１の例を説明する。
【０１６３】
まず、ブラウザアクセスＵＲＬ特定部１０７は、図１２と図１４とに示す処理で、ブラウザアクセスＵＲＬ情報３０７を生成した際に、記憶装置に記憶されているブラウザアクセスＵＲＬ情報３０７（記憶装置に記憶されているブラウザアクセスＵＲＬ情報３０７を「保存ブラウザアクセスＵＲＬ情報」と称する）が有るか否かを判定する（図３０のＳ９０１）。
保存ブラウザアクセスＵＲＬ情報が有れば（図３０のＳ９０１の「ＹＥＳ」）、ブラウザアクセスＵＲＬ特定部１０７は、記憶装置から保存ブラウザアクセスＵＲＬ情報を入力する（図３０のＳ９０２）。
次に、ブラウザアクセスＵＲＬ特定部１０７は、入力した保存ブラウザアクセスＵＲＬ情報に生成したブラウザアクセスＵＲＬ情報３０７を追加する（図３０のＳ９０３）。
そして、ブラウザアクセスＵＲＬ特定部１０７は、編集（保存ブラウザアクセスＵＲＬ情報に生成したブラウザアクセスＵＲＬ情報３０７を追加）した情報をブラウザアクセスＵＲＬ情報３０７として出力する（図３０のＳ９０４）。更に、ブラウザアクセスＵＲＬ特定部１０７は、編集した情報を保存ブラウザアクセスＵＲＬ情報として記憶装置に入力し、記憶装置は新たな保存ブラウザアクセスＵＲＬ情報を記憶する（図３０のＳ９０６）。
【０１６４】
１回でもブラウザアクセスＵＲＬ特定部１０７によりブラウザアクセスＵＲＬ情報３０７が生成された場合は、記憶装置に保存ブラウザアクセスＵＲＬ情報が存在する。しかし、例えば情報漏洩検知システム１００の初回動作時など、記憶装置に保存ブラウザアクセスＵＲＬ情報が存在しない場合（図３０のＳ９０１の「ＮＯ」）、ブラウザアクセスＵＲＬ特定部１０７は生成したブラウザアクセスＵＲＬ情報３０７をそのまま出力する（図３０のＳ９０５）。そして、記憶装置は、ブラウザアクセスＵＲＬ特定部１０７により生成されたブラウザアクセスＵＲＬ情報３０７を保存ブラウザアクセスＵＲＬ情報として記憶する（図３０のＳ９０６）。
【０１６５】
あるいは、記憶装置に記憶される保存ブラウザアクセスＵＲＬ情報は、情報漏洩検知システム１００が停止（電源オフ）される毎に消去されても良い。
【０１６６】
（ブラウザアクセスＵＲＬ情報３０７の保存処理の第２の例）
図３１は、ブラウザアクセスＵＲＬ情報３０７保存処理の第２の例を示すフローチャートである。
【０１６７】
保存ブラウザアクセスＵＲＬ情報は、一定の期間（例えば１日）が経過した場合に消去され、該当する情報が消去されても良い。図３１を用いて、ブラウザアクセスＵＲＬ情報３０７の保存処理の第２の例を説明する。
【０１６８】
まず、ブラウザアクセスＵＲＬ特定部１０７は、図１２と図１４とに示す処理で、ブラウザアクセスＵＲＬ情報３０７を生成した際に、保存ブラウザアクセスＵＲＬ情報が有るか否かを判定する（図３１のＳ１００１）。
保存ブラウザアクセスＵＲＬ情報が無ければ（図３１のＳ１００１の「ＮＯ」）、ブラウザアクセスＵＲＬ特定部１０７は、生成したブラウザアクセスＵＲＬ情報３０７を出力する（図３１のＳ１００８）。
更に、ブラウザアクセスＵＲＬ特定部１０７は、生成したブラウザアクセスＵＲＬ情報３０７をエントリ毎に（各行毎に）タイムスタンプと対応付けて、保存ブラウザアクセスＵＲＬ情報として記憶装置に入力する。そして、記憶装置はタイムスタンプに対応付けられた各エントリ（各行）から成る保存ブラウザアクセスＵＲＬ情報を記憶する（図３１のＳ１００９）。
【０１６９】
一方、保存ブラウザアクセスＵＲＬ情報が有れば（図３１のＳ１００１の「ＹＥＳ」）、ブラウザアクセスＵＲＬ特定部１０７は、保存ブラウザアクセスＵＲＬ情報を入力する（図３１のＳ１００２）。
次に、ブラウザアクセスＵＲＬ特定部１０７は、入力した保存ブラウザアクセスＵＲＬ情報に生成したブラウザアクセスＵＲＬ情報３０７をエントリ毎に（各行毎に）タイムスタンプと対応付けて、追加する（図３１のＳ１００３）。この時、ブラウザアクセスＵＲＬ特定部１０７は、入力した保存ブラウザアクセスＵＲＬ情報のエントリ毎に（各行毎に）対応付けられているタイムスタンプは変更しない。
そして、ブラウザアクセスＵＲＬ特定部１０７は、編集した情報をブラウザアクセスＵＲＬ情報３０７として出力する（図３１のＳ１００４）。更に、ブラウザアクセスＵＲＬ特定部１０７は、編集した情報を保存ブラウザアクセスＵＲＬ情報として記憶装置に入力し、記憶装置は新たな保存ブラウザアクセスＵＲＬ情報を記憶する（図３１のＳ１００５）。
【０１７０】
そして、ブラウザアクセスＵＲＬ特定部１０７は、記憶装置に保存ブラウザアクセスＵＲＬ情報が存在し、予め設定された保存期間を過ぎたタイムスタンプが対応付けられているエントリが保存ブラウザアクセスＵＲＬ情報に含まれているか否かを判定する（図３１のＳ１００６）。この予め設定された保存期間も例えば、情報漏洩検知システム１００の記憶装置に記憶されている。
例えば、保存期間が「１日」と設定されている場合、ブラウザアクセスＵＲＬ特定部１０７は、保存ブラウザアクセスＵＲＬ情報のエントリの内、対応付けられているタイムスタンプに２４時間を足した日時が現日時を超えているエントリが含まれているか否かを判定する。
該当のエントリが含まれていれば（図３１のＳ１００６の「ＹＥＳ」）、ブラウザアクセスＵＲＬ特定部１０７は、保存ブラウザアクセスＵＲＬ情報から該当のエントリと該当のエントリに対応付けられたタイムスタンプとを消去する（図３１のＳ１００７）。そして、記憶装置は、ブラウザアクセスＵＲＬ特定部１０７が編集した情報を新たな保存ブラウザアクセスＵＲＬ情報として記憶する。
【０１７１】
（実施の形態１の効果）
図３２は、従来の情報漏洩検知システム１００の課題の例を示す図である。
【０１７２】
例えば、マルウェアが感染した端末装置５００は、ネットワーク１５０（例えばインターネット）上のＣ＆Ｃ（Ｃｏｍａｎｄ＆Ｃｏｎｔｒｏｌ）サーバとＨＴＴＰ通信を行う。そこで、従来、標的型攻撃へ対策する方法として、この点に着目し、ＨＴＴＰ通信を検知する方法が考えられている。そして、例えば企業などの組織におけるインターネットとの通信はＨＴＴＰが殆どであり、全てのＨＴＴＰ（またはＨＴＴＰＳ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）通信は、プロキシサーバ装置６００を経由する。よって、ＨＴＴＰの通信を記録するプロキシログ２０１を分析することで特定する方法がある。
しかし、組織においてプロキシログ２０１は大量である。そして、一方Ｃ＆Ｃサーバとの通信はわずかで、その挙動はユーザからは認識されず、目立たないためプロキシログ２０１からＣ＆Ｃサーバとの通信を発見することは困難である。すなわち、わずかなマルウェアの通信を大量のプロキシログ２０１から発見するのは困難という課題がある（図３２のＣ１０１）。
また、プロキシログを見ただけでは、ユーザが意図してアクセスしたのか、何かのプログラムがユーザの意図とは関係なくアクセスしたのか判断できないという課題がある（図３２のＣ１０２）。
【０１７３】
また、従来、ＵＲＬフィルタによりマルウェアの通信を遮断する製品が複数存在する。一般的にＵＲＬフィルタではアクセスを禁止すべきＵＲＬのブラックリストを設けるか、アクセスを許可するＵＲＬのホワイトリストを作成しアクセスを制御する。しかし、通信を許可すべきではない怪しいＷｅｂサイトは次々に現れるため、ブラックリストを完全に作ることは困難である。従って、ＵＲＬフィルタの設定に完全なものはなく、管理者のスキルに依存して設定される。ＵＲＬフィルタの設定によってはＵＲＬアクセスを禁止すべきマルウェアの通信を特定できない（マルウェアのアクセスＵＲＬが漏れる）という課題がある（図３２のＣ１０３）。
【０１７４】
一方、本実施の形態における情報漏洩検知システム１００は、プロキシログ２０１、ＵＲＬホワイトリスト２０２、端末操作ログ２０３、ローカルプロキシログ２０４を用いて、ユーザが意図しないマルウェアによる通信と思われるＨＴＴＰ通信を特定する。
【０１７５】
すなわち、本実施の形態における情報漏洩検知システム１００は、調査対象の端末装置５００における端末操作ログ２０３とローカルプロキシログ２０４とからユーザがブラウザでアクセスしたＵＲＬが示されるブラウザアクセスＵＲＬ情報３０７を特定する。
ここで、本実施の形態の情報漏洩検知システム１００は、端末操作ログ２０３からトップページＵＲＬ情報３０６を特定し、ローカルプロキシログ２０４からトップページ内ＵＲＬ６０６（トップページＵＲＬのコンテンツが自動で取得する、あるいはリンクしているＵＲＬ）を特定する。そして、本実施の形態の情報漏洩検知システム１００は、トップページＵＲＬ情報３０６とトップページ内ＵＲＬ６０６と合わせてブラウザアクセスＵＲＬ情報３０７とする。
そして、本実施の形態の情報漏洩検知システム１００は、組織に共通のプロキシサーバ装置６００におけるプロキシログ２０１の内、調査対象の端末装置５００に関わるＵＲＬの記録（端末装置５００からのＷｅｂアクセスのＵＲＬ）から、ＵＲＬホワイトリスト２０２で許可されたＵＲＬを除いたグレーＵＲＬ情報３０５を特定する。さらに、本実施の形態の情報漏洩検知システム１００は、グレーＵＲＬ情報３０５からブラウザアクセスＵＲＬ情報３０７のＵＲＬを除くことで、ブラックＵＲＬ２０８を特定する。
【０１７６】
つまり、本実施の形態の情報漏洩検知システム１００は、例えば企業などの組織に許可されたＵＲＬでなく、ユーザがブラウザからアクセスしたＵＲＬでもないブラックＵＲＬ２０８を抽出することが可能である。このブラックＵＲＬ２０８は、端末装置５００からのＷｅｂ通信においてユーザの意図しないアクセスのアクセス先である。従って、本実施の形態の情報漏洩検知システム１００は、例えば情報漏洩等マルウェアが行う不正なＷｅｂ通信によりアクセスされたＵＲＬを検知することが可能である。
換言すると、情報漏洩検知システム１００は、大量のプロキシログ２０１の情報から、例えば管理者のスキルに依存することなく、ユーザの意図と関係ないアクセスのアクセス先のＵＲＬを検知することが可能である。
【０１７７】
また、本実施の形態のブラックＵＲＬ特定部１０８の処理の第３の例に示す方法では、環境によってはローカルプロキシのアプリケーションを端末装置５００にインストール出来ない場合（ローカルプロキシを利用しない場合）でも、ブラックＵＲＬ２０８を特定することが可能である。
更に、本実施の形態のブラックＵＲＬ特定部１０８の処理の第４の例に示す方法では、環境によってはローカルプロキシと端末操作記録アプリケーションをインストールできない場合（ローカルプロキシと端末操作記録アプリケーションとを利用しない場合）でも、ブラックＵＲＬ２０８を特定することが可能である。
【０１７８】
実施の形態２．
（実施の形態２における情報漏洩検知システム１００の概要）
実施の形態２の情報漏洩検知システム１００は、プロキシログエントリ３０１に示されるＵＲＬの内、ローカルプロキシログ２０４に記録の無いＵＲＬで、かつ、ホワイトＵＲＬ３０２でもないＵＲＬをブラックＵＲＬ２０８として抽出する。
すなわち、実施の形態２の情報漏洩検知システム１００は、ローカルプロキシを経由せずにＷｅｂ通信されたアクセス先のＵＲＬを抽出する。
なお、実施の形態２の情報漏洩検知システム１００は、端末操作ログ２０３を使用しない。従って、端末操作ログ取り込み部１０３は使用されない。
ブラウザアクセスＵＲＬ特定部１０７は、ローカルプロキシログエントリ３０４のみを入力し、後述の処理によりブラウザアクセスＵＲＬ情報３０７を出力する。
【０１７９】
なお、実施の形態２の情報漏洩検知システム１００は、端末操作ログ取り込み部１０３を使用しない以外は、図２に示す実施の形態１の情報漏洩検知システム１００と同じ構成である。従って、実施の形態１と同じ構成要素及び、実施の形態１と同じ処理内容については説明を省略する。
【０１８０】
（トップページＵＲＬ特定部１０６の処理）
図３３は、トップページＵＲＬ特定部１０６の処理の例を示すフローチャートである。
図３３を用いて、実施の形態２におけるトップページＵＲＬ特定部１０６の処理を説明する。
【０１８１】
まず、トップページＵＲＬ特定部１０６は、実施の形態１と同様に、ローカルプロキシログエントリ３０４を全て入力したか否かを判定する（図３３のＳ３０１）。
トップページＵＲＬ特定部１０６は、実施の形態１と同様に、全てのローカルプロキシログエントリ３０４を入力していなければ（図３３のＳ３０１の「ＮＯ」）、入力していないローカルプロキシログエントリ３０４を例えばアクセス日時の時系列順に入力する（図３３のＳ３０２）。
ここで、例えば、トップページＵＲＬ特定部１０６は、図９のローカルプロキシログエントリ３０４ａ「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、ＧＥＴ、２００、１０００、コンテンツ実体」を入力したとする。
【０１８２】
そして、トップページＵＲＬ特定部１０６は、入力したローカルプロキシログエントリ３０４に含まれるＵＲＬを抽出する（図３３のＳ３０３）。
具体例で示すと、トップページＵＲＬ特定部１０６は、図９のローカルプロキシログエントリ３０４ａに含まれるＵＲＬ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」を抽出する。そして、トップページＵＲＬ特定部１０６は、抽出したＵＲＬをトップページＵＲＬとし、入力したローカルプロキシログエントリ３０４ａから実施の形態１と同様に、図１３に示すトップページＵＲＬ情報３０６ａを生成する。
【０１８３】
そして、トップページＵＲＬ情報３０６が生成される毎に、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ特定部１０６が入力したローカルプロキシログエントリ３０４からトップページ内ＵＲＬ６０６を抽出する（図３３のＳ３０４）。そして、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ情報３０６とトップページ内ＵＲＬ６０６とからブラウザアクセスＵＲＬ情報３０７を生成する。
図３３のＳ３０４の処理は、実施の形態１の図１２のＳ１０４の処理と同じである為、詳細な説明は省略する。
【０１８４】
なお、実施の形態１では、端末操作ログ２０３を使用している為、ブラウザの操作によりアクセスされたＵＲＬがブラウザアクセスＵＲＬ情報３０７となる。一方、実施の形態２では、ローカルプロキシ経由でＷｅｂアクセスするブラウザ以外のアプリケーションのＷｅｂ通信情報もブラウザアクセスＵＲＬ情報３０７に含まれる点が実施の形態１とは異なる。
【０１８５】
また、実施の形態２では、トップページＵＲＬ特定部１０６がトップページＵＲＬ情報３０６を生成し、ブラウザアクセスＵＲＬ特定部１０７がトップページ内ＵＲＬ６０６を抽出して、ブラウザアクセスＵＲＬ情報３０７を生成すると説明した。
しかし、ブラウザアクセスＵＲＬ特定部１０７がローカルプロキシログエントリ３０４を入力し、前述トップページＵＲＬ特定部１０６と同様の処理を行うことも可能である。すなわち、ブラウザアクセスＵＲＬ特定部１０７がローカルプロキシログエントリ３０４を入力し、トップページＵＲＬ情報３０６を生成し、トップページ内ＵＲＬ６０６を抽出してブラウザアクセスＵＲＬ情報３０７を生成することも可能である。この場合、トップページＵＲＬ特定部１０６は使用されない。
【０１８６】
（実施の形態２の効果）
実施の形態２の情報漏洩検知システム１００は、環境によっては端末操作記録アプリケーションをインストールできない場合（端末操作記録アプリケーションを利用しない場合）でも、ブラックＵＲＬ２０８を特定することが可能である。
【０１８７】
実施の形態３．
（実施の形態３における情報漏洩検知システム１００の概要）
実施の形態３では、端末装置５００に例えばＷｅｂカメラが備えられている（Ｗｅｂカメラの図示は省略する）。そして、期間特定部２００（図２）は、Ｗｅｂカメラの映像からユーザが端末装置５００に座っているか否かを判定して、座っていないと判定される期間を期間２０６として入力する。ここで、Ｗｅｂカメラの映像からユーザが端末装置５００に座っているか否かを判定する技術は、公知技術を使用する。
なお、ユーザが端末装置５００に座っているか否かを判定する技術としては、Ｗｅｂカメラを使用するものに特定されず、例えば、温度の変化を捉えるセンサや、音の変化を捉えるセンサなどを使用するものであっても良い。また、重量センサを備えた椅子を用いることによりユーザが端末装置５００（端末装置５００の椅子）に座っているか否かを判定することも可能である。
【０１８８】
すなわち、実施の形態３の情報漏洩検知システム１００は、ユーザが端末装置５００に座っていない期間（ユーザによる端末装置５００やブラウザの操作が無い期間）のグレーＵＲＬ情報３０５とブラックＵＲＬ２０８（ブラックＵＲＬ情報２５０）とを抽出する。この期間は、ユーザが端末装置５００に座っていないため、ユーザによるブラウザ操作がされていない期間として考えられる。そして、この期間に発生したＷｅｂアクセスは、何かしらのプログラムが自動的にＷｅｂサイトへアクセスしたために発生したアクセスであると考えられる。
【０１８９】
つまり、実施の形態３の情報漏洩検知システム１００で抽出されるグレーＵＲＬ情報３０５は、実施の形態１で抽出されるグレーＵＲＬ情報３０５よりも絞り込まれることになる。
【０１９０】
なお、実施の形態３の情報漏洩検知システム１００は、図２に示す実施の形態１の情報漏洩検知システム１００と同じ構成である。従って、実施の形態１と同じ構成要素及び、実施の形態１と同じ処理内容については説明を省略する。
【０１９１】
（期間特定部２００の処理）
図３４は、期間特定部２００の処理の例を示すフローチャートである。
期間特定部２００は、図３４のフローチャートに基づき、ユーザが端末装置５００に座っていない期間を演算する。
【０１９２】
まず、期間特定部２００は、Ｗｅｂカメラの映像からの映像を入力し、ユーザが座っているか否かを判定する（図３４のＳ１６０１）。すなわち、Ｗｅｂカメラと期間特定部２００とは、ユーザの存在を検知する検知装置である。
ここで、期間特定部２００は、Ｗｅｂカメラからの映像を処理し、ユーザが座っているか否かの判定を行い、その判定結果を出力する映像処理装置（図示は省略）からユーザが座っているか否かの情報を入力しても良い。そして、期間特定部２００は、ユーザが座っているか否かの情報に基づき、ユーザが座っているか否かを判定することも可能である。この場合、Ｗｅｂカメラと映像処理装置と期間特定部２００とがユーザの存在を検知する検知装置である。
【０１９３】
そして、期間特定部２００は、ユーザが座っていない判定とした場合（図３４のＳ１６０１の「ＮＯ」）、現在の日時を「Ｓｔａｒｔ＿ｔｉｍｅ」に設定する（図３４のＳ１６０２）。
そして、期間特定部２００は、予め設定された時間（ｎ分間）待機し（図３４のＳ１６０３）、再度Ｓ１６０１の処理を行う。
【０１９４】
一方、期間特定部２００は、ユーザが座っている判定とした場合（図３４のＳ１６０１の「ＹＥＳ」）、「Ｓｔａｒｔ＿ｔｉｍｅ」が既に設定されているか否かを判定する（図３４のＳ１６０４）。
そして、期間特定部２００は、「Ｓｔａｒｔ＿ｔｉｍｅ」が既に設定されていると判定した場合（図３４のＳ１６０４の「ＹＥＳ」）、現在の日時を「Ｅｎｄ＿ｔｉｍｅ」に設定する（図３４のＳ１６０５）。一方、期間特定部２００は、「Ｓｔａｒｔ＿ｔｉｍｅ」が設定されていないと判定した場合（図３４のＳ１６０４の「ＮＯ」）、Ｓ１６０３の処理を行う。
【０１９５】
そして、期間特定部２００は、設定した「Ｓｔａｒｔ＿ｔｉｍｅ」と「Ｅｎｄ＿ｔｉｍｅ」との期間を期間２０６に設定する。
【０１９６】
そして、プロキシログ２０１は、例えば図１７に示すように各エントリがアクセス日時（アクセス時刻）に対応付けられている。
すなわち、プロキシログ取り込み部１０１（図２）は、プロキシサーバ装置６００が行ったアクセス毎にアクセスが行われたアクセス時刻とアクセス先のアドレスとが対応付けられて示されるプロキシログ２０１を入力する。
【０１９７】
そして、プロキシログ取り込み部１０１は、プロキシログ２０１のエントリの内、実施の形態１と同様に、期間２０６に含まれるアクセス時刻が示されるエントリをプロキシログエントリ３０１として抽出する。ここで期間２０６は、前述の通りユーザが端末装置５００の前に存在しないと検知された期間である。
さらに、グレーＵＲＬ特定部１０５は、プロキシログ取り込み部１０１が抽出したプロキシログエントリ３０１を用いてグレーＵＲＬ情報３０５を抽出する。
【０１９８】
すなわち、グレーＵＲＬ特定部１０５は、プロキシログ取り込み部１０１により入力されたプロキシログ２０１に示されるアドレスの内、ユーザの存在を検知する検知装置（期間特定部２００）が、ユーザが端末装置５００の前に存在しないと検知した期間２０６に含まれるアクセス時刻に対応付けられているアドレスを抽出する。
【０１９９】
なお、ブラックＵＲＬ特定部１０８は、実施の形態１と同様に実施の形態３におけるグレーＵＲＬ特定部１０５が抽出したグレーＵＲＬ情報３０５をブラックＵＲＬ情報２５０とし、ブラックＵＲＬ２０８を抽出することも可能である。
【０２００】
（実施の形態３の効果）
実施の形態３の情報漏洩検知システム１００は、端末操作ログ２０３やローカルプロキシログ２０４を使用せずに、ユーザが端末装置５００に座っていない期間を特定することが可能である。そして、実施の形態３の情報漏洩検知システム１００は、調査対象期間をユーザが端末装置５００に座っていない期間、すなわち、ユーザによりブラウザ操作がされていない期間とすることで、抽出されるグレーＵＲＬ情報３０５を絞り込むことが可能である。
すなわち、実施の形態３の情報漏洩検知システム１００は、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。
【０２０１】
なお、実施の形態３における期間特定部２００の処理を実施の形態１と実施の形態２との期間特定部２００に行わせることも可能である。
【０２０２】
実施の形態４．
（実施の形態４における情報漏洩検知システム１００の概要）
実施の形態４の情報漏洩検知システム１００は、端末操作ログ２０３にユーザ操作の履歴が残っている期間以外の期間を調査対象とする。
【０２０３】
なお、実施の形態４の情報漏洩検知システム１００は、図２に示す実施の形態１の情報漏洩検知システム１００と同じ構成である。従って、実施の形態１と同じ構成要素及び、実施の形態１と同じ処理内容については説明を省略する。
【０２０４】
（端末操作ログ取り込み部１０３の処理）
図３５は、端末操作ログ取り込み部１０３の処理の例を示すフローチャートである。
まず、端末操作ログ取り込み部１０３は、実施の形態１と同様に、期間２０６と端末操作ログ２０３とを入力する（図３５のＳ３５０１）。
ここで、期間２０６は「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ １８：００：００」とする。期間２０６は、あらかじめ定義された定義期間である。そして、「２０１１／０６／２３ ０８：００：００」が定義期間の開始時刻であり、「２０１１／０６／２３ １８：００：００」が定義期間の終了時刻である。
そして、端末操作ログ２０３は図３に示す例とする。
【０２０５】
ここで、端末操作ログ２０３は、図３に示すように操作日時と操作タイプと操作内容とが対応付けられている。つまり、端末操作ログ２０３は、ユーザが端末装置５００に対して指示する指示操作と指示操作毎の操作時刻とが対応付けられて示されている。
【０２０６】
そして、ユーザがアドレス指示操作を行った場合、すなわち、ユーザが端末装置５００に対してアクセス先のアドレスを指示すると共に、ユーザが端末装置５００に対して指示したアドレスに端末装置５００がＷｅｂアクセスを行うよう指示した場合、このアドレス指示操作が端末操作ログ２０３（例えば、図３）においては、「Ｗｅｂアクセス」のように表記されている。そして、この場合の図３に示される操作日時は、アドレス指示操作の操作日時である。
つまり、端末操作ログ２０３は、ユーザが端末装置５００に対してアドレス指示操作を行った場合（ユーザが端末装置５００に対してアクセス先のアドレスを指示した場合）に、ユーザが端末装置５００に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて端末装置５００がプロキシサーバ装置６００にアクセス先として通知したアドレスがアドレス指示操作とアドレス指示操作の操作時刻とに対応付けられて示される。
【０２０７】
次に、端末操作ログ取り込み部１０３は、期間を再設定する（図３５のＳ３５０２）。
具体的には、端末操作ログ取り込み部１０３は、操作日時が入力した期間２０６「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ １８：００：００」内である端末操作ログ２０３のエントリの内、最初に記録されたエントリと最後に記録されたエントリとの操作日時を抽出する。
【０２０８】
図３に示す端末操作ログ２０３の場合、端末操作ログ取り込み部１０３は、最初に記録されたエントリの操作日時（最初の操作時刻）として、図３のＤ２０３１に示される「２０１１／０６／２３ ０９：００：００」を抽出する。そして、端末操作ログ取り込み部１０３は、最後に記録されたエントリの操作日時（最後の操作時刻）として、図３のＤ２０３７に示される「２０１１／０６／２３ １６：００：００」を抽出する。
そして、端末操作ログ取り込み部１０３は、「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ ０８：５９：５９」と「２０１１／０６／２３ １６：００：０１〜２０１１／０６／２３ １８：００：００」とを期間２０６として再設定する。この再設定された期間２０６は、非操作期間（後述）に対応する。
【０２０９】
そして、端末操作ログ取り込み部１０３は、再設定した期間２０６を出力する（図３５のＳ３５０３）。
つまり、端末操作ログ取り込み部１０３は、期間２０６を算出する期間算出部に対応する。
【０２１０】
ここで、端末操作ログ取り込み部１０３は、端末操作ログ２０３に示される操作時刻の内、あらかじめ定義された定義期間である期間２０６の開始時刻後の最初の操作時刻と定義期間（期間２０６）の終了時刻前の最後の操作時刻とを抽出している。そして、端末操作ログ取り込み部１０３は、定義期間（期間２０６）の開始時刻から最初の操作時刻までの期間と最後の操作時刻から定義期間（期間２０６）の終了時刻までの期間とから成る非操作期間を算出し、期間２０６として再設定している。
【０２１１】
また、端末操作ログ取り込み部１０３は、図３５のＳ３５０２の処理において、ブラウザの操作記録のあった日時を抽出しても良い。
具体的には、端末操作ログ取り込み部１０３は、操作日時が入力した期間２０６「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ １８：００：００」内であり、ブラウザの操作を示す端末操作ログ２０３のエントリの内、最初に記録されたエントリと最後に記録されたエントリとの操作日時を抽出する。
【０２１２】
図３に示す端末操作ログ２０３の場合、ブラウザの操作を示す端末操作ログ２０３のエントリは、操作タイプが「Ｗｅｂアクセス」となっており、アクセス先のアドレスが操作内容として対応付けられている。
よって、端末操作ログ取り込み部１０３は、最初に記録されたエントリの操作日時（最初のアドレス対応操作時刻）として、図３のＤ２０３２に示される「２０１１／０６／２３ １０：００：００」を抽出する。そして、端末操作ログ取り込み部１０３は、最後に記録されたエントリの操作日時（最後のアドレス対応操作時刻）として、図３のＤ２０３７に示される「２０１１／０６／２３ １６：００：００」を抽出する。
そして、端末操作ログ取り込み部１０３は、「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ ０９：５９：５９」と「２０１１／０６／２３ １６：００：０１〜２０１１／０６／２３ １８：００：００」とを期間２０６として再設定する。この再設定された期間２０６は、非アドレス対応期間（後述）に対応する。
【０２１３】
ここで、端末操作ログ取り込み部１０３は、端末操作ログ２０３に示される操作時刻の内、定義期間（期間２０６）の開始時刻後の操作時刻であってアドレスが対応付けられている最初の操作時刻である最初のアドレス対応操作時刻と、定義期間（期間２０６）の終了時刻前の操作時刻であってアドレスが対応付けられている最後の操作時刻である最後のアドレス対応操作時刻とを抽出する。そして、端末操作ログ取り込み部１０３は、定義期間（期間２０６）の開始時刻から最初のアドレス対応操作時刻までの期間と最後のアドレス対応操作時刻から定義期間（期間２０６）の終了時刻までの期間とから成る非アドレス対応期間を算出し、期間２０６として再設定している。
【０２１４】
一方、プロキシログ取り込み部１０１、ローカルプロキシログ取り込み部１０４は端末操作ログ取り込み部１０３が再設定した期間２０６（非操作期間もしくは非アドレス対応期間のいずれか）を入力する。
そして、再設定された期間２０６に基づき、プロキシログ取り込み部１０１は、実施の形態１での説明と同様にプロキシログエントリ３０１を抽出する。
そして、グレーＵＲＬ特定部１０５は、再設定された期間２０６に基づいたプロキシログエントリ３０１からグレーＵＲＬ情報３０５を抽出する。
【０２１５】
すなわち、グレーＵＲＬ特定部１０５は、端末操作ログ取り込み部１０３により非操作期間が算出された場合に、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるアドレスの内、非操作期間に含まれるアクセス時刻が対応付けられているアドレスを抽出する。そして、グレーＵＲＬ特定部１０５は、端末操作ログ取り込み部１０３により非アドレス対応期間が算出された場合に、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるアクセス時刻に対応付けられているアドレスの内、非アドレス対応期間に含まれるアクセス時刻に対応付けられているアドレスを抽出する。
【０２１６】
また、端末操作ログ取り込み部１０３も、再設定された期間２０６に基づき、ＷｅｂアクセスＵＲＬ情報３０３を抽出し、ローカルプロキシログ取り込み部１０４も再設定された期間２０６に基づき、ローカルプロキシログエントリ３０４を抽出する。
【０２１７】
（実施の形態４の効果）
実施の形態４の情報漏洩検知システム１００は、ユーザが端末操作を行った期間を除外した期間について、マルウェアによるＷｅｂ通信のアクセス先アドレスを抽出する。また、実施の形態４の情報漏洩検知システム１００は、ユーザがブラウザ操作を行った期間を除外した期間について、マルウェアによるＷｅｂ通信のアクセス先アドレスを抽出する。
つまり、実施の形態４の情報漏洩検知システム１００は、ユーザが端末装置５００やブラウザを操作していない期間に発生した通信のログ、すなわち、マルウェアによるＷｅｂ通信の可能性が高いログに絞り込んでマルウェアによるＷｅｂ通信のアクセス先アドレスを抽出する。
すなわち、実施の形態４の情報漏洩検知システム１００は、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。
【０２１８】
なお、実施の形態４における端末操作ログ取り込み部１０３の処理を、実施の形態１〜３の端末操作ログ取り込み部１０３に行わせることも可能である。
【０２１９】
実施の形態５．
（実施の形態５〜８における情報漏洩検知システム１００の共通部分の説明）
実施の形態５の情報漏洩検知システム１００の説明の前に、実施の形態５〜８における情報漏洩検知システム１００の共通部分の説明を行う。
実施の形態５〜８における情報漏洩検知システム１００は、実施の形態１〜４いずれかのブラックＵＲＬ特定部１０８が抽出したブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補の内、所定の条件に合致するＵＲＬを条件合致アドレスとして特定し、条件合致アドレスをブラックＵＲＬ２０８として出力する。すなわち、ブラックＵＲＬ２０８は条件合致アドレスに対応する。
【０２２０】
すなわち、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補の内、少なくとも所定の条件に合致する所定のアドレスを条件合致アドレスとして特定する条件合致アドレス特定部に対応する。
【０２２１】
そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。すなわち、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する情報入力部に対応する。
【０２２２】
ここで、ブラック判定条件２０７とは、ブラックＵＲＬ候補からブラックＵＲＬ２０８を特定する為の所定の条件である。
ブラック判定条件２０７は、数種類存在し、あらかじめ例えばユーザによって設定され、例えば情報漏洩検知システム１００の記憶装置に記憶されている。そして例えばユーザは情報漏洩検知システム１００のキーボードなどの入力装置を用いて、記憶されている数種類のブラック判定条件２０７の中から少なくとも１つのブラック判定条件２０７を選択して入力する。ここで、ユーザは、記憶されている数種類のブラック判定条件２０７の中から複数のブラック判定条件２０７を組み合わせて入力することも可能である。
【０２２３】
そして、ブラックＵＲＬ特定部１０８は、入力したブラック判定条件２０７に対応してあらかじめ設定された処理を実行する。
また、ブラックＵＲＬ特定部１０８が、複数の（例えば２つの）ブラック判定条件２０７を入力した場合、ブラックＵＲＬ特定部１０８は、まず第１のブラック判定条件２０７に対応してブラックＵＲＬ候補の中から条件合致アドレス（ブラックＵＲＬ２０８）を特定する。そして、更に、ブラックＵＲＬ特定部１０８は、第１のブラック判定条件２０７によって特定された条件合致アドレス（ブラックＵＲＬ２０８）の中から、第２のブラック判定条件２０７に対応して、条件合致アドレス（ブラックＵＲＬ２０８）を特定することが可能である。
【０２２４】
なお、実施の形態５〜８の情報漏洩検知システム１００は、図２に示す実施の形態１の情報漏洩検知システム１００と同じ構成である。従って、実施の形態１と同じ構成要素及び、実施の形態１と同じ処理内容については説明を省略する。
以降、実施の形態５〜８の各実施の形態について説明を行う。
【０２２５】
（実施の形態５におけるブラックＵＲＬ特定部１０８の処理）
図３６は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜４いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。更に、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する（図３６のＳ１１０１）。
【０２２６】
ここで、ブラックＵＲＬ特定部１０８は、「端末装置５００のアクセス先のウェブページの提供元が属する国が、不正アクセスの多い国のブラックリストに含まれているか否か」というブラック判定条件２０７を入力する。
更に、ブラックＵＲＬ特定部１０８は、「不正アクセスの多い国のブラックリスト」の情報も入力する。
【０２２７】
不正アクセスの多い国は傾向として決まっているので、例えば、Ａ国、Ｂ国、Ｃ国を不正アクセスの多い国として「不正アクセスの多い国のブラックリスト」に定義することが可能である。
そして、「不正アクセスの多い国のブラックリスト」は、あらかじめ特定された国が示される特定国情報に対応する。
【０２２８】
そして、インターネット上には、例えば「ｈｔｔｐ：／／○○○．７８９−ｓａｍｐｌｅ．△△△／」というＵＲＬを入力すると、そのＵＲＬのウェブページがホストされている国（アドレスのウェブページの提供元が属する国）の情報を出力するインターネットサービスが存在する。このサービスを外部サービス２０９（図２）と称する。このアドレスのウェブページの提供元が属する国が示される情報を「提供国情報」と称する。
【０２２９】
そして、ブラックＵＲＬ特定部１０８は、インターネットを介し、ブラックＵＲＬ候補を外部サービス２０９に入力する。そして、ブラックＵＲＬ特定部１０８は、外部サービス２０９からの提供国情報を入力し、ブラックＵＲＬ候補のホスト国を特定する（図３６のＳ１１０２）。
すなわち、ブラックＵＲＬ特定部１０８は、抽出したブラックＵＲＬ候補毎（アドレス毎）の提供国情報を入力する。
【０２３０】
そして、ブラックＵＲＬ特定部１０８は特定したブラックＵＲＬ候補のホスト国が、「不正アクセスの多い国のブラックリスト」に含まれているか否かを判定する（図３６のＳ１１０３）。
ここで、例えば、特定したブラックＵＲＬ候補のホスト国がＡ国の場合、ブラックリストに含まれているので（図３６のＳ１１０３の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補をブラックＵＲＬ２０８として出力する（図３６のＳ１１０４）。一方、特定したブラックＵＲＬ候補のホスト国がＸ国の場合、ブラックリストに含まれていないので（図３６のＳ１１０３の「ＮＯ」）、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補をブラックＵＲＬ２０８として出力しない。
【０２３１】
すなわち、ブラックＵＲＬ特定部１０８は、入力された提供国情報に示される国の中で、「不正アクセスの多い国のブラックリスト」に示されるいずれかの国に合致する国が提供しているウェブページのアドレスをブラックＵＲＬ２０８として特定する。
【０２３２】
（実施の形態５の効果）
マルウェアの通信先のＣ＆Ｃサーバは不正アクセスの多い特定の国に存在することがある。そして、実施の形態５の情報漏洩検知システム１００は、ブラックＵＲＬ候補から、不正アクセスの多い特定の国をホスト国としたウェブページのＵＲＬであるか否かをブラック判定条件２０７として、ブラックＵＲＬ２０８を絞り込む。その為、実施の形態５の情報漏洩検知システム１００は、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。
【０２３３】
実施の形態６．
（実施の形態６における情報漏洩検知システム１００の概要）
実施の形態６の情報漏洩検知システム１００は、ブラック判定条件２０７として、ブラックＵＲＬ候補のウェブページへのアクセス数を用いる。具体的には、「今までアクセス数が少なかったブラックＵＲＬ候補において、急にアクセス数が一定期間増加し、その後また減少したか否か」をブラック判定条件２０７とする。
【０２３４】
（ブラックＵＲＬ特定部１０８の処理）
図３７は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
図３８は、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図である。
【０２３５】
なお、図２において図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１を入力することが可能である。ここで、ブラックＵＲＬ特定部１０８は、プロキシログ取り込み部１０１が入力したプロキシログ２０１をプロキシログ取り込み部１０１から入力しても良い。
また、プロキシログ２０１は、図１７に示す通り、プロキシサーバ装置６００が行ったアクセス毎にアクセス先のアドレスと通信サイズ（アクセス時のデータ通信量）とが対応付けられて示されている。
【０２３６】
まず、ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜４いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。更に変数ｎを「０」で初期化する（図３７のＳ１２０１）。
【０２３７】
ここでブラック判定条件２０７は、前述の通り「今までアクセス数が少なかったブラックＵＲＬ候補において、急にアクセス数が一定期間増加し、その後また減少したか否か」である。
【０２３８】
そして、ブラックＵＲＬ特定部１０８は、入力したプロキシログ２０１から各ブラックＵＲＬ候補に対する日毎のアクセス数をあらかじめ定められた集計期間において集計する（図３７のＳ１２０２）。この集計期間はあらかじめ情報漏洩検知システム１００の記憶装置に記憶されていても良いし、ユーザが情報漏洩検知システム１００の入力装置を用いて入力しても良い。
ここで、ブラックＵＲＬ特定部１０８が集計するアクセス数は、日毎に限らず、単位時間毎であれば、３日間毎であっても、１週間毎であっても良い。ここでは、ブラックＵＲＬ特定部１０８は、日毎にアクセス数を集計するものとして説明を進める。
すなわち、ブラックＵＲＬ特定部１０８は、各アドレスに対する単位時間毎のアクセス数を算出する通信量算出部に対応する。
【０２３９】
なお、図３７において図示は、省略するがＳ１２０２〜Ｓ１２０７の処理は、各ブラックＵＲＬ候補に対して行われる。
【０２４０】
そして、ブラックＵＲＬ特定部１０８は、集計したアクセス数が過去は少なく、その後増加したか否かを判定する（図３７のＳ１２０３）。
ここで、ブラックＵＲＬ特定部１０８は、アクセス数があらかじめ情報漏洩検知システム１００の記憶装置に記憶されている閾値（「アクセス数の第１の閾値」と称する）よりも少ない場合に、「アクセス数が少ない」と判定する。そして、ブラックＵＲＬ特定部１０８は、アクセス数が「アクセス数の第１の閾値」以上の場合に、「アクセス数が増加した」と判定する。
【０２４１】
そして、「アクセス数が増加していない」場合（図３７のＳ１２０３の「ＮＯ」）、ブラックＵＲＬ特定部１０８は、判定対象のＵＲＬについて処理を終了し、未判定のブラックＵＲＬ候補について、同様の処理を行う。
【０２４２】
そして、ブラックＵＲＬ特定部１０８が「アクセス数が増加した」と判定した場合（図３７のＳ１２０３の「ＹＥＳ」）、アクセス数が集計された日を基準日とする。
【０２４３】
ここで、基準日が現在である場合を想定する。
その場合、ブラックＵＲＬ特定部１０８は、変数ｎをインクリメント（ｎ＝ｎ＋１と）する（図３７のＳ１２０４）。
【０２４４】
そして、ブラックＵＲＬ特定部１０８は新たにｎ日後のプロキシログ２０１を入力し、ｎ日後のアクセス数を集計する。
そして、ブラックＵＲＬ特定部１０８は、ｎ日後のアクセス数が基準日のアクセス数と同等又は増加しているか否かを判定する（図３７のＳ１２０５）。ここで、ブラックＵＲＬ特定部１０８は、アクセス数が「アクセス数の第１の閾値」以上の場合に、「基準日のアクセス数と同等又は増加している」と判定する。
【０２４５】
基準日のアクセス数と同等又は増加している場合（図３７のＳ１２０５の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、変数ｎを更にインクリメントする（図３７のＳ１２０４）。すなわち、ブラックＵＲＬ特定部１０８は更に１日後のアクセス数を集計する。
【０２４６】
一方、アクセス数が「アクセス数の第１の閾値」より少ない場合（図３７のＳ１２０５の「ＮＯ」）、ブラックＵＲＬ特定部１０８はアクセス数が基準日以前のアクセス数と同等か否かを判定する（図３７の１２０６）。
ここで、ブラックＵＲＬ特定部１０８は、例えば、基準日以前の日毎のアクセス数の平均ｘと標準偏差σとを記憶しており、例えばアクセス数が「ｘ±３σ」以内であれば、基準日以前のアクセス数を同等と判定する。
【０２４７】
そして、アクセス数が基準日以前のアクセス数と同等の場合（図３７のＳ１２０６の「ＹＥＳ」）、図示は省略するが、あらかじめ設定された所定の日数においてアクセス数が「アクセス数の第１の閾値」以上であったか否かを判定する。そして、アクセス数が所定の日数において「アクセス数の第１の閾値」以上であったブラックＵＲＬ候補をブラックＵＲＬ２０８として出力する。
【０２４８】
そして、アクセス数が基準日以前のアクセス数と同等でない場合（図３７のＳ１２０６の「ＮＯ」）、ブラックＵＲＬ特定部１０８は、変数ｎを更にインクリメントする（図３７のＳ１２０４）。
【０２４９】
図３８を用いて具体例を説明する。
例えば、ブラックＵＲＬ特定部１０８は、あるブラックＵＲＬ候補に対するアクセス数を現在から、３０日分さかのぼって、日毎に集計したとする。
その結果、２９日目まではアクセス数は「０」であるが、３０日目（現在）にアクセス数が「１２」に増加している。ここで、例えば、「アクセス数の第１の閾値」は「１０」であるとする。
その後数日間において、ブラックＵＲＬ特定部１０８は、アクセス数を集計した結果、３３日目（現在から３日後）にアクセス数が「０」に戻っている。
この図３８の例のように、ブラックＵＲＬ特定部１０８は図３７の処理によって、判定対象のブラックＵＲＬ候補に対するアクセス数が、過去は少なく、かつ、所定の日数の間増加し、かつ、その後減少するか否かを判定している。
【０２５０】
ここで、所定の日数は、例えば情報漏洩検知システム１００の記憶装置に記憶されており、ここでは所定の日数が「５日」とする。
特定のマルウェアは、インターネット上のＣ＆Ｃサーバと短期間に継続的に通信することが知られている。したがって、例えば５日以内に集中的にアクセス数が増加したアクセスは、マルウェアによるアクセスと考えられる。
【０２５１】
具体例では、基準日が現在の場合を説明したが、基準日が過去であっても構わない。
すなわち、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補に対するアクセス数が、過去は少なく、かつ、基準日から所定の日数において増加し、かつ、その後減少するか否かを判定出来れば良い。
【０２５２】
すなわち、ブラックＵＲＬ特定部１０８は、あらかじめ定義された所定の期間においてのみ日毎（単位時間毎）のアクセス数が、アクセス数の第１の閾値以上となるＵＲＬをブラックＵＲＬ２０８として特定している。
【０２５３】
ブラックＵＲＬ特定部１０８は、アクセス数の時系列の変化を自動判定するために、ＡＲＭＡ（ＡｕｔｏＲｅｇｒｅｓｓｉｖｅ Ｍｏｖｉｎｇ Ａｖｅｒａｇｅ）などを利用した公知の方式を使用しても良い。そして、ブラックＵＲＬ特定部１０８は、ＡＲＭＡによりアクセス数の変化が見つかったブラックＵＲＬ候補をブラックＵＲＬ２０８と特定しても良い。
【０２５４】
更に、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補に対する通信量に基づいて、ブラックＵＲＬ２０８を特定しても良い。
【０２５５】
その場合、ブラック判定条件２０７は、「今まで通信量が少なかったブラックＵＲＬ候補において、急に通信量が一定期間増加し、その後また減少したか否か」となる。
前述の通りプロキシログ２０１（図１７）には、通信サイズ（通信量）が示されている為、ブラックＵＲＬ特定部１０８は、各ブラックＵＲＬ候補に対して、例えば日毎の通信量を集計することが可能である。
すなわち、ブラックＵＲＬ特定部１０８は、プロキシログ２０１から各ブラックＵＲＬ候補に対する単位時間毎のデータ通信量を算出する。
【０２５６】
そして、詳細な説明は省略するが、ブラックＵＲＬ特定部１０８は図３７の処理においてアクセス数の代わりに、通信量を用いてブラックＵＲＬ２０８を特定する。
すなわち、ブラックＵＲＬ特定部１０８は、あらかじめ定義された所定の期間においてのみ日毎（単位時間毎）のデータ通信量が、データ通信量の第１の閾値以上となるＵＲＬをブラックＵＲＬ２０８として特定する。
【０２５７】
（実施の形態６の効果）
前述の通り、マルウェアとＣ＆Ｃサーバとのアクセス数またはデータ通信量は、短期間に増加することが知られている。実施の形態６の情報漏洩検知システム１００は、短期間にアクセス数またはデータ通信量が増加するアクセス先のＵＲＬを特定することで、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。
【０２５８】
実施の形態７．
（実施の形態７における情報漏洩検知システム１００の概要）
実施の形態７の情報漏洩検知システム１００は、ブラック判定条件２０７として、ブラックＵＲＬ候補のウェブページへのアクセス数を用いる。具体的には、「ブラックＵＲＬ候補との通信において、周期的にアクセスが発生しているか否か」をブラック判定条件２０７とする。
【０２５９】
（ブラックＵＲＬ特定部１０８の処理）
図３９は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
図４０は、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図である。
【０２６０】
なお、図２において図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１を入力することが可能である。ここで、ブラックＵＲＬ特定部１０８は、プロキシログ取り込み部１０１が入力したプロキシログ２０１をプロキシログ取り込み部１０１から入力しても良い。
【０２６１】
まず、ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜４いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。（図３９のＳ１３０１）。
【０２６２】
ここでブラック判定条件２０７は、前述の通り「ブラックＵＲＬ候補との通信において、周期的にアクセスが発生しているか否か」である。
【０２６３】
そして、ブラックＵＲＬ特定部１０８は、入力したプロキシログ２０１から各ブラックＵＲＬ候補に対する単位時間毎のアクセス数をあらかじめ定められた集計期間において集計する（図３９のＳ１３０２）。
ここで、単位時間毎のアクセス数をＭｉ（ｉ＝１〜ｋ）とする。例えば、ブラックＵＲＬ特定部１０８は、１分間毎のアクセス数を集計するとした場合、Ｍ１は、集計期間ｋ分間の内の最初の１分間（１分目）のアクセス数の集計、Ｍ２は次の１分間（２分目）のアクセス数の集計を意味する。
【０２６４】
なお、図３９において図示は、省略するがＳ１３０２〜Ｓ１３０４の処理は、各ブラックＵＲＬ候補に対して行われる。
【０２６５】
次に、ブラックＵＲＬ特定部１０８は、アクセス数の集計結果Ｍｉ（ｉ＝１〜ｋ）を時系列で並べた場合に周期的であるか否かを判定する（図３９のＳ１３０３）。
ここで、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が周期的にあらかじめ情報漏洩検知システム１００の記憶装置に記憶されている閾値（「アクセス数の第２の閾値」と称する）以上となっているか否かを判定する。つまり、ブラックＵＲＬ特定部１０８は、周期的にアクセスが発生しているか否かを判定している。
あるいは、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が周期的に同じ値となっているか否かを判定しても良い。また、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が周期的に「アクセス数の第２の閾値」以上の同じ値となっているか否かを判定しても良い。
周期的にアクセスが発生している場合（図３９のＳ１３０３の「ＹＥＳ」）、判定対象のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定し、出力する（図３９のＳ１３０４）。
【０２６６】
すなわち、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が一定周期毎にあらかじめ定義されたアクセス数の第２の閾値以上となるブラックＵＲＬ候補をブラックＵＲＬ２０８として特定している。
【０２６７】
図４０を用いて、具体例を説明する。
例えば図４０は、ブラックＵＲＬ特定部１０８が、あるブラックＵＲＬ候補に対する１分間毎のアクセス数を集計したものである。
そして、集計期間は、例えば、１日（２４時間×６０分＝１４４０分間）としている。
ブラックＵＲＬ特定部１０８は、図４０に示す集計結果において、２分に１回１アクセスが発生しており、周期的にアクセスが発生していると判定する。ここで「アクセス数の第２の閾値」は「１アクセス」とする。
【０２６８】
特定のマルウェアは、インターネット上のＣ＆Ｃサーバとの接続を確認するために定期的に通信することが知られている。したがって、例えば周期的に１回以上のアクセス数が示されるアクセスは、マルウェアによるアクセスと考えられる。
【０２６９】
ブラックＵＲＬ特定部１０８は、アクセス数の時系列の周期的な変化を自動判定する公知のアルゴリズムを使用しても良い。そして、ブラックＵＲＬ特定部１０８は、公知のアルゴリズムにより周期的なアクセス数の変化が見つかったブラックＵＲＬ候補をブラックＵＲＬ２０８と特定しても良い。
【０２７０】
更に、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補に対する通信量に基づいて、ブラックＵＲＬ２０８を特定しても良い。
【０２７１】
その場合、ブラックＵＲＬ特定部１０８は、プロキシログ２０１から各ブラックＵＲＬ候補に対する単位時間毎のデータ通信量を算出する。
【０２７２】
そして、詳細な説明は省略するが、ブラックＵＲＬ特定部１０８は図３９の処理においてアクセス数の代わりに、通信量を用いてブラックＵＲＬ２０８を特定する。
すなわち、ブラックＵＲＬ特定部１０８は、単位時間毎のデータ通信量が一定周期毎にあらかじめ定義されたデータ通信量の第２の閾値以上となるブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。
【０２７３】
（実施の形態７の効果）
前述の通り、マルウェアとＣ＆Ｃサーバとのアクセスは、周期的に行われることが知られている。実施の形態７の情報漏洩検知システム１００は、周期的にアクセスが行われるアクセス先のＵＲＬを特定することで、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。
【０２７４】
実施の形態８．
（実施の形態８における情報漏洩検知システム１００の概要）
実施の形態８の情報漏洩検知システム１００は、ブラック判定条件２０７として、端末装置５００（プロキシサーバ装置６００）とブラックＵＲＬ候補のウェブページとの間のＷｅｂ通信におけるリクエストサイズとレスポンスサイズとを用いる。具体的には、「ブラックＵＲＬ候補において、通信のリクエストサイズとレスポンスサイズが閾値未満か否か」をブラック判定条件２０７とする。
【０２７５】
（ブラックＵＲＬ特定部１０８の処理）
図４１は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
【０２７６】
なお、図２において図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１（図１７）を入力することが可能である。ここで、ブラックＵＲＬ特定部１０８は、プロキシログ取り込み部１０１が入力したプロキシログ２０１をプロキシログ取り込み部１０１から入力しても良い。
【０２７７】
まず、ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜４いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。（図４１のＳ１４０１）。
【０２７８】
ここでブラック判定条件２０７は、前述の通り「ブラックＵＲＬ候補において、通信のリクエストサイズとレスポンスサイズが閾値未満か否か」である。
また、ブラックＵＲＬ特定部１０８は、例えば情報漏洩検知システム１００の記憶装置に記憶されているリクエストサイズの閾値「αＫＢ」とレスポンスサイズの閾値「βＫＢ」とを入力する。あるいは例えばユーザが情報漏洩検知システム１００の入力装置を用いて、リクエストサイズの閾値とレスポンスサイズの閾値とを入力しても良い。
【０２７９】
ここで、ユーザがブラウザを用いて行うＷｅｂサイトの閲覧では、リクエストに対するレスポンスは何かしらの文字列を含むコンテンツであるため、ある程度以上のレスポンスサイズになり、「βＫＢ」未満にはならない。また、ユーザがブラウザを用いて行うＷｅｂサイトの閲覧におけるリクエストの場合もヘッダに情報が付与され、リクエストサイズは「αＫＢ」未満にならない。
そして、あらかじめユーザが、Ｗｅｂサイトへのアクセスにおけるリクエストサイズとレスポンスサイズとの統計データを取得し、αとβとの値を設定しておく。
【０２８０】
そして、ブラックＵＲＬ特定部１０８は、入力したプロキシログ２０１から、各ブラックＵＲＬ候補のリクエストサイズとレスポンスサイズとを抽出する（図４１のＳ１４０２）。
ここで、図１７における図示は省略するが、プロキシログ２０１には、各アクセス毎のリクエストサイズとレスポンスサイズとが示される。
すなわち、プロキシログ２０１は、プロキシサーバ装置６００が行ったアクセス毎に、アクセス先のアドレスと、プロキシサーバ装置６００からアクセス先へ送信したデータのサイズであるリクエストサイズと、プロキシサーバ装置６００がアクセス先から受信したデータのサイズであるレスポンスサイズとが対応付けられて示される。
なお、１つのブラックＵＲＬ候補に対して複数のアクセスが有る場合は、ブラックＵＲＬ特定部１０８は、リクエストサイズとレスポンスサイズとの最小値を抽出する。
【０２８１】
なお、図４１において図示は、省略するがＳ１４０２〜Ｓ１４０５の処理は、各ブラックＵＲＬ候補に対して行われる。
【０２８２】
次に、ブラックＵＲＬ特定部１０８は、抽出したリクエストサイズが閾値「αＫＢ」未満か否かを判定する（図４１のＳ１４０３）。
リクエストサイズが閾値「αＫＢ」未満の場合（図４１のＳ１４０３の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、抽出したレスポンスサイズが閾値「βＫＢ」未満か否かを判定する（図４１のＳ１４０４）。
そして、ブラックＵＲＬ特定部１０８は、レスポンスサイズが閾値「βＫＢ」未満の場合（図４１のＳ１４０４の「ＹＥＳ」）、判定対象のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定し、出力する（図４１のＳ１４０５）。
すなわち、ブラックＵＲＬ特定部１０８は、リクエストサイズが閾値「αＫＢ」未満、かつ、レスポンスサイズが閾値「βＫＢ」未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。
【０２８３】
すなわち、ブラックＵＲＬ特定部１０８は、プロキシログ２０１からブラックＵＲＬ候補と対応付けられているレスポンスサイズとリクエストサイズとをアクセス単位で抽出（特定）する。そして、抽出したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満であり、リクエストサイズがあらかじめ定義されたリクエストサイズの閾値未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。
【０２８４】
ここで、マルウェアによるＷｅｂ通信はレスポンスのみが小さいこともあるので、ブラックＵＲＬ特定部１０８は、図４１のＳ１４０３の判定は行わず、Ｓ１４０４の判定のみを行うだけでも良い。すなわち、ブラックＵＲＬ特定部１０８は、レスポンスサイズが閾値「βＫＢ」未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。
【０２８５】
すなわち、ブラックＵＲＬ特定部１０８は、プロキシログ２０１からブラックＵＲＬ候補と対応付けられているレスポンスサイズをアクセス単位で抽出（特定）する。そして、抽出したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。
【０２８６】
（実施の形態８の効果）
特定のマルウェアは、インターネット上のＣ＆Ｃサーバとの接続を確認するために定期的に通信することが知られている。そして、前述の通り、その場合の通信データのサイズ（リクエストサイズとレスポンスサイズ）は、ユーザがブラウザを用いて行うＷｅｂサイトの閲覧の場合と比べて、少ない。従って、実施の形態８の情報漏洩検知システム１００は、リクエストサイズとレスポンスサイズとが閾値より少ないアクセスが行われるアクセス先のＵＲＬを特定することで、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。
【０２８７】
実施の形態９．
（実施の形態９における情報漏洩検知システム１００の概要）
実施の形態１と実施の形態３と実施の形態４とにおいて、端末操作ログ２０３（図３）には、端末装置５００がプロキシサーバ装置６００に通知したＵＲＬが記録されると説明した。
しかし、端末操作記録アプリケーションによっては、端末操作ログ２０３にＵＲＬではなく、端末装置５００（プロキシサーバ装置６００）がアクセスしたＷｅｂサイトのトップページのタイトルが、ウィンドウタイトルとして記録される場合がある。
実施の形態９の情報漏洩検知システム１００は、端末操作ログ２０３に記録されたＷｅｂサイトのトップページのタイトルと一致するタイトルをローカルプロキシログ２０４（図６）に記録されたコンテンツから検索する。そして、実施の形態９の情報漏洩検知システム１００は、ローカルプロキシログ２０４（図６）に記録されたコンテンツにおいて、一致したタイトルに対応付けられたＵＲＬをＷｅｂサイトのトップページのＵＲＬとして特定する。
【０２８８】
（端末操作ログ取り込み部１０３の処理）
図４２は、ＷｅｂアクセスＵＲＬ情報３０３の例を示す図である。
端末操作ログ取り込み部１０３は、端末操作ログ２０３の一例として、例えば図３のＤ２０３２の行に示すエントリの操作内容が、ＵＲＬではなく、Ｗｅｂサイトのタイトルとなっている端末操作ログ２０３を入力する。つまり、端末操作ログ取り込み部１０３は、「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ＵｓｅｒＩＤ１２３４、Ｗｅｂアクセス、サンプルサイト」を入力する。ここで、「サンプルサイト」は、Ｗｅｂサイト（コンテンツ）のタイトル名である。
【０２８９】
すなわち、端末操作ログ取り込み部１０３は、ユーザの操作により端末装置５００がプロキシサーバ装置６００に通知したアドレスに基づいてプロキシサーバ装置６００が行ったアクセスのアクセス先のウェブページのタイトルが示される端末操作ログ２０３を入力する。
【０２９０】
そして、端末操作ログ取り込み部１０３は、実施の形態１と同様に、端末操作ログ２０３からＷｅｂアクセスＵＲＬ情報３０３を抽出し、出力する。ＷｅｂアクセスＵＲＬ情報３０３の例を図４２に示す。図４２に示すＷｅｂアクセスＵＲＬ情報３０３は、端末操作ログ２０３と同様に、ＵＲＬではなく、Ｗｅｂサイト（コンテンツ）のタイトル名が示されている。
【０２９１】
（ローカルプロキシログ取り込み部１０４の処理）
図４３は、コンテンツ実体３５０の例を示す図である。
ローカルプロキシログ取り込み部１０４は、実施の形態１と同様に、ローカルプロキシログ２０４（図６）を入力し、入力したローカルプロキシログ２０４からローカルプロキシログエントリ３０４（図９）を抽出し、出力する。
ここで、ローカルプロキシログエントリ３０４（図９）に含まれるコンテンツ実体３５０は、例えば図４３のようになっている。つまり、コンテンツ実体３５０にＷｅｂサイト（コンテンツ）のタイトル名が示されている。
そして、例えば図９のローカルプロキシログエントリ３０４ａには、Ｗｅｂサイト（コンテンツ）のタイトル名が示されているコンテンツ実体３５０と、ＵＲＬ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」とが対応付けられている。
【０２９２】
ここで、Ｗｅｂサイト（プロキシサーバ装置６００が行ったアクセスのアクセス先のウェブページ）のタイトルと、ＵＲＬ（アクセス先のアドレス）とが対応付けて示されるローカルプロキシログエントリ３０４をローカルプロキシ情報と称する。
そして、ローカルプロキシログ２０４（図６）にはローカルプロキシ情報が少なくとも１つ以上含まれている。
なお、プロキシサーバ装置６００は、前述の通り、端末装置５００がローカルプロキシ５５０を利用してプロキシサーバ装置６００に通知したアドレスに基づいてアクセスを行う。
【０２９３】
（トップページＵＲＬ特定部１０６の処理）
図４４は、トップページＵＲＬ特定部１０６の処理の例を示す図である。
【０２９４】
トップページＵＲＬ特定部１０６は、実施の形態１と同様にＷｅｂアクセスＵＲＬ情報３０３（図４２）とローカルプロキシログエントリ３０４（図９）とを入力する。ここでローカルプロキシログエントリ３０４（図９）に含まれるコンテンツ実体３５０は、前述の図４３の例とする。
【０２９５】
そして、図４４における図示は省略するが、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３（図４２）に含まれる全てのエントリに対して、図４４の処理を行う。
ここでは、図４２のＤ６０３１に示すＷｅｂアクセスＵＲＬ情報３０３のエントリを例に説明を行う。
【０２９６】
すなわち、トップページＵＲＬ特定部１０６は、図４２のＤ６０３１に示すＷｅｂアクセスＵＲＬ情報３０３のエントリを入力し、Ｗｅｂサイトのタイトル「サンプルサイトａｂｃ−ｓａｍｐｌｅ」を抽出する。また、トップページＵＲＬ特定部１０６は、操作日時である「２０１１／０６／２３ １０：００：００」を抽出する。
【０２９７】
そして、トップページＵＲＬ特定部１０６は、ローカルプロキシログエントリ３０４を全て入力したか否かを判定する（図４４のＳ１５０１）。
トップページＵＲＬ特定部１０６は、全てのローカルプロキシログエントリ３０４を入力していなければ（図４４のＳ１５０１の「ＮＯ」）、入力していないローカルプロキシログエントリ３０４を例えばアクセス日時の時系列順に入力する（図４４のＳ１５０２）。
ここで、例えば、トップページＵＲＬ特定部１０６は、図９のローカルプロキシログエントリ３０４ａ「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、ＧＥＴ、２００、１０００、コンテンツ実体」を入力したとする。
【０２９８】
そして、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３から抽出したタイトルが、コンテンツ実体３５０に含まれるか否かを判定する。
具体的には、図４３に示すコンテンツ実体３５０において、＜ｔｉｔｌｅ＞タグと＜／ｔｉｔｌｅ＞タグとで囲われている文字列を抽出し、ＷｅｂアクセスＵＲＬ情報３０３から抽出した「サンプルサイトａｂｃ−ｓａｍｐｌｅ」と比較する。
【０２９９】
更に、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３から抽出した操作日時「２０１１／０６／２３ １０：００：００」が、図９のローカルプロキシログエントリ３０４ａのアクセス日時と一致するか否かを判定する（図４４のＳ１５０３）。
【０３００】
そして、ＷｅｂアクセスＵＲＬ情報３０３から抽出したタイトルが、コンテンツ実体３５０に含まれ、ＷｅｂアクセスＵＲＬ情報３０３から抽出した操作日時が、ローカルプロキシログエントリ３０４ａのアクセス日時と一致するので（図４４のＳ１５０３の「ＹＥＳ」）、トップページＵＲＬ特定部１０６は、ローカルプロキシログエントリ３０４ａに示されるＵＲＬ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」を抽出する。このトップページＵＲＬ特定部１０６が抽出したＵＲＬをトップページＵＲＬと称する。
そして、トップページＵＲＬ特定部１０６は、このトップページＵＲＬと、ローカルプロキシログエントリ３０４に示されるアクセス日時と端末識別子とメソッドとステータスと通信量とをトップページＵＲＬ情報３０６として出力する。
【０３０１】
一方、ＷｅｂアクセスＵＲＬ情報３０３から抽出したタイトルが、コンテンツ実体３５０に含まれない、もしくは、ＷｅｂアクセスＵＲＬ情報３０３から抽出した操作日時が、ローカルプロキシログエントリ３０４ａのアクセス日時と一致しない場合（図４４のＳ１５０３の「ＮＯ」）、トップページＵＲＬ特定部１０６は再度Ｓ１５０１の処理を行う。
【０３０２】
すなわち、トップページＵＲＬ特定部１０６は、ローカルプロキシ情報（ローカルプロキシログエントリ３０４）のコンテンツ実体３５０に示されるタイトルの内、端末操作ログ２０３に示されるタイトルに合致するタイトルが示されるローカルプロキシ情報（ローカルプロキシログエントリ３０４）を抽出する。つまりトップページＵＲＬ特定部１０６は、ローカルプロキシ情報抽出部に対応する。
【０３０３】
そして、図４４のＳ１５０４の処理は実施の形態１と同様であるため、説明を省略する。
【０３０４】
また、ブラックＵＲＬ特定部１０８は、実施の形態１と同様にプロキシログ２０１（図１７）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２と、ブラウザアクセスＵＲＬ情報３０７とのいずれにも示されていないＵＲＬを抽出する。ここで、ブラウザアクセスＵＲＬ情報３０７はトップページＵＲＬ特定部１０６に抽出されたローカルプロキシログエントリ３０４（ローカルプロキシ情報）から生成される。
したがって、換言すると、ブラックＵＲＬ特定部１０８は、プロキシログ２０１（図１７）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２と、トップページＵＲＬ特定部１０６に抽出されたローカルプロキシログエントリ３０４（ローカルプロキシ情報）とのいずれにも示されていないアドレスを抽出する。
【０３０５】
なお、実施の形態５〜８の情報漏洩検知システム１００は、実施の形態９のブラックＵＲＬ特定部１０８が抽出したブラックＵＲＬ２０８をブラックＵＲＬ候補として処理を行っても良い。
【０３０６】
（実施の形態９の効果）
前述のように端末操作記録アプリケーションによっては、端末操作ログ２０３にＵＲＬが記録されず、アクセスしたＷｅｂサイトのトップページのタイトルがウィンドウタイトルとして記録される場合がある。このような場合でも、実施の形態９の情報漏洩検知システム１００は、端末操作ログ２０３から得たタイトルから、端末装置５００がアクセスしたＷｅｂサイトのＵＲＬを特定することが可能である。
【０３０７】
（実施の形態１〜９の情報漏洩検知システム１００のハードウェア構成）
最後に、実施の形態１〜９に示した情報漏洩検知システム１００のハードウェア構成例について説明する。
図４５は、本実施の形態に示した情報漏洩検知システム１００のハードウェア資源の一例を示す図である。
なお、図４５の構成は、あくまでも情報漏洩検知システム１００のハードウェア構成の一例を示すものであり、情報漏洩検知システム１００のハードウェア構成は図４５に記載の構成に限らず、他の構成であってもよい。
【０３０８】
図４５において、情報漏洩検知システム１００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）と接続していてもよい。また、磁気ディスク装置９２０の代わりに、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。
本実施の形態で説明した情報漏洩検知システム１００の記憶装置、ログ蓄積部１０９は、磁気ディスク装置９２０等により実現される。
通信ボード９１５、キーボード９０２、マウス９０３、ＦＤＤ９０４などは、入力装置の一例である。
本実施の形態で説明した情報漏洩検知システム１００の入力装置は、例えばキーボード９０２やマウス９０３により実現される。
また、通信ボード９１５、表示装置９０１などは、出力装置の一例である。
【０３０９】
通信ボード９１５は、ネットワークに接続されている。
例えば、ネットワークは、ＬＡＮ、インターネットの他、ＷＡＮ（ワイドエリアネットワーク）、ＳＡＮ（ストレージエリアネットワーク）などでも構わない。
【０３１０】
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。
【０３１１】
また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。
【０３１２】
また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
情報漏洩検知システム１００の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。
【０３１３】
上記プログラム群９２３には、本実施の形態の説明において「〜部」（「〜蓄積部」以外、以下同様）として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
【０３１４】
ファイル群９２４には、本実施の形態の説明において、「〜の判断」、「〜の計算」、「〜の比較」、「〜の照合」、「〜の参照」、「〜の検索」、「〜の抽出」、「〜の検査」、「〜の生成」、「〜の設定」、「〜の登録」、「〜の選択」、「〜の入力」、「〜の受信」、「〜の判定」、「〜の定義」、「〜の算出」、「〜の更新」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶されている。
「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。
ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出される。
そして、読み出された情報やデータや信号値や変数値やパラメータは、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示・制御・判定・識別・検知・判別・選択・算出・導出・更新・生成・取得・通知・指示・判断・区別・削除などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示・制御・判定・識別・検知・判別・選択・算出・導出・更新・生成・取得・通知・指示・判断・区別・削除などのＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、本実施の形態で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示す。
データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。
また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【０３１５】
また、本実施の形態の説明において「〜部」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。
すなわち、本実施の形態で説明したフローチャートに示すステップ、手順、処理により、本発明に係る情報処理方法を実現することができる。
また、「〜部」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。
或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。
プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。
すなわち、プログラムは、本実施の形態の「〜部」としてコンピュータを機能させるものである。あるいは、本実施の形態の「〜部」の手順や方法をコンピュータに実行させるものである。
【０３１６】
このように、本実施の形態に示す情報漏洩検知システム１００は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータである。
そして、上記したように「〜部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。
【符号の説明】
【０３１７】
１００ 情報漏洩検知システム、１０１ プロキシログ取り込み部、１０２ ＵＲＬホワイトリスト取り込み部、１０３ 端末操作ログ取り込み部、１０４ ローカルプロキシログ取り込み部、１０５ グレーＵＲＬ特定部、１０６ トップページＵＲＬ特定部、１０７ ブラウザアクセスＵＲＬ特定部、１０８ ブラックＵＲＬ特定部、１０９ ログ蓄積部、１５０ ネットワーク、２００ 期間特定部、２０１ プロキシログ、２０２ ＵＲＬホワイトリスト、２０３ 端末操作ログ、２０４ ローカルプロキシログ、２０５ 端末識別子、２０６ 期間、２０７ ブラック判定条件、２０８ ブラックＵＲＬ、２０９ 外部サービス、２５０ ブラックＵＲＬ情報、３０１ プロキシログエントリ、３０２ ホワイトＵＲＬ、３０３ ＷｅｂアクセスＵＲＬ情報、３０４ ローカルプロキシログエントリ、３０５ グレーＵＲＬ情報、３０６ トップページＵＲＬ情報、３０７ ブラウザアクセスＵＲＬ情報、３５０ コンテンツ実体、５００ 端末装置、５５０ ローカルプロキシ、６００ プロキシサーバ装置、６０６ トップページ内ＵＲＬ、９０１ 表示装置、９０２ キーボード、９０３ マウス、９０４ ＦＤＤ、９０５ コンパクトディスク装置、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９２０ 磁気ディスク装置、９２１ オペレーティングシステム、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群。
【技術分野】
【０００１】
この発明は、インターネット通信を行う端末装置が利用するプロキシサーバ装置がアクセスしたアドレスの内、所定のアドレスを抽出するアドレス抽出装置に関する。
【背景技術】
【０００２】
近年、特定の組織を狙う標的型攻撃が増加している。標的型攻撃とは、特定の組織（例えば企業）の特定の部署に限定した不正アクセスである。例えば、特定の企業Ａ社の経理課の社員（ユーザ）に対して、企業Ａ社の関係者を装った偽装メールにマルウェアを添付して送り込む例が挙げられる。メールの文面で言葉巧みに添付ファイル（ドキュメントなどを装っていることが多い）を例えば経理課の社員（ユーザ）に開かせることで、マルウェアは実行される。経理課の社員（ユーザ）により実行されたことにより企業への侵入に成功したマルウェアは、インターネット上のウェブサーバと通信し、情報漏洩等の不正アクセスを行う。
【０００３】
特定の組織（例えば企業）に送り込まれるマルウェアは、多くのアンチウイルスソフトウェアで採用されるパターンファイルを回避するように製造されることが多く、アンチウイルスソフトウェアの検知をすり抜けてしまう。
すなわち、アンチウイルスソフトウェアでの検知にはマルウェアに対応したパターンファイルが必要である。しかし、標的型攻撃を行うマルウェアは、従来のマルウェアと異なり攻撃対象が限定されているため、一般に知られにくく、すぐに存在を認識できない。従って、アンチウイルスソフトウェアベンダのパターンファイル作成が遅れることがある。そして、多くのアンチウイルスソフトウェアでは標的型攻撃で用いられるマルウェアの検知が遅れる可能性がある。
【０００４】
技術的に標的型攻撃を防御することは困難であり、関係者を装う怪しいメールが送られてきた場合はマルウェアを懸念し添付ファイルを開かせないように、従業員（ユーザ）に教育して対応するという考え方もある（例えば、非特許文献１）。しかしながら、一定の効果はあるものの、一部の従業員（ユーザ）は怪しいメールの添付ファイルを開いてしまい、マルウェアが実行されてしまうという課題がある。そして、例えば、従業員（ユーザ）は、実行されたマルウェアが情報漏洩等の不正アクセスを行っているか否かを認識することが出来ないという課題がある。
【０００５】
また、スパイウェア（マルウェア）の検知にＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）ヘッダの特徴を調べ、ブラウザによる通信か、それ以外のプログラムによる通信かを判断する方法が示されている（例えば、非特許文献２）。しかしながら、スパイウェア（マルウェア）の誤検知の課題がある。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】ユーザへの予防接種というアプローチによる標的型攻撃対策−２、山口他、情報処理学会第７１回全国大会 ６Ｅ−４
【非特許文献２】ＨＴＴＰ利用型スパイウェアの検知および遮断方式の検討、大谷他、情報処理学会 研究報告２００５−ＣＳＥＣ−３１
【発明の概要】
【発明が解決しようとする課題】
【０００７】
前記のように例えばユーザは、ユーザが意図しない通信（例えばマルウェアによる不正アクセス）が行われていても、その通信（不正アクセス）を検知することが出来ないという課題がある。
【０００８】
この発明は前記のような課題を解決することを主な目的とするもので、例えば、ユーザが意図しない通信によりアクセスされたアクセス先のアドレスを抽出するアドレス抽出装置を実現することを主な目的とする。
【課題を解決するための手段】
【０００９】
この発明に係るアドレス抽出装置は、
端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスを抽出するアドレス抽出部と
を備えたことを特徴とする。
【発明の効果】
【００１０】
この発明に係るアドレス抽出装置は、例えば、プロキシサーバ装置のプロキシログに記録されたアクセス先のアドレスから、正当なアクセスによるアクセス先のアドレス以外のアドレスを抽出する。この為、この発明に係るアドレス抽出装置は、正当なアクセス以外、すなわちユーザが意図しない不正な通信によりアクセスされたアクセス先のアドレスを抽出することが可能である。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１を示す図で、情報漏洩検知システムの周辺構成の例を示す図。
【図２】実施の形態１を示す図で、情報漏洩検知システムの構成の例を示す図。
【図３】実施の形態１を示す図で、端末操作ログ２０３の例を示す図。
【図４】実施の形態１を示す図で、端末操作ログ取り込み部１０３の処理の例を示すフローチャート。
【図５】実施の形態１を示す図で、ＷｅｂアクセスＵＲＬ情報３０３の例を示す図。
【図６】実施の形態１を示す図で、ローカルプロキシログ２０４の例を示す図。
【図７】実施の形態１を示す図で、コンテンツ実体３５０の例を示す図。
【図８】実施の形態１を示す図で、ローカルプロキシログ取り込み部１０４の処理の例を示すフローチャート。
【図９】実施の形態１を示す図で、ローカルプロキシログエントリ３０４の例を示す図。
【図１０】実施の形態１を示す図で、トップページＵＲＬ特定部１０６の第１の処理の例を示すフローチャート。
【図１１】実施の形態１を示す図で、トップページＵＲＬ特定部１０６の第１の処理によって抽出されたＵＲＬリストの例を示す図。
【図１２】実施の形態１を示す図で、トップページＵＲＬ特定部１０６の第２の処理の例を示すフローチャート。
【図１３】実施の形態１を示す図で、トップページＵＲＬ情報３０６の例を示す図。
【図１４】実施の形態１を示す図で、ブラウザアクセスＵＲＬ特定部１０７の処理の例を示すフローチャート。
【図１５】実施の形態１を示す図で、トップページ内ＵＲＬ６０６の例を示す図。
【図１６】実施の形態１を示す図で、ブラウザアクセスＵＲＬ情報３０７の例を示す図。
【図１７】実施の形態１を示す図で、プロキシログ２０１の例を示す図。
【図１８】実施の形態１を示す図で、プロキシログ取り込み部１０１の処理の例を示すフローチャート。
【図１９】実施の形態１を示す図で、プロキシログエントリ３０１の例を示す図。
【図２０】実施の形態１を示す図で、ＵＲＬホワイトリスト取り込み部１０２の処理の例を示すフローチャート。
【図２１】実施の形態１を示す図で、ＵＲＬホワイトリスト２０２の例を示す図。
【図２２】実施の形態１を示す図で、ホワイトＵＲＬ３０２の例を示す図。
【図２３】実施の形態１を示す図で、グレーＵＲＬ特定部１０５の処理の第１の例を示すフローチャート。
【図２４】実施の形態１を示す図で、グレーＵＲＬ特定部１０５の第１の例の処理によるグレーＵＲＬ情報３０５の例を示す図。
【図２５】実施の形態１を示す図で、グレーＵＲＬ特定部１０５の処理の第２の例を示すフローチャート。
【図２６】実施の形態１を示す図で、グレーＵＲＬ特定部１０５の第２の例の処理によるグレーＵＲＬ情報３０５の例を示す図。
【図２７】実施の形態１を示す図で、ブラックＵＲＬ特定部１０８の処理の第１の例と第２の例とを示すフローチャート。
【図２８】実施の形態１を示す図で、ブラックＵＲＬ２０８の例を示す図。
【図２９】実施の形態１を示す図で、ローカルプロキシログ２０４を使用しない場合のブラウザアクセスＵＲＬ情報３０７の例を示す図。
【図３０】実施の形態１を示す図で、ブラウザアクセスＵＲＬ情報３０７保存処理の第１の例を示すフローチャート。
【図３１】実施の形態１を示す図で、ブラウザアクセスＵＲＬ情報３０７保存処理の第２の例を示すフローチャート。
【図３２】実施の形態１を示す図で、従来の情報漏洩検知システム１００の課題の例を示す図。
【図３３】実施の形態２を示す図で、トップページＵＲＬ特定部１０６の処理の例を示すフローチャート。
【図３４】実施の形態３を示す図で、期間特定部２００の処理の例を示すフローチャート。
【図３５】実施の形態４を示す図で、端末操作ログ取り込み部１０３の処理の例を示すフローチャート。
【図３６】実施の形態５を示す図で、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャート。
【図３７】実施の形態６を示す図で、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャート。
【図３８】実施の形態６を示す図で、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図。
【図３９】実施の形態７を示す図で、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャート。
【図４０】実施の形態７を示す図で、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図。
【図４１】実施の形態８を示す図で、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャート。
【図４２】実施の形態９を示す図で、ＷｅｂアクセスＵＲＬ情報３０３の例を示す図。
【図４３】実施の形態９を示す図で、コンテンツ実体３５０の例を示す図。
【図４４】実施の形態９を示す図で、トップページＵＲＬ特定部１０６の処理の例を示す図。
【図４５】実施の形態１〜９を示す図で、本実施の形態に示した情報漏洩検知システム１００のハードウェア資源の例を示す図。
【発明を実施するための形態】
【００１２】
実施の形態１．
（情報漏洩検知システムの周辺構成）
図１は、情報漏洩検知システムの周辺構成の例を示す図である。
情報漏洩検知システム１００は、例えばマルウェアによってアクセスされたＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）を抽出する。ここで、ＵＲＬは例えばプロキシサーバ装置６００（後述で説明）がアクセスを行うアクセス先のアドレスである。すなわち、情報漏洩検知システム１００は、アドレス抽出装置である。そして、情報漏洩検知システム１００はプロキシサーバ装置６００がアクセスを行ったアドレスの内、所定のアドレスを抽出する。情報漏洩検知システム１００が抽出する所定のアドレスについては後述で説明する。
【００１３】
情報漏洩検知システム１００が抽出するアドレスは、ＵＲＬに限られるものではなく、例えば、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスでも良いし、電子メールアドレスでも良い。
ここで、例えばマルウェアによってアクセスされたアドレス（ＵＲＬ）を以降「不正なアドレス」と称する。
【００１４】
そして、情報漏洩検知システム１００の周辺には、端末装置５００とプロキシサーバ装置６００とが配置される。情報漏洩検知システム１００と端末装置５００とプロキシサーバ装置６００とは、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などで接続されている。
ここで、図示は省略するが、端末装置５００は例えば、企業などの組織で使われる個人用のパーソナルコンピュータなどであり、複数の端末装置５００も例えばＬＡＮなどで接続されている。
【００１５】
そして、情報漏洩検知システム１００は、プロキシサーバ装置６００からプロキシログ２０１を入力する。また、情報漏洩検知システム１００は、端末装置５００から端末操作ログ２０３とローカルプロキシログ２０４とを入力する。更に、情報漏洩検知システム１００は、例えば企業などの組織に設置されたサーバ装置の記憶装置などに記憶されているＵＲＬホワイトリスト２０２を入力する。
【００１６】
本実施の形態の情報漏洩検知システム１００は、これらのログ（プロキシログ２０１など）を用いて、マルウェアによるＷｅｂ通信を検知する。ここでＷｅｂ通信とは、端末装置５００などの例えばコンピュータがインターネット上のＷｅｂ（ウェブ）サイト（ＷｅｂサイトをＷｅｂ（ウェブ）ページとも称する）と行う通信のことである。ＨＴＴＰを用いた通信の場合は、Ｗｅｂ通信をＨＴＴＰ通信とも称する。
【００１７】
（プロキシサーバ装置６００の説明）
例えば、企業などの組織では、端末装置５００がネットワーク１５０（例えばインターネットなど）を介して、Ｗｅｂサイトにアクセスする際に、端末装置５００から直接Ｗｅｂサイトにアクセスするのではなく、プロキシが端末装置５００の代理でＷｅｂサイトにアクセスする。
本実施の形態では、例えば組織に１台設置されているプロキシをプロキシサーバ装置６００と称する。
【００１８】
端末装置５００は、Ｗｅｂサイトのアドレスと共に、プロキシサーバ装置６００にＷｅｂサイトへ送りたいＨＴＴＰリクエストを送信し、プロキシサーバ装置６００はＷｅｂサイトへこのＨＴＴＰリクエストを転送する。
すなわち、プロキシサーバ装置６００は、端末装置５００からアクセス先として通知されたアドレスにアクセスを行う。
【００１９】
ＷｅｂサイトからのＨＴＴＰレスポンスはプロキシサーバ装置６００に送られ、プロキシサーバ装置６００はこのレスポンスを端末装置５００へ転送することで、端末装置５００はＷｅｂサイトにアクセスする。従って、プロキシサーバ装置６００は、アクセスを行った端末装置５００と、アクセス先のＷｅｂサイトと、アクセスの際のリクエスト及びレスポンスの内容とを記録することができる。
【００２０】
（プロキシログ２０１の説明）
前述のように、例えば企業など組織内の端末装置５００はＷｅｂサイトにアクセスする際に、プロキシサーバ装置６００にＨＴＴＰ接続する。プロキシサーバ装置６００は端末装置５００の代りにインターネットに接続しＷｅｂ通信（ＨＴＴＰ通信）を行う。Ｗｅｂ通信（ＨＴＴＰ通信）の結果はプロキシサーバ装置６００から端末装置５００へ転送される。
【００２１】
そして、端末装置５００がＷｅｂサイトにアクセスする際に接続するプロキシサーバ装置６００のログが、プロキシログ２０１である。すなわち、プロキシログ２０１はプロキシサーバ装置６００が端末装置５００とＷｅｂサイトとの通信状況（例えばＷｅｂサイトのアドレス）を記録したログである。
例えば、マルウェアがＷｅｂアクセスする場合は必ずプロキシサーバ装置６００に接続するため、プロキシログ２０１に通信記録が残る。また、マルウェア以外のＷｅｂアクセス（ブラウザ、アプリケーションからの通信）もプロキシログ２０１に通信記録が残る。
【００２２】
（ＵＲＬホワイトリスト２０２の説明）
ＵＲＬホワイトリスト２０２は、ホワイトＵＲＬのリストである。ホワイトＵＲＬは予め組織でアクセスが許可されているＵＲＬである。例えば、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）、オフィスアプリケーションのアップデートサイトやニュースサイトなどがある。
すなわち、ホワイトＵＲＬは、あらかじめ正当と定義されたアドレスである。そして、ＵＲＬホワイトリスト２０２は、あらかじめ正当と定義されたアドレスが示される正当アドレス情報に対応する。
【００２３】
（端末操作ログ２０３の説明）
端末装置５００は、端末操作記録アプリケーションを備える。端末操作記録アプリケーションが、ユーザの端末装置５００の操作を記録したものが端末操作ログ２０３である。端末操作ログ２０３は、例えば端末装置５００の記憶装置に記憶される。
【００２４】
ここで、端末操作記録アプリケーションは各ユーザが端末装置５００上でどのような操作を行っているか監視し内部統制するためのソフトウェアである。端末操作記録アプリケーションはファイル操作（ファイルの生成、削除、コピー、リネーム、移動など）、外部記憶媒体への書き出し、操作されたアプリケーション（ウィンドウタイトル）、Ｗｅｂアクセス状況などを記録する。端末操作記録アプリケーションは例えば市販されているソフトウェアを用いても良い。
【００２５】
ユーザがブラウザを用いて行った指示に基づき、端末装置５００がＷｅｂアクセスした場合、その操作の記録（例えばＷｅｂサイトのアドレス）は端末操作ログ２０３に記録される。
【００２６】
ここで、端末装置５００は、ユーザの指示（例えばユーザがブラウザを用いて行う指示）に基づいて、プロキシサーバ装置６００にアクセス先のアドレスを通知する。そして、ユーザの指示に基づき、端末装置５００が通知したアドレスが示される情報をユーザ指示情報と称する。
すなわち、端末操作ログ２０３は、ユーザ指示情報に対応する。
【００２７】
（ローカルプロキシ５５０、ローカルプロキシログ２０４の説明）
ローカルプロキシ５５０は、各端末装置５００にインストールされるプロキシである。端末装置５００上のブラウザやＷｅｂアクセスするアプリケーションは、ローカルプロキシ５５０を通じて、プロキシサーバ装置６００にアクセスする。
【００２８】
詳細には、端末装置５００内のブラウザなどのアプリケーションは、ローカルプロキシ５５０に、Ｗｅｂサイトへ送りたいＨＴＴＰリクエストを送信し、ローカルプロキシ５５０はプロキシサーバ装置６００へ、このＨＴＴＰリクエストを転送する。更に、プロキシサーバ装置６００はＷｅｂサイトへ、このＨＴＴＰリクエストを転送する。そして、ＷｅｂサイトからのＨＴＴＰレスポンスはプロキシサーバ装置６００に送られ、プロキシサーバ装置６００はこのレスポンスをローカルプロキシ５５０へ転送する。ローカルプロキシ５５０はアプリケーションへ、このレスポンスを転送する。この様にローカルプロキシ５５０とプロキシサーバ装置６００を経由してアプリケーションはＷｅｂサイトと通信を行う。
【００２９】
そして、ローカルプロキシ５５０で取得されるＷｅｂアクセスが記録されたものがローカルプロキシログ２０４である。ローカルプロキシログ２０４には、ユーザがブラウザを用いて行った指示に基づき、端末装置５００がＷｅｂアクセスした際のＷｅｂアクセスした日時、アクセス先のＵＲＬ（アドレス）、メソッド、Ｗｅｂコンテンツなどが記録される。すなわち、ローカルプロキシログ２０４はユーザ指示情報に対応する。そして、ローカルプロキシログ２０４は例えば端末装置５００の記憶装置に記憶される。
ローカルプロキシログ２０４に記録されるＷｅｂコンテンツには、ブラウザでアクセスしたＷｅｂページ（Ｗｅｂコンテンツ）に関連付けられるコンテンツの情報（ＵＲＬの情報）が含まれる。
このＷｅｂページに関連付けられるコンテンツの情報（ＵＲＬの情報）とは、Ｗｅｂページにアクセスしたブラウザ（または、ローカルプロキシ５５０やプロキシサーバ装置６００）が自動で取得したり、リンクしたりする他のコンテンツの情報である。このＷｅｂページに関連付けられるコンテンツの情報には、関連付けられたコンテンツのＵＲＬの情報も含まれる。そして、関連付けられたコンテンツのＵＲＬの情報は、関連アドレス情報に対応し、ローカルプロキシログ２０４は関連アドレス情報にも対応する。
このＷｅｂページ（Ｗｅｂコンテンツ）に関連付けられ、Ｗｅｂページ（Ｗｅｂコンテンツ）にアクセスしたブラウザ（または、ローカルプロキシ５５０やプロキシサーバ装置６００）が自動で取得したり、リンクしたりする他のコンテンツの情報を以降「Ｗｅｂコンテンツが自動で取得するコンテンツ」と称する。
【００３０】
（情報漏洩検知システム１００の構成）
図２は、情報漏洩検知システム１００の構成の例を示す図である。情報漏洩検知システム１００を構成する各要素について説明する。
【００３１】
（プロキシログ取り込み部１０１）
プロキシログ取り込み部１０１は、プロキシログ２０１、端末識別子２０５、期間２０６を入力とし、ログの内容であるプロキシログエントリ３０１を抽出する。
【００３２】
ここで、図１において図示は省略しているが、端末装置５００は前述の通り複数設置されており、端末識別子２０５は、個々の端末装置５００を識別する為の識別子である。
例えばユーザが情報漏洩検知システム１００を用いて調査を行いたい対象の端末装置５００の識別子を、例えばキーボードの様な入力装置を用いて入力する。この入力装置は、情報漏洩検知システム１００に備えられていても良いし、情報漏洩検知システム１００の外部であっても良い。
【００３３】
また、期間２０６は、例えばユーザが情報漏洩検知システム１００を用いて不正なアドレスを調査したい期間の情報である。期間２０６は、期間特定部２００によって入力される。期間特定部２００は、例えばキーボードの様な入力装置であっても良いし、予め期間２０６の情報が記憶されている記憶装置であっても良い。そして、期間特定部２００は情報漏洩検知システム１００に備えられていても良いし、情報漏洩検知システム１００の外部であっても良い。
【００３４】
また、プロキシログ２０１は前述の通り、Ｗｅｂサイトのアドレスが記録されている。すなわち、プロキシログ取り込み部１０１はアドレス入力部に対応する。
【００３５】
（ＵＲＬホワイトリスト取り込み部１０２）
ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２を入力し、ＵＲＬホワイトリスト２０２の内容であるホワイトＵＲＬ３０２を抽出する。
【００３６】
ここで、ＵＲＬホワイトリスト２０２は前述の通り、あらかじめ正当と定義されたアドレスが示される。すなわち、ＵＲＬホワイトリスト取り込み部１０２はアドレス入力部に対応する。
【００３７】
ＵＲＬホワイトリスト２０２は、例えばキーボードの様な入力装置からユーザが入力しても良いし、予め記憶装置に記憶されていても良い。そして、これらの入力装置や記憶装置は情報漏洩検知システム１００に備えられていても良いし、情報漏洩検知システム１００の外部であっても良い。
【００３８】
（端末操作ログ取り込み部１０３）
端末操作ログ取り込み部１０３は、端末操作ログ２０３を入力し、ブラウザによりアクセスされたＷｅｂサイトのＵＲＬ情報であるＷｅｂアクセスＵＲＬ情報３０３を抽出する。
【００３９】
ここで、端末操作ログ２０３は前述の通り、Ｗｅｂサイトのアドレスが記録されている。すなわち、端末操作ログ取り込み部１０３はアドレス入力部に対応する。
また、端末操作ログ取り込み部１０３は、非操作期間（後述で説明）又は非アドレス対応期間（後述で説明）を算出する。すなわち、端末操作ログ取り込み部１０３は、期間算出部に対応する。
【００４０】
（ローカルプロキシログ取り込み部１０４）
ローカルプロキシログ取り込み部１０４は、ローカルプロキシログ２０４、端末識別子２０５、期間２０６を入力し、ローカルプロキシログ２０４の内容であるローカルプロキシログエントリ３０４を抽出する。すなわち、ローカルプロキシログエントリ３０４も図２における図示は省略するが、ユーザ指示情報と関連アドレス情報とに対応する。
【００４１】
ここで、ローカルプロキシログ２０４は前述の通り、Ｗｅｂサイトのアドレスが記録されている。すなわち、ローカルプロキシログ取り込み部１０４はアドレス入力部に対応する。
【００４２】
（グレーＵＲＬ特定部１０５）
グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１、ホワイトＵＲＬ３０２、ブラウザアクセスＵＲＬ情報３０７（後述で説明）を入力し、マルウェアがアクセスしている可能性があるＵＲＬ情報であるグレーＵＲＬ情報３０５を抽出する。すなわち、グレーＵＲＬ特定部１０５は、アドレス抽出部に対応する。
【００４３】
（トップページＵＲＬ特定部１０６）
トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３、ローカルプロキシログエントリ３０４を入力し、ローカルプロキシログエントリ３０４から、ＷｅｂアクセスＵＲＬ情報３０３とＵＲＬが一致するログエントリを抽出し、トップページＵＲＬ情報３０６として出力する。トップページＵＲＬ情報３０６は、ユーザ指示情報に対応する。
【００４４】
ここで、トップページＵＲＬ情報３０６は、ローカルプロキシログエントリ３０４から抽出されたローカルプロキシ５５０の情報、すなわちローカルプロキシ情報である。そして、トップページＵＲＬ特定部１０６は、ローカルプロキシ情報抽出部に対応する。
【００４５】
（ブラウザアクセスＵＲＬ特定部１０７）
ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ情報３０６、ローカルプロキシログエントリ３０４を入力し、ローカルプロキシログエントリ３０４のＷｅｂコンテンツに含まれる、Ｗｅｂコンテンツが自動で取得するコンテンツや、他のＷｅｂページへのリンク情報（ＵＲＬ）を、トップページ内ＵＲＬとして抽出する。このトップページ内ＵＲＬは、Ｗｅｂコンテンツに関連する関連アドレス情報である。
【００４６】
さらに、ブラウザアクセスＵＲＬ特定部１０７は、トップページ内ＵＲＬとトップページＵＲＬ情報３０６とを合わせてブラウザがアクセスするＵＲＬの情報であるブラウザアクセスＵＲＬ情報３０７として出力する。すなわち、ブラウザアクセスＵＲＬ情報３０７にはトップページ内ＵＲＬの情報が含まれており、ブラウザアクセスＵＲＬ情報３０７は、ユーザ指示情報と関連アドレス情報とに対応する。
【００４７】
（ブラックＵＲＬ特定部１０８）
ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５、ブラウザアクセスＵＲＬ情報３０７、ブラック判定条件２０７を入力し、マルウェアのアクセスしたサイトと思われるブラックＵＲＬ２０８を抽出する。すなわち、ブラックＵＲＬ特定部１０８はアドレス抽出部に対応する。
【００４８】
そして、ブラック判定条件２０７はグレーＵＲＬ情報に含まれるＵＲＬ情報がマルウェアによりアクセスされたか判定するための条件を表す情報である。ブラックＵＲＬ特定部１０８はブラック判定条件２０７に合致するアドレスを特定する条件合致アドレス特定部である。
また、ブラックＵＲＬ特定部１０８は、外部サービス２０９（後述で説明）から情報を入力する情報入力部に対応する。
【００４９】
更に、図２では図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１を入力することも可能である。そして、ブラックＵＲＬ特定部１０８は入力したプロキシログ２０１のデータを用いて所定の時間毎のアクセス数などを算出する（後述で説明）通信量算出部に対応する。
【００５０】
（ログ蓄積部１０９）
ログ蓄積部１０９は、プロキシログ２０１、端末操作ログ２０３、ローカルプロキシログ２０４を取り込み、蓄積する。ログ蓄積部１０９は、例えば、磁気ディスク装置などの記憶装置である。
【００５１】
プロキシログ取り込み部１０１は、ログ蓄積部１０９が蓄積したプロキシログ２０１を入力する。また、端末操作ログ取り込み部１０３は、ログ蓄積部１０９が蓄積した端末操作ログ２０３を入力する。また、ローカルプロキシログ取り込み部１０４は、ログ蓄積部１０９が蓄積したローカルプロキシログ２０４を入力する。
【００５２】
（情報漏洩検知システム１００の動作説明）
情報漏洩検知システム１００の動作について説明する。
【００５３】
（端末操作ログ取り込み部１０３の処理）
図３は、端末操作ログ２０３の例を示す図である。
図４は、端末操作ログ取り込み部１０３の処理の例を示すフローチャートである。
図５は、ＷｅｂアクセスＵＲＬ情報３０３の例を示す図である。
【００５４】
端末操作ログ取り込み部１０３は、端末操作ログ２０３と期間２０６と端末識別子２０５とを入力する。
期間２０６は、ある特定の期間にマルウェアからＷｅｂアクセスがあったか否かを確認するために、例えばユーザが期間特定部２００を用いて指定する期間である。例えば、「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」の期間にマルウェアからのＷｅｂアクセスの有無を調べる場合、期間特定部２００は、期間２０６として「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」を指定する。
【００５５】
端末操作ログ２０３は、各端末装置５００にインストールされる端末操作記録アプリケーションが記録するログである。端末操作ログ２０３は、図３に示すフォーマットのように、例えば「操作日時、端末識別子、ユーザ識別子、操作タイプ、操作内容」が時系列順に記録される。
【００５６】
ここで、操作日時は、ユーザが端末装置５００の操作を行った日時である。端末識別子は、例えば端末装置５００のＩＰアドレスである。ユーザ識別子は、例えば従業員の従業員番号などのＩＤ（識別子、アイディー）である。操作タイプは、例えば、「ファイル生成」、「Ｗｅｂアクセス」などの操作の種別である。操作内容は、操作タイプに依存する記録である。
【００５７】
端末操作記録アプリケーションの機能により、ユーザが、ブラウザのアドレスバーに入力したＵＲＬやＷｅｂサイトのコンテンツのリンクをクリックしてアクセスしたＵＲＬが端末操作ログ２０３に記録されている。
【００５８】
例えば、図３に示すＤ２０３１は、「２０１１／０６／２３ ９：００：００に、ＩＰアドレス１９２．１６８．１．２で識別される端末装置５００が、ＵｓｅｒＩＤ１２３４で識別される従業員の操作により、Ｃ：￥ｗｏｒｋ￥ｓａｍｐｌｅ．ｔｘｔというファイルを生成した」ことを意味する。
【００５９】
また、例えば、図３に示すＤ２０３３は、「２０１１／０６／２３ １２：００：００に、ＩＰアドレス１９２．１６８．１．２で識別される端末装置５００が、ＵｓｅｒＩＤ１２３４で識別される従業員の操作により、ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／に対してＧＥＴメソッドを送信（Ｗｅｂアクセス）した」ことを意味する。
ここで、実施の形態の説明において示されるＵＲＬ（例えば、前述の「ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／」）は、あくまで例として挙げられたものであり、実在のＵＲＬとは無関係である。
【００６０】
ここで、図３のＤ２０３３に示される操作タイプ「Ｗｅｂアクセス」のように、端末装置５００がＷｅｂアクセスする場合を説明する。ユーザが端末装置５００を用いてＷｅｂアクセスする場合、ユーザは端末装置５００に対してアクセス先のアドレスを指示するアドレス指示操作を行う。ユーザは、このアドレス指示操作により、端末装置５００に対してＷｅｂアクセスを指示する。すなわち、このアドレス指示操作は、ユーザが端末装置５００に対してアクセス先のアドレスを指示すると共に、ユーザが端末装置５００に対して指示したアドレスに端末装置５００がＷｅｂアクセスを行うよう指示している。そして、このアドレス指示操作が端末操作ログ２０３（例えば、図３）においては、「Ｗｅｂアクセス」のように表記されている。
このアドレス指示操作によるアドレスが端末操作ログ２０３には示されている（例えば、図３のＤ２０３３では「ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／」）。そして、端末装置５００は、プロキシサーバ装置６００にアクセス先として、このアドレスを通知する。そして、端末装置５００は、前述の通りプロキシサーバ装置６００を利用してＷｅｂアクセスを行う。
【００６１】
すなわち、端末操作ログ２０３は、ユーザが端末装置５００に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて端末装置５００がプロキシサーバ装置６００にアクセス先として通知したアドレスがアドレス指示操作と対応付けられて示されている。
【００６２】
図４を用いて、端末操作ログ取り込み部１０３の動作を説明する。
ここで、期間２０６は「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」、端末識別子２０５は、「１９２．１６８．１．２」が指定されているとする。
【００６３】
まず、端末操作ログ取り込み部１０３は、端末操作ログ２０３の全てのエントリを入力したか否かを判定する（図４のＳ４０１）。ここで、端末操作ログ２０３などの情報を構成する行を以降「エントリ」と称する。例えば図４のＤ２０３１の行が１つのエントリとなる。
【００６４】
端末操作ログ取り込み部１０３は、全てのエントリを入力していなければ（図４のＳ４０１の「ＮＯ」）、入力していない端末操作ログ２０３のエントリを例えば操作日時の時系列順に入力する（図４のＳ４０２）。
次に、端末操作ログ取り込み部１０３は、入力したエントリの操作日時が期間２０６の範囲内か否かを判定する（図４のＳ４０３）。
操作日時が期間２０６の範囲内であれば（図４のＳ４０３の「ＹＥＳ」）、端末操作ログ取り込み部１０３は、入力したエントリの端末識別子が、端末識別子２０５と一致するか否かを判定する（図４のＳ４０４）。
端末識別子が、端末識別子２０５と一致すれば（図４のＳ４０４の「ＹＥＳ」）、端末操作ログ取り込み部１０３は、入力したエントリの操作タイプがＷｅｂアクセスか否かを判定する（図４のＳ４０５）。
操作タイプがＷｅｂアクセスであれば（図４のＳ４０５の「ＹＥＳ」）、端末操作ログ取り込み部１０３は、読み込んだエントリをＷｅｂアクセスＵＲＬ情報３０３として出力する（図４のＳ４０６）。
【００６５】
そして、図４のＳ４０１の処理に戻り、端末操作ログ取り込み部１０３は、端末操作ログ２０３の全てのエントリを入力するまで（図４のＳ４０１の「ＹＥＳ」）、図４のＳ４０１からＳ４０６の処理を繰り返す。
【００６６】
例えば、図５に示すＷｅｂアクセスＵＲＬ情報３０３ａ〜３０３ｄのそれぞれ１行ずつが１つのＷｅｂアクセスＵＲＬ情報である。そして、例えば、ＷｅｂアクセスＵＲＬ情報３０３ａ〜３０３ｄでＷｅｂアクセスＵＲＬ情報３０３のセットを構成している。
【００６７】
すなわち、端末操作ログ取り込み部１０３は、図３に示す端末操作ログ２０３のエントリの内、期間２０６に操作日時が該当し、端末識別子が端末識別子２０５に該当し、操作タイプがＷｅｂアクセスであるエントリを抽出し、図５に示すＷｅｂアクセスＵＲＬ情報３０３のセットを生成する。
【００６８】
（ローカルプロキシログ取り込み部１０４の処理）
図６は、ローカルプロキシログ２０４の例を示す図である。
図７は、コンテンツ実体３５０の例を示す図である。
図８は、ローカルプロキシログ取り込み部１０４の処理の例を示すフローチャートである。
図９は、ローカルプロキシログエントリ３０４の例を示す図である。
【００６９】
ローカルプロキシログ取り込み部１０４は、ローカルプロキシログ２０４と期間２０６と端末識別子２０５とからローカルプロキシログエントリ３０４を抽出する。
【００７０】
ローカルプロキシログ２０４は、ローカルプロキシ５５０を利用して、端末装置５００のブラウザなどのアプリケーションがＷｅｂアクセスして得たコンテンツの内容やＷｅｂアクセスして送出したコンテンツの内容が記録される。
ローカルプロキシログ２０４は、図６に示すファーマットのように、例えば「アクセス日時、端末識別子、アクセスしたＷｅｂサイトのＵＲＬ、メソッド（ＧＥＴ／ＰＯＳＴなど）、ステータスコード、通信サイズ、コンテンツ実体３５０」が時系列順に記録される。
【００７１】
ここで、ローカルプロキシ５５０を有する端末装置５００が、ローカルプロキシ５５０を利用してＷｅｂアクセスする場合は、まずユーザが例えば端末装置５００の入力装置などを用いて、アクセス先のアドレスを指示する。そして、端末装置５００はローカルプロキシ５５０を利用してアクセス先のアドレスをプロキシサーバ装置６００に通知する。そして、端末装置５００は、前述の通りプロキシサーバ装置６００を利用し、更にローカルプロキシ５５０も利用してＷｅｂアクセスを行う。
【００７２】
すなわち、ローカルプロキシログ２０４は、ローカルプロキシ５５０を有する端末装置５００がユーザの指示に基づいてローカルプロキシ５５０を利用してプロキシサーバ装置６００にアクセス先として通知したアドレスが示されている。
【００７３】
例えば、図６に示すＤ３０４１の行が、端末装置５００がローカルプロキシ５５０を介してＷｅｂサイトへアクセスした１件のエントリである。
そして、図６において、コンテンツ実体３５０の部分「（コンテンツ実体）」の図示を省略しているが、実際には例えば図７に示すような内容が記録されている。
図７に示す例では、「ｈｔｔｐ ＧＥＴ」の結果として得られたコンテンツが示されているが、ＰＯＳＴの場合は送付されたコンテンツが記録される。
【００７４】
図８を用いて、ローカルプロキシログ取り込み部１０４の動作を説明する。
ここで、期間２０６は「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」、端末識別子２０５は、「１９２．１６８．１．２」が指定されているとする。
【００７５】
まず、ローカルプロキシログ取り込み部１０４は、ローカルプロキシログ２０４の全てのエントリを入力したか否かを判定する（図８のＳ５０１）。
ローカルプロキシログ取り込み部１０４は、全てのエントリを入力していなければ（図８のＳ５０１の「ＮＯ」）、入力していないローカルプロキシログ２０４のエントリを例えばアクセス日時の時系列順に入力する（図８のＳ５０２）。
次に、ローカルプロキシログ取り込み部１０４は、入力したエントリのアクセス日時が期間２０６の範囲内か否かを判定する（図８のＳ５０３）。
アクセス日時が期間２０６の範囲内であれば（図８のＳ５０３の「ＹＥＳ」）、ローカルプロキシログ取り込み部１０４は、入力したエントリの端末識別子が、端末識別子２０５と一致するか否かを判定する（図８のＳ５０４）。
端末識別子が、端末識別子２０５と一致すれば（図８のＳ５０４の「ＹＥＳ」）、ローカルプロキシログ取り込み部１０４は、読み込んだエントリをローカルプロキシログエントリ３０４として出力する（図８のＳ５０５）。
【００７６】
そして、図８のＳ５０１の処理に戻り、ローカルプロキシログ取り込み部１０４は、ローカルプロキシログ２０４の全てのエントリを入力するまで（図８のＳ５０１の「ＹＥＳ」）、図８のＳ５０１からＳ５０５の処理を繰り返す。
【００７７】
例えば、図９に示すローカルプロキシログエントリ３０４ａ〜３０４ｄのそれぞれ１行ずつが１つのローカルプロキシログエントリである。そして、例えば、ローカルプロキシログエントリ３０４ａ〜３０４ｄでローカルプロキシログエントリ３０４のセットを構成している。
【００７８】
すなわち、ローカルプロキシログ取り込み部１０４は、図６に示すローカルプロキシログ２０４のエントリの内、期間２０６にアクセス日時が該当し、端末識別子が端末識別子２０５に該当するエントリを抽出し、図９に示すローカルプロキシログエントリ３０４のセットを生成する。
ここで、図６に示すＤ３０４５のアクセス日時が、期間２０６に該当しない為、図９に示すローカルプロキシログエントリ３０４のセットには含まれていない。
【００７９】
（トップページＵＲＬ特定部１０６の処理）
図１０は、トップページＵＲＬ特定部１０６の第１の処理の例を示すフローチャートである。
図１１は、トップページＵＲＬ特定部１０６の第１の処理によって抽出されたＵＲＬリストの例を示す図である。
図１２は、トップページＵＲＬ特定部１０６の第２の処理の例を示すフローチャートである。
図１３は、トップページＵＲＬ情報３０６の例を示す図である。
【００８０】
トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３とローカルプロキシログエントリ３０４とを入力する。そして、トップページＵＲＬ特定部１０６は、第１の処理として、ＷｅｂアクセスＵＲＬ情報３０３に含まれるＵＲＬを抽出する。そして、トップページＵＲＬ特定部１０６は、第２の処理として、ローカルプロキシログエントリ３０４から第１の処理で抽出したＷｅｂアクセスＵＲＬ情報３０３に含まれるＵＲＬと一致するエントリを抽出する。
【００８１】
図１０を用いて、トップページＵＲＬ特定部１０６の動作（第１の処理）を説明する。最初にトップページＵＲＬ特定部１０６は第１の処理として、ＷｅｂアクセスＵＲＬ情報３０３からＵＲＬ（ＷｅｂアクセスＵＲＬ）を抽出し、リストを生成する。
【００８２】
まず、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３を全て入力したか否かを判定する（図１０のＳ６０１）。
トップページＵＲＬ特定部１０６は、全てのＷｅｂアクセスＵＲＬ情報３０３を入力していなければ（図１０のＳ６０１の「ＮＯ」）、入力していないＷｅｂアクセスＵＲＬ情報３０３を例えばアクセス日時の時系列順に入力する（図１０のＳ６０２）。
次に、トップページＵＲＬ特定部１０６は、入力したＷｅｂアクセスＵＲＬ情報３０３のＵＲＬ（ＷｅｂアクセスＵＲＬ）を抽出する（図１０のＳ６０３）。
次に、トップページＵＲＬ特定部１０６は、入力したＷｅｂアクセスＵＲＬ情報３０３の操作日時を抽出する（図１０のＳ６０４）。
そして、トップページＵＲＬ特定部１０６は、抽出したＵＲＬ（ＷｅｂアクセスＵＲＬ）と操作日時とを１つのエントリとしたリストを生成する。リストの例を図１１に示す。
そして、図１０のＳ６０１の処理に戻り、トップページＵＲＬ特定部１０６は、全てのＷｅｂアクセスＵＲＬ情報３０３を入力するまで（図１０のＳ６０１の「ＹＥＳ」）、図１０のＳ６０１からＳ６０５の処理を繰り返す。
【００８３】
具体例で説明する。
例えば、ＷｅｂアクセスＵＲＬ情報３０３のセットが図５に示される例の場合、トップページＵＲＬ特定部１０６は、最初に図５のＷｅｂアクセスＵＲＬ情報３０３ａ「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２，ＵｓｅｒＩＤ１２３４、Ｗｅｂアクセス、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／，ＧＥＴ」を入力する（図１０のＳ６０２）。そして、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３ａから、ＵＲＬ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」を抽出し（図１０のＳ６０３）、操作日時「２０１１／０６／２３ １０：００：００」を抽出する（図１０のＳ６０４）。そして、トップページＵＲＬ特定部１０６は「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、２０１１／０６／２３ １０：００：００」を１つのエントリ（図１１のＤ１０６１）としたリストを生成する。
【００８４】
図１２を用いて、トップページＵＲＬ特定部１０６の動作（第２の処理）を説明する。
トップページＵＲＬ特定部１０６は第２の処理として、第１の処理で生成した例えば図１１に示すリストに含まれるエントリのＵＲＬと操作日時とに一致するローカルプロキシログエントリ３０４を抽出する。
ここで図１２の図示は省略しているが、トップページＵＲＬ特定部１０６は、第１の処理で生成した例えば図１１に示すリストに含まれる全てのエントリに対して、図１２の処理を行う。
ここでは、トップページＵＲＬ特定部１０６が第１の処理で抽出したエントリとして、図１１のＤ１０６１に示されるエントリ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、２０１１／０６／２３ １０：００：００」を例に説明する。
【００８５】
まず、トップページＵＲＬ特定部１０６は、ローカルプロキシログエントリ３０４を全て入力したか否かを判定する（図１２のＳ１０１）。
トップページＵＲＬ特定部１０６は、全てのローカルプロキシログエントリ３０４を入力していなければ（図１２のＳ１０１の「ＮＯ」）、入力していないローカルプロキシログエントリ３０４を例えばアクセス日時の時系列順に入力する（図１２のＳ１０２）。
ここで、例えば、トップページＵＲＬ特定部１０６は、図９のローカルプロキシログエントリ３０４ａ「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、ＧＥＴ、２００、１０００、コンテンツ実体」を入力したとする。
【００８６】
そして、トップページＵＲＬ特定部１０６は、第１の処理で抽出したエントリにおけるＷｅｂアクセスＵＲＬである「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」と一致するＵＲＬがローカルプロキシログエントリ３０４ａに含まれるか否かを判定する。また、トップページＵＲＬ特定部１０６は、第１の処理で抽出したエントリにおける操作日時である「２０１１／０６／２３ １０：００：００」とローカルプロキシログエントリ３０４ａのアクセス日時とが一致するか否かを判定する（図１２のＳ１０３）。
そして、第１の処理で抽出したエントリにおけるＵＲＬとローカルプロキシログエントリ３０４ａに含まれるＵＲＬとが一致し、第１の処理で抽出したエントリにおける操作日時とローカルプロキシログエントリ３０４ａのアクセス日時とが一致するので（図１２のＳ１０３の「ＹＥＳ」）、処理はＳ１０４に進められる。
【００８７】
そして、図１２において、図示は省略するが、トップページＵＲＬ特定部１０６は図１２のＳ１０３において「ＹＥＳ」と判定されたローカルプロキシログエントリ３０４ａから、トップページＵＲＬ情報３０６を生成する。
この場合、トップページＵＲＬ情報３０６ａは、図１３に示す例のようになる。すなわち、ＵＲＬとローカルプロキシログ２０４におけるアクセス日時と端末識別子とメソッドとステータスと通信サイズとが含まれた情報をトップページＵＲＬ情報３０６と称する。そして、トップページＵＲＬ情報３０６に示されるＵＲＬをトップページＵＲＬと称する。
【００８８】
そして、トップページＵＲＬ情報３０６が生成される毎に、図１２のＳ１０４の処理が行われるが、このＳ１０４の処理は、ブラウザアクセスＵＲＬ特定部１０７によって行われるため、後述で説明する。
【００８９】
そして、図１２のＳ１０１の処理に戻り、トップページＵＲＬ特定部１０６は、ローカルプロキシログエントリ３０４の全てのエントリを入力するまで（図１２のＳ１０１の「ＹＥＳ」）、図１２のＳ１０１からＳ１０３の処理を繰り返す。また、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ情報３０６が生成される毎に、図１２のＳ１０４の処理を行う。
【００９０】
（ブラウザアクセスＵＲＬ特定部１０７の処理）
図１４は、ブラウザアクセスＵＲＬ特定部１０７の処理の例を示すフローチャートである。なお、図１４のフローチャートは、図１２のＳ１０４の処理を詳細に示したものである。
図１５は、トップページ内ＵＲＬ６０６の例を示す図である。
図１６は、ブラウザアクセスＵＲＬ情報３０７の例を示す図である。
【００９１】
前述の例において、トップページＵＲＬ特定部１０６が図１２のＳ１０２において、入力したローカルプロキシログエントリ３０４ａは「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、ＧＥＴ、２００、１０００、コンテンツ実体」である。
ここで、コンテンツ実体３５０は前述の通り、例えば、実際には図７に示されるような情報である。つまりコンテンツ実体３５０は、端末装置５００がＷｅｂアクセスした結果得られたｈｔｍｌコンテンツの実体である。
【００９２】
図１４を用いてブラウザアクセスＵＲＬ特定部１０７の動作を説明する。
ここで、コンテンツ実体３５０は、図７に示す例を用いる。
【００９３】
前述のように、トップページＵＲＬ特定部１０６がトップページＵＲＬ情報３０６を生成すると、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ特定部１０６が入力したローカルプロキシログエントリ３０４とトップページＵＲＬ特定部１０６が生成したトップページＵＲＬ情報３０６とを入力し、図１４に示す処理を行う。
【００９４】
まず、ブラウザアクセスＵＲＬ特定部１０７は、コンテンツ実体３５０の内容をコンテンツ実体３５０の最初の行から１行入力する（図１４のＳ２０１）。具体的には、ブラウザアクセスＵＲＬ特定部１０７は図７のＤ３５０１に示される「＜ｈｔｍｌ ｌａｎｇ＝“ｊａ”＞」を入力する。
次に、ブラウザアクセスＵＲＬ特定部１０７は、入力した内容が＜ｈｔｍｌ＞タグであるか否かを判定する（図１４のＳ２０２）。すなわち、この処理により、ブラウザアクセスＵＲＬ特定部１０７はｈｔｍｌコンテンツの始まりか否かを判定している。この場合、「＜ｈｔｍｌ ｌａｎｇ＝“ｊａ”＞」は＜ｈｔｍｌ＞タグである（図１４のＳ２０２の「ＹＥＳ」）。
【００９５】
更に、ブラウザアクセスＵＲＬ特定部１０７は、コンテンツ実体３５０の内容をコンテンツ実体３５０の行の順番通りに１行入力する（図１４のＳ２０３）。
そして、ブラウザアクセスＵＲＬ特定部１０７は、入力したコンテンツ実体３５０の内容にサブコンテンツのＵＲＬが含まれるか否かを判定する（図１４のＳ２０４）。
【００９６】
ここで、サブコンテンツとは、例えば＜ａ＞タグにおける「ｈｒｅｆ＝」に続くＵＲＬや、＜ｉｍｇ ｓｒｃ＞タグにおけるｓｒｃ属性のＵＲＬや、動画表示用タグにおけるＵＲＬなどである。つまり、コンテンツ実体３５０には、ｈｔｍｌコンテンツが自動で取得するサブコンテンツ（「ｉｍｇ ｓｒｃ」で指定される画像、動画表示用タグで指定される動画など）や、リンクされるサブコンテンツ（＜ａ＞タグで指定されるＵＲＬ）などが記載されている。
【００９７】
ブラウザアクセスＵＲＬ特定部１０７は、図１４のＳ２０３で読み込んだコンテンツ実体３５０の内容にサブコンテンツのＵＲＬが含まれる場合（図１４のＳ２０４の「ＹＥＳ」）は、サブコンテンツのＵＲＬをトップページ内ＵＲＬに設定する（図１４のＳ２０５）。そして、ブラウザアクセスＵＲＬ特定部１０７は図１４のＳ２０３の処理を再度行う。
【００９８】
ここで、トップページ内ＵＲＬとは、端末装置５００がトップページＵＲＬでアクセスしたＷｅｂサイトが自動で取得するコンテンツやリンクされるコンテンツのＵＲＬを意味しており、トップページに付随して得られるコンテンツのＵＲＬを意味する。
【００９９】
ブラウザアクセスＵＲＬ特定部１０７は、図１４のＳ２０３で読み込んだコンテンツ実体３５０の内容にサブコンテンツのＵＲＬが含まれない場合（図１４のＳ２０４の「ＮＯ」）は、読み込んだコンテンツ実体３５０の内容が＜／ｈｔｍｌ＞タグが否かを判定する（図１４のＳ２０６）。この処理により、ブラウザアクセスＵＲＬ特定部１０７は、ｈｔｍｌコンテンツの終わりか否かを判定している。
【０１００】
読み込んだコンテンツ実体３５０の内容が＜／ｈｔｍｌ＞タグである場合、ブラウザアクセスＵＲＬ特定部１０７は処理を終了（図１４のＳ２０６の「ＹＥＳ」）する。そして、トップページＵＲＬ特定部１０６から入力したトップページＵＲＬ情報３０６と設定したトップページ内ＵＲＬ６０６とからブラウザアクセスＵＲＬ情報３０７を生成する。
すなわち、トップページＵＲＬ情報３０６とトップページＵＲＬ情報３０６の各エントリ（各行）に対応づけられたトップページ内ＵＲＬ６０６とを合わせた情報をブラウザアクセスＵＲＬ情報３０７と称する。
その後、トップページＵＲＬ特定部１０６が引き続き、図１２のＳ１０１の処理を行う。
【０１０１】
一方、読み込んだコンテンツ実体３５０の内容が＜／ｈｔｍｌ＞タグでない場合、ブラウザアクセスＵＲＬ特定部１０７は、図１４のＳ２０３の処理を再度行う。
【０１０２】
ブラウザアクセスＵＲＬ特定部１０７が、図１４に示す処理を実行することにより、図７に示されるコンテンツ実体３５０の例から設定したトップページ内ＵＲＬ６０６の例を図１５に示す。
【０１０３】
そして、トップページＵＲＬ特定部１０６が図１２に示す処理を実行し、図６に示されるローカルプロキシログエントリ３０４からトップページＵＲＬ情報３０６を生成し、更に、ブラウザアクセスＵＲＬ特定部１０７がトップページＵＲＬ情報３０６毎に対しトップページ内ＵＲＬ６０６を設定したブラウザアクセスＵＲＬ情報３０７の例を図１６に示す。
【０１０４】
例えば、図１６に示すブラウザアクセスＵＲＬ情報３０７ａ〜３０７ｄのそれぞれ１行ずつが１つのブラウザアクセスＵＲＬ情報である。そして、例えば、ブラウザアクセスＵＲＬ情報３０７ａ〜３０７ｄでブラウザアクセスＵＲＬ情報３０７のセットを構成している。
そして、例えば、図１６のブラウザアクセスＵＲＬ情報３０７ａの「（トップページ内ＵＲＬ）」は、図示を省略しているが、実際には図１５に示すようなトップページ内ＵＲＬ６０６の内容が記録されている。
【０１０５】
（ローカルプロキシログ取り込み部１０４の処理）
図１７は、プロキシログ２０１の例を示す図である。
図１８は、プロキシログ取り込み部１０１の処理の例を示すフローチャートである。
図１９は、プロキシログエントリ３０１の例を示す図である。
【０１０６】
プロキシログ取り込み部１０１は、プロキシログ２０１と期間２０６と端末識別子２０５とを入力する。
【０１０７】
プロキシログ２０１は、図１７に示すフォーマットのように、例えば「アクセス日時、端末識別子、アクセスしたＷｅｂサイトのＵＲＬ、メソッド（ＧＥＴ／ＰＯＳＴなど）、ステータスコード、通信サイズ」が時系列順に記録される。
【０１０８】
また、プロキシログ２０１には、プロキシサーバ装置６００に接続された全ての端末装置５００からの全てのＷｅｂアクセスが記録される。ただし、図１７では、端末識別子「１９２．１６８．１．２」以外の端末装置５００のＷｅｂアクセスの図示を省略している。ここで、全てのＷｅｂアクセスとは、例えば、ブラウザや、Ｗｅｂ通信を行うアプリケーションや、Ｗｅｂ通信を行うマルウェアなどによるＷｅｂアクセスである。
【０１０９】
そして、プロキシログ２０１には、これらのＷｅｂアクセス毎にプロキシサーバ装置６００がアクセスを行ったアクセス先のアドレスが示されている。
すなわち、プロキシログ２０１は、プロキシサーバ装置６００が行ったアクセス毎にアクセス先のアドレスが示されている。
【０１１０】
なお、図１７に示すプロキシログ２０１の例えば、「（ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／のコンテンツが自動で取得したコンテンツの記録）」を説明する。プロキシサーバ装置６００がｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／にアクセスした結果、プロキシサーバ装置６００が取得したコンテンツの中に、画像や動画などを取り込むタグが記録されていた場合に、プロキシサーバ装置６００は、ｈｔｔｐでそれらの画像や動画を自動的に取得する。そして、それらの画像や動画もプロキシログ２０１に記録されていることを意味している。
【０１１１】
図１８を用いて、プロキシログ取り込み部１０１の動作を説明する。
ここで、期間２０６は「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」、端末識別子２０５は、「１９２．１６８．１．２」が指定されているとする。
【０１１２】
まず、プロキシログ取り込み部１０１は、プロキシログ２０１の全てのエントリを入力したか否かを判定する（図１８のＳ７０１）。
【０１１３】
プロキシログ取り込み部１０１は、全てのエントリを入力していなければ（図１８のＳ７０１の「ＮＯ」）、入力していないプロキシログ２０１のエントリを例えばアクセス日時の時系列順に入力する（図１８のＳ７０２）。
次に、プロキシログ取り込み部１０１は、入力したエントリのアクセス日時が期間２０６の範囲内か否かを判定する（図１８のＳ７０３）。
アクセス日時が期間２０６の範囲内であれば（図１８のＳ７０３の「ＹＥＳ」）、プロキシログ取り込み部１０１は、入力したエントリの端末識別子が、端末識別子２０５と一致するか否かを判定する（図１８のＳ７０４）。
端末識別子が、端末識別子２０５と一致すれば（図１８のＳ７０４の「ＹＥＳ」）、プロキシログ取り込み部１０１は、読み込んだエントリをプロキシログエントリ３０１として出力する（図１８のＳ７０５）。
【０１１４】
そして、図１８のＳ７０１の処理に戻り、プロキシログ取り込み部１０１は、プロキシログ２０１の全てのエントリを入力するまで（図１８のＳ７０１の「ＹＥＳ」）、図１８のＳ７０１からＳ７０５の処理を繰り返す。
【０１１５】
例えば、図１９に示すプロキシログエントリ３０１ａ〜３０１ｆのそれぞれ１行ずつが１つのプロキシログエントリである。そして、例えば、プロキシログエントリ３０１ａ〜３０１ｆでプロキシログエントリ３０１のセットを構成している。
【０１１６】
すなわち、プロキシログ取り込み部１０１は、図１７に示すプロキシログ２０１のエントリの内、期間２０６にアクセス日時が該当し、端末識別子が端末識別子２０５に該当するエントリを抽出し、図１９に示すプロキシログエントリ３０１のセットを生成する。
【０１１７】
（ＵＲＬホワイトリスト取り込み部１０２の処理）
図２０は、ＵＲＬホワイトリスト取り込み部１０２の処理の例を示すフローチャートである。
図２１は、ＵＲＬホワイトリスト２０２の例を示す図である。
図２２は、ホワイトＵＲＬ３０２の例を示す図である。
【０１１８】
ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２を入力する。
【０１１９】
ＵＲＬホワイトリスト２０２は、例えば企業などの組織でアクセスが許可されたＵＲＬのリストであり、図２１に示すフォーマットのように、例えば「ＵＲＬ、備考」が記録される。
ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２の各エントリの最初の要素であるＵＲＬを抽出し、ホワイトＵＲＬ３０２として出力する。
【０１２０】
図２０を用いて、ＵＲＬホワイトリスト取り込み部１０２の動作を説明する。
【０１２１】
まず、ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２の全てのエントリを入力したか否かを判定する（図２０のＳ８０１）。
【０１２２】
ＵＲＬホワイトリスト取り込み部１０２は、全てのエントリを入力していなければ（図２０のＳ８０１の「ＮＯ」）、入力していないＵＲＬホワイトリスト２０２のエントリを入力する（図２０のＳ８０２）。
次に、ＵＲＬホワイトリスト取り込み部１０２は、入力したエントリのＵＲＬを抽出する（図２０のＳ８０３）。
そして、ＵＲＬホワイトリスト取り込み部１０２は、抽出したＵＲＬをホワイトＵＲＬ３０２として出力する（図２０のＳ８０４）。
【０１２３】
そして、図２０のＳ８０１の処理に戻り、ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２の全てのエントリを入力するまで（図２０のＳ８０１の「ＹＥＳ」）、図２０のＳ８０１からＳ８０４の処理を繰り返す。
【０１２４】
例えば、図２２に示すホワイトＵＲＬ３０２ａ〜３０２ｂのそれぞれ１行ずつが１つのホワイトＵＲＬである。そして、例えば、ホワイトＵＲＬ３０２ａ〜３０２ｂでホワイトＵＲＬ３０２のセットを構成している。
【０１２５】
（グレーＵＲＬ特定部１０５の処理）
グレーＵＲＬ特定部１０５の処理を第１の例と第２の例とに分けて説明する。
【０１２６】
（グレーＵＲＬ特定部１０５の処理の第１の例）
図２３は、グレーＵＲＬ特定部１０５の処理の第１の例を示すフローチャートである。
図２４は、グレーＵＲＬ特定部１０５の第１の例の処理によるグレーＵＲＬ情報３０５の例を示す図である。
【０１２７】
図２３を用いて、グレーＵＲＬ特定部１０５の処理の第１の例を説明する。
グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）とホワイトＵＲＬ３０２（ホワイトＵＲＬ３０２のセット）とを入力する（図２３のＳ２３０１）。
ここで、プロキシログエントリ３０１は、図１９に示す例とし、ホワイトＵＲＬ３０２は図２２に示す例とする。
なお、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）は、前述の通りプロキシログ２０１から抽出されたものであり、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）に示されるＵＲＬ（アドレス）は、前述の通りプロキシログ２０１に示されるＵＲＬ（アドレス）である。
そして、ホワイトＵＲＬ３０２は、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されるアドレスである。
【０１２８】
そして、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセットの内、ホワイトＵＲＬ３０２が含まれるプロキシログエントリ３０１を削除する（図２３のＳ２３０２）。
具体的には、図１９に示すプロキシログエントリ３０１ａに、図２２に示すホワイトＵＲＬ３０２ａが含まれ、図１９に示すプロキシログエントリ３０１ｄに、図２２に示すホワイトＵＲＬ３０２ｂが含まれる。よって、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセットの内、プロキシログエントリ３０１ａとプロキシログエントリ３０１ｄとを削除する。
【０１２９】
ここで、ホワイトＵＲＬ３０２が含まれるプロキシログエントリ３０１を削除するとは、換言すると、ホワイトＵＲＬ３０２以外のＵＲＬが含まれるプロキシログエントリ３０１を抽出することである。つまり、グレーＵＲＬ特定部１０５は、実質的にホワイトＵＲＬ３０２以外のＵＲＬをプロキシログエントリ３０１のセットから抽出している。
すなわち、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬ（アドレス）の内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬ（アドレス）を抽出する。
換言すると、グレーＵＲＬ情報３０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬを示す情報である。
【０１３０】
そして、グレーＵＲＬ特定部１０５は、編集したプロキシログエントリ３０１のセット（すなわち、ホワイトＵＲＬ３０２が含まれるプロキシログエントリ３０１を削除したプロキシログエントリ３０１のセット）をグレーＵＲＬ情報３０５として出力する（図２３のＳ２３０３）。
グレーＵＲＬ情報３０５の例を図２４に示す。ここで、図２４の例は、プロキシログエントリ３０１に含まれるＵＲＬ以外の情報（例えばアクセス日時、端末識別子など）も含まれているが、グレーＵＲＬ情報３０５は、ＷｅｂサイトのＵＲＬの情報のみであってもも良い。
【０１３１】
（グレーＵＲＬ特定部１０５の処理の第２の例）
図２５は、グレーＵＲＬ特定部１０５の処理の第２の例を示すフローチャートである。
図２６は、グレーＵＲＬ特定部１０５の第２の例の処理によるグレーＵＲＬ情報３０５の例を示す図である。
【０１３２】
次に図２５を用いて、グレーＵＲＬ特定部１０５の処理の第２の例を説明する。
グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）とホワイトＵＲＬ３０２（ホワイトＵＲＬ３０２のセット）とに加えて、ブラウザアクセスＵＲＬ情報３０７（ブラウザアクセスＵＲＬ情報３０７のセット）を入力する（図２５のＳ２４０１）。
【０１３３】
ここで、プロキシログエントリ３０１は、図１９に示す例とし、ホワイトＵＲＬ３０２は図２２に示す例とし、ブラウザアクセスＵＲＬ情報３０７は図１６に示す例とする。
更に、ブラウザアクセスＵＲＬ情報３０７ａに含まれるトップページ内ＵＲＬ６０６は、図１５に示す例とする。図１６には、ブラウザアクセスＵＲＬ情報３０７ａ〜３０７ｄの４つが示されており、それぞれに対応したトップページ内ＵＲＬ６０６が存在し得る。しかし、ここでは、ブラウザアクセスＵＲＬ情報３０７ｂ〜３０７ｄに対応するトップページ内ＵＲＬ６０６は無いものと想定する。
【０１３４】
そして、グレーＵＲＬ特定部１０５は、ホワイトＵＲＬ３０２で示されるＷｅｂサイトが自動で取得するコンテンツやリンクされるコンテンツのＵＲＬを抽出する。すなわち、グレーＵＲＬ特定部１０５は、ホワイトＵＲＬ３０２に対応するトップページ内ＵＲＬ６０６を抽出する（図２５のＳ２４０２）。
具体的には、グレーＵＲＬ特定部１０５は、入力したブラウザアクセスＵＲＬ情報３０７のセットから、例えば図２２のホワイトＵＲＬ３０２ａ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」に一致するＵＲＬを含むブラウザアクセスＵＲＬ情報３０７を選択する。この場合、グレーＵＲＬ特定部１０５は、「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」が含まれている、図１６に示すブラウザアクセスＵＲＬ情報３０７ａを選択する。そして、グレーＵＲＬ特定部１０５は、ブラウザアクセスＵＲＬ情報３０７ａのトップページ内ＵＲＬ６０６を抽出する。
【０１３５】
そして、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセットの内、入力したホワイトＵＲＬ３０２と、入力したホワイトＵＲＬ３０２のそれぞれに対応するトップページ内ＵＲＬ６０６とのいずれかが含まれるプロキシログエントリ３０１を削除する（図２５のＳ２４０３）。
そして、グレーＵＲＬ特定部１０５は、編集したプロキシログエントリ３０１のセットをグレーＵＲＬ情報３０５として出力する（図２５のＳ２４０４）。
【０１３６】
グレーＵＲＬ情報３０５の具体例を図２６に示す。
グレーＵＲＬ特定部１０５の第１の例の処理によるグレーＵＲＬ情報３０５の例（図２４）には、図２４のＤ２５０４に示される情報（「ｈｔｔｐ：／／○○○．ｓａｍｐｌｅ１．△△△／」のＵＲＬが示される情報）が含まれている。
一方、図１５のＤ６０６１に示されるトップページ内ＵＲＬ６０６に「ｈｔｔｐ：／／○○○．ｓａｍｐｌｅ１．△△△／」が有る。従って、グレーＵＲＬ特定部１０５は、第２の例の処理において、プロキシログエントリ３０１のセット（図１９）の内プロキシログエントリ３０１ｆを削除して、グレーＵＲＬ情報３０５を出力する。よって、グレーＵＲＬ特定部１０５の第２の例の処理によるグレーＵＲＬ情報３０５の例（図２６）には、「ｈｔｔｐ：／／○○○．ｓａｍｐｌｅ１．△△△／」のＵＲＬが示される情報が含まれていない。
【０１３７】
（ブラックＵＲＬ特定部１０８の処理）
ブラックＵＲＬ特定部１０８の処理を第１〜第４の例に分けて説明する。
【０１３８】
（ブラックＵＲＬ特定部１０８の処理の第１の例）
図２７は、ブラックＵＲＬ特定部１０８の処理の第１の例と第２の例とを示すフローチャートである。
図２８は、ブラックＵＲＬ２０８の例を示す図である。
【０１３９】
図２７を用いて、ブラックＵＲＬ特定部１０８の処理の第１の例を説明する。
ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５とブラウザアクセスＵＲＬ情報３０７（ブラウザアクセスＵＲＬ情報３０７のセット）とを入力する（図２７のＳ２６０１）。
ここで、グレーＵＲＬ情報３０５は、前述のグレーＵＲＬ特定部１０５の第１の例で処理された情報でも、前述のグレーＵＲＬ特定部１０５の第２の例で処理された情報でも良い。ここでは、グレーＵＲＬ情報３０５は、前述のグレーＵＲＬ特定部１０５の第２の例で処理された情報として、図２６に示す具体例で説明を行う。すなわち、グレーＵＲＬ情報３０５に示されるＵＲＬは、プロキシログエントリ３０１に示されるＵＲＬから、ホワイトＵＲＬ３０２とトップページ内ＵＲＬ６０６とに示されるＵＲＬが除外されたものである。
また、ブラウザアクセスＵＲＬ情報３０７は図１６に示す例とする。
【０１４０】
そして、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７のＵＲＬが含まれるエントリを削除する（図２７のＳ２６０２）。
なお、ブラックＵＲＬ特定部１０８の処理の第１の例の場合、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７の内、トップページＵＲＬ情報３０６の部分に示されるＵＲＬが含まれるエントリを削除する。
例えば、図２６のＤ２６０１の行に示すグレーＵＲＬ情報３０５のエントリは、図１６のブラウザアクセスＵＲＬ情報３０７ｂのトップページＵＲＬ情報３０６部分に示されるＵＲＬが含まれる。よって、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５から図２６のＤ２６０１の行に示すグレーＵＲＬ情報３０５のエントリを削除する。
【０１４１】
なお、ここで、例えば、図２６のＤ２６０１の行に示すグレーＵＲＬ情報３０５のエントリの「（ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／のコンテンツが自動で取得したコンテンツの記録）」に示されるＵＲＬと、図１６のブラウザアクセスＵＲＬ情報３０７ｂの「（トップページ内ＵＲＬ）」に示されるＵＲＬとは、重複する。
したがって、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリの「（ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／のコンテンツが自動で取得したコンテンツの記録）」に示されるＵＲＬも、グレーＵＲＬ情報３０５のエントリの一部として削除して構わない。
【０１４２】
そして、ブラックＵＲＬ特定部１０８は、編集後のグレーＵＲＬ情報３０５をブラックＵＲＬ情報２５０とし、ブラックＵＲＬ情報２５０からブラックＵＲＬ２０８を抽出する（図２７のＳ２６０３）。ブラックＵＲＬ情報２５０の具体例を図２８に示す。
ここで、ブラックＵＲＬ情報２５０（例えば図２８に示す例）に含まれるＵＲＬの情報を（例えば「ｈｔｔｐ：／／○○○．７８９−ｓａｍｐｌｅ．△△△／」）を、ブラックＵＲＬ２０８と称する。
【０１４３】
そして、図２８に示す「（ｈｔｔｐ：／／○○○．７８９−ｓａｍｐｌｅ．△△△／のコンテンツが自動で取得したコンテンツの記録）」にもＵＲＬの情報が含まれる場合がある。その場合、ブラックＵＲＬ特定部１０８は、このＵＲＬをブラックＵＲＬ２０８として抽出しても良い。
【０１４４】
なお、ブラウザアクセスＵＲＬ情報３０７のトップページＵＲＬ情報３０６部分に示されるＵＲＬは、例えば端末操作ログ２０３などのユーザ指示情報に示されるＵＲＬであり、ユーザがブラウザを用いて端末装置５００にアクセスを指示したＵＲＬである。
【０１４５】
そして、ブラックＵＲＬ特定部１０８の処理の具体例として、図２６に示すグレーＵＲＬ特定部１０５の第２の例で処理された情報を示した。ここで、グレーＵＲＬ特定部１０５の処理の第１の例と第２の例とのいずれも、グレーＵＲＬ情報３０５は、プロキシログエントリ３０１に示されるＵＲＬから、ホワイトＵＲＬ３０２に示されるＵＲＬが除外されたものである。（グレーＵＲＬ特定部１０５の処理の第２の例のグレーＵＲＬ情報３０５は、トップページ内ＵＲＬ６０６に示されるＵＲＬが追加で除外されている。）
すなわち、グレーＵＲＬ情報３０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬを示す情報である。
【０１４６】
そして、ブラックＵＲＬ２０８は、グレーＵＲＬ情報３０５に示されるＵＲＬの内、トップページＵＲＬ情報３０６（ユーザ指示情報）に示されないＵＲＬである。すなわち、ブラックＵＲＬ２０８は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）とトップページＵＲＬ情報３０６（ユーザ指示情報）とのいずれにも示されていないＵＲＬである。
換言すると、ブラックＵＲＬ特定部１０８は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬ（アドレス）の内、ＵＲＬホワイトリスト２０２（正当アドレス情報）とトップページＵＲＬ情報３０６（ユーザ指示情報）とのいずれにも示されていないＵＲＬ（アドレス）を抽出する。
【０１４７】
つまり、ブラックＵＲＬ２０８とは、例えば企業などの組織に許可されたホワイトＵＲＬ３０２ではなく、かつ、ユーザの操作によるブラウザからアクセスではないＵＲＬである。その為、ブラックＵＲＬ２０８は、マルウェアの通信によるアクセス先ＵＲＬであると考えられる。
【０１４８】
（ブラックＵＲＬ特定部１０８の処理の第２の例）
次に図２７を用いて、ブラックＵＲＬ特定部１０８の処理の第２の例を説明する。
ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５とブラウザアクセスＵＲＬ情報３０７（ブラウザアクセスＵＲＬ情報３０７のセット）とを入力する（図２７のＳ２６０１）。
ここで、グレーＵＲＬ情報３０５は、前述のグレーＵＲＬ特定部１０５の第１の例で処理された情報であり、図２４に示す例とする。すなわち、グレーＵＲＬ情報３０５に示されるＵＲＬは、プロキシログエントリ３０１に示されるＵＲＬから、ホワイトＵＲＬ３０２に示されるＵＲＬが除外されたものである。
また、ブラウザアクセスＵＲＬ情報３０７は図１６に示す例とし、ブラウザアクセスＵＲＬ情報３０７ａに含まれるトップページ内ＵＲＬ６０６は、図１５に示す例とする。
ここで、グレーＵＲＬ特定部１０５の処理における説明と同様に、ブラウザアクセスＵＲＬ情報３０７ｂ〜３０７ｄに対応するトップページ内ＵＲＬ６０６は無いものと想定する。
【０１４９】
そして、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７のＵＲＬが含まれるエントリを削除する（図２７のＳ２６０２）。
ここで、ブラックＵＲＬ特定部１０８の処理の第１の例と同様に、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７の内、トップページＵＲＬ情報３０６の部分に示されるＵＲＬが含まれるエントリを削除する。そして、更に、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ特定部１０８の処理の第２の例の場合、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７の内、トップページ内ＵＲＬ６０６の部分に示されるＵＲＬが含まれるエントリも削除する。
【０１５０】
例えば、図２４のＤ２５０１の行に示すグレーＵＲＬ情報３０５のエントリは、図１６のブラウザアクセスＵＲＬ情報３０７ｂのトップページＵＲＬ情報３０６部分に示されるＵＲＬが含まれる。よって、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５から図２４のＤ２５０１の行に示すグレーＵＲＬ情報３０５のエントリを削除する。
更に、図２４のＤ２５０４の行に示すグレーＵＲＬ情報３０５のエントリは、図１５のＤ６０６１の行に示されるトップページ内ＵＲＬ６０６のＵＲＬが含まれる。よって、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５から図２４のＤ２５０４の行に示すグレーＵＲＬ情報３０５のエントリを削除する。
【０１５１】
そして、ブラックＵＲＬ特定部１０８は、編集後のグレーＵＲＬ情報３０５をブラックＵＲＬ情報２５０とし、ブラックＵＲＬ情報２５０からブラックＵＲＬ２０８を抽出する（図２７のＳ２６０３）。
結果的に、ブラックＵＲＬ特定部１０８の処理の第１の例と、第２の例とによるブラックＵＲＬ２０８は、図２８に示すように同内容になる。
【０１５２】
なお、ブラウザアクセスＵＲＬ情報３０７のトップページＵＲＬ情報３０６部分に示されるＵＲＬは、前述の通り、ユーザ指示情報に示されるＵＲＬである。そして、ブラウザアクセスＵＲＬ情報３０７のトップページ内ＵＲＬ６０６に示されるＵＲＬは、ユーザ指示情報に示されるＵＲＬのウェブページにリンクなどで関連付けされているＵＲＬが示される関連アドレス情報である。
すなわち、ローカルプロキシログ取り込み部１０４は、ユーザ指示情報に示されるアドレスのウェブページに関連付けされているアドレスが示される関連アドレス情報を入力している。
そして、前述のように、グレーＵＲＬ情報３０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬを示す情報である。
【０１５３】
そして、ブラックＵＲＬ２０８は、グレーＵＲＬ情報３０５に示されるＵＲＬの内、トップページＵＲＬ情報３０６（ユーザ指示情報）とトップページ内ＵＲＬ６０６とに示されないＵＲＬである。すなわち、ブラックＵＲＬ２０８は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）とトップページＵＲＬ情報３０６（ユーザ指示情報）とトップページ内ＵＲＬ６０６（関連アドレス情報）とのいずれにも示されていないＵＲＬである。
換言すると、ブラックＵＲＬ特定部１０８は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬ（アドレス）の内、ＵＲＬホワイトリスト２０２（正当アドレス情報）とトップページＵＲＬ情報３０６（ユーザ指示情報）とトップページ内ＵＲＬ６０６（関連アドレス情報）とのいずれにも示されていないＵＲＬ（アドレス）を抽出する。
【０１５４】
（ブラックＵＲＬ特定部１０８の処理の第３の例）
図２９は、ローカルプロキシログ２０４を使用しない場合のブラウザアクセスＵＲＬ情報３０７の例を示す図である。
【０１５５】
図２９を用いて、ブラックＵＲＬ特定部１０８の処理の第３の例を説明する。
ブラックＵＲＬ特定部１０８の処理の第１の例は、ローカルプロキシログ２０４を使用したが、ブラックＵＲＬ特定部１０８の処理の第２の例では、ローカルプロキシログ２０４を使用しない場合を説明する。
この場合、ローカルプロキシログ取り込み部１０４、トップページＵＲＬ特定部１０６、ブラウザアクセスＵＲＬ特定部１０７は、使用されない。
そして、ブラックＵＲＬ特定部１０８は、端末操作ログ取り込み部１０３が出力するＷｅｂアクセスＵＲＬ情報３０３をブラウザアクセスＵＲＬ情報３０７として入力する。
【０１５６】
ここで、ローカルプロキシログ２０４を使用しない場合のブラウザアクセスＵＲＬ情報３０７の例を図２９に示す。ここで、メソッド、ステータス、通信サイズ、トップページ内ＵＲＬが「ＮＵＬＬ」となっているのは、ローカルプロキシログ２０４を使用しない為、情報が無いことを示している。
【０１５７】
その他の処理は、ブラックＵＲＬ特定部１０８の処理の第１の例と同じである為、説明を省略する。
なお、ローカルプロキシログ２０４を使用しないので、トップページ内ＵＲＬ６０６の情報が無く、グレーＵＲＬ特定部１０５における処理は、前述の第１の例に示す処理となる。
【０１５８】
（ブラックＵＲＬ特定部１０８の処理の第４の例）
ブラックＵＲＬ特定部１０８の処理の第４の例を説明する。
ブラックＵＲＬ特定部１０８の処理の第４の例は、端末操作ログ２０３とローカルプロキシログ２０４とを使用しない場合を説明する。
この場合、端末操作ログ取り込み部１０３、ローカルプロキシログ取り込み部１０４、トップページＵＲＬ特定部１０６、ブラウザアクセスＵＲＬ特定部１０７は使用されない。従って、ブラウザアクセスＵＲＬ情報３０７も生成されない。
【０１５９】
そして、ローカルプロキシログ２０４を使用しないので、トップページ内ＵＲＬ６０６の情報が無く、グレーＵＲＬ特定部１０５における処理は、前述の第１の例に示す処理となる。
ブラックＵＲＬ特定部１０８は、グレーＵＲＬ特定部１０５が前述の第１の例の処理により出力したグレーＵＲＬ情報３０５を入力し、入力したグレーＵＲＬ情報３０５をブラックＵＲＬ情報２５０とし、ブラックＵＲＬ２０８を抽出する。
【０１６０】
（ブラウザアクセスＵＲＬ情報３０７の保存処理）
ブラウザアクセスＵＲＬ情報３０７の保存処理を第１の例と第２の例とに分けて説明する。
【０１６１】
（ブラウザアクセスＵＲＬ情報３０７の保存処理の第１の例）
図３０は、ブラウザアクセスＵＲＬ情報３０７保存処理の第１の例を示すフローチャートである。
【０１６２】
情報漏洩検知システム１００の記憶装置（例えば磁気ディスク装置）は、ブラウザアクセスＵＲＬ情報３０７を記憶する。そして、情報漏洩検知システム１００の記憶装置は、情報漏洩検知システム１００が動作する毎に、既に記憶しているブラウザアクセスＵＲＬ情報３０７に新しいブラウザアクセスＵＲＬ情報３０７を追加して記憶する。従って、情報漏洩検知システム１００を動作させる度に、ブラウザアクセスＵＲＬ情報３０７は増える。
図３０を用いて、ブラウザアクセスＵＲＬ情報３０７の保存処理の第１の例を説明する。
【０１６３】
まず、ブラウザアクセスＵＲＬ特定部１０７は、図１２と図１４とに示す処理で、ブラウザアクセスＵＲＬ情報３０７を生成した際に、記憶装置に記憶されているブラウザアクセスＵＲＬ情報３０７（記憶装置に記憶されているブラウザアクセスＵＲＬ情報３０７を「保存ブラウザアクセスＵＲＬ情報」と称する）が有るか否かを判定する（図３０のＳ９０１）。
保存ブラウザアクセスＵＲＬ情報が有れば（図３０のＳ９０１の「ＹＥＳ」）、ブラウザアクセスＵＲＬ特定部１０７は、記憶装置から保存ブラウザアクセスＵＲＬ情報を入力する（図３０のＳ９０２）。
次に、ブラウザアクセスＵＲＬ特定部１０７は、入力した保存ブラウザアクセスＵＲＬ情報に生成したブラウザアクセスＵＲＬ情報３０７を追加する（図３０のＳ９０３）。
そして、ブラウザアクセスＵＲＬ特定部１０７は、編集（保存ブラウザアクセスＵＲＬ情報に生成したブラウザアクセスＵＲＬ情報３０７を追加）した情報をブラウザアクセスＵＲＬ情報３０７として出力する（図３０のＳ９０４）。更に、ブラウザアクセスＵＲＬ特定部１０７は、編集した情報を保存ブラウザアクセスＵＲＬ情報として記憶装置に入力し、記憶装置は新たな保存ブラウザアクセスＵＲＬ情報を記憶する（図３０のＳ９０６）。
【０１６４】
１回でもブラウザアクセスＵＲＬ特定部１０７によりブラウザアクセスＵＲＬ情報３０７が生成された場合は、記憶装置に保存ブラウザアクセスＵＲＬ情報が存在する。しかし、例えば情報漏洩検知システム１００の初回動作時など、記憶装置に保存ブラウザアクセスＵＲＬ情報が存在しない場合（図３０のＳ９０１の「ＮＯ」）、ブラウザアクセスＵＲＬ特定部１０７は生成したブラウザアクセスＵＲＬ情報３０７をそのまま出力する（図３０のＳ９０５）。そして、記憶装置は、ブラウザアクセスＵＲＬ特定部１０７により生成されたブラウザアクセスＵＲＬ情報３０７を保存ブラウザアクセスＵＲＬ情報として記憶する（図３０のＳ９０６）。
【０１６５】
あるいは、記憶装置に記憶される保存ブラウザアクセスＵＲＬ情報は、情報漏洩検知システム１００が停止（電源オフ）される毎に消去されても良い。
【０１６６】
（ブラウザアクセスＵＲＬ情報３０７の保存処理の第２の例）
図３１は、ブラウザアクセスＵＲＬ情報３０７保存処理の第２の例を示すフローチャートである。
【０１６７】
保存ブラウザアクセスＵＲＬ情報は、一定の期間（例えば１日）が経過した場合に消去され、該当する情報が消去されても良い。図３１を用いて、ブラウザアクセスＵＲＬ情報３０７の保存処理の第２の例を説明する。
【０１６８】
まず、ブラウザアクセスＵＲＬ特定部１０７は、図１２と図１４とに示す処理で、ブラウザアクセスＵＲＬ情報３０７を生成した際に、保存ブラウザアクセスＵＲＬ情報が有るか否かを判定する（図３１のＳ１００１）。
保存ブラウザアクセスＵＲＬ情報が無ければ（図３１のＳ１００１の「ＮＯ」）、ブラウザアクセスＵＲＬ特定部１０７は、生成したブラウザアクセスＵＲＬ情報３０７を出力する（図３１のＳ１００８）。
更に、ブラウザアクセスＵＲＬ特定部１０７は、生成したブラウザアクセスＵＲＬ情報３０７をエントリ毎に（各行毎に）タイムスタンプと対応付けて、保存ブラウザアクセスＵＲＬ情報として記憶装置に入力する。そして、記憶装置はタイムスタンプに対応付けられた各エントリ（各行）から成る保存ブラウザアクセスＵＲＬ情報を記憶する（図３１のＳ１００９）。
【０１６９】
一方、保存ブラウザアクセスＵＲＬ情報が有れば（図３１のＳ１００１の「ＹＥＳ」）、ブラウザアクセスＵＲＬ特定部１０７は、保存ブラウザアクセスＵＲＬ情報を入力する（図３１のＳ１００２）。
次に、ブラウザアクセスＵＲＬ特定部１０７は、入力した保存ブラウザアクセスＵＲＬ情報に生成したブラウザアクセスＵＲＬ情報３０７をエントリ毎に（各行毎に）タイムスタンプと対応付けて、追加する（図３１のＳ１００３）。この時、ブラウザアクセスＵＲＬ特定部１０７は、入力した保存ブラウザアクセスＵＲＬ情報のエントリ毎に（各行毎に）対応付けられているタイムスタンプは変更しない。
そして、ブラウザアクセスＵＲＬ特定部１０７は、編集した情報をブラウザアクセスＵＲＬ情報３０７として出力する（図３１のＳ１００４）。更に、ブラウザアクセスＵＲＬ特定部１０７は、編集した情報を保存ブラウザアクセスＵＲＬ情報として記憶装置に入力し、記憶装置は新たな保存ブラウザアクセスＵＲＬ情報を記憶する（図３１のＳ１００５）。
【０１７０】
そして、ブラウザアクセスＵＲＬ特定部１０７は、記憶装置に保存ブラウザアクセスＵＲＬ情報が存在し、予め設定された保存期間を過ぎたタイムスタンプが対応付けられているエントリが保存ブラウザアクセスＵＲＬ情報に含まれているか否かを判定する（図３１のＳ１００６）。この予め設定された保存期間も例えば、情報漏洩検知システム１００の記憶装置に記憶されている。
例えば、保存期間が「１日」と設定されている場合、ブラウザアクセスＵＲＬ特定部１０７は、保存ブラウザアクセスＵＲＬ情報のエントリの内、対応付けられているタイムスタンプに２４時間を足した日時が現日時を超えているエントリが含まれているか否かを判定する。
該当のエントリが含まれていれば（図３１のＳ１００６の「ＹＥＳ」）、ブラウザアクセスＵＲＬ特定部１０７は、保存ブラウザアクセスＵＲＬ情報から該当のエントリと該当のエントリに対応付けられたタイムスタンプとを消去する（図３１のＳ１００７）。そして、記憶装置は、ブラウザアクセスＵＲＬ特定部１０７が編集した情報を新たな保存ブラウザアクセスＵＲＬ情報として記憶する。
【０１７１】
（実施の形態１の効果）
図３２は、従来の情報漏洩検知システム１００の課題の例を示す図である。
【０１７２】
例えば、マルウェアが感染した端末装置５００は、ネットワーク１５０（例えばインターネット）上のＣ＆Ｃ（Ｃｏｍａｎｄ＆Ｃｏｎｔｒｏｌ）サーバとＨＴＴＰ通信を行う。そこで、従来、標的型攻撃へ対策する方法として、この点に着目し、ＨＴＴＰ通信を検知する方法が考えられている。そして、例えば企業などの組織におけるインターネットとの通信はＨＴＴＰが殆どであり、全てのＨＴＴＰ（またはＨＴＴＰＳ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）通信は、プロキシサーバ装置６００を経由する。よって、ＨＴＴＰの通信を記録するプロキシログ２０１を分析することで特定する方法がある。
しかし、組織においてプロキシログ２０１は大量である。そして、一方Ｃ＆Ｃサーバとの通信はわずかで、その挙動はユーザからは認識されず、目立たないためプロキシログ２０１からＣ＆Ｃサーバとの通信を発見することは困難である。すなわち、わずかなマルウェアの通信を大量のプロキシログ２０１から発見するのは困難という課題がある（図３２のＣ１０１）。
また、プロキシログを見ただけでは、ユーザが意図してアクセスしたのか、何かのプログラムがユーザの意図とは関係なくアクセスしたのか判断できないという課題がある（図３２のＣ１０２）。
【０１７３】
また、従来、ＵＲＬフィルタによりマルウェアの通信を遮断する製品が複数存在する。一般的にＵＲＬフィルタではアクセスを禁止すべきＵＲＬのブラックリストを設けるか、アクセスを許可するＵＲＬのホワイトリストを作成しアクセスを制御する。しかし、通信を許可すべきではない怪しいＷｅｂサイトは次々に現れるため、ブラックリストを完全に作ることは困難である。従って、ＵＲＬフィルタの設定に完全なものはなく、管理者のスキルに依存して設定される。ＵＲＬフィルタの設定によってはＵＲＬアクセスを禁止すべきマルウェアの通信を特定できない（マルウェアのアクセスＵＲＬが漏れる）という課題がある（図３２のＣ１０３）。
【０１７４】
一方、本実施の形態における情報漏洩検知システム１００は、プロキシログ２０１、ＵＲＬホワイトリスト２０２、端末操作ログ２０３、ローカルプロキシログ２０４を用いて、ユーザが意図しないマルウェアによる通信と思われるＨＴＴＰ通信を特定する。
【０１７５】
すなわち、本実施の形態における情報漏洩検知システム１００は、調査対象の端末装置５００における端末操作ログ２０３とローカルプロキシログ２０４とからユーザがブラウザでアクセスしたＵＲＬが示されるブラウザアクセスＵＲＬ情報３０７を特定する。
ここで、本実施の形態の情報漏洩検知システム１００は、端末操作ログ２０３からトップページＵＲＬ情報３０６を特定し、ローカルプロキシログ２０４からトップページ内ＵＲＬ６０６（トップページＵＲＬのコンテンツが自動で取得する、あるいはリンクしているＵＲＬ）を特定する。そして、本実施の形態の情報漏洩検知システム１００は、トップページＵＲＬ情報３０６とトップページ内ＵＲＬ６０６と合わせてブラウザアクセスＵＲＬ情報３０７とする。
そして、本実施の形態の情報漏洩検知システム１００は、組織に共通のプロキシサーバ装置６００におけるプロキシログ２０１の内、調査対象の端末装置５００に関わるＵＲＬの記録（端末装置５００からのＷｅｂアクセスのＵＲＬ）から、ＵＲＬホワイトリスト２０２で許可されたＵＲＬを除いたグレーＵＲＬ情報３０５を特定する。さらに、本実施の形態の情報漏洩検知システム１００は、グレーＵＲＬ情報３０５からブラウザアクセスＵＲＬ情報３０７のＵＲＬを除くことで、ブラックＵＲＬ２０８を特定する。
【０１７６】
つまり、本実施の形態の情報漏洩検知システム１００は、例えば企業などの組織に許可されたＵＲＬでなく、ユーザがブラウザからアクセスしたＵＲＬでもないブラックＵＲＬ２０８を抽出することが可能である。このブラックＵＲＬ２０８は、端末装置５００からのＷｅｂ通信においてユーザの意図しないアクセスのアクセス先である。従って、本実施の形態の情報漏洩検知システム１００は、例えば情報漏洩等マルウェアが行う不正なＷｅｂ通信によりアクセスされたＵＲＬを検知することが可能である。
換言すると、情報漏洩検知システム１００は、大量のプロキシログ２０１の情報から、例えば管理者のスキルに依存することなく、ユーザの意図と関係ないアクセスのアクセス先のＵＲＬを検知することが可能である。
【０１７７】
また、本実施の形態のブラックＵＲＬ特定部１０８の処理の第３の例に示す方法では、環境によってはローカルプロキシのアプリケーションを端末装置５００にインストール出来ない場合（ローカルプロキシを利用しない場合）でも、ブラックＵＲＬ２０８を特定することが可能である。
更に、本実施の形態のブラックＵＲＬ特定部１０８の処理の第４の例に示す方法では、環境によってはローカルプロキシと端末操作記録アプリケーションをインストールできない場合（ローカルプロキシと端末操作記録アプリケーションとを利用しない場合）でも、ブラックＵＲＬ２０８を特定することが可能である。
【０１７８】
実施の形態２．
（実施の形態２における情報漏洩検知システム１００の概要）
実施の形態２の情報漏洩検知システム１００は、プロキシログエントリ３０１に示されるＵＲＬの内、ローカルプロキシログ２０４に記録の無いＵＲＬで、かつ、ホワイトＵＲＬ３０２でもないＵＲＬをブラックＵＲＬ２０８として抽出する。
すなわち、実施の形態２の情報漏洩検知システム１００は、ローカルプロキシを経由せずにＷｅｂ通信されたアクセス先のＵＲＬを抽出する。
なお、実施の形態２の情報漏洩検知システム１００は、端末操作ログ２０３を使用しない。従って、端末操作ログ取り込み部１０３は使用されない。
ブラウザアクセスＵＲＬ特定部１０７は、ローカルプロキシログエントリ３０４のみを入力し、後述の処理によりブラウザアクセスＵＲＬ情報３０７を出力する。
【０１７９】
なお、実施の形態２の情報漏洩検知システム１００は、端末操作ログ取り込み部１０３を使用しない以外は、図２に示す実施の形態１の情報漏洩検知システム１００と同じ構成である。従って、実施の形態１と同じ構成要素及び、実施の形態１と同じ処理内容については説明を省略する。
【０１８０】
（トップページＵＲＬ特定部１０６の処理）
図３３は、トップページＵＲＬ特定部１０６の処理の例を示すフローチャートである。
図３３を用いて、実施の形態２におけるトップページＵＲＬ特定部１０６の処理を説明する。
【０１８１】
まず、トップページＵＲＬ特定部１０６は、実施の形態１と同様に、ローカルプロキシログエントリ３０４を全て入力したか否かを判定する（図３３のＳ３０１）。
トップページＵＲＬ特定部１０６は、実施の形態１と同様に、全てのローカルプロキシログエントリ３０４を入力していなければ（図３３のＳ３０１の「ＮＯ」）、入力していないローカルプロキシログエントリ３０４を例えばアクセス日時の時系列順に入力する（図３３のＳ３０２）。
ここで、例えば、トップページＵＲＬ特定部１０６は、図９のローカルプロキシログエントリ３０４ａ「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、ＧＥＴ、２００、１０００、コンテンツ実体」を入力したとする。
【０１８２】
そして、トップページＵＲＬ特定部１０６は、入力したローカルプロキシログエントリ３０４に含まれるＵＲＬを抽出する（図３３のＳ３０３）。
具体例で示すと、トップページＵＲＬ特定部１０６は、図９のローカルプロキシログエントリ３０４ａに含まれるＵＲＬ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」を抽出する。そして、トップページＵＲＬ特定部１０６は、抽出したＵＲＬをトップページＵＲＬとし、入力したローカルプロキシログエントリ３０４ａから実施の形態１と同様に、図１３に示すトップページＵＲＬ情報３０６ａを生成する。
【０１８３】
そして、トップページＵＲＬ情報３０６が生成される毎に、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ特定部１０６が入力したローカルプロキシログエントリ３０４からトップページ内ＵＲＬ６０６を抽出する（図３３のＳ３０４）。そして、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ情報３０６とトップページ内ＵＲＬ６０６とからブラウザアクセスＵＲＬ情報３０７を生成する。
図３３のＳ３０４の処理は、実施の形態１の図１２のＳ１０４の処理と同じである為、詳細な説明は省略する。
【０１８４】
なお、実施の形態１では、端末操作ログ２０３を使用している為、ブラウザの操作によりアクセスされたＵＲＬがブラウザアクセスＵＲＬ情報３０７となる。一方、実施の形態２では、ローカルプロキシ経由でＷｅｂアクセスするブラウザ以外のアプリケーションのＷｅｂ通信情報もブラウザアクセスＵＲＬ情報３０７に含まれる点が実施の形態１とは異なる。
【０１８５】
また、実施の形態２では、トップページＵＲＬ特定部１０６がトップページＵＲＬ情報３０６を生成し、ブラウザアクセスＵＲＬ特定部１０７がトップページ内ＵＲＬ６０６を抽出して、ブラウザアクセスＵＲＬ情報３０７を生成すると説明した。
しかし、ブラウザアクセスＵＲＬ特定部１０７がローカルプロキシログエントリ３０４を入力し、前述トップページＵＲＬ特定部１０６と同様の処理を行うことも可能である。すなわち、ブラウザアクセスＵＲＬ特定部１０７がローカルプロキシログエントリ３０４を入力し、トップページＵＲＬ情報３０６を生成し、トップページ内ＵＲＬ６０６を抽出してブラウザアクセスＵＲＬ情報３０７を生成することも可能である。この場合、トップページＵＲＬ特定部１０６は使用されない。
【０１８６】
（実施の形態２の効果）
実施の形態２の情報漏洩検知システム１００は、環境によっては端末操作記録アプリケーションをインストールできない場合（端末操作記録アプリケーションを利用しない場合）でも、ブラックＵＲＬ２０８を特定することが可能である。
【０１８７】
実施の形態３．
（実施の形態３における情報漏洩検知システム１００の概要）
実施の形態３では、端末装置５００に例えばＷｅｂカメラが備えられている（Ｗｅｂカメラの図示は省略する）。そして、期間特定部２００（図２）は、Ｗｅｂカメラの映像からユーザが端末装置５００に座っているか否かを判定して、座っていないと判定される期間を期間２０６として入力する。ここで、Ｗｅｂカメラの映像からユーザが端末装置５００に座っているか否かを判定する技術は、公知技術を使用する。
なお、ユーザが端末装置５００に座っているか否かを判定する技術としては、Ｗｅｂカメラを使用するものに特定されず、例えば、温度の変化を捉えるセンサや、音の変化を捉えるセンサなどを使用するものであっても良い。また、重量センサを備えた椅子を用いることによりユーザが端末装置５００（端末装置５００の椅子）に座っているか否かを判定することも可能である。
【０１８８】
すなわち、実施の形態３の情報漏洩検知システム１００は、ユーザが端末装置５００に座っていない期間（ユーザによる端末装置５００やブラウザの操作が無い期間）のグレーＵＲＬ情報３０５とブラックＵＲＬ２０８（ブラックＵＲＬ情報２５０）とを抽出する。この期間は、ユーザが端末装置５００に座っていないため、ユーザによるブラウザ操作がされていない期間として考えられる。そして、この期間に発生したＷｅｂアクセスは、何かしらのプログラムが自動的にＷｅｂサイトへアクセスしたために発生したアクセスであると考えられる。
【０１８９】
つまり、実施の形態３の情報漏洩検知システム１００で抽出されるグレーＵＲＬ情報３０５は、実施の形態１で抽出されるグレーＵＲＬ情報３０５よりも絞り込まれることになる。
【０１９０】
なお、実施の形態３の情報漏洩検知システム１００は、図２に示す実施の形態１の情報漏洩検知システム１００と同じ構成である。従って、実施の形態１と同じ構成要素及び、実施の形態１と同じ処理内容については説明を省略する。
【０１９１】
（期間特定部２００の処理）
図３４は、期間特定部２００の処理の例を示すフローチャートである。
期間特定部２００は、図３４のフローチャートに基づき、ユーザが端末装置５００に座っていない期間を演算する。
【０１９２】
まず、期間特定部２００は、Ｗｅｂカメラの映像からの映像を入力し、ユーザが座っているか否かを判定する（図３４のＳ１６０１）。すなわち、Ｗｅｂカメラと期間特定部２００とは、ユーザの存在を検知する検知装置である。
ここで、期間特定部２００は、Ｗｅｂカメラからの映像を処理し、ユーザが座っているか否かの判定を行い、その判定結果を出力する映像処理装置（図示は省略）からユーザが座っているか否かの情報を入力しても良い。そして、期間特定部２００は、ユーザが座っているか否かの情報に基づき、ユーザが座っているか否かを判定することも可能である。この場合、Ｗｅｂカメラと映像処理装置と期間特定部２００とがユーザの存在を検知する検知装置である。
【０１９３】
そして、期間特定部２００は、ユーザが座っていない判定とした場合（図３４のＳ１６０１の「ＮＯ」）、現在の日時を「Ｓｔａｒｔ＿ｔｉｍｅ」に設定する（図３４のＳ１６０２）。
そして、期間特定部２００は、予め設定された時間（ｎ分間）待機し（図３４のＳ１６０３）、再度Ｓ１６０１の処理を行う。
【０１９４】
一方、期間特定部２００は、ユーザが座っている判定とした場合（図３４のＳ１６０１の「ＹＥＳ」）、「Ｓｔａｒｔ＿ｔｉｍｅ」が既に設定されているか否かを判定する（図３４のＳ１６０４）。
そして、期間特定部２００は、「Ｓｔａｒｔ＿ｔｉｍｅ」が既に設定されていると判定した場合（図３４のＳ１６０４の「ＹＥＳ」）、現在の日時を「Ｅｎｄ＿ｔｉｍｅ」に設定する（図３４のＳ１６０５）。一方、期間特定部２００は、「Ｓｔａｒｔ＿ｔｉｍｅ」が設定されていないと判定した場合（図３４のＳ１６０４の「ＮＯ」）、Ｓ１６０３の処理を行う。
【０１９５】
そして、期間特定部２００は、設定した「Ｓｔａｒｔ＿ｔｉｍｅ」と「Ｅｎｄ＿ｔｉｍｅ」との期間を期間２０６に設定する。
【０１９６】
そして、プロキシログ２０１は、例えば図１７に示すように各エントリがアクセス日時（アクセス時刻）に対応付けられている。
すなわち、プロキシログ取り込み部１０１（図２）は、プロキシサーバ装置６００が行ったアクセス毎にアクセスが行われたアクセス時刻とアクセス先のアドレスとが対応付けられて示されるプロキシログ２０１を入力する。
【０１９７】
そして、プロキシログ取り込み部１０１は、プロキシログ２０１のエントリの内、実施の形態１と同様に、期間２０６に含まれるアクセス時刻が示されるエントリをプロキシログエントリ３０１として抽出する。ここで期間２０６は、前述の通りユーザが端末装置５００の前に存在しないと検知された期間である。
さらに、グレーＵＲＬ特定部１０５は、プロキシログ取り込み部１０１が抽出したプロキシログエントリ３０１を用いてグレーＵＲＬ情報３０５を抽出する。
【０１９８】
すなわち、グレーＵＲＬ特定部１０５は、プロキシログ取り込み部１０１により入力されたプロキシログ２０１に示されるアドレスの内、ユーザの存在を検知する検知装置（期間特定部２００）が、ユーザが端末装置５００の前に存在しないと検知した期間２０６に含まれるアクセス時刻に対応付けられているアドレスを抽出する。
【０１９９】
なお、ブラックＵＲＬ特定部１０８は、実施の形態１と同様に実施の形態３におけるグレーＵＲＬ特定部１０５が抽出したグレーＵＲＬ情報３０５をブラックＵＲＬ情報２５０とし、ブラックＵＲＬ２０８を抽出することも可能である。
【０２００】
（実施の形態３の効果）
実施の形態３の情報漏洩検知システム１００は、端末操作ログ２０３やローカルプロキシログ２０４を使用せずに、ユーザが端末装置５００に座っていない期間を特定することが可能である。そして、実施の形態３の情報漏洩検知システム１００は、調査対象期間をユーザが端末装置５００に座っていない期間、すなわち、ユーザによりブラウザ操作がされていない期間とすることで、抽出されるグレーＵＲＬ情報３０５を絞り込むことが可能である。
すなわち、実施の形態３の情報漏洩検知システム１００は、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。
【０２０１】
なお、実施の形態３における期間特定部２００の処理を実施の形態１と実施の形態２との期間特定部２００に行わせることも可能である。
【０２０２】
実施の形態４．
（実施の形態４における情報漏洩検知システム１００の概要）
実施の形態４の情報漏洩検知システム１００は、端末操作ログ２０３にユーザ操作の履歴が残っている期間以外の期間を調査対象とする。
【０２０３】
なお、実施の形態４の情報漏洩検知システム１００は、図２に示す実施の形態１の情報漏洩検知システム１００と同じ構成である。従って、実施の形態１と同じ構成要素及び、実施の形態１と同じ処理内容については説明を省略する。
【０２０４】
（端末操作ログ取り込み部１０３の処理）
図３５は、端末操作ログ取り込み部１０３の処理の例を示すフローチャートである。
まず、端末操作ログ取り込み部１０３は、実施の形態１と同様に、期間２０６と端末操作ログ２０３とを入力する（図３５のＳ３５０１）。
ここで、期間２０６は「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ １８：００：００」とする。期間２０６は、あらかじめ定義された定義期間である。そして、「２０１１／０６／２３ ０８：００：００」が定義期間の開始時刻であり、「２０１１／０６／２３ １８：００：００」が定義期間の終了時刻である。
そして、端末操作ログ２０３は図３に示す例とする。
【０２０５】
ここで、端末操作ログ２０３は、図３に示すように操作日時と操作タイプと操作内容とが対応付けられている。つまり、端末操作ログ２０３は、ユーザが端末装置５００に対して指示する指示操作と指示操作毎の操作時刻とが対応付けられて示されている。
【０２０６】
そして、ユーザがアドレス指示操作を行った場合、すなわち、ユーザが端末装置５００に対してアクセス先のアドレスを指示すると共に、ユーザが端末装置５００に対して指示したアドレスに端末装置５００がＷｅｂアクセスを行うよう指示した場合、このアドレス指示操作が端末操作ログ２０３（例えば、図３）においては、「Ｗｅｂアクセス」のように表記されている。そして、この場合の図３に示される操作日時は、アドレス指示操作の操作日時である。
つまり、端末操作ログ２０３は、ユーザが端末装置５００に対してアドレス指示操作を行った場合（ユーザが端末装置５００に対してアクセス先のアドレスを指示した場合）に、ユーザが端末装置５００に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて端末装置５００がプロキシサーバ装置６００にアクセス先として通知したアドレスがアドレス指示操作とアドレス指示操作の操作時刻とに対応付けられて示される。
【０２０７】
次に、端末操作ログ取り込み部１０３は、期間を再設定する（図３５のＳ３５０２）。
具体的には、端末操作ログ取り込み部１０３は、操作日時が入力した期間２０６「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ １８：００：００」内である端末操作ログ２０３のエントリの内、最初に記録されたエントリと最後に記録されたエントリとの操作日時を抽出する。
【０２０８】
図３に示す端末操作ログ２０３の場合、端末操作ログ取り込み部１０３は、最初に記録されたエントリの操作日時（最初の操作時刻）として、図３のＤ２０３１に示される「２０１１／０６／２３ ０９：００：００」を抽出する。そして、端末操作ログ取り込み部１０３は、最後に記録されたエントリの操作日時（最後の操作時刻）として、図３のＤ２０３７に示される「２０１１／０６／２３ １６：００：００」を抽出する。
そして、端末操作ログ取り込み部１０３は、「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ ０８：５９：５９」と「２０１１／０６／２３ １６：００：０１〜２０１１／０６／２３ １８：００：００」とを期間２０６として再設定する。この再設定された期間２０６は、非操作期間（後述）に対応する。
【０２０９】
そして、端末操作ログ取り込み部１０３は、再設定した期間２０６を出力する（図３５のＳ３５０３）。
つまり、端末操作ログ取り込み部１０３は、期間２０６を算出する期間算出部に対応する。
【０２１０】
ここで、端末操作ログ取り込み部１０３は、端末操作ログ２０３に示される操作時刻の内、あらかじめ定義された定義期間である期間２０６の開始時刻後の最初の操作時刻と定義期間（期間２０６）の終了時刻前の最後の操作時刻とを抽出している。そして、端末操作ログ取り込み部１０３は、定義期間（期間２０６）の開始時刻から最初の操作時刻までの期間と最後の操作時刻から定義期間（期間２０６）の終了時刻までの期間とから成る非操作期間を算出し、期間２０６として再設定している。
【０２１１】
また、端末操作ログ取り込み部１０３は、図３５のＳ３５０２の処理において、ブラウザの操作記録のあった日時を抽出しても良い。
具体的には、端末操作ログ取り込み部１０３は、操作日時が入力した期間２０６「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ １８：００：００」内であり、ブラウザの操作を示す端末操作ログ２０３のエントリの内、最初に記録されたエントリと最後に記録されたエントリとの操作日時を抽出する。
【０２１２】
図３に示す端末操作ログ２０３の場合、ブラウザの操作を示す端末操作ログ２０３のエントリは、操作タイプが「Ｗｅｂアクセス」となっており、アクセス先のアドレスが操作内容として対応付けられている。
よって、端末操作ログ取り込み部１０３は、最初に記録されたエントリの操作日時（最初のアドレス対応操作時刻）として、図３のＤ２０３２に示される「２０１１／０６／２３ １０：００：００」を抽出する。そして、端末操作ログ取り込み部１０３は、最後に記録されたエントリの操作日時（最後のアドレス対応操作時刻）として、図３のＤ２０３７に示される「２０１１／０６／２３ １６：００：００」を抽出する。
そして、端末操作ログ取り込み部１０３は、「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ ０９：５９：５９」と「２０１１／０６／２３ １６：００：０１〜２０１１／０６／２３ １８：００：００」とを期間２０６として再設定する。この再設定された期間２０６は、非アドレス対応期間（後述）に対応する。
【０２１３】
ここで、端末操作ログ取り込み部１０３は、端末操作ログ２０３に示される操作時刻の内、定義期間（期間２０６）の開始時刻後の操作時刻であってアドレスが対応付けられている最初の操作時刻である最初のアドレス対応操作時刻と、定義期間（期間２０６）の終了時刻前の操作時刻であってアドレスが対応付けられている最後の操作時刻である最後のアドレス対応操作時刻とを抽出する。そして、端末操作ログ取り込み部１０３は、定義期間（期間２０６）の開始時刻から最初のアドレス対応操作時刻までの期間と最後のアドレス対応操作時刻から定義期間（期間２０６）の終了時刻までの期間とから成る非アドレス対応期間を算出し、期間２０６として再設定している。
【０２１４】
一方、プロキシログ取り込み部１０１、ローカルプロキシログ取り込み部１０４は端末操作ログ取り込み部１０３が再設定した期間２０６（非操作期間もしくは非アドレス対応期間のいずれか）を入力する。
そして、再設定された期間２０６に基づき、プロキシログ取り込み部１０１は、実施の形態１での説明と同様にプロキシログエントリ３０１を抽出する。
そして、グレーＵＲＬ特定部１０５は、再設定された期間２０６に基づいたプロキシログエントリ３０１からグレーＵＲＬ情報３０５を抽出する。
【０２１５】
すなわち、グレーＵＲＬ特定部１０５は、端末操作ログ取り込み部１０３により非操作期間が算出された場合に、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるアドレスの内、非操作期間に含まれるアクセス時刻が対応付けられているアドレスを抽出する。そして、グレーＵＲＬ特定部１０５は、端末操作ログ取り込み部１０３により非アドレス対応期間が算出された場合に、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるアクセス時刻に対応付けられているアドレスの内、非アドレス対応期間に含まれるアクセス時刻に対応付けられているアドレスを抽出する。
【０２１６】
また、端末操作ログ取り込み部１０３も、再設定された期間２０６に基づき、ＷｅｂアクセスＵＲＬ情報３０３を抽出し、ローカルプロキシログ取り込み部１０４も再設定された期間２０６に基づき、ローカルプロキシログエントリ３０４を抽出する。
【０２１７】
（実施の形態４の効果）
実施の形態４の情報漏洩検知システム１００は、ユーザが端末操作を行った期間を除外した期間について、マルウェアによるＷｅｂ通信のアクセス先アドレスを抽出する。また、実施の形態４の情報漏洩検知システム１００は、ユーザがブラウザ操作を行った期間を除外した期間について、マルウェアによるＷｅｂ通信のアクセス先アドレスを抽出する。
つまり、実施の形態４の情報漏洩検知システム１００は、ユーザが端末装置５００やブラウザを操作していない期間に発生した通信のログ、すなわち、マルウェアによるＷｅｂ通信の可能性が高いログに絞り込んでマルウェアによるＷｅｂ通信のアクセス先アドレスを抽出する。
すなわち、実施の形態４の情報漏洩検知システム１００は、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。
【０２１８】
なお、実施の形態４における端末操作ログ取り込み部１０３の処理を、実施の形態１〜３の端末操作ログ取り込み部１０３に行わせることも可能である。
【０２１９】
実施の形態５．
（実施の形態５〜８における情報漏洩検知システム１００の共通部分の説明）
実施の形態５の情報漏洩検知システム１００の説明の前に、実施の形態５〜８における情報漏洩検知システム１００の共通部分の説明を行う。
実施の形態５〜８における情報漏洩検知システム１００は、実施の形態１〜４いずれかのブラックＵＲＬ特定部１０８が抽出したブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補の内、所定の条件に合致するＵＲＬを条件合致アドレスとして特定し、条件合致アドレスをブラックＵＲＬ２０８として出力する。すなわち、ブラックＵＲＬ２０８は条件合致アドレスに対応する。
【０２２０】
すなわち、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補の内、少なくとも所定の条件に合致する所定のアドレスを条件合致アドレスとして特定する条件合致アドレス特定部に対応する。
【０２２１】
そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。すなわち、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する情報入力部に対応する。
【０２２２】
ここで、ブラック判定条件２０７とは、ブラックＵＲＬ候補からブラックＵＲＬ２０８を特定する為の所定の条件である。
ブラック判定条件２０７は、数種類存在し、あらかじめ例えばユーザによって設定され、例えば情報漏洩検知システム１００の記憶装置に記憶されている。そして例えばユーザは情報漏洩検知システム１００のキーボードなどの入力装置を用いて、記憶されている数種類のブラック判定条件２０７の中から少なくとも１つのブラック判定条件２０７を選択して入力する。ここで、ユーザは、記憶されている数種類のブラック判定条件２０７の中から複数のブラック判定条件２０７を組み合わせて入力することも可能である。
【０２２３】
そして、ブラックＵＲＬ特定部１０８は、入力したブラック判定条件２０７に対応してあらかじめ設定された処理を実行する。
また、ブラックＵＲＬ特定部１０８が、複数の（例えば２つの）ブラック判定条件２０７を入力した場合、ブラックＵＲＬ特定部１０８は、まず第１のブラック判定条件２０７に対応してブラックＵＲＬ候補の中から条件合致アドレス（ブラックＵＲＬ２０８）を特定する。そして、更に、ブラックＵＲＬ特定部１０８は、第１のブラック判定条件２０７によって特定された条件合致アドレス（ブラックＵＲＬ２０８）の中から、第２のブラック判定条件２０７に対応して、条件合致アドレス（ブラックＵＲＬ２０８）を特定することが可能である。
【０２２４】
なお、実施の形態５〜８の情報漏洩検知システム１００は、図２に示す実施の形態１の情報漏洩検知システム１００と同じ構成である。従って、実施の形態１と同じ構成要素及び、実施の形態１と同じ処理内容については説明を省略する。
以降、実施の形態５〜８の各実施の形態について説明を行う。
【０２２５】
（実施の形態５におけるブラックＵＲＬ特定部１０８の処理）
図３６は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜４いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。更に、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する（図３６のＳ１１０１）。
【０２２６】
ここで、ブラックＵＲＬ特定部１０８は、「端末装置５００のアクセス先のウェブページの提供元が属する国が、不正アクセスの多い国のブラックリストに含まれているか否か」というブラック判定条件２０７を入力する。
更に、ブラックＵＲＬ特定部１０８は、「不正アクセスの多い国のブラックリスト」の情報も入力する。
【０２２７】
不正アクセスの多い国は傾向として決まっているので、例えば、Ａ国、Ｂ国、Ｃ国を不正アクセスの多い国として「不正アクセスの多い国のブラックリスト」に定義することが可能である。
そして、「不正アクセスの多い国のブラックリスト」は、あらかじめ特定された国が示される特定国情報に対応する。
【０２２８】
そして、インターネット上には、例えば「ｈｔｔｐ：／／○○○．７８９−ｓａｍｐｌｅ．△△△／」というＵＲＬを入力すると、そのＵＲＬのウェブページがホストされている国（アドレスのウェブページの提供元が属する国）の情報を出力するインターネットサービスが存在する。このサービスを外部サービス２０９（図２）と称する。このアドレスのウェブページの提供元が属する国が示される情報を「提供国情報」と称する。
【０２２９】
そして、ブラックＵＲＬ特定部１０８は、インターネットを介し、ブラックＵＲＬ候補を外部サービス２０９に入力する。そして、ブラックＵＲＬ特定部１０８は、外部サービス２０９からの提供国情報を入力し、ブラックＵＲＬ候補のホスト国を特定する（図３６のＳ１１０２）。
すなわち、ブラックＵＲＬ特定部１０８は、抽出したブラックＵＲＬ候補毎（アドレス毎）の提供国情報を入力する。
【０２３０】
そして、ブラックＵＲＬ特定部１０８は特定したブラックＵＲＬ候補のホスト国が、「不正アクセスの多い国のブラックリスト」に含まれているか否かを判定する（図３６のＳ１１０３）。
ここで、例えば、特定したブラックＵＲＬ候補のホスト国がＡ国の場合、ブラックリストに含まれているので（図３６のＳ１１０３の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補をブラックＵＲＬ２０８として出力する（図３６のＳ１１０４）。一方、特定したブラックＵＲＬ候補のホスト国がＸ国の場合、ブラックリストに含まれていないので（図３６のＳ１１０３の「ＮＯ」）、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補をブラックＵＲＬ２０８として出力しない。
【０２３１】
すなわち、ブラックＵＲＬ特定部１０８は、入力された提供国情報に示される国の中で、「不正アクセスの多い国のブラックリスト」に示されるいずれかの国に合致する国が提供しているウェブページのアドレスをブラックＵＲＬ２０８として特定する。
【０２３２】
（実施の形態５の効果）
マルウェアの通信先のＣ＆Ｃサーバは不正アクセスの多い特定の国に存在することがある。そして、実施の形態５の情報漏洩検知システム１００は、ブラックＵＲＬ候補から、不正アクセスの多い特定の国をホスト国としたウェブページのＵＲＬであるか否かをブラック判定条件２０７として、ブラックＵＲＬ２０８を絞り込む。その為、実施の形態５の情報漏洩検知システム１００は、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。
【０２３３】
実施の形態６．
（実施の形態６における情報漏洩検知システム１００の概要）
実施の形態６の情報漏洩検知システム１００は、ブラック判定条件２０７として、ブラックＵＲＬ候補のウェブページへのアクセス数を用いる。具体的には、「今までアクセス数が少なかったブラックＵＲＬ候補において、急にアクセス数が一定期間増加し、その後また減少したか否か」をブラック判定条件２０７とする。
【０２３４】
（ブラックＵＲＬ特定部１０８の処理）
図３７は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
図３８は、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図である。
【０２３５】
なお、図２において図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１を入力することが可能である。ここで、ブラックＵＲＬ特定部１０８は、プロキシログ取り込み部１０１が入力したプロキシログ２０１をプロキシログ取り込み部１０１から入力しても良い。
また、プロキシログ２０１は、図１７に示す通り、プロキシサーバ装置６００が行ったアクセス毎にアクセス先のアドレスと通信サイズ（アクセス時のデータ通信量）とが対応付けられて示されている。
【０２３６】
まず、ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜４いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。更に変数ｎを「０」で初期化する（図３７のＳ１２０１）。
【０２３７】
ここでブラック判定条件２０７は、前述の通り「今までアクセス数が少なかったブラックＵＲＬ候補において、急にアクセス数が一定期間増加し、その後また減少したか否か」である。
【０２３８】
そして、ブラックＵＲＬ特定部１０８は、入力したプロキシログ２０１から各ブラックＵＲＬ候補に対する日毎のアクセス数をあらかじめ定められた集計期間において集計する（図３７のＳ１２０２）。この集計期間はあらかじめ情報漏洩検知システム１００の記憶装置に記憶されていても良いし、ユーザが情報漏洩検知システム１００の入力装置を用いて入力しても良い。
ここで、ブラックＵＲＬ特定部１０８が集計するアクセス数は、日毎に限らず、単位時間毎であれば、３日間毎であっても、１週間毎であっても良い。ここでは、ブラックＵＲＬ特定部１０８は、日毎にアクセス数を集計するものとして説明を進める。
すなわち、ブラックＵＲＬ特定部１０８は、各アドレスに対する単位時間毎のアクセス数を算出する通信量算出部に対応する。
【０２３９】
なお、図３７において図示は、省略するがＳ１２０２〜Ｓ１２０７の処理は、各ブラックＵＲＬ候補に対して行われる。
【０２４０】
そして、ブラックＵＲＬ特定部１０８は、集計したアクセス数が過去は少なく、その後増加したか否かを判定する（図３７のＳ１２０３）。
ここで、ブラックＵＲＬ特定部１０８は、アクセス数があらかじめ情報漏洩検知システム１００の記憶装置に記憶されている閾値（「アクセス数の第１の閾値」と称する）よりも少ない場合に、「アクセス数が少ない」と判定する。そして、ブラックＵＲＬ特定部１０８は、アクセス数が「アクセス数の第１の閾値」以上の場合に、「アクセス数が増加した」と判定する。
【０２４１】
そして、「アクセス数が増加していない」場合（図３７のＳ１２０３の「ＮＯ」）、ブラックＵＲＬ特定部１０８は、判定対象のＵＲＬについて処理を終了し、未判定のブラックＵＲＬ候補について、同様の処理を行う。
【０２４２】
そして、ブラックＵＲＬ特定部１０８が「アクセス数が増加した」と判定した場合（図３７のＳ１２０３の「ＹＥＳ」）、アクセス数が集計された日を基準日とする。
【０２４３】
ここで、基準日が現在である場合を想定する。
その場合、ブラックＵＲＬ特定部１０８は、変数ｎをインクリメント（ｎ＝ｎ＋１と）する（図３７のＳ１２０４）。
【０２４４】
そして、ブラックＵＲＬ特定部１０８は新たにｎ日後のプロキシログ２０１を入力し、ｎ日後のアクセス数を集計する。
そして、ブラックＵＲＬ特定部１０８は、ｎ日後のアクセス数が基準日のアクセス数と同等又は増加しているか否かを判定する（図３７のＳ１２０５）。ここで、ブラックＵＲＬ特定部１０８は、アクセス数が「アクセス数の第１の閾値」以上の場合に、「基準日のアクセス数と同等又は増加している」と判定する。
【０２４５】
基準日のアクセス数と同等又は増加している場合（図３７のＳ１２０５の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、変数ｎを更にインクリメントする（図３７のＳ１２０４）。すなわち、ブラックＵＲＬ特定部１０８は更に１日後のアクセス数を集計する。
【０２４６】
一方、アクセス数が「アクセス数の第１の閾値」より少ない場合（図３７のＳ１２０５の「ＮＯ」）、ブラックＵＲＬ特定部１０８はアクセス数が基準日以前のアクセス数と同等か否かを判定する（図３７の１２０６）。
ここで、ブラックＵＲＬ特定部１０８は、例えば、基準日以前の日毎のアクセス数の平均ｘと標準偏差σとを記憶しており、例えばアクセス数が「ｘ±３σ」以内であれば、基準日以前のアクセス数を同等と判定する。
【０２４７】
そして、アクセス数が基準日以前のアクセス数と同等の場合（図３７のＳ１２０６の「ＹＥＳ」）、図示は省略するが、あらかじめ設定された所定の日数においてアクセス数が「アクセス数の第１の閾値」以上であったか否かを判定する。そして、アクセス数が所定の日数において「アクセス数の第１の閾値」以上であったブラックＵＲＬ候補をブラックＵＲＬ２０８として出力する。
【０２４８】
そして、アクセス数が基準日以前のアクセス数と同等でない場合（図３７のＳ１２０６の「ＮＯ」）、ブラックＵＲＬ特定部１０８は、変数ｎを更にインクリメントする（図３７のＳ１２０４）。
【０２４９】
図３８を用いて具体例を説明する。
例えば、ブラックＵＲＬ特定部１０８は、あるブラックＵＲＬ候補に対するアクセス数を現在から、３０日分さかのぼって、日毎に集計したとする。
その結果、２９日目まではアクセス数は「０」であるが、３０日目（現在）にアクセス数が「１２」に増加している。ここで、例えば、「アクセス数の第１の閾値」は「１０」であるとする。
その後数日間において、ブラックＵＲＬ特定部１０８は、アクセス数を集計した結果、３３日目（現在から３日後）にアクセス数が「０」に戻っている。
この図３８の例のように、ブラックＵＲＬ特定部１０８は図３７の処理によって、判定対象のブラックＵＲＬ候補に対するアクセス数が、過去は少なく、かつ、所定の日数の間増加し、かつ、その後減少するか否かを判定している。
【０２５０】
ここで、所定の日数は、例えば情報漏洩検知システム１００の記憶装置に記憶されており、ここでは所定の日数が「５日」とする。
特定のマルウェアは、インターネット上のＣ＆Ｃサーバと短期間に継続的に通信することが知られている。したがって、例えば５日以内に集中的にアクセス数が増加したアクセスは、マルウェアによるアクセスと考えられる。
【０２５１】
具体例では、基準日が現在の場合を説明したが、基準日が過去であっても構わない。
すなわち、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補に対するアクセス数が、過去は少なく、かつ、基準日から所定の日数において増加し、かつ、その後減少するか否かを判定出来れば良い。
【０２５２】
すなわち、ブラックＵＲＬ特定部１０８は、あらかじめ定義された所定の期間においてのみ日毎（単位時間毎）のアクセス数が、アクセス数の第１の閾値以上となるＵＲＬをブラックＵＲＬ２０８として特定している。
【０２５３】
ブラックＵＲＬ特定部１０８は、アクセス数の時系列の変化を自動判定するために、ＡＲＭＡ（ＡｕｔｏＲｅｇｒｅｓｓｉｖｅ Ｍｏｖｉｎｇ Ａｖｅｒａｇｅ）などを利用した公知の方式を使用しても良い。そして、ブラックＵＲＬ特定部１０８は、ＡＲＭＡによりアクセス数の変化が見つかったブラックＵＲＬ候補をブラックＵＲＬ２０８と特定しても良い。
【０２５４】
更に、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補に対する通信量に基づいて、ブラックＵＲＬ２０８を特定しても良い。
【０２５５】
その場合、ブラック判定条件２０７は、「今まで通信量が少なかったブラックＵＲＬ候補において、急に通信量が一定期間増加し、その後また減少したか否か」となる。
前述の通りプロキシログ２０１（図１７）には、通信サイズ（通信量）が示されている為、ブラックＵＲＬ特定部１０８は、各ブラックＵＲＬ候補に対して、例えば日毎の通信量を集計することが可能である。
すなわち、ブラックＵＲＬ特定部１０８は、プロキシログ２０１から各ブラックＵＲＬ候補に対する単位時間毎のデータ通信量を算出する。
【０２５６】
そして、詳細な説明は省略するが、ブラックＵＲＬ特定部１０８は図３７の処理においてアクセス数の代わりに、通信量を用いてブラックＵＲＬ２０８を特定する。
すなわち、ブラックＵＲＬ特定部１０８は、あらかじめ定義された所定の期間においてのみ日毎（単位時間毎）のデータ通信量が、データ通信量の第１の閾値以上となるＵＲＬをブラックＵＲＬ２０８として特定する。
【０２５７】
（実施の形態６の効果）
前述の通り、マルウェアとＣ＆Ｃサーバとのアクセス数またはデータ通信量は、短期間に増加することが知られている。実施の形態６の情報漏洩検知システム１００は、短期間にアクセス数またはデータ通信量が増加するアクセス先のＵＲＬを特定することで、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。
【０２５８】
実施の形態７．
（実施の形態７における情報漏洩検知システム１００の概要）
実施の形態７の情報漏洩検知システム１００は、ブラック判定条件２０７として、ブラックＵＲＬ候補のウェブページへのアクセス数を用いる。具体的には、「ブラックＵＲＬ候補との通信において、周期的にアクセスが発生しているか否か」をブラック判定条件２０７とする。
【０２５９】
（ブラックＵＲＬ特定部１０８の処理）
図３９は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
図４０は、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図である。
【０２６０】
なお、図２において図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１を入力することが可能である。ここで、ブラックＵＲＬ特定部１０８は、プロキシログ取り込み部１０１が入力したプロキシログ２０１をプロキシログ取り込み部１０１から入力しても良い。
【０２６１】
まず、ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜４いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。（図３９のＳ１３０１）。
【０２６２】
ここでブラック判定条件２０７は、前述の通り「ブラックＵＲＬ候補との通信において、周期的にアクセスが発生しているか否か」である。
【０２６３】
そして、ブラックＵＲＬ特定部１０８は、入力したプロキシログ２０１から各ブラックＵＲＬ候補に対する単位時間毎のアクセス数をあらかじめ定められた集計期間において集計する（図３９のＳ１３０２）。
ここで、単位時間毎のアクセス数をＭｉ（ｉ＝１〜ｋ）とする。例えば、ブラックＵＲＬ特定部１０８は、１分間毎のアクセス数を集計するとした場合、Ｍ１は、集計期間ｋ分間の内の最初の１分間（１分目）のアクセス数の集計、Ｍ２は次の１分間（２分目）のアクセス数の集計を意味する。
【０２６４】
なお、図３９において図示は、省略するがＳ１３０２〜Ｓ１３０４の処理は、各ブラックＵＲＬ候補に対して行われる。
【０２６５】
次に、ブラックＵＲＬ特定部１０８は、アクセス数の集計結果Ｍｉ（ｉ＝１〜ｋ）を時系列で並べた場合に周期的であるか否かを判定する（図３９のＳ１３０３）。
ここで、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が周期的にあらかじめ情報漏洩検知システム１００の記憶装置に記憶されている閾値（「アクセス数の第２の閾値」と称する）以上となっているか否かを判定する。つまり、ブラックＵＲＬ特定部１０８は、周期的にアクセスが発生しているか否かを判定している。
あるいは、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が周期的に同じ値となっているか否かを判定しても良い。また、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が周期的に「アクセス数の第２の閾値」以上の同じ値となっているか否かを判定しても良い。
周期的にアクセスが発生している場合（図３９のＳ１３０３の「ＹＥＳ」）、判定対象のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定し、出力する（図３９のＳ１３０４）。
【０２６６】
すなわち、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が一定周期毎にあらかじめ定義されたアクセス数の第２の閾値以上となるブラックＵＲＬ候補をブラックＵＲＬ２０８として特定している。
【０２６７】
図４０を用いて、具体例を説明する。
例えば図４０は、ブラックＵＲＬ特定部１０８が、あるブラックＵＲＬ候補に対する１分間毎のアクセス数を集計したものである。
そして、集計期間は、例えば、１日（２４時間×６０分＝１４４０分間）としている。
ブラックＵＲＬ特定部１０８は、図４０に示す集計結果において、２分に１回１アクセスが発生しており、周期的にアクセスが発生していると判定する。ここで「アクセス数の第２の閾値」は「１アクセス」とする。
【０２６８】
特定のマルウェアは、インターネット上のＣ＆Ｃサーバとの接続を確認するために定期的に通信することが知られている。したがって、例えば周期的に１回以上のアクセス数が示されるアクセスは、マルウェアによるアクセスと考えられる。
【０２６９】
ブラックＵＲＬ特定部１０８は、アクセス数の時系列の周期的な変化を自動判定する公知のアルゴリズムを使用しても良い。そして、ブラックＵＲＬ特定部１０８は、公知のアルゴリズムにより周期的なアクセス数の変化が見つかったブラックＵＲＬ候補をブラックＵＲＬ２０８と特定しても良い。
【０２７０】
更に、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補に対する通信量に基づいて、ブラックＵＲＬ２０８を特定しても良い。
【０２７１】
その場合、ブラックＵＲＬ特定部１０８は、プロキシログ２０１から各ブラックＵＲＬ候補に対する単位時間毎のデータ通信量を算出する。
【０２７２】
そして、詳細な説明は省略するが、ブラックＵＲＬ特定部１０８は図３９の処理においてアクセス数の代わりに、通信量を用いてブラックＵＲＬ２０８を特定する。
すなわち、ブラックＵＲＬ特定部１０８は、単位時間毎のデータ通信量が一定周期毎にあらかじめ定義されたデータ通信量の第２の閾値以上となるブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。
【０２７３】
（実施の形態７の効果）
前述の通り、マルウェアとＣ＆Ｃサーバとのアクセスは、周期的に行われることが知られている。実施の形態７の情報漏洩検知システム１００は、周期的にアクセスが行われるアクセス先のＵＲＬを特定することで、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。
【０２７４】
実施の形態８．
（実施の形態８における情報漏洩検知システム１００の概要）
実施の形態８の情報漏洩検知システム１００は、ブラック判定条件２０７として、端末装置５００（プロキシサーバ装置６００）とブラックＵＲＬ候補のウェブページとの間のＷｅｂ通信におけるリクエストサイズとレスポンスサイズとを用いる。具体的には、「ブラックＵＲＬ候補において、通信のリクエストサイズとレスポンスサイズが閾値未満か否か」をブラック判定条件２０７とする。
【０２７５】
（ブラックＵＲＬ特定部１０８の処理）
図４１は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
【０２７６】
なお、図２において図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１（図１７）を入力することが可能である。ここで、ブラックＵＲＬ特定部１０８は、プロキシログ取り込み部１０１が入力したプロキシログ２０１をプロキシログ取り込み部１０１から入力しても良い。
【０２７７】
まず、ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜４いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。（図４１のＳ１４０１）。
【０２７８】
ここでブラック判定条件２０７は、前述の通り「ブラックＵＲＬ候補において、通信のリクエストサイズとレスポンスサイズが閾値未満か否か」である。
また、ブラックＵＲＬ特定部１０８は、例えば情報漏洩検知システム１００の記憶装置に記憶されているリクエストサイズの閾値「αＫＢ」とレスポンスサイズの閾値「βＫＢ」とを入力する。あるいは例えばユーザが情報漏洩検知システム１００の入力装置を用いて、リクエストサイズの閾値とレスポンスサイズの閾値とを入力しても良い。
【０２７９】
ここで、ユーザがブラウザを用いて行うＷｅｂサイトの閲覧では、リクエストに対するレスポンスは何かしらの文字列を含むコンテンツであるため、ある程度以上のレスポンスサイズになり、「βＫＢ」未満にはならない。また、ユーザがブラウザを用いて行うＷｅｂサイトの閲覧におけるリクエストの場合もヘッダに情報が付与され、リクエストサイズは「αＫＢ」未満にならない。
そして、あらかじめユーザが、Ｗｅｂサイトへのアクセスにおけるリクエストサイズとレスポンスサイズとの統計データを取得し、αとβとの値を設定しておく。
【０２８０】
そして、ブラックＵＲＬ特定部１０８は、入力したプロキシログ２０１から、各ブラックＵＲＬ候補のリクエストサイズとレスポンスサイズとを抽出する（図４１のＳ１４０２）。
ここで、図１７における図示は省略するが、プロキシログ２０１には、各アクセス毎のリクエストサイズとレスポンスサイズとが示される。
すなわち、プロキシログ２０１は、プロキシサーバ装置６００が行ったアクセス毎に、アクセス先のアドレスと、プロキシサーバ装置６００からアクセス先へ送信したデータのサイズであるリクエストサイズと、プロキシサーバ装置６００がアクセス先から受信したデータのサイズであるレスポンスサイズとが対応付けられて示される。
なお、１つのブラックＵＲＬ候補に対して複数のアクセスが有る場合は、ブラックＵＲＬ特定部１０８は、リクエストサイズとレスポンスサイズとの最小値を抽出する。
【０２８１】
なお、図４１において図示は、省略するがＳ１４０２〜Ｓ１４０５の処理は、各ブラックＵＲＬ候補に対して行われる。
【０２８２】
次に、ブラックＵＲＬ特定部１０８は、抽出したリクエストサイズが閾値「αＫＢ」未満か否かを判定する（図４１のＳ１４０３）。
リクエストサイズが閾値「αＫＢ」未満の場合（図４１のＳ１４０３の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、抽出したレスポンスサイズが閾値「βＫＢ」未満か否かを判定する（図４１のＳ１４０４）。
そして、ブラックＵＲＬ特定部１０８は、レスポンスサイズが閾値「βＫＢ」未満の場合（図４１のＳ１４０４の「ＹＥＳ」）、判定対象のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定し、出力する（図４１のＳ１４０５）。
すなわち、ブラックＵＲＬ特定部１０８は、リクエストサイズが閾値「αＫＢ」未満、かつ、レスポンスサイズが閾値「βＫＢ」未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。
【０２８３】
すなわち、ブラックＵＲＬ特定部１０８は、プロキシログ２０１からブラックＵＲＬ候補と対応付けられているレスポンスサイズとリクエストサイズとをアクセス単位で抽出（特定）する。そして、抽出したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満であり、リクエストサイズがあらかじめ定義されたリクエストサイズの閾値未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。
【０２８４】
ここで、マルウェアによるＷｅｂ通信はレスポンスのみが小さいこともあるので、ブラックＵＲＬ特定部１０８は、図４１のＳ１４０３の判定は行わず、Ｓ１４０４の判定のみを行うだけでも良い。すなわち、ブラックＵＲＬ特定部１０８は、レスポンスサイズが閾値「βＫＢ」未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。
【０２８５】
すなわち、ブラックＵＲＬ特定部１０８は、プロキシログ２０１からブラックＵＲＬ候補と対応付けられているレスポンスサイズをアクセス単位で抽出（特定）する。そして、抽出したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。
【０２８６】
（実施の形態８の効果）
特定のマルウェアは、インターネット上のＣ＆Ｃサーバとの接続を確認するために定期的に通信することが知られている。そして、前述の通り、その場合の通信データのサイズ（リクエストサイズとレスポンスサイズ）は、ユーザがブラウザを用いて行うＷｅｂサイトの閲覧の場合と比べて、少ない。従って、実施の形態８の情報漏洩検知システム１００は、リクエストサイズとレスポンスサイズとが閾値より少ないアクセスが行われるアクセス先のＵＲＬを特定することで、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。
【０２８７】
実施の形態９．
（実施の形態９における情報漏洩検知システム１００の概要）
実施の形態１と実施の形態３と実施の形態４とにおいて、端末操作ログ２０３（図３）には、端末装置５００がプロキシサーバ装置６００に通知したＵＲＬが記録されると説明した。
しかし、端末操作記録アプリケーションによっては、端末操作ログ２０３にＵＲＬではなく、端末装置５００（プロキシサーバ装置６００）がアクセスしたＷｅｂサイトのトップページのタイトルが、ウィンドウタイトルとして記録される場合がある。
実施の形態９の情報漏洩検知システム１００は、端末操作ログ２０３に記録されたＷｅｂサイトのトップページのタイトルと一致するタイトルをローカルプロキシログ２０４（図６）に記録されたコンテンツから検索する。そして、実施の形態９の情報漏洩検知システム１００は、ローカルプロキシログ２０４（図６）に記録されたコンテンツにおいて、一致したタイトルに対応付けられたＵＲＬをＷｅｂサイトのトップページのＵＲＬとして特定する。
【０２８８】
（端末操作ログ取り込み部１０３の処理）
図４２は、ＷｅｂアクセスＵＲＬ情報３０３の例を示す図である。
端末操作ログ取り込み部１０３は、端末操作ログ２０３の一例として、例えば図３のＤ２０３２の行に示すエントリの操作内容が、ＵＲＬではなく、Ｗｅｂサイトのタイトルとなっている端末操作ログ２０３を入力する。つまり、端末操作ログ取り込み部１０３は、「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ＵｓｅｒＩＤ１２３４、Ｗｅｂアクセス、サンプルサイト」を入力する。ここで、「サンプルサイト」は、Ｗｅｂサイト（コンテンツ）のタイトル名である。
【０２８９】
すなわち、端末操作ログ取り込み部１０３は、ユーザの操作により端末装置５００がプロキシサーバ装置６００に通知したアドレスに基づいてプロキシサーバ装置６００が行ったアクセスのアクセス先のウェブページのタイトルが示される端末操作ログ２０３を入力する。
【０２９０】
そして、端末操作ログ取り込み部１０３は、実施の形態１と同様に、端末操作ログ２０３からＷｅｂアクセスＵＲＬ情報３０３を抽出し、出力する。ＷｅｂアクセスＵＲＬ情報３０３の例を図４２に示す。図４２に示すＷｅｂアクセスＵＲＬ情報３０３は、端末操作ログ２０３と同様に、ＵＲＬではなく、Ｗｅｂサイト（コンテンツ）のタイトル名が示されている。
【０２９１】
（ローカルプロキシログ取り込み部１０４の処理）
図４３は、コンテンツ実体３５０の例を示す図である。
ローカルプロキシログ取り込み部１０４は、実施の形態１と同様に、ローカルプロキシログ２０４（図６）を入力し、入力したローカルプロキシログ２０４からローカルプロキシログエントリ３０４（図９）を抽出し、出力する。
ここで、ローカルプロキシログエントリ３０４（図９）に含まれるコンテンツ実体３５０は、例えば図４３のようになっている。つまり、コンテンツ実体３５０にＷｅｂサイト（コンテンツ）のタイトル名が示されている。
そして、例えば図９のローカルプロキシログエントリ３０４ａには、Ｗｅｂサイト（コンテンツ）のタイトル名が示されているコンテンツ実体３５０と、ＵＲＬ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」とが対応付けられている。
【０２９２】
ここで、Ｗｅｂサイト（プロキシサーバ装置６００が行ったアクセスのアクセス先のウェブページ）のタイトルと、ＵＲＬ（アクセス先のアドレス）とが対応付けて示されるローカルプロキシログエントリ３０４をローカルプロキシ情報と称する。
そして、ローカルプロキシログ２０４（図６）にはローカルプロキシ情報が少なくとも１つ以上含まれている。
なお、プロキシサーバ装置６００は、前述の通り、端末装置５００がローカルプロキシ５５０を利用してプロキシサーバ装置６００に通知したアドレスに基づいてアクセスを行う。
【０２９３】
（トップページＵＲＬ特定部１０６の処理）
図４４は、トップページＵＲＬ特定部１０６の処理の例を示す図である。
【０２９４】
トップページＵＲＬ特定部１０６は、実施の形態１と同様にＷｅｂアクセスＵＲＬ情報３０３（図４２）とローカルプロキシログエントリ３０４（図９）とを入力する。ここでローカルプロキシログエントリ３０４（図９）に含まれるコンテンツ実体３５０は、前述の図４３の例とする。
【０２９５】
そして、図４４における図示は省略するが、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３（図４２）に含まれる全てのエントリに対して、図４４の処理を行う。
ここでは、図４２のＤ６０３１に示すＷｅｂアクセスＵＲＬ情報３０３のエントリを例に説明を行う。
【０２９６】
すなわち、トップページＵＲＬ特定部１０６は、図４２のＤ６０３１に示すＷｅｂアクセスＵＲＬ情報３０３のエントリを入力し、Ｗｅｂサイトのタイトル「サンプルサイトａｂｃ−ｓａｍｐｌｅ」を抽出する。また、トップページＵＲＬ特定部１０６は、操作日時である「２０１１／０６／２３ １０：００：００」を抽出する。
【０２９７】
そして、トップページＵＲＬ特定部１０６は、ローカルプロキシログエントリ３０４を全て入力したか否かを判定する（図４４のＳ１５０１）。
トップページＵＲＬ特定部１０６は、全てのローカルプロキシログエントリ３０４を入力していなければ（図４４のＳ１５０１の「ＮＯ」）、入力していないローカルプロキシログエントリ３０４を例えばアクセス日時の時系列順に入力する（図４４のＳ１５０２）。
ここで、例えば、トップページＵＲＬ特定部１０６は、図９のローカルプロキシログエントリ３０４ａ「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、ＧＥＴ、２００、１０００、コンテンツ実体」を入力したとする。
【０２９８】
そして、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３から抽出したタイトルが、コンテンツ実体３５０に含まれるか否かを判定する。
具体的には、図４３に示すコンテンツ実体３５０において、＜ｔｉｔｌｅ＞タグと＜／ｔｉｔｌｅ＞タグとで囲われている文字列を抽出し、ＷｅｂアクセスＵＲＬ情報３０３から抽出した「サンプルサイトａｂｃ−ｓａｍｐｌｅ」と比較する。
【０２９９】
更に、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３から抽出した操作日時「２０１１／０６／２３ １０：００：００」が、図９のローカルプロキシログエントリ３０４ａのアクセス日時と一致するか否かを判定する（図４４のＳ１５０３）。
【０３００】
そして、ＷｅｂアクセスＵＲＬ情報３０３から抽出したタイトルが、コンテンツ実体３５０に含まれ、ＷｅｂアクセスＵＲＬ情報３０３から抽出した操作日時が、ローカルプロキシログエントリ３０４ａのアクセス日時と一致するので（図４４のＳ１５０３の「ＹＥＳ」）、トップページＵＲＬ特定部１０６は、ローカルプロキシログエントリ３０４ａに示されるＵＲＬ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」を抽出する。このトップページＵＲＬ特定部１０６が抽出したＵＲＬをトップページＵＲＬと称する。
そして、トップページＵＲＬ特定部１０６は、このトップページＵＲＬと、ローカルプロキシログエントリ３０４に示されるアクセス日時と端末識別子とメソッドとステータスと通信量とをトップページＵＲＬ情報３０６として出力する。
【０３０１】
一方、ＷｅｂアクセスＵＲＬ情報３０３から抽出したタイトルが、コンテンツ実体３５０に含まれない、もしくは、ＷｅｂアクセスＵＲＬ情報３０３から抽出した操作日時が、ローカルプロキシログエントリ３０４ａのアクセス日時と一致しない場合（図４４のＳ１５０３の「ＮＯ」）、トップページＵＲＬ特定部１０６は再度Ｓ１５０１の処理を行う。
【０３０２】
すなわち、トップページＵＲＬ特定部１０６は、ローカルプロキシ情報（ローカルプロキシログエントリ３０４）のコンテンツ実体３５０に示されるタイトルの内、端末操作ログ２０３に示されるタイトルに合致するタイトルが示されるローカルプロキシ情報（ローカルプロキシログエントリ３０４）を抽出する。つまりトップページＵＲＬ特定部１０６は、ローカルプロキシ情報抽出部に対応する。
【０３０３】
そして、図４４のＳ１５０４の処理は実施の形態１と同様であるため、説明を省略する。
【０３０４】
また、ブラックＵＲＬ特定部１０８は、実施の形態１と同様にプロキシログ２０１（図１７）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２と、ブラウザアクセスＵＲＬ情報３０７とのいずれにも示されていないＵＲＬを抽出する。ここで、ブラウザアクセスＵＲＬ情報３０７はトップページＵＲＬ特定部１０６に抽出されたローカルプロキシログエントリ３０４（ローカルプロキシ情報）から生成される。
したがって、換言すると、ブラックＵＲＬ特定部１０８は、プロキシログ２０１（図１７）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２と、トップページＵＲＬ特定部１０６に抽出されたローカルプロキシログエントリ３０４（ローカルプロキシ情報）とのいずれにも示されていないアドレスを抽出する。
【０３０５】
なお、実施の形態５〜８の情報漏洩検知システム１００は、実施の形態９のブラックＵＲＬ特定部１０８が抽出したブラックＵＲＬ２０８をブラックＵＲＬ候補として処理を行っても良い。
【０３０６】
（実施の形態９の効果）
前述のように端末操作記録アプリケーションによっては、端末操作ログ２０３にＵＲＬが記録されず、アクセスしたＷｅｂサイトのトップページのタイトルがウィンドウタイトルとして記録される場合がある。このような場合でも、実施の形態９の情報漏洩検知システム１００は、端末操作ログ２０３から得たタイトルから、端末装置５００がアクセスしたＷｅｂサイトのＵＲＬを特定することが可能である。
【０３０７】
（実施の形態１〜９の情報漏洩検知システム１００のハードウェア構成）
最後に、実施の形態１〜９に示した情報漏洩検知システム１００のハードウェア構成例について説明する。
図４５は、本実施の形態に示した情報漏洩検知システム１００のハードウェア資源の一例を示す図である。
なお、図４５の構成は、あくまでも情報漏洩検知システム１００のハードウェア構成の一例を示すものであり、情報漏洩検知システム１００のハードウェア構成は図４５に記載の構成に限らず、他の構成であってもよい。
【０３０８】
図４５において、情報漏洩検知システム１００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）と接続していてもよい。また、磁気ディスク装置９２０の代わりに、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。
本実施の形態で説明した情報漏洩検知システム１００の記憶装置、ログ蓄積部１０９は、磁気ディスク装置９２０等により実現される。
通信ボード９１５、キーボード９０２、マウス９０３、ＦＤＤ９０４などは、入力装置の一例である。
本実施の形態で説明した情報漏洩検知システム１００の入力装置は、例えばキーボード９０２やマウス９０３により実現される。
また、通信ボード９１５、表示装置９０１などは、出力装置の一例である。
【０３０９】
通信ボード９１５は、ネットワークに接続されている。
例えば、ネットワークは、ＬＡＮ、インターネットの他、ＷＡＮ（ワイドエリアネットワーク）、ＳＡＮ（ストレージエリアネットワーク）などでも構わない。
【０３１０】
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。
【０３１１】
また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。
【０３１２】
また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
情報漏洩検知システム１００の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。
【０３１３】
上記プログラム群９２３には、本実施の形態の説明において「〜部」（「〜蓄積部」以外、以下同様）として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
【０３１４】
ファイル群９２４には、本実施の形態の説明において、「〜の判断」、「〜の計算」、「〜の比較」、「〜の照合」、「〜の参照」、「〜の検索」、「〜の抽出」、「〜の検査」、「〜の生成」、「〜の設定」、「〜の登録」、「〜の選択」、「〜の入力」、「〜の受信」、「〜の判定」、「〜の定義」、「〜の算出」、「〜の更新」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶されている。
「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。
ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出される。
そして、読み出された情報やデータや信号値や変数値やパラメータは、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示・制御・判定・識別・検知・判別・選択・算出・導出・更新・生成・取得・通知・指示・判断・区別・削除などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示・制御・判定・識別・検知・判別・選択・算出・導出・更新・生成・取得・通知・指示・判断・区別・削除などのＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、本実施の形態で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示す。
データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。
また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【０３１５】
また、本実施の形態の説明において「〜部」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。
すなわち、本実施の形態で説明したフローチャートに示すステップ、手順、処理により、本発明に係る情報処理方法を実現することができる。
また、「〜部」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。
或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。
プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。
すなわち、プログラムは、本実施の形態の「〜部」としてコンピュータを機能させるものである。あるいは、本実施の形態の「〜部」の手順や方法をコンピュータに実行させるものである。
【０３１６】
このように、本実施の形態に示す情報漏洩検知システム１００は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータである。
そして、上記したように「〜部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。
【符号の説明】
【０３１７】
１００ 情報漏洩検知システム、１０１ プロキシログ取り込み部、１０２ ＵＲＬホワイトリスト取り込み部、１０３ 端末操作ログ取り込み部、１０４ ローカルプロキシログ取り込み部、１０５ グレーＵＲＬ特定部、１０６ トップページＵＲＬ特定部、１０７ ブラウザアクセスＵＲＬ特定部、１０８ ブラックＵＲＬ特定部、１０９ ログ蓄積部、１５０ ネットワーク、２００ 期間特定部、２０１ プロキシログ、２０２ ＵＲＬホワイトリスト、２０３ 端末操作ログ、２０４ ローカルプロキシログ、２０５ 端末識別子、２０６ 期間、２０７ ブラック判定条件、２０８ ブラックＵＲＬ、２０９ 外部サービス、２５０ ブラックＵＲＬ情報、３０１ プロキシログエントリ、３０２ ホワイトＵＲＬ、３０３ ＷｅｂアクセスＵＲＬ情報、３０４ ローカルプロキシログエントリ、３０５ グレーＵＲＬ情報、３０６ トップページＵＲＬ情報、３０７ ブラウザアクセスＵＲＬ情報、３５０ コンテンツ実体、５００ 端末装置、５５０ ローカルプロキシ、６００ プロキシサーバ装置、６０６ トップページ内ＵＲＬ、９０１ 表示装置、９０２ キーボード、９０３ マウス、９０４ ＦＤＤ、９０５ コンパクトディスク装置、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９２０ 磁気ディスク装置、９２１ オペレーティングシステム、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群。
【特許請求の範囲】
【請求項１】
端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスを抽出するアドレス抽出部と
を備えたことを特徴とするアドレス抽出装置。
【請求項２】
前記アドレス入力部は、
ユーザの指示に基づいて前記端末装置が前記プロキシサーバ装置にアクセス先として通知したアドレスが示されるユーザ指示情報を入力し、
前記アドレス抽出部は、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と前記ユーザ指示情報とのいずれにも示されていないアドレスを抽出することを特徴とする請求項１記載のアドレス抽出装置。
【請求項３】
前記アドレス入力部は、
前記ユーザが前記端末装置に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて前記端末装置が前記プロキシサーバ装置にアクセス先として通知したアドレスがアドレス指示操作と対応付けられて示される端末操作ログを前記ユーザ指示情報として入力することを特徴とする請求項２記載のアドレス抽出装置。
【請求項４】
前記アドレス入力部は、
ローカルプロキシを有する端末装置が前記ユーザの指示に基づいて前記ローカルプロキシを利用して前記プロキシサーバ装置にアクセス先として通知したアドレスが示されるローカルプロキシログを前記ユーザ指示情報として入力することを特徴とする請求項２記載のアドレス抽出装置。
【請求項５】
前記アドレス入力部は、
前記ユーザ指示情報に示されるアドレスのウェブページに関連付けされているアドレスが示される関連アドレス情報を入力し、
前記アドレス抽出部は、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と前記ユーザ指示情報と前記関連アドレス情報とのいずれにも示されていないアドレスを抽出することを特徴とする請求項２〜４いずれか記載のアドレス抽出装置。
【請求項６】
前記アドレス入力部は、
前記プロキシサーバ装置が行ったアクセス毎にアクセスが行われたアクセス時刻とアクセス先のアドレスとが対応付けられて示されるプロキシログを入力し、
前記アドレス抽出部は、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、ユーザの存在を検知する検知装置が、ユーザが前記端末装置の前に存在しないと検知した期間に含まれるアクセス時刻に対応付けられているアドレスを抽出することを特徴とする請求項１〜５いずれか記載のアドレス抽出装置。
【請求項７】
前記アドレス入力部は、
前記プロキシサーバ装置が行ったアクセス毎にアクセスが行われたアクセス時刻とアクセス先のアドレスとが対応付けられて示されるプロキシログと、
前記ユーザが前記端末装置に対して指示する指示操作と指示操作毎の操作時刻とが対応付けられて示され、前記ユーザが前記端末装置に対してアクセス先のアドレスを指示する場合に、前記ユーザが前記端末装置に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて前記端末装置が前記プロキシサーバ装置にアクセス先として通知したアドレスがアドレス指示操作とアドレス指示操作の操作時刻とに対応付けられて示される端末操作ログとを入力し、
前記アドレス抽出装置は、更に、
前記端末操作ログに示される操作時刻の内、あらかじめ定義された定義期間の開始時刻後の最初の操作時刻と前記定義期間の終了時刻前の最後の操作時刻とを抽出し、前記定義期間の開始時刻から前記最初の操作時刻までの期間と前記最後の操作時刻から前記定義期間の終了時刻までの期間とから成る非操作期間を算出する、または、前記端末操作ログに示される操作時刻の内、前記定義期間の開始時刻後の操作時刻であってアドレスが対応付けられている最初の操作時刻である最初のアドレス対応操作時刻と、前記定義期間の終了時刻前の操作時刻であってアドレスが対応付けられている最後の操作時刻である最後のアドレス対応操作時刻とを抽出し、前記定義期間の開始時刻から前記最初のアドレス対応操作時刻までの期間と前記最後のアドレス対応操作時刻から前記定義期間の終了時刻までの期間とから成る非アドレス対応期間を算出する期間算出部
を備え、
前記アドレス抽出部は、
前記期間算出部により非操作期間が算出された場合に、前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記非操作期間に含まれるアクセス時刻が対応付けられているアドレスを抽出し、前記期間算出部により非アドレス対応期間が算出された場合に、前記アドレス入力部により入力されたプロキシログに示されるアクセス時刻に対応付けられているアドレスの内、前記非アドレス対応期間に含まれるアクセス時刻に対応付けられているアドレスを抽出することを特徴とする請求項１〜６いずれか記載のアドレス抽出装置。
【請求項８】
前記アドレス抽出装置は、更に、
前記アドレス抽出部により抽出されたアドレスの内、少なくとも１つの所定の条件に合致する所定のアドレスを条件合致アドレスとして特定する条件合致アドレス特定部
を備えることを特徴とする請求項１〜７いずれか記載のアドレス抽出装置。
【請求項９】
前記アドレス抽出装置は、更に、
前記アドレス抽出部により抽出されたアドレス毎にアドレスのウェブページの提供元が属する国が示される提供国情報と、あらかじめ特定された国が示される特定国情報とを入力する情報入力部
を備え、
前記条件合致アドレス特定部は、
前記情報入力部により入力された提供国情報に示される国の中で前記特定国情報に示されるいずれかの国に合致する国が提供しているウェブページのアドレスを条件合致アドレスとして特定する請求項８記載のアドレス抽出装置。
【請求項１０】
前記アドレス入力部は、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスとアクセス時のデータ通信量とが対応付けられて示されるプロキシログを入力し、
前記アドレス抽出装置は、更に、
前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のアクセス数を算出する、または、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のデータ通信量を算出する通信量算出部
を備え、
前記条件合致アドレス特定部は、
前記通信量算出部により単位時間毎のアクセス数が算出された場合に、あらかじめ定義された所定の期間においてのみ前記通信量算出部により算出された単位時間毎のアクセス数が、あらかじめ定義されたアクセス数の第１の閾値以上となるアドレスを条件合致アドレスとして特定し、前記通信量算出部により単位時間毎のデータ通信量が算出された場合に、あらかじめ定義された所定の期間においてのみ前記通信量算出部により算出された単位時間毎のデータ通信量が、あらかじめ定義されたデータ通信量の第１の閾値以上となるアドレスを条件合致アドレスとして特定する請求項８記載のアドレス抽出装置。
【請求項１１】
前記アドレス入力部は、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスとアクセス時のデータ通信量とが対応付けられて示されるプロキシログを入力し、
前記アドレス抽出装置は、更に、
前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のアクセス数を算出する、または、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のデータ通信量を算出する通信量算出部
を備え、
前記条件合致アドレス特定部は、
前記通信量算出部により単位時間毎のアクセス数が算出された場合に、前記単位時間毎のアクセス数が一定周期毎にあらかじめ定義されたアクセス数の第２の閾値以上となるアドレスを条件合致アドレスとして特定し、前記通信量算出部により単位時間毎のデータ通信量が算出された場合に、前記単位時間毎のデータ通信量が一定周期毎にあらかじめ定義されたデータ通信量の第２の閾値以上となるアドレスを条件合致アドレスとして特定することを特徴とする請求項８記載のアドレス抽出装置。
【請求項１２】
前記アドレス入力部は、
前記プロキシサーバ装置が行ったアクセス毎に、アクセス先のアドレスと、前記プロキシサーバ装置からアクセス先へ送信したデータのサイズであるリクエストサイズと、前記プロキシサーバ装置がアクセス先から受信したデータのサイズであるレスポンスサイズとが対応付けられて示されるプロキシログを入力し、
前記条件合致アドレス特定部は、
前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスと対応付けられているレスポンスサイズをアクセス単位で特定し、
特定したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満のアドレスを条件合致アドレスとして特定することを特徴とする請求項８記載のアドレス抽出装置。
【請求項１３】
前記条件合致アドレス特定部は、
前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスと対応付けられているレスポンスサイズとリクエストサイズとをアクセス単位で特定し、
特定したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満であり、リクエストサイズがあらかじめ定義されたリクエストサイズの閾値未満のアドレスを条件合致アドレスとして特定することを特徴とする請求項１２記載のアドレス抽出装置。
【請求項１４】
前記アドレス入力部は、
前記ユーザの操作により前記端末装置が前記プロキシサーバ装置に通知したアドレスに基づいて前記プロキシサーバ装置が行ったアクセスのアクセス先のウェブページのタイトルが示される端末操作ログと、
前記端末装置がローカルプロキシを利用して前記プロキシサーバ装置に通知したアドレスに基づいて前記プロキシサーバ装置が行ったアクセスのアクセス先のウェブページのタイトルとアクセス先のアドレスとが対応付けられて示されるローカルプロキシ情報が少なくとも１つ以上含まれるローカルプロキシログとを入力し、
前記アドレス抽出装置は、更に、
前記アドレス入力部により入力されたローカルプロキシログに含まれるローカルプロキシ情報に示されるタイトルの内、前記端末操作ログに示されるタイトルに合致するタイトルが示されるローカルプロキシ情報を抽出するローカルプロキシ情報抽出部
を備え、
前記アドレス抽出部は、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と、前記ローカルプロキシ情報抽出部に抽出されたローカルプロキシ情報とのいずれにも示されていないアドレスを抽出することを特徴とする請求項１記載のアドレス抽出装置。
【請求項１】
端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスを抽出するアドレス抽出部と
を備えたことを特徴とするアドレス抽出装置。
【請求項２】
前記アドレス入力部は、
ユーザの指示に基づいて前記端末装置が前記プロキシサーバ装置にアクセス先として通知したアドレスが示されるユーザ指示情報を入力し、
前記アドレス抽出部は、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と前記ユーザ指示情報とのいずれにも示されていないアドレスを抽出することを特徴とする請求項１記載のアドレス抽出装置。
【請求項３】
前記アドレス入力部は、
前記ユーザが前記端末装置に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて前記端末装置が前記プロキシサーバ装置にアクセス先として通知したアドレスがアドレス指示操作と対応付けられて示される端末操作ログを前記ユーザ指示情報として入力することを特徴とする請求項２記載のアドレス抽出装置。
【請求項４】
前記アドレス入力部は、
ローカルプロキシを有する端末装置が前記ユーザの指示に基づいて前記ローカルプロキシを利用して前記プロキシサーバ装置にアクセス先として通知したアドレスが示されるローカルプロキシログを前記ユーザ指示情報として入力することを特徴とする請求項２記載のアドレス抽出装置。
【請求項５】
前記アドレス入力部は、
前記ユーザ指示情報に示されるアドレスのウェブページに関連付けされているアドレスが示される関連アドレス情報を入力し、
前記アドレス抽出部は、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と前記ユーザ指示情報と前記関連アドレス情報とのいずれにも示されていないアドレスを抽出することを特徴とする請求項２〜４いずれか記載のアドレス抽出装置。
【請求項６】
前記アドレス入力部は、
前記プロキシサーバ装置が行ったアクセス毎にアクセスが行われたアクセス時刻とアクセス先のアドレスとが対応付けられて示されるプロキシログを入力し、
前記アドレス抽出部は、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、ユーザの存在を検知する検知装置が、ユーザが前記端末装置の前に存在しないと検知した期間に含まれるアクセス時刻に対応付けられているアドレスを抽出することを特徴とする請求項１〜５いずれか記載のアドレス抽出装置。
【請求項７】
前記アドレス入力部は、
前記プロキシサーバ装置が行ったアクセス毎にアクセスが行われたアクセス時刻とアクセス先のアドレスとが対応付けられて示されるプロキシログと、
前記ユーザが前記端末装置に対して指示する指示操作と指示操作毎の操作時刻とが対応付けられて示され、前記ユーザが前記端末装置に対してアクセス先のアドレスを指示する場合に、前記ユーザが前記端末装置に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて前記端末装置が前記プロキシサーバ装置にアクセス先として通知したアドレスがアドレス指示操作とアドレス指示操作の操作時刻とに対応付けられて示される端末操作ログとを入力し、
前記アドレス抽出装置は、更に、
前記端末操作ログに示される操作時刻の内、あらかじめ定義された定義期間の開始時刻後の最初の操作時刻と前記定義期間の終了時刻前の最後の操作時刻とを抽出し、前記定義期間の開始時刻から前記最初の操作時刻までの期間と前記最後の操作時刻から前記定義期間の終了時刻までの期間とから成る非操作期間を算出する、または、前記端末操作ログに示される操作時刻の内、前記定義期間の開始時刻後の操作時刻であってアドレスが対応付けられている最初の操作時刻である最初のアドレス対応操作時刻と、前記定義期間の終了時刻前の操作時刻であってアドレスが対応付けられている最後の操作時刻である最後のアドレス対応操作時刻とを抽出し、前記定義期間の開始時刻から前記最初のアドレス対応操作時刻までの期間と前記最後のアドレス対応操作時刻から前記定義期間の終了時刻までの期間とから成る非アドレス対応期間を算出する期間算出部
を備え、
前記アドレス抽出部は、
前記期間算出部により非操作期間が算出された場合に、前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記非操作期間に含まれるアクセス時刻が対応付けられているアドレスを抽出し、前記期間算出部により非アドレス対応期間が算出された場合に、前記アドレス入力部により入力されたプロキシログに示されるアクセス時刻に対応付けられているアドレスの内、前記非アドレス対応期間に含まれるアクセス時刻に対応付けられているアドレスを抽出することを特徴とする請求項１〜６いずれか記載のアドレス抽出装置。
【請求項８】
前記アドレス抽出装置は、更に、
前記アドレス抽出部により抽出されたアドレスの内、少なくとも１つの所定の条件に合致する所定のアドレスを条件合致アドレスとして特定する条件合致アドレス特定部
を備えることを特徴とする請求項１〜７いずれか記載のアドレス抽出装置。
【請求項９】
前記アドレス抽出装置は、更に、
前記アドレス抽出部により抽出されたアドレス毎にアドレスのウェブページの提供元が属する国が示される提供国情報と、あらかじめ特定された国が示される特定国情報とを入力する情報入力部
を備え、
前記条件合致アドレス特定部は、
前記情報入力部により入力された提供国情報に示される国の中で前記特定国情報に示されるいずれかの国に合致する国が提供しているウェブページのアドレスを条件合致アドレスとして特定する請求項８記載のアドレス抽出装置。
【請求項１０】
前記アドレス入力部は、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスとアクセス時のデータ通信量とが対応付けられて示されるプロキシログを入力し、
前記アドレス抽出装置は、更に、
前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のアクセス数を算出する、または、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のデータ通信量を算出する通信量算出部
を備え、
前記条件合致アドレス特定部は、
前記通信量算出部により単位時間毎のアクセス数が算出された場合に、あらかじめ定義された所定の期間においてのみ前記通信量算出部により算出された単位時間毎のアクセス数が、あらかじめ定義されたアクセス数の第１の閾値以上となるアドレスを条件合致アドレスとして特定し、前記通信量算出部により単位時間毎のデータ通信量が算出された場合に、あらかじめ定義された所定の期間においてのみ前記通信量算出部により算出された単位時間毎のデータ通信量が、あらかじめ定義されたデータ通信量の第１の閾値以上となるアドレスを条件合致アドレスとして特定する請求項８記載のアドレス抽出装置。
【請求項１１】
前記アドレス入力部は、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスとアクセス時のデータ通信量とが対応付けられて示されるプロキシログを入力し、
前記アドレス抽出装置は、更に、
前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のアクセス数を算出する、または、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のデータ通信量を算出する通信量算出部
を備え、
前記条件合致アドレス特定部は、
前記通信量算出部により単位時間毎のアクセス数が算出された場合に、前記単位時間毎のアクセス数が一定周期毎にあらかじめ定義されたアクセス数の第２の閾値以上となるアドレスを条件合致アドレスとして特定し、前記通信量算出部により単位時間毎のデータ通信量が算出された場合に、前記単位時間毎のデータ通信量が一定周期毎にあらかじめ定義されたデータ通信量の第２の閾値以上となるアドレスを条件合致アドレスとして特定することを特徴とする請求項８記載のアドレス抽出装置。
【請求項１２】
前記アドレス入力部は、
前記プロキシサーバ装置が行ったアクセス毎に、アクセス先のアドレスと、前記プロキシサーバ装置からアクセス先へ送信したデータのサイズであるリクエストサイズと、前記プロキシサーバ装置がアクセス先から受信したデータのサイズであるレスポンスサイズとが対応付けられて示されるプロキシログを入力し、
前記条件合致アドレス特定部は、
前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスと対応付けられているレスポンスサイズをアクセス単位で特定し、
特定したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満のアドレスを条件合致アドレスとして特定することを特徴とする請求項８記載のアドレス抽出装置。
【請求項１３】
前記条件合致アドレス特定部は、
前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスと対応付けられているレスポンスサイズとリクエストサイズとをアクセス単位で特定し、
特定したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満であり、リクエストサイズがあらかじめ定義されたリクエストサイズの閾値未満のアドレスを条件合致アドレスとして特定することを特徴とする請求項１２記載のアドレス抽出装置。
【請求項１４】
前記アドレス入力部は、
前記ユーザの操作により前記端末装置が前記プロキシサーバ装置に通知したアドレスに基づいて前記プロキシサーバ装置が行ったアクセスのアクセス先のウェブページのタイトルが示される端末操作ログと、
前記端末装置がローカルプロキシを利用して前記プロキシサーバ装置に通知したアドレスに基づいて前記プロキシサーバ装置が行ったアクセスのアクセス先のウェブページのタイトルとアクセス先のアドレスとが対応付けられて示されるローカルプロキシ情報が少なくとも１つ以上含まれるローカルプロキシログとを入力し、
前記アドレス抽出装置は、更に、
前記アドレス入力部により入力されたローカルプロキシログに含まれるローカルプロキシ情報に示されるタイトルの内、前記端末操作ログに示されるタイトルに合致するタイトルが示されるローカルプロキシ情報を抽出するローカルプロキシ情報抽出部
を備え、
前記アドレス抽出部は、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と、前記ローカルプロキシ情報抽出部に抽出されたローカルプロキシ情報とのいずれにも示されていないアドレスを抽出することを特徴とする請求項１記載のアドレス抽出装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【図３３】
【図３４】
【図３５】
【図３６】
【図３７】
【図３８】
【図３９】
【図４０】
【図４１】
【図４２】
【図４３】
【図４４】
【図４５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図３１】
【図３２】
【図３３】
【図３４】
【図３５】
【図３６】
【図３７】
【図３８】
【図３９】
【図４０】
【図４１】
【図４２】
【図４３】
【図４４】
【図４５】
【公開番号】特開２０１３−８１１４６（Ｐ２０１３−８１１４６Ａ）
【公開日】平成２５年５月２日（２０１３．５．２）
【国際特許分類】
【出願番号】特願２０１１−２２１３１３（Ｐ２０１１−２２１３１３）
【出願日】平成２３年１０月５日（２０１１．１０．５）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成２５年５月２日（２０１３．５．２）
【国際特許分類】
【出願日】平成２３年１０月５日（２０１１．１０．５）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]