JP2006517310A - 組織の電子メールメッセージにおいて悪質コードの存在を検知する方法およびシステム - Google Patents

Abstract

本発明は、組織の電子メールメッセージにおいて悪質コードの存在を検知する方法と、そのためのシステムとを対象とするものである。前記方法は、前記組織の着信電子メールメッセージおよび送信電子メールメッセージまたはいずれか一方に関する情報を収集するステップ（２０２）と、前記メッセージ中で悪質コードの存在を指摘し得る前記収集情報の共通点を発見するために前記収集情報を分析するステップ（２０３）と、発見した共通点および発見した共通点の組み合わせまたはそのいずれか一方により、前記電子メールメッセージ中での悪質コードの存在の嫌疑を決定するステップ（２０４）と、前記電子メールメッセージ中での悪質コードの存在の嫌疑を確定した時点で、警報手順を起動するステップ（２０５）とを含む。

Description

本発明は、悪質コード検知の分野に関する。より詳細には、本発明は、組織の電子メールメッセージにおいて悪質コードの存在を検知するための方法およびシステムに関する。

インターネットが通信媒体として普及するほど、ユーザーが電子メールサービスを利用する度合いも増大する。その結果、電子メールは、コンピューターウイルスをはじめとするその他の悪質コードを伝搬する主要な経路の１つとなる。
電子メールを通じて悪質コードを伝搬する最も一般的な方法は、電子メールメッセージに悪質コードを添付するものである。場合によっては、添付ファイルについて、ユーザーが例えばアイコンで知らせを受けると、それをもとに実行可能ファイルを起動するか否かを決定することができる。しかし、場合によっては、メッセージが開かれる瞬間、もしくは開かれる以前のメッセージがプレビューされる際に、悪質コードが自動的に実行される（いくつかの電子メールソフトウェアバージョンでは、ユーザーが電子メールメッセージを開く前に電子メールメッセージをプレビューできるようになっている）。例えば、ＨＴＭＬ形式の電子メールメッセージを表示すると、悪質コードを含むおそれのあるコード（例えばJava(登録商標） Applet）をも実行する場合がある。
電子メールクライアントソフトウェア製品では、ユーザーが通信する際に使用する通信相手の電子メールアドレスを含むアドレス帳を保存できるようになっている。電子メールクライアントは、また選択された送信済み電子メールメッセージおよび受信済み電子メールメッセージまたはそのいずれか一方を格納するが、それらもまた送信者の電子メールアドレスを含んでおり、さらに追加的な受信者がいる場合には、その電子メールアドレスも含んでいる。この電子メールアドレスの蓄積は、悪質コードを伝搬する悪意の目的に利用できる。なおまた、アドレス帳や電子メールメッセージからアドレスが引用された受信者が送信者と懇意である場合、多くの場合、受信者は、受け取った電子メールに悪質コードが含まれているとは疑わない。

電子メールメッセージにおいて悪質コードを検知する従来の方法では、電子メールをローカルレベルで検査、すなわち各々のメッセージとその付属の実行可能ファイルを１つずつ調べる。
ファイルにおけるウイルスやその他の形をとる悪質コードの検知は、２つの主要な方法、すなわちウイルスシグネチャーとコードの分析によって遂行される。しかし実際には、このことを目的とする従来技術において、周知の方法は、他にも多数存在する。
「ウイルスシグネチャー」は、感染したコードにウイルスが残す特有のビットパターンである。これを指紋のように、特定のウイルスの検知と識別に役立てることができる。前記シグネチャー分析の大きな欠点は、最初に（感染したコードを元のコードと比較することにより）ウイルスを検知し、隔離しなければならないことである。そのようにして、初めてウイルス対策の企業は、ユーザーの間でシグネチャー特性を配布できる。
前記シグネチャー分析の別の欠点として、ウイルスの「作者」は、非有効機械語コマンドを有効機械語コマンド間に追加することによって、シグネチャーのなり済ましをすることがある。さらに、追加するコマンドは、無作為に選択できるため、シグネチャーが一定になることを回避できる。
実行可能ファイル内で悪質コードを検知する他の方法は、その動作を分析することである。悪質コードは、通常、実行可能ファイルの末尾に追加され、その実行可能ファイルは、実行されるべき最初のコマンドが追加されたコードとなるよう変更されるため、このような動作パターンは、悪質コードの指標となり得る。コード分析方法の大きな欠点は、その手順が単純ではないこと、またその結果、有意義な成果を得るまでに多大な労力を余儀なくされることである。そのうえ、感染の成果にはあたらない悪質な実行可能ファイルは、実際には「正当な」実行可能ファイルであり、したがって悪質なものとして指摘するのは、非常に困難である。
前記組織レベルでは、組織のローカルネットワークのゲートウェイか、またはそのメールサーバーにおいてフィルタリング機構を設置するのが一般的であり、それにより、ユーザーのメールボックスに届けられるよりも前に、各着信電子メールメッセージを検査することが可能になる。実際、この解決法によれば、前記組織は、単一のユーザーとして扱われる。アラジン ノゥリッジ システムズ（Aladdin Knowledge Systems）(www.eAladdin.com)が製造および販売しているeSafe Gatewayは、そのような製品の一例である。また、ユーザーのマシンだけでウイルスをフィルターする他の組織もある。この場合には、例えば自身のウイルス対策プログラムの更新を怠ったために感染したユーザーが、組織全体に被害を与えるおそれがある。
組織レベルで作動するフィルタリング機構は、ローカルレベルのフィルタリング機構と同じ仕組みで作動する。すなわち、各着信電子メールメッセージを別々に検査するため、前述したローカルフィルタリング機構と同じ欠点を有する。

したがって、本発明の目的は、前記組織レベルで実施される個別ウイルス検知方法よりも優れた、組織の電子メールメッセージにおいて悪質コードの存在を検知するための方法とシステムとを提供することである。
本発明の他の目的は、未知のウイルスを検知できる、組織の電子メールメッセージにおいて悪質コードの存在を検知するための方法とシステムとを提供することである。
本発明の他の目的と利点は、説明が進むにつれて明らかとなろう。

１つの態様において、本発明は、組織の電子メールメッセージにおいて悪質コードの存在を検知する方法を対象とするものであって、前記組織の着信電子メールメッセージおよび送信電子メールメッセージまたはそのいずれか一方に関する情報を収集するステップと、前記メッセージ中で悪質コードの存在を指摘し得る収集情報の共通点を発見するために収集情報を分析するステップと、発見した共通点および発見した共通点の組み合わせまたはそのいずれか一方により、前記電子メールメッセージ中で悪質コードの存在の嫌疑を決定するステップと、そして前記電子メールメッセージ中での悪質コードの存在の嫌疑を確定した時点で、警報手順を起動するステップを含む。
別の態様において、本発明は、組織の電子メールメッセージにおいて悪質コードの存在を検知するシステムを対象とするものであって、前記システムは、着信電子メールメッセージおよび送信電子メールメッセージに関する収集情報を格納する格納手段と、電子メールメッセージ内での悪質コードの存在の可能性を決定する際に共通点を格納情報の中で決定する、１つまたは複数のアナライザーとを備える。

本発明は、添付の図面を参照することで、より良く理解されよう。
本明細書において「悪質コード」という用語は、ユーザーが自らのコンピューターを意図した通りに使用することを阻むあらゆる種類のソフトウェアを指す。ここには実行可能ファイル（例えばWindows(登録商標） EXEファイル）、敵対的なJava(登録商標） Applet、ActiveXバンダル、トロイの木馬、スクリプト、バンダル、デジタル情報を破壊、もしくは盗用すべく設計されたウイルスや、その他のものが含まれる。したがって、「悪質な活動」という用語は、本明細書において、ユーザーが自らのコンピューターを意図した通りに使用することを阻むことを目的とした悪質コードの、あらゆる活動を指す。
図１は、従来技術による、電子メール送達およびフィルタリングの動作とインフラストラクチャーとを概略的に示す図である。メールサーバー１０は、ユーザー４１から４４にそれぞれ帰属する電子メールアカウント１１から１４を保持する。別のメールサーバー２０は、ユーザー２１から２３のために働くものである。前記メールサーバー１０は、また着信電子メールメッセージ内で悪質コードの存在を検知するための電子メールフィルタリング機構１５を備える。メールサーバーは、メール転送エージェント（ＭＴＡ）によって別のメールサーバーと通信する。前記ＭＴＡは、前記メールサーバーの一部であることも、独立した存在であることもある。図１を参照すると、ＭＴＡ１９と結合するメールサーバー１０は、ＭＴＡ１９によって、インターネット１００を通じてメールサーバー２０のＭＴＡ２９と通信する。
例えばユーザー２１から例えばユーザー４２にかけて送信される電子メールメッセージは、前記メールサーバー２０を通過し、前記インターネット１００を通じて、メールサーバー１０に到達する。前記メールサーバー１０では、前記フィルタリング機構１５によってこの電子メールメッセージがスキャンされ、さらに悪質コードが検知されない場合には、ユーザー４２に帰属する電子メールボックス１２の中に格納される。次回、ユーザー４２は自身のメールボックス１２を開ける際に、送達された電子メールメッセージに気付く。

図２は、従来技術による、組織に着信する電子メールのフィルタリング活動を概略的に示す図である。組織の前記メールサーバー１０に到着した電子メールメッセージ１は、前記フィルタリング機構１５によってスキャンされる。前記電子メールメッセージ１内で悪質コードが発見されなければ、前記組織内のしかるべき電子メールクライアントに前記電子メールメッセージが送達され、悪質コードが発見された場合は、受信者に対して適宜なメッセージが送信される。勿論、発見された悪質コードについて受信者に通知する代わりに、あるいは通知することに加えて、前記フィルタリング機構１５は、前記電子メールメッセージから前記悪質ファイルを取り除いてもよく、また、前記ファイルから前記悪質コードを除去してもよい。
図３は、本発明の好適な実施形態により、組織に着信する不審な電子メールを検知する処理とシステムを概略的に示す図である。
本発明の好適な実施形態によると、各々の着信電子メールメッセージを個別に検査する従来技術とは反対に、送信／着信電子メールメッセージの電子メールアドレスの中で共通点を判定することによって、前記組織レベルで悪質な活動の検知を遂行する。
本発明の好適な実施形態によると、悪質な活動の検知に用いる情報は、前記組織の着信／送信メールの電子メールアドレスである。
電子メール形式は、フィールド、例えば送信者の電子メールアドレス、受信者（一名または複数名）の電子メールアドレス、電子メールメッセージ本文、その他から成る。電子メールアドレスもまたフィールドから成る。
例：
"owner_name"<mailbox_name@mail_server_name>は、一般的な電子メールアドレス形式である。"Joseph Smith"<jsmith@hotmail.com>は、この形式に一致する電子メールアドレスである。

本発明の好適な実施形態によると、ある１つの送信元から受信した複数のメッセージから成る集団のowner_nameフィールドがアルファベット順に並んでいる場合、それは当該の送信元を信用できないこと、したがって、この送信元からのメッセージは、悪質な内容を含んでいる可能性があることを指摘するものである。メールボックス名フィールドにも同じことが当てはまる。したがって、アルファベット順に並んだある１つの送信元からの着信電子メールメッセージは、不審なものとして扱うことができる。
ここで図３を参照すると、データベース１７は、着信電子メールメッセージおよび送信電子メールメッセージ１またはそのいずれか一方に関する情報を格納している（例えば、着信電子メールメッセージの宛先電子メールアドレスとその送信元の電子メールアドレス）。分析機構１６（ソフトウェアモジュール等）は、共通点を発見するため、例えば特定の送信者から届いたメッセージがアルファベット順で並んでいることを発見するため、データベース１７の中で収集された情報を検索し、分析する。
前記着信電子メールメッセージおよびその送信者またはそのいずれか一方が不審であると前記分析機構１６が指摘する場合には、その嫌疑を確証できるかまたは嫌疑の誤りを証明できるまで、電子メールメッセージの送達を一時的に保留してもよい。
勿論、着信電子メールメッセージを個別に分析するためにフィルタリング機構１５を利用してもよい。

前記データベース１７の中に格納されるデータは、一時的な性質のものであるため、暫く時間を置いた後、例えば１２時間後に、前記データベースから削除してもよい。
着信電子メールメッセージ中の共通点の例：
− ある送信者からの前記着信電子メールメッセージの受信者の名前がアルファベット順に並んでいる。
− ある送信者からの前記着信電子メールメッセージの電子メールアドレスがアルファベット順に並んでいる。
− ある送信者からの着信メッセージの前記受信者の大多数が、前記組織において有効ではないアドレスにあたる（たとえメールサーバー名が有効であっても。元来メールサーバー名が有効でなければ、その電子メールメッセージは、そのメールサーバーで受け付けられない）。
着信または送信電子メールメッセージ中の共通点の例：
− 着信／送信メールメッセージで繰り返される本文および添付ファイルまたはそのいずれか一方。
− 着信／送信メールメッセージで添付ファイル（１つまたは複数）が繰り返される。
− 着信／送信メールメッセージで添付ファイルの名称（１つまたは複数）が繰り返される。
なお、データベースという用語は、本明細書において、例えばメモリーアレイ等、あらゆる格納手段および検索手段を指すことに留意されたい。

図４は、本発明の好適な実施形態により、組織から送信する不審な電子メールを検知する処理とシステムとを概略的に示す図である。着信する電子メールメッセージの分析は、前記組織に害を及ぼす企てを示唆することもあるが、他方で、送信する電子メールの分析は、前記組織内ですでに実行された悪質な活動を示唆することもある。
図４を参照すると、電子メールボックス１１から送信された電子メールメッセージ２に関する情報は、データベース１７で収集される。分析機構１６は、データ中で共通点（１つまたは複数）の発見を試み、このような共通点が発見された場合には、前記電子メールが送信される以前の悪質コードの活動の可能性を推定するため、いくつかの発見的方法が実施される。
送信電子メールメッセージ中の共通点の例：
− 前記組織内のある送信者から送信する電子メールメッセージの受信者または電子メールアドレスがアルファベット順に並んでいる。
− 前記組織内のある送信者から送信する電子メールメッセージの前記受信者の大多数が、前記送信者のアドレス帳の中に存在する。
− 前記組織内のある送信者から送信する電子メールメッセージの受信者の大多数が、前記組織のアドレス帳の中に存在する。
− 前記組織内のある送信者から送信する電子メールメッセージの受信者の大多数が、前記組織のアドレス帳の中に存在しない。
− 前記組織内のある送信者から送信する電子メールメッセージの受信者の大多数が、前記送信者／組織のアドレス帳の順序で並んでいる。
− コンピューターがアイドル状態の時（例えば、ユーザーが（メールソフトウェアなどを）立ち上げていない時）に前記送信電子メールメッセージが送出された。

図５は、本発明の好適な実施形態による、不審な着信／送信電子メールメッセージを検知する処理のハイレベル・フローチャートである。
− 前記処理は、ステップ２０１で始まり、そこでは着信／送信電子メールメッセージ（１つまたは複数）が、それぞれの宛先に送付されるべく、メールサーバーに到着する。
− ステップ２０２では、宛先（１つまたは複数）、送信元および着信／送信電子メールメッセージの他の特徴についての情報を収集する。
− ステップ２０３では、データ中での共通点（１つまたは複数）を決定するため、収集情報を分析する。
− ステップ２０４では、１つまたは複数の共通点が指摘された場合に、前記着信／送信電子メールメッセージにおける悪質な存在の嫌疑を指摘するため、共通点（１つまたは複数）を用いる発見的方法（１つまたは複数）を実施する。
− 悪質なものの存在の嫌疑が指摘された場合には、処理は、ステップ２０５に進み、そこで警報手順を起動し、指摘されない場合には、処理は、ステップ２０６に進んで終了する。
本発明の好適な実施形態によると、組織の電子メールメッセージにおいて悪質コードの存在を検知するシステムは、
− 着信および送信電子メールメッセージに関する収集情報を格納する格納手段と、
− 格納された情報の中で少なくとも１つの共通点を決定し、さらに決定した共通点のうちの少なくとも１つおよび決定した共通点のうちの少なくとも２つの組み合わせまたはそのいずれか一方によって、前記電子メールメッセージ中での悪質コードの存在の可能性を指摘する、少なくとも１つのアナライザー、例えばソフトウェアアプリケーションを備える。
このような情報は、前記組織のメールサーバーおよび組織のクライアントマシンまたはそのいずれか一方によって収集してもよい。後者の場合には、情報をアナライザーに転送してもよく、あるいはローカルアナライザーによって分析してもよく、メインアナライザーには結論（すなわち、発見された共通点）のみを転送する。当業者にとって周知のように、このようなシステムでは、様々なアーキテクチャーを実現できる。
当業者であれば、本発明の範囲を損なうことなく、他の形式や方法によって本発明を実施できることを理解できよう。本明細書に記載された実施形態は、本発明を制限するものではなく、例示として見なすべきものである。

従来技術による、電子メール送達およびフィルタリング動作とインフラストラクチャーとを概略的に示す図。 従来技術による、組織に着信する電子メールのフィルタリング活動を概略的に示す図。 本発明の好適な実施形態による、組織に着信する不審な電子メールを検知する処理およびシステムを概略的に示す図。 本発明の好適な実施形態による、組織から送信する不審な電子メールを検知する処理およびシステムを概略的に示す図。 本発明の好適な実施形態による、不審な着信／送信電子メールメッセージを検知する処理のハイレベル・フローチャート。

符号の説明

１、２ 電子メールメッセージ、１０、２０ メールサーバー、１１〜１４ 電子メールアカウント、１５ 電子メールフィルタリング機構、１６ 分析機構、１７ データベース、１９、２９ ＭＴＡ、２１〜２３、４１〜４４ ユーザー、１００ インターネット。

Claims (11)

1. 組織の着信電子メールメッセージおよび送信電子メールメッセージまたはそのいずれか一方において悪質コードの存在を検知する方法であって、前記方法は、
   ａ）前記電子メールメッセージに関する情報を収集するステップと、
   ｂ）前記メッセージ中で悪質コードの存在を指摘し得る前記収集情報の少なくとも１つの共通点を発見するために、前記収集情報を分析するステップと、
   ｃ）少なくとも１つの発見された共通点および複数の発見された共通点の組み合わせまたはそのいずれか一方により、前記電子メールメッセージ中で悪質コードの存在の嫌疑を決定するステップと、
   ｄ）前記電子メールメッセージ中で悪質コードの存在の嫌疑を確定した時点で、警報手順を起動するステップ、と、
   を含む、悪質コードの存在を検知する方法。
2. 前記情報は、前記電子メールメッセージの少なくとも１つのフィールドを含む、請求項１に記載の方法。
3. 前記情報は、前記電子メールメッセージの電子メールアドレスの少なくとも１つのフィールドを含む、請求項１に記載の方法。
4. 前記着信電子メールメッセージの前記少なくとも１つの共通点は、
   − ある送信者から送信された電子メールメッセージの受信者のフィールドの内容がアルファベット順に並んでいる、
   − ある送信者から送信された前記電子メールメッセージの前記電子メールアドレスがアルファベット順に並んでいる、
   − ある送信者からの前記電子メールメッセージの前記受信者の大多数が前記組織において有効でないアドレスにあたる、
   − 前記電子メールメッセージで本文および添付ファイル（１つまたは複数）またはそのいずれか一方が繰り返されている、
   を含むグループから選ばれることにより、前記組織の外から悪質コードを送信する企てを指摘することを可能にする、請求項１に記載の方法。
5. 送信電子メールメッセージの前記少なくとも１つの共通点は、
   − 前記組織内のある送信者からの前記電子メールメッセージの前記宛先電子メールアドレスの少なくとも１つのフィールドのデータがアルファベット順に並んでいる、
   − 前記組織内のある送信者からの前記送信電子メールメッセージの前記受信者の大多数が前記送信者のアドレス帳の中に存在する、
   − 前記組織内のある送信者からの前記送信電子メールメッセージの前記受信者の大多数が前記送信者のアドレス帳の中に存在しない、
   − 前記組織内のある送信者からの前記送信電子メールメッセージの前記受信者の大多数が前記組織のアドレス帳の中に存在する、
   − 前記組織内のある送信者からの前記送信電子メールメッセージの前記受信者の大多数が前記送信者の前記アドレス帳の順序で並んでいる、
   − 前記組織内のある送信者からの前記送信電子メールメッセージの前記受信者の大多数が前記組織の前記アドレス帳の順序で並んでいる、
   − 前記コンピューターがアイドル状態の時に前記送信電子メールメッセージ（１つまたは複数）が送信された、
   − 前記電子メールメッセージで本文および添付ファイルまたはそのいずれか一方が繰り返されている、
   を含むグループから選ばれることにより、前記組織からの送信電子メールメッセージ中で悪質コードの存在を指摘することを可能にする、請求項１に記載の方法。
6. 組織の着信電子メールメッセージおよび送信電子メールメッセージまたはそのいずれか一方において悪質コードの存在を検知するシステムであって、前記システムは、
   − 着信電子メールメッセージおよび送信電子メールメッセージに関する収集情報を格納する格納手段と、
   − 前記格納情報の中で少なくとも１つの共通点を決定し、かつ前記決定した共通点のうち少なくとも１つおよび前記決定した共通点のうち少なくとも２つから成る組み合わせまたはそのいずれか一方により、前記電子メールメッセージ中での悪質コードの存在の可能性を指摘する少なくとも１つのアナライザーと、を備える、悪質コードの存在を検知するシステム。
7. − ローカル情報を分析するため、前記組織の前記対応するクライアントマシン（１つまたは複数）で作動できる少なくとも１つのローカルアナライザーと、
   − 前記組織レベルで情報を分析するための、少なくとも１つの中央アナライザーと、をさらに備え、前記少なくとも１つのローカルアナライザーが前記少なくとも１つの中央アナライザーによってアクセス可能である、請求項６に記載のシステム。
8. 前記格納手段は、前記組織の少なくとも１つのメールサーバー内に存在する、請求項６に記載のシステム。
9. 前記格納手段は、前記組織の前記クライアントマシン（１つまたは複数）に存在する、請求項６に記載のシステム。
10. 前記格納手段は、前記組織の少なくとも１つのメールサーバーによってアクセス可能である、請求項６に記載のシステム。
11. 前記アナライザーは、ソフトウェアアプリケーションである、請求項６に記載のシステム。

Images