JP5939645B2 - 情報漏洩防止装置、方法及びプログラム - Google Patents

Description

本発明は、通信を介した個人情報の漏洩を防ぐ技術に関する。

近年、ＷＥＢアプリケーションの脆弱性を悪用した攻撃により、ＷＥＢアプリケーションシステムから個人情報を取得する不正行為が問題となっている。このような問題に対して、ＷＡＦ（Web Application Firewall）等を用いて、ＷＥＢアプリケーションへの攻撃パターンを検知及びブロックすることにより、個人情報の漏洩を守るシステムが存在する。

また、ＷＥＢアプリケーションのセキュリティを向上させるために、そのＷＥＢアプリケーションの脆弱な部分を予め診断する技術が提案されている。例えば、下記特許文献１には、検査対象となるパラメータと検査項目との対応を示す設定ファイルを用いて、パラメータが指定された場合に、指定されたパラメータに対応する検査項目を特定して脆弱性の検査処理を行うことが提案されている。

特開２００５−１３４９９５号公報

しかしながら、上述のような手法では、正規ユーザ又は正規ユーザになりすましたユーザが不正の目的で個人情報を大量に収集することを防ぐことは困難である。また、個人情報を格納したデータベースのログ情報等から、個人情報を大量に入手したユーザを特定することは可能であるが、個人情報の漏洩自体を防ぐことはできない。

本発明は、上述のような事情に鑑み、通信を介した個人情報の漏洩を未然に防止する技術を提供する。

本発明の各態様では、上述した課題を解決するために、それぞれ以下の構成を採用する。

第１の態様は、情報漏洩防止装置に関する。第１の態様に係る情報漏洩防止装置は、クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに関し、メッセージ時間、要求元情報及び要求先情報をそれぞれ格納する要求情報格納部と、各情報要求メッセージに応じてサーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、対応の情報要求メッセージのメッセージ時間から所定滞留時間の間滞留させる滞留処理部と、上記要求情報格納部で格納される情報要求メッセージに関する情報に基づいて、同じ要求元から同じ要求先への情報要求メッセージであって、当該滞留している応答メッセージに対応する情報要求メッセージの数をカウントするカウント部と、このカウント部によりカウントされた情報要求メッセージの数が所定閾値を超えている場合に、当該滞留している応答メッセージに含まれる個人情報が当該要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する応答処理部と、を備える。

第２の態様は、情報漏洩防止方法に関する。第２の態様に係る情報漏洩防止方法は、コンピュータが、クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに関し、メッセージ時間、要求元情報及び要求先情報を要求情報格納部にそれぞれ格納し、各情報要求メッセージに応じて前記サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、対応の情報要求メッセージのメッセージ時間から所定滞留時間の間滞留させ、上記要求情報格納部に格納される情報要求メッセージに関する情報に基づいて、同じ要求元から同じ要求先への情報要求メッセージであって、当該滞留している応答メッセージに対応する情報要求メッセージの数をカウントし、カウントされた情報要求メッセージの数が所定閾値を超えている場合に、当該滞留している応答メッセージに含まれる個人情報が当該要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する、ことを含む。

第３の態様は、情報漏洩防止装置に関する。第３の態様に係る情報漏洩防止装置は、クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに応じて当該サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、当該応答メッセージに関するメッセージ時間から所定滞留時間の間滞留させる滞留処理部と、滞留している応答メッセージのうち、同じ要求元及び同じ要求先に関する応答メッセージの数をカウントするカウント部と、このカウント部によりカウントされた応答メッセージの数が所定閾値を超えている場合に、滞留している応答メッセージに含まれる個人情報が要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する応答処理部と、を備える。

第４の態様は、情報漏洩防止方法に関する。第４の態様に係る情報漏洩防止方法は、コンピュータが、クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに応じて当該サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、当該応答メッセージに関するメッセージ時間から所定滞留時間の間滞留させ、滞留している応答メッセージのうち、同じ要求元及び同じ要求先に関する応答メッセージの数をカウントし、このカウントされた応答メッセージの数が所定閾値を超えている場合に、滞留している応答メッセージに含まれる個人情報が要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する、ことを含む。

本発明の他の態様として、上記第１の態様又は上記第２の態様の各構成をコンピュータに実現させるプログラムであってもよいし、このようなプログラムを記録したコンピュータが読み取り可能な記憶媒体であってもよい。この記憶媒体は、非一時的な有形の媒体を含む。

上記各態様によれば、通信を介した個人情報の漏洩を未然に防止する技術を提供することができる。

図１は、第１実施形態におけるＷＥＢサーバ装置（ＷＥＢサーバ）を含むＷＥＢシステムの構成例を概念的に示す図である。 図２は、第１実施形態におけるＷＥＢサーバの構成例を概念的に示す図である。 図３は、要求情報格納部の例を示す図である。 図４は、個人情報識別格納部の例を示す図である。 図５は、第１実施形態における情報漏洩防止部の要求処理系の動作例を示すフローチャートである。 図６は、第１実施形態における情報漏洩防止部の、ＨＴＴＰレスポンスのデータ取得時の動作例を示すフローチャートである。 図７は、第１実施形態における情報漏洩防止部の、滞留タイマに関連する動作例を示すフローチャートである。 図８は、第２実施形態におけるＷＥＢサーバの構成例を概念的に示す図である。 図９は、第２実施形態における情報漏洩防止部の、ＨＴＴＰレスポンスのデータ取得時の動作例を示すフローチャートである。 図１０は、第２実施形態における情報漏洩防止部の滞留タイマに関連する動作例を示すフローチャートである。 図１１は、ＷＥＢシステムの変形例の構成を概念的に示す図である。

以下、本発明の実施の形態について説明する。なお、以下に挙げる実施形態は例示であり、本発明は以下の実施形態の構成に限定されない。

本実施形態に係る情報漏洩防止装置は、クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに関し、メッセージ時間、要求元情報及び要求先情報をそれぞれ格納する要求情報格納部と、当該各情報要求メッセージに応じてサーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、対応の情報要求メッセージのメッセージ時間から所定滞留時間の間滞留させる滞留処理部と、上記要求情報格納部で格納される情報要求メッセージに関する情報に基づいて、同じ要求元から同じ要求先への情報要求メッセージであって、滞留している応答メッセージに対応する情報要求メッセージの数をカウントするカウント部と、このカウント部によりカウントされた情報要求メッセージの数が所定閾値を超えている場合に、滞留している応答メッセージに含まれる個人情報が当該要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する応答処理部と、を備える。

本実施形態では、個人情報を含む応答メッセージが、対応の情報要求メッセージのメッセージ時間から所定滞留時間の間滞留し、滞留している応答メッセージに対応する、同じ要求元から同じ要求先への情報要求メッセージの数が所定閾値を超えた場合に、当該応答メッセージに含まれる個人情報が当該要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理が適用される。即ち、本実施形態では、所定滞留時間内に、同じ要求元から、個人情報を含む応答メッセージを求める情報要求メッセージが所定閾値を超えて送信された場合に、そのような情報要求メッセージは不正なリクエストと判定される。結果、不正なリクエストに応じてサーバ装置から送られた個人情報は要求元に送られないように処理される。

個人情報を含む応答メッセージに対応する情報要求メッセージが同じ要求元から或る時間の間に大量に送信されることは、不正アクセスである可能性が高い。本実施形態における情報漏洩防止装置によれば、このような不正アクセスを的確に検出し、個人情報の漏洩を未然に防ぐことができる。

以下、上述の実施形態について更に詳細を説明する。以下の実施形態は、上述の情報漏洩防止装置をＷＥＢシステムに適用した場合の例である。なお、上述の情報漏洩防止装置は、ＷＥＢシステムへの適用に限定されるものではなく、通信を介して個人情報をやりとりする様々な態様に適用可能である。

［第１実施形態］
〔システム構成〕
図１は、第１実施形態におけるＷＥＢサーバ装置（以降、単にＷＥＢサーバと表記する）１０を含むＷＥＢシステムの構成例を概念的に示す図である。第１実施形態におけるＷＥＢサーバ１０は、ネットワーク３を介して複数のクライアント端末１に通信可能に接続される。ネットワーク３は、インターネット等のような公衆網、ＷＡＮ（Wide Area Network）、ＬＡＮ（Local Area Network）、無線通信ネットワーク等である。本実施形態において、ＷＥＢサーバ１０と各クライアント端末１との間の接続形態及び通信形態は限定されない。

ＷＥＢサーバ１０は、一般的なパーソナルコンピュータ（ＰＣ）等のような汎用コンピュータで構築されてもよいし、専用コンピュータで構築されてもよい。図１には、ＷＥＢサーバ１０のハードウェア構成例が示されている。ＷＥＢサーバ１０は、ハードウェア構成として、バス８等で相互に接続される、ＣＰＵ（Central Processing Unit）５、メモリ６、入出力インタフェース（Ｉ／Ｆ）７等を備える。メモリ６は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ハードディスク、可搬型記憶媒体等を含む。入出力Ｉ／Ｆ７は、ネットワーク３を介して各クライアント端末１と通信を行う通信装置等と接続される。また、入出力Ｉ／Ｆ７は、表示装置や入力装置等のようなユーザインタフェース装置と接続されてもよい。なお、本実施形態は、ＷＥＢサーバ１０のハードウェア構成を限定しない。

クライアント端末１は、ＰＣ、携帯型ＰＣ、携帯電話等のような一般的な情報処理端末である。クライアント端末１は、ＷＥＢサーバ１０にアクセスしデータを受け得る一般的な通信機能、ＷＥＢサーバ１０から提供されたデータに基づく画面を表示及び操作することができる一般的なユーザインタフェース機能等を有するものであればよい。本実施形態では、ＷＥＢサーバ１０とクライアント端末１との間のインタフェースとしてＷＥＢシステムが利用される例を挙げているため、クライアント端末１は、ユーザインタフェース機能としていわゆるＷＥＢブラウザを有し、ＨＴＴＰ（Hypertext Transfer Protocol）を実行する通信機能を有する。なお、本実施形態は、クライアント端末１のハードウェア構成及び機能構成を限定しない。

クライアント端末１の中には、ＷＥＢサーバ１０から大量の個人情報を不正に取得しようとするユーザ（以降、不正ユーザと表記する）により操作される端末が含まれる。本実施形態では、この不正ユーザは、少なくとも１つのクライアント端末１において、ＨＴＴＰを悪意に利用してＷＥＢサーバ１０に攻撃を仕掛ける。この攻撃には、例えば、ＳＱＬ（Structured Query Language）インジェクションと呼ばれる攻撃も含まれる。

〔装置構成〕
図２は、第１実施形態におけるＷＥＢサーバ１０の構成例を概念的に示す図である。第１実施形態におけるＷＥＢサーバ１０は、図２に示すように、通信部１１、ＷＥＢアプリケーション１２、ＷＥＢページ格納部１３、情報漏洩防止部１５等を有する。これら各処理部は、タスク、プロセス、関数、データ格納領域のようなソフトウェア部品（断片）であるソフトウェア構成要素としてそれぞれ実現される。よって、各処理部は、例えば、図１に示す、ＣＰＵ５がメモリ６に格納されるプログラムを実行することによりそれぞれ実現される。ＷＥＢページ格納部１３は、メモリ６上で実現される。

通信部１１は、入出力Ｉ／Ｆ７としてのネットワークインタフェースカード等を制御し、ＨＴＴＰ等のプロトコルによりクライアント端末１とやりとりされるデータの送受信を行う。例えば、通信部１１は、ＷＥＢアプリケーション１２又は情報漏洩防止部１５から送られるＷＥＢページ等のデータを受け、そのデータを含むＨＴＴＰパケットをクライアント端末１へ送信する。また、通信部１１は、クライアント端末１から送信されるＨＴＴＰパケットを受信すると、それに含まれるデータをＷＥＢアプリケーション１２又は情報漏洩防止部１５へ送る。

なお、本実施形態では、ＷＥＢサーバ１０とクライアント端末１との間のインタフェースとしてＷＥＢシステムが利用される例を挙げているため、ＨＴＴＰで送受されるデータのみを対象に説明するが、通信部１１は他の通信プロトコルも実行可能である。

以降、説明の便宜のため、クライアント端末１から送信される、任意のＷＥＢページを求めるＨＴＴＰパケットをＨＴＴＰリクエストと表記する。このＨＴＴＰリクエストは、一般的には、情報要求メッセージと呼ぶこともできる。ＨＴＴＰリクエストには、要求元であるクライアント端末１を特定するための情報（ＩＰアドレス等）が要求元情報として含まれ、所望のＷＥＢページ等の情報を指定するためのＵＲＬ（Uniform Resource Locator）情報が要求先情報として含まれる。

また、ＷＥＢサーバ１０から送信される、クライアント端末１から要求された情報を提供する一連のＨＴＴＰパケットをＨＴＴＰレスポンスと表記する。このＨＴＴＰレスポンスは、提供される情報のデータ量が大きい場合等、複数のＨＴＴＰパケットから形成される場合もある。ＨＴＴＰレスポンスは、一般的には、応答メッセージと呼ぶこともできる。ＨＴＴＰレスポンスには、対応するＨＴＴＰリクエストに含まれていた要求元情報及び要求先情報と共に、要求先情報で指定された情報が含まれる。

ＷＥＢアプリケーション１２は、周知の一般的なＷＥＢサーバ機能を有する。例えば、ＷＥＢアプリケーション１２は、クライアント端末１からのＨＴＴＰリクエストで要求されるデータをＷＥＢページ格納部１３から抽出し、当該データを含むＨＴＴＰレスポンスを通信部１１を介してクライアント端末１へ送信する。

ＷＥＢページ格納部１３は、複数のＷＥＢページ及びそれを形成する各種データを格納する。特に、本実施形態では、ＷＥＢページ格納部１３は、多くの個人情報を格納する。

情報漏洩防止部１５は、上述の実施形態における情報漏洩防止装置に相当する。本実施形態では、情報漏洩防止部１５は、通信部１１とＷＥＢアプリケーション１２との間に介在する。情報漏洩防止部１５は、要求情報取得部１０１、第１対象決定部１０２、対象判定情報格納部１０３、要求情報格納部１０５、応答情報取得部１１１、第２対象決定部１１２、個人情報判定部１１３、個人情報識別格納部１１４、カウント部１１５、応答情報格納部１１６、滞留タイマ１１７、滞留処理部１１８、応答処理部１１９等を有する。情報漏洩防止部１５が有するこれら各処理部についても、上記ソフトウェア構成要素としてそれぞれ実現される。

要求情報取得部１０１、第１対象決定部１０２及び対象判定情報格納部１０３は、ＨＴＴＰリクエストに関連する処理を行うため、要求処理系１７と呼ぶこともできる。また、要求処理系１７と要求情報格納部１０５とを除く他の各処理部は、ＨＴＴＰレスポンスに関連する処理を行うため、応答処理系１８と呼ぶこともできる。要求情報格納部１０５は、要求処理系１７及び応答処理系１８で共用される。

＜要求処理系１７＞
要求情報取得部１０１は、通信部１１で受信されたＨＴＴＰリクエストに関する情報を取得する。要求情報取得部１０１は、通信部１１から当該ＨＴＴＰリクエストに関する情報を取得してもよいし、通信部１１からＷＥＢアプリケーション１２へ送られた当該ＨＴＴＰリクエストに関する情報をＷＥＢアプリケーション１２から取得してもよい。また、要求情報取得部１０１は、ＨＴＴＰリクエストを形成するパケットデータそのものを取得してもよいし、当該ＨＴＴＰリクエストに関するメッセージ時間、要求元情報及び要求先情報を取得してもよい。メッセージ時間は、例えば、ＨＴＴＰリクエストがＷＥＢサーバ１０で受信された時間（日時情報）を示す。ＨＴＴＰリクエストに送信時間の情報が含まれている場合には、その送信時間をメッセージ時間に利用してもよい。要求元情報は、上述したように、例えば、クライアント端末１のＩＰアドレスである。要求先情報は、上述したように、例えば、ＵＲＬである。

第１対象決定部１０２は、情報漏洩防止部１５において検査対象とすべきＨＴＴＰリクエストを決定し、検査対象とすべきと決定されたＨＴＴＰリクエストに関し、要求情報取得部１０１により取得された情報のみを要求情報格納部１０５に格納する。具体的には、第１対象決定部１０２は、要求情報取得部１０１により取得されたＨＴＴＰリクエストに関する情報のうち、対象判定情報格納部１０３に格納される要求先情報と一致する要求先情報を含むＨＴＴＰリクエストを検査対象に決定する。第１対象決定部１０２は、対象判定情報格納部１０３に格納される要求先情報を含まないＨＴＴＰリクエストに関する情報については要求情報格納部１０５に格納しない。

対象判定情報格納部１０３は、情報漏洩防止部１５において検査対象とすべきＨＴＴＰリクエストを限定するための要求先情報を格納する。当該限定するための情報には、例えば、個人情報を含むＷＥＢページを指定するための要求先情報（ＵＲＬ）が利用される。なお、本実施形態は、この限定情報をＵＲＬに限定せず、この限定情報は、ＷＥＢサーバ１０のＩＰアドレスやＵＲＬに付加されているパラメータ値等の他の情報であってもよい。

また、対象判定情報格納部１０３に格納される要求先情報は、ＷＥＢサーバ１０のＨＴＴＰレスポンスやＷＥＢページを対象にして個人情報が含まれるか否かを診断する診断装置（図示せず）から出力されたデータであってもよい。このようにすれば、対象判定情報格納部１０３に格納すべき情報を容易に生成することができる。

要求情報格納部１０５は、第１対象決定部１０２により検査対象と判定された各ＨＴＴＰリクエストに関するメッセージ時間、要求元情報及び要求先情報をそれぞれ格納する。図３は、要求情報格納部１０５の例を示す図である。図３の例では、要求先情報としてＵＲＬが格納され、要求元情報として当該ＨＴＴＰリクエストを送信したクライアント端末１のＩＰアドレスが格納されている。

＜応答処理系１８＞
応答情報取得部１１１は、上述のような要求処理系１７で処理されたＨＴＴＰリクエストに対して、ＷＥＢアプリケーション１２で生成されたＨＴＴＰレスポンスのデータを取得する。応答情報取得部１１１は、ＷＥＢアプリケーション１２から当該ＨＴＴＰレスポンスのデータを取得してもよいし、ＷＥＢアプリケーション１２から通信部１１へ送られた当該ＨＴＴＰレスポンスのデータを、通信部１１がネットワーク３方向へ送出する前に、通信部１１から取得してもよい。ＨＴＴＰレスポンスのデータとは、ＨＴＴＰレスポンスに含まれるＷＥＢページデータ、ＨＴＴＰレスポンスの宛先情報、ＨＴＴＰレスポンスに対応するＨＴＴＰリクエストを特定するための情報等である。ＨＴＴＰレスポンスに対応するＨＴＴＰリクエストを特定するための情報には、例えば、リクエスト番号、要求先情報（ＵＲＬ等）、パラメータ等が含まれる。

第２対象決定部１１２は、応答情報取得部１１１により取得されたＨＴＴＰレスポンスのうち、情報漏洩防止部１５において検査対象とすべきＨＴＴＰレスポンスを特定し、この特定されたＨＴＴＰレスポンス以外を検査対象外のＨＴＴＰレスポンスに決定する。このように決定された検査対象外のＨＴＴＰレスポンスのデータは、個人情報判定部１１３で判定処理されず、かつ、滞留処理部１１８で滞留させられることなく、通信部１１を介して、ネットワーク３へ送出される。

一方、第２対象決定部１１２は、特定されたＨＴＴＰレスポンスのデータを個人情報判定部１１３に送る。検査対象とすべきＨＴＴＰレスポンスの特定は、そのデータに含まれる要求元情報（宛先情報）及び要求先情報（レスポンス元に関する情報）と一致する要求元情報及び要求先情報が要求情報格納部１０５に格納されているか否かの判定により行われる。

個人情報判定部１１３は、第２対象決定部１１２から送られるＨＴＴＰレスポンスに個人情報が含まれるか否かを判定する。具体的には、個人情報判定部１１３は、個人情報識別格納部１１４に格納される個人情報種別毎に、その種別の個人情報がＨＴＴＰレスポンスのデータに含まれるか否かを順次判定する。例えば、個人情報判定部１１３は、個人情報種別毎に判定ロジックをそれぞれ持ち、個人情報識別格納部１１４で指定される個人情報種別の判定ロジックを実行する。個人情報判定部１１３は、個人情報が含まれているか否かを示す情報と共に、ＨＴＴＰレスポンスのデータを滞留処理部１１８に送る。

図４は、個人情報識別格納部１１４の例を示す図である。図４に示すように、個人情報識別格納部１１４は、各要求先について、検査すべき個人情報種別をそれぞれ格納する。図４の例によれば、個人情報判定部１１３は、電話番号、氏名、クレジット番号、住所、口座番号を検出するための各判定ロジックをそれぞれ持ち、要求先情報「www.sample.com/secret/individual」を含むＨＴＴＰレスポンスに対して、電話番号、氏名及びクレジット番号を検出するための各判定ロジックをそれぞれ実行する。個人情報には、その種別毎にある程度決まったデータパターンが存在する。よって、例えば、各判定ロジックは、周知のパターンマッチング技術を用いて、ＨＴＴＰレスポンスのデータの中から当該データパターンを検出する。

カウント部１１５は、要求情報格納部１０５に格納されるＨＴＴＰリクエストに関する情報に基づいて、同じ要求元から同じ要求先へのＨＴＴＰリクエストであって、滞留処理部１１８により滞留させられているＨＴＴＰレスポンスに対応するＨＴＴＰリクエストの数をカウントする。言い換えれば、カウント部１１５は、要求情報格納部１０５に格納される情報に対応するＨＴＴＰリクエストのうち、個人情報を含むＨＴＴＰレスポンスに対応するＨＴＴＰリクエストの数をカウントする。なお、ＨＴＴＰリクエストの数は、要求情報格納部１０５に格納されるレコードの数に相当する（図３参照）。

応答情報格納部１１６は、宛先となるクライアント端末１で受信されないよう滞留させられているＨＴＴＰレスポンスのデータを格納する。

滞留タイマ１１７は、滞留しているＨＴＴＰレスポンスに対応する各ＨＴＴＰリクエストに関し、メッセージ時間からの経過時間をそれぞれ測定する。滞留タイマ１１７は、経過時間が予め保持されている所定滞留時間以上となると、対象のＨＴＴＰリクエストの要求元情報及び要求先情報と共に、その旨を滞留処理部１１８に通知する。

滞留処理部１１８は、個人情報判定部１１３により個人情報が含まれると判定されたＨＴＴＰレスポンスを滞留させるために、当該ＨＴＴＰレスポンスのデータを応答情報格納部１１６に格納する。ＨＴＴＰレスポンスのデータが応答情報格納部１１６に格納されている間、そのＨＴＴＰレスポンスは通信部１１からネットワーク３へ送出されることはない。一方、滞留処理部１１８は、個人情報判定部１１３により個人情報が含まれないと判定されたＨＴＴＰレスポンスを滞留させることなく通信部１１を介してネットワーク３へ送出する。

滞留処理部１１８は、ＨＴＴＰレスポンスのデータを応答情報格納部１１６に格納すると、そのＨＴＴＰレスポンスに関する要求元情報及び要求先情報を持つＨＴＴＰリクエストの数をカウントするようカウント部１１５に指示する。滞留処理部１１８は、この指示に基づいてカウント部１１５によりカウントされた、ＨＴＴＰリクエストの数が予め保持される所定閾値を超える場合には、当該ＨＴＴＰレスポンスのデータを応答情報格納部１１６から抽出し、その抽出されたデータを応答処理部１１９へ送る。このとき、滞留処理部１１８は、抽出されたＨＴＴＰレスポンスのデータを応答情報格納部１１６から削除する。

更に、滞留処理部１１８は、滞留タイマ１１７から所定滞留時間が経過したことの通知を受けると、滞留タイマ１１７から通知された要求元情報及び要求先情報を持つＨＴＴＰリクエストの数をカウントするようカウント部１１５に指示する。滞留処理部１１８は、上記指示に基づいてカウント部１１５によりカウントされた、ＨＴＴＰリクエストの数が予め保持される所定閾値を超えない場合には、所定滞留時間が経過したＨＴＴＰリクエストに対応するＨＴＴＰレスポンスの滞留を解除し、かつ、そのＨＴＴＰリクエストに関する情報を要求情報格納部１０５から削除する。

ＨＴＴＰレスポンスの滞留の解除では、滞留処理部１１８は、対象のＨＴＴＰレスポンスのデータを応答情報格納部１１６から抽出し、対象のＨＴＴＰレスポンスを通信部１１を介してネットワーク３へ送出する。滞留処理部１１８は、抽出されたＨＴＴＰレスポンスのデータを応答情報格納部１１６から削除する。これにより、１つのクライアント端末から個人情報を含むＨＴＴＰレスポンスを求める複数のＨＴＴＰリクエストが送信された場合であっても、上記所定滞留時間内のそのＨＴＴＰリクエストの数が所定閾値を超えない場合には、当該複数のＨＴＴＰリクエストは正当と判断され、それらに応じた個人情報を含むＨＴＴＰレスポンスはそのまま宛先のクライアント端末１へ届けられる。

応答処理部１１９は、カウント部１１５によりカウントされたＨＴＴＰリクエストの数が所定閾値を超えている場合に、滞留処理部１１８から当該ＨＴＴＰレスポンスのデータを受けると、このデータに含まれる個人情報が要求元となるクライアント端末１で受信されないようにこのデータに対して防御処理を適用する。この防御処理は、当該ＨＴＴＰレスポンスの送信の取りやめであってもよいし、当該ＨＴＴＰレスポンス内の個人情報を他のデータに置き換える処理であってもよい。

〔動作例〕
以下、第１実施形態における情報漏洩防止部１５の動作例を要求処理系１７と応答処理系１８とに分けてそれぞれ説明する。

図５は、第１実施形態における情報漏洩防止部１５の要求処理系１７の動作例を示すフローチャートである。クライアント端末１からＷＥＢサーバ１０宛てにＨＴＴＰリクエストが送信されると、ＷＥＢサーバ１０では、通信部１１がそのＨＴＴＰリクエストを受信する。これに伴い、要求処理系１７では、要求情報取得部１０１が、通信部１１で受信されたＨＴＴＰリクエストに関する情報を取得する（Ｓ５１）。ここで取得される情報は、当該ＨＴＴＰリクエストに関するメッセージ時間、要求元情報（クライアント端末１のアドレス情報）及び要求先情報（ＵＲＬ情報）である。

次に、第１対象決定部１０２が、要求情報取得部１０１により取得された情報と対象判定情報格納部１０３に格納される情報とを比較することにより、当該ＨＴＴＰリクエストを検査対象とすべきか否かを判定する（Ｓ５２）。例えば、ＨＴＴＰリクエストに含まれるＵＲＬ情報と、対象判定情報格納部１０３に格納されるＵＲＬ情報とが一致する場合に、そのＨＴＴＰリクエストを検査対象とすべきと判定する。

第１対象決定部１０２は、当該ＨＴＴＰリクエストを検査対象とすべきと決定すると（Ｓ５２；ＹＥＳ）、要求情報取得部１０１により取得された情報を要求情報格納部１０５に格納する（Ｓ５３）。一方、第１対象決定部１０２は、当該ＨＴＴＰリクエストを検査対象とすべきでないと決定すると（Ｓ５２；ＮＯ）、その情報を要求情報格納部１０５に格納しない。

次に、第１実施形態における情報漏洩防止部１５の応答処理系１８の動作例について図６及び図７を用いて説明する。

図６は、第１実施形態における情報漏洩防止部１５の、ＨＴＴＰレスポンスのデータ取得時の動作例を示すフローチャートである。ＷＥＢサーバ１０において、上述のようなＨＴＴＰリクエストが受信されると、ＷＥＢアプリケーション１２がそれに応じたＨＴＴＰレスポンスを生成する。

情報漏洩防止部１５では、応答情報取得部１１１がその生成されたＨＴＴＰレスポンスのデータを取得する（Ｓ６０）。

続いて、第２対象決定部１１２は、応答情報取得部１１１により取得されたデータと要求情報格納部１０５に格納される情報とを比較することにより、そのＨＴＴＰレスポンスを検査対象とすべきか否かを判定する（Ｓ６１）。この比較では、具体的には、ＨＴＴＰレスポンスのデータに含まれる要求元情報（ＨＴＴＰレスポンスの宛先のクライアント端末１のアドレス情報）及び要求先情報（対象のＵＲＬ情報）のペアが、要求情報格納部１０５に格納されているか否かが判定される。言い換えれば、応答情報取得部１１１により取得されたＨＴＴＰレスポンスが、第１対象決定部１０２により検査対象と判定されたＨＴＴＰリクエストに応じたものであるか否かが判定される。

続いて、個人情報判定部１１３は、当該ＨＴＴＰレスポンスが第２対象決定部１１２により検査対象と判定された場合には、当該ＨＴＴＰレスポンスのデータに個人情報が含まれるか否かを判定する（Ｓ６２）。個人情報判定部１１３により個人情報が含まれないと判定された場合（Ｓ６２；ＮＯ）、滞留処理部１１８は、個人情報を含まないと判定されたＨＴＴＰレスポンスに対応するＨＴＴＰリクエストに関する情報を要求情報格納部１０５から削除する（Ｓ６３）。

第２対象決定部１１２により検査対象と判定されなかった場合（Ｓ６１；ＮＯ）、及び、個人情報判定部１１３により個人情報が含まれないと判定された場合（Ｓ６２；ＮＯ）、滞留処理部１１８が、当該ＨＴＴＰレスポンスを滞留させることなく通信部１１を介して送信する（Ｓ６４）。

個人情報判定部１１３により個人情報が含まれると判定された場合（Ｓ６２；ＹＥＳ）、滞留処理部１１８が、そのＨＴＴＰレスポンスのデータを応答情報格納部１１６に格納する（Ｓ６５）。これにより、そのＨＴＴＰレスポンスは、宛先となるクライアント端末１で受信されないように滞留する。滞留処理部１１８は、当該ＨＴＴＰレスポンスのデータを応答情報格納部１１６に格納すると、そのＨＴＴＰレスポンスに関する要求元情報及び要求先情報をカウント部１１５に送る。

カウント部１１５は、要求情報格納部１０５に格納される情報に基づいて、滞留処理部１１８から送られる要求元情報及び要求先情報に対応するＨＴＴＰリクエストの数をカウントする（Ｓ６６）。言い換えれば、カウント部１１５は、要求情報格納部１０５に格納されるレコードの中の、滞留処理部１１８から送られた情報と同じ要求元情報及び要求先情報を含むレコードの数をカウントする（Ｓ６６）。

滞留処理部１１８は、カウント部１１５によりカウントされたＨＴＴＰリクエストの数が所定閾値を超えるか否かを判定する（Ｓ６７）。滞留処理部１１８は、当該ＨＴＴＰリクエストの数が所定閾値を超える場合には（Ｓ６７；ＹＥＳ）、カウント対象となったＨＴＴＰリクエストに対応するＨＴＴＰレスポンスのデータを応答情報格納部１１６から抽出し（Ｓ６８）、その抽出されたデータを応答処理部１１９へ送る。このとき、滞留処理部１１８は、抽出されたＨＴＴＰレスポンスのデータを応答情報格納部１１６から削除する（Ｓ６８）。更に、滞留処理部１１８は、カウント対象となったＨＴＴＰリクエストに関する情報を要求情報格納部１０５から削除する（Ｓ６９）。

応答処理部１１９は、滞留処理部１１８から当該ＨＴＴＰレスポンスのデータを受けると、このデータに対して防御処理を適用する（Ｓ７０）。これにより、この防御処理が適用されたＨＴＴＰレスポンスに含まれる個人情報は、要求元となるクライアント端末１で取得されなくなる。

一方、滞留処理部１１８は、当該ＨＴＴＰリクエストの数が所定閾値を超ない場合には（Ｓ６７；ＮＯ）、処理を終了する。

図７は、第１実施形態における情報漏洩防止部１５の滞留タイマ１１７に関連する動作例を示すフローチャートである。

滞留タイマ１１７は、滞留しているＨＴＴＰレスポンスに対応する各ＨＴＴＰリクエストに関し、メッセージ時間からの経過時間をそれぞれ測定している（Ｓ７１）。滞留タイマ１１７は、経過時間が所定滞留時間を超えたことを検知すると（Ｓ７２；ＹＥＳ）、経過時間が所定滞留時間を超えたＨＴＴＰリクエストの要求元情報及び要求先情報と共に、その旨を滞留処理部１１８に通知する。

滞留処理部１１８は、滞留タイマ１１７から上記通知を受けると、滞留タイマ１１７から通知された要求元情報及び要求先情報を持つＨＴＴＰリクエストの数をカウントするようカウント部１１５に指示する。カウント部１１５は、この指示に応じて、経過時間が所定滞留時間を超えたＨＴＴＰリクエストと同じ要求元及び同じ要求先を持つＨＴＴＰリクエストの数をカウントする（Ｓ７３）。

滞留処理部１１８は、カウント部１１５によりカウントされたＨＴＴＰリクエストの数が所定閾値を超えるか否かを判定する（Ｓ７４）。滞留処理部１１８は、当該ＨＴＴＰリクエストの数が所定閾値を超える場合には（Ｓ７４；ＹＥＳ）、処理（Ｓ７５）及び処理（Ｓ７６）を実行し、続いて、応答処理部１１９が処理（Ｓ７７）を実行する。処理（Ｓ７５）、（Ｓ７６）及び（Ｓ７７）は、図６に示す処理（Ｓ６８）、（Ｓ６９）及び（Ｓ７０）と同様であるため、ここでは説明を省略する。

一方、滞留処理部１１８は、当該ＨＴＴＰリクエストの数が所定閾値を超えない場合には（Ｓ７４；ＮＯ）、経過時間が所定滞留時間を超えたＨＴＴＰリクエストに対応するＨＴＴＰレスポンスのデータを応答情報格納部１１６から抽出し、その抽出されたデータに基づいてＨＴＴＰレスポンスを通信部１１を介して送信する（Ｓ７８）。

更に、滞留処理部１１８は、送信されたＨＴＴＰレスポンスのデータを応答情報格納部１１６から削除し（Ｓ７９）、かつ、経過時間が所定滞留時間を超えたＨＴＴＰリクエストに関する情報を要求情報格納部１０５から削除する（Ｓ８０）。

〔第１実施形態の作用及び効果〕
上述したように第１実施形態では、ＷＥＢサーバ１０においてＨＴＴＰリクエストが受信されると、情報漏洩防止部１５において、検査対象となるＨＴＴＰリクエストに関する情報が要求情報格納部１０５に格納される。ＨＴＴＰリクエストを検査対象とすべきか否かの判定は、対象判定情報格納部１０３に予め格納される要求先情報（ＵＲＬ情報等）を用いて行われる。これにより、ＷＥＢアプリケーション１２により生成されたＨＴＴＰレスポンスのうち、要求情報格納部１０５への格納対象とされたＨＴＴＰリクエストに応じたＨＴＴＰレスポンスのみが検査対象とされる。

従って、第１実施形態によれば、個人情報を含むＨＴＴＰレスポンスを返信すると予測される要求先情報を対象判定情報格納部１０３に格納しさえすれば、検査対象とすべきＨＴＴＰリクエスト及びＨＴＴＰレスポンスを制限することができる。これにより、情報漏洩防止部１５の処理負荷の不要な増大を防ぐことができると共に、個人情報を含む可能性がないＨＴＴＰレスポンスは即座に宛先へ送信することができるため、不要なレスポンス遅延を防ぐことができる。

個人情報判定部１１３により個人情報が含まれると判定されたＨＴＴＰレスポンスの送信は、滞留処理部１１８により留保される。滞留するＨＴＴＰレスポンスのうち、同じ要求元及び同じ要求先に関するＨＴＴＰリクエストであってかつ所定滞留時間内に所定閾値を超える数送信されたＨＴＴＰリクエストに対応するＨＴＴＰレスポンスには、個人情報が要求元のクライアント端末１で受信されないように防御処理が施される。

従って、第１実施形態によれば、同じ要求元から或る時間の間に大量に個人情報を含むＨＴＴＰレスポンスを求めるＨＴＴＰリクエストを送信するような不正アクセスを的確に検出し、そのような不正アクセスによる個人情報の漏洩を未然に防ぐことができる。

一方、第１実施形態では、滞留するＨＴＴＰレスポンスのうち、同じ要求元及び同じ要求先に関するＨＴＴＰリクエストであってかつ所定滞留時間内に所定閾値を超えない数送信されたＨＴＴＰリクエストに対応するＨＴＴＰレスポンスは、滞留後、送信される。これにより、業務等により正規に個人情報を求めるＨＴＴＰリクエストは、不正アクセスと判定されず、正規なアクセスに対するＨＴＴＰレスポンスは、例え個人情報を含んだとしても、適切に要求元に届けられる。

従って、第１実施形態によれば、正規に個人情報を求めるアクセスと、不正アクセスとを混同することなく、不正なアクセスによる個人情報の漏洩のみを未然に防ぐことができる。

［第２実施形態］
上述の第１実施形態では、ＨＴＴＰリクエストとＨＴＴＰレスポンスとの関係を用いて不正アクセスが検出され、不正アクセスの応答となるＨＴＴＰレスポンス内の個人情報が防御された。第２実施形態では、ＨＴＴＰレスポンスのみを用いて不正アクセスを検出する。以降、第２実施形態におけるＷＥＢサーバ装置１０について、第１実施形態と異なる内容を中心に説明し、第１実施形態と同様の内容については適宜省略する。

〔装置構成〕
図８は、第２実施形態におけるＷＥＢサーバ１０の構成例を概念的に示す図である。第２実施形態では、情報漏洩防止部１５の構成のみが第１実施形態と異なる。第２実施形態における情報漏洩防止部１５は、第１実施形態における応答処理系１８に含まれる各処理部と対象判定情報格納部１０３とから構成される。

応答情報取得部１１１は、第１実施形態で示した情報に加えて、ＨＴＴＰレスポンスに関するメッセージ時間を含むＨＴＴＰレスポンスデータを取得する。メッセージ時間は、例えば、ＨＴＴＰレスポンスが応答情報取得部１１１で受信された時間（日時情報）を示す。ＨＴＴＰレスポンスに送信時間の情報が含まれている場合には、その送信時間をメッセージ時間に利用してもよい。

対象判定情報格納部１０３は、情報漏洩防止部１５において検査対象とすべきＨＴＴＰレスポンスを限定するための要求先情報を格納する。当該限定するための情報には、例えば、個人情報を含むＷＥＢページを指定するための要求先情報（ＵＲＬ）が利用される。なお、本実施形態は、この限定情報をＵＲＬに限定せず、この限定情報は、ＷＥＢサーバ１０のＩＰアドレスやＵＲＬに付加されているパラメータ値等の他の情報であってもよい。

第２対象決定部１１２は、対象判定情報格納部１０３に格納される要求先情報を用いて、情報漏洩防止部１５において検査対象とすべきＨＴＴＰレスポンスを特定する。具体的には、第２対象決定部１１２は、応答情報取得部１１１により取得されたＨＴＴＰレスポンスのデータに含まれる要求先情報（レスポンス元に関する情報）と一致する要求先情報が対象判定情報格納部１０３に格納されているか否かを判定し、格納されている場合に、そのＨＴＴＰレスポンスを検査対象とすべきと決定する。第２対象決定部１１２におけるその他の処理は、第１実施形態と同様である。

カウント部１１５は、応答情報格納部１１６に格納されるＨＴＴＰレスポンスのデータに基づいて、同じ要求元情報及び同じ要求先情報を持つＨＴＴＰレスポンスの数をカウントする。

応答情報格納部１１６は、第１実施形態と同様に、宛先となるクライアント端末１で受信されないよう滞留させられているＨＴＴＰレスポンスのデータを格納する。第２実施形態では、このＨＴＴＰレスポンスのデータには、上述したように、ＨＴＴＰレスポンスに関するメッセージ時間が含まれる。

滞留タイマ１１７は、滞留している各ＨＴＴＰレスポンスに関し、メッセージ時間からの経過時間をそれぞれ測定する。滞留タイマ１１７は、経過時間が予め保持されている所定滞留時間以上となると、経過時間が所定滞留時間以上となったＨＴＴＰレスポンスの要求元情報及び要求先情報と共に、その旨を滞留処理部１１８に通知する。

滞留処理部１１８は、ＨＴＴＰレスポンスのデータを応答情報格納部１１６に格納すると、そのＨＴＴＰレスポンスと同じ要求元情報及び同じ要求先情報を持つＨＴＴＰレスポンスの数をカウントするようカウント部１１５に指示する。滞留処理部１１８は、この指示に基づいてカウント部１１５によりカウントされた、ＨＴＴＰレスポンスの数が予め保持される所定閾値を超える場合には、カウント対象とされたＨＴＴＰレスポンスのデータを応答情報格納部１１６から抽出し、その抽出されたデータを応答処理部１１９へ送る。このとき、滞留処理部１１８は、抽出されたＨＴＴＰレスポンスのデータを応答情報格納部１１６から削除する。

更に、滞留処理部１１８は、滞留タイマ１１７から所定滞留時間が経過したことの通知を受けると、滞留タイマ１１７から通知された要求元情報及び要求先情報を持つＨＴＴＰレスポンスの数をカウントするようカウント部１１５に指示する。滞留処理部１１８は、上記指示に基づいてカウント部１１５によりカウントされた、ＨＴＴＰレスポンスの数が予め保持される所定閾値を超えない場合には、所定滞留時間が経過したＨＴＴＰレスポンスの滞留を解除する。ＨＴＴＰレスポンスの滞留の解除時の処理は、第１実施形態と同様である。

〔動作例〕
以下、第２実施形態における情報漏洩防止部１５の動作例について図９及び図１０を用いて説明する。ここでも、第１実施形態と異なる動作を中心に説明し、第１実施形態と同様の動作については適宜省略する。

図９は、第２実施形態における情報漏洩防止部１５の、ＨＴＴＰレスポンスのデータ取得時の動作例を示すフローチャートである。

情報漏洩防止部１５では、応答情報取得部１１１がその生成されたＨＴＴＰレスポンスのデータを取得する（Ｓ９０）。第２実施形態では、取得されたデータには、ＨＴＴＰレスポンスに関するメッセージ時間が含まれる。

第２対象決定部１１２は、応答情報取得部１１１により取得されたデータに含まれる要求先情報と一致する情報が対象判定情報格納部１０３に格納されているか否かに基づいて、そのＨＴＴＰレスポンスを検査対象とすべきか否かを判定する（Ｓ９１）。ここで、要求先情報とは、例えば、ＨＴＴＰレスポンスの対象となるＵＲＬ情報である。

続いて、個人情報判定部１１３は、当該ＨＴＴＰレスポンスが第２対象決定部１１２により検査対象と判定された場合には、当該ＨＴＴＰレスポンスのデータに個人情報が含まれるか否かを判定する（Ｓ９２）。

第２対象決定部１１２により検査対象と判定されなかった場合（Ｓ９１；ＮＯ）、及び、個人情報判定部１１３により個人情報が含まれないと判定された場合（Ｓ９２；ＮＯ）、滞留処理部１１８は、当該ＨＴＴＰレスポンスを滞留させることなく通信部１１を介して送信する（Ｓ９３）。

個人情報判定部１１３により個人情報が含まれると判定された場合（Ｓ９２；ＹＥＳ）、滞留処理部１１８が、そのＨＴＴＰレスポンスのデータを応答情報格納部１１６に格納する（Ｓ９５）。これにより、そのＨＴＴＰレスポンスは、宛先となるクライアント端末１で受信されないように滞留する。滞留処理部１１８は、当該ＨＴＴＰレスポンスのデータを応答情報格納部１１６に格納すると、そのＨＴＴＰレスポンスに関する要求元情報及び要求先情報をカウント部１１５に送る。

カウント部１１５は、応答情報格納部１１６に格納されるデータに基づいて、滞留しているＨＴＴＰレスポンスの中の、滞留処理部１１８から送られる要求元情報及び要求先情報を持つＨＴＴＰレスポンスの数をカウントする（Ｓ９６）。

滞留処理部１１８は、カウント部１１５によりカウントされたＨＴＴＰレスポンスの数が所定閾値を超えるか否かを判定する（Ｓ９７）。滞留処理部１１８は、当該ＨＴＴＰレスポンスの数が所定閾値を超えない場合には（Ｓ９７；ＮＯ）、処理を終了する。

一方、滞留処理部１１８は、当該ＨＴＴＰレスポンスの数が所定閾値を超える場合には（Ｓ９７；ＹＥＳ）、カウント対象となったＨＴＴＰレスポンスのデータを応答情報格納部１１６から抽出し（Ｓ９８）、その抽出されたデータを応答処理部１１９へ送る。このとき、滞留処理部１１８は、抽出されたＨＴＴＰレスポンスのデータを応答情報格納部１１６から削除する（Ｓ９８）。

応答処理部１１９は、滞留処理部１１８から当該ＨＴＴＰレスポンスのデータを受けると、このデータに対して防御処理を適用する（Ｓ９９）。これにより、この防御処理が適用されたＨＴＴＰレスポンスに含まれる個人情報は、要求元となるクライアント端末１で取得されなくなる。

図１０は、第２実施形態における情報漏洩防止部１５の滞留タイマ１１７に関連する動作例を示すフローチャートである。

滞留タイマ１１７は、滞留している各ＨＴＴＰレスポンスに関し、メッセージ時間からの経過時間をそれぞれ測定している（Ｓ１０１）。滞留タイマ１１７は、経過時間が所定滞留時間を超えたことを検知すると（Ｓ１０２；ＹＥＳ）、経過時間が所定滞留時間を超えたＨＴＴＰレスポンスの要求元情報及び要求先情報と共に、その旨を滞留処理部１１８に通知する。

滞留処理部１１８は、滞留タイマ１１７から上記通知を受けると、滞留タイマ１１７から通知された要求元情報及び要求先情報を持つＨＴＴＰレスポンスの数をカウントするようカウント部１１５に指示する。カウント部１１５は、この指示に応じて、滞留しているＨＴＴＰレスポンスにおいて、経過時間が所定滞留時間を超えたＨＴＴＰレスポンスと同じ要求元及び同じ要求先を持つＨＴＴＰレスポンスの数をカウントする（Ｓ１０３）。

滞留処理部１１８は、カウント部１１５によりカウントされたＨＴＴＰレスポンスの数が所定閾値を超えるか否かを判定する（Ｓ１０４）。滞留処理部１１８は、当該ＨＴＴＰレスポンスの数が所定閾値を超える場合には（Ｓ１０４；ＹＥＳ）、処理（Ｓ１０５）を実行し、続いて、応答処理部１１９が処理（Ｓ１０６）を実行する。処理（Ｓ１０５）及び（Ｓ１０６）は、図９に示す処理（Ｓ９８）及び（Ｓ９９）と同様であるため、ここでは説明を省略する。

一方、滞留処理部１１８は、当該ＨＴＴＰリクエストの数が所定閾値を超えない場合には（Ｓ１０４；ＮＯ）、経過時間が所定滞留時間を超えたＨＴＴＰレスポンスのデータを応答情報格納部１１６から抽出し、その抽出されたデータに基づいてＨＴＴＰレスポンスを通信部１１を介して送信する（Ｓ１０８）。更に、滞留処理部１１８は、送信されたＨＴＴＰレスポンスのデータを応答情報格納部１１６から削除する（Ｓ１０９）。

〔第２実施形態の作用及び効果〕
このように第２実施形態では、ＷＥＢアプリケーション１２により生成されたＨＴＴＰレスポンスのデータが情報漏洩防止部１５の応答情報取得部１１１で取得されると、このＨＴＴＰレスポンスを検査対象とすべきか否かの判定が、第２対象決定部１１２により行われる。これにより、対象判定情報格納部１０３に格納される要求先情報と一致する要求先情報を含むＨＴＴＰレスポンスのみが検査対象とされる。

従って、第２実施形態によれば、第１実施形態と同様に、検査対象とすべきＨＴＴＰレスポンスを制限することができ、ひいては、情報漏洩防止部１５の処理負荷の不要な増大を防ぐことができ、かつ、不要なレスポンス遅延を防ぐことができる。

第２実施形態においても、個人情報判定部１１３により個人情報が含まれると判定されたＨＴＴＰレスポンスの送信は、滞留処理部１１８により留保される。滞留するＨＴＴＰレスポンスのうち、同じ要求元及び同じ要求先に関するＨＴＴＰレスポンスであって、所定滞留時間内に所定閾値を超える数分取得されたＨＴＴＰレスポンスには、個人情報が要求元のクライアント端末１で受信されないように防御処理が施される。

このように、第２実施形態では、同じ要求元及び同じ要求先に関する、個人情報を含むＨＴＴＰレスポンスが、所定時間内に大量に生成された場合に、このようなＨＴＴＰレスポンスは不正アクセスに対する応答であると判断される。よって、第２実施形態によれば、不正アクセスに対する応答が、宛先のクライアントに送られる前に確実に検出することができ、不正アクセスによる個人情報の漏洩を未然に防ぐことができる。

また、第２実施形態では、滞留するＨＴＴＰレスポンスのうち、同じ要求元及び同じ要求先に関するＨＴＴＰレスポンスであって、所定滞留時間内に所定閾値を超えない数分生成されたＨＴＴＰレスポンスは、滞留後、送信される。従って、第２実施形態においても、第１実施形態と同様に、正規に個人情報を求めるアクセスと、不正アクセスとを混同することなく、不正なアクセスによる個人情報の漏洩のみを未然に防ぐことができる。

［変形例］
上述の第１実施形態及び第２実施形態では、不正ユーザが、ＨＴＴＰを介してＷＥＢサーバ１０から個人情報を不正に取得する例を示したが、不正ユーザによる個人情報取得方法は、ＨＴＴＰに限定されない。ＳＭＴＰ（Simple Mail Transfer Protocol）やその他のプロトコルが利用されてもよい。

また、上述の第１実施形態及び第２実施形態では、ＷＥＢサーバ１０に情報漏洩防止部１５が搭載される例を示したが、情報漏洩防止部１５は、ＷＥＢサーバ１０とは別のコンピュータとして実現されてもよい。図１１は、ＷＥＢシステムの変形例の構成を概念的に示す図である。図１１に示すように、この変形例におけるＷＥＢシステムでは、情報漏洩防止部１５は、ＷＥＢサーバ１０とクライアント端末１との間に介在する。

この変形例の場合、要求情報取得部１０１は、クライアント端末１から送信されたＨＴＴＰリクエストをネットワーク３上から受信し、応答情報取得部１１１は、ＷＥＢサーバ１０からＨＴＴＰレスポンスを取得してもよいし、ＷＥＢサーバ１０により送信されたＨＴＴＰレスポンスをネットワーク３を介して受信してもよい。このとき、応答情報取得部１１１は、ＷＥＢサーバ１０から送信されたＨＴＴＰレスポンスが宛先となるクライアント端末１で受信されないように当該ＨＴＴＰレスポンスを受信する。

なお、上述の説明で用いた複数のフローチャートでは、複数のステップ（処理）が順番に記載されているが、本実施形態で実行される処理ステップの実行順序は、その記載の順番に制限されない。本実施形態では、図示される処理ステップの順番を内容的に支障のない範囲で変更することができる。また、上述の各実施形態及び各変形例は、内容が相反しない範囲で組み合わせることができる。

（付記１）クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに関し、メッセージ時間、要求元情報及び要求先情報をそれぞれ格納する要求情報格納部と、
前記各情報要求メッセージに応じて前記サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、対応の情報要求メッセージのメッセージ時間から所定滞留時間の間滞留させる滞留処理部と、
前記要求情報格納部で格納される情報要求メッセージに関する情報に基づいて、同じ要求元から同じ要求先への情報要求メッセージであって、前記滞留している応答メッセージに対応する情報要求メッセージの数をカウントするカウント部と、
前記カウント部によりカウントされた情報要求メッセージの数が所定閾値を超えている場合に、前記滞留している応答メッセージに含まれる個人情報が前記要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する応答処理部と、
を備えることを特徴とする情報漏洩防止装置。

（付記２）前記応答メッセージに個人情報が含まれるか否かを判定する個人情報判定部、
を更に備え、
前記滞留処理部は、前記個人情報判定部により個人情報を含まないと判定された応答メッセージに対応する情報要求メッセージに関する情報を前記要求情報格納部から削除し、かつ、当該個人情報を含まない応答メッセージを滞留させることなく送出し、前記個人情報判定部により個人情報を含むと判定された応答メッセージを滞留させる、
ことを特徴とする付記１に記載の情報漏洩防止装置。

（付記３）前記滞留処理部は、前記カウント部によりカウントされた情報要求メッセージの数が前記所定閾値を超えない場合で、かつ、前記滞留している応答メッセージに対応する情報要求メッセージに関し、前記要求情報格納部に格納されるメッセージ時間からの経過時間が前記所定滞留時間以上となる場合に、当該情報要求メッセージに対応する応答メッセージの滞留を解除し、かつ、当該情報要求メッセージに関する情報を前記要求情報格納部から削除する、
ことを特徴とする付記２に記載の情報漏洩防止装置。

（付記４）前記情報要求メッセージに関する情報を取得する要求情報取得部と、
前記要求情報取得部により取得された情報要求メッセージに関する情報のうち、予め格納される所定要求先情報と一致する要求先情報を含む情報要求メッセージに関する情報のみを前記要求情報格納部に格納する第１対象決定部と、
前記サーバ装置から送信される応答メッセージの中の、前記要求情報格納部で格納されている要求元情報及び要求先情報を持つ情報要求メッセージに応じた応答メッセージ以外の応答メッセージを検査対象外の応答メッセージに決定する第２対象決定部と、
を更に備え、
前記個人情報判定部は、前記検査対象外の応答メッセージについては判定せず、
前記滞留処理部は、前記検査対象外の応答メッセージに対応する情報要求メッセージに関する情報を前記要求情報格納部から削除し、かつ、前記検査対象外の応答メッセージを滞留させることなく送出する、
ことを特徴とする付記２又は３に記載の情報漏洩防止装置。

（付記５）クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに応じて当該サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、当該応答メッセージに関するメッセージ時間から所定滞留時間の間滞留させる滞留処理部と、
前記滞留している応答メッセージのうち、同じ要求元及び同じ要求先に関する応答メッセージの数をカウントするカウント部と、
前記カウント部によりカウントされた応答メッセージの数が所定閾値を超えている場合に、前記滞留している応答メッセージに含まれる個人情報が要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する応答処理部と、
を備えることを特徴とする情報漏洩防止装置。

（付記６）前記応答メッセージに個人情報が含まれるか否かを判定する個人情報判定部、
を更に備え、
前記滞留処理部は、前記個人情報判定部により個人情報を含まないと判定された応答メッセージを滞留させることなく送出し、前記個人情報判定部により個人情報を含むと判定された応答メッセージを滞留させる、
ことを特徴とする付記５に記載の情報漏洩防止装置。

（付記７）前記滞留処理部は、前記カウント部によりカウントされた応答メッセージの数が前記所定閾値を超えない場合で、かつ、前記滞留している応答メッセージに関するメッセージ時間からの経過時間が前記所定滞留時間以上となる場合に、当該経過時間が前記所定滞留時間以上となった応答メッセージの滞留を解除する、
ことを特徴とする付記６に記載の情報漏洩防止装置。

（付記８）前記応答処理部は、前記防御処理として、前記滞留している応答メッセージを送出しない、又は、前記滞留している応答メッセージに対し個人情報の削除処理又は個人情報の編集処理を適用した後に、当該処理が適用された応答メッセージを送出する、
ことを特徴とする付記１から７のいずれか１つに記載の情報漏洩防止装置。

（付記９）コンピュータが、
クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに関し、メッセージ時間、要求元情報及び要求先情報を要求情報格納部にそれぞれ格納し、
前記各情報要求メッセージに応じて前記サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、対応の情報要求メッセージのメッセージ時間から所定滞留時間の間滞留させ、
前記要求情報格納部に格納される情報要求メッセージに関する情報に基づいて、同じ要求元から同じ要求先への情報要求メッセージであって、前記滞留している応答メッセージに対応する情報要求メッセージの数をカウントし、
前記カウントされた情報要求メッセージの数が所定閾値を超えている場合に、前記滞留している応答メッセージに含まれる個人情報が前記要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する、
ことを含む情報漏洩防止方法。

（付記１０）前記コンピュータが、前記応答メッセージに個人情報が含まれるか否かを判定することを更に含み、
前記応答メッセージの滞留は、
個人情報を含まないと判定された応答メッセージに対応する情報要求メッセージに関する情報を前記要求情報格納部から削除し、
前記個人情報を含まない前記応答メッセージを滞留させることなく送出し、
前記個人情報を含むと判定された応答メッセージを滞留させる、
ことを含む付記９に記載の情報漏洩防止方法。

（付記１１）前記応答メッセージの滞留は、前記カウントされた情報要求メッセージの数が前記所定閾値を超えない場合で、かつ、前記滞留している応答メッセージに対応する情報要求メッセージに関し、前記要求情報格納部に格納されるメッセージ時間からの経過時間が前記所定滞留時間以上となる場合に、当該情報要求メッセージに対応する応答メッセージの滞留を解除し、かつ、当該情報要求メッセージに関する情報を前記要求情報格納部から削除する、
付記１０に記載の情報漏洩防止方法。

（付記１２）前記コンピュータが、
前記情報要求メッセージに関する情報を取得し、
前記取得された情報要求メッセージに関する情報のうち、予め格納される所定要求先情報と一致する要求先情報を含む情報要求メッセージに関する情報のみを前記要求情報格納部に格納し、
前記サーバ装置から送信される応答メッセージの中の、前記要求情報格納部で格納されている要求元情報及び要求先情報を持つ情報要求メッセージに応じた応答メッセージ以外の応答メッセージを検査対象外の応答メッセージに決定する、
ことを更に含み、
前記応答メッセージに個人情報が含まれるか否かの前記判定は、前記検査対象外の応答メッセージについては判定せず、
前記応答メッセージの滞留は、前記検査対象外の応答メッセージに対応する情報要求メッセージに関する情報を前記要求情報格納部から削除し、かつ、前記検査対象外の応答メッセージを滞留させることなく送出する、
付記付記１０又は１１に記載の情報漏洩防止方法。

（付記１３）コンピュータに、
クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに関し、メッセージ時間、要求元情報及び要求先情報をそれぞれ格納する要求情報格納部と、
前記各情報要求メッセージに応じて前記サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、対応の情報要求メッセージのメッセージ時間から所定滞留時間の間滞留させる滞留処理部と、
前記要求情報格納部で格納される情報要求メッセージに関する情報に基づいて、同じ要求元から同じ要求先への情報要求メッセージであって、前記滞留している応答メッセージに対応する情報要求メッセージの数をカウントするカウント部と、
前記カウント部によりカウントされた情報要求メッセージの数が所定閾値を超えている場合に、前記滞留している応答メッセージに含まれる個人情報が前記要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する応答処理部と、
を実現させることを特徴とするプログラム。

（付記１４）コンピュータが、
クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに応じて当該サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、当該応答メッセージに関するメッセージ時間から所定滞留時間の間滞留させ、
前記滞留している応答メッセージのうち、同じ要求元及び同じ要求先に関する応答メッセージの数をカウントし、
前記カウントされた応答メッセージの数が所定閾値を超えている場合に、前記滞留している応答メッセージに含まれる個人情報が要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する、
ことを含む情報漏洩防止方法。

（付記１５）前記コンピュータが、
前記応答メッセージに個人情報が含まれるか否かを判定する、
ことを更に含み、
前記応答メッセージの滞留は、
個人情報を含まないと判定された応答メッセージを滞留させることなく送出し、
個人情報を含むと判定された応答メッセージを滞留させる、
ことを含む付記１４に記載の情報漏洩防止方法。

（付記１６）前記応答メッセージの滞留は、前記カウントされた応答メッセージの数が前記所定閾値を超えない場合で、かつ、前記滞留している応答メッセージに関するメッセージ時間からの経過時間が前記所定滞留時間以上となる場合に、当該経過時間が前記所定滞留時間以上となった応答メッセージの滞留を解除する、
付記１５に記載の情報漏洩防止方法。

（付記１７）前記応答メッセージに対する前記防御処理の適用は、前記防御処理として、前記滞留している応答メッセージを送出しない、又は、前記滞留している応答メッセージに対し個人情報の削除処理又は個人情報の編集処理を適用した後に、当該処理が適用された応答メッセージを送出する、
付記９から１２、及び、付記１４から１６のいずれか１つに記載の情報漏洩防止方法。

（付記１８）コンピュータに、
クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに応じて当該サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、当該応答メッセージに関するメッセージ時間から所定滞留時間の間滞留させる滞留処理部と、
前記滞留している応答メッセージのうち、同じ要求元及び同じ要求先に関する応答メッセージの数をカウントするカウント部と、
前記カウント部によりカウントされた応答メッセージの数が所定閾値を超えている場合に、前記滞留している応答メッセージに含まれる個人情報が要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する応答処理部と、
を実現させることを特徴とするプログラム。

この出願は、２０１１年３月２５日に出願された日本出願の特願２０１１−６７３１５号を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims (12)

1. クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに関し、メッセージ時間、要求元情報及び要求先情報をそれぞれ格納する要求情報格納部と、
   前記各情報要求メッセージに応じて前記サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、対応の情報要求メッセージのメッセージ時間から所定滞留時間の間滞留させる滞留処理部と、
   前記要求情報格納部で格納される情報要求メッセージに関する情報に基づいて、同じ要求元から同じ要求先への情報要求メッセージであって、前記滞留している応答メッセージに対応する情報要求メッセージの数をカウントするカウント部と、
   前記カウント部によりカウントされた情報要求メッセージの数が所定閾値を超えている場合に、前記滞留している応答メッセージに含まれる個人情報が前記要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する応答処理部と、
   を備えることを特徴とする情報漏洩防止装置。
2. 前記応答メッセージに個人情報が含まれるか否かを判定する個人情報判定部、
   を更に備え、
   前記滞留処理部は、前記個人情報判定部により個人情報を含まないと判定された応答メッセージに対応する情報要求メッセージに関する情報を前記要求情報格納部から削除し、かつ、当該個人情報を含まない応答メッセージを滞留させることなく送出し、前記個人情報判定部により個人情報を含むと判定された応答メッセージを滞留させる、
   ことを特徴とする請求項１に記載の情報漏洩防止装置。
3. 前記滞留処理部は、前記カウント部によりカウントされた情報要求メッセージの数が前記所定閾値を超えない場合で、かつ、前記滞留している応答メッセージに対応する情報要求メッセージに関し、前記要求情報格納部に格納されるメッセージ時間からの経過時間が前記所定滞留時間以上となる場合に、当該情報要求メッセージに対応する応答メッセージの滞留を解除し、かつ、当該情報要求メッセージに関する情報を前記要求情報格納部から削除する、
   ことを特徴とする請求項２に記載の情報漏洩防止装置。
4. 前記情報要求メッセージに関する情報を取得する要求情報取得部と、
   前記要求情報取得部により取得された情報要求メッセージに関する情報のうち、予め格納される所定要求先情報と一致する要求先情報を含む情報要求メッセージに関する情報のみを前記要求情報格納部に格納する第１対象決定部と、
   前記サーバ装置から送信される応答メッセージの中の、前記要求情報格納部で格納されている要求元情報及び要求先情報を持つ情報要求メッセージに応じた応答メッセージ以外の応答メッセージを検査対象外の応答メッセージに決定する第２対象決定部と、
   を更に備え、
   前記個人情報判定部は、前記検査対象外の応答メッセージについては判定せず、
   前記滞留処理部は、前記検査対象外の応答メッセージに対応する情報要求メッセージに関する情報を前記要求情報格納部から削除し、かつ、前記検査対象外の応答メッセージを滞留させることなく送出する、
   ことを特徴とする請求項２又は３に記載の情報漏洩防止装置。
5. クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに応じて当該サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、当該応答メッセージに関するメッセージ時間から所定滞留時間の間滞留させる滞留処理部と、
   前記滞留している応答メッセージのうち、同じ要求元及び同じ要求先に関する応答メッセージの数をカウントするカウント部と、
   前記カウント部によりカウントされた応答メッセージの数が所定閾値を超えている場合に、前記滞留している応答メッセージに含まれる個人情報が要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する応答処理部と、
   を備えることを特徴とする情報漏洩防止装置。
6. 前記応答メッセージに個人情報が含まれるか否かを判定する個人情報判定部、
   を更に備え、
   前記滞留処理部は、前記個人情報判定部により個人情報を含まないと判定された応答メッセージを滞留させることなく送出し、前記個人情報判定部により個人情報を含むと判定された応答メッセージを滞留させる、
   ことを特徴とする請求項５に記載の情報漏洩防止装置。
7. 前記滞留処理部は、前記カウント部によりカウントされた応答メッセージの数が前記所定閾値を超えない場合で、かつ、前記滞留している応答メッセージに関するメッセージ時間からの経過時間が前記所定滞留時間以上となる場合に、当該経過時間が前記所定滞留時間以上となった応答メッセージの滞留を解除する、
   ことを特徴とする請求項６に記載の情報漏洩防止装置。
8. 前記応答処理部は、前記防御処理として、前記滞留している応答メッセージを送出しない、又は、前記滞留している応答メッセージに対し個人情報の削除処理又は個人情報の編集処理を適用した後に、当該処理が適用された応答メッセージを送出する、
   ことを特徴とする請求項１から７のいずれか１項に記載の情報漏洩防止装置。
9. コンピュータが、
   クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに関し、メッセージ時間、要求元情報及び要求先情報を要求情報格納部にそれぞれ格納し、
   前記各情報要求メッセージに応じて前記サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、対応の情報要求メッセージのメッセージ時間から所定滞留時間の間滞留させ、
   前記要求情報格納部に格納される情報要求メッセージに関する情報に基づいて、同じ要求元から同じ要求先への情報要求メッセージであって、前記滞留している応答メッセージに対応する情報要求メッセージの数をカウントし、
   前記カウントされた情報要求メッセージの数が所定閾値を超えている場合に、前記滞留している応答メッセージに含まれる個人情報が前記要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する、
   ことを含む情報漏洩防止方法。
10. コンピュータに、
    クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに関し、メッセージ時間、要求元情報及び要求先情報をそれぞれ格納する要求情報格納部と、
    前記各情報要求メッセージに応じて前記サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、対応の情報要求メッセージのメッセージ時間から所定滞留時間の間滞留させる滞留処理部と、
    前記要求情報格納部で格納される情報要求メッセージに関する情報に基づいて、同じ要求元から同じ要求先への情報要求メッセージであって、前記滞留している応答メッセージに対応する情報要求メッセージの数をカウントするカウント部と、
    前記カウント部によりカウントされた情報要求メッセージの数が所定閾値を超えている場合に、前記滞留している応答メッセージに含まれる個人情報が前記要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する応答処理部と、
    を実現させることを特徴とするプログラム。
11. コンピュータが、
    クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに応じて当該サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、当該応答メッセージに関するメッセージ時間から所定滞留時間の間滞留させ、
    前記滞留している応答メッセージのうち、同じ要求元及び同じ要求先に関する応答メッセージの数をカウントし、
    前記カウントされた応答メッセージの数が所定閾値を超えている場合に、前記滞留している応答メッセージに含まれる個人情報が要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する、
    ことを含む情報漏洩防止方法。
12. コンピュータに、
    クライアント端末からサーバ装置宛てに送信された各情報要求メッセージに応じて当該サーバ装置から送信される応答メッセージのうち、個人情報を含む応答メッセージを、当該応答メッセージに関するメッセージ時間から所定滞留時間の間滞留させる滞留処理部と、
    前記滞留している応答メッセージのうち、同じ要求元及び同じ要求先に関する応答メッセージの数をカウントするカウント部と、
    前記カウント部によりカウントされた応答メッセージの数が所定閾値を超えている場合に、前記滞留している応答メッセージに含まれる個人情報が要求元となるクライアント端末で受信されないように当該応答メッセージに対して防御処理を適用する応答処理部と、
    を実現させることを特徴とするプログラム。

Images