JP5805585B2 - 中継サーバおよび代理アクセス方法 - Google Patents

Description

本発明は、中継サーバおよび代理アクセス方法に関する。

従来、悪性サイトへのアクセスを防止するために、事前に定義されたネットワーク上のアクセス拒否リストを用いて、悪性サイトへのアクセスを制限する方法が知られている。また、ネットワーク上またはユーザ端末上のメールフィルタリング機能やアンチウィルス機能によって悪性電子メールの着信やコンピュータウィルスがユーザ端末に侵入してこないようにする技術も知られている。

また、一見正しい特徴をもった不審な電子メールは、ネットワーク上のアクセス拒否リストやユーザ端末上のアンチウィルス機能やスパムメールフィルタリング機能などをすり抜けるように作られている。このため、このような悪性電子メールについて、電子メール送信者の電子メールアドレスや電子メールに記載のＵＲＬを目視により判断し、悪性電子メールだと判断したものについては、アクセスをしないようにする対策も行われている。

"ＩＰＡテクニカルウォッチ 標的型攻撃メールの分析に関するレポート"、［online］、［平成２４年５月１８日検索］、インターネット＜http://www.ipa.go.jp/about/technicalwatch/pdf/111003report.pdf＞ "アクセスコントロール"、［online］、［平成２４年５月１８日検索］、インターネット＜http://squid.robata.org/faq_10.html＞ "標的型攻撃 ［Ｊａｐａｎ ＩＴ Ｗｅｅｋ 春］マクニカがゼロデイ攻撃検知装置を展示、プロキシとの連携防御も"、［online］、［平成２４年５月１８日検索］、インターネット＜http://itpro.nikkeibp.co.jp/article/NEWS/20110513/360315/＞ "Ｅｍａｉｌｓ ＭＰＳ（入口対策）"、［online］、［平成２４年５月１８日検索］、インターネット＜http://www.macnica.net/fireeye/emailmps.html/＞

しかしながら、従来の悪性サイトへのアクセスを防止する技術では、悪性サイトであるかを迅速に判断することができず、アクセスを適切に制限することができないという課題があった。つまり、上記したアクセス拒否リストやアンチウィルス機能、スパムメールフィルタリング機能では、悪性と判定されるアドレスやファイルを事前に集めてその特徴から定義ファイルを作成する必要がある。このため、アクセス拒否リストや悪性な情報をフィルタリングするための悪性リストを作成するために膨大な時間がかかる場合があり、悪性サイトであるかを迅速に判断してアクセスを適切に制限することができなかった。

また、一見正しい特徴をもった不審な電子メールは、これらの機能をすり抜けるために、アクセス拒否リストやスパムメールフィルタリングやアンチウィルス機能の定義に登録されていないアドレスを用いてユーザ端末に電子メールを送信し、悪性サイトからコンピュータウィルスなどをダウンロードさせるように作られており、ネットワークやユーザ端末における事前定義型の防御機能では防止できない場合が多く存在する。このため、悪性サイトであるかを迅速に判断してアクセスを適切に制限することができなかった。

また、目視により不審な電子メールやアクセス先を判断する方法では、悪性電子メールは一見正しい特徴を持たせることによりユーザを惑わせるように仕組まれているため一定の確率でユーザが悪性サイトへ誘導される、または電子メール内のユーザの確認が及ばない場所に自動的に外部のサイトへアクセスを行うことがあった。このため、目視による判断だけでは、悪性サイトであるかを迅速に判断することができず、アクセスを適切に制限することができなかった。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、悪性サイトであるかを迅速に判断してアクセスを適切に制限することを目的とする。

上述した課題を解決し、目的を達成するため、中継サーバは、ユーザ端末への電子メールのなかにインターネットにアクセスするためのアドレス情報が含まれているか検索し、前記電子メール内にアドレス情報が含まれている場合には、該アドレス情報を抽出する抽出部と、前記抽出部によって抽出されたアドレス情報を記憶部に登録する登録部と、前記ユーザ端末からインターネットへのアクセス要求を受信した際に、該アクセス要求のなかに前記記憶部に記憶されたアドレス情報が含まれているか検索し、アドレス情報が含まれている場合には、該アドレス情報を外部装置に転送し、該アドレス情報を用いたアクセスを前記外部装置に実行させる転送部と、前記外部装置から前記アドレス情報を用いたアクセスを実行した結果得られた画面イメージを受信し、該画面イメージを前記ユーザ端末に送信する送信部と、を備えることを特徴とする。

また、代理アクセス方法は、ユーザ端末への電子メールのなかにインターネットにアクセスするためのアドレス情報が含まれているか検索し、前記電子メール内にアドレス情報が含まれている場合には、該アドレス情報を抽出する抽出工程と、前記抽出工程によって抽出されたアドレス情報を記憶部に登録する登録工程と、前記ユーザ端末からインターネットへのアクセス要求を受信した際に、該アクセス要求のなかに前記記憶部に記憶されたアドレス情報が含まれているか検索し、アドレス情報が含まれている場合には、該アドレス情報を外部装置に転送し、該アドレス情報を用いたアクセスを前記外部装置に実行させる転送工程と、前記外部装置から前記アドレス情報を用いたアクセスを実行した結果得られた画面イメージを受信し、該画面イメージを前記ユーザ端末に送信する送信工程と、を含んだことを特徴とする。

本願に開示する中継サーバおよび代理アクセス方法は、悪性サイトであるかを迅速に判断してアクセスを適切に制限することができるという効果を奏する。

図１は、第一の実施の形態に係る通信システムの全体構成の一例を説明するための図である。 図２は、第一の実施の形態に係るプロキシサーバの構成の一例を示すブロック図である。 図３は、電子メールのフォーマットの一例を示す図である。 図４は、アクセス転送リストの一例を示す図である。 図５は、アクセス規制またはアクセス許容するべきＵＲＬのパターンの記述の一例を示す図である。 図６は、電子メールから抽出可能なアドレスの一例を示す図である。 図７は、電子メールからアドレスを抽出することができる場所の一例を示す図である。 図８は、第一の実施の形態に係る通信システムにおける処理の流れの一例を示すシーケンス図である。 図９は、従来の通信システムにおける処理の流れの一例を示すシーケンス図である。 図１０は、第一の実施の形態に係るプロキシサーバによる抽出処理の流れの一例を説明するためのフローチャートである。 図１１は、第一の実施の形態に係るプロキシサーバによる登録処理の流れの一例を説明するためのフローチャートである。 図１２は、第一の実施の形態に係るプロキシサーバによる中継処理の流れの一例を説明するためのフローチャートである。 図１３は、代理アクセスプログラムを実行するコンピュータを示す図である。

以下に、本願に係る中継サーバおよび代理アクセス方法の実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本願に係る中継サーバおよび代理アクセス方法が限定されるものではない。

［第一の実施の形態］
以下の実施の形態では、第一の実施の形態に係る通信システムの構成、プロキシサーバの構成および処理の流れを順に説明し、最後に第一の実施の形態による効果を説明する。

［第一の実施の形態に係る通信システムの構成］
まず、図１を用いて、第一の実施の形態に係る通信システム１００について説明する。図１は、第一の実施の形態に係る通信システム１００の全体構成の一例を説明するための図である。通信システム１００では、プロキシサーバ１０とセキュアプロキシサーバ２０とユーザ端末３０とメールサーバ４０とがローカルエリアネットワーク８０に接続され、インターネット９０上には悪質メール送信端末５０と悪質Ｗｅｂサーバ６０が存在し、ローカルエリアネットワーク８０がファイアーウォール７０を介してインターネット９０に接続されている。

プロキシサーバ１０は、ユーザ端末３０からインターネット９０へのＷｅｂアクセスを中継するサーバであり、通信処理部１１、制御部１２、記憶部１３を有する。なお、プロキシサーバ１０の詳しい構成や処理については、図２等を用いて後に詳述する。

セキュアプロキシサーバ２０は、インターネット９０へのユーザ端末３０のアクセスを代行することで、インターネット９０へのアクセスをユーザ端末３０と切り離し、ユーザ端末３０の安全なアクセス処理を実現する。また、セキュアプロキシサーバ２０は、通信処理部２１、ＶＭ（Virtual Machine）２２、Ｗｅｂブラウザ２３、およびＶＭ制御部２４を有する。

通信処理部２１は、プロキシサーバ１０との間で行われる通信処理を制御する。ＶＭ２２には、ユーザ端末３０内のＷｅｂブラウザ３２と連動して動作するＷｅｂブラウザ２３がある。ＶＭ制御部２４は、ＶＭ２２の生成および消去を制御する。

ユーザ端末３０は、電子メールの受信およびＷｅｂアクセスが可能な端末であり、通信処理部３１、Ｗｅｂブラウザ３２、メール受信部３３を有する。通信処理部３１は、プロキシサーバ１０との間で行われる通信処理を制御する。Ｗｅｂブラウザ３２は、Ｗｅｂページを閲覧するためのアプリケーションソフトである。メール受信部３３は、メールサーバ４０から転送されたメールを受信する。

メールサーバ４０は、インターネット９０からの電子メールをユーザ端末３０に転送するサーバであり、通信処理部４１、メール中継部４２を有する。通信処理部４１は、ユーザ端末３０との間で行われる通信処理を制御する。メール中継部４２は、インターネット９０からの電子メールをユーザ端末３０に転送すると共に、該電子メールをプロキシサーバ１０に転送する。

悪質メール送信端末５０は、悪質なメールを送信する端末であり、例えば、一見正しい特徴をもった不審な電子メールである標的型攻撃メールをユーザ端末３０に対して送信する。悪質Ｗｅｂサーバ６０は、悪質メール送信端末５０によって送信された電子メールにより誘導される悪性サイトを運営するサーバである。

［第一の実施の形態に係るプロキシサーバの構成］
次に、図２を用いて、図１に示したプロキシサーバ１０の構成を説明する。図２は、第一の実施の形態に係るプロキシサーバの構成を示すブロック図である。図２に示すように、このプロキシサーバ１０は、通信処理部１１、制御部１２、記憶部１３を有し、図示しないローカルエリアネットワーク８０と接続される。以下にこれらの各部の処理を説明する。

通信処理部１１は、接続されるセキュアプロキシサーバ２０、ユーザ端末３０およびメールサーバ４０との間でやり取りする各種情報に関する通信を制御する。例えば、通信処理部１１は、電子メールをメールサーバ４０から受信し、Ｗｅｂアクセスの要求をユーザ端末３０から受信し、セキュアプロキシサーバ２０にユーザ端末３０に代行してアクセスするアクセス先のＵＲＬを送信し、Ｗｅｂ画面イメージをセキュアプロキシサーバ２０から受信し、また、ユーザ端末３０にＷｅｂ画面イメージを送信する。

ここで、電子メールの構成について図３の例を用いて説明する。図３は、電子メールのフォーマットの一例を示す図である。図３に例示するように、一つの電子メール３０１は、一つのファイルから構成されており、電子メールのヘッダ部分３０２、電子メール本文３０３、添付ファイル３０４から構成される。後述する抽出部１２ｂでは、電子メール本文および添付ファイルに対する文字パターンによりＵＲＬ３０５を抽出する。

記憶部１３は、制御部１２による各種処理に必要なデータおよびプログラムを格納するが、特に本発明に密接に関連するものとしては、アクセス転送リスト記憶部１３ａ、アクセス規制ＵＲＬパターン記憶部１３ｂおよびアクセス許容ＵＲＬパターン記憶部１３ｃを有する。

アクセス転送リスト記憶部１３ａは、ユーザ端末３０への電子メールのなかに含まれるインターネット９０にアクセスするためのアドレス情報のうち、アクセスを制限するべきアドレス情報を記憶する。例えば、アクセス転送リスト記憶部１３ａは、図４に例示するように、電子メールから抽出したＵＲＬまたは接続先アドレスのＵＲＬ形式と、電子メールから抽出したＵＲＬまたは接続先アドレスの抽出箇所と、アクセス転送リストへの登録日が記録されている。図４は、アクセス転送リストの一例を示す図である。

図４の例を挙げて具体的に説明すると、アクセス転送リスト記憶部１３ａは、電子メールから抽出したＵＲＬまたは接続先アドレスのＵＲＬとして、「http://www.aaa.bbb.co.jp/ccc.php?page=ddd.html」を記憶し、抽出箇所として、「POINT=PDF」を記憶し、アクセス転送リストへの登録日として「DATE=2012/03/16」を記憶する。つまり、この例では、ＰＤＦデータからＵＲＬ「http://www.aaa.bbb.co.jp/ccc.php?page=ddd.html」を抽出し、「2012/03/16」に上記ＵＲＬがアクセス転送リスト記憶部１３ａに登録されたことを意味する。

アクセス規制ＵＲＬパターン記憶部１３ｂは、アクセスが許容されないアクセス先のＵＲＬのパターンを事前に記憶する。このようなアクセス規制するべきＵＲＬのパターンは、例えば、システム管理者によって事前に登録される。

アクセス許容ＵＲＬパターン記憶部１３ｃは、アクセスが許容されるアクセス先のＵＲＬのパターンを事前に記憶する。このようなアクセス許容するべきＵＲＬのパターンは、例えば、ユーザからの事前申請を受けて登録される。

アクセス規制ＵＲＬパターン記憶部１３ｂおよびアクセス許容ＵＲＬパターン記憶部１３ｃでは、アクセス規制またはアクセス許容するべきＵＲＬの全て記述を記憶するようにしてもよいし、ＵＲＬの一部の記述を記憶するようにしてもよい。

ここで、図５を用いて、アクセス規制またはアクセス許容するべきＵＲＬのパターンの記述の一例を説明する。図５は、アクセス規制またはアクセス許容するべきＵＲＬのパターンの記述の一例を示す図である。図５に示すように、ＵＲＬを全て記述する方法の他に、＊を用いて＊以外の部分が一致するものについても一致することを許容させてもよい。アクセスを許容するべきＵＲＬパターンは、一致するＵＲＬが少なくなるように記述し、アクセスを制限するべきＵＲＬパターンは、一致するＵＲＬが多くなるように記述することにより、世の中に知られていない悪性ＵＲＬであってもアクセスを防止できるようにすることが可能である。

例えば、図５の例を挙げて説明すると、「http://www.aaa.bbb.co.jp」は、ＵＲＬの全て記述を記憶している例である。また、「http://*.aaa.bbb.co.jp」は、ＵＲＬの一部の記述を記憶している例である。この場合には、「http://*.aaa.bbb.co.jp」の＊以外が一致していても一致するものとして扱われる。

制御部１２は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行するが、特に本発明に密接に関連するものとしては、中継部１２ａ、抽出部１２ｂ、登録部１２ｃ、消去部１２ｄ、転送部１２ｅおよび送信部１２ｆを有する。

中継部１２ａは、セキュアプロキシサーバ２０またはユーザ端末３０がＷｅｂブラウザ２３、３２からインターネット９０へアクセスを行う際に、該アクセスの中継する処理を行う。

抽出部１２ｂは、ユーザ端末３０への電子メールのなかにインターネット９０にアクセスするためのアドレス（例えば、ＵＲＬや接続先アドレス）が含まれているか検索し、電子メール内にアドレス情報が含まれている場合には、該アドレス情報を抽出する。

具体的には、抽出部１２ｂは、メールサーバ４０から電子メールを受信すると、メールサーバ４０が外部から受信した電子メールであるか判定する。この結果、抽出部１２ｂは、外部から受信した電子メールである場合には、電子メール本文、添付ファイル、添付ファイル内のスクリプトの中に電子メールが参照しているＵＲＬまたは接続先アドレスを抽出する。

ここで、図６および図７を用いて、電子メールから抽出可能なアドレス、電子メールからアドレスを抽出することができる場所について説明する。図６は、電子メールから抽出可能なアドレスの一例を示す図である。図７は、電子メールからアドレスを抽出することができる場所の一例を示す図である。図６に示すように、電子メールから抽出可能なアドレスとして、ＵＲＬ形式のものまたはスクリプトとしてコーディングされている接続先のアドレスがある。図６の例では、ＵＲＬ形式のアドレスの例として、「http://www2.xxx.yyy.com/zzz.php?page=aaa.html」が記載されており、接続先のアドレスの例として、「www2.xxx.yyy.com」および「192.168.100.123」が記載されている。

また、図７に示すように、上記したメールから抽出可能なアドレスは、電子メール本文、電子メールのＨＴＭＬで記述された部分、添付ファイルのワードファイル、添付ファイルのエクセルファイル、添付ファイルのＰＤＦファイルの本文、添付ファイル内のＰＤＦファイルのスクリプト部分などから抽出することができる。

登録部１２ｃは、抽出部１２ｂによって抽出されたアドレスを記憶部１３のアクセス転送リスト記憶部１３ａに登録する。具体的には、登録部１２ｃは、抽出されたアドレスが、アクセス許容ＵＲＬパターン記憶部１３ｃに記憶されたアクセスを許容するべきＵＲＬパターン（転送対象外ＵＲＬパターン）と一致するか判定する。この結果、登録部１２ｃは、抽出されたアドレスが転送対象外ＵＲＬパターンと一致しない場合には、アクセス規制ＵＲＬパターン記憶部１３ｂに記憶されたアクセスを制限するべきＵＲＬパターン（転送対象ＵＲＬパターン）と一致するか判定する。この結果、登録部１２ｃは、抽出されたアドレスが転送対象ＵＲＬパターンと一致する場合には、抽出されたアドレスをアクセス転送リスト記憶部１３ａに登録する。

消去部１２ｄは、アドレス情報が記憶部１３のアクセス転送リスト記憶部１３ａに記憶されてから所定の時間を経過した場合には、該アドレスをアクセス転送リスト記憶部１３ａから消去する。

転送部１２ｅは、ユーザ端末３０からインターネット９０へのアクセス要求を受信した際に、該アクセス要求のなかに記憶部１３のアクセス転送リスト記憶部１３ａに記憶されたアドレスが含まれているか検索し、アドレスが含まれている場合には、該アドレスをセキュアプロキシサーバ２０に転送し、該アドレスを用いたアクセスをセキュアプロキシサーバ２０に実行させる。

送信部１２ｆは、セキュアプロキシサーバ２０からアドレスを用いたアクセスを実行した結果得られた画面イメージを受信し、該画面イメージをユーザ端末３０に送信する。なお、画面イメージを受信したユーザ端末３０は、該画面イメージを表示して、ユーザに閲覧可能とする。これにより、接続先のＷｅｂサーバに、世の中に知られていない悪性ソフトウェアが仕込まれていている場合であっても、セキュアプロキシサーバ２０がユーザ端末３０のアクセスを代行するので、ユーザ端末３０が感染することなくインターネット利用を実現できることを可能とする。

［第一の実施の形態に係る通信システムによる処理］
次に、図８を用いて、第一の実施形態に係る通信システム１００による処理を説明する。図８は、第一の実施の形態に係る通信システム１００における処理の流れの一例を示すシーケンス図である。

図８に示すように、通信システム１００において、悪質メール送信端末５０は、一見正しい特徴をもった不審な電子メールである標的型攻撃メールをユーザ端末３０宛てに送信する（ステップＳ１）。そして、メールサーバ４０のメール中継部４２では、ユーザ端末３０宛の標的型攻撃メールを受信すると、受信したメールをプロキシサーバ１０に転送する（ステップＳ２）。

続いて、プロキシサーバ１０の抽出部１２ｂは、電子メールを受信すると、メールに含まれるＵＲＬを抽出し、抽出したＵＲＬを分析し、アクセス転送リスト記憶部１３ａに反映させる（ステップＳ３）。つまり、プロキシサーバ１０は、ＵＲＬの特徴からアクセスを制限するべきと判定した際には、そのＵＲＬをアクセス転送リスト記憶部１３ａにＵＲＬを追加する。また、これと同時に、セキュアプロキシサーバ２０のＶＭ制御部２４では、事前にＶＭ２２とＶＭ２２内のＷｅｂブラウザ２３を起動して、ユーザからのアクセスに対する準備を行っている。

また、メールサーバ４０のメール中継部４２は、電子メールをユーザ端末３０に転送する（ステップＳ４）。そして、ユーザ端末３０では、受信した電子メール中のＵＲＬへのアクセスまたは添付ファイルを開くことにより、ユーザ端末３０内のＷｅｂブラウザ３２がインターネット９０上の悪質Ｗｅｂサイトにアクセスする（ステップＳ５）。

そして、ユーザ端末３０のＷｅｂアクセスを中継するプロキシサーバ１０の転送部１２ｅでは、アクセス先のアドレスがアクセス転送リスト記憶部１３ａに記憶されているアドレスと一致する場合には、セキュアプロキシサーバ２０にアドレスを転送する（ステップＳ６）。

そして、セキュアプロキシサーバ２０は、プロキシサーバ１０を中継して、事前に起動されていたＶＭ２２とＶＭ中のＷｅｂブラウザ２３にユーザ端末３０からのアクセスを代行させる（ステップＳ７）。そして、セキュアプロキシサーバ２０は、Ｗｅｂ画面を取得するとともに、マルウェアをダウンロードする（ステップＳ８）。そして、セキュアプロキシサーバ２０は、アクセスしたＷｅｂ画面のイメージのみをプロキシサーバ１０に返送する（ステップＳ９）。ここで、セキュアプロキシサーバ２０は、悪質なプログラムであるマルウェアをダウンロードしたが、ＶＭ２２内でとどめて、ユーザ端末３０と切り離す。

その後、プロキシサーバ１０の送信部１２ｆは、Ｗｅｂ画面のイメージをセキュアプロキシサーバ２０から受信すると、受信したＷｅｂ画面のイメージをユーザ端末３０に送信する（ステップＳ１０）。そして、セキュアプロキシサーバ２０のＶＭ制御部２４は、アクセス終了後、一定時間経過後したらＶＭ２２ごとＷｅｂブラウザ２３を消去する（ステップＳ１１）。これにより、ユーザ端末３０は、悪質なプログラムをダウンロードすることによる感染が防ぐことが可能となる。

ここで、本願と従来の処理を比較するため、図９を用いて、従来の通信システムにおける処理の流れの一例を説明する。図９は、従来の通信システムにおける処理の流れの一例を示すシーケンス図である。

図９に示すように、従来では、悪質メール送信端末は、標的型攻撃メールをユーザ端末宛てに送信する（ステップＳ２１）。そして、メールサーバでは、ユーザ端末宛の標的型攻撃メールを受信すると、受信したメールをユーザ端末に転送する（ステップＳ２２）。

そして、ユーザ端末では、受信した電子メール中のＵＲＬへのアクセスまたは添付ファイルを開くことにより、ユーザ端末内のＷｅｂブラウザがインターネット上の悪質Ｗｅｂサイトにアクセスする（ステップＳ２３）。これにより、ユーザ端末は、プロキシサーバを介して、Ｗｅｂ画面を取得するとともに、マルウェアをダウンロードしてしまう（ステップＳ２４）。これにより、一見正しい特徴をもった不審な電子メールである標的型攻撃メールがユーザ端末に送信され、ユーザ端末では電子メール本文中または添付ファイルを開くことにより悪質Ｗｅｂサイトへ誘導され、コンピュータウィルスなどのマルウェアをダウンロードして感染してしまう（ステップＳ２５）。

このように、従来であれば、ユーザ端末が電子メール本文中または添付ファイルを開くことにより悪質Ｗｅｂサイトへ誘導され、コンピュータウィルスなどのマルウェアをダウンロードして感染してしまっていた。しかし、本実施の形態１に係る通信システム１００では、組織の外部から送信されてくる電子メールに含まれるＵＲＬまたは接続先アドレスを抽出し、アクセスを制限した方がよいＵＲＬをリストアップする。そして、ユーザ端末３０が電子メールを受信し、該当の電子メール内に記載のＷｅｂサイトへアクセスする前までに組織内のプロキシサーバ１０のアクセス転送リスト記憶部１３ａにアクセスを制限した方が良いＵＲＬのリストを反映し、当該ＵＲＬへユーザ端末３０からのアクセスが生じた際にはプロキシサーバ１０から、セキュアプロキシサーバ２０に転送され、セキュアプロキシサーバ２０ではユーザ端末３０とは別の仮想端末環境で代理のＷｅｂブラウザ３２を起動し、当該Ｗｅｂブラウザ３２から当該ＵＲＬへアクセスし、そのアクセスの結果を画面イメージとしてユーザ端末３０に転送する。これにより、ユーザ端末３０からの一連のアクセスが終了した際には、代理のＷｅｂブラウザ２３およびＶＭ２２を消去することにより、一連のアクセス最中に悪性ソフトウェアをダウンロードした際にもユーザ端末３０は感染することなく、インターネット利用を実現することができる。

［第一の実施の形態に係るプロキシサーバによる処理］
次に、図１０〜図１２を用いて、第一の実施の形態に係るプロキシサーバ１０による処理を説明する。図１０は、第一の実施の形態に係るプロキシサーバによる抽出処理の流れの一例を説明するためのフローチャートである。図１１は、第一の実施の形態に係るプロキシサーバによる登録処理の流れの一例を説明するためのフローチャートである。図１２は、第一の実施の形態に係るプロキシサーバによる中継処理の流れの一例を説明するためのフローチャートである。

図１０に示すように、プロキシサーバ１０の中継部１２ｂは、メールサーバ４０から電子メールを受信すると（ステップＳ１０１）、メールサーバ４０が外部から受信した電子メールであるか判定する（ステップＳ１０２）。この結果、メールサーバ４０が外部から受信した電子メールでない場合には（ステップＳ１０２否定）、処理を終了する。一方、抽出部１２ｂは、外部から受信した電子メールである場合には（ステップＳ１０２肯定）、本文を検査して、インターネット９０にアクセスするためのＵＲＬを抽出する（ステップＳ１０３）。

続いて、抽出部１２ｂは、添付ファイルがあるか判定し（ステップＳ１０４）、添付ファイルがある場合には（ステップＳ１０４肯定）、添付ファイルを抽出し（ステップＳ１０５）、添付ファイルの内部を検査し、ＵＲＬまたはスクリプト内部にある接続先アドレスを抽出し（ステップＳ１０６）、ステップＳ１０７に移行する。また、ステップＳ１０４において、抽出部１２ｂは、添付ファイルがない場合には（ステップＳ１０４否定）、そのままステップＳ１０７に移行する。

続いて、抽出部１２ｂは、ＵＲＬまたは接続アドレスを抽出したか判定し（ステップＳ１０７）、ＵＲＬまたは接続アドレスを抽出しなかった場合には（ステップＳ１０７否定）、処理を終了する。一方、抽出部１２ｂは、ＵＲＬまたは接続アドレスを抽出した場合には（ステップＳ１０７肯定）、後に図１１を用いて説明する登録処理を行って（ステップＳ１０８）、処理を終了する。

続いて、図１１を用いて、プロキシサーバ１０による登録処理の流れについて説明する。図１１に示すように、プロキシサーバ１０の登録部１２ｃは、抽出されたアドレスが、アクセス許容ＵＲＬパターン記憶部１３ｃに記憶されたアクセスを許容するべきＵＲＬパターン（転送対象外ＵＲＬパターン）と一致するか判定する（ステップＳ２０１）。この結果、登録部１２ｃは、抽出されたアドレスが転送対象外ＵＲＬパターンと一致する場合には、（ステップＳ２０１肯定）アクセスが許容されているので、登録することなく処理を終了する。

また、登録部１２ｃは、抽出されたアドレスが転送対象外ＵＲＬパターンと一致しない場合には（ステップＳ２０１否定）、アクセス規制ＵＲＬパターン記憶部１３ｂに記憶されたアクセスを制限するべきＵＲＬパターン（転送対象ＵＲＬパターン）と一致するか判定する（ステップＳ２０２）。この結果、登録部１２ｃは、抽出されたアドレスが転送対象ＵＲＬパターンと一致しない場合には（ステップＳ２０２否定）、アクセスを制限されていないので、登録することなく処理を終了する。また、登録部１２ｃは、抽出されたアドレスが転送対象ＵＲＬパターンと一致する場合には（ステップＳ２０２肯定）、抽出されたアドレスをアクセス転送リスト記憶部１３ａに登録する（ステップＳ２０３）。

次に、図１２を用いて、プロキシサーバ１０による中継処理の流れについて説明する。図１２に示すように、プロキシサーバ１０は、ユーザ端末２０から中継するＵＲＬを受信すると（ステップＳ３０１）、受信したＵＲＬがアクセス転送リスト記憶部１３ａに登録されているか否かを判定する（ステップＳ３０２）。

この結果、プロキシサーバ１０は、受信したＵＲＬがアクセス転送リスト記憶部１３ａに登録されていない場合には（ステップＳ３０２否定）、通常の中継処理を行う（ステップＳ３０３）。つまり、プロキシサーバ１０は、受信したＵＲＬを用いて、ユーザ端末３０によるインターネット９０に対するアクセスを中継する。

また、プロキシサーバ１０は、受信したＵＲＬがアクセス転送リスト記憶部１３ａに登録されている場合には（ステップＳ３０２肯定）、セキュアプロキシサーバ２０にＵＲＬを転送し、該ＵＲＬを用いたアクセスをセキュアプロキシサーバ２０に実行させるための中継処理を行う（ステップＳ３０３）。

[第一の実施形態による効果]
上述してきたように、プロキシサーバ１０は、ユーザ端末３０への電子メールのなかにインターネットにアクセスするためのアドレスが含まれているか検索し、電子メール内にアドレスが含まれている場合には、該アドレスを抽出する。そして、プロキシサーバ１０は、抽出されたアドレスを記憶部１３に登録する。そして、プロキシサーバ１０は、ユーザ端末３０からインターネット９０へのアクセス要求を受信した際に、該アクセス要求のなかに記憶部１３に記憶されたアドレスが含まれているか検索し、アドレスが含まれている場合には、該アドレスをセキュアプロキシサーバ２０に転送し、該アドレス情報を用いたアクセスをセキュアプロキシサーバ２０に実行させる。そして、プロキシサーバ１０は、セキュアプロキシサーバ２０からアドレスを用いたアクセスを実行した結果得られた画面イメージを受信し、該画面イメージをユーザ端末３０に送信する。これにより、悪性サイトであるかを迅速に判断してアクセスを適切に制限することが可能である。

つまり、プロキシサーバ１０は、組織の外部から送信されてくる電子メールに含まれるＵＲＬまたは接続先アドレスを抽出し、抽出されたＵＲＬまたは接続先アドレスからアクセスを制限した方が良いＵＲＬを判定しリストアップする。そして、プロキシサーバ１０は、電子メールの受信から電子メールの内容に基づきユーザ端末３０がＷｅｂサイトへアクセスするまでの短時間で、アクセスを制限するＵＲＬのリストをアクセス転送リスト記憶部１３ａに登録するので、悪性サイトであるかを迅速に判断することが可能となる。

そして、アクセス転送リスト記憶部１３ａに登録したアクセスを制限するＵＲＬを用いてユーザ端末３０がアクセスを行う場合には、セキュアプロキシサーバ２０のＶＭ２２上でＷｅｂブラウザ２３を起動させ、Ｗｅｂブラウザ２３にインターネット９０の利用を代行させることにより、接続先のＷｅｂサーバに世の中に知られていない悪性ソフトウェアが仕込まれていてもユーザ端末３０が感染することなくインターネット９０利用が可能となり、電子メールを介して悪性サイトへ誘導される脅威からユーザを守ることができる結果、悪性サイトであるかを迅速に判断してアクセスを適切に制限することが可能である。

また、第一の実施形態によれば、アクセスが許容されないアクセス先のアドレスのパターンを事前に記憶し、抽出されたアドレスが記憶部１３に記憶されたアクセスが許容されないアクセス先のアドレス情報のパターンに該当する場合には、抽出されたアドレス情報をアクセス転送リスト記憶部１３ａに登録する。これにより、事前に悪性サイトのＵＲＬのパターンが分かっている場合には、該悪性サイトへアクセスすることを適切に防止することが可能である。

また、第一の実施形態によれば、プロキシサーバ１０は、アクセスが許容されるアクセス先のアドレスのパターンを事前に記憶し、抽出されたアドレス情報が記憶部１３に記憶されたアクセスが許容されるアクセス先のアドレスのパターンに該当しない場合には、抽出されたアドレスを記憶部に登録する。これにより、事前にアクセスしても問題のないサイトのＵＲＬが分かっている場合には、事前に登録しておくことで、アクセスしても問題のないサイトがアクセス制限されることを防ぐことが可能となる。

また、第一の実施形態によれば、プロキシサーバ１０は、アドレス情報がアクセス転送リスト記憶部１３ａに記憶されてから所定の時間を経過した場合には、該アドレス情報をアクセス転送リスト記憶部１３ａから消去する。このため、登録してから長時間経過しているアドレスについては、消去して、アクセス転送リスト記憶部１３ａのデータ量が増えすぎてしまうことを防止することが可能となる。

［システム構成］
また、上記実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。

［プログラム］
また、上記実施形態において説明したプロキシサーバ１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、第一の実施形態に係るプロキシサーバ１０が実行する処理をコンピュータが実行可能な言語で記述した代理アクセスプログラムを作成することもできる。この場合、コンピュータが代理アクセスプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかる代理アクセスプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録され代理アクセスプログラムをコンピュータに読み込ませて実行することにより上記第一の実施形態と同様の処理を実現してもよい。以下に、図２に示したプロキシサーバ１０と同様の機能を実現する代理アクセスプログラムを実行するコンピュータの一例を説明する。

図１３は、代理アクセスプログラムを実行するコンピュータ１０００を示す図である。図１３に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図１３に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１３に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図１３に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。シリアルポートインタフェース１０５０は、図１３に例示するように、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図１３に例示するように、例えばディスプレイ１０６１に接続される。

ここで、図１３に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の代理アクセスプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。

また、上記実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、抽出手順、登録手順、転送手順、送信手順を実行する。

なお、代理アクセスプログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、代理アクセスプログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１０ プロキシサーバ
１１ 通信処理部
１２ 制御部
１２ａ 取得部
１２ｂ 抽出部
１２ｃ 登録部
１２ｄ 消去部
１２ｅ 転送部
１２ｆ 送信部
１３ 記憶部
１３ａ アクセス転送リスト記憶部
１３ｂ アクセス規制ＵＲＬパターン記憶部
１３ｃ アクセス許容ＵＲＬパターン記憶部
２０ セキュアプロキシサーバ
２１ 通信処理部
２２ ＶＭ
２３ Ｗｅｂブラウザ
２４ ＶＭ制御部
３０ ユーザ端末
３１ 通信処理部
３２ Ｗｅｂブラウザ
３３ メール受信部
４０ メールサーバ
４１ 通信処理部
４２ メール中継部
５０ 悪質メール送信端末
６０ 悪質Ｗｅｂサーバ
７０ ファイアーウォール
８０ ローカルエリアネットワーク
９０ インターネット

Claims (5)

1. ユーザ端末への電子メールのなかにインターネットにアクセスするためのアドレス情報が含まれているか検索し、前記電子メール内にアドレス情報が含まれている場合には、該アドレス情報を抽出する抽出部と、
   前記抽出部によって抽出されたアドレス情報を記憶部に登録する登録部と、
   前記ユーザ端末からインターネットへのアクセス要求を受信した際に、該アクセス要求のなかに前記記憶部に記憶されたアドレス情報が含まれているか検索し、アドレス情報が含まれている場合には、該アドレス情報を外部装置に転送し、該アドレス情報を用いたアクセスを前記外部装置において事前に起動された仮想マシン内のウェブブラウザであって、アクセス終了から一定時間経過後に前記仮想マシンごと消去されるウェブブラウザに実行させ、前記アドレス情報が含まれていない場合には、前記ユーザ端末による前記インターネットに対するアクセスを中継する転送部と、
   前記外部装置から前記アドレス情報を用いたアクセスを実行した結果得られた画面イメージを受信し、該画面イメージを前記ユーザ端末に送信する送信部と、
   を備えることを特徴とする中継サーバ。
2. 前記記憶部は、アクセスが許容されないアクセス先のアドレス情報のパターンを事前に記憶し、
   前記登録部は、前記抽出部によって抽出されたアドレス情報が前記記憶部に記憶されたアクセスが許容されないアクセス先のアドレス情報のパターンに該当する場合には、抽出されたアドレス情報を記憶部に登録することを特徴とする請求項１に記載の中継サーバ。
3. 前記記憶部は、アクセスが許容されるアクセス先のアドレス情報のパターンを事前に記憶し、
   前記登録部は、前記抽出部によって抽出されたアドレス情報が前記記憶部に記憶されたアクセスが許容されるアクセス先のアドレス情報のパターンに該当しない場合には、抽出されたアドレス情報を記憶部に登録することを特徴とする請求項１または２に記載の中継サーバ。
4. 前記アドレス情報が前記記憶部に記憶されてから所定の時間を経過した場合には、該アドレス情報を記憶部から消去する消去部をさらに備えることを特徴とする請求項１〜３のいずれか一つに記載の中継サーバ。
5. 中継サーバで実行される代理アクセス方法であって、
   ユーザ端末への電子メールのなかにインターネットにアクセスするためのアドレス情報が含まれているか検索し、前記電子メール内にアドレス情報が含まれている場合には、該アドレス情報を抽出する抽出工程と、
   前記抽出工程によって抽出されたアドレス情報を記憶部に登録する登録工程と、
   前記ユーザ端末からインターネットへのアクセス要求を受信した際に、該アクセス要求のなかに前記記憶部に記憶されたアドレス情報が含まれているか検索し、アドレス情報が含まれている場合には、該アドレス情報を外部装置に転送し、該アドレス情報を用いたアクセスを前記外部装置において事前に起動された仮想マシン内のウェブブラウザであって、アクセス終了から一定時間経過後に前記仮想マシンごと消去されるウェブブラウザに実行させ、前記アドレス情報が含まれていない場合には、前記ユーザ端末による前記インターネットに対するアクセスを中継する転送工程と、
   前記外部装置から前記アドレス情報を用いたアクセスを実行した結果得られた画面イメージを受信し、該画面イメージを前記ユーザ端末に送信する送信工程と、
   を含んだことを特徴とする代理アクセス方法。

Images