JP2018045323A - 計算機システム、アクセス制御方法、及び計算機 - Google Patents

Abstract

【課題】外部サイトの評価を伴うアクセス制御ではユーザビリティが低下する。【解決手段】端末とコンテンツを提供するサーバとの間のアクセスを制御する計算機を含む計算機システムであって、計算機は、端末とサーバとの間の通信を制御するアクセス中継モジュールと、アクセス先の安全性を評価する複数の評価処理を含む総合評価処理を実行する評価モジュールと、総合評価処理の実行中であることを示す通知を生成する待機通知生成モジュールと、総合評価処理が完了する前に、アクセス中継モジュールと連携して、所定のアクセス制御に基づいて端末とサーバとの間のアクセスを実現する防御策実行モジュールと、を有する。【選択図】 図２

Description

本発明は、安全性を確保したネットワークへのアクセスを実現する技術に関する。

昨今、企業等の組織において、標的型攻撃等のサイバー攻撃の脅威が増大しており、組織の機密情報等を守るためにもサイバー攻撃への対策が急務となっている。

サイバー攻撃の中には、攻撃活動を行う上でウィルスに感染した組織外のサイト（サーバ）へのアクセスを伴うものがある。例えば、組織の従業員を悪性サイトに誘導して、コンピュータへマルウェアを感染させ、当該マルウェアが攻撃者からの指令を受信するためにＣ＆Ｃ（Ｃｏｍｍａｎｄ ａｎｄ Ｃｏｎｔｒｏｌ）サーバに接続する。

したがって、サイバー攻撃による組織の被害を防ぐために、攻撃に使われるサイトへのアクセスを検知し、遮断する技術が必要になる。以下の説明では、サイバー攻撃時に使用されるサイトを悪性サイトと記載する。

悪性サイトへのアクセスを遮断する方法として、ブラックリストを用いるアクセス制御が一般的に使用される。ブラックリストはアクセスが禁止されたサイトのリストである。ブラックリストを用いるアクセス制御では、中継装置等の装置が、外部サイトへアクセスを行う場合、アクセス先のサイトがブラックリストに登録されているか否かを判定し、アクセス先のサイトがブラックリストに登録されている場合、当該サイトへのアクセスを遮断する。

しかし、前述の方法では、悪性サイトが事前にブラックリストに登録されている必要があるため、ブラックリストに登録されていないサイトへのアクセスを遮断できないという問題がある。この問題を解決する技術として特許文献１に記載された技術がある。

特許文献１には、「悪性Ｗｅｂサイト判定装置１０は、ユーザＰＣ１００がアクセスを試みるＷｅｂサイトのＵＲＬ等の情報を装置内に取り込む入力部１１と、装置内に実現された仮想環境の下で上記ＵＲＬに代理アクセスして代理アクセス前後のＯＳのパラメータの変更内容を検知して変更内容リストを作成する代理アクセス実行部１２と、良性の変更内容がリスト化されたホワイトリストが登録された判定データベース１３と、変更内容リストとホワイトリストとを照合して判定結果を出力する判定部１４と、判定結果が良性の場合にはＷｅｂサイトへのアクセスを許可し、悪性の場合にはアクセスを許可せずに警告情報をユーザ端末１００に通知する許可部１５とを備える。」ことが記載されている。

特開２００９−２２３３７５号公報

特許文献１に記載の技術では、アクセス先のサイトが悪性サイトであるか否かを判定している時に、当該アクセスに対するユーザへの応答は行われない。一般的に、仮想環境を用いた判定方法では、一定時間、仮想環境内におけるソフトウェア等の挙動を観測する必要がある。当該観測の時間は分単位になる。したがって、ユーザへの応答が行われないことから、外部サイトへのアクセスが中断された状態になるため、ユーザビリティが低いという問題がある。

本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、端末とコンテンツを提供するサーバとの間のアクセスを制御する計算機を含む計算機システムであって、前記計算機は、プロセッサ、前記プロセッサに接続されるメモリ、及び前記プロセッサに接続されるネットワークインタフェースを有し、前記端末と前記サーバとの間の通信を制御するアクセス中継モジュールと、アクセス先の安全性を評価する複数の評価処理を含む総合評価処理を実行する評価モジュールと、前記総合評価処理の実行中であることを示す通知を生成する待機通知生成モジュールと、前記総合評価処理が完了する前に、前記アクセス中継モジュールと連携して、所定のアクセス制御に基づいて前記端末と前記サーバとの間のアクセスを実現する防御策実行モジュールと、を有することを特徴とする。

本発明によれば、ユーザに通知を行うとともに、評価中に、安全性を確保したサーバへのアクセス手段を提供できる。これによって、ユーザビリティを向上させることができる。上記した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。

実施例１の計算機システムの構成例を示す図である。 実施例１のアクセス制御装置のソフトウェア構成を説明する図である。 実施例１の評価履歴ＤＢの一例を示す図である。 実施例１の評価方式ＤＢの一例を示す図である。 実施例１のアクセス履歴ＤＢの一例を示す図である。 実施例１の防御策ＤＢの一例を示す図である。 実施例１のアクセス中継モジュールが実行する処理を説明するフローチャートである。 実施例１の待機通知生成モジュールが実行する処理を説明するフローチャートである。 実施例１の待機画面の一例を示す図である。 実施例１の評価モジュールが実行する処理を説明するフローチャートである。 実施例１の評価モジュールが実行する処理を説明するフローチャートである。 実施例１の防御策実行モジュールが実行する処理を説明するフローチャートである。 実施例１の事後対応モジュールが実行する処理を説明するフローチャートである。

以下、添付図面を参照して本発明の実施例を説明する。各図において共通の構成については同一の参照符号が付されている。また、以下の説明では、データベースを「ＤＢ」と省略する場合もある。

図１は、実施例１の計算機システム１００の構成例を示す図である。

計算機システム１００は、アクセス制御装置１０１、ユーザ端末１０３、及びインターネット１０５から構成される。なお、アクセス制御装置１０１及びユーザ端末１０３の数は、二つ以上であってもよい。

アクセス制御装置１０１は、ネットワーク１０２を介してユーザ端末１０３と接続し、また、ネットワーク１０４を介してインターネット１０５と接続する。ネットワーク１０２、１０４は、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）及びＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等が考えられる。なお、本実施例では、ネットワーク１０２、１０４の種別に限定されない。また、ネットワーク１０２、１０４の接続方式は、無線及び有線のいずれであってもよい。

ユーザ端末１０３は、組織の従業員等のユーザが使用する端末である。インターネット１０５には、コンテンツを提供するサーバが含まれる。本実施例では、Ｗｅｂコンテンツを提供するサーバを例に説明する。アクセス制御装置１０１は、ユーザ端末１０３からインターネット１０５へのアクセスを制御する。

アクセス制御装置１０１の実装形態としては、組織内のシステムにアクセス制御装置１０１を組み込む形態が考えられる。この場合、ネットワーク１０２は内部ネットワークとなり、ネットワーク１０４は外部ネットワークとなる。

ここで、アクセス制御装置１０１のハードウェア構成について説明する。アクセス制御装置１０１は、演算装置１１１、主記憶装置１１２、副記憶装置１１３、通信装置１１４、入力装置１１５、及び表示装置１１６を有する。前述した各構成は、内部バス等を介して互いに接続される。

演算装置１１１は、主記憶装置１１２に格納されるプログラムを実行する。演算装置１１１がプログラムを実行することによってアクセス制御装置１０１が有する機能を実現できる。演算装置１１１は、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）及びＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等が考えられる。以下の説明では、プログラムを主語に処理を説明する場合、演算装置１１１が当該プログラムを実行していることを示す。

主記憶装置１１２は、演算装置１１１が実行するプログラム及びプログラムが使用する情報を格納する。また、主記憶装置１１２は、プログラムが使用するワークエリアを含む。主記憶装置１１２は、例えば、メモリ等が考えられる。主記憶装置１１２に格納されるプログラム及び情報は、図２を用いて説明する。

副記憶装置１１３は、データを永続的に格納する。副記憶装置１１３は、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）及びＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等が考えられる。

主記憶装置１１２に格納されるプログラム及び情報は、副記憶装置１１３に格納されてもよい。この場合、演算装置１１１は、副記憶装置１１３からプログラム及び情報を読み出し、主記憶装置１１２に読み出されたプログラム及び情報をロードする。

なお、プログラムは、ＣＤ若しくはＤＶＤ等の光学記録媒体、ＭＯ等の光磁気記録媒体、テープ媒体、磁気記録媒体、又は、半導体メモリ等の記録媒体から読み出されてもよい。また、ネットワーク１０４を介して接続された装置からプログラムが取得されてもよい。

通信装置１１４は、ネットワークを介して他の装置と通信を行うインタフェースである。通信装置１１４は、例えば、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）等が考えられる。通信装置１１４は、外部装置から受信したデータを演算装置１１１に出力し、また、演算装置１１１から出力されたデータを外部装置に送信する。

入力装置１１５は、各種情報を入力するための装置である。入力装置１１５は、キーボード、マウス、及びタッチパネル等が考えられる。表示装置１１６は、各種情報を表示するための装置である。入力装置１１５を介して入力されたデータは、演算装置１１１に出力される。

表示装置１１６は、演算装置１１１から出力されたデータを表示する。表示装置１１６は、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）が考えられる。

なお、アクセス制御装置１０１は、入力装置１１５及び表示装置１１６を有していなくてもよい。この場合、管理者は、アクセス制御装置１０１に接続する装置を用いて、アクセス制御装置１０１にデータを入力し、また、アクセス制御装置１０１からデータを取得する。

なお、ユーザ端末１０３及びサーバのハードウェア構成は、アクセス制御装置１０１と同様のものである。

なお、アクセス制御装置１０１、ユーザ端末１０３、及びサーバは、仮想計算機を用いて実現されてもよい。

図２は、実施例１のアクセス制御装置１０１のソフトウェア構成を説明する図である。

主記憶装置１１２は、アクセス中継モジュール２０１、評価モジュール２０２、待機通知生成モジュール２０３、防御策実行モジュール２０４、及び事後対応モジュール２０５を実現するプログラムを格納する。また、主記憶装置１１２は、評価履歴ＤＢ２０６、評価方式ＤＢ２０７、アクセス履歴ＤＢ２０８、及び防御策ＤＢ２０９を格納する。なお、各データベースは、副記憶装置１１３に格納されてもよい。

アクセス中継モジュール２０１は、ユーザ端末１０３から外部サイトへのアクセス要求を受け付け、ユーザ端末１０３と外部サイト（サーバ）との間のアクセス中継処理を実行する。

評価モジュール２０２は、評価方式ＤＢ２０７に登録された評価方法にしたがって、アクセス先の外部サイトに対して総合評価処理を実行する。総合評価処理では、評価方法が異なる複数の評価処理が並列に実行される。

待機通知生成モジュール２０３は、総合評価処理が実行中であり、外部サイトへのアクセスを中断している旨を示す通知を生成する。本実施例では、待機画面９００（図９参照）を表示するためのデータが当該通知として生成される。図９に示すように、待機画面９００には、評価処理が完了するまでアクセスが中断されていることを示すメッセージ等が含まれる。

防御策実行モジュール２０４は、総合評価処理の実行中に、ユーザ端末１０３から外部サイトへのアクセス指示を受け付けた場合、サイバー攻撃を防ぐための防御策として、所定のアクセス制御を選択する。また、防御策実行モジュール２０４は、アクセス中継モジュール２０１と連携して、所定のアクセス制御に基づいて外部サイトへのアクセスを実現する。これによって、評価中であっても、サイバー攻撃に対する危険を低減しつつ、外部サイトへのアクセスを実現できる。

事後対応モジュール２０５は、防御策実行モジュール２０４によって選択されたアクセス制御に基づく外部サイトへのアクセス中に、評価モジュール２０２によって外部サイトが悪性サイトであると判定された場合、事後的に所定の対応処理を実行する。

評価履歴ＤＢ２０６は、過去の総合評価処理の結果及び現在実行中の総合評価処理の状態を示すデータを格納する。評価履歴ＤＢ２０６の詳細は、図３を用いて説明する。

評価方式ＤＢ２０７は、評価処理の内容を定義するデータを格納する。評価方式ＤＢ２０７の詳細は、図４を用いて説明する。

アクセス履歴ＤＢ２０８は、総合評価処理の実行中に外部サイトへのアクセスを行ったユーザ等を管理するデータを格納する。アクセス履歴ＤＢ２０８の詳細は、図５を用いて説明する。

防御策ＤＢ２０９は、防御策実行モジュール２０４が使用するアクセス制御（防御策）を定義するデータを格納する。防御策ＤＢ２０９の詳細は、図６を用いて説明する。

なお、各モジュール及び各データベースは、複数のアクセス制御装置１０１に分散させてもよい。

ここで、図３から図６を用いて各データベースの詳細について説明する。

図３は、実施例１の評価履歴ＤＢ２０６の一例を示す図である。

評価履歴ＤＢ２０６は、ＩＤ３０１、開始日時３０２、アクセス先３０３、総合評価結果３０４、評価方法３０５、評価結果３０６、及び有効期限３０７から構成されるエントリを含む。一つのエントリは、一つのサイトに対する総合評価処理の結果を表す。以下の説明では総合評価処理の結果を総合評価結果と記載し、また、総合評価処理に含まれる各評価処理の結果を評価結果と記載する。

ＩＤ３０１は、評価履歴ＤＢ２０６に格納されるエントリを一意に識別するための識別情報である。アクセス先３０３は、アクセス先の外部サイトの識別情報である。アクセス先３０３には、サイト名、ＵＲＬ、又はＩＰアドレス等が格納される。開始日時３０２は、アクセス先３０３に対応する外部サイトの総合評価処理が開始された日時である。

総合評価結果３０４は、複数の評価結果に基づいて算出された総合評価結果を格納する。総合評価結果３０４には、評価種別及び総合評価スコアが含まれる。総合評価スコアは、一つの外部サイトに対して実行される複数の評価処理の評価結果から算出される値である。評価種別は、外部サイトの属性を表す値であり、総合評価スコアに基づいて決定される。

本実施例の評価種別には、「危険」、「安全」、及び「評価中」が存在する。「危険」は外部サイトが悪性サイトであることを示し、「安全」は外部サイトが安全なサイトであることを示し、「評価中」は総合評価処理が実行中であることを示す。また、評価種別が「評価中」である場合、総合評価結果３０４には、総合評価処理が完了するまでの時間（予測時間）が格納される。

評価方法３０５は、総合評価処理に含まれる各評価処理の種別を示す。評価結果３０６は、評価方法３０５に対応する評価結果である。有効期限３０７は、評価結果３０６に格納される評価結果の有効期限である。

本実施例の総合評価処理では、五つの評価処理が並列に実行される。したがって、一つのエントリの評価方法３０５、評価結果３０６、及び有効期限３０７には、五つの行が含まれる。

図４は、実施例１の評価方式ＤＢ２０７の一例を示す図である。

評価方式ＤＢ２０７は、ＩＤ４０１、評価方法４０２、スコアリング４０３、有効期間４０４、重み４０５、及び評価時間４０６から構成されるエントリを含む。一つのエントリは、一つの評価方法に対応する評価処理を表す。

ＩＤ４０１は、評価方式ＤＢ２０７に格納されるエントリを一意に識別するための識別情報である。評価方法４０２は、評価処理の種別を示す情報である。評価方法４０２には、評価処理の種別を示すデータが格納されてもよいし、評価処理を実行するための関数又は処理モジュールが格納されてもよい。

スコアリング４０３は、評価方法４０２に対応する評価処理の結果をスコアに換算するための情報である。有効期間４０４は、評価結果の有効期限を算出するための期間である。一つの評価処理に対して一つの期間を設定してもよいし、一つの評価処理の結果毎に異なる期間を設定してもよい。重み４０５は、総合評価スコアを算出する場合に使用される重みである。評価時間４０６は、評価方法４０２に対応する評価処理の処理時間である。

本実施例では、五種類の評価処理が実行される。ＩＤ４０１が「１」の評価処理では、評価モジュール２０２は、外部サイトのＩＰアドレスに基づいてサーバの所在国を確認する。ＩＤ４０１が「２」の評価処理では、評価モジュール２０２は、外部サイトのドメイン登録情報を確認し、ドメイン取得後の経過時間を確認する。ＩＤ４０１が「３」の評価処理では、評価モジュール２０２は、外部のレピュテーションＤＢを参照する。ＩＤ４０１が「４」の評価処理では、評価モジュール２０２は、外部サイトのコンテンツを取得し、外部スクリプトの読み込みを確認する。ＩＤ４０１が「５」の評価処理では、評価モジュール２０２は、サンドボックスを用いて外部サイトへアクセスし、悪意のある挙動を確認する。

図５は、実施例１のアクセス履歴ＤＢ２０８の一例を示す図である。

アクセス履歴ＤＢ２０８は、ＩＤ５０１、参照ＩＤ５０２、ユーザ名５０３、アクセス時刻５０４、及び防御策５０５から構成されるエントリを含む。一つのエントリは、一つのアクセスを表す。

ＩＤ５０１は、アクセス履歴ＤＢ２０８に格納されるエントリを一意に識別するための識別情報である。参照ＩＤ５０２は、実行中の総合評価処理を特定するための識別情報である。参照ＩＤ５０２には、実行中の総合評価処理に対応するエントリのＩＤ３０１の値が格納される。ユーザ名５０３は、総合評価処理の実行中に、外部サイトへのアクセスを指示したユーザの識別情報である。アクセス時刻５０４は、アクセス制御（防御策）に基づいて外部サイトへのアクセスが開始された時刻である。防御策５０５は、アクセス制御の種別を示す情報である。防御策５０５には、アクセス制御を示すデータが格納されてもよいし、アクセス制御を実現するための関数又は処理モジュールが格納されてもよい。

図６は、実施例１の防御策ＤＢ２０９の一例を示す図である。

防御策ＤＢ２０９は、ＩＤ６０１、防御策６０２、及び内容６０３から構成されるエントリを含む。一つのエントリは、一つのアクセス制御（防御策）を表す。

ＩＤ６０１は、防御策ＤＢ２０９に格納されるエントリを一意に識別するための識別情報である。防御策６０２は、アクセス制御の種別を示す情報である。防御策６０２には、アクセス制御を示すデータが格納されてもよいし、アクセス制御を実現するための関数又は処理モジュールが格納されてもよい。内容６０３は、防御策の具体的な内容を示す情報である。

本実施例では、三種類のアクセス制御が使用される。ＩＤ６０１が「１」のアクセス制御は、防御策実行モジュール２０４が、サンドボックスを用いて外部サイトにアクセスして、スクリーンショットを取得し、ユーザ端末１０３にスクリーンショットを提供する。ＩＤ６０１が「２」のアクセス制御は、防御策実行モジュール２０４が、ネットワークの設定を変更して、ユーザ端末１０３をネットワーク的に隔離した上で、外部サイトへのアクセスを中継する。ＩＤ６０１が「３」のアクセス制御は、防御策実行モジュール２０４が、外部サイトが提供するコンテンツからスクリプト部分を除外し、当該コンテンツをユーザに提供する。

図７は、実施例１のアクセス中継モジュール２０１が実行する処理を説明するフローチャートである。

アクセス中継モジュール２０１は、ユーザ端末１０３から任意のサイトへのアクセス要求を受信した場合（ステップＳ７０１）、当該アクセス要求からアクセス先を示すアクセス先情報を取得する（ステップＳ７０２）。アクセス先情報には、サイト名、ＵＲＬ、又はＩＰアドレス等のアクセス先のサイトを特定するための情報が含まれる。

次に、アクセス中継モジュール２０１は、評価履歴ＤＢ２０６を参照し、アクセス先のサイトに関する総合評価結果を検索する（ステップＳ７０３）。具体的には、アクセス中継モジュール２０１は、アクセス先３０３がアクセス先情報に一致するエントリを検索する。また、アクセス中継モジュール２０１は、検索結果に基づいて、アクセス先のサイトに関する総合評価結果が存在するか否かを判定する（ステップＳ７０４）。

アクセス先のサイトに関する総合評価結果が存在しないと判定された場合、アクセス中継モジュール２０１は、評価モジュール２０２を呼び出し、総合評価処理の実行を指示する（ステップＳ７０５）。アクセス中継モジュール２０１は、評価モジュール２０２を呼び出す場合、アクセス先情報をパラメータとして入力する。後述するように、アクセス中継モジュール２０１は、評価モジュール２０２から総合評価処理の完了時間を取得する。ここで、総合評価処理の完了時間とは、総合評価処理が完了するまでに要する予測時間を表す。

次に、アクセス中継モジュール２０１は、総合評価処理の完了時間を取得した後、待機通知生成モジュール２０３を呼び出し、待機画面の生成処理の実行を指示する（ステップＳ７０６）。アクセス中継モジュール２０１は、待機通知生成モジュール２０３を呼び出す場合、アクセス先情報及び総合評価処理の完了時間をパラメータとして入力する。

次に、アクセス中継モジュール２０１は、待機通知生成モジュール２０３から待機画面９００（図９参照）の表示データを受け付けた場合、ユーザ端末１０３に当該表示データを応答する（ステップＳ７０７）。その後、アクセス中継モジュール２０１は、処理を終了する。

ステップＳ７０４において、アクセス先のサイトに関する総合評価結果が存在すると判定された場合、アクセス中継モジュール２０１は、総合評価結果に有効期限を経過した評価結果が存在するか否かを判定する（ステップＳ７０８）。

具体的には、アクセス中継モジュール２０１は、検索されたエントリの有効期限３０７に含まれる各行の有効期限と、現在時刻とを比較し、有効期限が切れた評価結果が含まれるか否かを判定する。

総合評価結果に有効期限を経過した評価結果が存在すると判定された場合、アクセス中継モジュール２０１は、ステップＳ７０５に進む。

総合評価結果に有効期限を経過した評価結果が存在しないと判定された場合、アクセス中継モジュール２０１は、評価種別が「安全」であるか否かを判定する（ステップＳ７０９）。

具体的には、アクセス中継モジュール２０１は、検索されたエントリの総合評価結果３０４に「安全」が格納されているか否かを判定する。

評価種別が「安全」であると判定された場合、アクセス中継モジュール２０１は、受信したアクセス要求を外部サイト（サーバ）に送信し、外部サイト（サーバ）から送信されたコンテンツをユーザ端末１０３に応答する（ステップＳ７１０）。その後、アクセス中継モジュール２０１は、処理を終了する。

評価種別が「安全」でないと判定された場合、アクセス中継モジュール２０１は、評価種別が「評価中」であるか否かを判定する（ステップＳ７１１）。

評価種別が「評価中」であると判定された場合、アクセス中継モジュール２０１は、評価モジュール２０２から総合評価処理の完了時間を取得し（ステップＳ７１２）、その後、ステップＳ７０６に進む。

評価種別が「評価中」でないと判定された場合、すなわち、評価種別が「危険」である場合、アクセス中継モジュール２０１は、アクセス拒否画面を表示するデータをユーザ端末１０３に応答する（ステップＳ７１３）。その後、アクセス中継モジュール２０１は、処理を終了する。

図８は、実施例１の待機通知生成モジュール２０３が実行する処理を説明するフローチャートである。

待機通知生成モジュール２０３は、アクセス中継モジュール２０１から呼び出された場合、処理を開始する。

待機通知生成モジュール２０３は、アクセス中継モジュール２０１によって入力されたアクセス先情報及び総合評価処理の完了時間を取得する（ステップＳ８０１）。

待機通知生成モジュール２０３は、アクセス先情報及び総合評価処理の完了時間を含む待機画面９００（図９参照）の表示データを生成し（ステップＳ８０２）、処理を終了する。なお、待機通知生成モジュール２０３は、生成した待機画面の表示データをアクセス中継モジュール２０１に出力する。

図９は、実施例１の待機画面９００の一例を示す図である。

待機画面９００は、タイトル表示フィールド９０１、説明表示フィールド９０２、及び操作ボタン９０３を含む。

タイトル表示フィールド９０１は、総合評価処理が実行中であることを示す表示するフィールドである。

説明表示フィールド９０２は、外部サイトの情報、総合評価処理の完了時間、総合評価処理の残り時間、及びその他の情報を表示するフィールドである。説明表示フィールド９０２は、総合評価処理に含まれる各評価処理の実行状態等を示す情報が含まれてもよい。

総合評価処理の残り時間は、アクセス中継モジュール２０１、評価モジュール２０２、又は待機通知生成モジュール２０３のいずれかがカウントし、カウントされた残り時間が説明表示フィールド９０２にリアルタイムに表示される。

本実施例では、総合評価処理の残り時間が０になった場合（完了時間を経過した場合）、アクセス中継モジュール２０１が、自動的に、外部サイトへのアクセスを行う。なお、前述の処理は一例であって、これに限定されない。例えば、総合評価処理の残り時間が０になった場合、アクセス中継モジュール２０１及び待機通知生成モジュール２０３が連携して、待機時間を経過した旨をユーザ端末１０３に通知してもよい。

操作ボタン９０３は、総合評価処理が完了する前に、外部サイトへのアクセスを指示するための操作ボタンである。当該ボタンを操作された場合、アクセス中継モジュール２０１は、当該操作をアクセス指示として受け付け、防御策実行モジュール２０４を呼び出す。

図１０Ａ及び図１０Ｂは、実施例１の評価モジュール２０２が実行する処理を説明するフローチャートである。

評価モジュール２０２は、アクセス中継モジュール２０１から呼び出された場合、処理を開始する。

評価モジュール２０２は、アクセス中継モジュール２０１から入力されたアクセス先情報を取得する（ステップＳ１００１）。評価モジュール２０２は、評価履歴ＤＢ２０６を参照し、アクセス先の外部サイトに関する総合評価結果を取得する（ステップＳ１００２）。

具体的には、評価モジュール２０２は、アクセス先３０３がアクセス先情報に一致するエントリを検索し、当該エントリの値を取得する。

次に、評価モジュール２０２は、総合評価結果に含まれる評価結果の中から有効期限が経過していない評価結果を特定する（ステップＳ１００３）。

具体的には、評価モジュール２０２は、検索されたエントリの有効期限３０７に含まれる各行の有効期限と、現在時刻とを比較し、有効期限が経過していない評価結果を特定する。

次に、評価モジュール２０２は、評価履歴ＤＢ２０６にエントリを追加する（ステップＳ１００４）。具体的には、以下のような処理が実行される。

評価モジュール２０２は、評価履歴ＤＢ２０６にエントリを追加し、追加されたエントリのＩＤ３０１にエントリの識別情報を設定する。また、評価モジュール２０２は、追加されたエントリの開始日時３０２に現在時刻を設定し、アクセス先３０３にアクセス先情報を設定する。

評価モジュール２０２は、追加されたエントリの評価方法３０５、評価結果３０６、及び有効期限３０７に、ステップＳ１００３において特定された評価結果の数だけ行を生成する。評価モジュール２０２は、ステップＳ１００３において特定された評価結果（評価方法３０５、評価結果３０６、及び有効期限３０７）を、追加されたエントリの対応する行にコピーする。以上がステップＳ１００４の処理の説明である。

次に、評価モジュール２０２は、実行する評価処理を特定する（ステップＳ１００５）。具体的には、評価モジュール２０２は、評価方式ＤＢ２０７を参照し、追加されたエントリに登録されていない評価処理を特定する。また、評価モジュール２０２は、特定された評価処理を開始する（ステップＳ１００６）。すなわち、総合評価処理が開始される。

本実施例では、有効期限が経過した評価結果に対応する評価処理が並列に実行される。なお、評価処理は、例えば、プロセス又はタスクとして実行される。

次に、評価モジュール２０２は、総合評価処理の完了時間を算出する（ステップＳ１００７）。

具体的には、評価モジュール２０２は、特定された評価処理に対応するエントリの評価時間４０６を参照し、最も長い時間を総合評価処理の完了時間として算出する。評価モジュール２０２は、算出された総合評価処理の完了時間をアクセス中継モジュール２０１に出力する。

次に、評価モジュール２０２は、総合評価処理に含まれる全ての評価処理が完了したか否かを判定する（ステップＳ１００８）。

具体的には、評価モジュール２０２は、ステップＳ１００４において、追加されたエントリの評価結果３０６の全ての行に値が設定されているか否かを判定する。追加されたエントリの評価結果３０６の全ての行に値が設定されている場合、評価モジュール２０２は、総合評価処理に含まれる全ての評価処理が完了したと判定する。

総合評価処理に含まれる全ての評価処理が完了していないと判定された場合、評価モジュール２０２は、実行中の評価処理の完了を検知するまで待機状態に移行する（ステップＳ１００９）。評価モジュール２０２は、任意の評価処理の完了を検知した場合、評価履歴ＤＢ２０６に評価結果を設定する（ステップＳ１０１０）。

具体的には、評価モジュール２０２は、ステップＳ１００４において追加されたエントリを参照し、完了した評価処理に対応する行の評価結果３０６に評価結果を設定する。また、評価モジュール２０２は、評価方式ＤＢ２０７を参照し、完了した評価処理に対応するエントリの評価時間４０６に基づいて、有効期限を算出する。評価モジュール２０２は、完了した評価処理に対応する行の有効期限３０７に有効期限を設定する。なお、評価処理において有効期限が算出されてもよい。

次に、評価モジュール２０２は、総合評価スコアを算出し（ステップＳ１０１１）、評価履歴ＤＢ２０６に算出された総合評価スコアを設定する（ステップＳ１０１２）。その後、評価モジュール２０２は、ステップＳ１００８に戻る。具体的には、以下のような処理が実行される。

評価モジュール２０２は、ステップＳ１００４において追加されたエントリを参照し、評価結果３０６に値が設定された評価処理を特定する。評価モジュール２０２は、特定された行の評価処理から対象の評価処理を一つ選択する。評価モジュール２０２は、評価方式ＤＢ２０７を参照し、選択された評価処理に対応するエントリのスコアリング４０３、及び選択された評価処理の評価結果に基づいて、スコアを算出する。さらに、評価モジュール２０２は、重み４０５の値をスコアに乗算することによって、選択された評価処理の評価スコアを算出する。評価モジュール２０２は、特定された全ての評価処理について同様の処理を実行する。

評価モジュール２０２は、特定された全ての評価処理の評価スコアを合計することによって総合評価スコアを算出する。評価モジュール２０２は、ステップＳ１００４において追加されたエントリの総合評価結果３０４に、算出された総合評価スコアを設定する。以上がステップＳ１０１１及びステップＳ１０１２の処理の説明である。

ステップＳ１００８において、総合評価処理に含まれる全ての評価処理が完了したと判定された場合、評価モジュール２０２は、総合評価スコアが閾値より大きいか否かを判定する（ステップＳ１０１３）。閾値は、予め設定されているものとする。なお、閾値は、任意のタイミングで更新できる。

総合評価スコアが閾値より大きいと判定された場合、評価モジュール２０２は、ステップＳ１００４において追加されたエントリの総合評価結果３０４に評価種別「危険」を設定する（ステップＳ１０１４）。

次に、評価モジュール２０２は、事後対応モジュール２０５を呼び出す（ステップＳ１０１５）。その後、評価モジュール２０２は、処理を終了する。評価モジュール２０２は、事後対応モジュール２０５を呼び出す場合、ステップＳ１００４において追加されたエントリのＩＤ３０１の値をパラメータとして入力する。

ステップＳ１０１３において、総合評価スコアが閾値以下であると判定された場合、評価モジュール２０２は、ステップＳ１００４において追加されたエントリの総合評価結果３０４に評価種別「安全」を設定する（ステップＳ１０１６）。その後、評価モジュール２０２は、処理を終了する。

なお、本実施例では、全てのサイトに対して同じ評価処理を実行しているが、これに限定されない。例えば、アクセス先に応じて実行する評価処理を変更してもよい。この場合、評価方式ＤＢ２０７にアクセス先の属性を示すカラムを追加する方法が考えられる。これによって、アクセス先の属性毎に実行する評価処理を任意に設定できる。

なお、評価モジュール２０２は、評価種別が「危険」である外部サイトをブラックリストに登録し、評価種別が「安全」である外部サイトをホワイトリストに登録してもよい。この場合、アクセス中継モジュール２０１は、当該リストに基づいて、アクセスの可否を判定する。リストに登録されていない場合、ステップＳ７０２以降の処理を実行する。

図１０Ａ及び図１０Ｂでは、評価モジュール２０２は、アクセス中継モジュール２０１からの呼び出しを契機に処理を開始していたが、これに限定されない。例えば、評価モジュール２０２は、周期的に、評価履歴ＤＢ２０６を参照して、有効期限と現在時刻との間が所定の閾値以下の評価処理を特定し、特定された評価処理を実行する。これによって、各評価結果の有効期限が経過しないため、図１０Ａ及び図１０Ｂの処理コストを低減させることができる。

図１１は、実施例１の防御策実行モジュール２０４が実行する処理を説明するフローチャートである。

待機画面９００の操作ボタン９０３が操作された場合、防御策実行モジュール２０４は処理を開始する。

防御策実行モジュール２０４は、防御策ＤＢ２０９を参照して、防御策の一覧を表示するためのデータを生成し（ステップＳ１１０１）、当該データをアクセス中継モジュール２０１に出力する（ステップＳ１１０２）。

アクセス中継モジュール２０１は、当該データをユーザ端末１０３に送信する。ユーザ端末１０３を操作するユーザは、防御策の一覧を参照して、使用する防御策を選択する。ユーザ端末１０３は、選択された防御策に関する情報を含むデータをアクセス中継モジュール２０１に送信する。当該データには、防御策の識別情報及びユーザ端末１０３の識別情報が含まれる。アクセス中継モジュール２０１は、受信したデータ及びアクセス先情報を防御策実行モジュール２０４に出力する。

次に、防御策実行モジュール２０４は、アクセス履歴ＤＢ２０８にエントリを追加する（ステップＳ１１０３）。具体的には、以下のような処理が実行される。

防御策実行モジュール２０４は、アクセス先情報に基づいて評価履歴ＤＢ２０６を参照し、実行中の総合評価処理のエントリを検索する。すなわち、防御策実行モジュール２０４は、アクセス先３０３がアクセス先情報に一致し、かつ、総合評価結果３０４に「評価中」が設定されたエントリを検索する。

防御策実行モジュール２０４は、アクセス履歴ＤＢ２０８のエントリを追加し、追加されたエントリのＩＤ５０１にエントリの識別情報を設定する。また、防御策実行モジュール２０４は、追加されたエントリの参照ＩＤ５０２に、評価履歴ＤＢ２０６から検索されたエントリのＩＤ３０１の値を設定する。

防御策実行モジュール２０４は、追加されたエントリのユーザ名５０３にユーザ端末１０３の識別情報を設定し、また、アクセス時刻５０４に現在時刻を設定する。さらに、防御策実行モジュール２０４は、追加されたエントリの防御策５０５に防御策の識別情報を設定する。以上がステップＳ１１０３の処理の説明である。

次に、防御策実行モジュール２０４は、アクセス中継モジュール２０１と連携して、ユーザによって選択された防御策（アクセス制御）を実行して、外部サイトへアクセスする（ステップＳ１１０４）。アクセスが完了した場合、又は、アクセスが遮断された場合、防御策実行モジュール２０４は、処理を終了する。

図１２は、実施例１の事後対応モジュール２０５が実行する処理を説明するフローチャートである。

評価モジュール２０２によって呼び出された場合、事後対応モジュール２０５は処理を開始する。

事後対応モジュール２０５は、評価モジュール２０２から入力された評価履歴ＤＢ２０６のＩＤを取得する（ステップＳ１２０１）。

事後対応モジュール２０５は、アクセス履歴ＤＢ２０８を参照して、取得したＩＤに一致するエントリを検索する（ステップＳ１２０２）。事後対応モジュール２０５は、検索結果に基づいて、取得したＩＤに一致するエントリが存在するか否かを判定する（ステップＳ１２０３）。

具体的には、事後対応モジュール２０５は、参照ＩＤ５０２が取得したＩＤに一致するエントリを検索する。

取得したＩＤに一致するエントリが存在しないと判定された場合、事後対応モジュール２０５は、処理を終了する。

取得したＩＤに一致するエントリが存在すると判定された場合、事後対応モジュール２０５は、システム管理者にアラートを通知する（ステップＳ１２０４）。その後、事後対応モジュール２０５は、処理を終了する。

アラートには、ステップＳ１２０２において検索されたエントリのユーザ名５０３、アクセス時刻５０４、及び防御策５０５の値等が含まれる。

なお、事後対応モジュール２０５は、管理者にアラートを通知する代わりに、別の対応処理を実行してもよい。例えば、事後対応モジュール２０５は、特定されたエントリに対応するユーザが使用するユーザ端末１０３へのアラートの通知、ユーザ端末１０３の隔離、及び不審なアクセスの有無の調査等を行ってもよい。

本実施例によれば、アクセス制御装置１０１は、外部サイトのアクセス時に、複数の評価処理を実行し、また、ユーザに対して総合評価処理の完了時間を含む待機画面９００を提示する。また、アクセス制御装置１０１は、総合評価処理の実行中にアクセス指示を受け付けた場合、アクセス制御（防御策）に基づいて外部サイトへのアクセスを行う。これによって、安全性を確保し、かつ、ユーザビリティを向上させることができる。

また、本実施例では、アクセス制御装置１０１は、アクセス制御に基づく外部サイトへのアクセス中に、外部サイトが悪性サイトであると判定された場合、管理者への注意喚起及び外部サイトへのアクセス遮断等、適切な対応処理を行うことによって、安全性及び利便性を高めている。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。また、例えば、上記した実施例は本発明を分かりやすく説明するために構成を詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、実施例の構成の一部について、他の構成に追加、削除、置換することが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、本発明は、実施例の機能を実現するソフトウェアのプログラムコードによっても実現できる。この場合、プログラムコードを記録した記憶媒体をコンピュータに提供し、そのコンピュータが備えるＣＰＵが記憶媒体に格納されたプログラムコードを読み出す。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施例の機能を実現することになり、そのプログラムコード自体、及びそれを記憶した記憶媒体は本発明を構成することになる。このようなプログラムコードを供給するための記憶媒体としては、例えば、フレキシブルディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、光ディスク、光磁気ディスク、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどが用いられる。

また、本実施例に記載の機能を実現するプログラムコードは、例えば、アセンブラ、Ｃ／Ｃ＋＋、ｐｅｒｌ、Ｓｈｅｌｌ、ＰＨＰ、Ｊａｖａ（登録商標）等の広範囲のプログラム又はスクリプト言語で実装できる。

さらに、実施例の機能を実現するソフトウェアのプログラムコードを、ネットワークを介して配信することによって、それをコンピュータのハードディスクやメモリ等の記憶手段又はＣＤ−ＲＷ、ＣＤ−Ｒ等の記憶媒体に格納し、コンピュータが備えるＣＰＵが当該記憶手段や当該記憶媒体に格納されたプログラムコードを読み出して実行するようにしてもよい。

上述の実施例において、制御線や情報線は、説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。全ての構成が相互に接続されていてもよい。

１００ 計算機システム
１０１ アクセス制御装置
１０２、１０４ ネットワーク
１０３ ユーザ端末
１０５ インターネット
１１１ 演算装置
１１２ 主記憶装置
１１３ 副記憶装置
１１４ 通信装置
１１５ 入力装置
１１６ 表示装置
２０１ アクセス中継モジュール
２０２ 評価モジュール
２０３ 待機通知生成モジュール
２０４ 防御策実行モジュール
２０５ 事後対応モジュール
２０６ 評価履歴ＤＢ
２０７ 評価方式ＤＢ
２０８ アクセス履歴ＤＢ
２０９ 防御策ＤＢ
９００ 待機画面
９０１ タイトル表示フィールド
９０２ 説明表示フィールド
９０３ 操作ボタン

Claims (15)

1. 端末とコンテンツを提供するサーバとの間のアクセスを制御する計算機を含む計算機システムであって、
   前記計算機は、
   プロセッサ、前記プロセッサに接続されるメモリ、及び前記プロセッサに接続されるネットワークインタフェースを有し、
   前記端末と前記サーバとの間の通信を制御するアクセス中継モジュールと、
   アクセス先の安全性を評価する複数の評価処理を含む総合評価処理を実行する評価モジュールと、
   前記総合評価処理の実行中であることを示す通知を生成する待機通知生成モジュールと、
   前記総合評価処理が完了する前に、前記アクセス中継モジュールと連携して、所定のアクセス制御に基づいて前記端末と前記サーバとの間のアクセスを実現する防御策実行モジュールと、を有することを特徴とする計算機システム。
2. 請求項１に記載の計算機システムであって、
   前記計算機は、前記所定のアクセス制御に基づいて前記サーバにアクセスし、かつ、前記総合評価処理の結果がアクセスを禁止する評価結果である場合、所定の対応処理を実行する対応モジュールを有することを特徴とする計算機システム。
3. 請求項２に記載の計算機システムであって、
   前記待機通知生成モジュールは、前記評価モジュールの処理が完了するまでの時間を表す予測時間、及び前記防御策実行モジュールの実行を指示する操作ボタンを含む表示画面を表示するための第１表示情報を生成することを特徴とする計算機システム。
4. 請求項３に記載の計算機システムであって、
   前記計算機は、前記防御策実行モジュールが用いるアクセス制御の内容を管理する防御策データベースを管理し、
   前記防御策実行モジュールは、
   前記表示画面に含まれる前記操作ボタンが操作された場合、前記防御策データベースを参照して、前記アクセス制御の一覧を表示するための第２表示情報を生成し、
   前記第２表示情報に基づくユーザの選択を受け付け、
   前記選択されたアクセス制御に基づいて前記端末と前記サーバとの間のアクセスを実現することを特徴とする計算機システム。
5. 請求項３に記載の計算機システムであって、
   前記アクセス中継モジュールは、
   前記評価モジュールの処理時間をカウントし、
   前記評価モジュールの処理時間が前記予測時間を経過した場合、前記サーバにアクセスすることを特徴とする計算機システム。
6. 端末とコンテンツを提供するサーバとの間のアクセスを制御する計算機を含む計算機システムにおけるアクセス制御方法であって、
   前記計算機は、プロセッサ、前記プロセッサに接続されるメモリ、及び前記プロセッサに接続されるネットワークインタフェースを有し、
   前記アクセス制御方法は、
   前記計算機が、前記端末から、前記サーバへのアクセス要求を受け付ける第１のステップと、
   前記計算機が、アクセス先の安全性を評価する複数の評価処理を含む総合評価処理を実行する第２のステップと、
   前記計算機が、前記総合評価処理の実行中であることを示す通知を生成する第３のステップと、
   前記計算機が、前記総合評価処理が完了する前に、前記端末から、前記アクセス先へのアクセス指示を受け付けた場合、所定のアクセス制御に基づいて前記端末と前記サーバとの間のアクセスを実現する第４のステップと、を含むことを特徴とするアクセス制御方法。
7. 請求項６に記載のアクセス制御方法であって、
   前記計算機が、前記所定のアクセス制御に基づいて前記サーバにアクセスし、かつ、前記総合評価処理の結果がアクセスを禁止する評価結果である場合、所定の対応処理を実行するステップを含むことを特徴とするアクセス制御方法。
8. 請求項７に記載のアクセス制御方法であって、
   前記第３のステップは、前記計算機が、前記総合評価処理が完了するまでの時間を表す予測時間、及び前記アクセス先へのアクセス指示を出力するための操作ボタンを含む表示画面を表示するための第１表示情報を生成するステップを含むことを特徴とするアクセス制御方法。
9. 請求項８に記載のアクセス制御方法であって、
   前記計算機は、アクセス制御の内容を管理する防御策データベースを管理し、
   前記第４のステップは、
   前記計算機が、前記表示画面に含まれる前記操作ボタンが操作された場合、前記防御策データベースを参照して、前記アクセス制御の一覧を表示するための第２表示情報を生成するステップと、
   前記計算機が、前記第２表示情報に基づくユーザの選択を受け付けるステップと、
   前記計算機が、前記選択されたアクセス制御に基づいて前記端末と前記サーバとの間のアクセスを実現するステップと、を含むことを特徴とするアクセス制御方法。
10. 請求項８に記載のアクセス制御方法であって、
    前記計算機が、前記総合評価処理の処理時間をカウントするステップと、
    前記計算機が、前記総合評価処理の処理時間が前記予測時間を経過した場合、前記サーバにアクセスするステップと、を含むことを特徴とするアクセス制御方法。
11. 端末とコンテンツを提供するサーバとの間のアクセスを制御する計算機であって、
    プロセッサ、前記プロセッサに接続されるメモリ、及び前記プロセッサに接続されるネットワークインタフェースを有し、
    前記端末と前記サーバとの間の通信を制御するアクセス中継モジュールと、
    アクセス先の安全性を評価する複数の評価処理を含む総合評価処理を実行する評価モジュールと、
    前記総合評価処理の実行中であることを示す通知を生成する待機通知生成モジュールと、
    前記総合評価処理が完了する前に、前記アクセス中継モジュールと連携して、所定のアクセス制御に基づいて前記端末と前記サーバとの間のアクセスを実現する防御策実行モジュールと、を有することを特徴とする計算機。
12. 請求項１１に記載の計算機であって、
    前記所定のアクセス制御に基づいて前記サーバにアクセスし、かつ、前記総合評価処理の結果がアクセスを禁止する評価結果である場合、所定の対応処理を実行する対応モジュールを有することを特徴とする計算機。
13. 請求項１２に記載の計算機であって、
    前記待機通知生成モジュールは、前記評価モジュールの処理が完了するまでの時間を表す予測時間、及び前記防御策実行モジュールの実行を指示する操作ボタンを含む表示画面を表示するための第１表示情報を生成することを特徴とする計算機。
14. 請求項１３に記載の計算機であって、
    前記防御策実行モジュールが用いるアクセス制御の内容を管理する防御策データベースを管理し、
    前記防御策実行モジュールは、
    前記表示画面に含まれる前記操作ボタンが操作された場合、前記防御策データベースを参照して、前記アクセス制御の一覧を表示するための第２表示情報を生成し、
    前記第２表示情報に基づくユーザの選択を受け付け、
    前記選択されたアクセス制御に基づいて前記端末と前記サーバとの間のアクセスを実現することを特徴とする計算機。
15. 請求項１３に記載の計算機であって、
    前記アクセス中継モジュールは、
    前記評価モジュールの処理時間をカウントし、
    前記評価モジュールの処理時間が前記予測時間を経過した場合、前記サーバにアクセスすることを特徴とする計算機。

Images