JP2007174386A - 不正メール検知システム - Google Patents

Abstract

【課題】 安価な構成であっても、不正な処理によってメールサーバ名を取得するウイルスの動作を防止することができる不正メール検知システムを提供する。
【解決手段】 コンピュータウィルスによって、不正な電子メールが配信されることを検知する不正メール検知システムであって、電子メールをメールサーバ３に送信するために必要な正規の設定情報と当該設定情報に対してダミーの設定情報とを記憶した記憶手段と、正規の設定情報を用いて、電子メールを送信する送信手段とを備えたホスト１と、コンピュータウィルスによる動作によって、ダミーの設定情報を用いて作成された電子メールをファイアウォール２で受信した場合に、不正な電子メールが配信されることを検知し、メールサーバ３に通知する。
【選択図】 図１

Description

本発明は、ネットワーク上のウィルスのうち、不正なアプリケーションデータが添付されたメールデータの伝染を遮断するための不正メール検知システムに関する。

従来より、ウィルス検知技術としては、既知のウィルスについて定義ファイルと呼ばれる特徴情報を記述したデータを予め用意しておき、ウィルスに感染している可能性のあるファイルと定義ファイルとをパターンマッチングするものが知られている。この定義ファイルは、コンピュータウイルスに感染したファイルや、ネットワーク上で自己複製を繰り返すワームプログラムの特徴を収録したファイルであって、アンチウィルスソフト(ワクチンソフト)がコンピュータウイルスやワームを検出するために、定義ファイル内に収録された各ウイルスのパターンが検査対象のファイルと照合されて、パターンとの一致が見られるとそのファイルがウイルスに感染していると判断する。

また、従来から知られているウィルスの一種であるワーム対策としては、例えば、「http://www.nttdata.co.jp/netcom/pdf/nc04_ss_03.pdf」に記載されているようなものも挙げられる。

しかしながら、従来において、ウィルスの定義ファイルを用意しておくパターンマッチング型のウィルス検知技術では、定義ファイルがない新種のウィルスや亜種のウィルスを検知することができないといった問題がある。

そこで、本発明は、上述した実情に鑑みて提案されたものであり、安価な構成であっても、不正な処理によってメールサーバ名を取得するウイルスの動作を防止することができる不正メール検知システムを提供することを目的とする。

本発明は、コンピュータウィルスによって、不正な電子メールが配信されることを検知する不正メール検知システムであって、上述の課題を解決するために、電子メールを送信するために必要な正規の設定情報と、当該設定情報に対してダミーの設定情報とを記憶した記憶手段と、正規の設定情報を用いて、電子メールを送信する送信手段とを備えた端末と、コンピュータウィルスによる動作によって、ダミーの設定情報を用いて作成された電子メールを受信した場合に、不正な電子メールが配信されることを検知するファイアウォールとを備える。

本発明に係る不正メール検知システムによれば、既存のファイアウォールに、コンピュータウィルスによる動作によって、予め端末に設定しておいたダミーの設定情報を用いて作成された電子メールを受信した場合に、不正な電子メールが配信されることを検知するので、安価な構成であっても、不正な処理によってメールサーバ名を取得するウイルスの動作を防止することができる。

以下、本発明の実施の形態について図面を参照して説明する。

本発明は、例えば端末等のホスト１がウィルスに感染した場合に、当該ホスト１の内部ネットワークと外部ネットワークとの間に設けられたファイアウォール２によって、当該ホスト１がウィルスに感染したことを検知して、正規のメールサーバ３にその旨を通知する不正メール検知システムに適用される。なお、以下では、ファイアウォール２によってコンピュータウィルスの動作を検知する場合について説明するが、ホスト１から送出されるパケットを検知するためにはＩＤＳ（Intrusion Detection System）等の横付け機器であっても良い。

これによって、不正メール検知システムは、ホスト１に設定されたメールサーバ３のメールサーバ名を取得して不正な電子メールデータをメールサーバ３に送信するタイプのコンピュータウィルスの動作（以下、タイプ（１）と呼ぶ。）、ホスト１から送信した電子メールデータを盗聴してメールサーバ名を不正に取得して、不正な電子メールデータをメールサーバ３に送信するタイプのコンピュータウィルスの動作（以下、タイプ（２）と呼ぶ。）、ホスト１から電子メール送信先の端末が接続するメールサーバ３のメールサーバ名を予測して不正な電子メールデータをメールサーバ３に送信するコンピュータウィルスの動作（以下、タイプ（３）と呼ぶ。）を防止できる。

なお、本例において、メールサーバ３は、ホスト１が接続するものであっても良く、ホスト１にメール送信先として登録されている端末が接続するものの何れであっても良い。

通常、この不正メール検知システムにおいて、ホスト１から他の端末にメールデータを送信する場合、先ずホスト１は、宛先メールアドレスを含む電子メールデータを作成すると、当該ホスト１のメールクライアント設定で登録されているメールサーバ名のメールサーバ（ＳＭＴＰ（Simple Mail Transfer Protocol）サーバ）３に、電子メールデータを送信する。

この電子メールデータは、メールサーバ３で受信されると、メールサーバ３は、当該電子メールデータに含まれている電子メールデータの宛先を認識し、当該電子メールデータの宛先の端末がアクセスできるメールサーバに電子メールデータを転送する。そして、メール送信先の端末は、メールサーバにアクセスしてメールボックスを確認することによって、ホスト１から送信された電子メールデータを取得できる。

このような通常のメール送信動作に対し、ホスト１が、ホスト１の設定からメールサーバ名を取得するタイプ（１）の不正なウィルスに感染して、後述の図４に示すように不正ソフトウェア実行部４３が形成されてしまうと、当該不正ソフトウェア実行部４３の機能によって、正規なメールサーバ名が取得されてしまう。そして、不正ソフトウェア実行部４３は、メールサーバ３にウィルスファイルを添付した電子メールデータＭに送信すると、当該メールサーバ３によって電子メールデータが正規に転送されてしまう。

また、ホスト１が、送信される電子メールデータからメールサーバ名を盗聴するタイプ（２）の不正なウィルスに感染して、後述の図６に示すように不正ソフトウェア実行部４３が形成されてしまうと、当該不正ソフトウェア実行部４３の機能によって、正規な電子メールデータの送信時に正規なメールサーバ名が盗聴されてしまう。そして、不正ソフトウェア実行部４３は、当該盗聴したメールサーバ名のメールサーバ３に、ウィルスファイルを添付した電子メールデータに送信すると、当該メールサーバ３によって電子メールデータが正規に転送されてしまう。

更に、ホスト１が、ホスト１に登録されている電子メール送信先のアドレスからメールサーバ３のメールサーバ名を予測するタイプ（３）の不正なウィルスに感染すると、ホスト１のアドレス帳の送信先メールアドレスから、正規なメールサーバ名が予測されて、メールサーバ３への接続が試行されてしまう。そして、コンピュータウィルスによって正規のメールサーバ３が予測されてしまった場合には、当該メールサーバ３に、ウィルスファイルを添付した電子メールデータが送信されてしまい、正規に転送されてしまう。

このようなタイプ（１）〜（３）のコンピュータウィルスの動作を検知するために、ファイアウォール２は、図１に示すように、実在しない仮想的なファントムサーバの情報をダミーの情報として記憶しておき、当該ファントムサーバ宛の電子メールデータＭ１がネットワークを介してメールサーバ３に送信されている場合に、当該電子メールデータＭ１を不正なものと判定して、警告メッセージである不正な電子メールデータのログ情報Ｍ２をメールサーバ３に通知する。

このファイアウォール２は、図２に示すように、基本ソフトウェアとファイアウォールソフトウェアとがインストールされることによって、基本ソフトウェア実行部１１と、ファイアウォールソフトウェア実行部１２とを備えている。

基本ソフトウェア実行部１１は、ネットワークと接続された通信インターフェース部２１とＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）通信制御部２２とを備える。

この基本ソフトウェア実行部１１は、ネットワークを介してホスト１からの電子メールデータを受信すると、当該電子メールデータをファイアウォールソフトウェア実行部１２に渡す。そして、基本ソフトウェア実行部１１は、ファイアウォールソフトウェア実行部１２から電子メールデータが渡されると、ＴＣＰ／ＩＰ通信制御部２２によって電子メールデータの先頭にＴＣＰヘッダ又はＵＤＰ（User Datagram Protocol）ヘッダのトランスポート層ヘッダ，ＩＰ層ヘッダを付加したＩＰパケットを作成し、通信インターフェース部２１によって当該ＩＰパケットにリンク層ヘッダ等を付加して所定の変調処理等が施されて、ネットワークに送出される。

ファイアウォールソフトウェア実行部１２は、パケットフィルタ部３１と、ログ生成部３２と、設定インターフェース部３３とを備える。

パケットフィルタ部３１は、ＴＣＰ／ＩＰ通信制御部２２から渡された電子メールデータを解析して、ファイアウォール２で電子メールデータを遮断させるか、通過させるを判定する。パケットフィルタ部３１は、ＴＣＰ／ＩＰ通信制御部２２からの電子メールデータを含むパケットから、ＩＰヘッダ、ＴＣＰヘッダ又はＵＤＰヘッダ、基本ソフトウェア実行部１１で電子メールデータを受信したインターフェース番号、ポート番号等から、パケットを解析する。そして、パケットフィルタ部３１は、予め登録されたダミー情報であるファントムサーバ宛のパケットをＩＰヘッダから検出した場合には、当該パケットについてのログ情報をログ生成部３２で生成させると共に当該パケットを破棄する。

このパケットフィルタ部３１に設定されているダミーの情報は、設定インターフェース部３３によって設定される。

パケットフィルタ部３１は、パケットを通過させる場合には、そのままのパケットをＴＣＰ／ＩＰ通信制御部２２に渡す。一方、ログ生成部３２は、コンピュータウィルスに完成しているホスト１を特定する情報を含む警告メッセージであるログ情報を生成した場合には、当該ログ情報をメールサーバ３に送信させる命令をＴＣＰ／ＩＰ通信制御部２２に渡す。このログ情報は、図３に示すように、ダミーの情報が格納されたパケットの受信日時、パケットに対する操作（破棄、通過）、パケットのトランスポート層プロトコル、送信元アドレス、送信元ポート、送信先アドレス、送信先ポートが含まれる。このログ情報は、ホスト１がコンピュータウィルスに感染している場合に、メールサーバ３によって、ログ情報に含まれる送信先アドレスから、ホスト１によってコンピュータウィルスに感染していることを認識させることができる。

つぎに、ホスト１の構成を説明すると共に、ファイアウォール２のパケットフィルタ部３１に設定されているダミーの情報について説明する。なお、以下では、タイプ（１）〜タイプ（３）のそれぞれのコンピュータウィルスで作成された電子メールデータをファイアウォール２で検知できることについて説明するが、ファイアウォール２でタイプ（１）〜タイプ（３）で生成された全ての電子メールデータを検出できるのは勿論である。

先ず、ホスト１が、ホスト１に正規に設定されているメールサーバ情報を利用してコンピュータウィルスを拡大させるタイプ（１）のコンピュータウィルスに感染し、当該コンピュータウィルスによって作成された電子メールデータをファイアウォール２で検知できることについて説明する。

ホスト１は、図４に示すように、例えば他のホストから送信された不正なメール内容をプレビュー又は不正な添付ファイルを実行してしまったために、アプリケーション層に、タイプ（１）の動作を実現するための不正ソフトウェア実行部４３が実装されている。また、ホスト１は、基本ソフトウェアとメールクライアントソフトウェアとダミーメールサーバ情報設定ソフトウェアがインストールされることによって、基本ソフトウェア実行部４１と、メールクライアントソフトウェアを実行するメールクライアントソフトウェア実行部４２とダミーメールサーバ情報設定ソフト実行部４５とを備え、更に、メールサーバ情報記憶部４４を備えて構成されている。

メールサーバ情報記憶部４４には、電子メールデータを転送する正規のメールサーバ３を特定するメールサーバ情報と、当該メールサーバ情報に対してダミーのファントムメールサーバ情報とを含む設定データが格納されている。

メールサーバ情報は、正規のメールサーバ３のメールサーバ名及びＩＰアドレス、自己のメールアドレス、電子メール送信先のメールアドレス帳等を含み、メールクライアントソフトウェア実行部４２によって参照されて正規の電子メールデータが作成可能となっている。また、ファントムメールサーバ情報は、ファントムメールサーバのメールサーバ名及びＩＰアドレス等である。

メールサーバ情報とファントムメールサーバ情報とは、予め設定された記述位置にメールサーバ情報及びファントムメールサーバ情報を記述しても良く、ランダムな記述順序、又は、ホスト１のユーザによって任意の記述順序としても良い。また、このメールサーバ情報及びファントムメールサーバ情報は、例えばメールクライアントソフトウェア実行部４２のバージョンアップ等によって、設定データの形式が変更となった場合には、メールサーバ情報及びファントムメールサーバ情報の記述形式が変更される。ファントムメールサーバ情報は、後述のダミー情報設定部６２によってメールサーバ情報記憶部４４に格納され、メールサーバ情報に対する記述順序が設定される。

メールクライアントソフトウェア実行部４２は、メールサーバ情報記憶部４４を参照して、電子メールデータを作成する。メールクライアントソフトウェア実行部４２は、メールサーバ情報記憶部４４の設定データのうち、メールサーバ情報を読み込むように設定されている。メールクライアントソフトウェア実行部４２は、正規のメールサーバ３のメールサーバ名及び当該メールサーバ名のＩＰアドレス、電子メール送信先のアドレスをメールサーバ情報記憶部４４から取得して、電子メールデータを作成する。

基本ソフトウェア実行部４１は、ネットワークと接続された通信インターフェース部５１とＴＣＰ／ＩＰ通信制御部５２とを備える。

この基本ソフトウェア実行部４１は、メールクライアントソフトウェア実行部４２によってメールサーバ情報記憶部４４のメールサーバ情報を参照して正規の電子メールデータが作成されると、当該電子メールデータがＴＣＰ／ＩＰ通信制御部５２に渡される。ＴＣＰ／ＩＰ通信制御部５２は、受け渡された電子メールデータの先頭にＴＣＰヘッダ又はＵＤＰヘッダのトランスポート層ヘッダ，ＩＰ層ヘッダを付加したＩＰパケットを作成し、この電子メールデータは、通信インターフェース部５１によって当該ＩＰパケットにリンク層ヘッダ等を付加して所定の変調処理等が施されて、ネットワークに送出される。

また、ネットワークからホスト１宛に送信された電子メールデータを含むＩＰパケットは、通信インターフェース部５１によって復調処理等が施された後に、ＴＣＰ／ＩＰ通信制御部５２で解析されて、メールクライアントソフトウェア実行部４２に渡される。

不正ソフトウェア実行部４３は、ホスト１に実装されると、上述のタイプ（１）の動作を実現させるために、メールサーバ情報記憶部４４にアクセスして、メールサーバ３のメールサーバ名又はファントムサーバのメールサーバ名を取得すると、当該何れかのメールサーバ名を使用して電子メールデータを作成して基本ソフトウェア実行部４１から送信させる。

このような不正ソフトウェア実行部４３で実現される機能に対し、ホスト１は、ＴＣＰ／ＩＰ通信制御部５２で作成されたパケットを監視して不正な電子メールデータの送信を遮断するための機能として、ダミーメールサーバ情報設定ソフト実行部４５を備えている。ダミーメールサーバ情報設定ソフト実行部４５は、ファントムメールサーバ情報記憶部６１と、ダミー情報設定部６２とを備える。

ファントムメールサーバ情報記憶部６１には、メールサーバ情報記憶部４４に格納するファントムサーバのメールサーバ名を含むファントムメールサーバ情報が記憶されている。ダミー情報設定部６２は、ファントムメールサーバ情報記憶部６１に記憶されたファントムメールサーバ情報を読み出して、メールサーバ情報記憶部４４に記憶させる。ダミー情報設定部６２は、ファントムメールサーバ情報をメールサーバ情報記憶部４４に記憶させる場合に、その記述順序をランダム又は任意とする。

このダミー情報設定部６２は、図５に示すように、先ずメールクライアントソフトウェア実行部４２の設定ファイルやレジストリの位置、フォーマット（形式）をメールサーバ情報記憶部４４又は外部から取り出す（ステップＳ１）。次にダミー情報設定部６２は、正規のメールサーバ情報に対するファントムメールサーバ情報の記述順序を決定する（ステップＳ２）。このとき、ダミー情報設定部６２は、予め設定された先頭位置にファントムメールサーバ情報を配置するように記述順序を決定しても良く、図示しないユーザインターフェースからの命令によってファントムメールサーバ情報の記述順序を決定しても良く、更には乱数によってランダムな配置となるようにファントムメールサーバ情報の記述順序を決定しても良い。そして、ダミー情報設定部６２は、当該記述順序となるようにメールサーバ情報記憶部４４にファントムメールサーバ情報を追加する（ステップＳ３）。

このように、ダミー情報設定部６２によって、メールサーバ情報に対するファントムメールサーバ情報の記述順序を調整することによって、設定データの先頭に記述されて一番最初に検出されたメールサーバ名を不正に取得するコンピュータウィルスや、設定データの色々なメールサーバ名を総当たり的に利用するコンピュータウィルスによって不正ソフトウェア実行部４３が実装されても、後述のダミーメールサーバ情報設定ソフト実行部４５によって、双方のタイプのコンピュータウィルスの動作を検知可能とする。

このように、ホスト１からファントムメールサーバ宛のダミーの情報を含む電子メールデータを受信したことを検知するために、ファイアウォール２は、パケットフィルタ部３１にファントムメールサーバ情報記憶部６１に記憶されているファントムメールサーバ情報を登録しておく。そして、ファイアウォール２は、当該ファントムメールサーバ名の電子メールデータがホスト１から送信された場合に、パケットフィルタ部３１で当該電子メールデータを含むパケットのログ情報を生成できる。

次に、ホスト１が、当該ホスト１から送信される電子メールデータを盗聴するタイプ（２）のコンピュータウィルスに感染し、当該コンピュータウィルスによって作成された電子メールデータをファイアウォール２で検知できることについて説明する。

ホスト１は、図６に示すように、例えば他のホストから送信された不正なメール内容をプレビュー又は不正な添付ファイルを実行してしまったために、アプリケーション層に、タイプ（２）の動作を実現するための不正ソフトウェア実行部４３が実装されている。また、ホスト１は、基本ソフトウェアとメールクライアントソフトウェアとダミーメールサーバ送信ソフトウェアとがインストールされることによって、基本ソフトウェア実行部７１と、メールクライアントソフトウェアを実行するメールクライアントソフトウェア実行部７２とダミーメールサーバ送信ソフトウェア実行部７３とを備えて構成されている。

基本ソフトウェア実行部７１は、ネットワークと接続された通信インターフェース部８１とＴＣＰ／ＩＰ通信制御部８２とを備える。これら通信インターフェース部８１及びＴＣＰ／ＩＰ通信制御部８２は、図４のホスト１の通信インターフェース部５１及びＴＣＰ／ＩＰ通信制御部５２と同様に動作し、受信した電子メールデータをメールクライアントソフトウェア実行部７２に渡し、メールクライアントソフトウェア実行部７２又はダミーメールサーバ送信ソフトウェア実行部７３からの電子メールデータをネットワークに送出する。

メールクライアントソフトウェア実行部７２には、電子メールデータを転送する正規のメールサーバ３を特定するメールサーバ情報が格納されている。このメールサーバ情報は、正規のメールサーバ３のメールサーバ名及びＩＰアドレス、自己のメールアドレス、電子メール送信先のメールアドレス帳等を含み、メールクライアントソフトウェア実行部７２によって参照されて正規の電子メールデータが作成可能となっている。

メールクライアントソフトウェア実行部７２は、電子メールデータを送信する際に、メール送信検知部４３にメール送信開始信号を供給する。これに対し、メールクライアントソフトウェア実行部７２は、メール送信検知部４３からメール送信開始許可信号を受信するまで電子メールデータの送信を保留し、メール送信開始許可信号を受信した後に電子メールデータを基本ソフトウェア実行部７１に渡す。

ダミーメールサーバ送信ソフトウェア実行部７３は、ダミーメール送信部９１と、ダミーメールサーバ情報記憶部９２と、メール送信検知部９３とを備える。

ダミーメールサーバ情報記憶部９２には、ファントムメールサーバのメールサーバ名を含むダミーメールサーバ情報が記憶されている。このダミーメールサーバ情報は、ダミーメール送信部９１に読み込まれて、ダミーメール送信部９１がダミー電子メールデータを作成するために使用される。

メール送信検知部９３は、ダミーメール送信部９１によってファントムメールサーバ宛のダミー電子メールデータを送信するタイミングと、メールクライアントソフトウェア実行部７２によって正規の電子メールデータを送信するタイミングとを調整する。メール送信検知部９３は、所定時間を計時するタイマによってダミーメール送信部９１のダミー電子メールデータの送信タイミングが設定されている場合に、当該ダミー電子メールデータの送信タイミングとは異なるタイミングで正規な電子メールデータを送信させる。

このタイマーによってダミー電子メールデータの送信タイミングを制御する処理は、図７に示すように、ダミーメール送信部９１は、内部のタイマーが固定値又はランダム値の設定時間を計時して通知されるタイミングを待つ（ステップＳ１１）。そして、ダミーメール送信部９１は、タイマーが所定時間を計時したことが通知されると、ステップＳ１２において、ダミーメールサーバ情報記憶部９２のダミーメールサーバ情報を読み込んで、送信先をファントムメールサーバ宛に決定し、ステップＳ１３において、ダミー電子メールデータを生成する。なお、タイマーが所定時間を計時してダミー電子メールデータを送信するタイミングとなった場合、その旨の通知をメール送信検知部９３にも送信する。

また、ダミーメール送信部９１は、ステップＳ１４において、生成したダミー電子メールデータが、正規な電子メールデータではないダミーであることをファイアウォール２で識別させるダミーメール識別子を追加して、ステップＳ１５において、複数のダミー電子メールデータを所定の時間間隔又はランダムな時間間隔で送信する。

次にダミーメール送信部９１は、次回にダミー電子メールデータを送信するタイミングを経時するために、タイマーの計時時間を固定値又はランダム値にセットして、処理を終了する。

また、メール送信検知部９３は、正規の電子メールデータの送信タイミングの前後にダミー電子メールデータを送信するように調整しても良い。

メール送信検知部９３は、メールクライアントソフトウェア実行部７２からメール送信開始信号が供給されると、当該メール送信開始信号をダミーメール送信部９１に通知する。これに応じて、ダミーメール送信部９１は、予め設定されたランダムなタイミングで一又は複数のダミー電子メールデータを作成して、基本ソフトウェア実行部７１を介して送信させ、その後に、メール送信検知部９３にダミー電子メールデータの送信が終了したことを通知する。メール送信検知部９３は、ダミーメール送信部９１からダミー電子メールデータの送信が終了した通知を受けると、メールクライアントソフトウェア実行部７２にメール送信開始許可信号を送信して、メールクライアントソフトウェア実行部７２から正規の電子メールデータを送信させ、その旨をダミーメール送信部９１に通知する。ダミーメール送信部９１は、メールクライアントソフトウェア実行部７２から電子メールデータの送信が終了したことに応じて、再度、一又は複数のダミー電子メールデータをランダムなタイミングで送信させる。

この処理は、図８に示すように、メール送信検知部９３によって、ステップＳ２１において、メールクライアントソフトウェア実行部７２からのメール送信開始信号が供給されるのを待ち、メール送信開始信号が供給された後に、ステップＳ２２において、メール送信検知部９３によって、ダミー電子メールデータの送信数Ｐ１を設定する。このダミー電子メールデータの送信数Ｐ１は、固定数でも良く、ランダムであっても良い。

次に、ダミーメール送信部９１は、図７と同様にステップＳ１２〜ステップＳ１５の処理を行うことによってダミー電子メールデータを送信し、ステップＳ２３において、ダミー電子メールデータの送信回数がステップＳ２２で決定した送信数Ｐ１に達したか否かを判定して、達していない場合にはステップＳ１２〜ステップＳ１５の処理を繰り返す。ダミー電子メールデータの送信回数が送信数Ｐ１に達した場合、メール送信検知部９３は、ステップＳ２４において、メールクライアントソフトウェア実行部７２にメール送信開始許可信号を送信して正規な電子メールデータを送信させる。

次に、メール送信検知部９３は、ステップＳ２５において、正規な電子メールデータの後に送信するダミー電子メールデータの送信数Ｐ２を決定し、ダミーメール送信部９１は、ステップＳ１２〜ステップＳ１５の処理行ってダミー電子メールデータを送信し、ステップＳ２６において、ダミー電子メールデータの送信回数がステップＳ２５で決定した送信数Ｐ２に達したか否かを判定して、達していない場合にはステップＳ１２〜ステップＳ１５の処理を繰り返す。ダミー電子メールデータの送信回数が送信数Ｐ２に達した場合に処理を終了する。

このように、ホスト１からファントムメールサーバ宛のダミーの情報を含み且つ、ダミーメール識別子を含む電子メールデータを受信したことを検知するために、ファイアウォール２は、パケットフィルタ部３１に、ダミーメールサーバ情報記憶部９２に記憶されているファントムメールサーバ情報を登録しておく。そして、ファイアウォール２は、当該ファントムメールサーバ名の電子メールデータがホスト１から送信された場合に、パケットフィルタ部３１で当該電子メールデータにダミーメール識別子が含まれていない場合に、パケットのログ情報を生成できる。また、ファイアウォール２は、ホスト１が設定した所定のタイミングとは異なるタイミングでダミー電子メールデータが送信された場合に、当該電子メールデータを不正な電子メールデータとしてログ情報を生成できる。

更に、ファイアウォール２は、当該ホスト１に登録されている電子メール送信先のアドレスからメールサーバ３のメールサーバ名を予測するタイプ（３）のコンピュータウィルスに感染したホスト１からの不正な電子メールデータを検知するために、実在のメールサーバ３のメールサーバ名から予測されやすいメールサーバ名をファントムメールサーバの名前として記憶しておく。例えば、メールサーバ３の正規のメールサーバ名「mx.osaka.jp」に対し、ファイアウォール２には、予測されやすいメールサーバ名として、ms,mx1,mail,mailserver等を予測サーバ名情報として記憶しておく。これにより、ファイアウォール２は、あらゆる予測サーバ名情報を登録することによって、タイプ（３）のコンピュータウィルスによって実際には存在しないメールサーバ３への接続の試行を検出して、不正な電子メールデータのログ情報を生成できる。

このように、タイプ（１）〜タイプ（３）のコンピュータウィルスによって生成された不正な電子メールデータのログ情報を受信するメールサーバ３は、図９に示すように、基本ソフトウェアとメールサーバソフトウェアとがインストールされて、基本ソフトウェア実行部１０１と、メールサーバソフトウェア実行部１０２とを備えて構成されている。

基本ソフトウェア実行部１０１は、ネットワークを介してあらゆるネットワーク機器と接続された通信インターフェース部１１１とＴＣＰ／ＩＰ通信制御部１１２とを備える。

基本ソフトウェア実行部１０１は、通信インターフェース部１１１によってデータの復変調処理及びデータリンク層処理を行い、ＴＣＰ／ＩＰ通信制御部１１２によってネットワーク層処理及びトランスポート層処理を行う。この基本ソフトウェア実行部１０１は、ホスト１及び他のメールサーバから受信したパケットに含まれる電子メールデータ及びファイアウォール２から受信したログ情報をメールサーバソフトウェア実行部１０２に渡すと共に、メールサーバソフトウェア実行部１０２から渡された電子メールデータに所定の処理を行ってパケットとして送信する。

メールサーバソフトウェア実行部１０２は、メール受信部１２１と、メールチェック部１２２と、感染ホスト情報記憶部１２３と、ログ解析部１２４と、ログフォーマット情報記憶部１２５と、不審メール処理部１２６と、メール転送部１２７と、メールボックス１２８とを備える。

メール受信部１２１は、基本ソフトウェア実行部１０１で受信したパケットに含まれる電子メールデータを受け取ると、当該電子メールデータをメールチェック部１２２に渡す。

メールチェック部１２２は、メール受信部１２１から受け取った電子メールデータの送信元のＩＰアドレスを取得し、当該送信元のＩＰアドレスが、感染ホスト情報として感染ホスト情報記憶部１２３に登録されているか否かを判定する。送信元のＩＰアドレスが感染ホスト情報記憶部１２３に登録されている場合、メールチェック部１２２は、当該送信元のＩＰアドレスで送信された電子メールデータを不審メール処理部１２６に渡す。一方、送信元のＩＰアドレスが感染ホスト情報記憶部１２３に登録されている場合、メールチェック部１２２は、当該送信元のＩＰアドレスで送信された電子メールデータをメール転送部１２７に渡す。

この感染ホスト情報記憶部１２３に記憶された感染ホスト情報は、ログ解析部１２４で警告メッセージを受信すると、当該ログ情報に含まれたコンピュータウィルスに感染した感染ホストを特定する情報であるＩＰアドレスがログ解析部１２４によって登録される。このとき、ログ解析部１２４は、図１０に示すように、基本ソフトウェア実行部１０１からログ情報を受信すると（ステップＳ３１）、ログフォーマット情報記憶部１２５のログフォーマット情報を取得し（ステップＳ３２）、コンピュータウィルスに感染しているホスト１のＩＰアドレスを取得して、感染ホスト情報として感染ホスト情報記憶部１２３に記憶する。

不審メール処理部１２６は、メールチェック部１２２から受け取った電子メールデータの転送を保留、又は、電子メールデータの破棄、又は、電子メールデータに添付されたコンピュータウィルスを除去する改変処理を行う。不審メール処理部１２６は、不正な電子メールデータに対する処理が予め設定情報として設定されており、当該設定情報に従って、不正な電子メールデータの保留、破棄、又は改変を行う。

不審メール処理部１２６は、不正な電子メールデータを保留する場合、図示しない不正な電子メールデータ用のバッファに記憶させる。また、不審メール処理部１２６は、電子メールデータを改変した場合、当該電子メールデータを転送させるためにメール転送部１２７に渡す。

メール転送部１２７は、メールチェック部１２２で不正な電子メールデータではないと判定された電子メールデータ及び不審メール処理部１２６で改変された電子メールデータを受け取ると、当該電子メールデータの宛先ＩＰアドレスを取得する。メール転送部１２７は、宛先ＩＰアドレスから自己のドメイン宛であると判定した場合には、ユーザごとに区分されたメールボックス１２８に格納する。また、受け取った電子メールデータの宛先ＩＰアドレスから自己のドメイン宛ではないと判定した場合、メール転送部１２７は、基本ソフトウェア実行部１０１を介して宛先ドメインのメールサーバに電子メールデータを転送させる。

このようなメールサーバ３は、図１１に示すように、ステップＳ４１において、基本ソフトウェア実行部１０１を介してメール受信部１２１で電子メールデータを受信すると、ステップＳ４２において、メールチェック部１２２により、当該電子メールデータの送信元ＩＰアドレスが感染ホスト情報に登録されているか否かを判定し、そうである場合には、当該電子メールデータを不審メール処理部１２６に渡してステップＳ４３に処理を進め、そうでない場合には、当該電子メールデータをメール転送部１２７に渡してステップＳ４８に処理を進める。

ステップＳ４３において、不審メール処理部１２６は、不正な電子メールデータに対する処理を設定データから取得して、当該不正な電子メールデータを破棄する場合には、ステップＳ４４において電子メールデータを破棄して処理を終了する。

不正な電子メールデータを保留する場合には、ステップＳ４５において、メールサーバ３の管理者等に通知することでチェックさせて、ステップＳ４８に処理を進める。なお、このステップＳ４５において、不審メール処理部１２６は、一定時間だけ不正な電子メールデータをバッファに記憶させて、管理者のチェックがなされたか否かに拘わらずメール転送部１２７に電子メールデータを転送させても良い。

更に、不正な電子メールデータを改変する場合、ステップＳ４６においてコンピュータウィルスが添付されている可能性があるために取り扱いに注意させる警告文をメール本文中などに追記し、ステップＳ４７において添付ファイルを削除してステップＳ４８に処理を進める。この警告文は、例えば「このメールはウィルスによって送信された可能性があります」といった文章が挙げられる。なお、ステップＳ４６及びステップＳ４７の処理は、何れかを行うように設定されていても良い。

ステップＳ４８において、メール転送部１２７は、電子メールデータの宛先ドメインが自己のものであるか否かを判定し、そうである場合には、ステップＳ４９において電子メールデータをメールボックス１２８に保存して処理を終了し、そうでない場合には、ステップＳ５０において電子メールデータを他のメールサーバに転送させるために当該電子メールデータを基本ソフトウェア実行部１０１に渡す。

このようなメールサーバ３によれば、ログ情報を受信して感染ホスト情報を記憶しておき、当該感染ホスト情報として登録された送信元のＩＰアドレスで電子メールデータが送信された場合に、当該電子メールデータを保留、破棄又は改変できるので、コンピュータウィルスに感染したホスト１を検知して、不正な電子メールデータがそのまま転送されることを防止できる。

なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。

すなわち、上述した実施形態における不正な電子メールデータを検知するため機能は、家電機器群がネットワーク接続されたホームネットワークや、設備装置群がネットワーク接続された設備ネットワークなどにも適用できる。例えば、ホームネットワークに接続されてアプリケーションとしてメール機能を具備する家電機器がコンピュータウィルスに感染した場合であっても、当該家電機器から外部ネットワークへと不正なコンピュータウィルスを含む電子メールが送信されることをファイアウォール２で検知することができる。

ここで、ホームネットワークを構築する技術としては、ＥＣＨＯネットの他、エミット（ＥＭＩＴ（Embedded Micro Internetworking Technology））と称される機器組み込み型ネットワーク技術などがあげられる。この組み込み型ネットワーク技術は、ネットワーク機器にＥＭＩＴミドルウェアを組み込んでネットワークに接続できる機能を備え、ＥＭＩＴ技術と称されている。

より具体的には、上述した不正な電子メールを検知する機能を有するホスト１、ファイアウォール２、メールサーバ３等のネットワーク機器にＥＭＩＴ技術を実現するＥＭＩＴソフトウェアを搭載して、当該ＥＭＩＴソフトウェアを搭載した端末、中継装置、メールサーバ３と、当該端末、中継装置、横付け機器を遠隔で制御又は監視するユーザ機器とをインターネット上に設けられたセンターサーバ（図示せず）を介して通信接続する。このユーザ機器は、例えば、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）、ＰＨＳ（Personal Handy phone System）等の外部端末（図示せず）である。

このようなＥＭＩＴ技術を実装したシステムによれば、ユーザ機器は、ホスト１、メールサーバ３、中継装置、横付け機器によって不正な電子メールデータをどのくらいの頻度で検知したかを遠隔監視でき、不正な電子メールを遮断又は警報する送信元アドレスを追加制御できる。

本発明を適用した不正メール検知システムの構成を示すシステム図である。 本発明を適用した不正メール検知システムにおいて、不正な電子メールデータを検知するファイアウォールの構成を示すブロック図である。 本発明を適用した不正メール検知システムを構成するファイアウォールによって生成されるログ情報を示す図である。 タイプ（１）のコンピュータウィルスに感染したホストの構成であって、当該コンピュータウィルスをファイアウォールで検知するための構成を含むブロック図である。 本発明を適用した不正メール検知システムを構成する端末によってダミーメールサーバ情報を設定する処理手順を示すフローチャートである。 タイプ（２）のコンピュータウィルスに感染したホストの構成であって、当該コンピュータウィルスをファイアウォールで検知するための構成を含むブロック図である。 本発明を適用した不正メール検知システムを構成する端末によって、タイマーを参照してダミー電子メールデータを作成して送信する処理手順を示すフローチャートである。 本発明を適用した不正メール検知システムを構成する端末によって、正規の電子メールデータを送信と混合して、ダミー電子メールデータを作成して送信する処理手順を示すフローチャートである。 ファイアウォールからのログ情報を受信して、感染ホスト情報を蓄積できるメールサーバの構成を示すブロック図である。 本発明を適用した不正メール検知システムを構成するメールサーバによってログ情報を受信した時の処理手順を示すフローチャートである。 本発明を適用した不正メール検知システムを構成するメールサーバによって電子メールデータを受信した時の処理手順を示すフローチャートである。

符号の説明

１ ホスト
２ ファイアウォール
３ メールサーバ
１１，４１，７１，１０１ 基本ソフトウェア実行部
１２ ファイアウォールソフトウェア実行部
２１，５１，８１，１１１ 通信インターフェース部
２２，５２，８２，１１２ ＴＣＰ／ＩＰ通信制御部
３１ パケットフィルタ部
３２ ログ生成部
３３ 設定インターフェース部
４２ メールクライアントソフトウェア実行部
４３ メール送信検知部
４３ 不正ソフトウェア実行部
４４ メールサーバ情報記憶部
４５ ダミーメールサーバ情報設定ソフト実行部
６１ ファントムメールサーバ情報記憶部
６２ ダミー情報設定部
７２ メールクライアントソフトウェア実行部
７３ ダミーメールサーバ送信ソフトウェア実行部
９１ ダミーメール送信部
９２ ダミーメールサーバ情報記憶部
９３ メール送信検知部
１０２ メールサーバソフトウェア実行部
１２１ メール受信部
１２２ メールチェック部
１２３ 感染ホスト情報記憶部
１２４ ログ解析部
１２５ ログフォーマット情報記憶部
１２６ 不審メール処理部
１２７ メール転送部
１２８ メールボックス

Claims (7)

1. コンピュータウィルスによって、不正な電子メールが配信されることを検知する不正メール検知システムであって、
   電子メールを送信するために必要な正規の設定情報と、当該設定情報に対してダミーの設定情報とを記憶した記憶手段と、前記正規の設定情報を用いて、電子メールを送信する送信手段とを備えた端末と、
   前記コンピュータウィルスによる動作によって、前記ダミーの設定情報を用いて作成された電子メールを受信した場合に、不正な電子メールが配信されることを検知するファイアウォールと
   を備えることを特徴とする不正メール検知システム。
2. 前記ファイアウォールは、前記ダミーの設定情報を用いて作成された電子メールを受信して、不正な電子メールが配信されることを検知した場合に、当該電子メールを遮断することを特徴とする請求項１に記載の不正メール検知システム。
3. 前記ファイアウォールは、不正な電子メールを解析してコンピュータウィルスに感染している端末のアドレスを取得し、当該アドレスを含む警告メッセージを、前記正規な設定情報で特定されるメール転送サーバに送信することを特徴とする請求項１に記載の不正メール検知システム。
4. 前記ファイアウォールは、前記警告メッセージとして、ログ情報を前記メール転送サーバに送信し、
   前記メール転送サーバは、予め記憶しておいたログフォーマット情報を参照して、受信したログ情報を解析し、コンピュータウィルスに感染してる端末のアドレス情報を抽出することを特徴とする請求項３に記載の不正メール検知システム。
5. 前記端末の記憶手段は、前記正規の設定情報として電子メールを転送する正規のメール転送サーバを特定するメールサーバ情報を記憶すると共に、前記ダミーの設定情報として当該メールサーバ情報に対してダミーのダミーメールサーバ情報を記憶し、
   前記ファイアウォールは、前記記憶手段に記憶されたダミーメールサーバ情報を用いて作成された電子メールを受信した場合に、不正な電子メールが配信されることを検知すること
   を特徴とする請求項１乃至請求項４の何れか一項に記載の不正メール検知システム。
6. 前記端末は、前記正規の設定情報として電子メールを転送する正規のメール転送サーバを特定するメールサーバ情報を記憶すると共に、前記ダミーの設定情報として前記メールサーバ情報に対してダミーのダミーメールサーバ情報を前記記憶手段に記憶し、前記送信手段によって、前記記憶手段に記憶されたメールサーバ情報を用いて前記正規のメール転送サーバ宛の電子メールを送信する処理を行うと共に、予め設定したタイミングで前記記憶手段に記憶されたダミーメールサーバ情報を用いて電子メールを送信する処理とを行い、
   前記ファイアウォールは、前記予め設定したタイミング以外のタイミングで、前記ダミーメールサーバ情報を用いて作成した電子メールを受信した場合に、不正な電子メールが配信されることを検知すること
   を特徴とする請求項１乃至請求項５の何れか一項に記載の不正メール検知システム。
7. 前記端末は、前記記憶手段として、前記正規の設定情報として電子メールの送信先端末を特定する電子メールアドレスを登録して記憶したアドレス記憶手段と、前記ダミーの設定情報として前記アドレス記憶手段に記憶された電子メールアドレスのドメイン名から、予測されやすいダミーのメール転送サーバのホスト名を記憶するダミー情報記憶手段とを有し、前記送信手段によって、前記アドレス記憶手段に記憶された電子メールアドレスを送信先とした電子メールを送信し、
   前記ファイアウォールは、前記ダミー情報記憶手段に記憶されたダミーのメール転送サーバのホスト名を宛先とした電子メールを受信した場合に、不正な電子メールが配信されることを検知すること
   を特徴とする請求項１乃至請求項５の何れか一項に記載の不正メール検知システム。
   

Images