JP6207784B1 - 中継装置、中継方法およびプログラム - Google Patents

Abstract

【課題】端末装置がマルウェアに感染したことを精度良く判定することができる中継装置などを提供する。【解決手段】端末装置とネットワークとの間に設けられる中継装置であって、前記端末装置から前記ネットワークに対して送信されるＨＴＴＰのリクエスト信号に基づく第１の評価値と、前記ＨＴＴＰのリクエスト信号に応じて前記ネットワークから前記端末装置に対して送信されるＨＴＴＰのレスポンス信号に基づく第２の評価値と、前記端末装置により行われた過去の通信に関する状態および当該状態が発生した後における前記ＨＴＴＰのリクエスト信号あるいは前記ＨＴＴＰのレスポンス信号に基づく第３の評価値とを合計した結果である合計値に基づいて判定を行う評価値判定部を備える、中継装置。【選択図】図１

Description

本発明は、中継装置、中継方法およびプログラムに関する。

端末装置とネットワーク上のサーバ装置との間の通信を中継装置により中継することが行われている。
例えば、中継装置とサーバ装置とのそれぞれがネットワークに接続され、端末装置が中継装置と接続される。

一例として、特許文献１には、ユーザ端末とファイルサーバとの通信を中継するネットワーク機器において、ファイルサーバへの不正アクセスを検出する技術が開示されている（特許文献１の段落００１６参照。）。

特開２０１６−１５７３１１号公報

従来では、端末装置が悪意のあるソフトウェア（マルウェア）に感染したことを判定する技術について、さらなる開発が要求されていた。

本発明の実施形態は、このような事情に鑑み、端末装置がマルウェアに感染したことを精度良く判定することができる中継装置、中継方法およびプログラムを提供する。

本発明の実施形態に係る中継装置は、端末装置とネットワークとの間に設けられる中継装置であって、前記端末装置から前記ネットワークに対して送信されるＨＴＴＰのリクエスト信号に基づく第１の評価値と、前記ＨＴＴＰのリクエスト信号に応じて前記ネットワークから前記端末装置に対して送信されるＨＴＴＰのレスポンス信号に基づく第２の評価値と、前記端末装置により行われた過去の通信に関する状態および当該状態が発生した後における前記ＨＴＴＰのリクエスト信号あるいは前記ＨＴＴＰのレスポンス信号に基づく第３の評価値として、点数を計数し、計数されたこれらの点数を合計して合計値を計数し、また、前記合計値を、前記リクエスト信号および前記レスポンス信号の通信を単位として、当該単位ごとにリセットする評価値計数部と、前記合計値が所定の閾値を超えたか否かに基づいて、前記端末装置についてマルウェアの感染に関する判定を行う評価値判定部と、を備える。

本発明の一態様に係る中継装置において、前記端末装置により行われた過去の通信に関する状態は、当該状態が発生した後に、所定の期間が経過した後に、リセットされる、構成とされてもよい。
本発明の一態様に係る中継装置において、前記第１の評価値は、前記リクエスト信号のヘッダとボディとのそれぞれについて求められ、前記第２の評価値は、前記レスポンス信号のヘッダとボディとのそれぞれについて求められる、構成とされてもよい。
本発明の一態様に係る中継装置において、前記評価値判定部により行われた判定の結果に基づいて前記端末装置に関する通信の制御を行う通信制御部を備える、構成とされてもよい。

本発明の実施形態に係る中継方法は、端末装置とネットワークとの間に設けられる中継装置により行われる中継方法であって、前記中継装置は、前記端末装置から前記ネットワークに対して送信されるＨＴＴＰのリクエスト信号に基づく第１の評価値と、前記ＨＴＴＰのリクエスト信号に応じて前記ネットワークから前記端末装置に対して送信されるＨＴＴＰのレスポンス信号に基づく第２の評価値と、前記端末装置により行われた過去の通信に関する状態および当該状態が発生した後における前記ＨＴＴＰのリクエスト信号あるいは前記ＨＴＴＰのレスポンス信号に基づく第３の評価値として、点数を計数し、計数されたこれらの点数を合計して合計値を計数し、また、前記合計値を、前記リクエスト信号および前記レスポンス信号の通信を単位として、当該単位ごとにリセットし、前記中継装置は、前記合計値が所定の閾値を超えたか否かに基づいて、前記端末装置についてマルウェアの感染に関する判定を行う。
本発明の実施形態に係るプログラムは、端末装置とネットワークとの間に設けられる中継装置を構成するコンピュータに、前記端末装置から前記ネットワークに対して送信されるＨＴＴＰのリクエスト信号に基づく第１の評価値と、前記ＨＴＴＰのリクエスト信号に応じて前記ネットワークから前記端末装置に対して送信されるＨＴＴＰのレスポンス信号に基づく第２の評価値と、前記端末装置により行われた過去の通信に関する状態および当該状態が発生した後における前記ＨＴＴＰのリクエスト信号あるいは前記ＨＴＴＰのレスポンス信号に基づく第３の評価値として、点数を計数し、計数されたこれらの点数を合計して合計値を計数し、また、前記合計値を、前記リクエスト信号および前記レスポンス信号の通信を単位として、当該単位ごとにリセットする機能と、前記合計値が所定の閾値を超えたか否かに基づいて、前記端末装置についてマルウェアの感染に関する判定を行う機能と、を実現させるためのプログラムである。

上記した中継装置、中継方法およびプログラムによれば、端末装置がマルウェアに感染したことを精度良く判定することができる。

本発明の実施形態に係る通信システムの概略的な構成例を示す図である。 本発明の実施形態に係る中継装置の概略的な構成例を示す図である。 本発明の実施形態に係るリクエスト信号に関する条件の一例を示す図である。 本発明の実施形態に係るレスポンス信号に関する条件の一例を示す図である。 本発明の実施形態に係る状態と信号に関する条件の一例を示す図である。 本発明の実施形態に係る状態の判定に関する条件の一例を示す図である。 本発明の実施形態に係る通信システムにおいて行われる通信の一例を示す図である。 本発明の実施形態に係る中継装置において行われる処理の手順の一例を示すフローチャートである。 本発明の実施形態に係る中継装置において行われる処理の手順の一例を示すフローチャートである。 本発明の実施形態に係る中継装置において行われる処理の手順の一例を示すフローチャートである。 本発明の実施形態に係る中継装置において行われる処理の手順の一例を示すフローチャートである。

本発明の実施形態について図面を参照して詳細に説明する。

［通信システム］
図１は、本発明の実施形態に係る通信システム１の概略的な構成例を示す図である。
通信システム１は、ｎ（ｎは２以上の任意の値）個の端末装置１１−１〜１１−ｎと、中継装置１２と、ネットワーク２１と、ｍ（ｍは２以上の任意の値）個のサーバ装置１３−１〜１３−ｍを備える。

ここで、図１の例では、１個の中継装置１２に複数の端末装置１１−１〜１１−ｎが接続される場合を示すが、他の構成例として、１個の中継装置１２に１個の端末装置（例えば、端末装置１１−１）が接続されていてもよい。
また、図１の例では、ネットワーク２１に複数のサーバ装置１３−１〜１３−ｍが接続される場合を示すが、他の構成例として、ネットワーク２１に１個のサーバ装置（例えば、サーバ装置１３−１）が接続されていてもよい。

本実施形態では、端末装置１１−１〜１１−ｎとサーバ装置１３−１〜１３−ｍとの間の通信を中継装置１２が中継する。
一例として、端末装置１１−１とサーバ装置１３−１との通信では、端末装置１１−１からサーバ装置１３−１に宛てて送信された信号を中継装置１２が端末装置１１−１から受信した後にネットワーク２１を介してサーバ装置１３−１に送信し、また、サーバ装置１３−１から端末装置１１−１に宛ててネットワーク２１に送信された信号を中継装置１２がサーバ装置１３−１から受信した後に端末装置１１−１に送信する。

ここで、それぞれの端末装置１１−１〜１１−ｎは、通信を行う任意の装置であってもよく、例えば、企業または施設などに設置されたコンピュータであってもよい。また、それぞれの端末装置１１−１〜１１−ｎは、例えば、一定の位置に固定される据え置き型の装置であってもよく、あるいは、人により持ち運び可能な携帯型の装置であってもよい。
本実施形態では、それぞれの端末装置１１−１〜１１−ｎは、クライアント装置に相当する。

中継装置１２は、通信の中継を行う任意の装置であってもよく、例えば、ゲートウェイ（ＧＷ）の機能を有する。ゲートウェイは、例えば、多数のコンピュータとインターネットとの間に設置され、Ｗｅｂ通信を監視して、インターネットから当該コンピュータに対して悪意のあるソフトウェアなどが入り込まないようにする。
それぞれのサーバ装置１３−１〜１３−ｍは、通信を行う任意の装置であってもよく、例えば、所定のサービスを提供するコンピュータであってもよい。
ネットワーク２１は、任意のネットワークであってもよく、例えば、インターネットであってもよく、あるいは、一部にインターネットを含んでもよい。

なお、ネットワーク２１としては、例えば、有線のネットワークであってもよく、無線のネットワークであってもよく、あるいは、有線と無線の両方を含むネットワークであってもよい。
また、それぞれの端末装置１１−１〜１１−ｎと中継装置１２との通信としては、例えば、有線の通信が用いられてもよく、無線の通信が用いられてもよく、あるいは、有線と無線の両方を含む通信が用いられてもよい。

また、端末装置１１−１〜１１−ｎと、中継装置１２と、サーバ装置１３−１〜１３−ｍと、ネットワーク２１の配置（接続関係）としては、任意の配置が用いられてもよい。
また、端末装置１１−１〜１１−ｎあるいはサーバ装置１３−１〜１３−ｍのように、複数備えられる装置は、例えば、それぞれの装置に割り当てられた識別情報を用いて識別される。当該識別情報としては、任意の情報が用いられてもよく、例えば、アドレスの情報が用いられてもよい。

［中継装置］
図２は、本発明の実施形態に係る中継装置１２の概略的な構成例を示す図である。
中継装置１２は、入力部１１１と、出力部１１２と、記憶部１１３と、通信部１１４と、制御部１１５を備える。
制御部１１５は、通信情報取得部１３１と、通信条件情報取得部１３２と、状態情報取得部１３３と、通信情報判定部１３４と、評価値計数部１３５と、評価条件情報取得部１３６と、評価値判定部１３７と、状態判定条件情報取得部１３８と、状態判定部１３９と、通信制御部１４０を備える。

入力部１１１は、外部から情報を入力する。入力部１１１は、例えば、ユーザ（人）により行われる操作を受け付ける操作部を有し、当該操作部により受け付けられた操作に応じた情報を入力する。入力部１１１は、例えば、外部の装置（例えば、記録媒体など）と接続されて当該外部の装置から出力される情報を入力する。
出力部１１２は、情報を出力する。出力部１１２は、例えば、画面を有しており、情報を画面に表示（出力）する。出力部１１２は、例えば、外部の装置（例えば、記録媒体など）と接続されて当該外部の装置に情報を出力する。
記憶部１１３は、情報を記憶する。
通信部１１４は、情報を通信する。本実施形態では、通信部１１４は、それぞれの端末装置１１−１〜１１−ｎとの間で信号を通信することで、当該信号に含まれる情報を通信し、また、それぞれのサーバ装置１３−１〜１３−ｍとの間で信号を通信することで、当該信号に含まれる情報を通信する。

制御部１１５は、中継装置１２における各種の制御を行う。
本実施形態では、記憶部１１３は、所定の制御プログラムおよびそのパラメーターの情報を記憶する。また、制御部１１５は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）を用いて構成される。そして、制御部１１５では、ＣＰＵが記憶部１１３に記憶された制御プログラムを、記憶部１１３に記憶されたパラメーターを使用して実行することで、各種の制御を行う。

なお、中継装置１２について、図２に示した各処理部１１１〜１１５を備える構成は一例であり、他の構成が用いられてもよい。例えば、各処理部１１１〜１１５の機能の区分は、説明の便宜上のものであり、必ずしも図２に示した構成に限定されない。

制御部１１５の機能について説明する。
通信情報取得部１３１は、通信部１１４により行われる通信に関する情報（通信情報）を取得する。通信情報取得部１３１は、例えば、通信部１１４により行われる通信を監視することで、当該通信情報を取得する。当該通信情報としては、例えば、通信される信号の情報が用いられてもよく、この場合、例えば、送信元においてもともと設けられていない信号部分の情報は通信情報取得部１３１により取得されない。
通信条件情報取得部１３２は、通信に関する条件（通信条件）の情報を取得する。本実施形態では、当該通信条件の情報（通信条件情報）が記憶部１１３に記憶されており、通信条件情報取得部１３２は記憶部１１３に記憶された通信条件情報を取得する。
状態情報取得部１３３は、過去の通信に関する状態（通信状態）を示す情報を取得する。本実施形態では、当該通信状態の情報（通信状態情報）が記憶部１１３に記憶されており、状態情報取得部１３３は記憶部１１３に記憶された通信状態情報を取得する。

通信情報判定部１３４は、通信情報取得部１３１により取得された通信情報について、通信条件情報に基づいて、評価値を判定する。
また、通信情報判定部１３４は、通信情報取得部１３１により取得された通信情報について、通信条件情報および通信状態情報に基づいて、評価値を判定する。

ここで、本実施形態では、評価値として、数値で表される点数が用いられている。
本実施形態では、通信条件情報のなかに、条件が満たされた場合に付与される評価値（本実施形態では、点数）の情報が含まれている。そして、通信情報判定部１３４は、通信条件情報に含まれるいずれかの条件が満たされた場合には当該条件に対応した評価値を判定する。また、通信情報判定部１３４は、通信条件情報に含まれるいずれの条件も満たされない場合には評価値として所定値（本実施形態では、０である点数）を判定する。

なお、他の構成例として、通信情報判定部１３４は、通信条件情報に含まれるいずれの条件も満たされない場合には、評価値を判定しない（本実施形態では、明示的な点数を算定しない）構成が用いられてもよい。当該他の構成例では、この場合においても、評価値として所定値（本実施形態では、０である点数）が判定された場合と同等とみなして後続する処理が行われる。

評価値計数部１３５は、通信情報判定部１３４により判定された評価値を順次加算することで、評価値の合計値（総合値）を計数する。なお、本実施形態では、未だに１つの評価値も加算されていない状態（つまり、評価値の初期値である状態）についても、あるいは、１つの評価値のみが加算された状態（つまり、その１つの評価値のままの値である状態）についても、あるいは、２つ以上の評価値が加算された状態についても、説明の便宜上、合計値と呼ぶ。
また、評価値計数部１３５は、所定のタイミングで、計数された合計値を初期値にリセット（クリア）する。当該初期値は、任意の値であってもよく、本実施形態では、０である。

評価条件情報取得部１３６は、評価値の合計値に関する判定を行うための条件（評価条件）の情報を取得する。本実施形態では、当該評価条件の情報（評価条件情報）が記憶部１１３に記憶されており、評価条件情報取得部１３６は記憶部１１３に記憶された評価条件情報を取得する。
当該評価条件情報は、本実施形態では、評価値計数部１３５により計数される合計値に関する判定を行うための所定の値（閾値）である。

評価値判定部１３７は、評価値計数部１３５により計数された合計値について、評価条件情報に基づいて、通信に関する判定を行う。本実施形態では、評価値判定部１３７は、当該合計値が当該評価条件情報に相当する閾値を超えたか否か（または、当該閾値以上であるか否か）を判定する。
ここで、本実施形態では、通信に関する判定として、評価値の合計値に基づいて、マルウェアに感染した端末装置１１−１〜１１−ｎにより行われた通信であるか否かの判定が行われる。なお、この判定は推定的なものであり、この判定の精度は必ずしも１００％でなくてもよく、判定の結果が実際と比べて異なる場合があってもよい。

状態判定条件情報取得部１３８は、通信状態を判定するための条件（状態判定条件）の情報を取得する。本実施形態では、当該状態判定条件の情報（状態判定条件情報）が記憶部１１３に記憶されており、状態判定条件情報取得部１３８は記憶部１１３に記憶された状態判定条件情報を取得する。
状態判定部１３９は、状態判定条件情報取得部１３８により取得された状態判定条件情報に基づいて、通信状態を判定する。
また、状態判定部１３９は、判定された通信状態の情報（通信状態情報）を記憶部１１３に記憶させる。本実施形態では、それぞれの端末装置１１−１〜１１−ｎごとに、通信状態情報が保持され、状態判定部１３９は通信状態情報を判定するごとに当該通信状態情報を更新していく。なお、本実施形態では、この通信状態情報が、状態情報取得部１３３により取得される。
ここで、それぞれの端末装置１１−１〜１１−ｎごとに、例えば、最大で１つの通信状態情報が保持される構成が用いられてもよく、あるいは、２つ以上の通信状態情報が独立に保持される構成が用いられてもよい。なお、それぞれの端末装置１１−１〜１１−ｎごとに、最大で１つの通信状態情報が保持される構成では、例えば、新たな通信状態が検出（判定）された場合には、そのときに保持されていた通信状態情報が当該新たな通信状態に対応する通信状態情報に上書きされる。
本実施形態では、それぞれの端末装置１１−１〜１１−ｎごとの通信状態は、当該それぞれの端末装置１１−１〜１１−ｎにより既に行われた通信に関する状態を表わしており、過去の通信に関する状態を表わしている。

通信制御部１４０は、通信に関する制御を行う。本実施形態では、通信制御部１４０は、端末装置１１−１〜１１−ｎにより行われる通信を中継するための通信に関する制御を行う。より具体的には、本実施形態では、通信制御部１４０は、端末装置１１−１〜１１−ｎにより行われる通信を中継するための通信を行うか否かに関する制御を行う。

［通信情報］
本実施形態では、端末装置１１−１〜１１−ｎとサーバ装置１３−１〜１３−ｍとは、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）の通信を行う。端末装置１１−１〜１１−ｎはサーバ装置１３−１〜１３−ｍにリクエスト信号を送信し、当該リクエスト信号に応じてサーバ装置１３−１〜１３−ｍは端末装置１１−１〜１１−ｎにレスポンス信号を送信する。
本実施形態では、通信情報には、リクエスト信号の情報と、レスポンス信号の情報が含まれる。

［条件情報］
＜リクエスト信号に関する条件情報＞
図３は、本発明の実施形態に係るリクエスト信号に関する条件の一例を示す図である。
図３には、リクエスト信号に関する通信条件情報１０１１の一例を示してある。リクエスト信号に関する通信条件情報１０１１は、例えば、あらかじめ定義されて、記憶部１１３に記憶されてもよい。
図３の例における通信条件情報１０１１では、信号部分と、条件と、評価値の点数とが対応付けられている。
リクエスト信号には、信号部分として、ヘッダ（Ｈｅａｄｅｒ）と、ボディ（Ｂｏｄｙ）があり得る。
一例として、第１行目の欄では、リクエスト信号のヘッダについて、条件Ａ１が満たされる場合には、＋１の点数を評価値とするということが規定されている。
他の例として、ある行目の欄では、リクエスト信号のボディについて、条件Ｂ１が満たされる場合には、＋７の点数を評価値とするということが規定されている。
また、他の欄についても、リクエスト信号のヘッダあるいはボディについて条件が規定されている。

リクエスト信号に関する通信条件情報の具体例を示す。
例えば、「リクエスト信号のヘッダに関して、Ａｃｃｅｐｔ−Ｅｎｃｏｄｉｎｇヘッダが無いという通信条件が満たされた場合には、加点する点数として１点（＋１点）を付与する」という条件が用いられてもよい。
例えば、「リクエスト信号のヘッダに関して、Ａｃｃｅｐｔ−Ｅｎｃｏｄｉｎｇヘッダの値が標準化通りではないという通信条件が満たされた場合には、加点する点数として３点（＋３点）を付与する」という条件が用いられてもよい。
例えば、「リクエスト信号のヘッダに関して、Ｕｓｅｒ−Ａｇｅｎｔヘッダが無いという通信条件が満たされた場合には、加点する点数として１点（＋１点）を付与する」という条件が用いられてもよい。
例えば、「リクエスト信号のヘッダに関して、Ｕｓｅｒ−Ａｇｅｎｔヘッダの値が標準化通りではないという通信条件が満たされた場合には、加点する点数として２点（＋２点）を付与する」という条件が用いられてもよい。
例えば、「リクエスト信号のボディに関して、当該ボディのデータがＣｏｎｔｅｎｔ−Ｔｙｐｅと一致しないという通信条件が満たされた場合には、加点する点数として７点（＋７点）を付与する」という条件が用いられてもよい。

このように、リクエスト信号に関する通信条件情報１０１１では、リクエスト信号に関して所定の通信が発生した場合に、当該所定の通信に対応する点数が付与されることが定義されている。

＜レスポンス信号に関する条件情報＞
図４は、本発明の実施形態に係るレスポンス信号に関する条件の一例を示す図である。
図４には、レスポンス信号に関する通信条件情報１０２１の一例を示してある。レスポンス信号に関する通信条件情報１０２１は、例えば、あらかじめ定義されて、記憶部１１３に記憶されてもよい。
図４の例における通信条件情報１０２１では、信号部分と、条件と、評価値の点数とが対応付けられている。
レスポンス信号には、信号部分として、ヘッダ（Ｈｅａｄｅｒ）と、ボディ（Ｂｏｄｙ）があり得る。
一例として、第１行目の欄では、レスポンス信号のヘッダについて、条件Ｃ１が満たされる場合には、＋１の点数を評価値とするということが規定されている。
他の例として、ある行目の欄では、レスポンス信号のボディについて、条件Ｄ１が満たされる場合には、＋７の点数を評価値とするということが規定されている。
また、他の欄についても、レスポンス信号のヘッダあるいはボディについて条件が規定されている。

レスポンス信号に関する通信条件情報の具体例を示す。
例えば、「レスポンス信号のヘッダに関して、Ｃｏｎｔｅｎｔ−Ｔｙｐｅヘッダが無いという通信条件が満たされた場合には、加点する点数として１点（＋１点）を付与する」という条件が用いられてもよい。
例えば、「レスポンス信号のヘッダに関して、Ｃｏｎｔｅｎｔ−Ｔｙｐｅヘッダの値が標準化通りではないという通信条件が満たされた場合には、加点する点数として２点（＋２点）を付与する」という条件が用いられてもよい。
例えば、「レスポンス信号のボディに関して、当該ボディのデータがＣｏｎｔｅｎｔ−Ｔｙｐｅと一致していないという通信条件が満たされた場合には、加点する点数として７点（＋７点）を付与する」という条件が用いられてもよい。

このように、レスポンス信号に関する通信条件情報１０２１では、レスポンス信号に関して所定の通信が発生した場合に、当該所定の通信に対応する点数が付与されることが定義されている。

＜状態と信号に関する条件情報＞
図５は、本発明の実施形態に係る状態と信号に関する条件の一例を示す図である。
図５には、状態と信号に関する通信条件情報１０３１の一例を示してある。状態と信号に関する通信条件情報１０３１は、例えば、あらかじめ定義されて、記憶部１１３に記憶されてもよい。
ここで、信号としては、リクエスト信号と、レスポンス信号がある。
図５の例における通信条件情報１０３１では、条件と、評価値の点数とが対応付けられている。条件として、通信状態に関する条件（状態条件）と、信号に関する条件（信号条件）が含まれている。
一例として、第１行目の欄では、状態条件として状態Ｅ１であるという条件が満たされ、信号条件として条件Ｆ１が満たされた場合には、＋７の点数を評価値とするということが規定されている。
また、他の欄についても、状態および信号について条件が規定されている。

状態と信号に関する条件情報の具体例を示す。
例えば、状態に関する条件（状態条件）として、-ｉ（ｉは０以上の整数）番目の通信（リクエスト信号およびレスポンス信号の組み合わせを１単位とした通信）においてＰＤＦファイルの情報を取得する通信が行われたという状態の条件が用いられる。また、信号に関する条件（信号条件）として、ｉ＋１番目〜ｉ＋Ｌ（Ｌは１以上の整数）番目の通信（リクエスト信号およびレスポンス信号の組み合わせを１単位とした通信）においてＨＴＴＰのヘッダがあらかじめ想定されたものとは相違したという条件が用いられる。そして、「これら両方の条件（状態条件および信号条件）が満たされた場合に、加点する点数として７点（＋７点）を付与する」という条件が用いられてもよい。
ここで、説明の便宜上、「-ｘｘｘｘ」という表記は、該当する端末装置１１−１〜１１−ｎの通信において、ｉ番目に［-］の通信を受信した状態を記憶しておき、ｉ＋１番目〜ｉ＋Ｌ番目の通信（リクエスト信号およびレスポンス信号の組み合わせを１単位とした通信）の判定に当該状態を使用することを意味している。
また、本例では、Ｌは一定の時間に受信された通信（リクエスト信号およびレスポンス信号の組み合わせを１単位とした通信）の数を表している。

このように、状態と信号に関する通信条件情報１０３１では、所定の通信状態が発生して、当該通信状態の保持期間（当該通信状態が発生したことを記憶しておく期間）が満了する前に、当該通信状態に対応する所定の通信が発生した場合に、これら（当該通信状態および当該通信の組み合わせ）に対応する点数が付与されることが定義されている。

ここで、本実施形態では、状態条件における通信状態（例えば、図５の例における状態Ｅ１〜Ｅ３）として、異常とみなされる通信の予兆となる特定の通信（異常通信の予兆となる特定通信）が行われた状態が用いられる。そして、当該通信状態が発生した後に、当該通信状態の保持期間が満了する前に、その予兆に連なる通信（前記した異常とみなされる通信）が発生した場合（例えば、図５の例における条件Ｆ１〜Ｆ３が満たされた場合）には、異常な通信であるとみなして、評価値計数部１３５により、対応する評価値の点数を加算する。つまり、図５の例では、異常通信の予兆となる特定通信が発生して、その後に、当該特定通信の保持期間が満了する前に、当該特定通信に対応する通信が発生した場合に、点数が付与される。

＜状態の判定に関する条件情報＞
図６は、本発明の実施形態に係る状態の判定に関する条件の一例を示す図である。
図６には、状態の判定に関する状態判定条件情報１０４１の一例を示してある。状態判定条件情報１０４１は、例えば、あらかじめ定義されて、記憶部１１３に記憶されてもよい。
図６の例における状態判定条件情報１０４１では、条件と、状態とが対応付けられている。
一例として、第１行目の欄では、条件Ｇ１が満たされた場合には、状態Ｅ１とするということが規定されている。
また、他の欄についても、状態の判定に関する条件が規定されている。

状態の判定に関する条件情報の具体例を示す。
例えば、図５に関する説明の場合と同様に、通信（リクエスト信号およびレスポンス信号の組み合わせを１単位とする通信）においてＰＤＦファイルの情報を取得する通信が行われたという状態を判定するための条件と、その条件が満たされた場合にその状態（通信状態）を示す情報を保持するための通信状態情報が用いられる。

［通信システムにおいて行われる通信］
図７は、本発明の実施形態に係る通信システム１において行われる通信の一例を示す図である。
図７の例では、端末装置１１−１、中継装置１２、サーバ装置１３−１により行われる通信の一例を示す。なお、他の端末装置１１−２〜１１−ｎにより行われる通信についても同様であり、また、他のサーバ装置１３−２〜１３−ｍにより行われる通信についても同様である。

ここで、本実施形態では、端末装置１１−１とサーバ装置１３−１との通信（リクエスト信号およびレスポンス信号の組み合わせを１単位とした通信）に連続番号を付して説明する。図７の例では、＃Ｎ−１（Ｎ−１番目）の通信と、＃Ｎ（Ｎ番目）の通信を示してある。Ｎは１以上の整数とし、連続番号は０以上の整数とする。
また、本実施形態では、ＨＴＴＰの通信が行われ、リクエスト信号およびレスポンス信号はそれぞれＨＴＴＰの信号である。リクエスト信号およびレスポンス信号には、それぞれ、ヘッダが含まれ、また、ボディが含まれ得る。
なお、ヘッダのメソッドによっては、ボディが含まれないリクエスト信号もあり得る。また、要求メソッドあるいは結果によっては、ボディが含まれないレスポンス信号もあり得る。

通信＃Ｎ−１（Ｎ−１番目の通信）の概要を説明する。
図７の例では、通信＃Ｎ−１においては、それぞれの信号にヘッダおよびボディが含まれるとし、ヘッダとボディを区別せずに信号を示してある（図示を簡易化しただけであり、実際には通信＃Ｎと同様にヘッダとボディが区別される。）。
また、図７の例では、中継装置１２により通信＃Ｎ−１が停止させられない場合を示してある。

（処理Ｔ１）
端末装置１１−１は、リクエスト信号を中継装置１２に送信する。当該リクエスト信号には、ヘッダおよびボディが含まれる。
（処理Ｔ２）
中継装置１２は、当該リクエスト信号を受信して、受信されたリクエスト信号をサーバ装置１３−１に送信する。
（処理Ｔ３）
サーバ装置１３−１は、当該リクエスト信号を受信したことに応じて、レスポンス信号を中継装置１２に送信する。当該レスポンス信号には、ヘッダおよびボディが含まれる。
（処理Ｔ４）
中継装置１２は、当該レスポンス信号を受信して、受信されたレスポンス信号を端末装置１１−１に送信する。

通信＃Ｎ（Ｎ番目の通信）の概要を説明する。
図７の例では、通信＃Ｎにおいては、それぞれの信号にヘッダおよびボディが含まれるとし、ヘッダとボディを区別して信号を示してある。
また、図７の例では、中継装置１２により通信＃Ｎが停止させられない場合を示してある。
なお、図７の例では、通信＃Ｎと通信＃Ｎ−１とは、それぞれの信号の内容は異なり得るが、同様な信号（リクエスト信号およびレスポンス信号）のやり取りが行われる通信である。

（処理Ｔ１１）
端末装置１１−１は、リクエスト信号のヘッダを中継装置１２に送信する。
（処理Ｔ１２）
中継装置１２は、当該リクエスト信号のヘッダを受信して、受信されたリクエスト信号のヘッダをサーバ装置１３−１に送信する。

（処理Ｔ１３）
端末装置１１−１は、リクエスト信号のボディを中継装置１２に送信する。
このとき、端末装置１１−１は、リクエスト信号のボディを複数回に分けて中継装置１２に送信してもよく、図７の例では、（処理Ｔ１１１）〜（処理Ｔ１１３）を示してある。
（処理Ｔ１４）
中継装置１２は、当該リクエスト信号のボディを受信して、受信されたリクエスト信号のボディをサーバ装置１３−１に送信する。
このとき、中継装置１２は、リクエスト信号のボディを複数回に分けてサーバ装置１３−１に送信してもよく、図７の例では、（処理Ｔ１１４）〜（処理Ｔ１１６）を示してある。本例では、（処理Ｔ１１１）〜（処理Ｔ１１３）のそれぞれと、（処理Ｔ１１４）〜（処理Ｔ１１６）のそれぞれとが、対応する。

（処理Ｔ２１）
サーバ装置１３−１は、リクエスト信号を受信したことに応じて、レスポンス信号のヘッダを中継装置１２に送信する。
（処理Ｔ２２）
中継装置１２は、当該レスポンス信号のヘッダを受信して、受信されたレスポンス信号のヘッダを端末装置１１−１に送信する。

（処理Ｔ２３）
サーバ装置１３−１は、レスポンス信号のボディを中継装置１２に送信する。
このとき、サーバ装置１３−１は、レスポンス信号のボディを複数回に分けて中継装置１２に送信してもよく、図７の例では、（処理Ｔ１２１）〜（処理Ｔ１２３）を示してある。
（処理Ｔ２４）
中継装置１２は、当該レスポンス信号のボディを受信して、受信されたレスポンス信号のボディを端末装置１１−１に送信する。
このとき、中継装置１２は、レスポンス信号のボディを複数回に分けて端末装置１１−１に送信してもよく、図７の例では、（処理Ｔ１２４）〜（処理Ｔ１２６）を示してある。本例では、（処理Ｔ１２１）〜（処理Ｔ１２３）のそれぞれと、（処理Ｔ１２４）〜（処理Ｔ１２６）のそれぞれとが、対応する。

［中継装置において行われる処理］
図８〜図１１は、本発明の実施形態に係る中継装置１２において行われる処理の手順の一例を示すフローチャートである。
本実施形態では、図７の例における通信＃Ｎの処理が中継装置１２により行われる場合について説明する。
なお、図７の例では中継装置１２により通信＃Ｎが停止させられない場合を示したが、図８〜図１１の例では中継装置１２により通信＃Ｎが停止させられる場合がある。

図８〜図１１の例では、端末装置１１−１、中継装置１２、サーバ装置１３−１により行われる通信の一例を示す。なお、他の端末装置１１−２〜１１−ｎにより行われる通信についても同様であり、また、他のサーバ装置１３−２〜１３−ｍにより行われる通信についても同様である。中継装置１２において、複数の端末装置１１−１〜１１−ｎはそれぞれの識別情報に基づいて識別され、複数のサーバ装置１３−１〜１３−ｍはそれぞれの識別情報に基づいて識別される。本実施形態では、ある装置と他の装置とが通信する場合に、それぞれの装置が自己（当該装置）の識別情報を相手の装置に送信し、それぞれの装置が受信された相手の識別情報を記憶して保持する。

（ステップＳ１）
中継装置１２では、評価値計数部１３５が、評価値を初期値（本実施形態では、０）にリセットする。そして、（ステップＳ２）の処理へ移行する。
ここで、本実施形態では、通信＃Ｎの開始時のタイミングに、評価値を初期値にリセットする。具体的には、評価値は、通信＃Ｎ−１の開始時のタイミングでリセットされ、また、通信＃Ｎの開始時のタイミングでリセットされ、また、通信＃Ｎ＋１（Ｎ＋１番目の通信）の開始時のタイミングでリセットされ、また、他の連続番号の通信においても同様である。
なお、評価値を初期値にリセットするタイミングとしては、必ずしも１つの単位の通信（例えば、通信＃Ｎなど）ごとのタイミングでなくてもよく、任意の他のタイミングが用いられてもよく、その場合には、（ステップＳ１）の処理は設けられず、当該他のタイミングで評価値を初期値にリセットする処理が行われる。

（ステップＳ２）
図７の例における（処理Ｔ１１）のように、中継装置１２では、端末装置１１−１から送信されたリクエスト信号のヘッダが受信される。
中継装置１２では、受信されたリクエスト信号のヘッダに関する判定と評価値の加算を行う。具体的には、通信情報取得部１３１が当該リクエスト信号のヘッダの情報を取得し、通信条件情報取得部１３２がリクエスト信号（ここでは、ヘッダ）に関する通信条件情報１０１１を取得し、通信情報判定部１３４が、当該リクエスト信号のヘッダの情報について解析を行って当該ヘッダの構成要素別に評価を行うことで、評価値の点数を判定する。そして、評価値計数部１３５が判定された評価値の点数を現在の合計値（この時点では、０）に加算する。
そして、（ステップＳ３）の処理へ移行する。

（ステップＳ３）
中継装置１２では、受信されたリクエスト信号のヘッダおよび状態に関する判定と評価値の加算を行う。具体的には、通信情報取得部１３１が当該リクエスト信号のヘッダの情報を取得し、通信条件情報取得部１３２が状態と信号に関する通信条件情報１０３１を取得し、通信情報判定部１３４が当該リクエスト信号のヘッダの情報および状態（通信状態情報）について解析を行って評価値の点数を判定する。そして、評価値計数部１３５が判定された評価値の点数を現在の合計値に加算する。そして、（ステップＳ４）の処理へ移行する。
なお、通信情報取得部１３１により当該リクエスト信号のヘッダの情報を取得する処理および通信情報判定部１３４により当該ヘッダの情報を解析する処理は、（ステップＳ２）の処理で行われているため、（ステップＳ３）の処理では省略されてもよい。

（ステップＳ４）
中継装置１２では、評価値判定部１３７は、評価条件情報（本実施形態では、所定の閾値）に基づいて、現在の合計値が所定の閾値を超えたか否かを判定する。
この判定の結果、評価値判定部１３７が現在の合計値が所定の閾値を超えたこと（または、「所定の閾値以上であること」でもよい。以下も同様。）を判定した場合には（ステップＳ４：ＹＥＳ）、（ステップＳ７）の処理へ移行する。
一方、この判定の結果、評価値判定部１３７が現在の合計値が前記所定の閾値以下であること（または、「前記所定の閾値未満であること」でもよい。以下も同様。）を判定した場合には（ステップＳ４：ＮＯ）、（ステップＳ５）の処理へ移行する。

（ステップＳ５）
中継装置１２では、（ステップＳ４）の処理において現在の合計値が所定の閾値以下である場合には、図７の例における（処理Ｔ１２）のように、通信制御部１４０は、受信されたリクエスト信号のヘッダをサーバ装置１３−１に送信（転送）する。そして、（ステップＳ６）の処理へ移行する。

（ステップＳ６）
中継装置１２では、状態判定部１３９は、状態判定条件情報に基づいて、通信の状況がいずれかの状態判定条件を満たしたか否かを判定する。
この判定の結果、状態判定部１３９が通信の状況がいずれかの状態判定条件を満たしたことを判定した場合には（ステップＳ６：ＹＥＳ）、（ステップＳ８）の処理へ移行する。
一方、この判定の結果、状態判定部１３９が通信の状況がいずれの状態判定条件も満たしていないことを判定した場合には（ステップＳ６：ＮＯ）、（ステップＳ２１）の処理へ移行する。

（ステップＳ７）
中継装置１２では、（ステップＳ４）の処理において現在の合計値が所定の閾値を超えた場合には、通信制御部１４０は、端末装置１１−１とサーバ装置１３−１との通信を停止させる。本実施形態では、通信制御部１４０は、端末装置１１−１とサーバ装置１３−１との通信を中継することを停止することで、当該通信を停止させる。そして、（ステップＳ６６）の処理へ移行する。
ここで、本実施形態では、中継装置１２において、評価値判定部１３７は、端末装置１１−１について合計値が所定の閾値を超えた場合には、当該端末装置１１−１がマルウェアに感染したと判定している。この判定は、推定的であってもよい。

（ステップＳ８）
中継装置１２では、（ステップＳ６）の処理において通信の状況がいずれかの状態判定条件を満たした場合には、状態判定部１３９は、当該状態判定条件に対応する状態を示す情報（通信状態情報）を記憶部１１３に記憶させて保持する。そして、（ステップＳ２１）の処理へ移行する。
この場合、状態判定部１３９は、保持させた通信状態情報と対応付けて、当該通信状態情報をリセットする条件の情報（通信状態情報のリセット条件情報）を記憶部１１３に記憶させる。
また、状態判定部１３９は、複数の端末装置１１−１〜１１−ｎが存在する場合、それぞれの端末装置１１−１〜１１−ｎの通信状態情報に当該それぞれの端末装置１１−１〜１１−ｎの識別情報を対応付けて記憶部１１３に記憶することで、それぞれの端末装置１１−１〜１１−ｎごとに通信状態情報を特定することを可能とする。

（ステップＳ２１）
図７の例における（処理Ｔ１３）のように、中継装置１２では、端末装置１１−１から送信されたリクエスト信号のボディが受信される。
中継装置１２では、受信されたリクエスト信号のボディに関する判定と評価値の加算を行う。具体的には、通信情報取得部１３１が当該リクエスト信号のボディの情報を取得し、通信条件情報取得部１３２がリクエスト信号（ここでは、ボディ）に関する通信条件情報１０１１を取得し、通信情報判定部１３４が、当該リクエスト信号のボディの情報について解析を行って当該ボディの評価を行うことで、評価値の点数を判定する。そして、評価値計数部１３５が判定された評価値の点数を現在の合計値に加算する。
そして、（ステップＳ２２）の処理へ移行する。

（ステップＳ２２）
中継装置１２では、受信されたリクエスト信号のボディおよび状態に関する判定と評価値の加算を行う。具体的には、通信情報取得部１３１が当該リクエスト信号のボディの情報を取得し、通信条件情報取得部１３２が状態と信号に関する通信条件情報１０３１を取得し、通信情報判定部１３４が当該リクエスト信号のボディの情報および状態（通信状態情報）について解析を行って評価値の点数を判定する。そして、評価値計数部１３５が判定された評価値の点数を現在の合計値に加算する。そして、（ステップＳ２３）の処理へ移行する。
なお、通信情報取得部１３１により当該リクエスト信号のボディの情報を取得する処理および通信情報判定部１３４により当該ボディの情報を解析する処理は、（ステップＳ２１）の処理で行われているため、（ステップＳ２２）の処理では省略されてもよい。

（ステップＳ２３）
中継装置１２では、評価値判定部１３７は、評価条件情報（本実施形態では、所定の閾値）に基づいて、現在の合計値が所定の閾値を超えたか否かを判定する。
この判定の結果、評価値判定部１３７が現在の合計値が所定の閾値を超えたことを判定した場合には（ステップＳ２３：ＹＥＳ）、（ステップＳ２６）の処理へ移行する。
一方、この判定の結果、評価値判定部１３７が現在の合計値が所定の閾値以下であることを判定した場合には（ステップＳ２３：ＮＯ）、（ステップＳ２４）の処理へ移行する。

（ステップＳ２４）
中継装置１２では、（ステップＳ２３）の処理において現在の合計値が所定の閾値以下である場合には、図７の例における（処理Ｔ１４）のように、通信制御部１４０は、受信されたリクエスト信号のボディをサーバ装置１３−１に送信（転送）する。そして、（ステップＳ２５）の処理へ移行する。

（ステップＳ２５）
中継装置１２では、状態判定部１３９は、状態判定条件情報に基づいて、通信の状況がいずれかの状態判定条件を満たしたか否かを判定する。
この判定の結果、状態判定部１３９が通信の状況がいずれかの状態判定条件を満たしたことを判定した場合には（ステップＳ２５：ＹＥＳ）、（ステップＳ２７）の処理へ移行する。
一方、この判定の結果、状態判定部１３９が通信の状況がいずれの状態判定条件も満たしていないことを判定した場合には（ステップＳ２５：ＮＯ）、（ステップＳ４１）の処理へ移行する。

（ステップＳ２６）
中継装置１２では、（ステップＳ２３）の処理において現在の合計値が所定の閾値を超えた場合には、通信制御部１４０は、端末装置１１−１とサーバ装置１３−１との通信を停止させる。本実施形態では、通信制御部１４０は、端末装置１１−１とサーバ装置１３−１との通信を中継することを停止することで、当該通信を停止させる。そして、（ステップＳ６６）の処理へ移行する。
ここで、本実施形態では、中継装置１２において、評価値判定部１３７は、端末装置１１−１について合計値が所定の閾値を超えた場合には、当該端末装置１１−１がマルウェアに感染したと判定している。この判定は、推定的であってもよい。

（ステップＳ２７）
中継装置１２では、（ステップＳ２５）の処理において通信の状況がいずれかの状態判定条件を満たした場合には、状態判定部１３９は、当該状態判定条件に対応する状態を示す情報（通信状態情報）を記憶部１１３に記憶させて保持する。そして、（ステップＳ４１）の処理へ移行する。
この場合、状態判定部１３９は、保持させた通信状態情報と対応付けて、当該通信状態情報をリセットする条件の情報（通信状態情報のリセット条件情報）を記憶部１１３に記憶させる。
また、状態判定部１３９は、複数の端末装置１１−１〜１１−ｎが存在する場合、それぞれの端末装置１１−１〜１１−ｎの通信状態情報に当該それぞれの端末装置１１−１〜１１−ｎの識別情報を対応付けて記憶部１１３に記憶することで、それぞれの端末装置１１−１〜１１−ｎごとに通信状態情報を特定することを可能とする。

なお、図７の例のように、リクエスト信号のボディが複数回通信される場合には、例えば、それぞれの回について（ステップＳ２１）〜（ステップＳ２７）の処理が行われてもよく、あるいは、すべての回の通信が完了した後に、まとめて、（ステップＳ２１）〜（ステップＳ２７）の処理が行われてもよい。なお、それぞれの回について処理が行われる場合には、該当するステップを組み合わせた処理がそれぞれの回ごとに繰り返して行われる。

（ステップＳ４１）
図７の例における（処理Ｔ２１）のように、中継装置１２では、サーバ装置１３−１から送信されたレスポンス信号のヘッダが受信される。
中継装置１２では、受信されたレスポンス信号のヘッダに関する判定と評価値の加算を行う。具体的には、通信情報取得部１３１が当該レスポンス信号のヘッダの情報を取得し、通信条件情報取得部１３２がレスポンス信号（ここでは、ヘッダ）に関する通信条件情報１０２１を取得し、通信情報判定部１３４が、当該レスポンス信号のヘッダの情報について解析を行って当該ヘッダの構成要素別に評価を行うことで、評価値の点数を判定する。そして、評価値計数部１３５が判定された評価値の点数を現在の合計値に加算する。
そして、（ステップＳ４２）の処理へ移行する。

（ステップＳ４２）
中継装置１２では、受信されたレスポンス信号のヘッダおよび状態に関する判定と評価値の加算を行う。具体的には、通信情報取得部１３１が当該レスポンス信号のヘッダの情報を取得し、通信条件情報取得部１３２が状態と信号に関する通信条件情報１０３１を取得し、通信情報判定部１３４が当該レスポンス信号のヘッダの情報および状態（通信状態情報）について解析を行って評価値の点数を判定する。そして、評価値計数部１３５が判定された評価値の点数を現在の合計値に加算する。そして、（ステップＳ４３）の処理へ移行する。
なお、通信情報取得部１３１により当該レスポンス信号のヘッダの情報を取得する処理および通信情報判定部１３４により当該ヘッダの情報を解析する処理は、（ステップＳ４１）の処理で行われているため、（ステップＳ４２）の処理では省略されてもよい。

（ステップＳ４３）
中継装置１２では、評価値判定部１３７は、評価条件情報（本実施形態では、所定の閾値）に基づいて、現在の合計値が所定の閾値を超えたか否かを判定する。
この判定の結果、評価値判定部１３７が現在の合計値が所定の閾値を超えたことを判定した場合には（ステップＳ４３：ＹＥＳ）、（ステップＳ４６）の処理へ移行する。
一方、この判定の結果、評価値判定部１３７が現在の合計値が所定の閾値以下であることを判定した場合には（ステップＳ４３：ＮＯ）、（ステップＳ４４）の処理へ移行する。

（ステップＳ４４）
中継装置１２では、（ステップＳ４３）の処理において現在の合計値が所定の閾値以下である場合には、図７の例における（処理Ｔ２２）のように、通信制御部１４０は、受信されたレスポンス信号のヘッダを端末装置１１−１に送信（転送）する。そして、（ステップＳ４５）の処理へ移行する。

（ステップＳ４５）
中継装置１２では、状態判定部１３９は、状態判定条件情報に基づいて、通信の状況がいずれかの状態判定条件を満たしたか否かを判定する。
この判定の結果、状態判定部１３９が通信の状況がいずれかの状態判定条件を満たしたことを判定した場合には（ステップＳ４５：ＹＥＳ）、（ステップＳ４７）の処理へ移行する。
一方、この判定の結果、状態判定部１３９が通信の状況がいずれの状態判定条件も満たしていないことを判定した場合には（ステップＳ４５：ＮＯ）、（ステップＳ６１）の処理へ移行する。

（ステップＳ４６）
中継装置１２では、（ステップＳ４３）の処理において現在の合計値が所定の閾値を超えた場合には、通信制御部１４０は、端末装置１１−１とサーバ装置１３−１との通信を停止させる。本実施形態では、通信制御部１４０は、端末装置１１−１とサーバ装置１３−１との通信を中継することを停止することで、当該通信を停止させる。そして、（ステップＳ６６）の処理へ移行する。
ここで、本実施形態では、中継装置１２において、評価値判定部１３７は、端末装置１１−１について合計値が所定の閾値を超えた場合には、当該端末装置１１−１がマルウェアに感染したと判定している。この判定は、推定的であってもよい。

（ステップＳ４７）
中継装置１２では、（ステップＳ４５）の処理において通信の状況がいずれかの状態判定条件を満たした場合には、状態判定部１３９は、当該状態判定条件に対応する状態を示す情報（通信状態情報）を記憶部１１３に記憶させて保持する。そして、（ステップＳ６１）の処理へ移行する。
この場合、状態判定部１３９は、保持させた通信状態情報と対応付けて、当該通信状態情報をリセットする条件の情報（通信状態情報のリセット条件情報）を記憶部１１３に記憶させる。
また、状態判定部１３９は、複数の端末装置１１−１〜１１−ｎが存在する場合、それぞれの端末装置１１−１〜１１−ｎの通信状態情報に当該それぞれの端末装置１１−１〜１１−ｎの識別情報を対応付けて記憶部１１３に記憶することで、それぞれの端末装置１１−１〜１１−ｎごとに通信状態情報を特定することを可能とする。

（ステップＳ６１）
図７の例における（処理Ｔ２３）のように、中継装置１２では、サーバ装置１３−１から送信されたレスポンス信号のボディが受信される。
中継装置１２では、受信されたレスポンス信号のボディに関する判定と評価値の加算を行う。具体的には、通信情報取得部１３１が当該レスポンス信号のボディの情報を取得し、通信条件情報取得部１３２がレスポンス信号（ここでは、ボディ）に関する通信条件情報１０２１を取得し、通信情報判定部１３４が、当該レスポンス信号のボディの情報について解析を行って当該ボディの評価を行うことで、評価値の点数を判定する。そして、評価値計数部１３５が判定された評価値の点数を現在の合計値に加算する。
そして、（ステップＳ６２）の処理へ移行する。

（ステップＳ６２）
中継装置１２では、受信されたレスポンス信号のボディおよび状態に関する判定と評価値の加算を行う。具体的には、通信情報取得部１３１が当該レスポンス信号のボディの情報を取得し、通信条件情報取得部１３２が状態と信号に関する通信条件情報１０３１を取得し、通信情報判定部１３４が当該レスポンス信号のボディの情報および状態（通信状態情報）について解析を行って評価値の点数を判定する。そして、評価値計数部１３５が判定された評価値の点数を現在の合計値に加算する。そして、（ステップＳ６３）の処理へ移行する。
なお、通信情報取得部１３１により当該レスポンス信号のボディの情報を取得する処理および通信情報判定部１３４により当該ボディの情報を解析する処理は、（ステップＳ６１）の処理で行われているため、（ステップＳ６２）の処理では省略されてもよい。

（ステップＳ６３）
中継装置１２では、評価値判定部１３７は、評価条件情報（本実施形態では、所定の閾値）に基づいて、現在の合計値が所定の閾値を超えたか否かを判定する。
この判定の結果、評価値判定部１３７が現在の合計値が所定の閾値を超えたことを判定した場合には（ステップＳ６３：ＹＥＳ）、（ステップＳ６７）の処理へ移行する。
一方、この判定の結果、評価値判定部１３７が現在の合計値が所定の閾値以下であることを判定した場合には（ステップＳ６３：ＮＯ）、（ステップＳ６４）の処理へ移行する。

（ステップＳ６４）
中継装置１２では、（ステップＳ６３）の処理において現在の合計値が所定の閾値以下である場合には、図７の例における（処理Ｔ２４）のように、通信制御部１４０は、受信されたレスポンス信号のボディを端末装置１１−１に送信（転送）する。そして、（ステップＳ６５）の処理へ移行する。

（ステップＳ６５）
中継装置１２では、状態判定部１３９は、状態判定条件情報に基づいて、通信の状況がいずれかの状態判定条件を満たしたか否かを判定する。
この判定の結果、状態判定部１３９が通信の状況がいずれかの状態判定条件を満たしたことを判定した場合には（ステップＳ６５：ＹＥＳ）、（ステップＳ６８）の処理へ移行する。
一方、この判定の結果、状態判定部１３９が通信の状況がいずれの状態判定条件も満たしていないことを判定した場合には（ステップＳ６５：ＮＯ）、（ステップＳ６６）の処理へ移行する。

ここで、本実施形態では、（ステップＳ６５）の処理および（ステップＳ６８）の処理を行う構成としたが、例えば、（ステップＳ６４）の処理の後には必ず通信状態情報がリセットされる（本実施形態では、例えば、消去される、または、無意味な値とされる）場合には、（ステップＳ６５）の処理および（ステップＳ６８）の処理は行われなくてもよい。

（ステップＳ６６）
中継装置１２では、状態判定部１３９は、記憶部１１３に記憶された通信状態情報について終了条件（本実施形態では、通信状態情報のリセット条件情報）が満たされたか否かを判定する。本実施形態では、状態判定部１３９は、記憶部１１３に記憶された通信状態情報について、当該通信状態情報と対応付けて保持されたリセット条件情報（通信状態情報のリセット条件情報）が満たされたか否かを判定する。
この判定の結果、状態判定部１３９は、通信状態情報と対応付けられたリセット条件情報が満たされたことを判定した場合には（ステップＳ６６：ＹＥＳ）、（ステップＳ６９）の処理へ移行する。
一方、状態判定部１３９は、通信状態情報と対応付けられたリセット条件情報が満たされていないことを判定した場合には（ステップＳ６６：ＮＯ）、本フローの処理が終了させられる。

ここで、通信状態情報をリセットする条件（リセット条件）としては、任意の条件が用いられてもよい。
一例として、通信状態情報のリセット条件として、通信状態情報が設定（記憶）されてから所定の期間以上の時間が経過したという条件が用いられてもよい。例えば、通信状態情報が設定（記憶）されてから所定の期間が経過する前に発生した通信（単位ごとの通信）については、当該通信状態情報が有効である（つまり、当該通信状態情報がリセットされていない状態である）とされてもよい。

他の例として、通信状態情報のリセット条件として、連続番号の通信（通信＃Ｎ−１、通信＃Ｎ、通信＃Ｎ＋１など）ごとを単位として、所定の数の単位の通信が経過したという条件が用いられてもよい。具体例として、５番目の通信で所定の通信状態情報が記憶されて、リセット条件が「現在の通信単位以降に３回分の通信単位が経過すること」である場合には、８番目（＝５番目＋３回分）の通信が終了した時点で当該リセット条件が満たされて、当該通信状態情報がリセットされる。
また、例えば、１つの通信状態情報について、２種類以上の異なるリセット条件が設定されてもよい。この場合、例えば、設定された２種類以上の異なるリセット条件のうちの任意の１つの条件が満たされたときに通信状態情報がリセットされてもよく、あるいは、設定された２種類以上の異なるリセット条件のすべての条件が満たされたときに通信状態情報がリセットされてもよい。

（ステップＳ６７）
中継装置１２では、（ステップＳ６３）の処理において現在の合計値が所定の閾値を超えた場合には、通信制御部１４０は、端末装置１１−１とサーバ装置１３−１との通信を停止させる。本実施形態では、通信制御部１４０は、端末装置１１−１とサーバ装置１３−１との通信を中継することを停止することで、当該通信を停止させる。そして、（ステップＳ６６）の処理へ移行する。
ここで、本実施形態では、中継装置１２において、評価値判定部１３７は、端末装置１１−１について合計値が所定の閾値を超えた場合には、当該端末装置１１−１がマルウェアに感染したと判定している。この判定は、推定的であってもよい。

（ステップＳ６８）
中継装置１２では、（ステップＳ６５）の処理において通信の状況がいずれかの状態判定条件を満たした場合には、状態判定部１３９は、当該状態判定条件に対応する状態を示す情報（通信状態情報）を記憶部１１３に記憶させて保持する。そして、（ステップＳ６６）の処理へ移行する。
この場合、状態判定部１３９は、保持させた通信状態情報と対応付けて、当該通信状態情報をリセットする条件の情報（通信状態情報のリセット条件情報）を記憶部１１３に記憶させる。
また、状態判定部１３９は、複数の端末装置１１−１〜１１−ｎが存在する場合、それぞれの端末装置１１−１〜１１−ｎの通信状態情報に当該それぞれの端末装置１１−１〜１１−ｎの識別情報を対応付けて記憶部１１３に記憶することで、それぞれの端末装置１１−１〜１１−ｎごとに通信状態情報を特定することを可能とする。

（ステップＳ６９）
中継装置１２では、状態判定部１３９は、通信状態情報と対応付けられたリセット条件情報が満たされた場合には、記憶部１１３に記憶された当該通信状態情報をリセットする。そして、本フローの処理が終了させられる。

なお、図７の例のように、レスポンス信号のボディが複数回通信される場合には、例えば、それぞれの回について（ステップＳ６１）〜（ステップＳ６５）、（ステップＳ６７）、（ステップＳ６８）の処理が行われてもよく、あるいは、すべての回の通信が完了した後に、まとめて、（ステップＳ６１）〜（ステップＳ６５）、（ステップＳ６７）、（ステップＳ６８）の処理が行われてもよい。なお、それぞれの回について処理が行われる場合には、該当するステップを組み合わせた処理がそれぞれの回ごとに繰り返して行われる。

ここで、本実施形態では、図８〜図１１の例における処理フローにおいて、評価値計数部１３５は、１つの単位の通信（例えば、通信＃Ｎなど）における一連の処理（本実施形態では、リクエスト信号およびレスポンス信号の処理）を通して、同一の判定項目（同一の判定条件）については、二重（あるいは、三重以上）に点数の加算が判定されても、二重（あるいは、三重以上）の点数の加算をせずに、これらのうちの最初の１回だけ点数を加算する。同一の判定項目（同一の判定条件）であるか否かは、例えば、あらかじめ、記憶部１１３に設定されて記憶されてもよい。
他の構成例として、評価値計数部１３５は、１つの単位の通信における一連の処理を通して、同一の判定項目（同一の判定条件）について、二重（あるいは、三重以上）に点数の加算を行ってもよい。

また、図８〜図１１の例における処理フローでは、リクエスト信号のヘッダ、リクエスト信号のボディ、レスポンス信号のヘッダ、レスポンス信号のボディのそれぞれについて、通信条件情報に基づく判定と評価値の加算の処理（図８〜図１１の例では、ステップＳ２、ステップＳ２１、ステップＳ４１、ステップＳ６１）と、状態と信号に関する通信条件情報に基づく判定と評価値の加算の処理（図８〜図１１の例では、ステップＳ３、ステップＳ２２、ステップＳ４２、ステップＳ６２）との両方が行われる。
他の構成例として、状態と信号に関する通信条件情報に基づく判定と評価値の加算の処理（図８〜図１１の例では、ステップＳ３、ステップＳ２２、ステップＳ４２、ステップＳ６２）は、リクエスト信号のヘッダ、リクエスト信号のボディ、レスポンス信号のヘッダ、レスポンス信号のボディのうちの任意の１つ、または任意の２つ、または任意の３つで行われてもよい。例えば、状態と信号に関する通信条件情報に基づく判定と評価値の加算の処理（図８〜図１１の例では、ステップＳ３、ステップＳ２２、ステップＳ４２、ステップＳ６２）は、ヘッダ（リクエスト信号のヘッダおよびレスポンス信号のヘッダ）とボディ（リクエスト信号のボディおよびレスポンス信号のボディ）のうちの任意の一方で行われてもよく、あるいは、リクエスト信号（ヘッダおよびボディ）とレスポンス信号（ヘッダおよびボディ）のうちの任意の一方で行われてもよい。

また、図８〜図１１の例における処理フローでは、リクエスト信号について得られた点数（合計点）をそのまま維持して、当該リクエスト信号に続くレスポンス信号についての点数をさらに加算する構成である。
また、図８〜図１１の例における処理フローでは、リクエスト信号とレスポンス信号のそれぞれにおいて、ヘッダについて得られた点数をそのまま維持して、当該ヘッダに続くボディについての点数をさらに加算する構成である。

［実施形態のまとめ］
以上のように、本実施形態に係る通信システム１では、中継装置１２において、端末装置１１−１〜１１−ｎにより行われるＨＴＴＰの通信（リクエスト信号およびレスポンス信号の通信）ごとに、異常に関する判定を行うことで、当該端末装置１１−１〜１１−ｎによる不正な通信（あるいは、不審な通信）を検知（判定）することができる。
また、本実施形態に係る通信システム１では、中継装置１２において、一つ一つの通信が所定の通信条件を満たすか否かだけではなく、複数の通信の前後関係を考慮した条件（状態と信号に関する通信条件）が満たされるか否かを監視することで、例えば、一つ一つの通信だけからは判定することができない不正な通信を検知（判定）することができ、監視の精度を向上させることができ、セキュリティを向上させることができる。
また、本実施形態に係る通信システム１では、中継装置１２において、それぞれの端末装置１１−１〜１１−ｎごとの情報を管理して、それぞれの端末装置１１−１〜１１−ｎごとに監視を行うことが可能である。
このように、本実施形態に係る通信システム１では、端末装置１１−１〜１１−ｎがマルウェアに感染したことを精度良く判定することが可能である。なお、この判定は、推定的であってもよい。

また、本実施形態に係る通信システム１では、中継装置１２において、ある端末装置１１−１〜１１−ｎがマルウェアに感染したことが判定された場合には、当該端末装置１１−１〜１１−ｎによる通信を遮断すること、あるいは、この判定の結果に関する警告を所定の装置に通知することなどを行うことで、この判定の結果に対する適切な処理を実行することができる。

なお、本実施形態では、通信システム１における中継装置１２について説明したが、同様な要旨を有するシステム、方法あるいはプログラムなどを実施することも可能である。

＜構成例＞
一構成例として、端末装置（図１の例では、端末装置１１−１〜１１−ｎ）とネットワーク（図１の例では、ネットワーク２１）との間に設けられる中継装置（図１の例では、中継装置１２）であって、端末装置からネットワークに対して送信されるＨＴＴＰのリクエスト信号に基づく第１の評価値（リクエスト信号に関する評価値）と、ＨＴＴＰのリクエスト信号に応じてネットワークから端末装置に対して送信されるＨＴＴＰのレスポンス信号に基づく第２の評価値（レスポンス信号に関する評価値）と、端末装置により行われた過去の通信に関する状態および当該状態が発生した後におけるＨＴＴＰのリクエスト信号あるいはＨＴＴＰのレスポンス信号に基づく第３の評価値（状態と信号に関する評価値）とを合計した結果である合計値（評価値の合計値）に基づいて判定を行う評価値判定部（図２の例では、評価値判定部１３７）を備える。

一構成例として、中継装置において、第１の評価値、第２の評価値、および第３の評価値として、点数を計数し、計数されたこれらの点数を合計して合計値を計数する評価値計数部（図２の例では、評価値計数部１３５）を備え、評価値判定部は、合計値が所定の閾値を超えたか否かに基づいて、端末装置についてマルウェアの感染に関する判定を行う。
一構成例として、中継装置において、評価値計数部は、第１の評価値と第２の評価値と第３の評価値とを合計した結果である合計値を、リクエスト信号およびレスポンス信号の通信（リクエスト信号およびレスポンス信号の組み合わせを１単位とする通信）を単位として、当該単位ごとにリセットする。
一構成例として、中継装置において、端末装置により行われた過去の通信に関する状態は、当該状態が発生した後に、所定の期間が経過した後に、リセットされる。
一構成例として、中継装置において、第１の評価値は、リクエスト信号のヘッダとボディとのそれぞれについて求められ、第２の評価値は、レスポンス信号のヘッダとボディとのそれぞれについて求められる。
一構成例として、中継装置において、評価値判定部により行われた判定の結果に基づいて端末装置に関する通信の制御を行う通信制御部（図２の例では、通信制御部１４０）を備える。

一構成例として、端末装置とネットワークとの間に設けられる中継装置により行われる中継方法であって、中継装置は、端末装置からネットワークに対して送信されるＨＴＴＰのリクエスト信号に基づく第１の評価値と、ＨＴＴＰのリクエスト信号に応じてネットワークから端末装置に対して送信されるＨＴＴＰのレスポンス信号に基づく第２の評価値と、端末装置により行われた過去の通信に関する状態および当該状態が発生した後におけるＨＴＴＰのリクエスト信号あるいはＨＴＴＰのレスポンス信号に基づく第３の評価値とを合計した結果である合計値に基づいて判定を行う。
一構成例として、端末装置とネットワークとの間に設けられる中継装置を構成するコンピュータに、端末装置からネットワークに対して送信されるＨＴＴＰのリクエスト信号に基づく第１の評価値と、ＨＴＴＰのリクエスト信号に応じてネットワークから端末装置に対して送信されるＨＴＴＰのレスポンス信号に基づく第２の評価値と、端末装置により行われた過去の通信に関する状態および当該状態が発生した後におけるＨＴＴＰのリクエスト信号あるいはＨＴＴＰのレスポンス信号に基づく第３の評価値とを合計した結果である合計値に基づいて判定を行う機能、を実現させるためのプログラムである。

以上の実施形態に係る各種の装置（例えば、中継装置１２、端末装置１１−１〜１１−ｎ、サーバ装置１３−１〜１３−ｍなど）の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体（記憶媒体）に記録（記憶）して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、処理を行うことができる。
なお、ここでいう「コンピュータシステム」とは、オペレーティングシステムあるいは周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。
さらに、「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークあるいは電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えば、ＤＲＡＭ）のように、一定時間プログラムを保持しているものも含む。
また、上記のプログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）あるいは電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記のプログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、上記のプログラムは、前述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

なお、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態には限定されない。本発明の精神及び範囲から逸脱することなく様々に変更したり代替態様を採用したりすることが可能なことは、当業者に明らかである。

１…通信システム、１１−１〜１１−ｎ…端末装置、１２…中継装置、１３−１〜１３−ｍ…サーバ装置、２１…ネットワーク、１１１…入力部、１１２…出力部、１１３…記憶部、１１４…通信部、１１５…制御部、１３１…通信情報取得部、１３２…通信条件情報取得部、１３３…状態情報取得部、１３４…通信情報判定部、１３５…評価値計数部、１３６…評価条件情報取得部、１３７…評価値判定部、１３８…状態判定条件情報取得部、１３９…状態判定部、１４０…通信制御部、１０１１、１０２１、１０３１…通信条件情報、１０４１…状態判定条件情報

Claims (6)

1. 端末装置とネットワークとの間に設けられる中継装置であって、
   前記端末装置から前記ネットワークに対して送信されるＨＴＴＰのリクエスト信号に基づく第１の評価値と、前記ＨＴＴＰのリクエスト信号に応じて前記ネットワークから前記端末装置に対して送信されるＨＴＴＰのレスポンス信号に基づく第２の評価値と、前記端末装置により行われた過去の通信に関する状態および当該状態が発生した後における前記ＨＴＴＰのリクエスト信号あるいは前記ＨＴＴＰのレスポンス信号に基づく第３の評価値として、点数を計数し、計数されたこれらの点数を合計して合計値を計数し、また、前記合計値を、前記リクエスト信号および前記レスポンス信号の通信を単位として、当該単位ごとにリセットする評価値計数部と、
   前記合計値が所定の閾値を超えたか否かに基づいて、前記端末装置についてマルウェアの感染に関する判定を行う評価値判定部と、
   を備える中継装置。
2. 前記端末装置により行われた過去の通信に関する状態は、当該状態が発生した後に、所定の期間が経過した後に、リセットされる、
   請求項１に記載の中継装置。
3. 前記第１の評価値は、前記リクエスト信号のヘッダとボディとのそれぞれについて求められ、
   前記第２の評価値は、前記レスポンス信号のヘッダとボディとのそれぞれについて求められる、
   請求項１または請求項２のいずれか１項に記載の中継装置。
4. 前記評価値判定部により行われた判定の結果に基づいて前記端末装置に関する通信の制御を行う通信制御部を備える、
   請求項１から請求項３のいずれか１項に記載の中継装置。
5. 端末装置とネットワークとの間に設けられる中継装置により行われる中継方法であって、
   前記中継装置は、前記端末装置から前記ネットワークに対して送信されるＨＴＴＰのリクエスト信号に基づく第１の評価値と、前記ＨＴＴＰのリクエスト信号に応じて前記ネットワークから前記端末装置に対して送信されるＨＴＴＰのレスポンス信号に基づく第２の評価値と、前記端末装置により行われた過去の通信に関する状態および当該状態が発生した後における前記ＨＴＴＰのリクエスト信号あるいは前記ＨＴＴＰのレスポンス信号に基づく第３の評価値として、点数を計数し、計数されたこれらの点数を合計して合計値を計数し、また、前記合計値を、前記リクエスト信号および前記レスポンス信号の通信を単位として、当該単位ごとにリセットし、
   前記中継装置は、前記合計値が所定の閾値を超えたか否かに基づいて、前記端末装置についてマルウェアの感染に関する判定を行う、
   中継方法。
6. 端末装置とネットワークとの間に設けられる中継装置を構成するコンピュータに、
   前記端末装置から前記ネットワークに対して送信されるＨＴＴＰのリクエスト信号に基づく第１の評価値と、前記ＨＴＴＰのリクエスト信号に応じて前記ネットワークから前記端末装置に対して送信されるＨＴＴＰのレスポンス信号に基づく第２の評価値と、前記端末装置により行われた過去の通信に関する状態および当該状態が発生した後における前記ＨＴＴＰのリクエスト信号あるいは前記ＨＴＴＰのレスポンス信号に基づく第３の評価値として、点数を計数し、計数されたこれらの点数を合計して合計値を計数し、また、前記合計値を、前記リクエスト信号および前記レスポンス信号の通信を単位として、当該単位ごとにリセットする機能と、
   前記合計値が所定の閾値を超えたか否かに基づいて、前記端末装置についてマルウェアの感染に関する判定を行う機能と、
   を実現させるためのプログラム。

Images