(57)【特許請求の範囲】
【請求項１】
情報の交換を可能にするコンピュータネットワーク、特にインターネットに、端末によって、会社などの組織に共用または専用の構内アクセスノードを介してアクセスするユーザのためにアクセス制御を提供する方法であって、前記端末は、アクセスサーバを介して前記コンピュータネットワークにアクセスするために前記構内アクセスノードに接続され、前記方法は、前記端末から示されたアクセス要求に応答して、前記コンピュータネットワークからユーザ端末宛てのマルチメディアデータのストリームを受信し、下流向きフィルタリングのために一時的に格納し、前記下流向きフィルタリングが、前記構内アクセスノードで受信したデータストリームに適用される特定の基準に応じて、前記端末への前記データストリームの送信を許可または阻止するための装置によって適用され、
前記コンピュータネットワークから受信した前記データストリームが、一時的に格納され、後に、解析の結果に応じて前記ユーザ端末に送信されるか、あるいはされず、
前記解析の結果、前記ユーザに送信しないとの決定に従い、前記コンピュータネットワークから受信した送信されない前記データストリームの発信源に関する特定の組のデータは、後続のデータストリームの特定の組のデータと比較できるように保持され、それによって、前記後続のデータストリームの前記特定の組のデータが保持された前記特定の組のデータと同一である場合、保持したデータストリームを送信しないとの決定を導く前記解析と同じ解析を再度実行する必要なしに、保持したデータストリームを前記ユーザ端末に送信するか否かの決定を加速することができる、アクセス制御を提供する方法。
【請求項２】
前記ネットワークから受信したデータストリームが、制限された信号送信権に特有のシグナチャを組み込んでいる場合、ユーザ端末への前記データストリームの送信を、少なくとも一時的に阻止するためのシグナチャ解析を含む請求項１に記載の方法。
【請求項３】
前記ユーザ端末に宛てられた受信データストリーム中に１つまたは複数の特定の識別子が見つかった場合、前記ユーザ端末への前記データストリームの送信を許可するために、ユーザ端末に宛てられた受信データに適用される識別子検索解析を含む請求項１に記載の方法。
【請求項４】
情報の交換を可能にするコンピュータネットワーク、特にインターネットに、端末によって、会社などの組織に共用または専用の構内アクセスノードを介してアクセスするユーザのために、アクセス制御を提供する装置であって、前記端末は、接続業者を介してコンピュータネットワークにアクセスするために前記構内アクセスノードに接続され、前記装置は、前記構内アクセスノードで前記受信するデータストリームに適用される特定の基準に応じて、前記端末への前記データストリームの送信を許可または阻止するように編成され、解析の結果、前記ユーザに送信しないとの決定に従い、前記コンピュータネットワークから受信した送信されない前記データストリームの発信源に関する特定の組のデータは、後続のデータストリームの特定の組のデータと比較できるように保持され、それによって、前記後続のデータストリームの前記特定の組のデータが保持された前記特定の組のデータと同一である場合、保持したデータストリームを送信しないとの決定を導く前記解析と同じ解析を再度実行する必要なしに、保持したデータストリームを前記ユーザ端末に送信するか否かの決定を加速することができる、ハードウェア手段および／またはソフトウェアを含む、アクセス制御を提供する装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本出願は、その開示を全体として本明細書で参照し、、かつその優先権が３５Ｕ．Ｓ．Ｃ．§１１９の下で請求される、２０００年６月６日出願のフランス特許出願第０００７３５１号に基づくものである。
【０００２】
本発明は、会社の自動構内交換機など、構内アクセスノードを介して、特にインターネットなど、コンピュータネットワークにアクセスするユーザのために、および／または、に関する  アクセス接続を提供する方法に関する。本発明はまた、本発明による方法を実施するために構成された様々な装置に関する。
【０００３】
より詳細には、本発明は、組織、特に会社が使用することを意図しており、ユーザには、コンピュータネットワーク、特にインターネットなど、組織の外部のコンピュータネットワークにユーザがアクセスできるようにする端末が装備され、そのようなアクセスは、関係する組織に少なくとも部分的に確保されている構内アクセスノードを介して得られる。
【０００４】
このことは、例えばその組織に、内部の通信構造、例えば既に定義しているような少なくとも１つのアクセスノードを含む有線または無線通信ネットワークがある場合、ユーザは組織専用の端末からアクセスするような場合に該当する。このアクセスノードは、例えば自動構内交換機（ＰＡＢＸ）で、詳細には、組織が通信のために使用するマルチメディアＰＡＢＸであるか、またはローカルエリアネットワーク（ＬＡＮ）へのゲートウェイタイプの構内アクセス構造である。
【０００５】
様々な理由および特に経済的な理由のために、組織は、コンピュータネットワーク、特にインターネットにアクセスするために提供される機能が、適切な仕方、特に組織にとっては不適切なコストおよび追加のコスト、および不必要な機材または財政上のリスクを回避する仕方で使用されていることを確認できることは重要である。
【０００６】
【従来の技術】
従来テレフォニの分野で提供されてきたものに由来する、１つの従来技術のアクセス制御の解決策は、組織の端末を動作させているときに、いくつかの種類のアクセスをユーザに対して禁止することから構成されている。このようにすることで、コンピュータネットワークのあるサイトまたはあるタイプの情報へのアクセスを組織の端末から行うことを防止でき、このことは、サイトのアドレスをフィルタリングするためのフィルタ、例えばコンピュータネットワークとコンピュータネットワークにアクセスするための端末によって使用されるアクセスノード間でいわゆる「ファイアウォール」を採用することによって防止することができる。
【０００７】
【発明が解決しようとする課題】
しかし、この解決策は、十分に満足できるものではなく、禁止するアドレスを継続的に更新する必要があるが、この種のネットワークが提供しているサイト間の再ルーティングの可能性を前提にすれば、インターネットのように、常時変化するネットワークのサイトにアクセスする場合、達成することは困難である。さらにこの種のフィルタリングは、所定の条件の下でのみ効果的で、その他の場合は、効果的ではなく、したがって、技術進歩に適合することができるように定期的に更新しなければならない。
【０００８】
いくつかのマルチメディアファイルは、利用金を払い、限定的な使用権を条件としてダウンロードすることができる。当技術分野では、そのようなマルチメディアファイルを、ダウンロードした後のファイルの使用を監視するために使用されるＳＤＭＩシグナチャで識別することが知られている。組織の成員は、使用権利に違反する可能性があり、このことには、組織の責任が関係する可能性がある。したがって、組織は、端末から行われるアクセス要求に従って、そのようなファイルを受信する場合、リスクを負う状態となる。
【０００９】
米国特許第５９８７６０６号は、インターネット接続業者のサーバに配置されるフィルタについて記述している。それは、禁止された単語または語句を検出することができる。禁止された単語または語句は、接続業者を通してインターネットに接続可能な各顧客に対して事前に決められている。この解決策は、私用の個人に対しては適切であるが、しかし組織に対してはあまり適切なものではない。
【００１０】
【課題を解決するための手段】
したがって、本発明は、情報の交換を可能にするコンピュータネットワーク、特にインターネットに、端末によって、会社などの組織に共用または専用の構内アクセスノードを介してアクセスするユーザのために、および／または、に関する  アクセス制御の方法を提案するものであり、端末は、アクセスサーバを介してコンピュータネットワークにアクセスするために構内アクセスノードに接続され、本方法は、端末から示されたアクセス要求に応答して、コンピュータネットワークからユーザ端末宛てに受信したたマルチメディアデータのストリームを、下流向きフィルタリングのために一時的に格納し、下流向きフィルタリングは、構内アクセスノードで受信したデータストリームに適用される特定の基準に応じて、端末へのデータストリームの送信を許可または阻止するための装置によって適用される。
【００１１】
したがって、上述の方法で、組織は、インターネット接続業者とは無関係に、組織のコンピュータネットワークに入力するすべてをフィルタリングすることが可能で、それはフィルタリングが構内アクセスノードで実行されるからである。さらに、組織専用で、しかし組織の成員の各個人とは無関係に、フィルタの基準を定義することも可能である。
【００１２】
本発明による方法では、コンピュータネットワークから受信したデータは、一時的に格納し、解析の結果に応じてユーザ端末に送信するか、あるいはしない。
【００１３】
本発明による方法では、ユーザに送信しないとの決定に至る解析に従い、コンピュータネットワークから受信し、送信しないデータは、後続のデータストリームのデータと比較できるよう保持され、それによって、データの特定の組について、異なるデータストリームに同一のデータがある場合、意思決定を加速することができ、保持されたデータを送信しないことに相当する解析をさらに実行する必要がないのである。
【００１４】
本発明による方法の一実施形態では、コンピュータネットワークから受信したデータのユーザ端末への転送は、受信したものと特定の標準との適合性の決定の間、一時記憶手段で一時的に遅延され、次いで適合性が見つかった場合には、端末に送信される。
【００１５】
さらに、適合性決定段階で格納されるデータストリームに関係する一時的に遅延されるデータが保持され、コンピュータネットワークから送信するデータストリームが中断される非適合の検出時に受信されたデータに関して、または受信されたすべてのデータに関して、データストリームを中断することなく、さらなる確認を行うことが可能になる。
【００１６】
非適合が受信されたデータストリーム中で検出されているデータ、および／または、データの発信源を保持し、後続して受信するデータストリームを中断することを可能とし、後に、データおよび／または発信源が後に受信するストリーム中で再び検出される場合、データストリームが送信するデータの完全な解析を行なう。
【００１７】
本発明による方法は、特有のデータの組合せから構成される特定のコンテンツが、特定の端末に宛てられた少なくとも１つのデータストリーム中で、コンピュータネットワークから受信した後に、一時的に格納されたデータに見つかった場合、そのコンテンツを、制御の目的で数えることを含んでいる。
【００１８】
本発明による方法の他の実施形態は、ネットワークから受信したデータが、制限された信号送信権に特有のシグナチャを組み込んでいる場合、ユーザ端末へのデータの送信を、少なくとも一時的に阻止するためのシグナチャ解析を含んでいる。
【００１９】
本発明による方法の他の実施形態はさらに、端末に宛てられた受信データ中に１つまたは複数の特定の識別子が見つかった場合、端末へのデータの送信を許可するために、ユーザ端末宛ての受信データに適用される識別子検索解析も含んでいる。
【００２０】
本発明は、さらに情報の交換を可能にするコンピュータネットワーク、特にインターネットに、端末によって、会社などの組織共用または専用の構内アクセスノードを介してアクセスするユーザのために、および／または、に関する  アクセス制御を提供する装置も提供するものであり、そして、端末は、接続業者を介してコンピュータネットワークにアクセスするために構内アクセスノードに接続され、その装置は、構内アクセスノードで受信したデータストリームに適用する特定の基準に応じて、端末へのデータストリームの送信を許可または阻止するように編成されたハードウェア手段および／またはソフトウェア製品を含んでいる。
【００２１】
本発明による装置の特定の一実施形態は、例えば自動構内交換機などの、通信ネットワークノードの上流側または入力における設備ユニットである。
【００２２】
本発明、その特徴およびその利点について、図を参照して行う以下の記述において説明する。
【００２３】
【発明の実施の形態】
本発明によるアクセス制御方法は、端末が会社などの組織内ユーザに使用可能で、特にインターネットなどのコンピュータネットワークにアクセスし、ディジタルデータの形式で送信されるマルチメディア情報などの多様な情報の交換が可能な、システムに関連して使用することを意図するものである。より詳細には端末は、少なくとも１つの接続業者、インターネットの場合通常インターネットサービスプロバイダ（ＩＳＰ）と呼ばれる業者を介して、ネットワークに接続された構内アクセスノードを介してコンピュータネットワークにアクセスすることを意図している。
【００２４】
このことを図１で図示しており、それは、象徴的な形式で、特定の組織のユーザに使用可能とすることができる２つのタイプの端末を示している。端末１は、例えばコンピュータで、有線でアクセスノード２に接続されており、端末１’は、例えばコンピュータ端末で、無線でアクセスノード２と通信し、アクセスノード２は、この場合アンテナ３によってここでは象徴される送受信手段を装備している。
【００２５】
アクセスノード２は、必要に応じて様々な形式を取ることができる。いずれのオプションを選択するとしても、アクセスノード２は、ルーティング機能を備え、端末１および１’などのユーザによって採用される端末が、ここではインターネットを想定するコンピュータネットワーク３にアクセスできるようにする。アクセスノード２は、ＩＳＰサーバなどのインターネットサービスプロバイダのサーバ４に、送信リンクＬを介して接続している。
【００２６】
アクセスノード２は、例えばディジタル自動構内交換機（ＰＡＢＸ）で、それに会社などの組織専用の構内電気通信設備の端末が、有線、および／または場合によっては無線リンクで接続されている。ＰＡＢＸには、ルーティング手段があり、それによってＰＡＢＸは、パケットモードでインターネットサービスプロバイダのＩＳＰサーバと通信することが可能になる。サーバは、インターネットにアクセス可能な電気通信設備の端末に相対する仲介として動作する。アクセスノード２は、一種のゲートウエイであり、ルーティング機能があり、インターネットにアクセス可能な、ローカルエリアネットワーク（ＬＡＮ）に含まれる端末に対するインターフェイスとしても動作する。
【００２７】
本発明は、上流側または入力フィルタ装置５を提供し、コンピュータネットワーク３からサーバ４を介して、ネットワーク３へのアクセスを要求した端末１または１’のいずれかの端末へ返送されるデータを監視する。提供する構成および使用可能な動作のタイプに応じて、フィルタ装置５は、アクセスノード２またはサーバ４に配置するか、あるいは分離したユニットを構成することもできる。いずれのオプションを選択するとしても、フィルタ装置５は、上流側または入力ユニットで、したがって、図１で象徴的に示しているように、アクセスノードがサービスを提供している端末向けで、端末によって送出されたネットワークへのアクセス要求に応答して、コンピュータネットワーク３からサーバ４を介して送信するすべての情報を傍受することが可能である。
【００２８】
フィルタ装置５は、多かれ少なかれ直接、アクセスノード２およびサーバ４から成るサブシステムの少なくとも１つのプログラム制御ロジック６と接続されており、制御ロジック６は、アクセスノード２およびサーバ４いずれにも組み込むことができる。上部で示したように、構内アクセスノード２は、ノードをその要件のために使用する特定の組織専用のノードとするか、または複数の組織による共用ノードとし、例えば専門の会社によって使用可能にすることもできる。
【００２９】
本発明によるアクセス制御方法は、それが適用されるアクセスノード２の端末に宛てられた戻りトラフィックのレベルにのみ介入することを意図している。もちろん、本発明によるアクセス制御方法は、同じ組織の益となるように、複数のアクセスノードのレベルで、複数のサーバに接続して動作するようにすることができるはずであり、上部で考慮したように、図１で図示している例は、決して本発明を限定するものとは考えられない。
【００３０】
前記制御方法は、端末１または１’から接続業者のサーバ４への通話が、アクセスノード２を介して、端末から送出されるコンピュータネットワーク３へのアクセス要求という状況で設定される時には介入を行わない。当技術分野で知られているように、アクセス端末のプログラム制御ロジックには、情報記憶手段が含まれており、記憶手段が、端末によって送出されるアクセス要求に応答して、コンピュータネットワークから到来するデータの流れを管理するためのルーティング機能に必要とされる情報を保持できるようにする。本発明による方法を実施するための装置は、端末からコンピュータネットワークへの特定の要求の送信を禁止し、特定のサイトおよび／または特定のタイプのサイトからデータへのアクセスを阻止するための「ファイアウォール」デバイスと関連付けることができる。
【００３１】
本発明によると、コンピュータネットワークから端末へ送信されるデータは、端末へ送信される前に一時的に格納される。上部で示したように、この一時記憶は、サーバ４および関係する端末１または１’にサービスを提供するノード２を含むシステムの様々なレベルで行うことができる。
【００３２】
図２で図示している実施形態では、一時的にデータを格納するためのサブシステム７は、アクセスノード２で送信リンクＬに接続され、アクセスノード２はコンピュータネットワーク３からリンクＬを介して、その時にネットワークに接続している端末宛てのデータを受信する。上部で想定したように、記憶サブシステム７は、サーバに配置することができ、とりわけノードによってサービスが提供されている端末からのすべてのアクセスが、同じサーバを介して行われる場合は、前記サーバを介して、ネットワークからのデータが、アクセスノードに供給される。コンピュータネットワークからリンクＬを介して受信されるマルチメディアデータストリームは、分配インターフェイス８を介して指定された端末に送信される前に、一時記憶サブシステム７を通過する。一時記憶デバイスは、例えば１つまたは複数のハードディスク記憶ユニットから構成されている。
【００３３】
次いで、フィルタリングが、フィルタリングおよび解析ロジックによって、記憶デバイス７に一時的に存在する、受信されたストリームのそれぞれに固有のデータのレベルで加えられる。本明細書では、ロジックが、ノード２、詳細には、分配インターフェイス８およびリンクを介して送信のために、端末からサーバ宛てに発信されるデータストリームをグループ化するための集信インターフェイス９を制御する制御ロジック６に含まれるものとしている。フィルタリングは、特に、顧客の組織および／またはユーザの組織の要件に調整することで、指定された端末のユーザに使用可能なコンピュータネットワーク１へのアクセスを提供する手段の使用を監視することが可能になる。
【００３４】
ユーザが、端末から本発明による方法を実施するように構成された制御装置を装備するアクセスノードを介して自由に行うコンピュータネットワークへのアクセス要求に従い、ユーザ端末向けに受信したデータストリームは、ストリームが送られる一時記憶デバイス７で解析される。使用される解析およびフィルタ手段は、例えば技術者に知られている手段から選ぶか、または例えば専用に実施し、端末宛てに受信したデータストリームの全体またはその特定の部分の情報の特定のコンテンツを検索する。検索は、データストリームのレベルで系統的にまたは1つずつ、例えば、流れに沿ってまたは周期的に、行うことができる。検索は、特定構成の場合、例えば同時にアクティブなポートの数が多い場合、あるいはいくつかの端末に優先順位がある、またはある受信した情報に優先順位がある場合にも行うことができる。受信データストリームの全部または一部は、通常解析に必要な間のみ一時的に格納され、したがって、これらの条件下にあるユーザによる、検出は不可能であり、特にユーザ宛てのデータが大量のデータから構成されている場合にも不可能である。解析のために必要とされる時間は、通常現在の条件下では、コンピュータネットワークからアクセスノードへリンクＬを介して、データのすべてを送信するために必要とされる時間よりも非常に少ない。解析過程が効果的であり、それに、選択したフィルタ基準の１つがユーザに宛てられたストリームの中で受信されるデータに適用されることが明らかな場合、決定は関係する制御ロジックで行われる。その決定は、例えば「非送信」の決定で、とりわけ受信したものに、顧客および／またはユーザの組織の基準に従って、特定のリスクを表現したり、または通信が許可されない情報が含まれていることが懸念される場合には宛先端末へのデータストリームの送信を阻止する。この阻止動作には、ローカル主導で、特に端末、ノード、および／または場合によってはサーバにリスクを与える可能性のあるデータの場合には、受信データストリームの中断を伴うことができる。ある場合、とりわけ受信したデータを構成するコンテンツを要求したユーザへ送信することの適法的性質に関して何らかの疑念がある場合、受信データストリームの中断を伴う必要はない。この場合、受信したデータは、全部受信されるまで一時的に格納することができる。次いで、その先への送信は、適法性に関する決定が行われるまで、おそらく人間の介在が済むまで一時的に遅延させ、次いでユーザへの送信が許可されるか、または永久的に阻止することができる。適法性検査は、例えば特定の条件下で適用される所定の規準に従って、制御ロジックを介して行われる。いくつかの条件、特に事前に定義された優先順位に基づいて、あるコンテンツの送信は、優先順位が高いと見なされるコンテンツのために遅延させること、あるいは場合によってはノードまたはサーバレベルでのローカル決定の結果、送信用のデータストリームの意図的な中断によって停止することができる。
【００３５】
本方法の一実施形態では、解析が「非送信」となり、ユーザに送信されないコンピュータネットワークから受信したデータは、保持され、そのデータを使用することで、そのデータが再び後続のストリームで受信される場合には、受信したデータを再解析することなく、意思決定プロセスを高速化することができる。次いで、新しく入力するデータストリームに関して、新しく受信したデータの選択した組と格納されているデータの特定の組とが同一か否かの、決定を実行することができる。ストリームに現れれ、データストリームの発信源に関係するデータを保持し、再び後続のデータストリームに見つかった場合、その情報を利用して、搬送するデータがすべて解析される前に、後続のデータストリームを中断することが可能であり、、このことは正当なものとされるべきである。
【００３６】
別の実施形態では、コンピュータネットワークから受信されたデータの宛先端末への転送は、特定の規準と、受信したものとの適合性の決定がなされるまで一時記憶手段で一時的に遅延される。所与のデータストリームに対する適合性決定段階で格納されたデータも、保留することができ、非適合の場合の補足的確認が可能になる。このことは、例えば非適合が検出されるまでにデータストリームについて、受信したデータに関係する。このことは、さらにデータストリームを中断することなく、データストリームを介して受信したデータすべてに対しても適用することができる。
【００３７】
本発明によるアクセス制御方法によって実行することができるコンテンツの確認は、またアクセスノードおよびサーバを介してそのネットワークへのアクセスを設定している端末へコンピュータネットワークから送信されるデータの、流れに沿ったまたは制御遅延を伴う、送信許可以外の目的でも使用することができる。例えば、特定の情報コンテンツ、例えば特定のファイルタイプの特性を示すデータに関して、特に、特定のコンテンツの特性を示すデータグループがノードで受信される回数を数えたり、トラフィック制御目的および／または有料コンテンツの場合にはコスト制御目的でフィルタリングを適用することが可能である。
【００３８】
制御装置は、また基本的にソフトウェア手段で装備することができ、ネットワークから受信したデータストリームのデータに対してシグナチャ解析動作を可能とし、そのデータに特有のシグナチャが組み込まれている場合には、データの宛先端末への送信を一時的にまたは永久  に阻止することが可能となる。シグナチャは、例えば伴っているデータの使用ついての制限の存在を示すことができる。このことは、当技術分野で知られており、特に、特定のマルチメディアファイルを構成するデータを伴うＳＤＭＩ（ｓｅｃｕｒｅ  ｄｉｇｉｔａｌ  ｍｕｓｉｃｉｎｉｔｉａｔｉｖｅ：セキュリティ保護ディジタル音楽イニシアチブ）シグナチャに適用される。
【００３９】
あるいは、解析は識別子を検索するために実行し、データが１つまたは複数のの特定の識別子を含む場合、データストリームによってコンピュータネットワークから受信したデータの送信を許可することができる。識別子は、例えばファイルなどの一組のデータを作成する際に導入され、前記組の発信源を認証することを目的として送信するようにする。ここで考慮する実施形態では、本発明によるアクセス制御装置において、受信者の認識により、受信者を伴う受信したすべてのデータの宛先端末への送信を許可し、場合によっては開始する。
【００４０】
以上に示したように、本発明による方法を実施するには、関係する通信設備と両立する適切なハードウェアおよびソフトウェアを使用することが必要とされる。それらの手段は、本明細書ではさらに記述しない、それは技術者には良く知られているためである。装置自体は、例えば通信ネットワークのノードの入力または場合によっては上流側に配置されることを意図した設備ユニットの形式を取り、そのノードがサービスを提供するユーザ端末を指名して、ノードに供給されるデータを制御する。
【図面の簡単な説明】
【図１】ユーザ端末から構内アクセスノードを介するインターネットへのアクセスを制御する一般的原理を示すブロック図である。
【図２】本発明によるアクセス制御装置のブロック図である。
【符号の説明】
１  有線端末
１’  無線端末
２  アクセスノード
３  アンテナ
３  コンピュータネットワーク
４  サーバ
５  フィルタ装置
６  制御ロジック
７  一時記憶サブシステム
８  分配インターフェイス
９  集信インターフェイス
Ｌ  送信リンク
【図１】
0004878700.tif 000002
【図２】
0004878700.tif 000003