JP5325335B2 - フィルタリング方法、システムおよびネットワーク機器 - Google Patents

Description

本発明は、通信分野におけるネットワークのセキュリティ技術に関し、特に、フィルタリング方法、システムおよびネットワーク機器に関する。

通信技術の急速な発展に伴い、高機能携帯電話、インターネットプロトコル（ＩＰ）電話、パソコンなどのユーザ端末に適用されるオペレーティングシステムは標準化が一段と進められている。その上、それらのオペレーティングシステムは公開性、汎用性などの特徴を備えている。また、ユーザ端末の多くは、Ｂｌｕｅｔｏｏｔｈ（登録商標）機能、赤外線機能、マルチメディアメッセージ、汎用パケット無線通信サービス（ＧＰＲＳ）インターネットアクセス、サイバーサーフィング、無線インターネットアクセスを含む機能を提供する。

対応するユーザ端末はまた、ウィルスやトロイの木馬などのマルウェアに対して実行可能なオープンインターフェースも提供するので、種々のウィルスなどのマルウェアの攻撃をますます受けやすくなってきている。さらに、ウィルスはユーザ端末を通して広く蔓延し得るために、結果的に通信システムの性能が影響を受ける。

現在の処、アンチウィルスソフトをユーザ端末にインストールして、ユーザがウェブページを閲覧、ダウンロードしたり、ファイルを実行する際に、ウィルスのスキャンおよび除去を実行する方法が主として取られている。そうして、ウィルスがユーザ端末へ蔓延し、ユーザ端末を攻撃しようとする場合、アンチウィルスソフトウェアが該当するウィルスプログラムを検出し、その蔓延や攻撃を防止することができる。

従来技術には少なくとも以下の問題があることがわかった。

（１）高機能携帯電話、ＩＰ電話、パソコンなどのようなユーザ端末に関して、ハードウェアの処理能力の限界により、アンチウィルス用のソフトウェアをインストールするには大きなメモリスペースと多くのＣＰＵリソースを必要とする。例えば、パソコンにインストールされたアンチウィルスソフトウェアのＫａｓｐｅｒｓｋｙ（登録商標）を例に取ると、ソフトウェアのインストールに大きなメモリスペースを必要とし、ときには、ＣＰＵの８０％までもが占有される。そのためＣＰＵの通常の動作に深刻な影響がもたらされる。

（２）そのようなモードにおいては、マルウェアがバイパスするというリスクもある。現在の処、マルウェアであるトロイの木馬の多くは、ユーザ端末にインストールされたアンチウィルスソフトウェアを識別することができ、ユーザ端末中のアンチウィルスソフトウェアを閉じたり、ユーザ端末中のアンチウィルスソフトウェアによる検出をバイパスしたり（回避したり）することが可能である。そのためユーザ端末はそれらのウィルスを識別できず、結果的にウィルスの蔓延または攻撃を効果的に防止することが出来ない。

本発明は、ウィルスやワームやトロイの木馬などのマルウェアの蔓延と攻撃を防止し、ウィルスなどのマルウェアのユーザへの脅威を低減し、ネットワークの安全性を高めるためのフィルタリング方法とシステムとネットワーク機器を提供しようとするものである。

その目的を達成するために、本発明の実施形態は以下の技術的解決策を提供する。

ネットワーク側機器に適用されるフィルタリング方法が、ユーザ端末からインターネットサーバへ送信された要求パケットをインターセプトし（ｉｎｔｅｒｃｅｐｔ、傍受し）、要求パケットからＵｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）を抽出し、ＵＲＬ情報に従ってＵＲＬ情報に対応するセキュリティ水準を判定し、セキュリティ水準に従って要求パケットを処理することを含む。

ネットワーク側機器に適用されるフィルタリングシステムが、ユーザ端末からインターネットへ送信された要求パケットをインターセプトするように構成されたインターセプトユニットと、要求パケットからＵＲＬ情報を抽出し、ＵＲＬ情報を判定ユニットへ送信するように構成された抽出ユニットと、ＵＲＬ情報に従ってそのＵＲＬ情報に対応するセキュリティ水準を判定するように構成された判定ユニットと、判定ユニットで判定されたセキュリティ水準に従って要求パケットを処理するように構成された処理ユニットと、を備える。

ネットワーク機器が、Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）を含む情報を受信するように構成された受信ユニットと、ＵＲＬ情報に従ってそのＵＲＬ情報に対応するセキュリティ水準を判定するように構成された判定ユニットと、セキュリティ水準に従って要求パケットを処理するように構成された処理ユニットと、を備える。

本発明の実施形態で提供される詳細な実装解決策から以下のことがわかる。
ユーザ端末からインターネットへ送信される要求パケットはインターセプトされて、要求パケットからＵＲＬ情報が抽出される。ＵＲＬ情報に従ってそのＵＲＬ情報に対応するセキュリティ水準が判定され、そのセキュリティ水準に従って要求パケットが処理される。従って、アンチウィルスソフトウェアをユーザ端末にインストールすることによってメモリ空間とＣＰＵリソースが占有されるという問題、およびマルウェアによりバイパスされる危険性があるという問題が解決される。このことは、ウィルスなどのマルウェアの蔓延、攻撃を効果的に防止し、ユーザ端末へのウィルスの脅威を低減し、ネットワークの安全性とユーザエクスペリエンスを向上させる。

本発明の実施形態によるフィルタリング方法のフローチャートである。 本発明の実施形態によるフィルタリング方法の詳細な実装のフローチャートである。 本発明の実施形態によるフィルタリングシステムの概略構成図である。 本発明の実施形態によるフィルタリングシステムの詳細な実装の概略構成図である。 本発明の実施形態によるネットワーク機器の概略構成図である。

本発明の目的、技術的解決策及び利点をよりよく理解するために、本発明の実施形態を添付の図面を参照して以下詳細に説明する。

以下で説明する実施形態は、本発明の実施形態のごく一部であり、本発明のすべての実施形態ではないことを明確に理解されたい。本明細書での実施形態に基づいて当業者が創造的努力を要せずに導き得るその他の実施形態はすべて本発明の保護範囲にある。

図１は本発明の一実施形態によるフィルタリング方法のフローチャートである。この方法はネットワーク側機器に適用され、以下のステップを含む。

ステップＳ１００では、ユーザ端末からインターネットサーバに送信された要求パケットがインターセプトされる。

ステップＳ１０１では、要求パケットからＵｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）情報が抽出される。

ネットワーク機器は、ｄｅｅｐ ｐａｃｋｅｔ ｉｎｓｐｅｃｔｉｏｎ（ＤＰＩ）またはその他の手段によって要求パケットからＵＲＬ情報を抽出してもよい。ネットワーク機器は、サービスルータ（ＳＲ）、ブロードバンド・リモートアクセスサーバ（ＢＲＡＳ）、ゲートウェイＧＰＲＳサポートノード（ＧＧＳＮ）などの機器の１つまたは任意の組み合わせであってよい。

ステップＳ１０２で、ＵＲＬ情報に従ってＵＲＬ情報に対応するセキュリティ水準が判定される。

ネットワーク機器に接続されたローカルサービス機能エンティティまたは記憶装置またはクラウドセキュリティサーバが、ＵＲＬデータベースを格納し、ＵＲＬデータベース内のそれぞれのＵＲＬ情報が、ＵＲＬ情報に対応するセキュリティ水準指標を有している。

ＵＲＬ情報に対応するセキュリティ水準を判定することは特に以下を含む。
ネットワーク機器にローカルキャッシュされたＵＲＬデータベースを検索し、ＵＲＬ情報に対応するセキュリティ水準を判定すること、または、
ＵＲＬ情報に対応しかつローカルサービス機能エンティティにより判定されて返されたセキュリティ水準を受取ること（ここで、ＵＲＬ情報のセキュリティ水準は、ローカルサービス機能エンティティがローカルキャッシュされたＵＲＬデータベースをローカルサービス機能エンティティが検索してそのＵＲＬ情報のセキュリティ水準を判定した後に返されるセキュリティ水準である。）、または、
ＵＲＬ情報に対応しかつクラウドセキュリティサーバにより判定されて返されたセキュリティ水準を受取ること。

上記のセキュリティ水準を取得することは、ネットワーク機器にキャッシャされたＵＲＬデータベース、またはネットワーク機器に接続されたローカルサービス機能エンティティにキャッシュされたＵＲＬデータベース、またはクラウドセキュリティサーバの任意の機器から、セキュリティ水準を取得することを含む。以下のような場合もまた適用可能である。

ネットワーク機器にローカルキャッシュされたＵＲＬデータベースを検索して、ＵＲＬ情報に対応するセキュリティ水準を判定できない場合、またはローカルキャッシュされたＵＲＬデータベースをローカルサービス機能エンティティで検索して、ＵＲＬ情報に対応するセキュリティ水準を判定できない場合には、ＵＲＬ情報はクラウドセキュリティサーバに送られて処理される、すなわち、クラウドセキュリティサーバのＵＲＬデータベースが検索される。

ステップＳ１０４で、セキュリティ水準に応じて要求パケットが処理される。

セキュリティ水準情報には、「安全」、「危険」、「疑わしい」、「不明」の内の１つまたは任意の組み合わせが含まれる。

セキュリティ水準に応じた要求パケットの処理には、「安全」、「危険」、「疑わしい」、「不明」の内の１つまたは任意の組み合わせが含まれる。

セキュリティ水準情報が「安全」である場合には、ユーザ端末からの要求パケットはインターネットへ送信される。

セキュリティ水準情報が「危険」である場合には、要求パケットは破棄され、アラーム情報を含むパケットがユーザ端末へ返されて、ユーザ端末が要求パケットを送信することを禁止する。

セキュリティ水準情報が「疑わしい」である場合には、プロンプト情報がユーザ端末に返され、要求情報が疑わしいことをユーザ端末上に示す。

セキュリティ水準情報が「不明」の場合、セキュリティ水準を判定するためにＵＲＬ情報を別のネットワーク機器に送信して、返されたセキュリティ水準に従って処理される。

ＵＲＬデータベースは、クラウドセキュリティサーバを介して定期的に更新される。ここで、クラウドセキュリティサーバは、クラウドセキュリティサーバクラスタまたはクラウドセキュリティエンドとしても知られている。クラウドセキュリティサーバは主として、トロイの木馬や悪意のあるプログラムなどの特徴に従って、ネットワーク情報源（ウェブページなどの）セキュリティ水準を評価するように構成されている機器である。

前述した本発明の実施形態の詳細な実装解決策から、以下のことがわかる。ユーザ端末からインターネットサーバへ送信される要求パケットはインターセプトされ、要求パケットからＵＲＬ情報が抽出される。ＵＲＬデータベースが検索され、そのＵＲＬ情報に対応するセキュリティ水準がＵＲＬ情報に従って判定される。そして、そのセキュリティ水準に従って要求パケットが処理される。これにより、アンチウィルスソフトウェアをユーザ端末にインストールすることによってメモリ空間とＣＰＵリソースが占有されるという問題、およびマルウェアによりバイパスされる危険性があるという問題が解決される。このことは、ウィルスなどのマルウェアが蔓延、攻撃することを効果的に防止し、ユーザ端末へのウィルスの脅威を低減し、ネットワークの安全性とユーザエクスペリエンスを向上させる。

図２は本発明の一実施形態によるフィルタリング方法の詳細な実装のフローチャートである。フィルタリング方法は様々なネットワーク機器へ適用される。ここでは、図２に示すように、ゲートウェイ機器を例に取ってフィルタリング方法の実装を説明する。

ステップＳ２００で、ユーザ端末が要求パケットをインターネットサーバに送信して、インターネットサーバ上の情報源へのアクセスを要求する。

要求パケットは、“ｈｔｔｐ ｇｅｔ ｐａｃｋｅｔ ｗｉｔｈ ａ ｔａｒｇｅｔ ｐｏｒｔ ８０”という要求パケットであってよい。ただしこの要求パケットに限られるものではない。

ステップＳ２０２で、ゲートウェイ機器が要求パケットをインターセプトする。

ステップＳ２０３で、ゲートウェイ機器が要求パケットからＵＲＬ情報を抽出する。

ゲートウェイ機器は、ネットワーク側のルーティング機器であってもよいし、それに限らなくてもよい。ルーティング機器は、ＳＲ、ＢＲＡＳおよびゲートウェイＧＰＲＳ支持ノード（ＧＧＳＮ）などのようなネットワーク機器の１つであってもよいし、その任意の組み合わせであってもよい。以下ではルータを例に取った方法を説明する。

ルータは、ｄｅｅｐ ｐａｃｋｅｔ ｉｎｓｐｅｃｔｉｏｎ （ＤＰＩ）またはその他の手段によって要求パケットからＵＲＬ情報を抽出してもよい。ＵＲＬ情報の取得は、ルータのラインプロセッシングユニット（ＬＰＵ）で行なわれてもよい。

ステップＳ２０４において、ゲートウェイ機器はＵＲＬ情報に従ってローカルキャッシュされたＵＲＬデータベースを検索し、ＵＲＬ情報に対応するセキュリティ水準が存在するかどうかを判断する。セキュリティ水準が存在する場合には、ステップＳ２０６が実行される。セキュリティ水準が存在しない場合には、ステップＳ２０８が実行される。あるいはまた、ステップＳ２０８とＳ２１２が実行された後、ステップＳ２０６が実行される。

ゲートウェイ機器に接続されたローカルサービス機能エンティティ、またはゲートウェイ機器に接続されたクラウドセキュリティサーバは、ＵＲＬデータベースを格納し、ＵＲＬデータベース内のすべてのＵＲＬ情報は、ＵＲＬ情報に対応するセキュリティ水準指標を有している。

ゲートウェイ機器そのものに格納されたＵＲＬデータベース、またはローカルサービス機能エンティティに格納されたＵＲＬデータベースは、クラウドセキュリティサーバを介して定期的に更新される。ＵＲＬデータベース中のセキュリティ情報は常に変化しているので、更新機構が必要である。ゲートウェイ機器そのものに格納されたＵＲＬデータベース、またはローカルサービス機能エンティティに格納されたＵＲＬデータベースは、一定の時間間隔で更新される。時間間隔は３０秒であってもよいし、実際の状況に応じて調節されてもよい。クラウドセキュリティサーバは、１つまたは複数のクラウドセキュリティサーバから成るクラウドセキュリティサーバクラスタであってもよい。ＵＲＬデータベースには、ＵＲＬ情報とＵＲＬ情報に対応するセキュリティ水準とが格納される。この対応する関係はＵＲＬリストとも呼ばれる。すなわち、ＵＲＬデータベースにはＵＲＬリストが格納され、対応するセキュリティ水準はＵＲＬリスト中のＵＲＬ情報を介して見つけ出される。また、ＵＲＬリストはエージング機構を通して更新される。ゲートウェイ機器そのものに格納されたＵＲＬデータベース、またはローカルサービス機能エンティティに格納されたＵＲＬデータベースは、ＵＲＬリストの情報をキャッシュし続け、その結果ローカルキャッシュされたＵＲＬリストには情報がどんどんたまってゆく。しかし、殆ど利用されることがない情報もある。従って、エージング機構が必要となり、ある期間（エージング時間は３０分であったり、実条件に合わせて調節されたりする）内に照合が行なわれないＵＲＬリスト中の情報は消去する必要がある。こうすることにより、ルータのリソースが節約され、それと同時に照合の効率が向上する。

前述のステップＳ２０４の実行は、ルータのマルチサービスユニット（ＭＳＵ）で行われる。ルータのＬＰＵはＵＲＬ情報を含む要求パケットを、アクセス制御リスト（ＡＣＬ）によってＭＳＵへ転送する。ＭＳＵはＵＲＬ情報を、必要に応じた専用インターフェースを介してローカルサービス機能エンティティまたはクラウドセキュリティサーバへ送信する。

ステップＳ２０６において、ＵＲＬ情報に対応するセキュリティ水準が検索結果に従って判定され、ゲートウェイ機器に送信される。

ステップ２０８において、ローカルサービス機能エンティティによりキャッシュされたＵＲＬデータベース内で検索が実行され、検索が成功した場合にはステップＳ２０６が実行され、そうでない場合にはステップＳ２１２が実行される。

ＵＲＬ情報に対応するセキュリティ水準が、ゲートウェイ機器によってローカルに蓄積されたＵＲＬデータベース（すなわち、ローカルキャッシュされたＵＲＬデータベース）内のＵＲＬリスト中に見つからない場合、つまりＵＲＬ情報に対応するセキュリティ水準が判定できない場合には、ステップＳ２０８が実行される。また、ゲートウェイ機器はＵＲＬ情報をローカルサービス機能エンティティに直接送信することも可能であり、その場合、ローカルサービス機能エンティティがＵＲＬ情報に従ってセキュリティ水準を判定し、セキュリティ水準をルータへ返す。

ステップＳ２１２において、クラウドセキュリティサーバがローカルキャッシュされたＵＲＬデータベース中のＵＲＬリストを検索し、検索が成功した場合にはＳ２０６が実行され、そうでない場合には処理が終了する。

ＵＲＬ情報に対応するセキュリティ水準が、ローカルサービス機能エンティティによりキャッシュされたＵＲＬデータベース内のＵＲＬリストに見つからない場合、すなわち、ＵＲＬ情報に対応するセキュリティ水準が判定できない場合には、ステップＳ２１２が実行される。また、ゲートウェイ機器はＵＲＬ情報をクラウドセキュリティサーバに直接送信することも可能であり、その場合には、クラウドセキュリティサーバがＵＲＬ情報に従ってセキュリティ水準を判定し、セキュリティ水準をゲートウェイ機器に返す。クラウドセキュリティサーバは、１つまたは複数のクラウドセキュリティサーバから成るクラウドセキュリティサーバクラスタであってもよい。

前述のステップＳ２０４からＳ２１４において、ＵＲＬ情報に従ってＵＲＬデータベースを検索するステップは、先ず第１にゲートウェイ機器そのものにキャッシュされたＵＲＬデータベースを検索し、次いで、ＵＲＬ情報に対応するセキュリティ水準が見つからない場合に、ローカルサービス機能エンティティにキャッシュされたＵＲＬデータベースを検索するか、または、最初からローカルサービス機能エンティティにキャッシュされたＵＲＬデータベースを検索するか、または、最初からクラウドセキュリティサーバにキャッシュされたＵＲＬデータベースを検索して、セキュリティ水準情報をゲートウェイ機器に返すかのいずれかを行う。

ゲートウェイ機器とクラウドセキュリティサーバは、伝送の最適化のために高帯域幅と低遅延リンクを使用して接続されてもよい。

ステップＳ２１４で、セキュリティ水準に応じて要求パケットが処理される。

セキュリティ水準情報には、「安全」、「危険」、「疑わしい」、「不明」の内の１つまたは任意の組み合わせが含まれる。セキュリティ水準には、セキュリティ評価水準、および／またはコンテンツ評価水準が含まれる。セキュリティ評価水準は、ユーザの要求に応じて定義されるリスク制御水準に従って分類されてもよい。例えば、ユーザ要求に従って「高」、「中」、「低」のセキュリティ評価水準が構成されてもよく、その後、その構成に従ってフィルタリングが実行されてもよい。コンテンツ評価水準は、ウェブページに含まれるコンテンツに従って、例えば、「アダルトコンテンツ」、「性教育」、「酒／たばこコンテンツ」、「ギャンブル」、「暴力／人種差別」、「銃密売」、「娯楽」、「宗教」、「麻薬」、「禁止薬物」、「ゲーム」、「教育」、「社会性」、「子育て」、「広告」などに分類されてもよい。セキュリティ評価水準は、コンテンツ評価水準の１つの分類または幾つかの組合せと結合させてまとめたセキュリティ水準情報を作成してもよい。例えば、「安全」、「危険」、「疑わしい」、「不明」という４つのタイプのセキュリティ水準情報である。勿論、セキュリティ水準情報のタイプはただ１つであってもよいし、いくつかあってもよい。

セキュリティ水準情報が「安全」である場合、ユーザ端末からの要求パケットはインターネットサーバへ送信される。そして、ユーザ端末はインターネットサーバからの応答パケットを受信する。

セキュリティ水準情報が「危険」である場合には、要求パケットは破棄され、アラーム情報を含むパケットがユーザ端末へ返されて、ユーザ端末が要求パケットを送信することを禁止する。例えば、「危険」であれば、ＵＲＬによりアドレス指定されたウェブページはマルウェアまたはウィルスを含む可能性があり、要求パケットは直ちに破棄されて、“そのウェブページはウィルスなどの悪意のあるコードを含んでいます。アクセスを禁止します”というページまたは情報をユーザ端末にフィードバックし、ユーザ端末がプロンプトに従って要求を断念するようにさせる。

セキュリティ水準が「疑わしい」である場合、要求された情報は疑わしいので、ユーザ端末はそのページを訪問すべきではないことを促すプロンプトメッセージがユーザ端末に返される。そのプロンプトメッセージにも拘らずユーザ端末が訪問しようとすると、ルータはインターネットへの要求パケットの転送を続ける。しかし、この場合にはある程度の潜在的なリスクが存在する。プロンプトメッセージに従って、ユーザ端末が訪問を継続しないと確定した場合には、ルータがこの要求パケットを直ちに破棄するか、または、ユーザの環境設定に従って要求パケットが直接破棄されてもよい。

セキュリティ水準情報が「不明」である場合には、ユーザ端末に対して２つのモードが利用可能である。第１は、ＵＲＬ情報をクラウドセキュリティサーバクラスタに送信して、クラウドセキュリティサーバクラスタがセキュリティ水準を判定するのを待ち、返されたセキュリティ水準に従って処理を実行するものであり、第２は、ユーザ端末の要求パケットをインターネットへ送信し、検出と処理を実行するものである。

ネットワーク側のルータ等のゲートウェイ機器は、仮想的サービスを提供することができる。すなわち、異なるユーザ端末はそれぞれのフィルタリング戦略を画定することができる、または、ルータは定期的にフィルタリング報告情報を参考としてユーザに提供することが可能である。そうすることによりルータは、ユーザが画定した戦略に従ってフィルタリングを実行し、かつユーザの多様な要求を満足させる。

本発明の実施形態により提供される上記の詳細な実装から、ルータ等のゲートウェイ機器は、クラウドセキュリティサーバクラスタとＵＲＬ情報をインタラクティブに送信するために利用することが可能であり、また、ローカルサービス機能エンティティ上のローカルキャッシュまたはインタラクティブ送信を利用してユーザエクスペリエンスを向上させ、リソースの利用効率を上げることが可能であるということがわかる。様々な実装モードを通して、ウィルスなどのマルウェアの蔓延または攻撃は効果的に防止され、フィルタリングに要する時間は大幅に短縮される。これは、ユーザエクスペリエンスを向上させ、クラウドエンドとのインタラクションを低減し、同時にネットワークとインターフェースのリソースを節約する。

図３は本発明の一実施形態による、フィルタリングシステムの概略構成図である。

フィルタリングシステムがネットワーク側機器に適用される。このシステムは、インタセプティングユニット３００、抽出ユニット３０１、判定ユニット３０２、処理ユニット３０４、送信ユニット３０６、ローカルサービス機能エンティティ３０８、およびクラウドセキュリティサーバ３１０を備えている。

インターセプトユニット３００は、ユーザ端末からインターネットサーバへ送信された要求パケットをインターセプトし、そのパケットを抽出ユニット３０１へ送信するように構成されている。

抽出ユニット３０１は、要求パケットからＵＲＬ情報を抽出し、ＵＲＬ情報を判定ユニットへ送信するように構成されている。

判定ユニット３０２は、抽出ユニット３０１から送信されたＵＲＬ情報に従ってＵＲＬ情報に対応するセキュリティ水準を判定し、そのセキュリティ水準を処理ユニット３０４へ送信するように構成されている。

処理ユニット３０４は、判定ユニット３０２で判定されたセキュリティ水準に従って要求パケットを処理するように構成されている。

セキュリティ水準情報には、「安全」、「危険」、「疑わしい」、「不明」の内の１つまたは任意の組み合わせが含まれる。

要求パケットをセキュリティ水準の異なる組合せまたは構成に従って処理ユニット３０４で処理することは、以下の１つまたは任意の組み合わせを含んでいる。

（１）セキュリティ水準情報が「安全」である場合、ユーザ端末からの要求パケットはインターネットサーバへ送信される。そしてユーザ端末はインターネットサーバからの応答パケットを受信する。

（２）セキュリティ水準情報が「危険」である場合には、要求パケットは破棄され、アラーム情報を含むパケットがユーザ端末へ返されて、ユーザ端末が要求パケットを送信することを禁止する。例えば、「危険」であれば、ＵＲＬによりアドレス指定されたウェブページは悪意のあるトロイの木馬ソフトウェアおよび／またはウィルスを含む可能性があり、要求パケットは直ちに破棄されて、“そのウェブページはウィルスなどの悪意のあるコードを含んでいます。アクセスを禁止します。”というページまたは情報をユーザ端末にフィードバックし、ユーザ端末がプロンプトに従ってその要求を断念するようにさせる。

（３）セキュリティ水準が「疑わしい」である場合、要求された情報は疑わしいので、ユーザ端末はそのページを訪問すべきではないことを促すプロンプトメッセージがユーザ端末に返される。そのプロンプトメッセージにも拘らずユーザ端末が訪問しようとすると、ルータが引き続き要求パケットをインターネットへ転送する。しかし、この場合にはある程度の潜在的なリスクが存在する。プロンプトメッセージに従って、ユーザ端末が訪問をやめることにした場合には、ルータがこの要求パケットを直ちに破棄するか、または、ユーザ設定に従って要求パケットが直接破棄される。

（４）セキュリティ水準情報が「不明」である場合には、ユーザ端末に対して２つのモードがある。第１は、ＵＲＬ情報を他のネットワーク機器に送信して、セキュリティ水準を判定し、返されたセキュリティ水準に従って処理を実行する。第２は、ユーザ端末の要求パケットをインターネットへ送信し、その後で検出と処理を実行する。

判定ユニット３０２が、ローカルキャッシュされたＵＲＬデータベース中にＵＲＬ情報に対応するセキュリティ水準を見つけられない場合、またはローカルサービス機能エンティティからセキュリティ水準を取得することが必要な場合には、システムにはさらに以下のものが含まれる。
ＵＲＬ情報をローカルサービス機能エンティティまたはクラウドセキュリティサーバへ送信し、ローカルサービス機能エンティティまたはクラウドセキュリティサーバから返されたＵＲＬ情報に対応するセキュリティ水準を判定ユニット３０２へ送信するように構成された送信ユニット３０６、および
送信ユニット３０６に接続され、ローカルキャッシュされたＵＲＬデータベースを検索し、ＵＲＬ情報に従ってＵＲＬ情報のセキュリティ水準を判定し、そのＵＲＬ情報を判定ユニット３０２に返すように構成されたローカルサービス機能エンティティ３０８。

ローカルサービス機能エンティティ３０８はＵＲＬデータベースを格納し、ＵＲＬデータベース中のそれぞれのＵＲＬ情報は、ＵＲＬ情報に応じたセキュリティ水準の指標を有している。

ローカルサービス機能エンティティ３０８が、ローカルキャッシュされたＵＲＬデータベース中にＵＲＬ情報に対応するセキュリティ水準を見つけられない場合、すなわち、ＵＲＬ情報に対応するセキュリティ水準が判定できない場合、またはクラウドセキュリティサーバからセキュリティ水準を直接取得することが必要な場合には、システムにはさらに、クラウドセキュリティサーバに送信されたＵＲＬ情報を受信するように構成されたクラウドセキュリティサーバ３１０が含まれる。クラウドセキュリティサーバ３１０は、ローカルキャッシュされたＵＲＬデータベース内のＵＲＬリストを検索し、ＵＲＬ情報に対応するセキュリティ水準を判定し、セキュリティ水準を処理ユニット３０４へ送信する。

ＵＲＬデータベースは、クラウドセキュリティサーバ３１０を介して定期的に更新される。ＵＲＬデータベースにはＵＲＬ情報とＵＲＬ情報に対応するセキュリティ水準とが格納される。この対応する関係はＵＲＬリストとも呼ばれる。すなわち、ＵＲＬデータベースにはＵＲＬリストが格納され、対応するセキュリティ水準はＵＲＬリスト中のＵＲＬ情報を介して見つけ出される。そしてＵＲＬリストはエージング機構を通して更新される。

本発明の実施形態により提供される上記の詳細な解決策から、ユーザ端末からインターネットサーバへ送信された要求パケットはインターセプトユニット３００でインターセプトされ、抽出ユニット３０１によってＵＲＬ情報が要求パケットから抽出され、判定ユニット３０２がＵＲＬ情報に従ってＵＲＬ情報に対応するセキュリティ水準を判定し、そのセキュリティ水準に従って要求パケットが処理ユニット３０４により処理されるということがわかる。従って、アンチウィルスソフトウェアをユーザ端末にインストールすることによってメモリ空間とＣＰＵリソースが占有されるという問題、およびマルウェアによりバイパスされる危険性があるという問題が解決される。このことは、ウィルスなどのマルウェアが蔓延、攻撃することを効果的に防止し、ユーザ端末へのウィルスの脅威を低減し、ネットワークの安全性とユーザエクスペリエンスを向上させる。

図４は本発明の実施形態による、フィルタリングシステムの詳細な実装の概略構成図である。

図４は、図３で説明したシステムの詳細な実装を示し、フィルタリングシステムがネットワーク側の機器に適用されている。ここでは、ゲートウェイ機器のルーティング機器を例に取っている。ただし、本発明はルーティング機器に限定されるものではない。

ルーティング機器４０は、ラインプロセッシングユニット（ＬＰＵ）４０２とマルチサービスユニット（ＭＳＵ）４０４とを含む。ＬＰＵ４０２とＭＳＵ４０４とは１つのデバイスとして統合されていてもよい。そして１つまたは複数のＬＰＵ４０２と１つまたは複数のＭＳＵ４０４があってもよい。

ルーティング機器は、ＳＲ、ＢＲＡＳおよびＧＧＳＮなどのようなネットワーク機器の１つであってもよいし、その任意の組み合わせであってもよい。

ＬＰＵ４０２は、ユーザ端末からインターネットサーバへ送信された要求パケットをインターセプトし、ＵＲＬ情報をＭＳＵ４０４へ送信するように構成されている。

ＭＳＵ４０４は、要求パケットからＵＲＬ情報を抽出し、ＵＲＬ情報に従ってＵＲＬ情報に対応するセキュリティ水準を判定し、返されたセキュリティ水準に従って要求パケットを処理する。

ルーティング機器４０は、ローカルサービス機能エンティティ４０６、および／またはクラウドセキュリティサーバ４０８に接続されている。

異なるエンティティ間の詳細なインタラクションプロセスは以下のとおりである。

ＬＰＵ４０２はユーザ端末からインターネットへ送信された要求パケット（例えば、”ｈｔｔｐ ｇｅｔ ｐａｃｋｅｔ ｗｉｔｈ ａ ｔａｒｇｅｔ ｐｏｒｔ ８０”）をインターセプトし、アクセス制御リスト（ＡＣＬ）を利用して要求パケットをＭＳＵ４０４へリダイレクトする。ＭＳＵ４０４は、ｄｅｅｐ ｐａｃｋｅｔ ｉｎｓｐｅｃｔｉｏｎ（ＤＰＩ）またはその他の手段によって要求パケットからＵＲＬ情報を抽出する。

ＭＳＵ４０４はローカルキャッシュされたＵＲＬデータベース中のＵＲＬリストを検索し、ＵＲＬ情報に対応するセキュリティ水準があるかどうかを判断してもよいし、または、ローカルサービス機能エンティティ４０６またはクラウドセキュリティサーバ４０８からＵＲＬ情報に対応するセキュリティ水準を直接取得してもよい。

ＭＳＵ４０４が、ＭＳＵ４０４のローカルキャッシュされたＵＲＬデータベース中を検索してＵＲＬ情報に対応するセキュリティ水準を見つけられない場合には、ＭＳＵ４０４はＵＲＬ情報をローカルサービス機能エンティティ４０６に送信する。ローカルサービス機能エンティティ４０６は、ローカルサービス機能エンティティ４０６自身のローカルキャッシュされたＵＲＬデータベース中を検索する。ＵＲＬ情報に対応するセキュリティ水準が見つかった場合には、セキュリティ水準がＭＳＵ４０４に送信される。そうでない場合には、ＵＲＬ情報が専用インターフェースを介してクラウドセキュリティサーバ４０８に送られる。クラウドセキュリティサーバ４０８はローカルキャッシュされたＵＲＬデータベースを検索し、ＵＲＬ情報に対応するセキュリティ水準を判定し、ＭＳＵ４０４に返す。

ルーティング機器４０とクラウドセキュリティサーバ４０８は、伝送の最適化のための高帯域幅と低遅延リンクを使用して接続されてもよい。

セキュリティ水準情報には、「安全」、「危険」、「疑わしい」、「不明」の内の１つまたは任意の組み合わせが含まれる。セキュリティ水準には、セキュリティ評価水準、および／またはコンテンツ評価水準が含まれる。セキュリティ評価水準は、ユーザの要求に応じて定義されるリスク制御水準に従って分類されてもよい。例えば、ユーザ要求に従って「高」、「中」、「低」のセキュリティ評価水準などが構成されてもよい。その構成に従って後でフィルタリングを実行することができる。コンテンツ評価水準は、ウェブページに含まれているコンテンツに応じて分類することが可能で、例えば、「アダルトコンテンツ」と「子供がアクセスしてよいコンテンツ」等に分類される。セキュリティ評価水準は、コンテンツ評価水準の１つの分類またはその任意の組み合わせと結合させてまとめて、４つのセキュリティ水準情報、具体的には「安全」、「危険」、「疑わしい」、「不明」というセキュリティ水準情報作成してもよい。

セキュリティ水準の異なる組合せまたは構成に従って、ＭＳＵ４０４による要求パケットの処理は以下の１つまたは任意の組み合わせを含んでいる。

（１）セキュリティ水準情報が「安全」である場合、ユーザ端末からの要求パケットはインターネットサーバへ送信される。そして、ユーザ端末はインターネットサーバからの応答パケットを受信する。

（２）セキュリティ水準情報が「危険」である場合には、要求パケットは破棄され、アラーム情報を含むパケットがユーザ端末へ返されて、ユーザ端末が要求パケットを送信することを禁止する。例えば、「危険」であれば、ＵＲＬによりアドレス指定されたウェブページは悪意のあるトロイの木馬ソフトウェアおよび／またはウィルスを含む可能性があり、要求パケットは直ちに破棄されて、“そのウェブページはウィルスなどの悪意のあるコードを含んでいます。アクセスを禁止します。”というページまたは情報をユーザ端末にフィードバックし、ユーザ端末がプロンプトに従ってその要求を断念するようにさせる。

（３）セキュリティ水準が「疑わしい」である場合、要求された情報は疑わしいので、ユーザ端末はそのページを訪問すべきではないことを促すプロンプトメッセージがユーザ端末に返される。そのプロンプトメッセージにも拘らずユーザ端末が訪問しようとすると、ルータが引き続き要求パケットをインターネットへ転送する。しかし、この場合にはある程度の潜在的なリスクが存在する。プロンプトメッセージに従って、ユーザ端末が訪問をやめることにした場合には、ルータがこの要求パケットを直ちに破棄するか、または、ユーザの環境設定に従って要求パケットが直接破棄されてもよい。

（４）セキュリティ水準情報が「不明」である場合には、ユーザ端末に対して２つのモードがある。第１は、ＵＲＬ情報を他のネットワーク機器に送信して、セキュリティ水準を判定し、返されたセキュリティ水準に従って処理を実行する。第２は、ユーザ端末の要求パケットをインターネットサーバへ送信し、そして検出と処理を実行する。

ルーティング機器のローカルキャッシュ内のＵＲＬデータベース、およびローカルサービス機能エンティティのローカルキャッシュ内のＵＲＬデータベースは、他のネットワーク機器を介して定期的に更新される。ルーティング機器のローカルキャッシュ内のＵＲＬデータベースとローカルサービス機能エンティティのローカルキャッシュ内のＵＲＬデータベースとにおけるセキュリティ水準情報は常に変化しているので、更新機構が必要である。ルーティング機器のローカルキャッシュ内のＵＲＬデータベース、およびローカルサービス機能エンティティのローカルキャッシュ内のＵＲＬデータベースは、定期的に更新される。時間間隔は３０秒であってもよい。また実際の状況に応じて調節されてもよい。上記の他の機器は、クラウドセキュリティ機器またはローカルサービス機能エンティティであってよい。

ＵＲＬデータベースはＵＲＬリストを格納し、ＵＲＬリストはＵＲＬ情報とセキュリティ水準との間の対応関係である。すなわち、ＵＲＬ情報に対応するセキュリティ水準はＵＲＬリストにより判定される。ＵＲＬリストはエージング機構を通して更新される。ＵＲＬデータベースはＵＲＬリスト内の情報を蓄積し続ける。その結果、ローカルキャッシュのＵＲＬリスト内にはどんどん情報が増えて行く。しかし、情報のあるものは殆ど利用されることがない。従って、エージング機構が必要となり、ある期間（エージング時間は３０分であったり、実条件に合わせて調節されたりする）内に照合が行なわれないＵＲＬリスト中の情報は消去する必要がある。こうすることにより、ルータのリソースが節約され、照合の効率が向上する。

本発明の実施形態により提供される詳細な解決策から、ルーティング機器とクラウドセキュリティサーバクラスタとの間にＵＲＬ情報のインタラクティブ送信が採用されれば、時間は短くて済み、ユーザのブラウジングエクスペリエンスは影響を受けないということがわかる。また、ローカルサービス機能エンティティ上のローカルキャッシュまたはインタラクティブ送信を用いて、ユーザエクスペリエンスが高められ、リソースの利用効率を向上させることができる。前述の様々な実装モードを通して、ウィルスの蔓延または攻撃は効果的に防止され、フィルタリングに要する時間は大幅に短縮される。そうして、ユーザエクスペリエンスは高められ、クラウドエンドとのインタラクションが低減されて、ネットワークとインターフェースのリソースが節約される。

図５は本発明の一実施形態によるネットワーク機器の概略構成図である。

ネットワーク機器が、
ＵＲＬ情報を含む要求パケットを受信するように構成された受信ユニット５０２と、
要求パケットからＵＲＬ情報を抽出するように構成された抽出ユニット５０４と、
ＵＲＬ情報に従ってそのＵＲＬ情報に対応するセキュリティ水準を判定する判定ユニット５０６と、
セキュリティ水準に従って要求パケットを処理する処理ユニット５０８と、を備える。

ネットワーク機器は更に、
ＵＲＬ情報とＵＲＬ情報に対応するセキュリティ水準とを格納するように構成された格納ユニット５１２と、
ＵＲＬ情報に従ってＵＲＬ情報に対応するセキュリティ水準を格納ユニット５１２の中に格納されたＵＲＬデータベースで検索し、セキュリティ水準を判定ユニット５０６へ送信するように構成された検索ユニット５１４と、を備える。

ネットワーク機器はマルチサービスユニット（ＭＳＵ）であってもよい。ＵＲＬ情報に対応するセキュリティ水準が判定されない場合に、処理のためにＵＲＬ情報をローカルサービス機能エンティティまたはクラウドセキュリティサーバに送信し、ローカルサービス機能エンティティまたはクラウドセキュリティサーバから返されたＵＲＬ情報に対応するセキュリティ水準を処理のために判定ユニット５０６に送信するように構成された送信ユニット５１０を、ネットワーク機器はさらに備える。

ネットワーク機器がＭＳＵである場合、それはラインプロセッシングユニット（ＬＰＵ）に統合されてもよい。

本発明の上記の実施形態で提供されるネットワーク機器は、アンチウィルスソフトウェアをユーザ端末にインストールすることによってメモリ空間とＣＰＵリソースが占有されるという問題と、マルウェアによりバイパスされる危険性があるという問題を解決する。このことは、ウィルスが蔓延、攻撃することを効果的に防止し、ユーザ端末へのウィルスの脅威を低減し、ネットワークのセキュリティとユーザエクスペリエンスを向上させる。

上記の説明は、単に本発明の例示的実施形態に過ぎず、本発明の保護範囲を制限するものではない。当業者が容易になしうる修正、変更、置き換えは、本発明の範囲内である。従って、本発明の保護範囲は添付の特許請求の範囲に従う。

Claims (13)

1. ネットワーク側機器に適用されるフィルタリング方法であって、
   ユーザ端末からインターネットサーバへ送信された要求パケットをインターセプトし、
   前記要求パケットからＵｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）情報を抽出し、
   前記ＵＲＬ情報に従って該ＵＲＬ情報に対応するセキュリティ水準を判定し、
   前記セキュリティ水準に従って前記要求パケットを処理すること
   を含み、
   前記セキュリティ水準は、「安全」、「危険」、「疑わしい」、「不明」を含み、
   前記ＵＲＬ情報に対応するセキュリティ水準を判定することは、
   クラウドセキュリティサーバにより判定されて返された前記ＵＲＬ情報のセキュリティ水準を受信することを含み、前記ＵＲＬ情報のセキュリティ水準は、前記クラウドセキュリティサーバがクラウド端末のＵＲＬデータベースを検索して前記ＵＲＬ情報のセキュリティ水準を判定した後に返したセキュリティ水準である、
   方法。
2. 前記クラウドセキュリティサーバにより判定されて返された前記ＵＲＬ情報のセキュリティ水準を受信する前に、更に、
   前記ネットワーク側機器又はローカルサービス機能エンティティにローカルキャッシュされたＵＲＬデータベースを検索することを含み、前記ネットワーク側機器にローカルキャッシュされたＵＲＬデータベースを検索して前記ＵＲＬ情報に対応するセキュリティ水準を判定することに失敗したとき、又は、ローカルキャッシュされたＵＲＬデータベースを前記ローカルサービス機能エンティティにより検索して前記ＵＲＬ情報に対応するセキュリティ水準を判定することに失敗したとき、前記クラウドセキュリティサーバのＵＲＬデータベースを検索するために前記ＵＲＬ情報が前記クラウドセキュリティサーバに送信されることを含む、
   請求項１に記載の方法。
3. 前記セキュリティ水準に従って前記要求パケットを処理することが、
   前記セキュリティ水準が「安全」である場合、前記ユーザ端末からの要求パケットを前記インターネットサーバへ送信することと、
   前記セキュリティ水準が危険である場合、前記要求パケットを破棄して前記ユーザ端末による前記ＵＲＬへの要求を終息させることと、
   前記セキュリティ水準が「疑わしい」場合、プロンプトメッセージを前記ユーザ端末に戻して、前記要求は疑わしいことを前記ユーザ端末に想起させることと、
   前記セキュリティ水準が「不明」の場合、セキュリティ水準を判定するために前記ＵＲＬ情報を別のネットワーク機器に送信して、返されたセキュリティ水準に従って処理することと
   のうちの１つまたは任意の組み合わせを更に含む
   請求項１又は２に記載の方法。
4. 前記ＵＲＬデータベースは、前記クラウドセキュリティサーバを介して定期的に更新される
   請求項２又は３に記載の方法。
5. ネットワーク側機器に適用されるフィルタリングシステムであって、
   ユーザ端末からインターネットサーバへ送信された要求パケットをインターセプトし、前記パケットを抽出ユニットへ送信するように構成されたインターセプトユニットと、
   前記要求パケットからＵｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）情報を抽出し、前記ＵＲＬ情報を判定ユニットへ送信するように構成された前記抽出ユニットと、
   前記ＵＲＬ情報に従って前記ＵＲＬ情報に対応するセキュリティ水準を判定するように構成された前記判定ユニットと、
   前記判定ユニットで判定された前記セキュリティ水準に従って前記要求パケットを処理するように構成された処理ユニットと、
   を備え、
   前記セキュリティ水準は、「安全」、「危険」、「疑わしい」、「不明」を含み、
   前記ＵＲＬ情報に対応するセキュリティ水準を判定することは、
   クラウドセキュリティサーバにより判定されて返された前記ＵＲＬ情報のセキュリティ水準を受信することを含み、前記ＵＲＬ情報のセキュリティ水準は、前記クラウドセキュリティサーバがクラウド端末のＵＲＬデータベースを検索して前記ＵＲＬ情報のセキュリティ水準を判定した後に返したセキュリティ水準である、
   フィルタリングシステム。
6. 前記ＵＲＬ情報をローカルサービス機能エンティティまたはクラウドセキュリティサーバへ送信するように構成された送信ユニットを更に備える
   請求項５に記載のシステム。
7. 前記送信ユニットにより送信された前記ＵＲＬ情報に従ってローカルキャッシュされたＵＲＬデータベースを検索し、前記ＵＲＬ情報のセキュリティ水準を判定し、前記セキュリティ水準を前記判定ユニットに戻すように構成されたローカルサービス機能エンティティを更に備える
   請求項６に記載のシステム。
8. 前記送信ユニットにより送信された前記ＵＲＬ情報に従ってローカルキャッシュされたＵＲＬデータベースを検索し、前記ＵＲＬ情報に対するセキュリティ水準を判定し、前記セキュリティ水準を前記判定ユニットに送信するように構成された前記クラウドセキュリティサーバを更に備える
   請求項５又は６に記載のシステム。
9. 前記ＵＲＬデータベースは、前記クラウドセキュリティサーバを介して定期的に更新される
   請求項５〜８のいずれか１項に記載のシステム。
10. Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）情報を含む要求パケットを受信するように構成された受信ユニットと、
    前記要求パケットから前記ＵＲＬ情報を抽出するように構成された抽出ユニットと、
    前記ＵＲＬ情報に従って前記ＵＲＬ情報に対応するセキュリティ水準を判定するように構成された判定ユニットと、
    前記セキュリティ水準に従って前記要求パケットを処理するように構成された処理ユニットと、
    を備え、
    前記セキュリティ水準は、「安全」、「危険」、「疑わしい」、「不明」を含み、
    前記ＵＲＬ情報をクラウドセキュリティサーバに送信し、前記クラウドセキュリティサーバにより判定されて返された前記ＵＲＬ情報のセキュリティ水準を受信することを含み、前記ＵＲＬ情報のセキュリティ水準は、前記クラウドセキュリティサーバがクラウド端末のＵＲＬデータベースを検索して前記ＵＲＬ情報のセキュリティ水準を判定した後に返したセキュリティ水準である、
    ネットワーク機器。
11. 前記ＵＲＬ情報と前記ＵＲＬ情報に対応するセキュリティ水準とを格納するように構成された格納ユニットと、
    前記ＵＲＬ情報に従って前記ＵＲＬ情報に対応するセキュリティ水準を前記格納ユニットに格納されたＵＲＬデータベースで検索し、前記セキュリティ水準を前記判定ユニットへ送信するように構成された検索ユニットと、
    を更に備える請求項１０に記載のネットワーク機器。
12. 前記ＵＲＬ情報をローカルサービス機能エンティティまたは前記クラウドセキュリティサーバへ送信し、前記ローカルサービス機能エンティティまたは前記クラウドセキュリティサーバから返された前記ＵＲＬ情報に対応するセキュリティ水準を処理するために前記判定ユニットへ送信するように構成された送信ユニットを更に備える
    請求項１０又は１１に記載のネットワーク機器。
13. 前記ＵＲＬデータベースは、前記クラウドセキュリティサーバを介して定期的に更新される
    請求項１０〜１２のいずれか１項に記載のネットワーク機器。

Images