特定種類の通信の特徴を示す特徴情報を記憶する特徴情報記憶部と、前記特徴情報を含む通信情報を特定し、該特定された通信情報から、所定のルールに従って、前記特徴情報と情報種別が異なる別の特徴情報を抽出する別特徴情報抽出部と、前記別特徴情報抽出部によって抽出された別の特徴情報を含む通信情報を特定し、該特定された通信情報から、前記特徴情報と同じ情報種別の情報を新たな特徴情報として抽出する新特徴情報抽出部と、前記新特徴情報抽出部によって抽出された新たな特徴情報を前記特徴情報記憶部に登録する登録部と、を有することを特徴とする特徴情報抽出装置。前記特徴情報記憶部は、前記特徴情報として、前記特定種類の通信において用いられる変数へ入力される入力値を記憶し、前記別特徴情報抽出部は、前記特徴情報を含むハイパーテキスト転送プロトコルの宛先統一資源位置指定子を特定し、該特定された宛先統一資源位置指定子から、所定のルールに従って、前記特徴情報の情報種別である入力値と情報種別が異なる別の特徴情報を抽出し、前記新特徴情報抽出部は、前記別特徴情報抽出部によって抽出された別の特徴情報を含む宛先統一資源位置指定子を特定し、該特定された宛先統一資源位置指定子から、前記特徴情報と同じ情報種別である入力値を新たな特徴情報として抽出することを特徴とする請求項1に記載の特徴情報抽出装置。前記特徴情報記憶部は、前記特徴情報として、前記特定種類の通信において用いられるパスに関するパス情報を記憶し、前記別特徴情報抽出部は、前記特徴情報を含むハイパーテキスト転送プロトコルの宛先統一資源位置指定子を特定し、該特定された宛先統一資源位置指定子から、所定のルールに従って、前記特徴情報の情報種別であるパス情報と情報種別が異なる別の特徴情報を抽出し、前記新特徴情報抽出部は、前記別特徴情報抽出部によって抽出された別の特徴情報を含む宛先統一資源位置指定子を特定し、該特定された宛先統一資源位置指定子から、前記特徴情報と同じ情報種別であるパス情報を新たな特徴情報として抽出することを特徴とする請求項1に記載の特徴情報抽出装置。前記別特徴情報抽出部は、前記登録部によって登録された新たな特徴情報を取得し、該新たな特徴情報を含む通信情報を特定し、該特定された通信情報から、所定のルールに従って、前記特徴情報と情報種別が異なる別の特徴情報を抽出し、前記新特徴情報抽出部は、前記前記別特徴情報抽出部によって抽出された別の特徴情報を含む通信情報を特定し、該特定された通信情報から、前記特徴情報と同じ情報種別の情報を新たな特徴情報として抽出し、前記登録部は、前記新特徴情報抽出部によって抽出された新たな特徴情報を前記特徴情報記憶部に登録するものであって、前記新特徴情報抽出部によって抽出された新たな特徴情報について、該新たな特徴情報が抽出されるまでに前記新特徴情報抽出部が繰り返した抽出処理の回数である多段回数に基づいて、前記新たな特徴情報の信頼度を示すスコアを算出するスコア算出部と、前記スコア算出部によって算出されたスコアに基づいて、前記特徴情報記憶部に記憶された複数の特徴情報から一部の特徴情報を選定する特徴情報選定部と、をさらに有することを特徴とする請求項1~3のいずれか一つに記載の特徴情報抽出装置。前記新特徴情報抽出部によって抽出された新たな特徴情報について、該新たな特徴情報によって前記特定種類の通信が検知された回数である検知回数に基づいて、前記新たな特徴情報が前記特定種類の信頼度を示すスコアを算出するスコア算出部と、前記スコア算出部によって算出されたスコアに基づいて、前記特徴情報記憶部に記憶された複数の特徴情報から一部の特徴情報を選定する特徴情報選定部と、をさらに有することを特徴とする請求項1~3のいずれか一つに記載の特徴情報抽出装置。前記別特徴情報抽出部は、前記登録部によって新たな特徴情報が前記特徴情報記憶部に登録されると、さらに異なる新たな特徴情報を含む通信情報を特定し、該特定された通信情報から、所定のルールに従って、前記登録部によって登録された新たな特徴情報と情報種別が異なる別の特徴情報を抽出し、前記新特徴情報抽出部は、前記別特徴情報抽出部によって抽出された別の特徴情報を含む通信情報を特定し、該特定された通信情報から、前記特徴情報と同じ情報種別の情報を新たな特徴情報として抽出することを特徴とする請求項1~5のいずれか一つに記載の特徴情報抽出装置。前記登録部は、前記別特徴情報抽出部によって抽出された別の特徴情報を前記特徴情報記憶部に登録することを特徴とする請求項1~6のいずれか一つに記載の特徴情報抽出装置。特徴情報を含む通信情報を特定し、該特定された通信情報から、所定のルールに従って、前記特徴情報と情報種別が異なる別の特徴情報を抽出する別特徴情報抽出工程と、前記別特徴情報抽出工程によって抽出された別の特徴情報を含む通信情報を特定し、該特定された通信情報から、前記特徴情報と同じ情報種別の情報を新たな特徴情報として抽出する新特徴情報抽出工程と、前記新特徴情報抽出工程によって抽出された新たな特徴情報を特徴情報記憶部に登録する登録工程と、を含んだことを特徴とする特徴情報抽出方法。コンピュータを請求項1~7のいずれか一つに記載の特徴情報抽出装置として機能させるための特徴情報抽出プログラム。しかしながら、上記した従来の技術では、ユーザ端末やユーザサーバへの未知の攻撃を適切に検知することができないという課題があった。つまり、サーバ監視装置が、シグネチャにマッチしない通信についてはネットワークの通過を許容するため、この通過可能な通信サービスを悪用した不正アクセスを完全に阻止することは困難である。この結果、例えば、セキュリティベンダにとって未知となるソフトウェアの脆弱性や、セキュリティベンダが解析していないソフトウェアの脆弱性に基づいた攻撃には対応できないとういう問題あった。なお、脆弱性があるソフトウェアを故意に搭載した囮システムをサーバ監視機能配下に配置し、サーバ監視機能で囮システムへのアクセスを監視することで、未知の攻撃を収集する方法が考えられる。しかし、特定のサーバに保存されている情報を不正入手する攻撃が囮システムに送信される可能性が低く、収集可能な攻撃が制限される結果、未知の攻撃を適切に検知することができなかった。そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、ユーザ端末やユーザサーバへの未知の攻撃を適切に検知することを目的とする。上述した課題を解決し、目的を達成するために、本発明に係る特徴情報抽出装置は、特定種類の通信の特徴を示す特徴情報を記憶する特徴情報記憶部と、前記特徴情報を含む通信情報を特定し、該特定された通信情報から、所定のルールに従って、前記特徴情報と情報種別が異なる別の特徴情報を抽出する別特徴情報抽出部と、前記別特徴情報抽出部によって抽出された別の特徴情報を含む通信情報を特定し、該特定された通信情報から、前記特徴情報と同じ情報種別の情報を新たな特徴情報として抽出する新特徴情報抽出部と、前記新特徴情報抽出部によって抽出された新たな特徴情報を前記特徴情報記憶部に登録する登録部と、を有することを特徴とする。また、本発明に係る特徴情報抽出方法は、特徴情報を含む通信情報を特定し、該特定された通信情報から、所定のルールに従って、前記特徴情報と情報種別が異なる別の特徴情報を抽出する別特徴情報抽出工程と、前記別特徴情報抽出工程によって抽出された別の特徴情報を含む通信情報を特定し、該特定された通信情報から、前記特徴情報と同じ情報種別の情報を新たな特徴情報として抽出する新特徴情報抽出工程と、前記新特徴情報抽出工程によって抽出された新たな特徴情報を特徴情報記憶部に登録する登録工程と、を含んだことを特徴とする。開示の装置、方法およびプログラムによれば、ユーザ端末やユーザサーバへの未知の攻撃を適切に検知することを可能にする。以下に添付図面を参照して、この発明に係る特徴情報抽出装置、特徴情報抽出方法および特徴情報抽出プログラムの実施例を詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。[実施例1に係るファイル収集監視装置の構成]まず、実施例1に係るファイル収集監視装置の構成について説明する。図1は、実施例1に係る情報収集配信サーバを適用するネットワーク構成の一例を示す図である。図1に示すように、ネットワーク1は、ネットワーク2~5を収容する。ネットワーク1は、インターネットのように広域なネットワークであってもよいし、企業ネットワークのように比較的狭域ネットワークであってもよい。ネットワーク1とネットワーク2との間は、パケット転送部29によって接続されている。また、ネットワーク1とネットワーク3との間は、パケット転送部37によって接続されている。また、ネットワーク1とネットワーク4との間は、パケット転送部42によって接続されている。また、ネットワーク1とネットワーク5との間は、パケット転送部53によって接続されている。また、ネットワーク2内のサーバや端末との間は、パケット転送部25、26によって接続されている。また、ネットワーク3内のサーバや端末との間は、パケット転送部35、36によって接続されている。囮サーバ21および囮端末22は、サーバや端末に不正アクセスするために用いる攻撃ツールプログラムであるマルウェアを利用したDDoSDistributedDenialofService攻撃やスパム送信などの特定種類の通信以下、適宜攻撃というを収集する。そして、囮サーバ21および囮端末22は、収集した特定種類の通信のログ情報を所定の記憶領域に保存している。各ユーザサーバ23、24、33、34やユーザ端末31、34は、ネットワーク1~5を介して通信を行う。各ユーザサーバ23、24、33、34やユーザ端末31、34は、攻撃者端末41や悪性サーバ51などからの攻撃を受けたことを確認したい対象であり、フィルタ処理による防御対象である。また、各ユーザサーバ23、24、33、34やユーザ端末31、34は、通信のログ情報を所定の記憶領域に保存している。攻撃者端末41は、各ユーザサーバ23、24、33、34やユーザ端末31、34を攻撃する。悪性サーバ51は、アクセスしたユーザ端末31、32を攻撃するために他のサーに転送する。マルウェア配布サーバ52は、アクセスしたユーザ端末31、32にマルウェアを配布する。パケット転送部25、26、29、35~37、42、53は、スイッチやルータなどの機器であって、スイッチ機能、ルータ機能、ポートフォワ-ディング機能、ハイパーテキスト転送プロトコルHTTP:HyperTextTransferProtocol転送機能などを有する。パケット転送部25、26、29、35~37、42、53は、MACアドレスやIPアドレス、ポート番号、HTTPヘッダなどのヘッダの情報を参照して転送先を決定してパケットを出力する。通信監視部27、28は、ネットワーク2において配置される装置である。また、通信監視部37aは、パケット転送部37内の一機能として配置される。通信監視部27、28、37aは、セキュリティアプライアンスやプロキシ、アンチウィルスなどが適用され、転送に用いられる情報およびパケットペイロードを監視する。また、通信監視部27、28、37aは、特定種類の通信を特定するための特徴情報を保有し、特徴情報と一致する通信を検知し、検知した通信を遮断するとともに、図示しない外部端末に転送して検疫させる。また、通信監視部27、28、37aは、検知した通信を遮断するとともに、通信を情報袖手配信サーバ10に送信する。また、通信監視部27、28、37aは、トラヒックのログ情報を保存している。情報収集配信サーバ10は、各通信監視部27、28、37aや、各ユーザサーバ23、24、33、34、各ユーザ端末31、34により保存された通信のログ情報を収集し、収集した情報を解析して新たな特徴情報を抽出し、抽出された新たな特徴情報を各通信監視部27、28、37aや、各ユーザサーバ23、24、33、34、各ユーザ端末31、34に配布する。なお、情報収集配信サーバ10についての詳しい説明は、以下に説明する。[情報収集配信サーバの構成]次に、図2を用いて、図1に示した情報収集配信サーバ10の構成を説明する。図2は、実施例1に係る情報収集配信サーバ10の構成を示すブロック図である。図2に示すように、この情報収集配信サーバ10は通信制御I/F11、制御部12、記憶部13を有する。以下にこれらの各部の処理を説明する。通信制御I/F11は、接続される各通信監視部27、28、37a、各ユーザサーバ23、24、33、34、各ユーザ端末31、34との間でやり取りする各種情報に関する通信を制御する。具体的には、WWWブラウザ制御I/F11は、各通信監視部27、28、37a、各ユーザサーバ23、24、33、34、各ユーザ端末31、34から通信のログ情報を受信し、また、各通信監視部27、28、37a、各ユーザサーバ23、24、33、34、各ユーザ端末31、34へ特徴情報を送信する。記憶部13は、制御部12による各種処理に要するデータや、制御部12による各種処理結果を記憶し、URLリスト13a、特徴情報管理テーブル13bを有する。また、記憶部13は、例えば、RAMRandomAccessMemory、ROMReadOnlyMemory、フラッシュメモリFlashMemory等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置である。URLリスト13aは、後述する通信情報収集部12aによって収集された通信のログ情報のうち、HTTPの宛先統一資源位置指定子であるURLが保存されている。例えば、URLリスト13aには、通信に利用されたURLとしてhttphost1dAdBdCfileparavalueが保存される。特徴情報管理テーブル13bは、特定種類の通信の特徴を示す特徴情報を記憶する。具体的には、特徴情報管理テーブル13bは、図3に示すように、特徴情報を一意に識別する番号と、特定種類の通信の特徴を示す特徴情報と、特徴情報の属性を示す属性情報と、特徴情報の信頼度を示すスコアと、特徴情報を抽出するまでに行った抽出処理の回数を示す多段回数と、特徴情報を保有する通信を検知した回数を示す検知回数とをそれぞれ対応付けて記憶する。ここで、属性情報には、ブラックとグレーが存在する。ブラックの属性情報の方がグレーの属性情報よりも信頼度が高い。すわなち、属性情報がブラックである特徴情報で検知された通信は、攻撃者端末41等からの攻撃である可能性が高いことを意味している。例えば、囮サーバ21や囮端末22で攻撃から抽出した特徴情報の属性情報については、多段回数が0であり、攻撃である可能性が高いため、ブラックが設定される。また、それ以外の属性情報は、ブラックよりも信頼度が低いグレーに設定される。なお、属性情報は、ブラックとグレーの2種類に限らず、3種類以上あってもよい。また、属性情報をブラックまたはグレーのいずれかにするかの選別は、オペレータによって適宜変更することが可能である。つまり、ブラックやグレーの設定は、例えば、多段回数に基づいて設定してもよい。また、ここでスコアとは、各特徴情報の信頼度を示した値あり、値が大きいほど信頼度も大きい。なお、スコアの算出方法については、後述するスコア算出部12dの処理の説明で詳述する。このように、特徴情報管理テーブル13bにおいて、各特徴情報には、属性情報やスコアが設定されている。例えば、通信監視部27、28、37aでは、監視対象として設定可能な特徴情報の数や容量に制限がある場合があり、設定する特徴情報を選定するために、属性情報やスコアが利用される。つまり、設定可能な特徴情報の数や容量に制限がある場合には、通信監視部27、28、37aは、属性情報がブラックの特徴情報のみを設定したり、所定の閾値以上のスコアの特徴情報のみを設定したりする。なお、特徴情報の選定には、主に属性情報を使用し、詳細な粒度が必要な際には、スコアを使うようにする。例えば、ブラックの特徴情報から順に特徴情報を設定し、設定容量に空きがある場合には、グレーの特徴情報を順に設定してもよい。さらに、グレー、ブラックのそれぞれの中の優先順位は、スコアや多段回数や検知回数によって、さらに順位付けされてもよい。また、検知回数の計測方法としては、トラフィック情報を抽出したログのような情報を用意し、情報収集配信サーバ10が生成した特徴情報で、このトラフィック情報のフィルタリングを行って検知回数を計測してもよいし、IDS侵入検知システムなどに、生成した特徴情報を適用して、実際に流れているトラフィック情報をIDSなどで検知して検知回数を計測するようにしてもよい。制御部12は、制御プログラム、各種の処理手順等を規定したプログラム及び所要データを格納するための内部メモリを有し、通信情報収集部12aと、別特徴情報抽出部122bと、新特徴情報抽出部12cと、スコア算出部12dと、特徴情報配信部12eとを有する。また、制御部12は、例えば、ASICApplicationSpecificIntegratedCircuitやFPGAFieldProgrammableGateArray等の集積回路、又は、CPUCentralProcessingUnitやMPUMicroProcessingUnit等の電子回路である。通信情報収集部12aは、各通信監視部27、28、37a、各ユーザサーバ23、24、33、34、各ユーザ端末31、34から通信のログ情報を収集する。具体的には、通信情報収集部12aは、各通信監視部27、28、37a、各ユーザサーバ23、24、33、34、各ユーザ端末31、34から通信のログ情報を収集し、ログ情報からURLを抽出して、URLリスト13aに格納する。別特徴情報抽出部12bは、特徴情報を含む通信情報を特定し、特定された通信情報から、所定のルールに従って、特徴情報と情報種別が異なる別の特徴情報を抽出する。具体的には、別特徴情報抽出部12bは、URLリスト13aから通信に利用された全URLを読み出すとともに、特徴情報管理テーブル13aから特徴情報を1つ読み出す。そして、別特徴情報抽出部12bは、読み出した特徴情報を含むURLを特定し、特定されたURLから、所定のルールに従って、特徴情報と情報種別が異なる別の特徴情報を抽出する。そして、別特徴情報抽出部12bは、抽出した別の特徴情報と全URLを新特徴情報抽出部12cに通知する。ここで、所定のルールに従って、別の特徴情報を抽出する処理の一例について説明する。例えば、別特徴情報抽出部12bは、ルールとして、以降にあるより先の文字を抽出するルールを保持している。そして、別特徴情報抽出部12bは、特徴情報dAdBdCfileaparaを含むURLhttphost1dAdBdCfileaparavalueを特定し、URLhttphost1dAdBdCfileaparavalueをURLリスト13aから読み出した場合に、ルールに従って、valueを別の特徴情報として抽出する。新特徴情報抽出部12cは、抽出された別の特徴情報を含む通信情報を特定し、特定された通信情報から、特徴情報と同じ、つまり、抽出された別の特徴情報とは異なる情報種別の情報を新たな特徴情報として抽出する。そして、新特徴情報抽出部12cは、抽出された新たな特徴情報を特徴情報管理テーブル13bに登録する。具体的には、新特徴情報抽出部12cは、別特徴情報抽出部12bから別の特徴情報と全URLを受信すると、別の特徴情報を含むURLを特定する。そして、新特徴情報抽出部12cは、特定されたURLから、特徴情報と同じ情報種別の情報を新たな特徴情報として抽出する。例えば、新特徴情報抽出部12cは、特徴情報の情報種別として、パス名および変数が設定されている場合には、特定されたURLのパス名および変数を新たな特徴情報として抽出する。その後、新特徴情報抽出部12cは、抽出した新たな特徴情報を特徴情報管理テーブル13aに登録するとともに、新たな特徴情報をスコア算出部12dに通知する。ここで、図4を用いて、上述した別の特徴情報を抽出する処理および新たな特徴情報を抽出する処理について具体例を挙げて説明する。図4は、パス名と変数を特徴情報としている場合に、新たに特徴情報を抽出する処理を説明する図である。まず、別の特徴情報を抽出する処理および新たな特徴情報を抽出する処理を説明する前に、URLの文字列について説明する。図4に例示するように、URLhttphost1dAdBdCfileaparavalueは、アクセス手段の特徴を示すアクセス手段識別子であるhttpと、アクセス先のホスト名であるhost1と、アクセス先のプログラムの配置箇所を示すパス名dAdBdCfileaと、パス名に含まれるファイル名fileaと、プログラムへ情報を入力する場合の入力先の変数名であるparaと、プログラムへ情報を入力する場合の入力値であるvalueとから構成される。なお、FTPFileTransferProtocolの通信では、アクセス手段識別子がFTPとなる。また、プログラムへの入力には、ヘッダの環境変数やペイロードが使用されてもよい。以下に説明する図4の例では、特徴情報の情報種別として、パス名および変数名が設定され、別の特徴情報として入力値を抽出する場合について説明する。別特徴情報抽出部12bは、URLリスト13aから通信に利用された全URLを読み出すとともに、特徴情報管理テーブル13aから事前に登録された特徴情報であるパス名および変数名EFGHを読み出す。なお、この例では、EFGがパス名に該当し、Hが変数名に該当する。そして、別特徴情報抽出部12bは、読み出した特徴情報EFGHを含むURLhttpABCDEFGHIJKを特定する。続いて、別特徴情報抽出部12bは、特定されたURLhttpABCDEFGHIJKから、ルールに従って、パス名および変数名と情報種別が異なる入力値IJKを別の特徴情報として抽出する図4の1参照。そして、新特徴情報抽出部12cは、別の特徴情報IJKを含むURLhttpABCDLMNHIJKを特定し、特定されたURLhttpABCDLMNHIJKから、特徴情報と同じ情報種別であるパス名および変数名LMNHを新たな特徴情報として抽出する図4の2参照。その後、新特徴情報抽出部12cは、抽出した新たな特徴情報LMNHを特徴情報管理テーブル13aに登録する。また、通信監視部27、28、37aは、別の特徴情報IJKを含むURLhttpOPQRSTUHIJKを特定した場合にも、特定されたURLhttpOPQRSTUHIJKから、特徴情報と同じ情報種別であるパス名および変数名STUHを新たな特徴情報として抽出する図4の3参照。このように、新たな特徴情報が自動的に追加されることで、例えば、通信監視部27、28、37aが新たな特徴情報LMNHを攻撃の検知に使用することができる。このため、通信監視部27、28、37aは、新たな特徴情報を含むURLが使用される通信を攻撃として検知する結果、攻撃の遮断や検疫を適切に行うことが可能となる。その後、別特徴情報抽出部12bおよび新特徴情報抽出部12cは、異なる新たな特徴情報を抽出する処理を繰り返すことを自動的に行う。なお、繰り返しの終了条件は、例えば、予め設定した上限値に抽出した新たな特徴情報の多段回数が到達するまで、または、全てのルールを用いて新たな特徴を抽出する処理を行うまで、新たな特徴を抽出する処理を繰り返し行う等の条件とする。また、新たな特徴情報とすべき情報の範囲については、オペレータが目的に応じて手動で設定するようにしてもよい。ここで、図5を用いて、新たな特徴情報とすべき情報の範囲をオペレータが目的に応じて手動で設定する場合について説明する。図5は、特徴情報の範囲をオペレータが手動で設定する処理を説明する図である。図5に示すように、別特徴情報抽出部12bは、特定されたURLhttpABCDEFGHIJKから、ルールに従って、パス名と情報種別が異なる入力値IJKを別の特徴情報として抽出する図5の1参照。そして、新特徴情報抽出部12cは、別の特徴情報IJKを含むURLhttpABCDLMNHIJKを特定し、特定されたURLhttpABCDLMNHIJKから、特徴情報と同じ情報種別であるパス名LMNを新たな特徴情報として抽出する図5の2参照。その後、新たな特徴情報の範囲を変数名まで拡大する旨の指示を受け付けると、新特徴情報抽出部12cは、変数名まで含んだLMNHを新たな特徴情報として特徴情報管理テーブル13aに登録する図5の3参照。また、図4の例では、パス名と変数名とを特徴情報とし、入力値を別の特徴情報として新たな特徴情報を抽出する処理について説明したが、図6に示すように、入力値を特徴情報とし、パス名と変数名とを別の特徴情報として新たな特徴情報を抽出するようにしてもよい。図6は、変数への入力値を特徴情報としている場合に、新たに特徴情報を抽出する処理を説明する図である。図6に示すように、別特徴情報抽出部12bは、特定されたURLhttpABCDWXYZIJKから、ルールに従って、入力値と情報種別が異なるパス名および変数名WXYZを別の特徴情報として抽出する図6の1参照。そして、新特徴情報抽出部12cは、別の特徴情報WXYZを含むURLhttpABCDWXYZabcを特定し、特定されたURLhttpABCDWXYZabcから、特徴情報と同じ情報種別である入力値abcを新たな特徴情報として抽出する図6の2参照。また、新特徴情報抽出部12cは、新たな特徴情報を特徴情報管理テーブル13bに登録するとともに、別特徴情報抽出部12bによって抽出された別の特徴情報を登録するようにしてもよい。別の特徴情報も登録することで、特徴情報の量を増加させることができる。図2の説明に戻って、スコア算出部12dは、各特徴情報について、多段回数および検知回数に応じて、特徴情報が攻撃を検出する信頼度の値であるスコアを算出する。具体的には、スコア算出部12dは、新特徴情報抽出部12cから新たな特徴情報を受信した場合、または、オペレータからスコア算出指示を受け付けた場合に、スコア算出対象となる特徴情報の多段回数および検知回数に関する情報を図示しない記憶領域から取得する。そして、スコア算出部12dは、取得した多段回数および検知回数に応じて、スコアを算出する。例えば、スコア算出部12dは、多段回数が大きいほどスコアを低くなるように算出する。これは、既定の特徴情報からの関係性が、多段回数が多くなるにつれて薄くなるからである。また、スコア算出部12dは、検知回数が大きいほどスコアが高くなるように算出する。例えば、スコア算出部12は、スコアの算出方法をスコア=多段に使用した回数に関する閾値を境とする単調減少するステップ関数1検知回数で単調増加する関数2と表すことができる。なお、ステップ関数1がある閾値未満では大きな値をとり、この閾値以上では非常に小さな値をとり、この値の幅が関数2の値よりも大きなものとしてもよい。つまり、例えば、検知回数よりも多段回数の方がスコアへの影響が強く、スコアに基づいて、ブラック/ホワイトを判定することが可能となる。また、スコア=α多段に使用した回数β/検知回数として、スコアが小さいものほど、高精度としてもよいものであるα、βは重み付けの値。ここで、ブラックは、シグネチャとして通信監視部27、28、37aに設定可、グレーは、シグネチャとして使用するには信用度が不十分な可能性があるものとして通信監視部27、28、37aに設定不可としてもよいし、スコアの高い順で通信監視部27、28、37aに設定してもよい。特徴情報配信部12dは、特徴情報を各通信監視部27、28、37a、各ユーザサーバ23、24、33、34、各ユーザ端末31、34に配信する。具体的には、特徴情報配信部12dは、特徴情報管理テーブル13bから特徴情報を読み出し、特徴情報の属性情報およびスコアに基づいて、複数の特徴情報から一部の特徴情報を選定する。そして、特徴情報配信部12dは、選定した特徴情報をリスト化して、各通信監視部27、28、37a、各ユーザサーバ23、24、33、34、各ユーザ端末31、34に配信する。ここで、図7を用いて、通信情報収集部12aが通信のログ情報を収集し、特徴情報配信部12dが特徴情報を配信する処理について説明する。図7に例示するように、通信情報収集部12aは、通信監視部37a、ユーザサーバ33およびユーザ端末31が搭載するアンチウィルスソフトなどにより保存された通信のログ情報を収集する。ここで、通信情報収集部12aは、例えば、通信監視部37aから通信のログ情報を収集する方法として、フックやポートミラーリングなどにより通信のログ情報を収集している。また、特徴情報配信部12dは、特徴情報をリスト化し、通信監視部37a、ユーザサーバ33およびユーザ端末31が搭載するアンチウィルスソフトなどに配信する。ここで、特徴情報配信部12dは、上述したように、属性情報やスコアに応じて、特徴情報を選別して配信するようにしてもよいし、特徴情報のリストに属性情報やスコアの情報を含めて、通信監視部37a等に配信し、通信監視部37a側で採用する特徴情報を選別するようにしてもよい。また、情報収集配信サーバ10は、セキュリティベンダが配信した特徴情報以外の情報から、新たな特徴情報を抽出できる。例えば、囮サーバ21や囮端末22を利用することで、セキュリティベンダが配信した特徴情報以外の情報から新たな特徴情報を抽出することができる。ここで、情報収集配信サーバ10が新たな特徴情報を抽出し、ユーザサーバ等に配信することで、攻撃者端末等からの攻撃をより精度良く検知することができる例について図8~図10を用いて説明する。図8は、囮サーバのトラヒックから新たなシグネチャを生成する処理を説明する図である。図9は、ユーザサーバへの通信から新たなシグネチャを生成する処理を説明する図である。図10は、通信の宛先URLから攻撃を検知する処理を説明する図である。ここで、図8~図10を用いた説明の前提として、セキュリティベンダが配信する特徴情報とユーザサーバ33上で機能するアンチウィルスソフトとの関係について説明する。図8~図10の例では、図示しないセキュリティベンダが、特定種類の通信を攻撃として特定した場合に、攻撃を特定するための特徴情報を生成し、当該特徴情報をユーザサーバ33上のアンチウィルスソフト等に配信している。これにより、ユーザサーバ33が、ユーザサーバ33が攻撃を受けた場合には、ユーザサーバ33上のアンチウィルスソフト等で攻撃を検知することを前提にしている。本実施例では、これに加えて、実施例1に係る情報収集配信サーバ10が、例えば、囮サーバ21や囮端末22を利用して、セキュリティベンダが配信した特徴情報以外の情報から、新たな特徴情報を抽出し、ユーザサーバ33に新たな特徴情報を配信することができる。このような前提をもとに、情報収集配信サーバ10が、攻撃者端末等からの攻撃をより精度良く検知することができる例について図8~図10を用いて以下に説明する。図8に示すように、パスと変数が特徴情報の情報種別である場合に、特徴情報収集配信サーバ10は、パスと変数で構成される情報aと変数への入力値oを記述した囮サーバ21に対する攻撃301を収集し、情報aを特徴情報として登録し、ユーザサーバ33に配信する。これにより、ユーザサーバ33は、情報aを保有する攻撃302を検知することができる。このように、囮サーバ21や囮端末22を併用することで、セキュリティベンダが配信した特徴情報以外の情報から、新たな特徴情報を抽出できる。さらに、実施例1に係る情報収集配信サーバ10では、囮サーバ21がパスと変数で構成される情報cと変数への入力値qとを記述した攻撃304を収集した場合には、入力値qを別の特徴情報として抽出する。そして、ユーザサーバ33が攻撃303を受信した際に、変数への入力値が別の特徴情報と一致するqであることから、情報収集配信サーバ10は、パスと変数で構成される情報bを新たな特徴情報として登録および配信することで、その後ユーザサーバ33が攻撃303を検知できるようになる。また、図9の例を用いて、囮サーバ21や囮端末22がない場合について説明する。図9に示すように、パスと変数で構成される情報bを特徴情報として使用している場合に、ユーザサーバ33が上述したように攻撃303を検知できるとともに、パスと変数で構成される情報bと入力値rを記述した攻撃305を検知できる。さらに、情報収集配信サーバ10は、攻撃305の入力値rを別の特徴情報とすることで、パスと変数で構成される情報dと入力値rを記述した攻撃306を受信した際に、入力値がrであることから、パスと変数で構成される情報dを新たな特徴情報として、パスと変数で構成される情報dを新たな特徴情報として登録および配信する。これにより、その後、ユーザサーバ33が攻撃306を検知できるようになる。また、ユーザサーバ33に対する攻撃として、変数への入力値に、マルウェアを配布するマルウェア配布サーバ52のURLが記述されていることがある。これにより、ユーザサーバ33にマルウェア感染を引き起こすための通信を行わせる場合がある。そこで、このような攻撃に対処する例として、変数への入力値を特徴情報とするとともに、ユーザサーバ33から送信される通信の宛先URLが特徴情報である入力値の一部に記述された文字列と一致するか否かを検査させるようにしてもよい。例えば、図10に例示するように、ユーザサーバ33は、通信307~309において、ユーザサーバ33から送信される通信の宛先URLが、図8および図9において攻撃に使用されていた変数の入力値o、p、qの一部に記述されていた文字列と一致するか検査する。この結果、一致する場合には、当該通信が攻撃である可能性が高いため、ユーザサーバ33は、通信の遮断等を行って防御する。これにより、ユーザサーバ33にマルウェア感染を引き起こすための通信を遮断することができる。[情報収集配信サーバによる処理]次に、図11を用いて、実施例1に係る情報収集配信サーバ10による処理を説明する。図11は、実施例1に係る情報収集配信サーバの処理動作を示すフローチャートである。図11に示すように、情報収集配信サーバ10の別特徴情報抽出部12bは、オペレータからの特徴情報抽出処理の開始指示を受け付けると、URLリスト13aから特徴情報を含むURL例えば、URLhttpABCDWXYZIJKを特定し、オペレータが設定したルールに基づいて、特徴情報例えば、URLの入力値である特徴情報IJKと情報種別例えば、URLの入力値が異なる別の特徴情報を抽出するステップS101。上記の例を用いて説明すると、別特徴情報抽出部12bは、特定されたURLhttpABCDWXYZIJKから、ルールに従って、入力値と情報種別が異なるパス名および変数名WXYZを別の特徴情報として抽出する。そして、新特徴情報抽出部12cは、抽出した別の特徴情報を用いて、予め記憶しているURLリスト13aから新たな特徴情報を抽出するステップS102。例えば、新特徴情報抽出部12cは、別の特徴情報WXYZを含むURLhttpABCDWXYZabcを特定し、特定されたURLhttpABCDWXYZabcから、特徴情報と同じ情報種別である入力値abcを新たな特徴情報として抽出する。続いて、新特徴情報抽出部12cは、新たな特徴情報を特徴情報管理テーブル13bに記憶されている既定の特徴情報に追加するステップS103。その後、新特徴情報抽出部12cは、終了条件を満たすか判定するステップS104。ここで、終了条件としては、例えば、ステップS101~103の繰り返し回数が一定回数以上となったことや、特徴情報の数や容量が一定数以上となったことが条件として適用される。この結果、新特徴情報抽出部12cは、終了条件を満たしていないと判定した場合にはステップS104否定、ステップS101に戻って、ステップS101~103の処理を繰り返す。また、新特徴情報抽出部12cは、終了条件を満たしたと判定した場合にはステップS104肯定、処理を終了する。実施例1の効果上述してきたように、情報収集配信サーバ10は、特徴情報を含む通信情報を特定し、特定された通信情報から、所定のルールに従って、特徴情報と情報種別が異なる別の特徴情報を抽出する。そして、情報収集配信サーバ10は、抽出された別の特徴情報を含む通信情報を特定し、該特定された通信情報から、特徴情報と同じ情報種別の情報を新たな特徴情報として抽出し、抽出された新たな特徴情報を特徴情報管理テーブル13bに登録する。このため、既知の特徴情報以外の新たな特徴情報を自動的に生成して登録することができるので、ユーザ端末やユーザサーバへの未知の攻撃を適切に検知することが可能である。また、実施例1によれば、情報収集配信サーバ10は、特徴情報を含むURLを特定し、特定されたURLから別の特徴情報を抽出し、抽出された別の特徴情報を含むURLを特定し、特定されたURLから、特徴情報と同じ情報種別である入力値を新たな特徴情報として抽出する。このため、既知の特徴情報以外の新たな入力値の特徴情報を自動的に生成して登録することができるので、入力値を特徴情報として攻撃を検知する際に、ユーザ端末やユーザサーバへの未知の攻撃を適切に検知することが可能である。なお、パスを特徴情報として攻撃を検知するよりも入力値を特徴情報として攻撃を検知する方が相対的に精度が高い。また、実施例1によれば、情報収集配信サーバ10は、特徴情報を含むURLを特定し、特定されたURLから別の特徴情報を抽出し、抽出された別の特徴情報を含むURLを特定し、特定されたURLから、特徴情報と同じ情報種別であるパス情報を新たな特徴情報として抽出する。このため、既知の特徴情報以外の新たなパス名の特徴情報を自動的に生成して登録することができるので、パスを特徴情報として攻撃を検知する際に、ユーザ端末やユーザサーバへの未知の攻撃を適切に検知することが可能である。また、実施例1によれば、情報収集配信サーバ10は、抽出された新たな特徴情報について、新たな特徴情報が抽出されるまでに実行された多段に使用された処理の回数である多段回数に基づいて、新たな特徴情報が特定種類の通信の特徴である信頼度を示すスコアを算出する。そして、情報収集配信サーバ10は、算出されたスコアに基づいて、特徴情報管理テーブル13bに記憶された複数の特徴情報から一部の特徴情報を選定する。このため、精度の良い特徴情報のみを採用することが可能である。また、実施例1によれば、情報収集配信サーバ10は、抽出された新たな特徴情報について、該新たな特徴情報によって特定種類の通信が検知された回数である検知回数に基づいて、新たな特徴情報の信頼度を示すスコアを算出する。そして、情報収集配信サーバ10は、算出されたスコアに基づいて、特徴情報管理テーブル13bに記憶された複数の特徴情報から一部の特徴情報を選定する。このため、精度の良い特徴情報のみを採用することが可能である。また、実施例1によれば、情報収集配信サーバ10は、抽出された新たな特徴情報について、新たな特徴情報が抽出されるまでに実行された多段に使用された処理の回数である多段回数と、該新たな特徴情報によって特定種類の通信が検知された回数である検知回数とに基づいて、特徴情報管理テーブル13bに記憶された複数の特徴情報から一部の特徴情報を選定する。このため、精度の良い特徴情報のみを採用することが可能である。また、実施例1によれば、情報収集配信サーバ10は、新たな特徴情報が前記特徴情報記憶部に登録されると、さらに異なる新たな特徴情報を含む通信情報を特定し、特定された通信情報から、所定のルールに従って、特徴情報と情報種別が異なる別の特徴情報を抽出する。そして、情報収集配信サーバ10は、抽出された別の特徴情報を含む通信情報を特定し、該特定された通信情報から、特徴情報と同じ情報種別の情報を新たな特徴情報として抽出する。このため、情報収集配信サーバ10は、既知の特徴情報以外の新たな特徴情報を自動的に増やしていくことができるので、ユーザ端末やユーザサーバへの未知の攻撃を適切に検知することが可能である。また、実施例1によれば、抽出された別の特徴情報を特徴情報管理テーブル13bに登録するので、特徴情報を増やすことができ、ユーザ端末やユーザサーバへの未知の攻撃を適切に検知することが可能である。ところで、上記の実施例1では、通信に利用されたURLを用いて、新たな特徴情報を抽出する場合を説明したが、本発明はこれに限定されるものではなく、コンテンツの内容やHTTPリクエストメッセージの内容、ファイルの内容等を用いて、新たな特徴情報を抽出するようにしてもよい。そこで、以下の実施例2では、コンテンツの内容やHTTPリクエストメッセージの内容、ファイルの内容等を用いて、新たな特徴情報を抽出する場合として、図12~図14を用いて、実施例2における情報収集配信サーバの処理について説明する。図12は、囮端末へのトラヒックから新たなシグネチャを生成する処理を説明する図である。図13は、囮端末へのトラヒックから新たなシグネチャを生成する処理を説明する図である。図14は、ファイルから特徴情報を抽出する処理を説明する図である。まず、図12を参照しつつ、コンテンツの内容を用いて、新たな特徴情報を抽出する場合について説明する。例えば、図12に示すように、囮端末22がマルウェア感染を引き起こすための通信501および504を行った場合に、情報収集配信サーバ10は、通信501および504に関する情報として、コンテンツの内容を収集するようにしてもよい。そして、情報収集配信サーバ10は、マルウェア感染を引き起こすための通信を検知するための特徴情報として、コンテンツの内容をユーザ端末31等に配布する。これにより、ユーザ端末31は、配布されたコンテンツの内容が部分一致する通信502、503を検知する。なお、情報収集配信サーバ10は、通信502、503のコンテンツの内容以外の情報を別の特徴情報とし、別の特徴情報を含む通信情報を特定し、特定された通信情報から、コンテンツの内容を抽出して新たな特徴情報とするようにしてもよい。次に、図13を参照しつつ、HTTPリクエストメッセージの内容を用いて、新たな特徴情報を抽出する場合について説明する。例えば、HTTPを用いた通信では、囮端末22への攻撃および攻撃を引き起こすための通信がHTTPレスポンスメッセージである場合があり、このような場合には、当該レスポンスの原因となったHTTPリクエストメッセージが存在する。このため、囮端末22から送信されたHTTPリクエストメッセージに起因して囮端末22への攻撃が発生した場合には、HTTPリクエストメッセージから攻撃の原因となった通信601~604を特定できる。このような場合に、情報収集配信サーバ10は、通信601~604のログ情報から、HTTPリクエストメッセージの一致する部分を抽出し、新たな特徴情報として登録し、ユーザサーバ33等に配信する。これにより、ユーザサーバ33は、配布されたHTTPリクエストメッセージの内容が部分一致する通信601~604を検知し、通信を遮断することができる。次に、図14を参照しつつ、ファイルの内容を用いて、新たな特徴情報を抽出する場合について説明する。例えば、図14に示すように、情報収集配信サーバ10は、既定の特徴情報botpscan217が記述されているファイル218を受信した際に、ルールに従って、ファイル218に記述されている別の特徴情報bothtflood219を抽出する。ここで、ルールとは、予めファイル内の位置を指定しておき、該当する位置にある行や文字列を抽出対象とする、または予め決めておいた文字列を含む行や文字列を抽出対象とするなどのルールである。そして、情報収集配信サーバ10は、別の特徴情報bothtflood219を含むファイルを受信した際に、ファイルを送受信する通信を特定種類の通信とするとともに、ファイルに記述されている特徴情報botufloodを新たな特徴情報として抽出し、新たな特徴情報として登録し、ユーザサーバ33等に配信する。このように、コンテンツの内容やHTTPリクエストメッセージの内容、ファイルの内容等を用いて、新たな特徴情報を抽出することで、特徴情報の量を増やし、ユーザ端末やユーザサーバへの未知の攻撃を適切に検知することが可能である。さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では実施例3として本発明に含まれる他の実施例を説明する。[システム構成]また、本実施例において説明した各処理の内、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上述文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散統合して構成することができる。プログラム上記実施例で説明した情報収集配信サーバ10は、あらかじめ用意されたプログラムをコンピュータで実行することで実現することもできる。そこで、以下では、図2に示した情報収集配信サーバ10と同様の機能を実現する特徴情報抽出プログラムを実行するコンピュータの一例を説明する。図15は、本実施例に係る特徴情報抽出プログラムを実行するコンピュータ1000を示す図である。図15に示すように、コンピュータ1000は、例えば、メモリ1010と、CPUCentralProcessingUnit1020と、ハードディスクドライブインタフェース1030と、ディスクドライブインタフェース1040と、シリアルポートインタフェース1050と、ビデオアダプタ1060と、ネットワークインタフェース1070とを有する。これらの各部は、バス1080によって接続される。メモリ1010は、ROMReadOnlyMemory1011およびRAMRandomAccessMemory1012を含む。ROM1010は、例えば、BIOSBasicInputOutputSystem等のブートプログラムを記憶する。ハードディスクドライブインタフェース1030は、ハードディスクドライブ1090に接続される。ディスクドライブインタフェース1040は、ディスクドライブ1100に接続される。ディスクドライブ1100には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース1050には、例えば、マウス1110およびキーボード1120が接続される。ビデオアダプタ1060には、例えば、ディスプレイ1130が接続される。ここで、図15に示すように、ハードディスクドライブ1090は、例えば、OSOperatingSystem1091、アプリケーションプログラム1092、プログラムモジュール1093およびプログラムデータ1094を記憶する。本実施例に係るファイル収集監視プログラムは、例えば、コンピュータ1000によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ1090に記憶される。また、ファイル収集監視プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ1090に記憶される。そして、CPU1020が、ハードディスクドライブ1090に記憶されたプログラムモジュールやプログラムデータを必要に応じてRAM1012に読み出して、各種の手順を実行する。なお、特徴情報抽出プログラムに係るプログラムモジュールやプログラムデータは、ハードディスクドライブ1090に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ1100等を介してCPU1020によって読み出されてもよい。あるいは、情報送受信プログラムに係るプログラムモジュールやプログラムデータは、LANLocalAreaNetworkやWANWideAreaNetwork等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース1070を介してCPU1020によって読み出されてもよい。これらの実施例やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。[その他]なお、本実施例で説明したアクセス制御プログラムは、インターネットなどのネットワークを介して配布することができる。また、制御プログラムは、ハードディスク、フレキシブルディスクFD、CD-ROM、MO、DVDなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。