JP2006178998A - メッセージ内容に基づく迷惑メッセージ（スパム）の検出 - Google Patents

Abstract

【課題】電気通信ネットワークにおいて、迷惑メッセージ（スパム）を検出するための方法を提供すること。
【解決手段】疑わしいスパム・メッセージの内容を解析して、メッセージの重み付き特性および特性の重み付き総和がしきい値を超えているかどうかを判定する。それらの重み付き総和がしきい値を超えている場合、メッセージはスパム・メッセージとして取り扱われ、重み付け係数および解析で使用される特性の品質を向上するために人間による解析が適用される。
【選択図】図１

Description

本発明は、メッセージの内容に基づいてスパム・メッセージを検出する方法に関する。

インターネットが出現してから、送信者が費用をほとんど、またはまったく負担せずに、複数のメッセージを数多くの宛先に簡単に送信できるようになってしまった。これらのメッセージは、ショート・メッセージ・サービスのショート・メッセージを含む。これらのメッセージは、メッセージを消去する作業、および重要かどうかを判定する作業を行わなければならないメッセージの受信者にとって不愉快な勝手に送り付けられる迷惑メッセージ（スパム）を含む。さらに、これらがメッセージを伝送するために使用される電気通信ネットワークの通信事業者にとって非常に厄介なのは、スパムが殺到したことで客が怒るという顧客関係問題に発展することが理由であるだけでなく、これらのメッセージは、通常、収益にほとんど、またはまったく結びつかないのに、ネットワーク資源を使うというのも理由である。この問題の重大性は、以下の２つの統計から説明される。２００３年、中国では、２０兆件のショート・メッセージ・サービス（ＳＭＳ）メッセージが中国の電気通信ネットワークに送信されたが、これらのメッセージのうち３／４がスパム・メッセージと推定された。第２の統計は、米国内の電子メール・メッセージの推定８５％〜９０％はスパムであることを示している。

配信される多数のスパム・メッセージを削減する多数の処置方法が提案され、多くが実装された。配信する前にメッセージを解析するさまざまな処置方法が提案されている。１つの処置方法によれば、起呼側が被呼側によって指定された事前選択グループのうちの１つでない場合に、そのメッセージはブロックされる。スパム・メッセージは、さらに、Ｎ個を超える宛先を宛先指定するメッセージはいっさい、配信されないように被呼側が指定することを許可することによりインターセプトすることもできる。

被呼側は、自分の電話番号または電子メール・アドレスを公開することを拒絶することができる。起呼側が被呼側の電話番号または電子メール・アドレスを検索することを許可しないことの明白な欠点に加えて、このような処置方法は効果がない可能性が高い。非公開電子メール・アドレスは、例えば、ルータでメッセージ・ヘッダを監視することにより、ＩＰネットワークから高度なハッカーが検出することができる。非公開被呼番号にしても、起呼側がメッセージを市内局番の１０，０００件の電話番号すべてに送信することを単に誘うだけであり、上述のように、これは、メッセージを複数の宛先に送る現在の処理方法では非常に容易である。

とりわけつかみ所のないスパム・メッセージの中でも、ポルノを目的とする、または迷惑広告を受信者に配送する、とても不快なメッセージがある。このようなメッセージは、メッセージの内容を調べないとインターセプトできないことが多いが、それは、送信者が同じ発信源から多数の無難なメッセージを送信している可能性があるからである。スパム検出の主要な問題は、メッセージの内容に基づいてスパムを検出するという問題である。

キーワードなどのいくつかの特性が存在していないか、またそのような特性への頻度について疑わしいメッセージが解析され、それぞれの特性に対しほぼ静的で、予め定義され、用意されている数量である適切なスパム・インデックスが与えられ、動的に変化する重み付け係数は、トラフィック・ボリュームおよびメッセージ／コンテンツ・タイプに依存する、出願者の発明により、上記の問題は緩和され、また進歩は従来技術に勝っている。メッセージは、使用頻度がしきい値を超える特性、組み合わせた使用がしきい値を超える特性の所定の組み合わせ、および組み合わせた使用がしきい値を超えるすべての特性について調べられる。出願者の発明の一特徴によれば、それぞれの特性の重み付け係数は、人間のアナリストによる疑わしいメッセージの調査の結果と一致するように動的に調整することができる。都合のよいことに、人間のアナリストを利用することで、検出プロセスは学習できる。

図１は、出願者の発明のオペレーションを例示している。発信源１は、宛先２にメッセージを送信したがっている。メッセージは、これがスパム・メッセージであるかもしれないということを認識するが判定するためにはメッセージ内容の解析を必要とするネットワーク３に送信される。ネットワーク３では、このメッセージをメッセージ・アナライザ１０に受け渡す。メッセージ・アナライザ側でこれがスパム・メッセージではないと結論した場合、メッセージは、ネットワーク４を介して宛先２に送信される。

メッセージ・アナライザ１０は、特性の表形式データ１４、それぞれの特性の重大度インデックス、それぞれの重大度インデックスの重み付け係数、およびその特性の重大度レベルしきい値を含む。

スパム特性は、スパム・メッセージの指標として可能な単語、フレーズ、センテンス、画像、またはビデオ・セグメントである。単語「ｍａｄａｍ」を一例とする。メッセージ内に出現するそれぞれの特性について、特性の出現回数、重大度インデックス、および重み付け係数の積を計算して、重大度レベルを求める。重大度レベルは、メッセージをスパム・メッセージとして取り扱うかどうかを判定するために使用される。

重大度インデックスおよび重大度しきい値は、比較的一定に保たれるが、重み付け係数は、特別問題領域（重み付け係数を大きくする）またはスパム活動がほとんどなかった領域（重み付け係数を小さくする）の局での決定に応じて、スパム・サービス局１５からのメッセージに応答して変更することができる。

メッセージ・アナライザは、メッセージの内容を取り出して、例えば、単語「ｍａｄａｍ」および「ｌｏｖｅｒｓ」などの予め保存されている特性を調べる。予め保存されている特性毎に、特定の重大度レベルに達する際のこの特性の重みの程度を示す重み付け係数がある。重大度レベルが所定のしきい値を超えるメッセージがブロックされ、さらに人間による解析が行えるように格納できる。

図２は、出願者のスパム・チェックのオペレーションを例示する流れ図である。着信メッセージが受信されると、スパム解析を行うためにバッファリングされる（アクション・ブロック２０１）。メッセージの特性のスパム重大度インデックスを計算するためにスパムの表形式データが取得される（アクション・ブロック２０３）。スパム解析の結果、メッセージのメッセージ特性に対するスパム重大度インデックスを返す（アクション・ブロック２０５）。サービス・ロジックで、解析スプレッドシートにそれぞれの特性の重大度インデックスを書き込み、分散スパム重大度インデックス・プロファイル・パターンを取得する（アクション・ブロック２０７）。テスト２０９では、個々の特性の重大度インデックスがその特性のしきい値を超えているかチェックする。限界を超えていた場合、（アクション・ブロック２２１、後述）に入る。そうでない場合、テスト２１１に入り、重大度インデックスのパターンがしきい値を超えているかどうかをチェックす。そのパターンに対するしきい値を超えていた場合、アクション・ブロック２２１に入る。そうでない場合、すべての特性または、重大度インデックスがしきい値を超えるすべての特性を使用して、集計スパム重大度インデックスが計算される（アクション・ブロック２１３）。この集計されたインデックスがしきい値上限を超えている場合（テスト２１５）、そのメッセージは黒である。しきい値下限よりも小さい場合（テスト２１６）、メッセージは白である。他のメッセージについては、テスト２１７を使用して、そのメッセージを人間による解析に任すかどうかを判定する。そうしない場合、メッセージはその宛先に中継される（アクション・ブロック２２３）。人間による解析に任すとして選択した場合、メッセージはサービス局に送られる（アクション・ブロック２１８）。人間による調査の結果（テスト２１９）、満足のゆく結果であると判定されれば、メッセージは転送され（アクション・ブロック２２３）、結果が満足なものでないと判定されれば、メッセージはスパムとして取り扱われ、アクション・ブロック２２１のファンクションが適用される。

アクション・ブロック２２１は、スパム・メッセージを格納し、必要ならば、更新されたスパム・フィルタおよび人間の調査の結果得られたルール・サービス・データベースを格納し、スパム重大度重み付け係数およびインデックス上限を更新し、必要ならば、新しい分散スパム・パターンを追加する。

上記の説明は、出願者の発明の好ましい一実施形態の説明である。他の実施形態は、本発明の範囲から逸脱することなく当業者には明らかであろう。本発明は、添付の特許請求の範囲によってのみ限定される。

出願者の発明のオペレーションを例示する図である。 出願者の発明を例示する流れ図である。

Claims (10)

1. 通信ネットワークにおいて、迷惑（スパム）メッセージを検出する方法であって、
   潜在的メッセージのそれぞれの特性について重み付け係数、インデックス、および限界値を格納する工程と、
   疑わしいスパム・メッセージを格納する工程と、
   前記格納されているスパム・メッセージの特性を導く工程と、
   それぞれの特性の出現回数、その重み付け係数、およびそのインデックスの積を計算する工程と、
   前記積から分散スパム・プロファイルを形成する工程と、
   前記分散スパム・プロファイルがメッセージをスパム・メッセージとして分類する判定基準を満たすかどうかを判定する工程とを含む方法。
2. 積がその積の前記特性に対するその上限を超える場合に、前記関連付けられているメッセージをスパム・メッセージとして宣言する工程を含む請求項１に記載の方法。
3. さらに、
   特性の複数のパターンについて、それぞれのパターンに対する上限を格納する工程と、
   パターンに対する前記上限を超えた場合に、メッセージをスパム・メッセージであると宣言する工程とを含む請求項１に記載の方法。
4. 前記メッセージに対するすべての積の和が所定のしきい値上限を超えた場合、前記メッセージをスパム・メッセージとして取り扱う請求項１に記載の方法。
5. 特性の前記重み付け係数または上限は、サービス局からのメッセージに応答して変更できる請求項１に記載の方法。
6. 通信ネットワークにおいて、迷惑（スパム）メッセージを検出する装置であって、
   潜在的メッセージのそれぞれの特性について重み付け係数、インデックス、および限界値を格納する手段と、
   疑わしいスパム・メッセージを格納する手段と、
   前記格納されているスパム・メッセージの特性を導く手段と、
   それぞれの特性の出現回数、その重み付け係数、およびそのインデックスの積を計算する手段と、
   前記積から分散スパム・プロファイルを形成する手段と、
   前記分散スパム・プロファイルがメッセージをスパム・メッセージとして分類する判定基準を満たすかどうかを判定する手段とを備える装置。
7. 積がその積の前記特性に対するその上限を超える場合に、前記関連付けられているメッセージをスパム・メッセージとして取り扱う手段を備える請求項６に記載の装置。
8. さらに、
   特性の複数のパターンについて、それぞれのパターンに対する上限を格納する手段と、
   パターンに対する前記上限を超えた場合に、メッセージをスパム・メッセージとして取り扱う手段とを備える請求項６に記載の装置。
9. 前記メッセージに対するすべての積の和が所定のしきい値上限を超えた場合、前記メッセージをスパム・メッセージとして取り扱う手段を備える請求項６に記載の装置。
10. さらに、サービス局からのメッセージに応答して特性の前記重み付け係数または上限を変更する手段を備える請求項６に記載の装置。
    

Images