(57)【要約】【課題】標的型攻撃で用いられるマルウェアの通信を検知および遮断する標的型攻撃対策装置を実現する。【解決手段】判定部１１４は、端末装置１０２がアクセスを要求するＵＲＬがＵＲＬアクセス履歴ＤＢ１１６に正当な正当アドレスとして記憶されているか否か判定する。そして、ＵＲＬアクセス履歴ＤＢ１１６に記憶されていないＵＲＬに対するアクセス要求のみ、認証部１１３は、人間の操作により端末装置１０２がアクセス要求を送信しているか否かを判定する。そして、認証部１１３は、人間の操作により送信されていないアクセス要求をマルウェアによる通信として検知および遮断する。【選択図】図１
2013092998.tif 000002
【特許請求の範囲】
【請求項１】
正当であると認証されたアドレスである正当アドレスが示される正当アドレス情報を少なくとも一つ記憶する正当アドレス記憶部と、
端末装置がアクセスを試みるアクセス先のアドレスであるアクセス先アドレスが示されるアクセスコマンドを受信し、受信したアクセスコマンドに示されるアクセス先アドレスが前記正当アドレス記憶部により記憶されたいずれかの正当アドレス情報に示される正当アドレスと一致するか否かを判定するアドレス判定部と、
前記アドレス判定部により前記アクセス先アドレスが前記正当アドレスのいずれとも不一致であると判定された場合に、人間の操作により前記端末装置が前記アクセスコマンドを送信しているか否かを判定するアクセスコマンド判定部と
を備えることを特徴とするアクセス判定装置。
【請求項２】
前記アクセスコマンド判定部は、
前記端末装置に対して人間以外では理解出来ない形式にて問い合わせを行う問い合わせメッセージを生成し、生成した問い合わせメッセージを前記端末装置に対して送信し、
送信した問い合わせメッセージに対して前記端末装置からの応答が示される応答情報を受信し、受信した応答情報に示される応答が前記問い合わせメッセージに対する適切な応答となっている場合に、人間の操作により前記端末装置が前記アクセスコマンドを送信していると判定し、
受信した応答情報に示される応答が前記問い合わせメッセージに対する適切な応答となっていない場合に、人間の操作により前記端末装置が前記アクセスコマンドを送信していないと判定することを特徴とする請求項１記載のアクセス判定装置。
【請求項３】
前記アクセスコマンド判定部は、
アドレス判定部により前記アクセス先アドレスが前記正当アドレスのいずれかと一致すると判定された場合、又は、人間の操作により前記端末装置が前記アクセスコマンドを送信していると判定した場合に、前記端末装置が前記アクセス先アドレスにアクセスすることを許可し、
人間の操作により前記端末装置が前記アクセスコマンドを送信していないと判定した場合に、前記端末装置が前記アクセス先アドレスにアクセスすることを禁止することを特徴とする請求項１又は２記載のアクセス判定装置。
【請求項４】
前記アクセスコマンド判定部は、
ＣＡＰＴＣＨＡ（Ｃｏｍｐｌｅｔｅｌｙ  Ａｕｔｏｍａｔｅｄ  Ｐｕｂｌｉｃ  Ｔｕｒｉｎｇ  ｔｅｓｔ  ｔｏ  ｔｅｌｌ  Ｃｏｍｐｕｔｅｒｓ  ａｎｄ  Ｈｕｍａｎｓ  Ａｐａｒｔ）技術を用いて人間の操作により前記端末装置が前記アクセスコマンドを送信しているか否かを判定することを特徴とする請求項１〜３いずれか記載のアクセス判定装置。
【請求項５】
前記アクセスコマンド判定部は、
ワンタイムパスワード技術を用いて人間の操作により前記端末装置が前記アクセスコマンドを送信しているか否かを判定することを特徴とする請求項１〜３いずれか記載のアクセス判定装置。
【請求項６】
前記アクセス判定装置は、更に、
前記正当アドレス記憶部により記憶されている正当アドレス情報の内、前記アドレス判定部によりアクセス先アドレスと一致すると判定されることが少ない正当アドレスが示される正当アドレス情報を削除する正当アドレス情報更新部を
備えることを特徴とする請求項１〜５いずれか記載のアクセス判定装置。
【請求項７】
前記正当アドレス記憶部は、
正当アドレスと、前記アドレス判定部により前記正当アドレスがアクセス先アドレスと一致すると最後に判定された最終判定時刻とが対応付けられて示される正当アドレス情報を少なくとも一つ記憶し、
前記正当アドレス情報更新部は、
所定の時刻において、所定の時刻から予め設定された有効期間分遡った時刻よりも古い最終判定時刻が示される正当アドレス情報を前記正当アドレス記憶部から削除することを特徴とする請求項６記載のアクセス判定装置。
【請求項８】
前記正当アドレス記憶部は、
正当アドレスと、前記アドレス判定部により前記正当アドレスがアクセス先アドレスと一致すると判定された累計の判定回数とが対応付けられて示される正当アドレス情報を少なくとも一つ記憶し、
前記正当アドレス情報更新部は、
予め設定された判定回数の閾値よりも少ない判定回数が示される正当アドレス情報を前記正当アドレス記憶部から削除することを特徴とする請求項６記載のアクセス判定装置。
【請求項９】
前記正当アドレス情報更新部は、
前記正当アドレス記憶部により記憶された正当アドレス情報毎に、所定の期間において、前記アドレス判定部により前記正当アドレスがアクセス先アドレスと一致すると判定された判定頻度を演算し、演算した判定頻度が予め設定された判定頻度の閾値よりも少ない判定頻度が示される正当アドレス情報を前記正当アドレス記憶部から削除することを特徴とする請求項６記載のアクセス判定装置。
【請求項１０】
前記正当アドレス記憶部は、
正当アドレスと、前記アドレス判定部により前記正当アドレスがアクセス先アドレスと一致すると最初に判定された初回判定時刻と、前記アドレス判定部により前記正当アドレスがアクセス先アドレスと一致すると最後に判定された最終判定時刻と、前記アドレス判定部により前記正当アドレスがアクセス先アドレスと一致すると判定された累計の判定回数とが対応付けられて示される正当アドレス情報を少なくとも一つ記憶し、
前記正当アドレス情報更新部は、
前記正当アドレス記憶部により記憶された正当アドレス情報毎に、初回判定時刻から最終判定時刻までの時間を前記所定の期間として、累計の判定回数を前記所定の期間で除算した値である判定頻度を演算することを特徴とする請求項９記載のアクセス判定装置。
【請求項１１】
前記アクセスコマンド判定部は、
前記アドレス判定部により正当アドレスのいずれとも不一致であると判定されたアクセス先アドレスであって、人間の操作により前記端末装置がアクセスコマンドを送信していると判定したアクセスコマンドに示されるアクセス先アドレスを正当アドレスとして示す正当アドレス情報を前記正当アドレス記憶部に記憶することを特徴とする請求項１〜１０いずれか記載のアクセス判定装置。
【請求項１２】
前記アクセスコマンド判定部は、
前記問い合わせメッセージを前記端末装置に対して送信してから、予め設定された所定の時間内に前記問い合わせメッセージに対する応答情報を前記端末装置から受信しない場合に、人間の操作により前記端末装置が前記アクセスコマンドを送信していないと判定することを特徴とした請求項２記載のアクセス判定装置。
【請求項１３】
コンピュータが、正当であると認証されたアドレスである正当アドレスが示される正当アドレス情報を少なくとも一つ所定の記憶領域に記憶する正当アドレス記憶ステップと、
コンピュータが、端末装置がアクセスを試みるアクセス先のアドレスであるアクセス先アドレスが示されるアクセスコマンドを受信し、受信したアクセスコマンドに示されるアクセス先アドレスが前記所定の記憶領域により記憶されたいずれかの正当アドレス情報に示される正当アドレスと一致するか否かを判定するアドレス判定ステップと、
コンピュータが、前記アドレス判定ステップにより前記アクセス先アドレスが前記正当アドレスのいずれとも不一致であると判定された場合に、人間の操作により前記端末装置が前記アクセスコマンドを送信しているか否かを判定するアクセスコマンド判定ステップと
を備えることを特徴とするアクセス判定方法。
【請求項１４】
正当であると認証されたアドレスである正当アドレスが示される正当アドレス情報を少なくとも一つ所定の記憶領域に記憶する正当アドレス記憶ステップと、
端末装置がアクセスを試みるアクセス先のアドレスであるアクセス先アドレスが示されるアクセスコマンドを受信し、受信したアクセスコマンドに示されるアクセス先アドレスが前記所定の記憶領域により記憶されたいずれかの正当アドレス情報に示される正当アドレスと一致するか否かを判定するアドレス判定ステップと、
前記アドレス判定ステップにより前記アクセス先アドレスが前記正当アドレスのいずれとも不一致であると判定された場合に、人間の操作により前記端末装置が前記アクセスコマンドを送信しているか否かを判定するアクセスコマンド判定ステップと
をコンピュータに実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、端末装置がアクセスを要求するアクセス先のアドレスへのアクセス可否を判定するアクセス判定装置およびアクセス判定方法およびプログラムに関する。
【背景技術】
【０００２】
従来のマルウェア対策は、ウイルス対策ソフトウェアによる対策が主流である。しかし、近年、ユーザを巧みに騙してプログラムを実行又はダウンロードさせたり、未知の脆弱性を悪用したりといった手口により、標的として絞り込まれた組織内部や個人の端末装置へマルウェアを感染させ、機密情報の窃取や社内システムの破壊などを行うことを目的とした標的型攻撃が増えている。そして、標的型攻撃で用いられるマルウェアは、ウイルス対策ソフトによる検知を回避するように作られている。そのため、ウイルス対策ソフトウェアが標的型攻撃で用いられるマルウェアを検知することは難しい。
【０００３】
標的型攻撃で用いられるマルウェアの特徴の１つに、マルウェアに感染した組織内部の端末装置が、インターネット上の指令サーバへ通信を行うことが挙げられる。指令サーバは、攻撃者がマルウェアに実行させたいコマンドをマルウェアへ伝える役割を持つ。これにより、攻撃者は、ファイアウォールなどで守られた組織内部の端末装置をインターネットから操作することが可能となる。
【０００４】
通常、マルウェアから指令サーバへの通信には、組織のセキュリティポリシで許可された通信（ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）、ＨＴＴＰＳ（ＨｙｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ  ｏｖｅｒ  Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔ  Ｌａｙｅｒ）など）が用いられる。これらの通信は、一般的には、インターネット上の端末装置と組織内部の端末装置の通信を中継するプロキシ（例えばプロキシサーバ装置）を介して行われる。従って、ユーザ認証機能付きのプロキシを用いることによって、マルウェアの通信を遮断できる可能性がある。
【０００５】
従来のユーザ認証機能付きプロキシは、ユーザがプロキシを利用する場合に、ユーザがプロキシを利用してインターネット上のサービスへアクセスする権限があるか否かを、ユーザによって入力されたパスワードなどによってユーザ認証して、インターネットへの接続許可や、サービスへのアクセス許可を行っている。ここで、ユーザ認証とは、所定のインターネット上のサービスにアクセスする権限がある特定のユーザであるか否かを判定することである。
そして、インターネット上の異なるサービスへのシングルサインオンを目的として、ユーザ認証機能付きプロキシがプロキシサービスとセキュリティトークンサービスとを連携させて、ユーザが接続要求を行ったサービスに対して、その接続要求が正当なものかどうかを判定する方法が提案されている（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００５−６２５５６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
従来のユーザ認証機能付きプロキシでは、一度ユーザ認証が成功した後は、ブラウザのアクセス機能を使うことによって、マルウェアであってもプロキシを介して自由に通信ができてしまうという課題がある。
また、プロキシにアクセスする度にユーザ認証を求める方式も考えられるが、ユーザ認証にはパスワードの入力などのユーザによる処理が必要となる。そして、インターネットへの通信回数は、一人のユーザから１日で複数回発生するため、その度にユーザ認証を行うことは、ユーザによる処理が多くなり、ユーザへの負担が高く、著しく利便性を損なってしまうという課題がある。
また、どちらの場合においても、マルウェアによるキーロガーやパスワードの盗聴によってパスワードが解析されてしまうと、ユーザ認証が回避できてしまうという課題がある。
【０００８】
この発明は前記のような課題を解決することを主な目的とするもので、例えば、ユーザによる処理を軽減し、標的型攻撃で用いられるマルウェアの通信を検知することを主な目的とする。
【課題を解決するための手段】
【０００９】
この発明に係るアクセス判定装置は、
正当であると認証されたアドレスである正当アドレスが示される正当アドレス情報を少なくとも一つ記憶する正当アドレス記憶部と、
端末装置がアクセスを試みるアクセス先のアドレスであるアクセス先アドレスが示されるアクセスコマンドを受信し、受信したアクセスコマンドに示されるアクセス先アドレスが前記正当アドレス記憶部により記憶されたいずれかの正当アドレス情報に示される正当アドレスと一致するか否かを判定するアドレス判定部と、
前記アドレス判定部により前記アクセス先アドレスが前記正当アドレスのいずれとも不一致であると判定された場合に、人間の操作により前記端末装置が前記アクセスコマンドを送信しているか否かを判定するアクセスコマンド判定部と
を備えたことを特徴とする。
【発明の効果】
【００１０】
この発明に係るアクセス判定装置は、正当アドレスではないアドレスにアクセスを試みるアクセスコマンドのみに対して、人間の操作により端末装置がアクセスコマンドを送信しているか否かの判定を行う。このため、ユーザは、限られたアクセスコマンドのみに対して、ユーザ自身の操作によりアクセスコマンドが送信されたことを示す処理を行えばよく、ユーザによる処理は軽減される。
そして、人間の操作により送信されていないアクセスコマンドは、マルウェアにより送信されたアクセスコマンドである可能性が高いため、この発明に係るアクセス判定装置は、マルウェアの通信を検知することが可能である。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１を示す図で、標的型攻撃対策装置の構成の例を示す図。
【図２】実施の形態１を示す図で、正当アドレス情報テーブル３０１の例を示す図。
【図３】実施の形態１を示す図で、判定部１１４の判定処理および認証部１１３の認証処理の例を示すフローチャート。
【図４】実施の形態１を示す図で、認証管理ＤＢテーブル２０１の例を示す図。
【図５】実施の形態１を示す図で、認証部１１３の正当アドレス登録処理およびアクセス要求拒否処理の例を示すフローチャート。
【図６】実施の形態１を示す図で、アクセス許可の場合の情報の流れの例を示すシーケンス図。
【図７】実施の形態１を示す図で、認証成功後アクセス許可の場合の情報の流れの例を示すシーケンス図。
【図８】実施の形態１を示す図で、認証失敗によるアクセス拒否の場合の情報の流れの例を示すシーケンス図。
【図９】実施の形態１を示す図で、タイムアウトによるアクセス拒否の場合の情報の流れの例を示すシーケンス図。
【図１０】実施の形態２を示す図で、正当アドレス情報テーブル３０１の例を示す図。
【図１１】実施の形態２を示す図で、認証部１１３による登録データ削除処理の例を示すフローチャート。
【図１２】実施の形態３を示す図で、正当アドレス情報テーブル３０１の例を示す図。
【図１３】実施の形態３を示す図で、認証部１１３による登録データ削除処理の例を示すフローチャート。
【図１４】実施の形態１〜３を示す図で、本実施の形態に示した標的型攻撃対策装置１０１のハードウェア資源の例を示す図。
【発明を実施するための形態】
【００１２】
実施の形態１．
（標的型攻撃対策装置の構成）
図１は、標的型攻撃対策装置の構成の例を示す図である。
ここで、標的型攻撃対策装置１０１は、アクセス判定装置に対応する。
【００１３】
標的型攻撃対策装置１０１と、端末装置１０２と、プロキシ１０３と、ファイアウォール１０４とは、例えば会社等の組織内部の組織内ネットワーク１０６に接続されている。ここで、組織内ネットワーク１０６は、例えばＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）などで実現される。
そして、プロキシ１０３は、組織内ネットワーク１０６からインターネット１０５への通信を中継する、例えばプロキシサーバ装置などである。また、ファイアウォール１０４は、組織内ネットワーク１０６とインターネット１０５の境界に設置されている。プロキシ１０３は、転送部１２１を有しており、端末装置１０２からのアクセス要求をインターネット１０５上のサーバへ転送することができる。
【００１４】
なお、図１では、標的型攻撃対策装置１０１をプロキシ１０３とは別の装置として記載しているが、プロキシ１０３内に標的型攻撃対策装置１０１の機能の一部もしくは全てを実装してもよい。
【００１５】
標的型攻撃対策装置１０１は、受信部１１１、送信部１１２、認証部１１３、判定部１１４、認証管理ＤＢ１１５、ＵＲＬアクセス履歴ＤＢ１１６から構成される。
【００１６】
受信部１１１は、プロキシ１０３からの問い合わせを受信する。ここで、プロキシ１０３からの問い合わせとは、端末装置１０２がアクセスを試みるアクセス先のアドレスであるアクセス先アドレスが示されるアクセス要求をプロキシ１０３が受信し、受信したアクセス要求をプロキシ１０３が標的型攻撃対策装置１０１に転送したものである。
ここで、アクセス要求は、アクセスコマンドに対応する。
すなわち、受信部１１１は、端末装置１０２がアクセスを試みるアクセス先のアドレスであるアクセス先アドレスが示されるアクセスコマンド（アクセス要求）を受信する。
ここで、受信部１１１は、アクセスコマンド判定部とアドレス判定部とに対応する。
また、ここでアクセス先のアドレスとは、例えばインターネット１０５上でサービスを行うサーバなどのＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）である。
【００１７】
送信部１１２は、プロキシ１０３からの問い合わせに対して応答を送信する。
ここで送信部１１２は、アクセスコマンド判定部に対応する。
【００１８】
ＵＲＬアクセス履歴ＤＢ１１６は、正当アドレス情報テーブル３０１を記憶する。詳細は、後述するが、正当アドレス情報テーブル３０１は、正当であると認証されたアドレスである正当アドレスが示される正当アドレス情報により構成されている。
ここで、ＵＲＬアクセス履歴ＤＢ１１６は、正当アドレス記憶部に対応する。
【００１９】
判定部１１４は、受信部１１１が受信したアクセス要求に示されるアクセス先アドレスがＵＲＬアクセス履歴ＤＢ１１６により記憶されたいずれかの正当アドレス情報に示される正当アドレスと一致するか否かを判定する。
そして、判定部１１４は、アクセス先アドレスが正当アドレスのいずれかと一致すると判定した場合、端末装置がアクセス先アドレスにアクセスすることを許可する。
ここで、判定部１１４はアドレス判定部とアクセスコマンド判定部とに対応する。
【００２０】
認証部１１３は、判定部１１４が端末装置１０２からのアクセス要求に認証が必要であると判定した場合に、端末装置１０２からのアクセス要求に対して認証を行う。
ここで、判定部１１４が端末装置１０２からのアクセス要求に認証を必要（以下、アクセス要求に認証が必要とされることを「要認証」と称する）であると判定した場合とは、判定部１１４によりアクセス先アドレスが正当アドレスのいずれとも不一致であると判定された場合である。
【００２１】
そして、認証部１１３が端末装置１０２に対して行う認証、もしくは、認証部１１３がアクセス要求に対して行う認証とは、人間の操作により端末装置１０２がアクセス要求を送信しているか否かを判定することである。すなわち、認証部１１３がアクセス要求に対して行う認証とは、前述のユーザ認証とは異なり、アクセスする権限がある特定のユーザであるか否かを判定するためのものではなく、端末装置１０２から送信されたＵＲＬへのアクセス要求が、人間の操作によるものか、プログラムによるものかを判定する目的で行う。
更に、「認証が成功と判定」とは、人間の操作により端末装置１０２がアクセス要求を送信していると判定されたことであり、「認証が失敗と判定」とは、人間の操作により端末装置１０２がアクセス要求を送信していると判定されなかったことである。
【００２２】
具体的には、認証部１１３は、端末装置１０２へ認証画面を表示するように送信部１１２を介してプロキシ１０３へ要認証であることを示す応答を送信する。この要認証であることを示す応答を以降「要認証応答」と称する。ここで、認証部１１３は、プロキシ１０３を介さずに、直接端末装置１０２に要認証応答を送信しても良い。すなわち、認証部１１３は、要認証応答を生成し、生成した要認証応答を送信部１１２により端末装置１０２に対して送信する。
そして、認証部１１３は、認証情報（認証時に用いる情報）を認証管理ＤＢ１１５（後述で説明）に登録する。ここで、認証情報とは、アクセス要求を行った端末装置１０２に対して認証を行う場合に使用される例えばパスワードなどである。
ここで、認証部１１３は、アクセスコマンド判定部と正当アドレス情報更新部とに対応する。
【００２３】
（要認証応答の説明）
ここで、要認証応答について説明する。
要認証応答は、端末装置１０２が送信したアクセス要求が人間の操作により行われたものであるか否かを判定するためにアクセス要求に対して行われる応答である。
要認証応答は、認証部１１３により生成された端末装置１０２に対して人間以外では理解出来ない形式にて問い合わせを行う問い合わせメッセージである。
【００２４】
要認証応答は、端末装置１０２の表示装置に認証画面を表示する為の情報でもあり、要認証応答を受信した端末装置１０２は、端末装置１０２の表示装置に認証画面を表示することが可能である。すなわち、認証画面を表示する為の情報も問い合わせメッセージに対応する。
【００２５】
ここで、認証画面とは、端末装置１０２を使用しているユーザに対し、要認証応答に対する応答情報の入力の要求を示す画面である。
そして、応答情報とは、送信部１１２が送信した要認証応答に対して端末装置１０２からの応答が示される、端末装置１０２が入力（送信）した認証情報である。
【００２６】
ここで、認証部１１３が、人間の操作により端末装置１０２がアクセス要求を送信しているか否かを判定する方法（すなわち認証の方法）の具体例を説明する。
認証部１１３は、まず、認証情報を生成する。認証情報は、予め標的型攻撃対策装置１０１の記憶装置に記憶されていてもよい。
【００２７】
そして、認証部１１３は、人間であれば容易に回答できるがプログラムでは回答できない内容の質問を要認証応答として生成する。
ここで、人間であれば容易に回答できるがプログラムでは回答できない内容の質問として、既存のチャレンジ＆レスポンス方式の認証を利用する。例えば、ＣＡＰＴＣＨＡ（Ｃｏｍｐｌｅｔｅｌｙ  Ａｕｔｏｍａｔｅｄ  Ｐｕｂｌｉｃ  Ｔｕｒｉｎｇ  ｔｅｓｔ  ｔｏ  ｔｅｌｌ  Ｃｏｍｐｕｔｅｒｓ  ａｎｄ  Ｈｕｍａｎｓ  Ａｐａｒｔ）技術や、ワンタイムパスワード技術などである。
【００２８】
具体例として、ＣＡＰＴＣＨＡ技術の例を示す。
認証部１１３が認証情報「１２３４」を生成したと想定する。その場合認証部１１３は、「この画像に表示されている番号を入力して下さい」という質問（指示）と共に、例えば「１２３４」の数字がゆがんだ文字として表示される画像データを生成する。ここで画像データは、「１２３４」のそれぞれの数字が重なり合って表示されたようなものでもよいし、「１２３４」の数字の背景や前景に他の画像データが重なり合って表示されたようなものでもよい。
そして、送信部１１２は、この質問及び画像データを要認証応答として端末装置１０２に送信する。この際に、送信部１１２は、プロキシ１０３を経由して要認証応答を端末装置１０２に送信してもよい。
そして、端末装置１０２は端末装置１０２の表示装置に認証画面としてこの質問と画像データを表示する。
【００２９】
端末装置１０２を操作しているのが人間であるならば、画像データに示されるゆがんだ文字を解読することが可能であり、端末装置１０２を操作している人間（ユーザ）は、端末装置１０２の入力装置を操作して、応答情報「１２３４」を入力することが可能である。
【００３０】
そして、認証部１１３は、端末装置１０２からの応答が適切であれば、端末装置１０２が人間により操作されていると判定する。
ここで適切な応答とは、例えば応答情報に示される応答が、生成された認証情報と一致することである。（後述で説明するが、認証情報は、認証管理ＤＢ１１５に記憶されている。）すなわち、適切な応答とは、要認証応答に示される質問に対する応答情報に示される回答（応答）が正解である場合である。
認証情報「１２３４」に対して応答情報「１２３４」が得られた場合は、適切な応答である。
一方、適切でない応答とは、要認証応答に示される質問に対する応答情報に示される回答（応答）が不正解である場合である。
【００３１】
例えば、認証情報が「１２３４」である場合の質問は「１２３３に１を加えた数値を入力して下さい」などであっても良い。
また、例えば認証画面に不整列な画像データが表示されており、「表示されている画像を整列して下さい」という質問であっても良い。そして、例えば、認証画面は、画像を整列させる為にユーザが入力した変位量に応じて、画像が変化して表示されるようになっている。この場合、応答情報にはユーザが入力した変位量などが示される。そして、認証部１１３は、この変位量が認証情報として生成された数値と一致するか否かを判定する。
また、質問は音声データであってもよい。
【００３２】
（ＵＲＬアクセス履歴ＤＢ１１６の説明）
図２は、正当アドレス情報テーブル３０１の例を示す図である。
ＵＲＬアクセス履歴ＤＢ１１６は、前述の通り、正当アドレス情報テーブル３０１を記憶する。
ここで、例えば、図２の各行（例えばＤ３０１の行）が一つの正当アドレス情報であり、正当アドレス情報には例えば「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／」のような正当であると認証されたアドレスである正当アドレスが示される。
すなわち、ＵＲＬアクセス履歴ＤＢ１１６は、正当であると認証されたアドレスである正当アドレスが示される正当アドレス情報を少なくとも一つ記憶する。
【００３３】
また、認証部１１３は、人間の操作により端末装置１０２がアクセス要求を送信していると認証（判定）したアクセス要求に示されるアクセス先アドレスを正当アドレスとして示す正当アドレス情報をＵＲＬアクセス履歴ＤＢ１１６に記憶する。
【００３４】
この時、認証部１１３は、アクセス要求に示されるＵＲＬ（アクセス先アドレス）の先頭から宛先ホスト部分までを切り出したものを正当アドレスとして登録する。
例えば、アクセス要求に示されるアクセス先アドレスが「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／ｍｅｎｕ／ｓａｍｐｌｅｓ．ｈｔｍｌ」の場合、認証部１１３は、「ｈｔｔｐ：／／ｗｗｗ．ａａａ．ｃｏｍ／」の部分を正当アドレスとして登録する。
【００３５】
宛先ホスト部分を正当アドレスとして登録することにより、同一ホストのコンテンツに端末装置１０２が複数アクセス要求を行う場合や、日々ＵＲＬが変化するニュースサイトのようなサーバに対して無駄に認証がなされることを防ぐ。以降、特に断りがない限り、ＵＲＬ（アドレス）とは、アクセス要求のＵＲＬの先頭から宛先ホスト部分までを切り出したものを指す。
【００３６】
なお、標的型攻撃対策装置１０１の導入時は、ＵＲＬアクセス履歴ＤＢ１１６には、正当アドレスが何も登録されていない状態であってもよい。しかし、ＵＲＬアクセス履歴ＤＢ１１６に登録されていないＵＲＬに対して端末装置１０２がアクセス要求を行う度に、認証部１１３は、端末装置１０２に対して認証を行う。そして、端末装置１０２を操作する人間が認証に対して応答情報（認証情報）を入力しなければならない。その為、人間が応答情報（認証情報）を入力しなければならない回数が増える。
【００３７】
そこで、平常時（組織内ネットワーク１０６の端末装置１０２にマルウェアが存在しない状態）のある一定期間のＵＲＬアクセス要求を観測しておき、観測したＵＲＬアクセス要求に示されるＵＲＬをＵＲＬアクセス履歴ＤＢ１１６に登録される正当アドレスの初期値として利用することも可能である。このように利用することで、組織から頻繁にアクセスされるＵＲＬは、既にＵＲＬアクセス履歴ＤＢ１１６に登録されていることになる。すなわち、組織から頻繁にアクセスされるＵＲＬに関しては、認証部１１３による認証が行われないため、端末装置１０２を操作する人間が応答情報（認証情報）を入力する回数を減らすことが出来る。
【００３８】
（情標的型攻撃対策装置１０１の動作説明）
標的型攻撃対策装置１０１の動作について説明する。
【００３９】
図３は、判定部１１４の判定処理および認証部１１３の認証処理の例を示すフローチャートである。
図４は、認証管理ＤＢテーブル２０１の例を示す図である。
図５は、認証部１１３の正当アドレス登録処理およびアクセス要求拒否処理の例を示すフローチャートである。
【００４０】
標的型攻撃対策装置１０１の動作としては、２つの動作がある。
まず、端末装置１０２からプロキシ１０３へアクセス要求があった場合に、判定部１１４が、ＵＲＬアクセス履歴ＤＢ１１６を参照してアクセス要求のあったＵＲＬへアクセスを許可するか否かを判定する動作（図３）がある。
そして、判定部１１４がアクセス要求のあったＵＲＬへアクセスを保留した場合（アクセス要求のあったＵＲＬへアクセスを許可すると判定しなかった場合）に、認証部１１３が、認証を行う動作（図３及び図５）がある。
【００４１】
まず、図３を用いて、判定部１１４がＵＲＬアクセス履歴ＤＢ１１６を参照してアクセス要求のあったＵＲＬへアクセスを許可するか否かを判定する動作を説明する。
【００４２】
まず、受信部１１１は、プロキシ１０３からの問い合わせを受信するまで図３のＳ４０１の処理を行う。
そして、受信部１１１がプロキシ１０３からの問い合わせを受信すると（図３のＳ４０１の処理において「ＹＥＳ」と判定されると）、判定部１１４は、例えば図２に示すような正当アドレス情報テーブル３０１を記憶したＵＲＬアクセス履歴ＤＢ１１６を参照する。そして、判定部１１４は、受信した問い合わせに含まれるＵＲＬがＵＲＬアクセス履歴ＤＢ１１６に登録されているか否かを判定する（図３のＳ４０２）。
【００４３】
そして、判定部１１４は、ＵＲＬアクセス履歴ＤＢ１１６に受信した問い合わせに含まれるＵＲＬが登録されていると判定した場合に（図３のＳ４０２の「ＹＥＳ」）、端末装置１０２からＵＲＬへのアクセス要求を許可する。すなわち判定部１１４は、アクセス要求に示されるアクセス先アドレスが正当アドレスのいずれかと一致すると判定した場合、端末装置１０２がアクセス先アドレスにアクセスすることを許可する。
そして、送信部１１２は、アクセス要求の許可をプロキシ１０３に応答（送信）する（図３のＳ４０３）。そして、受信部１１１は図３のＳ４０１の処理を引き続き行う。
【００４４】
一方、判定部１１４が、ＵＲＬアクセス履歴ＤＢ１１６に受信した問い合わせに含まれるＵＲＬが登録されていないと判定した場合に（図３のＳ４０２の「ＮＯ」）、端末装置１０２からの端末装置からのアクセス要求を保留と判定する。
そして、判定部１１４により保留されたアクセス要求の処理は、認証部１１３によって行われる。
【００４５】
引き続き、図３を用いて、認証部１１３の動作を説明する。
認証部１１３は、判定部１１４により保留されたアクセス要求に対応する認証情報を生成し、認証管理ＤＢ１１５に登録する（図３のＳ４０６）。この時、認証部１１３は、認証情報に認証番号と、認証期限（認証のタイムアウト時刻）とを付与する（図３のＳ４０４、Ｓ４０５）。認証番号と認証期限とは後述で説明する。
そして、送信部１１２は、アクセス要求を行った端末装置１０２に対して認証が必要（要認証）であることをプロキシへ応答する（図３のＳ４０７）。すなわち、送信部１１２は、アクセス要求に対する要認証応答をプロキシへ送信する。
ここで、送信部１１２は、認証部１１３が認証情報を認証管理ＤＢ１１５に登録する際に付与した認証番号を、認証番号を付与した認証情報に対応するアクセス要求に対する要認証応答に付与して送信する。また、送信部１１２は、認証情報を標的型攻撃対策装置１０１（認証部１１３）にしか解読出来ないように暗号化した上で要認証応答に含めて送信することも可能である。
また、送信部１１２は、プロキシ１０３を経由せず、直接、端末装置１０２に要認証応答を送信することも可能である。
【００４６】
ここで、認証管理ＤＢ１１５の説明を行う。
認証管理ＤＢ１１５は、図４に示すような認証管理ＤＢテーブル２０１を記憶する。
図４の例えばＤ２０１に示すように認証情報「１２３４」には、認証番号「１」と認証期限「２０１１／０８／２０  １２：１０：５６」とが付与されている。
ここで、認証番号は、認証部１１３が、複数のアクセス要求に関して認証を必要と応答（要認証応答を送信）した場合に、要認証応答を一意に識別するために用いる番号である。認証番号は、識別する認証別（要認証応答別）に連続した値を付与してもよいし、重複しないランダムな番号を付与するようにしてもよい。
つまり、認証管理ＤＢ１１５は、端末装置１０２に対して行った要認証応答の内容を要認証応答毎に対応付けて記憶している。
そして、認証期限は、認証のタイムアウト時刻であり、認証部１１３が要認証応答を送信してから予め設定された時間が加えられた時刻である。認証期限が示す時刻以前に認証が行われないと、認証部１１３は、認証が失敗したと判定する。
【００４７】
次に、図５を用いて、認証部１１３が、認証を行う動作を説明する。
ここで説明する動作は、図３のＳ４０２において、判定部１１４によりアクセス許可の判定が保留されたアクセス要求（判定部１１４が、ＵＲＬアクセス履歴ＤＢ１１６に正当アドレスとして登録されていないＵＲＬへのアクセスとして判定したアクセス要求）であって、図３のＳ４０４〜４０７の処理が成されたアクセス要求に対する処理となる。
【００４８】
認証部１１３は、認証管理ＤＢ１１５を参照して、設定された認証期限に達した認証情報があるか否かを確認する（図５のＳ５０１）。すなわち、認証管理ＤＢ１１５は、認証の成否（成功／失敗）を判断する際に認証部１１３から参照される。
設定された認証期限に達した認証情報があった場合には（図５のＳ５０１の「ＹＥＳ」）、送信部１１２は、アクセス要求の拒否をプロキシ１０３へ応答する（図５のＳ５０６）。
【００４９】
そして、認証部１１３は、拒否したアクセス要求に対応する認証情報（認証番号、認証期限を含む）を削除する（図５の５０７）。
すなわち、認証部１１３は、要認証応答を端末装置１０２に対して送信してから（プロキシ１０３を経由して要認証応答を端末装置１０２に対して送信するものも含む）、予め設定された所定の時間が経過した認証情報を削除する。
ここで、後述の通り、認証部１１３は、認証が成功した認証情報も、認証管理ＤＢ１１５から削除する。よって、予め設定された所定の時間が経過しても認証管理ＤＢ１１５に認証情報が記憶されたままの場合とは、予め設定された所定の時間が経過しても要認証応答に対する応答情報を端末装置１０２から受信せず、認証部１１３によって認証が成功と判定されない場合である。
したがって、このような場合、認証部１１３は、人間の操作により端末装置１０２がアクセス要求を送信していないと判定する（すなわち認証部１１３は、認証が失敗と判定する）。
【００５０】
一方、設定された認証期限に達した認証情報が無かった場合には（図５のＳ５０１の「ＮＯ」）、認証部１１３は受信部１１１が端末装置１０２から応答情報を受信したか否かを判定する（図５のＳ５０２）。ここで、応答情報は、端末装置１０２からプロキシ１０３を経由して受信したものも含む。
【００５１】
受信部１１１が端末装置１０２から応答情報を受信していなかった場合には（図５のＳ５０２の「ＮＯ」）、認証部１１３は図５のＳ５０１の処理を継続する。
【００５２】
そして、受信部１１１が端末装置１０２から応答情報を受信していた場合に（図５のＳ５０２の「ＹＥＳ」）、認証部１１３は、受信した応答情報に示される応答が要認証応答に対する適切な応答となっているか否かを判定する（図５のＳ５０３）。
ここで応答情報には、要認証応答に付与された認証番号がそのまま付与されており、認証部１１３は、同じ認証番号が付与された認証管理ＤＢ１１５の認証情報と比較を行う。
【００５３】
認証部１１３は、応答情報に示される応答が要認証応答に対する適切な応答となっている場合、人間の操作により端末装置１０２がアクセス要求を送信していると判定する。すなわち、認証部１１３は、認証が成功と判定する（図５のＳ５０３の「ＹＥＳ」）。
【００５４】
そして、認証部１１３は、認証が成功と判定したアクセス要求のＵＲＬをＵＲＬアクセス履歴ＤＢ１１６に登録する（図５のＳ５０４）。
すなわち、認証部１１３は、判定部１１４により、正当アドレスのいずれとも不一致であると判定されたＵＲＬ（アクセス先アドレス）であって、認証が成功と判定したアクセス要求のＵＲＬをＵＲＬアクセス履歴ＤＢ１１６に登録する。
【００５５】
そして、認証部１１３は、アクセス要求の許可を、送信部１１２を介してプロキシ１０３へ応答する（図５のＳ５０５）。
すなわち、認証部１１３は、人間の操作により端末装置１０２がアクセス要求を送信していると判定した場合（認証が成功と判定した場合）に、端末装置１０２がアクセス先アドレスにアクセスすることを許可する。
そして、認証部１１３は、ＵＲＬアクセス履歴ＤＢ１１６に登録したＵＲＬへのアクセス要求に対する認証情報を認証管理ＤＢ１１５から削除し（図５のＳ５０７）、図５のＳ５０１の処理を継続する。
【００５６】
一方、認証部１１３は、応答情報に示される応答が要認証応答に対する適切な応答となっていない場合、人間の操作により端末装置１０２がアクセス要求を送信していないと判定する。すなわち、認証部１１３は、認証が失敗と判定する（図５のＳ５０３の「ＮＯ」）。
なお、図示は省略するが、人間の操作にミスが生じる可能性も有るので、認証部１１３は、認証が失敗と判定した場合に、認証の処理を所定の回数繰り返し行うことも可能である。すなわち、認証部１１３は、図３のＳ４０７の処理と図５のＳ５０１〜Ｓ５０３の処理とを所定の回数繰り返し行うことも可能である。
【００５７】
そして、認証部１１３は、アクセス要求の拒否を、送信部１１２を介してプロキシ１０３へ応答する（図５のＳ５０６）。
すなわち、認証部１１３は、人間の操作により端末装置１０２がアクセス要求を送信していないと判定した場合（認証が失敗と判定した場合）に、端末装置１０２がアクセス先アドレスにアクセスすることを禁止する。
ここで、人間の操作によらず端末装置１０２が送信したアクセス要求とは、マルウェアにより（マルウェアの操作により）端末装置１０２が送信したアクセス要求と考えられる。よって、認証部１１３は、マルウェアにより（マルウェアの操作により）端末装置１０２が送信したと考えられるアクセス要求に示されるアクセス先アドレスへのアクセスを禁止（遮断）する。
【００５８】
そして、認証部１１３は、アクセスを拒否したアクセス要求に対する認証情報を認証管理ＤＢ１１５から削除し（図５のＳ５０７）、図５のＳ５０１の処理を継続する。
【００５９】
（シーケンス図を用いた情報の流れの説明）
端末装置１０２からＵＲＬへのアクセス要求が発行されてからの情報の流れについて、シーケンス図を用いて説明する。ここで端末装置１０２はインターネット１０５上のサーバにアクセス要求を行う例を想定する。
図６は、アクセス許可の場合の情報の流れの例を示すシーケンス図である。
図７は、認証成功後アクセス許可の場合の情報の流れの例を示すシーケンス図である。
図８は、認証失敗によるアクセス拒否の場合の情報の流れの例を示すシーケンス図である。
図９は、タイムアウトによるアクセス拒否の場合の情報の流れの例を示すシーケンス図である。
【００６０】
なお、シーケンス図において端末装置１０２と標的型攻撃対策装置１０１間の情報の送受信は、一度、プロキシ１０３を介して行われるように示されている。しかし、前述のようにプロキシ１０３から標的型攻撃対策装置１０１へ問い合わせを行った後の通信は、標的型攻撃対策装置１０１と端末装置１０２間とで直接通信を行うことが可能である。そして、標的型攻撃対策装置１０１からは、プロキシ１０３からの問い合わせに対して、アクセス要求の許可もしくは拒否のみを応答として返すようにしてもよい。
【００６１】
（アクセス許可の場合の情報の流れの説明）
まず、アクセス許可の場合について図６を用いて説明する。
最初に、端末装置１０２からインターネット１０５上のサーバのＵＲＬへのアクセス要求が、プロキシ１０３に送信される。
端末装置１０２からアクセス要求を受信したプロキシ１０３は、ＵＲＬへのアクセス要求を許可するか否か、標的型攻撃対策装置１０１へ問い合わせを送信する。問い合わせには、アクセス要求がなされたＵＲＬが含まれている。
標的型攻撃対策装置１０１は、問い合わせに含まれているＵＲＬを基に、ＵＲＬアクセス履歴ＤＢ１１６を参照した結果、アクセス要求のあったＵＲＬがＵＲＬアクセス履歴ＤＢ１１６に登録されているため、応答として、アクセス要求の許可をプロキシ１０３へ送信する。
プロキシ１０３は、標的型攻撃対策装置１０１から、アクセス要求の許可を応答として受信し、端末装置１０２から送信されたアクセス要求をＵＲＬが表すインターネット１０５上のサーバへ送信する。
インターネット１０５上のサーバからは、アクセス要求に対する応答がプロキシ１０３へ送信され、プロキシ１０３は、インターネット１０５上のサーバからの応答を端末装置１０２へ送信する。
【００６２】
（認証成功後アクセス許可の場合の情報の流れの説明）
次に、認証成功後のアクセス許可の場合について図７を用いて説明する。
端末装置１０２からインターネット１０５上のサーバのＵＲＬへのアクセス要求が、プロキシ１０３に送信され、標的型攻撃対策装置１０１にプロキシ１０３から問い合わせが行われるまでの流れは、アクセス許可の場合と同様である。
標的型攻撃対策装置１０１は、問い合わせに含まれているＵＲＬを基に、ＵＲＬアクセス履歴ＤＢ１１６を参照した結果、ＵＲＬアクセス履歴ＤＢ１１６にＵＲＬが登録されていないため、応答として、要認証であることをプロキシ１０３へ送信する（標的型攻撃対策装置１０１は、要認証応答を送信する）。要認証応答には、認証番号と、端末装置１０２へ送信する認証画面に表示する質問が含まれている。
プロキシ１０３は、要認証応答を受信した場合、端末装置１０２へ認証番号と認証画面を送信する。
端末装置１０２を操作しているユーザは、認証画面が表示された場合に、認証画面に表示された質問に対して回答を入力し、応答情報として認証番号とともにプロキシ１０３へ送信する。
プロキシ１０３は、端末装置１０２から受信した認証番号、および、応答情報を標的型攻撃対策装置１０１へ送信する。
標的型攻撃対策装置１０１は、認証番号を基に認証管理ＤＢ１１５を参照して、受信した応答情報を検証し、回答が正しいことを確認後、応答として、アクセス要求の許可をプロキシ１０３に送信する。
以降は、アクセス許可の場合と同様の流れで、インターネット１０５上のサーバから端末装置１０２へ応答が返る。
【００６３】
（認証失敗によるアクセス拒否の場合の情報の流れの説明）
次に、認証失敗によるアクセス拒否の場合について図８を用いて説明する。
端末装置１０２からインターネット１０５上のサーバのＵＲＬへのアクセス要求が、プロキシ１０３に送信されてから、標的型攻撃対策装置１０１に認証情報が送信されるまでの流れは、認証成功後のアクセス許可の場合と同様である。
認証番号と認証情報とをプロキシ１０３から受信した標的型攻撃対策装置１０１は、受信した認証情報を検証した結果、正しい回答が得られなかったため、プロキシ１０３へアクセス要求の拒否を応答する。
アクセス要求の拒否の応答を受け取ったプロキシ１０３では、端末装置１０２から発信されたＵＲＬのアクセス要求を拒否する。
このため、端末装置１０２は、アクセス要求したＵＲＬが表すインターネット１０５上のサーバにはアクセスができない。
【００６４】
（タイムアウトによるアクセス拒否の場合の情報の流れの説明）
次に、タイムアウトによるアクセス拒否の場合について図９を用いて説明する。
端末装置１０２からインターネット１０５上のサーバのＵＲＬへのアクセス要求が、プロキシ１０３に送信されて、プロキシ１０３から端末装置１０２に認証画面が送信されるまでの流れは、認証成功後のアクセス許可の場合、および、認証失敗によるアクセス拒否の場合と同様である。
標的型攻撃対策装置１０１は、アクセス判定時、要認証であると判定された場合に、認証情報に認証期限を付与して認証管理ＤＢ１１５へ登録している。標的型攻撃対策装置１０１は、認証管理ＤＢ１１５を参照して認証期限を過ぎた認証情報が有るか否か判定し、認証期限に達した認証情報があった場合には、プロキシ１０３へアクセス要求の拒否を応答する。その後の流れは、認証失敗によるアクセス拒否の場合と同様である。
【００６５】
（実施の形態１の効果）
実施の形態１における標的型攻撃対策装置１０１は、端末装置１０２からインターネット１０５上のサーバへのアクセス要求を、ＵＲＬアクセス履歴ＤＢ１１６に登録されているＵＲＬかどうかを判定する。そして、標的型攻撃対策装置１０１は、アクセス要求のＵＲＬがＵＲＬアクセス履歴ＤＢ１１６に登録されていない場合、ＵＲＬへのアクセス要求が人間の操作によるものか否かを、人間であれば容易に回答できるがプログラムでは回答できない内容の質問によって認証することによって判定する。
すなわち、実施の形態１における標的型攻撃対策装置１０１は、正当アドレスではないアドレスにアクセスを試みるアクセス要求のみに対して認証を行うことで、ユーザによる認証処理を減らし、ユーザの利便性を損なうことなく、マルウェアによるインターネット１０５上のサーバへの通信を遮断することができる。
これにより、万が一、組織内部の端末装置１０２がマルウェアに感染した場合であっても、インターネット１０５上のサーバからインターネット１０５を介して端末装置１０２を操作されたり、機密情報を窃取されたりすることを防ぐことができる。
また、１つのページを表示するのに、複数のサーバへアクセスするようなＷｅｂページにおいて、端末装置１０２を操作しているユーザが、アクセスする必要がないサーバへのアクセスについては意図的に認証をキャンセルすることによって、ユーザが見たいコンテンツのみをＷｅｂブラウザへ表示させることができる。
【００６６】
以上、実施の形態１においては、以下の手段を備えた標的型攻撃対策装置１０１について説明した。
（１）インターネット上のサーバに対するアクセス要求を許可するか否かを、ＵＲＬアクセス履歴ＤＢ１１６を参照して判定する手段；
（２）人間であれば容易に回答できるが、プログラムでは回答できない内容の質問によって認証する手段；
（３）送信した認証を認証番号で管理する手段；
（４）認証に成功した場合には、アクセス要求のあったＵＲＬをＵＲＬアクセス履歴ＤＢ１１６へ登録する手段；
（５）認証に失敗した場合には、アクセス要求を拒否すると判定する手段。
【００６７】
実施の形態２．
（実施の形態２における標的型攻撃対策装置１０１の概要）
実施の形態１における標的型攻撃対策装置１０１では、新規のＵＲＬへのアクセス要求が許可されるごとに、ＵＲＬアクセス履歴ＤＢ１１６にＵＲＬ（正当アドレス）が示される正当アドレス情報が登録された。一方、実施の形態２における標的型攻撃対策装置１０１では、登録される正当アドレス情報が増えることにより、ＵＲＬアクセス履歴ＤＢ１１６のサイズが肥大化するような場合にＵＲＬアクセス履歴ＤＢ１１６のサイズを削減する実施形態を示す。
具体的には、実施の形態２の標的型攻撃対策装置１０１の認証部１１３は、ＵＲＬアクセス履歴ＤＢ１１６により記憶されている正当アドレス情報の内、判定部１１４によりアクセス先アドレスと一致すると判定されることが少ない正当アドレスが示される正当アドレス情報を削除する。
なお、認証部１１３は、正当アドレス情報更新部に対応する。
【００６８】
なお、実施の形態２の標的型攻撃対策装置１０１は、図１に示す実施の形態１の標的型攻撃対策装置１０１と同じ構成である。従って、実施の形態１と同じ構成要素と同じ処理内容とについては説明を省略する。
【００６９】
（ＵＲＬアクセス履歴ＤＢ１１６の説明）
図１０は、正当アドレス情報テーブル３０１の例を示す図である。
実施の形態１における正当アドレス情報テーブル３０１の例（図２）と比較してアクセス回数と最終アクセス日とが追加されている。
そして、図２と同様に例えばＤ１００１の行が一つの正当アドレス情報となる。
【００７０】
認証部１１３は、アクセス要求のあったＵＲＬが示される正当アドレス情報をＵＲＬアクセス履歴ＤＢ１１６へ新規に登録する際に、ＵＲＬとともに、アクセス回数と最終アクセス日とを登録する。
【００７１】
ここで、アクセス回数は、判定部１１４がアクセス要求のあったＵＲＬへアクセスを許可した回数であり、新規登録時は「１」となる。そして、判定部１１４は、アクセス要求の判定の際に、ＵＲＬアクセス履歴ＤＢ１１６を参照して、アクセス要求のあったＵＲＬが登録されていた場合、該当するＵＲＬへのアクセス回数を加算する。
すなわち、アクセス回数は、判定部１１４により正当アドレスがアクセス先アドレスと一致すると判定された累計の判定回数である。
そして、ＵＲＬアクセス履歴ＤＢ１１６は、正当アドレスと、アクセス回数とが対応付けられて示される正当アドレス情報を少なくとも一つ記憶している。
【００７２】
また、最終アクセス日は、判定部１１４がアクセス要求のあったＵＲＬに対してアクセスを許可した時刻である。最終アクセス日は、標的型攻撃対策装置１０１に備えられた内部時計が示す日付であってもよい。なお、最終アクセス日は、日付のみが示されていてもよいし、日付に時刻（時、分、秒）の情報が付加されていてもよい（後述の初回アクセス日も同様である）。
そして、判定部１１４は、アクセス要求の判定の際に、ＵＲＬアクセス履歴ＤＢ１１６を参照して、アクセス要求のあったＵＲＬが登録されていた場合、最終アクセス日を更新する。
すなわち、最終アクセス日は、判定部１１４により正当アドレスがアクセス先アドレスと一致すると最後に判定された最終判定時刻である。
そして、ＵＲＬアクセス履歴ＤＢ１１６は、正当アドレスと、最終アクセス日とが対応付けられて示される正当アドレス情報を少なくとも一つ記憶している。
【００７３】
（情標的型攻撃対策装置１０１の動作説明）
図１１は、認証部１１３による登録データ削除処理の例を示すフローチャートである。
認証部１１３は、最終アクセス日から、予め与えられた一定期間（閾値１）においてアクセスが無く、かつ、アクセス回数が予め与えられた値（閾値２）より低い登録データ（正当アドレス情報）をＵＲＬアクセス履歴ＤＢから検索する（図１１のＳ１１０１）。
【００７４】
認証部１１３は、検索の結果、該当する登録データ（正当アドレス情報）がある場合には（図１１のＳ１１０２の「ＹＥＳ」）、ＵＲＬアクセス履歴ＤＢ１１６から登録データ（正当アドレス情報）を削除する（図１１のＳ１１０３）。
【００７５】
すなわち、認証部１１３は、予め設定された判定回数（アクセス回数）の閾値よりも少ない判定回数（アクセス回数）が示される正当アドレス情報をＵＲＬアクセス履歴ＤＢ１１６から削除する。つまり、認証部１１３は、判定部１１４によりアクセス先アドレスと一致すると判定されることが少ない正当アドレスが示される正当アドレス情報を削除する。
【００７６】
認証部１１３は、検索の結果、該当する登録データ（正当アドレス情報）が無かった場合（図１１のＳ１１０２の「ＮＯ」）に、もしくは、図１１のＳ１１０３で該当する登録データ（正当アドレス情報）を削除した後に、図１１のＳ１１０４の処理を行う。
図１１のＳ１１０４において、認証部１１３は、最終アクセス日から、別に与えられた一定期間（閾値３：閾値３は閾値１よりも長期間とする）が過ぎた登録データ（正当アドレス情報）をＵＲＬアクセス履歴ＤＢ１１６から検索する。
【００７７】
認証部１１３は、検索の結果、該当する登録データ（正当アドレス情報）がある場合には（図１１のＳ１１０５の「ＹＥＳ」）、ＵＲＬアクセス履歴ＤＢ１１６から登録データ（正当アドレス情報）を削除する（図１１のＳ１１０６）。
【００７８】
すなわち、認証部１１３は、所定の時刻（例えば図１１のＳ１１０４の検索処理時）において、所定の時刻から予め設定された有効期間分遡った時刻よりも古い最終判定時刻（最終アクセス日）が示される正当アドレス情報をＵＲＬアクセス履歴ＤＢ１１６から削除する。つまり、認証部１１３は、所定の時刻から予め設定された有効期間分遡った時刻において、判定部１１４によりアクセス先アドレスと一致すると判定されることが少ない正当アドレスが示される正当アドレス情報を削除する。
【００７９】
なお、図１１のＳ１１０６において、認証部１１３は、該当する登録データ（正当アドレス情報）のアクセス回数が閾値２よりも大きい場合であっても、ＵＲＬアクセス履歴ＤＢ１１６から登録データ（正当アドレス情報）を削除する。
【００８０】
認証部１１３は、検索の結果、該当する登録データ（正当アドレス情報）が無かった場合（図１１のＳ１１０５の「ＮＯ」）、もしくは、図１１のＳ１１０６の処理で該当する登録データ（正当アドレス情報）を削除した後、図１１に示す登録データ削除処理を終了する。
なお、図１１には、認証部１１３が、Ｓ１１０１〜Ｓ１１０３の処理を行った後にＳ１１０４〜Ｓ１１０６の処理を行うことが図示されている。しかし、図示は省略するが、認証部１１３は、Ｓ１１０４〜Ｓ１１０６の処理を行った後にＳ１１０１〜Ｓ１１０３の処理を行うことも可能である。
【００８１】
（実施の形態２の効果）
実施の形態２における標的型攻撃対策装置１０１は、ＵＲＬアクセス履歴ＤＢ１１６の登録データ（正当アドレス情報）から、アクセス回数の閾値、および、最終アクセス日からの経過日数の閾値により、定期的にＵＲＬアクセス履歴ＤＢ１１６の登録データ（正当アドレス情報）を削除する。したがって、実施の形態２における標的型攻撃対策装置１０１は、ＵＲＬアクセス履歴ＤＢ１１６のサイズが際限なく増加することを防ぐことができる。また、ＵＲＬアクセス履歴ＤＢ１１６のサイズが小さいほど、ＵＲＬアクセス履歴ＤＢ１１６の参照にかかる時間が短縮されるため、実施の形態２における標的型攻撃対策装置１０１は、処理を高速化することもできる。
【００８２】
以上、実施の形態２においては、以下の手段を備えた標的型攻撃対策装置１０１について説明した。
（１）アクセス回数をカウントしてＵＲＬアクセス履歴ＤＢ１１６へ登録する手段；
（２）アクセスの最終日をＵＲＬアクセス履歴ＤＢ１１６へ登録する手段；
（３）アクセスの最終日から一定時間が経過し、かつ、アクセス回数が閾値以下のＵＲＬアクセス履歴ＤＢの登録データを削除する手段；
（４）アクセスの最終日から長時間が経過したＵＲＬアクセス履歴ＤＢの登録データを削除する手段。
【００８３】
実施の形態３．
（実施の形態３における標的型攻撃対策装置１０１の概要）
実施の形態２における標的型攻撃対策装置１０１では、ＵＲＬへのアクセス回数、および、最終アクセス日からの経過日数を基に、ＵＲＬアクセス履歴ＤＢ１１６の登録データ（正当アドレス情報）数を削減した。一方、実施の形態３における標的型攻撃対策装置１０１では、ＵＲＬへのアクセス頻度によって、ＵＲＬアクセス履歴ＤＢの登録データ（正当アドレス情報）を削除する実施の形態を示す。
具体的には、実施の形態３の標的型攻撃対策装置１０１の認証部１１３は、ＵＲＬアクセス履歴ＤＢ１１６により記憶された正当アドレス情報毎に、所定の期間において、判定部１１４により正当アドレスがアクセス先アドレスと一致すると判定された判定頻度を演算し、演算した判定頻度が予め設定された判定頻度の閾値よりも少ない判定頻度が示される正当アドレス情報をＵＲＬアクセス履歴ＤＢ１１６から削除する。
なお、アクセス頻度の少ない正当アドレス情報を削除するということは、実施の形態２と同様に実施の形態３の標的型攻撃対策装置１０１の認証部１１３は、ＵＲＬアクセス履歴ＤＢ１１６により記憶されている正当アドレス情報の内、判定部１１４によりアクセス先アドレスと一致すると判定されることが少ない正当アドレスが示される正当アドレス情報を削除することである。
【００８４】
なお、実施の形態３の標的型攻撃対策装置１０１は、図１に示す実施の形態１又は実施の形態２の標的型攻撃対策装置１０１と同じ構成である。従って、実施の形態１又は実施の形態２と同じ構成要素と同じ処理内容とについては説明を省略する。
【００８５】
（ＵＲＬアクセス履歴ＤＢ１１６の説明）
図１２は、正当アドレス情報テーブル３０１の例を示す図である。
実施の形態２における正当アドレス情報テーブル３０１の例（図１０）と比較して初回アクセス日が追加されている。
そして、図２もしくは図１０と同様に例えばＤ１２０１の行が一つの正当アドレス情報となる。
【００８６】
認証部１１３は、アクセス要求のあったＵＲＬが示される正当アドレス情報をＵＲＬアクセス履歴ＤＢ１１６へ新規に登録する際に、ＵＲＬとともに、アクセス回数と初回アクセス日と最終アクセス日とを登録する。
【００８７】
ここで、アクセス回数と最終アクセス日については、実施の形態２と同様である為、説明を省略する。
そして、初回アクセス日は、判定部１１４により正当アドレスがアクセス先アドレスと一致すると最初に判定された初回判定時刻である。あるいは、初回アクセス日は、認証部１１３により正当アドレス情報がＵＲＬアクセス履歴ＤＢ１１６へ新規に登録された時刻であってもよい。
そして、ＵＲＬアクセス履歴ＤＢ１１６は、正当アドレスと、初回アクセス日と最終アクセス日とアクセス回数が対応付けられて示される正当アドレス情報を少なくとも一つ記憶している。
【００８８】
（情標的型攻撃対策装置１０１の動作説明）
図１３は、認証部１１３による登録データ削除処理の例を示すフローチャートである。
認証部１１３は、初回アクセス日が最終アクセス日よりも過去であり、かつ、アクセス回数を最終アクセス日と初回アクセス日の差で割った値（アクセス頻度）が、予め与えられた値（閾値４）より低い登録データ（正当アドレス情報）をＵＲＬアクセス履歴ＤＢ１１６から検索する（図１３のＳ１３０１）。
すなわち、認証部１１３は、ＵＲＬアクセス履歴ＤＢ１１６により記憶された正当アドレス情報毎に、初回判定時刻（初回アクセス日）から最終判定時刻（最終アクセス日）までの時間を所定の期間として、累計の判定回数（アクセス回数）を所定の期間で除算した値である判定頻度（アクセス頻度）を演算する。
【００８９】
認証部１１３は、検索の結果、該当する登録データ（正当アドレス情報）がある場合には（図１３のＳ１３０２の「ＹＥＳ」）、ＵＲＬアクセス履歴ＤＢ１１６から登録データ（正当アドレス情報）を削除する（図１３のＳ１３０３）。
【００９０】
すなわち、認証部１１３は、ＵＲＬアクセス履歴ＤＢ１１６により記憶された正当アドレス情報毎に、所定の期間において、判定部１１４により正当アドレスがアクセス先アドレスと一致すると判定された判定頻度を演算し、演算した判定頻度が予め設定された判定頻度の閾値よりも少ない判定頻度が示される正当アドレス情報をＵＲＬアクセス履歴ＤＢ１１６から削除する。
【００９１】
認証部１１３は、検索の結果、該当する登録データ（正当アドレス情報）が無かった場合（図１３のＳ１３０２の「ＮＯ」）、もしくは、図１３のＳ１３０３の処理で該当する登録データ（正当アドレス情報）を削除した後、図１３に示す登録データ削除処理を終了する。
【００９２】
（実施の形態３の効果）
実施の形態３における標的型攻撃対策装置１０１は、ＵＲＬアクセス履歴ＤＢ１１６の登録データ（正当アドレス情報）から、初回アクセス日から最終アクセス日までのアクセス頻度によって登録データを削除しているので、一時的に高いアクセス頻度でアクセスされ、その後のアクセス頻度が低いＵＲＬの登録データ（正当アドレス情報）を削除できる。したがって、実施の形態３における標的型攻撃対策装置１０１は、ＵＲＬアクセス履歴ＤＢ１１６へアクセス頻度の高いＵＲＬの登録情報（正当アドレス情報）を優先的に残すことができる。これにより、実施の形態３における標的型攻撃対策装置１０１は、アクセス頻度の高いＵＲＬに対するアクセスの認証回数を抑えつつ、ＵＲＬアクセス履歴ＤＢ１１６のサイズを抑えることができる。
【００９３】
以上、実施の形態３においては、アクセス頻度が低いＵＲＬに関するＵＲＬアクセス履歴ＤＢの登録データを削除する手段を備えた標的型攻撃対策装置１０１について説明した。
【００９４】
（実施の形態１〜３の標的型攻撃対策装置１０１のハードウェア構成）
最後に、実施の形態１〜３に示した標的型攻撃対策装置１０１のハードウェア構成例について説明する。
図１４は、本実施の形態に示した標的型攻撃対策装置１０１のハードウェア資源の一例を示す図である。
なお、図１４の構成は、あくまでも標的型攻撃対策装置１０１のハードウェア構成の一例を示すものであり、標的型攻撃対策装置１０１のハードウェア構成は図１４に記載の構成に限らず、他の構成であってもよい。
【００９５】
図１４において、標的型攻撃対策装置１０１は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。
ＣＰＵ９１１は、バス９１２を介して、例えば、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）９１３、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）９１４、通信ボード９１５、表示装置９０１、キーボード９０２、マウス９０３、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。
更に、ＣＰＵ９１１は、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ  Ｄｉｓｋ  Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）と接続していてもよい。また、磁気ディスク装置９２０の代わりに、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）、光ディスク装置、メモリカード（登録商標）読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。
本実施の形態で説明した標的型攻撃対策装置１０１の記憶装置、認証管理ＤＢ１１５、ＵＲＬアクセス履歴ＤＢ１１６は、磁気ディスク装置９２０等により実現される。
通信ボード９１５、キーボード９０２、マウス９０３、ＦＤＤ９０４などは、入力装置の一例である。
また、通信ボード９１５、表示装置９０１などは、出力装置の一例である。
【００９６】
通信ボード９１５は、組織内ネットワーク１０６に接続されている。
【００９７】
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。
プログラム群９２３のプログラムは、ＣＰＵ９１１がオペレーティングシステム９２１、ウィンドウシステム９２２を利用しながら実行する。
【００９８】
また、ＲＡＭ９１４には、ＣＰＵ９１１に実行させるオペレーティングシステム９２１のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。
また、ＲＡＭ９１４には、ＣＰＵ９１１による処理に必要な各種データが格納される。
【００９９】
また、ＲＯＭ９１３には、ＢＩＯＳ（Ｂａｓｉｃ  Ｉｎｐｕｔ  Ｏｕｔｐｕｔ  Ｓｙｓｔｅｍ）プログラムが格納され、磁気ディスク装置９２０にはブートプログラムが格納されている。
標的型攻撃対策装置１０１の起動時には、ＲＯＭ９１３のＢＩＯＳプログラム及び磁気ディスク装置９２０のブートプログラムが実行され、ＢＩＯＳプログラム及びブートプログラムによりオペレーティングシステム９２１が起動される。
【０１００】
上記プログラム群９２３には、本実施の形態の説明において「〜部」（「〜記憶部」以外、以下同様）として説明している機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
【０１０１】
ファイル群９２４には、本実施の形態の説明において、「〜の判断」、「〜の計算」、「〜の比較」、「〜の照合」、「〜の参照」、「〜の検索」、「〜の抽出」、「〜の検査」、「〜の生成」、「〜の設定」、「〜の登録」、「〜の選択」、「〜の入力」、「〜の受信」、「〜の判定」、「〜の定義」、「〜の算出」、「〜の更新」、「〜の登録」等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、「ファイル」や「データベース」の各項目として記憶されている。
「ファイル」や「データベース」は、ディスクやメモリなどの記録媒体に記憶される。
ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出される。
そして、読み出された情報やデータや信号値や変数値やパラメータは、抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示・制御・判定・識別・検知・判別・選択・算出・導出・更新・生成・取得・通知・指示・判断・区別・削除・登録・付与などのＣＰＵの動作に用いられる。
抽出・検索・参照・比較・演算・計算・処理・編集・出力・印刷・表示・制御・判定・識別・検知・判別・選択・算出・導出・更新・生成・取得・通知・指示・判断・区別・削除・登録・付与などのＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。
また、本実施の形態で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示す。
データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ等の記録媒体に記録される。
また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。
【０１０２】
また、本実施の形態の説明において「〜部」として説明しているものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。
すなわち、本実施の形態で説明したフローチャートに示すステップ、手順、処理により、本発明に係る情報処理方法を実現することができる。
また、「〜部」として説明しているものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。
或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。
ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。
プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。
すなわち、プログラムは、本実施の形態の「〜部」としてコンピュータを機能させるものである。あるいは、本実施の形態の「〜部」の手順や方法をコンピュータに実行させるものである。
【０１０３】
このように、本実施の形態に示す標的型攻撃対策装置１０１は、処理装置たるＣＰＵ、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータである。
そして、上記したように「〜部」として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。
【符号の説明】
【０１０４】
１０１  標的型攻撃対策装置、１０２  端末装置、１０３  プロキシ、１０４  ファイアウォール、１０５  インターネット、１０６  組織内ネットワーク、１１１  受信部、１１２  送信部、１１３  認証部、１１４  判定部、１１５  認証管理ＤＢ、１１６  ＵＲＬアクセス履歴ＤＢ、１２１  転送部、２０１  認証管理ＤＢテーブル、３０１  正当アドレス情報テーブル、９０１  表示装置、９０２  キーボード、９０３  マウス、９０４  ＦＤＤ、９０５  コンパクトディスク装置、９１１  ＣＰＵ、９１２  バス、９１３  ＲＯＭ、９１４  ＲＡＭ、９１５  通信ボード、９２０  磁気ディスク装置、９２１  オペレーティングシステム、９２２  ウィンドウシステム、９２３  プログラム群、９２４  ファイル群。
【図１】
2013092998.tif 000003
【図２】
2013092998.tif 000004
【図３】
2013092998.tif 000005
【図４】
2013092998.tif 000006
【図５】
2013092998.tif 000007
【図６】
2013092998.tif 000008
【図７】
2013092998.tif 000009
【図８】
2013092998.tif 000010
【図９】
2013092998.tif 000011
【図１０】
2013092998.tif 000012
【図１１】
2013092998.tif 000013
【図１２】
2013092998.tif 000014
【図１３】
2013092998.tif 000015
【図１４】
2013092998.tif 000016