JP2011087189A - 転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラム - Google Patents

Abstract

【課題】攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させること。
【解決手段】パス管理リスト記憶部１２は、囮サーバが搭載するプログラムファイルのプログラム配置パスのリストを記憶し、プログラム管理リスト記憶部１３は、囮サーバが搭載するプログラムファイルのプログラム配置パスと、入力値指定が許容される変数名とを対応付けたリストを記憶する。宛先ＵＲＬ抽出部１１ａは、囮サーバ宛のパケットから宛先ＵＲＬを抽出し、宛先ＵＲＬ変換部１１ｂは、パス管理リストに宛先ＵＲＬのプログラム配置パスが記憶されておらず、かつ、プログラム管理リストに宛先ＵＲＬの変数名と一致する変数名を含むエントリが記憶されている場合、宛先ＵＲＬのパス名を、検索キーの変数名に対応付けられているプログラム配置パスに変換した宛先ＵＲＬを転送先特定部１１ｃに通知する。
【選択図】図３

Description

この発明は、転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラムに関する。

近年、インターネットの普及に伴い、個人情報の管理やアプリケーションの配信を実施するサーバに対するサイバー攻撃が急増している。サイバー攻撃の代表例としては、マルウェア（攻撃者が正規ユーザのサーバや端末に不正アクセスするために用いる攻撃ツールプログラム）を利用したＤＤｏＳ（Distributed Denial of Services）攻撃やスパム送信、情報盗難などが挙げられる。これらの攻撃の多くは、既存のサーバを乗っ取り、乗っ取ったサーバを踏み台として他のサーバを攻撃する形で実施される。

従来、これらの脅威に対処することを目的として、ファイアウォール機能と転送データ監視機能とをルータなどのパケット転送装置に実装してサーバ監視機能を構築し、サーバ監視機能をサーバの前段に配置することで、送受信されるデータの内容やパケットヘッダの内容に応じて通信を制御するアクセス制御技術が用いられている。アクセス制御技術では、サーバ監視機能を開発したセキュリティベンダが、既知のソフトウェアの脆弱性やマルウェアを解析することで、攻撃者がサーバに対して取りうる送信メッセージのパターンをシグネチャ化し、シグネチャにマッチする送信メッセージをサーバ監視機能でフィルタする。これにより、攻撃者の不正アクセスからサーバを防御する。

しかし、かかるサーバ監視機能では、シグネチャにマッチしない通信についてはネットワークの通過を許容するため、この通過可能な通信サービスを悪用した不正アクセスを完全に阻止することは困難である。このため、例えば、セキュリティベンダにとって未知となるソフトウェア（アプリケーションに代表されるソフトウェア）の脆弱性や、セキュリティベンダが解析していないソフトウェアの脆弱性に基づいた攻撃には対応することができなかった。

かかる問題を解決するために、脆弱性があるソフトウェアを故意に搭載した囮サーバをサーバ監視機能配下に配置し、サーバ監視機能で囮サーバへのアクセスを監視する仕組みが検討されている（例えば、非特許文献１参照）。具体的には、サーバ監視機能は、攻撃者がアプリケーション提供サーバなどに不正アクセスする際に利用するマルウェアを代表としたプログラムを囮サーバがダウンロードする際の挙動を捉え、例えば、ダウンロード要求先をマルウェアダウンロード用のサイトと特定する方式などが検討されている。

この方式により取得したマルウェアダウンロードサイトをブラックリストとして、顧客サーバまたは顧客サーバとネットワークの境界に配置されたファイアフォール機能やセキュリティアプライアンスなどに入力することで、顧客サーバがマルウェアに感染する事態を回避する。

八木毅、谷本直人、浜田雅樹、伊藤光恭「プロバイダによるWebサイトへのマルウェア配布防御方式」信学技報IN2009-34

しかし、上記した従来の技術では、攻撃者が予想したサーバのディレクトリ構成と、囮サーバのディレクトリ構成とが異なった際に、攻撃者が指定する宛先ＵＲＬ（Uniform Resource Locator）と、ぜい弱なプログラムが配置された囮サーバのパスが一致せず、攻撃が失敗し、マルウェアダウンロードサイトなどの攻撃情報が収集できない場合がある。

失敗する攻撃の中にも、マルウェアダウンロードサイトの情報やマルウェアの情報およびぜい弱なプログラムの情報が記載されているため、失敗する攻撃に関しては、機械的な分析が困難になる。従来では、このような攻撃は、攻撃者が事前に攻撃対象のサーバのディレクトリ構造を調査していたため、失敗する可能性が低かった。しかし、近年では、このような攻撃はツールにより自動化され、攻撃者が予め指定した多数の宛先ＵＲＬに対して機械的に実施されているため、失敗する攻撃が多い。

すなわち、上記した従来の技術では、多数の成功した攻撃の攻撃情報を収集したとしても、攻撃防御のために抽出可能な攻撃情報量が減少し、その結果、セキュリティアプライアンスなどでの攻撃検知精度が低下するという課題があった。

なお、攻撃情報を収集する対象となるサーバが囮サーバでない場合であっても、アクセスした者が予想したサーバのディレクトリ構成と、アクセスされたサーバのディレクトリ構成とが異なった際に、アクセスが失敗するので、アクセスした者が目標としているプログラムにアクセスできず上記と同様の課題が発生していた。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることが可能となる転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本願の開示する方法は、一つの態様において、ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置に適用される転送制御方法であって、転送制御の対象となるサーバ端末である対象サーバに搭載されているプログラムファイルの当該対象サーバにおける配置位置情報を前記転送制御装置の第一の記憶部に格納し、前記対象サーバに搭載されているプログラムファイルにて外部からの入力値指定が許容される変数の変数名と、当該プログラムファイルの配置位置情報とを対応付けた情報である変数情報を前記転送制御装置の第二の記憶部に格納する格納ステップと、前記対象サーバに対応する端末識別子を含み、プログラムファイルの配置位置情報とともに、当該プログラムファイルの変数および当該変数に対する入力値が指定されている宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子に入力値が指定されている変数名と一致する変数名を含む変数情報が前記第二の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定ステップと、前記判定ステップによる前記第一の判定処理および前記第二の判定処理の判定結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子に記載されている配置位置情報を前記第二の記憶部に格納されている前記変数情報により変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御ステップと、を含んだことを要件とする。

また、本願の開示する装置は、一つの態様において、ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置であって、転送制御の対象となるサーバ端末である対象サーバに搭載されているプログラムファイルの当該対象サーバにおける配置位置情報を記憶する配置位置情報記憶手段と、前記対象サーバに搭載されているプログラムファイルにて外部からの入力値指定が許容される変数の変数名と、当該プログラムファイルの配置位置情報とを対応付けた情報である変数情報を記憶する変数情報記憶手段と、前記対象サーバに対応する端末識別子を含み、プログラムファイルの配置位置情報とともに、当該プログラムファイルの変数および当該変数に対する入力値が指定されている宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記配置位置情報記憶手段に記憶されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子に入力値が指定されている変数名と一致する変数名を含む変数情報が前記第二の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手段と、前記判定手段による前記第一の判定処理および前記第二の判定処理の判定結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子に記載されている配置位置情報を前記第二の記憶部に格納されている前記変数情報により変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手段と、を備えたことを要件とする。

また、本願の開示するシステムは、一つの態様において、ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置を含む転送制御システムであって、前記転送制御装置は、転送制御の対象となるサーバ端末である対象サーバに搭載されているプログラムファイルの当該対象サーバにおける配置位置情報を記憶する配置位置情報記憶手段と、前記対象サーバに搭載されているプログラムファイルにて外部からの入力値指定が許容される変数の変数名と、当該プログラムファイルの配置位置情報とを対応付けた情報である変数情報を記憶する変数情報記憶手段と、前記対象サーバに対応する端末識別子を含み、プログラムファイルの配置位置情報とともに、当該プログラムファイルの変数および当該変数に対する入力値が指定されている宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記配置位置情報記憶手段に記憶されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子に入力値が指定されている変数名と一致する変数名を含む変数情報が前記第二の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手段と、前記判定手段による前記第一の判定処理および前記第二の判定処理の判定結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子に記載されている配置位置情報を前記第二の記憶部に格納されている前記変数情報により変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手段と、を備えたことを要件とする。

また、本願の開示するプログラムは、一つの態様において、ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御するコンピュータとしての転送制御装置に実行させる転送制御プログラムであって、転送制御の対象となるサーバ端末である対象サーバに搭載されているプログラムファイルの当該対象サーバにおける配置位置情報を前記転送制御装置の第一の記憶部に格納し、前記対象サーバに搭載されているプログラムファイルにて外部からの入力値指定が許容される変数の変数名と、当該プログラムファイルの配置位置情報とを対応付けた情報である変数情報を前記転送制御装置の第二の記憶部に格納する格納手順と、前記対象サーバに対応する端末識別子を含み、プログラムファイルの配置位置情報とともに、当該プログラムファイルの変数および当該変数に対する入力値が指定されている宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子に入力値が指定されている変数名と一致する変数名を含む変数情報が前記第二の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手順と、前記判定手順による前記第一の判定処理および前記第二の判定処理の判定結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子に記載されている配置位置情報を前記第二の記憶部に格納されている前記変数情報により変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手順と、をコンピュータに実行させることを要件とする。

本願の開示する方法、装置、システムおよびプログラムの一つの態様によれば、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることが可能となる。

図１は、実施例１における転送制御システムの一例を示す全体構成図である。 図２は、宛先ＵＲＬを説明するための図である。 図３は、実施例１における転送制御装置の構成を説明するためのブロック図である。 図４は、パス管理リストの一例を説明するための図である。 図５は、プログラム管理リストの一例を説明するための図である。 図６は、宛先ＵＲＬ抽出部を説明するための図である。 図７は、実施例１における宛先ＵＲＬ変換部を説明するための図（１）である。 図８は、実施例１における宛先ＵＲＬ変換部を説明するための図（２）である。 図９は、実施例１における宛先ＵＲＬ変換部を説明するための図（３）である。 図１０は、実施例１における転送制御装置の処理を説明するためのフローチャートである。 図１１は、実施例２におけるプログラム管理リストを説明するための図である。 図１２は、実施例２における宛先ＵＲＬ変換部を説明するための図（１）である。 図１３は、実施例２における宛先ＵＲＬ変換部を説明するための図（２）である。 図１４は、実施例２における転送制御装置の処理を説明するためのフローチャートである。

以下に、本願の開示する転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラムの実施例を詳細に説明する。なお、以下では、本願の開示する転送制御方法を実行する転送制御装置がネットワークに配置された転送制御システムを実施例として説明するが、以下の実施例により本発明が限定されるものではない。

まず、図１を用いて、実施例１における転送制御システムの全体構成について説明する。図１は、実施例１における転送制御システムの一例を示す全体構成図である。

図１の一例に示すように、実施例１における転送制御システムは、ネットワーク１にて構築される。ネットワーク１は、ネットワーク２、ネットワーク３およびネットワーク４を収容するネットワークである。ここで、ネットワーク１は、インターネットのような広域ネットワークである場合であってもよいし、企業ネットワークのような比較的狭い狭域ネットワークである場合であってもよい。

ネットワーク３は、ユーザ端末７を収容し、ネットワーク４は、ユーザ端末８を収容している。なお、図１では、ネットワーク３およびネットワーク４に収容されるユーザ端末をそれぞれ１台のみ示しているが、実際には、ネットワーク３およびネットワーク４それぞれは、複数のユーザ端末を収容している。ここで、図１に示すユーザ端末７およびユーザ端末８は、宛先統一資源位置指定子（ＵＲＬ：Uniform Resource Locator）を保有するハイパーテキスト転送プロトコル（ＨＴＴＰ：Hypertext Transfer Protocol）データを送受信することが可能な装置である。

ネットワーク２は、脆弱性があるソフトウェアを故意に搭載した囮サーバを収容し、図１に示す一例では、囮サーバ５および囮サーバ６を２台収容している。なお、本実施例は、ネットワーク２に、囮サーバとともにユーザ端末が収容される場合であっても適用可能である。

そして、ネットワーク２のトポロジは、ネットワーク３およびネットワーク４から囮サーバ５および囮サーバ６へのアクセスが、図１に示す転送制御装置１０を経由するように構成されている。すなわち、転送制御装置１０は、ネットワーク３およびネットワーク４それぞれに設置させているルータやスイッチ、ゲートウェイ装置などのデータ中継装置（図示せず）と接続されており、ネットワーク２のゲートウェイとして配置されている。なお、図１には示さないが、囮サーバ５および囮サーバ６には、攻撃者が行なった攻撃に関する情報を収集する攻撃収集装置が接続されている。さらに、攻撃収集装置には、攻撃収集装置が収集した攻撃情報を分析する攻撃分析装置が接続されている。そして、攻撃分析装置には、攻撃分析装置の分析結果から特定された攻撃者のユーザ端末との通信を遮断するための攻撃防御装置が接続されている。なお、図１に示す構成例では、ネットワーク２において、囮サーバ５、囮サーバ６および転送制御装置１０が、それぞれ異なる装置として配置されている場合について説明している。しかし、本実施例は、ネットワーク２を仮想ネットワークとし、囮サーバ５、囮サーバ６および転送制御装置１０が仮想装置として、１台の物理サーバ内に配されている場合であっても適用可能である。

ここで、図１に示すように、囮サーバ５には、「ホスト名： host#1」が割り当てられており、囮サーバ６には、「ホスト名： host#2」が割り当てられているとする。以下、図２を用いて、囮サーバ５をアクセス先とするＨＴＴＰデータが保有する宛先ＵＲＬの一例について、図２を用いて説明する。図２は、宛先ＵＲＬを説明するための図である。

例えば、ユーザ端末７が囮サーバ５にＨＴＴＰデータを転送する場合、宛先ＵＲＬには、図２に示すように、「アクセス手段識別子：http」が記載され、続いて「ホスト名：host#1」が記載される。そして、ユーザ端末７が「ホスト名： host#1」の「d-A/d-B/d-C」というパスに配置された「ファイル：file-a」にアクセスする場合、宛先ＵＲＬには、図２に示すように、「ファイル名：file-a」を末尾とする「パス名：/d-A/d-B/d-C/file-a」が配置位置情報として指定される。

さらに、「ファイル：file-a」がプログラムファイルであり、ユーザ端末７から囮サーバ５に「file-a」の「変数：dir」に「入力値：x」を入力させる命令を送付する場合、宛先ＵＲＬには、図２に示すように、パス名の後ろに、「変数名：dir」と「変数への入力値：x」とが続いて記載される。すなわち、宛先ＵＲＬは、図２に示すように、「http://host#1/d-A/d-B/d-C/file-a?dir=x」となる。

しかし、攻撃者が囮サーバ５上に存在しないディレクトリを宛先ＵＲＬに指定した場合、通常、囮サーバ５からユーザ端末７に「404エラーメッセージ：not found」が返信される。すなわち、ユーザ端末７のユーザが攻撃者であり、ぜい弱なプログラムが配置されていると攻撃者が考えているユーザ端末のディレクトリ構造が、囮サーバのディレクトリ構造と一致しない場合、攻撃者からの攻撃は失敗することとなり、マルウェアダウンロードサイトなどの攻撃情報が収集できない。

そこで、実施例１では、ネットワーク２のゲートウェイとして転送制御装置１０を配置することで、攻撃防御のために抽出可能な攻撃情報量を増加させ、攻撃検知精度を向上させることを可能とする。すなわち、転送制御装置１０は、ぜい弱なプログラムが配置されていると攻撃者が考えているユーザ端末のディレクトリ構造が、囮サーバのディレクトリ構造と一致しない場合でも、ぜい弱なプログラムが配置されたディレクトリ宛てとなるようＨＴＴＰデータの宛先ＵＲＬを変換して転送する機能を有する。

以下、実施例１における転送制御装置１０について、図３などを用いて説明する。なお、図３は、実施例１における転送制御装置の構成を説明するためのブロック図である。

図３に示すように、実施例１における転送制御装置１０は、パケット転送部１１と、パス管理リスト記憶部１２と、プログラム管理リスト記憶部１３とを有する。

パス管理リスト記憶部１２は、転送制御装置１０が有する第一の記憶部であり、転送制御の対象となる囮サーバ５および囮サーバ６それぞれのディレクトリ構造をパス管理リストとして記憶する。具体的には、パス管理リスト記憶部１２は、囮サーバ５および囮サーバ６それぞれに搭載されているプログラムファイルの配置位置情報（パス名）をプログラム配置パスとして記憶する。図４は、パス管理リストの一例を説明するための図である。例えば、パス管理リスト記憶部１２は、図４に示すように、「ホスト名：host#1」である囮サーバ５のディレクトリ構造のリストと、「ホスト名：host#2」である囮サーバ６のディレクトリ構造のリストとをそれぞれ記憶する。例えば、図４に示す一例では、「ホスト名：host#1」である囮サーバ５には、「ファイル：file-a」が「d-A/d-B/d-C」というパスに配置されていることを示す「プログラム配置パス：/d-A/d-B/d-C/file-a」などが記憶されている。

ここで、パス管理リスト記憶部１２は、転送制御装置１０の操作者が転送制御システムの運用開始時に設定したパス管理リストを記憶する。ただし、パス管理リスト記憶部１２が記憶するパス管理リストは、サーバ内のディレクトリ構造を抽出するツールを用いて自動的に生成することも可能である。さらに、かかる抽出ツールを用いてディレクトリ構造を定期的に抽出してディレクトリ構造の更新を検知し、パス管理リストを自動的に更新することも可能である。

図３に戻って、プログラム管理リスト記憶部１３は、転送制御装置１０が有する第二の記憶部であり、囮サーバ５および囮サーバ６それぞれに搭載されているプログラムファイルのプログラム配置パスと、当該プログラムファイルにて外部からの入力値指定が許容される変数の変数名とを対応付けた変数情報のリストを記憶する。図５は、プログラム管理リストの一例を説明するための図である。例えば、パス管理リスト記憶部１２は、図５に示すように、「ホスト名：host#1」である囮サーバ５に搭載されている「ファイル：file-a」にて入力値指定が許容される変数の「変数名：dir」を、「プログラム配置パス：/d-A/d-B/d-C/file-a」に対応付けて記憶する。なお、プログラム管理リスト１３は、転送制御装置１０の操作者が、転送制御システムの運用開始時に、設定するリストである。具体的には、転送制御装置１０の操作者は、囮サーバごとに、当該囮サーバに搭載されている複数の脆弱なプログラムファイルそれぞれに対して、攻撃者が攻撃すると想定される変数の変数名を設定する。

なお、複数の囮サーバごとに記憶されるパス管理リストおよびプログラム管理リストは、上述したように、囮サーバのホスト名を用いて管理される場合であってもよいし、囮サーバのＩＰ（Internet Protocol）アドレスを用いて管理される場合であってもよい。

図３に戻って、パケット転送部１１は、ネットワーク３およびネットワーク４から受信したパケットの転送制御を、パス管理リスト記憶部１２およびプログラム管理リスト記憶部１３に記憶されている各リストを参照して行なう処理部であり、宛先ＵＲＬ抽出部１１ａと、宛先ＵＲＬ変換部１１ｂと、転送先特定部１１ｃとを有する。

宛先ＵＲＬ抽出部１１ａは、ネットワーク２に収容されている囮サーバ宛のパケットから、宛先ＵＲＬを抽出して、抽出した宛先ＵＲＬを宛先ＵＲＬ変換部１１ｂに通知する。図６は、宛先ＵＲＬ抽出部を説明するための図である。例えば、図６に示すように、ネットワーク３に収容されているユーザ端末７から、「http://host#1/d-X/d-Y/d-C/file-p?path=http://host#2/d-L/d-M/d-N/file-q」という宛先ＵＲＬを保有するＨＴＴＰデータを受信した場合、宛先ＵＲＬ抽出部１１ａは、宛先ＵＲＬを抽出して宛先ＵＲＬ変換部１１ｂに通知する。ここで、ユーザ端末７から受信した宛先ＵＲＬには、「ホスト名：host#1」が「プログラム配置パス：/ d-X/d-Y/d-C/file-p」に搭載している「ファイル名：file-p」のプログラムファイルの「変数名：path」に「入力値：http://host#2/d-L/d-M/d-N/file-q」を入力することが指定されている。かかる宛先ＵＲＬを攻撃者が指定する場合、「http://host#2」がマルウェアダウンロードサイトとして悪用されており、「file-q」が実際のマルウェアであることが想定される。

なお、以下では、ユーザ端末７から受信した宛先ＵＲＬのことを、「受信宛先ＵＲＬ」と記載する場合がある。

図３に戻って、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａから通知された受信宛先ＵＲＬを用いて、判定処理および宛先ＵＲＬ変換処理を実行する。以下、かかる処理の一例について、図７〜図９に示す一例を参照して説明する。図７〜図９は、実施例１における宛先ＵＲＬ変換部を説明するための図である。

まず、宛先ＵＲＬ変換部１１ｂは、図７に示すように、受信宛先ＵＲＬから「ホスト名：host#1」を参照して、図４を用いて説明した囮サーバごとのパス管理リストのうち、「ホスト名：host#1」である囮サーバ５のパス管理リストを用いて判定処理を行なうと決定する。そして、宛先ＵＲＬ変換部１１ｂは、図７に示すように、受信宛先ＵＲＬに記載されている「パス名：/d-X/d-Y/d-C/file-p」を検索キーとして、当該検索キーと一致するプログラム配置パスが囮サーバ５のパス管理リストに記憶されているか否かを判定する（第一判定処理）。

ここで、仮に、「ホスト名：host#1」のパス管理リストに「パス名：/d-X/d-Y/d-C/file-p」が記憶されている場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬを変換することなく、受信宛先ＵＲＬをそのまま後述する転送先特定部１１ｃに通知する（第一通知処理：変換なし）。

一方、「ホスト名：host#1」のパス管理リストに「パス名：/d-X/d-Y/d-C/file-p」が記憶されてない場合、図８に示すように、宛先ＵＲＬ変換部１１ｂは、図５を用いて説明した囮サーバごとのプログラム管理リストのうち、「ホスト名：host#1」である囮サーバ５のプログラム管理リストを用いて判定処理を行なうと決定する。そして、宛先ＵＲＬ変換部１１ｂは、図８に示すように、受信宛先ＵＲＬに記載されている「変数名：path」を検索キーとして、当該検索キーと一致する変数名を含むプログラム配置パスが囮サーバ５のプログラム管理リストに記憶されているか否かを判定する（第二判定処理）。

ここで、図８に示すように、「ホスト名：host#1」のプログラム管理リストに検索キーである「変数名：path」に対応付けられた「プログラム配置パス：d-A/d-E/d-F/file-d」が記憶されている場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬの変換処理を行なう。具体的には、宛先ＵＲＬ変換部１１ｂは、図９に示すように、受信宛先ＵＲＬの「パス名：/d-X/d-Y/d-C/file-p」を、検索キーである「変数名：path」に対応付けられている「プログラム配置パス：d-A/d-E/d-F/file-d」に変換して、受信宛先ＵＲＬを「変換後宛先ＵＲＬ：http://host#1/d-A/d-E/d-F/file-d?path=http://host#2/d-L/d-M/d-N/file-q」とする。そして、宛先ＵＲＬ変換部１１ｂは、変換後宛先ＵＲＬを後述する転送先特定部１１ｃに通知する（第二通知処理：変換あり）。

一方、仮に、「ホスト名：host#1」のプログラム管理リストに検索キーである「変数名：path」を含むプログラム配置パスが記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま後述する転送先特定部１１ｃに通知する（第三通知処理：変換なし）。

図３に戻って、転送先特定部１１ｃは、宛先ＵＲＬ変換部１１ｂから通知された宛先ＵＲＬ（受信宛先ＵＲＬまたは変換後宛先ＵＲＬ）から出力先を特定し、ＨＴＴＰデータパケットを転送する。例えば、転送先特定部１１ｃは、宛先ＵＲＬを用いてＤＮＳ（Domain Name System）サーバ（図示せず）にＩＰアドレスを問い合わせて宛先ＩＰアドレスを特定し、宛先ＩＰアドレスに対応する出力先インタフェースにＨＴＴＰデータパケットを転送する。なお、転送先特定部１１ｃは、ＩＰアドレスと出力先インタフェースとを対応付けたテーブルを参照して宛先ＩＰアドレスに対応付けられた出力先インタフェースを特定する。また、転送先特定部１１ｃは、宛先ＵＲＬと出力先インタフェースとを対応付けたテーブルを参照して宛先ＵＲＬに対応付けられた出力先インタフェースを特定する場合であってもよい。

第一通知処理（変換なし）が行なわれた場合、ＨＴＴＰデータは、囮サーバ５に到達する。また、第三通知処理（変換なし）が行なわれた場合、ＨＴＴＰデータは、囮サーバ５に到達せず、攻撃者の攻撃は失敗することとなる。しかし、第二通知処理が行なわれた場合、通常、囮サーバ５に到達しなかったＨＴＴＰデータを、囮サーバ５に到達させることができる。これにより、囮サーバ５に接続される攻撃収集装置は、攻撃情報を収集し、攻撃分析装置は、攻撃収集装置が収集した攻撃情報を分析し、攻撃防御装置は、攻撃分析装置の分析結果から特定された攻撃者のユーザ端末７との通信を遮断するための防御処理を実行することができる。

続いて、図１０を用いて実施例１における転送制御装置１０の処理の手順について説明する。図１０は、実施例１における転送制御装置の処理を説明するためのフローチャートである。

図１０に示すように、実施例１における転送制御装置１０は、外部ネットワークから、自装置が転送制御する対象となる囮サーバ宛であり、プログラムファイルの変数および当該変数に対する入力値が指定されている宛先ＵＲＬを保有するＨＴＴＰデータを受信すると（ステップＳ１０１肯定）、宛先ＵＲＬ抽出部１１ａは、受信したＨＴＴＰデータが保有する宛先ＵＲＬ（受信宛先ＵＲＬ）を抽出する（ステップＳ１０２）。

そして、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬに記載されているホスト名およびパス名を特定し（ステップＳ１０３）、特定したホスト名のパス管理リストに、特定したパス名が存在するか否かを判定する（ステップＳ１０４、第一判定処理）。

ここで、特定したホスト名のパス管理リストに、特定したパス名が存在する場合（ステップＳ１０４肯定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ１０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ１１０、変換なしの第一通知処理）。そして、転送先特定部１１ｃは、ステップＳ１０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ１１１）、処理を終了する。

一方、特定したホスト名のパス管理リストに、特定したパス名が存在しない場合（ステップＳ１０４否定）、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬに記載されている変数名を特定する（ステップＳ１０５）。

そして、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のプログラム管理リストに、特定した変数名が存在するか否かを判定する（ステップＳ１０６、第二判定処理）。

ここで、特定したホスト名のプログラム管理リストに、特定した変数名が存在しない場合（ステップＳ１０６否定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ１０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ１１０、変換なしの第三通知処理）。そして、転送先特定部１１ｃは、ステップＳ１０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ１１１）、処理を終了する。

一方、特定したホスト名のプログラム管理リストに、特定した変数名が存在する場合（ステップＳ１０６肯定）、宛先ＵＲＬ変換部１１ｂは、特定した変数名に対応付けられているプログラム配置パスに宛先ＵＲＬのパス名を変換し（ステップＳ１０７、図９参照）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ１０８、変換ありの第二通知処理）。そして、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ１０９）、処理を終了する。

上述してきたように、実施例１によれば、パス管理リスト記憶部１２は、転送制御の対象となる囮サーバ５および囮サーバ６それぞれに搭載されているプログラムファイルのパス名（プログラム配置パス）を記憶する。プログラム管理リスト記憶部１３は、囮サーバ５および囮サーバ６それぞれに搭載されているプログラムファイルのプログラム配置パスと、当該プログラムファイルにて外部からの入力値指定が許容される変数の変数名とを対応付けたプログラム管理リストを記憶する。

そして、宛先ＵＲＬ抽出部１１ａは、囮サーバ宛のパケットから、宛先ＵＲＬを抽出して、抽出した宛先ＵＲＬ（受信宛先ＵＲＬ）を宛先ＵＲＬ変換部１１ｂに通知する。宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬに記載されているホスト名のパス管理リストに、受信宛先ＵＲＬに記載されているパス名が記憶されているか否かを判定する（第一判定処理）。パス管理リストにパス名が記憶されている場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬを変換することなく、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する（第一通知処理：変換なし）。

一方、パス管理リストにパス名が記憶されてない場合、宛先ＵＲＬ変換部１１ｂは、該当するホスト名のプログラム管理リストに、受信宛先ＵＲＬに記載されている変数名と一致する変数名を含むエントリが記憶されているか否かを判定する（第二判定処理）。記憶されている場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬのパス名を、検索キーである変数名に対応付けられているプログラム配置パスに変換して、変換後宛先ＵＲＬを転送先特定部１１ｃに通知する（第二通知処理：変換あり）。一方、記憶されていない場合、宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知する（第三通知処理：変換なし）。そして、転送先特定部１１ｃは、宛先ＵＲＬ変換部１１ｂから通知された宛先ＵＲＬ（受信宛先ＵＲＬまたは変換後宛先ＵＲＬ）から出力先を特定し、ＨＴＴＰデータパケットを転送する。

したがって、実施例１によれば、従来、攻撃者が指定する宛先ＵＲＬに誤記があった際、囮サーバはマルウェアをダウンロードすることができず、その結果、収集できる攻撃情報に限界があったが、「第二通知処理：変換あり」により、宛先ＵＲＬのパス名を脆弱なプログラムファイルが配置されているパス名に変換することで攻撃を適切な範囲で故意に成功させることができる。その結果、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることが可能となる。

また、実施例１によれば、囮サーバごとにパス管理リストとプログラム管理リストを記憶するので、宛先ＵＲＬにて指定されている囮サーバのパス管理リストとプログラム管理リストとを容易に特定することができ、判定処理および通知処理を迅速に行なうことが可能となる。

実施例２では、実施例１における第三通知処理の変形例について、図１１〜図１３を用いて説明する。なお、図１１は、実施例２におけるプログラム管理リストを説明するための図であり、図１２および１３は、実施例２における宛先ＵＲＬ変換部を説明するための図である。

実施例２における転送制御装置１０は、図３を用いて実施例１にて説明した転送制御装置１０と同様の構成となるが、プログラム管理リスト記憶部１３が記憶するプログラム管理リストの内容と、宛先ＵＲＬ変換部１１ｂが実行する第三通知処理の内容とが実施例１と異なる。以下、これらを中心にして説明する。

実施例２におけるプログラム管理リスト記憶部１３は、プログラム管理リストのエントリのいずれか一つをデフォルトエントリとして記憶する。例えば、実施例２におけるプログラム管理リストには、図１１に示すように、デフォルトエントリであることを示す「フラグ」の項目が追加されている。例えば、図１１に示すように、転送制御装置１０の操作者により、「ホスト名：host#1」のプログラム管理リストの第一エントリ「変数名：dir、プログラム配置パス：/d-A/d-B/d-C/file-a」がデフォルトエントリとして設定されると、「フラグ」の項目のチェックが追加される。なお、図１１にプログラム管理リストの一例では、図５における「変数名：path、プログラム配置パス：d-A/d-E/d-F/file-d」のエントリが存在していない。

かかるデフォルトエントリが設定された状態で、ＨＰＰＴデータを受信すると、実施例２においても、宛先ＵＲＬ抽出部１１ａは、受信したＨＴＴＰデータが保有する宛先ＵＲＬを抽出して、宛先ＵＲＬ変換部１１ｂに通知する。

そして、宛先ＵＲＬ変換部１１ｂは、実施例１で説明したように、第一判定処理、変換なしの第一通知処理、第二判定処理および変換ありの第二通知処理を、判定結果に基づいて順次実行するが、実施例１とは異なり、第三通知処理を以下に説明するようにして実行する。

例えば、実施例１と同様、図１２に示すように、ネットワーク３に収容されているユーザ端末７から、「http://host#1/d-X/d-Y/d-C/file-p?path=http://host#2/d-L/d-M/d-N/file-q」という宛先ＵＲＬ（受信宛先ＵＲＬ）を保有するＨＴＴＰデータを受信した場合、宛先ＵＲＬ変換部１１ｂは、第一判定処理の判定結果が否定となるため、検索キーである「変数名：path」を用いた第二判定処理を行なう。

ここで、「ホスト名：host#1」のプログラム管理リストにて「変数名：path、プログラム配置パス：d-A/d-E/d-F/file-d」のエントリが存在する場合、宛先ＵＲＬ変換部１１ｂは、実施例１と同様に、変換ありの第二通知処理を実行する。しかし、本実施例では、図１１に示すように、プロプログラム管理リストには、「変数名：path、プログラム配置パス：d-A/d-E/d-F/file-d」のエントリが存在しない。

かかる場合、実施例２における宛先ＵＲＬ変換部１１ｂは、受信宛先ＵＲＬをそのまま転送先特定部１１ｃに通知するのではなく、図１３に示すように、受信宛先ＵＲＬの「変数名：path」および「パス名：/ d-X/d-Y/d-C/file-p」を、図１１にてデフォルトエントリとして設定されている「変数名：dir、プログラム配置パス：/d-A/d-B/d-C/file-a」に変換する。そして、宛先ＵＲＬ変換部１１ｂは、変換後宛先ＵＲＬを後述する転送先特定部１１ｃに通知する（第三通知処理：変換あり）。

すなわち、デフォルトエントリを設定することで、第二判定処理の判定結果が否定である場合に、実施例１では攻撃に失敗していたＨＴＴＰデータパケットも、囮サーバ５に転送することができる。

続いて、図１４を用いて実施例２における転送制御装置１０の処理の手順について説明する。図１４は、実施例２における転送制御装置の処理を説明するためのフローチャートである。なお、図１４に示すステップＳ２１２における処理が、図１０を用いて説明した実施例１における転送制御装置１０の処理と異なる。

図１４に示すように、実施例２における転送制御装置１０は、外部ネットワークから、自装置が転送制御する対象となる囮サーバ宛であり、プログラムファイルの変数および当該変数に対する入力値が指定されている宛先ＵＲＬを保有するＨＴＴＰデータを受信すると（ステップＳ２０１肯定）、宛先ＵＲＬ抽出部１１ａは、受信したＨＴＴＰデータが保有する宛先ＵＲＬ（受信宛先ＵＲＬ）を抽出する（ステップＳ２０２）。

そして、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬに記載されているホスト名およびパス名を特定し（ステップＳ２０３）、特定したホスト名のパス管理リストに、特定したパス名が存在するか否かを判定する（ステップＳ２０４、第一判定処理）。

ここで、特定したホスト名のパス管理リストに、特定したパス名が存在する場合（ステップＳ２０４肯定）、宛先ＵＲＬ変換部１１ｂは、転送先特定部１１ｃに対して、ステップＳ２０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬを通知する（ステップＳ２１０、変換なしの第一通知処理）。そして、転送先特定部１１ｃは、ステップＳ２０２で宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ２１１）、処理を終了する。

一方、特定したホスト名のパス管理リストに、特定したパス名が存在しない場合（ステップＳ１０４否定）、宛先ＵＲＬ変換部１１ｂは、宛先ＵＲＬ抽出部１１ａが抽出した宛先ＵＲＬに記載されている変数名を特定する（ステップＳ２０５）。

そして、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のプログラム管理リストに、特定した変数名が存在するか否かを判定する（ステップＳ２０６、第二判定処理）。

ここで、特定したホスト名のプログラム管理リストに、特定した変数名が存在する場合（ステップＳ２０６肯定）、宛先ＵＲＬ変換部１１ｂは、特定した変数名に対応付けられているプログラム配置パスに宛先ＵＲＬのパス名を変換し（ステップＳ２０７）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ２０８、変換ありの第二通知処理）。そして、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ２０９）、処理を終了する。

一方、特定したホスト名のプログラム管理リストに、特定した変数名が存在しない場合（ステップＳ２０６否定）、宛先ＵＲＬ変換部１１ｂは、特定したホスト名のプログラム管理リストにてフラグが設定されているエントリをデフォルトエントリとして、デフォルトエントリのプログラム配置パスおよび変数名にステップＳ２０２で抽出した宛先ＵＲＬのパス名および変数名を変換し（ステップＳ２１２）、転送先特定部１１ｃに対して、変換後宛先ＵＲＬを通知する（ステップＳ２０８、変換ありの第三通知処理）。そして、転送先特定部１１ｃは、変換後宛先ＵＲＬによりＨＴＴＰデータを転送し（ステップＳ２０９）、処理を終了する。

上述してきたように、実施例２によれば、デフォルトエントリを設定することにより、第二判定処理の処理結果が否定であった場合でも、宛先ＵＲＬのパス名を脆弱なプログラムファイルが配置されているパス名に変換することで攻撃を成功させることができる。その結果、攻撃防御のために抽出可能な攻撃情報量をより増加させることで、攻撃検知精度をさらに向上させることが可能となる。

なお、上記した実施例１および２では、転送制御装置１０の転送制御対象となる囮サーバが複数である場合について説明したが、本発明は、転送制御装置１０の転送制御対象となる囮サーバが１台である場合であっても適用可能である。

また、上記した実施例１および２では、転送制御装置１０の転送制御対象となる装置が脆弱なプログラムファイルを故意に搭載された囮サーバである場合について説明した。しかし、本発明は、転送制御装置１０の転送制御対象となる装置が、搭載するプログラムファイルが脆弱なプログラムファイルとなってしまう可能性があり、ＨＴＴＰデータを送受信可能な機能を有するユーザ端末である場合であっても適用可能である。また、本発明は、転送制御装置１０の転送制御対象となる装置が囮サーバおよびユーザ端末である場合であっても適用可能である。

また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

なお、本実施例で説明した転送制御方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上のように、本発明に係る転送制御方法、転送制御装置、転送制御システムおよび転送制御プログラムは、宛先ＵＲＬを保有するデータの転送を制御する場合に有用であり、特に、攻撃防御のために抽出可能な攻撃情報量を増加させることで、攻撃検知精度を向上させることに適する。

１、２、３、４ ネットワーク
５、６ 囮サーバ
７、８ ユーザ端末
１０ 転送制御装置
１１ パケット転送部
１１ａ 宛先ＵＲＬ抽出部
１１ｂ 宛先ＵＲＬ変換部
１１ｃ 転送先特定部
１２ パス管理リスト記憶部
１３ プログラム管理リスト記憶部

Claims (7)

1. ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置に適用される転送制御方法であって、
   転送制御の対象となるサーバ端末である対象サーバに搭載されているプログラムファイルの当該対象サーバにおける配置位置情報を前記転送制御装置の第一の記憶部に格納し、前記対象サーバに搭載されているプログラムファイルにて外部からの入力値指定が許容される変数の変数名と、当該プログラムファイルの配置位置情報とを対応付けた情報である変数情報を前記転送制御装置の第二の記憶部に格納する格納ステップと、
   前記対象サーバに対応する端末識別子を含み、プログラムファイルの配置位置情報とともに、当該プログラムファイルの変数および当該変数に対する入力値が指定されている宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子に入力値が指定されている変数名と一致する変数名を含む変数情報が前記第二の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定ステップと、
   前記判定ステップによる前記第一の判定処理および前記第二の判定処理の判定結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子に記載されている配置位置情報を前記第二の記憶部に格納されている前記変数情報により変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御ステップと、
   を含んだことを特徴とする転送制御方法。
2. 前記制御ステップは、
   前記第一の判定処理によって前記受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されていると判定された場合、前記受信した宛先統一資源位置指定子を用いた転送処理を行なうように制御する第一の制御処理と、
   前記第二の判定処理によって前記受信した宛先統一資源位置指定子に入力値が指定されている変数名と一致する変数名を含む変数情報が前記第二の記憶部に格納されていると判定された場合、前記受信した宛先統一資源位置指定子に記載されている配置位置情報を、当該変数名を含む変数情報の配置位置情報に変換し、変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する第二の制御処理と、
   前記第二の判定処理によって前記受信した宛先統一資源位置指定子に入力値が指定されている変数名と一致する変数名を含む変数情報が前記第二の記憶部に格納されていないと判定された場合、前記受信した宛先統一資源位置指定子を用いた転送処理を行なうように制御する第三の制御処理とを行なうことを特徴とする請求項１に記載の転送制御方法。
3. 前記変数情報格納ステップは、複数の変数情報のうちいずれか一つの変数情報を変換後情報として前記第二の記憶部に格納し、
   前記制御ステップは、前記第二の判定処理によって前記受信した宛先統一資源位置指定子に入力値が指定されている変数名と一致する変数名を含む変数情報が前記第二の記憶部に格納されていないと判定された場合、前記受信した宛先統一資源位置指定子の配置位置情報および変数名を、前記第二の記憶部に格納されている前記変換後情報の配置位置情報および変数名に変換し、変換後の宛先統一資源位置指定子を用いた転送処理を行なうように前記第三の制御処理を行なうことを特徴とする請求項２に記載の転送制御方法。
4. 複数の対象サーバへのデータの転送を制御する場合であって、
   前記格納ステップは、前記複数の対象サーバそれぞれの配置位置情報を前記第一の記憶部に格納し、かつ、前記複数の対象サーバそれぞれの変数情報を前記第二の記憶部に格納し、
   前記判定ステップは、前記受信した宛先統一資源位置指定子の端末識別子に対応する対象サーバの配置位置情報を前記第一の記憶部から検索して前記第一の判定処理を行ない、前記受信した宛先統一資源位置指定子の端末識別子に対応する対象サーバの変数情報を前記第二の記憶部から検索して前記第二の判定処理を行なうことを特徴とする請求項１〜３のいずれか一つに記載の転送制御方法。
5. ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置であって、
   転送制御の対象となるサーバ端末である対象サーバに搭載されているプログラムファイルの当該対象サーバにおける配置位置情報を記憶する配置位置情報記憶手段と、
   前記対象サーバに搭載されているプログラムファイルにて外部からの入力値指定が許容される変数の変数名と、当該プログラムファイルの配置位置情報とを対応付けた情報である変数情報を記憶する変数情報記憶手段と、
   前記対象サーバに対応する端末識別子を含み、プログラムファイルの配置位置情報とともに、当該プログラムファイルの変数および当該変数に対する入力値が指定されている宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記配置位置情報記憶手段に記憶されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子に入力値が指定されている変数名と一致する変数名を含む変数情報が前記第二の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手段と、
   前記判定手段による前記第一の判定処理および前記第二の判定処理の判定結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子に記載されている配置位置情報を前記第二の記憶部に格納されている前記変数情報により変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手段と、
   を備えたことを特徴とする転送制御装置。
6. ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御する転送制御装置を含む転送制御システムであって、
   前記転送制御装置は、
   転送制御の対象となるサーバ端末である対象サーバに搭載されているプログラムファイルの当該対象サーバにおける配置位置情報を記憶する配置位置情報記憶手段と、
   前記対象サーバに搭載されているプログラムファイルにて外部からの入力値指定が許容される変数の変数名と、当該プログラムファイルの配置位置情報とを対応付けた情報である変数情報を記憶する変数情報記憶手段と、
   前記対象サーバに対応する端末識別子を含み、プログラムファイルの配置位置情報とともに、当該プログラムファイルの変数および当該変数に対する入力値が指定されている宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記配置位置情報記憶手段に記憶されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子に入力値が指定されている変数名と一致する変数名を含む変数情報が前記第二の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手段と、
   前記判定手段による前記第一の判定処理および前記第二の判定処理の判定結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子に記載されている配置位置情報を前記第二の記憶部に格納されている前記変数情報により変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手段と、
   を備えたことを特徴とする転送制御システム。
7. ネットワークに配置されたサーバ端末を識別するための端末識別子と、ファイル名を末尾として当該ファイル名のファイルが配置されている位置を示す配置位置情報とを含んで構成される宛先統一資源位置指定子を保有するデータの転送を制御するコンピュータとしての転送制御装置に実行させる転送制御プログラムであって、
   転送制御の対象となるサーバ端末である対象サーバに搭載されているプログラムファイルの当該対象サーバにおける配置位置情報を前記転送制御装置の第一の記憶部に格納し、前記対象サーバに搭載されているプログラムファイルにて外部からの入力値指定が許容される変数の変数名と、当該プログラムファイルの配置位置情報とを対応付けた情報である変数情報を前記転送制御装置の第二の記憶部に格納する格納手順と、
   前記対象サーバに対応する端末識別子を含み、プログラムファイルの配置位置情報とともに、当該プログラムファイルの変数および当該変数に対する入力値が指定されている宛先統一資源位置指定子を保有するデータを受信した場合に、当該受信した宛先統一資源位置指定子における配置位置情報と一致する配置位置情報が前記第一の記憶部に格納されているか否かを判定する第一の判定処理と、前記第一の判定処理の判定結果が否定であった場合、前記受信した宛先統一資源位置指定子に入力値が指定されている変数名と一致する変数名を含む変数情報が前記第二の記憶部に格納されているか否かを判定する第二の判定処理とを行なう判定手順と、
   前記判定手順による前記第一の判定処理および前記第二の判定処理の判定結果に基づいて、前記受信した宛先統一資源位置指定子を用いた転送処理、または、前記受信した宛先統一資源位置指定子に記載されている配置位置情報を前記第二の記憶部に格納されている前記変数情報により変換した変換後の宛先統一資源位置指定子を用いた転送処理を行なうように制御する制御手順と、
   をコンピュータに実行させることを特徴とする転送制御プログラム。

Images