(57)【要約】【課題】企業等においてシステム管理者のいない法人又は一般家庭でのインターネットを利用しているクライアント装置に対してユーザに手間を取らせずに、リモートアクセスする際のユーザ名でフィルタリング動作を有効にすることにより、クライアント装置から接続を要求されたＵＲＬに対して中継するか拒否するかのフィルタリング機能を実現できるＵＲＬフィルタリング装置とその方法を提供する。【解決手段】認証サーバ４からのユーザ認証要求に対してクライアント装置１から発せられる応答記録のａｕｔｈログ中に含まれるスタートイベントログ及びストップイベントログからクライアント装置１のユーザ名Ｕ及びＩＰアドレスＰを認証サーバ４が取得してデータベースサーバ５に送信し、データベースサーバ５ではこの受信したユーザ名Ｕと、予めユーザ名Ｕ毎に定められた接続承認可否の方針に従って作られたテーブル中のユーザ名Ｕとを照合して、クライアント装置１から接続要求のあったＵＲＬへの接続の可否を処理する。【選択図】　　　図１
2004120574.tif 000002
【特許請求の範囲】
【請求項１】
少なくともクライアント装置と送受信可能なゲートウェイサーバと、該ゲートウェイサーバと送受信可能なデータベースサーバと、前記クライアント装置と送受信可能な認証サーバと、からなるＵＲＬフィルタリング装置であって、
前記認証サーバは、前記ゲートウェイサーバの依頼に基づいて、前記認証サーバからのユーザ認証要求に対して前記クライアント装置から発せられるの応答記録のａｕｔｈログ中に含まれる開始イベントログ及び終了イベントログから前記クライアント装置のユーザ名とＩＰアドレスとを取得して前記データベースサーバに送信し、
前記データベースサーバは、前記認証サーバから受信したユーザ名と、予めユーザ名毎に定められた接続承認可否の方針に従って作られたテーブル中のユーザ名とを照合して、前記クライアント装置から接続要求のあったＵＲＬへの接続の可否結果を前記ゲートウェイサーバに送信し、
前記ゲートウェイサーバは、前記ゲートウェイサーバから受信した接続の可否結果に基づいた処理を実行することを特徴とするＵＲＬフィルタリング装置。
【請求項２】
前記データベースサーバには、ユーザ名と該ユーザ名に対応するＩＰアドレスとからなる一次テーブルと、ユーザ名と該ユーザ名に対応する接続認証可否の方針を示すポリシー名とからなるユーザリストテーブルと、前記ポリシー名と該ポリシー名に対応する複数の禁止カテゴリーとからなるポリシーテーブルと、前記禁止カテゴリに対応する要求拒否ＵＲＬを集めた要求拒否ＵＲＬデータベースリストと、を有することを特徴とする請求項１に記載のＵＲＬフィルタリング装置。
【請求項３】
少なくともクライアント装置と送受信可能なゲートウェイサーバと、該ゲートウェイサーバと送受信可能なデータベースサーバと、前記クライアント装置と送受信可能な認証サーバと、からなるＵＲＬフィルタリング方法であって、
前記データベースサーバは、前記認証サーバから受信したユーザ名と該ユーザ名に対応するＩＰアドレスとの組を格納することのできる一次テーブルに、新たにＵＲＬへの接続要求をしてきたクライアント装置のＩＰアドレスと同一のＩＰアドレスが既に存在する場合には、前記一次テーブルから既に存在するＩＰアドレスとユーザ名との組を削除して、前記クライアント装置のＩＰアドレスとユーザ名との組を前記１次テーブルに追加し、前記一次テーブルに前記同一のＩＰアドレスが存在しない場合には、そのまま前記クライアント装置のＩＰアドレスとユーザ名との組を追加することを特徴とするＵＲＬフィルタリング方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は、ＵＲＬのデータベースに対し、クライアント装置からのアクセスを中継するか拒否するかを判断するＵＲＬフィルタリング装置とその方法に関する。
【０００２】
【従来の技術】
この種の従来のＵＲＬフィルタリングシステムは、事前に調査されたＵＲＬのデータベースをクライアント装置と送受信可能なプロキシサーバの内部或いは外部に設置し、クライアント装置のアクセスを中継するか拒否するかを判断している。
【０００３】
つまり、個々のＵＲＬに対して接続を禁止するか否かに関するデータを登録したデータベースを備えたプロキシサーバが、クライアント装置から接続を要求されたＵＲＬをそのデータベースと照合し、接続が禁止されていない場合にのみ、クライアント装置が希望したＵＲＬに接続するという機能を有するものである。
【０００４】
また、この際のクライアント装置毎にフィルタリングのルールを変更して管理するための手法としては、プロキシサーバのユーザ認証機能等を用いてグループ単位のルールを設定する方法か又はクライアント装置のホストコンピュータのＩＰアドレス単位でグループを構成する方法が取られている。そして、これらの場合にあっては、クライアント側のプロキシの設定が必要となっていた（例えば、非特許文献１を参照のこと。）。
【０００５】
【非特許文献１】
富士通株式会社発行、「ファイアウォール専用装置、ＧｅｏＳｔｒｅａｍＮｅｔＳｈｅｌｔｅｒ／ＦＷ、プロダクトレポート」、２００１年４月、第５頁。
【０００６】
【発明が解決しようとする課題】
しかしながら、上記従来のＵＲＬフィルタリングシステムにおいて、電話回線又はＡＤＳＬ等のブロードバンド接続したクライアント装置に対してフィルタリングを有効にするためには、クライアント装置はプロキシサーバの設定が必要となり、一般家庭のユーザがプロキシサーバの設定を行うことの煩雑さがあった。そして、その煩雑さを回避してプロキシサーバの設定を解除するとフィルタリング動作が機能しなくなるという問題があった。
【０００７】
また、ユーザ認証したデータを利用する手法もあるが、通常使用されているリモート認証（Ｒａｄｉｕｓ：Ｒｅｍｏｔｅ　Ａｕｔｈｅｎｔｉｃａｔｉｏｎ　Ｄｉａｌ　Ｕｓｅｒ　Ｓｅｒｖｉｃｅ）サーバとの連携をするシステムが存在しないため、実際には不可能であった。
【０００８】
そこで、この発明は上記従来のＵＲＬフィルタリングシステムの問題点を解消すべく考えられたものであり、企業等においてシステム管理者のいない法人又は一般家庭でのインターネットを利用しているクライアント装置に対して、ユーザに手間を取らせずに、リモートアクセスする際のユーザ名でフィルタリング動作を有効にすることにより、クライアント装置から接続要求されたＵＲＬに対して中継するか拒否するかのフィルタリング機能を実現できるＵＲＬフィルタリング装置及び方法を提供することを課題としている。
【０００９】
【課題を解決しようとするための手段】
かかる課題を達成するため、請求項１に記載の発明は、少なくともクライアント装置と送受信可能なゲートウェイサーバと、該ゲートウェイサーバと送受信可能なデータベースサーバと、前記クライアント装置と送受信可能な認証サーバと、からなるＵＲＬフィルタリング装置であって、前記認証サーバは、前記ゲートウェイサーバの依頼に基づいて、前記認証サーバからのユーザ認証要求に対して前記クライアント装置から発せられるの応答記録のａｕｔｈログ中に含まれる開始イベントログ及び終了イベントログから前記クライアント装置のユーザ名とＩＰアドレスとを取得して前記データベースサーバに送信し、前記データベースサーバは、前記認証サーバから受信したユーザ名と、予めユーザ名毎に定められた接続承認可否の方針に従って作られたテーブル中のユーザ名とを照合して、前記クライアント装置から接続要求のあったＵＲＬへの接続の可否結果を前記ゲートウェイサーバに送信し、前記ゲートウェイサーバは、前記ゲートウェイサーバから受信した接続の可否結果に基づいた処理を実行することを特徴としている。
【００１０】
ここで、クライアント装置とは、ＵＲＬのサービスを利用する端末のコンピュータである。また、ＵＲＬ（Ｕｎｉｆｏｒｍ　Ｒｅｓｏｕｒｃｅ　Ｌｏｃａｔｏｒ）とは、インターネットに接続されているコンピュータ上のサービスを利用するために指定する表記を意味し、これには、サービスを提供するコンピュータへのアクセス方式やドメインネーム、ディスクのパス、ファイル名等が記録されている。
【００１１】
請求項２に記載の発明は、前記データベースサーバには、ユーザ名と該ユーザ名に対応するＩＰアドレスとからなる一次テーブルと、ユーザ名と該ユーザ名に対応する接続認証可否の方針を示すポリシー名とからなるユーザリストテーブルと、前記ポリシー名と該ポリシー名に対応する複数の禁止カテゴリーとからなるポリシーテーブルと、前記禁止カテゴリに対応する要求拒否ＵＲＬを集めた要求拒否ＵＲＬデータベースリストと、を有することを特徴としている。
【００１２】
請求項３に記載の発明は、少なくともクライアント装置と送受信可能なゲートウェイサーバと、該ゲートウェイサーバと送受信可能なデータベースサーバと、前記クライアント装置と送受信可能な認証サーバと、からなるＵＲＬフィルタリング方法であって、前記データベースサーバは、前記認証サーバから受信したユーザ名と該ユーザ名に対応するＩＰアドレスとの組を格納することのできる一次テーブルに、新たにＵＲＬへの接続要求をしてきたクライアント装置のＩＰアドレスと同一のＩＰアドレスが既に存在する場合には、前記一次テーブルから既に存在するＩＰアドレスとユーザ名との組を削除して、前記クライアント装置のＩＰアドレスとユーザ名との組を前記１次テーブルに追加し、前記一次テーブルに前記同一のＩＰアドレスが存在しない場合には、そのまま前記クライアント装置のＩＰアドレスとユーザ名との組を追加することを特徴としている。
【００１３】
【発明の実施の形態】
以下、この発明の実施の形態に係るフィルタリング装置の構成と動作について、図面に従って詳細に説明する。
【００１４】
図１は、この発明の実施の形態に係るフィルタリング装置の構成と動作を示した概念図である。図２は、この発明の実施の形態に係るフィルタリング装置の構成の１つであるデータベースサーバの機能ブロック図である。
【００１５】
まず、ユーザがクライアント装置１からフィルタリングモジュール２を実装しているゲートウェイサーバ３を経由して希望するＵＲＬにアクセスした場合には、認証サーバ４からユーザ名Ｕ、パスワード等を要求されるユーザ認証要求がなされる。ここで、ゲートウェイサーバ３と認証サーバ４では、クライアント装置１からのＵＲＬへの接続要求をインターネットを通じて回線受け側のモデムＭを介して受信している。
【００１６】
認証サーバ４からのユーザ認証要求にクライアント装置１が応答した場合には、認証サーバ４のａｕｔｈログには開始イベントログと終了イベントログが記録される。次に、開始イベントログと終了イベントログよりユーザ名ＵとＩＰアドレスＡとを組で取得し、データベースサーバ５の一次テーブル６に登録する。
【００１７】
データベースサーバ５には、一次テーブル６、要求拒否ＵＲＬデータベーステーブル７、ポリシーテーブル８及びユーザリストテーブル９が存在する。
【００１８】
ユーザリストテーブル９のユーザ名Ｕは、認証サーバ４に登録されているユーザ名Ｕと１対１に対応している。ここで、ユーザリストテーブル９には、フィルタリングを有効にするユーザ名Ｕのみが存在する。
【００１９】
ポリシーテーブル８は１つのポリシー名Ｐに対応する複数の禁止カテゴリーＣ，Ｃ，Ｃ，・・・を持たせており、それぞれの禁止カデゴリーＣ毎に接続承認可否の方針が設定できるようになっている。これにより、複数ユーザで接続承認可否の方針が同じ場合には１種類の設定をすればよいので、ユーザ毎に接続承認可否の方針を設定する手間が省ける。
【００２０】
同じユーザ名に基づいて、一次テーブル６のＩＰアドレスＡとユーザリストテーブル９のポリシー名Ｐを関連付けることにより、認証サーバ４の認証をパスしたクライアント装置１がＩＰアドレスＡを取得し、ゲートウェイサーバ３を経由して目的とするＵＲＬにアクセスした場合に、データベースサーバ５はクライアント装置１のＩＰアドレスＡにより要求されたＵＲＬがフィルタリング対象か否かを判別して、その結果をゲートウェイサーバ３が受信し、ゲートウェイサーバ３が接続の禁止又は許可に関するコメントをクライアント装置１に返す。
【００２１】
この場合、接続承認可否の方針を意味するポリシー名Ｐは、ユーザ名Ｕ毎に設定変更が可能となっている。
【００２２】
なお、認証サーバ４のユーザ認証が完了すると開始イベントが発生し、この開始イベントログからユーザ名ＵとＩＰアドレスＡを一次テーブルに追加する。また、終了イベントは、ユーザがクライアント装置１にて回線切断処理を行わないと発生しない。
【００２３】
したがって、クライアント装置１の接続に利用している回線不調等の事故が発生すると、終了イベントが存在しない場合が生じることがあり、この場合には終了イベントログに基づいたユーザ名ＵとＩＰアドレスＡとの削除が行えないこととなる。
【００２４】
また、接続してきたクライアント装置１に認証サーバ４が付与するＩＰアドレスは、その都度ランダムに行われるため、同一ユーザに同一のＩＰアドレスが付与される可能性はほとんどないといえる。
【００２５】
そこで、開始イベントが発生したときと同一のＩＰアドレスＡを取得しているユーザ名Ｕが一次テーブル６に存在するか否かをチェックして、存在する場合はそのユーザ名ＵとＩＰアドレスＡとを削除して、新たに取得したユーザ名ＵとＩＰアドレスＡを一次テーブル６に追加するようにしている。
【００２６】
これにより、回線の不調等により認証サーバ４において終了イベントが存在しない場合であっても、正常に回線切断された場合と同様に、一次テーブル６から前回使用されていたユーザ名ＵとＩＰアドレスＡとの組は削除されることになるから、同一のＩＰアドレスと別のユーザ名との組からなるクライアント装置１（別のユーザ）がアクセスしてきた場合でも、以後のフィルタリング動作が実行される。
【００２７】
以下、この発明の実施の形態に係るフィルタリング装置のより具体的な動作について、図面に従って詳細に説明する。
【００２８】
図３は、リモートユーザの認証後の認証サーバとデータベースサーバとの処理を表した流れ図である。
【００２９】
認証サーバ４によってクライアント装置１の認証処理が行われた場合には、認証サーバ４はデータベースサーバ５にユーザ名ＵとＩＰアドレスＡとを送信し、データベースサーバ５はユーザ名ＵとＩＰアドレスＡとを取得すると（ステップＳ１）、取得したＩＰアドレスＡが一次テーブル６にあるか否かを判定する（ステップＳ２）。判定の結果、一次テーブル６にそのＩＰアドレスＡが存在する場合には、一次テーブル６からＩＰアドレスＡと組になっているユーザ名Ｕを削除する（ステップＳ３）。判定の結果、一次テーブル６に取得したＩＰアドレスＡが存在しない場合には、そのまま一次テーブル６にユーザ名ＵとＩＰアドレスＡとを追加する（ステップＳ４）。
【００３０】
回線異常切断の時、認証サーバ４は切断ログを記録しないため、切断ログから一次テーブル６上のユーザ名Ｕを削除できない。そこで、ステップＳ３とステップＳ４の処理によって、新規のユーザがゲートウェイサーバ３を経由してデータベースサーバ５に接続した時に、同じＩＰアドレスＡに対応したユーザ名Ｕ（別のユーザ）が存在するか否かを確認して、存在した場合にそのユーザ名Ｕ（別のユーザ）を削除することとしている。
【００３１】
次に、データベースサーバ５は、新たに追加したユーザ名Ｕと接続承認可否の方針を意味するポリシー名Ｐとの関連付けをする（ステップＳ５）。
【００３２】
そこで、リモートユーザであるクライアント装置１が実際に希望するＵＲＬに対する接続要求があった場合について、以下に説明する。
【００３３】
図４は、クライアント装置からＵＲＬへアクセスする場合のゲートウェイサーバとデータベースサーバとの処理を表した流れ図である。
【００３４】
リモートユーザであるクライアント装置１からの要求を受けてゲートウェイサーバ３が接続要求のあったＵＲＬをデータベースサーバ５に送信すると、データベースサーバ５はＩＰアドレスＡで特定されるクライアント装置１が接続を要求している要求ＵＲＬを取得する（ステップＳ１１）。次に、データベースサーバ５は、一次テーブル６を照合して、そのＩＰアドレスＡに対応しているユーザ名Ｕを取得し（ステップＳ１２）、そのユーザ名Ｕがデータベースサーバ５のユーザリストテーブル９に存在するか否かを判定する（ステップＳ１３）。判定の結果、そのユーザ名Ｕがユーザリストテーブル９に存在する場合には、要求ＵＲＬが接続承認可否の方針により制限対象か否かを識別処理する（ステップＳ１４）。判定の結果、そのユーザ名Ｕがユーザリストテーブル９に存在しない場合には、ゲートウェイサーバ３は要求を承認し要求ＵＲＬへ中継しクライアント装置１のブラウザ等へ要求ＵＲＬを送信する（ステップＳ１５）。
【００３５】
また、ステップＳ１４の識別処理に続き、要求ＵＲＬが制限対象に含まれるか否かを判定する（ステップＳ１６）。判定の結果、要求ＵＲＬが制限対象に含まれる場合には、ゲートウェイサーバ３はクライアント装置１に要求ＵＲＬが制限対象であることを通知し要求ＵＲＬへのアクセスを拒否する（ステップＳ１７）。判定の結果、その要求ＵＲＬが制限対象に含まれていない場合には、ゲートウェイサーバ３は要求を承認し要求ＵＲＬへ中継しクライアント装置１のブラウザ等へ要求ＵＲＬを送信する（ステップＳ１５）。
【００３６】
そして、クライアント装置１が要求ＵＲＬとの送受信作業を終了し、クライアント装置１が要求ＵＲＬとの送受信を終了して回線の切断処理を実行した場合は、データベースサーバ５はそのクライアント装置１のユーザ名ＵとＩＰアドレスＡとを取得し（ステップＳ６）、一次テーブル６から取得したユーザ名ＵとＩＰアドレスＡとを削除する（ステップＳ７）。
【００３７】
【発明の効果】
以上説明したように、請求項１に記載の発明によれば、認証サーバは、ゲートウェイサーバの依頼に基づいて、認証サーバからのユーザ認証要求に対して前記クライアント装置から発せられるの応答記録のａｕｔｈログ中に含まれる開始イベントログ及び終了イベントログからクライアント装置のユーザ名とＩＰアドレスとを取得してデータベースサーバに送信し、データベースサーバは、認証サーバから受信したユーザ名と、予めユーザ名毎に定められた接続承認可否の方針に従って作られたテーブル中のユーザ名とを照合して、クライアント装置から接続要求のあったＵＲＬへの接続の可否結果をゲートウェイサーバに送信し、ゲートウェイサーバは、ゲートウェイサーバから受信した接続の可否結果に基づいた処理を実行するので、従来のようにプロキシサーバのユーザ認証機能を利用していないため、クライアント装置側でのプロキシサーバの設定を必要としない。したがって、企業等においてシステム管理者のいない法人又は一般家庭でのインターネットを利用しているクライアント装置に対してユーザに手間を取らせずに、リモートアクセスする際のユーザ名でフィルタリング動作を有効にすることにより、クライアント装置から接続を要求されたＵＲＬに対して中継するか拒否するかのフィルタリング機能を実現できる。
【００３８】
請求項２に記載の発明によれば、データベースサーバには、ユーザ名と該ユーザ名に対応するＩＰアドレスとからなる一次テーブルと、ユーザ名と該ユーザ名に対応する接続認証可否の方針を示すポリシー名とからなるユーザリストテーブルと、ポリシー名と該ポリシー名に対応する複数の禁止カテゴリーとからなるポリシーテーブルと、禁止カテゴリに対応する要求拒否ＵＲＬを集めた要求拒否ＵＲＬデータベースリストとを有するので、一次テーブルのユーザ名とＩＰアドレスとの関係とユーザリストテーブルのユーザ名とポリシー名との関係と、ポリシーテーブルのポリシー名と禁止カテゴリとの関係から、ポリシー名に関係付けられた要求拒否ＵＲＬが接続要求のあったクライアント装置との対応関係が特定されるため、確実なフィルタリング機能が実行されることになる。
【００３９】
請求項３に記載の発明によれば、データベースサーバは、認証サーバから受信したユーザ名と該ユーザ名に対応するＩＰアドレスとの組を格納することのできる一次テーブルに、新たにＵＲＬへの接続要求をしてきたクライアント装置のＩＰアドレスと同一のＩＰアドレスが既に存在する場合には、一次テーブルから既に存在するＩＰアドレスとユーザ名との組を削除して、クライアント装置のＩＰアドレスとユーザ名との組を１次テーブルに追加し、一次テーブルに同一のＩＰアドレスが存在しない場合には、そのままクライアント装置のＩＰアドレスとユーザ名との組を追加するので、回線の不調等により認証サーバにおいて終了イベントが存在しない場合であっても、正常に回線切断された場合と同様に、一次テーブルから前回使用されていたユーザ名ＵとＩＰアドレスＡとの組は削除されることになるから、同一のＩＰアドレスと別のユーザ名との組からなるクライアント装置（別のユーザ）がアクセスしてきた場合でも、以後のフィルタリング動作が実行される。
【図面の簡単な説明】
【図１】この発明の実施の形態に係るフィルタリングシステムの構成と動作を示した概念図である。
【図２】同実施の形態に係るフィルタリング装置の構成の１つであるデータベースサーバの機能ブロック図である。
【図３】同実施の形態に係る認証サーバとデータベースサーバとの処理を表した流れ図である。
【図４】同実施の形態に係るクライアント装置からＵＲＬへアクセスする場合のゲートウェイサーバとデータベースサーバとの処理を表した流れ図である。
【符号の説明】
１　クライアント装置
２　フィルタリングモジュール
３　ゲートウェイサーバ
４　認証サーバ
５　データベースサーバ
６　一次テーブル（テーブル）
７　要求拒否ＵＲＬデータベーステーブル（テーブル）
８　ポリシーテーブル（テーブル）
９　ユーザリストテーブル（テーブル）
Ａ　ＩＰアドレス
Ｃ　禁止カテゴリ
Ｐ　ポリシー名
Ｕ　ユーザ名
【図１】
2004120574.tif 000003
【図２】
2004120574.tif 000004
【図３】
2004120574.tif 000005
【図４】
2004120574.tif 000006