JP5668503B2

JP5668503B2 - Hazardous site filtering system and filtering method

Info

Publication number: JP5668503B2
Application number: JP2011019387A
Authority: JP
Inventors: 俊史新江
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2011-02-01
Filing date: 2011-02-01
Publication date: 2015-02-12
Anticipated expiration: 2031-02-01
Also published as: JP2012160926A

Description

本発明は、インターネット上の有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリングシステム及びフィルタリング方法に関する。特に、本発明は、インターネット上の有害サイトのＷｅｂページの取得をフィルタリングした旨をユーザに通知する有害サイトフィルタリングシステム及びフィルタリング方法に関する。 The present invention relates to a harmful site filtering system and a filtering method for filtering acquisition of a web page of a harmful site on the Internet. In particular, the present invention relates to a harmful site filtering system and a filtering method for notifying a user that the acquisition of a web page of a harmful site on the Internet has been filtered.

近年、インターネットサービスを提供するＩＳＰ（インターネットサービスプロバイダ）は、有害サイトへのアクセスを禁止するフィルタリングサービス及びブロッキングを行っている。ここで、フィルタリングとは、ユーザの同意に基づいて有害サイトへのアクセスを禁止するものである。一方、ブロッキングとは、ユーザの同意を得ることなく、予め決められたサイトへのアクセスを強制的に禁止するものである。このところ、ＩＳＰの自主的な取り組みで、児童ポルノのブロッキングが注目を集めており、非特許文献１に示すように、作業部会による活動報告がなされている。ここで、フィルタリングとブロッキングは、有害サイトへのアクセスを禁止する技術内容に関しては、共通である。以降、本明細書において、フィルタリング、ブロッキングを、どちらも、「フィルタリング」で参照することとする。すなわち、「フィルタリング」と言った場合には、ブロッキングも含まれている。 In recent years, ISPs (Internet Service Providers) that provide Internet services perform filtering services and blocking that prohibit access to harmful sites. Here, filtering refers to prohibiting access to harmful sites based on user consent. On the other hand, blocking is forcibly prohibiting access to a predetermined site without obtaining the user's consent. Recently, blocking of child pornography has attracted attention due to ISP's independent efforts, and as shown in Non-Patent Document 1, an activity report has been made by the working group. Here, filtering and blocking are common in terms of technical contents that prohibit access to harmful sites. Hereinafter, in this specification, both filtering and blocking will be referred to as “filtering”. That is, in the case of “filtering”, blocking is also included.

非特許文献１に、従来技術の有害サイトへのアクセスのフィルタリング方法として、４つ方法が示されている。１つ目の方法は、ＤＮＳにより、Ｗｅｂサイトのホスト名あるいはドメイン名をＩＰアドレスに変換する際にフィルタリングを行う「ＤＮＳポイズニング方式」である。２つ目は、ＩＰヘッダ内の宛先ＩＰアドレスもしくはＨＴＴＰコンテンツ部に含まれるアクセス先ＵＲＬ情報を元にフィルタリングを行う「パケットフィルタリング方式」である。３つ目は、ＨＴＴＰプロキシによりＨＴＴＰ通信を一旦終端した上でアクセス先ＵＲＬ情報を元にフィルタリングを行う「プロキシ方式」である。４つ目は、前述の方式の組み合わせたものである。 Non-Patent Document 1 discloses four methods as conventional filtering methods for accessing harmful sites. The first method is a “DNS poisoning method” that performs filtering when a host name or domain name of a Web site is converted into an IP address by DNS. The second is a “packet filtering method” that performs filtering based on the destination IP address in the IP header or the access destination URL information included in the HTTP content part. The third is a “proxy method” in which HTTP communication is once terminated by an HTTP proxy and then filtering is performed based on access destination URL information. The fourth is a combination of the methods described above.

ここで、上記した「ＤＮＳポイズニング方式」は、ＤＮＳを利用しない通信、例えば、ＩＰアドレスをブラウザに直打ちすることによる閲覧行為に対しては、フィルタリングできないという問題がある。また、上記した「プロキシ方式」は、全ての通信をＨＴＴＰプロキシ経由で行うことが必要となり、ＨＴＴＰプロキシに対する負荷が増大するという問題がある。 Here, the above-mentioned “DNS poisoning method” has a problem that it is not possible to filter communication that does not use DNS, for example, browsing action by directly hitting an IP address on a browser. In addition, the above-described “proxy method” requires that all communications be performed via an HTTP proxy, which increases the load on the HTTP proxy.

一方、上記した「パケットフィルタリング」において、通信パケットに含まれる宛先ＩＰアドレスの情報により、有害サイトに対するフィルタリングを行う方法は、ＩＳＰが所有する既存のルータ機器等にアクセスリストを記述することによる方法であり、一般に、よく使用されている。そのブロック図を図１２に示す。以下に、図１２を参照し、フィルタリング動作を説明する。端末３２は、ルータ５２を介し、Ｗｅｂサイト３８へのアクセスを要求する。アクセスの要求を受けたプロキシサーバ５０のＷｅｂページデータ代理取得部５４は、Ｗｅｂページデータの取得を行う。次に、Ｗｅｂページデータ代理取得部５４が取得した通信パケットがルータ５２のフィルタリング部５８を通る際に、通信パケットの送信元ＩＰアドレスが、アクセスリスト５６に記載されたＩＰアドレスのリストに一致するかどうかのチェックを行う。一致した場合は、フィルタリング部５８は、その通信パケットが、有害サイトからの通信パケットであると判定し、端末３２に、該Ｗｅｂページデータを送信することを中止する。ここで、アクセスリスト５６の設定は、図１２に示すように、外部からコマンドにより行うことができる。 On the other hand, in the above-mentioned “packet filtering”, a method for filtering a harmful site based on information on a destination IP address included in a communication packet is a method by describing an access list in an existing router device or the like owned by an ISP. Yes, generally well used. The block diagram is shown in FIG. Hereinafter, the filtering operation will be described with reference to FIG. The terminal 32 requests access to the Web site 38 via the router 52. The proxy page 50 proxy acquisition unit 54 of the proxy server 50 that has received the access request acquires the Web page data. Next, when the communication packet acquired by the Web page data proxy acquisition unit 54 passes through the filtering unit 58 of the router 52, the transmission source IP address of the communication packet matches the list of IP addresses described in the access list 56. Check whether or not. If they match, the filtering unit 58 determines that the communication packet is a communication packet from a harmful site, and stops sending the Web page data to the terminal 32. Here, the access list 56 can be set by a command from the outside as shown in FIG.

また、「プロキシ方式」については、プロキシサーバ内に有害サイト情報記憶部を設けて、そこに記憶されているリストに基づいて、端末がアクセスしようとしたＷｅｂページが有害サイトであるかどうかのチェックを行い、有害サイトであると判定した場合は、Ｗｅｂページの取得を中止させ、有害サイトでないと判定した場合は、Ｗｅｂページデータの代理取得を行う構成が、特許文献１に開示されている。 For the “proxy method”, a harmful site information storage unit is provided in the proxy server, and based on the list stored there, a check is made as to whether or not the Web page that the terminal attempted to access is a harmful site. Patent Document 1 discloses a configuration in which acquisition of a Web page is stopped when it is determined that the site is a harmful site, and proxy acquisition of Web page data is performed when it is determined that the site is not a harmful site.

特開２００８−１１６９９８号公報JP 2008-116998 A 特開２０１０−１６１４７３号公報JP 2010-161473 A

「ＩＳＰ技術者サブワーキング報告書」、［ｏｎｌｉｎｅ］、［平成２２年１１月２４日検索］、インターネット（ＵＲＬ：http://good-net.jp/modules/news/uploadFile/2010063040.pdf）"ISP Engineer Subworking Report", [online], [searched on November 24, 2010], Internet (URL: http://good-net.jp/modules/news/uploadFile/2010063040.pdf)

以下の分析は、本発明により与えられる。 The following analysis is given by the present invention.

前述のように、ルータ機器にアクセスリストを記述する方式は、ＩＳＰが所有する既存のルータ機器にアクセスリストを記述することで実現できるため、よく使用されている。図１２に示す方式は、通信パケットに含まれる送信元情報を取り出し、アクセスリストとの一致をチェックしているが、端末からのＷｅｂサイトへのアクセス要求の通信パケットに含まれる送信先情報を取り出し、アクセスリストとの一致をチェックする方法もある。ここでどちらの場合も、送信先情報／送信元情報は、ルータで識別可能なＯＳＩ参照モデルのレイヤ３で使用できるＩＰアドレス等が使用される。しかしながら、この方式は、フィルタリングをした際に、ユーザに対して、フィルタリングした旨を通知する機能がないという問題がある。ルータ機器の場合、ＯＳＩ参照モデルのレイヤ３までしか識別できないため、通知サーバから、ユーザの端末に通知を出そうとした場合、途中の経路に存在する複数のルータ機器のルーティングに関する設定を行う必要がある。フィルタリングの度に、このような設定するのは、制御が複雑になるため、ユーザの端末に通知ページを出すことは、一般に行われていない。しかしながら、ユーザに通知ページを出さずに、フィルタリングを行った場合、ユーザから見ると、接続障害との区別ができず、ＩＳＰへの問い合わせが増えること等が懸念される。従って、通知ページを容易に出すことが可能なシステムが望まれている状況にある。 As described above, the method of describing the access list in the router device is often used because it can be realized by describing the access list in the existing router device owned by the ISP. The method shown in FIG. 12 extracts the transmission source information included in the communication packet and checks the match with the access list, but extracts the transmission destination information included in the communication packet of the access request from the terminal to the Web site. There is also a method for checking a match with the access list. In either case, the destination information / source information uses an IP address that can be used in layer 3 of the OSI reference model that can be identified by the router. However, this method has a problem that when filtering is performed, there is no function of notifying the user of filtering. In the case of a router device, only the layer 3 of the OSI reference model can be identified. Therefore, when a notification server attempts to issue a notification to a user terminal, it is necessary to make settings related to the routing of a plurality of router devices existing on the way. There is. Since such a setting is complicated every time filtering is performed, a notification page is not generally displayed on the user terminal. However, when filtering is performed without giving a notification page to the user, there is a concern that, from the viewpoint of the user, it cannot be distinguished from a connection failure and the number of inquiries to the ISP increases. Accordingly, there is a demand for a system that can easily display a notification page.

そこで、本発明の目的は、有害サイトのＷｅｂページ取得をフィルタリングし、フィルタリングしたことを通知する通知ページをユーザの端末に送信することを可能にするシステムを提供することである。 Accordingly, an object of the present invention is to provide a system that filters the acquisition of a web page of a harmful site and transmits a notification page that notifies the filtering to a user terminal.

本発明の第１の視点による有害サイトフィルタリングシステムは、有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリングシステムであって、複数のスイッチと、前記複数のスイッチに接続された管理コンピュータを備えたネットワーク構成と、Ｗｅｂページの取得を要求する端末と、有害サイトをフィルタリングしたことを通知する通知サーバと、を備え、前記端末は、前記複数のスイッチの内の第１のスイッチと接続され、前記通知サーバは、前記複数のスイッチの内の第２のスイッチと接続され、前記管理コンピュータに、フィルタリングする有害サイト情報を記憶しておき、前記端末からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出し、前記管理コンピュータは、前記送信先情報又は前記送信元情報が、前記有害サイト情報の中に含まれるかどうかを判定し、前記送信先情報又は前記送信元情報が前記有害サイト情報の中に含まれると判定した場合には、前記管理コンピュータは、前記端末のＷｅｂページの取得をフィルタリングし、前記通知サーバに対して、フィルタリングしたことを通知する通知ページを前記端末に送信するように指示し、前記通知サーバから前記端末へＯＳＩ参照モデルのレイヤ４により前記通知ページが送信される。 A harmful site filtering system according to a first aspect of the present invention is a harmful site filtering system for filtering acquisition of a web page of a harmful site, comprising a plurality of switches and a management computer connected to the plurality of switches. A network configuration, a terminal requesting acquisition of a web page, and a notification server that notifies that a harmful site has been filtered, wherein the terminal is connected to a first switch of the plurality of switches, The notification server is connected to a second switch among the plurality of switches, stores harmful site information to be filtered in the management computer, and from a communication packet from the terminal by Layer 3 of the OSI reference model Take out identifiable destination information or source information and manage it The computer determines whether the transmission destination information or the transmission source information is included in the harmful site information, and determines that the transmission destination information or the transmission source information is included in the harmful site information. In this case, the management computer filters the acquisition of the Web page of the terminal, instructs the notification server to transmit a notification page that notifies the filtering to the terminal, and The notification page is transmitted to the terminal by the layer 4 of the OSI reference model .

本発明の第２の視点による有害サイトフィルタリング方法は、有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリング方法であって、端末からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出すステップと、前記送信先情報又は前記送信元情報が、予め記憶しておいた有害サイト情報の中に含まれるかどうかを判定するステップと、前記判定ステップにおいて、前記送信先情報又は前記送信元情報が、前記有害サイト情報の中に含まれると判定された場合に、前記端末のＷｅｂページの取得をフィルタリングし、通知サーバよりフィルタリングしたことを通知する通知ページを前記端末にＯＳＩ参照モデルのレイヤ４により送信するステップと、を含む。 The harmful site filtering method according to the second aspect of the present invention is a harmful site filtering method for filtering acquisition of a web page of a harmful site, and is a transmission that can be identified by layer 3 of the OSI reference model from a communication packet from a terminal. In the step of extracting destination information or transmission source information, the step of determining whether the transmission destination information or the transmission source information is included in harmful site information stored in advance, and the determination step, When it is determined that the transmission destination information or the transmission source information is included in the harmful site information, the notification page that filters the acquisition of the Web page of the terminal and notifies the filtering from the notification server Transmitting to the terminal by layer 4 of the OSI reference model .

本発明の有害サイトフィルタリングシステムによれば、ユーザの端末からの通信パケットに含まれるＯＳＩ参照モデルのレイヤ３で識別可能な送信先情報に基づいて、有害サイトのＷｅｂページ取得をフィルタリングし、フィルタリングしたことを通知する通知ページをユーザの端末に送信することが可能な有害サイトフィルタリングシステムを提供することができる。 According to the harmful site filtering system of the present invention, filtering the web page acquisition of the harmful site based on the destination information identifiable by the layer 3 of the OSI reference model included in the communication packet from the user's terminal is filtered. Therefore, it is possible to provide a harmful site filtering system capable of transmitting a notification page to notify a user terminal.

本発明の有害サイトフィルタリング方法によれば、ユーザの端末からの通信パケットに含まれるＯＳＩ参照モデルのレイヤ３で識別可能な送信先情報に基づいて、有害サイトのＷｅｂページ取得をフィルタリングし、フィルタリングしたことを通知する通知ページをユーザの端末に送信することが可能な有害サイトフィルタリング方法を提供することができる。 According to the harmful site filtering method of the present invention, filtering the web page acquisition of the harmful site based on the destination information identifiable by the layer 3 of the OSI reference model included in the communication packet from the user's terminal is filtered. It is possible to provide a harmful site filtering method capable of transmitting a notification page to notify the user to the terminal of the user.

本発明の実施例１に係る有害サイトフィルタリングシステムのブロック図である。It is a block diagram of the harmful site filtering system concerning Example 1 of the present invention. 図１におけるスイッチ１の詳細を示すブロック図である。It is a block diagram which shows the detail of the switch 1 in FIG. 本発明の実施例１に係る有害サイトフィルタリング方法を説明するためのフローチャートである。It is a flowchart for demonstrating the harmful site filtering method which concerns on Example 1 of this invention. 本発明の実施例１における第１パケットの一例である。It is an example of the 1st packet in Example 1 of this invention. 本発明の実施例１におけるパケット到着通知の一例である。It is an example of the packet arrival notification in Example 1 of this invention. 本発明の実施例１に係る有害サイトフィルタリングシステムにおいて、フィルタリングした旨を通知する通知ページの一例である。It is an example of the notification page which notifies that it filtered in the harmful site filtering system which concerns on Example 1 of this invention. 本発明の実施例１におけるテーブル送信命令の一例である。It is an example of the table transmission command in Example 1 of this invention. 本発明の実施例１において設定される転送テーブルの一例である。It is an example of the transfer table set in Example 1 of this invention. 本発明の実施例１において設定されるパケット送信命令の一例である。It is an example of the packet transmission command set in Example 1 of this invention. 本発明の実施例２に係る有害サイトフィルタリングシステムのブロック図である。It is a block diagram of the harmful site filtering system which concerns on Example 2 of this invention. 本発明の実施例１に係る有害サイトフィルタリング方法を説明するためのフローチャートである。It is a flowchart for demonstrating the harmful site filtering method which concerns on Example 1 of this invention. 従来の有害サイトフィルタリングシステムを説明するためのブロック図である。It is a block diagram for demonstrating the conventional harmful site filtering system.

本発明の実施形態について、必要に応じて図面を参照して説明する。なお、実施形態の説明において引用する図面及び図面の符号は実施形態の一例として示すものであり、それにより本発明による実施形態のバリエーションを制限するものではない。 Embodiments of the present invention will be described with reference to the drawings as necessary. In addition, drawing quoted in description of embodiment and the code | symbol of drawing are shown as an example of embodiment, and, thereby, the variation of embodiment by this invention is not restrict | limited.

本発明の第１の視点による有害サイトフィルタリングシステムは、図１に示すように、有害サイト３８のＷｅｂページの取得をフィルタリングする有害サイトフィルタリングシステムであって、複数のスイッチと、複数のスイッチに接続された管理コンピュータ１２を備えたネットワーク構成と、Ｗｅｂページの取得を要求する端末３２と、有害サイト３８をフィルタリングしたことを通知する通知サーバ３４と、を備え、端末３２は、複数のスイッチの内の第１のスイッチ２８と接続され、通知サーバ３４は、複数のスイッチの内の第２のスイッチ３０と接続され、管理コンピュータ１２に、フィルタリングする有害サイト情報２２を記憶しておき、端末３２からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出し、管理コンピュータ１２は、送信先情報又は送信元情報が、有害サイト情報２２の中に含まれるかどうかを判定し、送信先情報又は送信元情報が有害サイト情報２２の中に含まれると判定した場合には、管理コンピュータ１２は、端末３２のＷｅｂページの取得をフィルタリングし、通知サーバ３４に対して、フィルタリングしたことを通知する通知ページ（図６の４８）を端末３２に送信するように指示し、通知サーバ３４から端末３２へ通知ページ（図６の４８）が送信される。 As shown in FIG. 1, the harmful site filtering system according to the first aspect of the present invention is a harmful site filtering system that filters acquisition of Web pages of harmful sites 38, and is connected to a plurality of switches and a plurality of switches. A network configuration including the management computer 12, a terminal 32 that requests acquisition of a Web page, and a notification server 34 that notifies that a harmful site 38 has been filtered. The notification server 34 is connected to the second switch 30 among the plurality of switches, and stores the harmful site information 22 to be filtered in the management computer 12. Destinations that can be identified by layer 3 of the OSI reference model The management computer 12 determines whether the transmission destination information or the transmission source information is included in the harmful site information 22, and the transmission destination information or the transmission source information is included in the harmful site information 22. If it is determined that the management computer 12 includes the Web page of the terminal 32, the management computer 12 filters the acquisition of the Web page of the terminal 32 and displays a notification page (48 in FIG. 6) for notifying the notification server 34 of the filtering. The notification server 34 sends a notification page (48 in FIG. 6) to the terminal 32.

本発明の第２の視点による有害サイトフィルタリング方法は、図３に示すように、有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリング方法であって、端末からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出すステップＳ１０４と、送信先情報又は送信元情報が、予め記憶しておいた有害サイト情報２２の中に含まれるかどうかを判定するステップＳ１０６と、判定ステップＳ１０６において、送信先情報又は送信元情報が、有害サイト情報２２の中に含まれると判定された場合に、端末のＷｅｂページの取得をフィルタリングし（ステップＳ１１０）、通知サーバよりフィルタリングしたことを通知する通知ページ４８を端末に送信するステップ（ステップＳ１１４、Ｓ１１６）と、を含む。 As shown in FIG. 3, the harmful site filtering method according to the second aspect of the present invention is a harmful site filtering method for filtering the acquisition of a web page of a harmful site. Step S104 for extracting transmission destination information or transmission source information that can be identified by layer 3, and determination of whether transmission destination information or transmission source information is included in the pre-stored harmful site information 22 In the determination step S106, when it is determined that the transmission destination information or the transmission source information is included in the harmful site information 22, the acquisition of the Web page of the terminal is filtered (step S110), and the filtering is performed by the notification server. Sending a notification page 48 to the terminal (step It includes a flop S114, S116), the.

以下、実施例について、図面を参照して詳しく説明する。 Hereinafter, embodiments will be described in detail with reference to the drawings.

［実施例１の構成］
図１は、本発明の実施例１に係る有害サイトフィルタリングシステムのブロック図である。図１において、破線枠内は、ＩＳＰ（インターネットサービスプロバイダ）１０におけるシステムを示す。ここで、ＩＳＰに加入したユーザが、端末３２（ＩＰアドレスは、７．８．９．１０とする）から、ＩＳＰを介して、インターネット上の有害サイト３８（ＵＲＬがｈｔｔｐ：／／ｗｗｗ．ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスが３．４．５．６とする）を閲覧しようとする場合と、有害でないサイト７０（ＵＲＬがｈｔｔｐ：／／ｗｗｗ．ｎｏｔ＿ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスが１５．１６．１７．１８とする）を閲覧しようとする場合を示している。 [Configuration of Example 1]
FIG. 1 is a block diagram of a harmful site filtering system according to Embodiment 1 of the present invention. In FIG. 1, a broken line frame indicates a system in an ISP (Internet Service Provider) 10. Here, a user who has subscribed to the ISP sends a harmful site 38 on the Internet (URL is http: //www.yuugai) via the ISP from the terminal 32 (IP address is 7.8.9.9). .Com with an IP address of 3.4.5.6) and a non-harmful site 70 (URL is http://www.not_yuugai.com, IP address is 15.16.17. 18).

実施例１に係る有害サイトフィルタリングシステムは、オープンフローに基づいて構成されている。オープンフローは、ＯｐｅｎＦｌｏｗスイッチングコンソーシアム（ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／を参照）が提唱しているネットワーク制御技術のことである。従来のネットワーク制御方式は、主にＩＰアドレスのルーティングによって行われてきたが、オープンフローではＭＡＣアドレスやＩＰアドレス、ポート番号などの組み合わせによって決定される通信を「フロー」と定義し、フロー単位での経路制御を実現している。これにより、最適な経路を決定することが実現できるため、ネットワークの利用効率向上が得られるという利点を持っている。 The harmful site filtering system according to the first embodiment is configured based on an open flow. OpenFlow is a network control technology proposed by the OpenFlow switching consortium (see http://www.openflowswitch.org/). The conventional network control method has been mainly performed by IP address routing. However, in OpenFlow, communication determined by a combination of MAC address, IP address, port number, etc. is defined as "flow", The path control is realized. As a result, it is possible to determine an optimum route, which has the advantage of improving the use efficiency of the network.

特許文献２には、オープンフローを用いたシステムにおいて、ネットワーク上の複数のスイッチのスイッチコストを算出し、算出されたスイッチコストに基づいて、幾つかの送信元から送信先への経路候補の中から、最適な経路を決定する方法が、開示されている。 In Patent Document 2, in a system using OpenFlow, switch costs of a plurality of switches on a network are calculated, and based on the calculated switch costs, among route candidates from several transmission sources to transmission destinations. Thus, a method for determining the optimum route is disclosed.

一般に、オープンフローシステムは、複数のオープンフロースイッチと、それに接続されるオープンフローコントローラを備えたネットワーク構成をしている。図１において、管理コンピュータ１２が、オープンフローにおけるオープンフローコントローラであり、スイッチ１、スイッチ２は、オープンフロースイッチである。各スイッチには識別子としてＤＰＩＤ（ＤａｔａＰａｔｃｈＩＤ）が付与される。図１において、スイッチ１のＤＰＩＤは、「００−００−４ｃ−００−１１−１１」、スイッチ２のＤＰＩＤは、「００−００−４ｃ−００−２２−２２」である。また、オープンフローでは、ＯＳＩ参照モデルのレイヤ１〜４が、識別可能である。従来のルータ機器ではレイヤ１〜３までしか識別できなかったのに対して、オープンフローでは、レイヤ４を識別できるようになっている。従って、オープンフローシステムは、オープンフロースイッチであるスイッチ１、スイッチ２を、Ｌ３スイッチとしても動作させることもできるし、Ｌ４スイッチとして動作させることもできる。 In general, the OpenFlow system has a network configuration including a plurality of OpenFlow switches and an OpenFlow controller connected thereto. In FIG. 1, a management computer 12 is an OpenFlow controller in OpenFlow, and switches 1 and 2 are OpenFlow switches. Each switch is assigned a DPID (Data Patch ID) as an identifier. In FIG. 1, the DPID of the switch 1 is “00-00-4c-00-11-11”, and the DPID of the switch 2 is “00-00-4c-00-22-22”. In OpenFlow, layers 1 to 4 of the OSI reference model can be identified. In the conventional router device, only layers 1 to 3 can be identified, whereas in OpenFlow, layer 4 can be identified. Therefore, in the OpenFlow system, the switches 1 and 2 that are OpenFlow switches can be operated as L3 switches or L4 switches.

次に、図２は、オープンフロースイッチであるスイッチ１の詳細を示したブロック図である。スイッチ１は、ホスト通信部４０、転送処理部４６、テーブル設定部４２、転送テーブル４４を含んでいる。ここで、転送テーブル４４は、ＲＡＭ等によるメモリで構成されている。転送処理部４６は、スイッチ１に入力された通信データ（パケットデータ等）を転送する機能を有している。転送処理部４６は、複数のポートを有しており、実施例１では、２２個のポートＰ１〜Ｐ２２を有している。 Next, FIG. 2 is a block diagram showing details of the switch 1 which is an open flow switch. The switch 1 includes a host communication unit 40, a transfer processing unit 46, a table setting unit 42, and a transfer table 44. Here, the transfer table 44 is configured by a memory such as a RAM. The transfer processing unit 46 has a function of transferring communication data (packet data or the like) input to the switch 1. The transfer processing unit 46 has a plurality of ports. In the first embodiment, the transfer processing unit 46 has 22 ports P1 to P22.

次に、図１において、管理コンピュータ１２、スイッチ１、スイッチ２、端末３２、通知サーバ３４の接続形態について説明する。端末３２は、スイッチ１のポートＰ１８と接続され、双方向に通信が可能である。また、通知サーバ（ＩＰアドレスは、１１．１２．１３．１４とする）は、スイッチ２のポートＰ１７と接続され、双方向に通信が可能である。また、スイッチ１のポートＰ１５は、スイッチ２のポートＰ１６と接続され、双方向に通信可能である。また、スイッチ１のポートＰ１６は、インターネット網と接続されている。また、スイッチ１のホスト通信部（図２の４０）は、管理コンピュータ１２の通信部２０と接続され、コマンド、メッセージ等の送受信が可能である。 Next, a connection form of the management computer 12, the switch 1, the switch 2, the terminal 32, and the notification server 34 will be described with reference to FIG. The terminal 32 is connected to the port P18 of the switch 1 and can communicate bidirectionally. The notification server (IP address is 11.12.13.14) is connected to the port P17 of the switch 2 and can communicate in both directions. The port P15 of the switch 1 is connected to the port P16 of the switch 2 and can communicate bidirectionally. The port P16 of the switch 1 is connected to the Internet network. Further, the host communication unit (40 in FIG. 2) of the switch 1 is connected to the communication unit 20 of the management computer 12, and can transmit and receive commands, messages, and the like.

次に、オープンフローコントローラである管理コンピュータ１２の構成について、詳細に説明する。管理コンピュータ１２は、メモリで構成される記憶部１４を有しており、トポロジー情報２４、エントリ状態情報２６、有害サイト情報２２が保存されている。ここで、トポロジー情報２４は、スイッチ１、スイッチ２、端末３２、通知サーバ３４の接続形態を格納し、送信元から送信先の候補経路を得る際に、読み出して使用される。エントリ状態情報２６は、各々のスイッチのエントリ数の空き状態を示す空きエントリ数と、使用エントリ率がどの程度であるかを示すスイッチコストを含んでいる。有害サイト情報２２は、有害サイトのＩＰアドレスのリストである。有害サイトの情報が、ＵＲＬ情報で提供される場合には、予め、ＤＮＳサーバを参照して、ＩＰアドレスに変換しておく。また、有害サイト情報２２は、システムの管理者により、必要に応じて、更新がなされる。 Next, the configuration of the management computer 12 that is an OpenFlow controller will be described in detail. The management computer 12 has a storage unit 14 composed of a memory, and topology information 24, entry status information 26, and harmful site information 22 are stored. Here, the topology information 24 stores the connection form of the switch 1, the switch 2, the terminal 32, and the notification server 34, and is read out and used when obtaining the candidate route of the transmission destination from the transmission source. The entry state information 26 includes the number of empty entries indicating the empty state of the number of entries of each switch and the switch cost indicating how much the used entry rate is. The harmful site information 22 is a list of IP addresses of harmful sites. When information on harmful sites is provided as URL information, it is converted into an IP address in advance by referring to a DNS server. The harmful site information 22 is updated as necessary by the system administrator.

また、管理コンピュータ１２は、スイッチと通信する通信部２０、オープンフローの動作を制御する制御部１８、有害サイト判定部１６を備えている。 The management computer 12 includes a communication unit 20 that communicates with the switch, a control unit 18 that controls the operation of the open flow, and a harmful site determination unit 16.

［実施例１の動作］
次に、実施例１の動作について、図１、図３を参照しながら、説明する。また、以下のステップＳ１００、Ｓ１０２は、特許文献２に記載された内容に基づいている（特許文献２の具体例では、オープンフローの２つのスイッチに接続された２つの端末間のフロー制御について開示されている）。特許文献２では、ＩＰアドレスではなく、ＭＡＣアドレスを用いているが、実施例１では、ＩＰアドレスを用いている。まず、ユーザが、端末３２より、有害サイト３８（ｈｔｔｐ：／／ｗｗｗ．ｙｕｕｇａｉ．ｃｏｍ）のＷｅｂページ取得の要求を送った場合の動作について、以下に示す。具体的には、ユーザの端末３２は、ＩＳＰのスイッチ１に対して、第１パケットを送出する（ステップＳ１００）。ここで、第１パケットは、図４に示すように、送信先情報として、送信先のＩＰアドレスであるＩＰ＿ＤＡ（３．４．５．６）、送信元情報として、送信元のＩＰアドレスであるＩＰ＿ＳＡ（７．８．９．１０）を含んでいる。スイッチ１は、第１パケットを受け取ると、ＩＰ＿ＤＡ、ＩＰ＿ＳＡを取り出し、スイッチ１内部の転送テーブル４４を参照する。ここで、転送テーブル４４は、スイッチ１が関係するエントリ毎に、入力ポート、ＩＰ＿ＤＡ、ＩＰ＿ＳＡ、出力ポートの情報を含むリストになっている。ここで、スイッチ１は、送信先のＩＰアドレスであるＩＰ＿ＤＡ、送信元のＩＰアドレスであるＩＰ＿ＳＡ、入力ポートＰ１８を検索キーとして、転送テーブル４４を検索する。この時点は、該当するエントリは、未だ、存在しない。 [Operation of Embodiment 1]
Next, the operation of the first embodiment will be described with reference to FIGS. The following steps S100 and S102 are based on the contents described in Patent Document 2 (in the specific example of Patent Document 2, the flow control between two terminals connected to two switches of OpenFlow is disclosed. Have been). In Patent Document 2, a MAC address is used instead of an IP address. In the first embodiment, an IP address is used. First, the operation when the user sends a web page acquisition request for the harmful site 38 (http://www.yuugai.com) from the terminal 32 will be described below. Specifically, the user terminal 32 transmits the first packet to the switch 1 of the ISP (step S100). Here, as shown in FIG. 4, the first packet is IP_DA (3.4.5.6) that is the IP address of the transmission destination as the transmission destination information, and the IP address of the transmission source as the transmission source information. IP_SA (7.8.9.10) is included. When the switch 1 receives the first packet, it takes out IP_DA and IP_SA and refers to the forwarding table 44 in the switch 1. Here, the forwarding table 44 is a list including information on input ports, IP_DA, IP_SA, and output ports for each entry related to the switch 1. Here, the switch 1 searches the transfer table 44 using the IP_DA that is the destination IP address, the IP_SA that is the source IP address, and the input port P18 as search keys. At this time, the corresponding entry does not yet exist.

該当するエントリが、転送テーブル４４に存在しないことがわかると、次に、スイッチ１のホスト通信部４０は、管理コンピュータ１２の通信部２０を介して、管理コンピュータ１２の制御部１８に、図５で示すパケット到着通知を送信する（ステップＳ１０２）。ここで、パケット到着通知は、図５に示すように、ＤＰＩＤ情報がスイッチ１のＤＰＩＤ、種別情報がパケット到着通知であることを示す「ＰＡＣＫＥＴ＿ＩＮ」、入力ポート情報が、パケットがポート１８から入力されたことを示すＰ１８、及び、第１パケットを含んでいる。 If it is found that the corresponding entry does not exist in the transfer table 44, the host communication unit 40 of the switch 1 next sends the control unit 18 of the management computer 12 to the control unit 18 of the management computer 12 via the communication unit 20 of FIG. Is transmitted (step S102). Here, in the packet arrival notification, as shown in FIG. 5, the DPID information is the DPID of the switch 1, the type information is “PACKET_IN” indicating the packet arrival notification, and the input port information is input from the port 18. P18 indicating this and the first packet.

次に、管理コンピュータ１２の制御部１８は、図５に示したパケット到着通知から、送信先のＩＰアドレスであるＩＰ＿ＤＡを取り出す（ステップＳ１０４）。次に、制御部１８は、ユーザがＷｅｂページの取得を要求したＷｅｂサイトが、有害サイトかどうかの判定を、以下のように行う。まず、制御部１８は、有害サイト判定部１６に送信先のＩＰアドレスであるＩＰ＿ＤＡを渡す。次に、有害サイト判定部１６は、記憶部１４の有害サイト情報２２を参照して、送信先のＩＰアドレスであるＩＰ＿ＤＡが、有害サイト情報２２の中にあるかどうかをチェックする（ステップＳ１０６）。ここで、ＩＰ＿ＤＡが、有害サイト情報２２の中に、含まれている場合には、ステップＳ１０８で、有害サイトであると判定する（ステップＳ１０８でＹｅｓ）。一方、ＩＰ＿ＤＡが、有害サイト情報２２の中に、含まれていない場合には、ステップＳ１０８で、有害サイトでないと判定する（ステップＳ１０８でＮｏ）。 Next, the control unit 18 of the management computer 12 extracts the IP_DA that is the destination IP address from the packet arrival notification shown in FIG. 5 (step S104). Next, the control unit 18 determines whether or not the Web site from which the user requested acquisition of the Web page is a harmful site as follows. First, the control unit 18 passes IP_DA that is the IP address of the transmission destination to the harmful site determination unit 16. Next, the harmful site determination unit 16 refers to the harmful site information 22 in the storage unit 14 and checks whether the IP_DA that is the destination IP address is in the harmful site information 22 (step S106). . Here, when IP_DA is included in the harmful site information 22, it is determined in step S108 that it is a harmful site (Yes in step S108). On the other hand, if IP_DA is not included in the harmful site information 22, it is determined in step S108 that it is not a harmful site (No in step S108).

ここで、送信先のＩＰアドレスであるＩＰ＿ＤＡ（３．４．５．６）は、有害サイト３８のＩＰアドレスであり、有害サイト情報２２の中に含まれているので、ステップＳ１０８では、有害サイトと判定されることになる。次に、ステップＳ１０８で有害サイトと判定された場合の動作について、以下に詳細に説明する。管理コンピュータ１２は、有害サイト３８からＷｅｂページの取得を中止することにより、フィルタリングする（ステップＳ１１０）。次に、管理コンピュータ１２は、通知サーバ３４に対し、通知ページ４８を端末３２に送信するように指示する（ステップＳ１１４）。次に、ステップＳ１１４の指示に基づいて、通知サーバ３４は、端末３２に通知ページ４８の送信をレイヤ４で行う（ステップＳ１１６）。ここで、ステップＳ１１６の処理は、ＯＳＩ参照モデルのレイヤ４で行われる。オープンフローでは、ＯＳＩ参照モデルのレイヤ４を識別可能であるため、レイヤ４で処理することにより、通知サーバ３４と端末３２の経路に存在するスイッチ２、スイッチ１の転送テーブル４４の設定を自動的に処理することができる。それにより、管理コンピュータ１２が、複雑な設定をする必要がないという利点が得られ、通知ページ４８の送信を容易に行うことが可能になる。図６は、通知ページ４８の一例を示している。例えば、ユーザが、端末３２から閲覧しようとしたＷｅｂページが、児童ポルノに関するサイトである場合には、ＩＳＰが強制的にブロッキングした旨を知らせることができる。 Here, IP_DA (3.4.5.6) that is the IP address of the transmission destination is the IP address of the harmful site 38 and is included in the harmful site information 22. It will be determined. Next, the operation when it is determined as a harmful site in step S108 will be described in detail below. The management computer 12 performs filtering by canceling the acquisition of the Web page from the harmful site 38 (step S110). Next, the management computer 12 instructs the notification server 34 to transmit the notification page 48 to the terminal 32 (step S114). Next, based on the instruction in step S114, the notification server 34 transmits the notification page 48 to the terminal 32 in the layer 4 (step S116). Here, the process of step S116 is performed in layer 4 of the OSI reference model. In OpenFlow, since the layer 4 of the OSI reference model can be identified, processing in the layer 4 automatically sets the forwarding table 44 of the switch 2 and the switch 1 existing in the route between the notification server 34 and the terminal 32. Can be processed. Accordingly, there is an advantage that the management computer 12 does not need to make complicated settings, and the notification page 48 can be easily transmitted. FIG. 6 shows an example of the notification page 48. For example, when the Web page that the user intends to browse from the terminal 32 is a site related to child pornography, it can be notified that the ISP has forcibly blocked.

次に、ステップＳ１０８で、有害サイトでないと判定された場合のフローについて説明する。具体的には、ユーザが端末３２から、有害でないサイト７０（ＵＲＬは、ｈｔｔｐ：／／ｗｗｗ．ｎｏｔ＿ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスは１５．１６．１７．１８とする）に対して、Ｗｅｂページの取得を要求する場合である。 Next, a flow when it is determined in step S108 that the site is not a harmful site will be described. Specifically, the user obtains a web page from the terminal 32 to a non-hazardous site 70 (URL is http://www.not_yuugai.com, IP address is 15.16.17.18). Is required.

ここで、以下に示すステップＳ１２０〜Ｓ１２８の処理は、オープンフローのフロー制御によるものであり、特許文献２に記載された方法に基づいている（特許文献２の具体例では、オープンフローの２つのスイッチに接続された２つの端末間のフロー制御について開示されている）。 Here, the processing of steps S120 to S128 shown below is based on the flow control of OpenFlow, and is based on the method described in Patent Document 2 (in the specific example of Patent Document 2, two processes of OpenFlow are performed). The flow control between two terminals connected to the switch is disclosed).

まず、管理コンピュータ１２は、スイッチ１に、テーブル設定命令を送信する（ステップＳ１２０）。次に、スイッチ１において、受け取ったテーブル設定命令に基づいて、スイッチ１の転送テーブル４４を設定する（ステップＳ１２２）。以下に、ステップＳ１２０、ステップＳ１２２について、より詳細に説明する。端末３２から、インターネット網への経路を設定するには、スイッチ１に、ポートＰ１８を入力ポートとし、ポートＰ１６を出力ポートとする設定を行えばよい。ステップＳ１２０で管理コンピュータ１２から送信されるテーブル設定命令を、図７に示す。図７において、ＤＰＩＤ情報はスイッチ１を示すＤＰＩＤ、種別情報はテーブル設定であることを示す「ＭＯＤＩＦＹ＿ＳＴＡＴＥ」、入力ポートはＰ１８、ＩＰ＿ＤＡは有害でないサイト７０のＩＰアドレス：１５．１６．１７．１８、ＩＰ＿ＳＡは端末３２のＩＰアドレス：７．８．９．１０、出力ポートはＰ１６である。テーブル設定部４２は、ホスト通信部４０を介して、このテーブル設定命令を受けて、転送テーブル４４に、追加エントリとして、設定する。図８は、追加がなされたエントリの転送テーブル４４の内容を示している。図７示したテーブル設定命令における入力ポート情報、ＩＰ＿ＤＡ情報、ＩＰ＿ＳＡ情報、出力ポート情報の部分を、取り出したデータになっている。 First, the management computer 12 transmits a table setting command to the switch 1 (step S120). Next, the switch 1 sets the transfer table 44 of the switch 1 based on the received table setting command (step S122). Below, step S120 and step S122 are demonstrated in detail. In order to set a route from the terminal 32 to the Internet network, the switch 1 may be set to have the port P18 as an input port and the port P16 as an output port. The table setting command transmitted from the management computer 12 in step S120 is shown in FIG. In FIG. 7, the DPID information is DPID indicating the switch 1, the type information is “MODIFY_STATE” indicating table setting, the input port is P18, IP_DA is the IP address of the non-hazardous site 70: 15.16.17.18, IP_SA is the IP address of the terminal 32: 7.8.9.9.10, and the output port is P16. The table setting unit 42 receives this table setting command via the host communication unit 40 and sets it as an additional entry in the transfer table 44. FIG. 8 shows the contents of the forwarding table 44 of the entry that has been added. The input port information, IP_DA information, IP_SA information, and output port information portions in the table setting command shown in FIG. 7 are extracted data.

次に、図３のフローチャートにおいて、管理コンピュータ１２が、スイッチ１にパケット送信命令を送信する（ステップＳ１２４）。図９に、パケット送信命令を示す。ＤＰＩＤ情報はスイッチ１のＤＰＩＤであり、種別情報はパケット送信命令であることを示す「ＳＥＮＤ＿ＰＡＣＫＥＴ」であり、出力ポートは、スイッチ１において出力ポートに設定されているポートＰ１６であり、パケット部は、第１パケットになっている。ここで、第１パケットは、ステップＳ１０２におけるパケット到達通知に含まれているため、管理コンピュータ１２は、パケット到達通知から第１パケットのデータを取得し、その第１パケットをパケット送信命令に付加している。 Next, in the flowchart of FIG. 3, the management computer 12 transmits a packet transmission command to the switch 1 (step S124). FIG. 9 shows a packet transmission command. The DPID information is the DPID of the switch 1, the type information is “SEND_PACKET” indicating that it is a packet transmission command, the output port is the port P16 set as the output port in the switch 1, and the packet part is It is the first packet. Here, since the first packet is included in the packet arrival notification in step S102, the management computer 12 acquires the data of the first packet from the packet arrival notification, and adds the first packet to the packet transmission command. ing.

次に、スイッチ１は、パケット送信命令を受けて、第１パケットの転送を再開する（ステップＳ１２６）。より具体的には、スイッチ１のホスト通信部４０は、図９に示されたパケット送信命令から第１パケットを取り出す。そして、スイッチ１の転送処理部４６に対して、ポートＰ１６から、第１パケットを出力するように指示している。 Next, the switch 1 receives the packet transmission command and resumes the transfer of the first packet (step S126). More specifically, the host communication unit 40 of the switch 1 extracts the first packet from the packet transmission command shown in FIG. Then, the transfer processing unit 46 of the switch 1 is instructed to output the first packet from the port P16.

次に、スイッチ１の転送処理部４６は、ポートＰ１６から、第１パケットを転送する（ステップＳ１２８）。以上に説明したように、図３に示すフローチャートに基づいて、端末３２から有害でないサイト７０のＷｅｂページの取得を要求する場合のフローが確立する。その後、第１パケットに続いて、順次パケットが転送される。 Next, the transfer processing unit 46 of the switch 1 transfers the first packet from the port P16 (step S128). As described above, based on the flowchart shown in FIG. 3, a flow for requesting acquisition of the Web page of the non-hazardous site 70 from the terminal 32 is established. Thereafter, the packets are sequentially transferred following the first packet.

以上、説明したように、実施例１に係る有害サイトフィルタリングシステムによれば、ユーザの端末からＷｅｂサイトの取得要求がなされた時に、その通信パケットから送信先のＩＰアドレスを取り出し、その送信先のＩＰアドレスが、予め、管理コンピュータに保存しておいた有害サイトのＩＰアドレスの中に含まれると判定された場合には、有害サイトのＷｅｂページを取得しようとしたと判定し、フィルタリングを行う。ここで、フィルタリングを行った旨を、通知サーバよりユーザの端末に、通知ページを送信することができるという効果が得られる。従来のルータ機器では、ＯＳＩ参照モデルのレイヤ３までしか識別できないため、通知ページを送信するのに複雑な制御が必要で、通知ページの送信は行われていなかった。本発明の実施例１では、オープンフローの構成を取ることで、レイヤ４の通信が可能になり、通知ページの送信を容易に行うことが可能になった。 As described above, according to the harmful site filtering system according to the first embodiment, when a website acquisition request is made from a user terminal, the destination IP address is extracted from the communication packet, and the destination When it is determined that the IP address is included in the IP address of the harmful site stored in advance in the management computer, it is determined that an attempt is made to acquire the Web page of the harmful site, and filtering is performed. Here, the effect that the notification page can be transmitted from the notification server to the user's terminal is obtained. Since the conventional router device can identify only the layer 3 of the OSI reference model, complicated control is required to transmit the notification page, and the notification page is not transmitted. In the first embodiment of the present invention, by adopting the OpenFlow configuration, layer 4 communication becomes possible, and the notification page can be easily transmitted.

尚、実施例１における通知サーバ３４は、仮想サーバで構成してもよい。その場合、通知サーバ３４に接続されるスイッチ２は、ソフトウェアスイッチである仮想スイッチで構成する。また、図１においては、スイッチ１が、直接、インターネット網３６と接続する構成になっているが、スイッチ１とインターネット網の間に、プロキシサーバを設け、Ｗｅｂページをプロキシサーバで受信し、その後、ユーザの端末３２に転送する構成にしてもよい。 The notification server 34 in the first embodiment may be configured with a virtual server. In this case, the switch 2 connected to the notification server 34 is configured by a virtual switch that is a software switch. In FIG. 1, the switch 1 is directly connected to the Internet network 36. However, a proxy server is provided between the switch 1 and the Internet network, and a Web page is received by the proxy server. Alternatively, the data may be transferred to the user terminal 32.

図１０は、本発明の実施例２に係る有害サイトフィルタリングシステムを示すブロック図である。実施例２の実施例１に対する相違点は、より多くのスイッチ（図１０では、７個）でネットワークが構成され、インターネット網３６には、スイッチ６が接続している点である。これらのスイッチは、いずれも、オープンフロースイッチである。図１０において、スイッチ１とスイッチ３、スイッチ１とスイッチ５、スイッチ１とスイッチ７、スイッチ２とスイッチ３、スイッチ２とスイッチ４、スイッチ３とスイッチ５、スイッチ４とスイッチ５、スイッチ４とスイッチ６、スイッチ５とスイッチ６、スイッチ５とスイッチ７、及び、スイッチ６とスイッチ７は接続され、双方向通信が可能である。また、スイッチ１〜７は、各々、内部にホスト通信部を有し、管理コンピュータ１２の通信部２０と接続されている。 FIG. 10 is a block diagram illustrating a harmful site filtering system according to the second embodiment of the present invention. The difference between the second embodiment and the first embodiment is that the network is configured by more switches (seven in FIG. 10), and the switch 6 is connected to the Internet network 36. These switches are all open flow switches. In FIG. 10, switch 1 and switch 3, switch 1 and switch 5, switch 1 and switch 7, switch 2 and switch 3, switch 2 and switch 4, switch 3 and switch 5, switch 4 and switch 5, switch 4 and switch 6, the switch 5 and the switch 6, the switch 5 and the switch 7, and the switch 6 and the switch 7 are connected, and bidirectional communication is possible. Each of the switches 1 to 7 has a host communication unit therein and is connected to the communication unit 20 of the management computer 12.

次に、実施例２の動作について、図３、図１０、図１１を参照しながら、説明する。実施例２の動作は、実施例１の動作を示す図３のフローチャートにおいて、ステップＳ１０８で有害サイトでないと判定されたときの破線枠の処理を、図１１に示すフローチャートに置き換えたものである。 Next, the operation of the second embodiment will be described with reference to FIG. 3, FIG. 10, and FIG. The operation of the second embodiment is obtained by replacing the processing of the broken line frame when it is determined in step S108 that the site is not a harmful site in the flowchart of FIG. 3 showing the operation of the first embodiment with the flowchart shown in FIG.

端末３２が、有害サイト３８のＷｅｂページ（ＵＲＬはｈｔｔｐ：／／ｗｗｗ．ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスは、３．４．５．６）を取得しようとした場合は、実施例１と同様の動作となるため、説明を省略する。 When the terminal 32 tries to acquire the Web page of the harmful site 38 (URL is http://www.yuugai.com, IP address is 3.4.5.6), the same operation as in the first embodiment Therefore, the description is omitted.

次に、端末３２が、有害でないサイト７０のＷｅｂページ（ＵＲＬはｈｔｔｐ：／／ｗｗｗ．ｎｏｔ＿ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスは、１５．１６．１７．１８）を取得しようとした場合、すなわち、ステップＳ１０８でＮｏと選択された後の処理が、図１１に示すフローチャートの動作となる。以下、図１１に示すフローチャートを参照し、その動作について、説明する。図１１に示された動作は、オープンフローのフロー制御によるものであり、特許文献２に記載された方法に基づいている（特許文献２の具体例では、オープンフローの２つのスイッチに接続された２つの端末間のフロー制御について開示されている）。 Next, when the terminal 32 tries to acquire the Web page of the site 70 that is not harmful (URL is http://www.not_yuugai.com, IP address is 15.16.17.18), that is, step S108. The process after No is selected is the operation of the flowchart shown in FIG. The operation will be described below with reference to the flowchart shown in FIG. The operation shown in FIG. 11 is based on the flow control of the open flow and is based on the method described in Patent Document 2 (in the specific example of Patent Document 2, it is connected to two switches of Open Flow). The flow control between two terminals is disclosed).

図１１において、管理コンピュータ１２が、フロー経路の候補から、フロー経路を決定する（ステップＳ２１９）。以下に、ステップＳ２１９について、より詳細に説明する。実施例２では、インターネット網３６に接続されているのは、スイッチ６のポートである。従って、端末３２が接続されているスイッチ１からスイッチ６まで、パケットを転送しなければならない。フロー経路の候補として、スイッチ１→スイッチ５→スイッチ６、スイッチ１→スイッチ７→スイッチ６等が考えられる。管理コンピュータ１２は、どちらのフロー経路を使用するのがよいかを以下のように判断する。まず、管理コンピュータ１２は、記憶部１４のエントリ状態情報２６を参照する。エントリ状態情報２６には、ネットワークに含まれる複数のスイッチ毎に、空きエントリ数（又は、使用エントリ数）とスイッチコストが格納されている。ここで、空きエントリ数とは、特許文献２に記載されているように、スイッチがエントリあふれを起こすエントリ数の閾値から、使用エントリ数を引いた差分である。空きエントリ数が少ないほど、スイッチコストが、大きくなる。スイッチコストが大きいほど、エントリあふれが生じるリスクが高くなり、ネットワークの利用効率は悪くなる。そのため、管理コンピュータ１２の制御部１８は、フロー経路の候補ごとに、経路上に存在するスイッチのスイッチコストの総和を比較し、スイッチコストの低いほうの経路を選択する。ここで、前述の２つの候補経路は、一方がスイッチ５を含むのに対し、他方はスイッチ７を含んでいる。従って、エントリ状態情報２６のスイッチ５とスイッチ７のスイッチコストを比較し、小さいほうのスイッチを含む経路を選択する。ここで、スイッチ５のスイッチコストのほうが小さい場合には、スイッチ１→スイッチ５→スイッチ６の経路が選択される。 In FIG. 11, the management computer 12 determines a flow path from the flow path candidates (step S219). Hereinafter, step S219 will be described in more detail. In the second embodiment, the port of the switch 6 is connected to the Internet network 36. Therefore, the packet must be transferred from the switch 1 to the switch 6 to which the terminal 32 is connected. Possible candidates for the flow path are switch 1 → switch 5 → switch 6, switch 1 → switch 7 → switch 6, and the like. The management computer 12 determines which flow path should be used as follows. First, the management computer 12 refers to the entry status information 26 in the storage unit 14. The entry status information 26 stores the number of empty entries (or the number of used entries) and the switch cost for each of a plurality of switches included in the network. Here, the number of empty entries is a difference obtained by subtracting the number of used entries from the threshold value of the number of entries in which the switch causes entry overflow, as described in Patent Document 2. The smaller the number of empty entries, the higher the switch cost. The greater the switch cost, the higher the risk of entry overflow and the worse the network utilization efficiency. Therefore, the control unit 18 of the management computer 12 compares the total switch cost of the switches existing on the path for each flow path candidate, and selects the path with the lower switch cost. Here, one of the two candidate routes described above includes the switch 5, while the other includes the switch 7. Accordingly, the switch costs of the switch 5 and the switch 7 in the entry status information 26 are compared, and a path including the smaller switch is selected. Here, when the switch cost of the switch 5 is smaller, the route of the switch 1 → the switch 5 → the switch 6 is selected.

次に、図１１において、管理コンピュータ１２がフロー経路上の各スイッチに、テーブル設定命令を送信する（ステップＳ２２０）。具体的には、実施例１で示した図７の様に、スイッチ１、スイッチ５、及びスイッチ６に対し、各々の入力ポート、出力ポートを指定するテーブル設定命令を送信する。詳細の説明は省略する。 Next, in FIG. 11, the management computer 12 transmits a table setting command to each switch on the flow path (step S220). Specifically, as shown in FIG. 7 described in the first embodiment, a table setting command for designating each input port and output port is transmitted to the switch 1, the switch 5, and the switch 6. Detailed description is omitted.

次に、フロー経路上の各スイッチ（スイッチ１、スイッチ５、及びスイッチ６）は、テーブル設定命令を受け、それに基づいて、転送テーブルを設定する（ステップＳ２２２）。 Next, each switch (switch 1, switch 5, and switch 6) on the flow path receives the table setting command, and sets the transfer table based on the command (step S222).

次に、管理コンピュータ１２は、スイッチ１にパケット送信命令を送信する（ステップＳ２２４）。これは、実施例１で示した図９と同様であるため、説明は省略する。 Next, the management computer 12 transmits a packet transmission command to the switch 1 (step S224). Since this is the same as FIG. 9 shown in the first embodiment, the description is omitted.

次に、スイッチ１は、パケット送信命令を受け、第１パケットの転送を再開する（ステップＳ２２６）。次に、スイッチ１より第１パケットが転送される（ステップＳ２２８）。ステップＳ２２６、Ｓ２２８は、実施例１と同様であるため、説明は省略する。以上のように、図１１に示すフローチャートに基づいて、端末３２から有害でないサイト７０にＷｅｂページの取得を要求する場合のフローが確立する。その後、第１パケットに続いて、順次パケットが転送される。 Next, the switch 1 receives the packet transmission command and resumes the transfer of the first packet (step S226). Next, the first packet is transferred from the switch 1 (step S228). Steps S226 and S228 are the same as those in the first embodiment, and a description thereof will be omitted. As described above, based on the flowchart shown in FIG. 11, a flow is established when the terminal 32 requests acquisition of a Web page from a non-hazardous site 70. Thereafter, the packets are sequentially transferred following the first packet.

以上、説明したように、実施例２に係る有害サイトフィルタリングシステムは、実施例１と同様に、有害サイトのフィルタリングを行い、フィルタリングを行った旨を、通知サーバよりユーザの端末に、通知ページを送信することができるという効果が得られる。さらに、実施例２に係る有害サイトフィルタリングシステムは、オープンフローの構成を取っているため、ネットワーク上に複数のフロー経路の候補がある場合に、最適なフロー経路を算出することにより、ネットワークの利用効率を高めることができるという効果が得られる。 As described above, the harmful site filtering system according to the second embodiment performs filtering of harmful sites and notifies the user terminal of the notification page from the notification server in the same manner as in the first embodiment. The effect that it can transmit is acquired. Furthermore, since the harmful site filtering system according to the second embodiment has an open flow configuration, when there are a plurality of flow route candidates on the network, the network usage is calculated by calculating the optimum flow route. The effect that efficiency can be improved is acquired.

尚、実施例２における通知サーバ３４は、仮想サーバで構成してもよい。その場合、通知サーバ３４に接続されるスイッチ２は、ソフトウェアスイッチである仮想スイッチで構成する。また、図１０において、スイッチ６が、直接、インターネット網３６と接続する構成になっているが、スイッチ１とインターネット網の間に、プロキシサーバを設け、Ｗｅｂページをプロキシサーバで受信し、その後、ユーザの端末３２に転送する構成にしてもよい。 The notification server 34 in the second embodiment may be configured with a virtual server. In this case, the switch 2 connected to the notification server 34 is configured by a virtual switch that is a software switch. In FIG. 10, the switch 6 is directly connected to the Internet network 36. However, a proxy server is provided between the switch 1 and the Internet network, and the Web page is received by the proxy server. You may make it the structure transferred to a user's terminal 32. FIG.

本発明の有害サイトフィルタリングシステムは、ＩＳＰ（インターネットサービスプロバイダ）で実施する有害サイトのフィルタリングシステムに適用可能である。また、オープンフローの構成を取っているため、フィルタリングの際に、関連したアクションのフロー制御を行うといった用途にも適用可能である。関連したアクションには、実施例で示した通知ページの送信が含まれる。 The harmful site filtering system of the present invention is applicable to a harmful site filtering system implemented by an ISP (Internet Service Provider). In addition, since it has an open flow configuration, it can be applied to applications such as performing flow control of related actions during filtering. Related actions include sending a notification page as shown in the example.

なお、本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。 It should be noted that the embodiments and examples can be changed and adjusted within the scope of the entire disclosure (including claims) of the present invention and based on the basic technical concept. Various combinations and selections of various disclosed elements are possible within the scope of the claims of the present invention. That is, the present invention of course includes various variations and modifications that could be made by those skilled in the art according to the entire disclosure including the claims and the technical idea.

１０：ＩＳＰ（インターネットサービスプロバイダ）
１２：管理コンピュータ（オープンフローコントローラ）
１４：記憶部
１６：有害サイト判定部
１８：制御部
２０：通信部
２２：有害サイト情報
２４：トポロジー情報
２６：エントリ状態情報
２８：スイッチ１
３０：スイッチ２
３２：端末
３４：通知サーバ
３６：インターネット網
３８：有害サイト
４０：ホスト通信部
４２：テーブル設定部
４４：転送テーブル
４６：転送処理部
４８：通知ページ
５０：プロキシサーバ
５２：ルータ
５４：Ｗｅｂページデータ代理取得部
５６：アクセスリスト
５８：フィルタリング部
７０：有害でないサイト
７２：スイッチ６ 10: ISP (Internet Service Provider)
12: Management computer (OpenFlow controller)
14: storage unit 16: harmful site determination unit 18: control unit 20: communication unit 22: harmful site information 24: topology information 26: entry state information 28: switch 1
30: Switch 2
32: Terminal 34: Notification server 36: Internet network 38: Harmful site 40: Host communication unit 42: Table setting unit 44: Transfer table 46: Transfer processing unit 48: Notification page 50: Proxy server 52: Router 54: Web page data Proxy acquisition unit 56: access list 58: filtering unit 70: non-harmful site 72: switch 6

Claims

A harmful site filtering system for filtering acquisition of a harmful site web page,
A network configuration comprising a plurality of switches and a management computer connected to the plurality of switches;
A terminal requesting acquisition of a web page;
A notification server for notifying that harmful sites have been filtered,
The terminal is connected to a first switch of the plurality of switches;
The notification server is connected to a second switch of the plurality of switches;
The management computer stores harmful site information to be filtered,
From the communication packet from the terminal, the destination information or source information that can be identified by layer 3 of the OSI reference model is extracted,
The management computer determines whether the transmission destination information or the transmission source information is included in the harmful site information,
When it is determined that the transmission destination information or the transmission source information is included in the harmful site information, the management computer filters the acquisition of the web page of the terminal and performs filtering on the notification server. Instructing them to send a notification page to the device,
The harmful site filtering system, wherein the notification page is transmitted from the notification server to the terminal by layer 4 of an OSI reference model .

The harmful site filtering system according to claim 1, wherein the harmful site information, the transmission destination information, and the transmission source information are IP addresses.

The management computer determines a flow path from a transmission source to a transmission destination,
The plurality of switches includes a transfer table for setting a transfer input destination and an output destination,
The harmful site filtering system according to claim 1 or 2 , wherein a forwarding table of a plurality of switches on the flow path is set according to an instruction from the management computer based on the determined flow path. .

A harmful site filtering method for filtering acquisition of web pages of harmful sites,
Extracting destination information or source information identifiable by layer 3 of the OSI reference model from a communication packet from the terminal;
Determining whether the destination information or the source information is included in prestored harmful site information;
In the determination step, when it is determined that the transmission destination information or the transmission source information is included in the harmful site information, the acquisition of the Web page of the terminal is filtered and the filtering is performed by the notification server. Transmitting a notification page to be notified to the terminal by using layer 4 of the OSI reference model .

The harmful site filtering method according to claim 4 , wherein the harmful site information, the transmission destination information, and the transmission source information are IP addresses.