(57)【要約】  情報収集におけるユーザの工数を低減し、ユーザに対して適切な情報を表示する。情報分析システム（１８００）は、１以上の情報源のうちいずれかの上記情報源において、検索対象に関する情報である検索情報を検索することで、当該検索情報に関する検索結果を取得し、取得した当該検索結果を上記検索情報として用いて、いずれかの上記情報源から検索結果を更に取得可能な情報取得部（１８０１）と、上記検索結果に関する評価を受け付け、当該評価に応じて、当該検索結果の有用性を判定するスコア学習部（１８０３）と、上記検索結果に関する有用性に応じて、上記検索結果を表示するか否かを制御する情報表示部（１８０２）と、を備える。
2017221858.tif 000002
【特許請求の範囲】
【請求項１】
１以上の情報源のうちいずれかの前記情報源において、検索対象に関する情報である検索情報を検索することで、当該検索情報に関する検索結果を取得し、取得した当該検索結果を前記検索情報として用いて、いずれかの前記情報源から、当該検索情報に関する検索結果を更に取得可能な情報取得手段と、
前記検索結果に関して受け付けた評価に応じて、当該検索結果の有用性を判定するスコア学習手段と、
前記検索結果に関する有用性に応じて、前記検索結果を表示するか否かを制御する情報表示手段と、を備える情報分析システム。
【請求項２】
前記スコア学習手段は、前記検索結果に関して受け付けた評価に応じて、当該検索結果の有用性を表すスコアを求め、
前記情報表示手段は、前記検索結果に関する前記スコアに応じて、前記検索結果を表示するか否かを制御する
請求項１に記載の情報分析システム。
【請求項３】
前記情報表示手段は、前記スコアに応じて、１以上の前記検索結果のうちの少なくとも一部を表示するとともに、前記検索結果に関する評価に用いられるユーザインタフェースである操作インタフェースを表示し、
前記スコア学習手段は、前記操作インタフェースを介して受け付けた前記検索結果に関する評価に応じて、当該検索結果に関する前記スコアを求める、請求項２に記載の情報分析システム。
【請求項４】
前記情報取得手段は、
前記検索情報である第１の検索情報を受け付け、いずれかの前記情報源において当該第１の検索情報に関する検索結果を取得し、
取得した当該検索結果を前記検索情報として用いて、いずれかの前記情報源から、当該検索情報に関する検索結果を更に取得する処理を繰り返し実行可能であり、
前記情報表示手段は、
前記第１の検索情報に関する検索が実行されてから、ある前記検索情報に関する前記検索結果が取得されるまでに、いずれかの前記情報源において実行された検索の回数に応じて、前記第１の検索情報と、ある前記検索情報に関する前記検索結果との間の第１の距離を算出し、
前記検索結果に関する前記第１の距離と、その前記検索結果に関する前記スコアとに応じて、前記検索結果を表示するか否かを制御する請求項３に記載の情報分析システム。
【請求項５】
前記情報表示手段は、
ある前記検索結果に関する前記スコアが、その検索結果に関する前記第１の距離以上である場合、当該検索結果を表示する
請求項４に記載の情報分析システム。
【請求項６】
前記操作インタフェースは、当該操作インタフェースに対する操作により、前記検索結果に関する有用性に関する評価を入力可能なインタフェースであり、
前記スコア学習手段は、前記操作インタフェースの操作に応じて、前記検索結果が有用であると評価された場合に当該検索結果に関する前記スコアを増加させ、前記検索結果が有用ではないと評価された場合に当該検索結果に関する前記スコアを減少させる請求項４又は請求項５に記載の情報分析システム。
【請求項７】
前記操作インタフェースは、前記検索結果の表示状態の変更を指示可能なインタフェースであり、
前記スコア学習手段は、前記操作インタフェースの操作に応じて、表示されている前記検索結果を非表示とする指示が与えられた場合に、当該検索結果に関する前記スコアを減少させ、表示されていない前記検索結果を表示する指示が与えられた場合に、当該検索結果に関する前記スコアを増加させる、請求項４乃至請求項６のいずれか一項に記載の情報分析システム。
【請求項８】
前記情報取得手段は、
前記検索結果が取得されるまでにいずれかの前記情報源に対して実行された検索の回数に応じて、前記第１の検索情報と前記検索結果との間の第２の距離を算出し、
ある前記検索結果に関する前記スコアが、その検索結果に関する前記第２の距離以上である場合、当該検索結果を前記検索情報として用いて、１以上の前記情報源のうちいずれかの前記情報源からその検索情報に関する検索結果を取得する処理を繰り返し実行し、
ある前記検索結果に関する前記スコアが、その検索結果に関する前記第２の距離未満である場合、当該検索結果に関する検索を終了する請求項４乃至請求項７のいずれかに記載の情報分析システム。
【請求項９】
前記情報源について設定された、当該情報源が許容可能な検索の実行条件を表す制限情報と、当該情報源における検索の実行履歴を表す利用履歴情報と、に基づいて、前記情報源に関する検索の実行可否を判定可能なクエリ調整手段を更に備え、
前記情報取得手段は、
前記クエリ調整手段における判定結果に応じて、前記情報源から前記検索結果を取得するか否かを制御し、
前記情報源から前記検索結果を取得した場合には、前記利用履歴情報を更新する請求項２乃至請求項８のいずれかに記載の情報分析システム。
【請求項１０】
前記制限情報には、期間を表す情報である制限時間情報と、当該期間の間に前記情報源に関する検索を実行可能な回数を表す情報である制限回数情報と、が少なくとも含まれ、
前記利用履歴情報には、少なくとも、前記情報源に関する検索が実行された時間を特定可能な情報が時系列に含まれ
前記クエリ調整手段は、前記情報取得手段が前記情報源における検索を実行するタイミングより過去の、前記制限時間情報により表される期間に当該情報源において実行された検索を、前記利用履歴情報から取得し、その回数が制限回数情報により表される回数未満である場合に、前記情報源に関する検索を実行可能であると判定する、請求項９に記載の情報分析システム。
【請求項１１】
前記スコア学習手段は、前記検索結果に関して求めた前記スコアを、前記検索結果と前記検索結果に関するスコアを記憶可能なスコア記憶手段に蓄積し、
前記情報表示手段は、ある前記検索結果に関して前記スコア記憶手段に蓄積された前記スコアが、その検索結果に関する前記第１の距離以上である場合、当該検索結果を表示する請求項４に記載の情報分析システム。
【請求項１２】
前記情報表示手段は、
ある前記検索結果が既に表示されている場合、当該検索結果と同じ検索結果の表示を抑制する
請求項２乃至請求項１１に記載の情報分析システム。
【請求項１３】
情報処理システムが、
１以上の情報源のうちいずれかの前記情報源において、検索対象に関する情報である検索情報を検索することで、当該検索情報に関する検索結果を取得し、取得した当該検索結果を前記検索情報として用いて、いずれかの前記情報源から、当該検索情報に関する検索結果を更に取得し、
前記検索結果に関して受け付けた評価に応じて、当該検索結果の有用性を判定し、
前記検索結果に関する有用性に応じて、前記検索結果を表示するか否かを制御する情報分析方法。
【請求項１４】
コンピュータに
１以上の情報源のうちいずれかの前記情報源において、検索対象に関する情報である検索情報を検索することで、当該検索情報に関する検索結果を取得し、取得した当該検索結果を前記検索情報として用いて、いずれかの前記情報源から、当該検索情報に関する検索結果を更に取得する処理と、
前記検索結果に関して受け付けた評価に応じて、当該検索結果の有用性を判定する処理と、
前記検索結果に関する有用性に応じて、前記検索結果を表示するか否かを制御する処理と、を実行させる情報分析プログラムが記録された記録媒体。
【請求項１５】
検索対象に関する情報である検索情報を情報源において検索することで当該検索情報に関する検索結果を取得し、取得した検索結果を新たな前記検索情報として用いて、前記情報源において当該検索情報を検索する処理を繰り返し実行し、
取得された前記検索結果のうちの少なくとも一部と、前記検索結果に関する評価に用いられるユーザインタフェースである操作インタフェースとを表示し、
前記操作インタフェースを介して受け付けた前記検索結果に関する評価に応じて、当該検索結果に関するスコアを算出し、算出した前記スコアを当該検索結果に関連付けて保持し、
前記検索結果が新たに取得された際、当該検索結果が取得されるまでにいずれかの前記情報源に対して実行された検索の回数と、当該検索結果に関して保持されている前記スコアとに応じて、前記検索結果を表示するか否かを制御する情報分析方法。
【請求項１６】
前記検索情報を前記情報源において検索する際、前記情報源について設定された、当該情報源が許容可能な検索の実行条件を表す制限情報と、当該情報源における検索の実行履歴を表す利用履歴情報と、に基づいて、前記情報源に関する検索の実行可否を判定する、請求項１４に記載の情報分析方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティに関する情報を収集及び分析する技術に関する。
【背景技術】
【０００２】
昨今、情報処理装置（例えばコンピュータ等）に不正な命令を与えるサイバー攻撃等に起因したセキュリティの脅威が社会問題となっている。【０００３】
サイバー攻撃が生じた場合、セキュリティ担当者は、例えば、攻撃に用いられたマルウェア（不正なソフトウェア・プログラム等）の名称、通信元及び通信先のＩＰアドレス、並びに発生日時などの情報を用いて、当該サイバー攻撃に関する情報を収集する。この際、セキュリティ担当者は、収集した断片的な情報を用いて、更に関連する情報を検索する場合がある。【０００４】
セキュリティに関連する情報の収集、分析に関連して、例えば以下のような技術が開示されている。【０００５】
特許文献１には、ｗｅｂクローリングにより収集したｗｅｂページから脆弱性情報を抽出し、抽出した脆弱性情報間の参照関係を解析する技術が開示されている。特許文献１に開示された技術は、脆弱性情報を含むｗｅｂページのリンクを辿ることで関連するｗｅｂページを取得し、脆弱性情報を含むｗｅｂページと他のｗｅｂページとの間の参照関係を解析する。【０００６】
特許文献２には、評価対象のＷｅｂサイトに直接アクセスすることにより収集した直接情報と、情報提供サイトから取得した、評価対象のＷｅｂサイトのセキュリティ状態に関する情報とを用いて、評価対象のＷｅｂサイトに関する評価情報を生成する技術が開示されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００８−１９７８７７号公報
【特許文献２】特許第５５８０２６１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
サイバー攻撃が増加していることから、セキュリティに関する情報（以下「セキュリティ情報」と記載する場合がある）の検索及び収集に要する時間も増大している。このため、セキュリティ担当者が情報の検索及び収集に要する工数が増大している。また、収集したすべての情報をセキュリティ担当者等に対して表示すると、表示される情報が膨大になる場合がある。この場合、セキュリティ担当者が、有用な情報を認識することが困難になる。これに対して、上記特許文献１及び特許文献２に開示された技術は、セキュリティ情報を収集する技術であり、収集した情報が、必ずしもセキュリティ担当者の観点から適切に提供されるとは限らない。【０００９】
本開示は係る事情を鑑みてなされたものである。即ち、本開示は、セキュリティに関して収集された情報を適切に提供可能な情報分析システム等を提供することを、主たる目的の一つとする。
【課題を解決するための手段】
【００１０】
本開示の一態様に係る情報分析システムは、１以上の情報源のうちいずれかの上記情報源において、検索対象に関する情報である検索情報を検索することで、当該検索情報に関する検索結果を取得し、取得した当該検索結果を上記検索情報として用いて、いずれかの上記情報源から、当該検索情報に関する検索結果を更に取得可能な情報取得手段と、上記検索結果に関して受け付けた評価に応じて、当該検索結果の有用性を判定するスコア学習手段と、上記検索結果に関する有用性に応じて、上記検索結果を表示するか否かを制御する情報表示手段と、を備える。【００１１】
本開示の一態様に係る情報分析方法は、情報処理システムが、１以上の情報源のうちいずれかの上記情報源において、検索対象に関する情報である検索情報を検索することで、当該検索情報に関する検索結果を取得し、取得した当該検索結果を上記検索情報として用いて、いずれかの上記情報源から、当該検索情報に関する検索結果を更に取得し、上記検索結果に関して受け付けた評価に応じて、当該検索結果の有用性を判定し、上記検索結果に関する有用性に応じて、上記検索結果を表示するか否かを制御することを含む。【００１２】
また、同目的は、上記構成を有する情報分析システム、情報分析方法をコンピュータによって実現するコンピュータ・プログラム、及び、そのコンピュータ・プログラムが記録されているコンピュータ読み取り可能な記録媒体等によっても達成される。即ち、本開示の一態様に係る記録媒体には、コンピュータに１以上の情報源のうちいずれかの上記情報源において、検索対象に関する情報である検索情報を検索することで、当該検索情報に関する検索結果を取得し、取得した当該検索結果を上記検索情報として用いて、いずれかの上記情報源から、当該検索情報に関する検索結果を更に取得する処理と、上記検索結果に関して受け付けた評価に応じて、当該検索結果の有用性を判定する処理と、上記検索結果に関する有用性に応じて、上記検索結果を表示するか否かを制御する処理と、を実行させる情報分析プログラムが記録される。
【発明の効果】
【００１３】
本開示によれば、セキュリティに関して収集された情報を適切に提供することが可能である。
【図面の簡単な説明】
【００１４】
【図１Ａ】図１Ａは、本開示の第１の実施形態における情報分析システム１００の機能的な構成例を示すブロック図である。
【図１Ｂ】図１Ｂは、本開示の第１の実施形態における情報分析システム１００の他の機能的な構成例を示すブロック図である。
【図２Ａ】図２Ａは、本開示の第１の実施形態におけるＷａｎｄ及びＷａｎｄプールの構成例を示す説明図である。
【図２Ｂ】図２Ｂは、本開示の第１の実施形態におけるＷａｎｄの具体例を示す説明図である。
【図２Ｃ】図２Ｃは、本開示の第１の実施形態におけるＷａｎｄプールの他の構成例を示す説明図である。
【図３Ａ】図３Ａは、本開示の第１の実施形態における情報取得部の動作例を示すフローチャートである。
【図３Ｂ】図３Ｂは、本開示の第１の実施形態における情報取得部の他の動作例を示すフローチャートである。
【図４】図４は、本開示の第１の実施形態における情報表示部の動作例を示すフローチャートである。
【図５】図５は、本開示の第１の実施形態におけるスコア学習部の動作例を示すフローチャートである。
【図６】図６は、検索語及び検索結果の具体例を示す説明図である。
【図７】図７は、ユーザに提示される表示画面の具体例を示す説明図である。
【図８】図８は、本開示の第１の実施形態に関する第１の変形例における情報取得部の動作例を示すフローチャートである。
【図９Ａ】図９Ａは、本開示の第１の実施形態に関する第２の変形例における情報分析システムの機能的な構成例を示すブロック図である。
【図９Ｂ】図９Ｂは、本開示の第１の実施形態に関する第２の変形例における情報分析システムの他の機能的な構成例を示すブロック図である。
【図１０】図１０は、本開示の第１の実施形態に関する第２の変形例におけるクエリ調整部の動作例を示すフローチャートである。
【図１１】図１１は、本開示の第１の実施形態に関する具体例におけるＡＰＩキーデータベースを例示する説明図である。
【図１２】図１２は、本開示の第１の実施形態に関する具体例におけるレート制限データベースを例示する説明図である。
【図１３】図１３は、本開示の第１の実施形態に関する具体例におけるＷａｎｄを例示する説明図である。
【図１４】図１４は、本開示の第１の実施形態に関する具体例における検索結果データベースを例示する説明図である。
【図１５】図１５は、本開示の第１の実施形態に関する具体例におけるスコアデータベースを例示する説明図である。
【図１６】図１６は、本開示の第１の実施形態に関する具体例においてユーザに表示される表示画面を例示する説明図である。
【図１７Ａ】図１７Ａは、本開示の第１の実施形態に関する具体例においてユーザに表示される表示画面を例示する説明図である。
【図１７Ｂ】図１７Ｂは、本開示の第１の実施形態に関する具体例においてユーザに表示される表示画面を例示する説明図である。
【図１８】図１８は、本開示の第２の実施形態における情報分析システムの機能的な構成例を示すブロック図である。
【図１９】図１９は、本開示の各実施形態を実現可能なハードウェア装置の構成を例示する説明図である。
【発明を実施するための形態】
【００１５】
本開示の実施形態に関する説明に先立って、本開示における技術的な検討事項等について詳細に説明する。
【００１６】
セキュリティ担当者は、サイバー攻撃等が発生した場合、例えば、当該サイバー攻撃に関連して早期に得られる情報（例えば、マルウェアの名称、マルウェア本体、通信情報等）からキーワード（検索語）を得る（選択する）。セキュリティ担当者は、各種情報源において当該キーワードに関する情報を検索する。セキュリティ担当者は、係る検索により得られた断片的な情報から更なるキーワードを選択し、当該キーワードを用いて更に情報を検索する。セキュリティ担当者は、例えば、適切なセキュリティ対策に要する情報が得られるまで、上記検索処理を繰り返す。セキュリティ担当者は、例えば経験に基づいて、収集した情報から有用な情報を抽出（選択）し、更なる攻撃を防ぐようにセキュリティ対策を実施する。
【００１７】
サイバー攻撃の増大に伴い、情報収集及び分析に要するセキュリティ担当者の工数が増大するとともに、収集される情報も増加している。このため、情報収集に要する工数を低減する観点から、各種情報源に対して繰り返される情報検索の処理を効率的に実行可能な技術を提供することが、本開示における技術的な検討事項の一つである。
【００１８】
収集される情報には、有用性が比較的高い情報と、低い情報とが混在していることがある。収集された情報がセキュリティ担当者に対して提供された場合、セキュリティ担当者は、係る情報のうち、有用な情報を選択することを求められる。例えば、収集された全ての情報が、表示画面等を介してセキュリティ担当者に表示された場合、表示される情報が爆発的に増大する可能性があり、セキュリティ担当者が有用な情報を認識することが困難になると考えられる。このため、例えば、セキュリティ担当者にとっての有用性に関する観点を反映することにより、収集したセキュリティ情報のうち、有用性が高いと判定された情報を提供することが、本開示における技術的な検討事項の一つである。
【００１９】
これに対して、以下の各実施形態を用いて説明する情報分析システムは、例えば、各種情報源から、セキュリティに関連する検索情報を繰り返し検索可能である。当該情報分析システムは、例えば、収集した検索結果をセキュリティ担当者等に提供（表示）し、当該検索結果に関する評価を受け付け可能である。当該情報分析システムは、例えば、受け付けた評価に応じて、当該検索結果の提供方法（表示方法）を適宜調整可能である。
【００２０】
本開示に係る情報分析システムを上記のように構成することで、情報収集に要する工数が低減され得る。その理由は、当該情報分析システムが、セキュリティに関連する検索情報と、その検索結果とを用いて情報源における検索処理を繰り返し実行することで、ある検索情報に関連する一連の情報を取得できるからである。また、本開示に係る情報分析システムを上記のように構成することで、セキュリティ担当者の観点から有用な情報が提供され得る。その理由は、収集された検索結果に対するセキュリティ担当者の評価を反映して、当該検索結果の提供方法が調整されるからである。
【００２１】
以下、各実施形態を用いて、本開示に係る情報分析システムについて詳細に説明する。以下の各実施形態に記載されている情報分析システムの構成は例示であり、本発明の技術範囲はそれらには限定されない。即ち、以下の各実施形態における情報分析システムを構成する構成要素の区分け（例えば、機能的な単位による分割）は、情報分析システムを実現可能な一例であり、当該情報分析システムの実装に際しては、以下の例示に限定されず、様々な構成が想定される。以下の各実施形態における情報分析システムを構成する構成要素は、更に分割されてもよい。また、以下の各実施形態における情報分析システムを構成する１以上の構成要素が統合されてもよい。
【００２２】
以下において説明する情報分析システムは、単体の装置（物理的あるいは仮想的な装置）を用いて構成されてもよく、複数の離間した装置（物理的あるいは仮想的な装置）を用いて実現されてもよい。情報分析システムが複数の装置により構成される場合、各装置の間は有線、無線、又はそれらを適切に組み合わせた通信ネットワーク（通信回線）により通信可能に接続されてもよい。係る通信ネットワークは、物理的な通信ネットワークであってもよく、仮想的な通信ネットワークであってもよい。以下において説明する情報分析システム、あるいは、その構成要素を実現可能なハードウェア構成については、後述する。
【００２３】
＜第１の実施形態＞
［構成］
本開示に関する第１の実施形態について図面を参照して詳細に説明する。図１Ａは、本開示の第１の実施形態における情報分析システム１００の機能的な構成を例示するブロック図である。
【００２４】
図１Ａに例示するように、情報分析システム１００は、情報取得部１０１と、情報表示部１０２と、スコア学習部１０３とを備える。情報分析システム１００は、１以上のＷａｎｄ１０４ａを保持するＷａｎｄプール１０４を備えてもよい。情報分析システム１００は、検索結果データベース１０６及びスコアデータベース１０７を備えてもよい。
【００２５】
本実施形態における情報分析システム１００は、通信ネットワーク１１１を介して、１以上の情報源１１２と通信可能に接続されていてよい。通信ネットワーク１１１は、例えば、インターネット（Ｉｎｔｅｒｎｅｔ）等の広域通信網であってもよく、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）などの構内通信網であってもよく、これらの組合せであってもよい。通信ネットワーク１１１は、無線通信、有線通信、又はこれらの組合せにより実現されてよい。
【００２６】
情報源１１２は、情報分析システム１００からのリクエストに応じて、情報分析システム１００に当該情報源１１２が保持する情報を提供可能な、装置あるいはシステムである。情報源１１２は、例えば、通信ネットワーク１１１を介して利用可能なＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ  Ｐｒｏｇｒａｍｍｉｎｇ  Ｉｎｔｅｒｆａｃｅ）を、情報分析システム１００に提供してもよい。係るＡＰＩの形式は、情報源１１２ごとに適宜定められてよい。例えば、情報源１１２がＷｅｂサービスである場合、係るＡＰＩは、当該Ｗｅｂサービスを利用する際に用いられるインタフェース（例えば、ある特定のＵＲＬに対するリクエスト送信等）であってもよい。
【００２７】
本実施形態における情報源１１２の構成は、特に限定されない。情報源１１２は、例えば、各種情報を提供するサーバとして実現されてもよい。情報源１１２は、例えば、通信ネットワーク１１１を介して各種脆弱性情報を提供するサービスであってもよい。情報源１１２は、例えば、通信ネットワーク１１１を介して接続可能な電子掲示板であってもよい。情報源１１２は、例えば、通信ネットワーク１１１を介して情報を提供するＷｅｂサービスであってもよい。また、情報源１１２は、例えば、通信ネットワーク１１１を介して提供されるソーシャルネットワーキングサービス（ＳＮＳ：Ｓｏｃｉａｌ  Ｎｅｔｗｏｒｋｉｎｇ  Ｓｅｒｖｉｃｅ）であってもよい。
【００２８】
以下、情報分析システム１００に含まれ得る構成要素について説明する。
【００２９】
情報取得部１０１は、ある検索情報が提供された際、情報源１１２から当該検索情報に関連する情報を検索して取得するよう構成される。係る検索情報は、ある検索対象（例えば、各種サイバー攻撃等のセキュリティ事象）の検索に用いられる情報（例えば、当該セキュリティ事象に関連するキーワード等）であってよい。
【００３０】
情報取得部１０１には、例えば、検索語入力部１０８を介して、情報分析システム１００のユーザから、検索情報が提供されてもよい。
【００３１】
情報分析システム１００のユーザは特に限定されない。係るユーザには、例えば、情報分析システム１００を利用してセキュリティに関する情報を収集及び分析するセキュリティ担当者が含まれてもよく、情報分析システム１００を利用する他の情報処理システム等が含まれてもよい。以下、情報分析システム１００のユーザを、単に「ユーザ」と記載し、ユーザから提供された検索情報を「第１の検索情報」と記載する場合がある。
【００３２】
検索語入力部１０８は、例えば、ユーザが入力装置（例えば、キーボード、マウス、タッチパネル、マイクロホン、カメラ等）を用いて入力した検索情報を、情報取得部１０１に提供するよう構成されてよい。ユーザは、検索情報として、例えば、あるセキュリティ事象に関連する単語、語句、文章等を、検索情報として検索語入力部１０８に入力する。検索語入力部１０８は、ユーザから受け付けた検索情報を、言語情報（例えばテキスト情報等）に変換して情報取得部１０１に提供してもよい。あるいは、情報取得部１０１が、検索語入力部１０８を介して提供された検索情報を言語情報に変換してもよい。以下、言語情報として表された検索情報を「検索語」と記載する場合がある。また、第１の検索情報に相当する検索語を、「第１の検索語」と記載する場合がある。上記したように、検索語は、例えば、ユーザが検索したいセキュリティ事象に関する単語、語句、文章等を表すテキスト情報であり、当該セキュリティ事象に関するキーワードが含まれていてもよい。
【００３３】
情報取得部１０１は、例えば、Ｗａｎｄプール１０４に保持された１以上のＷａｎｄ１０４ａを用いて、情報源１１２から、検索語に関する情報を取得してもよい。
【００３４】
Ｗａｎｄ１０４ａは、例えば、情報源１１２（もしくは情報源１１２が提供する情報）に対して検索語に関する情報を問い合わせ（検索し）、その結果を情報取得部１０１に提供可能な、検索処理モジュールである。各情報源１１２について、それぞれ当該情報源１１２に対する問い合わせを実行可能なＷａｎｄ１０４ａが割り当てられてもよい。一つのＷａｎｄ１０４ａが複数の情報源１１２に割り当てられてもよく、一つの情報源１１２に対して複数のＷａｎｄ１０４ａが割り当てられてもよい。
【００３５】
図２Ａを参照して、Ｗａｎｄ１０４ａについて説明する。各Ｗａｎｄ１０４ａは、例えば、当該Ｗａｎｄ１０４ａが処理可能な検索語の種類を表す情報として、検索語タイプ２０１を保持する。係る検索語タイプ２０１には、Ｗａｎｄ１０４ａが処理可能な検索語の種類として、例えば、ドメイン名（ドメインネーム）、ＵＲＬ（Ｕｎｉｖｅｒｓａｌ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）、ホスト名、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス、メールアドレス、個人名、法人名、団体名、等が設定されてもよい。Ｗａｎｄ１０４ａが保持する検索語タイプ２０１は、例えば、情報取得部１０１から参照可能であってもよい。
【００３６】
Ｗａｎｄ１０４ａは、例えば、情報源１１２から検索語に関する情報を取得する処理を実行可能な検索ルーチン２０２を有する。係る検索ルーチン２０２は、例えば、情報取得部１０１から提供された検索語を引数として受け付け、当該検索語を用いて情報源１１２に対する検索処理を実行するよう構成されてよい。また、係る検索ルーチンは、係る検索処理を実行して得られた検索結果のうち、少なくとも一部を返値として情報取得部１０１に返却するよう構成されてもよい。Ｗａｎｄ１０４ａは、例えば、プログラム・モジュール等の形式により実現されてもよく、ライブラリ等の形式により実現されてもよい。
【００３７】
Ｗａｎｄ１０４ａは、例えば、ＡＰＩを提供する情報源１１２に対する検索処理を実行する場合、ＡＰＩキーデータベース１０５（後述）から、当該情報源１１２が提供するＡＰＩを利用する際に用いるＡＰＩキーを取得してもよい。
【００３８】
ＡＰＩキーは、例えば、あるＡＰＩを実行する際に要求されるデータ（例えば、認証に用いられるデータ）であり、多くの場合、当該ＡＰＩを提供する情報源１１２により提供（発行）される。ＡＰＩキーを要求するＡＰＩを利用する際、Ｗａｎｄ１０４ａは、当該ＡＰＩを提供する情報源１１２に対して、ＡＰＩキーを送信する。情報源１１２に対してＡＰＩキーを送信する方法の一つとして、例えば、当該ＡＰＩに対する引数としてＡＰＩキーを設定する方法が知られている。なお、情報源１１２が提供するＡＰＩを利用する際に、ＡＰＩキーを要するか否かは、当該ＡＰＩを提供する情報源及び当該ＡＰＩの種類等に応じて定められる。ＡＰＩキーは周知技術を採用して実現可能であるので、詳細な説明を省略する。
【００３９】
図２Ｂは、Ｗａｎｄ１０４ａの具体例を示す説明図である。図２Ｂに示すＷａｎｄ１０４ａ（ＷｈｏｉｓＷａｎｄ）の場合、検索語タイプ２０１には「ドメインネーム」が設定されている。これより、係るＷａｎｄ１０４ａは、検索語としてドメインネームを受け付けることが可能である。また、係るＷａｎｄ１０４ａの検索ルーチン２０２には、情報源１１２として「Ｗｈｏｉｓ」サービスを利用する検索ルーチンが設定されている。即ち、図２Ｂに示す具体例の場合、Ｗａｎｄ１０４ａは、情報取得部１０１から、引数として渡されたドメインネームを用いてＷｈｏｉｓサービスを検索する。そして、係るＷａｎｄ１０４ａは、「登録者氏名」、「メールアドレス」等を検索結果として取得し、情報取得部１０１に返値として返す。
【００４０】
情報取得部１０１は、Ｗａｎｄ１０４ａから１以上の検索結果を取得した場合、当該検索結果を新たな検索語として他のＷａｎｄ１０４ａに提供し、更に検索を実行することができる。即ち、情報取得部１０１は、ある検索語に関する検索結果を新たな検索語として用いることで、ある情報に対する検索処理を繰り返し実行することが可能である。以下、第１の検索情報（第１の検索語）に関する検索結果を新たな検索情報（検索語）として用いる場合、当該新たな検索情報（検索語）を第２の検索情報（第２の検索語）と記載する場合がある。また、第２の検索情報（第２の検索語）に関する検索結果を、更に新たな検索情報（検索語）として用いる場合も、当該新たな検索情報（検索語）を第２の検索情報（第２の検索語）と記載する場合がある。
【００４１】
情報取得部１０１は、検索語と、Ｗａｎｄ１０４ａから提供された検索結果とを関連付けて、検索結果データベース１０６に登録してよい。情報取得部１０１は、例えば、検索語と、検索結果とを組（ペア）として関連付けて、検索結果データベース１０６に登録してよい。ある検索語と検索結果との組合せが、既に検索結果データベース１０６に登録されている場合、情報取得部１０１は、当該検索語と検索結果との組合せを検索結果データベース１０６に重複して登録せずともよい。
【００４２】
情報取得部１０１は、検索語と、検索結果との組に関するスコア（後述）の初期値を、スコアデータベース１０７に登録してもよい。係るスコアの初期値は、所定の設定値として与えられてもよく、事前実験等により適宜求められてもよい。例えば、ユーザが、後述する情報表示部１０２（画面表示部１１０）により表示された画面に含まれる検索結果の個数等に応じて、係るスコアの初期値を適宜調整してもよい。
【００４３】
Ｗａｎｄプール１０４は、１以上のＷａｎｄ１０４ａを保持する。Ｗａｎｄプール１０４は、例えば、ファイルシステム、データベース等、適切なデータ保持方法を用いて実現可能である。なお、Ｗａｎｄ１０４ａが、例えば、プログラム・モジュールの形式で実装される場合、Ｗａｎｄプール１０４は、当該モジュールを格納するパッケージとして実現されてもよい。Ｗａｎｄプール１０４は、図２Ｃに例示するように、情報取得部１０１に含まれてもよい。
【００４４】
ＡＰＩキーデータベース１０５は、情報源１１２により提供されるＡＰＩを利用する際に用いられるＡＰＩキーを保持するよう構成されてよい。ＡＰＩキーデータベース１０５には、あるＡＰＩを利用する際に必要となるＡＰＩキーを特定可能な情報が、適宜登録されてよい。例えば、ＡＰＩキーデータベース１０５には、ＡＰＩを特定可能な情報と、当該ＡＰＩに関するＡＰＩキーとが関連付けされて登録されてもよい。また、各Ｗａｎｄ１０４ａが使用するＡＰＩが予め定められている場合には、例えば、Ｗａｎｄ１０４ａを特定可能な情報と、当該Ｗａｎｄ１０４が使用するＡＰＩに関するＡＰＩキーと、が関連付けて登録されてよい。また、例えば、ＡＰＩを提供する情報源１１２を特定可能な情報と、ＡＰＩキーと、が関連付けて登録されてよい。
【００４５】
ＡＰＩキーは、ＡＰＩキーデータベース１０５には予め設定されていてもよく、ユーザにより編集可能であってもよい。また、Ｗａｎｄ１０４ａが、あるＡＰＩを利用する前に、情報源１１２からＡＰＩキーを取得し、ＡＰＩキーデータベース１０５に登録してもよい。なお、ＡＰＩキーを要求しない情報源１１２に対してのみ検索を実行する場合（例えば、全ての情報源１１２がＡＰＩキーを必要としない場合等）、情報分析システム１００は、ＡＰＩキーデータベース１０５を含まなくともよい。
【００４６】
本実施形態においては、ＡＰＩキーデータベース１０５に代替して、例えば、各Ｗａｎｄ１０４ａがＡＰＩキーを保持してもよい。
【００４７】
ＡＰＩキーデータベース１０５は、一般的なデータベース（例えば関係データベース等）において用いられる方法によりデータを保持してもよく、その他の、適切な方法（例えば、ファイル及びファイルシステム等）によりデータを保持してよい。
【００４８】
検索結果データベース１０６は、情報取得部１０１から提供された検索結果を保持するよう構成されてよい。検索結果データベース１０６は、例えば、検索語と、検索語の種類を表す検索語タイプと、検索結果とを関連付けて保持してもよい。検索結果データベース１０６は、上記以外の情報を保持してもよい（例えば、検索結果の種類を表す情報等）。
【００４９】
検索結果データベース１０６は、一般的なデータベース（例えば関係データベース等）において用いられる方法によりデータを保持してもよく、その他の、適切な方法（例えば、ファイル及びファイルシステム等）によりデータを保持してよい。
【００５０】
情報表示部１０２は、ユーザに対する、検索語及び当該検索語に関する検索結果の表示を制御するよう構成される。情報表示部１０２は、例えば、検索語及び当該検索語に関する検索結果をユーザに表示する表示データを生成するよう構成されてもよい。以下においては、一例として、情報表示部１０２がユーザに表示する表示データを生成し、当該表示データを画面表示部１１０（後述）が表示する態様について説明する。本実施形態はこれに限定されず、情報表示部１０２が、ユーザに対して検索結果を直接提供してもよい。
【００５１】
情報表示部１０２は、第１の検索語から各検索結果までの距離を保持し、当該距離と、各検索結果に対して設定されるスコア（後述）とに応じて、検索語及び検索結果の表示を制御する。第１の検索語から、各検索結果までの距離は、例えば、各検索結果が得られるまでに実行された検索処理の回数に応じて算出される。以下、係る距離を「第１の距離」と記載する場合がある。
【００５２】
第１の検索語から、各検索結果までの距離（第１の距離）は、各検索結果が得られるまでに実行された検索処理の回数を用いて表されてもよい。上記に限定されず、情報表示部１０２は、例えば、各検索結果が得られるまでに実行された検索処理の回数に対して適切な係数を加算、減算、乗算、除算等を実行することで、第１の検索語から各検索結果までの距離を算出してもよい。また、情報表示部１０２は、例えば、各検索結果が得られるまでに実行された検索処理の回数を適切な計算式に代入することで、第１の検索語から各検索結果までの距離を算出してもよい。
【００５３】
情報表示部１０２は、例えば、後述するスコアデータベース１０７から、ある検索語と、当該検索語に関する検索結果とに関して設定されたスコアを取得することができる。情報表示部１０２は、例えば、検索結果に関して設定されたスコアが、当該検索結果に関して算出された距離（第１の距離）より大きい場合、当該検索結果を表示するよう画面表示部１１０を制御してよい。この場合、情報表示部１０２は、検索語と、検索結果との間の関連性を可視化する描画要素（例えば、検索語と、検索結果との間を関連付ける描線など）を表示する表示データを生成してよい。
【００５４】
情報表示部１０２は、表示された検索結果をユーザが評価する際に用いられる操作インタフェース要素を表示する表示データを生成可能である。係る操作インタフェース要素は、例えば、各種ボタン、ドロップダウンリスト、スピンコントロール、メニュー、入力ボックス等、ＧＵＩ（Ｇｒａｐｈｉｃａｌ  Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ）の構成要素であってよい。係る操作インタフェースは、検索結果に関する評価を入力可能なインタフェースであってよい。また、係る操作インタフェースは、検索結果の表示状態（検索結果が表示されるか否か）を変更可能なインタフェースであってもよい。
【００５５】
情報表示部１０２は、例えば、検索結果に関して設定されたスコアが、当該検索結果に関して算出された距離（第１の距離）未満の場合、当該検索結果の表示を抑制する表示データを生成してもよい。この場合、情報表示部１０２は、表示が抑制されている検索結果を再表示する際に用いられる操作インタフェース要素（例えば、ボタン等）を表示する表示データを生成可能である。
【００５６】
情報表示部１０２は、例えば、検索結果と、当該検索結果に関連する操作インタフェース要素とを関連付ける情報を保持してもよい。
【００５７】
情報表示部１０２は、例えば、ある検索語に関する検索結果と同様の結果が既に得られている場合（同じ検索結果が重複して得られた場合）、当該検索結果の表示を抑制する表示データを生成してもよい。これにより、情報表示部１０２は、同じような検索結果が複数個所に重複して表示されないように、表示される内容を制御可能である。
【００５８】
また、情報表示部１０２は、操作インタフェース要素に対してユーザがなんらかの操作を行った場合、当該操作に応じた適切な表示データを生成可能である。情報表示部１０２は、例えば、当該操作インタフェース要素がボタンである場合、当該ボタンに対する押下操作が実行された際、当該操作に応じて表示内容を変更するように、適切な表示データを生成してよい。例えば、情報表示部１０２は、当該操作インタフェース要素に対する操作に応じて、少なくとも一部の検索結果の表示状態（表示又は非表示）が切り替えられた表示データを生成してもよい。また、情報表示部１０２は、当該操作インタフェース要素に対する操作に応じて、１以上の異なる操作インタフェース要素が表示される表示データを生成してもよい。当該操作インタフェース要素がボタンである場合、情報表示部１０２は、例えば、当該ボタンの押下操作に応じて、１以上の異なるボタンが表示される表示データを生成してもよい。
【００５９】
画面表示部１１０は、情報表示部１０２により生成された表示データを受け付け、当該表示データをユーザに対して提示（表示）するよう構成されてよい。画面表示部１１０は、例えば、ユーザに対してデータを表示可能な表示デバイス（例えば、適切な表示画面を有する各種モニタ、タッチパネル等）を有してよい。
【００６０】
スコア学習部１０３は、検索結果に関するユーザの評価に応じて、当該検索結果に関するスコアを設定するよう構成される。スコア学習部１０３は、例えば、ある検索語について表示された検索結果に関するユーザの評価を受け付け、当該評価に基づいて当該検索結果に関するスコアを算出する。
【００６１】
具体的には、スコア学習部１０３は、例えば、検索結果に関連して情報表示部１０２（画面表示部１１０）により表示された操作インタフェース要素に対するユーザの入力を、評価入力部１０９（後述）を介して受け付け可能である。スコア学習部１０３は、例えば、ユーザが操作した操作インタフェース要素の種類、及び、当該操作インタフェース要素に関するユーザの入力等に応じて、スコアを算出する。係るスコアは、例えば、操作インタフェース要素の種類、及び、当該操作インタフェース要素に関するユーザの入力等に応じて、適切な計算式を用いて算出されてもよい。
【００６２】
例えば、操作インタフェース要素に対する操作を介して、ユーザがある検索結果を表示するよう操作した場合、スコア学習部１０３は、当該検索結果が有用であると判定してもよい。例えば、操作インタフェース要素に対する操作を介して、ユーザがある検索結果を表示しないよう操作した場合、スコア学習部１０３は、当該検索結果が有用ではないと判定してもよい。
【００６３】
評価入力部１０９は、情報表示部１０２（画面表示部１１０）により検索結果に関連して表示された操作インタフェース要素に対するユーザの入力を受け付けるように構成されてよい。評価入力部１０９は、例えば、ユーザの入力を受け付け可能な入力デバイス（キーボード、マウス、タッチパネル（タッチセンサ）、マイクロホン等）を備え、当該入力デバイスを介して、ユーザの入力を受け付け可能に構成されてもよい。例えば、情報表示部１０２（画面表示部１１０）により表示された操作インタフェース要素が「ボタン」である場合、評価入力部１０９は、当該ボタンに関するユーザの押下操作を受け付けてよい。
【００６４】
スコア学習部１０３は、ある検索語と、当該検索語に関する検索結果と、それらに関して算出したスコアと、を関連付けて、スコアデータベース１０７に登録してもよい。以下、検索語と検索結果とのペアに関して設定されたスコアを、単に、「検索結果のスコア」と記載する場合がある。
【００６５】
スコアデータベース１０７は、スコア学習部１０３から提供された、検索結果に関するスコアを保持（ストア）するよう構成されてよい。スコアデータベース１０７は、例えば、ある検索語と、当該検索語に関する検索結果と、それらに関して算出したスコアと、を関連付けて保持してもよい。また、スコアデータベース１０７は、検索結果データベース１０６に登録された、検索語と、当該検索語に関する検索結果との組（ペア）に関するスコアを保持可能であってよい。スコアデータベース１０７は、上記以外の情報を保持してもよい。
【００６６】
スコアデータベース１０７は、一般的なデータベース（例えば関係データベース等）において用いられる方法によりデータを保持してもよく、その他の、適切な方法（例えば、ファイル及びファイルシステム等）によりデータを保持してよい。
【００６７】
情報分析システム１００が複数のユーザにより使用される場合、スコアデータベース１０７に登録されたスコアも、複数のユーザ間で共有されてよい。例えば、あるユーザの評価に基づいてスコア学習部１０３により算出されたスコアはスコアデータベース１０７に登録される。そして、そのスコアは、例えば、そのユーザ又は他のユーザに対する検索結果の表示の際、情報表示部１０２により参照される。
【００６８】
なお、本実施形態における情報分析システム１００は、例えば、図１Ｂに例示するような機能的な構成により構成されてもよい。図１Ｂにおいては、情報分析システム１００に対して、１以上の端末１１３が通信ネットワーク１１４を介して通信可能に接続される。
【００６９】
端末１１３は、例えば、データ通信、データ入力、データ表示等を処理可能な適切な情報処理装置であってよく、その形態（例えば、ラップトップ型、タブレット型、携帯端末型等）は特に限定されない。
【００７０】
通信ネットワーク１１４は、インターネットのような広域ネットワークでもよく、構内ＬＡＮのような狭域ネットワークでもよい。通信ネットワーク１１４は、通信ネットワーク１１１と同じ通信ネットワークであってもよく、異なる通信ネットワークであってもよい。
【００７１】
図１Ｂに例示する構成においては、端末１１３に、検索語入力部１０８、評価入力部１０９及び画面表示部１１０が含まれる。この場合、端末１１３における検索語入力部１０８が、ユーザから提供された検索語を受け付け、当該検索語を情報分析システム１００（特には情報取得部１０１）に送信してよい。また、端末１１３における評価入力部１０９が、ユーザから提供された評価を受け付け、当該評価を情報分析システム１００（特にはスコア学習部１０３）に送信してよい。また、情報分析システム１００における情報表示部１０２は、生成した表示データを端末１１３における画面表示部１１０に送信してよい。
【００７２】
上記のように構成された情報分析システム１００は、１以上のユーザに対して検索語及び検索結果を表示可能であり、１以上のユーザによる操作を受け付け可能である。情報分析システム１００においては、スコアデータベース１０７、検索結果データベース１０６は、例えば、ユーザの間で共有されてもよい。即ち、例えば、あるユーザ（例えば「ユーザＡ」）により実行された検索処理により検索結果データベース１０６に登録されたデータが、他のユーザ（例えば「ユーザＢ」）により実行された検索処理の際に参照されてもよい。また、ある検索結果に対して、あるユーザ（例えば「ユーザＡ」）の評価に応じてスコアデータベース１０７に登録されたスコアが、他のユーザ（例えば「ユーザＢ」）に対する当該検索結果の表示データを生成する際に参照されてもよい。
【００７３】
上記のように構成することで、情報分析システム１００においては、検索結果の有用性に関する１以上のユーザの知見（評価）が、１以上のユーザの間で共有され得る。例えば、ある検索結果に関する評価が多数蓄積されている場合、当該検索結果に関するユーザの観点からの有用性の評価が多数蓄積されていると考えられる。即ち、情報分析システム１００は、検索結果の有用性に関するユーザの知見を、スコアとして蓄積することが可能である。
【００７４】
［動作］
以下、上記のように構成された情報分析システム１００の動作について具体的に説明する。以下の各図に示すフローチャートは一つの具体例であり、本実施形態における情報分析システム１００の動作は、これらに限定されない。なお、各フローチャートにおける処理（ステップ）は、結果に影響を与えない範囲で、その実行順序が入れ替えられてもよく、１以上の処理（ステップ）が並列に実行されてもよい。
【００７５】
図３Ａは、ある検索語に関する情報を情報源１１２から取得する処理の一例を示すフローチャートである。
【００７６】
情報取得部１０１は、例えば、検索語が供給されるまで待機する（ステップＳ３０１）。具体的には、情報取得部１０１は、検索語入力部１０８を介してユーザが検索語を入力するまで待機してよい。
【００７７】
情報取得部１０１は、検索語入力部１０８から検索語が供給された場合、当該検索語の種類（タイプ）を判定する（ステップＳ３０２）。情報取得部１０１は、例えば、検索語入力部１０８から提供された検索語のテキスト情報を、正規表現を用いて解析し、当該検索語がＵＲＬ、ＩＰアドレス、ホスト名、ドメイン名、ハッシュ値、等のうちのいずれに該当するかを判定してもよい。検索語の種類の判定方法は、上記に限定されず、適切な方法を採用可能である。
【００７８】
情報取得部１０１は、検索語の種類に応じて、情報源１１２に対する問い合わせを実行可能なＷａｎｄ１０４ａを、Ｗａｎｄプール１０４から取得（選択）する。この場合、Ｗａｎｄプール１０４が、当該検索語の種類に相当する検索語タイプ（図２の２０１）が設定されたＷａｎｄ１０４ａを選択し、情報取得部１０１に提供してもよい。なお、ユーザから提供された検索語を処理可能なＷａｎｄ１０４ａが存在しない場合、情報取得部１０１は、例えば、情報表示部１０２を用いて、ユーザに対して他の検索語の入力を促すメッセージを表示してもよい。
【００７９】
ステップＳ３０３において選択された各Ｗａｎｄ１０４ａは、情報源１１２から検索語に関する情報を取得する（ステップＳ３０４）。具体的には、Ｗａｎｄ１０４ａは、通信ネットワーク１１１を介して、情報源１１２に検索語を送信し、当該検索語に関連する情報を検索結果として受信する。この場合、Ｗａｎｄ１０４ａは、情報源１１２が提供するＡＰＩを利用してもよい。また、Ｗａｎｄ１０４ａは、情報源１１２が提供するＡＰＩを利用するためのＡＰＩキーが必要な場合には、ＡＰＩキーデータベース１０５を参照し、当該ＡＰＩに関連付けされたＡＰＩキーを取得してよい。Ｗａｎｄ１０４ａは、ステップＳ３０４における検索結果を情報取得部１０１に提供する。
【００８０】
ステップＳ３０４において検索した検索語に関する検索結果が存在する場合（ステップＳ３０５においてＹＥＳ）、情報取得部１０１は、検索語と、検索結果との組（ペア）を、検索結果データベース１０６に登録する（ステップＳ３０６）。
【００８１】
情報取得部１０１は、ある検索語に関して得られた検索結果を、新たに検索語として設定し（ステップＳ３０７）、ステップＳ３０２から処理を続行する。即ち、情報取得部１０１は、ある検索語に関する検索結果を、新たな検索語とすることで、情報源１１２における検索処理を繰り返し実行する。
【００８２】
上記のような処理により、ユーザから提供された検索語に関連する情報が、人手によらずに繰り返し検索され、その検索結果が検索結果データベース１０６に蓄積される。よって、ある検索語（例えば、あるセキュリティ事象に関連するキーワード等）に関連する情報（例えばセキュリティ情報）を取得する作業に要するユーザの工数が低減され得る。
【００８３】
情報取得部１０１は、Ｗａｎｄ１０４ａにより得られた検索結果が複数存在する場合、全ての検索結果についてステップＳ３０６以降の処理を繰り返し実行してもよい。
【００８４】
また、情報取得部１０１は、Ｗａｎｄ１０４ａに複数の検索結果が得られた場合、一部の検索結果について、ステップＳ３０６以降の処理を繰り返し実行してもよい。具体的には、情報取得部１０１は、例えば、検索結果の上限個数を設定値等として保持してもよい。Ｗａｎｄ１０４ａにより得られた検索結果が上限個数を超えた場合、情報取得部１０１は、例えば、上限個数以内の検索結果についてステップＳ３０６以降の処理を繰り返し実行してよい。情報取得部１０１は、上限個数を超えた検索結果について、処理を打ち切ってもよい。なお、検索結果の上限個数は、例えば、ユーザ等により適宜設定されてよい。
【００８５】
検索語に関する検索結果が存在しない場合（ステップＳ３０５においてＮＯ）、情報取得部１０１は、処理を終了してもよい。例えば、Ｗａｎｄ１０４ａによる検索の結果、情報源１１２から適切な検索結果が得られない場合、情報取得部１０１は、検索結果が存在しないと判定してよい。また、情報取得部１０１は、例えば、ある検索語に関して既に得られている検索結果とは異なる検索結果が得られない場合も、情報源１１２から適切な検索結果が得られていないと判定してもよい。即ち、ある検索語に関して、既に取得された検索結果と同じ検索結果しか得られない場合、情報取得部１０１は、当該検索語に関する更なる検索結果が存在しないと判定し、処理を終了してもよい。
【００８６】
図３Ａに例示した処理の変形例を図３Ｂに示す。係る変形例の場合、情報取得部１０１は、ある検索語に関する検索を、検索回数の上限値まで繰り返し実行する。
【００８７】
具体的には、情報取得部１０１は、例えば、ステップＳ３０１において検索語を受けた際、当該検索語に関する検索回数を初期化（例えば値”０”（零）に設定）する（ステップＳ３０８）。
【００８８】
また、情報取得部１０１は、例えば、ステップＳ３０７において、各Ｗａｎｄにより得られた検索結果を新たな検索語として設定した際、検索回数をインクリメントする（ステップＳ３０９）。即ち、情報取得部１０１は、検索処理を繰り返す際に、検索回数をインクリメントする。
【００８９】
情報取得部１０１は、検索回数と、検索回数の上限値とを比較し、検索回数が上限値を超えた場合（ステップＳ３１０においてＹＥＳ）、処理を終了してもよい。検索回数が上限値以下であった場合（ステップＳ３１０においてＮＯ）、情報取得部１０１は、ステップＳ３０２から処理を続行してよい。図３Ｂに例示する処理において、検索回数の上限値は、例えば、予め与えられていてもよい。また、係る検索回数の上限値は、例えば、ユーザによって適宜設定されてもよい。
【００９０】
図３Ａ、図３Ｂに例示した処理について、図６に例示する具体例を用いて説明する。なお、図６は、本実施形態に関する理解を促進するための具体例を示す説明図であり、本実施形態はこれには限定されない。
【００９１】
まず、第１の検索語として検索語Ａ（この場合、ドメイン名”ｅｘａｍｐｌｅ．ｃｏｍ”、図６の６０１）が入力される（ステップＳ３０１）。情報取得部１０１は、係る検索語のタイプを「ドメイン名」であると判定する（ステップＳ３０２）。図６の具体例では、ドメイン名を受け入れ可能なＷａｎｄ１０４ａとして、「ＤＮＳ  Ｗａｎｄ」（図６の６０２）と、「Ｗｈｏｉｓ  Ｗａｎｄ」（図６の６０３）とが選択されることを想定する（ステップＳ３０３）。「ＤＮＳ  Ｗａｎｄ」は、ＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）を情報源１１２として、ＤＮＳから情報を取得可能なＷａｎｄ１０４ａである。また、「Ｗｈｏｉｓ  Ｗａｎｄ」は、Ｗｈｏｉｓサービスを情報源１１２として、当該サービスから情報を取得可能なＷａｎｄ１０４ａである。
【００９２】
「ＤＮＳ  Ｗａｎｄ」及び「Ｗｈｏｉｓ  Ｗａｎｄ」は、それぞれ、情報源１１２（ＤＮＳとＷｈｏｉｓサービス）に対して、検索語（”ｅｘａｍｐｌｅ．ｃｏｍ”）を用いて検索処理を実行し、関連する情報を取得する（ステップＳ３０４）。係る検索の結果、検索結果Ｂ１（ＩＰアドレス”ａａａ．ｂｂｂ．ｃｃｃ．ｄｄｄ”、図６の６０４）と、検索結果Ｂ２（住所、図６の６０５）とが得られる。この場合、検索語Ａと、検索結果Ｂ１とのペア、及び、検索語Ａと、検索結果Ｂ２とのペアが検索結果データベース１０６に登録される（ステップＳ３０５乃至Ｓ３０６）。
【００９３】
情報取得部１０１は、検索結果Ｂ１と検索結果Ｂ２とを新たな検索語（それぞれ検索語Ｂ１、検索語Ｂ２と記載する）として、ステップＳ３０２から処理を続行する。情報取得部１０１は、検索結果Ｂ１（検索語Ｂ１）の型を「ＩＰアドレス」であると判定する（ステップＳ３０２）。図６の具体例では、ＩＰアドレスを受け入れ可能なＷａｎｄ１０４ａとして、「Ｒｅｖｅｒｓｅ  ＤＮＳ  Ｗａｎｄ」（図６の６０６及び６０７）とが選択されることを想定する（ステップＳ３０３）。「Ｒｅｖｅｒｓｅ  ＤＮＳ  Ｗａｎｄ」は、ＤＮＳの逆引き（ＩＰアドレスからドメイン名を解決する）サービスを情報源１１２として、当該サービスから情報を取得可能なＷａｎｄ１０４ａである。
【００９４】
「Ｒｅｖｅｒｓｅ  ＤＮＳ  Ｗａｎｄ」は情報源１１２から情報を取得する（ステップＳ３０４）。係る検索の結果、それぞれ検索結果Ｃ１（ドメイン名”ｍａｌｗａｒｅ．ｃｏｍ”、図６の６０９）、検索結果Ｃ２（ドメイン名”ｅｘａｍｐｌｅ．ｃｏｍ”、図６の６１０）が得られる。この場合、検索語Ｂ１と、検索結果Ｃ１とのペア、検索語Ｂ２と、検索結果Ｃ２とのペアが、検索結果データベース１０６に登録される（ステップＳ３０５乃至Ｓ３０６）。
【００９５】
情報取得部１０１は、検索結果Ｃ１と、検索結果Ｃ２とを新たな検索語として、ステップＳ３０２から処理を続行する。この場合、例えば検索結果Ｃ１を検索語として「ＤＮＳ
Ｗａｎｄ」（図６の６１２）を用いて検索処理を実行し、検索結果Ｄ（図６の６１３）が得られる。ここで、検索結果Ｃ２、及び、検索結果Ｄは、既に得られている検索語又は検索結果であることから、情報取得部１０１は検索処理を終了してもよい。
【００９６】
情報取得部１０１は、上記と同様の処理を、検索結果Ｂ２についても実行し、検索結果Ｃ３（図６の６１１）を取得する。なお、検索結果Ｃ３は地図画像であることから、地図画像を受け付け可能なＷａｎｄ１０４ａが存在しない場合、情報取得部１０１は、検索処理を終了してもよい。
【００９７】
図３Ａ及び図３Ｂに例示する処理により、図６に例示するように、第１の検索語である検索語Ａに関連する検索結果を取得する処理が、１以上のＷａｎｄ１０４ａを用いて繰り返し実行される。ユーザは、第１の検索語である検索語Ａを提供するだけで、例えば、図６に例示するような関連情報を取得可能である。これより、情報の収集に要するユーザの工数が低減され得る。
【００９８】
図４は、検索結果を表示する処理の一例を示すフローチャートである。情報分析システム１００（例えば、情報表示部１０２）は、例えば、情報取得部１０１により、ある検索語に関する検索結果が取得された際、図４に例示する処理を実行してよい。
【００９９】
情報表示部１０２は、第１の検索語から、各検索結果までの距離（第１の距離）を初期化する（ステップＳ４０１）。具体的には、情報表示部１０２は、係る距離（第１の距離）に値”０”を設定してよい。
【０１００】
情報表示部１０２は、入力された検索語（第１の検索語）と、当該検索語に関する検索結果と、を検索結果データベース１０６から取得する（ステップＳ４０２）。この際、情報表示部１０２は、第１の検索語と、その検索結果との距離（第１の距離）をインクリメントし、”１”としてもよい。この場合、第１の検索語から、各検索結果までの距離（第１の距離）は、検索処理の実行回数に相当するよう調整される。
【０１０１】
情報表示部１０２は、ステップＳ４０２において取得した検索語と、検索結果とのペアに関して設定されたスコアを、スコアデータベース１０７から取得する（ステップＳ４０３）。
【０１０２】
情報表示部１０２は、検索結果に関する距離（第１の距離）と、検索結果のスコアとを比較する（ステップＳ４０４）。検索結果に関するスコアが、検索結果に関する距離（第１の距離）以上である場合（ステップＳ４０４においてＹＥＳ）、情報表示部１０２は、検索結果を表示する表示データを生成する（ステップＳ４０５）。具体的には、情報表示部１０２は、検索語と検索結果とを接続する描線（例えば矢印や折れ線など）を含む表示データを生成してよい。
【０１０３】
また、情報表示部１０２は、検索結果に関連付けて、当該検索結果に関する評価をユーザが入力可能な操作インタフェース要素を含む表示データを生成する（ステップＳ４０６）。情報表示部１０２は、係る操作インタフェース要素として、例えば、検索結果の近傍に、「有用」を表すラベルが付されたボタン（「有用ボタン」）と、「非表示」を表すラベルが付されたボタン（「非表示ボタン」）とが配置された表示データを生成してよい。
【０１０４】
一方、検索結果に関するスコアが、検索結果に関する距離（第１の距離）を下回る場合（ステップＳ４０４においてＮＯ）、情報表示部１０２は、係る検索結果の表示を抑制した表示データを生成する。情報表示部１０２は、表示が抑制された検索結果の近傍に、「表示」を表すラベルが付されたボタン（「表示ボタン」）が配置された表示データを生成してよい（ステップＳ４０７）。
【０１０５】
情報表示部１０２は、上記のようにして生成された表示データを画面表示部１１０に提供することで、ユーザに対して、検索結果と当該検索結果に関する評価を入力可能な操作インタフェース要素を表示可能である。
【０１０６】
情報表示部１０２は、ステップＳ４０２において取得した検索結果を検索語として設定して検索した場合の検索結果が存在するか否か（検索結果データベース１０６に登録されているか否か）を確認する（ステップＳ４０８）。
【０１０７】
ステップＳ４０８においてＹＥＳの場合（即ち、ある検索結果を検索語とした場合の検索結果が存在する場合）、距離（第１の距離）をインクリメントする（ステップＳ４０９）。具体的には、情報表示部１０２は、例えば、距離（第１の距離）に”１”を加算する。即ち、この場合、第１の検索語から、各検索結果が得られるまでに実行された検索処理の回数が、当該検索結果の距離（第１の距離）に相当する。
【０１０８】
情報表示部１０２は、検索結果を新たな検索語として設定し（ステップＳ４１０）、ステップＳ４０３から処理を続行する。
【０１０９】
図４に例示した処理により表示される画面について、図７に例示する具体例を用いて説明する。図７は、例えば、画面表示部１１０を介して、ユーザに対して表示されるユーザインタフェースの一例を示す説明図である。なお、図７は、本実施形態に関する理解を促進するための具体例を示す説明図であり、本実施形態はこれには限定されない。
【０１１０】
図７に例示するユーザインタフェース７００は、例えば、画面表示部１１０に表示されるＧＵＩである。ユーザインタフェース７００には、第１の検索語である検索語Ａ（図７の７０１）と、当該検索語に関する１以上の検索結果が表示される（図７の７０２乃至７０６）。図７の具体例の場合、検索語Ａ（図７の７０１）と、検索結果７０２との間を接続する描線が表示される。また、検索語Ａ（図７の７０１）と、検索結果７０３との間をそれぞれ接続する描線が表示される。また、検索結果７０２と、検索結果７０２を新たな検索語とした場合の検索結果（７０４及び検索結果７０５）との間をそれぞれ接続する描線が表示される。また、検索結果７０３と、検索結果７０３を新たな検索語とした場合の検索結果７０６の間をそれぞれ接続する描線が表示される。これにより、検索語と、検索結果との間の関連性が可視化される。また、図７の具体例では、各検索結果に関連する「有用ボタン」、「非表示ボタン」及び「表示ボタン」が表示されている。ユーザは、係るボタンを押下することにより、当該検索結果に関する有用性を評価可能であるとともに、当該検索結果に関する表示状態を変更可能である。
【０１１１】
上記のような処理により、情報表示部１０２は、検索結果に関する距離（第１の距離）と、スコアとの関係に応じて、当該検索結果を表示するか否かを制御することが可能である。例えば、上記処理により、ユーザから提供された元の検索語（第１の検索語）からの距離（第１の距離）が遠くなる程、スコアがより高い検索結果が表示され、スコアが低い検索結果の表示が抑制され得る。
【０１１２】
上記したように、スコアデータベース１０７が複数のユーザにより共有される場合、ある検索結果に対して一人のユーザの評価に基づいて設定されたスコアは、複数のユーザの間で共有され得る。例えば、ある検索結果について多数の評価が得られている場合、当該検索結果の有用性に関するユーザによる知見が、スコアという形式で蓄積されていると考えられる。即ち、情報表示部１０２は、ある検索結果を表示するか否かを、当該検索結果に関して蓄積されたユーザの評価（具体的には、係る評価に基づいて算出されたスコア）に応じて判定可能である。また、情報表示部１０２により生成される表示データには、各検索結果の有用性に対するユーザの知見が反映されているとも考えられる。これにより、情報表示部１０２は、ユーザの観点から有用性が高いと判定された検索結果をユーザに提示（表示）し、ユーザの観点から有用性が低いと判定された検索結果の表示を抑制することができる。
【０１１３】
以下、ユーザの評価に基づいてスコアを設定する処理について、図５に例示するフローチャートを用いて説明する。
【０１１４】
スコア学習部１０３は、ユーザが、情報表示部１０２（画面表示部１１０）により表示された検索結果に対する評価を入力するまで待機する（ステップＳ５０１）。具体的には、スコア学習部１０３は、ユーザが、検索結果に関連して表示された操作インタフェース要素（例えばボタン）を操作するまで待機する。以下の記載においては、説明の便宜上、検索結果に関連して表示された操作インタフェース要素が、ボタンであることを想定する。
【０１１５】
スコア学習部１０３は、ユーザによりボタンが押下された際、押下されたボタンが関連付けされた検索結果を判定する（ステップＳ５０２）。具体的には、評価入力部１０９が、ユーザによるボタンの押下操作を受け付け、スコア学習部１０３に対して当該ボタンの押下操作を通知してもよい。スコア学習部１０３は、押下されたボタンに関連付けされた検索結果を、情報表示部１０２に問い合わせてもよい。
【０１１６】
スコア学習部１０３は、押下されたボタンの種類を判定する（ステップＳ５０３）。押下されたボタンの種類が「有用ボタン」又は「表示ボタン」であった場合（ステップＳ５０３において「有用」又は「表示」）、スコア学習部１０３は、当該ボタンが押下された検索結果のスコアを増加させる（Ｓ５０４）。具体的には、スコア学習部１０３は、例えば、当該ボタンが押下された検索結果に関するスコアに”２”を加算する（即ち、”スコア＝スコア＋２”と算出される）。
【０１１７】
スコア学習部１０３は、算出したスコアを、スコアデータベース１０７に登録してよい。なお、この場合、スコア学習部１０３は、第１の検索語から、当該ボタンが押下された検索結果に至る経路（パス）に存在する各検索結果のスコアを増加させてもよい。
【０１１８】
更に、押下されたボタンの種類が「表示ボタン」である場合（ステップＳ５０５においてＹＥＳ）、当該ボタンが関連付けされた検索結果が表示される。即ち、非表示状態の検索結果が、表示状態となる。また、当該検索結果に関する操作インタフェース要素として「有用ボタン」及び「非表示ボタン」が表示される（ステップＳ５０６）。
【０１１９】
スコア学習部１０３は、例えば、情報表示部１０２に対して、ステップＳ５０６における表示処理の実行を依頼してもよい。また、情報表示部１０２が、ユーザの操作を検知して、上記ステップＳ５０６における表示処理を実行してもよい。
【０１２０】
押下されたボタンの種類が「非表示ボタン」である場合（ステップＳ５０３において「非表示」）、スコア学習部１０３は、当該ボタンが押下された検索結果に関するスコアを減少させる（ステップＳ５０７）。スコア学習部１０３は、例えば、「非表示ボタン」が押下された検索結果に関するスコアを”１”減算する（即ち、”スコア＝スコア−１”と算出される）。スコア学習部１０３は、算出したスコアを、スコアデータベース１０７に登録してよい。
【０１２１】
また、「非表示ボタン」が押下された場合、当該ボタンが関連付けされた検索結果の表示が抑制される。更に、表示が抑制された検索結果に関する操作インタフェースとして、「再表示」のラベルが付されたボタン（「再表示ボタン」と記載する）が表示される（ステップＳ５０８）。
【０１２２】
スコア学習部１０３は、例えば、情報表示部１０２に対して、ステップＳ５０８における表示処理の実行を依頼してもよい。また、情報表示部１０２が、ユーザの操作を検知して、上記ステップＳ５０８における処理を実行してもよい。
【０１２３】
押下されたボタンの種類が「再表示ボタン」である場合（ステップＳ５０３において「再表示」）、スコア学習部１０３は、当該ボタンが押下された検索結果に関するスコアを増加させる（ステップＳ５０９）。スコア学習部１０３は、例えば、「再表示ボタン」が押下された検索結果に関するスコアに、”１”を加算する（即ち、”スコア＝スコア＋１”と算出される）。スコア学習部１０３は、算出したスコアを、スコアデータベース１０７に登録してよい。なお、この場合、スコア学習部１０３は、第１の検索語から、当該ボタンが押下された検索結果に至る経路（パス）に存在する各検索結果のスコアを増加させてもよい。
【０１２４】
また、押下されたボタンの種類が「再表示ボタン」である場合、当該ボタンが関連付けされた検索結果が再度表示される。また、当該検索結果に関する操作インタフェース要素として「有用ボタン」及び「非表示ボタン」が表示される（ステップＳ５１０）。
【０１２５】
スコア学習部１０３は、例えば、情報表示部１０２に対して、ステップＳ５１０における表示処理の実行を依頼してもよい。また、情報表示部１０２が、ユーザの操作を検知して、上記ステップＳ５１０における表示処理を実行してもよい。
【０１２６】
上記のような処理により、スコア学習部１０３は、ある検索結果に関連付けされた操作インタフェース要素（例えば、ボタン）に対する操作を通じて、当該検索結果に関するユーザの評価を受け付けることができる。そして、スコア学習部１０３は、当該ユーザの評価に基づいて、検索結果に関するスコアを算出することができる。このようにして算出されたスコアには、検索結果に関するユーザの知見（即ち、検索結果の有用性に関するユーザの知見）が反映されていると考えられる。
【０１２７】
上記したように、情報表示部１０２は、各検索結果に関するスコアと、各検索結果の第１の検索語からの距離（第１の距離）とに応じて、各検索結果を表示するか否かを判定する。即ち、ユーザの評価に応じて算出されたスコアを用いることより、情報表示部１０２は、ユーザの知見が反映された表示データを生成することができる。上記のような処理により、ユーザ提供した第１の検索語からの距離（第１の距離）が遠い（検索回数が多い）検索結果である程、高いスコアでなければ表示されないことになる。これにより、第１の検索語について、過度の情報（検索結果）が画面に表示されることを抑制可能である。
【０１２８】
上記のように構成された本実施形態における情報分析システム１００は、例えば、サイバー攻撃の分析における一連の検索作業を支援し、ユーザの工数を軽減することが可能である。その理由は、情報取得部１０１及び情報表示部１０２により、入力情報（第１の検索語）に関連する情報が動的に繰り返し収集され、それらの情報が画面に表示されるからである。
【０１２９】
また、本実施形態における情報分析システム１００は、ユーザの観点から有用な情報（検索結果）をユーザに対して提示（表示）することが可能である。その理由は、スコア学習部１０３により、検索結果に対するユーザの評価（即ち、ある検索結果が有用であるか否か）を反映したスコアが算出されるからである。また、情報表示部１０２により、スコアに基づいて有用性が高いと判定された検索結果が表示されるとともに、有用性が低いと判定された検索結果の表示が抑制されるからである。これにより、収集された情報（検索結果）のうち、ユーザの観点から有用な情報が、ユーザに対して提供されると考えられる。
【０１３０】
更に、本実施形態における情報分析システム１００によれば、ユーザは直観的な操作により、検索結果の有用性を評価可能である。その理由は、ユーザが、検索結果に関する操作インタフェース要素（「有用ボタン」、「非表示ボタン」、「表示ボタン」、「再表示ボタン」等）を介して当該検査結果の表示状態を変更する際に、当該検索結果に関するスコアが調整されるからである。例えば、ユーザが、ある検索結果を確認する必要がないと判断した場合、当該検索結果に関連する「非表示ボタン」を押下することで、当該検索結果の表示を抑制できる。そして、係る操作により、当該検索結果に関するスコアが減少する。よって、ユーザは「不要な検索結果の表示を抑制する」という直観的な操作により、当該検索結果の有用性を併せて評価することが可能である。
【０１３１】
以上より、本実施形態における情報分析システムによれば、セキュリティに関して収集された情報を、セキュリティ担当者（ユーザ）の観点から適切に提供することが可能である。
【０１３２】
以下、本実施形態の第１の変形例（以下「変形例１」と記載する）について説明する。変形例１における情報分析システム１００の機能的な構成は、上記図１Ａ及び図１Ｂに例示した構成と同様としてよい。変形例１においては、情報取得部１０１における処理が図３Ａ、図３Ｂと一部異なる。
【０１３３】
変形例１における情報取得部１０１は、例えば、ある検索結果に関する距離（第２の距離）と、スコアとの関係に応じて、検索処理を更に続行するか否かを判定可能である。以下、係る処理について、図８に例示するフローチャートを参照して説明する。なお、図８に例示するステップのうち、図３Ａと同様の処理を実行するステップには、図３Ａと同様の参照番号が付されている。
【０１３４】
情報取得部１０１は、ユーザから検索語（第１の検索語）が入力されるまで待機し、入力された検索語を受け付ける（ステップＳ３０１）。
【０１３５】
情報取得部１０１は、受け付けた検索語に関する距離（第２の距離）を初期化（例えば”０”に設定）する（ステップＳ８０１）。係る距離（第２の距離）は、例えば、各検索結果が得られるまでに実行された検索処理の回数に応じて算出される値である。情報取得部１０１は、例えば、上記説明した図４におけるステップＳ４０１と同様の処理により、係る距離（第２の距離）を算出してもよい。即ち、第２の距離と、第１の距離とは同様の方法により算出されてよい。
【０１３６】
情報取得部１０１は、検索語のタイプを判定し（ステップＳ３０２）、当該検索語を受け入れ可能なＷａｎｄ１０４ａを選択する（ステップＳ３０３）。そして、情報取得部１０１は、選択したＷａｎｄ１０４ａを用いて検索処理を実行する（ステップＳ３０４）。検索結果が存在する場合（ステップＳ３０５においてＹＥＳ）、情報取得部１０１は、検索語と検索結果とのペアを検索結果データベース１０６に登録する（ステップＳ３０６）。ステップＳ３０２乃至ステップＳ３０６の処理は、図３Ａに例示した処理と同様としてよい。
【０１３７】
情報取得部１０１は、距離（第２の距離）をインクリメントする（ステップＳ８０２）。具体的には、情報取得部１０１は、距離（第２の距離）に”１”を加算する。この場合、第１の検索語から、各検索結果が得られるまでに実行された検索処理の回数が、当該検索結果の距離（第２の距離）に相当する。この際、情報取得部１０１は、上記説明した図４におけるステップＳ４０９と同様の処理を実行してもよい。
【０１３８】
情報取得部１０１は、検索語と、検索結果とのペアに関するスコアを、スコアデータベース１０７から取得し（ステップＳ８０３）、当該スコアと、距離（第２の距離）とを比較する（ステップＳ８０４）。
【０１３９】
ステップＳ８０４における比較の結果、検索結果に関するスコアが、検索結果に関する距離（第２の距離）以上である場合（ステップＳ８０４においてＹＥＳ）、情報取得部１０１は、ステップＳ３０７から処理を続行する。即ち、この場合、情報取得部１０１は、係る検索結果を新たな検索語として、当該検索語を用いた検索処理を繰り返し続行する。
【０１４０】
ステップＳ８０４における比較の結果、検索結果に関するスコアが、検索結果に関する距離（第２の距離）を下回る場合（ステップＳ８０４においてＮＯ）、情報取得部１０１は、当該検索結果に関する検索処理を終了してよい。即ち、この場合、係る検索結果を新たな検索語とした検索処理は実行されない。
【０１４１】
変形例１におけるその他の処理は、上記説明した本実施形態における情報分析システム１００の処理と同様としてよい。
【０１４２】
上記したように、スコアには当該検索結果の有用性に関するユーザによる知見が蓄積されていると考えられる。このため、上記のように構成された変形例１における情報分析システム１００によれば、ある検索結果の有用性に応じて、当該検索結果に関する更なる検索処理を実行するか否かを制御可能である。より具体的には、情報取得部１０１が、第１の検索語からの距離（第２の距離）に応じて、ユーザによって有用性が高いと判定された検索結果に関する検索処理を更に実行してよい。また、情報取得部１０１は、ユーザによって有用性が低いと判定された検索結果に関する検索処理を抑制してよい。
【０１４３】
このような変形例１によれば、有用性が低いと判定された検索結果に関する検索処理が実行されない（即ち、不要な検索処理が実行されない）ことから、情報分析システム１００の処理効率が改善される。また、有用性が低いと判定された検索結果に関する検索処理が実行されないことから、当該検索処理による検索結果がユーザに対して表示されない。即ち、変形例１の情報分析システム１００は、ユーザの観点から有用性が高いと判定された検索結果をユーザに提示（表示）し、ユーザの観点から有用性が低いと判定された検索結果の表示を抑制することができる。
【０１４４】
以下、本実施形態の第２の変形例について説明する。
【０１４５】
情報源１１２によっては、過度の問い合わせによる処理負荷の急増を防ぐ目的等から、単位時間当たりの問合せ（検索）回数が制限されている場合がある。上記したように、情報源１１２によっては、当該情報源が提供するＡＰＩを利用する際にＡＰＩキーが必要となる場合もある。第２の変形例における情報分析システムは、このように、情報検索において制限（あるいは制約）が設けられている情報源１１２から、情報を適切に取得できるよう構成される。
【０１４６】
図９Ａは、第２の変形例における情報分析システム１００の機能的な構成を例示するブロック図である。図９Ａに例示するように第２の変形例においては、情報分析システム１００に、クエリ調整部９０１と、レート制限データベース９０２とが含まれる。
【０１４７】
クエリ調整部９０１は、情報源１１２に対する検索（問合せ）処理の実行可否を調整する。具体的には、クエリ調整部９０１は、Ｗａｎｄ１０４ａが、ある情報源１１２に関する検索を実行する際に、レート制限データベース９０２（後述）に登録された、利用履歴情報と、制限情報とを参照する。利用履歴情報は、例えば、情報源１１２に関する検索の実行履歴を表す情報である。制限情報は、例えば、当該情報源１１２が許容可能な検索の実行条件を表す情報である。
【０１４８】
クエリ調整部９０１は、例えば、利用履歴情報から、当該情報源１１２に関する検索の実行頻度等を求め、それらが制限情報に設定された制限値内に収まるか否かを判定してよい。クエリ調整部９０１は、その判定結果に応じて、当該情報源１１２に対するＷａｎｄ１０４ａによる検索処理の実行可否を判定してよい。
【０１４９】
レート制限データベース９０２は、情報源１１２に関する利用履歴情報と、制限情報とを保持するよう構成されてよい。
【０１５０】
利用履歴情報には、例えば、ある情報源１１２に対する検索処理が実行された時間（以下、「利用時間」と記載する）と、検索処理の実行回数（以下、「利用回数」と記載する）とが含まれてもよい。利用時間及び利用回数は、例えば、検索処理を実行したＷａｎｄ１０４ａを特定可能な情報と関連付けて保持されてもよい。利用時間及び利用回数は、検索処理が実行された情報源１１２を特定可能な情報と関連付けて保持されてもよい。
【０１５１】
利用時間には、検索処理が実行されたタイミングを特定可能な情報が設定されてよい。例えば、利用時間には、時刻を表す情報が設定されてもよい。また、利用時間には、ある時点からの経過時間（例えば、情報分析システム１００が稼働してからの経過時間）が設定されてもよい。レート制限データベース９０２には、利用履歴情報が、時系列に記録されてもよい。
【０１５２】
制限情報には、例えば、ある情報源１１２に関する制限値として、制限時間（制限時間情報）と、制限回数（制限回数情報）とが含まれてもよい。制限時間及び制限回数は、例えば、ある情報源１１２において、制限時間内に制限回数までの検索処理が許容されることを表す。係る制限情報は、例えば、レート制限データベース９０２に予め登録されていてもよく、ユーザ等により編集可能であっても良い。
【０１５３】
レート制限データベース９０２には、例えば、ある情報源１１２を特定可能な情報と、利用履歴情報と、制限情報とが関連付けて登録されてもよい。また、レート制限データベース９０２には、例えば、ある情報源１１２に対する検索処理を実行するＷａｎｄ１０４ａを特定可能な情報と、利用履歴情報と、制限情報とが関連付けて登録されてもよい。
【０１５４】
レート制限データベース９０２は、一般的なデータベース（例えば関係データベース等）において用いられる方法によりデータを保持してもよく、その他の、適切な方法（例えば、ファイル及びファイルシステム等）によりデータを保持してよい。
【０１５５】
なお、本実施形態における情報分析システム１００は、例えば、図１Ｂと同様、図９Ｂに例示するような機能的な構成により構成されてもよい。図９Ｂにおける端末１１３の構成は、上記説明した通りである。
【０１５６】
以下、図１０に例示するフローチャートを参照して、本変形例における情報分析システム１００（特には、クエリ調整部９０１）の動作について説明する。
【０１５７】
クエリ調整部９０１は、情報取得部１０１によりＷａｎｄ１０４ａが選択されるまで待機する（ステップＳ１００１）。
【０１５８】
情報取得部１０１は、例えば、図３Ａ、図３Ｂ、及び図８に例示するフローチャートと同様、ステップＳ３０１乃至Ｓ３０３を実行することで、Ｗａｎｄ１０４ａを選択する。情報取得部１０１は、例えば、検索を実行するＷａｎｄ１０４ａの選択をクエリ調整部９０１に通知してもよい。また、クエリ調整部９０１が、情報取得部１０１によりＷａｎｄ１０４ａが選択されたことを検知してもよい。また、情報取得部１０１により選択されたＷａｎｄ１０４ａ自身（又はＷａｎｄプール１０４）が、当該Ｗａｎｄ１０４ａが選択されたことをクエリ調整部９０１に通知してもよい。
【０１５９】
クエリ調整部９０１は、検索を実行するＷａｎｄ１０４ａに関する利用履歴情報と、制限情報とを、レート制限データベース９０２から取得する（ステップＳ１００２）。
【０１６０】
クエリ調整部９０１は、例えば、選択されたＷａｎｄ１０４ａを特定可能な情報を用いて、レート制限データベース９０２に登録された利用履歴情報及び制限情報を取得してもよい。または、クエリ調整部９０１は、例えば、選択されたＷａｎｄ１０４ａが検索処理を実行する情報源１１２を特定可能な情報を用いて、レート制限データベース９０２に登録された利用履歴及び制限情報を取得してもよい。
【０１６１】
クエリ調整部９０１は、選択されたＷａｎｄ１０４ａによる、情報源１１２の利用状況（即ち、検索の実行状況）が、制限情報に設定された制限値を超過するか否かを判定する（ステップＳ１００３）。
【０１６２】
クエリ調整部９０１は、制限情報に設定された制限時間を参照する。クエリ調整部９０１は、基準となる時刻（例えば、現在時刻や、ユーザにより検索語が提供された時刻、等）から、制限時間分だけ遡った期間（「履歴確認期間」と記載する）の利用履歴を確認する。クエリ調整部９０１は、当該履歴確認期間に実行された検索処理の回数を計数する。具体的には、クエリ調整部９０１は、例えば、利用時間が履歴確認期間の間に含まれる利用履歴をレート制限データベース９０２から抽出し、その利用回数を集計することで、当該履歴確認期間に実行された検索処理の回数を計数することができる。
【０１６３】
クエリ調整部９０１は、上記集計の結果、制限時間内における検索処理の実行回数が制限回数を超過した場合（ステップＳ１００３においてＹＥＳ）、検索処理を中止する（ステップＳ１００４）。クエリ調整部９０１は、検索処理を中止するよう、情報取得部１０１に通知してもよい。この場合、情報取得部１０１は、例えば、上記説明したステップＳ３０４（図３Ａ、図３Ｂ、図８）以降の処理を中止してよい。
【０１６４】
制限時間内における検索処理の実行回数が制限回数以内である場合、クエリ調整部９０１は、検索を実行する際に用いられるＡＰＩに関するＡＰＩキーを、ＡＰＩキーデータベース１０５から取得してもよい（ステップＳ１００５）。また、クエリ調整部９０１は、検索を実行するＷａｎｄ１０４ａにステップＳ１００５において取得したＡＰＩキーを提供し、検索処理を実行可能としてもよい（ステップＳ１００６）。なお、クエリ調整部９０１がステップＳ１００４乃至ステップＳ１００５における処理を実行せずに、上記Ｗａｎｄ１０４ａが、ＡＰＩキーを取得してもよい。
【０１６５】
クエリ調整部９０１は、例えば、情報取得部１０１に対して検索処理を実行可能であることを通知してもよい。この場合、情報取得部１０１は、例えば、上記説明したステップＳ３０４（図３Ａ、図３Ｂ、図８）以降の処理を継続してよい。
【０１６６】
制限時間内における検索処理の実行回数が制限回数以内である場合、クエリ調整部９０１は、レート制限データベース９０２に、利用履歴を記録する（ステップＳ１００７）。具体的にはクエリ調整部９０１は、利用時間と、利用回数とを、利用履歴としてレート制限データベース９０２に記録する。利用時間は、例えば、現在時刻でもよく、Ｗａｎｄ１０４ａにより検索処理が実行される時刻でもよい。
【０１６７】
上記のように構成された第2の変形例における情報分析システムによれば、情報源１１２に対する検索（問合せ）を、情報源１１２において許容された範囲において適切に実行することが可能である。その理由は、クエリ調整部９０１が、ある情報源１１２に対して設けられた制限（例えば、検索回数の上限値、あるいはＡＰＩキーの利用等）を考慮して、Ｗａｎｄ１０４ａによる検索処理の実行可否等を判定するからである。
【０１６８】
以上より、第２の変形例における情報分析システムによれば、ある特定の情報源１１２に対する検索処理が過度に実行されるような状況を回避することが可能である。即ち、ある特定の情報源１１２に対する検索処理を、ユーザが誤って過度に実行することを防止可能である。例えば、過度な検索処理の実行により情報源１１２から接続を拒否された場合、暫く時間をおいて再度検索処理を実行するなどの余計な工数が必要となる可能性がある。上記のように構成された第２の変形例における情報分析システムによれば、例えば、係る工数が発生する可能性を低減可能である。
【０１６９】
［具体例］
以下、具体例を用いて本実施形態における情報分析システム１００の動作等について説明する。
【０１７０】
本具体例において、ＡＰＩキーデータベース１０５には、例えば、図１１に例示するようなデータが設定されていることを想定する。Ｗａｎｄ  ＩＤ（図１１の１１０１）は、Ｗａｎｄ１０４ａを特定可能な識別情報であり、適切な記号、数値等により表されてよい。ＡＰＩ  ＩＤ（図１１の１１０２）は、検索に使用されるＡＰＩを特定可能な識別情報（ＩＤ：Ｉｄｅｎｔｉｆｉｅｒ）であり、適切な記号、数値等により表されてよい。ＡＰＩキー（図１１の１１０３）には、情報源１１２から提供されたＡＰＩキーが設定される。なお、ＡＰＩキーデータベース１０５は、Ｗａｎｄ  ＩＤ（１１０１）又はＡＰＩ  ＩＤ（１１０２）のいずれか一方を保持してもよい。
【０１７１】
また、本具体例において、レート制限データベース９０２には、図１２に例示するようなデータが設定されていることを想定する。利用履歴情報テーブル１２０１には、利用履歴情報が時系列に登録される。制限情報テーブル１２０２には、情報源１１２に対して設定された制限情報が登録される。
【０１７２】
情報源ＩＤ（図１２の１２０１ａ、１２０２ａ）は、情報源１１２を特定可能な識別情報であり、適切な記号、数値等により表されてよい。利用時間１２０１ｂには、情報源ＩＤにより特定された情報源１１２に関する検索処理が実行された時間が登録される。利用回数（図１２の１２０１ｃ）には、利用時間（１２０１ｂ）に設定された時間に、情報源ＩＤにより特定された情報源１１２に関する検索処理が実行された回数が登録される。制限時間（図１２の１２０２ｂ）及び制限回数（図１２の１２０２ｃ）には、情報源ＩＤにより特定された情報源１１２に関して上記説明した制限時間と、制限回数とが登録される。
【０１７３】
また、本具体例においては、図１３に例示するようなＷａｎｄ１０４ａが利用可能であることを想定する。図１３において、ＳＮＳ＿ｓｒｖは、ＳＮＳを提供する情報源１１２の識別情報（ＩＤ）であり、ＳＮＳ＿Ｗａｎｄは当該情報源１１２に対する検索処理を実行可能なＷａｎｄ１０４ａの識別情報（ＩＤ）である。Ｖｌｎ＿ｓｒｖは、脆弱性情報サービスを提供する情報源１１２の識別情報であり、Ｖｌｎ＿Ｗａｎｄは当該情報源１１２に対する検索処理を実行可能なＷａｎｄ１０４ａの識別情報である。ＲＳＳ＿ｓｒｖは、ＲＳＳ（ＲＤＦ  Ｓｉｔｅ  Ｓｕｍｍａｒｙ、又は、Ｒｅａｌｌｙ  Ｓｉｍｐｌｅ  Ｓｙｎｄｉｃａｔｉｏｎ）を提供する情報源１１２の識別情報であり、ＲＳＳ＿Ｗａｎｄは当該情報源１１２に対する検索処理を実行可能なＷａｎｄ１０４ａの識別情報である。ＷＷＷ＿ｓｒｖは、ＷＷＷ（Ｗｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ）におけるＷｅｂサーバを提供する情報源１１２の識別情報であり、ＷＷＷ＿Ｗａｎｄは当該情報源１１２に対する検索処理を実行可能なＷａｎｄ１０４ａの識別情報である。ＤＮＳ＿ｓｒｖは、ＤＮＳを提供する情報源１１２の識別情報であり、ＤＮＳ＿Ｗａｎｄは当該情報源１１２に対する検索処理を実行可能なＷａｎｄ１０４ａの識別情報である。ＲｅｖｅｒｓｅＤＮＳ＿ｓｒｖは、逆引きＤＮＳを提供する情報源１１２の識別情報であり、ＲｅｖｅｒｓｅＤＮＳ＿Ｗａｎｄは当該情報源１１２に対する検索処理を実行可能なＷａｎｄ１０４ａの識別情報である。Ｗｈｏｉｓ＿ｓｒｖは、Ｗｈｏｉｓサービスを提供する情報源１１２の識別情報であり、Ｗｈｏｉｓ＿Ｗａｎｄは当該情報源１１２に対する検索処理を実行可能なＷａｎｄ１０４ａの識別情報である。Ｍａｐ＿ｓｒｖは、地図情報を提供する情報源１１２の識別情報であり、Ｍａｐ＿Ｗａｎｄは当該情報源１１２に対する検索処理を実行可能なＷａｎｄ１０４ａの識別情報である。なお、図１３に例示するＷａｎｄ１０４ａの一部のみが利用可能であってもよく、図１３に例示されていないＷａｎｄ１０４ａが利用可能であってもよい。
【０１７４】
以下、本具体例の動作について説明する。ユーザは、検索語入力部１０８に対して第１の検索語を提供する。本具体例においては、係る第１の検索語として、”ｅｘａｍｐｌｅ．ｃｏｍ”なるドメイン名が提供されることを想定する。
【０１７５】
情報取得部１０１は、Ｗａｎｄプール１０４から、ドメイン名を処理可能なＷａｎｄ１０４ａ（検索語タイプ２０１に「ドメイン名」が設定されたＷａｎｄ１０４ａ）を取得する。本具体例の場合、係るＷａｎｄ１０４ａとして、例えば、Ｗｈｏｉｓ＿Ｗａｎｄと、ＤＮＳ＿Ｗａｎｄとが選択されたと想定する。
【０１７６】
情報取得部１０１によりＷａｎｄ１０４ａが選択された際、例えば、クエリ調整部９０１が、検索を実行するＷａｎｄ１０４ａに関する利用履歴情報と、制限情報とを、レート制限データベース９０２から取得する。本具体例の場合、レート制限データベース９０２には、図１２に例示するように、ＤＮＳ＿ｓｒｖ及びＷｈｏｉｓ＿ｓｒｖに関する利用履歴情報と、制限情報とが登録されている。
【０１７７】
クエリ調整部９０１は、レート制限データベース９０２に登録されたＤＮＳ＿ｓｒｖ及びＷｈｏｉｓ＿ｓｒｖに関する制限情報と、利用履歴情報とから、これらの情報源１１２に関する検索処理の実行可否を判定する。図１２に例示する具体例の場合、各情報源１１２に設定された制限時間以内に、制限回数を超える検索が実行されていない。よって、クエリ調整部９０１は、これらの情報源１１２に関する検索処理を実行可能であると判定する。
【０１７８】
また、本具体例においては、図１１に例示するように、ＡＰＩキーデータベース１０５には、ＤＮＳ＿Ｗａｎｄ及びＷｈｏｉｓ＿Ｗａｎｄに関するＡＰＩキーは設定されていない。Ｗｈｏｉｓ＿Ｗａｎｄ及びＤＮＳ＿ＷａｎｄはＡＰＩキーを用いずに、検索処理を実行可能である。
【０１７９】
Ｗｈｏｉｓ＿Ｗａｎｄ及びＤＮＳ＿Ｗａｎｄにより実行された検索処理の結果は、例えば、図１４に例示するように、検索結果データベース１０６に登録される。本具体例においては、検索語”ｅｘａｍｐｌｅ．ｃｏｍ”に対する検索結果として、ＩＰアドレスと、当該ドメインに関する登録者の住所とが、得られることを想定する。なお、検索結果として、上記以外の情報が更に登録されてもよい。なお、図１４に例示する検索結果データベースにおける主キーは、検索語と検索結果との組（ペア）を一意に特定可能な識別情報である。
【０１８０】
情報表示部１０２は、第１の検索語（”ｅｘａｍｐｌｅ．ｃｏｍ”）からの距離（第１の距離）を”０”に初期化し、検索語と検索結果とのペアを検索結果データベース１０６から取得する。
【０１８１】
情報表示部１０２は、スコアデータベース１０７から、検索結果に設定されたスコアを取得する。本具体例の場合、情報表示部１０２は、検索結果データベース１０６から主キーを取得して、検索結果に設定されたスコアを取得してもよい。本具体例においては、スコアデータベース１０７に、図１５に例示するようなスコアが設定されていることを想定する。
【０１８２】
本具体例の場合、図１５に例示するように、第１の検索語から検索結果（ＩＰアドレス、ドメイン登録者の住所）までの距離（第１の距離）は、スコアよりも小さいことから、情報表示部１０２は、第１の検索語に対する検索結果を表示する表示データを生成する。情報表示部１０２は、例えば、当該表示データを画面表示部１１０に提供し、画面表示部１１０が図１６に例示するようなユーザインタフェース７００を表示する。なお、説明の便宜上、図１６に例示するユーザインタフェース７００においては、一部の表示要素が省略されている。図１６においては、検索語（図１６の１６０１）と、各検索結果（図１６の１６０２、１６０３）とを接続する描線が描画されている。これにより、ユーザに対して検索語と検索結果との関係が表示される。
【０１８３】
本具体例においては、情報分析システム１００が、図１４に例示する検索結果を新たな検索語として検索処理を繰り返し実行した結果、ユーザに対して、例えば、図１７Ａに示すようなユーザインタフェース７００が提示されることを想定する。
【０１８４】
図１７Ａにおいて、検索結果１７０１は、例えば、Ｍａｐ＿Ｗａｎｄにより、情報源１１２（例えばＭａｐ＿ｓｒｖ）から取得した、検索語（ドメイン登録者住所）に関する検索結果（地図画像）を表す。なお、Ｍａｐ＿Ｗａｎｄは、ＡＰＩキーデータベース１０５に登録されたＡＰＩキーを用いて、情報源１１２（Ｍａｐ＿ｓｒｖ）に対する検索処理を実行してよい。
【０１８５】
検索結果１７０２は、例えば、ＲｅｖｅｒｓｅＤＮＳ＿Ｗａｎｄにより、情報源１１２（例えばＲｅｖｅｒｓｅＤＮＳ＿ｓｒｖ）から取得した、検索語（ＩＰアドレス：”ａａａ．ｂｂｂ．ｃｃｃ．ｄｄｄ”）に関する検索結果（ドメイン名：”ｅｘａｍｐｌｅ．ｃｏｍ”）を表す。検索結果１７０３も同様である。
【０１８６】
検索結果１７０４は、例えば、ＤＮＳ＿Ｗａｎｄにより、情報源１１２（ＤＮＳ＿ｓｒｖ）から取得した、検索語（ドメイン名：”ｍａｌｗａｒｅ．ｃｏｍ”）に関する検索結果（ＩＰアドレス：”ａａａ．ｂｂｂ．ｃｃｃ．ｄｄｄ”）を表す。
【０１８７】
図１７Ａに例示する状況において、ユーザが、例えば、検索結果１６０３に関連付けて表示された「非表示」ボタンを押下した場合を想定する。この場合、スコア学習部１０３は、検索結果１６０３に関するスコアを減少させ、スコアデータベース１０７に登録する。また、情報表示部１０２により、検索結果１６０３及び検索結果１７０１の表示が抑制され、検索結果１６０３には、「再表示ボタン」が表示される（図１７Ｂ）。
【０１８８】
例えば、ユーザが、表示された検索結果が多すぎる又は不要であると判断したとき、ボタン操作（「非表示ボタン」の押下）によって、ある検索結果に関する表示を抑制する。また、表示が抑制された（非表示とされた）検索結果を再度表示する場合、ユーザは、ボタン操作（「再表示ボタン」又は「表示ボタン」の押下）によって、当該検索結果を表示する。スコア学習部１０３は、押下されたボタンによって検索語と検索結果とのペアに設定されたスコアを増減させ、スコアデータベース１０７にそのスコアを登録する。また、情報表示部１０２は、次回以降に検索結果を表示する際に、登録されたスコアを参照し、検索結果を表示するか否かを判定する。このように、情報分析システム１００は、ユーザが提供した第１の検索語から遠い情報ほど、高いスコアでなければ表示しないよう制御することにより、過度の情報（検索結果）が画面に表示されることを抑制することが可能である。
【０１８９】
＜第２の実施形態＞
以下、本開示の第２の実施形態について説明する。
【０１９０】
図１８は、本実施形態における情報分析システム１８００の機能的な構成を例示するブロック図である。図１８に例示するように、情報分析システム１８００は、情報取得部１８０１（情報取得手段）と、情報表示部１８０２（情報表示手段）と、スコア学習部１８０３（スコア学習手段）と、を備える。情報分析システム１８００を構成するこれらの構成要素の間は、適切な通信方法により通信可能に接続されていてよい。
【０１９１】
なお、情報分析システム１８００は、上記第１の実施形態における情報分析システム１００と同様、通信ネットワークを介して、情報源に接続されていてよい。
【０１９２】
情報取得部１８０１は、以下のような動作を実行するよう構成される。即ち、情報取得部１８０１は、１以上の情報源のうちいずれかの情報源において、検索対象に関する情報である検索情報を検索した検索結果を取得する。また、情報取得部１８０１は、取得した当該検索結果を検索情報として用いて、１以上の情報源のうちいずれかの情報源において当該検索情報に関する検索を実行し、その検索結果を取得する。
【０１９３】
具体的には、情報取得部１８０１（情報取得手段）は、例えば、情報分析システム１８００のユーザから、ある検索対象（例えば、サイバー攻撃等のセキュリティ事象）に関する検索情報（例えば、サイバー攻撃に関連するキーワード等）を受け付けてよい。そして、情報取得部１８０１は、ユーザから受け付けた検索情報を情報源において検索し、その検索結果を取得してよい。また、情報取得部１８０１は、ある情報源から取得した検索結果を新たな検索情報として用いることで、情報源に対する検索を繰り返し実行してよい。即ち、情報取得部１８０１は、ある検索情報に関する検索結果を新たな検索情報として、情報源における検索を繰り返し実行することで、ある検索情報に関連する検索結果を、動的に繰り返し取得することができる。
【０１９４】
なお、情報取得部１８０１は、例えば、上記第１の実施形態における情報取得部１０１と同様の処理を実行できるよう構成されてもよい。
【０１９５】
情報表示部１８０２（情報表示手段）は、以下のような動作を実行するよう構成される。即ち、情報表示部１８０２は、少なくとも検索結果に関するスコア（後述）に少なくとも部分的に基づいて、上記検索結果を表示するか否かを制御する。係るスコアは、スコア学習部１８０３により算出される。
【０１９６】
情報表示部１８０２は、例えば、ある検索結果に関するスコアが、ある特定の基準（例えば、上記第１の実施形態において説明した検索結果の距離等）以上である場合、当該検索結果を表示するよう制御してもよい。また、情報表示部１８０２は、例えば、ある検索結果に関するスコアが、ある特定の基準を下回る場合、当該検索結果の表示を抑制するよう制御してもよい。このような処理により、情報表示部１８０２は、例えば、情報取得部１８０１により繰り返し取得された各検索結果を表示するか否かを、各検索結果のスコアに応じて判断可能である。情報取得部１８０１により取得された検索結果が大量に存在する場合であっても、情報表示部１８０２は、適切な検索結果をユーザに対して表示することができる。
【０１９７】
なお、情報表示部１８０２は、例えば、上記第１の実施形態における情報表示部１０２と同様の処理を実行できるよう構成されてもよい。
【０１９８】
スコア学習部１８０３は、以下のような動作を実行するよう構成される。即ち、スコア学習部１８０３は、検索結果に関する評価を受け付け、当該評価に応じて、当該検索結果の有用性を表すスコアを求める。スコア学習部１８０３は、例えば、情報分析システム１８００のユーザから、検索結果に関する評価を、何らかのインタフェースを介して受け付けてもよい。例えば、情報表示部１８０２が、検索結果を表示する際、当該検索結果に関する評価を入力可能なユーザインタフェースを表示し、スコア学習部１８０３が、当該ユーザインタフェースに対するユーザの操作を介して、検索結果に関する評価を受け付けてもよい。このような処理により、スコア学習部１８０３は、例えば、検索結果に対するユーザの観点による評価（即ち、ユーザの知見）に基づいたスコアを算出可能である。そして、そのスコアは、情報表示部１８０２における検索結果の表示可否の判定に用いられる。即ち、上記のような処理により、検索結果に対するユーザの知見が、情報表示部１８０２における検索結果の表示可否の判定に反映されると考えられる。
【０１９９】
なお、スコア学習部１８０３は、例えば、上記第１の実施形態におけるスコア学習部１０３と同様の処理を実行できるよう構成されてもよい。
【０２００】
上記のように構成された本実施形態における情報分析システム１８００は、例えば、サイバー攻撃の分析における一連の検索作業を支援し、ユーザの工数を軽減することが可能である。その理由は、情報取得部１８０１及び情報表示部１８０２により、検索情報に関連する情報が動的に繰り返し収集され、それらの情報が表示されるからである。
【０２０１】
また、本実施形態における情報分析システム１８００は、ユーザの観点から有用な情報（検索結果）をユーザに対して提示（表示）することが可能である。その理由は、スコア学習部１８０３により、検索結果に対するユーザの評価（即ち、ある検索結果が有用であるか否か）を反映したスコアが算出されるからである。また、そのスコアに少なくとも部分的に基づいて、情報表示部１８０２により、検索結果を表示するか否かが制御されるからである。これにより、情報取得部１８０１により収集された情報（検索結果）のうち、ユーザの観点から有用な情報が、ユーザに対して提供される。
【０２０２】
以上より、本実施形態における情報分析システムによれば、セキュリティに関して収集された情報を、セキュリティ担当者（ユーザ）の観点から適切に提供することが可能である。
【０２０３】
＜ハードウェア及びソフトウェア・プログラム（コンピュータ・プログラム）の構成＞
以下、上記説明した各実施形態を実現可能なハードウェア構成について説明する。
【０２０４】
以下の説明において、上記各実施形態において説明した情報分析システム（１００、１８００）をまとめて、単に「情報分析システム」と称する。また情報分析システムの各構成要素を、単に「情報分析システムの構成要素」と称する。
【０２０５】
上記各実施形態において説明した情報分析システムは、１つ又は複数の専用のハードウェア装置により構成してもよい。その場合、上記各図に示した各構成要素は、一部又は全部を統合したハードウェア（処理ロジックを実装した集積回路等）として実現してもよい。
【０２０６】
例えば、情報分析システムをハードウェアにより実現する場合、情報分析システムの構成要素は、それぞれの機能を提供可能な集積回路をＳｏＣ（Ｓｙｓｔｅｍ  ｏｎ  ａ  Ｃｈｉｐ）等により実装されてもよい。この場合、例えば、情報分析システムの構成要素が保持するデータは、ＳｏＣとして統合されたＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）領域やフラッシュメモリ領域に記憶されてもよい。
【０２０７】
また、この場合、情報分析システムの各構成要素を接続する通信回線としては、周知の通信バスあるいは通信ネットワークを採用してもよい。また、各構成要素を接続する通信回線は、それぞれの構成要素間をピアツーピアで接続してもよい。情報分析システムを複数のハードウェア装置により構成する場合、それぞれのハードウェア装置の間は、適切な通信方法（有線、無線、またはそれらの組み合わせ）により通信可能に接続されていてもよい。
【０２０８】
また、上述した情報分析システムは、図１９に例示するような汎用のハードウェア装置１９００と、係るハードウェア装置１９００によって実行される各種ソフトウェア・プログラム（コンピュータ・プログラム）とによって構成されてもよい。この場合、情報分析システムは、適切な数のハードウェア装置１９００及びソフトウェア・プログラムにより構成されてもよい。
【０２０９】
図１９における演算装置１９０１は、汎用のＣＰＵ（中央処理装置：Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）やマイクロプロセッサ等の演算処理装置である。演算装置１９０１は、例えば後述する不揮発性記憶装置１９０３に記憶された各種ソフトウェア・プログラムをメモリ１９０２に読み出し、係るソフトウェア・プログラムに従って処理を実行してもよい。例えば、上記各実施形態における情報分析システムの構成要素は、演算装置１９０１により実行されるソフトウェア・プログラムとして実現可能である。
【０２１０】
メモリ１９０２は、演算装置１９０１から参照可能な、ＲＡＭ等のメモリ装置であり、ソフトウェア・プログラムや各種データ等を記憶する。なお、メモリ１９０２は、揮発性のメモリ装置であってもよい。
【０２１１】
不揮発性記憶装置１９０３は、例えば磁気ディスクドライブや、フラッシュメモリによる半導体記憶装置のような、不揮発性の記憶装置である。不揮発性記憶装置１９０３は、各種ソフトウェア・プログラムやデータ等を記憶可能である。
【０２１２】
例えば、上記各実施形態におけるＡＰＩキーデータベース１０５、検索結果データベース１０６、スコアデータベース１０７、及び、レート制限データベース９０２は、不揮発性記憶装置１９０３にデータを保持してもよい。
【０２１３】
ドライブ装置１９０４は、例えば、後述する記録媒体１９０５に対するデータの読み込みや書き込みを処理する装置である。
【０２１４】
記録媒体１９０５は、例えば光ディスク、光磁気ディスク、半導体フラッシュメモリ等、データを記録可能な任意の記録媒体である。
【０２１５】
ネットワークインタフェース１９０６は、通信ネットワークに接続するインタフェース装置であり、例えば有線及び無線のＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）接続用インタフェース装置等を採用してもよい。
【０２１６】
例えば、上記各実施形態における情報取得部１０１を実現するハードウェア装置１９００は、ネットワークインタフェース１９０６を介して、通信ネットワーク（１１１、１１４）と接続されてよい。また、上記各実施形態におけるＷａｎｄ１０４ａが実行されるハードウェア装置１９００も、ネットワークインタフェース１９０６を介して、通信ネットワーク（１１１）と接続されていてよい。
【０２１７】
入出力インタフェース１９０７は、外部装置との間の入出力を制御する装置である。係る外部装置は、例えば、ユーザからの入力を受け付け可能な入力機器（例えば、キーボード、マウス、タッチパネル等）であってもよい。また、係る外部装置は、例えばユーザに対して各種出力を提示可能な出力機器（例えば、モニタ画面、タッチパネル等）であってもよい。
【０２１８】
情報表示部（１０２、１８０２）を実現可能なハードウェア装置１９００は、例えば、上記説明したユーザインタフェース７００等を、入出力インタフェース１９０７を介して接続されたモニタ画面に表示してもよい。また、スコア学習部（１０３、１８０３）を実現可能なハードウェア装置１９００は、例えば、入出力インタフェース１９０７を介して接続された入力機器を介してユーザからの入力（例えば、操作インタフェース要素に対する操作）を受け付けてもよい。
【０２１９】
上述した各実施形態を例に説明した本発明における情報分析システムは、例えば、図１９に例示するハードウェア装置１９００に対して、上記各実施形態において説明した機能を実現可能なソフトウェア・プログラムを供給することにより、実現されてもよい。より具体的には、例えば、係る装置に対して供給したソフトウェア・プログラムを、演算装置１９０１が実行することによって、本発明が実現されてもよい。この場合、係るハードウェア装置１９００で稼働しているオペレーティングシステムや、データベース管理ソフト、ネットワークソフト等のミドルウェアなどが各処理の一部を実行してもよい。
【０２２０】
上述した各実施形態において、上記各図（例えば、図１Ａ、図１Ｂ、図９Ａ、図９Ｂ、及び図１８）に示した各部は、上述したハードウェアにより実行されるソフトウェア・プログラムの機能（処理）単位である、ソフトウェアモジュールとして実現することができる。ただし、これらの図面に示した各ソフトウェアモジュールの区分けは、説明の便宜上の構成であり、実装に際しては、様々な構成が想定され得る。
【０２２１】
例えば、上記各部をソフトウェアモジュールとして実現する場合、これらのソフトウェアモジュールは、不揮発性記憶装置１９０３に記憶されてもよい。そして、演算装置１９０１が、それぞれの処理を実行する際に、これらのソフトウェアモジュールをメモリ１９０２に読み出してもよい。
【０２２２】
また、これらのソフトウェアモジュールの間は、共有メモリやプロセス間通信等の適宜の方法により、相互に各種データを伝達できるように構成してもよい。このような構成により、これらのソフトウェアモジュールの間は、相互に通信可能に接続可能である。
【０２２３】
更に、上記各ソフトウェア・プログラムは記録媒体１９０５に記録されてもよい。この場合、上記各ソフトウェア・プログラムは、上記通信装置等の出荷段階、あるいは運用段階等において、適宜ドライブ装置１９０４を通じて不揮発性記憶装置１９０３に格納されるよう構成されてもよい。
【０２２４】
なお、上記の場合において、上記情報分析システムへの各種ソフトウェア・プログラムの供給方法は、出荷前の製造段階、あるいは出荷後のメンテナンス段階等において、適当な治具を利用して当該装置内にインストールする方法を採用してもよい。また、各種ソフトウェア・プログラムの供給方法は、インターネット等の通信回線を介して外部からダウンロードする方法等のように、現在では一般的な手順を採用してもよい。
【０２２５】
そして、このような場合において、本発明は、係るソフトウェア・プログラムを構成するコード、あるいは係るコードが記録されたところの、コンピュータ読み取り可能な記録媒体によって構成されると捉えることができる。この場合、係る記録媒体は、ハードウェア装置１９００と独立した媒体に限らず、ＬＡＮやインターネットなどにより伝送されたソフトウェア・プログラムをダウンロードして記憶又は一時記憶した記憶媒体を含む。
【０２２６】
また、上述した情報分析システム、あるいは、当情報分析システムの構成要素は、図１９に例示するハードウェア装置１９００を仮想化した仮想化環境と、当該仮想化環境において実行される各種ソフトウェア・プログラム（コンピュータ・プログラム）とによって構成されてもよい。この場合、図１９に例示するハードウェア装置１９００の構成要素は、当該仮想化環境における仮想デバイスとして提供される。なお、この場合も、図１９に例示するハードウェア装置１９００を物理的な装置として構成した場合と同様の構成にて、本発明を実現可能である。
【０２２７】
以上、本発明を、上述した模範的な実施形態に適用した例として説明した。しかしながら、本発明の技術的範囲は、上述した各実施形態に記載した範囲には限定されない。当業者には、係る実施形態に対して多様な変更又は改良を加えることが可能であることは明らかである。即ち、本発明は、本発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。そのような場合、係る変更又は改良を加えた新たな実施形態も、本発明の技術的範囲に含まれ得る。更に、上述した各実施形態、あるいは、係る変更又は改良を加えた新たな実施形態を組み合わせた実施形態も、本発明の技術的範囲に含まれ得る。そしてこのことは、請求の範囲に記載した事項から明らかである。
【０２２８】
なお、上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
１以上の情報源のうちいずれかの上記情報源において、検索対象に関する情報である検索情報を検索することで、当該検索情報に関する検索結果を取得し、取得した当該検索結果を上記検索情報として用いて、いずれかの上記情報源から、当該検索情報に関する検索結果を更に取得可能な情報取得手段と、
上記検索結果に関して受け付けた評価に応じて、当該検索結果の有用性を判定するスコア学習手段と、
上記検索結果に関する有用性に応じて、上記検索結果を表示するか否かを制御する情報表示手段と、を備える情報分析システム。
（付記２）
上記スコア学習手段は、上記検索結果に関して受け付けた評価に応じて、当該検索結果の有用性を表すスコアを求め、
上記情報表示手段は、上記検索結果に関する上記スコアに応じて、上記検索結果を表示するか否かを制御する
付記１に記載の情報分析システム。
（付記３）
上記情報表示手段は、上記スコアに応じて、１以上の上記検索結果のうちの少なくとも一部を表示するとともに、上記検索結果に関する評価に用いられるユーザインタフェースである操作インタフェースを表示し、
上記スコア学習手段は、上記操作インタフェースを介して受け付けた上記検索結果に関する評価に応じて、当該検索結果に関する上記スコアを求める、付記２に記載の情報分析システム。
（付記４）
上記情報取得手段は、
上記検索情報である第１の検索情報を受け付け、いずれかの上記情報源において当該第１の検索情報に関する検索結果を取得し、
取得した当該検索結果を上記検索情報として用いて、いずれかの上記情報源から、当該検索情報に関する検索結果を更に取得する処理を繰り返し実行可能であり、
上記情報表示手段は、
上記第１の検索情報に関する検索が実行されてから、ある上記検索情報に関する上記検索結果が取得されるまでに、いずれかの上記情報源において実行された検索の回数に応じて、上記第１の検索情報と、ある上記検索情報に関する上記検索結果との間の第１の距離を算出し、
上記検索結果に関する上記第１の距離と、その上記検索結果に関する上記スコアとに応じて、上記検索結果を表示するか否かを制御する付記３に記載の情報分析システム。
（付記５）
上記情報表示手段は、
ある上記検索結果に関する上記スコアが、その検索結果に関する上記第１の距離以上である場合、当該検索結果を表示する
付記４に記載の情報分析システム。
（付記６）
上記操作インタフェースは、当該操作インタフェースに対する操作により、上記検索結果に関する有用性に関する評価を入力可能なインタフェースであり、
上記スコア学習手段は、上記操作インタフェースの操作に応じて、上記検索結果が有用であると評価された場合に当該検索結果に関する上記スコアを増加させ、上記検索結果が有用ではないと評価された場合に当該検索結果に関する上記スコアを減少させる付記４又は付記５に記載の情報分析システム。
（付記７）
上記操作インタフェースは、上記検索結果の表示状態の変更を指示可能なインタフェースであり、
上記スコア学習手段は、上記操作インタフェースの操作に応じて、表示されている上記検索結果を非表示とする指示が与えられた場合に、当該検索結果に関する上記スコアを減少させ、表示されていない上記検索結果を表示する指示が与えられた場合に、当該検索結果に関する上記スコアを増加させる、付記４乃至付記６のいずれか一項に記載の情報分析システム。
（付記８）
上記情報取得手段は、
上記検索結果が取得されるまでにいずれかの上記情報源に対して実行された検索の回数に応じて、上記第１の検索情報と上記検索結果との間の第２の距離を算出し、
ある上記検索結果に関する上記スコアが、その検索結果に関する上記第２の距離以上である場合、当該検索結果を上記検索情報として用いて、１以上の上記情報源のうちいずれかの上記情報源からその検索情報に関する検索結果を取得する処理を繰り返し実行し、
ある上記検索結果に関する上記スコアが、その検索結果に関する上記第２の距離未満である場合、当該検索結果に関する検索を終了する付記４乃至付記７のいずれかに記載の情報分析システム。
（付記９）
上記情報源について設定された、当該情報源が許容可能な検索の実行条件を表す制限情報と、当該情報源における検索の実行履歴を表す利用履歴情報と、に基づいて、上記情報源に関する検索の実行可否を判定可能なクエリ調整手段を更に備え、
上記情報取得手段は、
上記クエリ調整手段における判定結果に応じて、上記情報源から上記検索結果を取得するか否かを制御し、
上記情報源から上記検索結果を取得した場合には、上記利用履歴情報を更新する付記２乃至付記８のいずれかに記載の情報分析システム。
（付記１０）
上記制限情報には、期間を表す情報である制限時間情報と、当該期間の間に上記情報源に関する検索を実行可能な回数を表す情報である制限回数情報と、が少なくとも含まれ、
上記利用履歴情報には、少なくとも、上記情報源に関する検索が実行された時間を特定可能な情報が時系列に含まれ
上記クエリ調整手段は、上記情報取得手段が上記情報源における検索を実行するタイミングより過去の、上記制限時間情報により表される期間に当該情報源において実行された検索を、上記利用履歴情報から取得し、その回数が制限回数情報により表される回数未満である場合に、上記情報源に関する検索を実行可能であると判定する、付記９に記載の情報分析システム。
（付記１１）
上記スコア学習手段は、上記検索結果に関して求めた上記スコアを、上記検索結果と上記検索結果に関するスコアを記憶可能なスコア記憶手段に蓄積し、
上記情報表示手段は、ある上記検索結果に関して上記スコア記憶手段に蓄積された上記スコアが、その検索結果に関する上記第１の距離以上である場合、当該検索結果を表示する付記４に記載の情報分析システム。
（付記１２）
上記情報表示手段は、
ある上記検索結果が既に表示されている場合、当該検索結果と同じ検索結果の表示を抑制する
付記２乃至付記１１に記載の情報分析システム。
（付記１３）
情報処理システムが、
１以上の情報源のうちいずれかの上記情報源において、検索対象に関する情報である検索情報を検索することで、当該検索情報に関する検索結果を取得し、取得した当該検索結果を上記検索情報として用いて、いずれかの上記情報源から、当該検索情報に関する検索結果を更に取得し、
上記検索結果に関して受け付けた評価に応じて、当該検索結果の有用性を判定し、
上記検索結果に関する有用性に応じて、上記検索結果を表示するか否かを制御する情報分析方法。
（付記１４）
コンピュータに
１以上の情報源のうちいずれかの上記情報源において、検索対象に関する情報である検索情報を検索することで、当該検索情報に関する検索結果を取得し、取得した当該検索結果を上記検索情報として用いて、いずれかの上記情報源から、当該検索情報に関する検索結果を更に取得する処理と、
上記検索結果に関して受け付けた評価に応じて、当該検索結果の有用性を判定する処理と、
上記検索結果に関する有用性に応じて、上記検索結果を表示するか否かを制御する処理と、を実行させる情報分析プログラムが記録された記録媒体。
（付記１５）
検索対象に関する情報である検索情報を情報源において検索することで当該検索情報に関する検索結果を取得し、取得した検索結果を新たな上記検索情報として用いて、上記情報源において当該検索情報を検索する処理を繰り返し実行し、
取得された上記検索結果のうちの少なくとも一部と、上記検索結果に関する評価に用いられるユーザインタフェースである操作インタフェースとを表示し、
上記操作インタフェースを介して受け付けた上記検索結果に関する評価に応じて、当該検索結果に関するスコアを算出し、算出した上記スコアを当該検索結果に関連付けて保持し、
上記検索結果が新たに取得された際、当該検索結果が取得されるまでにいずれかの上記情報源に対して実行された検索の回数と、当該検索結果に関して保持されている上記スコアとに応じて、上記検索結果を表示するか否かを制御する情報分析方法。
（付記１６）
上記検索情報を上記情報源において検索する際、上記情報源について設定された、当該情報源が許容可能な検索の実行条件を表す制限情報と、当該情報源における検索の実行履歴を表す利用履歴情報と、に基づいて、上記情報源に関する検索の実行可否を判定する、付記１４に記載の情報分析方法。
【０２２９】
この出願は、２０１６年６月２１日に出願された日本出願特願２０１６ー１２２８４８を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【符号の説明】
【０２３０】
１００  情報分析システム
１０１  情報取得部
１０２  情報表示部
１０３  スコア学習部
１０４  Ｗａｎｄプール
１０４ａ  Ｗａｎｄ
１０５  ＡＰＩキーデータベース
１０６  検索結果データベース
１０７  スコアデータベース
１０８  検索語入力部
１０９  評価入力部
１１０  画面表示部
１１１  通信ネットワーク
１１２  情報源
１１３  端末
１１４  通信ネットワーク
９０１  クエリ調整部
９０２  レート制限データベース
１８００  情報分析システム
１８０１  情報取得部
１８０２  情報表示部
１８０３  スコア学習部
１９０１    演算装置
１９０２    メモリ
１９０３    不揮発性記憶装置
１９０４    ドライブ装置
１９０５    記録媒体
１９０６    ネットワークインタフェース
１９０７    入出力インタフェース
【図１Ａ】
2017221858.tif 000003
【図１Ｂ】
2017221858.tif 000004
【図２Ａ】
2017221858.tif 000005
【図２Ｂ】
2017221858.tif 000006
【図２Ｃ】
2017221858.tif 000007
【図３Ａ】
2017221858.tif 000008
【図３Ｂ】
2017221858.tif 000009
【図４】
2017221858.tif 000010
【図５】
2017221858.tif 000011
【図６】
2017221858.tif 000012
【図７】
2017221858.tif 000013
【図８】
2017221858.tif 000014
【図９Ａ】
2017221858.tif 000015
【図９Ｂ】
2017221858.tif 000016
【図１０】
2017221858.tif 000017
【図１１】
2017221858.tif 000018
【図１２】
2017221858.tif 000019
【図１３】
2017221858.tif 000020
【図１４】
2017221858.tif 000021
【図１５】
2017221858.tif 000022
【図１６】
2017221858.tif 000023
【図１７Ａ】
2017221858.tif 000024
【図１７Ｂ】
2017221858.tif 000025
【図１８】
2017221858.tif 000026
【図１９】
2017221858.tif 000027
【国際調査報告】
2017221858.tif 000028
2017221858.tif 000029
2017221858.tif 000030
2017221858.tif 000031