(57)【特許請求の範囲】
【請求項１】
ユーザ操作および該ユーザ操作のアクセス対象の情報を取得する手段と、
前記ユーザ操作を分析して、アクセス対象ごとの該アクセス対象に対するキャンセル行動特性を取得する手段と、
前記アクセス対象ごとのキャンセル行動特性を利用者に提供する手段と、を備え、
添付ファイルのアイコンにマウスオーバが行われた後にアクセスを回避する行動が行われた場合、または、添付ファイルのアイコンがマウスクリックされた後にアクセスを中断または中止する行動が行われた場合に、アクセス対象である添付ファイルについて未然のアクセスが行われたとする、ことを特徴とする安全性判定装置。
【請求項２】
ＵＲＬリンクにマウスオーバが行われた後にアクセスを回避する行動が行われた場合、または、ＵＲＬリンクがマウスクリックされた後にアクセスを中断または中止する行動が行われた場合に、アクセス対象であるＵＲＬリンクについて未然のアクセスが行われたとする、
ことを特徴とする請求項１に記載の安全性判定装置。
【請求項３】
アラートポリシで規定された条件およびアラートの内容に従って前記アクセス対象ごとのキャンセル行動特性を利用者に提供する、
ことを特徴とする請求項１又は２記載の安全性判定装置。
【請求項４】
前記アクセス対象ごとのキャンセル行動特性は、前記ユーザ操作を分析して取得され、新たなアクセス対象との突き合わせに用いられる、請求項１乃至３の何れか一項に記載の安全性判定装置。
【請求項５】
ユーザ操作および該ユーザ操作のアクセス対象の情報を取得し、
前記ユーザ操作を分析して、アクセス対象ごとの該アクセス対象に対するキャンセル行動特性を取得し、
前記アクセス対象ごとのキャンセル行動特性を利用者に提供し、
添付ファイルのアイコンにマウスオーバが行われた後にアクセスを回避する行動が行われた場合、または、添付ファイルのアイコンがマウスクリックされた後にアクセスを中断または中止する行動が行われた場合に、アクセス対象である添付ファイルについて未然のアクセスが行われたとする、
処理をコンピュータに実行させることを特徴とする安全性判定プログラム。
【請求項６】
ユーザ操作および該ユーザ操作のアクセス対象の情報を取得し、
前記ユーザ操作を分析して、アクセス対象ごとの該アクセス対象に対するキャンセル行動特性を取得し、
前記アクセス対象ごとのキャンセル行動特性を利用者に提供し、
添付ファイルのアイコンにマウスオーバが行われた後にアクセスを回避する行動が行われた場合、または、添付ファイルのアイコンがマウスクリックされた後にアクセスを中断または中止する行動が行われた場合に、アクセス対象である添付ファイルについて未然のアクセスが行われたとする、
処理をコンピュータが実行することを特徴とする安全性判定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、安全性判定装置、安全性判定プログラムおよび安全性判定方法に関する。
【背景技術】
【０００２】
メールの本文に埋め込まれたＵＲＬ（Uniform Resource Locator）リンクを選択させて不正なサイトに誘導したり、不正な添付ファイルを開かせたりすることで、コンピュータウイルスに感染させる等の被害を与えるサイバー攻撃が増えている。
【０００３】
従来は、ブラックリスト（怪しい対象を予め登録）やホワイトリスト（安全な対象を予め登録）を用いてアクセスの安全性を判定するものや、レピュテーション機能を持たせるものがある。レピュテーション機能は、アクセス対象の評価を提供するものであり（例えば、特許文献１等を参照）、ネット上の購買行動や検索行動に関して似た行動をとった他の利用者の行動を先回りして案内するサービスにも用いられている。これらは、これまでに実際にアクセスした人の情報を活用している。
【０００４】
また、メールのセキュリティ対策についての技術が開示されている（特許文献２〜４等を参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特表２０１１−５２７０４６号公報
【特許文献２】特開２００６−２７０５０４号公報
【特許文献３】ＷＯ２０１４／０８７５９７
【特許文献４】特開２０１３−１３７７４５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
上述したように、従来はこれまでに実際にアクセスした人の情報を活用してアクセス対象の安全性を判定することを基本とするものであるため、まだ誰も実際にアクセスしていない新規のＵＲＬリンクや添付ファイルについては、安全性を判定できないという問題があった。すなわち、新規のＵＲＬやアクセスしたことがないＵＲＬなどの場合にはその登録情報はなく、登録情報に基づいて判定を行うことはできない。そのため、利用者が関係する他の情報、例えばドメイン情報や関係する他の検索情報などを詳細にチェックして判断するか、あるいは、単純にアクセスしないなどの結果に落ち着かせることになり、適切にネットワークセキュリティを維持することが困難であった。
【０００７】
そこで、開示の形態は、一側面では、ネットワークセキュリティを向上することを目的とする。
【課題を解決するための手段】
【０００８】
開示の形態は、ユーザ操作および該ユーザ操作のアクセス対象の情報を取得する手段と、前記ユーザ操作を分析して、アクセス対象ごとの該アクセス対象に対するキャンセル行動特性を取得する手段と、前記アクセス対象ごとのキャンセル行動特性を利用者に提供する手段と、を備え、添付ファイルのアイコンにマウスオーバが行われた後にアクセスを回避する行動が行われた場合、または、添付ファイルのアイコンがマウスクリックされた後にアクセスを中断または中止する行動が行われた場合に、アクセス対象である添付ファイルについて未然のアクセスが行われたとする。
【発明の効果】
【０００９】
ネットワークセキュリティを向上することができる。
【図面の簡単な説明】
【００１０】
【図１】一実施形態にかかるシステムの構成例を示す図である。
【図２】情報収集にかかる機能構成例を示す図である。
【図３】情報提供にかかる機能構成例を示す図である。
【図４】各種情報の例を示す図である。
【図５】端末装置およびサーバ装置のハードウェア構成例を示す図である。
【図６】キャンセル行動検出の例を示す図（その１）である。
【図７】キャンセル行動検出の例を示す図（その２）である。
【図８】キャンセル行動分析の処理例を示すフローチャートである。
【図９】注意喚起の処理例を示すフローチャートである。
【図１０】注意喚起の例を示す図である。
【図１１】情報提供の例を示す図である。
【発明を実施するための形態】
【００１１】
以下、本発明の好適な実施形態につき説明する。
【００１２】
＜構成＞
図１は一実施形態にかかるシステムの構成例を示す図である。図１において、複数の端末装置（ＰＣクライアント）１Ａ、１Ｂ、・・はインターネット等のネットワーク２に接続され、ネットワーク２にはネットワークセキュリティに関する情報を管理するサーバ装置３が接続されている。なお、端末装置１Ａは利用者Ａが使用し、端末装置１Ｂは利用者Ｂが使用することを想定している。
【００１３】
図２は情報収集にかかる機能構成例を示す図である。図２において、端末装置１（１Ａ、１Ｂ、・・）は、メーラ１１ｘ、メールチェックアプリ１１ｙ、Ｗｅｂブラウザ１１ｚ等の各種のアプリケーションプログラムにおいて情報を取得する情報取得アドイン１２ｘ、１２ｙ、１２ｚ等を備えている。メーラ１１ｘは、メールの送受信を行うアプリケーションプログラムである。メールチェックアプリ１１ｙは、メーラ１１ｘの送受信するメールのチェックを行うアプリケーションプログラムである。Ｗｅｂブラウザ１１ｚは、Ｗｅｂサイトにアクセスを行うアプリケーションプログラムである。メーラ１１ｘにおいてメールの本文に埋め込まれたＵＲＬリンクが選択（クリック）された場合、Ｗｅｂブラウザ１１ｚを介して、ＵＲＬで指定されるＷｅｂサイトにアクセスが行われる。図示を省略してあるが、文書作成アプリ、表計算アプリ、プレゼンテーションアプリ等の、添付ファイルを開く場合に使用されるアプリケーションプログラムについても、同様に情報取得アドインが設けられる。
【００１４】
また、端末装置１は、端末装置１のＯＳ（Operating System）等からシステム情報とユーザ操作情報を取得するシステム情報・ユーザ操作情報取得部１３を備えている。
【００１５】
情報取得アドイン１２ｘ、１２ｙ、１２ｚ等とシステム情報・ユーザ操作情報取得部１３により取得された情報は時系列に各種ログ１４に保持される。
【００１６】
なお、ユーザ操作情報は、操作対象としているコンテンツにアクセス対象となるものが含まれている場合には詳細に操作ログ（特にマウスの操作ログ）を取得するモードに変更し、通常は一定間隔でのマウスのクリック操作などを取得するのみとすることで、ログの大規模化や負荷の増大を極力減らすようにしている。
【００１７】
メーラ１１ｘから取得される情報は次のようなものを含む。
＜インバウンドログ（受信メールのポリシチェック時に１レコード出力）＞
・アプリケーションバージョン番号
・ポリシバージョン番号
・メッセージID
・受信対象のうち何通目か
・Fromドメインのドメインリスト内有無
・Fromドメイン
・Senderドメイン
・Reply-Toドメイン
・Return-Pathドメイン
・Toドメイン
・Ccドメイン
・Received内のドメイン
・Received内のTimezone
・Receivedヘッダ内のIPにローカルIP以外が含まれるか
・Receivedヘッダ内のIPアドレス
・Date
・X-Mailer
・User-Agent
・X-Spam-FJ
・Content-Type
・デフォルトルールチェック結果
・デフォルトルール非該当因子
・デフォルトルール該当因子
・フィルタ該当因子
・MAC有無
・MAC検証結果
・初回受信（差出人学習リスト有無）
・学習チェック結果
・学習チェック該当因子
・受信確認画面表示有無
・受信確認画面表示開始時間
・警告メッセージを全てチェックした回数
・(全てのボタンが押下できるようになった時の回数)
・警告メッセージを全てチェックした時間
・受信確認画面表示終了時間
・受信確認画面選択ボタン
・送信者アドレス
・初回受信（受信ホワイトリスト有無）
・送信者役職コード
・メールサイズ
・メール本文文字数
・メール受信日時
・ポリシチェック開始時間
・ポリシチェック終了時間
【００１８】
＜メールコンテンツログ（受信メールのポリシチェック時に１レコード出力）＞
・受信メールヘッダ内のメッセージID
・メールをメールサーバから受信した日時
・アイテムのタイプ（添付ファイルかURLリンクか）
・アイテムタイプがURLリンクの場合の、URLドメイン名
・アイテムの名前
・アイテムのサイズ（URLリンクの場合は -1）
・コンテンツを含むメールの差出人ドメイン名
・アイテムに対する操作内容（受信メールポリシチェック時： CHECK、安全性確認前にオープンを行おうとした場合：BAD_OPEN、安全性確認後にオープンを行った場合： OPEN、安全性確認後にプレビューを行った場合：PREVIEW、Outlookよりメールを閲覧した場合：READ）
【００１９】
＜メールヘッダログ（受信メールのポリシチェック時に１レコード出力、本ログはバイナリファイル）＞
・１レコードのレコード長
・受信メールのメッセージID
・メールヘッダ領域のテキスト
【００２０】
＜受信ホワイトリスト（受信メールの差出人を安全とみなし学習した場合に１レコード出力（または既存レコードの更新））＞
・差出人メールアドレス （受信したメールのFROMアドレス）
・自動学習ホワイトリストで算出した重み
・受信回数
【００２１】
＜受信メール操作ログ（メーラでメールに返信・転送操作を行う都度１レコード出力）＞
・イベント種別（差出人に返信／全員に返信／転送）
・操作したメールが訓練メールであるか否か
・返信／転送元メールのMessageID
・返信／転送元メールがMLであるかどうか
・返信／転送元メールのスレッド位置
・作成したメールのEntryID（特定メールの検索に使用）
・操作日時
【００２２】
＜アウトバウンドログ（送信メールの送信、キャンセル確定時に１レコード出力）＞
・アプリケーションバージョン番号
・ポリシバージョン番号
・組織内宛先件数
・組織外宛先件数
・添付ファイル数
・違反したポリシ
・ポリシチェック後のアクション
・画面表示時間
・メール識別ID（メールID、IPアドレスなど）
・X-Mailer （存在しない場合は User-Agent）の内容
・EntryID
・Outlook プロセスID
・Outlook ウィンドウハンドル
・件名なしチェック結果
・添付忘れチェック結果
・メールサイズ
・メール本文文字数
・添付ファイル確認操作
・初回送信宛先数
・ポリシチェック開始時間
・ポリシチェック終了時間
【００２３】
＜送信ホワイトリスト（宛先を安全とみなし学習した場合に１レコード出力（または既存レコードの更新））＞
・送信先メールアドレス
・自動学習ホワイトリストで算出した重み
・送信回数
【００２４】
＜宛先ログ（受信メール、送信メールのポリシチェック時（送信キャンセル時は出力なし））＞
・FROMアドレス （受信メール時は送信者のアドレス、送信メール時は自身のアドレス）
・受信／送信種別
・受信時：対応するメールのメッセージID、送信時：送信メールのエントリID
・BCC指定アドレス（複数指定時はカンマ区切り）
・CC指定アドレ ス（複数指定時はカンマ区切り）
・TOC指定アドレス（複数指定時はカンマ区切り）
【００２５】
＜訓練メールログ（訓練メールに対する操作をする都度、１レコード出力）＞
・メール操作内容（ポリシチェック／返信／全員に返信／転送）
・操作したアイテムのタイプ（添付ファイル、URLリンク）
・操作したアイテムの名前
・操作対象アイテム名のURL文字列中の、GUID部分を出力する
・訓練メールのメッセージID （メッセージ作成時にIDを生成）
【００２６】
＜会議・予定ログ（Outlook起動時、昨日までの未取得の情報について出力）＞
・会議／予定種別
・会議依頼か自身が開催者か、受信した会議依頼か
・会議依頼の開催者（送信者）のメールアドレス
・会議依頼の必須出席者のメールアドレスをカンマ区切りで出力
・会議依頼の任意出席者のメールアドレスをカンマ区切りで出力
・会議依頼のリソースのメールアドレスをカンマ区切りで出力
・会議依頼の会議室のメールアドレスをカンマ区切りで出力
・会議場所が組織内か組織外かを出力（会議室のメールアドレスにより判定）
・会議依頼の開始時刻
・会議依頼の終了時刻
・終日の予定か否か
・会議依頼のアラームを出力
・会議依頼の重要度を出力
・会議依頼が非公開かを出力
【００２７】
Ｗｅｂブラウザ１１ｚから取得される情報は次のようなものを含む。
＜Ｗｅｂページ参照ログ（Ｗｅｂページ参照におけるページロード完了時に、１レコード生成）＞
・閲覧／閲覧中止フラグ（閲覧中止はFCAアドインが表示する表示確認画面でアクセス中止選択時）
・閲覧／中止理由（利用者による閲覧許可／中止、ホワイトリストに含まれるドメイン、学習されているドメイン、Outlook以外からの操作、メールコンテンツに含まれないURLである、訓練メール中のURLである）
・IEのプロセスID
・WebサイトURLドメイン名
・閲覧したサイトのページタイトル文字列
・WebサイトURL
【００２８】
その他のアプリから取得される情報は次のようなものを含む。
＜Office操作ログ（各Office系アプリ（Word/Excel/PowerPointk）の操作において、主要イベント検出時）＞
・操作アプリケーション名（Word/Excel/PowerPoint)
・開いたファイル名
・開いたファイルのファイルパス名
・操作種別（イベント名。Open/NewCreate/Save/Closeなど）
【００２９】
ＯＳ等から取得されるユーザ操作情報は次のようなものを含む。
＜キー操作物理ログ（キーイベント発生の都度１レコード出力）＞
・キー操作を行った際の、アクティブアプリのシーケンス番号
・プロセスID
・アクティブウィンドウのウィンドウハンドル
・イベント種別（KeyDown: KD、 KeyUp： KU）
・仮想キーコード (16進数)
【００３０】
＜キー操作論理ログ（キーダウンからキーアップまでを１くくりとし、１レコード出力）＞
・キー操作を行った際の、アクティブアプリのシーケンス番号
・プロセスID
・アクティブウィンドウのウィンドウハンドル
・特殊入力（ショートカット操作、例えば Ctrl+C など）
・仮想キーコード（16進数）
・キーリピート時の回数
・Ctrlキー を押下中か否か
・Shiftキー を押下中か否か
・Altキー を押下中か否か
・Windowsキー押下中か否か
・キーの入力し始めから、入力キー確定までの経過時間
・全キーが離された状態から、最初のキー入力開始までの時間 （＝未入力時間）
【００３１】
＜マウス操作ログ（マウスイベント発生の都度１レコード出力）＞
・マウス操作を行った際の、アクティブアプリのシーケンス番号
・プロセスID
・アクティブウィンドウのウィンドウハンドル
・イベント種別（左・右・中央・その他の各ボタンのダウン/アップ、ホイール操作、マウス移動）
・マウスクリック時のコントロール名
・マウスクリック時のコントロールに設定されているテキスト
・イベント発生時のマウスカーソルX座標（スクリーン座標系）
・イベント発生時のマウスカーソルY座標（スクリーン座標系）
・クリックしたコントロールの左上X座標（スクリーン座標系）
・クリックしたコントロールの左上Y座標（スクリーン座標系）
・クリックしたコントロールの幅
・クリックしたコントロールの高さ
・前回イベント発生座標と、今回座標の距離
・前回イベントから今回イベントまでの時間
【００３２】
＜ファイル操作ログ（指定したファイルイベント、拡張子に対し、１レコード出力）＞
・ファイル操作を検出したアプリケーション（Explorer/Outlook/HDD監視）
・操作・検出されたファイルのファイル名
・操作・検出されたファイルのファイルのパス名
・ファイル操作内容（Explorerでのファイル選択/Outlookメール添付/HDD監視によるファイル作成、リネーム）
【００３３】
ＯＳ等から取得されるシステム情報は次のようなものを含む。
＜システム情報ログ（起動後の規定時間経過後に、１ファイルを生成）＞
◇ システム基本情報
・ホスト名
・OS名
・OSバージョン
・OSインストール日時
・OS起動日時
・N番目のCPUの種類
・N番目のCPUの最大クロック数
・N番目のCPUの2次キャッシュサイズ
・CPUの数
・OSの32bit／64bit区分
・OS前回シャットダウン日時
・システム起動に要した時間
・合計物理メモリサイズ
・利用可能な物理メモリサイズ
・合計仮想メモリサイズ
・利用可能な仮想メモリサイズ
・UACの有効状態
◇ ユーザ情報
・ユーザのメールアドレスに対するハッシュ値
・ユーザの役職コード
・ユーザの所属部署名
◇ マウス設定情報
・マウスの移動速度設定値 （規定値１０、１[最も遅い]〜２０[最も速い]）
・マウスの垂直スクロールのホイールの1目盛りでスクロールする行数
・ホイール機能が搭載されたマウスを使用しているか否か
・マウスの左右ボタンを入れ替えているかどうか
◇ ディスプレイ情報
・接続モニタ数
・N番目のモニタの解像度（幅）
・N番目のモニタの解像度（高さ）
◇ ドライブ情報
・接続ドライブ数
・Nドライブのドライブタイプ（光ディスク/固定ディスク/ネットワークドライブ/リムーバブル）
・Nドライブの全体サイズ
・Nドライブの空きサイズ
◇ タスクバー情報
・タスクバー登録個数
・タスクバー登録位置（上下左右）
・タスクバーを自動的に隠す設定有無
・タスクバーのアイコンサイズ
◇ 特殊フォルダ情報（デスクトップ、スタートメニュー、ダウンロードフォルダ等）
・XXXXXフォルダのフォルダ最大階層数
・XXXXXフォルダの第1階層アイテム数（ファイル[ショートカット、実体]をフォルダ合計）
・XXXXXフォルダの第1階層ショートカット数（ショートカットファイルの数）
・XXXXXフォルダの第1階層ファイル数（ファイル実体の数）
・XXXXXフォルダの第1階層フォルダ数（フォルダ実体の数）
・XXXXXフォルダの全階層アイテム数（ファイル[ショートカット、実体]をフォルダ合計）
・XXXXXフォルダの全階層ショートカット数（ショートカットファイルの数）
・XXXXXフォルダの全階層ファイル数（ファイル実体の数）
・XXXXXフォルダの全階層フォルダ数（フォルダ実体の数）
◇ ゴミ箱情報
・ゴミ箱内のアイテム数（ファイル数＋フォルダ数）
・ゴミ箱内のアイテムサイズ合計（ファイル数＋フォルダ数）
◇ Windows Update情報
・重要な更新プログラムの確認設定
・新しい更新プログラムのインストールスケジュール（毎日／特定曜日のみ）
・新しい更新プログラムの存在を検出した日時
・新しい更新プログラムのダウンロードが完了し、インストールの準備が出来た日時
・新しい更新プログラムを自動でダウンロードし、そのダウンロードが完了した日時
・新しい更新プログラムのインストールが完了した日時
・新しい更新プログラムの適用を保留した時間（秒数）
◇ AntiVirus設定（Symantec Endpoint Protection)
・LiveUpdateの自動更新有無
・更新頻度
◇ プロセス情報
・N番目のプロセスID
・N番目のプロセス名
・N番目のプロセスのフルパス（※ 取得可能な場合のみ出力する）
・N番目のプロセスのモジュールバージョン（※ 取得可能な場合のみ出力する）
・プロセス数
◇ アプリケーション情報
・N番目のインストールされているアプリケーション名
・N番目のインストールされているアプリケーションの発行元（※ 取得可能な場合のみ出力する）
・N番目のインストールされているアプリケーションのバージョン（※ 取得可能な場合のみ出力する）
・インストールされているアプリケーション数
【００３４】
＜プロセス状態ログ（プロセス実行終了時に１レコードを生成）＞
・プロセスID
・プロセスの実行モジュール名
・プロセスの実行パス （実行モジュールのフルパスからモジュール名を除いたもの）
・プロセスが起動された日時
・プロセスが終了した日時。
・プロセスが実行していた秒数。
【００３５】
＜アプリ状態ログ（アクティブなアプリケーションの変更、またはウィンドウ位置、ウィンドウサイズ変化時に１レコー出力）＞
・アクティブなアプリに付与するシーケンス番号（マウス、キーボードのログとの紐付け用）
・プロセスID
・アクティブウィンドウのウィンドウハンドル（同一プロセスでの別ウィンドウ識別用）
・プロセスの実行モジュール名
・プロセスの実行パス （実行モジュールのフルパスからモジュール名を除いたもの）
・アプリのウィンドウ位置X座標
・アプリのウィンドウ位置Y座標
・アプリのウィンドウサイズ幅
・アプリのウィンドウサイズ高さ
・（アクティブアプリがIEの場合のみ） 現在オープンしているタブの数
・アプリのウィンドウタイトル文字列
・アプリがアクティブであった時間
【００３６】
＜ネットワーク状態ログ（一定時間毎に出力）＞
・NICに対するMACアドレス
・前回ログ出力からの送信バイト数
・前回ログ出力からの受信バイト数
【００３７】
＜パフォーマンスログ（一定時間毎に出力）＞
・ログ出力時点のCPU使用率
・ログ出力時点の各コアの使用率
・メモリ使用最大容量（物理+仮想）
・メモリ使用量（物理+仮想）
・物理メモリの空き容量
・物理メモリの使用量
・物理メモリの使用率
・仮想メモリ容量
・仮想メモリ使用量
・仮想メモリ使用率
・1秒あたりに行われたページングの回数
・ディスクのキューに入った書き込み要求の数の平均値
【００３８】
また、図２において、端末装置１には、各種ログ１４の保持内容および情報取得アドイン１２ｘ、１２ｙ、１２ｚ等およびシステム情報・ユーザ操作情報取得部１３の出力内容からキャンセル行動を検出するキャンセル行動検出部１５を備えている。検出されたキャンセル行動はキャンセル行動ログ１６に保持される。キャンセル行動は、ＵＲＬや添付ファイル等のアクセス対象について未然のアクセスの行動であり、アクセス回避行動と言い換えることもできる。例えば、ＵＲＬリンクや添付ファイルアイコンにマウスオーバしてもクリック（選択）しなかった場合や、クリックしてしまった直後のアクセスが開始される前に取り消しを行った場合や、アクセスが開始された後にアクセスを中断した場合や、アクセスが開始された後にウィンドウを消去した場合等の行動である。また、ＵＲＬリンクがある本文や添付ファイルのあるメールなどをアクティブにしている時間が所定値を超えた上でクリックが行われなかった場合には、マウスオーバがされなくてもキャンセル行動としてとらえることも可能である。これらはアクセスの実績としては残らないが、キャンセル行動として記録される。
【００３９】
うっかりアクセスしてしまったり、アクセスすべきでないことをページが開く前や、ファイルの解凍が行われる前に気づいたり、次の処理を即座に中断したりする行為が行われる場合があるが、これらの行為は、アクセスする行為よりも重要で、蓄積、分析することで、より有用な情報になる。そこで、これらのキャンセル情報を細かく採取して、他の関係者のアクセスやうっかりミスなどを無くすように活用するものとしている。うっかりミスや、巧妙な標的攻撃にも対処するには、このような周りのキャンセル情報を活用して判定できる機能が重要になる。
【００４０】
これまでの技術では、実際に行われて有用だったことを記録し、案内したり、情報共有したりすることがほとんどである。有用な情報や内容を求めることが一般的であり、その情報だけでもあふれていて、利用者にとってどのように有用な情報かを絞り込むために、行われなかったことの情報が重要になる。
【００４１】
また、キャンセル行動検出部１５は、キャンセル行動に至るユーザ操作や通常のアクセス数に対する比率等を算出するために、狭義のキャンセル行動だけではなく、通常のアクセス状況や、直前の行動などの情報も検出して収集する。これにより、これまでのレピュテーションでは得られなかった、未アクセスのノウハウも含めた行動情報を詳細に収集することができる。
【００４２】
一方、図２において、サーバ装置３には、所定のタイミングで複数（多数）の端末装置１のキャンセル行動ログ１６から情報を取得する情報取得部３１と、取得した情報に基づいてキャンセル行動を分析するキャンセル行動分析部３２とを備えている。分析の詳細については後述する。分析された結果はキャンセル行動特性としてキャンセル行動特性ＤＢ３３に保持される。
【００４３】
図３は情報提供にかかる機能構成例を示す図である。図３において、サーバ装置３は、ポリシレベルに応じた複数のタイプのアラートポリシ群３４から端末装置１のポリシレベルに合ったアラートポリシを取得して提供するポリシ提供部３５を備えている。端末装置１のポリシレベルは、端末装置１を使用する利用者の環境や状況に応じて自動的に、または利用者の選択により決定される。提供されたアラートポリシはアラートポリシ１７として端末装置１に保持される。
【００４４】
また、サーバ装置３は、キャンセル行動特性ＤＢ３３の内容を端末装置１に提供するキャンセル行動特性提供部３６を備えている。提供されたキャンセル行動特性はキャンセル行動特性１８として端末装置１に保持される。なお、キャンセル行動特性提供部３６は、変更があったキャンセル行動特性ＤＢ３３の内容をリアルタイムまたは早期に端末装置１に提供することで、新規のアクセス対象についての情報を有効に提供することができる。
【００４５】
一方、端末装置１は、情報取得アドイン１２ｘ、１２ｙ、１２ｚ等とシステム情報・ユーザ操作情報取得部１３から取得した情報に基づいてユーザ操作を監視し、アラートポリシ１７およびキャンセル行動特性１８を用いて注意喚起のアラートを発する条件が満たされた場合に注意喚起を行う注意喚起部１９を備えている。
【００４６】
図４は各種情報の例を示す図である。図４において、各種ログ１４は、タイムスタンプと事象内容とを含んでいる。キャンセル行動ログ１６は、タイムスタンプとキャンセル行動内容とを含んでいる。キャンセル行動内容には、例えば、ＵＲＬ情報、ドメイン、キャンセル行動内容（クリック直後キャンセル、マウスオーバ：１sec（マウスオーバが１秒間継続）等）等が含まれる。キャンセル行動特性ＤＢ３３は、アクセス対象と行動特性とを含んでいる。行動特性には、アクセス対象（ＵＲＬリンク、添付ファイル等）ごと、利用者（利用者本人、組織内関係者等）ごとのキャンセル回数、キャンセル率（キャンセル回数とアクセス回数の合計に対するキャンセル回数の比率）、アクセス回数、アクセス率（キャンセル回数とアクセス回数の合計に対するアクセス回数の比率）等が含まれる。アラートポリシ群３４は、ポリシレベルと条件とアラート内容とを含んでいる。
【００４７】
図５は端末装置１（１Ａ、１Ｂ、・・）およびサーバ装置３のハードウェア構成例を示す図である。図５において、端末装置１等は、システムバス１０１に接続されたＣＰＵ（Central Processing Unit）１０２、ＲＯＭ（Read Only Memory）１０３、ＲＡＭ（Random Access Memory）１０４、ＮＶＲＡＭ（Non-Volatile Random Access Memory）１０５を備えている。また、端末装置１等は、Ｉ／Ｆ（Interface）１０６と、Ｉ／Ｆ１０６に接続された、Ｉ／Ｏ（Input/Output Device）１０７、ＨＤＤ（Hard Disk Drive）／ＳＳＤ（Solid State Drive）１０８、ＮＩＣ（Network Interface Card）１０９と、Ｉ／Ｏ１０７に接続されたモニタ１１０、キーボード１１１、マウス１１２等を備えている。Ｉ／Ｏ１０７にはＣＤ／ＤＶＤ（Compact Disk/Digital Versatile Disk）ドライブ等を接続することもできる。
【００４８】
図２および図３で説明した端末装置１等の機能は、ＣＰＵ１０２において所定のプログラムが実行されることで実現される。プログラムは、記録媒体を経由して取得されるものでもよいし、ネットワークを経由して取得されるものでもよいし、ＲＯＭ組込でもよい。
【００４９】
＜動作＞
図６は端末装置１のキャンセル行動検出部１５によるキャンセル行動検出の例を示す図であり、受信したメールの本文に埋め込まれているＵＲＬリンクにマウスオーバした後にキャンセル行動を行った場合である。
【００５０】
図６において、メーラ１１ｘによりメールが受信され（ステップＳ１１１）、利用者により受信メールの選択が行われ（ステップＳ１１２）、メールテキストが開封され（ステップＳ１１３）、ＵＲＬリンクの上にマウスオーバが行われる（ステップＳ１１４）。その後、マウスクリックせずに別の操作（移動や別のポイントでのクリック等）に移行した場合（ステップＳ１１５）は、キャンセル行動として検出され、キャンセル行動ログ１６に記録される。
【００５１】
また、マウスオーバに続いてＵＲＬリンク上でマウスクリックが行われ（ステップＳ１１６）、Ｗｅｂブラウザ１１ｚが起動（ステップＳ１１７）した後、閉じるボタンやプロセス終了（ウインドウのクローズ等）が行われた場合（ステップＳ１１８）もキャンセル行動として検出され、キャンセル行動ログ１６に記録される。
【００５２】
図７はキャンセル行動検出の他の例を示す図であり、受信したメールの添付ファイルアイコンにマウスオーバした後にキャンセル行動を行った場合である。
【００５３】
図７において、メーラ１１ｘによりメールが受信され（ステップＳ１２１）、利用者により受信メールの選択が行われ（ステップＳ１２２）、メールの添付ファイルアイコンの上にマウスオーバが行われる（ステップＳ１２３）。その後、マウスクリックせずに別の操作（移動や別のポイントでのクリック等）に移行した場合（ステップＳ１２４）は、キャンセル行動として検出され、キャンセル行動ログ１６に記録される。
【００５４】
また、マウスオーバに続いて添付ファイルアイコン上でマウスクリックが行われ（ステップＳ１２５）、対応するアプリ（文書作成アプリ、表計算アプリ、プレゼンテーションアプリ等）が起動（ステップＳ１２６）した後、閉じるボタンやプロセス終了（ウインドウのクローズ等）が行われた場合（ステップＳ１２７）もキャンセル行動として検出され、キャンセル行動ログ１６に記録される。
【００５５】
図８はサーバ装置３によるキャンセル行動分析の処理例を示すフローチャートである。図８において、サーバ装置３の情報取得部３１は、各端末装置１からキャンセル行動ログ１６を取得する（ステップＳ２１）。
【００５６】
次いで、キャンセル行動分析部３２は、アクセス対象（ＵＲＬリンク、添付ファイル等）ごと、利用者（利用者本人、組織内関係者等）ごとに、情報を整理（分類）する（ステップＳ２２）。
【００５７】
次いで、キャンセル行動分析部３２は、アクセス対象ごと、利用者ごとに、キャンセル回数、キャンセル率（キャンセル回数とアクセス回数の合計に対するキャンセル回数の比率）、アクセス回数、アクセス率（キャンセル回数とアクセス回数の合計に対するアクセス回数の比率）等のキャンセル行動特性を導出する（ステップＳ２３）。導出したキャンセル行動特性はキャンセル行動特性ＤＢ３３に保持され、キャンセル行動特性提供部３６によって端末装置１にキャンセル行動特性１８として提供される。
【００５８】
図９は端末装置１の注意喚起部１９による注意喚起の処理例を示すフローチャートである。図９において、注意喚起部１９は、情報取得アドイン１２ｘ、１２ｙ、１２ｚ等とシステム情報・ユーザ操作情報取得部１３から取得した情報に基づいて新規メールの受信または既に受信したメールの参照を検出すると（ステップＳ３１）、本文内に含まれるＵＲＬリンクや添付ファイル等のアクセス対象とキャンセル行動特性１８とを突合せる（ステップＳ３２）。
【００５９】
注意喚起部１９は、突き合わせの結果、一致するものがある場合、アラートポリシ１７に従いＵＲＬリンクや添付ファイル等のアクセス対象に関する注意喚起を実施する（ステップＳ３３）。
【００６０】
図１０は注意喚起の例を示す図である。表示Ｉ１は、「直前（連携）操作とあぶないＵＲＬアクセスとの関係」を示し、実績値または一般的な統計値に基づいて、操作と危険性との関係を示している。図示の例では「初回メール受信」が下線等の強調により直前の操作であることが示されている。また、表示Ｉ２は、メール等の本文に含まれている複数のＵＲＬについて、「危険」「注意」の程度を示している。表示Ｉ３は、個人アクセスと組織内アクセスについてアクセスとアクセスの取止め（キャンセル行動）の比率をグラフと文字列で示している。表示Ｉ４は、アクセス取止め等のボタンを示している。
【００６１】
図９に戻り、注意喚起部１９は、突き合わせの結果、一致するものがない場合、ＵＲＬリンクや添付ファイル等のアクセス対象に関する注意喚起はせず、通常のメール処理へ移行する（ステップＳ３４）。その後、いずれの場合も、その後のメール処理へ移行する（ステップＳ３５）。
【００６２】
なお、利用者の操作の監視に基づいて注意喚起をする例について説明したが、利用者からの要求（セキュリティについての確認要求）に基づいて情報共有・提供という観点から表示を行ってもよい。図１１は情報提供の例を示す図である。表示Ｉ５は、「利用アプリからの情報漏えいプロセス」を示し、実績値または一般的な統計値に基づいて、利用アプリ等と危険性との関係を示している。図示の例では「受信メール→リンク→Ｗｅｂアクセス」が直前の操作であることが下線等の強調により示されている。表示Ｉ６は、メール等の本文に含まれている複数のＵＲＬについて、「危険」「注意」の程度を示している。表示Ｉ７は、個人アクセスと組織内アクセスについてアクセスとアクセスの取止め（キャンセル行動）の比率をグラフと文字列で示している。表示Ｉ８は、ネットワークセキュリティについての連絡事項を示している。
【００６３】
＜応用＞
上述した技術は、Ｗｅｂアクセスに限らず、例えば、カーナビにおける複数の利用者の動向情報に基づく案内に対して選択しなかった行動や、商品購入において複数の利用者の購入しなかったり直前で止めた等の行動にも適用することができる。これらの情報の提供は、提供側の立場ではなく、利用者側に立った判断のための有用情報として提供することができる。この場合も、利用者側での判断を周りの状況をみて行えるようになり、選択のミスを少なくすることができる。
【００６４】
＜総括＞
以上説明したように、本実施形態によれば、ＵＲＬや添付ファイル等へアクセスしようとした場合に判断に有用な情報が提供されるため、利用者はアクセス時に判断が容易になり、うっかりミスをなくすことができ、ネットワークセキュリティを向上することができる。
【００６５】
以上、好適な実施の形態により説明した。ここでは特定の具体例を示して説明したが、特許請求の範囲に定義された広範な趣旨および範囲から逸脱することなく、これら具体例に様々な修正および変更を加えることができることは明らかである。すなわち、具体例の詳細および添付の図面により限定されるものと解釈してはならない。
【００６６】
以上の説明に関し、更に以下の項を開示する。
（付記１）
ユーザ操作および該ユーザ操作のアクセス対象の情報を取得する手段と、
前記ユーザ操作を分析して、前記アクセス対象ごとに未然のアクセス行動を示す情報を取得する手段と、
前記未然のアクセス行動の対象となった前記アクセス対象の安全性に関する情報を利用者に提供する手段と、
を備えたことを特徴とする安全性判定装置。
（付記２）
ＵＲＬリンクにマウスオーバが行われた後にアクセスを回避する行動が行われた場合、または、ＵＲＬリンクがマウスクリックされた後にアクセスを中断または中止する行動が行われた場合に、アクセス対象であるＵＲＬリンクについて未然のアクセスが行われたとする、
ことを特徴とする付記１に記載の安全性判定装置。
（付記３）
添付ファイルのアイコンにマウスオーバが行われた後にアクセスを回避する行動が行われた場合、または、添付ファイルのアイコンがマウスクリックされた後にアクセスを中断または中止する行動が行われた場合に、アクセス対象である添付ファイルについて未然のアクセスが行われたとする、
ことを特徴とする付記１または２に記載の安全性判定装置。
（付記４）
アラートポリシで規定された条件およびアラートの内容に従って前記アクセス対象の安全性に関する情報を利用者に提供する、
ことを特徴とする付記１乃至３のいずれか一項に記載の安全性判定装置。
（付記５）
ユーザ操作および該ユーザ操作のアクセス対象の情報を取得し、
前記ユーザ操作を分析して、前記アクセス対象ごとに未然のアクセス行動を示す情報を取得し、
前記未然のアクセス行動の対象となった前記アクセス対象の安全性に関する情報を利用者に提供する、
処理をコンピュータに実行させることを特徴とする安全性判定プログラム。
（付記６）
ＵＲＬリンクにマウスオーバが行われた後にアクセスを回避する行動が行われた場合、または、ＵＲＬリンクがマウスクリックされた後にアクセスを中断または中止する行動が行われた場合に、アクセス対象であるＵＲＬリンクについて未然のアクセスが行われたとする、
ことを特徴とする付記５に記載の安全性判定プログラム。
（付記７）
添付ファイルのアイコンにマウスオーバが行われた後にアクセスを回避する行動が行われた場合、または、添付ファイルのアイコンがマウスクリックされた後にアクセスを中断または中止する行動が行われた場合に、アクセス対象である添付ファイルについて未然のアクセスが行われたとする、
ことを特徴とする付記５または６に記載の安全性判定プログラム。
（付記８）
アラートポリシで規定された条件およびアラートの内容に従って前記アクセス対象の安全性に関する情報を利用者に提供する、
ことを特徴とする付記５乃至７のいずれか一項に記載の安全性判定プログラム。
（付記９）
ユーザ操作および該ユーザ操作のアクセス対象の情報を取得し、
前記ユーザ操作を分析して、前記アクセス対象ごとに未然のアクセス行動を示す情報を取得し、
前記未然のアクセス行動の対象となった前記アクセス対象の安全性に関する情報を利用者に提供する、
処理をコンピュータが実行することを特徴とする安全性判定方法。
（付記１０）
ＵＲＬリンクにマウスオーバが行われた後にアクセスを回避する行動が行われた場合、または、ＵＲＬリンクがマウスクリックされた後にアクセスを中断または中止する行動が行われた場合に、アクセス対象であるＵＲＬリンクについて未然のアクセスが行われたとする、
ことを特徴とする付記９に記載の安全性判定方法。
（付記１１）
添付ファイルのアイコンにマウスオーバが行われた後にアクセスを回避する行動が行われた場合、または、添付ファイルのアイコンがマウスクリックされた後にアクセスを中断または中止する行動が行われた場合に、アクセス対象である添付ファイルについて未然のアクセスが行われたとする、
ことを特徴とする付記９または１０に記載の安全性判定方法。
（付記１２）
アラートポリシで規定された条件およびアラートの内容に従って前記アクセス対象の安全性に関する情報を利用者に提供する、
ことを特徴とする付記９乃至１１のいずれか一項に記載の安全性判定方法。
【符号の説明】
【００６７】
１、１Ａ、１Ｂ      端末装置
１１ｘ              メーラ
１１ｙ              メールチェックアプリ
１１ｚ              Ｗｅｂブラウザ
１２ｘ〜１２ｚ      情報取得アドイン
１３                システム情報・ユーザ操作情報取得部
１４                各種ログ
１５                キャンセル行動検出部
１６                キャンセル行動ログ
１７                アラートポリシ
１８                キャンセル行動特性
１９                注意喚起部
２                  ネットワーク
３                  サーバ装置
３１                情報取得部
３２                キャンセル行動分析部
３３                キャンセル行動特性ＤＢ
３４                アラートポリシ群
３５                ポリシ提供部
３６                キャンセル行動特性提供部
Ａ、Ｂ              利用者
【図１】
0006759610.tif 000002
【図２】
0006759610.tif 000003
【図３】
0006759610.tif 000004
【図４】
0006759610.tif 000005
【図５】
0006759610.tif 000006
【図６】
0006759610.tif 000007
【図７】
0006759610.tif 000008
【図８】
0006759610.tif 000009
【図９】
0006759610.tif 000010
【図１０】
0006759610.tif 000011
【図１１】
0006759610.tif 000012