JP2001500295A

JP2001500295A - データベース及びメールサーバーと共に使用するための抗ウィルスエージェント

Info

Publication number: JP2001500295A
Application number: JP10512933A
Authority: JP
Inventors: チェン，チア―ホワン; ルオ，チー―ケン
Original assignee: チェイニーソフトウェアインターナショナルセールスコーポレイション
Priority date: 1996-09-05
Filing date: 1997-09-05
Publication date: 2001-01-09
Also published as: KR100554903B1; WO1998010342A3; AU4253597A; CA2264816A1; EP1010059B1; CN1160616C; EP1237065A2; US5832208A; BR9711990A; ES2199372T3; CA2264816C; HK1047327A1; ZA977970B; HK1023826A1; WO1998010342A2; KR20010029480A; DE69722266D1; CN1236451A; EP1010059A4; RU2221269C2

Abstract

(57)【要約】電子メールメッセージに対するアタッチメントの中に位置づけされたコンピュータウイルスを検出し除去するためのソフトウェアエージェント（１１０）。クライアント−サーバーコンピュータネットワークには、サーバーコンピュータ及び複数のクライアントコンピュータが内含されている。サーバーコンピュータに位置づけされたメッセージシステム（１３０）が電子メールメッセージの分配を制御する。サーバーコンピュータに位置づけされた抗ウイルスモジュール（１２０）がウイルスについてファイルを走査する。エージェント（１１０）はサーバーコンピュータに位置づけされ、抗ウイルスモジュール（１２０）とメッセージシステム（１３０）の間のインタフェースを提供する。該エージェントは、実時間ベース及び予めセットされた周期間隔の両方で動作できる。ネットワークの内部で送られる電子メールメッセージは、走査された、例えばイントラネット電子メールメッセージでありうる。さらにインターネット上で受信した電子メールメッセージも走査可能である。

Description

【発明の詳細な説明】データベース及びメールサーバーと共に使用するための抗ウイルスエージェント発明の分野本発明は、コンピュータウイルスを検出し除去するためのソフトウェアプログラム及びインタフェース、特にデータベースファイル及び電子メールアタッチメント（添付物）内のコンピュータウイルスを検出し除去するためのシステム及び方法に関する。著作権表示この特許文書の開示の一部には、著作権保護の対象である資料が含まれている。著作権所有者は、特許文書又は特許開示を、それが特許・商標局の特許ファイル又は記録に記されている通りに何人かが精密に複製することに対し何ら異議を唱える者ではないが、その他の場合それに対する全ての著作権を留保する。発明の背景コンピュータウイルスは、許可無くコンピュータの動作方法を変えるべく書込まれるコンピュータプログラムである。生物学的ウイルスと同様に、コンピュータウイルスは、その他のファイルに付着することによってそれ自体を複製することができる。コンピュータウイルスとなるためには、プログラムは２つの基準を満たす必要しかない。第１に、それは実行可能であり、往々にしてもう１つのプログラムの実行経路内に独自のコードのいくつかのバージョンを置く。往々にして、コンピュータウイルスは独自で実行する。第２にそれは自らを複製する。例えば、ウイルスプログラムは自らをその他の実行可能なファイル又はユーザーがアクセスするディスクに自らをコピーすることができる。数多くのコンピュータウイルスは、その他の実行可能なファイルに自らを付着する。ウイルスは、感染を受けたファイルがコピー、ダウンロード又は使用された時点で伝播させられる。ウイルスは、（ディスクトップコンピュータ及びラップトップコンピュータを含む）ワークステーション及びネットワークサーバーにも同様に侵入可能である。多くのウイルスは、実行された時点で、感染を受けたコンピュータ又はネットワークサーバーに損傷をひき起こす。ウイルスの中には、プログラムを破壊しファイルを削除し又はハードディスクを再初期化することによりコンピュータに損傷を与えるようにプログラムされたものもある。ウイルスが実際に損傷をひき起こす場合、その損傷は、コンピュータを感染させる特定のウイルスに応じて変化することになる。一般にウイルスはコンピュータに対し以下のような損傷を加えることができる。すなわち、コンピュータを停止させる、ファイルを消去する、ハードディスク上のデータをスクランブルする、ファイルアロケーションテーブルを攻撃する、パーティションテーブルを攻撃する、又はハードディスクを初期化するといったものである。その他のウイルスは単に迷惑物であり、連続的に自らを複製したり又はテキスト、ビデオ又はオーディオメッセージを出力する。しかしながらこれらの良性ウイルスでさえ、標準的に適合プログラムにより使用されるコンピュータメモリをとり上げることから、コンピュータユーザーにとっての問題をもたらす。その結果、これらのウイルスは往々にして不安定な挙動をひき起こし、システムクラッシュをもたらす可能性がある。さらに、数多くのウイルスはバグに支配され、バグはシステムクラッシュ及びデータ喪失を導く可能性がある。パーソナルコンピュータウイルスは、ウイルスがいかに伝播され、それがいかにコンピュータを感染させるかに従って分類することができる。ブートセクターウイルスは、ディスクのシステムエリア、すなわちフロッピーディスク及びハードディスク上のブート記録を感染させる。（データのみを収納するディスクを含む）全てのフロッピィーディスク及びハードディスクは、コンピュータが始動した時点で実行される小さなプログラムをブート記録内に収納している。ブートセクターウイルスはディスクのこの部分に自身を付着し、感染を受けたディスクからユーザーが始動しようと試みた時点で活性化する。従って、ブートセクターウイルスは、それがつねに他の何よりも前にメモリ内にロードされるように、独自のコードをディスクの当初のブートセクターに重ね書きする。ひとたびメモリー内に入ると、ウイルスは、始動ディスクを使用不能にするか又はその他のディスクにまで拡散しうる。マスターブートセクターウイルスはハードディスク上の第１のセクターであるディスクのマスターブートセクション（パーティションテーブル）に重ね書きする。ファイルウイルスは、感染を受けたプログラムが実行された時点で、その他のプログラムを感染させる。ファイルウイルスは、活性状態となるためには実行されなくてはならない。これらはメモリー内にとどまらず、従ってシステムを感染させない。ファイルウイルスは、それ自体、（．ＣＯＭ，．ＥＸＥ，．ＯＶＬ，．ＤＬＬ，．ＤＲＶ，．ＳＹＳ，．ＢＩＮ，及び.ＢＡＴといった拡張子を伴う実行可能ファイルなどの）実行可能ファイルに自身を付着する。これらのウイルスは往々にして、ファイル属性情報及びファイルサイズ、時間及び日付情報を変更する。メモリー常駐ウイルスは、メモリ内に自らをロードし、オペレーティングシステムの制御を引き継ぐ。ファイルウイルスと同様、メモリー常駐ウイルスは、自ら、実行可能ファイルに自身を付着する。多重分割ウイルスは、メモリー常駐ファイル及びブートセタクーウイルスの特性を組合わせる。最近のタイプのウイルスであるマクロウイルスは、ワードプロセッサ又はスプレッドシートといったような特定のコンピュータプログラムのマクロ言語で書込まれる。従って、マクロウイルスは文書中に常駐できる。マクロウイルスはファイルを感染させ、実行時点でメモリー常駐となることができる。これらのウイルスは、プログラム文書が特定のキーストローク又はメニュー選択といった或る種のユーザーの行為によりアクセス又はトリガーされた時点で実行されうる。マクロウイルスは、何らかの拡張を伴ってファイル内に記憶され得、電子メールによってでさえ、ファイル転送を介して拡散される。過去において、文書が上述のタイプのウイルスによる感染を受けることはなかったものの、自動的に実行するマクロを支援するあらゆるアプリケーションが、マクロウイルスにとっての潜在的プラットフォームである。現在文書はネットワークを通し、かつインターネット上で広く共有されており、かつてディスケットで共有されていた頃に比べなお一層共有が拡がっていることから、文書ベースのウイルスがより優勢になる確率は高い。ウイルスの創造が計画的な行為であるにせよ、ウイルスは通常、罪のないユーザーがコンピュータ又はネットワーク上に感染を受けたファイルをコピー又はダウンロードするときにコンピュータ及び会社のネットワーク内に無意識に導入される。従来の抗ウイルスソフトウェアはコンピュータウイルスを検出し除去するように設計されている。ウイルスは、基本的に次の２つのやり方で抗ウイルスソフトウェアによって検出される。すなわち、ハードドライブの完全走査によるか又は各ファイルがアクセスされるときに実時間で行なわれるかである。大部分の抗ウイルスソフトウェアはこれらの機能の両方を提供する。付加的には、抗ウイルスプログラムは単数又は複数のユーザーによって選択されるファイル又はファイルディレクトリを走査するように命令を受けることができる。完全及び実時間走査は、ウイルスとしてプログラムを識別する（ウイルスフィンガープリントのような）サインコードを用いて既知のウイルスを検出する。いくつかの抗ウイルスソフトウェアは同様に、潜在的なウイルスを識別し、ウイルスについてメモリー及びシステムファイルを検査するために（多様型検出といった）先新技術を使用する。既存の抗ウイルス製品は、データをコンピュータのメモリー内に移入するための主要な道具がフロッピーディスクである場合に良好に機能する。しかしながら、最近、電子転送が、電子形態でデータを交換する一般的方法となってきた。当然電子転送も又主要なウイルスの脅威を受けている。既存の抗ウイルス技術は、ウイルスをコンピュータネットワーク内に導入させ拡散させることのできる、考えられる全ての方法に対して保護を提供するわけではない。数多くの会社が、プログラム及びデータの共有を可能にするため及びメッセージを交換するためのコンピュータネットワークを有している。ネットワーク化、企業コンピューティング及び社内組織通信（例えばクライアント−サーバーネットワーク及びピア・トウ・ピアネットワーク、ローカルエリアネットワーク及び広域ネットワークを用いるもの）の増大に伴って、ウイルスは組織のコンピュータシステム全体を通して容易に拡散され、数多くのコンピュータを感染させる。そしてデータ交換がまさにこれらの解決法を使用する理由であることから、企業内の１つのコンピュータ上のウイルスがその他のコンピュータと通信しこれを感染させる確率は、数年前に比べはるかに高いものである。その上、数多くの組織内ネットワークは、外部コンピュータネットワーク（例えばインターネット、所有権を主張できるオンラインサービス及び電子掲示板といったもの）への電子リンクを有している。かかるリンクは、データ及びコンピュータプログラム（コンピュータウイルスによる感染を受ける可能性のあるものを含む）を組織のネットワーク内へと導入することを可能とする。（米国コンピュータ安全性協会（ＮＣＳＡ）によると、法人ネットワークの７０％以上がウイルスに感染している）。ネットワークノードからノードへのウイルスの伝播にさらされていることは、企業のデータの完全性ならびに生産性にとって、コストの高くつく脅威である。コンピュータウイルスの伝播に関して特に該当するのは、電子メール（Ｅメール）である。（例えばローカルエリアネットワークを用いて）１つの組織内で通信を行ない、（例えば遠隔地にあるコンピュータユーザーとインターネット上で）外部と通信を行なうため、電子メールの使用は増々増えている。電子メールメッセージは、例えば実行可能プログラム、書式化された文書、サウンド、ビデオなどを収納する添付されたファイルを内含することができる。電子メールメッセージに対する１つのアタッチメントにはコンピュータウイルスに感染したファイルが含まれうるということがわかるだろう。従って、例えば、インターネット上で受信した１つの電子メールメッセージは、ワードマクロウイルスに感染したマイクロソフトワード文書をアタッチメントとして含有する可能性があり、又プロジェクトマネージャによりその数多くのチームメンバーにローカルエリアネットワーク上で同報通信された電子メールメッセージは、同様にウイルスに感染したアタッチメントを含有している可能性がある。電子メールメッセージにはいかなるタイプのファイルでも添付できることから、往々にして、ウイルス保護ソフトウェアにとってアタッチメントをいかにとり扱かうかを決定することはむずかしい。さらに、標準的に電子メールシステムは、添付されたファイルの書式の如何に関わらず、所有権を主張できるファイルの書式でメールサーバー上に全ての電子メールメッセージを記憶する。１人のユーザーが受信した全てのメッセージは、単一のファイル、例えば「in box．msg」として中央メールサーバー上に記憶されうる。さらに、いくつかの電子メールプログラムは、所有権を主張できる暗号化を使用する。ＬＡＮの内部から電子メールアタッチメントを走査することは、cc：mail，Microsoft Exchange及びDavinc iのような電子メールプログラムがプライバシーを理由として電子メールを暗号化することから、きわめてむずかしいと言われている。かくして、電子メールプログラムにより使用される書式、アルゴリズム及びデータ構造は、電子メールアタッチメント内でのウイルスの拡散を防ぐ抗ウイルスプログラムの開発を困難なものにしている。抗ウイルスプログラムの重要な最終目的は、損傷が発生するか又はウイルスが分散してその他のコンピュータを感染させる前にできるかぎり早くウイルスを検出することにある。例えば数多くのウイルス検出プログラムは、発信される電子メールメッセージをウイルスについて走査せず、かくしてその他のコンピュータに対するウイルスの拡散の潜在的可能性を許してしまっている。一般に使用されている抗ウイルスプログラムは、新規作成されたもののまだ送信されていない下書きの電子メールメッセージ（すなわち新規作成されその後の編集及び／又は送信のために記憶された電子メールメッセージ）を走査しない。電子メール向けのウイルス検出ソフトウェアは、いくつかの規定の事象の発生時点でいくつかの電子メールアタッチメントのみを走査することができる。かくして、ウイルスが電子メールシステム内に入る又は拡散する可能性がある毎にいつでもウイルスを検出する必要性が存在する。一部の製品は、添付された電子メールファイル内でウイルスについて走査すると主張している。例えば、Trend Micro Incorporatedにより販売されている「cc ：Mail用Scan Mail」は、インターネット上で受信された電子メールアタッチメントを走査することができる。このプログラムは、もとのポストオフィスを独自のプロキシポストオフィス（ここでウイルス検査が行なわれる）と置換し、ウイルス検査の後もとの電子メールポストオフィスに清潔な電子メールを経路指定するプロキシタイプのソフトウェアである。かくして、ネットワーク外から受信された電子メールは、まず最初に走査されてからシステムポストオフィス内に入る（Scan Mailは、ウイルスがワークステーションに到達する前にCC：Mailポストオフィスにおいてウイルスを遮断し、隔離することによって内部ＬＡＮを保護すると言われている）。しかしながら、このアーキテクチャは、イントラネット電子メールメッセージの走査を可能にするものではない。内部的に送受信されるメッセージは、プロキシポストオフィスに到達することはなく、従って決して走査されない。従って、ユーザーは、組織内で内部的に電子メールを介してウイルスを伝搬させる可能性がある。Scan Mailは、ＬＡＮ内で発生し、その内部にとどまる電子メールアタッチメント内のウイルスを検出することができない。電子メールに対するアタッチメントについて走査すると主張しているもう１つの製品は、Trend Micro Device Inc.,により販売されているInter Scan Virus Wallである。ＵＮＩＸインターネットゲートウェイ上に設置された時点で、Inter Scan Virus Wallは、電子メールアタッチメント，ＦＴＰ転送、ワールドワイドウェブのダウンロード及びアップロードそして構内ＰＣＳ又はＬＡＮと外部の間のデータ転送を遮断し走査するように意図されている。Inter Sc an Virus Wallは、ゲートウエイトラヒックのためのＦＴＰプロキシサーバー及び電子メールのためのメール転送プロトコル（ＳＭＴＰ）プロキシサーバーで構成されている。Scan Mailアプリケーションの場合と同様に、Inter Scan Virus Wallプログラムは、インタネットゲートウエイを通る電子メールアタッチメントを走査する能力しかもたず、ＬＡＮ内部で転送されつつある電子メールアタッチメントを走査する能力をもたない。さらに、Inter Scanアプリケーションはゲートウェイ上で実行し、個々のパケットを走査することから、ファイルがネットワーク上の１つのパケットサイズよりも大きい場合、多様型ウイルス又は圧縮されたファイルを検出するのに充分な効力をもたない可能性がある。 Sybariにより販売されているAntigenと呼ばれる製品は、電子メールアタッチメントをウイルス検出のためサードパーティウイルススキャナーへと転送する。しかしながらAntigenは、ウイルスが発見され治療された場合、電子メールメッセージに電子メールアタッチメントを再添付することができない。Antigenソフトウェアは、電子メールアタッチメントを伴うサードパーティソフトウェアを提供するものの、システム内部のアタッチメントは、サードパーティソフトウェアが電子メールアタッチメント内でウイルスを治療することを可能にするためのAn tigenソフトウェアとサードパーティソフトウェアの間の統合が全く存在しないことから、感染を受けない状態にとどまることになる。電子メールプログラムのためのいくつかのウイルス検出プログラムは、クライアント側で動作し、ユーザーがそのメールボックスを開くと常にユーザーに送られた電子メールメッセージを走査する。このようなシステムにはいくつかの非効率的な点がある。ウイルス検出プログラムは、各クライアントコンピュータ上にロードされなくてはならない。従って、２５０のワークステーションがある場合、ウイルス検出プログラムは２５０回ロードされなくてはならない。１つでもワークステーションが欠けていた場合、ウイルスが検出されない可能性がある。さらに、走査はユーザーがそのメールボックスを開放した時点で据置きベースで行なわれる。ユーザーが頻繁に電子メールを使用する人ではない場合、メールボックスの開放時に多くのメッセージを走査する必要がある。未開放のメールボックス内に長い期間、感染を受けた電子メールメッセージが常駐する可能性があり、一定の特性を満たす受信電子メールを自動的に転送する自動化された規則を用いてその他のユーザーにまでこれが拡散される可能性もある。従って、システムの内部にあり（例えば同じメールサーバー上のユーザー間）、外部電子メールシステム上で送られるか又はそこから受信され、又は電子メールサーバー内で作成され記憶されるが決して送信されない電子メールメッセージを含む全ての電子メールメッセージのための、電子メールメッセージに対するアタッチメントに損害を与えることなく、電子メールアタッチメント内のコンピュータウイルスを走査し除去することのできるコンピュータプログラムに対するニーズが存在する。さらに、ネットワーク内の全てのワークステーション上に抗ウイルスソフトウェアがロードされることを必要としない、ウイルスについて電子メールメッセージを走査するための中央集中システムに対するニーズも存在する。発明の要約代表的実施形態においては、本発明は、電子メールアタッチメント内に存在しうるコンピュータウイルスを検出し除去するべく、抗ウイルスソフトウェアと合わせて使用されるソフトウェアプログラム（ここではエージェントと呼ばれる）である。本発明のエージェントコンピュータプログラムは、電子メールメッセージから電子メールアタッチメントを切離し、コンピュータウイルスについてそれを走査させ（必要とあらば、検出されたいずれかのコンピュータウイルスを除去させ）、その後そのアタッチメントを電子メールメッセージに再添付する。本発明は、（ａ）システム内部のものである電子メールメッセージ（ここではイントラネット電子メールと呼ぶ）、（ｂ）外部電子メールシステム上で送信されるか又はそこから受信される電子メールメッセージ（ここではインターネット電子メールと呼ぶ）及び（ｃ）電子メールシステム内で作成されかつ／又はその中に記憶され、しかもまだ送信されない電子メールメッセージを含む全ての電子メールメッセージについて適正に動作する。本発明のエージェントは、ファイアウォール又はプロキシポストオフィスとしてではなくメールシステムの中から動作し、イントラネット電子メールアタッチメントを走査できるようにするものであることがわかるだろう。従って、本発明は、内部電子メールシステムを保護するべく全ての電子メールメッセージが確実に走査されるようにする。その上、ひとたびウイルスがアタッチメントから検出され除去されると、アタッチメントはなおも電子メールメッセージの有用な部分であり続け、電子メールメッセージにより正常なものとして取扱われ得る。有利なことに、本発明は、クライアント側ではなくむしろサーバー側で動作する。かくして、エージェントはネットワークの各ワークステーション又はＰＣ上でなくむしろ各メールサーバーにおいて一度だけロードされる必要しかない。さらに電子メールメッセージは、ユーザーの電子メール利用とは無関係に、走査され感染除去され得る。従って、ユーザーが休暇中であり、ウイルス感染を受けたものをいくつか含む数多くの電子メールメッセージを受信する場合であっても、これらのメッセージは、走査され感染除去され、かくしてユーザーが戻ってきた時点でそのメールボックスにはウイルスの無い電子メールメッセージしか入っていないことになる。このようなアプローチの効率の良さは、実世界の郵便配達で類推するとわかる。郵送された全ての手紙を爆弾について走査したいと考えたとすると、手紙の配達後、毎日一回走査を行なう走査機械を各個人宅に備えるよりもむしろ、選別された時に全ての手紙を連続的に走査する走査機械を中央郵便交換局に備える方がさらに効率的である。代表例においては、エージェントは、クライアントネットワーク内で発信されるか又は外部ネットワークから受信される電子メールメッセージへのあらゆるアタッチメントを走査検索し、データベース又はメールボックスからこのようなアタッチメントをすべて切離し、これらのアタッチメントを内蔵型又は独立型抗ウイルスアプリケーションへと送る。エージェントは、抗ウイルスアプリケーションによる処理の後、該電子メールメッセージに該アタッチメントを再添付することができる。付加的には、本発明のエージェントはサーバーレベルで動作し、かくしてウイルス検出作業を集中化することができる。ユーザー宛ての電子メールは、ユーザーがネットワークにログインする必要なくウイルスについて走査され得る。さらに、電子メールアタッチメントの走査は、単に電子メールメッセージの送信、受信又は読取り時点だけでなく、定期的、周期的に行なうことができる。本発明は、ネットワークサーバーから中央管理できしかも、中央管理されたサーバーに接続された全てのワークステーションに設置される必要のないアプリケーションプログラムインタフェースを提供する。代表的実施形態のエージェントは、数多くの電子メール及びデータベースシステムに包括的でそれらと互換性があるように設計されている。周期的ベースでの走査に加えて、本発明は、新しい電子メールメッセージの受信時点でウイルスについて電子メールアタッチメントを走査することになる実時間走査能力を内含する。本発明のこれらの及びその他の利点及び特長は、本発明の以下の詳細な説明を読み、添付図面を検討した後に、当業者にとって直ちに明らかになることだろう。図面の簡単な説明図１は、本発明がその上で動作し得るネットワークアーキテクチャのブロック図である。図２は、本発明と電子メールシステムの間のモジューラ通信のダイヤグラムである。図３は、本発明のオペレーションを詳細に示す流れ図である。詳細な説明ここで図面、まず最初に図１を参照すると、本発明のエージェントプログラム１１０を実行するように構成されているローカルエリアネットワーク（ＬＡＮ）１００であるコンピュータネットワークが例示されている。ここで描かれているように、本発明は、クライアント／サーバーアーキテクチャをもつローカルエリアネットワーク上で動作する。しかしながら、本発明はこのようなネットワーク又はアーキテクチャに制限されず、例えばピア・トウ・ピアネットワーク又は広域ネットワーク上で走るよう容易に適合可能である。さらに、エージェントプログラムは、ネットワークオペレーティングシステム、電子メールプログラム及び／又はウイルス検出プログラムといったその他のプログラムに組込まれることも可能であり又その一部として新規作成することもできる。ネットワーク１００は、サーバー２０，複数のパーソナルコンピュータ（ＰＣ）１０及びワークステーション３０，そしてインターネットゲートウェイ４０を含んで成り、それらは全て通信ライン１５を介して一緒に結合されている。上述の通り、このネットワーク構成は、本発明のエージェントを実行する能力をもつネットワークアーキテクチャのタイプの一例として単に例示的なものにすぎない。サーバー２０及びパーソナルコンピュータ１０は、Lotus Notesプログラム又はMicrosoft Exchangeプログラムといった特定の電子メール又はデータベースプログラムを実行するようにプログラミングされていてもよい。各々のパーソナルコンピュータは標準的に入力装置１６（例えばキーボード、マウスなど）、出力装置１２（例えばモニター）、プロセッサ１３及びメモリー１４を内含し、同様に、ワークステーション３０も、出力装置３２，入力装置３６，プロセッサ３５及びメモリー３４を内含しうる。さらに、ゲートウェイ４０は、例えばインターネット４２といった外部コンピュータネットワークに対するアクセスをネットワーク１００に提供する。本発明のエージェント１１０は、サーバー２０に提供される電子メール及びデータベースアプリケーションの両方と互換性をもつように構成されている。記述を明白にする目的で、本書で使用する例においては、本発明の代表的実施形態のエージェント１１０は、Lotus Notesプログラムの中で生成され、そこから送信されるか又はそれにより受信されるファイル及びメッセージに対するアタッチメントを走査するよう意図されている。便宜上、「電子メールメッセージ」という語は、例えばLotus Notesプログラム又はアタッチメントを許容するデータベースプログラムといったメールサーバ内で使用され、それから送信又はそれにより受信される全てのタイプのファイル、メッセージ、同報通信及び通信を記述するのに使用される。本発明のエージェント１１０は、例えばマイクロソフト社のExchangeプログラム、Lotus社のCC：mail及びBeyondMailといった電子メールメッセージアタッチメントを許容するその他のネットワークメール及びデータベースプログラムと共に動作することもできる。さらに、エージェント１１０は、公開ホルダー及び公開フォーラム（例えば、１人のユーザーがその他の全てのユーザーが閲覧できるメッセージを出すエリア）と共に動作することもできる。図２は、代表的実施形態においてサーバー２０により実行されるソフトウェアコンポーネントを例示している。例示を目的としてサーバー２０により実行される代表的アプリケーションはLotus Notesプログラムである。Lotus Notesサーバープログラム１３０は、サーバー２０内で、インターネットゲートウェイ４０を含むＬＡＮ１００内のさまざまなその他のノードから、及びこれらのノード内へファイル及び電子メールメッセージを送受信するように構成されている。単数又は複数のデータベース１４０（ここではLotus Notesデータベース１４０）は、受信、送信、作成又は記憶された電子メールメッセージを記憶する。（Lotus Notesにおいては、全てのデータベースが１つのファイルとして処理される。）電子メールメッセージに対するアタッチメントは、Lotus Notesデータベース１４０内にこのようなメッセージと共に記憶される。メールサーバー１３０及びデータベース１４０は合わせて１つのメッセージシステムとみなされ得る。ネットワーク（例えば１０，３０）のノードは、メールサーバー１３０と対話してユーザーが電子メールメッセージを新規作成し、読取り、送信し、記憶し編集できるようにするクライアント側のメールプログラムを内含することができる。抗ウイルスアプリケーション１２０がウイルスについてファイルを走査し、感染したファイルがあればそこからウイルスを除去することができる。代表的実施形態においては、抗ウイルスアプリケーション１２０は、ニューヨーク、Roslyn HeightsのCheyenne Software，Inc.から入手可能なInocuＬＡＮプログラムである。InocuＬＡＮプログラムは、２つのサブモジュール、すなわちローカルスキャナ−モジュールとジョブサービスモジュールを含むものとみなされ得る。Inoc uＬＡＮプログラムは、例えば、走査が行なわれ走査結果を報告する時刻をセットするべく、エージェント１１０のためのユーザーインターフェースとして用いられる。エージェント１１０は、あらゆる電子メールメッセージのアタッチメントを切離し、抗ウイルスソフトウェアアプリケーション１２０にそれらを転送する。図３は、抗ウイルスソフトウェアアプリケーション１２０と組合わせた本発明のエージェント１１０のオペレーションに対応する流れ図を示す。本発明のエージェント１１０は、データベース及び電子メールシステムの両方に包括的なものであるものの、以下の論述では、簡略化を期して、電子メールメッセージの走査のみについて記述する。さらに、全ての電子メールメッセージ（すなわち全てのデータベース及びメールボックスに対して添付された全てのファイル）の完全な走査が行なわれるものと仮定されている。ステップ２００では、エージェント１１０は、アタッチメントが電子メールメッセージ内に存在するか否かを決定する。アタッチメントが存在しない場合には、エージェント１１０は、メールシステム１４０全体が走査されたか否かをステップ２４０において決定する。全メールシステム１４０が走査された場合、エージェントは動作を停止する。しかしながら、全メールシステム１４０が走査されていない場合、エージェント１１０は次の電子メールメッセージに着手する（ステップ２３５）。電子メールメッセージ内にアタッチメントが存在する場合、エージェント１１０は、アタッチメントを切離し（ステップ２０５），そのアタッチメントを抗ウイルスアプリケーション１２０まで送る（ステップ２１０）。抗ウイルスアプリケーション１２０が、アタッチメント内のウイルスの存在を検出しない場合（ステップ２１５），エージェント１１０は、そのアタッチメントをもとの電子メールメッセージに再添付する（ステップ２２０）。しかしながら、抗ウイルスアプリケーション１２０がアタッチメント内のウイルスの存在を検出した場合には、警報が生成される（ステップ２４５）。このような警報は、複数のやり方で構成され得る。例えば、警報は、ＬＡＮ１００内の全てのＰＣ１０又はワークステーション３０又はネットワーク管理者に伝送されるシステムワイドのテキストメッセージを含んでいてもよいし、又その代りに、感染したアタッチメントを発信又は受信したネットワークノードに送られるメッセージを含んでいてもよい。このような警報が生成された後、抗ウイルスアプリケーション１２０は（そうように構成されている場合に）感染を受けたアタッチメントを削除することができる（ステップ２５０）。その場合、アタッチメントは削除される（ステップ２５５）。ステップ２５５の後、エージェント１１０は、全メールシステム１４０が走査されたか否かを決定する（ステップ２６０）。走査されていた場合には、プロセスは終り達したことになる（ステップ２３０）。全メールシステム１４０が走査されていない場合には、エージェント１１０は、次の電子メールメッセージに着手する（ステップ２３５）。感染を受けたアタッチメントがステップ２５０で削除されない場合には、抗ウイルスアプリケーション１２０は、可能な場合、感染したアタッチメントを治療する（ステップ２７０）。治癒した場合には、次にそのアタッチメントは再添付され（ステップ２２０），エージェント１１０は、次の電子メールメッセージがある場合それに着手する。エージェント１１０は（イントラネット電子メールメッセージを含む）ＬＡＮ１００内で発信される電子メールメッセージ又はゲートウェイ４０を通してインタネットからＬＡＮ１００に入る電子メールメッセージ（インタネット電子メールメッセージ）を処理することができる。 InocuＬＡＮプログラム１２０は、電子メールシステムを介してか又はCheyenn e Software Inc．のAlert Generic Notificationシステムを介して特定の個人に警報を発し、ウイルスの拡散を停止させるべくユーザーに警告する。InocuＬＡＮローカルスキャナ及びジョブ・サービスは、エージェント１１０と連結的に作用してメッセージシステム内でのウイルスの走査及び治療を実施し、ウイルスの無い環境を確保する。以下に記すのは、本発明のエージェント１１０を実施するのに使用できるＡＰＩのライブラリの擬似コード記述である。エージェント１１０は、ＡＰＩの高レベルの包括的ライブラリとみなされ得る。代表的実施形態のエージェント１１０は、Lotus Notes及びMicrosoft Exchangeの両方のプログラムと合わせて使用され得る。エージェント１１０は、例えは、電子メールアタッチメントと走査検索し、切離し、再添付するといったその機能を補助するために、Lotus Notes ＡＰＩセット、Microsoft ExchangeＡＰＩセット及びＭＡＰＩを利用する。これらの Lotus及びMicrosoftＡＰＩは公表されており、有能なプログラマであればこれらをいかにエージェント１１０と対話するように構成できるかを理解することだろう。かくしてエージェント１１０は、メールサーバーシステム１３０と通信するために抗ウイルスアプリケーション１２０によって使用され得るＡＰＩのセットである。以下の擬似コードでは、「ＭＤＡ」はメールデータベースエージェントを意味する語である。「ＵＩＤ」は、電子メールメッセージを識別するために使用される一意的又は汎用の識別子である。この例では、ＬＡＮがウインドウズＮＴネットワークオペレーティングシステムを使用しているという仮定が行なわれている。ＭＤＡConnectAgent 0：メッセージエージェントに対する接続を樹立する。入力パラメータとして〈agent＿id〉を要求するあらゆるＭＤＡＡＰＩ呼出しの前に呼出される。入力：ウィンドウズＮＴサーバー名、メッセージエージェント名、ユーザーのウィンドウズＮＴログイン名、ログインのために使用されるプロファイル名（Exchange Serverのみについて）、上述のユーザ＿id及びユーザープロファイルと共にログインするのに用いられるパスワード、出力：その後のＡＰＩ呼出しにより、現行接続インスタンスをトレースするのに用いられうる戻された接続ＩＤである〈agent＿id〉。ＭＤＡDisconnectAgent 0：メッセージエージェントに対する現行の接続を解除する。資源を自由にするため各ＭＤＡセッションの後に呼出される。入力：〈agent＿id〉ＭＤＡGetAgentInfo0：エージェントからメッセージングシステムベンダー情報を得る。ＭＤＡConnectAgentOとＭＤＡDisconnectAgent 0の間でいつ何時であれ呼出すことができる。入力：〈agent＿id〉〈vendor〉により指名されたバッファのサイズ。出力：エージェントが対話しているメッセージングシステムについての情報である〈 vendor〉。ＭＤＡOpenDatabase0：Lotus Notesデータベース又はExchange Information Sto reを開く。有効なdbhandleを得るためにまず最初に呼出される。dbhandleを要求するその他全てのＭＤＡＡＰＩ呼出しを次に呼出すことができる。ＭＤＡScan ALL Find Fi rst 0又はＭＤＡScanDatabaseFindFirs t 0は、暗示的に情報記憶装置を開く。入力：〈agent＿id〉ゼロにセットされたMicrosoft Exchangeセットについてヌルにするために、開かれるべき入力Lotus Notesデータベース名である〈db name〉, ヌルにセットされたLotus Notesについて、開かれるべきExchange Informatio StoreのＵＩＤである〈istoreＵＩＤ〉。出力：〈dbhandle〉ＭＤＡCloseDatabase 0：開かれたLotus Notes Database又はExchange Infoma tion Storeを閉じる。割当てられた資源を解除するために呼出される。入力：〈agent＿id〉〈dbhandle〉ＭＤＡEnumObjects 0：コンテナ内のサブオブジェクトを列挙する。Exchange及びLotus Notesについて、Agent，Mailbox/Public IStore及びMessagesという３つのオブジェクト層が存在する。〈input＿object＿type〉がＭＤＡ＿ＯＢＪＥＣＴ＿ＡＧＥＮＴである場合、MailboxesとPublic Istoresのリストを戻す。〈i nput＿object＿type〉がＭＤＡ＿ＯＢＪＥＣＴ＿ＭＡＩＬＢＯＸ又はIstoreである場合、その中のメッセージリストを戻す。ＭＤＡConnectAgent0とＭＤＡDisco nnectAgent0の間のいつ何時であれ呼出しできる。入力：〈agent＿id〉〈input＿object type〉−列挙すべきinput＿objectのタイプ。考えられる値は、ＭＤＡ＿ＯＢＪＥＣＴ＿ＡＧＥＮＴ，ＭＤＡ＿ＯＢＪＥＣＴ＿ＭＡＩＬＢＯＸ及びＭＤＡ＿ＯＢＪＥＣＴ＿ＩＮＦＯＲＡＭＴＩＯＮＳＴＯＲＥである。 input＿objectの表示名、 Exchangeのみについて、入力オブジェクトのＵＩＤ、バッファのサイズ。出力：戻されたオブジェクトのタイプ、２重ＮＵＬＬで終結するsub＿Objectsの表示名のリスト、上述のバッファ内に戻されたバイトの数、サブオブジェクトのＵＩＤのリストを含むバッファ、上述のバッファ内に戻されたバイトの数。ＭＤＡGetAllMsgUids 0：開かれたMailbox又はInformation Store内の全てのメッセージについてのメッセージＵＩＤのリストを得る。入力：〈agent＿id〉〈dbhandle〉ＵＩＤバッファのサイズ。出力： Mailbox又はInformation Store内のメッセージのメッセージＵＩＤのリストを含むバッファ、上述のバッファ内に戻されたバイトの数。ＭＤＡGetObjectProperty 0：特定されたオブジェクトの望ましい特性を得る。ＭＤＡScanAllFindFirst 0：メッセージシステム全体を走査し、〈start＿time〉により特定されたタイムスタンプの後に受信されたシステム内に記憶された全てのアタッチメントファイルのリストを戻す。〈start＿time〉がゼロである場合、全てが走査されることになる。まず最初にPublic Informati on Storeを走査し、次にPrivate Information Storesを走査する。このＡＰＩは、第１のInformation Storeを開かせ、dbhandleがＡＦＩＬＥ内に戻される。ＭＤＡConnectAgentとＭＤＡDisconnectAgent 0の間のいつでも呼出すことができるが、その他のいずれかの活動状態にある走査シーケンス内では呼出すことができない。このＡＰＩ呼出しは、活動状態のdbhandleが存在する間は行なわれない。走査セッションを終結するにはＭＤＡCloseFindHandle 0が呼出されなくてはならない。入力：〈agent＿id〉、走査開始時間である〈start＿time〉。出力：全ての走査シーケンスをトレースする目的で、現行の走査の発信者に戻されるサーチハンドルである〈handle〉，システム内で発見された最初のアタッチメント情報である〈afile〉。ＭＤＡScan ALL Find Next 0：現行の走査の次のアタッチメント情報構造を得る。ＭＤＡScanセッション内で行なわれる呼出し。このＡＰＩ呼出しは１つのInfo rmation Storeを閉じさせ、もう１つのInformation Storeを開かせることができる。入力：〈agent＿id〉〈handle〉出力：システム内で発見される次のアタッチメント情報にある〈a file〉。ＭＤＡCloseFindHandle 0：現行のサーチハンドルを閉じ、現行の走査を終結する。活動状態のハンドルで呼出される。ＭＤＡScan All Find First 0，ＭＤＡS can All Find Next 0，ＭＤＡScan Database Find First 0又はＭＤＡScan Data base Find Next 0の後に呼出される。入力：〈agent＿id〉、〈handle〉、ＭＡＤScanDatabaseFindFirst 0：特定のInformation Storeを走査し、そこに記憶されている全てのアタッチメントファイルのリストを戻す。ＭＤＡConnectAge nt0とＭＤＡDisconnectAgent 0の間でいつでも呼出すことができるが、その他のいずれの活動状態の走査シーケンス内でも呼出しできない。入力：〈agent＿id〉、走査されるべきLotus Notesデータベースの経路名である〈path〉，…Lotus Not esについてのみ使用され、その他の場合にＮＵＬＬにセットされる。走査されるべきInformation StoreのＵＩＤである〈istoreＵＩＤ〉…Exchange についてのみ使用され、その他の場合ＮＵＬＬにセットされる。〈start＿time〉。出力：〈handle〉、記憶装置内に発見される最初のアタッチメントである〈a file〉，ＭＡＤScanDa tabaseFindNext0：現行の走査の次のアタッチメント情報構造を得る。このＡＰＩ呼出しはＭＤＡScanセッション内で行なわれる。ＭＤＡConnectAgent 0及びＭＤＡDisconnectAgent 0の間のいつでも呼出しできる。入力：〈agent＿id〉、〈handle〉、出力：システム内で発見される次のアタッチメントである〈afile〉。ＭＤＡDeleteF ile 0：アタッチメントを切離しアタッチメントをクリアするため、新規作成された一時ファイルを削除する。file PathがＮＵＬＬである場合、それにより特定されたファイルを削除する。afile又はattachInfoがＮＵＬＬでない場合には、そのメッセージまで行き、それからアタッチメントを除去する。ＭＤＡConnec tAgent0とＭＤＡDisconnectAgent 0の間のいつでも呼出すことができる。入力：〈agent＿id〉、アタッチメント情報を含む〈afile〉；その中には現行の情報記憶装置のdbhan dleも含まれている。一時ファイルの経路である〈file Path〉。ＭＤＡExtractFile 0：一時ファイルへのアタッチメントの中味を抽出する。ＭＤＡConnectAgent 0とＭＤＡDisconnectAgent 0の間のいつでも呼出しできる。入力：〈agent＿id〉、〈afile〉、出力：〈filePath〉ＭＤＡAttachFile0：既存のアタッチメントにファイルを添付する。ＭＤＡConne ctAgnet0とＭＤＡDisconnectAgent 0の間のいつでも呼出しできる。入力：〈agent＿id〉、〈afile〉、〈file P5th〉、ＭＤＡGetMailInfoFromAFile0：ファイルをアタッチメントに添付する。ＭＤＡC onnectAgent0とＭＤＡDisconnectAgent 0の間のいつでも呼出しできる。入力：〈agent＿id〉、〈afile〉、出力：アタッチメントを含むメッセージについての情報である〈mail〉。１群のポインタが、実際のデータが常駐するバッファを指す。出力情報を含む〈buffer〉。上述のバッファのサイズ。ＭＤＡGetAttFileCountFromMessage0：message ＩＤによって特定された或るメッセージのアタッチメントファイルのリストを得る。ＭＤＡConnectAgent0とＭＤＡDisconnectAgent 0の間のいつでも呼出すことができる。入力：〈agent＿id〉〈dbhandle〉メッセージのＵＩＤである〈message ＵＩＤ〉出力：そのメッセージ内のアタッチメントファイル名のリスト上述のもののサイズＭＤＡSendMail0：特定のユーザーに対しメールを送る。ＭＤＡConnectAgent0とＭＤＡDisconnectAgent 0の間のいつでも呼出すことができる。入力：〈agent＿id〉、〈dbhandle〉、メッセージＵＩＤ開くべきメールボックス名、メッセージ受信者メッセージ送信者メッセージ主体メッセージ本体ＭＤＡGetError0：エージェントからエラー情報を得る。ＭＤＡConnetAgent 0とＭＤＡＤDisconnectAgent 0の間のいつでも呼出すことができる。ＭＤＡGetMsgTime 0：特定のメッセージの配達タイムスタンプを得る。ＭＤＡCo nnectAgent0とＭＤＡDisconnectAgent 0の間のいつでも呼出すことができる。入力：〈agent＿id〉、〈dbhandle〉、メールボックス内のメッセージを位置づけするためExchangeにより使用される〈msg UID〉。出力：タイムスタンプＭＤＡGetOwnerName0：或るアタッチメントファイルの所有者名を得る。ＭＤＡC onnectAgent0とＭＤＡDisconnectAgent 0の間のいつでも呼出すことができる。入力：〈agent＿id〉、〈afile〉、出力：所有者名。ＭＤＡEstimateAttFiles0：サーバー内の〈start-time〉よりも遅いタイムスタンプを伴うアタッチメントファイルのサイズ及び数を推定する。ＭＤＡConnectA gent0とＭＤＡDisconnectAgent0の間のいつでも呼出すことができる。入力：〈agent＿id〉、〈start＿time〉、出力：アタッチメントファイルの合計数。全てのアタッチメントファイルのサイズの合計。ＭＤＡSetDetachedDir 0：一時ディレクトリを切離しされたディレクトリとなるようセットする。ＭＤＡConnectAgent0とＭＤＡDisconnectAgent 0の間のいつでも呼出すことができる。入力：〈agent＿id〉、新規作成すべき切離しディレクトリ経路。ＭＤＡFreeResource0：特定のＵＩＤについて割当てられた資源を自由にする。現在Exchangeについてのみ支援されている。入力：〈agent id〉、〈uid〉、戻り：成功及びシステムエラーについてフラグする。電子メールアタッチメントの走査は、計画的ベースで又は実時間ベースで行なうことができる。計画的ベースでウイルスについて走査するとき、ユーザーは抗ウイルスアプリケーション１２０を利用して、走査が行なわれるべき時間的間隔を例えば１０分おき、１時間に１回などと特定する。以前の時間的間隔内でメールサーバープログラム１３０において受信した電子メールが走査される。新しいメールが全く受信されない場合、走査は全く行なわれない。かくして、走査がいつ行なわれるかは、抗ウイルスアプリケーション１２０の制御下にある。実時間走査は、ユーザーがメールサーバープログラム１３０に接続されているか否かとは無関係に、又ユーザーが電子メールメッセージを読取るか又はアクセスするかに関わらず、ユーザーによって「受信される」毎に電子メールメッセージを走査することになる。全くメールを受信しない場合、いかなる走査も行なわれない。かくして、本発明のエージェント１１０のオペレーションをトリガーするために、ＰＣ１０又はワークステーション３０に対するユーザーのログオンは全く必要でない。本発明の代表的実施形態においては、実時間走査能力は、マイクロソフトのEx change Serverプログラムについて実現され以下で記述されている。これは、Exchange Serverのための実時間走査能力を提供する。すなわち、ひとたび１つの電子メールメッセージがメールボックスに転送されたならば、エージェント１１０は直ちに呼出される。このときエージェント１１０は、添付されたファイルがあればそれを切離し、これらのファイルを走査のため抗ウイルスアプリケーションまで送る。ウイルスが検出された場合、抗ウイルスアプリケーション１２０はウイルスを治療しエージェント１１０を呼出して、影響を受けたファイルを再添付することができる。実時間ＡＰＩ（以下に記述）は「コールバック」能力を内含している。抗ウイルスアプリケーション１２０は、エージェント１１０に対しコールバック機能を提供する。エージェント１１０は、抗ウイルスアプリケーション１２０にとって興味のある何か（この場合、アタッチメントを伴う電子メールメッセージ）を見い出した時点で、抗ウイルスアプリケーション１２０に通知するが代表的実施形態においては、エージェントはアタッチメントを切離し、アタッチメントの走査を可能にするため抗ウイルスアプリケーション１２０に対し該アタッチメントのファイル名を提供する。以下の擬似コードは、マイクロソフトのExchangeプログラムとの関係における本発明の実時間動作のためのＡＰＩを描いている。機能ＲＴConnectAgent0：ＲＴDisconnectAgent 0：ＲＴＧetError 0：ＲＴSetDetachedDir0：ＲＴSetCallbackFunction 0：ＲＴStartupNotification 0：ＲＴSurdown Notification0：ＲＴSet ExcludeFileExtension 0：ＲＴConnect Agent 0：実時間メッセージングエージェントへの接続を樹立する。入力パラメータとして〈agent＿id〉を必要とするあらゆるＭＤＡＡＰＩの前に呼出される。入力：〈server＿name〉ウインドウズＮＴサーバー名〈agent＿name〉メッセージングエージェント名〈user＿id〉ユーザーのウインドウズＮＴログイン名〈userProfile〉ログインのために用いられるプロファイル名〈password〉上述のuser＿id＿及びuserProfileでログインするのに用いられるパスワード。出力：〈agent＿id〉戻されたconnectionIDは、現行の接続インスタンスをトレースするため、後のＡＰＩ呼出しにより使用され得る。ＲＴDisconnectAgent 0：メッセージングエージェントへの現行の接続を解除する。資源を自由にするため各ＭＤＡセッションの後に呼出される。入力：〈agent＿id〉現行の接続のConnectionID. ＲＴSetExcludeFileExtension 0：inocuLanコールバック機能のアドレスをセットる。入力：〈agent ＩＤ〉現行の接続のConnection ID. 〈excludeFlag〉 All files：all exclude：リストのみ。〈extCount〉 extString内の拡張子の計数。〈extString〉拡張ストリングのリストＲＴSetCallbackFunction 0：inocuLanコールバック機能のアドレスをセットする。入力：〈agent ＩＤ〉現行の接続のConnection ID. 〈cb Function〉コールバック機能のアドレス。ＲＴStartupNotification 0：実時間通知の開始。入力：〈agent ＩＤ〉現行の接続のConnectionＩＤＲＴShutdownNotification0：実時間通知を遮断する。入力：〈agent ＩＤ〉現行の接続のConnectionID. ＲＴGetError0：エージェントからエラー情報を得る。入力：〈agent＿id〉現行の接続されたエージェントのConnection ID. 〈errcode〉エージェントからのエラー復帰コード。出力：〈err＿buff〉エラー情報を含むバッファ。〈buffer＿ｓize〉ＲＴSetDetachedDir0：切離されたディレクトリに一時ディレクトリをセットする。入力：〈agent＿id〉現行の接続されたエージェントのConnectionID. 〈detached＿dir〉新規作成されるべき切離しディレクトリ経路。当然のことながら、上述の実時間走査能力は、Microsoft Exchange Server以外のメールサーバーのために実現することもできる。例えばLotus Notesデータベースについては、全てのデータベースが１つのファイルである場合、そのファイルは、新しいメッセージがそのファイル内に入れられる毎につねに開かれなくてはならない。かくして、オペレーティングレベルフックを利用して、エージェント１１０は抗ウイルスアプリケーション１２０に、いつ新しい電子メールメッセージが受信されるかを通知することができる。本発明は、Windows ＮＴＷＩＮ３２ＡＰＩ，Lotus Notes ＡＰＩ，Micros oft ExchangeＡＰＩ及びＭＡＰＩを用いて構築された最初のサーバーベースの抗ウイルスエージェントであることがわかるだろう。このような抗ウイルスエンティティはクライアントに存在を意識させないものである。さらに、本発明のエージェント１１０は、あらゆる抗ウイルスサーバープログラムとインタフェースできる包括的エージェントである。本発明の代表的実施形態のエージェント１１０は、コンピュータプログラムといったコンピュータ読取り可能な命令を含むコンピュータメモリ（例えばサーバー２０におけるメモリー装置）又は論理回路を用いて実現することができる。この論理回路又はコンピュータメモリの機能性については以上で記述されている。コンピュータプログラムは、例えばハードディスク、ＣＤ−ＲＯＭ又はフロッピィーディスク上に記憶することができる。

───────────────────────────────────────────────────── フロントページの続き (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＫＥ，ＬＳ，ＭＷ，ＳＤ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＥ，ＧＨ，ＨＵ，ＩＤ，ＩＬ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＺ，ＶＮ，ＹＵ，ＺＷ (72)発明者ルオ，チー―ケンアメリカ合衆国，ニューヨーク 11746, ディクスヒルズ，ローレンアベニュ 31

Claims

【特許請求の範囲】１．クライアントサーバーアーキテクチャ及びメッセージシステムを有するコンピュータネットワークで使用することを目的とし、 − 走査時間周期を提供する段階； − サーバーにて、以前の走査時間周期内にメッセージシステムで受信された電子メールメッセージに対するアタッチメント（添付物）のリストを得るためメッセージシステムをサーチする段階； − サーバーにて、アタッチメントリスト中の各アタッチメントを、コンピュータウイルス走査のため抗ウイルス検出モジュールへ渡す段階； − 抗ウイルス検出モジュールにて、アタッチメントリスト内にある各アタッチメント内の既知のコンピュータウイルスを検出し除去する段階；及び − サーバーにて、各アタッチメントを電子メールメッセージに再度添付する段階、を含んで成る、電子メールメッセージに対するアタッチメントの中に置かれたコンピュータウイルスのサーバーベースの検出、除去方法。２．各走査時間周期毎に、該方法を反復する段階をさらに含んで成る請求項１に記載の方法。３．電子メールメッセージは、メッセージシステムが位置づけされたクライアント−サーバーネットワーク上のワークステーションにおいてユーザーから受信された電子メールメッセージを含む請求項１に記載の方法。４．電子メールメッセージは、外部メッセージシステムから受信した電子メールメッセージを含む請求項３に記載の方法。５．電子メールメッセージは、インターネット上で受信した電子メールメッセージを含む請求項１に記載の方法。６．メールサーバーをもつクライアントサーバーコンピュータネットワークで使用することを目的とし、Ａ．走査時間周期をセットする段階；Ｂ．サーバーにて、以前の走査時間周期内にメールサーバーに送られた電子メールメッセージ入力へのアタッチメントのリストを得るべくメールサーバーをサーチする段階；Ｃ．サーバーにて、アタッチメントリスト内にある各アタッチメント内の既知のコンピュータウイルスを検出し除去する段階、及びＤ．サーバーにて、メールサーバー内の電子メールメッセージに各アタッチメントを再添付する段階、を含んで成る、電子メールメッセージへのアタッチメント内に置かれたコンピュータウイルスを検出し除去するための方法。７．各走査時間周期毎に段階ＢからＤまでを反復する段階をさらに含んで成る、請求項６に記載の方法。８．段階Ｃにはさらに、コンピュータウイルス走査のために抗ウイルス検出モジュールへアタッチメントリスト内の各アタッチメントを渡す段階が含まれている、請求項６に記載の方法。９．メールサーバーをもつクライアントサーバーコンピュータネットワークの中で使用することを目的とし、Ａ．走査時間周期を得る段階；Ｂ．以前の走査時間周期内でメールサーバーに入力された電子メールメッセージに対するアタッチメントのリストを新規作成するべくメールサーバーをサーチする段階；Ｃ．コンピュータウイルス走査のため抗ウイルス検出モジュールにアタッチメントリスト内の各アタッチメントを渡す段階；Ｄ．抗ウイルス検出モジュールにおける既知のコンピュータウイルスの走査及び除去の後にメールサーバー内の電子メールメッセージに対し各アタッチメントを再添付する段階；及びＥ．各走査時間周期毎に段階ＢからＤまでを反復する段階、を含んで成る、電子メールメッセージに対するアタッチメント内に位置づけされたコンピュータウイルスを検出し除去するための方法。１０．複数のワークステーション及びメッセージシステムを内含するサーバーをもつクライアントサーバーコンピュータネットワーク内で使用することを目的とし、 − メッセージシステムにおいて電子メールメッセージを受信する段階； − 該電子メールメッセージの受信時点で、該電子メールメッセージが１つのアタッチメントを内含するか否かを決定する段階； − 該電子メールメッセージがアタッチメントを内含する場合、コンピュータウイルス走査のため抗ウイルス検出モジュールに対しそのアタッチメントを渡す段階； − 抗ウイルス検出モジュールにおいて、そのアタッチメント内の既知のコンピュータウイルスを検出し除去する段階；及び − 電子メールメッセージに対し各アタッチメントを再添付する段階；を含んで成る、電子メールメッセージに対するアタッチメントの中に位置づけされたコンピュータウイルスを検出し除去するためのサーバーベースの方法。１１．電子メールメッセージを受信する段階には、外部コンピュータネットワークから電子メールメッセージを受信する段階が含まれている、請求項１０に記載の方法。１２．電子メールメッセージを受信する段階は、ワークステーションから電子メールメッセージを受信する段階を含む請求項１０に記載の方法。１３．複数のノードをもちしかも、複数のノード間で複数の電子メールメッセージを送受信するべく電子メールシステムを作動させるように構成され、この複数の電子メールメッセージの１つのサブセットがそれに結びつけられた少なくとも１つのアタッチメントを有している第１のコンピュータネットワークにおいて、 − 複数の電子メールメッセージのサブセットの各々から該少なくとも１つのアタッチメントを切離す段階； − 抗ウイルスアプリケーションに該少なくとも１つのアタッチメントを送る段階、 − 抗ウイルスアプリケーションに従って少なくとも１つのコンピュータウイルスのために該少なくとも１つのアタッチメントを走査する段階、 − 該少なくとも１つのアタッチメントから該少なくとも１つのコンピュータウイルスを除去する段階；及び − 複数の電子メールメッセージのうちの対応する１つの電子メールメッセージに対し該少なくとも１つのアタッチメントを再添付する段階、を含んで成る、複数の電子メールメッセージに対するアタッチメントからコンピュータウイルスを検出し除去する方法。１４．複数の電子メールメッセージのうちの少なくとも１つが、第１のコンピュータネットワークと通信状態にある第２のコンピュータネットワークから発信されている、請求項１３に記載の方法。１５．複数の電子メールメッセージのうちの少なくとも１つが第１のコンピュータネットワークから発信されている、請求項１３に記載の方法。１６．アタッチメントは、ユーザーによって既に開かれたか又は見られたかに関わらず走査される、請求項１３に記載の方法。１７．アタッチメントがユーザーの手を介することなくで走査される、請求項１３に記載の方法。１８．複数の電子メールメッセージのうちの少なくとも１つが第１のコンピュータネットワークと通信状態にある第２のコンピュータネットワークから発信される、請求項１７に記載の方法。１９．複数のノードをもちしかも、複数のノード間で複数の電子メールメッセージを送受信するべく電子メールシステムを作動させるように構成され、この複数の電子メールメッセージの１つのサブセットがそれに結びつけられた少なくとも１つのアタッチメントを有している第１のコンピュータネットワークにおいて、 − 複数の電子メールメッセージの各々から少なくとも１つのアタッチメントを切離す段階； − 該少なくとも１つのアタッチメントが少なくとも１つのコンピュータウイルスに感染しているか否かを決定する段階； − 該少なくとも１つのアタッチメントから該少なくとも１つのコンピュータウイルスを除去する段階；及び − 複数の電子メールメッセージのうちの対応する１つの電子メールメッセージに対し該少なくとも１つのアタッチメントを再添付する段階；を含んで成る、該少なくとも１つのアタッチメントから少なくとも１つのコンピュータウイルスを検出し除去するための方法。２０．電子メールメッセージに対するアタッチメント内で位置づけされたコンピュータウイルスを検出し除去するためのシステムにおいて； − サーバーコンピュータ及び複数のクライアントコンピュータを内含するクライアント・サーバーコンピュータネットワーク； − 電子メールメッセージの分配を制御するためサーバーコンピュータに配置されたメッセージシステム； − ウイルスについてファイルを走査するためサーバーコンピュータに配置された抗ウイルスモジュール；及び、 − 抗ウイルスモジュールとメッセージシステムの間のインタフェースを提供し・走査時間周期を受信するための手段、・以前の走査時間周期内でメッセージシステムにて受信された電子メールメッセージに対するアタッチメントのリストを得るべくメッセージシステムをサーチするための手段、・コンピュータウイルス走査のため抗ウイルスモジュールに対しアタッチメントリスト内の各アタッチメントを渡すための手段、及び・電子メールメッセージに対し各アタッチメントを再添付するための手段、を内含する、サーバーコンピュータに配置され抗ウイルスモジュールとメッセージシステムの間のインターフェイスを提供するエージェント；を含んで成る、システム。２１．電子メールメッセージは、コンピュータネットワーク上でクライアントコンピュータから受信した電子メールメッセージを含む請求項２０に記載のシステム。２２．メッセージシステムが外部ゲートウェイを含み、電子メールメッセージが外部メッセージシステムから受信した電子メールメッセージを含む、請求項２１に記載のシステム。２３．電子メールメッセージは、インターネット接続の上で受信した電子メールメッセージを含む請求項２０に記載のシステム。２４．サーバーコンピュータ及び複数のクライアントコンピュータを有するクライアントサーバーコンピュータネットワーク内に使用するための抗ウイルスエージェントにおいて、電子メールメッセージに対するアタッチメント内に置かれたコンピュータウイルスの検出を補助する抗ウイルスエージェントであって、 − 電子メールメッセージを内含するメールサーバー； − 走査時間周期をセットするための手段； − サーバーコンピュータの中に配置され、以前の走査時間周期内でメールサーバーに対する電子メールメッセージ入力へのアタッチメントのリストを得るためメールサーバーをサーチするための手段； − アタッチメントリスト内の各アタッチメントの中の既知のコンピュータウイルスを検出し除去するための手段；及び − メールサーバー内の電子メールメッセージに対し各アタッチメントを再添付するための、サーバーコンピュータ内に配置された手段、を含んで成る抗ウイルスエージェント。２５．サーチ手段には、アタッチメントリスト内の各アタッチメントをコンピュータウイルス走査のため抗ウイルス検出モジュールに渡すための手段がさらに含まれている、請求項２４に記載のシステム。２６．複数のノードをもち、しかも、複数のノードの間で複数の電子メールメッセージを送受信するべく電子メールシステムを作動させるように構成され、この複数の電子メールメッセージの１つのサブセットがそれに結びつけられた少なくとも１つのアタッチメントを有している第１のコンピュータネットワークにおいて、 − 複数の電子メールメッセージのサブセットの各々から該少なくとも１つのアタッチメントを切離すための手段； − 抗ウイルスアプリケーションに該少なくとも１つのアタッチメントを送るための手段； − 抗ウイルスアプリケーションに従って少なくとも１つのコンピュータウイルスのために該少なくとも１つのアタッチメントを走査するための手段； − 該少なくとも１つのアタッチメントから該少なくとも１つのコンピュータウイルスを除去するための手段；及び − 複数の電子メールメッセージのうちの対応する１つの電子メールメッセージに対し該少なくとも１つのアタッチメントを再添付するための手段；を含んで成る、複数の電子メールメッセージに対するアタッチメントからコンピュータウイルスを検出し除去するシステム。２７．複数の電子メールメッセージのうちの少なくとも１つが、第１のコンピュータネットワークと通信状態にある第２のコンピュータネットワークから発信されている、請求項２６に記載のシステム。２８．複数の電子メールメッセージのうちの少なくとも１つが、第１のコンピュータネットワークから発信されている、請求項２６に記載の方法。２９．複数のノードをもちしかも、複数のノードの間で複数の電子メールメッセージを送受信するべく電子メールシステムを作動させるように構成され、この複数の電子メールメッセージの１つのサブセットがそれに結びつけられた少なくとも１つのアタッチメントを有している第１のコンピュータネットワークにおいて、 − 複数の電子メールメッセージの各々から少なくとも１つのアタッチメントを切離すための手段； − 該少なくとも１つのアタッチメントが少なくとも１つのコンピュータウイルスに感染しているか否かを決定するための手段； − 該少なくとも１つのアタッチメントから該少なくとも１つのコンピュータウイルスを除去するための手段； − 複数の電子メールメッセージのうちの対応する１つの電子メールメッセージに対し該少なくとも１つのアタッチメントを再添付するための手段；を含んで成る、該少なくとも１つのアタッチメントから少なくとも１つのコンピュータウイルスを検出し除去するためのシステム。３０．電子メールメッセージに対するアタッチメント内に配置されたコンピュータウイルスを検出し除去するための実時間システムにおいて； − サーバーコンピュータ及び複数のクライアントコンピュータを内含するクライアント−サーバーコンピューターネットワーク； − 電子メールメッセージの分配を制御するためサーバーコンピュータに配置され、複数のメールボックスを内含するメッセージシステム； − ウイルスについてファイルを走査するためサーバーコンピュータに位置づけされた抗ウイルスモジュール；及び − 抗ウイルスモジュールとメッセージシステムの間のインタフェースを提供し、電子メールメッセージがメールボックスに転送される時点でつねに呼び出され；・電子メールメッセージがアタッチメントを内含するか否かを決定するための手段；・電子メールメッセージからアタッチメントを切離すための手段；・コンピュータウイルスについてアタッチメントを走査するため抗ウイルスモジュールを有効化するための手段；及び・電子メールメッセージに対し各アタッチメントを再添付するための手段；を内含する、サーバーコンピュータに位置づけされたエージェント；を含んで成る、実時間システム。３１．切離し手段にはさらに、１つのファイル内に該アタッチメントを記憶するための手段も含まれている、請求項３０に記載の実時間システム。３２．有効化手段にはさらに、アタッチメントが記憶されているファイルのアドレスについて抗ウイルスモジュールに通知するための手段が含まれている、請求項３１に記載の実時間システム。３３．有効化手段にはさらにコールバック機能が含まれている、請求項３０に記載の実時間システム。３４．電子メールメッセージには、コンピュータネットワーク上のクライアントコンピュータから受信した電子メールメッセージが含まれる、請求項３０に記載の実時間システム。３５．エージェントがメッセージシステムと複数の異なる抗ウイルスモジュールの間のインタフェースを提供する、請求項３０に記載の実時間システム。３６．エージェントが、抗ウイルスモジュールと複数のメッセージシステムの間のインタフェースを提供する、請求項３０に記載の実時間システム。