JP6053421B2 - スパムメール検知装置、方法及びプログラム - Google Patents

Description

本発明は、スパムメールを検知する装置、方法及びプログラムに関する。

従来、迷惑メール（スパムメール）への対策として、メール本文の特徴から迷惑メールを判定する方式（例えば、非特許文献１又は２参照）と、ホスト若しくはメールアドレスの情報から迷惑メールを判定する方式（例えば、非特許文献３、４又は５参照）とが知られている。

ＳｐａｍＡｓｓａｓｓｉｎ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｓｐａｍａｓｓａｓｓｉｎ．ａｐａｃｈｅ．ｏｒｇ／ｉｎｄｅｘ．ｈｔｍｌ＞ ＴｒａｎｓＷＡＲＥ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｔｒａｎｓｗａｒｅ．ｃｏ．ｊｐ／ｐｒｏｄｕｃｔ／ａｈ／ｓｖｍ．ｈｔｍｌ＞ Ｓｐａｍｈａｕｓ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｓｐａｍｈａｕｓ．ｏｒｇ／＞ ＳＰＦ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ４４０８．ｔｘｔ＞ Ｓ２５Ｒ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｈｔｔｐ：／／ｗｗｗ．ｇａｂａｃｈｏ−ｎｅｔ．ｊｐ／ａｎｔｉ−ｓｐａｍ／ａｎｔｉ−ｓｐａｍ−ｓｙｓｔｅｍ．ｈｔｍｌ＞

非特許文献４の技術は、あるドメインのメールを送信できる正規のサーバのＩＰアドレスを管理し、このドメインと無関係なメールサーバを利用して送信元を偽ったメールが送信されると、受信側でＩＰアドレスが異なることを検出して受け取りを拒否できる。

しかしながら、スパムメール送信者がＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）にＳＰＦ（Ｓｅｎｄｅｒ Ｐｏｌｉｃｙ Ｆｒａｍｅｗｏｒｋ）レコードを登録している場合もある。この場合、スパムメールがＳＰＦ又はＳｅｎｄｅｒ−ＩＤ等による認証を通過してしまい、検知されなかった。

本発明は、スパムメールを精度良く検知できるスパムメール検知装置、方法及びプログラムを提供することを目的とする。

本発明では、以下のような解決手段を提供する。

（１）メールの送信ドメインに対応するＳＰＦ（Ｓｅｎｄｅｒ Ｐｏｌｉｃｙ Ｆｒａｍｅｗｏｒｋ）レコードを取得する取得部と、受信したメールに関して前記取得部により取得されたＳＰＦレコードに含まれる文字列の特徴に基づいて、前記メールの送信ドメインがスパムメール送信ドメインであるか否かを判定する判定部と、を備えるスパムメール検知装置。

このような構成によれば、スパムメール検知装置は、受信したメールに関するＳＰＦレコードを取得し、このＳＰＦレコードに含まれる文字列の特徴に基づいて、スパムメールであることを検知できる。
したがって、スパムメール検知装置は、ＳＰＦレコードを登録することにより送信元メールアドレスを偽装せずに送信されたスパムメールを精度良く検知できる。

（２）既知のスパムメールの送信ドメインに対応するＳＰＦレコードの情報を記憶する記憶部を備え、前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれる所定の文字列が前記記憶部に記憶されているＳＰＦレコードの情報と一致する場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する（１）に記載のスパムメール検知装置。

このような構成によれば、スパムメール検知装置は、既知のスパムメールに関するＳＰＦレコードの情報を記憶しておき、新たに受信したメールのＳＰＦレコードに含まれる所定の文字列を、記憶されている情報と照合することにより、スパムメールを検知できる。
したがって、スパムメール検知装置は、スパムメールに特有のＳＰＦレコードの情報を蓄積して精度良くスパムメールを検知できる。

（３）前記記憶部は、前記既知のスパムメールが前記ＳＰＦレコードに基づいて認証された場合に、当該ＳＰＦレコードの情報を記憶する（２）に記載のスパムメール検知装置。

このような構成によれば、スパムメール検知装置は、ＳＰＦレコードに基づいて認証されてしまうスパムメールに関して、このＳＰＦレコードの情報を記憶する。
したがって、スパムメール検知装置は、ＳＰＦ又はＳｅｎｄｅｒ−ＩＤ等により正常なメールと判定されてしまうスパムメールの特徴を記憶し、このようなスパムメールを精度良く検知できる。

（４）前記記憶部は、前記ＳＰＦレコードに含まれるホスト名のリストを記憶し、前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれるホスト名の少なくとも一部が前記記憶部に記憶されているリストに含まれている場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する（２）又は（３）に記載のスパムメール検知装置。

このような構成によれば、スパムメール検知装置は、既知のスパムメールに関するＳＰＦレコードに含まれるホスト名を記憶し、同一のホスト名がＳＰＦレコードに現れるメールをスパムメールと判定する。
したがって、スパムメール検知装置は、過去のスパムメールの送信元と同一のホストから送信されたスパムメールを精度良く検知できる。

（５）前記記憶部は、前記ＳＰＦレコードに含まれるホスト名の出現頻度が所定以上の場合に、当該ホスト名を記憶する（４）に記載のスパムメール検知装置。

このような構成によれば、スパムメール検知装置は、所定以上の頻度で出現するホスト名を記憶するので、より確実な情報を記憶し、スパムメールの検知精度を向上できる。スパムメール検知装置は、例えば、事前に収集したスパムメールの情報に正常なメールの情報が混在していた場合に、誤検知を引き起こすのを抑制できる。

（６）前記記憶部は、前記ＳＰＦレコードに含まれるホスト名が所定のホワイトリストに含まれている場合に、当該ホスト名を記憶しない（４）又は（５）に記載のスパムメール検知装置。

このような構成によれば、スパムメール検知装置は、既にホワイトリストに登録されており正常なメールを送信しているホスト名を記憶しないので、正常なメールをスパムメールと判定する誤検知を抑制できる。

（７）前記記憶部は、前記ＳＰＦレコードに含まれるＩＰアドレスの組み合わせのリストを記憶し、前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれるＩＰアドレスの組み合わせが前記記憶部に記憶されているリストに含まれている場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する（２）又は（３）に記載のスパムメール検知装置。

このような構成によれば、スパムメール検知装置は、既知のスパムメールに関するＳＰＦレコードに含まれるＩＰアドレスの組み合わせを記憶し、同一の組み合わせがＳＰＦレコードに現れるメールをスパムメールと判定する。
したがって、スパムメール検知装置は、スパムメール送信者がＳＰＦレコードの登録に利用するＩＰアドレスの組み合わせのパターンを記憶し、このパターンが一致することを検知することにより、単一のＩＰアドレス又はＩＰアドレスレンジを照合することに比べて、スパムメールの誤検知を低減して検知精度を向上できる。

（８）前記記憶部は、前記ＳＰＦレコードに含まれるＩＰアドレスの少なくとも一部が所定のブラックリストに含まれている場合に、当該ＩＰアドレスの組み合わせを記憶する（７）に記載のスパムメール検知装置。

このような構成によれば、スパムメール検知装置は、既に公開されている所定のブラックリストに含まれるＩＰアドレスがＳＰＦレコードに登録されている場合に、このＳＰＦレコードに含まれているＩＰアドレスの組み合わせを記憶する。
既知のブラックリストに登録済みのホストからは、スパムメールが送信される可能性が高い。したがって、スパムメール検知装置は、このような既知のブラックリストに登録済みのＩＰアドレスを含む組み合わせを記憶することにより、スパムメールの誤検知を低減して検知精度を向上できる。

（９）前記記憶部は、前記ＳＰＦレコードに含まれるホスト名、及び当該ホスト名に対応するＳＰＦレコードの情報を再帰的にリストとして記憶し、前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれるホスト名、又はＩＰアドレスの組み合わせが前記記憶部に記憶されているリストに含まれている場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する（２）又は（３）に記載のスパムメール検知装置。

このような構成によれば、スパムメール検知装置は、既知のスパムメールについてのＳＰＦレコードを再帰的に取得することにより、既知のスパムメールに関連して、ホスト名又はＩＰアドレスの組み合わせを、より豊富に蓄積することができる。
したがって、スパムメール検知装置は、ＳＰＦレコードを登録することにより送信元メールアドレスを偽装せずに送信されたスパムメールを精度良く検知できる。

（１０）メールの送信ドメインに対応するＳＰＦ（Ｓｅｎｄｅｒ Ｐｏｌｉｃｙ Ｆｒａｍｅｗｏｒｋ）レコードを取得する取得ステップと、受信したメールに関して前記取得ステップにおいて取得されたＳＰＦレコードに含まれる文字列の特徴に基づいて、前記メールの送信ドメインがスパムメール送信ドメインであるか否かを判定する判定ステップと、をコンピュータが実行するスパムメール検知方法。

このような構成によれば、スパムメール検知方法をコンピュータが実行することにより、（１）と同様の効果が期待できる。

（１１）メールの送信ドメインに対応するＳＰＦ（Ｓｅｎｄｅｒ Ｐｏｌｉｃｙ Ｆｒａｍｅｗｏｒｋ）レコードを取得する取得ステップと、受信したメールに関して前記取得ステップにおいて取得されたＳＰＦレコードに含まれる文字列の特徴に基づいて、前記メールの送信ドメインがスパムメール送信ドメインであるか否かを判定する判定ステップと、をコンピュータに実行させるためのスパムメール検知プログラム。

このような構成によれば、スパムメール検知プログラムをコンピュータに実行させることにより、（１）と同様の効果が期待できる。

本発明によれば、スパムメールを精度良く検知できる。

実施形態に係るスパムメール検知装置の機能構成を示す図である。 実施形態に係るＳＰＦレコードの例を示す図である。 実施形態に係るブラックリストの生成処理を示すフローチャートである。 実施形態に係るスパムメールの検知処理を示すフローチャートである。

＜第１実施形態＞
以下、本発明の第１実施形態について説明する。
本実施形態に係るスパムメール検知装置１は、ＳＰＦレコードに含まれる文字列の特徴に基づいて、スパムメールを検知するサーバ装置である。

図１は、本実施形態に係るスパムメール検知装置１の機能構成を示す図である。
スパムメール検知装置１は、制御部１０と、記憶部２０と、通信部３０と、入力部４０と、表示部５０とを備える。

制御部１０は、スパムメール検知装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、前述のハードウェアと協働し、本実施形態における各種機能を実現している。制御部１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であってよい。なお、制御部１０が備える各部の機能は後述する。

記憶部２０は、ハードウェア群をスパムメール検知装置１として機能させるための各種プログラム、本実施形態の各種機能を制御部１０に実行させるためのプログラム、及び各種データ等を記憶する。なお、記憶部２０が記憶する各種データは後述する。

通信部３０は、スパムメール検知装置１が他の装置と情報を送受信する場合のネットワーク・アダプタである。

入力部４０は、スパムメール検知装置１に対するユーザからの指示入力を受け付けるインタフェース装置である。入力部４０は、例えばキー操作部又はタッチパネル等により構成される。

表示部５０は、ユーザにデータの入力を受け付ける画面を表示したり、スパムメール検知装置１による処理結果の画面を表示したりするものである。表示部５０は、液晶ディスプレイや有機ＥＬディスプレイであってよい。

前述の制御部１０は、取得部１１と、生成部１２と、判定部１３とを備える。また、記憶部２０は、ブラックリスト２１を記憶する。

取得部１１は、既知のスパムメール又は新たに受信したメールに関して、メールの送信ドメインに対応するＳＰＦレコードを取得する。具体的には、取得部１１は、メールのヘッダ情報又はＳＭＴＰサーバログを取得し、ヘッダ情報からは「Ｆｒｏｍ」、「Ｒｅｃｅｎｔ−Ｆｒｏｍ」等から、ＳＭＴＰサーバログからは「ｅｎｖｅｌｏｐｅ−ｆｒｏｍ」内のメールアドレスを抽出する。そして、取得部１１は、抽出したメールアドレスについて、ＤＮＳに対してＳＰＦレコード（ＤＮＳのＴＸＴレコード）を問い合わせる。

生成部１２は、既知のスパムメールの送信ドメインに対応するＳＰＦレコードからホスト名を抽出し、ブラックリスト２１を生成して記憶部２０に記憶する。
このとき、生成部１２は、既知のスパムメールがＳＰＦレコードに基づいて、ＳＰＦ又はＳｅｎｄｅｒ−ＩＤ等により認証された場合に、このＳＰＦレコードに含まれているホスト名のリストを記憶する。つまり、ＳＰＦレコードに基づく認証では検出できないスパムメールを検出するためのブラックリスト２１が生成される。

また、生成部１２は、ＳＰＦレコードに含まれるホスト名の出現頻度が所定以上の場合に、このホスト名を記憶することとしてもよい。具体的には、例えば、出現頻度が高い順に所定数のホスト名が登録されてもよいし、２回以上出現したホスト名が登録されてもよい。

また、生成部１２は、ＳＰＦレコードに含まれるホスト名が所定のホワイトリストに含まれている場合に、このホスト名を記憶しないこととしてよい。これにより、正常なメールが含まれ得るホスト名が除外されるので、正常なメールが誤ってスパムメールと判定される場合が抑制される。

図２は、本実施形態に係るＳＰＦレコードの例を示す図である。
この例では、「ｘｘｘｘｘｘｘｘ．ｊｐ」に対応するＳＰＦレコードは、「ｖ＝ｓｐｆ１ ｉｎｃｌｕｄｅ：ｙｙｙｙｙｙｙｙ．ｎｅｔ ｉｎｃｌｕｄｅ：ｙｙｙｙｙｙｙｙ．ｊｐ 〜ａｌｌ」である。

生成部１２は、ＳＰＦレコードの中から、例えば、機構が「ｉｎｃｌｕｄｅ」、かつ、クオリファイアが「＋」又は省略されているものを抽出し、ブラックリスト２１として登録する。つまり、生成部１２は、「ｉｎｃｌｕｄｅ：ｙｙｙｙｙｙｙｙ．ｎｅｔ」及び「ｉｎｃｌｕｄｅ：ｙｙｙｙｙｙｙｙ．ｊｐ」をブラックリスト２１に追加する。

なお、機構は「ｉｎｃｌｕｄｅ」に限らず、ドメイン形式で記述可能な機構「ａ」等、ホスト名が出現するものであればよい。

判定部１３は、新たに受信したメールに関して取得部１１により取得されたＳＰＦレコードに含まれる文字列の特徴に基づいて、メールの送信ドメインがスパムメール送信ドメインであるか否かを判定する。
具体的には、判定部１３は、取得部１１により取得されたＳＰＦレコードに含まれる所定の文字列、すなわちホスト名の少なくとも一部がブラックリスト２１の文字列と一致する場合に、メールの送信ドメインがスパムメール送信ドメインであると判定する。

図３は、本実施形態に係るブラックリスト２１の生成処理を示すフローチャートである。
ステップＳ１において、取得部１１は、既知のスパムメールのヘッダ情報、又はＳＭＴＰサーバログを収集する。

ステップＳ２において、取得部１１は、ステップＳ１で収集したヘッダ情報又はＳＭＴＰサーバログから、メールアドレスを抽出する。

ステップＳ３において、取得部１１は、ステップＳ２で抽出したメールアドレスについて、ＤＮＳに対して問い合わせを行い、ＳＰＦレコードを取得する。

ステップＳ４において、生成部１２は、ステップＳ３で取得されたＳＰＦレコードからホスト名を抽出し、ブラックリスト２１として記憶する。

図４は、本実施形態に係るスパムメールの検知処理を示すフローチャートである。
ステップＳ１１において、取得部１１は、新たに受信したメールのヘッダ情報又はＳＭＴＰサーバログを取得する。

ステップＳ１２において、取得部１１は、ステップＳ１１で取得したヘッダ情報又はＳＭＴＰサーバログから、メールアドレスを抽出する。

ステップＳ１３において、取得部１１は、ステップＳ１２で抽出したメールアドレスについて、ＤＮＳに対して問い合わせを行い、ＳＰＦレコードを取得する。

ステップＳ１４において、判定部１３は、ステップＳ１３で取得したＳＰＦレコードに含まれているホスト名を、ブラックリスト２１と照合し、ブラックリスト２１に含まれている場合に、受信したメールをスパムメールと判定する。

以上のように、本実施形態によれば、スパムメール検知装置１は、受信したメールに関するＳＰＦレコードを取得し、このＳＰＦレコードに含まれる文字列の特徴に基づいて、スパムメールであることを検知できる。したがって、スパムメール検知装置１は、ＳＰＦレコードを登録することにより送信元メールアドレスを偽装せずに送信されたスパムメールを精度良く検知できる。
例えば、使い捨て（一時的な）メールアドレスドメインを使っているスパムメール送信者が多いが、これらのメールアドレスは、すぐに使われなくなってしまう。このため、ドメインベースのブラックリストを作ったとしても効果は短期間に限られてしまう。しかし、このような使い捨てのドメインを使っているスパムメール送信者は、逐一ＳＰＦレコードを登録しているため、ドメインが違っていてもＳＰＦレコードが同じである場合が多い。したがって、メールアドレスドメインに基づくブラックリストよりも効果が高い。

また、スパムメール検知装置１は、既知のスパムメールに関するＳＰＦレコードの情報を記憶しておき、新たに受信したメールのＳＰＦレコードに含まれる所定の文字列を、記憶されている情報と照合することにより、スパムメールを検知できる。したがって、スパムメール検知装置１は、スパムメールに特有のＳＰＦレコードの情報を蓄積して精度良くスパムメールを検知できる。

また、スパムメール検知装置１は、ＳＰＦレコードに基づいて認証されてしまうスパムメールに関して、このＳＰＦレコードの情報を記憶する。したがって、スパムメール検知装置１は、ＳＰＦ又はＳｅｎｄｅｒ−ＩＤ等により正常なメールと判定されてしまうスパムメールの特徴を記憶し、このようなスパムメールを精度良く検知できる。

また、スパムメール検知装置１は、既知のスパムメールに関するＳＰＦレコードに含まれるホスト名を記憶し、同一のホスト名がＳＰＦレコードに現れるメールをスパムメールと判定する。したがって、スパムメール検知装置１は、過去のスパムメールの送信元と同一のホストから送信されたスパムメールを精度良く検知できる。

また、スパムメール検知装置１は、所定以上の頻度で出現するホスト名を記憶するので、より確実な情報を記憶し、スパムメールの検知精度を向上できる。つまり、スパムメール検知装置１は、例えば、事前に収集したスパムメールの情報に正常なメールの情報が混在していた場合に、誤検知を引き起こすのを抑制できる。

また、スパムメール検知装置１は、既にホワイトリストに登録されており正常なメールを送信しているホスト名を記憶しないので、正常なメールをスパムメールと判定する誤検知を抑制できる。

＜第２実施形態＞
以下、本発明の第２実施形態について説明する。なお、第１実施形態と同様の構成については、同一の符号を付し、説明を省略又は簡略化する。

第２実施形態は、生成部１２及び判定部１３の処理内容、並びにブラックリスト２１の内容が第１実施形態と異なる。

生成部１２は、ＳＰＦレコードに含まれるＩＰアドレスを抽出し、これらのＩＰアドレスの組み合わせのリストをブラックリスト２１として記憶部２０に記憶する。この処理内容は、第１実施形態の生成処理（図３）におけるステップＳ４に相当する。
なお、生成部１２は、第１実施形態と同様に、既知のスパムメールがＳＰＦレコードに基づいて、ＳＰＦ又はＳｅｎｄｅｒ−ＩＤ等により認証された場合に、このＳＰＦレコードに含まれているＩＰアドレスの組み合わせを記憶する。つまり、ＳＰＦレコードに基づく認証では検出できないスパムメールを検出するためのブラックリスト２１が生成される。

ＳＰＦレコードは、ｉｐ４メカニズムで構成される場合、例えば、「ｖ＝ｓｐｆ１ ｉｐ４：ｘ．ｘ．ｘ．ｘ／２４ ｉｐ４：ｙ．ｙ．ｙ．ｙ／２８ 〜ａｌｌ」のように記載されている。
この場合、生成部１２は、ＩＰアドレス全てを別々にブラックリスト２１に登録するのではなく、機構が「ｉｐ４」、かつ、クオリファイアが「＋」又は省略されているＩＰアドレスの組み合わせをブラックリスト２１に登録する。この例では、「ｉｐ４：ｘ．ｘ．ｘ．ｘ／２４」及び「ｉｐ４：ｙ．ｙ．ｙ．ｙ／２８」の組み合わせがリストの１つの要素として記憶される。

なお、機構は「ｉｐ４」に限らず、ＩＰアドレス形式で記述可能な機構「ｉｐ６」、又は「ａ：」に含まれるホスト名のａレコード内のＩＰアドレス等、ＩＰアドレスが出現するものであればよい。

このとき、生成部１２は、ＳＰＦレコードに含まれるＩＰアドレスの少なくとも一部が、既に公開されている所定のブラックリストに含まれている場合に、このＩＰアドレスの組み合わせを記憶することとしてよい。

判定部１３は、取得部１１により取得されたＳＰＦレコードに含まれるＩＰアドレスの組み合わせが記憶部２０に記憶されているブラックリスト２１に含まれている場合に、メールの送信ドメインがスパムメール送信ドメインであると判定する。この処理内容は、第１実施形態の生成処理（図４）におけるステップＳ１４に相当する。

以上のように、本実施形態によれば、スパムメール検知装置１は、既知のスパムメールに関するＳＰＦレコードに含まれるＩＰアドレスの組み合わせを記憶し、同一の組み合わせがＳＰＦレコードに現れるメールをスパムメールと判定する。したがって、スパムメール検知装置１は、スパムメール送信者がＳＰＦレコードの登録に利用するＩＰアドレスの組み合わせのパターンを記憶し、このパターンが一致することを検知することにより、単一のＩＰアドレス又はＩＰアドレスレンジを照合することに比べて、スパムメールの誤検知を低減して検知精度を向上できる。

また、スパムメール検知装置１は、既に公開されている所定のブラックリストに含まれるＩＰアドレスがＳＰＦレコードに登録されている場合に、このＳＰＦレコードに含まれているＩＰアドレスの組み合わせを記憶する。したがって、スパムメール検知装置１は、このような既知のブラックリストに登録済みのＩＰアドレスを含む組み合わせを記憶することにより、スパムメールの誤検知を低減して検知精度を向上できる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。

スパムメール検知装置１は、第１実施形態ではホスト名を、第２実施形態ではＩＰアドレスの組み合わせを、それぞれブラックリスト２１として記憶したが、これには限られず、ホスト名及びＩＰアドレスの組み合わせの双方を記憶し、運用してもよい。

また、記憶部２０は、ＳＰＦレコードに含まれるホスト名と、このホスト名について、さらにＤＮＳに問い合わせることにより得られるＳＰＦレコードを再帰的に取得し、得られたホスト名、及びＩＰアドレスの組み合わせを、ブラックリスト２１として記憶してもよい。
この場合、判定部１３は、新たに受信したメールに関して、取得部１１により取得されたＳＰＦレコードに含まれるホスト名、又はＩＰアドレスの組み合わせがブラックリスト２１に含まれている場合に、メールの送信ドメインがスパムメール送信ドメインであると判定する。

このような構成によれば、スパムメール検知装置１は、既知のスパムメールに関連して、ホスト名又はＩＰアドレスの組み合わせを、より豊富に蓄積することができる。したがって、スパムメール検知装置１は、ＳＰＦレコードを登録することにより送信元メールアドレスを偽装せずに送信されたスパムメールの検知精度を向上できる。

スパムメール検知装置１は、ネットワークに接続可能な情報処理装置の一例であり、サーバ装置又はＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等、様々な情報処理装置（コンピュータ）であってよく、前述の各機能は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、上記情報処理装置にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。

１ スパムメール検知装置
１０ 制御部
１１ 取得部
１２ 生成部
１３ 判定部
２０ 記憶部
２１ ブラックリスト
３０ 通信部
４０ 入力部
５０ 表示部

Claims (10)

1. メールの送信ドメインに対応するＳＰＦ（Ｓｅｎｄｅｒ Ｐｏｌｉｃｙ Ｆｒａｍｅｗｏｒｋ）レコードを取得する取得部と、
   予め収集された既知のスパムメールに関して前記取得部により取得されたＳＰＦレコードの情報を記憶する記憶部と、
   受信したメールに関して前記取得部により取得されたＳＰＦレコードに含まれる所定の文字列が前記記憶部に記憶されているＳＰＦレコードの情報と一致する場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する判定部と、を備えるスパムメール検知装置。
2. 前記記憶部は、前記既知のスパムメールが前記ＳＰＦレコードに基づいて認証された場合に、当該ＳＰＦレコードの情報を記憶する請求項１に記載のスパムメール検知装置。
3. 前記記憶部は、前記ＳＰＦレコードに含まれるホスト名のリストを記憶し、
   前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれるホスト名の少なくとも一部が前記記憶部に記憶されているリストに含まれている場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する請求項１又は請求項２に記載のスパムメール検知装置。
4. 前記記憶部は、前記ＳＰＦレコードに含まれるホスト名の出現頻度が所定以上の場合に、当該ホスト名を記憶する請求項３に記載のスパムメール検知装置。
5. 前記記憶部は、前記ＳＰＦレコードに含まれるホスト名が所定のホワイトリストに含まれている場合に、当該ホスト名を記憶しない請求項３又は請求項４に記載のスパムメール検知装置。
6. 前記記憶部は、前記ＳＰＦレコードに含まれるＩＰアドレスの組み合わせのリストを記憶し、
   前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれるＩＰアドレスの組み合わせが前記記憶部に記憶されているリストに含まれている場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する請求項１又は請求項２に記載のスパムメール検知装置。
7. 前記記憶部は、前記ＳＰＦレコードに含まれるＩＰアドレスの組み合わせの少なくとも一部が所定のブラックリストに含まれている場合に、当該ＳＰＦレコードに含まれるＩＰアドレスの組み合わせを記憶する請求項６に記載のスパムメール検知装置。
8. 前記記憶部は、前記ＳＰＦレコードの情報に加えて、前記ＳＰＦレコードに含まれるホスト名に対応して再帰的に取得されるＳＰＦレコードの情報をリストとして記憶し、
   前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれるホスト名、又はＩＰアドレスの組み合わせが前記記憶部に記憶されているリストに含まれている場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する請求項１又は請求項２に記載のスパムメール検知装置。
9. メールの送信ドメインに対応するＳＰＦ（Ｓｅｎｄｅｒ Ｐｏｌｉｃｙ Ｆｒａｍｅｗｏｒｋ）レコードを取得する取得ステップと、
   予め収集された既知のスパムメールに関して前記取得ステップにおいて取得されたＳＰＦレコードの情報を記憶する記憶ステップと、
   受信したメールに関して前記取得ステップにおいて取得されたＳＰＦレコードに含まれる所定の文字列が前記記憶ステップで記憶されているＳＰＦレコードの情報と一致する場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する判定ステップと、をコンピュータが実行するスパムメール検知方法。
10. メールの送信ドメインに対応するＳＰＦ（Ｓｅｎｄｅｒ Ｐｏｌｉｃｙ Ｆｒａｍｅｗｏｒｋ）レコードを取得する取得ステップと、
    予め収集された既知のスパムメールに関して前記取得ステップにおいて取得されたＳＰＦレコードの情報を記憶する記憶ステップと、
    受信したメールに関して前記取得ステップにおいて取得されたＳＰＦレコードに含まれる所定の文字列が前記記憶ステップで記憶されているＳＰＦレコードの情報と一致する場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する判定ステップと、をコンピュータに実行させるためのスパムメール検知プログラム。

Images