JP2002342279A - フィルタリング装置、フィルタリング方法およびこの方法をコンピュータに実行させるプログラム - Google Patents

Abstract

(57)【要約】 【課題】 不正クライアントと認定されていないクライ
アントからの不正アクセスに対してもサーバを防御する
こと。 【解決手段】 Ｗｅｂサーバ４０に対する不正アクセス
のパターンを格納した不正リクエストＤＢ（データベー
ス）３３と、不正リクエストＤＢ３３に格納された不正
アクセスのパターンおよび所定の見積ルール３２ａに基
づいてクライアント装置１０からのアクセス要求の正当
性を見積もる見積部３２と、見積部３２による見積結果
および所定の判定ルール３４ａに基づいてアクセス要求
をＷｅｂサーバ４０に受け渡すか否かを判定する判定部
３４とを備える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、クライアントと
該クライアントからのアクセス要求に応じてサービスを
提供するサーバとの間に介在し、前記アクセス要求のう
ちの正当なアクセス要求のみを前記サーバに受け渡すフ
ィルタリング装置、フィルタリング方法およびこの方法
をコンピュータに実行させるプログラムに関する。

【０００２】近時、ネットワーク技術の進展に伴って、
インターネット上の分散システムであるＷＷＷ（World
Wide Web）の利用が急速に拡大し、クライアントから
の各種のリクエスト（アクセス要求）に応じて各種のサ
ービスを提供する各種ＨＴＴＰサーバも累増してきた
が、かかるサーバの累増にともなって、クライアントに
よるサーバへの不正アクセスも増加しつつある。

【０００３】すなわち、侵入者（イントルーダ）や攻撃
者（アタッカ）が企業、団体、個人などのサーバを無権
限で不正に利用したり、運用を妨害したり、破壊（クラ
ック）など、サーバを利用する者がその者に与えられた
権限により許された行為以外の行為をネットワークを介
して意図的におこなうという不正アクセスが増加してい
る。このため、サーバに対する不正アクセスを拒絶する
ことによりサーバの信頼性を確保する必要性が高まりつ
つある。

【０００４】

【従来の技術】従来より、クライアントによる不正アク
セスからサーバを守るために、インターネットと企業Ｌ
ＡＮ（Local Area Network）との間にファイアウォー
ル（Fire Wall）を構築することが一般的におこなわれ
ている。

【０００５】このファイアウォールは、インターネット
に接続したコンピュータやネットワークへの外部からの
侵入を防ぐためのソフトウエアであり、企業LANとイン
ターネットの間に、特定のデータやプロトコルだけを通
すように設計されたファイアウォール用のコンピュータ
を置き、LAN内と外部とのデータ交換はすべてこのマシ
ンを通しておこなうことにより、外部からの侵入を防ぐ
というものである。

【０００６】また、このファイアウォールに関連して、
ネットワークベースあるいはホストベースの不正アクセ
ス検知手法がある。前者のネットワークベースの不正ア
クセス検知手法は、ネットワークを流れる生のパケット
を監視することにより不正アクセスを発見するものであ
り、後者のホストベースの不正アクセス検知手法は、ホ
ストに蓄えられたログ履歴を監視することにより不正ア
クセスを発見するものである。

【０００７】そして、このような不正アクセス検知手法
により発見された不正アクセスに基づいて不正アクセス
の送信元クライアントを突き止め、この不正アクセスを
おこなったクライアントのＩＰアドレスなどの送信元情
報をファイアウォール用のコンピュータ内に蓄積するこ
とにより、この送信元情報を含んだクライアントからの
アクセス要求を不正アクセスとして拒絶することがファ
イアウォールにおいて一般的におこなわれている。

【０００８】

【発明が解決しようとする課題】しかしながら、上記の
従来技術は、過去に不正アクセスをおこなったクライア
ントを不正クライアントと認定し、この不正クライアン
トからのアクセス要求を不正アクセスとして拒絶するも
のであるため、不正クライアントと認定された後の不正
アクセスに対してはサーバを防御することができるが、
不正クライアントと認定されていないクライアントから
の不正アクセスに対してはサーバを防御することができ
ないという問題点があった。すなわち、不正クライアン
トと認定される前の初回の不正アクセスに対してはサー
バを防御することができない。

【０００９】このため、不正クライアントと認定されて
いないクライアントからの不正アクセスに対していかに
サーバを防御するかが極めて重要な課題となっており、
望ましくは、アクセス要求の送信元情報を考慮すること
なく、正当なアクセス要求であるか不正なアクセス要求
であるか否かを判定する枠組みが必要とされている。

【００１０】そこで、この発明は、上述した従来技術に
よる問題点を解消するためになされたものであり、不正
クライアントと認定されていないクライアントからの不
正アクセスに対してもサーバを防御することができるフ
ィルタリング装置、フィルタリング方法およびこの方法
をコンピュータに実行させるプログラムを提供すること
を目的とする。

【００１１】

【課題を解決するための手段】上述した課題を解決し、
目的を達成するため、請求項１、８または９の発明によ
れば、図１に示す見積部３２は、Ｗｅｂサーバ４０に対
する不正アクセスのパターンを格納した不正リクエスト
ＤＢ（データベース）３３を参照し、不正アクセスのパ
ターンおよび所定の見積ルール３２ａに基づいてクライ
アント装置１０からのアクセス要求の正当性を見積も
り、判定部３４は、見積部３２による見積結果および所
定の判定ルール３４ａに基づいてアクセス要求をＷｅｂ
サーバ４０に受け渡すか否かを判定することとしたの
で、アクセス要求の送信元情報ではなくアクセス要求の
具体的な要求内容に基づいて不正アクセスであるか否か
を判定することができる。これにより、正当なアクセス
要求のみをＷｅｂサーバ４０に受け渡すことができ、も
って不正クライアントと認定されていないクライアント
装置１０からの不正アクセスに対してもＷｅｂサーバ４
０を防御することができる。

【００１２】また、請求項２の発明によれば、図１に示
す見積部３２は、クライアント装置１０からのアクセス
要求が不正リクエストＤＢ３３に格納された不正アクセ
スのパターンのいずれかに該当する場合に該アクセス要
求は不正アクセスである旨を見積もるとともに、クライ
アント装置１０からのアクセス要求が不正リクエストＤ
Ｂ３３に格納された不正アクセスのパターンのいずれに
も該当しない場合に該アクセス要求は正当アクセスであ
る旨を見積もり、判定部３４は、見積部３２により不正
アクセスである旨が見積もられたアクセス要求をＷｅｂ
サーバ４０に受け渡さないものと判定するとともに、見
積部３２により正当アクセスである旨が見積もられたア
クセス要求をＷｅｂサーバ４０に受け渡すものと判定す
ることとしたので、アクセス要求が不正リクエストのパ
ターンに一致するか否かによって不正アクセスであるか
否かを迅速かつ確実に判定することができ、もって不正
クライアントと認定されていないクライアント装置１０
からの不正アクセスに対しても迅速かつ確実にＷｅｂサ
ーバ４０を防御することができる。

【００１３】また、請求項３の発明によれば、図１に示
す見積部３２は、クライアント装置１０からのアクセス
要求が不正リクエストＤＢ３３に格納された不正アクセ
スのパターンに該当する度合に応じて所定の見積値を算
出し、判定部３４は、見積部３２により算出された見積
値と所定の閾値とを比較してアクセス要求をＷｅｂサー
バ４０に受け渡すか否かを判定することとしたので、見
積値および閾値の比較によってある程度の幅を持たせて
不正アクセスであるか否かを判定することができ、もっ
て不正クライアントと認定されていないクライアント装
置１０からの不正アクセスに対してもある程度の幅を持
ってＷｅｂサーバ４０を防御することができる。

【００１４】また、請求項４の発明によれば、図５に示
す事前判定部７１は、見積部３２による正当性の見積も
りの前に、Ｗｅｂサーバ４０に対する正当アクセスのパ
ターンを格納した正当リクエストＤＢ７２を参照し、ク
ライアント装置１０からのアクセス要求が正当リクエス
トＤＢ７２に格納された正当アクセスのパターンのいず
れかに該当するか否かを判定し、見積部３２は、事前判
定部７１により正当アクセスのパターンに該当しないも
のと判定されたアクセス要求のみについて正当性を見積
もることとしたので、正当アクセスのパターンと一致す
るアクセス要求については正当性を見積もることなくＷ
ｅｂサーバ４０に受け渡す一方、正当アクセスのパター
ンと一致しないアクセス要求のみについて正当性を見積
もることができ、もって不正アクセスであるか否かを全
体としてより迅速に判定することができる。

【００１５】また、請求項５の発明によれば、図１に示
す外部通報部３７は、所定の通報ルール３７ａに基づい
て、判定部３４によりＷｅｂサーバ４０に受け渡さない
ものと判定されたアクセス要求を所定の外部装置５０に
送信することとしたので、不正アクセスに関する情報を
Ｗｅｂサーバ４０の管理者、リクエストフィルタ３０の
管理者、サーバ装置２０全体の管理者、ネットワーク全
般を監視する公的な機関の管理者などに迅速に通報する
ことができ、もってかかる管理者に対しＷｅｂサーバ４
０の保全対策を迅速に促すことができる。

【００１６】また、請求項６の発明によれば、図１に示
すログ管理部３６は、所定の管理ルール３６ａに基づい
て、判定部３４によりＷｅｂサーバ４０に受け渡さない
ものと判定されたアクセス要求を所定の格納媒体３６ｂ
に格納することとしたので、格納媒体３６ｂに格納され
た不正アクセスに関する情報を分析することなどがで
き、もってＷｅｂサーバ４０の更なる保全対策を講じる
ことができる。

【００１７】また、請求項７の発明によれば、図１に示
す更新部３９は、所定の更新ルール３９ａに基づいて、
不正リクエストＤＢ３３、正当リクエストＤＢ７２（図
５に示す）、見積ルール３２ａ、判定ルール３４ａ、通
報ルール３７ａ、管理ルール３６ａまたは更新ルール３
９ａを更新することとしたので、新たに発見された不正
アクセスのパターンを不正リクエストＤＢ３３に登録す
ることなどができ、もって日々進化する不正アクセスに
対して機動的に対応することができる。

【００１８】

【発明の実施の形態】以下に添付図面を参照して、この
発明に係るフィルタリング装置、フィルタリング方法、
およびその方法をコンピュータに実行させるプログラム
の好適な実施の形態を詳細に説明する。なお、以下に示
す実施の形態１〜３では、本発明に係るフィルタリング
技術を、クライアント装置からのＨＴＴＰ（HyperText
Transfer protocol）リクエストに応じてサービスを
提供するサーバ装置に適用した場合について説明する。

【００１９】（実施の形態１）本実施の形態１では、ク
ライアント装置からのＨＴＴＰリクエストが不正リクエ
ストのパターンに一致するか否かによって不正アクセス
であるか否かを判定する場合について説明する。

【００２０】（１）システムの全体構成 まず最初に、本実施の形態１に係るサーバクライアント
システムの構成について説明する。図１は、本実施の形
態１に係るサーバクライアントシステムの構成を示すブ
ロック図である。同図に示すように、本実施の形態１に
係るサーバクライアントシステムは、Ｗｅｂブラウザ１
１をそれぞれ有する複数のクライアント装置１０と、フ
ィルタリング装置としてのリクエストフィルタ３０およ
びＷｅｂサーバ４０を有するサーバ装置２０とを、イン
ターネットなどのネットワーク１を介して相互に通信可
能に接続して構成される。

【００２１】概略的に、このサーバクライアントシステ
ムにあっては、クライアント装置１０は、Ｗｅｂブラウ
ザ１１によりサーバ装置２０に対してＨＴＴＰリクエス
トなどの各種の処理要求をおこない、サーバ装置２０の
Ｗｅｂサーバ４０は、クライアント装置１０からのＨＴ
ＴＰリクエストに応じたサービスをクライアント装置１
０に提供する。そして、サーバ装置２０のリクエストフ
ィルタ３０は、クライアント装置１０とＷｅｂサーバ４
０との間に介在し、クライアント装置１０からのＨＴＴ
Ｐリクエストのうちの正当なリクエストのみをＷｅｂサ
ーバ４０に受け渡す。

【００２２】ここで、本実施の形態１に係るサーバクラ
イアントシステムは、サーバ装置２０のリクエストフィ
ルタ３０によるフィルタリング処理に特徴があり、具体
的には、リクエストフィルタ３０の見積部３２は、クラ
イアント装置１０からのＨＴＴＰリクエストが不正リク
エストＤＢ３３に格納された不正アクセスのパターンの
いずれかに該当する場合には不正アクセスである旨を見
積もり、判定部３４は、見積部３２により不正アクセス
である旨が見積もられたＨＴＴＰリクエストをＷｅｂサ
ーバ４０に受け渡さないものと判定することにより、Ｈ
ＴＴＰリクエストの送信元情報を問題とすることなく、
正当なＨＴＴＰリクエストのみをＷｅｂサーバ４０に受
け渡すことができるように構成している。

【００２３】（２）クライアント装置の構成 次に、図１に示したクライアント装置１０の構成につい
て説明する。同図に示すように、クライアント装置１０
は、Ｗｅｂブラウザ１１を備え、基本的には、サーバ装
置２０に対してＨＴＴＰリクエストなどの処理要求をお
こない、サーバ装置２０のＷｅｂサーバ４０により提供
されるＷｅｂデータを解釈して、モニタなどの出力部に
表示させる表示制御（ブラウズ処理）をおこなう。

【００２４】そして、このクライアント装置１０は、悪
意を持った使用方法によってサーバ装置２０に対して不
正アクセスをおこなうことができる装置でもある。すな
わち、クライアント装置１０は、侵入者（イントルー
ダ）や攻撃者（アタッカ）などの悪意を持ったユーザの
使用によっては、Ｗｅｂサーバ４０上のパスワードファ
イルなどのリモートユーザが見るべきでないファイルを
見たり、Ｗｅｂサーバ４０上に存在しないファイルをリ
クエストしてＷｅｂサーバ４０の機能を停止させたり、
コマンド文字列を含んだリクエストによりＷｅｂサーバ
４０上で任意のシステムコマンドを実行するなどの不正
アクセスをおこない得るものである。このようなクライ
アント装置１０による不正アクセスに対してＷｅｂサー
バ４０を防御するのがリクエストフィルタ３０の役割で
ある。

【００２５】なお、クライアント装置１０は、たとえ
ば、パーソナルコンピュータやワークステーション、家
庭用ゲーム機、インターネットＴＶ、ＰＤＡ(Personal
Digital Assistant)、あるいは、携帯電話やＰＨＳ
（Personal Handy Phone System）の如き移動体通信
端末によって実現することができる。また、クライアン
ト装置１０は、モデム、ＴＡ、ルータなどの通信装置と
電話回線を介して、あるいは、専用線を介して、ネット
ワーク１に接続されており、所定の通信規約（たとえ
ば、ＴＣＰ／ＩＰインターネットプロトコル）に従って
サーバ装置２０にアクセスすることができる。

【００２６】（３）サーバ装置におけるＷｅｂサーバの
構成 次に、図１に示したサーバ装置２０におけるＷｅｂサー
バ４０の構成について説明する。同図に示すように、サ
ーバ装置２０のＷｅｂサーバ４０は、リクエストフィル
タ３０を介してクライアント装置１０からのＨＴＴＰリ
クエストを受信し、このＨＴＴＰリクエストに応じてＨ
ＴＭＬ（HyperText Markup Language）などのマーク
アップ言語により記述された各種の情報を送信するなど
のサービスをクライアント装置１０に提供する。

【００２７】このＷｅｂサーバ４０は、機能概念的に
は、一般的なＷｅｂサーバと同様の動作をおこなうもの
であるが、ここでのＷｅｂサーバ４０は、一般的なＷｅ
ｂサーバと異なり、サーバ装置２０においてＨＴＴＰリ
クエストに割り当てられるポート番号８０のＴＣＰ（Tr
ansmission Control Protocol）ポートを監視するこ
とはおこなわない。

【００２８】すなわち、クライアント装置１０からのＨ
ＴＴＰリクエストをＷｅｂサーバ４０により直接に受信
するのではなく、リクエストフィルタ３０がＨＴＴＰリ
クエストを受信し、プロセス間通信をおこなって正当な
ＨＴＴＰリクエストのみをＷｅｂサーバ４０に受け渡す
こととしている。

【００２９】（４）サーバ装置におけるリクエストフィ
ルタの構成 次に、図１に示したサーバ装置２０におけるリクエスト
フィルタ３０の構成について説明する。同図に示すよう
に、リクエストフィルタ３０は、受信部３１と、見積部
３２と、不正リクエストＤＢ３３と、判定部３４と、送
信部３５と、ログ管理部３６と、外部通報部３７と、外
部情報取得部３８と、更新部３９とを備える。

【００３０】このうち、受信部３１は、サーバ装置２０
におけるポート番号８０のＴＣＰポートを監視して、ク
ライアント装置１０からのＨＴＴＰリクエストをＷｅｂ
サーバ４０が受信する前に受信する処理部である。な
お、受信部３１によりクライアント装置１０から受信し
たＨＴＴＰリクエストは、見積部３２および送信部３５
に出力される。

【００３１】見積部３２は、不正リクエストＤＢ３３に
格納された不正アクセスのパターンおよび所定の見積ル
ール３２ａに基づいてＨＴＴＰリクエストの正当性を見
積もり、その見積結果を判定部３４に出力する処理部で
ある。

【００３２】ここで、見積部３２が見積もりに際して参
照する不正リクエストＤＢ３３について説明する。図２
は、不正リクエストＤＢ３３に格納される情報の構成例
を示す図である。同図に示すように、不正リクエストＤ
Ｂ３３は、サーバに対する不正アクセスのパターンを格
納したデータベースであり、ネットワーク世界で収集さ
れた不正アクセスを図示のような形式言語を用いて記述
した複数のパターンを記憶している。

【００３３】例えば、同図に示す「ＵＲＬ＝＜／／」の
パターンは、ＵＲＬ（Uniform Resource Locator）の
先頭が「／／」である不正リクエストを意味し、「ＣＧ
Ｉ＝＝ｐｈｆ、ＡＲＧ＝＜Ｑｎａｍｅ＝ｒｏｏｔ％Ｏ
Ａ」のパターンは、ＣＧＩ（Common Gateway Interfa
ce）名が「ｐｈｆ」であり、そのある引数の先頭が「Ｑ
ｎａｍｅ＝ｒｏｏｔ％ＯＡ」である不正リクエストを意
味し、「ＵＲＬ＜＞．．￥．．￥．．￥．．」のパター
ンは、ＵＲＬに「．．￥．．￥．．￥．．」が含まれる
不正リクエストを意味し、「ＣＧＩ＞＝．ｈｔｒ」のパ
ターンは、ＣＧＩ名の末尾が「．ｈｔｒ」である不正リ
クエストを意味する。

【００３４】なお、図２には示していないが、不正リク
エストＤＢ３３には、Ｗｅｂサーバ４０上で任意のシス
テムコマンドを実行するような不正なコマンド文字列も
複数記憶されている。このようなコマンド文字列のパタ
ーンを記憶することにより、攻撃方法が既知である不正
アクセスだけでなく、攻撃方法が未知である不正アクセ
スに対してもＷｅｂサーバ４０を防御することができ
る。

【００３５】このような不正リクエストＤＢ３３を参照
することにより、見積部３２は、所定の見積ルール３２
ａに基づいてＨＴＴＰリクエストの正当性の見積もりを
おこなう。具体的には、ＨＴＴＰリクエストが不正リク
エストＤＢ３３に格納された不正アクセスのパターンの
いずれかに該当する場合には、該ＨＴＴＰリクエストは
不正アクセスである旨を見積もり、一方、ＨＴＴＰリク
エストが不正リクエストＤＢ３３に格納された不正アク
セスのパターンのいずれにも該当しない場合には、該Ｈ
ＴＴＰリクエストは正当アクセスである旨を見積もる。

【００３６】図１の説明に戻ると、判定部３４は、見積
部３２から受け取った見積結果および所定の判定ルール
３４ａに基づいてＨＴＴＰリクエストをＷｅｂサーバ４
０に受け渡すか否かを判定し、この判定結果を送信部３
５に出力する処理部である。具体的には、見積部３２か
ら不正アクセスである旨の見積結果を受け取った場合に
は、ＨＴＴＰリクエストをＷｅｂサーバ４０に受け渡さ
ないものと判定し（不可判定）、一方、見積部３２から
正当アクセスである旨の見積結果を受け取った場合に
は、ＨＴＴＰリクエストをＷｅｂサーバ４０に受け渡す
ものと判定する（可判定）。

【００３７】送信部３５は、判定部３４から受け取った
判定結果に基づいて、受信部３１から受け取ったＨＴＴ
Ｐリクエストの送信を制御する処理部である。具体的に
は、判定部３４から可判定を受け取った場合には、ＨＴ
ＴＰリクエストをプロセス間通信によりＷｅｂサーバ４
０に受け渡す。一方、判定部３４から不可判定を受け取
った場合には、ＨＴＴＰリクエストのＷｅｂサーバ４０
への受け渡しを拒絶して、この不正リクエストを破棄す
る。

【００３８】ログ管理部３６は、所定の管理ルール３６
ａに基づいて、判定部３４によりＷｅｂサーバ４０に受
け渡さないものと判定された不正リクエストに係る情報
を格納媒体３６ｂに格納して管理する処理部である。具
体的には、管理ルール３６ａに基づいて、不正リクエス
トの内容、送信元情報（ＩＰアドレスやホスト名）、送
信時刻、見積部３２による見積結果の根拠、判定部３４
による判定結果の根拠などの不正リクエストに係る情報
を選択的に編集するとともに、この選択編集された情報
を不正リクエストの攻撃性の高低などに応じて選択的に
格納媒体３６ｂに格納する。例えば、攻撃性の高い不正
リクエストのみを格納するなどである。

【００３９】なお、格納媒体３６ｂに格納された情報
は、該格納媒体３６ｂを取り出すことや通信回線を介す
ることなどによりサーバ装置２０の外部に出力すること
ができ、さらに、格納媒体３６ｂに格納された情報を分
析して不正アクセスの傾向などを解析することにより、
Ｗｅｂサーバ４０の更なる保全のために対策を講じるこ
ともできる。

【００４０】外部通報部３７は、所定の通報ルール３７
ａに基づいて、判定部３４によりＷｅｂサーバ４０に受
け渡さないものと判定された不正リクエストに係る情報
を外部装置５０に通報する処理部である。具体的には、
ログ管理部３６による処理と同様、通報ルール３７ａに
基づいて、不正リクエストの内容、送信元情報（ＩＰア
ドレスやホスト名）、送信時刻、見積部３２による見積
結果の根拠、判定部３４による判定結果の根拠などの不
正リクエストに係る情報を選択的に編集するとともに、
この選択編集された情報を不正リクエストの攻撃性の高
低などに応じて選択的に外部装置５０に通報する。

【００４１】この外部通報部３７から通報を受ける外部
装置５０は、Ｗｅｂサーバ４０の管理者、リクエストフ
ィルタ３０の管理者、サーバ装置２０全体の管理者、ネ
ットワーク全般を監視する公的な機関（管理センタ）の
管理者など（以下、これらを総称して「管理者」とい
う。）が操作する通信装置である。そして、外部通報部
３７は、例えば、攻撃性の高い不正リクエストについて
はリアルタイムで迅速に管理者に通報し、攻撃性の低い
不正リクエストについては非リアルタイムで一括して管
理者に通報するなどして、かかる通報を受ける管理者に
対してＷｅｂサーバ４０の保全対策を迅速に促すことが
できる。

【００４２】外部情報取得部３８は、所定の取得ルール
３８ａに基づいて、更新部３９による更新処理に用いら
れる情報を、外部装置５０やＷｅｂサーバ４０などのリ
クエストフィルタ３０の外部から能動的または受動的に
取得する処理部である。例えば、管理者が外部装置５０
を介して入力した新たな不正リクエストのパターンや、
管理者が外部装置５０を介して入力した見積ルール３２
ａの変更指示情報などを取得するほか、不正リクエスト
による被害を受けたＷｅｂサーバ４０から被害の状況や
不正アクセスの内容などの情報を取得する。なお、所定
の取得ルール３８ａは、権限が認証された管理者からの
情報のみを取得するなどの規則である。

【００４３】更新部３９は、所定の更新ルール３９ａに
基づいて、不正リクエストＤＢ３３、見積ルール３２
ａ、判定ルール３４ａ、管理ルール３６ａ、通報ルール
３７ａ、取得ルール３８ａまたは更新ルール３９ａに格
納された情報を更新する処理部である。例えば、外部情
報取得部３８から新たな不正リクエストのパターンを受
け付けた場合には、この不正リクエストのパターンを不
正リクエストＤＢ３３に格納し、また見積ルール３２ａ
の変更指示情報を受け付けた場合には、この変更指示情
報に応じて見積ルール３２ａを変更する。このような更
新処理をおこなうことにより、日々進化する不正アクセ
スに対して機動的に対応することができる。

【００４４】（５）フィルタリング処理 次に、本実施の形態１によるフィルタリングの処理手順
について説明する。図３は、本実施の形態１によるフィ
ルタリングの処理手順を説明するフローチャートであ
る。同図に示すように、サーバ装置２０におけるリクエ
ストフィルタ３０の受信部３１は、クライアント装置１
０からのＨＴＴＰリクエストをＷｅｂサーバ４０が受信
する前に受信する（ステップＳ３０１）。

【００４５】そして、リクエストフィルタ３０の見積部
３２は、不正リクエストＤＢ３３に格納された不正アク
セスのパターンおよび所定の見積ルール３２ａに基づい
てＨＴＴＰリクエストの正当性を見積もる（ステップＳ
３０２）。具体的には、ＨＴＴＰリクエストが不正アク
セスのパターンのいずれかに該当する場合には、不正リ
クエストである旨を見積もり、一方、ＨＴＴＰリクエス
トが不正アクセスのパターンのいずれにも該当しない場
合には、正当リクエストである旨を見積もる。

【００４６】その後、リクエストフィルタ３０の判定部
３４は、見積部３２から受け取った見積結果および所定
の判定ルール３４ａに基づいてＨＴＴＰリクエストをＷ
ｅｂサーバ４０に受け渡すか否かを判定する（ステップ
Ｓ３０３）。具体的には、見積部３２により正当なリク
エストである旨が見積もられたか否かを判定する。

【００４７】この判定により、正当なリクエストである
旨が見積もられたものと判定された場合には（ステップ
Ｓ３０３肯定）、リクエストフィルタ３０の送信部３５
は、ＨＴＴＰリクエストをプロセス間通信によりＷｅｂ
サーバ４０に受け渡し（ステップＳ３０４）、Ｗｅｂサ
ーバ４０は、ＨＴＴＰリクエストに応じた情報をクライ
アント装置１０に送信するなどの正当判定時の処理をお
こなう（ステップＳ３０５）。

【００４８】これとは反対に、不正なリクエストである
旨が見積もられたものと判定された場合には（ステップ
Ｓ３０３否定）、リクエストフィルタ３０の送信部３５
は、ＨＴＴＰリクエストのＷｅｂサーバ４０への受け渡
しを拒絶し（ステップＳ３０６）、リクエストフィルタ
３０の各部は、不正リクエストの破棄、格納媒体３６ｂ
への格納、外部装置５０への通報などの不正判定時の処
理をおこなう（ステップＳ３０７）。

【００４９】上述してきたように、本実施の形態１によ
れば、アクセス要求の送信元情報ではなく、アクセス要
求の具体的な要求内容が不正リクエストのパターンに一
致するか否かによって不正アクセスであるか否かを迅速
かつ確実に判定することができる。これにより、不正ク
ライアントと認定されていないクライアント装置１０か
らの不正アクセスに対しても迅速かつ確実にＷｅｂサー
バ４０を防御することができる。

【００５０】（実施の形態２）ところで、上記実施の形
態１では、クライアント装置からのＨＴＴＰリクエスト
が不正リクエストのパターンに一致するか否かによって
不正アクセスであるか否かを判定する場合について説明
したが、本発明はこれに限定されるものではなく、ＨＴ
ＴＰリクエストが不正アクセスのパターンに該当する度
合に応じて不正アクセスであるか否かを判定する場合に
ついても同様に適用することができる。

【００５１】そこで、本実施の形態２では、ＨＴＴＰリ
クエストが不正アクセスのパターンに該当する度合に応
じて不正アクセスであるか否かを判定する場合について
説明する。なお、本実施の形態２においては、サーバク
ライアントシステムのシステム構成は図１に示すものと
同様のものとなるので、ここではその詳細な説明を省略
する。

【００５２】まず最初に、本実施の形態２の特徴部分で
ある見積部３２および判定部３４について説明する。本
実施の形態２における見積部３２は、クライアント装置
１０からのＨＴＴＰリクエストが不正リクエストＤＢ３
３に格納された不正アクセスのパターンに該当する度合
に応じて所定の見積値を算出し、その見積値を判定部３
４に出力する。

【００５３】具体的には、不正アクセスのパターンから
一致するパターンの個数を算出することや、各パターン
に危険度数を付与して一致するパターンの危険度数を算
出することなどにより、ＨＴＴＰリクエストの危険度を
示すＤＩ（Danger Index）と呼ばれる見積値を算出す
る。なお、見積値ＤＩは、例えば１〜１００の範囲で整
数値をとり、危険度が高いＨＴＴＰリクエストほど大き
な値が算出されるというものである。

【００５４】本実施の形態２における判定部３４は、見
積部３２により算出された見積値ＤＩと所定の閾値とを
比較してＨＴＴＰリクエストをＷｅｂサーバ４０に受け
渡すか否かを判定し、この判定結果を送信部３５に出力
する。

【００５５】具体的には、所定の閾値を５０と仮定する
と、見積部３２からＤＩが５０以上である見積値を受け
取った場合には、ＨＴＴＰリクエストをＷｅｂサーバ４
０に受け渡さないものと判定し（不可判定）、一方、見
積部３２からＤＩが５０未満である見積値を受け取った
場合には、ＨＴＴＰリクエストをＷｅｂサーバ４０に受
け渡すものと判定する（可判定）。

【００５６】次に、本実施の形態２によるフィルタリン
グの処理手順について説明する。図４は、本実施の形態
２によるフィルタリングの処理手順を説明するフローチ
ャートである。同図に示すように、サーバ装置２０にお
けるリクエストフィルタ３０の受信部３１は、クライア
ント装置１０からのＨＴＴＰリクエストをＷｅｂサーバ
４０が受信する前に受信する（ステップＳ４０１）。

【００５７】そして、リクエストフィルタ３０の見積部
３２は、ＨＴＴＰリクエストが不正リクエストＤＢ３３
に格納された不正アクセスのパターンに該当する度合に
応じて見積値ＤＩを算出する（ステップＳ４０２）。リ
クエストフィルタ３０の判定部３４は、見積部３２によ
り算出された見積値ＤＩと所定の閾値とを比較してＨＴ
ＴＰリクエストをＷｅｂサーバ４０に受け渡すか否かを
判定する（ステップＳ４０３）。具体的には、見積値Ｄ
Ｉが所定の閾値以上であるか否かを判定する。

【００５８】この判定により、見積値ＤＩが所定の閾値
未満であると判定された場合には（ステップＳ４０３肯
定）、リクエストフィルタ３０の送信部３５は、ＨＴＴ
Ｐリクエストをプロセス間通信によりＷｅｂサーバ４０
に受け渡し（ステップＳ４０４）、Ｗｅｂサーバ４０
は、ＨＴＴＰリクエストに応じた情報をクライアント装
置１０に送信するなどの正当判定時の処理をおこなう
（ステップＳ４０５）。

【００５９】これとは反対に、見積値ＤＩが所定の閾値
以上であると判定された場合には（ステップＳ４０３否
定）、リクエストフィルタ３０の送信部３５は、ＨＴＴ
ＰリクエストのＷｅｂサーバ４０への受け渡しを拒絶し
（ステップＳ４０６）、リクエストフィルタ３０の各部
は、不正リクエストの破棄、格納媒体３６ｂへの格納、
外部装置５０への通報などの不正判定時の処理をおこな
う（ステップＳ４０７）。

【００６０】上述してきたように、本実施の形態２によ
れば、見積値および閾値の比較によってある程度の幅を
持たせて不正アクセスであるか否かを判定することがで
きる。これにより、不正クライアントと認定されていな
いクライアント装置１０からの不正アクセスに対しても
ある程度の幅を持ってＷｅｂサーバ４０を防御すること
ができる。

【００６１】（実施の形態３）ところで、上記実施の形
態１および２では、クライアント装置からの全てのＨＴ
ＴＰリクエストについて不正アクセスのパターンに基づ
く見積もりをおこなう場合について説明したが、本発明
にはこれに限定されるものではなく、一部のＨＴＴＰリ
クエストについてのみ見積もりをおこなう場合について
も同様に適用することができる。

【００６２】そこで、本実施の形態３では、二階層から
なるフィルタリング処理をおこない、一部のＨＴＴＰリ
クエストについてのみ不正アクセスのパターンに基づく
見積もりをおこなう場合について説明する。

【００６３】図５は、本実施の形態３に係るサーバクラ
イアントシステムの構成を示すブロック図である。な
お、図１に示した各部と同様の機能を有する部位には同
一符号を付すこととしてその詳細な説明を省略し、本実
施の形態３の特徴部分である事前判定部７１および正当
リクエストＤＢ７２について説明する。

【００６４】サーバ装置６０におけるリクエストフィル
タ７０の事前判定部７１は、見積部３２による正当性の
見積もりの前に、正当リクエストＤＢ７２に格納された
正当アクセスのパターンおよび所定の事前判定ルール７
１ａに基づいてＨＴＴＰリクエストの見積もりを省くこ
とができるか否かを判定する処理部である。

【００６５】ここで、事前判定部７１が判定に際して参
照する正当リクエストＤＢ７２について説明すると、こ
の正当リクエストＤＢ７２は、Ｗｅｂサーバ４０に対す
る正当アクセスのパターンを格納したデータベースであ
り、具体的には、Ｗｅｂサーバ４０上に存在するファイ
ルのうちでリモートユーザに見られても構わないファイ
ルのパスを記憶する。

【００６６】このリモートユーザに見られても構わない
ファイルとは、パスワードファイルなどのリモートユー
ザが見るべきでないファイル以外のファイルであって、
例えば、Ｗｅｂサーバ４０に対するＨＴＴＰリクエスト
のリクエスト内容として非常に高い割合を有する画像フ
ァイルなど、不正アクセスの可能性がほとんどないよう
なファイルが含まれる。

【００６７】このような正当リクエストＤＢ７２を参照
することにより、事前判定部７１は、所定の事前判定ル
ール７１ａに基づいてＨＴＴＰリクエストの見積もりを
省くことができるか否かを判定する。具体的には、ＨＴ
ＴＰリクエストが正当リクエストＤＢ７２に格納された
正当アクセスのパターンのいずれかに該当する場合に
は、該ＨＴＴＰリクエストの見積もりを省くことができ
るものと判定し、一方、ＨＴＴＰリクエストが正当リク
エストＤＢ７２に格納された正当アクセスのパターンの
いずれにも該当しない場合には、該ＨＴＴＰリクエスト
の見積もりを省くことができないものと判定する。

【００６８】そして、事前判定部７１は、見積もりを省
くことができないものと判定されたＨＴＴＰリクエスト
のみを見積部３２に出力し、見積もりを省くことができ
るものと判定されたＨＴＴＰリクエストについては、見
積部３２および判定部３４による処理を省いて、送信部
３５を介してＷｅｂサーバ４０に受け渡す。

【００６９】なお、正当リクエストＤＢ７２に格納され
る正当アクセスのパターンは、Ｗｅｂサーバ４０に新た
な画像ファイルが追加された場合などに応じて、更新部
３９により更新される。

【００７０】次に、本実施の形態３によるフィルタリン
グの処理手順について説明する。図６は、本実施の形態
３によるフィルタリングの処理手順を説明するフローチ
ャートである。同図に示すように、サーバ装置６０にお
けるリクエストフィルタ７０の受信部３１は、クライア
ント装置１０からのＨＴＴＰリクエストをＷｅｂサーバ
４０が受信する前に受信する（ステップＳ６０１）。

【００７１】そして、リクエストフィルタ７０の事前判
定部７１は、正当リクエストＤＢ７２に格納された正当
アクセスのパターンおよび所定の事前判定ルール７１ａ
に基づいてＨＴＴＰリクエストの見積もりを省くことが
できるか否かを判定する（ステップＳ６０２）。具体的
には、ＨＴＴＰリクエストが正当リクエストＤＢ７２に
格納された正当アクセスのパターンのいずれかに該当す
るか否かを判定する。

【００７２】この判定により、正当アクセスのパターン
のいずれかに該当するものと判定された場合には（ステ
ップＳ６０２肯定）、このＨＴＴＰリクエストの正当性
の見積もりを省き、リクエストフィルタ７０の送信部３
５は、ＨＴＴＰリクエストをプロセス間通信によりＷｅ
ｂサーバ４０に受け渡し（ステップＳ６０５）、Ｗｅｂ
サーバ４０は、ＨＴＴＰリクエストに応じた情報をクラ
イアント装置１０に送信するなどの正当判定時の処理を
おこなう（ステップＳ６０６）。

【００７３】これとは反対に、正当アクセスのパターン
のいずれにも該当しないものと判定された場合には（ス
テップＳ６０２否定）、このＨＴＴＰリクエストを見積
部３２に受け渡し、上記実施の形態１または２によるフ
ィルタリング処理と同様の処理をおこなう（ステップＳ
６０３〜６０８）。

【００７４】すなわち、リクエストフィルタ７０の見積
部３２は、ＨＴＴＰリクエストの正当性を見積もり（ス
テップＳ６０３）、判定部３４は、ＨＴＴＰリクエスト
をＷｅｂサーバ４０に受け渡すか否かを判定する（ステ
ップＳ６０４）。

【００７５】この判定により、正当なリクエストである
旨が見積もられたものと判定された場合には（ステップ
Ｓ６０４肯定）、リクエストフィルタ７０の送信部３５
は、ＨＴＴＰリクエストをプロセス間通信によりＷｅｂ
サーバ４０に受け渡し（ステップＳ６０５）、Ｗｅｂサ
ーバ４０は、ＨＴＴＰリクエストに応じた情報をクライ
アント装置１０に送信するなどの正当判定時の処理をお
こなう（ステップＳ６０６）。

【００７６】これとは反対に、不正なリクエストである
旨が見積もられたものと判定された場合には（ステップ
Ｓ６０４否定）、リクエストフィルタ７０の送信部３５
は、ＨＴＴＰリクエストのＷｅｂサーバ４０への受け渡
しを拒絶し（ステップＳ６０７）、リクエストフィルタ
７０の各部は、不正リクエストの破棄、格納媒体３６ｂ
への格納、外部装置５０への通報などの不正判定時の処
理をおこなう（ステップＳ６０８）。

【００７７】上述してきたように、本実施の形態３によ
れば、画像ファイルを要求するＨＴＴＰリクエストのよ
うな要求の割合は高いが攻撃性は極めて低いものについ
ては、見積部３２および判定部３４による処理を省いて
迅速な処理をおこなうことができるとともに、パスワー
ドファイルやＷｅｂサーバ４０上に存在しないファイル
を要求するＨＴＴＰリクエストのような攻撃性が高いも
のについては、見積部３２および判定部３４による処理
をおこなって、かかる攻撃を有効に防御することができ
る。

【００７８】なお、本実施の形態１〜３では、クライア
ント装置１０からのＨＴＴＰリクエストをフィルタリン
グする場合について説明したが、本発明はこれに限定さ
れるものではなく、ＦＴＰ（File Transfer Protoco
l）、ｔｅｌｎｅｔ、コンソールなど、クライアント装
置１０からＷｅｂサーバ４０に入力されるあらゆる情報
をフィルタリングする場合に同様に適用することができ
る。

【００７９】また、本実施の形態１〜３では、フィルタ
リング装置としてのリクエストフィルタ３０、７０をサ
ーバ装置２０、６０に設けた場合について説明したが、
本発明はこれに限定されるものではなく、例えば、それ
ぞれのクライアント装置側にリクエストフィルタを設け
たり、一つのリクエストフィルタにより複数のＷｅｂサ
ーバを防御するなど、クライアント装置とＷｅｂサーバ
との間にリクエストフィルタが介在するあらゆるシステ
ム構成において同様に適用することができる。

【００８０】なお、本実施の形態１〜３で説明したフィ
ルタリング方法は、あらかじめ用意されたプログラムを
パーソナル・コンピュータやワークステーションなどの
コンピュータで実行することによって実現することがで
きる。このプログラムは、インターネットなどのネット
ワークを介して配布することができる。また、このプロ
グラムは、ハードディスク、フレキシブルディスク（Ｆ
Ｄ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータ
で読み取り可能な記録媒体に記録され、コンピュータに
よって記録媒体から読み出されることによって実行する
こともできる。

【００８１】（実施の形態４）ところで、上記実施の形
態１〜３では、サーバに対する不正アクセスのパターン
を格納した不正リクエストＤＢ３３を参照することによ
って、アクセス要求の要求内容から不正アクセスと把握
できるアクセス要求を破棄する場合を説明したが、本発
明はこれに限定されるものではなく、サーバに対するア
クセス要求の統計からみて不正アクセスとみなされるア
クセス要求を破棄する場合についても同様に適用するこ
とができる。

【００８２】すなわち、サーバに対する不正アクセスと
しては、アクセス要求の要求内容から不正アクセスと把
握されるアクセス要求の他に、アクセス要求の要求内容
からは正当アクセスと把握されるが、サーバに対するア
クセス要求の統計からみて不正アクセスとみなされるべ
きアクセス要求がある。例えば、特定のクライアント装
置１０からのアクセス要求を集中的に受信している場合
や、特定の要求内容からなるアクセス要求を集中的に受
信している場合には、個々の要求内容からは正当アクセ
スと把握されたしても、アクセス要求の統計からはサー
バダウンを狙ったものと考えられるので、不正アクセス
とみなされるべきである。

【００８３】そこで、本実施の形態４では、サーバに対
するアクセス要求の統計からみて不正アクセスとみなさ
れるアクセス要求に関する情報を格納したデータベース
をも参照して正当性を見積もることによって、サーバに
対するアクセス要求の統計からみて不正アクセスとみな
されるアクセス要求を破棄するフィルタリング処理も実
行することができるようにしている。以下、本実施の形
態４に係るサーバクライアントシステムにおけるサーバ
装置の構成と、本実施の形態４によるフィルタリングの
処理手順とを説明する。

【００８４】（１）サーバ装置の構成 まず最初に、本実施の形態４に係るサーバクライアント
システムにおけるサーバ装置の構成を説明する。図７
は、本実施の形態４に係るサーバクライアントシステム
の構成を示すブロック図である。同図に示すように、本
実施の形態４におけるサーバ装置８０は、Ｗｅｂサーバ
４０と、リクエストフィルタ８１とを備え、さらに、こ
のリクエストフィルタ８１は、受信部３１と、第１見積
部８２と、不正リクエストＤＢ８３と、第１判定部８４
と、第２見積部８５と、統計的不正リクエストＤＢ８６
と、第２判定部８７と、送信部８８とを備える。

【００８５】このうち、Ｗｅｂサーバ４０および受信部
３１は、図１に示した同一符号を付している各部と同様
の機能を有する。また、第１見積部８２、不正リクエス
トＤＢ８３および第１判定部８４は、図１に示した見積
部３２、不正リクエストＤＢ３３および判定部３４と同
様の機能をそれぞれ有し、上記実施の形態１または２に
示したフィルタリング処理と同様の処理、すなわち、Ｈ
ＴＴＰリクエストの要求内容から不正リクエストと把握
できるＨＴＴＰリクエストを破棄するフィルタリング処
理（パターンに基づくフィルタリング処理）を実行する
ものである。

【００８６】すなわち、不正リクエストＤＢ８３は、サ
ーバに対する不正アクセスのパターンを格納したデータ
ベースである。また、第１見積部８２は、不正リクエス
トＤＢ８３に格納された不正アクセスのパターンおよび
所定の見積ルール８２ａに基づいてＨＴＴＰリクエスト
の正当性を見積もり、その見積結果（正当リクエスト若
しくは不正リクエストである旨の見積結果、または見積
値ＤＩ）を第１判定部８４に出力する。

【００８７】さらに、第１判定部８４は、第１見積部８
２から受け取った見積結果および所定の判定ルール８４
ａに基づいてＨＴＴＰリクエストをＷｅｂサーバ４０に
受け渡すか否か（すなわち、正当リクエストである旨が
見積もられたか否か、または見積値ＤＩが所定の閾値以
下であるか否か）を判定し、この判定結果を送信部８８
に出力するか、またはＨＴＴＰリクエストを第２見積部
８５に出力する。

【００８８】これらによって、ＨＴＴＰリクエストの要
求内容から不正リクエストと把握されたＨＴＴＰリクエ
スト（すなわち、不正リクエストである旨が見積もられ
たＨＴＴＰリクエスト、または見積値ＤＩが所定の閾値
以下でなかったＨＴＴＰリクエスト）については、ＨＴ
ＴＰリクエストをＷｅｂサーバ４０に受け渡さないもの
と判定され、不可判定が送信部８８に出力されることと
なる。

【００８９】一方、これらによって、ＨＴＴＰリクエス
トの要求内容から不正リクエストと把握されなかったＨ
ＴＴＰリクエスト（すなわち、正当リクエストである旨
が見積もられたＨＴＴＰリクエスト、または見積値ＤＩ
が所定の閾値以下であったＨＴＴＰリクエスト）につい
ては、Ｗｅｂサーバ４０に対するＨＴＴＰリクエストの
統計からみて不正リクエストとみなされるＨＴＴＰリク
エストを破棄するフィルタリング処理（統計に基づくフ
ィルタリング処理）を実行するために、第２見積部８５
に出力されることとなる。

【００９０】第２見積部８５は、統計的不正リクエスト
ＤＢ８６に格納された統計的情報および所定の見積ルー
ル８５ａに基づいてＨＴＴＰリクエストの正当性を見積
もり、その見積結果を第２判定部８７に出力する処理部
である。

【００９１】ここで、上記の統計的不正リクエストＤＢ
８６は、サーバに対するアクセス要求の統計からみて不
正アクセスとみなされるアクセス要求に関する情報を格
納したデータベースである。具体的には、Ｗｅｂサーバ
４０に対してＨＴＴＰリクエストを送信したクライアン
ト装置１０のうち、所定時間内のリクエスト数が所定数
を超えたクライアント装置１０の送信元情報（ＩＰアド
レス）や、Ｗｅｂサーバ４０に対して送信されたＨＴＴ
Ｐリクエストの要求内容のうち、所定時間内のリクエス
ト数が所定数を超えた要求内容を格納する。

【００９２】このような送信元情報や要求内容を格納す
ることとしたのは、特定のクライアント装置１０からの
ＨＴＴＰリクエストを短時間で集中的に受信しているよ
うな場合や、特定の要求内容のＨＴＴＰリクエストを短
時間で集中的に受信しているような場合には、サーバダ
ウンを狙った不正リクエストとみなすことができるから
である。

【００９３】そして、第２見積部８５は、このような情
報を格納した統計的不正リクエストＤＢ８６を参照する
ことにより、所定の見積ルール８５ａに基づいてＨＴＴ
Ｐリクエストの正当性の見積もりをおこなう。具体的に
は、ＨＴＴＰリクエストの送信元情報が統計的不正リク
エストＤＢ８６に格納された送信元情報のいずれかに該
当する場合、またはＨＴＴＰリクエストの要求内容が統
計的不正リクエストＤＢ８６に格納された要求内容のい
ずれかに該当する場合には、該ＨＴＴＰリクエストは不
正リクエストである旨を見積もる。

【００９４】一方、ＨＴＴＰリクエストの送信元情報が
統計的不正リクエストＤＢ８６に格納された送信元情報
のいずれにも該当しない場合、およびＨＴＴＰリクエス
トの要求内容が統計的不正リクエストＤＢ８６に格納さ
れた要求内容のいずれかにも該当しない場合には、第２
見積部８５は、該ＨＴＴＰリクエストは正当リクエスト
である旨を見積もる。

【００９５】第２判定部８７は、第２見積部８５から受
け取った見積結果および所定の判定ルール８７ａに基づ
いてＨＴＴＰリクエストをＷｅｂサーバ４０に受け渡す
か否かを判定し、この判定結果を送信部８８に出力する
処理部である。具体的には、第２見積部８５から不正リ
クエストである旨の見積結果を受け取った場合には、Ｈ
ＴＴＰリクエストをＷｅｂサーバ４０に受け渡さないも
のと判定する（不可判定）。一方、第２見積部８５から
正当リクエストである旨の見積結果を受け取った場合に
は、ＨＴＴＰリクエストをＷｅｂサーバ４０に受け渡す
ものと判定する（可判定）。

【００９６】送信部８８は、第１判定部８４および／ま
たは第２判定部８７から受け取った判定結果に基づい
て、受信部３１から受け取ったＨＴＴＰリクエストの送
信を制御するアクセス要求受渡手段である。具体的に
は、第２判定部８７から可判定を受け取った場合には、
ＨＴＴＰリクエストをプロセス間通信によりＷｅｂサー
バ４０に受け渡す。一方、第１判定部８４または第２判
定部８７から不可判定を受け取った場合には、ＨＴＴＰ
リクエストのＷｅｂサーバ４０への受け渡しを拒絶し
て、この不正リクエストを破棄する。

【００９７】すなわち、送信部８８は、第１判定部８４
および第２判定部８７によりＷｅｂサーバ４０に受け渡
すものと判定されたＨＴＴＰリクエスト（すなわち、Ｈ
ＴＴＰリクエストの要求内容から不正リクエストと把握
されず、かつ、Ｗｅｂサーバ４０に対するＨＴＴＰリク
エストの統計からみて不正リクエストとみなされなかっ
たＨＴＴＰリクエスト）のみを、正当なＨＴＴＰリクエ
ストとしてＷｅｂサーバ４０に受け渡す。

【００９８】なお、図７には図示していないが、本実施
の形態４のリクエストフィルタ８１は、図１に示した実
施の形態１のリクエストフィルタ３０と同様、ログ管理
部、外部通信部、外部情報取得部および更新部を備える
ものである。すなわち、本実施の形態４のリクエストフ
ィルタ８１においては、実施の形態１のリクエストフィ
ルタ３０と同様、ログ管理部は、所定の格納ルールに基
づいて、送信部８８によりＷｅｂサーバ４０に受け渡さ
れなかったＨＴＴＰリクエストに係る情報を所定の格納
媒体に格納して管理する。

【００９９】また、外部通信部は、所定の通報ルールに
基づいて、送信部８８によりＷｅｂサーバ４０に受け渡
されなかったＨＴＴＰリクエストに係る情報を外部装置
に通報する。さらに、外部情報取得部は、所定の取得ル
ールに基づいて、更新部による更新処理に用いられる情
報を、外部装置やＷｅｂサーバ４０などのリクエストフ
ィルタ８１の外部から能動的または受動的に取得する。

【０１００】そして、更新部は、所定の更新ルールに基
づいて、不正リクエストＤＢ３３、見積ルール３２ａ、
判定ルール３４ａ、見積ルール８５ａ、判定ルール８７
ａ、管理ルール、通報ルール、取得ルールまたは更新ル
ールに格納された情報を更新するとともに、所定の更新
ルールおよびＷｅｂサーバ４０に対するアクセス要求の
統計に基づいて、統計的不正リクエストＤＢ８６に格納
された情報も更新する。

【０１０１】（２）フィルタリング処理 次に、本実施の形態４によるフィルタリングの処理手順
について説明する。図８は、本実施の形態４によるフィ
ルタリングの処理手順を説明するフローチャートであ
る。同図に示すように、サーバ装置８０におけるリクエ
ストフィルタ８１の受信部３１は、クライアント装置１
０からのＨＴＴＰリクエストをＷｅｂサーバ４０が受信
する前に受信する（ステップＳ８０１）。

【０１０２】続いて、リクエストフィルタ８１は、この
ＨＴＴＰリクエストを第１見積部８２に受け渡し、上記
実施の形態１または２によるフィルタリング処理と同様
の処理、すなわち、パターンに基づくフィルタリング処
理を実行する（ステップＳ８０２、Ｓ８０３、Ｓ８０８
およびＳ８０９）。

【０１０３】すなわち、第１見積部８２は、不正リクエ
ストＤＢ８３に格納されたサーバに対する不正アクセス
のパターンに基づいて、ＨＴＴＰリクエストの正当性を
見積もり（ステップＳ８０２）、第１判定部８４は、Ｈ
ＴＴＰリクエストをＷｅｂサーバ４０に受け渡すか否か
（すなわち、正当リクエストである旨が見積もられたか
否か、または見積値ＤＩが所定の閾値以下であるか否
か）を判定する（ステップＳ８０３）。

【０１０４】この判定により、ＨＴＴＰリクエストをＷ
ｅｂサーバ４０に受け渡さないものと判定された場合
（すなわち、不正リクエストである旨が見積もられた場
合、または見積値ＤＩが所定の閾値以上である場合）に
は（ステップＳ８０３否定）、送信部８８は、ＨＴＴＰ
リクエストのＷｅｂサーバ４０への受け渡しを拒絶する
（ステップＳ８０８）。さらに、リクエストフィルタ８
１の各部は、不正リクエストの破棄、格納媒体への格
納、外部装置への通報などの不正判定時の処理をおこな
う（ステップＳ８０９）。

【０１０５】これとは反対に、ＨＴＴＰリクエストをＷ
ｅｂサーバ４０に受け渡すものと判定された場合（すな
わち、正当リクエストである旨が見積もられた場合、ま
たは見積値ＤＩが所定の閾値以下である場合）には（ス
テップＳ８０３肯定）、ＨＴＴＰリクエストは、統計に
基づくフィルタリング処理を実行するために、第２見積
部８５に出力される。そして、第２見積部８５は、統計
的不正リクエストＤＢ８６に格納された統計的情報およ
び所定の見積ルール８５ａに基づいてＨＴＴＰリクエス
トの正当性を見積もる（ステップＳ８０４）。

【０１０６】具体的には、第２見積部８５は、ＨＴＴＰ
リクエストの送信元情報が統計的不正リクエストＤＢ８
６に格納された送信元情報のいずれかに該当する場合、
またはＨＴＴＰリクエストの要求内容が統計的不正リク
エストＤＢ８６に格納された要求内容のいずれかに該当
する場合には、該ＨＴＴＰリクエストは不正リクエスト
である旨を見積もる。一方、ＨＴＴＰリクエストの送信
元情報が統計的不正リクエストＤＢ８６に格納された送
信元情報のいずれにも該当しない場合、およびＨＴＴＰ
リクエストの要求内容が統計的不正リクエストＤＢ８６
に格納された要求内容のいずれかにも該当しない場合に
は、第２見積部８５は、該ＨＴＴＰリクエストは正当リ
クエストである旨を見積もる。

【０１０７】その後、第２判定部８７は、第２見積部８
５から受け取った見積結果および所定の判定ルール８７
ａに基づいてＨＴＴＰリクエストをＷｅｂサーバ４０に
受け渡すか否か、すなわち正当リクエストである旨が見
積もられたか否かを判定する（ステップＳ８０５）。

【０１０８】この判定により、正当リクエストである旨
が見積もられた場合には（ステップＳ８０５肯定）、送
信部８８は、ＨＴＴＰリクエストをプロセス間通信によ
りＷｅｂサーバ４０に受け渡し（ステップＳ８０６）、
Ｗｅｂサーバ４０は、ＨＴＴＰリクエストに応じた情報
をクライアント装置１０に送信するなどの正当判定時の
処理をおこなう（ステップＳ８０７）。

【０１０９】これとは反対に、不正リクエストである旨
が見積もられた場合には（ステップＳ８０５否定）、送
信部８８は、ＨＴＴＰリクエストのＷｅｂサーバ４０へ
の受け渡しを拒絶し（ステップＳ８０８）、リクエスト
フィルタ８１の各部は、不正リクエストの破棄、格納媒
体への格納、外部装置への通報などの不正判定時の処理
をおこなう（ステップＳ８０９）。

【０１１０】上記した一連の処理によって、ＨＴＴＰリ
クエストの要求内容から不正リクエストと把握されず、
かつ、Ｗｅｂサーバ４０に対するＨＴＴＰリクエストの
統計からみて不正リクエストとみなされなかったＨＴＴ
Ｐリクエストのみが、正当なＨＴＴＰリクエストとして
Ｗｅｂサーバ４０に受け渡されることとなる。

【０１１１】上述してきたように、本実施の形態４によ
れば、サーバに対する不正アクセスのパターンを格納し
た不正リクエストＤＢ８３を参照して正当性を見積もる
とともに、サーバに対するアクセス要求の統計からみて
不正アクセスとみなされるアクセス要求に関する情報を
格納した統計的不正リクエストＤＢ８６をも参照して正
当性を見積もることとしたので、アクセス要求の要求内
容から不正アクセスと把握されるアクセス要求のみなら
ず、サーバに対するアクセス要求の統計からみて不正ア
クセスとみなされるアクセス要求をも破棄することがで
きる。これによって、クライアント装置１０による不正
アクセスからＷｅｂサーバ４０を一層確実に防御するこ
とができる。

【０１１２】（３）本実施の形態４の変形例 さて、これまで本実施の形態４について説明したが、本
発明は上述した実施の形態４以外にも、上記特許請求の
範囲に記載した技術的思想の範囲内において種々の異な
る実施の形態にて実施されてもよいものである。

【０１１３】例えば、本実施の形態４では、統計的不正
リクエストＤＢ８６が所定の送信元情報および要求内容
を格納する場合を説明したが、本発明はこれに限定され
るものではなく、統計的不正リクエストＤＢ８６が所定
の送信元情報または要求内容のいずれか一方を格納する
場合にも同様に適用することができる。

【０１１４】すなわち、統計的不正リクエストＤＢ８６
が所定の送信元情報のみを記憶する場合には、第２見積
部８５は、ＨＴＴＰリクエストの送信元情報が統計的不
正リクエストＤＢ８６に格納された送信元情報のいずれ
かに該当することを条件に該アクセス要求は不正アクセ
スである旨を見積もるとともに、いずれにも該当しない
ことを条件に該アクセス要求は正当アクセスである旨を
見積もることとなる。

【０１１５】一方、統計的不正リクエストＤＢ８６が所
定の要求内容のみを記憶する場合には、第２見積部８５
は、ＨＴＴＰリクエストの要求内容が統計的不正リクエ
ストＤＢ８６に格納された要求内容のいずれかに該当す
ることを条件に該アクセス要求は不正アクセスである旨
を見積もるとともに、いずれにも該当しないことを条件
に該アクセス要求は正当アクセスである旨を見積もるこ
ととなる。

【０１１６】また、本実施の形態４では、ＨＴＴＰリク
エストの送信元情報や要求内容が、統計的不正リクエス
トＤＢ８６に格納された所定の送信元情報や要求内容に
該当するか否かによって不正アクセスであるか否かを判
定する場合について説明したが、本発明はこれに限定さ
れるものではなく、統計的不正リクエストＤＢ８６に格
納された所定の送信元情報や要求内容に該当する度合に
応じて不正アクセスであるか否かを判定する場合にも同
様に適用することができる。

【０１１７】すなわち、この場合には、上記実施の形態
２と同様、統計的不正リクエストＤＢ８６に格納された
所定の送信元情報や要求内容にそれぞれ危険度数を付与
しておき、第２見積部８５は、ＨＴＴＰリクエストの送
信元情報や要求内容に対応する危険度数を用いて、ＨＴ
ＴＰリクエストの危険度を示すＤＩ（Danger Index）
と呼ばれる見積値を算出し、第２判定部８７は、この算
出された見積値ＤＩと所定の閾値とを比較して不正アク
セスであるか否かを判定することとなる。

【０１１８】また、本実施の形態４では、第２見積部８
５が、第１判定部８４によりＷｅｂサーバ４０に受け渡
すものと判定されたＨＴＴＰリクエストのみについて正
当性を見積もる場合、すなわち、パターンに基づくフィ
ルタリング処理を実行した後に、統計に基づくフィルタ
リング処理を実行する場合を説明したが、本発明はこれ
に限定されるものではない。

【０１１９】例えば、第１見積部８２が、第２判定部８
７によりＷｅｂサーバ４０に受け渡すものと判定された
ＨＴＴＰリクエストのみについて正当性を見積もる場合
にも同様に適用することができる。この場合には、統計
に基づくフィルタリング処理を実行した後に、パターン
に基づくフィルタリング処理を実行することとなる。

【０１２０】また、例えば、上記実施の形態３で説明し
た事前判定処理を追加し、事前判定部が、第２判定部８
７によりＷｅｂサーバ４０に受け渡すものと判定された
アクセス要求のみについて事前判定処理をおこなう場合
にも同様に適用することができる。この場合には、統計
に基づくフィルタリング処理を実行した後に、事前判定
処理がおこなわれ、この事前判定処理に続いて、パター
ンに基づくフィルタリング処理を実行することとなる。

【０１２１】なお、事前判定処理を追加する場合には、
統計に基づくフィルタリング処理よりも後に事前判定処
理をおこなう必要がある。この統計に基づくフィルタリ
ング処理よりも前に事前判定処理をおこなうと、上記の
ようなＨＴＴＰリクエストが正当パターンデータベース
に格納された正当アクセスのパターンのいずれかに該当
するものと判定されてしまい、統計に基づくフィルタリ
ング処理によって破棄されることなく、Ｗｅｂサーバ４
０に受け渡されるおそれが生じるからである。

【０１２２】さらに、本発明は、パターンに基づくフィ
ルタリング処理や統計に基づくフィルタリング処理を階
層的に実行する場合に限定されず、これらの各処理を並
列的に実行する場合にも同様に適用することができる。
すなわち、この場合には、図９に示すように、サーバ装
置９０のリクエストフィルタ９１は、受信部３１と送信
部８８との間に、パターンに基づくフィルタリング処理
を実行する第１見積部８２および第１判定部８４と、統
計に基づくフィルタリング処理を実行する第２見積部８
５および第２判定部８７とを、並列的に備えることとな
る。このようなリクエストフィルタ９１を構成すること
により、不正アクセスであるか否かを一層迅速に判定す
ることが可能になる。

【０１２３】（実施の形態５）ところで、上記実施の形
態４では、統計的不正リクエストＤＢ８６を参照して統
計に基づくフィルタリング処理を実行する場合を説明し
たが、本発明は、この統計的不正リクエストＤＢ８６に
格納された情報を動的に更新しながら、フィルタリング
処理を実行することもできる。

【０１２４】すなわち、実施の形態４では、第２見積部
８５は、ＨＴＴＰリクエストの送信元情報が統計的不正
リクエストＤＢ８６に格納された送信元情報のいずれか
に該当する場合、またはＨＴＴＰリクエストの要求内容
が統計的不正リクエストＤＢ８６に格納された要求内容
のいずれかに該当する場合には、該ＨＴＴＰリクエスト
は不正リクエストである旨を見積もることとしている。

【０１２５】しかしながら、特定のクライアント装置１
０（送信元情報）からのＨＴＴＰリクエストや特定の要
求内容のＨＴＴＰリクエストの受信が急激に増加してい
るような状況において、この特定の送信元情報や要求内
容が統計的不正リクエストＤＢ８６にリアルタイムで追
加されなかったのでは、サーバに対するＨＴＴＰリクエ
ストの統計からみて不正リクエストとみなされるＨＴＴ
ＰリクエストがＷｅｂサーバ４０に送信されてしまう。

【０１２６】その一方で、統計的不正リクエストＤＢ８
６に格納された特定の送信元情報や要求内容のＨＴＴＰ
リクエストの受信が減少しているような状況において、
この特定の送信元情報や要求内容が統計的不正リクエス
トＤＢ８６からリアルタイムで削除されなかったので
は、サーバに対するＨＴＴＰリクエストの統計からみて
不正リクエストとはみなされないＨＴＴＰリクエストま
でが破棄されてしまう。

【０１２７】そこで、本実施の形態５では、統計的不正
リクエストＤＢ８６に格納された情報を動的に更新する
ことによって、サーバに対するＨＴＴＰリクエストの統
計からみて不正リクエストとみなされるＨＴＴＰリクエ
ストを精度良く確実に破棄することができるようにして
いる。以下、本実施の形態５に係るサーバクライアント
システムにおけるサーバ装置の構成を説明する。

【０１２８】図１０は、本実施の形態５に係るサーバク
ライアントシステムの構成を示すブロック図である。な
お、図１または図７に示した各部と同様の機能を有する
部位には同一符号を付すこととしてその詳細な説明を省
略し、本実施の形態５の特徴部分であるアクセス管理部
１０２および動的更新部１０３について説明する。

【０１２９】サーバ装置１００におけるリクエストフィ
ルタ１０１のアクセス管理部１０２は、サーバ装置１０
０に対して送信されたＨＴＴＰリクエストの送信元情
報、要求内容および送信時刻を履歴として管理するメモ
リである。

【０１３０】そして、動的更新部１０３は、アクセス管
理部１０２により管理される情報および所定の更新ルー
ル１０３ａに基づいて、統計的不正リクエストＤＢ８６
に格納された情報を動的に更新する処理部である。具体
的には、アクセス管理部１０２を参照し、特定のクライ
アント装置１０からＷｅｂサーバ４０に対して送信され
た所定時間内のＨＴＴＰリクエスト数が所定の上限数を
超えた場合には、この送信元情報を統計的不正リクエス
トＤＢ８６に追加する。

【０１３１】その一方で、動的更新部１０３は、統計的
不正リクエストＤＢ８６に格納された送信元情報のクラ
イアント装置１０からＷｅｂサーバ４０に対して送信さ
れた所定時間内のＨＴＴＰリクエスト数が所定の下限数
を下回った場合には、この送信元情報を統計的不正リク
エストＤＢ８６から削除する。

【０１３２】さらに、動的更新部１０３は、アクセス管
理部１０２を参照し、Ｗｅｂサーバ４０に対して送信さ
れた特定のＨＴＴＰリクエストのリクエスト数が所定時
間内に所定の上限数を超えた場合には、このＨＴＴＰリ
クエストの要求内容を統計的不正リクエストＤＢ８６に
追加する一方、統計的不正リクエストＤＢ８６に格納さ
れた要求内容のＨＴＴＰリクエストのリクエスト数が所
定時間内に所定の下限数を下回った場合には、この要求
内容を統計的不正リクエストＤＢ８６から削除する。

【０１３３】なお、上記した「所定の上限数」は、これ
を超えた場合にはサーバダウンを狙った不正アクセスと
みなれるべきという閾値であり、一方、上記した「所定
の下限数」は、これを下回った場合にはサーバダウンを
狙った不正アクセスとみなれるべきでないという閾値で
ある。そして、これらの上限数および下限数は、Ｗｅｂ
サーバ４０の処理能力などを考慮して設定される。

【０１３４】上述してきたように、本実施の形態５によ
れば、所定時間内にＷｅｂサーバ４０に対してＨＴＴＰ
リクエストを送信した各クライアント装置１０ごとのリ
クエスト数や、所定時間内にＷｅｂサーバ４０に対して
送信されたＨＴＴＰリクエストの各要求内容ごとのリク
エスト数に応じて、統計的不正リクエストＤＢ８６に格
納される送信元情報や要求内容を追加したり削除するこ
ととしたので、Ｗｅｂサーバ４０に対するＨＴＴＰリク
エストの統計からみて不正リクエストとみなされるＨＴ
ＴＰリクエストを精度良く確実に破棄することができ
る。

【０１３５】なお、本実施の形態５では、統計的不正リ
クエストＤＢ８６に格納される送信元情報および要求内
容をともに更新する場合を説明したが、本発明はこれに
限定されるものではなく、統計的不正リクエストＤＢ８
６に送信元情報または要求内容のいずれか一方を格納す
る場合には、格納される送信元情報または要求内容のみ
を追加したり削除するなど、統計的不正リクエストＤＢ
８６に格納される情報に応じて更新することができる。

【０１３６】また、本実施の形態５では、アクセス管理
部１０２のみを参照して、統計的不正リクエストＤＢ８
６を動的に更新する場合を説明したが、本発明はこれに
限定されるものではなく、例えば、ログ管理部３６およ
びアクセス管理部１０２の両者を参照して、統計的不正
リクエストＤＢ８６を動的に更新する場合にも同様に適
用することができる。

【０１３７】すなわち、ログ管理部３６に追加された送
信元情報を統計的不正リクエストＤＢ８６にも追加した
り、また、ログ管理部３６に格納されている送信元情報
については、統計的不正リクエストＤＢ８６において高
度の危険度数を付与したり、さらに、リクエスト数が所
定の下限値を下回った場合でも、統計的不正リクエスト
ＤＢ８６から削除しないなど、ログ管理部３６をも参照
して統計的不正リクエストＤＢ８６を動的に更新するこ
とができる。

【０１３８】（実施の形態６）ところで、上記実施の形
態１〜５では、クライアント装置１０から送信されたＨ
ＴＴＰリクエストに対して種々の見積もりをおこなって
不正アクセスを破棄する場合を説明したが、本発明はこ
れに限定されるものではなく、ＨＴＴＰリクエストに応
じてＷｅｂサーバ４０からクライアント装置１０に送信
されるレスポンスに対しても、その正当性を見積もって
不正なレスポンスを破棄することもできる。

【０１３９】すなわち、上記実施の形態１〜５では、不
正リクエストのパターンを不正リクエストＤＢ３３など
に格納し、クライアント装置１０からのＨＴＴＰリクエ
ストが不正リクエストのパターンに一致するか否かなど
によって不正アクセスであるか否かを判定したが、不正
リクエストのなかには、パターンとして記述し難い不正
リクエストもある。例えば、Ｗｅｂサーバ４０が所有し
ないファイルを要求するＨＴＴＰリクエストを送信する
ことによって、ディレクトリ情報など、Ｗｅｂサーバ４
０の外部に漏れてはいけない秘匿情報をレスポンスとし
て受信しようとする不正アクセスなどである。

【０１４０】このような不正アクセスは、Ｗｅｂサーバ
４０が所有しないファイルを要求するものであるとこ
ろ、パターンとして記述し難いため、不正リクエストの
パターンに一致するか否かなどを見積もるだけでは、こ
れを不正アクセスと判定することができない。一方、こ
のような不正アクセスに応じてＷｅｂサーバ４０からク
ライアント装置１０に送信されるレスポンスには、ディ
レクトリ情報など、Ｗｅｂサーバ４０の外部に漏れては
いけない秘匿情報が含まれるので、このような秘匿情報
がレスポンスに含まれるか否かを見積もれば、パターン
として記述し難い不正アクセスに対しても対応すること
ができると考えられる。

【０１４１】そこで、本実施の形態６では、クライアン
ト装置１０に対して送信されるべきでない不正レスポン
スのパターンを格納したデータベースを参照して、レス
ポンスの正当性を見積もることによって、パターンとし
て記述し難い不正アクセスに応じてクライアント装置１
０に送信されようとする不正なレスポンスをも破棄する
ことができるようにしている。以下、本実施の形態６に
係るサーバクライアントシステムにおけるサーバ装置の
構成と、本実施の形態６によるフィルタリングの処理手
順とを説明する。

【０１４２】（１）サーバ装置の構成 まず最初に、本実施の形態６に係るサーバクライアント
システムにおけるサーバ装置の構成を説明する。図１１
は、本実施の形態６に係るサーバクライアントシステム
の構成を示すブロック図である。同図に示すように、本
実施の形態６におけるサーバ装置１１０は、Ｗｅｂサー
バ４０と、リクエストフィルタ１１１とを備え、さら
に、このリクエストフィルタ１１１は、受信部３１と、
見積部３２と、不正リクエストＤＢ３３と、判定部３４
と、送信部３５と、レスポンス受信部１１２と、レスポ
ンス見積部１１３と、不正レスポンスＤＢ１１４と、レ
スポンス判定部１１５と、レスポンス送信部１１６とを
備える。

【０１４３】このうち、受信部３１、見積部３２、不正
リクエストＤＢ３３、判定部３４および送信部３５は、
図１に示した同一符号を付している各部と同様の機能を
有し、上記実施の形態１または２に示したフィルタリン
グ処理と同様の処理、すなわち、パターンに基づくフィ
ルタリング処理を実行するものである。

【０１４４】ところで、Ｗｅｂサーバ４０が所有しない
ファイルを要求するＨＴＴＰリクエストなど、不正アク
セスのパターンとして記述することが困難なＨＴＴＰリ
クエストについては、不正リクエストＤＢ３３にはパタ
ーンとして格納されないので、不正リクエストとして破
棄されることなく、Ｗｅｂサーバ４０に送信されること
となる。しかしながら、かかる不正リクエストに応じて
Ｗｅｂサーバ４０からクライアント装置１０に送信され
ようとするレスポンスは、以下に説明する各部の処理に
よって、不正なレスポンスとして破棄される。

【０１４５】レスポンス受信部１１２は、Ｗｅｂサーバ
４０からのレスポンスをクライアント装置１０に送信す
る前に受信する処理部である。なお、レスポンス受信部
１１２によりＷｅｂサーバ４０から受信したレスポンス
は、レスポンス見積部１１３およびレスポンス送信部１
１６に出力される。

【０１４６】レスポンス見積部１１３は、不正レスポン
スＤＢ１１４に格納された不正レスポンスのパターンお
よび所定の見積ルール１１３ａに基づいてレスポンスの
正当性を見積もり、その見積結果をレスポンス判定部１
１５に出力する処理部である。

【０１４７】ここで、上記の不正レスポンスＤＢ１１４
は、ＨＴＴＰリクエストに応じてＷｅｂサーバ４０から
クライアント装置１０に対してサービスとして送信され
るレスポンスのうち、クライアント装置１０に対して送
信されるべきでない不正レスポンスのパターンを格納し
たデータベースである。具体的には、ディレクトリ情報
など、Ｗｅｂサーバ４０の外部に漏れてはいけない秘匿
情報をパターンとして記憶する。

【０１４８】これらの秘匿情報をパターンとして記憶す
ることとしたのは、Ｗｅｂサーバ４０が所有しないファ
イルを要求するＨＴＴＰリクエストに対するレスポンス
として、これらの秘匿情報がクライアント装置１０に送
信されるおそれがあるからである。

【０１４９】そして、レスポンス見積部１１３は、この
ような秘匿情報を格納した不正レスポンスＤＢ１１４を
参照することにより、所定の見積ルール１１３ａに基づ
いてレスポンスの正当性の見積もりをおこなう。具体的
には、レスポンスが不正レスポンスＤＢ１１４に格納さ
れた秘匿情報パターンのいずれかに該当する場合には、
該レスポンスは不正レスポンスである旨を見積もり、一
方、レスポンスが不正レスポンスＤＢ１１４に格納され
た秘匿情報パターンのいずれにも該当しない場合には、
該レスポンスは正当レスポンスである旨を見積もる。

【０１５０】レスポンス判定部１１５は、レスポンス見
積部１１３から受け取った見積結果および所定の判定ル
ール１１５ａに基づいてレスポンスをクライアント装置
１０に送信するか否かを判定し、この判定結果をレスポ
ンス送信部１１６に出力する処理部である。具体的に
は、レスポンス見積部１１３から不正レスポンスである
旨の見積結果を受け取った場合には、レスポンスをクラ
イアント装置１０に送信しないものと判定し（不可判
定）、一方、レスポンス見積部１１３から正当レスポン
スである旨の見積結果を受け取った場合には、レスポン
スをクライアント装置１０に送信するものと判定する
（可判定）。

【０１５１】レスポンス送信部１１６は、レスポンス判
定部１１５から受け取った判定結果に基づいて、レスポ
ンス受信部１１２から受け取ったレスポンスの送信を制
御する処理部である。具体的には、レスポンス判定部１
１５から可判定を受け取った場合には、レスポンスをネ
ットワーク１を介してクライアント装置１０に送信す
る。一方、レスポンス判定部１１５から不可判定を受け
取った場合には、レスポンスのクライアント装置１０へ
の送信を拒絶して、このレスポンスを不正レスポンスと
して破棄する。

【０１５２】なお、図７には図示していないが、本実施
の形態６のリクエストフィルタ１１１は、図１に示した
実施の形態１のリクエストフィルタ３０と同様、ログ管
理部、外部通信部、外部情報取得部および更新部を備え
るものである。すなわち、本実施の形態６のリクエスト
フィルタ１１１においては、実施の形態１のリクエスト
フィルタ３０と同様、ログ管理部は、所定の格納ルール
に基づいて、レスポンス送信部１１６によりクライアン
ト装置１０に送信されなかったレスポンスに係る情報
や、このレスポンスの起因となったＨＴＴＰリクエスト
に係る情報を所定の格納媒体に格納して管理する。

【０１５３】また、外部通信部は、所定の通報ルールに
基づいて、レスポンス送信部１１６によりクライアント
装置１０に送信されなかったレスポンスに係る情報や、
このレスポンスの起因となったＨＴＴＰリクエストに係
る情報を外部装置に通報する。さらに、外部情報取得部
は、所定の取得ルールに基づいて、更新部による更新処
理に用いられる情報を、外部装置やＷｅｂサーバ４０な
どのリクエストフィルタ１１１の外部から能動的または
受動的に取得する。

【０１５４】そして、更新部は、所定の更新ルールに基
づいて、不正レスポンスＤＢ１１４、見積ルール１１３
ａ、判定ルール１１５ａ、管理ルール、通報ルール、取
得ルールまたは更新ルールに格納された情報を更新す
る。例えば、外部情報取得部から新たな不正レスポンス
のパターンを受け付けた場合には、この不正レスポンス
のパターンを不正レスポンスＤＢ１１４に格納し、また
見積ルール１１３ａの変更指示情報を受け付けた場合に
は、この変更指示情報に応じて見積ルール１１３ａを変
更する。

【０１５５】（２）フィルタリング処理 次に、本実施の形態６によるフィルタリングの処理手順
について説明する。図１２は、本実施の形態６によるフ
ィルタリングの処理手順を説明するフローチャートであ
る。同図に示すように、サーバ装置１１０におけるリク
エストフィルタ１１１の受信部３１は、クライアント装
置１０からのＨＴＴＰリクエストをＷｅｂサーバ４０が
受信する前に受信する（ステップＳ１２０１）。

【０１５６】続いて、リクエストフィルタ１１１は、こ
のＨＴＴＰリクエストを見積部３２に受け渡し、上記実
施の形態１または２によるフィルタリング処理と同様の
処理、すなわち、パターンに基づくフィルタリング処理
を実行する（ステップＳ１２０２〜Ｓ１２０５、ステッ
プＳ１２１０およびＳ１２１１）。

【０１５７】すなわち、見積部３２は、不正リクエスト
ＤＢ３３に格納されたサーバに対する不正アクセスのパ
ターンに基づいて、ＨＴＴＰリクエストの正当性を見積
もり（ステップＳ１２０２）、判定部３４は、ＨＴＴＰ
リクエストをＷｅｂサーバ４０に受け渡すか否か（すな
わち、正当リクエストである旨が見積もられたか否か、
または見積値ＤＩが所定の閾値以下であるか否か）を判
定する（ステップＳ１２０３）。

【０１５８】この判定により、ＨＴＴＰリクエストをＷ
ｅｂサーバ４０に受け渡さないものと判定された場合
（すなわち、不正リクエストである旨が見積もられた場
合、または見積値ＤＩが所定の閾値以上である場合）に
は（ステップＳ１２０３否定）、送信部３５は、ＨＴＴ
ＰリクエストのＷｅｂサーバ４０への受け渡しを拒絶す
る（ステップＳ１２１０）。さらに、リクエストフィル
タ１１１の各部は、不正リクエストの破棄、格納媒体へ
の格納、外部装置への通報などの不正判定時の処理をお
こなう（ステップＳ１２１１）。

【０１５９】これとは反対に、正当リクエストである旨
が見積もられた場合には（ステップＳ１２０３肯定）、
送信部３５は、ＨＴＴＰリクエストをプロセス間通信に
よりＷｅｂサーバ４０に送信し（ステップＳ１２０
４）、Ｗｅｂサーバ４０は、ＨＴＴＰリクエストに応じ
たレスポンスを作成するなど、正当判定時の処理をおこ
なう（ステップＳ１２０５）。

【０１６０】続いて、リクエストフィルタ１１１のレス
ポンス受信部１１２は、Ｗｅｂサーバ４０からレスポン
スを受信する（ステップＳ１２０６）。そして、レスポ
ンス見積部１１３は、不正レスポンスＤＢ１１４に格納
された秘匿情報パターンおよび所定の見積ルール１１３
ａに基づいてレスポンスの正当性を見積もる（ステップ
Ｓ１２０７）。具体的には、レスポンスが不正レスポン
スＤＢ１１４に格納された秘匿情報パターンのいずれか
に該当する場合には、該レスポンスは不正レスポンスで
ある旨を見積もり、一方、レスポンスが不正レスポンス
ＤＢ１１４に格納された秘匿情報パターンのいずれにも
該当しない場合には、該レスポンスは正当レスポンスで
ある旨を見積もる。

【０１６１】その後、レスポンス判定部１１５は、レス
ポンス見積部１１３から受け取った見積結果および所定
の判定ルール１１５ａに基づいて、レスポンスをクライ
アント装置１０に送信するか否かを判定する（ステップ
Ｓ１２０８）。具体的には、正当なレスポンスとして見
積もられたか否かを判定する。

【０１６２】この判定により、正当なレスポンスである
旨が見積もられたものと判定された場合には（ステップ
Ｓ１２０８肯定）、レスポンス送信部１１６は、レスポ
ンスをネットワーク１を介してクライアント装置１０に
送信する（ステップＳ１２０９）。

【０１６３】これとは反対に、不正なレスポンスである
旨が見積もられたものと判定された場合には（ステップ
Ｓ１２０８否定）、レスポンス送信部１１６は、レスポ
ンスのクライアント装置１０への送信を拒絶し（ステッ
プＳ１２１２）、リクエストフィルタ１１１の各部は、
不正レスポンスの破棄、格納媒体への格納、外部装置へ
の通報など、不正判定時の処理をおこなう（ステップＳ
１２１３）。

【０１６４】上記した一連の処理によって、正当なアク
セスに応じた正当なレスポンス、すなわち不正アクセス
として破棄されず、かつ、不正レスポンスとして破棄さ
れなかったレスポンスのみが、クライアント装置１０に
送信されることとなる。

【０１６５】上述してきたように、本実施の形態６によ
れば、クライアント装置１０から送信されたＨＴＴＰリ
クエストに対して種々の見積もりをおこなって不正アク
セスを破棄するとともに、ＨＴＴＰリクエストに応じて
Ｗｅｂサーバ４０からクライアント装置１０に送信され
るレスポンスに対しても、その正当性を見積もって不正
なレスポンスを破棄することとしたので、不正アクセス
のパターンとして記述される不正アクセスのみならず、
不正アクセスのパターンとして記述し難い不正アクセス
に応じた不正なレスポンスをも破棄することができる。
これによって、クライアント装置１０による不正アクセ
スからＷｅｂサーバ４０を一層確実に防御することがで
きる。

【０１６６】（３）本実施の形態６の変形例 さて、これまで本実施の形態６について説明したが、本
発明は上述した実施の形態６以外にも、上記特許請求の
範囲に記載した技術的思想の範囲内において種々の異な
る実施の形態にて実施されてもよいものである。

【０１６７】例えば、本実施の形態６では、Ｗｅｂサー
バ４０からのレスポンスが不正レスポンスＤＢ１１４に
格納された不正レスポンスのパターンに該当するか否か
によって不正レスポンスであるか否かを判定する場合に
ついて説明したが、本発明はこれに限定されるものでは
なく、不正レスポンスＤＢ１１４に格納された不正レス
ポンスのパターンに該当する度合に応じて不正レスポン
スであるか否かを判定する場合にも同様に適用すること
ができる。

【０１６８】すなわち、この場合には、上記実施の形態
２と同様、レスポンス見積部１１３は、不正レスポンス
ＤＢ１１４に格納された不正レスポンスのパターンから
一致するパターンの個数を算出することや、各パターン
に危険度数を付与して一致するパターンの危険度数を算
出することなどにより、レスポンスの危険度を示すＤＩ
（Danger Index）と呼ばれる見積値を算出し、レスポ
ンス判定部１１５は、この算出された見積値と所定の閾
値とを比較してレスポンスをクライアント装置１０に送
信するか否かを判定することとなる。

【０１６９】また、本実施の形態６では、クライアント
装置１０から送信されたＨＴＴＰリクエストに対して
は、パターンに基づくフィルタリング処理を実行する場
合を説明したが、本発明はこれに限定されるものではな
く、上記実施の形態３で説明した事前判定処理や、上記
実施の形態４で説明した統計に基づくフィルタリング処
理をともに実行する場合にも同様に適用することができ
る。

【０１７０】（実施の形態７）ところで、上記実施の形
態１〜６では、暗号処理されていないＨＴＴＰリクエス
トや暗号処理されていないレスポンスに対してフィルタ
リング処理を実行する場合を説明したが、本発明はこれ
に限定されるものではなく、暗号処理がなされたＨＴＴ
Ｐリクエストや暗号処理がなされたレスポンスに対して
フィルタリング処理を実行する場合にも同様に適用する
ことができる。

【０１７１】すなわち、上記実施の形態１〜６では、Ｗ
ｅｂサーバ４０が、クライアント装置１０から暗号処理
されていないＨＴＴＰリクエストを受信するとともに、
暗号処理されていないレスポンスをクライアント装置１
０に送信することを前提にしている。しかしながら、Ｗ
ｅｂサーバ４０によっては、提供するサービスの秘匿性
などを確保するために、クライアント装置１０から暗号
処理がなされたＨＴＴＰリクエストを受信するととも
に、暗号処理がなされてたレスポンスをクライアント装
置１０に送信するようにしたものもある。

【０１７２】このようなＷｅｂサーバ４０に対して、上
記実施の形態１〜６で説明したフィルタリング処理を単
純に適用したのでは、暗号化がなされた不正アクセスや
暗号化がなされた不正レスポンスを破棄することはでき
ない。このため、不正アクセスからＷｅｂサーバ４０を
防御することができず、さらに、Ｗｅｂサーバ４０から
クライアント装置１０に不正レスポンスが送信されるお
それがある。

【０１７３】そこで、本実施の形態７では、暗号処理が
なされたＨＴＴＰリクエストを復号するとともに、暗号
処理がなされたレスポンスを復号することによって、暗
号化がなされた不正アクセスや暗号化がなされた不正レ
スポンスをも破棄することができるようにしている。以
下、本実施の形態７に係るサーバクライアントシステム
におけるサーバ装置の構成を説明する。

【０１７４】図１３は、本実施の形態７に係るサーバク
ライアントシステムの構成を示すブロック図である。な
お、図１または図１１に示した各部と同様の機能を有す
る部位には同一符号を付すこととしてその詳細な説明を
省略し、本実施の形態７の特徴部分である復号部１２２
および復号部１２３について説明する。

【０１７５】サーバ装置１２０におけるリクエストフィ
ルタ１２１の復号部１２２は、所定の暗号処理がなされ
たＨＴＴＰリクエストを復号する復号手段である。具体
的には、受信部３１から暗号処理がなされたＨＴＴＰリ
クエストを受け取った後、このＨＴＴＰリクエストを復
号し、復号したＨＴＴＰリクエストを見積部３２に出力
する。これによって、見積部３２は、上記実施の形態１
または２で説明した見積処理を実行することとなる。

【０１７６】なお、受信部３１は、暗号処理がなされた
ＨＴＴＰリクエストを送信部３５に出力するので、Ｗｅ
ｂサーバ４０には、暗号処理がなされたＨＴＴＰリクエ
ストが送信されることとなる。これによって、一つのリ
クエストフィルタ１２１により複数のＷｅｂサーバ４０
を防御するために、リクエストフィルタ１２１と複数の
Ｗｅｂサーバ４０とをインターネットなどの非専用回線
で接続した場合でも、ＨＴＴＰリクエストの秘匿性を確
保することができる。

【０１７７】一方、復号部１２３は、所定の暗号処理が
なされたレスポンスを復号する第２の復号手段である。
具体的には、レスポンス受信部１１２から暗号処理がな
されたレスポンスを受け取った後、このレスポンスを復
号し、復号したレスポンスをレスポンス見積部１１３に
出力する。これによって、レスポンス見積部１１３は、
上記実施の形態６で説明した見積処理を実行することと
なる。

【０１７８】なお、レスポンス受信部１１２は、暗号処
理がなされたレスポンスをレスポンス送信部１１６に出
力するので、クライアント装置１０には、暗号処理がな
されたレスポンスが送信されることとなる。これによっ
て、クライアント装置１０に送信されるレスポンスの秘
匿性を確保することができる。

【０１７９】上述してきたように、本実施の形態７によ
れば、暗号処理がなされたＨＴＴＰリクエストを復号す
るとともに、暗号処理がなされたレスポンスを復号する
こととしたので、クライアント装置１０から暗号処理が
なされたＨＴＴＰリクエストを受信するとともに、暗号
処理がなされてたレスポンスをクライアント装置１０に
送信するようにしたＷｅｂサーバ４０に適用する場合に
おいても、暗号化がなされた不正アクセスや暗号化がな
された不正レスポンスを破棄することができる。これに
よって、不正アクセスからＷｅｂサーバ４０を確実に防
御することができ、さらに、Ｗｅｂサーバ４０からクラ
イアント装置１０に不正レスポンスが送信されるおそれ
を確実に排除することができる。

【０１８０】なお、本実施の形態７では、ＨＴＴＰリク
エストおよびレスポンスを復号する場合を説明したが、
本発明はこれに限定されるものではなく、ＨＴＴＰリク
エストのみを復号する場合や、レスポンスのみを復号す
る場合など、Ｗｅｂサーバ４０の処理態様（暗号処理が
なされたＨＴＴＰリクエストを受信するか否か、暗号処
理がなされたレスポンスを送信するか否かなど）に応じ
て、ＨＴＴＰリクエストまたはレスポンスの一方を復号
する場合に同様に適用することができる。

【０１８１】また、本実施の形態７では、リクエストフ
ィルタ１２１によりＨＴＴＰリクエストを復号した後
に、Ｗｅｂサーバ４０には、暗号処理がなされたＨＴＴ
Ｐリクエストを送信する場合を説明したが、本発明はこ
れに限定されるものではなく、Ｗｅｂサーバ４０に対し
て、復号されたＨＴＴＰリクエストを送信する場合にも
同様に適用することができる。なお、この場合には、Ｗ
ｅｂサーバ４０の復号手段を省略することができる。

【０１８２】また、本実施の形態７では、クライアント
装置１０から送信されたＨＴＴＰリクエストに対して
は、パターンに基づくフィルタリング処理を実行する場
合を説明したが、本発明はこれに限定されるものではな
く、上記実施の形態３で説明した事前判定処理や、上記
実施の形態４で説明した統計に基づくフィルタリング処
理をともに実行する場合にも同様に適用することができ
る。なお、この場合にも、事前判定処理や統計に基づく
フィルタリング処理に先だって、本実施の形態７で説明
した復号処理が実行される。

【０１８３】（実施の形態８）ところで、上記実施の形
態１〜７では、不正なＨＴＴＰリクエストや不正なレス
ポンスを破棄する場合を説明したが、本発明はこれに限
定されるものではなく、クライアント装置１０に対し
て、不正アクセスが成功若しくは進行している旨を示す
偽のレスポンスを送信することもできる。

【０１８４】すなわち、不正なＨＴＴＰリクエストや不
正なレスポンスを破棄するだけでは、不正アクセスを試
行した攻撃者（クラッカー）は、不正アクセスが失敗し
たことに気づいて、新たな別の不正アクセスを試行する
おそれがある。このため、望ましくは、不正アクセスが
失敗したことを攻撃者に気づかせることなく時間を稼ぐ
ことによって、新たな別の不正アクセスを未然に防止し
たり、攻撃者の攻撃手口を解析することが必要とされ
る。

【０１８５】ところで、従来より、不正アクセスからサ
ーバを保護する技術として、おとりシステム（おとりサ
ーバ、ハニーポット）と呼ばれる技術が一般的に知られ
ている。このおとりシステムは、セキュリティホールを
有するといった脆弱なサーバを装って、攻撃者による不
正アクセスの試行を全てロギングするものである。

【０１８６】すなわち、攻撃者は一般的に、ネットワー
ク上のセキュリティレベルの低いサーバを攻撃対象とす
る行動志向を有するので、おとりシステムは、脆弱なサ
ーバを装って、攻撃者がおとりシステムにアクセスした
ならば、真のサーバ（不正アクセスから保護したいサー
バ）であるかのようにログインバナーの返信などをす
る。そして、攻撃者が辞書を用いたパスワードクラッキ
ングなどによってログインを試行してきた場合には、こ
れらの行動を全てログとして安全に記録する。

【０１８７】このようにして、おとりシステムは、真の
サーバが攻撃されるまでの時間を稼ぎ、新たな別の不正
アクセスを未然に防止したり、攻撃者の攻撃手口（攻撃
に用いる辞書など）を解析する。そして、この攻撃手口
の解析結果や時間稼ぎによって、真のサーバに対する防
御策を講じることが可能になる。

【０１８８】しかしながら、おとりシステムは、不正ア
クセスから保護したい真のサーバのおとりにはなれない
という問題点がある。すなわち、あるサーバを保護しよ
うとする場合、一般的に、おとりシステムは、そのサー
バのミラーサーバ若しくはテストサーバを装って（それ
らを連想させる名前を付与されて）運用される。これ
は、真のサーバに対して正規にアクセスしようとする正
規ユーザのために、真のサーバについては、真のサーバ
とわかる名前を付与して運用しなければならないからで
ある。

【０１８９】したがって、真のサーバを保護するため
に、おとりシステムを導入しても、攻撃者がおとりシス
テムに目もくれず、真のサーバを攻撃してきたような場
合には、おとりシステムの機能は没却され、真のサーバ
を保護するという目的を達成することができなくなって
しまう。

【０１９０】そこで、本実施の形態８では、おとりシス
テムではなく、Ｗｅｂサーバ４０に対する不正アクセス
のパターンに対応付けて、該不正アクセスが成功若しく
は進行している旨を示す偽のレスポンスを格納した偽レ
スポンスデータベースを導入することによって、不正ア
クセスを試行したクライアント装置１０に対して、不正
アクセスが成功若しくは進行している旨を示す偽のレス
ポンスを送信することができるようにしている。以下、
本実施の形態８に係るサーバクライアントシステムにお
けるサーバ装置の構成と、本実施の形態８によるフィル
タリングの処理手順とを説明する。

【０１９１】（１）サーバ装置の構成 まず最初に、本実施の形態８に係るサーバクライアント
システムにおけるサーバ装置の構成を説明する。図１４
は、本実施の形態８に係るサーバクライアントシステム
の構成を示すブロック図である。同図に示すように、本
実施の形態８におけるサーバ装置１３０は、Ｗｅｂサー
バ４０と、リクエストフィルタ１３１とを備え、さら
に、このリクエストフィルタ１３１は、受信部３１と、
見積部３２と、不正リクエストＤＢ３３と、判定部３４
と、送信部３５と、偽レスポンス作成部１３２と、偽レ
スポンスＤＢ１３３と、レスポンス送信部１３４とを備
える。

【０１９２】このうち、受信部３１、見積部３２、不正
リクエストＤＢ３３、判定部３４および送信部３５は、
図１に示した同一符号を付している各部と同様の機能を
有し、上記実施の形態１または２に示したフィルタリン
グ処理と同様の処理、すなわち、パターンに基づくフィ
ルタリング処理を実行するものである。このフィルタリ
ング処理によって、不正なＨＴＴＰリクエストは、Ｗｅ
ｂサーバ４０に送信されることなく、偽レスポンス作成
部１３２に出力される。

【０１９３】偽レスポンス作成部１３２は、偽レスポン
スＤＢ１３３および所定の作成ルールに基づいて、不正
アクセスとしてＷｅｂサーバ４０に受け渡されなかった
ＨＴＴＰリクエストのパターンに対応した偽のレスポン
スを作成する処理部である。

【０１９４】ここで、上記の偽レスポンスＤＢ１３３
は、Ｗｅｂサーバ４０に対する不正アクセスのパターン
に対応付けて、該不正アクセスが成功若しくは進行して
いる旨を示す偽のレスポンスを格納したデータベースで
ある。具体的には、不正リクエストＤＢ３３に格納され
た不正アクセスのパターンに対応付けて偽のレスポンス
を記憶する。例えば、Ｗｅｂサーバ４０上のパスワード
ファイルをリクエストする不正アクセスのパターンに対
応付けられた、架空の情報からなる偽のパスワードファ
イルや、Ｗｅｂサーバ４０に不正にログインしようとす
る不正アクセスのパターンに対応付けられた、偽のログ
インバナーなどを記憶する。

【０１９５】そして、偽レスポンス作成部１３２は、こ
のような情報を格納した偽レスポンスＤＢ１３３を参照
することにより、不正アクセスとしてＷｅｂサーバ４０
に受け渡されなかったＨＴＴＰリクエストのパターンに
対応した偽のレスポンスを作成する。

【０１９６】具体的には、Ｗｅｂサーバ４０上のパスワ
ードファイルをリクエストするＨＴＴＰリクエストが、
不正アクセスとして偽レスポンス作成部１３２に入力さ
れた場合には、偽レスポンスＤＢ１３３に格納された偽
のパスワードファイルを用いて偽のレスポンスを作成す
る。また、Ｗｅｂサーバ４０に不正にログインしようと
するＨＴＴＰリクエストが、不正アクセスとして偽レス
ポンス作成部１３２に入力された場合には、偽レスポン
スＤＢ１３３に格納された偽のログインバナーを用いて
偽のレスポンスを作成する。

【０１９７】レスポンス送信部１３４は、Ｗｅｂサーバ
４０により正当に作成された正当レスポンスや、偽レス
ポンス作成部１３２により作成された偽のレスポンスを
クライアント装置１０に送信する処理部である。なお、
図１４には図示していないが、本実施の形態８のリクエ
ストフィルタ１３１は、図１に示した実施の形態１のリ
クエストフィルタ３０と同様、ログ管理部、外部通信
部、外部情報取得部および更新部を備えるものである。

【０１９８】（２）フィルタリング処理 次に、本実施の形態８によるフィルタリングの処理手順
について説明する。図１５は、本実施の形態８によるフ
ィルタリングの処理手順を説明するフローチャートであ
る。同図に示すように、サーバ装置１３０におけるリク
エストフィルタ１３１の受信部３１は、クライアント装
置１０からのＨＴＴＰリクエストをＷｅｂサーバ４０が
受信する前に受信する（ステップＳ１５０１）。

【０１９９】続いて、リクエストフィルタ１３１は、こ
のＨＴＴＰリクエストを見積部３２に受け渡し、上記実
施の形態１または２によるフィルタリング処理と同様の
処理、すなわち、パターンに基づくフィルタリング処理
を実行する（ステップＳ１５０２〜Ｓ１５０５、ステッ
プＳ１５０７およびＳ１５０８）。

【０２００】すなわち、見積部３２は、不正リクエスト
ＤＢ３３に格納されたサーバに対する不正アクセスのパ
ターンに基づいて、ＨＴＴＰリクエストの正当性を見積
もり（ステップＳ１５０２）、判定部３４は、ＨＴＴＰ
リクエストをＷｅｂサーバ４０に受け渡すか否か（すな
わち、正当リクエストである旨が見積もられたか否か、
または見積値ＤＩが所定の閾値以下であるか否か）を判
定する（ステップＳ１５０３）。

【０２０１】この判定により、正当リクエストである旨
が見積もられた場合には（ステップＳ１５０３肯定）、
送信部３５は、ＨＴＴＰリクエストをプロセス間通信に
よりＷｅｂサーバ４０に送信し（ステップＳ１５０
４）、Ｗｅｂサーバ４０は、ＨＴＴＰリクエストに応じ
たレスポンスを作成するなど、正当判定時の処理をおこ
なう（ステップＳ１５０５）。続いて、レスポンス送信
部１３４は、Ｗｅｂサーバ４０により作成されたレスポ
ンスをクライアント装置１０に送信する（ステップＳ１
５０６）

【０２０２】これとは反対に、ＨＴＴＰリクエストをＷ
ｅｂサーバ４０に受け渡さないものと判定された場合
（すなわち、不正リクエストである旨が見積もられた場
合、または見積値ＤＩが所定の閾値以上である場合）に
は（ステップＳ１５０３否定）、送信部３５は、ＨＴＴ
ＰリクエストのＷｅｂサーバ４０への受け渡しを拒絶す
る（ステップＳ１５０７）。さらに、リクエストフィル
タ１３１の各部は、不正リクエストの破棄、格納媒体へ
の格納、外部装置への通報などの不正判定時の処理をお
こなう（ステップＳ１５０８）。

【０２０３】続いて、偽レスポンス作成部１３２は、偽
レスポンスＤＢ１３３および所定の作成ルール１３２ａ
に基づいて、不正アクセスとしてＷｅｂサーバ４０に受
け渡されなかったＨＴＴＰリクエストのパターンに対応
した偽のレスポンスを作成する（ステップＳ１５０
９）。具体的には、偽レスポンスＤＢ１３３に格納され
た偽のパスワードファイルを用いた偽のレスポンスや、
偽レスポンスＤＢ１３３に格納された偽のログインバナ
ーを用いた偽のレスポンスなどを作成する。その後、レ
スポンス送信部１３４は、偽レスポンス作成部１３２に
より作成された偽のレスポンスをクライアント装置１０
に送信する（ステップＳ１５１０）。

【０２０４】上記した一連の処理によって、不正アクセ
スのパターンに該当するＨＴＴＰリクエストをＷｅｂサ
ーバ４０に送信してきたクライアント装置１０に対し
て、不正アクセスが成功若しくは進行している旨を示す
偽のレスポンスを送信されることとなる。

【０２０５】上述してきたように、本実施の形態８によ
れば、Ｗｅｂサーバ４０に対する不正アクセスのパター
ンに対応付けて、該不正アクセスが成功若しくは進行し
ている旨を示す偽のレスポンスを格納した偽レスポンス
ＤＢ１３３を導入することとしたので、不正アクセスを
試行したクライアント装置１０に対して、不正アクセス
が成功若しくは進行している旨を示す偽のレスポンスを
送信することができる。これによって、不正アクセスが
失敗したことを攻撃者に気づかせることなく時間を稼ぐ
ことができ、さらに、新たな別の不正アクセスを未然に
防止したり、攻撃者の攻撃手口を解析することもできる
ので、クライアント装置１０による不正アクセスからＷ
ｅｂサーバ４０を一層確実に防御することが可能にな
る。

【０２０６】なお、本実施の形態８では、クライアント
装置１０から送信されたＨＴＴＰリクエストに対して
は、パターンに基づくフィルタリング処理を実行する場
合を説明したが、本発明はこれに限定されるものではな
く、上記実施の形態３で説明した事前判定処理や、上記
実施の形態４で説明した統計に基づくフィルタリング処
理、さらには、上記実施の形態６で説明したレスポンス
のフィルタリング処理をともに実行する場合にも同様に
適用することができる。

【０２０７】すなわち、例えば、上記実施の形態６で説
明したレスポンスのフィルタリング処理をともに実行す
る場合には、偽レスポンスＤＢ１３３に、不正なレスポ
ンスのパターンに対応付けて、該不正アクセスが成功若
しくは進行している旨を示す偽のレスポンス（例えば、
偽のディレクトリ情報など）を格納することとなる。

【０２０８】ただし、上記実施の形態４で説明した統計
に基づくフィルタリング処理をともに実施する場合に
は、かかるフィルタリング処理により破棄されたＨＴＴ
Ｐレスポンスについては、偽レスポンスを作成しないよ
うにすることも有効である。このようなサーバダウンを
狙ったＨＴＴＰレスポンスに対して偽レスポンスを作成
したのでは、偽レスポンス作成処理の負担が却って増大
してしまうからである。

【０２０９】（実施の形態９）ところで、上記実施の形
態８では、Ｗｅｂサーバ４０に対する不正アクセスのパ
ターンに対応する偽のレスポンスを格納した偽レスポン
スＤＢ１３３を参照して、偽レスポンスを作成する場合
を説明したが、本発明はこれに限定されるものではな
く、不正アクセスとしてＷｅｂサーバ４０に受け渡され
なかったＨＴＴＰリクエストを受け入れて、Ｗｅｂサー
バ４０のおとりとして機能する偽Ｗｅｂサーバによっ
て、偽のレスポンスを作成することもできる。

【０２１０】すなわち、Ｗｅｂサーバ４０に対する不正
アクセスには、パターンとして把握できないものもあ
り、このような不正アクセスについては、上記実施の形
態８で説明した偽レスポンスＤＢ１３３を参照して偽レ
スポンスを作成することできない。このため、不正アク
セスが失敗したことを攻撃者に気づかせることなく時間
を稼ぐこともできず、さらに、新たな別の不正アクセス
を未然に防止したり、攻撃者の攻撃手口を解析すること
もできなくなってしまう。

【０２１１】そこで、本実施の形態９では、偽レスポン
スＤＢ１３３ではなく、不正なアクセスとしてＷｅｂサ
ーバ４０に受け渡されなかったＨＴＴＰリクエストを受
け入れて、Ｗｅｂサーバ４０のおとりとして該不正アク
セスが成功若しくは進行している旨を示す偽のレスポン
スを作成する偽Ｗｅｂサーバを導入することによって、
パターンとして把握できない不正アクセスに対しても、
偽のレスポンスを送信することができるようにしてい
る。以下、本実施の形態９に係るサーバクライアントシ
ステムにおけるサーバ装置の構成と、本実施の形態９に
よるフィルタリングの処理手順とを説明する。

【０２１２】図１６は、本実施の形態９に係るサーバク
ライアントシステムの構成を示すブロック図である。な
お、図１４に示した各部と同様の機能を有する部位には
同一符号を付すこととしてその詳細な説明を省略し、本
実施の形態９の特徴部分である偽Ｗｅｂサーバ１４２に
ついて説明する。

【０２１３】サーバ装置１４０におけるリクエストフィ
ルタ１４１の偽Ｗｅｂサーバ１４２は、不正なアクセス
としてＷｅｂサーバ４０に受け渡されなかったＨＴＴＰ
リクエストを受け入れて、Ｗｅｂサーバ４０のおとりと
して該不正アクセスが成功若しくは進行している旨を示
す偽のレスポンスを作成する処理部である。具体的に
は、Ｗｅｂサーバ４０と同様、ＨＴＴＰリクエストに応
じてＨＴＭＬ（HyperText Markup Language）などの
マークアップ言語により記述された各種の情報を送信す
るなどのサービスをクライアント装置１０に提供するも
のであるが、Ｗｅｂサーバ４０のおとりとして、偽のサ
ービスを提供（偽のレスポンスを作成）するように偽の
データを所有する。

【０２１４】例えば、Ｗｅｂサーバ４０上のパスワード
ファイルをリクエストする不正なＨＴＴＰリクエストを
受け入れて、偽のパスワードファイルを作成したり、コ
マンド文字列を含んだリクエストによりＷｅｂサーバ４
０上で任意のシステムコマンドを実行するなどの不正な
ＨＴＴＰリクエストを受け入れて、そのシステムコマン
ドを実行したり、Ｗｅｂサーバ４０上に存在しないファ
イルをリクエストしてＷｅｂサーバ４０の機能を停止さ
せる不正なＨＴＴＰリクエストを受け入れて、その機能
を停止させる処理などをおこなう。

【０２１５】すなわち、偽Ｗｅｂサーバ１４２は、不正
なＨＴＴＰリクエストを受け入れて、そのＨＴＴＰリク
エストに応じた処理を実行するものであるが、Ｗｅｂサ
ーバ４０のおとりとして偽のデータを所有するものであ
るため、偽Ｗｅｂサーバ１４２からのレスポンスは、不
正なＨＴＴＰリクエストを受け入れたＷｅｂサーバ４０
からのレスポンスと同様のものであるが、偽のレスポン
スとなる。

【０２１６】次に、本実施の形態９によるフィルタリン
グの処理手順について説明する。図１７は、本実施の形
態９によるフィルタリングの処理手順を説明するフロー
チャートである。同図に示すように、サーバ装置１４０
におけるリクエストフィルタ１４１は、クライアント装
置１０からのＨＴＴＰリクエストをＷｅｂサーバ４０が
受信する前に受信して（ステップＳ１７０１）、上記実
施の形態８によるフィルタリング処理と同様の処理（図
１５に示したステップＳ１５０１〜Ｓ１５０８）を実行
する（ステップＳ１７０１〜ステップＳ１７０８）。

【０２１７】このステップＳ１７０８に示すように、リ
クエストフィルタ１４１の各部は、不正リクエストの破
棄、格納媒体への格納、外部装置への通報などの不正判
定時の処理をおこなうと（ステップＳ１７０８）、続い
て、送信部３５は、不正アクセスとしてＷｅｂサーバ４
０に受け渡されなかったＨＴＴＰリクエストを、偽Ｗｅ
ｂサーバ１４２に送信する（ステップＳ１７０９）。

【０２１８】そして、偽Ｗｅｂサーバ１４２は、Ｗｅｂ
サーバ４０のおとりとして該不正アクセスが成功若しく
は進行している旨を示す偽のレスポンスを作成する（ス
テップＳ１７１０）。具体的には、Ｗｅｂサーバ４０上
のパスワードファイルをリクエストする不正なＨＴＴＰ
リクエストを受け入れて、偽のパスワードファイルを作
成したり、コマンド文字列を含んだリクエストによりＷ
ｅｂサーバ４０上で任意のシステムコマンドを実行する
などの不正なＨＴＴＰリクエストを受け入れて、そのシ
ステムコマンドを実行したりなどする。その後、レスポ
ンス送信部１３４は、偽Ｗｅｂサーバ１４２により作成
された偽のレスポンスをクライアント装置１０に送信す
る（ステップＳ１７１１）。

【０２１９】上記した一連の処理によって、不正アクセ
スのパターンとして把握できないＨＴＴＰリクエストを
Ｗｅｂサーバ４０に送信してきたクライアント装置１０
に対しても、不正アクセスが成功若しくは進行している
旨を示す偽のレスポンスを送信されることとなる。

【０２２０】上述してきたように、本実施の形態９によ
れば、不正なアクセスとしてＷｅｂサーバ４０に受け渡
されなかったＨＴＴＰリクエストを受け入れて、Ｗｅｂ
サーバ４０のおとりとして該不正アクセスが成功若しく
は進行している旨を示す偽のレスポンスを作成する偽Ｗ
ｅｂサーバ１４２を導入することとしたので、パターン
として把握できない不正アクセスに対しても、偽のレス
ポンスを送信することができる。特に、上記実施の形態
８で説明したおとりシステムと異なり、偽Ｗｅｂサーバ
１４２は、不正アクセスから保護したいＷｅｂサーバ４
０のミラーサーバ若しくはテストサーバを装って運用さ
れる必要がないので、実質的にＷｅｂサーバ４０のおと
りになれる点でも有効であると考えられる。

【０２２１】なお、本実施の形態９においても、クライ
アント装置１０から送信されたＨＴＴＰリクエストに対
しては、パターンに基づくフィルタリング処理を実行す
る場合を説明したが、本発明はこれに限定されるもので
はなく、上記実施の形態８と同様、上記実施の形態３で
説明した事前判定処理や、上記実施の形態４で説明した
統計に基づくフィルタリング処理、さらには、上記実施
の形態６で説明したレスポンスのフィルタリング処理を
ともに実行する場合にも同様に適用することができる。

【０２２２】（実施の形態１０）ところで、上記実施の
形態８および９では、Ｗｅｂサーバ４０に受け渡されな
かった不正なＨＴＴＰリクエストのパターンに対応した
偽のレスポンスを作成する場合と、不正なＨＴＴＰリク
エストを受け入れて、Ｗｅｂサーバ４０のおとりとして
偽のレスポンスを作成する場合とを説明したが、本発明
はこれに限定されるものではなく、これらの両者をとも
に実行する場合にも同様に適用することができる。

【０２２３】すなわち、上記実施の形態９では、Ｗｅｂ
サーバ４０に受け渡されなかった不正なＨＴＴＰリクエ
ストの全てを偽Ｗｅｂサーバ１４２に受け渡すことによ
って、偽のレスポンスを作成することとしたが、不正ア
クセスのパターンとして把握できる不正なＨＴＴＰリク
エストについても偽Ｗｅｂサーバ１４２に受け渡したの
では、偽Ｗｅｂサーバ１４２に過度な負担が強いられる
こととなる。

【０２２４】そこで、本実施の形態１０では、不正アク
セスのパターンとして把握できる不正なＨＴＴＰリクエ
ストについては、不正レスポンスＤＢ１３３を参照して
偽レスポンスを作成する一方、不正アクセスのパターン
として把握できない不正なＨＴＴＰリクエストについて
は、偽Ｗｅｂサーバ１４２により偽レスポンスを作成す
ることとし、偽レスポンスを効率的かつ迅速に作成する
ことができるようにしている。以下、本実施の形態１０
に係るサーバクライアントシステムにおけるサーバ装置
の構成と、本実施の形態１０によるフィルタリングの処
理手順とを説明する。

【０２２５】図１８は、本実施の形態１０に係るサーバ
クライアントシステムの構成を示すブロック図である。
なお、図１４または１６に示した各部と同様の機能を有
する部位には同一符号を付すこととしてその詳細な説明
を省略し、本実施の形態１０の特徴部分である偽レスポ
ンス作成部１５２について説明する。

【０２２６】サーバ装置１５０におけるリクエストフィ
ルタ１５１の偽レスポンス作成部１５２は、偽レスポン
スＤＢ１３３および所定の作成ルール１５２ａに基づい
て、不正アクセスとしてＷｅｂサーバ４０に受け渡され
なかったＨＴＴＰリクエストのパターンに対応した偽の
レスポンスを作成するとともに、偽のレスポンスが作成
できなかったＨＴＴＰリクエストを偽Ｗｅｂサーバ１４
２に受け渡す処理部である。

【０２２７】具体的には、偽レスポンス作成部１５２
は、不正アクセスとしてＷｅｂサーバ４０に受け渡され
なかったＨＴＴＰリクエストを送信部３５から受け付
け、このＨＴＴＰリクエストのパターンが偽レスポンス
ＤＢ１３３に格納されている不正リクエストのパターン
に該当するか否かを判定する。そして、このパターンに
該当する場合には、上記実施の形態８と同様、偽レスポ
ンスＤＢ１３３に基づいて偽レスポンスを作成する。一
方、このパターンに該当しない場合には、ＨＴＴＰリク
エストを偽Ｗｅｂサーバ１４２に受け渡し、偽Ｗｅｂサ
ーバ１４２に、上記実施の形態９の同様、Ｗｅｂサーバ
４０のおとりとして偽レスポンスを作成させる。

【０２２８】次に、本実施の形態１０によるフィルタリ
ングの処理手順について説明する。図１９は、本実施の
形態１０によるフィルタリングの処理手順を説明するフ
ローチャートである。同図に示すように、サーバ装置１
５０におけるリクエストフィルタ１５１は、クライアン
ト装置１０からのＨＴＴＰリクエストをＷｅｂサーバ４
０が受信する前に受信して（ステップＳ１９０１）、上
記実施の形態８によるフィルタリング処理と同様の処理
（図１５に示したステップＳ１５０１〜Ｓ１５０８）を
実行する（ステップＳ１９０１〜ステップＳ１９０
８）。

【０２２９】このステップＳ１９０８に示すように、リ
クエストフィルタ１５１の各部は、不正リクエストの破
棄、格納媒体への格納、外部装置への通報などの不正判
定時の処理をおこなうと（ステップＳ１９０８）、続い
て、偽レスポンス作成部１５２は、破棄されたＨＴＴＰ
リクエストのパターンが偽レスポンスＤＢ１３３に格納
されている不正リクエストのパターンに該当するか否か
を判定する（ステップＳ１９０９）。

【０２３０】この判定により、不正リクエストのパター
ンに該当する場合には（ステップＳ１９０９肯定）、偽
レスポンス作成部１５２は、偽レスポンスＤＢ１３３お
よび所定の作成ルール１５２ａに基づいて、不正アクセ
スとしてＷｅｂサーバ４０に受け渡されなかったＨＴＴ
Ｐリクエストのパターンに対応した偽のレスポンスを作
成する（ステップＳ１９１０）。そして、レスポンス送
信部１３４は、偽レスポンス作成部１５２により作成さ
れた偽のレスポンスをクライアント装置１０に送信する
（ステップＳ１９１１）。

【０２３１】これとは反対に、不正リクエストのパター
ンに該当しない場合には（ステップＳ１９０９否定）偽
レスポンス作成部１５２は、パターンに該当しなかった
ＨＴＴＰリクエストを偽Ｗｅｂサーバ１４２に送信する
（ステップＳ１９１２）。そして、偽Ｗｅｂサーバ１４
２は、Ｗｅｂサーバ４０のおとりとして該不正アクセス
が成功若しくは進行している旨を示す偽のレスポンスを
作成する（ステップＳ１９１３）。その後、レスポンス
送信部１３４は、偽Ｗｅｂサーバ１４２により作成され
た偽のレスポンスをクライアント装置１０に送信する
（ステップＳ１９１１）。

【０２３２】上記した一連の処理によって、不正アクセ
スのパターンとして把握できる不正なＨＴＴＰリクエス
トについては、不正レスポンスＤＢ１３３を参照して偽
レスポンスが作成される一方、不正アクセスのパターン
として把握できない不正なＨＴＴＰリクエストについて
は、偽Ｗｅｂサーバ１４２により偽レスポンスが作成さ
れることとなる。

【０２３３】上述してきたように、本実施の形態１０に
よれば、不正アクセスのパターンとして把握できる不正
なＨＴＴＰリクエストについては、不正レスポンスＤＢ
１３３を参照して偽レスポンスを作成する一方、不正ア
クセスのパターンとして把握できない不正なＨＴＴＰリ
クエストについては、偽Ｗｅｂサーバ１４２により偽レ
スポンスを作成することとしたので、偽Ｗｅｂサーバ１
４２に過度な負担を強いることなく、偽レスポンスを効
率的かつ迅速に作成することができる。

【０２３４】なお、本実施の形態１０においても、クラ
イアント装置１０から送信されたＨＴＴＰリクエストに
対しては、パターンに基づくフィルタリング処理を実行
する場合を説明したが、本発明はこれに限定されるもの
ではなく、上記実施の形態８および９と同様、上記実施
の形態３で説明した事前判定処理や、上記実施の形態４
で説明した統計に基づくフィルタリング処理、さらに
は、上記実施の形態６で説明したレスポンスのフィルタ
リング処理をともに実行する場合にも同様に適用するこ
とができる。

【０２３５】（他の実施の形態）さて、これまで本発明
の実施の形態について説明したが、本発明は上述した実
施の形態以外にも、上記特許請求の範囲に記載した技術
的思想の範囲内において種々の異なる実施の形態にて実
施されてもよいものである。

【０２３６】例えば、本実施の形態４〜１０では、クラ
イアント装置１０からのＨＴＴＰリクエストをフィルタ
リングする場合について説明したが、本発明はこれに限
定されるものではなく、ＦＴＰ（File Transfer Prot
ocol）、ｔｅｌｎｅｔ、コンソールなど、クライアント
装置１０からＷｅｂサーバ４０に入力されるあらゆる情
報をフィルタリングする場合に同様に適用することがで
きる。

【０２３７】また、本実施の形態４〜１０では、フィル
タリング装置としてのリクエストフィルタをサーバ装置
に設けた場合について説明したが、本発明はこれに限定
されるものではなく、例えば、それぞれのクライアント
装置側にリクエストフィルタを設けたり、一つのリクエ
ストフィルタにより複数のＷｅｂサーバを防御するな
ど、クライアント装置とＷｅｂサーバとの間にリクエス
トフィルタが介在するあらゆるシステム構成において同
様に適用することができる。

【０２３８】なお、本実施の形態４〜１０で説明したフ
ィルタリング方法は、あらかじめ用意されたプログラム
をパーソナル・コンピュータやワークステーションなど
のコンピュータで実行することによって実現することが
できる。このプログラムは、インターネットなどのネッ
トワークを介して配布することができる。また、このプ
ログラムは、ハードディスク、フレキシブルディスク
（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュ
ータで読み取り可能な記録媒体に記録され、コンピュー
タによって記録媒体から読み出されることによって実行
することもできる。

【０２３９】（付記１）クライアントと該クライアント
からのアクセス要求に応じてサービスを提供するサーバ
との間に介在し、前記アクセス要求のうちの正当なアク
セス要求のみを前記サーバに受け渡すフィルタリング装
置において、前記サーバに対する不正アクセスのパター
ンを格納した不正パターンデータベースと、前記不正パ
ターンデータベースに格納された不正アクセスのパター
ンおよび所定の第１の見積ルールに基づいて前記アクセ
ス要求の正当性を見積もる第１の見積手段と、前記第１
の見積手段による見積結果および所定の第１の判定ルー
ルに基づいて前記アクセス要求を前記サーバに受け渡す
か否かを判定する第１の判定手段と、を備えたことを特
徴とするフィルタリング装置。

【０２４０】（付記２）前記第１の見積手段は、前記ア
クセス要求が前記不正パターンデータベースに格納され
た不正アクセスのパターンのいずれかに該当する場合に
該アクセス要求は不正アクセスである旨を見積もるとと
もに、前記アクセス要求が前記不正パターンデータベー
スに格納された不正アクセスのパターンのいずれにも該
当しない場合に該アクセス要求は正当アクセスである旨
を見積もり、前記第１の判定手段は、前記第１の見積手
段により不正アクセスである旨が見積もられたアクセス
要求を前記サーバに受け渡さないものと判定するととも
に、前記第１の見積手段により正当アクセスである旨が
見積もられたアクセス要求を前記サーバに受け渡すもの
と判定することを特徴とする付記１に記載のフィルタリ
ング装置。

【０２４１】（付記３）前記第１の見積手段は、前記ア
クセス要求が前記不正パターンデータベースに格納され
た不正アクセスのパターンに該当する度合に応じて所定
の見積値を算出し、前記第１の判定手段は、前記第１の
見積手段により算出された見積値と所定の閾値とを比較
して前記アクセス要求を前記サーバに受け渡すか否かを
判定することを特徴とする付記１に記載のフィルタリン
グ装置。

【０２４２】（付記４）前記サーバに対する正当アクセ
スのパターンを格納した正当パターンデータベースと、
前記第１の見積手段による正当性の見積もりの前に、前
記アクセス要求が前記正当パターンデータベースに格納
された正当アクセスのパターンのいずれかに該当するか
否かを判定する事前判定手段と、をさらに備え、前記第
１の見積手段は、前記事前判定手段により正当アクセス
のパターンに該当しないものと判定されたアクセス要求
のみについて正当性を見積もることを特徴とする付記
１、２または３に記載のフィルタリング装置。

【０２４３】（付記５）所定の第１の外部送信ルールに
基づいて、前記第１の判定手段により前記サーバに受け
渡さないものと判定されたアクセス要求を所定の外部装
置に送信する第１の外部送信手段をさらに備えたことを
特徴とする付記１〜４のいずれか一つに記載のフィルタ
リング装置。

【０２４４】（付記６）所定の第１の格納ルールに基づ
いて、前記第１の判定手段により前記サーバに受け渡さ
ないものと判定されたアクセス要求を所定の格納媒体に
格納する第１の格納手段をさらに備えたことを特徴とす
る付記１〜５のいずれか一つに記載のフィルタリング装
置。

【０２４５】（付記７）所定の第１の更新ルールに基づ
いて、前記不正パターンデータベース、正当パターンデ
ータベース、第１の見積ルール、第１の判定ルール、第
１の外部送信ルール、第１の格納ルールまたは第１の更
新ルールを更新する第１の更新手段をさらに備えたこと
を特徴とする付記１〜６のいずれか一つに記載のフィル
タリング装置。

【０２４６】（付記８）前記サーバに対するアクセス要
求の統計からみて不正アクセスとみなされるアクセス要
求に関する情報を格納した統計的不正データベースと、
前記統計的不正データベースに格納された情報および所
定の第２の見積ルールに基づいて前記アクセス要求の正
当性を見積もる第２の見積手段と、前記見積手段による
見積結果および所定の第２の判定ルールに基づいて前記
アクセス要求を前記サーバに受け渡すか否かを判定する
第２の判定手段と、前記第１および第２の判定手段によ
り前記サーバに受け渡すものと判定されたアクセス要求
のみを正当なアクセス要求として前記サーバに受け渡す
アクセス要求受渡手段と、をさらに備えたことを特徴と
する付記１〜７のいずれか一つに記載のフィルタリング
装置。

【０２４７】（付記９）前記統計的不正データベース
は、前記サーバに対してアクセス要求を送信したクライ
アントのうち、所定時間内のアクセス要求数が所定数を
超えたクライアントの送信元情報を格納するものであっ
て、前記第２の見積手段は、前記アクセス要求の送信元
情報が前記統計的不正データベースに格納された送信元
情報のいずれかに該当する場合に該アクセス要求は不正
アクセスである旨を見積もるとともに、前記アクセス要
求の送信元情報が前記統計的不正データベースに格納さ
れた送信元情報のいずれにも該当しない場合に該アクセ
ス要求は正当アクセスである旨を見積もり、前記第２の
判定手段は、前記第２の見積手段により不正アクセスで
ある旨が見積もられたアクセス要求を前記サーバに受け
渡さないものと判定するとともに、前記第２の見積手段
により正当アクセスである旨が見積もられたアクセス要
求を前記サーバに受け渡すものと判定することを特徴と
する付記８に記載のフィルタリング装置。

【０２４８】（付記１０）前記統計的不正データベース
は、前記サーバに対して送信されたアクセス要求の要求
内容のうち、所定時間内のアクセス要求数が所定数を超
えた要求内容を格納するものであって、前記第２の見積
手段は、前記アクセス要求の要求内容が前記統計的不正
データベースに格納された要求内容のいずれかに該当す
る場合に該アクセス要求は不正アクセスである旨を見積
もるとともに、前記アクセス要求の要求内容が前記統計
的不正データベースに格納された要求内容のいずれにも
該当しない場合に該アクセス要求は正当アクセスである
旨を見積もり、前記第２の判定手段は、前記第２の見積
手段により不正アクセスである旨が見積もられたアクセ
ス要求を前記サーバに受け渡さないものと判定するとと
もに、前記第２の見積手段により正当アクセスである旨
が見積もられたアクセス要求を前記サーバに受け渡すも
のと判定することを特徴とする付記８に記載のフィルタ
リング装置。

【０２４９】（付記１１）前記統計的不正データベース
は、前記サーバに対してアクセス要求を送信したクライ
アントのうち、所定時間内のアクセス要求数が所定数を
超えたクライアントの送信元情報を格納するとともに、
前記サーバに対して送信されたアクセス要求の要求内容
のうち、所定時間内のアクセス要求数が所定数を超えた
要求内容を格納するものであって、前記第２の見積手段
は、前記アクセス要求の送信元情報が前記統計的不正デ
ータベースに格納された送信元情報のいずれかに該当す
る場合または前記アクセス要求の要求内容が前記統計的
不正データベースに格納された要求内容のいずれかに該
当する場合に該アクセス要求は不正アクセスである旨を
見積もるとともに、前記アクセス要求の送信元情報が前
記統計的不正データベースに格納された送信元情報のい
ずれにも該当しない場合および前記アクセス要求の要求
内容が前記統計的不正データベースに格納された要求内
容のいずれかにも該当しない場合に該アクセス要求は正
当アクセスである旨を見積もり、前記第２の判定手段
は、前記第２の見積手段により不正アクセスである旨が
見積もられたアクセス要求を前記サーバに受け渡さない
ものと判定するとともに、前記第２の見積手段により正
当アクセスである旨が見積もられたアクセス要求を前記
サーバに受け渡すものと判定することを特徴とする付記
８に記載のフィルタリング装置。

【０２５０】（付記１２）前記統計的不正データベース
は、前記サーバに対してアクセス要求を送信したクライ
アントのうち、所定時間内のアクセス要求数が所定数を
超えたクライアントの送信元情報を格納するとともに、
前記サーバに対して送信されたアクセス要求の要求内容
のうち、所定時間内のアクセス要求数が所定数を超えた
要求内容を格納するものであって、前記第２の見積手段
は、前記アクセス要求の送信元情報および要求内容が前
記統計的不正データベースに格納された送信元情報およ
び要求内容に該当する度合に応じて所定の見積値を算出
し、前記第２の判定手段は、前記第２の見積手段により
算出された見積値と所定の閾値とを比較して前記アクセ
ス要求を前記サーバに受け渡すか否かを判定することを
特徴とする付記８に記載のフィルタリング装置。

【０２５１】（付記１３）前記第２の見積手段は、前記
第１の判定手段により前記サーバに受け渡すものと判定
されたアクセス要求のみについて正当性を見積もること
を特徴とする付記８〜１２のいずれか一つに記載のフィ
ルタリング装置。

【０２５２】（付記１４）前記第１の見積手段は、前記
第２の判定手段により前記サーバに受け渡すものと判定
されたアクセス要求のみについて正当性を見積もること
を特徴とする付記８〜１２のいずれか一つに記載のフィ
ルタリング装置。

【０２５３】（付記１５）前記事前判定手段は、前記第
２の判定手段により前記サーバに受け渡すものと判定さ
れたアクセス要求のみについて前記正当パターンデータ
ベースに格納された正当アクセスのパターンのいずれか
に該当するか否かを判定することを特徴とする付記８〜
１２のいずれか一つに記載のフィルタリング装置。

【０２５４】（付記１６）所定の第２の外部送信ルール
に基づいて、前記アクセス要求受渡手段により前記サー
バに受け渡されなかったアクセス要求を所定の外部装置
に送信する第２の外部送信手段をさらに備えたことを特
徴とする付記８〜１５のいずれか一つに記載のフィルタ
リング装置。

【０２５５】（付記１７）所定の第２の格納ルールに基
づいて、前記アクセス要求受渡手段により前記サーバに
受け渡されなかったアクセス要求を所定の格納媒体に格
納する第２の格納手段をさらに備えたことを特徴とする
付記８〜１６のいずれか一つに記載のフィルタリング装
置。

【０２５６】（付記１８）所定の第２の更新ルールおよ
び／または前記サーバに対するアクセス要求の統計に基
づいて、前記統計的不正データベース、第２の見積ルー
ル、第２の判定ルール、第２の外部送信ルール、第２の
格納ルールおよび／または第２の更新ルールを更新する
第２の更新手段をさらに備えたことを特徴とする付記８
〜１７のいずれか一つに記載のフィルタリング装置。

【０２５７】（付記１９）前記第２の更新手段は、所定
時間内に前記サーバに対してアクセス要求を送信した各
クライアントごとのアクセス要求数および／または所定
時間内に前記サーバに対して送信されたアクセス要求の
各要求内容ごとのアクセス要求数に応じて、前記統計的
不正データベースに格納される送信元情報および／また
は要求内容を追加および／または削除することを特徴と
する付記１８に記載のフィルタリング装置。

【０２５８】（付記２０）前記アクセス要求に応じて前
記サーバから前記クライアントに対して前記サービスと
して送信されるレスポンスのうち、前記クライアントに
対して送信されるべきでない不正レスポンスのパターン
を格納した不正レスポンスデータベースと、前記不正レ
スポンスデータベースに格納された不正レスポンスのパ
ターンおよび所定のレスポンス見積ルールに基づいて前
記レスポンスの正当性を見積もるレスポンス見積手段
と、前記レスポンス見積手段による見積結果および所定
のレスポンス判定ルールに基づいて前記レスポンスを前
記クライアントに送信するか否かを判定するレスポンス
判定手段と、前記レスポンス判定手段により前記クライ
アントに送信するものと判定されたレスポンスのみを正
当なレスポンスとして前記クライアントに送信するレス
ポンス送信手段と、をさらに備えたことを特徴とする付
記１〜１９のいずれか一つに記載のフィルタリング装
置。

【０２５９】（付記２１）前記レスポンス見積手段は、
前記レスポンスが前記不正レスポンスデータベースに格
納された不正レスポンスのパターンのいずれかに該当す
る場合に該レスポンスは不正レスポンスである旨を見積
もるとともに、前記レスポンスが前記不正レスポンスデ
ータベースに格納された不正レスポンスのパターンのい
ずれにも該当しない場合に該レスポンスは正当レスポン
スである旨を見積もり、前記レスポンス判定手段は、前
記レスポンス見積手段により不正レスポンスである旨が
見積もられたレスポンスを前記クライアントに送信しな
いものと判定するとともに、前記レスポンス見積手段に
より正当レスポンスである旨が見積もられたレスポンス
を前記クライアントに送信するものと判定することを特
徴とする付記２０に記載のフィルタリング装置。

【０２６０】（付記２２）前記レスポンス見積手段は、
前記レスポンスが前記不正レスポンスデータベースに格
納された不正レスポンスのパターンに該当する度合に応
じて所定の見積値を算出し、前記レスポンス判定手段
は、前記レスポンス見積手段により算出された見積値と
所定の閾値とを比較して前記レスポンスを前記クライア
ントに送信するか否かを判定することを特徴とする付記
２０に記載のフィルタリング装置。

【０２６１】（付記２３）所定の第３の外部送信ルール
に基づいて、前記レスポンス送信手段により前記クライ
アントに送信されなかったレスポンスおよび／または該
レスポンスの起因となったアクセス要求を所定の外部装
置に送信する第３の外部送信手段をさらに備えたことを
特徴とする付記２０、２１または２２に記載のフィルタ
リング装置。

【０２６２】（付記２４）所定の第３の格納ルールに基
づいて、前記レスポンス送信手段により前記クライアン
トに送信されなかったレスポンスおよび／または該レス
ポンスの起因となったアクセス要求を所定の格納媒体に
格納する第３の格納手段をさらに備えたことを特徴とす
る付記２０〜２３のいずれか一つに記載のフィルタリン
グ装置。

【０２６３】（付記２５）所定の第３の更新ルールに基
づいて、前記不正レスポンスデータベース、レスポンス
見積ルール、レスポンス判定ルール、第３の外部送信ル
ール、第３の格納ルールおよび／または第３の更新ルー
ルを更新する第３の更新手段をさらに備えたことを特徴
とする付記２０〜２４のいずれか一つに記載のフィルタ
リング装置。

【０２６４】（付記２６）所定の暗号処理がなされたア
クセス要求を復号する第１の復号手段をさらに備え、前
記第１の見積手段、事前判定手段または第２の見積手段
は、前記第１の復号手段により復号されたアクセス要求
について見積または判定をおこなうことを特徴とする付
記１〜２５のいずれか一つに記載のフィルタリング装
置。

【０２６５】（付記２７）前記アクセス要求のうちの正
当なアクセス要求のみを前記サーバに受け渡す場合に、
前記第１の復号手段により復号されたアクセス要求では
なく、所定の暗号処理がなされたアクセス要求を前記サ
ーバに受け渡すことを特徴とする付記２６に記載のフィ
ルタリング装置。

【０２６６】（付記２８）所定の暗号処理がなされたレ
スポンスを復号する第２の復号手段をさらに備え、前記
レスポンス見積手段は、前記第２の復号手段により復号
されたレスポンスについて見積をおこなうことを特徴と
する付記２６または２７に記載のフィルタリング装置。

【０２６７】（付記２９）前記レスポンスのうちの正当
なレスポンスのみを前記クライアントに送信する場合
に、前記第２の復号手段により復号されたレスポンスで
はなく、所定の暗号処理がなされたレスポンスを前記ク
ライアントに送信することを特徴とする付記２８に記載
のフィルタリング装置。

【０２６８】（付記３０）前記サーバに対する不正アク
セスのパターンに対応付けて、該不正アクセスが成功若
しくは進行している旨を示す偽のレスポンスを格納した
偽レスポンスデータベースと、前記偽レスポンスデータ
ベースを参照して、不正アクセスとして前記サーバに受
け渡されなかったアクセス要求のパターンに対応した偽
のレスポンスを作成する偽レスポンス作成手段と、前記
偽レスポンス作成手段により作成された偽のレスポンス
を前記クライアントに送信する偽レスポンス送信手段
と、をさらに備えたことを特徴とする付記１〜２９のい
ずれか一つに記載のフィルタリング装置。

【０２６９】（付記３１）不正なアクセスとして前記サ
ーバに受け渡されなかったアクセス要求を受け入れて、
該不正アクセスが成功若しくは進行している旨を示す偽
のレスポンスを前記サーバのおとりとして作成するおと
り手段と、前記おとり手段により作成された偽のレスポ
ンスを前記クライアントに送信する偽レスポンス送信手
段と、をさらに備えたことを特徴とする付記１〜２９の
いずれか一つに記載のフィルタリング装置。

【０２７０】（付記３２）前記サーバに対する不正アク
セスのパターンに対応付けて、該不正アクセスが成功若
しくは進行している旨を示す偽のレスポンスを格納した
偽レスポンスデータベースと、不正アクセスとして前記
サーバに受け渡されなかったアクセス要求のうち、前記
偽レスポンスデータベースに格納された不正アクセスの
パターンに対応するアクセス要求について該パターンに
対応した偽のレスポンスを作成する偽レスポンス作成手
段と、不正アクセスとして前記サーバに受け渡されなか
ったアクセス要求のうち、前記偽レスポンスデータベー
スに格納された不正アクセスのパターンに対応しないア
クセス要求を受け入れて、該不正アクセスが成功若しく
は進行している旨を示す偽のレスポンスを前記サーバの
おとりとして作成するおとり手段と、前記偽レスポンス
作成手段または前記おとり手段により作成された偽のレ
スポンスを前記クライアントに送信する偽レスポンス送
信手段と、をさらに備えたことを特徴とする付記１〜２
９のいずれか一つに記載のフィルタリング装置。

【０２７１】（付記３３）クライアントと該クライアン
トからのアクセス要求に応じてサービスを提供するサー
バとの間に介在し、前記アクセス要求のうちの正当なア
クセス要求のみを前記サーバに受け渡すフィルタリング
方法において、前記サーバに対する不正アクセスのパタ
ーンを格納した不正パターンデータベースを参照し、該
参照した不正アクセスのパターンおよび所定の第１の見
積ルールに基づいて前記アクセス要求の正当性を見積も
る第１の見積工程と、前記第１の見積工程による見積結
果および所定の第１の判定ルールに基づいて前記アクセ
ス要求を前記サーバに受け渡すか否かを判定する第１の
判定工程と、を含んだことを特徴とするフィルタリング
方法。

【０２７２】（付記３４）前記第１の見積工程は、前記
アクセス要求が前記不正パターンデータベースに格納さ
れた不正アクセスのパターンのいずれかに該当する場合
に該アクセス要求は不正アクセスである旨を見積もると
ともに、前記アクセス要求が前記不正パターンデータベ
ースに格納された不正アクセスのパターンのいずれにも
該当しない場合に該アクセス要求は正当アクセスである
旨を見積もり、前記第１の判定工程は、前記第１の見積
工程により不正アクセスである旨が見積もられたアクセ
ス要求を前記サーバに受け渡さないものと判定するとと
もに、前記第１の見積工程により正当アクセスである旨
が見積もられたアクセス要求を前記サーバに受け渡すも
のと判定することを特徴とする付記３３に記載のフィル
タリング方法。

【０２７３】（付記３５）前記第１の見積工程は、前記
アクセス要求が前記不正パターンデータベースに格納さ
れた不正アクセスのパターンに該当する度合に応じて所
定の見積値を算出し、前記第１の判定工程は、前記第１
の見積工程により算出された見積値と所定の閾値とを比
較して前記アクセス要求を前記サーバに受け渡すか否か
を判定することを特徴とする付記３３に記載のフィルタ
リング方法。

【０２７４】（付記３６）前記第１の見積工程による正
当性の見積もりの前に、前記サーバに対する正当アクセ
スのパターンを格納した正当パターンデータベースを参
照し、前記アクセス要求が前記正当パターンデータベー
スに格納された正当アクセスのパターンのいずれかに該
当するか否かを判定する事前判定工程をさらに含み、前
記第１の見積工程は、前記事前判定工程により正当アク
セスのパターンに該当しないものと判定されたアクセス
要求のみについて正当性を見積もることを特徴とする付
記３３、３４または３５に記載のフィルタリング方法。

【０２７５】（付記３７）所定の第１の外部送信ルール
に基づいて、前記第１の判定工程により前記サーバに受
け渡さないものと判定されたアクセス要求を所定の外部
装置に送信する第１の外部送信工程をさらに含んだこと
を特徴とする付記３３〜３６のいずれか一つに記載のフ
ィルタリング方法。

【０２７６】（付記３８）所定の第１の格納ルールに基
づいて、前記第１の判定工程により前記サーバに受け渡
さないものと判定されたアクセス要求を所定の格納媒体
に格納する第１の格納工程をさらに含んだことを特徴と
する付記３３〜３７のいずれか一つに記載のフィルタリ
ング方法。

【０２７７】（付記３９）所定の第１の更新ルールに基
づいて、前記不正パターンデータベース、正当パターン
データベース、第１の見積ルール、第１の判定ルール、
第１の外部送信ルール、第１の格納ルールまたは第１の
更新ルールを更新する第１の更新工程をさらに含んだこ
とを特徴とする付記３３〜３８のいずれか一つに記載の
フィルタリング方法。

【０２７８】（付記４０）前記サーバに対するアクセス
要求の統計からみて不正アクセスとみなされるアクセス
要求に関する情報を格納した統計的不正データベースを
参照し、所定の第２の見積ルールに基づいて前記アクセ
ス要求の正当性を見積もる第２の見積工程と、前記見積
工程による見積結果および所定の第２の判定ルールに基
づいて前記アクセス要求を前記サーバに受け渡すか否か
を判定する第２の判定工程と、前記第１および第２の判
定工程により前記サーバに受け渡すものと判定されたア
クセス要求のみを正当なアクセス要求として前記サーバ
に受け渡すアクセス要求受渡工程と、をさらに含んだこ
とを特徴とする付記３３〜３９のいずれか一つに記載の
フィルタリング方法。

【０２７９】（付記４１）前記統計的不正データベース
は、前記サーバに対してアクセス要求を送信したクライ
アントのうち、所定時間内のアクセス要求数が所定数を
超えたクライアントの送信元情報を格納するものであっ
て、前記第２の見積工程は、前記アクセス要求の送信元
情報が前記統計的不正データベースに格納された送信元
情報のいずれかに該当する場合に該アクセス要求は不正
アクセスである旨を見積もるとともに、前記アクセス要
求の送信元情報が前記統計的不正データベースに格納さ
れた送信元情報のいずれにも該当しない場合に該アクセ
ス要求は正当アクセスである旨を見積もり、前記第２の
判定工程は、前記第２の見積工程により不正アクセスで
ある旨が見積もられたアクセス要求を前記サーバに受け
渡さないものと判定するとともに、前記第２の見積工程
により正当アクセスである旨が見積もられたアクセス要
求を前記サーバに受け渡すものと判定することを特徴と
する付記４０に記載のフィルタリング方法。

【０２８０】（付記４２）前記統計的不正データベース
は、前記サーバに対して送信されたアクセス要求の要求
内容のうち、所定時間内のアクセス要求数が所定数を超
えた要求内容を格納するものであって、前記第２の見積
工程は、前記アクセス要求の要求内容が前記統計的不正
データベースに格納された要求内容のいずれかに該当す
る場合に該アクセス要求は不正アクセスである旨を見積
もるとともに、前記アクセス要求の要求内容が前記統計
的不正データベースに格納された要求内容のいずれにも
該当しない場合に該アクセス要求は正当アクセスである
旨を見積もり、前記第２の判定工程は、前記第２の見積
工程により不正アクセスである旨が見積もられたアクセ
ス要求を前記サーバに受け渡さないものと判定するとと
もに、前記第２の見積工程により正当アクセスである旨
が見積もられたアクセス要求を前記サーバに受け渡すも
のと判定することを特徴とする付記４０に記載のフィル
タリング方法。

【０２８１】（付記４３）前記統計的不正データベース
は、前記サーバに対してアクセス要求を送信したクライ
アントのうち、所定時間内のアクセス要求数が所定数を
超えたクライアントの送信元情報を格納するとともに、
前記サーバに対して送信されたアクセス要求の要求内容
のうち、所定時間内のアクセス要求数が所定数を超えた
要求内容を格納するものであって、前記第２の見積工程
は、前記アクセス要求の送信元情報が前記統計的不正デ
ータベースに格納された送信元情報のいずれかに該当す
る場合または前記アクセス要求の要求内容が前記統計的
不正データベースに格納された要求内容のいずれかに該
当する場合に該アクセス要求は不正アクセスである旨を
見積もるとともに、前記アクセス要求の送信元情報が前
記統計的不正データベースに格納された送信元情報のい
ずれにも該当しない場合および前記アクセス要求の要求
内容が前記統計的不正データベースに格納された要求内
容のいずれかにも該当しない場合に該アクセス要求は正
当アクセスである旨を見積もり、前記第２の判定工程
は、前記第２の見積工程により不正アクセスである旨が
見積もられたアクセス要求を前記サーバに受け渡さない
ものと判定するとともに、前記第２の見積工程により正
当アクセスである旨が見積もられたアクセス要求を前記
サーバに受け渡すものと判定することを特徴とする付記
４０に記載のフィルタリング方法。

【０２８２】（付記４４）前記統計的不正データベース
は、前記サーバに対してアクセス要求を送信したクライ
アントのうち、所定時間内のアクセス要求数が所定数を
超えたクライアントの送信元情報を格納するとともに、
前記サーバに対して送信されたアクセス要求の要求内容
のうち、所定時間内のアクセス要求数が所定数を超えた
要求内容を格納するものであって、前記第２の見積工程
は、前記アクセス要求の送信元情報および要求内容が前
記統計的不正データベースに格納された送信元情報およ
び要求内容に該当する度合に応じて所定の見積値を算出
し、前記第２の判定工程は、前記第２の見積工程により
算出された見積値と所定の閾値とを比較して前記アクセ
ス要求を前記サーバに受け渡すか否かを判定することを
特徴とする付記４０に記載のフィルタリング方法。

【０２８３】（付記４５）前記第２の見積工程は、前記
第１の判定工程により前記サーバに受け渡すものと判定
されたアクセス要求のみについて正当性を見積もること
を特徴とする付記４０〜４４のいずれか一つに記載のフ
ィルタリング方法。

【０２８４】（付記４６）前記第１の見積工程は、前記
第２の判定工程により前記サーバに受け渡すものと判定
されたアクセス要求のみについて正当性を見積もること
を特徴とする付記４０〜４４のいずれか一つに記載のフ
ィルタリング方法。

【０２８５】（付記４７）前記事前判定工程は、前記第
２の判定工程により前記サーバに受け渡すものと判定さ
れたアクセス要求のみについて前記正当パターンデータ
ベースに格納された正当アクセスのパターンのいずれか
に該当するか否かを判定することを特徴とする付記４０
〜４４のいずれか一つに記載のフィルタリング方法。

【０２８６】（付記４８）所定の第２の外部送信ルール
に基づいて、前記アクセス要求受渡工程により前記サー
バに受け渡されなかったアクセス要求を所定の外部装置
に送信する第２の外部送信工程をさらに含んだことを特
徴とする付記４０〜４７のいずれか一つに記載のフィル
タリング方法。

【０２８７】（付記４９）所定の第２の格納ルールに基
づいて、前記アクセス要求受渡工程により前記サーバに
受け渡されなかったアクセス要求を所定の格納媒体に格
納する第２の格納工程をさらに含んだことを特徴とする
付記４０〜４８のいずれか一つに記載のフィルタリング
方法。

【０２８８】（付記５０）所定の第２の更新ルールおよ
び／または前記サーバに対するアクセス要求の統計に基
づいて、前記統計的不正データベース、第２の見積ルー
ル、第２の判定ルール、第２の外部送信ルール、第２の
格納ルールおよび／または第２の更新ルールを更新する
第２の更新工程をさらに含んだことを特徴とする付記４
０〜４９のいずれか一つに記載のフィルタリング方法。

【０２８９】（付記５１）前記第２の更新工程は、所定
時間内に前記サーバに対してアクセス要求を送信した各
クライアントごとのアクセス要求数および／または所定
時間内に前記サーバに対して送信されたアクセス要求の
各要求内容ごとのアクセス要求数に応じて、前記統計的
不正データベースに格納される送信元情報および／また
は要求内容を追加および／または削除することを特徴と
する付記５０に記載のフィルタリング方法。

【０２９０】（付記５２）前記アクセス要求に応じて前
記サーバから前記クライアントに対して前記サービスと
して送信されるレスポンスのうち、前記クライアントに
対して送信されるべきでない不正レスポンスのパターン
を格納した不正レスポンスデータベースを参照し、所定
のレスポンス見積ルールに基づいて前記レスポンスの正
当性を見積もるレスポンス見積工程と、前記レスポンス
見積工程による見積結果および所定のレスポンス判定ル
ールに基づいて前記レスポンスを前記クライアントに送
信するか否かを判定するレスポンス判定工程と、前記レ
スポンス判定工程により前記クライアントに送信するも
のと判定されたレスポンスのみを正当なレスポンスとし
て前記クライアントに送信するレスポンス送信工程と、
をさらに含んだことを特徴とする付記３３〜５１のいず
れか一つに記載のフィルタリング方法。

【０２９１】（付記５３）前記レスポンス見積工程は、
前記レスポンスが前記不正レスポンスデータベースに格
納された不正レスポンスのパターンのいずれかに該当す
る場合に該レスポンスは不正レスポンスである旨を見積
もるとともに、前記レスポンスが前記不正レスポンスデ
ータベースに格納された不正レスポンスのパターンのい
ずれにも該当しない場合に該レスポンスは正当レスポン
スである旨を見積もり、前記レスポンス判定工程は、前
記レスポンス見積工程により不正レスポンスである旨が
見積もられたレスポンスを前記クライアントに送信しな
いものと判定するとともに、前記レスポンス見積工程に
より正当レスポンスである旨が見積もられたレスポンス
を前記クライアントに送信するものと判定することを特
徴とする付記５２に記載のフィルタリング方法。

【０２９２】（付記５４）前記レスポンス見積工程は、
前記レスポンスが前記不正レスポンスデータベースに格
納された不正レスポンスのパターンに該当する度合に応
じて所定の見積値を算出し、前記レスポンス判定工程
は、前記レスポンス見積工程により算出された見積値と
所定の閾値とを比較して前記レスポンスを前記クライア
ントに送信するか否かを判定することを特徴とする付記
５２に記載のフィルタリング方法。

【０２９３】（付記５５）所定の第３の外部送信ルール
に基づいて、前記レスポンス送信工程により前記クライ
アントに送信されなかったレスポンスおよび／または該
レスポンスの起因となったアクセス要求を所定の外部装
置に送信する第３の外部送信工程をさらに含んだことを
特徴とする付記５２、５３または５４に記載のフィルタ
リング方法。

【０２９４】（付記５６）所定の第３の格納ルールに基
づいて、前記レスポンス送信工程により前記クライアン
トに送信されなかったレスポンスおよび／または該レス
ポンスの起因となったアクセス要求を所定の格納媒体に
格納する第３の格納工程をさらに含んだことを特徴とす
る付記５２〜５５のいずれか一つに記載のフィルタリン
グ方法。

【０２９５】（付記５７）所定の第３の更新ルールに基
づいて、前記不正レスポンスデータベース、レスポンス
見積ルール、レスポンス判定ルール、第３の外部送信ル
ール、第３の格納ルールおよび／または第３の更新ルー
ルを更新する第３の更新工程をさらに含んだことを特徴
とする付記５２〜５６のいずれか一つに記載のフィルタ
リング方法。

【０２９６】（付記５８）所定の暗号処理がなされたア
クセス要求を復号する第１の復号工程をさらに含み、前
記第１の見積工程、事前判定工程または第２の見積工程
は、前記第１の復号工程により復号されたアクセス要求
について見積または判定をおこなうことを特徴とする付
記３３〜５７のいずれか一つに記載のフィルタリング方
法。

【０２９７】（付記５９）前記アクセス要求のうちの正
当なアクセス要求のみを前記サーバに受け渡す場合に、
前記第１の復号工程により復号されたアクセス要求では
なく、所定の暗号処理がなされたアクセス要求を前記サ
ーバに受け渡すことを特徴とする付記５８に記載のフィ
ルタリング方法。

【０２９８】（付記６０）所定の暗号処理がなされたレ
スポンスを復号する第２の復号工程をさらに含み、前記
レスポンス見積工程は、前記第２の復号工程により復号
されたレスポンスについて見積をおこなうことを特徴と
する付記５８または５９に記載のフィルタリング方法。

【０２９９】（付記６１）前記レスポンスのうちの正当
なレスポンスのみを前記クライアントに送信する場合
に、前記第２の復号工程により復号されたレスポンスで
はなく、所定の暗号処理がなされたレスポンスを前記ク
ライアントに送信することを特徴とする付記６０に記載
のフィルタリング方法。

【０３００】（付記６２）前記サーバに対する不正アク
セスのパターンに対応付けて、該不正アクセスが成功若
しくは進行している旨を示す偽のレスポンスを格納した
偽レスポンスデータベースを参照して、不正アクセスと
して前記サーバに受け渡されなかったアクセス要求のパ
ターンに対応した偽のレスポンスを作成する偽レスポン
ス作成工程と、前記偽レスポンス作成工程により作成さ
れた偽のレスポンスを前記クライアントに送信する偽レ
スポンス送信工程と、をさらに含んだことを特徴とする
付記３３〜６１のいずれか一つに記載のフィルタリング
方法。

【０３０１】（付記６３）不正なアクセスとして前記サ
ーバに受け渡されなかったアクセス要求を受け入れて、
該不正アクセスが成功若しくは進行している旨を示す偽
のレスポンスを前記サーバのおとりとして作成するおと
り工程と、前記おとり工程により作成された偽のレスポ
ンスを前記クライアントに送信する偽レスポンス送信工
程と、をさらに含んだことを特徴とする付記３３〜６１
のいずれか一つに記載のフィルタリング方法。

【０３０２】（付記６４）前記サーバに対する不正アク
セスのパターンに対応付けて、該不正アクセスが成功若
しくは進行している旨を示す偽のレスポンスを格納した
偽レスポンスデータベースを参照し、不正アクセスとし
て前記サーバに受け渡されなかったアクセス要求のう
ち、前記偽レスポンスデータベースに格納された不正ア
クセスのパターンに対応するアクセス要求について該パ
ターンに対応した偽のレスポンスを作成する偽レスポン
ス作成工程と、不正アクセスとして前記サーバに受け渡
されなかったアクセス要求のうち、前記偽レスポンスデ
ータベースに格納された不正アクセスのパターンに対応
しないアクセス要求を受け入れて、該不正アクセスが成
功若しくは進行している旨を示す偽のレスポンスを前記
サーバのおとりとして作成するおとり工程と、前記偽レ
スポンス作成工程または前記おとり工程により作成され
た偽のレスポンスを前記クライアントに送信する偽レス
ポンス送信工程と、をさらに含んだことを特徴とする付
記３３〜６１のいずれか一つに記載のフィルタリング方
法。

【０３０３】（付記６５）前記付記３３〜６４のいずれ
か一つに記載された方法をコンピュータに実行させるプ
ログラム。

【０３０４】

【発明の効果】以上説明したように、請求項１、８また
は９の発明によれば、サーバに対する不正アクセスのパ
ターンを格納した不正パターンデータベースの不正アク
セスのパターンおよび所定の見積ルールに基づいてアク
セス要求の正当性を見積もり、この見積結果および所定
の判定ルールに基づいてアクセス要求をサーバに受け渡
すか否かを判定することとしたので、アクセス要求の送
信元情報ではなくアクセス要求の具体的な要求内容に基
づいて不正アクセスであるか否かを判定することができ
る。これにより、正当なアクセス要求のみをサーバに受
け渡すことができ、もって不正クライアントと認定され
ていないクライアントからの不正アクセスに対してもサ
ーバを防御することができる。

【０３０５】また、請求項２の発明によれば、アクセス
要求が不正パターンデータベースに格納された不正アク
セスのパターンのいずれかに該当する場合に該アクセス
要求は不正アクセスである旨を見積もるとともに、アク
セス要求が不正パターンデータベースに格納された不正
アクセスのパターンのいずれにも該当しない場合に該ア
クセス要求は正当アクセスである旨を見積もり、不正ア
クセスである旨が見積もられたアクセス要求をサーバに
受け渡さないものと判定するとともに、正当アクセスで
ある旨が見積もられたアクセス要求をサーバに受け渡す
ものと判定することとしたので、アクセス要求が不正リ
クエストのパターンに一致するか否かによって不正アク
セスであるか否かを迅速かつ確実に判定することがで
き、もって不正クライアントと認定されていないクライ
アントからの不正アクセスに対しても迅速かつ確実にサ
ーバを防御することができる。

【０３０６】また、請求項３の発明によれば、アクセス
要求が不正パターンデータベースに格納された不正アク
セスのパターンに該当する度合に応じて所定の見積値を
算出し、この算出された見積値と所定の閾値とを比較し
てアクセス要求をサーバに受け渡すか否かを判定するこ
ととしたので、見積値および閾値の比較によってある程
度の幅を持たせて不正アクセスであるか否かを判定する
ことができ、もって不正クライアントと認定されていな
いクライアントからの不正アクセスに対してもある程度
の幅を持ってサーバを防御することができる。

【０３０７】また、請求項４の発明によれば、正当性の
見積もりの前に、サーバに対する正当アクセスのパター
ンを格納した正当パターンデータベースを参照し、アク
セス要求が正当パターンデータベースに格納された正当
アクセスのパターンのいずれかに該当するか否かを判定
し、正当アクセスのパターンに該当しないもの判定され
たアクセス要求のみについて正当性を見積もることとし
たので、正当アクセスのパターンと一致するアクセス要
求については正当性を見積もることなくサーバに受け渡
す一方、正当アクセスのパターンと一致しないアクセス
要求のみについて正当性を見積もることができ、もって
不正アクセスであるか否かを全体としてより迅速に判定
することができる。

【０３０８】また、請求項５の発明によれば、所定の外
部送信ルールに基づいて、サーバに受け渡さないものと
判定されたアクセス要求を所定の外部装置に送信するこ
ととしたので、不正アクセスに関する情報をサーバの管
理者、フィルタリング装置の管理者、ネットワーク全般
を監視する公的な機関の管理者などに迅速に送信するこ
とができ、もってかかる管理者に対しサーバの保全対策
を迅速に促すことができる。

【０３０９】また、請求項６の発明によれば、所定の格
納ルールに基づいて、サーバに受け渡さないものと判定
されたアクセス要求を所定の格納媒体に格納することと
したので、格納媒体に格納された不正アクセスに関する
情報を分析することなどができ、もってサーバの更なる
保全対策を講じることができる。

【０３１０】また、請求項７の発明によれば、所定の更
新ルールに基づいて、不正パターンデータベース、正当
パターンデータベース、見積ルール、判定ルール、外部
送信ルール、格納ルールまたは更新ルールを更新するこ
ととしたので、新たに発見された不正アクセスのパター
ンを不正パターンデータベースに登録することなどがで
き、もって日々進化する不正アクセスに対して機動的に
対応することができる。

【図面の簡単な説明】

【図１】本実施の形態１に係るサーバクライアントシス
テムの構成を示すブロック図である。

【図２】不正リクエストＤＢに格納される情報の構成例
を示す図である。

【図３】本実施の形態１によるフィルタリングの処理手
順を説明するフローチャートである。

【図４】本実施の形態２によるフィルタリングの処理手
順を説明するフローチャートである。

【図５】本実施の形態３に係るサーバクライアントシス
テムの構成を示すブロック図である。

【図６】本実施の形態３によるフィルタリングの処理手
順を説明するフローチャートである。

【図７】本実施の形態４に係るサーバクライアントシス
テムの構成を示すブロック図である。

【図８】本実施の形態４によるフィルタリングの処理手
順を説明するフローチャートである。

【図９】本実施の形態４の変形例に係るサーバクライア
ントシステムの構成を示すブロック図である。

【図１０】本実施の形態５に係るサーバクライアントシ
ステムの構成を示すブロック図である。

【図１１】本実施の形態６に係るサーバクライアントシ
ステムの構成を示すブロック図である。

【図１２】本実施の形態６によるフィルタリングの処理
手順を説明するフローチャートである。

【図１３】本実施の形態７に係るサーバクライアントシ
ステムの構成を示すブロック図である。

【図１４】本実施の形態８に係るサーバクライアントシ
ステムの構成を示すブロック図である。

【図１５】本実施の形態８によるフィルタリングの処理
手順を説明するフローチャートである。

【図１６】本実施の形態９に係るサーバクライアントシ
ステムの構成を示すブロック図である。

【図１７】本実施の形態９によるフィルタリングの処理
手順を説明するフローチャートである。

【図１８】本実施の形態１０に係るサーバクライアント
システムの構成を示すブロック図である。

【図１９】本実施の形態１０に係るサーバクライアント
システムの構成を示すブロック図である。

【符号の説明】

１ ネットワーク １０ クライアント装置 １１ Ｗｅｂブラウザ ２０、６０ サーバ装置 ３０、７０ リクエストフィルタ ３１ 受信部 ３２ 見積部 ３２ａ 見積ルール ３３ 不正リクエストＤＢ ３４ 判定部 ３４ａ 判定ルール ３５ 送信部 ３６ ログ管理部 ３６ａ 管理ルール ３７ 外部通報部 ３７ａ 通報ルール ３８ 外部情報取得部 ３８ａ 取得ルール ３９ 更新部 ３９ａ 更新ルール ４０ Ｗｅｂサーバ ５０ 外部装置 ７１ 事前判定部 ７１ａ 事前判定ルール ７２ 正当リクエストＤＢ ８０、９０ サーバ装置 ８１、９１ リクエストフィルタ ８２ 第１見積部 ８２ａ 見積ルール ８３ 不正リクエストＤＢ ８４ 第１判定部 ８４ａ 判定ルール ８５ 第１見積部 ８５ａ 見積ルール ８６ 統計的不正リクエストＤＢ ８７ 第２判定部 ８７ａ 判定ルール ８８ 送信部 １００ サーバ装置 １０１ リクエストフィルタ １０２ アクセス管理部 １０３ 動的更新部 １０３ａ 更新ルール １１０、１２０ サーバ装置 １１１、１２１ リクエストフィルタ １１２ レスポンス受信部 １１３ レスポンス見積部 １１３ａ 見積ルール １１４ 不正レスポンスＤＢ １１５ レスポンス判定部 １１５ａ 判定ルール １１６ レスポンス送信部 １２２、１２３ 復号部 １３０、１４０、１５０ サーバ装置 １３１、１４１、１５１ リクエストフィルタ １３２、１５２ 偽レスポンス作成部 １３２ａ、１５２ａ 作成ルール １３３ 偽レスポンスＤＢ １３４ レスポンス送信部 １４２ 偽Ｗｅｂサーバ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 小谷 誠剛 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 滝沢 文恵 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 小野 越夫 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 小谷野 修 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 Ｆターム(参考） 5B085 AE00 BC02 5B089 GA12 GA21 GB02 HA10 KA17 5K030 GA15 HC01 KA07 LC15

Claims (9)

【特許請求の範囲】
1. 【請求項１】 クライアントと該クライアントからのア
   クセス要求に応じてサービスを提供するサーバとの間に
   介在し、前記アクセス要求のうちの正当なアクセス要求
   のみを前記サーバに受け渡すフィルタリング装置におい
   て、 前記サーバに対する不正アクセスのパターンを格納した
   不正パターンデータベースと、 前記不正パターンデータベースに格納された不正アクセ
   スのパターンおよび所定の見積ルールに基づいて前記ア
   クセス要求の正当性を見積もる見積手段と、 前記見積手段による見積結果および所定の判定ルールに
   基づいて前記アクセス要求を前記サーバに受け渡すか否
   かを判定する判定手段と、 を備えたことを特徴とするフィルタリング装置。
2. 【請求項２】 前記見積手段は、前記アクセス要求が前
   記不正パターンデータベースに格納された不正アクセス
   のパターンのいずれかに該当する場合に該アクセス要求
   は不正アクセスである旨を見積もるとともに、前記アク
   セス要求が前記不正パターンデータベースに格納された
   不正アクセスのパターンのいずれにも該当しない場合に
   該アクセス要求は正当アクセスである旨を見積もり、前
   記判定手段は、前記見積手段により不正アクセスである
   旨が見積もられたアクセス要求を前記サーバに受け渡さ
   ないものと判定するとともに、前記見積手段により正当
   アクセスである旨が見積もられたアクセス要求を前記サ
   ーバに受け渡すものと判定することを特徴とする請求項
   １に記載のフィルタリング装置。
3. 【請求項３】 前記見積手段は、前記アクセス要求が前
   記不正パターンデータベースに格納された不正アクセス
   のパターンに該当する度合に応じて所定の見積値を算出
   し、前記判定手段は、前記見積手段により算出された見
   積値と所定の閾値とを比較して前記アクセス要求を前記
   サーバに受け渡すか否かを判定することを特徴とする請
   求項１に記載のフィルタリング装置。
4. 【請求項４】 前記サーバに対する正当アクセスのパタ
   ーンを格納した正当パターンデータベースと、前記見積
   手段による正当性の見積もりの前に、前記アクセス要求
   が前記正当パターンデータベースに格納された正当アク
   セスのパターンのいずれかに該当するか否かを判定する
   事前判定手段と、をさらに備え、前記見積手段は、前記
   事前判定手段により正当アクセスのパターンに該当しな
   いものと判定されたアクセス要求のみについて正当性を
   見積もることを特徴とする請求項１、２または３に記載
   のフィルタリング装置。
5. 【請求項５】 所定の外部送信ルールに基づいて、前記
   判定手段により前記サーバに受け渡さないものと判定さ
   れたアクセス要求を所定の外部装置に送信する外部送信
   手段をさらに備えたことを特徴とする請求項１〜４のい
   ずれか一つに記載のフィルタリング装置。
6. 【請求項６】 所定の格納ルールに基づいて、前記判定
   手段により前記サーバに受け渡さないものと判定された
   アクセス要求を所定の格納媒体に格納する格納手段をさ
   らに備えたことを特徴とする請求項１〜５のいずれか一
   つに記載のフィルタリング装置。
7. 【請求項７】 所定の更新ルールに基づいて、前記不正
   パターンデータベース、正当パターンデータベース、見
   積ルール、判定ルール、外部送信ルール、格納ルールま
   たは更新ルールを更新する更新手段をさらに備えたこと
   を特徴とする請求項１〜６のいずれか一つに記載のフィ
   ルタリング装置。
8. 【請求項８】 クライアントからのアクセス要求に応じ
   てサービスを提供するサーバに対し、前記クライアント
   からのアクセス要求のうちの正当なアクセス要求のみを
   受け渡すフィルタリング方法において、 前記サーバに対する不正アクセスのパターンを格納した
   不正パターンデータベースを参照し、該参照した不正ア
   クセスのパターンおよび所定の見積ルールに基づいて前
   記アクセス要求の正当性を見積もる見積工程と、 前記見積工程による見積結果および所定の判定ルールに
   基づいて前記アクセス要求を前記サーバに受け渡すか否
   かを判定する判定工程と、 を含んだことを特徴とするフィルタリング方法。
9. 【請求項９】 クライアントからのアクセス要求に応じ
   てサービスを提供するサーバに対し、前記クライアント
   からのアクセス要求のうちの正当なアクセス要求のみを
   受け渡すフィルタリング方法をコンピュータに実行させ
   るプログラムにおいて、 前記サーバに対する不正アクセスのパターンを格納した
   不正パターンデータベースを参照し、該参照した不正ア
   クセスのパターンおよび所定の見積ルールに基づいて前
   記アクセス要求の正当性を見積もる見積工程と、 前記見積工程による見積結果および所定の判定ルールに
   基づいて前記アクセス要求を前記サーバに受け渡すか否
   かを判定する判定工程と、 をコンピュータに実行させるプログラム。