スパムＩＰアドレスを判別する装置及び方法並びにスパムクエリを判別する装置及び方法
【課題】スパムＩＰアドレス等を効果的・効率的に判別する装置・方法を提供する。
【解決手段】スパムＩＰアドレス判別装置１は、特定のＩＰアドレスを有する端末２から送信されたクエリを抽出する第１のクエリ抽出部１１と、そのクエリを送信した端末のＩＰアドレスを抽出する第１のＩＰアドレス抽出部１２と、そのＩＰアドレスの端末から送信されたクエリを抽出する第２のクエリ抽出部１３と、そのクエリを送信した端末のＩＰアドレスを抽出する第２のＩＰアドレス抽出部１４と、ＩＰアドレス及びクエリの抽出を交互に繰り返す繰り返し部１５と、繰り返し部１５によってｍ ｈｏｐまで繰り返されたときのＩＰアドレスの種類数の、ｎ ｈｏｐまで繰り返されたときのＩＰアドレスの種類数に対する比が所定の値以上の場合、当初受け付けた特定のＩＰアドレスをスパムＩＰアドレスと判別するスパムＩＰアドレス判別部１６とを備える。スパムクエリも同様である。
【解決手段】スパムＩＰアドレス判別装置１は、特定のＩＰアドレスを有する端末２から送信されたクエリを抽出する第１のクエリ抽出部１１と、そのクエリを送信した端末のＩＰアドレスを抽出する第１のＩＰアドレス抽出部１２と、そのＩＰアドレスの端末から送信されたクエリを抽出する第２のクエリ抽出部１３と、そのクエリを送信した端末のＩＰアドレスを抽出する第２のＩＰアドレス抽出部１４と、ＩＰアドレス及びクエリの抽出を交互に繰り返す繰り返し部１５と、繰り返し部１５によってｍ ｈｏｐまで繰り返されたときのＩＰアドレスの種類数の、ｎ ｈｏｐまで繰り返されたときのＩＰアドレスの種類数に対する比が所定の値以上の場合、当初受け付けた特定のＩＰアドレスをスパムＩＰアドレスと判別するスパムＩＰアドレス判別部１６とを備える。スパムクエリも同様である。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、スパムＩＰアドレスを判別する装置及び方法並びにスパムクエリを判別する装置及び方法に関する。
【背景技術】
【０００２】
近年、ネットワークを介したＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）等のドキュメントシステムにおいては、非常に多くの数のウェブページが公開されている。ユーザは、検索サイトにおいて適宜のクエリを入力し、検索結果として表示される複数の候補から検索条件に適合するウェブページのＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）を選択し、その選択したＵＲＬへのリンクを辿ることで、所望のウェブページを閲覧できる。
【０００３】
ところで、企業にとって、自社のウェブページが検索結果ページの上位（特に１ページ目）に挙げられるかどうかは、自社のウェブページへのアクセス数の多寡に大きく影響するため、極めて重要である。そこで、各企業は、自社のウェブページが検索結果ページの上位に挙げられるよう、種々の工夫をしている。それらの工夫の例として、ターゲットにするクエリを適切に選択すること、当該クエリに対応する適切なキーワードをタイトルやウェブページの先頭付近に持ってくること、ウェブページ内で当該クエリに対応するキーワードを適切に使用すること及びより多くの当該クエリに関連するサイトにリンクすること等の手法が広く一般的に知られている。
【０００４】
しかしながら、検索結果ページ内において特定のウェブページが上位にランクされることを目的として、スパムクエリを自動的に繰り返し検索サイトに送信すること等を行う不正業者も存在している。不正業者は、特定の商品名やサービス名と特定の企業名を組み合わせたもの等を、スパムクエリとして、検索サイトに自動的に送信する。これは、一般ユーザが入力した当該特定の商品名やサービス名を含むクエリに対して、特定の企業のウェブページを、検索結果ページのより上位に表示させようとするものである。
【０００５】
一方、検索サイトを運営する運営者にとっては、上述のような不正が行われると、通常のユーザが入力したクエリに対して本来のウェブページの内容に即した適切な検索結果ページを返すことができなくなる。そのため、検索サイトの運営者は、クエリに対する各ウェブページの検索結果ページでの表示順位を決定する際に、不正業者を適切に検出し、不正業者から発信されたスパムクエリの影響を排除する必要がある。
【０００６】
不正業者を検出するにあたり、スパムクエリを適切に判別することも考えられるが、自動的に送信されたスパムクエリであっても、見た目は通常のクエリと区別がつかないことも多い。また、スパムクエリではない通常のクエリを混入させるという巧妙な手口もあり、スパムクエリの判別をますます困難なものとしている。
【０００７】
特許文献１には、ブログからリンクしているウェブサイトを評価するリンク先評価手段と、ウェブサイトの評価結果を用いてブログの評価を行うブログ評価手段と、ブログの評価に基づいて当該ブログがスパムブログか否かを判定する判定手段とを備えるスパムブログ検知装置が開示されているが、当該スパムブログ検知装置は、上述のようなスパムクエリの判別に関する課題を解決するものではない。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２０１０−０６６９８０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
こうした背景から、効果的かつ効率的にスパムクエリを判別する技術が求められていた。本発明はかかる点に鑑みてなされたものであり、スパムクエリを効果的かつ効率的に判別する装置及び方法を提供することを目的とする。さらに、本発明は、スパムクエリを送信する装置のスパムＩＰアドレスを効果的かつ効率的に判別する装置及び方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明では、以下のような解決手段を提供する。
【００１１】
（１） クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶される検索ログ記憶手段と、特定のＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する第１のクエリ抽出手段と、前記第１のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する第１のＩＰアドレス抽出手段と、前記第１のＩＰアドレス抽出手段又は第２のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する第２のクエリ抽出手段と、前記第２のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する前記第２のＩＰアドレス抽出手段と、前記第２のクエリ抽出手段によるクエリの抽出と前記第２のＩＰアドレス抽出手段によるＩＰアドレスの抽出とを交互に繰り返し実行する繰り返し手段と、前記繰り返し手段によって第１の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、前記繰り返し手段によって前記第１の回数よりも多い第２の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合には、前記特定のＩＰアドレスがスパムＩＰアドレスであると判別するスパムＩＰアドレス判別手段とを備えるスパムＩＰアドレス判別装置。
【００１２】
（１）に記載の発明によれば、検索ログ記憶手段には、クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶され、第１のクエリ抽出手段は、特定のＩＰアドレスの端末から送信されたクエリを、検索ログ記憶手段を参照して抽出し、第１のＩＰアドレス抽出手段は、第１のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、検索ログ記憶手段を参照して抽出し、第２のクエリ抽出手段は、第１のＩＰアドレス抽出手段又は第２のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、検索ログ記憶手段を参照して抽出し、第２のＩＰアドレス抽出手段は、第２のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、検索ログ記憶手段を参照して抽出する。そして、繰り返し手段は、第２のクエリ抽出手段によるクエリの抽出と第２のＩＰアドレス抽出手段によるＩＰアドレスの抽出とを交互に繰り返し実行し、スパムＩＰアドレス判別手段は、繰り返し手段によって第１の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、繰り返し手段によって前記第１の回数よりも多い第２の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比を求める。そして、その比の値が所定の値以上の場合、スパムＩＰアドレス判別手段は、上記特定のＩＰアドレスがスパムＩＰアドレスであると判別する。
【００１３】
通常のＩＰアドレスの場合であれば、第１の回数だけ繰り返した後にスパムＩＰアドレス判別装置が抽出するＩＰアドレスの種類数と比べて、第２の回数だけ繰り返した後にスパムＩＰアドレス判別装置が抽出するＩＰアドレスの種類数は、十分増加する。これに対し、不正業者のスパムＩＰアドレスの場合、当該不正業者が使用し得るＩＰアドレスの数が限られていることから、通常のＩＰアドレスの場合に比べ、スパムＩＰアドレス判別装置が抽出するＩＰアドレスの種類数の増加の割合は、低くなる。このことに着目し、スパムＩＰアドレス判別装置は、第１の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、第２の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比が所定の値以上の場合に、そのＩＰアドレスがスパムＩＰアドレスであると判別する。
【００１４】
これにより、スパムクエリにスパムではない通常のクエリを混入させてカモフラージュするという巧妙な手口も含め、不正業者のスパムＩＰアドレスを効率的かつ効果的に判別できる。
【００１５】
（２） スパムＩＰアドレス判別装置が実行する方法であって、クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶された検索ログデータベースを参照して、特定のＩＰアドレスの端末から送信されたクエリを抽出する第１のクエリ抽出工程と、前記第１のクエリ抽出工程で抽出したクエリを送信した端末のＩＰアドレスを、前記検索ログデータベースを参照して抽出する第１のＩＰアドレス抽出工程と、前記第１のＩＰアドレス抽出工程又は第２のＩＰアドレス抽出工程で抽出したＩＰアドレスの端末から送信されたクエリを、前記検索ログデータベースを参照して抽出する第２のクエリ抽出工程と、前記第２のクエリ抽出工程で抽出したクエリを送信した端末のＩＰアドレスを、前記検索ログデータベースを参照して抽出する前記第２のＩＰアドレス抽出工程と、前記第２のクエリ抽出工程によるクエリの抽出と前記第２のＩＰアドレス抽出工程によるＩＰアドレスの抽出とを交互に繰り返し実行する繰り返し工程と、前記ＩＰアドレス抽出工程を第１の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数の、前記ＩＰアドレス抽出工程を前記第１の回数よりも多い第２の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合に、前記特定のＩＰアドレスがスパムＩＰアドレスであると判断するスパムＩＰアドレス判別工程とを含むスパムＩＰアドレス判別方法。
【００１６】
（２）に記載の発明によれば、当該方法の使用をすることにより、（１）と同様の効果が期待できる。
【００１７】
（３） クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶される検索ログ記憶手段と、特定のクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する第１のＩＰアドレス抽出手段と、前記第１のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する第１のクエリ抽出手段と、前記第１のクエリ抽出手段又は第２のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する第２のＩＰアドレス抽出手段と、前記第２のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する前記第２のクエリ抽出手段と、前記第２のＩＰアドレス抽出手段によるＩＰアドレスの抽出と前記第２のクエリ抽出手段によるクエリの抽出とを交互に繰り返し実行する繰り返し手段と、前記繰り返し手段によって第１の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、前記繰り返し手段によって前記第１の回数よりも多い第２の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合には、前記特定のクエリがスパムクエリであると判別するスパムクエリ判別手段とを備えるスパムクエリ判別装置。
【００１８】
ところで、通常のクエリの場合であれば、第１の回数だけ繰り返した後に抽出されたＩＰアドレスの種類数と比べて、第２の回数だけ繰り返した後に抽出されたＩＰアドレスの種類数は、十分増加する。これに対し、不正業者のスパムＩＰアドレスから送信されるスパムクエリの場合、当該不正業者が使用し得るＩＰアドレスの数が限られていることから、通常のクエリの場合に比べ、スパムクエリ判別装置が抽出するＩＰアドレスの種類数の増加の割合は、低くなる。このことに着目し、スパムクエリ判別装置が抽出するＩＰアドレスの当該種類数の増加の割合は、低くなる。このことに着目し、スパムクエリ判別装置は、第１の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、第２の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比が所定の値以上の場合に、上記特定のクエリをスパムクエリであると判別する。
【００１９】
これにより、スパムクエリにスパムではない通常のクエリを混入させてカモフラージュするという巧妙な手口も含め、不正業者の装置から送信されるスパムクエリを効率的かつ効果的に判別できる。
【００２０】
（４） スパムクエリ判別装置が実行する方法であって、クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶された検索ログデータベースを参照して、特定のクエリを送信した端末のＩＰアドレスを抽出する第１のＩＰアドレス抽出工程と、前記第１のＩＰアドレス抽出工程で抽出したＩＰアドレスの端末から送信されたクエリを、前記検索ログデータベースを参照して抽出する第１のクエリ抽出工程と、前記第１のクエリ抽出工程又は第２のクエリ抽出工程によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログデータベースを参照して抽出する第２のＩＰアドレス抽出工程と、前記第２のＩＰアドレス抽出工程で抽出したＩＰアドレスの端末から送信されたクエリを、前記検索ログデータベースを参照して抽出する第２のクエリ抽出工程と、前記第２のＩＰアドレス抽出工程によるＩＰアドレスの抽出と前記第２のクエリ抽出工程によるクエリの抽出とを交互に繰り返し実行する繰り返し工程と、前記ＩＰアドレス抽出工程を第１の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数の、前記ＩＰアドレス抽出工程を前記第１の回数よりも多い第２の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合に、前記特定のクエリがスパムクエリであると判断するスパムクエリ判別工程とを含むスパムクエリ判別方法。
【００２１】
（４）に記載の方法によれば、当該方法の使用をすることにより、（３）と同様の効果が期待できる。
【発明の効果】
【００２２】
本発明によれば、スパムクエリにスパムではない通常のクエリを混入させてカモフラージュするという巧妙な手口も含め、不正業者のスパムＩＰアドレス及びスパムクエリを効率的かつ効果的に判別する装置及び方法を提供することができる。
【図面の簡単な説明】
【００２３】
【図１】第１実施形態に係るスパムＩＰアドレス判別装置１を説明するための全体構成を示す図である。
【図２】第１実施形態に係るスパムＩＰアドレス判別装置１を用いたときの、ＩＰアドレスの指定操作を行ってからスパムＩＰアドレスを選択するまでの概略を示す図である。
【図３】第１実施形態に係るスパムＩＰアドレス判別装置１のフローチャートである。
【図４】第１実施形態に係るスパムＩＰアドレス判別装置１の使用例を示す図である。
【図５】図４に続く図である。
【図６】図５に続く図である。
【図７】第２実施形態に係るスパムクエリ判別装置１０１を説明するための全体構成を示す図である。
【図８】第２実施形態に係るスパムクエリ判別装置１０１を用いたときの、クエリの指定操作を行ってからスパムクエリを選択するまでの概略を示す図である。
【図９】第２実施形態に係るスパムクエリ判別装置１０１のフローチャートである。
【図１０】第２実施形態に係るスパムクエリ判別装置１０１の使用例を示す図である。
【図１１】図１０に続く図である。
【図１２】図１１に続く図である。
【図１３】図１２に続く図である。
【発明を実施するための形態】
【００２４】
［第１実施形態］
以下、本発明の第１実施形態について図を参照しながら説明する。
【００２５】
［全体構成］
図１は、第１実施形態に係るスパムＩＰアドレス判別装置１を説明するための全体構成を示す図である。スパムＩＰアドレス判別装置１は、制御部１０と、記憶部２０とを備える。制御部１０は、スパムＩＰアドレス判別装置１に係る各機能を統括的に制御する部分であり、第１のクエリ抽出部１１、第１のＩＰアドレス抽出部１２、第２のクエリ抽出部１３、第２のＩＰアドレス抽出部１４、繰り返し部１５及びスパムＩＰアドレス判別部１６を備える。一方、記憶部２０は、スパムＩＰアドレス判別装置１として機能させるための各種プログラム（図示省略）やデータベースを記憶する部分であり、検索ログデータベース２１を備える。
【００２６】
まず、検索ログデータベース２１について説明する。通常、端末２を使用している端末使用ユーザは、検索エンジン（図示しない）を使用して検索したい事項に係るクエリを端末２から入力する。端末２は、これを受け付けて、検索エンジンに送信し、検索処理が実行される。検索ログデータベース２１は、このような検索処理に伴って受け付けられ、送信された過去のクエリを記憶している。すなわち、検索ログデータベース２１は、検索ログ記憶手段として機能し、検索ログデータベース２１には、クエリと、当該クエリを送信した端末２のＩＰアドレスと、端末２からクエリを受信した日時とを関連付けた検索ログが記憶される。
【００２７】
第１のクエリ抽出部１１は、特定のＩＰアドレスＩＰ０の端末２から送信されたクエリを、検索ログデータベース２１を参照して抽出する。ここでの第１のクエリ抽出部１１の処理を１ｈｏｐとし、この１ｈｏｐ目の処理で第１のクエリ抽出部１１が抽出したクエリは、図２のＱ１１、Ｑ１２、・・・Ｑ１ｉに対応する。なお、第１のクエリ抽出部１１は、第１のクエリ抽出手段として機能する。
【００２８】
第１のＩＰアドレス抽出部１２は、第１のクエリ抽出部１１によって抽出されたクエリのそれぞれについて、これらのクエリを送信した端末２のＩＰアドレスを、検索ログデータベース２１を参照して抽出する。ここでの第１のＩＰアドレス抽出部１２の処理を２ｈｏｐとし、この２ｈｏｐ目の処理で第１のＩＰアドレス抽出部１２が抽出したＩＰアドレスは、図２のＩＰ２１、ＩＰ２２、・・・ＩＰ２ｊに対応する。なお、第１のＩＰアドレス抽出部１２は、第１のＩＰアドレス抽出手段として機能する。また、図２の２ｈｏｐ目には、クエリＱ１１、Ｑ１２、・・・Ｑ１ｉを送信した端末２のＩＰアドレスのうち、クエリＱ１２を送信した端末２のＩＰアドレスＩＰ２１、ＩＰ２２、・・・ＩＰ２ｊだけが記載されているが、第１のＩＰアドレス抽出部１２は、他のクエリを送信した端末２のＩＰアドレスも抽出している。
【００２９】
第２のクエリ抽出部１３は、第１のＩＰアドレス抽出部１２によって抽出されたＩＰアドレスの端末から送信されたクエリを、検索ログデータベース２１を参照して抽出する。ここでの第２のクエリ抽出部１３の処理を３ｈｏｐ（図示せず）とする。なお、第２のクエリ抽出部１３は、第２のクエリ抽出手段として機能する。
【００３０】
第２のＩＰアドレス抽出部１４は、第２のクエリ抽出部１３によって抽出されたクエリを送信した端末のＩＰアドレスを、検索ログデータベース２１を参照して抽出する。ここでの第２のＩＰアドレス抽出部１４の処理を４ｈｏｐ（図示せず）とする。なお、第２のＩＰアドレス抽出部１４は、第２のＩＰアドレス抽出手段として機能する。
【００３１】
繰り返し部１５は、第２のクエリ抽出部１３によるクエリの抽出と第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出とを交互に繰り返し実行する。つまり、繰り返し部１５は、５ｈｏｐとしての第２のクエリ抽出部１３によるクエリの抽出、６ｈｏｐとしての第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出、・・・をｎ ｈｏｐとしての第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出を行うまで繰り返す。但し、５ｈｏｐ目のクエリ抽出は、４ｈｏｐ目で抽出されたＩＰアドレスを用い、６ｈｏｐ目のＩＰアドレス抽出は、５ｈｏｐ目で抽出されたクエリを用いる。なお、繰り返し部１５は、繰り返し手段として機能する。また、図２には、一部のＩＰアドレスを有する端末２から送信されたクエリ及び一部のクエリを送信した端末２のＩＰアドレスだけが記載されているが、繰り返し部１５は、他のＩＰアドレスを有する端末２から送信されたクエリ及び他のクエリを送信した端末２のＩＰアドレスも抽出している。
【００３２】
スパムＩＰアドレス判別部１６は、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数の、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数に対する比を求める。すなわち、スパムＩＰアドレス判別部１６は、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数を分子とし、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数を分母とした比の値を求める。そして、スパムＩＰアドレス判別部１６は、その求めた比の値が所定の閾値以上の場合、上記特定のＩＰアドレスＩＰ０がスパムＩＰアドレスであると判別する。なお、スパムＩＰアドレス判別部１６は、スパムＩＰアドレス判別手段として機能する。また、「所定の閾値」は、ユーザが予め定めた値である。
【００３３】
ところで、クエリの抽出及びＩＰアドレスの抽出が繰り返されると、第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４が抽出するＩＰアドレスの「数」が多くなることから、第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４がＩＰアドレスを抽出しても、スパムＩＰアドレス判別部１６がＩＰアドレスの「種類数」を算出するには、多大な計算処理時間を要する。そこで、特に、計算処理時間を減らすため、ＩＰアドレスの「種類数」を算出するにあたっては、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの中から所定個数のＩＰアドレスを無作為に抽出し、抽出したＩＰアドレスの重複度合いからＩＰアドレスの「種類数」を推定できる。第２の回数についても同様に、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの中から所定個数のＩＰアドレスを無作為に抽出し、抽出したＩＰアドレスの重複度合いからＩＰアドレスの「種類数」を推定できる。
【００３４】
［本実施形態のハードウェア及びソフトウェアの構成］
本実施形態のハードウェア及びソフトウェアの構成について説明する。スパムＩＰアドレス判別装置１のハードウェアには、制御装置（制御部）としてのＣＰＵの他、記憶装置（記憶部）、通信装置（通信部）、表示装置（表示部）及び入力装置（入力部）が含まれる。記憶装置（記憶部）としては、例えば、メモリ（ＲＡＭ、ＲＯＭ等）、ハードディスクドライブ（ＨＤＤ）又は光ディスク（ＣＤ、ＤＶＤ等）ドライブ等が挙げられる。通信装置（通信部）としては、例えば、各種有線又は無線インターフェース装置等が挙げられる。表示装置（表示部）としては、例えば、液晶ディスプレイ又はプラズマディスプレイ等の各種ディスプレイが挙げられる。入力装置（入力部）としては、例えば、キーボード、ポインティング・デバイス（マウス等）又はリモコン装置等が挙げられる。
【００３５】
スパムＩＰアドレス判別装置１のソフトウェアには、上記ハードウェアを制御するプログラムやデータが含まれる。プログラムやデータは、記憶装置（記憶部）により記憶され、制御装置（制御部）により適宜実行、参照される。また、コンピュータ・プログラムやデータは、電磁的方法により配布することも可能であり、ＣＤ−ＲＯＭ等のコンピュータ可読媒体に記録して配布することも可能である。
【００３６】
［フローチャート］
図３は、第１実施形態に係るスパムＩＰアドレス判別装置１のフローチャートである。
【００３７】
ステップＳ１では、第１のクエリ抽出部１１は、第１のクエリ抽出処理を行う。この処理では、第１のクエリ抽出部１１は、特定のＩＰアドレスの端末２から送信されたクエリを、検索ログデータベース２１を参照して抽出する処理を行う。なお、特定のＩＰアドレスＩＰ０の指定は、検索ログデータベース２１に記憶されたＩＰアドレスの中から、スパムＩＰアドレスであるかどうかを判別したい任意のＩＰアドレスを指定する。好適には、検索ログデータベース２１に記憶されたＩＰアドレスの中から、誤差要因となるＩＰアドレスを除去するような所定の処理を行い、その中から指定することもできる。
【００３８】
ステップＳ２では、第１のＩＰアドレス抽出部１２は、第１のＩＰアドレス抽出処理を行う。この処理では、第１のＩＰアドレス抽出部１２は、第１のクエリ抽出部１１によって抽出されたクエリのそれぞれについて、これらのクエリを送信した端末２のＩＰアドレスを、検索ログデータベース２１を参照して抽出する処理を行う。
【００３９】
ステップＳ３では、第２のクエリ抽出部１３は、第２のクエリ抽出処理を行う。この処理では、第２のクエリ抽出部１３は、第１のＩＰアドレス抽出部１２によって抽出されたＩＰアドレスの端末２から送信されたクエリを、検索ログデータベース２１を参照して抽出する処理を行う。
【００４０】
ステップＳ４では、第２のＩＰアドレス抽出部１４は、第２のＩＰアドレス抽出処理を行う。この処理では、第２のＩＰアドレス抽出部１４は、第２のクエリ抽出部１３によって抽出されたクエリを送信した端末２のＩＰアドレスを、検索ログデータベース２１を参照して抽出する処理を行う。
【００４１】
ステップＳ５では、繰り返し部１５は、繰り返し処理を行う。この処理では、繰り返し部１５は、第２のクエリ抽出部１３によるクエリの抽出と第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出とを交互に繰り返し実行する。つまり、繰り返し部１５は、５ｈｏｐとしての第２のクエリ抽出部１３によるクエリの抽出、６ｈｏｐとしての第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出、・・・をｎ ｈｏｐとしての第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出を行うまで繰り返す。但し、ＩＰアドレスの抽出は、直前に抽出されたクエリを用い、クエリの抽出は、直前に抽出されたＩＰアドレスを用いる。例えば、５ｈｏｐ目のクエリの抽出は、４ｈｏｐ目で抽出されたＩＰアドレスを用い、６ｈｏｐ目のＩＰアドレスの抽出は、５ｈｏｐ目で抽出されたクエリを用いる。
【００４２】
ステップＳ６では、スパムＩＰアドレス判別部１６は、スパムＩＰアドレス判別処理を行う。この処理では、スパムＩＰアドレス判別部１６は、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数の、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数に対する比を求め、その求めた比の値が所定の閾値以上の場合に、上記特定のＩＰアドレスＩＰ０がスパムＩＰアドレスであると判別する処理を行う。この処理を終えると、制御部１０は、一連の処理を終了する。
【００４３】
［第１実施形態に係るスパムＩＰアドレス判別装置１の実施例］
図４〜図７は、第１実施形態に記載のＩＰアドレス判別装置１に係る発明を実施したときの例を示す図である。
【００４４】
まず、図４について説明する。まず、第１のクエリ抽出部１１は、特定のＩＰアドレスＩＰ０の端末から送信されたクエリを、検索ログデータベース２１を参照して抽出する。なお、ここでの第１のクエリ抽出部１１の処理を１ｈｏｐとする。
【００４５】
図４は、第１のクエリ抽出部１１が特定のＩＰアドレス「１２３．４５．６７８．９０１」から２０１０年６月１日に送信されたクエリを抽出したときの例を示す。１行目は、特定のＩＰアドレス及びこの特定のＩＰアドレスからクエリを送信した日付を示し、「ＩＰ ａｄｄｒｅｓｓ＝１２３．４５．６７８．９０１， Ｄａｔｅ＝２０１００６０１」と記載されている。２行目以降は、２０１０年６月１日にＩＰアドレス「１２３．４５．６７８．９０１」を有する端末から送信されたクエリ及びそのクエリの送信回数を示し、当該端末からは、例えば、クエリ「外為 ａｂｃ証券」が４回、クエリ「合宿免許 ｇｈｉ自動車学校」が３回、クエリ「ネットショップ 物流」が５回等が送信されている。
【００４６】
続いて、図５について説明する。第１のＩＰアドレス抽出部１２は、第１のクエリ抽出部１１によって抽出されたクエリのそれぞれについて、これらのクエリを送信した端末２のＩＰアドレスを、検索ログデータベース２１を参照して抽出する。なお、ここでの第１のＩＰアドレス抽出部１２の処理を２ｈｏｐとする。
【００４７】
図５は、第１のクエリ抽出部１１によって抽出されたクエリ、すなわち、図４で示したクエリ「外為 ａｂｃ証券」、「合宿免許 ｇｈｉ自動車学校」、「ネットショップ 物流」・・・のそれぞれについて、これらのクエリを送信した端末２のＩＰアドレスを、第１のＩＰアドレス抽出部１２が検索ログデータベース２１を参照して抽出したときの例を示す。１つめのブロックは、２０１０年６月１日にクエリ「外為 ａｂｃ証券」を送信した端末のＩＰアドレスを示し、例えば、「１２３．４５．６７８．９０１」、「２３４．５６．７８９．０１２」、「３４５．６７８．９０１．２３４」等がある。ＩＰアドレスの右にある文字は、そのＩＰアドレスを有する端末から送信されたクエリを示し、このクエリの右にある文字は、そのクエリを送信した回数を示す。
【００４８】
２つめのブロックは、２０１０年６月１日にクエリ「合宿免許 ｇｈｉ自動車学校」を送信した端末のＩＰアドレスを示し、例えば、「１２３．４５．６７８．９０１」、「２０１．３５．６７９．０２３」、「３４５．６７８．９０１．２３４」等がある。３つめのブロックは、同日にクエリ「ネットショップ 物流」を送信した端末のＩＰアドレスを示し、例えば、「１２３．４５．６７８．９０１」、「３４５．６７８．９０１．２３４」、「４５．６７．８９．０１２」等がある。
【００４９】
続いて、図６について説明する。第２のクエリ抽出部１３は、第１のＩＰアドレス抽出部１２によって抽出されたＩＰアドレスの端末から送信されたクエリを、検索ログデータベース２１を参照して抽出し、第２のＩＰアドレス抽出部１４は、第２のクエリ抽出部１３によって抽出されたクエリを送信した端末のＩＰアドレスを、検索ログデータベース２１参照して抽出する。そして、繰り返し部１５は、第２のクエリ抽出部１３によるクエリの抽出と第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出とを交互に繰り返し実行する。つまり、第２のクエリ抽出部１３は、３ｈｏｐとしてのクエリの抽出を行い、第２のＩＰアドレス抽出部１４は、４ｈｏｐとしてのＩＰアドレスの抽出を行い、その後、繰り返し部１５は、５ｈｏｐとしての第２のクエリ抽出部１３によるクエリの抽出、６ｈｏｐとしての第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出、・・・をｎ ｈｏｐとしての第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出を行うまで繰り返す。但し、クエリの抽出は、直前に抽出されたＩＰアドレスを用い、ＩＰアドレスの抽出は、直前に抽出されたクエリを用いる。例えば、３ｈｏｐ目のクエリの抽出は、２ｈｏｐ目で抽出されたＩＰアドレスを用い、４ｈｏｐ目のＩＰアドレスの抽出は、３ｈｏｐ目で抽出されたクエリを用いる。また、５ｈｏｐ目のクエリの抽出は、４ｈｏｐ目で抽出されたＩＰアドレスを用いる。
【００５０】
図６は、繰り返し部１５が、第２のクエリ抽出部１３によるクエリの抽出と第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出とを、ｍ ｈｏｐとしてのＩＰアドレスの抽出を行うまで繰り返したときの、ｍ ｈｏｐ目でのＩＰアドレスの抽出の結果を示す。見方は図５と同じであり、上から、２０１０年６月１日にクエリ「五月人形 ｄｅｆ人形店」、クエリ「メガネ ｓｔｕメガネ店」、クエリ「ダイヤモンド買取 ショップ」を送信した端末のＩＰアドレスを示す。
【００５１】
なお、下線は、説明の便宜のために付したものであり、ＩＰアドレス判別装置１からの出力情報として付されるものではない。下線の意味については、後に説明する。
【００５２】
ところで、スパムＩＰアドレス判別部１６は、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数の、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数に対する比を求める。そして、スパムＩＰアドレス判別部１６は、その求めた比の値が所定の閾値以上の場合に、上記特定のＩＰアドレスＩＰ０がスパムＩＰアドレスであると判別する。
【００５３】
実施形態１において、ｍ、ｎは、ｍ＜ｎを満たす正の偶数である。図６を参照しながら説明する。図６を参照すると、繰り返し部１５によって第１の回数（ｍ ｈｏｐまで）だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスは、「１２３．４５．６７８．９０１」、「１５６．４３．６２１．７２４」・・・等である。ここで、便宜上下線を引いているが、これは、第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスのうち、重複するものである。「種類数」を計算するにあたり、重複するものはまとめて「１」として計算するので、図６に示されている範囲では、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数は、「１３」である。実際には、図６に明示されていないものもあるので、図６の右下にあるように、ここでは、ＩＰアドレスの種類数が「５０」であるものとして説明する。
【００５４】
また、図示は省略するが、繰り返し部１５によって第２の回数（ｎ ｈｏｐまで）だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数は、「８０」であるものとして説明する。
【００５５】
繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数が「５０」であり、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数が「８０」であれば、前者の後者に対する比は５０／８０（＝０．６２５）となる。所定の閾値が０．６２５未満であれば、当該比の値は所定の閾値以上となるので、スパムＩＰアドレス判別部１６は、特定のＩＰアドレス「１２３．４５．６７８．９０１」がスパムＩＰアドレスであると判別する。
【００５６】
第１実施形態に記載の発明によれば、検索ログデータベース２１には、クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶され、第１のクエリ抽出部１１は、特定のＩＰアドレスの端末から送信されたクエリを、検索ログデータベース２１を参照して抽出し、第１のＩＰアドレス抽出部１２は、その抽出したクエリを送信した端末のＩＰアドレスを、検索ログデータベース２１を参照して抽出する。そして、第２のクエリ抽出部１３は、第１のＩＰアドレス抽出部１２によって抽出されたＩＰアドレスの端末から送信されたクエリを、検索ログデータベース２１を参照して抽出し、第２のＩＰアドレス抽出部１４は、第２のクエリ抽出部１３によって抽出されたクエリを送信した端末のＩＰアドレスを、検索ログデータベース２１を参照して抽出し、繰り返し部１５は、第２のクエリ抽出部１３によるクエリの抽出と第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出とを交互に繰り返し実行し、スパムＩＰアドレス判別部１６は、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数の、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数に対する比を求める。そして、その比の値が所定の値以上の場合、スパムＩＰアドレス判別部１６は、上記特定のＩＰアドレスがスパムＩＰアドレスであると判別する。
【００５７】
通常のＩＰアドレスの場合であれば、第１の回数だけ繰り返した後にスパムＩＰアドレス判別装置１が抽出するＩＰアドレスの種類数と比べて、第２の回数だけ繰り返した後にスパムＩＰアドレス判別装置１が抽出するＩＰアドレスの種類数は、十分増加する。これに対し、不正業者のスパムＩＰアドレスの場合、当該不正業者が使用し得るＩＰアドレスの数が限られていることから、通常のＩＰアドレスの場合に比べ、スパムＩＰアドレス判別装置１が抽出するＩＰアドレスの種類数の増加の割合は、低くなる。このことに着目し、スパムＩＰアドレス判別装置１は、第１の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、第２の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比が所定の値以上の場合に、そのＩＰアドレスがスパムＩＰアドレスであると判別する。
【００５８】
これにより、スパムクエリにスパムではない通常のクエリを混入させてカモフラージュするという巧妙な手口も含め、不正業者のスパムＩＰアドレスを効率的かつ効果的に判別できる。
【００５９】
［第２実施形態］
以下、本発明の第２実施形態について図を参照しながら説明する。
【００６０】
［全体構成］
図７は、第２実施形態に係るスパムクエリ判別装置１０１を説明するための全体構成を示す図である。スパムクエリ判別装置１０１は、制御部１１０と、記憶部１２０とを備える。制御部１１０は、スパムクエリ判別装置１０１に係る各機能を統括的に制御する部分であり、第１のＩＰアドレス抽出部１１１、第１のクエリ抽出部１１２、第２のＩＰアドレス抽出部１１３、第２のクエリ抽出部１１４、繰り返し部１１５及びスパムクエリ判別部１１６を備える。一方、記憶部１２０は、スパムクエリ判別装置１０１として機能させるための各種プログラム（図示省略）やデータベースを記憶する部分であり、検索ログデータベース１２１を備える。
【００６１】
検索ログデータベース１２１は、第１実施形態の検索ログデータベース２１と同じ構成を有するものであり、検索ログ記憶手段として機能する。検索ログデータベース１２１には、クエリと、当該クエリを送信した端末１０２のＩＰアドレスと、端末１０２からクエリを受信した日時とを関連付けた検索ログが記憶される。
【００６２】
第１のＩＰアドレス抽出部１１１は、特定のクエリＱ０を送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出する。ここでの第１のＩＰアドレス抽出部１１１の処理を１ｈｏｐとし、この１ｈｏｐ目の処理で第１のＩＰアドレス抽出部１１１が抽出したＩＰアドレスは、図２のＩＰ１１、ＩＰ１２、・・・ＩＰ１ｉに対応する。なお、第１のＩＰアドレス抽出部１１１は、第１のＩＰアドレス抽出手段として機能する。
【００６３】
第１のクエリ抽出部１１２は、第１のＩＰアドレス抽出部１１１によって抽出されたＩＰアドレスの端末１０２から送信されたクエリを、検索ログデータベース１２１を参照して抽出する。ここでの第１のクエリ抽出部１１２の処理を２ｈｏｐとし、この２ｈｏｐ目の処理で第１のクエリ抽出部１１２が抽出したクエリは、図２のＱ２１、Ｑ２２、・・・Ｑ２ｊに対応する。なお、第１のクエリ抽出部１１２は、第１のクエリ抽出手段として機能する。また、図８、２ｈｏｐ目には、ＩＰアドレスＩＰ１１、ＩＰ１２、・・・ＩＰ１ｉを有する端末１０２から送信されたクエリのうち、ＩＰ１２を有する端末１０２から送信されたクエリＱ２１、Ｑ２２、・・・Ｑ２ｊだけが記載されているが、第１のクエリ抽出部１１２は、他のＩＰアドレスを有する端末１０２から送信されたクエリも抽出している。
【００６４】
第２のＩＰアドレス抽出部１１３は、第１のクエリ抽出部１１２によって抽出されたクエリを送信した端末のＩＰアドレスを、検索ログデータベース１２１を参照して抽出する。ここでの第２のＩＰアドレス抽出部１１３の処理を３ｈｏｐとする。なお、第２のＩＰアドレス抽出部１１３は、第２のＩＰアドレス抽出手段として機能する。また、３ｈｏｐ目のＩＰアドレスの抽出は、２ｈｏｐ目で抽出されたＩＰアドレスを用いる。
【００６５】
第２のクエリ抽出部１１４は、第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの端末１０２から送信されたクエリを、検索ログデータベース１２１を参照して抽出する。ここでの第２のクエリ抽出部１１４の処理を４ｈｏｐとする。なお、第２のクエリ抽出部１１４は、第２のクエリ抽出手段として機能する。また、４ｈｏｐ目のＩＰアドレスの抽出は、３ｈｏｐ目で抽出されたＩＰアドレスを用いる。
【００６６】
繰り返し部１１５は、第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出と第２のクエリ抽出部１１４によるクエリの抽出とを交互に繰り返し実行する。つまり、繰り返し部１１５は、５ｈｏｐとしての第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出、６ｈｏｐとしての第２のクエリ抽出部１１４によるクエリの抽出、・・・をｎ ｈｏｐとしての第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出を行うまで繰り返す。なお、繰り返し部１１５は、繰り返し手段として機能する。また、図８には、一部のクエリを送信した端末１０２のＩＰアドレス及び一部のＩＰアドレスを有する端末１０２から送信されたクエリだけが記載されているが、繰り返し部１１５は、他のクエリを送信した端末１０２のＩＰアドレス及び他のＩＰアドレスを有する端末１０２から送信されたクエリも抽出している。但し、クエリの抽出は、直前に抽出されたＩＰアドレスを用い、ＩＰアドレスの抽出は、直前に抽出されたクエリを用いる。例えば、５ｈｏｐ目のＩＰアドレスの抽出は、４ｈｏｐ目で抽出されたクエリを用い、６ｈｏｐ目のクエリの抽出は、５ｈｏｐ目で抽出されたＩＰアドレスを用いる。
【００６７】
スパムクエリ判別部１１６は、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数の、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数に対する比を求める。すなわち、スパムクエリ判別部１１６は、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数を分子とし、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数を分母とした比の値を求める。そして、スパムクエリ判別部１１６は、その求めた比の値が所定の閾値以上の場合、上記特定のクエリＱ０がスパムクエリであると判別する。なお、スパムクエリ判別部１１６は、スパムクエリ判別手段として機能する。また、「所定の閾値」は、ユーザが予め定めた値である。
【００６８】
ところで、クエリの抽出及びＩＰアドレスの抽出が繰り返されると、第２のＩＰアドレス抽出部１１３が抽出するＩＰアドレスの「数」が多くなることから、第２のＩＰアドレス抽出部１１３がＩＰアドレスを抽出しても、スパムクエリ判別部１１６がＩＰアドレスの「種類数」を算出するには、多大な計算処理時間を要する。そこで、特に、計算処理時間を減らすため、ＩＰアドレスの「種類数」を算出するにあたっては、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの中から所定個数のＩＰアドレスを無作為に抽出し、抽出したＩＰアドレスの重複度合いからＩＰアドレスの「種類数」を推定できる。第２の回数についても同様に、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの中から所定個数のＩＰアドレスを無作為に抽出し、抽出したＩＰアドレスの重複度合いからＩＰアドレスの「種類数」を推定できる。
【００６９】
なお、第２実施形態のハードウェア及びソフトウェアの構成は、第１実施形態のそれと同じであり、スパムクエリ判別装置１０１のハードウェアには、制御装置（制御部）としてのＣＰＵの他、記憶装置（記憶部）、通信装置（通信部）、表示装置（表示部）及び入力装置（入力部）が含まれる。また、スパムクエリ判別装置１０１のソフトウェアには、上記ハードウェアを制御するプログラムやデータが含まれる。
【００７０】
［フローチャート］
図９は、第２実施形態に係るスパムクエリ判別装置１０１のフローチャートである。
【００７１】
ステップＳ１０１では、第１のＩＰアドレス抽出部１１１は、第１のＩＰアドレス抽出処理を行う。この処理では、第１のＩＰアドレス抽出部１１１は、特定のクエリＱ０を送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出する処理を行う。なお、特定のクエリＱ０の指定は、検索ログデータベース１２１に記憶されたクエリの中から、スパムクエリであるかどうかを判別したい任意のクエリを指定することにより行う。好適には、検索ログデータベース１２１に記憶されたクエリの中から、誤差要因となるクエリを除去するような所定の処理を行い、その中から指定することもできる。
【００７２】
ステップＳ１０２では、第１のクエリ抽出部１１２は、第１のクエリ抽出処理を行う。この処理では、第１のクエリ抽出部１１２は、第１のＩＰアドレス抽出部１１１によって抽出されたＩＰアドレスの端末１０２から送信されたクエリを、検索ログデータベース１２１を参照して抽出する処理を行う。
【００７３】
ステップＳ１０３では、第２のＩＰアドレス抽出部１１３は、第２のＩＰアドレス抽出処理を行う。この処理では、第２のＩＰアドレス抽出部１１３は、第１のクエリ抽出部１１２によって抽出されたクエリを送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出する処理を行う。
【００７４】
ステップＳ１０４では、第２のクエリ抽出部１１４は、第２のクエリ抽出処理を行う。この処理では、第２のクエリ抽出部１１４は、第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの端末１０２から送信されたクエリを、検索ログデータベース１２１を参照して抽出する処理を行う。
【００７５】
ステップＳ１０５では、繰り返し部１１５は、繰り返し処理を行う。この処理では、繰り返し部１１５は、第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出と第２のクエリ抽出部１１４によるクエリの抽出とを交互に繰り返し実行する。つまり、繰り返し部１１５は、５ｈｏｐとしての第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出、６ｈｏｐとしての第２のクエリ抽出部１１４によるクエリの抽出、・・・をｎ ｈｏｐとしての第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出を行うまで繰り返す。但し、クエリの抽出は、直前に抽出されたＩＰアドレスを用い、ＩＰアドレスの抽出は、直前に抽出されたクエリを用いる。例えば、５ｈｏｐ目のＩＰアドレスの抽出は、４ｈｏｐ目で抽出されたクエリを用い、６ｈｏｐ目のクエリの抽出は、５ｈｏｐ目で抽出されたＩＰアドレスを用いる。
【００７６】
ステップＳ１０６では、スパムクエリ判別部１１６は、スパムクエリ判別処理を行う。この処理では、スパムクエリ判別部１１６は、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数の、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数に対する比を求め、その求めた比の値が所定の閾値以上の場合に、上記特定のクエリＱ０がスパムクエリであると判別する処理を行う。この処理を終えると、制御部１０は、一連の処理を終了する。
【００７７】
［第２実施形態に係るスパムＩＰアドレス判別装置１の実施例］
図１０〜図１２は、第２実施形態に記載のスパムクエリ判別装置１０１に係る発明を実施したときの例を示す図である。
【００７８】
まず、図１０について説明する。まず、第１のＩＰアドレス抽出部１１１は、特定のクエリＱ０を送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出する。なお、ここでの第１のＩＰアドレス抽出部１１１の処理を１ｈｏｐとする。
【００７９】
図１０は、第１のＩＰアドレス抽出部１１１が、２０１０年６月１日に特定のクエリ「外為 ａｂｃ証券」を送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出したときの例を示す。１行目は、特定のクエリ及び日付を示し、「Ｑｕｅｒｙ＝外為 ａｂｃ証券， Ｄａｔｅ＝２０１００６０１」と記載されている。２行目以降は、２０１０年６月１日にクエリ「外為 ａｂｃ証券」を送信した端末１０２のＩＰアドレス、そのＩＰアドレスを有する端末１０２から送信したクエリ及びそのクエリの送信回数を示し、例えば、ＩＰアドレス「１２３．４５．６７８．９０１」を有する端末からは、「外為 ａｂｃ証券」が４回送信されている。
【００８０】
続いて、図１１について説明する。第１のクエリ抽出部１１２は、第１のＩＰアドレス抽出部１１１によって抽出されたＩＰアドレスの端末１０２から送信されたクエリを、検索ログデータベース１２１を参照して抽出する。なお、ここでの第１のクエリ抽出部１１２の処理を２ｈｏｐとする。
【００８１】
図１１は、第１のＩＰアドレス抽出部１１１によって抽出されたＩＰアドレス、すなわち、図１０で示した「１２３．４５．６７８．９０１」、「２３４．５６．７８９．０１２」・・・のそれぞれについて、第１のクエリ抽出部１１２が検索ログデータベース１２１を参照して抽出したときの例を示す。１つめのブロックは、２０１０年６月１日にＩＰアドレス「１２３．４５．６７８．９０１」を有する端末から送信されたクエリを示し、例えば、「外為 ａｂｃ証券」、「合宿免許 ｇｈｉ自動車学校」、「ネットショップ 物流」等がある。クエリの右にある文字は、そのクエリを送信した回数を示す。
【００８２】
２つめのブロックは、同日にＩＰアドレス「２３４．５６．７８９．０１２」を有する端末から送信されたクエリを示し、例えば、「外為 ａｂｃ証券」、「中古車 ｊｋｌ販売」、「海外旅行 ｍｎｏツアーズ」等がある。３つめのブロックは、同日にＩＰアドレス「３４５．６７８．９０１．２３４」を有する端末から送信されたクエリを示し、例えば、「五月人形 ｄｅｆ人形店」、「メガネ ｓｔｕメガネ店」、「ダイヤモンド買取 ショップｖｗｘ」等がある。
【００８３】
続いて、図１２及び図１３について説明する。第２のＩＰアドレス抽出部１１３は、第１のクエリ抽出部１１２によって抽出されたクエリを送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出し、第２のクエリ抽出部１１４は、第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの端末１０２から送信されたクエリを、検索ログデータベース１２１を参照して抽出する。そして、繰り返し部１１５は、第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出と第２のクエリ抽出部１１４によるクエリの抽出とを交互に繰り返し実行する。つまり、第２のＩＰアドレス抽出部１１３は、３ｈｏｐとしてのＩＰアドレスの抽出を実行し、第２のクエリ抽出部１１４は、４ｈｏｐとしてのクエリの抽出を実行し、その後、繰り返し部１１５は、５ｈｏｐとしての第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出、６ｈｏｐとしての第２のクエリ抽出部１１４によるクエリの抽出、・・・をｎ ｈｏｐとしての第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出を行うまで繰り返す。
【００８４】
図１２は、繰り返し部１１５が、第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出と、第２のクエリ抽出部１１４によるクエリの抽出とを、ｍ ｈｏｐとしてのＩＰアドレスの抽出を行うまで繰り返したときの、ｍ ｈｏｐ目でのＩＰアドレスの抽出の結果を示す。見方は図５と同じであり、上から、２０１０年６月１日にクエリ「外為 ａｂｃ証券」、クエリ「合宿免許 ｇｈｉ自動車学校」、クエリ「ネットショップ 物流」を送信した端末のＩＰアドレスを示す。また、図１３は、繰り返し部１１５が、第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出と、第２のクエリ抽出部１１４によるクエリの抽出とを、ｎ ｈｏｐとしてのＩＰアドレスの抽出を行うまで繰り返したときの、ｎ ｈｏｐ目でのＩＰアドレスの抽出の結果を示す。見方は図５及び図１２と同じであり、上から、２０１０年６月１日にクエリ「五月人形 ｄｅｆ人形店」、クエリ「メガネ ｓｔｕメガネ店」、クエリ「ダイヤモンド買取 ショップｖｗｘ」を送信した端末のＩＰアドレスを示す。なお、下線は、後の説明の便宜のために付したものであり、スパムクエリ判別装置１０１からの出力情報として付されるものではない。
【００８５】
ところで、スパムクエリ判別部１１６は、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数の、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数に対する比を求める。そして、スパムクエリ判別部１１６は、その求めた比の値が所定の閾値以上の場合に、上記特定のクエリＱ０がスパムクエリであると判別する。
【００８６】
実施形態２において、ｍ、ｎの値は、ｍ＜ｎを満たす正の奇数である。図１２を参照すると、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスは、「１２３．４５．６７８．９０１」、「２３４．５６．７８９．０１２」・・・等である。ここで、便宜的に下線を引いているが、これは、第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスのうち、重複するものである。「種類数」を計算するにあたり、重複するものはまとめて「１」として計算するので、図１２に明示された範囲では、繰り返し部１１５によって第１の回数（ｍ ｈｏｐまで）だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数は、「１３」である。実際には、図１２に明示されていないものもあるので、図１２の右下にあるように、ここでは、ＩＰアドレスの種類数が「５０」であるものとして説明する。
【００８７】
また、図１３を参照すると、繰り返し部１１５によって第２の回数（ｎ ｈｏｐまで）だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスは、「１２３．４５．６７８．９０１」、「１５６．４３．６２１．７２４」・・・等である。図１３に示されている範囲では、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数は、「１３」である。実際には、図１３に明示されていないものもあるので、図１３の右下にあるように、ここでは、ＩＰアドレスの種類数が「８０」であるものとして説明する。
【００８８】
繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数が「５０」であり、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数が「８０」であれば、前者の後者に対する比は５０／８０（＝０．６２５）となる。所定の閾値が０．６２５未満であれば、当該比の値は所定の閾値以上となるので、スパムクエリ判別部１１６は、上記特定のクエリ「外為 ａｂｃ証券」がスパムクエリであると判別する。
【００８９】
第２実施形態に記載の発明によれば、検索ログデータベース１２１には、クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶され、第１のＩＰアドレス抽出部１１１は、特定のクエリＱ０を送信した端末のＩＰアドレスを、検索ログデータベース１２１を参照して抽出し、第１のクエリ抽出部１１２は、そのＩＰアドレスの端末から送信されたクエリを、検索ログデータベース１２１を参照して抽出する。そして、第２のＩＰアドレス抽出部１１３は、第１のクエリ抽出部１１２によって抽出されたクエリを送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出し、第２のクエリ抽出部１１４は、第２のＩＰアドレス抽出部によって抽出されたＩＰアドレスの端末から送信されたクエリを、検索ログデータベース１２１を参照して抽出し、繰り返し部１１５は、第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出と第２のクエリ抽出部１１４によるクエリの抽出とを交互に繰り返し実行し、スパムクエリ判別部１１６は、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数の、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数に対する比を求める。そして、その比の値が所定の値以上の場合、スパムクエリ判別部１１６は、上記特定のクエリＱ０がスパムクエリであると判別する。
【００９０】
通常のクエリの場合であれば、第１の回数だけ繰り返した後に抽出されたＩＰアドレスの種類数と比べて、第２の回数だけ繰り返した後に抽出されたＩＰアドレスの種類数は、十分増加する。これに対し、不正業者のスパムＩＰアドレスから送信されるスパムクエリの場合、当該不正業者が使用し得るＩＰアドレスの数が限られていることから、通常のクエリの場合に比べ、スパムクエリ判別装置１０１が抽出するＩＰアドレスの種類数の増加の割合は、低くなる。このことに着目し、スパムクエリ判別装置１０１が抽出するＩＰアドレスの当該種類数の増加の割合は、低くなる。このことに着目し、スパムクエリ判別装置１０１は、第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数の、第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数に対する比が所定の値以上の場合に、そのＩＰアドレスを有する端末から送信したクエリがスパムクエリであると判別する。
【００９１】
これにより、スパムクエリにスパムではない通常のクエリを混入させてカモフラージュするという巧妙な手口も含め、不正業者のスパムＩＰアドレスを有する装置から送信されるスパムクエリを効率的かつ効果的に判別できる。
【００９２】
なお、第１及び第２実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、第１及び第２実施形態に記載されたものに限定されるものではない。
【符号の説明】
【００９３】
１ スパムＩＰアドレス判別装置
１０ 制御部
１１ 第１のクエリ抽出部
１２ 第１のＩＰアドレス抽出部
１３ 第２のクエリ抽出部
１４ 第２のＩＰアドレス抽出部
１５ 繰り返し部
１６ スパムＩＰアドレス判別部
２０ 記憶部
２１ 検索ログデータベース
【技術分野】
【０００１】
本発明は、スパムＩＰアドレスを判別する装置及び方法並びにスパムクエリを判別する装置及び方法に関する。
【背景技術】
【０００２】
近年、ネットワークを介したＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）等のドキュメントシステムにおいては、非常に多くの数のウェブページが公開されている。ユーザは、検索サイトにおいて適宜のクエリを入力し、検索結果として表示される複数の候補から検索条件に適合するウェブページのＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）を選択し、その選択したＵＲＬへのリンクを辿ることで、所望のウェブページを閲覧できる。
【０００３】
ところで、企業にとって、自社のウェブページが検索結果ページの上位（特に１ページ目）に挙げられるかどうかは、自社のウェブページへのアクセス数の多寡に大きく影響するため、極めて重要である。そこで、各企業は、自社のウェブページが検索結果ページの上位に挙げられるよう、種々の工夫をしている。それらの工夫の例として、ターゲットにするクエリを適切に選択すること、当該クエリに対応する適切なキーワードをタイトルやウェブページの先頭付近に持ってくること、ウェブページ内で当該クエリに対応するキーワードを適切に使用すること及びより多くの当該クエリに関連するサイトにリンクすること等の手法が広く一般的に知られている。
【０００４】
しかしながら、検索結果ページ内において特定のウェブページが上位にランクされることを目的として、スパムクエリを自動的に繰り返し検索サイトに送信すること等を行う不正業者も存在している。不正業者は、特定の商品名やサービス名と特定の企業名を組み合わせたもの等を、スパムクエリとして、検索サイトに自動的に送信する。これは、一般ユーザが入力した当該特定の商品名やサービス名を含むクエリに対して、特定の企業のウェブページを、検索結果ページのより上位に表示させようとするものである。
【０００５】
一方、検索サイトを運営する運営者にとっては、上述のような不正が行われると、通常のユーザが入力したクエリに対して本来のウェブページの内容に即した適切な検索結果ページを返すことができなくなる。そのため、検索サイトの運営者は、クエリに対する各ウェブページの検索結果ページでの表示順位を決定する際に、不正業者を適切に検出し、不正業者から発信されたスパムクエリの影響を排除する必要がある。
【０００６】
不正業者を検出するにあたり、スパムクエリを適切に判別することも考えられるが、自動的に送信されたスパムクエリであっても、見た目は通常のクエリと区別がつかないことも多い。また、スパムクエリではない通常のクエリを混入させるという巧妙な手口もあり、スパムクエリの判別をますます困難なものとしている。
【０００７】
特許文献１には、ブログからリンクしているウェブサイトを評価するリンク先評価手段と、ウェブサイトの評価結果を用いてブログの評価を行うブログ評価手段と、ブログの評価に基づいて当該ブログがスパムブログか否かを判定する判定手段とを備えるスパムブログ検知装置が開示されているが、当該スパムブログ検知装置は、上述のようなスパムクエリの判別に関する課題を解決するものではない。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２０１０−０６６９８０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
こうした背景から、効果的かつ効率的にスパムクエリを判別する技術が求められていた。本発明はかかる点に鑑みてなされたものであり、スパムクエリを効果的かつ効率的に判別する装置及び方法を提供することを目的とする。さらに、本発明は、スパムクエリを送信する装置のスパムＩＰアドレスを効果的かつ効率的に判別する装置及び方法を提供することを目的とする。
【課題を解決するための手段】
【００１０】
本発明では、以下のような解決手段を提供する。
【００１１】
（１） クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶される検索ログ記憶手段と、特定のＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する第１のクエリ抽出手段と、前記第１のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する第１のＩＰアドレス抽出手段と、前記第１のＩＰアドレス抽出手段又は第２のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する第２のクエリ抽出手段と、前記第２のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する前記第２のＩＰアドレス抽出手段と、前記第２のクエリ抽出手段によるクエリの抽出と前記第２のＩＰアドレス抽出手段によるＩＰアドレスの抽出とを交互に繰り返し実行する繰り返し手段と、前記繰り返し手段によって第１の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、前記繰り返し手段によって前記第１の回数よりも多い第２の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合には、前記特定のＩＰアドレスがスパムＩＰアドレスであると判別するスパムＩＰアドレス判別手段とを備えるスパムＩＰアドレス判別装置。
【００１２】
（１）に記載の発明によれば、検索ログ記憶手段には、クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶され、第１のクエリ抽出手段は、特定のＩＰアドレスの端末から送信されたクエリを、検索ログ記憶手段を参照して抽出し、第１のＩＰアドレス抽出手段は、第１のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、検索ログ記憶手段を参照して抽出し、第２のクエリ抽出手段は、第１のＩＰアドレス抽出手段又は第２のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、検索ログ記憶手段を参照して抽出し、第２のＩＰアドレス抽出手段は、第２のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、検索ログ記憶手段を参照して抽出する。そして、繰り返し手段は、第２のクエリ抽出手段によるクエリの抽出と第２のＩＰアドレス抽出手段によるＩＰアドレスの抽出とを交互に繰り返し実行し、スパムＩＰアドレス判別手段は、繰り返し手段によって第１の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、繰り返し手段によって前記第１の回数よりも多い第２の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比を求める。そして、その比の値が所定の値以上の場合、スパムＩＰアドレス判別手段は、上記特定のＩＰアドレスがスパムＩＰアドレスであると判別する。
【００１３】
通常のＩＰアドレスの場合であれば、第１の回数だけ繰り返した後にスパムＩＰアドレス判別装置が抽出するＩＰアドレスの種類数と比べて、第２の回数だけ繰り返した後にスパムＩＰアドレス判別装置が抽出するＩＰアドレスの種類数は、十分増加する。これに対し、不正業者のスパムＩＰアドレスの場合、当該不正業者が使用し得るＩＰアドレスの数が限られていることから、通常のＩＰアドレスの場合に比べ、スパムＩＰアドレス判別装置が抽出するＩＰアドレスの種類数の増加の割合は、低くなる。このことに着目し、スパムＩＰアドレス判別装置は、第１の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、第２の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比が所定の値以上の場合に、そのＩＰアドレスがスパムＩＰアドレスであると判別する。
【００１４】
これにより、スパムクエリにスパムではない通常のクエリを混入させてカモフラージュするという巧妙な手口も含め、不正業者のスパムＩＰアドレスを効率的かつ効果的に判別できる。
【００１５】
（２） スパムＩＰアドレス判別装置が実行する方法であって、クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶された検索ログデータベースを参照して、特定のＩＰアドレスの端末から送信されたクエリを抽出する第１のクエリ抽出工程と、前記第１のクエリ抽出工程で抽出したクエリを送信した端末のＩＰアドレスを、前記検索ログデータベースを参照して抽出する第１のＩＰアドレス抽出工程と、前記第１のＩＰアドレス抽出工程又は第２のＩＰアドレス抽出工程で抽出したＩＰアドレスの端末から送信されたクエリを、前記検索ログデータベースを参照して抽出する第２のクエリ抽出工程と、前記第２のクエリ抽出工程で抽出したクエリを送信した端末のＩＰアドレスを、前記検索ログデータベースを参照して抽出する前記第２のＩＰアドレス抽出工程と、前記第２のクエリ抽出工程によるクエリの抽出と前記第２のＩＰアドレス抽出工程によるＩＰアドレスの抽出とを交互に繰り返し実行する繰り返し工程と、前記ＩＰアドレス抽出工程を第１の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数の、前記ＩＰアドレス抽出工程を前記第１の回数よりも多い第２の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合に、前記特定のＩＰアドレスがスパムＩＰアドレスであると判断するスパムＩＰアドレス判別工程とを含むスパムＩＰアドレス判別方法。
【００１６】
（２）に記載の発明によれば、当該方法の使用をすることにより、（１）と同様の効果が期待できる。
【００１７】
（３） クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶される検索ログ記憶手段と、特定のクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する第１のＩＰアドレス抽出手段と、前記第１のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する第１のクエリ抽出手段と、前記第１のクエリ抽出手段又は第２のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する第２のＩＰアドレス抽出手段と、前記第２のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する前記第２のクエリ抽出手段と、前記第２のＩＰアドレス抽出手段によるＩＰアドレスの抽出と前記第２のクエリ抽出手段によるクエリの抽出とを交互に繰り返し実行する繰り返し手段と、前記繰り返し手段によって第１の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、前記繰り返し手段によって前記第１の回数よりも多い第２の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合には、前記特定のクエリがスパムクエリであると判別するスパムクエリ判別手段とを備えるスパムクエリ判別装置。
【００１８】
ところで、通常のクエリの場合であれば、第１の回数だけ繰り返した後に抽出されたＩＰアドレスの種類数と比べて、第２の回数だけ繰り返した後に抽出されたＩＰアドレスの種類数は、十分増加する。これに対し、不正業者のスパムＩＰアドレスから送信されるスパムクエリの場合、当該不正業者が使用し得るＩＰアドレスの数が限られていることから、通常のクエリの場合に比べ、スパムクエリ判別装置が抽出するＩＰアドレスの種類数の増加の割合は、低くなる。このことに着目し、スパムクエリ判別装置が抽出するＩＰアドレスの当該種類数の増加の割合は、低くなる。このことに着目し、スパムクエリ判別装置は、第１の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、第２の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比が所定の値以上の場合に、上記特定のクエリをスパムクエリであると判別する。
【００１９】
これにより、スパムクエリにスパムではない通常のクエリを混入させてカモフラージュするという巧妙な手口も含め、不正業者の装置から送信されるスパムクエリを効率的かつ効果的に判別できる。
【００２０】
（４） スパムクエリ判別装置が実行する方法であって、クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶された検索ログデータベースを参照して、特定のクエリを送信した端末のＩＰアドレスを抽出する第１のＩＰアドレス抽出工程と、前記第１のＩＰアドレス抽出工程で抽出したＩＰアドレスの端末から送信されたクエリを、前記検索ログデータベースを参照して抽出する第１のクエリ抽出工程と、前記第１のクエリ抽出工程又は第２のクエリ抽出工程によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログデータベースを参照して抽出する第２のＩＰアドレス抽出工程と、前記第２のＩＰアドレス抽出工程で抽出したＩＰアドレスの端末から送信されたクエリを、前記検索ログデータベースを参照して抽出する第２のクエリ抽出工程と、前記第２のＩＰアドレス抽出工程によるＩＰアドレスの抽出と前記第２のクエリ抽出工程によるクエリの抽出とを交互に繰り返し実行する繰り返し工程と、前記ＩＰアドレス抽出工程を第１の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数の、前記ＩＰアドレス抽出工程を前記第１の回数よりも多い第２の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合に、前記特定のクエリがスパムクエリであると判断するスパムクエリ判別工程とを含むスパムクエリ判別方法。
【００２１】
（４）に記載の方法によれば、当該方法の使用をすることにより、（３）と同様の効果が期待できる。
【発明の効果】
【００２２】
本発明によれば、スパムクエリにスパムではない通常のクエリを混入させてカモフラージュするという巧妙な手口も含め、不正業者のスパムＩＰアドレス及びスパムクエリを効率的かつ効果的に判別する装置及び方法を提供することができる。
【図面の簡単な説明】
【００２３】
【図１】第１実施形態に係るスパムＩＰアドレス判別装置１を説明するための全体構成を示す図である。
【図２】第１実施形態に係るスパムＩＰアドレス判別装置１を用いたときの、ＩＰアドレスの指定操作を行ってからスパムＩＰアドレスを選択するまでの概略を示す図である。
【図３】第１実施形態に係るスパムＩＰアドレス判別装置１のフローチャートである。
【図４】第１実施形態に係るスパムＩＰアドレス判別装置１の使用例を示す図である。
【図５】図４に続く図である。
【図６】図５に続く図である。
【図７】第２実施形態に係るスパムクエリ判別装置１０１を説明するための全体構成を示す図である。
【図８】第２実施形態に係るスパムクエリ判別装置１０１を用いたときの、クエリの指定操作を行ってからスパムクエリを選択するまでの概略を示す図である。
【図９】第２実施形態に係るスパムクエリ判別装置１０１のフローチャートである。
【図１０】第２実施形態に係るスパムクエリ判別装置１０１の使用例を示す図である。
【図１１】図１０に続く図である。
【図１２】図１１に続く図である。
【図１３】図１２に続く図である。
【発明を実施するための形態】
【００２４】
［第１実施形態］
以下、本発明の第１実施形態について図を参照しながら説明する。
【００２５】
［全体構成］
図１は、第１実施形態に係るスパムＩＰアドレス判別装置１を説明するための全体構成を示す図である。スパムＩＰアドレス判別装置１は、制御部１０と、記憶部２０とを備える。制御部１０は、スパムＩＰアドレス判別装置１に係る各機能を統括的に制御する部分であり、第１のクエリ抽出部１１、第１のＩＰアドレス抽出部１２、第２のクエリ抽出部１３、第２のＩＰアドレス抽出部１４、繰り返し部１５及びスパムＩＰアドレス判別部１６を備える。一方、記憶部２０は、スパムＩＰアドレス判別装置１として機能させるための各種プログラム（図示省略）やデータベースを記憶する部分であり、検索ログデータベース２１を備える。
【００２６】
まず、検索ログデータベース２１について説明する。通常、端末２を使用している端末使用ユーザは、検索エンジン（図示しない）を使用して検索したい事項に係るクエリを端末２から入力する。端末２は、これを受け付けて、検索エンジンに送信し、検索処理が実行される。検索ログデータベース２１は、このような検索処理に伴って受け付けられ、送信された過去のクエリを記憶している。すなわち、検索ログデータベース２１は、検索ログ記憶手段として機能し、検索ログデータベース２１には、クエリと、当該クエリを送信した端末２のＩＰアドレスと、端末２からクエリを受信した日時とを関連付けた検索ログが記憶される。
【００２７】
第１のクエリ抽出部１１は、特定のＩＰアドレスＩＰ０の端末２から送信されたクエリを、検索ログデータベース２１を参照して抽出する。ここでの第１のクエリ抽出部１１の処理を１ｈｏｐとし、この１ｈｏｐ目の処理で第１のクエリ抽出部１１が抽出したクエリは、図２のＱ１１、Ｑ１２、・・・Ｑ１ｉに対応する。なお、第１のクエリ抽出部１１は、第１のクエリ抽出手段として機能する。
【００２８】
第１のＩＰアドレス抽出部１２は、第１のクエリ抽出部１１によって抽出されたクエリのそれぞれについて、これらのクエリを送信した端末２のＩＰアドレスを、検索ログデータベース２１を参照して抽出する。ここでの第１のＩＰアドレス抽出部１２の処理を２ｈｏｐとし、この２ｈｏｐ目の処理で第１のＩＰアドレス抽出部１２が抽出したＩＰアドレスは、図２のＩＰ２１、ＩＰ２２、・・・ＩＰ２ｊに対応する。なお、第１のＩＰアドレス抽出部１２は、第１のＩＰアドレス抽出手段として機能する。また、図２の２ｈｏｐ目には、クエリＱ１１、Ｑ１２、・・・Ｑ１ｉを送信した端末２のＩＰアドレスのうち、クエリＱ１２を送信した端末２のＩＰアドレスＩＰ２１、ＩＰ２２、・・・ＩＰ２ｊだけが記載されているが、第１のＩＰアドレス抽出部１２は、他のクエリを送信した端末２のＩＰアドレスも抽出している。
【００２９】
第２のクエリ抽出部１３は、第１のＩＰアドレス抽出部１２によって抽出されたＩＰアドレスの端末から送信されたクエリを、検索ログデータベース２１を参照して抽出する。ここでの第２のクエリ抽出部１３の処理を３ｈｏｐ（図示せず）とする。なお、第２のクエリ抽出部１３は、第２のクエリ抽出手段として機能する。
【００３０】
第２のＩＰアドレス抽出部１４は、第２のクエリ抽出部１３によって抽出されたクエリを送信した端末のＩＰアドレスを、検索ログデータベース２１を参照して抽出する。ここでの第２のＩＰアドレス抽出部１４の処理を４ｈｏｐ（図示せず）とする。なお、第２のＩＰアドレス抽出部１４は、第２のＩＰアドレス抽出手段として機能する。
【００３１】
繰り返し部１５は、第２のクエリ抽出部１３によるクエリの抽出と第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出とを交互に繰り返し実行する。つまり、繰り返し部１５は、５ｈｏｐとしての第２のクエリ抽出部１３によるクエリの抽出、６ｈｏｐとしての第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出、・・・をｎ ｈｏｐとしての第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出を行うまで繰り返す。但し、５ｈｏｐ目のクエリ抽出は、４ｈｏｐ目で抽出されたＩＰアドレスを用い、６ｈｏｐ目のＩＰアドレス抽出は、５ｈｏｐ目で抽出されたクエリを用いる。なお、繰り返し部１５は、繰り返し手段として機能する。また、図２には、一部のＩＰアドレスを有する端末２から送信されたクエリ及び一部のクエリを送信した端末２のＩＰアドレスだけが記載されているが、繰り返し部１５は、他のＩＰアドレスを有する端末２から送信されたクエリ及び他のクエリを送信した端末２のＩＰアドレスも抽出している。
【００３２】
スパムＩＰアドレス判別部１６は、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数の、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数に対する比を求める。すなわち、スパムＩＰアドレス判別部１６は、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数を分子とし、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数を分母とした比の値を求める。そして、スパムＩＰアドレス判別部１６は、その求めた比の値が所定の閾値以上の場合、上記特定のＩＰアドレスＩＰ０がスパムＩＰアドレスであると判別する。なお、スパムＩＰアドレス判別部１６は、スパムＩＰアドレス判別手段として機能する。また、「所定の閾値」は、ユーザが予め定めた値である。
【００３３】
ところで、クエリの抽出及びＩＰアドレスの抽出が繰り返されると、第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４が抽出するＩＰアドレスの「数」が多くなることから、第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４がＩＰアドレスを抽出しても、スパムＩＰアドレス判別部１６がＩＰアドレスの「種類数」を算出するには、多大な計算処理時間を要する。そこで、特に、計算処理時間を減らすため、ＩＰアドレスの「種類数」を算出するにあたっては、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの中から所定個数のＩＰアドレスを無作為に抽出し、抽出したＩＰアドレスの重複度合いからＩＰアドレスの「種類数」を推定できる。第２の回数についても同様に、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの中から所定個数のＩＰアドレスを無作為に抽出し、抽出したＩＰアドレスの重複度合いからＩＰアドレスの「種類数」を推定できる。
【００３４】
［本実施形態のハードウェア及びソフトウェアの構成］
本実施形態のハードウェア及びソフトウェアの構成について説明する。スパムＩＰアドレス判別装置１のハードウェアには、制御装置（制御部）としてのＣＰＵの他、記憶装置（記憶部）、通信装置（通信部）、表示装置（表示部）及び入力装置（入力部）が含まれる。記憶装置（記憶部）としては、例えば、メモリ（ＲＡＭ、ＲＯＭ等）、ハードディスクドライブ（ＨＤＤ）又は光ディスク（ＣＤ、ＤＶＤ等）ドライブ等が挙げられる。通信装置（通信部）としては、例えば、各種有線又は無線インターフェース装置等が挙げられる。表示装置（表示部）としては、例えば、液晶ディスプレイ又はプラズマディスプレイ等の各種ディスプレイが挙げられる。入力装置（入力部）としては、例えば、キーボード、ポインティング・デバイス（マウス等）又はリモコン装置等が挙げられる。
【００３５】
スパムＩＰアドレス判別装置１のソフトウェアには、上記ハードウェアを制御するプログラムやデータが含まれる。プログラムやデータは、記憶装置（記憶部）により記憶され、制御装置（制御部）により適宜実行、参照される。また、コンピュータ・プログラムやデータは、電磁的方法により配布することも可能であり、ＣＤ−ＲＯＭ等のコンピュータ可読媒体に記録して配布することも可能である。
【００３６】
［フローチャート］
図３は、第１実施形態に係るスパムＩＰアドレス判別装置１のフローチャートである。
【００３７】
ステップＳ１では、第１のクエリ抽出部１１は、第１のクエリ抽出処理を行う。この処理では、第１のクエリ抽出部１１は、特定のＩＰアドレスの端末２から送信されたクエリを、検索ログデータベース２１を参照して抽出する処理を行う。なお、特定のＩＰアドレスＩＰ０の指定は、検索ログデータベース２１に記憶されたＩＰアドレスの中から、スパムＩＰアドレスであるかどうかを判別したい任意のＩＰアドレスを指定する。好適には、検索ログデータベース２１に記憶されたＩＰアドレスの中から、誤差要因となるＩＰアドレスを除去するような所定の処理を行い、その中から指定することもできる。
【００３８】
ステップＳ２では、第１のＩＰアドレス抽出部１２は、第１のＩＰアドレス抽出処理を行う。この処理では、第１のＩＰアドレス抽出部１２は、第１のクエリ抽出部１１によって抽出されたクエリのそれぞれについて、これらのクエリを送信した端末２のＩＰアドレスを、検索ログデータベース２１を参照して抽出する処理を行う。
【００３９】
ステップＳ３では、第２のクエリ抽出部１３は、第２のクエリ抽出処理を行う。この処理では、第２のクエリ抽出部１３は、第１のＩＰアドレス抽出部１２によって抽出されたＩＰアドレスの端末２から送信されたクエリを、検索ログデータベース２１を参照して抽出する処理を行う。
【００４０】
ステップＳ４では、第２のＩＰアドレス抽出部１４は、第２のＩＰアドレス抽出処理を行う。この処理では、第２のＩＰアドレス抽出部１４は、第２のクエリ抽出部１３によって抽出されたクエリを送信した端末２のＩＰアドレスを、検索ログデータベース２１を参照して抽出する処理を行う。
【００４１】
ステップＳ５では、繰り返し部１５は、繰り返し処理を行う。この処理では、繰り返し部１５は、第２のクエリ抽出部１３によるクエリの抽出と第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出とを交互に繰り返し実行する。つまり、繰り返し部１５は、５ｈｏｐとしての第２のクエリ抽出部１３によるクエリの抽出、６ｈｏｐとしての第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出、・・・をｎ ｈｏｐとしての第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出を行うまで繰り返す。但し、ＩＰアドレスの抽出は、直前に抽出されたクエリを用い、クエリの抽出は、直前に抽出されたＩＰアドレスを用いる。例えば、５ｈｏｐ目のクエリの抽出は、４ｈｏｐ目で抽出されたＩＰアドレスを用い、６ｈｏｐ目のＩＰアドレスの抽出は、５ｈｏｐ目で抽出されたクエリを用いる。
【００４２】
ステップＳ６では、スパムＩＰアドレス判別部１６は、スパムＩＰアドレス判別処理を行う。この処理では、スパムＩＰアドレス判別部１６は、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数の、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数に対する比を求め、その求めた比の値が所定の閾値以上の場合に、上記特定のＩＰアドレスＩＰ０がスパムＩＰアドレスであると判別する処理を行う。この処理を終えると、制御部１０は、一連の処理を終了する。
【００４３】
［第１実施形態に係るスパムＩＰアドレス判別装置１の実施例］
図４〜図７は、第１実施形態に記載のＩＰアドレス判別装置１に係る発明を実施したときの例を示す図である。
【００４４】
まず、図４について説明する。まず、第１のクエリ抽出部１１は、特定のＩＰアドレスＩＰ０の端末から送信されたクエリを、検索ログデータベース２１を参照して抽出する。なお、ここでの第１のクエリ抽出部１１の処理を１ｈｏｐとする。
【００４５】
図４は、第１のクエリ抽出部１１が特定のＩＰアドレス「１２３．４５．６７８．９０１」から２０１０年６月１日に送信されたクエリを抽出したときの例を示す。１行目は、特定のＩＰアドレス及びこの特定のＩＰアドレスからクエリを送信した日付を示し、「ＩＰ ａｄｄｒｅｓｓ＝１２３．４５．６７８．９０１， Ｄａｔｅ＝２０１００６０１」と記載されている。２行目以降は、２０１０年６月１日にＩＰアドレス「１２３．４５．６７８．９０１」を有する端末から送信されたクエリ及びそのクエリの送信回数を示し、当該端末からは、例えば、クエリ「外為 ａｂｃ証券」が４回、クエリ「合宿免許 ｇｈｉ自動車学校」が３回、クエリ「ネットショップ 物流」が５回等が送信されている。
【００４６】
続いて、図５について説明する。第１のＩＰアドレス抽出部１２は、第１のクエリ抽出部１１によって抽出されたクエリのそれぞれについて、これらのクエリを送信した端末２のＩＰアドレスを、検索ログデータベース２１を参照して抽出する。なお、ここでの第１のＩＰアドレス抽出部１２の処理を２ｈｏｐとする。
【００４７】
図５は、第１のクエリ抽出部１１によって抽出されたクエリ、すなわち、図４で示したクエリ「外為 ａｂｃ証券」、「合宿免許 ｇｈｉ自動車学校」、「ネットショップ 物流」・・・のそれぞれについて、これらのクエリを送信した端末２のＩＰアドレスを、第１のＩＰアドレス抽出部１２が検索ログデータベース２１を参照して抽出したときの例を示す。１つめのブロックは、２０１０年６月１日にクエリ「外為 ａｂｃ証券」を送信した端末のＩＰアドレスを示し、例えば、「１２３．４５．６７８．９０１」、「２３４．５６．７８９．０１２」、「３４５．６７８．９０１．２３４」等がある。ＩＰアドレスの右にある文字は、そのＩＰアドレスを有する端末から送信されたクエリを示し、このクエリの右にある文字は、そのクエリを送信した回数を示す。
【００４８】
２つめのブロックは、２０１０年６月１日にクエリ「合宿免許 ｇｈｉ自動車学校」を送信した端末のＩＰアドレスを示し、例えば、「１２３．４５．６７８．９０１」、「２０１．３５．６７９．０２３」、「３４５．６７８．９０１．２３４」等がある。３つめのブロックは、同日にクエリ「ネットショップ 物流」を送信した端末のＩＰアドレスを示し、例えば、「１２３．４５．６７８．９０１」、「３４５．６７８．９０１．２３４」、「４５．６７．８９．０１２」等がある。
【００４９】
続いて、図６について説明する。第２のクエリ抽出部１３は、第１のＩＰアドレス抽出部１２によって抽出されたＩＰアドレスの端末から送信されたクエリを、検索ログデータベース２１を参照して抽出し、第２のＩＰアドレス抽出部１４は、第２のクエリ抽出部１３によって抽出されたクエリを送信した端末のＩＰアドレスを、検索ログデータベース２１参照して抽出する。そして、繰り返し部１５は、第２のクエリ抽出部１３によるクエリの抽出と第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出とを交互に繰り返し実行する。つまり、第２のクエリ抽出部１３は、３ｈｏｐとしてのクエリの抽出を行い、第２のＩＰアドレス抽出部１４は、４ｈｏｐとしてのＩＰアドレスの抽出を行い、その後、繰り返し部１５は、５ｈｏｐとしての第２のクエリ抽出部１３によるクエリの抽出、６ｈｏｐとしての第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出、・・・をｎ ｈｏｐとしての第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出を行うまで繰り返す。但し、クエリの抽出は、直前に抽出されたＩＰアドレスを用い、ＩＰアドレスの抽出は、直前に抽出されたクエリを用いる。例えば、３ｈｏｐ目のクエリの抽出は、２ｈｏｐ目で抽出されたＩＰアドレスを用い、４ｈｏｐ目のＩＰアドレスの抽出は、３ｈｏｐ目で抽出されたクエリを用いる。また、５ｈｏｐ目のクエリの抽出は、４ｈｏｐ目で抽出されたＩＰアドレスを用いる。
【００５０】
図６は、繰り返し部１５が、第２のクエリ抽出部１３によるクエリの抽出と第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出とを、ｍ ｈｏｐとしてのＩＰアドレスの抽出を行うまで繰り返したときの、ｍ ｈｏｐ目でのＩＰアドレスの抽出の結果を示す。見方は図５と同じであり、上から、２０１０年６月１日にクエリ「五月人形 ｄｅｆ人形店」、クエリ「メガネ ｓｔｕメガネ店」、クエリ「ダイヤモンド買取 ショップ」を送信した端末のＩＰアドレスを示す。
【００５１】
なお、下線は、説明の便宜のために付したものであり、ＩＰアドレス判別装置１からの出力情報として付されるものではない。下線の意味については、後に説明する。
【００５２】
ところで、スパムＩＰアドレス判別部１６は、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数の、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数に対する比を求める。そして、スパムＩＰアドレス判別部１６は、その求めた比の値が所定の閾値以上の場合に、上記特定のＩＰアドレスＩＰ０がスパムＩＰアドレスであると判別する。
【００５３】
実施形態１において、ｍ、ｎは、ｍ＜ｎを満たす正の偶数である。図６を参照しながら説明する。図６を参照すると、繰り返し部１５によって第１の回数（ｍ ｈｏｐまで）だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスは、「１２３．４５．６７８．９０１」、「１５６．４３．６２１．７２４」・・・等である。ここで、便宜上下線を引いているが、これは、第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスのうち、重複するものである。「種類数」を計算するにあたり、重複するものはまとめて「１」として計算するので、図６に示されている範囲では、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数は、「１３」である。実際には、図６に明示されていないものもあるので、図６の右下にあるように、ここでは、ＩＰアドレスの種類数が「５０」であるものとして説明する。
【００５４】
また、図示は省略するが、繰り返し部１５によって第２の回数（ｎ ｈｏｐまで）だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数は、「８０」であるものとして説明する。
【００５５】
繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数が「５０」であり、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数が「８０」であれば、前者の後者に対する比は５０／８０（＝０．６２５）となる。所定の閾値が０．６２５未満であれば、当該比の値は所定の閾値以上となるので、スパムＩＰアドレス判別部１６は、特定のＩＰアドレス「１２３．４５．６７８．９０１」がスパムＩＰアドレスであると判別する。
【００５６】
第１実施形態に記載の発明によれば、検索ログデータベース２１には、クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶され、第１のクエリ抽出部１１は、特定のＩＰアドレスの端末から送信されたクエリを、検索ログデータベース２１を参照して抽出し、第１のＩＰアドレス抽出部１２は、その抽出したクエリを送信した端末のＩＰアドレスを、検索ログデータベース２１を参照して抽出する。そして、第２のクエリ抽出部１３は、第１のＩＰアドレス抽出部１２によって抽出されたＩＰアドレスの端末から送信されたクエリを、検索ログデータベース２１を参照して抽出し、第２のＩＰアドレス抽出部１４は、第２のクエリ抽出部１３によって抽出されたクエリを送信した端末のＩＰアドレスを、検索ログデータベース２１を参照して抽出し、繰り返し部１５は、第２のクエリ抽出部１３によるクエリの抽出と第２のＩＰアドレス抽出部１４によるＩＰアドレスの抽出とを交互に繰り返し実行し、スパムＩＰアドレス判別部１６は、繰り返し部１５によって第１の回数だけ繰り返されたときの第１のＩＰアドレス抽出部１２又は第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数の、繰り返し部１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１４によって抽出されたＩＰアドレスの種類数に対する比を求める。そして、その比の値が所定の値以上の場合、スパムＩＰアドレス判別部１６は、上記特定のＩＰアドレスがスパムＩＰアドレスであると判別する。
【００５７】
通常のＩＰアドレスの場合であれば、第１の回数だけ繰り返した後にスパムＩＰアドレス判別装置１が抽出するＩＰアドレスの種類数と比べて、第２の回数だけ繰り返した後にスパムＩＰアドレス判別装置１が抽出するＩＰアドレスの種類数は、十分増加する。これに対し、不正業者のスパムＩＰアドレスの場合、当該不正業者が使用し得るＩＰアドレスの数が限られていることから、通常のＩＰアドレスの場合に比べ、スパムＩＰアドレス判別装置１が抽出するＩＰアドレスの種類数の増加の割合は、低くなる。このことに着目し、スパムＩＰアドレス判別装置１は、第１の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、第２の回数だけ繰り返されたときのＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比が所定の値以上の場合に、そのＩＰアドレスがスパムＩＰアドレスであると判別する。
【００５８】
これにより、スパムクエリにスパムではない通常のクエリを混入させてカモフラージュするという巧妙な手口も含め、不正業者のスパムＩＰアドレスを効率的かつ効果的に判別できる。
【００５９】
［第２実施形態］
以下、本発明の第２実施形態について図を参照しながら説明する。
【００６０】
［全体構成］
図７は、第２実施形態に係るスパムクエリ判別装置１０１を説明するための全体構成を示す図である。スパムクエリ判別装置１０１は、制御部１１０と、記憶部１２０とを備える。制御部１１０は、スパムクエリ判別装置１０１に係る各機能を統括的に制御する部分であり、第１のＩＰアドレス抽出部１１１、第１のクエリ抽出部１１２、第２のＩＰアドレス抽出部１１３、第２のクエリ抽出部１１４、繰り返し部１１５及びスパムクエリ判別部１１６を備える。一方、記憶部１２０は、スパムクエリ判別装置１０１として機能させるための各種プログラム（図示省略）やデータベースを記憶する部分であり、検索ログデータベース１２１を備える。
【００６１】
検索ログデータベース１２１は、第１実施形態の検索ログデータベース２１と同じ構成を有するものであり、検索ログ記憶手段として機能する。検索ログデータベース１２１には、クエリと、当該クエリを送信した端末１０２のＩＰアドレスと、端末１０２からクエリを受信した日時とを関連付けた検索ログが記憶される。
【００６２】
第１のＩＰアドレス抽出部１１１は、特定のクエリＱ０を送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出する。ここでの第１のＩＰアドレス抽出部１１１の処理を１ｈｏｐとし、この１ｈｏｐ目の処理で第１のＩＰアドレス抽出部１１１が抽出したＩＰアドレスは、図２のＩＰ１１、ＩＰ１２、・・・ＩＰ１ｉに対応する。なお、第１のＩＰアドレス抽出部１１１は、第１のＩＰアドレス抽出手段として機能する。
【００６３】
第１のクエリ抽出部１１２は、第１のＩＰアドレス抽出部１１１によって抽出されたＩＰアドレスの端末１０２から送信されたクエリを、検索ログデータベース１２１を参照して抽出する。ここでの第１のクエリ抽出部１１２の処理を２ｈｏｐとし、この２ｈｏｐ目の処理で第１のクエリ抽出部１１２が抽出したクエリは、図２のＱ２１、Ｑ２２、・・・Ｑ２ｊに対応する。なお、第１のクエリ抽出部１１２は、第１のクエリ抽出手段として機能する。また、図８、２ｈｏｐ目には、ＩＰアドレスＩＰ１１、ＩＰ１２、・・・ＩＰ１ｉを有する端末１０２から送信されたクエリのうち、ＩＰ１２を有する端末１０２から送信されたクエリＱ２１、Ｑ２２、・・・Ｑ２ｊだけが記載されているが、第１のクエリ抽出部１１２は、他のＩＰアドレスを有する端末１０２から送信されたクエリも抽出している。
【００６４】
第２のＩＰアドレス抽出部１１３は、第１のクエリ抽出部１１２によって抽出されたクエリを送信した端末のＩＰアドレスを、検索ログデータベース１２１を参照して抽出する。ここでの第２のＩＰアドレス抽出部１１３の処理を３ｈｏｐとする。なお、第２のＩＰアドレス抽出部１１３は、第２のＩＰアドレス抽出手段として機能する。また、３ｈｏｐ目のＩＰアドレスの抽出は、２ｈｏｐ目で抽出されたＩＰアドレスを用いる。
【００６５】
第２のクエリ抽出部１１４は、第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの端末１０２から送信されたクエリを、検索ログデータベース１２１を参照して抽出する。ここでの第２のクエリ抽出部１１４の処理を４ｈｏｐとする。なお、第２のクエリ抽出部１１４は、第２のクエリ抽出手段として機能する。また、４ｈｏｐ目のＩＰアドレスの抽出は、３ｈｏｐ目で抽出されたＩＰアドレスを用いる。
【００６６】
繰り返し部１１５は、第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出と第２のクエリ抽出部１１４によるクエリの抽出とを交互に繰り返し実行する。つまり、繰り返し部１１５は、５ｈｏｐとしての第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出、６ｈｏｐとしての第２のクエリ抽出部１１４によるクエリの抽出、・・・をｎ ｈｏｐとしての第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出を行うまで繰り返す。なお、繰り返し部１１５は、繰り返し手段として機能する。また、図８には、一部のクエリを送信した端末１０２のＩＰアドレス及び一部のＩＰアドレスを有する端末１０２から送信されたクエリだけが記載されているが、繰り返し部１１５は、他のクエリを送信した端末１０２のＩＰアドレス及び他のＩＰアドレスを有する端末１０２から送信されたクエリも抽出している。但し、クエリの抽出は、直前に抽出されたＩＰアドレスを用い、ＩＰアドレスの抽出は、直前に抽出されたクエリを用いる。例えば、５ｈｏｐ目のＩＰアドレスの抽出は、４ｈｏｐ目で抽出されたクエリを用い、６ｈｏｐ目のクエリの抽出は、５ｈｏｐ目で抽出されたＩＰアドレスを用いる。
【００６７】
スパムクエリ判別部１１６は、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数の、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数に対する比を求める。すなわち、スパムクエリ判別部１１６は、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数を分子とし、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数を分母とした比の値を求める。そして、スパムクエリ判別部１１６は、その求めた比の値が所定の閾値以上の場合、上記特定のクエリＱ０がスパムクエリであると判別する。なお、スパムクエリ判別部１１６は、スパムクエリ判別手段として機能する。また、「所定の閾値」は、ユーザが予め定めた値である。
【００６８】
ところで、クエリの抽出及びＩＰアドレスの抽出が繰り返されると、第２のＩＰアドレス抽出部１１３が抽出するＩＰアドレスの「数」が多くなることから、第２のＩＰアドレス抽出部１１３がＩＰアドレスを抽出しても、スパムクエリ判別部１１６がＩＰアドレスの「種類数」を算出するには、多大な計算処理時間を要する。そこで、特に、計算処理時間を減らすため、ＩＰアドレスの「種類数」を算出するにあたっては、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの中から所定個数のＩＰアドレスを無作為に抽出し、抽出したＩＰアドレスの重複度合いからＩＰアドレスの「種類数」を推定できる。第２の回数についても同様に、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの中から所定個数のＩＰアドレスを無作為に抽出し、抽出したＩＰアドレスの重複度合いからＩＰアドレスの「種類数」を推定できる。
【００６９】
なお、第２実施形態のハードウェア及びソフトウェアの構成は、第１実施形態のそれと同じであり、スパムクエリ判別装置１０１のハードウェアには、制御装置（制御部）としてのＣＰＵの他、記憶装置（記憶部）、通信装置（通信部）、表示装置（表示部）及び入力装置（入力部）が含まれる。また、スパムクエリ判別装置１０１のソフトウェアには、上記ハードウェアを制御するプログラムやデータが含まれる。
【００７０】
［フローチャート］
図９は、第２実施形態に係るスパムクエリ判別装置１０１のフローチャートである。
【００７１】
ステップＳ１０１では、第１のＩＰアドレス抽出部１１１は、第１のＩＰアドレス抽出処理を行う。この処理では、第１のＩＰアドレス抽出部１１１は、特定のクエリＱ０を送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出する処理を行う。なお、特定のクエリＱ０の指定は、検索ログデータベース１２１に記憶されたクエリの中から、スパムクエリであるかどうかを判別したい任意のクエリを指定することにより行う。好適には、検索ログデータベース１２１に記憶されたクエリの中から、誤差要因となるクエリを除去するような所定の処理を行い、その中から指定することもできる。
【００７２】
ステップＳ１０２では、第１のクエリ抽出部１１２は、第１のクエリ抽出処理を行う。この処理では、第１のクエリ抽出部１１２は、第１のＩＰアドレス抽出部１１１によって抽出されたＩＰアドレスの端末１０２から送信されたクエリを、検索ログデータベース１２１を参照して抽出する処理を行う。
【００７３】
ステップＳ１０３では、第２のＩＰアドレス抽出部１１３は、第２のＩＰアドレス抽出処理を行う。この処理では、第２のＩＰアドレス抽出部１１３は、第１のクエリ抽出部１１２によって抽出されたクエリを送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出する処理を行う。
【００７４】
ステップＳ１０４では、第２のクエリ抽出部１１４は、第２のクエリ抽出処理を行う。この処理では、第２のクエリ抽出部１１４は、第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの端末１０２から送信されたクエリを、検索ログデータベース１２１を参照して抽出する処理を行う。
【００７５】
ステップＳ１０５では、繰り返し部１１５は、繰り返し処理を行う。この処理では、繰り返し部１１５は、第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出と第２のクエリ抽出部１１４によるクエリの抽出とを交互に繰り返し実行する。つまり、繰り返し部１１５は、５ｈｏｐとしての第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出、６ｈｏｐとしての第２のクエリ抽出部１１４によるクエリの抽出、・・・をｎ ｈｏｐとしての第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出を行うまで繰り返す。但し、クエリの抽出は、直前に抽出されたＩＰアドレスを用い、ＩＰアドレスの抽出は、直前に抽出されたクエリを用いる。例えば、５ｈｏｐ目のＩＰアドレスの抽出は、４ｈｏｐ目で抽出されたクエリを用い、６ｈｏｐ目のクエリの抽出は、５ｈｏｐ目で抽出されたＩＰアドレスを用いる。
【００７６】
ステップＳ１０６では、スパムクエリ判別部１１６は、スパムクエリ判別処理を行う。この処理では、スパムクエリ判別部１１６は、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数の、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数に対する比を求め、その求めた比の値が所定の閾値以上の場合に、上記特定のクエリＱ０がスパムクエリであると判別する処理を行う。この処理を終えると、制御部１０は、一連の処理を終了する。
【００７７】
［第２実施形態に係るスパムＩＰアドレス判別装置１の実施例］
図１０〜図１２は、第２実施形態に記載のスパムクエリ判別装置１０１に係る発明を実施したときの例を示す図である。
【００７８】
まず、図１０について説明する。まず、第１のＩＰアドレス抽出部１１１は、特定のクエリＱ０を送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出する。なお、ここでの第１のＩＰアドレス抽出部１１１の処理を１ｈｏｐとする。
【００７９】
図１０は、第１のＩＰアドレス抽出部１１１が、２０１０年６月１日に特定のクエリ「外為 ａｂｃ証券」を送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出したときの例を示す。１行目は、特定のクエリ及び日付を示し、「Ｑｕｅｒｙ＝外為 ａｂｃ証券， Ｄａｔｅ＝２０１００６０１」と記載されている。２行目以降は、２０１０年６月１日にクエリ「外為 ａｂｃ証券」を送信した端末１０２のＩＰアドレス、そのＩＰアドレスを有する端末１０２から送信したクエリ及びそのクエリの送信回数を示し、例えば、ＩＰアドレス「１２３．４５．６７８．９０１」を有する端末からは、「外為 ａｂｃ証券」が４回送信されている。
【００８０】
続いて、図１１について説明する。第１のクエリ抽出部１１２は、第１のＩＰアドレス抽出部１１１によって抽出されたＩＰアドレスの端末１０２から送信されたクエリを、検索ログデータベース１２１を参照して抽出する。なお、ここでの第１のクエリ抽出部１１２の処理を２ｈｏｐとする。
【００８１】
図１１は、第１のＩＰアドレス抽出部１１１によって抽出されたＩＰアドレス、すなわち、図１０で示した「１２３．４５．６７８．９０１」、「２３４．５６．７８９．０１２」・・・のそれぞれについて、第１のクエリ抽出部１１２が検索ログデータベース１２１を参照して抽出したときの例を示す。１つめのブロックは、２０１０年６月１日にＩＰアドレス「１２３．４５．６７８．９０１」を有する端末から送信されたクエリを示し、例えば、「外為 ａｂｃ証券」、「合宿免許 ｇｈｉ自動車学校」、「ネットショップ 物流」等がある。クエリの右にある文字は、そのクエリを送信した回数を示す。
【００８２】
２つめのブロックは、同日にＩＰアドレス「２３４．５６．７８９．０１２」を有する端末から送信されたクエリを示し、例えば、「外為 ａｂｃ証券」、「中古車 ｊｋｌ販売」、「海外旅行 ｍｎｏツアーズ」等がある。３つめのブロックは、同日にＩＰアドレス「３４５．６７８．９０１．２３４」を有する端末から送信されたクエリを示し、例えば、「五月人形 ｄｅｆ人形店」、「メガネ ｓｔｕメガネ店」、「ダイヤモンド買取 ショップｖｗｘ」等がある。
【００８３】
続いて、図１２及び図１３について説明する。第２のＩＰアドレス抽出部１１３は、第１のクエリ抽出部１１２によって抽出されたクエリを送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出し、第２のクエリ抽出部１１４は、第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの端末１０２から送信されたクエリを、検索ログデータベース１２１を参照して抽出する。そして、繰り返し部１１５は、第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出と第２のクエリ抽出部１１４によるクエリの抽出とを交互に繰り返し実行する。つまり、第２のＩＰアドレス抽出部１１３は、３ｈｏｐとしてのＩＰアドレスの抽出を実行し、第２のクエリ抽出部１１４は、４ｈｏｐとしてのクエリの抽出を実行し、その後、繰り返し部１１５は、５ｈｏｐとしての第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出、６ｈｏｐとしての第２のクエリ抽出部１１４によるクエリの抽出、・・・をｎ ｈｏｐとしての第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出を行うまで繰り返す。
【００８４】
図１２は、繰り返し部１１５が、第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出と、第２のクエリ抽出部１１４によるクエリの抽出とを、ｍ ｈｏｐとしてのＩＰアドレスの抽出を行うまで繰り返したときの、ｍ ｈｏｐ目でのＩＰアドレスの抽出の結果を示す。見方は図５と同じであり、上から、２０１０年６月１日にクエリ「外為 ａｂｃ証券」、クエリ「合宿免許 ｇｈｉ自動車学校」、クエリ「ネットショップ 物流」を送信した端末のＩＰアドレスを示す。また、図１３は、繰り返し部１１５が、第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出と、第２のクエリ抽出部１１４によるクエリの抽出とを、ｎ ｈｏｐとしてのＩＰアドレスの抽出を行うまで繰り返したときの、ｎ ｈｏｐ目でのＩＰアドレスの抽出の結果を示す。見方は図５及び図１２と同じであり、上から、２０１０年６月１日にクエリ「五月人形 ｄｅｆ人形店」、クエリ「メガネ ｓｔｕメガネ店」、クエリ「ダイヤモンド買取 ショップｖｗｘ」を送信した端末のＩＰアドレスを示す。なお、下線は、後の説明の便宜のために付したものであり、スパムクエリ判別装置１０１からの出力情報として付されるものではない。
【００８５】
ところで、スパムクエリ判別部１１６は、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数の、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数に対する比を求める。そして、スパムクエリ判別部１１６は、その求めた比の値が所定の閾値以上の場合に、上記特定のクエリＱ０がスパムクエリであると判別する。
【００８６】
実施形態２において、ｍ、ｎの値は、ｍ＜ｎを満たす正の奇数である。図１２を参照すると、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスは、「１２３．４５．６７８．９０１」、「２３４．５６．７８９．０１２」・・・等である。ここで、便宜的に下線を引いているが、これは、第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスのうち、重複するものである。「種類数」を計算するにあたり、重複するものはまとめて「１」として計算するので、図１２に明示された範囲では、繰り返し部１１５によって第１の回数（ｍ ｈｏｐまで）だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数は、「１３」である。実際には、図１２に明示されていないものもあるので、図１２の右下にあるように、ここでは、ＩＰアドレスの種類数が「５０」であるものとして説明する。
【００８７】
また、図１３を参照すると、繰り返し部１１５によって第２の回数（ｎ ｈｏｐまで）だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスは、「１２３．４５．６７８．９０１」、「１５６．４３．６２１．７２４」・・・等である。図１３に示されている範囲では、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数は、「１３」である。実際には、図１３に明示されていないものもあるので、図１３の右下にあるように、ここでは、ＩＰアドレスの種類数が「８０」であるものとして説明する。
【００８８】
繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数が「５０」であり、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数が「８０」であれば、前者の後者に対する比は５０／８０（＝０．６２５）となる。所定の閾値が０．６２５未満であれば、当該比の値は所定の閾値以上となるので、スパムクエリ判別部１１６は、上記特定のクエリ「外為 ａｂｃ証券」がスパムクエリであると判別する。
【００８９】
第２実施形態に記載の発明によれば、検索ログデータベース１２１には、クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶され、第１のＩＰアドレス抽出部１１１は、特定のクエリＱ０を送信した端末のＩＰアドレスを、検索ログデータベース１２１を参照して抽出し、第１のクエリ抽出部１１２は、そのＩＰアドレスの端末から送信されたクエリを、検索ログデータベース１２１を参照して抽出する。そして、第２のＩＰアドレス抽出部１１３は、第１のクエリ抽出部１１２によって抽出されたクエリを送信した端末１０２のＩＰアドレスを、検索ログデータベース１２１を参照して抽出し、第２のクエリ抽出部１１４は、第２のＩＰアドレス抽出部によって抽出されたＩＰアドレスの端末から送信されたクエリを、検索ログデータベース１２１を参照して抽出し、繰り返し部１１５は、第２のＩＰアドレス抽出部１１３によるＩＰアドレスの抽出と第２のクエリ抽出部１１４によるクエリの抽出とを交互に繰り返し実行し、スパムクエリ判別部１１６は、繰り返し部１１５によって第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数の、繰り返し部１１５によって第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数に対する比を求める。そして、その比の値が所定の値以上の場合、スパムクエリ判別部１１６は、上記特定のクエリＱ０がスパムクエリであると判別する。
【００９０】
通常のクエリの場合であれば、第１の回数だけ繰り返した後に抽出されたＩＰアドレスの種類数と比べて、第２の回数だけ繰り返した後に抽出されたＩＰアドレスの種類数は、十分増加する。これに対し、不正業者のスパムＩＰアドレスから送信されるスパムクエリの場合、当該不正業者が使用し得るＩＰアドレスの数が限られていることから、通常のクエリの場合に比べ、スパムクエリ判別装置１０１が抽出するＩＰアドレスの種類数の増加の割合は、低くなる。このことに着目し、スパムクエリ判別装置１０１が抽出するＩＰアドレスの当該種類数の増加の割合は、低くなる。このことに着目し、スパムクエリ判別装置１０１は、第１の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数の、第２の回数だけ繰り返されたときの第２のＩＰアドレス抽出部１１３によって抽出されたＩＰアドレスの種類数に対する比が所定の値以上の場合に、そのＩＰアドレスを有する端末から送信したクエリがスパムクエリであると判別する。
【００９１】
これにより、スパムクエリにスパムではない通常のクエリを混入させてカモフラージュするという巧妙な手口も含め、不正業者のスパムＩＰアドレスを有する装置から送信されるスパムクエリを効率的かつ効果的に判別できる。
【００９２】
なお、第１及び第２実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、第１及び第２実施形態に記載されたものに限定されるものではない。
【符号の説明】
【００９３】
１ スパムＩＰアドレス判別装置
１０ 制御部
１１ 第１のクエリ抽出部
１２ 第１のＩＰアドレス抽出部
１３ 第２のクエリ抽出部
１４ 第２のＩＰアドレス抽出部
１５ 繰り返し部
１６ スパムＩＰアドレス判別部
２０ 記憶部
２１ 検索ログデータベース
【特許請求の範囲】
【請求項１】
クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶される検索ログ記憶手段と、
特定のＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する第１のクエリ抽出手段と、
前記第１のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する第１のＩＰアドレス抽出手段と、
前記第１のＩＰアドレス抽出手段又は第２のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する第２のクエリ抽出手段と、
前記第２のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する前記第２のＩＰアドレス抽出手段と、
前記第２のクエリ抽出手段によるクエリの抽出と前記第２のＩＰアドレス抽出手段によるＩＰアドレスの抽出とを交互に繰り返し実行する繰り返し手段と、
前記繰り返し手段によって第１の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、前記繰り返し手段によって前記第１の回数よりも多い第２の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合には、前記特定のＩＰアドレスがスパムＩＰアドレスであると判別するスパムＩＰアドレス判別手段とを備えるスパムＩＰアドレス判別装置。
【請求項２】
スパムＩＰアドレス判別装置が実行する方法であって、
クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶された検索ログデータベースを参照して、特定のＩＰアドレスの端末から送信されたクエリを抽出する第１のクエリ抽出工程と、
前記第１のクエリ抽出工程で抽出したクエリを送信した端末のＩＰアドレスを、前記検索ログデータベースを参照して抽出する第１のＩＰアドレス抽出工程と、
前記第１のＩＰアドレス抽出工程又は第２のＩＰアドレス抽出工程で抽出したＩＰアドレスの端末から送信されたクエリを、前記検索ログデータベースを参照して抽出する第２のクエリ抽出工程と、
前記第２のクエリ抽出工程で抽出したクエリを送信した端末のＩＰアドレスを、前記検索ログデータベースを参照して抽出する前記第２のＩＰアドレス抽出工程と、
前記第２のクエリ抽出工程によるクエリの抽出と前記第２のＩＰアドレス抽出工程によるＩＰアドレスの抽出とを交互に繰り返し実行する繰り返し工程と、
前記ＩＰアドレス抽出工程を第１の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数の、前記ＩＰアドレス抽出工程を前記第１の回数よりも多い第２の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合に、前記特定のＩＰアドレスがスパムＩＰアドレスであると判断するスパムＩＰアドレス判別工程とを含むスパムＩＰアドレス判別方法。
【請求項３】
クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶される検索ログ記憶手段と、
特定のクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する第１のＩＰアドレス抽出手段と、
前記第１のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する第１のクエリ抽出手段と、
前記第１のクエリ抽出手段又は第２のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する第２のＩＰアドレス抽出手段と、
前記第２のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する前記第２のクエリ抽出手段と、
前記第２のＩＰアドレス抽出手段によるＩＰアドレスの抽出と前記第２のクエリ抽出手段によるクエリの抽出とを交互に繰り返し実行する繰り返し手段と、
前記繰り返し手段によって第１の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、前記繰り返し手段によって前記第１の回数よりも多い第２の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合には、前記特定のクエリがスパムクエリであると判別するスパムクエリ判別手段とを備えるスパムクエリ判別装置。
【請求項４】
スパムクエリ判別装置が実行する方法であって、
クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶された検索ログデータベースを参照して、特定のクエリを送信した端末のＩＰアドレスを抽出する第１のＩＰアドレス抽出工程と、
前記第１のＩＰアドレス抽出工程で抽出したＩＰアドレスの端末から送信されたクエリを、前記検索ログデータベースを参照して抽出する第１のクエリ抽出工程と、
前記第１のクエリ抽出工程又は第２のクエリ抽出工程によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログデータベースを参照して抽出する第２のＩＰアドレス抽出工程と、
前記第２のＩＰアドレス抽出工程で抽出したＩＰアドレスの端末から送信されたクエリを、前記検索ログデータベースを参照して抽出する第２のクエリ抽出工程と、
前記第２のＩＰアドレス抽出工程によるＩＰアドレスの抽出と前記第２のクエリ抽出工程によるクエリの抽出とを交互に繰り返し実行する繰り返し工程と、
前記ＩＰアドレス抽出工程を第１の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数の、前記ＩＰアドレス抽出工程を前記第１の回数よりも多い第２の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合に、前記特定のクエリがスパムクエリであると判断するスパムクエリ判別工程とを含むスパムクエリ判別方法。
【請求項１】
クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶される検索ログ記憶手段と、
特定のＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する第１のクエリ抽出手段と、
前記第１のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する第１のＩＰアドレス抽出手段と、
前記第１のＩＰアドレス抽出手段又は第２のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する第２のクエリ抽出手段と、
前記第２のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する前記第２のＩＰアドレス抽出手段と、
前記第２のクエリ抽出手段によるクエリの抽出と前記第２のＩＰアドレス抽出手段によるＩＰアドレスの抽出とを交互に繰り返し実行する繰り返し手段と、
前記繰り返し手段によって第１の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、前記繰り返し手段によって前記第１の回数よりも多い第２の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合には、前記特定のＩＰアドレスがスパムＩＰアドレスであると判別するスパムＩＰアドレス判別手段とを備えるスパムＩＰアドレス判別装置。
【請求項２】
スパムＩＰアドレス判別装置が実行する方法であって、
クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶された検索ログデータベースを参照して、特定のＩＰアドレスの端末から送信されたクエリを抽出する第１のクエリ抽出工程と、
前記第１のクエリ抽出工程で抽出したクエリを送信した端末のＩＰアドレスを、前記検索ログデータベースを参照して抽出する第１のＩＰアドレス抽出工程と、
前記第１のＩＰアドレス抽出工程又は第２のＩＰアドレス抽出工程で抽出したＩＰアドレスの端末から送信されたクエリを、前記検索ログデータベースを参照して抽出する第２のクエリ抽出工程と、
前記第２のクエリ抽出工程で抽出したクエリを送信した端末のＩＰアドレスを、前記検索ログデータベースを参照して抽出する前記第２のＩＰアドレス抽出工程と、
前記第２のクエリ抽出工程によるクエリの抽出と前記第２のＩＰアドレス抽出工程によるＩＰアドレスの抽出とを交互に繰り返し実行する繰り返し工程と、
前記ＩＰアドレス抽出工程を第１の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数の、前記ＩＰアドレス抽出工程を前記第１の回数よりも多い第２の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合に、前記特定のＩＰアドレスがスパムＩＰアドレスであると判断するスパムＩＰアドレス判別工程とを含むスパムＩＰアドレス判別方法。
【請求項３】
クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶される検索ログ記憶手段と、
特定のクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する第１のＩＰアドレス抽出手段と、
前記第１のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する第１のクエリ抽出手段と、
前記第１のクエリ抽出手段又は第２のクエリ抽出手段によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログ記憶手段を参照して抽出する第２のＩＰアドレス抽出手段と、
前記第２のＩＰアドレス抽出手段によって抽出されたＩＰアドレスの端末から送信されたクエリを、前記検索ログ記憶手段を参照して抽出する前記第２のクエリ抽出手段と、
前記第２のＩＰアドレス抽出手段によるＩＰアドレスの抽出と前記第２のクエリ抽出手段によるクエリの抽出とを交互に繰り返し実行する繰り返し手段と、
前記繰り返し手段によって第１の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数の、前記繰り返し手段によって前記第１の回数よりも多い第２の回数だけ繰り返されたときの前記ＩＰアドレス抽出手段によって抽出されたＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合には、前記特定のクエリがスパムクエリであると判別するスパムクエリ判別手段とを備えるスパムクエリ判別装置。
【請求項４】
スパムクエリ判別装置が実行する方法であって、
クエリと当該クエリを送信した端末のＩＰアドレスとを関連付けた検索ログが記憶された検索ログデータベースを参照して、特定のクエリを送信した端末のＩＰアドレスを抽出する第１のＩＰアドレス抽出工程と、
前記第１のＩＰアドレス抽出工程で抽出したＩＰアドレスの端末から送信されたクエリを、前記検索ログデータベースを参照して抽出する第１のクエリ抽出工程と、
前記第１のクエリ抽出工程又は第２のクエリ抽出工程によって抽出されたクエリを送信した端末のＩＰアドレスを、前記検索ログデータベースを参照して抽出する第２のＩＰアドレス抽出工程と、
前記第２のＩＰアドレス抽出工程で抽出したＩＰアドレスの端末から送信されたクエリを、前記検索ログデータベースを参照して抽出する第２のクエリ抽出工程と、
前記第２のＩＰアドレス抽出工程によるＩＰアドレスの抽出と前記第２のクエリ抽出工程によるクエリの抽出とを交互に繰り返し実行する繰り返し工程と、
前記ＩＰアドレス抽出工程を第１の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数の、前記ＩＰアドレス抽出工程を前記第１の回数よりも多い第２の回数だけ繰り返したときに前記ＩＰアドレス抽出工程で抽出したＩＰアドレスの種類数に対する比を求め、その比の値が所定の値以上の場合に、前記特定のクエリがスパムクエリであると判断するスパムクエリ判別工程とを含むスパムクエリ判別方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【公開番号】特開２０１２−１４３５５（Ｐ２０１２−１４３５５Ａ）
【公開日】平成２４年１月１９日（２０１２．１．１９）
【国際特許分類】
【出願番号】特願２０１０−１４９４００（Ｐ２０１０−１４９４００）
【出願日】平成２２年６月３０日（２０１０．６．３０）
【出願人】（５００２５７３００）ヤフー株式会社 (1,128)
【Ｆターム（参考）】
【公開日】平成２４年１月１９日（２０１２．１．１９）
【国際特許分類】
【出願日】平成２２年６月３０日（２０１０．６．３０）
【出願人】（５００２５７３００）ヤフー株式会社 (1,128)
【Ｆターム（参考）】
[ Back to top ]