JP5804883B2 - Address extraction device - Google Patents

Address extraction device Download PDF

Info

Publication number
JP5804883B2
JP5804883B2 JP2011221313A JP2011221313A JP5804883B2 JP 5804883 B2 JP5804883 B2 JP 5804883B2 JP 2011221313 A JP2011221313 A JP 2011221313A JP 2011221313 A JP2011221313 A JP 2011221313A JP 5804883 B2 JP5804883 B2 JP 5804883B2
Authority
JP
Japan
Prior art keywords
address
url
information
access
unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2011221313A
Other languages
Japanese (ja)
Other versions
JP2013081146A5 (en
JP2013081146A (en
Inventor
裕之 榊原
裕之 榊原
鐘治 桜井
鐘治 桜井
河内　清人
清人 河内
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Priority to JP2011221313A priority Critical patent/JP5804883B2/en
Publication of JP2013081146A publication Critical patent/JP2013081146A/en
Publication of JP2013081146A5 publication Critical patent/JP2013081146A5/ja
Application granted granted Critical
Publication of JP5804883B2 publication Critical patent/JP5804883B2/en
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Description

この発明は、インターネット通信を行う端末装置が利用するプロキシサーバ装置がアクセスしたアドレスの内、所定のアドレスを抽出するアドレス抽出装置に関する。   The present invention relates to an address extracting device that extracts a predetermined address from addresses accessed by a proxy server device used by a terminal device that performs Internet communication.

近年、特定の組織を狙う標的型攻撃が増加している。標的型攻撃とは、特定の組織（例えば企業）の特定の部署に限定した不正アクセスである。例えば、特定の企業Ａ社の経理課の社員（ユーザ）に対して、企業Ａ社の関係者を装った偽装メールにマルウェアを添付して送り込む例が挙げられる。メールの文面で言葉巧みに添付ファイル（ドキュメントなどを装っていることが多い）を例えば経理課の社員（ユーザ）に開かせることで、マルウェアは実行される。経理課の社員（ユーザ）により実行されたことにより企業への侵入に成功したマルウェアは、インターネット上のウェブサーバと通信し、情報漏洩等の不正アクセスを行う。   In recent years, targeted attacks targeting specific organizations have increased. A targeted attack is unauthorized access limited to a specific department of a specific organization (for example, a company). For example, an example is a case in which malware is attached to an impersonation email pretending to be a person related to company A to an employee (user) of the accounting section of company A. Malware is executed by opening an attached file (often disguised as a document etc.) to an email section employee (user), for example. Malware that has successfully entered the company by being executed by an accounting department employee (user) communicates with a web server on the Internet and performs unauthorized access such as information leakage.

特定の組織（例えば企業）に送り込まれるマルウェアは、多くのアンチウイルスソフトウェアで採用されるパターンファイルを回避するように製造されることが多く、アンチウイルスソフトウェアの検知をすり抜けてしまう。
すなわち、アンチウイルスソフトウェアでの検知にはマルウェアに対応したパターンファイルが必要である。しかし、標的型攻撃を行うマルウェアは、従来のマルウェアと異なり攻撃対象が限定されているため、一般に知られにくく、すぐに存在を認識できない。従って、アンチウイルスソフトウェアベンダのパターンファイル作成が遅れることがある。そして、多くのアンチウイルスソフトウェアでは標的型攻撃で用いられるマルウェアの検知が遅れる可能性がある。 Malware sent to a specific organization (for example, a company) is often manufactured so as to avoid the pattern file adopted by many anti-virus software, and can pass through detection of anti-virus software.
In other words, a pattern file corresponding to malware is required for detection by anti-virus software. However, unlike conventional malware, malware that performs targeted attacks is generally difficult to know and cannot immediately recognize its presence. Therefore, the pattern file creation of the anti-virus software vendor may be delayed. And many anti-virus software can delay the detection of malware used in targeted attacks.

技術的に標的型攻撃を防御することは困難であり、関係者を装う怪しいメールが送られてきた場合はマルウェアを懸念し添付ファイルを開かせないように、従業員（ユーザ）に教育して対応するという考え方もある（例えば、非特許文献１）。しかしながら、一定の効果はあるものの、一部の従業員（ユーザ）は怪しいメールの添付ファイルを開いてしまい、マルウェアが実行されてしまうという課題がある。そして、例えば、従業員（ユーザ）は、実行されたマルウェアが情報漏洩等の不正アクセスを行っているか否かを認識することが出来ないという課題がある。   It is difficult to technically defend against targeted attacks. If a suspicious email is sent that pretends to be a stakeholder, educate employees (users) not to open attachments because of concerns about malware. There is also an idea of corresponding (for example, Non-Patent Document 1). However, although there is a certain effect, there is a problem that some employees (users) open attachments of suspicious emails and malware is executed. For example, an employee (user) has a problem that it cannot recognize whether or not the executed malware is performing unauthorized access such as information leakage.

また、スパイウェア（マルウェア）の検知にＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）ヘッダの特徴を調べ、ブラウザによる通信か、それ以外のプログラムによる通信かを判断する方法が示されている（例えば、非特許文献２）。しかしながら、スパイウェア（マルウェア）の誤検知の課題がある。   Also, there is a method for detecting spyware (malware) characteristics of an HTTP (Hyper Text Transfer Protocol) header to determine whether communication is performed by a browser or other programs (for example, Non-Patent Document 2). . However, there is a problem of false detection of spyware (malware).

ユーザへの予防接種というアプローチによる標的型攻撃対策−２、山口他、情報処理学会第７１回全国大会 ６Ｅ−４Targeted attack countermeasures by approach of vaccination to users-2, Yamaguchi et al., 71st National Convention of Information Processing Society of Japan 6E-4 ＨＴＴＰ利用型スパイウェアの検知および遮断方式の検討、大谷他、情報処理学会 研究報告２００５−ＣＳＥＣ−３１Detection and blocking method of spyware using HTTP, Otani et al., Information Processing Society of Japan Research Report 2005-CSEC-31

前記のように例えばユーザは、ユーザが意図しない通信（例えばマルウェアによる不正アクセス）が行われていても、その通信（不正アクセス）を検知することが出来ないという課題がある。   As described above, for example, there is a problem that the user cannot detect the communication (unauthorized access) even if the unintended communication (for example, unauthorized access by malware) is performed.

この発明は前記のような課題を解決することを主な目的とするもので、例えば、ユーザが意図しない通信によりアクセスされたアクセス先のアドレスを抽出するアドレス抽出装置を実現することを主な目的とする。   The main object of the present invention is to solve the above-described problems. For example, it is a main object of the present invention to realize an address extracting device that extracts an address of an access destination accessed by communication not intended by the user. And

この発明に係るアドレス抽出装置は、
端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスを抽出するアドレス抽出部と
を備えたことを特徴とする。 The address extracting device according to the present invention is:
An address extraction device that extracts a predetermined address from addresses accessed by a proxy server device that accesses an address notified as an access destination from a terminal device,
An address input unit for inputting a proxy log indicating an address of an access destination for each access performed by the proxy server device, and valid address information indicating an address defined as valid in advance;
And an address extracting unit that extracts an address that is not indicated in the valid address information from the addresses indicated in the proxy log input by the address input unit.

この発明に係るアドレス抽出装置は、例えば、プロキシサーバ装置のプロキシログに記録されたアクセス先のアドレスから、正当なアクセスによるアクセス先のアドレス以外のアドレスを抽出する。この為、この発明に係るアドレス抽出装置は、正当なアクセス以外、すなわちユーザが意図しない不正な通信によりアクセスされたアクセス先のアドレスを抽出することが可能である。   The address extracting device according to the present invention extracts, for example, an address other than the access destination address by the legitimate access from the access destination address recorded in the proxy log of the proxy server device. For this reason, the address extracting apparatus according to the present invention can extract the address of the access destination accessed by other than the legitimate access, that is, the unauthorized communication not intended by the user.

実施の形態１を示す図で、情報漏洩検知システムの周辺構成の例を示す図。FIG. 3 shows the first embodiment and shows an example of the peripheral configuration of the information leakage detection system. 実施の形態１を示す図で、情報漏洩検知システムの構成の例を示す図。FIG. 3 shows the first embodiment and shows an example of the configuration of an information leakage detection system. 実施の形態１を示す図で、端末操作ログ２０３の例を示す図。FIG. 5 shows the first embodiment and shows an example of the terminal operation log 203. 実施の形態１を示す図で、端末操作ログ取り込み部１０３の処理の例を示すフローチャート。FIG. 9 is a diagram illustrating the first embodiment and is a flowchart illustrating an example of processing of the terminal operation log capturing unit 103; 実施の形態１を示す図で、ＷｅｂアクセスＵＲＬ情報３０３の例を示す図。FIG. 5 shows the first embodiment and shows an example of Web access URL information 303; 実施の形態１を示す図で、ローカルプロキシログ２０４の例を示す図。The figure which shows Embodiment 1 is a figure which shows the example of the local proxy log 204. FIG. 実施の形態１を示す図で、コンテンツ実体３５０の例を示す図。FIG. 5 shows the first embodiment and shows an example of a content entity 350. 実施の形態１を示す図で、ローカルプロキシログ取り込み部１０４の処理の例を示すフローチャート。FIG. 10 is a diagram illustrating the first embodiment and is a flowchart illustrating an example of processing of the local proxy log capturing unit 104; 実施の形態１を示す図で、ローカルプロキシログエントリ３０４の例を示す図。FIG. 6 shows the first embodiment and shows an example of a local proxy log entry 304; 実施の形態１を示す図で、トップページＵＲＬ特定部１０６の第１の処理の例を示すフローチャート。FIG. 9 is a diagram illustrating the first embodiment and is a flowchart illustrating an example of first processing of a top page URL specifying unit 106; 実施の形態１を示す図で、トップページＵＲＬ特定部１０６の第１の処理によって抽出されたＵＲＬリストの例を示す図。FIG. 6 shows the first embodiment, and shows an example of a URL list extracted by the first process of the top page URL specifying unit 106. 実施の形態１を示す図で、トップページＵＲＬ特定部１０６の第２の処理の例を示すフローチャート。FIG. 9 is a diagram illustrating the first embodiment and is a flowchart illustrating an example of second processing of the top page URL specifying unit 106; 実施の形態１を示す図で、トップページＵＲＬ情報３０６の例を示す図。FIG. 5 shows the first embodiment and shows an example of top page URL information 306; 実施の形態１を示す図で、ブラウザアクセスＵＲＬ特定部１０７の処理の例を示すフローチャート。FIG. 9 shows the first embodiment and is a flowchart showing an example of processing of a browser access URL specifying unit 107; 実施の形態１を示す図で、トップページ内ＵＲＬ６０６の例を示す図。FIG. 5 shows the first embodiment and shows an example of a URL 606 in the top page. 実施の形態１を示す図で、ブラウザアクセスＵＲＬ情報３０７の例を示す図。FIG. 5 shows the first embodiment and shows an example of browser access URL information 307; 実施の形態１を示す図で、プロキシログ２０１の例を示す図。FIG. 4 shows the first embodiment and shows an example of a proxy log 201. 実施の形態１を示す図で、プロキシログ取り込み部１０１の処理の例を示すフローチャート。FIG. 10 is a diagram illustrating the first embodiment and is a flowchart illustrating an example of processing of the proxy log capturing unit 101; 実施の形態１を示す図で、プロキシログエントリ３０１の例を示す図。FIG. 4 shows the first embodiment and shows an example of a proxy log entry 301. 実施の形態１を示す図で、ＵＲＬホワイトリスト取り込み部１０２の処理の例を示すフローチャート。FIG. 10 is a diagram illustrating the first embodiment, and is a flowchart illustrating an example of processing of a URL white list capturing unit 102; 実施の形態１を示す図で、ＵＲＬホワイトリスト２０２の例を示す図。FIG. 5 shows the first embodiment and shows an example of a URL white list 202; 実施の形態１を示す図で、ホワイトＵＲＬ３０２の例を示す図。FIG. 5 is a diagram illustrating the first embodiment and illustrating an example of a white URL 302; 実施の形態１を示す図で、グレーＵＲＬ特定部１０５の処理の第１の例を示すフローチャート。FIG. 6 shows the first embodiment, and is a flowchart showing a first example of processing of the gray URL specifying unit 105. 実施の形態１を示す図で、グレーＵＲＬ特定部１０５の第１の例の処理によるグレーＵＲＬ情報３０５の例を示す図。FIG. 10 is a diagram illustrating the first embodiment, and illustrates an example of gray URL information 305 obtained by processing of the first example of the gray URL specifying unit 105; 実施の形態１を示す図で、グレーＵＲＬ特定部１０５の処理の第２の例を示すフローチャート。FIG. 10 is a diagram illustrating the first embodiment and is a flowchart illustrating a second example of processing of the gray URL specifying unit 105; 実施の形態１を示す図で、グレーＵＲＬ特定部１０５の第２の例の処理によるグレーＵＲＬ情報３０５の例を示す図。FIG. 10 is a diagram illustrating the first embodiment, and illustrates an example of gray URL information 305 obtained by processing of the second example of the gray URL specifying unit 105; 実施の形態１を示す図で、ブラックＵＲＬ特定部１０８の処理の第１の例と第２の例とを示すフローチャート。FIG. 6 is a diagram illustrating the first embodiment, and is a flowchart illustrating a first example and a second example of processing of a black URL specifying unit 108; 実施の形態１を示す図で、ブラックＵＲＬ２０８の例を示す図。FIG. 5 shows the first embodiment and shows an example of a black URL 208; 実施の形態１を示す図で、ローカルプロキシログ２０４を使用しない場合のブラウザアクセスＵＲＬ情報３０７の例を示す図。The figure which shows Embodiment 1 and the figure which shows the example of the browser access URL information 307 when not using the local proxy log 204. 実施の形態１を示す図で、ブラウザアクセスＵＲＬ情報３０７保存処理の第１の例を示すフローチャート。FIG. 9 is a diagram illustrating the first embodiment, and is a flowchart illustrating a first example of browser access URL information 307 storage processing. 実施の形態１を示す図で、ブラウザアクセスＵＲＬ情報３０７保存処理の第２の例を示すフローチャート。FIG. 9 is a diagram illustrating the first embodiment and is a flowchart illustrating a second example of the browser access URL information 307 storage process. 実施の形態１を示す図で、従来の情報漏洩検知システム１００の課題の例を示す図。FIG. 5 shows the first embodiment, and shows an example of a problem of a conventional information leakage detection system 100. 実施の形態２を示す図で、トップページＵＲＬ特定部１０６の処理の例を示すフローチャート。FIG. 10 is a diagram illustrating the second embodiment and is a flowchart illustrating an example of processing of a top page URL specifying unit 106; 実施の形態３を示す図で、期間特定部２００の処理の例を示すフローチャート。FIG. 10 shows the third embodiment, and is a flowchart showing an example of processing of the period specifying unit 200. 実施の形態４を示す図で、端末操作ログ取り込み部１０３の処理の例を示すフローチャート。FIG. 14 is a diagram illustrating the fourth embodiment and is a flowchart illustrating an example of processing of the terminal operation log capturing unit 103; 実施の形態５を示す図で、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャート。FIG. 10 is a diagram illustrating the fifth embodiment and is a flowchart illustrating an example of processing of the black URL specifying unit 108; 実施の形態６を示す図で、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャート。FIG. 25 is a diagram illustrating the sixth embodiment and is a flowchart illustrating an example of processing of the black URL specifying unit 108; 実施の形態６を示す図で、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図。FIG. 25 is a diagram illustrating the sixth embodiment, and illustrates an example of the number of accesses to a web page of a black URL candidate. 実施の形態７を示す図で、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャート。FIG. 25 is a diagram illustrating the seventh embodiment, and is a flowchart illustrating an example of processing of the black URL specifying unit 108. 実施の形態７を示す図で、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図。FIG. 18 is a diagram illustrating the seventh embodiment, and illustrates an example of the number of accesses to a web page of a black URL candidate. 実施の形態８を示す図で、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャート。FIG. 29 is a diagram illustrating the eighth embodiment and is a flowchart illustrating an example of processing of the black URL specifying unit 108. 実施の形態９を示す図で、ＷｅｂアクセスＵＲＬ情報３０３の例を示す図。FIG. 38 shows an example of Web access URL information 303 according to the ninth embodiment. 実施の形態９を示す図で、コンテンツ実体３５０の例を示す図。FIG. 38 shows the ninth embodiment and shows an example of a content entity 350. 実施の形態９を示す図で、トップページＵＲＬ特定部１０６の処理の例を示す図。FIG. 29 is a diagram illustrating the ninth embodiment and illustrates an example of processing of the top page URL specifying unit 106; 実施の形態１〜９を示す図で、本実施の形態に示した情報漏洩検知システム１００のハードウェア資源の例を示す図。The figure which shows Embodiment 1-9, The figure which shows the example of the hardware resource of the information leakage detection system 100 shown to this Embodiment.

実施の形態１．
（情報漏洩検知システムの周辺構成）
図１は、情報漏洩検知システムの周辺構成の例を示す図である。
情報漏洩検知システム１００は、例えばマルウェアによってアクセスされたＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）を抽出する。ここで、ＵＲＬは例えばプロキシサーバ装置６００（後述で説明）がアクセスを行うアクセス先のアドレスである。すなわち、情報漏洩検知システム１００は、アドレス抽出装置である。そして、情報漏洩検知システム１００はプロキシサーバ装置６００がアクセスを行ったアドレスの内、所定のアドレスを抽出する。情報漏洩検知システム１００が抽出する所定のアドレスについては後述で説明する。 Embodiment 1 FIG.
(Peripheral configuration of information leak detection system)
FIG. 1 is a diagram illustrating an example of a peripheral configuration of an information leakage detection system.
The information leakage detection system 100 extracts a URL (Uniform Resource Locator) accessed by, for example, malware. Here, the URL is, for example, an address of an access destination accessed by the proxy server apparatus 600 (described later). That is, the information leakage detection system 100 is an address extraction device. Then, the information leakage detection system 100 extracts a predetermined address from the addresses accessed by the proxy server device 600. The predetermined address extracted by the information leakage detection system 100 will be described later.

情報漏洩検知システム１００が抽出するアドレスは、ＵＲＬに限られるものではなく、例えば、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスでも良いし、電子メールアドレスでも良い。
ここで、例えばマルウェアによってアクセスされたアドレス（ＵＲＬ）を以降「不正なアドレス」と称する。 The address extracted by the information leakage detection system 100 is not limited to a URL, and may be, for example, an IP (Internet Protocol) address or an e-mail address.
Here, for example, an address (URL) accessed by malware is hereinafter referred to as an “illegal address”.

そして、情報漏洩検知システム１００の周辺には、端末装置５００とプロキシサーバ装置６００とが配置される。情報漏洩検知システム１００と端末装置５００とプロキシサーバ装置６００とは、例えば、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などで接続されている。
ここで、図示は省略するが、端末装置５００は例えば、企業などの組織で使われる個人用のパーソナルコンピュータなどであり、複数の端末装置５００も例えばＬＡＮなどで接続されている。 A terminal device 500 and a proxy server device 600 are arranged around the information leakage detection system 100. The information leakage detection system 100, the terminal device 500, and the proxy server device 600 are connected by, for example, a LAN (Local Area Network).
Here, although illustration is omitted, the terminal device 500 is, for example, a personal computer for personal use used in an organization such as a company, and a plurality of terminal devices 500 are also connected by, for example, a LAN.

そして、情報漏洩検知システム１００は、プロキシサーバ装置６００からプロキシログ２０１を入力する。また、情報漏洩検知システム１００は、端末装置５００から端末操作ログ２０３とローカルプロキシログ２０４とを入力する。更に、情報漏洩検知システム１００は、例えば企業などの組織に設置されたサーバ装置の記憶装置などに記憶されているＵＲＬホワイトリスト２０２を入力する。   Then, the information leakage detection system 100 inputs the proxy log 201 from the proxy server device 600. Further, the information leakage detection system 100 inputs the terminal operation log 203 and the local proxy log 204 from the terminal device 500. Furthermore, the information leakage detection system 100 inputs a URL white list 202 stored in a storage device of a server device installed in an organization such as a company.

本実施の形態の情報漏洩検知システム１００は、これらのログ（プロキシログ２０１など）を用いて、マルウェアによるＷｅｂ通信を検知する。ここでＷｅｂ通信とは、端末装置５００などの例えばコンピュータがインターネット上のＷｅｂ（ウェブ）サイト（ＷｅｂサイトをＷｅｂ（ウェブ）ページとも称する）と行う通信のことである。ＨＴＴＰを用いた通信の場合は、Ｗｅｂ通信をＨＴＴＰ通信とも称する。   The information leakage detection system 100 according to the present embodiment uses these logs (such as the proxy log 201) to detect Web communication due to malware. Here, the Web communication is communication performed by, for example, a computer such as the terminal device 500 with a Web site on the Internet (the Web site is also referred to as a Web page). In the case of communication using HTTP, Web communication is also referred to as HTTP communication.

（プロキシサーバ装置６００の説明）
例えば、企業などの組織では、端末装置５００がネットワーク１５０（例えばインターネットなど）を介して、Ｗｅｂサイトにアクセスする際に、端末装置５００から直接Ｗｅｂサイトにアクセスするのではなく、プロキシが端末装置５００の代理でＷｅｂサイトにアクセスする。
本実施の形態では、例えば組織に１台設置されているプロキシをプロキシサーバ装置６００と称する。 (Description of proxy server device 600)
For example, in an organization such as a company, when the terminal device 500 accesses a website via the network 150 (for example, the Internet), the proxy is not accessed directly from the terminal device 500 but the proxy is connected to the terminal device 500. Access the website on behalf of
In the present embodiment, for example, one proxy installed in an organization is referred to as a proxy server device 600.

端末装置５００は、Ｗｅｂサイトのアドレスと共に、プロキシサーバ装置６００にＷｅｂサイトへ送りたいＨＴＴＰリクエストを送信し、プロキシサーバ装置６００はＷｅｂサイトへこのＨＴＴＰリクエストを転送する。
すなわち、プロキシサーバ装置６００は、端末装置５００からアクセス先として通知されたアドレスにアクセスを行う。 The terminal device 500 transmits an HTTP request to be sent to the Web site to the proxy server device 600 together with the Web site address, and the proxy server device 600 transfers the HTTP request to the Web site.
That is, the proxy server device 600 accesses the address notified from the terminal device 500 as the access destination.

ＷｅｂサイトからのＨＴＴＰレスポンスはプロキシサーバ装置６００に送られ、プロキシサーバ装置６００はこのレスポンスを端末装置５００へ転送することで、端末装置５００はＷｅｂサイトにアクセスする。従って、プロキシサーバ装置６００は、アクセスを行った端末装置５００と、アクセス先のＷｅｂサイトと、アクセスの際のリクエスト及びレスポンスの内容とを記録することができる。   The HTTP response from the Web site is sent to the proxy server device 600, and the proxy server device 600 transfers this response to the terminal device 500, so that the terminal device 500 accesses the Web site. Accordingly, the proxy server device 600 can record the accessed terminal device 500, the access destination Web site, and the contents of the request and response at the time of access.

（プロキシログ２０１の説明）
前述のように、例えば企業など組織内の端末装置５００はＷｅｂサイトにアクセスする際に、プロキシサーバ装置６００にＨＴＴＰ接続する。プロキシサーバ装置６００は端末装置５００の代りにインターネットに接続しＷｅｂ通信（ＨＴＴＰ通信）を行う。Ｗｅｂ通信（ＨＴＴＰ通信）の結果はプロキシサーバ装置６００から端末装置５００へ転送される。 (Description of proxy log 201)
As described above, for example, a terminal device 500 in an organization such as a company makes an HTTP connection to the proxy server device 600 when accessing a Web site. The proxy server device 600 connects to the Internet instead of the terminal device 500 and performs Web communication (HTTP communication). The result of Web communication (HTTP communication) is transferred from the proxy server device 600 to the terminal device 500.

そして、端末装置５００がＷｅｂサイトにアクセスする際に接続するプロキシサーバ装置６００のログが、プロキシログ２０１である。すなわち、プロキシログ２０１はプロキシサーバ装置６００が端末装置５００とＷｅｂサイトとの通信状況（例えばＷｅｂサイトのアドレス）を記録したログである。
例えば、マルウェアがＷｅｂアクセスする場合は必ずプロキシサーバ装置６００に接続するため、プロキシログ２０１に通信記録が残る。また、マルウェア以外のＷｅｂアクセス（ブラウザ、アプリケーションからの通信）もプロキシログ２０１に通信記録が残る。 A proxy log 201 is a log of the proxy server device 600 that is connected when the terminal device 500 accesses the Web site. In other words, the proxy log 201 is a log in which the proxy server device 600 records the communication status (for example, the website address) between the terminal device 500 and the website.
For example, when malware accesses the Web, it always connects to the proxy server device 600, so that a communication record remains in the proxy log 201. In addition, communication records remain in the proxy log 201 for Web accesses other than malware (communication from browsers and applications).

（ＵＲＬホワイトリスト２０２の説明）
ＵＲＬホワイトリスト２０２は、ホワイトＵＲＬのリストである。ホワイトＵＲＬは予め組織でアクセスが許可されているＵＲＬである。例えば、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）、オフィスアプリケーションのアップデートサイトやニュースサイトなどがある。
すなわち、ホワイトＵＲＬは、あらかじめ正当と定義されたアドレスである。そして、ＵＲＬホワイトリスト２０２は、あらかじめ正当と定義されたアドレスが示される正当アドレス情報に対応する。 (Description of URL white list 202)
The URL white list 202 is a list of white URLs. The white URL is a URL that is permitted to be accessed in advance by the organization. For example, there are OS (Operating System), office application update sites, news sites, and the like.
That is, the white URL is an address defined as valid in advance. The URL white list 202 corresponds to legitimate address information indicating addresses that are defined as legitimate in advance.

（端末操作ログ２０３の説明）
端末装置５００は、端末操作記録アプリケーションを備える。端末操作記録アプリケーションが、ユーザの端末装置５００の操作を記録したものが端末操作ログ２０３である。端末操作ログ２０３は、例えば端末装置５００の記憶装置に記憶される。 (Description of terminal operation log 203)
The terminal device 500 includes a terminal operation recording application. The terminal operation log 203 is recorded by the terminal operation recording application in which the user's operation of the terminal device 500 is recorded. The terminal operation log 203 is stored in the storage device of the terminal device 500, for example.

ここで、端末操作記録アプリケーションは各ユーザが端末装置５００上でどのような操作を行っているか監視し内部統制するためのソフトウェアである。端末操作記録アプリケーションはファイル操作（ファイルの生成、削除、コピー、リネーム、移動など）、外部記憶媒体への書き出し、操作されたアプリケーション（ウィンドウタイトル）、Ｗｅｂアクセス状況などを記録する。端末操作記録アプリケーションは例えば市販されているソフトウェアを用いても良い。   Here, the terminal operation recording application is software for monitoring and internally controlling what operations each user is performing on the terminal device 500. The terminal operation recording application records file operations (file creation, deletion, copying, renaming, moving, etc.), writing to an external storage medium, operated application (window title), Web access status, and the like. As the terminal operation recording application, for example, commercially available software may be used.

ユーザがブラウザを用いて行った指示に基づき、端末装置５００がＷｅｂアクセスした場合、その操作の記録（例えばＷｅｂサイトのアドレス）は端末操作ログ２０３に記録される。   When the terminal device 500 accesses the Web based on an instruction given by the user using a browser, a record of the operation (for example, a website address) is recorded in the terminal operation log 203.

ここで、端末装置５００は、ユーザの指示（例えばユーザがブラウザを用いて行う指示）に基づいて、プロキシサーバ装置６００にアクセス先のアドレスを通知する。そして、ユーザの指示に基づき、端末装置５００が通知したアドレスが示される情報をユーザ指示情報と称する。
すなわち、端末操作ログ２０３は、ユーザ指示情報に対応する。 Here, the terminal device 500 notifies the proxy server device 600 of the access destination address based on a user instruction (for example, an instruction performed by the user using a browser). Information indicating the address notified by the terminal device 500 based on a user instruction is referred to as user instruction information.
That is, the terminal operation log 203 corresponds to user instruction information.

（ローカルプロキシ５５０、ローカルプロキシログ２０４の説明）
ローカルプロキシ５５０は、各端末装置５００にインストールされるプロキシである。端末装置５００上のブラウザやＷｅｂアクセスするアプリケーションは、ローカルプロキシ５５０を通じて、プロキシサーバ装置６００にアクセスする。 (Description of local proxy 550 and local proxy log 204)
The local proxy 550 is a proxy installed in each terminal device 500. A browser on the terminal device 500 and an application that accesses the Web access the proxy server device 600 through the local proxy 550.

詳細には、端末装置５００内のブラウザなどのアプリケーションは、ローカルプロキシ５５０に、Ｗｅｂサイトへ送りたいＨＴＴＰリクエストを送信し、ローカルプロキシ５５０はプロキシサーバ装置６００へ、このＨＴＴＰリクエストを転送する。更に、プロキシサーバ装置６００はＷｅｂサイトへ、このＨＴＴＰリクエストを転送する。そして、ＷｅｂサイトからのＨＴＴＰレスポンスはプロキシサーバ装置６００に送られ、プロキシサーバ装置６００はこのレスポンスをローカルプロキシ５５０へ転送する。ローカルプロキシ５５０はアプリケーションへ、このレスポンスを転送する。この様にローカルプロキシ５５０とプロキシサーバ装置６００を経由してアプリケーションはＷｅｂサイトと通信を行う。   Specifically, an application such as a browser in the terminal device 500 transmits an HTTP request to be sent to the Web site to the local proxy 550, and the local proxy 550 transfers the HTTP request to the proxy server device 600. Further, the proxy server device 600 transfers this HTTP request to the Web site. Then, the HTTP response from the Web site is sent to the proxy server apparatus 600, and the proxy server apparatus 600 transfers this response to the local proxy 550. The local proxy 550 transfers this response to the application. In this way, the application communicates with the Web site via the local proxy 550 and the proxy server device 600.

そして、ローカルプロキシ５５０で取得されるＷｅｂアクセスが記録されたものがローカルプロキシログ２０４である。ローカルプロキシログ２０４には、ユーザがブラウザを用いて行った指示に基づき、端末装置５００がＷｅｂアクセスした際のＷｅｂアクセスした日時、アクセス先のＵＲＬ（アドレス）、メソッド、Ｗｅｂコンテンツなどが記録される。すなわち、ローカルプロキシログ２０４はユーザ指示情報に対応する。そして、ローカルプロキシログ２０４は例えば端末装置５００の記憶装置に記憶される。
ローカルプロキシログ２０４に記録されるＷｅｂコンテンツには、ブラウザでアクセスしたＷｅｂページ（Ｗｅｂコンテンツ）に関連付けられるコンテンツの情報（ＵＲＬの情報）が含まれる。
このＷｅｂページに関連付けられるコンテンツの情報（ＵＲＬの情報）とは、Ｗｅｂページにアクセスしたブラウザ（または、ローカルプロキシ５５０やプロキシサーバ装置６００）が自動で取得したり、リンクしたりする他のコンテンツの情報である。このＷｅｂページに関連付けられるコンテンツの情報には、関連付けられたコンテンツのＵＲＬの情報も含まれる。そして、関連付けられたコンテンツのＵＲＬの情報は、関連アドレス情報に対応し、ローカルプロキシログ２０４は関連アドレス情報にも対応する。
このＷｅｂページ（Ｗｅｂコンテンツ）に関連付けられ、Ｗｅｂページ（Ｗｅｂコンテンツ）にアクセスしたブラウザ（または、ローカルプロキシ５５０やプロキシサーバ装置６００）が自動で取得したり、リンクしたりする他のコンテンツの情報を以降「Ｗｅｂコンテンツが自動で取得するコンテンツ」と称する。 A local proxy log 204 is a record of Web access acquired by the local proxy 550. The local proxy log 204 records the date and time when the terminal device 500 accessed the Web, the URL (address) of the access destination, the method, the Web content, and the like based on an instruction given by the user using a browser. . That is, the local proxy log 204 corresponds to user instruction information. The local proxy log 204 is stored in the storage device of the terminal device 500, for example.
The Web content recorded in the local proxy log 204 includes content information (URL information) associated with a Web page (Web content) accessed by a browser.
The content information (URL information) associated with the Web page refers to other content that is automatically acquired or linked by the browser (or the local proxy 550 or the proxy server device 600) accessing the Web page. Information. The content information associated with the Web page includes URL information of the associated content. The URL information of the associated content corresponds to the related address information, and the local proxy log 204 also corresponds to the related address information.
Information of other content that is associated with this Web page (Web content) and that is automatically acquired or linked by a browser (or local proxy 550 or proxy server device 600) that accesses the Web page (Web content). Hereinafter, it is referred to as “content automatically acquired by Web content”.

（情報漏洩検知システム１００の構成）
図２は、情報漏洩検知システム１００の構成の例を示す図である。情報漏洩検知システム１００を構成する各要素について説明する。 (Configuration of information leakage detection system 100)
FIG. 2 is a diagram illustrating an example of the configuration of the information leakage detection system 100. Each element constituting the information leakage detection system 100 will be described.

（プロキシログ取り込み部１０１）
プロキシログ取り込み部１０１は、プロキシログ２０１、端末識別子２０５、期間２０６を入力とし、ログの内容であるプロキシログエントリ３０１を抽出する。 (Proxy log capturing unit 101)
The proxy log capturing unit 101 receives the proxy log 201, the terminal identifier 205, and the period 206 as inputs, and extracts a proxy log entry 301 that is a log content.

ここで、図１において図示は省略しているが、端末装置５００は前述の通り複数設置されており、端末識別子２０５は、個々の端末装置５００を識別する為の識別子である。
例えばユーザが情報漏洩検知システム１００を用いて調査を行いたい対象の端末装置５００の識別子を、例えばキーボードの様な入力装置を用いて入力する。この入力装置は、情報漏洩検知システム１００に備えられていても良いし、情報漏洩検知システム１００の外部であっても良い。 Here, although not shown in FIG. 1, a plurality of terminal devices 500 are installed as described above, and the terminal identifier 205 is an identifier for identifying each terminal device 500.
For example, the user inputs the identifier of the target terminal device 500 that the user wants to investigate using the information leakage detection system 100 using an input device such as a keyboard. This input device may be provided in the information leakage detection system 100 or may be outside the information leakage detection system 100.

また、期間２０６は、例えばユーザが情報漏洩検知システム１００を用いて不正なアドレスを調査したい期間の情報である。期間２０６は、期間特定部２００によって入力される。期間特定部２００は、例えばキーボードの様な入力装置であっても良いし、予め期間２０６の情報が記憶されている記憶装置であっても良い。そして、期間特定部２００は情報漏洩検知システム１００に備えられていても良いし、情報漏洩検知システム１００の外部であっても良い。   The period 206 is information of a period for which the user wants to investigate an unauthorized address using the information leakage detection system 100, for example. The period 206 is input by the period specifying unit 200. The period specifying unit 200 may be an input device such as a keyboard, or may be a storage device in which information on the period 206 is stored in advance. The period specifying unit 200 may be provided in the information leakage detection system 100 or may be outside the information leakage detection system 100.

また、プロキシログ２０１は前述の通り、Ｗｅｂサイトのアドレスが記録されている。すなわち、プロキシログ取り込み部１０１はアドレス入力部に対応する。   Further, as described above, the proxy log 201 records the website address. That is, the proxy log capturing unit 101 corresponds to an address input unit.

（ＵＲＬホワイトリスト取り込み部１０２）
ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２を入力し、ＵＲＬホワイトリスト２０２の内容であるホワイトＵＲＬ３０２を抽出する。 (URL whitelist import unit 102)
The URL white list capturing unit 102 inputs the URL white list 202 and extracts the white URL 302 that is the content of the URL white list 202.

ここで、ＵＲＬホワイトリスト２０２は前述の通り、あらかじめ正当と定義されたアドレスが示される。すなわち、ＵＲＬホワイトリスト取り込み部１０２はアドレス入力部に対応する。   Here, as described above, the URL white list 202 indicates addresses defined as valid in advance. That is, the URL white list capturing unit 102 corresponds to an address input unit.

ＵＲＬホワイトリスト２０２は、例えばキーボードの様な入力装置からユーザが入力しても良いし、予め記憶装置に記憶されていても良い。そして、これらの入力装置や記憶装置は情報漏洩検知システム１００に備えられていても良いし、情報漏洩検知システム１００の外部であっても良い。   The URL white list 202 may be input by a user from an input device such as a keyboard, or may be stored in advance in a storage device. These input devices and storage devices may be provided in the information leak detection system 100 or may be external to the information leak detection system 100.

（端末操作ログ取り込み部１０３）
端末操作ログ取り込み部１０３は、端末操作ログ２０３を入力し、ブラウザによりアクセスされたＷｅｂサイトのＵＲＬ情報であるＷｅｂアクセスＵＲＬ情報３０３を抽出する。 (Terminal operation log capturing unit 103)
The terminal operation log capturing unit 103 inputs the terminal operation log 203 and extracts Web access URL information 303 that is URL information of the Web site accessed by the browser.

ここで、端末操作ログ２０３は前述の通り、Ｗｅｂサイトのアドレスが記録されている。すなわち、端末操作ログ取り込み部１０３はアドレス入力部に対応する。
また、端末操作ログ取り込み部１０３は、非操作期間（後述で説明）又は非アドレス対応期間（後述で説明）を算出する。すなわち、端末操作ログ取り込み部１０３は、期間算出部に対応する。 Here, as described above, the terminal operation log 203 records the address of the Web site. That is, the terminal operation log capturing unit 103 corresponds to an address input unit.
In addition, the terminal operation log capturing unit 103 calculates a non-operation period (described later) or a non-address corresponding period (described later). That is, the terminal operation log capturing unit 103 corresponds to a period calculation unit.

（ローカルプロキシログ取り込み部１０４）
ローカルプロキシログ取り込み部１０４は、ローカルプロキシログ２０４、端末識別子２０５、期間２０６を入力し、ローカルプロキシログ２０４の内容であるローカルプロキシログエントリ３０４を抽出する。すなわち、ローカルプロキシログエントリ３０４も図２における図示は省略するが、ユーザ指示情報と関連アドレス情報とに対応する。 (Local proxy log capturing unit 104)
The local proxy log capturing unit 104 inputs the local proxy log 204, the terminal identifier 205, and the period 206, and extracts a local proxy log entry 304 that is the content of the local proxy log 204. That is, the local proxy log entry 304 also corresponds to the user instruction information and the related address information, although not shown in FIG.

ここで、ローカルプロキシログ２０４は前述の通り、Ｗｅｂサイトのアドレスが記録されている。すなわち、ローカルプロキシログ取り込み部１０４はアドレス入力部に対応する。   Here, as described above, the address of the Web site is recorded in the local proxy log 204. That is, the local proxy log capturing unit 104 corresponds to an address input unit.

（グレーＵＲＬ特定部１０５）
グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１、ホワイトＵＲＬ３０２、ブラウザアクセスＵＲＬ情報３０７（後述で説明）を入力し、マルウェアがアクセスしている可能性があるＵＲＬ情報であるグレーＵＲＬ情報３０５を抽出する。すなわち、グレーＵＲＬ特定部１０５は、アドレス抽出部に対応する。 (Gray URL specifying unit 105)
The gray URL specifying unit 105 inputs the proxy log entry 301, the white URL 302, and the browser access URL information 307 (described later), and extracts the gray URL information 305 that is URL information that may be accessed by malware. . That is, the gray URL specifying unit 105 corresponds to an address extracting unit.

（トップページＵＲＬ特定部１０６）
トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３、ローカルプロキシログエントリ３０４を入力し、ローカルプロキシログエントリ３０４から、ＷｅｂアクセスＵＲＬ情報３０３とＵＲＬが一致するログエントリを抽出し、トップページＵＲＬ情報３０６として出力する。トップページＵＲＬ情報３０６は、ユーザ指示情報に対応する。 (Top page URL specifying unit 106)
The top page URL specifying unit 106 inputs the Web access URL information 303 and the local proxy log entry 304, extracts a log entry whose URL matches the Web access URL information 303 from the local proxy log entry 304, and receives the top page URL information. Output as 306. The top page URL information 306 corresponds to user instruction information.

ここで、トップページＵＲＬ情報３０６は、ローカルプロキシログエントリ３０４から抽出されたローカルプロキシ５５０の情報、すなわちローカルプロキシ情報である。そして、トップページＵＲＬ特定部１０６は、ローカルプロキシ情報抽出部に対応する。   Here, the top page URL information 306 is information of the local proxy 550 extracted from the local proxy log entry 304, that is, local proxy information. The top page URL specifying unit 106 corresponds to a local proxy information extracting unit.

（ブラウザアクセスＵＲＬ特定部１０７）
ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ情報３０６、ローカルプロキシログエントリ３０４を入力し、ローカルプロキシログエントリ３０４のＷｅｂコンテンツに含まれる、Ｗｅｂコンテンツが自動で取得するコンテンツや、他のＷｅｂページへのリンク情報（ＵＲＬ）を、トップページ内ＵＲＬとして抽出する。このトップページ内ＵＲＬは、Ｗｅｂコンテンツに関連する関連アドレス情報である。 (Browser access URL specifying unit 107)
The browser access URL specifying unit 107 inputs the top page URL information 306 and the local proxy log entry 304, and to the content automatically acquired by the Web content included in the Web content of the local proxy log entry 304 or to another Web page Link information (URL) is extracted as the URL in the top page. The URL in the top page is related address information related to the Web content.

さらに、ブラウザアクセスＵＲＬ特定部１０７は、トップページ内ＵＲＬとトップページＵＲＬ情報３０６とを合わせてブラウザがアクセスするＵＲＬの情報であるブラウザアクセスＵＲＬ情報３０７として出力する。すなわち、ブラウザアクセスＵＲＬ情報３０７にはトップページ内ＵＲＬの情報が含まれており、ブラウザアクセスＵＲＬ情報３０７は、ユーザ指示情報と関連アドレス情報とに対応する。   Further, the browser access URL specifying unit 107 outputs the URL within the top page and the top page URL information 306 together as browser access URL information 307 that is URL information accessed by the browser. That is, the browser access URL information 307 includes URL information in the top page, and the browser access URL information 307 corresponds to user instruction information and related address information.

（ブラックＵＲＬ特定部１０８）
ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５、ブラウザアクセスＵＲＬ情報３０７、ブラック判定条件２０７を入力し、マルウェアのアクセスしたサイトと思われるブラックＵＲＬ２０８を抽出する。すなわち、ブラックＵＲＬ特定部１０８はアドレス抽出部に対応する。 (Black URL specifying unit 108)
The black URL specifying unit 108 inputs the gray URL information 305, the browser access URL information 307, and the black determination condition 207, and extracts the black URL 208 that seems to be the site accessed by the malware. That is, the black URL specifying unit 108 corresponds to an address extracting unit.

そして、ブラック判定条件２０７はグレーＵＲＬ情報に含まれるＵＲＬ情報がマルウェアによりアクセスされたか判定するための条件を表す情報である。ブラックＵＲＬ特定部１０８はブラック判定条件２０７に合致するアドレスを特定する条件合致アドレス特定部である。
また、ブラックＵＲＬ特定部１０８は、外部サービス２０９（後述で説明）から情報を入力する情報入力部に対応する。 The black determination condition 207 is information representing a condition for determining whether the URL information included in the gray URL information is accessed by malware. The black URL specifying unit 108 is a condition matching address specifying unit that specifies an address that matches the black determination condition 207.
Further, the black URL specifying unit 108 corresponds to an information input unit that inputs information from an external service 209 (described later).

更に、図２では図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１を入力することも可能である。そして、ブラックＵＲＬ特定部１０８は入力したプロキシログ２０１のデータを用いて所定の時間毎のアクセス数などを算出する（後述で説明）通信量算出部に対応する。   Further, although not shown in FIG. 2, the black URL specifying unit 108 can also input the proxy log 201. Then, the black URL specifying unit 108 corresponds to a traffic calculation unit that calculates the number of accesses per predetermined time using the input data of the proxy log 201 (described later).

（ログ蓄積部１０９）
ログ蓄積部１０９は、プロキシログ２０１、端末操作ログ２０３、ローカルプロキシログ２０４を取り込み、蓄積する。ログ蓄積部１０９は、例えば、磁気ディスク装置などの記憶装置である。 (Log accumulation unit 109)
The log storage unit 109 takes in and stores the proxy log 201, the terminal operation log 203, and the local proxy log 204. The log storage unit 109 is a storage device such as a magnetic disk device, for example.

プロキシログ取り込み部１０１は、ログ蓄積部１０９が蓄積したプロキシログ２０１を入力する。また、端末操作ログ取り込み部１０３は、ログ蓄積部１０９が蓄積した端末操作ログ２０３を入力する。また、ローカルプロキシログ取り込み部１０４は、ログ蓄積部１０９が蓄積したローカルプロキシログ２０４を入力する。   The proxy log capturing unit 101 inputs the proxy log 201 accumulated by the log accumulation unit 109. In addition, the terminal operation log capturing unit 103 inputs the terminal operation log 203 accumulated by the log accumulation unit 109. Further, the local proxy log capturing unit 104 inputs the local proxy log 204 accumulated by the log accumulation unit 109.

（情報漏洩検知システム１００の動作説明）
情報漏洩検知システム１００の動作について説明する。 (Description of operation of information leakage detection system 100)
The operation of the information leakage detection system 100 will be described.

（端末操作ログ取り込み部１０３の処理）
図３は、端末操作ログ２０３の例を示す図である。
図４は、端末操作ログ取り込み部１０３の処理の例を示すフローチャートである。
図５は、ＷｅｂアクセスＵＲＬ情報３０３の例を示す図である。 (Processing of terminal operation log capturing unit 103)
FIG. 3 is a diagram illustrating an example of the terminal operation log 203.
FIG. 4 is a flowchart illustrating an example of processing of the terminal operation log capturing unit 103.
FIG. 5 is a diagram illustrating an example of the Web access URL information 303.

端末操作ログ取り込み部１０３は、端末操作ログ２０３と期間２０６と端末識別子２０５とを入力する。
期間２０６は、ある特定の期間にマルウェアからＷｅｂアクセスがあったか否かを確認するために、例えばユーザが期間特定部２００を用いて指定する期間である。例えば、「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」の期間にマルウェアからのＷｅｂアクセスの有無を調べる場合、期間特定部２００は、期間２０６として「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」を指定する。 The terminal operation log capturing unit 103 inputs the terminal operation log 203, the period 206, and the terminal identifier 205.
The period 206 is a period specified by the user using the period specifying unit 200, for example, in order to confirm whether or not there is a web access from malware in a certain specific period. For example, when the presence / absence of Web access from malware is checked during the period “2011/06/23 09:00:00 to 2011/06/23 18:00:00”, the period specifying unit 200 sets the period 206 to “2011. / 06/23 09:00:00 to 2011/06/23 18:00:00 "is specified.

端末操作ログ２０３は、各端末装置５００にインストールされる端末操作記録アプリケーションが記録するログである。端末操作ログ２０３は、図３に示すフォーマットのように、例えば「操作日時、端末識別子、ユーザ識別子、操作タイプ、操作内容」が時系列順に記録される。   The terminal operation log 203 is a log recorded by a terminal operation recording application installed in each terminal device 500. In the terminal operation log 203, for example, “operation date and time, terminal identifier, user identifier, operation type, and operation content” are recorded in chronological order as in the format shown in FIG.

ここで、操作日時は、ユーザが端末装置５００の操作を行った日時である。端末識別子は、例えば端末装置５００のＩＰアドレスである。ユーザ識別子は、例えば従業員の従業員番号などのＩＤ（識別子、アイディー）である。操作タイプは、例えば、「ファイル生成」、「Ｗｅｂアクセス」などの操作の種別である。操作内容は、操作タイプに依存する記録である。   Here, the operation date and time is the date and time when the user operated the terminal device 500. The terminal identifier is, for example, the IP address of the terminal device 500. The user identifier is an ID (identifier, ID) such as an employee number of the employee. The operation type is, for example, an operation type such as “file generation” or “Web access”. The operation content is a record depending on the operation type.

端末操作記録アプリケーションの機能により、ユーザが、ブラウザのアドレスバーに入力したＵＲＬやＷｅｂサイトのコンテンツのリンクをクリックしてアクセスしたＵＲＬが端末操作ログ２０３に記録されている。   By the function of the terminal operation recording application, the URL entered by the user by clicking on the URL entered in the address bar of the browser or the link of the content of the website is recorded in the terminal operation log 203.

例えば、図３に示すＤ２０３１は、「２０１１／０６／２３ ９：００：００に、ＩＰアドレス１９２．１６８．１．２で識別される端末装置５００が、ＵｓｅｒＩＤ１２３４で識別される従業員の操作により、Ｃ：￥ｗｏｒｋ￥ｓａｍｐｌｅ．ｔｘｔというファイルを生成した」ことを意味する。   For example, D2031 shown in FIG. 3 indicates that “the terminal device 500 identified by the IP address 192.168.1.2 at 2011/06/23 9: 00: 00: 00 is operated by the employee identified by the UserID 1234. , C: \ work \ sample.txt has been generated ".

また、例えば、図３に示すＤ２０３３は、「２０１１／０６／２３ １２：００：００に、ＩＰアドレス１９２．１６８．１．２で識別される端末装置５００が、ＵｓｅｒＩＤ１２３４で識別される従業員の操作により、ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／に対してＧＥＴメソッドを送信（Ｗｅｂアクセス）した」ことを意味する。
ここで、実施の形態の説明において示されるＵＲＬ（例えば、前述の「ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／」）は、あくまで例として挙げられたものであり、実在のＵＲＬとは無関係である。 Further, for example, D2033 shown in FIG. 3 indicates that the terminal device 500 identified by the IP address 192.168.1.2 at 2011/06/23 12:00 is the employee ID identified by the UserID 1234. This means that the GET method has been transmitted (Web access) to http: //XXX.123-sample.ΔΔΔ/ by the operation ”.
Here, the URL shown in the description of the embodiment (for example, “http: //◯◯.123-sample.ΔΔΔ/” described above) is merely an example, and the actual URL It is unrelated to the URL.

ここで、図３のＤ２０３３に示される操作タイプ「Ｗｅｂアクセス」のように、端末装置５００がＷｅｂアクセスする場合を説明する。ユーザが端末装置５００を用いてＷｅｂアクセスする場合、ユーザは端末装置５００に対してアクセス先のアドレスを指示するアドレス指示操作を行う。ユーザは、このアドレス指示操作により、端末装置５００に対してＷｅｂアクセスを指示する。すなわち、このアドレス指示操作は、ユーザが端末装置５００に対してアクセス先のアドレスを指示すると共に、ユーザが端末装置５００に対して指示したアドレスに端末装置５００がＷｅｂアクセスを行うよう指示している。そして、このアドレス指示操作が端末操作ログ２０３（例えば、図３）においては、「Ｗｅｂアクセス」のように表記されている。
このアドレス指示操作によるアドレスが端末操作ログ２０３には示されている（例えば、図３のＤ２０３３では「ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／」）。そして、端末装置５００は、プロキシサーバ装置６００にアクセス先として、このアドレスを通知する。そして、端末装置５００は、前述の通りプロキシサーバ装置６００を利用してＷｅｂアクセスを行う。 Here, a case will be described in which the terminal device 500 accesses the Web as in the operation type “Web access” indicated by D2033 in FIG. When the user accesses the Web using the terminal device 500, the user performs an address instruction operation to instruct the terminal device 500 of an access destination address. The user instructs web access to the terminal device 500 through this address instruction operation. That is, in this address instruction operation, the user instructs the terminal device 500 to specify an access destination address, and also instructs the terminal device 500 to perform Web access to the address designated by the user to the terminal device 500. . This address instruction operation is expressed as “Web access” in the terminal operation log 203 (for example, FIG. 3).
The address by this address instruction operation is shown in the terminal operation log 203 (for example, “http: //◯◯.123-sample.ΔΔΔ/” in D2033 of FIG. 3). Then, the terminal device 500 notifies the proxy server device 600 of this address as an access destination. The terminal device 500 performs Web access using the proxy server device 600 as described above.

すなわち、端末操作ログ２０３は、ユーザが端末装置５００に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて端末装置５００がプロキシサーバ装置６００にアクセス先として通知したアドレスがアドレス指示操作と対応付けられて示されている。   That is, in the terminal operation log 203, the address notified by the terminal device 500 to the proxy server device 600 as the access destination based on the address instruction operation in which the user instructs the access address to the terminal device 500 corresponds to the address instruction operation. Shown attached.

図４を用いて、端末操作ログ取り込み部１０３の動作を説明する。
ここで、期間２０６は「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」、端末識別子２０５は、「１９２．１６８．１．２」が指定されているとする。 The operation of the terminal operation log capturing unit 103 will be described with reference to FIG.
Here, the period 206 is designated as “2011/06/23 09:00:00 to 2011/06/23 18:00:00”, and the terminal identifier 205 is designated as “192.168.1.2”. To do.

まず、端末操作ログ取り込み部１０３は、端末操作ログ２０３の全てのエントリを入力したか否かを判定する（図４のＳ４０１）。ここで、端末操作ログ２０３などの情報を構成する行を以降「エントリ」と称する。例えば図４のＤ２０３１の行が１つのエントリとなる。   First, the terminal operation log capturing unit 103 determines whether all entries of the terminal operation log 203 have been input (S401 in FIG. 4). Here, a line constituting information such as the terminal operation log 203 is hereinafter referred to as “entry”. For example, the row of D2031 in FIG. 4 is one entry.

端末操作ログ取り込み部１０３は、全てのエントリを入力していなければ（図４のＳ４０１の「ＮＯ」）、入力していない端末操作ログ２０３のエントリを例えば操作日時の時系列順に入力する（図４のＳ４０２）。
次に、端末操作ログ取り込み部１０３は、入力したエントリの操作日時が期間２０６の範囲内か否かを判定する（図４のＳ４０３）。
操作日時が期間２０６の範囲内であれば（図４のＳ４０３の「ＹＥＳ」）、端末操作ログ取り込み部１０３は、入力したエントリの端末識別子が、端末識別子２０５と一致するか否かを判定する（図４のＳ４０４）。
端末識別子が、端末識別子２０５と一致すれば（図４のＳ４０４の「ＹＥＳ」）、端末操作ログ取り込み部１０３は、入力したエントリの操作タイプがＷｅｂアクセスか否かを判定する（図４のＳ４０５）。
操作タイプがＷｅｂアクセスであれば（図４のＳ４０５の「ＹＥＳ」）、端末操作ログ取り込み部１０３は、読み込んだエントリをＷｅｂアクセスＵＲＬ情報３０３として出力する（図４のＳ４０６）。 If all entries have not been input (“NO” in S401 of FIG. 4), the terminal operation log capturing unit 103 inputs the entries of the terminal operation log 203 that have not been input, for example, in chronological order of the operation date and time (FIG. 4 S402).
Next, the terminal operation log capturing unit 103 determines whether the operation date / time of the input entry is within the range 206 (S403 in FIG. 4).
If the operation date / time is within the range 206 (“YES” in S403 of FIG. 4), the terminal operation log capturing unit 103 determines whether the terminal identifier of the input entry matches the terminal identifier 205. (S404 in FIG. 4).
If the terminal identifier matches the terminal identifier 205 (“YES” in S404 in FIG. 4), the terminal operation log capturing unit 103 determines whether the operation type of the input entry is Web access (S405 in FIG. 4). ).
If the operation type is Web access (“YES” in S405 in FIG. 4), the terminal operation log capturing unit 103 outputs the read entry as Web access URL information 303 (S406 in FIG. 4).

そして、図４のＳ４０１の処理に戻り、端末操作ログ取り込み部１０３は、端末操作ログ２０３の全てのエントリを入力するまで（図４のＳ４０１の「ＹＥＳ」）、図４のＳ４０１からＳ４０６の処理を繰り返す。   Then, returning to the process of S401 in FIG. 4, the terminal operation log capturing unit 103 performs the processes from S401 to S406 in FIG. 4 until all the entries in the terminal operation log 203 are input (“YES” in S401 in FIG. 4). repeat.

例えば、図５に示すＷｅｂアクセスＵＲＬ情報３０３ａ〜３０３ｄのそれぞれ１行ずつが１つのＷｅｂアクセスＵＲＬ情報である。そして、例えば、ＷｅｂアクセスＵＲＬ情報３０３ａ〜３０３ｄでＷｅｂアクセスＵＲＬ情報３０３のセットを構成している。   For example, each line of the Web access URL information 303a to 303d shown in FIG. 5 is one Web access URL information. For example, the web access URL information 303a to 303d constitute a set of web access URL information 303.

すなわち、端末操作ログ取り込み部１０３は、図３に示す端末操作ログ２０３のエントリの内、期間２０６に操作日時が該当し、端末識別子が端末識別子２０５に該当し、操作タイプがＷｅｂアクセスであるエントリを抽出し、図５に示すＷｅｂアクセスＵＲＬ情報３０３のセットを生成する。   That is, the terminal operation log capturing unit 103 includes an entry in the terminal operation log 203 illustrated in FIG. 3 in which the operation date / time corresponds to the period 206, the terminal identifier corresponds to the terminal identifier 205, and the operation type is Web access. Is extracted, and a set of Web access URL information 303 shown in FIG. 5 is generated.

（ローカルプロキシログ取り込み部１０４の処理）
図６は、ローカルプロキシログ２０４の例を示す図である。
図７は、コンテンツ実体３５０の例を示す図である。
図８は、ローカルプロキシログ取り込み部１０４の処理の例を示すフローチャートである。
図９は、ローカルプロキシログエントリ３０４の例を示す図である。 (Processing of local proxy log capturing unit 104)
FIG. 6 is a diagram illustrating an example of the local proxy log 204.
FIG. 7 is a diagram illustrating an example of the content entity 350.
FIG. 8 is a flowchart illustrating an example of processing of the local proxy log capturing unit 104.
FIG. 9 is a diagram illustrating an example of the local proxy log entry 304.

ローカルプロキシログ取り込み部１０４は、ローカルプロキシログ２０４と期間２０６と端末識別子２０５とからローカルプロキシログエントリ３０４を抽出する。   The local proxy log capturing unit 104 extracts a local proxy log entry 304 from the local proxy log 204, the period 206, and the terminal identifier 205.

ローカルプロキシログ２０４は、ローカルプロキシ５５０を利用して、端末装置５００のブラウザなどのアプリケーションがＷｅｂアクセスして得たコンテンツの内容やＷｅｂアクセスして送出したコンテンツの内容が記録される。
ローカルプロキシログ２０４は、図６に示すファーマットのように、例えば「アクセス日時、端末識別子、アクセスしたＷｅｂサイトのＵＲＬ、メソッド（ＧＥＴ／ＰＯＳＴなど）、ステータスコード、通信サイズ、コンテンツ実体３５０」が時系列順に記録される。 The local proxy log 204 records the content of content obtained by Web access by an application such as a browser of the terminal device 500 using the local proxy 550 and the content of content transmitted through Web access.
The local proxy log 204 includes, for example, “access date / time, terminal identifier, URL of the accessed website, method (GET / POST, etc.), status code, communication size, content entity 350” as in the format shown in FIG. Recorded in chronological order.

ここで、ローカルプロキシ５５０を有する端末装置５００が、ローカルプロキシ５５０を利用してＷｅｂアクセスする場合は、まずユーザが例えば端末装置５００の入力装置などを用いて、アクセス先のアドレスを指示する。そして、端末装置５００はローカルプロキシ５５０を利用してアクセス先のアドレスをプロキシサーバ装置６００に通知する。そして、端末装置５００は、前述の通りプロキシサーバ装置６００を利用し、更にローカルプロキシ５５０も利用してＷｅｂアクセスを行う。   Here, when the terminal device 500 having the local proxy 550 performs Web access using the local proxy 550, the user first designates an access destination address using the input device of the terminal device 500, for example. Then, the terminal device 500 notifies the proxy server device 600 of the access destination address using the local proxy 550. Then, the terminal device 500 performs Web access using the proxy server device 600 as described above and further using the local proxy 550.

すなわち、ローカルプロキシログ２０４は、ローカルプロキシ５５０を有する端末装置５００がユーザの指示に基づいてローカルプロキシ５５０を利用してプロキシサーバ装置６００にアクセス先として通知したアドレスが示されている。   That is, the local proxy log 204 indicates an address that the terminal device 500 having the local proxy 550 notifies to the proxy server device 600 as an access destination using the local proxy 550 based on a user instruction.

例えば、図６に示すＤ３０４１の行が、端末装置５００がローカルプロキシ５５０を介してＷｅｂサイトへアクセスした１件のエントリである。
そして、図６において、コンテンツ実体３５０の部分「（コンテンツ実体）」の図示を省略しているが、実際には例えば図７に示すような内容が記録されている。
図７に示す例では、「ｈｔｔｐ ＧＥＴ」の結果として得られたコンテンツが示されているが、ＰＯＳＴの場合は送付されたコンテンツが記録される。 For example, the row of D3041 shown in FIG. 6 is one entry in which the terminal device 500 accesses the Web site via the local proxy 550.
In FIG. 6, the portion “(content entity)” of the content entity 350 is omitted, but actually, for example, the contents as shown in FIG. 7 are recorded.
In the example shown in FIG. 7, content obtained as a result of “http GET” is shown, but in the case of POST, the sent content is recorded.

図８を用いて、ローカルプロキシログ取り込み部１０４の動作を説明する。
ここで、期間２０６は「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」、端末識別子２０５は、「１９２．１６８．１．２」が指定されているとする。 The operation of the local proxy log capturing unit 104 will be described with reference to FIG.
Here, the period 206 is designated as “2011/06/23 09:00:00 to 2011/06/23 18:00:00”, and the terminal identifier 205 is designated as “192.168.1.2”. To do.

まず、ローカルプロキシログ取り込み部１０４は、ローカルプロキシログ２０４の全てのエントリを入力したか否かを判定する（図８のＳ５０１）。
ローカルプロキシログ取り込み部１０４は、全てのエントリを入力していなければ（図８のＳ５０１の「ＮＯ」）、入力していないローカルプロキシログ２０４のエントリを例えばアクセス日時の時系列順に入力する（図８のＳ５０２）。
次に、ローカルプロキシログ取り込み部１０４は、入力したエントリのアクセス日時が期間２０６の範囲内か否かを判定する（図８のＳ５０３）。
アクセス日時が期間２０６の範囲内であれば（図８のＳ５０３の「ＹＥＳ」）、ローカルプロキシログ取り込み部１０４は、入力したエントリの端末識別子が、端末識別子２０５と一致するか否かを判定する（図８のＳ５０４）。
端末識別子が、端末識別子２０５と一致すれば（図８のＳ５０４の「ＹＥＳ」）、ローカルプロキシログ取り込み部１０４は、読み込んだエントリをローカルプロキシログエントリ３０４として出力する（図８のＳ５０５）。 First, the local proxy log capturing unit 104 determines whether all entries of the local proxy log 204 have been input (S501 in FIG. 8).
If all entries have not been input (“NO” in S501 of FIG. 8), the local proxy log capturing unit 104 inputs the entries of the local proxy log 204 that have not been input, for example, in chronological order of access date and time (FIG. 8 S502).
Next, the local proxy log capturing unit 104 determines whether or not the access date / time of the input entry is within the range 206 (S503 in FIG. 8).
If the access date / time is within the range of the period 206 (“YES” in S503 in FIG. 8), the local proxy log capturing unit 104 determines whether or not the terminal identifier of the input entry matches the terminal identifier 205. (S504 in FIG. 8).
If the terminal identifier matches the terminal identifier 205 (“YES” in S504 in FIG. 8), the local proxy log capturing unit 104 outputs the read entry as the local proxy log entry 304 (S505 in FIG. 8).

そして、図８のＳ５０１の処理に戻り、ローカルプロキシログ取り込み部１０４は、ローカルプロキシログ２０４の全てのエントリを入力するまで（図８のＳ５０１の「ＹＥＳ」）、図８のＳ５０１からＳ５０５の処理を繰り返す。   Then, returning to the processing of S501 in FIG. 8, the local proxy log capturing unit 104 performs the processing from S501 to S505 in FIG. 8 until all entries of the local proxy log 204 are input (“YES” in S501 in FIG. 8). repeat.

例えば、図９に示すローカルプロキシログエントリ３０４ａ〜３０４ｄのそれぞれ１行ずつが１つのローカルプロキシログエントリである。そして、例えば、ローカルプロキシログエントリ３０４ａ〜３０４ｄでローカルプロキシログエントリ３０４のセットを構成している。   For example, each local proxy log entry 304a to 304d shown in FIG. 9 is one local proxy log entry. For example, the local proxy log entries 304a to 304d constitute a set of local proxy log entries 304.

すなわち、ローカルプロキシログ取り込み部１０４は、図６に示すローカルプロキシログ２０４のエントリの内、期間２０６にアクセス日時が該当し、端末識別子が端末識別子２０５に該当するエントリを抽出し、図９に示すローカルプロキシログエントリ３０４のセットを生成する。
ここで、図６に示すＤ３０４５のアクセス日時が、期間２０６に該当しない為、図９に示すローカルプロキシログエントリ３０４のセットには含まれていない。 That is, the local proxy log capturing unit 104 extracts an entry whose access date / time corresponds to the period 206 and whose terminal identifier corresponds to the terminal identifier 205 from the entries of the local proxy log 204 shown in FIG. Generate a set of local proxy log entries 304.
Here, since the access date and time of D3045 shown in FIG. 6 does not correspond to the period 206, it is not included in the set of local proxy log entries 304 shown in FIG.

（トップページＵＲＬ特定部１０６の処理）
図１０は、トップページＵＲＬ特定部１０６の第１の処理の例を示すフローチャートである。
図１１は、トップページＵＲＬ特定部１０６の第１の処理によって抽出されたＵＲＬリストの例を示す図である。
図１２は、トップページＵＲＬ特定部１０６の第２の処理の例を示すフローチャートである。
図１３は、トップページＵＲＬ情報３０６の例を示す図である。 (Processing of the top page URL specifying unit 106)
FIG. 10 is a flowchart illustrating an example of a first process of the top page URL specifying unit 106.
FIG. 11 is a diagram illustrating an example of the URL list extracted by the first process of the top page URL specifying unit 106.
FIG. 12 is a flowchart illustrating an example of the second process of the top page URL specifying unit 106.
FIG. 13 is a diagram illustrating an example of the top page URL information 306.

トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３とローカルプロキシログエントリ３０４とを入力する。そして、トップページＵＲＬ特定部１０６は、第１の処理として、ＷｅｂアクセスＵＲＬ情報３０３に含まれるＵＲＬを抽出する。そして、トップページＵＲＬ特定部１０６は、第２の処理として、ローカルプロキシログエントリ３０４から第１の処理で抽出したＷｅｂアクセスＵＲＬ情報３０３に含まれるＵＲＬと一致するエントリを抽出する。   The top page URL specifying unit 106 inputs the Web access URL information 303 and the local proxy log entry 304. Then, the top page URL specifying unit 106 extracts the URL included in the Web access URL information 303 as the first process. Then, as the second process, the top page URL specifying unit 106 extracts an entry that matches the URL included in the Web access URL information 303 extracted in the first process from the local proxy log entry 304.

図１０を用いて、トップページＵＲＬ特定部１０６の動作（第１の処理）を説明する。最初にトップページＵＲＬ特定部１０６は第１の処理として、ＷｅｂアクセスＵＲＬ情報３０３からＵＲＬ（ＷｅｂアクセスＵＲＬ）を抽出し、リストを生成する。   The operation (first process) of the top page URL specifying unit 106 will be described with reference to FIG. First, as a first process, the top page URL specifying unit 106 extracts a URL (Web access URL) from the Web access URL information 303 to generate a list.

まず、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３を全て入力したか否かを判定する（図１０のＳ６０１）。
トップページＵＲＬ特定部１０６は、全てのＷｅｂアクセスＵＲＬ情報３０３を入力していなければ（図１０のＳ６０１の「ＮＯ」）、入力していないＷｅｂアクセスＵＲＬ情報３０３を例えばアクセス日時の時系列順に入力する（図１０のＳ６０２）。
次に、トップページＵＲＬ特定部１０６は、入力したＷｅｂアクセスＵＲＬ情報３０３のＵＲＬ（ＷｅｂアクセスＵＲＬ）を抽出する（図１０のＳ６０３）。
次に、トップページＵＲＬ特定部１０６は、入力したＷｅｂアクセスＵＲＬ情報３０３の操作日時を抽出する（図１０のＳ６０４）。
そして、トップページＵＲＬ特定部１０６は、抽出したＵＲＬ（ＷｅｂアクセスＵＲＬ）と操作日時とを１つのエントリとしたリストを生成する。リストの例を図１１に示す。
そして、図１０のＳ６０１の処理に戻り、トップページＵＲＬ特定部１０６は、全てのＷｅｂアクセスＵＲＬ情報３０３を入力するまで（図１０のＳ６０１の「ＹＥＳ」）、図１０のＳ６０１からＳ６０５の処理を繰り返す。 First, the top page URL specifying unit 106 determines whether all the Web access URL information 303 has been input (S601 in FIG. 10).
If all the Web access URL information 303 has not been input (“NO” in S601 in FIG. 10), the top page URL specifying unit 106 inputs the Web access URL information 303 that has not been input, for example, in chronological order of access date and time. (S602 in FIG. 10).
Next, the top page URL specifying unit 106 extracts the URL (Web access URL) of the input Web access URL information 303 (S603 in FIG. 10).
Next, the top page URL specifying unit 106 extracts the operation date and time of the input Web access URL information 303 (S604 in FIG. 10).
Then, the top page URL specifying unit 106 generates a list in which the extracted URL (Web access URL) and the operation date / time are one entry. An example of the list is shown in FIG.
Then, returning to the processing of S601 in FIG. 10, the top page URL specifying unit 106 performs the processing from S601 to S605 in FIG. 10 until all Web access URL information 303 is input (“YES” in S601 in FIG. 10). repeat.

具体例で説明する。
例えば、ＷｅｂアクセスＵＲＬ情報３０３のセットが図５に示される例の場合、トップページＵＲＬ特定部１０６は、最初に図５のＷｅｂアクセスＵＲＬ情報３０３ａ「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２，ＵｓｅｒＩＤ１２３４、Ｗｅｂアクセス、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／，ＧＥＴ」を入力する（図１０のＳ６０２）。そして、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３ａから、ＵＲＬ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」を抽出し（図１０のＳ６０３）、操作日時「２０１１／０６／２３ １０：００：００」を抽出する（図１０のＳ６０４）。そして、トップページＵＲＬ特定部１０６は「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、２０１１／０６／２３ １０：００：００」を１つのエントリ（図１１のＤ１０６１）としたリストを生成する。 A specific example will be described.
For example, in the case where the set of the Web access URL information 303 is shown in FIG. 5, the top page URL specifying unit 106 first sets the Web access URL information 303a “2011/06/23 10:00:00, 192 in FIG. .168.1.2, UserID 1234, Web access, http: //OO.abc-sample.ΔΔΔ/, GET ”(S602 in FIG. 10). Then, the top page URL specifying unit 106 extracts the URL “http: //XXX.abc-sample.ΔΔΔ/” from the Web access URL information 303a (S603 in FIG. 10), and the operation date and time “2011”. / 06/23 10:00:00 "is extracted (S604 in FIG. 10). The top page URL specifying unit 106 sets “http: //XXX.abc-sample.ΔΔΔ/, 2011/06/23 10:00:00” as one entry (D1061 in FIG. 11). Generate a list.

図１２を用いて、トップページＵＲＬ特定部１０６の動作（第２の処理）を説明する。
トップページＵＲＬ特定部１０６は第２の処理として、第１の処理で生成した例えば図１１に示すリストに含まれるエントリのＵＲＬと操作日時とに一致するローカルプロキシログエントリ３０４を抽出する。
ここで図１２の図示は省略しているが、トップページＵＲＬ特定部１０６は、第１の処理で生成した例えば図１１に示すリストに含まれる全てのエントリに対して、図１２の処理を行う。
ここでは、トップページＵＲＬ特定部１０６が第１の処理で抽出したエントリとして、図１１のＤ１０６１に示されるエントリ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、２０１１／０６／２３ １０：００：００」を例に説明する。 The operation (second process) of the top page URL specifying unit 106 will be described with reference to FIG.
As the second process, the top page URL specifying unit 106 extracts the local proxy log entry 304 that matches the URL of the entry included in the list shown in FIG. 11 generated in the first process and the operation date and time, for example.
Although the illustration of FIG. 12 is omitted, the top page URL specifying unit 106 performs the process of FIG. 12 for all entries included in the list shown in FIG. 11 generated by the first process, for example. .
Here, as an entry extracted by the top page URL specifying unit 106 in the first process, the entry “http: //XXX.abc-sample.ΔΔΔ/, 2011/06 /” shown in D1061 of FIG. “23 10:00: 00” will be described as an example.

まず、トップページＵＲＬ特定部１０６は、ローカルプロキシログエントリ３０４を全て入力したか否かを判定する（図１２のＳ１０１）。
トップページＵＲＬ特定部１０６は、全てのローカルプロキシログエントリ３０４を入力していなければ（図１２のＳ１０１の「ＮＯ」）、入力していないローカルプロキシログエントリ３０４を例えばアクセス日時の時系列順に入力する（図１２のＳ１０２）。
ここで、例えば、トップページＵＲＬ特定部１０６は、図９のローカルプロキシログエントリ３０４ａ「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、ＧＥＴ、２００、１０００、コンテンツ実体」を入力したとする。 First, the top page URL specifying unit 106 determines whether or not all the local proxy log entries 304 have been input (S101 in FIG. 12).
If all the local proxy log entries 304 have not been input (“NO” in S101 in FIG. 12), the top page URL specifying unit 106 inputs the local proxy log entries 304 that have not been input, for example, in chronological order of access date / time. (S102 in FIG. 12).
Here, for example, the top page URL specifying unit 106 determines that the local proxy log entry 304a “2011/06/23 10:00:00, 192.168.1.2, http: //◯◯◯.abc in FIG. “Sample.ΔΔΔ /, GET, 200, 1000, content entity” is input.

そして、トップページＵＲＬ特定部１０６は、第１の処理で抽出したエントリにおけるＷｅｂアクセスＵＲＬである「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」と一致するＵＲＬがローカルプロキシログエントリ３０４ａに含まれるか否かを判定する。また、トップページＵＲＬ特定部１０６は、第１の処理で抽出したエントリにおける操作日時である「２０１１／０６／２３ １０：００：００」とローカルプロキシログエントリ３０４ａのアクセス日時とが一致するか否かを判定する（図１２のＳ１０３）。
そして、第１の処理で抽出したエントリにおけるＵＲＬとローカルプロキシログエントリ３０４ａに含まれるＵＲＬとが一致し、第１の処理で抽出したエントリにおける操作日時とローカルプロキシログエントリ３０４ａのアクセス日時とが一致するので（図１２のＳ１０３の「ＹＥＳ」）、処理はＳ１０４に進められる。 Then, the top page URL specifying unit 106 determines that the URL that matches the “http: //XXX.abc-sample.ΔΔΔ/” that is the Web access URL in the entry extracted in the first process is the local proxy log. It is determined whether or not it is included in the entry 304a. Further, the top page URL specifying unit 106 determines whether or not “2011/06/23 10:00: 00”, which is the operation date / time in the entry extracted in the first process, matches the access date / time of the local proxy log entry 304a. Is determined (S103 in FIG. 12).
Then, the URL in the entry extracted in the first process matches the URL included in the local proxy log entry 304a, and the operation date / time in the entry extracted in the first process matches the access date / time of the local proxy log entry 304a. Therefore (“YES” in S103 of FIG. 12), the process proceeds to S104.

そして、図１２において、図示は省略するが、トップページＵＲＬ特定部１０６は図１２のＳ１０３において「ＹＥＳ」と判定されたローカルプロキシログエントリ３０４ａから、トップページＵＲＬ情報３０６を生成する。
この場合、トップページＵＲＬ情報３０６ａは、図１３に示す例のようになる。すなわち、ＵＲＬとローカルプロキシログ２０４におけるアクセス日時と端末識別子とメソッドとステータスと通信サイズとが含まれた情報をトップページＵＲＬ情報３０６と称する。そして、トップページＵＲＬ情報３０６に示されるＵＲＬをトップページＵＲＬと称する。 Then, although not shown in FIG. 12, the top page URL specifying unit 106 generates the top page URL information 306 from the local proxy log entry 304a determined as “YES” in S103 of FIG.
In this case, the top page URL information 306a is as shown in FIG. That is, information including the URL, the access date / time in the local proxy log 204, the terminal identifier, the method, the status, and the communication size is referred to as top page URL information 306. The URL indicated in the top page URL information 306 is referred to as a top page URL.

そして、トップページＵＲＬ情報３０６が生成される毎に、図１２のＳ１０４の処理が行われるが、このＳ１０４の処理は、ブラウザアクセスＵＲＬ特定部１０７によって行われるため、後述で説明する。   Then, every time the top page URL information 306 is generated, the process of S104 in FIG. 12 is performed. Since the process of S104 is performed by the browser access URL specifying unit 107, it will be described later.

そして、図１２のＳ１０１の処理に戻り、トップページＵＲＬ特定部１０６は、ローカルプロキシログエントリ３０４の全てのエントリを入力するまで（図１２のＳ１０１の「ＹＥＳ」）、図１２のＳ１０１からＳ１０３の処理を繰り返す。また、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ情報３０６が生成される毎に、図１２のＳ１０４の処理を行う。   Then, returning to the processing of S101 in FIG. 12, the top page URL specifying unit 106 continues from S101 to S103 in FIG. 12 until all entries of the local proxy log entry 304 are input (“YES” in S101 in FIG. 12). Repeat the process. The browser access URL specifying unit 107 performs the process of S104 in FIG. 12 every time the top page URL information 306 is generated.

（ブラウザアクセスＵＲＬ特定部１０７の処理）
図１４は、ブラウザアクセスＵＲＬ特定部１０７の処理の例を示すフローチャートである。なお、図１４のフローチャートは、図１２のＳ１０４の処理を詳細に示したものである。
図１５は、トップページ内ＵＲＬ６０６の例を示す図である。
図１６は、ブラウザアクセスＵＲＬ情報３０７の例を示す図である。 (Processing of browser access URL specifying unit 107)
FIG. 14 is a flowchart illustrating an example of processing of the browser access URL specifying unit 107. Note that the flowchart of FIG. 14 shows the details of the process of S104 of FIG.
FIG. 15 is a diagram illustrating an example of the URL 606 in the top page.
FIG. 16 is a diagram illustrating an example of the browser access URL information 307.

前述の例において、トップページＵＲＬ特定部１０６が図１２のＳ１０２において、入力したローカルプロキシログエントリ３０４ａは「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、ＧＥＴ、２００、１０００、コンテンツ実体」である。
ここで、コンテンツ実体３５０は前述の通り、例えば、実際には図７に示されるような情報である。つまりコンテンツ実体３５０は、端末装置５００がＷｅｂアクセスした結果得られたｈｔｍｌコンテンツの実体である。 In the above example, the local proxy log entry 304a input by the top page URL specifying unit 106 in S102 of FIG. 12 is “2011/06/23 10:00:00, 192.168.1.2, http: /// “OO.abc-sample.ΔΔΔ /, GET, 200, 1000, content entity”.
Here, as described above, the content entity 350 is actually information as shown in FIG. That is, the content entity 350 is an html content entity obtained as a result of the terminal device 500 accessing the Web.

図１４を用いてブラウザアクセスＵＲＬ特定部１０７の動作を説明する。
ここで、コンテンツ実体３５０は、図７に示す例を用いる。 The operation of the browser access URL specifying unit 107 will be described with reference to FIG.
Here, the content entity 350 uses the example shown in FIG.

前述のように、トップページＵＲＬ特定部１０６がトップページＵＲＬ情報３０６を生成すると、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ特定部１０６が入力したローカルプロキシログエントリ３０４とトップページＵＲＬ特定部１０６が生成したトップページＵＲＬ情報３０６とを入力し、図１４に示す処理を行う。   As described above, when the top page URL specifying unit 106 generates the top page URL information 306, the browser access URL specifying unit 107 displays the local proxy log entry 304 and the top page URL specifying unit 106 input by the top page URL specifying unit 106. The top page URL information 306 generated by the user is input and the processing shown in FIG. 14 is performed.

まず、ブラウザアクセスＵＲＬ特定部１０７は、コンテンツ実体３５０の内容をコンテンツ実体３５０の最初の行から１行入力する（図１４のＳ２０１）。具体的には、ブラウザアクセスＵＲＬ特定部１０７は図７のＤ３５０１に示される「＜ｈｔｍｌ ｌａｎｇ＝“ｊａ”＞」を入力する。
次に、ブラウザアクセスＵＲＬ特定部１０７は、入力した内容が＜ｈｔｍｌ＞タグであるか否かを判定する（図１４のＳ２０２）。すなわち、この処理により、ブラウザアクセスＵＲＬ特定部１０７はｈｔｍｌコンテンツの始まりか否かを判定している。この場合、「＜ｈｔｍｌ ｌａｎｇ＝“ｊａ”＞」は＜ｈｔｍｌ＞タグである（図１４のＳ２０２の「ＹＥＳ」）。 First, the browser access URL specifying unit 107 inputs the contents of the content entity 350 from the first line of the content entity 350 (S201 in FIG. 14). Specifically, the browser access URL specifying unit 107 inputs “<html lang =“ ja ”>” indicated by D3501 in FIG.
Next, the browser access URL specifying unit 107 determines whether or not the input content is an <html> tag (S202 in FIG. 14). That is, by this process, the browser access URL specifying unit 107 determines whether or not the html content starts. In this case, “<html lang =“ ja ”>” is a <html> tag (“YES” in S202 of FIG. 14).

更に、ブラウザアクセスＵＲＬ特定部１０７は、コンテンツ実体３５０の内容をコンテンツ実体３５０の行の順番通りに１行入力する（図１４のＳ２０３）。
そして、ブラウザアクセスＵＲＬ特定部１０７は、入力したコンテンツ実体３５０の内容にサブコンテンツのＵＲＬが含まれるか否かを判定する（図１４のＳ２０４）。 Further, the browser access URL specifying unit 107 inputs one line of the contents of the content entity 350 in the order of the lines of the content entity 350 (S203 in FIG. 14).
Then, the browser access URL specifying unit 107 determines whether or not the content of the input content entity 350 includes the sub-content URL (S204 in FIG. 14).

ここで、サブコンテンツとは、例えば＜ａ＞タグにおける「ｈｒｅｆ＝」に続くＵＲＬや、＜ｉｍｇ ｓｒｃ＞タグにおけるｓｒｃ属性のＵＲＬや、動画表示用タグにおけるＵＲＬなどである。つまり、コンテンツ実体３５０には、ｈｔｍｌコンテンツが自動で取得するサブコンテンツ（「ｉｍｇ ｓｒｃ」で指定される画像、動画表示用タグで指定される動画など）や、リンクされるサブコンテンツ（＜ａ＞タグで指定されるＵＲＬ）などが記載されている。   Here, the sub-content is, for example, a URL following “href =” in the <a> tag, a src attribute URL in the <img src> tag, a URL in the moving image display tag, or the like. That is, the content entity 350 includes sub-content (image specified by “img src”, moving image specified by a moving image display tag, etc.) automatically acquired by html content, and linked sub-content (<a> URL specified by a tag) is described.

ブラウザアクセスＵＲＬ特定部１０７は、図１４のＳ２０３で読み込んだコンテンツ実体３５０の内容にサブコンテンツのＵＲＬが含まれる場合（図１４のＳ２０４の「ＹＥＳ」）は、サブコンテンツのＵＲＬをトップページ内ＵＲＬに設定する（図１４のＳ２０５）。そして、ブラウザアクセスＵＲＬ特定部１０７は図１４のＳ２０３の処理を再度行う。   If the URL of the sub-content is included in the content of the content entity 350 read in S203 of FIG. 14 (“YES” in S204 of FIG. 14), the browser access URL specifying unit 107 converts the URL of the sub-content into the URL within the top page. (S205 in FIG. 14). Then, the browser access URL specifying unit 107 performs the process of S203 in FIG. 14 again.

ここで、トップページ内ＵＲＬとは、端末装置５００がトップページＵＲＬでアクセスしたＷｅｂサイトが自動で取得するコンテンツやリンクされるコンテンツのＵＲＬを意味しており、トップページに付随して得られるコンテンツのＵＲＬを意味する。   Here, the URL within the top page means the URL of the content that is automatically acquired by the Web site accessed by the terminal device 500 using the top page URL or the content to be linked, and the content obtained along with the top page. URL.

ブラウザアクセスＵＲＬ特定部１０７は、図１４のＳ２０３で読み込んだコンテンツ実体３５０の内容にサブコンテンツのＵＲＬが含まれない場合（図１４のＳ２０４の「ＮＯ」）は、読み込んだコンテンツ実体３５０の内容が＜／ｈｔｍｌ＞タグが否かを判定する（図１４のＳ２０６）。この処理により、ブラウザアクセスＵＲＬ特定部１０７は、ｈｔｍｌコンテンツの終わりか否かを判定している。   If the URL of the sub-content is not included in the content of the content entity 350 read in S203 of FIG. 14 (“NO” in S204 of FIG. 14), the browser access URL specifying unit 107 determines that the content of the read content entity 350 is It is determined whether there is a </ html> tag (S206 in FIG. 14). By this process, the browser access URL specifying unit 107 determines whether or not the end of the html content.

読み込んだコンテンツ実体３５０の内容が＜／ｈｔｍｌ＞タグである場合、ブラウザアクセスＵＲＬ特定部１０７は処理を終了（図１４のＳ２０６の「ＹＥＳ」）する。そして、トップページＵＲＬ特定部１０６から入力したトップページＵＲＬ情報３０６と設定したトップページ内ＵＲＬ６０６とからブラウザアクセスＵＲＬ情報３０７を生成する。
すなわち、トップページＵＲＬ情報３０６とトップページＵＲＬ情報３０６の各エントリ（各行）に対応づけられたトップページ内ＵＲＬ６０６とを合わせた情報をブラウザアクセスＵＲＬ情報３０７と称する。
その後、トップページＵＲＬ特定部１０６が引き続き、図１２のＳ１０１の処理を行う。 When the content of the read content entity 350 is a </ html> tag, the browser access URL specifying unit 107 ends the process (“YES” in S206 of FIG. 14). Then, browser access URL information 307 is generated from the top page URL information 306 input from the top page URL specifying unit 106 and the set top page URL 606.
That is, information combining the top page URL information 306 and the top page URL 606 associated with each entry (each line) of the top page URL information 306 is referred to as browser access URL information 307.
Thereafter, the top page URL specifying unit 106 continues the process of S101 in FIG.

一方、読み込んだコンテンツ実体３５０の内容が＜／ｈｔｍｌ＞タグでない場合、ブラウザアクセスＵＲＬ特定部１０７は、図１４のＳ２０３の処理を再度行う。   On the other hand, if the content of the read content entity 350 is not a </ html> tag, the browser access URL specifying unit 107 performs the process of S203 in FIG. 14 again.

ブラウザアクセスＵＲＬ特定部１０７が、図１４に示す処理を実行することにより、図７に示されるコンテンツ実体３５０の例から設定したトップページ内ＵＲＬ６０６の例を図１５に示す。   FIG. 15 shows an example of the URL 606 in the top page set from the example of the content entity 350 shown in FIG. 7 by the browser access URL specifying unit 107 executing the processing shown in FIG.

そして、トップページＵＲＬ特定部１０６が図１２に示す処理を実行し、図６に示されるローカルプロキシログエントリ３０４からトップページＵＲＬ情報３０６を生成し、更に、ブラウザアクセスＵＲＬ特定部１０７がトップページＵＲＬ情報３０６毎に対しトップページ内ＵＲＬ６０６を設定したブラウザアクセスＵＲＬ情報３０７の例を図１６に示す。   Then, the top page URL specifying unit 106 executes the processing shown in FIG. 12 to generate top page URL information 306 from the local proxy log entry 304 shown in FIG. 6, and the browser access URL specifying unit 107 further displays the top page URL. An example of the browser access URL information 307 in which the top page URL 606 is set for each piece of information 306 is shown in FIG.

例えば、図１６に示すブラウザアクセスＵＲＬ情報３０７ａ〜３０７ｄのそれぞれ１行ずつが１つのブラウザアクセスＵＲＬ情報である。そして、例えば、ブラウザアクセスＵＲＬ情報３０７ａ〜３０７ｄでブラウザアクセスＵＲＬ情報３０７のセットを構成している。
そして、例えば、図１６のブラウザアクセスＵＲＬ情報３０７ａの「（トップページ内ＵＲＬ）」は、図示を省略しているが、実際には図１５に示すようなトップページ内ＵＲＬ６０６の内容が記録されている。 For example, each browser access URL information 307a to 307d shown in FIG. 16 is one browser access URL information. For example, the browser access URL information 307a to 307d constitutes a set of browser access URL information 307.
For example, although “(top page URL)” in the browser access URL information 307a in FIG. 16 is omitted, the contents of the top page URL 606 as shown in FIG. 15 are actually recorded. Yes.

（ローカルプロキシログ取り込み部１０４の処理）
図１７は、プロキシログ２０１の例を示す図である。
図１８は、プロキシログ取り込み部１０１の処理の例を示すフローチャートである。
図１９は、プロキシログエントリ３０１の例を示す図である。 (Processing of local proxy log capturing unit 104)
FIG. 17 is a diagram illustrating an example of the proxy log 201.
FIG. 18 is a flowchart illustrating an example of processing of the proxy log capturing unit 101.
FIG. 19 is a diagram illustrating an example of the proxy log entry 301.

プロキシログ取り込み部１０１は、プロキシログ２０１と期間２０６と端末識別子２０５とを入力する。   The proxy log capturing unit 101 inputs the proxy log 201, the period 206, and the terminal identifier 205.

プロキシログ２０１は、図１７に示すフォーマットのように、例えば「アクセス日時、端末識別子、アクセスしたＷｅｂサイトのＵＲＬ、メソッド（ＧＥＴ／ＰＯＳＴなど）、ステータスコード、通信サイズ」が時系列順に記録される。   As in the format shown in FIG. 17, the proxy log 201 records, for example, “access date / time, terminal identifier, URL of accessed website, method (GET / POST, etc.), status code, communication size” in chronological order. .

また、プロキシログ２０１には、プロキシサーバ装置６００に接続された全ての端末装置５００からの全てのＷｅｂアクセスが記録される。ただし、図１７では、端末識別子「１９２．１６８．１．２」以外の端末装置５００のＷｅｂアクセスの図示を省略している。ここで、全てのＷｅｂアクセスとは、例えば、ブラウザや、Ｗｅｂ通信を行うアプリケーションや、Ｗｅｂ通信を行うマルウェアなどによるＷｅｂアクセスである。   The proxy log 201 records all Web accesses from all terminal devices 500 connected to the proxy server device 600. However, in FIG. 17, illustration of Web access of the terminal device 500 other than the terminal identifier “192.168.1.2” is omitted. Here, all the web accesses are web accesses by, for example, a browser, an application that performs web communication, or malware that performs web communication.

そして、プロキシログ２０１には、これらのＷｅｂアクセス毎にプロキシサーバ装置６００がアクセスを行ったアクセス先のアドレスが示されている。
すなわち、プロキシログ２０１は、プロキシサーバ装置６００が行ったアクセス毎にアクセス先のアドレスが示されている。 The proxy log 201 indicates the address of the access destination accessed by the proxy server device 600 for each Web access.
In other words, the proxy log 201 indicates an access destination address for each access performed by the proxy server apparatus 600.

なお、図１７に示すプロキシログ２０１の例えば、「（ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／のコンテンツが自動で取得したコンテンツの記録）」を説明する。プロキシサーバ装置６００がｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／にアクセスした結果、プロキシサーバ装置６００が取得したコンテンツの中に、画像や動画などを取り込むタグが記録されていた場合に、プロキシサーバ装置６００は、ｈｔｔｐでそれらの画像や動画を自動的に取得する。そして、それらの画像や動画もプロキシログ２０１に記録されていることを意味している。   In the proxy log 201 illustrated in FIG. 17, for example, “(http: //◯◯◯.abc-sample. Content recording automatically acquired by ΔΔΔ / content)” will be described. If the proxy server device 600 is http: // XXX. abc-sample. As a result of accessing △△△ /, if a tag for capturing an image or a moving image is recorded in the content acquired by the proxy server device 600, the proxy server device 600 downloads the image or the moving image with http. Get automatically. It means that those images and moving images are also recorded in the proxy log 201.

図１８を用いて、プロキシログ取り込み部１０１の動作を説明する。
ここで、期間２０６は「２０１１／０６／２３ ０９：００：００〜２０１１／０６／２３ １８：００：００」、端末識別子２０５は、「１９２．１６８．１．２」が指定されているとする。 The operation of the proxy log capturing unit 101 will be described with reference to FIG.
Here, the period 206 is designated as “2011/06/23 09:00:00 to 2011/06/23 18:00:00”, and the terminal identifier 205 is designated as “192.168.1.2”. To do.

まず、プロキシログ取り込み部１０１は、プロキシログ２０１の全てのエントリを入力したか否かを判定する（図１８のＳ７０１）。   First, the proxy log capturing unit 101 determines whether all entries of the proxy log 201 have been input (S701 in FIG. 18).

プロキシログ取り込み部１０１は、全てのエントリを入力していなければ（図１８のＳ７０１の「ＮＯ」）、入力していないプロキシログ２０１のエントリを例えばアクセス日時の時系列順に入力する（図１８のＳ７０２）。
次に、プロキシログ取り込み部１０１は、入力したエントリのアクセス日時が期間２０６の範囲内か否かを判定する（図１８のＳ７０３）。
アクセス日時が期間２０６の範囲内であれば（図１８のＳ７０３の「ＹＥＳ」）、プロキシログ取り込み部１０１は、入力したエントリの端末識別子が、端末識別子２０５と一致するか否かを判定する（図１８のＳ７０４）。
端末識別子が、端末識別子２０５と一致すれば（図１８のＳ７０４の「ＹＥＳ」）、プロキシログ取り込み部１０１は、読み込んだエントリをプロキシログエントリ３０１として出力する（図１８のＳ７０５）。 If all entries have not been input (“NO” in S701 of FIG. 18), the proxy log capturing unit 101 inputs the entries of the proxy log 201 that have not been input, for example, in chronological order of access date and time (FIG. 18). S702).
Next, the proxy log capturing unit 101 determines whether or not the access date and time of the input entry is within the range 206 (S703 in FIG. 18).
If the access date / time is within the range of the period 206 (“YES” in S703 in FIG. 18), the proxy log capturing unit 101 determines whether or not the terminal identifier of the input entry matches the terminal identifier 205 ( S704 in FIG. 18).
If the terminal identifier matches the terminal identifier 205 (“YES” in S704 of FIG. 18), the proxy log capturing unit 101 outputs the read entry as the proxy log entry 301 (S705 of FIG. 18).

そして、図１８のＳ７０１の処理に戻り、プロキシログ取り込み部１０１は、プロキシログ２０１の全てのエントリを入力するまで（図１８のＳ７０１の「ＹＥＳ」）、図１８のＳ７０１からＳ７０５の処理を繰り返す。   Then, returning to the processing of S701 in FIG. 18, the proxy log capturing unit 101 repeats the processing from S701 to S705 in FIG. 18 until all entries of the proxy log 201 are input (“YES” in S701 in FIG. 18). .

例えば、図１９に示すプロキシログエントリ３０１ａ〜３０１ｆのそれぞれ１行ずつが１つのプロキシログエントリである。そして、例えば、プロキシログエントリ３０１ａ〜３０１ｆでプロキシログエントリ３０１のセットを構成している。   For example, each proxy log entry 301a to 301f shown in FIG. 19 is one proxy log entry. For example, the proxy log entries 301a to 301f constitute a set of proxy log entries 301.

すなわち、プロキシログ取り込み部１０１は、図１７に示すプロキシログ２０１のエントリの内、期間２０６にアクセス日時が該当し、端末識別子が端末識別子２０５に該当するエントリを抽出し、図１９に示すプロキシログエントリ３０１のセットを生成する。   That is, the proxy log capturing unit 101 extracts an entry whose access date / time corresponds to the period 206 and whose terminal identifier corresponds to the terminal identifier 205 among the entries of the proxy log 201 illustrated in FIG. 17, and the proxy log illustrated in FIG. A set of entries 301 is generated.

（ＵＲＬホワイトリスト取り込み部１０２の処理）
図２０は、ＵＲＬホワイトリスト取り込み部１０２の処理の例を示すフローチャートである。
図２１は、ＵＲＬホワイトリスト２０２の例を示す図である。
図２２は、ホワイトＵＲＬ３０２の例を示す図である。 (Processing of URL whitelist capturing unit 102)
FIG. 20 is a flowchart illustrating an example of processing of the URL white list capturing unit 102.
FIG. 21 is a diagram illustrating an example of the URL white list 202.
FIG. 22 is a diagram illustrating an example of the white URL 302.

ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２を入力する。   The URL white list capturing unit 102 inputs the URL white list 202.

ＵＲＬホワイトリスト２０２は、例えば企業などの組織でアクセスが許可されたＵＲＬのリストであり、図２１に示すフォーマットのように、例えば「ＵＲＬ、備考」が記録される。
ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２の各エントリの最初の要素であるＵＲＬを抽出し、ホワイトＵＲＬ３０２として出力する。 The URL white list 202 is a list of URLs permitted to be accessed by an organization such as a company, for example, and records, for example, “URL, remarks” as in the format shown in FIG.
The URL white list capturing unit 102 extracts a URL that is the first element of each entry in the URL white list 202 and outputs the URL as a white URL 302.

図２０を用いて、ＵＲＬホワイトリスト取り込み部１０２の動作を説明する。   The operation of the URL white list taking unit 102 will be described with reference to FIG.

まず、ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２の全てのエントリを入力したか否かを判定する（図２０のＳ８０１）。   First, the URL white list capturing unit 102 determines whether all entries in the URL white list 202 have been input (S801 in FIG. 20).

ＵＲＬホワイトリスト取り込み部１０２は、全てのエントリを入力していなければ（図２０のＳ８０１の「ＮＯ」）、入力していないＵＲＬホワイトリスト２０２のエントリを入力する（図２０のＳ８０２）。
次に、ＵＲＬホワイトリスト取り込み部１０２は、入力したエントリのＵＲＬを抽出する（図２０のＳ８０３）。
そして、ＵＲＬホワイトリスト取り込み部１０２は、抽出したＵＲＬをホワイトＵＲＬ３０２として出力する（図２０のＳ８０４）。 If all the entries have not been input (“NO” in S801 in FIG. 20), the URL whitelist capturing unit 102 inputs an entry in the URL whitelist 202 that has not been input (S802 in FIG. 20).
Next, the URL white list capturing unit 102 extracts the URL of the input entry (S803 in FIG. 20).
Then, the URL white list capturing unit 102 outputs the extracted URL as the white URL 302 (S804 in FIG. 20).

そして、図２０のＳ８０１の処理に戻り、ＵＲＬホワイトリスト取り込み部１０２は、ＵＲＬホワイトリスト２０２の全てのエントリを入力するまで（図２０のＳ８０１の「ＹＥＳ」）、図２０のＳ８０１からＳ８０４の処理を繰り返す。   Then, returning to the processing of S801 in FIG. 20, the URL whitelist capturing unit 102 performs the processing from S801 to S804 in FIG. 20 until all entries in the URL whitelist 202 are input (“YES” in S801 in FIG. 20). repeat.

例えば、図２２に示すホワイトＵＲＬ３０２ａ〜３０２ｂのそれぞれ１行ずつが１つのホワイトＵＲＬである。そして、例えば、ホワイトＵＲＬ３０２ａ〜３０２ｂでホワイトＵＲＬ３０２のセットを構成している。   For example, each white URL 302a to 302b shown in FIG. 22 is one white URL. For example, the white URLs 302a to 302b constitute a set of white URLs 302.

（グレーＵＲＬ特定部１０５の処理）
グレーＵＲＬ特定部１０５の処理を第１の例と第２の例とに分けて説明する。 (Processing of the gray URL specifying unit 105)
The processing of the gray URL specifying unit 105 will be described separately for the first example and the second example.

（グレーＵＲＬ特定部１０５の処理の第１の例）
図２３は、グレーＵＲＬ特定部１０５の処理の第１の例を示すフローチャートである。
図２４は、グレーＵＲＬ特定部１０５の第１の例の処理によるグレーＵＲＬ情報３０５の例を示す図である。 (First example of processing of the gray URL specifying unit 105)
FIG. 23 is a flowchart illustrating a first example of processing of the gray URL specifying unit 105.
FIG. 24 is a diagram illustrating an example of the gray URL information 305 obtained by the process of the first example of the gray URL specifying unit 105.

図２３を用いて、グレーＵＲＬ特定部１０５の処理の第１の例を説明する。
グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）とホワイトＵＲＬ３０２（ホワイトＵＲＬ３０２のセット）とを入力する（図２３のＳ２３０１）。
ここで、プロキシログエントリ３０１は、図１９に示す例とし、ホワイトＵＲＬ３０２は図２２に示す例とする。
なお、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）は、前述の通りプロキシログ２０１から抽出されたものであり、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）に示されるＵＲＬ（アドレス）は、前述の通りプロキシログ２０１に示されるＵＲＬ（アドレス）である。
そして、ホワイトＵＲＬ３０２は、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されるアドレスである。 A first example of the process of the gray URL specifying unit 105 will be described with reference to FIG.
The gray URL specifying unit 105 inputs a proxy log entry 301 (a set of proxy log entries 301) and a white URL 302 (a set of white URLs 302) (S2301 in FIG. 23).
Here, the proxy log entry 301 is the example shown in FIG. 19, and the white URL 302 is the example shown in FIG.
The proxy log entry 301 (a set of proxy log entries 301) is extracted from the proxy log 201 as described above, and a URL (address) indicated in the proxy log entry 301 (a set of proxy log entries 301) is The URL (address) indicated in the proxy log 201 as described above.
The white URL 302 is an address indicated in the URL white list 202 (legitimate address information).

そして、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセットの内、ホワイトＵＲＬ３０２が含まれるプロキシログエントリ３０１を削除する（図２３のＳ２３０２）。
具体的には、図１９に示すプロキシログエントリ３０１ａに、図２２に示すホワイトＵＲＬ３０２ａが含まれ、図１９に示すプロキシログエントリ３０１ｄに、図２２に示すホワイトＵＲＬ３０２ｂが含まれる。よって、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセットの内、プロキシログエントリ３０１ａとプロキシログエントリ３０１ｄとを削除する。 Then, the gray URL specifying unit 105 deletes the proxy log entry 301 including the white URL 302 from the set of proxy log entries 301 (S2302 in FIG. 23).
Specifically, the proxy log entry 301a shown in FIG. 19 includes a white URL 302a shown in FIG. 22, and the proxy log entry 301d shown in FIG. 19 includes a white URL 302b shown in FIG. Therefore, the gray URL specifying unit 105 deletes the proxy log entry 301a and the proxy log entry 301d from the set of proxy log entries 301.

ここで、ホワイトＵＲＬ３０２が含まれるプロキシログエントリ３０１を削除するとは、換言すると、ホワイトＵＲＬ３０２以外のＵＲＬが含まれるプロキシログエントリ３０１を抽出することである。つまり、グレーＵＲＬ特定部１０５は、実質的にホワイトＵＲＬ３０２以外のＵＲＬをプロキシログエントリ３０１のセットから抽出している。
すなわち、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬ（アドレス）の内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬ（アドレス）を抽出する。
換言すると、グレーＵＲＬ情報３０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬを示す情報である。 Here, to delete the proxy log entry 301 including the white URL 302 is to extract the proxy log entry 301 including a URL other than the white URL 302. That is, the gray URL specifying unit 105 substantially extracts URLs other than the white URL 302 from the set of proxy log entries 301.
That is, the gray URL specifying unit 105 extracts URLs (addresses) not shown in the URL white list 202 (legitimate address information) from the URLs (addresses) shown in the set of proxy log entries 301 (proxy log 201). To do.
In other words, the gray URL information 305 is information indicating URLs that are not indicated in the URL white list 202 (legitimate address information) among the URLs indicated in the set of proxy log entries 301 (proxy log 201).

そして、グレーＵＲＬ特定部１０５は、編集したプロキシログエントリ３０１のセット（すなわち、ホワイトＵＲＬ３０２が含まれるプロキシログエントリ３０１を削除したプロキシログエントリ３０１のセット）をグレーＵＲＬ情報３０５として出力する（図２３のＳ２３０３）。
グレーＵＲＬ情報３０５の例を図２４に示す。ここで、図２４の例は、プロキシログエントリ３０１に含まれるＵＲＬ以外の情報（例えばアクセス日時、端末識別子など）も含まれているが、グレーＵＲＬ情報３０５は、ＷｅｂサイトのＵＲＬの情報のみであってもも良い。 Then, the gray URL specifying unit 105 outputs the edited set of proxy log entries 301 (that is, the set of proxy log entries 301 from which the proxy log entry 301 including the white URL 302 is deleted) as gray URL information 305 (FIG. 23). S2303).
An example of the gray URL information 305 is shown in FIG. 24 includes information other than the URL included in the proxy log entry 301 (for example, access date and time, terminal identifier, etc.), but the gray URL information 305 includes only the URL information of the website. May be.

（グレーＵＲＬ特定部１０５の処理の第２の例）
図２５は、グレーＵＲＬ特定部１０５の処理の第２の例を示すフローチャートである。
図２６は、グレーＵＲＬ特定部１０５の第２の例の処理によるグレーＵＲＬ情報３０５の例を示す図である。 (Second example of processing of the gray URL specifying unit 105)
FIG. 25 is a flowchart illustrating a second example of processing of the gray URL specifying unit 105.
FIG. 26 is a diagram illustrating an example of the gray URL information 305 obtained by the process of the second example of the gray URL specifying unit 105.

次に図２５を用いて、グレーＵＲＬ特定部１０５の処理の第２の例を説明する。
グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１（プロキシログエントリ３０１のセット）とホワイトＵＲＬ３０２（ホワイトＵＲＬ３０２のセット）とに加えて、ブラウザアクセスＵＲＬ情報３０７（ブラウザアクセスＵＲＬ情報３０７のセット）を入力する（図２５のＳ２４０１）。 Next, a second example of processing of the gray URL specifying unit 105 will be described with reference to FIG.
The gray URL specifying unit 105 inputs browser access URL information 307 (a set of browser access URL information 307) in addition to a proxy log entry 301 (a set of proxy log entries 301) and a white URL 302 (a set of white URLs 302). (S2401 in FIG. 25).

ここで、プロキシログエントリ３０１は、図１９に示す例とし、ホワイトＵＲＬ３０２は図２２に示す例とし、ブラウザアクセスＵＲＬ情報３０７は図１６に示す例とする。
更に、ブラウザアクセスＵＲＬ情報３０７ａに含まれるトップページ内ＵＲＬ６０６は、図１５に示す例とする。図１６には、ブラウザアクセスＵＲＬ情報３０７ａ〜３０７ｄの４つが示されており、それぞれに対応したトップページ内ＵＲＬ６０６が存在し得る。しかし、ここでは、ブラウザアクセスＵＲＬ情報３０７ｂ〜３０７ｄに対応するトップページ内ＵＲＬ６０６は無いものと想定する。 Here, the proxy log entry 301 is the example shown in FIG. 19, the white URL 302 is the example shown in FIG. 22, and the browser access URL information 307 is the example shown in FIG.
Further, the top page URL 606 included in the browser access URL information 307a is an example shown in FIG. FIG. 16 shows four pieces of browser access URL information 307a to 307d, and there can be a top page URL 606 corresponding to each of them. However, here, it is assumed that there is no top page URL 606 corresponding to the browser access URL information 307b to 307d.

そして、グレーＵＲＬ特定部１０５は、ホワイトＵＲＬ３０２で示されるＷｅｂサイトが自動で取得するコンテンツやリンクされるコンテンツのＵＲＬを抽出する。すなわち、グレーＵＲＬ特定部１０５は、ホワイトＵＲＬ３０２に対応するトップページ内ＵＲＬ６０６を抽出する（図２５のＳ２４０２）。
具体的には、グレーＵＲＬ特定部１０５は、入力したブラウザアクセスＵＲＬ情報３０７のセットから、例えば図２２のホワイトＵＲＬ３０２ａ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」に一致するＵＲＬを含むブラウザアクセスＵＲＬ情報３０７を選択する。この場合、グレーＵＲＬ特定部１０５は、「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」が含まれている、図１６に示すブラウザアクセスＵＲＬ情報３０７ａを選択する。そして、グレーＵＲＬ特定部１０５は、ブラウザアクセスＵＲＬ情報３０７ａのトップページ内ＵＲＬ６０６を抽出する。 Then, the gray URL specifying unit 105 extracts the URL of the content automatically acquired by the website indicated by the white URL 302 and the content to be linked. That is, the gray URL specifying unit 105 extracts the URL 606 in the top page corresponding to the white URL 302 (S2402 in FIG. 25).
Specifically, the gray URL specifying unit 105 matches, for example, the white URL 302a “http: //XXX.abc-sample.ΔΔΔ/” in FIG. 22 from the set of the browser access URL information 307 that has been input. The browser access URL information 307 including the URL is selected. In this case, the gray URL specifying unit 105 selects the browser access URL information 307a illustrated in FIG. 16 including “http: //◯◯◯.abc-sample.ΔΔΔ/”. Then, the gray URL specifying unit 105 extracts the URL 606 in the top page of the browser access URL information 307a.

そして、グレーＵＲＬ特定部１０５は、プロキシログエントリ３０１のセットの内、入力したホワイトＵＲＬ３０２と、入力したホワイトＵＲＬ３０２のそれぞれに対応するトップページ内ＵＲＬ６０６とのいずれかが含まれるプロキシログエントリ３０１を削除する（図２５のＳ２４０３）。
そして、グレーＵＲＬ特定部１０５は、編集したプロキシログエントリ３０１のセットをグレーＵＲＬ情報３０５として出力する（図２５のＳ２４０４）。 Then, the gray URL specifying unit 105 deletes the proxy log entry 301 including either the input white URL 302 or the top page URL 606 corresponding to each of the input white URL 302 from the set of proxy log entries 301. (S2403 in FIG. 25).
Then, the gray URL specifying unit 105 outputs the edited set of proxy log entries 301 as the gray URL information 305 (S2404 in FIG. 25).

グレーＵＲＬ情報３０５の具体例を図２６に示す。
グレーＵＲＬ特定部１０５の第１の例の処理によるグレーＵＲＬ情報３０５の例（図２４）には、図２４のＤ２５０４に示される情報（「ｈｔｔｐ：／／○○○．ｓａｍｐｌｅ１．△△△／」のＵＲＬが示される情報）が含まれている。
一方、図１５のＤ６０６１に示されるトップページ内ＵＲＬ６０６に「ｈｔｔｐ：／／○○○．ｓａｍｐｌｅ１．△△△／」が有る。従って、グレーＵＲＬ特定部１０５は、第２の例の処理において、プロキシログエントリ３０１のセット（図１９）の内プロキシログエントリ３０１ｆを削除して、グレーＵＲＬ情報３０５を出力する。よって、グレーＵＲＬ特定部１０５の第２の例の処理によるグレーＵＲＬ情報３０５の例（図２６）には、「ｈｔｔｐ：／／○○○．ｓａｍｐｌｅ１．△△△／」のＵＲＬが示される情報が含まれていない。 A specific example of the gray URL information 305 is shown in FIG.
The example of gray URL information 305 (FIG. 24) obtained by the first example processing of the gray URL specifying unit 105 includes information (“http: //XXX.sample1.ΔΔΔ/” shown in D2504 of FIG. ”Is indicated).
On the other hand, the URL 606 in the top page indicated by D6061 in FIG. 15 includes “http: //◯◯◯.sample1.ΔΔΔ/”. Accordingly, the gray URL specifying unit 105 deletes the proxy log entry 301f in the set of proxy log entries 301 (FIG. 19) and outputs the gray URL information 305 in the processing of the second example. Therefore, in the example of gray URL information 305 (FIG. 26) obtained by the second example processing of the gray URL specifying unit 105, information indicating the URL of “http: //XXX.sample1.ΔΔΔ/” is shown. Is not included.

（ブラックＵＲＬ特定部１０８の処理）
ブラックＵＲＬ特定部１０８の処理を第１〜第４の例に分けて説明する。 (Processing of the black URL specifying unit 108)
The processing of the black URL specifying unit 108 will be described by dividing it into first to fourth examples.

（ブラックＵＲＬ特定部１０８の処理の第１の例）
図２７は、ブラックＵＲＬ特定部１０８の処理の第１の例と第２の例とを示すフローチャートである。
図２８は、ブラックＵＲＬ２０８の例を示す図である。 (First example of processing of the black URL specifying unit 108)
FIG. 27 is a flowchart illustrating a first example and a second example of processing of the black URL specifying unit 108.
FIG. 28 is a diagram illustrating an example of the black URL 208.

図２７を用いて、ブラックＵＲＬ特定部１０８の処理の第１の例を説明する。
ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５とブラウザアクセスＵＲＬ情報３０７（ブラウザアクセスＵＲＬ情報３０７のセット）とを入力する（図２７のＳ２６０１）。
ここで、グレーＵＲＬ情報３０５は、前述のグレーＵＲＬ特定部１０５の第１の例で処理された情報でも、前述のグレーＵＲＬ特定部１０５の第２の例で処理された情報でも良い。ここでは、グレーＵＲＬ情報３０５は、前述のグレーＵＲＬ特定部１０５の第２の例で処理された情報として、図２６に示す具体例で説明を行う。すなわち、グレーＵＲＬ情報３０５に示されるＵＲＬは、プロキシログエントリ３０１に示されるＵＲＬから、ホワイトＵＲＬ３０２とトップページ内ＵＲＬ６０６とに示されるＵＲＬが除外されたものである。
また、ブラウザアクセスＵＲＬ情報３０７は図１６に示す例とする。 A first example of the processing of the black URL specifying unit 108 will be described with reference to FIG.
The black URL specifying unit 108 inputs gray URL information 305 and browser access URL information 307 (a set of browser access URL information 307) (S2601 in FIG. 27).
Here, the gray URL information 305 may be information processed in the first example of the gray URL specifying unit 105 described above or information processed in the second example of the gray URL specifying unit 105 described above. Here, the gray URL information 305 will be described using the specific example shown in FIG. 26 as information processed in the second example of the gray URL specifying unit 105 described above. That is, the URL shown in the gray URL information 305 is obtained by excluding the URL shown in the white URL 302 and the top page URL 606 from the URL shown in the proxy log entry 301.
The browser access URL information 307 is an example shown in FIG.

そして、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７のＵＲＬが含まれるエントリを削除する（図２７のＳ２６０２）。
なお、ブラックＵＲＬ特定部１０８の処理の第１の例の場合、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７の内、トップページＵＲＬ情報３０６の部分に示されるＵＲＬが含まれるエントリを削除する。
例えば、図２６のＤ２６０１の行に示すグレーＵＲＬ情報３０５のエントリは、図１６のブラウザアクセスＵＲＬ情報３０７ｂのトップページＵＲＬ情報３０６部分に示されるＵＲＬが含まれる。よって、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５から図２６のＤ２６０１の行に示すグレーＵＲＬ情報３０５のエントリを削除する。 Then, the black URL specifying unit 108 deletes the entry including the URL of the browser access URL information 307 from the entry of the gray URL information 305 (S2602 in FIG. 27).
In the case of the first example of the processing of the black URL specifying unit 108, the black URL specifying unit 108 is indicated in the top page URL information 306 part of the browser access URL information 307 from the entry of the gray URL information 305. Delete the entry containing the URL.
For example, the entry of the gray URL information 305 shown in the line D2601 in FIG. 26 includes the URL shown in the top page URL information 306 portion of the browser access URL information 307b in FIG. Therefore, the black URL specifying unit 108 deletes the entry of the gray URL information 305 shown in the line D2601 in FIG. 26 from the gray URL information 305.

なお、ここで、例えば、図２６のＤ２６０１の行に示すグレーＵＲＬ情報３０５のエントリの「（ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／のコンテンツが自動で取得したコンテンツの記録）」に示されるＵＲＬと、図１６のブラウザアクセスＵＲＬ情報３０７ｂの「（トップページ内ＵＲＬ）」に示されるＵＲＬとは、重複する。
したがって、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリの「（ｈｔｔｐ：／／○○○．１２３−ｓａｍｐｌｅ．△△△／のコンテンツが自動で取得したコンテンツの記録）」に示されるＵＲＬも、グレーＵＲＬ情報３０５のエントリの一部として削除して構わない。 Here, for example, the record of the content automatically acquired by the content “(http: //XXX.123-sample.ΔΔΔ/” in the entry of the gray URL information 305 shown in the row of D2601 in FIG. ) ”And the URL indicated by“ (URL in top page) ”of the browser access URL information 307b in FIG. 16 overlap.
Therefore, the black URL specifying unit 108 indicates the URL indicated by “(http: //◯◯◯.123-sample. The record of the content automatically acquired by the content of ΔΔΔ /)” of the entry of the gray URL information 305. May also be deleted as part of the entry of the gray URL information 305.

そして、ブラックＵＲＬ特定部１０８は、編集後のグレーＵＲＬ情報３０５をブラックＵＲＬ情報２５０とし、ブラックＵＲＬ情報２５０からブラックＵＲＬ２０８を抽出する（図２７のＳ２６０３）。ブラックＵＲＬ情報２５０の具体例を図２８に示す。
ここで、ブラックＵＲＬ情報２５０（例えば図２８に示す例）に含まれるＵＲＬの情報を（例えば「ｈｔｔｐ：／／○○○．７８９−ｓａｍｐｌｅ．△△△／」）を、ブラックＵＲＬ２０８と称する。 Then, the black URL specifying unit 108 uses the edited gray URL information 305 as the black URL information 250, and extracts the black URL 208 from the black URL information 250 (S2603 in FIG. 27). A specific example of the black URL information 250 is shown in FIG.
Here, the URL information included in the black URL information 250 (for example, the example shown in FIG. 28) (for example, “http: //◯◯◯.789-sample.ΔΔΔ/”) is referred to as a black URL 208.

そして、図２８に示す「（ｈｔｔｐ：／／○○○．７８９−ｓａｍｐｌｅ．△△△／のコンテンツが自動で取得したコンテンツの記録）」にもＵＲＬの情報が含まれる場合がある。その場合、ブラックＵＲＬ特定部１０８は、このＵＲＬをブラックＵＲＬ２０８として抽出しても良い。   In addition, URL information may also be included in “(http: //◯◯◯.789-sample.content recording automatically acquired by Δ △ Δ / content)” shown in FIG. In that case, the black URL specifying unit 108 may extract this URL as the black URL 208.

なお、ブラウザアクセスＵＲＬ情報３０７のトップページＵＲＬ情報３０６部分に示されるＵＲＬは、例えば端末操作ログ２０３などのユーザ指示情報に示されるＵＲＬであり、ユーザがブラウザを用いて端末装置５００にアクセスを指示したＵＲＬである。   Note that the URL indicated in the top page URL information 306 portion of the browser access URL information 307 is the URL indicated in the user instruction information such as the terminal operation log 203, for example, and the user instructs the terminal device 500 to access using the browser. URL.

そして、ブラックＵＲＬ特定部１０８の処理の具体例として、図２６に示すグレーＵＲＬ特定部１０５の第２の例で処理された情報を示した。ここで、グレーＵＲＬ特定部１０５の処理の第１の例と第２の例とのいずれも、グレーＵＲＬ情報３０５は、プロキシログエントリ３０１に示されるＵＲＬから、ホワイトＵＲＬ３０２に示されるＵＲＬが除外されたものである。（グレーＵＲＬ特定部１０５の処理の第２の例のグレーＵＲＬ情報３０５は、トップページ内ＵＲＬ６０６に示されるＵＲＬが追加で除外されている。）
すなわち、グレーＵＲＬ情報３０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬを示す情報である。 As a specific example of the processing of the black URL specifying unit 108, the information processed in the second example of the gray URL specifying unit 105 shown in FIG. 26 is shown. Here, in both the first example and the second example of processing of the gray URL specifying unit 105, the gray URL information 305 excludes the URL indicated by the white URL 302 from the URL indicated by the proxy log entry 301. It is a thing. (The gray URL information 305 in the second example of the processing of the gray URL specifying unit 105 additionally excludes the URL indicated by the URL 606 in the top page.)
That is, the gray URL information 305 is information indicating URLs that are not indicated in the URL white list 202 (legitimate address information) among URLs indicated in the set of proxy log entries 301 (proxy log 201).

そして、ブラックＵＲＬ２０８は、グレーＵＲＬ情報３０５に示されるＵＲＬの内、トップページＵＲＬ情報３０６（ユーザ指示情報）に示されないＵＲＬである。すなわち、ブラックＵＲＬ２０８は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）とトップページＵＲＬ情報３０６（ユーザ指示情報）とのいずれにも示されていないＵＲＬである。
換言すると、ブラックＵＲＬ特定部１０８は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬ（アドレス）の内、ＵＲＬホワイトリスト２０２（正当アドレス情報）とトップページＵＲＬ情報３０６（ユーザ指示情報）とのいずれにも示されていないＵＲＬ（アドレス）を抽出する。 The black URL 208 is a URL that is not indicated in the top page URL information 306 (user instruction information) among the URLs indicated in the gray URL information 305. That is, the black URL 208 is shown in both the URL white list 202 (legitimate address information) and the top page URL information 306 (user instruction information) in the URL shown in the set of proxy log entries 301 (proxy log 201). The URL has not been set.
In other words, the black URL specifying unit 108 includes the URL white list 202 (legitimate address information) and the top page URL information 306 (user instruction information) among the URLs (addresses) indicated in the set of proxy log entries 301 (proxy log 201). ) And URL (address) not shown in any of them.

つまり、ブラックＵＲＬ２０８とは、例えば企業などの組織に許可されたホワイトＵＲＬ３０２ではなく、かつ、ユーザの操作によるブラウザからアクセスではないＵＲＬである。その為、ブラックＵＲＬ２０８は、マルウェアの通信によるアクセス先ＵＲＬであると考えられる。   That is, the black URL 208 is not the white URL 302 permitted for an organization such as a company, but is a URL that is not accessed from a browser by a user operation. Therefore, the black URL 208 is considered to be an access destination URL by malware communication.

（ブラックＵＲＬ特定部１０８の処理の第２の例）
次に図２７を用いて、ブラックＵＲＬ特定部１０８の処理の第２の例を説明する。
ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５とブラウザアクセスＵＲＬ情報３０７（ブラウザアクセスＵＲＬ情報３０７のセット）とを入力する（図２７のＳ２６０１）。
ここで、グレーＵＲＬ情報３０５は、前述のグレーＵＲＬ特定部１０５の第１の例で処理された情報であり、図２４に示す例とする。すなわち、グレーＵＲＬ情報３０５に示されるＵＲＬは、プロキシログエントリ３０１に示されるＵＲＬから、ホワイトＵＲＬ３０２に示されるＵＲＬが除外されたものである。
また、ブラウザアクセスＵＲＬ情報３０７は図１６に示す例とし、ブラウザアクセスＵＲＬ情報３０７ａに含まれるトップページ内ＵＲＬ６０６は、図１５に示す例とする。
ここで、グレーＵＲＬ特定部１０５の処理における説明と同様に、ブラウザアクセスＵＲＬ情報３０７ｂ〜３０７ｄに対応するトップページ内ＵＲＬ６０６は無いものと想定する。 (Second example of processing of the black URL specifying unit 108)
Next, a second example of processing of the black URL specifying unit 108 will be described with reference to FIG.
The black URL specifying unit 108 inputs gray URL information 305 and browser access URL information 307 (a set of browser access URL information 307) (S2601 in FIG. 27).
Here, the gray URL information 305 is information processed in the first example of the gray URL specifying unit 105 described above, and is an example shown in FIG. That is, the URL indicated by the gray URL information 305 is obtained by excluding the URL indicated by the white URL 302 from the URL indicated by the proxy log entry 301.
The browser access URL information 307 is an example shown in FIG. 16, and the top page URL 606 included in the browser access URL information 307a is an example shown in FIG.
Here, it is assumed that the top page URL 606 corresponding to the browser access URL information 307b to 307d does not exist as in the description of the processing of the gray URL specifying unit 105.

そして、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７のＵＲＬが含まれるエントリを削除する（図２７のＳ２６０２）。
ここで、ブラックＵＲＬ特定部１０８の処理の第１の例と同様に、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７の内、トップページＵＲＬ情報３０６の部分に示されるＵＲＬが含まれるエントリを削除する。そして、更に、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ特定部１０８の処理の第２の例の場合、グレーＵＲＬ情報３０５のエントリから、ブラウザアクセスＵＲＬ情報３０７の内、トップページ内ＵＲＬ６０６の部分に示されるＵＲＬが含まれるエントリも削除する。 Then, the black URL specifying unit 108 deletes the entry including the URL of the browser access URL information 307 from the entry of the gray URL information 305 (S2602 in FIG. 27).
Here, as in the first example of the processing of the black URL specifying unit 108, the black URL specifying unit 108 changes the entry from the gray URL information 305 to the top page URL information 306 portion of the browser access URL information 307. Delete the entry containing the indicated URL. Further, in the case of the second example of the processing of the black URL specifying unit 108, the black URL specifying unit 108 indicates from the entry of the gray URL information 305 to the URL 606 in the top page of the browser access URL information 307. The entry including the URL to be deleted is also deleted.

例えば、図２４のＤ２５０１の行に示すグレーＵＲＬ情報３０５のエントリは、図１６のブラウザアクセスＵＲＬ情報３０７ｂのトップページＵＲＬ情報３０６部分に示されるＵＲＬが含まれる。よって、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５から図２４のＤ２５０１の行に示すグレーＵＲＬ情報３０５のエントリを削除する。
更に、図２４のＤ２５０４の行に示すグレーＵＲＬ情報３０５のエントリは、図１５のＤ６０６１の行に示されるトップページ内ＵＲＬ６０６のＵＲＬが含まれる。よって、ブラックＵＲＬ特定部１０８は、グレーＵＲＬ情報３０５から図２４のＤ２５０４の行に示すグレーＵＲＬ情報３０５のエントリを削除する。 For example, the entry of the gray URL information 305 shown in the line D2501 in FIG. 24 includes the URL shown in the top page URL information 306 portion of the browser access URL information 307b in FIG. Therefore, the black URL specifying unit 108 deletes the entry of the gray URL information 305 shown in the line D2501 in FIG. 24 from the gray URL information 305.
Further, the entry of the gray URL information 305 shown in the line D2504 in FIG. 24 includes the URL of the URL 606 in the top page shown in the line D6061 in FIG. Therefore, the black URL specifying unit 108 deletes the entry of the gray URL information 305 shown in the line D2504 in FIG. 24 from the gray URL information 305.

そして、ブラックＵＲＬ特定部１０８は、編集後のグレーＵＲＬ情報３０５をブラックＵＲＬ情報２５０とし、ブラックＵＲＬ情報２５０からブラックＵＲＬ２０８を抽出する（図２７のＳ２６０３）。
結果的に、ブラックＵＲＬ特定部１０８の処理の第１の例と、第２の例とによるブラックＵＲＬ２０８は、図２８に示すように同内容になる。 Then, the black URL specifying unit 108 uses the edited gray URL information 305 as the black URL information 250, and extracts the black URL 208 from the black URL information 250 (S2603 in FIG. 27).
As a result, the black URL 208 according to the first example and the second example of processing of the black URL specifying unit 108 has the same contents as shown in FIG.

なお、ブラウザアクセスＵＲＬ情報３０７のトップページＵＲＬ情報３０６部分に示されるＵＲＬは、前述の通り、ユーザ指示情報に示されるＵＲＬである。そして、ブラウザアクセスＵＲＬ情報３０７のトップページ内ＵＲＬ６０６に示されるＵＲＬは、ユーザ指示情報に示されるＵＲＬのウェブページにリンクなどで関連付けされているＵＲＬが示される関連アドレス情報である。
すなわち、ローカルプロキシログ取り込み部１０４は、ユーザ指示情報に示されるアドレスのウェブページに関連付けされているアドレスが示される関連アドレス情報を入力している。
そして、前述のように、グレーＵＲＬ情報３０５は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）に示されていないＵＲＬを示す情報である。 Note that the URL indicated in the top page URL information 306 portion of the browser access URL information 307 is the URL indicated in the user instruction information as described above. The URL indicated in the URL 606 in the top page of the browser access URL information 307 is related address information indicating a URL associated with the web page of the URL indicated in the user instruction information by a link or the like.
That is, the local proxy log capturing unit 104 inputs related address information indicating an address associated with the web page at the address indicated in the user instruction information.
As described above, the gray URL information 305 is information indicating URLs that are not indicated in the URL white list 202 (legitimate address information) among the URLs indicated in the set of proxy log entries 301 (proxy log 201). is there.

そして、ブラックＵＲＬ２０８は、グレーＵＲＬ情報３０５に示されるＵＲＬの内、トップページＵＲＬ情報３０６（ユーザ指示情報）とトップページ内ＵＲＬ６０６とに示されないＵＲＬである。すなわち、ブラックＵＲＬ２０８は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２（正当アドレス情報）とトップページＵＲＬ情報３０６（ユーザ指示情報）とトップページ内ＵＲＬ６０６（関連アドレス情報）とのいずれにも示されていないＵＲＬである。
換言すると、ブラックＵＲＬ特定部１０８は、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるＵＲＬ（アドレス）の内、ＵＲＬホワイトリスト２０２（正当アドレス情報）とトップページＵＲＬ情報３０６（ユーザ指示情報）とトップページ内ＵＲＬ６０６（関連アドレス情報）とのいずれにも示されていないＵＲＬ（アドレス）を抽出する。 The black URL 208 is a URL that is not indicated by the top page URL information 306 (user instruction information) and the top page URL 606 among the URLs indicated by the gray URL information 305. That is, the black URL 208 is the URL white list 202 (legitimate address information), the top page URL information 306 (user instruction information), and the top page URL 606 (of the URL shown in the set of proxy log entries 301 (proxy log 201)). The URL is not shown in any of the related address information.
In other words, the black URL specifying unit 108 includes the URL white list 202 (legitimate address information) and the top page URL information 306 (user instruction information) among the URLs (addresses) indicated in the set of proxy log entries 301 (proxy log 201). ) And the URL 606 (related address information) in the top page are extracted.

（ブラックＵＲＬ特定部１０８の処理の第３の例）
図２９は、ローカルプロキシログ２０４を使用しない場合のブラウザアクセスＵＲＬ情報３０７の例を示す図である。 (Third example of processing of the black URL specifying unit 108)
FIG. 29 is a diagram illustrating an example of the browser access URL information 307 when the local proxy log 204 is not used.

図２９を用いて、ブラックＵＲＬ特定部１０８の処理の第３の例を説明する。
ブラックＵＲＬ特定部１０８の処理の第１の例は、ローカルプロキシログ２０４を使用したが、ブラックＵＲＬ特定部１０８の処理の第２の例では、ローカルプロキシログ２０４を使用しない場合を説明する。
この場合、ローカルプロキシログ取り込み部１０４、トップページＵＲＬ特定部１０６、ブラウザアクセスＵＲＬ特定部１０７は、使用されない。
そして、ブラックＵＲＬ特定部１０８は、端末操作ログ取り込み部１０３が出力するＷｅｂアクセスＵＲＬ情報３０３をブラウザアクセスＵＲＬ情報３０７として入力する。 A third example of the processing of the black URL specifying unit 108 will be described with reference to FIG.
In the first example of the process of the black URL specifying unit 108, the local proxy log 204 is used. However, in the second example of the process of the black URL specifying unit 108, a case where the local proxy log 204 is not used will be described.
In this case, the local proxy log capturing unit 104, the top page URL specifying unit 106, and the browser access URL specifying unit 107 are not used.
Then, the black URL specifying unit 108 inputs the Web access URL information 303 output from the terminal operation log capturing unit 103 as browser access URL information 307.

ここで、ローカルプロキシログ２０４を使用しない場合のブラウザアクセスＵＲＬ情報３０７の例を図２９に示す。ここで、メソッド、ステータス、通信サイズ、トップページ内ＵＲＬが「ＮＵＬＬ」となっているのは、ローカルプロキシログ２０４を使用しない為、情報が無いことを示している。   Here, FIG. 29 shows an example of the browser access URL information 307 when the local proxy log 204 is not used. Here, the method, status, communication size, and URL in the top page being “NULL” indicate that there is no information because the local proxy log 204 is not used.

その他の処理は、ブラックＵＲＬ特定部１０８の処理の第１の例と同じである為、説明を省略する。
なお、ローカルプロキシログ２０４を使用しないので、トップページ内ＵＲＬ６０６の情報が無く、グレーＵＲＬ特定部１０５における処理は、前述の第１の例に示す処理となる。 The other processes are the same as the first example of the process of the black URL specifying unit 108, and thus the description thereof is omitted.
Since the local proxy log 204 is not used, there is no information on the URL 606 in the top page, and the processing in the gray URL specifying unit 105 is the processing shown in the first example.

（ブラックＵＲＬ特定部１０８の処理の第４の例）
ブラックＵＲＬ特定部１０８の処理の第４の例を説明する。
ブラックＵＲＬ特定部１０８の処理の第４の例は、端末操作ログ２０３とローカルプロキシログ２０４とを使用しない場合を説明する。
この場合、端末操作ログ取り込み部１０３、ローカルプロキシログ取り込み部１０４、トップページＵＲＬ特定部１０６、ブラウザアクセスＵＲＬ特定部１０７は使用されない。従って、ブラウザアクセスＵＲＬ情報３０７も生成されない。 (Fourth example of processing of the black URL specifying unit 108)
A fourth example of the process of the black URL specifying unit 108 will be described.
A fourth example of the processing of the black URL specifying unit 108 will be described in the case where the terminal operation log 203 and the local proxy log 204 are not used.
In this case, the terminal operation log capturing unit 103, the local proxy log capturing unit 104, the top page URL specifying unit 106, and the browser access URL specifying unit 107 are not used. Accordingly, the browser access URL information 307 is not generated.

そして、ローカルプロキシログ２０４を使用しないので、トップページ内ＵＲＬ６０６の情報が無く、グレーＵＲＬ特定部１０５における処理は、前述の第１の例に示す処理となる。
ブラックＵＲＬ特定部１０８は、グレーＵＲＬ特定部１０５が前述の第１の例の処理により出力したグレーＵＲＬ情報３０５を入力し、入力したグレーＵＲＬ情報３０５をブラックＵＲＬ情報２５０とし、ブラックＵＲＬ２０８を抽出する。 Since the local proxy log 204 is not used, there is no information on the URL 606 in the top page, and the processing in the gray URL specifying unit 105 is the processing shown in the first example.
The black URL specifying unit 108 inputs the gray URL information 305 output by the gray URL specifying unit 105 by the processing of the first example described above, and uses the input gray URL information 305 as the black URL information 250 to extract the black URL 208. .

（ブラウザアクセスＵＲＬ情報３０７の保存処理）
ブラウザアクセスＵＲＬ情報３０７の保存処理を第１の例と第２の例とに分けて説明する。 (Storage processing of browser access URL information 307)
The storage process of the browser access URL information 307 will be described separately for the first example and the second example.

（ブラウザアクセスＵＲＬ情報３０７の保存処理の第１の例）
図３０は、ブラウザアクセスＵＲＬ情報３０７保存処理の第１の例を示すフローチャートである。 (First example of saving processing of browser access URL information 307)
FIG. 30 is a flowchart illustrating a first example of the browser access URL information 307 storage process.

情報漏洩検知システム１００の記憶装置（例えば磁気ディスク装置）は、ブラウザアクセスＵＲＬ情報３０７を記憶する。そして、情報漏洩検知システム１００の記憶装置は、情報漏洩検知システム１００が動作する毎に、既に記憶しているブラウザアクセスＵＲＬ情報３０７に新しいブラウザアクセスＵＲＬ情報３０７を追加して記憶する。従って、情報漏洩検知システム１００を動作させる度に、ブラウザアクセスＵＲＬ情報３０７は増える。
図３０を用いて、ブラウザアクセスＵＲＬ情報３０７の保存処理の第１の例を説明する。 A storage device (for example, a magnetic disk device) of the information leakage detection system 100 stores browser access URL information 307. Each time the information leakage detection system 100 operates, the storage device of the information leakage detection system 100 adds and stores new browser access URL information 307 to the browser access URL information 307 already stored. Accordingly, the browser access URL information 307 increases each time the information leakage detection system 100 is operated.
A first example of the processing for saving the browser access URL information 307 will be described with reference to FIG.

まず、ブラウザアクセスＵＲＬ特定部１０７は、図１２と図１４とに示す処理で、ブラウザアクセスＵＲＬ情報３０７を生成した際に、記憶装置に記憶されているブラウザアクセスＵＲＬ情報３０７（記憶装置に記憶されているブラウザアクセスＵＲＬ情報３０７を「保存ブラウザアクセスＵＲＬ情報」と称する）が有るか否かを判定する（図３０のＳ９０１）。
保存ブラウザアクセスＵＲＬ情報が有れば（図３０のＳ９０１の「ＹＥＳ」）、ブラウザアクセスＵＲＬ特定部１０７は、記憶装置から保存ブラウザアクセスＵＲＬ情報を入力する（図３０のＳ９０２）。
次に、ブラウザアクセスＵＲＬ特定部１０７は、入力した保存ブラウザアクセスＵＲＬ情報に生成したブラウザアクセスＵＲＬ情報３０７を追加する（図３０のＳ９０３）。
そして、ブラウザアクセスＵＲＬ特定部１０７は、編集（保存ブラウザアクセスＵＲＬ情報に生成したブラウザアクセスＵＲＬ情報３０７を追加）した情報をブラウザアクセスＵＲＬ情報３０７として出力する（図３０のＳ９０４）。更に、ブラウザアクセスＵＲＬ特定部１０７は、編集した情報を保存ブラウザアクセスＵＲＬ情報として記憶装置に入力し、記憶装置は新たな保存ブラウザアクセスＵＲＬ情報を記憶する（図３０のＳ９０６）。 First, when the browser access URL specifying unit 107 generates the browser access URL information 307 by the processing shown in FIGS. 12 and 14, the browser access URL information 307 (stored in the storage device) is stored. The browser access URL information 307 is referred to as “stored browser access URL information”) (S901 in FIG. 30).
If there is stored browser access URL information (“YES” in S901 in FIG. 30), the browser access URL specifying unit 107 inputs the stored browser access URL information from the storage device (S902 in FIG. 30).
Next, the browser access URL specifying unit 107 adds the generated browser access URL information 307 to the input stored browser access URL information (S903 in FIG. 30).
Then, the browser access URL specifying unit 107 outputs the edited (added generated browser access URL information 307 to the stored browser access URL information) as browser access URL information 307 (S904 in FIG. 30). Further, the browser access URL specifying unit 107 inputs the edited information to the storage device as saved browser access URL information, and the storage device stores the new saved browser access URL information (S906 in FIG. 30).

１回でもブラウザアクセスＵＲＬ特定部１０７によりブラウザアクセスＵＲＬ情報３０７が生成された場合は、記憶装置に保存ブラウザアクセスＵＲＬ情報が存在する。しかし、例えば情報漏洩検知システム１００の初回動作時など、記憶装置に保存ブラウザアクセスＵＲＬ情報が存在しない場合（図３０のＳ９０１の「ＮＯ」）、ブラウザアクセスＵＲＬ特定部１０７は生成したブラウザアクセスＵＲＬ情報３０７をそのまま出力する（図３０のＳ９０５）。そして、記憶装置は、ブラウザアクセスＵＲＬ特定部１０７により生成されたブラウザアクセスＵＲＬ情報３０７を保存ブラウザアクセスＵＲＬ情報として記憶する（図３０のＳ９０６）。   When the browser access URL information 307 is generated by the browser access URL specifying unit 107 even once, the stored browser access URL information exists in the storage device. However, when the stored browser access URL information does not exist in the storage device, for example, when the information leakage detection system 100 is operated for the first time (“NO” in S901 in FIG. 30), the browser access URL specifying unit 107 generates the generated browser access URL information. 307 is output as it is (S905 in FIG. 30). Then, the storage device stores the browser access URL information 307 generated by the browser access URL specifying unit 107 as saved browser access URL information (S906 in FIG. 30).

あるいは、記憶装置に記憶される保存ブラウザアクセスＵＲＬ情報は、情報漏洩検知システム１００が停止（電源オフ）される毎に消去されても良い。   Alternatively, the saved browser access URL information stored in the storage device may be deleted every time the information leakage detection system 100 is stopped (powered off).

（ブラウザアクセスＵＲＬ情報３０７の保存処理の第２の例）
図３１は、ブラウザアクセスＵＲＬ情報３０７保存処理の第２の例を示すフローチャートである。 (Second example of storage processing of browser access URL information 307)
FIG. 31 is a flowchart showing a second example of the browser access URL information 307 storage process.

保存ブラウザアクセスＵＲＬ情報は、一定の期間（例えば１日）が経過した場合に消去され、該当する情報が消去されても良い。図３１を用いて、ブラウザアクセスＵＲＬ情報３０７の保存処理の第２の例を説明する。   The stored browser access URL information may be deleted when a certain period (for example, one day) elapses, and the corresponding information may be deleted. A second example of the processing for saving the browser access URL information 307 will be described with reference to FIG.

まず、ブラウザアクセスＵＲＬ特定部１０７は、図１２と図１４とに示す処理で、ブラウザアクセスＵＲＬ情報３０７を生成した際に、保存ブラウザアクセスＵＲＬ情報が有るか否かを判定する（図３１のＳ１００１）。
保存ブラウザアクセスＵＲＬ情報が無ければ（図３１のＳ１００１の「ＮＯ」）、ブラウザアクセスＵＲＬ特定部１０７は、生成したブラウザアクセスＵＲＬ情報３０７を出力する（図３１のＳ１００８）。
更に、ブラウザアクセスＵＲＬ特定部１０７は、生成したブラウザアクセスＵＲＬ情報３０７をエントリ毎に（各行毎に）タイムスタンプと対応付けて、保存ブラウザアクセスＵＲＬ情報として記憶装置に入力する。そして、記憶装置はタイムスタンプに対応付けられた各エントリ（各行）から成る保存ブラウザアクセスＵＲＬ情報を記憶する（図３１のＳ１００９）。 First, the browser access URL specifying unit 107 determines whether or not there is stored browser access URL information when the browser access URL information 307 is generated by the processing shown in FIGS. 12 and 14 (S1001 in FIG. 31). ).
If there is no saved browser access URL information (“NO” in S1001 in FIG. 31), the browser access URL specifying unit 107 outputs the generated browser access URL information 307 (S1008 in FIG. 31).
Further, the browser access URL specifying unit 107 associates the generated browser access URL information 307 with a time stamp for each entry (for each row) and inputs it to the storage device as saved browser access URL information. Then, the storage device stores stored browser access URL information including each entry (each row) associated with the time stamp (S1009 in FIG. 31).

一方、保存ブラウザアクセスＵＲＬ情報が有れば（図３１のＳ１００１の「ＹＥＳ」）、ブラウザアクセスＵＲＬ特定部１０７は、保存ブラウザアクセスＵＲＬ情報を入力する（図３１のＳ１００２）。
次に、ブラウザアクセスＵＲＬ特定部１０７は、入力した保存ブラウザアクセスＵＲＬ情報に生成したブラウザアクセスＵＲＬ情報３０７をエントリ毎に（各行毎に）タイムスタンプと対応付けて、追加する（図３１のＳ１００３）。この時、ブラウザアクセスＵＲＬ特定部１０７は、入力した保存ブラウザアクセスＵＲＬ情報のエントリ毎に（各行毎に）対応付けられているタイムスタンプは変更しない。
そして、ブラウザアクセスＵＲＬ特定部１０７は、編集した情報をブラウザアクセスＵＲＬ情報３０７として出力する（図３１のＳ１００４）。更に、ブラウザアクセスＵＲＬ特定部１０７は、編集した情報を保存ブラウザアクセスＵＲＬ情報として記憶装置に入力し、記憶装置は新たな保存ブラウザアクセスＵＲＬ情報を記憶する（図３１のＳ１００５）。 On the other hand, if there is stored browser access URL information (“YES” in S1001 in FIG. 31), the browser access URL specifying unit 107 inputs the stored browser access URL information (S1002 in FIG. 31).
Next, the browser access URL specifying unit 107 adds the generated browser access URL information 307 to the input stored browser access URL information in association with a time stamp for each entry (for each row) (S1003 in FIG. 31). . At this time, the browser access URL specifying unit 107 does not change the time stamp associated with each entry (for each row) of the input stored browser access URL information.
Then, the browser access URL specifying unit 107 outputs the edited information as browser access URL information 307 (S1004 in FIG. 31). Further, the browser access URL specifying unit 107 inputs the edited information as storage browser access URL information to the storage device, and the storage device stores new storage browser access URL information (S1005 in FIG. 31).

そして、ブラウザアクセスＵＲＬ特定部１０７は、記憶装置に保存ブラウザアクセスＵＲＬ情報が存在し、予め設定された保存期間を過ぎたタイムスタンプが対応付けられているエントリが保存ブラウザアクセスＵＲＬ情報に含まれているか否かを判定する（図３１のＳ１００６）。この予め設定された保存期間も例えば、情報漏洩検知システム１００の記憶装置に記憶されている。
例えば、保存期間が「１日」と設定されている場合、ブラウザアクセスＵＲＬ特定部１０７は、保存ブラウザアクセスＵＲＬ情報のエントリの内、対応付けられているタイムスタンプに２４時間を足した日時が現日時を超えているエントリが含まれているか否かを判定する。
該当のエントリが含まれていれば（図３１のＳ１００６の「ＹＥＳ」）、ブラウザアクセスＵＲＬ特定部１０７は、保存ブラウザアクセスＵＲＬ情報から該当のエントリと該当のエントリに対応付けられたタイムスタンプとを消去する（図３１のＳ１００７）。そして、記憶装置は、ブラウザアクセスＵＲＬ特定部１０７が編集した情報を新たな保存ブラウザアクセスＵＲＬ情報として記憶する。 The browser access URL specifying unit 107 includes stored browser access URL information in the storage device, and an entry associated with a time stamp that has passed a preset storage period is included in the stored browser access URL information. It is determined whether or not (S1006 in FIG. 31). The preset retention period is also stored in the storage device of the information leakage detection system 100, for example.
For example, when the storage period is set to “1 day”, the browser access URL specifying unit 107 displays the date and time when 24 hours are added to the time stamp associated with the stored browser access URL information entry. It is determined whether or not an entry exceeding the date / time is included.
If the corresponding entry is included (“YES” in S1006 in FIG. 31), the browser access URL specifying unit 107 displays the corresponding entry and the time stamp associated with the corresponding entry from the stored browser access URL information. Erasing is performed (S1007 in FIG. 31). Then, the storage device stores the information edited by the browser access URL specifying unit 107 as new saved browser access URL information.

（実施の形態１の効果）
図３２は、従来の情報漏洩検知システム１００の課題の例を示す図である。 (Effect of Embodiment 1)
FIG. 32 is a diagram illustrating an example of a problem of the conventional information leakage detection system 100.

例えば、マルウェアが感染した端末装置５００は、ネットワーク１５０（例えばインターネット）上のＣ＆Ｃ（Ｃｏｍａｎｄ＆Ｃｏｎｔｒｏｌ）サーバとＨＴＴＰ通信を行う。そこで、従来、標的型攻撃へ対策する方法として、この点に着目し、ＨＴＴＰ通信を検知する方法が考えられている。そして、例えば企業などの組織におけるインターネットとの通信はＨＴＴＰが殆どであり、全てのＨＴＴＰ（またはＨＴＴＰＳ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ ｏｖｅｒ Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）通信は、プロキシサーバ装置６００を経由する。よって、ＨＴＴＰの通信を記録するプロキシログ２０１を分析することで特定する方法がある。
しかし、組織においてプロキシログ２０１は大量である。そして、一方Ｃ＆Ｃサーバとの通信はわずかで、その挙動はユーザからは認識されず、目立たないためプロキシログ２０１からＣ＆Ｃサーバとの通信を発見することは困難である。すなわち、わずかなマルウェアの通信を大量のプロキシログ２０１から発見するのは困難という課題がある（図３２のＣ１０１）。
また、プロキシログを見ただけでは、ユーザが意図してアクセスしたのか、何かのプログラムがユーザの意図とは関係なくアクセスしたのか判断できないという課題がある（図３２のＣ１０２）。 For example, the terminal device 500 infected with malware performs HTTP communication with a C & C (Command & Control) server on the network 150 (for example, the Internet). Therefore, conventionally, as a method for countermeasures against the target-type attack, a method for detecting HTTP communication has been considered focusing on this point. For example, communication with the Internet in an organization such as a company is mostly HTTP, and all HTTP (or HTTPS (HyperText Transfer Protocol over Secure Socket Layer) communication passes through the proxy server 600. Therefore, HTTP communication is performed. There is a method of specifying by analyzing the proxy log 201 for recording
However, the proxy log 201 is large in organization. On the other hand, there is little communication with the C & C server, and its behavior is not recognized by the user and is not conspicuous, so it is difficult to find communication with the C & C server from the proxy log 201. That is, there is a problem that it is difficult to find a small amount of malware communication from a large amount of proxy logs 201 (C101 in FIG. 32).
Further, there is a problem that it is not possible to determine whether the user has intentionally accessed or whether any program has been accessed regardless of the user's intention simply by looking at the proxy log (C102 in FIG. 32).

また、従来、ＵＲＬフィルタによりマルウェアの通信を遮断する製品が複数存在する。一般的にＵＲＬフィルタではアクセスを禁止すべきＵＲＬのブラックリストを設けるか、アクセスを許可するＵＲＬのホワイトリストを作成しアクセスを制御する。しかし、通信を許可すべきではない怪しいＷｅｂサイトは次々に現れるため、ブラックリストを完全に作ることは困難である。従って、ＵＲＬフィルタの設定に完全なものはなく、管理者のスキルに依存して設定される。ＵＲＬフィルタの設定によってはＵＲＬアクセスを禁止すべきマルウェアの通信を特定できない（マルウェアのアクセスＵＲＬが漏れる）という課題がある（図３２のＣ１０３）。   Conventionally, there are a plurality of products that block malware communication using a URL filter. In general, in the URL filter, a black list of URLs that should be prohibited from access is provided, or a white list of URLs that permit access is created to control access. However, since suspicious websites that should not be allowed to appear appear one after another, it is difficult to create a blacklist completely. Accordingly, there is no complete URL filter setting, and it is set depending on the skill of the administrator. Depending on the setting of the URL filter, there is a problem that communication of malware that should be prohibited from URL access cannot be specified (the access URL of the malware leaks) (C103 in FIG. 32).

一方、本実施の形態における情報漏洩検知システム１００は、プロキシログ２０１、ＵＲＬホワイトリスト２０２、端末操作ログ２０３、ローカルプロキシログ２０４を用いて、ユーザが意図しないマルウェアによる通信と思われるＨＴＴＰ通信を特定する。   On the other hand, the information leakage detection system 100 according to the present embodiment uses the proxy log 201, the URL white list 202, the terminal operation log 203, and the local proxy log 204 to identify HTTP communication that seems to be communication by malware that is not intended by the user. To do.

すなわち、本実施の形態における情報漏洩検知システム１００は、調査対象の端末装置５００における端末操作ログ２０３とローカルプロキシログ２０４とからユーザがブラウザでアクセスしたＵＲＬが示されるブラウザアクセスＵＲＬ情報３０７を特定する。
ここで、本実施の形態の情報漏洩検知システム１００は、端末操作ログ２０３からトップページＵＲＬ情報３０６を特定し、ローカルプロキシログ２０４からトップページ内ＵＲＬ６０６（トップページＵＲＬのコンテンツが自動で取得する、あるいはリンクしているＵＲＬ）を特定する。そして、本実施の形態の情報漏洩検知システム１００は、トップページＵＲＬ情報３０６とトップページ内ＵＲＬ６０６と合わせてブラウザアクセスＵＲＬ情報３０７とする。
そして、本実施の形態の情報漏洩検知システム１００は、組織に共通のプロキシサーバ装置６００におけるプロキシログ２０１の内、調査対象の端末装置５００に関わるＵＲＬの記録（端末装置５００からのＷｅｂアクセスのＵＲＬ）から、ＵＲＬホワイトリスト２０２で許可されたＵＲＬを除いたグレーＵＲＬ情報３０５を特定する。さらに、本実施の形態の情報漏洩検知システム１００は、グレーＵＲＬ情報３０５からブラウザアクセスＵＲＬ情報３０７のＵＲＬを除くことで、ブラックＵＲＬ２０８を特定する。 That is, the information leakage detection system 100 according to the present embodiment specifies browser access URL information 307 indicating the URL accessed by the user with the browser from the terminal operation log 203 and the local proxy log 204 in the terminal device 500 to be investigated. .
Here, the information leakage detection system 100 according to the present embodiment identifies the top page URL information 306 from the terminal operation log 203, and the top page URL 606 (the content of the top page URL is automatically acquired from the local proxy log 204. Alternatively, a linked URL) is specified. The information leakage detection system 100 according to the present embodiment uses the browser access URL information 307 together with the top page URL information 306 and the top page URL 606.
The information leakage detection system 100 according to the present embodiment records the URL related to the terminal device 500 to be investigated (the URL of the Web access from the terminal device 500) in the proxy log 201 in the proxy server device 600 common to the organization. ) Specifies the gray URL information 305 excluding the URL permitted by the URL white list 202. Furthermore, the information leakage detection system 100 of this embodiment specifies the black URL 208 by removing the URL of the browser access URL information 307 from the gray URL information 305.

つまり、本実施の形態の情報漏洩検知システム１００は、例えば企業などの組織に許可されたＵＲＬでなく、ユーザがブラウザからアクセスしたＵＲＬでもないブラックＵＲＬ２０８を抽出することが可能である。このブラックＵＲＬ２０８は、端末装置５００からのＷｅｂ通信においてユーザの意図しないアクセスのアクセス先である。従って、本実施の形態の情報漏洩検知システム１００は、例えば情報漏洩等マルウェアが行う不正なＷｅｂ通信によりアクセスされたＵＲＬを検知することが可能である。
換言すると、情報漏洩検知システム１００は、大量のプロキシログ２０１の情報から、例えば管理者のスキルに依存することなく、ユーザの意図と関係ないアクセスのアクセス先のＵＲＬを検知することが可能である。 That is, the information leakage detection system 100 according to the present embodiment can extract the black URL 208 that is not a URL permitted for an organization such as a company, or a URL accessed by a user from a browser. The black URL 208 is an access destination for access unintended by the user in Web communication from the terminal device 500. Therefore, the information leakage detection system 100 according to the present embodiment can detect a URL accessed by unauthorized web communication performed by malware such as information leakage.
In other words, the information leakage detection system 100 can detect an access destination URL that is not related to the user's intention, for example, without depending on the administrator's skill, from a large amount of information in the proxy log 201. .

また、本実施の形態のブラックＵＲＬ特定部１０８の処理の第３の例に示す方法では、環境によってはローカルプロキシのアプリケーションを端末装置５００にインストール出来ない場合（ローカルプロキシを利用しない場合）でも、ブラックＵＲＬ２０８を特定することが可能である。
更に、本実施の形態のブラックＵＲＬ特定部１０８の処理の第４の例に示す方法では、環境によってはローカルプロキシと端末操作記録アプリケーションをインストールできない場合（ローカルプロキシと端末操作記録アプリケーションとを利用しない場合）でも、ブラックＵＲＬ２０８を特定することが可能である。 Further, in the method shown in the third example of the processing of the black URL specifying unit 108 of the present embodiment, even when the local proxy application cannot be installed in the terminal device 500 depending on the environment (when the local proxy is not used), The black URL 208 can be specified.
Furthermore, in the method shown in the fourth example of the processing of the black URL specifying unit 108 of the present embodiment, the local proxy and the terminal operation recording application cannot be installed depending on the environment (the local proxy and the terminal operation recording application are not used). In this case, the black URL 208 can be specified.

実施の形態２．
（実施の形態２における情報漏洩検知システム１００の概要）
実施の形態２の情報漏洩検知システム１００は、プロキシログエントリ３０１に示されるＵＲＬの内、ローカルプロキシログ２０４に記録の無いＵＲＬで、かつ、ホワイトＵＲＬ３０２でもないＵＲＬをブラックＵＲＬ２０８として抽出する。
すなわち、実施の形態２の情報漏洩検知システム１００は、ローカルプロキシを経由せずにＷｅｂ通信されたアクセス先のＵＲＬを抽出する。
なお、実施の形態２の情報漏洩検知システム１００は、端末操作ログ２０３を使用しない。従って、端末操作ログ取り込み部１０３は使用されない。
ブラウザアクセスＵＲＬ特定部１０７は、ローカルプロキシログエントリ３０４のみを入力し、後述の処理によりブラウザアクセスＵＲＬ情報３０７を出力する。 Embodiment 2. FIG.
(Outline of Information Leakage Detection System 100 in Embodiment 2)
The information leakage detection system 100 according to the second embodiment extracts a URL that is not recorded in the local proxy log 204 and is not a white URL 302 among the URLs indicated in the proxy log entry 301 as a black URL 208.
That is, the information leakage detection system 100 according to the second embodiment extracts the URL of the access destination that is communicated with the Web without going through the local proxy.
Note that the information leakage detection system 100 according to the second embodiment does not use the terminal operation log 203. Therefore, the terminal operation log capturing unit 103 is not used.
The browser access URL specifying unit 107 inputs only the local proxy log entry 304, and outputs browser access URL information 307 by processing described later.

なお、実施の形態２の情報漏洩検知システム１００は、端末操作ログ取り込み部１０３を使用しない以外は、図２に示す実施の形態１の情報漏洩検知システム１００と同じ構成である。従って、実施の形態１と同じ構成要素及び、実施の形態１と同じ処理内容については説明を省略する。   The information leakage detection system 100 according to the second embodiment has the same configuration as the information leakage detection system 100 according to the first embodiment shown in FIG. 2 except that the terminal operation log capturing unit 103 is not used. Therefore, the description of the same components as in the first embodiment and the same processing contents as in the first embodiment will be omitted.

（トップページＵＲＬ特定部１０６の処理）
図３３は、トップページＵＲＬ特定部１０６の処理の例を示すフローチャートである。
図３３を用いて、実施の形態２におけるトップページＵＲＬ特定部１０６の処理を説明する。 (Processing of the top page URL specifying unit 106)
FIG. 33 is a flowchart illustrating an example of processing of the top page URL specifying unit 106.
The process of the top page URL specifying unit 106 in the second embodiment will be described with reference to FIG.

まず、トップページＵＲＬ特定部１０６は、実施の形態１と同様に、ローカルプロキシログエントリ３０４を全て入力したか否かを判定する（図３３のＳ３０１）。
トップページＵＲＬ特定部１０６は、実施の形態１と同様に、全てのローカルプロキシログエントリ３０４を入力していなければ（図３３のＳ３０１の「ＮＯ」）、入力していないローカルプロキシログエントリ３０４を例えばアクセス日時の時系列順に入力する（図３３のＳ３０２）。
ここで、例えば、トップページＵＲＬ特定部１０６は、図９のローカルプロキシログエントリ３０４ａ「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、ＧＥＴ、２００、１０００、コンテンツ実体」を入力したとする。 First, the top page URL specifying unit 106 determines whether or not all the local proxy log entries 304 have been input as in the first embodiment (S301 in FIG. 33).
As in the first embodiment, the top page URL specifying unit 106 selects the local proxy log entries 304 that have not been input unless all the local proxy log entries 304 have been input (“NO” in S301 in FIG. 33). For example, the access date and time are input in chronological order (S302 in FIG. 33).
Here, for example, the top page URL specifying unit 106 determines that the local proxy log entry 304a “2011/06/23 10:00:00, 192.168.1.2, http: //◯◯◯.abc in FIG. “Sample.ΔΔΔ /, GET, 200, 1000, content entity” is input.

そして、トップページＵＲＬ特定部１０６は、入力したローカルプロキシログエントリ３０４に含まれるＵＲＬを抽出する（図３３のＳ３０３）。
具体例で示すと、トップページＵＲＬ特定部１０６は、図９のローカルプロキシログエントリ３０４ａに含まれるＵＲＬ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」を抽出する。そして、トップページＵＲＬ特定部１０６は、抽出したＵＲＬをトップページＵＲＬとし、入力したローカルプロキシログエントリ３０４ａから実施の形態１と同様に、図１３に示すトップページＵＲＬ情報３０６ａを生成する。 Then, the top page URL specifying unit 106 extracts the URL included in the input local proxy log entry 304 (S303 in FIG. 33).
As a specific example, the top page URL specifying unit 106 extracts the URL “http: //XXX.abc-sample.ΔΔΔ/” included in the local proxy log entry 304a of FIG. Then, the top page URL specifying unit 106 sets the extracted URL as the top page URL, and generates the top page URL information 306a shown in FIG. 13 from the input local proxy log entry 304a as in the first embodiment.

そして、トップページＵＲＬ情報３０６が生成される毎に、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ特定部１０６が入力したローカルプロキシログエントリ３０４からトップページ内ＵＲＬ６０６を抽出する（図３３のＳ３０４）。そして、ブラウザアクセスＵＲＬ特定部１０７は、トップページＵＲＬ情報３０６とトップページ内ＵＲＬ６０６とからブラウザアクセスＵＲＬ情報３０７を生成する。
図３３のＳ３０４の処理は、実施の形態１の図１２のＳ１０４の処理と同じである為、詳細な説明は省略する。 Each time the top page URL information 306 is generated, the browser access URL specifying unit 107 extracts the top page URL 606 from the local proxy log entry 304 input by the top page URL specifying unit 106 (S304 in FIG. 33). . Then, the browser access URL specifying unit 107 generates browser access URL information 307 from the top page URL information 306 and the top page URL 606.
The process of S304 in FIG. 33 is the same as the process of S104 in FIG. 12 of the first embodiment, and thus detailed description thereof is omitted.

なお、実施の形態１では、端末操作ログ２０３を使用している為、ブラウザの操作によりアクセスされたＵＲＬがブラウザアクセスＵＲＬ情報３０７となる。一方、実施の形態２では、ローカルプロキシ経由でＷｅｂアクセスするブラウザ以外のアプリケーションのＷｅｂ通信情報もブラウザアクセスＵＲＬ情報３０７に含まれる点が実施の形態１とは異なる。   In the first embodiment, since the terminal operation log 203 is used, the URL accessed by the browser operation becomes the browser access URL information 307. On the other hand, the second embodiment is different from the first embodiment in that Web communication information of an application other than the browser that accesses the Web via a local proxy is also included in the browser access URL information 307.

また、実施の形態２では、トップページＵＲＬ特定部１０６がトップページＵＲＬ情報３０６を生成し、ブラウザアクセスＵＲＬ特定部１０７がトップページ内ＵＲＬ６０６を抽出して、ブラウザアクセスＵＲＬ情報３０７を生成すると説明した。
しかし、ブラウザアクセスＵＲＬ特定部１０７がローカルプロキシログエントリ３０４を入力し、前述トップページＵＲＬ特定部１０６と同様の処理を行うことも可能である。すなわち、ブラウザアクセスＵＲＬ特定部１０７がローカルプロキシログエントリ３０４を入力し、トップページＵＲＬ情報３０６を生成し、トップページ内ＵＲＬ６０６を抽出してブラウザアクセスＵＲＬ情報３０７を生成することも可能である。この場合、トップページＵＲＬ特定部１０６は使用されない。 In the second embodiment, the top page URL specifying unit 106 generates the top page URL information 306, and the browser access URL specifying unit 107 extracts the top page URL 606 to generate the browser access URL information 307. .
However, the browser access URL specifying unit 107 can input the local proxy log entry 304 and perform the same processing as that of the top page URL specifying unit 106 described above. That is, the browser access URL specifying unit 107 can input the local proxy log entry 304, generate the top page URL information 306, extract the top page URL 606, and generate the browser access URL information 307. In this case, the top page URL specifying unit 106 is not used.

（実施の形態２の効果）
実施の形態２の情報漏洩検知システム１００は、環境によっては端末操作記録アプリケーションをインストールできない場合（端末操作記録アプリケーションを利用しない場合）でも、ブラックＵＲＬ２０８を特定することが可能である。 (Effect of Embodiment 2)
The information leakage detection system 100 according to the second embodiment can identify the black URL 208 even when the terminal operation recording application cannot be installed depending on the environment (when the terminal operation recording application is not used).

実施の形態３．
（実施の形態３における情報漏洩検知システム１００の概要）
実施の形態３では、端末装置５００に例えばＷｅｂカメラが備えられている（Ｗｅｂカメラの図示は省略する）。そして、期間特定部２００（図２）は、Ｗｅｂカメラの映像からユーザが端末装置５００に座っているか否かを判定して、座っていないと判定される期間を期間２０６として入力する。ここで、Ｗｅｂカメラの映像からユーザが端末装置５００に座っているか否かを判定する技術は、公知技術を使用する。
なお、ユーザが端末装置５００に座っているか否かを判定する技術としては、Ｗｅｂカメラを使用するものに特定されず、例えば、温度の変化を捉えるセンサや、音の変化を捉えるセンサなどを使用するものであっても良い。また、重量センサを備えた椅子を用いることによりユーザが端末装置５００（端末装置５００の椅子）に座っているか否かを判定することも可能である。 Embodiment 3 FIG.
(Outline of Information Leakage Detection System 100 in Embodiment 3)
In the third embodiment, the terminal device 500 is provided with, for example, a web camera (the web camera is not shown). Then, the period specifying unit 200 (FIG. 2) determines whether or not the user is sitting on the terminal device 500 from the video of the Web camera, and inputs the period determined as not sitting as the period 206. Here, a technique for determining whether or not the user is sitting on the terminal device 500 from the video of the Web camera uses a known technique.
Note that the technology for determining whether or not the user is sitting on the terminal device 500 is not limited to the one using a Web camera. For example, a sensor that detects a change in temperature or a sensor that detects a change in sound is used. It may be what you do. It is also possible to determine whether the user is sitting on the terminal device 500 (the chair of the terminal device 500) by using a chair provided with a weight sensor.

すなわち、実施の形態３の情報漏洩検知システム１００は、ユーザが端末装置５００に座っていない期間（ユーザによる端末装置５００やブラウザの操作が無い期間）のグレーＵＲＬ情報３０５とブラックＵＲＬ２０８（ブラックＵＲＬ情報２５０）とを抽出する。この期間は、ユーザが端末装置５００に座っていないため、ユーザによるブラウザ操作がされていない期間として考えられる。そして、この期間に発生したＷｅｂアクセスは、何かしらのプログラムが自動的にＷｅｂサイトへアクセスしたために発生したアクセスであると考えられる。   That is, the information leakage detection system 100 according to the third embodiment is configured such that the gray URL information 305 and the black URL 208 (black URL information) during a period in which the user is not sitting on the terminal device 500 (a period in which the user does not operate the terminal device 500 or the browser). 250). This period can be considered as a period during which the user is not operating the browser because the user is not sitting on the terminal device 500. The Web access that occurred during this period is considered to be access that occurred because some program automatically accessed the Web site.

つまり、実施の形態３の情報漏洩検知システム１００で抽出されるグレーＵＲＬ情報３０５は、実施の形態１で抽出されるグレーＵＲＬ情報３０５よりも絞り込まれることになる。   That is, the gray URL information 305 extracted by the information leakage detection system 100 of the third embodiment is narrower than the gray URL information 305 extracted in the first embodiment.

なお、実施の形態３の情報漏洩検知システム１００は、図２に示す実施の形態１の情報漏洩検知システム１００と同じ構成である。従って、実施の形態１と同じ構成要素及び、実施の形態１と同じ処理内容については説明を省略する。   Note that the information leakage detection system 100 of the third embodiment has the same configuration as the information leakage detection system 100 of the first embodiment shown in FIG. Therefore, the description of the same components as in the first embodiment and the same processing contents as in the first embodiment will be omitted.

（期間特定部２００の処理）
図３４は、期間特定部２００の処理の例を示すフローチャートである。
期間特定部２００は、図３４のフローチャートに基づき、ユーザが端末装置５００に座っていない期間を演算する。 (Processing of period specifying unit 200)
FIG. 34 is a flowchart illustrating an example of processing of the period specifying unit 200.
The period specifying unit 200 calculates a period when the user is not sitting at the terminal device 500 based on the flowchart of FIG.

まず、期間特定部２００は、Ｗｅｂカメラの映像からの映像を入力し、ユーザが座っているか否かを判定する（図３４のＳ１６０１）。すなわち、Ｗｅｂカメラと期間特定部２００とは、ユーザの存在を検知する検知装置である。
ここで、期間特定部２００は、Ｗｅｂカメラからの映像を処理し、ユーザが座っているか否かの判定を行い、その判定結果を出力する映像処理装置（図示は省略）からユーザが座っているか否かの情報を入力しても良い。そして、期間特定部２００は、ユーザが座っているか否かの情報に基づき、ユーザが座っているか否かを判定することも可能である。この場合、Ｗｅｂカメラと映像処理装置と期間特定部２００とがユーザの存在を検知する検知装置である。 First, the period specifying unit 200 inputs video from the video of the Web camera, and determines whether or not the user is sitting (S1601 in FIG. 34). That is, the Web camera and the period specifying unit 200 are detection devices that detect the presence of a user.
Here, the period specifying unit 200 processes video from the Web camera, determines whether the user is sitting, and determines whether the user is sitting from a video processing apparatus (not shown) that outputs the determination result. Information on whether or not may be input. And the period specific | specification part 200 can also determine whether the user is sitting based on the information of whether the user is sitting. In this case, the Web camera, the video processing device, and the period specifying unit 200 are detection devices that detect the presence of the user.

そして、期間特定部２００は、ユーザが座っていない判定とした場合（図３４のＳ１６０１の「ＮＯ」）、現在の日時を「Ｓｔａｒｔ＿ｔｉｍｅ」に設定する（図３４のＳ１６０２）。
そして、期間特定部２００は、予め設定された時間（ｎ分間）待機し（図３４のＳ１６０３）、再度Ｓ１６０１の処理を行う。 When it is determined that the user is not sitting (“NO” in S1601 in FIG. 34), the period specifying unit 200 sets the current date and time to “Start_time” (S1602 in FIG. 34).
Then, the period specifying unit 200 waits for a preset time (n minutes) (S1603 in FIG. 34), and performs the process of S1601 again.

一方、期間特定部２００は、ユーザが座っている判定とした場合（図３４のＳ１６０１の「ＹＥＳ」）、「Ｓｔａｒｔ＿ｔｉｍｅ」が既に設定されているか否かを判定する（図３４のＳ１６０４）。
そして、期間特定部２００は、「Ｓｔａｒｔ＿ｔｉｍｅ」が既に設定されていると判定した場合（図３４のＳ１６０４の「ＹＥＳ」）、現在の日時を「Ｅｎｄ＿ｔｉｍｅ」に設定する（図３４のＳ１６０５）。一方、期間特定部２００は、「Ｓｔａｒｔ＿ｔｉｍｅ」が設定されていないと判定した場合（図３４のＳ１６０４の「ＮＯ」）、Ｓ１６０３の処理を行う。 On the other hand, when it is determined that the user is sitting (“YES” in S1601 in FIG. 34), the period specifying unit 200 determines whether “Start_time” has already been set (S1604 in FIG. 34).
If the period specifying unit 200 determines that “Start_time” has already been set (“YES” in S1604 in FIG. 34), the period specifying unit 200 sets the current date and time to “End_time” (S1605 in FIG. 34). On the other hand, when it is determined that “Start_time” is not set (“NO” in S1604 of FIG. 34), the period specifying unit 200 performs the process of S1603.

そして、期間特定部２００は、設定した「Ｓｔａｒｔ＿ｔｉｍｅ」と「Ｅｎｄ＿ｔｉｍｅ」との期間を期間２０６に設定する。   Then, the period specifying unit 200 sets the period between the set “Start_time” and “End_time” as the period 206.

そして、プロキシログ２０１は、例えば図１７に示すように各エントリがアクセス日時（アクセス時刻）に対応付けられている。
すなわち、プロキシログ取り込み部１０１（図２）は、プロキシサーバ装置６００が行ったアクセス毎にアクセスが行われたアクセス時刻とアクセス先のアドレスとが対応付けられて示されるプロキシログ２０１を入力する。 In the proxy log 201, for example, as shown in FIG. 17, each entry is associated with an access date and time (access time).
In other words, the proxy log capturing unit 101 (FIG. 2) inputs the proxy log 201 in which the access time and the access destination address that are accessed for each access performed by the proxy server apparatus 600 are associated with each other.

そして、プロキシログ取り込み部１０１は、プロキシログ２０１のエントリの内、実施の形態１と同様に、期間２０６に含まれるアクセス時刻が示されるエントリをプロキシログエントリ３０１として抽出する。ここで期間２０６は、前述の通りユーザが端末装置５００の前に存在しないと検知された期間である。
さらに、グレーＵＲＬ特定部１０５は、プロキシログ取り込み部１０１が抽出したプロキシログエントリ３０１を用いてグレーＵＲＬ情報３０５を抽出する。 Then, the proxy log capturing unit 101 extracts the entry indicating the access time included in the period 206 as the proxy log entry 301 from the proxy log 201 as in the first embodiment. Here, the period 206 is a period in which it is detected that the user does not exist in front of the terminal device 500 as described above.
Further, the gray URL specifying unit 105 extracts the gray URL information 305 using the proxy log entry 301 extracted by the proxy log capturing unit 101.

すなわち、グレーＵＲＬ特定部１０５は、プロキシログ取り込み部１０１により入力されたプロキシログ２０１に示されるアドレスの内、ユーザの存在を検知する検知装置（期間特定部２００）が、ユーザが端末装置５００の前に存在しないと検知した期間２０６に含まれるアクセス時刻に対応付けられているアドレスを抽出する。   That is, the gray URL specifying unit 105 is configured such that the detection device (period specifying unit 200) that detects the presence of the user among the addresses indicated in the proxy log 201 input by the proxy log capturing unit 101 is the user of the terminal device 500. An address associated with the access time included in the period 206 detected as not existing before is extracted.

なお、ブラックＵＲＬ特定部１０８は、実施の形態１と同様に実施の形態３におけるグレーＵＲＬ特定部１０５が抽出したグレーＵＲＬ情報３０５をブラックＵＲＬ情報２５０とし、ブラックＵＲＬ２０８を抽出することも可能である。   The black URL specifying unit 108 can also extract the black URL 208 by using the gray URL information 305 extracted by the gray URL specifying unit 105 in the third embodiment as the black URL information 250 in the same manner as in the first embodiment. .

（実施の形態３の効果）
実施の形態３の情報漏洩検知システム１００は、端末操作ログ２０３やローカルプロキシログ２０４を使用せずに、ユーザが端末装置５００に座っていない期間を特定することが可能である。そして、実施の形態３の情報漏洩検知システム１００は、調査対象期間をユーザが端末装置５００に座っていない期間、すなわち、ユーザによりブラウザ操作がされていない期間とすることで、抽出されるグレーＵＲＬ情報３０５を絞り込むことが可能である。
すなわち、実施の形態３の情報漏洩検知システム１００は、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。 (Effect of Embodiment 3)
The information leakage detection system 100 according to Embodiment 3 can specify a period during which the user is not sitting on the terminal device 500 without using the terminal operation log 203 or the local proxy log 204. The information leakage detection system 100 according to the third embodiment extracts the gray URL that is extracted by setting the investigation target period to a period when the user is not sitting on the terminal device 500, that is, a period when the browser operation is not performed by the user. The information 305 can be narrowed down.
That is, the information leakage detection system 100 of Embodiment 3 can extract the URL of the access destination by malware with higher accuracy.

なお、実施の形態３における期間特定部２００の処理を実施の形態１と実施の形態２との期間特定部２００に行わせることも可能である。   It is possible to cause the period specifying unit 200 of the first and second embodiments to perform the process of the period specifying unit 200 in the third embodiment.

実施の形態４．
（実施の形態４における情報漏洩検知システム１００の概要）
実施の形態４の情報漏洩検知システム１００は、端末操作ログ２０３にユーザ操作の履歴が残っている期間以外の期間を調査対象とする。 Embodiment 4 FIG.
(Outline of Information Leakage Detection System 100 in Embodiment 4)
The information leakage detection system 100 according to the fourth embodiment targets a period other than a period during which a history of user operations remains in the terminal operation log 203 as an investigation target.

なお、実施の形態４の情報漏洩検知システム１００は、図２に示す実施の形態１の情報漏洩検知システム１００と同じ構成である。従って、実施の形態１と同じ構成要素及び、実施の形態１と同じ処理内容については説明を省略する。   In addition, the information leakage detection system 100 of Embodiment 4 is the same structure as the information leakage detection system 100 of Embodiment 1 shown in FIG. Therefore, the description of the same components as in the first embodiment and the same processing contents as in the first embodiment will be omitted.

（端末操作ログ取り込み部１０３の処理）
図３５は、端末操作ログ取り込み部１０３の処理の例を示すフローチャートである。
まず、端末操作ログ取り込み部１０３は、実施の形態１と同様に、期間２０６と端末操作ログ２０３とを入力する（図３５のＳ３５０１）。
ここで、期間２０６は「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ １８：００：００」とする。期間２０６は、あらかじめ定義された定義期間である。そして、「２０１１／０６／２３ ０８：００：００」が定義期間の開始時刻であり、「２０１１／０６／２３ １８：００：００」が定義期間の終了時刻である。
そして、端末操作ログ２０３は図３に示す例とする。 (Processing of terminal operation log capturing unit 103)
FIG. 35 is a flowchart illustrating an example of processing of the terminal operation log capturing unit 103.
First, the terminal operation log capturing unit 103 inputs the period 206 and the terminal operation log 203 as in the first embodiment (S3501 in FIG. 35).
Here, the period 206 is “2011/06/23 08:00:00 to 2011/01/06/23 18:00:00”. The period 206 is a predefined definition period. Then, “2011/06/23 08:00:00” is the start time of the definition period, and “2011/06/23 18:00:00” is the end time of the definition period.
The terminal operation log 203 is an example shown in FIG.

ここで、端末操作ログ２０３は、図３に示すように操作日時と操作タイプと操作内容とが対応付けられている。つまり、端末操作ログ２０３は、ユーザが端末装置５００に対して指示する指示操作と指示操作毎の操作時刻とが対応付けられて示されている。   Here, in the terminal operation log 203, as shown in FIG. 3, the operation date and time, the operation type, and the operation content are associated with each other. That is, the terminal operation log 203 shows the instruction operation that the user instructs the terminal device 500 and the operation time for each instruction operation in association with each other.

そして、ユーザがアドレス指示操作を行った場合、すなわち、ユーザが端末装置５００に対してアクセス先のアドレスを指示すると共に、ユーザが端末装置５００に対して指示したアドレスに端末装置５００がＷｅｂアクセスを行うよう指示した場合、このアドレス指示操作が端末操作ログ２０３（例えば、図３）においては、「Ｗｅｂアクセス」のように表記されている。そして、この場合の図３に示される操作日時は、アドレス指示操作の操作日時である。
つまり、端末操作ログ２０３は、ユーザが端末装置５００に対してアドレス指示操作を行った場合（ユーザが端末装置５００に対してアクセス先のアドレスを指示した場合）に、ユーザが端末装置５００に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて端末装置５００がプロキシサーバ装置６００にアクセス先として通知したアドレスがアドレス指示操作とアドレス指示操作の操作時刻とに対応付けられて示される。 When the user performs an address instruction operation, that is, the user instructs the terminal device 500 to specify an access destination address, and the terminal device 500 performs Web access to the address specified by the user to the terminal device 500. When instructed to do so, this address instruction operation is written as “Web access” in the terminal operation log 203 (for example, FIG. 3). In this case, the operation date and time shown in FIG. 3 is the operation date and time of the address instruction operation.
In other words, the terminal operation log 203 indicates that when the user performs an address instruction operation on the terminal device 500 (when the user instructs an address of an access destination to the terminal device 500), the user performs an operation on the terminal device 500. The address notified by the terminal device 500 to the proxy server device 600 as the access destination based on the address instruction operation for instructing the address of the access destination is shown in association with the address instruction operation and the operation time of the address instruction operation.

次に、端末操作ログ取り込み部１０３は、期間を再設定する（図３５のＳ３５０２）。
具体的には、端末操作ログ取り込み部１０３は、操作日時が入力した期間２０６「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ １８：００：００」内である端末操作ログ２０３のエントリの内、最初に記録されたエントリと最後に記録されたエントリとの操作日時を抽出する。 Next, the terminal operation log capturing unit 103 resets the period (S3502 in FIG. 35).
Specifically, the terminal operation log capturing unit 103 includes the terminal operation log 203 within the period 206 “2011/06/23 08:00:00 to 2011/06/23 18:00:00” in which the operation date / time is input. The operation date and time of the first recorded entry and the last recorded entry are extracted.

図３に示す端末操作ログ２０３の場合、端末操作ログ取り込み部１０３は、最初に記録されたエントリの操作日時（最初の操作時刻）として、図３のＤ２０３１に示される「２０１１／０６／２３ ０９：００：００」を抽出する。そして、端末操作ログ取り込み部１０３は、最後に記録されたエントリの操作日時（最後の操作時刻）として、図３のＤ２０３７に示される「２０１１／０６／２３ １６：００：００」を抽出する。
そして、端末操作ログ取り込み部１０３は、「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ ０８：５９：５９」と「２０１１／０６／２３ １６：００：０１〜２０１１／０６／２３ １８：００：００」とを期間２０６として再設定する。この再設定された期間２０６は、非操作期間（後述）に対応する。 In the case of the terminal operation log 203 illustrated in FIG. 3, the terminal operation log capturing unit 103 indicates “2011/06/23 09” illustrated in D2031 of FIG. 3 as the operation date and time (first operation time) of the first recorded entry. : 0:00 "is extracted. Then, the terminal operation log capturing unit 103 extracts “2011/06/23 16:00:00” indicated by D2037 in FIG. 3 as the operation date and time (last operation time) of the last recorded entry.
Then, the terminal operation log capturing unit 103 reads “2011/06/23 08:00:00 to 2011/06/06 23 08:59:59” and “2011/06/23 16:00:01 to 2011/06 / 23 18:00:00 ”is reset as the period 206. The reset period 206 corresponds to a non-operation period (described later).

そして、端末操作ログ取り込み部１０３は、再設定した期間２０６を出力する（図３５のＳ３５０３）。
つまり、端末操作ログ取り込み部１０３は、期間２０６を算出する期間算出部に対応する。 Then, the terminal operation log capturing unit 103 outputs the reset period 206 (S3503 in FIG. 35).
That is, the terminal operation log capturing unit 103 corresponds to a period calculation unit that calculates the period 206.

ここで、端末操作ログ取り込み部１０３は、端末操作ログ２０３に示される操作時刻の内、あらかじめ定義された定義期間である期間２０６の開始時刻後の最初の操作時刻と定義期間（期間２０６）の終了時刻前の最後の操作時刻とを抽出している。そして、端末操作ログ取り込み部１０３は、定義期間（期間２０６）の開始時刻から最初の操作時刻までの期間と最後の操作時刻から定義期間（期間２０６）の終了時刻までの期間とから成る非操作期間を算出し、期間２０６として再設定している。   Here, the terminal operation log capturing unit 103 sets the first operation time and the definition period (period 206) after the start time of the period 206, which is a predefined definition period, among the operation times indicated in the terminal operation log 203. The last operation time before the end time is extracted. The terminal operation log capturing unit 103 then performs a non-operation including a period from the start time of the definition period (period 206) to the first operation time and a period from the last operation time to the end time of the definition period (period 206). The period is calculated and reset as the period 206.

また、端末操作ログ取り込み部１０３は、図３５のＳ３５０２の処理において、ブラウザの操作記録のあった日時を抽出しても良い。
具体的には、端末操作ログ取り込み部１０３は、操作日時が入力した期間２０６「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ １８：００：００」内であり、ブラウザの操作を示す端末操作ログ２０３のエントリの内、最初に記録されたエントリと最後に記録されたエントリとの操作日時を抽出する。 Further, the terminal operation log capturing unit 103 may extract the date and time when the browser operation was recorded in the processing of S3502 in FIG.
Specifically, the terminal operation log capturing unit 103 is within the period 206 “2011/06/23 08:00:00 to 2011/06/06 23 18:00:00” in which the operation date and time is input, and the browser operation The operation date and time of the first recorded entry and the last recorded entry are extracted.

図３に示す端末操作ログ２０３の場合、ブラウザの操作を示す端末操作ログ２０３のエントリは、操作タイプが「Ｗｅｂアクセス」となっており、アクセス先のアドレスが操作内容として対応付けられている。
よって、端末操作ログ取り込み部１０３は、最初に記録されたエントリの操作日時（最初のアドレス対応操作時刻）として、図３のＤ２０３２に示される「２０１１／０６／２３ １０：００：００」を抽出する。そして、端末操作ログ取り込み部１０３は、最後に記録されたエントリの操作日時（最後のアドレス対応操作時刻）として、図３のＤ２０３７に示される「２０１１／０６／２３ １６：００：００」を抽出する。
そして、端末操作ログ取り込み部１０３は、「２０１１／０６／２３ ０８：００：００〜２０１１／０６／２３ ０９：５９：５９」と「２０１１／０６／２３ １６：００：０１〜２０１１／０６／２３ １８：００：００」とを期間２０６として再設定する。この再設定された期間２０６は、非アドレス対応期間（後述）に対応する。 In the case of the terminal operation log 203 shown in FIG. 3, the operation type of the entry of the terminal operation log 203 indicating the operation of the browser is “Web access”, and the access destination address is associated as the operation content.
Therefore, the terminal operation log capturing unit 103 extracts “2011/06/23 10:00:00” shown in D2032 of FIG. 3 as the operation date and time (first address-corresponding operation time) of the first recorded entry. To do. Then, the terminal operation log capturing unit 103 extracts “2011/06/23 16:00:00” shown in D2037 of FIG. 3 as the operation date and time (last address-corresponding operation time) of the last recorded entry. To do.
Then, the terminal operation log capturing unit 103 reads “2011/06/23 08:00:00 to 2011/06/23 09:59:59” and “2011/06/23 16:00:01 to 2011/06 / 23 18:00:00 ”is reset as the period 206. The reset period 206 corresponds to a non-address correspondence period (described later).

ここで、端末操作ログ取り込み部１０３は、端末操作ログ２０３に示される操作時刻の内、定義期間（期間２０６）の開始時刻後の操作時刻であってアドレスが対応付けられている最初の操作時刻である最初のアドレス対応操作時刻と、定義期間（期間２０６）の終了時刻前の操作時刻であってアドレスが対応付けられている最後の操作時刻である最後のアドレス対応操作時刻とを抽出する。そして、端末操作ログ取り込み部１０３は、定義期間（期間２０６）の開始時刻から最初のアドレス対応操作時刻までの期間と最後のアドレス対応操作時刻から定義期間（期間２０６）の終了時刻までの期間とから成る非アドレス対応期間を算出し、期間２０６として再設定している。   Here, the terminal operation log capturing unit 103 is the first operation time that is the operation time after the start time of the definition period (period 206) and the address is associated with among the operation times indicated in the terminal operation log 203. And the last address-corresponding operation time that is the operation time before the end time of the definition period (period 206) and the last operation time associated with the address is extracted. The terminal operation log capturing unit 103 then includes a period from the start time of the definition period (period 206) to the first address corresponding operation time and a period from the last address corresponding operation time to the end time of the definition period (period 206). The non-address correspondence period consisting of is calculated and reset as the period 206.

一方、プロキシログ取り込み部１０１、ローカルプロキシログ取り込み部１０４は端末操作ログ取り込み部１０３が再設定した期間２０６（非操作期間もしくは非アドレス対応期間のいずれか）を入力する。
そして、再設定された期間２０６に基づき、プロキシログ取り込み部１０１は、実施の形態１での説明と同様にプロキシログエントリ３０１を抽出する。
そして、グレーＵＲＬ特定部１０５は、再設定された期間２０６に基づいたプロキシログエントリ３０１からグレーＵＲＬ情報３０５を抽出する。 On the other hand, the proxy log capturing unit 101 and the local proxy log capturing unit 104 input a period 206 (either a non-operation period or a non-address correspondence period) reset by the terminal operation log capturing unit 103.
Based on the reset period 206, the proxy log capturing unit 101 extracts the proxy log entry 301 in the same manner as described in the first embodiment.
Then, the gray URL specifying unit 105 extracts the gray URL information 305 from the proxy log entry 301 based on the reset period 206.

すなわち、グレーＵＲＬ特定部１０５は、端末操作ログ取り込み部１０３により非操作期間が算出された場合に、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるアドレスの内、非操作期間に含まれるアクセス時刻が対応付けられているアドレスを抽出する。そして、グレーＵＲＬ特定部１０５は、端末操作ログ取り込み部１０３により非アドレス対応期間が算出された場合に、プロキシログエントリ３０１のセット（プロキシログ２０１）に示されるアクセス時刻に対応付けられているアドレスの内、非アドレス対応期間に含まれるアクセス時刻に対応付けられているアドレスを抽出する。   That is, when the non-operation period is calculated by the terminal operation log capturing unit 103, the gray URL specifying unit 105 is included in the non-operation period among the addresses indicated in the set of proxy log entries 301 (proxy log 201). An address associated with an access time is extracted. Then, when the non-address corresponding period is calculated by the terminal operation log capturing unit 103, the gray URL specifying unit 105 addresses that are associated with the access time indicated in the set of proxy log entries 301 (proxy log 201). Among these, an address associated with the access time included in the non-address correspondence period is extracted.

また、端末操作ログ取り込み部１０３も、再設定された期間２０６に基づき、ＷｅｂアクセスＵＲＬ情報３０３を抽出し、ローカルプロキシログ取り込み部１０４も再設定された期間２０６に基づき、ローカルプロキシログエントリ３０４を抽出する。   Also, the terminal operation log capturing unit 103 extracts the Web access URL information 303 based on the reset period 206, and the local proxy log capturing unit 104 also stores the local proxy log entry 304 based on the reset period 206. Extract.

（実施の形態４の効果）
実施の形態４の情報漏洩検知システム１００は、ユーザが端末操作を行った期間を除外した期間について、マルウェアによるＷｅｂ通信のアクセス先アドレスを抽出する。また、実施の形態４の情報漏洩検知システム１００は、ユーザがブラウザ操作を行った期間を除外した期間について、マルウェアによるＷｅｂ通信のアクセス先アドレスを抽出する。
つまり、実施の形態４の情報漏洩検知システム１００は、ユーザが端末装置５００やブラウザを操作していない期間に発生した通信のログ、すなわち、マルウェアによるＷｅｂ通信の可能性が高いログに絞り込んでマルウェアによるＷｅｂ通信のアクセス先アドレスを抽出する。
すなわち、実施の形態４の情報漏洩検知システム１００は、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。 (Effect of Embodiment 4)
The information leakage detection system 100 according to the fourth embodiment extracts an access destination address for Web communication by malware for a period excluding a period during which the user performs a terminal operation. In addition, the information leakage detection system 100 according to the fourth embodiment extracts an access destination address of Web communication by malware for a period excluding a period during which the user performs a browser operation.
In other words, the information leakage detection system 100 according to the fourth embodiment narrows down the communication log generated during a period when the user is not operating the terminal device 500 or the browser, that is, the log having a high possibility of Web communication by malware. The Web communication access destination address is extracted.
That is, the information leak detection system 100 according to the fourth embodiment can extract the URL of the access destination by the malware with higher accuracy.

なお、実施の形態４における端末操作ログ取り込み部１０３の処理を、実施の形態１〜３の端末操作ログ取り込み部１０３に行わせることも可能である。   It is possible to cause the terminal operation log capturing unit 103 according to the first to third embodiments to perform the processing of the terminal operation log capturing unit 103 according to the fourth embodiment.

実施の形態５．
（実施の形態５〜８における情報漏洩検知システム１００の共通部分の説明）
実施の形態５の情報漏洩検知システム１００の説明の前に、実施の形態５〜８における情報漏洩検知システム１００の共通部分の説明を行う。
実施の形態５〜８における情報漏洩検知システム１００は、実施の形態１〜４いずれかのブラックＵＲＬ特定部１０８が抽出したブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補の内、所定の条件に合致するＵＲＬを条件合致アドレスとして特定し、条件合致アドレスをブラックＵＲＬ２０８として出力する。すなわち、ブラックＵＲＬ２０８は条件合致アドレスに対応する。 Embodiment 5 FIG.
(Description of common parts of information leakage detection system 100 in Embodiments 5 to 8)
Before describing the information leakage detection system 100 according to the fifth embodiment, common parts of the information leakage detection system 100 according to the fifth to eighth embodiments will be described.
The information leakage detection system 100 in the fifth to eighth embodiments sets the black URL 208 extracted by the black URL specifying unit 108 in any of the first to fourth embodiments as a black URL candidate. Then, the black URL specifying unit 108 specifies a URL that matches a predetermined condition from among the black URL candidates as a condition matching address, and outputs the condition matching address as the black URL 208. That is, the black URL 208 corresponds to the condition matching address.

すなわち、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補の内、少なくとも所定の条件に合致する所定のアドレスを条件合致アドレスとして特定する条件合致アドレス特定部に対応する。   That is, the black URL specifying unit 108 corresponds to a condition matching address specifying unit that specifies, as a condition matching address, a predetermined address that matches at least a predetermined condition among black URL candidates.

そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。すなわち、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する情報入力部に対応する。   Then, the black URL specifying unit 108 inputs the black determination condition 207. That is, the black URL specifying unit 108 corresponds to an information input unit that inputs the black determination condition 207.

ここで、ブラック判定条件２０７とは、ブラックＵＲＬ候補からブラックＵＲＬ２０８を特定する為の所定の条件である。
ブラック判定条件２０７は、数種類存在し、あらかじめ例えばユーザによって設定され、例えば情報漏洩検知システム１００の記憶装置に記憶されている。そして例えばユーザは情報漏洩検知システム１００のキーボードなどの入力装置を用いて、記憶されている数種類のブラック判定条件２０７の中から少なくとも１つのブラック判定条件２０７を選択して入力する。ここで、ユーザは、記憶されている数種類のブラック判定条件２０７の中から複数のブラック判定条件２０７を組み合わせて入力することも可能である。 Here, the black determination condition 207 is a predetermined condition for specifying the black URL 208 from the black URL candidates.
There are several types of black determination conditions 207, which are set in advance by the user, for example, and stored in the storage device of the information leakage detection system 100, for example. For example, the user selects and inputs at least one black determination condition 207 from among the several types of stored black determination conditions 207 using an input device such as a keyboard of the information leakage detection system 100. Here, the user can also input a combination of a plurality of black determination conditions 207 from among several types of stored black determination conditions 207.

そして、ブラックＵＲＬ特定部１０８は、入力したブラック判定条件２０７に対応してあらかじめ設定された処理を実行する。
また、ブラックＵＲＬ特定部１０８が、複数の（例えば２つの）ブラック判定条件２０７を入力した場合、ブラックＵＲＬ特定部１０８は、まず第１のブラック判定条件２０７に対応してブラックＵＲＬ候補の中から条件合致アドレス（ブラックＵＲＬ２０８）を特定する。そして、更に、ブラックＵＲＬ特定部１０８は、第１のブラック判定条件２０７によって特定された条件合致アドレス（ブラックＵＲＬ２０８）の中から、第２のブラック判定条件２０７に対応して、条件合致アドレス（ブラックＵＲＬ２０８）を特定することが可能である。 Then, the black URL specifying unit 108 executes a process set in advance corresponding to the input black determination condition 207.
When the black URL specifying unit 108 inputs a plurality of (for example, two) black determination conditions 207, the black URL specifying unit 108 first selects a black URL candidate corresponding to the first black determination condition 207. A condition matching address (black URL 208) is specified. Further, the black URL specifying unit 108 corresponds to the condition matching address (black) corresponding to the second black determination condition 207 from the condition matching addresses (black URL 208) specified by the first black determination condition 207. URL 208) can be specified.

なお、実施の形態５〜８の情報漏洩検知システム１００は、図２に示す実施の形態１の情報漏洩検知システム１００と同じ構成である。従って、実施の形態１と同じ構成要素及び、実施の形態１と同じ処理内容については説明を省略する。
以降、実施の形態５〜８の各実施の形態について説明を行う。 In addition, the information leak detection system 100 of Embodiment 5-8 is the same structure as the information leak detection system 100 of Embodiment 1 shown in FIG. Therefore, the description of the same components as in the first embodiment and the same processing contents as in the first embodiment will be omitted.
Hereinafter, each of the embodiments 5 to 8 will be described.

（実施の形態５におけるブラックＵＲＬ特定部１０８の処理）
図３６は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜４いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。更に、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する（図３６のＳ１１０１）。 (Processing of the black URL specifying unit 108 in the fifth embodiment)
FIG. 36 is a flowchart illustrating an example of processing of the black URL specifying unit 108.
As described above, the black URL specifying unit 108 sets the black URL 208 extracted by the process according to any one of the first to fourth embodiments as a black URL candidate. Further, the black URL specifying unit 108 inputs the black determination condition 207 (S1101 in FIG. 36).

ここで、ブラックＵＲＬ特定部１０８は、「端末装置５００のアクセス先のウェブページの提供元が属する国が、不正アクセスの多い国のブラックリストに含まれているか否か」というブラック判定条件２０７を入力する。
更に、ブラックＵＲＬ特定部１０８は、「不正アクセスの多い国のブラックリスト」の情報も入力する。 Here, the black URL specifying unit 108 sets a black determination condition 207 “whether or not the country to which the web page that is the access destination of the terminal device 500 belongs is included in the black list of countries with a lot of unauthorized access”. input.
Further, the black URL specifying unit 108 also inputs information on “black list of countries with many unauthorized accesses”.

不正アクセスの多い国は傾向として決まっているので、例えば、Ａ国、Ｂ国、Ｃ国を不正アクセスの多い国として「不正アクセスの多い国のブラックリスト」に定義することが可能である。
そして、「不正アクセスの多い国のブラックリスト」は、あらかじめ特定された国が示される特定国情報に対応する。 Since countries with many unauthorized accesses are determined as trends, it is possible to define countries A, B, and C as countries with many unauthorized accesses in the “black list of countries with many unauthorized accesses”.
The “black list of countries with many unauthorized accesses” corresponds to specific country information indicating a country specified in advance.

そして、インターネット上には、例えば「ｈｔｔｐ：／／○○○．７８９−ｓａｍｐｌｅ．△△△／」というＵＲＬを入力すると、そのＵＲＬのウェブページがホストされている国（アドレスのウェブページの提供元が属する国）の情報を出力するインターネットサービスが存在する。このサービスを外部サービス２０９（図２）と称する。このアドレスのウェブページの提供元が属する国が示される情報を「提供国情報」と称する。   For example, when a URL “http: //◯◯.789-sample.ΔΔΔ/” is entered on the Internet, the country where the web page of the URL is hosted (providing the web page of the address) There is an Internet service that outputs information of the country to which the origin belongs. This service is referred to as an external service 209 (FIG. 2). Information indicating the country to which the provider of the web page at this address belongs is referred to as “providing country information”.

そして、ブラックＵＲＬ特定部１０８は、インターネットを介し、ブラックＵＲＬ候補を外部サービス２０９に入力する。そして、ブラックＵＲＬ特定部１０８は、外部サービス２０９からの提供国情報を入力し、ブラックＵＲＬ候補のホスト国を特定する（図３６のＳ１１０２）。
すなわち、ブラックＵＲＬ特定部１０８は、抽出したブラックＵＲＬ候補毎（アドレス毎）の提供国情報を入力する。 Then, the black URL specifying unit 108 inputs a black URL candidate to the external service 209 via the Internet. Then, the black URL specifying unit 108 inputs the providing country information from the external service 209 and specifies the host country of the black URL candidate (S1102 in FIG. 36).
That is, the black URL specifying unit 108 inputs the provided country information for each extracted black URL candidate (for each address).

そして、ブラックＵＲＬ特定部１０８は特定したブラックＵＲＬ候補のホスト国が、「不正アクセスの多い国のブラックリスト」に含まれているか否かを判定する（図３６のＳ１１０３）。
ここで、例えば、特定したブラックＵＲＬ候補のホスト国がＡ国の場合、ブラックリストに含まれているので（図３６のＳ１１０３の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補をブラックＵＲＬ２０８として出力する（図３６のＳ１１０４）。一方、特定したブラックＵＲＬ候補のホスト国がＸ国の場合、ブラックリストに含まれていないので（図３６のＳ１１０３の「ＮＯ」）、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補をブラックＵＲＬ２０８として出力しない。 Then, the black URL specifying unit 108 determines whether or not the host country of the specified black URL candidate is included in the “black list of countries with many unauthorized accesses” (S1103 in FIG. 36).
Here, for example, if the host country of the specified black URL candidate is country A, it is included in the black list (“YES” in S1103 of FIG. 36), the black URL specifying unit 108 sets the black URL candidate to black. The URL 208 is output (S1104 in FIG. 36). On the other hand, if the host country of the specified black URL candidate is country X, it is not included in the black list (“NO” in S1103 in FIG. 36), the black URL specifying unit 108 outputs the black URL candidate as the black URL 208. do not do.

すなわち、ブラックＵＲＬ特定部１０８は、入力された提供国情報に示される国の中で、「不正アクセスの多い国のブラックリスト」に示されるいずれかの国に合致する国が提供しているウェブページのアドレスをブラックＵＲＬ２０８として特定する。   That is, the black URL specifying unit 108 provides a web provided by a country that matches one of the countries indicated in the “black list of countries with many unauthorized accesses” among the countries indicated in the input providing country information. The page address is specified as a black URL 208.

（実施の形態５の効果）
マルウェアの通信先のＣ＆Ｃサーバは不正アクセスの多い特定の国に存在することがある。そして、実施の形態５の情報漏洩検知システム１００は、ブラックＵＲＬ候補から、不正アクセスの多い特定の国をホスト国としたウェブページのＵＲＬであるか否かをブラック判定条件２０７として、ブラックＵＲＬ２０８を絞り込む。その為、実施の形態５の情報漏洩検知システム１００は、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。 (Effect of Embodiment 5)
The C & C server that the malware communicates with may exist in a specific country where there are many unauthorized accesses. Then, the information leakage detection system 100 according to the fifth embodiment uses the black URL 208 as a black determination condition 207 based on whether or not the URL is a URL of a web page with a specific country with many unauthorized accesses as a host country. Narrow down. Therefore, the information leakage detection system 100 according to the fifth embodiment can extract the URL of the access destination by the malware with higher accuracy.

実施の形態６．
（実施の形態６における情報漏洩検知システム１００の概要）
実施の形態６の情報漏洩検知システム１００は、ブラック判定条件２０７として、ブラックＵＲＬ候補のウェブページへのアクセス数を用いる。具体的には、「今までアクセス数が少なかったブラックＵＲＬ候補において、急にアクセス数が一定期間増加し、その後また減少したか否か」をブラック判定条件２０７とする。 Embodiment 6 FIG.
(Outline of Information Leakage Detection System 100 in Embodiment 6)
The information leakage detection system 100 according to the sixth embodiment uses the number of accesses to a black URL candidate web page as the black determination condition 207. Specifically, the black determination condition 207 is “whether the number of accesses suddenly increases for a certain period and then decreases again in a black URL candidate whose number of accesses has been small until now”.

（ブラックＵＲＬ特定部１０８の処理）
図３７は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
図３８は、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図である。 (Processing of the black URL specifying unit 108)
FIG. 37 is a flowchart illustrating an example of processing of the black URL specifying unit 108.
FIG. 38 is a diagram illustrating an example of the number of accesses to a web page of a black URL candidate.

なお、図２において図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１を入力することが可能である。ここで、ブラックＵＲＬ特定部１０８は、プロキシログ取り込み部１０１が入力したプロキシログ２０１をプロキシログ取り込み部１０１から入力しても良い。
また、プロキシログ２０１は、図１７に示す通り、プロキシサーバ装置６００が行ったアクセス毎にアクセス先のアドレスと通信サイズ（アクセス時のデータ通信量）とが対応付けられて示されている。 Although not shown in FIG. 2, the black URL specifying unit 108 can input the proxy log 201. Here, the black URL specifying unit 108 may input the proxy log 201 input by the proxy log capturing unit 101 from the proxy log capturing unit 101.
In addition, as illustrated in FIG. 17, the proxy log 201 indicates an access destination address and a communication size (data communication amount at the time of access) in association with each access performed by the proxy server device 600.

まず、ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜４いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。更に変数ｎを「０」で初期化する（図３７のＳ１２０１）。   First, as described above, the black URL specifying unit 108 sets the black URL 208 extracted by any one of the first to fourth embodiments as a black URL candidate. Then, the black URL specifying unit 108 inputs the black determination condition 207. Further, the variable n is initialized with “0” (S1201 in FIG. 37).

ここでブラック判定条件２０７は、前述の通り「今までアクセス数が少なかったブラックＵＲＬ候補において、急にアクセス数が一定期間増加し、その後また減少したか否か」である。   Here, as described above, the black determination condition 207 is “whether or not the number of accesses suddenly increases for a certain period and then decreases again in a black URL candidate whose number of accesses has been small until now”.

そして、ブラックＵＲＬ特定部１０８は、入力したプロキシログ２０１から各ブラックＵＲＬ候補に対する日毎のアクセス数をあらかじめ定められた集計期間において集計する（図３７のＳ１２０２）。この集計期間はあらかじめ情報漏洩検知システム１００の記憶装置に記憶されていても良いし、ユーザが情報漏洩検知システム１００の入力装置を用いて入力しても良い。
ここで、ブラックＵＲＬ特定部１０８が集計するアクセス数は、日毎に限らず、単位時間毎であれば、３日間毎であっても、１週間毎であっても良い。ここでは、ブラックＵＲＬ特定部１０８は、日毎にアクセス数を集計するものとして説明を進める。
すなわち、ブラックＵＲＬ特定部１０８は、各アドレスに対する単位時間毎のアクセス数を算出する通信量算出部に対応する。 Then, the black URL specifying unit 108 counts the number of daily accesses to each black URL candidate from the input proxy log 201 during a predetermined counting period (S1202 in FIG. 37). This counting period may be stored in advance in the storage device of the information leakage detection system 100, or may be input by the user using the input device of the information leakage detection system 100.
Here, the number of accesses counted by the black URL specifying unit 108 is not limited to every day, but may be every three days or every week as long as it is a unit time. Here, the description will be made assuming that the black URL specifying unit 108 counts the number of accesses every day.
That is, the black URL specifying unit 108 corresponds to a traffic calculation unit that calculates the number of accesses per unit time for each address.

なお、図３７において図示は、省略するがＳ１２０２〜Ｓ１２０７の処理は、各ブラックＵＲＬ候補に対して行われる。   In addition, although illustration is abbreviate | omitted in FIG. 37, the process of S1202-S1207 is performed with respect to each black URL candidate.

そして、ブラックＵＲＬ特定部１０８は、集計したアクセス数が過去は少なく、その後増加したか否かを判定する（図３７のＳ１２０３）。
ここで、ブラックＵＲＬ特定部１０８は、アクセス数があらかじめ情報漏洩検知システム１００の記憶装置に記憶されている閾値（「アクセス数の第１の閾値」と称する）よりも少ない場合に、「アクセス数が少ない」と判定する。そして、ブラックＵＲＬ特定部１０８は、アクセス数が「アクセス数の第１の閾値」以上の場合に、「アクセス数が増加した」と判定する。 Then, the black URL specifying unit 108 determines whether or not the total number of accesses has been small in the past and has increased thereafter (S1203 in FIG. 37).
Here, when the number of accesses is smaller than the threshold value stored in advance in the storage device of the information leakage detection system 100 (referred to as the “first threshold value for the number of accesses”), the black URL specifying unit 108 Is less. " Then, the black URL specifying unit 108 determines that “the number of accesses has increased” when the number of accesses is equal to or greater than “the first threshold value of the number of accesses”.

そして、「アクセス数が増加していない」場合（図３７のＳ１２０３の「ＮＯ」）、ブラックＵＲＬ特定部１０８は、判定対象のＵＲＬについて処理を終了し、未判定のブラックＵＲＬ候補について、同様の処理を行う。   If “the number of accesses has not increased” (“NO” in S1203 in FIG. 37), the black URL specifying unit 108 ends the process for the URL to be determined, and the same for the undecided black URL candidates. Process.

そして、ブラックＵＲＬ特定部１０８が「アクセス数が増加した」と判定した場合（図３７のＳ１２０３の「ＹＥＳ」）、アクセス数が集計された日を基準日とする。   If the black URL specifying unit 108 determines that “the number of accesses has increased” (“YES” in S1203 in FIG. 37), the date on which the number of accesses is tabulated is set as the reference date.

ここで、基準日が現在である場合を想定する。
その場合、ブラックＵＲＬ特定部１０８は、変数ｎをインクリメント（ｎ＝ｎ＋１と）する（図３７のＳ１２０４）。 Here, it is assumed that the reference date is current.
In this case, the black URL specifying unit 108 increments the variable n (n = n + 1) (S1204 in FIG. 37).

そして、ブラックＵＲＬ特定部１０８は新たにｎ日後のプロキシログ２０１を入力し、ｎ日後のアクセス数を集計する。
そして、ブラックＵＲＬ特定部１０８は、ｎ日後のアクセス数が基準日のアクセス数と同等又は増加しているか否かを判定する（図３７のＳ１２０５）。ここで、ブラックＵＲＬ特定部１０８は、アクセス数が「アクセス数の第１の閾値」以上の場合に、「基準日のアクセス数と同等又は増加している」と判定する。 Then, the black URL specifying unit 108 newly inputs the proxy log 201 after n days, and totals the number of accesses after n days.
Then, the black URL specifying unit 108 determines whether the number of accesses after n days is equal to or increased with the number of accesses on the reference day (S1205 in FIG. 37). Here, if the number of accesses is equal to or greater than the “first threshold value for the number of accesses”, the black URL specifying unit 108 determines that “the number of accesses is equal to or increased with respect to the reference day”.

基準日のアクセス数と同等又は増加している場合（図３７のＳ１２０５の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、変数ｎを更にインクリメントする（図３７のＳ１２０４）。すなわち、ブラックＵＲＬ特定部１０８は更に１日後のアクセス数を集計する。   When the access count is equal to or increased with the number of accesses on the reference day (“YES” in S1205 in FIG. 37), the black URL specifying unit 108 further increments the variable n (S1204 in FIG. 37). That is, the black URL specifying unit 108 further counts the number of accesses one day later.

一方、アクセス数が「アクセス数の第１の閾値」より少ない場合（図３７のＳ１２０５の「ＮＯ」）、ブラックＵＲＬ特定部１０８はアクセス数が基準日以前のアクセス数と同等か否かを判定する（図３７の１２０６）。
ここで、ブラックＵＲＬ特定部１０８は、例えば、基準日以前の日毎のアクセス数の平均ｘと標準偏差σとを記憶しており、例えばアクセス数が「ｘ±３σ」以内であれば、基準日以前のアクセス数を同等と判定する。 On the other hand, when the number of accesses is smaller than the “first threshold of the number of accesses” (“NO” in S1205 in FIG. 37), the black URL specifying unit 108 determines whether the number of accesses is equal to the number of accesses before the reference date. (1206 in FIG. 37).
Here, the black URL specifying unit 108 stores, for example, an average x of access counts per day before the reference date and a standard deviation σ. If the access count is within “x ± 3σ”, for example, the reference date It is determined that the previous number of accesses is equivalent.

そして、アクセス数が基準日以前のアクセス数と同等の場合（図３７のＳ１２０６の「ＹＥＳ」）、図示は省略するが、あらかじめ設定された所定の日数においてアクセス数が「アクセス数の第１の閾値」以上であったか否かを判定する。そして、アクセス数が所定の日数において「アクセス数の第１の閾値」以上であったブラックＵＲＬ候補をブラックＵＲＬ２０８として出力する。   If the number of accesses is equal to the number of accesses before the reference date (“YES” in S1206 in FIG. 37), although not shown, the number of accesses is “the first number of accesses” in a predetermined number of days set in advance. It is determined whether or not it is equal to or greater than the “threshold value”. Then, the black URL candidate whose number of accesses is equal to or greater than the “first threshold value of the number of accesses” in a predetermined number of days is output as the black URL 208.

そして、アクセス数が基準日以前のアクセス数と同等でない場合（図３７のＳ１２０６の「ＮＯ」）、ブラックＵＲＬ特定部１０８は、変数ｎを更にインクリメントする（図３７のＳ１２０４）。   If the number of accesses is not equal to the number of accesses before the reference date (“NO” in S1206 in FIG. 37), the black URL specifying unit 108 further increments the variable n (S1204 in FIG. 37).

図３８を用いて具体例を説明する。
例えば、ブラックＵＲＬ特定部１０８は、あるブラックＵＲＬ候補に対するアクセス数を現在から、３０日分さかのぼって、日毎に集計したとする。
その結果、２９日目まではアクセス数は「０」であるが、３０日目（現在）にアクセス数が「１２」に増加している。ここで、例えば、「アクセス数の第１の閾値」は「１０」であるとする。
その後数日間において、ブラックＵＲＬ特定部１０８は、アクセス数を集計した結果、３３日目（現在から３日後）にアクセス数が「０」に戻っている。
この図３８の例のように、ブラックＵＲＬ特定部１０８は図３７の処理によって、判定対象のブラックＵＲＬ候補に対するアクセス数が、過去は少なく、かつ、所定の日数の間増加し、かつ、その後減少するか否かを判定している。 A specific example will be described with reference to FIG.
For example, it is assumed that the black URL specifying unit 108 tabulates the number of accesses to a certain black URL candidate from the current day to the 30th day.
As a result, the number of accesses is “0” until the 29th day, but the number of accesses increases to “12” on the 30th day (current). Here, for example, it is assumed that the “first threshold for the number of accesses” is “10”.
In the next few days, as a result of counting the number of accesses, the black URL specifying unit 108 returns to “0” on the 33rd day (three days after the present).
As shown in the example of FIG. 38, the black URL specifying unit 108 has the number of accesses to the black URL candidate to be determined increased in the past and increased for a predetermined number of days, and then decreased by the processing in FIG. It is determined whether or not to do.

ここで、所定の日数は、例えば情報漏洩検知システム１００の記憶装置に記憶されており、ここでは所定の日数が「５日」とする。
特定のマルウェアは、インターネット上のＣ＆Ｃサーバと短期間に継続的に通信することが知られている。したがって、例えば５日以内に集中的にアクセス数が増加したアクセスは、マルウェアによるアクセスと考えられる。 Here, the predetermined number of days is stored in the storage device of the information leakage detection system 100, for example. Here, the predetermined number of days is “5 days”.
Certain malware is known to continuously communicate with C & C servers on the Internet in a short period of time. Therefore, for example, an access in which the number of accesses increases intensively within 5 days is considered to be an access by malware.

具体例では、基準日が現在の場合を説明したが、基準日が過去であっても構わない。
すなわち、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補に対するアクセス数が、過去は少なく、かつ、基準日から所定の日数において増加し、かつ、その後減少するか否かを判定出来れば良い。 In the specific example, the case where the reference date is current has been described, but the reference date may be in the past.
That is, the black URL specifying unit 108 only needs to determine whether the number of accesses to the black URL candidate is small in the past, increases in a predetermined number of days from the reference date, and decreases thereafter.

すなわち、ブラックＵＲＬ特定部１０８は、あらかじめ定義された所定の期間においてのみ日毎（単位時間毎）のアクセス数が、アクセス数の第１の閾値以上となるＵＲＬをブラックＵＲＬ２０８として特定している。   That is, the black URL specifying unit 108 specifies, as the black URL 208, a URL whose number of accesses per day (per unit time) is equal to or more than the first threshold value for the number of accesses only during a predetermined period defined in advance.

ブラックＵＲＬ特定部１０８は、アクセス数の時系列の変化を自動判定するために、ＡＲＭＡ（ＡｕｔｏＲｅｇｒｅｓｓｉｖｅ Ｍｏｖｉｎｇ Ａｖｅｒａｇｅ）などを利用した公知の方式を使用しても良い。そして、ブラックＵＲＬ特定部１０８は、ＡＲＭＡによりアクセス数の変化が見つかったブラックＵＲＬ候補をブラックＵＲＬ２０８と特定しても良い。   The black URL specifying unit 108 may use a known method using an ARMA (AutoRegressive Moving Average) or the like in order to automatically determine a time-series change in the number of accesses. Then, the black URL specifying unit 108 may specify the black URL candidate in which the change in the number of accesses is found by ARMA as the black URL 208.

更に、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補に対する通信量に基づいて、ブラックＵＲＬ２０８を特定しても良い。   Further, the black URL specifying unit 108 may specify the black URL 208 based on the traffic for the black URL candidate.

その場合、ブラック判定条件２０７は、「今まで通信量が少なかったブラックＵＲＬ候補において、急に通信量が一定期間増加し、その後また減少したか否か」となる。
前述の通りプロキシログ２０１（図１７）には、通信サイズ（通信量）が示されている為、ブラックＵＲＬ特定部１０８は、各ブラックＵＲＬ候補に対して、例えば日毎の通信量を集計することが可能である。
すなわち、ブラックＵＲＬ特定部１０８は、プロキシログ２０１から各ブラックＵＲＬ候補に対する単位時間毎のデータ通信量を算出する。 In this case, the black determination condition 207 is “whether or not the traffic amount suddenly increases for a certain period and then decreases again in the black URL candidate whose traffic amount has been small until now”.
As described above, since the communication size (communication amount) is indicated in the proxy log 201 (FIG. 17), the black URL specifying unit 108 adds up the daily communication amount for each black URL candidate, for example. Is possible.
That is, the black URL specifying unit 108 calculates the data communication amount per unit time for each black URL candidate from the proxy log 201.

そして、詳細な説明は省略するが、ブラックＵＲＬ特定部１０８は図３７の処理においてアクセス数の代わりに、通信量を用いてブラックＵＲＬ２０８を特定する。
すなわち、ブラックＵＲＬ特定部１０８は、あらかじめ定義された所定の期間においてのみ日毎（単位時間毎）のデータ通信量が、データ通信量の第１の閾値以上となるＵＲＬをブラックＵＲＬ２０８として特定する。 Then, although a detailed description is omitted, the black URL specifying unit 108 specifies the black URL 208 using the traffic instead of the number of accesses in the processing of FIG.
That is, the black URL specifying unit 108 specifies, as the black URL 208, a URL whose data communication volume for each day (unit time) is equal to or more than the first threshold of the data communication volume only in a predetermined period defined in advance.

（実施の形態６の効果）
前述の通り、マルウェアとＣ＆Ｃサーバとのアクセス数またはデータ通信量は、短期間に増加することが知られている。実施の形態６の情報漏洩検知システム１００は、短期間にアクセス数またはデータ通信量が増加するアクセス先のＵＲＬを特定することで、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。 (Effect of Embodiment 6)
As described above, it is known that the number of accesses or the amount of data communication between the malware and the C & C server increases in a short time. The information leakage detection system 100 according to the sixth embodiment can extract the URL of the access destination by the malware with higher accuracy by specifying the URL of the access destination where the number of accesses or the amount of data communication increases in a short time. is there.

実施の形態７．
（実施の形態７における情報漏洩検知システム１００の概要）
実施の形態７の情報漏洩検知システム１００は、ブラック判定条件２０７として、ブラックＵＲＬ候補のウェブページへのアクセス数を用いる。具体的には、「ブラックＵＲＬ候補との通信において、周期的にアクセスが発生しているか否か」をブラック判定条件２０７とする。 Embodiment 7 FIG.
(Outline of Information Leakage Detection System 100 in Embodiment 7)
The information leakage detection system 100 according to the seventh embodiment uses the number of accesses to a black URL candidate web page as the black determination condition 207. Specifically, “whether or not access is periodically generated in communication with a black URL candidate” is set as the black determination condition 207.

（ブラックＵＲＬ特定部１０８の処理）
図３９は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。
図４０は、ブラックＵＲＬ候補のウェブページへのアクセス数の例を示す図である。 (Processing of the black URL specifying unit 108)
FIG. 39 is a flowchart illustrating an example of processing of the black URL specifying unit 108.
FIG. 40 is a diagram illustrating an example of the number of accesses to a web page of a black URL candidate.

なお、図２において図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１を入力することが可能である。ここで、ブラックＵＲＬ特定部１０８は、プロキシログ取り込み部１０１が入力したプロキシログ２０１をプロキシログ取り込み部１０１から入力しても良い。   Although not shown in FIG. 2, the black URL specifying unit 108 can input the proxy log 201. Here, the black URL specifying unit 108 may input the proxy log 201 input by the proxy log capturing unit 101 from the proxy log capturing unit 101.

まず、ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜４いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。（図３９のＳ１３０１）。   First, as described above, the black URL specifying unit 108 sets the black URL 208 extracted by any one of the first to fourth embodiments as a black URL candidate. Then, the black URL specifying unit 108 inputs the black determination condition 207. (S1301 in FIG. 39).

ここでブラック判定条件２０７は、前述の通り「ブラックＵＲＬ候補との通信において、周期的にアクセスが発生しているか否か」である。   Here, the black determination condition 207 is “whether or not access is periodically generated in communication with the black URL candidate” as described above.

そして、ブラックＵＲＬ特定部１０８は、入力したプロキシログ２０１から各ブラックＵＲＬ候補に対する単位時間毎のアクセス数をあらかじめ定められた集計期間において集計する（図３９のＳ１３０２）。
ここで、単位時間毎のアクセス数をＭｉ（ｉ＝１〜ｋ）とする。例えば、ブラックＵＲＬ特定部１０８は、１分間毎のアクセス数を集計するとした場合、Ｍ１は、集計期間ｋ分間の内の最初の１分間（１分目）のアクセス数の集計、Ｍ２は次の１分間（２分目）のアクセス数の集計を意味する。 Then, the black URL specifying unit 108 counts the number of accesses per unit time for each black URL candidate from the input proxy log 201 in a predetermined counting period (S1302 in FIG. 39).
Here, it is assumed that the number of accesses per unit time is Mi (i = 1 to k). For example, if the black URL specifying unit 108 counts the number of accesses per minute, M1 is the total number of accesses for the first one minute (first minute) of the counting period k minutes, and M2 is the next number This means the total number of accesses for one minute (second minute).

なお、図３９において図示は、省略するがＳ１３０２〜Ｓ１３０４の処理は、各ブラックＵＲＬ候補に対して行われる。   Note that although not shown in FIG. 39, the processing of S1302 to S1304 is performed for each black URL candidate.

次に、ブラックＵＲＬ特定部１０８は、アクセス数の集計結果Ｍｉ（ｉ＝１〜ｋ）を時系列で並べた場合に周期的であるか否かを判定する（図３９のＳ１３０３）。
ここで、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が周期的にあらかじめ情報漏洩検知システム１００の記憶装置に記憶されている閾値（「アクセス数の第２の閾値」と称する）以上となっているか否かを判定する。つまり、ブラックＵＲＬ特定部１０８は、周期的にアクセスが発生しているか否かを判定している。
あるいは、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が周期的に同じ値となっているか否かを判定しても良い。また、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が周期的に「アクセス数の第２の閾値」以上の同じ値となっているか否かを判定しても良い。
周期的にアクセスが発生している場合（図３９のＳ１３０３の「ＹＥＳ」）、判定対象のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定し、出力する（図３９のＳ１３０４）。 Next, the black URL specifying unit 108 determines whether or not the total number of accesses Mi (i = 1 to k) is periodic when arranged in time series (S1303 in FIG. 39).
Here, the black URL specifying unit 108 determines that the number of accesses per unit time is equal to or greater than a threshold (referred to as a “second threshold for the number of accesses”) periodically stored in advance in the storage device of the information leakage detection system 100. It is determined whether or not. That is, the black URL specifying unit 108 determines whether or not access is periodically generated.
Alternatively, the black URL specifying unit 108 may determine whether or not the number of accesses per unit time is periodically the same value. Further, the black URL specifying unit 108 may determine whether or not the number of accesses per unit time is periodically equal to or greater than the “second threshold value for the number of accesses”.
When access occurs periodically (“YES” in S1303 in FIG. 39), the black URL candidate to be determined is specified as the black URL 208 and output (S1304 in FIG. 39).

すなわち、ブラックＵＲＬ特定部１０８は、単位時間毎のアクセス数が一定周期毎にあらかじめ定義されたアクセス数の第２の閾値以上となるブラックＵＲＬ候補をブラックＵＲＬ２０８として特定している。   That is, the black URL specifying unit 108 specifies, as the black URL 208, a black URL candidate whose number of accesses per unit time is equal to or greater than a second threshold value of the number of accesses defined in advance for every predetermined period.

図４０を用いて、具体例を説明する。
例えば図４０は、ブラックＵＲＬ特定部１０８が、あるブラックＵＲＬ候補に対する１分間毎のアクセス数を集計したものである。
そして、集計期間は、例えば、１日（２４時間×６０分＝１４４０分間）としている。
ブラックＵＲＬ特定部１０８は、図４０に示す集計結果において、２分に１回１アクセスが発生しており、周期的にアクセスが発生していると判定する。ここで「アクセス数の第２の閾値」は「１アクセス」とする。 A specific example will be described with reference to FIG.
For example, in FIG. 40, the black URL specifying unit 108 totals the number of accesses per minute for a certain black URL candidate.
The total period is, for example, one day (24 hours × 60 minutes = 1440 minutes).
The black URL specifying unit 108 determines that one access occurs once every two minutes in the counting result shown in FIG. Here, the “second threshold for the number of accesses” is “1 access”.

特定のマルウェアは、インターネット上のＣ＆Ｃサーバとの接続を確認するために定期的に通信することが知られている。したがって、例えば周期的に１回以上のアクセス数が示されるアクセスは、マルウェアによるアクセスと考えられる。   Certain malware is known to communicate periodically to confirm connectivity with a C & C server on the Internet. Therefore, for example, an access in which the number of accesses is once or more periodically is considered as an access by malware.

ブラックＵＲＬ特定部１０８は、アクセス数の時系列の周期的な変化を自動判定する公知のアルゴリズムを使用しても良い。そして、ブラックＵＲＬ特定部１０８は、公知のアルゴリズムにより周期的なアクセス数の変化が見つかったブラックＵＲＬ候補をブラックＵＲＬ２０８と特定しても良い。   The black URL specifying unit 108 may use a known algorithm that automatically determines a time-series periodic change in the number of accesses. Then, the black URL specifying unit 108 may specify the black URL candidate in which the change in the periodic access number is found by a known algorithm as the black URL 208.

更に、ブラックＵＲＬ特定部１０８は、ブラックＵＲＬ候補に対する通信量に基づいて、ブラックＵＲＬ２０８を特定しても良い。   Further, the black URL specifying unit 108 may specify the black URL 208 based on the traffic for the black URL candidate.

その場合、ブラックＵＲＬ特定部１０８は、プロキシログ２０１から各ブラックＵＲＬ候補に対する単位時間毎のデータ通信量を算出する。   In this case, the black URL specifying unit 108 calculates the data communication amount per unit time for each black URL candidate from the proxy log 201.

そして、詳細な説明は省略するが、ブラックＵＲＬ特定部１０８は図３９の処理においてアクセス数の代わりに、通信量を用いてブラックＵＲＬ２０８を特定する。
すなわち、ブラックＵＲＬ特定部１０８は、単位時間毎のデータ通信量が一定周期毎にあらかじめ定義されたデータ通信量の第２の閾値以上となるブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。 Although not described in detail, the black URL specifying unit 108 specifies the black URL 208 using the traffic instead of the number of accesses in the processing of FIG.
In other words, the black URL specifying unit 108 specifies, as the black URL 208, a black URL candidate whose data communication amount per unit time is equal to or greater than a second threshold value of data communication amount that is defined in advance for each fixed period.

（実施の形態７の効果）
前述の通り、マルウェアとＣ＆Ｃサーバとのアクセスは、周期的に行われることが知られている。実施の形態７の情報漏洩検知システム１００は、周期的にアクセスが行われるアクセス先のＵＲＬを特定することで、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。 (Effect of Embodiment 7)
As described above, it is known that the malware and the C & C server are accessed periodically. The information leakage detection system 100 according to the seventh embodiment can extract the URL of the access destination by the malware with higher accuracy by specifying the URL of the access destination that is periodically accessed.

実施の形態８．
（実施の形態８における情報漏洩検知システム１００の概要）
実施の形態８の情報漏洩検知システム１００は、ブラック判定条件２０７として、端末装置５００（プロキシサーバ装置６００）とブラックＵＲＬ候補のウェブページとの間のＷｅｂ通信におけるリクエストサイズとレスポンスサイズとを用いる。具体的には、「ブラックＵＲＬ候補において、通信のリクエストサイズとレスポンスサイズが閾値未満か否か」をブラック判定条件２０７とする。 Embodiment 8 FIG.
(Outline of Information Leakage Detection System 100 in Embodiment 8)
The information leakage detection system 100 according to the eighth embodiment uses a request size and a response size in web communication between the terminal device 500 (proxy server device 600) and a black URL candidate web page as the black determination condition 207. Specifically, “whether or not the communication request size and response size are less than the threshold in the black URL candidate” is set as the black determination condition 207.

（ブラックＵＲＬ特定部１０８の処理）
図４１は、ブラックＵＲＬ特定部１０８の処理の例を示すフローチャートである。 (Processing of the black URL specifying unit 108)
FIG. 41 is a flowchart illustrating an example of processing of the black URL specifying unit 108.

なお、図２において図示を省略しているが、ブラックＵＲＬ特定部１０８は、プロキシログ２０１（図１７）を入力することが可能である。ここで、ブラックＵＲＬ特定部１０８は、プロキシログ取り込み部１０１が入力したプロキシログ２０１をプロキシログ取り込み部１０１から入力しても良い。   Although not shown in FIG. 2, the black URL specifying unit 108 can input the proxy log 201 (FIG. 17). Here, the black URL specifying unit 108 may input the proxy log 201 input by the proxy log capturing unit 101 from the proxy log capturing unit 101.

まず、ブラックＵＲＬ特定部１０８は、前述の通り、実施の形態１〜４いずれかの処理によって抽出されたブラックＵＲＬ２０８をブラックＵＲＬ候補とする。そして、ブラックＵＲＬ特定部１０８は、ブラック判定条件２０７を入力する。（図４１のＳ１４０１）。   First, as described above, the black URL specifying unit 108 sets the black URL 208 extracted by any one of the first to fourth embodiments as a black URL candidate. Then, the black URL specifying unit 108 inputs the black determination condition 207. (S1401 in FIG. 41).

ここでブラック判定条件２０７は、前述の通り「ブラックＵＲＬ候補において、通信のリクエストサイズとレスポンスサイズが閾値未満か否か」である。
また、ブラックＵＲＬ特定部１０８は、例えば情報漏洩検知システム１００の記憶装置に記憶されているリクエストサイズの閾値「αＫＢ」とレスポンスサイズの閾値「βＫＢ」とを入力する。あるいは例えばユーザが情報漏洩検知システム１００の入力装置を用いて、リクエストサイズの閾値とレスポンスサイズの閾値とを入力しても良い。 Here, as described above, the black determination condition 207 is “whether or not the communication request size and the response size are less than the threshold in the black URL candidate”.
Further, the black URL specifying unit 108 inputs, for example, a request size threshold “αKB” and a response size threshold “βKB” stored in the storage device of the information leakage detection system 100. Alternatively, for example, the user may input the request size threshold and the response size threshold using the input device of the information leakage detection system 100.

ここで、ユーザがブラウザを用いて行うＷｅｂサイトの閲覧では、リクエストに対するレスポンスは何かしらの文字列を含むコンテンツであるため、ある程度以上のレスポンスサイズになり、「βＫＢ」未満にはならない。また、ユーザがブラウザを用いて行うＷｅｂサイトの閲覧におけるリクエストの場合もヘッダに情報が付与され、リクエストサイズは「αＫＢ」未満にならない。
そして、あらかじめユーザが、Ｗｅｂサイトへのアクセスにおけるリクエストサイズとレスポンスサイズとの統計データを取得し、αとβとの値を設定しておく。 Here, when a user browses a Web site using a browser, the response to the request is a content including some character string, and thus the response size becomes a certain level or more and does not become less than “βKB”. Also, in the case of a request for browsing a Web site performed by a user using a browser, information is added to the header, and the request size does not become less than “αKB”.
Then, in advance, the user acquires statistical data of the request size and response size in accessing the Web site, and sets the values of α and β.

そして、ブラックＵＲＬ特定部１０８は、入力したプロキシログ２０１から、各ブラックＵＲＬ候補のリクエストサイズとレスポンスサイズとを抽出する（図４１のＳ１４０２）。
ここで、図１７における図示は省略するが、プロキシログ２０１には、各アクセス毎のリクエストサイズとレスポンスサイズとが示される。
すなわち、プロキシログ２０１は、プロキシサーバ装置６００が行ったアクセス毎に、アクセス先のアドレスと、プロキシサーバ装置６００からアクセス先へ送信したデータのサイズであるリクエストサイズと、プロキシサーバ装置６００がアクセス先から受信したデータのサイズであるレスポンスサイズとが対応付けられて示される。
なお、１つのブラックＵＲＬ候補に対して複数のアクセスが有る場合は、ブラックＵＲＬ特定部１０８は、リクエストサイズとレスポンスサイズとの最小値を抽出する。 Then, the black URL specifying unit 108 extracts the request size and response size of each black URL candidate from the input proxy log 201 (S1402 in FIG. 41).
Here, although illustration in FIG. 17 is omitted, the proxy log 201 indicates a request size and a response size for each access.
That is, the proxy log 201 includes an access destination address, a request size that is the size of data transmitted from the proxy server device 600 to the access destination, and the proxy server device 600 access destination for each access performed by the proxy server device 600. The response size that is the size of the data received from is shown in association with it.
When there are a plurality of accesses to one black URL candidate, the black URL specifying unit 108 extracts the minimum value of the request size and the response size.

なお、図４１において図示は、省略するがＳ１４０２〜Ｓ１４０５の処理は、各ブラックＵＲＬ候補に対して行われる。   In addition, although illustration is abbreviate | omitted in FIG. 41, the process of S1402-S1405 is performed with respect to each black URL candidate.

次に、ブラックＵＲＬ特定部１０８は、抽出したリクエストサイズが閾値「αＫＢ」未満か否かを判定する（図４１のＳ１４０３）。
リクエストサイズが閾値「αＫＢ」未満の場合（図４１のＳ１４０３の「ＹＥＳ」）、ブラックＵＲＬ特定部１０８は、抽出したレスポンスサイズが閾値「βＫＢ」未満か否かを判定する（図４１のＳ１４０４）。
そして、ブラックＵＲＬ特定部１０８は、レスポンスサイズが閾値「βＫＢ」未満の場合（図４１のＳ１４０４の「ＹＥＳ」）、判定対象のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定し、出力する（図４１のＳ１４０５）。
すなわち、ブラックＵＲＬ特定部１０８は、リクエストサイズが閾値「αＫＢ」未満、かつ、レスポンスサイズが閾値「βＫＢ」未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。 Next, the black URL specifying unit 108 determines whether or not the extracted request size is smaller than the threshold “αKB” (S1403 in FIG. 41).
When the request size is smaller than the threshold “αKB” (“YES” in S1403 in FIG. 41), the black URL specifying unit 108 determines whether the extracted response size is smaller than the threshold “βKB” (S1404 in FIG. 41). .
Then, when the response size is less than the threshold “βKB” (“YES” in S1404 in FIG. 41), the black URL specifying unit 108 specifies the black URL candidate to be determined as the black URL 208 and outputs it (S1405 in FIG. 41). ).
That is, the black URL specifying unit 108 specifies, as the black URL 208, a black URL candidate whose request size is less than the threshold “αKB” and whose response size is less than the threshold “βKB”.

すなわち、ブラックＵＲＬ特定部１０８は、プロキシログ２０１からブラックＵＲＬ候補と対応付けられているレスポンスサイズとリクエストサイズとをアクセス単位で抽出（特定）する。そして、抽出したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満であり、リクエストサイズがあらかじめ定義されたリクエストサイズの閾値未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。   That is, the black URL specifying unit 108 extracts (specifies) the response size and request size associated with the black URL candidate from the proxy log 201 in units of access. Then, a black URL candidate whose extracted response size is smaller than the predefined response size threshold and whose request size is smaller than the predefined request size threshold is identified as the black URL 208.

ここで、マルウェアによるＷｅｂ通信はレスポンスのみが小さいこともあるので、ブラックＵＲＬ特定部１０８は、図４１のＳ１４０３の判定は行わず、Ｓ１４０４の判定のみを行うだけでも良い。すなわち、ブラックＵＲＬ特定部１０８は、レスポンスサイズが閾値「βＫＢ」未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。   Here, since only the response of the Web communication by malware may be small, the black URL specifying unit 108 may perform only the determination of S1404 without performing the determination of S1403 of FIG. That is, the black URL specifying unit 108 specifies a black URL candidate whose response size is less than the threshold value “βKB” as the black URL 208.

すなわち、ブラックＵＲＬ特定部１０８は、プロキシログ２０１からブラックＵＲＬ候補と対応付けられているレスポンスサイズをアクセス単位で抽出（特定）する。そして、抽出したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満のブラックＵＲＬ候補をブラックＵＲＬ２０８として特定する。   That is, the black URL specifying unit 108 extracts (specifies) the response size associated with the black URL candidate from the proxy log 201 in units of access. Then, a black URL candidate whose extracted response size is smaller than a predefined response size threshold is specified as the black URL 208.

（実施の形態８の効果）
特定のマルウェアは、インターネット上のＣ＆Ｃサーバとの接続を確認するために定期的に通信することが知られている。そして、前述の通り、その場合の通信データのサイズ（リクエストサイズとレスポンスサイズ）は、ユーザがブラウザを用いて行うＷｅｂサイトの閲覧の場合と比べて、少ない。従って、実施の形態８の情報漏洩検知システム１００は、リクエストサイズとレスポンスサイズとが閾値より少ないアクセスが行われるアクセス先のＵＲＬを特定することで、より精度高くマルウェアによるアクセス先のＵＲＬを抽出することが可能である。 (Effect of Embodiment 8)
Certain malware is known to communicate periodically to confirm connectivity with a C & C server on the Internet. As described above, the size of the communication data (request size and response size) in that case is small as compared with the case of browsing the Web site performed by the user using the browser. Therefore, the information leakage detection system 100 according to the eighth embodiment extracts the URL of the access destination by the malware with higher accuracy by specifying the URL of the access destination where the request size and the response size are smaller than the threshold. It is possible.

実施の形態９．
（実施の形態９における情報漏洩検知システム１００の概要）
実施の形態１と実施の形態３と実施の形態４とにおいて、端末操作ログ２０３（図３）には、端末装置５００がプロキシサーバ装置６００に通知したＵＲＬが記録されると説明した。
しかし、端末操作記録アプリケーションによっては、端末操作ログ２０３にＵＲＬではなく、端末装置５００（プロキシサーバ装置６００）がアクセスしたＷｅｂサイトのトップページのタイトルが、ウィンドウタイトルとして記録される場合がある。
実施の形態９の情報漏洩検知システム１００は、端末操作ログ２０３に記録されたＷｅｂサイトのトップページのタイトルと一致するタイトルをローカルプロキシログ２０４（図６）に記録されたコンテンツから検索する。そして、実施の形態９の情報漏洩検知システム１００は、ローカルプロキシログ２０４（図６）に記録されたコンテンツにおいて、一致したタイトルに対応付けられたＵＲＬをＷｅｂサイトのトップページのＵＲＬとして特定する。 Embodiment 9 FIG.
(Outline of Information Leakage Detection System 100 in Embodiment 9)
In the first embodiment, the third embodiment, and the fourth embodiment, it has been described that the URL notified by the terminal device 500 to the proxy server device 600 is recorded in the terminal operation log 203 (FIG. 3).
However, depending on the terminal operation recording application, the title of the top page of the Web site accessed by the terminal device 500 (proxy server device 600) may be recorded as the window title in the terminal operation log 203 instead of the URL.
The information leakage detection system 100 according to the ninth embodiment searches the content recorded in the local proxy log 204 (FIG. 6) for a title that matches the title of the top page of the website recorded in the terminal operation log 203. Then, the information leakage detection system 100 according to the ninth embodiment specifies the URL associated with the matching title as the URL of the top page of the website in the content recorded in the local proxy log 204 (FIG. 6).

（端末操作ログ取り込み部１０３の処理）
図４２は、ＷｅｂアクセスＵＲＬ情報３０３の例を示す図である。
端末操作ログ取り込み部１０３は、端末操作ログ２０３の一例として、例えば図３のＤ２０３２の行に示すエントリの操作内容が、ＵＲＬではなく、Ｗｅｂサイトのタイトルとなっている端末操作ログ２０３を入力する。つまり、端末操作ログ取り込み部１０３は、「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ＵｓｅｒＩＤ１２３４、Ｗｅｂアクセス、サンプルサイト」を入力する。ここで、「サンプルサイト」は、Ｗｅｂサイト（コンテンツ）のタイトル名である。 (Processing of terminal operation log capturing unit 103)
FIG. 42 is a diagram illustrating an example of the Web access URL information 303.
As an example of the terminal operation log 203, the terminal operation log capturing unit 103 inputs, for example, the terminal operation log 203 in which the operation content of the entry shown in the row D2032 in FIG. 3 is not a URL but a website title. . That is, the terminal operation log capturing unit 103 inputs “2011/06/23 10:00:00, 192.168.1.2, UserID 1234, Web access, sample site”. Here, “sample site” is the title name of the Web site (content).

すなわち、端末操作ログ取り込み部１０３は、ユーザの操作により端末装置５００がプロキシサーバ装置６００に通知したアドレスに基づいてプロキシサーバ装置６００が行ったアクセスのアクセス先のウェブページのタイトルが示される端末操作ログ２０３を入力する。   That is, the terminal operation log capturing unit 103 displays the title of the web page of the access destination accessed by the proxy server device 600 based on the address notified to the proxy server device 600 by the user device. The log 203 is input.

そして、端末操作ログ取り込み部１０３は、実施の形態１と同様に、端末操作ログ２０３からＷｅｂアクセスＵＲＬ情報３０３を抽出し、出力する。ＷｅｂアクセスＵＲＬ情報３０３の例を図４２に示す。図４２に示すＷｅｂアクセスＵＲＬ情報３０３は、端末操作ログ２０３と同様に、ＵＲＬではなく、Ｗｅｂサイト（コンテンツ）のタイトル名が示されている。   Then, the terminal operation log capturing unit 103 extracts the Web access URL information 303 from the terminal operation log 203 and outputs the same as in the first embodiment. An example of the Web access URL information 303 is shown in FIG. As in the terminal operation log 203, the Web access URL information 303 shown in FIG. 42 indicates the title name of the Web site (content) instead of the URL.

（ローカルプロキシログ取り込み部１０４の処理）
図４３は、コンテンツ実体３５０の例を示す図である。
ローカルプロキシログ取り込み部１０４は、実施の形態１と同様に、ローカルプロキシログ２０４（図６）を入力し、入力したローカルプロキシログ２０４からローカルプロキシログエントリ３０４（図９）を抽出し、出力する。
ここで、ローカルプロキシログエントリ３０４（図９）に含まれるコンテンツ実体３５０は、例えば図４３のようになっている。つまり、コンテンツ実体３５０にＷｅｂサイト（コンテンツ）のタイトル名が示されている。
そして、例えば図９のローカルプロキシログエントリ３０４ａには、Ｗｅｂサイト（コンテンツ）のタイトル名が示されているコンテンツ実体３５０と、ＵＲＬ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」とが対応付けられている。 (Processing of local proxy log capturing unit 104)
FIG. 43 is a diagram illustrating an example of the content entity 350.
As in the first embodiment, the local proxy log capturing unit 104 inputs the local proxy log 204 (FIG. 6), extracts the local proxy log entry 304 (FIG. 9) from the input local proxy log 204, and outputs it. .
Here, the content entity 350 included in the local proxy log entry 304 (FIG. 9) is, for example, as shown in FIG. That is, the title name of the website (content) is shown in the content entity 350.
For example, the local proxy log entry 304a in FIG. 9 includes a content entity 350 indicating the title name of the website (content) and a URL “http: //XXX.abc-sample.ΔΔΔ/ Are associated with each other.

ここで、Ｗｅｂサイト（プロキシサーバ装置６００が行ったアクセスのアクセス先のウェブページ）のタイトルと、ＵＲＬ（アクセス先のアドレス）とが対応付けて示されるローカルプロキシログエントリ３０４をローカルプロキシ情報と称する。
そして、ローカルプロキシログ２０４（図６）にはローカルプロキシ情報が少なくとも１つ以上含まれている。
なお、プロキシサーバ装置６００は、前述の通り、端末装置５００がローカルプロキシ５５０を利用してプロキシサーバ装置６００に通知したアドレスに基づいてアクセスを行う。 Here, the local proxy log entry 304 in which the title of the Web site (access destination web page accessed by the proxy server apparatus 600) and the URL (access destination address) are shown in association with each other is referred to as local proxy information. .
The local proxy log 204 (FIG. 6) includes at least one local proxy information.
As described above, the proxy server device 600 accesses based on the address notified to the proxy server device 600 by the terminal device 500 using the local proxy 550.

（トップページＵＲＬ特定部１０６の処理）
図４４は、トップページＵＲＬ特定部１０６の処理の例を示す図である。 (Processing of the top page URL specifying unit 106)
FIG. 44 is a diagram illustrating an example of processing of the top page URL specifying unit 106.

トップページＵＲＬ特定部１０６は、実施の形態１と同様にＷｅｂアクセスＵＲＬ情報３０３（図４２）とローカルプロキシログエントリ３０４（図９）とを入力する。ここでローカルプロキシログエントリ３０４（図９）に含まれるコンテンツ実体３５０は、前述の図４３の例とする。   The top page URL specifying unit 106 inputs the Web access URL information 303 (FIG. 42) and the local proxy log entry 304 (FIG. 9) as in the first embodiment. Here, the content entity 350 included in the local proxy log entry 304 (FIG. 9) is the example of FIG. 43 described above.

そして、図４４における図示は省略するが、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３（図４２）に含まれる全てのエントリに対して、図４４の処理を行う。
ここでは、図４２のＤ６０３１に示すＷｅｂアクセスＵＲＬ情報３０３のエントリを例に説明を行う。 Then, although illustration in FIG. 44 is omitted, the top page URL specifying unit 106 performs the process of FIG. 44 on all entries included in the Web access URL information 303 (FIG. 42).
Here, description will be made by taking the entry of the Web access URL information 303 shown in D6031 of FIG. 42 as an example.

すなわち、トップページＵＲＬ特定部１０６は、図４２のＤ６０３１に示すＷｅｂアクセスＵＲＬ情報３０３のエントリを入力し、Ｗｅｂサイトのタイトル「サンプルサイトａｂｃ−ｓａｍｐｌｅ」を抽出する。また、トップページＵＲＬ特定部１０６は、操作日時である「２０１１／０６／２３ １０：００：００」を抽出する。   That is, the top page URL specifying unit 106 inputs an entry of the Web access URL information 303 shown in D6031 of FIG. 42, and extracts the title “sample site abc-sample” of the Web site. Further, the top page URL specifying unit 106 extracts “2011/06/23 10:00:00” which is the operation date and time.

そして、トップページＵＲＬ特定部１０６は、ローカルプロキシログエントリ３０４を全て入力したか否かを判定する（図４４のＳ１５０１）。
トップページＵＲＬ特定部１０６は、全てのローカルプロキシログエントリ３０４を入力していなければ（図４４のＳ１５０１の「ＮＯ」）、入力していないローカルプロキシログエントリ３０４を例えばアクセス日時の時系列順に入力する（図４４のＳ１５０２）。
ここで、例えば、トップページＵＲＬ特定部１０６は、図９のローカルプロキシログエントリ３０４ａ「２０１１／０６／２３ １０：００：００、１９２．１６８．１．２、ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／、ＧＥＴ、２００、１０００、コンテンツ実体」を入力したとする。 Then, the top page URL specifying unit 106 determines whether or not all the local proxy log entries 304 have been input (S1501 in FIG. 44).
If all the local proxy log entries 304 have not been input (“NO” in S1501 in FIG. 44), the top page URL specifying unit 106 inputs the local proxy log entries 304 that have not been input, for example, in chronological order of access date / time. (S1502 in FIG. 44).
Here, for example, the top page URL specifying unit 106 determines that the local proxy log entry 304a “2011/06/23 10:00:00, 192.168.1.2, http: //◯◯◯.abc in FIG. “Sample.ΔΔΔ /, GET, 200, 1000, content entity” is input.

そして、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３から抽出したタイトルが、コンテンツ実体３５０に含まれるか否かを判定する。
具体的には、図４３に示すコンテンツ実体３５０において、＜ｔｉｔｌｅ＞タグと＜／ｔｉｔｌｅ＞タグとで囲われている文字列を抽出し、ＷｅｂアクセスＵＲＬ情報３０３から抽出した「サンプルサイトａｂｃ−ｓａｍｐｌｅ」と比較する。 Then, the top page URL specifying unit 106 determines whether the title extracted from the Web access URL information 303 is included in the content entity 350.
Specifically, in the content entity 350 shown in FIG. 43, a character string enclosed by the <title> tag and the </ title> tag is extracted, and the “sample site abc-sample” extracted from the Web access URL information 303 is extracted. "

更に、トップページＵＲＬ特定部１０６は、ＷｅｂアクセスＵＲＬ情報３０３から抽出した操作日時「２０１１／０６／２３ １０：００：００」が、図９のローカルプロキシログエントリ３０４ａのアクセス日時と一致するか否かを判定する（図４４のＳ１５０３）。   Further, the top page URL specifying unit 106 determines whether or not the operation date and time “2011/06/23 10:00:00” extracted from the Web access URL information 303 matches the access date and time of the local proxy log entry 304a in FIG. Is determined (S1503 in FIG. 44).

そして、ＷｅｂアクセスＵＲＬ情報３０３から抽出したタイトルが、コンテンツ実体３５０に含まれ、ＷｅｂアクセスＵＲＬ情報３０３から抽出した操作日時が、ローカルプロキシログエントリ３０４ａのアクセス日時と一致するので（図４４のＳ１５０３の「ＹＥＳ」）、トップページＵＲＬ特定部１０６は、ローカルプロキシログエントリ３０４ａに示されるＵＲＬ「ｈｔｔｐ：／／○○○．ａｂｃ−ｓａｍｐｌｅ．△△△／」を抽出する。このトップページＵＲＬ特定部１０６が抽出したＵＲＬをトップページＵＲＬと称する。
そして、トップページＵＲＬ特定部１０６は、このトップページＵＲＬと、ローカルプロキシログエントリ３０４に示されるアクセス日時と端末識別子とメソッドとステータスと通信量とをトップページＵＲＬ情報３０６として出力する。 Then, the title extracted from the Web access URL information 303 is included in the content entity 350, and the operation date and time extracted from the Web access URL information 303 matches the access date and time of the local proxy log entry 304a (S1503 in FIG. 44). “YES”), the top page URL specifying unit 106 extracts the URL “http: //XXX.abc-sample.ΔΔΔ/” indicated in the local proxy log entry 304a. The URL extracted by the top page URL specifying unit 106 is referred to as a top page URL.
Then, the top page URL specifying unit 106 outputs the top page URL, the access date and time, the terminal identifier, the method, the status, and the communication amount indicated in the local proxy log entry 304 as the top page URL information 306.

一方、ＷｅｂアクセスＵＲＬ情報３０３から抽出したタイトルが、コンテンツ実体３５０に含まれない、もしくは、ＷｅｂアクセスＵＲＬ情報３０３から抽出した操作日時が、ローカルプロキシログエントリ３０４ａのアクセス日時と一致しない場合（図４４のＳ１５０３の「ＮＯ」）、トップページＵＲＬ特定部１０６は再度Ｓ１５０１の処理を行う。   On the other hand, the title extracted from the Web access URL information 303 is not included in the content entity 350, or the operation date and time extracted from the Web access URL information 303 does not match the access date and time of the local proxy log entry 304a (FIG. 44). The top page URL specifying unit 106 performs the process of S1501 again.

すなわち、トップページＵＲＬ特定部１０６は、ローカルプロキシ情報（ローカルプロキシログエントリ３０４）のコンテンツ実体３５０に示されるタイトルの内、端末操作ログ２０３に示されるタイトルに合致するタイトルが示されるローカルプロキシ情報（ローカルプロキシログエントリ３０４）を抽出する。つまりトップページＵＲＬ特定部１０６は、ローカルプロキシ情報抽出部に対応する。   That is, the top page URL specifying unit 106 has local proxy information (in which the title matching the title shown in the terminal operation log 203 is shown among the titles shown in the content entity 350 of the local proxy information (local proxy log entry 304) ( Extract local proxy log entry 304). That is, the top page URL specifying unit 106 corresponds to a local proxy information extracting unit.

そして、図４４のＳ１５０４の処理は実施の形態１と同様であるため、説明を省略する。   The processing in S1504 in FIG. 44 is the same as that in the first embodiment, and a description thereof will be omitted.

また、ブラックＵＲＬ特定部１０８は、実施の形態１と同様にプロキシログ２０１（図１７）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２と、ブラウザアクセスＵＲＬ情報３０７とのいずれにも示されていないＵＲＬを抽出する。ここで、ブラウザアクセスＵＲＬ情報３０７はトップページＵＲＬ特定部１０６に抽出されたローカルプロキシログエントリ３０４（ローカルプロキシ情報）から生成される。
したがって、換言すると、ブラックＵＲＬ特定部１０８は、プロキシログ２０１（図１７）に示されるＵＲＬの内、ＵＲＬホワイトリスト２０２と、トップページＵＲＬ特定部１０６に抽出されたローカルプロキシログエントリ３０４（ローカルプロキシ情報）とのいずれにも示されていないアドレスを抽出する。 Similarly to the first embodiment, the black URL specifying unit 108 is not shown in any of the URL white list 202 and the browser access URL information 307 in the URL shown in the proxy log 201 (FIG. 17). Extract the URL. Here, the browser access URL information 307 is generated from the local proxy log entry 304 (local proxy information) extracted by the top page URL specifying unit 106.
Therefore, in other words, the black URL specifying unit 108 includes the URL white list 202 and the local proxy log entry 304 (local proxy) extracted in the top page URL specifying unit 106 in the URL shown in the proxy log 201 (FIG. 17). Addresses not shown in any of (information) are extracted.

なお、実施の形態５〜８の情報漏洩検知システム１００は、実施の形態９のブラックＵＲＬ特定部１０８が抽出したブラックＵＲＬ２０８をブラックＵＲＬ候補として処理を行っても良い。   Note that the information leakage detection system 100 according to the fifth to eighth embodiments may perform processing by using the black URL 208 extracted by the black URL specifying unit 108 according to the ninth embodiment as a black URL candidate.

（実施の形態９の効果）
前述のように端末操作記録アプリケーションによっては、端末操作ログ２０３にＵＲＬが記録されず、アクセスしたＷｅｂサイトのトップページのタイトルがウィンドウタイトルとして記録される場合がある。このような場合でも、実施の形態９の情報漏洩検知システム１００は、端末操作ログ２０３から得たタイトルから、端末装置５００がアクセスしたＷｅｂサイトのＵＲＬを特定することが可能である。 (Effect of Embodiment 9)
As described above, depending on the terminal operation recording application, the URL is not recorded in the terminal operation log 203, and the title of the top page of the accessed website may be recorded as the window title. Even in such a case, the information leakage detection system 100 according to the ninth embodiment can identify the URL of the Web site accessed by the terminal device 500 from the title obtained from the terminal operation log 203.

（実施の形態１〜９の情報漏洩検知システム１００のハードウェア構成）
最後に、実施の形態１〜９に示した情報漏洩検知システム１００のハードウェア構成例について説明する。
図４５は、本実施の形態に示した情報漏洩検知システム１００のハードウェア資源の一例を示す図である。
なお、図４５の構成は、あくまでも情報漏洩検知システム１００のハードウェア構成の一例を示すものであり、情報漏洩検知システム１００のハードウェア構成は図４５に記載の構成に限らず、他の構成であってもよい。 (Hardware configuration of information leakage detection system 100 of Embodiments 1 to 9)
Finally, a hardware configuration example of the information leakage detection system 100 shown in the first to ninth embodiments will be described.
FIG. 45 is a diagram illustrating an example of hardware resources of the information leakage detection system 100 illustrated in the present embodiment.
The configuration in FIG. 45 is merely an example of the hardware configuration of the information leakage detection system 100, and the hardware configuration of the information leakage detection system 100 is not limited to the configuration illustrated in FIG. There may be.

図４５において、情報漏洩検知システム１００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）と接続していてもよい。また、磁気ディスク装置９２０の代わりに、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。
本実施の形態で説明した情報漏洩検知システム１００の記憶装置、ログ蓄積部１０９は、磁気ディスク装置９２０等により実現される。
通信ボード９１５、キーボード９０２、マウス９０３、ＦＤＤ９０４などは、入力装置の一例である。
本実施の形態で説明した情報漏洩検知システム１００の入力装置は、例えばキーボード９０２やマウス９０３により実現される。
また、通信ボード９１５、表示装置９０１などは、出力装置の一例である。 45, the information leakage detection system 100 includes a CPU 911 (also referred to as a central processing unit, a central processing unit, a processing unit, an arithmetic unit, a microprocessor, a microcomputer, and a processor) that executes a program.
The CPU 911 is connected to, for example, a ROM (Read Only Memory) 913, a RAM (Random Access Memory) 914, a communication board 915, a display device 901, a keyboard 902, a mouse 903, and a magnetic disk device 920 via a bus 912. Control hardware devices.
Further, the CPU 911 may be connected to an FDD 904 (Flexible Disk Drive) or a compact disk device 905 (CDD). Further, instead of the magnetic disk device 920, a storage device such as an SSD (Solid State Drive), an optical disk device, or a memory card (registered trademark) read / write device may be used.
The RAM 914 is an example of a volatile memory. The storage media of the ROM 913, the FDD 904, the CDD 905, and the magnetic disk device 920 are an example of a nonvolatile memory. These are examples of the storage device.
The storage device and log storage unit 109 of the information leakage detection system 100 described in this embodiment are realized by a magnetic disk device 920 or the like.
The communication board 915, the keyboard 902, the mouse 903, the FDD 904, and the like are examples of input devices.
The input device of the information leakage detection system 100 described in the present embodiment is realized by a keyboard 902 or a mouse 903, for example.
The communication board 915, the display device 901, and the like are examples of output devices.

通信ボード９１５は、ネットワークに接続されている。
例えば、ネットワークは、ＬＡＮ、インターネットの他、ＷＡＮ（ワイドエリアネットワーク）、ＳＡＮ（ストレージエリアネットワーク）などでも構わない。 The communication board 915 is connected to the network.
For example, the network may be a wide area network (WAN), a storage area network (SAN), or the like in addition to the LAN and the Internet.

磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。 The magnetic disk device 920 stores an operating system 921 (OS), a window system 922, a program group 923, and a file group 924.
The programs in the program group 923 are executed by the CPU 911 using the operating system 921 and the window system 922.

また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。 The RAM 914 temporarily stores at least part of the operating system 921 program and application programs to be executed by the CPU 911.
The RAM 914 stores various data necessary for processing by the CPU 911.

また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ Ｉｎｐｕｔ Ｏｕｔｐｕｔ Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
情報漏洩検知システム１００の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。 The ROM 913 stores a BIOS (Basic Input Output System) program, and the magnetic disk device 920 stores a boot program.
When the information leakage detection system 100 is activated, the BIOS program in the ROM 913 and the boot program for the magnetic disk device 920 are executed, and the operating system 921 is activated by the BIOS program and the boot program.

上記プログラム群９２３には、本実施の形態の説明において「〜部」（「〜蓄積部」以外、以下同様）として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。   The program group 923 stores a program that executes a function described as “˜unit” (except for “˜accumulation unit”) in the description of the present embodiment. The program is read and executed by the CPU 911.

ファイル群９２４には、本実施の形態の説明において、「〜の判断」、「〜の計算」、「〜の比較」、「〜の照合」、「〜の参照」、「〜の検索」、「〜の抽出」、「〜の検査」、「〜の生成」、「〜の設定」、「〜の登録」、「〜の選択」、「〜の入力」、「〜の受信」、「〜の判定」、「〜の定義」、「〜の算出」、「〜の更新」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶されている。
「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。
ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出される。
そして、読み出された情報やデータや信号値や変数値やパラメータは、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示・制御・判定・識別・検知・判別・選択・算出・導出・更新・生成・取得・通知・指示・判断・区別・削除などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示・制御・判定・識別・検知・判別・選択・算出・導出・更新・生成・取得・通知・指示・判断・区別・削除などのＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、本実施の形態で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示す。
データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。
また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。 In the description of this embodiment, the file group 924 includes “determination of”, “calculation of”, “comparison of”, “collation of”, “reference of”, “search of”, “Extract”, “examine”, “generate”, “set”, “register”, “select”, “input”, “receive”, “to” Information, data, signal values, variable values, and parameters indicating the results of the processing described as “determination of”, “definition of”, “calculation of”, “update of”, etc. It is stored as each item of “Database”.
The “file” and “database” are stored in a recording medium such as a disk or a memory.
Information, data, signal values, variable values, and parameters stored in a storage medium such as a disk or memory are read out to the main memory or cache memory by the CPU 911 via a read / write circuit.
The read information, data, signal values, variable values, and parameters are extracted, searched, referenced, compared, computed, calculated, processed, edited, output, printed, displayed, controlled, determined, identified, detected, identified. Used for CPU operations such as selection, calculation, derivation, update, generation, acquisition, notification, instruction, judgment, distinction, and deletion.
Extraction / Search / Reference / Comparison / Calculation / Processing / Edit / Output / Print / Display / Control / Judgment / Identification / Detection / Distinction / Selection / Calculation / Derivation / Update / Generation / Acquisition / Notification / Instruction / Judgment / During the operation of the CPU such as discrimination / deletion, information, data, signal values, variable values, and parameters are temporarily stored in a main memory, a register, a cache memory, a buffer memory, and the like.
In addition, the arrows in the flowchart described in this embodiment mainly indicate input / output of data and signals.
Data and signal values are recorded on a recording medium such as a memory of the RAM 914, a flexible disk of the FDD 904, a compact disk of the CDD 905, a magnetic disk of the magnetic disk device 920, other optical disks, a mini disk, and a DVD.
Data and signals are transmitted online via a bus 912, signal lines, cables, or other transmission media.

また、本実施の形態の説明において「〜部」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。
すなわち、本実施の形態で説明したフローチャートに示すステップ、手順、処理により、本発明に係る情報処理方法を実現することができる。
また、「〜部」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。
或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。
プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。
すなわち、プログラムは、本実施の形態の「〜部」としてコンピュータを機能させるものである。あるいは、本実施の形態の「〜部」の手順や方法をコンピュータに実行させるものである。 In addition, what is described as “˜unit” in the description of the present embodiment may be “˜circuit”, “˜device”, “˜device”, and “˜step”, “˜”. “Procedure” and “˜Process” may be used.
That is, the information processing method according to the present invention can be realized by the steps, procedures, and processes shown in the flowchart described in this embodiment.
Further, what is described as “˜unit” may be realized by firmware stored in the ROM 913.
Alternatively, it may be implemented only by software, or only by hardware such as elements, devices, substrates, and wirings, by a combination of software and hardware, or by a combination of firmware.
Firmware and software are stored as programs in a recording medium such as a magnetic disk, a flexible disk, an optical disk, a compact disk, a mini disk, and a DVD.
The program is read by the CPU 911 and executed by the CPU 911.
In other words, the program causes the computer to function as “to part” of the present embodiment. Alternatively, the procedure or method of “˜unit” in the present embodiment is executed by a computer.

このように、本実施の形態に示す情報漏洩検知システム１００は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータである。
そして、上記したように「〜部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。 As described above, the information leakage detection system 100 according to this embodiment includes a CPU as a processing device, a memory as a storage device, a magnetic disk, a keyboard as an input device, a mouse, a communication board, and a display device as an output device and a communication board. Etc. are computers provided with the above.
Then, as described above, the functions indicated as “˜units” are realized using these processing devices, storage devices, input devices, and output devices.

１００ 情報漏洩検知システム、１０１ プロキシログ取り込み部、１０２ ＵＲＬホワイトリスト取り込み部、１０３ 端末操作ログ取り込み部、１０４ ローカルプロキシログ取り込み部、１０５ グレーＵＲＬ特定部、１０６ トップページＵＲＬ特定部、１０７ ブラウザアクセスＵＲＬ特定部、１０８ ブラックＵＲＬ特定部、１０９ ログ蓄積部、１５０ ネットワーク、２００ 期間特定部、２０１ プロキシログ、２０２ ＵＲＬホワイトリスト、２０３ 端末操作ログ、２０４ ローカルプロキシログ、２０５ 端末識別子、２０６ 期間、２０７ ブラック判定条件、２０８ ブラックＵＲＬ、２０９ 外部サービス、２５０ ブラックＵＲＬ情報、３０１ プロキシログエントリ、３０２ ホワイトＵＲＬ、３０３ ＷｅｂアクセスＵＲＬ情報、３０４ ローカルプロキシログエントリ、３０５ グレーＵＲＬ情報、３０６ トップページＵＲＬ情報、３０７ ブラウザアクセスＵＲＬ情報、３５０ コンテンツ実体、５００ 端末装置、５５０ ローカルプロキシ、６００ プロキシサーバ装置、６０６ トップページ内ＵＲＬ、９０１ 表示装置、９０２ キーボード、９０３ マウス、９０４ ＦＤＤ、９０５ コンパクトディスク装置、９１１ ＣＰＵ、９１２ バス、９１３ ＲＯＭ、９１４ ＲＡＭ、９１５ 通信ボード、９２０ 磁気ディスク装置、９２１ オペレーティングシステム、９２２ ウィンドウシステム、９２３ プログラム群、９２４ ファイル群。   DESCRIPTION OF SYMBOLS 100 Information leak detection system, 101 Proxy log acquisition part, 102 URL white list acquisition part, 103 Terminal operation log acquisition part, 104 Local proxy log acquisition part, 105 Gray URL specification part, 106 Top page URL specification part, 107 Browser access URL Identification unit, 108 Black URL identification unit, 109 Log storage unit, 150 Network, 200 Period identification unit, 201 Proxy log, 202 URL whitelist, 203 Terminal operation log, 204 Local proxy log, 205 Terminal identifier, 206 period, 207 Black Determination condition, 208 black URL, 209 external service, 250 black URL information, 301 proxy log entry, 302 white URL, 303 Web access U L information, 304 local proxy log entry, 305 gray URL information, 306 top page URL information, 307 browser access URL information, 350 content entity, 500 terminal device, 550 local proxy, 600 proxy server device, 606 top page URL, 901 Display device, 902 keyboard, 903 mouse, 904 FDD, 905 compact disk device, 911 CPU, 912 bus, 913 ROM, 914 RAM, 915 communication board, 920 magnetic disk device, 921 operating system, 922 window system, 923 program group, 924 files.

Claims (12)

端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報と、ユーザの指示に基づいて前記端末装置が前記プロキシサーバ装置にアクセス先として通知したアドレスが示されるユーザ指示情報とを入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と前記ユーザ指示情報とのいずれにも示されていないアドレスを抽出するアドレス抽出部と
を備えたことを特徴とするアドレス抽出装置。 An address extraction device that extracts a predetermined address from addresses accessed by a proxy server device that accesses an address notified as an access destination from a terminal device,
A proxy log indicating an access destination address for each access performed by the proxy server device, valid address information indicating an address defined as valid in advance, and the terminal device based on a user instruction, the proxy server device An address input unit for inputting user instruction information indicating an address notified as an access destination ;
An address extraction unit that extracts an address that is not indicated in either the valid address information or the user instruction information from among the addresses indicated in the proxy log input by the address input unit; Address extractor. 前記アドレス入力部は、
前記ユーザが前記端末装置に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて前記端末装置が前記プロキシサーバ装置にアクセス先として通知したアドレスがアドレス指示操作と対応付けられて示される端末操作ログを前記ユーザ指示情報として入力することを特徴とする請求項１記載のアドレス抽出装置。 The address input unit
A terminal operation in which an address notified by the terminal device to the proxy server device as an access destination based on an address instruction operation instructing the access destination address to the terminal device by the user is shown in association with the address instruction operation. address extracting apparatus according to claim 1, wherein the inputting the log as the user instruction information. 前記アドレス入力部は、
ローカルプロキシを有する端末装置が前記ユーザの指示に基づいて前記ローカルプロキシを利用して前記プロキシサーバ装置にアクセス先として通知したアドレスが示されるローカルプロキシログを前記ユーザ指示情報として入力することを特徴とする請求項１記載のアドレス抽出装置。 The address input unit
A terminal device having a local proxy inputs, as the user instruction information, a local proxy log indicating an address notified to the proxy server device as an access destination using the local proxy based on the user's instruction. The address extracting device according to claim 1 . 前記アドレス入力部は、
前記ユーザ指示情報に示されるアドレスのウェブページに関連付けされているアドレスが示される関連アドレス情報を入力し、
前記アドレス抽出部は、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と前記ユーザ指示情報と前記関連アドレス情報とのいずれにも示されていないアドレスを抽出することを特徴とする請求項１記載のアドレス抽出装置。 The address input unit
Input related address information indicating an address associated with the web page of the address indicated in the user instruction information,
The address extraction unit
The address that is not indicated in any of the valid address information, the user instruction information, and the related address information is extracted from the addresses indicated in the proxy log input by the address input unit. Item 2. The address extracting device according to Item 1 . 端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎にアクセスが行われたアクセス時刻とアクセス先のアドレスとが対応付けられて示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスであって、ユーザの存在を検知する検知装置が、ユーザが前記端末装置の前に存在しないと検知した期間に含まれるアクセス時刻に対応付けられているアドレスを抽出するアドレス抽出部と
を備えたことを特徴とするアドレス抽出装置。 An address extraction device that extracts a predetermined address from addresses accessed by a proxy server device that accesses an address notified as an access destination from a terminal device,
For each access performed by the proxy server device, a proxy log in which an access time and an access destination address are shown in association with each other and valid address information in which an address previously defined as valid is indicated Address input section to
Among the addresses indicated in the proxy log input by the address input unit, a detection device that detects the presence of a user that is not indicated in the legitimate address information exists before the terminal device. An address extracting device comprising: an address extracting unit that extracts an address associated with an access time included in a period in which it is detected that no access is made . 端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎にアクセスが行われたアクセス時刻とアクセス先のアドレスとが対応付けられて示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスを抽出するアドレス抽出部と
を備え、
前記アドレス入力部は、更に、
前記ユーザが前記端末装置に対して指示する指示操作と指示操作毎の操作時刻とが対応付けられて示され、前記ユーザが前記端末装置に対してアクセス先のアドレスを指示する場合に、前記ユーザが前記端末装置に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて前記端末装置が前記プロキシサーバ装置にアクセス先として通知したアドレスがアドレス指示操作とアドレス指示操作の操作時刻とに対応付けられて示される端末操作ログを入力し、
前記アドレス抽出装置は、更に、
前記端末操作ログに示される操作時刻の内、あらかじめ定義された定義期間の開始時刻後の最初の操作時刻と前記定義期間の終了時刻前の最後の操作時刻とを抽出し、前記定義期間の開始時刻から前記最初の操作時刻までの期間と前記最後の操作時刻から前記定義期間の終了時刻までの期間とから成る非操作期間を算出する、または、前記端末操作ログに示される操作時刻の内、前記定義期間の開始時刻後の操作時刻であってアドレスが対応付けられている最初の操作時刻である最初のアドレス対応操作時刻と、前記定義期間の終了時刻前の操作時刻であってアドレスが対応付けられている最後の操作時刻である最後のアドレス対応操作時刻とを抽出し、前記定義期間の開始時刻から前記最初のアドレス対応操作時刻までの期間と前記最後のアドレス対応操作時刻から前記定義期間の終了時刻までの期間とから成る非アドレス対応期間を算出する期間算出部
を備え、
前記アドレス抽出部は、
前記期間算出部により非操作期間が算出された場合に、前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスであって、前記非操作期間に含まれるアクセス時刻が対応付けられているアドレスを抽出し、前記期間算出部により非アドレス対応期間が算出された場合に、前記アドレス入力部により入力されたプロキシログに示されるアクセス時刻に対応付けられているアドレスの内、前記非アドレス対応期間に含まれるアクセス時刻に対応付けられているアドレスを抽出することを特徴とするアドレス抽出装置。 An address extraction device that extracts a predetermined address from addresses accessed by a proxy server device that accesses an address notified as an access destination from a terminal device,
For each access performed by the proxy server device, a proxy log in which an access time and an access destination address are shown in association with each other and valid address information in which an address previously defined as valid is indicated Address input section to
An address extraction unit that extracts an address that is not indicated in the valid address information from among the addresses indicated in the proxy log input by the address input unit ;
The address input unit further includes:
When the instruction operation instructed by the user to the terminal device and the operation time for each instruction operation are shown in association with each other and the user instructs the terminal device of an access destination address, the user The address notified by the terminal device to the proxy server device as the access destination based on the address instruction operation that instructs the terminal device of the access destination address is associated with the address instruction operation and the operation time of the address instruction operation. Enter the terminal operation log shown in the
The address extracting device further includes:
The first operation time after the start time of the predefined definition period and the last operation time before the end time of the definition period are extracted from the operation times indicated in the terminal operation log, and the start of the definition period A non-operation period consisting of a period from a time to the first operation time and a period from the last operation time to the end time of the definition period, or among the operation times indicated in the terminal operation log, The first address corresponding operation time that is the operation time after the start time of the definition period and is the first operation time associated with the address corresponds to the operation time that is the operation time before the end time of the definition period And the last address-corresponding operation time that is the last operation time attached, and the period from the start time of the definition period to the first address-corresponding operation time and the last Period calculation unit for calculating a non-address correspondence period comprising a period from dress corresponding operation time to the end time of the definition period
With
The address extraction unit
When the non-operation period is calculated by the period calculation unit, it is an address not shown in the valid address information among the addresses shown in the proxy log input by the address input unit, and the non-operation period When an address associated with an access time included in the URL is extracted and a non-address correspondence period is calculated by the period calculation unit, the address is associated with the access time indicated in the proxy log input by the address input unit An address extracting apparatus that extracts an address associated with an access time included in the non-address corresponding period from among the addresses that are included . 端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスを抽出するアドレス抽出部と、
前記アドレス抽出部により抽出されたアドレスの内、少なくとも１つの所定の条件に合致する所定のアドレスを条件合致アドレスとして特定する条件合致アドレス特定部と、
前記アドレス抽出部により抽出されたアドレス毎にアドレスのウェブページの提供元が属する国が示される提供国情報と、あらかじめ特定された国が示される特定国情報とを入力する情報入力部と
を備え、
前記条件合致アドレス特定部は、
前記情報入力部により入力された提供国情報に示される国の中で前記特定国情報に示されるいずれかの国に合致する国が提供しているウェブページのアドレスを条件合致アドレスとして特定することを特徴とするアドレス抽出装置。 An address extraction device that extracts a predetermined address from addresses accessed by a proxy server device that accesses an address notified as an access destination from a terminal device,
An address input unit for inputting a proxy log indicating an address of an access destination for each access performed by the proxy server device, and valid address information indicating an address defined as valid in advance;
An address extraction unit that extracts an address that is not indicated in the valid address information from among the addresses indicated in the proxy log input by the address input unit ;
A condition matching address specifying unit that specifies, as a condition matching address, a predetermined address that matches at least one predetermined condition among the addresses extracted by the address extraction unit;
An information input unit for inputting provided country information indicating a country to which a web page provider of an address belongs for each address extracted by the address extracting unit, and specific country information indicating a previously specified country;
With
The condition matching address specifying unit
The address of a web page provided by a country that matches any of the countries indicated in the specific country information among the countries indicated in the providing country information input by the information input unit is specified as a condition matching address. An address extracting device characterized by the above. 端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスとアクセス時のデータ通信量とが対応付けられて示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスを抽出するアドレス抽出部と、
前記アドレス抽出部により抽出されたアドレスの内、少なくとも１つの所定の条件に合致する所定のアドレスを条件合致アドレスとして特定する条件合致アドレス特定部と、
前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のアクセス数を算出する、または、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のデータ通信量を算出する通信量算出部と
を備え、
前記条件合致アドレス特定部は、
前記通信量算出部により単位時間毎のアクセス数が算出された場合に、あらかじめ定義された所定の期間においてのみ前記通信量算出部により算出された単位時間毎のアクセス数が、あらかじめ定義されたアクセス数の閾値以上となるアドレスを条件合致アドレスとして特定し、前記通信量算出部により単位時間毎のデータ通信量が算出された場合に、あらかじめ定義された所定の期間においてのみ前記通信量算出部により算出された単位時間毎のデータ通信量が、あらかじめ定義されたデータ通信量の閾値以上となるアドレスを条件合致アドレスとして特定することを特徴とするアドレス抽出装置。 An address extraction device that extracts a predetermined address from addresses accessed by a proxy server device that accesses an address notified as an access destination from a terminal device,
For each access performed by the proxy server device, a proxy log in which an access destination address and a data communication amount at the time of access are associated with each other and valid address information in which an address previously defined as valid is indicated are input. An address input section;
An address extraction unit that extracts an address that is not indicated in the valid address information from among the addresses indicated in the proxy log input by the address input unit ;
A condition matching address specifying unit that specifies, as a condition matching address, a predetermined address that matches at least one predetermined condition among the addresses extracted by the address extraction unit;
Calculate the number of accesses per unit time for each address extracted by the address extraction unit from the proxy log input by the address input unit, or by the address extraction unit from the proxy log input by the address input unit A traffic calculation unit for calculating the data traffic per unit time for each extracted address;
With
The condition matching address specifying unit
When the number of accesses per unit time is calculated by the traffic calculation unit, the number of accesses per unit time calculated by the traffic calculation unit only during a predetermined period defined in advance When the address that is equal to or greater than the threshold value is specified as a condition-matching address, and the data traffic volume per unit time is calculated by the traffic volume calculation unit, the traffic volume calculation unit only during a predetermined period defined in advance. An address extracting apparatus characterized in that an address at which the calculated data communication volume per unit time is equal to or greater than a predetermined threshold of data communication volume is specified as a condition matching address . 端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスとアクセス時のデータ通信量とが対応付けられて示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスを抽出するアドレス抽出部と、
前記アドレス抽出部により抽出されたアドレスの内、少なくとも１つの所定の条件に合致する所定のアドレスを条件合致アドレスとして特定する条件合致アドレス特定部と、
前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のアクセス数を算出する、または、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のデータ通信量を算出する通信量算出部と
を備え、
前記条件合致アドレス特定部は、
前記通信量算出部により単位時間毎のアクセス数が算出された場合に、前記単位時間毎のアクセス数が一定周期毎にあらかじめ定義されたアクセス数の閾値以上となるアドレスを条件合致アドレスとして特定し、前記通信量算出部により単位時間毎のデータ通信量が算出された場合に、前記単位時間毎のデータ通信量が一定周期毎にあらかじめ定義されたデータ通信量の閾値以上となるアドレスを条件合致アドレスとして特定することを特徴とするアドレス抽出装置。 An address extraction device that extracts a predetermined address from addresses accessed by a proxy server device that accesses an address notified as an access destination from a terminal device,
For each access performed by the proxy server device, a proxy log in which an access destination address and a data communication amount at the time of access are associated with each other and valid address information in which an address previously defined as valid is indicated are input. An address input section;
An address extraction unit that extracts an address that is not indicated in the valid address information from among the addresses indicated in the proxy log input by the address input unit ;
A condition matching address specifying unit that specifies, as a condition matching address, a predetermined address that matches at least one predetermined condition among the addresses extracted by the address extraction unit;
Calculate the number of accesses per unit time for each address extracted by the address extraction unit from the proxy log input by the address input unit, or by the address extraction unit from the proxy log input by the address input unit A traffic calculation unit for calculating the data traffic per unit time for each extracted address;
With
The condition matching address specifying unit
When the number of accesses per unit time is calculated by the communication amount calculation unit, an address where the number of accesses per unit time is equal to or greater than a threshold value of the number of accesses defined in advance for each fixed period is specified as a condition-matching address. When the amount of data communication per unit time is calculated by the communication amount calculation unit, an address where the data communication amount per unit time is equal to or greater than the threshold of the data communication amount defined in advance for every predetermined period is met. An address extracting apparatus characterized by being specified as an address. 端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎に、アクセス先のアドレスと、前記プロキシサーバ装置からアクセス先へ送信したデータのサイズであるリクエストサイズと、前記プロキシサーバ装置がアクセス先から受信したデータのサイズであるレスポンスサイズとが対応付けられて示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスを抽出するアドレス抽出部と、
前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスと対応付けられているレスポンスサイズをアクセス単位で特定し、特定したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満のアドレスを条件合致アドレスとして特定する条件合致アドレス特定部と
を備えたことを特徴とするアドレス抽出装置。 An address extraction device that extracts a predetermined address from addresses accessed by a proxy server device that accesses an address notified as an access destination from a terminal device,
For each access performed by the proxy server device, an access destination address , a request size which is the size of data transmitted from the proxy server device to the access destination, and a size of data received from the access destination by the proxy server device An address input unit for inputting a proxy log associated with a certain response size and valid address information indicating an address defined as valid in advance;
An address extraction unit that extracts an address that is not indicated in the valid address information from among the addresses indicated in the proxy log input by the address input unit ;
The response size associated with each address extracted by the address extraction unit from the proxy log input by the address input unit is specified in an access unit, and the specified response size is less than a predefined response size threshold value An address extracting apparatus comprising: a condition matching address specifying unit that specifies a specific address as a condition matching address . 前記条件合致アドレス特定部は、
前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスと対応付けられているレスポンスサイズとリクエストサイズとをアクセス単位で特定し、
特定したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満であり、リクエストサイズがあらかじめ定義されたリクエストサイズの閾値未満のアドレスを条件合致アドレスとして特定することを特徴とする請求項１０記載のアドレス抽出装置。 The condition matching address specifying unit
The response size and the request size associated with each address extracted by the address extraction unit from the proxy log input by the address input unit are specified in access units,
11. The address extraction according to claim 10, wherein the identified response size is less than a predefined response size threshold value, and an address having a request size less than the predefined request size threshold value is identified as a condition matching address. apparatus. 端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、
前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスを抽出するアドレス抽出部と
を備え、
前記アドレス入力部は、更に、
前記ユーザの操作により前記端末装置が前記プロキシサーバ装置に通知したアドレスに基づいて前記プロキシサーバ装置が行ったアクセスのアクセス先のウェブページのタイトルが示される端末操作ログと、
前記端末装置がローカルプロキシを利用して前記プロキシサーバ装置に通知したアドレスに基づいて前記プロキシサーバ装置が行ったアクセスのアクセス先のウェブページのタイトルとアクセス先のアドレスとが対応付けられて示されるローカルプロキシ情報が少なくとも１つ以上含まれるローカルプロキシログとを入力し、
前記アドレス抽出装置は、更に、
前記アドレス入力部により入力されたローカルプロキシログに含まれるローカルプロキシ情報に示されるタイトルの内、前記端末操作ログに示されるタイトルに合致するタイトルが示されるローカルプロキシ情報を抽出するローカルプロキシ情報抽出部
を備え、
前記アドレス抽出部は、
前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と、前記ローカルプロキシ情報抽出部に抽出されたローカルプロキシ情報とのいずれにも示されていないアドレスを抽出することを特徴とするアドレス抽出装置。 An address extraction device that extracts a predetermined address from addresses accessed by a proxy server device that accesses an address notified as an access destination from a terminal device,
An address input unit for inputting a proxy log indicating an address of an access destination for each access performed by the proxy server device, and valid address information indicating an address defined as valid in advance;
An address extraction unit that extracts an address that is not indicated in the valid address information from among the addresses indicated in the proxy log input by the address input unit ;
The address input unit further includes:
A terminal operation log indicating a title of an access destination web page accessed by the proxy server based on an address notified to the proxy server by the user's operation;
Based on the address notified to the proxy server device by the terminal device using a local proxy, the title of the web page of the access destination accessed by the proxy server device and the access destination address are shown in association with each other. Enter a local proxy log containing at least one local proxy information,
The address extracting device further includes:
A local proxy information extraction unit that extracts local proxy information indicating a title that matches a title indicated in the terminal operation log from among the titles indicated in the local proxy information included in the local proxy log input by the address input unit
With
The address extraction unit
Of the addresses indicated in the proxy log input by the address input unit, an address that is not indicated in either the valid address information or the local proxy information extracted by the local proxy information extraction unit is extracted. An address extracting device characterized by the above.
JP2011221313A 2011-10-05 2011-10-05 Address extraction device Expired - Fee Related JP5804883B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2011221313A JP5804883B2 (en) 2011-10-05 2011-10-05 Address extraction device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2011221313A JP5804883B2 (en) 2011-10-05 2011-10-05 Address extraction device

Publications (3)

Publication Number Publication Date
JP2013081146A JP2013081146A (en) 2013-05-02
JP2013081146A5 JP2013081146A5 (en) 2014-10-30
JP5804883B2 true JP5804883B2 (en) 2015-11-04

Family

ID=48527179

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2011221313A Expired - Fee Related JP5804883B2 (en) 2011-10-05 2011-10-05 Address extraction device

Country Status (1)

Country Link
JP (1) JP5804883B2 (en)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016139932A1 (en) * 2015-03-03 2016-09-09 日本電気株式会社 Log analysis system, analysis device, analysis method, and storage medium on which analysis program is stored

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8316446B1 (en) * 2005-04-22 2012-11-20 Blue Coat Systems, Inc. Methods and apparatus for blocking unwanted software downloads
JP4249174B2 (en) * 2005-10-31 2009-04-02 株式会社エヌ・ティ・ティ・データ Spyware communication management device and spyware communication management program
JP4564916B2 (en) * 2005-12-02 2010-10-20 日本電信電話株式会社 Phishing fraud countermeasure method, terminal, server and program
JP5264470B2 (en) * 2008-12-26 2013-08-14 三菱電機株式会社 Attack determination device and program
JP4837106B2 (en) * 2010-02-04 2011-12-14 キヤノンＩｔソリューションズ株式会社 COMMUNICATION DATA MONITORING DEVICE, COMMUNICATION DATA MONITORING METHOD, AND PROGRAM

Also Published As

Publication number Publication date
JP2013081146A (en) 2013-05-02

Similar Documents

Publication Publication Date Title
US10491614B2 (en) Illegitimate typosquatting detection with internet protocol information
US10069857B2 (en) Performing rule-based actions based on accessed domain name registrations
US9300682B2 (en) Composite analysis of executable content across enterprise network
CN104717185B (en) Displaying response method, device, server and the system of short uniform resource locator
US8150779B1 (en) Validating the detection of spam based entities in social networking contexts
JP6030272B2 (en) Website information extraction apparatus, system, website information extraction method, and website information extraction program
JP6838560B2 (en) Information analysis system, information analysis method, and program
JP2010146457A (en) Information processing system and program
JP5791548B2 (en) Address extraction device
JP4773332B2 (en) Security management apparatus, security management method, and program
JPWO2016121348A1 (en) Anti-malware device, anti-malware system, anti-malware method, and anti-malware program
JP5936798B2 (en) Log analysis device, unauthorized access audit system, log analysis program, and log analysis method
JP2012088803A (en) Malignant web code determination system, malignant web code determination method, and program for malignant web code determination
JP7115221B2 (en) CYBER ATTACK EVALUATION PROGRAM, CYBER ATTACK EVALUATION METHOD, AND INFORMATION PROCESSING DEVICE
CN106021252B (en) Determining internet-based object information using public internet search
JP7297249B2 (en) Computer system and information sharing method
US11330010B2 (en) Detecting malicious web pages by analyzing elements of hypertext markup language (HTML) files
JP5804883B2 (en) Address extraction device
CN115051867B (en) Illegal external connection behavior detection method and device, electronic equipment and medium
US8180771B2 (en) Search activity eraser
CN111858782A (en) Database construction method, device, medium and equipment based on information security
JP5234832B2 (en) Career information management system and career information management method
JP4729089B2 (en) Website counting device and website counting program
Zou et al. Detecting malware based on expired command-and-control traffic
JP7293170B2 (en) Signature generator, detector, signature generator and detector

Legal Events

Date Code Title Description
A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20140911

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20140911

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20150527

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20150609

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20150715

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20150804

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20150901

R150 Certificate of patent or registration of utility model

Ref document number: 5804883

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

LAPS Cancellation because of no payment of annual fees