JP2020047176A - Packet relay device, packet relay control method, and packet relay control program - Google Patents

Packet relay device, packet relay control method, and packet relay control program Download PDF

Info

Publication number
JP2020047176A
JP2020047176A JP2018177087A JP2018177087A JP2020047176A JP 2020047176 A JP2020047176 A JP 2020047176A JP 2018177087 A JP2018177087 A JP 2018177087A JP 2018177087 A JP2018177087 A JP 2018177087A JP 2020047176 A JP2020047176 A JP 2020047176A
Authority
JP
Japan
Prior art keywords
file
response
http
received
determination
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2018177087A
Other languages
Japanese (ja)
Other versions
JP6693659B2 (en
Inventor
一成 今原
Kazunari Imahara
一成 今原
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Platforms Ltd
Original Assignee
NEC Platforms Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Platforms Ltd filed Critical NEC Platforms Ltd
Priority to JP2018177087A priority Critical patent/JP6693659B2/en
Publication of JP2020047176A publication Critical patent/JP2020047176A/en
Application granted granted Critical
Publication of JP6693659B2 publication Critical patent/JP6693659B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Abstract

To provide a packet relay device configured to reduce processing load when a terminal acquires a file from a web server on the Internet.SOLUTION: When a storage file presence determination unit 30 determines that a value of a part of a header part of HTTP 200 OK response (hereinafter referred to as "response") has been already registered on an access history information table 10 of a storage unit 106, and when a file update determination unit 40 determines that the value of a part of the header part of the response received from a web server 122 is the same as a past value registered on the access history information table 10, a packet relay device prevents an inquiry to a determination server 123 for safety on a file included in the received response, and prevents the file from being stored in a file storage unit 20. In accordance with a determination result of the determination server 123 indicating registration on the access history information table 10, the contents of the file included in the response is rewritten and transmitted to a terminal.SELECTED DRAWING: Figure 1

Description

本発明は、パケット中継装置、パケット中継制御方法およびパケット中継制御プログラムに関し、特に、パケット中継装置に接続された端末がウェブサーバ上のファイルを取得する際のパケット中継装置における処理負荷の軽減を図るパケット中継装置、パケット中継制御方法およびパケット中継制御プログラムに関する。   The present invention relates to a packet relay device, a packet relay control method, and a packet relay control program, and more particularly to reducing a processing load on a packet relay device when a terminal connected to the packet relay device acquires a file on a web server. The present invention relates to a packet relay device, a packet relay control method, and a packet relay control program.

ノートＰＣ（Personal Computer）やタブレット、スマートフォン等の端末が一般的なウェブブラウザを使用してインターネット上の任意のウェブサーバにあるファイルを取得する際には、取得したファイルを端末内にキャッシュとして保存している。   When a terminal such as a notebook PC (Personal Computer), tablet, or smartphone acquires a file from an arbitrary web server on the Internet using a general web browser, the acquired file is stored as a cache in the terminal. doing.

したがって、該端末の使用者が、再度、同一ファイルを取得する操作をしたとき、その端末やウェブサーバは、次のような動作を行う。すなわち、端末は、ファイルを取得しようとする際に、ウェブブラウザが「If-Modified-Since」というフィールドや「If-None-Match」といったフィールドを、「ＨＴＴＰ ＧＥＴリクエスト」のヘッダ部に追加して、ウェブサーバに対して送信する。この「ＨＴＴＰ ＧＥＴリクエスト」のヘッダ部は、ＨＴＴＰ（Hypertext Transfer Protocol）パケットである。ウェブサーバは、これらフィールドに基づき、該端末内のキャッシュに保存されているファイルが、ウェブサーバ上のファイルと同一であるか否かの確認動作を行う。   Therefore, when the user of the terminal performs the operation of acquiring the same file again, the terminal or the web server performs the following operation. That is, when the terminal attempts to acquire a file, the web browser adds a field such as “If-Modified-Since” or a field such as “If-None-Match” to the header part of the “HTTP GET request”. To the web server. The header part of the “HTTP GET request” is an HTTP (Hypertext Transfer Protocol) packet. Based on these fields, the web server performs an operation of checking whether the file stored in the cache in the terminal is the same as the file on the web server.

そして、該端末内のキャッシュに保存されているファイルが、ウェブサーバ上のファイルと同一である場合には、インターネットのウェブサーバからは取得要求があったファイルを該端末に対して送信しないように制御している。つまり、ウェブサーバによりファイルが同一であると判断された場合には、ウェブサーバからは、ステータスコトードが‘３０４’の「ＨＴＴＰ ３０４ Not Modifiedレスポンス」が該端末に返送される。ステータスコトード‘３０４’はファイルが更新されていないことを意味する。この「ＨＴＴＰ ３０４ Not Modifiedレスポンス」には、ヘッダフィールドのみ含まれていて、取得要求の対象になっているファイル自体は含まれていない。   If the file stored in the cache in the terminal is the same as the file on the web server, the file requested to be obtained from the web server on the Internet should not be transmitted to the terminal. Controlling. That is, when the web server determines that the files are the same, the web server returns an “HTTP 304 Not Modified response” with a status code of “304” to the terminal. The status code "304" means that the file has not been updated. This “HTTP 304 Not Modified response” includes only the header field, and does not include the file itself that is the target of the acquisition request.

一方、ウェブサーバにより、該端末内のキャッシュに保存されているファイルと当該ウェブサーバ上のファイルとが同一ではないと判断された場合は、ウェブサーバからは、ステータスコードが‘２００’のレスポンス「ＨＴＴＰ ２００ ＯＫレスポンス」が該端末に返送される。この「ＨＴＴＰ ２００ ＯＫレスポンス」には、ヘッダフィールドのみならず、取得要求の対象になっているファイル自体も含まれている。   On the other hand, if the web server determines that the file stored in the cache in the terminal and the file on the web server are not the same, the web server sends a response “200” with the status code “200”. An “HTTP 200 OK response” is returned to the terminal. This “HTTP 200 OK response” includes not only the header field but also the file itself that is the target of the acquisition request.

ここで、ウェブブラウザのキャッシュは、端末ごとに固有に備えているものである。したがって、例えば、同一のパケット中継装置を介してインターネットにアクセスする端末として複数の端末が存在しているような場合において、複数の端末が、同一のウェブサーバ上の同一のファイルを取得しようとする場合には、各端末それぞれが、該ウェブササーバから同一のファイルを受信してキャッシュとして保存する処理が必要になる。このような場合には、ウェブサーバ側の処理負荷が増大してしまうという問題がある。   Here, the cache of the web browser is provided uniquely for each terminal. Therefore, for example, when there are a plurality of terminals as terminals accessing the Internet via the same packet relay device, the plurality of terminals try to acquire the same file on the same web server In such a case, it is necessary for each terminal to receive the same file from the web server and store it as a cache. In such a case, there is a problem that the processing load on the web server increases.

そこで、特許文献１の特開２００６−３４３８５５号公報「コンテンツ中継装置およびコンテンツ中継方法」に記載されているような対策が提案されている。該特許文献１に記載の技術においては、端末とウェブサーバとの間のパケットを中継するパケット中継装置に、ウェブサーバからのファイルをキャッシュとして保存するコンテンツ格納部を備える。パケット中継装置は、ウェブサーバから「ＨＴＴＰ ２００ ＯＫレスポンス」として受け取った最初のファイルを、要求元の端末に転送するとともに、パケット中継装置内の前記コンテンツ格納部にもキャッシュとして保存しておく。そして、パケット中継装置は、当該パケット中継装置に接続されている１ないし複数の端末のうち、いずれかの端末から同一ウェブサーバの同一ファイルに関する第２回目以降の取得要求を受信したか否かを監視し、第２回目以降のファイル取得要求を端末から受け取った場合には、ウェブサーバに対して取得要求を送信することなく、コンテンツ格納部に保存しているファイルを、要求元の端末に対して返送する。而して、ウェブサーバ側の処理負荷を低減させることができる。   Therefore, a countermeasure as described in Japanese Patent Application Laid-Open No. 2006-343855, “Content Relay Device and Content Relay Method” has been proposed. In the technology described in Patent Literature 1, a packet relay device that relays a packet between a terminal and a web server includes a content storage unit that stores a file from the web server as a cache. The packet relay device transfers the first file received as the “HTTP 200 OK response” from the web server to the requesting terminal, and also stores it as a cache in the content storage unit in the packet relay device. Then, the packet relay device determines whether a second or subsequent acquisition request for the same file of the same web server has been received from any one of the one or more terminals connected to the packet relay device. Monitoring, when the second or subsequent file acquisition request is received from the terminal, the file stored in the content storage unit is transmitted to the requesting terminal without transmitting the acquisition request to the web server. And send it back. Thus, the processing load on the web server side can be reduced.

また、ウェブサーバから各種のファイルを取得して商取引上の情報交換を行う企業業務サービスや商品の購入・電子決済を行うオンラインショッピングサービス等のサービス形態が近年一般化している。このサービス形態では、端末は、パケット中継装置を介してインターネット上に接続されているウェブサーバにアクセスする。しかしながら、このような企業業務サービスやオンラインショッピングサービス等においては、例えば正しい商品が表示されていないというように、正しい情報が送受信されなかったり、ウィルスを含む情報をダウンロードしてしまったり、口座番号、カード番号等の個人情報が不正に盗まれてしまったりするという、悪意があるウィルスやフィッシング詐欺等のマルウェアにアクセスしてしまうセキュリティ上の危険がある。   In recent years, service forms such as an enterprise business service for acquiring various files from a web server and exchanging information in a commercial transaction and an online shopping service for purchasing and electronic payment of a product have become popular in recent years. In this service mode, a terminal accesses a web server connected to the Internet via a packet relay device. However, in such corporate business services and online shopping services, for example, correct information is not transmitted and received, such as incorrect products being displayed, information containing viruses is downloaded, account numbers, There is a security risk of accessing malware such as malicious viruses and phishing scams, such as personal information such as card numbers being stolen illegally.

かかる危険を回避するために、現状の技術として、インターネット上にある各ウェブサーバのファイルがセキュリティ上安全なファイルであるか否かを判定する機能を有する判定サーバをインターネット上に配置する形態が提案されている。前述のように、端末は、パケット中継装置を介して「ＨＴＴＰ ＧＥＴリクエスト」を送信して、該ファイルを含む「ＨＴＴＰ ２００ ＯＫレスポンス」をウェブサーバから受け取る。「ＨＴＴＰ ＧＥＴリクエスト」は、インターネット上のウェブサーバからファイルを取得するための送信されるリクエストである。パケット中継装置は、該「ＨＴＴＰ ＧＥＴリクエスト」および「ＨＴＴＰ ２００ ＯＫレスポンス」の中継をしている。そして、このパケット中継装置は、まず、インターネット上の判定サーバにアクセスする。パケット中継装置は、該判定サーバから、端末が取得しようとしているウェブサーバのファイルが安全なファイルであることを示す情報を受け取った際に、該ファイルを含む「ＨＴＴＰ ２００ ＯＫレスポンス」を要求元の端末に返送する。   In order to avoid such danger, as a current technology, a form in which a determination server having a function of determining whether or not a file of each web server on the Internet is a file safe for security is proposed on the Internet is proposed. Have been. As described above, the terminal transmits the “HTTP GET request” via the packet relay device and receives the “HTTP 200 OK response” including the file from the web server. The “HTTP GET request” is a request transmitted to obtain a file from a web server on the Internet. The packet relay device relays the “HTTP GET request” and the “HTTP 200 OK response”. Then, the packet relay device first accesses a determination server on the Internet. When the packet relay device receives, from the determination server, information indicating that the file of the web server that the terminal is trying to acquire is a secure file, the packet relay device transmits an “HTTP 200 OK response” including the file to the request source. Return to terminal.

また、同様の危険回避対策として、フィッシング詐欺に関する回避対策も提案されている。例えば、特許文献２の特開２００８−２４２６７２号公報「ウェブページ真偽確認装置、ウェブページ真偽確認方法およびプログラム」には、フィッシング詐欺を回避する技術が記載されている。該特許文献２に記載の技術においては、ウェブサーバのウェブページに含まれている情報に基づいて、当該ウェブサーバが真のサーバか偽のサーバかを判別する判定サーバをインターネット上に備える。そして、端末から、ウェブサーバにあるウェブページの取得要求があった際に、中継装置であるパケット中継装置は、まず、判定サーバにアクセスして、当該ウェブサーバの真偽を判定した結果を、該判定サーバから要求元の端末側に返送する。なお、真偽を判定する方法としては、ウェブサーバのウェブページに電子透かし情報をあらかじめ埋め込んでおくことが提案されている。   Also, as a similar risk avoidance measure, a measure to avoid phishing scams has been proposed. For example, Japanese Unexamined Patent Application Publication No. 2008-242672 of Patent Document 2 entitled "Web Page Authenticity Confirmation Device, Web Page Authenticity Confirmation Method and Program" describes a technique for avoiding phishing fraud. In the technology described in Patent Document 2, a determination server that determines whether the web server is a true server or a fake server is provided on the Internet based on information included in a web page of the web server. Then, when the terminal requests the acquisition of the web page in the web server, the packet relay device, which is the relay device, first accesses the determination server, and determines the result of the authenticity of the web server, The judgment server returns the request to the requesting terminal. As a method of determining the authenticity, it has been proposed to embed digital watermark information in advance in a web page of a web server.

特開２００６−３４３８５５号公報JP 2006-343855 A 特開２００８−２４２６７２号公報JP 2008-242672 A

前述したように、現状では、ノートＰＣ、タブレット、スマートフォン等の端末がウェブブラウザを使用して、インターネットのウェブサーバからファイルを取得する際に、同一のファイルを既に取得済みである場合には、ウェブブラウザのキャッシュとして、端末側に保存しておく。この仕組みにより、インターネットへのアクセスを行うことなく、キャッシュに取得済みの該ファイルを取り出すことができる。   As described above, at present, when a terminal such as a notebook PC, a tablet, or a smartphone obtains a file from a web server on the Internet using a web browser, if the same file has already been obtained, Save it on the terminal side as a web browser cache. With this mechanism, the file that has been acquired in the cache can be extracted without accessing the Internet.

しかし、前述したように、ウェブブラウザのキャッシュは、端末ごとに固有に備えているものであり、例えば、同一のパケット中継装置を介してインターネットにアクセスする端末として複数の端末が存在しているような場合には、次のような問題が発生する。すなわち、パケット中継装置配下の複数の端末それぞれが、同一のウェブサーバ上の同一のファイルを取得しようとする場合には、各端末それぞれが、該ウェブササーバから同一のファイルを受信してキャッシュとして保存する処理が必要になる。この結果、パケット中継装置の処理負荷のみならずウェブサーバ側の処理負荷も増大してしまうという問題がある。   However, as described above, the cache of the web browser is uniquely provided for each terminal. For example, there are a plurality of terminals as terminals accessing the Internet via the same packet relay device. In such a case, the following problem occurs. That is, when each of a plurality of terminals under the packet relay device tries to acquire the same file on the same web server, each terminal receives the same file from the web server and stores it as a cache. Processing is required. As a result, there is a problem that not only the processing load on the packet relay device but also the processing load on the web server side increases.

さらには、パケット中継装置が、ウェブサーバのファイルが安全なファイルであるか否かをインターネット上の判定サーバに問い合わせを行うような場合には、次のような課題がある。それは、パケット中継装置が、配下の各端末それぞれに関して、各端末それぞれから該ファイルの取得要求用の「ＨＴＴＰ ＧＥＴリクエスト」を受け取る都度、パケット中継装置は、該ファイルに関して安全なファイルであるか否かを、判定サーバに対して問い合わせを行うことが必要になる。この問合せは、たとえ、ウェブサーバに対して取得要求を行うファイルが同一のファイルであったとしても、必要となる。   Further, when the packet relay device inquires the determination server on the Internet whether or not the file of the web server is a secure file, there is the following problem. That is, each time the packet relay apparatus receives an "HTTP GET request" for a request to acquire the file from each terminal for each of the subordinate terminals, the packet relay apparatus determines whether the file is a secure file. Must be inquired to the determination server. This inquiry is required even if the files that make an acquisition request to the web server are the same file.

ここで、パケット中継装置から判定サーバへの問い合わせ回数を低減するために、判定サーバに対する問い合わせを次のように制御するという対策も考えられる。この対策では、パケット中継装置が、端末から「ＨＴＴＰ ＧＥＴリクエスト」を受け取る都度ではなく、受け取った「ＨＴＴＰ ＧＥＴリクエスト」をウェブサーバに送信した結果として、該ウェブサーバから、当該ウェブサーバ上のファイルが要求元の端末にキャッシュされているファイルの内容からは更新されていない旨を示すヘッダ部のみの「ＨＴＴＰ ３０４ Not Modifiedレスポンス」を受け取った場合には、パケット中継装置は、判定サーバに対する問い合わせを行わないようにする。一方、パケット中継装置が、ウェブサーバからヘッダ部のみならずファイルも含む「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取った場合には、判定サーバに対する問い合わせを行うという制御をする。この対策により、パケット中継装置から判定サーバへの問い合わせ回数を低減することが可能である。   Here, in order to reduce the number of inquiries from the packet relay device to the determination server, a countermeasure for controlling the inquiry to the determination server as follows may be considered. In this countermeasure, the packet relay device transmits the received “HTTP GET request” to the web server as a result of transmitting the received “HTTP GET request” to the web server instead of receiving the “HTTP GET request” from the terminal. When the packet relay device receives an “HTTP 304 Not Modified response” of only the header indicating that the file has not been updated from the content of the file cached in the requesting terminal, the packet relay device makes an inquiry to the determination server. Not to be. On the other hand, when the packet relay device receives the “HTTP 200 OK response” including not only the header portion but also the file from the web server, it performs control to make an inquiry to the determination server. With this measure, it is possible to reduce the number of inquiries from the packet relay device to the determination server.

しかし、ウェブブラウザのキャッシュは、前述したように、各端末ごとに固有に備えている。そこで、パケット中継装置の配下に接続されている端末が複数であり、各端末それぞれが、ウェブサーバ上の同一ファイルを取得しようとする場合には、各端末それぞれが、ウェブサーバから該ファイルを受信することが必要である。このとき、パケット中継装置は、ウェブサーバから各端末それぞれに対する「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度、判定サーバへの問い合わせを行うことが必要である。この結果、パケット中継装置の処理負荷のみならず判定サーバ側の処理負荷も増大してしまうという課題を解消することができない。   However, the cache of the web browser is provided uniquely for each terminal as described above. Therefore, when there are a plurality of terminals connected under the packet relay device and each terminal tries to acquire the same file on the web server, each terminal receives the file from the web server. It is necessary to. At this time, each time the packet relay device receives the “HTTP 200 OK response” for each terminal from the web server, it is necessary to make an inquiry to the determination server. As a result, the problem that not only the processing load on the packet relay device but also the processing load on the determination server side increases cannot be solved.

（本開示の目的）
本開示の目的は、かかる課題に鑑み、端末がインターネット上のウェブサーバからファイルを取得し、該端末と該ウェブサーバとの間を接続する際の処理負荷を軽減することが可能なパケット中継装置、パケット中継制御方法およびパケット中継制御プログラムを提供することである。 (Purpose of this disclosure)
An object of the present disclosure is to provide a packet relay device capable of reducing a processing load when a terminal acquires a file from a web server on the Internet and connects the terminal with the web server in view of the problem. , A packet relay control method and a packet relay control program.

前述の課題を解決するため、本発明によるパケット中継装置、パケット中継制御方法およびパケット中継制御プログラムは、主に、次のような特徴的な構成を採用している。   In order to solve the above problems, a packet relay device, a packet relay control method, and a packet relay control program according to the present invention mainly employ the following characteristic configurations.

（１）本発明によるパケット中継装置は、
端末とインターネット上のウェブサーバとの間のパケットの中継を行い、
前記端末から受け取った、インターネット上の前記ウェブサーバのファイルを取得要求するための「ＨＴＴＰ ＧＥＴリクエスト」をインターネットに向けて送信した後、当該ウェブサーバから何らかのパケットが返送されてきた際に、該パケットを分析して、該パケットが、前記端末から取得要求されたファイルを含む「ＨＴＴＰ ２００ ＯＫレスポンス」のパケットであることを検知するパケット分析部と、
前記ウェブサーバから受け取った該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを保存するファイル格納部と、該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを特定するための情報として設定されている該「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値を抽出して、抽出した前記一部の値を、前記ファイル格納部に保存した該ファイルを特定するための情報として前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて、過去に受け取って前記ファイル格納部に保存したファイルの履歴情報として設定登録するアクセス履歴情報テーブルと、を備えた記憶部と、
前記アクセス履歴情報テーブルに前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値が、過去に受け取って前記ファイル格納部に保存した前記ファイルを特定するための情報として、設定登録されているか否かを判別する保存ファイル有無判定部と、
前記ウェブサーバから前記「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値と、過去に受け取って前記ファイル格納部に保存したファイルを特定するための情報として前記アクセス履歴情報テーブルに設定登録されている前記一部の値とを比較して、同一の値であるか否かを判定するファイル更新判定部と、
前記ウェブサーバから前記「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、セキュリティ上安全なファイルであるかあるいは危険なファイルであるかを判定する機能を有するインターネット上の判定サーバに対して問い合わせを行い、該判定サーバからの応答として該ファイルのセキュリティ上の安全性に関する判定結果を取得するファイル安全性判定部と、
前記判定サーバからの応答として得られた前記判定結果と、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部から抽出した前記一部の値とを、前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて、前記アクセス履歴情報テーブルに設定登録するアクセス履歴情報テーブル設定登録部と、
今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを、前記ファイル格納部に保存するファイル保存部と、
前記判定サーバからの応答として得られた前記判定結果に応じて、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えて、前記「ＨＴＴＰ ＧＥＴリクエスト」の送信元の前記端末に対して送信するレスポンス送信部と、
を有することを特徴とする。 (1) The packet relay device according to the present invention comprises:
Relays packets between the terminal and a web server on the Internet,
After transmitting an "HTTP GET request" for requesting acquisition of the file of the web server on the Internet received from the terminal to the Internet, when any packet is returned from the web server, the packet A packet analysis unit that detects that the packet is a “HTTP 200 OK response” packet including the file requested to be obtained from the terminal;
A file storage unit that stores the file included in the “HTTP 200 OK response” received from the web server, and is set as information for specifying the file included in the “HTTP 200 OK response”. Extracting a part of the value specified in advance in the header part of the “HTTP 200 OK response”, and using the extracted part of the value as information for specifying the file stored in the file storage unit. An access history information table for setting and registering as history information of a file previously received and stored in the file storage unit, in association with information specifying the file of the web server obtained and requested by the “HTTP GET request”. Storage unit,
Whether the partial value of the header part of the “HTTP 200 OK response” is set and registered in the access history information table as information for specifying the file previously received and stored in the file storage unit A storage file presence / absence determination unit for determining whether or not
Each time the “HTTP 200 OK response” is received from the web server, the partial value of the header part of the “HTTP 200 OK response” received this time and the file received in the past and stored in the file storage part are specified. A file update determining unit that compares the partial value set and registered in the access history information table as information for determining whether or not the value is the same;
Each time the “HTTP 200 OK response” is received from the web server, it is determined whether the file included in the “HTTP 200 OK response” received this time is a security-safe file or a dangerous file. A file security determination unit that makes an inquiry to a determination server on the Internet having a function and obtains a determination result regarding security security of the file as a response from the determination server;
The request for obtaining the determination result obtained as a response from the determination server and the partial value extracted from the header part of the “HTTP 200 OK response” received this time by the “HTTP GET request” An access history information table setting registration unit for setting and registering in the access history information table in association with information specifying a file of the web server;
A file storage unit for storing the file included in the “HTTP 200 OK response” received this time in the file storage unit;
According to the determination result obtained as a response from the determination server, the content of the file included in the “HTTP 200 OK response” received this time is rewritten, and the source of the “HTTP GET request” is rewritten. A response transmission unit for transmitting to the terminal;
It is characterized by having.

（２）本発明によるパケット中継制御方法は、
端末とインターネット上のウェブサーバとの間のパケットの中継を行い、
前記端末から受け取った、インターネット上の前記ウェブサーバのファイルを取得要求するための「ＨＴＴＰ ＧＥＴリクエスト」をインターネットに向けて送信した後、当該ウェブサーバから何らかのパケットが返送されてきた際に、該パケットを分析して、該パケットが、前記端末から取得要求されたファイルを含む「ＨＴＴＰ ２００ ＯＫレスポンス」のパケットであることを検知するパケット分析ステップと、
前記ウェブサーバから受け取った該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルをファイル格納部に保存し、該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを特定するための情報として設定されている該「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値を抽出して、抽出した前記一部の値を、前記ファイル格納部に保存した該ファイルを特定するための情報として、前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて、過去に受け取って前記ファイル格納部に保存したファイルの履歴情報としてアクセス履歴情報テーブルに設定登録する記憶ステップと、
前記アクセス履歴情報テーブルに前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値が、過去に受け取って前記ファイル格納部に保存した前記ファイルを特定するための情報として、設定登録されているか否かを判別する保存ファイル有無判定ステップと、
前記ウェブサーバから前記「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値と、過去に受け取って前記ファイル格納部に保存したファイルを特定するための情報として前記アクセス履歴情報テーブルに設定登録されている前記一部の値とを比較して、同一の値であるか否かを判定するファイル更新判定ステップと、
前記ウェブサーバから前記「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、セキュリティ上安全なファイルであるかあるいは危険なファイルであるかを判定する機能を有するインターネット上の判定サーバに対して問い合わせを行い、該判定サーバからの応答として該ファイルのセキュリティ上の安全性に関する判定結果を取得するファイル安全性判定ステップと、
前記判定サーバからの応答として得られた前記判定結果と、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部から抽出した前記一部の値とを、前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて、前記アクセス履歴情報テーブルに設定登録するアクセス履歴情報テーブル設定登録ステップと、
今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを、前記ファイル格納部に保存するファイル保存ステップと、
前記判定サーバからの応答として得られた前記判定結果に応じて、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えて、前記「ＨＴＴＰ ＧＥＴリクエスト」の送信元の前記端末に対して送信するレスポンス送信ステップと、
を有していることを特徴とする。 (2) The packet relay control method according to the present invention comprises:
Relays packets between the terminal and a web server on the Internet,
After transmitting an "HTTP GET request" for requesting acquisition of the file of the web server on the Internet received from the terminal to the Internet, when any packet is returned from the web server, the packet Analyzing the packet to detect that the packet is an “HTTP 200 OK response” packet including the file requested to be obtained from the terminal;
The file included in the “HTTP 200 OK response” received from the web server is stored in a file storage unit, and is set as information for specifying the file included in the “HTTP 200 OK response”. Extracting a part of the value previously specified in the header part of the “HTTP 200 OK response”, and using the extracted part of the value as information for specifying the file stored in the file storage unit, A storage step of setting and registering in the access history information table as history information of a file previously received and stored in the file storage unit, in association with information specifying the file of the web server requested to be acquired by the “HTTP GET request” When,
Whether the partial value of the header part of the “HTTP 200 OK response” is set and registered in the access history information table as information for specifying the file previously received and stored in the file storage unit A storage file presence / absence determination step of determining whether or not the storage file exists;
Each time the “HTTP 200 OK response” is received from the web server, the partial value of the header part of the “HTTP 200 OK response” received this time and the file received in the past and stored in the file storage part are specified. A file update determining step of comparing the partial value set and registered in the access history information table as information for determining whether or not the values are the same;
Each time the “HTTP 200 OK response” is received from the web server, it is determined whether the file included in the “HTTP 200 OK response” received this time is a security-safe file or a dangerous file. File security determining step of making an inquiry to a determination server on the Internet having a function and acquiring a determination result regarding security security of the file as a response from the determination server;
The request for obtaining the determination result obtained as a response from the determination server and the partial value extracted from the header part of the “HTTP 200 OK response” received this time by the “HTTP GET request” An access history information table setting registration step of setting and registering in the access history information table in association with information specifying a file of a web server;
A file storing step of storing a file included in the “HTTP 200 OK response” received this time in the file storage unit;
According to the determination result obtained as a response from the determination server, the content of the file included in the “HTTP 200 OK response” received this time is rewritten, and the source of the “HTTP GET request” is rewritten. A response transmission step to be transmitted to the terminal,
It is characterized by having.

（３）本発明によるパケット中継制御プログラムは、
端末とインターネット上のウェブサーバとの間のパケットの中継を行うパケット中継装置におけるパケットの中継制御を、該パケット中継装置内のコンピュータにより実行し、
前記端末から受け取った、インターネット上の前記ウェブサーバのファイルを取得要求するための「ＨＴＴＰ ＧＥＴリクエスト」をインターネットに向けて送信した後、当該ウェブサーバから何らかのパケットが返送されてきた際に、該パケットを分析して、該パケットが、前記端末から取得要求されたファイルを含む「ＨＴＴＰ ２００ ＯＫレスポンス」のパケットであることを検知するパケット分析機能と、
前記ウェブサーバから受け取った該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを保存するファイル格納部と、該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを特定するための情報として設定されている該「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値を抽出して、抽出した前記一部の値を、前記ファイル格納部に保存した該ファイルを特定するための情報として、前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて、過去に受け取って前記ファイル格納部に保存したファイルの履歴情報としてアクセス履歴情報テーブルに設定登録する記憶機能と、
前記アクセス履歴情報テーブルに前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値が、過去に受け取って前記ファイル格納部に保存した前記ファイルを特定するための情報として、設定登録されているか否かを判別する保存ファイル有無判定機能と、
前記ウェブサーバから前記「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値と、過去に受け取って前記ファイル格納部に保存したファイルを特定するための情報として前記アクセス履歴情報テーブルに設定登録されている前記一部の値とを比較して、同一の値であるか否かを判定するファイル更新判定機能と、
前記ウェブサーバから前記「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、セキュリティ上安全なファイルであるかあるいは危険なファイルであるかを判定する機能を有するインターネット上の判定サーバに対して問い合わせを行い、該判定サーバからの応答として該ファイルのセキュリティ上の安全性に関する判定結果を取得するファイル安全性判定機能と、
前記判定サーバからの応答として得られた前記判定結果と、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部から抽出した前記一部の値とを、前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて、前記アクセス履歴情報テーブルに設定登録するアクセス履歴情報テーブル設定登録機能と、
今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを、前記ファイル格納部に保存するファイル保存機能と、
前記判定サーバからの応答として得られた前記判定結果に応じて、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えて、前記「ＨＴＴＰ ＧＥＴリクエスト」の送信元の前記端末に対して送信するレスポンス送信機能と、
を有していることを特徴とする。 (3) The packet relay control program according to the present invention comprises:
A packet relay control in a packet relay device that relays a packet between a terminal and a web server on the Internet is executed by a computer in the packet relay device,
After transmitting an "HTTP GET request" for requesting acquisition of the file of the web server on the Internet received from the terminal to the Internet, when any packet is returned from the web server, the packet A packet analysis function of detecting that the packet is an “HTTP 200 OK response” packet including a file requested to be obtained from the terminal;
A file storage unit that stores the file included in the “HTTP 200 OK response” received from the web server, and is set as information for specifying the file included in the “HTTP 200 OK response”. Extracting a part of the value previously specified in the header part of the “HTTP 200 OK response”, and using the extracted part of the value as information for specifying the file stored in the file storage unit, A storage function for setting and registering in the access history information table as history information of a file previously received and stored in the file storage unit in association with information specifying the file of the web server requested to be acquired by the “HTTP GET request” When,
Whether the partial value of the header part of the “HTTP 200 OK response” is set and registered in the access history information table as information for specifying the file previously received and stored in the file storage unit A stored file presence / absence determination function for determining whether or not
Each time the “HTTP 200 OK response” is received from the web server, the partial value of the header part of the “HTTP 200 OK response” received this time and the file received in the past and stored in the file storage part are specified. A file update determination function of comparing the partial value set and registered in the access history information table as information for determining whether or not the value is the same;
Each time the “HTTP 200 OK response” is received from the web server, it is determined whether the file included in the “HTTP 200 OK response” received this time is a security-safe file or a dangerous file. A file security determination function for making an inquiry to a determination server on the Internet having a function and acquiring a determination result regarding security security of the file as a response from the determination server;
The request for obtaining the determination result obtained as a response from the determination server and the partial value extracted from the header part of the “HTTP 200 OK response” received this time by the “HTTP GET request” An access history information table setting registration function for setting and registering in the access history information table in association with information specifying a file of a web server;
A file saving function for saving a file included in the “HTTP 200 OK response” received this time in the file storage unit;
According to the determination result obtained as a response from the determination server, the content of the file included in the “HTTP 200 OK response” received this time is rewritten, and the source of the “HTTP GET request” is rewritten. A response sending function to send to the terminal,
It is characterized by having.

本発明のパケット中継装置、パケット中継制御方法およびパケット中継制御プログラムによれば、主に、以下のような効果を奏することができる。   ADVANTAGE OF THE INVENTION According to the packet relay apparatus, the packet relay control method, and the packet relay control program of this invention, the following effects can be mainly exerted.

パケットの中継を行うパケット中継装置のＬＡＮネットワーク側に接続したいずれかの端末がインターネット上のウェブサーバのファイルを取得しようとして、パケット中継装置に対して該ファイルの取得要求を送ってきた際に、パケット中継装置は、該端末が取得しようとするファイルが当該パケット中継装置内の記憶部に既に格納されているか否かを確認し、格納されていた場合には、さらに、取得しようとするウェブサーバ上の該ファイルが、該記憶部に既に格納されているファイルから更新されているか否かを判定して、判定した結果に応じて、判定サーバに対して該ファイルのセキュリティ上の安全性に関する問い合わせを行うか否かを判断することができるので、判定サーバに問い合わせる回数を低減させることができる。而して、パケット中継装置と判定サーバとの通信量を低減させることができ、パケット中継装置および判定サーバの性能向上を図ることができる。   When any terminal connected to the LAN network side of the packet relay device that relays the packet attempts to obtain a file of the web server on the Internet and sends a request to obtain the file to the packet relay device, The packet relay device confirms whether or not the file to be obtained by the terminal is already stored in a storage unit in the packet relay device. It is determined whether or not the above file has been updated from a file already stored in the storage unit, and in response to a result of the determination, an inquiry regarding security security of the file is made to a determination server. Can be determined, so that the number of inquiries to the determination server can be reduced. Thus, the traffic between the packet relay device and the determination server can be reduced, and the performance of the packet relay device and the determination server can be improved.

本発明に係るパケット中継装置の接続構成および該パケット中継装置の内部構成の一例を示すネットワーク構成図である。1 is a network configuration diagram illustrating an example of a connection configuration of a packet relay device according to the present invention and an internal configuration of the packet relay device. 図１に示すパケット中継装置の内部動作の一例を説明するフローチャートである。3 is a flowchart illustrating an example of an internal operation of the packet relay device illustrated in FIG. 図１に示す端末がパケット中継装置を介してインターネット上のウェブサーバにアクセスする場合の信号の流れの一例を示すシーケンスチャートである。2 is a sequence chart showing an example of a signal flow when the terminal shown in FIG. 1 accesses a web server on the Internet via a packet relay device. 図１に示す端末がパケット中継装置を介してインターネット上のウェブサーバにアクセスする場合の図３とは異なる信号の流れの一例を示すシーケンスチャートである。4 is a sequence chart illustrating an example of a signal flow different from that in FIG. 3 when the terminal illustrated in FIG. 1 accesses a web server on the Internet via a packet relay device. 図１のパケット中継装置の記憶部に記憶されている、端末からウェブサーバへアクセスした履歴を登録するアクセス履歴情報テーブルの一例を示すテーブルである。3 is a table showing an example of an access history information table stored in a storage unit of the packet relay device of FIG. 1 and for registering a history of access to a web server from a terminal. 図５に示したアクセス履歴情報テーブルの設定登録内容を、新たに受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値によって更新して設定登録し直した場合の一例を示すテーブルである。6 is a table illustrating an example of a case where the setting registration content of the access history information table illustrated in FIG. 5 is updated with a part of a header part of a newly received “HTTP 200 OK response” and the setting is registered again. . 図１のパケット中継装置の記憶部に記憶されている、端末からウェブサーバへアクセスした履歴を登録するアクセス履歴情報テーブルの図５とは異なる例を示すテーブルである。6 is a table showing an example different from FIG. 5 of an access history information table stored in a storage unit of the packet relay device of FIG. 1 and for registering a history of access to a web server from a terminal. 図１のパケット中継装置の記憶部に記憶されている、端末からウェブサーバへアクセスした履歴を登録するアクセス履歴情報テーブルの図５、図７とは異なる例を示すテーブルである。8 is a table showing an example different from FIGS. 5 and 7 of an access history information table stored in a storage unit of the packet relay device of FIG. 1 for registering a history of access to a web server from a terminal.

以下、本発明によるパケット中継装置、パケット中継制御方法およびパケット中継制御プログラムの好適な実施形態について添付図を参照して説明する。なお、以下の説明においては、本発明によるパケット中継装置およびパケット中継制御方法について説明するが、かかるパケット中継方法をコンピュータにより実行可能なパケット中継制御プログラムとして実施するようにしても良いし、あるいは、パケット中継制御プログラムをコンピュータにより読み取り可能な記録媒体に記録するようにしても良いことは言うまでもない。また、以下の各図面に付した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではないことも言うまでもない。   Hereinafter, preferred embodiments of a packet relay device, a packet relay control method, and a packet relay control program according to the present invention will be described with reference to the accompanying drawings. In the following description, a packet relay device and a packet relay control method according to the present invention will be described. However, such a packet relay method may be implemented as a packet relay control program executable by a computer, or It goes without saying that the packet relay control program may be recorded on a computer-readable recording medium. Moreover, the drawing reference numerals attached to the following drawings are added for convenience to each element as an example to facilitate understanding, and it is needless to say that the present invention is not intended to limit the present invention to the illustrated embodiment. No.

＜本発明の特徴＞
本発明の実施形態の説明に先立って、本発明の特徴についてその概要をまず説明する。本発明は、端末とインターネット上のサーバとの間を中継接続するパケット中継装置に関するものであり、ファイル取得に関するＨＴＴＰ（Hypertext Transfer Protocol）アクセス要求が端末からウェブサーバに対して行われた際に、パケット中継装置は、ウェブサーバから返送されてきたＨＴＴＰレスポンスに含まれているファイルと同一のファイルをパケット中継装置内にまだ保存していなかった場合には、該ファイルの内容に関して、判定サーバに問い合わせ、該判定サーバからの応答に応じて、ＨＴＴＰレスポンスに含まれているファイルの内容を書き換える手段を備えていることを主要な特徴としている。 <Features of the present invention>
Prior to the description of the embodiments of the present invention, the features of the present invention will be outlined first. The present invention relates to a packet relay device that relays a connection between a terminal and a server on the Internet, and when a HTTP (Hypertext Transfer Protocol) access request for file acquisition is made from the terminal to a web server. If the same file as the file included in the HTTP response returned from the web server has not been stored in the packet relay device, the packet relay device queries the determination server about the contents of the file. The main feature is that a means for rewriting the contents of the file included in the HTTP response in accordance with the response from the determination server is provided.

言い換えると、本発明は、以下のような機能を備えていることを主要な特徴としている。すなわち、第１に、端末からインターネット上の任意のウェブサーバのファイルを取得しようとするＨＴＴＰアクセス要求（「ＨＴＴＰ ＧＥＴリクエスト」と称する）が送信されてきて、該ウェブサーバから、取得要求された該ファイルを含む応答（「ＨＴＴＰ ２００ ＯＫレスポンス」と称する）が返送されてきた際に、パケット中継装置は、今回受信した該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、当該パケット中継装置内の記憶部に既に保存されているファイルの内容と同一であるか否かを確認する機能を備えている。   In other words, the present invention is mainly characterized by having the following functions. That is, first, an HTTP access request (referred to as an “HTTP GET request”) for obtaining a file of an arbitrary web server on the Internet is transmitted from a terminal, and the web server receives the HTTP request. When a response including the file (referred to as the “HTTP 200 OK response”) is returned, the packet relay apparatus transmits the file included in the “HTTP 200 OK response” received this time to the inside of the packet relay apparatus. Has a function of confirming whether or not the content is the same as the content of a file already stored in the storage unit.

第２に、パケット中継装置は、当該パケット中継装置内の記憶部にはファイルがまだ保存されていなかった場合、もしくは、保存されていたとしても、記憶部に記憶されているファイルの内容が今回受信した「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルとは異なっていた場合には、今回受信した「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルに関して、安全なファイルであるか否かを判定する機能を有するインターネット上の判定サーバに対して問い合わせを行う機能を備えている。一方、パケット中継装置は、今回受信した「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、当該パケット中継装置内の記憶部に既に保存されているファイルの内容と同一であった場合には、判定サーバへの問い合わせを行うことなく、保存されているファイル内容に関する判定サーバからの判定結果として既に記憶している判定内容に応じて、今回受信した「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイル内容を書き換えて、取得要求元の端末に対して送信する機能を備えている。   Second, if the file has not yet been stored in the storage unit in the packet relay device, or if the file has been stored, the contents of the file stored in the storage unit If the file included in the received “HTTP 200 OK response” is different, it is determined whether the file included in the received “HTTP 200 OK response” is a safe file. It has a function of making an inquiry to a determination server on the Internet, which has a function to perform the determination. On the other hand, when the file included in the “HTTP 200 OK response” received this time is the same as the content of the file already stored in the storage unit in the packet relay device, The file included in the "HTTP 200 OK response" received this time according to the judgment contents already stored as the judgment result from the judgment server regarding the stored file contents without making an inquiry to the judgment server. It has a function of rewriting the content and transmitting it to the acquisition requesting terminal.

第３に、パケット中継装置からの問い合わせを受け取った判定サーバから、該ファイルが‘安全なファイル’であるか‘危険なファイル’であるかを判定した結果を、応答として、問い合わせ元のパケット中継装置に返送してくると、パケット中継装置は、該判定サーバから返送されてきた応答内容を確認し、該応答内容が‘危険なファイル’であると判定している場合には、「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を、危険を取り除くように書き換えてから、取得要求元の端末に対して送信する機能を備えている。一方、該判定サーバからの応答内容が‘安全なファイル’であると判定している場合には、「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を、書き換えることなく、そのまま、取得要求元の端末に対して送信する機能を備えている。   Third, the result of determining whether the file is a 'safe file' or a 'dangerous file' from the determination server which received the inquiry from the packet relay device is returned as a response to the packet relay of the inquiry source. When the packet is returned to the device, the packet relay device checks the content of the response returned from the determination server. If the content of the response is determined to be a "dangerous file", the packet relay device returns "HTTP 200". It has a function of rewriting the contents of the file included in the “OK response” so as to remove the danger and transmitting the file to the terminal that has requested acquisition. On the other hand, if the response content from the determination server is determined to be a “safe file”, the content of the file included in the “HTTP 200 OK response” is It has a function to transmit to the original terminal.

而して、判定サーバに対して問い合わせを行う回数を低減し、パケット中継装置および判定サーバの処理負荷を軽減することを可能にしている。   Thus, it is possible to reduce the number of inquiries made to the determination server and reduce the processing load on the packet relay device and the determination server.

本発明の主要な特徴をさらに説明すると、次の通りである。パケット中継装置は、当該パケット中継装置に接続しているＬＡＮネットワーク上の１ないし複数の端末との間で送受信されるパケットを常に監視している。ＬＡＮネットワーク上のいずれかの端末から、リクエストメソッドが‘ＧＥＴ’であるＨＴＴＰパケット（以下、「ＨＴＴＰ ＧＥＴリクエスト」と称する）を受け取ると、パケット中継装置は、インターネット上のウェブサーバに対して該「ＨＴＴＰ ＧＥＴリクエスト」を送信する。   The main features of the present invention will be further described as follows. The packet relay device constantly monitors packets transmitted and received between one or more terminals on the LAN network connected to the packet relay device. When an HTTP packet whose request method is 'GET' (hereinafter, referred to as an “HTTP GET request”) is received from any terminal on the LAN network, the packet relay apparatus sends the “HTTP GET request” to a web server on the Internet. "HTTP GET request".

インターネット上のウェブサーバから、該「ＨＴＴＰ ＧＥＴリクエスト」に対する応答として、ステータスコードが‘２００’であるＨＴＴＰパケット（以降、「ＨＴＴＰ ２００ ＯＫレスポンス」と称する）を受信すると、パケット中継装置は、今回受信した「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値（例えば、最新更新日時を示すLast-Modifiedフィールドの値）と当該パケット中継装置が既に記憶している「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値とが一致するか否かを確認する。   When a packet having a status code of “200” (hereinafter, referred to as “HTTP 200 OK response”) is received as a response to the “HTTP GET request” from a web server on the Internet, the packet relay apparatus A part of a predetermined value (for example, a value of a Last-Modified field indicating the latest update date and time) of a header part of the “HTTP 200 OK response” and the “HTTP 200 OK response” already stored in the packet relay device. It is checked whether or not the value matches a part of the header part specified in advance.

パケット中継装置が、「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値をまだ記憶していない場合、あるいは、既に記憶していたとしても、記憶している「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値が今回受信した「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値とは一致していない場合、パケット中継装置は、今回受信した「ＨＴＴＰ ２００ ＯＫレスポンス」のファイル内容について判定サーバに対して問い合わせを行う。   If the packet relay apparatus has not yet stored the partial value of the header portion of the “HTTP 200 OK response”, or has already stored the partial value, the header of the stored “HTTP 200 OK response” If the value of the part does not match the value of the part of the header of the “HTTP 200 OK response” received this time, the packet relay apparatus transmits the file of the “HTTP 200 OK response” received this time. Inquires the judgment server about the contents.

しかる後、パケット中継装置は、ファイル内容についての問い合わせ結果として判定サーバから返送されてきた応答内容に応じて、今回受信した「ＨＴＴＰ ２００ ＯＫレスポンス」のファイル内容を書き換えて、取得要求元の端末に対して送信するとともに、書き換え前のファイル内容を記憶部に記憶する。さらに、パケット中継装置は、「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値と判定サーバからの応答内容とを、取得要求を行った「ＨＴＴＰ ＧＥＴリクエスト」に対応付けて、アクセス履歴情報として、記憶部に記憶する。   Thereafter, the packet relay device rewrites the file content of the “HTTP 200 OK response” received this time according to the response content returned from the determination server as a result of the inquiry about the file content, and sends the file to the acquisition request source terminal. In addition to the transmission, the file contents before rewriting are stored in the storage unit. Further, the packet relay apparatus associates the partial value of the header portion of the “HTTP 200 OK response” and the response content from the determination server with the “HTTP GET request” that has issued the acquisition request, and associates the access history information with the access history information. Is stored in the storage unit.

ここで、判定サーバから返送されてきた応答内容が、‘危険なファイル’との判定結果であった場合には、今回受信した「ＨＴＴＰ ２００ ＯＫレスポンス」のファイル内容を、危険を除去するように書き換えてから取得要求元の端末に対して送信する。一方、判定サーバから返送されてきた応答内容が、‘安全なファイル’との判定結果であった場合には、今回受信した「ＨＴＴＰ ２００ ＯＫレスポンス」のファイル内容を、書き換えることなく、そのまま、取得要求元の端末に対して送信する。   Here, when the response content returned from the determination server is a determination result of “dangerous file”, the file content of the “HTTP 200 OK response” received this time is removed so that the danger is removed. After rewriting, it is transmitted to the acquisition requesting terminal. On the other hand, if the response content returned from the determination server is a determination result of a “secure file”, the file content of the “HTTP 200 OK response” received this time is obtained without being rewritten. Sent to the requesting terminal.

なお、記憶している「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値が今回受信した「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値と一致していた場合には、パケット中継装置は、判定サーバに対して問い合わせを行うことなく、既に記憶している判定サーバからの応答内容に応じて、今回受信した「ＨＴＴＰ ２００ ＯＫレスポンス」のファイル内容を書き換えて、取得要求元の端末に対して送信する。   If the stored part of the value of the header part of the “HTTP 200 OK response” matches the part of the value of the header part of the “HTTP 200 OK response” received this time, The relay device rewrites the file content of the “HTTP 200 OK response” received this time according to the response content already stored from the determination server without making an inquiry to the determination server, and Send to terminal.

以上のように動作することにより、判定サーバへの問い合わせ回数を低減することができ、パケット中継装置および判定サーバの処理負荷を軽減することができる。   By operating as described above, the number of inquiries to the determination server can be reduced, and the processing load on the packet relay device and the determination server can be reduced.

＜本発明の実施形態の構成例＞
次に、本発明に係るパケット中継装置の接続構成および内部構成について、その一例を、図面を参照しながら詳細に説明する。図１は、本発明に係るパケット中継装置の接続構成および該パケット中継装置の内部構成の一例を示すネットワーク構成図である。図１に示すパケット中継装置１０１は、内部に、本発明に関連する機能部として、ＬＡＮ（Local Area Network）インタフェース１０２、ＷＡＮ（Wide Area Network）インタフェース１０３、ルーティング部１０４、パケット中継装置機能部１０５、および、記憶部１０６を少なくとも備えた装置である。なお、図１に示すパケット中継装置１０１の内部構成については、本発明との関連が少ない機能部に関する記載を省略している。なお、パケット中継装置１０１は、パケットのルーティング機能を有するルータ（ブロードバンドルータ等）であっても良いし、ルーティング機能を有することなく、端末とインターネット上のウェブサーバとの間のパケットの中継機能を有している中継装置であっても良い。 <Configuration example of embodiment of the present invention>
Next, an example of a connection configuration and an internal configuration of the packet relay device according to the present invention will be described in detail with reference to the drawings. FIG. 1 is a network configuration diagram showing an example of a connection configuration of a packet relay device according to the present invention and an internal configuration of the packet relay device. The packet relay device 101 shown in FIG. 1 includes therein a LAN (Local Area Network) interface 102, a WAN (Wide Area Network) interface 103, a routing unit 104, and a packet relay device function unit 105 as functional units related to the present invention. , And at least a storage unit 106. Note that, with regard to the internal configuration of the packet relay apparatus 101 shown in FIG. Note that the packet relay apparatus 101 may be a router having a packet routing function (a broadband router or the like), or may have a packet relay function between a terminal and a web server on the Internet without having a routing function. The relay device may be provided.

パケット中継装置機能部１０５は、内部に、パケット分析部１０５ａ、アクセス判定機能部１０５ｂを少なくとも備えている。さらに、アクセス判定機能部１０５ｂは、内部に、保存ファイル有無判定部３０、ファイル更新判定部４０、ファイル安全性判定部５０、アクセス履歴情報テーブル設定登録部６０、ファイル保存部７０、および、レスポンス送信部８０を少なくとも備えている。   The packet relay device function unit 105 includes at least a packet analysis unit 105a and an access determination function unit 105b. Further, the access determination function unit 105b includes therein a stored file existence determination unit 30, a file update determination unit 40, a file security determination unit 50, an access history information table setting registration unit 60, a file storage unit 70, and a response transmission. At least a portion 80 is provided.

ＬＡＮインタフェース１０２およびＷＡＮインタフェース１０３は、１つ以上のイーサネット（登録商標）インタフェースを有する。ＬＡＮインタフェース１０２は、ＬＡＮ側ネットワーク１１１に接続され、ＬＡＮ側ネットワーク１１１には端末１１２および端末１１３が接続されている。端末１１２は、ウェブブラウザ１１２ａを少なくとも備え、端末１１３は、ウェブブラウザ１１３ａを少なくとも備えている。ここで、ＬＡＮ側ネットワーク１１１は、有線接続に限るものではなく、無線接続であっても良い。   The LAN interface 102 and the WAN interface 103 have one or more Ethernet (registered trademark) interfaces. The LAN interface 102 is connected to a LAN-side network 111, and terminals 112 and 113 are connected to the LAN-side network 111. The terminal 112 includes at least a web browser 112a, and the terminal 113 includes at least a web browser 113a. Here, the LAN-side network 111 is not limited to a wired connection, but may be a wireless connection.

また、ＷＡＮインタフェース１０３は、インターネット１２１に接続されるが、インターネット１２１との接続方法は、特定するものではなく、任意の形態で接続しても構わない。インターネット１２１には、ウェブサーバ１２２と判定サーバ１２３とが少なくても接続されている。なお、インターネット１２１は、コンピュータネットワーク、電話交換網、移動体通信網、企業内イントラネットなどが相互に接続された通信網であり、パケット中継装置１０１とウェブサーバ１２２、判定サーバ１２３およびインターネット１２１上の図示していない各種の装置、端末との間を通信接続することができる。   The WAN interface 103 is connected to the Internet 121, but the connection method with the Internet 121 is not specified, and the WAN interface 103 may be connected in any form. At least a web server 122 and a determination server 123 are connected to the Internet 121. The Internet 121 is a communication network in which a computer network, a telephone exchange network, a mobile communication network, an intranet in a company, and the like are interconnected, and the packet relay apparatus 101 and the web server 122, the determination server 123, and the Internet 121 Various devices and terminals (not shown) can be connected for communication.

パケット中継装置１０１のＬＡＮインタフェース１０２は、端末１１２や端末１１３からＬＡＮ側ネットワーク１１１を介してパケットを受信すると、該パケットをルーティング部１０４に送信する。また、ＬＡＮインタフェース１０２は、ルーティング部１０４からパケットを受信すると、該パケットを、ＬＡＮ側ネットワーク１１１を介して端末１１２や端末１１３に送信する。   Upon receiving a packet from the terminal 112 or 113 via the LAN-side network 111, the LAN interface 102 of the packet relay apparatus 101 transmits the packet to the routing unit 104. Further, upon receiving the packet from the routing unit 104, the LAN interface 102 transmits the packet to the terminal 112 or 113 via the LAN-side network 111.

パケット中継装置１０１のＷＡＮインタフェース１０３は、インターネット１２１からパケットを受信すると、該パケットをルーティング部１０４に送信する。また、ＷＡＮインタフェース１０３は、ルーティング部１０４からパケットを受信すると、該パケットをインターネット１２１に送信する。   Upon receiving a packet from the Internet 121, the WAN interface 103 of the packet relay device 101 transmits the packet to the routing unit 104. When receiving the packet from the routing unit 104, the WAN interface 103 transmits the packet to the Internet 121.

また、パケット中継装置１０１のルーティング部１０４は、ＷＡＮインタフェース１０３からパケットを受信すると、受信した該パケットをパケット中継装置１０１のパケット中継装置機能部１０５内のパケット分析部１０５ａに送信する。   When receiving the packet from the WAN interface 103, the routing unit 104 of the packet relay device 101 transmits the received packet to the packet analysis unit 105 a in the packet relay device function unit 105 of the packet relay device 101.

パケット中継装置１０１のパケット分析部１０５ａは、ルーティング部１０４から受信した該パケットの内容を分析する機能を有し、該パケットの内容に応じた処理を行う。つまり、パケット分析部１０５ａは、ルーティング部１０４から受信した該パケットの内容に応じて、該パケットをアクセス判定機能部１０５ｂへ転送するか、または、該パケットをルーティング部１０４を介して該パケットに指定されている宛先に向けて送信する。かくのごとく、パケット分析部１０５ａは、ルーティング部１０４から受信した該パケットが、ウェブサーバ１２２が送信したＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）であった場合に、該パケットが指定している宛先ではなく、まず、該パケットをアクセス判定機能部１０５ｂへ転送する。   The packet analysis unit 105a of the packet relay apparatus 101 has a function of analyzing the content of the packet received from the routing unit 104, and performs a process according to the content of the packet. That is, the packet analysis unit 105a transfers the packet to the access determination function unit 105b or designates the packet as the packet via the routing unit 104 according to the content of the packet received from the routing unit 104. To the specified destination. As described above, when the packet received from the routing unit 104 is the HTTP response packet transmitted by the web server 122 (that is, the “HTTP 200 OK response”), the packet analysis unit 105a specifies First, the packet is transferred to the access determination function unit 105b instead of the destination.

さらに説明すると、パケット分析部１０５ａは、端末１１２や端末１１３から受け取った、インターネット１２１上のウェブサーバ１２２のファイルを取得要求するための「ＨＴＴＰ ＧＥＴリクエスト」をインターネット１２１に向けて送信した後、ウェブサーバ１２２から何らかのパケットが返送されてきた際に、該パケットを分析して、該パケットが、端末１１２や端末１１３から取得要求されたファイルを含む「ＨＴＴＰ ２００ ＯＫレスポンス」のパケットであることを検知した場合に、該パケットをアクセス判定機能部１０５ｂへまず転送する。   More specifically, after transmitting the “HTTP GET request” for requesting the acquisition of the file of the web server 122 on the Internet 121 received from the terminal 112 or the terminal 113 to the Internet 121, the packet analysis unit 105a When a packet is returned from the server 122, the packet is analyzed to detect that the packet is an "HTTP 200 OK response" packet including a file requested to be obtained from the terminal 112 or 113. In this case, the packet is first transferred to the access determination function unit 105b.

パケット中継装置１０１のアクセス判定機能部１０５ｂは、パケット分析部１０５ａから受け取ったＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）に含まれているファイル内容について、必要に応じて、インターネット１２１に接続されている判定サーバ１２３に該ファイルの安全性に関する問い合わせを行い、判定サーバ１２３からの応答に応じて、受信していたＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）に含まれるファイル内容を書き換える。   The access determination function unit 105b of the packet relay apparatus 101 is connected to the Internet 121 as necessary for the file contents included in the HTTP response packet (that is, the “HTTP 200 OK response”) received from the packet analysis unit 105a. The determination server 123 makes an inquiry about the security of the file, and rewrites the file content included in the received HTTP response packet (that is, the “HTTP 200 OK response”) in response to the response from the determination server 123.

ここで、アクセス判定機能部１０５ｂの内部に備えている保存ファイル有無判定部３０は、記憶部１０６のアクセス履歴情報テーブル１０に「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値が、過去に受け取って記憶部１０６のファイル格納部２０に保存したファイルを特定するための情報として、設定登録されているか否かを判別する。   Here, the stored file presence / absence determination unit 30 provided inside the access determination function unit 105b stores, in the access history information table 10 of the storage unit 106, a part of the value previously specified in the header part of the “HTTP 200 OK response”. Then, it is determined whether or not the setting is registered as information for specifying a file received in the past and stored in the file storage unit 20 of the storage unit 106.

また、アクセス判定機能部１０５ｂの内部に備えているファイル更新判定部４０は、ウェブサーバ１２２から「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値と、過去に受け取って記憶部１０６のファイル格納部２０に保存したファイルを特定するための情報として記憶部１０６のアクセス履歴情報テーブル１０に設定登録されている一部の値とを比較して、同一の値であるか否かを判定する。   In addition, each time the file update determination unit 40 provided inside the access determination function unit 105b receives the “HTTP 200 OK response” from the web server 122, the file update determination unit 40 includes a part of the header part of the “HTTP 200 OK response” received this time. The value is compared with a partial value set and registered in the access history information table 10 of the storage unit 106 as information for specifying a file received in the past and stored in the file storage unit 20 of the storage unit 106. , Are determined to be the same value.

また、アクセス判定機能部１０５ｂの内部に備えているファイル安全性判定部５０は、ウェブサーバ１２２から「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、セキュリティ上安全なファイルであるかあるいは危険なファイルであるかを判定する機能を有するインターネット１２１上の判定サーバ１２３に対して問い合わせを行い、該判定サーバ１２３からの応答として該ファイルのセキュリティ上の安全性に関する判定結果を取得する。ここで、セキュリティ上危険なファイルとは、悪意があるウィルスやフィッシング詐欺等のマルウェアを含むファイルであり、セキュリティ上安全なファイルとはマルウェアを含んでいないファイルのことである。   The file security determination unit 50 provided inside the access determination function unit 105b determines whether the file included in the “HTTP 200 OK response” received this time every time the “HTTP 200 OK response” is received from the web server 122. An inquiry is made to a determination server 123 on the Internet 121 having a function of determining whether the file is secure or dangerous, and as a response from the determination server 123, Acquire the judgment result regarding safety. Here, a file that is dangerous in security is a file that contains malware such as a malicious virus or a phishing scam, and a file that is safe in security is a file that does not contain malware.

また、アクセス判定機能部１０５ｂの内部に備えているアクセス履歴情報テーブル設定登録部６０は、ファイル安全性判定部５０において判定サーバ１２３からの応答として得られた前記判定結果と、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部から抽出した前記一部の値とを、「ＨＴＴＰ ＧＥＴリクエスト」により取得要求したウェブサーバ１２２のファイルを特定する情報（すなわちウェブサーバ１２２上のファイルのＵＲＬ（Uniform Resource Locator）とファイル名）と対応付けて、記憶部１０６のアクセス履歴情報テーブル１０に設定登録する。   Further, the access history information table setting registration unit 60 provided inside the access determination function unit 105b stores the determination result obtained as a response from the determination server 123 in the file security determination unit 50 and the “HTTP” received this time. The part of the value extracted from the header part of the “200 OK response” and the information that specifies the file of the web server 122 that has been requested by the “HTTP GET request” (that is, the URL (Uniform Resource Locator) of the file on the web server 122) ) And the file name) are set and registered in the access history information table 10 of the storage unit 106.

また、アクセス判定機能部１０５ｂの内部に備えているファイル保存部７０は、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを、記憶部１０６のファイル格納部２０に保存する。   In addition, the file storage unit 70 provided inside the access determination function unit 105b stores the file included in the “HTTP 200 OK response” received this time in the file storage unit 20 of the storage unit 106.

また、アクセス判定機能部１０５ｂの内部に備えているレスポンス送信部８０は、判定サーバ１２３からの応答として得られた判定結果に応じて、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えて、「ＨＴＴＰ ＧＥＴリクエスト」の送信元の端末１１２や端末１１３に対して送信する。   In addition, the response transmission unit 80 provided inside the access determination function unit 105b responds to the determination result obtained as a response from the determination server 123 by using the file included in the “HTTP 200 OK response” received this time. Is rewritten and transmitted to the terminal 112 or the terminal 113 of the transmission source of the “HTTP GET request”.

パケット中継装置１０１の記憶部１０６には、インターネット１２１へのアクセス履歴に関する情報（言い換えるとアクセス判定機能部１０５ｂの処理結果に関する情報）を設定登録するアクセス履歴情報テーブル１０と、ＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）に含まれているファイルや場合によってはヘッダ部の情報をキャッシュとして保存するファイル格納部２０とを少なくとも備えている。つまり、ファイル格納部２０は、ウェブサーバ１２２から受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイル、さらには、場合によっては、該「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の情報を保存する記憶部である。また、アクセス履歴情報テーブル１０は、該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを特定するための情報として設定されている該「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値を抽出して、抽出した前記一部の値を、ファイル格納部２０に保存した該ファイルを特定するための情報として「ＨＴＴＰ ＧＥＴリクエスト」により取得要求したウェブサーバ１２２のファイルを特定する情報（ＵＲＬやファイル名）と対応付けて、過去に受け取って前記ファイル格納部に保存したファイルの履歴情報として設定登録する記憶部である。   In the storage unit 106 of the packet relay apparatus 101, an access history information table 10 for setting and registering information regarding an access history to the Internet 121 (in other words, information regarding a processing result of the access determination function unit 105b) and an HTTP response packet (that is, “ At least a file storage unit 20 that saves a file included in the “HTTP 200 OK response”) and, in some cases, information of a header portion as a cache. That is, the file storage unit 20 stores the file included in the “HTTP 200 OK response” received from the web server 122 and, in some cases, the information of the header part of the “HTTP 200 OK response”. Department. Further, the access history information table 10 includes a part of the header part of the “HTTP 200 OK response” set as information for specifying the file included in the “HTTP 200 OK response”, which is specified in advance. A value is extracted, and the extracted part of the value is used as information for specifying the file stored in the file storage unit 20 as information for specifying the file. A storage unit for setting and registering as history information of a file received in the past and stored in the file storage unit in association with a URL or a file name.

インターネット１２１に接続されている判定サーバ１２３は、ウェブサーバ１２２からのＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）を受け取ったパケット中継装置１０１から、該ＨＴＴＰレスポンスパケットに含まれているファイル内容に関する問い合わせを受け取った際に、ウェブサーバ１２２がパケット中継装置１０１に対して送信したＨＴＴＰレスポンスパケットのファイルが安全なファイルであるか、危険なファイルであるかを判定し、判定した結果を、応答として、問い合わせ元のパケット中継装置１０１に返送する。なお、判定サーバ１２３の判定処理に関しては、現状の任意の周知技術を用いて実現すれば良い。   The determination server 123 connected to the Internet 121 receives the HTTP response packet (that is, “HTTP 200 OK response”) from the web server 122 and, from the packet relay apparatus 101, relates to the file content included in the HTTP response packet. Upon receiving the inquiry, it is determined whether the file of the HTTP response packet transmitted by the web server 122 to the packet relay apparatus 101 is a secure file or a dangerous file, and the determined result is used as a response. Is returned to the packet relay device 101 of the inquiry source. Note that the determination processing of the determination server 123 may be realized using any existing known technology.

また、ＬＡＮ側ネットワーク１１１に接続されている端末１１２および端末１１３等の各端末が備えているウェブブラウザ１１２ａおよびウェブブラウザ１１３ａ等に関しては、現状の任意の周知技術を用いて実現すれば良い。また、インターネット１２１に接続されているウェブサーバ１２２に関しても、現状の任意の周知技術を用いて実現すれば良い。   Further, the web browser 112a, the web browser 113a, and the like included in each terminal such as the terminal 112 and the terminal 113 connected to the LAN-side network 111 may be realized using any existing known technology. Also, the web server 122 connected to the Internet 121 may be realized using any existing known technology.

＜本発明の実施形態の動作の説明＞
次に、図１に示したパケット中継装置１０１の動作について、ＬＡＮ側ネットワーク１１１に接続されている端末１１２との間、および、インターネット１２１に接続されているウェブサーバ１２２や判定サーバ１２３との間の処理に関する一例を、図面を参照しながら詳細に説明する。 <Description of Operation of Embodiment of the Present Invention>
Next, the operation of the packet relay apparatus 101 shown in FIG. 1 will be described with respect to the terminal 112 connected to the LAN-side network 111 and the web server 122 and the determination server 123 connected to the Internet 121. An example of the processing will be described in detail with reference to the drawings.

（パケット中継装置１０１内の内部動作例）
まず、図２のフローチャートを用いて、パケット中継装置１０１内の動作について説明する。図２は、図１に示すパケット中継装置１０１の内部動作の一例を説明するフローチャートであり、主に、パケット中継装置機能部１０５のパケット分析部１０５ａとアクセス判定機能部１０５ｂとの動作について説明している。 (Example of Internal Operation in Packet Relay Device 101)
First, the operation in the packet relay apparatus 101 will be described using the flowchart of FIG. FIG. 2 is a flowchart illustrating an example of an internal operation of the packet relay apparatus 101 shown in FIG. 1. Mainly, operations of the packet analysis unit 105a and the access determination function unit 105b of the packet relay apparatus function unit 105 will be described. ing.

図２のフローチャートにおいて、まず、パケット中継装置１０１のＷＡＮインタフェース１０３は、インターネット１２１からパケットを受信したか否かを常時監視している。ＷＡＮインタフェース１０３がインターネット１２１からパケットを受信すると、ＷＡＮインタフェース１０３が受信した該パケットを、ルーティング部１０４を経由してパケット中継装置機能部１０５のパケット分析部１０５ａに転送する。   In the flowchart of FIG. 2, first, the WAN interface 103 of the packet relay apparatus 101 constantly monitors whether a packet has been received from the Internet 121. When the WAN interface 103 receives a packet from the Internet 121, the WAN interface 103 transfers the received packet to the packet analysis unit 105a of the packet relay device function unit 105 via the routing unit 104.

パケット分析部１０５ａは、転送されてきた該パケットの内容を分析し、該パケットがインターネット１２１に接続されているウェブサーバ１２２から受信したＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）であるか否かを判定する（ステップＳ１）。パケット分析部１０５ａは、ＷＡＮインタフェース１０３が受信したパケットがウェブサーバ１２２からのＨＴＴＰレスポンスパケットであると判定した場合には（ステップＳ１のＹｅｓ）、受信したウェブサーバ１２２からのＨＴＴＰレスポンスパケットをパケット中継装置機能部１０５のアクセス判定機能部１０５ｂに転送する。   The packet analysis unit 105a analyzes the contents of the transferred packet, and determines whether the packet is an HTTP response packet received from the web server 122 connected to the Internet 121 (that is, an “HTTP 200 OK response”). Is determined (step S1). If the packet analysis unit 105a determines that the packet received by the WAN interface 103 is an HTTP response packet from the web server 122 (Yes in step S1), the packet analysis unit 105a relays the received HTTP response packet from the web server 122. The data is transferred to the access determination function unit 105b of the device function unit 105.

一方、ＷＡＮインタフェース１０３が受信したパケットがウェブサーバ１２２からのＨＴＴＰレスポンス（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）ではなかった場合には（ステップＳ１のＮｏ）、パケット分析部１０５ａは、該パケットのヘッダ部が指示している宛先に該パケットを転送する。また、ＷＡＮインタフェース１０３が、インターネット１２１からパケットを受信していなかった場合（ステップＳ１のＮｏ）、ステップＳ１のパケット受信監視動作を繰り返す。   On the other hand, if the packet received by the WAN interface 103 is not an HTTP response from the web server 122 (that is, “HTTP 200 OK response”) (No in step S1), the packet analysis unit 105a sends the header of the packet to the Forwards the packet to the destination specified by. If the WAN interface 103 has not received a packet from the Internet 121 (No in step S1), the packet reception monitoring operation in step S1 is repeated.

アクセス判定機能部１０５ｂは、ウェブサーバ１２２からのＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）をパケット分析部１０５ａから受け取ると、まず、保存ファイル有無判定部３０により、記憶部１０６のアクセス履歴情報テーブル１０内を検索し、アクセス履歴情報テーブル１０内の該当する欄にＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）のヘッダ部のあらかじめ特定した一部の値が設定登録されているか否かを確認する（ステップＳ２）。   Upon receiving the HTTP response packet (that is, “HTTP 200 OK response”) from the web server 122 from the packet analysis unit 105a, the access determination function unit 105b first causes the storage file presence / absence determination unit 30 to access the access history information in the storage unit 106. A search is made in the table 10 to determine whether or not a predetermined value of the header part of the HTTP response packet (that is, “HTTP 200 OK response”) is set and registered in a corresponding column in the access history information table 10. Confirm (step S2).

記憶部１０６のアクセス履歴情報テーブル１０内の該当する欄に、ＨＴＴＰレスポンスパケットのヘッダ部の一部の値が記憶されていた場合には（ステップＳ２のＹｅｓ）、記憶部１０６のファイル格納部２０にはファイルが既に保存されている状態にある。したがって、次に、ファイル更新判定部４０を起動して、今回受け取った該ＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）に含まれているファイルが、記憶部１０６のファイル格納部２０に保存されているファイルよりも更新されているファイルであるか否かを確認する（ステップＳ３）。すなわち、ファイル更新判定部４０において、今回受け取った該ＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）のヘッダ部のあらかじめ特定した一部の値を取り出して、記憶部１０６のアクセス履歴情報テーブル１０内を検索し、今回受け取った該ＨＴＴＰレスポンスパケットとは異なるヘッダ部の一部の値が記憶されているか否かを確認する。   When a part of the header of the HTTP response packet is stored in the corresponding column in the access history information table 10 of the storage unit 106 (Yes in step S2), the file storage unit 20 of the storage unit 106 Has a file already saved. Therefore, next, the file update determination unit 40 is activated, and the file included in the HTTP response packet received this time (that is, the “HTTP 200 OK response”) is stored in the file storage unit 20 of the storage unit 106. It is confirmed whether or not the file is an updated file than the current file (step S3). That is, the file update determination unit 40 extracts a part of the header part of the HTTP response packet received this time (that is, the “HTTP 200 OK response”) specified in advance, and extracts the value from the access history information table 10 in the storage unit 106. And confirms whether or not a part of the value of the header part different from the HTTP response packet received this time is stored.

記憶部１０６のアクセス履歴情報テーブル１０内の該当する欄に、今回受け取った該ＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）とは異なるヘッダ部の一部の値が記憶されていた場合には（ステップＳ３のＹｅｓ）、今回受け取った該ＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）に含まれているファイルが、記憶部１０６のファイル格納部２０に保存されているファイルよりも更新されているファイルであると判定する。   If the corresponding column in the access history information table 10 of the storage unit 106 stores a partial value of a header portion different from the HTTP response packet received this time (that is, “HTTP 200 OK response”), (Yes in step S3), the file included in the HTTP response packet received this time (that is, the “HTTP 200 OK response”) is updated more than the file stored in the file storage unit 20 of the storage unit 106. File.

なお、ステップＳ２において、保存ファイル有無判定部３０により、記憶部１０６のアクセス履歴情報テーブル１０内を検索した結果として、記憶部１０６のアクセス履歴情報テーブル１０内の該当する欄にヘッダ部の一部の値が記憶されていなかった場合には（ステップＳ２のＮｏ）、記憶部１０６のファイル格納部２０にはファイルがまだ保存されていない状態にあり、今回受け取った該ＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）に含まれているファイルが、ウェブサーバ１２２から初めて受け取った新規のファイルであることを示している。   In step S2, as a result of searching the access history information table 10 of the storage unit 106 by the stored file presence / absence determination unit 30, a part of the header part is stored in a corresponding column of the access history information table 10 of the storage unit 106. Is not stored (No in step S2), the file is not yet stored in the file storage unit 20 of the storage unit 106, and the HTTP response packet received this time (ie, "HTTP The file included in the “200 OK response”) is a new file received for the first time from the web server 122.

今回受け取った該ＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）に含まれているファイルが、記憶部１０６のファイル格納部２０に保存されているファイルよりも更新されているファイルであると判定した場合（ステップＳ３のＹｅｓ）、あるいは、ウェブサーバ１２２から初めて受け取った新規のファイルであると判定した場合には（ステップＳ２のＮｏ）、アクセス判定機能部１０５ｂは、ファイル安全性判定部５０を起動して、今回受け取ったＨＴＴＰレスポンスパケットに含まれているファイルが安全なファイルであるか否かを問い合わせるために、判定サーバ１２３に対する問い合わせパケットを作成する。そして、ＷＡＮインタフェース１０３から、インターネット１２１に接続されている判定サーバ１２３に対して、ＨＴＴＰレスポンスパケットのファイル内容に関する問い合わせパケットを送信する（ステップＳ４）。   It is determined that the file included in the HTTP response packet received this time (that is, the “HTTP 200 OK response”) is a file that is updated more than the file stored in the file storage unit 20 of the storage unit 106. In this case (Yes in step S3) or when it is determined that the file is a new file received for the first time from the web server 122 (No in step S2), the access determination function unit 105b activates the file security determination unit 50. Then, in order to inquire whether the file included in the HTTP response packet received this time is a safe file, an inquiry packet to the determination server 123 is created. Then, an inquiry packet regarding the file content of the HTTP response packet is transmitted from the WAN interface 103 to the determination server 123 connected to the Internet 121 (step S4).

該問い合わせパケットに対する応答パケットが判定サーバ１２３から返送されてくると、パケット中継装置１０１のアクセス判定機能部１０５ｂ内のファイル安全性判定部５０は、ＷＡＮインタフェース１０３を介して受け取って、受け取った判定サーバ１２３からの応答を、アクセス履歴情報テーブル設定登録部６０とレスポンス送信部８０とに引き継ぐ。   When a response packet to the inquiry packet is returned from the determination server 123, the file safety determination unit 50 in the access determination function unit 105b of the packet relay apparatus 101 receives the received determination server via the WAN interface 103 and receives the received determination server. The response from 123 is passed to the access history information table setting registration unit 60 and the response transmission unit 80.

アクセス履歴情報テーブル設定登録部６０は、受け取った判定サーバ１２３からの応答と、今回受け取ったＨＴＴＰレスポンスパケットのヘッダ部の一部の値とを、「ＨＴＴＰ ＧＥＴリクエスト」により指定されたウェブサーバ１２２と取得要求対象のファイルとを特定する情報と対応付ける形で、記憶部１０６内のアクセス履歴情報テーブル１０に記憶する（ステップＳ５）。そして、レスポンス送信部８０を起動して、判定サーバ１２３からの応答が示す判定結果に応じて、今回受け取ったＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）に含まれているファイルの内容を、危険を除去するように書き換える（ステップＳ６）。   The access history information table setting registration unit 60 stores the received response from the determination server 123 and a part of the header part of the currently received HTTP response packet with the web server 122 specified by the “HTTP GET request”. The file is stored in the access history information table 10 in the storage unit 106 in such a manner as to be associated with the information for specifying the file to be requested for acquisition (step S5). Then, the response transmission unit 80 is activated, and according to the determination result indicated by the response from the determination server 123, the content of the file included in the HTTP response packet received this time (that is, the “HTTP 200 OK response”) is Rewriting is performed to remove the danger (step S6).

一方、ステップＳ３において、記憶部１０６のアクセス履歴情報テーブル１０内に、今回受け取ったＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）と同一のヘッダ部の一部の値が記憶されていた場合には（ステップＳ３のＮｏ）、今回受け取った該ＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）に含まれているファイルは、記憶部１０６のファイル格納部２０に保存されているファイルから更新されていなく、記憶部１０６のファイル格納部２０に保存されているファイルと同一のファイルであると判定する。   On the other hand, if the access history information table 10 of the storage unit 106 stores a partial value of the same header part as the currently received HTTP response packet (that is, “HTTP 200 OK response”) in step S3, (No in step S3), the file included in the HTTP response packet received this time (that is, the “HTTP 200 OK response”) has been updated from the file stored in the file storage unit 20 of the storage unit 106. It is determined that the file is the same as the file stored in the file storage unit 20 of the storage unit 106.

そして、かかる場合には、すなわち、今回受け取ったＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）に含まれているファイルが更新されていなかった場合には（ステップＳ３のＮｏ）、記憶部１０６内のアクセス履歴情報テーブル１０に既に設定登録されている当該ファイル内容に関する判定サーバ１２３の判定結果を読み出すとともに、レスポンス送信部８０を起動して、読み出した該判定結果に応じて、ＨＴＴＰレスポンスパケットのファイル内容を、危険を除去するように書き換える（ステップＳ６）。   In such a case, that is, when the file included in the HTTP response packet received this time (that is, the “HTTP 200 OK response”) has not been updated (No in step S3), the storage unit 106 In addition to reading out the determination result of the determination server 123 regarding the contents of the file already set and registered in the access history information table 10, the response transmission unit 80 is started, and the file of the HTTP response packet is read in accordance with the read out determination result. The contents are rewritten so as to remove the danger (step S6).

しかる後、アクセス判定機能部１０５ｂのレスポンス送信部８０は、判定サーバ１２３からの応答が示す判定結果または記憶部１０６内のアクセス履歴情報テーブル１０から読み出した判定結果に応じて書き換えられたファイル（すなわち、ウェブサーバ１２２から受け取ったままか、あるいは、危険を除去するように書き換えられた状態にあるファイル）を含むＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）を、ルーティング部１０４を経由して、ＬＡＮインタフェース１０２に転送する。ＬＡＮインタフェース１０２は、アクセス判定機能部１０５ｂのレスポンス送信部８０から転送されてきたＨＴＴＰレスポンスパケット（すなわち「ＨＴＴＰ ２００ ＯＫレスポンス」）を、ＬＡＮ側ネットワーク１１１に接続されているファイル取得要求元の端末１１２に対して送信する（ステップＳ７）。   Thereafter, the response transmission unit 80 of the access determination function unit 105b determines whether the file rewritten according to the determination result indicated by the response from the determination server 123 or the determination result read from the access history information table 10 in the storage unit 106 (ie, The HTTP response packet (that is, the “HTTP 200 OK response”) including the file as received from the web server 122 or in a state rewritten to remove the danger is transmitted via the routing unit 104. Transfer to the LAN interface 102. The LAN interface 102 transmits the HTTP response packet (that is, the “HTTP 200 OK response”) transferred from the response transmission unit 80 of the access determination function unit 105 b to the file acquisition request source terminal 112 connected to the LAN side network 111. (Step S7).

（端末１１２からウェブサーバ１２２にアクセスする場合の信号の流れ）
次に、図３、図４のシーケンスチャートを用いて、パケット中継装置１０１と端末１１２、ウェブサーバ１２２、判定サーバ１２３との間の信号のやり取りについて説明する。図３は、図１に示す端末１１２がパケット中継装置１０１を介してインターネット１２１上のウェブサーバ１２２にアクセスする場合の信号の流れの一例を示すシーケンスチャートである。ここで、図３は、パケット中継装置１０１がウェブサーバ１２２から今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが安全なファイルであるか否かを判定サーバ１２３に対して問い合わせを行う場合における信号の流れの一例を示している。 (Flow of signal when terminal 112 accesses web server 122)
Next, the signal exchange between the packet relay apparatus 101 and the terminal 112, the web server 122, and the determination server 123 will be described with reference to the sequence charts of FIGS. FIG. 3 is a sequence chart showing an example of a signal flow when the terminal 112 shown in FIG. 1 accesses the web server 122 on the Internet 121 via the packet relay device 101. Here, FIG. 3 asks the determination server 123 whether or not the file included in the “HTTP 200 OK response” received this time from the web server 122 by the packet relay apparatus 101 is a secure file. An example of a signal flow in the case is shown.

つまり、図３においては、パケット中継装置１０１の記憶部１０６のアクセス履歴情報テーブル１０内に「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値に関する情報をまだ記憶していなく、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、パケット中継装置１０１においてまだ取得したことがない最初のファイルであるか、あるいは、ウェブサーバ１２２から今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値が、記憶部１０６のアクセス履歴情報テーブル１０内に記憶しているヘッダ部の一部の値とは異なっていて、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、記憶部１０６のファイル格納部２０に保存されているファイルから更新された状態にあると判定される場合における信号の流れの一例を示している。   That is, in FIG. 3, information on a part of the header part of “HTTP 200 OK response” specified in advance is not yet stored in the access history information table 10 of the storage unit 106 of the packet relay apparatus 101. The file included in the received “HTTP 200 OK response” is the first file that has not yet been acquired in the packet relay apparatus 101, or the file included in the “HTTP 200 OK response” received this time from the web server 122. A part of the value of the header part is different from a part of the value of the header part stored in the access history information table 10 of the storage part 106, and is included in the “HTTP 200 OK response” received this time. Is stored in the file storage unit 20 of the storage unit 106. 4 shows an example of a signal flow when it is determined that the file has been updated from the current file.

また、図４は、図１に示す端末１１２がパケット中継装置１０１を介してインターネット１２１上のウェブサーバ１２２にアクセスする場合の図３とは異なる信号の流れの一例を示すシーケンスチャートである。すなわち、図４は、パケット中継装置１０１がウェブサーバ１２２から今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルに関する問い合わせを判定サーバ１２３に対して行わない場合における信号の流れの一例を示している。   FIG. 4 is a sequence chart illustrating an example of a signal flow different from that in FIG. 3 when the terminal 112 illustrated in FIG. 1 accesses the web server 122 on the Internet 121 via the packet relay device 101. That is, FIG. 4 illustrates an example of a signal flow in a case where the packet relay apparatus 101 does not make an inquiry to the determination server 123 regarding a file included in the “HTTP 200 OK response” received this time from the web server 122. ing.

つまり、図４においては、パケット中継装置１０１の記憶部１０６のアクセス履歴情報テーブル１０内には、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値と同じヘッダ部の一部の値に関する情報を記憶していて、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、記憶部１０６のファイル格納部２０に保存されているファイルから更新されていない状態にあると判定される場合であって、記憶部１０６のアクセス履歴情報テーブル１０内には、記憶部１０６のファイル格納部２０に保存されているファイルに関して安全なファイルであるか否かを示す判定サーバ１２３からの応答についても既に設定登録済みになっている場合における信号の流れの一例を示している。   That is, in FIG. 4, the access history information table 10 in the storage unit 106 of the packet relay apparatus 101 includes the same header part as the previously specified part of the header part of the “HTTP 200 OK response” received this time. A state in which information about some values is stored and the file included in the “HTTP 200 OK response” received this time is not updated from the file stored in the file storage unit 20 of the storage unit 106 In the case where it is determined that there is a file, the determination server indicating whether or not the file stored in the file storage unit 20 of the storage unit 106 is a safe file in the access history information table 10 of the storage unit 106 13 shows an example of a signal flow in a case where the response from 123 has already been set and registered. To have.

なお、図３、図４のシーケンスチャートにおいては、端末１１２からファイル取得要求を示す「ＨＴＴＰ ＧＥＴリクエスト」をパケット中継装置１０１が受け取った場合についての信号の流れを示しているが、簡素化を図るため、端末１１２、パケット中継装置１０１、ウェブサーバ１２２、判定サーバ１２３間における信号の送受信を記載することとし、端末１１２とパケット中継装置１０１との間に存在するＬＡＮ側ネットワーク１１１と、パケット中継装置１０１とウェブサーバ１２２および判定サーバ１２３との間に存在するインターネット１２１と、の間における信号の送受信に関しては記載を省略している。   3 and 4 show the flow of signals when the packet relay apparatus 101 receives an “HTTP GET request” indicating a file acquisition request from the terminal 112, but simplification will be made. Therefore, transmission and reception of signals between the terminal 112, the packet relay apparatus 101, the web server 122, and the determination server 123 will be described, and the LAN-side network 111 existing between the terminal 112 and the packet relay apparatus 101, The description of transmission and reception of signals between the Internet 101 and the Internet 121 existing between the Web server 122 and the determination server 123 is omitted.

パケット中継装置１０１は、前述したように、ＬＡＮインタフェース１０２において、ＬＡＮ側ネットワーク１１１に接続されている端末１１２とパケットの送受信を行い、ＷＡＮインタフェース１０３において、インターネット１２１上にあるウェブサーバ１２２および判定サーバ１２３とパケットの送受信を行っている。そして、パケット中継装置１０１内のルーティング部１０４は、ウェブサーバ１２２や判定サーバ１２３からインターネット１２１を経由して送信されてきたパケットを、ＷＡＮインタフェース１０３から受信した場合は、受信したパケットをパケット中継装置機能部１０５（パケット分析部１０５ａ、アクセス判定機能部１０５ｂ）に対して転送する。また、パケット中継装置１０１内のルーティング部１０４は、パケット中継装置機能部１０５（パケット分析部１０５ａ、アクセス判定機能部１０５ｂ）からパケットを受信した場合は、該パケットを指定された宛先に応じてＬＡＮインタフェース１０２、ＷＡＮインタフェース１０３に対して送信する。   As described above, the packet relay apparatus 101 transmits and receives packets to and from the terminal 112 connected to the LAN-side network 111 via the LAN interface 102, and transmits and receives the web server 122 and the determination server from the Internet 121 to the WAN interface 103. 123 is transmitted and received. Then, when a packet transmitted from the web server 122 or the determination server 123 via the Internet 121 is received from the WAN interface 103, the routing unit 104 in the packet relay apparatus 101 The packet is transferred to the function unit 105 (packet analysis unit 105a, access determination function unit 105b). When receiving a packet from the packet relay device function unit 105 (packet analysis unit 105a, access determination function unit 105b), the routing unit 104 in the packet relay device 101 transmits the packet to the LAN according to the designated destination. The data is transmitted to the interface 102 and the WAN interface 103.

図３、図４のシーケンスチャートにおいては、パケット中継装置１０１のＬＡＮ側のＩＰアドレスは‘１９２.１６８.１００.１/２４’であるものと仮定し、端末１１２のＩＰアドレスは‘１９２.１６８.１００.１０/２４’であるものと仮定する。また、ウェブサーバ１２２上に存在するファイルのＵＲＬは‘ＨＴＴＰ://example.com/test１.txt’であるものと仮定し、かつ、ファイル‘test１.txt’の更新日時は‘Fri，２０ Oct ２０１７ １２:２６:１９ GMT’であるものと仮定する。   In the sequence charts of FIGS. 3 and 4, it is assumed that the IP address of the packet relay device 101 on the LAN side is “192.168.100.1/24”, and the IP address of the terminal 112 is “192.168”. .100.10 / 24 '. It is also assumed that the URL of the file existing on the web server 122 is' HTTP://example.com/test1.txt ', and the update date and time of the file' test1.txt 'is' Fri, 20 Oct 2017 12:26:19 GMT '.

なお、明示しない限り、端末１１２からパケット中継装置１０１を介してウェブサーバ１２２に送信するＨＴＴＰリクエストのメソッドは、‘ＧＥＴ’であり、ウェブサーバ１２２からパケット中継装置１０１を介して端末１１２に返送するＨＴＴＰレスポンスパケットのステータスコードは‘２００’であるものと仮定する。また、ファイルに関するパケット中継装置１０１からの問い合わせに対して、判定サーバ１２３からパケット中継装置１０１に返送する応答は、‘安全なファイル’か‘危険なファイル’かのいずれかの判定結果であるものと仮定する。   Unless otherwise specified, the method of the HTTP request transmitted from the terminal 112 to the web server 122 via the packet relay device 101 is 'GET', and the HTTP request is returned from the web server 122 to the terminal 112 via the packet relay device 101. It is assumed that the status code of the HTTP response packet is '200'. Also, in response to an inquiry from the packet relay apparatus 101 regarding a file, a response returned from the determination server 123 to the packet relay apparatus 101 is a result of determination of either a “safe file” or a “dangerous file”. Assume that

図５は、図１のパケット中継装置１０１の記憶部１０６に記憶されている、端末１１２や端末１１３からウェブサーバ１２２へアクセスした履歴を登録するアクセス履歴情報テーブル１０の一例を示すテーブルである。図５には、端末１１２からウェブサーバ１２２向けに送信した「ＨＴＴＰ ＧＥＴ リクエスト」において取得要求対象のファイルを特定するための情報（例えばＵＲＬ、ファイル名）、および、それに対して、ウェブサーバ１２２から送信されてきた「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを特定するための情報（すなわちヘッダ部の特定した一部の値、例えば、ファイルの更新日時を示す値）、および、判定サーバ１２３から受信したファイルの判定結果を示す応答の内容が記憶されている一例を示している。   FIG. 5 is a table showing an example of the access history information table 10 stored in the storage unit 106 of the packet relay apparatus 101 of FIG. 1 and for registering a history of access to the web server 122 from the terminal 112 or the terminal 113. FIG. 5 shows information (for example, URL, file name) for specifying a file to be acquired in the “HTTP GET request” transmitted from the terminal 112 to the web server 122, and the web server 122 Information for specifying the file included in the transmitted “HTTP 200 OK response” (that is, a part of the value specified in the header portion, for example, a value indicating the update date and time of the file), and the determination server 123 5 shows an example in which the contents of a response indicating a determination result of a file received from the server are stored.

すなわち、図５のアクセス履歴情報テーブル１０は、ＧＥＴ欄１１、Ｈｏｓｔ欄１２、Last-Modified欄１３、判定サーバ応答欄１４を含んで構成されている。ここで、「ＨＴＴＰ ＧＥＴ リクエスト」側のＧＥＴ欄１１に、端末１１２が取得要求したファイルのファイル名例えば‘/test１.txt’を設定登録し、また、「ＨＴＴＰ ＧＥＴ リクエスト」側のＨｏｓｔ欄１２に、端末１１２が取得要求先として指定したウェブサーバ１２２上のファイルの所在場所を示すＵＲＬ例えば‘example.com’を設定登録する。   That is, the access history information table 10 of FIG. 5 includes a GET column 11, a Host column 12, a Last-Modified column 13, and a determination server response column 14. Here, the file name of the file requested to be obtained by the terminal 112, for example, '/test1.txt' is set and registered in the GET column 11 on the “HTTP GET request” side, and in the Host column 12 on the “HTTP GET request” side. Then, the terminal 112 sets and registers the URL indicating the location of the file on the web server 122 specified as the acquisition request destination, for example, 'example.com'.

また、「ＨＴＴＰ ２００ ＯＫレスポンス」側のLast-Modified欄１３には、「ＨＴＴＰ ＧＥＴ リクエスト」欄のＧＥＴ欄１１、Ｈｏｓｔ欄１２が示す「ＨＴＴＰ ＧＥＴ リクエスト」を受信したウェブサーバ１２２側から返送されてきた「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容例えばファイル名‘test１.txt’のファイル内容を、パケット中継装置１０１のファイル格納部２０に保存した際に、該ファイルを特定する情報として、該「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値例えば更新日時を示す値を取り出して設定登録する。図５のLast-Modified欄１３には、一例として‘Fri，２０ Oct ２０１７ １２:２６:１９ GMT’の更新日時を設定登録している例を示している。また、判定サーバ応答欄１４には、今回受け取った該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれていて、ファイル格納部２０に保存されたファイルの内容例えばファイル名‘test１.txt’のファイル内容の安全性に関して、判定サーバ１２３に対して問い合わせを行って得られた判定サーバ１２３の判定結果例えば‘安全なファイル’を示す情報を設定登録する。   In the Last-Modified column 13 on the “HTTP 200 OK response” side, the web server 122 that has received the “HTTP GET request” indicated by the GET column 11 and the Host column 12 in the “HTTP GET request” column is returned. When the content of the file included in the “HTTP 200 OK response”, for example, the file content of the file name “test1.txt” is stored in the file storage unit 20 of the packet relay apparatus 101, the information is used to specify the file. Then, a part of a predetermined value such as a value indicating the update date and time, for example, a value indicating the update date and time is extracted from the header part of the “HTTP 200 OK response” and registered. The Last-Modified column 13 in FIG. 5 shows an example in which the update date and time of 'Fri, 20 Oct 2017 12:26:19 GMT' is set and registered as an example. In the judgment server response field 14, the content of the file included in the "HTTP 200 OK response" received this time and stored in the file storage unit 20, for example, the security of the file content of the file name "test1.txt" With respect to the gender, the determination result of the determination server 123 obtained by making an inquiry to the determination server 123, for example, information indicating “secure file” is set and registered.

なお、本実施形態において、図２のフローチャートにて前述した記憶部１０６のアクセス履歴情報テーブル１０に設定登録しているヘッダ部のあらかじめ特定した一部の値とは、前述したように、Last-Modified欄１３に設定登録されているファイル名‘test１.txt’のファイル内容の最新更新日時‘Fri，２０ Oct ２０１７ １２:２６:１９ GMT’の値のことであり、また、記憶部１０６のファイル格納部２０に保存されているファイルとは、ＧＥＴ欄１１に設定登録されているファイル名‘/test１.txt’のファイルの内容のことである。   In the present embodiment, the previously specified partial value of the header portion registered and set in the access history information table 10 of the storage unit 106 described in the flowchart of FIG. The value of the latest update date and time 'Fri, 20 Oct 2017 12:26:19 GMT' of the file content of the file name 'test1.txt' registered and set in the Modified column 13. The file stored in the storage unit 20 is the content of the file with the file name '/test1.txt' registered and set in the GET column 11.

（（パケット中継装置１０１が判定サーバ１２３に問い合わせを行う場合の信号の流れ））
次に、記憶部１０６のファイル格納部２０に保存されているファイルを特定するための情報として用いる「ＨＴＴＰ ２００ ＯＫレスポンス」におけるヘッダ部のあらかじめ特定した一部の値が記憶部１０６のアクセス履歴情報テーブル１０に設定登録されていなかった場合、あるいは、該ヘッダ部の一部の値が設定登録されているものの、アクセス履歴情報テーブル１０に設定登録されていた該ヘッダ部の一部の値が、ウェブサーバ１２２から今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値とは異なっている場合であって、判定サーバ１２３に対して、該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容の安全性に関する問い合わせを行う場合の信号の流れについて、図３のシーケンスチャートを用いて、その一例を説明する。 ((Flow of signal when packet relay apparatus 101 inquires determination server 123))
Next, a part of the value specified in advance in the header part of the “HTTP 200 OK response” used as information for specifying the file stored in the file storage unit 20 of the storage unit 106 is the access history information of the storage unit 106. When the setting is not registered in the table 10 or the partial value of the header is set and registered in the access history information table 10, the partial value of the header is registered but This is a case where the value differs from a part of the header part of the “HTTP 200 OK response” received this time from the web server 122, and is included in the “HTTP 200 OK response” for the determination server 123. The sequence flow of FIG. 3 shows the signal flow when making an inquiry regarding the security of the file contents. It is used to explain one example.

図３のシーケンスチャートにおいて、端末１１２がウェブサーバ１２２上にあるファイル（ＵＲＬ：example.com、ファイル名：test１.txt）の取得を要求するためのウェブアクセス動作を行うと（シーケンスＳｅｑ１）、端末１１２からパケット中継装置１０１を介してインターネット１２１上のウェブサーバ１２２に対して、取得要求対象となるファイルを特定する情報を含む「ＨＴＴＰ ＧＥＴリクエスト」が送信される（シーケンスＳｅｑ２）。この時、該「ＨＴＴＰ ＧＥＴリクエスト」を中継するパケット中継装置１０１においては、アクセス判定機能部１０５ｂのアクセス履歴情報テーブル設定登録部６０により、該「ＨＴＴＰ ＧＥＴリクエスト」に含まれている取得要求対象となるファイルの所在場所を示すＵＲＬ‘example.com’および該ファイルのファイル名‘test１.txt’を、記憶部１０６のアクセス履歴情報テーブル１０の「ＨＴＴＰ ＧＥＴ リクエスト」側のＨｏｓｔ欄１２およびＧＥＴ欄１１に、該「ＨＴＴＰ ＧＥＴリクエスト」による取得要求対象のウェブサーバ１２２上のファイルを特定するための情報として設定登録する。   In the sequence chart of FIG. 3, when the terminal 112 performs a web access operation to request acquisition of a file (URL: example.com, file name: test1.txt) on the web server 122 (sequence Seq1), the terminal An “HTTP GET request” including information for specifying a file to be an acquisition request is transmitted from 112 to the web server 122 on the Internet 121 via the packet relay device 101 (sequence Seq2). At this time, in the packet relay device 101 that relays the “HTTP GET request”, the access history information table setting registration unit 60 of the access determination function unit 105b determines the acquisition request target included in the “HTTP GET request”. The URL “example.com” indicating the location of the file and the file name “test1.txt” of the file are stored in the Host column 12 and the GET column 11 on the “HTTP GET request” side of the access history information table 10 in the storage unit 106. Then, the setting is registered as information for specifying the file on the web server 122 that is the acquisition request target by the “HTTP GET request”.

しかる後、該「ＨＴＴＰ ＧＥＴリクエスト」をインターネット１２１を経由して受け取ったウェブサーバ１２２から、取得要求されたファイルを含む「ＨＴＴＰ ２００ ＯＫレスポンス」がパケット中継装置１０１に返送されてくると（シーケンスＳｅｑ３）、パケット中継装置１０１のＷＡＮインタフェース１０３は、該「ＨＴＴＰ ２００ ＯＫレスポンス」を、ルーティング部１０４からパケット中継装置機能部１０５のパケット分析部１０５ａに転送する。そして、パケット分析部１０５ａが、転送されてきたパケットを分析した結果、該パケットがウェブサーバ１２２から受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」であると判定した場合、該「ＨＴＴＰ ２００ ＯＫレスポンス」をアクセス判定機能部１０５ｂにさらに転送する。   Thereafter, when the “HTTP 200 OK response” including the requested file is returned to the packet relay apparatus 101 from the web server 122 that has received the “HTTP GET request” via the Internet 121 (sequence Seq3). ), The WAN interface 103 of the packet relay device 101 transfers the “HTTP 200 OK response” from the routing unit 104 to the packet analysis unit 105a of the packet relay device function unit 105. When the packet analysis unit 105a analyzes the transferred packet and determines that the packet is the “HTTP 200 OK response” received from the web server 122, the access determination is performed on the “HTTP 200 OK response”. The data is further transferred to the function unit 105b.

アクセス判定機能部１０５ｂは、パケット分析部１０５ａから「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取ると、まず、保存ファイル有無判定部３０を起動して、記憶部１０６のアクセス履歴情報テーブル１０（すなわちアクセス履歴情報テーブル１０のLast-Modified欄１３）に「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値（すなわち、ファイルの更新日時を示す値）が設定登録されているか否かを判定する。そして、該ヘッダ部の前記一部の値が設定登録されていた場合には、次に、ファイル更新判定部４０を起動して、今回受け取った該「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値（すなわちファイルの更新日時を示すLast-Modifiedフィールドの値）を取り出し、取り出した該ヘッダ部の前記一部の値と同じ値が、記憶部１０６のアクセス履歴情報テーブル１０（すなわちアクセス履歴情報テーブル１０のLast-Modified欄１３）に設定登録されているか否かを確認する（シーケンスＳｅｑ４）。   Upon receiving the “HTTP 200 OK response” from the packet analysis unit 105a, the access determination function unit 105b first activates the storage file presence / absence determination unit 30 and accesses the access history information table 10 of the storage unit 106 (that is, the access history information table It is determined whether or not a part of the header part of the “HTTP 200 OK response” specified in advance (that is, a value indicating the date and time of file update) is set and registered in the Last-Modified field 13 of 10). If the value of the part of the header is set and registered, the file update determination unit 40 is then activated, and the header of the “HTTP 200 OK response” received this time is identified in advance. The extracted partial value (that is, the value of the Last-Modified field indicating the file update date and time) is extracted, and the same value as the extracted partial value of the header portion is stored in the access history information table 10 of the storage unit 106 (ie, It is confirmed whether the setting is registered in the Last-Modified column 13) of the access history information table 10 (sequence Seq4).

確認結果として、記憶部１０６のアクセス履歴情報テーブル１０（すなわちアクセス履歴情報テーブル１０のLast-Modified欄１３）には、「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の特定した一部の値が設定登録されていない場合には、ファイル格納部２０にファイルが保存されていない状態であって、パケット分析部１０５ａから今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、当該パケット中継装置１０１が初めて受信した新規のファイルであると、アクセス判定機能部１０５ｂの保存ファイル有無判定部３０は判定する。あるいは、記憶部１０６のアクセス履歴情報テーブル１０（すなわちアクセス履歴情報テーブル１０のLast-Modified欄１３）には前記一部の値が設定登録されているものの、パケット分析部１０５ａから今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値とは異なる値が設定登録されている場合には、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容が、記憶部１０６のファイル格納部２０に保存されているファイル内容から更新されていると、アクセス判定機能部１０５ｂのファイル更新判定部４０は判定する。かくのごとく、新規のファイルであると判定した場合か、あるいは、ファイル内容が更新されていると判定した場合には（シーケンスＳｅｑ５）、次のように、判定サーバ１２３に対して、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルに関する問い合わせを行う。   As the confirmation result, a part of the specified value of the header part of “HTTP 200 OK response” is set and registered in the access history information table 10 of the storage unit 106 (that is, the Last-Modified column 13 of the access history information table 10). Otherwise, the file is not stored in the file storage unit 20, and the file included in the “HTTP 200 OK response” received this time from the packet analysis unit 105a is The stored file presence / absence determining unit 30 of the access determining function unit 105b determines that the file is a new file received for the first time. Alternatively, although the above part of the values is set and registered in the access history information table 10 of the storage unit 106 (that is, the Last-Modified column 13 of the access history information table 10), the “HTTP” received this time from the packet analysis unit 105a If a value different from a partly specified value in the header portion of the “200 OK response” is set and registered, the contents of the file included in the “HTTP 200 OK response” received this time are stored in the storage unit. The file update determination unit 40 of the access determination function unit 105b determines that the content has been updated from the file content stored in the file storage unit 20 of the file 106. As described above, when it is determined that the file is a new file, or when it is determined that the file contents have been updated (sequence Seq5), the determination server 123 receives the current file as follows. An inquiry is made regarding a file included in the “HTTP 200 OK response”.

すなわち、アクセス判定機能部１０５ｂは、ファイル安全性判定部５０を起動して、パケット分析部１０５ａから今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているウェブサーバ１２２からのファイル内容の安全性に関する問い合わせを判定サーバ１２３に対して行うために、該ファイル内容の安全性に関する問い合わせを行う問い合わせパケットを作成して、パケット中継装置１０１のＷＡＮインタフェース１０３に転送する（シーケンスＳｅｑ６）。その結果、パケット中継装置１０１のＷＡＮインタフェース１０３を経由して、インターネット１２１上の判定サーバ１２３に対して、ファイル内容の安全性に関する問い合わせパケットが送信される（シーケンスＳｅｑ７）。   That is, the access determination function unit 105b activates the file security determination unit 50, and relates to the security of the file content from the web server 122 included in the “HTTP 200 OK response” received this time from the packet analysis unit 105a. In order to make an inquiry to the determination server 123, an inquiry packet for inquiring about the security of the file contents is created and transferred to the WAN interface 103 of the packet relay apparatus 101 (sequence Seq6). As a result, an inquiry packet regarding the security of the file contents is transmitted to the determination server 123 on the Internet 121 via the WAN interface 103 of the packet relay apparatus 101 (sequence Seq7).

判定サーバ１２３は、パケット中継装置１０１からの問い合わせパケットを受け取ると、該問い合わせパケットに指定されているファイルの内容（すなわち、「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているウェブサーバ１２２からのファイルの内容）を確認し、安全なファイルであるか、あるいは、危険なファイルであるかを判定する。そして、判定サーバ１２３は、該ファイルの判定結果を含む応答パケットを作成して、問い合わせパケットの送信元のパケット中継装置１０１に対して、作成した応答パケットを返送する（シーケンスＳｅｑ８）。   Upon receiving the inquiry packet from the packet relay device 101, the determination server 123 receives the contents of the file specified in the inquiry packet (that is, the contents of the file from the web server 122 included in the “HTTP 200 OK response”). ) Is checked to determine whether the file is safe or dangerous. Then, the determination server 123 creates a response packet including the determination result of the file, and returns the created response packet to the packet relay device 101 that has transmitted the inquiry packet (sequence Seq8).

パケット中継装置１０１は、判定サーバ１２３からの応答パケットを受信すると、ＷＡＮインタフェース１０３を経由して、受け取った該応答パケットをアクセス判定機能部１０５ｂのファイル安全性判定部５０に転送する。アクセス判定機能部１０５ｂのファイル安全性判定部５０は、アクセス履歴情報テーブル設定登録部６０を起動して、処理対象としている「ＨＴＴＰ ＧＥＴ リクエスト」と対応付けて、判定サーバ１２３から受け取った該応答パケットの応答内容（すなわちファイルの判定結果）を、記憶部１０６のアクセス履歴情報テーブル１０の判定サーバ応答欄１４に設定登録するとともに、さらに、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダの一部の値（すなわちLast-Modifiedフィールドの値）を記憶部１０６のアクセス履歴情報テーブル１０のLast-Modified欄１３に設定登録する（シーケンスＳｅｑ９）。   Upon receiving the response packet from the determination server 123, the packet relay device 101 transfers the received response packet to the file security determination unit 50 of the access determination function unit 105b via the WAN interface 103. The file security determination unit 50 of the access determination function unit 105b activates the access history information table setting registration unit 60 and associates the response packet received from the determination server 123 with the "HTTP GET request" to be processed. Of the response (that is, the determination result of the file) is set and registered in the determination server response column 14 of the access history information table 10 of the storage unit 106, and further, a part of the header of the “HTTP 200 OK response” received this time is received. The value (that is, the value of the Last-Modified field) is set and registered in the Last-Modified column 13 of the access history information table 10 of the storage unit 106 (sequence Seq9).

しかる後、アクセス判定機能部１０５ｂは、レスポンス送信部８０を起動して、判定サーバ１２３からの応答内容に応じて、ウェブサーバ１２２から今回受け取っている「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えた後（シーケンスＳｅｑ１０）、該「ＨＴＴＰ ２００ ＯＫレスポンス」を、ＬＡＮインタフェース１０２から、「ＨＴＴＰ ＧＥＴリクエスト」の送信元（すなわち、当該ファイルの取得要求元）の端末１１２に対して送信する（シーケンスＳｅｑ１１）。   Thereafter, the access determination function unit 105b activates the response transmission unit 80, and according to the content of the response from the determination server 123, the file included in the “HTTP 200 OK response” received this time from the web server 122. Is rewritten (sequence Seq10), the “HTTP 200 OK response” is transmitted from the LAN interface 102 to the terminal 112 that has transmitted the “HTTP GET request” (that is, the file acquisition request source). Yes (sequence Seq11).

例えば、判定サーバ１２３からの応答内容が、‘安全なファイル’という応答であった場合には、ウェブサーバ１２２から受け取っている「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えることなく、そのまま、ＬＡＮインタフェース１０２から、端末１１２に対して送信する。また、判定サーバ１２３からの応答内容が、‘危険なファイル’という応答であった場合には、ウェブサーバ１２２から受け取っている「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を、危険を除去するように書き換えてから、ＬＡＮインタフェース１０２から、端末１１２に対して送信する。   For example, when the response content from the determination server 123 is a response “safe file”, the content of the file included in the “HTTP 200 OK response” received from the web server 122 is not rewritten. Is transmitted from the LAN interface 102 to the terminal 112 as it is. If the response content from the determination server 123 is a response of “dangerous file”, the content of the file included in the “HTTP 200 OK response” received from the web After being rewritten to be removed, it is transmitted from the LAN interface 102 to the terminal 112.

なお、シーケンスＳｅｑ９においては、記憶部１０６のアクセス履歴情報テーブル１０（すなわちアクセス履歴情報テーブル１０のLast-Modified欄１３）に、「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値が既に設定登録されているものの、パケット分析部１０５ａから今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値とは異なる値が設定登録されていた場合には、判定サーバ１２３からの応答内容に応じて、記憶部１０６のアクセス履歴情報テーブル１０のLast-Modified欄１３に設定されていた情報を書き換えることになる。   In the sequence Seq9, a part of the header part of the “HTTP 200 OK response” is already set and registered in the access history information table 10 of the storage unit 106 (that is, the Last-Modified column 13 of the access history information table 10). However, if a value different from a part of the value of the header part of the “HTTP 200 OK response” received this time from the packet analysis unit 105 a is set and registered, Thus, the information set in the Last-Modified column 13 of the access history information table 10 in the storage unit 106 is rewritten.

例えば、記憶部１０６のアクセス履歴情報テーブル１０（すなわちアクセス履歴情報テーブル１０のLast-Modified欄１３）に既に設定登録されている「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値が、図５のNo.１の行に示したように、‘Fri，２０ Oct ２０１７ １２:２６:１９ GMT’の更新日時であり、一方、パケット分析部１０５ａから今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値が、‘Tue，２４ Oct ２０１７ １２:２６:１９ GMT’という新しい更新日時であった場合には、取得要求されているファイル（ファイル名：test１.txt）の内容が記憶部１０６のファイル格納部２０に保存されている内容から更新されているものと判断することができる。したがって、アクセス判定機能部１０５ｂのファイル安全性判定部５０は、シーケンスＳｅｑ６において、更新日時‘Tue，２４ Oct ２０１７ １２:２６:１９ GMT’に更新されたファイルのファイル内容に関する問い合わせを判定サーバ１２３に対して行う。   For example, the value of a part of the header part of the “HTTP 200 OK response” already set and registered in the access history information table 10 of the storage unit 106 (that is, the Last-Modified field 13 of the access history information table 10) is shown in FIG. As shown in the No. 1 line, the update date and time of 'Fri, 20 Oct 2017 12:26:19 GMT', and the header part of the “HTTP 200 OK response” received this time from the packet analysis unit 105a. Is a new update date and time of 'Tue, 24 Oct 2017 12:26:19 GMT', the contents of the file requested to be obtained (file name: test1.txt) are stored in the storage unit. It can be determined from the content stored in the file storage unit 106 that the file has been updated. Therefore, the file security determination unit 50 of the access determination function unit 105b sends an inquiry to the determination server 123 regarding the file contents of the file updated at the update date and time 'Tue, 24 Oct 2017 12:26:19 GMT' in the sequence Seq6. Do it for

そして、アクセス判定機能部１０５ｂのファイル安全性判定部５０は、シーケンスＳｅｑ８において、該問い合わせに対する判定サーバ１２３からの応答パケットを受け取ると、該応答パケットに含まれている応答内容を確認する。確認した結果として、更新されたファイルが例えば‘安全なファイル’という応答であった場合には、ファイル保存部７０を起動して、記憶部１０６のファイル格納部２０のファイル内容を、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルによって書き換えるとともに、アクセス履歴情報テーブル設定登録部６０を起動して、図６に示すように、記憶部１０６のアクセス履歴情報テーブル１０の設定内容を書き換える。   Then, upon receiving a response packet from the determination server 123 in response to the inquiry in sequence Seq8, the file safety determination unit 50 of the access determination function unit 105b checks the response content included in the response packet. As a result of the confirmation, if the updated file is, for example, a response of “secure file”, the file storage unit 70 is activated, and the file content of the file storage unit 20 of the storage unit 106 is received this time. The file is rewritten with the file included in the “HTTP 200 OK response”, and the access history information table setting registration unit 60 is activated to rewrite the setting contents of the access history information table 10 in the storage unit 106 as shown in FIG. .

すなわち、アクセス履歴情報テーブル設定登録部６０は、該応答パケットの応答内容により、記憶部１０６のアクセス履歴情報テーブル１０の判定サーバ応答欄１４のNo．１の行を、図５の設定登録内容から書き換えるとともに、パケット分析部１０５ａから今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値（すなわちLast-Modifiedフィールドの値）の‘Tue，２４ Oct ２０１７ １８:１２:２５ GMT’によって、記憶部１０６のアクセス履歴情報テーブル１０（すなわちアクセス履歴情報テーブル１０のLast-Modified欄１３）のNo．１の行を、図５の設定登録内容から書き換える。図６は、図５に示したアクセス履歴情報テーブル１０の設定登録内容を、新たに受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値によって更新して設定登録し直した場合の一例を示すテーブルである。   That is, the access history information table setting registration unit 60 determines the No. of the determination server response column 14 of the access history information table 10 of the storage unit 106 based on the response content of the response packet. 1 is rewritten from the setting registration contents of FIG. 5, and a part of the header part of the “HTTP 200 OK response” received this time from the packet analysis unit 105a (that is, the value of the Last-Modified field) “Tue, 24 Oct 2017 18:12:25 GMT ', the No. of the access history information table 10 of the storage unit 106 (that is, the Last-Modified column 13 of the access history information table 10). Line 1 is rewritten from the setting registration contents of FIG. FIG. 6 shows an example in which the setting registration contents of the access history information table 10 shown in FIG. 5 are updated with a part of the header part of the newly received “HTTP 200 OK response” and the settings are registered again. FIG.

なお、アクセス判定機能部１０５ｂのレスポンス送信部８０は、判定サーバ１２３からの応答パケットに含まれている応答内容を確認した結果として、更新されたファイルが‘危険なファイル’という応答であった場合には、前述したように、シーケンスＳｅｑ１０、シーケンスＳｅｑ１１において、ウェブサーバ１２２から今回受け取っている「ＨＴＴＰ ２００ ＯＫレスポンス」のファイル内容を、危険を除去するように書き換えてから、ＬＡＮインタフェース１０２から、端末１１２に対して送信する。そして、かかる場合においても、ウェブサーバ１２２から今回受け取っている「ＨＴＴＰ ２００ ＯＫレスポンス」に基づいて、‘危険なファイル’として、記憶部１０６のファイル格納部２０のファイル内容をファイル保存部７０により更新して保存するとともに、記憶部１０６のアクセス履歴情報テーブル１０のNo．１の行の設定登録内容についてもアクセス履歴情報テーブル設定登録部６０により更新して設定登録することになる。   Note that the response transmission unit 80 of the access determination function unit 105b checks the content of the response included in the response packet from the determination server 123, and as a result, when the updated file is a response of "dangerous file". As described above, in the sequence Seq10 and the sequence Seq11, the file content of the “HTTP 200 OK response” received this time from the web server 122 is rewritten so as to remove the danger, and then, from the LAN interface 102, the terminal Send to 112. Then, even in such a case, based on the “HTTP 200 OK response” currently received from the web server 122, the file content of the file storage unit 20 of the storage unit 106 is updated by the file storage unit 70 as a “dangerous file”. And store it in the access history information table 10 in the storage unit 106. The setting registration contents of one row are also updated and registered by the access history information table setting registration unit 60.

しかし、場合によっては、異なる処理を行うようにしても良い。すなわち、例えば、更新されたファイルが‘危険なファイル’という判定サーバ１２３からの応答であった場合には、「ＨＴＴＰ ２００ ＯＫレスポンス」のファイル内容を、危険を除去するように書き換えてから、ＬＡＮインタフェース１０２から、端末１１２に対して送信するものの、記憶部１０６のファイル格納部２０のファイル内容を、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルによって書き換えることを中止し、また、記憶部１０６のアクセス履歴情報テーブル１０のNo．１の行の設定登録内容を書き換えることも中止して、そのまま、今までの設定登録内容を継続するようにしても良い。   However, in some cases, different processing may be performed. That is, for example, when the updated file is a response from the determination server 123 that the file is “dangerous file”, the file content of the “HTTP 200 OK response” is rewritten to remove the danger, and then the LAN Although being transmitted from the interface 102 to the terminal 112, the rewriting of the file content of the file storage unit 20 of the storage unit 106 with the file included in the “HTTP 200 OK response” received this time is stopped. No. of the access history information table 10 in the storage unit 106 The rewriting of the setting registration content of the first row may be stopped, and the setting registration content up to now may be continued.

（（パケット中継装置１０１が判定サーバ１２３に問い合わせない場合の信号の流れ））
次に、ウェブサーバ１２２から今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値と同じ値が記憶部１０６のアクセス履歴情報テーブル１０に設定登録されている場合であって（すなわち、該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、記憶部１０６のファイル格納部２０に保存されているファイルからは更新されていなかった状態の場合であって）、判定サーバ１２３に対して、該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容に関する問い合わせを行う必要がない場合の信号の流れについて、図４のシーケンスチャートを用いて、その一例を説明する。つまり、ウェブサーバ１２２から今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のLast-Modifiedフィールドの値と同一の値が、記憶部１０６のアクセス履歴情報テーブル１０（すなわちアクセス履歴情報テーブル１０のLast-Modified欄１３）に登録されていた場合の信号の流れについて、その一例を説明する。 ((Flow of signal when packet relay apparatus 101 does not make inquiry to determination server 123))
Next, there is a case where the same value as the previously specified partial value of the header part of the “HTTP 200 OK response” received this time from the web server 122 is set and registered in the access history information table 10 of the storage unit 106. (That is, the file included in the “HTTP 200 OK response” has not been updated from the file stored in the file storage unit 20 of the storage unit 106), and the determination server 123 An example of the signal flow when it is not necessary to make an inquiry about the contents of the file included in the “HTTP 200 OK response” will be described with reference to the sequence chart of FIG. That is, the same value as the value of the Last-Modified field in the header of the “HTTP 200 OK response” received this time from the web server 122 is stored in the access history information table 10 of the storage unit 106 (that is, the Last-Modified field of the access history information table 10). An example of a signal flow when the signal is registered in the Modified column 13) will be described.

例えば、図５のアクセス履歴情報テーブル１０のLast-Modified欄１３には、‘Fri，２０ Oct ２０１７ １２:２６:１９ GMT’という更新日時が登録されているが、アクセス判定機能部１０５ｂがウェブサーバ１２２から今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のLast-Modifiedフィールドにも、同一の‘Fri，２０ Oct ２０１７ １２:２６:１９ GMT’という更新日時が設定されていた場合には、アクセス判定機能部１０５ｂのファイル更新判定部４０は、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値と同一の値が、アクセス履歴情報テーブル１０に設定登録されていると判定する。   For example, the update date and time “Fri, 20 Oct 2017 12:26:19 GMT” is registered in the Last-Modified column 13 of the access history information table 10 in FIG. If the same update date and time of 'Fri, 20 Oct 2017 12:26:19 GMT' is also set in the Last-Modified field of the header of the “HTTP 200 OK response” The file update determination unit 40 of the determination function unit 105b determines that the same value as a part of the value of the header part of the “HTTP 200 OK response” received this time is set and registered in the access history information table 10.

かかる場合には、ウェブサーバ１２２上のファイルの更新日時が、記憶部１０６のファイル格納部２０に保存されているファイルの更新日時と同じである。したがって、ウェブサーバ１２２から今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルに関しては、アクセス履歴情報テーブル１０のLast-Modified欄１３に設定登録した更新日時の値さらには判定サーバ応答欄１４に設定登録した判定サーバ１２３からの判定結果を、そのまま、適用することが可能であると判断することができる。   In such a case, the update date and time of the file on the web server 122 is the same as the update date and time of the file stored in the file storage unit 20 of the storage unit 106. Therefore, regarding the file included in the “HTTP 200 OK response” received this time from the web server 122, the value of the update date and time set and registered in the Last-Modified column 13 of the access history information table 10 and the determination server response column 14 It can be determined that the determination result from the determination server 123 registered and set as described above can be applied as it is.

図４のシーケンスチャートにおいて、端末１１２からパケット中継装置１０１を経由してウェブサーバ１２２に対して送信した「ＨＴＴＰ ＧＥＴリクエスト」に応じて、該ウェブサーバ１２２から「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取ったパケット中継装置１０１のアクセス判定機能部１０５ｂが、該「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部（Last-Modifiedフィールド）の値と同じ値が、記憶部１０６のアクセス履歴情報テーブル１０のLast-Modified欄１３に設定登録されているか否かを確認するまでの動作については、前述した図３のシーケンスチャートのシーケンスＳｅｑ１〜シーケンスＳｅｑ４までの動作と全く同様である。したがって、図４のシーケンスチャートにおいても、図３と同じシーケンスＳｅｑ１〜シーケンスＳｅｑ４というシーケンス番号を付して、ここでの重複する説明を割愛し、シーケンスＳｅｑ５ａ以降の動作について、以下に説明する。   In the sequence chart of FIG. 4, in response to the “HTTP GET request” transmitted from the terminal 112 to the web server 122 via the packet relay device 101, the packet receiving the “HTTP 200 OK response” from the web server 122 The access determination function unit 105b of the relay apparatus 101 determines that the same value as the previously specified part (Last-Modified field) of the header part of the “HTTP 200 OK response” in the access history information table 10 of the storage unit 106. The operation up to confirming whether or not the setting is registered in the Last-Modified column 13 is exactly the same as the operation of the sequence Seq1 to the sequence Seq4 in the sequence chart of FIG. Therefore, in the sequence chart of FIG. 4, the same sequence numbers as sequence Seq <b> 1 to sequence Seq <b> 4 are added to FIG. 3 to omit redundant description, and the operation after sequence Seq <b> 5 a will be described below.

図４のシーケンスＳｅｑ４における確認結果として、記憶部１０６のアクセス履歴情報テーブル１０（すなわちアクセス履歴情報テーブル１０のLast-Modified欄１３）に設定登録されている値と全く同一の値が、パケット分析部１０５ａから今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のLast-Modifiedフィールドに設定されていて、取得要求したファイル（test１.txt）は、記憶部１０６のファイル格納部２０に保存されているファイルから更新されていない状態にあるとアクセス判定機能部１０５ｂのファイル更新判定部４０が判定した場合には（シーケンスＳｅｑ５ａ）、次のように動作する。   As a result of the confirmation in the sequence Seq4 of FIG. 4, a value exactly the same as the value set and registered in the access history information table 10 of the storage unit 106 (ie, the Last-Modified column 13 of the access history information table 10) The file (test1.txt) set in the Last-Modified field of the header part of the “HTTP 200 OK response” received this time from 105a and stored in the file storage unit 20 of the storage unit 106 When the file update determination unit 40 of the access determination function unit 105b determines that the file has not been updated from the above (sequence Seq5a), the following operation is performed.

すなわち、かかる場合には、ファイル安全性判定部５０により判定サーバ１２３に対する問い合わせを行うことを抑止し、また、ファイル保存部７０によりファイル格納部２０のファイルを、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルによって更新して保存し直すことも抑止し、さらには、アクセス履歴情報テーブル設定登録部６０によりアクセス履歴情報テーブル１０の設定登録情報を更新することも抑止する。   That is, in such a case, it is suppressed that the file security determination unit 50 makes an inquiry to the determination server 123, and the file storage unit 70 transmits the file in the file storage unit 20 to the “HTTP 200 OK response” received this time. It also suppresses updating and re-saving with the file included in the file, and furthermore, updating of the setting registration information of the access history information table 10 by the access history information table setting registration unit 60 is also suppressed.

そして、レスポンス送信部８０において、記憶部１０６のアクセス履歴情報テーブル１０の判定サーバ応答欄１４に既に設定登録されている応答内容（すなわちファイル格納部２０に保存されているファイルに関する判定サーバ１２３からの応答内容として判定サーバ応答欄１４に設定登録済みの応答内容）に応じて、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えて（シーケンスＳｅｑ２１）、ＬＡＮインタフェース１０２から、「ＨＴＴＰ ＧＥＴリクエスト」の送信元（当該ファイルの取得要求元）の端末１１２に対して送信する（シーケンスＳｅｑ２２）。   Then, in the response transmitting unit 80, the response contents already set and registered in the determination server response column 14 of the access history information table 10 of the storage unit 106 (that is, the response content from the determination server 123 regarding the file stored in the file storage unit 20). The content of the file included in the “HTTP 200 OK response” received this time is rewritten according to the response content (response content set and registered in the determination server response field 14) (sequence Seq21). The “HTTP GET request” is transmitted to the terminal 112 that is the transmission source (request for obtaining the file) (sequence Seq22).

ここで、例えば、アクセス履歴情報テーブル１０の判定サーバ応答欄１４に設定登録されている応答内容が‘安全なファイル’であった場合には、ウェブサーバ１２２から今回受け取っている「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えることなく、そのまま、ＬＡＮインタフェース１０２から、端末１１２に対して送信する。また、アクセス履歴情報テーブル１０の判定サーバ応答欄１４に設定登録されている応答内容が‘危険なファイル’であった場合には、ウェブサーバ１２２から今回受け取っている「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を、危険を除去するように書き換えてから、ＬＡＮインタフェース１０２から、端末１１２に対して送信する。   Here, for example, when the response content set and registered in the determination server response column 14 of the access history information table 10 is “secure file”, the “HTTP 200 OK response” received this time from the web server 122 is used. Is transmitted from the LAN interface 102 to the terminal 112 without rewriting the contents of the file included in the file. If the response content set and registered in the determination server response field 14 of the access history information table 10 is “dangerous file”, the response content is included in the “HTTP 200 OK response” received this time from the web server 122. After rewriting the contents of the file so as to remove the danger, the file is transmitted from the LAN interface 102 to the terminal 112.

＜本発明の実施形態の効果の説明＞
以上に詳細に説明したように、本実施形態においては、以下のような効果を奏することができる。 <Description of Effects of Embodiments of the Present Invention>
As described above in detail, in the present embodiment, the following effects can be obtained.

本実施形態においては、パケットの中継を行うパケット中継装置１０１のＬＡＮインタフェース１０２側に接続した端末１１２や端末１１３等のいずれかの端末例えば端末１１２が、ウェブブラウザ１１２ａを使用して、インターネット１２１上のウェブサーバ１２２のファイルを取得しようとする際に、次のように動作するので、パケット中継装置１０１や判定サーバ１２３の処理負荷を軽減することができる。   In the present embodiment, any one of the terminals 112 and 113 connected to the LAN interface 102 side of the packet relay device 101 that relays a packet, for example, the terminal 112 is connected to the Internet 121 by using the web browser 112a. When the file of the web server 122 is acquired, the following operation is performed, so that the processing load on the packet relay apparatus 101 and the determination server 123 can be reduced.

すなわち、パケット中継装置１０１は、まず、端末１１２が取得しようとするファイルが当該パケット中継装置１０１内の記憶部１０６のファイル格納部２０に既に格納されているか否かを確認し、格納されていた場合には、次に、取得しようとするウェブサーバ１２２上の該ファイルが、記憶部１０６のファイル格納部２０に既に格納されているファイルから更新されているか否かを判定して、判定した結果に応じて、判定サーバ１２３に対して該ファイルの安全性に関する問い合わせを行うか否かを判断しているので、パケット中継装置１０１が判定サーバ１２３に問い合わせる回数を低減させることができる。而して、パケット中継装置１０１と判定サーバ１２３と間の通信量を低減させることができ、パケット中継装置１０１および判定サーバ１２３の性能向上を図ることができる。   That is, the packet relay apparatus 101 first confirms whether or not the file to be obtained by the terminal 112 is already stored in the file storage unit 20 of the storage unit 106 in the packet relay apparatus 101, and the file is stored. In this case, it is next determined whether or not the file on the web server 122 to be acquired has been updated from a file already stored in the file storage unit 20 of the storage unit 106, and the determination result Therefore, it is determined whether or not to make an inquiry regarding the security of the file to the determination server 123, so that the number of times the packet relay apparatus 101 makes an inquiry to the determination server 123 can be reduced. Thus, the traffic between the packet relay device 101 and the determination server 123 can be reduced, and the performance of the packet relay device 101 and the determination server 123 can be improved.

＜本発明の他の実施形態＞
次に、本発明の他の実施形態について説明する。 <Another embodiment of the present invention>
Next, another embodiment of the present invention will be described.

前述した実施形態においては、図５や図６に示したように、ウェブサーバ１２２上の１つのファイルに対して、パケット中継装置１０１の記憶部１０６のアクセス履歴情報テーブル１０に設定登録するヘッダ部の一部の値（すなわちアクセス履歴情報テーブル１０のLast-Modified欄１３に設定登録される値）は１つであった。しかし、本発明は、かかる場合に限るものではない。   In the above-described embodiment, as shown in FIGS. 5 and 6, the header section for setting and registering one file on the web server 122 in the access history information table 10 of the storage section 106 of the packet relay apparatus 101. Is one (that is, the value set and registered in the Last-Modified column 13 of the access history information table 10). However, the present invention is not limited to such a case.

例えば、ウェブサーバ１２２上のファイルが不正なファイルに書き換えられた後に、元のファイルに戻った場面等を想定すると、図７のNo.１の行およびNo.２の行に示すように、ウェブサーバ１２２上の１つのファイルに対して、不正なファイルに書き換えられる前と書き換えられた後との双方について、アクセス履歴情報テーブル１０におけるヘッダ部の一部の値の設定欄（すなわちアクセス履歴情報テーブル１０のLast-Modified欄１３）に、それぞれで異なる値を記憶するようにしても良い。   For example, assuming a situation in which a file on the web server 122 is rewritten to an unauthorized file and then returns to the original file, as shown in the rows No. 1 and No. 2 in FIG. For one file on the server 122, before and after rewriting to an unauthorized file, a setting column of a part of the header portion of the access history information table 10 (that is, the access history information table Different values may be stored in the 10 Last-Modified fields 13).

つまり、ウェブサーバ１２２の１つのファイルに関して、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを特定するためのヘッダ部の一部の値が、記憶部１０６のアクセス履歴情報テーブル１０に設定登録されている値とは異なっていた場合には、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを、記憶部１０６のファイル格納部２０に既に保存されているファイルとは重ならないように、新たに追加する形で保存するようにしても良い。そして、新たに追加保存したファイルを特定するための情報として、該「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値を取り出して、記憶部１０６のアクセス履歴情報テーブル１０の新たな行（No．２の行）に追加登録するようにする。   That is, for one file of the web server 122, a part of the value of the header part for specifying the file included in the “HTTP 200 OK response” received this time is stored in the access history information table 10 of the storage unit 106. If the value is different from the registered value, the file included in the “HTTP 200 OK response” received this time overlaps with the file already stored in the file storage unit 20 of the storage unit 106. In order to avoid such a situation, the data may be stored in a newly added form. Then, a part of the value of the header part of the “HTTP 200 OK response” is extracted as information for specifying the newly added and saved file, and a new row (No. .2 line).

その結果、ウェブサーバ１２２上の１つのファイルに関して、ファイル保存部７０により、記憶部１０６のファイル格納部２０に１ないし複数のファイルを保存する場合、各ファイルそれぞれを特定する情報として、ファイル格納部２０に保存されるファイルの個数に応じて、記憶部１０６のアクセス履歴情報テーブル１０に設定登録される「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値（すなわちアクセス履歴情報テーブル１０のLast-Modified欄１３に設定登録される値）を複数個設定登録することになる。   As a result, when one or more files are stored in the file storage unit 20 of the storage unit 106 by the file storage unit 70 for one file on the web server 122, the file storage unit 20 according to the number of files stored in the access history information table 10 of the storage unit 106, a part of the value of the header part of the “HTTP 200 OK response” (that is, the Last- A plurality of values (set and registered in the Modified column 13) are set and registered.

図７は、図１のパケット中継装置１０１の記憶部１０６に記憶されている、端末１１２や端末１１３からウェブサーバ１２２へアクセスした履歴を登録するアクセス履歴情報テーブル１０の図５とは異なる例を示すテーブルであり、１つのファイルに対して２つの異なるヘッダ部の一部の値を設定登録している例を示している。   FIG. 7 shows an example different from FIG. 5 of the access history information table 10 for registering the history of access to the web server 122 from the terminal 112 or the terminal 113 stored in the storage unit 106 of the packet relay apparatus 101 in FIG. FIG. 7 is a table showing an example in which some values of two different header portions are set and registered for one file.

図７のアクセス履歴情報テーブル１０においては、「ＨＴＴＰ ＧＥＴリクエスト」側のＧＥＴ欄１１に示すように、‘test１.txt’という１つのファイルに対して、「ＨＴＴＰ ２００ ＯＫレスポンス」側のLast-Modified欄１３に示すように、No.１の行に ‘Fri，２０ Oct ２０１７ １２:２６:１９ GMT’という更新日時を示す値を設定登録し、No.２の行に‘Sun，２２ Oct ２０１７ ０８:４１:５２ GMT’という更新日時を示す値を設定登録している例を示している。   In the access history information table 10 shown in FIG. 7, as shown in the GET column 11 on the “HTTP GET request” side, for one file “test1.txt”, Last-Modified on the “HTTP 200 OK response” side As shown in column 13, a value indicating the update date and time of “Fri, 20 Oct 2017 12:26:19 GMT” is set and registered in the row of No. 1, and “Sun, 22 Oct 2017 08” in the row of No. 2. : 41: 52 GMT 'indicates an example in which a value indicating an update date and time is set and registered.

なお、図７のアクセス履歴情報テーブル１０の判定サーバ応答欄１４に示すように、No.１の行の‘Fri，２０ Oct ２０１７ １２:２６:１９ GMT’が更新日時になっているファイルの場合は、不正なファイルに書き換えられる前の状態として、判定サーバ１２３による判定が‘安全なファイル’との判定結果であったことを示している。一方、No.２の行の‘Sun，２２ Oct ２０１７ ０８:４１:５２ GMT’が更新日時になっているファイルの場合は、不正なファイルに書き換えられた後の状態として、判定サーバ１２３による判定が‘危険なファイル’という判定結果に変化していることを示している。   As shown in the judgment server response field 14 of the access history information table 10 in FIG. 7, in the case of a file in which “Fri, 20 Oct 2017 12:26:19 GMT” in the No. 1 row is the update date and time. Indicates that the judgment by the judgment server 123 is a judgment result of “safe file” as a state before being rewritten to an unauthorized file. On the other hand, in the case of a file whose update date is “Sun, 22 Oct 2017 08:41:52 GMT” in the row of No. 2, the determination server 123 determines that the file has been rewritten by an invalid file. Has changed to a judgment result of "dangerous file".

次に、ウェブサーバ１２２から受信した「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれるファイルを特定するための情報を設定しているヘッダ部のフィールドに関する異なる例を説明する。前述した実施形態においては、ウェブサーバ１２２上のファイルがパケット中継装置１０１の記憶部１０６のファイル格納部２０に既に保存されているか否かを判定し、かつ、既に保存されている場合には、ウェブサーバ１２２上のファイルがパケット中継装置１０１の記憶部１０６のファイル格納部２０に既に保存されているファイル内容から更新されているか否かを判定するための「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値として（言い換えると、「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれるファイルを特定するための情報を設定しているヘッダ部のフィールドの値として）、ファイル内容が最後に更新された日時（最新更新日時）を設定するLast-Modifiedフィールドの値を使用していた。   Next, a description will be given of a different example of a field of a header portion in which information for specifying a file included in the “HTTP 200 OK response” received from the web server 122 is set. In the above-described embodiment, it is determined whether or not the file on the web server 122 is already stored in the file storage unit 20 of the storage unit 106 of the packet relay device 101. The header of the "HTTP 200 OK response" for determining whether the file on the web server 122 has been updated from the file content already stored in the file storage unit 20 of the storage unit 106 of the packet relay apparatus 101. As a partial value (in other words, as a value of a field of a header portion that sets information for specifying a file included in the “HTTP 200 OK response”), the date and time when the file content was last updated (the latest date and time) Update date) was used in the Last-Modified field.

しかし、本発明は、かかる場合に限るものではなく、ウェブサーバ１２２から取得したファイルがパケット中継装置１０１の記憶部１０６のファイル格納部２０に既に保存されているか否か、および、既に保存されている場合には、ウェブサーバ１２２から今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが保存されているファイルから更新されているか否かを、「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の他のフィールドの値を用いて判定するようにしても良い。   However, the present invention is not limited to this case, and determines whether or not the file acquired from the web server 122 is already stored in the file storage unit 20 of the storage unit 106 of the packet relay apparatus 101. If the file is included in the “HTTP 200 OK response” received from the web server 122 this time, it is determined whether or not the file included in the “HTTP 200 OK response” has been updated from the stored file, in addition to the header part of the “HTTP 200 OK response”. Alternatively, the determination may be made using the value of the field of.

例えば、図８に示すように、ウェブサーバ１２２が生成するファイルごとの識別子であるETagフィールドの値や、ファイルのサイズを示すContent-Lengthフィールドの値等、「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のLast-Modifiedフィールド以外の値を使用して、ウェブサーバ１２２上のファイルがパケット中継装置１０１の記憶部１０６のファイル格納部２０にファイルが保存されているか否か、および、保存されている場合には、既に保存されているファイル内容から更新されているか否かを判定するようにしても良い。   For example, as shown in FIG. 8, the value of the ETag field which is an identifier for each file generated by the web server 122, the value of the Content-Length field indicating the size of the file, and the like, are included in the header part of the "HTTP 200 OK response". Using a value other than the Last-Modified field, it is determined whether the file on the web server 122 is stored in the file storage unit 20 of the storage unit 106 of the packet relay apparatus 101, and whether the file is stored. May determine whether or not the content has been updated from the file content already stored.

図８は、図１のパケット中継装置１０１の記憶部１０６に記憶されている、端末１１２や端末１１３からウェブサーバ１２２へアクセスした履歴を登録するアクセス履歴情報テーブルの図５、図７とは異なる例を示すテーブルであり、「ＨＴＴＰ ２００ ＯＫレスポンス」側に、Last-Modified欄１３の他に、ETag欄１５やContent-Length欄１６をさらに追加して構成しているテーブル例を示している。   FIG. 8 is different from FIGS. 5 and 7 in the access history information table stored in the storage unit 106 of the packet relay apparatus 101 in FIG. 1 and for registering the history of access to the web server 122 from the terminal 112 or the terminal 113. This is a table showing an example, and shows a table example in which an ETag column 15 and a Content-Length column 16 are further added to the “HTTP 200 OK response” side in addition to the Last-Modified column 13.

図８に示したアクセス履歴情報テーブル１０においては、ウェブサーバ１２２から取得したファイルがパケット中継装置１０１の記憶部１０６のファイル格納部２０に既に保存されているか否か、および、既に保存されている場合には、ウェブサーバ１２２から今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが保存されているファイルから更新されているか否かを判定する際に、Last-Modified欄１３、ETag欄１５やContent-Length欄１６のうち、いずれか１つの欄の値を用いて判定するようにしても良いし、Last-Modified欄１３、ETag欄１５やContent-Length欄１６のうち、いずれか複数の欄の値、あるいは、全ての欄の値を用いて判定するようにしても良い。   In the access history information table 10 illustrated in FIG. 8, whether or not the file acquired from the web server 122 has already been stored in the file storage unit 20 of the storage unit 106 of the packet relay device 101, and whether or not the file has already been stored. In this case, when it is determined whether the file included in the “HTTP 200 OK response” received this time from the web server 122 has been updated from the stored file, the Last-Modified field 13 and the ETag field 15 or the Content-Length column 16, the determination may be made using the value of any one of the columns, or the Last-Modified column 13, the ETag column 15, or the Content-Length column 16 may have more than one. Alternatively, the determination may be made by using the values in the fields of the above or all the fields.

今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」側に着目してさらに説明すると、今回受け取った「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値として（言い換えると、該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれるファイルを特定する情報を設定するフィールドの値として）、最新のファイル更新日時を設定するLast-Modifiedフィールドの値、ファイルを識別する識別子を設定するEtagフィールドの値、ファイルサイズを設定するContent-Lengthフィールドの値のうち、いずれか１ないし複数のフィールドの値を用いるようにしても良い。   Focusing on the “HTTP 200 OK response” received this time, the description will be further given. As a part of the value of the header part of the “HTTP 200 OK response” received this time (in other words, included in the “HTTP 200 OK response”) The value of the field that sets the information that identifies the file), the value of the Last-Modified field that sets the latest file update date and time, the value of the Etag field that sets the identifier that identifies the file, and the Content-Length that sets the file size Of the field values, one or more field values may be used.

さらに、本発明は、ファイルの更新の有無を判定するための「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の一部の値として、図８に示したLast-ModifiedフィールドやETagフィールドやContent-Lengthフィールドの値に限るものではなく、ファイルの更新の有無を判定することが可能であるならば、「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のそれ以外のフィールドの値を用いるようにしても勿論構わないことは言うまでもない。   Further, according to the present invention, as a part of the header part of the “HTTP 200 OK response” for determining whether or not the file has been updated, the Last-Modified field, the ETag field, and the Content-Length field shown in FIG. The value is not limited to the value, and if it is possible to determine whether or not the file has been updated, the value of the other fields in the header part of the “HTTP 200 OK response” may of course be used. Needless to say.

以上、本発明の好適な実施形態の構成を説明した。しかし、かかる実施形態は、本発明の単なる例示に過ぎず、何ら本発明を限定するものではないことに留意されたい。本発明の要旨を逸脱することなく、特定用途に応じて種々の変形変更が可能であることが、当業者には容易に理解できよう。   The configuration of the preferred embodiment of the present invention has been described above. However, it should be noted that such embodiments are merely examples of the present invention and do not limit the present invention in any way. It will be readily apparent to those skilled in the art that various modifications and changes can be made in accordance with the particular application without departing from the spirit of the invention.

１０ アクセス履歴情報テーブル
１１ ＧＥＴ欄
１２ Ｈｏｓｔ欄
１３ Last-Modified欄
１４ 判定サーバ応答欄
１５ ETag欄
１６ Content-Length欄
２０ ファイル格納部
３０ 保存ファイル有無判定部
４０ ファイル更新判定部
５０ ファイル安全性判定部
６０ アクセス履歴情報テーブル設定登録部
７０ ファイル保存部
８０ レスポンス送信部
１０１ パケット中継装置
１０２ ＬＡＮインタフェース
１０３ ＷＡＮインタフェース
１０４ ルーティング部
１０５ パケット中継装置機能部
１０５ａ パケット分析部
１０５ｂ アクセス判定機能部
１０６ 記憶部
１１１ ＬＡＮ側ネットワーク
１１２ 端末
１１２ａ ウェブブラウザ
１１３ 端末
１１３ａ ウェブブラウザ
１２１ インターネット
１２２ ウェブサーバ
１２３ 判定サーバ Reference Signs List 10 access history information table 11 GET column 12 Host column 13 Last-Modified column 14 Judgment server response column 15 ETag column 16 Content-Length column 20 File storage unit 30 Saved file presence / absence determination unit 40 File update determination unit 50 File safety determination unit 60 access history information table setting registration unit 70 file storage unit 80 response transmission unit 101 packet relay device 102 LAN interface 103 WAN interface 104 routing unit 105 packet relay device function unit 105a packet analysis unit 105b access determination function unit 106 storage unit 111 LAN side Network 112 Terminal 112a Web browser 113 Terminal 113a Web browser 121 Internet 122 Web server 123 Judgment server

Claims (10)

端末とインターネット上のウェブサーバとの間のパケットの中継を行い、
前記端末から受け取った、インターネット上の前記ウェブサーバのファイルを取得要求するための「ＨＴＴＰ ＧＥＴリクエスト」をインターネットに向けて送信した後、当該ウェブサーバから何らかのパケットが返送されてきた際に、該パケットを分析して、該パケットが、前記端末から取得要求されたファイルを含む「ＨＴＴＰ ２００ ＯＫレスポンス」のパケットであることを検知するパケット分析部と、
前記ウェブサーバから受け取った該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを保存するファイル格納部と、該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを特定するための情報として設定されている該「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値を抽出して、抽出した前記一部の値を、前記ファイル格納部に保存した該ファイルを特定するための情報として前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて、過去に受け取って前記ファイル格納部に保存したファイルの履歴情報として設定登録するアクセス履歴情報テーブルと、を備えた記憶部と、
前記アクセス履歴情報テーブルに前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値が、過去に受け取って前記ファイル格納部に保存した前記ファイルを特定するための情報として、設定登録されているか否かを判別する保存ファイル有無判定部と、
前記ウェブサーバから前記「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値と、過去に受け取って前記ファイル格納部に保存したファイルを特定するための情報として前記アクセス履歴情報テーブルに設定登録されている前記一部の値とを比較して、同一の値であるか否かを判定するファイル更新判定部と、
前記ウェブサーバから前記「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、セキュリティ上安全なファイルであるかあるいは危険なファイルであるかを判定する機能を有するインターネット上の判定サーバに対して問い合わせを行い、該判定サーバからの応答として該ファイルのセキュリティ上の安全性に関する判定結果を取得するファイル安全性判定部と、
前記判定サーバからの応答として得られた前記判定結果と、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部から抽出した前記一部の値とを、前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて、前記アクセス履歴情報テーブルに設定登録するアクセス履歴情報テーブル設定登録部と、
今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを、前記ファイル格納部に保存するファイル保存部と、
前記判定サーバからの応答として得られた前記判定結果に応じて、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えて、前記「ＨＴＴＰ ＧＥＴリクエスト」の送信元の前記端末に対して送信するレスポンス送信部と、
を有することを特徴とするパケット中継装置。 Relays packets between the terminal and a web server on the Internet,
After transmitting an "HTTP GET request" for requesting acquisition of the file of the web server on the Internet received from the terminal to the Internet, when any packet is returned from the web server, the packet A packet analysis unit that detects that the packet is a “HTTP 200 OK response” packet including the file requested to be obtained from the terminal;
A file storage unit that stores the file included in the “HTTP 200 OK response” received from the web server, and is set as information for specifying the file included in the “HTTP 200 OK response”. Extracting a part of the value specified in advance in the header part of the “HTTP 200 OK response”, and using the extracted part of the value as information for specifying the file stored in the file storage unit. An access history information table for setting and registering as history information of a file previously received and stored in the file storage unit, in association with information specifying the file of the web server obtained and requested by the “HTTP GET request”. Storage unit,
Whether the partial value of the header part of the “HTTP 200 OK response” is set and registered in the access history information table as information for specifying the file previously received and stored in the file storage unit A storage file presence / absence determination unit for determining whether or not
Each time the “HTTP 200 OK response” is received from the web server, the partial value of the header part of the “HTTP 200 OK response” received this time and the file received in the past and stored in the file storage part are specified. A file update determining unit that compares the partial value set and registered in the access history information table as information for determining whether or not the value is the same;
Each time the “HTTP 200 OK response” is received from the web server, it is determined whether the file included in the “HTTP 200 OK response” received this time is a security-safe file or a dangerous file. A file security determination unit that makes an inquiry to a determination server on the Internet having a function and obtains a determination result regarding security security of the file as a response from the determination server;
The request for obtaining the determination result obtained as a response from the determination server and the partial value extracted from the header part of the “HTTP 200 OK response” received this time by the “HTTP GET request” An access history information table setting registration unit for setting and registering in the access history information table in association with information specifying a file of the web server;
A file storage unit for storing the file included in the “HTTP 200 OK response” received this time in the file storage unit;
According to the determination result obtained as a response from the determination server, the content of the file included in the “HTTP 200 OK response” received this time is rewritten, and the source of the “HTTP GET request” is rewritten. A response transmission unit for transmitting to the terminal;
A packet relay device comprising: 前記保存ファイル有無判定部において、過去に受け取って前記ファイル格納部に保存したファイルを特定するための情報として前記アクセス履歴情報テーブルに前記一部の値が設定登録されていたと判定された場合であって、
かつ、前記ファイル更新判定部において、今回受け取った前記ＨＴＴＰ ２００ ＯＫレスポンスのヘッダ部の前記一部の値が、過去に受け取って前記ファイル格納部に保存したファイルを特定するための情報として前記アクセス履歴情報テーブルに設定登録されている前記一部の値と同一の値であると判定された場合には、
今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルに関して、前記ファイル安全性判定部により前記判定サーバに対して当該ファイルの安全性の問い合わせを行うことを抑止し、
かつ、前記ファイル保存部により、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを、前記ファイル格納部に保存し直すことも抑止し、
かつ、前記アクセス履歴情報テーブル設定登録部により、前記判定サーバの前記判定結果と、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部から抽出した前記一部の値とを、前記アクセス履歴情報テーブルに設定登録し直すことも抑止して、
前記アクセス履歴情報テーブルに既に設定登録されている前記判定サーバの前記判定結果に応じて、前記レスポンス送信部により、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えて、前記「ＨＴＴＰ ＧＥＴリクエスト」の送信元の前記端末に対して送信する、
ことを特徴とする請求項１に記載のパケット中継装置。 In the case where the storage file presence / absence determination unit determines that the partial value is set and registered in the access history information table as information for specifying a file received in the past and stored in the file storage unit. hand,
Further, in the file update determination unit, the partial value of the header part of the HTTP 200 OK response received this time includes the access history as information for specifying a file received in the past and stored in the file storage unit. If it is determined that the value is the same as the partial value set and registered in the information table,
With respect to the file included in the “HTTP 200 OK response” received this time, the file security determination unit is inhibited from inquiring the determination server about the security of the file,
In addition, the file storage unit also prevents the file included in the “HTTP 200 OK response” received this time from being stored again in the file storage unit,
The access history information table setting registration unit stores the determination result of the determination server and the partial value extracted from the header part of the “HTTP 200 OK response” received this time in the access history information table. To prevent the settings from being registered again.
The response transmission unit rewrites the content of the file included in the “HTTP 200 OK response” received this time, according to the determination result of the determination server that has already been set and registered in the access history information table. , Transmitting to the terminal of the transmission source of the “HTTP GET request”;
The packet relay device according to claim 1, wherein: 前記保存ファイル有無判定部において、過去に受け取って前記ファイル格納部に保存したファイルを特定するための情報として前記アクセス履歴情報テーブルに前記一部の値が設定登録されていたと判定された場合であって、
かつ、前記ファイル更新判定部において、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値が、過去に受け取って前記ファイル格納部に保存したファイルを特定するための情報として前記アクセス履歴情報テーブルに設定登録されている前記一部の値と異なっていると判定された場合には、
前記アクセス履歴情報テーブルに前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて設定登録されていた前記一部の値と前記判定サーバの前記判定結果とを、前記アクセス履歴情報テーブル設定登録部により、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値と、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルに関して前記ファイル安全性判定部において前記判定サーバに対して当該ファイルの安全性の問い合わせを行うことにより前記判定サーバからの応答として得られた前記判定結果と、により更新して設定登録し直し、
かつ、前記ファイル保存部により、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルにより、過去に受け取って前記ファイル格納部に保存されていたファイルを更新する形で保存し直すとともに、
今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルに関して前記ファイル安全性判定部において前記判定サーバからの応答として得られた当該判定サーバの前記判定結果に応じて、前記レスポンス送信部により、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えて、前記「ＨＴＴＰ ＧＥＴリクエスト」の送信元の前記端末に対して送信する、
ことを特徴とする請求項１または２に記載のパケット中継装置。 In the case where the storage file presence / absence determination unit determines that the partial value is set and registered in the access history information table as information for specifying a file received in the past and stored in the file storage unit. hand,
In the file update determination unit, the partial value of the header part of the “HTTP 200 OK response” received this time is used as information for specifying a file received in the past and stored in the file storage unit. If it is determined that the value is different from the partial value set and registered in the access history information table,
The partial value and the determination result of the determination server, which are set and registered in the access history information table in association with information specifying the file of the web server requested to be acquired by the “HTTP GET request”, The access history information table setting registering unit registers the partial value of the header part of the “HTTP 200 OK response” received this time and the file included in the “HTTP 200 OK response” received this time. In the security judgment unit, the judgment result obtained as a response from the judgment server by making an inquiry about the safety of the file to the judgment server is updated and set and registered again,
In addition, the file storage unit re-saves the file included in the “HTTP 200 OK response” received this time by updating the file previously received and stored in the file storage unit.
According to the determination result of the determination server obtained as a response from the determination server in the file security determination unit with respect to the file included in the “HTTP 200 OK response” received this time, the response transmission unit Rewriting the content of the file included in the “HTTP 200 OK response” received this time, and transmitting the file to the terminal that is the source of the “HTTP GET request”;
The packet relay device according to claim 1 or 2, wherein: 前記保存ファイル有無判定部において、過去に受け取って前記ファイル格納部に保存したファイルを特定するための情報としては前記アクセス履歴情報テーブルに前記一部の値がまだ設定登録されていなかったと判定された場合には、
前記ファイル安全性判定部において前記判定サーバからの応答として得られた前記判定結果と、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部から抽出した前記一部の値とを、前記アクセス履歴情報テーブル設定登録部により、前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて、前記アクセス履歴情報テーブルに設定登録し、
かつ、前記ファイル保存部により、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを、前記ファイル格納部に保存するとともに、
今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルに関して前記ファイル安全性判定部において前記判定サーバからの応答として得られた当該判定サーバの前記判定結果に応じて、前記レスポンス送信部により、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えて、前記「ＨＴＴＰ ＧＥＴリクエスト」の送信元の前記端末に対して送信する、
ことを特徴とする請求項１ないし３のいずれかに記載のパケット中継装置。 The storage file presence / absence determination unit determines that the partial value has not yet been set and registered in the access history information table as information for specifying a file received in the past and stored in the file storage unit. in case of,
The file security judgment unit obtains the judgment result obtained as a response from the judgment server and the partial value extracted from the header part of the “HTTP 200 OK response” received this time by using the access history information. A table setting registration unit that sets and registers in the access history information table in association with information for specifying a file of the web server requested to be acquired by the “HTTP GET request”;
In addition, the file storage unit stores the file included in the “HTTP 200 OK response” received this time in the file storage unit,
According to the determination result of the determination server obtained as a response from the determination server in the file security determination unit with respect to the file included in the “HTTP 200 OK response” received this time, the response transmission unit Rewriting the content of the file included in the “HTTP 200 OK response” received this time, and transmitting the file to the terminal that is the source of the “HTTP GET request”;
4. The packet relay device according to claim 1, wherein: 前記判定サーバの前記判定結果に応じて、前記レスポンス送信部により、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えて、前記「ＨＴＴＰ ＧＥＴリクエスト」の送信元の前記端末に対して送信する動作に関し、
前記判定結果が、危険なファイルであるとの判定結果であった場合には、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を、危険を除去するように書き換えてから、前記レスポンス送信部により、前記「ＨＴＴＰ ＧＥＴリクエスト」の送信元の前記端末に対して送信し、
一方、前記判定結果が、安全なファイルであるとの判定結果であった場合には、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えることなく、そのまま、前記レスポンス送信部により、前記「ＨＴＴＰ ＧＥＴリクエスト」の送信元の前記端末に対して送信する、
ことを特徴とする請求項１ないし４のいずれかに記載のパケット中継装置。 In response to the determination result of the determination server, the response transmission unit rewrites the content of the file included in the “HTTP 200 OK response” received this time, and retransmits the “HTTP GET request”. Regarding the operation to send to the terminal,
If the result of the determination is that the file is dangerous, the content of the file included in the “HTTP 200 OK response” received this time is rewritten so as to remove the risk. The response transmission unit transmits the “HTTP GET request” to the transmission source terminal,
On the other hand, if the result of the determination is that the file is a safe file, the content of the file included in the “HTTP 200 OK response” received this time is not rewritten and the response The transmitting unit transmits the “HTTP GET request” to the terminal that is the transmission source.
The packet relay device according to any one of claims 1 to 4, wherein: 前記アクセス履歴情報テーブルに設定登録される前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値として、最新のファイル更新日時を設定するLast-Modifiedフィールドの値、該ファイルを識別する識別子を設定するEtagフィールドの値、該ファイルのファイルサイズを設定するContent-Lengthフィールドの値のうち、いずれか１ないし複数のフィールドの値を用いる、
ことを特徴とする請求項１ないし５のいずれかに記載のパケット中継装置。 As the partial value of the header part of the “HTTP 200 OK response” set and registered in the access history information table, a value of a Last-Modified field for setting the latest file update date and time, and an identifier for identifying the file Use one or more of the values of the Etag field to be set and the Content-Length field to set the file size of the file.
The packet relay device according to claim 1, wherein: 前記ファイル保存部により、前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを前記ファイル格納部に保存する動作として、前記ウェブサーバ上の１つのファイルに関して、１ないし複数のファイルを前記ファイル格納部に保存する場合、
前記ファイル格納部に保存される各ファイルそれぞれを特定するための情報として、前記ファイル格納部に保存されるファイルの個数に応じて、前記アクセス履歴情報テーブルに該「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値を、複数個、設定登録する、
ことを特徴とする請求項１ないし６のいずれかに記載のパケット中継装置。 As an operation of storing the file included in the “HTTP 200 OK response” in the file storage unit by the file storage unit, one or more files on the web server are stored in the file storage unit. If you save to
As information for specifying each file stored in the file storage unit, a header part of the “HTTP 200 OK response” is stored in the access history information table according to the number of files stored in the file storage unit. Setting and registering a plurality of the partial values of
The packet relay device according to any one of claims 1 to 6, wherein 端末とインターネット上のウェブサーバとの間のパケットの中継を行い、
前記端末から受け取った、インターネット上の前記ウェブサーバのファイルを取得要求するための「ＨＴＴＰ ＧＥＴリクエスト」をインターネットに向けて送信した後、当該ウェブサーバから何らかのパケットが返送されてきた際に、該パケットを分析して、該パケットが、前記端末から取得要求されたファイルを含む「ＨＴＴＰ ２００ ＯＫレスポンス」のパケットであることを検知するパケット分析ステップと、
前記ウェブサーバから受け取った該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルをファイル格納部に保存し、該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを特定するための情報として設定されている該「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値を抽出して、抽出した前記一部の値を、前記ファイル格納部に保存した該ファイルを特定するための情報として、前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて、過去に受け取って前記ファイル格納部に保存したファイルの履歴情報としてアクセス履歴情報テーブルに設定登録する記憶ステップと、
前記アクセス履歴情報テーブルに前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値が、過去に受け取って前記ファイル格納部に保存した前記ファイルを特定するための情報として、設定登録されているか否かを判別する保存ファイル有無判定ステップと、
前記ウェブサーバから前記「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値と、過去に受け取って前記ファイル格納部に保存したファイルを特定するための情報として前記アクセス履歴情報テーブルに設定登録されている前記一部の値とを比較して、同一の値であるか否かを判定するファイル更新判定ステップと、
前記ウェブサーバから前記「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、セキュリティ上安全なファイルであるかあるいは危険なファイルであるかを判定する機能を有するインターネット上の判定サーバに対して問い合わせを行い、該判定サーバからの応答として該ファイルのセキュリティ上の安全性に関する判定結果を取得するファイル安全性判定ステップと、
前記判定サーバからの応答として得られた前記判定結果と、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部から抽出した前記一部の値とを、前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて、前記アクセス履歴情報テーブルに設定登録するアクセス履歴情報テーブル設定登録ステップと、
今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを、前記ファイル格納部に保存するファイル保存ステップと、
前記判定サーバからの応答として得られた前記判定結果に応じて、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えて、前記「ＨＴＴＰ ＧＥＴリクエスト」の送信元の前記端末に対して送信するレスポンス送信ステップと、
を有していることを特徴とするパケット中継制御方法。 Relays packets between the terminal and a web server on the Internet,
After transmitting an "HTTP GET request" for requesting acquisition of the file of the web server on the Internet received from the terminal to the Internet, when any packet is returned from the web server, the packet Analyzing the packet to detect that the packet is an “HTTP 200 OK response” packet including the file requested to be obtained from the terminal;
The file included in the “HTTP 200 OK response” received from the web server is stored in a file storage unit, and is set as information for specifying the file included in the “HTTP 200 OK response”. Extracting a part of the value previously specified in the header part of the “HTTP 200 OK response”, and using the extracted part of the value as information for specifying the file stored in the file storage unit, A storage step of setting and registering in the access history information table as history information of a file previously received and stored in the file storage unit, in association with information specifying the file of the web server requested to be acquired by the “HTTP GET request” When,
Whether the partial value of the header part of the “HTTP 200 OK response” is set and registered in the access history information table as information for specifying the file previously received and stored in the file storage unit A storage file presence / absence determination step of determining whether or not the storage file exists;
Each time the “HTTP 200 OK response” is received from the web server, the partial value of the header part of the “HTTP 200 OK response” received this time and the file received in the past and stored in the file storage part are specified. A file update determining step of comparing the partial value set and registered in the access history information table as information for determining whether or not the values are the same;
Each time the “HTTP 200 OK response” is received from the web server, it is determined whether the file included in the “HTTP 200 OK response” received this time is a security-safe file or a dangerous file. File security determining step of making an inquiry to a determination server on the Internet having a function and acquiring a determination result regarding security security of the file as a response from the determination server;
The request for obtaining the determination result obtained as a response from the determination server and the partial value extracted from the header part of the “HTTP 200 OK response” received this time by the “HTTP GET request” An access history information table setting registration step of setting and registering in the access history information table in association with information specifying a file of a web server;
A file storing step of storing a file included in the “HTTP 200 OK response” received this time in the file storage unit;
According to the determination result obtained as a response from the determination server, the content of the file included in the “HTTP 200 OK response” received this time is rewritten, and the source of the “HTTP GET request” is rewritten. A response transmission step to be transmitted to the terminal,
A packet relay control method, comprising: 前記保存ファイル有無判定ステップにおいて、過去に受け取って前記ファイル格納部に保存したファイルを特定するための情報として前記アクセス履歴情報テーブルに前記一部の値が設定登録されていたと判定された場合であって、
かつ、前記ファイル更新判定ステップにおいて、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値が、過去に受け取って前記ファイル格納部に保存したファイルを特定するための情報として前記アクセス履歴情報テーブルに設定登録されている前記一部の値と同一の値であると判定された場合には、
今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルに関して、前記ファイル安全性判定ステップにより前記判定サーバに対して当該ファイルの安全性の問い合わせを行うことを抑止し、
かつ、前記ファイル保存ステップにより、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを、前記ファイル格納部に保存し直すことも抑止し、
かつ、前記アクセス履歴情報テーブル設定登録ステップにより、前記判定サーバの前記判定結果と、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部から抽出した前記一部の値とを、前記アクセス履歴情報テーブルに設定登録し直すことも抑止して、
前記アクセス履歴情報テーブルに既に設定登録されている前記判定サーバの前記判定結果に応じて、前記レスポンス送信ステップにより、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えて、前記ＨＴＴＰ ＧＥＴリクエストの送信元の前記端末に対して送信する、
ことを特徴とする請求項８に記載のパケット中継制御方法。 In the storage file presence / absence determination step, it is determined that the partial value is set and registered in the access history information table as information for specifying a file received in the past and stored in the file storage unit. hand,
In the file update determination step, the partial value of the header part of the “HTTP 200 OK response” received this time is used as information for specifying a file received in the past and stored in the file storage part. When it is determined that the value is the same as the partial value set and registered in the access history information table,
In regard to the file included in the “HTTP 200 OK response” received this time, the file security determination step suppresses inquiring the determination server about the security of the file in the file security determination step,
Further, by the file saving step, the file included in the “HTTP 200 OK response” received this time is also prevented from being saved again in the file storage unit,
In the access history information table setting registration step, the determination result of the determination server and the partial value extracted from the header part of the “HTTP 200 OK response” received this time are stored in the access history information table. To prevent the settings from being registered again.
According to the determination result of the determination server that has already been set and registered in the access history information table, the response transmission step rewrites the contents of the file included in the “HTTP 200 OK response” received this time. Transmitting the HTTP GET request to the terminal of the transmission source;
The packet relay control method according to claim 8, wherein: 端末とインターネット上のウェブサーバとの間のパケットの中継を行うパケット中継装置におけるパケットの中継制御を、該パケット中継装置内のコンピュータにより実行し、
前記端末から受け取った、インターネット上の前記ウェブサーバのファイルを取得要求するための「ＨＴＴＰ ＧＥＴリクエスト」をインターネットに向けて送信した後、当該ウェブサーバから何らかのパケットが返送されてきた際に、該パケットを分析して、該パケットが、前記端末から取得要求されたファイルを含む「ＨＴＴＰ ２００ ＯＫレスポンス」のパケットであることを検知するパケット分析機能と、
前記ウェブサーバから受け取った該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを保存するファイル格納部と、該「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを特定するための情報として設定されている該「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部のあらかじめ特定した一部の値を抽出して、抽出した前記一部の値を、前記ファイル格納部に保存した該ファイルを特定するための情報として、前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて、過去に受け取って前記ファイル格納部に保存したファイルの履歴情報としてアクセス履歴情報テーブルに設定登録する記憶機能と、
前記アクセス履歴情報テーブルに前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値が、過去に受け取って前記ファイル格納部に保存した前記ファイルを特定するための情報として、設定登録されているか否かを判別する保存ファイル有無判定機能と、
前記ウェブサーバから前記「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部の前記一部の値と、過去に受け取って前記ファイル格納部に保存したファイルを特定するための情報として前記アクセス履歴情報テーブルに設定登録されている前記一部の値とを比較して、同一の値であるか否かを判定するファイル更新判定機能と、
前記ウェブサーバから前記「ＨＴＴＰ ２００ ＯＫレスポンス」を受け取る都度今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルが、セキュリティ上安全なファイルであるかあるいは危険なファイルであるかを判定する機能を有するインターネット上の判定サーバに対して問い合わせを行い、該判定サーバからの応答として該ファイルのセキュリティ上の安全性に関する判定結果を取得するファイル安全性判定機能と、
前記判定サーバからの応答として得られた前記判定結果と、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」のヘッダ部から抽出した前記一部の値とを、前記「ＨＴＴＰ ＧＥＴリクエスト」により取得要求した前記ウェブサーバのファイルを特定する情報と対応付けて、前記アクセス履歴情報テーブルに設定登録するアクセス履歴情報テーブル設定登録機能と、
今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルを、前記ファイル格納部に保存するファイル保存機能と、
前記判定サーバからの応答として得られた前記判定結果に応じて、今回受け取った前記「ＨＴＴＰ ２００ ＯＫレスポンス」に含まれているファイルの内容を書き換えて、前記「ＨＴＴＰ ＧＥＴリクエスト」の送信元の前記端末に対して送信するレスポンス送信機能と、
を有していることを特徴とするパケット中継制御プログラム。 A packet relay control in a packet relay device that relays a packet between a terminal and a web server on the Internet is executed by a computer in the packet relay device,
After transmitting an "HTTP GET request" for requesting acquisition of the file of the web server on the Internet received from the terminal to the Internet, when any packet is returned from the web server, the packet A packet analysis function of detecting that the packet is an “HTTP 200 OK response” packet including a file requested to be obtained from the terminal;
A file storage unit that stores the file included in the “HTTP 200 OK response” received from the web server, and is set as information for specifying the file included in the “HTTP 200 OK response”. Extracting a part of the value previously specified in the header part of the “HTTP 200 OK response”, and using the extracted part of the value as information for specifying the file stored in the file storage unit, A storage function for setting and registering in the access history information table as history information of a file previously received and stored in the file storage unit in association with information specifying the file of the web server requested to be acquired by the “HTTP GET request” When,
Whether the partial value of the header part of the “HTTP 200 OK response” is set and registered in the access history information table as information for specifying the file previously received and stored in the file storage unit A stored file presence / absence determination function for determining whether or not
Each time the “HTTP 200 OK response” is received from the web server, the partial value of the header part of the “HTTP 200 OK response” received this time and the file received in the past and stored in the file storage part are specified. A file update determination function of comparing the partial value set and registered in the access history information table as information for determining whether or not the value is the same;
Each time the “HTTP 200 OK response” is received from the web server, it is determined whether the file included in the “HTTP 200 OK response” received this time is a security-safe file or a dangerous file. A file security determination function for making an inquiry to a determination server on the Internet having a function and acquiring a determination result regarding security security of the file as a response from the determination server;
The request for obtaining the determination result obtained as a response from the determination server and the partial value extracted from the header part of the “HTTP 200 OK response” received this time by the “HTTP GET request” An access history information table setting registration function for setting and registering in the access history information table in association with information specifying a file of a web server;
A file saving function for saving a file included in the “HTTP 200 OK response” received this time in the file storage unit;
According to the determination result obtained as a response from the determination server, the content of the file included in the “HTTP 200 OK response” received this time is rewritten, and the source of the “HTTP GET request” is rewritten. A response sending function to send to the terminal,
A packet relay control program characterized by having:
JP2018177087A 2018-09-21 2018-09-21 Packet relay device, packet relay control method, and packet relay control program Active JP6693659B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2018177087A JP6693659B2 (en) 2018-09-21 2018-09-21 Packet relay device, packet relay control method, and packet relay control program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2018177087A JP6693659B2 (en) 2018-09-21 2018-09-21 Packet relay device, packet relay control method, and packet relay control program

Related Child Applications (1)

Application Number Title Priority Date Filing Date
JP2020072016A Division JP6867059B2 (en) 2020-04-14 2020-04-14 Packet relay device, packet relay control method and packet relay control program

Publications (2)

Publication Number Publication Date
JP2020047176A true JP2020047176A (en) 2020-03-26
JP6693659B2 JP6693659B2 (en) 2020-05-13

Family

ID=69899766

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2018177087A Active JP6693659B2 (en) 2018-09-21 2018-09-21 Packet relay device, packet relay control method, and packet relay control program

Country Status (1)

Country Link
JP (1) JP6693659B2 (en)

Also Published As

Publication number Publication date
JP6693659B2 (en) 2020-05-13

Similar Documents

Publication Publication Date Title
US8935419B2 (en) Filtering device for detecting HTTP request and disconnecting TCP connection
JP4616352B2 (en) User confirmation apparatus, method and program
Fielding et al. Hypertext transfer protocol (HTTP/1.1): Semantics and content
US8886828B2 (en) Selective use of anonymous proxies
JP3526435B2 (en) Network system
JP4867486B2 (en) Control program and communication system
US20160241575A1 (en) Information processing system and information processing method
US20050273607A1 (en) User authentication system
CN104396220A (en) Method and device for secure content retrieval
CN105100084A (en) Method and system for preventing cross-site request forgery attack
US8036638B2 (en) Mobile banking
JP2011100489A (en) User confirmation device and method, and program
JP2011076425A (en) Repeater, method for continuing service between different terminal devices, and relay program
JP2011013707A (en) Web page relay apparatus
US20040215967A1 (en) System and method for connecting to a device on a protected network
JP5347429B2 (en) Uniform resource locator rewriting method and apparatus
US10033830B2 (en) Requesting web pages and content rating information
JP2009237949A (en) Communication repeater, web terminal, mail server device, e-mail terminal and site check program
JP6693659B2 (en) Packet relay device, packet relay control method, and packet relay control program
JP6867059B2 (en) Packet relay device, packet relay control method and packet relay control program
JP2003330822A (en) Data relay system having web connection/data relay regulating function and control method for the regulation
JP5267893B2 (en) Network monitoring system, network monitoring method, and network monitoring program
JP2013251000A (en) User verification device, method, and program
JP2002204266A (en) Gateway device
EP2226988A1 (en) Method for accessing to local resources of a client terminal in a client/server architecture

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20180921

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20190712

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20190827

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20191021

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200317

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200409

R150 Certificate of patent or registration of utility model

Ref document number: 6693659

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150