有害サイトフィルタリングシステム及びフィルタリング方法
【課題】有害サイトのＷｅｂページの取得をフィルタリングするフィルタリングシステムにおいて、ユーザの端末からの通信パケットに含まれる送信先／送信元のＩＰアドレスに基づいて、有害サイトをフィルタリングし、ユーザに対しフィルタリングした旨を通知する。
【解決手段】管理コンピュータ（オープンフローコントローラ）、複数のスイッチ（オープンフロースイッチ）を備えるネットワーク構成を有し、管理コンピュータに予め有害サイトのＩＰアドレスを格納しておく。端末からの通信パケットから送信先のＩＰアドレスを取り出し、管理コンピュータに格納しておいた有害サイトのＩＰアドレスの中に含まれていると判定された場合には、フィルタリングを行う。また、管理コンピュータが、通知サーバに、ユーザの端末へフィルタリングを通知する通知ページの送信を指示し、通知ページの送信が、ＯＳＩ参照モデルのレイヤ４で行われる。
【解決手段】管理コンピュータ（オープンフローコントローラ）、複数のスイッチ（オープンフロースイッチ）を備えるネットワーク構成を有し、管理コンピュータに予め有害サイトのＩＰアドレスを格納しておく。端末からの通信パケットから送信先のＩＰアドレスを取り出し、管理コンピュータに格納しておいた有害サイトのＩＰアドレスの中に含まれていると判定された場合には、フィルタリングを行う。また、管理コンピュータが、通知サーバに、ユーザの端末へフィルタリングを通知する通知ページの送信を指示し、通知ページの送信が、ＯＳＩ参照モデルのレイヤ４で行われる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネット上の有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリングシステム及びフィルタリング方法に関する。特に、本発明は、インターネット上の有害サイトのＷｅｂページの取得をフィルタリングした旨をユーザに通知する有害サイトフィルタリングシステム及びフィルタリング方法に関する。
【背景技術】
【０００２】
近年、インターネットサービスを提供するＩＳＰ（インターネットサービスプロバイダ）は、有害サイトへのアクセスを禁止するフィルタリングサービス及びブロッキングを行っている。ここで、フィルタリングとは、ユーザの同意に基づいて有害サイトへのアクセスを禁止するものである。一方、ブロッキングとは、ユーザの同意を得ることなく、予め決められたサイトへのアクセスを強制的に禁止するものである。このところ、ＩＳＰの自主的な取り組みで、児童ポルノのブロッキングが注目を集めており、非特許文献１に示すように、作業部会による活動報告がなされている。ここで、フィルタリングとブロッキングは、有害サイトへのアクセスを禁止する技術内容に関しては、共通である。以降、本明細書において、フィルタリング、ブロッキングを、どちらも、「フィルタリング」で参照することとする。すなわち、「フィルタリング」と言った場合には、ブロッキングも含まれている。
【０００３】
非特許文献１に、従来技術の有害サイトへのアクセスのフィルタリング方法として、４つ方法が示されている。１つ目の方法は、ＤＮＳにより、Ｗｅｂサイトのホスト名あるいはドメイン名をＩＰアドレスに変換する際にフィルタリングを行う「ＤＮＳポイズニング方式」である。２つ目は、ＩＰヘッダ内の宛先ＩＰアドレスもしくはＨＴＴＰコンテンツ部に含まれるアクセス先ＵＲＬ情報を元にフィルタリングを行う「パケットフィルタリング方式」である。３つ目は、ＨＴＴＰプロキシによりＨＴＴＰ通信を一旦終端した上でアクセス先ＵＲＬ情報を元にフィルタリングを行う「プロキシ方式」である。４つ目は、前述の方式の組み合わせたものである。
【０００４】
ここで、上記した「ＤＮＳポイズニング方式」は、ＤＮＳを利用しない通信、例えば、ＩＰアドレスをブラウザに直打ちすることによる閲覧行為に対しては、フィルタリングできないという問題がある。また、上記した「プロキシ方式」は、全ての通信をＨＴＴＰプロキシ経由で行うことが必要となり、ＨＴＴＰプロキシに対する負荷が増大するという問題がある。
【０００５】
一方、上記した「パケットフィルタリング」において、通信パケットに含まれる宛先ＩＰアドレスの情報により、有害サイトに対するフィルタリングを行う方法は、ＩＳＰが所有する既存のルータ機器等にアクセスリストを記述することによる方法であり、一般に、よく使用されている。そのブロック図を図１２に示す。以下に、図１２を参照し、フィルタリング動作を説明する。端末３２は、ルータ５２を介し、Ｗｅｂサイト３８へのアクセスを要求する。アクセスの要求を受けたプロキシサーバ５０のＷｅｂページデータ代理取得部５４は、Ｗｅｂページデータの取得を行う。次に、Ｗｅｂページデータ代理取得部５４が取得した通信パケットがルータ５２のフィルタリング部５８を通る際に、通信パケットの送信元ＩＰアドレスが、アクセスリスト５６に記載されたＩＰアドレスのリストに一致するかどうかのチェックを行う。一致した場合は、フィルタリング部５８は、その通信パケットが、有害サイトからの通信パケットであると判定し、端末３２に、該Ｗｅｂページデータを送信することを中止する。ここで、アクセスリスト５６の設定は、図１２に示すように、外部からコマンドにより行うことができる。
【０００６】
また、「プロキシ方式」については、プロキシサーバ内に有害サイト情報記憶部を設けて、そこに記憶されているリストに基づいて、端末がアクセスしようとしたＷｅｂページが有害サイトであるかどうかのチェックを行い、有害サイトであると判定した場合は、Ｗｅｂページの取得を中止させ、有害サイトでないと判定した場合は、Ｗｅｂページデータの代理取得を行う構成が、特許文献１に開示されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００８−１１６９９８号公報
【特許文献２】特開２０１０−１６１４７３号公報
【非特許文献】
【０００８】
【非特許文献１】「ＩＳＰ技術者サブワーキング報告書」、［ｏｎｌｉｎｅ］、［平成２２年１１月２４日検索］、インターネット（ＵＲＬ：http://good-net.jp/modules/news/uploadFile/2010063040.pdf）
【発明の概要】
【発明が解決しようとする課題】
【０００９】
以下の分析は、本発明により与えられる。
【００１０】
前述のように、ルータ機器にアクセスリストを記述する方式は、ＩＳＰが所有する既存のルータ機器にアクセスリストを記述することで実現できるため、よく使用されている。図１２に示す方式は、通信パケットに含まれる送信元情報を取り出し、アクセスリストとの一致をチェックしているが、端末からのＷｅｂサイトへのアクセス要求の通信パケットに含まれる送信先情報を取り出し、アクセスリストとの一致をチェックする方法もある。ここでどちらの場合も、送信先情報／送信元情報は、ルータで識別可能なＯＳＩ参照モデルのレイヤ３で使用できるＩＰアドレス等が使用される。しかしながら、この方式は、フィルタリングをした際に、ユーザに対して、フィルタリングした旨を通知する機能がないという問題がある。ルータ機器の場合、ＯＳＩ参照モデルのレイヤ３までしか識別できないため、通知サーバから、ユーザの端末に通知を出そうとした場合、途中の経路に存在する複数のルータ機器のルーティングに関する設定を行う必要がある。フィルタリングの度に、このような設定するのは、制御が複雑になるため、ユーザの端末に通知ページを出すことは、一般に行われていない。しかしながら、ユーザに通知ページを出さずに、フィルタリングを行った場合、ユーザから見ると、接続障害との区別ができず、ＩＳＰへの問い合わせが増えること等が懸念される。従って、通知ページを容易に出すことが可能なシステムが望まれている状況にある。
【００１１】
そこで、本発明の目的は、有害サイトのＷｅｂページ取得をフィルタリングし、フィルタリングしたことを通知する通知ページをユーザの端末に送信することを可能にするシステムを提供することである。
【課題を解決するための手段】
【００１２】
本発明の第１の視点による有害サイトフィルタリングシステムは、有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリングシステムであって、複数のスイッチと、前記複数のスイッチに接続された管理コンピュータを備えたネットワーク構成と、Ｗｅｂページの取得を要求する端末と、有害サイトをフィルタリングしたことを通知する通知サーバと、を備え、前記端末は、前記複数のスイッチの内の第１のスイッチと接続され、前記通知サーバは、前記複数のスイッチの内の第２のスイッチと接続され、前記管理コンピュータに、フィルタリングする有害サイト情報を記憶しておき、前記端末からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出し、前記管理コンピュータは、前記送信先情報又は前記送信元情報が、前記有害サイト情報の中に含まれるかどうかを判定し、前記送信先情報又は前記送信元情報が前記有害サイト情報の中に含まれると判定した場合には、前記管理コンピュータは、前記端末のＷｅｂページの取得をフィルタリングし、前記通知サーバに対して、フィルタリングしたことを通知する通知ページを前記端末に送信するように指示し、前記通知サーバから前記端末へ前記通知ページが送信される。
【００１３】
本発明の第２の視点による有害サイトフィルタリング方法は、有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリング方法であって、端末からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出すステップと、前記送信先情報又は前記送信元情報が、予め記憶しておいた有害サイト情報の中に含まれるかどうかを判定するステップと、前記判定ステップにおいて、前記送信先情報又は前記送信元情報が、前記有害サイト情報の中に含まれると判定された場合に、前記端末のＷｅｂページの取得をフィルタリングし、通知サーバよりフィルタリングしたことを通知する通知ページを前記端末に送信するステップと、を含む。
【発明の効果】
【００１４】
本発明の有害サイトフィルタリングシステムによれば、ユーザの端末からの通信パケットに含まれるＯＳＩ参照モデルのレイヤ３で識別可能な送信先情報に基づいて、有害サイトのＷｅｂページ取得をフィルタリングし、フィルタリングしたことを通知する通知ページをユーザの端末に送信することが可能な有害サイトフィルタリングシステムを提供することができる。
【００１５】
本発明の有害サイトフィルタリング方法によれば、ユーザの端末からの通信パケットに含まれるＯＳＩ参照モデルのレイヤ３で識別可能な送信先情報に基づいて、有害サイトのＷｅｂページ取得をフィルタリングし、フィルタリングしたことを通知する通知ページをユーザの端末に送信することが可能な有害サイトフィルタリング方法を提供することができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の実施例１に係る有害サイトフィルタリングシステムのブロック図である。
【図２】図１におけるスイッチ１の詳細を示すブロック図である。
【図３】本発明の実施例１に係る有害サイトフィルタリング方法を説明するためのフローチャートである。
【図４】本発明の実施例１における第１パケットの一例である。
【図５】本発明の実施例１におけるパケット到着通知の一例である。
【図６】本発明の実施例１に係る有害サイトフィルタリングシステムにおいて、フィルタリングした旨を通知する通知ページの一例である。
【図７】本発明の実施例１におけるテーブル送信命令の一例である。
【図８】本発明の実施例１において設定される転送テーブルの一例である。
【図９】本発明の実施例１において設定されるパケット送信命令の一例である。
【図１０】本発明の実施例２に係る有害サイトフィルタリングシステムのブロック図である。
【図１１】本発明の実施例１に係る有害サイトフィルタリング方法を説明するためのフローチャートである。
【図１２】従来の有害サイトフィルタリングシステムを説明するためのブロック図である。
【発明を実施するための形態】
【００１７】
本発明の実施形態について、必要に応じて図面を参照して説明する。なお、実施形態の説明において引用する図面及び図面の符号は実施形態の一例として示すものであり、それにより本発明による実施形態のバリエーションを制限するものではない。
【００１８】
本発明の第１の視点による有害サイトフィルタリングシステムは、図１に示すように、有害サイト３８のＷｅｂページの取得をフィルタリングする有害サイトフィルタリングシステムであって、複数のスイッチと、複数のスイッチに接続された管理コンピュータ１２を備えたネットワーク構成と、Ｗｅｂページの取得を要求する端末３２と、有害サイト３８をフィルタリングしたことを通知する通知サーバ３４と、を備え、端末３２は、複数のスイッチの内の第１のスイッチ２８と接続され、通知サーバ３４は、複数のスイッチの内の第２のスイッチ３０と接続され、管理コンピュータ１２に、フィルタリングする有害サイト情報２２を記憶しておき、端末３２からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出し、管理コンピュータ１２は、送信先情報又は送信元情報が、有害サイト情報２２の中に含まれるかどうかを判定し、送信先情報又は送信元情報が有害サイト情報２２の中に含まれると判定した場合には、管理コンピュータ１２は、端末３２のＷｅｂページの取得をフィルタリングし、通知サーバ３４に対して、フィルタリングしたことを通知する通知ページ（図６の４８）を端末３２に送信するように指示し、通知サーバ３４から端末３２へ通知ページ（図６の４８）が送信される。
【００１９】
本発明の第２の視点による有害サイトフィルタリング方法は、図３に示すように、有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリング方法であって、端末からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出すステップＳ１０４と、送信先情報又は送信元情報が、予め記憶しておいた有害サイト情報２２の中に含まれるかどうかを判定するステップＳ１０６と、判定ステップＳ１０６において、送信先情報又は送信元情報が、有害サイト情報２２の中に含まれると判定された場合に、端末のＷｅｂページの取得をフィルタリングし（ステップＳ１１０）、通知サーバよりフィルタリングしたことを通知する通知ページ４８を端末に送信するステップ（ステップＳ１１４、Ｓ１１６）と、を含む。
【００２０】
以下、実施例について、図面を参照して詳しく説明する。
【実施例１】
【００２１】
［実施例１の構成］
図１は、本発明の実施例１に係る有害サイトフィルタリングシステムのブロック図である。図１において、破線枠内は、ＩＳＰ（インターネットサービスプロバイダ）１０におけるシステムを示す。ここで、ＩＳＰに加入したユーザが、端末３２（ＩＰアドレスは、７．８．９．１０とする）から、ＩＳＰを介して、インターネット上の有害サイト３８（ＵＲＬがｈｔｔｐ：／／ｗｗｗ．ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスが３．４．５．６とする）を閲覧しようとする場合と、有害でないサイト７０（ＵＲＬがｈｔｔｐ：／／ｗｗｗ．ｎｏｔ＿ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスが１５．１６．１７．１８とする）を閲覧しようとする場合を示している。
【００２２】
実施例１に係る有害サイトフィルタリングシステムは、オープンフローに基づいて構成されている。オープンフローは、ＯｐｅｎＦｌｏｗスイッチングコンソーシアム（ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／を参照）が提唱しているネットワーク制御技術のことである。従来のネットワーク制御方式は、主にＩＰアドレスのルーティングによって行われてきたが、オープンフローではＭＡＣアドレスやＩＰアドレス、ポート番号などの組み合わせによって決定される通信を「フロー」と定義し、フロー単位での経路制御を実現している。これにより、最適な経路を決定することが実現できるため、ネットワークの利用効率向上が得られるという利点を持っている。
【００２３】
特許文献２には、オープンフローを用いたシステムにおいて、ネットワーク上の複数のスイッチのスイッチコストを算出し、算出されたスイッチコストに基づいて、幾つかの送信元から送信先への経路候補の中から、最適な経路を決定する方法が、開示されている。
【００２４】
一般に、オープンフローシステムは、複数のオープンフロースイッチと、それに接続されるオープンフローコントローラを備えたネットワーク構成をしている。図１において、管理コンピュータ１２が、オープンフローにおけるオープンフローコントローラであり、スイッチ１、スイッチ２は、オープンフロースイッチである。各スイッチには識別子としてＤＰＩＤ（Ｄａｔａ Ｐａｔｃｈ ＩＤ）が付与される。図１において、スイッチ１のＤＰＩＤは、「００−００−４ｃ−００−１１−１１」、スイッチ２のＤＰＩＤは、「００−００−４ｃ−００−２２−２２」である。また、オープンフローでは、ＯＳＩ参照モデルのレイヤ１〜４が、識別可能である。従来のルータ機器ではレイヤ１〜３までしか識別できなかったのに対して、オープンフローでは、レイヤ４を識別できるようになっている。従って、オープンフローシステムは、オープンフロースイッチであるスイッチ１、スイッチ２を、Ｌ３スイッチとしても動作させることもできるし、Ｌ４スイッチとして動作させることもできる。
【００２５】
次に、図２は、オープンフロースイッチであるスイッチ１の詳細を示したブロック図である。スイッチ１は、ホスト通信部４０、転送処理部４６、テーブル設定部４２、転送テーブル４４を含んでいる。ここで、転送テーブル４４は、ＲＡＭ等によるメモリで構成されている。転送処理部４６は、スイッチ１に入力された通信データ（パケットデータ等）を転送する機能を有している。転送処理部４６は、複数のポートを有しており、実施例１では、２２個のポートＰ１〜Ｐ２２を有している。
【００２６】
次に、図１において、管理コンピュータ１２、スイッチ１、スイッチ２、端末３２、通知サーバ３４の接続形態について説明する。端末３２は、スイッチ１のポートＰ１８と接続され、双方向に通信が可能である。また、通知サーバ（ＩＰアドレスは、１１．１２．１３．１４とする）は、スイッチ２のポートＰ１７と接続され、双方向に通信が可能である。また、スイッチ１のポートＰ１５は、スイッチ２のポートＰ１６と接続され、双方向に通信可能である。また、スイッチ１のポートＰ１６は、インターネット網と接続されている。また、スイッチ１のホスト通信部（図２の４０）は、管理コンピュータ１２の通信部２０と接続され、コマンド、メッセージ等の送受信が可能である。
【００２７】
次に、オープンフローコントローラである管理コンピュータ１２の構成について、詳細に説明する。管理コンピュータ１２は、メモリで構成される記憶部１４を有しており、トポロジー情報２４、エントリ状態情報２６、有害サイト情報２２が保存されている。ここで、トポロジー情報２４は、スイッチ１、スイッチ２、端末３２、通知サーバ３４の接続形態を格納し、送信元から送信先の候補経路を得る際に、読み出して使用される。エントリ状態情報２６は、各々のスイッチのエントリ数の空き状態を示す空きエントリ数と、使用エントリ率がどの程度であるかを示すスイッチコストを含んでいる。有害サイト情報２２は、有害サイトのＩＰアドレスのリストである。有害サイトの情報が、ＵＲＬ情報で提供される場合には、予め、ＤＮＳサーバを参照して、ＩＰアドレスに変換しておく。また、有害サイト情報２２は、システムの管理者により、必要に応じて、更新がなされる。
【００２８】
また、管理コンピュータ１２は、スイッチと通信する通信部２０、オープンフローの動作を制御する制御部１８、有害サイト判定部１６を備えている。
【００２９】
［実施例１の動作］
次に、実施例１の動作について、図１、図３を参照しながら、説明する。また、以下のステップＳ１００、Ｓ１０２は、特許文献２に記載された内容に基づいている（特許文献２の具体例では、オープンフローの２つのスイッチに接続された２つの端末間のフロー制御について開示されている）。特許文献２では、ＩＰアドレスではなく、ＭＡＣアドレスを用いているが、実施例１では、ＩＰアドレスを用いている。まず、ユーザが、端末３２より、有害サイト３８（ｈｔｔｐ：／／ｗｗｗ．ｙｕｕｇａｉ．ｃｏｍ）のＷｅｂページ取得の要求を送った場合の動作について、以下に示す。具体的には、ユーザの端末３２は、ＩＳＰのスイッチ１に対して、第１パケットを送出する（ステップＳ１００）。ここで、第１パケットは、図４に示すように、送信先情報として、送信先のＩＰアドレスであるＩＰ＿ＤＡ（３．４．５．６）、送信元情報として、送信元のＩＰアドレスであるＩＰ＿ＳＡ（７．８．９．１０）を含んでいる。スイッチ１は、第１パケットを受け取ると、ＩＰ＿ＤＡ、ＩＰ＿ＳＡを取り出し、スイッチ１内部の転送テーブル４４を参照する。ここで、転送テーブル４４は、スイッチ１が関係するエントリ毎に、入力ポート、ＩＰ＿ＤＡ、ＩＰ＿ＳＡ、出力ポートの情報を含むリストになっている。ここで、スイッチ１は、送信先のＩＰアドレスであるＩＰ＿ＤＡ、送信元のＩＰアドレスであるＩＰ＿ＳＡ、入力ポートＰ１８を検索キーとして、転送テーブル４４を検索する。この時点は、該当するエントリは、未だ、存在しない。
【００３０】
該当するエントリが、転送テーブル４４に存在しないことがわかると、次に、スイッチ１のホスト通信部４０は、管理コンピュータ１２の通信部２０を介して、管理コンピュータ１２の制御部１８に、図５で示すパケット到着通知を送信する（ステップＳ１０２）。ここで、パケット到着通知は、図５に示すように、ＤＰＩＤ情報がスイッチ１のＤＰＩＤ、種別情報がパケット到着通知であることを示す「ＰＡＣＫＥＴ＿ＩＮ」、入力ポート情報が、パケットがポート１８から入力されたことを示すＰ１８、及び、第１パケットを含んでいる。
【００３１】
次に、管理コンピュータ１２の制御部１８は、図５に示したパケット到着通知から、送信先のＩＰアドレスであるＩＰ＿ＤＡを取り出す（ステップＳ１０４）。次に、制御部１８は、ユーザがＷｅｂページの取得を要求したＷｅｂサイトが、有害サイトかどうかの判定を、以下のように行う。まず、制御部１８は、有害サイト判定部１６に送信先のＩＰアドレスであるＩＰ＿ＤＡを渡す。次に、有害サイト判定部１６は、記憶部１４の有害サイト情報２２を参照して、送信先のＩＰアドレスであるＩＰ＿ＤＡが、有害サイト情報２２の中にあるかどうかをチェックする（ステップＳ１０６）。ここで、ＩＰ＿ＤＡが、有害サイト情報２２の中に、含まれている場合には、ステップＳ１０８で、有害サイトであると判定する（ステップＳ１０８でＹｅｓ）。一方、ＩＰ＿ＤＡが、有害サイト情報２２の中に、含まれていない場合には、ステップＳ１０８で、有害サイトでないと判定する（ステップＳ１０８でＮｏ）。
【００３２】
ここで、送信先のＩＰアドレスであるＩＰ＿ＤＡ（３．４．５．６）は、有害サイト３８のＩＰアドレスであり、有害サイト情報２２の中に含まれているので、ステップＳ１０８では、有害サイトと判定されることになる。次に、ステップＳ１０８で有害サイトと判定された場合の動作について、以下に詳細に説明する。管理コンピュータ１２は、有害サイト３８からＷｅｂページの取得を中止することにより、フィルタリングする（ステップＳ１１０）。次に、管理コンピュータ１２は、通知サーバ３４に対し、通知ページ４８を端末３２に送信するように指示する（ステップＳ１１４）。次に、ステップＳ１１４の指示に基づいて、通知サーバ３４は、端末３２に通知ページ４８の送信をレイヤ４で行う（ステップＳ１１６）。ここで、ステップＳ１１６の処理は、ＯＳＩ参照モデルのレイヤ４で行われる。オープンフローでは、ＯＳＩ参照モデルのレイヤ４を識別可能であるため、レイヤ４で処理することにより、通知サーバ３４と端末３２の経路に存在するスイッチ２、スイッチ１の転送テーブル４４の設定を自動的に処理することができる。それにより、管理コンピュータ１２が、複雑な設定をする必要がないという利点が得られ、通知ページ４８の送信を容易に行うことが可能になる。図６は、通知ページ４８の一例を示している。例えば、ユーザが、端末３２から閲覧しようとしたＷｅｂページが、児童ポルノに関するサイトである場合には、ＩＳＰが強制的にブロッキングした旨を知らせることができる。
【００３３】
次に、ステップＳ１０８で、有害サイトでないと判定された場合のフローについて説明する。具体的には、ユーザが端末３２から、有害でないサイト７０（ＵＲＬは、ｈｔｔｐ：／／ｗｗｗ．ｎｏｔ＿ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスは１５．１６．１７．１８とする）に対して、Ｗｅｂページの取得を要求する場合である。
【００３４】
ここで、以下に示すステップＳ１２０〜Ｓ１２８の処理は、オープンフローのフロー制御によるものであり、特許文献２に記載された方法に基づいている（特許文献２の具体例では、オープンフローの２つのスイッチに接続された２つの端末間のフロー制御について開示されている）。
【００３５】
まず、管理コンピュータ１２は、スイッチ１に、テーブル設定命令を送信する（ステップＳ１２０）。次に、スイッチ１において、受け取ったテーブル設定命令に基づいて、スイッチ１の転送テーブル４４を設定する（ステップＳ１２２）。以下に、ステップＳ１２０、ステップＳ１２２について、より詳細に説明する。端末３２から、インターネット網への経路を設定するには、スイッチ１に、ポートＰ１８を入力ポートとし、ポートＰ１６を出力ポートとする設定を行えばよい。ステップＳ１２０で管理コンピュータ１２から送信されるテーブル設定命令を、図７に示す。図７において、ＤＰＩＤ情報はスイッチ１を示すＤＰＩＤ、種別情報はテーブル設定であることを示す「ＭＯＤＩＦＹ＿ＳＴＡＴＥ」、入力ポートはＰ１８、ＩＰ＿ＤＡは有害でないサイト７０のＩＰアドレス：１５．１６．１７．１８、ＩＰ＿ＳＡは端末３２のＩＰアドレス：７．８．９．１０、出力ポートはＰ１６である。テーブル設定部４２は、ホスト通信部４０を介して、このテーブル設定命令を受けて、転送テーブル４４に、追加エントリとして、設定する。図８は、追加がなされたエントリの転送テーブル４４の内容を示している。図７示したテーブル設定命令における入力ポート情報、ＩＰ＿ＤＡ情報、ＩＰ＿ＳＡ情報、出力ポート情報の部分を、取り出したデータになっている。
【００３６】
次に、図３のフローチャートにおいて、管理コンピュータ１２が、スイッチ１にパケット送信命令を送信する（ステップＳ１２４）。図９に、パケット送信命令を示す。ＤＰＩＤ情報はスイッチ１のＤＰＩＤであり、種別情報はパケット送信命令であることを示す「ＳＥＮＤ＿ＰＡＣＫＥＴ」であり、出力ポートは、スイッチ１において出力ポートに設定されているポートＰ１６であり、パケット部は、第１パケットになっている。ここで、第１パケットは、ステップＳ１０２におけるパケット到達通知に含まれているため、管理コンピュータ１２は、パケット到達通知から第１パケットのデータを取得し、その第１パケットをパケット送信命令に付加している。
【００３７】
次に、スイッチ１は、パケット送信命令を受けて、第１パケットの転送を再開する（ステップＳ１２６）。より具体的には、スイッチ１のホスト通信部４０は、図９に示されたパケット送信命令から第１パケットを取り出す。そして、スイッチ１の転送処理部４６に対して、ポートＰ１６から、第１パケットを出力するように指示している。
【００３８】
次に、スイッチ１の転送処理部４６は、ポートＰ１６から、第１パケットを転送する（ステップＳ１２８）。以上に説明したように、図３に示すフローチャートに基づいて、端末３２から有害でないサイト７０のＷｅｂページの取得を要求する場合のフローが確立する。その後、第１パケットに続いて、順次パケットが転送される。
【００３９】
以上、説明したように、実施例１に係る有害サイトフィルタリングシステムによれば、ユーザの端末からＷｅｂサイトの取得要求がなされた時に、その通信パケットから送信先のＩＰアドレスを取り出し、その送信先のＩＰアドレスが、予め、管理コンピュータに保存しておいた有害サイトのＩＰアドレスの中に含まれると判定された場合には、有害サイトのＷｅｂページを取得しようとしたと判定し、フィルタリングを行う。ここで、フィルタリングを行った旨を、通知サーバよりユーザの端末に、通知ページを送信することができるという効果が得られる。従来のルータ機器では、ＯＳＩ参照モデルのレイヤ３までしか識別できないため、通知ページを送信するのに複雑な制御が必要で、通知ページの送信は行われていなかった。本発明の実施例１では、オープンフローの構成を取ることで、レイヤ４の通信が可能になり、通知ページの送信を容易に行うことが可能になった。
【００４０】
尚、実施例１における通知サーバ３４は、仮想サーバで構成してもよい。その場合、通知サーバ３４に接続されるスイッチ２は、ソフトウェアスイッチである仮想スイッチで構成する。また、図１においては、スイッチ１が、直接、インターネット網３６と接続する構成になっているが、スイッチ１とインターネット網の間に、プロキシサーバを設け、Ｗｅｂページをプロキシサーバで受信し、その後、ユーザの端末３２に転送する構成にしてもよい。
【実施例２】
【００４１】
図１０は、本発明の実施例２に係る有害サイトフィルタリングシステムを示すブロック図である。実施例２の実施例１に対する相違点は、より多くのスイッチ（図１０では、７個）でネットワークが構成され、インターネット網３６には、スイッチ６が接続している点である。これらのスイッチは、いずれも、オープンフロースイッチである。図１０において、スイッチ１とスイッチ３、スイッチ１とスイッチ５、スイッチ１とスイッチ７、スイッチ２とスイッチ３、スイッチ２とスイッチ４、スイッチ３とスイッチ５、スイッチ４とスイッチ５、スイッチ４とスイッチ６、スイッチ５とスイッチ６、スイッチ５とスイッチ７、及び、スイッチ６とスイッチ７は接続され、双方向通信が可能である。また、スイッチ１〜７は、各々、内部にホスト通信部を有し、管理コンピュータ１２の通信部２０と接続されている。
【００４２】
次に、実施例２の動作について、図３、図１０、図１１を参照しながら、説明する。実施例２の動作は、実施例１の動作を示す図３のフローチャートにおいて、ステップＳ１０８で有害サイトでないと判定されたときの破線枠の処理を、図１１に示すフローチャートに置き換えたものである。
【００４３】
端末３２が、有害サイト３８のＷｅｂページ（ＵＲＬはｈｔｔｐ：／／ｗｗｗ．ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスは、３．４．５．６）を取得しようとした場合は、実施例１と同様の動作となるため、説明を省略する。
【００４４】
次に、端末３２が、有害でないサイト７０のＷｅｂページ（ＵＲＬはｈｔｔｐ：／／ｗｗｗ．ｎｏｔ＿ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスは、１５．１６．１７．１８）を取得しようとした場合、すなわち、ステップＳ１０８でＮｏと選択された後の処理が、図１１に示すフローチャートの動作となる。以下、図１１に示すフローチャートを参照し、その動作について、説明する。図１１に示された動作は、オープンフローのフロー制御によるものであり、特許文献２に記載された方法に基づいている（特許文献２の具体例では、オープンフローの２つのスイッチに接続された２つの端末間のフロー制御について開示されている）。
【００４５】
図１１において、管理コンピュータ１２が、フロー経路の候補から、フロー経路を決定する（ステップＳ２１９）。以下に、ステップＳ２１９について、より詳細に説明する。実施例２では、インターネット網３６に接続されているのは、スイッチ６のポートである。従って、端末３２が接続されているスイッチ１からスイッチ６まで、パケットを転送しなければならない。フロー経路の候補として、スイッチ１→スイッチ５→スイッチ６、スイッチ１→スイッチ７→スイッチ６等が考えられる。管理コンピュータ１２は、どちらのフロー経路を使用するのがよいかを以下のように判断する。まず、管理コンピュータ１２は、記憶部１４のエントリ状態情報２６を参照する。エントリ状態情報２６には、ネットワークに含まれる複数のスイッチ毎に、空きエントリ数（又は、使用エントリ数）とスイッチコストが格納されている。ここで、空きエントリ数とは、特許文献２に記載されているように、スイッチがエントリあふれを起こすエントリ数の閾値から、使用エントリ数を引いた差分である。空きエントリ数が少ないほど、スイッチコストが、大きくなる。スイッチコストが大きいほど、エントリあふれが生じるリスクが高くなり、ネットワークの利用効率は悪くなる。そのため、管理コンピュータ１２の制御部１８は、フロー経路の候補ごとに、経路上に存在するスイッチのスイッチコストの総和を比較し、スイッチコストの低いほうの経路を選択する。ここで、前述の２つの候補経路は、一方がスイッチ５を含むのに対し、他方はスイッチ７を含んでいる。従って、エントリ状態情報２６のスイッチ５とスイッチ７のスイッチコストを比較し、小さいほうのスイッチを含む経路を選択する。ここで、スイッチ５のスイッチコストのほうが小さい場合には、スイッチ１→スイッチ５→スイッチ６の経路が選択される。
【００４６】
次に、図１１において、管理コンピュータ１２がフロー経路上の各スイッチに、テーブル設定命令を送信する（ステップＳ２２０）。具体的には、実施例１で示した図７の様に、スイッチ１、スイッチ５、及びスイッチ６に対し、各々の入力ポート、出力ポートを指定するテーブル設定命令を送信する。詳細の説明は省略する。
【００４７】
次に、フロー経路上の各スイッチ（スイッチ１、スイッチ５、及びスイッチ６）は、テーブル設定命令を受け、それに基づいて、転送テーブルを設定する（ステップＳ２２２）。
【００４８】
次に、管理コンピュータ１２は、スイッチ１にパケット送信命令を送信する（ステップＳ２２４）。これは、実施例１で示した図９と同様であるため、説明は省略する。
【００４９】
次に、スイッチ１は、パケット送信命令を受け、第１パケットの転送を再開する（ステップＳ２２６）。次に、スイッチ１より第１パケットが転送される（ステップＳ２２８）。ステップＳ２２６、Ｓ２２８は、実施例１と同様であるため、説明は省略する。以上のように、図１１に示すフローチャートに基づいて、端末３２から有害でないサイト７０にＷｅｂページの取得を要求する場合のフローが確立する。その後、第１パケットに続いて、順次パケットが転送される。
【００５０】
以上、説明したように、実施例２に係る有害サイトフィルタリングシステムは、実施例１と同様に、有害サイトのフィルタリングを行い、フィルタリングを行った旨を、通知サーバよりユーザの端末に、通知ページを送信することができるという効果が得られる。さらに、実施例２に係る有害サイトフィルタリングシステムは、オープンフローの構成を取っているため、ネットワーク上に複数のフロー経路の候補がある場合に、最適なフロー経路を算出することにより、ネットワークの利用効率を高めることができるという効果が得られる。
【００５１】
尚、実施例２における通知サーバ３４は、仮想サーバで構成してもよい。その場合、通知サーバ３４に接続されるスイッチ２は、ソフトウェアスイッチである仮想スイッチで構成する。また、図１０において、スイッチ６が、直接、インターネット網３６と接続する構成になっているが、スイッチ１とインターネット網の間に、プロキシサーバを設け、Ｗｅｂページをプロキシサーバで受信し、その後、ユーザの端末３２に転送する構成にしてもよい。
【産業上の利用可能性】
【００５２】
本発明の有害サイトフィルタリングシステムは、ＩＳＰ（インターネットサービスプロバイダ）で実施する有害サイトのフィルタリングシステムに適用可能である。また、オープンフローの構成を取っているため、フィルタリングの際に、関連したアクションのフロー制御を行うといった用途にも適用可能である。関連したアクションには、実施例で示した通知ページの送信が含まれる。
【００５３】
なお、本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。
【符号の説明】
【００５４】
１０：ＩＳＰ（インターネットサービスプロバイダ）
１２：管理コンピュータ（オープンフローコントローラ）
１４：記憶部
１６：有害サイト判定部
１８：制御部
２０：通信部
２２：有害サイト情報
２４：トポロジー情報
２６：エントリ状態情報
２８：スイッチ１
３０：スイッチ２
３２：端末
３４：通知サーバ
３６：インターネット網
３８：有害サイト
４０：ホスト通信部
４２：テーブル設定部
４４：転送テーブル
４６：転送処理部
４８：通知ページ
５０：プロキシサーバ
５２：ルータ
５４：Ｗｅｂページデータ代理取得部
５６：アクセスリスト
５８：フィルタリング部
７０：有害でないサイト
７２：スイッチ６
【技術分野】
【０００１】
本発明は、インターネット上の有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリングシステム及びフィルタリング方法に関する。特に、本発明は、インターネット上の有害サイトのＷｅｂページの取得をフィルタリングした旨をユーザに通知する有害サイトフィルタリングシステム及びフィルタリング方法に関する。
【背景技術】
【０００２】
近年、インターネットサービスを提供するＩＳＰ（インターネットサービスプロバイダ）は、有害サイトへのアクセスを禁止するフィルタリングサービス及びブロッキングを行っている。ここで、フィルタリングとは、ユーザの同意に基づいて有害サイトへのアクセスを禁止するものである。一方、ブロッキングとは、ユーザの同意を得ることなく、予め決められたサイトへのアクセスを強制的に禁止するものである。このところ、ＩＳＰの自主的な取り組みで、児童ポルノのブロッキングが注目を集めており、非特許文献１に示すように、作業部会による活動報告がなされている。ここで、フィルタリングとブロッキングは、有害サイトへのアクセスを禁止する技術内容に関しては、共通である。以降、本明細書において、フィルタリング、ブロッキングを、どちらも、「フィルタリング」で参照することとする。すなわち、「フィルタリング」と言った場合には、ブロッキングも含まれている。
【０００３】
非特許文献１に、従来技術の有害サイトへのアクセスのフィルタリング方法として、４つ方法が示されている。１つ目の方法は、ＤＮＳにより、Ｗｅｂサイトのホスト名あるいはドメイン名をＩＰアドレスに変換する際にフィルタリングを行う「ＤＮＳポイズニング方式」である。２つ目は、ＩＰヘッダ内の宛先ＩＰアドレスもしくはＨＴＴＰコンテンツ部に含まれるアクセス先ＵＲＬ情報を元にフィルタリングを行う「パケットフィルタリング方式」である。３つ目は、ＨＴＴＰプロキシによりＨＴＴＰ通信を一旦終端した上でアクセス先ＵＲＬ情報を元にフィルタリングを行う「プロキシ方式」である。４つ目は、前述の方式の組み合わせたものである。
【０００４】
ここで、上記した「ＤＮＳポイズニング方式」は、ＤＮＳを利用しない通信、例えば、ＩＰアドレスをブラウザに直打ちすることによる閲覧行為に対しては、フィルタリングできないという問題がある。また、上記した「プロキシ方式」は、全ての通信をＨＴＴＰプロキシ経由で行うことが必要となり、ＨＴＴＰプロキシに対する負荷が増大するという問題がある。
【０００５】
一方、上記した「パケットフィルタリング」において、通信パケットに含まれる宛先ＩＰアドレスの情報により、有害サイトに対するフィルタリングを行う方法は、ＩＳＰが所有する既存のルータ機器等にアクセスリストを記述することによる方法であり、一般に、よく使用されている。そのブロック図を図１２に示す。以下に、図１２を参照し、フィルタリング動作を説明する。端末３２は、ルータ５２を介し、Ｗｅｂサイト３８へのアクセスを要求する。アクセスの要求を受けたプロキシサーバ５０のＷｅｂページデータ代理取得部５４は、Ｗｅｂページデータの取得を行う。次に、Ｗｅｂページデータ代理取得部５４が取得した通信パケットがルータ５２のフィルタリング部５８を通る際に、通信パケットの送信元ＩＰアドレスが、アクセスリスト５６に記載されたＩＰアドレスのリストに一致するかどうかのチェックを行う。一致した場合は、フィルタリング部５８は、その通信パケットが、有害サイトからの通信パケットであると判定し、端末３２に、該Ｗｅｂページデータを送信することを中止する。ここで、アクセスリスト５６の設定は、図１２に示すように、外部からコマンドにより行うことができる。
【０００６】
また、「プロキシ方式」については、プロキシサーバ内に有害サイト情報記憶部を設けて、そこに記憶されているリストに基づいて、端末がアクセスしようとしたＷｅｂページが有害サイトであるかどうかのチェックを行い、有害サイトであると判定した場合は、Ｗｅｂページの取得を中止させ、有害サイトでないと判定した場合は、Ｗｅｂページデータの代理取得を行う構成が、特許文献１に開示されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００８−１１６９９８号公報
【特許文献２】特開２０１０−１６１４７３号公報
【非特許文献】
【０００８】
【非特許文献１】「ＩＳＰ技術者サブワーキング報告書」、［ｏｎｌｉｎｅ］、［平成２２年１１月２４日検索］、インターネット（ＵＲＬ：http://good-net.jp/modules/news/uploadFile/2010063040.pdf）
【発明の概要】
【発明が解決しようとする課題】
【０００９】
以下の分析は、本発明により与えられる。
【００１０】
前述のように、ルータ機器にアクセスリストを記述する方式は、ＩＳＰが所有する既存のルータ機器にアクセスリストを記述することで実現できるため、よく使用されている。図１２に示す方式は、通信パケットに含まれる送信元情報を取り出し、アクセスリストとの一致をチェックしているが、端末からのＷｅｂサイトへのアクセス要求の通信パケットに含まれる送信先情報を取り出し、アクセスリストとの一致をチェックする方法もある。ここでどちらの場合も、送信先情報／送信元情報は、ルータで識別可能なＯＳＩ参照モデルのレイヤ３で使用できるＩＰアドレス等が使用される。しかしながら、この方式は、フィルタリングをした際に、ユーザに対して、フィルタリングした旨を通知する機能がないという問題がある。ルータ機器の場合、ＯＳＩ参照モデルのレイヤ３までしか識別できないため、通知サーバから、ユーザの端末に通知を出そうとした場合、途中の経路に存在する複数のルータ機器のルーティングに関する設定を行う必要がある。フィルタリングの度に、このような設定するのは、制御が複雑になるため、ユーザの端末に通知ページを出すことは、一般に行われていない。しかしながら、ユーザに通知ページを出さずに、フィルタリングを行った場合、ユーザから見ると、接続障害との区別ができず、ＩＳＰへの問い合わせが増えること等が懸念される。従って、通知ページを容易に出すことが可能なシステムが望まれている状況にある。
【００１１】
そこで、本発明の目的は、有害サイトのＷｅｂページ取得をフィルタリングし、フィルタリングしたことを通知する通知ページをユーザの端末に送信することを可能にするシステムを提供することである。
【課題を解決するための手段】
【００１２】
本発明の第１の視点による有害サイトフィルタリングシステムは、有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリングシステムであって、複数のスイッチと、前記複数のスイッチに接続された管理コンピュータを備えたネットワーク構成と、Ｗｅｂページの取得を要求する端末と、有害サイトをフィルタリングしたことを通知する通知サーバと、を備え、前記端末は、前記複数のスイッチの内の第１のスイッチと接続され、前記通知サーバは、前記複数のスイッチの内の第２のスイッチと接続され、前記管理コンピュータに、フィルタリングする有害サイト情報を記憶しておき、前記端末からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出し、前記管理コンピュータは、前記送信先情報又は前記送信元情報が、前記有害サイト情報の中に含まれるかどうかを判定し、前記送信先情報又は前記送信元情報が前記有害サイト情報の中に含まれると判定した場合には、前記管理コンピュータは、前記端末のＷｅｂページの取得をフィルタリングし、前記通知サーバに対して、フィルタリングしたことを通知する通知ページを前記端末に送信するように指示し、前記通知サーバから前記端末へ前記通知ページが送信される。
【００１３】
本発明の第２の視点による有害サイトフィルタリング方法は、有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリング方法であって、端末からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出すステップと、前記送信先情報又は前記送信元情報が、予め記憶しておいた有害サイト情報の中に含まれるかどうかを判定するステップと、前記判定ステップにおいて、前記送信先情報又は前記送信元情報が、前記有害サイト情報の中に含まれると判定された場合に、前記端末のＷｅｂページの取得をフィルタリングし、通知サーバよりフィルタリングしたことを通知する通知ページを前記端末に送信するステップと、を含む。
【発明の効果】
【００１４】
本発明の有害サイトフィルタリングシステムによれば、ユーザの端末からの通信パケットに含まれるＯＳＩ参照モデルのレイヤ３で識別可能な送信先情報に基づいて、有害サイトのＷｅｂページ取得をフィルタリングし、フィルタリングしたことを通知する通知ページをユーザの端末に送信することが可能な有害サイトフィルタリングシステムを提供することができる。
【００１５】
本発明の有害サイトフィルタリング方法によれば、ユーザの端末からの通信パケットに含まれるＯＳＩ参照モデルのレイヤ３で識別可能な送信先情報に基づいて、有害サイトのＷｅｂページ取得をフィルタリングし、フィルタリングしたことを通知する通知ページをユーザの端末に送信することが可能な有害サイトフィルタリング方法を提供することができる。
【図面の簡単な説明】
【００１６】
【図１】本発明の実施例１に係る有害サイトフィルタリングシステムのブロック図である。
【図２】図１におけるスイッチ１の詳細を示すブロック図である。
【図３】本発明の実施例１に係る有害サイトフィルタリング方法を説明するためのフローチャートである。
【図４】本発明の実施例１における第１パケットの一例である。
【図５】本発明の実施例１におけるパケット到着通知の一例である。
【図６】本発明の実施例１に係る有害サイトフィルタリングシステムにおいて、フィルタリングした旨を通知する通知ページの一例である。
【図７】本発明の実施例１におけるテーブル送信命令の一例である。
【図８】本発明の実施例１において設定される転送テーブルの一例である。
【図９】本発明の実施例１において設定されるパケット送信命令の一例である。
【図１０】本発明の実施例２に係る有害サイトフィルタリングシステムのブロック図である。
【図１１】本発明の実施例１に係る有害サイトフィルタリング方法を説明するためのフローチャートである。
【図１２】従来の有害サイトフィルタリングシステムを説明するためのブロック図である。
【発明を実施するための形態】
【００１７】
本発明の実施形態について、必要に応じて図面を参照して説明する。なお、実施形態の説明において引用する図面及び図面の符号は実施形態の一例として示すものであり、それにより本発明による実施形態のバリエーションを制限するものではない。
【００１８】
本発明の第１の視点による有害サイトフィルタリングシステムは、図１に示すように、有害サイト３８のＷｅｂページの取得をフィルタリングする有害サイトフィルタリングシステムであって、複数のスイッチと、複数のスイッチに接続された管理コンピュータ１２を備えたネットワーク構成と、Ｗｅｂページの取得を要求する端末３２と、有害サイト３８をフィルタリングしたことを通知する通知サーバ３４と、を備え、端末３２は、複数のスイッチの内の第１のスイッチ２８と接続され、通知サーバ３４は、複数のスイッチの内の第２のスイッチ３０と接続され、管理コンピュータ１２に、フィルタリングする有害サイト情報２２を記憶しておき、端末３２からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出し、管理コンピュータ１２は、送信先情報又は送信元情報が、有害サイト情報２２の中に含まれるかどうかを判定し、送信先情報又は送信元情報が有害サイト情報２２の中に含まれると判定した場合には、管理コンピュータ１２は、端末３２のＷｅｂページの取得をフィルタリングし、通知サーバ３４に対して、フィルタリングしたことを通知する通知ページ（図６の４８）を端末３２に送信するように指示し、通知サーバ３４から端末３２へ通知ページ（図６の４８）が送信される。
【００１９】
本発明の第２の視点による有害サイトフィルタリング方法は、図３に示すように、有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリング方法であって、端末からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出すステップＳ１０４と、送信先情報又は送信元情報が、予め記憶しておいた有害サイト情報２２の中に含まれるかどうかを判定するステップＳ１０６と、判定ステップＳ１０６において、送信先情報又は送信元情報が、有害サイト情報２２の中に含まれると判定された場合に、端末のＷｅｂページの取得をフィルタリングし（ステップＳ１１０）、通知サーバよりフィルタリングしたことを通知する通知ページ４８を端末に送信するステップ（ステップＳ１１４、Ｓ１１６）と、を含む。
【００２０】
以下、実施例について、図面を参照して詳しく説明する。
【実施例１】
【００２１】
［実施例１の構成］
図１は、本発明の実施例１に係る有害サイトフィルタリングシステムのブロック図である。図１において、破線枠内は、ＩＳＰ（インターネットサービスプロバイダ）１０におけるシステムを示す。ここで、ＩＳＰに加入したユーザが、端末３２（ＩＰアドレスは、７．８．９．１０とする）から、ＩＳＰを介して、インターネット上の有害サイト３８（ＵＲＬがｈｔｔｐ：／／ｗｗｗ．ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスが３．４．５．６とする）を閲覧しようとする場合と、有害でないサイト７０（ＵＲＬがｈｔｔｐ：／／ｗｗｗ．ｎｏｔ＿ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスが１５．１６．１７．１８とする）を閲覧しようとする場合を示している。
【００２２】
実施例１に係る有害サイトフィルタリングシステムは、オープンフローに基づいて構成されている。オープンフローは、ＯｐｅｎＦｌｏｗスイッチングコンソーシアム（ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／を参照）が提唱しているネットワーク制御技術のことである。従来のネットワーク制御方式は、主にＩＰアドレスのルーティングによって行われてきたが、オープンフローではＭＡＣアドレスやＩＰアドレス、ポート番号などの組み合わせによって決定される通信を「フロー」と定義し、フロー単位での経路制御を実現している。これにより、最適な経路を決定することが実現できるため、ネットワークの利用効率向上が得られるという利点を持っている。
【００２３】
特許文献２には、オープンフローを用いたシステムにおいて、ネットワーク上の複数のスイッチのスイッチコストを算出し、算出されたスイッチコストに基づいて、幾つかの送信元から送信先への経路候補の中から、最適な経路を決定する方法が、開示されている。
【００２４】
一般に、オープンフローシステムは、複数のオープンフロースイッチと、それに接続されるオープンフローコントローラを備えたネットワーク構成をしている。図１において、管理コンピュータ１２が、オープンフローにおけるオープンフローコントローラであり、スイッチ１、スイッチ２は、オープンフロースイッチである。各スイッチには識別子としてＤＰＩＤ（Ｄａｔａ Ｐａｔｃｈ ＩＤ）が付与される。図１において、スイッチ１のＤＰＩＤは、「００−００−４ｃ−００−１１−１１」、スイッチ２のＤＰＩＤは、「００−００−４ｃ−００−２２−２２」である。また、オープンフローでは、ＯＳＩ参照モデルのレイヤ１〜４が、識別可能である。従来のルータ機器ではレイヤ１〜３までしか識別できなかったのに対して、オープンフローでは、レイヤ４を識別できるようになっている。従って、オープンフローシステムは、オープンフロースイッチであるスイッチ１、スイッチ２を、Ｌ３スイッチとしても動作させることもできるし、Ｌ４スイッチとして動作させることもできる。
【００２５】
次に、図２は、オープンフロースイッチであるスイッチ１の詳細を示したブロック図である。スイッチ１は、ホスト通信部４０、転送処理部４６、テーブル設定部４２、転送テーブル４４を含んでいる。ここで、転送テーブル４４は、ＲＡＭ等によるメモリで構成されている。転送処理部４６は、スイッチ１に入力された通信データ（パケットデータ等）を転送する機能を有している。転送処理部４６は、複数のポートを有しており、実施例１では、２２個のポートＰ１〜Ｐ２２を有している。
【００２６】
次に、図１において、管理コンピュータ１２、スイッチ１、スイッチ２、端末３２、通知サーバ３４の接続形態について説明する。端末３２は、スイッチ１のポートＰ１８と接続され、双方向に通信が可能である。また、通知サーバ（ＩＰアドレスは、１１．１２．１３．１４とする）は、スイッチ２のポートＰ１７と接続され、双方向に通信が可能である。また、スイッチ１のポートＰ１５は、スイッチ２のポートＰ１６と接続され、双方向に通信可能である。また、スイッチ１のポートＰ１６は、インターネット網と接続されている。また、スイッチ１のホスト通信部（図２の４０）は、管理コンピュータ１２の通信部２０と接続され、コマンド、メッセージ等の送受信が可能である。
【００２７】
次に、オープンフローコントローラである管理コンピュータ１２の構成について、詳細に説明する。管理コンピュータ１２は、メモリで構成される記憶部１４を有しており、トポロジー情報２４、エントリ状態情報２６、有害サイト情報２２が保存されている。ここで、トポロジー情報２４は、スイッチ１、スイッチ２、端末３２、通知サーバ３４の接続形態を格納し、送信元から送信先の候補経路を得る際に、読み出して使用される。エントリ状態情報２６は、各々のスイッチのエントリ数の空き状態を示す空きエントリ数と、使用エントリ率がどの程度であるかを示すスイッチコストを含んでいる。有害サイト情報２２は、有害サイトのＩＰアドレスのリストである。有害サイトの情報が、ＵＲＬ情報で提供される場合には、予め、ＤＮＳサーバを参照して、ＩＰアドレスに変換しておく。また、有害サイト情報２２は、システムの管理者により、必要に応じて、更新がなされる。
【００２８】
また、管理コンピュータ１２は、スイッチと通信する通信部２０、オープンフローの動作を制御する制御部１８、有害サイト判定部１６を備えている。
【００２９】
［実施例１の動作］
次に、実施例１の動作について、図１、図３を参照しながら、説明する。また、以下のステップＳ１００、Ｓ１０２は、特許文献２に記載された内容に基づいている（特許文献２の具体例では、オープンフローの２つのスイッチに接続された２つの端末間のフロー制御について開示されている）。特許文献２では、ＩＰアドレスではなく、ＭＡＣアドレスを用いているが、実施例１では、ＩＰアドレスを用いている。まず、ユーザが、端末３２より、有害サイト３８（ｈｔｔｐ：／／ｗｗｗ．ｙｕｕｇａｉ．ｃｏｍ）のＷｅｂページ取得の要求を送った場合の動作について、以下に示す。具体的には、ユーザの端末３２は、ＩＳＰのスイッチ１に対して、第１パケットを送出する（ステップＳ１００）。ここで、第１パケットは、図４に示すように、送信先情報として、送信先のＩＰアドレスであるＩＰ＿ＤＡ（３．４．５．６）、送信元情報として、送信元のＩＰアドレスであるＩＰ＿ＳＡ（７．８．９．１０）を含んでいる。スイッチ１は、第１パケットを受け取ると、ＩＰ＿ＤＡ、ＩＰ＿ＳＡを取り出し、スイッチ１内部の転送テーブル４４を参照する。ここで、転送テーブル４４は、スイッチ１が関係するエントリ毎に、入力ポート、ＩＰ＿ＤＡ、ＩＰ＿ＳＡ、出力ポートの情報を含むリストになっている。ここで、スイッチ１は、送信先のＩＰアドレスであるＩＰ＿ＤＡ、送信元のＩＰアドレスであるＩＰ＿ＳＡ、入力ポートＰ１８を検索キーとして、転送テーブル４４を検索する。この時点は、該当するエントリは、未だ、存在しない。
【００３０】
該当するエントリが、転送テーブル４４に存在しないことがわかると、次に、スイッチ１のホスト通信部４０は、管理コンピュータ１２の通信部２０を介して、管理コンピュータ１２の制御部１８に、図５で示すパケット到着通知を送信する（ステップＳ１０２）。ここで、パケット到着通知は、図５に示すように、ＤＰＩＤ情報がスイッチ１のＤＰＩＤ、種別情報がパケット到着通知であることを示す「ＰＡＣＫＥＴ＿ＩＮ」、入力ポート情報が、パケットがポート１８から入力されたことを示すＰ１８、及び、第１パケットを含んでいる。
【００３１】
次に、管理コンピュータ１２の制御部１８は、図５に示したパケット到着通知から、送信先のＩＰアドレスであるＩＰ＿ＤＡを取り出す（ステップＳ１０４）。次に、制御部１８は、ユーザがＷｅｂページの取得を要求したＷｅｂサイトが、有害サイトかどうかの判定を、以下のように行う。まず、制御部１８は、有害サイト判定部１６に送信先のＩＰアドレスであるＩＰ＿ＤＡを渡す。次に、有害サイト判定部１６は、記憶部１４の有害サイト情報２２を参照して、送信先のＩＰアドレスであるＩＰ＿ＤＡが、有害サイト情報２２の中にあるかどうかをチェックする（ステップＳ１０６）。ここで、ＩＰ＿ＤＡが、有害サイト情報２２の中に、含まれている場合には、ステップＳ１０８で、有害サイトであると判定する（ステップＳ１０８でＹｅｓ）。一方、ＩＰ＿ＤＡが、有害サイト情報２２の中に、含まれていない場合には、ステップＳ１０８で、有害サイトでないと判定する（ステップＳ１０８でＮｏ）。
【００３２】
ここで、送信先のＩＰアドレスであるＩＰ＿ＤＡ（３．４．５．６）は、有害サイト３８のＩＰアドレスであり、有害サイト情報２２の中に含まれているので、ステップＳ１０８では、有害サイトと判定されることになる。次に、ステップＳ１０８で有害サイトと判定された場合の動作について、以下に詳細に説明する。管理コンピュータ１２は、有害サイト３８からＷｅｂページの取得を中止することにより、フィルタリングする（ステップＳ１１０）。次に、管理コンピュータ１２は、通知サーバ３４に対し、通知ページ４８を端末３２に送信するように指示する（ステップＳ１１４）。次に、ステップＳ１１４の指示に基づいて、通知サーバ３４は、端末３２に通知ページ４８の送信をレイヤ４で行う（ステップＳ１１６）。ここで、ステップＳ１１６の処理は、ＯＳＩ参照モデルのレイヤ４で行われる。オープンフローでは、ＯＳＩ参照モデルのレイヤ４を識別可能であるため、レイヤ４で処理することにより、通知サーバ３４と端末３２の経路に存在するスイッチ２、スイッチ１の転送テーブル４４の設定を自動的に処理することができる。それにより、管理コンピュータ１２が、複雑な設定をする必要がないという利点が得られ、通知ページ４８の送信を容易に行うことが可能になる。図６は、通知ページ４８の一例を示している。例えば、ユーザが、端末３２から閲覧しようとしたＷｅｂページが、児童ポルノに関するサイトである場合には、ＩＳＰが強制的にブロッキングした旨を知らせることができる。
【００３３】
次に、ステップＳ１０８で、有害サイトでないと判定された場合のフローについて説明する。具体的には、ユーザが端末３２から、有害でないサイト７０（ＵＲＬは、ｈｔｔｐ：／／ｗｗｗ．ｎｏｔ＿ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスは１５．１６．１７．１８とする）に対して、Ｗｅｂページの取得を要求する場合である。
【００３４】
ここで、以下に示すステップＳ１２０〜Ｓ１２８の処理は、オープンフローのフロー制御によるものであり、特許文献２に記載された方法に基づいている（特許文献２の具体例では、オープンフローの２つのスイッチに接続された２つの端末間のフロー制御について開示されている）。
【００３５】
まず、管理コンピュータ１２は、スイッチ１に、テーブル設定命令を送信する（ステップＳ１２０）。次に、スイッチ１において、受け取ったテーブル設定命令に基づいて、スイッチ１の転送テーブル４４を設定する（ステップＳ１２２）。以下に、ステップＳ１２０、ステップＳ１２２について、より詳細に説明する。端末３２から、インターネット網への経路を設定するには、スイッチ１に、ポートＰ１８を入力ポートとし、ポートＰ１６を出力ポートとする設定を行えばよい。ステップＳ１２０で管理コンピュータ１２から送信されるテーブル設定命令を、図７に示す。図７において、ＤＰＩＤ情報はスイッチ１を示すＤＰＩＤ、種別情報はテーブル設定であることを示す「ＭＯＤＩＦＹ＿ＳＴＡＴＥ」、入力ポートはＰ１８、ＩＰ＿ＤＡは有害でないサイト７０のＩＰアドレス：１５．１６．１７．１８、ＩＰ＿ＳＡは端末３２のＩＰアドレス：７．８．９．１０、出力ポートはＰ１６である。テーブル設定部４２は、ホスト通信部４０を介して、このテーブル設定命令を受けて、転送テーブル４４に、追加エントリとして、設定する。図８は、追加がなされたエントリの転送テーブル４４の内容を示している。図７示したテーブル設定命令における入力ポート情報、ＩＰ＿ＤＡ情報、ＩＰ＿ＳＡ情報、出力ポート情報の部分を、取り出したデータになっている。
【００３６】
次に、図３のフローチャートにおいて、管理コンピュータ１２が、スイッチ１にパケット送信命令を送信する（ステップＳ１２４）。図９に、パケット送信命令を示す。ＤＰＩＤ情報はスイッチ１のＤＰＩＤであり、種別情報はパケット送信命令であることを示す「ＳＥＮＤ＿ＰＡＣＫＥＴ」であり、出力ポートは、スイッチ１において出力ポートに設定されているポートＰ１６であり、パケット部は、第１パケットになっている。ここで、第１パケットは、ステップＳ１０２におけるパケット到達通知に含まれているため、管理コンピュータ１２は、パケット到達通知から第１パケットのデータを取得し、その第１パケットをパケット送信命令に付加している。
【００３７】
次に、スイッチ１は、パケット送信命令を受けて、第１パケットの転送を再開する（ステップＳ１２６）。より具体的には、スイッチ１のホスト通信部４０は、図９に示されたパケット送信命令から第１パケットを取り出す。そして、スイッチ１の転送処理部４６に対して、ポートＰ１６から、第１パケットを出力するように指示している。
【００３８】
次に、スイッチ１の転送処理部４６は、ポートＰ１６から、第１パケットを転送する（ステップＳ１２８）。以上に説明したように、図３に示すフローチャートに基づいて、端末３２から有害でないサイト７０のＷｅｂページの取得を要求する場合のフローが確立する。その後、第１パケットに続いて、順次パケットが転送される。
【００３９】
以上、説明したように、実施例１に係る有害サイトフィルタリングシステムによれば、ユーザの端末からＷｅｂサイトの取得要求がなされた時に、その通信パケットから送信先のＩＰアドレスを取り出し、その送信先のＩＰアドレスが、予め、管理コンピュータに保存しておいた有害サイトのＩＰアドレスの中に含まれると判定された場合には、有害サイトのＷｅｂページを取得しようとしたと判定し、フィルタリングを行う。ここで、フィルタリングを行った旨を、通知サーバよりユーザの端末に、通知ページを送信することができるという効果が得られる。従来のルータ機器では、ＯＳＩ参照モデルのレイヤ３までしか識別できないため、通知ページを送信するのに複雑な制御が必要で、通知ページの送信は行われていなかった。本発明の実施例１では、オープンフローの構成を取ることで、レイヤ４の通信が可能になり、通知ページの送信を容易に行うことが可能になった。
【００４０】
尚、実施例１における通知サーバ３４は、仮想サーバで構成してもよい。その場合、通知サーバ３４に接続されるスイッチ２は、ソフトウェアスイッチである仮想スイッチで構成する。また、図１においては、スイッチ１が、直接、インターネット網３６と接続する構成になっているが、スイッチ１とインターネット網の間に、プロキシサーバを設け、Ｗｅｂページをプロキシサーバで受信し、その後、ユーザの端末３２に転送する構成にしてもよい。
【実施例２】
【００４１】
図１０は、本発明の実施例２に係る有害サイトフィルタリングシステムを示すブロック図である。実施例２の実施例１に対する相違点は、より多くのスイッチ（図１０では、７個）でネットワークが構成され、インターネット網３６には、スイッチ６が接続している点である。これらのスイッチは、いずれも、オープンフロースイッチである。図１０において、スイッチ１とスイッチ３、スイッチ１とスイッチ５、スイッチ１とスイッチ７、スイッチ２とスイッチ３、スイッチ２とスイッチ４、スイッチ３とスイッチ５、スイッチ４とスイッチ５、スイッチ４とスイッチ６、スイッチ５とスイッチ６、スイッチ５とスイッチ７、及び、スイッチ６とスイッチ７は接続され、双方向通信が可能である。また、スイッチ１〜７は、各々、内部にホスト通信部を有し、管理コンピュータ１２の通信部２０と接続されている。
【００４２】
次に、実施例２の動作について、図３、図１０、図１１を参照しながら、説明する。実施例２の動作は、実施例１の動作を示す図３のフローチャートにおいて、ステップＳ１０８で有害サイトでないと判定されたときの破線枠の処理を、図１１に示すフローチャートに置き換えたものである。
【００４３】
端末３２が、有害サイト３８のＷｅｂページ（ＵＲＬはｈｔｔｐ：／／ｗｗｗ．ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスは、３．４．５．６）を取得しようとした場合は、実施例１と同様の動作となるため、説明を省略する。
【００４４】
次に、端末３２が、有害でないサイト７０のＷｅｂページ（ＵＲＬはｈｔｔｐ：／／ｗｗｗ．ｎｏｔ＿ｙｕｕｇａｉ．ｃｏｍ、ＩＰアドレスは、１５．１６．１７．１８）を取得しようとした場合、すなわち、ステップＳ１０８でＮｏと選択された後の処理が、図１１に示すフローチャートの動作となる。以下、図１１に示すフローチャートを参照し、その動作について、説明する。図１１に示された動作は、オープンフローのフロー制御によるものであり、特許文献２に記載された方法に基づいている（特許文献２の具体例では、オープンフローの２つのスイッチに接続された２つの端末間のフロー制御について開示されている）。
【００４５】
図１１において、管理コンピュータ１２が、フロー経路の候補から、フロー経路を決定する（ステップＳ２１９）。以下に、ステップＳ２１９について、より詳細に説明する。実施例２では、インターネット網３６に接続されているのは、スイッチ６のポートである。従って、端末３２が接続されているスイッチ１からスイッチ６まで、パケットを転送しなければならない。フロー経路の候補として、スイッチ１→スイッチ５→スイッチ６、スイッチ１→スイッチ７→スイッチ６等が考えられる。管理コンピュータ１２は、どちらのフロー経路を使用するのがよいかを以下のように判断する。まず、管理コンピュータ１２は、記憶部１４のエントリ状態情報２６を参照する。エントリ状態情報２６には、ネットワークに含まれる複数のスイッチ毎に、空きエントリ数（又は、使用エントリ数）とスイッチコストが格納されている。ここで、空きエントリ数とは、特許文献２に記載されているように、スイッチがエントリあふれを起こすエントリ数の閾値から、使用エントリ数を引いた差分である。空きエントリ数が少ないほど、スイッチコストが、大きくなる。スイッチコストが大きいほど、エントリあふれが生じるリスクが高くなり、ネットワークの利用効率は悪くなる。そのため、管理コンピュータ１２の制御部１８は、フロー経路の候補ごとに、経路上に存在するスイッチのスイッチコストの総和を比較し、スイッチコストの低いほうの経路を選択する。ここで、前述の２つの候補経路は、一方がスイッチ５を含むのに対し、他方はスイッチ７を含んでいる。従って、エントリ状態情報２６のスイッチ５とスイッチ７のスイッチコストを比較し、小さいほうのスイッチを含む経路を選択する。ここで、スイッチ５のスイッチコストのほうが小さい場合には、スイッチ１→スイッチ５→スイッチ６の経路が選択される。
【００４６】
次に、図１１において、管理コンピュータ１２がフロー経路上の各スイッチに、テーブル設定命令を送信する（ステップＳ２２０）。具体的には、実施例１で示した図７の様に、スイッチ１、スイッチ５、及びスイッチ６に対し、各々の入力ポート、出力ポートを指定するテーブル設定命令を送信する。詳細の説明は省略する。
【００４７】
次に、フロー経路上の各スイッチ（スイッチ１、スイッチ５、及びスイッチ６）は、テーブル設定命令を受け、それに基づいて、転送テーブルを設定する（ステップＳ２２２）。
【００４８】
次に、管理コンピュータ１２は、スイッチ１にパケット送信命令を送信する（ステップＳ２２４）。これは、実施例１で示した図９と同様であるため、説明は省略する。
【００４９】
次に、スイッチ１は、パケット送信命令を受け、第１パケットの転送を再開する（ステップＳ２２６）。次に、スイッチ１より第１パケットが転送される（ステップＳ２２８）。ステップＳ２２６、Ｓ２２８は、実施例１と同様であるため、説明は省略する。以上のように、図１１に示すフローチャートに基づいて、端末３２から有害でないサイト７０にＷｅｂページの取得を要求する場合のフローが確立する。その後、第１パケットに続いて、順次パケットが転送される。
【００５０】
以上、説明したように、実施例２に係る有害サイトフィルタリングシステムは、実施例１と同様に、有害サイトのフィルタリングを行い、フィルタリングを行った旨を、通知サーバよりユーザの端末に、通知ページを送信することができるという効果が得られる。さらに、実施例２に係る有害サイトフィルタリングシステムは、オープンフローの構成を取っているため、ネットワーク上に複数のフロー経路の候補がある場合に、最適なフロー経路を算出することにより、ネットワークの利用効率を高めることができるという効果が得られる。
【００５１】
尚、実施例２における通知サーバ３４は、仮想サーバで構成してもよい。その場合、通知サーバ３４に接続されるスイッチ２は、ソフトウェアスイッチである仮想スイッチで構成する。また、図１０において、スイッチ６が、直接、インターネット網３６と接続する構成になっているが、スイッチ１とインターネット網の間に、プロキシサーバを設け、Ｗｅｂページをプロキシサーバで受信し、その後、ユーザの端末３２に転送する構成にしてもよい。
【産業上の利用可能性】
【００５２】
本発明の有害サイトフィルタリングシステムは、ＩＳＰ（インターネットサービスプロバイダ）で実施する有害サイトのフィルタリングシステムに適用可能である。また、オープンフローの構成を取っているため、フィルタリングの際に、関連したアクションのフロー制御を行うといった用途にも適用可能である。関連したアクションには、実施例で示した通知ページの送信が含まれる。
【００５３】
なお、本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。
【符号の説明】
【００５４】
１０：ＩＳＰ（インターネットサービスプロバイダ）
１２：管理コンピュータ（オープンフローコントローラ）
１４：記憶部
１６：有害サイト判定部
１８：制御部
２０：通信部
２２：有害サイト情報
２４：トポロジー情報
２６：エントリ状態情報
２８：スイッチ１
３０：スイッチ２
３２：端末
３４：通知サーバ
３６：インターネット網
３８：有害サイト
４０：ホスト通信部
４２：テーブル設定部
４４：転送テーブル
４６：転送処理部
４８：通知ページ
５０：プロキシサーバ
５２：ルータ
５４：Ｗｅｂページデータ代理取得部
５６：アクセスリスト
５８：フィルタリング部
７０：有害でないサイト
７２：スイッチ６
【特許請求の範囲】
【請求項１】
有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリングシステムであって、
複数のスイッチと、前記複数のスイッチに接続された管理コンピュータを備えたネットワーク構成と、
Ｗｅｂページの取得を要求する端末と、
有害サイトをフィルタリングしたことを通知する通知サーバと、を備え、
前記端末は、前記複数のスイッチの内の第１のスイッチと接続され、
前記通知サーバは、前記複数のスイッチの内の第２のスイッチと接続され、
前記管理コンピュータに、フィルタリングする有害サイト情報を記憶しておき、
前記端末からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出し、
前記管理コンピュータは、前記送信先情報又は前記送信元情報が、前記有害サイト情報の中に含まれるかどうかを判定し、
前記送信先情報又は前記送信元情報が前記有害サイト情報の中に含まれると判定した場合には、前記管理コンピュータは、前記端末のＷｅｂページの取得をフィルタリングし、前記通知サーバに対して、フィルタリングしたことを通知する通知ページを前記端末に送信するように指示し、
前記通知サーバから前記端末へ前記通知ページが送信されることを特徴とする有害サイトフィルタリングシステム。
【請求項２】
前記有害サイト情報、前記送信先情報、及び前記送信元情報は、ＩＰアドレスであることを特徴とする請求項１に記載の有害サイトフィルタリングシステム。
【請求項３】
前記通知ページを前記端末へ送信する処理は、ＯＳＩ参照モデルのレイヤ４によることを特徴とする請求項１または２に記載の有害サイトフィルタリングシステム。
【請求項４】
前記管理コンピュータは、送信元から送信先へのフロー経路を決定し、
前記複数のスイッチは、転送の入力先及び出力先を設定する転送テーブルを備え、
前記フロー経路上の複数のスイッチの転送テーブルは、前記決定されたフロー経路に基づいて、前記管理コンピュータからの指示により設定されることを特徴とする請求項１乃至３のいずれか１項に記載の有害サイトフィルタリングシステム。
【請求項５】
有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリング方法であって、
端末からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出すステップと、
前記送信先情報又は前記送信元情報が、予め記憶しておいた有害サイト情報の中に含まれるかどうかを判定するステップと、
前記判定ステップにおいて、前記送信先情報又は前記送信元情報が、前記有害サイト情報の中に含まれると判定された場合に、前記端末のＷｅｂページの取得をフィルタリングし、通知サーバよりフィルタリングしたことを通知する通知ページを前記端末に送信するステップと、を含むことを特徴とする有害サイトフィルタリング方法。
【請求項６】
前記有害サイト情報、前記送信先情報、及び前記送信元情報は、ＩＰアドレスであることを特徴とする請求項５に記載の有害サイトフィルタリング方法。
【請求項７】
前記通知ページを前記端末に送信するステップは、ＯＳＩ参照モデルのレイヤ４によることを特徴とする請求項５または６に記載の有害サイトフィルタリング方法。
【請求項１】
有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリングシステムであって、
複数のスイッチと、前記複数のスイッチに接続された管理コンピュータを備えたネットワーク構成と、
Ｗｅｂページの取得を要求する端末と、
有害サイトをフィルタリングしたことを通知する通知サーバと、を備え、
前記端末は、前記複数のスイッチの内の第１のスイッチと接続され、
前記通知サーバは、前記複数のスイッチの内の第２のスイッチと接続され、
前記管理コンピュータに、フィルタリングする有害サイト情報を記憶しておき、
前記端末からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出し、
前記管理コンピュータは、前記送信先情報又は前記送信元情報が、前記有害サイト情報の中に含まれるかどうかを判定し、
前記送信先情報又は前記送信元情報が前記有害サイト情報の中に含まれると判定した場合には、前記管理コンピュータは、前記端末のＷｅｂページの取得をフィルタリングし、前記通知サーバに対して、フィルタリングしたことを通知する通知ページを前記端末に送信するように指示し、
前記通知サーバから前記端末へ前記通知ページが送信されることを特徴とする有害サイトフィルタリングシステム。
【請求項２】
前記有害サイト情報、前記送信先情報、及び前記送信元情報は、ＩＰアドレスであることを特徴とする請求項１に記載の有害サイトフィルタリングシステム。
【請求項３】
前記通知ページを前記端末へ送信する処理は、ＯＳＩ参照モデルのレイヤ４によることを特徴とする請求項１または２に記載の有害サイトフィルタリングシステム。
【請求項４】
前記管理コンピュータは、送信元から送信先へのフロー経路を決定し、
前記複数のスイッチは、転送の入力先及び出力先を設定する転送テーブルを備え、
前記フロー経路上の複数のスイッチの転送テーブルは、前記決定されたフロー経路に基づいて、前記管理コンピュータからの指示により設定されることを特徴とする請求項１乃至３のいずれか１項に記載の有害サイトフィルタリングシステム。
【請求項５】
有害サイトのＷｅｂページの取得をフィルタリングする有害サイトフィルタリング方法であって、
端末からの通信パケットから、ＯＳＩ参照モデルのレイヤ３により識別可能な送信先情報又は送信元情報を取り出すステップと、
前記送信先情報又は前記送信元情報が、予め記憶しておいた有害サイト情報の中に含まれるかどうかを判定するステップと、
前記判定ステップにおいて、前記送信先情報又は前記送信元情報が、前記有害サイト情報の中に含まれると判定された場合に、前記端末のＷｅｂページの取得をフィルタリングし、通知サーバよりフィルタリングしたことを通知する通知ページを前記端末に送信するステップと、を含むことを特徴とする有害サイトフィルタリング方法。
【請求項６】
前記有害サイト情報、前記送信先情報、及び前記送信元情報は、ＩＰアドレスであることを特徴とする請求項５に記載の有害サイトフィルタリング方法。
【請求項７】
前記通知ページを前記端末に送信するステップは、ＯＳＩ参照モデルのレイヤ４によることを特徴とする請求項５または６に記載の有害サイトフィルタリング方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２０１２−１６０９２６（Ｐ２０１２−１６０９２６Ａ）
【公開日】平成２４年８月２３日（２０１２．８．２３）
【国際特許分類】
【出願番号】特願２０１１−１９３８７（Ｐ２０１１−１９３８７）
【出願日】平成２３年２月１日（２０１１．２．１）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２４年８月２３日（２０１２．８．２３）
【国際特許分類】
【出願日】平成２３年２月１日（２０１１．２．１）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]