JP2004318308A - アクセス管理システム、アクセス管理装置およびアクセス管理システムに使用される情報通信端末 - Google Patents

Abstract

【課題】プロキシサーバの通信ログからアクセス先ＵＲＬとアクセスに使用した情報通信端末を容易に特定することができるアクセス記録システムを得ること。
【解決手段】Ｗｅｂサーバ２を有するインターネット１に接続され、複数のＬＡＮから構成される企業内広域ネットワーク７において、ＬＡＮは、情報通信端末５によるＷｅｂサーバ２への通信記録である通信ログを収集する事業所プロキシサーバ６を介して企業内広域ネットワーク７に接続され、企業内広域ネットワーク７は、インターネット１と接続される点に配置され、企業内広域ネットワーク７内からＷｅｂサーバ２への通信記録である通信ログを収集する全社プロキシサーバ８と、上記プロキシサーバ６，８から所定の間隔でそれぞれの通信ログを収集し、これらの通信ログに基づいてＷｅｂサーバ２にアクセスした情報通信端末５を特定化するアクセス編集記録を生成して管理するアクセス管理装置９を備える。
【選択図】 図１

Description

【０００１】
【発明の属する技術分野】
この発明は、たとえば、企業内で構築されたＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）の情報通信端末からインターネットに公開されているＷｅｂサイトを閲覧したり、Ｗｅｂサイトに投稿したりする際に、情報通信端末を特定化する情報を含む通信履歴や投稿内容を記録保管し、業務上好ましくないＷｅｂサイトへのアクセスを制限することが可能なアクセス記録システム、アクセス管理装置およびアクセス管理システムに使用される情報通信端末に関するものである。
【０００２】
【従来の技術】
近年、情報通信技術の急速な発達に伴い、企業内でＬＡＮを構築してインターネットに接続し、ＬＡＮに接続された情報通信端末からインターネットに容易にアクセスできる環境が普及している。たとえば、地理的に離れた位置に存在する事業所を複数有する企業の場合、各事業所に存在する情報通信端末同士を接続してＬＡＮを構築し、それらのＬＡＮを専用線を介して相互に接続して企業内広域ネットワークを構築し、そしてこの企業内広域ネットワークをインターネットに接続するという形式が採られる。ここで、企業内のネットワーク負荷を軽減する代理応答機能や、通信履歴を記録保管するプロキシサーバを、企業内の各事業所のＬＡＮと企業内広域ネットワークとの接続箇所と、企業内広域ネットワークとインターネットとの接続箇所に設置する場合がある。前者を事業所プロキシサーバと呼び、後者を全社プロキシサーバと呼ぶ。このようなネットワークシステムにおいて、インターネットに公開されているＷｅｂサーバを企業内の情報通信端末からアクセスする場合には、事業所プロキシサーバと全社プロキシサーバの順に、情報が経由することになる。
【０００３】
これらのプロキシサーバは、中継するすべての通信履歴（以下、通信ログという）として、当該サーバを中継して通信する機器のｆｒｏｍ ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレス（事業所プロキシサーバの場合には、事業所内のＬＡＮに接続される情報通信端末のＩＰアドレスであり、全社プロキシサーバの場合には、事業所プロキシサーバのＩＰアドレスである）と、アクセス先ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）と、アクセス日時を、それぞれの装置に設けられたハードディスクドライブ（ＨＤＤ）などの記憶装置に記録して保管するようにしている。これによって、企業内の情報通信端末によってなされたインターネット上のＷｅｂサーバへのアクセスが記録され、この記録を追跡することによって、企業にとって不必要なＷｅｂサーバへアクセスしている情報通信端末またはその使用者を特定することが可能になる。
【０００４】
ところで、情報通信技術の発達によって、一部の悪意のあるユーザによる他人の誹謗・中傷などの不適切な内容の情報のやり取りが、瞬時に広まってしまうという問題が発生している。このような問題に対処するために、ＬＡＮなどの内部ネットワークに出入りする情報を中継し、内部ネットワーク内のユーザ情報を管理し、送受信を行うユーザを認証する機能を有する中継装置を内部ネットワークに備えるネットワークシステムが提案されている（たとえば、特許文献１参照）。
【０００５】
【特許文献１】
特開２００１−３５０６７７号公報（第６〜７頁）
【０００６】
【発明が解決しようとする課題】
一般に、上記のように企業内広域ネットワークがインターネットに接続され、企業内で個々の従業員に情報通信端末が配置されている場合に、ある情報通信端末から、たとえば就業時間内に業務とは関係のないインターネット上の情報にアクセスされることは、企業経営者側にとっては望ましくない事態である。そこで、企業内広域ネットワークから、業務で必要としないインターネットに公開されているＷｅｂサーバを閲覧した情報通信端末を特定化する作業が行われる場合がある。この情報通信端末を特定化する場合には、プロキシサーバに記録保管されているＵＲＬとアクセス日時をキーにして、まず全社プロキシサーバの通信ログを調査する。この通信ログから、当該ＵＲＬへアクセスしたｆｒｏｍ ＩＰアドレス、すなわち当該ＩＰアドレスを付与している事業所プロキシサーバを特定化する。つぎに、特定化した事業所プロキシサーバの通信ログを同様の方法で調査して、該当するＩＰアドレスを付与している情報通信端末を特定化する。しかし、この方法は、人手で行われており、調査に時間を要していた。
【０００７】
また、プロキシサーバでは、Ｗｅｂサーバへ投稿するデータを記録保管しないので、Ｗｅｂサーバへの投稿データを取得したい場合には、ＬＡＮ上に流れるＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）通信データをすべて傍受して記録保管する高価な通信記録装置をさらにＬＡＮに接続する必要があった。そして、たとえば、あるＷｅｂサーバのＵＲＬへアクセスした情報通信端末を特定化するための調査には、通信記録装置が記録した大量のデータから調査対象のＵＲＬへアクセスした通信履歴をすべて探し出して編集出力する作業が必要となる。したがって、事業所のＬＡＮごとに高価な通信記録装置を配備するとコストがかかってしまう上に、調査に膨大な時間を要してしまうという問題点があった。
【０００８】
なお、上述した特許文献１に記載の従来技術では、正当なユーザである場合には、Ｗｅｂサーバへのアクセスを制限することができず、上記の問題点を完全に解決するものではなかった。
【０００９】
この発明は、上記に鑑みてなされたもので、プロキシサーバの通信ログからアクセス先ＵＲＬとアクセスに使用した情報通信端末を容易に特定することができるアクセス記録システム、アクセス管理装置およびアクセス管理システムに使用される情報通信端末を得ることを目的とする。また、Ｗｅｂサーバへのアクセス許可・不許可を行うことができるアクセス記録システム、アクセス管理装置およびアクセス管理システムに使用される情報通信端末を得ることも目的とする。
【００１０】
【課題を解決するための手段】
上記目的を達成するため、この発明にかかるアクセス管理システムは、専用線を介して接続された複数のＬＡＮから構成され、種々の情報を公開するＷｅｂサーバを有するネットワークに接続される広域ネットワークにおいて、前記ＬＡＮ内の情報通信端末による前記Ｗｅｂサーバへのアクセスを管理するアクセス管理システムであって、前記ＬＡＮは、該ＬＡＮ内の情報通信端末による前記Ｗｅｂサーバへの通信記録である第１の通信ログを収集する第１のプロキシサーバを介して、前記広域ネットワークに接続され、前記広域ネットワークは、前記ネットワークと接続される点に配置され、前記広域ネットワーク内から前記Ｗｅｂサーバへの通信記録である第２の通信ログを収集する第２のプロキシサーバと、前記第１および第２のプロキシサーバから所定の間隔で前記第１および第２の通信ログを収集し、該第１および第２の通信ログに基づいて、前記Ｗｅｂサーバにアクセスした前記ＬＡＮ内の情報通信端末を特定したアクセス編集記録情報を生成するアクセス管理装置と、を備えることを特徴とする。
【００１１】
【発明の実施の形態】
以下に添付図面を参照して、この発明にかかるアクセス管理システム、アクセス管理装置およびアクセス管理システムに使用される情報通信端末の好適な実施の形態を詳細に説明する。
【００１２】
実施の形態１．
図１は、この発明にかかるアクセス管理システムの実施の形態１の概略構成を示すブロック図である。以下では、企業３は、地理的に離れて存在するＡ事業所とＢ事業所の２つの事業所４を有しているものとする。
【００１３】
企業３内では、それぞれの事業所４Ａ，４Ｂ内のＬＡＮが専用線などで接続された企業内広域ネットワーク７が構築され、全社プロキシサーバ８を介してインターネット１に接続されている。インターネット１には、種々の情報を掲載したＷｅｂページを有するＷｅｂサーバ２が接続されている。
【００１４】
各事業所４Ａ，４Ｂは、事業所内の情報通信端末（図中、ＰＣと表記されている）５同士を接続するＬＡＮが構築されており、これらのＬＡＮは、事業所プロキシサーバ６を介して企業内広域ネットワーク７と接続されている。
【００１５】
事業所プロキシサーバ６と全社プロキシサーバ８は、企業内のネットワーク負荷を軽減する代理応答機能や通信履歴を記録保管する機能などを有するプロキシサーバである。事業所プロキシサーバ６の内部には、該プロキシサーバが中継するすべての通信ログを格納するための事業所通信ログ格納部６１が設けられており、全社プロキシサーバ８の内部には、該プロキシサーバが中継するすべての通信ログを格納するための全社通信ログ格納部８１が設けられている。これらのプロキシサーバ６，８は、従来知られているプロキシサーバであり、中央演算処理装置（以下、ＣＰＵという）、メモリ、記憶装置、外部入出力インタフェースなどを備える一般的な構成を有する情報処理装置で構築することができる。
【００１６】
図２は、全社プロキシサーバの全社通信ログ格納部に格納される通信ログの形式の一例を示す図である。全社プロキシサーバ８の全社通信ログ格納部８１に格納される通信ログは、事業所プロキシサーバ６からのＨＴＴＰ通信データを記録した日時を示す「日時」、ＨＴＴＰ通信データを送信した事業所プロキシサーバ６に付与される企業内で唯一のＩＰアドレスを示す「事業所プロキシサーバＩＰアドレス」、事業所プロキシサーバ６からのＨＴＴＰ通信データに含まれているＵＲＬを示す「アクセス先ＵＲＬ」、そしてＷｅｂサーバ２に対して閲覧か投稿かを指示する命令を示す「コマンド種類［ＧＥＴ ｏｒ ＰＯＳＴ］」を含むフィールド項目からなる。なお、ＧＥＴは閲覧を示し、ＰＯＳＴは投稿を意味する。したがって、「コマンド種類［ＧＥＴ ｏｒ ＰＯＳＴ］」のフィールド項目には、ＧＥＴかＰＯＳＴのいずれかが記録されることになる。
【００１７】
図３は、事業所プロキシサーバの事業所通信ログ格納部に格納される通信ログの形式の一例を示す図である。事業所プロキシサーバ６の事業所通信ログ格納部６１に格納される通信ログは、情報通信端末５からのＨＴＴＰ通信データを記録した日時を示す「日時」、ＨＴＴＰ通信データを送信した情報通信端末５に付与されるＩＰアドレスを示す「情報通信端末ＩＰアドレス」、情報通信端末５からのＨＴＴＰ通信データに含まれているＵＲＬを示す「アクセス先ＵＲＬ」、そしてＷｅｂサーバ２に対して閲覧か投稿かを指示する命令を示す「コマンド種類［ＧＥＴ ｏｒ ＰＯＳＴ］」を含むフィールド項目からなる。上記情報通信端末５に付与されるＩＰアドレスは、企業３内で唯一のＩＰアドレスであってもよいし、各事業所４Ａ，４Ｂ内で唯一のＩＰアドレスであってもよい。
【００１８】
これらのフィールド項目に入力される通信ログの単位をレコードといい、図２と図３の１行が１レコードに対応する。なお、このＨＴＴＰ通信データを収集し、記録保管する方法については従来技術で使用されている方法を用いることができる。また、図２と図３では、説明の便宜上、必要最低限の記録内容だけを表記しているが、プロキシサーバ６，８を通過するＨＴＴＰ通信データにはさらに多くの種類の情報があるので、保守・運営で必要となる情報を記録保管することも可能である。
【００１９】
また、企業内広域ネットワーク７には、事業所プロキシサーバ６と全社プロキシサーバ８による通信ログから企業３内の情報通信端末５によるインターネット１上のＷｅｂサーバ２へのアクセス記録であるアクセス編集記録を作成して管理するアクセス管理装置９が接続されている。アクセス管理装置９は、企業内広域ネットワーク７に接続される事業所プロキシサーバ６と全社プロキシサーバ８から所定の間隔で通信ログを収集して、アクセス編集記録を作成するログ編集処理部９１と、作成されたアクセス編集記録を保存するアクセス記録データベース９２と、アクセス編集記録を作成するために事業所プロキシサーバ６と全社プロキシサーバ８から収集した通信ログを一時的に格納する作業用データベース９３と、を備えて構成される。このアクセス管理装置９は、ＣＰＵ、メモリ、記憶装置、外部入出力インタフェースなどを備える一般的な構成を有する情報処理端末で構築することができ、従来技術で実現することができる。
【００２０】
図４は、アクセス管理装置のアクセス記録データベースに格納されるアクセス編集記録の形式の一例を示す図である。このＷｅｂアクセス編集記録は、図２の全社プロキシサーバ８の通信ログと図３の事業所プロキシサーバ６の通信ログから、同一日時のレコードを収集して結合し、記録保管したものであり、「日時」、「事業所プロキシサーバＩＰアドレス」、「情報端末ＩＰアドレス」、「アクセス先ＵＲＬ」、「コマンド種類［ＧＥＴ ｏｒ ＰＯＳＴ］」を含むフィールド項目からなる。この図４では、アクセス記録データベース９２に格納されるアクセス編集記録は、企業内広域ネットワーク７に接続される事業所から得られるレコードを１つのテーブルとしてまとめた形式となっているが、図５に示されるようにアクセス編集記録のレコードを事業所ごとに分類して、事業所ごとにテーブルを作成する形式としてもよい。また、これらのフィールド項目以外に、保守・運営で必要となる情報を含めて記録保管することも可能である。
【００２１】
図６は、ログ編集処理部によるログ編集処理の手順を示すフローチャートである。なお、アクセス管理装置９は、予め登録されている時刻にこのフローチャートを実行できる状態にあるものとする。最初にログ編集処理部９１は、全社プロキシサーバ８の全社通信ログ格納部８１から通信ログ（以下、全社プロキシログという）の記録保管内容をすべて収集し、各事業所プロキシサーバ６の事業所通信ログ格納部６１からも通信ログ（以下、事業所プロキシログという）の記録保管内容をすべて収集し、作業用データベース９３に一時的に保存する（ステップＳ１０１）。なお、全社プロキシログと事業所プロキシログの記録保管データ量が大きく、これらのデータをアクセス管理装置９に送信すると、企業内広域ネットワーク７の通信トラフィックが増加して、企業３内に設けられた図示しない各種業務システムに影響を与える場合には、各種業務システムが稼動しない夜間に処理を開始するようにしてもよい。
【００２２】
つぎに、ログ編集処理部９１は、作業用データベース９３に一時保存した全社プロキシログから１レコードを取り出し、該レコードの「日時」と一致するレコードを作業用データベース９３に一時保存した事業所プロキシログから取り出す（ステップＳ１０２）。ここで、取り出した全社プロキシログの１レコードの「日時」に一致する事業所プロキシログのレコードが１つだけの場合には、容易に対応付けを行うことができる。しかし、企業３の規模が大きくなると、同時にアクセスされる場合もあり、対応付けが一層複雑になる。
【００２３】
そこで、より具体的には、全社プロキシログから取り出した１レコード中の「日時」に加え、このレコード中の「事業所プロキシサーバＩＰアドレス」、「アクセス先ＵＲＬ」、「コマンド種類［ＧＥＴ ｏｒ ＰＯＳＴ］」のすべてまたはいずれかを組み合わせることによって、全社プロキシログの１レコードと事業所プロキシログの１レコードとを対応付けることができる。たとえば、全社プロキシログから取り出した１レコード中の「日時」に対応する事業所プロキシログを抽出する際に、「事業所プロキシサーバＩＰアドレス」で絞込みをかければ、上記「日時」に対応する事業所プロキシログのレコードの数が限定され、さらに「アクセス先ＵＲＬ」で絞込みをかければ、上記「日時」に対応する事業所プロキシログのレコードの数が一層限定され、対応付けを容易に行うことが可能となる。
【００２４】
つぎに、作業用データベース９３から取り出した全社プロキシログの１レコードと、事業所プロキシログから取り出した１レコードから、図４または図５に示されるアクセス編集記録の形式に編集して、アクセス記録データベース９２に１レコードとして記録する（ステップＳ１０３）。
【００２５】
そして、ログ編集処理部９１は、作業用データベース９３の全社プロキシログから全レコードを取り出したか否かを判断する（ステップＳ１０４）。作業用データベース９３の全社プロキシログから全レコードを取り出していない場合（ステップＳ１０４でＮｏの場合）には、再びステップＳ１０２へと戻り、上述した処理が繰り返し実行される。また、作業用データベース９３の全社プロキシログから全レコードが取り出された場合（ステップＳ１０４でＹｅｓの場合）には、ログ編集処理部９１は、処理を終了する。
【００２６】
つぎに、アクセス管理装置９による全社プロキシサーバ８と事業所プロキシサーバ６の通信ログを編集記録する処理について説明する。図７は、アクセス管理装置による全社プロキシサーバと事業所プロキシサーバの通信ログを編集記録する処理の概略を示すフローである。この図に示されるように、まず、アクセス管理装置９のログ編集処理部９１は、全社プロキシサーバ８に図２に示される形式で記録保管されている全社プロキシログと、事業所プロキシサーバ６に図３に示される形式で記録保管されている事業所プロキシログとを所定の期間ごとに収集する（ステップＳ１５１〜Ｓ１５２）。そして、ログ編集処理部９１は、上述した図６に示される編集処理を行い、図４に示される編集記録形式でアクセス管理装置９のアクセス記録データベース９２に作成されたアクセス編集記録を記録保管する（ステップＳ１５３）。
【００２７】
なお、ログ編集処理部９１は、アクセス編集記録をアクセス記録データベース９２に出力する場合の記録形式は、図４または図５のいずれの形式でもよいが、データベースとして管理しているので、いずれの形式でもこの処理が完了した後に、必要に応じてアクセス記録データベース９２から読み出して、調査目的に応じた編集を行うことが可能である。
【００２８】
この実施の形態１によれば、事業所プロキシサーバ６と全社プロキシサーバ８の各プロキシサーバが記録保管する通信ログを、企業内広域ネットワーク７を経由して収集し、どの情報通信端末５がどのＷｅｂサーバ２のＷｅｂサイトにアクセスしたかを編集するアクセス管理装置９を有するように構成したので、容易に各情報通信端末５におけるアクセス記録を入手することができるという効果を有する。また、アクセス管理装置９のみを設置するだけで、既に企業３内に設置しているプロキシサーバ６，８の機能の追加やサーバの配置変更などを必要とすることがないので、容易にこの発明のアクセス記録システムを導入することができるという効果も有する。
【００２９】
実施の形態２．
上述した実施の形態１では、ＰＯＳＴコマンドによるＷｅｂサーバへの投稿内容であるＰＯＳＴデータの記録保管ができず、その結果、従業員による業務外の目的によるＷｅｂサーバへの投稿を監視できなかったが、この実施の形態２では、Ｗｅｂサーバへ投稿した情報通信端末と投稿内容も記録保管することができるアクセス記録システムについて説明する。
【００３０】
図８は、この発明にかかるアクセス記録システムの実施の形態２の概略構成を示すブロック図である。このアクセス記録システムは、企業内広域ネットワーク７が全社プロキシサーバ８を介してインターネットに接続され、企業内広域ネットワーク７に別途アクセス管理装置９が設置されていた実施の形態１の図１とは異なり、企業内広域ネットワーク７がアクセス管理装置９を介してインターネット１に接続される構成となっている。なお、図１と同一の構成要素には同一の符号を付して、その説明を省略する。
【００３１】
このアクセス管理装置９は、実施の形態１の全社プロキシサーバ８とアクセス管理装置９の機能を兼ね備えた装置であり、ＨＴＴＰ通信データの通信ログを記録するプロキシログ記録処理部９４と、その通信ログを格納する全社通信ログ格納部９５と、通信ログからアクセス編集記録を作成するログ編集処理部９１と、アクセス編集記録を格納するアクセス記録データベース９２と、事業所プロキシサーバ６から収集した通信ログを一時的に保存する作業用データベース９３と、を備えて構成される。
【００３２】
プロキシログ記録処理部９４は、アクセス管理装置９を通過するＨＴＴＰ通信データについての通信ログを取得する。図９は、プロキシログ記録処理部によるプロキシログの記録処理手順を示すフローチャートである。まず、プロキシログ記録処理部９４は、企業３内の情報通信端末５からインターネット１に接続されるＷｅｂサーバ２宛に送信されるＨＴＴＰ通信データを捕捉する。図１０は、ＨＴＴＰ通信データ形式の概略構成を示す図である。ＨＴＴＰ通信データ２００は、ＰＯＳＴコマンドの場合には投稿内容が格納されるＨＴＴＰ要求データ部２０３と、［ＧＥＴ ｏｒ ＰＯＳＴ］コマンドの種類とアクセス先のＵＲＬが格納されるＨＴＴＰ要求ヘッダ部２０２とからなり、さらに、これらにＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ）／ＩＰ通信で必要なＩＰアドレスなどを含むＴＣＰ／ＩＰヘッダ部２０１が付加される構成を有する。プロキシログ記録処理部９４は、捕捉したＨＴＴＰ通信データ２００の中のＴＣＰ／ＩＰヘッダ部２０１から該データの送信元となる事業所プロキシサーバ６のＩＰアドレスを取り出し、ＨＴＴＰ要求ヘッダ部２０２から［ＰＯＳＴ ｏｒ ＧＥＴ］の要求コマンドとＵＲＬを取り出して、現在時刻とともに全社通信ログ格納部９５に出力する（ステップＳ２０１）。
【００３３】
つぎに、取り出した要求コマンドがＰＯＳＴコマンドであるかＧＥＴコマンドであるかを判定し（ステップＳ２０２）、取り出した要求コマンドがＧＥＴである場合（ステップＳ２０２でＧＥＴの場合）には処理を終了する。一方、取り出した要求コマンドがＰＯＳＴである場合（ステップＳ２０２でＰＯＳＴの場合）には、ＨＴＴＰ通信データ２００のＨＴＴＰ要求データ部２０３のＰＯＳＴデータを取り出して、全社通信ログ格納部９５に出力し（ステップＳ２０３）、処理を終了する。
【００３４】
全社通信ログ格納部９５は、プロキシログ記録処理部９４によって出力されるアクセス管理装置を通過するＨＴＴＰ通信データの通信ログを格納する。図１１は、アクセス管理装置の全社通信ログ格納部に格納される通信ログの形式を示す図である。この通信ログは、図２の通信ログ形式において、ＰＯＳＴデータの内容を保存する「ＰＯＳＴデータ」というフィールド項目が新たに追加されたものとなっている。この「ＰＯＳＴデータ」には、「コマンド種類［ＧＥＴ ｏｒ ＰＯＳＴ］」に「ＰＯＳＴ」と格納された場合にその内容が保存され、「ＧＥＴ」と格納された場合には何も保存されない。すなわち、アクセス管理装置９を通過するＨＴＴＰ通信データ２００がＰＯＳＴコマンドの場合に、該データのＨＴＴＰ要求データ部２０３内に格納されているＰＯＳＴデータも含めて記録するが、ＧＥＴコマンドの場合には何も保存されない。その他の項目は、図２と同じであるので、説明を省略する。
【００３５】
ログ編集処理部９１は、全社通信ログ格納部９５に格納されている全社プロキシログと、作業用データベース９３に格納された各事業所プロキシサーバ６の事業所通信ログ格納部６１から収集した事業所プロキシログとから実施の形態１の図６に示される手順にしたがってアクセス編集記録を作成し、アクセス記録データベース９２に出力する。アクセス編集記録を作成するにあたって、ＰＯＳＴデータが含まれる点が実施の形態１とは異なるが、それによって処理が異なるものではない。
【００３６】
アクセス記録データベース９２は、ログ編集処理部９１によって作成されたアクセス編集記録を格納する。図１２は、アクセス記録データベースに格納されるアクセス編集記録の形式を示す図である。このアクセス編集記録は、図１１に示される全社通信ログ格納部９５に格納されている全社プロキシログと、図３の事業所プロキシログから、同一日時のレコードを収集して結合し、記録保管したものであり、「日時」、「事業所プロキシサーバＩＰアドレス」、「情報通信端末ＩＰアドレス」、「アクセス先ＵＲＬ」、「コマンド種類［ＧＥＴ ｏｒ ＰＯＳＴ］」、「ＰＯＳＴデータ」を含むフィールド項目からなる。この図１２では、アクセス記録データベース９２に格納されるアクセス編集記録は、企業内広域ネットワーク７に接続される事業所４Ａ，４Ｂから得られるレコードを１つのテーブルとしてまとめた形式となっているが、図１３に示されるようにアクセス編集記録のレコードを事業所ごとに分類して、事業所ごとにテーブルを作成する形式としてもよい。また、このようなフィールド項目以外に、保守、運営で必要となる情報を含めて記録保管することも可能である。
【００３７】
作業用データベース９３は、ログ編集処理部９１によってアクセス編集記録が作成される際に、各事業所プロキシサーバ６から事業所プロキシログを収集して一時的に格納する。
【００３８】
このアクセス管理装置９は、ＣＰＵ、メモリ、記憶装置、外部入出力インタフェースなどを備える一般的な構成を有する情報処理端末で構築することができ、従来技術で実現することができる。
【００３９】
図１４は、アクセス管理装置による処理の概略を示すフローである。まず、アクセス管理装置９のプロキシログ記録処理部９４は、所定時間になるまで、自装置を通過するＨＴＴＰ通信データを捕捉し、その通信ログを全社プロキシサーバログに格納する（ステップＳ２５１）。そして、ログ編集処理部１０は、各事業所４Ａ，４Ｂの事業所プロキシサーバ６に図３に示される形式で記録保管されている事業所プロキシログを所定の期間ごとに収集して、実施の形態１の図６に示した編集処理を行い（ステップＳ２５２〜Ｓ２５３）、図１２または図１３に示される形式のアクセス編集記録をアクセス記録データベース９２に記録保管する（ステップＳ２５４）。
【００４０】
この実施の形態２によれば、Ｗｅｂサーバ２へ投稿した内容と投稿先のＵＲＬ、投稿した情報通信端末３のＩＰアドレスと日時を記録することができるので、業務目的以外でのＷｅｂサーバ２へのアクセスを監視することができることに加えて、企業にとって不利益となる投稿を行った情報通信端末３の特定を容易に行うことができるという効果を有する。
【００４１】
実施の形態３．
実施の形態１，２では、Ｗｅｂサーバへアクセスした情報通信端末を特定することができるが、実際にその情報通信端末を使用している従業員の特定を行うことができない。そこで、この実施の形態３では、情報通信端末を利用する従業員を特定することができ、さらに従業員によってアクセスレベルを管理することができるアクセス管理システムとこのシステムに使用されるアクセス管理装置と情報通信端末について説明する。
【００４２】
図１５は、この実施の形態３のアクセス管理システムが適用されるネットワーク構成の一例を示すブロック図である。実施の形態２の図８と同様に、複数のＬＡＮから構成される企業内広域ネットワーク７はアクセス管理装置９を介してインターネットに接続される構成を有する。
【００４３】
図１６は、情報通信端末に使用されるソフトウェアの構成を模式的に示す図である。このソフトウェアは、情報通信端末５のハードウェア資源とそれらの資源を利用するアプリケーションプログラムを統合的に管理するオペレーティングシステム５１と、予め定められたＨＴＴＰなどの規則にしたがって、Ｗｅｂサーバ２と連携して情報通信端末５の表示部にファイルの内容を表示するブラウザ５２と、ブラウザ５２からＷｅｂサーバ２へ送信するＨＴＴＰ通信データのＨＴＴＰ要求ヘッダに、アクセス管理装置９との間でアクセス制御および情報通信端末５の利用者の特定化を行うために必要な情報であるエージェントデータを付加するＰＣエージェント５３からなる。このエージェントデータは、情報通信端末５の図示しないエージェント情報格納部に格納される。また、従業員は、情報通信端末５を使用するにあたって、情報通信端末５に使用者（従業員）を特定させるための処理（たとえばログオン処理）を行う必要がある。
【００４４】
図１７は、エージェントデータが付加されたＨＴＴＰ要求ヘッダ部を有するＨＴＴＰ通信データ形式の概略構成の一例を示す図である。この図に示されるように、ＰＣエージェント５３が、ＨＴＴＰ要求ヘッダ部２０２に、従業員に付与される「従業員番号」２０４Ａ、該従業員が所属する事業所、所属部署である「事業所名」２０４Ｂ、「所属」２０４Ｃ、従業員の氏名である「氏名」２０４Ｄを含むエージェントデータ２０４を格納する。なお、情報通信端末５のＰＣエージェント５３は、この情報通信端末５を使用する従業員についてのこれらのエージェントデータをエージェント情報格納部から取り出して、ＨＴＴＰ要求ヘッダ部に格納する。また、エージェントデータは、特許請求の範囲における使用者情報に対応し、エージェント情報格納部は、同じく使用者情報格納手段に対応している。
【００４５】
図１８は、アクセス管理装置の概略構成を示すブロック図である。アクセス管理装置９は、ＨＴＴＰ通信データの通信ログ出力とアクセス制御を行うアクセス制御・ログ出力処理部９６、従業員ごとのアクセス管理の情報を格納するＵＲＬアクセス管理データベース９７、ログ出力を格納するアクセス記録データベース９２、ＨＴＴＰ通信データからエージェントデータを削除するエージェントデータ削除処理部９８を備えて構成される。なお、アクセス制御・ログ出力処理部９６は、特許請求の範囲におけるアクセス可否判断手段とログ出力手段に対応し、ＵＲＬアクセス管理データベース９７は、同じくアクセス管理情報格納手段に対応し、エージェントデータ削除処理部９８は、同じく使用者情報削除手段に対応している。
【００４６】
ＵＲＬアクセス管理データベース９７は、従業員に付与するアクセス許可レベルとアクセス先ＵＲＬとを関連付けて保管している。図１９は、ＵＲＬアクセス管理データベースの内容の一例を示す図である。ＵＲＬアクセス管理データベース９７は、従業員ごとに付与される番号である「従業員番号」、各従業員のＷｅｂアクセス権情報を示す「アクセス許可レベル」、アクセスを許可するサイトのＵＲＬのみが格納される「ＵＲＬ」を含むフィールド項目から構成される。
【００４７】
「アクセス許可レベル」は、必要に応じた段階に分類することが可能であり、この図１９では３段階に分類されている場合を例示しており、「０」〜「２」の数値によってレベル付けを行っている。レベル「０」は、インターネット上のすべてのＷｅｂサイトを閲覧することができるレベルであり、レベル「１」は、業務で必要なＷｅｂサイト（ＵＲＬ）だけ閲覧が可能であるレベルであり、レベル「２」は、Ｗｅｂサイトの閲覧がすべて禁止されているレベルである。
【００４８】
「ＵＲＬ」に格納される情報は、「アクセス許可レベル」の値が「１」の場合のみ有効であり、１つか複数のＵＲＬ情報が格納される。なお、この図１９の例では、アクセスを許可するサイトのＵＲＬを格納するようにしているが、アクセスを許可しないサイトのＵＲＬを格納するようにしてもよい。
【００４９】
アクセス記録データベース９２は、情報通信端末５によるＷｅｂサーバ２へのアクセス記録をログ情報として格納する。図２０は、アクセス記録データベースの内容の一例を示す図である。アクセス記録データベース９２は、記録時間を示す「日時」、ＨＴＴＰ要求ヘッダ部のエージェントデータを格納する「エージェントヘッダ」、ＨＴＴＰ要求ヘッダ部のコマンドの種別を格納する「コマンド［ＧＥＴ ｏｒ ＰＯＳＴ］」、ＨＴＴＰ要求ヘッダ部のＵＲＬを格納する「アクセス先ＵＲＬ」、ＨＴＴＰ要求データ部のＰＯＳＴデータを格納する「ＰＯＳＴデータ」を含むフィールド項目から構成される。
【００５０】
アクセス制御・ログ出力処理部９６は、情報通信端末５からＷｅｂサーバ２宛てに送信されるＨＴＴＰ通信データを受信すると、ＨＴＴＰ通信データのＨＴＴＰ要求ヘッダ部のエージェントデータとＵＲＬアクセス管理データベース９７を参照して情報通信端末５の使用者を特定してアクセス許可レベルを求めるとともに、該情報通信端末５によるＷｅｂサーバ２へのアクセス記録をアクセス記録データベース９２に記録する。図２１は、アクセス制御・ログ出力処理部の処理手順を示すフローチャートである。まず、アクセス制御・ログ出力処理部９６は、情報通信端末５からのＨＴＴＰ通信データのＨＴＴＰ要求ヘッダ部からエージェントデータを取り出す（ステップＳ３０１）。取り出したエージェントデータから従業員番号をキーとして、ＵＲＬアクセス管理データベース９７を検索して、該従業員番号に指定されたアクセス許可レベル情報とＵＲＬ情報とを読み取る（ステップＳ３０２）。
【００５１】
つぎに、アクセス制御・ログ出力処理部９６は、ＵＲＬアクセス管理データベース９７から読み出したアクセス許可レベル値を判定する（ステップＳ３０３）。アクセス許可レベルの値が「１（業務で必要なＷｅｂ（ＵＲＬ）だけ閲覧可能）」の場合（ステップＳ３０３で１の場合）には、ＨＴＴＰ要求ヘッダ部のＵＲＬと、ＵＲＬアクセス管理データベース９７から読み出したＵＲＬ情報とを比較し、両者が一致するか否かを判定する（ステップＳ３０４）。両者のＵＲＬが一致する場合（ステップＳ３０４で一致の場合）には、日時、エージェントデータ、コマンド種類、アクセス先ＵＲＬをアクセス記録データベース９２に図２０の形式で出力する（ステップＳ３０５）。つぎに、ＨＴＴＰ要求ヘッダ部のコマンドを読み出して、ＧＥＴコマンドかＰＯＳＴコマンドかを判定する（ステップＳ３０６）。判定の結果、ＰＯＳＴコマンドの場合（ステップＳ３０６でＰＯＳＴの場合）には、ＨＴＴＰ通信データのＨＴＴＰ要求データ部のＰＯＳＴデータを取り出して、アクセス記録データベース９２に追加出力し（ステップＳ３０７）、処理を終了する。一方、ＧＥＴコマンドの場合（ステップＳ３０６でＧＥＴの場合）には、そのまま処理を終了する。
【００５２】
ステップＳ３０３でアクセス許可レベルの値が「０（インターネット上のすべてのＷｅｂ閲覧が可能）」の場合には、上述したステップＳ３０５以降の処理が実行される。
【００５３】
また、ステップＳ３０３でアクセス許可レベルの値が「２（Ｗｅｂ閲覧禁止）」の場合、またはステップＳ３０４でＨＴＴＰ要求ヘッダ部のＵＲＬと、ＵＲＬアクセス管理データベース９７から読み出したＵＲＬ情報とが一致しない場合（ステップＳ３０４で一致せずの場合）には、Ｗｅｂ閲覧禁止メッセージを情報通信端末５へ送信し（ステップＳ３０８）、処理が終了する。
【００５４】
なお、この実施の形態３では、アクセス許可レベルが「１」の場合のＵＲＬにはアクセス可能なＵＲＬのみ掲載されているが、アクセス不可能なＵＲＬのみが掲載されている場合には、上述したステップＳ３０４では、一致した場合にステップＳ３０８へと進み、一致しない場合にはステップＳ３０５へと進むことになる。
【００５５】
エージェントデータ削除処理部９８は、情報通信端末５から送信されるＨＴＴＰ通信データについて、アクセス制御・ログ出力処理部９６による図２１の処理が実行された後に、ＨＴＴＰ要求ヘッダ部からエージェントデータを削除して、インターネット１側へとＨＴＴＰ通信データを送出する。これによって、情報通信端末５から、このエージェントデータ２０４が追加されたＨＴＴＰ要求ヘッダ部２０２を有するＨＴＴＰ通信データ２００が送信されても、アクセス管理装置９によって、追加されたエージェントデータ部分のみが削除されるので、情報通信端末５の通信相手であるＷｅｂサーバ２とは、何ら支障なく通常どおりに通信することが可能になる。
【００５６】
図２２は、情報通信端末とアクセス管理装置におけるアクセス制御とアクセス情報管理の処理手順の概略を示す図である。情報通信端末５のＰＣエージェント５３によって付加されたエージェントデータを有するＨＴＴＰ通信データが、アクセス管理装置９のアクセス制御・ログ出力処理部９６で受信される（ステップＳ３５１）。つぎに、アクセス制御・ログ出力処理部９６は、従業員に付与するアクセス許可レベルとアクセス先ＵＲＬを関連付けて記録保管するＵＲＬアクセス管理データベース９７から受信したＨＴＴＰ通信データ内のエージェントデータに含まれる従業員番号をキーにしてアクセス許可レベルを読み出す（ステップＳ３５２）。つぎに、両者を比較判断してアクセス許可またはアクセス禁止を行い、許可したＨＴＴＰ通信データから必要な情報をアクセス記録データベース９２へ記録保存する（ステップＳ３５３）。そして、エージェントデータ削除処理部９８は、許可したＨＴＴＰ通信データ内からエージェントデータを削除して（ステップＳ３５４）、インターネット１側にＨＴＴＰ通信データを送出する。
【００５７】
この実施の形態３によれば、情報通信端末５を使用する従業員を特定することができ、さらに、従業員ごとにＷｅｂサイトへのアクセスの許可／不許可を設定することができる。また、各事業所４のＬＡＮに設置された事業所プロキシサーバ６は、アクセス管理装置９に対して通信ログを送信する必要がないので、その機能を省略することが可能である。
【００５８】
実施の形態４．
実施の形態３では、従業員ごとにＷｅｂサイト（ＵＲＬ）への個別のアクセス制御を行う方法を示したが、この実施の形態４では、たとえば、企画、営業、設計などの業務内容に応じてグループ分けを行い、グループごとにアクセス制御を行う場合について説明する。なお、この実施の形態４では、アクセス管理装置９のＵＲＬアクセス管理データベース９７の構成のみ実施の形態３のものと異なり、その他のアクセス管理装置９と情報通信端末５の構成は実施の形態３のものと同一であるので、それらの説明を省略する。
【００５９】
図２３は、ＵＲＬアクセス管理データベースの構成を示す模式図である。この実施の形態４では、ＵＲＬアクセス管理データベース９７は、従業員番号と該従業員に付与するアクセス許可レベルを格納するアクセス許可レベルデータベース９７Ａと、アクセス許可レベルに対応する１ないし複数のアクセス先ＵＲＬを格納するＵＲＬ情報データベース９７Ｂとから構成される。なお、ＵＲＬアクセス管理データベース９７は、特許請求の範囲のアクセス管理情報格納手段に対応する。
【００６０】
図２４は、アクセス許可レベルデータベースの内容の一例を示す図である。アクセス許可レベルデータベース９７Ａは、「従業員番号」と「アクセス許可レベル」を含むフィールド項目からなる。この図２４では、「アクセス許可レベル」は「０」〜「４」の５段階に分類される場合を例示している。レベル「０」は、インターネット上のすべてのＷｅｂサイトを閲覧することができるレベルであり、レベル「１」は、企画業務関連のＷｅｂサイトの閲覧のみが可能なレベルであり、レベル「２」は、営業業務関連のＷｅｂサイトの閲覧のみが可能なレベルであり、レベル「３」は、設計業務関連のＷｅｂサイトの閲覧のみが可能なレベルであり、レベル「４」は、Ｗｅｂサイトの閲覧がすべて禁止されているレベルである。
【００６１】
図２５は、ＵＲＬ情報データベースの内容の一例を示す図である。ＵＲＬ情報データベース９７Ｂは、「アクセス許可レベル」と「ＵＲＬ」を含むフィールド項目からなる。「アクセス許可レベル」は、アクセス許可レベルデータベース２７Ａの「アクセス許可レベル」に対応するものであり、「ＵＲＬ」は「アクセス許可レベル」で指定されたレベルの場合に閲覧可能なＷｅｂサイトのＵＲＬのみが格納される。なお、実施の形態３と同様に、この「ＵＲＬ」には、閲覧不可のＷｅｂサイトのＵＲＬのみを格納するようにしてもよい。
【００６２】
これらのアクセス許可レベルデータベース９７ＡとＵＲＬ情報データベース９７Ｂとは互いに関連付けされており、リレーショナルデータベースを構成している。たとえば、ある従業員番号のアクセス許可レベルが「３」である場合には、ＵＲＬ情報データベースから、この従業員は「ｗｗｗ．ｓｅｋｋｅｉ．ｃｏｍ」または「ｗｗｗ．設計．ｃｏｍ」のＵＲＬを有するＷｅｂサイトの閲覧が許可される。
【００６３】
図２６は、アクセス制御・ログ出力処理部による処理手順を示すフローチャートである。まず、アクセス制御・ログ出力処理部９６は、情報通信端末５からのＨＴＴＰ通信データからエージェントデータを取り出す（ステップＳ４０１）。つぎに、ＨＴＴＰ要求データから取り出したエージェントデータ内の従業員番号をキーにして、アクセス許可レベルデータベース９７Ａを検索して、上記従業員番号に付与されているアクセス許可レベルを読み取る（ステップＳ４０２）。
【００６４】
つぎに、アクセス許可レベルデータベース９７Ａから読み出したアクセス許可レベルの値が「０」〜「４」のいずれであるかを判定する（ステップＳ４０３）。判定の結果、アクセス許可レベルの値が「１」〜「３」である場合には、アクセス許可レベルの値をキーとして、ＵＲＬ情報データベース９７Ｂからアクセスを許可するＵＲＬ情報を読み取る（ステップＳ４０４）。つぎに、ＨＴＴＰ要求ヘッダ内のＵＲＬ情報と、ＵＲＬ情報データベース９７Ｂから読み取ったＵＲＬ情報とが一致するか否かを判定し（ステップＳ４０５）、両者が一致する場合（ステップＳ４０５で一致の場合）には、日時、エージェントデータ、コマンド、アクセス先ＵＲＬをアクセス記録データベース９２に図２０の形式で出力する（ステップＳ４０６）。つぎに、ＨＴＴＰ要求ヘッダ部のコマンドを読み出して、ＧＥＴコマンドかＰＯＳＴコマンドかを判定する（ステップＳ４０７）。判定の結果、ＰＯＳＴコマンドの場合（ステップＳ４０７でＰＯＳＴの場合）には、ＨＴＴＰ要求データ部のＰＯＳＴデータを取り出して、アクセス記録データベース９２に追加出力し（ステップＳ４０８）、処理を終了する。一方、ＧＥＴコマンドの場合（ステップＳ４０７でＧＥＴの場合）には、そのまま処理を終了する。
【００６５】
ステップＳ４０３でアクセス許可レベルの値が「０（インターネット上のすべてのＷｅｂ閲覧が可能）」の場合には、上述したステップＳ４０６以降の処理が実行される。
【００６６】
また、ステップＳ４０３でアクセス許可レベルの値が「２（Ｗｅｂ閲覧禁止）」の場合、またはステップＳ４０５でＨＴＴＰ要求ヘッダ部のＵＲＬと、ＵＲＬ情報データベース９７Ｂから読み出したＵＲＬ情報とが一致しない場合（ステップＳ４０５で一致せずの場合）には、Ｗｅｂ閲覧禁止メッセージを情報通信端末５へ送信し（ステップＳ４０９）、処理が終了する。
【００６７】
なお、この実施の形態４では、アクセス許可レベルが「１」〜「３」の場合のＵＲＬにはアクセス可能なＵＲＬのみ掲載されているが、ここにアクセス不可能なＵＲＬのみが掲載されている場合には、上述したステップＳ４０５では、一致した場合にステップＳ４０９へと進み、一致しない場合にはステップＳ４０６へと進むことになる。
【００６８】
また、この実施の形態４では、アクセス許可レベルを業務別に分類する場合を説明したが、事業所、部門、職制、その他目的に応じたカテゴリに分類してもよい。
【００６９】
この実施の形態４によれば、アクセス許可レベルを従業員ごとではなく、あるカテゴリごとに分類するようにしたので、アクセス許可レベルの管理の負担を軽減することができる。
【００７０】
実施の形態５．
実施の形態３，４では、情報通信端末のＰＣエージェントがＨＴＴＰ通信データの中にエージェントデータを付加する場合を説明した。これは、インターネット１に公開されているＷｅｂサーバ２にアクセスする場合には、アクセス管理装置によって、ＨＴＴＰ通信データからエージェントデータが削除されるので、Ｗｅｂサーバ２側での処理には影響を与えることはない。しかし、図２７に示されるように、企業３内に企業内向けに情報公開されるＷｅｂサーバ２４が存在する場合には、企業内のＷｅｂサーバ２４と情報通信端末５との間にはアクセス管理装置９が存在しないために、情報通信端末５と企業内のＷｅｂサーバ２４とはＨＴＴＰ通信データにはエージェントデータが存在するために通信することができない。また、企業３内に向けて公開されるＷｅｂサーバ２４に対してアクセスを制限する必要もなく、アクセス記録を取ることも不要である。そこで、図２７のように、企業内向けのＷｅｂサーバ２４を有するネットワークがインターネット１と接続されている場合には、情報通信端末５のＰＣエージェント５３が、エージェントデータの付加の要否を判断する必要がある。
【００７１】
図２８は、ＰＣエージェントによるエージェントデータ付加制御の処理を示すフローチャートである。まず、ＰＣエージェント５３は、ブラウザ５２から受信するＨＴＴＰ通信データのＨＴＴＰ要求ヘッダ部にあるＵＲＬが、イントラネット用、すなわち企業内で使用しているＵＲＬであるか否かを、情報通信端末５に予め格納されている企業内Ｗｅｂサーバ２４のＵＲＬ情報に基づいて判定する（ステップＳ５０１）。
【００７２】
ＨＴＴＰ要求ヘッダ部にあるＵＲＬがイントラネット用のＵＲＬである場合（ステップＳ５０１でＹｅｓの場合）には、ＰＣエージェント５３は、そのまま処理を終了する。しかし、ＨＴＴＰ要求ヘッダ部にあるＵＲＬがイントラネット用のＵＲＬでない場合（ステップＳ５０１でＮｏの場合）には、ＰＣエージェント５３は、情報通信端末５が有するエージェント情報格納部から情報通信端末５を使用する従業員に対応するエージェントデータをＨＴＴＰ通信データのＨＴＴＰ要求ヘッダ部に付加して（ステップＳ５０２）、処理を終了する。
【００７３】
なお、ＰＣエージェント５３がブラウザ５２から送信されるＨＴＴＰ通信データを受信する方式と、受信したＨＴＴＰ通信データに付加したエージェントデータを送信する方式については、情報通信端末５で使用されるオペレーティングシステム５１が提供する既存のプログラムインタフェースを利用することができる。
【００７４】
この実施の形態５によれば、企業内向けにＷｅｂサーバ２４を設置している企業内広域ネットワーク７の情報通信端末５において、インターネット１上のＷｅｂサーバ２へアクセスする場合と、イントラネット上のＷｅｂサーバ２４へアクセスする場合とを判断して、ＨＴＴＰ通信データへのエージェントデータの付加の有無を行うように構成したので、アクセス記録を残し、アクセス権限を管理してインターネット１上のＷｅｂサーバ２へアクセスすることができるとともに、イントラネット上のＷｅｂサーバ２４へアクセスする場合には、通常の通信を行って、アクセス記録を残さないように設定することが可能となる。
【００７５】
なお、実施の形態１〜５では、アクセス管理装置９を企業内広域ネットワーク７とインターネット１との間に導入する場合を例に挙げて説明したが、図２９に示されるように、事業所プロキシサーバ６の代わりにアクセス管理装置９を導入してもよい。
【００７６】
また、上述した説明では、企業３内に２つの事業所があり、その事業所で構築されるＬＡＮを企業内広域ネットワーク７で接続する場合を示したが、ＬＡＮの数はこれに限られるものではなく、単数でも３以上の数でもよい。
【００７７】
さらに、上述した説明では、企業３内で構築される広域ネットワークについて説明したが、これに限られるものではなく、ＬＡＮがインターネットに接続される形態、複数のＬＡＮが専用線で結ばてなる広域ネットワークがインターネットで接続される場合などにも適用可能である。
【００７８】
【発明の効果】
以上説明したように、この発明によれば、インターネット上に公開されているＷｅｂサーバへアクセスした情報通信端末を容易に作成することができ、業務以外の目的でインターネットへアクセスした情報通信端末またはその使用者を特定することができるという効果を有する。
【図面の簡単な説明】
【図１】この発明によるアクセス管理システムの実施の形態１の概略構成を示すブロック図である。
【図２】全社プロキシサーバの全社通信ログ格納部に格納される通信ログの形式を示す図である。
【図３】事業所プロキシサーバの事業所通信ログ格納部に格納される通信ログの形式を示す図である。
【図４】アクセス管理装置のアクセス記録データベースに格納されるアクセス編集記録の形式を示す図である。
【図５】アクセス管理装置のアクセス記録データベースに格納されるアクセス編集記録の形式を示す図である。
【図６】ログ編集処理部によるログ編集処理の手順を示すフローチャートである。
【図７】アクセス管理装置による全社プロキシサーバと事業所プロキシサーバの通信ログを編集記録する処理の概略を示すフローである。
【図８】この発明によるアクセス記録システムの実施の形態２の概略構成を示すブロック図である。
【図９】プロキシログ記録処理部によるプロキシログの記録処理手順を示すフローチャートである。
【図１０】ＨＴＴＰ通信データ形式の概略構成を示す図である。
【図１１】アクセス管理装置の全社通信ログ格納部に格納される通信ログの形式を示す図である。
【図１２】アクセス記録データベースに格納されるアクセス編集記録の形式を示す図である。
【図１３】アクセス記録データベースに格納されるアクセス編集記録の形式を示す図である。
【図１４】アクセス管理装置による処理の概略を示すフローである。
【図１５】この実施の形態３のアクセス管理システムが適用されるネットワーク構成の一例を示すブロック図である。
【図１６】情報通信端末に使用されるソフトウェアの構成を模式的に示す図である。
【図１７】エージェントデータが付加されたＨＴＴＰ要求ヘッダ部を有するＨＴＴＰ通信データ形式の概略構成の一例を示す図である。
【図１８】アクセス管理装置の概略構成を示すブロック図である。
【図１９】ＵＲＬアクセス管理データベースの内容の一例を示す図である。
【図２０】アクセス記録データベースの内容の一例を示す図である。
【図２１】アクセス制御・ログ出力処理部の処理手順を示すフローチャートである。
【図２２】情報通信端末とアクセス管理装置におけるアクセス制御とアクセス情報管理の処理手順の概略を示す図である。
【図２３】ＵＲＬアクセス管理データベースの構成を示す模式図である。
【図２４】アクセス許可レベルデータベースの内容の一例を示す図である。
【図２５】ＵＲＬ情報データベースの内容の一例を示す図である。
【図２６】アクセス制御・ログ出力処理部による処理手順を示すフローチャートである。
【図２７】企業内広域ネットワーク内に企業内向けのＷｅｂサーバが設定されたネットワーク構成を示す図である。
【図２８】ＰＣエージェントによるエージェントデータ付加制御の処理を示すフローチャートである。
【図２９】この発明によるアクセス管理システムの変形例を示すネットワーク構成図である。
【符号の説明】
１ インターネット、２，２４ Ｗｅｂサーバ、３ 企業、４ 事業所、５ 情報通信端末、６ 事業所プロキシサーバ、７ 企業内広域ネットワーク、８ 全社プロキシサーバ、９ アクセス管理装置、５１ オペレーティングシステム、５２ ブラウザ、５３ ＰＣエージェント、６１ 事業所通信ログ格納部、８１ 全社通信ログ格納部、９１ ログ編集処理部、９２ アクセス記録データベース、９３ 作業用データベース、９４ プロキシログ記録処理部、９５ 全社通信ログ格納部、９６ アクセス制御・ログ出力処理部、９７ ＵＲＬアクセス管理データベース、９７Ａ アクセス許可レベルデータベース、９７Ｂ ＵＲＬ情報データベース、９８ エージェントデータ削除処理部、２００ ＨＴＴＰ通信データ、２０１ ＴＣＰ／ＩＰヘッダ部、２０２ ＨＴＴＰ要求ヘッダ部、２０３ ＨＴＴＰ要求データ部、２０４ エージェントデータ。

Claims (16)

1. 専用線を介して接続された複数のＬＡＮから構成され、種々の情報を公開するＷｅｂサーバを有するネットワークに接続される広域ネットワークにおいて、前記ＬＡＮ内の情報通信端末による前記Ｗｅｂサーバへのアクセスを管理するアクセス管理システムであって、
   前記ＬＡＮは、該ＬＡＮ内の情報通信端末による前記Ｗｅｂサーバへの通信記録である第１の通信ログを収集する第１のプロキシサーバを介して、前記広域ネットワークに接続され、
   前記広域ネットワークは、
   前記ネットワークと接続される点に配置され、前記広域ネットワーク内から前記Ｗｅｂサーバへの通信記録である第２の通信ログを収集する第２のプロキシサーバと、
   前記第１および第２のプロキシサーバから所定の間隔で前記第１および第２の通信ログを収集し、該第１および第２の通信ログに基づいて、前記Ｗｅｂサーバにアクセスした前記ＬＡＮ内の情報通信端末を特定したアクセス編集記録情報を生成するアクセス管理装置と、
   を備えることを特徴とするアクセス管理システム。
2. 前記第１の通信ログは、前記第１のプロキシサーバが前記情報通信端末から前記Ｗｅｂサーバ宛ての情報を受信した日時、前記情報通信端末に付されたＩＰアドレス、前記Ｗｅｂサーバの前記ネットワーク上の位置を示すアクセス先アドレス、および前記Ｗｅｂサーバへのアクセス種類を含む通信記録であり、
   前記第２の通信ログは、前記第２のプロキシサーバが前記Ｗｅｂサーバ宛ての情報を受信した日時、前記Ｗｅｂサーバ宛ての情報を中継した第１のプロキシサーバに付されたＩＰアドレス、前記アクセス先アドレス、および前記アクセス種類を含む通信記録であることを特徴とする請求項１に記載のアクセス管理システム。
3. 専用線を介して接続された複数のＬＡＮから構成され、種々の情報を公開するＷｅｂサーバを有するネットワークに接続される広域ネットワークにおいて、前記ＬＡＮ内の情報通信端末による前記Ｗｅｂサーバへのアクセスを管理するアクセス管理システムであって、
   前記ＬＡＮは、該ＬＡＮ内の情報通信端末による前記Ｗｅｂサーバへの通信記録である第１の通信ログを収集するプロキシサーバを介して、前記広域ネットワークに接続され、
   前記広域ネットワークは、
   前記広域ネットワーク内から前記Ｗｅｂサーバへの通信記録と通信内容である第２の通信ログを収集するプロキシログ記録処理手段と、
   前記プロキシサーバから所定の間隔で前記第１の通信ログを収集し、該第１の通信ログと前記第２の通信ログに基づいて、前記Ｗｅｂサーバにアクセスした前記ＬＡＮ内の情報通信端末の特定と前記Ｗｅｂサーバへの通信内容を含むアクセス編集記録情報を生成するログ編集処理手段と、
   を有するアクセス管理装置を備えることを特徴とするアクセス管理システム。
4. 専用線を介して接続された複数のＬＡＮから構成され、種々の情報を公開するＷｅｂサーバを有するネットワークに接続される広域ネットワークであり、前記ＬＡＮ内の情報通信端末による前記Ｗｅｂサーバへの通信記録である第１の通信ログを収集する第１のプロキシサーバを介して前記ＬＡＮは前記広域ネットワークに接続され、前記広域ネットワーク内から前記Ｗｅｂサーバへの通信記録である第２の通信ログを収集する第２のプロキシサーバを介して前記ネットワークに接続される広域ネットワークで、前記ＬＡＮ内の情報通信端末による前記Ｗｅｂサーバへのアクセスを管理するアクセス管理システムであって、
   前記広域ネットワークに接続されるいずれかのＬＡＮに設けられる前記第１のプロキシサーバは、
   所定の間隔で、他のＬＡＮに設けられる前記第１のプロキシサーバから前記第１の通信ログを収集するとともに、前記第２のプロキシサーバから前記第２の通信ログを収集し、前記第１の通信ログと前記第２の通信ログに基づいて、前記Ｗｅｂサーバにアクセスした前記ＬＡＮ内の情報通信端末の特定と前記Ｗｅｂサーバへの通信内容を含むアクセス編集記録情報を生成するログ編集処理手段を備えることを特徴とするアクセス管理システム。
5. 前記第１の通信ログは、前記プロキシサーバが前記情報通信端末から前記Ｗｅｂサーバ宛ての情報を受信した日時、前記情報通信端末に付されたＩＰアドレス、前記Ｗｅｂサーバの前記ネットワーク上の位置を示すアクセス先アドレス、および前記Ｗｅｂサーバへのアクセス種類を含む通信記録であり、
   前記第２の通信ログは、前記アクセス管理装置が前記Ｗｅｂサーバ宛ての情報を受信した日時、前記Ｗｅｂサーバ宛ての情報を中継した第１のプロキシサーバに付されたＩＰアドレス、前記アクセス先アドレス、前記アクセス種類、および前記Ｗｅｂサーバへ投稿した通信内容を含む通信記録であることを特徴とする請求項３または４に記載のアクセス管理システム。
6. 種々の情報を公開する第１のＷｅｂサーバを有するネットワークに接続されるＬＡＮ内の情報通信端末による前記第１のＷｅｂサーバへのアクセスを管理するアクセス管理システムであって、
   前記情報通信端末は、
   該情報通信端末の使用者を特定する使用者情報を格納する使用者情報格納手段と、
   前記第１のＷｅｂサーバへ送信する送信データに前記使用者情報を格納して送信する送信手段と、
   を備え、
   前記ＬＡＮは、
   前記使用者ごとに前記ネットワーク上の各第１のＷｅｂサーバへのアクセスの可否を示すアクセス管理情報を格納するアクセス管理情報格納手段と、
   前記送信データから前記使用者情報を抽出し、前記アクセス管理情報に基づいて前記使用者による通信の可否を判断するアクセス可否判断手段と、
   前記使用者による通信が可能な場合に、前記送信データから通信ログを収集して管理するログ出力手段と、
   前記送信データから前記使用者情報を削除する使用者情報削除手段と、
   を有するアクセス管理装置を備えることを特徴とするアクセス管理システム。
7. 前記アクセス管理情報は、前記使用者を所定の基準にしたがって複数のグループに分類し、この分類ごとに前記ネットワーク上の各第１のＷｅｂサーバへのアクセスの可否が設定されることを特徴とする請求項６に記載のアクセス管理システム。
8. 第２のＷｅｂサーバが前記ＬＡＮ内に備えられ、前記情報通信端末の前記送信手段は、前記ネットワーク上の前記第１のＷｅｂサーバへのアクセスである場合には、前記使用者情報を前記送信データに格納して送信し、前記ＬＡＮ内の第２のＷｅｂサーバへのアクセスである場合には、前記使用者情報を前記送信データに付さないで送信することを特徴とする請求項６または７に記載のアクセス管理システム。
9. 専用線を介して接続された複数のＬＡＮから構成され、種々の情報を公開するＷｅｂサーバを有するネットワークに接続される広域ネットワークであり、前記ＬＡＮ内の情報通信端末による前記Ｗｅｂサーバへの通信記録である第１の通信ログを収集する第１のプロキシサーバを介して前記ＬＡＮは前記広域ネットワークに接続され、前記広域ネットワーク内から前記Ｗｅｂサーバへの通信記録である第２の通信ログを収集する第２のプロキシサーバを介して前記ネットワークに接続される広域ネットワーク上に配置されるアクセス管理装置であって、
   前記第１および第２のプロキシサーバから所定の間隔で前記第１および第２の通信ログを収集し、該第１および第２の通信ログに基づいて、前記Ｗｅｂサーバにアクセスした前記ＬＡＮ内の情報通信端末を特定するアクセス編集記録情報を生成するログ編集処理手段を備えることを特徴とするアクセス管理装置。
10. 前記第１の通信ログは、前記第１のプロキシサーバが前記情報通信端末から前記Ｗｅｂサーバ宛ての情報を受信した日時、前記情報通信端末に付されたＩＰアドレス、前記Ｗｅｂサーバの前記ネットワーク上の位置を示すアクセス先アドレス、および前記Ｗｅｂサーバへのアクセス種類を含む通信記録であり、
    前記第２の通信ログは、前記第２のプロキシサーバが前記Ｗｅｂサーバ宛ての情報を受信した日時、前記Ｗｅｂサーバ宛ての情報を中継した第１のプロキシサーバに付されたＩＰアドレス、前記アクセス先アドレス、および前記アクセス種類を含む通信記録であることを特徴とする請求項９に記載のアクセス管理装置。
11. 種々の情報を公開するＷｅｂサーバを有するネットワークに接続され、複数のＬＡＮが、該ＬＡＮ内の情報通信端末による前記Ｗｅｂサーバへの通信記録である第１の通信ログを収集するプロキシサーバを介して専用線に接続されてなる広域ネットワークに配置されるアクセス管理装置であって、
    前記広域ネットワーク内から前記Ｗｅｂサーバへの通信記録と通信内容である第２の通信ログを収集するプロキシログ記録処理手段と、
    前記プロキシサーバから所定の間隔で前記第１の通信ログを収集し、該第１の通信ログと前記第２の通信ログに基づいて、前記Ｗｅｂサーバにアクセスした前記ＬＡＮ内の情報通信端末の特定と前記Ｗｅｂサーバへの通信内容を含むアクセス編集記録情報を生成して管理するログ編集処理手段と、
    を備え、前記広域ネットワークが前記ネットワークと接続される点に配置されることを特徴とするアクセス管理装置。
12. 前記第１の通信ログは、前記プロキシサーバが前記情報通信端末から前記Ｗｅｂサーバ宛ての情報を受信した日時、前記情報通信端末に付されたＩＰアドレス、前記Ｗｅｂサーバの前記ネットワーク上の位置を示すアクセス先アドレス、および前記Ｗｅｂサーバへのアクセス種類を含む通信記録であり、
    前記第２の通信ログは、前記アクセス管理装置が前記Ｗｅｂサーバ宛ての情報を受信した日時、前記Ｗｅｂサーバ宛ての情報を中継した第１のプロキシサーバに付されたＩＰアドレス、前記アクセス先アドレス、前記アクセス種類、および前記Ｗｅｂサーバへ投稿した通信内容を含む通信記録であることを特徴とする請求項１１に記載のアクセス管理装置。
13. 種々の情報を公開する第１のＷｅｂサーバを有するネットワークに接続されるＬＡＮに接続され、前記ＬＡＮ内の情報通信端末の前記第１のＷｅｂサーバへのアクセスを管理するアクセス管理装置であって、
    前記ＬＡＮ内の情報通信端末の使用者による前記ネットワーク上の各第１のＷｅｂサーバへのアクセスの可否を示すアクセス管理情報を格納するアクセス管理情報格納手段と、
    前記情報通信端末によって送信された送信データから前記情報通信端末の使用者を特定する使用者情報を抽出し、前記アクセス管理情報に基づいて前記使用者による通信の可否を判断するアクセス可否判断手段と、
    前記使用者による通信が可能な場合に、前記送信データから通信ログを収集して管理するログ出力手段と、
    前記送信データから前記使用者情報を削除する使用者情報削除手段と、
    を備えることを特徴とするアクセス管理装置。
14. 前記アクセス管理情報は、前記使用者を所定の基準にしたがって複数のグループに分類し、この分類ごとに前記ネットワーク上の各第１のＷｅｂサーバへのアクセスの可否が設定されることを特徴とする請求項１３に記載のアクセス管理装置。
15. 種々の情報を公開する第１のＷｅｂサーバを有するネットワークに接続されるＬＡＮ内の情報通信端末の前記第１のＷｅｂサーバへのアクセスを管理するアクセス管理システムに使用される情報通信端末であって、
    前記情報通信端末の使用者を特定する使用者情報を格納する使用者情報格納手段と、
    前記第１のＷｅｂサーバへ送信する送信データに前記使用者情報を格納して送信する送信手段と、
    を備えることを特徴とするアクセス管理システムに使用される情報通信端末。
16. 種々の情報を公開する第１のＷｅｂサーバを有するネットワークに接続され、第２のＷｅｂサーバを備えるＬＡＮ内の情報通信端末の前記第１のＷｅｂサーバへのアクセスを管理するアクセス管理システムに使用される情報通信端末であって、
    前記情報通信端末の使用者を特定する使用者情報を格納する使用者情報格納手段と、
    前記ネットワーク上の前記第１のＷｅｂサーバへのアクセスである場合には、前記使用者情報を前記送信データに格納して送信し、前記ＬＡＮ内の第２のＷｅｂサーバへのアクセスである場合には、前記使用者情報を前記送信データに付さないで送信する送信手段と、
    を備えることを特徴とするアクセス管理システムに使用される情報通信端末。

Images