(57)【要約】【課題】サーバ装置の処理負荷を増大させることなく、大量にコールスパムを発信した発信者端末を不正端末として特定する。【解決手段】発信者端末と受信者端末との間で接続要求の転送を行うサーバ装置へ発信者端末から発信された接続要求の発信履歴を記憶する履歴記憶工程と、履歴記憶工程によって記憶された発信履歴から発信者端末によって発信された所定期間毎の接続要求の総数を取得し、総数に基づいて異常トラフィックが発生した所定期間である異常発生期間を判定する異常判定工程と、異常判定工程によって判定された異常発生期間内に発信された接続要求の発信元となっている発信者端末による接続要求の内訳に基づいて不正端末を特定する不正端末特定工程とによって不正端末を特定する。【選択図】図２
2011004082.tif 000002
【特許請求の範囲】
【請求項１】
発信者端末と受信者端末との間で接続要求の転送を行うサーバ装置へ前記発信者端末から発信された前記接続要求の発信履歴を記憶する履歴記憶工程と、
前記履歴記憶工程によって記憶された前記発信履歴から前記発信者端末によって発信された所定期間毎の前記接続要求の総数を取得し、前記総数に基づいて異常トラフィックが発生した前記所定期間である異常発生期間を判定する異常判定工程と、
前記異常判定工程によって判定された前記異常発生期間内に発信された前記接続要求の発信元となっている前記発信者端末による前記接続要求の内訳に基づいて不正端末を特定する不正端末特定工程と
を含んだことを特徴とする不正端末特定方法。
【請求項２】
前記異常判定工程は、
前記所定期間毎の接続要求の総数に基づいて前記異常発生期間の候補を選択する期間選択工程と、
前記期間選択工程によって選択された前記異常発生期間の候補における期間内に前記接続要求を発信した前記発信者端末のばらつき度合いを示す無作為度を算出する無作為度算出工程と、
前記無作為度算出工程によって算出された前記無作為度が予め設定した無作為度閾値未満であった前記異常発生期間の候補を前記異常発生期間と決定する期間決定工程と
を含んだことを特徴とする請求項１に記載の不正端末特定方法。
【請求項３】
前記不正端末特定工程は、
前記異常発生期間に一つの前記発信者端末から発信される前記接続要求の平均数を基準とした場合に、前記異常発生期間に各前記発信者端末によって発信された前記接続要求の数が発生する確率を算出する確率算出工程と、
確率算出工程によって算出された前記確率が予め設定した確率閾値未満であった前記発信者端末を不正候補として選択する候補選択工程と、
前記候補選択工程によって選択された不正候補の中から前記不正端末を確定する不正端末確定工程と
を含んだことを特徴とする請求項１又は請求項２に記載の不正端末特定方法。
【請求項４】
前記不正端末確定工程は、
前記候補選択工程によって選択された前記不正候補に対して不正レベルの初期値を設定して不正リストへ登録する候補登録工程と、
前記候補選択工程によって選択された前記不正候補が既に前記不正リストへ登録されていた場合に、当該不正候補の不正レベルを高めるレベル更新工程と、
レベル更新工程によって更新された不正レベルが予め設定したレベル閾値を超えた前記不正候補を前記不正端末と決定する不正端末決定工程と
を含んだことを特徴とする請求項３に記載の不正端末特定方法。
【請求項５】
前記レベル更新工程は、
前記不正リストへ登録された前記不正候補によって前記異常発生期間内に前記接続要求が発信された時間間隔が予め設定した間隔閾値未満であった場合に、当該不正候補の不正レベルを高めることを特徴とする請求項４に記載の不正端末特定方法。
【請求項６】
発信者端末と受信者端末との間で接続要求の転送を行うサーバ装置へ前記発信者端末から発信された前記接続要求の発信履歴を記憶する履歴記憶部と、
前記履歴記憶部によって記憶された前記発信履歴から前記発信者端末によって発信された所定期間毎の前記接続要求の総数を取得し、前記総数に基づいて異常トラフィックが発生した前記所定期間である異常発生期間を判定する異常判定部と、
前記異常判定部によって判定された前記異常発生期間内に発信された前記接続要求の発信元となっている前記発信者端末による前記接続要求の内訳に基づいて不正端末を特定する不正端末特定部と
を有することを特徴とする不正端末特定システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正に不特定多数の受信者端末へ接続要求を発信した不正端末を特定する不正端末特定方法および不正端末特定システムに関する。
【背景技術】
【０００２】
近年、ＳＩＰ（Session  Initiation  Protocol）を利用して、ＩＰ（Internet  Protocol）ネットワークを通じて通話を行うインターネット電話サービス（以下、「ＩＰ電話」という。）が普及してきている。
【０００３】
なぜならば、ＩＰ電話は、固定電話機同士で通話を行う従来の電話サービスとは異なり、固定電話機がない環境であってもＩＰネットワークに接続可能な環境であれば、ＰＤＡ（Personal  Digital  Assistant）等の端末を利用して誰でも手軽に通話が可能だからである。
【０００４】
しかも、ＩＰ電話は、通話時間や通話距離に関係なく使用料が一律なＩＰネットワークを利用するため、従来の電話回線を利用する電話サービスに比べて安価な通話料によって通話を行うことができるという利点もある。
【０００５】
このように、ＩＰ電話は、通話時間や通話距離を気にすることなく誰もが気軽に利用できる電話サービスであるため、悪意のある利用者が不特定多数の利用者に対して不必要な迷惑電話をかけることが予想される。
【０００６】
一般にＩＰ電話では、発信者端末から発信された接続要求に対して受信者端末が接続許可を行った場合に、発信者端末と受信者端末とが通話可能に接続される。したがって、悪意のある利用者が不特定多数の受信者端末へ膨大な量の不必要な接続要求（以下、「コールスパム」という。）を発信した場合、受信者端末に大きな処理負荷がかかる。
【０００７】
そのため、ＩＰ電話の管理者は、コールスパムによる受信者端末の処理負荷が増大することを防止するために、コールスパムと悪意のない通常の接続要求とを識別して、コールスパムを発信した発信者端末を特定し、コールスパムの発信を阻止する必要がある。
【０００８】
例えば、特許文献１には、発信者端末から受信者端末へ接続要求の転送を行って発信者端末と受信者端末との接続を制御するサーバ装置によってコールスパムと悪意のない通常の接続要求とを識別する技術が開示されている。
【０００９】
特許文献１に記載の技術では、受信者端末によって予め設定された接続条件に対応するアクセスコードを含まない接続要求をサーバ装置が受付けた場合に、サーバ装置が受付けた接続要求を悪意のない通常の接続要求ではないと判断する。
【００１０】
また、悪意のある発信者端末が不特定多数の受信者端末へ向けて大量に発信する不必要な電子メール（e-mail  spam）を検知する技術をＩＰ電話に適用してコールスパムを検知する技術も知られている（例えば、非特許文献１参照）。
【００１１】
このように、コールスパムと通常の接続要求とを識別可能な技術を用いれば、悪意のない通常の接続要求ではないと判断された接続要求が受信者端末に転送されることがないので、不必要な接続要求のために受信者端末の処理負荷が増大することを防止することができる。
【先行技術文献】
【特許文献】
【００１２】
【特許文献１】特開２００５−１２４０００号公報
【非特許文献】
【００１３】
【非特許文献１】Ram  Dantu  and  Prakash  Kolan,“Detecting  Spam  in  VoIP  Networks”，In:  Proceedings  of  steps  to  reducing  unwanted  traffic  on  the  Internet  workshop,  pp.31-37，  July  2005,  USA.
【発明の概要】
【発明が解決しようとする課題】
【００１４】
しかしながら、上記従来の技術では、サーバ装置が接続要求を受付ける度に、全ての接続要求を分析して悪意のない通常の接続要求であるのか否かを判定しなければならなかった。そのため、サーバ装置が大量の接続要求を受付けた場合には、サーバ装置の処理負荷が増大してしまう。
【００１５】
また、リアルタイムで個々の接続要求が通常の接続要求であるのか否かを判定しても、通常の接続要求でないと判定された接続要求が大量に発信されたコールスパムか否かを判断することは困難である。そのため、従来の技術では、大量にコールスパムを発信した発信者端末を特定することが困難であった。
【００１６】
本発明は、上記に鑑みてなされたものであって、サーバ装置の処理負荷を増大させることなく、大量にコールスパムを発信した発信者端末を不正端末として特定することができる不正端末特定方法および不正端末特定システムを提供することを目的とする。
【課題を解決するための手段】
【００１７】
上述して課題を解決し、目的を達成するために、本発明では、発信者端末と受信者端末との間で接続要求の転送を行うサーバ装置へ前記発信者端末から発信された前記接続要求の発信履歴を記憶する履歴記憶工程と、前記履歴記憶工程によって記憶された前記発信履歴から前記発信者端末によって発信された所定期間毎の前記接続要求の総数を取得し、前記総数に基づいて異常トラフィックが発生した前記所定期間である異常発生期間を判定する異常判定工程と、前記異常判定工程によって判定された前記異常発生期間内に発信された前記接続要求の発信元となっている前記発信者端末による前記接続要求の内訳に基づいて不正端末を特定する不正端末特定工程とを含んだ不正端末特定方法を提供することとした。
【００１８】
また、本発明は、前記不正端末特定方法において、前記異常判定工程は、前記所定期間毎の接続要求の総数に基づいて前記異常発生期間の候補を選択する期間選択工程と、前記期間選択工程によって選択された前記異常発生期間の候補における期間内に前記接続要求を発信した前記発信者端末のばらつき度合いを示す無作為度を算出する無作為度算出工程と、前記無作為度算出工程によって算出された前記無作為度が予め設定した無作為度閾値未満であった前記異常発生期間の候補を前記異常発生期間と決定する期間決定工程とを含んだことを特徴とする。
【００１９】
また、本発明は、前記不正端末特定方法において、前記不正端末特定工程は、前記異常発生期間に一つの前記発信者端末から発信される前記接続要求の平均数を基準とした場合に、前記異常発生期間に各前記発信者端末によって発信された前記接続要求の数が発生する確率を算出する確率算出工程と、確率算出工程によって算出された前記確率が予め設定した確率閾値未満であった前記発信者端末を不正候補として選択する候補選択工程と、前記候補選択工程によって選択された不正候補の中から前記不正端末を確定する不正端末確定工程とを含んだことを特徴とする。
【００２０】
また、本発明は、前記不正端末特定方法において、前記不正端末確定工程は、前記候補選択工程によって選択された前記不正候補に対して不正レベルの初期値を設定して不正リストへ登録する候補登録工程と、前記候補選択工程によって選択された前記不正候補が既に前記不正リストへ登録されていた場合に、当該不正候補の不正レベルを高めるレベル更新工程と、レベル更新工程によって更新された不正レベルが予め設定したレベル閾値を超えた前記不正候補を前記不正端末と決定する不正端末決定工程とを含んだことを特徴とする。
【００２１】
また、本発明は、前記不正端末特定方法において、前記レベル更新工程は、前記不正リストへ登録された前記不正候補によって前記異常発生期間内に前記接続要求が発信された時間間隔が予め設定した間隔閾値未満であった場合に、当該不正候補の不正レベルを高めることを特徴とする。
【００２２】
また、本発明では、発信者端末と受信者端末との間で接続要求の転送を行うサーバ装置へ前記発信者端末から発信された前記接続要求の発信履歴を記憶する履歴記憶部と、前記履歴記憶部によって記憶された前記発信履歴から前記発信者端末によって発信された所定期間毎の前記接続要求の総数を取得し、前記総数に基づいて異常トラフィックが発生した前記所定期間である異常発生期間を判定する異常判定部と、前記異常判定部によって判定された前記異常発生期間内に発信された前記接続要求の発信元となっている前記発信者端末による前記接続要求の内訳に基づいて不正端末を特定する不正端末特定部とを有する不正端末特定システムを提供することとした。
【発明の効果】
【００２３】
本発明によれば、サーバ装置の処理負荷を増大させることなく、大量にコールスパムを発信した発信者端末を不正端末として特定することができる。
【図面の簡単な説明】
【００２４】
【図１】図１は、本実施形態に係る不正端末特定システムと通信ネットワークとの接続関係を示す説明図である。
【図２】図２は、本実施形態に係る不正端末特定装置による不正端末特定方法の概要を示す説明図である。
【図３】図３は、本実施形態に係る不正端末特定装置が不正端末を特定するまでの動作手順の一例を示す説明図である。
【図４】図４は、本実施形態に係る不正端末特定装置が不正端末を特定するまでの動作手順の一例を示す説明図である。
【図５】図５は、不正端末特定部が記憶している不正リストの一例を示す説明図である。
【図６】図６は、本実施形態に係る不正端末特定装置が実行する処理を示すフローチャートである。
【図７】図７は、不正候補の選択から不正端末の報告までに実行されるアルゴリズムを示す説明図である。
【発明を実施するための形態】
【００２５】
以下、本発明に係る不正端末特定方法および不正端末特定システムの一実施形態について、図面を参照して説明する。図１は、本実施形態に係る不正端末特定システムと通信ネットワークとの接続関係を示す説明図である。
【００２６】
本実施形態の不正端末特定システムＳは、ＳＩＰ（Session  Initiation  Protocol）を利用して、ＩＰ（Internet  Protocol）ネットワーク３０を通じて通話を行うインターネット電話サービス（以下、「ＩＰ電話」という。）利用者の端末群の中から、不特定多数の他の端末に対して不必要な接続要求を大量に発信した端末を不正端末として特定するシステムである。
【００２７】
以下、各端末から発信される接続要求をインバイト、インバイトを発信した端末を発信者端末、インバイトを受信する端末を受信者端末、特定の発信者端末から不特定多数の受信者端末へ大量に発信されるインバイトをコールスパムという。なお、発信者端末と受信者端末とを区別しない場合には、単に端末という。
【００２８】
図１に示すように、本実施形態に係る不正端末特定システムＳは、ＩＰ電話を利用可能な複数の端末２０が接続されたＩＰネットワーク３０とＳＩＰサーバ５０との間に設けられたターミナルアダプタ４０に接続されている。
【００２９】
図１に示す複数の端末２０は、ＩＰ電話利用者がＩＰ電話による通話に使用するＩＰ電話機やＰＤＡ（Personal  Digital  Assistant）等の端末装置である。また、ＳＩＰサーバ５０は、発信者端末から受信者端末へのインバイトの転送や受信者端末から発信者端末への接続許可の転送等を行うサーバ装置である。
【００３０】
発信者端末から発信されたインバイトは、ＩＰネットワーク３０、ターミナルアダプタ４０、ＳＩＰサーバ５０を解して受信者端末へ転送される。そのため、発信者端末から発信されたインバイトは、全てターミナルアダプタ４０を通過する。
【００３１】
そして、不正端末特定システムＳは、ターミナルアダプタ４０を通過してＳＩＰサーバ５０へ伝送されるインバイトのトラフィック状態を監視することによって、コールスパムが発信されたことを検知し、検知したコールスパムを発信した発信者端末を不正端末として特定する。
【００３２】
特に、本実施形態の不正端末特定システムＳは、コールスパムを発信した不正端末を特定する不正端末特定装置１とＳＩＰサーバ５０へ向けて発信者端末から発信されたインバイトの発信履歴を記憶するトラフィックデータベース２とを備えている。
【００３３】
本実施形態では、図１に示すトラフィックデータベース２が、発信者端末と受信者端末との間で接続要求（インバイト）の転送を行うサーバ装置（ＳＩＰサーバ５０）へ前記発信者端末から発信された接続要求（インバイト）の発信履歴を記憶する履歴記憶工程を実行する。
【００３４】
不正端末特定装置１は、発信者端末から発信された各インバイトをリアルタイムで分析するのではなく、トラフィックデータベース２に記憶されている所定期間毎の発信履歴を分析することによって、コールスパムの発信による異常トラフィックの発生を検知する。
【００３５】
そして、不正端末特定装置１は、異常トラフィックの発生が検知された所定期間（以下、「異常発生期間」という。）内に各発信者端末が発信していたインバイトの数に基づいて、不正端末の特定を行う。
【００３６】
このように、本実施形態の不正端末特定システムＳでは、コールスパムの発信による異常トラフィックの発生を検知するまでは、発信者端末から発信された各インバイトを分析せずにトラフィック状態だけを監視する。
【００３７】
そして、不正端末特定システムＳは、コールスパムの発信による異常トラフィックの発生を検知した場合に限り、異常発生期間に発信されたインバイトの内訳を分析して不正端末を特定する。このとき、不正端末特定システムＳは、各インバイトの発信元や発信されたインバイトの数を分析してコールスパムを発信した不正端末を特定する。
【００３８】
そのため、不正端末特定システムＳは、発信者端末から発信された各インバイトをリアルタイムで分析していた従来の技術に比べて少ない処理量でコールスパムが発信されたことの検知及びコールスパムを発信した不正端末の特定を行うことができる。
【００３９】
また、本実施形態の不正端末特定システムＳによれば、ＳＩＰサーバ５０は、コールスパムが発信されたことの検知及びコールスパムを発信した不正端末の特定に関する処理を一切実行する必要がないため、ＳＩＰサーバ５０の処理負荷が増大することもない。
【００４０】
次に、図２を参照して、不正端末特定装置１による不正端末特定方法の概要について説明する。図２は、本実施形態に係る不正端末特定装置１による不正端末特定方法の概要を示す説明図である。
【００４１】
図２に示すように、不正端末２３以外の正当な発信者端末２１は、通話の相手となる一台の受信者端末２２へ向けて一つのインバイトを発信する。そのため、インバイトを発信する端末が全て正当な発信者端末２１であった場合、ＳＩＰサーバ５０へ伝送されるインバイトの数は比較的少ない。
【００４２】
これに対して、不正端末２３は、不特定多数の受信者端末２２へ向けて不必要なインバイトであるコールスパムを大量に発信する。そのため、不正端末２３からコールスパムが大量に発信されると、ＳＩＰサーバ５０へ伝送されるインバイトの数が急激に増加する。
【００４３】
そこで、本実施形態の不正端末特定システムＳは、コールスパムの大量発信を検知するために、ＳＩＰサーバ５０へ伝送されるインバイトの数を含むトラフィック情報を取得してインバイトの発信履歴としてトラフィックデータベース２に記憶する。
【００４４】
そして、不正端末特定装置１は、トラフィックデータベース２からインバイトの発信履歴を取得し、取得した発信履歴を分析することによってコールスパムの大量発信と、コールスパムを発信した不正端末２３の特定とを行う。
【００４５】
具体的には、不正端末特定装置１は、ＳＩＰサーバ５０へ伝送されるインバイトのトラフィック状態を分析して、異常トラフィックが発生したか否かを判定する異常判定部１１を備えている。
【００４６】
また、不正端末特定装置１は、異常判定部１１によって異常トラフィックが発生したと判定された場合に、異常トラフィックが発生した異常発生期間にインバイトを発信した端末の中から不正端末２３を特定する不正端末特定部１２を備えている。
【００４７】
異常判定部１１は、トラフィックデータベース２からインバイトの発信履歴を取得し、取得した発信履歴から時間経過に伴って変化するＳＩＰサーバ５０へ発信された所定期間毎のインバイトの総数と、予め設定した総数閾値とを比較して異常トラフィックの発生を検知する処理部である。
【００４８】
ここでの総数閾値は、不正端末２３でない複数の正当な発信者端末２１がインバイトを発信した場合を想定して行ったシミュレーションによって得たトラフィック情報を用いて、所定期間（例えば、１分間）内にＳＩＰサーバ５０へ発信されるインバイトの数の上限を予測して算出した閾値である。
【００４９】
そして、異常判定部１１は、所定期間（例えば、１分間）内に発信されたインバイトの数（インバイト数）が総数閾値を超えたことを検知した場合に、通常ではありえない数のインバイトが発信されて異常トラフィックが発生したと判定する。
【００５０】
このとき、異常判定部１１は、各インバイトの送信元等を分析することなく、単に所定時間内にＳＩＰサーバ５０へ発信されたインバイトの総数を分析して異常トラフィックが発生したか否かを判定し、判定結果を不正端末特定部１２へ出力する。
【００５１】
不正端末特定部１２は、異常判定部１１から異常トラフィックが発生したことを示す判定結果が入力されると、異常発生期間における発信履歴を用いて不正端末２３の特定を行う。
【００５２】
すなわち、不正端末特定部１２は、ＩＰ電話を利用する全ての端末の中から異常発生期間にインバイトを発信した発信者端末２１を選択し、選択した発信者端末２１が異常発生期間に発信したインバイトの数を分析して不正端末２３を特定する。
【００５３】
例えば、不正端末特定部１２は、所定期間（例えば、１分間）内に通常ではありえない数（例えば、１分間に６０）のインバイトを発信していたユーザＩＤがＢの発信者端末２１を不正端末２３として特定する。
【００５４】
このように、本実施形態の不正端末特定システムＳは、異常トラフィックの発生を検知するまでは、所定期間内に発信されたインバイトの総数を分析し、異常トラフィックが発生して初めて各インバイトを発信した発信者端末２１や各発信者端末２１により発信されたインバイトの数を分析する。
【００５５】
しかも、不正端末特定部１２は、トラフィックデータベース２に記憶されている発信履歴の中から選択した異常発生期間の発信履歴だけを分析して不正端末２３の特定を行う。このため、不正端末特定装置１は、ＳＩＰサーバ５０へ発信された全てのインバイトをリアルタイムで分析するよりも遥かに少ない情報処理量で不正端末２３を特定することができる。
【００５６】
次に、図３及び図４を参照して、本実施形態の不正端末特定装置１が不正端末２３を特定するまでの詳細な動作手順について説明する。図３及び図４は、本実施形態に係る不正端末特定装置１が不正端末２３を特定するまでの動作手順の一例を示す説明図である。
【００５７】
不正端末特定装置１では、異常判定部１１がトラフィックデータベース２に記憶されている発信履歴から所定期間内にＳＩＰサーバ５０へ発信されたインバイトの総数（インバイト数）を取得する。
【００５８】
ここでは、図３（ａ）に示すように、異常判定部１１がｔ０〜ｔ１、ｔ１〜ｔ２、ｔ２〜ｔ３、ｔ３〜ｔ４・・・という各所定期間内にＳＩＰサーバ５０へ発信されたインバイトの数（インバイト数）を取得したとする。
【００５９】
所定期間毎のインバイト数を取得すると、異常判定部１１は、各所定期間のインバイト数と予め設定した総数閾値とを比較して、異常トラフィックが発生したか否かを判定する。図３（ａ）に示す例では、ｔ２〜ｔ３の間のインバイト数が総数閾値を超えているため、異常判定部１１は、ｔ２〜ｔ３の間を異常発生期間の候補として選択する。
【００６０】
そして、異常判定部１１は、異常トラフィックが発生したか否かを判定する場合
【数１】
2011004082.tif 000003
という数式を利用した演算処理を行う。
【００６１】
すなわち、異常判定部１１は、ある正当な発信者端末２１の組（sample  unit）と、sample  unitを構成する発信者端末２１が所定期間内に発信するインバイトの総数の平均値（sample  mean）と、分析変数（analysis  parameter）と、所定期間（analysis  time  windoｗ）と、閾値変数（threshold  parameter）とを上記のように設定する。
【００６２】
そして、異常判定部１１は、設定した各値を（式１）へ代入することによって、所定期間にsample  unitを構成する発信者端末２１から発信されることが予想されるインバイトの総数ＥＩＷを算出する。
【００６３】
その後、異常判定部１１は、算出した所定期間に発信が予想されるインバイトの総数ＥＩＷを（式２）へ代入することによって総数閾値ＴＩvolumeを算出する。
【００６４】
そして、異常判定部１１は、算出した総数閾値ＴＩvolumeと各所定期間内に発信者端末２１から発信されたインバイトの総数ＣＩＷとが（式３）の関係を満たした場合に、異常トラフィックが発生したと判定する。
【００６５】
次に、異常判定部１１は、異常発生期間の候補における期間（ここでは、ｔ２〜ｔ３の間）にインバイトを発信した発信者端末２１のユーザＩＤのばらつき度合いである無作為度を示すエントロピー値を算出する。
【００６６】
そして、異常判定部１１は、算出した異常発生期間の候補におけるエントロピー値と予め設定した無作為度閾値とを比較して、不正端末２３によって大量にコールスパムが発信されたか否かを判定する。
【００６７】
ここで異常判定部１１が算出するエントロピー値は、異常発生期間の候補における期間にインバイトを発信したユーザが特定のユーザに集中しているほど低い値をとる。図３（ｂ）に示す例では、異常発生期間の候補ｔ２〜ｔ３におけるエントロピー値が無作為度閾値未満となっている。
【００６８】
そのため、異常判定部１１は、異常発生期間の候補ｔ２〜ｔ３の間に、不正端末２３によって大量にコールスパムが発信されたと判定し、ｔ２〜ｔ３の期間を異常判定期間と決定するこのとき、異常判定部１１は、
【数２】
2011004082.tif 000004
という数式を利用した演算処理を行うことによって大量にコールスパムが発信されたか否かを判定する。
【００６９】
すなわち、異常判定部１１は、異常発生期間の候補の期間内に発信者端末２１から発信されたインバイトの総数をＣＩＷ、異常発生期間の候補の期間内にあるユーザｉの発信者端末２３から発信されたインバイトの数をＵｉＩとして、これらを（式４）へ代入することにより、異常発生期間の候補の期間内にユーザｉの発信者端末２３からインバイトが発信された周期Ｐｉを算出する。
【００７０】
その後、異常判定部１１は、算出した周期Ｐｉと異常発生期間の候補の期間内に発信者端末２１から発信されたインバイトの総数をＣＩＷとを（式５）へ代入することによって、異常発生期間の候補の期間内におけるエントロピー値Ｈ（ｓ）を算出する。
【００７１】
そして、異常判定部１１は、算出したエントロピー値Ｈ（ｓ）と予め設定した無作為度閾値ＴＩＳｒｃ．Ｅｎｔｒｏｐｙとが（式６）の関係を満たした場合に、不正端末２３から大量にコールスパムが発信されたと判定する。
【００７２】
なお、ここで比較する無作為度閾値ＴＩＳｒｃ．Ｅｎｔｒｏｐｙは、不正端末２３でない複数の正当な発信者端末２１がインバイトを発信した場合を想定して行ったシミュレーションによって得たトラフィック情報を用い、所定期間（例えば、１分間）内にインバイトを発信した発信者端末２１のエントロピー値の下限を予測して算出した閾値である。
【００７３】
このように、本実施形態の異常判定部１１は、第１段階として異常トラフィックが発生したか否かを判定し、異常トラフィックが発生したと判定した場合に、第２段階として異常発生期間の候補の期間におけるエントロピー値を算出して大量のコールスパムが発信されたか否かを判定して異常期間を決定する。
【００７４】
そのため、例えば、たまたま正当な複数の発信者端末２１が一度にコールスパムではない通常のインバイトを発信したことにより、所定期間に発信されたインバイトの数が総数閾値を超えた場合であっても、大量のコールスパムが発信されたと異常判定部１１が誤判定することがない。
【００７５】
なお、たまたま正当な複数の発信者端末２１が一度に通常のインバイトを発信するような状況を考慮する必要がない場合には、異常判定部１１によるイントロピー値の算出、エントロピー値と無作為度閾値との比較処理を省略して、異常トラフィックが発生した場合に、大量のコールスパムが発信されたと異常判定部１１に判定させてもよい。
【００７６】
こうすれば、異常判定部１１の処理負荷を軽減することができるとともに、不正端末２３の特定までに要する処理時間を短縮することができる。
【００７７】
以後、不正端末特定装置１は、異常判定部１１によって異常トラフィックの発生が検知された異常発生期間であるｔ２〜ｔ３間の発信履歴だけを利用して不正端末２３の特定を行う。
【００７８】
また、不正端末特定装置１は、ｔ２〜ｔ３の間で大量にコールスパムを発信した不正端末２３を特定した後に、次回異常トラフィックの発生を検知すると、次回異常トラフィックの発生が検知された期間が異常発生期間であるか否かを判定し、異常発生期間であると判定された場合、その後、異常発生期間の発信履歴だけを利用して不正端末２３の特定を行う。
【００７９】
そして、不正端末特定装置１では、こうして異常判定部１１が不正端末２３から大量にコールスパムが発信されたと判定して初めて不正端末特定部１２が異常発生期間に発信された各インバイトを具体的に分析して不正端末２３の特定を開始する。
【００８０】
不正端末２３の特定を開始すると、不正端末特定部１２は、まず、異常発生期間の発信履歴を参照して、異常発生期間に各発信者端末２１から発信されたインバイトの数を取得する。ここでは、図３（ｃ）に示すように、ユーザＩＤがＢの発信者端末２１とユーザＩＤがＤの発信者端末２１とがそれぞれｉ回とｋ回ずつインバイトを発信していたとする。
【００８１】
各発信者端末２１の異常発生期間におけるインバイト数を取得すると、異常発生期間に正当な一台の発信者端末２１から発信されるインバイトの平均数を基準とした場合に、異常発生期間に各発信者端末によって発信されたインバイトの数が発生する確率をポワソン分布分析によって算出する。
【００８２】
例えば、不正端末特定部１２は、今回の異常発生期間ｔ２〜ｔ３の間にユーザＩＤがＢの発信者端末２１によってｉ回インバイトが発信されていた場合、ｔ２〜ｔ３の間にインバイトがｉ回発信される確率（ポワソン分布）を算出する。
【００８３】
そして、不正端末特定部１２は、算出した確率と予め設定した確率閾値とを比較する。ここでは、図４（ａ）に示すように、算出した確率が確率閾値未満であったとする。このような場合、不正端末特定部１２は、ユーザＩＤがＢの発信者端末２１を不正候補として選択する。
【００８４】
ここでの確率閾値は、不正端末２３でない複数の正当な発信者端末２１がインバイトを発信した場合を想定して行ったシミュレーションによって得たトラフィック情報を用いて、所定期間内に正当な発信者端末２１がインバイトを発信する回数だけ所定期間内にインバイトが発信される確率の下限を予測して算出した閾値である。
【００８５】
その後、不正端末特定部１２は、不正候補として選択した発信者端末２１に対して不正レベル「１」を設定してから不正リストへ登録する。このとき、不正端末特定部１２は、選択した発信者端末２１が不正候補として既に不正リストへ登録されていた場合、登録済みの不正候補に設定されている不正レベルを「１」増加させる。
【００８６】
なお、不正レベルの更新を行う場合に不正端末特定部１２が実行するアルゴリズムについては、後に詳述する。
【００８７】
また、不正端末特定部１２は、今回の異常発生期間ｔ２〜ｔ３の間にユーザＩＤがＤの発信者端末２１によってｋ回インバイトが発信されていた場合、ｔ２〜ｔ３の間にインバイトがｋ回発信される確率（ポワソン分布）を算出する。
【００８８】
そして、不正端末特定部１２は、算出した確率と確率閾値とを比較する。ここでは、図４（ｂ）に示すように、算出した確率が確率閾値以上であったとする。このような場合、不正端末特定部１２は、ユーザＩＤがＤの発信者端末２１を不正候補として選択せず、不正リストへの登録も行わない。
【００８９】
このように、不正端末特定部１２は、異常発生期間に各発信者端末２１が発信したインバイトの数を単純に閾値と比較するのではなく、各発信者端末２１によってインバイトが発信された回数だけインバイトが発信される確率（ポワソン分布）と確率閾値とを比較して不正候補を選択する。
【００９０】
そのため、不正端末特定部１２は、ユーザＩＤがＤの発信者端末２１のように、一見インバイトの発信回数が多いように思われる発信者端末２１を誤って不正候補として選択することがない。
【００９１】
不正端末特定部１２は、各発信者端末２１に関するポワソン分布の算出と不正候補の選択を行う場合、
【数３】
2011004082.tif 000005
という数式を利用した演算処理を行う。
【００９２】
すなわち、不正端末特定部１２は、ある正当な発信者端末２１の組（sample  unit）と、分析変数（analysis  parameter）と、所定期間（analysis  time  windoｗ）と、閾値変数（threshold  parameter）と、sample  unitを構成する発信者端末２１が所定期間内に発信するインバイトの総数の平均値（sample  mean）と、標本分散値（sample  variance）とを上記のように設定する。
【００９３】
そして、不正端末特定部１２は、これらの値を（式７）へ代入することによって、所定期間内におけるインバイトの期待（平均）発信回数λＩＷを算出する。その後、不正端末特定部１２は、算出した期待（平均）発信回数λＩＷを（式８）へ代入することにより、所定期間内にインバイトがｉ回発信される確率ＰＩ（ｉ）Ｗを算出する。
【００９４】
そして、不正端末特定部１２は、異常発生期間に発信者端末２１によって発信されたインバイトの数がｉに代入された確率ＰＩ（ｉ）Ｗと予め設定した確率閾値ＴＩＰｏｉｓｓｏｎとが（式９）の関係を満たした場合に、異常発生期間にｉ回インバイトを発信した発信者端末２１を不正候補として選択する。
【００９５】
その後、不正端特定定部１２は、異常発生期間であるｔ２〜ｔ３の間の発信履歴を参照して、不正リストへ登録した不正候補が異常発生期間ｔ２〜ｔ３の間にインバイトを発信した時間間隔を取得する。
【００９６】
そして、不正端特定定部１２は、取得した時間間隔と予め設定した間隔閾値とを比較する。ここでは、図４（ｃ）に示すように、ユーザＩＤがＢの不正候補によってインバイトが発信された時間間隔が間隔閾値未満であったとする。このような場合、不正端末特定部１２は、ユーザＩＤがＢの不正候補に設定されている不正レベルを「１」増加させる。
【００９７】
ここでの間隔閾値は、不正端末２３でない複数の正当な発信者端末２１がインバイトを発信した場合を想定して行ったシミュレーションによって得たトラフィック情報を用いて、所定期間（例えば、１分間）内にＳＩＰサーバ５０へ発信されるインバイトの発信間隔の下限を予測して算出した閾値である。
【００９８】
不正端末特定部１２は、不正候補によってインバイトが発信された時間間隔に基づいて不正レベルを更新するか否かを判断する場合
【数４】
2011004082.tif 000006
という数式を利用した演算処理を行う。
【００９９】
すなわち、不正端末特定部１２は、ある正当な発信者端末２１の組（sample  unit）と、sample  unitを構成する発信者端末２１が所定期間内に発信するインバイトの発信間隔の平均値（sample  mean）と、分析変数（analysis  parameter）と、所定期間（analysis  time  windoｗ）と、閾値変数（threshold  parameter）とを上記のように設定する。
【０１００】
そして、不正端末特定部１２は、これらの値を（式１１）へ代入することによって、間隔閾値ＴＩＩｎｔｅｒｖａｌを算出する。また、不正端末特定部１２は、所定期間内に不正候補が最初にインバイトを発信した時刻をｔｉＩを（式１０）へ代入することによって、不正候補が所定時間内にインバイトを発信した平均時間間隔ＲＩWを算出する。
【０１０１】
こうして算出した平均時間間隔ＲＩWと間隔閾値ＴＩＩｎｔｅｒｖａｌとが（式１２）の関係を満たした場合に、不正端末特定部１２は、平均時間間隔ＲＩWでインバイトを発信した不正候補に設定されている不正レベルを「１」増加させる。
【０１０２】
続いて、不正端末特定部１２は、不正リストを参照して各不正候補と予め設定したレベル閾値とを比較する。ここでは、図４（ｄ）に示すように、ユーザＩＤがＢの不正候補に設定されている不正レベルがレベル閾値を超えていたとする。
【０１０３】
このような場合、不正端末特定部１２は、ユーザＩＤがＢの不正候補を大量にコールスパムを発信した不正端末２３と決定する。そして、不正端末特定部１２は、決定した不正端末２３に関するユーザＩＤ等の情報をＩＰ電話の管理者へ報告する。
【０１０４】
ここで、不正端末特定部１２が不正端末２３を決定する際に参照する不正リストについて、図５を参照して説明する。図５は、不正端末特定部１２が記憶している不正リストの一例を示す説明図である。
【０１０５】
図５に示すように、不正リストには、不正端末特定部１２により不正候補として選択された発信者端末２１のユーザＩＤとＩＰアドレスと不正レベルとが対応付けられて記憶されている。なお、ユーザＩＤは、具体的には各不正候補に割り当てられているＩＰ電話番号である。
【０１０６】
そして、不正端末特定部１２は、不正リストを参照して不正レベルが予め設定した不正レベル（例えば「４」）に達した不正候補を不正端末２３と決定し、決定した不正端末２３のユーザＩＤとＩＰアドレスと不正レベルとをＩＰ電話の管理者へ報告する。
【０１０７】
ＩＰ電話の管理者は、不正端末特定部１２から報告された不正端末２３に関する情報をコールスパムの発信を防止するための制御情報として利用することができる。なお、不正端末特定部１２は、一旦不正リストに登録した情報は、登録した不正候補を不正端末２３と決定してＩＰ電話の管理者へ報告するまで不正リストに記憶させておく。
【０１０８】
次に、本実施形態の不正端末特定装置１が不正端末２３を特定するために実行する処理について、図６を参照して説明する。図６は、本実施形態に係る不正端末特定装置１が実行する処理を示すフローチャートである。
【０１０９】
本実施形態の不正端末特定装置１は、物理的にはＣＰＵ（Central  Processing  Unit）とＲＯＭ（Read  Only  Memory）とＲＡＭ（Random  Access  Memory）とを有する情報処理装置を備えており、ＣＰＵがＲＯＭから各種プログラムを読出し、ＲＡＭを作業領域として使用して図６に示すフローチャートに従って処理を実行することにより不正端末２３を特定する。
【０１１０】
不正端末特定装置１に電源が投入されると、図６に示すように、不正端末特定装置１のＣＰＵは、接続要求発信数分析を行う（ステップＳ１０１）。このとき、ＣＰＵは、トラフィックデータベース２から所定期間内に発信されたインバイトの数を取得する。
【０１１１】
続いて、ＣＰＵは、取得したインバイト数が総数閾値を超えているか否かを判定し（ステップＳ１０２）、取得したインバイト数が総数閾値を超えていると判定した場合（ステップＳ１０２：Ｙｅｓ）、処理をステップＳ１０３へ移す。
【０１１２】
一方、ＣＰＵは、取得したインバイト数が総数閾値以下であったと判定した場合（ステップＳ１０２：Ｎｏ）、処理を終了する。そして、ＣＰＵは、再度ステップＳ１０１から処理を開始する。
【０１１３】
本実施形態では、ＣＰＵがこのステップＳ１０１及びステップＳ１０２の処理を実行することによって、所定期間毎の接続要求（インバイト）の総数に基づいて異常発生期間の候補を選択する期間選択工程が実行されることとなる。
【０１１４】
すなわち、本実施形態では、ＣＰＵによって、取得した取得したインバイト数が総数閾値を超えていると判定された所定期間が異常発生期間の候補として選択される。
【０１１５】
ステップＳ１０３において、ＣＰＵは、インバイト数が総数閾値を超えた異常発生期間内にインバイトを発信した発信者端末２３のユーザＩＤに関するエントロピー分析を行う。
【０１１６】
本実施形態では、ＣＰＵがこのステップＳ１０３の処理を実行することによって、期間選択工程によって選択された異常発生期間の候補における期間内に接続要求を発信した発信者端末のばらつき度合いを示す無作為度を算出する無作為度算出工程が実行されることとなる。
【０１１７】
すなわち、本実施形態では、異常発生期間内にインバイトを発信した発信者端末２３のユーザＩＤに関するエントロピー分析の結果、算出されたエントロピー値が異常発生期間の候補における期間内に接続要求（インバイト）を発信した発信者端末のばらつき度合いを示す無作為度となる。
【０１１８】
そして、ＣＰＵは、エントロピー分析の結果、算出したエントロピー値が無作為度閾値未満であるか否かを判定し（ステップＳ１０４）、無作為度閾値未満であると判定した場合（ステップＳ１０４：Ｙｅｓ）、処理をステップＳ１０５へ移す。
【０１１９】
一方、ＣＰＵは、算出したエントロピー値が無作為度閾値以上であったと判定した場合（ステップＳ１０４：Ｎｏ）、処理を終了する。そして、ＣＰＵは、再度ステップＳ１０１から処理を開始する。
【０１２０】
本実施形態では、ＣＰＵがこのステップＳ１０４の処理を実行することによって、無作為度算出工程によって算出された無作為度が予め設定した無作為度閾値未満であった異常発生期間の候補を異常発生期間と決定する期間決定工程が実行されることとなる。
【０１２１】
そして、本実施形態では、ＣＰＵがこれらステップＳ１０１〜ステップＳ１０４の処理を実行することによって、履歴記憶工程によって記憶された発信履歴から発信者端末によって発信された所定期間毎の接続要求（インバイト）の総数を取得し、取得した総数に基づいて異常トラフィックが発生した所定期間である異常発生期間を判定する異常判定工程が実行されることとなる。
【０１２２】
次に、ステップＳ１０５において、ＣＰＵは、ポワソン分布分析を行うことによって、異常発生期間に各発信者端末２１がインバイトを発信した回数だけインバイトが発信される確率を算出する。
【０１２３】
本実施形態では、ＣＰＵがこのステップＳ１０５の処理を実行することによって、異常発生期間に一つの発信者端末から発信される接続要求（インバイト）の平均数を基準とした場合に、異常発生期間に各発信者端末によって発信された接続要求（インバイト）の数が発生する確率を算出する確率算出工程が実行されることとなる。
【０１２４】
そして、ＣＰＵは、算出した確率が確率閾値未満であった発信者端末２１を不正候補として選択する（ステップＳ１０６）。本実施形態では、ＣＰＵがこのステップＳ１０６の処理を実行することによって、確率算出工程によって算出された確率が予め設定した確率閾値未満であった発信者端末を不正候補として選択する候補選択工程が実行されることとなる。
【０１２５】
続いて、ＣＰＵは、ステップＳ１０６で選択した不正候補が正当な発信者端末２３群が登録されているホワイトリストに存在するか否かを判定する（ステップＳ１０７）。
【０１２６】
ここで、ＣＰＵは、不正候補として選択したが発信者端末２１がホワイトリストに存在すると判定した場合（ステップＳ１０７：Ｙｅｓ）、処理を終了する。そして、ＣＰＵは、再度ステップＳ１０１から処理を開始する。
【０１２７】
一方、ＣＰＵは、不正候補として選択したが発信者端末２１がホワイトリストに存在しないと判定した場合（ステップＳ１０７：Ｎｏ）、選択した不正候補が不正リストに存在するか否かの判定を行う（ステップＳ１０８）。
【０１２８】
ここで、ＣＰＵは、選択した不正候補が不正リストに存在すると判定した場合（ステップＳ１０８：Ｙｅｓ）、選択した不正候補に設定されている不正レベルを+１して（ステップＳ１０９）、その後、処理をステップＳ１１２へ移す。
【０１２９】
本実施形態では、ＣＰＵがこのステップＳ１０９の処理を実行することによって、候補選択工程によって選択された不正候補が既に前記不正リストへ登録されていた場合に、当該不正候補の不正レベルを高めるレベル更新工程が実行されることとなる。
【０１３０】
一方、ＣＰＵは、選択した不正候補が不正リストに存在しないと判定した場合（ステップＳ１０８：Ｎｏ）、選択した不正候補を不正リストへ追加し（ステップＳ１１０）、追加した不正候補の不正レベルを「１」に設定して（ステップＳ１１１）、処理をステップＳ１１２へ移す。
【０１３１】
本実施形態では、ＣＰＵがこのステップＳ１１０及びステップＳ１１１の処理を実行することによって、候補選択工程によって選択された不正候補に対して不正レベルの初期値を設定して不正リストへ登録する候補登録工程が実行されることとなる。
【０１３２】
ステップＳ１１２において、ＣＰＵは、ステップＳ１０６で選択した不正候補によるインバイト発信の時間間隔を分析し、時間間隔分析の結果算出した時間間隔が間隔閾値未満であるか否かの判定を行う（ステップＳ１１３）。
【０１３３】
ここで、ＣＰＵは、算出した時間間隔が間隔閾値未満であると判定した場合（ステップＳ１１３：Ｙｅｓ）、間隔閾値未満の時間間隔でインバイトの発信を行っていた不正候補の不正レベルを+１して（ステップＳ１１４）、処理をステップＳ１１５へ移す。
【０１３４】
本実施形態では、ＣＰＵがこのステップＳ１１３及びステップＳ１１４の処理を実行することによって、不正リストへ登録された不正候補によって異常発生期間内に接続要求（インバイト）が発信された時間間隔が予め設定した間隔閾値未満であった場合に、当該不正候補の不正レベルを高めるレベル更新工程が実行されることとなる。
【０１３５】
一方、ＣＰＵは、算出した時間間隔が間隔閾値以上であると判定した場合（ステップＳ１１３：Ｎｏ）、処理を終了する。そして、ＣＰＵは、再度ステップＳ１０１から処理を開始する。
【０１３６】
ステップＳ１１５において、ＣＰＵは、不正リストを参照して、ステップＳ１０６で選択した不正候補の不正レベルがレベル閾値より高いか否かを判定し、不正レベルがレベル閾値以下であると判定した場合（ステップＳ１１５：Ｎｏ）、処理を終了する。そして、ＣＰＵは、再度ステップＳ１０１から処理を開始する。
【０１３７】
一方、ＣＰＵは、不正レベルがレベル閾値より高いと判定した場合（ステップＳ１１５：Ｙｅｓ）、不正レベルがレベル閾値より高いと判定された不正候補を不正端末２３と決定し、決定した不正端末２３に関する情報をＩＰ電話の管理者へ報告して（ステップＳ１１６）、処理を終了する。そして、ＣＰＵは、再度ステップＳ１０１から処理を開始する。
【０１３８】
本実施形態では、ＣＰＵがこのステップＳ１１５及びステップＳ１１６の処理を実行することによって、レベル更新工程によって更新された不正レベルが予め設定したレベル閾値を超えた不正候補を不正端末と決定する不正端末決定工程が実行されることとなる。
【０１３９】
そして、本実施形態では、ＣＰＵがこれらステップＳ１０７〜ステップＳ１１６の処理を実行するによって、候補選択工程によって選択された不正候補の中から前記不正端末を確定する不正端末確定工程が実行されることとなる。
【０１４０】
また、本実施形態では、ＣＰＵが上記したステップＳ１０５〜ステップＳ１１６の処理を実行することによって、異常判定工程によって判定された異常発生期間内に発信された接続要求（インバイト）の発信元となっている発信者端末による接続要求（インバイト）の内訳に基づいて不正端末を特定する不正端末特定工程が実行されることとなる。
【０１４１】
最後に、ＣＰＵが不正候補を選択してから不正レベルを更新し、不正端末２３をＩＰ電話の管理者へ報告するまでに実行するアルゴリズムについて、図７を参照して説明する。図７は、不正候補の選択から不正端末２３の報告までに実行されるアルゴリズムを示す説明図である。
【０１４２】
図７に示すように、ＣＰＵは、まず、不正候補の不正レベルを示す変数としてＬｉを設定すると共に、レベル閾値としてＴＮＬを設定する（ステップＳ２０１）。続いて、ＣＰＵは、不正候補を選択する（ステップＳ２０２）。
【０１４３】
そして、ＣＰＵは、ステップＳ２０２で選択した不正候補が不正リストに含まれていれば（ステップＳ２０３）、選択した不正候補の不正レベルを示す変数ＬｉをＬｉ+１とする（ステップＳ２０４）。
【０１４４】
一方、ＣＰＵは、ステップＳ２０２で選択した不正候補が不正リストに含まれていなければ、選択した不正候補を不正リストへ追加し（ステップＳ２０５）、追加した不正候補の不正レベルを示す変数ＬｉをＬｉ＝１とする（ステップＳ２０６）。
【０１４５】
そして、ＣＰＵは、不正候補によるインバイト発信の時間間隔分析を実行し（ステップＳ２０７）、時間間隔分析の結果算出した時間間隔が間隔閾値未満であれば（ステップＳ２０８）、不正候補の不正レベルを示す変数ＬｉをＬｉ+１とする（ステップＳ２０９）。
【０１４６】
一方、ＣＰＵは、時間間隔分析の結果算出した時間間隔が間隔閾値以上であった場合、処理を終了する（ステップＳ２１０）。そして、ＣＰＵは、不正候補の不正レベルを示す変数Ｌｉがレベル閾値ＴＮＬより大きければ（ステップＳ２１１）、不正候補を不正端末２３と決定しＩＰ電話の管理者へ報告する（ステップＳ２１２）。
【０１４７】
一方、ＣＰＵは、不正候補の不正レベルを示す変数Ｌｉがレベル閾値ＴＮＬ以下であれば処理を終了する（ステップＳ２１３）。
【０１４８】
以上、説明したように、本実施形態に係る不正端末特定システムＳによれば、異常トラフィックの発生が検知された異常発生期間のインバイトの発信履歴だけを利用して、大量のコーススパムを発信した不正端末２３を特定することができる。
【０１４９】
そのため、各発信者端末２１からＳＩＰサーバ５０へ発信される全てのインバイトを分析する必要がないため、不正端末２３の特定に要する処理量を大幅に低減することができる。
【０１５０】
また、本実施形態に係る不正端末特定システムＳは、不正端末２３を特定するためにＳＩＰサーバ５０に処理負荷をかけることがないため、不正端末２３の特定のためにＳＩＰサーバ５０の処理負荷が増大することを防止することができる。
【０１５１】
また、上記した実施形態では、不正候補として選択した発信者端末２１を不正リストへ登録し、不正リストに登録した不正候補の不正レベルがレベル閾値を超えた場合に、不正候補を不正端末２３と決定したが、不正候補として選択された段階で不正端末２３と決定してもよい。
【０１５２】
これにより、不正レベルの更新処理が不要となるため、その分、不正端末特定部１２の処理負荷を低減することができる。
【０１５３】
また、上記した実施形態では、特定の発信者端末が不正候補と選択された段階で不正候補の不正レベルを「１」増加させる場合について説明したが、不正候補と選択された段階では、不正レベルを増加させる処理を省略して、選択された不正候補が間隔閾値未満の時間間隔でインバイトを発信した場合に不正レベルを増加させるようにしてもよい。
【０１５４】
逆に、特定の発信者端末が不正候補と選択される度に不正候補の不正レベルを「１」増加させて、不正候補によるインバイトの発信時間間隔の分析を省略してもよい。
【０１５５】
これらのように、選択された不正候補が間隔閾値未満の時間間隔でインバイトを発信した場合、又は特定の発信者端末２１が不正候補と選択された場合のいずれか一方の場合にだけ不正レベルの更新を行うようにすれば、他方の不正レベルの更新処理を省略することができるため、その分、不正端末特定部１２の処理負荷を低減することができる。
【符号の説明】
【０１５６】
Ｓ  不正端末特定システム
１  不正端末特定装置
１１  異常判定部
１２  不正端末特定部
２  トラフィックデータベース
２０  端末
２１  発信者端末
２２  受信者端末
２３  不正端末
３０  ＩＰネットワーク
４０  ターミナルアダプタ
５０  ＳＩＰサーバ
【図１】
2011004082.tif 000007
【図２】
2011004082.tif 000008
【図３】
2011004082.tif 000009
【図４】
2011004082.tif 000010
【図５】
2011004082.tif 000011
【図６】
2011004082.tif 000012
【図７】
2011004082.tif 000013