ホーム > 特許ランキング > ＬＩＮＥヤフー株式会社
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024118312
(43)【公開日】2024-08-30
(54)【発明の名称】情報処理装置、情報処理方法、及び情報処理プログラム
(51)【国際特許分類】
G06Q 50/10 20120101AFI20240823BHJP
【ＦＩ】
G06Q50/10
【審査請求】未請求
【請求項の数】5
【出願形態】ＯＬ
(21)【出願番号】P 2023024670
(22)【出願日】2023-02-20
(71)【出願人】
【識別番号】500257300
【氏名又は名称】ＬＩＮＥヤフー株式会社
(74)【代理人】
【識別番号】110002147
【氏名又は名称】弁理士法人酒井国際特許事務所
(72)【発明者】
【氏名】中村 征良
【テーマコード（参考）】
5L049
5L050
【Ｆターム（参考）】
5L049CC12
5L049CC17
5L050CC12
5L050CC17
(57)【要約】
【課題】アクセス情報を分析して有用な情報を得ることができる情報処理装置、情報処理方法、及び情報処理プログラムを提供すること。
【解決手段】本開示に係る情報処理装置は、利用者のアクセスに関する情報を示すアクセス情報を取得する取得部と、アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定する全体分布特定部と、アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定する個別分布特定部と、全体アクセス分布と、個別アクセス分布との類似度を算出する類似度算出部と、類似度が所定の閾値を超える個別アクセス分布があるページには、不正アクセスがあったと判定する不正判定部と、を備える。
【選択図】図３
【解決手段】本開示に係る情報処理装置は、利用者のアクセスに関する情報を示すアクセス情報を取得する取得部と、アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定する全体分布特定部と、アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定する個別分布特定部と、全体アクセス分布と、個別アクセス分布との類似度を算出する類似度算出部と、類似度が所定の閾値を超える個別アクセス分布があるページには、不正アクセスがあったと判定する不正判定部と、を備える。
【選択図】図３
【特許請求の範囲】
【請求項1】
利用者のアクセスに関する情報を示すアクセス情報を取得する取得部と、
前記アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定する全体分布特定部と、
前記アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定する個別分布特定部と、
前記全体アクセス分布と、前記個別アクセス分布との類似度を算出する類似度算出部と、
前記類似度が所定の閾値を超える前記個別アクセス分布があるページには、不正アクセスがあったと判定する不正判定部と、
を備える、情報処理装置。
前記アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定する全体分布特定部と、
前記アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定する個別分布特定部と、
前記全体アクセス分布と、前記個別アクセス分布との類似度を算出する類似度算出部と、
前記類似度が所定の閾値を超える前記個別アクセス分布があるページには、不正アクセスがあったと判定する不正判定部と、
を備える、情報処理装置。
【請求項2】
前記類似度算出部は、前記全体アクセス分布における時系列アクセス分布と、前記個別アクセス分布における時系列アクセス分布の違いに基づいて、前記類似度を算出する、
請求項１に記載の情報処理装置。
請求項１に記載の情報処理装置。
【請求項3】
前記類似度算出部は、前記全体アクセス分布におけるアクセス元ＩＰアドレス分布と、前記個別アクセス分布におけるアクセス元ＩＰアドレス分布の違いに基づいて、前記類似度を算出する、
請求項１に記載の情報処理装置。
請求項１に記載の情報処理装置。
【請求項4】
利用者のアクセスに関する情報を示すアクセス情報を取得するステップと、
前記アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定するステップと、
前記アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定するステップと、
前記全体アクセス分布と、前記個別アクセス分布との類似度を算出するステップと、
前記類似度が所定の閾値を超える前記個別アクセス分布があるページには、不正アクセスがあったと判定するステップと、
を含む、情報処理方法。
前記アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定するステップと、
前記アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定するステップと、
前記全体アクセス分布と、前記個別アクセス分布との類似度を算出するステップと、
前記類似度が所定の閾値を超える前記個別アクセス分布があるページには、不正アクセスがあったと判定するステップと、
を含む、情報処理方法。
【請求項5】
利用者のアクセスに関する情報を示すアクセス情報を取得するステップと、
前記アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定するステップと、
前記アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定するステップと、
前記全体アクセス分布と、前記個別アクセス分布との類似度を算出するステップと、
前記類似度が所定の閾値を超える前記個別アクセス分布があるページには、不正アクセスがあったと判定するステップと、
をコンピュータに実行させる情報処理プログラム。
前記アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定するステップと、
前記アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定するステップと、
前記全体アクセス分布と、前記個別アクセス分布との類似度を算出するステップと、
前記類似度が所定の閾値を超える前記個別アクセス分布があるページには、不正アクセスがあったと判定するステップと、
をコンピュータに実行させる情報処理プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、情報処理装置、情報処理方法、及び情報処理プログラムに関する。
【背景技術】
【0002】
ＥＣ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｍｍｅｒｃｅ）サイトなどを運営する情報提供サービスを実施する事業者のサーバには、多方面からのアクセスがある。そのため、情報提供サービス事業者のサーバには、アクセスに関する多くのデータが蓄積されており、アクセスデータを監視して、障害や攻撃、不正などを検知することが行われていた。
【0003】
例えば、下記の特許文献１には、アクセスログに含まれるユーザの動線情報を分析するプログラムを実行するプロセッサと、ユーザの過去の動線情報をモデル化したアクセスモデルを格納する記憶装置と、を備え、プロセッサは、ユーザの現時点の動線情報とアクセスモデルとを照合することにより、ユーザの行動の変化の度合いを示す第１の値を算出することを特徴とするデータ分析装置が開示されている。
【先行技術文献】
【特許文献】
【0004】
【特許文献1】特開２０１６－２１１３２号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
しかしながら、特許文献１に記載のデータ分析装置は、事前に取得されたアクセスログに含まれる動線情報に基づいて作成されたユーザのアクセスモデルを照合してユーザの変化を検出することはできるものの、所定ドメインに含まれる個別ページに関する不正アクセスを判定することはできなかった。
【0006】
本開示は上記課題を鑑み、アクセス情報を分析して有用な情報を得ることができる情報処理装置、情報処理方法、及び情報処理プログラムを提供することを目的とする。
【課題を解決するための手段】
【0007】
上述した課題を解決し、目的を達成するために、本開示に係る情報処理装置は、利用者のアクセスに関する情報を示すアクセス情報を取得する取得部と、前記アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定する全体分布特定部と、前記アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定する個別分布特定部と、前記全体アクセス分布と、前記個別アクセス分布との類似度を算出する類似度算出部と、前記類似度が所定の閾値を超える前記個別アクセス分布があるページには、不正アクセスがあったと判定する不正判定部と、を備える。
【発明の効果】
【0008】
本開示によれば、アクセス情報を分析して有用な情報を得ることができる情報処理装置、情報処理方法、及び情報処理プログラムを提供することができる。
【図面の簡単な説明】
【0009】
【発明を実施するための形態】
【0010】
以下に、本開示に係る情報処理装置、情報処理方法、及び情報処理プログラムを実施するための形態（以下、「実施形態」と記載する。）について図面を参照しつつ詳細に説明する。なお、この実施形態により本開示に係る情報処理装置、情報処理方法、及び情報処理プログラムが限定されるものではない。
【0011】
（実施形態）
〔１．実施形態に係る情報処理〕
〔１－１．実施形態に係る情報処理の一例〕
まず、図１を用いて、実施形態に係る情報処理の一例について説明する。図１は、実施形態に係る情報処理の一例を示す図である。図１では、実施形態に係る情報処理が情報処理装置１００、利用者端末２００により実行される例を示す。以下、実施形態に係る情報処理についてステップごとに順を追って説明する。
〔１．実施形態に係る情報処理〕
〔１－１．実施形態に係る情報処理の一例〕
まず、図１を用いて、実施形態に係る情報処理の一例について説明する。図１は、実施形態に係る情報処理の一例を示す図である。図１では、実施形態に係る情報処理が情報処理装置１００、利用者端末２００により実行される例を示す。以下、実施形態に係る情報処理についてステップごとに順を追って説明する。
【0012】
まず、情報処理装置１００は、利用者端末２００から利用者のアクセス情報を取得する（ステップＳ１）。ここで、アクセス情報とは、利用者が利用者端末２００を用いて情報処理装置１００にアクセスしたときの行動に関する情報のことを指している。アクセス情報は、例えば、ユーザがＷＥＢサイトにログインした時からＷＥＢサイトからログアウトするまでの情報が記録されていてよく、ＷＥＢサイト上でのページ遷移の情報、ＷＥＢサイトを訪れた時間の情報、及びＷＥＢサイトでのクリック履歴などの利用者の行動に関する情報が含まれていてよい。情報処理装置１００は、利用者端末２００からアクセス情報を取得したら、取得したアクセス情報をアクセス情報記憶部１２１に記憶する。
【0013】
次に、情報処理装置１００は、アクセス情報に基づいて、利用者の全体アクセス分布を特定する（ステップＳ２）。例えば、情報処理装置１００は、全体アクセス分布として、アクセスの時系列分布、アクセス元ＩＰアドレスの分布、アクセス先での行動の分布を、アクセス情報が示すデータの所定ドメイン全体のアクセス傾向を確率モデル、言い換えると、確率分布などによって近似して全体アクセス分布を特定する。
【0014】
次に、情報処理装置１００は、アクセス情報に基づいて、個別アクセス分布を特定する（ステップＳ３）。例えば、情報処理装置１００は、所定のドメインに含まれるページ単位での、アクセスの時系列分布、アクセス元ＩＰアドレス分布、アクセス先での行動の分布を特定する。具体的には、情報処理装置１００は、アクセス情報が示すデータの所定ドメインの各ページ単位でのアクセス傾向を確率モデルなどによって近似して個別アクセス分布を特定する。
【0015】
次に、情報処理装置１００は、個別アクセス分布と、全体アクセス分布の類似度に基づいて不正アクセスを判定する（ステップＳ４）。例えば、情報処理装置１００は、全体アクセス分布の確率モデルと、個別アクセス分布の確率モデルとを比較して、両者の類似度を計算する。類似度を計算する方法は、二つの確率モデルの間の重なり具合を測るＫＬ（Ｋｕｌｌｂａｃｋ－Ｌｅｉｂｌｅｒ）ダイバージェンス、ＪＳ（Ｊｅｎｓｅｎ－ｓｈａｎｎｏｎ）ダイバージェンスを算出することにより実現されてよい。なお、ＫＬダイバージェンス、及びＪＳダイバージェンスによる表される類似度は、数値が大きいほど、二つの確率モデルが似ていないことを示す。例えば、情報処理装置１００は、所定ドメインにおける全体アクセス分布と、個別アクセス分布の類似度を、ＫＬダイバージェンスを用いて算出した場合に、所定の閾値、例えば、２を超える場合に、不正アクセスがあったと判定してよい。また、情報処理装置１００は、類似度算出部１３４が所定ドメインにおける全体アクセス分布と、個別アクセス分布の類似度を、ＫＬダイバージェンスを用いて算出した場合であれば、例えば、０．５を超える場合に、不正アクセスがあったと判定してよい。
【0016】
これによれば、所定ドメイン全体の全体アクセス分布と、所定ドメインの各ページ単位の個別アクセス分布を比較して、類似度が所定の閾値を超えるページがある場合に、不正アクセスがあったと判定して、不正アクセスを検知することができる。そのため、アクセス情報を分析して有用な情報を得ることができる情報処理装置１００を提供することができる。
【0017】
〔１－２．実施形態に係る情報処理の他の例〕
情報処理装置１００は、全体アクセス分布における時系列アクセス分布と、個別アクセス分布における時系列アクセス分布の違いに基づいて、類似度を算出する。
情報処理装置１００は、全体アクセス分布における時系列アクセス分布と、個別アクセス分布における時系列アクセス分布の違いに基づいて、類似度を算出する。
【0018】
この情報処理について順を追って説明する。まず、情報処理装置１００は、図１に示したステップＳ１からＳ３と同じ処理を実行する。ステップＳ１からＳ３は、上述した処理と同じであるから説明を省略する。
【0019】
次に、情報処理装置１００は、全体アクセス分布の時系列の変化と、個別アクセス分布の時系列の変化の違いに基づいて、類似度を算出し、個別アクセス分布と、全体アクセス分布の類似度に基づいて不正アクセスを判定する（ステップＳ４－１）。例えば、情報処理装置１００は、全体アクセス分布における時系列アクセス分布と、個別アクセス分布における時系列アクセス分布の違いに基づいて、ＫＬダイバージェンス、ＪＳダイバージェンスを算出することによって両者の類似度を計算する。そして、全体アクセス分布における時系列アクセス分布と、個別アクセス分布における時系列アクセス分布の類似度が所定の閾値を超えるページがある場合に、不正アクセスを判定する。つまり、情報処理装置１００は、所定ドメイン全体の時系列アクセス分布と、所定ドメインに含まれる個別ページの時系列アクセス分布の類似度を算出して、個々の類似度に基づいて、不正アクセスを判定する。
【0020】
これによれば、全体アクセス分布における時系列アクセス分布と、個別アクセス分布における時系列アクセス分布の違いに基づいて類似度を算出することができる。そのため、不正アクセスの判定において、時系列アクセス分布の類似度に基づいて、不正アクセスを判定することができる。
【0021】
〔１－３．実施形態に係る情報処理の他の例〕
情報処理装置１００は、全体アクセス分布における利用者のアクセスの訪問先の分布と、個別アクセス分布における利用者のアクセスの訪問先の分布の違いに基づいて、類似度を算出する。
情報処理装置１００は、全体アクセス分布における利用者のアクセスの訪問先の分布と、個別アクセス分布における利用者のアクセスの訪問先の分布の違いに基づいて、類似度を算出する。
【0022】
この情報処理について順を追って説明する。まず、情報処理装置１００は、図１に示したステップＳ１からＳ３と同じ処理を実行する。ステップＳ１からＳ３は、上述した処理と同じであるから説明を省略する。
【0023】
次に、情報処理装置１００は、全体アクセス分布におけるアクセス元ＩＰアドレス分布と、個別アクセス分布におけるアクセス元ＩＰアドレス分布の違いに基づいて、類似度を算出し、全体アクセス分布におけるアクセス元ＩＰアドレス分布と、個別アクセス分布におけるアクセス元ＩＰアドレス分布の類似度に基づいて不正アクセスを判定する（ステップＳ４－２）。例えば、情報処理装置１００は、全体アクセス分布におけるアクセス元ＩＰアドレス分布と、個別アクセス分布におけるアクセス元ＩＰアドレス分布の違いに基づいて、ＫＬダイバージェンス、ＪＳダイバージェンスを算出することによって両者の類似度を計算する。そして、全体アクセス分布におけるアクセス元ＩＰアドレス分布と、個別アクセス分布におけるアクセス元ＩＰアドレス分布の類似度が所定の閾値を超えるページがある場合に、不正アクセスを判定する。つまり、情報処理装置１００は、所定ドメイン全体のアクセス元ＩＰアドレス分布と、所定ドメインに含まれる個別ページのアクセス元ＩＰアドレス分布の類似度を算出して、個々の類似度に基づいて、不正アクセスを判定する。
【0024】
これによれば、全体アクセス分布におけるアクセス元ＩＰアドレス分布と、個別アクセス分布におけるアクセス元ＩＰアドレスの違いに基づいて類似度を算出することができる。そのため、不正アクセスの判定において、アクセス元ＩＰアドレス分布の類似度に基づいて、不正アクセスを判定することができる。
【0025】
〔２．情報処理システムの構成〕
次に、図２を用いて実施形態に係る情報処理システムの構成について説明する。図２は、実施形態に係る情報処理システムの構成例を示す図である。図２に示すように、実施形態に係る情報処理システム１は、情報処理装置１００と、利用者端末２００と、ネットワークＮを有する。以下、これらの構成について簡単に順を追って説明する。
次に、図２を用いて実施形態に係る情報処理システムの構成について説明する。図２は、実施形態に係る情報処理システムの構成例を示す図である。図２に示すように、実施形態に係る情報処理システム１は、情報処理装置１００と、利用者端末２００と、ネットワークＮを有する。以下、これらの構成について簡単に順を追って説明する。
【0026】
情報処理装置１００は、例えばＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、ＷＳ（Ｗｏｒｋ Ｓｔａｔｉｏｎ）、サーバの機能を備えるコンピュータなどの情報処理装置であってよい。情報処理装置１００は、例えば、利用者端末２００からネットワークＮを介して送信されてきた情報に基づいて処理を行う。
【0027】
利用者端末２００は、利用者が利用する情報処理装置である。利用者端末２００は、例えば、スマートフォン、タブレット型端末、デスクトップ型ＰＣ、ノート型ＰＣ、携帯電話機、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）等の情報処理装置であってよい。なお、図１に示す例においては、利用者端末２００がスマートフォンである場合を示している。
【0028】
ネットワークＮは、情報処理装置１００と、利用者端末２００を有線、又は無線により相互に通信可能に接続する。ネットワークＮが有線の場合は、ＩＥＥＥ８０２．３に規定されるイーサネット（登録商標）（ＥＴＨＥＲＮＥＴ（登録商標））により実現されてよい。また、ネットワークＮが無線の場合は、ＩＥＥＥ８０２．１１に規定される無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）により実現されてよい。
【0029】
〔３．情報処理装置の構成〕
次に、図３を用いて、情報処理装置１００の構成について説明する。
次に、図３を用いて、情報処理装置１００の構成について説明する。
【0030】
【0031】
（通信部１１０について）
通信部１１０は、例えば、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）、無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）カード等によって実現される。そして、通信部１１０は、ネットワークＮと有線または無線で接続され、利用者端末２００などとの間で情報の送受信を行う。
通信部１１０は、例えば、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）、無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）カード等によって実現される。そして、通信部１１０は、ネットワークＮと有線または無線で接続され、利用者端末２００などとの間で情報の送受信を行う。
【0032】
（記憶部１２０について）
記憶部１２０は、主記憶装置と外部記憶装置とを備える。主記憶装置は、制御部１３０が実行するプログラム、あるいは制御部１３０が処理するデータを記憶する。主記憶装置は、例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ（Ｆｌａｓｈ Ｍｅｍｏｒｙ）等のような半導体メモリ素子によって実現されてよい。外部記憶装置は、制御部１３０が処理するデータを保存する。外部記憶装置は、例えば、ハードディスクやＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、磁気テープ、光ディスク等によって実現されてよい。
記憶部１２０は、主記憶装置と外部記憶装置とを備える。主記憶装置は、制御部１３０が実行するプログラム、あるいは制御部１３０が処理するデータを記憶する。主記憶装置は、例えば、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ（Ｆｌａｓｈ Ｍｅｍｏｒｙ）等のような半導体メモリ素子によって実現されてよい。外部記憶装置は、制御部１３０が処理するデータを保存する。外部記憶装置は、例えば、ハードディスクやＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、磁気テープ、光ディスク等によって実現されてよい。
【0033】
図３に示すように、記憶部１２０は、アクセス情報記憶部１２１を有する。以下、これらの構成について順を追って説明する。
【0034】
（アクセス情報記憶部１２１について）
アクセス情報記憶部１２１は、アクセスに関係する情報を記憶する。ここで、図４を用いて、アクセス情報記憶部１２１が記憶する情報の一例を説明する。図４は、実施形態に係る情報処理装置のアクセス情報記憶部に記憶される情報の一例を示す図である。
アクセス情報記憶部１２１は、アクセスに関係する情報を記憶する。ここで、図４を用いて、アクセス情報記憶部１２１が記憶する情報の一例を説明する。図４は、実施形態に係る情報処理装置のアクセス情報記憶部に記憶される情報の一例を示す図である。
【0035】
図４に示す例において、アクセス情報記憶部１２１は、「アクセスＩＤ」、「ＩＰアドレス」、「アクセス日時」、「訪問先」、「行動情報」という項目に係る情報を紐付けて記憶する。
【0036】
「アクセスＩＤ」は、アクセスを識別する識別子であり、文字列や番号などによって表される。なお、「アクセスＩＤ」には、アクセスがあった利用者端末２００や利用者を識別する識別子が含まれていてもよい。「ＩＰアドレス」は、「アクセスＩＤ」によって識別されるアクセスがあったＩＰアドレスを示す。「アクセス日時」は、「アクセスＩＤ」により識別されるアクセスの日時を示し、例えば、ログイン日時とログオフ日時が含まれていてよい。「訪問先」は、「アクセスＩＤ」が示すアクセスによって訪問したＷＥＢサイトに関する情報を示す。「行動情報」は、「訪問先」が示すＷＥＢサイトによって行われたリンクのクリックや、入力ボックスへの文字入力などの行動に関する情報を示す。
【0037】
すなわち、図４においては、アクセスＩＤ「ＡＩＤ＃１」により識別されるアクセスのＩＰアドレスが「ＩＰＡＤ＃１」であり、アクセス日時が「ＡＣＴＭ＃１」であり、訪問先が「ＶＳＳＴ＃１」であり、行動情報が「ＡＣＴ＃１」であることを示している。
【0038】
なお、アクセス情報記憶部１２１に記憶される情報は、「アクセスＩＤ」、「ＩＰアドレス」、「アクセス日時」、「訪問先」、「行動情報」という項目に係る情報に限定されるものではなく、その他の任意のアクセスに関係する情報が記憶されてよい。
【0039】
（制御部１３０について）
次に、図３に戻って、制御部１３０について説明する。制御部１３０は、情報処理装置１００を制御するコントローラ（Ｃｏｎｔｒｏｌｌｅｒ）であり、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）やＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等によって、情報処理装置１００の記憶部１２０に記憶されている各種プログラムを読み出して、ＲＡＭを作業領域として実行されることにより実現される。また、制御部１３０は、コントローラであり、例えば、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ））等の集積回路により実現されてもよい。
次に、図３に戻って、制御部１３０について説明する。制御部１３０は、情報処理装置１００を制御するコントローラ（Ｃｏｎｔｒｏｌｌｅｒ）であり、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）やＭＰＵ（Ｍｉｃｒｏ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等によって、情報処理装置１００の記憶部１２０に記憶されている各種プログラムを読み出して、ＲＡＭを作業領域として実行されることにより実現される。また、制御部１３０は、コントローラであり、例えば、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ））等の集積回路により実現されてもよい。
【0040】
制御部１３０は、図３に示すように、取得部１３１と、全体分布特定部１３２と、個別分布特定部１３３と、類似度算出部１３４と、不正判定部１３５を有する。制御部１３０は、記憶部１２０からプログラムを読み出して、ＲＡＭを作業領域として実行することで、これらの機能を実現して、以下に説明する情報処理の機能や作用を実現または実行する。以下、これらの処理を、順を追って説明する。
【0041】
（取得部１３１について）
取得部１３１は、利用者のアクセスに関する情報を示すアクセス情報を取得する。この場合のアクセス情報には、例えば、ユーザがＷＥＢサイトにログインした時からＷＥＢサイトからログアウトするまでの情報が記録されていてよく、ＷＥＢサイト上でのページ遷移の情報、ＷＥＢサイトを訪れた時間の情報、及びＷＥＢサイトでのクリック履歴などの利用者の行動に関する情報が含まれていてよい。取得部１３１は、利用者端末２００からアクセスがあるたびに、利用者端末２００からアクセス情報を取得して、取得したアクセス情報をアクセス情報記憶部１２１に記憶する。
取得部１３１は、利用者のアクセスに関する情報を示すアクセス情報を取得する。この場合のアクセス情報には、例えば、ユーザがＷＥＢサイトにログインした時からＷＥＢサイトからログアウトするまでの情報が記録されていてよく、ＷＥＢサイト上でのページ遷移の情報、ＷＥＢサイトを訪れた時間の情報、及びＷＥＢサイトでのクリック履歴などの利用者の行動に関する情報が含まれていてよい。取得部１３１は、利用者端末２００からアクセスがあるたびに、利用者端末２００からアクセス情報を取得して、取得したアクセス情報をアクセス情報記憶部１２１に記憶する。
【0042】
（全体分布特定部１３２について）
全体分布特定部１３２は、アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定する。所定ドメインとは、ツリー構造に形成されたＷＥＢサイトの体系に含まれる個々ページの集合体のことを指している。ここで、全体アクセス分布としては、アクセスの時系列分布、アクセス元ＩＰアドレスの分布、アクセス先での行動の分布が挙げられる。全体分布特定部１３２は、アクセス情報が示すデータの所定ドメイン全体のアクセス傾向を確率モデル、言い換えると、確率分布などによって近似して全体アクセス分布を特定する。
全体分布特定部１３２は、アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定する。所定ドメインとは、ツリー構造に形成されたＷＥＢサイトの体系に含まれる個々ページの集合体のことを指している。ここで、全体アクセス分布としては、アクセスの時系列分布、アクセス元ＩＰアドレスの分布、アクセス先での行動の分布が挙げられる。全体分布特定部１３２は、アクセス情報が示すデータの所定ドメイン全体のアクセス傾向を確率モデル、言い換えると、確率分布などによって近似して全体アクセス分布を特定する。
【0043】
（個別分布特定部１３３について）
個別分布特定部１３３は、アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定する。すなわち、個別分布特定部１３３は、ドメインに含まれるページ単位での、アクセスの時系列分布、アクセス元ＩＰアドレス分布、アクセス先での行動の分布を特定する。個別分布特定部１３３は、アクセス情報が示すデータの所定ドメインの各ページ単位でのアクセス傾向を確率モデルなどによって近似して個別アクセス分布を特定する。
個別分布特定部１３３は、アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定する。すなわち、個別分布特定部１３３は、ドメインに含まれるページ単位での、アクセスの時系列分布、アクセス元ＩＰアドレス分布、アクセス先での行動の分布を特定する。個別分布特定部１３３は、アクセス情報が示すデータの所定ドメインの各ページ単位でのアクセス傾向を確率モデルなどによって近似して個別アクセス分布を特定する。
【0044】
（類似度算出部１３４について）
類似度算出部１３４は、全体アクセス分布と、個別アクセス分布との類似度を算出する。類似度算出部１３４は、全体アクセス分布の確率モデルと、個別アクセス分布の確率モデルとを比較して、両者の類似度を計算する。例えば、類似度算出部１３４は、所定ドメインに含まれるページ単位の個別アクセス分布と、全体アクセス分布との類似度をそれぞれ算出する。類似度は、全体アクセス分布、及び個別アクセス分布に含まれるアクセスの時系列分布、アクセス元ＩＰアドレス分布、アクセス先での行動分布のそれぞれについて計算される。なお、類似度を計算する方法は、二つの確率モデルの間の重なり具合を測るＫＬ（Ｋｕｌｌｂａｃｋ－Ｌｅｉｂｌｅｒ）ダイバージェンス、ＪＳ（Ｊｅｎｓｅｎ－ｓｈａｎｎｏｎ）ダイバージェンスを算出することにより実現されてよい。なお、ＫＬダイバージェンス、及びＪＳダイバージェンスによる表される類似度は、数値が大きいほど、二つの確率モデルが似ていないことを示す。
類似度算出部１３４は、全体アクセス分布と、個別アクセス分布との類似度を算出する。類似度算出部１３４は、全体アクセス分布の確率モデルと、個別アクセス分布の確率モデルとを比較して、両者の類似度を計算する。例えば、類似度算出部１３４は、所定ドメインに含まれるページ単位の個別アクセス分布と、全体アクセス分布との類似度をそれぞれ算出する。類似度は、全体アクセス分布、及び個別アクセス分布に含まれるアクセスの時系列分布、アクセス元ＩＰアドレス分布、アクセス先での行動分布のそれぞれについて計算される。なお、類似度を計算する方法は、二つの確率モデルの間の重なり具合を測るＫＬ（Ｋｕｌｌｂａｃｋ－Ｌｅｉｂｌｅｒ）ダイバージェンス、ＪＳ（Ｊｅｎｓｅｎ－ｓｈａｎｎｏｎ）ダイバージェンスを算出することにより実現されてよい。なお、ＫＬダイバージェンス、及びＪＳダイバージェンスによる表される類似度は、数値が大きいほど、二つの確率モデルが似ていないことを示す。
【0045】
すなわち、類似度算出部１３４は、全体アクセス分布におけるアクセスの時系列分布と、個別アクセス分布におけるアクセスの時系列分布の違いに基づいて、類似度を算出する。類似度算出部１３４が全体アクセス分布におけるアクセスの時系列分布と、個別アクセス分布におけるアクセスの時系列分布の違いに基づいて、類似度を算出する場合は、アクセスの時系列分布の確率モデルの間の重なり具合を測って類似度を算出してよい。
【0046】
類似度算出部１３４は、全体アクセス分布におけるアクセス元ＩＰアドレス分布と、個別アクセス分布におけるアクセス元ＩＰアドレス分布の違いに基づいて、類似度を算出する。類似度算出部１３４が全体アクセス分布におけるアクセス元ＩＰアドレス分布と、個別アクセス分布におけるアクセス元アドレス分布の違いに基づいて、類似度を算出する場合は、アクセス元ＩＰアドレスの確率モデルの重なり具合を測って類似度を算出してよい。
【0047】
（不正判定部１３５について）
不正判定部１３５は、全体アクセス分布と、個別アクセス分布の類似度が所定の閾値を超える個別アクセス分布があるページには、不正アクセスがあったと判定する。例えば、不正判定部１３５は、類似度算出部１３４が所定ドメインにおける全体アクセス分布と、個別アクセス分布の類似度を、ＫＬダイバージェンスを用いて算出した場合に、所定の閾値、例えば、２を超える場合に、不正アクセスがあったと判定してよい。また、不正判定部１３５は、類似度算出部１３４が所定ドメインにおける全体アクセス分布と、個別アクセス分布の類似度を、ＫＬダイバージェンスを用いて算出した場合であれば、例えば、０．５を超える場合に、不正アクセスがあったと判定してよい。
不正判定部１３５は、全体アクセス分布と、個別アクセス分布の類似度が所定の閾値を超える個別アクセス分布があるページには、不正アクセスがあったと判定する。例えば、不正判定部１３５は、類似度算出部１３４が所定ドメインにおける全体アクセス分布と、個別アクセス分布の類似度を、ＫＬダイバージェンスを用いて算出した場合に、所定の閾値、例えば、２を超える場合に、不正アクセスがあったと判定してよい。また、不正判定部１３５は、類似度算出部１３４が所定ドメインにおける全体アクセス分布と、個別アクセス分布の類似度を、ＫＬダイバージェンスを用いて算出した場合であれば、例えば、０．５を超える場合に、不正アクセスがあったと判定してよい。
【0048】
〔４．利用者端末の構成〕
次に、図５を用いて、実施形態に係る利用者端末２００の構成について説明する。図５は、実施形態に係る利用者端末の構成例を示す図である。図５に示すように、利用者端末２００は、通信部２１０と、入力部２２０と、出力部２３０と、制御部２４０を有する。
次に、図５を用いて、実施形態に係る利用者端末２００の構成について説明する。図５は、実施形態に係る利用者端末の構成例を示す図である。図５に示すように、利用者端末２００は、通信部２１０と、入力部２２０と、出力部２３０と、制御部２４０を有する。
【0049】
通信部２１０は、例えば、ＮＩＣ、無線ＬＡＮカード等によって実現される。そして、通信部２１０は、ネットワークＮと有線又は無線で接続され、ネットワークＮを介して、情報処理装置１００との間で各種の情報の送受信を行う。
【0050】
入力部２２０は、利用者から各種の操作情報が入力される。例えば、入力部２２０は、タッチパネルにより表示面（例えば出力部２３０）を介して利用者からの各種操作を受け付けてもよい。また、入力部２２０は、利用者端末２００に設けられたボタンや、利用者端末２００に接続されたキーボードやマウスからの各種操作を受け付けてもよい。
【0051】
出力部２３０は、例えば液晶ディスプレイや有機ＥＬ（Ｅｌｅｃｔｒｏ－Ｌｕｍｉｎｅｓｃｅｎｃｅ）ディスプレイ等によって実現されるタブレット型端末等の表示画面であり、各種情報を表示するための表示装置である。つまり、利用者端末２００は、入力部２２０がタッチパネルである場合は、出力部２３０である表示画面により利用者の入力を受け付け、利用者への出力も行う。また、出力部２３０は、スピーカーであってもよく、スピーカーにより音声を出力してよい。
【0052】
制御部２４０は、例えば、ＣＰＵやＭＰＵ等によって、利用者端末２００に記憶されている各種プログラムがＲＡＭを作業領域として実行されることにより実現される。また、制御部２４０は、例えば、ＡＳＩＣやＦＰＧＡ等の集積回路により実現されてもよい。
【0053】
図５に示すように、制御部２４０は、受付部２４１を有する。
【0054】
受付部２４１は、利用者の操作を受け付ける。例えば、受付部２４１は、利用者の所定のＷＥＢサイトへのアクセスに関する操作を受け付ける。例えば、受付部２４１は、利用者からＷＥＢサイトに表示されたリンクに対するクリック操作や、文字入力ボックスへの文字入力操作、スクロールバーに対するスワイプ操作といった操作を受け付ける。
【0055】
〔５．情報処理のフロー〕
次に、図６を用いて、実施形態に係る情報処理の手順について説明する。図６は、実施形態に係る情報処理の一例を示すフローチャートである。以下、図６に示すフローチャートに沿って、実施形態に係る情報処理の手順について説明する。
次に、図６を用いて、実施形態に係る情報処理の手順について説明する。図６は、実施形態に係る情報処理の一例を示すフローチャートである。以下、図６に示すフローチャートに沿って、実施形態に係る情報処理の手順について説明する。
【0056】
まず、情報処理装置１００は、利用者のアクセスに関する情報を示すアクセス情報を取得する（ステップＳ１０１）。次に、情報処理装置１００は、アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定する（ステップＳ１０２）。そして、情報処理装置１００は、アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定する（ステップＳ１０３）。そして、情報処理装置１００は、全体アクセス分布と、個別アクセス分布との類似度を算出する（ステップＳ１０４）。そして、情報処理装置１００は、類似度が所定の閾値を超える個別アクセス分布があるページには、不正アクセスがあったと判定する（ステップＳ１０５）。
【0057】
これによれば、所定ドメイン全体の全体アクセス分布と、所定ドメインの各ページ単位の個別アクセス分布を比較して、類似度が所定の閾値を超えるページがある場合に、不正アクセスがあったと判定して、不正アクセスを検知することができる。そのため、アクセス情報を分析して有用な情報を得ることができる情報処理装置１００、情報処理方法、及び情報処理プログラムを提供することができる。
【0058】
〔６．ハードウェア構成〕
また、上述した実施形態に係る情報処理装置１００は、例えば図７に示すような構成のコンピュータ１０００によって実現される。図７は、情報処理装置の機能を実現するコンピュータの一例を示すハードウェア構成図である。コンピュータ１０００は、出力装置１０１０、入力装置１０２０と接続され、演算装置１０３０、一次記憶装置１０４０、二次記憶装置１０５０、出力ＩＦ（Ｉｎｔｅｒｆａｃｅ）１０６０、入力ＩＦ１０７０、ネットワークＩＦ１０８０がバス１０９０により接続された形態を有する。
また、上述した実施形態に係る情報処理装置１００は、例えば図７に示すような構成のコンピュータ１０００によって実現される。図７は、情報処理装置の機能を実現するコンピュータの一例を示すハードウェア構成図である。コンピュータ１０００は、出力装置１０１０、入力装置１０２０と接続され、演算装置１０３０、一次記憶装置１０４０、二次記憶装置１０５０、出力ＩＦ（Ｉｎｔｅｒｆａｃｅ）１０６０、入力ＩＦ１０７０、ネットワークＩＦ１０８０がバス１０９０により接続された形態を有する。
【0059】
演算装置１０３０は、一次記憶装置１０４０や二次記憶装置１０５０に格納されたプログラムや入力装置１０２０から読み出したプログラム等に基づいて動作し、各種の処理を実行する。一次記憶装置１０４０は、ＲＡＭ等、演算装置１０３０が各種の演算に用いるデータを一次的に記憶するメモリ装置である。また、二次記憶装置１０５０は、演算装置１０３０が各種の演算に用いるデータや、各種のデータベースが記憶される記憶装置であり、ＲＯＭ(Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ)、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、フラッシュメモリ等により実現される。
【0060】
出力ＩＦ１０６０は、モニタやプリンタといった各種の情報を出力する出力装置１０１０に対し、出力対象となる情報を送信するためのインタフェースであり、例えば、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）やＤＶＩ（Ｄｉｇｉｔａｌ Ｖｉｓｕａｌ Ｉｎｔｅｒｆａｃｅ）、ＨＤＭＩ（登録商標）（Ｈｉｇｈ Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）といった規格のコネクタにより実現される。また、入力ＩＦ１０７０は、マウス、キーボード、およびスキャナ等といった各種の入力装置１０２０から情報を受信するためのインタフェースであり、例えば、ＵＳＢ等により実現される。
【0061】
なお、入力装置１０２０は、例えば、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）、ＰＤ（Ｐｈａｓｅ ｃｈａｎｇｅ ｒｅｗｒｉｔａｂｌｅ Ｄｉｓｋ）等の光学記録媒体、ＭＯ（Ｍａｇｎｅｔｏ－Ｏｐｔｉｃａｌ ｄｉｓｋ）等の光磁気記録媒体、テープ媒体、磁気記録媒体、または半導体メモリ等から情報を読み出す装置であってもよい。また、入力装置１０２０は、ＵＳＢメモリ等の外付け記憶媒体であってもよい。
【0062】
ネットワークＩＦ１０８０は、ネットワークＮを介して他の機器からデータを受信して演算装置１０３０へ送り、また、ネットワークＮを介して演算装置１０３０が生成したデータを他の機器へ送信する。
【0063】
演算装置１０３０は、出力ＩＦ１０６０や入力ＩＦ１０７０を介して、出力装置１０１０や入力装置１０２０の制御を行う。例えば、演算装置１０３０は、入力装置１０２０や二次記憶装置１０５０からプログラムを一次記憶装置１０４０上にロードし、ロードしたプログラムを実行する。
【0064】
例えば、コンピュータ１０００が情報処理装置１００として機能する場合、コンピュータ１０００の演算装置１０３０は、一次記憶装置１０４０上にロードされたプログラムを実行することにより、情報処理装置１００の制御部１３０の機能を実現する。
【0065】
〔７．構成と効果〕
本開示に係る情報処理装置１００は、利用者のアクセスに関する情報を示すアクセス情報を取得する取得部１３１と、アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定する全体分布特定部１３２と、アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定する個別分布特定部１３３と、全体アクセス分布と、個別アクセス分布との類似度を算出する類似度算出部１３４と、類似度が所定の閾値を超える個別アクセス分布があるページには、不正アクセスがあったと判定する不正判定部１３５と、を備える。
本開示に係る情報処理装置１００は、利用者のアクセスに関する情報を示すアクセス情報を取得する取得部１３１と、アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定する全体分布特定部１３２と、アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定する個別分布特定部１３３と、全体アクセス分布と、個別アクセス分布との類似度を算出する類似度算出部１３４と、類似度が所定の閾値を超える個別アクセス分布があるページには、不正アクセスがあったと判定する不正判定部１３５と、を備える。
【0066】
この構成によれば、所定ドメイン全体の全体アクセス分布と、所定ドメインの各ページ単位の個別アクセス分布を比較して、類似度が所定の閾値を超えるページがある場合に、不正アクセスがあったと判定して、不正アクセスを検知することができる。そのため、アクセス情報を分析して有用な情報を得ることができる情報処理装置１００を提供することができる。
【0067】
本開示に係る情報処理装置１００の類似度算出部１３４は、全体アクセス分布における時系列アクセス分布と、個別アクセス分布における時系列アクセス分布の違いに基づいて、類似度を算出する。
【0068】
この構成によれば、全体アクセス分布における時系列アクセス分布と、個別アクセス分布における時系列アクセス分布の違いに基づいて類似度を算出することができる。そのため、不正アクセスの判定において、時系列アクセス分布の類似度に基づいて、不正アクセスを判定することができる。
【0069】
本開示に係る情報処理装置１００の類似度算出部１３４は、全体アクセス分布におけるアクセス元ＩＰアドレス分布と、個別アクセス分布におけるアクセス元ＩＰアドレス分布の違いに基づいて、類似度を算出する。
【0070】
この構成によれば、全体アクセス分布におけるアクセス元ＩＰアドレス分布と、個別アクセス分布におけるアクセス元ＩＰアドレスの違いに基づいて類似度を算出することができる。そのため、不正アクセスの判定において、アクセス元ＩＰアドレス分布の類似度に基づいて、不正アクセスを判定することができる。
【0071】
本開示に係る情報処理方法は、利用者のアクセスに関する情報を示すアクセス情報を取得するステップと、記アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定するステップと、アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定するステップと、全体アクセス分布と、個別アクセス分布との類似度を算出するステップと、類似度が所定の閾値を超える個別アクセス分布があるページには、不正アクセスがあったと判定するステップと、を含む。
【0072】
この構成によれば、所定ドメイン全体の全体アクセス分布と、所定ドメインの各ページ単位の個別アクセス分布を比較して、類似度が所定の閾値を超えるページがある場合に、不正アクセスがあったと判定して、不正アクセスを検知することができる。そのため、アクセス情報を分析して有用な情報を得ることができる情報処理方法を提供することができる。
【0073】
本開示に係る情報処理プログラムは、利用者のアクセスに関する情報を示すアクセス情報を取得するステップと、記アクセス情報に基づいて、所定ドメイン全体のアクセス分布を示す全体アクセス分布を特定するステップと、アクセス情報に基づいて、所定ドメインの各ページ単位でのアクセス分布を示す個別アクセス分布を特定するステップと、全体アクセス分布と、個別アクセス分布との類似度を算出するステップと、類似度が所定の閾値を超える個別アクセス分布があるページには、不正アクセスがあったと判定するステップと、コンピュータに実行させる。
【0074】
この構成によれば、所定ドメイン全体の全体アクセス分布と、所定ドメインの各ページ単位の個別アクセス分布を比較して、類似度が所定の閾値を超えるページがある場合に、不正アクセスがあったと判定して、不正アクセスを検知することができる。そのため、アクセス情報を分析して有用な情報を得ることができる情報処理プログラムを提供することができる。
【0075】
以上、本願の実施形態を図面に基づいて詳細に説明したが、これは例示であり、発明の開示の欄に記載の態様を始めとして、当業者の知識に基づいて種々の変形、改良を施した他の形態で本発明を実施することが可能である。
【0076】
また、上述してきた「部（ｓｅｃｔｉｏｎ、ｍｏｄｕｌｅ、ｕｎｉｔ）」は、「手段」や「回路」などに読み替えることができる。例えば、取得部１３１は、取得手段や取得回路に読み替えることができる。
【符号の説明】
【0077】
１ 情報処理システム
１００ 情報処理装置
１１０ 通信部
１２０ 記憶部
１２１ アクセス情報記憶部
１３０ 制御部
１３１ 取得部
１３２ 全体分布特定部
１３３ 個別分布特定部
１３４ 類似度算出部
１３５ 不正判定部
２００ 利用者端末
２１０ 通信部
２２０ 入力部
２３０ 出力部
２４０ 制御部
２４１ 受付部
Ｎ ネットワーク
１００ 情報処理装置
１１０ 通信部
１２０ 記憶部
１２１ アクセス情報記憶部
１３０ 制御部
１３１ 取得部
１３２ 全体分布特定部
１３３ 個別分布特定部
１３４ 類似度算出部
１３５ 不正判定部
２００ 利用者端末
２１０ 通信部
２２０ 入力部
２３０ 出力部
２４０ 制御部
２４１ 受付部
Ｎ ネットワーク
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】