JP5791548B2 - アドレス抽出装置 - Google Patents

Description

この発明は、インターネット通信を行う端末装置が利用するプロキシサーバ装置がアクセスしたアドレスの内、所定のアドレスを抽出するアドレス抽出装置に関する。

近年、特定の組織を狙う標的型攻撃が増加している。標的型攻撃とは、特定の組織（例えば企業）の特定の部署に限定した不正アクセスである。例えば、特定の企業Ａ社の経理課の社員（ユーザ）に対して、企業Ａ社の関係者を装った偽装メールにマルウェアを添付して送り込む例が挙げられる。メールの文面で言葉巧みに添付ファイル（ドキュメントなどを装っていることが多い）を例えば経理課の社員（ユーザ）に開かせることで、マルウェアは実行される。経理課の社員（ユーザ）により実行されたことにより企業への侵入に成功したマルウェアは、インターネット上のウェブサーバと通信し、情報漏洩等の不正アクセスを行う。

特定の組織（例えば企業）に送り込まれるマルウェアは、多くのアンチウイルスソフトウェアで採用されるパターンファイルを回避するように製造されることが多く、アンチウイルスソフトウェアの検知をすり抜けてしまう。
すなわち、アンチウイルスソフトウェアでの検知にはマルウェアに対応したパターンファイルが必要である。しかし、標的型攻撃を行うマルウェアは、従来のマルウェアと異なり攻撃対象が限定されているため、一般に知られにくく、すぐに存在を認識できない。従って、アンチウイルスソフトウェアベンダのパターンファイル作成が遅れることがある。そして、多くのアンチウイルスソフトウェアでは標的型攻撃で用いられるマルウェアの検知が遅れる可能性がある。

技術的に標的型攻撃を防御することは困難であり、関係者を装う怪しいメールが送られてきた場合はマルウェアを懸念し添付ファイルを開かせないように、従業員（ユーザ）に教育して対応するという考え方もある（例えば、非特許文献１）。しかしながら、一定の効果はあるものの、一部の従業員（ユーザ）は怪しいメールの添付ファイルを開いてしまい、マルウェアが実行されてしまうという課題がある。そして、例えば、従業員（ユーザ）は、実行されたマルウェアが情報漏洩等の不正アクセスを行っているか否かを認識することが出来ないという課題がある。

また、スパイウェア（マルウェア）の検知にＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）ヘッダの特徴を調べ、ブラウザによる通信か、それ以外のプログラムによる通信かを判断する方法が示されている（例えば、非特許文献２）。しかしながら、スパイウェア（マルウェア）の誤検知の課題がある。

ユーザへの予防接種というアプローチによる標的型攻撃対策−２、山口他、情報処理学会第７１回全国大会 ６Ｅ−４ ＨＴＴＰ利用型スパイウェアの検知および遮断方式の検討、大谷他、情報処理学会 研究報告２００５−ＣＳＥＣ−３１

前記のように例えばユーザは、ユーザが意図しない通信（例えばマルウェアによる不正アクセス）が行われていても、その通信（不正アクセス）を検知することが出来ないという課題がある。

この発明は前記のような課題を解決することを主な目的とするもので、例えば、ユーザが意図しない通信によりアクセスされたアクセス先のアドレスを抽出するアドレス抽出装置を実現することを主な目的とする。

この発明に係るアドレス抽出装置は、
ブラウザが実装されている端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報と、前記端末装置で前記ブラウザが実行されて前記端末装置から前記プロキシサーバ装置にアクセス先として通知したアドレスが示されるブラウザ実行アドレス情報と
を入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と前記ブラウザ実行アドレス情報とのいずれにも示されていないアドレスを抽出するアドレス抽出部と
を備えることを特徴とする。

この発明に係るアドレス抽出装置は、例えば、プロキシサーバ装置のプロキシログに記録されたアクセス先のアドレスから、ブラウザによるアクセスを含む正当なアクセスによるアクセス先のアドレス以外のアドレスを抽出する。この為、この発明に係るアドレス抽出装置は、正当なアクセス以外、すなわちユーザが意図しない不正な通信によりアクセスされたアクセス先のアドレスを抽出することが可能である。

実施の形態１を示す図で、不正ＷＥＢアクセス検知システムの周辺構成の例を示す図。 実施の形態１を示す図で、不正ＷＥＢアクセス検知システムの構成の例を示す図。 実施の形態１を示す図で、プロキシログの例を示す図。 実施の形態１を示す図で、プロキシログ取り込み部の処理の例を示すフローチャート。 実施の形態１を示す図で、プロキシログエントリの例を示す図。 実施の形態１を示す図で、ＵＲＬホワイトリスト取り込み部の処理の例を示すフローチャート。 実施の形態１を示す図で、ＵＲＬホワイトリストの例を示す図。 実施の形態１を示す図で、ホワイトＵＲＬの例を示す図。 実施の形態１を示す図で、グレーＵＲＬ特定部の処理の例を示すフローチャート。 実施の形態１を示す図で、グレーＵＲＬ情報の例を示す図。 実施の形態１を示す図で、ブラウザログの第１の例を示す図。 実施の形態１を示す図で、ブラウザログの第２の例を示す図。 実施の形態１を示す図で、ブラウザログの第３の例を示す図。 実施の形態１を示す図で、ブラウザログ取り込み部の処理の例を示すフローチャート。 実施の形態１を示す図で、ブラウザログエントリの例を示す図。 実施の形態１を示す図で、ブラックＵＲＬ特定部の処理の例を示すフローチャート。 実施の形態１を示す図で、ブラックＵＲＬ情報の例を示す図。 実施の形態２を示す図で、ブラックＵＲＬ特定部の処理の例を示す図。 実施の形態２を示す図で、ブラックＵＲＬ情報の例を示す図。 実施の形態４を示す図で、端末装置の構成の第１の例を示す図。 実施の形態４を示す図で、端末装置の構成の第２の例を示す図。 実施の形態５を示す図で、リファラの第１の例を示す図。 実施の形態５を示す図で、リファラの第２の例を示す図。 実施の形態５を示す図で、端末操作ログの例を示す図。 実施の形態５を示す図で、端末操作ログ取り込み部の処理の例を示すフローチャート。 実施の形態５を示す図で、ＷＥＢアクセスＵＲＬ情報の例を示す図。 実施の形態５を示す図で、トップページＵＲＬ情報の例を示す図。 実施の形態５を示す図で、ブラウザアクセスＵＲＬ特定部の処理の第１の例を示すフローチャート。 実施の形態５を示す図で、ブラウザアクセスＵＲＬ特定部の処理の第２の例を示すフローチャート。 実施の形態５を示す図で、ブラウザアクセスＵＲＬ＿ＡＬＬの例を示す図。 実施の形態５を示す図で、ブラウザアクセスＵＲＬ特定部の処理の第２の例で生成されたブラウザアクセスＵＲＬ情報の例を示す図。 実施の形態６を示す図で、ブラックＵＲＬ特定部の処理の例を示すフローチャート。 実施の形態７を示す図で、ブラックＵＲＬ特定部の処理の例を示すフローチャート。 実施の形態７を示す図で、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図。 実施の形態８を示す図で、ブラックＵＲＬ特定部の処理の例を示すフローチャート。 実施の形態８を示す図で、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図。 実施の形態９を示す図で、ブラックＵＲＬ特定部の処理の例を示すフローチャート。 実施の形態１〜９を示す図で、不正ＷＥＢアクセス検知システムのハードウェア資源の例を示す図。

実施の形態１．
（不正ＷＥＢアクセス検知システムの周辺構成）
図１は、不正ＷＥＢアクセス検知システムの周辺構成の例を示す図である。
不正ＷＥＢアクセス検知システム１００は、例えばマルウェアによってアクセスされたＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）を抽出する。ここで、ＵＲＬは例えばプロキシサーバ装置６００（後述で説明）がアクセスを行うアクセス先のアドレスである。すなわち、不正ＷＥＢアクセス検知システム１００は、アドレス抽出装置である。そして、不正ＷＥＢアクセス検知システム１００はプロキシサーバ装置６００がアクセスを行ったアドレスの内、所定のアドレスを抽出する。不正ＷＥＢアクセス検知システム１００が抽出する所定のアドレスについては後述で説明する。

不正ＷＥＢアクセス検知システム１００が抽出するアドレスは、ＵＲＬに限られるものではなく、例えば、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスでも良いし、電子メールアドレスでも良い。
ここで、例えばマルウェアによってアクセスされたアドレス（ＵＲＬ）を以降「不正なアドレス」と称する。

そして、不正ＷＥＢアクセス検知システム１００の周辺には、端末装置５００とプロキシサーバ装置６００とが配置される。不正ＷＥＢアクセス検知システム１００と端末装置５００とプロキシサーバ装置６００とは、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などで接続されている。
ここで、図示は省略するが、端末装置５００は例えば、企業などの組織で使われる個人用のパーソナルコンピュータなどであり、複数の端末装置５００も例えばＬＡＮなどで接続されている。

また、不正ＷＥＢアクセス検知システム１００は、端末装置５０１に含まれていても良い。ここで、端末装置５０１は例えば、企業などの組織で使われるパーソナルコンピュータなどであり、端末装置５０１も例えばＬＡＮなどで接続されている。

そして、不正ＷＥＢアクセス検知システム１００は、プロキシサーバ装置６００からプロキシログ２０１を入力する。また、不正ＷＥＢアクセス検知システム１００は、端末装置５００から端末操作ログ２０３とブラウザログ２１４とを入力する。更に、不正ＷＥＢアクセス検知システム１００は、例えば企業などの組織に設置されたサーバ装置の記憶装置などに記憶されているＵＲＬホワイトリスト２０２を入力する。

本実施の形態の不正ＷＥＢアクセス検知システム１００は、これらのログ（プロキシログ２０１など）を用いて、マルウェアによるＷＥＢ通信を検知する。ここでＷＥＢ通信とは、端末装置５００などの例えばコンピュータがインターネット上のＷＥＢ（ウェブ）サイト（ＷＥＢサイトをＷＥＢ（ウェブ）ページとも称する）と行う通信のことである。ＨＴＴＰを用いた通信の場合は、ＷＥＢ通信をＨＴＴＰ通信とも称する。

（プロキシサーバ装置６００の説明）
例えば、企業などの組織では、端末装置５００がネットワーク１５０（例えばインターネットなど）を介して、ＷＥＢサイトにアクセスする際に、端末装置５００から直接ＷＥＢサイトにアクセスするのではなく、プロキシが端末装置５００の代理でＷＥＢサイトにアクセスする。
本実施の形態では、例えば組織に１台設置されているプロキシをプロキシサーバ装置６００と称する。

端末装置５００は、ＷＥＢサイトのアドレスと共に、プロキシサーバ装置６００にＷＥＢサイトへ送りたいＨＴＴＰリクエストを送信し、プロキシサーバ装置６００はＷＥＢサイトへこのＨＴＴＰリクエストを転送する。
すなわち、プロキシサーバ装置６００は、端末装置５００からアクセス先として通知されたアドレスにアクセスを行う。

ＷＥＢサイトからのＨＴＴＰレスポンスはプロキシサーバ装置６００に送られ、プロキシサーバ装置６００はこのレスポンスを端末装置５００へ転送することで、端末装置５００はＷＥＢサイトにアクセスする。従って、プロキシサーバ装置６００は、アクセスを行った端末装置５００と、アクセス先のＷＥＢサイトと、アクセスの際のリクエスト及びレスポンスの内容とを記録することができる。

（プロキシログ２０１の説明）
前述のように、例えば企業など組織内の端末装置５００はＷＥＢサイトにアクセスする際に、プロキシサーバ装置６００にＨＴＴＰ接続する。プロキシサーバ装置６００は端末装置５００の代りにインターネットに接続しＷＥＢ通信（ＨＴＴＰ通信）を行う。ＷＥＢ通信（ＨＴＴＰ通信）の結果はプロキシサーバ装置６００から端末装置５００へ転送される。

そして、端末装置５００がＷＥＢサイトにアクセスする際に接続するプロキシサーバ装置６００のログが、プロキシログ２０１である。すなわち、プロキシログ２０１はプロキシサーバ装置６００が端末装置５００とＷＥＢサイトとの通信状況（例えばＷＥＢサイトのアドレス）を記録したログである。
例えば、マルウェアがＷＥＢアクセスする場合は必ずプロキシサーバ装置６００に接続するため、プロキシログ２０１に通信記録が残る。また、マルウェア以外のＷＥＢアクセス（ブラウザ５５１、アプリケーションからの通信）もプロキシログ２０１に通信記録が残る。

（ＵＲＬホワイトリスト２０２の説明）
ＵＲＬホワイトリスト２０２は、ホワイトＵＲＬのリストである。ホワイトＵＲＬは予め組織でアクセスが許可されているＵＲＬである。例えば、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）、オフィスアプリケーションのアップデートサイトやニュースサイトなどがある。
すなわち、ホワイトＵＲＬは、あらかじめ正当と定義されたアドレスである。そして、ＵＲＬホワイトリスト２０２は、あらかじめ正当と定義されたアドレスが示される正当アドレス情報に対応する。

（ブラウザログ２１４の説明）
端末装置５００は、ブラウザ５５１が実装されている。端末装置５００は、ブラウザ５５１を実行してＷＥＢアクセスした場合、そのアクセス先のアドレスをブラウザログ２１４として記録する。換言すると、ブラウザログ２１４に記録されるアドレスは、端末装置５００でブラウザ５５１が実行されて、端末装置５００からプロキシサーバ装置６００にアクセス先として通知されたアドレスである。
ブラウザログ２１４は、例えば端末装置５００の記憶装置に記憶される。
また、ブラウザログ２１４は、ブラウザ実行アドレス情報に対応する。

（端末操作ログ２０３の説明）
端末装置５００は、端末操作記録アプリケーションを備える。端末操作記録アプリケーションが、ユーザの端末装置５００の操作を記録したものが端末操作ログ２０３である。端末操作ログ２０３は、例えば端末装置５００の記憶装置に記憶される。

ここで、端末操作記録アプリケーションは各ユーザが端末装置５００上でどのような操作を行っているか監視し内部統制するためのソフトウェアである。端末操作記録アプリケーションはファイル操作（ファイルの生成、削除、コピー、リネーム、移動など）、外部記憶媒体への書き出し、操作されたアプリケーション（ウィンドウタイトル）、ＷＥＢアクセス状況などを記録する。端末操作記録アプリケーションは例えば市販されているソフトウェアを用いても良い。

ユーザがブラウザ５５１を用いて行った指示に基づき、端末装置５００がＷＥＢアクセスした場合、その操作の記録（例えばＷＥＢサイトのアドレス）はブラウザログ２１４以外に、端末操作ログ２０３にも記録される。端末操作ログ２０３は、ブラウザ実行アドレス情報に対応する。

ここで、端末装置５００は、ユーザの指示（例えばユーザがブラウザ５５１を用いて行う指示）に基づいて、プロキシサーバ装置６００にアクセス先のアドレスを通知する。そして、ユーザの指示に基づき、端末装置５００が通知したアドレスが示される情報をユーザ指示情報と称する。
すなわち、端末操作ログ２０３は、ユーザ指示情報にも対応する。

（不正ＷＥＢアクセス検知システム１００の構成）
図２は、不正ＷＥＢアクセス検知システム１００の構成の例を示す図である。不正ＷＥＢアクセス検知システム１００を構成する各要素について説明する。

（プロキシログ取り込み部１０１）
プロキシログ取り込み部１０１は、プロキシログ２０１、端末識別子２０５、期間２０６を入力とし、ログの内容であるプロキシログエントリ３０１を抽出する。

ここで、図１において図示は省略しているが、端末装置５００は前述の通り複数設置されており、端末識別子２０５は、個々の端末装置５００を識別する為の識別子である。
例えばユーザが不正ＷＥＢアクセス検知システム１００を用いて調査を行いたい対象の端末装置５００の識別子を、例えばキーボードの様な入力装置を用いて入力する。この入力装置は、不正ＷＥＢアクセス検知システム１００に備えられていても良いし、不正ＷＥＢアクセス検知システム１００の外部であっても良い。

また、期間２０６は、例えばユーザが不正ＷＥＢアクセス検知システム１００を用いて不正なアドレスを調査する期間の情報である。期間２０６は、期間特定部２００によって入力される。期間特定部２００は、例えばキーボードの様な入力装置であっても良いし、予め期間２０６の情報が記憶されている記憶装置であっても良い。そして、期間特定部２００は不正ＷＥＢアクセス検知システム１００に備えられていても良いし、不正ＷＥＢアクセス検知システム１００の外部であっても良い。

また、プロキシログ２０１は前述の通り、ＷＥＢサイトのアドレスが記録されている。すなわち、プロキシログ取り込み部１０１はアドレス入力部に対応する。

（ＵＲＬホワイトリスト取り込み部１０２）
ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２を入力し、ＵＲＬホワイトリスト２０２の内容であるホワイトＵＲＬ３０２を抽出する。

ここで、ＵＲＬホワイトリスト２０２は前述の通り、あらかじめ正当と定義されたアドレスが示される。すなわち、ＵＲＬホワイトリスト取り込み部１０２はアドレス入力部に対応する。

ＵＲＬホワイトリスト２０２は、例えばキーボードの様な入力装置からユーザが入力しても良いし、予め記憶装置に記憶されていても良い。そして、これらの入力装置や記憶装置は不正ＷＥＢアクセス検知システム１００に備えられていても良いし、不正ＷＥＢアクセス検知システム１００の外部であっても良い。

（端末操作ログ取り込み部１０３）
端末操作ログ取り込み部１０３は、端末操作ログ２０３を入力し、ブラウザによりアクセスされたＷＥＢサイトのＵＲＬ情報であるＷＥＢアクセスＵＲＬ情報３０３を抽出する。ＷＥＢアクセスＵＲＬ情報３０３は図２における図示は省略するが、ブラウザ実行アドレス情報に対応する。

ここで、端末操作ログ２０３は前述の通り、ＷＥＢサイトのアドレスが記録されている。すなわち、端末操作ログ取り込み部１０３はアドレス入力部に対応する。
また、端末操作ログ取り込み部１０３は、ブラウザ操作期間３１５（後述で説明）を算出する。

（ブラウザログ取り込み部１１４）
ブラウザログ取り込み部１１４は、ブラウザログ２１４、端末識別子２０５、期間２０６を入力し、ブラウザログ２１４の内容であるブラウザログエントリ３１４を抽出する。ブラウザログエントリ３１４も図２における図示は省略するが、ブラウザ実行アドレス情報に対応する。また、ブラウザログ取り込み部１１４はアドレス入力部に対応する。

（グレーＵＲＬ特定部１０５）
グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１、ホワイトＵＲＬ３０２を入力し、マルウェアがアクセスしている可能性があるＵＲＬ情報であるグレーＵＲＬ情報３０５を抽出する。すなわち、グレーＵＲＬ特定部１０５は、アドレス抽出部に対応する。

（トップページＵＲＬ特定部１０６）
トップページＵＲＬ特定部１０６は、ＷＥＢアクセスＵＲＬ情報３０３、ブラウザログエントリ３１４を入力し、ブラウザ５５１によりアクセスされたアドレスを抽出し、トップページＵＲＬ情報３０６として出力する。トップページＵＲＬ情報３０６も、図２における図示は省略するが、ブラウザ実行アドレス情報に対応する。

（ブラウザアクセスＵＲＬ特定部１０７）
ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ情報３０６、ブラウザログエントリ３１４、プロキシログエントリ３０１を入力し、ブラウザ５５１によりアクセスされたアドレスもしくは、ブラウザ５５１によりアクセスされたアドレスのリンク先のアドレスをブラウザアクセスＵＲＬ情報３０７として出力する。
ここで、ブラウザアクセスＵＲＬ特定部１０７は、ドメイン名抽出部と経由先抽出部とに対応する。
また、ブラウザアクセスＵＲＬ情報３０７は、図２における図示は省略するが、ブラウザ実行アドレス情報と経由先アドレスとに対応する。

（ブラックＵＲＬ特定部１０８）
ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５、ブラウザアクセスＵＲＬ情報３０７、ブラック判定条件２０７を入力し、マルウェアのアクセスしたサイトと思われるブラックＵＲＬ２０８を抽出する。すなわち、ブラックＵＲＬ特定部１０８はアドレス抽出部に対応する。

そして、ブラック判定条件２０７はグレーＵＲＬ情報に含まれるＵＲＬ情報がマルウェアによりアクセスされたか判定するための条件を表す情報である。ブラックＵＲＬ特定部１０８はブラック判定条件２０７に合致するアドレスを特定する条件合致アドレス特定部にも対応する。
また、ブラックＵＲＬ特定部１０８は、外部サービス２０９（後述で説明）から情報を入力する情報入力部に対応する。

更に、図２では図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１を入力することも可能である。そして、ブラックＵＲＬ特定部１０８は入力したプロキシログ２０１のデータを用いて所定の時間毎のアクセス数などを算出する（後述で説明）通信量算出部に対応する。

（ログ蓄積部１０９）
ログ蓄積部１０９は、プロキシログ２０１、端末操作ログ２０３、ブラウザログ２１４を入力し、ログ蓄積部１０９の内部に備えられた例えば、磁気ディスク装置などの記憶装置に蓄積する。
ログ蓄積部１０９は、アドレス入力部に対応する。

プロキシログ取り込み部１０１は、ログ蓄積部１０９が蓄積したプロキシログ２０１を入力する。また、端末操作ログ取り込み部１０３は、ログ蓄積部１０９が蓄積した端末操作ログ２０３を入力する。また、ブラウザログ取り込み部１１４は、ログ蓄積部１０９が蓄積したブラウザログ２１４を入力する。

（不正ＷＥＢアクセス検知システム１００の動作説明）
不正ＷＥＢアクセス検知システム１００の動作について説明する。
なお、実施の形態１においては、端末操作ログ取り込み部１０３とトップページＵＲＬ特定部１０６とは使用されない。

（プロキシログ取り込み部１０１の処理）
図３は、プロキシログ２０１の例を示す図である。
図４は、プロキシログ取り込み部１０１の処理の例を示すフローチャートである。
図５は、プロキシログエントリ３０１の例を示す図である。

プロキシログ取り込み部１０１は、プロキシログ２０１と期間２０６と端末識別子２０５とを入力する。
期間２０６は、ある特定の期間にマルウェアからＷＥＢアクセスがあったか否かを確認するために、例えばユーザが期間特定部２００を用いて指定する期間である。例えば、「２０１１／１１／２３ ０９：００：００〜２０１１／１１／２３ １８：００：００」の期間にマルウェアからのＷＥＢアクセスの有無を調べる場合、期間特定部２００は、期間２０６として「２０１１／１１／２３ ０９：００：００〜２０１１／１１／２３ １８：００：００」を指定する。

プロキシログ２０１には、図３に示すフォーマットのように、例えば「アクセス日時、端末識別子、アクセスしたＷＥＢサイトのＵＲＬ、メソッド（ＧＥＴ／ＰＯＳＴなど）、ステータスコード、通信サイズ」が時系列順に記録される。
更に、プロキシログ２０１には、リファラが記録される。リファラについては後述で詳細を説明する。
ここで、実施の形態の説明において示されるＵＲＬ（例えば、図３の「ｈｔｔｐ：／／○○○．１２３４．△△△／」）は、あくまで例として挙げられたものであり、実在のＵＲＬとは無関係である。

また、プロキシログ２０１には、プロキシサーバ装置６００に接続された全ての端末装置５００からの全てのＷＥＢアクセスが記録される。ただし、図３では、端末識別子「１９２．１６８．１．２」以外の端末装置５００のＷＥＢアクセスの図示を省略している。ここで、全てのＷＥＢアクセスとは、例えば、ブラウザや、ＷＥＢ通信を行うアプリケーションや、ＷＥＢ通信を行うマルウェアなどによるＷＥＢアクセスである。

そして、プロキシログ２０１には、これらのＷＥＢアクセス毎にプロキシサーバ装置６００がアクセスを行ったアクセス先のアドレスが示されている。
すなわち、プロキシログ２０１は、プロキシサーバ装置６００が行ったアクセス毎にアクセス先のアドレスが示されている。

また図３において図示は省略するが、プロキシログ２０１には、「コンテンツが自動で取得したコンテンツの記録」が記録されていてもよい。
例えば、「（ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／のコンテンツが自動で取得したコンテンツの記録）」を説明する。プロキシサーバ装置６００がｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／にアクセスした結果、プロキシサーバ装置６００が取得したコンテンツの中に、画像や動画などを取り込むタグが記録されていた場合に、プロキシサーバ装置６００は、ｈｔｔｐでそれらの画像や動画を自動的に取得する。そして、「コンテンツが自動で取得したコンテンツの記録」であるそれらの画像や動画もプロキシログ２０１に記録されていてもよい。

図４を用いて、プロキシログ取り込み部１０１の動作を説明する。
ここで、期間２０６は「２０１１／１１／２３ ０９：００：００〜２０１１／１１／２３ １８：００：００」、端末識別子２０５は、「１９２．１６８．１．２」が指定されているとする。

まず、プロキシログ取り込み部１０１は、プロキシログ２０１の全てのエントリを入力したか否かを判定する（図４のＳ４０１）。
ここで、プロキシログ２０１やブラウザログ２１４などの情報を構成する行を以降「エントリ」と称する。例えば図３のＤ３０１１の行が１つのエントリとなる。

プロキシログ取り込み部１０１は、全てのエントリを入力していなければ（図４のＳ４０１の「ＮＯ」）、入力していないプロキシログ２０１のエントリを例えばアクセス日時の時系列順に入力する（図４のＳ４０２）。
次に、プロキシログ取り込み部１０１は、入力したエントリのアクセス日時が期間２０６の範囲内か否かを判定する（図４のＳ４０３）。
アクセス日時が期間２０６の範囲内であれば（図４のＳ４０３の「ＹＥＳ」）、プロキシログ取り込み部１０１は、入力したエントリの端末識別子が、端末識別子２０５と一致するか否かを判定する（図４のＳ４０４）。
端末識別子が、端末識別子２０５と一致すれば（図４のＳ４０４の「ＹＥＳ」）、プロキシログ取り込み部１０１は、読み込んだエントリをプロキシログエントリ３０１として出力する（図４のＳ４０５）。

そして、図４のＳ４０１の処理に戻り、プロキシログ取り込み部１０１は、プロキシログ２０１の全てのエントリを入力するまで（図４のＳ４０１の「ＹＥＳ」）、図４のＳ４０１からＳ４０５の処理を繰り返す。

例えば、図５に示すプロキシログエントリ３０１ａ〜３０１ｆのそれぞれ１行ずつが１つのプロキシログエントリである。そして、例えば、プロキシログエントリ３０１ａ〜３０１ｆでプロキシログエントリ３０１のセットを構成している。

すなわち、プロキシログ取り込み部１０１は、図３に示すプロキシログ２０１のエントリの内、期間２０６にアクセス日時が該当し、端末識別子が端末識別子２０５に該当するエントリを抽出し、図５に示すプロキシログエントリ３０１のセットを生成する。

（ＵＲＬホワイトリスト取り込み部１０２の処理）
図６は、ＵＲＬホワイトリスト取り込み部１０２の処理の例を示すフローチャートである。
図７は、ＵＲＬホワイトリスト２０２の例を示す図である。
図８は、ホワイトＵＲＬ３０２の例を示す図である。

ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２を入力する。

ＵＲＬホワイトリスト２０２は、例えば企業などの組織でアクセスが許可されたＵＲＬのリストであり、図７に示すフォーマットのように、例えば「ＵＲＬ、備考」が記録される。
ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２の各エントリの最初の要素であるＵＲＬを抽出し、ホワイトＵＲＬ３０２として出力する。

図６を用いて、ＵＲＬホワイトリスト取り込み部１０２の動作を説明する。
まず、ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２の全てのエントリを入力したか否かを判定する（図６のＳ６０１）。

ＵＲＬホワイトリスト取り込み部１０２は、全てのエントリを入力していなければ（図６のＳ６０１の「ＮＯ」）、入力していないＵＲＬホワイトリスト２０２のエントリを入力する（図６のＳ６０２）。
次に、ＵＲＬホワイトリスト取り込み部１０２は、入力したエントリのＵＲＬを抽出する（図６のＳ６０３）。
そして、ＵＲＬホワイトリスト取り込み部１０２は、抽出したＵＲＬをホワイトＵＲＬ３０２として出力する（図６のＳ６０４）。

そして、図６のＳ６０１の処理に戻り、ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２の全てのエントリを入力するまで（図６のＳ６０１の「ＹＥＳ」）、図６のＳ６０１からＳ６０４の処理を繰り返す。

例えば、図８に示すホワイトＵＲＬ３０２ａ〜３０２ｂのそれぞれ１行ずつが１つのホワイトＵＲＬである。そして、例えば、ホワイトＵＲＬ３０２ａ〜３０２ｂでホワイトＵＲＬ３０２のセットを構成している。

（グレーＵＲＬ特定部１０５の処理）
図９は、グレーＵＲＬ特定部１０５の処理の例を示すフローチャートである。
図１０は、グレーＵＲＬ情報３０５の例を示す図である。

グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）とホワイトＵＲＬ３０２（ホワイトＵＲＬ３０２のセット）とを入力する（図９のＳ９０１）。
ここで、プロキシログエントリ３０１は、図５に示す例とし、ホワイトＵＲＬ３０２は図８に示す例とする。
なお、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）は、前述の通りプロキシログ２０１から抽出されたものであり、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）に示されるＵＲＬ（アドレス）は、前述の通りプロキシログ２０１に示されるＵＲＬ（アドレス）である。
そして、ホワイトＵＲＬ３０２は、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されるアドレスである。

そして、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセットの内、ホワイトＵＲＬ３０２が含まれるプロキシログエントリ３０１を削除する（図９のＳ９０２）。
具体的には、図５に示すプロキシログエントリ３０１ｃに、図８に示すホワイトＵＲＬ３０２ａが含まれ、図５に示すプロキシログエントリ３０１ｄに、図８に示すホワイトＵＲＬ３０２ｂが含まれる。よって、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセットの内、プロキシログエントリ３０１ｃとプロキシログエントリ３０１ｄとを削除する。

ここで、ホワイトＵＲＬ３０２が含まれるプロキシログエントリ３０１を削除するとは、換言すると、ホワイトＵＲＬ３０２以外のＵＲＬが含まれるプロキシログエントリ３０１を抽出することである。つまり、グレーＵＲＬ特定部１０５は、実質的にホワイトＵＲＬ３０２以外のＵＲＬをプロキシログエントリ３０１のセットから抽出している。
すなわち、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬ（アドレス）の内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬ（アドレス）を抽出する。
換言すると、グレーＵＲＬ情報３０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬを示す情報である。

そして、グレーＵＲＬ特定部１０５は、編集したプロキシログエントリ３０１のセット（すなわち、ホワイトＵＲＬ３０２が含まれるプロキシログエントリ３０１を削除したプロキシログエントリ３０１のセット）をグレーＵＲＬ情報３０５として出力する（図９のＳ９０３）。
グレーＵＲＬ情報３０５の例を図１０に示す。ここで、図１０の例は、プロキシログエントリ３０１に含まれるＵＲＬ以外の情報（例えばアクセス日時、端末識別子など）も含まれているが、グレーＵＲＬ情報３０５は、ＷＥＢサイトのＵＲＬの情報のみであってもも良い。

（ブラウザログ取り込み部１１４の処理）
図１１は、ブラウザログ２１４の第１の例を示す図である。
図１２は、ブラウザログ２１４の第２の例を示す図である。
図１３は、ブラウザログ２１４の第３の例を示す図である。
図１４は、ブラウザログ取り込み部１１４の処理の例を示すフローチャートである。
図１５は、ブラウザログエントリ３１４の例を示す図である。

ブラウザログ取り込み部１１４は、ブラウザログ２１４と期間２０６と端末識別子２０５とからブラウザログエントリ３１４を抽出する。
ただし、ブラウザログ２１４に端末識別子２０５の情報が記録されていない場合は、ブラウザログ取り込み部１１４は、ブラウザログ２１４と期間２０６とからブラウザログエントリ３１４を抽出する。本実施の形態においては、ブラウザログ２１４に端末識別子２０５の情報が記録されていない場合について説明する。

ブラウザログ２１４には、例えば以下のような３つの記録形態が想定される。

（１）ブラウザログ２１４の第１の例
ブラウザログ２１４の第１の例（図１１）は、端末装置５００が実行したブラウザ５５１がＷＥＢ通信した全てのＵＲＬがアクセス日時と共に記録される形態である。
ここで、ブラウザ５５１がＷＥＢ通信した全てのＵＲＬとは、例えば、ユーザがキーボードなどの入力装置を用いて直接ブラウザに入力したＵＲＬ、ユーザがマウスなどの入力装置を用いてブラウザ上のリンクをクリックしたＵＲＬ、ユーザがマウスなどの入力装置を用いてブックマークからアクセスしたＵＲＬ、イメージファイルなどブラウザが自動的に取得したコンテンツのＵＲＬ、ＪａｖａＳｃｒｉｐｔ（登録商標）などで生成されブラウザがアクセスしたＵＲＬ、動画がアクセスするＵＲＬである。

（２）ブラウザログ２１４の第２の例
ブラウザログ２１４の第２の例（図１２）は、ユーザの操作に基づきブラウザ５５１がＷＥＢ通信したＵＲＬがアクセス日時と共に記録される形態である。
ここで、ユーザの操作に基づきブラウザ５５１がＷＥＢ通信したＵＲＬとは、例えば、ユーザがキーボードなどの入力装置を用いて直接ブラウザに入力したＵＲＬ、ユーザがマウスなどの入力装置を用いてブラウザ上のリンクをクリックしたＵＲＬ、ユーザがマウスなどの入力装置を用いてブックマークからアクセスしたＵＲＬである。

（３）ブラウザログ２１４の第３の例
ブラウザログ２１４の第３の例（図１３）は、ブラウザ５５１がＷＥＢ通信して取得したコンテンツのうち、端末装置５００に備えられているキャッシュメモリに記憶されたコンテンツのＵＲＬがアクセス日時とコンテンツの名前と共に記録される形態である。

そして、ブラウザログ２１４は、ブラウザログ２１４の第２の例とブラウザログ２１４の第３の例とが組み合わされた形態でもよい。
ブラウザログ２１４は、端末装置５００が備える記憶装置にファイルとして記憶されていてもよいし、端末装置５００が備える記憶装置にブラウザ５５１が保持するデータベースとして記憶されていてもよい。

図１４を用いて、ブラウザログ取り込み部１１４の動作を説明する。
ここで、期間２０６は「２０１１／１１／２３ ０９：００：００〜２０１１／１１／２３ １８：００：００」が指定されているとする。
また、ブラウザログ２１４は、図１１に示すブラウザログ２１４の第１の例とする。なお、ブラウザログ取り込み部１１４が処理に用いるブラウザログ２１４は、ブラウザログ２１４の第２の例であってもよいし、ブラウザログ２１４の第３の例であってもよいし、ブラウザログ２１４の第２の例と第３の例との組合せであってもよい。

まず、ブラウザログ取り込み部１１４は、ブラウザログ２１４の全てのエントリを入力したか否かを判定する（図１４のＳ１４０１）。
ブラウザログ取り込み部１１４は、全てのエントリを入力していなければ（図１４のＳ１４０１の「ＮＯ」）、入力していないブラウザログ２１４のエントリを例えばアクセス日時の時系列順に入力する（図１４のＳ１４０２）。
次に、ブラウザログ取り込み部１１４は、入力したエントリのアクセス日時が期間２０６の範囲内か否かを判定する（図１４のＳ１４０３）。

アクセス日時が期間２０６の範囲内であれば（図１４のＳ１４０３の「ＹＥＳ」）、ブラウザログ取り込み部１１４は、読み込んだエントリをブラウザログエントリ３１４として出力する（図１４のＳ１４０５）。

ここで、本実施の形態では、ブラウザログ２１４に端末識別子が記録されていない場合であり、図１４のＳ１４０４の処理は省略される。しかし、ブラウザログ２１４に端末識別子が記録されている場合、ブラウザログ取り込み部１１４は、入力したエントリの端末識別子が、端末識別子２０５と一致するか否かを判定する（図１４のＳ１４０４）。

そして、図１４のＳ１４０１の処理に戻り、ブラウザログ取り込み部１１４は、ブラウザログ２１４の全てのエントリを入力するまで（図１４のＳ１４０１の「ＹＥＳ」）、図１４のＳ１４０１からＳ１４０５の処理を繰り返す。

例えば、図１５に示す１つの行が１つのブラウザログエントリ３１４である。図１５の例では、ブラウザログエントリ３１４は１つだけであるが、ブラウザログエントリ３１４が複数有る場合は、複数のブラウザログエントリ３１４でブラウザログエントリ３１４のセットを構成する。

すなわち、ブラウザログ取り込み部１１４は、図１１に示すブラウザログ２１４のエントリの内、期間２０６にアクセス日時が該当するエントリを抽出し、図１５に示すブラウザログエントリ３１４のセットを生成する。

（ブラウザアクセスＵＲＬ特定部１０７の処理）
実施の形態１において、ブラウザアクセスＵＲＬ特定部１０７は、ブラウザログ取り込み部１１４で抽出されたブラウザログエントリ３１４を、ブラウザアクセスＵＲＬ情報３０７としてブラックＵＲＬ特定部１０８に転送する。すなわち、ブラウザアクセスＵＲＬ情報３０７は、図１５のブラウザログエントリ３１４と同じものである。

（ブラックＵＲＬ特定部１０８の処理）
図１６は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
図１７は、ブラックＵＲＬ情報２５０の例を示す図である。

まず、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５の全てのエントリを入力したか否かを判定する（図１６のＳ１６０１）。
ここで、グレーＵＲＬ情報３０５は図１０に示す例であり、例えばＤ２５０１の行が１つのエントリである。
ブラックＵＲＬ特定部１０８は、全てのエントリを入力していなければ（図１６のＳ１６０１の「ＮＯ」）、入力していないグレーＵＲＬ情報３０５のエントリを例えばアクセス日時の時系列順に入力する（図１６のＳ１６０２）。

次に、ブラックＵＲＬ特定部１０８は、ブラウザアクセスＵＲＬ情報３０７におけるエントリの先頭を設定する（図１６のＳ１６０３）。
本説明においては、ブラウザアクセスＵＲＬ情報３０７は図１５に示す例であり、エントリは１つしか無いので先頭の選択の余地が無いが、エントリが複数有る場合、ブラックＵＲＬ特定部１０８は、例えばアクセス日時の一番早いエントリを先頭に設定する。

そして、ブラックＵＲＬ特定部１０８は、ブラウザアクセスＵＲＬ情報３０７の全てのエントリを入力したか否かを判定する（図１６のＳ１６０４）。
ブラックＵＲＬ特定部１０８は、全てのエントリを入力していなければ（図１６のＳ１６０４の「ＮＯ」）、入力していないブラウザアクセスＵＲＬ情報３０７のエントリを例えばアクセス日時の時系列順に入力する（図１６のＳ１６０５）。
一方、ブラックＵＲＬ特定部１０８は、全てのエントリを入力していれば（図１６のＳ１６０４の「ＹＥＳ」）、Ｓ１６０１の処理に戻る。

そして、ブラックＵＲＬ特定部１０８は、入力しているブラウザアクセスＵＲＬ情報３０７のエントリのＵＲＬと、グレーＵＲＬ情報３０５のエントリのＵＲＬとが一致するか否かを判定する（図１６のＳ１６０６）。
ブラウザアクセスＵＲＬ情報３０７のエントリのＵＲＬと、グレーＵＲＬ情報３０５のエントリのＵＲＬとが一致する場合（図１６のＳ１６０６の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５から当該エントリを削除する（図１６のＳ１６０７）。そして、ブラックＵＲＬ特定部１０８は、Ｓ１６０１の処理に戻る。
一方、ブラウザアクセスＵＲＬ情報３０７のエントリのＵＲＬと、グレーＵＲＬ情報３０５のエントリのＵＲＬとが一致しない場合（図１６のＳ１６０６の「ＮＯ」）、ブラックＵＲＬ特定部１０８は、Ｓ１６０４の処理に戻る。

そして、ブラックＵＲＬ特定部１０８は、編集後のグレーＵＲＬ情報３０５をブラックＵＲＬ情報２５０とする。ブラックＵＲＬ情報２５０の具体例を図１７に示す。
ここで、ブラックＵＲＬ情報２５０（例えば図１７に示す例）に含まれるＵＲＬの情報を（例えばＤ２５０２の「ｈｔｔｐ：／／○○○．１２３４．△△△／２０１１／ａ．ｈｔｍ」）を、ブラックＵＲＬ２０８と称する。

ここで、グレーＵＲＬ情報３０５に示されるＵＲＬは、プロキシログ２０１に示されるＵＲＬの内、ホワイトＵＲＬ３０２に示されていないＵＲＬである。そして、ブラックＵＲＬ２０８は、グレーＵＲＬ情報３０５に示されるＵＲＬの内、ブラウザログエントリ３１４に示されていないＵＲＬである。
すなわち、ブラックＵＲＬ特定部１０８は、プロキシログ２０１に示されるＵＲＬの内、ホワイトＵＲＬ３０２とブラウザログエントリ３１４とのいずれにも示されていないＵＲＬを抽出する。

（実施の形態１の効果）
実施の形態１における不正ＷＥＢアクセス検知システム１００は、プロキシログ２０１から、ホワイトＵＲＬ３０２を除外したグレーＵＲＬ情報３０５に対して、ブラウザ５５１によりアクセスされたＵＲＬ（ブラウザログエントリ３１４）を除外することによりユーザが意図しないマルウェアによる通信によりアクセスされたと思われるブラックＵＲＬ２０８を特定する。

つまり、実施の形態１の不正ＷＥＢアクセス検知システム１００は、例えば企業などの組織に許可されたＵＲＬでなく、ブラウザからアクセスしたＵＲＬでもないブラックＵＲＬ２０８を抽出することが可能である。このブラックＵＲＬ２０８は、端末装置５００からのＷＥＢ通信においてユーザの意図しないアクセスのアクセス先である。従って、本実施の形態の不正ＷＥＢアクセス検知システム１００は、例えば情報漏洩等マルウェアが行う不正なＷＥＢ通信によりアクセスされたＵＲＬを検知することが可能である。
換言すると、不正ＷＥＢアクセス検知システム１００は、大量のプロキシログ２０１の情報から、例えば管理者のスキルに依存することなく、ユーザの意図と関係ないアクセスのアクセス先のＵＲＬを検知することが可能である。

実施の形態２．
実施の形態２の不正ＷＥＢアクセス検知システム１００では、ブラウザアクセスＵＲＬ特定部１０７は、ブラウザログエントリ３１４に記録されたＵＲＬのドメイン名の一部を抽出し、抽出したドメイン名の一部をブラウザアクセスＵＲＬ情報３０７として出力する。
なお、実施の形態２の不正ＷＥＢアクセス検知システム１００の構成は、実施の形態１と同様である。
以降、実施の形態１と共通する部分（構成や処理）については、説明を省略する。
なお、実施の形態２においても端末操作ログ取り込み部１０３とトップページＵＲＬ特定部１０６とは使用されない。

実施の形態１において、不正ＷＥＢアクセス検知システム１００が処理の対象とするアドレスは、前述の通り、例えばＩＰアドレスであってもよい。一方、実施の形態２において、不正ＷＥＢアクセス検知システム１００が処理の対象とするアドレスは、ＵＲＬであるものとする。
すなわち、プロキシログ取り込み部１０１は、ＵＲＬがアドレスとして示されるプロキシログ２０１を入力する。ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬがアドレスとして示されるＵＲＬホワイトリスト２０２を入力する。ブラウザログ取り込み部１１４は、ＵＲＬがアドレスとして示されるブラウザログ２１４を入力する。

（ブラウザアクセスＵＲＬ特定部１０７の処理）
実施の形態２において、ブラウザアクセスＵＲＬ特定部１０７は入力したブラウザログエントリ３１４に示されるＵＲＬから、当該ＵＲＬのウェブページの提供元が特定されるドメイン名を抽出する。

ここで、ＵＲＬのウェブページの提供元が特定されるドメイン名について説明する。
例えば、ＵＲＬが、「ｈｔｔｐ：／／ｗｗｗ．△△△．ｃｏ．ｊｐ／ｉｎｄｅｘ／ｓａｍｐｌｅ．ｊｐｇ」である場合、ＵＲＬのウェブページの提供元が特定されるドメイン名は、「△△△．ｃｏ．ｊｐ」である。
すなわち、ＵＲＬのウェブページの提供元が特定されるドメイン名は、例えばウェブページの提供元である企業などが特定されるドメイン名である。

ブラウザアクセスＵＲＬ特定部１０７は、ブラウザログエントリ３１４に示されるＵＲＬから、スキーム名（例えば上記の例では「ｈｔｔｐ：／／」）とホスト名（例えば上記の例では「ｗｗｗ．」）とトップページ以下のＵＲＬ（例えば上記の例では「／ｉｎｄｅｘ／ｓａｍｐｌｅ．ｊｐｇ」）とを除いたものをＵＲＬのウェブページの提供元が特定されるドメイン名として抽出する。
ブラウザアクセスＵＲＬ特定部１０７は、更に、トップレベルドメイン（例えば「．ｃｏｍ」など）を除いたものをＵＲＬのウェブページの提供元が特定されるドメイン名として抽出してもよい。また、ＵＲＬがサードレベル登録ドメインの場合、ブラウザアクセスＵＲＬ特定部１０７は、更に、トップレベルドメインとセカンドレベルドメインと（例えば上記の例では「．ｃｏ．ｊｐ」）を除いたものをＵＲＬのウェブページの提供元が特定されるドメイン名として抽出してもよい。

ＵＲＬのウェブページの提供元が特定されるドメイン名の抽出アルゴリズムについては、特に制限は無く、どのようなアルゴリズムでＵＲＬのウェブページの提供元が特定されるドメイン名が抽出されてもよい。本実施の形態では、抽出アルゴリズムの説明は省略する。

ここで、ブラウザログエントリ３１４が図１５に示す例である場合に、ブラウザアクセスＵＲＬ特定部１０７は、ＵＲＬのウェブページの提供元が特定されるドメイン名として「１２３４．△△△」と抽出し、図示は省略するが、ブラウザアクセスＵＲＬ情報３０７として「１２３４．△△△」を出力する。
なお、ブラウザログエントリ３１４に複数のエントリが有る場合、ブラウザアクセスＵＲＬ特定部１０７は、ブラウザアクセスＵＲＬ情報３０７として複数のエントリを出力する。

（ブラックＵＲＬ特定部１０８の処理）
図１８は、ブラックＵＲＬ特定部の処理の例を示す図である。
図１９は、ブラックＵＲＬ情報２５０の例を示す図である。
ブラックＵＲＬ特定部１０８は、図１８のＳ１８０１〜Ｓ１８０４において、実施の形態１の図１６のＳ１６０１〜Ｓ１６０４と同様の処理を行う。ここで、グレーＵＲＬ情報３０５は、図１０に示す例とする。

そして、ブラックＵＲＬ特定部１０８は、ブラウザアクセスＵＲＬ情報３０７のエントリとして前述の「１２３４．△△△」を入力する（図１８のＳ１８０５）。

そして、ブラックＵＲＬ特定部１０８は、入力したグレーＵＲＬ情報３０５のエントリのＵＲＬに入力したブラウザアクセスＵＲＬ情報３０７のエントリのＵＲＬが含まれているか否かを判定する（図１８のＳ１８０６）。
グレーＵＲＬ情報３０５のＵＲＬにブラウザアクセスＵＲＬ情報３０７のＵＲＬが含まれている場合に（図１８のＳ１８０６の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５から当該エントリを削除する（図１８のＳ１８０７）。

ここで、ブラックＵＲＬ特定部１０８は、自動的に、実施の形態１と同様にグレーＵＲＬ情報３０５に示されるＵＲＬの内、ブラウザログエントリ３１４に示されるＵＲＬと一致するＵＲＬも削除する。
そして、以降の処理は実施の形態１と同様である為、説明を省略する。

最終的にブラックＵＲＬ特定部１０８は、図１０のグレーＵＲＬ情報３０５の内、「１２３４．△△△」がＵＲＬに含まれるＤ２５０１〜Ｄ２５０３を削除し、図１９に示すブラックＵＲＬ情報２５０を出力する。
すなわち、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５に示されるＵＲＬの内、ブラウザログエントリ３１４に示されず、ブラウザアクセスＵＲＬ特定部１０７に抽出されたドメイン名を含んでいないＵＲＬを抽出している。

（実施の形態２の効果）
実施の形態２の不正ＷＥＢアクセス検知システム１００は、実施の形態１の効果に加え、以下の効果を有する。

実施の形態１での説明のブラウザログ２１４の第３の例のように、キャッシュメモリに記憶されたコンテンツのＵＲＬがブラウザログ２１４に記録される場合を想定する。
一方、ＷＥＢサーバ側の設定において、ブラウザ５５１に対して、コンテンツをキャッシュしない様にｈｔｔｐレスポンスで指定することが可能である。

そして、この指定はコンテンツ（ｈｔｍｌ、画像等）ごとに指定される。ここで「ｈｔｍｌ」は、「ＨｙｐｅｒＴｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ」の意味であるが、ｈｔｍｌで記述されたテキストデータを単に「ｈｔｍｌ」と称する。
そのため、ブラウザ５５１が同じＷＥＢサイトにアクセスしても、あるサブページのｈｔｍｌはキャッシュメモリに記憶されないが、画像はキャッシュメモリに記憶されるということが生じる。
すなわち、一部のコンテンツ（この例では、あるサブページのｈｔｍｌ）についてＵＲＬ履歴がブラウザログ２１４に記録されない。

しかし、１つのＷＥＢサイトにアクセスして得られた各コンテンツのＵＲＬのドメイン名において、ＵＲＬのウェブページの提供元が特定されるドメイン名（例えば、ウェブページの提供元の企業が特定されるドメイン名）が共通である場合が多い。そのため、ブラウザログ２１４に記録されたＵＲＬのウェブページの提供元が特定されるドメイン名が、ブラウザログ２１４に記録されていないコンテンツのＵＲＬに含まれる場合が多い。

具体例で説明する。
（ａ）キャッシュメモリに記憶されたコンテンツのＵＲＬ（ブラウザログ記録あり）
「ｗｗｗ１．○○○．△△△／ｉｍｇ．ｇｉｆ」
（ｂ）キャッシュメモリに記憶されないコンテンツのＵＲＬ（ブラウザログ記録なし）
「ｗｗｗ１．○○○．△△△／ｓｕｂｐａｇｅ２．ｈｔｍｌ」

（ａ）（ｂ）とも、ブラウザ５５１がアクセスしたＵＲＬであるものとする。しかし、ＷＥＢサーバ側のキャッシュ可否指定により、（ａ）は、キャッシュメモリに記憶され、ブラウザログ２１４にも記録があり、（ｂ）は、キャッシュメモリに記憶されず、ブラウザログ２１４にも記録がないものとする。
一方、プロキシサーバ装置６００は、プロキシログ２０１にキャッシュ可否指定に関係なく、（ａ）（ｂ）とも記録する。

（ａ）（ｂ）において、「○○○．△△△」がＵＲＬのウェブページの提供元が特定されるドメイン名であり、（ａ）と（ｂ）において共通である。
従って、例えば、ブラウザアクセスＵＲＬ特定部１０７がブラウザログエントリ３１４から（ａ）の「○○○．△△△」をブラウザアクセスＵＲＬ情報３０７として抽出すれば、ブラックＵＲＬ特定部１０８において、（ｂ）もブラウザアクセスＵＲＬ情報３０７と同等に扱われることになる。

更に、ブラウザログ２１４の第３の例に加え、実施の形態１での説明のブラウザログ２１４の第２の例のように、ユーザの操作に基づきブラウザ５５１がＷＥＢ通信したＵＲＬもブラウザログ２１４に記録される場合を想定する。
この場合、ブラウザログ２１４の第２の例に示されるＵＲＬのウェブページの提供元が特定されるドメイン名が、前述のブラウザログ２１４の第３の例においてキャッシュメモリに記憶されないＵＲＬに含まれる場合がある。
そして、ブラウザアクセスＵＲＬ特定部１０７がブラウザログ２１４の第２の例に示されるＵＲＬのウェブページの提供元が特定されるドメイン名をブラウザアクセスＵＲＬ情報３０７として抽出したとする。この場合も、前述と同様にブラックＵＲＬ特定部１０８において、ブラウザ５５１がアクセスしたＵＲＬであってキャッシュメモリに記憶されないＵＲＬがブラウザアクセスＵＲＬ情報３０７と同等に扱われることになる。

すなわち、実施の形態２においては、ブラウザ５５１がアクセスした全てのＵＲＬがブラウザログ２１４に記録されていなくてもよい。
そして、ブラックＵＲＬ特定部１０８が、ブラウザログ２１４に記録されたＵＲＬのドメイン名の一部（すなわち、ＵＲＬのウェブページの提供元が特定されるドメイン名）を含むグレーＵＲＬ情報３０５に示されるＵＲＬをブラウザアクセスＵＲＬ情報３０７と同等に扱うことによって、ブラウザログ２１４に記録されたＵＲＬよりも多くのＵＲＬをブラックＵＲＬ２０８から除外できる。

実施の形態３．
実施の形態３の不正ＷＥＢアクセス検知システム１００では、ログ蓄積部１０９が所定の時間毎にブラウザログ２１４を入力する。
なお、実施の形態３の不正ＷＥＢアクセス検知システム１００の構成は、実施の形態１〜２と同様である。
以降、実施の形態１〜２と共通する部分（構成や処理）については、説明を省略する。
なお、実施の形態３においても端末操作ログ取り込み部１０３とトップページＵＲＬ特定部１０６とは使用されない。

ブラウザログ２１４は、端末装置５００でブラウザ５５１が実行されて、ブラウザ５５１が新たなアクセス先にアクセスした場合に、当該アクセス先のアドレスが追加して記録される。すなわち、ブラウザログ２１４は、ブラウザ５５１が実行されて、端末装置５００からプロキシサーバ装置６００に新たなアクセス先としてアドレスが通知される毎に更新される。

一方、ブラウザログ２１４は、ユーザの誤操作により削除されてしまったり、マルウェアが実行されて改ざんされる場合が想定される。
そのため、ログ蓄積部１０９は、例えば１秒毎など極めて短時間毎にブラウザログ２１４を端末装置５００から入力する。
そして、ログ蓄積部１０９は、所定の時間毎に入力したブラウザログ２１４を蓄積する。

そして、ブラウザログ取り込み部１１４は、ログ蓄積部１０９がブラウザログ２１４を入力する度に、ログ蓄積部１０９から当該ブラウザログ２１４を入力し、ブラウザログエントリ３１４を出力してもよい。
また、ブラウザログ取り込み部１１４は、ログ蓄積部１０９が一定期間蓄積した複数のブラウザログ２１４をまとめて入力してもよい。

また、例えば端末装置５００のブラウザログ２１４がユーザの誤操作により削除されてしまう可能性が低い場合には、ログ蓄積部１０９は１日毎に（１日に１回）、ブラウザログ２１４を入力してもよい。
更に、ログ蓄積部１０９は、ブラックＵＲＬ特定部１０８がブラックＵＲＬ２０８を特定する必要が生じた場合に、ブラウザログ２１４を入力してもよい。

（実施の形態３の効果）
実施の形態３の不正ＷＥＢアクセス検知システム１００は、ログ蓄積部１０９が、極めて短時間毎にブラウザログ２１４を入力することで、ブラウザログ２１４に対するユーザの誤操作による削除や、マルウェアによる改ざんを防ぐことができる。

実施の形態４．
実施の形態４の不正ＷＥＢアクセス検知システム１００では、ブラウザログ２１４に対してマルウェアによるアクセスがあった場合に、ブラウザログ２１４の改ざんの可能性を通知するアラームを出力する。
なお、実施の形態４の不正ＷＥＢアクセス検知システム１００の構成は、実施の形態１〜３と同様である。
以降、実施の形態１〜３と共通する部分（構成や処理）については、説明を省略する。
なお、実施の形態４においても端末操作ログ取り込み部１０３とトップページＵＲＬ特定部１０６とは使用されない。

図２０は、端末装置５０１の構成の第１の例を示す図である。
図２１は、端末装置５０１の構成の第２の例を示す図である。
不正ＷＥＢアクセス検知システム１００は、端末装置５０１の内部に含まれている。
不正ＷＥＢアクセス検知システム１００の構成は、前述の通り、実施の形態１〜３と同様であるが、図２０と図２１とにおいては、ログ蓄積部１０９と実施の形態４の動作説明に必要な情報の入出力を示す矢印のみを図示する。
そして、ログ蓄積部１０９は、図２０と図２１とに示されるようにファイル監視部４０３とファイル記憶部４０４とから構成される。
ここで、ファイル記憶部４０４は、実施の形態１で説明のログ蓄積部１０９の内部に備えられる記憶装置である。
また、ファイル監視部４０３はアラーム出力部に対応する。

（アラーム出力処理の第１の例）
最初に、図２０を用いて、アラーム出力処理の第１の例を説明する。
端末装置５０１には、ファイル監視ツール４０１やＯＳコマンド４０２（ＯＳ：オペレーティングシステム）が実装されている。端末装置５０１には、ファイル監視ツール４０１とＯＳコマンド４０２との少なくともどちらか一方が実装されていてもよい。
ファイル監視ツール４０１やＯＳコマンド４０２は、監視対象のファイルに対しアクセスしたプログラム（以下ファイルに対しアクセスするプログラムを「プロセス」とも称する）を検知する。
ここで、ＯＳコマンド４０２は、ファイルにアクセスしているプロセスの情報を得るコマンドである。

ここで、ブラウザログ２１４は、端末装置５０１に実装されたブラウザ５５１によりアクセスされた記録で端末装置５０１の記憶装置にファイルとして記憶されている。

ここで、マルウェアが存在する場合、ブラウザログ２１４はマルウェアのアクセスにより改ざん（追記、書き換え、削除）される可能性がある。
そこで、ファイル監視部４０３は、ファイル監視ツール４０１もしくはＯＳコマンド４０２を呼び出す（図２０の呼び出し３２１）。呼び出し３２１は、例えば１分毎に実施されてもよい。

例えば、ファイル監視ツール４０１は、ブラウザログ２１４を常時監視しており（図２０の監視３２３）、ブラウザログ２１４に対してアクセスしているプロセスの情報を得ている。そして、ファイル監視ツール４０１は、ファイル監視部４０３に呼び出された場合に、プロセスの情報を監視結果としてファイル監視部４０３に応答する（図２０の応答３２２）。
また、例えば、ＯＳコマンド４０２は、ファイル監視部４０３に呼び出された時に、ブラウザログ２１４の監視を開始し、監視結果をファイル監視部４０３に応答してもよい。

そして、ファイル監視部４０３は、ブラウザ以外のプログラムによるブラウザログ２１４に対するアクセスが監視結果として検知されていた場合に、アラームを出力し、ユーザにブラウザログ２１４がマルウェアにより改ざんされた可能性を通知する。
通知の方法は、例えばメールや「ＳＮＭＰ Ｔｒａｐ」等でもよい。

（アラーム出力処理の第２の例）
次に、図２１を用いて、アラーム出力処理の第２の例を説明する。
図２１に示す例は、不正ＷＥＢアクセス検知システム１００が搭載された端末装置５０１とは異なる端末装置５００にファイル監視ツール４０１とＯＳコマンド４０２とファイル監視プログラム４０５とが実装されている。ファイル監視ツール４０１とＯＳコマンド４０２とは、アラーム出力処理の第１の例と同様に少なくともどちらか一方が実装されていてもよい。

ファイル監視プログラム４０５は、ファイル監視ツール４０１やＯＳコマンド４０２を利用して、ブラウザ５５１以外のプロセスがブラウザログ２１４にアクセスしているか否かを監視するプログラムである。
ファイル監視プログラム４０５は、ファイル監視ツール４０１もしくはＯＳコマンド４０２を呼び出す（図２１の呼び出し３２１）。呼び出し３２１は、例えば１分毎に実施されてもよい。

ファイル監視ツール４０１とＯＳコマンド４０２との動作については、アラーム出力処理の第１の例と同様である。
ファイル監視プログラム４０５は、ブラウザ以外のプログラムによるブラウザログ２１４に対するアクセスが監視結果として検知されていた場合に、アラーム２５１をファイル監視部４０３に対して出力する。
そして、ファイル監視部４０３もアラーム２５１を出力し、ユーザにブラウザログ２１４がマルウェアにより改ざんされた可能性を通知する。
ファイル監視プログラム４０５が出力するアラーム２５１とファイル監視部４０３が出力するアラーム２５１とは同じものであってもよいし、違うものであってもよい。

（実施の形態４の効果）
実施の形態４の不正ＷＥＢアクセス検知システム１００は、ファイル監視ツール４０１やＯＳコマンド４０２を利用し、ブラウザ５５１以外のプロセスが、ブラウザログ２１４にアクセスしていることを発見する。そして、不正ＷＥＢアクセス検知システム１００は、マルウェアによるブラウザログ２１４への不正アクセスを検知することが可能になる。

（実施の形態４の補足説明）
ファイル監視部４０３によるアラームが出力されない場合のみファイル記憶部４０４は、ブラウザログ２１４を蓄積し、ファイル監視部４０３によるアラームが出力された場合に、ファイル監視部４０３はアラームの対象であるブラウザログ２１４を削除してもよい。
そして、例えば、ログ蓄積部１０９が実施の形態３のように、所定の時間毎にブラウザログ２１４を入力する場合、不正ＷＥＢアクセス検知システム１００は、アラームの対象であるブラウザログ２１４を除外して処理を行うことが可能である。

また、図２０の応答３２２、もしくは図２１のアラーム２５１には、ブラウザ５５１以外がブラウザログ２１４にアクセスした時刻が示されていてもよい。ここで、ブラウザ５５１以外がブラウザログ２１４にアクセスした時刻を「非ブラウザアクセス時刻」と称する。
その場合、ファイル監視部４０３は、ブラウザログ２１４のエントリのうち、非ブラウザアクセス時刻よりも前のアクセス時刻が示されるエントリのみをファイル記憶部４０４に蓄積してもよい。そして、ブラウザログ取り込み部１１４は、ファイル記憶部４０４に蓄積されたブラウザログ２１４のエントリのうち、非ブラウザアクセス時刻よりも前のアクセス時刻が示されるエントリのみを対象として処理を行ってもよい。

また、ファイル監視部４０３は、非ブラウザアクセス時刻をプロキシログ取り込み部１０１に通知してもよい。
その場合、プロキシログ取り込み部１０１は、プロキシログ２０１のエントリのうち、非ブラウザアクセス時刻よりも前のアクセス時刻が示されるエントリのみを対象として処理を行ってもよい。

更に、図２０の応答３２２、もしくは図２１のアラーム２５１には、マルウェアが改ざんした内容が示されていてもよい。
その場合、ファイル監視部４０３は、ブラウザログ２１４のエントリのうち、マルウェアが改ざんした内容が含まれるエントリを除外したブラウザログ２１４をファイル記憶部４０４に蓄積してもよい。そして、ブラウザログ取り込み部１１４は、ファイル記憶部４０４に蓄積されている、マルウェアが改ざんした内容が含まれるエントリが除外されたブラウザログ２１４のエントリのみを対象として処理を行ってもよい。

実施の形態５．
実施の形態５の不正ＷＥＢアクセス検知システム１００では、プロキシログ２０１のリファラを利用し、ブラウザ５５１がアクセスしたＵＲＬのリンク先であるＵＲＬをブラウザアクセスＵＲＬ情報３０７として取り扱う。
なお、実施の形態５の不正ＷＥＢアクセス検知システム１００の構成は、実施の形態１〜４と同様である。
以降、実施の形態１〜４と共通する部分（構成や処理）については、説明を省略する。
なお、実施の形態５において、端末操作ログ取り込み部１０３とトップページＵＲＬ特定部１０６とが使用される。

（リファラの説明）
図２２は、リファラの第１の例を示す図である。
図２３は、リファラの第２の例を示す図である。
ブラウザ５５１が、ｈｔｔｐリクエストをプロキシサーバ装置６００に送信する場合、ｈｔｔｐリクエストのヘッダにリファラが示される場合がある。一方、例えばメールに記載されたＵＲＬをユーザがクリックした場合は、ブラウザ５５１における遷移元が無いためリファラが示されない。
リファラとは、あるページをリクエストする場合に、その遷移元となるページのＵＲＬのことである。この遷移元となるページのＵＲＬ（すなわち、リファラ）を経由元アドレスと称する。

例えば、図２２に示すように、ブラウザ５５１が「ｈｔｔｐ：／／○○○．１２３４．△△△／」にアクセスしていて、ユーザがリンクをマウスなどの入力装置でクリックした場合、ブラウザ５５１は、「ｈｔｔｐ：／／○○○．ａｂｃｄ．△△△／」にアクセスする。
この場合、ブラウザ５５１は、ｈｔｔｐ ＧＥＴリクエストに対して、「ｈｔｔｐ：／／○○○．１２３４．△△△／」をリファラとして付与する。
リファラは例えば図３の例に示すように、プロキシログ２０１にｈｔｔｐリクエストの一部として示される。

また、例えば、図２３に示すように、ユーザが端末装置５００を操作したことにより、ブラウザ５５１が「ｈｔｔｐ：／／○○○．ａｂｃｄ．１２３４．△△△／」のウェブページにアクセスした場合、ブラウザ５５１は、リンクやｉｍｇタグなどで当該ウェブページの画像やｈｔｍｌのコンテンツを自動的に取得する。
ここで、画像のコンテンツのＵＲＬと、ｈｔｍｌのコンテンツのＵＲＬとは以下であるとする。
（Ａ）画像のコンテンツのＵＲＬ
「ｈｔｔｐ：／／ｉｍｇ．ｎａｔｕｒｅ−ｓａｍｐｌｅ．△△△／ｉｍａｇｅ／・・・／ｓｅａ．ｇｉｆ」
（Ｂ）ｈｔｍｌのコンテンツのＵＲＬ
「ｈｔｔｐ：／／ｎｅｗｓ．ｋｉｊｉ．△△△／２０１１１０２８．ｈｔｍ」

この場合、プロキシログ２０１には、「ｈｔｔｐ：／／○○○．ａｂｃｄ．１２３４．△△△／」以外にブラウザ５５１が取得した上記の画像やｈｔｍｌのコンテンツのＵＲＬ（Ａ）と（Ｂ）とがリファラである「ｈｔｔｐ：／／○○○．ａｂｃｄ．１２３４．△△△／」と共に記録される。
一方、端末操作ログ２０３には、ユーザが端末装置５００を操作したことにより、「ｈｔｔｐ：／／○○○．ａｂｃｄ．１２３４．△△△／」のみが記録される。

すなわち、プロキシログ２０１のリファラと端末操作ログ２０３のＵＲＬとが一致すれば、当該リファラと共に記録されたＵＲＬが、ユーザの操作によりブラウザ５５１がアクセスしたウェブページから自動的に取得されたものであることが分かる。

ここで、ユーザがリンクをマウスなどの入力装置でクリックして遷移した先のＵＲＬや、ブラウザ５５１がリンクやｉｍｇタグなどで自動的に取得するコンテンツのＵＲＬを経由先アドレスと称する。

（端末操作ログ取り込み部１０３の処理）
図２４は、端末操作ログ２０３の例を示す図である。
図２５は、端末操作ログ取り込み部１０３の処理の例を示すフローチャートである。
図２６は、ＷＥＢアクセスＵＲＬ情報３０３の例を示す図である。

端末操作ログ取り込み部１０３は、端末操作ログ２０３と期間２０６と端末識別子２０５とを入力する。

端末操作ログ２０３は、各端末装置５００にインストールされる端末操作記録アプリケーションが記録するログである。端末操作ログ２０３は、図２４に示すフォーマットのように、例えば「操作日時、端末識別子、ユーザ識別子、操作タイプ、操作内容」が時系列順に記録される。

ここで、操作日時は、ユーザが端末装置５００の操作を行った日時である。端末識別子は、例えば端末装置５００のＩＰアドレスである。ユーザ識別子は、例えば従業員の従業員番号などのＩＤ（識別子、アイディー）である。操作タイプは、例えば、「ファイル生成」、「ＷＥＢアクセス」などの操作の種別である。操作内容は、操作タイプに依存する記録である。

端末操作記録アプリケーションの機能により、ユーザが、ブラウザのアドレスバーに入力したＵＲＬやＷＥＢサイトのコンテンツのリンクをクリックしてアクセスしたＵＲＬが端末操作ログ２０３に記録されている。

例えば、図２４に示すＤ２０３１は、「２０１１／１１／２３ ９：００：００に、ＩＰアドレス１９２．１６８．１．２で識別される端末装置５００が、ＵｓｅｒＩＤ１２３４で識別される従業員の操作により、Ｃ：￥ｗｏｒｋ￥ｓａｍｐｌｅ．ｔｘｔというファイルを生成した」ことを意味する。

また、例えば、図２４に示すＤ２０３２は、「２０１１／１１／２３ １０：００：００に、ＩＰアドレス１９２．１６８．１．２で識別される端末装置５００が、ＵｓｅｒＩＤ１２３４で識別される従業員の操作により、ｈｔｔｐ：／／○○○．１２３４．△△△／に対してＧＥＴメソッドを送信（ＷＥＢアクセス）した」ことを意味する。

ここで、図２４のＤ２０３２に示される操作タイプ「ＷＥＢアクセス」のように、端末装置５００がＷＥＢアクセスする場合を説明する。ユーザが端末装置５００を用いてＷＥＢアクセスする場合、ユーザはブラウザを実行して端末装置５００に対してアクセス先のアドレスを指示するアドレス指示操作を行う。ユーザは、このアドレス指示操作により、端末装置５００に対してＷＥＢアクセスを指示する。すなわち、このアドレス指示操作は、ユーザが端末装置５００に対してアクセス先のアドレスを指示すると共に、ユーザが端末装置５００に対して指示したアドレスに端末装置５００がＷＥＢアクセスを行うよう指示している。そして、このアドレス指示操作が端末操作ログ２０３（例えば、図２４）においては、「ＷＥＢアクセス」のように表記されている。
このアドレス指示操作によるアドレスが端末操作ログ２０３には示されている（例えば、図２４のＤ２０３２では「ｈｔｔｐ：／／○○○．１２３４．△△△／」）。そして、端末装置５００は、プロキシサーバ装置６００にアクセス先として、このアドレスを通知する。そして、端末装置５００は、前述の通りプロキシサーバ装置６００を利用してＷＥＢアクセスを行う。

すなわち、端末操作ログ２０３は、ユーザが端末装置５００に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて端末装置５００がプロキシサーバ装置６００にアクセス先として通知したアドレスがアドレス指示操作と対応付けられて示されている。
そして、端末操作ログ２０３のエントリのうち、「ＷＥＢアクセス」が示されているエントリは、ブラウザ５５１が実行されて端末装置５００からプロキシサーバ装置６００にアクセス先のアドレスとして通知されたブラウザ実行アドレス情報である。

図２５を用いて、端末操作ログ取り込み部１０３の動作を説明する。
ここで、期間２０６は「２０１１／１１／２３ ０９：００：００〜２０１１／１１／２３ １８：００：００」、端末識別子２０５は、「１９２．１６８．１．２」が指定されているとする。

まず、端末操作ログ取り込み部１０３は、端末操作ログ２０３の全てのエントリを入力したか否かを判定する（図２５のＳ２５０１）。

端末操作ログ取り込み部１０３は、全てのエントリを入力していなければ（図２５のＳ２５０１の「ＮＯ」）、入力していない端末操作ログ２０３のエントリを例えば操作日時の時系列順に入力する（図２５のＳ２５０２）。
次に、端末操作ログ取り込み部１０３は、入力したエントリの操作日時が期間２０６の範囲内か否かを判定する（図２５のＳ２５０３）。
操作日時が期間２０６の範囲内であれば（図２５のＳ２５０３の「ＹＥＳ」）、端末操作ログ取り込み部１０３は、入力したエントリの端末識別子が、端末識別子２０５と一致するか否かを判定する（図２５のＳ２５０４）。
端末識別子が、端末識別子２０５と一致すれば（図２５のＳ２５０４の「ＹＥＳ」）、端末操作ログ取り込み部１０３は、入力したエントリの操作タイプがＷＥＢアクセスか否かを判定する（図２５のＳ２５０５）。
操作タイプがＷＥＢアクセスであれば（図２５のＳ２５０５の「ＹＥＳ」）、端末操作ログ取り込み部１０３は、読み込んだエントリをＷＥＢアクセスＵＲＬ情報３０３として出力する（図２５のＳ２５０６）。

そして、図２５のＳ２５０１の処理に戻り、端末操作ログ取り込み部１０３は、端末操作ログ２０３の全てのエントリを入力するまで（図２５のＳ２５０１の「ＹＥＳ」）、図２５のＳ２５０１からＳ２５０６の処理を繰り返す。

例えば、図２６に示すＷＥＢアクセスＵＲＬ情報３０３ａ〜ＷＥＢアクセスＵＲＬ情報３０３ｃのそれぞれ１行ずつが１つのＷＥＢアクセスＵＲＬ情報である。そして、例えば、図２６に示すＷＥＢアクセスＵＲＬ情報３０３ａ〜ＷＥＢアクセスＵＲＬ情報３０３ｃでＷＥＢアクセスＵＲＬ情報３０３のセットを構成している。

すなわち、端末操作ログ取り込み部１０３は、図２４に示す端末操作ログ２０３のエントリの内、期間２０６に操作日時が該当し、端末識別子が端末識別子２０５に該当し、操作タイプがＷＥＢアクセスであるエントリを抽出し、図２６に示すＷＥＢアクセスＵＲＬ情報３０３のセットを生成する。

（トップページＵＲＬ特定部１０６の処理）
図２７は、トップページＵＲＬ情報３０６の例を示す図である。
トップページＵＲＬ特定部１０６は、端末操作ログ取り込み部１０３で抽出されたＷＥＢアクセスＵＲＬ情報３０３が入力された場合、入力されたＷＥＢアクセスＵＲＬ情報３０３のＵＲＬを抽出し、トップページＵＲＬ情報３０６としてブラウザアクセスＵＲＬ特定部１０７に出力する。すなわち、トップページＵＲＬ情報３０６に示されるＵＲＬは、図２６のＷＥＢアクセスＵＲＬ情報３０３に示されるＵＲＬと同じものである。

一方、端末装置５００が端末操作記録アプリケーションを実装していない場合、不正ＷＥＢアクセス検知システム１００には、端末操作ログ２０３が入力されない。その為、端末操作ログ取り込み部１０３も使用されない。
この場合、トップページＵＲＬ特定部１０６は、ブラウザログ取り込み部１１４が抽出したブラウザログエントリ３１４を入力し、入力したブラウザログエントリ３１４のＵＲＬを抽出し、トップページＵＲＬ情報３０６としてブラウザアクセスＵＲＬ特定部１０７に出力してもよい。そして、トップページＵＲＬ情報３０６に示されるＵＲＬは、図１５のブラウザログエントリ３１４に示されるＵＲＬと同じものとなる。
本実施の形態では、トップページＵＲＬ特定部１０６は、ＷＥＢアクセスＵＲＬ情報３０３を入力し、図２６に示すトップページＵＲＬ情報３０６を出力するものとして説明を進める。

（ブラウザアクセスＵＲＬ特定部１０７の処理）
ブラウザアクセスＵＲＬ特定部１０７は、プロキシログエントリ３０１（図５）とトップページＵＲＬ情報３０６（図２７）とを入力する。
ここで、プロキシログエントリ３０１（図５）は、プロキシログ取り込み部１０１が入力したプロキシログ２０１から抽出されたものであり、プロキシログ２０１に対応する。
そして、プロキシログエントリ３０１は、図５の例に示す通り、プロキシサーバ装置６００がアクセスしたアドレスに対応付けられてリファラが示されている。
例えば、図５のプロキシログエントリ３０１ａのリファラ「ｈｔｔｐ：／／○○○．ａｂｃｄ．△△△／」は、ブラウザ５５１がプロキシサーバ経由で「ｈｔｔｐ：／／○○○．１２３４．△△△／」の直前に経由したアクセス先のアドレスである。
すなわち、リファラは、ブラウザ５５１がプロキシサーバ装置６００経由で特定のアクセス先（例えば上記の「ｈｔｔｐ：／／○○○．１２３４．△△△／」）に対して、他の少なくとも１つのアクセス先を経由した後にアクセスを行った場合に、ブラウザ５５１がプロキシサーバ装置６００経由で特定のアクセス先へのアクセスの直前に経由したアクセス先のアドレスである。

（ブラウザアクセスＵＲＬ特定部１０７の処理の第１の例）
ここで、ブラウザアクセスＵＲＬ特定部１０７の処理について第１の例と第２の例とに分けて説明を行う。

図２８は、ブラウザアクセスＵＲＬ特定部１０７の処理の第１の例を示すフローチャートである。
ブラウザアクセスＵＲＬ特定部１０７は、処理の開始にあたり、ＵＲＬの情報を一時的に保存するためのブラウザアクセスＵＲＬ暫定ファイル（以下、ブラウザアクセスＵＲＬ暫定ファイルを「ブラウザアクセスＵＲＬ＿ＴＭＰ」と称する）を生成し、不正ＷＥＢアクセス検知システム１００の記憶装置に記憶させる。ブラウザアクセスＵＲＬ＿ＴＭＰの生成時には、ブラウザアクセスＵＲＬ＿ＴＭＰには何も情報が記録されていない。

ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ情報３０６の全てのエントリに対して処理を行う。
ここで、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ情報３０６をトップページＵＲＬ暫定ファイル（以下、トップページＵＲＬ暫定ファイルを「トップページＵＲＬ＿ＴＭＰ」と称する）として生成し、不正ＷＥＢアクセス検知システム１００の記憶装置に記憶させる。ブラウザアクセスＵＲＬ特定部１０７の処理の第１の例では、トップページＵＲＬ＿ＴＭＰは、トップページＵＲＬ情報３０６（図２７）と同じものである。

そして、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ＿ＴＭＰ（トップページＵＲＬ情報３０６）の全てのエントリを入力したか否かを判定する（図２８のＳ２８０１）。
ブラウザアクセスＵＲＬ特定部１０７は、全てのエントリを入力していなければ（図２８のＳ２８０１の「ＮＯ」）、入力していないトップページＵＲＬ＿ＴＭＰ（トップページＵＲＬ情報３０６）のエントリを例えばアクセス日時の時系列順に入力する（図２８のＳ２８０２）。ここでは、ブラウザアクセスＵＲＬ特定部１０７は、図２７のトップページＵＲＬ＿ＴＭＰ（トップページＵＲＬ情報３０６）のＤ３０１を入力する。

次に、ブラウザアクセスＵＲＬ特定部１０７は、プロキシログエントリ３０１におけるエントリの先頭を設定する（図２８のＳ２８０３）。
ブラウザアクセスＵＲＬ特定部１０７は、例えば図５のプロキシログエントリ３０１ａを先頭に設定する。

そして、ブラウザアクセスＵＲＬ特定部１０７は、プロキシログエントリ３０１の全てのエントリを入力したか否かを判定する（図２８のＳ２８０４）。
ブラウザアクセスＵＲＬ特定部１０７は、全てのエントリを入力していなければ（図２８のＳ２８０４の「ＮＯ」）、入力していないプロキシログエントリ３０１のエントリを例えばアクセス日時の時系列順に入力する（図２８のＳ２８０５）。ここでは、ブラウザアクセスＵＲＬ特定部１０７は、先頭に指定された図５のプロキシログエントリ３０１ａを入力する。
なお、リファラが示されている場合は、リファラもプロキシログエントリ３０１の一部として入力される。
一方、ブラウザアクセスＵＲＬ特定部１０７は、全てのエントリを入力していれば（図２８のＳ２８０４の「ＹＥＳ」）、Ｓ２８０１の処理に戻る。

ブラウザアクセスＵＲＬ特定部１０７は、入力したエントリにリファラが対応付けられているか否かを判定する（図２８のＳ２８０６）。
例えば、ユーザがキーボードなどを用いてＵＲＬを直接入力した場合などは、プロキシログエントリ３０１にリファラが示されないので（図２８のＳ２８０６の「ＮＯ」）、ブラウザアクセスＵＲＬ特定部１０７はＳ２８０４の処理に戻る。
一方、図５のプロキシログエントリ３０１ａにはリファラが示されているので（図２８のＳ２８０６の「ＹＥＳ」）、ブラウザアクセスＵＲＬ特定部１０７は、入力したトップページＵＲＬ＿ＴＭＰ（トップページＵＲＬ情報３０６）のエントリのＵＲＬとリファラとが一致するか否かを判定する（図２８のＳ２８０７）。
ここで、入力したトップページＵＲＬ＿ＴＭＰ（トップページＵＲＬ情報３０６）のエントリのＵＲＬは「ｈｔｔｐ：／／○○○．１２３４．△△△／」（図２７のＤ３０１）であり、プロキシログエントリ３０１ａのリファラは「ｈｔｔｐ：／／○○○．ａｂｃｄ．△△△／」で両者が一致しないため（図２８のＳ２８０７の「ＮＯ」）、ブラウザアクセスＵＲＬ特定部１０７は、Ｓ２８０４の処理に戻る。

次に、ブラウザアクセスＵＲＬ特定部１０７は、未入力プロキシログエントリ３０１があるため（図２８のＳ２８０４の「ＮＯ」）、プロキシログエントリ３０１ｂ（図５）を入力する（図２８のＳ２８０５）。
そして、ブラウザアクセスＵＲＬ特定部１０７は、入力したトップページＵＲＬ＿ＴＭＰ（トップページＵＲＬ情報３０６）のエントリのＵＲＬは「ｈｔｔｐ：／／○○○．１２３４．△△△／」（図２７のＤ３０１）とプロキシログエントリ３０１ｂのリファラは「ｈｔｔｐ：／／○○○．１２３４．△△△／」が一致するので（図２８の２８０７の「ＹＥＳ」）、プロキシログエントリ３０１ｂのＵＲＬ「ｈｔｔｐ：／／○○○．１２３４．△△△／２０１１／ａ．ｈｔｍ」をブラウザアクセスＵＲＬ＿ＴＭＰに追加する（図２８のＳ２８０８）。
なお、前述の説明において、プロキシログエントリ３０１ｂのＵＲＬは「ｈｔｔｐ：／／○○○．１２３４．△△△／２０１１／ａ．ｈｔｍ」であり、リファラは「ｈｔｔｐ：／／○○○．１２３４．△△△／」である。すなわち、ブラウザ５５１は遷移元と同一のドメイン名（同一のサーバ）にアクセスした例が示されているが、ブラウザ５５１は遷移元（リファラに示されるＵＲＬ）とは異なるドメイン名（異なるサーバ）にアクセスしてもよい。その場合も同様に、ブラウザアクセスＵＲＬ特定部１０７は、異なるドメイン名のＵＲＬをブラウザアクセスＵＲＬ＿ＴＭＰに追加する。

ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ＿ＴＭＰ（トップページＵＲＬ情報３０６）の全てのエントリに対し入力を完了したら処理を終了する（図２８のＳ２８０１の「ＹＥＳ」）。
そして、ブラウザアクセスＵＲＬ特定部１０７は、図２８に示す処理の第１の例に基づき、「ｈｔｔｐ：／／○○○．１２３４．△△△／２０１１／ａ．ｈｔｍ」が書き込まれたブラウザアクセスＵＲＬ＿ＴＭＰを生成する。

そして、ブラウザアクセスＵＲＬ特定部１０７は、実施の形態１〜４のいずれかで生成されたブラウザアクセスＵＲＬ情報３０７に、このブラウザアクセスＵＲＬ＿ＴＭＰのＵＲＬを加えたものを新たなブラウザアクセスＵＲＬ情報３０７としてブラックＵＲＬ特定部１０８に出力する。

（ブラウザアクセスＵＲＬ特定部１０７の処理の第２の例）
図２９は、ブラウザアクセスＵＲＬ特定部１０７の処理の第２の例を示すフローチャートである。
図３０は、ブラウザアクセスＵＲＬ＿ＡＬＬの例を示す図である。
図３１は、ブラウザアクセスＵＲＬ特定部１０７の処理の第２の例で生成されたブラウザアクセスＵＲＬ情報３０７の例を示す図である。

ブラウザアクセスＵＲＬ特定部１０７は、前述の第１の例と同様に、処理の開始にあたり、ＵＲＬの情報を一時的に保存するためのブラウザアクセスＵＲＬ＿ＴＭＰを生成し、不正ＷＥＢアクセス検知システム１００の記憶装置に記憶させる。

まず、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ情報３０６をブラウザアクセスＵＲＬ抽出用ファイル（以下、ブラウザアクセスＵＲＬ抽出用ファイルを「ブラウザアクセスＵＲＬ＿ＡＬＬ」と称する）として生成し、不正ＷＥＢアクセス検知システム１００の記憶装置に記憶させる（図２９のＳ２９０１）。
ブラウザアクセスＵＲＬ＿ＡＬＬ生成時（図２９のＳ２９０１）のブラウザアクセスＵＲＬ＿ＡＬＬは、トップページＵＲＬ情報３０６（図２７）と同じものであるが、後述の処理によりブラウザアクセスＵＲＬ＿ＡＬＬに記録される内容は変化する。

次に、ブラウザアクセスＵＲＬ特定部１０７は、前述の第１の例と同様に、トップページＵＲＬ情報３０６をトップページＵＲＬ＿ＴＭＰとして生成し、不正ＷＥＢアクセス検知システム１００の記憶装置に記憶させる（図２９のＳ２９０２）。
トップページＵＲＬ＿ＴＭＰ生成時（図２９のＳ２９０２）のトップページＵＲＬ＿ＴＭＰは、前述の第１の例と同様に、トップページＵＲＬ情報３０６（図２７）と同じものであるが、後述の処理によりトップページＵＲＬ＿ＴＭＰに記録される内容は変化する点が、前述の第１の例とは異なる。

そして、ブラウザアクセスＵＲＬ特定部１０７は、ブラウザアクセスＵＲＬ＿ＴＭＰに記録されている情報を消去し、情報が無い状態（情報が無い状態を「ＮＵＬＬ」と称する）にする（図２９のＳ２９０３）。

そして、ブラウザアクセスＵＲＬ特定部１０７は図２８に示す前述の第１の例と同じ処理を行う（図２９のＳ２９０４）。
ここで、前述の第１の例と同様の具体例で説明すると、ブラウザアクセスＵＲＬ特定部１０７は図２９のＳ２９０４において、「ｈｔｔｐ：／／○○○．１２３４．△△△／２０１１／ａ．ｈｔｍ」が書き込まれたブラウザアクセスＵＲＬ＿ＴＭＰを生成する。

ブラウザアクセスＵＲＬ特定部１０７は、ブラウザアクセスＵＲＬ＿ＴＭＰの記録内容がＮＵＬＬか否かを判定する（図２９のＳ２９０５）。
ブラウザアクセスＵＲＬ＿ＴＭＰの記録内容がＮＵＬＬの場合（図２９のＳ２９０５の「ＹＥＳ」）、ブラウザアクセスＵＲＬ特定部１０７は処理を終了する。
一方、本具体例においては、ブラウザアクセスＵＲＬ＿ＴＭＰに「ｈｔｔｐ：／／○○○．１２３４．△△△／２０１１／ａ．ｈｔｍ」が書き込まれているので（図２９のＳ２９０５の「ＹＥＳ」）、ブラウザアクセスＵＲＬ特定部１０７は、ブラウザアクセスＵＲＬ＿ＴＭＰに示されるＵＲＬをブラウザアクセスＵＲＬ＿ＡＬＬに追加して記録する（図２９のＳ２９０６）。

ブラウザアクセスＵＲＬ＿ＴＭＰに示されるＵＲＬが追加されたブラウザアクセスＵＲＬ＿ＡＬＬの例を図３０に示す。

そして、ブラウザアクセスＵＲＬ特定部１０７は、ブラウザアクセスＵＲＬ＿ＴＭＰから新たなトップページＵＲＬ＿ＴＭＰを生成する（図２９のＳ２９０７）。すなわち、トップページＵＲＬ＿ＴＭＰには、「ｈｔｔｐ：／／○○○．１２３４．△△△／２０１１／ａ．ｈｔｍ」が示されることになる。

ブラウザアクセスＵＲＬ特定部１０７は、処理を継続し、図２９のＳ２９０４において、トップページＵＲＬ＿ＴＭＰに示される「ｈｔｔｐ：／／○○○．１２３４．△△△／２０１１／ａ．ｈｔｍ」がリファラとして対応付けられているプロキシログエントリ３０１ｅ（図５）のＵＲＬを抽出する。そして、ブラウザアクセスＵＲＬ特定部１０７は、抽出したＵＲＬ「ｈｔｔｐ：／／○○○．１２３４．△△△／ｉｍａｇｅ／ａ．ｇｉｆ」が書き込まれたブラウザアクセスＵＲＬ＿ＴＭＰを生成する。

そして、ブラウザアクセスＵＲＬ特定部１０７は、最終的に、「ｈｔｔｐ：／／○○○．１２３４．△△△／ｉｍａｇｅ／ａ．ｇｉｆ」が追加されたブラウザアクセスＵＲＬ＿ＡＬＬを生成する。
すなわち、このブラウザアクセスＵＲＬ＿ＡＬＬには、トップページＵＲＬ情報３０６に示されるＵＲＬと、トップページＵＲＬ情報３０６に示されるＵＲＬから数珠繋ぎで遷移したＵＲＬとが含まれる。
そして、生成したブラウザアクセスＵＲＬ＿ＡＬＬをブラウザアクセスＵＲＬ情報３０７（図３１）としてブラックＵＲＬ特定部１０８に出力する。

ブラウザアクセスＵＲＬ特定部１０７は、この第２の例において、プロキシログエントリ３０１に示されるＵＲＬのうち、トップページＵＲＬ情報３０６に示されるＵＲＬがリファラとして対応付けられているＵＲＬを経由先アドレスとして抽出している。
そして、更に、ブラウザアクセスＵＲＬ特定部１０７は、抽出したＵＲＬがリファラとして対応付けられているＵＲＬがプロキシログエントリ３０１に示されている場合に、当該ＵＲＬを経由先アドレスとして抽出している。

そして、ブラックＵＲＬ特定部１０８は、実施の形態１〜４と同様に、グレーＵＲＬ情報３０５に示されるＵＲＬのうち、ブラウザアクセスＵＲＬ情報３０７に示されないＵＲＬを抽出する。
すなわち、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５に示されるＵＲＬのうち、トップページＵＲＬ情報３０６に示されておらず、ブラウザアクセスＵＲＬ特定部１０７に抽出された経由先アドレス以外のＵＲＬを抽出する。

ブラウザアクセスＵＲＬ特定部１０７の処理の第２の例は、端末操作ログ２０３から得られるトップページＵＲＬ情報３０６におけるＵＲＬをリファラとするプロキシログエントリ３０１を探し、さらに当該プロキシログエントリ３０１のＵＲＬをリファラとする別のプロキシログエントリ３０１を数珠繋ぎに追跡し、これ以上繋がらないところまで探す処理に相当する。
すなわち、ブラウザアクセスＵＲＬ特定部１０７の処理の第２の例は、トップページＵＲＬ情報３０６におけるＵＲＬから、プロキシログエントリ３０１に対して、リファラを用いて遷移先を数珠繋ぎに遷移先がなくなるまで追跡し、ブラウザ５５１からアクセスした一連のＵＲＬを特定している。また、ブラウザアクセスＵＲＬ特定部１０７は、複数のＵＲＬの数珠繋ぎの遷移を追跡することができる。

また、ブラウザアクセスＵＲＬ特定部１０７は、プロキシログエントリ３０１のリファラを数珠繋ぎに辿り、最終的に、トップページＵＲＬ情報３０６に示されたＵＲＬに辿り着くかを判定してもよい。
例えば、ブラウザアクセスＵＲＬ特定部１０７は、図５のプロキシログエントリ３０１ｅのリファラがプロキシサーバ装置６００のアクセス先として示されているプロキシログエントリ３０１ｂ（図５）を抽出する。そして、抽出したプロキシログエントリ３０１ｂのリファラがトップページＵＲＬ情報３０６に示されたＵＲＬであるか否かを判定してもよい。
このように、トップページＵＲＬ情報３０６に示された各ＵＲＬから数珠繋ぎでリンクするＵＲＬを探す方法は、前述に限らず別の方法でもよい。

（実施の形態５の効果）
ブラウザ５５１は、ウェブページへのアクセスで例えば画像などを自動的に取得することがある。しかし、従来の技術では、プロキシログ２０１に示された画像取得のリクエストが、ブラウザ５５１によるものなのか、他のプログラムによるものなのかが判断不可能である。例えば、従来の技術として、Ｕｓｅｒ−Ａｇｅｎｔによりブラウザタイプが記録されるが、マルウェアによる詐称が可能なため利用することが出来ない。
実施の形態５の不正ＷＥＢアクセス検知システム１００は、ブラウザ５５１でアクセスしたＵＲＬを基点として遷移したＵＲＬを判別可能であり、この遷移がブラウザにより行われたと判断可能である。

すなわち、実施の形態５の不正ＷＥＢアクセス検知システム１００は、プロキシログ２０１のリファラと端末操作ログ２０３から得られるトップページＵＲＬ情報３０６を利用し、ブラウザアクセスＵＲＬ情報３０７を特定することが可能である。
また、端末操作ログ２０３が採取できない環境においては、プロキシログ２０１のリファラとブラウザログ２１４とを利用しブラウザアクセスＵＲＬ情報３０７を特定することが可能である。

（実施の形態４と実施の形態５との組合せ）
ここで、実施形態５に示す端末操作ログ取り込み部１０３とトップページＵＲＬ特定部１０６とを使用することで、端末操作ログ２０３を利用し、実施の形態４に示すアラーム２５１を出力する不正ＷＥＢアクセス検知システム１００の例を説明する。

まず、端末操作ログ取り込み部１０３は、期間２０６と端末操作ログ２０３（図２４）とを入力し、前述と同様にＷＥＢアクセスＵＲＬ情報３０３（図２６）を抽出する。
ＷＥＢアクセスＵＲＬ情報３０３（図２６）に示される最初の時刻「「２０１１／０６／２３ １０：００：００」〜最後の時刻「２０１１／０６／２３ １６：００：００」が、期間２０６内において、ブラウザが操作されたブラウザ操作期間３１５に相当する。
そして、端末操作ログ取り込み部１０３は、ブラウザ操作期間３１５をブラウザログ取り込み部１１４に出力する（図２）。

ブラウザログ取り込み部１１４は、ブラウザ操作期間３１５以外のアクセス日時を示すブラウザログエントリ３１４が存在するか否かを判定し、存在する場合、ファイル監視部４０３に不正ログ通知３４０（図２）を行う。
そして、ファイル監視部４０３は実施の形態４と同様にアラーム２５１を出力する。

すなわち、不正ＷＥＢアクセス検知システム１００は、期間２０６内において、ユーザがブラウザ５５１を操作した期間以外にブラウザログエントリ３１４が存在する場合を検知することにより、マルウェアによるブラウザログ２１４への不正アクセスを検知することが可能である。

実施の形態６．
（実施の形態６〜９における不正ＷＥＢアクセス検知システム１００の共通部分の説明）
実施の形態６の不正ＷＥＢアクセス検知システム１００の説明の前に、実施の形態６〜９における不正ＷＥＢアクセス検知システム１００の共通部分の説明を行う。
実施の形態６〜９における不正ＷＥＢアクセス検知システム１００は、実施の形態１〜５いずれかのブラックＵＲＬ特定部１０８が抽出したブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補の内、所定の条件に合致するＵＲＬを条件合致アドレスとして特定し、条件合致アドレスをブラックＵＲＬ２０８として出力する。すなわち、ブラックＵＲＬ２０８は条件合致アドレスに対応する。

すなわち、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補の内、少なくとも所定の条件に合致する所定のアドレスを条件合致アドレスとして特定する条件合致アドレス特定部に対応する。

そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。すなわち、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する情報入力部に対応する。

ここで、ブラック判定条件２０７とは、ブラックＵＲＬ候補からブラックＵＲＬ２０８を特定する為の所定の条件である。
ブラック判定条件２０７は、数種類存在し、あらかじめ例えばユーザによって設定され、例えば不正ＷＥＢアクセス検知システム１００の記憶装置に記憶されている。そして例えばユーザは不正ＷＥＢアクセス検知システム１００のキーボードなどの入力装置を用いて、記憶されている数種類のブラック判定条件２０７の中から少なくとも１つのブラック判定条件２０７を選択して入力する。ここで、ユーザは、記憶されている数種類のブラック判定条件２０７の中から複数のブラック判定条件２０７を組み合わせて入力することも可能である。

そして、ブラックＵＲＬ特定部１０８は、入力したブラック判定条件２０７に対応してあらかじめ設定された処理を実行する。
また、ブラックＵＲＬ特定部１０８が、複数の（例えば２つの）ブラック判定条件２０７を入力した場合、ブラックＵＲＬ特定部１０８は、まず第１のブラック判定条件２０７に対応してブラックＵＲＬ候補の中から条件合致アドレス（ブラックＵＲＬ２０８）を特定する。そして、更に、ブラックＵＲＬ特定部１０８は、第１のブラック判定条件２０７によって特定された条件合致アドレス（ブラックＵＲＬ２０８）の中から、第２のブラック判定条件２０７に対応して、条件合致アドレス（ブラックＵＲＬ２０８）を特定することが可能である。

なお、実施の形態６〜９の不正ＷＥＢアクセス検知システム１００は、図２に示す実施の形態１〜５の不正ＷＥＢアクセス検知システム１００と同じ構成である。従って、実施の形態１〜５と同じ構成要素及び処理内容については説明を省略する。
以降、実施の形態６〜９の各実施の形態について説明を行う。

（実施の形態６におけるブラックＵＲＬ特定部１０８の処理）
図３２は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜５いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。更に、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する（図３２のＳ３２０１）。

ここで、ブラックＵＲＬ特定部１０８は、「端末装置５００のアクセス先のウェブページの提供元が属する国が、不正アクセスの多い国のブラックリストに含まれているか否か」というブラック判定条件２０７を入力する。
更に、ブラックＵＲＬ特定部１０８は、「不正アクセスの多い国のブラックリスト」の情報も入力する。

不正アクセスの多い国は傾向として決まっているので、例えば、Ａ国、Ｂ国、Ｃ国を不正アクセスの多い国として「不正アクセスの多い国のブラックリスト」に定義することが可能である。
そして、「不正アクセスの多い国のブラックリスト」は、あらかじめ特定された国が示される特定国情報に対応する。

そして、インターネット上には、例えば「○○○．７８９−ｓａｍｐｌｅ．△△△」というドメイン名を入力すると、そのドメイン名のウェブページがホストされている国（アドレスのウェブページの提供元が属する国）の情報を出力するインターネットサービスが存在する。このサービスを外部サービス２０９（図２）と称する。このアドレスのウェブページの提供元が属する国が示される情報を「提供国情報」と称する。

そして、ブラックＵＲＬ特定部１０８は、インターネットを介し、ブラックＵＲＬ候補を外部サービス２０９に入力する。そして、ブラックＵＲＬ特定部１０８は、外部サービス２０９からの提供国情報を入力し、ブラックＵＲＬ候補のホスト国を特定する（図３２のＳ３２０２）。
すなわち、ブラックＵＲＬ特定部１０８は、抽出したブラックＵＲＬ候補毎（アドレス毎）の提供国情報を入力する。

そして、ブラックＵＲＬ特定部１０８は特定したブラックＵＲＬ候補のホスト国が、「不正アクセスの多い国のブラックリスト」に含まれているか否かを判定する（図３２のＳ３２０３）。
ここで、例えば、特定したブラックＵＲＬ候補のホスト国がＡ国の場合、ブラックリストに含まれているので（図３２のＳ３２０３の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補をブラックＵＲＬ２０８として出力する（図３２のＳ３２０４）。一方、特定したブラックＵＲＬ候補のホスト国がＸ国の場合、ブラックリストに含まれていないので（図３２のＳ３２０３の「ＮＯ」）、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補をブラックＵＲＬ２０８として出力しない。

すなわち、ブラックＵＲＬ特定部１０８は、入力された提供国情報に示される国の中で、「不正アクセスの多い国のブラックリスト」に示されるいずれかの国に合致する国が提供しているウェブページのアドレスをブラックＵＲＬ２０８として特定する。

（実施の形態６の効果）
マルウェアの通信先のＣ＆Ｃサーバは不正アクセスの多い特定の国に存在することがある。そして、実施の形態６の不正ＷＥＢアクセス検知システム１００は、ブラックＵＲＬ候補から、不正アクセスの多い特定の国をホスト国としたウェブページのＵＲＬであるか否かをブラック判定条件２０７として、ブラックＵＲＬ２０８を絞り込む。その為、実施の形態６の不正ＷＥＢアクセス検知システム１００は、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。

実施の形態７．
（実施の形態７における不正ＷＥＢアクセス検知システム１００の概要）
実施の形態７の不正ＷＥＢアクセス検知システム１００は、ブラック判定条件２０７として、ブラックＵＲＬ候補のウェブページへのアクセス数を用いる。具体的には、「今までアクセス数が少なかったブラックＵＲＬ候補において、急にアクセス数が一定期間増加し、その後また減少したか否か」をブラック判定条件２０７とする。

（ブラックＵＲＬ特定部１０８の処理）
図３３は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
図３４は、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図である。

なお、図２において図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１を入力することが可能である。ここで、ブラックＵＲＬ特定部１０８は、プロキシログ取り込み部１０１が入力したプロキシログ２０１をプロキシログ取り込み部１０１から入力しても良い。
また、プロキシログ２０１は、図３に示す通り、プロキシサーバ装置６００が行ったアクセス毎にアクセス先のアドレスと通信サイズ（アクセス時のデータ通信量）とが対応付けられて示されている。

まず、ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜５いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。更に変数ｎを「０」で初期化する（図３３のＳ３３０１）。

ここでブラック判定条件２０７は、前述の通り「今までアクセス数が少なかったブラックＵＲＬ候補において、急にアクセス数が一定期間増加し、その後また減少したか否か」である。

そして、ブラックＵＲＬ特定部１０８は、入力したプロキシログ２０１から各ブラックＵＲＬ候補に対する日毎のアクセス数をあらかじめ定められた集計期間において集計する（図３３のＳ３３０２）。この集計期間はあらかじめ不正ＷＥＢアクセス検知システム１００の記憶装置に記憶されていても良いし、ユーザが不正ＷＥＢアクセス検知システム１００の入力装置を用いて入力しても良い。
ここで、ブラックＵＲＬ特定部１０８が集計するアクセス数は、日毎に限らず、単位時間毎であれば、３日間毎であっても、１週間毎であっても良い。ここでは、ブラックＵＲＬ特定部１０８は、日毎にアクセス数を集計するものとして説明を進める。
すなわち、ブラックＵＲＬ特定部１０８は、各アドレスに対する単位時間毎のアクセス数を算出する通信量算出部に対応する。

なお、図３３において図示は省略するが、Ｓ３３０２〜Ｓ３３０７の処理は、各ブラックＵＲＬ候補に対して行われる。

そして、ブラックＵＲＬ特定部１０８は、集計したアクセス数が過去は少なく、その後増加したか否かを判定する（図３３のＳ３３０３）。
ここで、ブラックＵＲＬ特定部１０８は、アクセス数があらかじめ不正ＷＥＢアクセス検知システム１００の記憶装置に記憶されている閾値（「アクセス数の第１の閾値」と称する）よりも少ない場合に、「アクセス数が少ない」と判定する。そして、ブラックＵＲＬ特定部１０８は、アクセス数が「アクセス数の第１の閾値」以上の場合に、「アクセス数が増加した」と判定する。

そして、「アクセス数が増加していない」場合（図３３のＳ３３０３の「ＮＯ」）、ブラックＵＲＬ特定部１０８は、判定対象のＵＲＬについて処理を終了し、未判定のブラックＵＲＬ候補について、同様の処理を行う。

そして、ブラックＵＲＬ特定部１０８が「アクセス数が増加した」と判定した場合（図３３のＳ３３０３の「ＹＥＳ」）、アクセス数が集計された日を基準日とする。

ここで、基準日が現在である場合を想定する。
その場合、ブラックＵＲＬ特定部１０８は、変数ｎをインクリメント（ｎ＝ｎ＋１）する（図３３のＳ３３０４）。

そして、ブラックＵＲＬ特定部１０８は新たにｎ日後のプロキシログ２０１を入力し、ｎ日後のアクセス数を集計する。
そして、ブラックＵＲＬ特定部１０８は、ｎ日後のアクセス数が基準日のアクセス数と同等又は増加しているか否かを判定する（図３３のＳ３３０５）。ここで、ブラックＵＲＬ特定部１０８は、アクセス数が「アクセス数の第１の閾値」以上の場合に、「基準日のアクセス数と同等又は増加している」と判定する。

基準日のアクセス数と同等又は増加している場合（図３３のＳ３３０５の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、変数ｎを更にインクリメントする（図３３のＳ３３０４）。すなわち、ブラックＵＲＬ特定部１０８は更に１日後のアクセス数を集計する。

一方、アクセス数が「アクセス数の第１の閾値」より少ない場合（図３３のＳ３３０５の「ＮＯ」）、ブラックＵＲＬ特定部１０８はアクセス数が基準日以前のアクセス数と同等か否かを判定する（図３３の３３０６）。
ここで、ブラックＵＲＬ特定部１０８は、例えば、基準日以前の日毎のアクセス数の平均ｘと標準偏差σとを記憶しており、例えばアクセス数が「ｘ±３σ」以内であれば、基準日以前のアクセス数を同等と判定する。

そして、アクセス数が基準日以前のアクセス数と同等の場合（図３３のＳ３３０６の「ＹＥＳ」）、図示は省略するが、あらかじめ設定された所定の日数においてアクセス数が「アクセス数の第１の閾値」以上であったか否かを判定する。そして、アクセス数が所定の日数において「アクセス数の第１の閾値」以上であったブラックＵＲＬ候補をブラックＵＲＬ２０８として出力する。

そして、アクセス数が基準日以前のアクセス数と同等でない場合（図３３のＳ３３０６の「ＮＯ」）、ブラックＵＲＬ特定部１０８は、変数ｎを更にインクリメントする（図３３のＳ３３０４）。

図３４を用いて具体例を説明する。
例えば、ブラックＵＲＬ特定部１０８は、あるブラックＵＲＬ候補に対するアクセス数を現在から、３０日分さかのぼって、日毎に集計したとする。
その結果、２９日目まではアクセス数は「０」であるが、３０日目（現在）にアクセス数が「１２」に増加している。ここで、例えば、「アクセス数の第１の閾値」は「１０」であるとする。
その後数日間において、ブラックＵＲＬ特定部１０８は、アクセス数を集計した結果、３３日目（現在から３日後）にアクセス数が「０」に戻っている。
この図３４の例のように、ブラックＵＲＬ特定部１０８は図３３の処理によって、判定対象のブラックＵＲＬ候補に対するアクセス数が、過去は少なく、かつ、所定の日数の間増加し、かつ、その後減少するか否かを判定している。

ここで、所定の日数は、例えば不正ＷＥＢアクセス検知システム１００の記憶装置に記憶されており、ここでは所定の日数が「５日」とする。
特定のマルウェアは、インターネット上のＣ＆Ｃサーバと短期間に継続的に通信することが知られている。したがって、例えば５日以内に集中的にアクセス数が増加したアクセスは、マルウェアによるアクセスと考えられる。

具体例では、基準日が現在の場合を説明したが、基準日が過去であっても構わない。
すなわち、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補に対するアクセス数が、過去は少なく、かつ、基準日から所定の日数以内において増加し、かつ、その後減少するか否かを判定出来れば良い。

すなわち、ブラックＵＲＬ特定部１０８は、あらかじめ定義された所定の期間においてのみ日毎（単位時間毎）のアクセス数が、アクセス数の第１の閾値以上となるＵＲＬをブラックＵＲＬ２０８として特定している。

ブラックＵＲＬ特定部１０８は、アクセス数の時系列の変化を自動判定するために、ＡＲＭＡ（ＡｕｔｏＲｅｇｒｅｓｓｉｖｅ Ｍｏｖｉｎｇ Ａｖｅｒａｇｅ）などを利用した公知の方式を使用しても良い。そして、ブラックＵＲＬ特定部１０８は、ＡＲＭＡによりアクセス数の変化が見つかったブラックＵＲＬ候補をブラックＵＲＬ２０８と特定しても良い。

更に、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補に対する通信量に基づいて、ブラックＵＲＬ２０８を特定しても良い。

その場合、ブラック判定条件２０７は、「今まで通信量が少なかったブラックＵＲＬ候補において、急に通信量が一定期間増加し、その後また減少したか否か」となる。
前述の通りプロキシログ２０１（図３）には、通信サイズ（通信量）が示されている為、ブラックＵＲＬ特定部１０８は、各ブラックＵＲＬ候補に対して、例えば日毎の通信量を集計することが可能である。
すなわち、ブラックＵＲＬ特定部１０８は、プロキシログ２０１から各ブラックＵＲＬ候補に対する単位時間毎のデータ通信量を算出する。

そして、詳細な説明は省略するが、ブラックＵＲＬ特定部１０８は図３３の処理においてアクセス数の代わりに、通信量を用いてブラックＵＲＬ２０８を特定する。
すなわち、ブラックＵＲＬ特定部１０８は、あらかじめ定義された所定の期間においてのみ日毎（単位時間毎）のデータ通信量が、データ通信量の第１の閾値以上となるＵＲＬをブラックＵＲＬ２０８として特定する。

（実施の形態７の効果）
前述の通り、マルウェアとＣ＆Ｃサーバとのアクセス数またはデータ通信量は、短期間に増加することが知られている。実施の形態７の不正ＷＥＢアクセス検知システム１００は、短期間にアクセス数またはデータ通信量が増加するアクセス先のＵＲＬを特定することで、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。

実施の形態８．
（実施の形態８における不正ＷＥＢアクセス検知システム１００の概要）
実施の形態８の不正ＷＥＢアクセス検知システム１００は、ブラック判定条件２０７として、ブラックＵＲＬ候補のウェブページへのアクセス数を用いる。具体的には、「ブラックＵＲＬ候補との通信において、周期的にアクセスが発生しているか否か」をブラック判定条件２０７とする。

（ブラックＵＲＬ特定部１０８の処理）
図３５は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
図３６は、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図である。

なお、図２において図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１を入力することが可能である。ここで、ブラックＵＲＬ特定部１０８は、プロキシログ取り込み部１０１が入力したプロキシログ２０１をプロキシログ取り込み部１０１から入力しても良い。

まず、ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜５いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。（図３５のＳ３５０１）。

ここでブラック判定条件２０７は、前述の通り「ブラックＵＲＬ候補との通信において、周期的にアクセスが発生しているか否か」である。

そして、ブラックＵＲＬ特定部１０８は、入力したプロキシログ２０１から各ブラックＵＲＬ候補に対する単位時間毎のアクセス数をあらかじめ定められた集計期間において集計する（図３５のＳ３５０２）。
ここで、単位時間毎のアクセス数をＭｉ（ｉ＝１〜ｋ）とする。例えば、ブラックＵＲＬ特定部１０８は、１分間毎のアクセス数を集計するとした場合、Ｍ１は、集計期間ｋ分間の内の最初の１分間（１分目）のアクセス数の集計、Ｍ２は次の１分間（２分目）のアクセス数の集計を意味する。

なお、図３５において図示は省略するが、Ｓ３５０２〜Ｓ３５０４の処理は、各ブラックＵＲＬ候補に対して行われる。

次に、ブラックＵＲＬ特定部１０８は、アクセス数の集計結果Ｍｉ（ｉ＝１〜ｋ）を時系列で並べた場合に周期的であるか否かを判定する（図３５のＳ３５０３）。
ここで、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が周期的にあらかじめ不正ＷＥＢアクセス検知システム１００の記憶装置に記憶されている閾値（「アクセス数の第２の閾値」と称する）以上となっているか否かを判定する。つまり、ブラックＵＲＬ特定部１０８は、周期的にアクセスが発生しているか否かを判定している。
あるいは、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が周期的に同じ値となっているか否かを判定しても良い。また、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が周期的に「アクセス数の第２の閾値」以上の同じ値となっているか否かを判定しても良い。
周期的にアクセスが発生している場合（図３５のＳ３５０３の「ＹＥＳ」）、判定対象のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定し、出力する（図３５のＳ３５０４）。

すなわち、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が一定周期毎にあらかじめ定義されたアクセス数の第２の閾値以上となるブラックＵＲＬ候補をブラックＵＲＬ２０８として特定している。

図３６を用いて、具体例を説明する。
例えば図３６は、ブラックＵＲＬ特定部１０８が、あるブラックＵＲＬ候補に対する１分間毎のアクセス数を集計したものである。
そして、集計期間は、例えば、１日（２４時間×６０分＝１４４０分間）としている。
ブラックＵＲＬ特定部１０８は、図３６に示す集計結果において、２分に１回１アクセスが発生しており、周期的にアクセスが発生していると判定する。ここで「アクセス数の第２の閾値」は「１アクセス」とする。

特定のマルウェアは、インターネット上のＣ＆Ｃサーバとの接続を確認するために定期的に通信することが知られている。したがって、例えば周期的に１回以上のアクセス数が示されるアクセスは、マルウェアによるアクセスと考えられる。

ブラックＵＲＬ特定部１０８は、アクセス数の時系列の周期的な変化を自動判定する公知のアルゴリズムを使用しても良い。そして、ブラックＵＲＬ特定部１０８は、公知のアルゴリズムにより周期的なアクセス数の変化が見つかったブラックＵＲＬ候補をブラックＵＲＬ２０８と特定しても良い。

更に、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補に対する通信量に基づいて、ブラックＵＲＬ２０８を特定しても良い。

その場合、ブラックＵＲＬ特定部１０８は、プロキシログ２０１から各ブラックＵＲＬ候補に対する単位時間毎のデータ通信量を算出する。

そして、詳細な説明は省略するが、ブラックＵＲＬ特定部１０８は図３５の処理においてアクセス数の代わりに、通信量を用いてブラックＵＲＬ２０８を特定する。
すなわち、ブラックＵＲＬ特定部１０８は、単位時間毎のデータ通信量が一定周期毎にあらかじめ定義されたデータ通信量の第２の閾値以上となるブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。

（実施の形態８の効果）
前述の通り、マルウェアとＣ＆Ｃサーバとのアクセスは、周期的に行われることが知られている。実施の形態８の不正ＷＥＢアクセス検知システム１００は、周期的にアクセスが行われるアクセス先のＵＲＬを特定することで、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。

（実施の形態３と実施の形態８との組合せ）
なお、実施の形態８のブラックＵＲＬ特定部１０８により特定されたブラックＵＲＬ候補の一定周期を、ブラックＵＲＬ特定部１０８が特定してもよい。
このブラックＵＲＬ特定部１０８が特定した一定周期は、マルウェアによるアクセスの周期である可能性が高い。
そして、実施の形態３のログ蓄積部１０９は、実施の形態８のブラックＵＲＬ特定部１０８が特定した一定周期よりも短い周期でブラウザログ２１４を入力してもよい。

実施の形態９．
（実施の形態９における不正ＷＥＢアクセス検知システム１００の概要）
実施の形態９の不正ＷＥＢアクセス検知システム１００は、ブラック判定条件２０７として、端末装置５００（プロキシサーバ装置６００）とブラックＵＲＬ候補のウェブページとの間のＷＥＢ通信におけるリクエストサイズとレスポンスサイズとを用いる。具体的には、「ブラックＵＲＬ候補において、通信のリクエストサイズとレスポンスサイズが閾値未満か否か」をブラック判定条件２０７とする。

（ブラックＵＲＬ特定部１０８の処理）
図３７は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。

なお、図２において図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１（図３）を入力することが可能である。ここで、ブラックＵＲＬ特定部１０８は、プロキシログ取り込み部１０１が入力したプロキシログ２０１をプロキシログ取り込み部１０１から入力しても良い。

まず、ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜５いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。（図３７のＳ３７０１）。

ここでブラック判定条件２０７は、前述の通り「ブラックＵＲＬ候補において、通信のリクエストサイズとレスポンスサイズが閾値未満か否か」である。
また、ブラックＵＲＬ特定部１０８は、例えば不正ＷＥＢアクセス検知システム１００の記憶装置に記憶されているリクエストサイズの閾値「αＫＢ」とレスポンスサイズの閾値「βＫＢ」とを入力する。あるいは例えばユーザが不正ＷＥＢアクセス検知システム１００の入力装置を用いて、リクエストサイズの閾値とレスポンスサイズの閾値とを入力しても良い。

ここで、ユーザがブラウザを用いて行うＷＥＢサイトの閲覧では、リクエストに対するレスポンスは何かしらの文字列を含むコンテンツであるため、ある程度以上のレスポンスサイズになり、「βＫＢ」未満にはならない。また、ユーザがブラウザを用いて行うＷＥＢサイトの閲覧におけるリクエストの場合もヘッダに情報が付与され、リクエストサイズは「αＫＢ」未満にならない。
そして、あらかじめユーザが、ＷＥＢサイトへのアクセスにおけるリクエストサイズとレスポンスサイズとの統計データを取得し、αとβとの値を設定しておく。

そして、ブラックＵＲＬ特定部１０８は、入力したプロキシログ２０１から、各ブラックＵＲＬ候補のリクエストサイズとレスポンスサイズとを抽出する（図３７のＳ３７０２）。
ここで、図３における図示は省略するが、プロキシログ２０１には、アクセス毎のリクエストサイズとレスポンスサイズとが示される。
すなわち、プロキシログ２０１は、プロキシサーバ装置６００が行ったアクセス毎に、アクセス先のアドレスと、プロキシサーバ装置６００からアクセス先へ送信したデータのサイズであるリクエストサイズと、プロキシサーバ装置６００がアクセス先から受信したデータのサイズであるレスポンスサイズとが対応付けられて示される。
なお、１つのブラックＵＲＬ候補に対して複数のアクセスが有る場合は、ブラックＵＲＬ特定部１０８は、リクエストサイズとレスポンスサイズとの最小値を抽出する。

なお、図３７において図示は省略するが、Ｓ３７０２〜Ｓ３７０５の処理は、各ブラックＵＲＬ候補に対して行われる。

次に、ブラックＵＲＬ特定部１０８は、抽出したリクエストサイズが閾値「αＫＢ」未満か否かを判定する（図３７のＳ３７０３）。
リクエストサイズが閾値「αＫＢ」未満の場合（図３７のＳ３７０３の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、抽出したレスポンスサイズが閾値「βＫＢ」未満か否かを判定する（図３７のＳ３７０４）。
そして、ブラックＵＲＬ特定部１０８は、レスポンスサイズが閾値「βＫＢ」未満の場合（図３７のＳ３７０４の「ＹＥＳ」）、判定対象のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定し、出力する（図３７のＳ３７０５）。
すなわち、ブラックＵＲＬ特定部１０８は、リクエストサイズが閾値「αＫＢ」未満、かつ、レスポンスサイズが閾値「βＫＢ」未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。

すなわち、ブラックＵＲＬ特定部１０８は、プロキシログ２０１からブラックＵＲＬ候補と対応付けられているレスポンスサイズとリクエストサイズとをアクセス単位で抽出（特定）する。そして、抽出したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満であり、リクエストサイズがあらかじめ定義されたリクエストサイズの閾値未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。

ここで、マルウェアによるＷＥＢ通信はレスポンスのみが小さいこともあるので、ブラックＵＲＬ特定部１０８は、図３７のＳ３７０３の判定は行わず、Ｓ３７０４の判定のみを行うだけでも良い。すなわち、ブラックＵＲＬ特定部１０８は、レスポンスサイズが閾値「βＫＢ」未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。

すなわち、ブラックＵＲＬ特定部１０８は、プロキシログ２０１からブラックＵＲＬ候補と対応付けられているレスポンスサイズをアクセス単位で抽出（特定）する。そして、抽出したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。

（実施の形態９の効果）
特定のマルウェアは、インターネット上のＣ＆Ｃサーバとの接続を確認するために定期的に通信することが知られている。そして、前述の通り、その場合の通信データのサイズ（リクエストサイズとレスポンスサイズ）は、ユーザがブラウザを用いて行うＷＥＢサイトの閲覧の場合と比べて、少ない。従って、実施の形態９の不正ＷＥＢアクセス検知システム１００は、リクエストサイズとレスポンスサイズとが閾値より少ないアクセスが行われるアクセス先のＵＲＬを特定することで、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。

（実施の形態１〜９の不正ＷＥＢアクセス検知システム１００のハードウェア構成）
最後に、実施の形態１〜９に示した不正ＷＥＢアクセス検知システム１００のハードウェア構成例について説明する。
図３８は、実施の形態１〜９に示した不正ＷＥＢアクセス検知システム１００のハードウェア資源の一例を示す図である。
なお、図３８の構成は、あくまでも不正ＷＥＢアクセス検知システム１００のハードウェア構成の一例を示すものであり、不正ＷＥＢアクセス検知システム１００のハードウェア構成は図３８に記載の構成に限らず、他の構成であってもよい。

図３８において、不正ＷＥＢアクセス検知システム１００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）と接続していてもよい。また、磁気ディスク装置９２０の代わりに、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。
実施の形態１〜９で説明した不正ＷＥＢアクセス検知システム１００の記憶装置、ログ蓄積部１０９に備えられるファイル記憶部４０４は、磁気ディスク装置９２０等により実現される。
通信ボード９１５、キーボード９０２、マウス９０３、ＦＤＤ９０４などは、入力装置の一例である。
実施の形態１〜９で説明した不正ＷＥＢアクセス検知システム１００の入力装置は、例えばキーボード９０２やマウス９０３により実現される。
また、通信ボード９１５、表示装置９０１などは、出力装置の一例である。

通信ボード９１５は、ネットワークに接続されている。
例えば、ネットワークは、ＬＡＮ、インターネットの他、ＷＡＮ（ワイドエリアネットワーク）、ＳＡＮ（ストレージエリアネットワーク）などでも構わない。

磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。

また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。

また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
不正ＷＥＢアクセス検知システム１００の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。

上記プログラム群９２３には、実施の形態１〜９の説明において「〜部」（「〜蓄積部」以外、以下同様）として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。

ファイル群９２４には、実施の形態１〜９の説明において、「〜の判断」、「〜の計算」、「〜の比較」、「〜の照合」、「〜の参照」、「〜の検索」、「〜の抽出」、「〜の検査」、「〜の生成」、「〜の設定」、「〜の登録」、「〜の選択」、「〜の入力」、「〜の受信」、「〜の判定」、「〜の定義」、「〜の算出」、「〜の更新」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶されている。
「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。
ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出される。
そして、読み出された情報やデータや信号値や変数値やパラメータは、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示・制御・判定・識別・検知・判別・選択・算出・導出・更新・生成・取得・通知・指示・判断・区別・削除などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示・制御・判定・識別・検知・判別・選択・算出・導出・更新・生成・取得・通知・指示・判断・区別・削除などのＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、実施の形態１〜９で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示す。
データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。
また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

また、実施の形態１〜９の説明において「〜部」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。
すなわち、実施の形態１〜９で説明したフローチャートに示すステップ、手順、処理により、本発明に係る情報処理方法を実現することができる。

本発明に係る情報処理方法は、例えば、以下に示すアドレス抽出方法として実現されてもよい。

ブラウザが実装されている端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスをコンピュータが抽出するアドレス抽出方法であって、
コンピュータが、前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報と、前記端末装置で前記ブラウザが実行されて前記端末装置から前記プロキシサーバ装置にアクセス先として通知したアドレスが示されるブラウザ実行アドレス情報と
を入力するアドレス入力ステップと、
前記コンピュータが、前記アドレス入力ステップにより入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と前記ブラウザ実行アドレス情報とのいずれにも示されていないアドレスを抽出するアドレス抽出ステップと
を備えることを特徴とするアドレス抽出方法。

また、「〜部」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。
或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。
プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。
すなわち、プログラムは、実施の形態１〜９の「〜部」としてコンピュータを機能させるものである。あるいは、実施の形態１〜９の「〜部」の手順や方法をコンピュータに実行させるものである。

本発明に係るプログラムは、例えば、以下に示すプログラムとして実現されてもよい。

ブラウザが実装されている端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するコンピュータに、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報と、前記端末装置で前記ブラウザが実行されて前記端末装置から前記プロキシサーバ装置にアクセス先として通知したアドレスが示されるブラウザ実行アドレス情報と
を入力するアドレス入力ステップと、
前記アドレス入力ステップにより入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と前記ブラウザ実行アドレス情報とのいずれにも示されていないアドレスを抽出するアドレス抽出ステップと
を実行させることを特徴とするプログラム。

このように、実施の形態１〜９に示す不正ＷＥＢアクセス検知システム１００は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータである。
そして、上記したように「〜部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。

１００ 不正ＷＥＢアクセス検知システム、１０１ プロキシログ取り込み部、１０２ ＵＲＬホワイトリスト取り込み部、１０３ 端末操作ログ取り込み部、１０５ グレーＵＲＬ特定部、１０６ トップページＵＲＬ特定部、１０７ ブラウザアクセスＵＲＬ特定部、１０８ ブラックＵＲＬ特定部、１０９ ログ蓄積部、１１４ ブラウザログ取り込み部、１５０ ネットワーク、２００ 期間特定部、２０１ プロキシログ、２０２ ＵＲＬホワイトリスト、２０３ 端末操作ログ、２０５ 端末識別子、２０６ 期間、２０７ ブラック判定条件、２０８ ブラックＵＲＬ、２０９ 外部サービス、２１４ ブラウザログ、２５０ ブラックＵＲＬ情報、２５１ アラーム、３０１ プロキシログエントリ、３０２ ホワイトＵＲＬ、３０３ ＷＥＢアクセスＵＲＬ情報、３０５ グレーＵＲＬ情報、３０６ トップページＵＲＬ情報、３０７ ブラウザアクセスＵＲＬ情報、３１４ ブラウザログエントリ、３１５ ブラウザ操作期間、３２１ 呼び出し、３２２ 応答、３２３ 監視、３４０ 不正ログ通知、４０１ ファイル監視ツール、４０２ ＯＳコマンド、４０３ ファイル監視部、４０４ ファイル記憶部、４０５ ファイル監視プログラム、５００ 端末装置、５０１ 端末装置、５５１ ブラウザ、６００ プロキシサーバ装置、９０１ 表示装置、９０２ キーボード、９０３ マウス、９０４ ＦＤＤ、９０５ コンパクトディスク装置、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９２０ 磁気ディスク装置、９２１ オペレーティングシステム、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群。

Claims (11)

1. ブラウザが実装されている端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
   前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報と、前記端末装置で前記ブラウザが実行されて前記端末装置から前記プロキシサーバ装置にアクセス先として通知したアドレスが示されるブラウザ実行アドレス情報と
   を入力するアドレス入力部と、
   前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と前記ブラウザ実行アドレス情報とのいずれにも示されていないアドレスを抽出するアドレス抽出部と
   を備えることを特徴とするアドレス抽出装置。
2. 前記アドレス入力部は、
   ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）が、前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスとして示されるプロキシログと、
   ＵＲＬが、あらかじめ正当と定義されたアドレスとして示される正当アドレス情報と、
   ＵＲＬが、前記端末装置で前記ブラウザが実行されて前記端末装置から前記プロキシサーバ装置にアクセス先として通知したアドレスとして示されるブラウザ実行アドレス情報と
   を入力し、
   前記アドレス抽出装置は、更に、
   前記ブラウザ実行アドレス情報に示されるＵＲＬから、当該ＵＲＬのウェブページの提供元が特定されるドメイン名を抽出するドメイン名抽出部を備え、
   前記アドレス抽出部は、
   前記アドレス入力部により入力されたプロキシログに示されるＵＲＬの内、前記正当アドレス情報と前記ブラウザ実行アドレス情報とのいずれにも示されておらず、更に、前記ドメイン名抽出部により抽出されたドメイン名を含んでいないＵＲＬを抽出することを特徴とする請求項１記載のアドレス抽出装置。
3. 前記アドレス入力部は、
   前記プロキシサーバ装置が特定のアクセス先に対して、他の少なくとも１つのアクセス先を経由した後にアクセスを行った場合に、前記プロキシサーバ装置が前記特定のアクセス先へのアクセスの直前に経由したアクセス先のアドレスが経由元アドレスとして、前記特定のアクセス先のアドレスに対応付けられて示されるプロキシログを入力し、
   前記アドレス抽出装置は、更に、
   前記アドレス入力部により入力されたプロキシログに示されるアドレスのうち、前記ブラウザ実行アドレス情報に示されるアドレスが経由元アドレスとして対応付けられているアドレスを経由先アドレスとして抽出し、
   更に、抽出した経由先アドレスが経由元アドレスとして対応付けられているアドレスが前記プロキシログに示されている場合に、当該アドレスを経由先アドレスとして抽出する経由先抽出部
   を備え、
   前記アドレス抽出部は、
   前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と前記ブラウザ実行アドレス情報とのいずれにも示されておらず、更に、前記経由先抽出部により抽出された経由先アドレス以外のアドレスを抽出することを特徴とする請求項１記載のアドレス抽出装置。
4. 前記アドレス入力部は、
   前記端末装置で前記ブラウザが実行されて前記端末装置から前記プロキシサーバ装置に新たなアクセス先としてアドレスが通知される毎に更新される前記ブラウザ実行アドレス情報を、所定の時間毎に入力することを特徴とする請求項１〜３いずれか記載のアドレス抽出装置。
5. 前記アドレス抽出装置は、更に、
   前記端末装置において前記ブラウザ以外のプログラムによる前記ブラウザ実行アドレス情報に対するアクセスが検知された場合に、前記ブラウザ実行アドレス情報の改ざんの可能性を通知するアラームを出力するアラーム出力部を備えることを特徴とする請求項１〜４いずれか記載のアドレス抽出装置。
6. 前記アドレス抽出装置は、更に、
   前記アドレス抽出部により抽出されたアドレスの内、少なくとも１つの所定の条件に合致する所定のアドレスを条件合致アドレスとして特定する条件合致アドレス特定部
   を備えることを特徴とする請求項１〜５いずれか記載のアドレス抽出装置。
7. 前記アドレス抽出装置は、更に、
   前記アドレス抽出部により抽出されたアドレス毎にアドレスのウェブページの提供元が属する国が示される提供国情報と、あらかじめ特定された国が示される特定国情報とを入力する情報入力部
   を備え、
   前記条件合致アドレス特定部は、
   前記情報入力部により入力された提供国情報に示される国の中で前記特定国情報に示されるいずれかの国に合致する国が提供しているウェブページのアドレスを条件合致アドレスとして特定する請求項６記載のアドレス抽出装置。
8. 前記アドレス入力部は、
   前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスとアクセス時のデータ通信量とが対応付けられて示されるプロキシログを入力し、
   前記アドレス抽出装置は、更に、
   前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のアクセス数を算出する、または、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のデータ通信量を算出する通信量算出部
   を備え、
   前記条件合致アドレス特定部は、
   前記通信量算出部により単位時間毎のアクセス数が算出された場合に、あらかじめ定義された所定の期間においてのみ前記通信量算出部により算出された単位時間毎のアクセス数が、あらかじめ定義されたアクセス数の第１の閾値以上となるアドレスを条件合致アドレスとして特定し、前記通信量算出部により単位時間毎のデータ通信量が算出された場合に、あらかじめ定義された所定の期間においてのみ前記通信量算出部により算出された単位時間毎のデータ通信量が、あらかじめ定義されたデータ通信量の第１の閾値以上となるアドレスを条件合致アドレスとして特定する請求項６記載のアドレス抽出装置。
9. 前記アドレス入力部は、
   前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスとアクセス時のデータ通信量とが対応付けられて示されるプロキシログを入力し、
   前記アドレス抽出装置は、更に、 前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のアクセス数を算出する、または、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のデータ通信量を算出する通信量算出部
   を備え、
   前記条件合致アドレス特定部は、
   前記通信量算出部により単位時間毎のアクセス数が算出された場合に、前記単位時間毎のアクセス数が一定周期毎にあらかじめ定義されたアクセス数の第２の閾値以上となるアドレスを条件合致アドレスとして特定し、前記通信量算出部により単位時間毎のデータ通信量が算出された場合に、前記単位時間毎のデータ通信量が一定周期毎にあらかじめ定義されたデータ通信量の第２の閾値以上となるアドレスを条件合致アドレスとして特定することを特徴とする請求項６記載のアドレス抽出装置。
10. 前記アドレス入力部は、
    前記プロキシサーバ装置が行ったアクセス毎に、アクセス先のアドレスと、前記プロキシサーバ装置からアクセス先へ送信したデータのサイズであるリクエストサイズと、前記プロキシサーバ装置がアクセス先から受信したデータのサイズであるレスポンスサイズとが対応付けられて示されるプロキシログを入力し、
    前記条件合致アドレス特定部は、
    前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスと対応付けられているレスポンスサイズをアクセス単位で特定し、
    特定したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満のアドレスを条件合致アドレスとして特定することを特徴とする請求項６記載のアドレス抽出装置。
11. 前記条件合致アドレス特定部は、
    前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスと対応付けられているレスポンスサイズとリクエストサイズとをアクセス単位で特定し、
    特定したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満であり、リクエストサイズがあらかじめ定義されたリクエストサイズの閾値未満のアドレスを条件合致アドレスとして特定することを特徴とする請求項１０記載のアドレス抽出装置。

Images