JP6609233B2

JP6609233B2 - 不審通信制御方法、不審通信制御装置及び不審通信制御システム

Info

Publication number: JP6609233B2
Application number: JP2016183242A
Authority: JP
Inventors: 一郎来間; 義明磯部; 倫宏重本; 哲郎鬼頭
Original assignee: Hitachi Solutions Ltd
Current assignee: Hitachi Solutions Ltd
Priority date: 2016-09-20
Filing date: 2016-09-20
Publication date: 2019-11-20
Anticipated expiration: 2036-09-20
Also published as: JP2018049373A

Description

本発明は、ユーザの特性を推定し、通信時の接続確認の方式を決定することで、安全性と利便性を両立しつつ、マルウェアによる通信を遮断する技術に関する。

近年、民間企業や国家機関を狙うサイバー攻撃が増加しており、大規模な情報漏洩事件が起きるなど、社会の利益や安全性を損なうリスクが高まっている。更に、攻撃の内容についても、標的型攻撃、特にＡＰＴ（ＡｄｖａｎｃｅｄＰｅｒｓｉｓｔｅｎｔＴｈｒｅａｔ）攻撃に代表されるような、洗練された高度な攻撃手法が使われるケースが増えている。この種の攻撃では、特定の個人、組織をターゲットとし、当該組織にあわせてカスタマイズしたマルウェアが利用されるため、従来のファイアウォールやアンチウィルスソフトウェアでは対処できない場合が多い。

また、ソーシャルエンジニアリングを駆使し、ユーザを騙すことでマルウェアに感染させる手法も多用される。このような攻撃に対しては、技術的対策によりマルウェア感染を確実に防ぐことは困難である。そのため、マルウェア感染を前提とし、最終的に被害を防止することを目的として対策することが重要となる。

マルウェア感染を前提とした対策のひとつは、ブラックリストに基づく通信制御である。上記のような攻撃で利用されるマルウェアの多くは、ターゲットの端末に感染した後、攻撃者が用意したインターネット上のＣ＆Ｃ（ＣｏｍｍａｎｄａｎｄＣｏｎｔｒｏｌ）サーバと通信し、感染端末を攻撃者から制御可能な状態にしたり、新たなマルウェアをダウンロードして実行したり、窃取した情報を送信したり、といった攻撃活動を行う。

これに対し、既知のＣ＆ＣサーバのＵＲＬをブラックリストに登録し、組織内ネットワークに接続された端末から外部インターネットへの通信のうち、当該リストに含まれるＵＲＬを宛先とする通信を遮断することで、組織内に侵入したマルウェアがＣ＆Ｃサーバと通信することを防いで、攻撃活動を抑制することができる。

しかしながら、ブラックリストに基づく通信制御では、ブラックリストの管理が困難であるという問題がある。すなわち、マルウェアに関する外部情報に基づいてブラックリストを構成する場合、少しでも不審なＵＲＬを全てブラックリストに登録してしまうと、業務上必要な通信が遮断され、業務に悪影響を与えてしまう可能性がある。

そこで、危険と断定できない不審な通信に対しては、本当にユーザが意図して発生させた通信か否かを確認するため、ユーザに対して接続確認を求める手法が考えられる。ただし、近年では、ユーザが入力した接続確認情報を読み取り、プロキシによる接続確認を突破してＣ＆Ｃサーバと通信するマルウェアも出現している。

この種のマルウェアに対応するためには、従来のＩＤおよびパスワード入力の代わりに、人間による操作であることを証明するＨＩＰ（ＨｕｍａｎＩｎｔｅｒａｃｔｉｏｎＰｒｏｏｆ）の利用が望ましい。ＨＩＰの一例には、機械的に読み取るのが難しい文字列の画像を提示し、読み取った文字列を入力させるＣＡＰＴＣＨＡ（ＣｏｍｐｌｅｔｅｌｙＡｕｔｏｍａｔｅｄＰｕｂｌｉｃＴｕｒｉｎｇＴｅｓｔＴｏＴｅｌｌＣｏｍｐｕｔｅｒｓＡｎｄＨｕｍａｎｓＡｐａｒｔ）がある。

上記手法の問題点は、危険と断定できない不審な通信に対して、毎回ユーザに接続確認が求められるため、端末操作の利便性が低下する点である。この問題を解決するアプローチの一つは、状況に応じて接続確認の有無や方式を変化させ、接続確認の手間を必要最低限に抑えることであり、これを実現する従来技術としては、例えば、特許文献１に示す技術が提案されている。

特許文献１では、ユーザ毎に端末を利用する時間帯と場所に関する情報を収集し、時間帯と場所の組み合わせ毎の利用頻度に応じて、ユーザに対し求める接続確認のレベルを決定する。この技術においては、ユーザが頻繁に端末を利用する状況では接続確認を簡略化して利便性を高め、一方で、通常は見られない、すなわち正規ユーザ以外が端末を利用しようとしている可能性が高い状況では接続確認のレベルを上げるなど、安全性と利便性の両立が図られている。

特開２００３−１９６５６６号公報

特許文献１の技術は、時間と場所毎のユーザの端末利用頻度といった、ユーザ毎の行動パターンに基づいて接続確認のレベルを変更することができ、安全性と利便性の両立に寄与している。

しかし、ユーザに対し不審な通信への接続確認を求める場合、同一の接続確認方式に対する反応はユーザ毎に異なるため、行動パターンに基づいて一律に接続確認方式を決定しても、その接続確認方式は必ずしも個々のユーザにとって最適にはならない。

個々のユーザは、ＩＴリテラシー、コスト意識、リスク意識など、接続確認に関する特性に差があると考えられるため、同一の接続確認方式を提示しても、それに対する反応にはユーザの間で差が生じる。

例として、リスク意識の低いユーザは危険性の高い通信を安易に許可する、コスト意識の高いユーザは手間のかかる接続確認を求められると通信を諦めてしまう、といったケースがある。更に、同じ状況下でもユーザ毎に反応が異なることから、ユーザの反応を集計して得られる知見の信頼性も低くなる。この知見とは、例えば不審ＵＲＬのリスクの推定などに利用することができ、安全性や利便性の更なる向上に寄与するものである。

本発明は、上記事情を鑑みてなされたものであり、接続確認に対するユーザの応答からユーザの特性を推定することで、ユーザが適切な接続確認行動を取るよう、接続確認の提示方式をユーザ毎に変更する不審通信制御システムを提供することを目的とする。

本発明は、ユーザが操作する端末とインターネットを接続する不審通信制御装置で、前記端末からインターネットへの接続を制御する不審通信制御方法であって、前記不審通信制御装置が、前記端末からインターネットへの接続要求を受信する第１のステップと、前記不審通信制御装置が、前記受信した接続要求について前記ユーザの接続確認パターンを取得して接続確認を行う第２のステップと、前記不審通信制御装置が、前記接続確認の結果に基づいて前記端末からインターネットへの接続を制御する第３のステップと、前記不審通信制御装置が、前記接続確認の結果に基づいて前記端末を操作する前記ユーザの特性を算出する第４のステップと、前記不審通信制御装置が、前記特性に基づいて前記ユーザの前記接続確認パターンを変更する第５のステップと、を含む。

したがって、本発明によれば、ユーザの特性に基づいてユーザ毎に接続確認の提示パターンを決定することで、接続確認時にユーザに適切な行動を促すことができる。

本発明の実施例を示し、不審通信制御システムの一例を示すブロック図である。本発明の実施例を示し、不審通信制御装置のハードウェア構成の一例ブロック図である。本発明の実施例を示し、ユーザテーブルの一例を示す図である。本発明の実施例を示し、端末テーブルの一例を示す図である。本発明の実施例を示し、通信ログテーブルの一例を示す図である。本発明の実施例を示し、グレーＵＲＬテーブルの一例を示す図である。本発明の実施例を示し、ブラックＵＲＬテーブルの一例を示す図である。本発明の実施例を示し、ホワイトＵＲＬテーブルの一例を示す図である。本発明の実施例を示し、接続確認方式テーブルの一例を示す図である。本発明の実施例を示し、パラメータテーブルの一例を示す図である。本発明の実施例を示し、接続確認方式個別条件テーブルの一例を示す図である。本発明の実施例を示し、接続確認結果テーブルの一例を示す図である。本発明の実施例を示し、統計量テーブルの一例を示す図である。本発明の実施例を示し、接続確認結果統計情報テーブルの一例を示す図である。本発明の実施例を示し、ユーザ特性テーブルの一例を示す図である。本発明の実施例を示し、ユーザ接続確認方式テーブルの例を示す図である。本発明の実施例を示し、通信発生時の処理の一例を示すフローチャートである。本発明の実施例を示し、定期更新処理の一例を示すフローチャートである。本発明の実施例を示し、統計情報更新処理の一例を示すフローチャートである。本発明の実施例を示し、ユーザ特性更新処理の一例を示すフローチャートである。本発明の実施例を示し、接続確認方式更新処理の一例を示すフローチャートである。本発明の実施例を示し、接続確認画面Ａの一例を示す図である。本発明の実施例を示し、接続確認画面Ｂの一例を示す図である。本発明の実施例を示し、接続確認方式設定画面の一例を示す図である。本発明の実施例を示し、統計量設定画面の一例を示す図である。本発明の実施例を示し、パラメータ設定画面の一例を示す図である。本発明の実施例を示し、接続確認方式個別条件設定画面の一例を示す図である。本発明の実施例を示し、ユーザ特性の前提となるモデルを示す図である。

以下、本発明の実施形態を添付図面に基づいて説明する。

＜システム構成及び機能構成＞
図１は、本実施例における不審通信制御装置１０１を含むネットワーク構成例および不審通信制御システムの機能構成の一例を示すブロック図である。図１に示す不審通信制御装置１０１は、不審な通信に対してユーザの端末に接続確認を求め、ユーザによる応答からユーザの特性を推定して、当該特性に基づいてユーザに提示する接続確認方式（または接続確認パターン）を変更し、ユーザ毎に適切な行動を促すコンピュータ装置である。

図１に例示する本実施形態の不審通信制御装置１０１は、入出力装置１０２が接続され、通信部２０４に接続されたネットワーク１０４を経由してインターネット１０３に接続される。また、不審通信制御装置１０１は、ネットワーク１０５を経由して複数の管理対象の端末１０６＿１〜１０６＿Ｎに接続される。また、これらの管理対象の端末１０６＿１〜１０６＿Ｎの使用者がユーザ１０７＿１〜１０７＿Ｎである。

本実施形態においては、これら管理対象の端末１０６＿１〜１０６＿Ｎを介してユーザ１０７＿１〜１０７＿Ｎの特性を収集し、ユーザ１０７＿１〜１０７＿Ｎに対して適切な接続確認画面を提示する。システム管理者１０８は、入出力装置１０２を介して、不審通信制御装置１０１を操作する。なお、以下では端末の全体を示す場合には「＿」以降のない符号１０６を用いる。他の構成要素の符号についても同様である。

続いて、本実施形態の不審通信制御装置１０１が有する機能について説明する。ここでは、不審通信制御装置１０１および入出力装置１０２で所定のプログラムを実行することで実現される機能について説明する。不審通信制御装置１０１においては、通信制御プログラム１２１、ユーザ接続確認プログラム１２２、リスト更新プログラム１２３、統計情報更新プログラム１２４、ユーザ特性更新プログラム１２５、接続確認方式更新プログラム１２６、定期更新処理管理プログラム１２７がメモリ２０２にロードされて、ＣＰＵ２０１によって実行される。

また、不審通信制御装置１０１においては、ユーザテーブル３００、端末テーブル４００、通信ログテーブル５００、グレーＵＲＬテーブル６００、ブラックＵＲＬテーブル７００、ホワイトＵＲＬテーブル８００、接続確認方式テーブル９００、パラメータテーブル１０００、接続確認方式個別条件テーブル１１００、接続確認結果テーブル１２００、統計量テーブル１３００、接続確認結果統計情報テーブル１４００、ユーザ特性テーブル１５００、ユーザ接続確認方式テーブル１６００が記憶装置２０３に保持される。

通信制御プログラム１２１は、不審通信制御装置１０１を経由する管理対象の端末１０６からインターネット１０３への通信を取得し、当該通信の情報をユーザ接続確認プログラム１２２に引き渡して、ユーザ接続確認プログラム１２２から得られた接続確認結果に応じて通信可否を決定し、当該通信の転送または遮断を実行するプログラムである。

すなわち、通信制御プログラム１２１は、端末１０６からインターネット１０３への接続要求のパケットを受信すると、接続要求のパケットをユーザ接続確認プログラム１２２へ転送して所定の通信制御を実施する。

ユーザ接続確認プログラム１２２は、通信制御プログラム１２１から受け取った通信の情報に基づき、グレーＵＲＬテーブル６００と、ブラックＵＲＬテーブル７００と、ホワイトＵＲＬテーブル８００を参照して、接続確認の要否を決定し、接続確認が必要であれば、接続確認方式テーブル９００と、ユーザ接続確認方式テーブル１６００を参照して、接続確認の方式を決定し、当該通信を試行した管理対象の端末１０６に接続確認要求を送信するプログラムである。接続確認方式とは、端末１０６を利用するユーザ１０７に対して、通信の許可または不許可などの意思を確認する方式である。

リスト更新プログラム１２３は、接続確認結果テーブル１２００を参照し、ユーザによる接続確認結果に基づいてＵＲＬのリスクの推定値を更新し、グレーＵＲＬテーブル６００、ブラックＵＲＬテーブル７００、ホワイトＵＲＬテーブル８００を更新するプログラムである。

統計情報更新プログラム１２４は、グレーＵＲＬテーブル６００、ブラックＵＲＬテーブル７００、ホワイトＵＲＬテーブル８００、接続確認結果テーブル１２００を参照して、ユーザ毎の、接続確認方式に対する接続確認結果を取得し、接続確認結果に基づき統計量テーブル１３００で規定された統計情報を算出して、接続確認結果統計情報テーブル１４００を更新するプログラムである。

ユーザ特性更新プログラム１２５は、前記統計情報更新プログラム１２４が算出した接続確認結果統計情報テーブル１４００を参照し、ユーザ１０７毎の、前記接続確認方式に対する前記統計量の関係を算出して、ユーザ特性テーブル１５００を更新するプログラムである。

接続確認方式更新プログラム１２６は、ユーザ特性テーブル１５００を参照し、接続確認方式テーブル９００から、各ユーザに適切なユーザ接続確認方式を決定して、ユーザ接続確認方式テーブル１６００を更新するプログラムである。

定期更新処理管理プログラム１２７は、上記統計情報更新プログラム１２４、ユーザ特性更新プログラム１２５と、接続確認方式更新プログラム１２６を定期的に実行するプログラムである。

ユーザテーブル３００は、上記ユーザ１０７＿１〜１０７＿Ｎの一覧である。

端末テーブル４００は、上記管理対象の端末１０６＿１〜１０６＿Ｎの一覧であり、当該端末１０６を利用するユーザ１０７を紐づける情報や、当該管理対象の端末１０６に割り当てられたＩＰアドレスや、ＭＡＣアドレスの情報などを含む。

通信ログテーブル５００は、通信部２０４を経由する前記管理対象の端末１０６からインターネット１０３への通信を、通信制御プログラム１２１によって取得し、当該通信に関する宛先ＵＲＬや、通信時刻や、当該通信を行ったユーザなどの情報を記録したものである。

グレーＵＲＬテーブル６００は、危険と断定できない不審なＵＲＬの一覧である。

ブラックＵＲＬテーブル７００は、既知の危険なＵＲＬの一覧である。

ホワイトＵＲＬテーブル８００は、既知の安全なＵＲＬの一覧である。

接続確認方式テーブル９００は、前記ユーザ接続確認プログラム１２２により、前記管理対象の端末１０６を介して前記ユーザ１０７に提示される、接続確認方式の一覧である。

パラメータテーブル１０００は、前記各種プログラムが稼働する際に必要なパラメータの情報である。

接続確認方式個別条件テーブル１１００は、ユーザ１０７毎に、前記接続確認方式について、強制的に選択するものや、選択肢から除外するものを指定する情報の一覧である。

接続確認結果テーブル１２００は、前記ユーザ接続確認プログラム１２２が前記管理対象の端末１０６から受信した、接続確認に対する応答の情報である。

統計量テーブル１３００は、前記接続確認結果テーブル１２００から算出可能な統計量の一覧である。

接続確認結果統計情報テーブル１４００は、前記統計量テーブル１３００に基づき、前記接続確認結果テーブル１２００から算出される、ユーザ毎の統計量の情報である。

ユーザ特性テーブル１５００は、前記接続確認結果テーブル１２００および前記接続確認結果統計情報テーブル１４００から算出される、ユーザ毎の、前記接続確認方式と前記統計量との間に成り立つ関係の情報である。

ユーザ接続確認方式テーブル１６００は、各ユーザに対する、前記ユーザ接続確認プログラム１２２が提示する接続確認方式の一覧である。

これらのテーブルの内容については、図３〜図１６を用いて後述する。

＜ハードウェア構成例＞
続いて、本実施例の不審通信制御装置１０１のおよび入出力装置１０２のハードウェア構成について説明する。図２は、本実施例における不審通信制御装置１０１および入出力装置１０２のハードウェアの構成例を示すブロック図である。

図２にて例示する不審通信制御装置１０１は、ＣＰＵ２０１と、メモリ２０２と、記憶装置２０３と、通信部２０４およびバス２０７から構成される。入出力装置１０２は、入力装置２０５と、出力装置２０６およびバス２０７から構成される。バス２０７は、不審通信制御装置１０１および入出力装置１０２が共有している。

このうちＣＰＵ２０１は中央演算装置であり、メモリ２０２（または記憶装置２０３）に保持しているプログラムを実行することで、必要な機能を実装するものとなる。またメモリ２０２は、前記ＣＰＵ２０１が処理を実行する際に利用する主記憶装置であり、ＲＡＭなどの揮発性記憶素子で構成される。

記憶装置２０３は、ＣＰＵ２０１へ提供する入力データやＣＰＵ２０１から出力される出力データを補完するための補助記憶装置であり、ハードディスクドライブやＳＳＤ（ＳｏｌｉｄＳｔａｔｅＤｒｉｖｅ）など適宜な不揮発性記憶素子で構成される。

通信部２０４は、不審通信制御装置１０１が外部装置との通信を行うために用いる通信装置であり、ネットワークインターフェイスカード（ＮＩＣ：ＮｅｔｗｏｒｋＩｎｔｅｒｆａｃｅＣａｒｄ）などで構成される。

通信部２０４は、ネットワーク１０５と１０４の間で通信（パケット）の転送制御を実施して、端末１０６からインターネット１０３の接続を制御する。

入力装置２０５は、操作者からの入力を受け付けるインターフェイスであり、キーボード、タッチパネル、カードリーダ、音声入力装置などで構成される。出力装置２０６は、操作者に対してデータの出力を行うインターフェイスであり、ディスプレイ、スピーカー、プリンタなどで構成される。バス２０７は、ＣＰＵ２０１、メモリ２０２、記憶装置２０３、通信部２０４、入力装置２０５、出力装置２０６を接続する通信経路である。

本実施例では、不審通信制御装置１０１の例として、入出力装置１０２が接続された形態を例示したが、これらは同一の装置であってもよく、また３つ以上の装置であってもよい。また、入出力装置１０２の代わりに、ネットワーク経由で不審通信制御装置１０１を制御する構成としてもよい。

＜データ構成＞
次に、本実施例の不審通信制御装置１０１が利用するデータについて、その構成例を説明する。

図３は、本実施例におけるユーザテーブル３００の構成例を示す図である。図３において、ユーザテーブル３００は、ユーザＩＤ３０１と、ユーザ情報３０２とをデータ項目として一つのエントリに含む。このうちユーザＩＤ３０１は、ユーザに対してユニークに割り当てられたＩＤである。ユーザ情報３０２は、ユーザＩＤ３０１に対応するユーザの名前や所属、連絡先など、ユーザに関連する情報である。

図４は、本実施例における端末テーブル４００の構成例を示す図である。図４において、端末テーブル４００は、端末ＩＤ４０１と、ユーザＩＤ４０２と、端末情報４０３をデータ項目として一つのエントリに含む。

このうち端末ＩＤ４０１は、管理対象の端末１０６毎にユニークに割り振られたＩＤである。ユーザＩＤ４０２は、管理対象の端末１０６を使用しているユーザ１０７毎のユニークなＩＤであり、図３のユーザＩＤ３０１に紐づく。端末情報４０３は、当該管理対象の端末１０６に関する情報であり、本実施例では当該管理対象の端末１０６のＩＰアドレスや、ＭＡＣアドレスを用いる例を示す。

図５は、本実施例における通信ログテーブル５００の構成例を示す図である。図５において、通信ログテーブル５００は、通信ＩＤ５０１と、ユーザＩＤ５０２と、時刻５０３と、通信先ＵＲＬ５０４をデータ項目として一つのエントリに含む。

このうち通信ＩＤ５０１は、管理対象の端末１０６からインターネット１０３に対して発信された通信に対してユニークに割り当てられたＩＤである。ユーザＩＤ５０２は、当該通信を行ったユーザ１０７を特定する識別子であり、図４のユーザＩＤ４０２に紐づく。時刻５０３は、当該通信が発生した時刻を示す。通信先ＵＲＬ５０４は、当該通信の通信先ＵＲＬである。

図６は、本実施例におけるグレーＵＲＬテーブル６００の構成例を示す図である。図６において、グレーＵＲＬテーブル６００は、グレーＵＲＬＩＤ６０１と、更新時刻６０２と、グレーＵＲＬ６０３と、リスク値６０４をデータ項目として一つのエントリに含む。

グレーＵＲＬＩＤ６０１は、不審通信制御装置１０１が接続リスクのあるＵＲＬとして管理するＵＲＬに対し、ユニークに割り当てられたＩＤである。更新時刻６０２は、当該レコードの最終更新時刻である。グレーＵＲＬ６０３は、グレーＵＲＬＩＤ６０１に対応するＵＲＬである。リスク値６０４は、当該ＵＲＬに接続した場合のリスクを定量化した値である。

なお、グレーＵＲＬテーブル６００は、システム管理者１０８等によって予め設定されたテーブルである。なお、不審通信制御装置１０１は、セキュリティ対策の企業や団体などから情報の提供を受けて、グレーＵＲＬテーブル６００を随時更新するようにしても良い。

図７は、本実施例におけるブラックＵＲＬテーブル７００の構成例を示す図である。図７において、ブラックＵＲＬテーブル７００は、ブラックＵＲＬＩＤ７０１と、更新時刻７０２と、ブラックＵＲＬ７０３をデータ項目として一つのエントリに含む。

ブラックＵＲＬＩＤ７０１は、不審通信制御装置１０１が接続リスクのあるＵＲＬとして管理するＵＲＬに対し、ユニークに割り当てられたＩＤである。更新時刻７０２は、当該レコードの最終更新時刻である。ブラックＵＲＬ７０３は、ブラックＵＲＬＩＤ７０１に対応するＵＲＬである。

なお、ブラックＵＲＬテーブル７００は、システム管理者１０８等によって予め設定されたテーブルである。なお、不審通信制御装置１０１は、セキュリティ対策の企業や団体などから情報の提供を受けて、ブラックＵＲＬテーブル７００を随時更新するようにしても良い。

図８は、本実施例におけるホワイトＵＲＬテーブル８００の構成例を示す図である。図８において、ホワイトＵＲＬテーブル８００は、ホワイトＵＲＬＩＤ８０１と、更新時刻８０２と、ホワイトＵＲＬ８０３をデータ項目として一つのエントリに含む。

ホワイトＵＲＬＩＤ８０１は、不審通信制御装置１０１が接続リスクのあるＵＲＬとして管理するＵＲＬに対し、ユニークに割り当てられたＩＤである。更新時刻８０２は、当該レコードの最終更新時刻である。ホワイトＵＲＬ８０３は、ホワイトＵＲＬＩＤ８０１に対応するＵＲＬである。

なお、ホワイトＵＲＬテーブル８００は、システム管理者１０８等によって予め設定されたテーブルである。

図９は、本実施例における接続確認方式テーブル９００の構成例を示す図である。図９において、接続確認方式テーブル９００は、接続確認方式ＩＤ９０１と、接続確認方式概要９０２と、実行プログラムファイル９０３をデータ項目として一つのエントリに含む。

接続確認方式ＩＤ９０１は、不審通信制御システム１０がユーザに対して接続確認を求める各手段に対し、ユニークに割り当てられたＩＤである。接続確認方式概要９０２は、当該接続確認方式の概要説明である。実行プログラムファイル９０３は、当該接続確認方式を実行するためのプログラムファイルの格納場所を示す。

図１０は、本実施例におけるパラメータテーブル１０００の構成例を示す図である。図１０において、パラメータテーブル１０００は、パラメータＩＤ１００１と、パラメータ名１００２と、パラメータ値１００３をデータ項目として一つのエントリに含む。

パラメータＩＤ１００１は、接続確認方式に関するパラメータごとに割り振られるユニークな値である。パラメータ名１００２は、当該パラメータの概要を示す名称である。パラメータ値１００３は、当該パラメータの値である。

図１１は、本実施例における接続確認方式個別条件テーブル１１００の構成例を示す図である。図１１において、接続確認方式個別条件テーブル１１００は、ユーザＩＤ１１０１と、接続確認方式１１０２と、個別条件１１０３をデータ項目として一つのエントリに含む。

ユーザＩＤ１１０１は、当該レコードの対象となるユーザ１０７のＩＤであり、図３のユーザＩＤ３０１に紐づく。接続確認方式１１０２は、当該レコードの対象となる接続確認方式のＩＤであり、図９の接続確認方式ＩＤ９０１に紐づく。

個別条件１１０３は、当該レコードの対象となるユーザ１０７に接続確認方式１１０２を摘要するか否かを予め設定した情報である。図中「Ｆｏｒｃｅ」は接続確認方式１１０２の摘要を示し、「Ｄｅｎｙ」は接続確認方式１１０２の除外を示す。図示例では、ユーザＩＤ＝Ｕ１には、接続確認方式＝ＡＭ１を適用し、ユーザＩＤ＝Ｕ２には、接続確認方式＝ＡＭ１とＡＭ２を除外する。

図１２は、本実施例における接続確認結果テーブル１２００の構成例を示す図である。図１２において、接続確認結果テーブル１２００は、接続確認ＩＤ１２０１と、通信ＩＤ１２０２と、接続確認結果１２０３と、接続確認要求１２０４と、接続確認情報１２０５をデータ項目として一つのエントリに含む。

接続確認ＩＤ１２０１は、ユーザ１０７に対する接続確認の結果に対してユニークに割り振られるＩＤである。通信ＩＤ１２０２は、前記接続確認が発生する原因となった通信のＩＤであり、通信ログテーブル５００の通信ＩＤ５０１に紐づく。

接続確認結果１２０３は、前記接続確認に対し、不審通信制御装置１０１が判定した接続確認結果である。接続確認結果１２０３の「Ａｃｃｅｐｔ」は接続確認が成功と判定した結果を示し、「Ｄｅｎｙ」は接続確認が失敗と判定した結果を示す。

接続確認要求１２０４は、前記接続確認に対し、ユーザ１０７が要求した接続確認処理で、「Ａｃｃｅｐｔ」は接続許可を示し、「Ｃａｎｃｅｌ」は接続拒否を示す。

接続確認情報１２０５は、前記接続確認に対するユーザの応答に関する情報である。本実施例においては、ユーザ１０７が接続確認に対して応答するまでにかかった応答時間（秒）と、前記接続確認において求められる正答と、前記接続確認においてユーザ１０７が返した回答とした。ユーザ１０７の回答が正答に一致していれば接続確認結果１２０３は「Ａｃｃｅｐｔ」となる。

図１３は、本実施例における統計量テーブル１３００の構成例を示す図である。図１３において、統計量テーブル１３００は、統計量ＩＤ１３０１と、統計量名称１３０２と、統計量算出方法１３０３と、統計量説明１３０４と、評価重み１３０５をデータ項目として一つのエントリに含む。

統計量ＩＤ１３０１は、前記通信ログテーブル５００、前記グレーＵＲＬテーブル６００、前記ブラックＵＲＬテーブル７００、前記ホワイトＵＲＬテーブル８００、前記接続確認結果テーブル１２００から算出される統計量に対し、ユニークに割り当てられるＩＤである。

統計量名称１３０２は、当該統計量の名称である。統計量算出方法１３０３は、当該統計量を算出する補助プログラムのパスである。統計量説明１３０４は、当該統計量の概要の説明である。評価重み１３０５は、当該統計量のセキュリティ上の重要度を定量化した値である。

図１４は、本実施例における接続確認結果統計情報テーブル１４３の構成例を示す図である。図１４において、接続確認結果統計情報テーブル１４３は、統計データＩＤ１４０１と、ユーザＩＤ１４０２と、開始時刻１４０３と、終了時刻１４０４と、統計量１４０５と、接続確認方式１４０６をデータ項目として一つのエントリに含む。

統計データＩＤ１４０１は、特定のユーザに対し、特定の期間、特定の接続確認方式による接続確認の提示を行った結果として得られた前記統計量に対し、ユニークに割り振られるＩＤである。

ユーザＩＤ１４０２は、当該統計データの算出元データの元となったユーザのＩＤであり、ユーザＩＤ３０１に紐づく。開始時刻１４０３は、当該統計データの算出元データの取得開始時刻である。終了時刻１４０４は、当該統計データの算出者データの取得終了時刻である。

統計量１４０５は、算出した統計量である。本実施例においては、統計量の例として、統計量テーブル１３００に登録されたＳＶ１、ＳＶ２、ＳＶ３、ＳＶ４の４つを用いている。

接続確認方式１４０６は、当該統計データの算出元データ計測時の接続確認方式である。本実施例においては、接続確認方式の例として、接続確認方式テーブル９００に登録されたＡＭ１、ＡＭ２、ＡＭ３、ＡＭ４の４つを用いている。前記接続確認方式１４０６は、前記接続確認方式テーブル９００に登録された各方式のうち、当該レコードにおいて利用した全ての方式に対応する列に１を、利用していない方式に対応する列に０を格納する。

図１５は、本実施例におけるユーザ特性テーブル１５００の構成例を示す図である。図１５において、ユーザ特性テーブル１５００は、ユーザＩＤ１５０１と、ユーザ特性１５０２をデータ項目として一つのエントリに含む。

ユーザＩＤ１５０１は、当該ユーザ特性に対応するユーザのＩＤであり、ユーザＩＤ３０１に紐づく。ユーザ特性１５０２は、当該ユーザの接続確認への応答の特徴であり、当該ユーザにおける、提示された接続確認方式と得られる統計量との間の関係を表す値である。本実施例におけるユーザ特性の例は、前記４つの統計量ＳＶ１、ＳＶ２、ＳＶ３、ＳＶ４のそれぞれに対し、前記４つの接続確認方式ＡＭ１、ＡＭ２、ＡＭ３、ＡＭ４と、それ以外の要素が与える影響の大きさを定量化したものとした。なお、定量化については、システム管理者１０８等が予め設定してもよい。

具体的には、接続確認方式以外の要素が統計量ＳＶ１に与える影響の大きさをＵＣ１０、接続確認方式ＡＭ１が統計量ＳＶ１に与える影響の大きさをＵＣ１１、接続確認方式ＡＭ２が統計量ＳＶ１に与える影響の大きさをＵＣ１２、という形で２０個の値としたものとした。

図１６は、本実施例におけるユーザ接続確認方式テーブル１６００の構成例を示す図である。図１６において、ユーザ接続確認方式テーブル１６００は、ユーザＩＤ１６０１と、ユーザ接続確認方式１６０２をデータ項目として有する。

ユーザＩＤ１６０１は、当該接続確認方式が割り当てられたユーザ１０７のＩＤであり、ユーザＩＤ３０１に紐づく。ユーザ接続確認方式１６０２は、当該ユーザ１０７に割り当てられた接続確認方式である。

本実施例においては、接続確認方式テーブル９００に登録されたＡＭ１、ＡＭ２、ＡＭ３、ＡＭ４の４つを用いている。ユーザ接続確認方式１６０２は、前記接続確認方式１４０６と同様に、前記接続確認方式テーブル９００に登録された各方式のうち、当該レコードにおいてユーザに割り当てられた全ての方式に対応する列に１を、割り当てられていない方式に対応する列に０を格納する。

＜通信発生時の処理＞
通信発生時の処理１７００の概要を、図１７に基づき説明する。図１７は、本実施例における通信発生時の処理１７００の手順を示すフローチャートである。

不審通信制御装置１０１で稼働する通信制御プログラム１２１は、管理対象の端末１０６からインターネット１０３へ向けて発信された通信（パケット）を、ネットワーク１０５から取得する（１７０１）。

通信制御プログラム１２１は、通信ログテーブル５００に新規レコードを作成し、通信（パケット）を識別するＩＤを生成して通信ＩＤ５０１に格納する。また、通信制御プログラム１２１は、処理を実行した時刻を通信ログテーブル５００の時刻５０３に格納する。

通信制御プログラム１２１は、当該通信のパケットを解析して、送信元ＩＰアドレス等と端末情報４０３とを比較することで、当該通信を行った管理対象の端末１０６を利用するユーザ１０７を特定し、特定したＩＤを通信ログテーブル５００のユーザＩＤ５０２に格納する。また、通信制御プログラム１２１は、当該通信のパケットを解析して、通信先のＵＲＬを取得し、通信ログテーブル５００の通信先ＵＲＬ５０４に格納する（ステップ１７０１）。

次に、ステップ１７０２では、ユーザ接続確認プログラム１２２が、前記通信に対し、ユーザ１０７への接続確認が必要か否かを判定する。具体的には、ユーザ接続確認プログラム１２２が、通信ログテーブル５００の当該通信に対応するレコードの、通信先ＵＲＬ５０４が、グレーＵＲＬテーブル６００のグレーＵＲＬＩＤ６０１に含まれる場合に、接続確認が必要と判定する。

ただし、この判定方法は本実施例における一例であり、例えば、当該ＵＲＬのリスク値６０４が一定値以上の場合にユーザ接続確認プログラム１２２は接続確認が必要と判定する、あるいは、グレーＵＲＬテーブル６００に含まれないＵＲＬに対してもランダムに接続確認を必要と判定する、などの方法も考えられる。

ユーザ接続確認プログラム１２２で接続確認が必要と判定された場合にはステップ１７０３へ進み、接続確認が不要と判定された場合には、ステップ１７０５へ進む。

ステップ１７０３でユーザ接続確認プログラム１２２は、前記ステップ１７０２にて接続確認が必要と判定された場合、接続確認の方式（パターン）を決定する。具体的には、ユーザ接続確認方式テーブル１６００を参照し、ユーザＩＤ１６０１が、当該通信を行った管理対象の端末１０６に紐づくユーザ１０７に割り当てられたユーザＩＤと一致するレコードを選択し、当該レコードの接続確認方式１６０２からＡＭ１〜ＡＭ４のいずれかのＩＤを得て、これを当該ユーザ１０７に対して提示する接続確認方式（接続確認パターン）とする。

更に、ユーザ接続確認プログラム１２２は、接続確認方式テーブル９００を参照し、接続確認方式ＩＤ９０１と前記接続確認方式とを比較して、対応するレコードを得る。そして、ユーザ接続確認プログラム１２２は、当該レコードの実行プログラムファイル９０３を実行させることで、当該通信を行った管理対象の端末１０６に対し、選択した前記接続確認方式による接続確認を提示する。ここで提示される接続確認画面の詳細については後述する。

ステップ１７０４で、ユーザ接続確認プログラム１２２は、管理対象の端末１０６による、前記接続確認に対する応答を受信して、その結果を記録する。具体的には、前記ステップ１７０３の後、当該管理対象の端末１０６からの接続確認の応答を受信し、接続確認結果テーブル１２００に１２０１新規レコードを追加する。ユーザ接続確認プログラム１２２は、接続確認ＩＤ１２０１を生成して、また通信ＩＤ５０１を通信ログテーブル５００から取得して接続確認結果テーブル１２００の通信ＩＤ１２０２に設定する。

ユーザ接続確認プログラム１２２は、接続確認に対する応答を接続確認情報１２０５に格納する。「応答時間」は、不審通信制御装置１０１が接続確認要求を端末１０６へ提示してから応答を受信するまでの時間を格納する。「正答」には接続確認の質問に対する正解が格納される。「回答」には接続確認の質問に対するユーザ１０７の回答が格納される。

ユーザ接続確認プログラム１２２は、更に、接続確認に対するユーザからの応答を解析し、「回答」が「正答」に一致していれば接続確認結果１２０３に「Ａｃｃｅｐｔ」を格納し、一致していなければ「Ｄｅｎｙ」を格納する。

ステップ１７０５では、ユーザ接続確認プログラム１２２が、当該通信を許可するか否かを判定し、許可する場合にはステップ１７０６へ進み、拒否する場合にはステップ１７０７へ進む。

ユーザ接続確認プログラム１２２は、接続確認要求１２０４が「Ａｃｃｅｐｔ」かつ接続確認情報１２０５に含まれる「正答」と「回答」が一致する場合に、当該通信を許可する。

ただし、前述の、通信を許可するか否かを決定する方法は、本実施例における一例であり、例えば、「正答」と「回答」が部分的に一致していれば通信を許可する、応答時間（１２０５）が一定の範囲内にあれば通信を許可するなど、複数の方法が考えられる。

ユーザ接続確認プログラム１２２は、ステップ１７０２にて接続確認を必要と判定し、続くステップ１７０３、ステップ１７０４にて接続確認の処理を実行した場合、接続確認結果テーブル１２００を参照し、接続確認結果１２０３に従う。ステップ１７０２にて接続確認を必要と判定しなかった場合、ブラックＵＲＬテーブル７００およびホワイトＵＲＬテーブル８００を参照する。当該通信の宛先ＵＲＬがブラックＵＲＬ７０３に含まれる場合、当該通信を許可しない。当該通信の宛先ＵＲＬがホワイトＵＲＬ８０３に含まれる場合、当該通信を許可する。当該通信の宛先ＵＲＬがどちらにも含まれない場合、当該通信を許可する。ただし、ここで挙げた判定基準は本実施例における一例であり、組織のポリシー等に基づいて他の基準を設けてもよい。

前記ステップ１７０５にて当該通信が許可されなかった場合、通信制御プログラム１２１は当該通信をネットワーク１０４へ転送せず、通信が許可されなかった旨を示すエラーメッセージを生成して、当該管理対象の端末１０６へ送信する（ステップ１７０７）。

前記ステップ１７０５にて当該通信が許可された場合、通信制御プログラム１２１は当該通信をネットワーク１０４へ転送し、以後、当該通信に関わる通信を、ネットワーク１０４およびネットワーク１０５間で適宜転送する（ステップ１７０７）。

リスト更新プログラム１２３は、必要に応じて、グレーＵＲＬテーブル６００、ブラックＵＲＬテーブル７００、ホワイトＵＲＬテーブル８００を更新する。前記ステップ１７０４において取得した、接続確認に対するユーザからの応答結果を入力とし、予め設定されたアルゴリズムに基づいて、グレーＵＲＬテーブル６００のリスク値６０４の更新や、前記グレーＵＲＬテーブル６００、ブラックＵＲＬテーブル７００、ホワイトＵＲＬテーブル８００間での、ＵＲＬの移動を行う（ステップ１７０８）。

以上の処理によって、通信（パケット）の宛先のＵＲＬがホワイトＵＲＬテーブル８００に存在すれば通信が許可され、宛先のＵＲＬがブラックＵＲＬテーブル７００に存在すれば通信が遮断される。そして、宛先のＵＲＬがグレーＵＲＬテーブル６００に存在する場合には、不審通信制御装置１０１は端末１０６へ接続確認を実施して、ユーザ１０７の応答によって通信の接続の可否を判定することができる。

また、不審な接続先であるとグレーＵＲＬテーブル６００のリスク値６０４を、接続確認の結果（接続確認に対するユーザからの応答結果）に基づいて更新することで、実際の接続状況に応じて不審な接続先の脅威の度合いを更新することができる。

＜定期更新処理＞
次に、定期更新処理１８００の概要を、図１８に基づき説明する。図１８は、本実施例における定期更新処理１８００の手順を示すフローチャートである。本実施例においては、定期更新処理１８００は、統計情報更新処理１８０１、ユーザ特性更新処理１８０２、接続確認方式更新処理１８０３からなり、常時稼働している定期更新処理管理プログラム１２７により、統計情報更新プログラム１２４と、ユーザ特性更新プログラム１２５と、接続確認方式更新プログラム１２６を順次起動することで、定期的に実行される。なお、定期更新処理１８００は、月に１回あるいは、週に一回などの周期で実行しても良い。

統計情報更新処理１８０１は、ユーザ１０７毎の、接続確認に対する応答から算出される統計情報を、最新の状態に更新する処理である。この処理は、統計情報更新プログラム１２４が接続確認結果統計情報テーブル１４３を更新することで実施される。

ユーザ特性更新処理１８０２は、前記統計情報更新処理１８０１の結果に基づいて、ユーザ１０７毎の、接続確認の方式に応じた接続確認への応答の特性を推定し、最新の状態に更新する処理である。この処理は、ユーザ特性更新プログラム１２５がユーザ特性テーブル１５００を更新することで実施される。

接続確認方式更新処理１８０３は、前記ユーザ特性更新処理１８０２の結果に基づいて、ユーザ毎の特性に適した接続確認方式を推定し、最新の状態に更新する処理である。この処理は、接続確認方式更新プログラム１２６がユーザ接続確認方式テーブル１６００を更新することで実施される。以下では、これらの処理の詳細について、図１９、図２０、図２１を用いて説明する。

＜統計情報更新処理＞
次に、統計情報更新処理１８０１の詳細を、図１９に基づき説明する。図１９は、本実施例における統計情報更新処理の手順を示すフローチャートである。

統計情報更新プログラム１２４は、接続確認結果統計情報テーブル１４３に新規レコードを作成する（ステップ１９０１）。新規レコードは、ユーザテーブル３００のユーザＩＤ３０１毎に生成し、当該ユーザの直近の接続確認結果統計情報テーブル１４３の終了時刻１４０４を、新規レコードの開始時刻１４０３とし、新規レコードの終了時刻１４０４には、開始時刻に所定の期間を加算した日時を設定する。

統計情報更新プログラム１２４は、接続確認結果統計情報テーブル１４３の各新規レコードに対して以下の処理を実行する。

統計情報更新プログラム１２４は、通信ログテーブル５００を参照して、ユーザＩＤ５０２が当該レコードのユーザＩＤ１４０２と一致し、かつ時刻５０３が当該レコードの開始時刻１４０３と当該レコードの終了時刻１４０４との間に含まれるレコードを全て選択し、通信ログ一覧とする。

次に、統計情報更新プログラム１２４は、通信ログ一覧の各レコードに対し、以下の処理を実行する。

統計情報更新プログラム１２４は、グレーＵＲＬテーブル６００、ブラックＵＲＬテーブル７００、ホワイトＵＲＬテーブル８００を参照し、グレーＵＲＬ６０３、ブラックＵＲＬ７０３、ホワイトＵＲＬ８０３が、前記通信ログ一覧の当該レコードの通信先ＵＲＬ５０４に一致するレコードを選択する。

統計情報更新プログラム１２４は、選択したレコードの通信先ＵＲＬ５０４が、グレーＵＲＬテーブル６００のものであれば、リスク値として当該レコードのリスク値６０４を取得する。

統計情報更新プログラム１２４は、選択したレコードが、ブラックＵＲＬテーブル７００のものであれば、リスク値として１を、ホワイトＵＲＬテーブル８００のものであれば、リスク値として０を取得する。

次に、統計情報更新プログラム１２４は、接続確認結果テーブル１２００を参照し、通信ＩＤ１２０２が、前記通信ログ一覧の当該レコードの通信ＩＤ５０１に一致するレコードを選択し、当該レコードの接続確認結果１２０３を取得する。

その後、統計情報更新プログラム１２４は、取得したリスク値および接続確認結果１２０３を入力とし、統計量テーブル１３００に登録された各統計量ＳＶ１〜ＳＶ４の値を、統計量算出方法１３０３に格納されたパスの補助プログラムに入力することで算出させる。

統計情報更新プログラム１２４は、算出された統計量ＳＶ１〜ＳＶ４を、接続確認結果統計情報テーブルの当該レコードの統計量１４０５に格納する（ステップ１９０２）。

以上の処理を各ユーザ１０７について実施することで、所定の期間毎の統計量ＳＶ１〜ＳＶ４が生成される。

＜ユーザ特性更新処理＞
次に、ユーザ特性更新処理１８０２の詳細を、図２０および図２７に基づき説明する。図２０は、本実施例におけるユーザ特性更新処理の手順を示すフローチャートである。図２７は、本実施例において前提とした、ユーザ特性１５０２と統計量１４０５および接続確認方式１４０６との関係を表す図である。

ユーザ特性更新プログラム１２５は、ユーザテーブル３００を参照し、全レコードを取得してユーザ一覧とする（ステップ２００１）。

ユーザ特性更新プログラム１２５は、前記ユーザ一覧の各レコードに対し、下記の処理を実行する（ステップ２００２）。なお、ユーザ特性更新プログラム１２５は、全てのユーザ１０７毎にステップ２００２〜２０１０の処理を繰り返す。

ユーザ特性更新プログラム１２５は、ユーザ特性テーブル１５００を参照し、ユーザＩＤ１５０１が当該ユーザ一覧のユーザＩＤと一致するレコードを特定して、当該レコードのユーザ特性１５０２に初期値を格納する。本実施例では、前記初期値として、ユーザ特性テーブル１５００の全レコードにおけるユーザ特性１５０２の平均値を用いる（ステップ２００３）。

ユーザ特性更新プログラム１２５は、接続確認結果統計情報テーブル１４３を参照し、ユーザＩＤ１４０２が当該ユーザ一覧のＩＤと一致する全てのレコードを取得して、接続確認結果一覧とする（ステップ２００４）。

ユーザ特性更新プログラム１２５は、取得した接続確認結果一覧に対し、開始時刻１４０３が古いレコードから順に、以下の処理を実行する（ステップ２００５）。なお、ユーザ特性更新プログラム１２５は、取得した接続確認結果一覧の全てのレコードに対してステップ２００５〜２００９の処理を繰り返す。

図２７において、統計量１４０５の値（ＳＶ１〜ＳＶ４）を要素とするベクトルを統計量ベクトル２７０１とし、ユーザ特性１５０２の値（ＵＣ１０〜２０１０の処理ＵＣ４４）を要素とする行列をユーザ特性行列２７０２とし、接続確認方式１４０６の値（ＡＭ１〜ＡＭ４）を要素とするベクトルを接続確認方式ベクトル２７０３としたときに、ユーザ特性行列２７０２と接続確認方式ベクトル２７０３との積が統計量ベクトル２７０１となる、という関係を仮定して、ユーザ特性１５０２を更新する方法を説明する。ただし、接続確認方式によらず統計量（ＳＶ１〜ＳＶ４）に影響を与えるユーザ特性があることを考慮し、接続確認方式ベクトル２７０３には定数項「１」を追加した。

ユーザ特性更新プログラム１２５は、前記接続確認結果一覧の当該レコードの接続確認方式１４０６と、当該ユーザのユーザ特性１５０２を参照し、これらの値から統計量の推定値を算出する。本実施例における算出方法は以下の通りである。統計量テーブル１３００に登録された各統計量１３０１（ＳＶ１〜ＳＶ４）に対し、当該統計量に与える影響の大きさを表すユーザ特性１５０２のうち、接続確認方式による影響の大きさを表す値と、対応する接続確認方式１４０６の値との積を足し合わせ、更に接続確認方式以外の要素による影響の大きさを表す値を加えた値を、当該統計量の推定値とする。

具体例として、統計量ＳＶ１の推定値の算出方法を以下に示す。ユーザ特性更新プログラム１２５は、統計量ＳＶ１に与える影響の大きさを表すユーザ特性１５０２のうち、接続確認方式による影響の大きさを表すＵＣ１１、ＵＣ１２、ＵＣ１３、ＵＣ１４については、それぞれ接続確認方式１４０６のＡＭ１、ＡＭ２、ＡＭ３、ＡＭ４との積を算出し、その合計値を算出する。

更に、ユーザ特性更新プログラム１２５は、前記合計値に、接続確認方式以外の要素による影響の大きさを表すＵＣ１０を加算した値が、統計量ＳＶ１の推定値となる。以上の要領で、ユーザ特性更新プログラム１２５は、統計量テーブル１３００に登録された各統計量について、推定値を算出する。

次に、ユーザ特性更新プログラム１２５は、接続確認結果一覧の当該レコードの統計量１４０５を参照し、実際に観測された統計量を取得して、上記で算出した統計量の推定値との差分を算出する（ステップ２００６）。

ユーザ特性更新プログラム１２５が、ユーザ特性１５０２のそれぞれの値の更新量を算出する方法について、以下で説明する。ユーザ特性更新プログラム１２５は、前記統計量のうち、当該ユーザ特性が影響を与える統計量を選択し、前記ステップ２００６で算出した当該統計量の差分と、当該統計量に影響を与えるユーザ特性の値の和に対する当該ユーザ特性の値の割合との積を算出する。

更に、ユーザ特性更新プログラム１２５は、パラメータテーブル１０００を参照し、パラメータ名１００２が「更新量係数」であるレコードを選択し、当該レコードのパラメータ値１００３を取得して更新量係数とし、上記でユーザ特性のそれぞれの値に対して算出した値と前記更新量係数との積を、各ユーザ特性の更新量とする（ステップ２００７）。

ユーザ特性更新プログラム１２５は、当該ユーザのユーザ特性１５０２のそれぞれに、上記ステップ２００７で算出した各更新量の対応するものを加算した値を、新たなユーザ特性１５０２としてユーザ特性テーブル１５００に格納する（ステップ２００８）。

上記処理により、ユーザ１０７毎に接続確認結果統計情報テーブル１４３の情報からユーザ特性テーブル１５００が更新される。

＜接続確認方式更新処理＞
次に、接続確認方式更新処理１８０３の詳細を、図２１に基づき説明する。図２１は、本実施例におけるユーザ特性更新処理の手順を示すフローチャートである。

接続確認方式更新プログラム１２６は、ユーザテーブル３００を参照し、全レコードを取得してユーザ一覧とする（ステップ２１０１）。

接続確認方式更新プログラム１２６は、前記ユーザ一覧の各レコードに対し、下記の処理を実行する（ステップ２１０２）。なお、接続確認方式更新プログラム１２６は、ユーザ一覧の各レコードに対して、ステップ２１０３〜２１０９の処理を繰り返して実行する。

接続確認方式更新プログラム１２６は、接続確認方式テーブル９００と、パラメータテーブル１０００と、接続確認方式個別条件テーブル１１００を参照し、当該ユーザに適用可能な全ての接続確認方式を算出する。

具体的には、接続確認方式更新プログラム１２６が、パラメータテーブル１０００を参照し、パラメータ名１００２が「接続確認方式必須条件」であるレコードのパラメータ値１００３を取得して、ここで指定された条件式を満たすよう、接続確認方式テーブル９００から接続確認方式の組み合わせを選ぶ。

接続確認方式更新プログラム１２６は、更に、接続確認方式個別条件テーブル１１００のユーザＩＤ１１０１が当該ユーザのＩＤと一致するレコードを選択し、接続確認方式１１０２に格納された接続確認方式について、個別条件１１０３が「Ｄｅｎｙ」であれば候補から除外し、個別条件１１０３が「Ｆｏｒｃｅ」であればそれ以外の候補を除外する（ステップ２１０３）。

接続確認方式更新プログラム１２６は、上記ステップ２１０３にて算出した接続確認方式の候補のそれぞれに対し、統計量ＳＶ１〜ＳＶ４の推定値を算出する。具体的には、前記ステップ２００６と同様に、統計量テーブル１３００に登録された各統計量に対し、当該統計量に与える影響の大きさを表すユーザ特性１５０２のうち、接続確認方式による影響の大きさを表す値と、上記接続確認方式の候補のうち対応する値との積を足し合わせ、更に接続確認方式以外の要素による影響の大きさを表す値を加えた値を、当該接続確認方式の候補に対する統計量の推定値とする。（ステップ２１０４）。

接続確認方式更新プログラム１２６は、上記ステップ２１０５で得られた統計量ＳＶ１〜ＳＶ４の推測値のそれぞれに対し、評価値を算出する。具体的には、接続確認方式更新プログラム１２６が、統計量テーブル１３００を参照し、各統計量ＳＶ１〜ＳＶ４に対応する評価重み１３０５を取得して、対応する統計量の推測値との積の和をとることで、統計量の推測値に対する重み付けを加味した評価値とする。その後、接続確認方式更新プログラム１２６は、得られた評価値が最大になる統計量の推測値を算出する基となった接続確認方式の候補のうちの１つを選択し、当該ユーザの最適接続確認方式の候補とする（ステップ２１０５）。

接続確認方式更新プログラム１２６は、パラメータテーブル１０００を参照し、パラメータ名１００２が「接続確認方式評価スコア閾値」であるレコードのパラメータ値１００３を取得して評価基準値とし、上記ステップ２１０５における最大の評価値と比較する。前記評価基準値は、システム管理者１０８が予め設定する統計量の評価値に対する閾値であり、推測される統計量の評価値がこの評価基準値以上となる接続確認方式を採用することを算出するものである。

接続確認方式更新プログラム１２６は、最大の評価値が評価基準値以上である場合、前記最適接続確認方式候補の採用を決定する。最大の評価値が評価基準値を下回る場合、前記最適接続確認方式候補を変更する。これは、ユーザ特性の推定値が局所最適に陥っている可能性を考慮し、接続確認方式を大幅に変更することで、推測される統計量の評価値が前記評価基準値以上となる接続確認方式を探索するための処置である（ステップ２１０６）。

接続確認方式更新プログラム１２６は、前記最大の評価値が前記評価基準値を下回る場合、公知または周知のアルゴリズムに基づいて、前記最適接続確認方式候補を変更する。本実施例においては、例として、前記ステップ２１０３にて算出した接続確認方式の候補の中からランダムに１つを選択し、最適接続確認方式候補とするものとする（ステップ２１０７）。

接続確認方式更新プログラム１２６は、ユーザ接続確認方式テーブル１６００を参照し、ユーザＩＤ１６０１が当該ユーザのＩＤに一致するレコードの、接続確認方式１６０２に、前記最適接続確認方式候補を格納する（ステップ２１０８）。

上記処理によって、ユーザ１０７毎の統計量ＳＶ１〜ＳＶ４に基づいて、最適な接続確認方式が選択されることになる。

＜接続確認画面＞
図２２Ａ、図２２Ｂは、本実施例における接続確認画面Ａ２２１０および接続確認画面Ｂ２２２０の構成例を示す図である。

図２２Ａの接続確認画面Ａ２２１０は、説明文２２１１と、許可ボタン２２１２と、不許可ボタン２２１３と、キャンセルボタン２２１４と、ＣＡＰＴＣＨＡ画像２２１５と、入力フォーム２２１６と、送信ボタン２２１７を含む。

図２２Ｂの接続確認画面Ｂ２２２０は、説明文２２２１と、問題文２２２２と、回答ボタン２２２３〜２２２８を含む。本実施例においては、接続確認画面の構成は、接続確認画面が提示される対象のユーザ１０７に紐づくユーザ接続確認方式テーブル１６００の接続確認方式１６０２に基づいて決定される。

接続確認画面Ａ２２１０においては、ユーザ１０７は、説明文２２１１を読むことで状況を把握し、通信を許可するか、許可しないか、キャンセルするかを判断して、判断結果に応じて許可ボタン２２１２、不許可ボタン２２１３、キャンセルボタン２２１４のいずれかを押下する。更に、ＣＡＰＴＣＨＡ画像２２１５で提示された文字列を読み取り、入力フォーム２２１６に読み取った文字列を入力して、送信ボタン２２１７を押下することで、求められた接続確認に対する応答を端末１０６から不審通信制御装置１０１に送信する。

一方、接続確認画面Ｂ２２２０においては、ユーザ１０７は、説明文２２２１を読むことで状況を把握し、通信を許可するか、許可しないか、キャンセルするかを判断して、問題文２２２２に従って判断結果に対応する回答ボタンを回答ボタン２２２３〜２２２８の中から選択し、押下することで、求められた接続確認に対する応答を端末１０６から不審通信制御装置１０１に送信する。

以上のように、ユーザ接続確認プログラム１２２は、ユーザ１０７毎の特性に応じた接続確認画面２２１０を提示することで、接続確認時にユーザ１０７に適切な行動を促すことができ、不審な通信を回避することが可能となる。

＜接続確認方式設定画面＞
以下では、図２３〜２６を用いて、本実施例における、入出力装置１０２の画面例について説明する。システム管理者１０８は、以下で説明する画面を介して、不審通信制御装置１０１を制御する。

図２３は、本実施例における接続確認方式設定画面２３００の一例を示す図である。接続確認方式設定画面２３００は、接続確認方式一覧画面２３１０および接続確認方式編集画面２３２０を含み、接続確認方式編集画面２３２０は、接続確認方式概要入力部２３２１と、実行プログラムファイル入力部２３２２と、新規登録ボタン２３２３と、更新ボタン２３２４と、削除ボタン２３２５を含む。なお、接続確認方式設定画面２３００は、図示しないメンテナンスプログラムが制御する。

接続確認方式一覧画面２３１０は、接続確認方式テーブル９００に登録されている接続確認方式の一覧を表示する画面である。接続確認方式編集画面２３２０は、接続確認方式の新規登録、更新、削除を行う画面である。接続確認方式を新規登録する場合、システム管理者１０８は、接続確認方式概要入力部２３２１に前記新規登録する接続確認方式の概要を入力し、実行プログラムファイル入力部２３２２に前記新規登録する接続確認方式を実行するためのプログラムファイルのパスを入力し、新規登録ボタン２３２３を押下する。

また、接続確認方式を更新する場合、システム管理者１０８は、接続確認方式一覧画面２３１０から対象のレコードを選択し、接続確認方式概要入力部２３２１に更新後の接続確認方式の概要を入力し、実行プログラムファイル入力部２３２２に更新後の接続確認方式を実行するためのプログラムファイルのパスを入力し、更新ボタン２３２４を押下する。接続確認方式を削除する場合、システム管理者１０８は、接続確認方式一覧画面２３１０から対象のレコードを選択し、削除ボタン２３２５を押下する。

上記接続確認方式設定画面２３００によって、システム管理者１０８は、接続確認方式のメンテナンスを行うことができる。

＜統計量設定画面＞
図２４は、本実施例における統計量設定画面２４００の一例を示す図である。統計量設定画面２４００は、統計量一覧画面２４１０および統計量編集画面２４２０を含み、統計量編集画面２４２０は、統計量名称入力部２４２１、統計量算出方法入力部２４２２、統計量説明入力部２４２３、評価重み入力部２４２４、新規登録ボタン２４２５、更新ボタン２４２６、削除ボタン２４２７を含む。

統計量一覧画面２４１０は、統計量テーブル１３００に登録されている統計量の一覧（統計量ＩＤ、統計量名称、統計量説明及び評価重み）を表示する画面である。なお、統計量設定画面２４００は、図示しないメンテナンスプログラムが制御する。

統計量編集画面２４２０は、統計量の新規登録、更新、削除を行う画面である。統計量を新規登録する場合、システム管理者１０８は、統計量名称入力部２４２１に前記新規登録する統計量の名称を入力し、統計量算出方法入力部２４２２に前記新規登録する統計量を算出するプログラムファイルのパスを入力し、統計量説明入力部２４２３に前記新規登録する統計量の説明を入力し、評価重み入力部２４２４に前記新規登録する統計量の評価重みを入力し、新規登録ボタン２４２５を押下する。

統計量を更新する場合、システム管理者１０８は、統計量一覧画面２４１０から対象のレコードを選択し、統計量名称入力部２４２１に更新後の統計量の名称を入力し、統計量算出方法入力部２４２２に更新後の統計量を算出するプログラムファイルのパスを入力し、統計量説明入力部２４２３に更新後の統計量の説明を入力し、評価重み入力部２４２４に更新後の統計量の評価重みを入力し、更新ボタン２４２６を押下する。

統計量を削除する場合、システム管理者１０８は、統計量一覧画面２４１０から対象のレコードを選択し、削除ボタン２４２７を押下する。

上記統計量設定画面２４００によって、システム管理者１０８は、統計量のメンテナンスを行うことができる。

＜パラメータ設定画面＞
図２５は、本実施例におけるパラメータ設定画面２５００の一例を示す図である。パラメータ設定画面２５００は、パラメータ一覧画面２５１０およびパラメータ編集画面２５２０を含み、パラメータ編集画面２５２０は、パラメータ名入力部２５２１と、パラメータ値入力部２５２２と、新規登録ボタン２５２３と、更新ボタン２５２４と、削除ボタン２５２５を含む。

パラメータ一覧画面２５１０は、パラメータテーブル１０００に登録されているパラメータの一覧を表示する画面である。なお、パラメータ設定画面２５００は、図示しないメンテナンスプログラムが制御する。

パラメータ編集画面２５２０は、パラメータの新規登録、更新、削除を行う画面である。パラメータをパラメータテーブル１０００に新規登録する場合、システム管理者１０８は、パラメータ名入力部２５２１に前記新規登録するパラメータの名称を入力し、パラメータ値入力部２５２２に前記新規登録するパラメータの値を入力し、新規登録ボタン２５２３を押下する。

パラメータを更新する場合、システム管理者１０８は、パラメータ一覧画面２５１０から対象のレコードを選択し、パラメータ名入力部２５２１に更新後のパラメータの名称を入力し、パラメータ値入力部２５２２に更新後のパラメータ値を入力し、更新ボタン２５２４を押下する。パラメータを削除する場合、システム管理者１０８は、パラメータ一覧画面２５１０から対象のレコードを選択し、削除ボタン２５２５を押下する。

上記パラメータ設定画面２５００によって、システム管理者１０８は、統計量のメンテナンスを行うことができる。

＜続確認方式個別条件設定画面＞
図２６は、本実施例における接続確認方式個別条件設定画面２６００の一例を示す図である。接続確認方式個別条件設定画面２６００は、接続確認方式個別条件一覧画面２６１０および接続確認方式個別条件編集画面２６２０を含み、接続確認方式個別条件編集画面２６２０は、ユーザＩＤ入力部２６２１と、接続確認方式入力部２６２２と、個別条件入力部２６２３と、追加ボタン２６２４と、削除ボタン２６２５を含む。

接続確認方式個別条件一覧画面２６１０は、接続確認方式個別条件テーブル１１００に登録されている接続確認方式個別条件の一覧を表示する画面である。なお、接続確認方式個別条件設定画面２６００は、図示しないメンテナンスプログラムが制御する。

接続確認方式個別条件編集画面２６２０は、接続確認方式個別条件の追加、削除を行う画面である。接続確認方式個別条件を追加する場合、システム管理者１０８は、ユーザＩＤ入力部２６２１に前記追加する接続確認方式個別条件の対象ユーザのＩＤを入力し、接続確認方式入力部２６２２に前記追加する接続確認方式個別条件の接続確認方式のＩＤを入力し、個別条件入力部２６２３に前記追加する接続確認方式個別条件の条件を入力し、追加ボタン２６２４を押下する。

接続確認方式個別条件を削除する場合、システム管理者１０８は、ユーザＩＤ入力部２６２１に前記削除する接続確認方式個別条件の対象ユーザのＩＤを入力し、接続確認方式入力部２６２２に前記削除する接続確認方式個別条件の接続確認方式のＩＤを入力し、個別条件入力部２６２３に前記削除する接続確認方式個別条件の条件を入力し、削除ボタン２６２５を押下する。

上記接続確認方式個別条件設定画面２６００によって、システム管理者１０８は、ユーザ毎の接続確認方式のメンテナンスを行うことができる。

以上のように本実施例によれば、不審通信制御システム及び不審通信制御装置１０１は、接続確認に対するユーザ１０７の反応からユーザの特性を取得し、この特性に基づいて次回以降の接続確認の提示方式を決定することで、接続確認時にユーザ１０７に適切な行動を促すことが可能になる。

したがって、接続確認に伴う安全性と利便性の両立を図り、更に、ユーザ１０７の反応を集計して得られる知見の信頼性を高め、安全性と利便性の更なる向上に役立てることができる。

なお、上記実施例の変形例として、ユーザ特性に基づき、当該ユーザに割り当てるセキュリティ教育の内容を決定したり、セキュリティ意識に関する通知を送付したりする形態がある。これにより、ユーザへの接続確認画面の提示方式の変更だけでなく、多様な方法によりユーザに影響を与えることができ、ユーザにセキュリティ対策に有効な行動を取るよう促すことができる。更に、ユーザ特性を集計してレポートとして出力することで、組織単位でのユーザの特性を把握して、セキュリティ対策に活用できるようにする形態もある。

また、上記実施例においては、ユーザ特性の更新に、接続確認に対するユーザの応答から得られる情報を利用しているが、例えば、セキュリティ意識に関するアンケートの結果など、他の情報も利用してもよい。

また、上記実施例においては、接続確認方式が統計量に与える影響の大きさをユーザ特性とし、各接続確認方式の利用の有無を１または０で表して、各接続方式とそれに対応するユーザ特性との積の和を算出して統計量の推定値としたが、算出の方法は積と和に限らず、例えば予め設定した関数を用いてもよい。

更に、ユーザ特性の項目と、ユーザ特性および接続確認方式から統計量を算出する方法を、システム管理者１０８が独自に指定してもよい。具体的には、例えば、ユーザ特性を「リスク感度」、「コスト感度」、「ＩＴリテラシー」の３つとし、ユーザに対する接続確認の結果から、これら３つの値を決定する。

この方法では、予めユーザ特性と接続確認方式および統計量の関係に関する知見が必要となるが、ユーザ特性を人間にとって解釈しやすい形で表現することができる。これにより、上記の、ユーザへのセキュリティ教育内容の決定、レポートの出力、アンケート結果に基づくユーザ特性更新などの実施が容易になる。

また、上記実施例においては、統計量、接続確認方式およびユーザ特性の間に線形の関係が成り立つとの仮定に基づいてユーザ特性を更新する処理を実行したが、別の仮定に基づく計算方法を用いても良い。

また、上記実施例においては、グレーＵＲＬテーブル６００に含まれるＵＲＬへの通信に対し接続確認を行うものとしたが、他の基準で接続確認対象とするＵＲＬを決定しても良い。例えば、ユーザの特性を推定するためにホワイトＵＲＬテーブル１３６およびブラックＵＲＬテーブル１３５に含まれていないＵＲＬについて接続確認を実施しても良い。

また、上記実施例では、接続確認を行った場合、接続確認結果に基づき通信を通過させるか否かを決定するものとしたが、接続確認結果と通信制御は連動しなくても良い。例えば、ブラックＵＲＬテーブル７００に含まれているＵＲＬへの通信に対しても接続確認を行い、接続確認結果はユーザ特性の更新のみに利用して、接続確認結果に関わらず通信を遮断するようにしても良い。

また、上記実施例では、不審通信制御装置１０１に通信部２０４を含む例を示したが、通信部２０４はパケットの転送を行うプロキシサーバなどの外部の通信装置であっても良い。この場合、通信装置は、端末１０６からインターネット１０３への接続要求を受信して不審通信制御装置１０１へ転送し、不審通信制御装置１０１の通信制御プログラム（通信制御部）１２１が、接続確認の結果に基づいて通信装置に端末１０６からインターネット１０３への接続を制御させればよい。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に記載したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加、削除、又は置換のいずれもが、単独で、又は組み合わせても適用可能である。

また、上記の各構成、機能、処理部、及び処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、及び機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（ＳｏｌｉｄＳｔａｔｅＤｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１０１不審通信制御装置
１０２入出力装置
１２１通信制御プログラム
１２２ユーザ接続確認プログラム
１２３リスト更新プログラム
１２４統計情報更新プログラム
１２５ユーザ特性更新プログラム
１２６接続確認方式更新プログラム
１２７定期更新処理管理プログラム
２０１ＣＰＵ
２０２メモリ
２０３記憶装置
２０４通信部
２０５入力部
２０６出力部
２０７バス
３００ユーザテーブル
４００端末テーブル
５００通信ログテーブル
６００グレーＵＲＬテーブル
７００ブラックＵＲＬテーブル
８００ホワイトＵＲＬテーブル
９００接続確認方式テーブル
１０００パラメータテーブル
１１００接続確認方式個別条件テーブル
１２００接続確認結果テーブル
１３００統計量テーブル
１４００接続確認結果統計情報テーブル
１５００ユーザ特性テーブル
１６００ユーザ接続確認方式テーブル
１７００通信発生時の処理
１８００定期更新処理
１９００統計情報更新処理
２０００ユーザ特性更新処理
２１００接続確認方式更新処理
２２００接続確認画面
２３００接続確認方式設定画面
２４００統計量設定画面
２５００パラメータ設定画面
２６００接続確認方式個別条件設定画面

Claims

ユーザが操作する端末とインターネットを接続する不審通信制御装置で、前記端末からインターネットへの接続を制御する不審通信制御方法であって、
前記不審通信制御装置が、前記端末からインターネットへの接続要求を受信する第１のステップと、
前記不審通信制御装置が、前記受信した接続要求について前記ユーザの接続確認パターンを取得して接続確認を行う第２のステップと、
前記不審通信制御装置が、前記接続確認の結果に基づいて前記端末からインターネットへの接続を制御する第３のステップと、
前記不審通信制御装置が、前記接続確認の結果に基づいて前記端末を操作する前記ユーザの特性を算出する第４のステップと、
前記不審通信制御装置が、前記特性に基づいて前記ユーザの前記接続確認パターンを変更する第５のステップと、
を含むことを特徴とする不審通信制御方法。
請求項１に記載の不審通信制御方法であって、
前記第４のステップは、
前記接続確認パターンと、前記接続確認の結果との間に成り立つ関係を推定して、前記ユーザの特性を算出することを特徴とする不審通信制御方法。
請求項１に記載の不審通信制御方法であって、
前記第４のステップは、
前記接続確認パターンと、前記接続確認の結果と、予め設定された前記接続要求に含まれる通信先のリスク値と、の間に成り立つ関係を推定して、前記ユーザの特性を算出することを特徴とする不審通信制御方法。
請求項１に記載の不審通信制御方法であって、
前記第５のステップは、
前記特性に基づいて、前記接続確認パターンの候補を予め格納した接続確認パターン情報から１以上の接続確認パターンを組み合わせて前記接続確認パターンを変更することを特徴とする不審通信制御方法。
請求項４に記載の不審通信制御方法であって、
前記第４のステップは、
前記接続確認の結果から所定の統計量を算出し、当該統計量を加味して前記ユーザの特性を算出し、
前記第５のステップは、
前記ユーザの特性に基づいて前記接続確認パターン毎の接続確認の結果を推定した値と、前記統計量から評価値を算出し、当該評価値が予め設定した評価基準以上となる接続確認パターンまたは接続確認パターンの組み合わせを選択することを特徴とする不審通信制御方法。
請求項５に記載の不審通信制御方法であって、
前記第５のステップは、
前記評価値の最大値が前記評価基準未満の場合には、当該ユーザの接続確認パターンを所定の接続確認パターンに変更することを特徴とする不審通信制御方法。
請求項１に記載の不審通信制御方法であって、
前記第２のステップは、
前記接続要求に含まれる接続先が、予め設定されたグレー情報に含まれる不審な接続先に一致した場合、前記ユーザの接続確認パターンを取得して接続確認を行うことを特徴とする不審通信制御方法。
請求項７に記載の不審通信制御方法であって、
前記グレー情報は、前記不審な接続先毎にリスク値が設定され、
前記第３のステップは、
前記接続確認の結果に基づいて前記リスク値を更新することを特徴とする不審通信制御方法。
請求項７に記載の不審通信制御方法であって、
前記第２のステップは、
前記接続要求に含まれる接続先が、予め設定されたグレー情報に含まれる不審な接続先に一致しない場合でも、前記ユーザの特性を推定するために、前記ユーザの接続確認パターンを取得して接続確認を行うことを特徴とする不審通信制御方法。
プロセッサとメモリを備えてユーザが操作する端末とインターネットを接続する不審通信制御装置であって、
前記端末からインターネットへの接続要求を受信し、前記受信した接続要求について前記ユーザの接続確認パターンを取得して接続確認を行う接続確認部と、
前記接続確認の結果に基づいて前記端末からインターネットへの接続を制御する通信制御部と、
前記接続確認の結果に基づいて前記端末を操作する前記ユーザの特性を算出するユーザ特性算出部と、
前記特性に基づいて前記ユーザの前記接続確認パターンを変更する接続確認パターン決定部と、
を有することを特徴とする不審通信制御装置。
請求項１０に記載の不審通信制御装置であって、
前記ユーザ特性算出部は、
前記接続確認パターンと、前記接続確認の結果との間に成り立つ関係を推定して、前記ユーザの特性を算出することを特徴とする不審通信制御装置。
請求項１０に記載の不審通信制御装置であって、
前記ユーザ特性算出部は、
前記接続確認パターンと、前記接続確認の結果と、予め設定された前記接続要求に含まれる通信先のリスク値と、の間に成り立つ関係を推定して、前記ユーザの特性を算出することを特徴とする不審通信制御装置。
請求項１０に記載の不審通信制御装置であって、
前記接続確認パターン決定部は、
前記特性に基づいて、前記接続確認パターンの候補を予め格納した接続確認パターン情報から１以上の接続確認パターンを組み合わせて前記接続確認パターンを変更することを特徴とする不審通信制御装置。
請求項１３に記載の不審通信制御装置であって、
前記ユーザ特性算出部は、
前記接続確認の結果から所定の統計量を算出し、当該統計量を加味して前記ユーザの特性を算出し、
前記接続確認パターン決定部は、
前記ユーザの特性に基づいて前記接続確認パターン毎の接続確認の結果を推定した値と、前記統計量から評価値を算出し、当該評価値が予め設定した評価基準以上となる接続確認パターンまたは接続確認パターンの組み合わせを選択することを特徴とする不審通信制御装置。
ユーザが操作する端末とインターネットを接続する通信装置と、
プロセッサとメモリを備えて前記通信装置を制御する不審通信制御装置と、を含む不審通信制御システムであって、
前記通信装置は、
前記端末からインターネットへの接続要求を受信し、
前記不審通信制御装置は、
前記通信装置が受信した接続要求について前記ユーザの接続確認パターンを取得して接続確認を行う接続確認部と、
前記接続確認の結果に基づいて前記通信装置に前記端末からインターネットへの接続を制御させる通信制御部と、
前記接続確認の結果に基づいて前記端末を操作する前記ユーザの特性を算出するユーザ特性算出部と、
前記特性に基づいて前記ユーザの前記接続確認パターンを変更する接続確認パターン決定部と、
を有することを特徴とする不審通信制御システム。