JP5156892B2 - ログ出力制御装置及びログ出力制御方法 - Google Patents

Description

本発明は、ログ出力制御技術に関し、特に、通信を制御する通信制御装置からのログの出力を制御するログ出力制御装置及びログ出力制御方法に関する。

インターネットのインフラが整備され、携帯電話端末、パーソナルコンピュータ、ＶｏＩＰ（Voice over Internet Protocol）電話端末などの通信端末が広く普及した現在、インターネットの利用者は爆発的に増加している。このような状況下、コンピュータウイルス、ハッキング、スパムメールなど、セキュリティに関する問題が顕在化しており、通信を適切に制御する技術が求められている。

インターネットを利用して、膨大な情報に容易にアクセスすることができるようになったが、有害な情報が氾濫してきているのも事実であり、有害な情報の発信元に対する規制が追いつかない状況にある。誰もが安心して効果的にインターネットを利用する環境を整えるために、有害なコンテンツに対するアクセスを適切に制御する技術が求められる。

例えば、アクセス許可サイトのリスト、アクセス禁止サイトのリスト、禁止語キーワード、有益語キーワードなどのデータベースを用意し、インターネットを介して外部情報へアクセスする際に、これらのデータベースを参照して、アクセスを制御する技術が提案されている（例えば、特許文献１参照）。
特開２００１−２８２７９７号公報

通信制御装置が制御する通信データの量が膨大になるにつれ、通信制御装置から出力されるログも膨大な量となっている。ただ漫然とログを出力して保存するだけでは、重要な情報が埋もれてしまうおそれがあるため、効率よくログを管理する技術が必要である。

本発明はこうした状況に鑑みてなされたものであり、その目的は、通信制御装置からログを効率良く出力する技術の提供にある。

本発明のある態様は、ログ出力制御装置に関する。このログ出力制御装置は、通信を制御する通信制御装置から出力されるログに含まれるデータと、そのデータを含むログを出力する方法とを対応づけて格納したデータベースと、前記ログを他の装置へ出力するための複数の出力ポートと、前記通信制御装置から前記ログを取得し、そのログに含まれるデータを前記データベースから検索する検索回路と、前記検索回路の検索結果に応じて、前記ログを出力する方法を前記データベースから取得し、その方法にしたがって前記ログを出力する出力ポートを決定し、その出力ポートから前記ログを出力する出力部と、を備えることを特徴とする。

ログ出力制御装置は、前記データベースを変更することにより、前記ログを出力する方法を切り替えるログ出力設定部を更に備えてもよい。ログ出力制御装置は、複数の前記ログ出力制御装置を備えてもよく、前記ログ出力設定部は、あるログ出力制御装置のデータベースを変更しているときに、他のログ出力制御装置を運用させてもよい。

前記出力部は、複数の前記出力ポートの使用状況に応じて、前記ログを出力する出力ポートを決定してもよい。

ログ出力制御装置は、前記データベースに、ログに含まれる複数の種別のデータに対応づけてログを出力する方法が格納されているとき、前記複数の種別のデータのそれぞれに対応して複数の前記検索回路を備え、それらの検索回路により同時に並列して前記複数の種別のデータの検索を実行してもよい。

出力部は、前記通信制御装置が受信した通信データの送信先の装置に異常が生じて通信データを受信できない状況に陥っているときに、その通信データを他の装置へ出力してもよい。

本発明の別の態様は、ログ出力制御方法に関する。このログ出力制御方法は、通信を制御する通信制御装置からログを取得し、そのログに含まれるデータを、前記通信制御装置から出力されるログに含まれるデータと、そのデータを含むログを出力する方法とを対応づけて格納したデータベースから検索するステップと、前記検索するステップの検索結果に応じて、前記ログを出力する方法を前記データベースから取得し、その方法にしたがって前記ログを出力する出力ポートを複数の出力ポートの中から決定し、その出力ポートから前記ログを出力するステップと、を備えることを特徴とする。

なお、以上の構成要素の任意の組合せ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、通信制御装置からログを効率良く出力する技術を提供することができる。

前提技術に係る通信制御システムの構成を示す図である。 従来の通信制御装置の構成を示す図である。 前提技術に係る通信制御装置の構成を示す図である。 パケット処理回路の内部構成を示す図である。 位置検出回路の内部構成を示す図である。 第１データベースの内部データの例を示す図である。 第１データベースの内部データの別の例を示す図である。 第１データベースの内部データのさらに別の例を示す図である。 バイナリサーチ回路に含まれる比較回路の構成を示す図である。 第２データベースの内部データの例を示す図である。 第２データベースの内部データの別の例を示す図である。 前提技術に係る通信制御装置の別の構成例を示す図である。 ＵＲＬフィルタリングのためのパケット処理回路の内部構成を示す図である。 図１４（ａ）は、ウイルス／フィッシングサイトリストの内部データの例を示す図であり、図１４（ｂ）は、ホワイトリストの内部データの例を示す図であり、図１４（ｃ）は、ブラックリストの内部データの例を示す図である。 共通カテゴリリストの内部データの例を示す図である。 図１６（ａ）（ｂ）（ｃ）（ｄ）は、第２データベースの内部データの例を示す図である。 ウイルス／フィッシングサイトリスト、ホワイトリスト、ブラックリスト、及び共通カテゴリリストの優先度を示す図である。 実施の形態に係るメッセージ出力サーバの構成を示す図である。 実施の形態に係る通信制御システムの配置例を示す図である。 実施の形態に係る通信制御システムの配置例を示す図である。 実施の形態に係る通信制御システムの配置例を示す図である。 実施の形態に係る通信制御システムの配置例を示す図である。 実施の形態に係る通信制御システムの配置例を示す図である。 実施の形態に係る通信制御システムの配置例を示す図である。 実施の形態に係る通信制御装置の構成を示す図である。 ログ出力制御回路に備えられた第１データベース及び第２データベースの内部データの例を示す図である。

符号の説明

１０ 通信制御装置、１２ 通信制御ユニット、１４ 切替制御部、２０ パケット処理回路、３０ 検索回路、３２ 位置検出回路、３３ 比較回路、３４ インデックス回路、３５ 比較回路、３６ バイナリサーチ回路、４０ 処理実行回路、５０ 第１データベース、５７ ユーザデータベース、６０ 第２データベース、１００ 通信制御システム、１１０ 運用監視サーバ、１２０ 接続管理サーバ、１３０ メッセージ出力サーバ、１３１ メッセージ出力部、１３２ メッセージ保持部、１３３ 履歴保持部、１３４ 評価部、１３５ 登録受付部、１３６ 課金部、１４０ ログ管理サーバ、１４１ ログ出力制御回路、１４２ ログ出力設定部、１４３ ログ出力ポート、１４５ ログ出力制御装置、１５０ データベースサーバ、１６０ ＵＲＬデータベース、１６１ ウイルス／フィッシングサイトリスト、１６２ ホワイトリスト、１６３ ブラックリスト、１６４ 共通カテゴリリスト、２５０ ウェブサーバ、２６０ 携帯電話端末、２６２ 基地局装置、２６４ 制御局装置、２７２ アクセスポイント、２７４，２８２，２８４ ルータ装置。

（前提技術）
まず、前提技術として、通信制御装置と、その周辺装置の構成及び動作の概要について説明し、更に、通信制御装置を用いたＵＲＬフィルタリング技術について説明した後、実施の形態として、通信制御装置からログを効率良く出力する技術について説明する。

図１は、前提技術に係る通信制御システムの構成を示す。通信制御システム１００は、通信制御装置１０と、通信制御装置１０の動作を支援するために設けられた各種の周辺装置を含む。前提技術の通信制御装置１０は、インターネットサービスプロバイダなどにより提供されるＵＲＬフィルタリング機能を実現する。ネットワークの経路に設けられた通信制御装置１０は、コンテンツに対するアクセス要求を取得して、その内容を解析し、コンテンツに対するアクセスの許否を判断する。コンテンツに対するアクセスが許可される場合は、通信制御装置１０は、そのアクセス要求を、コンテンツを保持するサーバへ送出する。コンテンツに対するアクセスが禁止される場合は、通信制御装置１０は、そのアクセス要求を破棄し、要求元に対して警告メッセージなどを返信する。前提技術では、通信制御装置１０は、ＨＴＴＰ（HyperText Transfer Protocol）の「ＧＥＴ」リクエストメッセージ等のアクセス要求を受信し、アクセス先のコンテンツのＵＲＬが、アクセスの許否を判断するための基準データのリストに合致するか否かを検索して、コンテンツに対するアクセスの許否を判断する。

周辺装置は、運用監視サーバ１１０、接続管理サーバ１２０、メッセージ出力サーバ１３０、ログ管理サーバ１４０、及びデータベースサーバ１５０を含む。接続管理サーバ１２０は、通信制御装置１０に対する接続を管理する。接続管理サーバ１２０は、例えば、携帯電話端末から送出されたパケットを通信制御装置１０で処理する際に、パケットに含まれる携帯電話端末を一意に識別する情報を用いて、通信制御装置１０のユーザであることを認証する。いったん認証されると、その携帯電話端末に一時的に付されたＩＰアドレスから送出されたパケットは、一定の期間は接続管理サーバ１２０で認証せずに通信制御装置１０へ送られて処理される。メッセージ出力サーバ１３０は、通信制御装置１０により判定されたアクセスの許否の結果に応じて、アクセスの要求先又は要求元に対するメッセージを出力する。ログ管理サーバ１４０は、通信制御装置１０の運用履歴を管理する。データベースサーバ１５０は、ＵＲＬデータベース１６０から最新のデータベースを取得し、通信制御装置１０に入力する。通信制御装置１０の運用を止めずにデータベースを更新するために、通信制御装置１０はバックアップ用のデータベースを有してもよい。運用監視サーバ１１０は、通信制御装置１０と、接続管理サーバ１２０、メッセージ出力サーバ１３０、ログ管理サーバ１４０、データベースサーバ１５０などの周辺装置の運用状況を監視する。運用監視サーバ１１０は、通信制御システム１００の中で最も優先度が高く、通信制御装置１０及び全ての周辺装置の監視制御を行う。通信制御装置１０は、後述するように、専用のハードウェア回路により構成されるが、運用監視サーバ１１０は、本出願人による特許第３０４１３４０号などの技術を利用して、バウンダリスキャン回路を利用して監視のためのデータを通信制御装置１０などとの間で入出力することにより、通信制御装置１０の運用中にも運用状況を監視することができる。

前提技術の通信制御システム１００は、以下に説明するように、高速化のために専用のハードウェア回路により構成された通信制御装置１０を、周辺に接続された各種の機能を有するサーバ群により制御する構成とすることにより、サーバ群のソフトウェアを適当に入れ替えることで、同様の構成により各種の機能を実現することができる。前提技術によれば、このような柔軟性の高い通信制御システムを提供することができる。

図２は、従来の通信制御装置１の構成を示す。従来の通信制御装置１は、受信側の通信制御部２と、パケット処理部３と、送出側の通信制御部４とを備える。通信制御部２及び４は、それぞれ、パケットの物理層の処理を行うＰＨＹ処理部５ａ及び５ｂと、パケットのＭＡＣ層の処理を行うＭＡＣ処理部６ａ及び６ｂとを備える。パケット処理部３は、ＩＰ（Internet Protocol）のプロトコル処理を行うＩＰ処理部７、ＴＣＰ（Transport Control Protocol）のプロトコル処理を行うＴＣＰ処理部８など、プロトコルに応じた処理を行うプロトコル処理部と、アプリケーション層の処理を行うＡＰ処理部９とを備える。ＡＰ処理部９は、パケットに含まれるデータに応じて、フィルタリングなどの処理を実行する。

従来の通信制御装置１では、パケット処理部３は、汎用プロセッサであるＣＰＵと、ＣＰＵ上で動作するＯＳとを利用して、ソフトウェアにより実現されていた。しかしながら、このような構成では、通信制御装置１の性能はＣＰＵの性能に依存することになり、高速に大容量のパケットを処理可能な通信制御装置を実現しようとしても、自ずと限界がある。例えば、６４ビットのＣＰＵであれば、一度に同時に処理可能なデータ量は最大で６４ビットであり、それ以上の性能を有する通信制御装置は存在しなかった。また、汎用的な機能を有するＯＳの存在を前提としていたので、セキュリティホールなどが存在する可能性が絶無ではなく、ＯＳのバージョンアップなどのメンテナンス作業を必要としていた。

図３は、前提技術の通信制御装置の構成を示す。通信制御装置１０は、図２に示した従来の通信制御装置１においてはＣＰＵ及びＯＳを含むソフトウェアにより実現されていたパケット処理部３に代えて、ワイヤードロジック回路による専用のハードウェアにより構成されたパケット処理回路２０を備える。汎用処理回路であるＣＰＵにおいて動作するＯＳとソフトウェアにより通信データを処理するのではなく、通信データを処理するための専用のハードウェア回路を設けることにより、ＣＰＵやＯＳなどに起因する性能の限界を克服し、処理能力の高い通信制御装置を実現することが可能となる。

例えば、パケットフィルタリングなどを実行するために、パケットに含まれるデータに、フィルタリングの判断基準となる基準データが含まれるか否かを検索する場合に、ＣＰＵを用いて通信データと基準データを比較すると、一度に高々６４ビットしか比較することができず、処理速度を向上させようとしてもＣＰＵの性能で頭打ちになるという問題があった。ＣＰＵでは、通信データから６４ビットをメモリへ読み上げ、基準データとの比較を行い、つづいて、次の６４ビットをメモリへ読み上げる、という処理を何度も繰り返し行う必要があるので、メモリへの読み上げ時間が律速となり、処理速度に限界がある。

それに対し、前提技術では、通信データと基準データとを比較するために、ワイヤードロジック回路により構成された専用のハードウェア回路を設ける。この回路は、６４ビットよりも長いデータ長、例えば、１０２４ビットのデータ長の比較を可能とするために、並列に設けられた複数の比較器を含む。このように、専用のハードウェアを設けることにより、同時に並列して多数のビットマッチングを実行することができる。従来のＣＰＵを用いた通信制御装置１では一度に６４ビットしか処理できなかったところを、一度に１０２４ビットの処理を可能にすることで、飛躍的に処理速度を向上させることができる。比較器の数を多くすれば処理能力も向上するが、コストやサイズも増大するので、所望の処理性能と、コスト、サイズ、などを考慮して、最適なハードウェア回路を設計すればよい。専用のハードウェア回路は、ＦＰＧＡ（Field Programmable Gate Array）などを用いて実現されてもよい。

また、前提技術の通信制御装置１０は、ワイヤードロジック回路による専用のハードウェアにより構成されるので、ＯＳ（Operating System）を必要としない。このため、ＯＳのインストール、バグ対応、バージョンアップなどの作業が必要なく、管理やメンテナンスのためのコストや工数を低減させることができる。また、汎用的な機能が求められるＣＰＵとは異なり、不必要な機能を包含していないので、余計なリソースを用いることがなく、低コスト化、回路面積の低減、処理速度の向上などが望める。さらに、ＯＳを利用していた従来の通信制御装置とは異なり、余分な機能を有しないので、セキュリティホールなどが発生する可能性が低く、ネットワークを介した悪意ある第三者からの攻撃に対する耐性に優れている。

従来の通信制御装置１は、ＣＰＵとＯＳを前提としたソフトウェアによりパケットを処理しており、パケットの全てのデータを受信してからプロトコル処理を行い、データがアプリケーションに渡される。それに対して、本前提技術の通信制御装置１０では、専用のハードウェア回路により処理を行うので、パケットの全てのデータを受信してから処理を開始する必要はなく、処理に必要なデータを受信すれば、後続のデータの受信を待たずに、任意の時点で処理を開始することができる。例えば、後述する位置検出回路における位置検出処理は、比較対象データの位置を特定するための位置特定データを受信した時点で開始することができる。このように、全てのデータの受信を待たずに様々な処理をフローティングで実行することができるので、パケットのデータを処理するのに要する時間を短縮することができる。

図４は、パケット処理回路の内部構成を示す。パケット処理回路２０は、通信データに対して実行する処理の内容を決定するための基準となる基準データを記憶する第１データベース５０と、受信された通信データの中に基準データが含まれているか否かを、通信データと基準データとを比較することにより検索する検索回路３０と、検索回路３０による検索結果と通信データに対して実行する処理の内容とを対応づけて記憶する第２データベース６０と、検索回路３０による検索結果と第２データベース６０に記憶された条件とに基づいて通信データを処理する処理実行回路４０とを含む。

検索回路３０は、通信データの中から基準データと比較すべき比較対象データの位置を検出する位置検出回路３２と、第１データベース５０に記憶された基準データを３以上の範囲に分割したとき、比較対象データがそれらの範囲のうちいずれに属するかを判定する判定回路の一例であるインデックス回路３４と、判定された範囲の中で比較対象データと合致する基準データを検索するバイナリサーチ回路３６とを含む。比較対象データを基準データの中から検索する方法としては、任意の検索技術を利用可能であるが、前提技術ではバイナリサーチ法を用いる。

図５は、位置検出回路の内部構成を示す。位置検出回路３２は、比較対象データの位置を特定するための位置特定データと通信データとを比較するための複数の比較回路３３ａ〜３３ｆを含む。ここでは、６個の比較回路３３ａ〜３３ｆが設けられているが、後述するように、比較回路の個数は任意でよい。それぞれの比較回路３３ａ〜３３ｆには、通信データが、所定のデータ長、例えば、１バイトずつずらして入力される。そして、これら複数の比較回路３３ａ〜３３ｆにおいて、同時に並列して、検出すべき位置特定データと通信データとの比較がなされる。

前提技術においては、通信制御装置１０の動作を説明するための例として、通信データ中に含まれる「Ｎｏ． ＃＃＃」という文字列を検出し、その文字列中に含まれる数字「＃＃＃」を基準データと比較して、基準データに合致した場合はパケットの通過を許可し、合致しなかった場合はパケットを破棄する処理を行う場合について説明する。

図５の例では、通信データの中から、数字「＃＃＃」の位置を特定するための位置特定データ「Ｎｏ．」を検出するために、通信データ「０１Ｎｏ． ３６１・・・」を、１文字ずつずらして比較回路３３ａ〜３３ｆに入力している。すなわち、比較回路３３ａには「０１Ｎ」が、比較回路３３ｂには「１Ｎｏ」が、比較回路３３ｃには「Ｎｏ．」が、比較回路３３ｄには「ｏ． 」が、比較回路３３ｅには「． ３」が、比較回路３３ｆには「 ３６」が、それぞれ入力される。ここで、比較回路３３ａ〜３３ｆが同時に位置特定データ「Ｎｏ．」との比較を実行する。これにより、比較回路３３ｃがマッチし、通信データの先頭から３文字目に「Ｎｏ．」という文字列が存在することが検出される。こうして、位置検出回路３２により検出された位置特定データ「Ｎｏ．」の次に、比較対象データである数字のデータが存在することが検出される。

ＣＰＵにより同様の処理を行うならば、まず、文字列「０１Ｎ」を「Ｎｏ．」と比較し、続いて、文字列「１Ｎｏ」を「Ｎｏ．」と比較する、というように、先頭から順に１つずつ比較処理を実行する必要があるため、検出速度の向上は望めない。これに対し、前提技術の通信制御装置１０では、複数の比較回路３３ａ〜３３ｆを並列に設けることにより、ＣＰＵではなしえなかった同時並列的な比較処理が可能となり、処理速度を格段に向上させることができる。比較回路は多ければ多いほど同時に比較可能な位置が多くなるので、検出速度も向上するが、コスト、サイズ、などを考慮の上、所望の検出速度を得られるのに十分な数の比較回路を設ければよい。

位置検出回路３２は、位置特定データを検出するためだけでなく、汎用的に文字列を検出する回路として利用されてもよい。また、文字列だけでなく、ビット単位で位置特定データを検出するように構成されてもよい。

図６は、第１データベースの内部データの例を示す。第１データベース５０には、パケットのフィルタリング、ルーティング、スイッチング、置換などの処理の内容を決定するための基準となる基準データが、何らかのソート条件にしたがってソートされて格納されている。図６の例では、１０００個の基準データが記憶されている。

第１データベース５０の先頭のレコードには、通信データ中の比較対象データの位置を示すオフセット５１が格納されている。例えば、ＴＣＰパケットにおいては、パケット内のデータ構成がビット単位で定められているため、パケットの処理内容を決定するためのフラグ情報などの位置をオフセット５１として設定しておけば、必要なビットのみを比較して処理内容を決定することができるので、処理効率を向上させることができる。また、パケットのデータ構成が変更された場合であっても、オフセット５１を変更することで対応することができる。第１データベース５０には、比較対象データのデータ長を格納しておいてもよい。これにより、必要な比較器のみを動作させて比較を行うことができるので、検索効率を向上させることができる。

インデックス回路３４は、第１データベース５０に格納されている基準データを３以上の範囲５２ａ〜５２ｄに分割したとき、比較対象データがそれらの範囲のうちいずれに属するかを判定する。図６の例では、１０００個の基準データは、２５０個ずつ４つの範囲５２ａ〜５２ｄに分割されている。インデックス回路３４は、範囲の境界の基準データと比較対象データとを比較する複数の比較回路３５ａ〜３５ｃを含む。比較回路３５ａ〜３５ｃにより比較対象データと境界の基準データとを同時に並列して比較することにより、比較対象データがいずれの範囲に属するかを１度の比較処理で判定することができる。

インデックス回路３４の比較回路３５ａ〜３５ｃに入力される境界の基準データは、通信制御装置１０の外部に設けられた装置により設定されてもよいし、予め第１データベース５０の所定位置の基準データが自動的に入力されるようにしてもよい。後者の場合、第１データベース５０を更新しても、自動的に第１データベース５０の所定位置の基準データが比較回路３５ａ〜３５ｃに入力されるので、初期設定などを必要とせず、直ちに通信制御処理を実行させることができる。

前述したように、ＣＰＵによりバイナリサーチを実行する場合は、同時に複数の比較を実行することができないが、前提技術の通信制御装置１０では、複数の比較回路３５ａ〜３５ｃを並列に設けることにより、同時並列的な比較処理を可能とし、検索速度を格段に向上させることができる。

インデックス回路３４により範囲が判定されると、バイナリサーチ回路３６がバイナリサーチ法により検索を実行する。バイナリサーチ回路３６は、インデックス回路３４により判定された範囲をさらに２分割し、その境界位置にある基準データと比較対象データとを比較することにより、いずれの範囲に属するかを判定する。バイナリサーチ回路３６は、基準データと比較対象データとをビット単位で比較する比較回路を複数個、例えば前提技術では１０２４個含んでおり、１０２４ビットのビットマッチングを同時に実行する。２分割された範囲のいずれに属するかが判定されると、さらに、その範囲を２分割して境界位置にある基準データを読み出し、比較対象データと比較する。以降、この処理を繰り返すことにより範囲をさらに限定し、最終的に比較対象データと合致する基準データを検索する。

前述した例を用いてさらに詳細に動作を説明する。図５に示した通信データにおいて、位置特定データ「Ｎｏ．」につづく比較対象データは「３６１」という数字である。位置特定データ「Ｎｏ．」と比較対象データ「３６１」との間には１文字分のスペースが存在しているので、このスペースを比較対象データから除くために、オフセット５１が「８」ビットに設定されている。バイナリサーチ回路３６は、位置特定データ「Ｎｏ．」につづく通信データから、「８」ビット、すなわち１バイト分をスキップし、さらにつづく「３６１」を比較対象データとして読み込む。

インデックス回路３４の比較回路３５ａ〜３５ｃには、比較対象データとして「３６１」が入力され、基準データとして、比較回路３５ａには、範囲５２ａと５２ｂの境界にある基準データ「３７８」が、比較回路３５ｂには、範囲５２ｂと５２ｃの境界にある基準データ「７０４」が、比較回路３５ｃには、範囲５２ｃと５２ｄの境界にある基準データ「９３７」が、それぞれ入力される。比較回路３５ａ〜３５ｃにより同時に比較が行われ、比較対象データ「３６１」が範囲５２ａに属することが判定される。以降、バイナリサーチ回路３６が基準データの中に比較対象データ「３６１」が存在するか否かを検索する。

図７は、第１データベースの内部データの別の例を示す。図７に示した例では、基準データのデータ数が、第１データベース５０に保持可能なデータ数、ここでは１０００個よりも少ない。このとき、第１データベース５０には、最終データ位置から降順に基準データが格納される。そして、残りのデータには０が格納される。データベースのローディング方法として、先頭からデータを配置せずにローディングエリアの後方から配置し、ローディングエリア先頭に空きが生じた場合は全ての空きをゼロサプレスすることで、データベースは常にフルの状態になり、バイナリー検索する場合の最大時間を一定にすることができる。また、バイナリサーチ回路３６は、検索中に基準データとして「０」を読み込んだときには、比較結果が自明であるから、比較を行わずに範囲を特定して、次の比較にうつることができる。これにより、検索速度を向上させることができる。

ＣＰＵによるソフトウェア処理においては、第１データベース５０に基準データを格納する際に、最初のデータ位置から昇順に基準データが格納される。残りのデータには、例えば最大値が格納されることになるが、この場合、バイナリサーチにおいて、上述したような比較処理の省略はできない。上述した比較技術は、専用のハードウェア回路により検索回路３０を構成したことにより実現される。

図８は、第１データベースの内部データのさらに別の例を示す。図８に示した例では、基準データを均等に３以上の範囲に分割するのではなく、範囲５２ａは５００個、範囲５２ｂは１００個というように、範囲に属する基準データの数が不均一になっている。これらの範囲は、通信データ中における基準データの出現頻度の分布に応じて設定されてもよい。すなわち、それぞれの範囲に属する基準データの出現頻度の和がほぼ同じになるように範囲が設定されてもよい。これにより、検索効率を向上させることができる。インデックス回路３４の比較回路３５ａ〜３５ｃに入力される基準データは、外部から変更可能になっていてもよい。これにより、範囲を動的に設定することができ、検索効率を最適化することができる。

図９は、バイナリサーチ回路に含まれる比較回路の構成を示す。前述したように、バイナリサーチ回路３６は、１０２４個の比較回路３６ａ、３６ｂ、・・・、を含む。それぞれの比較回路３６ａ、３６ｂ、・・・、には、基準データ５４と比較対象データ５６が１ビットずつ入力され、それらの大小が比較される。インデックス回路３４の各比較回路３５ａ〜３５ｃの内部構成も同様である。このように、専用のハードウェア回路で比較処理を実行することにより、多数の比較回路を並列して動作させ、多数のビットを同時に比較することができるので、比較処理を高速化することができる。

図１０は、第２データベースの内部データの例を示す。第２データベース６０は、検索回路３０による検索結果を格納する検索結果欄６２と、通信データに対して実行する処理の内容を格納する処理内容欄６４とを含み、検索結果と処理内容とを対応づけて保持する。図１０の例では、通信データに基準データが含まれている場合は、そのパケットの通過を許可し、含まれていない場合は、そのパケットを破棄するという条件が設定されている。処理実行回路４０は、検索結果に基づいて第２データベース６０から処理内容を検索し、通信データに対して処理を実行する。処理実行回路４０も、ワイヤードロジック回路により実現されてもよい。

図１１は、第２データベースの内部データの別の例を示す。図１１の例では、基準データごとに、処理内容が設定されている。パケットの置換を行う場合、置換先のデータを第２データベース６０に格納しておいてもよい。パケットのルーティングやスイッチングを行う場合、経路に関する情報を第２データベース６０に格納しておいてもよい。処理実行回路４０は、検索回路３０による検索結果に応じて、第２データベース６０に格納された、フィルタリング、ルーティング、スイッチング、置換などの処理を実行する。図１１のように、基準データごとに処理内容を設定する場合、第１データベース５０と第２データベース６０とを統合してもよい。

第１のデータベース及び第２のデータベースは、外部から書き換え可能に設けられる。これらのデータベースを入れ替えることにより、同じ通信制御装置１０を用いて、さまざまなデータ処理や通信制御を実現することができる。また、検索対象となる基準データを格納したデータベースを２以上設けて、多段階の検索処理を行ってもよい。このとき、検索結果と処理内容とを対応づけて格納したデータベースを２以上設けて、より複雑な条件分岐を実現してもよい。このように、データベースを複数設けて多段階の検索を行う場合に、位置検出回路３２、インデックス回路３４、バイナリサーチ回路３６などを複数設けてもよい。

上述した比較に用いられるデータは、同じ圧縮ロジックにより圧縮されてもよい。比較に際して、比較元のデータと比較先のデータが同じ方式で圧縮されていれば、通常と同様の比較が可能である。これにより、比較の際にローディングするデータ量を低減することができる。ローディングするデータ量が少なくなれば、メモリからデータを読み出すのに要する時間が短縮されるので、全体の処理時間も短縮することができる。また、比較器の量を削減することができるので、装置の小型化、軽量化、低コスト化に寄与することができる。比較に用いられるデータは、圧縮された形式で格納されていてもよいし、メモリから読み出した後、比較の前に圧縮されてもよい。

図１２は、前提技術の通信制御装置の別の構成例を示す。本図に示した通信制御装置１０は、図３に示した通信制御装置１０と同様の構成を備える通信制御ユニット１２を２つ有している。また、それぞれの通信制御ユニット１２の動作を制御する切替制御部１４が設けられている。それぞれの通信制御ユニット１２は、２つの入出力インタフェース１６を有しており、それぞれの入出力インタフェース１６を介して、上流側、下流側の２つのネットワークに接続されている。通信制御ユニット１２は、いずれか一方のネットワークから通信データを入力し、処理したデータを他方のネットワークに出力する。切替制御部１４は、それぞれの通信制御ユニット１２に設けられた入出力インタフェース１６の入出力を切り替えることにより、通信制御ユニット１２における通信データの流れの方向を切り替える。これにより、一方向だけではなく、双方向の通信制御が可能となる。

切替制御部１４は、通信制御ユニット１２の一方がインバウンド、他方がアウトバウンドのパケットを処理するように制御してもよいし、双方がインバウンドのパケットを処理するように制御してもよいし、双方がアウトバウンドのパケットを処理するように制御してもよい。これにより、例えばトラフィックの状況や目的などに応じて、制御する通信の方向を可変とすることができる。

切替制御部１４は、各通信制御ユニット１２の動作状況を取得し、その動作状況に応じて通信制御の方向を切り替えてもよい。例えば、一方の通信制御ユニット１２を待機状態として、他方の通信制御ユニット１２を動作させている場合に、その通信制御ユニット１２が故障などにより停止したことを検知したときに、代替として待機中の通信制御ユニット１２を動作させてもよい。これにより、通信制御装置１０のフォールトトレランスを向上させることができる。また、一方の通信制御ユニット１２に対して、データベースの更新などのメンテナンスを行うときに、他方の通信制御ユニット１２を代替として動作させてもよい。これにより、通信制御装置１０の運用を停止させずに、適切にメンテナンスを行うことができる。

通信制御装置１０に３以上の通信制御ユニット１２が設けられてもよい。切替制御部１４は、例えば、トラフィックの状況を取得して、通信量の多い方向の通信制御処理に、より多くの通信制御ユニット１２を割り当てるように、各通信制御ユニット１２の通信の方向を制御してもよい。これにより、ある方向の通信量が増加しても、通信速度の低下を最小限に抑えることができる。

なお、複数の通信制御ユニット１２の間で、通信制御部２又は４の一部が共用されてもよい。また、パケット処理回路２０の一部が共用されてもよい。

上述のデータ処理装置として、以下のような態様が考えられる。
［態様１］
取得したデータに対して実行する処理の内容を決定するための基準となる基準データを記憶する第１記憶部と、
前記データの中に前記基準データが含まれているか否かを、前記データと前記基準データとを比較することにより検索する検索部と、
前記検索部による検索結果と前記処理の内容とを対応づけて記憶する第２記憶部と、
前記検索結果に基づいて、前記検索結果に対応づけられた処理を前記データに対して実行する処理部と、を含み、
前記検索部は、ワイヤードロジック回路により構成される
ことを特徴とするデータ処理装置。

［態様２］
上記態様１のデータ処理装置において、前記ワイヤードロジック回路は、前記データと前記基準データとをビット単位で比較する第１比較回路を複数含むことを特徴とするデータ処理装置。

［態様３］
上記態様１のデータ処理装置において、前記検索部は、前記データの中から前記基準データと比較すべき比較対象データの位置を検出する位置検出回路を含むことを特徴とするデータ処理装置。

［態様４］
上記態様３のデータ処理装置において、前記位置検出回路は、前記比較対象データの位置を特定するための位置特定データと前記データとを比較する第２比較回路を複数含み、前記複数の第２比較回路に前記データを所定のデータ長ずつ位置をずらして入力し、前記位置特定データと同時に並列して比較することを特徴とするデータ処理装置。

［態様５］
上記態様１から態様２のいずれかのデータ処理装置において、前記検索部は、バイナリサーチにより前記データの中に前記基準データが含まれているか否かを検索するバイナリサーチ回路を含むことを特徴とするデータ処理装置。

［態様６］
上記態様５のデータ処理装置において、前記第１記憶部に保持可能なデータ数よりも前記基準データのデータ数の方が少ない場合、前記第１記憶部の最終データ位置から降順に前記基準データを格納し、残りのデータに０を格納することを特徴とするデータ処理装置。

［態様７］
上記態様１から態様６のいずれかのデータ処理装置において、前記検索部は、前記第１記憶部に記憶された複数の基準データを３以上の範囲に分割したとき、前記基準データと比較すべき比較対象データがそれらの範囲のうちいずれに属するかを判定する判定回路を含むことを特徴とするデータ処理装置。

［態様８］
上記態様７のデータ処理装置において、前記判定回路は、前記範囲の境界の基準データと前記比較対象データとを比較する第３比較回路を複数含み、前記複数の第３比較回路により前記比較対象データが前記３以上の範囲のいずれに属するかを同時に並列して判定することを特徴とするデータ処理装置。

［態様９］
上記態様８のデータ処理装置において、前記第１記憶部の所定位置に記憶された前記基準データが、前記境界の基準データとして前記第３の比較回路に入力されることを特徴とするデータ処理装置。

［態様１０］
上記態様７又は態様８のデータ処理装置において、前記範囲は、前記データ中における前記基準データの出現頻度の分布に応じて設定されることを特徴とするデータ処理装置。

［態様１１］
上記態様１から態様１０のいずれかのデータ処理装置において、前記第１記憶部は、前記データ中の比較対象データの位置を示す情報を更に記憶し、前記検索部は、前記位置を示す情報に基づいて前記比較対象データを抽出することを特徴とするデータ処理装置。

［態様１２］
上記態様１から態様１１のいずれかのデータ処理装置において、前記第１記憶部又は前記第２記憶部は、外部から書き換え可能に設けられることを特徴とするデータ処理装置。

［態様１３］
上記態様１から１２のいずれかのデータ処理装置において、前記検索部は、通信パケットの全てのデータの取得を待たずに、前記基準データと比較すべきデータを取得した時点で、そのデータと前記基準データの比較を開始することを特徴とするデータ処理装置。

［態様１４］
上記態様１から１３のいずれかのデータ処理装置を複数備え、それぞれの前記データ処理装置は、通信回線との間でデータを入出力するインタフェースを２つ備えており、それぞれの前記インタフェースの入力と出力を切り替えることにより、前記データを処理する方向を可変に制御されることを特徴とするデータ処理装置。

つづいて、上述した通信制御装置１０を利用したＵＲＬフィルタリング技術について説明する。

図１３は、ＵＲＬフィルタリングのためのパケット処理回路２０の内部構成を示す。パケット処理回路２０は、第１データベース５０として、ユーザデータベース５７、ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４を備える。ユーザデータベース５７は、通信制御装置１０を利用するユーザの情報を格納する。通信制御装置１０は、ユーザからユーザを識別する情報を受け付け、検索回路３０により受け付けた情報をユーザデータベース５７とマッチングして、ユーザを認証する。ユーザを識別する情報として、ＴＣＰ／ＩＰパケットのＩＰヘッダに格納されたソースアドレスを利用してもよいし、ユーザからユーザＩＤとパスワードなどを受け付けてもよい。前者の場合、パケット中のソースアドレスの格納位置は決まっているので、検索回路３０においてユーザデータベース５７とマッチングするときに、位置検出回路３２により位置を検出する必要はなく、オフセット５１として、ソースアドレスの格納位置を指定すればよい。ユーザデータベース５７に登録されたユーザであることが認証されると、続いて、コンテンツに対するアクセスの許否を判断するために、コンテンツのＵＲＬが、ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４に照合される。ホワイトリスト１６２及びブラックリスト１６３はユーザごとに設けられているので、ユーザが認証されてユーザＩＤが一意に決まると、そのユーザのホワイトリスト１６２及びブラックリスト１６３が検索回路３０に与えられる。

ウイルス／フィッシングサイトリスト１６１は、コンピュータウイルスを含むコンテンツのＵＲＬのリストと、フィッシング詐欺に用いられる「罠」のサイトのＵＲＬのリストとを格納する。ウイルス／フィッシングサイトリスト１６１に格納されたＵＲＬのコンテンツに対するアクセス要求は拒否される。これにより、ユーザが気づかずに、又は騙されて、ウイルスサイトやフィッシングサイトにアクセスしようとする場合であっても、適切にアクセスを禁止し、ウイルスやフィッシング詐欺の被害からユーザを保護することができる。また、ユーザの端末にウイルスサイトやフィッシングサイトのリストを格納させて端末側でアクセス制限を行うのではなく、通信経路に設けられた通信制御装置１０で一元的にアクセス制限を行うので、より確実かつ効率的にアクセス制限を行うことができる。通信制御装置１０は、ウイルスサイトやフィッシングサイトではない正当なサイトであることが認証機関により証明された認証済みサイトのリストを取得して保持し、そのリストに格納されたＵＲＬに対するアクセスを許可するようにしてもよい。また、正当なサイトがハッキングなどにより乗っ取られて、ウイルスが組み込まれたり、フィッシング詐欺に利用されたりする事態が生じた場合、正当なサイトの運営者などがウイルス／フィッシングサイトリスト１６１に乗っ取られたサイトのＵＲＬを登録し、サイトが正常な状態に回復するまでの間、一時的にアクセスを禁止できるようにしてもよい。また、ＵＲＬのリストとともに、ＩＰ番号、ＴＣＰ番号、ＭＡＣアドレス等の情報を組み合わせてチェックしてもよい。これにより、更に精度の高い禁止条件を設定することができるので、より確実にウイルスサイトやフィッシングサイトをフィルタリングすることができる。

ホワイトリスト１６２は、ユーザごとに設けられ、アクセスを許可するコンテンツのＵＲＬのリストを格納する。ブラックリスト１６３は、ユーザごとに設けられ、アクセスを禁止するコンテンツのＵＲＬのリストを格納する。図１４（ａ）は、ウイルス／フィッシングサイトリスト１６１の内部データの例を示し、図１４（ｂ）は、ホワイトリスト１６２の内部データの例を示し、図１４（ｃ）は、ブラックリスト１６３の内部データの例を示す。ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、及びブラックリスト１６３には、それぞれ、カテゴリ番号欄１６５、ＵＲＬ欄１６６、及びタイトル欄１６７が設けられている。ＵＲＬ欄１６６には、アクセスが許可される、又は禁止されるコンテンツのＵＲＬが格納される。カテゴリ番号欄１６５には、コンテンツのカテゴリの番号が格納される。タイトル欄１６７には、コンテンツのタイトルが格納される。

共通カテゴリリスト１６４は、ＵＲＬで示されるコンテンツを複数のカテゴリに分類するためのリストを格納する。図１５は、共通カテゴリリスト１６４の内部データの例を示す。共通カテゴリリスト１６４にも、カテゴリ番号欄１６５、ＵＲＬ欄１６６、及びタイトル欄１６７が設けられている。

通信制御装置１０は、「ＧＥＴ」リクエストメッセージ等の中に含まれるＵＲＬを抽出し、そのＵＲＬが、ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、又は共通カテゴリリスト１６４に含まれるか否かを検索回路３０により検索する。このとき、例えば、位置検出回路３２により「http://」という文字列を検出し、その文字列に続くデータ列を対象データとして抽出してもよい。抽出されたＵＲＬは、インデックス回路３４及びバイナリサーチ回路３６により、ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４の基準データとマッチングされる。

図１６（ａ）、（ｂ）、（ｃ）、及び（ｄ）は、ＵＲＬフィルタリングのための第２データベース６０の内部データの例を示す。図１６（ａ）は、ウイルス／フィッシングサイトリスト１６１に対する検索結果と処理内容を示す。ＧＥＴリクエスト等に含まれるＵＲＬが、ウイルス／フィッシングサイトリスト１６１に含まれるＵＲＬに合致した場合、そのＵＲＬに対するアクセスは禁止される。図１６（ｂ）は、ホワイトリスト１６２に対する検索結果と処理内容を示す。ＧＥＴリクエスト等に含まれるＵＲＬが、ホワイトリスト１６２に含まれるＵＲＬに合致した場合、そのＵＲＬに対するアクセスは許可される。図１６（ｃ）は、ブラックリスト１６３に対する検索結果と処理内容を示す。ＧＥＴリクエスト等に含まれるＵＲＬが、ブラックリスト１６３に含まれるＵＲＬに合致した場合、そのＵＲＬに対するアクセスは禁止される。

図１６（ｄ）は、共通カテゴリリスト１６４に対する検索結果と処理内容を示す。図１６（ｄ）に示すように、共通カテゴリリスト１６４に対する検索結果に対して、ユーザは、カテゴリごとに、そのカテゴリに属するコンテンツに対するアクセスを許可するか禁止するかを、個別に設定することができる。共通カテゴリリスト１６４に関する第２データベース６０には、ユーザＩＤ欄１６８及びカテゴリ欄１６９が設けられている。ユーザＩＤ欄１６８には、ユーザを識別するためのＩＤが格納される。カテゴリ欄１６９には、５７種に分類されたカテゴリのそれぞれについて、カテゴリに属するコンテンツに対するアクセスをユーザが許可するか否かを示す情報が格納される。ＧＥＴリクエストに含まれるＵＲＬが、共通カテゴリリスト１６４に含まれるＵＲＬに合致した場合、そのＵＲＬのカテゴリと、ユーザＩＤに基づいて、そのＵＲＬに対するアクセスの許否が判定される。なお、図１６（ｄ）では、共通カテゴリの数が５７であるが、それ以外であってもよい。

図１７は、ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４の優先度を示す。前提技術では、ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、共通カテゴリリスト１６４の順に優先度が高く、例えば、ホワイトリスト１６２に格納されたアクセスが許可されるコンテンツのＵＲＬであったとしても、そのＵＲＬがウイルス／フィッシングサイトリスト１６１に格納されていれば、コンピュータウイルスを含むコンテンツ、又はフィッシング詐欺に用いられるコンテンツであるとしてアクセスが禁止される。

従来、ソフトウェアを用いて、このような優先度を考慮したマッチングを行うときは、例えば、優先度の高いリストから順にマッチングを行って最初にヒットしたものを採用するか、優先度の低いリストから順にマッチングを行って後からヒットしたものを上書きするか、いずれかの方法がとられていた。しかしながら、前提技術では、専用のハードウェア回路により構成された通信制御装置１０を利用することにより、ウイルス／フィッシングサイトリスト１６１のマッチングを行う検索回路３０ａと、ホワイトリスト１６２のマッチングを行う検索回路３０ｂと、ブラックリスト１６３のマッチングを行う検索回路３０ｃと、共通カテゴリリスト１６４のマッチングを行う検索回路３０ｄとを設けて、それぞれの検索回路３０において同時に並列してマッチングを行う。そして、複数のリストでヒットした場合は、優先度の高いものを採用する。これにより、複数のデータベースが設けられ、それらに優先度が設定されている場合であっても、検索時間を大幅に短縮することができる。

ウイルス／フィッシングサイトリスト１６１、ホワイトリスト１６２、ブラックリスト１６３、及び共通カテゴリリスト１６４のいずれを優先してアクセスの許否を判断するかは、例えば、第２データベース６０に設定されていてもよい。いずれのリストを優先するかに応じて第２データベース６０の条件を書き換えてもよい。

このように、複数のデータベースを利用してＵＲＬに基づいたフィルタリングを行う際に、データベースに優先度を設定して優先度に応じたフィルタリング処理を行うことができるように構成し、かつ、ウイルス／フィッシングサイトリスト１６１によるフィルタリングを最優先することで、ユーザによるホワイトリスト１６２などの設定状況にかかわらず、ウイルスサイトやフィッシングサイトへのアクセスを確実に禁止することができる。これにより、ウイルスやフィッシング詐欺の被害からユーザを適切に保護することができる。

コンテンツに対するアクセスが許可された場合は、処理実行回路４０は、メッセージ出力サーバ１３０にその旨を通知するための信号を出力する。メッセージ出力サーバ１３０は、コンテンツを保持するサーバに向けて「ＧＥＴ」リクエストメッセージを送出する。コンテンツに対するアクセスが禁止された場合は、処理実行回路４０が、メッセージ出力サーバ１３０にその旨を通知するための信号を出力すると、メッセージ出力サーバ１３０は、アクセス先のサーバに「ＧＥＴ」リクエストメッセージを送信せずに破棄する。このとき、アクセスが禁止された旨の応答メッセージを要求元に送信してもよい。また、強制的に別のウェブページに転送させてもよい。この場合、処理実行回路４０は、デスティネーションアドレスとＵＲＬを転送先のものに書き換えて送出する。応答メッセージや転送先のＵＲＬなどの情報は、第２データベース６０やメッセージ出力サーバ１３０などに格納されていてもよい。

メッセージ出力サーバ１３０は、ｐｉｎｇコマンドなどを用いて、要求元が実際に存在することを確認し、また、存在する場合はその状態を確認してから、要求元に対してメッセージを出力してもよい。メッセージ出力サーバ１３０から要求元へ送信されるメッセージは、ユーザごとに設定可能としてもよいし、アクセス先のコンテンツごとに、カテゴリごとに、又は、ホワイトリスト１６２やブラックリスト１６３などのデータベースごとに、設定可能としてもよい。例えば、アクセスが禁止されたときに表示される画面をユーザがカスタマイズしてメッセージ出力サーバ１３０に登録できるようにしてもよい。また、上述したように、正当なサイトがハッキングされてアクセスを一時的に制限しているときに、正当なサイトのミラーサイトへ誘導するメッセージを出力するようにしてもよい。

メッセージ出力サーバ１３０は、メッセージの送出履歴を管理し、そのメッセージ送出履歴情報を各種制御に利用してもよい。例えば、同一の要求元から短時間に多数のアクセス要求が発信されている場合、サービス妨害攻撃（Denial of Service attack：ＤｏＳアタック）などである可能性があるので、その要求元をアクセス拒否リストに登録し、その要求元からのパケットを要求先へ送らずに遮断してもよい。また、メッセージの送出履歴を統計処理し、ウェブサイトの管理者などへ提供してもよい。これにより、ユーザのアクセス履歴をマーケティングに利用したり、通信状況の制御などに活用したりすることができる。また、状況に応じてメッセージの送出回数を少なくしたり、逆に増やしたりする事もできる。たとえば特定のＩＰ番号からアクセス要求が発信された場合に、その１通のリクエストメッセージに対して、何倍ものメッセージを送ることもできる。

以上の構成及び動作により、不適切なコンテンツに対するアクセスを禁止することができる。また、検索回路３０がＦＰＧＡなどにより構成された専用のハードウェア回路であるから、上述したように高速な検索処理が実現され、トラフィックに与える影響を最小限に抑えつつ、フィルタリング処理を実行することができる。インターネットサービスプロバイダなどが、このようなフィルタリングのサービスを提供することにより、付加価値が高まり、より多くのユーザを集めることができる。

ホワイトリスト１６２又はブラックリスト１６３は、全てのユーザに対して共通に設けられてもよい。

つづいて、アクセス要求元に対してメッセージを出力する技術を提案する。また、このメッセージを利用したビジネスモデルを提案する。更に、このメッセージを利用して、悪意ある攻撃に対して適切な防御策を講じる技術を提案する。

前提技術で説明したように、通信制御装置１０は、コンテンツに対するアクセス要求のパケットを受信し、そのアクセスの可否を判定して、アクセスが禁止された場合は、メッセージ出力サーバ１３０にエラーメッセージなどのメッセージの出力を指示する。本実施の形態では、このメッセージ出力サーバ１３０によりアクセス要求元へ出力されるメッセージを、アクセス要求元のユーザごと、アクセス先のＵＲＬごと、カテゴリごと、データベースごとなど、柔軟に設定可能とし、状況に応じて適切なメッセージを出力することを可能とする。アクセスが禁止された場合に限らず、コンテンツとメッセージを対応づけて保持しておき、コンテンツに対するアクセス要求を発信したユーザに対して、そのコンテンツに対応づけられたメッセージを出力するようにしてもよい。

図１８は、実施の形態に係るメッセージ出力サーバ１３０の構成を示す。本実施の形態のメッセージ出力サーバ１３０は、メッセージ出力部１３１、メッセージ保持部１３２、履歴保持部１３３、評価部１３４、登録受付部１３５、及び課金部１３６を含む。

メッセージ保持部１３２は、アクセス要求元に対して出力するメッセージを保持する。メッセージは、ユーザごとに設定されてもよい。この場合、メッセージ保持部１３２は、ユーザを識別する情報と、そのユーザに出力するメッセージ又はそのメッセージを格納したファイルのファイル名などを対応づけて格納する。メッセージは、カテゴリリストにおけるカテゴリごとに設定されてもよいし、アクセス先のＵＲＬごとに設定されてもよい。例えば、サイト運営者が、ＵＲＬごとに広告情報などをメッセージとして設定してもよい。メッセージ保持部１３２が、ユーザごと、ＵＲＬごとなど、複数の条件に応じたメッセージを設定可能である場合には、いずれのメッセージを優先するかを示す情報を更に格納してもよい。

登録受付部１３５は、メッセージの登録を受け付ける。メッセージをユーザごとに設定可能とする場合、登録受付部１３５は、ユーザからメッセージの登録を受け付け、メッセージ保持部１３２に登録する。その他、コンテンツの提供者、広告提供事業者などから、メッセージの登録を受け付けてもよい。メッセージの登録者に対して登録料を課金する場合は、登録受付部１３５は、メッセージの登録を受け付けると、登録料を課金するよう課金部１３６に指示する。課金部１３６は、登録者のアカウントから登録料を減じる処理を行う。

メッセージがアクセス要求元のユーザごとに設定されている場合、メッセージ出力部１３１は、アクセス要求のパケットを処理する接続管理サーバ１２０又は通信制御装置１０から、アクセス要求元のユーザのユーザＩＤなどを取得し、メッセージ保持部１３２を参照して、そのユーザに設定されたメッセージを出力する。メッセージがアクセス先のＵＲＬ、カテゴリごとに設定されている場合、メッセージ出力部１３１は、通信制御装置１０から、アクセス先のＵＲＬ又はカテゴリの識別情報などを取得し、メッセージ保持部１３２を参照して、そのＵＲＬ又はカテゴリに設定されたメッセージを出力する。メッセージ出力部１３１は、メッセージを出力した履歴を履歴保持部１３３に登録する。また、メッセージの出力に対してメッセージの登録者又はメッセージの受信者に対価を課金する場合は、課金部１３６に課金を指示する。

第１データベース５０のリストごとにメッセージを設定する場合、例えば、ウイルス／フィッシングサイトリスト１６１に登録されたＵＲＬへのアクセスを要求したユーザに、「ウイルス感染サイトであるため、アクセスが制限されました。」「フィッシングサイトであるため、アクセスが制限されました。」など、アクセスを禁止した理由をメッセージとして出力することができる。また、共通カテゴリリスト１６４のカテゴリごとにメッセージを設定する場合も、例えば、「閲覧禁止カテゴリであるため、アクセスが制限されました。」など、アクセスを禁止した理由をメッセージとして出力することができる。それぞれのリストに登録されているＵＲＬごとにメッセージを設定する場合も同様である。

アクセス要求元のユーザごとにメッセージを設定する場合、例えば、企業などにおいて役職等に応じたアクセス権限が設定されているときに、「このサイトにアクセスする権限がありません。」などのメッセージを出力することができる。また、親が子供に携帯電話などを与える場合に、子供が不適切なサイトへアクセスしようとしたとき、別の健全な又は優良なサイトへのリンクを含むメッセージを出力し、そのリンク先へ誘導してもよい。

アクセス先のカテゴリやＵＲＬごとに、広告などを含むメッセージを設定してもよい。例えば、サイトの内容に関連した広告をメッセージに含ませてもよい。これにより、ユーザが閲覧しようとしたサイトに関連する広告を提供することができるので、広告効果を高めることができる。また、ユーザごとに、広告などを含むメッセージを設定してもよい。例えば、ユーザが、関心のある分野を設定しておき、それに属する広告などの情報をメッセージに含ませてもよい。

メッセージは、別のサイトへのリンクを含んでもよい。別のサイトへのリンクの例として、広告を提供するサイトへのリンク、アクセス先のコンテンツに関連するサイトへのリンク、人気ランキングの上位のサイトへのリンク、認証局により認定された安全なサイトへのリンク、などを含んでもよい。例えば、正規のサイトがハッキングを受けて閉鎖されているような場合に、そのサイトへアクセスしようとするユーザに対して、ミラーサイトへのリンクを含むメッセージを出力してもよい。また、サイトのＵＲＬを移転した場合に、移転前のＵＲＬへアクセスしようとするユーザに対して、移転先のＵＲＬへのリンクを含むメッセージを出力してもよい。また、メッセージ出力部１３１は、アクセス先のコンテンツに関連するサイトのうち、関連度の高いサイト、人気のあるサイト、優良度の高いサイト、認証局により認証されたサイトなどを抽出してリストを作成し、メッセージに含ませてもよい。

評価部１３４は、履歴保持部１３３に保持されたメッセージ出力履歴を参照して、通信状況やアクセス要求元の状況などを評価する。評価部１３４は、メッセージの送出履歴を統計処理し、ウェブサイトの管理者などへ提供してもよい。これにより、ユーザのアクセス履歴をマーケティングに利用したり、通信状況の制御などに活用したりすることができる。また、ユーザの端末が定期的にアクセス要求を発信するように設定しておき、それに対するメッセージの送出履歴を参照して、ユーザの行動履歴などを把握して利用できるようにしてもよい。

評価部１３４は、同一の要求元から短時間に多数のアクセス要求が発信されている場合、サービス妨害攻撃（Denial of Service attack：ＤｏＳアタック）などである可能性があると評価して、その要求元をアクセス拒否リストに登録し、その要求元からのパケットを要求先へ送らずに遮断してもよい。このとき、評価部１３４は、ｐｉｎｇコマンドなどを用いて要求元が実際に存在することを確認し、また、存在する場合はその状態を確認してもよい。サービス妨害攻撃など不正なアクセス要求を発信している要求元を特定した場合、メッセージ出力部１３１は、その要求元に対してメッセージを出力してもよい。本実施の形態の通信制御装置１０は、上述したように、ＯＳ及びＣＰＵを持たない完全透過型の通信装置であり、ＩＰアドレスも有しないので、攻撃を受けることはない。逆に、メッセージ出力サーバ１３０から攻撃者に対してメッセージを「はね返す」ことにより、攻撃者の装置に負荷を与えることができる。この場合、通信制御システム１００は、不正なアクセス要求を通さずにはね返すので、いわば鏡（ミラー）のような役割を果たすことになる。１つのアクセス要求に対して、複数のメッセージを送出することもできる。

本実施の形態の通信制御システム１００は、アクセス要求を発するユーザ端末と、アクセス先の装置との間の通信経路に設けられる。以下、通信制御システム１００の配置例を列挙する。

図１９は、通信制御システムの配置例を示す。本図は、ユーザ端末の一例として、携帯電話端末２６０が用いられる例を示している。携帯電話端末２６０から発せられるアクセス要求は、キャリアが設置した基地局装置２６２、局舎に設けられた制御局装置２６４を介してインターネット２００へ送出され、インターネット２００を介してウェブサーバ２５０へ到達する。本図の例では、基地局装置２６２に通信制御システム１００が設けられる。この場合、メッセージ保持部１３２の内容を基地局装置２６２ごとに変えて、基地局装置２６２がカバーする領域ごとに異なるメッセージを出力するようにしてもよい。基地局装置２６２に通信制御システム１００を設ける場合、必要最低限の機能のみを搭載することにより通信制御システム１００の小型化を図ってもよい。例えば、接続管理サーバ１２０、ログ管理サーバ１４０などの構成を省略してもよい。基地局装置２６２に通信制御システム１００を設けることにより、通信制御処理が分散されるので、小規模な通信制御システム１００を設ければよく、装置を小型化・軽量化できるとともに、コストを低減することができる。また、携帯電話端末２６０から発せられたアクセス要求を制御局装置２６４へ送出する前に要求元にメッセージを送出することができるので、通信量を低減することができる。また、携帯電話端末２６０と直接通信する基地局装置２６２においてメッセージを送出するので、より確実かつ迅速にメッセージを携帯電話端末２６０に届けることができる。

図２０は、通信制御システムの別の配置例を示す。本図も、携帯電話端末２６０が用いられる例を示しているが、図１９に示した例とは異なり、制御局装置２６４に通信制御システム１００が設けられる。局舎に設けられた制御局装置２６４において一元的にメッセージ処理を実行するので、システムのメンテナンスが容易である。

図２１は、通信制御システムの更に別の配置例を示す。本図でも、ユーザ端末の一例として、携帯電話端末２６０が用いられる。携帯電話端末２６０から発せられるアクセス要求は、無線ＬＡＮのアクセスポイント２７２、ルータ装置２７４を介してインターネット２００へ送出され、インターネット２００を介してウェブサーバ２５０へ到達する。本図の例では、アクセスポイント２７２に通信制御システム１００が設けられる。図１９に示した例と同様に、携帯電話端末２６０に近い装置でメッセージ処理を実行することにより、無駄な通信を削減することができる。また、例えば企業内の無線ＬＡＮの場合、従業員が勤務時間中に不適切なウェブサイトにアクセスすることができないようにするなど、アクセスポイント２７２に応じた通信制御を行うことができる。

図２２は、通信制御システムの更に別の配置例を示す。本図も、無線ＬＡＮの例を示しているが、図２１とは異なり、ルータ装置２７４に通信制御システム１００が設けられる。ルータ装置２７４に通信制御システム１００を設けることにより、通信制御システム１００の設置数を低減することができ、メンテナンスも容易となる。

図２３及び図２４は、通信制御システムの更に別の配置例を示す。本図では、ユーザ端末の一例として、パーソナルコンピュータ（ＰＣ）２８０が用いられる例を示している。ＰＣ２８０から発せられるアクセス要求は、ＬＡＮのルータ装置２８２及び２８４を介してインターネット２００へ送出され、インターネット２００を介してウェブサーバ２５０へ到達する。図２３は、ルータ装置２８２に通信制御システム１００が設けられる例を示しており、図２４は、ルータ装置２８４に通信制御システム１００が設けられる例を示している。

上記の例では、ネットワークを構成する装置に通信制御システム１００を組み込む例を示したが、通信制御システム１００は、これらの装置とは別に、ネットワークの任意の位置に設けられてもよい。

これらの配置例において、基地局装置２６２やアクセスポイント２７２のアンテナ、制御局装置２６４やルータ装置２７４、２８２、又は２８４のネットワークインタフェースなどの受信部により受信された通信データに対するアクセス制御の要否を判定することなく、メッセージを出力してもよい。また、要求元のユーザがユーザデータベース５７に登録されたユーザであるか否かを認証することなく、メッセージを出力してもよい。すなわち、通信制御システム１００は、通過する全てのパケットを捕捉し、そのパケットの発信元に対してメッセージを出力してもよい。また、前提技術で説明したように、接続管理サーバ１２０において認証されたユーザのみにメッセージを出力してもよいし、ユーザデータベース５７に登録されたユーザのみにメッセージを出力してもよい。

（実施の形態）
実施の形態では、前提技術において説明した通信制御装置が出力するログをフィルタリングする技術について説明する。

図２５は、実施の形態に係る通信制御装置１０の構成を示す。本実施の形態の通信制御装置１０は、図３に示した前提技術に係る通信制御装置１０の構成に加えて、ログ出力制御装置１４５を更に備える。ログ出力制御装置１４５は、ログ出力制御回路１４１ａ及び１４１ｂ、ログ出力設定部１４２、及び複数のログ出力ポート１４３ａ〜１４３ｆを備える。これらの構成は、ログ管理サーバ１４０に備えられてもよい。その他の構成及び動作は、前提技術に係る通信制御装置１０と同様である。

ログ出力制御回路１４１は、通信制御装置１０のパケット処理回路２０における処理のログの出力を制御する。ログ出力制御回路１４１は、図４に示したパケット処理回路２０の構成と同様の構成を含んでおり、パケット処理回路２０から出力されるログに含まれるデータに基づいて、ログを出力する方法を決定する。ログ出力制御回路１４１は、ログに含まれるデータに基づいて、ログを出力するポート、ログ出力先などを決定し、必要であればログを編集して出力する。

図２６は、ログ出力制御回路１４１に備えられた第１データベース５０及び第２データベース６０の内部データの例を示す。第１データベース５０には、送信元ＩＰアドレス欄７１、送信先ＩＰアドレス欄７２、プロトコル番号欄７３、及びポート番号欄７４が設けられている。第２データベース６０には、処理欄８１、出力ポート欄８２、及び出力先欄８３が設けられている。ログ出力制御回路１４１に設けられた検索回路３０は、パケット処理回路２０から出力されたログ、又は、そのログのもとになった通信データに含まれる送信元ＩＰアドレス、送信先ＩＰアドレス、プロトコル番号、ポート番号などを取得して第１データベース５０を検索する。ログ出力制御回路１４１に設けられた処理実行回路４０は、検索回路３０による検索結果に基づいて、第２データベース６０から実行すべき処理、出力ポート、出力先を取得し、必要な処理を実行した後、指定されたログ出力ポート１４３から出力先へログを出力する。

ログ出力制御回路１４１は、ログの出力方法を決定する基準となるデータの種別の数に応じて、複数の検索回路３０を有してもよい。例えば、図２６の例のように、送信元ＩＰアドレス、送信先ＩＰアドレス、プロトコル番号、及びポート番号を基準としてログの出力方法を決定する場合は、それぞれの検索のために４つの検索回路３０が設けられ、同時に並列して複数の種別のデータを検索可能としてもよい。これにより、より高速にログの出力を制御することができる。ログ出力制御回路１４１は、送信元又は送信先のＭＡＣアドレス、通信ステータス、その他通信データ中に存在する任意のデータやビットを単独で又は複数組み合わせて、ログ出力方法を決定する基準としてもよい。

ログ出力制御回路１４１は、ログを出力する前に、ログを圧縮したり、暗号化したり、所定のデータのみを抽出したり、所定のデータを削除したり、所定のデータを追加したり、文字コードを変更したり、送信元や送信先のＭＡＣアドレスやＩＰアドレスなどを変更したり、プロトコルを変更したりして、ログを編集する機能を有していてもよい。

ログ出力制御回路１４１は、複数のログをまとめてログ出力ポート１４３から出力させてもよい。例えば、所定の数又は所定のデータ量のログがパケット処理回路２０から出力されるまで、出力されたログを一時メモリに保持し、一時メモリに蓄積されたログが所定の数又は所定のデータ量に達すると、一時メモリからログのデータを読み出して、それらをまとめてログ出力ポート１４３から出力させてもよい。

ログ出力設定部１４２は、ログ出力制御回路１４１によるログの出力方法を設定する。ログ出力設定部１４２は、ログ出力制御回路１４１に設けられた第１データベース５０及び第２データベース６０を書き換えることにより、ログの出力方法を切り替える。本実施の形態では、ログ出力制御回路として、ログ出力制御回路１４１ａとログ出力制御回路１４１ｂの２つを設けているので、ログ出力設定部１４２がいずれか一方のログ出力制御回路１４１のデータベースを書き換えてログ出力方法を更新している間にも、他方のログ出力制御回路１４１により運用を継続することができる。ログ出力設定部１４２は、チップセレクト信号などを用いて運用するログ出力制御回路１４１を切り替えてもよい。これにより、運用を停止することなくログ出力方法を変更することができる。

前提技術で説明したメッセージ出力サーバ１３０により、本実施の形態のログ出力制御機能を実現してもよい。また、逆に、前提技術で説明したメッセージ出力サーバ１３０の機能を、本実施の形態のログ出力制御回路１４１などにより実現してもよい。例えば、ＤｏＳ攻撃を企図した通信データをパケット処理回路２０が処理したときに、ログ出力制御回路１４１がその通信データの発信元へ通信データを返送してミラーリングしてもよい。また、通信制御装置１０から何らかのデータを外部へ出力するための予備のポートとしてログ出力ポート１４３を利用してもよい。

ログ出力制御回路１４１は、ログ出力ポート１４３の使用状況に応じて、使用するログ出力ポート１４３を決定してもよい。例えば、ログ出力ポート１４３ａから出力すべきログが大量に出力されたとき、それらを全てログ出力ポート１４３ａから出力する代わりに、輻輳していない他のログ出力ポート１４３から出力させてもよい。これにより、ログ出力ポート１４３の負荷を分散し、効率良くログを出力させることができる。

ログ出力制御回路１４１は、メッセージ出力サーバ１３０の状況も更に考慮して、使用するログ出力ポート１４３を決定してもよい。例えば、メッセージ出力サーバ１３０が大量のメッセージを出力する必要が生じたときに、そのメッセージをメッセージ出力サーバ１３０から受け付けて、ログ出力ポート１４３から出力してもよい。また、逆に、全てのログ出力ポート１４３が輻輳しているときに、出力すべきログのデータをメッセージ出力サーバ１３０へ送り、メッセージ出力サーバ１３０から出力させてもよい。このように、ログ出力制御回路１４１は、メッセージ出力サーバ１３０と協働して負荷分散を行ってもよい。これにより、更に効率良くメッセージやログを出力させることができる。

ログ出力制御回路１４１は、通信データの送信先の装置に異常が生じて通信データを受信できない状況に陥っているときに、その通信データを他の装置へ転送してもよい。例えば、電子メールの宛先のＳＭＴＰサーバがダウンしているときに、そのＳＭＴＰサーバ宛の電子メールの通信データをスプール先の装置へ転送し、一時的にスプールさせてもよい。異常が生じている装置及び転送先の装置のＩＰアドレス又はＭＡＣアドレスは、外部の装置からパケット処理回路２０を介して、又は直接ログ出力設定部１４２へ伝達され、ログ出力設定部１４２からログ出力制御回路１４１へ設定されてもよい。これにより、通信データの送信先の装置に異常が生じている場合であっても、適切に通信データを制御することができる。

本実施の形態の通信制御装置１０は、ＩＰアドレスを有しない完全透過型の通信機であり、通信データを物理的に着信せずに上記の機能を実行する。つまり、通信制御装置１０は、ネットワークを通過中の通信データを取り込み、プロトコル処理など物理的な着信に要する処理を省略して上述した処理を行い、ログを出力する。従来の通信機は、自装置宛の通信データを受信して制御していたが、本実施の形態の通信制御装置１０は、自装置宛に送信されたのではない通過中の通信データを取り込んで制御する。したがって、送信元及び送信先の装置や、通信経路に設けられた他の通信装置は、通信制御装置１０が設けられることによる設定等の変更を何ら必要とすることなく、通信制御装置１０の存在を全く意識せずに通信を行うことができる。したがって、本実施の形態の技術によれば、通信システムに大きな改変を行うことなく、上記のようなシステムを構築することができる。また、本実施の形態の通信制御装置１０はＩＰアドレスを有しないので、悪意あるハッカーなどから攻撃を受けることがなく、セキュリティ性に優れている。

以上、本発明を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

本発明は、コンテンツに対するアクセスの可否を制御する通信制御システムに適用することができる。

Claims (7)

1. 通信を制御する通信制御装置から出力されるログに含まれるデータと、そのデータを含むログを出力する方法とを対応づけて格納したデータベースと、
   前記ログを他の装置へ出力するための複数の出力ポートと、
   前記通信制御装置から前記ログを取得し、そのログに含まれるデータを前記データベースから検索する検索回路と、
   前記検索回路の検索結果に応じて、前記ログを出力する方法を前記データベースから取得し、その方法にしたがって前記ログを出力する出力ポートを決定し、その出力ポートから前記ログを出力する出力部と、
   を備えることを特徴とするログ出力制御装置。
2. 前記データベースを変更することにより、前記ログを出力する方法を切り替えるログ出力設定部を更に備えることを特徴とする請求項１に記載のログ出力制御装置。
3. 複数の前記ログ出力制御装置を備え、
   前記ログ出力設定部は、あるログ出力制御装置のデータベースを変更しているときに、他のログ出力制御装置を運用させることを特徴とする請求項２に記載のログ出力制御装置。
4. 前記出力部は、複数の前記出力ポートの使用状況に応じて、前記ログを出力する出力ポートを決定することを特徴とする請求項１から３のいずれかに記載のログ出力制御装置。
5. 前記データベースに、ログに含まれる複数の種別のデータに対応づけてログを出力する方法が格納されているとき、前記複数の種別のデータのそれぞれに対応して複数の前記検索回路を備え、それらの検索回路により同時に並列して前記複数の種別のデータの検索を実行することを特徴とする請求項１から４のいずれかに記載のログ出力制御装置。
6. 出力部は、前記通信制御装置が受信した通信データの送信先の装置に異常が生じて通信データを受信できない状況に陥っているときに、その通信データを他の装置へ出力することを特徴とする請求項１から５のいずれかに記載のログ出力制御装置。
7. 通信を制御する通信制御装置からログを取得し、そのログに含まれるデータを、前記通信制御装置から出力されるログに含まれるデータと、そのデータを含むログを出力する方法とを対応づけて格納したデータベースから検索するステップと、
   前記検索するステップの検索結果に応じて、前記ログを出力する方法を前記データベースから取得し、その方法にしたがって前記ログを出力する出力ポートを複数の出力ポートの中から決定し、その出力ポートから前記ログを出力するステップと、
   を備えることを特徴とするログ出力制御方法。

Images