(57)【要約】【課題】従来は、ユーザ端末とＷＥＢサイトを提供するサーバ装置との間で行われる通信が異常であるか否かを容易に判断できなかった。【解決手段】送受信情報取得部１００が取得したユーザ端末２とサーバ装置３との間で送受信される情報に関する送受信関連情報を用いて、ユーザ端末とサーバ装置との間の通信が通信の異常を判断するための２以上の異常判断ルールを満たすか否か判断する異常通信判断部１０４と、ルールを満たす異常判断ルールに対応付けられた異常の度合いを示す異常度情報を取得する異常度情報取得部１０５と、異常度情報取得部１０５が取得した異常度情報が示す異常の度合いが、所定の度合いを超えたか否かを判断する異常度判断部１０７と、異常度判断部１０７の判断結果に応じて、異常な通信が行われたことを示す異常通信情報を出力する出力部１０８とを備えた。【選択図】図１
2010146160.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ端末とサーバ装置との間で送受信される情報に関する情報である送受信関連情報を取得する送受信情報取得部と、
通信に関する異常を判断するためのルールであって、異常の度合いを示す情報である異常度情報と対応付けられたルールである２以上の異常判断ルールが格納され得る異常判断ルール格納部と、
前記送受信情報取得部が取得した送受信関連情報を用いて、ユーザ端末とサーバ装置との間の通信が、前記異常判断ルール格納部に格納されている２以上の異常判断ルールを満たすか否かを判断する異常通信判断部と、
前記異常通信判断部が、ルールを満たすと判断した異常判断ルールに対応した異常度情報を取得する異常度情報取得部と、
異常度情報取得部が取得した異常度情報が示す異常の度合いが、所定の度合いを超えたか否かを判断する異常度判断部と、
前記異常度判断部の判断結果に応じて、異常な通信が行われたことを示す情報である異常通信情報を出力する出力部とを備えた通信管理装置。
【請求項２】
前記異常度の範囲を指定する情報である異常度範囲情報と、異常通信情報の１以上の通知先を指定する情報とを対応付けた通知先情報が格納され得る通知情報格納部を更に備え、
前記出力部は、前記異常度情報取得部が取得した異常度情報が示す異常度の範囲を含む異常度範囲情報に対応した通知先情報を、前記通知情報格納部から取得し、当該取得した通知先情報が示す通知先に前記異常通信情報を通知する請求項１記載の通信管理装置。
【請求項３】
前記異常判断ルールは、サーバ装置が提供する同一のＷＥＢサイトに対するアクセスに関するルールである請求項１記載の通信管理装置。
【請求項４】
前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して所定の時間以上ログインしているというルール、および同一のＷＥＢサイトに対して断続的にデータをアップロードしているというルールを含む請求項１から請求項３いずれか記載の通信管理装置。
【請求項５】
前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して所定の時間以上ログインしているというルール、および同一のＷＥＢサイトから断続的にデータをダウンロードしているというルールを含む請求項１から請求項４いずれか記載の通信管理装置。
【請求項６】
前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して所定の時間帯にログインしているというルール、および同一のＷＥＢサイトに対して断続的にデータをアップロードしているというルールを含む請求項１から請求項５いずれか記載の通信管理装置。
【請求項７】
前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して所定の時間帯にログインしているというルール、および同一のＷＥＢサイトから断続的にデータをダウンロードしているというルールを含む請求項１から請求項６いずれか記載の通信管理装置。
【請求項８】
前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して所定の時間以上ログインしているというルール、および同一のＷＥＢサイトに対して所定のタイミングで更新処理を繰り返しているというルールを含む請求項１から請求項７いずれか記載の通信管理装置。
【請求項９】
前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して、所定の期間当たり所定の回数以上アクセスしているというルール、および同一のＷＥＢサイトに対して行われたアクセスのうちの所定の割合よりも多いアクセスの際に、データをアップロードしているというルールを含む請求項１から請求項８いずれか記載の通信管理装置。
【請求項１０】
前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して、所定の期間当たり所定の回数以上アクセスしているというルール、および同一のＷＥＢサイトに対して行われたアクセスのうちの所定の割合よりも多いアクセスの際に、データをダウンロードしているというルールを含む請求項１から請求項９いずれか記載の通信管理装置。
【請求項１１】
不適切なＷＥＢページが含み得るキーワードを示す１以上のキーワード情報が格納され得る不適切キーワード情報格納部を更に備え、
前記異常判断ルール格納部に格納されている異常判断ルールは、前記同一ＷＥＢサイトが、前記キーワード情報が示すキーワードを有するＷＥＢページを含むサイトであるとするルールを更に含む請求項４から請求項１０いずれか記載の通信管理装置。
【請求項１２】
不適切なＷＥＢページを指定する情報である不適切ページ指定情報を受け付ける不適切ページ指定受付部と、
前記不適切ページ指定情報が指定するＷＥＢページの情報を取得する不適切ページ情報取得部と、
前記不適切ページ情報取得部が取得したＷＥＢページの情報から、不適切なＷＥＢページが含み得るキーワードを取得し、当該キーワードを示すキーワード情報を、前記不適切キーワード情報格納部に蓄積する不適切キーワード取得部を更に備えた請求項１１記載の通信管理装置。
【請求項１３】
前記キーワード情報は、前記異常度情報と対応付けられており、
前記異常度情報取得部は、前記異常通信判断部が前記同一ＷＥＢサイトを前記キーワード情報が示すキーワードを有するＷＥＢページを含むサイトであると判断した場合、当該キーワード情報に対応付けられた異常度情報を取得する請求項１２記載の通信管理装置。
【請求項１４】
前記出力部が出力する異常通信情報は、異常な通信を行ったユーザ端末に関する情報、異常な通信の通信先のＷＥＢサイトに関する情報、異常な通信の開始時間の情報、または、異常な通信の内容に関する情報を含む請求項１から請求項１３いずれか記載の通信管理装置。
【請求項１５】
送受信情報取得部と、通信に関する異常を判断するためのルールであって、異常の度合いを示す情報である異常度情報と対応付けられたルールである２以上の異常判断ルールが格納され得る異常判断ルール格納部と、異常通信判断部と、異常度情報取得部と、異常度判断部と、出力部とを用いて行われる通信管理方法であって、
前記送受信情報取得部が、ユーザ端末とサーバ装置との間で送受信される情報に関する情報である送受信関連情報を取得する送受信情報取得ステップと、
異常通信判断部が、前記送受信情報取得ステップで取得した送受信関連情報を用いて、ユーザ端末とサーバ装置との間の通信が、前記異常判断ルール格納部に格納されている２以上の異常判断ルールを満たすか否かを判断する異常通信判断ステップと、
前記異常度情報取得部が、前記異常通信判断ステップで、ルールを満たすと判断した異常判断ルールに対応した異常度情報を取得する異常度情報取得ステップと、
前記異常度判断部が、前記異常度情報取得ステップで取得した異常度情報が示す異常の度合いが、所定の度合いを超えたか否かを判断する異常度判断ステップと、
前記出力部が、前記異常度判断ステップの判断結果に応じて、異常な通信が行われたことを示す情報である異常通信情報を出力する出力ステップとを備えた通信管理方法。
【請求項１６】
コンピュータを、
ユーザ端末とサーバ装置との間で送受信される情報に関する情報である送受信関連情報を取得する送受信情報取得部と、
前記送受信情報取得部が取得した送受信関連情報を用いて、ユーザ端末とサーバ装置との間の通信が、格納されている通信に関する異常を判断するためのルールであって、異常の度合いを示す情報である異常度情報と対応付けられたルールである２以上の異常判断ルールを満たすか否かを判断する異常通信判断部と、
前記異常通信判断部が、ルールを満たすと判断した異常判断ルールに対応した異常度情報を取得する異常度情報取得部と、
異常度情報取得部が取得した異常度情報が示す異常の度合いが、所定の度合いを超えたか否かを判断する異常度判断部と、
前記異常度判断部の判断結果に応じて、異常な通信が行われたことを示す情報である異常通信情報を出力する出力部として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザが利用するユーザ端末と、ＷＥＢサイト等のサーバ装置との通信を管理する通信管理装置等に関するものである。
【背景技術】
【０００２】
従来、企業等の組織内のユーザ端末から、インターネット等のネットワーク等を介して外部のＷＥＢサーバに対して行われたアクセスについてのアクセスログを収集するアクセスログ収集システム等が知られていた（例えば、特許文献１参照）。
【特許文献１】特開２００３−１４０９９０号公報（第１頁、第１図等）
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、従来の技術においては、ユーザ端末とサーバ装置との間で行われる通信が正常なものであるか否かを、容易に判断することが非常に困難であるという課題があった。例えば、企業等において、社員が利用するユーザ端末があるＷＥＢサイトにアクセスしている場合に、そのアクセスが業務中に許可されるべきものであるか否かを容易に判断することができない、という課題があった。例えば、ユーザ端末からのアクセスが適切なものであるか否かを判断するためには、通信を管理する管理者等が、ユーザ端末のアクセスログ等を見て、ユーザ端末がアクセスしたＷＥＢサイトに実際にアクセスして、そのＷＥＢサイトが業務中のアクセスに適切したものであるか否かを、確認する必要等があった。
【課題を解決するための手段】
【０００４】
本発明の通信管理装置は、ユーザ端末とサーバ装置との間で送受信される情報に関する情報である送受信関連情報を取得する送受信情報取得部と、通信に関する異常を判断するためのルールであって、異常の度合いを示す情報である異常度情報と対応付けられたルールである２以上の異常判断ルールが格納され得る異常判断ルール格納部と、前記送受信情報取得部が取得した送受信関連情報を用いて、ユーザ端末とサーバ装置との間の通信が、前記異常判断ルール格納部に格納されている２以上の異常判断ルールを満たすか否かを判断する異常通信判断部と、前記異常通信判断部が、ルールを満たすと判断した異常判断ルールに対応した異常度情報を取得する異常度情報取得部と、異常度情報取得部が取得した異常度情報が示す異常の度合いが、所定の度合いを超えたか否かを判断する異常度判断部と、前記異常度判断部の判断結果に応じて、異常な通信が行われたことを示す情報である異常通信情報を出力する出力部とを備えた通信管理装置である。
【０００５】
かかる構成により、ユーザ端末とサーバ装置との間で行われる通信が異常なものであるか否かを、容易に判断することが可能となる。
【０００６】
また、本発明の通信管理装置は、前記通信管理装置において、前記異常度の範囲を指定する情報である異常度範囲情報と、異常通信情報の１以上の通知先を指定する情報とを対応付けた通知先情報が格納され得る通知情報格納部を更に備え、前記出力部は、前記異常度情報取得部が取得した異常度情報が示す異常度の範囲を含む異常度範囲情報に対応した通知先情報を、前記通知情報格納部から取得し、当該取得した通知先情報が示す通知先に前記異常通信情報を通知する通信管理装置である。
【０００７】
かかる構成により、異常の度合いに応じた適切な通知先に、異常な通信が行われたことを通知することができる。
【０００８】
また、本発明の通信管理装置は、前記通信管理装置において、前記異常判断ルールは、同一のＷＥＢサイトに対するアクセスに関するルールである通信管理装置である。
【０００９】
かかる構成により、ユーザ端末とＷＥＢサイトとの間で行われる通信が異常なものであるか否かを、容易に判断することが可能となる。
【００１０】
また、本発明の通信管理装置は、前記通信管理装置において、前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して所定の時間以上ログインしているというルール、および同一のＷＥＢサイトに対して断続的にデータをアップロードしているというルールを含む通信管理装置である。
【００１１】
かかる構成により、ユーザ端末から、異常なデータのアップロードが行われているか否かを判断して、ＷＥＢサイトとの間で行われる通信が異常なものであるか否かを、容易に判断することが可能となる。例えば、企業等においては、業務に関係のないデータが特定のＷＥＢサイトにアップロードされている可能性や、企業内の情報が特定のＷＥＢサイトに漏洩している可能性等を検出することが可能となる。
【００１２】
また、本発明の通信管理装置は、前記通信管理装置において、前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して所定の時間以上ログインしているというルール、および同一のＷＥＢサイトから断続的にデータをダウンロードしているというルールを含む通信管理装置である。
【００１３】
かかる構成により、ユーザ端末から、異常なデータのダウンロードが行われているか否かを判断して、ＷＥＢサイトとの間で行われる通信が異常なものであるか否かを、容易に判断することが可能となる。例えば、企業等において、ユーザが、業務に関係のないデータを特定のＷＥＢサイトからダウンロードしている可能性等を検出することが可能となる。
【００１４】
また、本発明の通信管理装置は、前記通信管理装置において、前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して所定の時間帯にログインしているというルール、および同一のＷＥＢサイトに対して断続的にデータをアップロードしているというルールを含む通信管理装置である。
【００１５】
かかる構成により、ユーザ端末から、異常なデータのアップロードが行われているか否かを判断して、ＷＥＢサイトとの間で行われる通信が異常なものであるか否かを、容易に判断することが可能となる。例えば、企業等において、通常の業務時間以外の時間、例えば夜間に、データが特定のＷＥＢサイトに何度もアップロードされている場合に、ユーザが、業務と関係なく、例えば私用で、データのアップロードを行っていること等を検出することが可能となる。
【００１６】
また、本発明の通信管理装置は、前記通信管理装置において、前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して所定の時間帯にログインしているというルール、および同一のＷＥＢサイトから断続的にデータをダウンロードしているというルールを含む通信管理装置である。
【００１７】
かかる構成により、ユーザ端末から、異常なデータのダウンロードが行われているか否かを判断して、ＷＥＢサイトとの間で行われる通信が異常なものであるか否かを、容易に判断することが可能となる。例えば、企業等において、通常の業務時間以外の時間、例えば夜間に、データが特定のＷＥＢサイトから何度もダウンロードしている場合に、ユーザが、業務と関係なく、例えば私用でデータのダウンロードを行っていること等を検出することが可能となる。
【００１８】
また、本発明の通信管理装置は、前記通信管理装置において、前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して所定の時間以上ログインしているというルール、および同一のＷＥＢサイトに対して所定のタイミングで更新処理を繰り返しているというルールを含む通信管理装置である。
【００１９】
かかる構成により、ユーザ端末から、更新が不必要に行われているか否かを判断して、ＷＥＢサイトとの間で行われる通信が異常なものであるか否かを、容易に判断することが可能となる。例えば、企業等においては、一のＷＥＢページを繰り返し更新しながら、長時間閲覧することはあまりないため、このような状況を検出することで、異常を判断することが可能となる。
【００２０】
また、本発明の通信管理装置は、前記通信管理装置において、前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して、所定の期間当たり所定の回数以上アクセスしているというルール、および同一のＷＥＢサイトに対して行われたアクセスのうちの所定の割合よりも多いアクセスの際に、データをアップロードしているというルールを含む通信管理装置である。
【００２１】
かかる構成により、アクセス回数に対するアップロードの割合が高い場合に、異常な通信が行われていることが判断可能である。例えば、通常、ＷＥＢサイトの利用においては、データをアップロードする回数は、ＷＥＢページを閲覧する回数に比べて非常に少ないため、このような割合によって、異常なアップロードが行われていることを検出することができる。
【００２２】
また、本発明の通信管理装置は、前記通信管理装置において、前記異常判断ルール格納部に格納されている異常判断ルールは、同一ＷＥＢサイトに対して、所定の期間当たり所定の回数以上アクセスしているというルール、および同一のＷＥＢサイトに対して行われたアクセスのうちの所定の割合よりも多いアクセスの際に、データをダウンロードしているというルールを含む通信管理装置である。
【００２３】
かかる構成により、アクセス回数に対するダウンロードの割合が高い場合に、異常な通信が行われていることが判断可能である。例えば、通常、ＷＥＢサイトの利用においては、データをダウンロードする回数は、ＷＥＢページを閲覧する回数に比べて非常に少ないため、このような割合によって、異常なダウンロードが行われていることを検出することができる。
【００２４】
また、本発明の通信管理装置は、前記通信管理装置において、不適切なＷＥＢページが含み得るキーワードを示す１以上のキーワード情報が格納され得る不適切キーワード情報格納部を更に備え、前記異常判断ルール格納部に格納されている異常判断ルールは、前記同一ＷＥＢサイトが、前記キーワード情報が示すキーワードを有するＷＥＢページを含むサイトであるとするルールを更に含む通信管理装置である。
【００２５】
かかる構成により、予め指定されたキーワードを含むＷＥＢページにより構成されるＷＥＢサイトに対する通信だけを、異常な通信の判断対象とすることができる。
【００２６】
また、本発明の通信管理装置は、前記通信管理装置において、不適切なＷＥＢページを指定する情報である不適切ページ指定情報を受け付ける不適切ページ指定受付部と、前記不適切ページ指定情報が指定するＷＥＢページの情報を取得する不適切ページ情報取得部と、前記不適切ページ情報取得部が取得したＷＥＢページの情報から、不適切なＷＥＢページが含み得るキーワードを取得し、当該キーワードを示すキーワード情報を、前記不適切キーワード情報格納部に蓄積する不適切キーワード取得部を更に備えた通信管理装置である。
【００２７】
かかる構成により、不適切なＷＥＢサイトを判断するためのキーワード情報を、追加していくことが可能となる。
【００２８】
また、本発明の通信管理装置は、前記通信管理装置において、前記キーワード情報は、前記異常度情報と対応付けられており、前記異常度情報取得部は、前記異常通信判断部が前記同一ＷＥＢサイトを前記キーワード情報が示すキーワードを有するＷＥＢページを含むサイトであると判断した場合、当該キーワード情報に対応付けられた異常度情報を取得する通信管理装置である。
【００２９】
かかる構成により、異常な通信が行われた場合、ＷＥＢページに含まれるキーワード情報に応じて、当該通信の異常度を決めることができる。
【００３０】
また、本発明の通信管理装置は、前記通信管理装置において、前記出力部が出力する異常通信情報は、異常な通信を行ったユーザ端末に関する情報、異常な通信の通信先のＷＥＢサイトに関する情報、異常な通信の開始時間の情報、または、異常な通信の内容に関する情報を含む通信管理装置である。
【００３１】
かかる構成により、異常の詳細を通知することができる。
【発明の効果】
【００３２】
本発明による通信管理装置等によれば、ユーザ端末とサーバ装置との間で行われる通信が異常なものであるか否かを、容易に判断することが可能となる。
【発明を実施するための最良の形態】
【００３３】
以下、通信管理装置等の実施形態について図面を参照して説明する。なお、実施の形態において同じ符号を付した構成要素は同様の動作を行うので、再度の説明を省略する場合がある。
【００３４】
（実施の形態）
図１は、本実施の形態における情報処理システムのブロック図である。情報処理システム１０は、通信管理装置１、一以上のユーザ端末２、一以上のサーバ装置３を備えている。
【００３５】
一以上のユーザ端末２および一以上のサーバ装置３は、それぞれ、通信回線やネットワーク等を介して、情報の送受信が可能となるよう接続されている。ネットワークは、例えば、インターネットや、無線や有線のＬＡＮ等のネットワークである。ただし、各装置間の接続方法は問わない。また、情報の送受信の手段は、通信手段でも、放送手段等でも良い。また、通信に用いられるプロトコル等は問わない。
【００３６】
通信管理装置１は、ユーザ端末２とサーバ装置３との間でネットワーク等を介して送受信される情報を取得可能となるように配置される。例えば、通信管理装置１を、ユーザ端末２が接続されるルータやハブ等の集線装置や中継装置、あるいはファイアウォール装置等と接続するようにし、これらの装置に入出力される情報を取得、例えば受信するようにしても良い。また、ユーザ端末２とサーバ装置３との間のネットワークや通信回線に、いわゆるパケットキャプチャ装置または同等の機能を有する装置（図示せず）、例えばファイアウォール装置やＩＤＳ（不正侵入検知システム）やＩＰＳ（侵入防止システム）等を設け、当該パケットキャプチャ装置等が取得し、出力するパケット等を、通信管理装置１が受信できるようにしても良い。また、ユーザ端末２と、通信回線やネットワークとの間に、通信管理装置１を介在させ、ユーザ端末２からサーバ装置３に対して送信される情報が、一旦通信管理装置１に入力され、入力されたデータを、通信管理装置１が通信回線やネットワークに送信するようにしてもよい。この場合、サーバ装置３から送信される情報を、一旦通信管理装置１が受信し、受信した情報を、ユーザ端末２に送信するようにする。なお、１以上のユーザ端末２とネットワークとの間には、いわゆるイントラネット用のサーバ等が設けられていても良いことは言うまでもない。また、ネットワークは様々なＷＥＢページ等のコンテンツ等の情報を提供するサーバ装置３以外に、図示していないＤＮＳサーバ等の他の装置を備えていても良い。なお、通信管理装置１は、後述するユーザ端末２内に設けられていても良い。
【００３７】
ユーザ端末２は、例えば一の組織内の構成員であるユーザが利用する情報処理端末である。情報処理端末は、例えば、ネットワーク接続が可能であって、サーバ装置３から送信される情報を出力可能な装置である。情報処理端末は、例えば、コンピュータや、携帯電話や、ＰＤＡ等である。一の組織とは、例えば、企業や、団体等である。ユーザ端末２の利用時には、通常、ユーザの識別情報等を用いて、ログインが行われる。ユーザ端末２は、例えばＷＥＢブラウザ等のサーバ装置３が提供可能な情報、例えばＷＥＢページ等にアクセスして閲覧可能なソフトウェアを実行可能なものである。ＷＥＢページとは、例えば、ＷＷＷ（Ｗｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ）システム等で提供される文書等の情報である。ＷＥＢページは、例えば、テキストデータやＨＴＭＬ（ＨｙｐｅｒＴｅｘｔ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）データによるレイアウト情報、文書中に埋め込まれた画像や音声、動画などから構成される。また、一以上のＷＥＢページや、当該ＷＥＢページに関連付けられた情報等の集合体等をＷＥＢサイトと呼ぶ。ＷＥＢページに関連付けられた情報は、例えばＷＥＢページからダウンロード可能な情報等である。ユーザ端末２はインターネットを介してサーバ装置３と接続され、ユーザが、例えば、ユーザ端末２のＷＥＢブラウザ等に、所定のサーバ装置３が提供可能な所定の情報を表示する指示を与えると、ユーザ端末２は、所定のサーバ装置３に、所定の情報を要求する指示をインターネットなどのネットワークを通じて送信する。そして、この要求に応じて所定のサーバ装置３が送信する所定の情報を受信し、ＷＥＢブラウザ等に出力（例えば表示）する。ユーザ端末２同士は、例えばローカルなネットワーク等で接続されていても良い。なお、このようなユーザ端末２の構成については、公知技術であるので、詳細な説明は省略する。
【００３８】
サーバ装置３は、ユーザ端末２等に、自装置の持っている機能やデータを提供する装置である。サーバ装置３は、例えば、コンピュータにより実現可能である。サーバ装置３は、具体的には、ＷＥＢサイトを提供するサーバ装置である。サーバ装置３は、具体的にはいわゆるＷＥＢサーバである。なお、ＷＥＢページを提供可能、例えば送信可能なサーバであれば、ここでは、ＷＥＢサーバと考える。サーバ装置３は、例えば、ＨＴＭＬデータや画像等により構成されるＷＥＢページを出力するための情報を蓄積しておき、ＷＥＢブラウザなどのユーザ端末２で実行されるソフトウェアの要求に応じて、インターネットなどのネットワークを通じて、これらの情報をユーザ端末２に送信する。なお、このようなサーバ装置３の構成については、公知技術であるので、詳細な説明は省略する。
【００３９】
図２は、本実施の形態における通信管理装置１のブロック図である。
【００４０】
通信管理装置１は、送受信情報取得部１００、取得情報格納部１０１、異常判断ルール格納部１０２、不適切キーワード情報格納部１０３、異常通信判断部１０４、異常度情報取得部１０５、異常度情報格納部１０６、異常度判断部１０７、出力部１０８、通知情報格納部１０９、不適切ページ指定受付部１１０、不適切ページ情報取得部１１１、及び不適切キーワード取得部１１２を備えている。
【００４１】
送受信情報取得部１００は、一以上のユーザ端末２と一以上のサーバ装置３との間で送受信される情報に関する情報である送受信関連情報を取得する。送受信関連情報は、例えば、送受信の対象となる情報そのもの、例えば情報の送信を要求する情報や、当該要求に応じて送受信されるＨＴＭＬファイルや実行ファイル等の情報そのものであっても良い。また、送受信の対象となる情報に付加されるいわゆるヘッダ情報等であっても良い。また、例えば、ファイル名やＵＲＬ等の送受信されたＷＥＢページの情報を識別するための情報や、当該ＷＥＢページにより構成されるＷＥＢサイトを識別するための情報（例えばサイト名やドメイン名やサブドメイン名）や、送受信を行うユーザ端末２やサーバ装置３のＩＰアドレスやＵＲＬ等の、ユーザ端末２やサーバ装置３の送受信先を識別可能な情報である送受信先識別情報を有していても良い。また、送受信関連情報は、情報の送受信の開始や終了の時刻を示す情報や、送受信されている時間や、接続時間の情報等の時間に関する情報である時間関連情報を有していてもよい。また、送受信を行うユーザ端末２を操作するユーザのユーザ識別情報を取得しても良い。ユーザ識別情報は、例えばユーザ名や、ユーザの社員番号等である。また、送受信を行うサーバ装置３の識別情報等を取得しても良い。また、送受信されるデータサイズやデータ形式等のデータの属性を示すデータ属性情報等を含んでも良い。送受信関連情報は、送受信がどのような接続やプロトコルで行われたか等の接続状況を示す情報やデータが送受信されるポート番号等の通信の属性に関する情報である通信属性情報を含んでいても良い。これらの情報は、例えば送受信される情報を構成するヘッダ情報や送受信の対象となる情報等から取得可能である。また、送受信情報取得部１００は、当該送受信情報取得部１００が図示しない時計等から取得した、送受信関連情報を取得した時刻の情報も、送受信関連情報の一つとして取得しても良い。なお、時刻の情報は、正確性を保つことが好ましい。このため、時刻情報を時計等から取得する代わりに、好ましくは、送受信情報取得部１００や通信管理装置１の時刻情報を取得するための取得部（図示せず）等が、定期的に正確な時刻情報をＮＴＰ（Ｎｅｔｗｏｒｋ  Ｔｉｍｅ  Ｐｒｏｔｏｃｏｌ）サーバ（図示せず）等から取得するようにしても良い。また、送受信関連情報は、ユーザ端末２やサーバ装置３や図示しないパケットキャプチャリング装置や中継装置等が取得した、上記と同様の送受信される情報に関する情報のいずれかを含む情報、いわゆる履歴情報等であっても良い。履歴情報は、例えば、いわゆるログファイル等を含む概念である。例えば、ユーザ端末２やサーバ装置３が、上記と同様のそれぞれの装置が送受信した情報に関する情報、例えばファイル名等の送信した情報を識別する情報や、送信先の情報や、送信時刻の時刻や、接続時間の情報等を、履歴情報としてそれぞれ取得するようにし、送受信情報取得部１００は、ユーザ端末２やサーバ装置３が取得した履歴情報を、送受信関連情報として取得するようにしてもよい。送受信情報取得部１００は、例えば、一以上のユーザ端末２と一以上のサーバ装置３とが接続されているネットワー��や通信回線と接続され、ユーザ端末２とサーバ装置３との間でネットワークや通信回線等を介して送受信される情報を受信する。例えば、送受信情報取得部１００は、一以上のユーザ端末２と一以上のサーバ装置３との間でパケット化されて送受信される情報を取得する。また、例えば、ユーザ端末２やサーバ装置３等が作成し送信する履歴情報を取得しても良い。送受信情報取得部１００がネットワークや通信回線と接続される形態等は問わない。また、送受信情報取得部１００は、例えば、一以上のユーザ端末２と通信回線やインターネット等の間に設けられているルータやハブ等の中継装置や集線装置や分岐装置、ファイアフォール装置等と接続され、これらの装置が受信するユーザ端末２とサーバ装置３との間で送受信される情報に関する情報を取得しても良い。また、ユーザ端末２とローカルなネットワークで接続されるようにし、ユーザ端末２が送信するサーバ装置３との間で行われた情報の送受信の履歴情報を受信しても良い。送受信情報取得部１００が情報を取得する処理や構成等は、例えば、パケットキャプチャリング等の技術として公知である。あるいは、送受信情報取得部１００は、図示しないパケットキャプチャリング装置等が取得した送受信関連情報を取得しても良い。なお、ここでは例として、送受信情報取得部１００が取得した送受信関連情報が、後述する取得情報格納部１０１等に蓄積される場合について説明する。送受信情報取得部１００は、例えば、有線や無線の通信手段等により実現可能である。また、ユーザ端末２とサーバ装置３との間で送受信される情報から必要な情報を取得するための処理を実行するためのＭＰＵやメモリ等を有していても良い。
【００４２】
なお、ここでは、上述した一以上のＷＥＢページや、当該ＷＥＢページに関連付けられた情報等の集合体等をＷＥＢサイトと考える。例えば、ＷＥＢサイトを、一または関連する複数のドメイン名により管理される複数のＷＥＢページ等の情報の集まりと考えても良い。また、一のＷＥＢページを、一のＷＥＢサイトと考えるようにしても良い。また、ＷＥＢサイト内の一のＷＥＢページ内に設けられたリンク等を辿ってダウンロード可能な情報も同じＷＥＢサイト内の情報と考えるようにしても良い。また、ＷＥＢサイトを構成するＷＥＢページ等の情報は、サーバ装置３内に格納され、サーバ装置３により提供される。一のＷＥＢサイトは一または複数のサーバ装置３により提供される。また、一のサーバ装置３により複数のＷＥＢサイトが提供されても良い。なお、一のＷＥＢサイトを一のサーバ装置３と考えるようにしても良い。
【００４３】
取得情報格納部１０１には、送受信情報取得部１００が取得した送受信関連情報が格納される。取得情報格納部１０１は、不揮発性の記録媒体でも、揮発性の記録媒体でも良い。
【００４４】
異常判断ルール格納部１０２には、通信に関する異常を判断するためのルールであって、異常の度合いを示す情報である異常度情報と対応付けられたルールである２以上の異常判断ルールが格納され得る。例えば、異常判断ルール格納部１０２には、異常判断ルールと異常度情報とが対応付けられて蓄積される。異常度情報は、異常の度合いを、例えば値で与える情報であっても良いし、度合いと対応付けられた文字列、例えば「大」、「小」や、「重度」、「軽度」等で与える情報であっても良い。ここで述べるルールとは、判断を行うための条件、あるいは条件を定義する情報と考えてもよい。異常判断ルールは、例えば、同一のＷＥＢサイトに対するアクセスに関する異常を検出するためのルールであるである。後述する異常通信判断部１０４は、例えば、格納されている複数の異常判断ルールのうちの２以上の異常判断ルールと送受信関連情報とを用いて、異常な通信が行われたか否かを判断する。異常判断ルールは、結果的に通信に関する異常を判断することが可能なルールであればよく、例えば、異常判断ルールは、通信が正常に行われていることを判断するルールであっても良い。ただし、このような場合、その後の判断処理等は、結果的に同様の判断が下せるよう適宜変更するものとする。異常判断ルール格納部１０２に格納されている複数の異常判断ルールのうちの、後述する異常通信判断部１０４が異常な通信が行われたか否かの判断に用いる２以上の異常判断ルール同士は、互いに対応付けられて対や組を構成していると考えても良い。以下、ここでは、二以上の異常判断ルールにより構成されるグループを、ルール組と称す。
【００４５】
異常判断ルール格納部１０２に格納される２以上の異常判断ルールは、例えば、同一ＷＥＢサイトに対して所定の時間以上ログインしているという第一ルール、および同一のＷＥＢサイトに対して断続的にデータをアップロードしているという第二ルールを含んでもよい（以下、この２つの異常判断ルールを第一のルール組と称す）。
【００４６】
また、２以上の異常判断ルールは、例えば、同一ＷＥＢサイトに対して所定の時間帯にログインしているという第一ルール、および同一のＷＥＢサイトに対して断続的にデータをアップロードしているという第二ルールを含んでもよい（以下、この２つの異常判断ルールを第二のルール組と称す）。所定の時間帯とは、例えば、ユーザによるログインが好ましくない時間帯等である。具体的には、夜間や、休日等である。
【００４７】
また、２以上の異常判断ルールは、例えば、同一ＷＥＢサイトに対して所定の時間帯にログインしているという第一ルール、および同一のＷＥＢサイトに対して断続的にデータをアップロードしているという第二ルールを含んでもよい（以下、この２つの異常判断ルールを第三のルール組と称す）。
【００４８】
また、２以上の異常判断ルールは、例えば、同一ＷＥＢサイトに対して所定の時間帯にログインしているという第一ルール、および同一のＷＥＢサイトから断続的にデータをダウンロードしているという第二ルールを含んでもよい（以下、この２つの異常判断ルールを第四のルール組と称す）。
【００４９】
また、２以上の異常判断ルールは、例えば、同一ＷＥＢサイトに対して所定の時間以上ログインしているという第一ルール、および同一のＷＥＢサイトに対して所定のタイミングで更新処理を繰り返しているという第二ルールを含んでもよい（以下、この２つの異常判断ルールを第五のルール組と称す）。
【００５０】
また、２以上の異常判断ルールは、例えば、同一ＷＥＢサイトに対して、所定の期間当たり所定の回数以上アクセスしているという第一ルール、および同一のＷＥＢサイトに対して行われたアクセスのうちの所定の割合よりも多いアクセスの際に、データをアップロードしているという第二ルールを含んでも良い（以下、この２つの異常判断ルールを第六のルール組と称す）。所定の期間とは、例えば、一日当たりや、半日当たり、勤務時間内等の、予め指定された期間を示す。この期間を示す情報は、図示しない記憶媒体等に蓄積されている。
【００５１】
また、２以上の異常判断ルールは、例えば、同一ＷＥＢサイトに対して、所定の期間当たり所定の回数以上アクセスしているという第一ルール、および同一のＷＥＢサイトに対して行われたアクセスのうちの所定の割合よりも多いアクセスの際に、データをダウンロードしているという第二ルールを含んでも良い（以下、この２つの異常判断ルールを第七のルール組と称す）。
【００５２】
なお、上述した二以上の異常判断ルールに加えて、当該二以上の異常判断ルールにおける同一のＷＥＢサイトを、不適切キーワード情報格納部１０３に格納されているキーワード情報が示すキーワードを有するＷＥＢページを含むサイトに限定する異常判断ルールを更に含むようにしても良い。この異常判断ルールをここではキーワード異常ルールと呼ぶ。
【００５３】
なお、ここで述べるＷＥＢサイトに対するアクセスとは、ＷＥＢサイトの情報、例えばＷＥＢページの情報の読み書きを行うことである。ＷＥＢサイトに対して、何らかの情報、例えば、ＷＥＢページの情報の送信を要求する情報やコマンド等を送信すること等もアクセスと考えて良い。また、ＷＥＢサイトから何らかの情報を受信している場合もアクセスと考えても良い。
【００５４】
異常判断ルール格納部１０２に、異常判断ルールが蓄積される過程や、タイミング等は問わない。異常度については後述する。異常判断ルール格納部１０２は、不揮発性の記録媒体が好適であるが、揮発性の記録媒体でも実現可能である。
【００５５】
不適切キーワード情報格納部１０３には、不適切なＷＥＢページが含み得るキーワードを示す１以上のキーワード情報が格納され得る。キーワードは、例えば一文字以上の文字列である。なお、キーワード情報には、後述する異常度が対応付けられていても良い。例えば、キーワード情報は、異常度を示す異常度情報と対応付けられて、キーワード情報に格納されていてもよい。この異常度情報を、異常判断ルールに対応付けられた異常度情報の一つと考えるようにしても良い。不適切キーワード情報格納部１０３に、キーワード情報が蓄積される過程や、タイミング等は問わない。不適切キーワード情報格納部１０３は、不揮発性の記録媒体が好適であるが、揮発性の記録媒体でも実現可能である。
【００５６】
異常通信判断部１０４は、送受信情報取得部１００が取得した送受信関連情報を用いて、ユーザ端末２とサーバ装置３との間の通信が、異常判断ルール格納部１０２に格納されている２以上の異常判断ルールを満たすか否かを判断する。ここで述べる２以上の異常判断のルールとは、異常判断ルール格納部１０２に格納されている異常判断ルールのうちの、管理者等により予め指定された２以上の異常判断のルールである。具体的には、対や組をなす２以上の異常判断のルールである。つまり、異常通信判断部１０４が判断に用いる２以上の異常判断のルールは、３以上の複数の異常判断ルールのうちの、予め指定された２以上の異常判断のルールで構成される組のいずれかであってもよい。異常通信判断部１０４は、例えば、上述したような異常判断ルール格納部１０２に格納されている第一から第七のルール組のいずれかを構成する２以上の異常判断ルールがそれぞれ示すルールを満たすか否かを判断する。さらに、キーワード異常ルールを満たすか否かを判断するようにしても良い。ここでは、具体的には、異常通信判断部１０４は、ユーザ端末２とサーバ装置３との間の通信が、指定された２以上の異常判断ルールの全てを満たすか否かを判断する。異常判断ルールを満たすか否かの判断とは、結果的に同様の判断が可能であれば、異常判断ルールを満たさないか否かの判断も含む概念である。また、異常判断ルールは、判断処理等を適宜変更する（例えば反転させる）ことで結果的に同じ判断が可能であれば、正常な通信が行われたことを判断するためのルールであってもよい。
【００５７】
異常通信判断部１０４が、判断を行うタイミング等は問わない。例えば、送受信情報取得部１００が送受信関連情報を取得するごとに、判断を行うようにしてもよいし、送受信情報取得部１００が、異常判断ルール格納部１０２に蓄積した送受信関連情報を用いて、予め指定された定期または不定期の所定のタイミングで判断を行うようにしても良い。
【００５８】
異常通信判断部１０４は、例えば、送受信情報取得部１００が取得した送受信関連情報を用いて、２以上の異常判断ルールを満たすか否かの判断に用いられる情報である判断用情報を取得する。そして、当該判断用情報が、上述した第一〜第七のルール組のような、２以上の異常判断ルールの両方を満たすか否かの判断を行う。ここで取得する判断用情報は、異常通信判断部１０４が異常な通信の判断を行う際に利用する異常判断ルールに対応した判断用情報である。例えば、どのような判断用情報を取得するかを示す情報が、予め異常判断ルールと対応付けられて異常判断ルール格納部１０２等に格納されていても良い。なお、判断用情報を構成する処理を、異常判断ルールを満たすか否かの判断処理の一部と考えて良い。
【００５９】
異常通信判断部１０４が取得する判断用情報は、例えば、ユーザ端末２がアクセスしているＷＥＢサイトに関する情報である。また、この情報は、当該アクセスを行った時刻に関する情報を含んでいても良い。アクセスしているＷＥＢサイトに関する情報とは、例えば、ユーザ端末２がアクセスしているＷＥＢサイトを識別可能な、ＵＲＬやドメイン名等の情報やサイト名等の識別情報である。異常通信判断部１０４は、例えば、送受信情報取得部１００が取得した、ユーザ端末２からＷＥＢサイトに対して送信される、ＷＥＢページの送信を要求する要求情報等の情報のヘッダ等の情報から、当該ヘッダ等の情報に含まれるＷＥＢサイトを指定する情報、例えばＷＥＢサイトのＵＲＬの情報や、ＷＥＢサイトを管理しているサーバ装置３のＩＰアドレス等のアドレス情報等であるＷＥＢサイトに関する情報を取得する。アクセスを行った時刻の情報は、例えば、送受信情報取得部１００が取得した、ユーザ端末２からＷＥＢサイトに対して送信される、ＷＥＢページの送信を要求する要求情報等の情報のヘッダ等の情報等に含まれる時刻の情報や、ＷＥＢサイトを提供するサーバ装置３からユーザ端末２に送信されるＷＥＢページの情報等の情報のヘッダ等に含まれる時刻の情報等から取得される。あるいは、送受信関連情報に含まれる、ユーザ端末２からＷＥＢサイトに対して送信される情報等を送受信情報取得部１００が取得した時刻の情報や、ＷＥＢサイトを提供するサーバ装置３からユーザ端末２に対して送信される情報等を送受信情報取得部１００が取得した時刻の情報から、アクセスを行った時刻の情報を取得しても良い。
【００６０】
また、異常通信判断部１０４が取得する判断用情報は、例えば、アクセス時間を示す情報である。アクセス時間とは、一のＷＥＢサイトの情報に対して情報の読み書きを開始してから、同一のＷＥＢサイト内での情報の読み書きを終了するまでの時間である。同一のＷＥＢサイトに対して送信した最後の情報を送信した時点を、情報の読み書きが終了した時刻と考えるようにしても良い。例えば、同一のＷＥＢサイトのページＡと、ページＢと、ページＣとに対して、順次、ＷＥＢページを要求する情報を送信したとすると、アクセス時間は、ページＡに対する要求情報の送信時刻から、ページＣに対する要求情報の送信時刻までの時間と考えても良い。あるいは、ＷＥＢサイトが、ユーザによる認証を要求するサイトである場合、ユーザがＷＥＢサイトに認証してログインしてから、認証を解除してログアウトするまでの時間をアクセス時間と考えても良い。アクセス開始時刻や、アクセス終了時刻は、例えば、送受信情報取得部１００が取得した、ユーザ端末２からＷＥＢサイトに対して送信される、ＷＥＢページの送信を要求する要求情報等の情報のヘッダ等の情報等に含まれる時刻の情報や、ＷＥＢサイトを提供するサーバ装置３からユーザ端末２に送信されるＷＥＢページの情報等の情報のヘッダ等に含まれる時刻の情報等から取得される。あるいは、送受信関連情報に含まれる、ユーザ端末２からＷＥＢサイトに対して送信される情報等を送受信情報取得部１００が取得した時刻の情報や、ＷＥＢサイトを提供するサーバ装置３からユーザ端末２に対して送信される情報等を送受信情報取得部１００が取得した時刻の情報から、アクセス開始時刻や、アクセス終了時刻の情報を取得し、当該時刻の情報を用いて、アクセス時間を示す情報を取得しても良い。
【００６１】
また、異常通信判断部１０４が取得する判断用情報は、例えば、ユーザ端末２がＷＥＢサイトから受信する情報に関する情報である。この情報は、ユーザ端末２が当該情報をＷＥＢサイトから受信する時刻に関する情報を含んでいても良い。ここで述べるユーザ端末２が受信する情報とは、特にユーザ端末２がダウンロードした情報と考えても良い。ダウンロードした情報は、例えば、いわゆるプラグイン等の追加機能等を提供するプログラム等を用いなければ、ユーザ端末２においてブラウザ等のＷＥＢ閲覧用のプログラム等でそのまま表示できない情報である。また、ダウンロードした情報は、ＷＥＢ閲覧用のプログラムで表示せずに取得することを指示して取得された情報である。ユーザ端末２が受信した情報に関する情報とは、例えば、ユーザ端末２がＷＥＢサイトから情報をダウンロードしたか否かを示す情報である。例えば、送受信情報取得部１００が、送受信関連情報として送受信される情報のデータタイプ等の情報を取得するようにし、送受信された情報が、予め指定された属性の情報、例えばユーザ端末２がＷＥＢページの閲覧に利用するブラウザでいわゆるプラグイン等を利用せずに、そのまま直接、表示することが可能な情報であるか否かを、データタイプの情報、例えば拡張子等の情報を用いて判断し、表示可能な情報でなければ、ユーザ端末２は、ＷＥＢサイトから情報をダウンロードしたと判断する。そして、ダウンロードしたことを示す判断用情報を取得してもよい。あるいは、送受信情報取得部１００がユーザ端末２とサーバ装置３との間で送受信関連情報として、送受信される情報自身を取得するようにし、当該取得した情報から送受信される情報のデータタイプの情報を送受信関連情報として取得するようにしても良い。そして、送受信関連情報が示す送受信される情報のデータタイプの情報が、予め指定された属性の情報、例えばユーザ端末２がＷＥＢページの閲覧に利用するブラウザでいわゆるプラグイン等を利用せずに、そのまま直接、表示することが可能な情報のものであるか否かを、データタイプの情報、例えば拡張子等の情報を用いて判断し、表示可能な情報でなければ、ユーザ端末２は、ＷＥＢサイトから情報をダウンロードしたと判断する。そして、ダウンロードしたことを示す判断用情報を取得する。
【００６２】
また、ユーザ端末２が受信する情報のヘッダ等を、送受信情報取得部１００が送受信関連情報として取得するようにし、当該取得した送受信関連情報に含まれるポート番号等を取り出し、そのポート番号が、ダウンロードに利用されるポート番号、例えばＦＴＰやストリーミングデータ等のダウンロードに利用されるポート番号であるか否かを判断し、これらのポート番号と一致する場合、ダウンロードしたことを示す判断用情報を取得しても良い。
【００６３】
ユーザ端末２が情報をＷＥＢサイトから受信する時刻に関する判断用情報とは、ＷＥＢサイトを提供するサーバ装置３が、ユーザ端末２がダウンロードする情報等の情報を、ユーザ端末２を送信した時刻の情報であっても良い。また、ＷＥＢサイトから送信される情報をユーザ端末２が受信した時刻の情報等であっても良い。これらの情報は、例えば、送受信情報取得部１００が取得した、サーバ装置３からユーザ端末２に対して送信される情報のヘッダ等の情報や、ユーザ端末２がサーバ装置３に送信する、情報を受信したことを示す情報のヘッダ等から取得可能である。ユーザ端末２が情報をダウンロードしていることを示す情報が送受信情報取得部１００に取得された時刻の情報を、送受信関連情報として送受信情報取得部１００が取得している場合、当該送受信関連情報が示す時刻の情報を、ユーザ端末２が情報をＷＥＢサイトから受信する時刻に関する情報である判断用情報として取得するようにしても良い。
【００６４】
また、異常通信判断部１０４が取得する判断用情報は、例えば、ユーザ端末２がＷＥＢサイトに送信する情報に関する情報であってもよい。また、この情報は、当該情報を送信した時刻に関する情報を含んでいても良い。ここで述べるユーザ端末２が送信する情報とは、特にユーザ端末２がＷＥＢサイトを提供するサーバ装置に、アップロードする情報と考えても良い。アップロードする情報は、例えば、要求情報や命令等の情報を除いた情報、即ち、ＷＥＢサイトにＷＥＢページの情報の送信を要求する情報等を除いた情報と考えても良い。ユーザ端末２が送信した情報に関する情報とは、例えば、ユーザ端末２がＷＥＢサイトに対して情報をアップロードしたか否かを示す情報である。例えば、送受信情報取得部１００が送受信関連情報として、ユーザ端末２とサーバ装置３との間で送受信される情報のデータタイプ等の情報を取得するようにし、異常通信判断部１０４は送受信された情報が要求情報や命令であるか否かをデータタイプ等の情報や情報の内容から判断し、要求情報や命令でなければ、ユーザ端末２がＷＥＢサイトに情報をアップロードしたと判断する。そして、データをアップロードしたことを示す判断用情報を取得してもよい。あるいは、送受信情報取得部１００がユーザ端末２とサーバ装置３との間で送受信関連情報として、送受信される情報自身を取得するようにし、当該取得した情報から送受信される情報のデータタイプの情報を送受信関連情報として取得するようにしても良い。そして、送受信された情報が要求情報や命令であるか否かをデータタイプ等の情報や情報の内容から判断し、要求情報や命令でなければ、ユーザ端末２がＷＥＢサイトに情報をアップロードしたと判断して、データをアップロードしたことを示す判断用情報を取得するようにしてもよい。
【００６５】
また、ユーザ端末２が送信する情報のヘッダ等を、送受信情報取得部１００が送受信関連情報として取得するようにし、当該取得した送受信関連情報に含まれるポート番号等を取り出し、そのポート番号が、アップロードに利用されるポート番号、例えばＦＴＰに利用されるポート番号であるか否かを判断し、これらのポート番号と一致する場合、アップロードしたことを示す判断用情報を取得しても良い。
【００６６】
ユーザ端末２が情報を送信する時刻に関する判断用情報とは、ユーザ端末２が情報を送信した時刻の情報であっても良い。また、この情報は、ＷＥＢサイトを提供するサーバ装置３が送信される情報を受信した時刻の情報等を含んでいても良い。これらの情報は、例えば、送受信情報取得部１００が取得した、ユーザ端末２がサーバ装置３に送信する情報のヘッダ等や、サーバ装置３からユーザ端末２に対して送信される、アップロードされた情報を受信したことを示す情報のヘッダ等の情報から取得可能である。ユーザ端末２が情報をアップロードしていることを示す情報を、送受信情報取得部１００が取得した時刻の情報を、送受信関連情報として送受信情報取得部１００が取得している場合、当該送受信関連情報が示す時刻の情報を、ユーザ端末２が情報をＷＥＢサイトに送信する時刻に関する情報である判断用情報として取得するようにしても良い。
【００６７】
また、異常通信判断部１０４が取得する判断用情報は、例えば、ユーザ端末２がＷＥＢサイトにログインしていることを示す情報であってもよい。ＷＥＢサイトにログインしたか否かは、例えば、送受信関連情報が、ユーザ端末２からログインのためのＩＤやパスワード等の情報を含む情報の送信が行われたことを示しているか否かや、ログアウトのための指示が送信されたか否か等により判断される。あるいは、暗号化された情報が送信された場合や、ログイン等に利用されるＳＳＬ等の特定のポート番号で情報が送信された場合に、ログインしたと判断しても良い。例えば、送受信関連情報が、ユーザ端末２から送信される情報そのものであった場合、当該送受信関連情報内に、「ＩＤ」や「ユーザＩＤ」、「アカウント」等の文字列と関連付けられた情報があるか否かを判断し、ある場合、ログインの情報の送信が行われたと判断するようにしても良い。同様に、ログアウトを命令する情報等が送信された場合に、ログアウトが行われたことを判断しても良い。上述したログインしていることを示す情報とは、例えば、ログインからログアウトまでの時間内であることを示す情報である。例えばログイン開始時刻とログイン終了時刻とを特定可能な情報により構成される情報である。ログインやログアウトを行った時刻の情報は、例えば、送受信情報取得部１００が取得した、ユーザ端末２からＷＥＢサイトに対して送信される、ログインやログアウトを行うための情報のヘッダ等の情報等に含まれる時刻の情報や、ＷＥＢサイトを提供するサーバ装置３からユーザ端末２に送信されるログインやログアウトが成功したことを示す情報のヘッダ等に含まれる時刻の情報等から取得される。あるいは、送受信関連情報に含まれる、ユーザ端末２からＷＥＢサイトに対して送信されるログインやログアウトを行うための等を送受信情報取得部１００が取得した時刻の情報や、ＷＥＢサイトを提供するサーバ装置３からユーザ端末２に対して送信されるログインやログアウトが成功したことを示す情報等を送受信情報取得部１００が取得した時刻の情報から、ログインやログアウトが行われた時刻の情報を取得しても良い。
【００６８】
また、異常通信判断部１０４が取得する判断用情報は、例えば、ユーザ端末２がＷＥＢサイトに送信したＷＥＢページを要求する情報に関する情報である。またこの情報は、当該要求する情報が送信された時刻に関する情報を含んでいても良い。ＷＥＢページを要求することは、ＷＥＢページを表示するための情報を要求することを意味する。ここでは、ＷＥＢページを更新する指示を送信することも、ＷＥＢページを要求する情報を送信したことと考える。ＷＥＢページを要求する情報に関する情報は、要求するＷＥＢサイトやＷＥＢページを指定する情報、例えばＷＥＢサイト識別情報やＷＥＢページ識別情報を含む情報である。例えば、送受信情報取得部１００が送受信関連情報として、ユーザ端末２とサーバ装置３との間で送受信される情報がどのような情報であるかを示す情報を取得する場合、異常通信判断部１０４は、送信された情報がＷＥＢページの送信を要求する情報であるか否かを判断し、送信を要求する情報である場合、送受信関連情報を用いてＷＥＢページを要求する情報に関する情報、例えば送信を要求するＷＥＢページを指定する情報等を取得する。あるいは、送受信情報取得部１００がユーザ端末２とサーバ装置３との間で送受信関連情報として、送受信される情報自身を取得するようにし、当該取得した情報がＷＥＢページを要求する情報であるか否かを判断し、要求する情報である場合、ＷＥＢページを指定する情報等のＷＥＢページを要求する情報に関する情報を取得するようにしても良い。ＷＥＢページを要求する情報が送信された時刻に関する情報については、アクセス時刻の情報を取得する場合と同様であるので、ここでは説明を省略する。
なお、異常通信判断部１０４が、判断用情報を取得する処理は、上記のような処理に限るものではない。また、取得する判断用情報は、上記のような判断用情報に限るものではない。
【００６９】
つぎに、上記のような判断用情報を用いて異常通信判断部１０４が行う、２以上の異常判断ルールの両方を満たすか否かの判断処理について説明する。ここでは、具体例として、判断処理に用いる異常判断ルールとして、上述した第一〜第七のいずれかのルール組に含まれる２以上の異常判断ルールを用いることが、予めユーザ等により指定されており、異常通信判断部１０４が当該指定された異常判断ルールを満たすか否かの判断処理を行う場合について説明する。但し、ここで述べる処理は一例であり、同様の判断が可能であれば、他の判断をおこなっても良い。
【００７０】
（１）第一のルール組が指定されている場合
まず、異常通信判断部１０４は、異常判断ルール格納部１０２に格納されている第一のルール組を構成する、「同一ＷＥＢサイトに対して所定の時間以上ログインしている」という第一ルール、および「同一のＷＥＢサイトに対して断続的にデータをアップロードしている」という第二ルールを取得する。
【００７１】
次に、異常通信判断部１０４は、上述したような、ユーザ端末２からＷＥＢサイトに対してログインしている時間についての判断用情報（以下、ログイン時間判断用情報と称す）と、ユーザ端末２からＷＥＢサイトに対して送信している情報に関する判断用情報（以下、送信情報判断用情報と称す）とを取得する。
【００７２】
そして、異常通信判断部１０４は、ログイン時間判断用情報の中に、上述した第一のルール組の第一ルールが示す条件を満たすようなログイン時間判断用情報が存在するか否かを判断する。即ち、一のＷＥＢサイトに対して所定の時間以上ログインしていることを示すログイン時間判断用情報があるか否かを判断する。なお、第一ルールの所定の時間は、例えば、固定あるいは変動する値が予め指定されているものとする。なお、ここで述べるログインには、例えば予め指定されたＷＥＢサイト、例えば自社のＷＥＢサイトや、場合によってはイントラネット等のサーバへのログインを除外するようにしてもよい。例えば、予め格納されている除外したいＷＥＢサイトのＵＲＬやＩＰアドレス等と、通信先のＵＲＬやＩＰアドレス等とをマッチングすることで、除外したいＷＥＢサイトへのログインを除外できるようにしても良い。かかることは、他のルール等についても同様である。
【００７３】
そして、所定時間以上ログインしていることを示すログイン時間判断用情報が存在する場合、異常通信判断部１０４は、当該ログイン時間判断用情報に対応するユーザ端末２に対応した送信情報判断用情報の中に、上述した第一のルール組の第二ルールが示す条件を満たすようなログイン時間判断用情報が存在するか否かを判断する。即ち、所定時間以上ログインしていると判断されたＷＥＢサイトと同一のＷＥＢサイトをデータの送信先として、データが断続的にアップロードされているか否かを、送信情報判断用情報を用いて判断する。好ましくは、ログインしている時間内にデータが断続的にアップロードされているか否かを判断する。断続的にアップロードとは、連続していないアップロードのことである。予め指定された時間内にアップロードが切れたり続いたりしていることと考えても良い。断続的にアップロードとは、例えば、複数回の情報のアップロードを行ったことを意味すると考えても良い。断続的にアップロードされたか否かは、予め指定された時間内に、予め指定された回数以上、ユーザ端末２から送信されたかを判断することで判断する。例えば、宛先を所定時間以上ログインしていると判断されたＷＥＢサイトのアドレスとして、ＦＴＰに利用されるポート番号を指定して送信された情報が、ログインしている時間内に、予め指定された回数以上、ユーザ端末２から送信されたかを、送信情報判断用情報を用いて判断する。予め指定された回数は固定であっても良いし、ログインしている時間に応じて変化する回数であっても良い。送信された場合、断続的にアップロードされたと判断する。なお、情報の送信が予め指定された時間間隔以内の間隔で送信されている場合も断続的に送信されたと判断しても良い。
【００７４】
このようにして、第一のルール組の第一ルールと第二ルールとの両方を満たしたと判断された場合、結果的に、第一のルール組の異常判断ルールを満たしたと判断されたこととなる。
【００７５】
（２）第二のルール組が指定されている場合
まず、異常通信判断部１０４は、異常判断ルール格納部１０２に格納されている第二のルール組を構成する、「同一ＷＥＢサイトに対して所定の時間以上ログインしている」という第一ルール、および「同一のＷＥＢサイトから断続的にデータをダウンロードしている」という第二ルールを取得する。
【００７６】
次に、異常通信判断部１０４は、上述したログイン時間判断用情報と、ユーザ端末２がＷＥＢサイトから受信する情報に関する情報である判断用情報（以下、受信情報判断用情報と称す）とを取得する。
【００７７】
そして、異常通信判断部１０４は、ログイン時間判断用情報の中に、上述した第二のルール組の第一ルールが示す条件を満たすようなログイン時間判断用情報が存在するか否かを判断する。第二のルール組の第一ルールは、第一のルール組の第一ルールと同様であるため、この判断処理は、第一のルール組の場合と同様である。
【００７８】
そして、所定時間以上ログインしていることを示すログイン時間判断用情報が存在する場合、異常通信判断部１０４は、当該ログイン時間判断用情報に対応するユーザ端末２に対応した送信情報判断用情報の中に、上述した第二のルール組の第二ルールが示す条件を満たすようなログイン時間判断用情報が存在するか否かを判断する。即ち、所定時間以上ログインしていると判断されたＷＥＢサイトと同一のＷＥＢサイトからデータが断続的にダウンロードされているか否かを、受信情報判断用情報を用いて判断する。好ましくは、ログインしている時間内にデータが断続的にダウンロードされているか否かを判断する。断続的にダウンロードとは、例えば、複数回の情報のダウンロードを行ったことを意味する。断続的にダウンロードされたか否かは、予め指定された時間内に、予め指定された回数以上、ＷＥＢサイトからユーザ端末２に情報が送信されたかを判断することで判断する。例えば、送信元を所定時間以上ログインしていると判断されたＷＥＢサイトのアドレスとし、送信先を当該サイトに所定時間ログインしていたユーザ端末２とした情報であって、ＦＴＰに利用されるポート番号を指定して送信された情報を、ユーザ端末２がログインしている時間内に予め指定された回数以上受信したか否かを、受信情報判断用情報を用いて判断する。予め指定された回数は固定であっても良いし、ログインしている時間に応じて変化する回数であっても良い。受信された場合、断続的にダウンロードされたと判断する。なお、情報の送信が予め指定された時間間隔以内の間隔で送信されている場合も断続的に送信されたと判断しても良い。
【００７９】
このようにして、第二のルール組の第一ルールと第二ルールとの両方を満たしたと判断された場合、結果的に、第二のルール組の異常判断ルールを満たしたと判断されたこととなる。
【００８０】
（３）第三のルール組が指定されている場合
異常通信判断部１０４は、異常判断ルール格納部１０２に格納されている第三のルール組を構成する、「同一ＷＥＢサイトに対して所定の時間帯にログインしている」という第一ルール、および「同一のＷＥＢサイトから断続的にデータをアップロードしている」という第二ルールを取得する。
【００８１】
次に、異常通信判断部１０４は、上述したログイン時間判断用情報と、上述した送信情報判断用情報とを取得する。
【００８２】
そして、異常通信判断部１０４は、ログイン時間判断用情報の中に、上述した第三のルール組の第一ルールが示す条件を満たすようなログイン時間判断用情報が存在するか否かを判断する。即ち、ログインされている時間帯が、所定の時間帯であることを示すログイン時間判断用情報が存在するか否かを判断する。所定の時間帯は、例えば、予め指定された時間帯であり、図示しない記憶媒体等に蓄積されているものとする。
【００８３】
存在する場合、上述した第一のルール組の第二ルールを満たすか否かの判断と同様の判断を行うことで、ログインしたユーザが、断続的にデータをアップロードしたか否かの判断を行う。断続的にデータをアップロードしていると判断された場合、第三のルール組の第一ルールと第二ルールとの両方を満たしていることとなる。これにより、結果的に、第三のルール組の異常判断ルールを満たしたと判断されたこととなる。
【００８４】
（４）第四のルール組が指定されている場合
異常通信判断部１０４は、異常判断ルール格納部１０２に格納されている第四のルール組を構成する、「同一ＷＥＢサイトに対して所定の時間帯にログインしている」という第一ルール、および「同一のＷＥＢサイトから断続的にデータをダウンロードしている」という第二ルールを取得する。
【００８５】
次に、異常通信判断部１０４は、上述したログイン時間判断用情報と、上述した受信情報判断用情報とを取得する。
【００８６】
そして、異常通信判断部１０４は、ログイン時間判断用情報の中に、第四のルール組の第一ルールが示す条件を満たすようなログイン時間判断用情報が存在するか否かを判断する。この判断処理は、第三のルール組の場合と同様である。
【００８７】
存在する場合、上述した第二のルール組の第二ルールを満たすか否かの判断と同様の判断を行うことで、ログインしたユーザが、断続的にデータをダウンロードしたか否かの判断を行う。断続的にデータをダウンロードしていると判断された場合、第四のルール組の第一ルールと第二ルールとの両方を満たしていることとなる。これにより、結果的に、第四のルール組の異常判断ルールを満たしたと判断されたこととなる。
【００８８】
（５）第五のルール組が指定されている場合
異常通信判断部１０４は、異常判断ルール格納部１０２に格納されている第五のルール組を構成する、「同一ＷＥＢサイトに対して所定の時間以上ログインしている」という第一ルール、および「同一のＷＥＢサイトに対して所定のタイミングで更新処理を行っている」という第二ルールを取得する。
【００８９】
次に、異常通信判断部１０４は、上述したログイン時間判断用情報と、ユーザ端末２からＷＥＢサイトに対して送信している、ＷＥＢページの送信を要求する情報に関する情報である判断用情報（以下、要求判断用情報と称す）とを取得する。
【００９０】
そして、異常通信判断部１０４は、ログイン時間判断用情報の中に、上述した第五のルール組の第一ルールが示す条件を満たすようなログイン時間判断用情報が存在するか否かを判断する。第五のルール組の第一ルールは、第一のルール組の第一ルールと同様であるため、この判断処理は、第一のルール組の場合と同様である。
【００９１】
次に、所定時間以上ログインしていることを示すログイン時間判断用情報が存在する場合、異常通信判断部１０４は、当該ログイン時間判断用情報に対応するユーザ端末２に対応した要求情報判断用情報の中に、上述した第五のルール組の第二ルールが示す条件を満たすようなログイン時間判断用情報が存在するか否かを判断する。即ち、所定時間以上ログインしていると判断されたＷＥＢサイトと同一のＷＥＢサイトに対し、所定のタイミングで更新処理を行っているか否かを、受信情報判断用情報を用いて判断する。好ましくは、ログインしている時間内に所定のタイミングで更新処理を行っているか否かを判断する。所定のタイミングとは、例えば、予め指定された所定の時間間隔で二回以上繰り返し行われることである。所定の時間間隔は一定であっても不定であっても良い。所定のタイミングで更新処理を行っているか否かは、ＷＥＢページを要求する情報の送信時間に関する情報から、情報が送信された時間間隔を算出することで判断可能である。更新処理とは、例えば、ＷＥＢページのリロードである。更新処理は、同じＷＥＢページのデータを再取得してＷＥＢページを再描画する処理と考えても良い。更新処理を行ったことを判断する方法等は問わない。更新処理を行っているかは、例えば、直前に送信したＷＥＢページの送信を要求する情報と、同じＷＥＢページを要求する情報を送信したか否かにより判断される。具体的には、直前と同じＷＥＢページを要求する情報を送信した場合、更新処理を行ったと判断する。あるいは、更新を要求する情報が送信されたか否かにより判断するようにしても良い。
【００９２】
このようにして、第五のルール組の第一ルールと第二ルールとの両方を満たしたと判断された場合、結果的に、第五のルール組の異常判断ルールを満たしたと判断されたこととなる。
【００９３】
（６）第六のルール組が指定されている場合
異常通信判断部１０４は、異常判断ルール格納部１０２に格納されている第六のルール組を構成する、「同一ＷＥＢサイトに対して所定の期間当たり、所定回数以上アクセスしている」という第一ルール、および「同一のＷＥＢサイトに対して行われたアクセスのうちの所定の割合より多いアクセスの際に、データをアップロードしている」という第二ルールを取得する。
【００９４】
次に、異常通信判断部１０４は、ユーザ端末２がアクセスしているＷＥＢサイトに関する情報である判断用情報（以下、アクセス判断用情報と称す）と、上述した送信情報判断用情報とを取得する。
【００９５】
異常通信判断部１０４は、アクセス判断用情報が示す、アクセス先のＷＥＢサイトのアドレス情報や、アクセスを行った時刻に関する情報を用いて、各ユーザ端末２から、予め指定された所定の期間内に、一のＷＥＢサイトに対して、所定回数以上のアクセスが行われたか否かを判断する。所定の期間は予め指定されているものとする。例えば、同一のＷＥＢサイトに対するアクセス数を、所定の期間の単位で分割することで、所定の期間当たりのアクセス数を算出することが可能である。あるいは、一の所定の期間内のアクセス数をカウントしても良い。所定回数を指定する情報は、いわゆる閾値と考えて良く、その値は、例えば、図示しない記憶部等に予め蓄積されている。
【００９６】
次に、一のＷＥＢサイトに対して、予め指定された所定の期間内に所定回数以上のアクセスが行われたと判断された場合、異常通信判断部１０４は、送信情報判断用情報を用いて、所定回数以上のアクセスを行ったユーザ端末２の通信が、第六のルール組の第二ルールを満たすか否かを判断する。例えば、上述した所定の期間当たりのアクセス数と同様に、所定の期間当たりに情報がアップロードされた回数を算出し、上述した所定の期間内のアクセス数に対する所定の期間内のアップロード回数の割合を算出する。そしてその割合が、所定の割合よりも大きいか否かを判断し、大きい場合、同一のＷＥＢサイトに対して行われたアクセスのうちの所定の割合より多いアクセスの際に、データをアップロードしていると判断する。
【００９７】
このようにして、第六のルール組の第一ルールと第二ルールとの両方を満たしたと判断された場合、結果的に、第六のルール組の異常判断ルールを満たしたと判断されたこととなる。
【００９８】
（７）第七のルール組が指定されている場合
異常通信判断部１０４は、異常判断ルール格納部１０２に格納されている第七のルール組を構成する、「同一ＷＥＢサイトに対して所定の期間当たり、所定回数以上アクセスしている」という第一ルール、および「同一のＷＥＢサイトに対して行われたアクセスのうちの所定の割合より多いアクセスの際に、データをダウンロードしている」という第二ルールを取得する。
【００９９】
次に、異常通信判断部１０４は、上述したアクセス判断用情報と、上述した受信情報判断用情報とを取得する。
【０１００】
異常通信判断部１０４は、第六のルール組の第一ルールの場合と同様に、各ユーザ端末２から、予め指定された所定の期間内に、一のＷＥＢサイトに対して、所定回数以上のアクセスが行われたか否かを判断する。
【０１０１】
次に、一のＷＥＢサイトに対して、予め指定された所定の期間内に所定回数以上のアクセスが行われたと判断された場合、異常通信判断部１０４は、受信情報判断用情報を用いて、所定回数以上のアクセスを行ったユーザ端末２の通信が、第七のルール組の第二ルールを満たすか否かを判断する。例えば、上述した所定の期間当たりのアクセス数と同様に、所定の期間当たりに情報がダウンロードされた回数を算出し、上述した所定の期間内のアクセス数に対する所定の期間内のダウンロード回数の割合を算出する。そしてその割合が、所定の割合よりも大きいか否かを判断し、大きい場合、同一のＷＥＢサイトに対して行われたアクセスのうちの所定の割合より多いアクセスの際に、データをダウンロードしたと判断する。
【０１０２】
このようにして、第七のルール組の第一ルールと第二ルールとの両方を満たしたと判断された場合、結果的に、第七のルール組の異常判断ルールを満たしたと判断されたこととなる。
【０１０３】
なお、上記第一〜第七のルール組を構成するルールの第一ルールと第二ルールとの処理順番は、適宜変更するようにしても良い。
【０１０４】
なお、上述した第一から第七のルール組の二以上の異常判断ルールに加えて、当該二以上の異常判断ルールにおける同一のＷＥＢサイトを、不適切キーワード情報格納部１０３に格納されているキーワード情報が示すキーワードを有するＷＥＢページを含むサイトに限定するキーワード異常ルールを更に読み出すようにし、このキーワード異常ルールをさらに満たすように上記の判断処理を行うようにしても良い。
【０１０５】
例えば、キーワード異常ルールに従って、キーワード情報を不適切キーワード情報格納部１０３から読み出し、上述した第一から第七のルール組の第一ルールや第二ルールを用いた判断において検出された同一のＷＥＢサイトの情報、例えばＷＥＢサイトのＨＴＭＬ情報を、取得情報格納部１０１等に格納されている送受信関連情報から取得して、このＷＥＢサイトの情報内に、キーワード情報が示すキーワードを含むか否かを判断するようにし、キーワードを含む場合、このキーワード異常ルールを満たすと判断し、これに加えて他の第一ルールと第二ルールとが満たされた場合に、二以上の異常判断ルールが満たされたと判断するようにしても良い。なお、同一のＷＥＢサイトの情報、例えばＷＥＢサイトのＨＴＭＬ情報は、当該ＷＥＢサイトを提供するサーバ装置３に、ＷＥＢサイトを構成するＷＥＢページの情報を要求することで、サーバ装置３から受信するようにしても良い。このような情報の送受信に用いられる送受信手段を、異常通信判断部１０４が備えていても良いし、通信管理装置１内にこのような送受信を行う送受信部を設けるようにしても良い。また、通信管理装置１内の他の送受信部を利用しても良い。
【０１０６】
なお、上記のいずれの判断の場合においても、第一から第七のルール組やキーワード異常ルールのいずれか一つでも条件を満たさない場合には、例えば、２以上の異常判断ルールを満たさず、通信が異常でないと判断されるようにして良い。
【０１０７】
異常通信判断部１０４は、例えば、異常判断ルールを満たすか否かの判断結果を後述する異常度情報取得部１０５に出力する。二以上の異常判断ルールを満たすと判断した場合にだけ、判断結果を示す情報を出力するようにしてもよい。異常通信判断部１０４は、通常、ＭＰＵやメモリ等から実現され得る。異常通信判断部１０４の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。
【０１０８】
異常度情報取得部１０５は、異常通信判断部１０４がルールを満たすと判断した異常判断ルールに対応付けられた異常度情報を取得する。例えば異常判断ルールに対応付けて異常判断ルール格納部１０２に格納されている異常度情報を取得する。ここでの異常判断ルールは、キーワード異常ルールを含むと考えてよい。異常度情報取得部１０５が取得する異常度情報は、二以上の異常判断ルールにそれぞれ対応付けられた異常度情報のいずれかまたは両方であってもよいし、二以上の異常判断ルールの組に対応付けられた異常度情報であってもよい。具体的には、異常度情報取得部１０５は、異常通信判断部１０４が判断に利用した異常判断ルールを検索キー等として、検索キーに合致する異常判断ルールと対応付けられた異常度情報を取得してもよい。二以上の異常判断ルールにそれぞれ対応付けられた異常度情報から異常度情報を取得する場合、異常度情報が示す異常度の度合いを累積した異常度を示す異常度情報を取得するようにしても良いし、最も高い異常度の度合いを示す異常度情報だけを取得するようにしても良い。
【０１０９】
また、異常度情報取得部１０５は、上述したようなキーワード異常ルールを満たすと判断した場合に、キーワード異常ルールにおいて利用したキーワード情報に対応した異常度情報を、異常判断ルールに対応付けられた異常度情報として取得するようにしても良い。例えば、異常度情報取得部１０５は、上述したような異常判断ルールを満たすか否かの判断の際に、異常通信判断部１０４がアクセス対象となる同一のＷＥＢサイトを不適切キーワード情報格納部１０３に格納されているキーワード情報が示すキーワードを有するＷＥＢページを含むサイトであると判断した場合、当該キーワード情報に対応付けられた異常度情報を取得するようにしてもよい。異常度情報取得部１０５が取得するキーワード情報に対応付けられた異常度情報は、例えば、不適切キーワード情報格納部１０３にキーワード情報と対応付けられて蓄積されている異常度情報である。具体的には、異常度情報取得部１０５は、異常通信判断部１０４が判断に利用したキーワード情報を検索キー等として異常度情報を取得する。上述した同一のＷＥＢサイトのＷＥＢページに、複数のキーワード情報が含まれる場合、複数のキーワード情報に対応付けられた異常度情報が示す異常度を累積していくようにしても良いし、最も高い異常度の度合いを示す異常度情報だけを取得するようにしてもよい。
【０１１０】
異常度情報取得部１０５は、取得した異常度情報を、異常通信判断部１０４によりルールを満たすと判断された判断用情報と対応付けられたユーザ端末２を利用するユーザと対応付けて、後述する異常度情報格納部１０６に蓄積する。ユーザと対応付けることは、例えばユーザ識別情報と対応付けることと考えても良い。既にユーザと対応付けられた異常度情報が格納されている場合、格納されている異常度情報の異常度の度合いを、取得した異常度情報の度合いにより累積する。異常度の度合いが値である場合、累積は加算等と考えても良い。なお、ユーザ端末２の識別情報とユーザの識別情報とを特に区別する必要がない場合等には、ユーザ端末２と対応付けて、異常度情報を蓄積するようにしても良い。ユーザ端末２と対応付けることは、例えば、ユーザ端末２の識別情報と対応付けることと考えても良い。
【０１１１】
異常度情報取得部１０５は、通常、ＭＰＵやメモリ等から実現され得る。異常度情報取得部１０５の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。
【０１１２】
異常度情報格納部１０６には、異常度情報が格納され得る。異常度情報格納部１０６には、例えば、ユーザ別あるいはユーザ端末２別に異常度情報が格納され得る。具体的には、ユーザ識別情報や、ユーザ端末２の識別情報と対応付けられて異常度情報が蓄積される。異常度情報格納部１０６は、不揮発性の記録媒体や、揮発性の記録媒体で実現可能である。
【０１１３】
異常度判断部１０７は、異常度情報取得部１０５が取得した異常度情報が示す異常の度合いが、所定の度合いを超えたか否かを判断する。異常度判断部１０７は、ユーザ別、あるいはユーザ端末２別に異常度情報格納部１０６に格納されている異常度情報を読み出し、当該異常度情報が示す異常度の度合いと、予め用意された所定の異常度の度合いとを比較し、読み出した異常度情報が示す異常度の度合いが、所定の度合いを超えたか否かを判断する。所定の度合いは閾値と考えても良い。所定の度合いは、例えば図示しない記憶媒体等に予め格納されているようにする。異常度情報取得部１０５は、通常、ＭＰＵやメモリ等から実現され得る。異常度判断部１０７の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。
【０１１４】
出力部１０８は、異常度判断部１０７の判断結果に応じて、異常な通信が行われたことを示す情報である異常通信情報を出力する。出力部１０８は、例えば、予め指定された通知先に異常通信情報を送信しても良いし、異常通信情報は、結果的に、不適切なアクセスが行われたことを示すことが可能な情報であれば、どのような情報であっても良い。異常通信情報は、単に、異常な通信が行われたことを示す情報であっても良い。異常通信情報は、例えば、異常な通信が行われたことを示すメッセージ等の情報である。また、異常通信情報は、例えば、異常な通信を行ったユーザあるいはユーザ端末２に関する情報であってもよい。異常な通信を行ったユーザあるいはユーザ端末２に関する情報は、例えば、ユーザ識別情報やユーザ端末２の識別情報等を含む情報である。また、異常通信情報は、異常な通信の通信先のＷＥＢサイトに関する情報であってもよい。異常な通信の通信先のＷＥＢサイトに関する情報とは、例えば、ＷＥＢサイトのＵＲＬやドメイン名や、ＷＥＢサイトに含まれる一以上のＷＥＢページの、内容、データサイズ等の情報を含む情報である。また、異常通信情報は、異常な通信が行われた日時や期間を示す情報を含んでもよい。異常な通信が行われた期間の情報は、例えば異常判断ルールを満たしたログインが行われていた期間や、異常判断ルールを満たしたアクセス等が行われた期間の情報である。異常な通信が行われた日時の情報は、例えば異常判断ルールを満たしたアクセスが開始された日付や日時の情報や、異常判断ルールを満たすログインの開始時間等を示す情報や、異常判断ルールを満たした情報の送受信が行われた日時を示す情報等である。また、異常通信情報は、異常な通信の内容に関する情報であってもよい。異常な通信の内容に関する情報とは、例えば、異常判断ルールを満たした通信において送受信された情報を識別する情報、例えばファイル名等であっても良いし、送受された情報のデータタイプやデータサイズ等の属性を示す情報であっても良い。例えば、ダウンロードやアップロードされたデータのファイル名等であってもよい。また、異常度判断部１０７が判断に用いた異常度の情報を含むようにしても良い。また、異常な通信の判断に用いられた異常判断ルールを示す情報を含むようにしても良い。
【０１１５】
なお、出力部１０８がネットワーク等を介して外部の装置等に異常通信情報を通知、例えば送信する場合等においては、出力部１０８は、異常度情報取得部１０５が取得した異常度情報に応じた通知先を示す情報である通知先情報を取得し、当該取得した通知先情報が示す通知先に異常通信情報を通知するようにしてもよい。このようにすることで、異常度の度合いに応じた適切な通知先に、異常通信情報を通知することができる。異常度情報取得部１０５が取得した異常度情報とは、異常度情報格納部１０６に累積された異常度情報と考えてもよい。なお、通知先情報とは、例えば、通知先となる他の装置の、ＩＰアドレスやＭＡＣアドレス、あるいはメールアドレス等の、宛先を指定する情報であるアドレス情報等である。
【０１１６】
この実施の形態においては、一例として、後述する通知情報格納部１０９に、異常度の度合いの範囲を指定する情報である異常度範囲情報と、異常通信情報の１以上の通知先を指定する情報とを対応付けた通知先情報を予め格納しておくようにし、出力部１０８は、異常度情報取得部１０５が取得した異常度情報が示す異常度が含まれる範囲を指定する異常度範囲情報に対応した通知先情報を通知情報格納部１０９から取得し、当該取得した通知先情報が示す通知先に異常通信情報を通知、具体的には送信する場合について説明する。
【０１１７】
なお、異常度範囲情報は、異常度の上限および下限を指定する情報、もしくは上限値（あるいは下限値）と値の範囲を示す情報との組合せ等の、結果的に上限及び下限を指定可能な情報である。なお、異常度範囲情報が示す範囲は、一つの値だけの場合も含む概念である。異常度が含まれる異常度範囲情報とは、具体的には、異常度が示す値を含む値の範囲を示す異常度範囲情報である。
【０１１８】
出力部１０８が出力を行うタイミング等は問わない。例えば、異常通信判断部１０４が判断を行った場合に、出力を行うようにしても良い。ここで述べる出力とは、ディスプレイへの表示、プロジェクターを用いた投影、プリンタへの印字、音出力、外部の装置への送信、記録媒体への蓄積、他の処理装置や他のプログラム等への処理結果の引渡し等を含む概念である。出力部１０８は、ディスプレイやプリンタ等の出力デバイスを含むと考えても含まないと考えても良い。出力部は、出力デバイスのドライバーソフトまたは、出力デバイスのドライバーソフトと出力デバイス等で実現され得る。
【０１１９】
通知情報格納部１０９には、異常度の範囲を指定する情報である上述した異常度範囲情報と、異常通信情報の１以上の通知先を指定する情報とを対応付けた通知先情報が格納され得る。異常度範囲情報は、例えば、異常度のレベルを設定する情報と考えても良い。また、通知先情報は、異常度範囲情報が示す異常度のレベルに対応した通知先を指定する情報を考えても良い。通知情報格納部１０９は、不揮発性の記録媒体が好適であるが、揮発性の記録媒体でも実現可能である。
【０１２０】
不適切ページ指定受付部１１０は、一以上の不適切なＷＥＢページを指定する情報である不適切ページ指定情報を受け付ける。不適切なＷＥＢページとは、例えば、アクセスが不適切なＷＥＢページである。不適切なＷＥＢページは、アクセスが不適切なＷＥＢサイトを構成するＷＥＢページの一以上と考えても良い。不適切ページ指定情報は、結果的に、アクセスが不適切な１以上のＷＥＢページを指定可能な情報であればよく、例えば、アクセスが不適切な１以上のＷＥＢページを含むＷＥＢサイトやサーバ装置３を指定可能な情報であっても良い。不適切ページ指定情報は、例えば、アクセスが不適切な１以上のＷＥＢページや、ＷＥＢページを有するＷＥＢサイトや、ＷＥＢページを提供するサーバ装置３等の所在を示す、ＵＲＬやＩＰアドレス等のアドレスの情報等である。なお、不適切ページ指定受付部１１０は、不適切ページ指定情報をどのような経路や手段によって受け付けてもよい。例えば、不適切ページ指定受付部１１０は、ユーザ等が入力する不適切ページ指定情報を受け付けてもよい。また、異常通信判断部１０４が異常判断ルールを満たさないと判断した場合に、当該異常判断ルールを満たすか否かの判断対象としたＷＥＢページのＷＥＢページ指定情報を、異常通信判断部１０４等から受け付けるようにしても良い。ここで述べる受付とは、例えば、入力手段からの受付や、他の機器等から送信される入力信号の受信や、記録媒体等からの情報の読み出し等である。不適切ページ指定情報の入力手段は、テンキーやキーボードやマウスやメニュー画面によるもの等、何でも良い。テンキーやキーボード等の入力手段のデバイスドライバーや、メニュー画面の制御ソフトウェア等で実現され得る。
【０１２１】
不適切ページ情報取得部１１１は、不適切ページ指定受付部１１０が受け付けた不適切ページ指定情報が指定するＷＥＢページの情報を取得する。例えば、不適切ページ情報取得部１１１は、不適切ページ指定情報が指定するアクセスが不適切なページのＵＲＬ等の所在を示すアドレス情報等を取得し、当該アドレス情報に対応したサーバ装置３に対して、不適切ページ指定情報が指定するアクセスが不適切なＷＥＢページを要求する指示を送信し、当該指示に応じて、サーバ装置３が送信するＷＥＢページを構成する情報を取得する。ＷＥＢページの情報とは、例えばＷＥＢページを表示するためのＨＴＭＬファイル等の情報である。不適切ページ情報取得部１１１が取得したアクセスが不適切なＷＥＢページの情報は、例えば、不適切ページ情報取得部１１１により図示しない格納部等に蓄積される。不適切ページ情報取得部１１１は、通常、ＭＰＵやメモリ等から実現され得る。不適切ページ情報取得部１１１の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。なお、不適切ページ情報取得部１１１は、インターネット等を介してＷＥＢページの情報を取得するための送受信手段等を備えていても良いし、ＷＥＢページの情報を取得する際には図示しない送受信部等の他の通信手段を利用するようにしても良い。
【０１２２】
不適切キーワード取得部１１２は、不適切ページ情報取得部１１１が取得したＷＥＢページの情報である不適切ページ情報から、不適切なＷＥＢページが、ＷＥＢページ内に含み得るキーワードを取得し、当該キーワードを示す情報であるキーワード情報を、予め指定された異常度情報と対応付けて、不適切キーワード情報格納部１０３に蓄積する。なお、予め指定された異常度情報は、例えば、一定のものであってもよいし、キーワード情報が示すキーワードの出現頻度に応じて所定のルールに従って変換するものであっても良い。異常度情報は、不適切ページ指定情報を受け付ける際に受け付けるようにしても良い。不適切キーワード取得部１１２は、例えば、不適切ページ情報取得部１１１が取得したＷＥＢページを構成するテキスト等に対して、自然言語処理を行うことでキーワード情報を取得する。例えば、不適切ページ情報取得部１１１が取得したＷＥＢページのテキストを構成する語句について、形態素解析により、品詞や活用形等を判断する。そして、品詞が名詞や動詞である語句を検出し、当該検出した名詞の語句のうちの、ＷＥＢページ内での出現頻度の高いもの、例えば出現頻度が閾値以上のものを、不適切ページを示すキーワードとして取得する。また、予め指定された複数のＷＥＢページにおいて、共通で出現する名詞の語句を、不適切ページを示すキーワードとして取得しても良い。あるいは、不適切ページ情報取得部１１１が取得したＷＥＢページの情報のうちの、＜Ｈ１＞タグ等の所定のタグが付与されている要素を構成する語句のうちの、品詞が名詞である語句を、キーワードとして取得しても良い。なお、キーワードとキーワード情報とは同じ情報と考えても良い。また、予め図示しない格納部等に、適切なページに用いられるキーワードを用意しておき、不適切ページ情報取得部１１１が取得したＷＥＢページを構成するテキストから検出された所定の品詞の語句のうちの、適切なページに用いられるキーワードを除外した語句を、不適切ページを示すキーワードとして取得しても良い。なお、不適切なＷＥＢページのキーワードは、不適切なＷＥＢページのソースコードから取得するようにしても良い。例えば、特定のタグを示す情報を、キーワード情報として取得してもよい。
【０１２３】
なお、単語の品詞や、動詞の基本形や活用形を特定する技術は、形態素解析等の技術として公知である。形態素解析のシステムとしては、日本語の場合には、例えば、奈良先端科学技術大学院大学で開発された「ＣｈａＳｅｎ（茶筌）」（ｈｔｔｐ：／／ｃｈａｓｅｎ．ｎａｉｓｔ．ｊｐ）等が知られている。また、英語の場合には、英単語に品詞を付与するソフトウェアとして、例えば、「ＴｎＴ」（ｈｔｔｐ：／／ｗｗｗ．ｃｏｌｉ．ｕｎｉ−ｓａａｒｌａｎｄ．ｄｅ／〜ｔｈｏｒｓｔｅｎ／ｔｎｔ／）や「Ｂｒｉｌｌ  Ｔａｇｇｅｒ」（ｈｔｔｐ：／／ｗｗｗ．ｃｓ．ｊｈｕ．ｅｄｕ／〜ｂｒｉｌｌ／）等が知られている。Ｂｒｉｌｌの技術については、例えば、次の文献を参照されたい。「文献：Ｅｒｉｃ  Ｂｒｉｌｌ、「Ｔｒａｎｓｆｏｒｍａｔｉｏｎ−Ｂａｓｅｄ  Ｅｒｒｏｒ−Ｄｒｉｖｅｎ  Ｌｅａｒｎｉｎｇ  ａｎｄ  Ｎａｔｕｒａｌ  Ｌａｎｇｕａｇｅ  Ｐｒｏｃｅｓｓｉｎｇ：Ａ  Ｃａｓｅ  Ｓｔｕｄｙ  ｉｎ  Ｐａｒｔ−ｏｆ−Ｓｐｅｅｃｈ  Ｔａｇｇｉｎｇ」、Ｃｏｍｐｕｔａｔｉｏｎａｌ  Ｌｉｎｇｕｉｓｔｉｃｓ，Ｖｏｌ．２１，Ｎｏ．４，ｐ．５４３−５６５、１９９５年」。
【０１２４】
不適切キーワード取得部１１２は、通常、ＭＰＵやメモリ等から実現され得る。不適切キーワード取得部１１２の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。
【０１２５】
次に、本実施の形態の通信管理装置の動作について図３のフローチャートを用いて説明する。
【０１２６】
（ステップＳ３０１）送受信情報取得部１００は、ユーザ端末２とサーバ装置３間において送受信される情報に関する送受信関連情報を取得したか否かを判断する。取得した場合、ステップＳ３０２に進み、取得していない場合ステップＳ３０８に進む。
【０１２７】
（ステップＳ３０２）送受信情報取得部１００は、ステップＳ３０１において取得した送受信関連情報を取得情報格納部１０１に蓄積する。
【０１２８】
（ステップＳ３０３）異常通信判断部１０４は、現在の時刻が、異常な通信の判断を行うタイミングであるか否かを判断する。現在の時刻の情報は、例えば図示しない時計等から取得する。判断を行うタイミングである場合、ステップＳ３０４に進み、タイミングでない場合、ステップＳ３０１に戻る。
【０１２９】
（ステップＳ３０４）通信管理装置１は、アクセス判断処理を行う。なお、この処理の詳細については、後述する。
【０１３０】
（ステップＳ３０５）異常度判断部１０７は、異常度情報格納部１０６にユーザ識別情報と対応付けられて格納された異常度情報の中に、予め指定された閾値を超える異常度を示す異常度情報があるか否かを判断する。ある場合、ステップＳ３０６に進み、ない場合、ステップＳ２３０１に戻る。なお、ない場合、異常度情報格納部１０６に格納されている異常度情報は削除するようにしても良い。
【０１３１】
（ステップＳ３０６）出力部１０８は、ステップＳ３０５において判断された予め指定された閾値を超える異常度を示す異常度情報を用いて、ユーザ識別情報別に、通知情報格納部１０９から通知先情報を取得する。具体的には、閾値を超えると判断された各ユーザ識別情報に対応した異常度情報が示す異常度を含む範囲を示す異常度範囲情報を検出し、当該異常度範囲情報に対応付けられた通知先情報を通知情報格納部１０９から取得する。
【０１３２】
（ステップＳ３０７）出力部１０８は、ステップＳ３０６において取得した通知先情報を用いて異常通信情報を出力する。そして、ステップＳ３０１に戻る。
【０１３３】
（ステップＳ３０８）不適切ページ指定受付部１１０は、不適切ページ指定情報を受け付けたか否かを判断する。受け付けた場合、ステップＳ３０９に進み、受け付けていない場合、ステップＳ３０１に戻る。
【０１３４】
（ステップＳ３０９）不適切ページ情報取得部１１１は、不適切ページ指定情報により指定されたＷＥＢページの情報を取得する。
【０１３５】
（ステップＳ３１０）不適切キーワード取得部１１２は、ステップＳ３０９において取得したＷＥＢページの情報を用いて、キーワード情報を取得する。
【０１３６】
（ステップＳ３１１）不適切キーワード取得部１１２は、ステップＳ３１０において取得したキーワード情報を、異常度情報と対応付けて、不適切キーワード情報格納部１０３に格納する。なお、異常度情報は、予め指定された異常度情報であっても良いし、キーワード情報に対応するキーワードの出現率等に応じて選択された異常度情報であっても良い。そして、ステップＳ３０１に戻る。
【０１３７】
なお、図３のフローチャートにおいて、電源オフや処理終了の割り込みにより処理は終了する。
【０１３８】
次に、図３のステップＳ３０４において説明した、異常通信判断処理の詳細について図４のフローチャートを用いて説明する。
【０１３９】
（ステップＳ４０１）異常通信判断部１０４は、通信管理装置１を管理する管理者等により予め指定されている２以上の異常判断ルールを、異常判断ルール格納部１０２から読み出す。２以上の異常判断ルールは、例えば、上述した第一から第七のルール組のいずれかである。なお、この例においては、当該ステップで読み出す異常判断ルールは、キーワード異常ルールを含まないものとしている。ただし、当該ステップでキーワード異常ルールを読み出すようにしても良い。
【０１４０】
（ステップＳ４０２）異常通信判断部１０４は、取得情報格納部１０１に蓄積された送受信情報を用いて、ステップＳ４０１において読み出した２以上の異常判断ルールにそれぞれ応じた判断用情報を取得する。２以上の異常判断ルールにそれぞれ応じた判断用情報とは、具体的には、それぞれの異常判断ルールを用いた判断に利用される判断用情報である。異常通信判断部１０４は、例えば、送受信情報に含まれる送受信の対象となる１以上のデータ等を用いて、判断用情報を構成しても良いし、送受信情報に含まれる送受信の対象となる１以上のデータに付加されたヘッダ情報から判断用情報を構成しても良い。判断用情報は、通常、送信元あるいは送信先となるユーザ端末２に対応したユーザ識別情報や、送信元あるいは送信先となるＷＥＢサイトを識別可能な情報等を有している。
【０１４１】
（ステップＳ４０３）異常通信判断部１０４は、ステップＳ４０１において読み出した異常判断ルールのうちの、一番目の異常判断ルールを満たす判断用情報が存在するか否かを判断する。存在する場合、ステップＳ４０４に進み、存在しない場合、上位の処理にリターンする。なお、存在するか否かの判断が行われた判断用情報、あるいは一番目の異常判断ルールを満たすと判断された判断用情報については、例えば、判断済であることを示すフラグ情報等を付与するようにする。そして、再度このステップの処理を行う際には、このフラグ等が付与された判断用情報については判断を行わないようにする。判断対象から除外可能であれば、フラグ以外の方法を用いても良い。なお、２以上の異常判断ルールのうちの、一番目の異常判断ルール等の順番は、予め指定された２以上の異常判断ルールの組毎に予め指定されていても良いし、任意に決定するようにしても良い。例えば、ｎ番目の異常判断ルールにおいて、ｎ−１番目までの異常判断ルールを用いた判断結果から得られる情報を、条件のパラメータ等として用いる場合には、順番等は予め指定しておくことが好ましい。
【０１４２】
（ステップＳ４０４）異常通信判断部１０４は、カウンターｎに２を代入する。
【０１４３】
（ステップＳ４０５）異常通信判断部１０４は、ステップＳ４０１において読み出したｎ番目の異常判断ルールを満たす判断用情報が、ステップＳ４０２において取得した一番目の異常判断ルールに応じて取得した判断用情報の中に存在するか否かを判断する。存在する場合、ステップＳ４０７に進み、存在しない場合、ステップＳ４０３に戻る。
【０１４４】
（ステップＳ４０６）異常通信判断部１０４は、カウンターｎを１インクリメントする。
【０１４５】
（ステップＳ４０７）異常通信判断部１０４は、ステップＳ４０１において読み出した異常判断ルールにｎ番目の異常判断ルールがあるか否を判断する。ある場合、ステップＳ４０５に戻り、ない場合、ステップＳ４０８に進む。
【０１４６】
（ステップＳ４０８）異常通信判断部１０４は、キーワード異常ルールを、異常判断ルール格納部１０２から読み出し、不適切キーワード情報格納部１０３から、キーワード情報を取得する。
【０１４７】
（ステップＳ４０９）異常通信判断部１０４は、ステップＳ４０１において取得した２以上の異常判断ルールを満たすと判断された判断用情報が示す通信対象となるＷＥＢサイトを構成するＷＥＢページの情報が、ステップＳ４０８において取得したキーワード情報の少なくとも一つを含むか否かを判断する。なお、キーワード情報のうちの所定数以上を含むか否かを判断するようにしても良い。例えば、当該ＷＥＢサイトから送信されたＷＥＢページの情報を、取得情報格納部１０１から取得して、当該ＷＥＢページの情報に、キーワード情報が示すキーワードが含まれるか否かを判断する。キーワード情報が示すキーワードを含む場合、ステップＳ４０９に進み、含まない場合、ステップＳ４０３に戻る。
【０１４８】
（ステップＳ４１０）異常度情報取得部１０５は、ステップＳ４０９において、ＷＥＢ頁に含まれると判断されたキーワード情報に対応した異常度情報を、異常判断ルールに対応した異常度情報として不適切キーワード情報格納部１０３から取得する。
【０１４９】
（ステップＳ４１１）異常度情報取得部１０５は、取得した異常度情報を、２以上の異常判断ルールを満たすと判断された判断用情報が示すユーザ識別情報と対応付けて異常度情報格納部１０６に蓄積する。そして、ステップＳ４０３に戻る。
【０１５０】
なお、図４のフローチャートにおいては、ステップＳ４１０においてキーワード情報に対応付けられた異常度情報を用いる場合について説明したが、異常判断ルールに対応付けられた異常度情報を用いるようにしても良い。
【０１５１】
なお、図４のフローチャートにおいて、電源オフや処理終了の割り込みにより処理は終了する。
【０１５２】
以下、本実施の形態における通信管理装置１の具体的な動作について説明する。通信管理装置１を備えた情報処理システムの概念図は図１である。なお、ここでは例として、ユーザ端末２と通信管理装置１とはローカルネットワークで接続されているものとし、当該ローカルネットが図示しないルータ等を介してインターネットに接続されているものとする。なお、ここでは、説明を簡単にするため、ユーザ端末２のＩＰアドレスがユーザ識別情報と同じである場合を例に挙げて説明する。ただし、ユーザ端末２のＩＰアドレスがユーザ識別情報とは異なっていても良い。異なっている場合、例えば、ユーザ端末２のＩＰアドレスと、当該ユーザ端末２を利用しているユーザのユーザ識別情報とが、ユーザがユーザ端末２を利用している利用時間等と対応付けて図示しない他の管理情報を用いて管理されているようにし、この管理情報を用いて、ユーザ端末２のＩＰアドレスと、利用時間とに応じたユーザ識別情報を取得することが可能である。あるいは、送受信される情報や、ヘッダ情報に、ユーザ識別情報を含ませるようにしても良い。
【０１５３】
ここでは、主として、異常判断ルールとして、上述した第一のルール組を構成する２つの異常判断ルールとキーワード異常ルールとを用いた場合について説明する。
【０１５４】
まず送受信情報取得部１００は、ローカルネットワーク等を介して送受信関連情報を順次取得する。そして取得した送受信関連情報を順次取得情報格納部１０１に蓄積する。ここで送受信情報取得部１００が取得する送受信関連情報は、１以上のユーザ端末２と、１以上のサーバ装置３との間で送受信される情報、及び、当該情報に付加されているヘッダ情報から読み出された情報、およびこれらの情報を送受信情報取得部１００が取得した時刻の情報であるとする。
【０１５５】
図５は、取得情報格納部１０１に格納された送受信関連情報を管理する送受信関連情報管理表である。送受信関連情報管理表は、「ＩＤ」、「送信元」、「送信先」、「時刻」、「ポート番号」、「通信情報」という項目を有している。「ＩＤ」は、レコードを管理するために付与された情報である。送受信関連情報管理表においては、各行が１レコードであるとする。「送信元」は、情報を送信する送信元のユーザ端末２あるいはサーバ装置３を示す情報であり、ここでは、ＩＰアドレスであるとする。なお、ＩＰアドレスにおける英文字は任意の数字であることを示す。なお、「１９２．１６８〜」で始まるＩＰアドレスは、ここでは、ユーザ端末２のＩＰアドレスであるとし、その他は、サーバ装置３のＩＰアドレスであるとする。「時刻」は、送受信関連情報を取得した時刻である。「ポート番号」は、送受信される情報の通信に用いられるポート番号である。例えば、ここでは、ポート番号「２０」は、通信がＦＴＰを用いた通信であることを示し、ポート番号「８０」は、通信がＨＴＴＰを用いた通信であることを示す。「通信情報」は、送信対象となる情報であり、例えば、ユーザ端末２からサーバ装置３に送信される要求情報や、ＷＥＢサーバにアップロードされる情報、サーバ装置３からユーザ端末２に送信されるＷＥＢページの情報や、ユーザ端末２がサーバ装置３からダウンロードする情報である。
【０１５６】
ここで、予め指定された異常な通信が行われたか否かの判断を行うタイミングになったとする。例えば、予め判断を行う日時や曜日等がスケジュールとして指定されており、このスケジュールにより指定されたタイミングになったか否かを判断する。
【０１５７】
異常通信判断部１０４は、異常判断ルール格納部１０２に格納されている異常判断ルールのうちの、予め指定された２以上の異常判断ルールを読み出す。ここでは、上述したような第一のルール組を構成する２つの異常判断ルールが読み出されるものとする。即ち、同一ＷＥＢサイトに対して所定の時間以上ログインしているという第一ルール、および同一のＷＥＢサイトに対して断続的にデータをアップロードしているという第二ルールを読み出す。
【０１５８】
次に、異常通信判断部１０４は、取得情報格納部１０１に格納されている送受信関連情報を用いて、読み出した２つの異常判断ルールにそれぞれ応じた判断用情報を構成する。どのような判断用情報を構成するかについては、例えば、予め異常判断ルールに対応付けて、図示しない格納部や、異常判断ルール格納部１０２に格納しておき、読み出した異常判断ルールに応じて適宜読み出す。
【０１５９】
まず、第一のルール組の第一ルールに対応した判断用情報として、一のユーザが、一のＷＥＢサイトにログインしている期間を示す判断用情報であるログイン時間判断用情報を、図５に示した送受信関連情報を用いて取得する。例えば、異常通信判断部１０４は、送受信関連情報の各レコードの中から、「通信情報」の情報が、「ユーザＩＤ」や「アカウント」や、「パスワード」や「ログイン」や、「ＬＯＧＩＮ」等のログインを要求する情報に特徴的と考えられる文字列を含むＨＴＭＬファイル以外の情報であるレコードを検出し、当該レコードの「送信元」、「送信先」、および「時刻」の項目値をそれぞれ取得する。そして、当該レコードから取得した「送信元」および「送信先」の項目値と一致する「送信元」および「送信先」の項目値を有するレコードを、図５に示す送受信関連情報内において検出する。このレコードがログイン開始時に送受信された情報の送受信関連情報である。そして、検出したレコードのうちの、「通信情報」の情報が、「ログアウト」や「接続終了」等のログアウトを要求する情報に特徴的と考えられる文字列を含むＨＴＭＬファイル以外の情報であるレコードを検出する。そして、検出したレコードのうち、「時刻」の値が、上述したログインを要求する情報に特徴的と考えられる文字列を含む「通信情報」を有するレコードから取得した「時刻」が示す時刻に最も短いレコードを検出する。このレコードがログイン終了時に送受信された情報の送受信関連情報である。そして、ログイン終了時の送受信関連情報の「時刻」と、ログイン開始時の送受信関連情報の「時刻」と差を算出する。この差が、ログイン時間を示す情報である。そして、取得したログイン時間を示す情報と、ログイン終了時の送受信関連情報の「時刻」と、ログイン開始時の送受信関連情報の「時刻」と、「送信元」、および「送信先」の情報とを、対応付けた判断用情報を、図示しないメモリ等の記憶媒体に一時記憶する。同様にして、他の送受信関連情報についても、ログイン時間を求める処理を行う。
【０１６０】
例えば、図５の「ＩＤ」が「００１」であるレコードの「通信情報」が、ユーザ端末二から送信された、「ログイン」と「パスワード」いう文字列を含むログインを要求する情報であったとする。この場合、異常通信判断部１０４は、このレコードの「送信元」の情報である「１９２．１６８．ａａａ，ｂｂｂ」と、「送信先」の情報である「２１０．１５０．ｃｃｃ．ｄｄｄ」と、「時刻」の情報である「１７ＡＵＧ２０１０  １０：２０：２４」を取得する。次に、送受信関連情報の他のレコードから、「送信元」の情報が「１９２．１６８．ａａａ，ｂｂｂ」、「送信先」の情報が「２１０．１５０．ｃｃｃ．ｄｄｄ」であって、「通信情報」の情報が、「ログアウト」や「接続終了」等のログアウトを要求する情報に特徴的と考えられる文字列を含むＨＴＭＬ以外の情報であるレコードを、「時刻」の値が、「１７ＡＵＧ２０１０  １０：２０：２４」以降の最も古いものから順に検出していく。ここでは、「ＩＤ」が「０８２」のレコードが、この条件に合致する最初に検出されたレコードであったとする。異常通信判断部１０４は、このレコードの「時刻」の値「１７ＡＵＧ２０１０  １０：４０：２４」と、「ＩＤ」が「００１」のレコードの「時刻」の値との差をログイン時間として算出する。そして、算出したログイン時間である「００：２０：００」と、「ＩＤ」が「００１」であるレコードの送信元」の情報である「１９２．１６８．ａａａ，ｂｂｂ」と、「送信先」の情報である「２１０．１５０．ｃｃｃ．ｄｄｄ」と、「時刻」の情報である「１７ＡＵＧ２０１０  １０：２０：２４」と、「ＩＤ」が「０８２」であるレコードの「時刻」の情報である「１７ＡＵＧ２０１０  １０：４０：２４」とを対応付けた情報を、第一のルール組の第一ルールの判断用情報として、図示しない記憶媒体等に一時記憶する。なお、送信元のＩＰアドレスが、ローカルアドレスでない判断用情報は、除外するようにしても良い。
【０１６１】
図６は、異常通信判断部１０４が取得し、一時記憶させた第一のルール組の第一ルールに対応した判断用情報を管理する第一判断用情報管理表を示す図である。「ＩＤ」は、判断用情報を管理するための識別情報である。なお、ログイン開始時の送受信関連情報の「時刻」を、ここでは「ログイン開始時刻」、ログアウト時の送受信関連情報の「時刻」を、ここでは「ログイン終了時刻」とする。なお、時刻や時間は、本実施の形態では、「時：分：秒」で表している。第一のルール組の第一ルールの判断用情報を、以下、第一判断用情報と呼ぶ。
【０１６２】
次に、異常通信判断部１０４は、第一のルール組の第二ルールに対応した判断用情報として、データをアップロードしている状態を示す送受信関連情報に含まれる「送信元」の情報と、「送信先」の情報と、「時刻」の情報を、図５に示した送受信関連情報から取得する。ここではＦＴＰで行われるデータの送信を、データのアップロードと判断することとする。このため、図５に示し送受信関連情報の中から、ＦＴＰでデータを送信していることを示す「ポート番号」が「８０」であるレコードを検出し、検出したレコードの「送信元」、「送信先」、および「時刻」の情報を取得し、これらを対応付けた情報を、第一のルール組の第二ルールの判断用情報として、図示しない記憶媒体等に一時記憶する。
【０１６３】
図７は、異常通信判断部１０４が取得し、一時記憶させた第一のルール組の第二ルールに対応した判断用情報を管理する第二判断用情報管理表を示す図である。「ＩＤ」は、判断用情報を管理するための識別情報である。第一のルール組の第一ルールの判断用情報を、以下、第二判断用情報と呼ぶ。
【０１６４】
次に、異常通信判断部１０４は、第一のルール組の第一ルールを満たす第一判断用情報を検出する。即ち、同一のＷＥＢサイトに所定の時間以上ログインしている第一判断用情報を検出する。所定の時間は予め１５分に設定されているものとする。具体的には、図６に示した第一判断用情報管理表において、「ログイン時間」が１５分以上のものを検出する。例えば、図６においては、まず、「ＩＤ」が「Ａ０１」であるレコードが、「ログイン時間」が１５分以上のレコードとして検出されたとする。
【０１６５】
さらに、異常通信判断部１０４は、第一のルール組の第二ルールを満たす第二判断用情報を検出する。即ち、同一のＷＥＢサイトに対して断続的にデータをアップロードしていることを示す第二判断用情報を検出する。ただし、ここでは、第一のルール組の第一ルールを満たすと判断された第一判断用情報に含まれる「送信先」の情報と同じＩＰアドレスのＷＥＢサイトを、同一のＷＥＢサイトと判断する。また、第一のルール組の第一ルールを満たすと判断された第一判断用情報に含まれる「送信元」のＩＰアドレスと同じＩＰアドレスのユーザ端末２からアップロードされていることを示す第二判断用情報だけを判断対象とする。
【０１６６】
具体的には、異常通信判断部１０４が検出した第一判断用情報の「ＩＤ」が「Ａ０１」であるレコードの、「送信先」の情報である「２１０．１５０．ｃｃｃ．ｄｄｄ」を取得し、図７に示した第二判断用情報管理表から、「送信先」の情報が、第一判断用情報から取得した「２１０．１５０．ｃｃｃ．ｄｄｄ」と一致するＩＰアドレスであるレコードを全て検出する。
【０１６７】
さらに、検出したレコードの中から、第一判断用情報の「ＩＤ」が「Ａ０１」であるレコードの、「送信元」の情報である「１９２．１６８．ａａａ，ｂｂｂ」を取得し、図７に示した第二判断用情報管理表から、「送信元」の情報が、第一判断用情報から取得した「１９２．１６８．ａａａ，ｂｂｂ」と一致するＩＰアドレスであるレコードを全て検出する。これにより、ＩＰアドレスが「１９２．１６８．ａａａ，ｂｂｂ」であるログインを行った装置、すなわちユーザ端末２から、ＩＰアドレスが「２１０．１５０．ｃｃｃ．ｄｄｄ」であるログインを受け付ける装置、即ちサーバ装置３に、ＦＴＰでデータが送信された、即ちデータがアップロードされたことを示す第二判断用情報が全て検出されたこととなる。
【０１６８】
さらに、検出したレコードのうち、「時刻」の情報が、第一判断用情報の「ＩＤ」が「Ａ０１」であるレコードの「ログイン開始時刻」と「ログイン終了時刻」との間の時刻を示すレコードを全て検出する。ここでは、検出されたレコード数が「１２」であったとする。
【０１６９】
そして、最終的に検出されたレコード数を、ログイン時間で除算した値が、予め指定された値より大きいか否かを判断して、予め指定された値より大きければ、断続的にアップロードが行われたと判断する。例えば、予め指定した数が１分当たり、「０．５」回であったとすると、今回検出されたレコード数「１２」をログイン時間「２０」分で除算した値は、「０．６」回となるため、断続的にアップロードが行われたと判断される。
【０１７０】
これにより、異常通信判断部１０４は、第一のルール組の第一ルールおよび第二ルールを満たすと判断したこととなる。
【０１７１】
次に、異常通信判断部１０４は、キーワード異常ルールを、異常判断ルール格納部１０２から読み出す。そして、キーワード異常ルールを満たすか否かの判断処理を行う。具体的には、不適切キーワード情報格納部１０３に格納されているキーワード情報を読み出す。そして、上述した同一のＷＥＢサイト、即ちログイン先のＷＥＢサイトのＩＰアドレスである「２１０．１５０．ｃｃｃ．ｄｄｄ」を第二判断用情報等から取得し、図５に示した送受信関連情報管理表において、「送信元」の情報が、この取得したＩＰアドレス「２１０．１５０．ｃｃｃ．ｄｄｄ」と一致する１以上のレコードを検出する。そして検出したレコードに含まれる「通信情報」の情報の中から、ＨＴＭＬファイルを取得する。そして、このＨＴＭＬファイル内に、キーワード情報が示すキーワードの少なくとも１以上が含まれるか否かを検索する。
【０１７２】
キーワードが検出された場合、キーワード異常ルールを満たしたと判断されたこととなる。これにより、ログインを行ったＩＰアドレスが「１９２．１６８．ａａａ，ｂｂｂ」であるユーザ端末２を利用しているユーザによって、異常な通信が行われたと判断されたことを示している。このため、異常度情報取得部１０５は、検出されたキーワードに対応付けられた異常度情報を取得し、当該異常度情報と、ログインを行ったユーザ識別情報とを対応付けて、異常度情報格納部１０６に蓄積する。ユーザ識別情報は、ここでは、ユーザ端末２のＩＰアドレスを用いるため、異常度情報と、ログインを行ったＩＰアドレス「１９２．１６８．ａａａ，ｂｂｂ」とが対応付けて蓄積される。
【０１７３】
図８は、不適切キーワード情報格納部１０３に格納されているキーワード情報を管理するキーワード情報管理表である。キーワード情報管理表は、「キーワード情報」と「異常度情報」とを項目として有している。「キーワード情報」は、キーワード情報である。「異常度情報」は異常度情報であり、ここでは、異常度の度合いを示す値であるとする。この値は、値が大きいほど異常度が高いことを示している。
【０１７４】
例えば、図５に示した送受信関連情報管理表において、「送信元」の情報が「２１０．１５０．ｃｃｃ．ｄｄｄ」である「ＩＤ」が「００２」であるレコードの「通信情報」がＨＴＭＬファイルであったとすると、異常通信判断部１０４は、図８に示したキーワード情報管理表において管理されているキーワード情報を順次読み出し、読み出したキーワード情報が示すキーワードが、「ＩＤ」が「００２」であるレコードの「通信情報」がＨＴＭＬファイル内に含まれるか否かを検索する。そして、キーワードが含まれる場合、当該キーワードのキーワード情報と対応付けられた異常度情報の値を、ログインを行ったユーザのユーザ識別情報、即ちここでは、ログインを行ったユーザ端末２のＩＰアドレス「１９２．１６８．ａａａ，ｂｂｂ」と対応付けて異常度情報格納部１０６に蓄積していく。ここでは、異常度情報は値であるため、既に、同じユーザ識別情報と対応付けられた異常度情報が格納されている場合、ここでは、新たに取得した異常度情報の値を累積、例えば加算していく。
【０１７５】
図９は、「ＩＤ」が「００２」であるレコードの「通信情報」の情報であるＨＴＭＬファイルの一例を示す図である。ここでは、例えば、「視聴料」というキーワードと、「動画」というキーワードとがＨＴＭＬファイルに含まれていたとすると、ユーザ識別情報である「１９２．１６８．ａａａ，ｂｂｂ」と対応付けられて、「視聴料」に対応する異常度情報の値「３」と、「動画」に対応する異常度情報の値「１」とが加算されて蓄積される。なお、キーワードを含まない場合、データのアップロード先が不適切なＷＥＢサイトでないと判断されることとなり、通信自体が、異常な通信と判断されない。
【０１７６】
異常通信判断部１０４は、他の第一判断用情報および第二判断用情報等についても、上記のような２以上の異常判断ルールを満たすか否か等の判断を行い、その判断結果によって、上記と同様に異常度情報取得部１０５がユーザ識別情報と対応付けて異常度情報を蓄積していく。
【０１７７】
図１０は、異常度情報格納部１０６に格納された異常度情報を管理する異常度情報管理表である。異常度情報管理表は、レコードを管理する情報である「ＩＤ」と、通信を行ったユーザのユーザ識別情報である「ユーザ識別情報」と、累積された異常度情報を示す「異常度情報」という項目を有している。
【０１７８】
異常通信判断部１０４による送受信関連情報についての、２以上の異常判断ルールに基づく判断処理等が終了した時点で、異常度判断部１０７は、図１０に示したような異常度情報管理表において、「異常度情報」の値が所定の値（例えば閾値）より高いレコードを検出する。例えば所定の値が「８」であったとすると、「ＩＤ」が「Ｕ０１」であるレコードを、「異常度情報」の値が所定の値より高いレコードとして検出する。この検出されたレコードの「ユーザ識別情報」が示すユーザの通信が、最終的に異常な通信であると判断されたこととなる。
【０１７９】
次に、出力部１０８は、異常度判断部１０７が検出したレコードの「異常度情報」の値を読み出し、この値を用いて、通知情報格納部１０９に格納されている通知先情報から、通知先を指定する情報を読み出す。
【０１８０】
図１１は、通知情報格納部１０９に格納されている通知先情報の一例を示す図である。通知先情報は、「異常度範囲」および「通知先」という項目を有している。「異常度範囲」は、異常度の範囲を示す異常度範囲情報である。「通知先」は、通知先を示す情報であり、ここでは、通知先の名称を示す情報である。「管理者」とはユーザによる通信を管理したり監視したりする担当者のことである。「部長」は、ユーザの所属部長である。また、なお、ここでは、通知先の名称に対応する送信先のアドレス、例えば電子メールアドレス等が、通知先の名称と対応付けて、別途、図示しない格納部等において管理されているものとする。特に、通知先の名称である「部長」については、図示しないが、ユーザ端末を操作するユーザのユーザ識別情報と、当該ユーザが属する部署の部長の送信先のアドレス等が対応付けられて予め図示しない格納部等に格納されて管理されており、異常度判断部１０７等から所定の値より高い値を示す異常度情報と対応付けられたユーザ識別情報を受け取るようにし、当該ユーザ識別情報のユーザに対応する「部長」のアドレスが取得されるものとする。なお、通知先の名称は、「部長（携帯電話）」等の通知に利用する装置等を指定する情報等を含んでも良い。
【０１８１】
出力部１０８は、例えば、図１１に示す通知先情報から、「異常度範囲」の示す値の範囲が、異常度判断部１０７が所定の値よりも高いと判断した異常度情報が示す値を含むレコードを検出する。そして、検出したレコードの「通知先」の情報を取得する。ここでは、異常度情報「１２」は、図１１の上から二番目のレコードの「異常度範囲」である「１２〜２０」の範囲に含まれるため、このレコードの「通知先」の値である「管理者」、および「部長」が取得される。そして、出力部１０８は「管理者」に対応する電子メールアドレスを図示しない格納部等から取得する。また、出力部１０８は、異常度判断部１０７から受け取ったユーザ識別情報「１９２．１６８．ａａａ．ｂｂｂ」に対応する「部長」の電子メールアドレスを、図示しない格納部等から取得する。そして、取得した管理者と部長の電子メールアドレスを宛先として、異常度判断部１１７から受け取ったユーザ識別情報「１９２．１６８．ａａａ．ｂｂｂ」に対応するユーザが、異常な通信を行っていることを示す異常通信情報を電子メールで送信する。具体的には、ユーザ識別情報とユーザ名や社員番号等の情報とを対応付けて図示しない格納部等に予め蓄積しておくようにし、この情報から、、異常度判断部１１７から受け取ったユーザ識別情報「１９２．１６８．ａａａ．ｂｂｂ」に対応するユーザ名や社員番号等を取得する。また、ここでは、ログイン先のＷＥＢサイトのＩＰアドレスを、図６に示した第一判断用情報管理表等から取得する。そして、取得したユーザ名や社員番号等、およびログイン先のＷＥＢサイトのＩＰアドレス等を、予め用意されている、異常な通信を行っていることを示す文章のテンプレート等にはめ込むことで構成した異常通信情報を、電子メールで送信する。このように通知先情報を用いることで、異常度情報のレベルに応じた通知先に、異常な通信が行われていることを示す不適切ページアクセス情報を通知することが可能となる。
【０１８２】
図１２は、出力部１０８が電子メール等で送信する異常通信情報の表示例を示す図である。このような異常通信情報を受け取ることで、管理者等は、どのユーザが異常な通信を行っているかを容易に知ることができる。
【０１８３】
ここで、不適切キーワード情報格納部１０３に格納されているキーワード情報を追加したり更新したりする処理について説明する。
【０１８４】
まず、ユーザのＷＥＢサイトに対する通信を管理する管理者等が、通信が不適切なＷＥＢサイトのＷＥＢページを指定する情報である不適切ページ指定情報と、これと同様のＷＥＢページがアクセスされた場合の異常度の値を示す異常度情報とを、不適切ページ指定受付部１１０に入力する。不適切ページ指定情報は、例えば、ＷＥＢページやＷＥＢサイトのＵＲＬである。ただし、不適切ページ指定情報は、これらのＷＥＢサイトから取得したＷＥＢページを構成するＨＴＭＬファイル等の情報であってもよい。
【０１８５】
不適切ページ情報取得部１１１は、不適切ページ指定受付部１１０が受け付けたＵＲＬ等を用いて、管理者等により指定された通信が不適切なＷＥＢサイトから、１以上のＷＥＢページの情報である不適切ページ情報を取得する。なお、不適切ページ指定受付部１１０が、不適切なＷＥＢページのＨＴＭＬファイル等を受け付けた場合、当該ＨＴＭＬファイル等の情報をそのまま取得する。
【０１８６】
次に、不適切キーワード取得部１１２は、不適切ページ情報取得部１１１が取得した不適切ページ情報から、不適切なＷＥＢページが含み得るキーワードの情報を取得する。例えば、形態素解析等により、名詞を取り出し、出現頻度の高い名詞を、キーワードとして取得する。ただし、予め取得しない名詞等は指定しておくようにし、これに一致する名詞は取得しない。例えば、不適切ページ情報に、「音楽」という名詞が、予め指定した回数以上出現した場合、「音楽」という名詞をキーワードとして取得する。一方で、「記事」という名詞が、所定回数以上出現したとしても、「記事」という名詞を取得しない名詞として予め指定しておくことで、この「記事」は、キーワードとして取得されない。
【０１８７】
そして、不適切キーワード取得部１１２は、取得したキーワード（例えば「音楽」）の情報をキーワード情報として、予め指定された異常度情報と対応付けて、不適切キーワード情報格納部１０３に蓄積する。これにより、例えば、図８に示したキーワード情報管理表にレコードが追加される。この結果、キーワード情報をデータベース化することが可能となる。なお、キーワードの出現頻度、例えば出現回数や情報のデータサイズに対する比率等と、値の異なる異常度情報とを予め対応付けて図示しない記憶媒体等の格納部に蓄積しておき、不適切ページ情報取得部１１１が取得したキーワードの出現頻度に対応した異常度情報を取得し、キーワード情報と対応付けて蓄積するようにしても良い。
【０１８８】
なお、異常通信判断部１０４がキーワード情報が示すキーワードを含むと判断したＷＥＢページを指定する不適切ページ指定情報を、異常通信判断部１０４等が構成するようにし、不適切ページ指定受付部１１０は、この不適切ページ指定情報を受け付けるようにしても良い。
【０１８９】
ここで、第一のルール組以外の、第二から第七のルール組を用いた場合の例について簡単に説明する。
【０１９０】
まず、上述した第二のルール組を用いる場合の例について説明する。第二のルール組を異常通信の判断に用いる場合、第一のルール組とは異なり、ログインしたＷＥＢサイトからダウンロードしたことを判断することとなる。このため、ログイン時間中に、例えば、ログイン先のＩＰアドレス「２１０．１５０．ｃｃｃ．ｄｄｄ」を送信元、ログイン元のＩＰアドレス「１９２．１６８．ａａａ，ｂｂｂ」を送信先としたデータが、ＦＴＰにより送信されたか否かを示す第二判断用情報を構成し、この第二判断用情報を用いて、第二のルール組の第二ルールを満たすか否かの判断を行うようにすればよい。その他の処理については、上記具体例と同様であるので、説明は省略する。
【０１９１】
また、上述した第三のルール組を用いる場合、予め、第三のルール組の第一ルールの時間帯の開始時刻と終了時刻を指定しておく。そして、この指定された時間帯と、第一判断用情報の「ログイン開始時刻」と「ログインの終了時刻」とで挟まれた時間帯が重なるか否かを判断するようにし、重なる場合、第三のルール組の第一ルールを満たすと判断する。その他の第二ルールを満たすか否か等の判断処理等は、上記具体例と同様である。また、第四のルール組を用いる場合も第三のルール組を用いる場合と同様である。なお、この場合、第一判断用情報として、図６に示したような第一判断用情報から「ログイン時間」を省略した情報を取得しても良い。
【０１９２】
また、上述した第五のルール組を用いる場合、第一のルール組を用いた場合において、第二判断用情報を用いてログインしたＷＥＢサイトからデータをダウンロードしているか否かを判断する代わりに、まず、ログインしたＷＥＢサイトの同一のページに対して、連続してＷＥＢページを要求する情報を送信しているか否かを判断する。そして、送信している場合、さらにその送信の時間間隔が、所定のタイミングであるか否か、例えば予め指定した時間間隔以上であるか、あるいは以下であるかを判断するようにすればよい。その他の処理については、上記具体例と同様であるので、説明は省略する。なお、この場合、送受信関連情報として、「通信情報」のアドレス情報、例えば、ＷＥＢサイト内の「通信情報」が格納されているディレクトリ情報やファイル名等を含むアドレス情報を取得することが好ましい。
【０１９３】
また、上述した第六のルール組を用いる場合、第一判断用情報等を用いて、所定の時間内において、同一の送信元から、同一の送信先に対して情報が送信された回数を算出し、その回数が予め指定した回数より多いか否かを判断し、多い場合に、第一ルールを満たすと判断する。さらに、第一のルール組の第二ルールの場合の判断処理と同様に同じ時間内のアップロード回数をカウントし、第一ルールにおいて算出した回数に対する情報がアップロードされている回数の割合を算出し、割合が所定の閾値を超えた場合に第二ルールを満たすと判断するようにすればよい。第七のルール組を用いる場合も、アップロードがダウンロードに変更になる点が異なる以外は同様であるため、説明は省略する。
【０１９４】
なお、ログインやログアウト等が行われたことや、ＷＥＢページの更新が行われたこと等を検出する処理は、上記具体例において説明した以外の処理であっても良い。
【０１９５】
以上、本実施の形態によれば、２以上の通信判断ルールを用いて、ユーザ端末とＷＥＢサイトを提供するサーバ装置との通信内容や通信の状況等から、ユーザ端末とサーバ装置との間で行われる通信が異常なものであるか否かを、容易に判断することができる。
【０１９６】
また、上記各実施の形態において、各処理（各機能）は、単一の装置（システム）によって集中処理されることによって実現されてもよく、あるいは、複数の装置によって分散処理されることによって実現されてもよい。
【０１９７】
また、上記各実施の形態において、一の装置に存在する２以上の通信手段（情報送信部など）は、物理的に一の媒体で実現されても良いことは言うまでもない。
【０１９８】
また、上記実施の形態において、各構成要素が実行する処理に関係する情報、例えば、各構成要素が受け付けたり、取得したり、選択したり、生成したり、送信したり、受信したりする情報や、各構成要素が処理で用いるしきい値や数式、アドレス等の情報等は、上記説明で明記していない場合であっても、図示しない記録媒体において、一時的に、あるいは長期にわたって保持されていてもよい。また、その図示しない記録媒体への情報の蓄積を、各構成要素、あるいは、図示しない蓄積部が行ってもよい。また、その図示しない記録媒体からの情報の読み出しを、各構成要素、あるいは、図示しない読み出し部が行ってもよい。
【０１９９】
また、上記各実施の形態では、通信管理装置がスタンドアロンである場合について説明したが、通信管理装置は、スタンドアロンの装置であってもよく、サーバ・クライアントシステムにおけるサーバ装置であってもよい。後者の場合には、出力部や受付部は、通信回線を介して入力を受け付けたり、画面を出力したりすることになる。
【０２００】
また、上記各実施の形態において、各構成要素は専用のハードウェアにより構成されてもよく、あるいは、ソフトウェアにより実現可能な構成要素については、プログラムを実行することによって実現されてもよい。例えば、ハードディスクや半導体メモリ等の記録媒体に記録されたソフトウェア・プログラムをＣＰＵ等のプログラム実行部が読み出して実行することによって、各構成要素が実現され得る。
【０２０１】
なお、上記各実施の形態における通信管理装置を実現するソフトウェアは、以下のようなプログラムである。つまり、このプログラムは、コンピュータを、ユーザ端末とサーバ装置との間で送受信される情報に関する情報である送受信関連情報を取得する送受信情報取得部と、前記送受信情報取得部が取得した送受信関連情報を用いて、ユーザ端末とサーバ装置との間の通信が、格納されている通信に関する異常を判断するためのルールであって、異常の度合いを示す情報である異常度情報と対応付けられたルールである２以上の異常判断ルールを満たすか否かを判断する異常通信判断部と、前記異常通信判断部が、ルールを満たすと判断した異常判断ルールに対応した異常度情報を取得する異常度情報取得部と、異常度情報取得部が取得した異常度情報が示す異常の度合いが、所定の度合いを超えたか否かを判断する異常度判断部と、前記異常度判断部の判断結果に応じて、異常な通信が行われたことを示す情報である異常通信情報を出力する出力部として機能させるためのプログラムである。
【０２０２】
なお、上記プログラムにおいて、上記プログラムが実現する機能には、ハードウェアでしか実現できない機能は含まれない。例えば、情報を取得する取得部や、情報を出力する出力部などにおけるモデムやインターフェースカードなどのハードウェアでしか実現できない機能は、上記プログラムが実現する機能には含まれない。
【０２０３】
また、このプログラムを実行するコンピュータは、単数であってもよく、複数であってもよい。すなわち、集中処理を行ってもよく、あるいは分散処理を行ってもよい。
【０２０４】
図１３は、上記プログラムを実行して、上記実施の形態による通信管理装置を実現するコンピュータの外観の一例を示す模式図である。上記実施の形態は、コンピュータハードウェア及びその上で実行されるコンピュータプログラムによって実現されうる。
【０２０５】
図１３において、コンピュータシステム９００は、ＣＤ−ＲＷ（Ｃｏｍｐａｃｔ  Ｄｉｓｋ  Ｒｅｗｒｉｔａｂｌｅ）ドライブ等の光ディスクドライブ９０５、ＦＤ（Ｆｌｏｐｐｙ（登録商標）  Ｄｉｓｋ）ドライブ９０６を含むコンピュータ９０１と、キーボード９０２と、マウス９０３と、モニタ９０４とを備える。
【０２０６】
図１４は、コンピュータシステム９００の内部構成を示す図である。図１４において、コンピュータ９０１は、光ディスクドライブ９０５、ＦＤドライブ９０６に加えて、ＭＰＵ（Ｍｉｃｒｏ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）９１１と、ブートアッププログラム等のプログラムを記憶するためのＲＯＭ９１２と、ＭＰＵ９１１に接続され、アプリケーションプログラムの命令を一時的に記憶すると共に、一時記憶空間を提供するＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）９１３と、アプリケーションプログラム、システムプログラム、及びデータを記憶するハードディスク９１４と、ＭＰＵ９１１、ＲＯＭ９１２等を相互に接続するバス９１５とを備える。なお、コンピュータ９０１は、ＬＡＮへの接続を提供する図示しないネットワークカードを含んでいてもよい。
【０２０７】
コンピュータシステム９００に、上記実施の形態によるアクセス管理装置の機能を実行させるプログラムは、ＣＤ−ＲＯＭや、ＣＤ−ＲＷ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＷ等の光ディスク９２１、またはＦＤ９２２に記憶されて、光ディスクドライブ９０５、またはＦＤドライブ９０６に挿入され、ハードディスク９１４に転送されてもよい。これに代えて、そのプログラムは、図示しないネットワークを介してコンピュータ９０１に送信され、ハードディスク９１４に記憶されてもよい。プログラムは実行の際にＲＡＭ９１３にロードされる。なお、プログラムは、光ディスク９２１やＦＤ９２２、またはネットワークから直接、ロードされてもよい。
【０２０８】
プログラムは、コンピュータ９０１に、上記実施の形態による通信管理装置の機能を実行させるオペレーティングシステム（ＯＳ）、またはサードパーティプログラム等を必ずしも含んでいなくてもよい。プログラムは、制御された態様で適切な機能（モジュール）を呼び出し、所望の結果が得られるようにする命令の部分のみを含んでいてもよい。コンピュータシステム９００がどのように動作するのかについては周知であり、詳細な説明は省略する。
【０２０９】
本発明は、以上の実施の形態に限定されることなく、種々の変更が可能であり、それらも本発明の範囲内に包含されるものであることは言うまでもない。
【産業上の利用可能性】
【０２１０】
以上のように、本発明にかかる通信管理装置等は、通信を管理する装置等として適しており、特に、ＷＥＢサイトを提供するサーバ装置に対して異常な通信が行われていることを検出する通信管理装置等として有用である。
【図面の簡単な説明】
【０２１１】
【図１】本発明の実施の形態に係る通信管理装置を備えた情報処理システムの構成を示す模式図
【図２】本発明の実施の形態に係る通信管理装置のブロック図
【図３】同通信管理装置の動作について説明するフローチャート
【図４】同通信管理装置の動作について説明するフローチャート
【図５】同通信管理装置の動作を説明するための送受信関連情報管理表を示す図
【図６】同通信管理装置の動作を説明するための第一判断用情報管理表を示す図
【図７】同通信管理装置の動作を説明するための第二判断用情報管理表を示す図
【図８】同通信管理装置の動作を説明するためのキーワード情報管理表を示す図
【図９】同通信管理装置の動作を説明するためのＨＴＭＬファイルの一例を示す図
【図１０】同通信管理装置の動作を説明するための異常度情報管理表を示す図
【図１１】同通信管理装置の動作を説明するための通知先情報を示す図
【図１２】同通信管理装置の動作を説明するための異常通信情報の表示例を示す図
【図１３】同通信管理装置を実現するコンピュータの外観の一例を示す模式図
【図１４】同通信管理装置を実現するコンピュータの内部構成を示す図
【符号の説明】
【０２１２】
１  通信管理装置
２  ユーザ端末
３  サーバ装置
１０  情報処理システム
１００  送受信情報取得部
１０１  取得情報格納部
１０２  異常判断ルール格納部
１０３  不適切キーワード情報格納部
１０４  異常通信判断部
１０５  異常度情報取得部
１０６  異常度情報格納部
１０７  異常度判断部
１０８  出力部
１０９  通知情報格納部
１１０  不適切ページ指定受付部
１１１  不適切ページ情報取得部
１１２  不適切キーワード取得部
【図１】
2010146160.tif 000003
【図２】
2010146160.tif 000004
【図３】
2010146160.tif 000005
【図４】
2010146160.tif 000006
【図５】
2010146160.tif 000007
【図６】
2010146160.tif 000008
【図７】
2010146160.tif 000009
【図８】
2010146160.tif 000010
【図９】
2010146160.tif 000011
【図１０】
2010146160.tif 000012
【図１１】
2010146160.tif 000013
【図１２】
2010146160.tif 000014
【図１３】
2010146160.tif 000015
【図１４】
2010146160.tif 000016