JP2006287380A - メール添付型ウイルス検知方法およびメールサーバ - Google Patents

Abstract

【課題】メールに添付された自己増殖型ウイルスを、ウイルスに対応する定義ＤＡＴファイルなしに簡単且つ迅速に検知するメール添付型ウイルス検知方法およびメールサーバを提供する。
【解決手段】メールサーバ１０のメール送信ボックス１１およびメール受信ボックス１６にそれぞれチェックモジュール１４、１９を設け、一定時間毎の送信メールのランキングリスト１３および受信メールのランキングリスト１７を作成してウイルスを検知する。このランキングリスト１３、１７は、メール表題、件数、送信元アドレスおよび添付ファイル（ファイル名およびサイズ）等の項目を含んでいる。
【選択図】図１

Description

本発明はコンピュータウイルス検知方法に関し、特に電子メール（以下、単にメールという）に添付されているウイルスを早期に検出して処置するメール添付型ウイルス検知方法およびメールサーバに関する。

コンピュータウイルスは、他人のソフトウェアやデータベースに対して、意図的に何らかの被害を及ぼす目的で作られたプログラムである。ネットワークやフロッピディスク（ＦＤ）を介して「感染」を繰り返し、一定条件が整うまで「潜伏」し、或るとき突然「発病」する。斯かるコンピュータウイルスは、メールに添付されている場合が多い。そこで、コンピュータが斯かるウイルスに「感染」することなく、常に正常に動作させるには、受信するメールがウイルスに「感染」していないか検知・確認して、ウイルスに「感染」しているメール等を削除する必要がある。

斯かるウイルスの検出は、アンチウイルスソフトウェア（以下、アンチウイルスソフトという）を使用して行う。新種のメール添付型ウイルスにはクライアントＰＣ（パーソナルコンピュータ）内にあるアンチウイルスソフトの定義データファイルを常に更新する必要がある。最新ウイルスには、発生や最新ＤＡＴファイルがないか気を付けていなければならない。

ファイアウォール等の主要ネットワーク機器には、自動でアンチウイルスソフトの定義ＤＡＴファイルの更新をする機能がある。しかし、ウイルス発生後の解析と最新定義ファイル作成に時間がかかり、社内にウイルスが「蔓延」した後になってしまう場合があり、社内のＩＴインフラを圧迫してしまう。そこで、対応の定義ＤＡＴファイルなしにウイルスを早期発見することが望まれる。

コンピュータウイルスの検知に関する又は関連する従来技術は、幾つかの技術文献に開示されている。受信メールを保存後に、不正なコマンドの使用がないかを監視することにより、ウイルス検知を行う通信システム用のウイルス除去方法等が開示されている（例えば、特許文献１参照。）。メールサーバが送信以来もとの端末に送信依頼されたメールを送信依頼元へ返信し、ユーザの許可を得た後にメール送信処理を行うことにより、ウイルス付きメールの蔓延を防止する電子メール送信方法が開示されている（例えば、特許文献２参照。）。また、メールサーバとクライアントの送信履歴情報の差分情報に基づきウイルス感染を発見する異常検出方法、異常検出プログラム、サーバおよびコンピュータが開示されている（例えば、特許文献３参照）。

特開２００３−１６２４２３号公報（第４頁、第２図） 特開２００３−１７８００７号公報（第３頁、第１図） 特開２００４−２６０５７５号公報（第６頁、第１図）

上述の如き従来技術は、電子メールに添付され外部から転送される又は社内で蔓延し始めたメール添付型ウイルスには、メールサーバ内部検知機能や、クライアント側のウイルス検知ソフトウェアを利用して、メール文や添付文の内部情報を自動検索検知し、報告、駆除等を実施している。しかし、「ウイルスに対応する定義ＤＡＴファイルのシグニチャー」を元にするため、新種のウイルスの場合には、対応する定義ＤＡＴファイルがないために、検出することは不可能である。

従来技術では、「新種ウイルスに対応する定義ＤＡＴファイルのシグニチャー」ができた時点で確実にウイルス対策ができる。しかし、上述した定義ＤＡＴファイルが作成され、配布されるまでに時間が掛かりウイルスの被害に遭遇する。また、管理者が新種ウイルスの情報の収集を怠り、最新定義ＤＡＴファイルの更新を怠ると、急速に社内ＬＡＮにウイルスが蔓延するという課題がある。更に、メール添付型ウイルスは、社内において最初の感染ＰＣが発生しても判らず、ウイルスが社内に蔓延して初めて新種ウイルスに気が付くことになることもあった。

本発明は、従来技術の上述した課題に鑑みなされたものであり、斯かる課題を克服又は軽減するファイル添付型ウイルス検知方法およびメールサーバを提供することを主たる目的とする。

前述の課題を解決するため、本発明によるファイル添付型ウイルス検知方法およびメールサーバは、次のような特徴的な構成を採用している。

（１）電子メールを送受信するメールサーバで自己増殖するウイルスを検知するメール添付型ウイルス検知方法において、
前記メールサーバによる送信メールおよび受信メールの履歴情報によるランキングリストを作成するステップを備え、前記ランキングリストに基づき前記メールに添付されるウイルスを検知するメール添付型ウイルス検知方法。
（２）前記履歴情報のランキングリストは、予め決められた一定時間毎に作成する上記（１）のメール添付型ウイルスの検知方法。
（３）前記ランキングリストは、メール表題、件数および送信元アドレスを含む上記（１）又は（２）のメール添付型ウイルスの検知方法。
（４）前記ランキングリストは、添付ファイルのファイル名やサイズを更に含む上記（３）のメール添付型ウイルス検知方法。
（５）前記送信メールおよび受信メールランキングの相関リストを作成するステップを備える上記（１）乃至（４）の何れかのメール添付型ウイルス検知方法。
（６）前記送信メールおよび受信メールの一定時間毎のランキングリストの時間軸に対応する相関リストを作成するステップを備える上記（１）乃至（５）の何れかのメール添付型ウイルスの検知方法。
（７）送信されるメールを処理するメール送信ボックスおよび受信するメールを処理するメール受信ボックスを含むメールサーバにおいて、
前記メール送信ボックスおよび前記メール受信ボックスに対応して設けられたチェックモジュールを備え、それぞれ前記送信メールおよび受信メールのランキングリストを作成し、前記送受信メールに添付されるウイルス又はワームを検知するメールサーバ。
（８）前記送信メールおよび受信メールのランキングリストは、メール表題、件数、送信元アドレスおよび添付ファイルの項目を含む上記（７）のメールサーバ。
（９）前記ランキングリストは、所定時間内に送受信されるメールに基づいて作成される上記（７）又は（８）のメールサーバ。
（１０）更にウエーティング／消去メールボックスを備え、メール添付型ウイルスと判定されたメールを一旦保存し、管理者に警告メールを出す上記（７）乃至（９）のいずれかのメールサーバ。

本発明のメール添付型ウイルス検知方法によると、次の如き実用上の顕著な効果が得られる。即ち、送信メールボックスの各時間間隔送信メールリストの相関から導出された結果と、受信メールボックスの各時間間隔受信メールリストの相関から導出される結果との再相関を取ることにより、新種のメール添付型ウイルスを、対応するウイルス定義ファイルなしに高精度の初期対策を自動的に実施可能である。そして、本発明により、新種ウイルス型メールの社内からの発信、社外からの受信および社内への蔓延を防止でき、ネットワークが不通になるという最悪状態の回避が可能である。

以下、本発明によるメール添付型ウイルス検知方法の好適実施例の構成および動作を、添付図面を参照して詳細に説明する。

先ず、図１は、本発明によるメール添付型ウイルス検知方法の第１実施例の説明図である。このメール添付型ウイルス検知方法は、メール送信ボックス１１、このメール送信ボックス１１の入口に設けられたチェックモジュール（又はウイルス検知モジュール）１４、メール受信ボックス１６およびこのメール受信ボックス１６の入口に設けられたチェックモジュール１９を備えているメールサーバ１０Ａにより実施される。そして、これらチェックモジュール１４および１９は、ＳＭＴＰ（Simple Mail Transfer Protocol）による電子メールを受け取るように構成されている。

図１に示すメール添付型ウイルス検知方法は、メールサーバのシステム構成を使用する場合の例である。メール送信ボックス１１は、社内からの送信されるメールを処理する。チェックモジュール１４は、社内からの送信メールに含まれるメール添付型ウイルス又はワームを検知する。メール受信ボックス１６は、外部（社外）から受信するメールを処理する。チェックモジュール１９は、外部からの受信メールに含まれるメール添付型ウイルス又はワームを検知する。

図１に示すメール添付型ウイルス検知方法では、説明の便宜上、チェックモジュール１４および１９をそれぞれ対応するメール送信ボックス１１およびメール受信ボックス１６の前に配置する構成である。しかし、これらチェックモジュール１４、１９は、対応するメールボックス１１、１６の前後いずれでもよい。

次に、図１に示すメール添付型ウイルス検知方法の全体動作の概略を説明する。先ず、メール送信の場合について説明する。送信メールは、チェックモジュール１４を通り、既に設定されている定義ＤＡＴファイルを使用してメールを「検疫」し、既存のウイルス又はワームを「除去」する。その後、一定時間間隔の送信メールランキングリスト１３を作成しながらメール送信ボックス１１に保持される。この送信メールランキングリスト１３は、一定時間間隔（但し、設定で間隔変更可能である）で作成され、時間推移のメール送信状況を示すことになる。

次に、メール受信の場合について説明する。メール受信の場合も、上述したメール送信の場合と同様に、受信メールはチェックモジュール１９を通り、既に設定されている定義ＤＡＴファイルを使用してメールを「検疫」し、既存のウイルス又はワームを「除去」する。その後、一定時間間隔の受信メールランキングリスト１７を作成しながらメール送信ボック１６に保持される。この受信メールランキングリスト１７は、一定時間間隔（但し、設定で間隔変更可能である）で作成され、時間推移のメール受信状況を示すことになる。

図２は、本発明によるメール添付型ウイルス検知方法の第２実施例の説明図である。この実施例において、説明の便宜上、図１の実施例と対応する構成要素には同様の参照符号を使用する。このメールサーバ１０Ｂは、メール送信ボックス１１、チェックモジュール１４、メール受信ボックス１６およびチェックモジュール１９を備えている。チェックモジュール１４および１９は、それぞれ送信メールランキングリスト１３および受信メールランキングリスト１７を作成する。また、これらランキングリスト１３および１７の相関リスト１５および１８を作成する点で、第１実施例と同様である。

しかし、この第２実施例では、上述した相関リスト１５および１８の両相関性結果の再相関２０が追加されている。更に、メール添付型ウイルスと判定されたメールを一旦保存するウエーティング／消去メールボックス２１を備えている。この追加されたメールボックス２１は、送信側２２および受信側２３に分離されている。

以下、図１に示す本発明によるメール添付型ウイルス検出方法の第１実施例の動作を詳細に説明する。ある社員（が使用するＰＣ）が、メール添付型ウイルスに「感染」したと仮定する。この「感染」が広がるにつれ、先ず送信メールに数種類の同一表題を持つ増殖メールが増加し始める。それが「２次感染」、「３次感染」を引起しながら次々と他の社員に「蔓延」する状態になる。自己増殖型のウイルスであるため、受信メール側でも、送信メール側でもウイルスに「感染」したメール数は図４に示す如く、指数関数的な（又はある時点で急激に増加する）増殖曲線を描く。

図４において、横軸は経過時間を示し、縦軸はウイルス増殖件数（又はウイルスに感染したメール：ウイルス付メールＡの送受信件数）を示す。時間は、多数のウイルスが増殖している現在時点から一定時間である例えば１０分毎に、１０分前、２０分前、３０分前、・・・・の状態を示す。図４に示す如く、自己増殖のウイルスは、ある時点でバースト的に発生するという特徴と有する。そのために、自動で送付されるウイルス付きメールは、単位時間のランキングで上位に来る。また、ウイルスは、必ずしも単一表題であるとは限らず、発見される確率を低下する（発見を困難にする）ために複数表題（例えば、表題Ａ、表題Ｂおよび表題Ｃ）で送信される場合もある。

図４のＢに示すように、ウイルスに感染していない”正式な一斉配信”のメールも単位時間のランキングのみでは上位に来る。そのため、このような正式メールを適切に転送中止、あるいは、消去対象から自動に排除する必要がある。このために１つの単位時間のランキング上位を他時間のランキング上位と連係判断を実施することで適切な判断をする。自動で送付されるウイルス付きメールは、時間経過と共に、その送信個数は必ず増加する。しかし、正式な一斉配信メールは、一時的にはバースト的に増加するが、それ以後増加することはありえない。つまり、他単位時間のランキングリストには、０になる。仮に、２つのランキングリストに２分割されても、３つめのランキングリスト上で０となり常に個数増加するウイルスに感染したメールとことなった動きになる。つまり、複数ランキングリストを現在ランキングリストに重みを置いた相関関係を用いることで、”ウイルス付メール”と”正式な一斉配信”を分離することが可能になる。

次に、図３は、受信メールランキングリスト１７のうち特定時間における受信メールランキングリスト１７の具体例を示す。図３に示す受信メールランキングリスト１７の具体例には、ランキング（順位）、項目又はメール表題、件数、送信元アドレスおよび添付ファイル（ファイル名やサイズ）を含んでいる。この特定例では、一定時間間隔（例えば、１０分間）で同一表題、例えば「Ｈｅｌｌｏ」を有する３５件のメールが上位（第１位）にランクされている。このように、送受信メールランキングリスト１３、１７は、上述の如き項目により分類され、ランキングリスト化される。送信元アドレスは同一である場合もあるし、バラバラの場合もある。

自己増殖するメール添付型ウイルスは、発見率を下げるため、同一表題のメールの発信ではなく、複数の表題をとるのが一般的である。そのため、複数の表題にてランキングをとることにより、このような場合にも対処する。更に、メールの送信先、送信元のメールアドレスは、ユーザの登録メールアドレス帳よりランダムされる場合が多いが、多数に配信される一斉メールを識別できるように「送信元メールアドレス」を入れる。

また、ウイルス本体は、電子メールへの添付ファイルの形で配布されることが多い。そのため、その添付という特徴にて分類することにより、ウイルス特定精度を上げることが可能である。そこで、この特定実施例では、「添付ファイルサイズ」を付加している。

本発明では、バースト的に送付される正式一斉配信メールを正しく分離することも考慮してある。一時期的に、正式一斉配信もランキング上位になるが、２０分前、１０分前、現在および未来の１０分後、２０分後の各ランキングリストで、常に上位ランクに保持されることは、殆ど皆無に近い。このため、受信メールおよび送信メール別に各時間間隔のランクを用い、時間軸で相関を取る方式を採用している。また、一斉配信等は、同一送信元から出ることが多いために、「送信元アドレス」を項目として持っており、これを条件に簡易判定をしても良い。

その結果、受信側および送信側でその相関結果のウイルス又はワーム検知用のランキングリスト１５、１８が作成できる。この相関結果ランキングリスト１５、１８は、時間間隔リスト間の重み付け係数、ランキング順位の重み付け値とするシステムとしている。設定値、メール環境に合わせデフォルト設定値から変更可能である。

ウイルスが「蔓延」したときには、送信メール相関結果リスト１５、受信メール相関結果リスト１８の上位になり、両結果相関リスト１５、１８の再相関リストを作成し判別することで判別精度を上昇できることも可能である。ただ、一方向だけで結果相関リストからウイルス検知を各ウイルス検知用のチェックモジュール１４、１９に導入して検知する検知方法は、検出が早いために、設定は係数等で状況に合わせる方法を採用する。

更に、送受信ランキングリストの測定時間間隔が小さいとき、再相関の結果で追加の時間相関をとってもよい。各ウイルス検出モジュール１４、１９の相関型検出データは、新相関結果が出たときに、置換えられる。その結果、メール添付型ウイルスと判定されたメールは、一旦ウエーティング／消去メールボックス２１の、受信側２３、送信側２２に保存される。これにより、管理者に警告メールが出る。そして、管理者がメールヘッダや添付ファイルに、セキュリティ各社が提供する最新情報に基づき消去ボックス内のメールを判断して対処する。

以上、本発明によるメール添付型ウイルス検知方法およびメールサーバの好適実施例について詳述した。しかし、斯かる実施例は本発明を例示するに過ぎず、何ら本発明を限定するものではないことに留意されたい。本発明の要旨および精神を逸脱することなく特定用途に応じて種々の変形変更が可能であること、当業者には容易に理解できよう。

例えば、上述した実施例では、送信メールボックスの各時間間隔における送信メールリストの相関から導出された結果と、受信メールボックスの各時間間隔における受信メールリストの相関から導出される結果との、再相関を取る方法を用いたが、受信、送信メールボックスの時間相関を独立判断でウイルス対策することも可能である。この方が、両メールボックスの時間相関リストの再相関よりも、ウイルスの社内蔓延対応が早く実施できる。

また、受信および送信用メールボックスを持つメールサーバの説明のため、受信の時間相関リスト、送信の時間相関リストの概念を持っていたが、基本概念をＩＤＳ（侵入検知システム）に適用する場合には、時間相関リスト項目に送信者ＩＰアドレスを加え、ウイルス感性者のクライアントＰＣを特定することもできる。

本発明によるメール添付型ウイルス検知方法の第１実施例の説明図である。 本発明によるメール添付型ウイルス検知方法の第２実施例の説明図である。 本発明における送信メールランキングリストの１例を示す図である。 自己増殖型ウイルスの特性を示す図である。

符号の説明

１０Ａ、１０Ｂ メールサーバ
１１ メール送信ボックス
１３ 送信メールランキングリスト
１４、１９ チェックモジュール
１５、１８ 相関リスト
１６ メール受信ボックス
１７ 受信メールランキングリスト
２０ 再相関リスト
２１ ウエーティング／消去メールボックス

Claims (10)

1. 電子メールを送受信するメールサーバにおいて自己増殖するウイルスを検知するメール添付型ウイルス検知方法において、
   前記メールサーバによる送信メールおよび受信メールの履歴情報によるランキングリストを作成するステップを備え、前記ランキングリストに基づき前記メールに添付されるウイルスを検知することを特徴とするメール添付型ウイルス検知方法。
2. 前記履歴情報のランキングリストは、予め決められた一定時間毎に作成することを特徴とする請求項１に記載のメール添付型ウイルスの検知方法。
3. 前記ランキングリストは、メール表題、件数および送信元アドレスを含むことを特徴とする請求項１又は２に記載のメール添付型ウイルスの検知方法。
4. 前記ランキングリストは、添付ファイルのファイル名やサイズを更に含むことを特徴とする請求項３に記載のメール添付型ウイルス検知方法。
5. 前記送信メールおよび受信メールランキングの相関リストを作成するステップを備えることを特徴とする請求項１乃至４の何れかに記載のメール添付型ウイルス検知方法。
6. 前記送信メールおよび受信メールの一定時間毎のランキングリストの時間軸に対応する相関リストを作成するステップを備えることを特徴とする請求項１乃至５の何れかに記載のメール添付型ウイルスの検知方法。
7. 送信されるメールを処理するメール送信ボックスおよび受信するメールを処理するメール受信ボックスを含むメールサーバにおいて、
   前記メール送信ボックスおよび前記メール受信ボックスに対応して設けられたチェックモジュールを備え、それぞれ前記送信メールおよび受信メールのランキングリストを作成し、前記送受信メールに添付されるウイルス又はワームを検知することを特徴とするメールサーバ。
8. 前記送信メールおよび受信メールのランキングリストは、メール表題、件数、送信元アドレスおよび添付ファイルの項目を含むことを特徴とする請求項７に記載のメールサーバ。
9. 前記ランキングリストは、所定時間内に送受信されるメールに基づいて作成されることを特徴とする請求項７又は８に記載のメールサーバ。
10. 更にウエーティング／消去メールボックスを備え、メール添付型ウイルスと判定されたメールを一旦保存し、管理者に警告メールを出すことを特徴とする請求項７、８又は９に記載のメールサーバ。
    

Images