JP4524492B2 - Ｈｔｔｐリクエストのメソッド制御機能を有するデータ中継システム及びそのメソッド制御方法 - Google Patents
Ｈｔｔｐリクエストのメソッド制御機能を有するデータ中継システム及びそのメソッド制御方法 Download PDFInfo
- Publication number
- JP4524492B2 JP4524492B2 JP2003141436A JP2003141436A JP4524492B2 JP 4524492 B2 JP4524492 B2 JP 4524492B2 JP 2003141436 A JP2003141436 A JP 2003141436A JP 2003141436 A JP2003141436 A JP 2003141436A JP 4524492 B2 JP4524492 B2 JP 4524492B2
- Authority
- JP
- Japan
- Prior art keywords
- url
- http request
- data relay
- information
- client
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Description
【０００１】
【発明の属する技術分野】
本発明は、プロキシサーバ等のデータ中継装置を通過するＨＴＴＰ（Hyper Text Transfer Protocol）リクエストで使用されるメソッドを制御する機能を有するデータ中継システム、及びそのメソッド制御方法に関する。
【０００２】
【従来の技術】
インターネットを利用して各種のサービスを提供するウェブ（Ｗｅｂ）システムは、不特定多数の人が利用できるという利便性がある反面、悪意を持った者によって不当な情報が書込まれて迷惑をこうむったり、機密情報が漏洩して被害をこうむったりするなど、外部システムと接続しない閉鎖型のシステムと比較して、セキュリティ面で問題が発生しやすいという問題がある。このようなセキュリティ上の問題を解決するために、近年、インターネットの標準化組織であるＩＥＴＦ（Internet Engineering Task Force）によって標準化された暗号化技術や本人認証技術を用いて、通信内容の解読を困難にしたり、改竄されていないことを検出したりする機能を取入れたシステムが開発され、一部のＡＳＰ（Application Service Provider）等によって提供されている。また、その他に、独自のアルゴリズムでセキュリティを強化するようにしたものも、数多く提案されている。
【０００３】
電子メールのセキュリティを確保するようにしたシステムとしては、例えば、ＬＡＮ（ローカルエリアネットワーク）上のメールサーバとインターネットとの間に、電子メールが改竄されていないかどうかを検査する手段を備えたプロキシ装置を設け、改竄されている場合には電子メールの受信を拒否することで、改竄された電子メールがＬＡＮ内に入ることを防止するようにしたものがある（例えば特許文献１を参照）。また、電子掲示板において迷惑な発言が書き込まれるのを防止するようにしたシステムとしては、例えば、予め登録された禁止語句リストをもとに、迷惑な発言（語句）があるかどうかを判定する手段を備え、迷惑な発言があると判定した場合は、その発言を非表示にするようにしたものがある。また、迷惑な発言と誤って判定した場合を考慮して、電子掲示板の管理者が、保存された非表示及び表示の発言文書の一覧を見て、必要と思われる場合には非表示か表示かの扱いを変更できるようにしたものがある（例えば特許文献２を参照）。
【０００４】
【特許文献１】
特開２００２−２４１４７号公報
【特許文献２】
特開２００２−８２８６９号公報
【０００５】
【発明が解決しようとする課題】
上述した電子メールのセキュリティシステムでは、改竄された電子メールがＬＡＮ内に入ることを防止することはできるが、改竄自体を防止することができないため、結果としては被害をこうむることになる。また、上述した、電子掲示板のセキュリティシステムでは、迷惑な発言と判定した情報の表示を回避することはできるが、迷惑な発言かどうかは、語句だけでは判断がつかないことが多いと考えられる。
【０００６】
ところで、電子メールシステムや電子掲示板システム（以下、それぞれＷｅｂメールシステム、Ｗｅｂ掲示板システムとする）などのＷｅｂシステムにおいては、ＨＴＴＰで規定されたメソッド（ＰＯＳＴメソッドあるいはＰＵＴメソッド）を使用しているため、特定のメソッドを制御することによって、情報の書込みを規制することが考えられる。しかし、この場合は、全てのインターネット上、イントラネット上の書込みに対して、全てができなくなり、Ｗｅｂシステムのサービスが利用不可能となる。
【０００７】
本発明は上述のような事情から成されたものであり、本発明の目的は、ＨＴＴＰリクエストのメソッドを制御して、インターネットの利便性を妨げることなく、特定のＷｅｂシステムの情報資源に対してのみ不正な書込みや情報の漏洩を防止することができる、ＨＴＴＰリクエストのメソッド制御機能を有するデータ中継システム及びそのメソッド制御方法を提供することにある。
【０００８】
【課題を解決するための手段】
本発明は、ＨＴＴＰリクエストのメソッド制御機能を有するデータ中継システム及びそのメソッド制御方法に関するものであり、本発明の上記目的は、クライアントとＷＷＷサーバとの間で通信データを中継するデータ中継装置を有するデータ中継システムにおいて、各ＷＷＷサーバのＵＲＬ情報群を所定のカテゴリで分類して格納したＵＲＬデータベースと、ＨＴＴＰで規定されたＰＯＳＴ，ＰＵＴ，ＧＥＴ，及びＨＥＡＤを含む個別のメソッドを制御対象として各メソッドの使用を不許可とするか否かを示す識別情報を前記ＵＲＬデータベースに格納されているＵＲＬに対応させてメソッド規制情報として登録するメソッド規制情報登録手段と、前記クライアントからＷＷＷサーバへのＨＴＴＰリクエストを受信時に、前記ＨＴＴＰリクエストのヘッダ情報に前記使用を不許可とするメソッドが設定されているか否かを前記メソッド規制情報に基づいて判定すると共に、アクセス先のＵＲＬが規制対象のＵＲＬであるか否かを前記ＵＲＬデータベース及び前記メソッド規制情報に基づいて判定し、前記ＨＴＴＰリクエストのヘッダ情報に前記不許可とするメソッドが設定されており且つ前記アクセス先のＵＲＬが規制対象のＵＲＬであると判定した場合には前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、ＨＴＴＰリクエストのメソッドの使用を前記個別のメソッド毎に且つ前記アクセス先のＵＲＬ毎に規制するメソッド制御手段とを備えることによって達成される。
【０００９】
さらに、前記メソッド規制情報登録手段は、前記識別情報を前記ＵＲＬデータベースに格納されているＵＲＬに対応させると共に前記クライアントのユーザ又はユーザが属するグループに対応させて前記メソッド規制情報として登録する機能を有しており、前記メソッド制御手段は、前記ＨＴＴＰリクエストのヘッダ情報に前記不許可とするメソッドが設定されており且つ前記アクセス先のＵＲＬが規制対象のＵＲＬであると判定した場合、更に前記ＨＴＴＰリクエストに設定されているメソッドが前記クライアントのユーザに対して使用が許可されているか否かを前記メソッド規制情報に基づいて判定し、使用が許可されていない場合に前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、ＨＴＴＰリクエストのメソッドの使用を前記クライアントのユーザ毎又はユーザが属するグループ毎に規制すること；によって一層効果的に達成される。
【００１０】
さらに、前記ＨＴＴＰリクエストが前記ＷＷＷサーバへの接続要求であること；前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とした場合に、前記ＨＴＴＰリクエストのデータを破棄すると共に、前記ＨＴＴＰリクエストの不許可を示す応答データを前記クライアントへ送信して当該ユーザに通知する不許可通知送信手段を更に備えること；前記データ中継装置がプロキシサーバであること；前記制御対象の各メソッドが、前記ＵＲＬデータベースに格納されているＵＲＬ毎に個別に設定できるようになっていること；前記メソッド規制情報登録手段は、前記識別情報を前記ＵＲＬデータベースの分類要素であるカテゴリに対応させて登録できるようにしており、前記メソッド規制情報に前記カテゴリが設定されている場合、前記メソッド制御手段は、前記カテゴリに属する全てのＵＲＬを規制対象のＵＲＬとして処理するようにしていること；前記メソッド制御手段及び前記ＵＲＬデータベースを前記データ中継装置に備えること；前記メソッド規制情報登録手段を前記クライアントに備え、前記メソッド規制情報を当該クライアントから登録できるようにしていること；前記制御対象のメソッドが、Ｗｅｂメールシステム及びＷｅｂ掲示板システムで使用されるメソッドを含むこと；によって、それぞれ一層効果的に達成される。
【００１１】
また、ＨＴＴＰリクエストのメソッド制御方法に関しては、本発明の上記目的は、クライアントとＷＷＷサーバとの間で通信データを中継するデータ中継装置を有するデータ中継システムにおけるＨＴＴＰリクエストのメソッド制御方法であって、各ＷＷＷサーバのＵＲＬ情報群を所定のカテゴリで分類して格納したＵＲＬデータベースを備え、ＨＴＴＰで規定されたＰＯＳＴ，ＰＵＴ，ＧＥＴ，及びＨＥＡＤを含む個別のメソッドを制御対象として各メソッドの使用を不許可とするか否かを示す識別情報を前記ＵＲＬデータベースに格納されているＵＲＬに対応させてメソッド規制情報として予め記憶手段に記憶しておき、前記データ中継装置の制御手段は、前記クライアントからＷＷＷサーバへのＨＴＴＰリクエストを受信時に、前記ＨＴＴＰリクエストのヘッダ情報に前記使用を不許可とするメソッドが設定されているか否かを前記メソッド規制情報に基づいて判定すると共に、アクセス先のＵＲＬが規制対象のＵＲＬであるか否かを前記ＵＲＬデータベース及び前記メソッド規制情報に基づいて判定し、前記ＨＴＴＰリクエストのヘッダ情報に前記不許可とするメソッドが設定されており且つ前記アクセス先のＵＲＬが規制対象のＵＲＬであると判定した場合には前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、前記ＨＴＴＰリクエストのメソッドの使用を前記個別のメソッド毎に且つ前記アクセス先のＵＲＬ毎に規制することによって達成される。
【００１２】
さらに、前記識別情報を前記ＵＲＬデータベースに格納されているＵＲＬに対応させると共に前記クライアントのユーザ又はユーザが属するグループに対応させて前記メソッド規制情報として予め前記記憶手段に記憶しておき、前記データ中継装置の制御手段は、前記ＨＴＴＰリクエストのヘッダ情報に前記不許可とするメソッドが設定されており且つ前記アクセス先のＵＲＬが規制対象のＵＲＬであると判定した場合、更に前記ＨＴＴＰリクエストに設定されているメソッドが前記クライアントのユーザに対して使用が許可されているか否かを前記メソッド規制情報に基づいて判定し、使用が許可されていない場合に前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、ＨＴＴＰリクエストのメソッドの使用を前記クライアントのユーザ毎又はユーザが属するグループ毎に規制すること；によって一層効果的に達成される。
【００１３】
【発明の実施の形態】
本発明は、クライアントとＷＷＷ（World Wide Web）サーバとの間で通信データの中継を行うデータ中継システムにおいて、ＨＴＴＰリクエストを中継する際に、そのＨＴＴＰリクエストに設定されてるメソッドの使用の許可／不許可をＵＲＬ（Uniform Resource Locators）毎に制御するメソッド制御機能を備え、アクセス先のＵＲＬに対してメソッドの使用が許可されていない場合は、例えばＷＷＷサーバとの接続をせずにデータを破棄するようにしている。このような機能をデータ中継装置に備えることにより、特定のＵＲＬを対象として特定のＷｅｂシステムへの不正な情報の書込みや情報の書換え、企業内などの内部の人間による書込みによる情報の漏洩などを防止することができる。
【００１４】
さらに、本発明に係るデータ中継システムは、上記のようにメソッドの使用の許可／不許可をＵＲＬ毎に制御する機能の他に、メソッドの使用の許可／不許可をユーザ毎又はユーザが属するグループ毎に制御する機能を有しており、特定のユーザ又はグループを対象として、メソッドの使用を規制できるようにしている。規制の対象となるメソッドは、アクセス先のリソース環境を変更する類型のメソッドであり、例えばＲＦＣ２０６８，ＲＦＣ２０６９として標準化されているメソッドを例とすると、ＵＲＩ（Uniform Resource Identifiers）で指定したサーバのコマンドに対してデータを転送する「ＰＯＳＴメソッド」、ＵＲＩで指定したリソースを転送するデータで置換える「ＰＵＴメソッド」などが該当する。また、機密情報の漏洩を防止する場合、ＵＲＩで指定したリソースを取得する「ＧＥＴメソッド」や、ＵＲＩで指定したリソースのレスポンスヘッダを取得する「ＨＥＡＤメソッド」など、アクセス先のリソースを参照する類型のメソッドを規制の対象とするようにしても良い。
【００１５】
なお、本発明に係るデータ中継システムの構成要素であるデータ中継装置は、プロキシサーバが好ましいが、プロキシサーバに限らず、中継経路の制御機能等を有するルータやプロトコル変換機能等を有するゲートウェイ装置にも適用することができる。以下、これらの装置を含む、インターネット上のＷＷＷサーバとクライアントとの間のデータ通信を中継する装置を「データ中継装置」と称し、更に、そのデータ中継装置と関連するＡＳＰ（Application Service Provider）を含むシステムを「データ中継システム」と称して、本発明の好適な実施の形態を図面に基づいて詳細に説明する。
【００１６】
図１は、本発明に係るデータ中継システムの全体構成の一例を模式図で示している。企業などの組織において、各自のパーソナルコンピュータからインターネットにアクセス可能とする場合、例えば、図１に示すように、セキュリティ機能やキャッシュ機能を有するデータ中継装置（本例ではプロキシサーバ）２０をＬＡＮ１とインターネット２との間に接続し、そのプロキシサーバ２０を経由して各クライアント端末１０（以下、「クライアント」とする）から、インターネット上あるいはイントラネット上のＷｅｂメールシステム４０ａやＷｅｂ掲示板システム４０ｂ等のＷＷＷサーバ４０にアクセスする形態が広くとられている。
【００１７】
一般的に、プロキシサーバは、構内ネットワークやイントラネット等の内部ネットワークに接続されるクライアント１０の全ての中継データを対象としてキャッシュやログ（経過記録）の制御を行うようにしているが、本発明に係るプロキシサーバ２０では、ＬＡＮ１等の内部ネットワークに接続される各クライアント１０を、例えば総務部や開発部のように特定のグループ（Ｇ１−１，Ｇ１−２…、Ｇ２−１，Ｇ２−２…）でグループ化し、それらのグループ毎に当該データのキャッシュ又はログを制御するようにしている。また、ＷＷＷサーバ４０に対するメソッドの使用の許可／不許可をアクセス先のＵＲＬ毎に制御すると共に、ユーザ毎又はユーザが属するグループ毎に制御し、当該ＷＷＷシステム４０への情報の書込みを規制するようにしている。
【００１８】
図１中に示されるＵＲＬデータベース３０は、全世界に存在するウェブサイトのＵＲＬの情報群を、情報の種類、利用技術の種類、閲覧系、決済系、データベース利用型などの所定のカテゴリで分類し、各種のキーで索引可能にＵＲＬ情報群を格納したデータベースであり、当該ウェブサイトのＵＲＬとそのカテゴリを示す分類コード等が関連付けられて登録されている。このＵＲＬデータベース３０は、例えばデータ中継システムの運営・管理等を行なうＡＳＰから提供される。ＡＳＰのコンピュータは、例えば所定のアルゴリズムで最新のサイトのＵＲＬ情報などを自動収集してカテゴライズし、該当の更新情報を通信ネットワークを介して毎日配信するなど、ＵＲＬデータベース３０を適時更新するＵＲＬ情報更新手段を備えている。また、ユーザが所定のカテゴリで分類したＵＲＬ情報をＵＲＬデータベース３０に登録するＵＲＬ情報登録手段を備え、ユーザが所望のＵＲＬ情報を登録できるようにしている。
【００１９】
本発明の実施の形態では、このＵＲＬデータベース３０に登録されているＵＲＬを対象として、ＨＴＴＰリクエストのメソッドの使用の許可／不許可をアクセス先のＵＲＬ毎に制御することで、インターネットやイントラネット上の全てのウェブサイトではなく、特定のＵＲＬに対してのみ当該メソッドによるアクセスを規制することを可能としている。
【００２０】
図２は、本発明に係るメソッド制御機能を有するプロキシサーバの主要部の構成例を示すブロック図で示している。ＵＲＬデータベース３０は、本例ではプロキシサーバ２０（あるいは他の装置）に設けられ、前述のＵＲＬ情報更新手段３１は、図示されないＡＬＰのコンピュータに設けられている。
【００２１】
メソッド規制情報登録手段２１は、ＨＴＴＰで規定されたメソッドのうち特定のメソッドを制御対象として、その制御対象のメソッドの使用を許可するか否かを示す識別情報をＵＲＬデータベース３０に格納されているＵＲＬに対応させて「メソッド規制情報」として登録する手段であり、本例ではクライアント側の特定の端末に備え、メソッド規制情報を当該クライアントから登録できるようにしている
【００２２】
プロキシサーバ２０の主要な構成としては、規制対象のＵＲＬ情報群を含む各ＷＷＷサーバのＵＲＬ情報群を格納したＵＲＬデータベース３０と、メソッド規制情報登録手段２１によって登録されたメソッド規制情報を記憶するメソッド規制情報記憶手段２２と、制御対象のメソッドの使用をアクセス先のＵＲＬ毎に規制するメソッド制御手段２３と、このメソッド制御手段によってＷＷＷサーバへのＨＴＴＰリクエストを不許可とした場合に、ＨＴＴＰリクエストのデータを破棄すると共に、ＨＴＴＰリクエストの不許可を示す応答データをクライアントへ送信して当該ユーザに通知する不許可通知送信手段２４とを備えている。
【００２３】
プロキシサーバ２０のメソッド制御手段２３は、例えば、クライアントからのＷＷＷサーバへのＨＴＴＰリクエストを受信時に、そのＨＴＴＰリクエストのヘッダ情報に制御対象のメソッドが設定されているか否かを判定すると共に、ＵＲＬデータベース３０を参照してアクセス先のＵＲＬが規制対象のＵＲＬであるか否かを上記メソッド規制情報に基づいて判定し、制御対象のメソッドで且つ規制対象のＵＲＬであると判定した場合にはＷＷＷサーバへのＨＴＴＰリクエストを不許可とし、ＷＷＷサーバへのデータ転送を拒否するようにしている。
【００２４】
上記のメソッド規制情報は、図３の模式図に示すように、例えば、ＵＲＬ情報と、ユーザ又はユーザが属するグループをそれぞれ特定するユーザＩＤ（図３中のＵＳＥＲ欄内のＵ１、Ｕ２、…、Ｇ１、Ｇ２…）と、制御対象のメソッドの使用を許可するか否かを示す識別情報（図３中の○が許可、×が不許可）とから構成される。そして、図３に示すような、各ＵＲＬと各ユーザ又はグループと識別情報（メソッドの使用許可又は不許可）との対応関係を示す「メソッド規制情報」、すなわち、どのユーザ又はグループからのどのＵＲＬに対するメソッドの使用を許可するか否かを示す「メソッド規制情報」が、前述のメソッド規制情報登録手段２１によって登録されて、プロキシサーバ２０内のメソッド規制情報記憶手段２２に記憶されるようになっている。また、規制対象のＵＲＬは、個々のＵＲＬ毎に設定する機能の他に、分類されたＵＲＬデータベース３０のカテゴリ毎に設定する機能を備えるようにしても良い。さらに、メソッド規制情報の設定は、全てのＵＲＬの初期値を不許可（又は許可）とし、許可するＵＲＬ（又は許可しないＵＲＬ）だけを対象として設定するようにしても良い。また、制御対象のメソッドは、ＵＲＬ別又はユーザ別（又はユーザが属するグループ別）、あるいは、ＵＲＬ別で且つユーザ別（又はユーザが属するグループ別）に特定のメソッドを個別に設定できるようにしても良い。
【００２５】
図３の例では、Ｕ１、Ｕ２のユーザとＧ１、Ｇ２のグループに属する各ユーザは、Ａ１のＵＲＬに対しては、メソッドの使用を許可し、カテゴリＣ２に属する全てのＵＲＬに対しては、メソッドの使用を許可しないようにそれぞれ設定されている。また、Ａ２のＵＲＬに対しては、Ｕ２のユーザとＧ２のグループに属する各ユーザは、メソッドの使用を許可しないように設定されている。なお、メソッドの使用を規制する対象は、ユーザが独自に設定可能であり、ユーザは、メソッド規制情報登録手段２１によって表示される画面の案内に従って、規制対象のメソッドとＵＲＬとユーザ（又はグループ）との対応を設定し、プロキシサーバ２０の規制情報記憶手段２２に登録する。
【００２６】
図２に示したメソッド制御手段２３では、ＨＴＴＰリクエストを受信時に、上記のようなメソッド規制情報に基づいて、ＨＴＴＰリクエストに設定されているメソッドが制御対象のメソッドで、且つアクセス先が規制対象のＵＲＬであると判定した場合、更にそのメソッドがクライアントのユーザに対して使用が許可されているか否かを判定し、使用が許可されていない場合にＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、制御対象のメソッドの使用をクライアントのユーザ毎又はユーザが属するグループ毎に規制するようにしている。
【００２７】
上述のようなメソッド制御機能は、本実施の形態ではＣＰＵにより実行されるコンピュータ・プログラム（以下、プログラムとする）で実現され、そのプログラムは所定の記録媒体（フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＤＶＤ−Ｒ、ＰＤディスク、ＭＤディスク、ＭＯディスク等の記録媒体）に記録されている。なお、一部のメソッド制御機能をハードウェアで実現する形態も本発明に含まれる。
【００２８】
上述のような構成において、プロキシサーバでのメソッド制御に係る動作例を説明する。
【００２９】
先ず、図４の模式図を参照して概略の動作例を説明する。プロキシサーバ１０では、クライアント１０からＷＷＷサーバへの接続要求を受信すると（▲１▼）、ＨＴＴＰのヘッダ情報の内容からリクエスト時のメソッドを特定する（▲２▼）。このメソッドが制御対象のメソッドであれば、アクセス先のＵＲＬがＵＲＬデータベースに登録されているか否かを判定し、登録されていれば、メソッド規制情報に基づいて当該メソッドの使用を許可するか否かを判定する。本実施の形態では、アクセス先のＵＲＬが規制対象で且つ、接続要求元のユーザが制御対象（規制対象）のユーザ又はグループに属するユーザであるか否かを判定する（▲３▼）。そして、当該メソッドの使用を許可すると判定した場合は、通常の中継処理と同様に、クライアント１０が要求したＷＷＷとの接続を行ってデータを転送し、（▲４▼−１）、接続したＷＷＷサーバの応答データをクライアント１０へ転送する（▲５▼）。一方、当該メソッドの使用を許可しないと判定した場合は、クライアントからの書込みデータを破棄すると共に、規制した旨の通知をクライアント１へ送信し、当該ＨＴＴＰリクエストのメソッド制御に係る処理を終了する（▲４▼−２）。
【００３０】
次に、プロキシサーバでのメソッド制御に係る具体的な動作例を図５のフローチャートに従って説明する。
【００３１】
クライアント１０から送信されたＷＷＷサーバへの接続要求を受信すると（ステップＳ１、Ｓ２）、プロキシサーバ１０のメソッド制御手段では、先ず、ＨＴＴＰのヘッダ情報の内容からリクエスト時のメソッドを特定する。リクエスト時のメソッドは、例えば図６に示すように、ＨＴＴＰのヘッダ部に設定されている（図６の例では、ＰＯＳＴメソッド）。メソッド制御手段では、リクエスト時のメソッドが、予め設定されている制御対象のメソッド群に存在するか否かを判定し、存在するのであれば制御対象のメソッドと判断する。ここで言う制御対象のメソッドとは、本例では、ＨＴＴＰで規定されたメソッドのうち、アクセス先のリソース環境を変更する類型のメソッドであり、例えば該当のメソッドがＨＴＴＰの仕様に応じて予めテーブル等に設定されている。
【００３２】
制御対象のメソッドと判断した場合は、接続先のＵＲＬがＵＲＬデータベースに含まれているか否かを判定し（ステップＳ３）、含まれている場合は、制御対象のＵＲＬと判断する。そして、制御対象のＵＲＬであると判定した場合は、ＨＴＴＰリクエストに使用されているメソッドが、アクセス先のＵＲＬに対して許可され、且つそのユーザ又はユーザが属するグループに対して許可されているか否かを、予め設定されたメソッド規制情報に基づいて判定する（ステップＳ４）。例えば、図３のメソッド規制情報の例において、アクセス先のＵＲＬが「Ａ２」で、接続要求を受信時に認証したユーザが「Ｕ２」の場合、メソッドの使用が許可されていないと判断し、ＨＴＴＰリクエストのデータを破棄すると共に、ＷＷＷ接続の不許可を示す応答データをクライアント１０へ送信して当該ユーザに通知する（ステップＳ５）。クライアント１０の表示部には、例えば、ブラウザの利用不許可の画面が表示される（ステップＳ５）。
【００３３】
一方、ステップＳ４において、メソッドの使用が許可されていると判断した場合は、プロキシサーバ１０は、クライアント１０が要求したＷＷＷサーバ３０との接続を行ってデータを転送する（ステップＳ７）。接続要求を受付けたＷＷＷサーバ３０では、クライアント１０からのデータを受信し、応答データを返送する（ステップＳ８、Ｓ９）。応答データを受けたプロキシサーバ１０では、ＷＷＷサーバ３０からの応答データをクライアント１０へ転送する（ステップＳ１０）。そして、応答データを受信したクライアント１０では、ＷＷＷサーバのＷｅｂデータ（ＨＴＭＬ，ＸＭＬなど）を表示部に表示し（ステップＳ１１）、そのＨＴＴＰリクエストに対する処理を終了する。
【００３４】
なお、上述した実施の形態では、本発明に係るＨＴＴＰリクエストのメソッド制御方法を適用した装置としては、プロキシサーバを例として説明したが、プロキシサーバに限るものではなく、ゲートウェイ装置やノード（Node）用のコンピュータなど、クライアントとリクエスト先のデータサーバとの間で通信データを中継する装置であれば良い。また、リクエスト先のデータサーバは、インターネット上のＷＷＷサーバに限るものではなく、インターネット以外の通信ネットワーク（ＬＡＮ、イントラネット，エクストラネット等）に接続されるデータサーバであっても良い。
【００３５】
【発明の効果】
以上に説明したように、本発明によれば、ＨＴＴＰリクエストのメソッドを特定のＵＲＬ毎に制御することによって、当該メソッドの使用を規制するようにしているので、特定のＷｅｂ掲示板や特定のＷｅｂメールシステムに対してのみ、情報の書込み等を制御することが可能となる。そのため、インターネットの利便性を妨げることなく、不正な書込みや情報の漏洩を防止すことが可能となる。また、ユーザ毎又はユーザが属するグループ毎に、当該メソッドの使用を制御するようにしているので、特定のユーザ又は特定のグループに対してのみ、情報の書込み等を規制することが可能となる。そのため、特定のＵＲＬ毎の他に、特定のユーザ又はグループ毎に、情報の書込みの権限を制御することが可能となる。
【図面の簡単な説明】
【図１】本発明に係るデータ中継システムの全体構成の一例を示す模式図である。
【図２】本発明に係るメソッド制御機能を有するデータ中継装置の主要部の構成例を示すブロック図である。
【図３】本発明に係わるメソッド規制情報に一例を示す模式図である。
【図４】本発明に係るデータ中継装置の概略の動作例を説明するための模式図である。
【図５】本発明に係るデータ中継装置のメソッド制御に係る具体的な動作例を説明するためのフローチャートである。
【図６】本発明における制御対象のＨＴＴＰリクエストのメソッドの一例を示す図である。
【符号の説明】
１ ＬＡＮ
２ インターネット
１０ クライアント
２０ データ中継装置（プロキシサーバ）
２１ メソッド規制情報登録手段
２２ メソッド規制情報記憶手段
２３ メソッド制御手段
２４ 不許可通知送信手段
３０ ＵＲＬデータベース
３１ ＵＲＬ情報更新手段
４０ ＷＷＷサーバ
【発明の属する技術分野】
本発明は、プロキシサーバ等のデータ中継装置を通過するＨＴＴＰ（Hyper Text Transfer Protocol）リクエストで使用されるメソッドを制御する機能を有するデータ中継システム、及びそのメソッド制御方法に関する。
【０００２】
【従来の技術】
インターネットを利用して各種のサービスを提供するウェブ（Ｗｅｂ）システムは、不特定多数の人が利用できるという利便性がある反面、悪意を持った者によって不当な情報が書込まれて迷惑をこうむったり、機密情報が漏洩して被害をこうむったりするなど、外部システムと接続しない閉鎖型のシステムと比較して、セキュリティ面で問題が発生しやすいという問題がある。このようなセキュリティ上の問題を解決するために、近年、インターネットの標準化組織であるＩＥＴＦ（Internet Engineering Task Force）によって標準化された暗号化技術や本人認証技術を用いて、通信内容の解読を困難にしたり、改竄されていないことを検出したりする機能を取入れたシステムが開発され、一部のＡＳＰ（Application Service Provider）等によって提供されている。また、その他に、独自のアルゴリズムでセキュリティを強化するようにしたものも、数多く提案されている。
【０００３】
電子メールのセキュリティを確保するようにしたシステムとしては、例えば、ＬＡＮ（ローカルエリアネットワーク）上のメールサーバとインターネットとの間に、電子メールが改竄されていないかどうかを検査する手段を備えたプロキシ装置を設け、改竄されている場合には電子メールの受信を拒否することで、改竄された電子メールがＬＡＮ内に入ることを防止するようにしたものがある（例えば特許文献１を参照）。また、電子掲示板において迷惑な発言が書き込まれるのを防止するようにしたシステムとしては、例えば、予め登録された禁止語句リストをもとに、迷惑な発言（語句）があるかどうかを判定する手段を備え、迷惑な発言があると判定した場合は、その発言を非表示にするようにしたものがある。また、迷惑な発言と誤って判定した場合を考慮して、電子掲示板の管理者が、保存された非表示及び表示の発言文書の一覧を見て、必要と思われる場合には非表示か表示かの扱いを変更できるようにしたものがある（例えば特許文献２を参照）。
【０００４】
【特許文献１】
特開２００２−２４１４７号公報
【特許文献２】
特開２００２−８２８６９号公報
【０００５】
【発明が解決しようとする課題】
上述した電子メールのセキュリティシステムでは、改竄された電子メールがＬＡＮ内に入ることを防止することはできるが、改竄自体を防止することができないため、結果としては被害をこうむることになる。また、上述した、電子掲示板のセキュリティシステムでは、迷惑な発言と判定した情報の表示を回避することはできるが、迷惑な発言かどうかは、語句だけでは判断がつかないことが多いと考えられる。
【０００６】
ところで、電子メールシステムや電子掲示板システム（以下、それぞれＷｅｂメールシステム、Ｗｅｂ掲示板システムとする）などのＷｅｂシステムにおいては、ＨＴＴＰで規定されたメソッド（ＰＯＳＴメソッドあるいはＰＵＴメソッド）を使用しているため、特定のメソッドを制御することによって、情報の書込みを規制することが考えられる。しかし、この場合は、全てのインターネット上、イントラネット上の書込みに対して、全てができなくなり、Ｗｅｂシステムのサービスが利用不可能となる。
【０００７】
本発明は上述のような事情から成されたものであり、本発明の目的は、ＨＴＴＰリクエストのメソッドを制御して、インターネットの利便性を妨げることなく、特定のＷｅｂシステムの情報資源に対してのみ不正な書込みや情報の漏洩を防止することができる、ＨＴＴＰリクエストのメソッド制御機能を有するデータ中継システム及びそのメソッド制御方法を提供することにある。
【０００８】
【課題を解決するための手段】
本発明は、ＨＴＴＰリクエストのメソッド制御機能を有するデータ中継システム及びそのメソッド制御方法に関するものであり、本発明の上記目的は、クライアントとＷＷＷサーバとの間で通信データを中継するデータ中継装置を有するデータ中継システムにおいて、各ＷＷＷサーバのＵＲＬ情報群を所定のカテゴリで分類して格納したＵＲＬデータベースと、ＨＴＴＰで規定されたＰＯＳＴ，ＰＵＴ，ＧＥＴ，及びＨＥＡＤを含む個別のメソッドを制御対象として各メソッドの使用を不許可とするか否かを示す識別情報を前記ＵＲＬデータベースに格納されているＵＲＬに対応させてメソッド規制情報として登録するメソッド規制情報登録手段と、前記クライアントからＷＷＷサーバへのＨＴＴＰリクエストを受信時に、前記ＨＴＴＰリクエストのヘッダ情報に前記使用を不許可とするメソッドが設定されているか否かを前記メソッド規制情報に基づいて判定すると共に、アクセス先のＵＲＬが規制対象のＵＲＬであるか否かを前記ＵＲＬデータベース及び前記メソッド規制情報に基づいて判定し、前記ＨＴＴＰリクエストのヘッダ情報に前記不許可とするメソッドが設定されており且つ前記アクセス先のＵＲＬが規制対象のＵＲＬであると判定した場合には前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、ＨＴＴＰリクエストのメソッドの使用を前記個別のメソッド毎に且つ前記アクセス先のＵＲＬ毎に規制するメソッド制御手段とを備えることによって達成される。
【０００９】
さらに、前記メソッド規制情報登録手段は、前記識別情報を前記ＵＲＬデータベースに格納されているＵＲＬに対応させると共に前記クライアントのユーザ又はユーザが属するグループに対応させて前記メソッド規制情報として登録する機能を有しており、前記メソッド制御手段は、前記ＨＴＴＰリクエストのヘッダ情報に前記不許可とするメソッドが設定されており且つ前記アクセス先のＵＲＬが規制対象のＵＲＬであると判定した場合、更に前記ＨＴＴＰリクエストに設定されているメソッドが前記クライアントのユーザに対して使用が許可されているか否かを前記メソッド規制情報に基づいて判定し、使用が許可されていない場合に前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、ＨＴＴＰリクエストのメソッドの使用を前記クライアントのユーザ毎又はユーザが属するグループ毎に規制すること；によって一層効果的に達成される。
【００１０】
さらに、前記ＨＴＴＰリクエストが前記ＷＷＷサーバへの接続要求であること；前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とした場合に、前記ＨＴＴＰリクエストのデータを破棄すると共に、前記ＨＴＴＰリクエストの不許可を示す応答データを前記クライアントへ送信して当該ユーザに通知する不許可通知送信手段を更に備えること；前記データ中継装置がプロキシサーバであること；前記制御対象の各メソッドが、前記ＵＲＬデータベースに格納されているＵＲＬ毎に個別に設定できるようになっていること；前記メソッド規制情報登録手段は、前記識別情報を前記ＵＲＬデータベースの分類要素であるカテゴリに対応させて登録できるようにしており、前記メソッド規制情報に前記カテゴリが設定されている場合、前記メソッド制御手段は、前記カテゴリに属する全てのＵＲＬを規制対象のＵＲＬとして処理するようにしていること；前記メソッド制御手段及び前記ＵＲＬデータベースを前記データ中継装置に備えること；前記メソッド規制情報登録手段を前記クライアントに備え、前記メソッド規制情報を当該クライアントから登録できるようにしていること；前記制御対象のメソッドが、Ｗｅｂメールシステム及びＷｅｂ掲示板システムで使用されるメソッドを含むこと；によって、それぞれ一層効果的に達成される。
【００１１】
また、ＨＴＴＰリクエストのメソッド制御方法に関しては、本発明の上記目的は、クライアントとＷＷＷサーバとの間で通信データを中継するデータ中継装置を有するデータ中継システムにおけるＨＴＴＰリクエストのメソッド制御方法であって、各ＷＷＷサーバのＵＲＬ情報群を所定のカテゴリで分類して格納したＵＲＬデータベースを備え、ＨＴＴＰで規定されたＰＯＳＴ，ＰＵＴ，ＧＥＴ，及びＨＥＡＤを含む個別のメソッドを制御対象として各メソッドの使用を不許可とするか否かを示す識別情報を前記ＵＲＬデータベースに格納されているＵＲＬに対応させてメソッド規制情報として予め記憶手段に記憶しておき、前記データ中継装置の制御手段は、前記クライアントからＷＷＷサーバへのＨＴＴＰリクエストを受信時に、前記ＨＴＴＰリクエストのヘッダ情報に前記使用を不許可とするメソッドが設定されているか否かを前記メソッド規制情報に基づいて判定すると共に、アクセス先のＵＲＬが規制対象のＵＲＬであるか否かを前記ＵＲＬデータベース及び前記メソッド規制情報に基づいて判定し、前記ＨＴＴＰリクエストのヘッダ情報に前記不許可とするメソッドが設定されており且つ前記アクセス先のＵＲＬが規制対象のＵＲＬであると判定した場合には前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、前記ＨＴＴＰリクエストのメソッドの使用を前記個別のメソッド毎に且つ前記アクセス先のＵＲＬ毎に規制することによって達成される。
【００１２】
さらに、前記識別情報を前記ＵＲＬデータベースに格納されているＵＲＬに対応させると共に前記クライアントのユーザ又はユーザが属するグループに対応させて前記メソッド規制情報として予め前記記憶手段に記憶しておき、前記データ中継装置の制御手段は、前記ＨＴＴＰリクエストのヘッダ情報に前記不許可とするメソッドが設定されており且つ前記アクセス先のＵＲＬが規制対象のＵＲＬであると判定した場合、更に前記ＨＴＴＰリクエストに設定されているメソッドが前記クライアントのユーザに対して使用が許可されているか否かを前記メソッド規制情報に基づいて判定し、使用が許可されていない場合に前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、ＨＴＴＰリクエストのメソッドの使用を前記クライアントのユーザ毎又はユーザが属するグループ毎に規制すること；によって一層効果的に達成される。
【００１３】
【発明の実施の形態】
本発明は、クライアントとＷＷＷ（World Wide Web）サーバとの間で通信データの中継を行うデータ中継システムにおいて、ＨＴＴＰリクエストを中継する際に、そのＨＴＴＰリクエストに設定されてるメソッドの使用の許可／不許可をＵＲＬ（Uniform Resource Locators）毎に制御するメソッド制御機能を備え、アクセス先のＵＲＬに対してメソッドの使用が許可されていない場合は、例えばＷＷＷサーバとの接続をせずにデータを破棄するようにしている。このような機能をデータ中継装置に備えることにより、特定のＵＲＬを対象として特定のＷｅｂシステムへの不正な情報の書込みや情報の書換え、企業内などの内部の人間による書込みによる情報の漏洩などを防止することができる。
【００１４】
さらに、本発明に係るデータ中継システムは、上記のようにメソッドの使用の許可／不許可をＵＲＬ毎に制御する機能の他に、メソッドの使用の許可／不許可をユーザ毎又はユーザが属するグループ毎に制御する機能を有しており、特定のユーザ又はグループを対象として、メソッドの使用を規制できるようにしている。規制の対象となるメソッドは、アクセス先のリソース環境を変更する類型のメソッドであり、例えばＲＦＣ２０６８，ＲＦＣ２０６９として標準化されているメソッドを例とすると、ＵＲＩ（Uniform Resource Identifiers）で指定したサーバのコマンドに対してデータを転送する「ＰＯＳＴメソッド」、ＵＲＩで指定したリソースを転送するデータで置換える「ＰＵＴメソッド」などが該当する。また、機密情報の漏洩を防止する場合、ＵＲＩで指定したリソースを取得する「ＧＥＴメソッド」や、ＵＲＩで指定したリソースのレスポンスヘッダを取得する「ＨＥＡＤメソッド」など、アクセス先のリソースを参照する類型のメソッドを規制の対象とするようにしても良い。
【００１５】
なお、本発明に係るデータ中継システムの構成要素であるデータ中継装置は、プロキシサーバが好ましいが、プロキシサーバに限らず、中継経路の制御機能等を有するルータやプロトコル変換機能等を有するゲートウェイ装置にも適用することができる。以下、これらの装置を含む、インターネット上のＷＷＷサーバとクライアントとの間のデータ通信を中継する装置を「データ中継装置」と称し、更に、そのデータ中継装置と関連するＡＳＰ（Application Service Provider）を含むシステムを「データ中継システム」と称して、本発明の好適な実施の形態を図面に基づいて詳細に説明する。
【００１６】
図１は、本発明に係るデータ中継システムの全体構成の一例を模式図で示している。企業などの組織において、各自のパーソナルコンピュータからインターネットにアクセス可能とする場合、例えば、図１に示すように、セキュリティ機能やキャッシュ機能を有するデータ中継装置（本例ではプロキシサーバ）２０をＬＡＮ１とインターネット２との間に接続し、そのプロキシサーバ２０を経由して各クライアント端末１０（以下、「クライアント」とする）から、インターネット上あるいはイントラネット上のＷｅｂメールシステム４０ａやＷｅｂ掲示板システム４０ｂ等のＷＷＷサーバ４０にアクセスする形態が広くとられている。
【００１７】
一般的に、プロキシサーバは、構内ネットワークやイントラネット等の内部ネットワークに接続されるクライアント１０の全ての中継データを対象としてキャッシュやログ（経過記録）の制御を行うようにしているが、本発明に係るプロキシサーバ２０では、ＬＡＮ１等の内部ネットワークに接続される各クライアント１０を、例えば総務部や開発部のように特定のグループ（Ｇ１−１，Ｇ１−２…、Ｇ２−１，Ｇ２−２…）でグループ化し、それらのグループ毎に当該データのキャッシュ又はログを制御するようにしている。また、ＷＷＷサーバ４０に対するメソッドの使用の許可／不許可をアクセス先のＵＲＬ毎に制御すると共に、ユーザ毎又はユーザが属するグループ毎に制御し、当該ＷＷＷシステム４０への情報の書込みを規制するようにしている。
【００１８】
図１中に示されるＵＲＬデータベース３０は、全世界に存在するウェブサイトのＵＲＬの情報群を、情報の種類、利用技術の種類、閲覧系、決済系、データベース利用型などの所定のカテゴリで分類し、各種のキーで索引可能にＵＲＬ情報群を格納したデータベースであり、当該ウェブサイトのＵＲＬとそのカテゴリを示す分類コード等が関連付けられて登録されている。このＵＲＬデータベース３０は、例えばデータ中継システムの運営・管理等を行なうＡＳＰから提供される。ＡＳＰのコンピュータは、例えば所定のアルゴリズムで最新のサイトのＵＲＬ情報などを自動収集してカテゴライズし、該当の更新情報を通信ネットワークを介して毎日配信するなど、ＵＲＬデータベース３０を適時更新するＵＲＬ情報更新手段を備えている。また、ユーザが所定のカテゴリで分類したＵＲＬ情報をＵＲＬデータベース３０に登録するＵＲＬ情報登録手段を備え、ユーザが所望のＵＲＬ情報を登録できるようにしている。
【００１９】
本発明の実施の形態では、このＵＲＬデータベース３０に登録されているＵＲＬを対象として、ＨＴＴＰリクエストのメソッドの使用の許可／不許可をアクセス先のＵＲＬ毎に制御することで、インターネットやイントラネット上の全てのウェブサイトではなく、特定のＵＲＬに対してのみ当該メソッドによるアクセスを規制することを可能としている。
【００２０】
図２は、本発明に係るメソッド制御機能を有するプロキシサーバの主要部の構成例を示すブロック図で示している。ＵＲＬデータベース３０は、本例ではプロキシサーバ２０（あるいは他の装置）に設けられ、前述のＵＲＬ情報更新手段３１は、図示されないＡＬＰのコンピュータに設けられている。
【００２１】
メソッド規制情報登録手段２１は、ＨＴＴＰで規定されたメソッドのうち特定のメソッドを制御対象として、その制御対象のメソッドの使用を許可するか否かを示す識別情報をＵＲＬデータベース３０に格納されているＵＲＬに対応させて「メソッド規制情報」として登録する手段であり、本例ではクライアント側の特定の端末に備え、メソッド規制情報を当該クライアントから登録できるようにしている
【００２２】
プロキシサーバ２０の主要な構成としては、規制対象のＵＲＬ情報群を含む各ＷＷＷサーバのＵＲＬ情報群を格納したＵＲＬデータベース３０と、メソッド規制情報登録手段２１によって登録されたメソッド規制情報を記憶するメソッド規制情報記憶手段２２と、制御対象のメソッドの使用をアクセス先のＵＲＬ毎に規制するメソッド制御手段２３と、このメソッド制御手段によってＷＷＷサーバへのＨＴＴＰリクエストを不許可とした場合に、ＨＴＴＰリクエストのデータを破棄すると共に、ＨＴＴＰリクエストの不許可を示す応答データをクライアントへ送信して当該ユーザに通知する不許可通知送信手段２４とを備えている。
【００２３】
プロキシサーバ２０のメソッド制御手段２３は、例えば、クライアントからのＷＷＷサーバへのＨＴＴＰリクエストを受信時に、そのＨＴＴＰリクエストのヘッダ情報に制御対象のメソッドが設定されているか否かを判定すると共に、ＵＲＬデータベース３０を参照してアクセス先のＵＲＬが規制対象のＵＲＬであるか否かを上記メソッド規制情報に基づいて判定し、制御対象のメソッドで且つ規制対象のＵＲＬであると判定した場合にはＷＷＷサーバへのＨＴＴＰリクエストを不許可とし、ＷＷＷサーバへのデータ転送を拒否するようにしている。
【００２４】
上記のメソッド規制情報は、図３の模式図に示すように、例えば、ＵＲＬ情報と、ユーザ又はユーザが属するグループをそれぞれ特定するユーザＩＤ（図３中のＵＳＥＲ欄内のＵ１、Ｕ２、…、Ｇ１、Ｇ２…）と、制御対象のメソッドの使用を許可するか否かを示す識別情報（図３中の○が許可、×が不許可）とから構成される。そして、図３に示すような、各ＵＲＬと各ユーザ又はグループと識別情報（メソッドの使用許可又は不許可）との対応関係を示す「メソッド規制情報」、すなわち、どのユーザ又はグループからのどのＵＲＬに対するメソッドの使用を許可するか否かを示す「メソッド規制情報」が、前述のメソッド規制情報登録手段２１によって登録されて、プロキシサーバ２０内のメソッド規制情報記憶手段２２に記憶されるようになっている。また、規制対象のＵＲＬは、個々のＵＲＬ毎に設定する機能の他に、分類されたＵＲＬデータベース３０のカテゴリ毎に設定する機能を備えるようにしても良い。さらに、メソッド規制情報の設定は、全てのＵＲＬの初期値を不許可（又は許可）とし、許可するＵＲＬ（又は許可しないＵＲＬ）だけを対象として設定するようにしても良い。また、制御対象のメソッドは、ＵＲＬ別又はユーザ別（又はユーザが属するグループ別）、あるいは、ＵＲＬ別で且つユーザ別（又はユーザが属するグループ別）に特定のメソッドを個別に設定できるようにしても良い。
【００２５】
図３の例では、Ｕ１、Ｕ２のユーザとＧ１、Ｇ２のグループに属する各ユーザは、Ａ１のＵＲＬに対しては、メソッドの使用を許可し、カテゴリＣ２に属する全てのＵＲＬに対しては、メソッドの使用を許可しないようにそれぞれ設定されている。また、Ａ２のＵＲＬに対しては、Ｕ２のユーザとＧ２のグループに属する各ユーザは、メソッドの使用を許可しないように設定されている。なお、メソッドの使用を規制する対象は、ユーザが独自に設定可能であり、ユーザは、メソッド規制情報登録手段２１によって表示される画面の案内に従って、規制対象のメソッドとＵＲＬとユーザ（又はグループ）との対応を設定し、プロキシサーバ２０の規制情報記憶手段２２に登録する。
【００２６】
図２に示したメソッド制御手段２３では、ＨＴＴＰリクエストを受信時に、上記のようなメソッド規制情報に基づいて、ＨＴＴＰリクエストに設定されているメソッドが制御対象のメソッドで、且つアクセス先が規制対象のＵＲＬであると判定した場合、更にそのメソッドがクライアントのユーザに対して使用が許可されているか否かを判定し、使用が許可されていない場合にＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、制御対象のメソッドの使用をクライアントのユーザ毎又はユーザが属するグループ毎に規制するようにしている。
【００２７】
上述のようなメソッド制御機能は、本実施の形態ではＣＰＵにより実行されるコンピュータ・プログラム（以下、プログラムとする）で実現され、そのプログラムは所定の記録媒体（フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＤＶＤ−Ｒ、ＰＤディスク、ＭＤディスク、ＭＯディスク等の記録媒体）に記録されている。なお、一部のメソッド制御機能をハードウェアで実現する形態も本発明に含まれる。
【００２８】
上述のような構成において、プロキシサーバでのメソッド制御に係る動作例を説明する。
【００２９】
先ず、図４の模式図を参照して概略の動作例を説明する。プロキシサーバ１０では、クライアント１０からＷＷＷサーバへの接続要求を受信すると（▲１▼）、ＨＴＴＰのヘッダ情報の内容からリクエスト時のメソッドを特定する（▲２▼）。このメソッドが制御対象のメソッドであれば、アクセス先のＵＲＬがＵＲＬデータベースに登録されているか否かを判定し、登録されていれば、メソッド規制情報に基づいて当該メソッドの使用を許可するか否かを判定する。本実施の形態では、アクセス先のＵＲＬが規制対象で且つ、接続要求元のユーザが制御対象（規制対象）のユーザ又はグループに属するユーザであるか否かを判定する（▲３▼）。そして、当該メソッドの使用を許可すると判定した場合は、通常の中継処理と同様に、クライアント１０が要求したＷＷＷとの接続を行ってデータを転送し、（▲４▼−１）、接続したＷＷＷサーバの応答データをクライアント１０へ転送する（▲５▼）。一方、当該メソッドの使用を許可しないと判定した場合は、クライアントからの書込みデータを破棄すると共に、規制した旨の通知をクライアント１へ送信し、当該ＨＴＴＰリクエストのメソッド制御に係る処理を終了する（▲４▼−２）。
【００３０】
次に、プロキシサーバでのメソッド制御に係る具体的な動作例を図５のフローチャートに従って説明する。
【００３１】
クライアント１０から送信されたＷＷＷサーバへの接続要求を受信すると（ステップＳ１、Ｓ２）、プロキシサーバ１０のメソッド制御手段では、先ず、ＨＴＴＰのヘッダ情報の内容からリクエスト時のメソッドを特定する。リクエスト時のメソッドは、例えば図６に示すように、ＨＴＴＰのヘッダ部に設定されている（図６の例では、ＰＯＳＴメソッド）。メソッド制御手段では、リクエスト時のメソッドが、予め設定されている制御対象のメソッド群に存在するか否かを判定し、存在するのであれば制御対象のメソッドと判断する。ここで言う制御対象のメソッドとは、本例では、ＨＴＴＰで規定されたメソッドのうち、アクセス先のリソース環境を変更する類型のメソッドであり、例えば該当のメソッドがＨＴＴＰの仕様に応じて予めテーブル等に設定されている。
【００３２】
制御対象のメソッドと判断した場合は、接続先のＵＲＬがＵＲＬデータベースに含まれているか否かを判定し（ステップＳ３）、含まれている場合は、制御対象のＵＲＬと判断する。そして、制御対象のＵＲＬであると判定した場合は、ＨＴＴＰリクエストに使用されているメソッドが、アクセス先のＵＲＬに対して許可され、且つそのユーザ又はユーザが属するグループに対して許可されているか否かを、予め設定されたメソッド規制情報に基づいて判定する（ステップＳ４）。例えば、図３のメソッド規制情報の例において、アクセス先のＵＲＬが「Ａ２」で、接続要求を受信時に認証したユーザが「Ｕ２」の場合、メソッドの使用が許可されていないと判断し、ＨＴＴＰリクエストのデータを破棄すると共に、ＷＷＷ接続の不許可を示す応答データをクライアント１０へ送信して当該ユーザに通知する（ステップＳ５）。クライアント１０の表示部には、例えば、ブラウザの利用不許可の画面が表示される（ステップＳ５）。
【００３３】
一方、ステップＳ４において、メソッドの使用が許可されていると判断した場合は、プロキシサーバ１０は、クライアント１０が要求したＷＷＷサーバ３０との接続を行ってデータを転送する（ステップＳ７）。接続要求を受付けたＷＷＷサーバ３０では、クライアント１０からのデータを受信し、応答データを返送する（ステップＳ８、Ｓ９）。応答データを受けたプロキシサーバ１０では、ＷＷＷサーバ３０からの応答データをクライアント１０へ転送する（ステップＳ１０）。そして、応答データを受信したクライアント１０では、ＷＷＷサーバのＷｅｂデータ（ＨＴＭＬ，ＸＭＬなど）を表示部に表示し（ステップＳ１１）、そのＨＴＴＰリクエストに対する処理を終了する。
【００３４】
なお、上述した実施の形態では、本発明に係るＨＴＴＰリクエストのメソッド制御方法を適用した装置としては、プロキシサーバを例として説明したが、プロキシサーバに限るものではなく、ゲートウェイ装置やノード（Node）用のコンピュータなど、クライアントとリクエスト先のデータサーバとの間で通信データを中継する装置であれば良い。また、リクエスト先のデータサーバは、インターネット上のＷＷＷサーバに限るものではなく、インターネット以外の通信ネットワーク（ＬＡＮ、イントラネット，エクストラネット等）に接続されるデータサーバであっても良い。
【００３５】
【発明の効果】
以上に説明したように、本発明によれば、ＨＴＴＰリクエストのメソッドを特定のＵＲＬ毎に制御することによって、当該メソッドの使用を規制するようにしているので、特定のＷｅｂ掲示板や特定のＷｅｂメールシステムに対してのみ、情報の書込み等を制御することが可能となる。そのため、インターネットの利便性を妨げることなく、不正な書込みや情報の漏洩を防止すことが可能となる。また、ユーザ毎又はユーザが属するグループ毎に、当該メソッドの使用を制御するようにしているので、特定のユーザ又は特定のグループに対してのみ、情報の書込み等を規制することが可能となる。そのため、特定のＵＲＬ毎の他に、特定のユーザ又はグループ毎に、情報の書込みの権限を制御することが可能となる。
【図面の簡単な説明】
【図１】本発明に係るデータ中継システムの全体構成の一例を示す模式図である。
【図２】本発明に係るメソッド制御機能を有するデータ中継装置の主要部の構成例を示すブロック図である。
【図３】本発明に係わるメソッド規制情報に一例を示す模式図である。
【図４】本発明に係るデータ中継装置の概略の動作例を説明するための模式図である。
【図５】本発明に係るデータ中継装置のメソッド制御に係る具体的な動作例を説明するためのフローチャートである。
【図６】本発明における制御対象のＨＴＴＰリクエストのメソッドの一例を示す図である。
【符号の説明】
１ ＬＡＮ
２ インターネット
１０ クライアント
２０ データ中継装置（プロキシサーバ）
２１ メソッド規制情報登録手段
２２ メソッド規制情報記憶手段
２３ メソッド制御手段
２４ 不許可通知送信手段
３０ ＵＲＬデータベース
３１ ＵＲＬ情報更新手段
４０ ＷＷＷサーバ
Claims (12)
- クライアントとＷＷＷサーバとの間で通信データを中継するデータ中継装置を有するデータ中継システムにおいて、各ＷＷＷサーバのＵＲＬ情報群を所定のカテゴリで分類して格納したＵＲＬデータベースと、ＨＴＴＰで規定されたＰＯＳＴ，ＰＵＴ，ＧＥＴ，及びＨＥＡＤを含む個別のメソッドを制御対象として各メソッドの使用を不許可とするか否かを示す識別情報を前記ＵＲＬデータベースに格納されているＵＲＬに対応させてメソッド規制情報として登録するメソッド規制情報登録手段と、前記クライアントからＷＷＷサーバへのＨＴＴＰリクエストを受信時に、前記ＨＴＴＰリクエストのヘッダ情報に前記使用を不許可とするメソッドが設定されているか否かを前記メソッド規制情報に基づいて判定すると共に、アクセス先のＵＲＬが規制対象のＵＲＬであるか否かを前記ＵＲＬデータベース及び前記メソッド規制情報に基づいて判定し、前記ＨＴＴＰリクエストのヘッダ情報に前記不許可とするメソッドが設定されており且つ前記アクセス先のＵＲＬが規制対象のＵＲＬであると判定した場合には前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、ＨＴＴＰリクエストのメソッドの使用を前記個別のメソッド毎に且つ前記アクセス先のＵＲＬ毎に規制するメソッド制御手段とを備えたことを特徴とするＨＴＴＰリクエストのメソッド制御機能を有するデータ中継システム。
- 前記メソッド規制情報登録手段は、前記識別情報を前記ＵＲＬデータベースに格納されているＵＲＬに対応させると共に前記クライアントのユーザ又はユーザが属するグループに対応させて前記メソッド規制情報として登録する機能を有しており、前記メソッド制御手段は、前記ＨＴＴＰリクエストのヘッダ情報に前記不許可とするメソッドが設定されており且つ前記アクセス先のＵＲＬが規制対象のＵＲＬであると判定した場合、更に前記ＨＴＴＰリクエストに設定されているメソッドが前記クライアントのユーザに対して使用が許可されているか否かを前記メソッド規制情報に基づいて判定し、使用が許可されていない場合に前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、ＨＴＴＰリクエストのメソッドの使用を前記クライアントのユーザ毎又はユーザが属するグループ毎に規制するようにしている請求項１に記載のＨＴＴＰリクエストのメソッド制御機能を有するデータ中継システム。
- 前記ＨＴＴＰリクエストが前記ＷＷＷサーバへの接続要求である請求項１に記載のデータ中継システム。
- 前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とした場合に、前記ＨＴＴＰリクエストのデータを破棄すると共に、前記ＨＴＴＰリクエストの不許可を示す応答データを前記クライアントへ送信して当該ユーザに通知する不許可通知送信手段を更に備えた請求項１に記載のデータ中継システム。
- 前記データ中継装置がプロキシサーバである請求項１に記載のＨＴＴＰリクエストのメソッド制御機能を有するデータ中継システム。
- 前記制御対象の各メソッドが、前記ＵＲＬデータベースに格納されているＵＲＬ毎に個別に設定できるようになっている請求項１に記載のデータ中継システム。
- 前記メソッド規制情報登録手段は、前記識別情報を前記ＵＲＬデータベースの分類要素であるカテゴリに対応させて登録できるようにしており、前記メソッド規制情報に前記カテゴリが設定されている場合、前記メソッド制御手段は、前記カテゴリに属する全てのＵＲＬを規制対象のＵＲＬとして処理するようにしている請求項１に記載のデータ中継システム。
- 前記メソッド制御手段及び前記ＵＲＬデータベースを前記データ中継装置に備えた請求項１に記載のＨＴＴＰリクエストのメソッド制御機能を有するデータ中継システム。
- 前記メソッド規制情報登録手段を前記クライアントに備え、前記メソッド規制情報を当該クライアントから登録できるようにしている請求項２に記載のＨＴＴＰリクエストのメソッド制御機能を有するデータ中継システム。
- 前記制御対象のメソッドが、Ｗｅｂメールシステム及びＷｅｂ掲示板システムで使用されるメソッドを含む請求項１に記載のＨＴＴＰリクエストのメソッド制御機能を有するデータ中継システム。
- クライアントとＷＷＷサーバとの間で通信データを中継するデータ中継装置を有するデータ中継システムにおけるＨＴＴＰリクエストのメソッド制御方法であって、各ＷＷＷサーバのＵＲＬ情報群を所定のカテゴリで分類して格納したＵＲＬデータベースを備え、ＨＴＴＰで規定されたＰＯＳＴ，ＰＵＴ，ＧＥＴ，及びＨＥＡＤを含む個別のメソッドを制御対象として各メソッドの使用を不許可とするか否かを示す識別情報を前記ＵＲＬデータベースに格納されているＵＲＬに対応させてメソッド規制情報として予め記憶手段に記憶しておき、前記データ中継装置の制御手段は、前記クライアントからＷＷＷサーバへのＨＴＴＰリクエストを受信時に、前記ＨＴＴＰリクエストのヘッダ情報に前記使用を不許可とするメソッドが設定されているか否かを前記メソッド規制情報に基づいて判定すると共に、アクセス先のＵＲＬが規制対象のＵＲＬであるか否かを前記ＵＲＬデータベース及び前記メソッド規制情報に基づいて判定し、前記ＨＴＴＰリクエストのヘッダ情報に前記不許可とするメソッドが設定されており且つ前記アクセス先のＵＲＬが規制対象のＵＲＬであると判定した場合には前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、前記ＨＴＴＰリクエストのメソッドの使用を前記個別のメソッド毎に且つ前記アクセス先のＵＲＬ毎に規制するようにしたことを特徴とするＨＴＴＰリクエストのメソッド制御方法。
- 前記識別情報を前記ＵＲＬデータベースに格納されているＵＲＬに対応させると共に前記クライアントのユーザ又はユーザが属するグループに対応させて前記メソッド規制情報として予め前記記憶手段に記憶しておき、前記データ中継装置の制御手段は、前記ＨＴＴＰリクエストのヘッダ情報に前記不許可とするメソッドが設定されており且つ前記アクセス先のＵＲＬが規制対象のＵＲＬであると判定した場合、更に前記ＨＴＴＰリクエストに設定されているメソッドが前記クライアントのユーザに対して使用が許可されているか否かを前記メソッド規制情報に基づいて判定し、使用が許可されていない場合に前記ＷＷＷサーバへのＨＴＴＰリクエストを不許可とすることによって、ＨＴＴＰリクエストのメソッドの使用を前記クライアントのユーザ毎又はユーザが属するグループ毎に規制するようにした請求項１１に記載のＨＴＴＰリクエストのメソッド制御方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003141436A JP4524492B2 (ja) | 2003-05-20 | 2003-05-20 | Ｈｔｔｐリクエストのメソッド制御機能を有するデータ中継システム及びそのメソッド制御方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003141436A JP4524492B2 (ja) | 2003-05-20 | 2003-05-20 | Ｈｔｔｐリクエストのメソッド制御機能を有するデータ中継システム及びそのメソッド制御方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004348202A JP2004348202A (ja) | 2004-12-09 |
| JP4524492B2 true JP4524492B2 (ja) | 2010-08-18 |
Family
ID=33529788
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003141436A Expired - Lifetime JP4524492B2 (ja) | 2003-05-20 | 2003-05-20 | Ｈｔｔｐリクエストのメソッド制御機能を有するデータ中継システム及びそのメソッド制御方法 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4524492B2 (ja) |
Families Citing this family (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4354950B2 (ja) * | 2005-12-28 | 2009-10-28 | キヤノンＩｔソリューションズ株式会社 | 情報処理装置、情報処理方法、コンピュータプログラム、及び記憶媒体 |
| JP4405503B2 (ja) | 2006-12-28 | 2010-01-27 | キヤノンＩｔソリューションズ株式会社 | 情報処理装置および情報処理装置の制御方法およびプログラムおよび記録媒体 |
| JP4738447B2 (ja) * | 2007-06-29 | 2011-08-03 | キヤノンＩｔソリューションズ株式会社 | 情報処理装置、情報処理方法、及び、コンピュータプログラム |
| MX2016006798A (es) | 2013-11-27 | 2016-11-28 | Interdigital Patent Holdings Inc | Descripcion de medios de presentacion. |
Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001282797A (ja) * | 2000-03-31 | 2001-10-12 | Digital Arts Inc | インターネット閲覧制御方法、その方法を実施するプログラムを記録した媒体およびインターネット閲覧制御装置 |
-
2003
- 2003-05-20 JP JP2003141436A patent/JP4524492B2/ja not_active Expired - Lifetime
Patent Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001282797A (ja) * | 2000-03-31 | 2001-10-12 | Digital Arts Inc | インターネット閲覧制御方法、その方法を実施するプログラムを記録した媒体およびインターネット閲覧制御装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004348202A (ja) | 2004-12-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US6772214B1 (en) | System and method for filtering of web-based content stored on a proxy cache server | |
| JP3995338B2 (ja) | ネットワーク接続制御方法及びシステム | |
| US7269853B1 (en) | Privacy policy change notification | |
| JP4891299B2 (ja) | Ｉｐアドレスを用いるユーザ認証システム及びその方法 | |
| EP1645971B1 (en) | Database access control method, database access controller, agent processing server, database access control program, and medium recording the program | |
| JP4616352B2 (ja) | ユーザ確認装置、方法及びプログラム | |
| US8635679B2 (en) | Networked identity framework | |
| JP4757430B2 (ja) | インターネットサイトに対するアクセス制御方法 | |
| US7827318B2 (en) | User enrollment in an e-community | |
| US7636941B2 (en) | Cross-domain authentication | |
| US20050239447A1 (en) | Account creation via a mobile device | |
| US20020120866A1 (en) | Parental consent service | |
| US7188252B1 (en) | User editable consent | |
| JP4746053B2 (ja) | 個人データの制御装置及び方法 | |
| JP2003228520A (ja) | 保護電子データにオフラインでアクセスする方法及び装置 | |
| WO2010111914A1 (zh) | 一种网络权限管理方法、装置和系统 | |
| JP2006522374A (ja) | アクセス提供方法 | |
| US7356711B1 (en) | Secure registration | |
| JP2002183089A (ja) | ログイン認証装置、およびログイン認証方法 | |
| JP4524492B2 (ja) | Ｈｔｔｐリクエストのメソッド制御機能を有するデータ中継システム及びそのメソッド制御方法 | |
| KR20020027702A (ko) | 인터넷상에서 유해 사이트 접속을 차단하는 방법 | |
| JPH11212849A (ja) | 共有ファイル送受信システム、アクセス権利判定装置 | |
| JP2006235743A (ja) | アクセス制御装置、アクセス制御方法およびプログラム | |
| Galbraith et al. | Secure Shell Public Key Subsystem | |
| Meier et al. | Building secure ASP .NET applications: authentication, authorization, and secure communication |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060213 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20090714 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090911 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20100511 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20100518 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130611 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 Ref document number: 4524492 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130611 Year of fee payment: 3 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130611 Year of fee payment: 3 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| EXPY | Cancellation because of completion of term |