JP5624973B2

JP5624973B2 - フィルタリング装置

Info

Publication number: JP5624973B2
Application number: JP2011241840A
Authority: JP
Inventors: 竹島　由晃; 由晃竹島; 直規原口
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2011-11-04
Filing date: 2011-11-04
Publication date: 2014-11-12
Anticipated expiration: 2031-11-04
Also published as: EP2590379A2; JP2013098880A; US20130151587A1; CN103095676A; US8935419B2

Description

本明細書で開示される主題は、クライアントとサービス提供サーバ間におけるＨＴＴＰ通信のフィルタリングを行う、フィルタリングシステム及びフィルタリング方法に関する。

従来のＨＴＴＰ通信のフィルタリング方式には、ＨＴＴＰプロキシ方式や透過型プロキシ方式がある（特許文献１、段落０００２〜０００５）。

しかし、これらの方式には以下の課題が指摘されている。

前者のＨＴＴＰプロキシ方式では、ＨＴＴＰクライアントがＨＴＴＰプロキシを使用する設定を行っていない場合はフィルタリングを行うことができない（特許文献１、段落０００６）。

また、後者の透過型プロキシ方式では、ＴＣＰセッションの終端処理が複雑でありソフトウェアによる処理が必要であるため、スループットの低下が発生する（特許文献１、段落０００７、０００８）。

これらの課題を解決するため、通常時はＴＣＰ終端処理を行わず、受信パケットからＨＴＴＰアクセスの要求ラインにおけるＵＲＬを抽出し、ＵＲＬの通過／アクセス拒否判定を実施し、判定結果がアクセス拒否であった場合にＴＣＰ終端処理を実施する方式が提案されている（特許文献１、段落００１３、００１４）。

特開２０１０−２４４１３４号公報

しかしながら、特許文献１が開示する技術は、クライアントからのアクセスを遮断（規制）するケースにおいて、一度クライアントからＷｅｂサーバへのTCP 3way-handshakeを透過転送しＴＣＰ接続を確立した後に、アクセス拒否と判定して、サーバ側ＴＣＰ終端処理を行っている（特許文献１、段落００３０〜００３４および図３）。

この方法では、Ｗｅｂサーバにとっては、ＴＣＰ接続が行なわれた後、ＨＴＴＰ要求を受信せずに、クライアント側からＴＣＰ切断が行われるように見える。

このような処理が頻繁に行われた場合、Ｗｅｂサーバ側は、ＤｏＳ（Denial of Service）攻撃と誤認識し、Ｗｅｂサーバ管理者が、当該クライアント側ネットワークからの接続に対し、ＩＰアドレスベースでのアクセス遮断といったセキュリティ対策を取る可能性がある。

アクセス遮断されると、それ以降、当該クライアント側ネットワークに接続しているクライアントは、Ｗｅｂサーバに接続できなくなってしまうという問題がある。

この問題を回避するためには、アクセスを遮断するケースにおいても、フィルタリング装置からＷｅｂサーバにＴＣＰ接続後、Ｗｅｂサーバに対してＨＴＴＰ要求を送信せずにＴＣＰ切断、というシーケンスが頻繁に行われないようにしなければならない。

上記課題を解決するために、開示されるフィルタリングシステムは、
Ｗｅｂサーバ装置などのサービスサーバ装置（以下、Ｗｅｂサーバ装置と総称する）が提供するサービスが、アクセスするユーザにとって、アクセス規制の対象である場合に、当該サービスへの頻繁なＴＣＰ接続を遮断可能な構成を備えることを特徴とする。

具体的には、同一クライアントから同一Ｗｅｂサーバにおけるアクセス規制対象データへの頻繁なアクセスの検知手段と、当該手段での検知後に当該ＷｅｂサーバへのＴＣＰ接続の遮断手段と、を備えることを第一の特徴とする。

さらに、ある同一のアクセス規制対象データを提供するＷｅｂサーバが複数存在しており、あるホスト名に対するＤＮＳ名前解決時の応答データ中に異なる複数のＩＰアドレスが記載されていた場合、それらの異なる複数のＩＰアドレスを有する当該Ｗｅｂサーバ群のアクセス規制対象データへのアクセスを同一のものとして扱い、前記検知手段による検知後、当該Ｗｅｂサーバ群へのＴＣＰ接続の遮断手段と、を備えることを第二の特徴とする。

さらに、クライアントからの、Ｗｅｂサーバのホスト名の名前解決時において、前記検知手段による検知後、アクセス規制対象データを提供するＷｅｂサーバの名前解決要求でのアクセス遮断手段と、を備えることを第三の特徴とする。

より具体的な態様の一つは、クライアント装置とサービスサーバ装置との間で確立されたＴＣＰ接続、並びに、ＴＣＰ接続を利用して送受信される、ＨＴＴＰ要求及びＨＴＴＰ応答、を中継する機能と、クライアント装置からサービスサーバ装置が提供するアクセス規制対象サービスへのアクセスを遮断する機能とを備えるフィルタリング装置を備えるネットワークシステムであって、
フィルタリング装置は、検知処理と遮断処理を行うフィルタリング処理部を備え、
検知処理は、同一のクライアント装置から、サービスサーバ装置が提供する同一のアクセス規制対象サービスへの頻繁なＨＴＴＰアクセスを、ＨＴＴＰアクセスが利用するＴＣＰ接続の確立要求により検知する処理であり、
遮断処理は、検知処理によって頻繁なＨＴＴＰアクセスが利用するＴＣＰ接続の確立要求が検知されると、ＴＣＰ接続の確立要求をサービスサーバ装置へ転送せずに、当該フィルタリング装置を終端とするＴＣＰ接続の、確立と遮断とを行う処理であることを特徴とする。

上記フィルタリング処理部は、遮断処理において、確立したＴＣＰ接続を利用したクライアント装置からのＨＴＴＰ要求を受信したら、アクセス規制メッセージをクライアント装置へ送信し、ＴＣＰ接続を遮断するように構成してもよい。

また、フィルタリング処理部は、検知処理において、ＴＣＰ接続の確立要求が、アクセス規制対象サービスへの頻繁なＨＴＴＰアクセスが利用するＴＣＰ接続の確立要求ではない、と判断された場合、ＴＣＰ接続の確立要求をサービスサーバ装置へ転送し、要求されたＴＣＰ接続の確立を可能にし、確立したＴＣＰ接続を利用するＨＴＴＰ要求が、アクセス規制対象サービスへのＨＴＴＰ要求であれば、頻繁なアクセスとなるか否かを判断するために、ＨＴＴＰ要求数をカウントアップするように構成してもよい。

また、フィルタリング処理部は、
クライアント装置の接続元ＩＰアドレスと、サービスサーバ装置が提供するサービスへの接続先ＩＰアドレスと、接続先ＩＰアドレスへのアクセスにより提供されるサービスが、クライアント装置のユーザによるアクセスの規制対象か否かを示す情報と、を対応付けて管理する
ように構成してもよい。

さらに、フィルタリング処理部は、
検知処理において、クライアント装置から受信した名前解決要求を名前解決サーバに転送し、名前解決サーバから名前解決応答を受信し、受信する名前解決応答に含まれる接続先ＩＰアドレスを、上記で管理する接続先ＩＰアドレスとし、名前解決要求に含まれるホスト名と対応付けて、管理するように構成してもよい。

さらに、フィルタリング処理部は、
検知処理において、上記で管理する一つのホスト名と、名前解決サーバから受信する名前解決応答に含まれる複数の接続先ＩＰアドレスとを対応付けて管理するように構成してもよい。

また、フィルタリング処理部は、
検知処理において、クライアント装置およびサービスサーバ装置を識別し、クライアント装置の接続元ＩＰアドレスからアクセス規制対象データへの、一定時間内のＨＴＴＰ要求数をカウンタ値として保持し、カウンタ値がある閾値を超過すると、頻繁なアクセスが発生したとみなすように構成してもよい。

また、他の態様は、クライアント装置とサービスサーバ装置との間でＨＴＴＰ要求及びＨＴＴＰ応答、を中継する機能と、クライアント装置からサービスサーバ装置が提供するアクセス規制対象サービスへのアクセスを遮断する機能とを備えるフィルタリング装置を備えるネットワークシステムであって、
フィルタリング装置は、検知処理と遮断処理を行うフィルタリング処理部を備え、
クライアント装置の接続元ＩＰアドレスと、クライアント装置から受信する名前解決要求に含まれるホスト名と、名前解決サーバから受信する名前解決応答に含まれる接続先ＩＰアドレスと、接続先ＩＰアドレスへのアクセスにより提供されるサービスが、クライアント装置のユーザによるアクセスの規制対象か否かを示す情報と、を対応付けて管理し、
検知処理において、クライアント装置からの、サービスサーバ装置の名前解決要求を検知すると、遮断処理において、名前解決要求に対する応答として、サービスサーバ装置とは異なる他のサーバ装置のＩＰアドレスを応答することにより、アクセス規制対象サービスへのアクセスを遮断することを特徴とする。

上記システムは、さらに、アクセス規制メッセージを応答するＳｏｒｒｙサーバ装置を備え、
フィルタリング処理部は、遮断処理において、名前解決要求に対する応答として、Ｓｏｒｒｙサーバ装置のＩＰアドレスを、クライアント装置に応答し、クライアント装置に、Ｓｏｒｒｙサーバ装置との間で、ＴＣＰ接続の確立要求と、ＨＴＴＰ要求とを、行わせるように構成してもよい。

開示によれば、フィルタリング装置が、クライアントからのアクセスを遮断する場合であっても、その後の処理において、Ｗｅｂサーバ管理者にＤｏＳ攻撃と誤認識される可能性を低減することができる。

実施の形態１の、フィルタリングシステムの構成例を示す図である。実施の形態１の、フィルタリング装置２０の通信管理テーブルの構成例を示す図である。実施の形態１の、名前解決要求受信時の処理を例示するシーケンス図である。実施の形態１の、ＴＣＰ接続要求受信時の処理を例示するシーケンス図である。実施の形態１の、フィルタリング装置２０の中継処理を例示するフローチャートである。実施の形態１の、フィルタリング装置２０の透過転送処理（ＴＣＰ接続確立）を例示するシーケンス図である。実施の形態１の、フィルタリング装置２０のＨＴＴＰフィルタ処理を例示するシーケンス図である。実施の形態１の、フィルタリング装置２０の代理応答処理（みなしフィルタリング）を例示するシーケンス図である。実施の形態２の、フィルタリングシステムの構成例を示す図である。実施の形態２の、フィルタリング装置２０の通信管理テーブルの構成例を示す図である。実施の形態２の、フィルタリング装置２０のアクセス制御管理テーブルの構成例を示す図である実施の形態２の、名前解決要求受信時の処理を例示するシーケンス図である。実施の形態２の、フィルタリング装置２０のＨＴＴＰフィルタ処理を例示するシーケンス図である。実施の形態３の、名前解決要求受信時の処理を例示するシーケンス図である。各装置のハードウェア構成例を示す図である。

以下、本発明の実施の形態について、図面を用いて説明する。

なお、同じ番号が付与される要素、ステップがある場合は、それぞれ、同じ機能を備え、同じ処理内容を実施するものとする。

（実施の形態１）
図１は、本明細書で開示するフィルタリングシステム１の構成例を示すブロック図である。

フィルタリングシステム１は、フィルタリング装置２０、アクセス制御サーバ装置３０、認証サーバ装置４０を備える。

フィルタリングシステム１は、一つ以上のクライアント装置１０、Ｗｅｂサーバ装置５０、ＤＮＳサーバ装置６０と、それぞれＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）や無線ネットワークなどのネットワークを経由して通信が可能な状態にある。

クライアント装置１０は、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ）などのＴＣＰ／ＩＰ上のプロトコルを用いてＷｅｂサーバ装置５０に接続し、サービス要求を行う装置である。クライアント装置１０は、Ｗｅｂサーバ装置５０にアクセスする前に、ＤＮＳサーバ装置６０に対して、ＤＮＳプロトコルを用いて、Ｗｅｂサーバ装置５０の代表ドメイン名の名前解決要求を送信する。そして、その応答としてＷｅｂサーバ装置５０のＩＰアドレスを受信する。

Ｗｅｂサーバ装置５０は、クライアント装置１０に対し、Ｗｅｂサービスを提供するサーバプロセスが稼働する装置である。

ＤＮＳサーバ装置６０は、名前解決サービスを提供するサーバ装置である。

アクセス制御サーバ装置３０は、あるＵＲＬに対するアクセス制御情報要求を受信すると、ＵＲＬデータベースを検索し、そのＵＲＬがアクセス規制の対象かどうかを示すアクセス制御情報を応答するサーバ装置である。

認証サーバ装置４０は、ユーザを識別するための情報とともにユーザ認証要求を受信し、そのユーザがフィルタリングの対象ユーザかどうかを示すユーザ種別情報を応答するサーバ装置である。

ここで、ユーザを識別するための情報の例としては、ＩＰアドレスやユーザＩＤ情報などがある。

フィルタリング装置２０は、クライアント装置１０とＷｅｂサーバ装置５０間におけるＨＴＴＰ通信のフィルタリングを行う装置である。

クライアント装置１０、フィルタリング装置２０、アクセス制御サーバ装置３０、認証サーバ装置４０、Ｗｅｂサーバ装置５０、ＤＮＳサーバ装置６０などの各サーバ装置のハードウェア構成の例を図１５に示す。

これらのサーバ装置は、ＣＰＵ１００１、主記憶装置１００２、ＨＤＤ等の外部記憶装置１００５、ＣＤ-ＲＯＭやＤＶＤ-ＲＯＭ等の可搬性を有する記憶媒体１００８から情報を読み出す読取装置１００３、ディスプレイ、キーボードやマウスなどの入出力装置１００６、ネットワーク１０１０に接続するためのＮＩＣ（Network Interface Card）等の通信装置１００４、及びそれらの装置間を接続するバスなどの内部通信線１００７を備えた一般的なコンピュータ１０００により実現できる。例えば、後述の通信管理テーブル２２１は、主記憶装置１００２の一部の領域を用いて実現する。

また、各装置は、それぞれの外部記憶装置１００５に記憶されている各種プログラムを主記憶装置１００２にロードしてＣＰＵ１００１で実行し、通信装置１００４を用いてネットワーク１０１０に接続してクライアント装置１０や他サーバ装置とのネットワーク通信を行うことで、本実施例における各種処理部と、それらによる各種処理を実現する。

フィルタリング装置２０は、フィルタリング処理部２１と通信管理情報記憶部２２とを備える。通信管理情報記憶部２２は、通信管理テーブル２２１を備える。

フィルタリング処理部２１は、フィルタリング装置２０が行う全ての通信処理を制御する。

ここで図２を用いて、通信管理テーブル２２１の詳細について説明する。

実施の形態１における通信管理テーブル２２１（２２１Ａという）は、接続元ＩＰアドレスフィールド２２１１と、ユーザ種別フィールド２２１２と、接続先ＩＰアドレスフィールド２２１３と、アクセス制御情報フィールド２２１４と、規制カウンタ２２１５と、有効期限フィールド２２１６と、を備える。

接続元ＩＰアドレスフィールド２２１１は、接続元であるクライアント装置１０のＩＰアドレスを記憶する領域である。クライアント装置１０のＩＰアドレスは、クライアント装置１０からＷｅｂサーバ装置５０へのＴＣＰ接続開始時のＳＹＮパケットの送信元ＩＰアドレスヘッダより得る。

ユーザ種別フィールド２２１２は、クライアント装置１０がフィルタリング対象か非対象かを示すユーザ種別情報を記憶する領域である。ユーザ種別情報は、認証サーバ４０に問い合わせた結果より得る。

接続先ＩＰアドレスフィールド２２１３は、クライアント装置１０からＷｅｂサーバ装置５０への通信における、接続先であるＷｅｂサーバ装置５０側のＩＰアドレスを記憶する領域である。接続先ＩＰアドレスは、クライアント装置１０からＷｅｂサーバ装置５０へのＴＣＰ接続開始時のＳＹＮパケットの送信先ＩＰアドレスヘッダより得る。

アクセス制御情報フィールド２２１４は、接続先ＩＰアドレス２２１３の値が示すＷｅｂサーバ装置５０がアクセス規制対象かどうかを示す値（アクセス制御情報）を記憶する領域である。アクセス制御情報は、アクセス制御サーバ装置３０にアクセス制御情報要求を送信して、受信した応答結果より得る。

規制カウンタ２２１５は、接続先ＩＰアドレス２２１３の示すＷｅｂサーバ装置５０に対して送信したＨＴＴＰ要求のうち、所定時間内に宛先ＵＲＬが、アクセス制御サーバ装置３０から応答されたアクセス制御情報でアクセス規制対象となってアクセス規制を行った数を示すカウンタ領域である。フィルタリング処理部２１は、アクセス規制対象ＵＲＬへのＨＴＴＰ要求を受信する毎に規制カウンタ２２１５の値をカウントアップする。

有効期限フィールド２２１６は、通信管理テーブル２２１の各エントリの有効期限日時を記憶する領域である。接続元ＩＰアドレス及び／もしくは接続先ＩＰアドレスを検索キーワードとして検索して得たエントリの有効期限２２１６の値が現在日時より過去であれば、当該エントリは無効とし、規制カウンタ２２１５を０クリアする。そして、再度新しくエントリを作成するか、上書き登録する。

以下、図３ないし図８を用いて、実施の形態１でのフィルタリング装置２０におけるフィルタリング処理部２１でのフィルタリング方法について説明する。

図３は、名前解決要求受信時の処理を例示するシーケンス図である。

フィルタリング装置２０は、クライアント装置１０から名前解決要求を受信すると、通信プロトコルの判定処理を行う（ステップＳ１０１）。

例えば、パケットの宛先ポート番号をチェックし、５３番ポートであればＤＮＳプロトコルとして判定する。もしくは、８０番ポート以外であればＨＴＴＰ以外のプロトコルとして判定する。

以降は送信元ＩＰアドレス、送信元ポート番号、送信先ＩＰアドレス、送信先ポート番号の４つ組で通信を管理および識別する。一度プロトコルチェックを行った通信については、通信が完了するまでプロトコルチェックをスキップする。

そして、ＨＴＴＰ以外のプロトコルであれば、透過転送処理を行う（ステップＳ１０２）。

図４は、ＴＣＰ接続要求受信時の処理を例示するシーケンス図である。

フィルタリング装置２０は、クライアント装置１０からＳＹＮパケットを受信すると、プロトコルチェック処理を行う（ステップＳ１０１）。

ＨＴＴＰであると判定すると、ＳＹＮパケットの接続元ＩＰアドレスヘッダより得た接続元ＩＰアドレスを検索キーワードとして通信管理テーブル２２１Ａを検索する（ステップＳ２０２）。

エントリが存在し、かつ有効期限内であれば、中継処理（Ｓ２０６）に進み、そうでなければ、通信管理テーブル２２１Ａにエントリを作成し、ステップＳ２０２で得た接続元ＩＰアドレスを接続元ＩＰアドレスフィールド２２１１に、フィルタリング非対象を示すユーザ種別情報をユーザ種別フィールド２２１２に、ＳＹＮパケットの送信先ＩＰアドレスヘッダより得た接続先ＩＰアドレスを接続先ＩＰアドレスフィールド２２１３に、アクセス規制非対象を示すアクセス制御情報をアクセス制御情報フィールド２２１４に、０という値を規制カウンタ２２１５に、あらかじめフィルタリング装置２０に設定ファイルなどで設定した有効期間を現在日時に足した値を有効期限日時として有効期限フィールド２２１６に、それぞれ格納し、ステップＳ２０４に進む（ステップＳ２０３）。

ここで、エントリはあるが有効期限フィールド２２１６に記憶した値が有効期限切れであった場合は、有効期間を現在日時に足した値を有効期限日時として有効期限フィールド２２１６に更新したうえで、他のフィールド２２１１〜２２１５に上書きしても良い。そして、認証サーバ装置４０に、接続元ＩＰアドレス情報を付与してユーザ認証要求を送信する（ステップＳ２０４）。

認証サーバ装置４０から受信したユーザ認証応答よりユーザ種別情報を取得し、ステップＳ２０４で作成した通信管理テーブル２２１Ａのエントリのユーザ種別フィールド２２１２に記憶する（ステップＳ２０５）。

その後、中継処理（Ｓ２０６）に進む。

次に、図５を用いて、中継処理（ステップＳ２０６）の詳細について説明する。

まず、通信管理テーブル２２１Ａの該当エントリについて、ユーザ種別２２１２より、ユーザ種別情報を取得し（ステップＳ３０１）、ユーザ種別がフィルタリング対象かどうかをチェックする（ステップＳ３０２）。

フィルタリング対象でなければ、当該通信における通信データを透過転送する（ステップＳ３１０）。ここで、透過転送期間は、有効期限２２１６が示す日時までとしてよい。

また、フィルタリング対象であれば、接続先ＩＰアドレス２２１３の情報が、該当エントリに登録されているかチェックし（ステップＳ３０３）、なければ登録する（ステップＳ３０４）。

そして、アクセス制御情報２２１４が規制対象であるかをチェックする（ステップＳ３０５）。

規制対象以外であれば、または、規制対象か否かが記録されていなければ、透過転送処理（ＴＣＰ接続確立）（Ｓ３０９）に進む。

規制対象であれば、規制カウンタ２２１５の値を取得し（ステップＳ３０６）、あらかじめ登録済みの閾値超過チェックを行う（ステップＳ３０７）。ここで、閾値をフィルタリング装置２０の設定ファイルに記載しておき、フィルタリング装置２０起動時に設定ファイルから読み取り、メモリ１００２領域に記憶しておいても良い。

規制カウンタ２２１５の値が閾値を超過していれば、代理応答処理（みなしフィルタリング）（Ｓ３０８）に進む。

超過していなければ、透過転送処理（ＴＣＰ接続確立）（Ｓ３０９）に進む。

次に、図６を用いて、透過転送処理（ＴＣＰ接続確立）（ステップＳ３０９）の詳細について説明する。

まず、当該通信におけるクライアント装置１０とＷｅｂサーバ装置５０間でのＴＣＰ接続シーケンス（TCP 3way-handshake）については透過転送する（ステップＳ４０１）。

次にＨＴＴＰフィルタ処理（Ｓ４０２）を行い、最後にサーバ側ＴＣＰ接続を強制終了させるため、ＲＳＴパケットを送信する（ステップＳ４０３）。

次に、上記ＨＴＴＰフィルタ処理（Ｓ４０２）について、図７を用いて、実施の形態１におけるステップＳ４０２Ａ）の詳細を説明する。

ＨＴＴＰ要求を受信すると、リクエスト行に記載されているＵＲＬに関するアクセス制御情報を、アクセス制御サーバ装置３０に送信して問い合わせ、アクセス規制情報を取得する（ステップＳ５０１）。

そして、取得した情報を用いて、通信管理テーブル２２１Ａのアクセス制御情報フィールド２２１４を更新する（空欄の場合は、新規に登録する）（ステップＳ５０２）。

次に、アクセス規制情報を参照して、アクセス制御情報フィールド２２１４の値を、チェックし、アクセス規制対象かどうかを比較する（ステップＳ５０３）。

アクセス規制対象でなければ、当該ＨＴＴＰ要求をＷｅｂサーバ装置５０に送信し、Ｗｅｂサーバ装置５０からのＨＴＴＰ応答をクライアント装置１０に送信する（透過転送処理（ＨＴＴＰ通信））（ステップＳ５０４）。そして、次のＨＴＴＰ要求を受信すると、Ｓ５０１に戻って処理を継続する。

そして、クライアント装置１０もしくはＷｅｂサーバ装置５０からＴＣＰ切断要求を受信した場合、または、クライアント装置１０及びＷｅｂサーバ装置５０と無通信状態のまま一定時間が経過（タイムアウト）した場合は、ＴＣＰ切断ケースとみなし、クライアント装置１０及びＷｅｂサーバ装置の両方に対してＴＣＰ切断シーケンスを行う。そうでなければ、Ｓ５０１に戻って処理を継続する（ステップＳ５０５）。

アクセス規制対象であれば、通信管理テーブル２２１Ａの規制カウンタ２２１５の値をカウントアップし、当該ＵＲＬへのアクセスを規制した旨を表すアクセス規制メッセージを、ＨＴＴＰ応答としてクライアント装置１０に応答し、クライアント装置１０とのＴＣＰ切断を行う（代理応答処理（ＨＴＴＰエラー応答））（ステップＳ５０６）。

次に、図８を用いて、代理応答処理（みなしフィルタリング）（ステップＳ３０８）の詳細について説明する。

クライアント装置１０から受信したＴＣＰ接続のためのＳＹＮパケットに対して、自フィルタリング装置２０を終端とするＴＣＰ接続受付シーケンス（TCP 3way-handshake）を行い（ステップＳ６０１）、次に代理応答処理（ＨＴＴＰエラー応答）（Ｓ５０６）を行う。

以上のように、本実施の形態では、
通常時はＴＣＰ終端処理を行わず、受信パケットからＨＴＴＰアクセスの要求ラインにおけるＵＲＬを抽出し、ＵＲＬの通過／アクセス拒否判定を実施し、アクセス拒否の判定結果であった場合にＴＣＰ終端処理を実施する方式において、
アクセス規制対象データを提供するＷｅｂサーバへの頻繁なＴＣＰ接続を遮断できるようにしたため、
Ｗｅｂサーバ管理者にＤｏＳ攻撃と誤認識される危険性を回避することができる、という効果を有する。

（実施の形態２）
図９を用いて、本発明に関わるフィルタリングシステム１の実施の形態２について説明する。

本実施の形態では、フィルタリングシステム１は、実施の形態１の構成に加えて、更にアクセス制御情報記憶部２３を備える。

また、通信管理情報記憶部２２の備える通信管理テーブル２２１の構成に変更がある。

以下、図１０を用いて、実施の形態２における通信管理テーブル２２１（２２１Ｂという）の構成について説明する。

通信管理テーブル２２１Ｂは、接続元ＩＰアドレスフィールド２２１１と、ユーザ種別２２１２と、接続先情報２２１７と、規制カウンタ２２１５と、有効期限２２１６とを備える。接続元ＩＰアドレスフィールド２２１１と、ユーザ種別２２１２と、規制カウンタ２２１５と、有効期限２２１６については、実施の形態１と同じである。

接続先情報２２１７は、アクセス制御情報記憶部２３の備えるアクセス制御管理テーブル２３１のエントリ番号を記憶する領域である。

図１１を用いて、アクセス制御管理テーブル２３１について説明する。

アクセス制御管理テーブル２３１は、接続先Ｗｅｂサーバ装置５０に関する詳細な情報を管理する。

アクセス制御管理テーブル２３１は、宛先ホスト名フィールド２３１１と、複数のＩＰアドレスフィールド２３１２と、アクセス制御情報フィールド２３１３と、有効期限フィールド２３１４とを備える。

アクセス制御情報２３１３は、実施の形態１におけるアクセス制御情報２２１４と同じ情報を記憶する領域である。

次に、図１２を用いて、名前解決要求受信時の処理の詳細を説明する。

フィルタリング装置２０は、クライアント装置１０から名前解決要求を受信すると、通信プロトコルの判定処理を行う（Ｓ１０１）。

ここで、パケットの宛先ポート番号をチェックし、５３番ポートであればＤＮＳプロトコルとして判定する。

ＤＮＳプロトコルであれば、名前解決要求をＤＮＳサーバ装置６０に転送し、名前解決応答を受信する（ステップＳ７０１）。

そして、受信した名前解決応答のデータを解析し、名前解決対象のホスト名を宛先ホスト名フィールド２３１１に、ＩＰアドレス情報をＩＰアドレスフィールド２３１２に登録し、有効期限２３１４の日時を更新する（ステップＳ７０２）。名前解決応答で未登録のＩＰアドレスがＤＮＳサーバ装置６０から応答された場合は、新たなＩＰアドレスフィールド２３１２を追加し、複数のＩＰアドレスを登録する。

そして、名前解決応答をクライアント装置１０に転送する（ステップＳ７０３）。

また、図５の中継処理（Ｓ２０６）でのＳ３０５の処理においては、宛先ＩＰアドレスを検索キーワードとして、アクセス制御管理テーブル２３１のＩＰアドレスフィールド２３１２に対して検索を行い、マッチしたエントリのアクセス制御情報２３１３を用いて、規制対象かどうかを判定する。ここで、１つのエントリの複数のＩＰアドレスフィールド２３１２にＩＰアドレスの登録がある場合は、すべてのＩＰアドレスフィールド２３１２について検索を行う。

次に、図１３を用いて、実施の形態２におけるＨＴＴＰフィルタ処理を説明する。

ＨＴＴＰ要求を受信すると、アクセス規制情報を取得する（Ｓ５０１）。

そして、取得した情報を用いて、アクセス制御情報管理テーブル２３１のアクセス制御情報フィールド２３１３を更新する（ステップＳ８０１）。

そして、通信管理テーブル２２１Ｂの接続先情報２２１７に、Ｓ８０１で更新したエントリのエントリＩＤを記憶する（ステップＳ８０２）。

次に、アクセス制御情報フィールド２３１３の値をチェックし、アクセス規制対象かどうかを比較する（ステップＳ８０３）。

アクセス規制情報より、当該ＵＲＬがアクセス規制対象でなければ、当該ＨＴＴＰ要求をＷｅｂサーバ装置５０に送信し、Ｗｅｂサーバ装置５０からのＨＴＴＰ応答をクライアント装置１０に送信する（透過転送処理（ＨＴＴＰ通信））（ステップＳ５０４）。そして、次のＨＴＴＰ要求を受信すると、Ｓ５０１に戻って処理を継続する。

アクセス規制対象であれば、通信管理テーブル２２１Ｂの規制カウンタ２２１５の値をカウントアップし、当該ＵＲＬへのアクセスを規制した旨を表すアクセス規制メッセージを、ＨＴＴＰ応答としてクライアント装置１０に応答し、クライアント装置１０とのＴＣＰ切断を行う（代理応答処理（ＨＴＴＰエラー応答））（ステップＳ５０６）。

以上のように、本実施の形態では、
ある同一のアクセス規制対象データを提供するＷｅｂサーバ装置５０が複数存在している場合に、当該Ｗｅｂサーバ装置５０群のアクセス規制対象データへのアクセスを同一のものとして扱い、当該Ｗｅｂサーバ装置５０群へのＴＣＰ接続の遮断を行うことができるという効果を有する。

（実施の形態３）
図９および図１４を用いて、本発明に関わるフィルタリングシステム１の実施の形態３について説明する。

図９において、本実施の形態では、フィルタリングシステム１は、実施の形態２の構成に加えて、Ｓｏｒｒｙサーバアドレス記憶部２４と、Ｓｏｒｒｙサーバ装置７０と、を備える。

Ｓｏｒｒｙサーバ装置７０は、クライアント装置１０からＨＴＴＰアクセスを受信すると、常に、当該アクセス先へのアクセスを規制している旨をユーザに知らせるアクセス規制メッセージを応答するサーバ装置である。前述のアクセス規制メッセージは、例えば、「当該Ｗｅｂサイトへのアクセスは規制されています。」というような文言である。

Ｓｏｒｒｙサーバアドレス記憶部２４は、Ｓｏｒｒｙサーバ装置７０のＩＰアドレスを記憶する領域である。ここで、ＳｏｒｒｙサーバのＩＰアドレスを、フィルタリング装置２０の設定ファイルに記載しておき、フィルタリング装置２０起動時に設定ファイルから読み取り、Ｓｏｒｒｙサーバアドレス記憶部２４に記憶しても良い。

図１４を用いて、実施の形態３における、名前解決要求受信時の処理を説明する。

ＤＮＳプロトコルであれば、名前解決対象のホスト名を検索キーワードとして、アクセス制御管理テーブル２３１の宛先ホスト名フィールド２３１１を検索する（ステップＳ９０１）。

検索して得られたエントリのアクセス制御情報２３１３が規制対象であり、かつ、名前解決要求の送信元ＩＰアドレスを検索キーワードとして通信管理テーブル２２１Ｂの接続元ＩＰアドレスフィールド２２１１を検索し、得られたエントリのユーザ種別２２１２がフィルタ対象であるかを判定する（ステップＳ９０２）。

条件を満たしていれば、Ｓｏｒｒｙサーバアドレス記憶部２４に記憶しているＳｏｒｒｙサーバのＩＰアドレスを、名前解決応答としてクライアント装置１０に応答する（ステップＳ９０３）。

以上のように、本実施の形態によれば、クライアント装置１０はＳｏｒｒｙサーバ装置７０と直接ＨＴＴＰ通信を行い、アクセス規制メッセージを受信することになるため、フィルタリング装置２０へのトラフィックを削減することができる、という効果を有する。

なお、本発明は、上記実施形態に限定されず、種々の変形や応用が可能である。

１：フィルタリングシステム
１０：クライアント装置
２０：フィルタリング装置
２１：フィルタリング処理部
２２：通信管理情報記憶部
２３：アクセス制御情報記憶部
２４：Ｓｏｒｒｙサーバアドレス記憶部
３０：アクセス制御サーバ装置
４０：認証サーバ装置
５０：Ｗｅｂサーバ装置
６０：ＤＮＳサーバ装置
７０：Ｓｏｒｒｙサーバ装置
２２１：通信管理テーブル
２３１：アクセス制御管理テーブル
１０００：コンピュータ
１００１：ＣＰＵ
１００２：主記憶装置
１００３：読取装置
１００４：通信装置
１００５：外部記憶装置
１００６：入出力装置
１００７：内部バス
１００８：可搬記憶媒体
１０１０：ネットワーク

Claims

クライアント装置とサービスサーバ装置との間で確立されたＴＣＰ接続、並びに、前記ＴＣＰ接続を利用して送受信される、ＨＴＴＰ要求及びＨＴＴＰ応答、を中継する機能と、前記クライアント装置から前記サービスサーバ装置が提供するアクセス規制対象サービスへのアクセスを遮断する機能と、を備えるフィルタリング装置であって、
検知処理と遮断処理を行うフィルタリング処理部を備え、
前記検知処理は、同一の前記クライアント装置から、前記サービスサーバ装置が提供する同一の前記アクセス規制対象サービスへの頻繁なＨＴＴＰアクセスを、前記ＨＴＴＰアクセスが利用するＴＣＰ接続の確立要求により検知する処理であり、
前記遮断処理は、前記検知処理によって前記頻繁なＨＴＴＰアクセスが利用するＴＣＰ接続の確立要求が検知されると、前記ＴＣＰ接続の確立要求を前記サービスサーバ装置へ転送せずに、当該フィルタリング装置を終端とする前記ＴＣＰ接続の、確立と遮断とを行う処理である
ことを特徴とするフィルタリング装置。
請求項１に記載のフィルタリング装置であって、
前記フィルタリング処理部は、
前記遮断処理において、
確立した前記ＴＣＰ接続を利用した前記クライアント装置からのＨＴＴＰ要求を受信したら、アクセス規制メッセージを前記クライアント装置へ送信し、前記ＴＣＰ接続を遮断する
ことを特徴とするフィルタリング装置。
請求項１または２に記載のフィルタリング装置であって、
前記フィルタリング処理部は、
前記検知処理において、
前記ＴＣＰ接続の確立要求が、前記アクセス規制対象サービスへの頻繁なＨＴＴＰアクセスが利用するＴＣＰ接続の確立要求ではない、と判断された場合、前記ＴＣＰ接続の確立要求を前記サービスサーバ装置へ転送し、要求されたＴＣＰ接続の確立を可能にし、
確立した前記ＴＣＰ接続を利用するＨＴＴＰ要求が、前記アクセス規制対象サービスへのＨＴＴＰ要求であれば、前記頻繁なアクセスとなるか否かを判断するために、前記ＨＴＴＰ要求数をカウントアップする
ことを特徴とするフィルタリング装置。
請求項１から３のいずれか一に記載のフィルタリング装置であって、
前記フィルタリング処理部は、
前記クライアント装置の接続元ＩＰアドレスと、前記サービスサーバ装置が提供するサービスへの接続先ＩＰアドレスと、前記接続先ＩＰアドレスへのアクセスにより提供される前記サービスが、前記クライアント装置のユーザによるアクセスの規制対象か否かを示す情報と、を対応付けて管理する
ことを特徴とするフィルタリング装置。
請求項４に記載のフィルタリング装置において、
前記フィルタリング処理部は、
前記検知処理において、
前記クライアント装置から受信した名前解決要求を名前解決サーバに転送し、前記名前解決サーバから名前解決応答を受信し、
受信する前記名前解決応答に含まれる接続先ＩＰアドレスを、前記管理される前記接続先ＩＰアドレスとし、前記名前解決要求に含まれるホスト名と対応付けて、管理する
ことを特徴とするフィルタリング装置。
請求項５に記載のフィルタリング装置において、
前記フィルタリング処理部は、
前記検知処理において、
前記管理される一つの前記ホスト名と、前記名前解決サーバから受信する名前解決応答に含まれる複数の接続先ＩＰアドレスとを対応付けて管理する
ことを特徴とするフィルタリング装置。
請求項１から６のいずれか一に記載のフィルタリング装置であって、
前記フィルタリング処理部は、
前記検知処理において、
前記クライアント装置および前記サービスサーバ装置を識別し、
前記クライアント装置の接続元ＩＰアドレスから前記アクセス規制対象サービスへの、一定時間内のＨＴＴＰ要求数をカウンタ値として保持し、
前記カウンタ値がある閾値を超過すると、前記頻繁なアクセスが発生したとみなす
ことを特徴とするフィルタリング装置。
請求項１に記載のフィルタリング装置であって、
前記クライアント装置の接続元ＩＰアドレスと、前記クライアント装置から受信する名前解決要求に含まれるホスト名と、名前解決サーバから受信する名前解決応答に含まれる接続先ＩＰアドレスと、前記接続先ＩＰアドレスへのアクセスにより提供される前記サービスが、前記クライアント装置のユーザによるアクセスの規制対象か否かを示す情報と、を対応付けて管理し、
前記検知処理において、前記クライアント装置からの、前記サービスサーバ装置の名前解決要求を検知すると、
前記遮断処理において、前記名前解決要求に対する応答として、前記サービスサーバ装置とは異なる他のサーバ装置のＩＰアドレスを応答することにより、前記アクセス規制対象サービスへのアクセスを遮断する
ことを特徴とするフィルタリング装置。
請求項８に記載のフィルタリング装置であって、
前記フィルタリング処理部は、
前記遮断処理において、
前記名前解決要求に対する応答として、アクセス規制メッセージを応答するＳｏｒｒｙサーバ装置のＩＰアドレスを、前記クライアント装置に応答し、
前記クライアント装置に、前記Ｓｏｒｒｙサーバ装置との間で、前記ＴＣＰ接続の確立要求と、ＨＴＴＰ要求とを、行わせる
ことを特徴とするフィルタリング装置。