"端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスを抽出するアドレス抽出部とを備えたことを特徴とするアドレス抽出装置。前記アドレス入力部は、ユーザの指示に基づいて前記端末装置が前記プロキシサーバ装置にアクセス先として通知したアドレスが示されるユーザ指示情報を入力し、前記アドレス抽出部は、前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と前記ユーザ指示情報とのいずれにも示されていないアドレスを抽出することを特徴とする請求項1記載のアドレス抽出装置。前記アドレス入力部は、前記ユーザが前記端末装置に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて前記端末装置が前記プロキシサーバ装置にアクセス先として通知したアドレスがアドレス指示操作と対応付けられて示される端末操作ログを前記ユーザ指示情報として入力することを特徴とする請求項2記載のアドレス抽出装置。前記アドレス入力部は、ローカルプロキシを有する端末装置が前記ユーザの指示に基づいて前記ローカルプロキシを利用して前記プロキシサーバ装置にアクセス先として通知したアドレスが示されるローカルプロキシログを前記ユーザ指示情報として入力することを特徴とする請求項2記載のアドレス抽出装置。前記アドレス入力部は、前記ユーザ指示情報に示されるアドレスのウェブページに関連付けされているアドレスが示される関連アドレス情報を入力し、前記アドレス抽出部は、前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と前記ユーザ指示情報と前記関連アドレス情報とのいずれにも示されていないアドレスを抽出することを特徴とする請求項2~4いずれか記載のアドレス抽出装置。前記アドレス入力部は、前記プロキシサーバ装置が行ったアクセス毎にアクセスが行われたアクセス時刻とアクセス先のアドレスとが対応付けられて示されるプロキシログを入力し、前記アドレス抽出部は、前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、ユーザの存在を検知する検知装置が、ユーザが前記端末装置の前に存在しないと検知した期間に含まれるアクセス時刻に対応付けられているアドレスを抽出することを特徴とする請求項1~5いずれか記載のアドレス抽出装置。前記アドレス入力部は、前記プロキシサーバ装置が行ったアクセス毎にアクセスが行われたアクセス時刻とアクセス先のアドレスとが対応付けられて示されるプロキシログと、前記ユーザが前記端末装置に対して指示する指示操作と指示操作毎の操作時刻とが対応付けられて示され、前記ユーザが前記端末装置に対してアクセス先のアドレスを指示する場合に、前記ユーザが前記端末装置に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて前記端末装置が前記プロキシサーバ装置にアクセス先として通知したアドレスがアドレス指示操作とアドレス指示操作の操作時刻とに対応付けられて示される端末操作ログとを入力し、前記アドレス抽出装置は、更に、前記端末操作ログに示される操作時刻の内、あらかじめ定義された定義期間の開始時刻後の最初の操作時刻と前記定義期間の終了時刻前の最後の操作時刻とを抽出し、前記定義期間の開始時刻から前記最初の操作時刻までの期間と前記最後の操作時刻から前記定義期間の終了時刻までの期間とから成る非操作期間を算出する、または、前記端末操作ログに示される操作時刻の内、前記定義期間の開始時刻後の操作時刻であってアドレスが対応付けられている最初の操作時刻である最初のアドレス対応操作時刻と、前記定義期間の終了時刻前の操作時刻であってアドレスが対応付けられている最後の操作時刻である最後のアドレス対応操作時刻とを抽出し、前記定義期間の開始時刻から前記最初のアドレス対応操作時刻までの期間と前記最後のアドレス対応操作時刻から前記定義期間の終了時刻までの期間とから成る非アドレス対応期間を算出する期間算出部を備え、前記アドレス抽出部は、前記期間算出部により非操作期間が算出された場合に、前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記非操作期間に含まれるアクセス時刻が対応付けられているアドレスを抽出し、前記期間算出部により非アドレス対応期間が算出された場合に、前記アドレス入力部により入力されたプロキシログに示されるアクセス時刻に対応付けられているアドレスの内、前記非アドレス対応期間に含まれるアクセス時刻に対応付けられているアドレスを抽出することを特徴とする請求項1~6いずれか記載のアドレス抽出装置。前記アドレス抽出装置は、更に、前記アドレス抽出部により抽出されたアドレスの内、少なくとも1つの所定の条件に合致する所定のアドレスを条件合致アドレスとして特定する条件合致アドレス特定部を備えることを特徴とする請求項1~7いずれか記載のアドレス抽出装置。前記アドレス抽出装置は、更に、前記アドレス抽出部により抽出されたアドレス毎にアドレスのウェブページの提供元が属する国が示される提供国情報と、あらかじめ特定された国が示される特定国情報とを入力する情報入力部を備え、前記条件合致アドレス特定部は、前記情報入力部により入力された提供国情報に示される国の中で前記特定国情報に示されるいずれかの国に合致する国が提供しているウェブページのアドレスを条件合致アドレスとして特定する請求項8記載のアドレス抽出装置。前記アドレス入力部は、前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスとアクセス時のデータ通信量とが対応付けられて示されるプロキシログを入力し、前記アドレス抽出装置は、更に、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のアクセス数を算出する、または、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のデータ通信量を算出する通信量算出部を備え、前記条件合致アドレス特定部は、前記通信量算出部により単位時間毎のアクセス数が算出された場合に、あらかじめ定義された所定の期間においてのみ前記通信量算出部により算出された単位時間毎のアクセス数が、あらかじめ定義されたアクセス数の第1の閾値以上となるアドレスを条件合致アドレスとして特定し、前記通信量算出部により単位時間毎のデータ通信量が算出された場合に、あらかじめ定義された所定の期間においてのみ前記通信量算出部により算出された単位時間毎のデータ通信量が、あらかじめ定義されたデータ通信量の第1の閾値以上となるアドレスを条件合致アドレスとして特定する請求項8記載のアドレス抽出装置。前記アドレス入力部は、前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスとアクセス時のデータ通信量とが対応付けられて示されるプロキシログを入力し、前記アドレス抽出装置は、更に、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のアクセス数を算出する、または、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスに対する単位時間毎のデータ通信量を算出する通信量算出部を備え、前記条件合致アドレス特定部は、前記通信量算出部により単位時間毎のアクセス数が算出された場合に、前記単位時間毎のアクセス数が一定周期毎にあらかじめ定義されたアクセス数の第2の閾値以上となるアドレスを条件合致アドレスとして特定し、前記通信量算出部により単位時間毎のデータ通信量が算出された場合に、前記単位時間毎のデータ通信量が一定周期毎にあらかじめ定義されたデータ通信量の第2の閾値以上となるアドレスを条件合致アドレスとして特定することを特徴とする請求項8記載のアドレス抽出装置。前記アドレス入力部は、前記プロキシサーバ装置が行ったアクセス毎に、アクセス先のアドレスと、前記プロキシサーバ装置からアクセス先へ送信したデータのサイズであるリクエストサイズと、前記プロキシサーバ装置がアクセス先から受信したデータのサイズであるレスポンスサイズとが対応付けられて示されるプロキシログを入力し、前記条件合致アドレス特定部は、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスと対応付けられているレスポンスサイズをアクセス単位で特定し、特定したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満のアドレスを条件合致アドレスとして特定することを特徴とする請求項8記載のアドレス抽出装置。前記条件合致アドレス特定部は、前記アドレス入力部により入力されたプロキシログから前記アドレス抽出部により抽出された各アドレスと対応付けられているレスポンスサイズとリクエストサイズとをアクセス単位で特定し、特定したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満であり、リクエストサイズがあらかじめ定義されたリクエストサイズの閾値未満のアドレスを条件合致アドレスとして特定することを特徴とする請求項12記載のアドレス抽出装置。前記アドレス入力部は、前記ユーザの操作により前記端末装置が前記プロキシサーバ装置に通知したアドレスに基づいて前記プロキシサーバ装置が行ったアクセスのアクセス先のウェブページのタイトルが示される端末操作ログと、前記端末装置がローカルプロキシを利用して前記プロキシサーバ装置に通知したアドレスに基づいて前記プロキシサーバ装置が行ったアクセスのアクセス先のウェブページのタイトルとアクセス先のアドレスとが対応付けられて示されるローカルプロキシ情報が少なくとも1つ以上含まれるローカルプロキシログとを入力し、前記アドレス抽出装置は、更に、前記アドレス入力部により入力されたローカルプロキシログに含まれるローカルプロキシ情報に示されるタイトルの内、前記端末操作ログに示されるタイトルに合致するタイトルが示されるローカルプロキシ情報を抽出するローカルプロキシ情報抽出部を備え、前記アドレス抽出部は、前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報と、前記ローカルプロキシ情報抽出部に抽出されたローカルプロキシ情報とのいずれにも示されていないアドレスを抽出することを特徴とする請求項1記載のアドレス抽出装置。前記のように例えばユーザは、ユーザが意図しない通信例えばマルウェアによる不正アクセスが行われていても、その通信不正アクセスを検知することが出来ないという課題がある。この発明は前記のような課題を解決することを主な目的とするもので、例えば、ユーザが意図しない通信によりアクセスされたアクセス先のアドレスを抽出するアドレス抽出装置を実現することを主な目的とする。この発明に係るアドレス抽出装置は、端末装置からアクセス先として通知されたアドレスにアクセスを行うプロキシサーバ装置がアクセスを行ったアドレスの内、所定のアドレスを抽出するアドレス抽出装置であって、前記プロキシサーバ装置が行ったアクセス毎にアクセス先のアドレスが示されるプロキシログと、あらかじめ正当と定義されたアドレスが示される正当アドレス情報とを入力するアドレス入力部と、前記アドレス入力部により入力されたプロキシログに示されるアドレスの内、前記正当アドレス情報に示されていないアドレスを抽出するアドレス抽出部とを備えたことを特徴とする。この発明に係るアドレス抽出装置は、例えば、プロキシサーバ装置のプロキシログに記録されたアクセス先のアドレスから、正当なアクセスによるアクセス先のアドレス以外のアドレスを抽出する。この為、この発明に係るアドレス抽出装置は、正当なアクセス以外、すなわちユーザが意図しない不正な通信によりアクセスされたアクセス先のアドレスを抽出することが可能である。実施の形態1.情報漏洩検知システムの周辺構成図1は、情報漏洩検知システムの周辺構成の例を示す図である。情報漏洩検知システム100は、例えばマルウェアによってアクセスされたURLUniformResourceLocatorを抽出する。ここで、URLは例えばプロキシサーバ装置600後述で説明がアクセスを行うアクセス先のアドレスである。すなわち、情報漏洩検知システム100は、アドレス抽出装置である。そして、情報漏洩検知システム100はプロキシサーバ装置600がアクセスを行ったアドレスの内、所定のアドレスを抽出する。情報漏洩検知システム100が抽出する所定のアドレスについては後述で説明する。情報漏洩検知システム100が抽出するアドレスは、URLに限られるものではなく、例えば、IPInternetProtocolアドレスでも良いし、電子メールアドレスでも良い。ここで、例えばマルウェアによってアクセスされたアドレスURLを以降不正なアドレスと称する。そして、情報漏洩検知システム100の周辺には、端末装置500とプロキシサーバ装置600とが配置される。情報漏洩検知システム100と端末装置500とプロキシサーバ装置600とは、例えば、LANLocalAreaNetworkなどで接続されている。ここで、図示は省略するが、端末装置500は例えば、企業などの組織で使われる個人用のパーソナルコンピュータなどであり、複数の端末装置500も例えばLANなどで接続されている。そして、情報漏洩検知システム100は、プロキシサーバ装置600からプロキシログ201を入力する。また、情報漏洩検知システム100は、端末装置500から端末操作ログ203とローカルプロキシログ204とを入力する。更に、情報漏洩検知システム100は、例えば企業などの組織に設置されたサーバ装置の記憶装置などに記憶されているURLホワイトリスト202を入力する。本実施の形態の情報漏洩検知システム100は、これらのログプロキシログ201などを用いて、マルウェアによるWeb通信を検知する。ここでWeb通信とは、端末装置500などの例えばコンピュータがインターネット上のWebウェブサイトWebサイトをWebウェブページとも称すると行う通信のことである。HTTPを用いた通信の場合は、Web通信をHTTP通信とも称する。プロキシサーバ装置600の説明例えば、企業などの組織では、端末装置500がネットワーク150例えばインターネットなどを介して、Webサイトにアクセスする際に、端末装置500から直接Webサイトにアクセスするのではなく、プロキシが端末装置500の代理でWebサイトにアクセスする。本実施の形態では、例えば組織に1台設置されているプロキシをプロキシサーバ装置600と称する。端末装置500は、Webサイトのアドレスと共に、プロキシサーバ装置600にWebサイトへ送りたいHTTPリクエストを送信し、プロキシサーバ装置600はWebサイトへこのHTTPリクエストを転送する。すなわち、プロキシサーバ装置600は、端末装置500からアクセス先として通知されたアドレスにアクセスを行う。WebサイトからのHTTPレスポンスはプロキシサーバ装置600に送られ、プロキシサーバ装置600はこのレスポンスを端末装置500へ転送することで、端末装置500はWebサイトにアクセスする。従って、プロキシサーバ装置600は、アクセスを行った端末装置500と、アクセス先のWebサイトと、アクセスの際のリクエスト及びレスポンスの内容とを記録することができる。プロキシログ201の説明前述のように、例えば企業など組織内の端末装置500はWebサイトにアクセスする際に、プロキシサーバ装置600にHTTP接続する。プロキシサーバ装置600は端末装置500の代りにインターネットに接続しWeb通信HTTP通信を行う。Web通信HTTP通信の結果はプロキシサーバ装置600から端末装置500へ転送される。そして、端末装置500がWebサイトにアクセスする際に接続するプロキシサーバ装置600のログが、プロキシログ201である。すなわち、プロキシログ201はプロキシサーバ装置600が端末装置500とWebサイトとの通信状況例えばWebサイトのアドレスを記録したログである。例えば、マルウェアがWebアクセスする場合は必ずプロキシサーバ装置600に接続するため、プロキシログ201に通信記録が残る。また、マルウェア以外のWebアクセスブラウザ、アプリケーションからの通信もプロキシログ201に通信記録が残る。URLホワイトリスト202の説明URLホワイトリスト202は、ホワイトURLのリストである。ホワイトURLは予め組織でアクセスが許可されているURLである。例えば、OSOperatingSystem、オフィスアプリケーションのアップデートサイトやニュースサイトなどがある。すなわち、ホワイトURLは、あらかじめ正当と定義されたアドレスである。そして、URLホワイトリスト202は、あらかじめ正当と定義されたアドレスが示される正当アドレス情報に対応する。端末操作ログ203の説明端末装置500は、端末操作記録アプリケーションを備える。端末操作記録アプリケーションが、ユーザの端末装置500の操作を記録したものが端末操作ログ203である。端末操作ログ203は、例えば端末装置500の記憶装置に記憶される。ここで、端末操作記録アプリケーションは各ユーザが端末装置500上でどのような操作を行っているか監視し内部統制するためのソフトウェアである。端末操作記録アプリケーションはファイル操作ファイルの生成、削除、コピー、リネーム、移動など、外部記憶媒体への書き出し、操作されたアプリケーションウィンドウタイトル、Webアクセス状況などを記録する。端末操作記録アプリケーションは例えば市販されているソフトウェアを用いても良い。ユーザがブラウザを用いて行った指示に基づき、端末装置500がWebアクセスした場合、その操作の記録例えばWebサイトのアドレスは端末操作ログ203に記録される。ここで、端末装置500は、ユーザの指示例えばユーザがブラウザを用いて行う指示に基づいて、プロキシサーバ装置600にアクセス先のアドレスを通知する。そして、ユーザの指示に基づき、端末装置500が通知したアドレスが示される情報をユーザ指示情報と称する。すなわち、端末操作ログ203は、ユーザ指示情報に対応する。ローカルプロキシ550、ローカルプロキシログ204の説明ローカルプロキシ550は、各端末装置500にインストールされるプロキシである。端末装置500上のブラウザやWebアクセスするアプリケーションは、ローカルプロキシ550を通じて、プロキシサーバ装置600にアクセスする。詳細には、端末装置500内のブラウザなどのアプリケーションは、ローカルプロキシ550に、Webサイトへ送りたいHTTPリクエストを送信し、ローカルプロキシ550はプロキシサーバ装置600へ、このHTTPリクエストを転送する。更に、プロキシサーバ装置600はWebサイトへ、このHTTPリクエストを転送する。そして、WebサイトからのHTTPレスポンスはプロキシサーバ装置600に送られ、プロキシサーバ装置600はこのレスポンスをローカルプロキシ550へ転送する。ローカルプロキシ550はアプリケーションへ、このレスポンスを転送する。この様にローカルプロキシ550とプロキシサーバ装置600を経由してアプリケーションはWebサイトと通信を行う。そして、ローカルプロキシ550で取得されるWebアクセスが記録されたものがローカルプロキシログ204である。ローカルプロキシログ204には、ユーザがブラウザを用いて行った指示に基づき、端末装置500がWebアクセスした際のWebアクセスした日時、アクセス先のURLアドレス、メソッド、Webコンテンツなどが記録される。すなわち、ローカルプロキシログ204はユーザ指示情報に対応する。そして、ローカルプロキシログ204は例えば端末装置500の記憶装置に記憶される。ローカルプロキシログ204に記録されるWebコンテンツには、ブラウザでアクセスしたWebページWebコンテンツに関連付けられるコンテンツの情報URLの情報が含まれる。このWebページに関連付けられるコンテンツの情報URLの情報とは、Webページにアクセスしたブラウザまたは、ローカルプロキシ550やプロキシサーバ装置600が自動で取得したり、リンクしたりする他のコンテンツの情報である。このWebページに関連付けられるコンテンツの情報には、関連付けられたコンテンツのURLの情報も含まれる。そして、関連付けられたコンテンツのURLの情報は、関連アドレス情報に対応し、ローカルプロキシログ204は関連アドレス情報にも対応する。このWebページWebコンテンツに関連付けられ、WebページWebコンテンツにアクセスしたブラウザまたは、ローカルプロキシ550やプロキシサーバ装置600が自動で取得したり、リンクしたりする他のコンテンツの情報を以降Webコンテンツが自動で取得するコンテンツと称する。情報漏洩検知システム100の構成図2は、情報漏洩検知システム100の構成の例を示す図である。情報漏洩検知システム100を構成する各要素について説明する。プロキシログ取り込み部101プロキシログ取り込み部101は、プロキシログ201、端末識別子205、期間206を入力とし、ログの内容であるプロキシログエントリ301を抽出する。ここで、図1において図示は省略しているが、端末装置500は前述の通り複数設置されており、端末識別子205は、個々の端末装置500を識別する為の識別子である。例えばユーザが情報漏洩検知システム100を用いて調査を行いたい対象の端末装置500の識別子を、例えばキーボードの様な入力装置を用いて入力する。この入力装置は、情報漏洩検知システム100に備えられていても良いし、情報漏洩検知システム100の外部であっても良い。また、期間206は、例えばユーザが情報漏洩検知システム100を用いて不正なアドレスを調査したい期間の情報である。期間206は、期間特定部200によって入力される。期間特定部200は、例えばキーボードの様な入力装置であっても良いし、予め期間206の情報が記憶されている記憶装置であっても良い。そして、期間特定部200は情報漏洩検知システム100に備えられていても良いし、情報漏洩検知システム100の外部であっても良い。また、プロキシログ201は前述の通り、Webサイトのアドレスが記録されている。すなわち、プロキシログ取り込み部101はアドレス入力部に対応する。URLホワイトリスト取り込み部102URLホワイトリスト取り込み部102は、URLホワイトリスト202を入力し、URLホワイトリスト202の内容であるホワイトURL302を抽出する。ここで、URLホワイトリスト202は前述の通り、あらかじめ正当と定義されたアドレスが示される。すなわち、URLホワイトリスト取り込み部102はアドレス入力部に対応する。URLホワイトリスト202は、例えばキーボードの様な入力装置からユーザが入力しても良いし、予め記憶装置に記憶されていても良い。そして、これらの入力装置や記憶装置は情報漏洩検知システム100に備えられていても良いし、情報漏洩検知システム100の外部であっても良い。端末操作ログ取り込み部103端末操作ログ取り込み部103は、端末操作ログ203を入力し、ブラウザによりアクセスされたWebサイトのURL情報であるWebアクセスURL情報303を抽出する。ここで、端末操作ログ203は前述の通り、Webサイトのアドレスが記録されている。すなわち、端末操作ログ取り込み部103はアドレス入力部に対応する。また、端末操作ログ取り込み部103は、非操作期間後述で説明又は非アドレス対応期間後述で説明を算出する。すなわち、端末操作ログ取り込み部103は、期間算出部に対応する。ローカルプロキシログ取り込み部104ローカルプロキシログ取り込み部104は、ローカルプロキシログ204、端末識別子205、期間206を入力し、ローカルプロキシログ204の内容であるローカルプロキシログエントリ304を抽出する。すなわち、ローカルプロキシログエントリ304も図2における図示は省略するが、ユーザ指示情報と関連アドレス情報とに対応する。ここで、ローカルプロキシログ204は前述の通り、Webサイトのアドレスが記録されている。すなわち、ローカルプロキシログ取り込み部104はアドレス入力部に対応する。グレーURL特定部105グレーURL特定部105は、プロキシログエントリ301、ホワイトURL302、ブラウザアクセスURL情報307後述で説明を入力し、マルウェアがアクセスしている可能性があるURL情報であるグレーURL情報305を抽出する。すなわち、グレーURL特定部105は、アドレス抽出部に対応する。トップページURL特定部106トップページURL特定部106は、WebアクセスURL情報303、ローカルプロキシログエントリ304を入力し、ローカルプロキシログエントリ304から、WebアクセスURL情報303とURLが一致するログエントリを抽出し、トップページURL情報306として出力する。トップページURL情報306は、ユーザ指示情報に対応する。ここで、トップページURL情報306は、ローカルプロキシログエントリ304から抽出されたローカルプロキシ550の情報、すなわちローカルプロキシ情報である。そして、トップページURL特定部106は、ローカルプロキシ情報抽出部に対応する。ブラウザアクセスURL特定部107ブラウザアクセスURL特定部107は、トップページURL情報306、ローカルプロキシログエントリ304を入力し、ローカルプロキシログエントリ304のWebコンテンツに含まれる、Webコンテンツが自動で取得するコンテンツや、他のWebページへのリンク情報URLを、トップページ内URLとして抽出する。このトップページ内URLは、Webコンテンツに関連する関連アドレス情報である。さらに、ブラウザアクセスURL特定部107は、トップページ内URLとトップページURL情報306とを合わせてブラウザがアクセスするURLの情報であるブラウザアクセスURL情報307として出力する。すなわち、ブラウザアクセスURL情報307にはトップページ内URLの情報が含まれており、ブラウザアクセスURL情報307は、ユーザ指示情報と関連アドレス情報とに対応する。ブラックURL特定部108ブラックURL特定部108は、グレーURL情報305、ブラウザアクセスURL情報307、ブラック判定条件207を入力し、マルウェアのアクセスしたサイトと思われるブラックURL208を抽出する。すなわち、ブラックURL特定部108はアドレス抽出部に対応する。そして、ブラック判定条件207はグレーURL情報に含まれるURL情報がマルウェアによりアクセスされたか判定するための条件を表す情報である。ブラックURL特定部108はブラック判定条件207に合致するアドレスを特定する条件合致アドレス特定部である。また、ブラックURL特定部108は、外部サービス209後述で説明から情報を入力する情報入力部に対応する。更に、図2では図示を省略しているが、ブラックURL特定部108は、プロキシログ201を入力することも可能である。そして、ブラックURL特定部108は入力したプロキシログ201のデータを用いて所定の時間毎のアクセス数などを算出する後述で説明通信量算出部に対応する。ログ蓄積部109ログ蓄積部109は、プロキシログ201、端末操作ログ203、ローカルプロキシログ204を取り込み、蓄積する。ログ蓄積部109は、例えば、磁気ディスク装置などの記憶装置である。プロキシログ取り込み部101は、ログ蓄積部109が蓄積したプロキシログ201を入力する。また、端末操作ログ取り込み部103は、ログ蓄積部109が蓄積した端末操作ログ203を入力する。また、ローカルプロキシログ取り込み部104は、ログ蓄積部109が蓄積したローカルプロキシログ204を入力する。情報漏洩検知システム100の動作説明情報漏洩検知システム100の動作について説明する。端末操作ログ取り込み部103の処理図3は、端末操作ログ203の例を示す図である。図4は、端末操作ログ取り込み部103の処理の例を示すフローチャートである。図5は、WebアクセスURL情報303の例を示す図である。端末操作ログ取り込み部103は、端末操作ログ203と期間206と端末識別子205とを入力する。期間206は、ある特定の期間にマルウェアからWebアクセスがあったか否かを確認するために、例えばユーザが期間特定部200を用いて指定する期間である。例えば、2011/06/2309:00:00~2011/06/2318:00:00の期間にマルウェアからのWebアクセスの有無を調べる場合、期間特定部200は、期間206として2011/06/2309:00:00~2011/06/2318:00:00を指定する。端末操作ログ203は、各端末装置500にインストールされる端末操作記録アプリケーションが記録するログである。端末操作ログ203は、図3に示すフォーマットのように、例えば操作日時、端末識別子、ユーザ識別子、操作タイプ、操作内容が時系列順に記録される。ここで、操作日時は、ユーザが端末装置500の操作を行った日時である。端末識別子は、例えば端末装置500のIPアドレスである。ユーザ識別子は、例えば従業員の従業員番号などのID識別子、アイディーである。操作タイプは、例えば、ファイル生成、Webアクセスなどの操作の種別である。操作内容は、操作タイプに依存する記録である。端末操作記録アプリケーションの機能により、ユーザが、ブラウザのアドレスバーに入力したURLやWebサイトのコンテンツのリンクをクリックしてアクセスしたURLが端末操作ログ203に記録されている。例えば、図3に示すD2031は、2011/06/239:00:00に、IPアドレス192.168.1.2で識別される端末装置500が、UserID1234で識別される従業員の操作により、C:worksample.txtというファイルを生成したことを意味する。また、例えば、図3に示すD2033は、2011/06/2312:00:00に、IPアドレス192.168.1.2で識別される端末装置500が、UserID1234で識別される従業員の操作により、http://○○○.123-sample.△△△/に対してGETメソッドを送信Webアクセスしたことを意味する。ここで、実施の形態の説明において示されるURL例えば、前述のhttp://○○○.123-sample.△△△/は、あくまで例として挙げられたものであり、実在のURLとは無関係である。ここで、図3のD2033に示される操作タイプWebアクセスのように、端末装置500がWebアクセスする場合を説明する。ユーザが端末装置500を用いてWebアクセスする場合、ユーザは端末装置500に対してアクセス先のアドレスを指示するアドレス指示操作を行う。ユーザは、このアドレス指示操作により、端末装置500に対してWebアクセスを指示する。すなわち、このアドレス指示操作は、ユーザが端末装置500に対してアクセス先のアドレスを指示すると共に、ユーザが端末装置500に対して指示したアドレスに端末装置500がWebアクセスを行うよう指示している。そして、このアドレス指示操作が端末操作ログ203例えば、図3においては、Webアクセスのように表記されている。このアドレス指示操作によるアドレスが端末操作ログ203には示されている例えば、図3のD2033ではhttp://○○○.123-sample.△△△/。そして、端末装置500は、プロキシサーバ装置600にアクセス先として、このアドレスを通知する。そして、端末装置500は、前述の通りプロキシサーバ装置600を利用してWebアクセスを行う。すなわち、端末操作ログ203は、ユーザが端末装置500に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて端末装置500がプロキシサーバ装置600にアクセス先として通知したアドレスがアドレス指示操作と対応付けられて示されている。図4を用いて、端末操作ログ取り込み部103の動作を説明する。ここで、期間206は2011/06/2309:00:00~2011/06/2318:00:00、端末識別子205は、192.168.1.2が指定されているとする。まず、端末操作ログ取り込み部103は、端末操作ログ203の全てのエントリを入力したか否かを判定する図4のS401。ここで、端末操作ログ203などの情報を構成する行を以降エントリと称する。例えば図4のD2031の行が1つのエントリとなる。端末操作ログ取り込み部103は、全てのエントリを入力していなければ図4のS401のNO、入力していない端末操作ログ203のエントリを例えば操作日時の時系列順に入力する図4のS402。次に、端末操作ログ取り込み部103は、入力したエントリの操作日時が期間206の範囲内か否かを判定する図4のS403。操作日時が期間206の範囲内であれば図4のS403のYES、端末操作ログ取り込み部103は、入力したエントリの端末識別子が、端末識別子205と一致するか否かを判定する図4のS404。端末識別子が、端末識別子205と一致すれば図4のS404のYES、端末操作ログ取り込み部103は、入力したエントリの操作タイプがWebアクセスか否かを判定する図4のS405。操作タイプがWebアクセスであれば図4のS405のYES、端末操作ログ取り込み部103は、読み込んだエントリをWebアクセスURL情報303として出力する図4のS406。そして、図4のS401の処理に戻り、端末操作ログ取り込み部103は、端末操作ログ203の全てのエントリを入力するまで図4のS401のYES、図4のS401からS406の処理を繰り返す。例えば、図5に示すWebアクセスURL情報303a~303dのそれぞれ1行ずつが1つのWebアクセスURL情報である。そして、例えば、WebアクセスURL情報303a~303dでWebアクセスURL情報303のセットを構成している。すなわち、端末操作ログ取り込み部103は、図3に示す端末操作ログ203のエントリの内、期間206に操作日時が該当し、端末識別子が端末識別子205に該当し、操作タイプがWebアクセスであるエントリを抽出し、図5に示すWebアクセスURL情報303のセットを生成する。ローカルプロキシログ取り込み部104の処理図6は、ローカルプロキシログ204の例を示す図である。図7は、コンテンツ実体350の例を示す図である。図8は、ローカルプロキシログ取り込み部104の処理の例を示すフローチャートである。図9は、ローカルプロキシログエントリ304の例を示す図である。ローカルプロキシログ取り込み部104は、ローカルプロキシログ204と期間206と端末識別子205とからローカルプロキシログエントリ304を抽出する。ローカルプロキシログ204は、ローカルプロキシ550を利用して、端末装置500のブラウザなどのアプリケーションがWebアクセスして得たコンテンツの内容やWebアクセスして送出したコンテンツの内容が記録される。ローカルプロキシログ204は、図6に示すファーマットのように、例えばアクセス日時、端末識別子、アクセスしたWebサイトのURL、メソッドGET/POSTなど、ステータスコード、通信サイズ、コンテンツ実体350が時系列順に記録される。ここで、ローカルプロキシ550を有する端末装置500が、ローカルプロキシ550を利用してWebアクセスする場合は、まずユーザが例えば端末装置500の入力装置などを用いて、アクセス先のアドレスを指示する。そして、端末装置500はローカルプロキシ550を利用してアクセス先のアドレスをプロキシサーバ装置600に通知する。そして、端末装置500は、前述の通りプロキシサーバ装置600を利用し、更にローカルプロキシ550も利用してWebアクセスを行う。すなわち、ローカルプロキシログ204は、ローカルプロキシ550を有する端末装置500がユーザの指示に基づいてローカルプロキシ550を利用してプロキシサーバ装置600にアクセス先として通知したアドレスが示されている。例えば、図6に示すD3041の行が、端末装置500がローカルプロキシ550を介してWebサイトへアクセスした1件のエントリである。そして、図6において、コンテンツ実体350の部分コンテンツ実体の図示を省略しているが、実際には例えば図7に示すような内容が記録されている。図7に示す例では、httpGETの結果として得られたコンテンツが示されているが、POSTの場合は送付されたコンテンツが記録される。図8を用いて、ローカルプロキシログ取り込み部104の動作を説明する。ここで、期間206は2011/06/2309:00:00~2011/06/2318:00:00、端末識別子205は、192.168.1.2が指定されているとする。まず、ローカルプロキシログ取り込み部104は、ローカルプロキシログ204の全てのエントリを入力したか否かを判定する図8のS501。ローカルプロキシログ取り込み部104は、全てのエントリを入力していなければ図8のS501のNO、入力していないローカルプロキシログ204のエントリを例えばアクセス日時の時系列順に入力する図8のS502。次に、ローカルプロキシログ取り込み部104は、入力したエントリのアクセス日時が期間206の範囲内か否かを判定する図8のS503。アクセス日時が期間206の範囲内であれば図8のS503のYES、ローカルプロキシログ取り込み部104は、入力したエントリの端末識別子が、端末識別子205と一致するか否かを判定する図8のS504。端末識別子が、端末識別子205と一致すれば図8のS504のYES、ローカルプロキシログ取り込み部104は、読み込んだエントリをローカルプロキシログエントリ304として出力する図8のS505。そして、図8のS501の処理に戻り、ローカルプロキシログ取り込み部104は、ローカルプロキシログ204の全てのエントリを入力するまで図8のS501のYES、図8のS501からS505の処理を繰り返す。例えば、図9に示すローカルプロキシログエントリ304a~304dのそれぞれ1行ずつが1つのローカルプロキシログエントリである。そして、例えば、ローカルプロキシログエントリ304a~304dでローカルプロキシログエントリ304のセットを構成している。すなわち、ローカルプロキシログ取り込み部104は、図6に示すローカルプロキシログ204のエントリの内、期間206にアクセス日時が該当し、端末識別子が端末識別子205に該当するエントリを抽出し、図9に示すローカルプロキシログエントリ304のセットを生成する。ここで、図6に示すD3045のアクセス日時が、期間206に該当しない為、図9に示すローカルプロキシログエントリ304のセットには含まれていない。トップページURL特定部106の処理図10は、トップページURL特定部106の第1の処理の例を示すフローチャートである。図11は、トップページURL特定部106の第1の処理によって抽出されたURLリストの例を示す図である。図12は、トップページURL特定部106の第2の処理の例を示すフローチャートである。図13は、トップページURL情報306の例を示す図である。トップページURL特定部106は、WebアクセスURL情報303とローカルプロキシログエントリ304とを入力する。そして、トップページURL特定部106は、第1の処理として、WebアクセスURL情報303に含まれるURLを抽出する。そして、トップページURL特定部106は、第2の処理として、ローカルプロキシログエントリ304から第1の処理で抽出したWebアクセスURL情報303に含まれるURLと一致するエントリを抽出する。図10を用いて、トップページURL特定部106の動作第1の処理を説明する。最初にトップページURL特定部106は第1の処理として、WebアクセスURL情報303からURLWebアクセスURLを抽出し、リストを生成する。まず、トップページURL特定部106は、WebアクセスURL情報303を全て入力したか否かを判定する図10のS601。トップページURL特定部106は、全てのWebアクセスURL情報303を入力していなければ図10のS601のNO、入力していないWebアクセスURL情報303を例えばアクセス日時の時系列順に入力する図10のS602。次に、トップページURL特定部106は、入力したWebアクセスURL情報303のURLWebアクセスURLを抽出する図10のS603。次に、トップページURL特定部106は、入力したWebアクセスURL情報303の操作日時を抽出する図10のS604。そして、トップページURL特定部106は、抽出したURLWebアクセスURLと操作日時とを1つのエントリとしたリストを生成する。リストの例を図11に示す。そして、図10のS601の処理に戻り、トップページURL特定部106は、全てのWebアクセスURL情報303を入力するまで図10のS601のYES、図10のS601からS605の処理を繰り返す。具体例で説明する。例えば、WebアクセスURL情報303のセットが図5に示される例の場合、トップページURL特定部106は、最初に図5のWebアクセスURL情報303a2011/06/2310:00:00、192.168.1.2,UserID1234、Webアクセス、http://○○○.abc-sample.△△△/,GETを入力する図10のS602。そして、トップページURL特定部106は、WebアクセスURL情報303aから、URLhttp://○○○.abc-sample.△△△/を抽出し図10のS603、操作日時2011/06/2310:00:00を抽出する図10のS604。そして、トップページURL特定部106はhttp://○○○.abc-sample.△△△/、2011/06/2310:00:00を1つのエントリ図11のD1061としたリストを生成する。図12を用いて、トップページURL特定部106の動作第2の処理を説明する。トップページURL特定部106は第2の処理として、第1の処理で生成した例えば図11に示すリストに含まれるエントリのURLと操作日時とに一致するローカルプロキシログエントリ304を抽出する。ここで図12の図示は省略しているが、トップページURL特定部106は、第1の処理で生成した例えば図11に示すリストに含まれる全てのエントリに対して、図12の処理を行う。ここでは、トップページURL特定部106が第1の処理で抽出したエントリとして、図11のD1061に示されるエントリhttp://○○○.abc-sample.△△△/、2011/06/2310:00:00を例に説明する。まず、トップページURL特定部106は、ローカルプロキシログエントリ304を全て入力したか否かを判定する図12のS101。トップページURL特定部106は、全てのローカルプロキシログエントリ304を入力していなければ図12のS101のNO、入力していないローカルプロキシログエントリ304を例えばアクセス日時の時系列順に入力する図12のS102。ここで、例えば、トップページURL特定部106は、図9のローカルプロキシログエントリ304a2011/06/2310:00:00、192.168.1.2、http://○○○.abc-sample.△△△/、GET、200、1000、コンテンツ実体を入力したとする。そして、トップページURL特定部106は、第1の処理で抽出したエントリにおけるWebアクセスURLであるhttp://○○○.abc-sample.△△△/と一致するURLがローカルプロキシログエントリ304aに含まれるか否かを判定する。また、トップページURL特定部106は、第1の処理で抽出したエントリにおける操作日時である2011/06/2310:00:00とローカルプロキシログエントリ304aのアクセス日時とが一致するか否かを判定する図12のS103。そして、第1の処理で抽出したエントリにおけるURLとローカルプロキシログエントリ304aに含まれるURLとが一致し、第1の処理で抽出したエントリにおける操作日時とローカルプロキシログエントリ304aのアクセス日時とが一致するので図12のS103のYES、処理はS104に進められる。そして、図12において、図示は省略するが、トップページURL特定部106は図12のS103においてYESと判定されたローカルプロキシログエントリ304aから、トップページURL情報306を生成する。この場合、トップページURL情報306aは、図13に示す例のようになる。すなわち、URLとローカルプロキシログ204におけるアクセス日時と端末識別子とメソッドとステータスと通信サイズとが含まれた情報をトップページURL情報306と称する。そして、トップページURL情報306に示されるURLをトップページURLと称する。そして、トップページURL情報306が生成される毎に、図12のS104の処理が行われるが、このS104の処理は、ブラウザアクセスURL特定部107によって行われるため、後述で説明する。そして、図12のS101の処理に戻り、トップページURL特定部106は、ローカルプロキシログエントリ304の全てのエントリを入力するまで図12のS101のYES、図12のS101からS103の処理を繰り返す。また、ブラウザアクセスURL特定部107は、トップページURL情報306が生成される毎に、図12のS104の処理を行う。ブラウザアクセスURL特定部107の処理図14は、ブラウザアクセスURL特定部107の処理の例を示すフローチャートである。なお、図14のフローチャートは、図12のS104の処理を詳細に示したものである。図15は、トップページ内URL606の例を示す図である。図16は、ブラウザアクセスURL情報307の例を示す図である。前述の例において、トップページURL特定部106が図12のS102において、入力したローカルプロキシログエントリ304aは2011/06/2310:00:00、192.168.1.2、http://○○○.abc-sample.△△△/、GET、200、1000、コンテンツ実体である。ここで、コンテンツ実体350は前述の通り、例えば、実際には図7に示されるような情報である。つまりコンテンツ実体350は、端末装置500がWebアクセスした結果得られたhtmlコンテンツの実体である。図14を用いてブラウザアクセスURL特定部107の動作を説明する。ここで、コンテンツ実体350は、図7に示す例を用いる。前述のように、トップページURL特定部106がトップページURL情報306を生成すると、ブラウザアクセスURL特定部107は、トップページURL特定部106が入力したローカルプロキシログエントリ304とトップページURL特定部106が生成したトップページURL情報306とを入力し、図14に示す処理を行う。まず、ブラウザアクセスURL特定部107は、コンテンツ実体350の内容をコンテンツ実体350の最初の行から1行入力する図14のS201。具体的には、ブラウザアクセスURL特定部107は図7のD3501に示される<htmllang=ja>を入力する。次に、ブラウザアクセスURL特定部107は、入力した内容が<html>タグであるか否かを判定する図14のS202。すなわち、この処理により、ブラウザアクセスURL特定部107はhtmlコンテンツの始まりか否かを判定している。この場合、<htmllang=ja>は<html>タグである図14のS202のYES。更に、ブラウザアクセスURL特定部107は、コンテンツ実体350の内容をコンテンツ実体350の行の順番通りに1行入力する図14のS203。そして、ブラウザアクセスURL特定部107は、入力したコンテンツ実体350の内容にサブコンテンツのURLが含まれるか否かを判定する図14のS204。ここで、サブコンテンツとは、例えば<a>タグにおけるhref=に続くURLや、<imgsrc>タグにおけるsrc属性のURLや、動画表示用タグにおけるURLなどである。つまり、コンテンツ実体350には、htmlコンテンツが自動で取得するサブコンテンツimgsrcで指定される画像、動画表示用タグで指定される動画などや、リンクされるサブコンテンツ<a>タグで指定されるURLなどが記載されている。ブラウザアクセスURL特定部107は、図14のS203で読み込んだコンテンツ実体350の内容にサブコンテンツのURLが含まれる場合図14のS204のYESは、サブコンテンツのURLをトップページ内URLに設定する図14のS205。そして、ブラウザアクセスURL特定部107は図14のS203の処理を再度行う。ここで、トップページ内URLとは、端末装置500がトップページURLでアクセスしたWebサイトが自動で取得するコンテンツやリンクされるコンテンツのURLを意味しており、トップページに付随して得られるコンテンツのURLを意味する。ブラウザアクセスURL特定部107は、図14のS203で読み込んだコンテンツ実体350の内容にサブコンテンツのURLが含まれない場合図14のS204のNOは、読み込んだコンテンツ実体350の内容が</html>タグが否かを判定する図14のS206。この処理により、ブラウザアクセスURL特定部107は、htmlコンテンツの終わりか否かを判定している。読み込んだコンテンツ実体350の内容が</html>タグである場合、ブラウザアクセスURL特定部107は処理を終了図14のS206のYESする。そして、トップページURL特定部106から入力したトップページURL情報306と設定したトップページ内URL606とからブラウザアクセスURL情報307を生成する。すなわち、トップページURL情報306とトップページURL情報306の各エントリ各行に対応づけられたトップページ内URL606とを合わせた情報をブラウザアクセスURL情報307と称する。その後、トップページURL特定部106が引き続き、図12のS101の処理を行う。一方、読み込んだコンテンツ実体350の内容が</html>タグでない場合、ブラウザアクセスURL特定部107は、図14のS203の処理を再度行う。ブラウザアクセスURL特定部107が、図14に示す処理を実行することにより、図7に示されるコンテンツ実体350の例から設定したトップページ内URL606の例を図15に示す。そして、トップページURL特定部106が図12に示す処理を実行し、図6に示されるローカルプロキシログエントリ304からトップページURL情報306を生成し、更に、ブラウザアクセスURL特定部107がトップページURL情報306毎に対しトップページ内URL606を設定したブラウザアクセスURL情報307の例を図16に示す。例えば、図16に示すブラウザアクセスURL情報307a~307dのそれぞれ1行ずつが1つのブラウザアクセスURL情報である。そして、例えば、ブラウザアクセスURL情報307a~307dでブラウザアクセスURL情報307のセットを構成している。そして、例えば、図16のブラウザアクセスURL情報307aのトップページ内URLは、図示を省略しているが、実際には図15に示すようなトップページ内URL606の内容が記録されている。ローカルプロキシログ取り込み部104の処理図17は、プロキシログ201の例を示す図である。図18は、プロキシログ取り込み部101の処理の例を示すフローチャートである。図19は、プロキシログエントリ301の例を示す図である。プロキシログ取り込み部101は、プロキシログ201と期間206と端末識別子205とを入力する。プロキシログ201は、図17に示すフォーマットのように、例えばアクセス日時、端末識別子、アクセスしたWebサイトのURL、メソッドGET/POSTなど、ステータスコード、通信サイズが時系列順に記録される。また、プロキシログ201には、プロキシサーバ装置600に接続された全ての端末装置500からの全てのWebアクセスが記録される。ただし、図17では、端末識別子192.168.1.2以外の端末装置500のWebアクセスの図示を省略している。ここで、全てのWebアクセスとは、例えば、ブラウザや、Web通信を行うアプリケーションや、Web通信を行うマルウェアなどによるWebアクセスである。そして、プロキシログ201には、これらのWebアクセス毎にプロキシサーバ装置600がアクセスを行ったアクセス先のアドレスが示されている。すなわち、プロキシログ201は、プロキシサーバ装置600が行ったアクセス毎にアクセス先のアドレスが示されている。なお、図17に示すプロキシログ201の例えば、http://○○○.abc-sample.△△△/のコンテンツが自動で取得したコンテンツの記録を説明する。プロキシサーバ装置600がhttp://○○○.abc-sample.△△△/にアクセスした結果、プロキシサーバ装置600が取得したコンテンツの中に、画像や動画などを取り込むタグが記録されていた場合に、プロキシサーバ装置600は、httpでそれらの画像や動画を自動的に取得する。そして、それらの画像や動画もプロキシログ201に記録されていることを意味している。図18を用いて、プロキシログ取り込み部101の動作を説明する。ここで、期間206は2011/06/2309:00:00~2011/06/2318:00:00、端末識別子205は、192.168.1.2が指定されているとする。まず、プロキシログ取り込み部101は、プロキシログ201の全てのエントリを入力したか否かを判定する図18のS701。プロキシログ取り込み部101は、全てのエントリを入力していなければ図18のS701のNO、入力していないプロキシログ201のエントリを例えばアクセス日時の時系列順に入力する図18のS702。次に、プロキシログ取り込み部101は、入力したエントリのアクセス日時が期間206の範囲内か否かを判定する図18のS703。アクセス日時が期間206の範囲内であれば図18のS703のYES、プロキシログ取り込み部101は、入力したエントリの端末識別子が、端末識別子205と一致するか否かを判定する図18のS704。端末識別子が、端末識別子205と一致すれば図18のS704のYES、プロキシログ取り込み部101は、読み込んだエントリをプロキシログエントリ301として出力する図18のS705。そして、図18のS701の処理に戻り、プロキシログ取り込み部101は、プロキシログ201の全てのエントリを入力するまで図18のS701のYES、図18のS701からS705の処理を繰り返す。例えば、図19に示すプロキシログエントリ301a~301fのそれぞれ1行ずつが1つのプロキシログエントリである。そして、例えば、プロキシログエントリ301a~301fでプロキシログエントリ301のセットを構成している。すなわち、プロキシログ取り込み部101は、図17に示すプロキシログ201のエントリの内、期間206にアクセス日時が該当し、端末識別子が端末識別子205に該当するエントリを抽出し、図19に示すプロキシログエントリ301のセットを生成する。URLホワイトリスト取り込み部102の処理図20は、URLホワイトリスト取り込み部102の処理の例を示すフローチャートである。図21は、URLホワイトリスト202の例を示す図である。図22は、ホワイトURL302の例を示す図である。URLホワイトリスト取り込み部102は、URLホワイトリスト202を入力する。URLホワイトリスト202は、例えば企業などの組織でアクセスが許可されたURLのリストであり、図21に示すフォーマットのように、例えばURL、備考が記録される。URLホワイトリスト取り込み部102は、URLホワイトリスト202の各エントリの最初の要素であるURLを抽出し、ホワイトURL302として出力する。図20を用いて、URLホワイトリスト取り込み部102の動作を説明する。まず、URLホワイトリスト取り込み部102は、URLホワイトリスト202の全てのエントリを入力したか否かを判定する図20のS801。URLホワイトリスト取り込み部102は、全てのエントリを入力していなければ図20のS801のNO、入力していないURLホワイトリスト202のエントリを入力する図20のS802。次に、URLホワイトリスト取り込み部102は、入力したエントリのURLを抽出する図20のS803。そして、URLホワイトリスト取り込み部102は、抽出したURLをホワイトURL302として出力する図20のS804。そして、図20のS801の処理に戻り、URLホワイトリスト取り込み部102は、URLホワイトリスト202の全てのエントリを入力するまで図20のS801のYES、図20のS801からS804の処理を繰り返す。例えば、図22に示すホワイトURL302a~302bのそれぞれ1行ずつが1つのホワイトURLである。そして、例えば、ホワイトURL302a~302bでホワイトURL302のセットを構成している。グレーURL特定部105の処理グレーURL特定部105の処理を第1の例と第2の例とに分けて説明する。グレーURL特定部105の処理の第1の例図23は、グレーURL特定部105の処理の第1の例を示すフローチャートである。図24は、グレーURL特定部105の第1の例の処理によるグレーURL情報305の例を示す図である。図23を用いて、グレーURL特定部105の処理の第1の例を説明する。グレーURL特定部105は、プロキシログエントリ301プロキシログエントリ301のセットとホワイトURL302ホワイトURL302のセットとを入力する図23のS2301。ここで、プロキシログエントリ301は、図19に示す例とし、ホワイトURL302は図22に示す例とする。なお、プロキシログエントリ301プロキシログエントリ301のセットは、前述の通りプロキシログ201から抽出されたものであり、プロキシログエントリ301プロキシログエントリ301のセットに示されるURLアドレスは、前述の通りプロキシログ201に示されるURLアドレスである。そして、ホワイトURL302は、URLホワイトリスト202正当アドレス情報に示されるアドレスである。そして、グレーURL特定部105は、プロキシログエントリ301のセットの内、ホワイトURL302が含まれるプロキシログエントリ301を削除する図23のS2302。具体的には、図19に示すプロキシログエントリ301aに、図22に示すホワイトURL302aが含まれ、図19に示すプロキシログエントリ301dに、図22に示すホワイトURL302bが含まれる。よって、グレーURL特定部105は、プロキシログエントリ301のセットの内、プロキシログエントリ301aとプロキシログエントリ301dとを削除する。ここで、ホワイトURL302が含まれるプロキシログエントリ301を削除するとは、換言すると、ホワイトURL302以外のURLが含まれるプロキシログエントリ301を抽出することである。つまり、グレーURL特定部105は、実質的にホワイトURL302以外のURLをプロキシログエントリ301のセットから抽出している。すなわち、グレーURL特定部105は、プロキシログエントリ301のセットプロキシログ201に示されるURLアドレスの内、URLホワイトリスト202正当アドレス情報に示されていないURLアドレスを抽出する。換言すると、グレーURL情報305は、プロキシログエントリ301のセットプロキシログ201に示されるURLの内、URLホワイトリスト202正当アドレス情報に示されていないURLを示す情報である。そして、グレーURL特定部105は、編集したプロキシログエントリ301のセットすなわち、ホワイトURL302が含まれるプロキシログエントリ301を削除したプロキシログエントリ301のセットをグレーURL情報305として出力する図23のS2303。グレーURL情報305の例を図24に示す。ここで、図24の例は、プロキシログエントリ301に含まれるURL以外の情報例えばアクセス日時、端末識別子なども含まれているが、グレーURL情報305は、WebサイトのURLの情報のみであってもも良い。グレーURL特定部105の処理の第2の例図25は、グレーURL特定部105の処理の第2の例を示すフローチャートである。図26は、グレーURL特定部105の第2の例の処理によるグレーURL情報305の例を示す図である。次に図25を用いて、グレーURL特定部105の処理の第2の例を説明する。グレーURL特定部105は、プロキシログエントリ301プロキシログエントリ301のセットとホワイトURL302ホワイトURL302のセットとに加えて、ブラウザアクセスURL情報307ブラウザアクセスURL情報307のセットを入力する図25のS2401。ここで、プロキシログエントリ301は、図19に示す例とし、ホワイトURL302は図22に示す例とし、ブラウザアクセスURL情報307は図16に示す例とする。更に、ブラウザアクセスURL情報307aに含まれるトップページ内URL606は、図15に示す例とする。図16には、ブラウザアクセスURL情報307a~307dの4つが示されており、それぞれに対応したトップページ内URL606が存在し得る。しかし、ここでは、ブラウザアクセスURL情報307b~307dに対応するトップページ内URL606は無いものと想定する。そして、グレーURL特定部105は、ホワイトURL302で示されるWebサイトが自動で取得するコンテンツやリンクされるコンテンツのURLを抽出する。すなわち、グレーURL特定部105は、ホワイトURL302に対応するトップページ内URL606を抽出する図25のS2402。具体的には、グレーURL特定部105は、入力したブラウザアクセスURL情報307のセットから、例えば図22のホワイトURL302ahttp://○○○.abc-sample.△△△/に一致するURLを含むブラウザアクセスURL情報307を選択する。この場合、グレーURL特定部105は、http://○○○.abc-sample.△△△/が含まれている、図16に示すブラウザアクセスURL情報307aを選択する。そして、グレーURL特定部105は、ブラウザアクセスURL情報307aのトップページ内URL606を抽出する。そして、グレーURL特定部105は、プロキシログエントリ301のセットの内、入力したホワイトURL302と、入力したホワイトURL302のそれぞれに対応するトップページ内URL606とのいずれかが含まれるプロキシログエントリ301を削除する図25のS2403。そして、グレーURL特定部105は、編集したプロキシログエントリ301のセットをグレーURL情報305として出力する図25のS2404。グレーURL情報305の具体例を図26に示す。グレーURL特定部105の第1の例の処理によるグレーURL情報305の例図24には、図24のD2504に示される情報http://○○○.sample1.△△△/のURLが示される情報が含まれている。一方、図15のD6061に示されるトップページ内URL606にhttp://○○○.sample1.△△△/が有る。従って、グレーURL特定部105は、第2の例の処理において、プロキシログエントリ301のセット図19の内プロキシログエントリ301fを削除して、グレーURL情報305を出力する。よって、グレーURL特定部105の第2の例の処理によるグレーURL情報305の例図26には、http://○○○.sample1.△△△/のURLが示される情報が含まれていない。ブラックURL特定部108の処理ブラックURL特定部108の処理を第1~第4の例に分けて説明する。ブラックURL特定部108の処理の第1の例図27は、ブラックURL特定部108の処理の第1の例と第2の例とを示すフローチャートである。図28は、ブラックURL208の例を示す図である。図27を用いて、ブラックURL特定部108の処理の第1の例を説明する。ブラックURL特定部108は、グレーURL情報305とブラウザアクセスURL情報307ブラウザアクセスURL情報307のセットとを入力する図27のS2601。ここで、グレーURL情報305は、前述のグレーURL特定部105の第1の例で処理された情報でも、前述のグレーURL特定部105の第2の例で処理された情報でも良い。ここでは、グレーURL情報305は、前述のグレーURL特定部105の第2の例で処理された情報として、図26に示す具体例で説明を行う。すなわち、グレーURL情報305に示されるURLは、プロキシログエントリ301に示されるURLから、ホワイトURL302とトップページ内URL606とに示されるURLが除外されたものである。また、ブラウザアクセスURL情報307は図16に示す例とする。そして、ブラックURL特定部108は、グレーURL情報305のエントリから、ブラウザアクセスURL情報307のURLが含まれるエントリを削除する図27のS2602。なお、ブラックURL特定部108の処理の第1の例の場合、ブラックURL特定部108は、グレーURL情報305のエントリから、ブラウザアクセスURL情報307の内、トップページURL情報306の部分に示されるURLが含まれるエントリを削除する。例えば、図26のD2601の行に示すグレーURL情報305のエントリは、図16のブラウザアクセスURL情報307bのトップページURL情報306部分に示されるURLが含まれる。よって、ブラックURL特定部108は、グレーURL情報305から図26のD2601の行に示すグレーURL情報305のエントリを削除する。なお、ここで、例えば、図26のD2601の行に示すグレーURL情報305のエントリのhttp://○○○.123-sample.△△△/のコンテンツが自動で取得したコンテンツの記録に示されるURLと、図16のブラウザアクセスURL情報307bのトップページ内URLに示されるURLとは、重複する。したがって、ブラックURL特定部108は、グレーURL情報305のエントリのhttp://○○○.123-sample.△△△/のコンテンツが自動で取得したコンテンツの記録に示されるURLも、グレーURL情報305のエントリの一部として削除して構わない。そして、ブラックURL特定部108は、編集後のグレーURL情報305をブラックURL情報250とし、ブラックURL情報250からブラックURL208を抽出する図27のS2603。ブラックURL情報250の具体例を図28に示す。ここで、ブラックURL情報250例えば図28に示す例に含まれるURLの情報を例えばhttp://○○○.789-sample.△△△/を、ブラックURL208と称する。そして、図28に示すhttp://○○○.789-sample.△△△/のコンテンツが自動で取得したコンテンツの記録にもURLの情報が含まれる場合がある。その場合、ブラックURL特定部108は、このURLをブラックURL208として抽出しても良い。なお、ブラウザアクセスURL情報307のトップページURL情報306部分に示されるURLは、例えば端末操作ログ203などのユーザ指示情報に示されるURLであり、ユーザがブラウザを用いて端末装置500にアクセスを指示したURLである。そして、ブラックURL特定部108の処理の具体例として、図26に示すグレーURL特定部105の第2の例で処理された情報を示した。ここで、グレーURL特定部105の処理の第1の例と第2の例とのいずれも、グレーURL情報305は、プロキシログエントリ301に示されるURLから、ホワイトURL302に示されるURLが除外されたものである。グレーURL特定部105の処理の第2の例のグレーURL情報305は、トップページ内URL606に示されるURLが追加で除外されている。すなわち、グレーURL情報305は、プロキシログエントリ301のセットプロキシログ201に示されるURLの内、URLホワイトリスト202正当アドレス情報に示されていないURLを示す情報である。そして、ブラックURL208は、グレーURL情報305に示されるURLの内、トップページURL情報306ユーザ指示情報に示されないURLである。すなわち、ブラックURL208は、プロキシログエントリ301のセットプロキシログ201に示されるURLの内、URLホワイトリスト202正当アドレス情報とトップページURL情報306ユーザ指示情報とのいずれにも示されていないURLである。換言すると、ブラックURL特定部108は、プロキシログエントリ301のセットプロキシログ201に示されるURLアドレスの内、URLホワイトリスト202正当アドレス情報とトップページURL情報306ユーザ指示情報とのいずれにも示されていないURLアドレスを抽出する。つまり、ブラックURL208とは、例えば企業などの組織に許可されたホワイトURL302ではなく、かつ、ユーザの操作によるブラウザからアクセスではないURLである。その為、ブラックURL208は、マルウェアの通信によるアクセス先URLであると考えられる。ブラックURL特定部108の処理の第2の例次に図27を用いて、ブラックURL特定部108の処理の第2の例を説明する。ブラックURL特定部108は、グレーURL情報305とブラウザアクセスURL情報307ブラウザアクセスURL情報307のセットとを入力する図27のS2601。ここで、グレーURL情報305は、前述のグレーURL特定部105の第1の例で処理された情報であり、図24に示す例とする。すなわち、グレーURL情報305に示されるURLは、プロキシログエントリ301に示されるURLから、ホワイトURL302に示されるURLが除外されたものである。また、ブラウザアクセスURL情報307は図16に示す例とし、ブラウザアクセスURL情報307aに含まれるトップページ内URL606は、図15に示す例とする。ここで、グレーURL特定部105の処理における説明と同様に、ブラウザアクセスURL情報307b~307dに対応するトップページ内URL606は無いものと想定する。そして、ブラックURL特定部108は、グレーURL情報305のエントリから、ブラウザアクセスURL情報307のURLが含まれるエントリを削除する図27のS2602。ここで、ブラックURL特定部108の処理の第1の例と同様に、ブラックURL特定部108は、グレーURL情報305のエントリから、ブラウザアクセスURL情報307の内、トップページURL情報306の部分に示されるURLが含まれるエントリを削除する。そして、更に、ブラックURL特定部108は、ブラックURL特定部108の処理の第2の例の場合、グレーURL情報305のエントリから、ブラウザアクセスURL情報307の内、トップページ内URL606の部分に示されるURLが含まれるエントリも削除する。例えば、図24のD2501の行に示すグレーURL情報305のエントリは、図16のブラウザアクセスURL情報307bのトップページURL情報306部分に示されるURLが含まれる。よって、ブラックURL特定部108は、グレーURL情報305から図24のD2501の行に示すグレーURL情報305のエントリを削除する。更に、図24のD2504の行に示すグレーURL情報305のエントリは、図15のD6061の行に示されるトップページ内URL606のURLが含まれる。よって、ブラックURL特定部108は、グレーURL情報305から図24のD2504の行に示すグレーURL情報305のエントリを削除する。そして、ブラックURL特定部108は、編集後のグレーURL情報305をブラックURL情報250とし、ブラックURL情報250からブラックURL208を抽出する図27のS2603。結果的に、ブラックURL特定部108の処理の第1の例と、第2の例とによるブラックURL208は、図28に示すように同内容になる。なお、ブラウザアクセスURL情報307のトップページURL情報306部分に示されるURLは、前述の通り、ユーザ指示情報に示されるURLである。そして、ブラウザアクセスURL情報307のトップページ内URL606に示されるURLは、ユーザ指示情報に示されるURLのウェブページにリンクなどで関連付けされているURLが示される関連アドレス情報である。すなわち、ローカルプロキシログ取り込み部104は、ユーザ指示情報に示されるアドレスのウェブページに関連付けされているアドレスが示される関連アドレス情報を入力している。そして、前述のように、グレーURL情報305は、プロキシログエントリ301のセットプロキシログ201に示されるURLの内、URLホワイトリスト202正当アドレス情報に示されていないURLを示す情報である。そして、ブラックURL208は、グレーURL情報305に示されるURLの内、トップページURL情報306ユーザ指示情報とトップページ内URL606とに示されないURLである。すなわち、ブラックURL208は、プロキシログエントリ301のセットプロキシログ201に示されるURLの内、URLホワイトリスト202正当アドレス情報とトップページURL情報306ユーザ指示情報とトップページ内URL606関連アドレス情報とのいずれにも示されていないURLである。換言すると、ブラックURL特定部108は、プロキシログエントリ301のセットプロキシログ201に示されるURLアドレスの内、URLホワイトリスト202正当アドレス情報とトップページURL情報306ユーザ指示情報とトップページ内URL606関連アドレス情報とのいずれにも示されていないURLアドレスを抽出する。ブラックURL特定部108の処理の第3の例図29は、ローカルプロキシログ204を使用しない場合のブラウザアクセスURL情報307の例を示す図である。図29を用いて、ブラックURL特定部108の処理の第3の例を説明する。ブラックURL特定部108の処理の第1の例は、ローカルプロキシログ204を使用したが、ブラックURL特定部108の処理の第2の例では、ローカルプロキシログ204を使用しない場合を説明する。この場合、ローカルプロキシログ取り込み部104、トップページURL特定部106、ブラウザアクセスURL特定部107は、使用されない。そして、ブラックURL特定部108は、端末操作ログ取り込み部103が出力するWebアクセスURL情報303をブラウザアクセスURL情報307として入力する。ここで、ローカルプロキシログ204を使用しない場合のブラウザアクセスURL情報307の例を図29に示す。ここで、メソッド、ステータス、通信サイズ、トップページ内URLがNULLとなっているのは、ローカルプロキシログ204を使用しない為、情報が無いことを示している。その他の処理は、ブラックURL特定部108の処理の第1の例と同じである為、説明を省略する。なお、ローカルプロキシログ204を使用しないので、トップページ内URL606の情報が無く、グレーURL特定部105における処理は、前述の第1の例に示す処理となる。ブラックURL特定部108の処理の第4の例ブラックURL特定部108の処理の第4の例を説明する。ブラックURL特定部108の処理の第4の例は、端末操作ログ203とローカルプロキシログ204とを使用しない場合を説明する。この場合、端末操作ログ取り込み部103、ローカルプロキシログ取り込み部104、トップページURL特定部106、ブラウザアクセスURL特定部107は使用されない。従って、ブラウザアクセスURL情報307も生成されない。そして、ローカルプロキシログ204を使用しないので、トップページ内URL606の情報が無く、グレーURL特定部105における処理は、前述の第1の例に示す処理となる。ブラックURL特定部108は、グレーURL特定部105が前述の第1の例の処理により出力したグレーURL情報305を入力し、入力したグレーURL情報305をブラックURL情報250とし、ブラックURL208を抽出する。ブラウザアクセスURL情報307の保存処理ブラウザアクセスURL情報307の保存処理を第1の例と第2の例とに分けて説明する。ブラウザアクセスURL情報307の保存処理の第1の例図30は、ブラウザアクセスURL情報307保存処理の第1の例を示すフローチャートである。情報漏洩検知システム100の記憶装置例えば磁気ディスク装置は、ブラウザアクセスURL情報307を記憶する。そして、情報漏洩検知システム100の記憶装置は、情報漏洩検知システム100が動作する毎に、既に記憶しているブラウザアクセスURL情報307に新しいブラウザアクセスURL情報307を追加して記憶する。従って、情報漏洩検知システム100を動作させる度に、ブラウザアクセスURL情報307は増える。図30を用いて、ブラウザアクセスURL情報307の保存処理の第1の例を説明する。まず、ブラウザアクセスURL特定部107は、図12と図14とに示す処理で、ブラウザアクセスURL情報307を生成した際に、記憶装置に記憶されているブラウザアクセスURL情報307記憶装置に記憶されているブラウザアクセスURL情報307を保存ブラウザアクセスURL情報と称するが有るか否かを判定する図30のS901。保存ブラウザアクセスURL情報が有れば図30のS901のYES、ブラウザアクセスURL特定部107は、記憶装置から保存ブラウザアクセスURL情報を入力する図30のS902。次に、ブラウザアクセスURL特定部107は、入力した保存ブラウザアクセスURL情報に生成したブラウザアクセスURL情報307を追加する図30のS903。そして、ブラウザアクセスURL特定部107は、編集保存ブラウザアクセスURL情報に生成したブラウザアクセスURL情報307を追加した情報をブラウザアクセスURL情報307として出力する図30のS904。更に、ブラウザアクセスURL特定部107は、編集した情報を保存ブラウザアクセスURL情報として記憶装置に入力し、記憶装置は新たな保存ブラウザアクセスURL情報を記憶する図30のS906。1回でもブラウザアクセスURL特定部107によりブラウザアクセスURL情報307が生成された場合は、記憶装置に保存ブラウザアクセスURL情報が存在する。しかし、例えば情報漏洩検知システム100の初回動作時など、記憶装置に保存ブラウザアクセスURL情報が存在しない場合図30のS901のNO、ブラウザアクセスURL特定部107は生成したブラウザアクセスURL情報307をそのまま出力する図30のS905。そして、記憶装置は、ブラウザアクセスURL特定部107により生成されたブラウザアクセスURL情報307を保存ブラウザアクセスURL情報として記憶する図30のS906。あるいは、記憶装置に記憶される保存ブラウザアクセスURL情報は、情報漏洩検知システム100が停止電源オフされる毎に消去されても良い。ブラウザアクセスURL情報307の保存処理の第2の例図31は、ブラウザアクセスURL情報307保存処理の第2の例を示すフローチャートである。保存ブラウザアクセスURL情報は、一定の期間例えば1日が経過した場合に消去され、該当する情報が消去されても良い。図31を用いて、ブラウザアクセスURL情報307の保存処理の第2の例を説明する。まず、ブラウザアクセスURL特定部107は、図12と図14とに示す処理で、ブラウザアクセスURL情報307を生成した際に、保存ブラウザアクセスURL情報が有るか否かを判定する図31のS1001。保存ブラウザアクセスURL情報が無ければ図31のS1001のNO、ブラウザアクセスURL特定部107は、生成したブラウザアクセスURL情報307を出力する図31のS1008。更に、ブラウザアクセスURL特定部107は、生成したブラウザアクセスURL情報307をエントリ毎に各行毎にタイムスタンプと対応付けて、保存ブラウザアクセスURL情報として記憶装置に入力する。そして、記憶装置はタイムスタンプに対応付けられた各エントリ各行から成る保存ブラウザアクセスURL情報を記憶する図31のS1009。一方、保存ブラウザアクセスURL情報が有れば図31のS1001のYES、ブラウザアクセスURL特定部107は、保存ブラウザアクセスURL情報を入力する図31のS1002。次に、ブラウザアクセスURL特定部107は、入力した保存ブラウザアクセスURL情報に生成したブラウザアクセスURL情報307をエントリ毎に各行毎にタイムスタンプと対応付けて、追加する図31のS1003。この時、ブラウザアクセスURL特定部107は、入力した保存ブラウザアクセスURL情報のエントリ毎に各行毎に対応付けられているタイムスタンプは変更しない。そして、ブラウザアクセスURL特定部107は、編集した情報をブラウザアクセスURL情報307として出力する図31のS1004。更に、ブラウザアクセスURL特定部107は、編集した情報を保存ブラウザアクセスURL情報として記憶装置に入力し、記憶装置は新たな保存ブラウザアクセスURL情報を記憶する図31のS1005。そして、ブラウザアクセスURL特定部107は、記憶装置に保存ブラウザアクセスURL情報が存在し、予め設定された保存期間を過ぎたタイムスタンプが対応付けられているエントリが保存ブラウザアクセスURL情報に含まれているか否かを判定する図31のS1006。この予め設定された保存期間も例えば、情報漏洩検知システム100の記憶装置に記憶されている。例えば、保存期間が1日と設定されている場合、ブラウザアクセスURL特定部107は、保存ブラウザアクセスURL情報のエントリの内、対応付けられているタイムスタンプに24時間を足した日時が現日時を超えているエントリが含まれているか否かを判定する。該当のエントリが含まれていれば図31のS1006のYES、ブラウザアクセスURL特定部107は、保存ブラウザアクセスURL情報から該当のエントリと該当のエントリに対応付けられたタイムスタンプとを消去する図31のS1007。そして、記憶装置は、ブラウザアクセスURL特定部107が編集した情報を新たな保存ブラウザアクセスURL情報として記憶する。実施の形態1の効果図32は、従来の情報漏洩検知システム100の課題の例を示す図である。例えば、マルウェアが感染した端末装置500は、ネットワーク150例えばインターネット上のCCComandControlサーバとHTTP通信を行う。そこで、従来、標的型攻撃へ対策する方法として、この点に着目し、HTTP通信を検知する方法が考えられている。そして、例えば企業などの組織におけるインターネットとの通信はHTTPが殆どであり、全てのHTTPまたはHTTPSHyperTextTransferProtocoloverSecureSocketLayer通信は、プロキシサーバ装置600を経由する。よって、HTTPの通信を記録するプロキシログ201を分析することで特定する方法がある。しかし、組織においてプロキシログ201は大量である。そして、一方CCサーバとの通信はわずかで、その挙動はユーザからは認識されず、目立たないためプロキシログ201からCCサーバとの通信を発見することは困難である。すなわち、わずかなマルウェアの通信を大量のプロキシログ201から発見するのは困難という課題がある図32のC101。また、プロキシログを見ただけでは、ユーザが意図してアクセスしたのか、何かのプログラムがユーザの意図とは関係なくアクセスしたのか判断できないという課題がある図32のC102。また、従来、URLフィルタによりマルウェアの通信を遮断する製品が複数存在する。一般的にURLフィルタではアクセスを禁止すべきURLのブラックリストを設けるか、アクセスを許可するURLのホワイトリストを作成しアクセスを制御する。しかし、通信を許可すべきではない怪しいWebサイトは次々に現れるため、ブラックリストを完全に作ることは困難である。従って、URLフィルタの設定に完全なものはなく、管理者のスキルに依存して設定される。URLフィルタの設定によってはURLアクセスを禁止すべきマルウェアの通信を特定できないマルウェアのアクセスURLが漏れるという課題がある図32のC103。一方、本実施の形態における情報漏洩検知システム100は、プロキシログ201、URLホワイトリスト202、端末操作ログ203、ローカルプロキシログ204を用いて、ユーザが意図しないマルウェアによる通信と思われるHTTP通信を特定する。すなわち、本実施の形態における情報漏洩検知システム100は、調査対象の端末装置500における端末操作ログ203とローカルプロキシログ204とからユーザがブラウザでアクセスしたURLが示されるブラウザアクセスURL情報307を特定する。ここで、本実施の形態の情報漏洩検知システム100は、端末操作ログ203からトップページURL情報306を特定し、ローカルプロキシログ204からトップページ内URL606トップページURLのコンテンツが自動で取得する、あるいはリンクしているURLを特定する。そして、本実施の形態の情報漏洩検知システム100は、トップページURL情報306とトップページ内URL606と合わせてブラウザアクセスURL情報307とする。そして、本実施の形態の情報漏洩検知システム100は、組織に共通のプロキシサーバ装置600におけるプロキシログ201の内、調査対象の端末装置500に関わるURLの記録端末装置500からのWebアクセスのURLから、URLホワイトリスト202で許可されたURLを除いたグレーURL情報305を特定する。さらに、本実施の形態の情報漏洩検知システム100は、グレーURL情報305からブラウザアクセスURL情報307のURLを除くことで、ブラックURL208を特定する。つまり、本実施の形態の情報漏洩検知システム100は、例えば企業などの組織に許可されたURLでなく、ユーザがブラウザからアクセスしたURLでもないブラックURL208を抽出することが可能である。このブラックURL208は、端末装置500からのWeb通信においてユーザの意図しないアクセスのアクセス先である。従って、本実施の形態の情報漏洩検知システム100は、例えば情報漏洩等マルウェアが行う不正なWeb通信によりアクセスされたURLを検知することが可能である。換言すると、情報漏洩検知システム100は、大量のプロキシログ201の情報から、例えば管理者のスキルに依存することなく、ユーザの意図と関係ないアクセスのアクセス先のURLを検知することが可能である。また、本実施の形態のブラックURL特定部108の処理の第3の例に示す方法では、環境によってはローカルプロキシのアプリケーションを端末装置500にインストール出来ない場合ローカルプロキシを利用しない場合でも、ブラックURL208を特定することが可能である。更に、本実施の形態のブラックURL特定部108の処理の第4の例に示す方法では、環境によってはローカルプロキシと端末操作記録アプリケーションをインストールできない場合ローカルプロキシと端末操作記録アプリケーションとを利用しない場合でも、ブラックURL208を特定することが可能である。実施の形態2.実施の形態2における情報漏洩検知システム100の概要実施の形態2の情報漏洩検知システム100は、プロキシログエントリ301に示されるURLの内、ローカルプロキシログ204に記録の無いURLで、かつ、ホワイトURL302でもないURLをブラックURL208として抽出する。すなわち、実施の形態2の情報漏洩検知システム100は、ローカルプロキシを経由せずにWeb通信されたアクセス先のURLを抽出する。なお、実施の形態2の情報漏洩検知システム100は、端末操作ログ203を使用しない。従って、端末操作ログ取り込み部103は使用されない。ブラウザアクセスURL特定部107は、ローカルプロキシログエントリ304のみを入力し、後述の処理によりブラウザアクセスURL情報307を出力する。なお、実施の形態2の情報漏洩検知システム100は、端末操作ログ取り込み部103を使用しない以外は、図2に示す実施の形態1の情報漏洩検知システム100と同じ構成である。従って、実施の形態1と同じ構成要素及び、実施の形態1と同じ処理内容については説明を省略する。トップページURL特定部106の処理図33は、トップページURL特定部106の処理の例を示すフローチャートである。図33を用いて、実施の形態2におけるトップページURL特定部106の処理を説明する。まず、トップページURL特定部106は、実施の形態1と同様に、ローカルプロキシログエントリ304を全て入力したか否かを判定する図33のS301。トップページURL特定部106は、実施の形態1と同様に、全てのローカルプロキシログエントリ304を入力していなければ図33のS301のNO、入力していないローカルプロキシログエントリ304を例えばアクセス日時の時系列順に入力する図33のS302。ここで、例えば、トップページURL特定部106は、図9のローカルプロキシログエントリ304a2011/06/2310:00:00、192.168.1.2、http://○○○.abc-sample.△△△/、GET、200、1000、コンテンツ実体を入力したとする。そして、トップページURL特定部106は、入力したローカルプロキシログエントリ304に含まれるURLを抽出する図33のS303。具体例で示すと、トップページURL特定部106は、図9のローカルプロキシログエントリ304aに含まれるURLhttp://○○○.abc-sample.△△△/を抽出する。そして、トップページURL特定部106は、抽出したURLをトップページURLとし、入力したローカルプロキシログエントリ304aから実施の形態1と同様に、図13に示すトップページURL情報306aを生成する。そして、トップページURL情報306が生成される毎に、ブラウザアクセスURL特定部107は、トップページURL特定部106が入力したローカルプロキシログエントリ304からトップページ内URL606を抽出する図33のS304。そして、ブラウザアクセスURL特定部107は、トップページURL情報306とトップページ内URL606とからブラウザアクセスURL情報307を生成する。図33のS304の処理は、実施の形態1の図12のS104の処理と同じである為、詳細な説明は省略する。なお、実施の形態1では、端末操作ログ203を使用している為、ブラウザの操作によりアクセスされたURLがブラウザアクセスURL情報307となる。一方、実施の形態2では、ローカルプロキシ経由でWebアクセスするブラウザ以外のアプリケーションのWeb通信情報もブラウザアクセスURL情報307に含まれる点が実施の形態1とは異なる。また、実施の形態2では、トップページURL特定部106がトップページURL情報306を生成し、ブラウザアクセスURL特定部107がトップページ内URL606を抽出して、ブラウザアクセスURL情報307を生成すると説明した。しかし、ブラウザアクセスURL特定部107がローカルプロキシログエントリ304を入力し、前述トップページURL特定部106と同様の処理を行うことも可能である。すなわち、ブラウザアクセスURL特定部107がローカルプロキシログエントリ304を入力し、トップページURL情報306を生成し、トップページ内URL606を抽出してブラウザアクセスURL情報307を生成することも可能である。この場合、トップページURL特定部106は使用されない。実施の形態2の効果実施の形態2の情報漏洩検知システム100は、環境によっては端末操作記録アプリケーションをインストールできない場合端末操作記録アプリケーションを利用しない場合でも、ブラックURL208を特定することが可能である。実施の形態3.実施の形態3における情報漏洩検知システム100の概要実施の形態3では、端末装置500に例えばWebカメラが備えられているWebカメラの図示は省略する。そして、期間特定部200図2は、Webカメラの映像からユーザが端末装置500に座っているか否かを判定して、座っていないと判定される期間を期間206として入力する。ここで、Webカメラの映像からユーザが端末装置500に座っているか否かを判定する技術は、公知技術を使用する。なお、ユーザが端末装置500に座っているか否かを判定する技術としては、Webカメラを使用するものに特定されず、例えば、温度の変化を捉えるセンサや、音の変化を捉えるセンサなどを使用するものであっても良い。また、重量センサを備えた椅子を用いることによりユーザが端末装置500端末装置500の椅子に座っているか否かを判定することも可能である。すなわち、実施の形態3の情報漏洩検知システム100は、ユーザが端末装置500に座っていない期間ユーザによる端末装置500やブラウザの操作が無い期間のグレーURL情報305とブラックURL208ブラックURL情報250とを抽出する。この期間は、ユーザが端末装置500に座っていないため、ユーザによるブラウザ操作がされていない期間として考えられる。そして、この期間に発生したWebアクセスは、何かしらのプログラムが自動的にWebサイトへアクセスしたために発生したアクセスであると考えられる。つまり、実施の形態3の情報漏洩検知システム100で抽出されるグレーURL情報305は、実施の形態1で抽出されるグレーURL情報305よりも絞り込まれることになる。なお、実施の形態3の情報漏洩検知システム100は、図2に示す実施の形態1の情報漏洩検知システム100と同じ構成である。従って、実施の形態1と同じ構成要素及び、実施の形態1と同じ処理内容については説明を省略する。期間特定部200の処理図34は、期間特定部200の処理の例を示すフローチャートである。期間特定部200は、図34のフローチャートに基づき、ユーザが端末装置500に座っていない期間を演算する。まず、期間特定部200は、Webカメラの映像からの映像を入力し、ユーザが座っているか否かを判定する図34のS1601。すなわち、Webカメラと期間特定部200とは、ユーザの存在を検知する検知装置である。ここで、期間特定部200は、Webカメラからの映像を処理し、ユーザが座っているか否かの判定を行い、その判定結果を出力する映像処理装置図示は省略からユーザが座っているか否かの情報を入力しても良い。そして、期間特定部200は、ユーザが座っているか否かの情報に基づき、ユーザが座っているか否かを判定することも可能である。この場合、Webカメラと映像処理装置と期間特定部200とがユーザの存在を検知する検知装置である。そして、期間特定部200は、ユーザが座っていない判定とした場合図34のS1601のNO、現在の日時をStart_timeに設定する図34のS1602。そして、期間特定部200は、予め設定された時間n分間待機し図34のS1603、再度S1601の処理を行う。一方、期間特定部200は、ユーザが座っている判定とした場合図34のS1601のYES、Start_timeが既に設定されているか否かを判定する図34のS1604。そして、期間特定部200は、Start_timeが既に設定されていると判定した場合図34のS1604のYES、現在の日時をEnd_timeに設定する図34のS1605。一方、期間特定部200は、Start_timeが設定されていないと判定した場合図34のS1604のNO、S1603の処理を行う。そして、期間特定部200は、設定したStart_timeとEnd_timeとの期間を期間206に設定する。そして、プロキシログ201は、例えば図17に示すように各エントリがアクセス日時アクセス時刻に対応付けられている。すなわち、プロキシログ取り込み部101図2は、プロキシサーバ装置600が行ったアクセス毎にアクセスが行われたアクセス時刻とアクセス先のアドレスとが対応付けられて示されるプロキシログ201を入力する。そして、プロキシログ取り込み部101は、プロキシログ201のエントリの内、実施の形態1と同様に、期間206に含まれるアクセス時刻が示されるエントリをプロキシログエントリ301として抽出する。ここで期間206は、前述の通りユーザが端末装置500の前に存在しないと検知された期間である。さらに、グレーURL特定部105は、プロキシログ取り込み部101が抽出したプロキシログエントリ301を用いてグレーURL情報305を抽出する。すなわち、グレーURL特定部105は、プロキシログ取り込み部101により入力されたプロキシログ201に示されるアドレスの内、ユーザの存在を検知する検知装置期間特定部200が、ユーザが端末装置500の前に存在しないと検知した期間206に含まれるアクセス時刻に対応付けられているアドレスを抽出する。なお、ブラックURL特定部108は、実施の形態1と同様に実施の形態3におけるグレーURL特定部105が抽出したグレーURL情報305をブラックURL情報250とし、ブラックURL208を抽出することも可能である。実施の形態3の効果実施の形態3の情報漏洩検知システム100は、端末操作ログ203やローカルプロキシログ204を使用せずに、ユーザが端末装置500に座っていない期間を特定することが可能である。そして、実施の形態3の情報漏洩検知システム100は、調査対象期間をユーザが端末装置500に座っていない期間、すなわち、ユーザによりブラウザ操作がされていない期間とすることで、抽出されるグレーURL情報305を絞り込むことが可能である。すなわち、実施の形態3の情報漏洩検知システム100は、より精度高くマルウェアによるアクセス先のURLを抽出することが可能である。なお、実施の形態3における期間特定部200の処理を実施の形態1と実施の形態2との期間特定部200に行わせることも可能である。実施の形態4.実施の形態4における情報漏洩検知システム100の概要実施の形態4の情報漏洩検知システム100は、端末操作ログ203にユーザ操作の履歴が残っている期間以外の期間を調査対象とする。なお、実施の形態4の情報漏洩検知システム100は、図2に示す実施の形態1の情報漏洩検知システム100と同じ構成である。従って、実施の形態1と同じ構成要素及び、実施の形態1と同じ処理内容については説明を省略する。端末操作ログ取り込み部103の処理図35は、端末操作ログ取り込み部103の処理の例を示すフローチャートである。まず、端末操作ログ取り込み部103は、実施の形態1と同様に、期間206と端末操作ログ203とを入力する図35のS3501。ここで、期間206は2011/06/2308:00:00~2011/06/2318:00:00とする。期間206は、あらかじめ定義された定義期間である。そして、2011/06/2308:00:00が定義期間の開始時刻であり、2011/06/2318:00:00が定義期間の終了時刻である。そして、端末操作ログ203は図3に示す例とする。ここで、端末操作ログ203は、図3に示すように操作日時と操作タイプと操作内容とが対応付けられている。つまり、端末操作ログ203は、ユーザが端末装置500に対して指示する指示操作と指示操作毎の操作時刻とが対応付けられて示されている。そして、ユーザがアドレス指示操作を行った場合、すなわち、ユーザが端末装置500に対してアクセス先のアドレスを指示すると共に、ユーザが端末装置500に対して指示したアドレスに端末装置500がWebアクセスを行うよう指示した場合、このアドレス指示操作が端末操作ログ203例えば、図3においては、Webアクセスのように表記されている。そして、この場合の図3に示される操作日時は、アドレス指示操作の操作日時である。つまり、端末操作ログ203は、ユーザが端末装置500に対してアドレス指示操作を行った場合ユーザが端末装置500に対してアクセス先のアドレスを指示した場合に、ユーザが端末装置500に対してアクセス先のアドレスを指示するアドレス指示操作に基づいて端末装置500がプロキシサーバ装置600にアクセス先として通知したアドレスがアドレス指示操作とアドレス指示操作の操作時刻とに対応付けられて示される。次に、端末操作ログ取り込み部103は、期間を再設定する図35のS3502。具体的には、端末操作ログ取り込み部103は、操作日時が入力した期間2062011/06/2308:00:00~2011/06/2318:00:00内である端末操作ログ203のエントリの内、最初に記録されたエントリと最後に記録されたエントリとの操作日時を抽出する。図3に示す端末操作ログ203の場合、端末操作ログ取り込み部103は、最初に記録されたエントリの操作日時最初の操作時刻として、図3のD2031に示される2011/06/2309:00:00を抽出する。そして、端末操作ログ取り込み部103は、最後に記録されたエントリの操作日時最後の操作時刻として、図3のD2037に示される2011/06/2316:00:00を抽出する。そして、端末操作ログ取り込み部103は、2011/06/2308:00:00~2011/06/2308:59:59と2011/06/2316:00:01~2011/06/2318:00:00とを期間206として再設定する。この再設定された期間206は、非操作期間後述に対応する。そして、端末操作ログ取り込み部103は、再設定した期間206を出力する図35のS3503。つまり、端末操作ログ取り込み部103は、期間206を算出する期間算出部に対応する。ここで、端末操作ログ取り込み部103は、端末操作ログ203に示される操作時刻の内、あらかじめ定義された定義期間である期間206の開始時刻後の最初の操作時刻と定義期間期間206の終了時刻前の最後の操作時刻とを抽出している。そして、端末操作ログ取り込み部103は、定義期間期間206の開始時刻から最初の操作時刻までの期間と最後の操作時刻から定義期間期間206の終了時刻までの期間とから成る非操作期間を算出し、期間206として再設定している。また、端末操作ログ取り込み部103は、図35のS3502の処理において、ブラウザの操作記録のあった日時を抽出しても良い。具体的には、端末操作ログ取り込み部103は、操作日時が入力した期間2062011/06/2308:00:00~2011/06/2318:00:00内であり、ブラウザの操作を示す端末操作ログ203のエントリの内、最初に記録されたエントリと最後に記録されたエントリとの操作日時を抽出する。図3に示す端末操作ログ203の場合、ブラウザの操作を示す端末操作ログ203のエントリは、操作タイプがWebアクセスとなっており、アクセス先のアドレスが操作内容として対応付けられている。よって、端末操作ログ取り込み部103は、最初に記録されたエントリの操作日時最初のアドレス対応操作時刻として、図3のD2032に示される2011/06/2310:00:00を抽出する。そして、端末操作ログ取り込み部103は、最後に記録されたエントリの操作日時最後のアドレス対応操作時刻として、図3のD2037に示される2011/06/2316:00:00を抽出する。そして、端末操作ログ取り込み部103は、2011/06/2308:00:00~2011/06/2309:59:59と2011/06/2316:00:01~2011/06/2318:00:00とを期間206として再設定する。この再設定された期間206は、非アドレス対応期間後述に対応する。ここで、端末操作ログ取り込み部103は、端末操作ログ203に示される操作時刻の内、定義期間期間206の開始時刻後の操作時刻であってアドレスが対応付けられている最初の操作時刻である最初のアドレス対応操作時刻と、定義期間期間206の終了時刻前の操作時刻であってアドレスが対応付けられている最後の操作時刻である最後のアドレス対応操作時刻とを抽出する。そして、端末操作ログ取り込み部103は、定義期間期間206の開始時刻から最初のアドレス対応操作時刻までの期間と最後のアドレス対応操作時刻から定義期間期間206の終了時刻までの期間とから成る非アドレス対応期間を算出し、期間206として再設定している。一方、プロキシログ取り込み部101、ローカルプロキシログ取り込み部104は端末操作ログ取り込み部103が再設定した期間206非操作期間もしくは非アドレス対応期間のいずれかを入力する。そして、再設定された期間206に基づき、プロキシログ取り込み部101は、実施の形態1での説明と同様にプロキシログエントリ301を抽出する。そして、グレーURL特定部105は、再設定された期間206に基づいたプロキシログエントリ301からグレーURL情報305を抽出する。すなわち、グレーURL特定部105は、端末操作ログ取り込み部103により非操作期間が算出された場合に、プロキシログエントリ301のセットプロキシログ201に示されるアドレスの内、非操作期間に含まれるアクセス時刻が対応付けられているアドレスを抽出する。そして、グレーURL特定部105は、端末操作ログ取り込み部103により非アドレス対応期間が算出された場合に、プロキシログエントリ301のセットプロキシログ201に示されるアクセス時刻に対応付けられているアドレスの内、非アドレス対応期間に含まれるアクセス時刻に対応付けられているアドレスを抽出する。また、端末操作ログ取り込み部103も、再設定された期間206に基づき、WebアクセスURL情報303を抽出し、ローカルプロキシログ取り込み部104も再設定された期間206に基づき、ローカルプロキシログエントリ304を抽出する。実施の形態4の効果実施の形態4の情報漏洩検知システム100は、ユーザが端末操作を行った期間を除外した期間について、マルウェアによるWeb通信のアクセス先アドレスを抽出する。また、実施の形態4の情報漏洩検知システム100は、ユーザがブラウザ操作を行った期間を除外した期間について、マルウェアによるWeb通信のアクセス先アドレスを抽出する。つまり、実施の形態4の情報漏洩検知システム100は、ユーザが端末装置500やブラウザを操作していない期間に発生した通信のログ、すなわち、マルウェアによるWeb通信の可能性が高いログに絞り込んでマルウェアによるWeb通信のアクセス先アドレスを抽出する。すなわち、実施の形態4の情報漏洩検知システム100は、より精度高くマルウェアによるアクセス先のURLを抽出することが可能である。なお、実施の形態4における端末操作ログ取り込み部103の処理を、実施の形態1~3の端末操作ログ取り込み部103に行わせることも可能である。実施の形態5.実施の形態5~8における情報漏洩検知システム100の共通部分の説明実施の形態5の情報漏洩検知システム100の説明の前に、実施の形態5~8における情報漏洩検知システム100の共通部分の説明を行う。実施の形態5~8における情報漏洩検知システム100は、実施の形態1~4いずれかのブラックURL特定部108が抽出したブラックURL208をブラックURL候補とする。そして、ブラックURL特定部108は、ブラックURL候補の内、所定の条件に合致するURLを条件合致アドレスとして特定し、条件合致アドレスをブラックURL208として出力する。すなわち、ブラックURL208は条件合致アドレスに対応する。すなわち、ブラックURL特定部108は、ブラックURL候補の内、少なくとも所定の条件に合致する所定のアドレスを条件合致アドレスとして特定する条件合致アドレス特定部に対応する。そして、ブラックURL特定部108は、ブラック判定条件207を入力する。すなわち、ブラックURL特定部108は、ブラック判定条件207を入力する情報入力部に対応する。ここで、ブラック判定条件207とは、ブラックURL候補からブラックURL208を特定する為の所定の条件である。ブラック判定条件207は、数種類存在し、あらかじめ例えばユーザによって設定され、例えば情報漏洩検知システム100の記憶装置に記憶されている。そして例えばユーザは情報漏洩検知システム100のキーボードなどの入力装置を用いて、記憶されている数種類のブラック判定条件207の中から少なくとも1つのブラック判定条件207を選択して入力する。ここで、ユーザは、記憶されている数種類のブラック判定条件207の中から複数のブラック判定条件207を組み合わせて入力することも可能である。そして、ブラックURL特定部108は、入力したブラック判定条件207に対応してあらかじめ設定された処理を実行する。また、ブラックURL特定部108が、複数の例えば2つのブラック判定条件207を入力した場合、ブラックURL特定部108は、まず第1のブラック判定条件207に対応してブラックURL候補の中から条件合致アドレスブラックURL208を特定する。そして、更に、ブラックURL特定部108は、第1のブラック判定条件207によって特定された条件合致アドレスブラックURL208の中から、第2のブラック判定条件207に対応して、条件合致アドレスブラックURL208を特定することが可能である。なお、実施の形態5~8の情報漏洩検知システム100は、図2に示す実施の形態1の情報漏洩検知システム100と同じ構成である。従って、実施の形態1と同じ構成要素及び、実施の形態1と同じ処理内容については説明を省略する。以降、実施の形態5~8の各実施の形態について説明を行う。実施の形態5におけるブラックURL特定部108の処理図36は、ブラックURL特定部108の処理の例を示すフローチャートである。ブラックURL特定部108は、前述の通り、実施の形態1~4いずれかの処理によって抽出されたブラックURL208をブラックURL候補とする。更に、ブラックURL特定部108は、ブラック判定条件207を入力する図36のS1101。ここで、ブラックURL特定部108は、端末装置500のアクセス先のウェブページの提供元が属する国が、不正アクセスの多い国のブラックリストに含まれているか否かというブラック判定条件207を入力する。更に、ブラックURL特定部108は、不正アクセスの多い国のブラックリストの情報も入力する。不正アクセスの多い国は傾向として決まっているので、例えば、A国、B国、C国を不正アクセスの多い国として不正アクセスの多い国のブラックリストに定義することが可能である。そして、不正アクセスの多い国のブラックリストは、あらかじめ特定された国が示される特定国情報に対応する。そして、インターネット上には、例えばhttp://○○○.789-sample.△△△/というURLを入力すると、そのURLのウェブページがホストされている国アドレスのウェブページの提供元が属する国の情報を出力するインターネットサービスが存在する。このサービスを外部サービス209図2と称する。このアドレスのウェブページの提供元が属する国が示される情報を提供国情報と称する。そして、ブラックURL特定部108は、インターネットを介し、ブラックURL候補を外部サービス209に入力する。そして、ブラックURL特定部108は、外部サービス209からの提供国情報を入力し、ブラックURL候補のホスト国を特定する図36のS1102。すなわち、ブラックURL特定部108は、抽出したブラックURL候補毎アドレス毎の提供国情報を入力する。そして、ブラックURL特定部108は特定したブラックURL候補のホスト国が、不正アクセスの多い国のブラックリストに含まれているか否かを判定する図36のS1103。ここで、例えば、特定したブラックURL候補のホスト国がA国の場合、ブラックリストに含まれているので図36のS1103のYES、ブラックURL特定部108は、ブラックURL候補をブラックURL208として出力する図36のS1104。一方、特定したブラックURL候補のホスト国がX国の場合、ブラックリストに含まれていないので図36のS1103のNO、ブラックURL特定部108は、ブラックURL候補をブラックURL208として出力しない。すなわち、ブラックURL特定部108は、入力された提供国情報に示される国の中で、不正アクセスの多い国のブラックリストに示されるいずれかの国に合致する国が提供しているウェブページのアドレスをブラックURL208として特定する。実施の形態5の効果マルウェアの通信先のCCサーバは不正アクセスの多い特定の国に存在することがある。そして、実施の形態5の情報漏洩検知システム100は、ブラックURL候補から、不正アクセスの多い特定の国をホスト国としたウェブページのURLであるか否かをブラック判定条件207として、ブラックURL208を絞り込む。その為、実施の形態5の情報漏洩検知システム100は、より精度高くマルウェアによるアクセス先のURLを抽出することが可能である。実施の形態6.実施の形態6における情報漏洩検知システム100の概要実施の形態6の情報漏洩検知システム100は、ブラック判定条件207として、ブラックURL候補のウェブページへのアクセス数を用いる。具体的には、今までアクセス数が少なかったブラックURL候補において、急にアクセス数が一定期間増加し、その後また減少したか否かをブラック判定条件207とする。ブラックURL特定部108の処理図37は、ブラックURL特定部108の処理の例を示すフローチャートである。図38は、ブラックURL候補のウェブページへのアクセス数の例を示す図である。なお、図2において図示を省略しているが、ブラックURL特定部108は、プロキシログ201を入力することが可能である。ここで、ブラックURL特定部108は、プロキシログ取り込み部101が入力したプロキシログ201をプロキシログ取り込み部101から入力しても良い。また、プロキシログ201は、図17に示す通り、プロキシサーバ装置600が行ったアクセス毎にアクセス先のアドレスと通信サイズアクセス時のデータ通信量とが対応付けられて示されている。まず、ブラックURL特定部108は、前述の通り、実施の形態1~4いずれかの処理によって抽出されたブラックURL208をブラックURL候補とする。そして、ブラックURL特定部108は、ブラック判定条件207を入力する。更に変数nを0で初期化する図37のS1201。ここでブラック判定条件207は、前述の通り今までアクセス数が少なかったブラックURL候補において、急にアクセス数が一定期間増加し、その後また減少したか否かである。そして、ブラックURL特定部108は、入力したプロキシログ201から各ブラックURL候補に対する日毎のアクセス数をあらかじめ定められた集計期間において集計する図37のS1202。この集計期間はあらかじめ情報漏洩検知システム100の記憶装置に記憶されていても良いし、ユーザが情報漏洩検知システム100の入力装置を用いて入力しても良い。ここで、ブラックURL特定部108が集計するアクセス数は、日毎に限らず、単位時間毎であれば、3日間毎であっても、1週間毎であっても良い。ここでは、ブラックURL特定部108は、日毎にアクセス数を集計するものとして説明を進める。すなわち、ブラックURL特定部108は、各アドレスに対する単位時間毎のアクセス数を算出する通信量算出部に対応する。なお、図37において図示は、省略するがS1202~S1207の処理は、各ブラックURL候補に対して行われる。そして、ブラックURL特定部108は、集計したアクセス数が過去は少なく、その後増加したか否かを判定する図37のS1203。ここで、ブラックURL特定部108は、アクセス数があらかじめ情報漏洩検知システム100の記憶装置に記憶されている閾値アクセス数の第1の閾値と称するよりも少ない場合に、アクセス数が少ないと判定する。そして、ブラックURL特定部108は、アクセス数がアクセス数の第1の閾値以上の場合に、アクセス数が増加したと判定する。そして、アクセス数が増加していない場合図37のS1203のNO、ブラックURL特定部108は、判定対象のURLについて処理を終了し、未判定のブラックURL候補について、同様の処理を行う。そして、ブラックURL特定部108がアクセス数が増加したと判定した場合図37のS1203のYES、アクセス数が集計された日を基準日とする。ここで、基準日が現在である場合を想定する。その場合、ブラックURL特定部108は、変数nをインクリメントn=n1とする図37のS1204。そして、ブラックURL特定部108は新たにn日後のプロキシログ201を入力し、n日後のアクセス数を集計する。そして、ブラックURL特定部108は、n日後のアクセス数が基準日のアクセス数と同等又は増加しているか否かを判定する図37のS1205。ここで、ブラックURL特定部108は、アクセス数がアクセス数の第1の閾値以上の場合に、基準日のアクセス数と同等又は増加していると判定する。基準日のアクセス数と同等又は増加している場合図37のS1205のYES、ブラックURL特定部108は、変数nを更にインクリメントする図37のS1204。すなわち、ブラックURL特定部108は更に1日後のアクセス数を集計する。一方、アクセス数がアクセス数の第1の閾値より少ない場合図37のS1205のNO、ブラックURL特定部108はアクセス数が基準日以前のアクセス数と同等か否かを判定する図37の1206。ここで、ブラックURL特定部108は、例えば、基準日以前の日毎のアクセス数の平均xと標準偏差σとを記憶しており、例えばアクセス数がx±3σ以内であれば、基準日以前のアクセス数を同等と判定する。そして、アクセス数が基準日以前のアクセス数と同等の場合図37のS1206のYES、図示は省略するが、あらかじめ設定された所定の日数においてアクセス数がアクセス数の第1の閾値以上であったか否かを判定する。そして、アクセス数が所定の日数においてアクセス数の第1の閾値以上であったブラックURL候補をブラックURL208として出力する。そして、アクセス数が基準日以前のアクセス数と同等でない場合図37のS1206のNO、ブラックURL特定部108は、変数nを更にインクリメントする図37のS1204。図38を用いて具体例を説明する。例えば、ブラックURL特定部108は、あるブラックURL候補に対するアクセス数を現在から、30日分さかのぼって、日毎に集計したとする。その結果、29日目まではアクセス数は0であるが、30日目現在にアクセス数が12に増加している。ここで、例えば、アクセス数の第1の閾値は10であるとする。その後数日間において、ブラックURL特定部108は、アクセス数を集計した結果、33日目現在から3日後にアクセス数が0に戻っている。この図38の例のように、ブラックURL特定部108は図37の処理によって、判定対象のブラックURL候補に対するアクセス数が、過去は少なく、かつ、所定の日数の間増加し、かつ、その後減少するか否かを判定している。ここで、所定の日数は、例えば情報漏洩検知システム100の記憶装置に記憶されており、ここでは所定の日数が5日とする。特定のマルウェアは、インターネット上のCCサーバと短期間に継続的に通信することが知られている。したがって、例えば5日以内に集中的にアクセス数が増加したアクセスは、マルウェアによるアクセスと考えられる。具体例では、基準日が現在の場合を説明したが、基準日が過去であっても構わない。すなわち、ブラックURL特定部108は、ブラックURL候補に対するアクセス数が、過去は少なく、かつ、基準日から所定の日数において増加し、かつ、その後減少するか否かを判定出来れば良い。すなわち、ブラックURL特定部108は、あらかじめ定義された所定の期間においてのみ日毎単位時間毎のアクセス数が、アクセス数の第1の閾値以上となるURLをブラックURL208として特定している。ブラックURL特定部108は、アクセス数の時系列の変化を自動判定するために、ARMAAutoRegressiveMovingAverageなどを利用した公知の方式を使用しても良い。そして、ブラックURL特定部108は、ARMAによりアクセス数の変化が見つかったブラックURL候補をブラックURL208と特定しても良い。更に、ブラックURL特定部108は、ブラックURL候補に対する通信量に基づいて、ブラックURL208を特定しても良い。その場合、ブラック判定条件207は、今まで通信量が少なかったブラックURL候補において、急に通信量が一定期間増加し、その後また減少したか否かとなる。前述の通りプロキシログ201図17には、通信サイズ通信量が示されている為、ブラックURL特定部108は、各ブラックURL候補に対して、例えば日毎の通信量を集計することが可能である。すなわち、ブラックURL特定部108は、プロキシログ201から各ブラックURL候補に対する単位時間毎のデータ通信量を算出する。そして、詳細な説明は省略するが、ブラックURL特定部108は図37の処理においてアクセス数の代わりに、通信量を用いてブラックURL208を特定する。すなわち、ブラックURL特定部108は、あらかじめ定義された所定の期間においてのみ日毎単位時間毎のデータ通信量が、データ通信量の第1の閾値以上となるURLをブラックURL208として特定する。実施の形態6の効果前述の通り、マルウェアとCCサーバとのアクセス数またはデータ通信量は、短期間に増加することが知られている。実施の形態6の情報漏洩検知システム100は、短期間にアクセス数またはデータ通信量が増加するアクセス先のURLを特定することで、より精度高くマルウェアによるアクセス先のURLを抽出することが可能である。実施の形態7.実施の形態7における情報漏洩検知システム100の概要実施の形態7の情報漏洩検知システム100は、ブラック判定条件207として、ブラックURL候補のウェブページへのアクセス数を用いる。具体的には、ブラックURL候補との通信において、周期的にアクセスが発生しているか否かをブラック判定条件207とする。ブラックURL特定部108の処理図39は、ブラックURL特定部108の処理の例を示すフローチャートである。図40は、ブラックURL候補のウェブページへのアクセス数の例を示す図である。なお、図2において図示を省略しているが、ブラックURL特定部108は、プロキシログ201を入力することが可能である。ここで、ブラックURL特定部108は、プロキシログ取り込み部101が入力したプロキシログ201をプロキシログ取り込み部101から入力しても良い。まず、ブラックURL特定部108は、前述の通り、実施の形態1~4いずれかの処理によって抽出されたブラックURL208をブラックURL候補とする。そして、ブラックURL特定部108は、ブラック判定条件207を入力する。図39のS1301。ここでブラック判定条件207は、前述の通りブラックURL候補との通信において、周期的にアクセスが発生しているか否かである。そして、ブラックURL特定部108は、入力したプロキシログ201から各ブラックURL候補に対する単位時間毎のアクセス数をあらかじめ定められた集計期間において集計する図39のS1302。ここで、単位時間毎のアクセス数をMii=1~kとする。例えば、ブラックURL特定部108は、1分間毎のアクセス数を集計するとした場合、M1は、集計期間k分間の内の最初の1分間1分目のアクセス数の集計、M2は次の1分間2分目のアクセス数の集計を意味する。なお、図39において図示は、省略するがS1302~S1304の処理は、各ブラックURL候補に対して行われる。次に、ブラックURL特定部108は、アクセス数の集計結果Mii=1~kを時系列で並べた場合に周期的であるか否かを判定する図39のS1303。ここで、ブラックURL特定部108は、単位時間毎のアクセス数が周期的にあらかじめ情報漏洩検知システム100の記憶装置に記憶されている閾値アクセス数の第2の閾値と称する以上となっているか否かを判定する。つまり、ブラックURL特定部108は、周期的にアクセスが発生しているか否かを判定している。あるいは、ブラックURL特定部108は、単位時間毎のアクセス数が周期的に同じ値となっているか否かを判定しても良い。また、ブラックURL特定部108は、単位時間毎のアクセス数が周期的にアクセス数の第2の閾値以上の同じ値となっているか否かを判定しても良い。周期的にアクセスが発生している場合図39のS1303のYES、判定対象のブラックURL候補をブラックURL208として特定し、出力する図39のS1304。すなわち、ブラックURL特定部108は、単位時間毎のアクセス数が一定周期毎にあらかじめ定義されたアクセス数の第2の閾値以上となるブラックURL候補をブラックURL208として特定している。図40を用いて、具体例を説明する。例えば図40は、ブラックURL特定部108が、あるブラックURL候補に対する1分間毎のアクセス数を集計したものである。そして、集計期間は、例えば、1日24時間×60分=1440分間としている。ブラックURL特定部108は、図40に示す集計結果において、2分に1回1アクセスが発生しており、周期的にアクセスが発生していると判定する。ここでアクセス数の第2の閾値は1アクセスとする。特定のマルウェアは、インターネット上のCCサーバとの接続を確認するために定期的に通信することが知られている。したがって、例えば周期的に1回以上のアクセス数が示されるアクセスは、マルウェアによるアクセスと考えられる。ブラックURL特定部108は、アクセス数の時系列の周期的な変化を自動判定する公知のアルゴリズムを使用しても良い。そして、ブラックURL特定部108は、公知のアルゴリズムにより周期的なアクセス数の変化が見つかったブラックURL候補をブラックURL208と特定しても良い。更に、ブラックURL特定部108は、ブラックURL候補に対する通信量に基づいて、ブラックURL208を特定しても良い。その場合、ブラックURL特定部108は、プロキシログ201から各ブラックURL候補に対する単位時間毎のデータ通信量を算出する。そして、詳細な説明は省略するが、ブラックURL特定部108は図39の処理においてアクセス数の代わりに、通信量を用いてブラックURL208を特定する。すなわち、ブラックURL特定部108は、単位時間毎のデータ通信量が一定周期毎にあらかじめ定義されたデータ通信量の第2の閾値以上となるブラックURL候補をブラックURL208として特定する。実施の形態7の効果前述の通り、マルウェアとCCサーバとのアクセスは、周期的に行われることが知られている。実施の形態7の情報漏洩検知システム100は、周期的にアクセスが行われるアクセス先のURLを特定することで、より精度高くマルウェアによるアクセス先のURLを抽出することが可能である。実施の形態8.実施の形態8における情報漏洩検知システム100の概要実施の形態8の情報漏洩検知システム100は、ブラック判定条件207として、端末装置500プロキシサーバ装置600とブラックURL候補のウェブページとの間のWeb通信におけるリクエストサイズとレスポンスサイズとを用いる。具体的には、ブラックURL候補において、通信のリクエストサイズとレスポンスサイズが閾値未満か否かをブラック判定条件207とする。ブラックURL特定部108の処理図41は、ブラックURL特定部108の処理の例を示すフローチャートである。なお、図2において図示を省略しているが、ブラックURL特定部108は、プロキシログ201図17を入力することが可能である。ここで、ブラックURL特定部108は、プロキシログ取り込み部101が入力したプロキシログ201をプロキシログ取り込み部101から入力しても良い。まず、ブラックURL特定部108は、前述の通り、実施の形態1~4いずれかの処理によって抽出されたブラックURL208をブラックURL候補とする。そして、ブラックURL特定部108は、ブラック判定条件207を入力する。図41のS1401。ここでブラック判定条件207は、前述の通りブラックURL候補において、通信のリクエストサイズとレスポンスサイズが閾値未満か否かである。また、ブラックURL特定部108は、例えば情報漏洩検知システム100の記憶装置に記憶されているリクエストサイズの閾値αKBとレスポンスサイズの閾値βKBとを入力する。あるいは例えばユーザが情報漏洩検知システム100の入力装置を用いて、リクエストサイズの閾値とレスポンスサイズの閾値とを入力しても良い。ここで、ユーザがブラウザを用いて行うWebサイトの閲覧では、リクエストに対するレスポンスは何かしらの文字列を含むコンテンツであるため、ある程度以上のレスポンスサイズになり、βKB未満にはならない。また、ユーザがブラウザを用いて行うWebサイトの閲覧におけるリクエストの場合もヘッダに情報が付与され、リクエストサイズはαKB未満にならない。そして、あらかじめユーザが、Webサイトへのアクセスにおけるリクエストサイズとレスポンスサイズとの統計データを取得し、αとβとの値を設定しておく。そして、ブラックURL特定部108は、入力したプロキシログ201から、各ブラックURL候補のリクエストサイズとレスポンスサイズとを抽出する図41のS1402。ここで、図17における図示は省略するが、プロキシログ201には、各アクセス毎のリクエストサイズとレスポンスサイズとが示される。すなわち、プロキシログ201は、プロキシサーバ装置600が行ったアクセス毎に、アクセス先のアドレスと、プロキシサーバ装置600からアクセス先へ送信したデータのサイズであるリクエストサイズと、プロキシサーバ装置600がアクセス先から受信したデータのサイズであるレスポンスサイズとが対応付けられて示される。なお、1つのブラックURL候補に対して複数のアクセスが有る場合は、ブラックURL特定部108は、リクエストサイズとレスポンスサイズとの最小値を抽出する。なお、図41において図示は、省略するがS1402~S1405の処理は、各ブラックURL候補に対して行われる。次に、ブラックURL特定部108は、抽出したリクエストサイズが閾値αKB未満か否かを判定する図41のS1403。リクエストサイズが閾値αKB未満の場合図41のS1403のYES、ブラックURL特定部108は、抽出したレスポンスサイズが閾値βKB未満か否かを判定する図41のS1404。そして、ブラックURL特定部108は、レスポンスサイズが閾値βKB未満の場合図41のS1404のYES、判定対象のブラックURL候補をブラックURL208として特定し、出力する図41のS1405。すなわち、ブラックURL特定部108は、リクエストサイズが閾値αKB未満、かつ、レスポンスサイズが閾値βKB未満のブラックURL候補をブラックURL208として特定する。すなわち、ブラックURL特定部108は、プロキシログ201からブラックURL候補と対応付けられているレスポンスサイズとリクエストサイズとをアクセス単位で抽出特定する。そして、抽出したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満であり、リクエストサイズがあらかじめ定義されたリクエストサイズの閾値未満のブラックURL候補をブラックURL208として特定する。ここで、マルウェアによるWeb通信はレスポンスのみが小さいこともあるので、ブラックURL特定部108は、図41のS1403の判定は行わず、S1404の判定のみを行うだけでも良い。すなわち、ブラックURL特定部108は、レスポンスサイズが閾値βKB未満のブラックURL候補をブラックURL208として特定する。すなわち、ブラックURL特定部108は、プロキシログ201からブラックURL候補と対応付けられているレスポンスサイズをアクセス単位で抽出特定する。そして、抽出したレスポンスサイズがあらかじめ定義されたレスポンスサイズの閾値未満のブラックURL候補をブラックURL208として特定する。実施の形態8の効果特定のマルウェアは、インターネット上のCCサーバとの接続を確認するために定期的に通信することが知られている。そして、前述の通り、その場合の通信データのサイズリクエストサイズとレスポンスサイズは、ユーザがブラウザを用いて行うWebサイトの閲覧の場合と比べて、少ない。従って、実施の形態8の情報漏洩検知システム100は、リクエストサイズとレスポンスサイズとが閾値より少ないアクセスが行われるアクセス先のURLを特定することで、より精度高くマルウェアによるアクセス先のURLを抽出することが可能である。実施の形態9.実施の形態9における情報漏洩検知システム100の概要実施の形態1と実施の形態3と実施の形態4とにおいて、端末操作ログ203図3には、端末装置500がプロキシサーバ装置600に通知したURLが記録されると説明した。しかし、端末操作記録アプリケーションによっては、端末操作ログ203にURLではなく、端末装置500プロキシサーバ装置600がアクセスしたWebサイトのトップページのタイトルが、ウィンドウタイトルとして記録される場合がある。実施の形態9の情報漏洩検知システム100は、端末操作ログ203に記録されたWebサイトのトップページのタイトルと一致するタイトルをローカルプロキシログ204図6に記録されたコンテンツから検索する。そして、実施の形態9の情報漏洩検知システム100は、ローカルプロキシログ204図6に記録されたコンテンツにおいて、一致したタイトルに対応付けられたURLをWebサイトのトップページのURLとして特定する。端末操作ログ取り込み部103の処理図42は、WebアクセスURL情報303の例を示す図である。端末操作ログ取り込み部103は、端末操作ログ203の一例として、例えば図3のD2032の行に示すエントリの操作内容が、URLではなく、Webサイトのタイトルとなっている端末操作ログ203を入力する。つまり、端末操作ログ取り込み部103は、2011/06/2310:00:00、192.168.1.2、UserID1234、Webアクセス、サンプルサイトを入力する。ここで、サンプルサイトは、Webサイトコンテンツのタイトル名である。すなわち、端末操作ログ取り込み部103は、ユーザの操作により端末装置500がプロキシサーバ装置600に通知したアドレスに基づいてプロキシサーバ装置600が行ったアクセスのアクセス先のウェブページのタイトルが示される端末操作ログ203を入力する。そして、端末操作ログ取り込み部103は、実施の形態1と同様に、端末操作ログ203からWebアクセスURL情報303を抽出し、出力する。WebアクセスURL情報303の例を図42に示す。図42に示すWebアクセスURL情報303は、端末操作ログ203と同様に、URLではなく、Webサイトコンテンツのタイトル名が示されている。ローカルプロキシログ取り込み部104の処理図43は、コンテンツ実体350の例を示す図である。ローカルプロキシログ取り込み部104は、実施の形態1と同様に、ローカルプロキシログ204図6を入力し、入力したローカルプロキシログ204からローカルプロキシログエントリ304図9を抽出し、出力する。ここで、ローカルプロキシログエントリ304図9に含まれるコンテンツ実体350は、例えば図43のようになっている。つまり、コンテンツ実体350にWebサイトコンテンツのタイトル名が示されている。そして、例えば図9のローカルプロキシログエントリ304aには、Webサイトコンテンツのタイトル名が示されているコンテンツ実体350と、URLhttp://○○○.abc-sample.△△△/とが対応付けられている。ここで、Webサイトプロキシサーバ装置600が行ったアクセスのアクセス先のウェブページのタイトルと、URLアクセス先のアドレスとが対応付けて示されるローカルプロキシログエントリ304をローカルプロキシ情報と称する。そして、ローカルプロキシログ204図6にはローカルプロキシ情報が少なくとも1つ以上含まれている。なお、プロキシサーバ装置600は、前述の通り、端末装置500がローカルプロキシ550を利用してプロキシサーバ装置600に通知したアドレスに基づいてアクセスを行う。トップページURL特定部106の処理図44は、トップページURL特定部106の処理の例を示す図である。トップページURL特定部106は、実施の形態1と同様にWebアクセスURL情報303図42とローカルプロキシログエントリ304図9とを入力する。ここでローカルプロキシログエントリ304図9に含まれるコンテンツ実体350は、前述の図43の例とする。そして、図44における図示は省略するが、トップページURL特定部106は、WebアクセスURL情報303図42に含まれる全てのエントリに対して、図44の処理を行う。ここでは、図42のD6031に示すWebアクセスURL情報303のエントリを例に説明を行う。すなわち、トップページURL特定部106は、図42のD6031に示すWebアクセスURL情報303のエントリを入力し、Webサイトのタイトルサンプルサイトabc-sampleを抽出する。また、トップページURL特定部106は、操作日時である2011/06/2310:00:00を抽出する。そして、トップページURL特定部106は、ローカルプロキシログエントリ304を全て入力したか否かを判定する図44のS1501。トップページURL特定部106は、全てのローカルプロキシログエントリ304を入力していなければ図44のS1501のNO、入力していないローカルプロキシログエントリ304を例えばアクセス日時の時系列順に入力する図44のS1502。ここで、例えば、トップページURL特定部106は、図9のローカルプロキシログエントリ304a2011/06/2310:00:00、192.168.1.2、http://○○○.abc-sample.△△△/、GET、200、1000、コンテンツ実体を入力したとする。そして、トップページURL特定部106は、WebアクセスURL情報303から抽出したタイトルが、コンテンツ実体350に含まれるか否かを判定する。具体的には、図43に示すコンテンツ実体350において、<title>タグと</title>タグとで囲われている文字列を抽出し、WebアクセスURL情報303から抽出したサンプルサイトabc-sampleと比較する。更に、トップページURL特定部106は、WebアクセスURL情報303から抽出した操作日時2011/06/2310:00:00が、図9のローカルプロキシログエントリ304aのアクセス日時と一致するか否かを判定する図44のS1503。そして、WebアクセスURL情報303から抽出したタイトルが、コンテンツ実体350に含まれ、WebアクセスURL情報303から抽出した操作日時が、ローカルプロキシログエントリ304aのアクセス日時と一致するので図44のS1503のYES、トップページURL特定部106は、ローカルプロキシログエントリ304aに示されるURLhttp://○○○.abc-sample.△△△/を抽出する。このトップページURL特定部106が抽出したURLをトップページURLと称する。そして、トップページURL特定部106は、このトップページURLと、ローカルプロキシログエントリ304に示されるアクセス日時と端末識別子とメソッドとステータスと通信量とをトップページURL情報306として出力する。一方、WebアクセスURL情報303から抽出したタイトルが、コンテンツ実体350に含まれない、もしくは、WebアクセスURL情報303から抽出した操作日時が、ローカルプロキシログエントリ304aのアクセス日時と一致しない場合図44のS1503のNO、トップページURL特定部106は再度S1501の処理を行う。すなわち、トップページURL特定部106は、ローカルプロキシ情報ローカルプロキシログエントリ304のコンテンツ実体350に示されるタイトルの内、端末操作ログ203に示されるタイトルに合致するタイトルが示されるローカルプロキシ情報ローカルプロキシログエントリ304を抽出する。つまりトップページURL特定部106は、ローカルプロキシ情報抽出部に対応する。そして、図44のS1504の処理は実施の形態1と同様であるため、説明を省略する。また、ブラックURL特定部108は、実施の形態1と同様にプロキシログ201図17に示されるURLの内、URLホワイトリスト202と、ブラウザアクセスURL情報307とのいずれにも示されていないURLを抽出する。ここで、ブラウザアクセスURL情報307はトップページURL特定部106に抽出されたローカルプロキシログエントリ304ローカルプロキシ情報から生成される。したがって、換言すると、ブラックURL特定部108は、プロキシログ201図17に示されるURLの内、URLホワイトリスト202と、トップページURL特定部106に抽出されたローカルプロキシログエントリ304ローカルプロキシ情報とのいずれにも示されていないアドレスを抽出する。なお、実施の形態5~8の情報漏洩検知システム100は、実施の形態9のブラックURL特定部108が抽出したブラックURL208をブラックURL候補として処理を行っても良い。実施の形態9の効果前述のように端末操作記録アプリケーションによっては、端末操作ログ203にURLが記録されず、アクセスしたWebサイトのトップページのタイトルがウィンドウタイトルとして記録される場合がある。このような場合でも、実施の形態9の情報漏洩検知システム100は、端末操作ログ203から得たタイトルから、端末装置500がアクセスしたWebサイトのURLを特定することが可能である。実施の形態1~9の情報漏洩検知システム100のハードウェア構成最後に、実施の形態1~9に示した情報漏洩検知システム100のハードウェア構成例について説明する。図45は、本実施の形態に示した情報漏洩検知システム100のハードウェア資源の一例を示す図である。なお、図45の構成は、あくまでも情報漏洩検知システム100のハードウェア構成の一例を示すものであり、情報漏洩検知システム100のハードウェア構成は図45に記載の構成に限らず、他の構成であってもよい。図45において、情報漏洩検知システム100は、プログラムを実行するCPU911CentralProcessingUnit、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいうを備えている。CPU911は、バス912を介して、例えば、ROMReadOnlyMemory913、RAMRandomAccessMemory914、通信ボード915、表示装置901、キーボード902、マウス903、磁気ディスク装置920と接続され、これらのハードウェアデバイスを制御する。更に、CPU911は、FDD904FlexibleDiskDrive、コンパクトディスク装置905CDDと接続していてもよい。また、磁気ディスク装置920の代わりに、SSDSolidStateDrive、光ディスク装置、メモリカード登録商標読み書き装置などの記憶装置でもよい。RAM914は、揮発性メモリの一例である。ROM913、FDD904、CDD905、磁気ディスク装置920の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置の一例である。本実施の形態で説明した情報漏洩検知システム100の記憶装置、ログ蓄積部109は、磁気ディスク装置920等により実現される。通信ボード915、キーボード902、マウス903、FDD904などは、入力装置の一例である。本実施の形態で説明した情報漏洩検知システム100の入力装置は、例えばキーボード902やマウス903により実現される。また、通信ボード915、表示装置901などは、出力装置の一例である。通信ボード915は、ネットワークに接続されている。例えば、ネットワークは、LAN、インターネットの他、WANワイドエリアネットワーク、SANストレージエリアネットワークなどでも構わない。磁気ディスク装置920には、オペレーティングシステム921OS、ウィンドウシステム922、プログラム群923、ファイル群924が記憶されている。プログラム群923のプログラムは、CPU911がオペレーティングシステム921、ウィンドウシステム922を利用しながら実行する。また、RAM914には、CPU911に実行させるオペレーティングシステム921のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、RAM914には、CPU911による処理に必要な各種データが格納される。また、ROM913には、BIOSBasicInputOutputSystemプログラムが格納され、磁気ディスク装置920にはブートプログラムが格納されている。情報漏洩検知システム100の起動時には、ROM913のBIOSプログラム及び磁気ディスク装置920のブートプログラムが実行され、BIOSプログラム及びブートプログラムによりオペレーティングシステム921が起動される。上記プログラム群923には、本実施の形態の説明において~部~蓄積部以外、以下同様として説明している機能を実行するプログラムが記憶されている。プログラムは、CPU911により読み出され実行される。ファイル群924には、本実施の形態の説明において、~の判断、~の計算、~の比較、~の照合、~の参照、~の検索、~の抽出、~の検査、~の生成、~の設定、~の登録、~の選択、~の入力、~の受信、~の判定、~の定義、~の算出、~の更新等として説明している処理の結果を示す情報やデータや信号値や変数値やパラメータが、ファイルやデータベースの各項目として記憶されている。ファイルやデータベースは、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してCPU911によりメインメモリやキャッシュメモリに読み出される。そして、読み出された情報やデータや信号値や変数値やパラメータは、抽出検索参照比較演算計算処理編集出力印刷表示制御判定識別検知判別選択算出導出更新生成取得通知指示判断区別削除などのCPUの動作に用いられる。抽出検索参照比較演算計算処理編集出力印刷表示制御判定識別検知判別選択算出導出更新生成取得通知指示判断区別削除などのCPUの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリ、レジスタ、キャッシュメモリ、バッファメモリ等に一時的に記憶される。また、本実施の形態で説明しているフローチャートの矢印の部分は主としてデータや信号の入出力を示す。データや信号値は、RAM914のメモリ、FDD904のフレキシブルディスク、CDD905のコンパクトディスク、磁気ディスク装置920の磁気ディスク、その他光ディスク、ミニディスク、DVD等の記録媒体に記録される。また、データや信号は、バス912や信号線やケーブルその他の伝送媒体によりオンライン伝送される。また、本実施の形態の説明において~部として説明しているものは、~回路、~装置、~機器であってもよく、また、~ステップ、~手順、~処理であってもよい。すなわち、本実施の形態で説明したフローチャートに示すステップ、手順、処理により、本発明に係る情報処理方法を実現することができる。また、~部として説明しているものは、ROM913に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子デバイス基板配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、DVD等の記録媒体に記憶される。プログラムはCPU911により読み出され、CPU911により実行される。すなわち、プログラムは、本実施の形態の~部としてコンピュータを機能させるものである。あるいは、本実施の形態の~部の手順や方法をコンピュータに実行させるものである。このように、本実施の形態に示す情報漏洩検知システム100は、処理装置たるCPU、記憶装置たるメモリ、磁気ディスク等、入力装置たるキーボード、マウス、通信ボード等、出力装置たる表示装置、通信ボード等を備えるコンピュータである。そして、上記したように~部として示された機能をこれら処理装置、記憶装置、入力装置、出力装置を用いて実現するものである。"