JP2017054332A - 通信先判定装置、通信先判定方法、及び、通信先判定プログラム - Google Patents

Abstract

【課題】脅威である可能性が高い通信先を検知することが可能な通信先判定装置等を提供する。
【解決手段】
通信先判定装置１０１は、通信ネットワークを介して通信先１０４から送信された第１信号を受信した場合に、該第１信号に呼応する第２信号を通信先１０４に送信する信号送信部１０２と、該第２信号を送信したタイミングからある時間内に通信先１０４から送信された第３信号を受信するか否かに基づいて、通信先１０４が脅威である可能性が高いか否かを分類する通信先判定部１０３とを有する。
【選択図】 図１

Description

本発明は、セキュリティを担保するのに有用な通信先判定装置等に関する。

ウェブ（Ｗｅｂ）サーバやメールサーバ等のサーバは、イントラネット、または、インターネット等の通信ネットワークを介して、メールを取得する要求（リクエスト）等を、多数の通信先（通信装置）から受信する。

たとえば、特許文献１及び特許文献２は、通信ネットワークを介して受信したリクエスト信号を処理可能なサーバを管理する装置を開示している。該特許文献１、及び、該特許文献２に開示された技術について、それぞれ説明する。

特許文献１に開示された管理装置は、通信ネットワークを介して受信したリクエスト信号の回数が、所定の時間間隔、及び、該リクエストの種類ごとに分類されたリクエスト分類ログを作成する。該管理装置は、さらに、該所定の時間間隔ごとに、該リクエストを処理したサーバにおけるリソースの使用量が記録されたシステムログを生成する。該管理装置は、作成したリクエスト分類ログと、作成したシステムログとに基づいて、リクエストごとに、該リクエストを処理するのに要したリソースの使用量を算出する。

特許文献２に開示されたリクエスト制限装置は、サーバにおける処理負荷の状況に応じて、該負荷を低減する可能性が高いリクエストを制限することができる。該リクエスト制限装置は、リクエストを複数のリクエストパタンに分類し、リクエストに応じた処理を実行する場合の負荷を、分類したリクエストパタンごとに算出する。該リクエスト制限装置は、あるリクエストに対して、該あるリクエストが属するリクエストパタンを特定し、特定したリクエストパタンに属するリクエストを処理する場合の負荷に基づいて、該あるリクエストを制限するか否かを判定する。

上述した例のようなサーバを構築する場合には、該サーバにおける高いセキュリティを担保する必要があることに加え、さらに、悪意を有する通信先から、通信ネットワークを介して脅威（不正プログラム）を受けるリスクを低減する必要がある。たとえば、特許文献３は、ホスト装置が有する脆弱性を診断可能な脆弱性診断実施装置を開示している。

該脆弱性診断実施装置は、ホスト装置に対して脆弱性を診断する処理を実行した場合に、該処理を実行した時間を表す履歴情報を有している。該脆弱性診断実施装置は、あるホスト装置に関する脆弱性を診断する場合に、該履歴情報に基づいて、該あるホスト装置に関する脆弱性を診断するのに要する時間を推定し、推定した時間に基づいて、該あるホスト装置を診断するスケジュールを作成する。

国際公開第２００８／００７６６９号 特開２００７−３２８４１７号公報 特開２００９−２３７８０７号公報

悪意を有する通信先がある装置に攻撃する方法は多様化している。この結果、たとえ、特許文献３に開示された脆弱性診断実施装置を用いて、効率的にサーバに関する脆弱性を診断したとしても、必ずしも、すべての脆弱性を診断できるとは限らない。この理由は、該装置が、必ずしも、多様化している攻撃方法に従い攻撃する通信先を検知できるとは限らないからである。

そこで、本発明の主たる目的は、脅威である可能性が高い通信先を検知することが可能な通信先判定装置等を提供することである。

前述の目的を達成するために、本発明の一態様において、通信先判定装置は、
通信ネットワークを介して通信先から送信された第１信号を受信した場合に、前記第１信号に呼応する第２信号を前記通信先に送信する信号送信手段と、
前記第２信号を送信したタイミングからある時間内に前記通信先から送信された第３信号を受信するか否かに基づいて、前記通信先が脅威である可能性が高いか否かを分類する通信先判定手段と
を備える。

また、本発明の他の見地として、通信先判定方法は、
通信ネットワークを介して通信先から送信された第１信号を受信した場合に、前記第１信号に呼応する第２信号を前記通信先に送信し、前記第２信号を送信したタイミングからある時間内に前記通信先から送信された第３信号を受信するか否かに基づいて、前記通信先が脅威である可能性が高いか否かを分類する。

さらに、同目的は、係る通信先判定プログラム、及び、そのプログラムを記録するコンピュータが読み取り可能な記録媒体によっても実現される。

本発明に係る通信先判定装置等によれば、脅威である可能性が高い通信先を検知することができる。

本発明の第１の実施形態に係る通信先判定装置が有する構成を示すブロック図である。 第１の実施形態に係る通信先判定装置における処理の流れを示すフローチャートである。 リクエスト信号の一例を表す図である。 応答信号の一例を表す図である。 本発明の第２の実施形態に係る通信先判定装置が有する構成を示すブロック図である。 第２の実施形態に係る通信先判定装置における処理の流れを示すフローチャートである。 信号情報の一例を概念的に表す図である。 通信履歴情報の一例を概念的に表す図である。 本発明の第３の実施形態に係る通信先判定装置が有する構成を示すブロック図である。 第３の実施形態に係る通信先判定装置における処理の流れを示すフローチャートである。 通信履歴情報の一例を概念的に表す図である。 通信履歴情報の一例を概念的に表す図である。 通信履歴情報の一例を概念的に表す図である。 通信履歴情報の一例を概念的に表す図である。 通信履歴情報の一例を概念的に表す図である。 本発明の各実施形態に係る通信先判定装置を実現可能な計算処理装置のハードウェア構成例を、概略的に示すブロック図である。

次に、本発明を実施する実施形態について図面を参照しながら詳細に説明する。

＜第１の実施形態＞
図１を参照しながら、本発明の第１の実施形態に係る通信先判定装置１０１が有する構成について詳細に説明する。図１は、本発明の第１の実施形態に係る通信先判定装置１０１が有する構成を示すブロック図である。

第１の実施形態に係る通信先判定装置１０１は、信号送信部１０２と、通信先判定部１０３とを有する。

通信先判定装置１０１は、通信ネットワークを介して、通信先（通信装置）１０４に通信接続することができる。

以降、通信先判定装置における処理について説明するが、便宜上、通信ネットワークを介して送受信される情報は、ＨＴＴＰに従って処理されるとする。ＨＴＴＰは、Ｈｙｐｅｒｔｅｘｔ＿Ｔｒａｎｓｆｅｒ＿Ｐｒｏｔｏｃｏｌの略称を表す。尚、通信ネットワークを介して送受信される情報は、ＨＴＴＰに従って処理されなくともよく、異なる通信プロトコルに従って処理されてもよい。

図２を参照しながら、第１の実施形態に係る通信先判定装置１０１における処理について詳細に説明する。図２は、第１の実施形態に係る通信先判定装置１０１における処理の流れを示すフローチャートである。

通信先１０４は、通信ネットワークを介して、通信先判定装置１０１にリクエスト信号（以降、「第１信号」とも表す）を送信する。リクエスト信号は、たとえば、あるファイルを要求する信号である。ＨＴＴＰリクエストの場合、リクエスト信号は、たとえば、例１乃至例３に示すリクエストを含む信号である。

例１：ＧＥＴ ／ ＨＴＴＰ／１．１（ＨＴＴＰバージョン１．１に従い記述された、ディレクトリ「／」におけるファイルをリクエストするリクエスト信号）、
例２：ＧＥＴ ／ｒｏｍ−０ ＨＴＴＰ／１．１（ＨＴＴＰバージョン１．１に従い記述された、ディレクトリ「／」におけるファイル「ｒｏｍ−０」をリクエストするリクエスト信号）、
例３：ＧＥＴ ／ｎｎｎｎ／ｎｎｎ／ｎｎ．ｐｈｐ ＨＴＴＰ／１．１（ＨＴＴＰバージョン１．１に従い記述された、ディレクトリ「／ｎｎｎｎ／ｎｎｎ」におけるファイル「ｎｎ．ｐｈｐ」をリクエストするリクエスト信号）。

図３を参照しながら、より具体的に、リクエスト信号（第１信号）について説明する。図３は、リクエスト信号の一例を表す図である。

たとえば、リクエスト信号は、例１乃至例３に示したリクエストの他に、通信先を表すアドレス（図３における「Ｈｏｓｔ」の項目）が「ｗｗｗ．ｘｘｘ．ｚｚｚ」であることを表す情報等を含むヘッダ（「Ａｃｃｅｐｔ：」乃至「Ｋｅｅｐ−Ａｌｉｖｅ」）を含んでいてもよい。ヘッダは、たとえば、通信先のオペレーティングシステムが「ＯＳ＿１０」であることを表す情報等を含んでもよい。尚、図３に例示されたリクエスト信号は、ＨＴＴＰに従っているので、図３に関する各項目に関する詳細な説明を省略する。

図２を参照すると、信号送信部１０２は、通信先１０４が送信した第１信号（リクエスト信号）を受信する（ステップＳ１０１）。信号送信部１０２は、受信した第１信号に呼応する応答信号（以降、「第２信号」とも表す）を通信先１０４に送信する（ステップＳ１０２）。

ＨＴＴＰバージョン１．１の場合に、応答信号は、図４に例示するような、たとえば、受信したリクエスト信号に対する処理を正常に実行できたことを表す「２００＿ＯＫ」なる応答（レスポンス）を含む信号である。図４は、応答信号（第２信号）の一例を表す図である。応答信号は、「２００＿ＯＫ」なる応答の他、日時等が記述されたヘッダ（「Ｄａｔｅ：」乃至「ｔｅｘｔ／ｈｔｍｌ」）、リクエスト信号に応じた情報（メッセージボディ）等を含んでいてもよい。尚、図４に例示された応答信号は、ＨＴＴＰに従っているので、図４に関する各項目に関しては、詳細な説明を省略する。尚、信号送信部１０２が送信する応答信号は、必ずしも、リクエスト信号に対する処理を正常に実行できたことを表す信号でなくてもよい。

図２を参照すると、ステップＳ１０２の後に、通信先判定部１０３は、通信先１０４に第２信号（応答信号）を送信したタイミングから、ある時間内に通信先１０４から第３信号を受信することができるか否かに基づいて、通信先１０４が脅威である可能性が高いか否かを分類する（ステップＳ１０３）。通信先判定部１０３は、通信先１０４に第２信号を送信したタイミングから、ある時間内に第３信号を受信した場合に、通信先１０４が脅威である可能性が高いと分類する。通信先判定部１０３は、通信先１０４に第２信号を送信したタイミングから、ある時間内に第３信号を受信しなかった場合に、第２信号に関して通信先１０４が脅威である可能性が低いと分類する。

ステップＳ１０３において、第３信号は、たとえば、リクエスト信号である。この場合に、第３信号は、第１信号と同じファイルを要求する信号であってもよいし、異なるファイルを要求する信号であってもよい。

ステップＳ１０３において、ある時間は、たとえば、３０分間である。この場合に、通信先判定部１０３は、通信先１０４に第２信号（応答信号）を送信したタイミングから３０分以内に通信先１０４から第３信号が受信されるか否かに基づいて、通信先１０４が脅威である可能性が高いか否かを分類する。通信先判定部１０３は、通信先１０４に第２信号を送信したタイミングから３０分以内に第３信号を受信した場合に、通信先１０４が脅威である可能性が高いと分類する。通信先判定部１０３は、通信先１０４に第２信号を送信したタイミングから、ある時間内に第３信号を受信しなかった場合に、第２信号に関して通信先１０４が脅威である可能性が低いと分類する。

通信先判定部１０３は、脅威である可能性が高いと分類した通信先１０４を表す情報（たとえば、アドレス）を、表示装置（不図示）、外部装置（不図示）等に出力してもよい。

通信ネットワークを介して実行される通信を監視する管理者は、たとえば、該表示装置に表示された情報を参照することにより、脅威である可能性が高い通信先を特定することができる。

次に、第１の実施形態に係る通信先判定装置１０１に関する効果について説明する。

通信先判定装置１０１によれば、脅威である可能性が高い通信先を検知することができる。この理由について詳細に説明する。

通信ネットワークを介して送受信される信号は、脅威である可能性の高い信号と、脅威である可能性の低い信号とに大別される。本願発明者は、ある通信先から第１信号を受信した場合に該第１信号に呼応して送信する第２信号に対して、ある通信先が、さらに、所定の時間内に第３信号を送信するか否かに基づいて、該ある通信先が脅威である可能性が高いか否かを分類できる傾向を見出した。この判定方法について、以下に詳細に説明する。

説明の便宜上、ある通信先は、通信ネットワークを介して第１信号をサーバに送信するとする。

本願発明者は、ある通信先を、該ある通信先が該第１信号に呼応する第２信号を受信することに応じて、さらに、所定の時間内に第３信号を該サーバに送信する第１通信装置と、どんな第２信号を受信したとしても第３信号を該サーバに送信しない第２通信装置とに大別できることを見出した。さらに、本願発明者は、このような場合において、該第１通信装置が脅威である可能性が高く、該第２通信装置が脅威である可能性が低いという傾向（特徴）を見出した。この結果、本願発明者は、該第１信号に呼応する第２信号を送信してから所定の時間内に第３信号を受信するか否かに基づいて、該ある通信先が脅威である可能性が高いか否かを分類できるという傾向を見出した。

上述したように、本実施形態に係る通信先判定装置１０１が、該傾向を利用することによって、通信先が脅威である可能性が高いか否かを分類するので、本実施形態に係る通信先判定装置１０１によれば、脅威である可能性が高い通信先を検知することができる。

これに対して、特許文献３に記載された脆弱性診断実施装置は、上述したような傾向を利用していないので、必ずしも、脅威である可能性が高い通信先を、検知できるとは限らない。

すなわち、第１の実施形態に係る通信先判定装置１０１によれば、脅威である可能性が高い通信先を検知することができる。

尚、通信先判定装置１０１は、通信先１０４が送信する第１信号を受信するのに応じて処理を開始したが、たとえば、通信先１０４に第４信号を送信し、通信先１０４が該第４信号に呼応して第１信号を送信する態様であってもよい。また、上述した例においては、通信先判定装置１０１が、第２信号を送信し、さらに、第３信号を受信するとしたが、必ずしも、第２信号を送信する処理と、第３信号を受信する処理とを１台の装置において実行する必要はない。通信判定装置１０１が複数台ある場合に、ある通信判定装置が第２信号を送信し、該ある通信判定装置と異なる通信判定装置が第３信号を受信するか否か判定してもよい。

さらに、上述した機能を、たとえば、通信ネットワークに通信接続可能なプロキシサーバを表すＩＰアドレスを探索するプロキシスキャナ（以降、「第２通信先」とも表す）を用いても実現することができる。この場合に、通信先判定装置１０１は、必ずしも、第２信号の送付先が、第１信号を送信した通信先である必要はない。該プロキシサーバを用いて、上述した機能を実現する処理態様について説明する。

プロキシスキャナは、特定の装置に第５信号を送信する。特定の装置は、プロキシスキャナが送信した第５信号を受信し、受信した第５信号に応じて、第６信号をサーバに送信する。サーバは、特定の装置が送信した第６信号を受信し、受信した第６信号に呼応する第７信号を特定の装置に送信する。特定の装置は、サーバが送信した第７信号を受信し、受信した第７信号に応じて、第８信号をプロキシスキャナに送信する。プロキシスキャナは、特定の装置が送信した第８信号を受信する。プロキシスキャナは、第５信号と第６信号とが一致するか否か、第７信号と第８信号とが一致するか否か、及び、第８信号が第５信号に呼応した信号であるか否かに基づいて、特定の装置がプロキシ機能を有しているか否かを判定する。この処理において、特定の装置が通信先判定装置１０１である場合に、通信先判定装置１０１は、プロキシスキャナによって送信された第５信号に呼応して、サーバに第６信号を送信し、該サーバが第６信号に応じて送信する第７信号を、該第６信号を送信したタイミングから所定の時間内に受信するか否かに基づいて、該サーバが脅威である可能性が高いか否かを分類する。

上述した例においては、第１信号を送信した通信先が第３信号を送信する例を参照しながら、該通信先が脅威である可能性が高いか否かを、通信先判定装置１０１が分類する処理の流れを説明したが、必ずしも、通信先は１つでなくてもよい。たとえば、第３の実施形態にて後述するように、通信先判定装置１０１は、信号（第１信号、または、第３信号）を受信するポート等に基づいて、通信先が脅威である可能性が高いか否かを判定してもよい。

＜第２の実施形態＞
次に、上述した第１の実施形態を基本とする本発明の第２の実施形態について説明する。

以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した第１の実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図５を参照しながら、本発明の第２の実施形態に係る通信先判定装置２０８が有する構成について詳細に説明する。図５は、本発明の第２の実施形態に係る通信先判定装置２０８が有する構成を示すブロック図である。

第２の実施形態に係る通信先判定装置２０８は、信号送信部１０２と、通信先判定部１０３と、履歴特定部２０５と、信号選択部２０６と、履歴更新部２０７とを有する。通信先判定装置２０８は、図７を参照しながら後述する信号情報２０９、及び、図８を参照しながら後述する通信履歴情報２１０を、参照、更新、または、格納することができる。

通信先判定装置２０８は、通信ネットワークを介して、通信先（通信装置）１０４に通信接続することができる。

図７を参照しながら信号情報２０９について説明する。図７は、信号情報２０９の一例を概念的に表す図である。

信号情報２０９は、通信先１０４からリクエスト信号（第１信号）を受信した場合に、受信したリクエスト信号に対して有効な応答信号（第２信号）を含む。信号情報２０９は、図７に示すように、応答信号と、該応答信号を識別可能な信号識別子とが関連付けされた情報であってもよい。

図７に例示された信号情報２０９においては、信号識別子「Ｒ１」と、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」とが関連付けされている。これは、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を表す信号識別子が「Ｒ１」であり、リクエスト信号に対して有効な応答信号として「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を送信可能であることを表す。また、図７に例示された信号情報２０９においては、信号識別子「Ｒ２」と、応答信号「４０４＿Ｎｏｔ＿Ｆｏｕｎｄ」とが関連付けされている。これは、応答信号「４０４＿Ｎｏｔ＿Ｆｏｕｎｄ」を表す信号識別子が「Ｒ２」であり、リクエスト信号に対して有効な応答信号として「４０４＿Ｎｏｔ＿Ｆｏｕｎｄ」を送信可能であることを表す。

尚、信号情報２０９は、さらに多くの応答信号を含んでいてもよいし、図７に例示された項目（信号識別子、応答信号）とは異なる項目を含んでいてもよい。すなわち、信号情報２０９は、上述した例に限定されない。

次に、図８を参照しながら、通信履歴情報２１０について説明する。図８は、通信履歴情報２１０の一例を概念的に表す図である。

通信履歴情報２１０は、受信したリクエスト信号に呼応して、通信先１０４に送信した応答信号を含む。通信履歴情報２１０は、図８に示すように、応答信号と、該応答信号を識別可能な信号識別子とが関連付けされた情報であってもよい。

図８に例示された通信履歴情報２１０においては、信号識別子「Ｒ１」と、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」とが関連付けされている。これは、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を表す信号識別子が「Ｒ１」であり、信号送信部１０２が、リクエスト信号（第１信号）に呼応して応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を送信した履歴を表す。

尚、通信履歴情報２１０は、さらに多くの応答信号を含んでいてもよいし、図８に例示された項目とは異なる項目を含んでいてもよい。すなわち、通信履歴情報２１０は、上述した例に限定されない。

次に、図６を参照しながら、第２の実施形態に係る通信先判定装置２０８における処理について詳細に説明する。図６は、第２の実施形態に係る通信先判定装置２０８における処理の流れを示すフローチャートである。

信号送信部１０２は、通信先１０４が送信した第１信号を受信する（ステップＳ１０１）。

履歴特定部２０５は、通信履歴情報２１０に含まれている応答信号を読み取る（ステップＳ２０１）。すなわち、ステップＳ２０１において、履歴特定部２０５は、通信履歴情報２１０から、通信先１０４に対して送信したことがある応答信号（第２信号）を読み取る。

信号選択部２０６は、信号情報２０９に含まれている応答信号のうち、履歴特定部２０５が読み取った応答信号と異なる１つの応答信号を選択する（ステップＳ２０２）。すなわち、ステップＳ２０２において、信号選択部２０６は、リクエスト信号に対する応答として有効な応答信号のうち、通信先１０４に対して送信したことがない応答信号を選択する。尚、通信履歴情報２１０が応答信号を含んでいない場合に、信号選択部２０６は、信号情報２０９に含まれている応答信号のうち、１つの応答信号を選択すればよい。あるいは、履歴特定部２０５が応答信号を含んでいない場合に、信号選択部２０６は、信号情報２０９に含まれている応答信号のうち、受信したリクエスト信号に対して所定の応答信号を選択してもよい。たとえば、リクエスト信号に呼応して送信される応答信号が、特定の応答信号に多く（または、少なく）偏っていることが分かっている場合には、該所定の応答信号として、該特定の応答信号が設定されていてもよい。

信号送信部１０２は、信号選択部２０６が選択した応答信号（すなわち、上述した第２信号）を、通信先１０４に送信する（ステップＳ１０２）。

履歴更新部２０７は、信号送信部１０２が送信した応答信号を通信履歴情報２１０に追加することにより、通信履歴情報２１０を更新する（ステップＳ２０３）。

但し、ステップＳ１０３、ステップＳ２０３の順に処理が実行されてもよい。

次に、第２の実施形態に係る通信先判定装置２０８に関する効果について説明する。

通信先判定装置２０８によれば、脅威である可能性が高い通信先１０４を検知することができる。この理由は、通信先判定装置２０８が有する構成が、第１の実施形態に係る通信先判定装置１０１が有する構成を含むからである。

本実施形態に係る通信先判定装置２０８によれば、脅威である可能性が高い通信先１０４を、効率的に検知することができる。この理由は、通信先１０４がリクエスト信号を送信する契機となる特定の応答信号を、通信先判定装置２０８が探索することができるからである。脅威である可能性が高い通信先１０４は、リクエスト信号に呼応して受信した応答信号が特定の応答信号である場合に、該応答信号を契機として、さらに、リクエスト信号を送信する可能性が高い。しかし、特定の応答信号は不明であるので、脅威である可能性が高い通信先を一層確実に検知する目的のためには、通信先１０４に応じた特定の応答信号を見つけ出すことが必要である。信号選択部２０６は、ある通信先１０４からリクエスト信号を受信した場合に、信号情報２０９に含まれている送信可能な応答信号のうち、通信履歴情報２１０に含まれている応答信号とは異なる応答信号を選択する。信号送信部１０２は、信号選択部２０６が選択した応答信号を送信するので、効率的に特定の応答信号を見つけ出す可能性が高い。

すなわち、本実施形態に係る通信先判定装置２０８によれば、脅威である可能性が高い通信先を、効率的に検知することができる。

尚、上述した処理において、通信先判定装置２０８は、通信履歴情報２１０に含まれている応答信号とは異なる応答信号を通信先１０４に送信したが、信号情報２０９に含まれている各応答信号を送信した場合には、応答信号を送信しない処理構成であってもよい。

また、通信先判定装置２０８は、複数であってもよい。この場合に、複数の通信先判定装置２０８は、１つの通信履歴情報２１０を参照する処理構成であってもよい。たとえば、通信先判定装置２０８が複数であり、各通信先判定装置２０８が１つの通信履歴情報２１０を参照する場合には、より一層効率的に、脅威である可能性が高い通信先を検知することができる。この理由は、通信先１０４が短期間に複数の通信先判定装置２０８に対してリクエスト信号を送信する場合に、各通信先判定装置２０８が通信履歴情報２１０を共有することによって、相互に異なる応答信号を通信先に送信することができるからである。

＜第３の実施形態＞
次に、本発明の第３の実施形態について説明する。

以降の説明においては、本実施形態に係る特徴的な部分を中心に説明すると共に、上述した第２の実施形態と同様な構成については、同一の参照番号を付すことにより、重複する説明を省略する。

図９を参照しながら、本発明の第３の実施形態に係る通信先判定装置３１１が有する構成について詳細に説明する。図９は、本発明の第３の実施形態に係る通信先判定装置３１１が有する構成を示すブロック図である。

第３の実施形態に係る通信先判定装置３１１は、信号送信部１０２と、通信先判定部１０３と、履歴特定部３０５と、信号選択部２０６と、履歴更新部３０７と、通信履歴情報格納部３１０を有する。通信先判定装置３１１は、図７を参照しながら説明したような信号情報２０９を参照することができる。

通信先判定装置３１１は、通信ネットワークを介して、通信先（通信装置）１０４に通信接続することができる。

次に、図１０を参照しながら、第３の実施形態に係る通信先判定装置３１１における処理について詳細に説明する。図１０は、第３の実施形態に係る通信先判定装置３１１における処理の流れを示すフローチャートである。尚、第３の実施形態は、第２の実施形態と比べて、たとえば、通信履歴情報格納部３１０に格納される通信履歴情報に関する処理等が第２の実施形態と異なる。

信号送信部１０２は、通信先１０４が送信した第１信号を受信する（ステップＳ１０１）。

履歴特定部２０５は、通信履歴情報格納部３１０に格納されている、図１１乃至図１５を参照しながら説明するような通信履歴情報に基づき、送信済みの応答信号を読み取る（ステップＳ３０１）。尚、ステップＳ３０１に関する処理については、図１１乃至図１５を参照しながら後述する。

信号選択部２０６は、信号情報２０９に含まれている応答信号のうち、履歴特定部２０５が読み取った応答信号と異なる１つの応答信号を選択する（ステップＳ２０２）。すなわち、ステップＳ２０２において、信号選択部２０６は、リクエスト信号に対する応答として有効な応答信号のうち、未送信の応答信号を選択する。尚、通信履歴情報格納部３１０が、受信したリクエスト信号に対する応答信号を含んでいない場合に、信号選択部２０６は、信号情報２０９に含まれている応答信号のうち、１つの応答信号を選択すればよい。

信号送信部１０２は、信号選択部２０６が選択した応答信号（すなわち、上述した第２信号）を、通信先１０４に送信する（ステップＳ１０２）。

履歴更新部３０７は、信号送信部１０２が送信した応答信号を通信履歴情報格納部３１０に追加することにより、通信履歴情報格納部３１０における通信履歴情報を更新する（ステップＳ３０３）。尚、ステップＳ３０３に関する処理については、図１１乃至図１５を参照しながら後述する。

但し、ステップＳ１０３、ステップＳ３０３の順に処理が実行されてもよい。また、ステップＳ１０３における処理については、図１１乃至図１５を参照しながら後述する分類（判定）処理であってもよい。

次に、図１１乃至図１５に示す各図を参照しながら、通信先判定装置３１１におけるステップＳ３０１及びステップＳ３０３の処理と、通信履歴情報格納部３１０に格納される通信履歴情報と、該処理によって奏する効果とについて説明する。

まず、図１１を参照しながら、通信履歴情報格納部３１０に格納される通信履歴情報３１２と、ステップＳ３０１（図１０）及びステップＳ３０３（図１０）に示す処理と、通信履歴情報３１２の場合に奏する効果とについて説明する。図１１は、通信履歴情報３１２の一例を概念的に表す図である。

通信履歴情報３１２について説明する。

通信履歴情報３１２は、ある通信先に送信した応答信号と、該ある通信先を識別可能な通信先識別子と、該応答信号を識別可能な信号識別子とが関連付けされた情報である。通信履歴情報３１２は、必ずしも、信号識別子を含んでいなくてもよい。

図１１に例示された通信履歴情報３１２においては、信号識別子「Ｒ１」と、通信先識別子「１０．１１．１２．１３」と、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」とが関連付けされている。これは、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を表す信号識別子が「Ｒ１」であり、信号送信部１０２が、リクエスト信号（第１信号）に呼応して応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を、通信先識別子「１０．１１．１２．１３」が表す通信先に送信した履歴を表す。

通信履歴情報３１２に関するステップＳ３０３における処理について説明する。

履歴更新部３０７は、たとえば、図３に例示されたリクエスト信号（第１信号）に基づき、通信先を表す通信先識別子を特定する。履歴更新部３０７は、特定した通信先識別子と、信号送信部１０２が該通信先に送信した応答信号と、該応答信号を表す信号識別子とが関連付けされた情報を作成し、作成した情報を通信履歴情報３１２として通信履歴情報格納部３１０に追加する。

通信履歴情報３１２に関するステップＳ３０１における処理について説明する。

履歴特定部３０５は、図３に例示されたリクエスト信号（第１信号）に基づき、通信先を表す通信先識別子を特定する。履歴特定部３０５は、通信履歴情報格納部３１０に格納されている通信履歴情報３１２において、特定した通信先識別子に関連付けされた応答信号を特定する。

通信履歴情報が通信履歴情報３１２である場合に、本実施形態に係る通信先判定装置３１１によって奏する効果について説明する。本実施形態に係る通信先判定装置３１１によれば、より早期に、脅威である可能性が高い通信先を検知することができる。この理由は、通信先１０４がリクエスト信号を送信する契機となる特定の応答信号を、通信先識別子に基づき通信先判定装置３１１が探索することができるからである。上述したように、脅威である可能性が高い通信先１０４は、リクエスト信号に呼応して受信した応答信号が特定の応答信号である場合に、該応答信号を契機として、リクエスト信号を送信する可能性が高い。しかし、特定の応答信号が通信先１０４によって異なっているので、脅威である可能性が高い通信先を早期に検知する目的のためには、通信先１０４に応じた特定の応答信号を見つけ出すことが必要である。信号選択部２０６は、ある通信先からリクエスト信号を受信した場合に、信号情報２０９に含まれている送信可能な応答信号のうち、ある通信先に対して送信した応答信号とは異なる応答信号を選択する。信号送信部１０２は、信号選択部２０６が選択した応答信号を送信するので、より早期に、特定の応答信号を見つけ出す可能性が高い。

次に、図１２を参照しながら、通信履歴情報格納部３１０に格納される通信履歴情報３１３と、ステップＳ３０１（図１０）及びステップＳ３０３（図１０）に示す処理と、通信履歴情報３１３の場合に奏する効果とについて説明する。図１２は、通信履歴情報３１３の一例を概念的に表す図である。

通信履歴情報３１３について説明する。

通信履歴情報３１３は、ある通信先に送信した応答信号と、該ある通信先が送信したリクエスト信号にて要求された情報を識別可能な情報識別子と、該応答信号を識別可能な信号識別子とが関連付けされた情報である。通信履歴情報３１３は、必ずしも、信号識別子を含んでいなくてもよい。

図１２に例示された通信履歴情報３１３において、信号識別子「Ｒ１」と、情報識別子「ｘｐ．ｐｈｐ」と、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」とが関連付けされている。これは、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を表す信号識別子が「Ｒ１」であり、信号送信部１０２が、情報識別子「ｘｐ．ｐｈｐ」が表す情報を要求するリクエスト信号（第１信号）に呼応して応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を送信した履歴を表す。

通信履歴情報３１３に関するステップＳ３０３における処理について説明する。

履歴更新部３０７は、図３に例示されたリクエスト信号（第１信号）に基づき、該リクエスト信号にて要求された情報識別子を特定する。履歴更新部３０７は、特定した情報識別子と、信号送信部１０２が通信先に送信した応答信号と、該応答信号を表す信号識別子とが関連付けされた情報を作成し、作成した情報を通信履歴情報３１３として、通信履歴情報格納部３１０に追加する。

通信履歴情報３１２に関するステップＳ３０１における処理について説明する。

履歴特定部３０５は、図３に例示されたリクエスト信号（第１信号）に基づき、該リクエスト信号にて要求されている情報を識別可能な情報識別子を特定する。履歴特定部３０５は、通信履歴情報格納部３１０に格納されている通信履歴情報３１２において、特定した情報識別子に関連付けされた応答信号を特定する。

図１２を参照しながら説明した処理に関しては、通信先判定装置３１１が、信号送信部１０２と、通信先判定部１０３とを有する処理態様としてもよい。この場合、信号送信部１０２は、通信ネットワークを介して、ある情報を要求する第１信号を第１通信先から受信した場合に、該第１信号に呼応する第２信号を第１通信先に送信する。通信先判定部１０３は、第２信号を送信したタイミングからある時間内に、該ある情報を要求する第３信号を第２通信先から受信した場合には、該第１通信先及び該第２通信先のうち少なくともいずれかが脅威である可能性が高いと判定する。

通信履歴情報が通信履歴情報３１３である場合に、本実施形態に係る通信先判定装置３１１によって奏する効果について説明する。本実施形態に係る通信先判定装置３１１によれば、たとえ、通信先がＩＰアドレス等の通信先識別子を変更し、その後、リクエスト信号を送信した場合であっても、効率的に、脅威である可能性が高い通信先を検知することができる。この理由は、通信先判定装置３１１が、リクエスト信号において要求された情報に基づき、特定の応答信号を探索するからである。尚、ＩＰは、Ｉｎｔｅｒｎｅｔ＿Ｐｒｏｔｏｃｏｌの略称を表す。

上述した効果を奏する理由について、さらに詳細に説明する。通信先１０４は、必ずしも、１つのＩＰアドレス等の通信先識別子を用いて、リクエスト信号を送信するとは限らない。言い換えれば、通信先１０４は、複数のＩＰアドレスを用いて、リクエスト信号を送信する可能性がある。この場合、本実施形態に係る通信先判定装置３１１は、通信先識別子に基づいて応答信号を選択するのではなく、リクエスト信号において要求された情報に基づいて応答信号を選択する。したがって、本実施形態に係る通信先判定装置３１１によれば、たとえ、ＩＰアドレスが変更された場合であっても、要求された情報に基づき、特定の応答信号を効率的に探索することができる。すなわち、たとえ、複数の通信先であっても、通信先が特定の情報をリクエストする処理を実行した場合には、本実施形態に係る通信先判定装置３１１によれば、効率的に、脅威である可能性が高い通信先を検知することができる。

次に、図１３を参照しながら、通信履歴情報格納部３１０に格納される通信履歴情報３１４と、ステップＳ３０１（図１０）及びステップＳ３０３（図１０）に示す処理と、通信履歴情報３１４の場合に奏する効果とについて説明する。図１３は、通信履歴情報３１４の一例を概念的に表す図である。

通信履歴情報３１４について説明する。

通信履歴情報３１４は、ある通信先に送信した応答信号と、該ある通信先が送信したリクエスト信号を受信したポート識別子（たとえば、ポート番号）と、該応答信号を識別可能な信号識別子とが関連付けされた情報である。通信履歴情報３１４は、必ずしも、信号識別子を含んでいなくてもよい。

図１３に例示された通信履歴情報３１４においては、信号識別子「Ｒ１」と、ポート識別子「８０」と、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」とが関連付けされている。これは、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を表す信号識別子が「Ｒ１」であり、信号送信部１０２が、ポート識別子「８０」を介して受信したリクエスト信号（第１信号）に呼応して、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を通信先１０４に送信した履歴を表す。

通信履歴情報３１４に関するステップＳ３０３における処理について説明する。

履歴更新部３０７は、図３に例示されたリクエスト信号（第１信号）を受信したポート識別子を特定する。履歴更新部３０７は、特定したポート識別子と、信号送信部１０２が、通信先に送信した応答信号と、該応答信号を表す信号識別子とが関連付けされた情報を作成し、作成した情報を通信履歴情報３１４として通信履歴情報格納部３１０に追加する。

通信履歴情報３１４に関するステップＳ３０１における処理について説明する。

履歴特定部３０５は、リクエスト信号（第１信号）を受信したポート識別子を特定する。履歴特定部３０５は、通信履歴情報格納部３１０に格納されている通信履歴情報３１４において、特定したポート識別子に関連付けされた応答信号を特定する。

図１３を参照しながら説明した処理に関しては、通信先判定装置３１１が、信号送信部１０２と、通信先判定部１０３とを有する処理態様としてもよい。この場合、信号送信部１０２は、通信ネットワークに通信接続しているポートを介して、第１信号を第１通信先から受信した場合に、該第１信号に呼応する第２信号を該第１通信先に送信する。通信先判定部１０３は、該第２信号を送信したタイミングからある時間内に、該ポートを介して第３信号を第２通信先から受信した場合には、該第１通信先及び該第２通信先のうち少なくともいずれかが脅威である可能性が高いと判定する。

通信履歴情報が通信履歴情報３１４である場合に、本実施形態に係る通信先判定装置３１１によって奏する効果について説明する。本実施形態に係る通信先判定装置３１１によれば、効率的に、脅威である可能性が高い通信先を検知することができる。この理由は、通信先１０４が、たとえば、複数のＩＰアドレスを用いて異なる情報を要求する場合であっても、該リクエスト信号を送信先のポート識別子が同じである場合には、ポート識別子に基づいて、未送信の応答信号を選択できるからである。すなわち、たとえ、複数の通信先であっても、通信先が特定のポート識別子が表すポートに対してリクエストを送信する処理を実行している場合には、本実施形態に係る通信先判定装置３１１によれば、ポート識別子に基づき、効率的に、脅威である可能性が高い通信先を検知することができる。

次に、図１４を参照しながら、通信履歴情報格納部３１０に格納される通信履歴情報３１５と、ステップＳ３０１（図１０）及びステップＳ３０３（図１０）に示す処理と、通信履歴情報３１５の場合に奏する効果とについて説明する。図１４は、通信履歴情報３１５の一例を概念的に表す図である。

通信履歴情報３１５について説明する。

通信履歴情報３１５は、ある通信先に送信した応答信号と、該ある通信先がリクエスト信号を送信する場合に経由した装置を識別可能な装置識別子（たとえば、ＡＳ番号）と、該応答信号を識別可能な信号識別子とが関連付けされた情報である。尚、ＡＳは、Ａｕｔｏｎｏｍｏｕｓ＿Ｓｙｓｔｅｍの略称を表す。通信履歴情報３１５は、必ずしも、信号識別子を含んでいなくてもよい。

図１４に例示された通信履歴情報３１５においては、信号識別子「Ｒ１」と、装置識別子「１２３４」と、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」とが関連付けされている。これは、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を表す信号識別子が「Ｒ１」であり、信号送信部１０２が、装置識別子「１２３４」を介して受信したリクエスト信号（第１信号）に呼応して、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を通信先に送信した履歴を表す。

通信履歴情報３１５に関するステップＳ３０３における処理について説明する。

履歴更新部３０７は、図３に例示されたリクエスト信号（第１信号）に含まれている通信先識別子に基づき、該通信先識別子が表す通信先がリクエスト信号を送信する場合に経由した装置識別子（ＡＳ番号）を特定する。尚、通信先識別子からＡＳ番号（装置識別子）を特定する方法については、説明を省略する。履歴更新部３０７は、特定した装置識別子と、信号送信部１０２が該通信先に送信した応答信号と、該応答信号を表す信号識別子とが関連付けされた情報を作成し、作成した情報を通信履歴情報３１５として通信履歴情報格納部３１０に追加する。

通信履歴情報３１５に関するステップＳ３０１における処理について説明する。

履歴特定部３０５は、リクエスト信号（第１信号）に含まれている通信先識別子に基づき、該通信先識別子が表す通信先がリクエスト信号を送信する場合に経由したＡＳ番号を特定する。履歴特定部３０５は、通信履歴情報格納部３１０に格納されている通信履歴情報３１５において、特定した装置識別子に関連付けされた応答信号を特定する。

図１４を参照しながら説明した処理に関しては、通信先判定装置３１１が、信号送信部１０２と、通信先判定部１０３とを有する処理態様であってもよい。この場合、信号送信部１０２は、通信ネットワークを介して、第１信号を第１通信先から受信した場合に、該第１信号に呼応する第２信号を該第１通信先に送信する。通信先判定部１０３は、該第２信号を送信したタイミングからある時間内に第３信号を第２通信先から受信した場合に、該第１通信先に通信する場合に経由する第１装置と、第２通信先に通信する場合に経由する第２装置とを特定する。通信先判定部１０３は、特定した第１装置及び特定した第２装置が一致する場合には、該第１通信先及び第２通信先のうち少なくともいずれかが脅威である可能性が高いと判定する。

通信履歴情報が通信履歴情報３１５である場合に、本実施形態に係る通信先判定装置３１１によって奏する効果について説明する。本実施形態に係る通信先判定装置３１１によれば、効率的に、脅威である可能性が高い通信先を検知することができる。この理由は、たとえば、通信先が特定の装置を経由してリクエスト信号を送信する場合には、該特定の装置を表す装置識別子に基づいて、未送信の応答信号を選択できるからである。すなわち、たとえ、複数の通信先であっても、通信先が特定の装置識別子が表す装置を経由することによってリクエストを送信する処理を実行した場合には、本実施形態に係る通信先判定装置３１１によれば、装置識別子に基づき、効率的に、脅威である可能性が高い通信先を検知することができる。

次に、図１５を参照しながら、通信履歴情報格納部３１０に格納される通信履歴情報３１６と、ステップＳ３０１（図１０）及びステップＳ３０３（図１０）に示す処理と、通信履歴情報３１６の場合に奏する効果とについて説明する。図１４は、通信履歴情報３１６の一例を概念的に表す図である。

通信履歴情報３１６について説明する。

通信履歴情報３１６は、ある通信先に送信した応答信号と、該ある通信先からリクエスト信号を受信した時間帯と、該応答信号を識別可能な信号識別子とが関連付けされた情報である。通信履歴情報３１６は、必ずしも、信号識別子を含んでいなくてもよい。

図１５に例示された通信履歴情報３１６においては、信号識別子「Ｒ１」と、時間帯「１０時〜１１時」と、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」とが関連付けされている。これは、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を表す信号識別子が「Ｒ１」であり、信号送信部１０２が、時間帯「１０時〜１１時」において受信したリクエスト信号（第１信号）に呼応して、応答信号「２００＿ＯＫ．＿Ｉｔｓ＿ｗｏｒｋｓ！」を通信先１０４に送信した履歴を表す。

通信履歴情報３１６に関するステップＳ３０３における処理について説明する。

履歴更新部３０７は、図３に例示されたリクエスト信号（第１信号）を受信した時刻が含まれている時間帯を算出する。時間帯は、たとえば、１日（すなわち、２４時間）が１時間ごとに区画された時間帯である。尚、時間帯は、あらかじめ決められている必要はなく、たとえば、リクエストを受信した時刻に基づいて算出されてもよい。履歴更新部３０７は、算出した時間帯と、信号送信部１０２が通信先に送信した応答信号と、該応答信号を表す信号識別子とが関連付けされた情報を作成し、作成した情報を通信履歴情報３１６として通信履歴情報格納部３１０に追加する。

通信履歴情報３１６に関するステップＳ３０１における処理について説明する。

履歴特定部３０５は、リクエスト信号（第１信号）を受信した時刻が含まれている時間帯を算出する。履歴特定部３０５は、通信履歴情報格納部３１０に格納される通信履歴情報３１２において、算出した時間帯に関連付けされた応答信号を特定する。

通信履歴情報３１６である場合に、本実施形態に係る通信先判定装置３１１によって奏する効果について説明する。本実施形態に係る通信先判定装置３１１によれば、効率的に、脅威である可能性が高い通信先１０４を検知することができる。この理由は、たとえば、通信先が特定の時間帯にリクエスト信号を送信する場合には、該時間帯に基づいて、未送信の応答信号を選択できるからである。すなわち、たとえ、複数の通信先であっても、通信先が特定の時間帯にリクエスト信号を送信する処理を実行した場合には、本実施形態に係る通信先判定装置３１１によれば、時間帯に基づき、効率的に、脅威である可能性が高い通信先を検知することができる。

尚、通信履歴情報は、図１１乃至図１５に示された通信履歴情報のうち、少なくとも２つの通信履歴情報が組み合わされた情報であってもよい。

通信先判定装置３１１によれば、上述した各効果に加えて、さらに、脅威である可能性が高い通信先１０４を検知することができる。この理由は、通信先判定装置３１１が有する構成が、第１の実施形態に係る通信先判定装置３１１が有する構成を含むからである。

（ハードウェア構成例）
上述した本発明の各実施形態における通信先判定装置を、１つの計算処理装置（情報処理装置、コンピュータ）を用いて実現するハードウェア資源の構成例について説明する。但し、係る通信先判定装置は、物理的または機能的に少なくとも２つの計算処理装置を用いて実現してもよい。また、係る通信先判定装置は、専用の装置として実現してもよい。

図１６は、第１の実施形態乃至第３の実施形態に係る通信先判定装置を実現可能な計算処理装置のハードウェア構成例を概略的に示す図である。計算処理装置２０は、中央処理演算装置（Ｃｅｎｔｒａｌ＿Ｐｒｏｃｅｓｓｉｎｇ＿Ｕｎｉｔ、以降「ＣＰＵ」と表す）２１、メモリ２２、ディスク２３、不揮発性記録媒体２４、通信インターフェース（以降、「通信ＩＦ」と表す）２７、及び、ディスプレー２８を有する。計算処理装置２０は、入力装置２５、出力装置２６に接続可能であってもよい。計算処理装置２０は、通信ＩＦ２７を介して、他の計算処理装置、及び、通信装置と情報を送受信することができる。

不揮発性記録媒体２４は、コンピュータが読み取り可能な、たとえば、コンパクトディスク（Ｃｏｍｐａｃｔ＿Ｄｉｓｃ）、デジタルバーサタイルディスク（Ｄｉｇｉｔａｌ＿Ｖｅｒｓａｔｉｌｅ＿Ｄｉｓｃ）である。また、不揮発性記録媒体２４は、ユニバーサルシリアルバスメモリ（ＵＳＢメモリ）、ソリッドステートドライブ（Ｓｏｌｉｄ＿Ｓｔａｔｅ＿Ｄｒｉｖｅ）等であってもよい。不揮発性記録媒体２４は、電源を供給しなくても係るプログラムを保持し、持ち運びを可能にする。不揮発性記録媒体２４は、上述した媒体に限定されない。また、不揮発性記録媒体２４の代わりに、通信ＩＦ２７、及び、通信ネットワークを介して、係るプログラムを持ち運びしてもよい。

すなわち、ＣＰＵ２１は、ディスク２３に記憶されているソフトウェア・プログラム（コンピュータ・プログラム：以下、単に「プログラム」と称する）を、実行する際にメモリ２２にコピーし、演算処理を実行する。ＣＰＵ２１は、プログラム実行に必要なデータをメモリ２２から読み取る。表示が必要な場合には、ＣＰＵ２１は、ディスプレー２８に出力結果を表示する。外部への出力が必要な場合には、ＣＰＵ２１は、出力装置２６に出力結果を出力する。外部からプログラムを入力する場合、ＣＰＵ２１は、入力装置２５からプログラムを読み取る。ＣＰＵ２１は、上述した図１、図５、または、図９に示す各部が表す機能（処理）に対応するところのメモリ２２にある通信先判定プログラム（図２、図６、または、図１０）を解釈し実行する。ＣＰＵ２１は、上述した本発明の各実施形態において説明した処理を順次実行する。

すなわち、このような場合、本発明は、係る通信先判定プログラムによっても成し得ると捉えることができる。さらに、係る通信先判定プログラムが記録されたコンピュータが読み取り可能な不揮発性の記録媒体によっても、本発明は成し得ると捉えることができる。

以上、上述した実施形態を模範的な例として本発明を説明した。しかし、本発明は、上述した実施形態には限定されない。すなわち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。

１０１ 通信先判定装置
１０２ 信号送信部
１０３ 通信先判定部
１０４ 通信先
２０５ 履歴特定部
２０６ 信号選択部
２０７ 履歴更新部
２０８ 通信先判定装置
２０９ 信号情報
２１０ 通信履歴情報
３０５ 履歴特定部
３０７ 履歴更新部
３１０ 通信履歴情報格納部
３１１ 通信先判定装置
３１２ 通信履歴情報
３１３ 通信履歴情報
３１４ 通信履歴情報
３１５ 通信履歴情報
３１６ 通信履歴情報
２０ 計算処理装置
２１ ＣＰＵ
２２ メモリ
２３ ディスク
２４ 不揮発性記録媒体
２５ 入力装置
２６ 出力装置
２７ 通信ＩＦ
２８ ディスプレー

Claims (17)

1. 通信ネットワークを介して通信先から送信された第１信号を受信した場合に、前記第１信号に呼応する第２信号を前記通信先に送信する信号送信手段と、
   前記第２信号を送信したタイミングからある時間内に前記通信先から送信された第３信号を受信するか否かに基づいて、前記通信先が脅威である可能性が高いか否かを分類する通信先判定手段と
   を備える通信先判定装置。
2. 前記通信先から送信された前記第１信号を受信した場合に前記通信先に送信した前記第２信号を含む通信履歴情報から、信号を読み取る履歴特定手段と、
   前記通信先に送信可能な信号を含んでいる信号情報のうち、前記履歴特定手段が読み取った前記信号と異なる信号を選択する信号選択手段と、
   前記信号送信手段が送信した前記第２信号を前記通信履歴情報に追加する履歴更新手段と
   をさらに備え、
   前記信号送信手段は、前記第２信号として前記信号選択手段が選択した信号を前記通信先に送信する
   請求項１に記載の通信先判定装置。
3. 前記通信先を識別可能な通信先識別子と、前記通信先に送信した前記第２信号とが関連付けされた通信情報を含む前記通信履歴情報を記憶可能な履歴情報格納手段
   をさらに備え、
   前記履歴特定手段は、ある通信先から送信された第４信号を受信した場合に、前記通信履歴情報において、前記ある通信先を表す通信先識別子に関連付けされた信号を特定し、
   前記信号選択手段は、前記信号情報のうち、前記履歴特定手段が特定した信号と異なる信号を選択し、
   前記履歴更新手段は、前記信号送信手段が送信した前記通信先を表す通信先識別子と、前記信号送信手段が送信した前記第２信号とが関連付けされた通信情報を作成し、作成した前記通信情報を前記通信履歴情報に追加する
   請求項２に記載の通信先判定装置。
4. 前記第１信号を受信した時間帯と、前記第１信号に対して送信した前記第２信号とが関連付けされた通信情報を含む前記通信履歴情報を記憶可能な履歴情報格納手段
   をさらに備え、
   前記履歴特定手段は、ある時間帯にて第４信号を受信した場合に、前記通信履歴情報において、前記ある時間帯に関連付けされた信号を特定し、
   前記信号選択手段は、前記信号情報のうち、前記履歴特定手段が特定した信号と異なる信号を選択し、
   前記履歴更新手段は、前記ある時間帯と、前記信号送信手段が送信した前記第２信号とが関連付けされた通信情報を作成し、作成した前記通信情報を前記通信履歴情報に追加する
   請求項２に記載の通信先判定装置。
5. 前記通信先から前記第１信号を受信した時間帯と、前記通信先を識別可能な通信先識別子と、前記第１信号に呼応して送信した前記第２信号とが関連付けされた通信情報を含む前記通信履歴情報を記憶可能な履歴情報格納手段
   をさらに備え、
   前記履歴特定手段は、ある通信先識別子が表す通信先からある時間帯にて第４信号を受信した場合に、前記通信履歴情報において、前記ある通信先識別子及び前記ある時間帯に関連付けされた信号を特定し、
   前記信号選択手段は、前記信号情報のうち、前記履歴特定手段が特定した信号と異なる信号を選択し、
   前記履歴更新手段は、前記ある通信先識別子と、前記ある時間帯と、前記信号送信手段が送信した前記第２信号とが関連付けされた通信情報を作成し、作成した前記通信情報を前記通信履歴情報に追加する
   請求項２に記載の通信先判定装置。
6. 通信ネットワークを介して、ある情報を要求する第１信号を第１通信先から受信した場合に、前記第１信号に呼応する第２信号を前記第１通信先に送信する信号送信手段と、
   前記第２信号を送信したタイミングからある時間内に、前記ある情報を要求する第３信号を第２通信先から受信した場合には、前記第１通信先及び前記第２通信先のうち少なくともいずれかが脅威である可能性が高いと判定する通信先判定手段と
   を備える通信先判定装置。
7. 前記第１信号を受信した場合に送信した前記第２信号を含む通信履歴情報から、信号を読み取る履歴特定手段と、
   前記第１信号に呼応する信号を含んでいる信号情報のうち、前記履歴特定手段が読み取った信号と異なる信号を選択する信号選択手段と、
   前記信号送信手段が送信した前記第２信号を前記通信履歴情報に追加する履歴更新手段と
   をさらに備え、
   前記信号送信手段は、前記第２信号として前記信号選択手段が選択した信号を送信する
   請求項６に記載の通信先判定装置。
8. 前記第１信号にて要求された前記ある情報を識別可能な情報識別子と、前記第１信号に呼応して送信した前記第２信号とが関連付けされた通信情報を含む前記通信履歴情報を記憶可能な履歴情報格納手段
   をさらに備え、
   前記履歴特定手段は、特定の情報識別子が表す情報を要求する第４信号を受信した場合に、前記通信履歴情報において、前記特定の情報識別子に関連付けされた信号を特定し、
   前記信号選択手段は、前記信号情報のうち、前記履歴特定手段が特定した信号と異なる信号を選択し、
   前記履歴更新手段は、前記特定の情報識別子と、前記信号送信手段が送信した前記第２信号とが関連付けされた通信情報を作成し、作成した前記通信情報を前記通信履歴情報に追加する
   請求項７に記載の通信先判定装置。
9. 通信ネットワークに通信接続しているポートを介して第１信号を第１通信先から受信した場合に、前記第１信号に呼応する第２信号を前記第１通信先に送信する信号送信手段と、
   前記第２信号を送信したタイミングからある時間内に、前記ポートを介して第３信号を第２通信先から受信した場合には、前記第１通信先及び第２通信先のうち少なくともいずれかが脅威である可能性が高いと判定する通信先判定手段と
   を備える通信先判定装置。
10. 前記第１信号を受信した場合に送信した前記第２信号を含む通信履歴情報から、信号を読み取る履歴特定手段と、
    前記第１信号に呼応する信号を含んでいる信号情報のうち、前記履歴特定手段が読み取った前記信号と異なる信号を選択する信号選択手段と、
    前記信号送信手段が送信した前記第２信号を前記通信履歴情報に追加する履歴更新手段と
    をさらに備え、
    前記信号送信手段は、前記第２信号として前記信号選択手段が選択した信号を送信する
    請求項９に記載の通信先判定装置。
11. 前記第１信号を受信した場合に経由した前記ポートを識別可能なポート識別子と、前記第１信号に対して送信した前記第２信号とが関連付けされた通信情報を含む前記通信履歴情報を記憶可能な履歴情報格納手段
    をさらに備え、
    前記履歴特定手段は、第４信号をあるポート識別子が表すポートを経由して受信した場合に、前記通信履歴情報において、前記あるポート識別子に関連付けされた信号を特定し、
    前記信号選択手段は、前記信号情報のうち、前記履歴特定手段が特定した信号と異なる信号を選択し、
    前記履歴更新手段は、前記あるポート識別子と、前記信号送信手段が送信した前記第２信号とが関連付けされた通信情報を作成し、作成した前記通信情報を前記通信履歴情報に追加する
    請求項１０に記載の通信先判定装置。
12. 通信ネットワークを介して、第１信号を第１通信先から受信した場合に、前記第１信号に呼応する第２信号を前記第１通信先に送信する信号送信手段と、
    前記第２信号を送信したタイミングからある時間内に第３信号を第２通信先から受信した場合に、前記第１通信先に通信する場合に経由する第１装置と、第２通信先に通信する場合に経由する第２装置とを特定し、前記第１装置及び前記第２装置が一致する場合には、前記第１通信先及び第２通信先のうち少なくともいずれかが脅威である可能性が高いと判定する通信先判定手段と
    を備える通信先判定装置。
13. 前記第１信号を受信した場合に送信した前記第２信号を含む通信履歴情報から、信号を読み取る履歴特定手段と、
    前記第１信号に呼応する信号を含んでいる信号情報のうち、前記履歴特定手段が読み取った信号と異なる信号を選択する信号選択手段と、
    前記信号送信手段が送信した前記第２信号を前記通信履歴情報に追加する履歴更新手段と
    をさらに備え、
    前記信号送信手段は、前記第２信号として前記信号選択手段が選択した信号を送信する
    請求項１２に記載の通信先判定装置。
14. 前記第１通信先に通信する場合に経由する前記第１装置を識別可能な装置識別子と、前記第１通信先に送信した第２信号とが関連付けされた通信情報を含む前記通信履歴情報を記憶可能な履歴情報格納手段
    をさらに備え、
    前記履歴特定手段は、前記通信履歴情報において、第４信号を受信した第３通信先に通信する場合に経由する装置を表すある装置識別子に関連付けされた信号を特定し、
    前記信号選択手段は、前記信号情報のうち、前記履歴特定手段が特定した信号と異なる信号を選択し、
    前記履歴更新手段は、前記ある装置識別子と、前記信号送信手段が送信した前記第２信号とが関連付けされた通信情報を作成し、作成した前記通信情報を前記通信履歴情報に追加する
    請求項１３に記載の通信先判定装置。
15. 前記信号送信手段は、前記履歴特定手段が特定した前記信号と異なる信号が前記信号情報に含まれていないと、前記信号選択手段が判定する場合には、前記第２信号を送信しない
    請求項２乃至請求項５のいずれか、請求項７、請求項８、請求項１０、請求項１１、請求項１３、または、請求項１４に記載の通信先判定装置。
16. 通信ネットワークを介して通信先から送信された第１信号を受信した場合に、前記第１信号に呼応する第２信号を前記通信先に送信し、前記第２信号を送信したタイミングからある時間内に前記通信先から送信された第３信号を受信するか否かに基づいて、前記通信先が脅威である可能性が高いか否かを分類する通信先判定装置方法。
17. 通信ネットワークを介して通信先から送信された第１信号を受信した場合に、前記第１信号に呼応する第２信号を前記通信先に送信する信号送信機能と、
    前記第２信号を送信したタイミングからある時間内に前記通信先から送信された第３信号を受信するか否かに基づいて、前記通信先が脅威である可能性が高いか否かを分類する通信先判定機能と
    をコンピュータに実現させる通信先判定プログラム。

Images