特開 2024-90333 不正検知装置、不正検知方法、およびプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024090333

(43)【公開日】2024-07-04

(54)【発明の名称】不正検知装置、不正検知方法、およびプログラム

(51)【国際特許分類】

   H04L 12/22 20060101AFI20240627BHJP

【ＦＩ】

H04L12/22

【審査請求】未請求

【請求項の数】17

【出願形態】ＯＬ

(21)【出願番号】P 2022206164

(22)【出願日】2022-12-23

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＡＮＤＲＯＩＤ

２．ｉＯＳ

(71)【出願人】

【識別番号】518038836

【氏名又は名称】株式会社Ｓｐｉｄｅｒ Ｌａｂｓ

(74)【代理人】

【識別番号】100115749

【弁理士】

【氏名又は名称】谷川 英和

(72)【発明者】

【氏名】エウリコ ドイラド

(72)【発明者】

【氏名】赤石 暁

【テーマコード（参考）】

5K030

【Ｆターム（参考）】

5K030GA15

5K030JA10

5K030MA04

5K030MB09

5K030MC08

(57)【要約】

【課題】従来、ネットワーク、サイト、およびＩＰアドレスの３層構造の全階層に対する包括的な不正検知ができなかった。
【解決手段】ネットワーク情報を取得するネットワーク情報取得部１３１と、ネットワーク情報を用いて、一のネットワークに対する不正検知を行い、ネットワーク検知結果を取得するネットワーク不正検知部１３５と、サイト情報を取得するサイト情報取得部１３２と、サイト情報を用いて、一のサイトに対する不正検知を行い、サイト検知結果を取得するサイト不正検知部１３６と、ＩＰアドレス情報を取得するＩＰアドレス情報取得部１３３と、ＩＰアドレス情報を用いて、一のＩＰアドレスに対する不正検知を行い、ＩＰアドレス検知結果を取得するＩＰアドレス不正検知部１３７と、ネットワーク検知結果とサイト検知結果とＩＰアドレス検知結果とを出力する出力部１４１とを具備する不正検知装置１により、上記課題を解決できる。
【選択図】図３

【特許請求の範囲】

【請求項1】

１または２以上のサイトを含む一のネットワークに関するネットワーク情報を取得するネットワーク情報取得部と、
前記ネットワーク情報取得部が取得した前記ネットワーク情報を用いて、前記一のネットワークに対する不正検知を行い、ネットワーク検知結果を取得するネットワーク不正検知部と、
一のサイトに関するサイト情報を取得するサイト情報取得部と、
前記サイト情報取得部が取得した前記サイト情報を用いて、前記一のサイトに対する不正検知を行い、サイト検知結果を取得するサイト不正検知部と、
一のＩＰアドレスに関するＩＰアドレス情報を取得するＩＰアドレス情報取得部と、
前記ＩＰアドレス情報取得部が取得した前記ＩＰアドレス情報を用いて、前記一のＩＰアドレスに対する不正検知を行い、ＩＰアドレス検知結果を取得するＩＰアドレス不正検知部と、
前記ネットワーク検知結果と前記サイト検知結果と前記ＩＰアドレス検知結果とを出力する出力部とを具備する不正検知装置。

【請求項2】

一のユーザが行った操作に関するユーザ操作情報を取得するユーザ操作情報取得部と、
前記ユーザ操作情報取得部が取得した前記ユーザ操作情報を用いて、前記一のユーザに対する不正検知を行い、ユーザ検知結果を取得するユーザ不正検知部とをさらに具備し、
前記出力部は、
前記ユーザ検知結果をも出力する、請求項１記載の不正検知装置。

【請求項3】

前記ネットワーク情報取得部は、
前記一のネットワークにおけるアプリケーションのダウンロード数、当該一のネットワークに属するサイト数、日本語でない言語の設定がされているユーザ端末からのアクセス数、日本語でない言語の設定がされているユーザ端末からのアプリのインストール数、日本ではないアクセス元であるユーザ端末からのアクセス数、日本ではないアクセス元であるユーザ端末からのアプリのインストール数、ＣＶ操作に該当する操作識別子の数、予め決められた条件を満たす端末の端末種類識別子で識別され種類のユーザ端末からのアクセス数、予め決められた条件を満たすＯＳのＯＳ種類識別子で識別されるＯＳを搭載したユーザ端末からのアクセス数のうちの１以上のネットワーク属性値を含む２以上のネットワーク属性値を取得し、
前記ネットワーク不正検知部は、
前記２以上のネットワーク属性値を用いて、前記一のネットワークに対する不正検知を行い、ネットワーク検知結果を取得する、請求項１または請求項２記載の不正検知装置。

【請求項4】

前記ネットワーク情報取得部は、
前記一のネットワークにおける特徴量の分布に関するネットワーク分布情報であるネットワーク属性値を取得し、
前記ネットワーク不正検知部は、
前記ネットワーク属性値を用いて、前記一のネットワークに対する不正検知を行い、ネットワーク検知結果を取得する、請求項１または請求項２記載の不正検知装置。

【請求項5】

前記ネットワーク分布情報に対する正当な情報を特定するネットワーク正当分布情報が格納される正当情報格納部をさらに具備し、
前記ネットワーク不正検知部は、
前記ネットワーク情報取得部が取得した前記ネットワーク分布情報と前記ネットワーク正当分布情報との差異に関するネットワーク分布差異情報を取得し、当該ネットワーク分布差異情報を用いて、前記ネットワーク検知結果を取得し、
予め決められた更新条件を満たした場合に、前記ネットワーク正当分布情報を更新する正当情報更新部をさらに具備する、請求項４記載の不正検知装置。

【請求項6】

前記サイト情報取得部は、
前記一のサイトにおける特徴量の分布に関するサイト分布情報を取得し、
前記サイト不正検知部は、
前記サイト分布情報を用いて、前記一のサイトに対する不正検知を行い、サイト検知結果を取得する、請求項１または請求項２記載の不正検知装置。

【請求項7】

前記サイト分布情報は、ＣＴＩＴの分布に関する情報、当該サイトにアクセスされるユーザ端末のＯＳのバーションごとのシェアであるＯＳバージョンシェアの分布に関する情報、当該サイトにアクセスされるユーザ端末の種類ごとのユーザ端末シェアの分布に関する情報、当該サイトにアクセスされるプロバイダーの種類ごとのプロバイダーシェアの分布に関する情報、当該サイトにアクセスされる地域の種類ごとの地域シェアの分布に関する情報のいずれかを含む、請求項５記載の不正検知装置。

【請求項8】

前記サイト分布情報に対する正当な情報を特定するサイト正当分布情報が格納される正当情報格納部をさらに具備し、
前記サイト不正検知部は、
前記サイト情報取得部が取得した前記サイト分布情報と前記サイト正当分布情報との差異に関するサイト分布差異情報を取得し、当該サイト分布差異情報を用いて、前記サイト検知結果を取得し、
予め決められた更新条件を満たした場合に、前記サイト正当分布情報を更新する正当情報更新部をさらに具備する、請求項６または請求項７記載の不正検知装置。

【請求項9】

前記サイト情報取得部は、
前記一のサイトの記述に用いられている２種類以上の特定の各タグの数である２以上のタグ数を取得し、
前記サイト不正検知部は、
前記２以上のタグ数を用いて、前記一のサイトに対する不正検知を行い、サイト検知結果を取得する、請求項１記載の不正検知装置。

【請求項10】

前記サイト不正検知部は、
２以上の各サイトの２以上のタグ数を用いて、２以上のサイトをクラスタリングし、前記２以上のタグ数を用いた検査では不正なサイトではないと判断したサイトでも、前記２以上のタグ数を用いた検査で不正であると判断したサイトと同じクラスに属するサイトを不正なサイトであると判断して、前記サイト検知結果を取得する、請求項９記載の不正検知装置。

【請求項11】

前記サイト情報取得部は、
２以上の各サイトのサイト情報を取得し、
前記サイト不正検知部は、
当該サイト情報を用いて、２以上の各サイトが不正なサイトの候補であるか否かの簡易検査を行い、当該簡易検査の結果が不正であると判断された１以上の各サイトのサイト情報を用いて、１以上の各サイトが不正なサイトであるか否かの詳細検査を行い、サイト検知結果を取得する、請求項１または請求項２記載の不正検知装置。

【請求項12】

前記ＩＰアドレス情報取得部は、
前記一のＩＰアドレスにアクセスしたユーザ端末の１以上の各種類の数である種類別アクセス数を含む１以上のＩＰアドレス属性値を取得し、
前記ＩＰアドレス不正検知部は、
前記１以上のＩＰアドレス属性値を用いて、前記一のＩＰアドレスに対する不正検知を行い、ＩＰアドレス検知結果を取得する、請求項１記載の不正検知装置。

【請求項13】

前記ＩＰアドレス情報取得部は、
一のＩＰアドレスに対して、ユーザ端末の種類を特定する種類識別子と前記ユーザ端末の画面サイズを特定するサイズ情報とを含む２以上のＩＰアドレス属性値を取得し、
前記ＩＰアドレス不正検知部は、
前記２以上のＩＰアドレス属性値に含まれる前記種類識別子に対応する画面サイズと、前記サイズ情報が示す画面サイズとが不一致である前記２以上のＩＰアドレス属性値が不正条件を満たすほど多い場合に、不正であることを示すＩＰアドレス検知結果を取得する、請求項１２記載の不正検知装置。

【請求項14】

前記ユーザ操作情報取得部は、
一のフィンガープリント情報と対になる２以上のユーザ操作情報を取得し、
前記ユーザ不正検知部は、
前記２以上のユーザ操作情報の中に特定の操作を示す操作情報が頻度条件を満たすほど多く含まれる場合、不正であることを示すユーザ検知結果を取得する、請求項２記載の不正検知装置。

【請求項15】

前記特定の操作を示す操作情報の正当な頻度を示す頻度正当情報が格納される正当情報格納部をさらに具備し、
前記ユーザ不正検知部は、
前記２以上のユーザ操作情報の中に特定の操作を示す操作情報の頻度情報が頻度正当情報と比較して、頻度条件を満たすほど多く含まれる場合、不正であることを示すユーザ検知結果を取得する、請求項１４記載の不正検知装置。

【請求項16】

ネットワーク情報取得部と、ネットワーク不正検知部と、サイト情報取得部と、サイト不正検知部と、ＩＰアドレス情報取得部と、ＩＰアドレス不正検知部と、出力部とにより実現される不正検知方法であって、
前記ネットワーク情報取得部が、１または２以上のサイトを含む一のネットワークに関するネットワーク情報を取得するネットワーク情報取得ステップと、
前記ネットワーク不正検知部が、前記ネットワーク情報取得ステップで取得された前記ネットワーク情報を用いて、前記一のネットワークに対する不正検知を行い、ネットワーク検知結果を取得するネットワーク不正検知ステップと、
前記サイト情報取得部が、一のサイトに関するサイト情報を取得するサイト情報取得ステップと、
前記サイト不正検知部が、前記サイト情報取得ステップで取得された前記サイト情報を用いて、前記一のサイトに対する不正検知を行い、サイト検知結果を取得するサイト不正検知ステップと、
前記ＩＰアドレス情報取得部が、一のＩＰアドレスに関するＩＰアドレス情報を取得するＩＰアドレス情報取得ステップと、
前記ＩＰアドレス不正検知部が、前記ＩＰアドレス情報取得ステップで取得された前記ＩＰアドレス情報を用いて、前記一のＩＰアドレスに対する不正検知を行い、ＩＰアドレス検知結果を取得するＩＰアドレス不正検知ステップと、
前記出力部が、前記ネットワーク検知結果と前記サイト検知結果と前記ＩＰアドレス検知結果とを出力する出力ステップとを具備する不正検知方法。

【請求項17】

コンピュータを
１または２以上のサイトを含む一のネットワークに関するネットワーク情報を取得するネットワーク情報取得部と、
前記ネットワーク情報取得部が取得した前記ネットワーク情報を用いて、前記一のネットワークに対する不正検知を行い、ネットワーク検知結果を取得するネットワーク不正検知部と、
一のサイトに関するサイト情報を取得するサイト情報取得部と、
前記サイト情報取得部が取得した前記サイト情報を用いて、前記一のサイトに対する不正検知を行い、サイト検知結果を取得するサイト不正検知部と、
一のＩＰアドレスに関するＩＰアドレス情報を取得するＩＰアドレス情報取得部と、
前記ＩＰアドレス情報取得部が取得した前記ＩＰアドレス情報を用いて、前記一のＩＰアドレスに対する不正検知を行い、ＩＰアドレス検知結果を取得するＩＰアドレス不正検知部と、
前記ネットワーク検知結果と前記サイト検知結果と前記ＩＰアドレス検知結果とを出力する出力部として機能させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ネットワーク、サイト、およびＩＰアドレスに対する不正検知を行う不正検知装置等に関するものである。

【背景技術】

【0002】

従来、ユーザによるサービスの利用状況に応じた特徴量を用いて、機械学習により、ユーザの不正を検知するシステムがあった（特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特許第７１３３１０７号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

しかしながら、従来技術においては、ネットワーク、サイト、およびＩＰアドレスの３層構造の全階層に対する包括的な不正検知ができなかった。

【課題を解決するための手段】

【0005】

本第一の発明の不正検知装置は、１または２以上のサイトを含む一のネットワークに関するネットワーク情報を取得するネットワーク情報取得部と、ネットワーク情報取得部が取得したネットワーク情報を用いて、一のネットワークに対する不正検知を行い、ネットワーク検知結果を取得するネットワーク不正検知部と、一のサイトに関するサイト情報を取得するサイト情報取得部と、サイト情報取得部が取得したサイト情報を用いて、一のサイトに対する不正検知を行い、サイト検知結果を取得するサイト不正検知部と、一のＩＰアドレスに関するＩＰアドレス情報を取得するＩＰアドレス情報取得部と、ＩＰアドレス情報取得部が取得したＩＰアドレス情報を用いて、一のＩＰアドレスに対する不正検知を行い、ＩＰアドレス検知結果を取得するＩＰアドレス不正検知部と、ネットワーク検知結果とサイト検知結果とＩＰアドレス検知結果とを出力する出力部とを具備する不正検知装置である。

【0006】

かかる構成により、ネットワーク、サイト、およびＩＰアドレスの３層構造の全階層に対する包括的な不正検知ができる。

【0007】

また、本第二の発明の不正検知装置は、第一の発明に対して、一のユーザが行った操作に関するユーザ操作情報を取得するユーザ操作情報取得部と、ユーザ操作情報取得部が取得したユーザ操作情報を用いて、一のユーザに対する不正検知を行い、ユーザ検知結果を取得するユーザ不正検知部とをさらに具備し、出力部は、ユーザ検知結果をも出力する、不正検知装置である。

【0008】

かかる構成により、ユーザに対する不正検知をも含めた、より包括的な不正検知ができる。

【0009】

また、本第三の発明の不正検知装置は、第一または第二の発明に対して、ネットワーク情報取得部は、一のネットワークにおけるアプリケーションのダウンロード数、一のネットワークに属するサイト数、日本語でない言語の設定がされているユーザ端末からのアクセス数、日本語でない言語の設定がされているユーザ端末からのアプリのインストール数、日本ではないアクセス元であるユーザ端末からのアクセス数、日本ではないアクセス元であるユーザ端末からのアプリのインストール数、ＣＶ操作に該当する操作識別子の数、予め決められた条件を満たす端末の端末種類識別子で識別され種類のユーザ端末からのアクセス数、予め決められた条件を満たすＯＳのＯＳ種類識別子で識別されるＯＳを搭載したユーザ端末からのアクセス数のうちの１以上のネットワーク属性値を含む２以上のネットワーク属性値を取得し、ネットワーク不正検知部は、２以上のネットワーク属性値を用いて、一のネットワークに対する不正検知を行い、ネットワーク検知結果を取得する、不正検知装置である。

【0010】

かかる構成により、ネットワークに対する適切な不正検知ができる。

【0011】

また、本第四の発明の不正検知装置は、第一または第二の発明に対して、ネットワーク情報取得部は、一のネットワークにおける特徴量の分布に関するネットワーク分布情報であるネットワーク属性値を取得し、ネットワーク不正検知部は、ネットワーク属性値を用いて、一のネットワークに対する不正検知を行い、ネットワーク検知結果を取得する、不正検知装置である。

【0012】

かかる構成により、ネットワークに対するより適切な不正検知ができる。

【0013】

また、本第五の発明の不正検知装置は、第四の発明に対して、ネットワーク分布情報に対する正当な情報を特定するネットワーク正当分布情報が格納される正当情報格納部をさらに具備し、ネットワーク不正検知部は、ネットワーク情報取得部が取得したネットワーク分布情報とネットワーク正当分布情報との差異に関するネットワーク分布差異情報を取得し、ネットワーク分布差異情報を用いて、ネットワーク検知結果を取得し、予め決められた更新条件を満たした場合に、ネットワーク正当分布情報を更新する正当情報更新部をさらに具備する、不正検知装置である。

【0014】

かかる構成により、ネットワークに対するより適切な不正検知ができる。

【0015】

また、本第六の発明の不正検知装置は、第一または第二の発明に対して、サイト情報取得部は、一のサイトにおける特徴量の分布に関するサイト分布情報を取得し、サイト不正検知部は、サイト分布情報を用いて、一のサイトに対する不正検知を行い、サイト検知結果を取得する、不正検知装置である。

【0016】

かかる構成により、サイトに対する適切な不正検知ができる。

【0017】

また、本第七の発明の不正検知装置は、第五の発明に対して、サイト分布情報は、ＣＴＩＴの分布に関する情報、サイトにアクセスされるユーザ端末のＯＳのバーションごとのシェアであるＯＳバージョンシェアの分布に関する情報、サイトにアクセスされるユーザ端末の種類ごとのユーザ端末シェアの分布に関する情報、当該サイトにアクセスされるプロバイダーの種類ごとのプロバイダーシェアの分布に関する情報、当該サイトにアクセスされる地域の種類ごとの地域シェアの分布に関する情報のいずれかを含む、不正検知装置である。

【0018】

かかる構成により、サイトに対するより適切な不正検知ができる。

【0019】

また、本第八の発明の不正検知装置は、第六または第七の発明に対して、サイト分布情報に対する正当な情報を特定するサイト正当分布情報が格納される正当情報格納部をさらに具備し、サイト不正検知部は、サイト情報取得部が取得したサイト分布情報とサイト正当分布情報との差異に関するサイト分布差異情報を取得し、サイト分布差異情報を用いて、サイト検知結果を取得し、予め決められた更新条件を満たした場合に、サイト正当分布情報を更新する正当情報更新部をさらに具備する、不正検知装置である。

【0020】

かかる構成により、サイトに対するより適切な不正検知ができる。

【0021】

また、本第九の発明の不正検知装置は、第一の発明に対して、サイト情報取得部は、一のサイトの記述に用いられている２種類以上の特定の各タグの数である２以上のタグ数を取得し、サイト不正検知部は、２以上のタグ数を用いて、一のサイトに対する不正検知を行い、サイト検知結果を取得する、不正検知装置である。

【0022】

かかる構成により、サイトに対するより適切な不正検知ができる。

【0023】

また、本第十の発明の不正検知装置は、第九の発明に対して、サイト不正検知部は、２以上の各サイトの２以上のタグ数を用いて、２以上のサイトをクラスタリングし、２以上のタグ数を用いた検査では不正なサイトではないと判断したサイトでも、２以上のタグ数を用いた検査で不正であると判断したサイトと同じクラスに属するサイトを不正なサイトであると判断して、サイト検知結果を取得する、不正検知装置である。

【0024】

かかる構成により、サイトに対するより適切な不正検知ができる。

【0025】

また、本第十一の発明の不正検知装置は、第一または第二の発明に対して、サイト情報取得部は、２以上の各サイトのサイト情報を取得し、サイト不正検知部は、サイト情報を用いて、２以上の各サイトが不正なサイトの候補であるか否かの簡易検査を行い、簡易検査の結果が不正であると判断された１以上の各サイトのサイト情報を用いて、１以上の各サイトが不正なサイトであるか否かの詳細検査を行い、サイト検知結果を取得する、不正検知装置である。

【0026】

かかる構成により、サイトに対するより適切な不正検知ができる。

【0027】

また、本第十二の発明の不正検知装置は、第一の発明に対して、ＩＰアドレス情報取得部は、一のＩＰアドレスにアクセスしたユーザ端末の１以上の各種類の数である種類別アクセス数を含む１以上のＩＰアドレス属性値を取得し、ＩＰアドレス不正検知部は、１以上のＩＰアドレス属性値を用いて、一のＩＰアドレスに対する不正検知を行い、ＩＰアドレス検知結果を取得する、不正検知装置である。

【0028】

かかる構成により、ＩＰアドレスに対する適切な不正検知ができる。

【0029】

また、本第十三の発明の不正検知装置は、第十二の発明に対して、ＩＰアドレス情報取得部は、一のＩＰアドレスに対して、ユーザ端末の種類を特定する種類識別子とユーザ端末の画面サイズを特定するサイズ情報とを含む２以上のＩＰアドレス属性値を取得し、ＩＰアドレス不正検知部は、２以上のＩＰアドレス属性値に含まれる種類識別子に対応する画面サイズと、サイズ情報が示す画面サイズとが不一致である２以上のＩＰアドレス属性値が不正条件を満たすほど多い場合に、不正であることを示すＩＰアドレス検知結果を取得する、不正検知装置である。

【0030】

かかる構成により、ＩＰアドレスに対するより適切な不正検知ができる。

【0031】

また、本第十四の発明の不正検知装置は、第二の発明に対して、ユーザ操作情報取得部は、一のフィンガープリント情報と対になる２以上のユーザ操作情報を取得し、ユーザ不正検知部は、２以上のユーザ操作情報の中に特定の操作を示す操作情報が頻度条件を満たすほど多く含まれる場合、不正であることを示すユーザ検知結果を取得する、不正検知装置である。

【0032】

かかる構成により、ユーザに対する適切な不正検知ができる。

【0033】

また、本第十五の発明の不正検知装置は、第十四の発明に対して、特定の操作を示す操作情報の正当な頻度を示す頻度正当情報が格納される正当情報格納部をさらに具備し、ユーザ不正検知部は、２以上のユーザ操作情報の中に特定の操作を示す操作情報の頻度情報が頻度正当情報と比較して、頻度条件を満たすほど多く含まれる場合、不正であることを示すユーザ検知結果を取得する、不正検知装置である。

【0034】

かかる構成により、ユーザに対するより適切な不正検知ができる。

【発明の効果】

【0035】

本発明による不正検知装置によれば、ネットワーク、サイト、およびＩＰアドレスの３層構造の全階層に対する包括的な不正検知ができる。

【図面の簡単な説明】

【0036】

【図1】実施の形態１における不正検知システムＡの概念図

【図2】同不正検知システムＡのブロック図

【図3】同不正検知装置１のブロック図

【図4】同不正検知装置１の動作例について説明するフローチャート

【図5】同ネットワーク不正処理の例について説明するフローチャート

【図6】同サイト不正処理の例について説明するフローチャート

【図7】同ＩＰアドレス不正処理の例について説明するフローチャート

【図8】同ユーザ不正処理の例について説明するフローチャート

【図9】同正当情報更新処理の例について説明するフローチャート

【図10】同サーバ２の動作例について説明するフローチャート

【図11】同ユーザ端末３の動作例について説明するフローチャート

【図12】同不正条件管理表を示す図

【図13】同不正条件管理表を示す図

【図14】同不正条件管理表を示す図

【図15】同出力例を示す図

【図16】同出力例を示す図

【図17】同出力例を示す図

【図18】同出力例を示す図

【図19】同コンピュータシステムの概観図

【図20】同コンピュータシステムのブロック図

【発明を実施するための形態】

【0037】

以下、不正検知装置等の実施形態について図面を参照して説明する。なお、実施の形態において同じ符号を付した構成要素は同様の動作を行うので、再度の説明を省略する場合がある。

【0038】

（実施の形態１）
本実施の形態において、ネットワークに対する不正検知、サイトに対する不正検知、およびＩＰアドレスに対する不正検知を行い、各々に対する検知結果を出力する不正検知装置を具備する不正検知システムについて説明する。なお、一のネットワークには、１または２以上のサイトが存在する。

【0039】

また、本実施の形態において、ユーザに対する不正検知も行い、当該検知結果をも出力する不正検知装置を具備する不正検知システムについて説明する。

【0040】

なお、ネットワークに対する不正検知には、例えば、アプリのダウンロード数と当該ネットワークに属するサイト数との関係に関する情報、ネットワークに関する正当な特徴量の分布が用いられる。また、正当な特徴量の分布は、例えば、定期的に更新される。

【0041】

また、サイトに対する不正検知には、例えば、不正なサイトのＨＴＭＬの２以上の各タグの個数が用いられる。また、サイトに対する不正検知には、例えば、簡易検査により不正候補のサイトを検出し、当該不正候補から詳細検査により、不正なサイトを検知するといった方法が用いられる。

【0042】

また、ＩＰアドレスに対する不正検知には、例えば、ユーザ端末の種類ごとのアクセス数が用いられる。

【0043】

さらに、ユーザに対する不正検知には、例えば、ユーザが行った操作の情報の中に特定の操作の情報が用いられる。

【0044】

なお、本実施の形態において、情報Ｘが情報Ｙに対応付いていることは、情報Ｘから情報Ｙを取得できること、または情報Ｙから情報Ｘを取得できることであり、その対応付けの方法は問わない。情報Ｘと情報Ｙとがリンク付いていても良いし、同じバッファに存在していても良いし、情報Ｘが情報Ｙに含まれていても良いし、情報Ｙが情報Ｘに含まれている等でも良い。

【0045】

図１は、本実施の形態における不正検知システムＡの概念図である。不正検知システムＡは、不正検知装置１、１または２以上のサーバ２、および１または２以上のユーザ端末３を備える。

【0046】

不正検知装置１は、サーバ２とユーザ端末３のうちの１種類または２種類の装置から元情報を受信し、当該元情報を用いて、ネットワークに対する不正検知、サイトに対する不正検知、およびＩＰアドレスに対する不正検知を行い、各々に対する検知結果を出力する装置である。なお、元情報とは、不正検知のための情報を取得するための元になる情報である。元情報は、通常、ユーザのユーザ端末３に対する操作の結果、構成される情報である。元情報は、通常、ユーザのユーザ端末３からサーバ２にアクセスされた結果、構成される情報である。

【0047】

不正検知装置１は、通常、サーバであり、例えば、クラウドサーバ、ＡＳＰサーバであるが、その種類は問わない。

【0048】

サーバ２は、ユーザ端末３からアクセスされる装置である。サーバ２には、例えば、１または２以上のアプリケーションプログラムが格納されている。当該アプリケーションプログラムは、ユーザ端末３にインストールされる。サーバ２は、例えば、広告サーバであり、１または２以上の広告情報が格納されている。かかる広告情報は、ユーザ端末３によりダウンロードされ、ユーザ端末３で出力される。サーバ２は、例えば、ＥＣサイトのサーバであり、ユーザ端末３を使用したユーザにより商品を販売したり、商品情報を閲覧したりされる装置である。ただし、サーバ２が行えるサービス、サーバ２に格納される情報は問わない。

【0049】

サーバ２は、例えば、クラウドサーバ、ＡＳＰサーバであるが、その種類は問わない。

【0050】

ユーザ端末３は、ユーザが使用する端末である。ユーザ端末３は、サーバ２にアクセスする端末である。ユーザ端末３は、例えば、広告サーバ、ＥＣサイト等にアクセスする端末である。ユーザ端末３は、例えば、アプリケーションプログラムがインストールされる端末である。

【0051】

ユーザ端末３は、例えば、いわゆるパソコン、タブレット端末、スマートフォン、時計型端末等であり、その種類は問わない。

【0052】

不正検知装置１と１または２以上の各サーバ２、不正検知装置１と１または２以上の各ユーザ端末３、１または２以上の各サーバ２と１または２以上の各ユーザ端末３とは、通常、インターネットやＬＡＮ等により通信可能である。

【0053】

図２は、本実施の形態における不正検知システムＡのブロック図である。図３は、不正検知装置１のブロック図である。

【0054】

不正検知装置１は、格納部１１、受信部１２、処理部１３、および送信部１４を備える。格納部１１は、正当情報格納部１１１を備える。処理部１３は、ネットワーク情報取得部１３１、ユーザ操作情報取得部１３４、ＩＰアドレス情報取得部１３３、ユーザ操作情報取得部１３４、ネットワーク不正検知部１３５、ユーザ不正検知部１３８、ＩＰアドレス不正検知部１３７、ユーザ不正検知部１３８、および正当情報更新部１３９を備える。送信部１４は、出力部１４１を備える。

【0055】

サーバ２は、サーバ格納部２１、サーバ受信部２２、サーバ処理部２３、およびサーバ送信部２４を備える。

【0056】

ユーザ端末３は、端末格納部３１、端末受付部３２、端末処理部３３、端末送信部３４、端末受信部３５、および端末出力部３６を備える。

【0057】

不正検知装置１を構成する格納部１１には、各種の情報が格納される。各種の情報は、例えば、１または２以上の元情報、不正条件、後述するネットワーク正当分布情報、後述するサイト正当分布情報、頻度条件、特定の１または２以上のタグである。なお、タグとは、例えば、ＨＴＭＬのタグである。

【0058】

不正条件とは、不正として検知するための条件、または不正でないと判断するための条件である。不正条件は、例えば、ネットワーク不正条件、サイト不正条件、ＩＰアドレス不正条件、ユーザ不正条件である。なお、不正条件は、プログラム中に埋め込まれていても良い。

【0059】

ネットワーク不正条件とは、ネットワークに対して不正であると判断するための条件、またはネットワークに対して不正でないと判断するための条件である。ネットワーク不正条件は、１以上のネットワーク属性値を用いた条件である。ここでのネットワーク属性値は、例えば、アプリのインストール数、ネットワークに属するサイト数、言語識別子、サーバ２にアクセスするユーザ端末３の国であるアクセス元国、ユーザの操作を識別する操作識別子、ユーザ端末３の種類を識別する端末種類識別子、ユーザ端末３のＯＳの種類を識別するＯＳ種類識別子である。ネットワーク不正条件は、例えば、後述する図１２の「ＩＤ＝１～７」の不正条件である。

【0060】

サイト不正条件とは、サイトに対して不正であると判断するための条件、またはサイトに対して不正でないと判断するための条件である。サイト不正条件は、１以上のサイト属性値を用いた条件である。ここでのサイト属性値は、例えば、ＣＴＩＴ、ＯＳ種類識別子、端末種類識別子、アクセス元国、言語識別子、ウェブページ情報のＨＴＭＬのタグである。サイト不正条件は、例えば、後述する図１３の「ＩＤ＝５１～５９」の不正条件である。なお、ＣＴＩＴとは、クリックからインストールまでの時間であり、「Click to Install Time」の略語である。

【0061】

ＩＰアドレス不正条件とは、ＩＰアドレスに対して不正であると判断するための条件、またはＩＰアドレスに対して不正でないと判断するための条件である。ＩＰアドレス不正条件は、１以上のＩＰアドレス属性値を用いた条件である。ここでのＩＰアドレス属性値は、例えば、端末種類識別子、画面サイズである。ＩＰアドレス不正条件は、例えば、後述する図１３の「ＩＤ＝１０１～１０３」の不正条件である。

【0062】

ユーザ不正条件とは、ユーザに対して不正であると判断するための条件、またはユーザに対して不正でないと判断するための条件である。ユーザ不正条件は、１以上のユーザ属性値を用いた条件である。ここでのユーザ属性値は、例えば、操作識別子である。ＩＰアドレス不正条件は、例えば、後述する図１３の「ＩＤ＝１５１～１５２」の不正条件である。

【0063】

頻度条件とは、特定の操作の頻度に関する条件である。頻度条件は、例えば、特定の操作の割合いが閾値以上または閾値より多いこと、単位期間の特定の操作の数が閾値以上または閾値より多いことである。

【0064】

正当情報格納部１１１には、１または２以上の正当分布情報が格納される。正当分布情報とは、正当な分布を特定する情報である。正当分布情報は、通常、２以上の要素を有するベクトルで表現できる。正当分布情報は、例えば、ネットワーク正当分布情報、サイト正当分布情報、頻度正当情報である。

【0065】

ネットワーク正当分布情報とは、ネットワーク分布情報に対する正当な情報を特定する情報である。ネットワーク分布情報とは、ネットワークに関する特徴量の分布を特定する情報である。ネットワーク分布情報は、例えば、ネットワークに関する特徴量の２以上の各範囲の数または割合いを要素とするベクトルである。ネットワークに関する特徴量とは、ネットワーク属性値、または１または２以上のネットワーク属性値から取得される情報である。ネットワークに関する特徴量は、例えば、アプリケーションのダウンロード数と各ネットワークに属するサイト数との比である。

【0066】

サイト正当分布情報とは、サイト分布情報に対する正当な情報を特定する情報である。サイト分布情報とは、サイトに関する特徴量の分布を特定する情報である。サイト分布情報は、例えば、サイトに関する特徴量の２以上の各範囲の数または割合いを要素とするベクトルである。サイトに関する特徴量とは、サイト属性値、または１または２以上のサイト属性値から取得される情報である。サイトに関する特徴量は、例えば、ＣＴＩＴ、サイトにアクセスされるユーザ端末３のＯＳ種類識別子ごとのシェア、サイトにアクセスされるユーザ端末３の種類である端末種類識別子ごとのシェア、サイトにアクセスされるプロバイダーごとのシェア、サイトにアクセスされる地域ごとのシェアである。サイト分布情報は、ＣＴＩＴの分布に関する情報、サイトにアクセスされるユーザ端末３のＯＳの種類（例えば、ＯＳ名とバーション）ごとのシェアであるＯＳ種類識別子の分布に関する情報、サイトにアクセスされるユーザ端末３の種類ごとのユーザ端末シェアの分布に関する情報、サイトにアクセスされるプロバイダーの種類ごとのプロバイダーシェアの分布に関する情報、サイトにアクセスされる地域の種類ごとの地域シェアの分布に関する情報のいずれかを含む。

【0067】

ＣＴＩＴの分布に関する正当な情報は、ＣＴＩＴ正当分布情報と言う。ＣＴＩＴ正当分布情報の構造は、例えば、（「ＣＴＩＴ＜＝１秒」の元情報数，「１秒＜ＣＴＩＴ＜＝２秒」の元情報数，・・・，「Ｎ秒＜ＣＴＩＴ」の元情報数）、（「ＣＴＩＴ＜＝１秒」の元情報の割合，「１秒＜ＣＴＩＴ＜＝２秒」の割合，・・・，「Ｎ秒＜ＣＴＩＴ」の割合）、（平均値，中央値，標準偏差，最小値，最大値）である。

【0068】

ＯＳ種類識別子の分布に関する正当な情報は、ＯＳ種類正当分布情報と言う。ＯＳ種類正当分布情報の構造は、例えば、（ｉＯＳ １４．７の割合，ｉＯＳ １５．０の割合，・・・，ｉＯＳ １４．３の割合）である。

【0069】

ユーザ端末シェアの分布に関する情報は、端末種類正当分布情報と言う。端末種類正当分布情報の構造は、例えば、（端末種類識別子１の割合，端末種類識別子２の割合，・・・，端末種類識別子Ｎの割合）である。

【0070】

頻度正当情報とは、特定の操作を示す操作情報の正当な頻度を示す情報である。頻度は、例えば、単位期間の数、割合い、または数である。特定の操作を示す操作情報は、例えば、特定のボタンの押下を示す情報、特定の商品の購入を示す情報、特定の広告情報に対するクリックを示す情報である。

【0071】

受信部１２は、各種の情報を受信する。各種の情報は、例えば、元情報である。受信部１２は、例えば、サーバ２から元情報を受信する。受信部１２は、例えば、ユーザ端末３から元情報を受信する。

【0072】

元情報は、例えば、ダウンロード情報、インストール情報、ユーザ操作情報、ウェブページ情報である。

【0073】

ダウンロード情報とは、ユーザ端末３がアプリケーションをサーバ２からダウンロードしたことに関する情報である。ダウンロード情報は、例えば、ダウンロードしたアプリケーションのアプリケーション識別子、ネットワーク識別子、サイト識別子、ユーザ端末３によりアクセスされたサーバ２のＩＰアドレス、サーバ２にアクセスしたユーザ端末３のＩＰアドレス、フィンガープリント情報、端末情報を有する。

【0074】

アプリケーション識別子とは、アプリケーションを識別する情報であり、例えば、アプリケーションのＩＤ、アプリケーション名である。

【0075】

ネットワーク識別子とは、ネットワークを識別する情報であり、例えば、ネットワークのＩＤ、ネットワーク名である。ネットワーク識別子は、ここでは、サーバ２が属するネットワークの識別子である。

【0076】

サイト識別子とは、サイトを識別する情報であり、例えば、サイトのＩＤ、サイト名である。サイト識別子は、ここでは、サーバ２が存在するサイトの識別子である。

【0077】

フィンガープリント情報とは、ここでは、ユーザ端末３で使用されるブラウザを特定する情報である。フィンガープリント情報は、例えば、ブラウザのＩＤである。

【0078】

端末情報とは、サーバ２にアクセスしたユーザ端末３に関する情報である。端末情報は、例えば、ＯＳ種類識別子、端末種類識別子、言語識別子、サイズ情報である。

【0079】

ＯＳ種類識別子とは、ユーザ端末３のＯＳの種類を特定する情報である。ＯＳ種類識別子は、ＯＳのバージョンまで含むことは好適である。ＯＳ種類識別子は、例えば、「ｉＯＳ」「Ａｎｄｒｏｉｄ ＯＳ」「ｉＯＳ Ｖｅｒ１４．７」である。

【0080】

端末種類識別子とは、ユーザ端末３の種類を特定する情報である。端末種類識別子は、例えば、「パソコン」「スマートフォン」「タブレット」である。端末種類識別子は、機種名でも良い。

【0081】

言語識別子とは、ユーザ端末３において設定されている言語を特定する情報である、例えば、「日本語」「英語」「中国語」である。

【0082】

サイズ情報とは、ユーザ端末３の画面のサイズを特定する情報である。サイズ情報は、例えば、（縦のサイズ，横のサイズ）である。

【0083】

インストール情報とは、ユーザ端末３がアプリケーションをインストールしたことに関する情報である。インストール情報は、例えば、アプリケーション識別子、ネットワーク識別子、サイト識別子、ＩＰアドレス、フィンガープリント情報、端末情報、ＣＴＩＴを有する。アプリケーション識別子とは、インストールされたアプリケーションの識別子である。

【0084】

ユーザ操作情報とは、サーバ２に対する操作に関する情報である。ユーザ操作情報には、アプリケーションのダウンロードに関する操作の情報、アプリケーションのインストールに関する操作の情報は含まれる、と考えても良い。ユーザ操作情報は、ユーザが行った操作を特定する操作情報を有する。ユーザ操作情報は、例えば、操作情報、ネットワーク識別子、サイト識別子、ＩＰアドレス、フィンガープリント情報、端末情報を有する。

【0085】

操作情報は、例えば、指示されたボタンのボタン識別子、商品が購入されたことを示す情報、商品がカートに入れられたことを示す情報、購入金額を有する。

【0086】

ウェブページ情報とは、ウェブページに関する情報である。ウェブページ情報は、例えば、ウェブページのファイルである。なお、ウェブページは、例えば、ＨＴＭＬまたはＸＭＬで記述されている。

【0087】

処理部１３は、各種の処理を行う。各種の処理は、例えば、ネットワーク情報取得部１３１、ユーザ操作情報取得部１３４、ＩＰアドレス情報取得部１３３、ユーザ操作情報取得部１３４、ネットワーク不正検知部１３５、ユーザ不正検知部１３８、ＩＰアドレス不正検知部１３７、ユーザ不正検知部１３８、正当情報更新部１３９が行う処理である。

【0088】

ネットワーク情報取得部１３１は、ネットワーク情報を取得する。ネットワーク情報取得部１３１は、通常、受信部１２が受信した元情報からネットワーク情報を取得する。ネットワーク情報取得部１３１は、各ネットワーク識別子ごとに、ネットワーク識別子を有する１または２以上の元情報からネットワーク情報を取得する。

【0089】

ネットワーク情報とは、１または２以上のサイトを含む一のネットワークに関する情報である。ネットワーク情報は、１または２以上のネットワーク属性値を含む。ネットワーク属性値は、例えば、アプリケーションのダウンロード数、一のネットワークに属するサイト数、日本語でない言語の設定がされているユーザ端末３からのアクセス数、日本語でない言語の設定がされているユーザ端末３からのアプリのインストール数、日本ではないアクセス元であるユーザ端末３からのアクセス数、日本ではないアクセス元であるユーザ端末３からのアプリのインストール数、ＣＶ操作に該当する操作識別子の数、予め決められた条件を満たす不適切な（例えば、特定の古い）端末の端末種類識別子で識別され種類のユーザ端末３からのアクセス数、予め決められた条件を満たす不適切な（例えば、特定の古い）ＯＳのＯＳ種類識別子で識別されるＯＳを搭載したユーザ端末３からのアクセス数である。アプリケーションのダウンロード数は、２以上のアプリケーションの総ダウンロード数でも良いし、一つの特定のアプリケーションのダウンロード数でも良い。ＣＶ操作とは、コンバージョンに該当する操作である。ＣＶ操作は、例えば、商品購入の操作、会員登録の操作、資料請求の操作、アプリのインストールの操作である。

【0090】

ネットワーク情報取得部１３１は、例えば、受信部１２が受信した１または２以上のダウンロード情報を用いて、１以上の各ネットワークにおけるアプリケーションのダウンロード数と各ネットワークに属するサイト数とを含む２以上のネットワーク属性値を取得する。

【0091】

ネットワーク情報取得部１３１は、例えば、ネットワーク識別子とサイト識別子とを有する２以上のダウンロード情報から、１以上の各ネットワーク識別子ごとに、対になるサイト識別子のユニーク処理を行い、サイト識別子の数を取得する。

【0092】

ネットワーク情報取得部１３１は、例えば、１以上の各ネットワークに関する特徴量である１以上のネットワーク属性値を取得する。ネットワークに関する特徴量は、例えば、アプリケーションのダウンロード数と各ネットワークに属するサイト数との比である。

【0093】

ネットワーク情報取得部１３１は、例えば、各ネットワークにおける特徴量の分布に関するネットワーク分布情報であるネットワーク属性値を取得する。ネットワーク分布情報は、例えば、一のネットワーク識別子と対になるＣＴＩＴの分布の情報である。

【0094】

サイト情報取得部１３２は、サイト情報を取得する。サイト情報取得部１３２は、通常、受信部１２が受信した元情報からサイト情報を取得する。サイト情報取得部１３２は、各サイト識別子ごとに、サイト識別子を有する１または２以上の元情報からサイト情報を取得する。なお、サイト情報とは、一のサイトに関する情報である。サイト情報は、通常、１または２以上のサイト属性値を有する。

【0095】

サイト情報取得部１３２は、例えば、１以上の各サイトにおける特徴量である１以上のサイト属性値を取得し、かつサイトごとに、１以上の各サイト属性値の分布に関するサイト分布情報を取得する。

【0096】

１以上のサイト属性値は、例えば、ＣＴＩＴ、サイトにアクセスされるユーザ端末３のＯＳ種類識別子ごとのシェアであるＯＳシェア、サイトにアクセスされるユーザ端末３の端末種類識別子ごとのシェアであるユーザ端末シェアのいずれかを含む。

【0097】

サイト情報取得部１３２は、例えば、一のサイトの記述に用いられているウェブページ情報から、１または２種類以上の特定の各タグのタグ数を取得する。

【0098】

サイト情報取得部１３２は、２以上の各サイトのサイト情報を取得することは好適である。

【0099】

ＩＰアドレス情報取得部１３３は、ＩＰアドレス情報を取得する。ＩＰアドレス情報取得部１３３は、通常、受信部１２が受信した元情報からＩＰアドレス情報を取得する。ＩＰアドレス情報取得部１３３は、各ＩＰアドレスごとに、ＩＰアドレスを有する１または２以上の元情報からＩＰアドレス情報を取得する。ＩＰアドレス情報とは、一のＩＰアドレスに関する情報である。ＩＰアドレス情報は、通常、１または２以上のＩＰアドレス属性値を有する。ＩＰアドレス属性値は、例えば、端末情報、種類別アクセス数である。

【0100】

種類別アクセス数とは、一のＩＰアドレスにアクセスしたユーザ端末３の１以上の各種類の数である。種類別アクセス数は、端末種類識別子に対応付く。

【0101】

ＩＰアドレス情報取得部１３３は、例えば、一のＩＰアドレスにアクセスしたユーザ端末３の１以上の各種類の数である種類別アクセス数を含む１以上のＩＰアドレス属性値を取得する。

【0102】

ＩＰアドレス情報取得部１３３は、例えば、一のＩＰアドレスに対して、ユーザ端末３の種類を特定する端末種類識別子とユーザ端末３の画面サイズを特定するサイズ情報とを含む２以上のＩＰアドレス属性値を取得する。

【0103】

ユーザ操作情報取得部１３４は、一のユーザが行った操作に関するユーザ操作情報を取得する。ユーザ操作情報取得部１３４は、通常、受信部１２が受信した元情報からユーザ操作情報を取得する。ユーザ操作情報取得部１３４は、各フィンガープリント情報ごとに、フィンガープリント情報を有する１または２以上の元情報からＩＰアドレス情報を取得する。

【0104】

ユーザ操作情報取得部１３４は、例えば、１以上の各フィンガープリント情報と対になる２以上のユーザ操作情報を取得する。

【0105】

ネットワーク不正検知部１３５は、ネットワーク情報取得部１３１が取得したネットワーク情報を用いて、１以上の各ネットワークに対する不正検知を行い、ネットワークごとに、ネットワーク検知結果を取得する。なお、ネットワーク情報は、１または２以上のネットワーク属性値を有する。

【0106】

ネットワーク不正検知部１３５は、例えば、ネットワーク情報取得部１３１が取得したネットワーク分布情報を取得し、当該ネットワーク分布情報を用いて、ネットワーク検知結果を取得する。

【0107】

ネットワーク検知結果とは、ネットワークの不正に関する検知の結果である。ネットワーク検知結果は、例えば、不正である「１」、または不正でない「０」を含む。

【0108】

ネットワーク不正検知部１３５は、例えば、ネットワーク情報取得部１３１が取得したネットワーク分布情報と正当情報格納部１１１のネットワーク正当分布情報との差異に関するネットワーク分布差異情報を取得し、当該ネットワーク分布差異情報を用いて、ネットワーク検知結果を取得する。なお、ネットワーク分布差異情報が、大きな差異を示す情報である場合に、ネットワーク不正検知部１３５は、不正である旨のネットワーク検知結果を取得する。大きな差異を示す情報は、例えば、ネットワーク分布差異情報が予め決められた値以上または予め決められた値より大きい場合である。ネットワーク分布差異情報は、例えば、ネットワーク情報取得部１３１が取得したネットワーク分布情報であるベクトルとネットワーク正当分布情報であるベクトルとの距離である。

【0109】

ネットワーク不正検知部１３５は、例えば、一のネットワークにおけるアプリケーションのダウンロード数（Ｄ）と当該一のネットワークに属するサイト数（Ｓ）との比（Ｄ／Ｓ）を算出し、当該比が閾値以下または閾値未満である場合、不正であることを示すネットワーク検知結果を取得する。

【0110】

サイト不正検知部１３６は、１以上の各サイトごとに、ユーザ操作情報取得部１３４が取得したサイト情報を用いて、サイトに対する不正検知を行い、サイト検知結果を取得する。

【0111】

サイト検知結果とは、サイトの不正に関する検知の結果を示す情報である。サイト検知結果は、例えば、不正である「１」、または不正でない「０」を含む。

【0112】

サイト不正検知部１３６は、例えば、１以上のサイト分布情報を用いて、一のサイトに対する不正検知を行い、サイト検知結果を取得する。

【0113】

サイト不正検知部１３６は、例えば、ユーザ操作情報取得部１３４が取得した１以上のサイト分布情報と正当情報格納部１１１のサイト正当分布情報との差異に関するサイト分布差異情報を取得し、サイト分布差異情報を用いて、サイト検知結果を取得する。なお、サイト分布差異情報は、例えば、サイト分布情報であるベクトルとサイト正当分布情報であるベクトルとの距離である。

【0114】

サイト不正検知部１３６は、例えば、サイトのウェブページの中の１または２種類以上の各タグのタグ数を用いて、当該サイトに対する不正検知を行い、サイト検知結果を取得する。

【0115】

サイト不正検知部１３６は、例えば、サイトのウェブページの中の特定のタグのタグ数またはタグの割合いが閾値以上または閾値より多い場合に、当該サイトが不正である、と判断する。サイト不正検知部１３６は、例えば、当該サイト内に存在する２種類以上のタグの順番が、所定の順番である場合又は所定の順番と異なる場合に当該サイトが不正であると判断してもよい。

【0116】

サイト不正検知部１３６は、例えば、２以上の各サイトの１または２種類以上の各タグのタグ数を用いて、２以上のサイトをクラスタリングし、１または２以上のタグ数を用いた検査では不正なサイトではないと判断したサイトでも、２以上のタグ数を用いた検査で不正であると判断したサイトと同じクラスに属するサイトを不正なサイトであると判断して、サイト検知結果を取得する。なお、サイト不正検知部１３６は、例えば、２以上のサイトを、各サイトのウェブページの中の２以上のタグ数を要素とするベクトルを用いて、クラスタリングする。ベクトルのクラスタリングには、例えば、Ｋ－ｍｅａｎｓ法を用いるが、そのアルゴリズムは問わない。

【0117】

サイト不正検知部１３６は、例えば、サイト情報を用いて、２以上の各サイトが不正なサイトの候補であるか否かの簡易検査を行い、簡易検査の結果が不正であると判断された１以上の各サイトのサイト情報を用いて、１以上の各サイトが不正なサイトであるか否かの詳細検査を行い、サイト検知結果を取得する。サイト不正検知部１３６は、例えば、サイトのウェブページの中の特定の１または２以上の各タグのタグ数またはタグの割合いが閾値以上または閾値より多いか否かの簡易検査を行う。

【0118】

ＩＰアドレス不正検知部１３７は、１以上の各ＩＰアドレスごとに、ＩＰアドレス情報取得部１３３が取得したＩＰアドレス情報を用いて、ＩＰアドレスに対する不正検知を行い、ＩＰアドレス検知結果を取得する。

【0119】

ＩＰアドレス検知結果とは、ＩＰアドレスに対する不正の検知の結果を示す情報である。ＩＰアドレス検知結果は、例えば、不正である「１」、または不正でない「０」を含む。

【0120】

ＩＰアドレス不正検知部１３７は、例えば、１以上のＩＰアドレス属性値を用いて、一のＩＰアドレスに対する不正検知を行い、ＩＰアドレス検知結果を取得する。

【0121】

ＩＰアドレス不正検知部１３７は、例えば、２以上のＩＰアドレス情報に含まれる端末種類識別子に対応する画面サイズと、受信された元情報に含まれるサイズ情報が示す画面サイズとが対応しない（例えば、不一致である）ＩＰアドレス情報が不正条件を満たすほど多い場合に、不正であることを示すＩＰアドレス検知結果を取得する。なお、不正条件は、例えば、端末種類識別子に対応する画面サイズと受信された元情報に含まれるサイズ情報が示す画面サイズとが対応しない割合いが閾値以上または閾値より大きいである。また、閾値は、例えば、９５％であるが、問わない。

【0122】

ユーザ不正検知部１３８は、ユーザごとに、ユーザ操作情報取得部１３４が取得したユーザ操作情報を用いて、ユーザに対する不正検知を行い、ユーザ検知結果を取得する。なお、ユーザごととは、通常、フィンガープリント情報ごとである。

【0123】

ユーザ検知結果とは、ユーザに対する不正の検知の結果を示す情報である。ユーザ検知結果は、例えば、不正である「１」、または不正でない「０」を含む。

【0124】

ユーザ不正検知部１３８は、例えば、２以上のユーザ操作情報の中に特定の操作を示す操作情報が頻度条件を満たすほど多く含まれる場合、不正であることを示すユーザ検知結果を取得する。

【0125】

ユーザ不正検知部１３８は、例えば、２以上のユーザ操作情報の中に特定の操作を示す操作情報の頻度情報が他のユーザの１または２以上の頻度情報と比較して、ベースラインと比較して、頻度条件を満たすほど多く含まれる場合、不正であることを示すユーザ検知結果を取得する。

【0126】

正当情報更新部１３９は、１または２以上の正当分布情報を更新する。正当分布情報は、例えば、ネットワーク正当分布情報、サイト正当分布情報であるが、問わない。正当情報更新部１３９は、例えば、予め決められた更新条件を満たした場合に、正当分布情報を更新する。更新条件は、例えば、予め決められた時になったこと、予め決められた数の元情報が、新しく受信されたことである。

【0127】

正当情報更新部１３９は、例えば、処理対象の複数の元情報を用いて、新たな正当分布情報を構成し、当該正当分布情報を正当情報格納部１１１に蓄積する。なお、かかる蓄積は、正当分布情報の更新である。なお、処理対象の複数の元情報は、例えば、新しく受信された元情報、または受信されている正常な元情報である。

【0128】

正当情報更新部１３９は、例えば、処理対象の複数の各元情報が有するＣＴＩＴを取得し、ＣＴＩＴの２以上の各範囲に対応する数または割合いを取得し、当該各数または当該各割合いを要素とするベクトルである正当分布情報を構成し、当該ベクトルを正当情報格納部１１１に蓄積する。なお、ここでの正当分布情報は、例えば、サイト正当分布情報である。

【0129】

正当情報更新部１３９は、例えば、処理対象の複数の各元情報が有するＯＳ種類識別子取得し、２以上の各ＯＳ種類識別子の出現数を取得し、当該各出現数を要素とするベクトルである正当分布情報を構成し、当該ベクトルを正当情報格納部１１１に蓄積する。なお、ここでの正当分布情報は、例えば、サイト正当分布情報である。

【0130】

正当情報更新部１３９は、例えば、処理対象の複数の各元情報が有する端末種類識別子取得し、２以上の各端末種類識別子の出現数を取得し、当該各出現数を要素とするベクトルである正当分布情報を構成し、当該ベクトルを正当情報格納部１１１に蓄積する。なお、ここでの正当分布情報は、例えば、サイト正当分布情報である。

【0131】

送信部１４は、各種の情報を出力する。各種の情報は、例えば、検知結果である。検知結果は、ネットワーク検知結果、サイト検知結果、ＩＰアドレス検知結果、またはユーザ検知結果である。送信部１４は、例えば、図示しない管理端末に各種の情報を送信する。

【0132】

出力部１４１は、ネットワーク検知結果とサイト検知結果とＩＰアドレス検知結果とを出力する。また、出力部１４１は、ユーザ検知結果をも出力することは好適である。

【0133】

ここで、出力とは、通常、外部の装置への送信であるが、ディスプレイへの表示、プロジェクターを用いた投影、プリンタでの印字、音出力、記録媒体への蓄積、他の処理装置や他のプログラムなどへの処理結果の引渡しなどを含む概念であっても良い。

【0134】

サーバ２を構成するサーバ格納部２１には、各種の情報が格納される。各種の情報は、例えば、アプリケーションプログラム、ウェブページ情報、広告情報、送信条件である。なお、ウェブページ情報には、例えば、ユーザ端末３が元情報を構成し、不正検知装置１に送信するためのスクリプトが埋め込まれている。スクリプトは、例えば、Ｊａｖａ Ｓｃｒｉｐｔ（登録商標）である。

【0135】

送信条件とは、元情報を不正検知装置１に送信するための条件である。送信条件は、例えば、サーバ受信部２２がユーザ端末３から受信する指示や情報を特定する情報である。送信条件は、例えば、サーバ受信部２２が受信する指示や情報にダウンロード指示である「download *」を含むこと、サーバ受信部２２が受信する指示や情報に特定ボタンの押下を示す「button_click 特定ボタンの識別子」を含むことである。

【0136】

サーバ受信部２２は、ユーザ端末３から、各種の指示や情報を受信する。各種の指示や情報は、例えば、ダウンロード指示、ユーザ操作情報である。

【0137】

サーバ処理部２３は、各種の処理を行う。サーバ処理部２３は、ユーザ端末３から受信
した指示や情報に応じた処理を行う。サーバ処理部２３は、例えば、受信されたダウンロード指示に応じたアプリケーションプログラムをサーバ格納部２１から取得する。サーバ処理部２３は、例えば、受信されたユーザ操作情報に含まれる購入指示に応じて、決済処理を行う。

【0138】

サーバ処理部２３は、サーバ受信部２２が各種の指示や情報を受信した場合に、当該指示や情報に対応する元情報を構成する。

【0139】

サーバ処理部２３は、例えば、受信された指示または情報が送信条件に合致するか否かを判断する。そして、サーバ処理部２３は、例えば、送信条件に合致すると判断した場合のみ、受信された指示または情報に対応する元情報を構成する。

【0140】

サーバ処理部２３は、送信条件に合致するか否かを判断しないで、受信された指示または情報を用いて、元情報を構成しても良い。

【0141】

サーバ送信部２４は、各種の情報を送信する。サーバ送信部２４は、例えば、サーバ処理部２３が構成した元情報を不正検知装置１に送信する。

【0142】

サーバ送信部２４は、例えば、サーバ処理部２３が取得したアプリケーションプログラムを、ユーザ端末３に送信する。

【0143】

サーバ送信部２４は、例えば、サーバ処理部２３が行ったユーザ操作情報に応じた処理の結果に関する情報を、ユーザ端末３に送信する。

【0144】

ユーザ端末３を構成する端末格納部３１には、各種の情報が格納される。各種の情報は、例えば、ユーザ識別子、元情報、送信条件である。

【0145】

送信条件とは、元情報を不正検知装置１に送信するための条件である。送信条件は、例えば、端末受付部３２が受け付けた指示や情報を特定する情報、端末受付部３２が受け付けた指示や情報に対応する処理結果を特定する情報である。送信条件は、例えば、端末受付部３２が受け付けた指示や情報に、インストール指示である「install *」を含むこと、端末受付部３２が受け付けた指示や情報に、特定ボタンの押下を示す「button_click 特定ボタンの識別子」を含むことである。

【0146】

端末受付部３２は、各種の指示や情報を受け付ける。各種の指示や情報は、例えば、ダウンロード指示、インストール指示、操作情報である。

【0147】

各種の指示や情報の入力手段は、タッチパネルやキーボードやマウスやメニュー画面によるもの等、何でも良い。

【0148】

端末処理部３３は、各種の処理を行う。各種の処理とは、例えば、端末受付部３２が受け付けた指示や情報等を、送信する構造の指示や情報等に変更する処理、端末受信部３５が受信した情報を出力する構造に変更する処理等である。

【0149】

端末処理部３３は、端末受付部３２が受け付けた各種の指示や情報に応じた元情報を構成する。

【0150】

端末処理部３３は、端末受付部３２が受け付けたインストール指示に応じて、当該インストール指示に対応するアプリケーションプログラムをインストールする。

【0151】

端末処理部３３は、例えば、端末受付部３２が受け付けた指示や情報、端末受付部３２が受け付けた指示や情報に対応する処理結果が送信条件に合致するか否かを判断する。端末処理部３３は、例えば、送信条件に合致すると判断した場合のみ、端末受付部３２が受け付けた指示や情報、端末受付部３２が受け付けた指示や情報に対応する処理結果を用いて元情報を構成する。なお、端末処理部３３は、送信条件に合致するか否かを判断しないで、端末受付部３２が受け付けた指示や情報または端末受付部３２が受け付けた指示や情報に対応する処理結果を用いて、元情報を構成しても良い。

【0152】

端末送信部３４は、各種指示や情報を送信する。端末送信部３４は、例えば、ダウンロード指示、操作情報をサーバ２に送信する。端末送信部３４は、例えば、端末処理部３３が構成した元情報を不正検知装置１に送信する。

【0153】

端末受信部３５は、各種の情報を受信する。各種の情報は、例えば、アプリケーションプログラム、操作情報の送信の結果を示す情報である。

【0154】

端末出力部３６は、各種の情報を出力する。各種の情報は、例えば、ユーザ操作情報の送信の結果を示す情報である。

【0155】

ここで、出力とは、ディスプレイへの表示、プロジェクターを用いた投影、プリンタでの印字、音出力、外部の装置への送信、記録媒体への蓄積、他の処理装置や他のプログラムなどへの処理結果の引渡しなどを含む概念である。

【0156】

格納部１１、正当情報格納部１１１、サーバ格納部２１、および端末格納部３１は、不揮発性の記録媒体が好適であるが、揮発性の記録媒体でも実現可能である。

【0157】

格納部１１等に情報が記憶される過程は問わない。例えば、記録媒体を介して情報が格納部１１等で記憶されるようになってもよく、通信回線等を介して送信された情報が格納部１１等で記憶されるようになってもよく、あるいは、入力デバイスを介して入力された情報が格納部１１等で記憶されるようになってもよい。

【0158】

受信部１２、サーバ受信部２２、および端末受信部３５は、通常、無線または有線の通信手段で実現されるが、放送を受信する手段で実現されても良い。

【0159】

処理部１３、ネットワーク情報取得部１３１、ユーザ操作情報取得部１３４、ＩＰアドレス情報取得部１３３、ユーザ操作情報取得部１３４、ネットワーク不正検知部１３５、ユーザ不正検知部１３８、ＩＰアドレス不正検知部１３７、ユーザ不正検知部１３８、正当情報更新部１３９、サーバ処理部２３、および処理部３３は、通常、プロセッサやメモリ等から実現され得る。処理部１３等の処理手順は、通常、ソフトウェアで実現され、当該ソフトウェアはＲＯＭ等の記録媒体に記録されている。但し、ハードウェア（専用回路）で実現しても良い。なお、プロセッサは、ＣＰＵ、ＭＰＵ、ＧＰＵ等であり、その種類は問わない。

【0160】

送信部１４、出力部１４１、サーバ送信部２４、および端末送信部３４は、通常、無線または有線の通信手段で実現されるが、放送手段で実現されても良い。

【0161】

端末受付部３２は、タッチパネルやキーボード等の入力手段のデバイスドライバーや、メニュー画面の制御ソフトウェア等で実現され得る。

【0162】

端末出力部３６は、ディスプレイやスピーカー等の出力デバイスを含むと考えても含まないと考えても良い。端末出力部３６は、出力デバイスのドライバーソフトまたは、出力デバイスのドライバーソフトと出力デバイス等で実現され得る。

【0163】

次に、不正検知システムＡの動作例について説明する。まず、不正検知装置１の動作例について、図４のフローチャートを用いて説明する。

【0164】

（ステップＳ４０１）受信部１２は、サーバ２またはユーザ端末３から、元情報を受信したか否かを判断する。元情報を受信した場合はステップＳ４０２に行き、元情報を受信しなかった場合はステップＳ４０３に行く。

【0165】

（ステップＳ４０２）処理部１３は、ステップＳ４０１で受信された元情報を格納部１１に蓄積する。ステップＳ４０１に戻る。

【0166】

（ステップＳ４０３）処理部１３は、不正検知を行うタイミングであるか否かを判断する。不正検知を行うタイミングであればステップＳ４０４に行き、不正検知を行うタイミングでなければステップＳ４０１に戻る。

【0167】

なお、不正検知を行うタイミングは、例えば、予め決められた時刻になった場合、受信部１２が不正検知指示を受信した場合、閾値以上の数の元情報が蓄積された場合である。

【0168】

（ステップＳ４０４）ネットワーク不正検知部１３５等は、ネットワーク不正処理を行う。ネットワーク不正処理の例について、図５のフローチャートを用いて説明する。

【0169】

（ステップＳ４０５）ユーザ不正検知部１３８等は、サイト不正処理を行う。サイト不正処理の例について、図６のフローチャートを用いて説明する。

【0170】

（ステップＳ４０６）ＩＰアドレス不正検知部１３７等は、ＩＰアドレス不正処理を行う。ＩＰアドレス不正処理の例について、図７のフローチャートを用いて説明する。

【0171】

（ステップＳ４０７）ユーザ不正検知部１３８等は、ユーザ不正処理を行う。ユーザ不正処理の例について、図８のフローチャートを用いて説明する。

【0172】

（ステップＳ４０８）処理部１３は、ステップＳ４０４からステップＳ４０７における不正検知処理の結果を用いて、出力結果を構成する。

【0173】

（ステップＳ４０９）出力部１４１は、ステップＳ４０８で構成された出力結果を出力する。ステップＳ４０１に戻る。なお、ここでの出力は、例えば、記録媒体への蓄積、外部の装置への送信であるが、他の処理装置や他のプログラムなどへの処理結果の引渡し、ディスプレイへの表示、プロジェクターを用いた投影、プリンタでの印字、音出力などを含む概念であっても良い。

【0174】

（ステップＳ４１０）処理部１３は、正当情報の更新条件に合致するか否かを判断する。更新条件に合致する場合はステップＳ４１１に行き、更新条件に合致しない場合はステップＳ４０１に戻る。

【0175】

（ステップＳ４１１）正当情報更新部１３９は、正当情報更新処理を行う。はステップＳ４０１に戻る。正当情報更新処理の例について、図９のフローチャートを用いて説明する。

【0176】

なお、図４のフローチャートにおいて、電源オフや処理終了の割り込みにより処理は終了する。

【0177】

次に、ステップＳ４０４のネットワーク不正処理の例について、図５のフローチャートを用いて説明する。

【0178】

（ステップＳ５０１）ネットワーク情報取得部１３１は、カウンタｉに１を代入する。

【0179】

（ステップＳ５０２）ネットワーク情報取得部１３１は、ｉ番目のネットワーク識別子が存在するか否かを判断する。ｉ番目のネットワーク識別子が存在する場合はステップＳ５０３に行き、ｉ番目のネットワーク識別子が存在しない場合は上位処理にリターンする。

【0180】

（ステップＳ５０３）ネットワーク情報取得部１３１は、不正検知の処理対象である元情報の中から、ｉ番目のネットワーク識別子を含む１または２以上の元情報を、格納部１１から取得する。

【0181】

（ステップＳ５０４）ネットワーク不正検知部１３５は、カウンタｊに１を代入する。

【0182】

（ステップＳ５０５）ネットワーク不正検知部１３５は、ｊ番目のネットワーク不正条件が存在するか否かを判断する。ｊ番目のネットワーク不正条件が存在する場合はステップＳ５０６に行き、ｊ番目のネットワーク不正条件が存在しない場合はステップＳ５１２に行く。

【0183】

（ステップＳ５０６）ネットワーク不正検知部１３５は、ｊ番目のネットワーク不正条件を格納部１１から取得する。

【0184】

（ステップＳ５０７）ネットワーク情報取得部１３１は、ｊ番目のネットワーク不正条件を判断するために使用する１以上の情報を取得する。１以上の各情報は、ネットワーク属性値またはネットワーク特徴量である。

【0185】

（ステップＳ５０８）ネットワーク不正検知部１３５は、ステップＳ５０７で取得された１以上の情報が、ｊ番目のネットワーク不正条件を満たすか否かを判断する。ｊ番目のネットワーク不正条件を満たす場合（ここでは、不正である場合）はステップＳ５０９に行き、満たさない場合はステップＳ５１０に行く。

【0186】

（ステップＳ５０９）ネットワーク不正検知部１３５は、ｉ番目のネットワーク識別子とｊ番目のネットワーク不正条件とに対応付けて、不正である旨のネットワーク検知結果を取得し、図示しないバッファに一時蓄積する。ステップＳ５１１に行く。

【0187】

（ステップＳ５１０）ネットワーク不正検知部１３５は、ｉ番目のネットワーク識別子とｊ番目のネットワーク不正条件とに対応付けて、不正でない旨のネットワーク検知結果を取得し、図示しないバッファに一時蓄積する。

【0188】

（ステップＳ５１１）ネットワーク不正検知部１３５は、カウンタｊを１、インクリメントする。ステップＳ５０５に戻る。

【0189】

（ステップＳ５１２）ネットワーク不正検知部１３５は、図示しないバッファに蓄積されたネットワーク検知結果を用いて、ｉ番目のネットワーク識別子に対応付く最終的なネットワーク検知結果を構成する。

【0190】

（ステップＳ５１３）ネットワーク情報取得部１３１は、カウンタｉを１、インクリメントする。ステップＳ５０２に戻る。

【0191】

次に、ステップＳ４０５のサイト不正処理の例について、図６のフローチャートを用いて説明する。

【0192】

（ステップＳ６０１）サイト情報取得部１３２は、カウンタｉに１を代入する。

【0193】

（ステップＳ６０２）サイト情報取得部１３２は、ｉ番目のサイト識別子が存在するか否かを判断する。ｉ番目のサイト識別子が存在する場合はステップＳ６０３に行き、ｉ番目のサイト識別子が存在しない場合は上位処理にリターンする。

【0194】

（ステップＳ６０３）サイト情報取得部１３２は、不正検知の処理対象である元情報の中から、ｉ番目のサイト識別子を含む１または２以上の元情報を、格納部１１から取得する。

【0195】

（ステップＳ６０４）サイト不正検知部１３６は、カウンタｊに１を代入する。

【0196】

（ステップＳ６０５）サイト不正検知部１３６は、ｊ番目のサイト不正条件が存在するか否かを判断する。ｊ番目のサイト不正条件が存在する場合はステップＳ６０６に行き、ｊ番目のサイト不正条件が存在しない場合はステップＳ６１２に行く。

【0197】

（ステップＳ６０６）サイト不正検知部１３６は、ｊ番目のサイト不正条件を格納部１１から取得する。

【0198】

（ステップＳ６０７）サイト情報取得部１３２は、ｊ番目のサイト不正条件を判断するために使用する１以上の情報を取得する。１以上の各情報は、サイト属性値またはサイト特徴量である。

【0199】

（ステップＳ６０８）サイト不正検知部１３６は、ステップＳ６０７で取得された１以上の情報が、ｊ番目のサイト不正条件を満たすか否かを判断する。ｊ番目のサイト不正条件を満たす場合はステップＳ６０９に行き、満たさない場合はステップＳ６１０に行く。

【0200】

（ステップＳ６０９）サイト不正検知部１３６は、ｉ番目のサイト識別子とｊ番目のサイト不正条件とに対応付けて、不正である旨のサイト検知結果を取得し、図示しないバッファに一時蓄積する。ステップＳ６１１に行く。

【0201】

（ステップＳ６１０）サイト不正検知部１３６は、ｉ番目のサイト識別子とｊ番目のサイト不正条件とに対応付けて、不正でない旨のサイト検知結果を取得し、図示しないバッファに一時蓄積する。

【0202】

（ステップＳ６１１）サイト不正検知部１３６は、カウンタｊを１、インクリメントする。ステップＳ６０５に戻る。

【0203】

（ステップＳ６１２）サイト不正検知部１３６は、図示しないバッファに蓄積されたサイト検知結果を用いて、ｉ番目のサイト識別子に対応付く最終的なサイト検知結果を構成する。

【0204】

（ステップＳ６１３）サイト情報取得部１３２は、カウンタｉを１、インクリメントする。ステップＳ６０２に戻る。

【0205】

次に、ステップＳ４０６のＩＰアドレス不正処理の例について、図７のフローチャートを用いて説明する。

【0206】

（ステップＳ７０１）ＩＰアドレス情報取得部１３３は、カウンタｉに１を代入する。

【0207】

（ステップＳ７０２）ＩＰアドレス情報取得部１３３は、ｉ番目のＩＰアドレス識別子が存在するか否かを判断する。ｉ番目のＩＰアドレス識別子が存在する場合はステップＳ７０３に行き、ｉ番目のＩＰアドレス識別子が存在しない場合は上位処理にリターンする。なお、ＩＰアドレス識別子は、ＩＰアドレスでも良い。

【0208】

（ステップＳ７０３）ＩＰアドレス情報取得部１３３は、不正検知の処理対象である元情報の中から、ｉ番目のＩＰアドレス識別子を含む１または２以上の元情報を、格納部１１から取得する。

【0209】

（ステップＳ７０４）ＩＰアドレス不正検知部１３７は、カウンタｊに１を代入する。

【0210】

（ステップＳ７０５）ＩＰアドレス不正検知部１３７は、ｊ番目のＩＰアドレス不正条件が存在するか否かを判断する。ｊ番目のＩＰアドレス不正条件が存在する場合はステップＳ７０６に行き、ｊ番目のＩＰアドレス不正条件が存在しない場合はステップＳ７１２に行く。

【0211】

（ステップＳ７０６）ＩＰアドレス不正検知部１３７は、ｊ番目のＩＰアドレス不正条件を格納部１１から取得する。

【0212】

（ステップＳ７０７）ＩＰアドレス情報取得部１３３は、ｊ番目のＩＰアドレス不正条件を判断するために使用する１以上の情報を取得する。１以上の各情報は、ＩＰアドレス属性値またはＩＰアドレス特徴量である。

【0213】

（ステップＳ７０８）ＩＰアドレス不正検知部１３７は、ステップＳ７０７で取得された１以上の情報が、ｊ番目のＩＰアドレス不正条件を満たすか否かを判断する。ｊ番目のＩＰアドレス不正条件を満たす場合はステップＳ７０９に行き、満たさない場合はステップＳ７１０に行く。

【0214】

（ステップＳ７０９）ＩＰアドレス不正検知部１３７は、ｉ番目のＩＰアドレス識別子とｊ番目のＩＰアドレス不正条件とに対応付けて、不正である旨のＩＰアドレス検知結果を取得し、図示しないバッファに一時蓄積する。ステップＳ７１１に行く。

【0215】

（ステップＳ７１０）ＩＰアドレス不正検知部１３７は、ｉ番目のＩＰアドレス識別子とｊ番目のＩＰアドレス不正条件とに対応付けて、不正でない旨のＩＰアドレス検知結果を取得し、図示しないバッファに一時蓄積する。

【0216】

（ステップＳ７１１）ＩＰアドレス不正検知部１３７は、カウンタｊを１、インクリメントする。ステップＳ７０５に戻る。

【0217】

（ステップＳ７１２）ＩＰアドレス不正検知部１３７は、図示しないバッファに蓄積されているＩＰアドレス検知結果を用いて、ｉ番目のＩＰアドレス識別子に対応付く最終的なＩＰアドレス検知結果を構成する。

【0218】

（ステップＳ７１３）ＩＰアドレス情報取得部１３３は、カウンタｉを１、インクリメントする。ステップＳ７０２に戻る。

【0219】

次に、ステップＳ４０７のユーザ不正処理の例について、図８のフローチャートを用いて説明する。

【0220】

（ステップＳ８０１）ユーザ操作情報取得部１３４は、カウンタｉに１を代入する。

【0221】

（ステップＳ８０２）ユーザ操作情報取得部１３４は、ｉ番目のユーザ識別子が存在するか否かを判断する。ｉ番目のユーザ識別子が存在する場合はステップＳ８０３に行き、ｉ番目のユーザ識別子が存在しない場合は上位処理にリターンする。なお、ここでのユーザ識別子は、通常、フィンガープリント情報である。

【0222】

（ステップＳ８０３）ユーザ操作情報取得部１３４は、不正検知の処理対象である元情報の中から、ｉ番目のユーザ識別子を含む１または２以上の元情報を、格納部１１から取得する。

【0223】

（ステップＳ８０４）ユーザ不正検知部１３８は、カウンタｊに１を代入する。

【0224】

（ステップＳ８０５）ユーザ不正検知部１３８は、ｊ番目のユーザ不正条件が存在するか否かを判断する。ｊ番目のユーザ不正条件が存在する場合はステップＳ８０６に行き、ｊ番目のユーザ不正条件が存在しない場合はステップＳ８１２に行く。

【0225】

（ステップＳ８０６）ユーザ不正検知部１３８は、ｊ番目のユーザ不正条件を格納部１１から取得する。

【0226】

（ステップＳ８０７）ユーザ操作情報取得部１３４は、ｊ番目のユーザ不正条件を判断するために使用する１以上の情報を取得する。１以上の各情報は、ユーザ属性値またはユーザ特徴量である。

【0227】

（ステップＳ８０８）ユーザ不正検知部１３８は、ステップＳ８０７で取得された１以上の情報が、ｊ番目のユーザ不正条件を満たすか否かを判断する。ｊ番目のユーザ不正条件を満たす場合はステップＳ８０９に行き、満たさない場合はステップＳ８１０に行く。

【0228】

（ステップＳ８０９）ユーザ不正検知部１３８は、ｉ番目のユーザ識別子とｊ番目のユーザ不正条件とに対応付けて、不正である旨のユーザ検知結果を取得し、図示しないバッファに一時蓄積する。ステップＳ８１１に行く。

【0229】

（ステップＳ８１０）ユーザ不正検知部１３８は、ｉ番目のユーザ識別子とｊ番目のユーザ不正条件とに対応付けて、不正でない旨のユーザ検知結果を取得し、図示しないバッファに一時蓄積する。

【0230】

（ステップＳ８１１）ユーザ不正検知部１３８は、カウンタｊを１、インクリメントする。ステップＳ８０５に戻る。

【0231】

（ステップＳ８１２）ユーザ不正検知部１３８は、図示しないバッファに蓄積されているユーザ検知結果を用いて、ｉ番目のユーザ識別子に対応付く最終的なユーザ検知結果を構成する。

【0232】

（ステップＳ８１３）ユーザ操作情報取得部１３４は、カウンタｉを１、インクリメントする。ステップＳ８０２に戻る。

【0233】

次に、ステップＳ４１１の正当情報更新処理の例について、図９のフローチャートを用いて説明する。

【0234】

（ステップＳ９０１）正当情報更新部１３９は、カウンタｉに１を代入する。

【0235】

（ステップＳ９０２）正当情報更新部１３９は、更新対象のｉ番目の正当分布情報が存在するか否かを判断する。ｉ番目の正当分布情報が存在する場合はステップＳ９０３に行き、ｉ番目の正当情報が存在しない場合は上位処理にリターンする。

【0236】

（ステップＳ９０３）正当情報更新部１３９は、格納部１１の中の処理対象の元情報から、ｉ番目の正当分布情報を構成するために用いる情報である正当元情報を取得する。なお、正当元情報は、例えば、ＣＴＩＴ、ＯＳ種類識別子、端末種類識別子、特定の操作情報（例えば、「donwload」「購入を示す操作情報」）である。

【0237】

（ステップＳ９０４）正当情報更新部１３９は、ステップＳ９０３で取得した正当元情報を用いて、更新される正当分布情報を構成する。

【0238】

（ステップＳ９０５）正当情報更新部１３９は、ステップＳ９０４で構成された正当分布情報を、正当情報格納部１１１に上書きする。

【0239】

（ステップＳ９０６）正当情報更新部１３９は、カウンタｉを１、インクリメントする。ステップＳ９０２に戻る。

【0240】

次に、サーバ２の動作例について、図１０のフローチャートを用いて説明する。

【0241】

（ステップＳ１００１）サーバ受信部２２は、ユーザ端末３から、指示や情報を受信したか否かを判断する。指示や情報を受信した場合はステップＳ１００２に行き、受信しなかった場合はステップＳ１００１に戻る。

【0242】

（ステップＳ１００２）サーバ処理部２３は、ステップＳ１００１で受信された指示や情報に応じた処理を行う。

【0243】

（ステップＳ１００３）サーバ処理部２３は、ステップＳ１００１で受信された指示または情報が、サーバ格納部２１の送信条件に合致するか否かを判断する。送信条件に合致する場合はステップＳ１００４に行き、合致しない場合はステップＳ１００１に戻る。

【0244】

（ステップＳ１００４）サーバ処理部２３は、アクセスしたユーザ端末３のフィンガープリント情報を取得する。

【0245】

（ステップＳ１００５）サーバ処理部２３は、サーバ２のＩＰアドレスを取得する。サーバ処理部２３は、ユーザ端末３のＩＰアドレスを取得する。

【0246】

（ステップＳ１００６）サーバ処理部２３は、サーバ２のサイト識別子を取得する。

【0247】

（ステップＳ１００７）サーバ処理部２３は、サーバ２が属するネットワークのネットワーク識別子を取得する。

【0248】

（ステップＳ１００８）サーバ処理部２３は、ステップＳ１００１で受信された指示または情報に対応する情報（例えば、「download」「button_click 特定ボタンの識別子」）を取得する。

【0249】

（ステップＳ１００９）サーバ処理部２３は、ステップＳ１００４からステップＳ１００８の処理により取得した情報を含む元情報を構成する。

【0250】

（ステップＳ１０１０）サーバ送信部２４は、ステップＳ１００９で構成された元情報を不正検知装置１に送信する。ステップＳ１００１に戻る。

【0251】

なお、図１０のフローチャートにおいて、電源オフや処理終了の割り込みにより処理は終了する。

【0252】

次に、ユーザ端末３の動作例について、図１１のフローチャートを用いて説明する。

【0253】

（ステップＳ１１０１）端末受付部３２は、指示や情報を受け付けたか否かを判断する。指示や情報を受け付けた場合はステップＳ１１０２に行き、受け付けなかった場合はステップＳ１１１１に行く。

【0254】

（ステップＳ１１０２）端末処理部３３は、ステップＳ１１０１で受け付けられた指示や情報から送信する指示や情報を構成する。端末送信部３４は、当該指示や情報をサーバ２に送信する。

【0255】

（ステップＳ１１０３）端末処理部３３は、ステップＳ１１０１で受け付けられた指示または情報、またはステップＳ１１１１で受信された情報が、端末格納部３１の送信条件に合致するか否かを判断する。送信条件に合致する場合はステップＳ１１０４に行き、合致しない場合はステップＳ１１０１に戻る。

【0256】

（ステップＳ１１０４）端末処理部３３は、フィンガープリント情報を取得する。

【0257】

（ステップＳ１１０５）端末処理部３３は、アクセスしたサーバ２のＩＰアドレスを取得する。サーバ処理部２３は、ユーザ端末３のＩＰアドレスを取得する。

【0258】

（ステップＳ１１０６）端末処理部３３は、アクセスしたサーバ２のサイト識別子を取得する。

【0259】

（ステップＳ１１０７）端末処理部３３は、アクセスしたサーバ２が属するネットワークのネットワーク識別子を取得する。

【0260】

（ステップＳ１１０８）端末処理部３３は、ステップＳ１１０１で受信された指示または情報、またはステップＳ１１１１で受信された情報に対応する情報（例えば、「download」「button_click 特定ボタンの識別子」）であり、元情報を構成するための情報を取得する。

【0261】

（ステップＳ１１０９）端末処理部３３は、ステップＳ１１０４からステップＳ１１０８の処理により取得した情報を含む元情報を構成する。

【0262】

（ステップＳ１１１０）端末送信部３４は、ステップＳ１１０９で構成された元情報を不正検知装置１に送信する。ステップＳ１１０１に戻る。

【0263】

（ステップＳ１１１１）端末受信部３５は、サーバ２から情報を受信したか否かを判断する。情報を受信した場合はステップＳ１１１２に行き、情報を受信しなかった場合はステップＳ１１０１に戻る。

【0264】

（ステップＳ１１１２）端末処理部３３は、受信された情報を用いて、出力する情報を構成する。端末出力部３６は、当該情報を出力する。ステップＳ１１０３に行く。

【0265】

なお、図１１のフローチャートにおいて、電源オフや処理終了の割り込みにより処理は終了する。

【0266】

以下、本実施の形態における不正検知システムＡの具体的な動作例について説明する。

【0267】

今、不正検知装置１の格納部１１には、図１２から図１４に示す不正条件管理表が格納されている。不正条件管理表とは、各種の不正条件を管理する表である。不正条件管理表は、「ＩＤ」「不正種類識別子」「不正条件」を有する１以上のレコードを管理する。「ＩＤ」は、レコードを識別する。「不正種類識別子」は、不正の種類を識別する情報である。不正種類識別子「１」は、ネットワークの不正を示す。不正種類識別子「２」は、サイトの不正を示す。不正種類識別子「３」は、ＩＰアドレスの不正を示す。不正種類識別子「４」は、ユーザの不正を示す。ここでの各種の不正条件は、不正条件に合致した場合には不正であり、合致しない場合は不正でない、とする。

【0268】

「ＩＤ＝１」の不正条件は、ネットワークに属するサイトの１サイトあたりのインストール数の平均値が閾値Ａ（例えば、「閾値Ａ＝２」）以下であることである。「ＩＤ＝２」の不正条件は、ネットワークに属するサイトの数が閾値Ｂ（例えば、「閾値Ｂ＝２０」）以上であることである。「ＩＤ＝３」の不正条件は、ネットワークに属するサイトにアクセスし、アプリケーションプログラムがインストールされた際のユーザ端末３の言語設定が日本語ではない言語設定のインストール数の、全インストール数の対する割合いが閾値Ｃ以上であることである。なお、「！＝」は不一致であることを示す演算子である。「ＩＤ＝４」の不正条件は、海外ＩＰからのインストール数の割合いが閾値Ｄ以上であることである。なお、「＄アクセス元国」は、ネットワークに属するサイトにアクセスしてきたユーザ端末３のＩＰアドレスから取得されたユーザ端末３が存在する国名が代入される変数である。また、格納部１１には、ＩＰアドレスの範囲を示す情報と国名との対応を示す２以上の対応情報を含む対応表が格納されている。そして、ネットワーク情報取得部１３１は、かかる対応表を参照し、受信された元情報に含まれるユーザ端末３のＩＰアドレスに対応する国名を取得し、「＄アクセス元国」に代入する。「ＩＤ＝５」の不正条件は、ネットワークに属する一サイトあたりのコンバージョン（ＣＶ）操作の数が閾値Ｅ以下であることである。なお、変数「＄ＣＶ操作」は格納部１１に格納されており、変数「＄ＣＶ操作」には、コンバージョン操作であると判断される１以上の操作識別子が予め格納されている。「ＩＤ＝６」の不正条件は、ネットワークに属するサイトにアクセスするユーザ端末３の種類が適切でない（例えば、古いデバイス）種類である割合いが閾値Ｆ以上であることである。なお、変数「＄適正端末種類識別子」は格納部１１に格納されており、変数「＄適正端末種類識別子」には、１以上の適正な端末種類識別子（例えば、新しいデバイスの種類識別子）が予め格納されている。「ＩＤ＝７」の不正条件は、ネットワークに属するサイトにアクセスするユーザ端末３のＯＳの種類が適切でない（例えば、古いＯＳ）種類である割合いが閾値Ｇ以上であることである。なお、変数「＄適正ＯＳ種類識別子」は格納部１１に格納されており、変数「＄適正ＯＳ種類識別子」には、１以上の適正なＯＳ種類識別子（例えば、新しいＯＳの種類識別子）が予め格納されている。

【0269】

図１３の「ＩＤ＝５１」の不正条件は、サイトにおけるＣＴＩＴの分布と、ＣＴＩＴ正当分布情報との差異の絶対値が閾値Ｈ以上であることである。なお、ＣＴＩＴ正当分布情報は、例えば、（７００００，２００００，・・・，５０００）である。また、両社の差異は、ここでは、２つのベクトルの距離である。「ＩＤ＝５２」の不正条件は、サイトにアクセスしたユーザ端末３のＯＳの種類の分布と、ＯＳ種類正当分布情報との差異の絶対値が閾値Ｉ以上であることである。なお、ＯＳ種類正当分布情報は、例えば、（５４．９％，１４．２％，・・・，２．０％）である。「ＩＤ＝５３」の不正条件は、サイトにアクセスしたユーザ端末３の種類の分布と、端末種類正当分布情報との差異の絶対値が閾値Ｊ以上であることである。不正の判断の対象となる元情報は異なるが、「ＩＤ＝５４，５５」の不正条件は、「ＩＤ＝６，７」の不正条件と同じであるので、説明は省略する。「ＩＤ＝５６」の不正条件は、ＣＴＩＴの平均値が小過ぎる場合、または大き過ぎることである。「ＩＤ＝５７，５８」の不正条件は、「ＩＤ＝４，３」の不正条件と類似するので、説明は省略する。「ＩＤ＝５９」の不正条件は、サイトの中の１または２以上のウェブページを実現するＨＴＭＬにおける特定の「タグＸ」の数が閾値Ｑ以上である、または特定の「タグＹ」の数が閾値Ｒ以上であることである。

【0270】

図１４の「ＩＤ＝１０１」の不正条件は、端末種類識別子（例えば、「スマートフォン」、「パソコン」）に対応する画面サイズと、元情報に含まれる画面サイズとが対応しない割合いが閾値Ｓ以上であることである。「ＩＤ＝１０２」の不正条件は、適正でない端末種類識別子を含む元情報の数が閾値Ｔ以上であることである。「ＩＤ＝１０３」の不正条件は、スプーフィングであると判断される元情報の割合いが閾値Ｕ以上であることである。

【0271】

図１４の「ＩＤ＝１５１」の不正条件は、操作識別子「特定操作Ａ」を含む元情報の数が閾値Ｖ以上であることである。「ＩＤ＝１５２」の不正条件は、操作識別子「ＣＬＩＣＫ（広告）」を含む元情報の数が閾値Ｗ以上であることである。なお、操作識別子「ＣＬＩＣＫ（広告）」を含む元情報の数は、同じ広告をクリックした回数である。

【0272】

以上の状況において、不正検知装置１は、以下のように動作する。つまり、不正検知装置１の受信部１２は、１または２以上の各サーバ２から多数の元情報を受信する。そして、処理部１３は、受信された多数の元情報を格納部１１に蓄積する。また、不正検知装置１の受信部１２は、１または２以上の各ユーザ端末３から多数の元情報を受信する。そして、処理部１３は、受信された多数の元情報を格納部１１に蓄積する。そして、格納部１１には、多数の元情報が蓄積された、とする。

【0273】

なお、不正検知装置１が、サーバ２から受信し、蓄積した元情報の例は、ダウンロード情報である（アプリケーション識別子、ネットワーク識別子、サイト識別子、サーバ２のＩＰアドレス、ユーザ端末３のＩＰアドレス、フィンガープリント情報、ＯＳ種類識別子、端末種類識別子、言語識別子、サイズ情報）の構造を有する元情報、ユーザ操作情報である（操作識別子（オブジェクト識別子）、ネットワーク識別子、サイト識別子、サーバ２のＩＰアドレス、ユーザ端末３のＩＰアドレス、フィンガープリント情報、ＯＳ種類識別子、端末種類識別子、言語識別子、サイズ情報）の構造を有する元情報、ＨＴＭＬで記述されたウェブページ情報を含む（ネットワーク識別子、サイト識別子、サーバ２のＩＰアドレス、ウェブページ情報）の構造を有する元情報である。

【0274】

また、不正検知装置１が、ユーザ端末３から受信し、蓄積した元情報の例は、ダウンロード情報である（アプリケーション識別子、ネットワーク識別子、サイト識別子、サーバ２のＩＰアドレス、ユーザ端末３のＩＰアドレス、フィンガープリント情報、ＯＳ種類識別子、端末種類識別子、言語識別子、サイズ情報）の構造を有する元情報、インストール情報である（アプリケーション識別子、ネットワーク識別子、サイト識別子、ＩＰアドレス、フィンガープリント情報、ＣＴＩＴ、ＯＳ種類識別子、端末種類識別子、言語識別子、サイズ情報）の構造を有する元情報、ユーザ操作情報である（操作識別子（オブジェクト識別子）、ネットワーク識別子、サイト識別子、サーバ２のＩＰアドレス、ユーザ端末３のＩＰアドレス、フィンガープリント情報、ＯＳ種類識別子、端末種類識別子、言語識別子、サイズ情報）の構造を有する元情報である。

【0275】

以上の状況において、例えば、予め決められた時刻になり、処理部１３は、不正検知を行うタイミングである、と判断したとする。そして、以下、４つの具体例について説明する。具体例１は、ネットワーク検知結果を取得する場合である。具体例２は、サイト検知結果を取得する場合である。具体例３は、ＩＰアドレス検知結果を取得する場合である。具体例４は、ユーザ検知結果を取得する場合である。

【0276】

（具体例１）
ネットワーク情報取得部１３１は、ネットワーク識別子ごとに、当該ネットワーク識別子を有する１または２以上の元情報を格納部１１から取得する。そして、ネットワーク情報取得部１３１は、ネットワーク識別子ごとに、取得した１または２以上の元情報を用いて、１以上のネットワーク属性値を取得する。ここでは、１以上のネットワーク属性値は、サイト数、インストール数を含む。１以上のネットワーク属性値は、例えば、インストールを示す操作識別子と対になる各言語識別子の数、インストールを示す操作識別子と対になる各アクセス元国の数でありユーザ端末３のＩＰアドレスから取得できる各アクセス元国の数、ＣＶに該当する操作識別子を含む元情報の数、適正な端末種類識別子を含まない元情報の数、適正なＯＳ種類識別子を含まない元情報の数を含む。

【0277】

ネットワーク情報取得部１３１は、例えば、一のネットワーク識別子を有する１以上の元情報からサイト識別子を取得し、当該サイト識別子に対して、ユニーク処理を行い、その結果からサイト識別子の数（サイト数）を取得する。ネットワーク情報取得部１３１は、例えば、一のネットワーク識別子を有する１以上の元情報から操作識別子「install」を含む元情報の数であるインストール数を取得する。

【0278】

次に、ネットワーク不正検知部１３５は、不正条件管理表の「ＩＤ＝１～７、８以降」の各ネットワーク不正条件に基づいて、ネットワーク識別子ごとに取得されたネットワーク属性値を用いて、ネットワーク識別子ごと、ネットワーク不正条件ごとに、ネットワークが不正であるか否かを判断する。ネットワーク不正検知部１３５は、ネットワーク識別子ごとに、例えば、「ＩＤ＝１」のネットワーク不正条件を用いて、１サイトにおけるインストール数を算出し、閾値Ａ（例えば「２」）以下であるネットワークを不正である、と判断する。

【0279】

次に、出力部１４１は、当該ネットワークの不正検知の結果を出力する。かかる出力例は、図１５である。

【0280】

図１５において、「Ｎｏ」はネットワーク識別子、「＃ｉｎｓｔａｌｌｓ＿ｃｔ」はインストール数、「ｒｅｔｉｏ（％）」は操作識別子「install」を含む元情報の割合い、「ｆｒａｕｄｕｌｅｎｔ＿ｓｃｏｒｅ」は、不正か否かを示すネットワーク検知結果、「＃ｓｉｔｅ＿３」はサイト数、「ｉｎｓｔａｌｌｓ／「＃ｓｉｔｅ＿３」は１サイトあたりのインストール数である。図１５において、矩形で囲った行に対応するネットワーク識別子「３，６，１０」のネットワーク（１５０１）が不正であることを示す。

【0281】

（具体例２）
サイト情報取得部１３２は、サイト識別子ごとに、当該サイト識別子を有する１または２以上の元情報を格納部１１から取得する。そして、サイト情報取得部１３２は、サイト識別子ごとに、取得した１または２以上の元情報を用いて、１以上のサイト属性値を取得する。ここでは、１以上のサイト属性値は、例えば、ＣＴＩＴ、ＯＳ種類識別子、端末種類識別子、ユーザ識別子のＩＰアドレス、言語識別子、ウェブページ情報を含む。

【0282】

次に、サイト不正検知部１３６は、不正条件管理表の「ＩＤ＝５１～５９等」の各不正条件に基づいて、サイト識別子ごとに取得されたサイト属性値を用いて、サイト識別子ごと、サイト不正条件ごとに、サイトが不正であるか否かを判断する。

【0283】

サイト不正検知部１３６は、サイトごとに、例えば、「ＩＤ＝５１」のサイト不正条件を用いて、各サイトにおけるＣＴＩＴ分布情報を取得し、正当情報格納部１１１のＣＴＩＴ正当分布情報と比較する。ここでは、ネットワーク不正検知部１３５は、各サイトにおけるＣＴＩＴの集合から、ＣＴＩＴ分布情報（平均値，中央値，標準偏差，最小値，最大値）を取得する。

【0284】

ここで、サイト不正検知部１３６は、例えば、一のサイトの２以上の各元情報が有するＣＴＩＴから、ＣＴＩＴ分布情報（１０．７，３．７，１．３，０．１，１４２８．８）を取得した、とする。また、ＣＴＩＴ正当分布情報は、（３３．９，０．８，９．４，０．３，１４３９．７）である、とする。そして、サイト不正検知部１３６は、２つのベクトル（１０．７，３．７，１．３，０．１，１４２８．８）（３３．９，０．８，９．４，０．３，１４３９．７）の距離を算出し、当該距離が閾値Ｈ以上である、と判断した、とする。つまり、サイト不正検知部１３６は、当該一のサイトのＣＴＩＴ分布情報が正当ではなく、当該一のサイトが不正である旨のサイト検知結果を取得する。

【0285】

次に、出力部１４１は、当該サイトの不正検知の結果を出力する。かかる出力例は、図１６である。図１６において、１６０１はＣＴＩＴ正当分布情報、１６０２は、当該一のサイトのＣＴＩＴ分布情報である。図１６において、ＣＴＩＴ正当分布情報、ＣＴＩＴ分布情報ともに、平均値（ａｖｇ），中央値（ｍｅｄｉａｎ），標準偏差（ｓｔｄｅｖ），最小値（ｍｉｎ），最大値（ｍａｘ）を有する。

【0286】

また、サイト不正検知部１３６は、サイトごとに、例えば、「ＩＤ＝５２」のサイト不正条件を用いて、各サイトにおけるＯＳ種類分布情報を取得し、正当情報格納部１１１のＯＳ種類正当分布情報と比較する。ここでは、サイト不正検知部１３６は、各サイトにおけるＯＳ種類分布情報から構成されるベクトルとＯＳ種類正当分布情報から構成されるベクトルとの距離を算出し、サイトごとに不正であるか否かを判断する。ＯＳ種類分布情報、ＯＳ種類正当分布情報は、ＯＳの種類ごとの元情報の割合いである。

【0287】

次に、出力部１４１は、当該サイトのＯＳ種類識別子の不正検知の結果を出力する。かかる出力例は、図１７である。図１７の１７０１はＯＳ種類正当分布情報であり、１７０２は各サイトのＯＳ種類分布情報である。図１７において、×は不正なサイトであり、○は正当なサイトであることを示す。

【0288】

（具体例３）
ＩＰアドレス情報取得部１３３は、アクセスされるサーバ２のＩＰアドレスごとに、ＩＰアドレスを有する１または２以上の元情報を格納部１１から取得する。また、ＩＰアドレス情報取得部１３３は、取得した元情報から、元情報がスプーフィングに該当するか否かを判断するための１以上のＩＰアドレス属性値を取得する。ここでは、１以上のＩＰアドレス属性値は、例えば、端末種類識別子、画面サイズを含む。

【0289】

ＩＰアドレス不正検知部１３７は、１以上のＩＰアドレス属性値を用いて、元情報がスプーフィングに該当するか否かを判断する。ここで、ＩＰアドレス不正検知部１３７は、例えば、端末種類識別子に対応する画面サイズと、元情報に含まれる画面サイズとが対応しない場合に、元情報がスプーフィングに該当すると判断する。

【0290】

次に、ＩＰアドレス不正検知部１３７は、ＩＰアドレスごとに、すべての元情報の数と、スプーフィングに該当すると判断した元情報の数とを取得する。次に、ＩＰアドレス不正検知部１３７は、ＩＰアドレスごとに、スプーフィングの割合い（スプーフィングに該当すると判断した元情報の数／すべての元情報の数）を算出する。次に、ＩＰアドレス不正検知部１３７は、スプーフィングの割合いが閾値Ｕ（ここでは、９５％）以上であるＩＰアドレスを不正である、と判断する。次に、ＩＰアドレス不正検知部１３７は、スプーフィングに基づく不正検知がされたＩＰアドレスを含むＩＰアドレス検知結果を取得する。

【0291】

次に、出力部１４１は、当該ＩＰアドレス検知結果を出力する。かかる出力例は、図１８である。図１８の「Ｒｏｗ」はレコードのＩＤ、「ｉｓｐ」はＩＰアドレスに対応する組織名、「ｉｐ＿ａｄｒｅｓｓ」はＩＰアドレス、「ｔｏｔａｌ＿ｃｏｕｎｔ」はすべての元情報の数、「ｓｐｏｏｆｅｄ＿ｃｏｕｎｔ」はスプーフィングに該当する元情報の数、「ｓｐｏｏｆｅｄ＿ｒｅｔａ」はスプーフィングの割合いである。図１８において、すべてのＩＰアドレスが不正であることを示す。「ｓｐｏｏｆｅｄ＿ｒｅｔａ」が０．９５以上であるからである。

【0292】

（具体例４）
ユーザ操作情報取得部１３４は、フィンガープリント情報ごとに、元情報を格納部１１から取得する。次に、ユーザ操作情報取得部１３４は、フィンガープリント情報ごとに、取得した元情報から操作識別子「特定操作Ａ」を含む元情報の数を取得する。また、ユーザ操作情報取得部１３４は、フィンガープリント情報ごとに、取得した元情報から各広告情報に対する「ＣＬＩＣＫ」の操作識別子を含む元情報の数を取得する。

【0293】

次に、ユーザ不正検知部１３８は、不正条件管理表の「ＩＤ＝１５１、１５２等」の各ユーザ不正条件に基づいて、フィンガープリント情報ごとに取得されたユーザ属性値（操作識別子「特定操作Ａ」を含む元情報の数等）を用いて、フィンガープリント情報ごと、ユーザ不正条件ごとに、ユーザが不正であるか否かを判断する。そして、ユーザ不正検知部１３８は、ユーザ検知結果を取得する。

【0294】

次に、出力部１４１は、ユーザが不正であるか否かを示すユーザ検知結果を出力する。

【0295】

以上、本実施の形態によれば、ネットワーク、サイト、およびＩＰアドレスの３層構造の全階層に対する包括的な不正検知ができる。

【0296】

また、本実施の形態によれば、ユーザに対する不正検知をも含めた、より包括的な不正検知ができる。

【0297】

なお、本実施の形態における処理は、ソフトウェアで実現しても良い。そして、このソフトウェアをソフトウェアダウンロード等により配布しても良い。また、このソフトウェアをＣＤ－ＲＯＭなどの記録媒体に記録して流布しても良い。なお、このことは、本明細書における他の実施の形態においても該当する。なお、本実施の形態における不正検知装置１を実現するソフトウェアは、以下のようなプログラムである。つまり、このプログラムは、コンピュータを１または２以上のサイトを含む一のネットワークに関するネットワーク情報を取得するネットワーク情報取得部と、前記ネットワーク情報取得部が取得した前記ネットワーク情報を用いて、前記一のネットワークに対する不正検知を行い、ネットワーク検知結果を取得するネットワーク不正検知部と、一のサイトに関するサイト情報を取得するサイト情報取得部と、前記サイト情報取得部が取得した前記サイト情報を用いて、前記一のサイトに対する不正検知を行い、サイト検知結果を取得するサイト不正検知部と、一のＩＰアドレスに関するＩＰアドレス情報を取得するＩＰアドレス情報取得部と、前記ＩＰアドレス情報取得部が取得した前記ＩＰアドレス情報を用いて、前記一のＩＰアドレスに対する不正検知を行い、ＩＰアドレス検知結果を取得するＩＰアドレス不正検知部と、前記ネットワーク検知結果と前記サイト検知結果と前記ＩＰアドレス検知結果とを出力する出力部として機能させるためのプログラムである。

【0298】

また、図１９は、本明細書で述べたプログラムを実行して、上述した種々の実施の形態の不正検知装置１、サーバ２、ユーザ端末３を実現するコンピュータの外観を示す。上述の実施の形態は、コンピュータハードウェア及びその上で実行されるコンピュータプログラムで実現され得る。図１９は、このコンピュータシステム３００の概観図であり、図２０は、システム３００のブロック図である。

【0299】

図１９において、コンピュータシステム３００は、ＣＤ－ＲＯＭドライブを含むコンピュータ３０１と、キーボード３０２と、マウス３０３と、モニタ３０４とを含む。

【0300】

図２０において、コンピュータ３０１は、ＣＤ－ＲＯＭドライブ３０１２に加えて、ＭＰＵ３０１３と、ＣＤ－ＲＯＭドライブ３０１２等に接続されたバス３０１４と、ブートアッププログラム等のプログラムを記憶するためのＲＯＭ３０１５と、ＭＰＵ３０１３に接続され、アプリケーションプログラムの命令を一時的に記憶するとともに一時記憶空間を提供するためのＲＡＭ３０１６と、アプリケーションプログラム、システムプログラム、及びデータを記憶するためのハードディスク３０１７とを含む。ここでは、図示しないが、コンピュータ３０１は、さらに、ＬＡＮへの接続を提供するネットワークカードを含んでも良い。

【0301】

コンピュータシステム３００に、上述した実施の形態の不正検知装置１等の機能を実行させるプログラムは、ＣＤ－ＲＯＭ３１０１に記憶されて、ＣＤ－ＲＯＭドライブ３０１２に挿入され、さらにハードディスク３０１７に転送されても良い。これに代えて、プログラムは、図示しないネットワークを介してコンピュータ３０１に送信され、ハードディスク３０１７に記憶されても良い。プログラムは実行の際にＲＡＭ３０１６にロードされる。プログラムは、ＣＤ－ＲＯＭ３１０１またはネットワークから直接、ロードされても良い。

【0302】

プログラムは、コンピュータ３０１に、上述した実施の形態の不正検知装置１等の機能を実行させるオペレーティングシステム（ＯＳ）、またはサードパーティープログラム等は、必ずしも含まなくても良い。プログラムは、制御された態様で適切な機能（モジュール）を呼び出し、所望の結果が得られるようにする命令の部分のみを含んでいれば良い。コンピュータシステム３００がどのように動作するかは周知であり、詳細な説明は省略する。

【0303】

なお、上記プログラムにおいて、情報を送信するステップや、情報を受信するステップなどでは、ハードウェアによって行われる処理、例えば、送信ステップにおけるモデムやインターフェースカードなどで行われる処理（ハードウェアでしか行われない処理）は含まれない。

【0304】

また、上記プログラムを実行するコンピュータは、単数であってもよく、複数であってもよい。すなわち、集中処理を行ってもよく、あるいは分散処理を行ってもよい。

【0305】

また、上記各実施の形態において、一の装置に存在する２以上の通信手段は、物理的に一の媒体で実現されても良いことは言うまでもない。

【0306】

また、上記各実施の形態において、各処理は、単一の装置によって集中処理されることによって実現されてもよく、あるいは、複数の装置によって分散処理されることによって実現されてもよい。

【0307】

本発明は、以上の実施の形態に限定されることなく、種々の変更が可能であり、それらも本発明の範囲内に包含されるものであることは言うまでもない。

【産業上の利用可能性】

【0308】

以上のように、本発明にかかる不正検知装置１は、ネットワーク、サイト、およびＩＰアドレスの３層構造の全階層に対する包括的な不正検知ができるという効果を有し、不正を検知するサーバ等として有用である。

【符号の説明】

【0309】

Ａ 不正検知システム
１ 不正検知装置
２ サーバ
３ ユーザ端末
１１ 格納部
１２ 受信部
１３、３３ 処理部
１４ 送信部
２１ サーバ格納部
２２ サーバ受信部
２３ サーバ処理部
２４ サーバ送信部
３１ 端末格納部
３２ 端末受付部
３３ 端末処理部
３４ 端末送信部
３５ 端末受信部
３６ 端末出力部
１１１ 正当情報格納部
１３１ ネットワーク情報取得部
１３２ サイト情報取得部
１３３ ＩＰアドレス情報取得部
１３４ ユーザ操作情報取得部
１３５ ネットワーク不正検知部
１３６ サイト不正検知部
１３７ ＩＰアドレス不正検知部
１３８ ユーザ不正検知部
１３９ 正当情報更新部
１４１ 出力部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】