(57)【要約】【課題】既存のファイアーウォールに負担をかけることなく、フィルタリングの条件設定を不要とし、ＵＲＬ単位でフィルタリングする。【解決手段】専用ＷＡＦ装置２１は、ＵＲＬ蓄積テーブル３１のＮ個のレコードに対して、順番に、第Ｎレコードの「回数」の値が第１閾値（例えば、５回）より小さい場合には、「回数」をリセットする。一方、当該第Ｎレコードの「回数」の値が第１閾値以上である場合には、プロセッサ２１１は、当該第Ｎレコードの「有効フラグ」を無効化（ＮＧ）に設定する。このように、単位時間（１秒間）当たりのアクセス回数が第１閾値（例えば、５回）以上となると、ＵＲＬ蓄積テーブル３１の「有効フラグ」を無効化（ＮＧ）にすることで、当該ダウンロードＵＲＬに対するアクセスを遮断する。【選択図】図２
2019193170.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク監視装置であって、
一時的に有効なＵＲＬへのアクセスに対するアクセス情報を登録する登録部と、
前記登録部によって登録された前記アクセス情報に基づいて、前記一時的に有効なＵＲＬへのアクセスを許可すべきか否かを判断するアクセス許可判断部と、
前記アクセス許可判断部によって前記一時的に有効なＵＲＬへのアクセスを許可すべきと判断された場合、前記一時的に有効なＵＲＬへのアクセスを無効とする制御部と、
を備えることを特徴とするネットワーク監視装置。
【請求項２】
前記アクセス情報は、少なくとも、前記一時的に有効なＵＲＬへの単位時間当たりのアクセス回数を含み、
前記アクセス許可判断部は、
前記単位時間当たりのアクセス回数が第１の閾値以上になったか否かを判断するアクセス回数判断部を備え、
前記制御部は、
前記アクセス回数判断部によって前記単位時間当たりのアクセス回数が前記第１の閾値以上になったと判断された場合、前記一時的に有効なＵＲＬへのアクセスを無効とする、ことを特徴とする請求項１に記載のネットワーク監視装置。
【請求項３】
前記制御部は、
前記単位時間当たりのアクセス回数が前記第１の閾値より小さいと判断された場合、前記一時的に有効なＵＲＬへの単位時間当たりのアクセス回数をリセットする、ことを特徴とする請求項２に記載のネットワーク監視装置。
【請求項４】
前記アクセス情報は、少なくとも、前記一時的に有効なＵＲＬへのアクセスパターンに関連する情報を含み、
前記アクセス許可判断部は、
前記アクセスパターンに関連する情報に基づいて、前記一時的に有効なＵＲＬへのアクセスパターンが所定の許容アクセスパターンであるか否かを判断するアクセスパターン判断部を備え、
前記制御部は、
前記アクセスパターン判断部によって前記一時的に有効なＵＲＬへのアクセスパターンが前記所定の許容アクセスパターンでないと判断された場合、前記一時的に有効なＵＲＬへのアクセスを無効とする、ことを特徴とする請求項１に記載のネットワーク監視装置。
【請求項５】
生成した一時的に有効なＵＲＬ毎に、少なくとも、前記一時的に有効なＵＲＬを一意に識別するためのＵＲＬ情報と、前記一時的に有効なＵＲＬへのアクセス総回数と、前記一時的に有効なＵＲＬの有効期限とを１レコードとして保持するＵＲＬ蓄積テーブルと、
所定の時間間隔で、前記ＵＲＬ蓄積テーブルを参照し、前記一時的に有効なＵＲＬへのアクセス総回数が第２の閾値以上になったか否かを判断する総回数判断部と、
前記所定の時間間隔で、前記ＵＲＬ蓄積テーブルを参照し、前記一時的に有効なＵＲＬが有効期限内であるか否かを判断する有効期限判断部と、
前記総回数判断部によって前記アクセス総回数が前記第２の閾値以上になったと判断された場合、あるいは前記有効期限判断部によって前記一時的に有効なＵＲＬが前記有効期限内でないと判断された場合に、前記一時的に有効なＵＲＬのレコードを削除する削除部と、
をさらに備えることを特徴とする請求項１乃至４のいずれか一項に記載のネットワーク監視装置。
【請求項６】
ネットワーク監視方法であって、
一時的に有効なＵＲＬへのアクセスに対するアクセス情報を登録するステップと、
前記アクセス情報に基づいて、前記一時的に有効なＵＲＬへのアクセスを許可すべきか否かを判断するステップと、
前記一時的に有効なＵＲＬへのアクセスを許可すべきでないと判断された場合、前記一時的に有効なＵＲＬへのアクセスを無効とするステップと、
を含むことを特徴とするネットワーク監視方法。
【請求項７】
コンピュータに、
一時的に有効なＵＲＬへのアクセスに対するアクセス情報を登録する登録機能、
前記アクセス情報に基づいて、前記一時的に有効なＵＲＬへのアクセスを許可すべきか否かを判断するアクセス許可判断機能、
前記アクセス許可判断機能によって前記一時的に有効なＵＲＬへのアクセスを許可すべきでないと判断された場合、前記一時的に有効なＵＲＬへのアクセスを無効とする制御機能、
を実現させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク監視装置、ネットワーク監視方法、及びプログラムに関する。
【背景技術】
【０００２】
近年、インターネットを介して様々なサービスが提供されている。一方、サービスの普及、拡大に伴い、フィッシングや、スパムなどのサイバー攻撃が増加している。サイバー攻撃を行う一つとして、マルウェアが知られている。マルウェアとは、スマートフォンや、パーソナルコンピュータ、サーバなどのコンピュータを不正かつ有害に動作させる意図で作成された悪意のあるソフトウェアや悪質なコードである。
【０００３】
従来、マルウェアなどによる攻撃に対してウェブアプリケーションファイアーウォール（ＷＡＦ）を用いて対応する方法が知られている（例えば特許文献１参照）。ＷＡＦは、ブラックリストやホワイトリストに基づいて、ウェブアプリケーションに対する通信内容に特徴的な要素が含まれているか検査し、特徴的な要素が含まれていた場合に、その通信を遮断するという機能を有する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−１３４９７２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、サービスを提供するサーバが、一時的なダウンロードＵＲＬや会員登録用ＵＲＬなどを発行してアクセスさせる仕組みのシステムについて考察する。例えば、一時的なダウンロードＵＲＬを発行するシステムでは、ダウンロードＵＲＬ付きメールを受信したＰＣがマルウェアに感染していた場合、メール又はダウンロード履歴から攻撃を仕掛ける可能性がある。このとき、送信案件ごとにサーバで自動生成され、所定の時間で無効になるダウンロードＵＲＬを用いる場合、従来のＷＡＦ技術では、フィルタリングの条件設定（ワイルドカードによる設定や、１つずつのＵＲＬ設定など）が多くなり、設定や対応が複雑になるため、十分に攻撃を防ぐことができなくなるという問題があった。
【０００６】
そこで本発明は、既存のファイアーウォールに負担をかけることなく、フィルタリングの条件設定を不要とし、ＵＲＬ単位でフィルタリングすることを目的とする。
【課題を解決するための手段】
【０００７】
この発明に係るネットワーク監視装置は、ネットワーク監視装置であって、一時的に有効なＵＲＬへのアクセスに対するアクセス情報を登録する登録部と、前記登録部によって登録された前記アクセス情報に基づいて、前記一時的に有効なＵＲＬへのアクセスを許可すべきか否かを判断するアクセス許可判断部と、前記アクセス許可判断部によって前記一時的に有効なＵＲＬへのアクセスを許可すべきと判断された場合、前記一時的に有効なＵＲＬへのアクセスを無効とする制御部と、を備えることを特徴とする。
【０００８】
この発明に係るネットワーク監視方法は、ネットワーク監視方法であって、一時的に有効なＵＲＬへのアクセスに対するアクセス情報を登録するステップと、前記アクセス情報に基づいて、前記一時的に有効なＵＲＬへのアクセスを許可すべきか否かを判断するステップと、前記一時的に有効なＵＲＬへのアクセスを許可すべきでないと判断された場合、前記一時的に有効なＵＲＬへのアクセスを無効とするステップと、を含むことを特徴とする。
【０００９】
この発明に係るプログラムは、コンピュータに、一時的に有効なＵＲＬへのアクセスに対するアクセス情報を登録する登録機能、前記アクセス情報に基づいて、前記一時的に有効なＵＲＬへのアクセスを許可すべきか否かを判断するアクセス許可判断機能、前記アクセス許可判断機能によって前記一時的に有効なＵＲＬへのアクセスを許可すべきでないと判断された場合、前記一時的に有効なＵＲＬへのアクセスを無効とする制御機能、を実現させることを特徴とする。
【発明の効果】
【００１０】
この発明によれば、既存のファイアーウォールに負担をかけることなく、フィルタリングの条件設定を不要とし、ＵＲＬ単位でフィルタリングすることができる。
【図面の簡単な説明】
【００１１】
【図１】本発明の実施形態によるネットワーク監視装置１を用いたサービス提供システムの構成を示すブロック図である。
【図２】本実施形態によるネットワーク監視装置１を用いたサービス提供システムの機能構成を示す機能ブロック図である。
【図３】本実施形態による専用ＷＡＦ装置２１の機能構成を示す機能ブロック図である。
【図４】本実施形態による受信者テーブル３０のレコード構成を示す概念図である。
【図５】本実施形態によるＵＲＬ蓄積テーブル３１のレコード構成を示す概念図である。
【図６】本実施形態による専用ＷＡＦ装置２１の監視処理（定期起動の別プロセス）の動作を説明するためのフローチャートである。
【図７】本実施形態による専用ＷＡＦ装置２１の掃除処理（日次バッチの別プロセス）の動作を説明するためのフローチャートである。
【図８】本実施形態による専用ＷＡＦ装置２１の受信リクエスト受付処理の動作を説明するためのフローチャートである。
【発明を実施するための形態】
【００１２】
以下、本発明の実施の形態を、図面を参照して説明する。
【００１３】
図１は、本発明の実施形態によるネットワーク監視装置１を用いたサービス提供システムの構成を示すブロック図である。図１において、ネットワーク監視装置１は、ユーザ端末１０、１１、ネットワーク１２、既存ＷＡＦ１３、専用ＷＡＦ１４、及び業務処理サーバ１５から構成されている。ユーザ端末１０、１１は、ユーザが用いるパーソナルコンピュータ（ＰＣ）である。ネットワーク１２は、インターネットなどである。既存ＷＡＦ１３は、従来のＷＡＦであり、ブラックリストやホワイトリストに基づいて、ウェブアプリケーションに対する通信内容に特徴的な要素が含まれているか検査し、特徴的な要素が含まれていた場合に、その通信を遮断する。なお、既存ＷＡＦ１３については説明を省略する。専用ＷＡＦ１４は、後述する業務処理サーバ１５によってデータの送信案件ごとに自動生成される一時的に有効なダウンロードＵＲＬに関する情報に基づいてアクセス（ＨＴＴＰリクエストを含む）を監視し、所定の条件に基づいて当該アクセスを遮断（フィルタリング）するか否かを制御する。
【００１４】
業務処理サーバ１５は、一例として、ネットワーク１２を介して、機密性の高いデータや大容量データをユーザ間で送受信するためのデータ転送サービスを提供する。より具体的には、本実施形態の業務処理サーバ１５は、送信者側のユーザ端末１０からデータが送信されると、データを暗号化して保存し、ダウンロードするためのウェブページのダウンロードＵＲＬを生成し、指定された受信者（のユーザ端末１１）に対してダウンロードＵＲＬをメール等で通知する。ダウンロードＵＲＬは、所定の条件で削除される一時的なＵＲＬである。所定の条件とは、例えば、総アクセス回数が所定回数を超えた場合や、有効期限に達した場合などが相当する。
【００１５】
このとき、業務処理サーバ１５は、専用ＷＡＦ１４によって参照可能に構成されているＵＲＬ蓄積テーブル３１（後述）に一時的に有効なＵＲＬに関する情報を自動的に登録する。受信者のユーザ端末１１は、通知されたダウンロードＵＲＬによってウェブページへアクセスする。業務処理サーバ１５は、専用ＷＡＦ１４によって遮断されずに通過したアクセス要求を受信すると、ダウンロードＵＲＬに応じて、所定のウェブページを提供する。受信者のユーザ端末１１は、上記所定のウェブページでパスワードを入力するなどして、所望するデータをダウンロードする。
【００１６】
図２は、本実施形態によるネットワーク監視装置１を用いたサービス提供システムの機能構成を示す機能ブロック図である。既存ＷＡＦ装置２０及び専用ＷＡＦ装置２１は、別体の装置で構築されてもよいし、１つのＷＡＦ監視装置２２として構築されてもよい。業務処理サーバ１５は、データの送信案件ごとに、ダウンロードＵＲＬ及び関連する情報を自動生成し、受信者テーブル３０に登録するとともに、ＵＲＬ蓄積テーブル３１にも登録する。専用ＷＡＦ装置２１は、アクセス要求を受信する度にＵＲＬ蓄積テーブル３１を検索し、アクセスが所定の条件を満たしているかを判断し、所定の条件を満たしている場合には、当該アクセス要求を業務処理サーバ１５に渡し、所定の条件を満たしていない場合には、当該アクセスを遮断する。
【００１７】
なお、既存ＷＡＦ装置２０、及び専用ＷＡＦ装置２１は、専用のハードウェア又はソフトウェアであってもよいし、業務処理サーバ１５内に搭載されたハードウェア又はソフトウェアであってもよい。すなわち、業務処理サーバ１５内にて、既存ＷＡＦ装置２０、専用ＷＡＦ装置２１が動作する構成としてもよいし、図示するように複数の別体のサーバで構成するようにしても、クラウド上の仮想サーバで構成するようにしてもよい。
【００１８】
図３は、本実施形態による専用ＷＡＦ装置２１の機能構成を示す機能ブロック図である。専用ＷＡＦ装置２１は、プロセッサ２１１、記憶装置（ＲＯＭ、ＲＡＭ）２１２、入力部２１３、出力部２１４、通信インタフェース２１５を備える。プロセッサ（登録部、アクセス許可判断部、制御部、アクセス回数判断部、アクセスパターン判断部、総回数判断部、有効期限判断部、削除部）２１１は、各種のプログラムを実行することにより、専用ＷＡＦ装置２１の動作を制御する。記憶装置２１２は、ＲＯＭ（Read Only Memory）や、ＲＡＭ（Random Access Memory）などの半導体メモリである。ＲＯＭには、例えば、プロセッサ２１１により実行される所定のプログラム等が予め記録されている。また、ＲＡＭは、プロセッサ２１１が各種のプログラムを実行する際に、必要に応じて作業用記憶領域として用いられる。
【００１９】
入力部２１３は、例えば、キーボードや、マウスなどの入力装置であり、ユーザによる操作に応じて、その操作内容に対応付けられている入力情報をプロセッサ２１１に供給する。出力部２１４は、例えば、液晶ディスプレイからなり、プロセッサ２１１から送信される表示データに従って各種のテキスト、映像等を表示する。通信インタフェース２１５は、ネットワーク１２を介して、外部通信装置等との通信を行う。
【００２０】
図４は、本実施形態による受信者テーブル３０のレコード構成を示す概念図である。受信者テーブル３０は、業務処理サーバ１５でダウンロードＵＲＬが生成される度に、送信Ｎｏ、ステータス、送信年月日、復元期限年月日、ダウンロードＵＲＬ、及びダウンロードＵＲＬ暗号部を１レコードのデータとして保持する。送信Ｎｏは、ダウンロードＵＲＬを発行するたびにユーザに対して付与される番号である。ステータスは、当該ダウンロードＵＲＬに対してダウロードが行われていないか（未）、行われたか（済）を示す。送信年月日は、アップロード時の送信日時等である。復元期限年月日は、ダウンロードＵＲＬで示されるデータをダウンロードできる期限であり、後述する有効期限に対応する。ダウンロードＵＲＬは、ダウンロードを行うためのウェブページのアドレスである。ダウンロードＵＲＬ暗号部は、ダウンロードＵＲＬを記述したパラメータの「？ｐａｓｓ＝」以降の部分（送信Ｎｏ（例えば８桁）などを暗号化したデータ）からなる。ユーザ端末１１からアクセスされた際に、該ダウンロードＵＲＬ暗号部に基づいて、アクセスが一時的に有効なダウンロードＵＲＬによるものであるか否かを判断する。
【００２１】
なお、受信者テーブル３０は、以下の項目をキーに検索することができる。
（１）送信Ｎｏ
（２）ダウンロードＵＲＬ
（３）ダウンロードＵＲＬ暗号部
【００２２】
図５は、本実施形態によるＵＲＬ蓄積テーブル３１のレコード構成を示す概念図である。ＵＲＬ蓄積テーブル３１は、業務処理サーバ１５でダウンロードＵＲＬが生成される度に、ダウンロードＵＲＬ暗号部（ＵＲＬ情報）、送信元情報、アクセス日時、回数、総回数（アクセス総回数）、有効期限、及び有効フラグを１レコードのデータ（アクセス情報）として保持する。ダウンロードＵＲＬ暗号部は、ダウンロードを行うためのダウンロードＵＲＬを記述したパラメータの「？ｐａｓｓ＝」以降の部分（送信Ｎｏ（例えば８桁）などを暗号化したデータ）である。送信元情報は、アクセス要求の送信元を識別するための情報であり、例えば、ＩＰアドレスなどからなる。アクセス日時は、アクセス要求の送信元がアクセスした日時である。回数は、ダウンロードＵＲＬへの単位時間当たりのアクセス回数であり、所定の時間（例えば、１秒ごと）でクリアされる。総回数は、当該ダウンロードＵＲＬへのアクセス総回数である。なお、総回数は、数回〜数千回など、サービスの種類によって異なる。有効期限は、当該ダウンロードＵＲＬの有効期限であり、上述した復元期限年月日に対応する。有効フラグは、当該ダウンロードＵＲＬが有効であるか無効であるかを示すフラグである。
【００２３】
なお、ＵＲＬ蓄積テーブル３１は、ダウンロードＵＲＬ暗号部をキーに検索することができる。
【００２４】
図６は、本実施形態による専用ＷＡＦ装置２１の監視処理（定期起動の別プロセス）の動作を説明するためのフローチャートである。図６に示すフローチャートは、所定の時間間隔、例えば、１秒ごとに実行される。プロセッサ２１１は、まず、ＵＲＬ蓄積テーブル３１のレコードをカウントする変数Ｎを１にリセットする（ステップＳ１０）。次に、プロセッサ２１１は、ＵＲＬ蓄積テーブル３１の第Ｎレコードを占有する（ステップＳ１２）。なお、排他できない場合には、占有できるまで待機した後、当該第Ｎレコードを占有する。次に、プロセッサ２１１は、当該第Ｎレコードの「回数」の値が第１閾値（例えば、５回）より小さいか否かを判断する（ステップＳ１４）。
【００２５】
そして、当該第Ｎレコードの「回数」の値が第１閾値より小さい場合には（ステップＳ１４のＹＥＳ）、プロセッサ２１１は、「回数」をリセットし（ステップＳ１６）、変数Ｎをインクリメントし（ステップＳ２０）、変数Ｎがレコード最大値ＭＡＸより大であるか否かを判断する（ステップＳ２２）。なお、レコード最大値ＭＡＸとは、レコード総数、あるいはレコード保持可能な限界数の小さい方である。そして、変数Ｎがレコード最大値ＭＡＸより大でない場合、すなわち全てのレコードに対するチェックが終了していない場合には（ステップＳ２２のＮＯ）、プロセッサ２１１は、ステップＳ１２に戻り、次のレコードに対して、上述した処理を繰り返し実行する。すなわち、登録されたレコード数がレコード保持可能な限界数に満たない場合、登録されたレコード数がレコード最大値ＭＡＸとなる。例えば、最大１０００レコードまで持てるように設定した場合でも、登録されたＵＲＬ数が２０レコードの場合は、Ｎが２０まで処理が繰り返されることになる。
【００２６】
一方、上述した処理において、当該レコードの「回数」の値が第１閾値以上である場合には（ステップＳ１４のＮＯ）、プロセッサ２１１は、当該第Ｎレコードの「有効フラグ」を無効化（ＮＧ）に設定する（ステップＳ１８）。次に、プロセッサ２１１は、変数Ｎをインクリメントし（ステップＳ２０）、全てのレコードに対するチェックが終了していない場合には（ステップＳ２２のＮＯ）、ステップＳ１２に戻り、次のレコードに対して、上述した処理を繰り返し実行する。
【００２７】
一方、全てのレコードに対するチェックが終了した場合には（ステップＳ２２のＹＥＳ）、プロセッサ２１１は、当該処理を終了する。
【００２８】
上述したように、あるダウンロードＵＲＬに対する単位時間（１秒間）当たりのアクセス回数が第１閾値（例えば、５回）以上となると、ＵＲＬ蓄積テーブル３１の「有効フラグ」を無効化（ＮＧ）にするので、当該ダウンロードＵＲＬに対するアクセスを遮断することができる。
【００２９】
図７は、本実施形態による専用ＷＡＦ装置２１の掃除処理（日次バッチの別プロセス）の動作を説明するためのフローチャートである。図７に示すフローチャートは、所定の期間間隔、例えば、１日ごとに実行される。プロセッサ２１１は、まず、ＵＲＬ蓄積テーブル３１のレコードをカウントする変数Ｎを１にリセットする（ステップＳ３０）。次に、プロセッサ２１１は、ＵＲＬ蓄積テーブル３１の第Ｎレコードを占有する（ステップＳ３２）。なお、排他できない場合には、占有できるまで待機した後、当該第Ｎレコードを占有する。
【００３０】
次に、プロセッサ２１１は、当該第Ｎレコードが「有効期限」内であるか否かを判断する（ステップＳ３４）。そして、当該第Ｎレコードが「有効期限」内である場合には（ステップＳ３４のＹＥＳ）、プロセッサ２１１は、当該第Ｎレコードの「総回数」の値が第２閾値（例えば、３０回）より小さいか否かを判断する（ステップＳ３６）。そして、当該第Ｎレコードの「総回数」の値が第２閾値より小さい場合には（ステップＳ３６のＹＥＳ）、プロセッサ２１１は、変数Ｎをインクリメントし（ステップＳ４０）、変数Ｎがレコード最大値ＭＡＸより大であるか否かを判断する（ステップＳ４２）。そして、変数Ｎがレコード最大値ＭＡＸより大でない場合、すなわち全てのレコードに対するチェックが終了していない場合には（ステップＳ４２のＮＯ）、プロセッサ２１１は、ステップＳ３２に戻り、次のレコードに対して、上述した処理を繰り返し実行する。
【００３１】
一方、上述した処理において、当該レコードが「有効期限」内でない場合（ステップＳ３４のＮＯ）、あるいは、当該レコードの「総回数」の値が第２閾値以上である場合には（ステップＳ３６のＮＯ）、プロセッサ２１１は、当該第Ｎレコードを削除する（ステップＳ３８）。次に、プロセッサ２１１は、変数Ｎをインクリメントし（ステップＳ４０）、全てのレコードに対するチェックが終了していない場合には（ステップＳ４２のＮＯ）、ステップＳ３２に戻り、次のレコードに対して、上述した処理を繰り返し実行する。
【００３２】
一方、全てのレコードに対するチェックが終了した場合には（ステップＳ４２のＹＥＳ）、プロセッサ２１１は、当該処理を終了する。
【００３３】
上述したように、あるダウンロードＵＲＬが有効期限を超えた場合やアクセス総回数が第２閾値（例えば、３０回）以上となると、ＵＲＬ蓄積テーブル３１の当該レコードを削除するようにしたので、無用なレコードを検索対象とすることなく、効率的に処理を実行することができる。
【００３４】
図８は、本実施形態による専用ＷＡＦ装置２１の受信リクエスト受付処理の動作を説明するためのフローチャートである。図８に示すフローチャートは、アクセス要求を受信する度に実行される。プロセッサ２１１は、アクセス要求を受信すると、当該アクセス要求からＵＲＬ暗号部を抽出し、完全一致でＵＲＬ蓄積テーブル３１を検索する（ステップＳ５０）。次に、プロセッサ２１１は、ＵＲＬ蓄積テーブル３１に抽出したＵＲＬ暗号部と完全一致したＵＲＬ暗号部があると、そのレコードの有効フラグが有効であるか否かを判断する（ステップＳ５２）。
【００３５】
そして、有効フラグが有効である場合には（ステップＳ５２のＹＥＳ）、プロセッサ２１１は、ＵＲＬ蓄積テーブル３１の当該ＵＲＬ暗号部に対応するレコードを占有する（ステップＳ５４）。なお、排他できない場合には、占有できるまで待機した後、当該レコードを占有する。次に、プロセッサ２１１は、当該ＵＲＬ暗号部をキーに、「回数」、「総回数」の値を読み込み（ステップＳ５６）、該「回数」、「総回数」の値をインクリメントする（ステップＳ５８）。そして、プロセッサ２１１は、当該アクセスを遮断することなく、通常の処理（ウェブアプリケーションへ引き渡し）を行う（ステップＳ６０）。その後、当該処理を終了する。
【００３６】
一方、ステップＳ５２にて、当該ＵＲＬ暗号部に対応する有効フラグが有効でない場合には（ステップＳ５２のＮＯ）、プロセッサ２１１は、当該アクセスを遮断するなどのエラー処理を実行する（ステップＳ６２）。その後、当該処理を終了する。
【００３７】
上述した実施形態によれば、一時的に有効なＵＲＬについては、既存ＷＡＦ装置２０とは別に、一時的に有効なＵＲＬへのアクセス回数に基づいて、単位時間当たりのアクセス回数が第１の閾値（例えば、５回／秒）以上になったか否かを判断し、単位時間当たりのアクセス回数が第１の閾値以上になったと判断された場合、一時的に有効なＵＲＬへのアクセスを無効とするようにしたので、既存ＷＡＦ１３に負担をかけることなく、フィルタリングの条件設定を不要とし、ＵＲＬ単位でフィルタリングすることができる。また、複雑で多量の条件設定する必要が無くなり、設定処理の困難さと間違いを低減することができる。また、条件が増加しない（必要な条件のみ存在する）ので、既存ＷＡＦ１３の処理および業務処理サーバ１５等への負担が少なく、処理の遅延がおきにくいという効果も得られる。
【００３８】
また、上述した実施形態によれば、単位時間当たりのアクセス回数が第１の閾値より小さいと判断された場合、一時的に有効なＵＲＬへのアクセス回数をリセットするようにしたので、フィルタリングの条件設定を行うことなく、ＵＲＬ単位でフィルタリングすることができる。
【００３９】
また、上述した実施形態によれば、ＵＲＬが一時的に有効である間、当該ＵＲＬへのアクセス回数をカウントするようにしたので、既存ＷＡＦ１３に負担をかけることなく、フィルタリングの条件設定を不要とし、ＵＲＬ単位でフィルタリングすることができる。
【００４０】
また、上述した実施形態によれば、生成した一時的に有効なＵＲＬ毎に、一時的に有効なＵＲＬを一意に識別するためのダウンロードＵＲＬ暗号部と、一時的に有効なＵＲＬへのアクセス回数と、一時的に有効なＵＲＬへのアクセス総回数と、一時的に有効なＵＲＬの有効期限と、一時的に有効なＵＲＬが有効であるか否かを示す有効フラグとを１レコードとしてＵＲＬ蓄積テーブル３１に保持し、所定の時間間隔で、ＵＲＬ蓄積テーブル３１を参照し、一時的に有効なＵＲＬが有効期限内でない場合に、一時的に有効なＵＲＬのレコードを削除するようにしたので、既存ＷＡＦ１３に負担をかけることなく、フィルタリングの条件設定を不要とし、ＵＲＬ単位でフィルタリングすることができる。また、レコード数を増加させることがないので、専用ＷＡＦ１４の処理の遅延も起きにくい。
【００４１】
また、上述した実施形態によれば、所定の時間間隔で、ＵＲＬ蓄積テーブル３１を参照し、一時的に有効なＵＲＬへのアクセス総回数が第２の閾値（例えば、３０回）以上になった場合に、一時的に有効なＵＲＬのレコードを削除するようにしたので、既存ＷＡＦ１３に負担をかけることなく、フィルタリングの条件設定を不要とし、ＵＲＬ単位でフィルタリングすることができる。また、レコード数を増加させることがないので、専用ＷＡＦ１４の処理の遅延も起きにくい。
【００４２】
なお、上述した実施形態では、単位時間当たりのアクセス数や、総回数に基づいて当該ダウンロードＵＲＬに対するアクセスが許可すべきか否かを判断したが、これに限らず、他の閾値、例えば、アクセス日時や送信元情報から得られるアクセスパターン（許容アクセスパターン）に基づいて、アクセスが許可すべきか否かを判断するようにしてもよい。例えば、以下のようなパターンで判断できる。一定間隔のアクセスが一定回数以上連続する場合にアクセスを許可しない（１分±５秒間隔で１０回以上など）、あるいは、アクセス要求の送信元が異なるアクセスが一定期間に複数回ある場合にアクセスを許可しない（１０分間に１０以上の異なるＩＰアドレスからのアクセスなど）。
【００４３】
なお、上述した実施形態では、アクセスパターンの認識は、蓄積したアクセス情報から機械学習による結果と組み合わせて判断するようにしてもよい。
【符号の説明】
【００４４】
１  サービス提供システム
１０、１１  ユーザ端末
１２  ネットワーク
１３  既存ＷＡＦ
１４  専用ＷＡＦ
１５  業務処理サーバ
２０  既存ＷＡＦ装置
２１  専用ＷＡＦ装置
２２  ＷＡＦ監視装置
３０  受信者テーブル
３１  ＵＲＬ蓄積テーブル
２１１  プロセッサ
２１２  記憶装置
２１３  入力部
２１４  出力部
２１５  通信インタフェース
ＭＡＸ  レコード最大値
Ｎ    変数
【図１】
2019193170.tif 000003
【図２】
2019193170.tif 000004
【図３】
2019193170.tif 000005
【図４】
2019193170.tif 000006
【図５】
2019193170.tif 000007
【図６】
2019193170.tif 000008
【図７】
2019193170.tif 000009
【図８】
2019193170.tif 000010