(57)【特許請求の範囲】
【請求項１】
管理対象ネットワークからのアクセス先のウェブサイトの情報を含むアクセスログを蓄積するアクセスログ蓄積部と、
前記アクセスログから、既知の悪性ウェブサイトがアクセス先であるアクセスログを除外した既知悪性ウェブサイト除外済みアクセスログを抽出する既知悪性ウェブサイト除外部と、
前記既知悪性ウェブサイト除外済みアクセスログに示されるウェブサイトの情報のうち、前記管理対象ネットワークからのアクセス数が少ないウェブサイトの情報から順に所定数のウェブサイトの情報を抽出したマイナーウェブサイトリストを作成する悪性ウェブサイト候補リスト作成部と、
前記作成したマイナーウェブサイトリストを出力する出力部とを備えることを特徴とするウェブサイト情報抽出装置。
【請求項２】
前記ウェブサイト情報抽出装置は、さらに、
前記アクセスログを参照して、所定期間における前記管理対象ネットワークからのアクセス数が多いウェブサイトの情報から順に所定数のウェブサイトの情報を示したポピュラーウェブサイトリストを作成するポピュラーウェブサイトリスト作成部を備え、
前記悪性ウェブサイト候補リスト作成部は、さらに、
前記既知悪性ウェブサイト除外済みアクセスログに示されるウェブサイトの情報から、前記ポピュラーウェブサイトリストに示されるウェブサイトの情報を除外したポピュラーウェブサイト除外済みリストを作成し、
前記出力部は、さらに、
前記ポピュラーウェブサイト除外済みリストを出力することを特徴とする請求項１に記載のウェブサイト情報抽出装置。
【請求項３】
前記ウェブサイト情報抽出装置は、さらに、
過去に前記管理対象ネットワークからアクセスしたウェブサイトのうち、所定の検査により、悪性ウェブサイトと判定されたウェブサイトの情報を示す独自悪性ウェブサイトリストを蓄積する独自悪性ウェブサイトリスト蓄積部を備え、
前記既知悪性ウェブサイト除外部は、
前記既知悪性ウェブサイト除外済みアクセスログを抽出する際、前記アクセスログから、前記独自悪性ウェブサイトリストに示されるウェブサイトへのアクセスログをさらに除外することを特徴とする請求項１または２に記載のウェブサイト情報抽出装置。
【請求項４】
前記悪性ウェブサイト候補リスト作成部が、前記ポピュラーウェブサイト除外済みリストを作成する際、前記既知悪性ウェブサイト除外済みアクセスログに示されるウェブサイトの情報から、事前調査により悪性ウェブサイトである可能性が低いと判定されたウェブサイトの情報をさらに除外することを特徴とする請求項２に記載のウェブサイト情報抽出装置。
【請求項５】
前記ウェブサイトの情報は、ＵＲＬ（Uniform  Resource  Locator）、ＦＱＤＮ（Fully  Qualified  Domain  Name）、または、当該ＦＱＤＮに割り当てられているＩＰ（Internet  Protocol）アドレスであることを特徴とする請求項４に記載のウェブサイト情報抽出装置。
【請求項６】
ウェブサイトが悪性ウェブサイトか否かの検査を行う検査装置と、前記検査装置において検査対象とするウェブサイトのリストを抽出するウェブサイト情報抽出装置とを有するシステムであって、
前記ウェブサイト情報抽出装置は、
管理対象ネットワークからのアクセス先のウェブサイトの情報を含むアクセスログを蓄積するアクセスログ蓄積部と、
前記アクセスログから、既知の悪性ウェブサイトがアクセス先であるアクセスログを除外した既知悪性ウェブサイト除外済みアクセスログを抽出する既知悪性ウェブサイト除外部と、
前記既知悪性ウェブサイト除外済みアクセスログに示されるウェブサイトの情報のうち、前記管理対象ネットワークからのアクセス数が少ないウェブサイトの情報から順に所定数のウェブサイトの情報を抽出したマイナーウェブサイトリストを作成する悪性ウェブサイト候補リスト作成部と、
前記作成したマイナーウェブサイトリストを前記検査装置へ出力する出力部とを備えることを特徴とするシステム。
【請求項７】
ウェブサイト情報抽出装置が、
管理対象ネットワークからのアクセス先のウェブサイトの情報を含むアクセスログを蓄積するステップと、
前記アクセスログから、既知の悪性ウェブサイトがアクセス先であるアクセスログを除外した既知悪性ウェブサイト除外済みアクセスログを抽出するステップと、
前記既知悪性ウェブサイト除外済みアクセスログに示されるウェブサイトの情報のうち、前記管理対象ネットワークからのアクセス数が少ないウェブサイトの情報から順に所定数のウェブサイトの情報を抽出したマイナーウェブサイトリストを作成するステップと、
前記作成したマイナーウェブサイトリストを出力するステップとを含んだことを特徴とするウェブサイト情報抽出方法。
【請求項８】
管理対象ネットワークからのアクセス先のウェブサイトの情報を含むアクセスログを蓄積するステップと、
前記アクセスログから、既知の悪性ウェブサイトがアクセス先であるアクセスログを除外した既知悪性ウェブサイト除外済みアクセスログを抽出するステップと、
前記既知悪性ウェブサイト除外済みアクセスログに示されるウェブサイトの情報のうち、前記管理対象ネットワークからのアクセス数が少ないウェブサイトの情報から順に所定数のウェブサイトの情報を抽出したマイナーウェブサイトリストを作成するステップと、
前記作成したマイナーウェブサイトリストを出力するステップとをコンピュータに実行させることを特徴とするウェブサイト情報抽出プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ウェブサイト情報抽出装置、システム、ウェブサイト情報抽出方法、および、ウェブサイト情報抽出プログラムに関する。
【背景技術】
【０００２】
従来、特定の組織やその管理対象ネットワークを狙う「標的型攻撃」と呼ばれるタイプの攻撃がある。この標的型攻撃では、一般に公開されている悪性ＵＲＬ（Uniform  Resource  Locator）リストによる対策を回避するため、攻撃者が同リストに登録されていない悪性ＵＲＬを用意するケースが多数報告されている。このような標的型攻撃への対策として、「組織別悪性ＵＲＬリスト」が必要である。この「組織別悪性ＵＲＬリスト」を作成するためには、悪性ＵＲＬ候補リストを組織別に用意し、悪性ＵＲＬ検査システム等によって検査する必要がある。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１２−１１８７１３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ここで、悪性ＵＲＬ検査システムによって検査可能なＵＲＬの数には制限がある。このため、当該システムの管理者等は、悪性ＵＲＬ候補の数をある程度絞り込む必要がある。また、従来技術（例えば、特許文献１参照）において生成される悪性ＵＲＬ候補リストは、一般に公開されている悪性ＵＲＬリストのみに基づいているため、組織別の特徴は反映されない。したがって、標的型攻撃等、特定組織に使用されている悪性ＵＲＬは、悪性ＵＲＬ検査システムによる検査から漏れてしまう可能性がある。【０００５】
そこで、本発明は、前記した問題を解決し、特定組織において悪性ＵＲＬであることが疑われる悪性ＵＲＬ候補のリストを抽出することを課題とする。
【課題を解決するための手段】
【０００６】
上述した課題を解決し、目的を達成するために、本発明は、管理対象ネットワークからのアクセス先のウェブサイトの情報を含むアクセスログを蓄積するアクセスログ蓄積部と、前記アクセスログから、既知の悪性ウェブサイトがアクセス先であるアクセスログを除外した既知悪性ウェブサイト除外済みアクセスログを抽出する既知悪性ウェブサイト除外部と、前記既知悪性ウェブサイト除外済みアクセスログに示されるウェブサイトの情報のうち、前記管理対象ネットワークからのアクセス数が少ないウェブサイトの情報から順に所定数のウェブサイトの情報を抽出したマイナーウェブサイトリストを作成する悪性ウェブサイト候補リスト作成部と、前記作成したマイナーウェブサイトリストを出力する出力部とを備えることを特徴とする。
【発明の効果】
【０００７】
本発明によれば、特定組織において悪性ＵＲＬであることが疑われる悪性ＵＲＬ候補のリストを抽出することができる。
【図面の簡単な説明】
【０００８】
【図１】図１は、システムの構成例を示す図である。
【図２】図２は、システム内のサーバ、装置、端末間でやりとりされる情報の概要を示す図である。
【図３】図３は、図１の悪性ＵＲＬ候補抽出装置による悪性ＵＲＬ候補リストの作成処理を概念的に示す図である。
【図４】図４は、独自ポピュラーＵＲＬリストおよび既知悪性ＵＲＬ除外済みアクセスログの作成に用いるアクセスログの期間の一例を示す図である。
【図５】図５は、悪性ＵＲＬ候補抽出装置の処理手順を示すフローチャートである。
【図６】図６は、図５のＳ１の既知悪性ＵＲＬ除外済みアクセスログの抽出処理を示すフローチャートである。
【図７】図７は、アクセスログの受信から出力までの処理を概念的に示す図である。
【図８】図８は、既知悪性ＵＲＬ除外済みアクセスログの一例を示す図である。
【図９】図９は、図５のＳ２のマイナーＵＲＬリストの作成処理を示すフローチャートである。
【図１０Ａ】図１０Ａは、マイナーＵＲＬリスト作成部において同一ＵＲＬにアクセスしているとみなす条件の一例を示す図である。
【図１０Ｂ】図１０Ｂは、マイナーＵＲＬリスト作成部において同一ＵＲＬにアクセスしているとみなす条件の一例を示す図である。
【図１１】図１１は、図５のＳ３の独自ポピュラーＵＲＬリストの作成処理を示すフローチャートである。
【図１２】図１２は、図５のＳ４のポピュラーＵＲＬ除外済みリストの作成処理を示すフローチャートである。
【図１３】図１３は、悪性ＵＲＬ候補抽出装置の処理手順を示すフローチャートである。
【図１４】図１４は、悪性ＵＲＬ候補抽出装置の処理手順を示すフローチャートである。
【図１５】図１５は、ウェブサイト情報抽出プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【０００９】
以下、図面を参照しながら、本発明の実施形態（本実施形態）を説明する。本発明は、本実施形態に限定されない。また、以下の説明において、本システムの管理対象ネットワークのクライアント端末２０（図１参照）のアクセス先のウェブサイトの情報（ウェブサイト情報）として、ＵＲＬ（Uniform  Resource  Locator）を用いる場合を例に説明するが、ＦＱＤＮ（Fully  Qualified  Domain  Name）、または、当該ＦＱＤＮに割り当てられているＩＰ（Internet  Protocol）アドレスであってもよい。
【００１０】
本実施形態のシステムは、図１に示すように、公開悪性ＵＲＬリスト提供サーバ１０と、クライアント端末２０と、プロキシサーバ３０と、悪性ＵＲＬ候補抽出装置（ウェブサイト情報抽出装置）４０と、悪性ＵＲＬ検査装置５０とを備える。破線で示すポピュラーＵＲＬリスト（ポピュラーウェブサイトリスト）提供サーバ６０についてはシステムが装備する場合と装備しない場合とがあり、装備する場合については後記する。各サーバ、端末、装置の台数は図１に示す台数に限定されない。
【００１１】
まず、システムのサーバ、装置、端末間でやりとりされる情報の概要を、図２を用いて説明する。
【００１２】
公開悪性ＵＲＬリスト提供サーバ１０は、マルウェアの感染等のおそれのあるウェブサイトのＵＲＬのリスト（悪性ＵＲＬリスト）をインターネット等のネットワークを通じて公開する。この悪性ＵＲＬリストは、研究機関、研究者、専門家、情報セキュリティ関連企業等の収集・調査により作成されたリストである。以降、公開悪性ＵＲＬリスト提供サーバ１０が提供する悪性ＵＲＬリストを公開悪性ＵＲＬリストと称する。
【００１３】
クライアント端末２０は、本システムの管理対象ネットワークに設置される端末であり、例えば、パーソナルコンピュータ等である。プロキシサーバ３０は、このクライアント端末２０からの外部ウェブサイトに対するアクセスを中継し、アクセス先ウェブサイトのＵＲＬ、アクセス時刻、クライアント端末２０のＩＰアドレス等を示す情報（アクセスログ）を記録する。
【００１４】
悪性ＵＲＬ候補抽出装置４０は、公開悪性ＵＲＬリスト提供サーバ１０から受信した公開悪性ＵＲＬリストと、プロキシサーバ３０から受信したアクセスログと、独自悪性ＵＲＬリスト（独自悪性ウェブサイトリスト。後記）とを用いて、管理対象ネットワーク内のクライアント端末２０のアクセス先のＵＲＬの中から悪性ＵＲＬである可能性のある悪性ＵＲＬ候補リストを作成する。悪性ＵＲＬ候補抽出装置４０は、作成した悪性ＵＲＬ候補リストを悪性ＵＲＬ検査装置５０へ出力する。悪性ＵＲＬ候補抽出装置４０の詳細は後記する。
【００１５】
悪性ＵＲＬ検査装置５０は、悪性ＵＲＬ候補リストに示されるＵＲＬが悪性ＵＲＬか否かの検査を行う。この悪性ＵＲＬ検査装置５０は、ハードウェア、ソフトウェア、インターネット上で提供されているウェブサービス等、いずれによって実現されてもよい。なお、この悪性ＵＲＬ検査装置５０の検査結果は、悪性ＵＲＬ候補抽出装置４０、公開悪性ＵＲＬリスト提供サーバ１０等に送信される。また、検査結果が公開悪性ＵＲＬリスト提供サーバ１０に送信された場合、検査結果に示される悪性ＵＲＬは公開悪性ＵＲＬリストに追加され、他のユーザにも提供されることとなる。
【００１６】
通常、悪性ＵＲＬ検査装置５０による検査結果を公開悪性ＵＲＬリスト提供サーバ１０等に送信するか否かは、悪性ＵＲＬ検査装置５０のユーザによる設定等により制御可能である。検査結果が公開悪性ＵＲＬリスト提供サーバ１０に送信されなかった場合、そのユーザが属する組織のみで利用可能な固有の悪性ＵＲＬリストとなる。以降、上記悪性ＵＲＬリストを独自悪性ＵＲＬリストと称する。
【００１７】
次に、図３を用いて、悪性ＵＲＬ候補抽出装置４０による悪性ＵＲＬ候補リストの出力処理の概要を説明する。まず悪性ＵＲＬ候補抽出装置４０は、管理対象ネットワークのクライアント端末２０のアクセスログを受信すると、この中から、公開悪性ＵＲＬリストに示されるＵＲＬおよび独自悪性ＵＲＬリストに示されるＵＲＬをアクセス先とするアクセスログを除外し、既知悪性ＵＲＬ除外済みアクセスログ（既知悪性ウェブサイト除外済みアクセスログ）を得る（図３の符号３０１参照）。
【００１８】
その後、悪性ＵＲＬ候補抽出装置４０は、既知悪性ＵＲＬ除外済みアクセスログに示されるＵＲＬの中から、管理対象ネットワークのクライアント端末２０からのアクセス数が多いＵＲＬから順に抽出したリスト（独自ポピュラーＵＲＬリスト）に含まれるＵＲＬを除外する。このようにして得られたＵＲＬのリストをポピュラーＵＲＬ除外済みリスト（ポピュラーウェブサイト除外済みリスト）と呼ぶ（図３の符号３０２参照）。
【００１９】
また、悪性ＵＲＬ候補抽出装置４０は、既知悪性ＵＲＬ除外済みアクセスログに示されるＵＲＬの中から、管理対象ネットワークのクライアント端末２０からのアクセス数が少ないＵＲＬから順に抽出したリスト（マイナーＵＲＬリスト）を作成する（図３の符号３０３参照）。
【００２０】
そして、悪性ＵＲＬ候補抽出装置４０は、このマイナーＵＲＬリスト（マイナーウェブサイトリスト）およびポピュラーＵＲＬ除外済みリストを悪性ＵＲＬ候補リストとして出力する。
【００２１】
つまり、悪性ＵＲＬ候補抽出装置４０は、管理対象ネットワークのクライアント端末２０からのアクセス先のＵＲＬのうち、既に悪性ＵＲＬとして知られているＵＲＬ以外で、所定期間におけるアクセス数が比較的低いＵＲＬ群を悪性ＵＲＬ候補リストとして出力する。すなわち、このようなＵＲＬはアクセス数が少ないＵＲＬと比して相対的に安全性が高いＵＲＬとしてみなすことができるので、悪性ＵＲＬ候補抽出装置４０は、悪性ＵＲＬ候補リストから除外する。また、悪性ＵＲＬ候補抽出装置４０は、既に悪性ＵＲＬであることが分かっているＵＲＬについても悪性ＵＲＬ候補リストから除外する。つまり、悪性ＵＲＬ候補抽出装置４０は、今まで悪性ＵＲＬであることが知られておらず、かつ、あまりアクセスされていないＵＲＬを悪性ＵＲＬ候補リストとして抽出する。このようにすることで、悪性ＵＲＬ候補抽出装置４０は、標的型攻撃等、特定組織への攻撃に使用されている可能性があるＵＲＬを、悪性ＵＲＬ候補リストとして抽出することができる。
【００２２】
なお、悪性ＵＲＬ候補抽出装置４０において、独自ポピュラーＵＲＬリストの作成に用いるアクセスログは、ある程度の期間にわたるアクセスログを用いることが好ましい。
【００２３】
例えば、悪性ＵＲＬ候補抽出装置４０は、図４に示すように、既知悪性ＵＲＬ除外済みアクセスログを作成する際、悪性ＵＲＬ候補リストの作成を行う当日のアクセスログを用いるが、独自ポピュラーＵＲＬリストの作成には、悪性ＵＲＬ候補リストの作成を行う日のｎ日前〜１日前までのアクセスログを用いる。このように悪性ＵＲＬ候補抽出装置４０が、ある程度の期間におけるアクセスログを用いて独自ポピュラーＵＲＬリストを作成することで、一時的にアクセス数が低かったサイトであってもある程度の期間で見るとアクセス数が比較的多いサイトのＵＲＬを独自ポピュラーＵＲＬリストに載せることができる。
【００２４】
次に、図１へ戻り、悪性ＵＲＬ候補抽出装置４０を詳細に説明する。悪性ＵＲＬ候補抽出装置４０は、アクセスログ蓄積部４１と、既知悪性ＵＲＬ除外部（既知悪性ウェブサイト除外部）４２と、独自悪性ＵＲＬリスト蓄積部（独自悪性ウェブサイトリスト蓄積部）４３と、ポピュラーＵＲＬリスト作成部（ポピュラーウェブサイトリスト作成部）４４と、悪性ＵＲＬ候補リスト作成部（悪性ウェブサイト候補リスト作成部）４５とを備える。
【００２５】
アクセスログ蓄積部４１は、クライアント端末２０のアクセスログを蓄積する。具体的には、このアクセスログ蓄積部４１は所定期間ごとに、プロキシサーバ３０と通信を行い、プロキシサーバ３０に記録されたアクセスログを受信する。また、このアクセスログ蓄積部４１は、既知悪性ＵＲＬ除外部４２からの要求に応じて、指定期間におけるアクセスログを出力する。
【００２６】
既知悪性ＵＲＬ除外部４２は、アクセスログから既知の悪性ＵＲＬ以外のＵＲＬへのアクセスログ（既知悪性ＵＲＬ除外済みアクセスログ）を抽出する。具体的には、既知悪性ＵＲＬ除外部４２は、アクセスログ蓄積部４１から指定期間（検査対象期間）におけるアクセスログを取得する。また、公開悪性ＵＲＬリスト提供サーバ１０から公開悪性ＵＲＬリストを取得し、独自悪性ＵＲＬリスト蓄積部４３から独自悪性ＵＲＬリストを取得する。そして、既知悪性ＵＲＬ除外部４２は、取得したアクセスログに示されるアクセス先のＵＲＬと、既知の悪性ＵＲＬリスト（公開悪性ＵＲＬリストおよび独自悪性ＵＲＬリスト）に示されるＵＲＬとを照合し、取得したアクセスログから、既知の悪性ＵＲＬリストのＵＲＬをアクセス先とするアクセスログを除外した既知悪性ＵＲＬ除外済みアクセスログを抽出する。この既知悪性ＵＲＬ除外済みアクセスログは、既知の悪性ＵＲＬへのアクセスログを含んでいない。つまり、未知の悪性ＵＲＬへのアクセスログを含んでいる可能性がある。
【００２７】
独自悪性ＵＲＬリスト蓄積部４３は、悪性ＵＲＬ検査装置５０での検査により悪性ＵＲＬと判断されたＵＲＬのリストである独自悪性ＵＲＬリストを蓄積する。
【００２８】
ポピュラーＵＲＬリスト作成部４４は、アクセスログを参照して、管理対象ネットワークのクライアント端末２０からのアクセス数が比較的多いＵＲＬのリスト（独自ポピュラーＵＲＬリスト）を作成する。具体的には、ポピュラーＵＲＬリスト作成部４４は、アクセスログ蓄積部４１に蓄積されたアクセスログのうち、検査対象期間よりも前の所定期間のアクセスログに記録されたＵＲＬについて、統計処理を行い、管理対象ネットワークのクライアント端末２０からのアクセス数（またはアクセス頻度）が多いＵＲＬのリスト（独自ポピュラーＵＲＬリスト）を作成する。ここでの統計処理は、例えば、当該ＵＲＬへのアクセス数や、当該ＵＲＬにアクセスしたクライアント端末２０の数のカウント等である。この独自ポピュラーＵＲＬリストに示されるＵＲＬは、管理対象ネットワークからの日常的なアクセス数が多いサイトのＵＲＬなので、比較的信頼性の高いサイトのＵＲＬであると考えられる。
【００２９】
悪性ＵＲＬ候補リスト作成部４５は、既知悪性ＵＲＬ除外済みアクセスログに基づき、悪性ＵＲＬ候補リストを作成する。この悪性ＵＲＬ候補リスト作成部４５は、ポピュラーＵＲＬリスト除外部４５１とマイナーＵＲＬリスト作成部４５２と、悪性ＵＲＬ候補リスト出力部４５３とを備える。
【００３０】
ポピュラーＵＲＬリスト除外部４５１は、既知悪性ＵＲＬ除外済みアクセスログに示されるアクセス先のＵＲＬから独自ポピュラーＵＲＬリストに含まれるＵＲＬを除外したＵＲＬのリスト（ポピュラーＵＲＬ除外済みリスト）を作成する。具体的には、ポピュラーＵＲＬリスト除外部４５１は、既知悪性ＵＲＬ除外部４２から既知悪性ＵＲＬ除外済みアクセスログを取得し、また、ポピュラーＵＲＬリスト作成部４４から独自ポピュラーＵＲＬリストを取得する。そして、ポピュラーＵＲＬリスト除外部４５１は、取得した既知悪性ＵＲＬ除外済みアクセスログに示されるＵＲＬから、独自ポピュラーＵＲＬリストに示されるＵＲＬを除外したＵＲＬのリスト（ポピュラーＵＲＬ除外済みリスト）を作成する。ポピュラーＵＲＬリスト除外部４５１は、作成したポピュラーＵＲＬ除外済みリストを悪性ＵＲＬ候補リスト出力部４５３へ出力する。このポピュラーＵＲＬ除外済みリストに示されるＵＲＬは、過去の検査では悪性と判明しておらず、かつ、管理対象ネットワークからの日常的なアクセス数は高くないサイトのＵＲＬなので、未知の悪性ＵＲＬを含んでいる可能性がある。
【００３１】
マイナーＵＲＬリスト作成部４５２は、既知悪性ＵＲＬ除外済みアクセスログに記録されるＵＲＬについて統計処理を行い、管理対象ネットワークのクライアント端末２０からのアクセス数（またはアクセス頻度）が少ないＵＲＬのリスト（マイナーＵＲＬリスト）を作成する。マイナーＵＲＬリスト作成部４５２は、作成したマイナーＵＲＬリストを悪性ＵＲＬ候補リスト出力部４５３へ出力する。このマイナーＵＲＬリストに示されるＵＲＬは、過去の検査では悪性と判明しておらず、かつ、管理対象ネットワークからのアクセス数が少ないサイトのＵＲＬなので、未知の悪性ＵＲＬを含んでいる可能性がある。
【００３２】
悪性ＵＲＬ候補リスト出力部４５３は、ポピュラーＵＲＬ除外済みリストおよびマイナーＵＲＬリストを悪性ＵＲＬ候補リストとして出力する。この悪性ＵＲＬ候補リストは、例えば、悪性ＵＲＬ検査装置５０へ出力される。そして、この悪性ＵＲＬ候補リストを受け取った悪性ＵＲＬ検査装置５０は、当該悪性ＵＲＬ候補リストに示されるサイトに対する検査を行う。なお、悪性ＵＲＬ候補リスト出力部４５３は、悪性ＵＲＬ候補リストを出力する際、悪性ＵＲＬ検査装置５０において処理可能なファイル形式に変換して出力してもよい。
【００３３】
（処理手順）
次に、悪性ＵＲＬ候補抽出装置４０の処理手順を説明する。まず、図５を用いて悪性ＵＲＬ候補抽出装置４０の処理の概要を説明する。
【００３４】
（処理の概要）
悪性ＵＲＬ候補抽出装置４０は、アクセスログ蓄積部４１に蓄積されたアクセスログから既知悪性ＵＲＬ除外済みアクセスログを抽出する（Ｓ１）。その後、悪性ＵＲＬ候補抽出装置４０は、既知悪性ＵＲＬ除外済みアクセスログからマイナーＵＲＬリストを作成する（Ｓ２）。具体的には、悪性ＵＲＬ候補抽出装置４０は、既知悪性ＵＲＬ除外済みアクセスログに示される各アクセス先のＵＲＬについて管理対象ネットワークからのアクセス数の少ないものから優先的に抽出し、マイナーＵＲＬリストを作成する。また、悪性ＵＲＬ候補抽出装置４０は、アクセスログ蓄積部４１に蓄積されたアクセスログから独自ポピュラーＵＲＬリストを作成する（Ｓ３）。具体的には、悪性ＵＲＬ候補抽出装置４０は、アクセスログに示される各アクセス先のＵＲＬについて管理対象ネットワークからのアクセス数の多いものから優先的に抽出したマイナーＵＲＬリストを作成する。
【００３５】
その後、悪性ＵＲＬ候補抽出装置４０は、既知悪性ＵＲＬ除外済みアクセスログに示されるＵＲＬから、独自ポピュラーＵＲＬリストのＵＲＬを除外したポピュラーＵＲＬ除外済みリストを作成する（Ｓ４）。そして、悪性ＵＲＬ候補抽出装置４０は、マイナーＵＲＬリストとポピュラーＵＲＬ除外済みリストとを悪性ＵＲＬ候補リストとして出力する（Ｓ５）。
【００３６】
このようにすることで悪性ＵＲＬ候補抽出装置４０は、既知の悪性ＵＲＬ以外のＵＲＬであって、管理対象ネットワークのクライアント端末２０からのアクセス数が比較的低いサイトのＵＲＬのリストを悪性ＵＲＬ候補リストとして出力することができる。
【００３７】
なお、悪性ＵＲＬ候補抽出装置４０は、マイナーＵＲＬリストの作成（Ｓ２）を行ってから、ポピュラーＵＲＬ除外済みリストの作成（Ｓ３、Ｓ４）を行ってもよいし、ポピュラーＵＲＬ除外済みリストの作成（Ｓ３、Ｓ４）を行ってから、マイナーＵＲＬリストの作成（Ｓ２）を行ってもよい。
【００３８】
（既知悪性ＵＲＬ除外済みアクセスログの抽出）
次に、図６を用いて、図５のＳ１の既知悪性ＵＲＬ除外済みアクセスログの抽出処理を詳細に説明する。まず、悪性ＵＲＬ候補抽出装置４０のアクセスログ蓄積部４１は、プロキシサーバ３０から管理対象ネットワークのクライアント端末２０のアクセスログを受信し（Ｓ１１）、受信したアクセスログを蓄積する（Ｓ１２）。その後、アクセスログ蓄積部４１は、既知悪性ＵＲＬ除外部４２からの要求に基づき、指定期間分のアクセスログを既知悪性ＵＲＬ除外部４２へ出力する（Ｓ１３）。
【００３９】
例えば、アクセスログ蓄積部４１は、図７に示すように、プロキシサーバ３０からアクセスログの受信処理を行い、この受信したアクセスログの蓄積処理を行う。これにより、アクセスログ蓄積部４１の記憶部（図示省略）には、アクセス時刻、クライアント端末ＩＰアドレス、アクセス先ＵＲＬ等の項目からなるアクセスログが蓄積される。なお、このアクセス時刻は、クライアント端末２０がプロキシサーバ３０経由でインターネット上のサイトにアクセスした時刻であり、クライアント端末ＩＰアドレスは、クライアント端末２０のＩＰアドレスであり、アクセス先ＵＲＬは、クライアント端末２０がプロキシサーバ３０経由でアクセスしたインターネット上のサイトのＵＲＬである。そして、アクセスログ蓄積部４１は、既知悪性ＵＲＬ除外部４２からの要求に基づき、指定期間分のアクセスログの出力処理を行う。なお、この指定期間は、既知悪性ＵＲＬ除外部４２により予め設定された期間でもよいし、悪性ＵＲＬ候補抽出装置４０を動作させる都度、ユーザにより指定された期間でもよい。
【００４０】
なお、アクセスログ蓄積部４１によるアクセスログの受信方法としては、例えば、Ｓｙｓｌｏｇ等のログ転送手段によって、クライアント端末２０がインターネット上の任意のサイトにアクセスする都度、プロキシサーバ３０からアクセスログを１行ずつ受信してもよいし、ＦＴＰ（File  Transfer  Protocol）、ＳＭＢ（Server  Message  Block）等のファイル転送手段によって、所定期間ごとに、プロキシサーバ３０からある程度まとまった数のアクセスログのファイルを受信してもよい。
【００４１】
図６の説明に戻る。Ｓ１３の後、既知悪性ＵＲＬ除外部４２は、公開悪性ＵＲＬリスト提供サーバ１０から公開悪性ＵＲＬリストを受信する（Ｓ１４）。また、既知悪性ＵＲＬ除外部４２は、独自悪性ＵＲＬリスト蓄積部４３から独自悪性ＵＲＬリストを取得する（Ｓ１５）。その後、Ｓ１３で送信された指定期間分のアクセスログから、公開悪性ＵＲＬリストに含まれるＵＲＬへのアクセスログを除外し（Ｓ１６）、さらに、独自悪性ＵＲＬリストに含まれるＵＲＬへのアクセスログを除外する（Ｓ１７）。このようにすることで、既知悪性ＵＲＬ除外部４２は、既知悪性ＵＲＬ除外済みアクセスログを得る。
【００４２】
このＳ１６およびＳ１７の処理を、具体例を交えながら詳細に説明する。まずＳ１６を説明する。既知悪性ＵＲＬ除外部４２は、例えば、図６のＳ１３で出力された指定期間分のアクセスログの各行のＵＲＬフィールドの値と、Ｓ１４で受信した公開悪性ＵＲＬリストのＵＲＬとを比較する。そして、公開悪性ＵＲＬリストのＵＲＬと、アクセスログのＵＲＬフィールドの値とが一致した場合、既知悪性ＵＲＬ除外部４２が保持するアクセスログの該当行を破棄する。一方、公開悪性ＵＲＬリストのＵＲＬと、アクセスログのＵＲＬフィールドの値とが一致しなかった場合、既知悪性ＵＲＬ除外部４２が保持するアクセスログの該当行を記録する。既知悪性ＵＲＬ除外部４２は、上記の処理をアクセスログ蓄積部４１から送信された指定期間分のアクセスログの全行に対して行い、このアクセスログから、公開悪性ＵＲＬリストのＵＲＬを持つ行を除外したアクセスログを抽出する。
【００４３】
次に、Ｓ１７を詳細に説明する。既知悪性ＵＲＬ除外部４２は、Ｓ１６の処理により得られたアクセスログと、Ｓ１５で受信した独自悪性ＵＲＬリストのＵＲＬとを比較する。そして、独自悪性ＵＲＬリストのＵＲＬと、当該アクセスログのＵＲＬフィールドの値とが一致した場合、既知悪性ＵＲＬ除外部４２が保持するアクセスログの該当行を破棄する。一方、独自悪性ＵＲＬリストのＵＲＬと、当該アクセスログのＵＲＬフィールドの値とが一致しなかった場合、既知悪性ＵＲＬ除外部４２が保持するアクセスログの該当行を記録する。既知悪性ＵＲＬ除外部４２は、上記の処理をＳ１６の処理により得られたアクセスログの全行に対して行う。これにより、既知悪性ＵＲＬ除外部４２は、Ｓ１６の処理により得られたアクセスログから、独自悪性ＵＲＬリストのＵＲＬを持つ行を除外したアクセスログを得る。つまり、既知悪性ＵＲＬ除外部４２は、Ｓ１３で送信された指定期間分のアクセスログから、公開悪性ＵＲＬリストおよび独自悪性ＵＲＬリストのＵＲＬのアクセスログを除外したアクセスログ（既知悪性ＵＲＬ除外済みアクセスログ）を得る。
【００４４】
このようにすることで、既知悪性ＵＲＬ除外部４２は、既知の悪性ＵＲＬへのアクセスログを含んでいない、つまり、未知の悪性ＵＲＬへのアクセスログを含んでいる可能性があるアクセスログ（既知悪性ＵＲＬ除外済みアクセスログ）を得ることができる。
【００４５】
上記の処理により得られた既知悪性ＵＲＬ除外済みアクセスログの一例を図８に示す。例えば、既知悪性ＵＲＬ除外済みアクセスログは、クライアント端末２０のＩＰアドレスごとに、当該ＩＰアドレスのクライアント端末２０のアクセス先のＵＲＬを示した情報である。
【００４６】
（マイナーＵＲＬリストの作成）
次に、図９を用いて、図５のＳ２のマイナーＵＲＬリストの作成処理を詳細に説明する。例えば、悪性ＵＲＬ候補抽出装置４０のマイナーＵＲＬリスト作成部４５２は、既知悪性ＵＲＬ除外部４２から既知悪性ＵＲＬ除外済みアクセスログを取得し（Ｓ２１）、アクセスログに記録される各ＵＲＬについて同じＵＲＬのサイトにアクセスしているクライアント端末２０の数をカウントする（Ｓ２２）。
【００４７】
具体例を挙げると、Ｓ２２において、マイナーＵＲＬリスト作成部４５２は、既知悪性ＵＲＬ除外済みアクセスログの各ＵＲＬについて、同じＵＲＬにアクセスしているクライアント端末２０のＩＰアドレスのユニーク数をカウントする。ここで、同一ＵＲＬにアクセスしているとみなす条件は、例えば、図１０Ａに例示するように、ＵＲＬのパス部分まで一致することとしてもよいし、図１０Ｂに例示するように、ＵＲＬのＦＱＤＮ部分が一致することとしてもよい。
【００４８】
図９の説明に戻る。図９のＳ２２の後、既知悪性ＵＲＬ除外部４２は、既知悪性ＵＲＬ除外済みアクセスログの各ＵＲＬについて、アクセスしていたクライアント端末２０の数が少ないＵＲＬから順に抽出する（Ｓ２３）。このようにして抽出されたＵＲＬをマイナーＵＲＬリストとする。
【００４９】
なお、Ｓ２３で抽出するＵＲＬの数や割合は、例えば、悪性ＵＲＬ検査装置５０において調査可能なＵＲＬの数に応じて設定された値とする。
【００５０】
マイナーＵＲＬリスト作成部４５２は、上記の処理を、例えば、悪性ＵＲＬ候補抽出装置４０のユーザが予め設定した数のＵＲＬを抽出できるまで実行し、マイナーＵＲＬリストを得る。
【００５１】
このようにすることで、マイナーＵＲＬリスト作成部４５２は、過去の検査で悪性と判明しておらず、かつ、管理対象ネットワークからのアクセス数が少ないサイトのＵＲＬ（マイナーＵＲＬリスト）を得ることができる。
【００５２】
（独自ポピュラーＵＲＬリストの作成）
次に、図１１を用いて、図５のＳ３の独自ポピュラーＵＲＬリストの作成処理を詳細に説明する。例えば、ポピュラーＵＲＬリスト作成部４４は、アクセスログ蓄積部４１から指定期間分のアクセスログを取得し（Ｓ３１）、アクセスログに記録される各ＵＲＬについて同じＵＲＬのサイトにアクセスしているクライアント端末２０の数をカウントする（Ｓ３２）。なお、この指定期間は、ポピュラーＵＲＬリスト作成部４４に予め設定された期間でもよいし、悪性ＵＲＬ候補抽出装置４０を動作させる都度、ユーザが入力した期間でもよい。
【００５３】
例えば、Ｓ３２において、ポピュラーＵＲＬリスト作成部４４は、アクセスログ蓄積部４１から取得したアクセスログの各ＵＲＬについて、同じＵＲＬにアクセスしているクライアント端末２０のＩＰアドレスのユニーク数をカウントする。ここで、同一ＵＲＬにアクセスしているとみなす条件は、前記したマイナーＵＲＬリスト作成の場合と同様に、ＵＲＬのパス部分まで一致することとしてもよいし、ＵＲＬのＦＱＤＮ部分が一致することとしてもよい。
【００５４】
また、Ｓ３２の後、ポピュラーＵＲＬリスト作成部４４は、アクセスログ蓄積部４１から取得したアクセスログの各ＵＲＬについて、アクセスしていたクライアント端末２０の数が多いＵＲＬから順に抽出する（Ｓ３３）。このようにして抽出されたＵＲＬを独自ポピュラーＵＲＬリストとする。
【００５５】
なお、Ｓ３２で抽出するＵＲＬの数や割合は、例えば、管理対象ネットワークのクライアント端末２０から日常的にアクセスが発生しているサイトの種類に応じて設定された値とする。
【００５６】
ポピュラーＵＲＬリスト作成部４４は、上記の処理を、例えば、悪性ＵＲＬ候補抽出装置４０のユーザが予め設定した数のＵＲＬを抽出できるまで実行し、独自ポピュラーＵＲＬリストを得る。
【００５７】
このようにすることで、ポピュラーＵＲＬリスト作成部４４は、管理対象ネットワークからのアクセス数が多いサイトのＵＲＬのリスト（独自ポピュラーＵＲＬリスト）を得ることができる。
【００５８】
（ポピュラーＵＲＬ除外済みリストの作成）
次に、図１２を用いて、図５のＳ４のポピュラーＵＲＬ除外済みリストの作成処理を詳細に説明する。例えば、ポピュラーＵＲＬリスト除外部４５１は、既知悪性ＵＲＬ除外部４２から既知悪性ＵＲＬ除外済みアクセスログを取得し（Ｓ４１）、ポピュラーＵＲＬリスト作成部４４から独自ポピュラーＵＲＬリストを取得する（Ｓ４２）。
【００５９】
その後、ポピュラーＵＲＬリスト除外部４５１は、既知悪性ＵＲＬ除外済みアクセスログから独自ポピュラーＵＲＬリストに含まれるＵＲＬへのアクセスログを除外し（Ｓ４３）、その除外したアクセスログに含まれるＵＲＬを抽出する（Ｓ４４）。
【００６０】
例えば、ポピュラーＵＲＬリスト除外部４５１は、既知悪性ＵＲＬ除外済みアクセスログの各行のＵＲＬフィールドの値と、独自ポピュラーＵＲＬリストのＵＲＬとを比較する。そして、独自ポピュラーＵＲＬリストに含まれるＵＲＬと、既知悪性ＵＲＬ除外済みアクセスログのＵＲＬフィールドの値が一致した場合、ポピュラーＵＲＬリスト除外部４５１が保持する既知悪性ＵＲＬ除外済みアクセスログの該当行を破棄する。一方、独自ポピュラーＵＲＬリストに含まれるＵＲＬと、既知悪性ＵＲＬ除外済みアクセスログのＵＲＬフィールドの値が一致しなかった場合、ポピュラーＵＲＬリスト除外部４５１が保持する既知悪性ＵＲＬ除外済みアクセスログの該当行を記録する。ポピュラーＵＲＬリスト除外部４５１は、上記の処理を既知悪性ＵＲＬ除外済みアクセスログの全行に対して行い、既知悪性ＵＲＬ除外済みアクセスログから、独自ポピュラーＵＲＬリストに示されるＵＲＬを持つ行を除外したアクセスログを得る。そして、ポピュラーＵＲＬリスト除外部４５１は、このアクセスログの各行のＵＲＬフィールドの値を抽出し、ポピュラーＵＲＬ除外済みリストを得る。
【００６１】
このようにすることで、ポピュラーＵＲＬリスト除外部４５１は、過去の検査では悪性と判明しておらず、かつ、管理対象ネットワークからの日常的なアクセス数は多くないサイトのＵＲＬのリスト（ポピュラーＵＲＬ除外済みリスト）を得ることができる。
【００６２】
以上説明した悪性ＵＲＬ候補抽出装置４０によれば、既知の悪性ＵＲＬ以外のＵＲＬであって、管理対象ネットワークのクライアント端末２０からのアクセス数が比較的低いサイトのＵＲＬのリストを悪性ＵＲＬ候補リストとして出力することができる。つまり、悪性ＵＲＬ候補抽出装置４０は、標的型攻撃等、特定組織への攻撃に使用されている可能性があるＵＲＬを悪性ＵＲＬ候補リストとして出力することができる。
【００６３】
（その他の実施形態）
なお、前記した実施形態においてポピュラーＵＲＬリスト除外部４５１は、独自ポピュラーＵＲＬリストに加え、外部機関により作成されたポピュラーＵＲＬリストも用いてポピュラーＵＲＬ除外済みリストを作成するようにしてもよい。すなわち、ポピュラーＵＲＬリスト除外部４５１は、既知悪性ＵＲＬ除外済みアクセスログから、独自ポピュラーＵＲＬリストにもポピュラーＵＲＬリストにも載っていないＵＲＬのアクセスログを抽出し、ポピュラーＵＲＬ除外済みリストを作成する。なお、このポピュラーＵＲＬリストは、例えば、研究機関、研究者、専門家、情報関連企業等により作成された、世界的にアクセスが多い、換言すれば、多くのユーザが日常的にアクセスしており信頼性の高いサイトのＵＲＬのリストである。このポピュラーＵＲＬリストは、例えば、図１に示すポピュラーＵＲＬリスト提供サーバ６０により提供される公開ポピュラーＵＲＬリストを用いる。
【００６４】
また、前記した実施形態において悪性ＵＲＬ候補抽出装置４０の悪性ＵＲＬ候補リスト作成部４５は、マイナーＵＲＬリスト作成部４５２およびポピュラーＵＲＬリスト除外部４５１の両方を備えることとしたが、これらのいずれかを備えるようにしてもよい。すなわち、悪性ＵＲＬ候補リスト出力部４５３は、マイナーＵＲＬリスト、ポピュラーＵＲＬ除外済みリストのいずれかを悪性ＵＲＬ候補リストとして出力するようにしてもよい。
【００６５】
例えば、図１３に示すように、悪性ＵＲＬ候補抽出装置４０の既知悪性ＵＲＬ除外部４２が、アクセスログ蓄積部４１に蓄積されたアクセスログから既知悪性ＵＲＬ除外済みアクセスログを抽出した（Ｓ１）後、悪性ＵＲＬ候補リスト作成部４５はマイナーＵＲＬリスト作成部４５２により、既知悪性ＵＲＬ除外済みアクセスログからマイナーＵＲＬリストを作成する（Ｓ２）。その後、悪性ＵＲＬ候補リスト出力部４５３は、Ｓ２で作成されたマイナーＵＲＬリストを悪性ＵＲＬ候補リストとして出力してもよい（Ｓ６）。
【００６６】
また、例えば、図１４に示すように、悪性ＵＲＬ候補抽出装置４０の既知悪性ＵＲＬ除外部４２が、アクセスログ蓄積部４１に蓄積されたアクセスログから既知悪性ＵＲＬ除外済みアクセスログを抽出した（Ｓ１）後、ポピュラーＵＲＬリスト作成部４４がアクセスログ蓄積部４１に蓄積されたアクセスログから独自ポピュラーＵＲＬリストを作成する（Ｓ３）。その後、悪性ＵＲＬ候補リスト作成部４５は、ポピュラーＵＲＬリスト除外部４５１により、既知悪性ＵＲＬ除外済みアクセスログに示されるＵＲＬから、独自ポピュラーＵＲＬリストのＵＲＬを除外したポピュラーＵＲＬ除外済みリストを作成する（Ｓ４）。そして、悪性ＵＲＬ候補抽出装置４０は、Ｓ４で作成されたポピュラーＵＲＬ除外済みリストを悪性ＵＲＬ候補リストとして出力してもよい（Ｓ７）。
【００６７】
このようにすることでも、悪性ＵＲＬ候補抽出装置４０は、既知悪性ＵＲＬ除外済みアクセスログの中から、比較的アクセス数が少ないＵＲＬを悪性ＵＲＬ候補リストとして出力することができる。
【００６８】
（プログラム）
また、上記実施形態に係る悪性ＵＲＬ候補抽出装置４０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータに読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、悪性ＵＲＬ候補抽出装置４０と同様の機能を実現するウェブサイト情報抽出プログラムを実行するコンピュータの一例を説明する。
【００６９】
図１５は、ウェブサイト情報抽出プログラムを実行するコンピュータを示す図である。図１５に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
【００７０】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
【００７１】
ここで、図１５に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各リストは、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
【００７２】
また、ウェブサイト情報抽出プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明した悪性ＵＲＬ候補抽出装置４０が実行する各処理が記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。
【００７３】
また、ウェブサイト情報抽出プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
【００７４】
なお、ウェブサイト情報抽出プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、ウェブサイト情報抽出プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local  Area  Network）やＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００７５】
１０    公開悪性ＵＲＬリスト提供サーバ
２０    クライアント端末
３０    プロキシサーバ
４０    悪性ＵＲＬ候補抽出装置
４１    アクセスログ蓄積部
４２    既知悪性ＵＲＬ除外部
４３    独自悪性ＵＲＬリスト蓄積部
４４    ポピュラーＵＲＬリスト作成部
４５    悪性ＵＲＬ候補リスト作成部
５０    悪性ＵＲＬ検査装置
６０    ポピュラーＵＲＬリスト提供サーバ
４５１  ポピュラーＵＲＬリスト除外部
４５２  マイナーＵＲＬリスト作成部
４５３  悪性ＵＲＬ候補リスト出力部
【図１】
0006030272.tif 000002
【図２】
0006030272.tif 000003
【図３】
0006030272.tif 000004
【図４】
0006030272.tif 000005
【図５】
0006030272.tif 000006
【図６】
0006030272.tif 000007
【図７】
0006030272.tif 000008
【図８】
0006030272.tif 000009
【図９】
0006030272.tif 000010
【図１０Ａ】
0006030272.tif 000011
【図１０Ｂ】
0006030272.tif 000012
【図１１】
0006030272.tif 000013
【図１２】
0006030272.tif 000014
【図１３】
0006030272.tif 000015
【図１４】
0006030272.tif 000016
【図１５】
0006030272.tif 000017