JP5112996B2 - ウェブアクセス制御装置、ウェブアクセス制御システム及びコンピュータプログラム - Google Patents

Description

本発明は、ウェブアクセス制御装置、ウェブアクセス制御システム及びコンピュータプログラムに関する。

企業内に設けられたローカルエリアネットワーク（企業内ＬＡＮ）は、一般にインターネットに接続されており、社員が自分の端末を用いてインターネット上のウェブサイトにアクセスすることができるようになっている。また、社員が業務に関係のないウェブサイトへアクセスすることを防ぐために、又は、コンピュータウィルス及びフィッシングサイトなどの悪意あるウェブサイトからの攻撃を防御するために、企業内ＬＡＮにおいて、インターネットへのゲートウェイで、不適切なウェブサイトへのアクセスを阻止することがある。

不適切なウェブサイトへのアクセスを阻止するためのフィルタリング技術として、例えば特許文献１，２に記載の技術では、あらかじめ収集したＵＲＬ（Uniform Resource Locator）及びキーワードをデータベース化し、キーワードとＵＲＬの組合せによって、ウェブサイトへのアクセスをフィルタリングしている。また、データベースに登録する対象のＵＲＬは、インターネット上のウェブサイトを巡回することにより収集する。そして、収集されたＵＲＬに対応するウェブページの内容から、該ウェブページがどのような種類の情報に関するものであるのかを判断し、この結果に基づいて当該ＵＲＬを分類し、データベースに登録している。また、特許文献３に記載の技術では、未分類のＵＲＬを分類するためのセンターを各ユーザに共通に設け、ユーザからセンターに未分類のＵＲＬを送信し、センターでＵＲＬの解析を行っている。
特開２００３−５０７５８号公報 特開２００１−２８２７９７号公報 米国特許出願公開第２００５／００６０４０４号明細書

しかし、上述した従来技術では、以下に示すような問題がある。

特許文献１，２に記載の技術では、インターネット上のウェブサイトを巡回することによりＵＲＬを収集するが、インターネット上に無数に存在するウェブサイトの全てのＵＲＬを網羅することは困難である。また、特定のユーザしかログインできないウェブサイトからは、ＵＲＬを取得することができない。

特許文献３に記載の技術では、例えば企業内ＬＡＮからインターネット上に設けられたセンターに未分類のＵＲＬを送信してＵＲＬの解析を依頼することになるが、これでは企業内ＬＡＮ内部のＵＲＬなどの情報がセンターに漏洩してしまう。また、センターは様々な企業や組織から受信したＵＲＬを扱うので、特定の企業や組織に合致した解析結果が得られない可能性がある。

本発明は、このような事情を考慮してなされたもので、その目的は、企業内ＬＡＮ等の第１のネットワークから該第１のネットワークの外部の第２のネットワーク（例えばインターネットなど）上のウェブサイトへのアクセスを制限するためのフィルタリングにおいて、第１のネットワークから第２のネットワーク上のウェブサイトへアクセスするときの通信データに基づいて、アクセスを制御する対象のウェブサイトを特定するためのフィルタ情報を生成することにより、フィルタリングの効率向上を図ることのできるウェブアクセス制御装置、ウェブアクセス制御システム及びコンピュータプログラムを提供することにある。

上記の課題を解決するために、本発明に係るウェブアクセス制御装置は、第１のネットワークから該第１のネットワークの外部の第２のネットワーク上のウェブサイトへのアクセスを制限するためのフィルタリングを行うウェブアクセス制御装置において、端末から受信した通信データの中から、前記第２のネットワーク上のウェブサイトへアクセスするためのアクセス情報を取得するアクセス情報取得部と、あらかじめ定められた分類情報に従って、前記アクセス情報を分類する分類部と、前記分類されたアクセス情報と分類名の組を蓄積するフィルタ情報データベースと、前記分類名ごとにアクセスの許可又は不許可を前記フィルタ情報データベースに設定するための入力部と、前記フィルタ情報データベースを用いて、前記第２のネットワーク上のウェブサイトへのアクセスをフィルタリングするフィルタリング部と、を備えたことを特徴とする。

本発明に係るウェブアクセス制御装置においては、前記アクセス情報から特徴量を抽出する特徴量抽出部と、前記アクセス情報の特徴量を蓄積する特徴量データベースと、を備え、前記分類部は、前記分類情報では分類できなかった未分類のアクセス情報に対し、該未分類のアクセス情報と同様の特徴量を有する分類済みのアクセス情報と同じ分類名を適用することを特徴とする。

本発明に係るウェブアクセス制御装置においては、前記アクセス情報に含まれるキーワードに基づいて、当該アクセス情報に対する分類名を再定義する再分類部を備えたことを特徴とする。

本発明に係るウェブアクセス制御装置においては、ネットワーク上で公開されている分類情報リストを通信により取得するリスト取得部と、該取得された分類情報リストを記憶するリスト記憶部と、を備えたことを特徴とする。

本発明に係るウェブアクセス制御装置においては、前記第１のネットワークの外部のネットワーク上に設けられた各ウェブアクセス制御装置に共通のセンター装置に対し、アクセス情報をハッシュ関数により変換したハッシュ値を送信してハッシュ値に係る情報を問合せし、その返答を受信して当該アクセス情報の分類名に関連付けて前記フィルタ情報データベースに格納するセンター問合せ部を備えたことを特徴とする。

本発明に係るウェブアクセス制御システムは、前述のウェブアクセス制御装置と、センター装置とを備え、 前記センター装置は、各ウェブアクセス制御装置から受信したハッシュ値を統計処理するハッシュ値処理部と、該統計処理結果の統計情報を記憶するハッシュ値情報データベースと、ウェブアクセス制御装置からの問い合わせに応じて、該ウェブアクセス制御装置から受信したハッシュ値に該当する統計情報を前記ハッシュ値情報データベースから取得し、取得した統計情報を該ウェブアクセス制御装置へ返答する問合せ処理部とを有することを特徴とする。

本発明に係るコンピュータプログラムは、第１のネットワークから該第１のネットワークの外部の第２のネットワーク上のウェブサイトへのアクセスを制限するためのフィルタリングに用いるフィルタ情報を生成するためのコンピュータプログラムであり、端末から受信した通信データの中から、前記第２のネットワーク上のウェブサイトへアクセスするためのアクセス情報を取得する機能と、あらかじめ定められた分類情報に従って、前記アクセス情報と分類名の組を生成する機能と、をコンピュータに実現させるためのコンピュータプログラムである。

本発明に係るコンピュータプログラムにおいては、前記アクセス情報から特徴量を抽出する機能と、前記分類情報では分類できなかった未分類のアクセス情報に対し、該未分類のアクセス情報と同様の特徴量を有する分類済みのアクセス情報と同じ分類名を適用する機能と、をさらにコンピュータに実現させるためのコンピュータプログラムである。

本発明に係るコンピュータプログラムにおいては、前記アクセス情報に含まれるキーワードに基づいて、当該アクセス情報に対する分類名を再定義する機能をさらにコンピュータに実現させるためのコンピュータプログラムである。

本発明に係るコンピュータプログラムにおいては、ネットワーク上で公開されている分類情報リストを通信により取得する機能をさらにコンピュータに実現させるためのコンピュータプログラムである。

本発明に係るコンピュータプログラムにおいては、前記第１のネットワークの外部のネットワーク上に設けられた各ウェブアクセス制御装置に共通のセンター装置に対し、アクセス情報をハッシュ関数により変換したハッシュ値を送信してハッシュ値に係る情報を問合せし、その返答を受信して当該アクセス情報の分類名に関連付けて記録する機能をさらにコンピュータに実現させるためのコンピュータプログラムである。
これにより、前述のウェブアクセス制御装置がコンピュータを利用して実現できるようになる。

本発明によれば、企業内ＬＡＮ等の第１のネットワークから該第１のネットワークの外部の第２のネットワーク（例えばインターネットなど）上のウェブサイトへのアクセスを制限するためのフィルタリングにおいて、第１のネットワークから第２のネットワーク上のウェブサイトへアクセスするときの通信データに基づいて、アクセスを制御する対象のウェブサイトを特定するためのフィルタ情報を生成することができる。これにより、フィルタリングの効率向上を図ることができるという効果が得られる。

以下、図面を参照し、本発明の実施形態について説明する。

［第１の実施形態］
図１は、本発明の第１の実施形態に係るウェブアクセスシステムの全体構成を示す概念図である。図１において、企業内ＬＡＮ１は、ウェブアクセス制御装置２と端末３が通信回線で接続されたネットワーク構成となっている。ウェブアクセス制御装置２は、企業内ＬＡＮ１の外部のネットワークであるインターネット４に通信回線で接続されている。インターネット４上には複数のウェブサイト５が設けられている。

端末３は、ウェブアクセス制御装置２を介して、インターネット４上のウェブサイト５にアクセスする。ウェブアクセス制御装置２は、端末３からのインターネット４上のウェブサイト５へのアクセスをフィルタリングする。

図２は、本発明の第１の実施形態に係るウェブアクセス制御装置２の構成を示すブロック図である。図２において、ウェブアクセス制御装置２は、ネットワークインタフェース部１１，１２とフィルタリング部１３とフィルタ情報データベース１４とアクセス情報取得部１５と特徴量抽出部１６と特徴量データベース１７と分類部１８とリスト記憶部１９とリスト取得部２０と入力部２１と出力部２２を有する。

ネットワークインタフェース部１１は、企業内ＬＡＮ１内部の通信回線により端末３との間で通信データを送受する。ネットワークインタフェース部１２は、インターネット４と接続する通信回線により、インターネット４上のウェブサイト５等の通信可能な装置との間で通信データを送受する。

フィルタリング部１３は、端末３からのインターネット４上のウェブサイト５へのアクセスをフィルタリングする。フィルタ情報データベース１４は、アクセスを制御する対象のウェブサイト５を特定するためのフィルタ情報を蓄積する。フィルタリング部１３は、フィルタ情報データベース１４内のフィルタ情報を用いて、フィルタリングを行う。

アクセス情報取得部１５は、ネットワークインタフェース部１１が端末３から受信した通信データの中から、インターネット４上のウェブサイト５へアクセスするための情報（アクセス情報）を取得する。特徴量抽出部１６は、アクセス情報から特徴量を抽出する。特徴量データベース１７は、アクセス情報の特徴量を蓄積する。

分類部１８は、あらかじめ定められた分類情報に従って、アクセス情報を分類する。リスト記憶部１９は、アクセス情報を分類するための情報（分類情報）が記載されたリスト（分類情報リスト）を記憶する。リスト取得部２０は、インターネット４上で公開されている分類情報リストを、通信により取得する。

入力部２１は、管理者がウェブアクセス制御装置２の動作設定を行うためのデータを入力する。出力部２２は、管理者に対してウェブアクセス制御装置２の動作状態を提示するためのデータを出力する。

次に、図３を参照して、第１の実施形態に係るウェブアクセス制御装置２の動作を説明する。図３は、本発明の第１の実施形態に係るフィルタ情報生成処理の手順を示すフローチャートである。

図３において、ステップＳ１では、アクセス情報取得部１５が、ネットワークインタフェース部１１が端末３から受信した通信データの中からアクセス情報を取得する。ここで、アクセス情報取得部１５は、アクセス情報として、アクセス先のウェブサイト５のＵＲＬを取得する。ウェブサイト５のＵＲＬとしては、ＨＴＴＰ（HyperText Transfer Protocol）リクエストメッセージのヘッダにおいてメソッドと同時に送られるホスト名及びパス名を利用する。

さらに、アクセス情報取得部１５は、アクセス情報として、ＨＴＴＰリクエストメッセージのヘッダに含まれる「Ｒｅｆｅｒｅｒ」の情報を取得する。「Ｒｅｆｅｒｅｒ」の情報は、当該ＨＴＴＰリクエストメッセージを送信した端末３が直前に参照していたウェブページのＵＲＬである。従って、「Ｒｅｆｅｒｅｒ」の情報が有る場合、ウェブサイト５のＵＲＬとして取得されたホスト名及びパス名は、端末３がアクセスを要求している“ウェブページ”のＵＲＬであることが確認される。一方、「Ｒｅｆｅｒｅｒ」の情報が無い場合、ウェブサイト５のＵＲＬとして取得されたホスト名及びパス名は、ウェブページ上に表示されるコンテンツファイル（例えば画像ファイルなど）のＵＲＬである可能性がある。このため、アクセス情報取得部１５は、ＨＴＴＰリクエストメッセージから「Ｒｅｆｅｒｅｒ」の情報を取得できた場合にのみ、該ＨＴＴＰリクエストメッセージからウェブサイト５のＵＲＬとして取得されたホスト名及びパス名を採用する。これにより、アクセス先のウェブサイト５のＵＲＬ（ホスト名及びパス名の組）とホスト名が取得される。

次いで、ステップＳ２では、特徴量抽出部１６が、アクセス先のウェブサイト５のＵＲＬ（アクセス先ＵＲＬ）とホスト名（アクセス先ホスト名）のそれぞれを対象にして、特徴量を抽出する。該特徴量は、出現頻度、参照数、固有参照数、被参照数、固有被参照数、同一端末の前回送信のＨＴＴＰリクエストメッセージからの経過時間、などである。出現頻度は、対象が出現した頻度である。参照数は、対象が出現した回数の合計である。固有参照数は、対象が属する分類名を計数単位として出現した回数の合計である。被参照数は、「Ｒｅｆｅｒｅｒ」の情報のＵＲＬ（参照元ＵＲＬ）が出現した回数の合計である。固有被参照数は、参照元ＵＲＬが属する分類名を計数単位として出現した回数の合計である。特徴量抽出部１６は、抽出した特徴量を特徴量データベース１７に格納する。

次いで、ステップＳ３では、分類部１８が、リスト記憶部１９内の分類情報リストを用いて、アクセス先ＵＲＬとアクセス先ホスト名をそれぞれに分類する。ここで、分類情報リストとしては、ブラックリスト及びホワイトリストが利用可能である。ブラックリストは、不適切なウェブサイトのＵＲＬと分類名の組が分類情報として記載されたリストである。ホワイトリストは、安全なウェブサイトのＵＲＬと分類名の組が分類情報として記載されたリストである。ブラックリスト及びホワイトリストは、リスト取得部２０によって、通信により、インターネット４上の各リストの公開サイトから取得される。

分類部１８は、ブラックリスト及びホワイトリストをそれぞれ参照し、リスト内にアクセス先ＵＲＬが含まれているか調べる。この結果、アクセス先ＵＲＬがリスト内に含まれている場合、該当する分類名を取得する。同様に、アクセス先ホスト名についても、ブラックリスト及びホワイトリストを調査し、アクセス先ホスト名がリスト内に含まれている場合、該当する分類名を取得する。

次いで、ステップＳ４では、ステップＳ３で分類名が取得できたか（分類可能か）を判断する。この結果、アクセス先ＵＲＬ及びアクセス先ホスト名ともに分類名が取得できた場合には（ステップＳ４、ＹＥＳ）、ステップＳ６に進む。一方、アクセス先ＵＲＬ又はアクセス先ホスト名のいずれかでも、分類名が取得できなかった場合には（ステップＳ４、ＮＯ）、ステップＳ５に進む。

ステップＳ５では、分類部１８が、アクセス先ＵＲＬ及びアクセス先ホスト名のうち分類名が取得できなかったもの（未分類の対象）について、特徴量に基づいて分類する。分類部１８は、特徴量データベース１７を参照し、未分類の対象と同様の特徴量を有する分類済みの対象を探す。この結果、発見された分類済みの対象と同じ分類名を、未分類の対象にも適用する。

次いで、ステップＳ６では、分類部１８が、分類結果として、アクセス先ＵＲＬ及びアクセス先ホスト名の各分類名をフィルタ情報データベース１４に登録する。ここで、分類部１８は、アクセス先ＵＲＬとその分類名の組、及び、アクセス先ホスト名とその分類名の組をフィルタ情報データベース１４に格納する。また、分類部１８は、分類できたアクセス先ＵＲＬ及びアクセス先ホスト名とその分類名を特徴量データベース１７に格納する。なお、一つのアクセス先ＵＲＬ又はアクセス先ホスト名と組になる分類名は、一つであってもよく、或いは、複数であってもよい。

上述したフィルタ情報生成処理によって、フィルタ情報データベース１４は、分類名に関連付けて、アクセス先ＵＲＬ及びアクセス先ホスト名を記憶する。管理者は、分類名ごとに、アクセスの許可又は不許可をフィルタ情報データベース１４に設定する。これにより、フィルタ情報データベース１４は、分類名ごとに、アクセスの許可又は不許可を記憶する。

フィルタリング１３は、フィルタ情報データベース１４を用いて、端末３からのインターネット４上のウェブサイト５へのアクセスをフィルタリングする。ここで、フィルタリング１３は、ネットワークインタフェース部１１が端末３から受信したＨＴＴＰリクエストメッセージから、アクセス先ＵＲＬ及びアクセス先ホスト名を取得する。そして、フィルタリング１３は、フィルタ情報データベース１４を参照し、アクセス先ＵＲＬ及びアクセス先ホスト名それぞれの分類名について、アクセスの許可又は不許可を調べる。この結果、アクセス先ＵＲＬ又はアクセス先ホスト名のいずれか一方でも、その分類名がアクセスの不許可に設定されている場合には、当該ＨＴＴＰリクエストメッセージを廃棄し、当該ウェブサイト５へのアクセスを阻止する。ここで、フィルタリング１３は、廃棄したＨＴＴＰリクエストメッセージの送信元の端末３に対して、アクセス要求先のウェブサイト５へのアクセスが不許可である旨のメッセージを送信する。

上述した第１の実施形態によれば、企業内ＬＡＮ１からインターネット４上のウェブサイト５へアクセスするときの通信データに含まれるＨＴＴＰリクエストメッセージに基づいて、アクセスを制御する対象のウェブサイト５を特定するためのフィルタ情報（アクセス先ＵＲＬと分類名の組、及び、アクセス先ホスト名と分類名の組）を生成することができる。このアクセス先ＵＲＬ及びアクセス先ホスト名は、企業内ＬＡＮ１から実際にアクセス要求のあったウェブサイト５に関するものであるので、当該企業にとって有効なものといえる。これにより、やみくもにインターネット４上のウェブサイト５のＵＲＬ及びホスト名を収集するのではなく、当該企業にとって有効なものが収集されるので、フィルタ情報データベース１４の容量を削減できるとともに効率的なフィルタ情報データベース１４を構築することができる。これにより、フィルタリングの効率向上を図ることができるという効果が得られる。

また、従来のようにインターネット４上のウェブサイト５を巡回することなく、効率的に、当該企業にとって有効なウェブサイト５のＵＲＬ及びホスト名を収集することができる。また、特定のユーザしかログインできないウェブサイト５についても、問題なく、ＵＲＬ及びホスト名を収集することができる。

また、当該企業とは関連のない外部のセンターに、企業内ＬＡＮ内部のＵＲＬなどの情報が漏洩することがなく、安全である。

また、特徴量によって未分類のアクセス先ＵＲＬ及びアクセス先ホスト名を分類済みのものに対応付けすることで、未分類のアクセス先ＵＲＬ及びアクセス先ホスト名に対して分類名を付けることができる。

なお、分類情報リストは、管理者が設定してもよい。また、リスト取得部２０は、できる限り最新の分類情報リストを取得するように構成する。例えば、できる限り短い間隔で定期的に、リスト公開サイトから分類情報リストを取得する。又は、リスト公開サイトからの更新情報を受信するようにして、更新の都度、速やかに、リスト公開サイトから最新の分類情報リストを取得する。また、分類名としては、例えば、スポーツ、経済、政治、芸能、ポルノなどが挙げられる。

［第２の実施形態］
図４は、本発明の第２の実施形態に係るウェブアクセス制御装置３０の構成を示すブロック図である。図４に示すウェブアクセス制御装置３０は、図２に示すウェブアクセス制御装置２に対し、再分類部３１をさらに設けたものであり、これ以外の構成は図２に示すウェブアクセス制御装置２と同じである。以下、第１の実施形態に係るウェブアクセス制御装置２と異なる点のみを説明する。

再分類部３１は、ネットワークインタフェース部１１が端末３から受信したアクセス情報から、キーワードを抽出する。ここで、キーワードとしては、検索サイトへ送信される検索文字列、アクセス先ＵＲＬに含まれる文字列、などである。再分類部３１は、キーワードの出現頻度を調査する。調査結果は、特徴量データベース１７に蓄積する。

再分類部３１は、キーワードの出現頻度が一定以上であるものを、重要キーワードに設定する。再分類部３１は、重要キーワードに基づいて、該当するアクセス先ＵＲＬ及びアクセス先ホスト名の分類名を再定義する。重要キーワードに該当するアクセス先ＵＲＬ及びアクセス先ホスト名は、重要キーワードを含むＵＲＬ、及び、重要キーワードを含むＵＲＬが参照元ＵＲＬであるもの、である。再分類部３１は、重要キーワードに基づいて、新たな分類名を生成する。新たな分類名は、重要キーワードの一部分であってもよく、或いは、重要キーワードそのものであってもよい。

上述した第２の実施形態によれば、アクセス先のウェブサイト５に合致した分類名を設定することができる。これにより、管理者が的確に分類名に対するアクセスの許可又は不許可を設定することができる、という効果が得られる。

［第３の実施形態］
図５は、本発明の第３の実施形態に係るウェブアクセスシステムの全体構成を示す概念図である。図５において、ウェブアクセス制御装置４０は、それぞれ企業内や組織内のＬＡＮに設けられている。また、センター装置５０が設けられており、インターネット４に接続されている。センター装置５０は、各ウェブアクセス制御装置４０からの問い合わせを受け付け、それに返答する。

図６は、本発明の第３の実施形態に係るウェブアクセス制御装置４０の構成を示すブロック図である。図６に示すウェブアクセス制御装置４０は、図４に示すウェブアクセス制御装置３０に対し、センター問合せ部４１をさらに設けたものであり、これ以外の構成は図４に示すウェブアクセス制御装置４０と同じである。以下、第２の実施形態に係るウェブアクセス制御装置４０と異なる点のみを説明する。

センター問合せ部４１は、アクセス先ＵＲＬ及びアクセス先ホスト名それぞれをハッシュ関数により変換し、また、参照元ＵＲＬ及び参照元ＵＲＬのホスト名についてもそれぞれハッシュ関数により変換し、それらハッシュ値の組をセンター装置５０に送信してハッシュ値に係る情報を問合せる。そして、センター問合せ部４１は、その返答をセンター装置５０から受信する。センター問合せ部４１は、センター装置５０から受信した情報を、アクセス先ＵＲＬ及びアクセス先ホスト名それぞれの分類名に関連付けてフィルタ情報データベース１４に格納する。

図７は、本発明の第３の実施形態に係るセンター装置５０の構成を示すブロック図である。図７において、センター装置５０は、ネットワークインタフェース部５１と問合せ処理部５２とハッシュ値処理部５３とハッシュ値情報データベース５４を有する。

ネットワークインタフェース部５１は、インターネット４と接続する通信回線により、ウェブアクセス制御装置４０との間で通信データを送受する。問合せ処理部５２は、ウェブアクセス制御装置４０からの問い合わせを受信し、それに返答する。

ハッシュ値処理部５３は、ウェブアクセス制御装置４０から受信したハッシュ値の組に対し、統計処理を行う。ハッシュ値情報データベース５４は、ハッシュ値処理部５３による統計処理結果の統計情報を記憶する。問合せ処理部５２は、ウェブアクセス制御装置４０からの問い合わせに応じて、該ウェブアクセス制御装置４０から受信したハッシュ値の組に該当する統計情報をハッシュ値情報データベース５４から取得し、取得した統計情報を該ウェブアクセス制御装置４０へ返答する。

ハッシュ値処理部５３は、統計処理の一つとして、ハッシュ値の組の出現頻度を算出し、その算出結果をハッシュ値情報データベース５４に格納する。ハッシュ値情報データベース５４は、ハッシュ値の組と出現頻度を関連付けて記憶する。問合せ処理部５２は、ウェブアクセス制御装置４０からの問い合わせに応じて、ハッシュ値情報データベース５４を参照し、ウェブアクセス制御装置４０から受信したハッシュ値の組に該当する出現頻度をハッシュ値情報データベース５４から取得し、取得した出現頻度を返答する。

上述した第３の実施形態では、各ユーザ（企業、組織など）に共通のセンター装置５０が、様々なユーザからアクセスされるウェブサイト５のＵＲＬ及びホスト名に関する情報（分類名、出現頻度）を管理し、各ユーザのウェブアクセス制御装置４０に対して情報提供することができる。さらに、センター装置５０はハッシュ値のままで情報の加工、演算を行うので、ユーザ内部のＵＲＬなどの情報がセンター装置５０に漏洩することがない。

なお、上述した各実施形態に係るウェブアクセス制御装置は、専用のハードウェアにより実現されるものであってもよく、あるいはパーソナルコンピュータ等のコンピュータシステムにより構成され、図２，４，６に示されるウェブアクセス制御装置２，３０，４０の各部の機能を実現するためのプログラムを実行することによりその機能を実現させるものであってもよい。

また、そのウェブアクセス制御装置には、周辺機器として入力装置、出力装置等（いずれも図示せず）が接続されるものとする。ここで、入力装置とはキーボード、マウス等の入力デバイスや、記録媒体からデータを読み出す読み出し装置等のことをいう。出力装置としては、例えば、ＣＲＴ（Cathode Ray Tube）や液晶表示装置等の表示装置、記録媒体への記録装置、印字装置などが挙げられる。
また、上記周辺機器については、ウェブアクセス制御装置に直接接続するものであってもよく、あるいは通信回線を介して接続するようにしてもよい。

また、図２，４，６に示されるウェブアクセス制御装置２，３０，４０の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、フィルタ情報生成処理、フィルタリング処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disk）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
例えば、本発明は、プロキシサーバを介してウェブサイト５にアクセスする場合にも、適用可能である。この場合、プロキシサーバよりも端末３側にウェブアクセス制御装置を配置することが望ましい。これは、プロキシサーバが、自身でキャッシュしているウェブページへのアクセスを受けた場合、インターネット４側にはＨＴＴＰリクエストメッセージを転送しないので、プロキシサーバよりもインターネット４側にウェブアクセス制御装置を配置すると、収集されるアクセス情報が減少し、フィルタ情報データベース１４の精度が低下する恐れがあるからである。

本発明の第１の実施形態に係るウェブアクセスシステムの全体構成を示す概念図である。 本発明の第１の実施形態に係るウェブアクセス制御装置２の構成を示すブロック図である。 本発明の第１の実施形態に係るフィルタ情報生成処理の手順を示すフローチャートである。 本発明の第２の実施形態に係るウェブアクセス制御装置３０の構成を示すブロック図である。 本発明の第３の実施形態に係るウェブアクセスシステムの全体構成を示す概念図である。 本発明の第３の実施形態に係るウェブアクセス制御装置４０の構成を示すブロック図である。 本発明の第３の実施形態に係るセンター装置５０の構成を示すブロック図である。

符号の説明

１…企業内ＬＡＮ、２，３０，４０…ウェブアクセス制御装置、３…端末、４…インターネット、５…ウェブサイト、１１，１２，５１…ネットワークインタフェース部、１３…フィルタリング部、１４…フィルタ情報データベース、１５…アクセス情報取得部、１６…特徴量抽出部、１７…特徴量データベース、１８…分類部、１９…リスト記憶部、２０…リスト取得部、２１…入力部、２２…出力部、３１…再分類部、４１…センター問合せ部、５０…センター装置、５２…問合せ処理部、５３…ハッシュ値処理部、５４…ハッシュ値情報データベース

Claims (10)

1. 第１のネットワークから該第１のネットワークの外部の第２のネットワーク上のウェブサイトへのアクセスを制限するためのフィルタリングを行うウェブアクセス制御装置において、
   端末から受信した通信データの中から、前記第２のネットワーク上のウェブサイトへアクセスするためのアクセス情報を取得するアクセス情報取得部と、
   あらかじめ定められた分類情報に従って、前記アクセス情報を分類する分類部と、
   前記分類されたアクセス情報と分類名の組を蓄積するフィルタ情報データベースと、
   前記分類名ごとにアクセスの許可又は不許可を前記フィルタ情報データベースに設定するための入力部と、
   前記フィルタ情報データベースを用いて、前記第２のネットワーク上のウェブサイトへのアクセスをフィルタリングするフィルタリング部と、
   前記アクセス情報から特徴量を抽出する特徴量抽出部と、
   前記アクセス情報の特徴量を蓄積する特徴量データベースと、を備え、
   前記分類部は、前記分類情報では分類できなかった未分類のアクセス情報に対し、該未分類のアクセス情報と同様の特徴量を有する分類済みのアクセス情報と同じ分類名を適用する、
   ことを特徴とするウェブアクセス制御装置。
2. 前記アクセス情報に含まれるキーワードに基づいて、当該アクセス情報に対する分類名を再定義する再分類部を備えたことを特徴とする請求項１に記載のウェブアクセス制御装置。
3. ネットワーク上で公開されている分類情報リストを通信により取得するリスト取得部と、
   該取得された分類情報リストを記憶するリスト記憶部と、
   を備えたことを特徴とする請求項１又は請求項２に記載のウェブアクセス制御装置。
4. 前記第１のネットワークの外部のネットワーク上に設けられた各ウェブアクセス制御装置に共通のセンター装置に対し、アクセス情報をハッシュ関数により変換したハッシュ値を送信してハッシュ値に係る情報を問合せし、その返答を受信して当該アクセス情報の分類名に関連付けて前記フィルタ情報データベースに格納するセンター問合せ部を備えたことを特徴とする請求項１から請求項３のいずれか１項に記載のウェブアクセス制御装置。
5. 第１のネットワークから該第１のネットワークの外部の第２のネットワーク上のウェブサイトへのアクセスを制限するためのフィルタリングを行うウェブアクセス制御装置において、
   端末から受信した通信データの中から、前記第２のネットワーク上のウェブサイトへアクセスするためのアクセス情報を取得するアクセス情報取得部と、
   あらかじめ定められた分類情報に従って、前記アクセス情報を分類する分類部と、
   前記分類されたアクセス情報と分類名の組を蓄積するフィルタ情報データベースと、
   前記分類名ごとにアクセスの許可又は不許可を前記フィルタ情報データベースに設定するための入力部と、
   前記フィルタ情報データベースを用いて、前記第２のネットワーク上のウェブサイトへのアクセスをフィルタリングするフィルタリング部と、
   前記第１のネットワークの外部のネットワーク上に設けられた各ウェブアクセス制御装置に共通のセンター装置に対し、アクセス情報をハッシュ関数により変換したハッシュ値を送信してハッシュ値に係る情報を問合せし、その返答を受信して当該アクセス情報の分類名に関連付けて前記フィルタ情報データベースに格納するセンター問合せ部と、
   を備えたことを特徴とするウェブアクセス制御装置。
6. 前記アクセス情報に含まれるキーワードに基づいて、当該アクセス情報に対する分類名を再定義する再分類部を備えたことを特徴とする請求項５に記載のウェブアクセス制御装置。
7. ネットワーク上で公開されている分類情報リストを通信により取得するリスト取得部と、
   該取得された分類情報リストを記憶するリスト記憶部と、
   を備えたことを特徴とする請求項５又は請求項６に記載のウェブアクセス制御装置。
8. 請求項４から請求項７のいずれか１項に記載のウェブアクセス制御装置と、
   センター装置と、を備え、
   前記センター装置は、
   各ウェブアクセス制御装置から受信したハッシュ値を統計処理するハッシュ値処理部と、
   該統計処理結果の統計情報を記憶するハッシュ値情報データベースと、
   ウェブアクセス制御装置からの問い合わせに応じて、該ウェブアクセス制御装置から受信したハッシュ値に該当する統計情報を前記ハッシュ値情報データベースから取得し、取得した統計情報を該ウェブアクセス制御装置へ返答する問合せ処理部と、
   を有する、
   ことを特徴とするウェブアクセス制御システム。
9. 第１のネットワークから該第１のネットワークの外部の第２のネットワーク上のウェブサイトへのアクセスを制限するためのフィルタリングに用いるフィルタ情報を生成するためのコンピュータプログラムであり、
   端末から受信した通信データの中から、前記第２のネットワーク上のウェブサイトへアクセスするためのアクセス情報を取得する機能と、
   あらかじめ定められた分類情報に従って、前記アクセス情報と分類名の組を生成する機能と、
   前記アクセス情報から特徴量を抽出する機能と、
   前記分類情報では分類できなかった未分類のアクセス情報に対し、該未分類のアクセス情報と同様の特徴量を有する分類済みのアクセス情報と同じ分類名を適用する機能と、
   をコンピュータに実現させるためのコンピュータプログラム。
10. 第１のネットワークから該第１のネットワークの外部の第２のネットワーク上のウェブサイトへのアクセスを制限するためのフィルタリングに用いるフィルタ情報を生成するためのコンピュータプログラムであり、
    端末から受信した通信データの中から、前記第２のネットワーク上のウェブサイトへアクセスするためのアクセス情報を取得する機能と、
    あらかじめ定められた分類情報に従って、前記アクセス情報と分類名の組を生成する機能と、
    前記第１のネットワークの外部のネットワーク上に設けられた各ウェブアクセス制御装置に共通のセンター装置に対し、アクセス情報をハッシュ関数により変換したハッシュ値を送信してハッシュ値に係る情報を問合せし、その返答を受信して当該アクセス情報の分類名に関連付けて記録する機能と、
    をコンピュータに実現させるためのコンピュータプログラム。

Images