JP2007172401A - 不正メール検知装置 - Google Patents

Abstract

【課題】 不正な処理によってメールサーバ名を取得するウイルスの動作を防止することができる不正メール検知装置を提供する。
【解決手段】 コンピュータウィルスによって、不正な電子メールが配信されることを検知する不正メール検知装置であって、電子メールを送信するために必要な正規のメールサーバ情報１４と、当該メールサーバ情報１４に対してダミーのダミーメールサーバ情報３３とを記憶しておき、ダミーメールサーバ情報設定ソフト実行部１５によって、不正ソフトウェア実行部１３によるダミーメールサーバ情報を用いて電子メールを作成する処理、又は、ダミーメールサーバ情報を用いて電子メールを送信する処理を検知した場合に、不正な電子メールが配信されることを検知する。
【選択図】 図２

Description

本発明は、ネットワーク上のウィルスのうち、不正なアプリケーションデータが添付されたメールデータの伝染を遮断するための不正メール検知装置に関する。

従来より、ウィルス検知技術としては、既知のウィルスについて定義ファイルと呼ばれる特徴情報を記述したデータを予め用意しておき、ウィルスに感染している可能性のあるファイルと定義ファイルとをパターンマッチングするものが知られている。この定義ファイルは、コンピュータウイルスに感染したファイルや、ネットワーク上で自己複製を繰り返すワームプログラムの特徴を収録したファイルであって、アンチウィルスソフト(ワクチンソフト)がコンピュータウイルスやワームを検出するために、定義ファイル内に収録された各ウイルスのパターンが検査対象のファイルと照合されて、パターンとの一致が見られるとそのファイルがウイルスに感染していると判断する。

また、従来から知られているウィルスの一種であるワーム対策としては、例えば、「http://www.nttdata.co.jp/netcom/pdf/nc04_ss_03.pdf」に記載されているようなものも挙げられる。

しかしながら、従来において、ウィルスの定義ファイルを用意しておくパターンマッチング型のウィルス検知技術では、定義ファイルがない新種のウィルスや亜種のウィルスを検知することができないといった問題がある。

そこで、本発明は、上述した実情に鑑みて提案されたものであり、不正な処理によってメールサーバ名を取得するウイルスの動作を防止することができる不正メール検知装置を提供することを目的とする。

本発明は、コンピュータウィルスによって、不正な電子メールが配信されることを検知する不正メール検知装置であって、上述の課題を解決するために、電子メールを送信するために必要な正規の設定情報と、当該設定情報に対してダミーの設定情報とを記憶した記憶手段と、正規の設定情報を用いて、電子メールを送信する送信手段と、コンピュータウィルスによる動作によって、ダミーの設定情報を用いて電子メールを作成する処理、又は、ダミーの設定情報を用いて電子メールを送信する処理を検知した場合に、不正な電子メールが配信されることを検知する検知手段とを備える。

本発明に係る不正メール検知装置によれば、電子メールを送信するために必要な正規の設定情報と、当該設定情報に対してダミーの設定情報とを記憶手段に予め記憶しておき、コンピュータウィルスによる動作によって、ダミーの設定情報を用いて電子メールを作成する処理、又は、ダミーの設定情報を用いて電子メールを送信する処理を検知した場合に、不正な電子メールが配信されることを検知するので、不正な処理によってメールサーバ名を取得するウイルスの動作を防止することができる。

以下、本発明の実施の形態について図面を参照して説明する。

本発明は、例えば図１に示すように、端末１Ａ、１Ｂと、メールサーバ２，３と、ダミーメールサーバ１００とを有し、端末１Ａにコンピュータウィルスが感染して、不正な電子メールデータをメールサーバ２，３に送信するコンピュータウィルスの動作を検知する不正メール検知システムに適用される。この実施形態では、例えば端末１Ａがコンピュータウィルスに感染してしまい、端末１Ａから送信される不正な電子メールデータを検知する場合について説明する。

通常、この不正メール検知システムにおいて、端末１Ａから端末１Ｂにメールデータを送信する場合、先ず端末１Ａは、宛先メールアドレスを「hanako@osaka.jp」としたメールデータを作成すると、当該端末１Ａのメールクライアント設定で登録されているメールサーバ名「mail.tokyo.jp」のメールサーバ（ＳＭＴＰ（Simple Mail Transfer Protocol）サーバ）２に、電子メールデータを送信する。

この電子メールデータは、ホスト名「mail.tokyo.jp」のメールサーバ２で受信されると、メールサーバ２は、当該電子メールデータに含まれている電子メールデータの宛先を認識し、当該電子メールデータの宛先の端末１Ｂがアクセスできるメールサーバ３に電子メールデータを転送する。そして、端末１Ｂは、メールサーバ３にアクセスしてメールボックスを確認することによって、端末１Ａから送信された電子メールデータを取得できる。

不正メール検知システムは、端末１Ａに設定されたメールサーバ２のメールサーバ名を取得して不正な電子メールデータをメールサーバ２に送信するタイプのコンピュータウィルスの動作（以下、タイプ（１）と呼ぶ。）、端末１Ａから送信した電子メールデータを盗聴してメールサーバ名を不正に取得して、不正な電子メールデータをメールサーバ２に送信するタイプのコンピュータウィルスの動作（以下、タイプ（２）と呼ぶ。）、端末１Ａから電子メール送信先の端末が接続するメールサーバ３のメールサーバ名を予測して不正な電子メールデータをメールサーバ３に送信するコンピュータウィルスの動作（以下、タイプ（３）と呼ぶ。）を防止できる。

このようなタイプ（１）〜（３）のコンピュータウィルスの動作を検知するために、不正メール検知システムにおける端末１Ａは、図１に示すように、端末１Ａ内部に、正規のメールサーバ２，３に関する設定情報のみならず、ダミーのメールサーバに関する情報を記憶しておき、当該ダミーの情報を使用した不正な電子メールデータがネットワークを介して送信されている場合に、当該電子メールデータを不正なものと判定する。

以下、タイプ（１）のコンピュータウィルスによる不正な電子メールデータの配信を防止する第１実施形態、タイプ（２）のコンピュータウィルスによる不正な電子メールデータの配信を防止する第２実施形態、タイプ（３）のコンピュータウィルスによる不正な電子メールデータの配信を防止する第３実施形態についてそれぞれ説明する。

［第１実施形態］
図１に示すように、端末１Ａが、端末の設定からメールサーバ名を取得するタイプ（１）の不正なウィルスに感染して、図２に示すように不正ソフトウェア実行部１３が形成されてしまうと、当該不正ソフトウェア実行部１３の機能によって、正規なメールサーバ名が取得されてしまう（図１の（１））。そして、不正ソフトウェア実行部１３は、当該取得したメールサーバ名のメールサーバ２に、アドレス「hanako@osaka.jp」を宛先としウィルスファイルを添付した電子メールデータＭに送信すると（図１の（２））、当該メールサーバ２からメールサーバ３に電子メールデータＭが転送され（図１の（３））、端末１Ｂがメールサーバ３のメールボックスの確認を行うと（図１の（４））、ウィルスファイルを添付した電子メールデータＭが端末１Ｂで取得されてしまう（図１の（５））。

タイプ（１）のコンピュータウィルスに対抗する端末１Ａには、図２に示すように、例えば他の端末から送信された不正なメール内容をプレビュー又は不正な添付ファイルを実行してしまったために、アプリケーション層に不正ソフトウェア実行部１３が実装されている。また、端末１Ａは、基本ソフトウェアとメールクライアントソフトウェアとダミーメールサーバ情報設定ソフトウェアがインストールされることによって、基本ソフトウェア実行部１１と、メールクライアントソフトウェアを実行するメールクライアントソフトウェア実行部１２とダミーメールサーバ情報設定ソフト実行部１５とを備え、更に、メールサーバ情報記憶部１４を備えて構成されている。

メールサーバ情報記憶部１４には、電子メールデータを転送する正規のメールサーバ２を特定するメールサーバ情報と、当該メールサーバ情報に対してダミーのダミーメールサーバ情報とを含む設定データが格納されている。

メールサーバ情報は、正規のメールサーバ２のメールサーバ名及びＩＰアドレス、自己のメールアドレス、電子メール送信先のメールアドレス帳等を含み、メールクライアントソフトウェア実行部１２によって参照されて正規の電子メールデータが作成可能となっている。また、ダミーメールサーバ情報は、ダミーメールサーバ１００のメールサーバ名及びＩＰアドレス等である。

メールサーバ情報とダミーメールサーバ情報とは、予め設定された記述位置にメールサーバ情報及びダミーメールサーバ情報を記述しても良く、ランダムな記述順序、又は、端末１Ａのユーザによって任意の記述順序としても良い。また、このメールサーバ情報及びダミーメールサーバ情報は、例えばメールクライアントソフトウェア実行部１２のバージョンアップ等によって、設定データの形式が変更となった場合には、メールサーバ情報及びダミーメールサーバ情報の記述形式が変更される。ダミーメールサーバ情報は、後述のダミー情報設定部３４によってメールサーバ情報記憶部１４に格納され、メールサーバ情報に対する記述順序が設定される。

メールクライアントソフトウェア実行部１２は、メールサーバ情報記憶部１４を参照して、電子メールデータを作成する。メールクライアントソフトウェア実行部１２は、メールサーバ情報記憶部１４の設定データのうち、メールサーバ情報を読み込むように設定されている。メールクライアントソフトウェア実行部１２は、正規のメールサーバ２のメールサーバ名及び当該メールサーバ名のＩＰアドレス、電子メール送信先のアドレスをメールサーバ情報記憶部１４から取得して、電子メールデータを作成する。

基本ソフトウェア実行部１１は、ネットワークと接続された通信インターフェース部２１とＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）通信制御部２２と、ダミーメールサーバ情報設定ソフト実行部１５で検知された不正ソフトウェア実行部１３で作成された可能性のあるファイルを管理するファイル管理部２３と、不正ソフトウェア実行部１３が実装された場合に当該不正ソフトウェア実行部１３のプロセスを管理できるプロセス管理部２４とを備える。

この基本ソフトウェア実行部１１は、メールクライアントソフトウェア実行部１２によってメールサーバ情報記憶部１４のメールサーバ情報を参照して正規の電子メールデータが作成されると、当該電子メールデータがＴＣＰ／ＩＰ通信制御部２２に渡される。ＴＣＰ／ＩＰ通信制御部２２は、受け渡された電子メールデータの先頭にＴＣＰヘッダ又はＵＤＰ（User Datagram Protocol）ヘッダのトランスポート層ヘッダ，ＩＰ層ヘッダを付加したＩＰパケットを作成して、ダミーメールサーバ情報設定ソフト実行部１５に出力する。そして、この電子メールデータは、通信インターフェース部２１によって当該ＩＰパケットにリンク層ヘッダ等を付加して所定の変調処理等が施されて、ネットワークに送出される。

また、ネットワークから端末１Ａ宛に送信された電子メールデータを含むＩＰパケットは、通信インターフェース部２１によって復調処理等が施された後に、ＴＣＰ／ＩＰ通信制御部２２で解析されて、メールクライアントソフトウェア実行部１２に渡される。

不正ソフトウェア実行部１３は、端末１Ａに実装されると、上述の図１に示した（１）、（２）の手順を実現させるために、メールサーバ情報記憶部１４にアクセスして、メールサーバ２のメールサーバ名又はダミーメールサーバ１００のメールサーバ名を取得すると、当該何れかのメールサーバ名を使用して電子メールデータを作成して基本ソフトウェア実行部１１から送信させる。

このような不正ソフトウェア実行部１３で実現される機能に対し、端末１Ａは、ＴＣＰ／ＩＰ通信制御部２２で作成されたパケットを監視して不正な電子メールデータの送信を遮断するための機能として、ダミーメールサーバ情報設定ソフト実行部１５を備えている。ダミーメールサーバ情報設定ソフト実行部１５は、パケットフック部３１と、駆除部３２と、ダミーメールサーバ情報記憶部３３と、ダミー情報設定部３４とを備える。

ダミーメールサーバ情報記憶部３３には、メールサーバ情報記憶部１４に格納するダミーメールサーバ１００のダミーメールサーバ名を含むダミーメールサーバ情報が記憶されている。ダミー情報設定部３４は、ダミーメールサーバ情報記憶部３３に記憶されたダミーメールサーバ情報を読み出して、メールサーバ情報記憶部１４に記憶させる。ダミー情報設定部３４は、ダミーメールサーバ情報をメールサーバ情報記憶部１４に記憶させる場合に、その記述順序をランダム又は任意とする。

このダミー情報設定部３４は、図３に示すように、先ずメールクライアントソフトウェア実行部１２の設定ファイルやレジストリの位置、フォーマット（形式）をメールサーバ情報記憶部１４又は外部から取り出す（ステップＳ１）。次にダミー情報設定部３４は、正規のメールサーバ情報に対するダミーメールサーバ情報の記述順序を決定する（ステップＳ２）。このとき、ダミー情報設定部３４は、予め設定された先頭位置にダミーメールサーバ情報を配置するように記述順序を決定しても良く、図示しないユーザインターフェースからの命令によってダミーメールサーバ情報の記述順序を決定しても良く、更には乱数によってランダムな配置となるようにダミーメールサーバ情報の記述順序を決定しても良い。そして、ダミー情報設定部３４は、当該記述順序となるようにメールサーバ情報記憶部１４にダミーメールサーバ情報を追加する（ステップＳ３）。

このように、ダミー情報設定部３４によって、メールサーバ情報に対するダミーメールサーバ情報の記述順序を調整することによって、設定データの先頭に記述されて一番最初に検出されたメールサーバ名を不正に取得するコンピュータウィルスや、設定データの色々なメールサーバ名を総当たり的に利用するコンピュータウィルスによって不正ソフトウェア実行部１３が実装されても、後述のダミーメールサーバ情報設定ソフト実行部１５によって、双方のタイプのコンピュータウィルスの動作を検知可能とする。

パケットフック部３１は、ＴＣＰ／ＩＰ通信制御部２２で作成されて、通信インターフェース部２１に渡されるべきＩＰパケットを横取りすると、当該ＩＰパケットを駆除部３２に出力する。

駆除部３２は、電子メールデータの宛先がダミーメールサーバ１００であるか否かを判定する。駆除部３２は、電子メールデータの宛先がダミーメールサーバ１００のメールサーバ名である場合、ＩＰパケットを破棄する。また、電子メールデータの宛先がダミーメールサーバ１００ではない場合、ＩＰパケットをパケットフック部３１を介して通信インターフェース部２１に転送する。

駆除部３２は、ダミーメールサーバ１００が宛先となっている不正な電子メールデータを判定した場合、当該不正な電子メールデータを送信するプロセスを特定する。また、駆除部３２は、不正な電子メールデータを作成する実行ファイルを特定する。

このとき、駆除部３２は、プロセス管理部２４で管理している基本ソフトウェア及びアプリケーション層ソフトウェアで行っているプロセスの情報（ログ情報）から、不正な電子メールデータを作成して送信するプロセスを特定する。そして、駆除部３２は、基本ソフトウェア及びアプリケーション層ソフトウェアで不正な電子メールデータを作成して送信するプロセスがプロセス管理部２４で検出されたことを示す情報を取得した場合には、当該プロセスを強制終了させる。また、駆除部３２は、ファイル管理部２３で管理している実行ファイルから、不正な電子メールデータを作成して送信するプロセスを実行している実行ファイルを特定し、当該実行ファイルを削除するようにファイル管理部２３を制御する。これによって、不正ソフトウェア実行部１３を削除できる。

このような端末１Ａにおける駆除部３２の処理は、図４に示すように、ステップＳ１１において、電子メールデータを含むＩＰパケットの宛先がダミーメールサーバ１００宛か否かを判定し、そうである場合にはステップＳ１２に処理を進め、ダミーメールサーバ１００ではなくメールサーバ２宛であると判定した場合にはステップＳ１４に処理を進める。

ステップＳ１２において、駆除部３２は、ＩＰパケットのトランスポート層ヘッダがＴＣＰヘッダか否かを判定し、そうである場合にはステップＳ１３に処理を進め、ＵＤＰパケットである場合にはステップＳ１４に処理を進める。

ステップＳ１３において、駆除部３２は、ＴＣＰヘッダに含まれているポート番号が、電子メールデータ転送プロトコルであるＳＭＴＰ（Simple Mail Transfer Protocol）ポート宛か否かを判定し、そうである場合にはステップＳ１５に処理を進め、そうでない場合にはステップＳ１４に処理を進める。

ステップＳ１４において、駆除部３２は、パケットフック部３１からのＩＰパケットに不正な電子メールデータが含まれていないために、電子メールデータを含むＩＰパケットをパケットフック部３１及び基本ソフトウェア実行部１１を介して送信させる。一方、駆除部３２は、ステップＳ１１〜ステップＳ１３において全て「ＹＥＳ」と判定された場合には、当該ＩＰパケットに不正な電子メールデータが含まれていると判定して、当該不正な電子メールデータが送信されることを防止するためにステップＳ１５以降に処理を進める。

ステップＳ１５において、駆除部３２は、プロセス管理部２４で管理しているプロセスのうち不正な電子メールデータを作成して送信するプロセスを特定し、ステップＳ１６において、ファイル管理部２３で管理している実行ファイルのうち不正な電子メールデータを作成して送信させる実行ファイルを特定する。

次に駆除部３２は、ステップＳ１７において、ステップＳ１５で特定した不正なプロセスを強制終了する。このとき、駆除部３２は、不正なプロセスによるログ情報を記録して他の装置に送信する処理や、不正なプロセスが発生しているという警報を端末１Ａのユーザや管理者に通知又は他の装置に送信する処理を行っても良い。

次に駆除部３２は、ステップＳ１８において、不正な電子メールデータを含むＩＰパケットを破棄し、ステップＳ１９において、ステップＳ１６で特定された実行ファイルを削除する。このとき、駆除部３２は、不正な実行ファイルによるログ情報を記録して他の装置に送信する処理や、不正な実行ファイルがインストールされていたという警報を端末１Ａのユーザや管理者に通知又は他の装置に送信する処理を行っても良い。

これによって、駆除部３２は、実行ファイルによって実装された不正ソフトウェア実行部１３のプロセスを検知して不正な電子メールデータの送信を停止すると共に、不正な電子メールデータを作成して送信する実行ファイルを検出して、当該実行ファイルを削除することができる。

つぎに、ダミーメールサーバ１００の構成及び動作について説明する。

ダミーメールサーバ１００は、図５に示すように、基本ソフトウェアとダミーメールサーバソフトウェアとがインストールされて、基本ソフトウェア実行部１０１と、ダミーメールサーバソフトウェア実行部１０２とを備えて構成されている。

基本ソフトウェア実行部１０１は、ネットワークを介してあらゆるネットワーク機器と接続された通信インターフェース部１１１とＴＣＰ／ＩＰ通信制御部１１２とを備える。

基本ソフトウェア実行部１０１は、通信インターフェース部１１１によってデータの復変調処理及びデータリンク層処理を行い、ＴＣＰ／ＩＰ通信制御部１１２によってネットワーク層処理及びトランスポート層処理を行う。この基本ソフトウェア実行部１０１は、ネットワークから受信したパケットに含まれる電子メールデータをダミーメールサーバソフトウェア実行部１０２に渡すと共に、ダミーメールサーバソフトウェア実行部１０２から渡されたデータに所定の処理を行ってパケットとして送信する。

ダミーメールサーバソフトウェア実行部１０２は、メール受信部１２１と、警告メッセージ受信部１２２と、警告メッセージ送信部１２３と、感染ホスト情報記憶部１２４とを備える。

メール受信部１２１は、基本ソフトウェア実行部１０１で受信したパケットに含まれる電子メールデータを受信すると、当該電子メールデータから送信元ＩＰアドレス、送信時刻、メール内容を含むログ情報を作成した後に、当該電子メールデータを破棄する。そして、メール受信部１２１は、ログ情報を警告メッセージ送信部１２３に渡す。

警告メッセージ送信部１２３は、メール受信部１２１から受け取ったログ情報を用いて、ダミーメールサーバ情報を用いて作成された不正な電子メールデータが検出されたことを警告する警告メッセージを生成して、基本ソフトウェア実行部１０１に渡す。この警告メッセージには、不正な電子メールデータの送信元であって、コンピュータウィルスに感染した端末を特定する情報が含まれる。これにより、基本ソフトウェア実行部１０１は、予め警告メッセージの送信先として設定された管理者の端末やその他のネットワーク機器等に警告メッセージを送信できる。

ここで、警告メッセージ送信部１２３は、警告メッセージを送信する前に、感染ホスト情報記憶部１２４に格納された感染ホスト情報を参照して、警告メッセージを送信するか否かを判定しても良い。この感染ホスト情報記憶部１２４に格納された感染ホスト情報は、コンピュータウィルスに感染したホストを特定するＩＰアドレス等を含んでいる。そして、警告メッセージ送信部１２３は、不正な電子メールデータの送信元が既に感染ホスト情報として感染ホスト情報記憶部１２４に格納されている場合には、警告メッセージの送信を中止する。

また、ダミーメールサーバ１００は、不正メール検知システムにおいて複数のダミーメールサーバ１００が存在する場合に、他のダミーメールサーバ１００からの警告メッセージを受信し、当該警告メッセージを警告メッセージ受信部１２２で受け取る。そして、警告メッセージ受信部１２２は、当該警告メッセージに含まれる不正な電子メールデータの送信元のＩＰアドレス等を感染ホスト情報として感染ホスト情報記憶部１２４に格納する。

このようなダミーメールサーバ１００は、メール受信部１２１によって電子メールデータを受信した時、図６に示すように、ステップＳ２１において、当該電子メールデータからログ情報を作成して電子メールデータを破棄し、ステップＳ２２において、ＴＣＰ／ＩＰ通信制御部１１２から送信元のＩＰアドレスを受け取って、感染ホストを特定して警告メッセージ送信部１２３に渡す。

次に警告メッセージ送信部１２３は、ステップＳ２３において、感染ホスト情報記憶部１２４に格納された感染ホスト情報を参照して、ステップＳ２２において受け取った送信元ＩＰアドレスが感染ホスト情報に含まれるか否かを判定して、既に警告メッセージが配信されている感染ホスト情報か否かを判定し、そうである場合には警告メッセージを送信せずに処理を終了する。

一方、警告メッセージ送信部１２３は、受け取った送信元ＩＰアドレスが感染ホスト情報に含まれていない場合には、ステップＳ２４に処理を進めて、送信元ＩＰアドレスを感染ホスト情報として感染ホスト情報記憶部１２４に登録し、ステップＳ２５において、警告メッセージを基本ソフトウェア実行部１０１を介して送信させる。ここで、ダミーメールサーバ１００は、コンピュータウィルスに感染している端末のＩＰアドレスを記憶しておき、複数回に亘って当該端末からの電子メールデータを受信した場合に、警告メッセージの送信を制限するために、ステップＳ２５の処理回数を制限しても良い。

また、ダミーメールサーバ１００は、図７に示すように、外部から警告メッセージを基本ソフトウェア実行部１０１を介して警告メッセージ受信部１２２で受信した場合（ステップＳ３１）、ステップＳ３２において、警告メッセージ受信部１２２によって、当該警告メッセージに含まれるコンピュータウィルスに感染したホストを特定する送信元ＩＰアドレス等を感染ホスト情報記憶部１２４に記憶する。このように、不正メール検知システムは、他のネットワーク機器から送信された警告メッセージを受信した場合に自己の感染ホスト情報を更新するので、新種のコンピュータウィルスが発生して新たにコンピュータウィルスに感染したホストを短時間で検出できる。

このダミーメールサーバ１００は、図８に示すように、例えば端末１Ａといったコンピュータウィルスの感染ホストから、ダミーメールサーバ１００宛の電子メールデータＭ１をダミーメールサーバ１００で受信した場合、ダミーメールサーバ１００から警告メッセージＭ２を正当なメールサーバ２に送信できる。その後、正当なメールサーバ２は、警告メッセージに含まれる感染ホストからの電子メールデータＭ３を受信した場合には、当該電子メールデータの転送を禁止できる。

つぎに、メールサーバ２の構成及び動作について説明する。

メールサーバ２は、図９に示すように、基本ソフトウェアとメールサーバソフトウェアとがインストールされて、基本ソフトウェア実行部４１と、メールサーバソフトウェア実行部４２とを備えて構成されている。

基本ソフトウェア実行部４１は、ネットワークを介してあらゆるネットワーク機器と接続された通信インターフェース部５１とＴＣＰ／ＩＰ通信制御部５２とを備える。

基本ソフトウェア実行部４１は、通信インターフェース部５１によってデータの復変調処理及びデータリンク層処理を行い、ＴＣＰ／ＩＰ通信制御部５２によってネットワーク層処理及びトランスポート層処理を行う。この基本ソフトウェア実行部４１は、ネットワークから受信したパケットに含まれる電子メールデータをメールサーバソフトウェア実行部４２に渡すと共に、メールサーバソフトウェア実行部４２から渡された電子メールデータに所定の処理を行ってパケットとして送信する。

メールサーバソフトウェア実行部４２は、メール受信部６１と、メールチェック部６２と、感染ホスト情報記憶部６３と、警告メッセージ受信部６４と、メール転送部６５と、不審メール処理部６６と、メールボックス６７とを備える。

メール受信部６１は、基本ソフトウェア実行部４１で受信したパケットに含まれる電子メールデータを受け取ると、当該電子メールデータをメールチェック部６２に渡す。

メールチェック部６２は、メール受信部６１から受け取った電子メールデータの送信元のＩＰアドレスを取得し、当該送信元のＩＰアドレスが、感染ホスト情報として感染ホスト情報記憶部６３に登録されているか否かを判定する。送信元のＩＰアドレスが感染ホスト情報記憶部６３に登録されている場合、メールチェック部６２は、当該送信元のＩＰアドレスで送信された電子メールデータを不審メール処理部６６に渡す。一方、送信元のＩＰアドレスが感染ホスト情報記憶部６３に登録されている場合、メールチェック部６２は、当該送信元のＩＰアドレスで送信された電子メールデータをメール転送部６５に渡す。

この感染ホスト情報記憶部６３に記憶された感染ホスト情報は、上述のダミーメールサーバ１００で行う図７の処理と同様に、警告メッセージ受信部６４で警告メッセージを受信すると、当該警告メッセージに含まれたコンピュータウィルスに感染した感染ホストを特定する情報であるＩＰアドレスが警告メッセージ受信部６４によって登録される。

不審メール処理部６６は、メールチェック部６２から受け取った電子メールデータの転送を保留、又は、電子メールデータの破棄、又は、電子メールデータに添付されたコンピュータウィルスを除去する改変処理を行う。不審メール処理部６６は、不正な電子メールデータに対する処理が予め設定情報として設定されており、当該設定情報に従って、不正な電子メールデータの保留、破棄、又は改変を行う。

不審メール処理部６６は、不正な電子メールデータを保留する場合、図示しない不正な電子メールデータ用のバッファに記憶させる。また、不審メール処理部６６は、電子メールデータを改変した場合、当該電子メールデータを転送させるためにメール転送部６５に渡す。

メール転送部６５は、メールチェック部６２で不正な電子メールデータではないと判定された電子メールデータ及び不審メール処理部６６で改変された電子メールデータを受け取ると、当該電子メールデータの宛先ＩＰアドレスを取得する。メール転送部６５は、宛先ＩＰアドレスから自己のドメイン宛であると判定した場合には、ユーザごとに区分されたメールボックス６７に格納する。また、受け取った電子メールデータの宛先ＩＰアドレスから自己のドメイン宛ではないと判定した場合、メール転送部６５は、基本ソフトウェア実行部４１を介して宛先ドメインのメールサーバに電子メールデータを転送させる。

このようなメールサーバ２は、図１０に示すように、ステップＳ４１において、基本ソフトウェア実行部４１を介してメール受信部６１で電子メールデータを受信すると、ステップＳ４２において、メールチェック部６２により、当該電子メールデータの送信元ＩＰアドレスが感染ホスト情報に登録されているか否かを判定し、そうである場合には、当該電子メールデータを不審メール処理部６６に渡してステップＳ４３に処理を進め、そうでない場合には、当該電子メールデータをメール転送部６５に渡してステップＳ４７に処理を進める。

ステップＳ４３において、不審メール処理部６６は、不正な電子メールデータに対する処理を設定データから取得して、当該不正な電子メールデータを破棄する場合には、ステップＳ４４において電子メールデータを破棄して処理を終了する。

不正な電子メールデータを保留する場合には、ステップＳ４５において、メールサーバ２の管理者等に通知することでチェックさせて、ステップＳ４７に処理を進める。なお、このステップＳ４５において、不審メール処理部６６は、一定時間だけ不正な電子メールデータをバッファに記憶させて、管理者のチェックがなされたか否かに拘わらずメール転送部６５に電子メールデータを転送させても良い。

更に、不正な電子メールデータを改変する場合、ステップＳ４６においてコンピュータウィルスが添付されている可能性があるために取り扱いに注意させる警告文をメール本文中などに追記し、ステップＳ５０において添付ファイルを削除してステップＳ４７に処理を進める。この警告文は、例えば「このメールはウィルスによって送信された可能性があります」といった文章が挙げられる。なお、ステップＳ４６及びステップＳ５０の処理は、何れかを行うように設定されていても良い。

ステップＳ４７において、メール転送部６５は、電子メールデータの宛先ドメインが自己のものであるか否かを判定し、そうである場合には、ステップＳ４８において電子メールデータをメールボックス６７に保存して処理を終了し、そうでない場合には、ステップＳ４９において電子メールデータを他のメールサーバに転送させるために当該電子メールデータを基本ソフトウェア実行部４１に渡す。

このようなメールサーバ２によれば、警告メッセージを受信して感染ホスト情報を記憶しておき、当該感染ホスト情報として登録された送信元のＩＰアドレスで電子メールデータが送信された場合に、当該電子メールデータを保留、破棄又は改変できるので、コンピュータウィルスに感染した端末１Ａを検知して、不正な電子メールデータがそのまま転送されることを防止できる。

［第２実施形態］
つぎに、タイプ（２）に対抗する端末１Ａを備えた不正メール検知システムについて説明する。なお、上述の第１実施形態と同様の構成及び処理については、同一符号を付することによって、その詳細な説明を省略する。

端末１Ａが、送信される電子メールデータからメールサーバ名を盗聴するタイプ（２）の不正なウィルスに感染して、後述の図１２に示すように不正ソフトウェア実行部１３が形成されてしまうと、当該不正ソフトウェア実行部１３の機能によって、図１１に示すように、正規な電子メールデータＭ１２の送信時に正規なメールサーバ名が盗聴されてしまう（図１１の（１））。そして、不正ソフトウェア実行部１３は、当該盗聴したメールサーバ名のメールサーバ２に、アドレス「hanako@osaka.jp」を宛先としウィルスファイルを添付した電子メールデータＭ１１に送信すると（図１１の（２））、当該メールサーバ２からメールサーバ３に電子メールデータＭ１１が転送され（図１１の（３））、端末１Ｂがメールサーバ３のメールボックスの確認を行うと（図１１の（４））、ウィルスファイルを添付した電子メールデータＭ１１が端末１Ｂで取得されてしまう（図１１の（５））。

このような動作を行う不正メール検知システムにおいて、ウィルスに感染した端末１Ａには、図１２に示すように、図１におけるダミーメールサーバ情報設定ソフト実行部１５からダミーメールサーバ情報記憶部３３及びダミー情報設定部３４を除外し、更に、ダミーメール送信ソフトウェア実行部１６を追加して備えている。

ダミーメール送信ソフトウェア実行部１６は、ダミーメール送信部１６ａと、ダミーメールサーバ情報記憶部１６ｂと、メール送信検知部１６ｃとを備える。

ダミーメールサーバ情報記憶部１６ｂには、ダミーメールサーバ１００のダミーメールサーバ名を含むダミーメールサーバ情報が記憶されている。このダミーメールサーバ情報は、ダミーメール送信部１６ａに読み込まれて、ダミーメール送信部１６ａがダミー電子メールデータを作成するために使用される。

メール送信検知部１６ｃは、ダミーメール送信部１６ａによってダミー電子メールデータを送信するタイミングと、メールクライアントソフトウェア実行部１２によって正規の電子メールデータを送信するタイミングとを調整する。メール送信検知部１６ｃは、所定時間を計時するタイマによってダミーメール送信部１６ａのダミー電子メールデータの送信タイミングが設定されている場合に、当該ダミー電子メールデータの送信タイミングとは異なるタイミングで正規な電子メールデータを送信させる。

このタイマーによってダミー電子メールデータの送信タイミングを制御する処理は、図１３に示すように、ダミーメール送信部１６ａは、内部のタイマーが固定値又はランダム値の設定時間を計時して通知されるタイミングを待つ（ステップＳ５１）。そして、ダミーメール送信部１６ａは、タイマーが所定時間を計時したことが通知されると、ステップＳ５２において、ダミーメールサーバ情報記憶部１６ｂのダミーメールサーバ情報を読み込んで、送信先のダミーメールサーバ１００を決定し、ステップＳ５３において、ダミー電子メールデータを生成する。なお、タイマーが所定時間を計時してダミー電子メールデータを送信するタイミングとなった場合、その旨の通知をメール送信検知部１６ｃにも送信する。

また、ダミーメール送信部１６ａは、ステップＳ５４において、生成したダミー電子メールデータが、正規な電子メールデータではないダミーであることをダミーメールサーバ１００で識別させるダミーメール識別子を追加して、ステップＳ５５において、複数のダミー電子メールデータを所定の時間間隔又はランダムな時間間隔で送信する。

次にダミーメール送信部１６ａは、次回にダミー電子メールデータを送信するタイミングを経時するために、タイマーの計時時間を固定値又はランダム値にセットして、処理を終了する。

また、メール送信検知部１６ｃは、正規の電子メールデータの送信タイミングの前後にダミー電子メールデータを送信するように調整しても良い。

メール送信検知部１６ｃは、メールクライアントソフトウェア実行部１２からメール送信開始信号が供給されると、当該メール送信開始信号をダミーメール送信部１６ａに通知する。これに応じて、ダミーメール送信部１６ａは、予め設定されたランダムなタイミングで一又は複数のダミー電子メールデータを作成して、基本ソフトウェア実行部１１を介して送信させ、その後に、メール送信検知部１６ｃにダミー電子メールデータの送信が終了したことを通知する。メール送信検知部１６ｃは、ダミーメール送信部１６ａからダミー電子メールデータの送信が終了した通知を受けると、メールクライアントソフトウェア実行部１２にメール送信開始許可信号を送信して、メールクライアントソフトウェア実行部１２から正規の電子メールデータを送信させ、その旨をダミーメール送信部１６ａに通知する。ダミーメール送信部１６ａは、メールクライアントソフトウェア実行部１２から電子メールデータの送信が終了したことに応じて、再度、一又は複数のダミー電子メールデータをランダムなタイミングで送信させる。

この処理は、図１４に示すように、メール送信検知部１６ｃによって、ステップＳ６１において、メールクライアントソフトウェア実行部１２からのメール送信開始信号が供給されるのを待ち、メール送信開始信号が供給された後に、ステップＳ６２において、メール送信検知部１６ｃによって、ダミー電子メールデータの送信数Ｐ１を設定する。このダミー電子メールデータの送信数Ｐ１は、固定数でも良く、ランダムであっても良い。

次に、ダミーメール送信部１６ａは、図１３と同様にステップＳ５２〜ステップＳ５５の処理を行うことによってダミー電子メールデータを送信し、ステップＳ６３において、ダミー電子メールデータの送信回数がステップＳ６２で決定した送信数Ｐ１に達したか否かを判定して、達していない場合にはステップＳ５２〜ステップＳ５５の処理を繰り返す。ダミー電子メールデータの送信回数が送信数Ｐ１に達した場合、メール送信検知部１６ｃは、ステップＳ６４において、メールクライアントソフトウェア実行部１２にメール送信開始許可信号を送信して正規な電子メールデータを送信させる。

次に、メール送信検知部１６ｃは、ステップＳ６５において、正規な電子メールデータの後に送信するダミー電子メールデータの送信数Ｐ２を決定し、ダミーメール送信部１６ａは、ステップＳ５２〜ステップＳ５５の処理行ってダミー電子メールデータを送信し、ステップＳ６６において、ダミー電子メールデータの送信回数がステップＳ６５で決定した送信数Ｐ２に達したか否かを判定して、達していない場合にはステップＳ５２〜ステップＳ５５の処理を繰り返す。ダミー電子メールデータの送信回数が送信数Ｐ２に達した場合に処理を終了する。

タイプ（２）の不正ソフトウェア実行部１３は、端末１Ａに実装されると、上述の図１１に示した（１）、（２）の手順を実現させるために、ＴＣＰ／ＩＰ通信制御部２２又は通信インターフェース部２１によって送信される正規の電子メールデータを監視して、メールサーバ２のメールサーバ名又はダミーメールサーバ１００のメールサーバ名を盗聴すると、当該何れかのメールサーバ名を使用して電子メールデータを作成して基本ソフトウェア実行部１１から送信させる。

パケットフック部３１は、ＴＣＰ／ＩＰ通信制御部２２で作成されて、通信インターフェース部２１に渡されるべきＩＰパケットを横取りすると、当該ＩＰパケットを駆除部３２に出力し、駆除部３２は、電子メールデータの宛先がダミーメールサーバ１００であるか否かを判定する。

このとき、駆除部３２は、電子メールデータの宛先がダミーメールサーバ１００のメールサーバ名であり、且つダミーメール識別子が含まれていない場合、ＩＰパケットを破棄する。また、電子メールデータの宛先がダミーメールサーバ１００ではない、又は、電子メールデータの宛先がダミーメールサーバ１００であってダミーメール識別子が含まれている場合、ＩＰパケットをパケットフック部３１を介して通信インターフェース部２１に転送する。

駆除部３２は、ダミーメールサーバ１００が宛先となっていて、ダミーメール識別子を含まない不正な電子メールデータを判定した場合、当該不正な電子メールデータを送信するプロセスを特定する。また、駆除部３２は、不正な電子メールデータを作成する実行ファイルを特定する。なお、この駆除部３２の処理は、図４に示したようになり、図４におけるステップＳ１１〜ステップＳ１３の判定に、ダミーメール識別子が含まれるか否かを含んだものとなる。

このような端末１Ａに対するダミーメールサーバ１００は、図１５に示すように、図５に示したダミーメールサーバ１００に対して、ダミーメール判定部１２５を備えたものとなる。

ダミーメール判定部１２５は、メール受信部１２１から受け取った電子メールデータにダミーメール識別子が含まれているか否かを判定して、当該電子メールデータが端末１Ａで正規に作成されたものか、不正ソフトウェア実行部１３で作成されたものかを判定する。そして、ダミーメール判定部１２５は、ダミーメール識別子が含まれている電子メールデータであれば破棄をする。

一方、ダミーメール判定部１２５は、ダミーメール識別子が含まれていない電子メールデータである場合には、当該電子メールデータから送信元ＩＰアドレス、送信時刻、メール内容を含むログ情報を作成した後に、当該電子メールデータを破棄する。また、ダミーメール判定部１２５は、ダミーメール識別子が含まれているか否かのみならず、端末１Ａがダミー電子メールデータを送信するタイミングとは異なるタイミングでダミー電子メールデータを受信した場合に不正な電子メールデータと判定してログ情報を作成してもよく、送信者名から不正な電子メールデータを判定してログ情報を作成しても良い。そして、ダミーメール判定部１２５は、ログ情報を警告メッセージ送信部１２３に渡す。

このようなダミーメールサーバ１００は、メール受信部１２１によって電子メールデータを受信した時、図１６に示すように、ダミーメール判定部１２５によって、電子メールデータにダミーメール識別子が含まれている場合には、当該電子メールデータが正当なダミー電子メールデータであると判定して（ステップＳ７１）、ステップＳ７２においてダミー電子メールデータを破棄して処理を終了する。

一方、ダミーメール判定部１２５は、ステップＳ７１においてダミーメール識別子が含まれていない場合には正当なダミー電子メールデータではないと判定し、ステップＳ７３において、ログ情報を作成してダミー電子メールデータを破棄し、ステップＳ２２において、ＴＣＰ／ＩＰ通信制御部１１２から送信元のＩＰアドレスを受け取って、感染ホストを特定して警告メッセージ送信部１２３に渡す。

そして、警告メッセージ送信部１２３は、上述のステップＳ２３〜ステップＳ２５を、図６と同様に行うことになる。

更に、このダミーメールサーバ１００も、第１実施形態と同様に、図７の処理を行い、メールサーバ２，３は、図９と同様の構成を有し、図１０と同様の処理を行うことができる。

［第３実施形態］
つぎに、タイプ（３）に対抗する端末１Ａを備えた不正メール検知システムについて説明する。なお、上述の第１，第２実施形態と同様の構成及び処理については、同一符号を付することによって、その詳細な説明を省略する。

端末１Ａが、送信される電子メールデータからメールサーバ名を盗聴するタイプ（３）の不正なウィルスに感染して、後述の図１８に示すように不正ソフトウェア実行部１３が形成されてしまうと、当該不正ソフトウェア実行部１３の機能によって、図１７に示すように、正規なメールサーバ名が予測されて、メールサーバ３への接続が試行されてしまう（図１７の（１））。そして、不正ソフトウェア実行部１３は、メールサーバ名「mx.osaka.jp」という正規のメールサーバ３を予測できた場合には、当該メールサーバ３に、メール送信先として登録されているメールアドレス「hanako@osaka.jp」を宛先としウィルスファイルを添付した電子メールデータＭを送信してしまう（図１７の（２））。そして、端末１Ｂがメールサーバ３のメールボックスの確認を行うと（図１７の（３））、ウィルスファイルを添付した電子メールデータＭが端末１Ｂで取得されてしまう（図１７の（４））。

このような動作を行う不正メール検知システムにおいて、ウィルスに感染した端末１Ａには、図２に示すように、例えば他の端末から送信された不正なメール内容をプレビュー又は不正な添付ファイルを実行してしまったために、アプリケーション層に不正ソフトウェア実行部１３が実装されている。また、端末１Ａは、基本ソフトウェアとメールクライアントソフトウェアと予測サーバ名情報設定ソフトウェアがインストールされることによって、基本ソフトウェア実行部１１と、メールクライアントソフトウェアを実行するメールクライアントソフトウェア実行部１２と予測サーバ名情報設定ソフト実行部１７とを備えて構成されている。

なお、図２に示す構成に対して、図１８の端末１Ａは、メールサーバ情報記憶部１４が無い構成となっているが、メールクライアントソフトウェア実行部１２には、電子メールデータを転送する正規のメールサーバ２を特定するメールサーバ情報が格納されている。このメールサーバ情報は、正規のメールサーバ２のメールサーバ名及びＩＰアドレス、自己のメールアドレス、電子メール送信先を登録したメールアドレス帳等を含み、メールクライアントソフトウェア実行部１２によって参照されて正規の電子メールデータが作成可能となっている。

端末１Ａは、不正ソフトウェア実行部１３で実現される機能に対し、ＴＣＰ／ＩＰ通信制御部２２で作成されたパケットを監視して不正な電子メールデータの送信を遮断するための機能として、予測サーバ名情報設定ソフト実行部１７を備えている。予測サーバ名情報設定ソフト実行部１７は、パケットフック部３１と、駆除部３２と、予測サーバ情報記憶部３５と、予測サーバ名情報設定部３６とを備える。

予測サーバ情報記憶部３５には、少なくともダミーメールサーバ１００のダミーメールサーバ名を含む予測サーバ名情報が記憶されている。この予測サーバ名情報は、実際に存在するメールサーバ２，３の正規のメールサーバ名「mx.osaka.jp」から予測されやすいメールサーバ名が登録されている。また、予測サーバ名情報設定部３６は、ダミーメールサーバ１００のメールサーバ名のみならず、不正ソフトウェア実行部１３に予測されやすいメールサーバ名として、ms,mx1,mail,mailserver等を予測サーバ名情報として予測サーバ情報記憶部３５に記憶することが望ましい。

このように、予測サーバ名情報設定部３６によって、あらゆる予測サーバ名情報を登録することによって、不正ソフトウェア実行部１３によって実際には存在しないメールサーバ２，３への接続の試行を検出できる。

パケットフック部３１は、ＴＣＰ／ＩＰ通信制御部２２で作成されて、通信インターフェース部２１に渡されるべきＩＰパケットを横取りすると、当該ＩＰパケットを駆除部３２に出力する。

駆除部３２は、電子メールデータの宛先が、予測サーバ情報記憶部３５に登録されたダミーメールサーバ１００又はメールサーバ２，３から予測されやすいメールサーバ名である予測サーバ名情報に該当するか否かを判定する。駆除部３２は、電子メールデータの宛先が予測サーバ名情報に登録されている場合、ＩＰパケットを破棄する。また、電子メールデータの宛先が予測サーバ名情報に登録されていない場合、ＩＰパケットをパケットフック部３１を介して通信インターフェース部２１に転送する。

このような端末１Ａにおける駆除部３２の処理は、図４のステップＳ１１において、電子メールデータを含むＩＰパケットの宛先がダミーメールサーバ１００宛、その他の予測サーバ名情報に含まれる宛先か否かを判定し、そうである場合にはステップＳ１２に処理を進め、ダミーメールサーバ１００、その他の予測サーバ名情報に含まれる宛先ではなく正規のメールサーバ宛であると判定した場合にはステップＳ１４に処理を進める。そして、駆除部３２は、図４と同様に、ステップＳ１２〜ステップＳ１９の処理を行うことによって、不正ソフトウェア実行部１３のプロセスを停止させ、実行ファイルを削除できる。

ステップＳ３において、駆除部３２は、ＴＣＰヘッダに含まれているポート番号が、電子メールデータ転送プロトコルであるＳＭＴＰ（Simple Mail Transfer Protocol）ポート宛か否かを判定し、そうである場合にはステップＳ５に処理を進め、そうでない場合にはステップＳ４に処理を進める。

ステップＳ４において、駆除部３２は、パケットフック部３１からのＩＰパケットに不正な電子メールデータが含まれていないために、電子メールデータを含むＩＰパケットをパケットフック部３１及び基本ソフトウェア実行部１１を介して送信させる。一方、駆除部３２は、ステップＳ１〜ステップＳ３において全て「ＹＥＳ」と判定された場合には、当該ＩＰパケットに不正な電子メールデータが含まれていると判定して、当該不正な電子メールデータが送信されることを防止するためにステップＳ５以降に処理を進める。

ステップＳ５において、駆除部３２は、プロセス管理部２４で管理しているプロセスのうち不正な電子メールデータを作成して送信するプロセスを特定し、ステップＳ６において、ファイル管理部２３で管理している実行ファイルのうち不正な電子メールデータを作成して送信させる実行ファイルを特定する。

次に駆除部３２は、ステップＳ７において、ステップＳ５で特定した不正なプロセスを強制終了する。このとき、駆除部３２は、不正なプロセスによるログ情報を記録して他の装置に送信する処理や、不正なプロセスが発生しているという警報を端末１Ａのユーザや管理者に通知又は他の装置に送信する処理を行っても良い。

次に駆除部３２は、ステップＳ８において、不正な電子メールデータを含むＩＰパケットを破棄し、ステップＳ９において、ステップＳ６で特定された実行ファイルを削除する。このとき、駆除部３２は、不正な実行ファイルによるログ情報を記録して他の装置に送信する処理や、不正な実行ファイルがインストールされていたという警報を端末１Ａのユーザや管理者に通知又は他の装置に送信する処理を行っても良い。

これによって、駆除部３２は、実行ファイルによって実装された不正ソフトウェア実行部１３のプロセスを検知して不正な電子メールデータの送信を停止すると共に、不正な電子メールデータを作成して送信する実行ファイルを検出して、当該実行ファイルを削除することができる。

また、この端末１Ａと接続されたダミーメールサーバ１００は、図５に示した構成と同様であるが、メール受信部１２１は、正規なメールサーバとして実在しないメールサーバ名であれば、単一のダミーメールサーバ１００のメールサーバ名のみならず、端末１Ａの予測サーバ情報記憶部３５に登録された全てのメールサーバ名が与えられていても良い。これによって、不正ソフトウェア実行部１３によって予測するメールサーバ名を用いて作成された不正な電子メールデータを高い確率でダミーメールサーバ１００によって受信できる。

更に、このダミーメールサーバ１００も、第１実施形態と同様に、図６，図７の処理を行い、メールサーバ２，３は、図９と同様の構成を有し、図１０と同様の処理を行うことができる。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

すなわち、上述した実施形態における不正な電子メールデータを検知するため機能は、家電機器群がネットワーク接続されたホームネットワークや、設備装置群がネットワーク接続された設備ネットワークなどにも適用できる。例えば、ホームネットワークに接続されてアプリケーションとしてメール機能を具備する家電機器がコンピュータウィルスに感染した場合であっても、当該家電機器から外部ネットワークへと不正なコンピュータウィルスを含む電子メールが送信されることを検知することができる。

ここで、ホームネットワークを構築する技術としては、ＥＣＨＯネットの他、エミット（ＥＭＩＴ（Embedded Micro Internetworking Technology））と称される機器組み込み型ネットワーク技術などがあげられる。この組み込み型ネットワーク技術は、ネットワーク機器にＥＭＩＴミドルウェアを組み込んでネットワークに接続できる機能を備え、ＥＭＩＴ技術と称されている。

より具体的には、上述した不正な電子メールを検知する機能を有する端末１Ａ、ダミーメールサーバ１００、メールサーバ２，３等のネットワーク機器にＥＭＩＴ技術を実現するＥＭＩＴソフトウェアを搭載して、当該ＥＭＩＴソフトウェアを搭載した端末、中継装置、メールサーバ２，３、ダミーメールサーバ１００と、当該端末、中継装置、横付け機器を遠隔で制御又は監視するユーザ機器とをインターネット上に設けられたセンターサーバ（図示せず）を介して通信接続する。このユーザ機器は、例えば、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）、ＰＨＳ（Personal Handy phone System）等の外部端末（図示せず）である。

このようなＥＭＩＴ技術を実装したシステムによれば、ユーザ機器は、端末、メールサーバ２、ダミーメールサーバ１００、中継装置、横付け機器によって不正な電子メールデータをどのくらいの頻度で検知したかを遠隔監視でき、不正な電子メールを遮断又は警報する送信元アドレスを追加制御できる。

本発明を適用したタイプ（１）のコンピュータウィルスの動作を検知する不正メール検知システムの構成及び動作を説明するシステム図である。 本発明を適用したタイプ（１）のコンピュータウィルスの動作を検知する不正メール検知システムを構成する端末の構成を示すブロック図である。 本発明を適用したタイプ（１）のコンピュータウィルスの動作を検知する不正メール検知システムを構成する端末によってダミーメールサーバ情報を設定する処理手順を示すフローチャートである。 本発明を適用したタイプ（１）のコンピュータウィルスの動作を検知する不正メール検知システムを構成する端末によって不正な電子メールデータを作成して送信するプロセスを遮断する処理手順を示すフローチャートである。 本発明を適用したタイプ（１）のコンピュータウィルスの動作を検知する不正メール検知システムを構成するダミーメールサーバの構成を示すブロック図である。 本発明を適用したタイプ（１）のコンピュータウィルスの動作を検知する不正メール検知システムを構成するダミーメールサーバによって電子メールデータを受信した時の処理手順を示すフローチャートである。 本発明を適用したタイプ（１）のコンピュータウィルスの動作を検知する不正メール検知システムを構成するダミーメールサーバによって警告メッセージを受信した時の処理手順を示すフローチャートである。 本発明を適用したタイプ（１）のコンピュータウィルスの動作を検知する不正メール検知システムにおいて、端末から不正な電子メールデータが送信された場合にダミーメールサーバから警告メッセージをメールサーバに送信する構成及び動作を説明するシステム図である。 本発明を適用したタイプ（１）のコンピュータウィルスの動作を検知する不正メール検知システムを構成するメールサーバの構成を示すブロック図である。 本発明を適用したタイプ（１）のコンピュータウィルスの動作を検知する不正メール検知システムを構成するメールサーバによって電子メールデータを受信した時の処理手順を示すフローチャートである。 本発明を適用したタイプ（２）のコンピュータウィルスの動作を検知する不正メール検知システムの構成及び動作を説明するシステム図である。 本発明を適用したタイプ（２）のコンピュータウィルスの動作を検知する不正メール検知システムを構成する端末の構成を示すブロック図である。 本発明を適用したタイプ（２）のコンピュータウィルスの動作を検知する不正メール検知システムを構成する端末によって、タイマーを参照してダミー電子メールデータを作成して送信する処理手順を示すフローチャートである。 本発明を適用したタイプ（２）のコンピュータウィルスの動作を検知する不正メール検知システムを構成する端末によって、正規の電子メールデータを送信と混合して、ダミー電子メールデータを作成して送信する処理手順を示すフローチャートである。 本発明を適用したタイプ（２）のコンピュータウィルスの動作を検知する不正メール検知システムを構成するダミーメールサーバの構成を示すブロック図である。 本発明を適用したタイプ（２）のコンピュータウィルスの動作を検知する不正メール検知システムを構成するダミーメールサーバによって電子メールデータを受信した時の処理手順を示すフローチャートである。 本発明を適用したタイプ（３）のコンピュータウィルスの動作を検知する不正メール検知システムの構成及び動作を説明するシステム図である。 本発明を適用したタイプ（３）のコンピュータウィルスの動作を検知する不正メール検知システムを構成する端末の構成を示すブロック図である。

符号の説明

１Ａ，１Ｂ 端末
２，３ メールサーバ
１１，４１，１０１ 基本ソフトウェア実行部
１２ メールクライアントソフトウェア実行部
１３ 不正ソフトウェア実行部
１４ メールサーバ情報記憶部
１５ ダミーメールサーバ情報設定ソフト実行部
１６ ダミーメール送信ソフトウェア実行部
１６ａ ダミーメール送信部
１６ｂ ダミーメールサーバ情報記憶部
１６ｃ メール送信検知部
１７ 予測サーバ名情報設定ソフト実行部
２１，５１，１１１ 通信インターフェース部
２２，５２，１１２ ＴＣＰ／ＩＰ通信制御部
２３ ファイル管理部
２４ プロセス管理部
３１ パケットフック部
３２ 駆除部
３３ ダミーメールサーバ情報記憶部
３４ ダミー情報設定部
３５ 予測サーバ情報記憶部
３６ 予測サーバ名情報設定部
４２ メールサーバソフトウェア実行部
６１，１２１ メール受信部
６２ メールチェック部
６３，１２４ 感染ホスト情報記憶部
６４，１２２ 警告メッセージ受信部
６５ メール転送部
６６ 不審メール処理部
６７ メールボックス
１００ ダミーメールサーバ
１０２ ダミーメールサーバソフトウェア実行部
１２３ 警告メッセージ送信部
１２５ ダミーメール判定部

Claims (14)

1. コンピュータウィルスによって、不正な電子メールが配信されることを検知する不正メール検知装置であって、
   電子メールを送信するために必要な正規の設定情報と、当該設定情報に対してダミーの設定情報とを記憶した記憶手段と、
   前記正規の設定情報を用いて、電子メールを送信する送信手段と、
   前記コンピュータウィルスによる動作によって、前記ダミーの設定情報を用いて電子メールを作成する処理、又は、前記ダミーの設定情報を用いて電子メールを送信する処理を検知した場合に、不正な電子メールが配信されることを検知する検知手段と
   を備えることを特徴とする不正メール検知装置。
2. 前記記憶手段は、前記正規の設定情報として電子メールを転送する正規のメールサーバを特定するメールサーバ情報を記憶すると共に、前記ダミーの設定情報として当該メールサーバ情報に対してダミーのダミーメールサーバ情報を記憶し、
   前記検知手段は、前記記憶手段に記憶されたダミーメールサーバ情報を用いて、前記ダミーのメールサーバ宛の電子メールを作成する処理、又は、前記ダミーメールサーバ情報を用いて作成した電子メールを前記送信手段を介して送信する処理を検知した場合に、不正な電子メールが配信されることを検知すること
   を特徴とする請求項１に記載の不正メール検知装置。
3. 前記端末は、前記ダミーメールサーバ情報を設定データに含める設定を行う設定手段を更に備え、
   当該設定手段は、前記メールサーバ情報と前記ダミーメールサーバ情報との記述順序を、ランダムな記述順序にして、前記ダミーメールサーバ情報を設定データ中に記述することを特徴とする請求項２に記載の不正メール検知装置。
4. 前記端末は、前記ダミーメールサーバ情報を設定データに含める設定を行う設定手段を更に備え、
   当該設定手段は、前記メールサーバ情報と前記ダミーメールサーバ情報との記述順序を、ユーザの命令に従って任意の記述順序にして、前記ダミーメールサーバ情報を設定データ中に記述することを特徴とする請求項２に記載の不正メール検知装置。
5. 前記端末は、前記ダミーメールサーバ情報を設定データに含める設定を行う設定手段を更に備え、
   当該設定手段は、前記設定データの形式変更に対応して、前記メールサーバ情報及び前記ダミーメールサーバ情報の記述形式を更新することを特徴とする請求項２に記載の不正メール検知装置。
6. 前記記憶手段は、前記正規の設定情報として電子メールを転送する正規のメールサーバを特定するメールサーバ情報を記憶すると共に、前記ダミーの設定情報として前記メールサーバ情報に対してダミーのダミーメールサーバ情報を記憶し、
   前記送信手段は、前記記憶手段に記憶されたメールサーバ情報を用いて前記正規のメールサーバ宛の電子メールを送信する処理を行うと共に、予め設定したタイミングで前記記憶手段に記憶されたダミーメールサーバ情報を用いて電子メールを送信する処理とを行い、
   前記検知手段は、前記予め設定したタイミング以外のタイミングで、前記ダミーメールサーバ情報を用いて前記ダミーメールサーバ宛の電子メールを作成する処理、又は、前記ダミーメールサーバ情報を用いて作成した電子メールを前記送信手段を介して送信する処理を検知した場合に、不正な電子メールが配信されることを検知すること
   を特徴とする請求項１に記載の不正メール検知装置。
7. 前記送信手段は、定期的なタイミングでダミーメールサーバ情報を用いて電子メールを送信する処理を行うことを特徴とする請求項６に記載の不正メール検知装置。
8. 前記送信手段は、ランダムなタイミングでダミーメールサーバ情報を用いて電子メールを送信する処理を行うことを特徴とする請求項６に記載の不正メール検知装置。
9. 前記記憶手段には、前記複数のダミーのホスト名を表すダミーメールサーバ情報が記憶され、
   前記送信手段は、電子メールを送信する処理ごとに、ランダムに何れかのダミーメールサーバ情報を用いることを特徴とする請求項６乃至請求項８の何れか一項に記載の不正メール検知装置。
10. 前記送信手段は、前記ダミーメールサーバ情報を用いて作成された電子メールに、コンピュータウィルスによって作成された電子メールとは異なる電子メールであることを識別する識別子を付加することを特徴とする請求項６乃至請求項９の何れか一項に記載の不正メール検知装置。
11. 前記記憶手段は、前記正規の設定情報として電子メールの送信先端末を特定する電子メールアドレスを登録して記憶したアドレス記憶手段と、前記ダミーの設定情報として前記アドレス記憶手段に記憶された電子メールアドレスのドメイン名から、予測されやすいダミーのメール転送サーバのホスト名を記憶するダミー情報記憶手段とを有し、
    前記送信手段は、前記アドレス記憶手段に記憶された電子メールアドレスを送信先とした電子メールを送信し、
    前記検知手段は、前記ダミー情報記憶手段に記憶されたダミーのメール転送サーバのホスト名を宛先とした電子メールを作成する処理、又は、当該電子メールを前記送信手段を介して送信する処理を検知した場合に、不正な電子メールが配信されることを検知することを特徴とする請求項１に記載の不正メール検知装置。
12. 前記端末は、前記ダミーの設定情報へのアクセスを検出して、不正な電子メールが配信されることを検知することを特徴とする請求項１、２、６、１１の何れか一項に記載の不正メール検知装置。
13. 前記端末は、前記ダミーの設定情報へのアクセスを試みているプロセスが検出された場合に、当該プロセスを終了させる遮断手段を更に備えることを特徴とする請求項１２に記載の不正メール検知装置。
14. 前記遮断手段は、前記ダミーの設定情報へのアクセスを試みているプロセスを実行させている実行ファイルを検出して、当該実行ファイルを駆除することを特徴とする請求項１２に記載の不正メール検知装置。

Images