JPWO2015141628A1 - Ｕｒｌ選定方法、ｕｒｌ選定システム、ｕｒｌ選定装置及びｕｒｌ選定プログラム - Google Patents

Abstract

本願の開示するＵＲＬ選定方法は、第１の抽出工程（３８ａ）と、第２の抽出工程（３８ｂ）とを含んだことを特徴とする。第１の抽出工程（３８ａ）は、トラヒックログを種別の異なる手法で解析することで特定されたＵＲＬ群それぞれから、ＵＲＬ群それぞれに設定された優先度の順に、ＵＲＬ数の総数が所定のＵＲＬ数以内であってＵＲＬ群それぞれに設定されたＵＲＬ数の上限値までＵＲＬを抽出する。第２の抽出工程（３８ｂ）は、第１の抽出工程においてＵＲＬ群それぞれから抽出したＵＲＬの総数が所定のＵＲＬ数に満たない場合、優先度に基づいて、所定のＵＲＬ数以内でＵＲＬを更に抽出する。

Description

本発明は、ＵＲＬ選定方法、ＵＲＬ選定システム、ＵＲＬ選定装置及びＵＲＬ選定プログラムに関する。

インターネットの社会インフラ化に伴い、フィッシングやスパム配信などのサイバー攻撃が急増している。サイバー攻撃の多くは、マルウェアと呼ばれる、攻撃者が作成した悪意あるツールを用いて実施される。攻撃者は、ユーザの端末やサーバにマルウェアを配布し、マルウェアをリモート操作することで端末やサーバを不正に制御する。

近年、マルウェアの多くはＨＴＴＰ（Hypertext Transfer Protocol）経由で配布されている。この主な要因の一つとして、一般のユーザＰＣ（Personal Computer）やＷｅｂサイトを踏み台にして攻撃元を隠ぺいする技術の普及が挙げられる。例えば、一般のユーザＰＣやＷｅｂサイトは、ＯＳ（Operating System）やＷｅｂブラウザ及びそのプラグインや、Ｗｅｂアプリケーションの脆弱性を悪用する攻撃を受けてマルウェアに感染し、踏み台ＰＣや踏み台サイトとして新たな攻撃に利用される。

Ｗｅｂサイトをマルウェアに感染させる攻撃を防御する方式として、ＩＤＳ（Intrusion Detection System）やＩＰＳ（Intrusion Prevention System）又はＷＡＦ（Web Application Firewall）などのセキュリティアプライアンスでＷｅｂサイトへのアクセスを監視し、特徴情報が攻撃の特徴情報と一致するアクセスをフィルタする方式が適用されている。具体的には、アクセスの宛先ＵＲＬ（Uniform Resource Locator）の宛先パラメータを示す部分が、攻撃に使用される脆弱なプログラムが持つパラメータであるか否かを検査する。また、マルウェア感染時に発生する外部へのアクセスを監視し、宛先ＵＲＬが攻撃に使用される悪性ＵＲＬと一致するアクセスをフィルタする方式も検討されている。

悪性ＵＲＬを発見する手法には、多種多様な手法が存在する。これらの手法は、おとりシステムであるハニーポットなどで、ユーザ環境で悪用される前に発見する手法と、ログ分析技術やアンチウィルスソフトなどで、ユーザ環境で悪用された後に発見する手法に大別できる。ユーザ環境で悪用される前に発見する手法では、攻撃の特性や攻撃発生時のＰＣやサーバの挙動を捉える機能を具備したハニーポットで、攻撃を高精度に検知することが可能である。ユーザ環境で悪用された後に発見する手法では、過去に観測した攻撃とログとの類似性に基づいて、攻撃を高精度に検知することが可能である。いずれの方式で特定した攻撃において、外部アクセスから宛先ＵＲＬを抽出することで、悪性ＵＲＬとすべきＵＲＬを特定可能である。なお、以下では、悪性ＵＲＬを発見する手法のことを、「分析手法」と記載する。

特許第４９９５１７０号公報 特許第５４１１９６６号公報 特許第５４１５３９０号公報

しかしながら、上記の従来技術では、各分析手法で解析した悪性なＵＲＬからＵＲＬ一覧を生成する際に、悪性なＵＲＬの検知漏れが生じる場合があるという問題がある。

具体的には、前述のとおり、悪性ＵＲＬを発見する手法は多種多様であり、各々において検知精度は異なる。一方、悪性ＵＲＬを用いたフィルタでは、悪性ＵＲＬ一覧をブラックリストとし、ＩＤＳ、ＩＰＳ又はＷＡＦなどのセキュリティアプライアンスにフィルタ条件としてインポートする必要があり、インポート可能なＵＲＬ数には処理性能に起因した上限値がある。この結果、各手法が発見した全悪性ＵＲＬをセキュリティアプライアンスにインポートすることは困難である。

分析手法は、自身が特定した悪性各ＵＲＬに、悪性度を示すスコアを付与する可能性もあるし、付与しない可能性もある。また、分析手法間で、悪性ＵＲＬを発見する検知率に差があるとともに、正規ＵＲＬを悪性と誤検知する誤検知率にも差がある。また、同一のログを分析したとしても分析手法に応じて発見する悪性ＵＲＬ数は変化する可能性があれば、同一の手法であっても異なるログを分析すれば発見する悪性ＵＲＬ数は変化する。

従来、複数の分析手法によって発見した悪性ＵＲＬを一つのＵＲＬ一覧とする場合、手法毎の優先度を決定し、優先度の高い分析手法が発見したＵＲＬを優先的にＵＲＬ一覧に記述した。しかし、この手法では、複数の分析手法を用いた際の多様性が損なわれ、検知率の低下や誤検知率の増加を引き起こす可能性がある。また、最新の発見ＵＲＬをＵＲＬ一覧に記述する手法も検討されているが、この手法でも、特定の分析手法が発見した悪性ＵＲＬがＵＲＬ一覧に集中的に記述される危険性がある。

このため、複数の分析手法に対して、各手法の出力結果を記述できるとともに、許容される最大数のＵＲＬをＵＲＬ一覧に記述できる、ＵＲＬ選択方式が必要となる。

開示の技術は、上述に鑑みてなされたものであって、各分析手法で解析した悪性なＵＲＬからＵＲＬ一覧を生成する際に、悪性なＵＲＬの検知漏れを抑制することを目的とする。

本願の開示するＵＲＬ選定方法は、第１の抽出工程と、第２の抽出工程とを含んだことを特徴とする。第１の抽出工程は、トラヒックログを種別の異なる手法で解析することで特定されたＵＲＬ群それぞれから、前記ＵＲＬ群それぞれに設定された優先度の順に、ＵＲＬ数の総数が所定のＵＲＬ数以内であって前記ＵＲＬ群それぞれに設定されたＵＲＬ数の上限値までＵＲＬを抽出する。第２の抽出工程は、前記第１の抽出工程においてＵＲＬ群それぞれから抽出したＵＲＬの総数が前記所定のＵＲＬ数に満たない場合、前記優先度に基づいて、前記所定のＵＲＬ数以内でＵＲＬを更に抽出する。

開示するＵＲＬ選定方法、ＵＲＬ選定システム、ＵＲＬ選定装置及びＵＲＬ選定プログラムの一つの態様によれば、各分析手法で解析した悪性なＵＲＬからＵＲＬ一覧を生成する際に、悪性なＵＲＬの検知漏れを抑制することができるという効果を奏する。

図１は、第１の実施形態に係る情報収集配信サーバを含んだネットワークシステムの構成例を示す図である。 図２は、第１の実施形態に係る情報収集配信サーバの構成例を示す図である。 図３は、第１の実施形態に係る分析機能優先度管理テーブルが記憶するデータ構造の一例を示す図である。 図４は、第１の実施形態に係る分析機能優先度管理テーブルが記憶するデータ構造の他の一例を示す図である。 図５は、第１の実施形態に係る分析部が特定したＵＲＬ群の一例を示す図である。 図６は、第１の実施形態に係る分析部が特定したＵＲＬ群の一例を示す図である。 図７は、第１の実施形態に係る分析部が特定したＵＲＬ群の一例を示す図である。 図８は、第１の実施形態に係るＵＲＬリスト生成部により生成されるＵＲＬ一覧の一例を示す図である。 図９は、第１の実施形態に係るＵＲＬリスト生成部により生成されるＵＲＬ一覧の他の一例を示す図である。 図１０は、第１の実施形態に係る外部評価機能連携部の処理動作を説明するための図である。 図１１は、第１の実施形態に係る外部評価機能連携部の優先度変更部による優先度変更処理を説明するための図である。 図１２は、第１の実施形態に係るＵＲＬリスト生成部により生成されるＵＲＬ一覧の他の一例を示す図である。 図１３は、第１の実施形態に係るＵＲＬリスト生成部による処理手順を示すフローチャートである。 図１４は、第１の実施形態の変形例に係るＵＲＬリスト生成部により生成されるＵＲＬ一覧の一例を示す図である。 図１５は、第１の実施形態の変形例に係るＵＲＬリスト生成部による処理手順を示すフローチャートである。 図１６は、ＵＲＬ選定プログラムを実行するコンピュータを示す図である。

以下に、開示するＵＲＬ選定方法、ＵＲＬ選定システム、ＵＲＬ選定装置及びＵＲＬ選定プログラムの実施形態について、図面に基づいて詳細に説明する。なお、本実施形態により開示する発明が限定されるものではない。

（第１の実施形態）
図１は、第１の実施形態に係る情報収集配信サーバ３０を含んだネットワークシステムの構成例を示す図である。図１に示すように、第１の実施形態に係る情報収集配信サーバ３０は、ネットワーク１を介して、ネットワーク２からネットワーク５に接続される。なお、情報収集配信サーバ３０のことを「ＵＲＬ選定装置」とも言う。

ネットワーク１は、インターネットのように広域なネットワーク網であってもよく、また、企業内ネットワークのように比較的狭域なネットワーク網であってもよい。このネットワーク１は、ネットワーク２〜５を収容する。ネットワーク２〜５のそれぞれの間は、後述するパケット転送部６〜９によって互いに通信可能に接続されている。なお以下では、ネットワーク２及びネットワーク３のことを「防御対象ネットワーク」と記載し、ネットワーク４及びネットワーク５のことを「攻撃側ネットワーク」と記載する。

ネットワーク２は、マルウェア感染攻撃を解析するために設けられたネットワークであり、例えば、囮サーバ１４、囮端末１５、端末型サンドボックス１６及びサーバ型サンドボックス１７を有する。囮サーバ１４や囮端末１５としては、ハニーネットプロジェクトが提供しているオープンソースのハニーポットや、独自に開発されたハニーポットが適用できる。また、端末型サンドボックス１６及びサーバ型サンドボックス１７としては、ＦｉｒｅＥｙｅに代表される製品からオープンソースのソフトウェア、または、独自に開発されたサンドボックスが適用できる。

また、図１に示すように、ネットワーク２は、パケット転送部６、パケット転送部１０、パケット転送部１１、通信監視部２２及び通信監視部２３を有する。パケット転送部６は、ネットワーク２と他のネットワークとの間のパケットの送受信の制御や、ネットワーク２内のパケットの送受信を制御する。パケット転送部１０は、ネットワーク２において、囮サーバ１４と囮端末１５とを接続するとともに、パケット転送部６を介して囮サーバ１４及び囮端末１５を、端末型サンドボックス１６やサーバ型サンドボックス１７及び他のネットワークと接続する。また、パケット転送部１１は、ネットワーク２において、端末型サンドボックス１６とサーバ型サンドボックス１７とを接続するとともに、パケット転送部６を介して端末型サンドボックス１６とサーバ型サンドボックス１７を、囮サーバ１４や囮端末１５及び他のネットワークと接続する。なお、パケット転送部６、パケット転送部１０及びパケット転送部１１としては、スイッチやルータまたはスイッチ機能やルータ機能やポートフォワーディングやハイパーテキスト転送プロトコル（以下、ＨＴＴＰ：Hypertext Transfer Protocol）転送機能など、ＭＡＣ（Media Access Control）アドレスやＩＰ（Internet Protocol）アドレスやポート番号やＨＴＴＰヘッダなどのヘッダの情報を参照して転送先を決定してパケットを出力する機能が該当する。

通信監視部２２は、トラヒックログを収集する。通信監視部２３は、トラヒックログを収集する。ここで、トラヒックログとしては、各通信監視部が収集可能なログ情報やアラート情報、パケットをキャプチャしたｐｃａｐ（packet capture）情報やサーバのｓｙｓｌｏｇ情報等、多くの情報が想定できる。囮サーバ１４や囮端末１５、端末型サンドボックス１６やサーバ型サンドボックス１７で収集したログ情報は攻撃に関する悪性トラヒックログとして適用できる可能性がある。なお、通信監視部２２及び通信監視部２３は、転送に用いる情報およびパケットペイロードを監視する機能であり、セキュリティアプライアンスやプロキシやアンチウィルスソフトなどに加え、転送したパケットを装置内外に保存するパケット転送部が該当する。

また、通信監視部２２及び通信監視部２３は、特定の情報を保有し、当該情報と一致する通信を検知する機能を具備する場合や、当該通信を遮断したり、別の付加機能に転送したりする機能を具備する場合がある。特に、特定の情報として攻撃の特徴を記憶し、当該情報と一致する通信を攻撃とした場合は、攻撃を検知する機能を具備する場合や、当該攻撃を遮断する機能や検疫と呼ばれる別の付加機能に転送する機能を具備する場合がある。

ネットワーク３は、例えば、ユーザサーバ１８、ユーザサーバ１９、ユーザ端末２０及びユーザ端末２１を有する。このネットワーク３に配置されているユーザサーバ１８、ユーザサーバ１９、ユーザ端末２０及びユーザ端末２１のすべて又は一部は、特定種類の通信の送受信の確認対象となる。

また、図１に示すように、ネットワーク３は、パケット転送部７、パケット転送部１２、パケット転送部１３を有する。パケット転送部７は、ネットワーク３と他のネットワークとの間のパケットの送受信の制御や、ネットワーク３内のパケットの送受信を制御する。パケット転送部１２は、ネットワーク３において、ユーザ端末２０とユーザ端末２１とを接続するとともに、パケット転送部７を介してユーザ端末２０及びユーザ端末２１を、ユーザサーバ１８やユーザサーバ１９及び他のネットワークと接続する。パケット転送部１３は、ネットワーク３において、ユーザサーバ１８とユーザサーバ１９とを接続するとともに、パケット転送部７を介してユーザサーバ１８及びユーザサーバ１９を、ユーザ端末２０やユーザ端末２１及び他のネットワークと接続する。

また、パケット転送部７は、通信監視部２４を有する。この通信監視部２４は、装置としてネットワーク２内に配置される通信監視部２２や通信監視部２３とは異なり、パケット転送部７内の一機能として配置される。通信監視部２４は、トラヒックログを収集する。

また、ユーザ端末２０及びユーザ端末２１には、端末用攻撃検知ソフトウェア２５がインストールされる。また、ユーザサーバ１８及びユーザサーバ１９には、サーバ用攻撃検知ソフトウェア２６がインストールされる。この端末用攻撃検知ソフトウェア２５及びサーバ用攻撃検知ソフトウェア２６は、例えば、アンチウィルスソフトやホスト型ＩＤＳ／ＩＰＳであり、トラヒックログを収集する。すなわち、端末用攻撃検知ソフトウェア２５やサーバ用攻撃検知ソフトウェア２６も通信監視部に含まれる。

ここで、トラヒックログとしては、各通信監視部が収集可能なログ情報やアラート情報、パケットをキャプチャしたｐｃａｐ情報やサーバのｓｙｓｌｏｇ情報等、多くの情報が想定できる。端末用攻撃検知ソフトウェア２５やサーバ用攻撃検知ソフトウェア２６を含む通信監視部が攻撃だと判定したトラヒックのログも悪性トラヒックログとして適用できる可能性がある。

また、例えばネットワーク３に配置された通信監視部２４が攻撃を検知しなかった場合、通信監視部２４で収集したトラヒックログは良性トラヒックログとして適用できる可能性がある。なお、通常異なる装置やソフトウェアからトラヒックログやアラートを収集して通信相手や通信内容の情報を抽出する際、装置やソフトウェアに応じて各項目の表記方法が異なる場合があるが、近年ではＳＩＥＭ（Security Information and Event Management）製品として異なる表記で示されたログ情報を統一的な表記方法に変換して集計する技術が普及している。

ネットワーク４は、特定種類の通信を攻撃する攻撃者端末２７を有する。図１に示すように、ネットワーク４は、パケット転送部８を有する。パケット転送部８は、ネットワーク４と他のネットワークとの間のパケットの送受信を制御する。

ネットワーク５は、アクセスしたユーザ端末を攻撃のために他のサーバに転送する悪性サーバ２９や、アクセスしたユーザサーバやユーザ端末にマルウェアを配布するマルウェア配布サーバ２８を有する。図１に示すように、ネットワーク５は、パケット転送部９を有する。パケット転送部９は、ネットワーク５と他のネットワークとの間のパケットの送受信を制御する。

情報収集配信サーバ３０は、トラヒックログを種別の異なる手法で解析することで特定されたＵＲＬ群それぞれから、所定のＵＲＬ数のＵＲＬを抽出してＵＲＬ一覧を生成する。また、情報収集配信サーバ３０は、アクセスをフィルタすべき宛先ＵＲＬとして生成したＵＲＬ一覧を配布する。また、情報収集配信サーバ３０は、生成したＵＲＬ一覧の評価を情報確認サーバ３１に依頼する。

情報確認サーバ３１は、情報収集配信サーバ３０により生成されたＵＲＬ一覧を評価する。例えば、情報確認サーバ３１は、ＵＲＬ一覧を評価し、選定させるべきでないＵＲＬを情報収集配信サーバ３０へ通知する。例えば、マルウェア感染を引き起こす悪性サイトＵＲＬの一覧を生成する場合、情報確認サーバ３１は、情報収集配信サーバ３０で生成されたＵＲＬ一覧を、悪性サイトを検知できるハニーポットやアンチウィルスソフトおよびセキュリティ製品で評価し、実際にマルウェア感染を引き起こさないＵＲＬを情報収集配信サーバ３０に返信する。

図２は、第１の実施形態に係る情報収集配信サーバ３０の構成例を示す図である。情報収集配信サーバ３０は、ログ収集部３２と、分析部３３と、分析部３４と、分析部３５と、ＵＲＬ収集部３６と、分析機能優先度管理部３７と、ＵＲＬリスト生成部３８と、ＵＲＬリスト管理部３９と、ＵＲＬリスト配布部４０と、外部評価機能連携部４１とを有する。なお、本実施形態では分析部を３部保有している。本分析部には、異なる分析機能を搭載してもよいし、複数または全てに同一の分析機能を搭載してもよい。また、分析部は１部のみ保有してもよいし、３部以上を保有してもよい。

ログ収集部３２は、外部からログを収集して蓄積する機能を有している。ログは、図１に示すネットワーク上の各機能から定期的に収集してもよいし、オペレータによって入力されてもよい。

分析機能優先度管理部３７は、各分析機能の優先度や、各分析機能に割り当てる上限値、ＵＲＬ一覧の最大ＵＲＬ数などを管理する機能を有する。例えば、分析機能優先度管理部３７は、分析機能の優先度を管理する分析機能優先度管理テーブル１０１を有する。分析機能優先度管理テーブル１０１の詳細について、図３及び図４を用いて説明する。

図３は、第１の実施形態に係る分析機能優先度管理テーブル１０１が記憶するデータ構造の一例を示す図である。この分析機能優先度管理テーブル１０１は、「分析手法」と、「優先度」と、「上限値」とを対応付けた情報を記憶し、各分析機能に対する優先度を管理する。

ここで、分析機能優先度管理テーブル１０１が記憶する「分析手法」は、分析機能の種別を示す。例えば、「分析手法」には、「分析部３３」、「分析部３４」などのデータ値が格納される。なお、同一の分析手法が複数の分析部に搭載されている場合は、分析手法と分析部の対応関係をテーブルやデータベース等で保有し、対応関係を管理する。また、分析機能優先度管理テーブル１０１が記憶する「優先度」は、後述するＵＲＬ一覧を生成する処理において、ＵＲＬを抽出する優先順序を示す。例えば、「優先度」には、「１」、「２」などのデータ値が格納される。ここで、図３に示す例では、数値が小さい順に優先度が高いこととしている。すなわち、優先度「１」の優先度が最も高く、優先度「２」、優先度「３」の順に優先度が低くなる。

また、分析機能優先度管理テーブル１０１が記憶する「上限値」は、各分析機能により抽出されるＵＲＬ数の上限値を示す。例えば、「上限値」には、「４」、「３」などのデータ値が格納される。なお、図３に示す例では、分析機能優先度管理テーブル１０１が「上限値」を管理する場合について説明するが、「上限値」は、分析機能優先度管理テーブル１０１以外の別のテーブルで管理されてもよい。

一例をあげると、図３に示す分析機能優先度管理テーブル１０１は、分析部３４が特定したＵＲＬ群の優先度が１であり、このＵＲＬ群から抽出するＵＲＬ数の上限値が４であることを示す。また、図３に示す分析機能優先度管理テーブル１０１は、分析部３３が特定したＵＲＬ群の優先度が２であり、このＵＲＬ群から抽出するＵＲＬ数の上限値が３であることを示す。また、図３に示す分析機能優先度管理テーブル１０１は、分析部３５が特定したＵＲＬ群の優先度が３であり、このＵＲＬ群から抽出するＵＲＬ数の上限値が３であることを示す。

分析機能優先度管理部３７は、各分析部３３〜３５の優先度を設定するとともに、全分析機能が特定した各ＵＲＬ群から、総計が一定数以下となるような最低抽出可能ＵＲＬ数の上限値を設定する。例えば、分析機能優先度管理部３７は、ＵＲＬ一覧に記述できる最大ＵＲＬ数を１０とする。なお、上限値の合計は、ＵＲＬ一覧に記述できる最大ＵＲＬ数と一致するようにしてもよいし、しなくてもよい。なお、「最大ＵＲＬ数」のことを「所定のＵＲＬ数」とも言う。

また、分析機能優先度管理部３７は、ＵＲＬ一覧に記述できる最大ＵＲＬ数も、分析機能優先度管理テーブル１０１で管理することも可能であるし、別のテーブルで管理してもよい。また、分析機能優先度管理部３７は、上限値を割合で示すようにしてもよい。例えば、分析機能優先度管理部３７は、優先度が「１」である分析部３４の上限値を「６０％」、優先度が「２」である分析部３３の上限値を「３０％」、優先度が「３」である分析部３５の上限値を「１０％」に設定する。ここで、ＵＲＬ一覧に記述できる最大ＵＲＬ数を１０とする場合、分析部３４が特定したＵＲＬ群から６つのＵＲＬが抽出され、分析部３３が特定したＵＲＬ群から３つのＵＲＬが抽出され、分析部３５が特定したＵＲＬ群から１つのＵＲＬが抽出される。

図４は、第１の実施形態に係る分析機能優先度管理テーブル１０１が記憶するデータ構造の他の一例を示す図である。なお、図４に示す分析機能優先度管理テーブル１０１の各項目が示す情報は、図３に示す分析機能優先度管理テーブル１０１の各項目が示す情報と同様である。

一例をあげると、図４に示す分析機能優先度管理テーブル１０１は、分析部３４が特定したＵＲＬ群の優先度が１であり、このＵＲＬ群から抽出するＵＲＬ数の上限値が８であることを示す。また、図４に示す分析機能優先度管理テーブル１０１は、分析部３３が特定したＵＲＬ群の優先度が２であり、このＵＲＬ群から抽出するＵＲＬ数の上限値が１であることを示す。また、図３に示す分析機能優先度管理テーブル１０１は、分析部３５が特定したＵＲＬ群の優先度が３であり、このＵＲＬ群から抽出するＵＲＬ数の上限値が１であることを示す。

図２に戻る。分析部３３、分析部３４及び分析部３５は、ＵＲＬ群を生成する機能を有する。例えば、分析部３３、分析部３４及び分析部３５は、ログ収集部３２が収集して蓄積したログを用いてＵＲＬ群を特定する。また、例えば、分析部３３、分析部３４及び分析部３５は、既知ＵＲＬ一覧を用いてＵＲＬ群を特定する。

ここで、本実施形態では、分析部３３〜分析部３５のそれぞれは、各々異なる分析手法で悪性なＵＲＬ群を特定する。例えば、分析部３３は、ホスト部がＩＰアドレスで構成されているものを特定し、分析部３４は、ログにおける観測頻度が低いＵＲＬを特定し、分析部３５は、既知ＵＲＬ一覧との類似度が高いＵＲＬを特定する。なお、ここで言う「悪性なＵＲＬ群」とは、アクセスするとマルウェアに感染するＵＲＬを示す。

図５から図７を用いて、分析部３３〜分析部３５が特定したＵＲＬ群の一例について説明する。図５は、第１の実施形態に係る分析部３３が特定したＵＲＬ群の一例を示す図であり、図６は、第１の実施形態に係る分析部３４が特定したＵＲＬ群の一例を示す図であり、図７は、第１の実施形態に係る分析部３５が特定したＵＲＬ群の一例を示す図である。

図５に示すように、「分析部３３が特定したＵＲＬ群」には、各分析機能が割り当てた「優先順位」が更に対応付けられている。図５の例では、分析部３３は、ＵＲＬ「ｈｔｔｐ：//ｈｏｓｔ#１/ｄ−Ａ/ｄ−Ｂ/ｄ−Ｃ/ｆｉｌｅ−ａ」を優先順位「１」として特定し、ＵＲＬ「ｈｔｔｐ：//ｈｏｓｔ#２/ｄ−Ｄ/ｄ−Ｅ/ｄ−Ｃ/ｆｉｌｅ−ｂ？ｘ＝１２」を優先順位「２」として特定したことを示す。

同様に、図７に示すように、「分析部３５が特定したＵＲＬ群」には、各分析機能が割り当てた「優先順位」が更に対応付けられている。一方で、図６に示すように、「分析部３４が特定したＵＲＬ群」には、「優先順位」が対応付けられていない。このように、分析部３３〜分析部３５は、特定したＵＲＬ群の各ＵＲＬに優先順位を付与してもよいし、しなくてもよい。

ここで、図５から図７に示すように、各分析機能が特定したＵＲＬ群は、メソッド部分と、ドメイン名やＦＱＤＮ名と呼ばれる部分と、パス部分と、ファイル名と、変数名と、入力値により構成される。図５中における「優先順位」が「２」であるＵＲＬ「ｈｔｔｐ：//ｈｏｓｔ#２/ｄ−Ｄ/ｄ−Ｅ/ｄ−Ｃ/ｆｉｌｅ−ｂ？ｘ＝１２」を用いてＵＲＬの構成を説明する。

メソッド部分は、「ｈｔｔｐ」などの記述に代表される。ドメイン名やＦＱＤＮ名と呼ばれる部分は、「ｈｏｓｔ＃２」などと記述される。パス部分は、「ｄ−Ｄ/ｄ−Ｅ/ｄ−Ｃ」などと記述される。ファイル名は、「ｆｉｌｅ−ｂ」などと記述される。変数名は、「？」と「＝」との間に記述される「ｘ」などである。入力値は、「＝」以降に記述される。また、変数名と入力値とがペアとなっており、「＆」によって複数のペアを「？」以降に記述できる。

図２に戻る。ＵＲＬ収集部３６は、分析部３３〜分析部３５それぞれが特定したＵＲＬ群を収集する機能を有する。ＵＲＬ収集部３６は、分析部３３〜分析部３５がＵＲＬ群を生成した事象を契機にＵＲＬを収集してもよいし、定期的に分析部３３〜分析部３５からＵＲＬを収集してもよい。

ＵＲＬリスト生成部３８は、例えば、第１の抽出部３８ａと、第２の抽出部３８ｂとを備え、ＵＲＬ収集部３６が収集したＵＲＬ群の情報と、分析機能優先度管理部３７が保有する管理情報とを用いてＵＲＬ一覧を生成する機能を有する。

例えば、第１の抽出部３８ａは、各ＵＲＬ群から各々の分析機能に対応した最低抽出可能ＵＲＬ数に応じてＵＲＬを抽出する。第２の抽出部３８ｂは、各ＵＲＬ群から抽出した総ＵＲＬ数が一定値に満たない場合に、優先度が高い分析部が特定したＵＲＬ群から順に総ＵＲＬ数が一定値に一致するまで又は、総ＵＲＬ数が一定値以内でかつ各分析部により特定された全てのＵＲＬを抽出するまでＵＲＬを再抽出する。

ここで、第１の実施形態に係るＵＲＬリスト生成部３８は、ＵＲＬ収集部３６が収集したＵＲＬ群の情報に優先順位が記述されていない場合は記述順に、優先順位が記述されている場合は優先順位の順序に従ってＵＲＬ群からＵＲＬを抽出するものとする。また、ＵＲＬリスト生成部３８は、優先順位に同順位がある場合には、記述順でＵＲＬを抽出することとする。なお、ＵＲＬリスト生成部３８は、各ＵＲＬ群からＵＲＬを抽出する際に、優先順位が記述されている場合、優先順位に従ってＵＲＬを抽出してもよいし、記述順や逆記述順で抽出してもよい。

図３に示す分析機能優先度管理テーブル１０１を用いてＵＲＬ一覧を抽出する場合について説明する。まず、第１の抽出部３８ａは、優先度が「１」である分析部３４が特定したＵＲＬ群から、上限値である４ＵＲＬの抽出を試行する。ここで、分析部３４が特定したＵＲＬ群の総数は４である。このため、第１の抽出部３８ａは、分析部３４が特定したＵＲＬ群からＵＲＬを４つ抽出する。

そして、第１の抽出部３８ａは、抽出したＵＲＬの総数が所定のＵＲＬ数に満たないと判定し、優先度が「２」である分析部３３が特定したＵＲＬ群から、上限値である３ＵＲＬの抽出を試行する。この段階で、ＵＲＬ一覧には７ＵＲＬが抽出される。次に、第１の抽出部３８ａは、抽出したＵＲＬの総数が所定のＵＲＬ数に満たないと判定し、優先度が「３」である分析部３５が特定したＵＲＬ群から、上限値である３ＵＲＬの抽出を試行する。この段階で、ＵＲＬ一覧には１０ＵＲＬが抽出される。

第１の抽出部３８ａは、優先度に基づいた各ＵＲＬ群からのＵＲＬ抽出処理の終了後、抽出したＵＲＬの総数が所定のＵＲＬ数と一致するか否かを判定する。なお、ここでは、第１の抽出部３８ａが、抽出したＵＲＬの総数が所定のＵＲＬ数に一致すると判定する場合について説明する。かかる場合、第１の抽出部３８ａは、所定のＵＲＬ数（例えば１０ＵＲＬ）で構成されたＵＲＬ一覧を生成する。本処理によって生成されたＵＲＬ一覧を図８に示す。

図８は、第１の実施形態に係るＵＲＬリスト生成部３８により生成されるＵＲＬ一覧の一例を示す図である。図８に示すように、ＵＲＬ一覧には、優先度が「１」である分析部３４が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃７/ｄ−Ｄ/ｄ−Ｈ/ｄ−Ｅ/ｆｉｌｅ−ｇ？ｙ＝１」、「ｈｔｔｐ：//ｈｏｓｔ＃２/ｄ−Ｅ/ｄ−Ｊ/ｄ−Ｋ/ｆｉｌｅ−ｅ」、「ｈｔｔｐ：//ｈｏｓｔ＃５/ｄ−Ｘ/ｄ−Ｏ/ｄ−Ｐ/ｆｉｌｅ−ａｒｔ？ｕｓｅｒ＝１＆ｐｗ＝ａｄ」、「ｈｔｔｐ：//ｈｏｓｔ＃９/ｄ−Ｈ/ｄ−Ｒ/ｆｉｌｅ−ｔｍｐ」が含まれる。また、図８に示すように、ＵＲＬ一覧には、優先度が「２」である分析部３３が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃１/ｄ−Ａ/ｄ−Ｂ/ｄ−Ｃ/ｆｉｌｅ−ａ」、「ｈｔｔｐ：//ｈｏｓｔ＃２/ｄ−Ｄ/ｄ−Ｅ/ｄ−Ｃ/ｆｉｌｅ−ｂ？ｘ＝１２」、「ｈｔｔｐ：//ｈｏｓｔ＃３/ｄ−Ａ/ｄ−Ｈ/ｄ−Ｚ/ｆｉｌｅ−ｘ？ｄ＝１２２４」が含まれる。また、図８に示すように、ＵＲＬ一覧には、優先度が「３」である分析部３５が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃４」、「ｈｔｔｐ：//ｈｏｓｔ＃３/ｄ−Ｒ/ｄ−Ｘ/ｄ−Ｄ/ｆｉｌｅ−ｉ？ｉｄ＝１２３１２」、「ｈｔｔｐ：//ｈｏｓｔ＃８/ｄ−Ａ/ｄ−Ｂ/ｄ−Ｃ/ｆｉｌｅ−ｔ」が含まれる。

次に、図４に示す分析機能優先度管理テーブル１０１を用いてＵＲＬ一覧を抽出する場合について説明する。まず、第１の抽出部３８ａは、優先度が「１」である分析部３４が特定したＵＲＬ群から、上限値である８ＵＲＬの抽出を試行する。しかし、分析部３４が特定したＵＲＬ群の総数は４である。このため、第１の抽出部３８ａは、分析部３４が特定したＵＲＬ群からＵＲＬを４つ抽出する。

そして、第１の抽出部３８ａは、抽出したＵＲＬの総数が所定のＵＲＬ数に満たないと判定し、優先度が「２」である分析部３３が特定したＵＲＬ群から、上限値である１ＵＲＬの抽出を試行する。この段階で、ＵＲＬ一覧には５ＵＲＬが抽出される。次に、第１の抽出部３８ａは、抽出したＵＲＬの総数が所定のＵＲＬ数に満たないと判定し、優先度が「３」である分析部３５が特定したＵＲＬ群から、上限値である１ＵＲＬの抽出を試行する。この段階で、ＵＲＬ一覧には６ＵＲＬが抽出される。

第１の抽出部３８ａは、優先度に基づいた各ＵＲＬ群からのＵＲＬ抽出処理の終了後、抽出したＵＲＬの総数が所定のＵＲＬ数と一致するか否かを判定する。なお、ここでは、第１の抽出部３８ａが、抽出したＵＲＬの総数が所定のＵＲＬ数に満たないと判定する場合について説明する。かかる場合、第２の抽出部３８ｂは、優先度に基づいて、所定のＵＲＬ数以内でＵＲＬを更に抽出する。例えば、第２の抽出部３８ｂは、優先度の高いＵＲＬ群から順に上限値までＵＲＬを更に抽出する処理を、抽出したＵＲＬの総数が所定のＵＲＬ数と一致するまで、又は、所定のＵＲＬ数以内でＵＲＬ群に含まれる全ＵＲＬを抽出するまで繰り返す。

より具体的には、第２の抽出部３８ｂは、優先度が「１」である分析部３４に再注目し、ＵＲＬ一覧の最大値の範囲内で、抽出できるすべてのＵＲＬ抽出を試行する。しかし、第２の抽出部３８ｂは、分析部３４が特定したＵＲＬ群からは既に全ＵＲＬを抽出済みであると判定し、優先度が「２」である分析部３３が特定したＵＲＬ群から、ＵＲＬ一覧の最大値の範囲内で、抽出できるすべてのＵＲＬ抽出を試行する。この結果、第２の抽出部３８ｂは、所定のＵＲＬ数（例えば１０ＵＲＬ）で構成されたＵＲＬ一覧を生成する。本処理によって生成されたＵＲＬ一覧を図９に示す。

図９は、第１の実施形態に係るＵＲＬリスト生成部３８により生成されるＵＲＬ一覧の他の一例を示す図である。図９に示すように、ＵＲＬ一覧には、優先度が「１」である分析部３４が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃７/ｄ−Ｄ/ｄ−Ｈ/ｄ−Ｅ/ｆｉｌｅ−ｇ？ｙ＝１」、「ｈｔｔｐ：//ｈｏｓｔ＃２/ｄ−Ｅ/ｄ−Ｊ/ｄ−Ｋ/ｆｉｌｅ−ｅ」、「ｈｔｔｐ：//ｈｏｓｔ＃５/ｄ−Ｘ/ｄ−Ｏ/ｄ−Ｐ/ｆｉｌｅ−ａｒｔ？ｕｓｅｒ＝１＆ｐｗ＝ａｄ」、「ｈｔｔｐ：//ｈｏｓｔ＃９/ｄ−Ｈ/ｄ−Ｒ/ｆｉｌｅ−ｔｍｐ」が含まれる。また、図９に示すように、ＵＲＬ一覧には、優先度が「２」である分析部３３が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃１/ｄ−Ａ/ｄ−Ｂ/ｄ−Ｃ/ｆｉｌｅ−ａ」が含まれる。また、図９に示すように、ＵＲＬ一覧には、優先度が「３」である分析部３５が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃４」が含まれる。更に、図９に示すように、ＵＲＬ一覧には、優先度が「２」である分析部３３が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃２/ｄ−Ｄ/ｄ−Ｅ/ｄ−Ｃ/ｆｉｌｅ−ｂ？ｘ＝１２」、「ｈｔｔｐ：//ｈｏｓｔ＃３/ｄ−Ａ/ｄ−Ｈ/ｄ−Ｚ/ｆｉｌｅ−ｘ？ｄ＝１２２４」、「ｈｔｔｐ：//ｈｏｓｔ＃４/ｄ−Ｓ/ｄ−Ｓ/ｄ−Ｄ/ｆｉｌｅ−ｃ？ａ＝ｕｓｅｒ１」、「ｈｔｔｐ：//ｈｏｓｔ＃３/ｄ−Ｍ/ｄ−Ｎ/ｄ−Ｃ/ｆｉｌｅ−ｗ」が含まれる。

なお、第１の抽出部３８ａ及び第２の抽出部３８ｂの少なくともいずれか一方は、抽出の際に、同一ＵＲＬが既に抽出済みであるか否かを確認し、既に抽出済みのＵＲＬについては抽出対象から除外するようにしてもよい。また、第１の抽出部３８ａ及び第２の抽出部３８ｂの少なくともいずれか一方は、抽出済みのＵＲＬを抽出した際に、本抽出を１回と計算してもよいし、しなくてもよい。

図２に戻る。ＵＲＬリスト管理部３９は、ＵＲＬリスト生成部３８が生成したＵＲＬ一覧に記載された各ＵＲＬについて、情報収集配信サーバ３０が保有する情報を関連づけて管理する機能を有する。例えば、ＵＲＬリスト管理部３９は、当該ＵＲＬを出力した分析機能を管理する機能や、ＵＲＬ一覧に記載された日時などを管理する機能を有する。

また、例えば、ＵＲＬリスト管理部３９は、各分析機能が特定したＵＲＬ群からＵＲＬ一覧へ抽出した順序に、ＵＲＬ一覧の各ＵＲＬにＵＲＬ一覧内での優先度を付与する。ＵＲＬリスト管理部３９は、ＵＲＬを抽出する際に、当該ＵＲＬを特定した分析機能と、当該分析機能が当該ＵＲＬに優先順位を付与している場合は当該優先順位を抽出したＵＲＬに関連付けて管理する。

ＵＲＬリスト配布部４０は、ＵＲＬリスト生成部３８が生成したＵＲＬ一覧を外部に送信する機能を有している。例えば、ＵＲＬリスト配布部４０は、セキュリティ関連装置に、アクセスをフィルタすべき宛先ＵＲＬとしてＵＲＬ一覧を配布する。なお、ここで言う「セキュリティ関連装置」には、ネットワーク２の通信監視部２２及び通信監視部２３や、ネットワーク３の通信監視部２４、端末用攻撃検知ソフトウェア２５及びサーバ用攻撃検知ソフトウェア２６などが含まれる。また、ＵＲＬリスト配布部４０は、配布方法も、能動的にＵＲＬ一覧を配布してもよいし、受動的にＵＲＬ一覧を配布してもよい。なお、ＵＲＬ一覧をオペレータが取得してもよい。また、例えば、ＵＲＬリスト配布部４０は、生成したＵＲＬ一覧の評価を情報確認サーバ３１に依頼する。

外部評価機能連携部４１は、ＵＲＬ一覧の評価結果を外部から受信する受信部４１ａと、受信した結果に応じて、分析機能優先度管理部３７が管理している各分析機能の優先度または優先度と上限値を制御する優先度変更部４１ｂと、ＵＲＬリスト生成部３８に最新の情報でＵＲＬ一覧を生成するよう指示するＵＲＬ一覧更新指示部４１ｃとを有する。

図１０は、第１の実施形態に係る外部評価機能連携部４１の処理動作を説明するための図である。図１０に示すように、外部評価機能連携部４１の受信部４１ａは、情報確認サーバ３１からメッセージ２０１として評価結果を受信する。なお、図１０に示す例では、外部評価機能連携部４１の受信部４１ａは、分析部３４が特定したＵＲＬ群に適切なＵＲＬが記載されていなかった旨を通知されたと仮定する（ステップＳ１１）。

かかる場合、外部評価機能連携部４１の優先度変更部４１ｂは、分析機能優先度管理部３７に対して、分析機能優先度管理テーブル１０１における優先度の変更を指示する（ステップＳ１２）。例えば、図４に示す分析機能優先度管理テーブル１０１における優先度を図１１に示す分析機能優先度管理テーブル１０１に示す優先度に変更する場合について説明する。図１１は、第１の実施形態に係る外部評価機能連携部４１の優先度変更部４１ｂによる優先度変更処理を説明するための図である。

例えば、外部評価機能連携部４１の優先度変更部４１ｂは、分析部３４が特定したＵＲＬ群にのみ、悪性なＵＲＬが含まれていなかった場合、分析機能優先度管理テーブル１０１において、分析部３４の優先度を低下させる。図１１に示す例では、外部評価機能連携部４１の優先度変更部４１ｂは、図４において優先度「１」である分析部３４の優先度を「２」に変更するとともに、図４において優先度「２」である分析部３３の優先度を「１」に変更するように分析機能優先度管理部３７に対して指示する。

また、外部評価機能連携部４１の優先度変更部４１ｂは、分析機能優先度管理テーブル１０１において、優先度を変更した際に、当該優先度に対応する形で上限値を変更するように分析機能優先度管理部３７に対して指示する。例えば、外部評価機能連携部４１の優先度変更部４１ｂは、分析機能優先度管理テーブル１０１の上限値を変更する場合、以前優先度「１」の分析部３４に上限値「８」が、優先度「２」の分析部３３に上限値「１」が割り当てられており、優先度「１」の分析部３４の優先度を下げる場合、分析部３３の優先度を「１」、上限値を「８」に変更し、分析部３４の優先度を「２」、上限値を「１」に変更するように分析機能優先度管理部３７に対して指示する。なお、外部評価機能連携部４１の優先度変更部４１ｂは、分析機能優先度管理テーブル１０１において、優先度を変更した際に、当該優先度に対応する形で上限値を変更する指示を分析機能優先度管理部３７に対してしなくてもよい。

図１０に戻る。その後、外部評価機能連携部４１のＵＲＬ一覧更新指示部４１ｃは、ＵＲＬリスト生成部３８に対して、ＵＲＬ一覧の作成を指示する（ステップＳ１３）。言い換えると、外部評価機能連携部４１のＵＲＬ一覧更新指示部４１ｃは、優先度を変更した分析機能優先度管理テーブル１０１に基づいて、第１の抽出部３８ａ及び第２の抽出部３８ｂにＵＲＬの抽出処理の実行を指示する。そして、ＵＲＬリスト生成部３８の第１の抽出部３８ａ及び第２の抽出部３８ｂは、図１１に示す分析機能優先度管理テーブル１０１を用いて抽出処理を行い、新たなＵＲＬ一覧として例えば図１２に示すＵＲＬ一覧を生成する。なお、外部評価機能連携部４１のＵＲＬ一覧更新指示部４１ｃのことを「抽出指示部」とも言う。

図１２は、第１の実施形態に係るＵＲＬリスト生成部３８により生成されるＵＲＬ一覧の他の一例を示す図である。図１２に示すように、ＵＲＬ一覧には、優先度が「１」である分析部３３が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃１/ｄ−Ａ/ｄ−Ｂ/ｄ−Ｃ/ｆｉｌｅ−ａ」、「ｈｔｔｐ：//ｈｏｓｔ＃２/ｄ−Ｄ/ｄ−Ｅ/ｄ−Ｃ/ｆｉｌｅ−ｂ？ｘ＝１２」、「ｈｔｔｐ：//ｈｏｓｔ＃３/ｄ−Ａ/ｄ−Ｈ/ｄ−Ｚ/ｆｉｌｅ−ｘ？ｄ＝１２２４」、「ｈｔｔｐ：//ｈｏｓｔ＃４/ｄ−Ｓ/ｄ−Ｓ/ｄ−Ｄ/ｆｉｌｅ−ｃ？ａ＝ｕｓｅｒ１」、「ｈｔｔｐ：//ｈｏｓｔ＃３/ｄ−Ｍ/ｄ−Ｎ/ｄ−Ｃ/ｆｉｌｅ−ｗ」が含まれる。また、図１２に示すように、ＵＲＬ一覧には、優先度が「２」である分析部３４が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃７/ｄ−Ｄ/ｄ−Ｈ/ｄ−Ｅ/ｆｉｌｅ−ｇ？ｙ＝１」が含まれる。また、図１２に示すように、ＵＲＬ一覧には、優先度が「３」である分析部３５が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃４」が含まれる。更に、図１２に示すように、ＵＲＬ一覧には、優先度が「２」である分析部３４が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃２/ｄ−Ｅ/ｄ−Ｊ/ｄ−Ｋ/ｆｉｌｅ−ｅ」、「ｈｔｔｐ：//ｈｏｓｔ＃５/ｄ−Ｘ/ｄ−Ｏ/ｄ−Ｐ/ｆｉｌｅ−ａｒｔ？ｕｓｅｒ＝１＆ｐｗ＝ａｄ」、「ｈｔｔｐ：//ｈｏｓｔ＃９/ｄ−Ｈ/ｄ−Ｒ/ｆｉｌｅ−ｔｍｐ」が含まれる。このように、図１２に示すＵＲＬ一覧は、図９に示すＵＲＬ一覧と抽出されたＵＲＬの内容やＵＲＬの記載順序が異なる。

図１３を用いて、第１の実施形態に係るＵＲＬリスト生成部３８による処理手順を説明する。図１３は、第１の実施形態に係るＵＲＬリスト生成部３８による処理手順を示すフローチャートである。

図１３に示すように、第１の抽出部３８ａは、分析機能優先度管理テーブル１０１を参照して、最も優先度の高いＵＲＬ群を選択する（ステップＳ１０１）。続いて、第１の抽出部３８ａは、選択したＵＲＬ群について、所定のＵＲＬ数以内で上限値までＵＲＬを抽出する（ステップＳ１０２）。そして、第１の抽出部３８ａは、抽出したＵＲＬの総数が所定のＵＲＬ数に達したか否かを判定する（ステップＳ１０３）。

ここで、第１の抽出部３８ａは、抽出したＵＲＬの総数が所定のＵＲＬ数に達したと判定した場合（ステップＳ１０３、Ｙｅｓ）、処理を終了する。一方、第１の抽出部３８ａは、抽出したＵＲＬの総数が所定のＵＲＬ数に達したと判定しなかった場合（ステップＳ１０３、Ｎｏ）、全てのＵＲＬ群から抽出処理を行ったか否かを判定する（ステップＳ１０４）。第１の抽出部３８ａは、全てのＵＲＬ群から抽出処理を行ったと判定しなかった場合（ステップＳ１０４、Ｎｏ）、次に優先度の高いＵＲＬ群を選択し（ステップＳ１０５）、ステップＳ１０２に移行する。そして、第１の抽出部３８ａは、全てのＵＲＬ群から抽出処理を行うまで、或いは、所定のＵＲＬ数に達するまで、優先度の高いＵＲＬ群から順に所定のＵＲＬ数以内で上限値までＵＲＬを抽出するステップＳ１０２からステップＳ１０４までの処理を繰り返し実行する。

第１の抽出部３８ａが、全てのＵＲＬ群から抽出処理を行ったと判定した場合（ステップＳ１０４、Ｙｅｓ）、第２の抽出部３８ｂは、最も優先度の高いＵＲＬ群を選択する（ステップＳ１０６）。そして、第２の抽出部３８ｂは、所定のＵＲＬ数以内で抽出可能なＵＲＬを抽出する（ステップＳ１０７）。

続いて、第２の抽出部３８ｂは、抽出したＵＲＬの総数が所定のＵＲＬ数に達したか否かを判定する（ステップＳ１０８）。第２の抽出部３８ｂは、抽出したＵＲＬの総数が所定のＵＲＬ数に達したと判定した場合（ステップＳ１０８、Ｙｅｓ）、処理を終了する。一方、第２の抽出部３８ｂは、抽出したＵＲＬの総数が所定のＵＲＬ数に達したと判定しなかった場合（ステップＳ１０８、Ｎｏ）、全てのＵＲＬ群から抽出処理を行ったか否かを判定する（ステップＳ１０９）。

第２の抽出部３８ｂは、全てのＵＲＬ群から抽出処理を行ったと判定しなかった場合（ステップＳ１０９、Ｎｏ）、次に優先度の高いＵＲＬ群を選択し（ステップＳ１１０）、ステップＳ１０７に移行する。そして、第２の抽出部３８ｂは、全てのＵＲＬ群から抽出処理を行うまで、或いは、所定のＵＲＬ数に達するまで、優先度の高いＵＲＬ群から順に所定のＵＲＬ数以内で抽出可能なＵＲＬを抽出するステップＳ１０７からステップＳ１０９までの処理を繰り返し実行する。一方、第２の抽出部３８ｂが、全てのＵＲＬ群から抽出処理を行ったと判定した場合（ステップＳ１０９、Ｙｅｓ）、処理を終了する。

上述のように、第１の実施形態に係る情報収集配信サーバ３０では、複数の分析機能を用いた際に、優先順位を保持しつつも、各分析機能が特定したＵＲＬ群から、各分析機能に割り当てられる上限値に従い、かつ、許容される最大数のＵＲＬに基づき、ＵＲＬを抽出してＵＲＬ一覧を生成する。これにより、第１の実施形態に係る情報収集配信サーバ３０は、分析機能を複数用いることでＵＲＬ一覧に反映できる多視点からのＵＲＬ一覧生成という特徴を活かし、検知漏れを抑制可能なＵＲＬ一覧を生成できる。言い換えると、各分析手法で解析した悪性なＵＲＬからＵＲＬ一覧を生成する際に、悪性なＵＲＬの検知漏れを抑制することができる。

また、第１の実施形態では、情報収集配信サーバ３０は、生成したＵＲＬ一覧の評価を依頼し、評価結果に応じて優先度を変更する。この結果、第１の実施形態に係る情報収集配信サーバ３０は、アクセスするとマルウェア感染を引き起こす悪性サイトのＵＲＬ一覧を作成する際に、セキュリティ強度を強化するＵＲＬ一覧を作成することができる。

（第１の実施形態の変形例）
第１の実施形態では、第２の抽出部３８ｂは、優先度を考慮せずに抽出処理を行うものとして説明したが、実施形態はこれに限定されるものではない。例えば、第２の抽出部３８ｂは、優先度を考慮して抽出処理を行うようにしてもよい。

より具体的には、第１の実施形態の変形例に係る第２の抽出部３８ｂは、ＵＲＬ群それぞれから抽出するＵＲＬについて、ＵＲＬ群において各ＵＲＬに優先順位を付与されている場合は、当該優先順位に従ってＵＲＬを抽出する。一方、第１の実施形態の変形例に係る第２の抽出部３８ｂは、ＵＲＬ群において各ＵＲＬに優先順位を付与されていない場合は、所定の順序でＵＲＬを抽出する。

なお、第１の実施形態の変形例に係る第１の抽出部３８ａは、第１の実施形態に係る第１の抽出部３８ａと同様の処理を行う。すなわち、第１の実施形態の変形例に係る第１の抽出部３８ａは、アクセスログを種別の異なる手法で解析することで特定されたＵＲＬ群それぞれから、ＵＲＬ群それぞれに設定された優先度の順に、所定のＵＲＬ数以内であってＵＲＬ群それぞれに設定された上限値までＵＲＬを抽出する。

第１の実施形態の変形例に係る第１の抽出部３８ａ及び第２の抽出部３８ｂが、図４に示す分析機能優先度管理テーブル１０１を用いてＵＲＬ一覧を抽出する場合について説明する。まず、第１の抽出部３８ａは、優先度が「１」である分析部３４が特定したＵＲＬ群から、上限値である８ＵＲＬの抽出を試行する。しかし、分析部３４が特定したＵＲＬ群の総数は４である。このため、第１の抽出部３８ａは、分析部３４が特定したＵＲＬ群からＵＲＬを４つ抽出する。

そして、第１の抽出部３８ａは、抽出したＵＲＬの総数が所定のＵＲＬ数に満たないと判定し、優先度が「２」である分析部３３が特定したＵＲＬ群から、上限値である１ＵＲＬの抽出を試行する。この段階で、ＵＲＬ一覧には５ＵＲＬが抽出される。次に、第１の抽出部３８ａは、抽出したＵＲＬの総数が所定のＵＲＬ数に満たないと判定し、優先度が「３」である分析部３５が特定したＵＲＬ群から、上限値である１ＵＲＬの抽出を試行する。この段階で、ＵＲＬ一覧には６ＵＲＬが抽出される。

第１の抽出部３８ａは、優先度に基づいた各ＵＲＬ群からのＵＲＬ抽出処理の終了後、抽出したＵＲＬの総数が所定のＵＲＬ数と一致するか否かを判定する。なお、ここでは、第１の抽出部３８ａが、抽出したＵＲＬの総数が所定のＵＲＬ数に満たないと判定する場合について説明する。かかる場合、第２の抽出部３８ｂは、優先度に基づいて、所定のＵＲＬ数以内でＵＲＬを更に抽出する。例えば、第２の抽出部３８ｂは、ＵＲＬ群それぞれから抽出するＵＲＬについて、ＵＲＬ群において各ＵＲＬに優先順位を付与されている場合は、当該優先順位に従ってＵＲＬを抽出する。一方、第１の実施形態の変形例に係る第２の抽出部３８ｂは、ＵＲＬ群において各ＵＲＬに優先順位を付与されていない場合は、所定の順序でＵＲＬを抽出する。

より具体的には、第２の抽出部３８ｂは、優先度が「１」である分析部３４に再注目し、上限値である８ＵＲＬの抽出を試行する。しかし、第２の抽出部３８ｂは、分析部３４が特定したＵＲＬ群からは既に全ＵＲＬを抽出済みであると判定し、優先度が「２」である分析部３３が特定したＵＲＬ群から、上限値である１ＵＲＬの抽出を試行する。この段階で、ＵＲＬ一覧には７ＵＲＬが記述されている。

次に、第２の抽出部３８ｂは、優先度が「３」である分析部３５から、上限値である１ＵＲＬの抽出を試行する。この段階で、ＵＲＬ一覧には８ＵＲＬが記述されている。次に、第２の抽出部３８ｂは、優先度が「１」である分析部３４に再注目し、上限値である８ＵＲＬの抽出を試行する。しかし、第２の抽出部３８ｂは、分析部３４が特定したＵＲＬ群からは既に全ＵＲＬを抽出済みであると判定し、優先度が「２」である分析部３３が特定したＵＲＬ群から、上限値である１ＵＲＬの抽出を試行する。この段階で、ＵＲＬ一覧には９ＵＲＬが記述されている。次に、第２の抽出部３８ｂは、優先度が「３」である分析部３５から、上限値である１ＵＲＬの抽出を試行する。この結果、１０ＵＲＬで構成されたＵＲＬ一覧を生成できる。本処理によって生成されたＵＲＬ一覧を図１４に示す。

図１４は、第１の実施形態の変形例に係るＵＲＬリスト生成部３８により生成されるＵＲＬ一覧の一例を示す図である。図１４に示すように、ＵＲＬ一覧には、優先度が「１」である分析部３４が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃７/ｄ−Ｄ/ｄ−Ｈ/ｄ−Ｅ/ｆｉｌｅ−ｇ？ｙ＝１」、「ｈｔｔｐ：//ｈｏｓｔ＃２/ｄ−Ｅ/ｄ−Ｊ/ｄ−Ｋ/ｆｉｌｅ−ｅ」、「ｈｔｔｐ：//ｈｏｓｔ＃５/ｄ−Ｘ/ｄ−Ｏ/ｄ−Ｐ/ｆｉｌｅ−ａｒｔ？ｕｓｅｒ＝１＆ｐｗ＝ａｄ」、「ｈｔｔｐ：//ｈｏｓｔ＃９/ｄ−Ｈ/ｄ−Ｒ/ｆｉｌｅ−ｔｍｐ」が含まれる。また、図１４に示すように、ＵＲＬ一覧には、優先度が「２」である分析部３３が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃１/ｄ−Ａ/ｄ−Ｂ/ｄ−Ｃ/ｆｉｌｅ−ａ」が含まれる。また、図１４に示すように、ＵＲＬ一覧には、優先度が「３」である分析部３５が特定したＵＲＬ群「ｈｔｔｐ：//ｈｏｓｔ＃４」が含まれる。更に、図１４に示すように、ＵＲＬ一覧には、優先度が「２」である分析部３３が特定したＵＲＬ群と優先度が「３」である分析部３５が特定したＵＲＬ群とが交互に含まれる。すなわち、「ｈｔｔｐ：//ｈｏｓｔ＃２/ｄ−Ｄ/ｄ−Ｅ/ｄ−Ｃ/ｆｉｌｅ−ｂ？ｘ＝１２」、「ｈｔｔｐ：//ｈｏｓｔ＃３/ｄ−Ｒ/ｄ−Ｘ/ｄ−Ｄ/ｆｉｌｅ−ｉ？ｉｄ＝１２３１２」、「ｈｔｔｐ：//ｈｏｓｔ＃３/ｄ−Ａ/ｄ−Ｈ/ｄ−Ｚ/ｆｉｌｅ−ｘ？ｄ＝１２２４」、「ｈｔｔｐ：//ｈｏｓｔ＃８/ｄ−Ａ/ｄ−Ｂ/ｄ−Ｃ/ｆｉｌｅ−ｔ」が含まれる。このように、図１４に示すＵＲＬ一覧は、図９に示すＵＲＬ一覧と抽出されたＵＲＬの内容やＵＲＬの記載順序が異なる。

図１５は、第１の実施形態の変形例に係るＵＲＬリスト生成部３８による処理手順を説明する。図１５は、第１の実施形態の変形例に係るＵＲＬリスト生成部３８による処理手順を示すフローチャートである。

図１５に示すように、第１の抽出部３８ａは、分析機能優先度管理テーブル１０１を参照して、最も優先度の高いＵＲＬ群を選択する（ステップＳ２０１）。続いて、第１の抽出部３８ａは、選択したＵＲＬ群について、所定のＵＲＬ数以内で上限値までＵＲＬを抽出する（ステップＳ２０２）。そして、第１の抽出部３８ａは、抽出したＵＲＬの総数が所定のＵＲＬ数に達したか否かを判定する（ステップＳ２０３）。

ここで、第１の抽出部３８ａは、抽出したＵＲＬの総数が所定のＵＲＬ数に達したと判定した場合（ステップＳ２０３、Ｙｅｓ）、処理を終了する。一方、第１の抽出部３８ａは、抽出したＵＲＬの総数が所定のＵＲＬ数に達したと判定しなかった場合（ステップＳ２０３、Ｎｏ）、全てのＵＲＬ群から抽出処理を行ったか否かを判定する（ステップＳ２０４）。第１の抽出部３８ａは、全てのＵＲＬ群から抽出処理を行ったと判定しなかった場合（ステップＳ２０４、Ｎｏ）、次に優先度の高いＵＲＬ群を選択し（ステップＳ２０５）、ステップＳ２０２に移行する。そして、第１の抽出部３８ａは、全てのＵＲＬ群から抽出処理を行うまで、或いは、所定のＵＲＬ数に達するまで、優先度の高いＵＲＬ群から順に所定のＵＲＬ数以内で上限値までＵＲＬを抽出するステップＳ２０２からステップＳ２０４までの処理を繰り返し実行する。

第１の抽出部３８ａが、全てのＵＲＬ群から抽出処理を行ったと判定した場合（ステップＳ２０４、Ｙｅｓ）、第２の抽出部３８ｂは、最も優先度の高いＵＲＬ群を選択する（ステップＳ２０６）。そして、第２の抽出部３８ｂは、所定のＵＲＬ数以内で上限値までＵＲＬを抽出する（ステップＳ２０７）。

続いて、第２の抽出部３８ｂは、抽出したＵＲＬの総数が所定のＵＲＬ数に達したか否かを判定する（ステップＳ２０８）。第２の抽出部３８ｂは、抽出したＵＲＬの総数が所定のＵＲＬ数に達したと判定した場合（ステップＳ２０８、Ｙｅｓ）、処理を終了する。一方、第２の抽出部３８ｂは、抽出したＵＲＬの総数が所定のＵＲＬ数に達したと判定しなかった場合（ステップＳ２０８、Ｎｏ）、全てのＵＲＬを抽出したか否かを判定する（ステップＳ２０９）。

第２の抽出部３８ｂは、全てのＵＲＬを抽出したと判定しなかった場合（ステップＳ２０９、Ｎｏ）、次に優先度の高いＵＲＬ群を選択し（ステップＳ２１０）、ステップＳ２０７に移行する。なお、第２の抽出部３８ｂは、最も優先度の低いＵＲＬ群を選択していた場合には、次に優先度の高いＵＲＬ群として最も優先度の高いＵＲＬ群を選択する。そして、第２の抽出部３８ｂは、全てのＵＲＬを抽出するまで、或いは、所定のＵＲＬ数に達するまで、優先度の高いＵＲＬ群から順に所定のＵＲＬ数以内で上限値までＵＲＬを抽出するステップＳ２０７からステップＳ２０９までの処理を繰り返し実行する。一方、第２の抽出部３８ｂが、全てのＵＲＬを抽出したと判定した場合（ステップＳ２０９、Ｙｅｓ）、処理を終了する。

なお、第１の抽出部３８ａ及び第２の抽出部３８ｂは、既にＵＲＬ一覧として抽出されているＵＲＬを再抽出してもよいし、しなくてもよい。第１の抽出部３８ａ及び第２の抽出部３８ｂは、既に抽出されているＵＲＬを再抽出しない場合には、抽出時にＵＲＬ一覧に抽出済みか否かを確認する。なお、第１の抽出部３８ａ及び第２の抽出部３８ｂは、抽出済みのＵＲＬを抽出した際に、本抽出を１回と計算してもよいし、しなくてもよい。なお、図１５に示す処理において、例えば、既に全ＵＲＬを抽出済みである分析部３４からの抽出を毎回試行してもよいし、前回の試行結果に伴い分析機能３４からの抽出を省略してもよい。

また、上述した実施形態では、情報収集配信サーバ３０は、トラヒックログを種別の異なる手法で解析することで特定されたＵＲＬ群それぞれから、所定のＵＲＬ数のＵＲＬを抽出してＵＲＬ一覧を生成し、生成したＵＲＬ一覧の評価を情報確認サーバ３１に依頼するものとして説明したが実施形態はこれに限定されるものではない。例えば、情報収集配信サーバ３０は、生成したＵＲＬ一覧の評価を情報確認サーバ３１に依頼する処理を実行しなくてもよい。かかる場合、情報収集配信サーバ３０は、外部評価機能連携部４１を有さずに構成されてもよい。そして、情報収集配信サーバ３０は、図１０に示すステップＳ１１からステップＳ１３の処理を実行しなくてもよい。すなわち、情報収集配信サーバ３０は、ＵＲＬ群それぞれに設定された優先度を変更する処理を行わない。

また、情報収集配信サーバ３０は、変更した優先度に基づいて、第１の抽出部３８ａ及び第２の抽出部３８ｂにＵＲＬの抽出処理の実行を指示する処理を実行しなくてもよい。また、情報収集配信サーバ３０は、ＵＲＬ一覧の生成のみが必要である場合、ＵＲＬリスト配布部４０を有さずに構成されてもよい。

また、情報収集配信サーバ３０と、情報確認サーバ３１とが一体化されて構成されてもよい。

（第２の実施形態）
さて、これまで本発明の実施形態について説明したが、本発明は上述した実施形態以外にも、その他の実施形態にて実施されてもよい。そこで、以下では、その他の実施形態を示す。

（システム構成）
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上述の文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については（例えば、図１〜図１５）、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。

（プログラム）
また、上記第１の実施形態に係る情報収集配信サーバ３０が実行する処理をコンピュータが実行可能な言語で記述したＵＲＬ選定プログラムを生成することもできる。この場合、コンピュータがＵＲＬ選定プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるＵＲＬ選定プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたＵＲＬ選定プログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、図２などに示した情報収集配信サーバ３０と同様の機能を実現するＵＲＬ選定プログラムを実行するコンピュータの一例を説明する。

図１６は、ＵＲＬ選定プログラムを実行するコンピュータ１０００を示す図である。図１６に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）などのブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスクなどの着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。

ここで、図１６に示すように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明したＵＲＬ選定プログラムは、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。

また、ＵＲＬ選定プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した第１の抽出部３８ａと同様の情報処理を実行する第１の抽出手順と、第２の抽出部３８ｂと同様の情報処理を実行する第２の抽出手順とが記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。或いは、上記実施形態で説明した第１の抽出部３８ａと同様の情報処理を実行する第１の抽出手順と、第２の抽出部３８ｂと同様の情報処理を実行する第２の抽出手順と、優先度変更部４１ｂと同様の情報処理を実行する優先度変更手順と、ＵＲＬ一覧更新指示部４１ｃと同様の情報処理を実行するＵＲＬ一覧更新指示手順とが記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。

また、ＵＲＬ選定プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。

なお、ＵＲＬ選定プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１などを介してＣＰＵ１０２０によって読み出されてもよい。あるいは、ＵＲＬ選定プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide Area Network）などのネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

（その他）
なお、本実施形態で説明したＵＲＬ選定プログラムは、インターネットなどのネットワークを介して配布することができる。また、特定プログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

１〜５ ネットワーク
６〜１３ パケット転送部
１４ 囮サーバ
１５ 囮端末
１６ 端末型サンドボックス
１７ サーバ型サンドボックス
１８〜１９ ユーザサーバ
２０〜２１ ユーザ端末
２２〜２４ 通信監視部
２５ 端末用攻撃検知ソフトウェア
２６ サーバ用攻撃検知ソフトウェア
２７ 攻撃者端末
２８ マルウェア配布サーバ
２９ 悪性サーバ
３０ 情報収集配信サーバ
３１ 情報確認サーバ
３２ ログ収集部
３３〜３５ 分析部
３６ ＵＲＬ収集部
３７ 分析機能優先度管理部
３８ ＵＲＬリスト生成部
３８ａ 第１の抽出部
３８ｂ 第２の抽出部
３９ ＵＲＬリスト管理部
４０ ＵＲＬリスト配布部
４１ 外部評価機能連携部
４１ａ 受信部
４１ｂ 優先度変更部
４１ｃ ＵＲＬ一覧更新指示部
１０１ 分析機能優先度管理テーブル
１０００ コンピュータ
１０１０ メモリ
１０１１ ＲＯＭ
１０１２ ＲＡＭ
１０２０ ＣＰＵ
１０３０ ハードディスクドライブインタフェース
１０３１ ハードディスクドライブ
１０４０ ディスクドライブインタフェース
１０４１ ディスクドライブ
１０５０ シリアルポートインタフェース
１０５１ マウス
１０５２ キーボード
１０６０ ビデオアダプタ
１０６１ ディスプレイ
１０７０ ネットワークインタフェース
１０８０ バス
１０９１ ＯＳ
１０９２ アプリケーションプログラム
１０９３ プログラムモジュール
１０９４ プログラムデータ

Claims (9)

1. ＵＲＬ選定装置で実行されるＵＲＬ選定方法であって、
   トラヒックログを種別の異なる手法で解析することで特定されたＵＲＬ群それぞれから、前記ＵＲＬ群それぞれに設定された優先度の順に、ＵＲＬ数の総数が所定のＵＲＬ数以内であって前記ＵＲＬ群それぞれに設定されたＵＲＬ数の上限値までＵＲＬを抽出する第１の抽出工程と、
   前記第１の抽出工程においてＵＲＬ群それぞれから抽出したＵＲＬの総数が前記所定のＵＲＬ数に満たない場合、前記優先度に基づいて、前記所定のＵＲＬ数以内でＵＲＬを更に抽出する第２の抽出工程と
   を含んだことを特徴とするＵＲＬ選定方法。
2. 前記第１の抽出工程は、
   前記ＵＲＬ群それぞれから抽出するＵＲＬについて、前記ＵＲＬ群において各ＵＲＬに優先順位を付与されている場合は、当該優先順位に従ってＵＲＬを抽出し、前記ＵＲＬ群において各ＵＲＬに優先順位を付与されていない場合は、所定の順序でＵＲＬを抽出する
   ことを特徴とする請求項１に記載のＵＲＬ選定方法。
3. 前記第２の抽出工程は、
   前記優先度の高いＵＲＬ群から順に前記上限値までＵＲＬを更に抽出する処理を、抽出したＵＲＬの総数が前記所定のＵＲＬ数と一致するまで、又は、前記所定のＵＲＬ数以内で前記ＵＲＬ群に含まれる全ＵＲＬを抽出するまで繰り返す
   ことを特徴とする請求項１又は２に記載のＵＲＬ選定方法。
4. 前記第２の抽出工程は、
   前記優先度の高いＵＲＬ群から順に前記上限値を考慮せずにＵＲＬを更に抽出する処理を、抽出したＵＲＬの総数が前記所定のＵＲＬ数と一致するまで、又は、前記所定のＵＲＬ数以内で前記ＵＲＬ群に含まれる全ＵＲＬを抽出するまで繰り返す
   ことを特徴とする請求項１又は２に記載のＵＲＬ選定方法。
5. 前記第２の抽出工程は、
   前記優先度の高いＵＲＬ群から順に前記上限値までＵＲＬを更に抽出する処理を、抽出したＵＲＬの総数が前記所定のＵＲＬ数と一致するまで、又は、前記所定のＵＲＬ数以内で前記ＵＲＬ群に含まれる全ＵＲＬを抽出するまで繰り返し、
   前記ＵＲＬ群それぞれに設定された優先度を変更する優先度変更工程と、
   変更した前記優先度に基づいて、前記第１の抽出工程及び前記第２の抽出工程にＵＲＬの抽出処理の実行を指示する抽出指示工程と
   を更に含んだことを特徴とする請求項１又は２に記載のＵＲＬ選定方法。
6. 前記第２の抽出工程は、
   前記優先度の高いＵＲＬ群から順に前記上限値を考慮せずにＵＲＬを更に抽出する処理を、抽出したＵＲＬの総数が前記所定のＵＲＬ数と一致するまで、又は、前記所定のＵＲＬ数以内で前記ＵＲＬ群に含まれる全ＵＲＬを抽出するまで繰り返し、
   前記ＵＲＬ群それぞれに設定された優先度を変更する優先度変更工程と、
   変更した前記優先度に基づいて、前記第１の抽出工程及び前記第２の抽出工程にＵＲＬの抽出処理の実行を指示する抽出指示工程と
   を更に含んだことを特徴とする請求項１又は２に記載のＵＲＬ選定方法。
7. 端末装置と、ＵＲＬ選定装置とを有するＵＲＬ選定システムであって、
   前記端末装置は、
   ネットワークにおけるトラヒックログを収集する通信監視部を備え、
   前記ＵＲＬ選定装置は、
   前記通信監視部によって収集されたトラヒックログを種別の異なる手法で解析することで特定されたＵＲＬ群それぞれから、前記ＵＲＬ群それぞれに設定された優先度の順に、ＵＲＬ数の総数が所定のＵＲＬ数以内であって前記ＵＲＬ群それぞれに設定されたＵＲＬ数の上限値までＵＲＬを抽出する第１の抽出部と、
   前記第１の抽出部においてＵＲＬ群それぞれから抽出されたＵＲＬの総数が所定のＵＲＬ数に満たない場合、前記優先度に基づいて、前記所定のＵＲＬ数以内でＵＲＬを更に抽出する第２の抽出部と
   を備えることを特徴とするＵＲＬ選定システム。
8. トラヒックログを種別の異なる手法で解析することで特定されたＵＲＬ群それぞれから、前記ＵＲＬ群それぞれに設定された優先度の順に、ＵＲＬ数の総数が所定のＵＲＬ数以内であって前記ＵＲＬ群それぞれに設定されたＵＲＬ数の上限値までＵＲＬを抽出する第１の抽出部と、
   前記第１の抽出部においてＵＲＬ群それぞれから抽出されたＵＲＬの総数が所定のＵＲＬ数に満たない場合、前記優先度に基づいて、前記所定のＵＲＬ数以内でＵＲＬを更に抽出する第２の抽出部と
   を有することを特徴とするＵＲＬ選定装置。
9. トラヒックログを種別の異なる手法で解析することで特定されたＵＲＬ群それぞれから、前記ＵＲＬ群それぞれに設定された優先度の順に、ＵＲＬ数の総数が所定のＵＲＬ数以内であって前記ＵＲＬ群それぞれに設定されたＵＲＬ数の上限値までＵＲＬを抽出する第１の抽出手順と、
   前記第１の抽出手順においてＵＲＬ群それぞれから抽出したＵＲＬの総数が所定のＵＲＬ数に満たない場合、前記優先度に基づいて、前記所定のＵＲＬ数以内でＵＲＬを更に抽出する第２の抽出手順と
   をコンピュータに実行させるためのＵＲＬ選定プログラム。

Images