JP2010113447A - メール受信サーバ、スパムメールの受信拒否方法およびプログラム - Google Patents

Abstract

【課題】メール受信サーバが電子メールを受信する時に、セッション確立時において、電子メール本文を受信する前に、その電子メールがスパムメールかどうかを判断し、受信をブロックする。
【解決手段】電子メールの受信時にセッションを確立したときに、電子メールの本文を受信する前に、メール送信クライアントから得られる情報に基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断したときに、その電子メールの本文の受信を拒否する。
【選択図】図２

Description

本発明は、電子メール受信時のメール受信サーバに関し、特に、メール受信サーバが電子メールを受信する時に、セッション確立時において、電子メール本文を受信する前に、その電子メールがスパムメールかどうかを判断し、受信をブロックするメール受信サーバ、スパムメールの受信拒否方法およびプログラムに関する。

近年、ネットワークの発展により、誰しもが気軽に簡単に電子メール（以下、必要に応じて単に「メール」と称する）を送受信できるようになったことに伴い、いわゆるスパムメール（ｓｐａｍ ｍａｉｌ）の数も増大している。ここで、「スパムメール」とは、受信者の意図を無視して事前の要請や同意なしに、無差別かつ大量発信されるメールを意味するものである。なお、このスパムメールの同義語として、「迷惑メール」、「ジャンクメール」、「ＵＣＥ（Ｕｎｓｏｌｉｃｉｔｅｄ Ｃｏｍｍｅｒｃｉａｌ Ｅｍａｉｌ）」、「ＵＢＥ（Ｕｎｓｏｌｉｃｉｔｅｄ Ｂｕｌｋ Ｅｍａｉｌ）」などがある。

このようなスパムメールは、添付ファイルなどによるウイルス感染や、不要なメールの増加による受信者の業務生産性および効率の低下や、トラフィックの増加によるサーバおよびネットワークへの負荷増大や、詐欺サイトへの誘導などによるプライバシーや機密情報の漏洩などの点において、個人および団体を問わずに脅威となり得るものである。

上記のようなスパムメールによる問題は既に社会問題の域にまで達している。メールアドレスが安価に入手可能であることや、定額料金の高速通信が安価で提供されていることなどを鑑みると、今後、スパムメールは減少することなくますます増加していくと考えられ、スパムメールに対する有効な対策が早急に要求されている。

このような状況において、メールサーバ内に蓄積された電子メールをフィルタリングする方法として、電子メールの送信アドレスと返信アドレスとに関連したフィルタリング条件を有する端末がメールサーバに蓄積された電子メールのヘッダ情報を要求し、フィルタリング条件に基づき受信した電子メールのヘッダ情報を判定し、メールサーバに判定の結果に基づくフィルタリング指示を送信するとともに、メールサーバが、フィルタリング指示に基づきフィルタリング処理を実行する技術が知られている（例えば、特許文献１参照）。

また、メール配信経路上において、特定された中継装置の迷惑メール頻度情報に基づいて迷惑メールであるか否かの判定を行い、配信経路上を通って配信される電子メールが迷惑メールである場合にそれを確実に検出する技術も知られている（例えば、特許文献２参照）。

さらに、セッション確立後のメール本文を受信する前に、スパムメール送信クライアントかどうかをＩＰアドレスのブラックリストを利用して判定し、メールをブロックする方式（ＤＮＳＢＬ、例えば、非特許文献１参照）や、メール送信クライアントがセッション中に、メール受信サーバから、エラー応答コードの中で再送を必要とする一時的なエラーを示す応答コードを受信した場合における挙動を利用したブロッキング手法が知られている（Ｇｒｅｙｌｉｓｔｉｎｇ、例えば、非特許文献２参照）。

このグレイリスティングによるブロッキング手法は、メール送信クライアントがエラー応答コードを受け取った場合、正常なクライアントはメールを再送するために再びセッションを確立するが、スパムメール送信クライアントはこれを行わないことを利用し、スパムメール送信クライアントの判定を行っている。また、メール送信クライアントの中で再送を行ったクライアントは、正常なクライアントと判断されホワイトリスト化することにより処理の効率化を図っている。

また、セッション確立後におけるスパムメール送信クライアントのホスト情報からスパムメール送信クライアントを判別する方式としてＳ２５Ｒ（Ｓｅｌｅｃｔｉｖｅ ＳＭＴＰ Ｒｅｊｅｃｔｉｏｎ）が提案されている（例えば、非特許文献３参照）。これは、メール送信クライアントのＩＰアドレスのホスト名が逆引きできない場合や、逆引きできた場合でも逆引き名からクライアントがメールサーバではなくエンドユーザと推定される場合に、一時的なエラーを示す応答コードで拒否を行う方式をとっている。エンドユーザと推定するために文字列的特徴を利用したルールを用いており、これに合致するホスト名を持つメール送信クライアントをスパムメール送信クライアントとしている。
特開２００４−１７１１６９号公報 特開２００６−２６０５１５号公報 ｈｔｔｐ：／／ｗｗｗ．ｓｐａｍｈａｕｓ．ｏｒｇ／ ｈｔｔｐ：／／ｐｒｏｊｅｃｔｓ．ｐｕｒｅｍａｇｉｃ．ｃｏｍ／ｇｒｅｙｌｉｓｔｉｎｇ／ｗｈｉｔｅｐａｐｅｒ．ｈｔｍｌ ｈｔｔｐ：／／ｗｗｗ．ｇａｂａｃｈｏ−ｎｅｔ．ｊｐ／ａｎｔｉ−ｓｐａｍ／ｐａｐｅｒ．ｈｔｍｌ

しかしながら、特許文献１に記載の技術においては、システムのフィルタ条件が、電子メールの送信アドレスと返信アドレスとが不一致の場合とされているために、メーリングリストで配信された通常のメールであっても、上記の条件を満足してしまう場合があり、誤検知が生ずる可能性があるという問題がある。

また、特許文献２に記載の技術においては、中継装置のアドレスのみを使用していることから、スパム業者のように送信元が一定である場合には機能するものの、ボットネット等の不特定アドレスを用いる場合には、機能しない可能性があるという問題がある。

さらに、非特許文献１に記載の方式においては、既知のスパムメール送信クライアントや、既知の正常なメールを送信するクライアントに対しては非常に有効であるが、スパムメール送信者がボットネットなどにより一時的に利用可能なＩＰアドレスを利用してスパムメールを送信する例もあり、スパムメール送信クライアントの検知率は低くなりつつある。一方で、ＤＮＳＢＬが広域のＩＰアドレスレンジをリスト化することにより、正常なメール送信クライアントもスパムメール送信クライアントと判定される事態も生じているため、ＩＰアドレスによるスパムメール送信クライアントの判定は有効な手段とはいえない状況になりつつある。

また、非特許文献２においては、スパムメールをブロックする上では高い効果が得られているが、一方で、ホワイトリストに登録されていないクライアントはメールの再送が必要なためメール配送の遅延が生じる。さらに、ＩＳＰなどの大規模なメールサーバにおいては負荷分散のために複数のＭＴＡを利用していることがあるため正常なＭＴＡが再送を行ったとしても再送とみなされない場合があり、正常なクライアントに負荷がかかる仕組みとなっている。

また、非特許文献３においては、宛先の正しいスパムメールの検知率は９７％以上と効果的であるが、正常なメールが誤ってスパムメールと判定される誤検知率も高く、非特許文献２のグレイリスティング方式との併用が必要である。

そこで、本発明は、上記事情に鑑みてなされたものであり、メール受信サーバが電子メールを受信する時に、セッション確立時において、電子メール本文を受信する前に、その電子メールがスパムメールかどうかを判断し、受信をブロックするメール受信サーバ、スパムメールの受信拒否方法およびプログラムを提供することを目的とする。

本発明は、上記した課題を解決するために以下の事項を提案している。

（１）本発明は、送信者からの電子メールを送信するメール送信クライアントから送信された電子メールを受信するメール受信サーバであって、前記メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成する特徴生成手段と、該生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、前記スパムメールのみに適用可能なルールを生成するルール生成手段と、該生成したルールに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する受信拒否手段と、を備えたことを特徴とするメール受信サーバを提案している。

この発明によれば、特徴生成手段が、メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成し、ルール生成手段が、その生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、スパムメールのみに適用可能なルールを生成する。そして、受信拒否手段が、その生成したルールに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する。したがって、メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成し、その生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、スパムメールのみに適用可能なルールを生成して、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否することから、従来よりも高い確率でスパムメールを排除することができ、しかも、従来のように、正常なメール送信クライアントに対する再送処理の手間を省くことができる。

（２）本発明は、（１）のメール受信サーバについて、前記特徴生成手段が、ドメイン情報を比較することによりメール送信クライアントの特徴を生成する第１の特徴生成手段と、クライアントに関する情報がエンドユーザらしさを表す特徴によりメール送信クライアントの特徴を生成する第２の特徴生成手段と、メール送信クライアントの特徴として多く検出された特徴を利用してメール送信クライアントの特徴を生成する第３の特徴生成手段との少なくとも１つから構成されることを特徴とするメール受信サーバを提案している。

この発明によれば、特徴生成手段が、ドメイン情報を比較することによりメール送信クライアントの特徴を生成する第１の特徴生成手段と、クライアントに関する情報がエンドユーザらしさを表す特徴によりメール送信クライアントの特徴を生成する第２の特徴生成手段と、メール送信クライアントの特徴として多く検出された特徴を利用してメール送信クライアントの特徴を生成する第３の特徴生成手段との少なくとも１つから構成される。したがって、メール送信クライアントから得られる情報に基づいて、スパムメールのメール送信クライアントを的確に推定することができる。

（３）本発明は、（２）のメール受信サーバについて、前記第１の特徴生成手段が、メール送信クライアントのＩＰアドレス、メール送信クライアントが名乗るホスト名、送信者のメールアドレス、ＩＰアドレスの逆引きホスト名、逆引きホスト名を回答するネームサーバのホスト名、メール送信クライアントのＩＰアドレスが割り当てられている国を含む情報に基づいて、メール送信クライアントのＩＰアドレスの逆引きホスト名のドメインＤｒｌ、逆引きホスト名を回答するネームサーバのホスト名のドメインＤｎｓ、送信者メールアドレスのホスト名部分のドメインＤｍｓ、メール送信クライアントが名乗るホスト名のドメインＤｈｌを抽出し、これらのドメインを比較して、Ｘ１（ＤｒｌとＤｎｓが一致した場合「１」、それ以外の場合は「０」）、Ｘ２（ＤｒｌとＤｍｓが一致した場合「１」、それ以外の場合は「０」）、Ｘ３（ＤｒｌとＤｈｌが一致した場合「１」、それ以外の場合は「０」）、Ｘ４（ＤｎｓとＤｍｓが一致した場合「１」、それ以外の場合は「０」）、Ｘ５（ＤｎｓとＤｈｌが一致した場合「１」、それ以外の場合は「０」）、Ｘ６（ＤｍｓとＤｈｌが一致した場合「１」、それ以外の場合は「０」）の特徴を生成することを特徴とするメール受信サーバを提案している。

この発明によれば、第１の特徴生成手段が、メール送信クライアントのＩＰアドレス、メール送信クライアントが名乗るホスト名、送信者のメールアドレス、ＩＰアドレスの逆引きホスト名、逆引きホスト名を回答するネームサーバのホスト名、メール送信クライアントのＩＰアドレスが割り当てられている国を含む情報に基づいて、メール送信クライアントのＩＰアドレスの逆引きホスト名のドメインＤｒｌ、逆引きホスト名を回答するネームサーバのホスト名のドメインＤｎｓ、送信者メールアドレスのホスト名部分のドメインＤｍｓ、メール送信クライアントが名乗るホスト名のドメインＤｈｌを抽出し、これらのドメインを比較して、Ｘ１（ＤｒｌとＤｎｓが一致した場合「１」、それ以外の場合は「０」）、Ｘ２（ＤｒｌとＤｍｓが一致した場合「１」、それ以外の場合は「０」）、Ｘ３（ＤｒｌとＤｈｌが一致した場合「１」、それ以外の場合は「０」）、Ｘ４（ＤｎｓとＤｍｓが一致した場合「１」、それ以外の場合は「０」）、Ｘ５（ＤｎｓとＤｈｌが一致した場合「１」、それ以外の場合は「０」）、Ｘ６（ＤｍｓとＤｈｌが一致した場合「１」、それ以外の場合は「０」）の特徴を生成する。したがって、メール送信クライアントから得られるドメイン情報を比較することにより、生成した特徴が偽装された情報の有無により、そのとる値が変化するため、この値に基づいて、スパムメールのメール送信クライアントを的確に推定することができる。なお、ホスト名やサブドメインを含めた場合も総称してドメインと呼ばれるが、ここでは、ＷＨＯＩＳサーバなどに登録されている第二レベルまたは第三レベルドメインまでをドメインと定義する。

（４）本発明は、（２）のメール受信サーバについて、前記第２の特徴生成手段が、クライアントに関する情報から、エンドユーザらしさを表す特徴として、Ｘ７（ＩＰアドレスの逆引きホスト名に所定数以上の数字が用いられている場合「１」、それ以外の場合は、「０」）、Ｘ８（メール送信クライアントが名乗るホスト名に所定数以上の数字が用いられている場合「１」、それ以外の場合は、「０」）を生成することを特徴とするメール受信サーバを提案している。

この発明によれば、第２の特徴生成手段が、クライアントに関する情報から、エンドユーザらしさを表す特徴として、Ｘ７（ＩＰアドレスの逆引きホスト名に所定数以上の数字が用いられている場合「１」、それ以外の場合は、「０」）、Ｘ８（メール送信クライアントが名乗るホスト名に所定数以上の数字が用いられている場合「１」、それ以外の場合は、「０」）を生成する。したがって、メール送信クライアントから得られる情報からエンドユーザらしさを表す特徴を抽出することにより、スパムメールのメール送信クライアントを的確に推定することができる。

（５）本発明は、（２）のメール受信サーバについて、前記第３の特徴生成手段が、クライアントの特徴として、多く検出された特徴、Ｘ９（メール送信クライアントが名乗るホスト名がＩＰアドレス形式で、かつ、実際のメール送信クライアントのＩＰアドレスと一致しない場合「１」、それ以外の場合は「０」）、Ｘ１０（メール送信クライアントのＩＰアドレスの逆引きホスト名が存在しない場合「１」、それ以外の場合は「０」）、Ｘ１１（メール送信クライアントのＩＰアドレスが割り当てられている国と、メール受信サーバが位置する国とが一致しない場合「１」、それ以外の場合は「０」）、Ｘ１２（メール送信クライアントが名乗るホスト名が受信者のメールアドレスの一部を含んでいる場合「１」、それ以外の場合は「０」）をメール送信クライアントの特徴として生成することを特徴とするメール受信サーバを提案している。

この発明によれば、第３の特徴生成手段が、クライアントの特徴として、多く検出された特徴、Ｘ９（メール送信クライアントが名乗るホスト名がＩＰアドレス形式で、かつ、実際のメール送信クライアントのＩＰアドレスと一致しない場合「１」、それ以外の場合は「０」）、Ｘ１０（メール送信クライアントのＩＰアドレスの逆引きホスト名が存在しない場合「１」、それ以外の場合は「０」）、Ｘ１１（メール送信クライアントのＩＰアドレスが割り当てられている国と、メール受信サーバが位置する国とが一致しない場合「１」、それ以外の場合は「０」）、Ｘ１２（メール送信クライアントが名乗るホスト名が受信者のメールアドレスの一部を含んでいる場合「１」、それ以外の場合は「０」）をメール送信クライアントの特徴として生成する。したがって、送信クライアントから得られる情報から、スパムメールの傾向を示す情報を抽出することにより、スパムメールのメール送信クライアントを的確に推定することができる。

（６）本発明は、（１）のメール受信サーバについて、前記分類アルゴリズムとして決定木アルゴリズムを用いることを特徴とするメール受信サーバを提案している。

この発明によれば、分類アルゴリズムとして決定木アルゴリズムを用いる。これにより、確実に、スパムメールのみに適用できるルールを生成することができる。

（７）本発明は、送信者からの電子メールを送信するメール送信クライアントから送信された電子メールを受信するメール受信サーバであって、前記メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成する特徴生成手段と、該生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、前記スパムメールのみに適用可能なルールを生成するルール生成手段と、該ルールを生成する際に使用したスパムメールの送信クライアントのＩＰアドレスとメール送信クライアントが名乗るホスト名をリスト化し、既知のデータから、メール送信クライアントが名乗るホスト名とＩＰアドレスとを抽出し、スパムメールのメール送信クライアントにのみ現れる情報からブラックリストを生成するブラックリスト生成手段と、前記生成したルールと該生成したブラックリストとに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する受信拒否手段と、を備えたことを特徴とするメール受信サーバを提案している。

この発明によれば、特徴生成手段は、メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成する。ルール生成手段は、その生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、スパムメールのみに適用可能なルールを生成する。ブラックリスト生成手段は、そのルールを生成する際に使用したスパムメールの送信クライアントのＩＰアドレスとメール送信クライアントが名乗るホスト名をリスト化し、既知のデータから、メール送信クライアントが名乗るホスト名とＩＰアドレスとを抽出し、スパムメールのメール送信クライアントにのみ現れる情報からブラックリストを生成する。そして、受信拒否手段は、生成したルールと生成したブラックリストとに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する。これにより単一のアカウントに対して大量かつ集中的にスパムメールを送信するために、単一の送信元ＩＰアドレスや共通のホスト名を名乗りながら他の情報を変化させて送るようなスパムメールをブロックできる。

（８）本発明は、送信者からの電子メールを送信するメール送信クライアントから送信された電子メールのうち、スパムメールを検出して、その電子メールの本文の受信を拒否するスパムメールの受信拒否方法であって、前記メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成する第１のステップと、該生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、前記スパムメールのみに適用可能なルールを生成する第２のステップと、該生成したルールに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する第３のステップと、を備えたことを特徴とするスパムメールの受信拒否方法を提案している。

この発明によれば、メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成し、その生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、スパムメールのみに適用可能なルールを生成する。そして、生成したルールに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する。したがって、メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成し、その生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、スパムメールのみに適用可能なルールを生成して、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否することから、従来よりも高い確率でスパムメールを排除することができ、しかも、従来のように、正常なメール送信クライアントに対する再送処理の手間を省くことができる。

（９）本発明は、送信者からの電子メールを送信するメール送信クライアントから送信された電子メールのうち、スパムメールを検出して、その電子メールの本文の受信を拒否するスパムメールの受信拒否方法であって、前記メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成する第１のステップと、該生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、前記スパムメールのみに適用可能なルールを生成する第２のステップと、該ルールを生成する際に使用したスパムメールの送信クライアントのＩＰアドレスとメール送信クライアントが名乗るホスト名をリスト化し、既知のデータから、メール送信クライアントが名乗るホスト名とＩＰアドレスとを抽出し、スパムメールのメール送信クライアントにのみ現れる情報からブラックリストを生成する第３のステップと、前記生成したルールとその生成したブラックリストとに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する第４のステップと、を備えたことを特徴とするスパムメールの受信拒否方法を提案している。

この発明によれば、メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成し、その生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、前記スパムメールのみに適用可能なルールを生成する。そして、そのルールを生成する際に使用したスパムメールの送信クライアントのＩＰアドレスとメール送信クライアントが名乗るホスト名をリスト化し、既知のデータから、メール送信クライアントが名乗るホスト名とＩＰアドレスとを抽出し、スパムメールのメール送信クライアントにのみ現れる情報からブラックリストを生成する。さらに、生成したルールと生成したブラックリストとに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する。これにより単一のアカウントに対して大量かつ集中的にスパムメールを送信するために、単一の送信元ＩＰアドレスや共通のホスト名を名乗りながら他の情報を変化させて送るようなスパムメールをブロックできる。

（１０）本発明は、コンピュータに、送信者からの電子メールを送信するメール送信クライアントから送信された電子メールのうち、スパムメールを検出して、その電子メールの本文の受信を拒否するスパムメールの受信拒否方法を実行させるためのプログラムであって、前記メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成する第１のステップと、該生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、前記スパムメールのみに適用可能なルールを生成する第２のステップと、該生成したルールに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する第３のステップと、を実行させるためのプログラムを提案している。

この発明によれば、メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成し、その生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、スパムメールのみに適用可能なルールを生成する。そして、その生成したルールに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する。したがって、メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成し、その生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、スパムメールのみに適用可能なルールを生成して、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否することから、従来よりも高い確率でスパムメールを排除することができ、しかも、従来のように、正常なメール送信クライアントに対する再送処理の手間を省くことができる。

本発明によれば、メール送信クライアントから得られる送信者情報として、セッション内で得られるホスト情報の比較、ホスト情報の特徴、ＩＰアドレスに関する情報等を利用することにより、スパムメールをブロックし、誤検知率を限りなく０に抑え、スパムメールを９０％以上ブロックすることができる。そのため、非特許文献２および非特許文献３で問題になっていた正常なメール送信クライアントに生じる再送に要する手間を低減でき、かつ、非特許文献１において指摘したような問題も防止することができるという効果がある。

以下、本発明の実施形態について、図面を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。

＜システム構成＞
図１を用いて、本実施形態に係るシステム構成について説明する。
本発明が適用されるシステムは、図１に示すように、メール送信を行う未知のクライアントが有する送信者端末１と、送信者端末１で生成されたメールを受信し、ネットワーク５を介して、メール受信サーバ３に送信するメール送信クライアント２と、ネットワーク５を介して、メール送信クライアント２からメールを受信するメール受信サーバ３と、通常の電子メールのみをメール受信サーバ３から受信して、表示する受信者端末４とから構成されている。

なお、本発明は、メール受信サーバが電子メールを受信する時に、セッション確立時において、電子メール本文を受信する前に、その電子メールがスパムメールかどうかを判断し、受信をブロックすることに特徴がある。以下、メール受信サーバ３の構成および作用を中心に本発明について説明する。

＜第１の実施形態＞
図２から図４を用いて、本発明の第１の実施形態に係るメール受信サーバについて説明する。

＜メール受信サーバの構成＞
本実施形態に係るメール受信サーバは、図２に示すように、メール受信部１１と、特徴生成部１２と、ルール生成部１３と、受信判断部１４と、通常メール保存部１５と、スパムメール保存部１６とから構成されている。

メール受信部１１は、ネットワーク５を介して、メール送信クライアント２からメールを受信する。特徴生成部１２は、メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成する。ルール生成部１３は、特徴生成部１２において、生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、スパムメールのみに適用可能なルールを生成する。なお、特徴生成部１２およびルール生成部１３の詳細については、後述する。

受信判断部１４は、ルール生成部１３が生成したルールに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する。通常メール保存部１５は、受信判断部１４において、通常メールと判断されたメールを保存し、受信者端末４の要求に応じて、配信する。スパムメール保存部１６は、受信判断部１４において、スパムメールと判断されたメールを保存する。

＜特徴生成部およびルール生成部の構成＞
特徴生成部１２は、図３に示すように、第１の特徴生成部２１と、第２の特徴生成部２２と、第３の特徴生成部２３とから構成されている。また、ルール生成部１３は、分類アルゴリズム２４により構成されている。

第１の特徴生成部２１は、例えば、メール送信クライアントから得られる情報からドメイン情報の比較を行い特徴を抽出する。一般に、セッションにおいて、メール本文を受信する前に得られる情報としては、以下のものがある。
１）メール送信クライアントのＩＰアドレス（ＴＣＰ／ＩＰ接続の際にメール受信サーバが得られるクライアントのＩＰアドレスであり、偽装は不可能）
２）メール送信クライアントが名乗るホスト名（メール送信クライアントがＨＥＬＯパケットを送信する際に付加されるホスト名であり、偽装が可能）
３）送信者のエンベロープＦＲＯＭアドレス（送信者の情報としてのメールアドレスであり、偽装が可能）

また、メール送信クライアントのＩＰアドレスから得られる情報としては、以下のものが挙げられる。
１）ＩＰアドレスの逆引きホスト名（ＤＮＳサーバにＩＰアドレスの逆引きホスト名の問い合わせを行った際に得られた回答であり、場合によっては偽装が可能）
２）逆引きホスト名を回答するネームサーバのホスト名（ＩＰアドレスの逆引きホスト名を答える権威あるネームサーバのホスト名であり、偽装が不可能）
３）ＩＰアドレスが割り当てられている国（ＩＰアドレスとそれが割り当てられている国のマッピングテーブルを利用することにより得られる）

さらに、セッション中で得られるドメイン情報としては、以下の４つが挙げられる。
１）Ｄ_ｒｌ：メール送信クライアントのＩＰアドレスの逆引きホスト名のドメイン
２）Ｄ_ｎｓ：逆引きホスト名を回答するネームサーバのホスト名のドメイン
３）Ｄ_ｍｓ：送信者メールアドレスのホスト名部分（＠以下）のドメイン
４）Ｄ_ｈｌ：メール送信クライアントが名乗るホスト名のドメイン

そして、上記のドメインの比較により以下の６つの特徴を生成する。
１）Ｘ_１：Ｄ_ｒｌとＤ_ｎｓが一致した場合に「１」、それ以外は「０」
２）Ｘ２：ＤｒｌとＤｍｓが一致した場合に「１」、それ以外は「０」
３）Ｘ３：ＤｒｌとＤｈｌが一致した場合に「１」、それ以外は「０」
４）Ｘ４：ＤｎｓとＤｍｓが一致した場合に「１」、それ以外は「０」
５）Ｘ５：ＤｎｓとＤｈｌが一致した場合に「１」、それ以外は「０」
６）Ｘ６：ＤｍｓとＤｈｌが一致した場合に「１」、それ以外は「０」
なお、上記６つの特徴は偽装情報の有無によってとる値が変化する。

第２の特徴生成部２２は、例えば、メール送信クライアントから得られる情報からエンドユーザらしさを表す特徴を抽出する。一般に、エンドユーザらしさを表す特徴としては、以下のものがある。

１）Ｘ７：ＩＰアドレスの逆引きホスト名に、例えば、８個以上の数字が用いられている場合に「１」、それ以外は「０」（例えば、１２３．４５．６７．８９．ｅｘａｍｐｌｅ．ｃｏｍ）
２）Ｘ８：メール送信クライアントが名乗るホスト名に８個以上の数字が用いられている場合に「１」、それ以外は「０」

第３の特徴生成部２３は、例えば、発見的手法によりスパムメールのメール送信クライアントの特徴として多く検出された以下の特徴を利用する。
１）Ｘ９：メール送信クライアントが名乗るホスト名がＩＰアドレス形式で、かつ、実際のメール送信クライアントのＩＰアドレスと一致しない場合に「１」、それ以外は「０」
２）Ｘ１０：メール送信クライアントのＩＰアドレスの逆引きホスト名が存在しない場合に「１」、それ以外は「０」
３）Ｘ１１：メール送信クライアントのＩＰアドレスが割り当てられている国とメール受信サーバが位置する国とが一致しない場合に「１」、それ以外は「０」
４）Ｘ１２：メール送信クライアントが名乗るホスト名が受信者のメールアドレスの一部を含んでいる場合に「１」、それ以外は「０」

分類アルゴリズム２４は、例えば、決定木アルゴリズム等であり、上記で挙げた特徴Ｘ＝（Ｘ１、Ｘ２、・・・、Ｘ１２）からスパムメール送信クライアントを分類する。この分類アルゴリズム２４を用いることにより、確実にスパムメールにのみ適用できるルールを生成する。

＜メール受信サーバの処理＞
図４を用いて、メール受信サーバの処理について説明する。
まず、メール送信クライアント２から得られる情報に基づいて、メール送信クライアントの特徴を生成する（ステップＳ１０１）。次に、その生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、スパムメールのみに適用可能なルールを生成する（ステップＳ１０２）。

そして、その生成したルールに基づいて、新たに送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する（ステップＳ１０３）。

したがって、本実施形態によれば、ほぼ確実に、スパムメール送信クライアントを表すルールが生成されるため、正常なクライアントからのメールは、ほとんどブロックせず、効率的にスパムメールのみをブロックできる。また、従来のＳ２５Ｒでは、単純な文字列的特徴をルール化したものを利用しているため、正常なクライアントもスパムメール送信クライアントとして認識されていたが、本実施形態によれば、Ｓ２５Ｒでメール受信をブロックされてしまうような正常なメール送信クライアントからのメールを拒否せずに済む。さらに、本実施形態によれば、偽装情報がルール化されることになるため、偽装情報が多いボットネット等からのスパムメールもブロックできる。

＜第２の実施形態＞
図５および図６を用いて、本発明の第２の実施形態に係るメール受信サーバについて説明する。

＜メール受信サーバの構成＞
本実施形態に係るメール受信サーバは、図５に示すように、メール受信部１１と、特徴生成部１２と、ルール生成部１３と、受信判断部１４と、通常メール保存部１５と、スパムメール保存部１６と、既存データ格納部１７と、ブラックリスト生成部１８とから構成されている。なお、第１の実施形態と同様の符号を付す構成要素については、同様の機能を有するため、詳細な説明は省略する。

例えば、分類アルゴリズムとして、決定二分木を用いた場合に、スパムメールと判定されなかった決定二分木によって、スパムメール送信クライアントと判定されたものとホスト情報が一致する場合がある。例えば、スパムメール業者は、単一のアカウントに対して大量かつ集中的にスパムメールを送信する際、単一の送信元ＩＰアドレスや共通のホスト名を名乗り、他の情報を変化させて送ることがある。

そこで、本実施形態においては、ルールを生成する際に使用したスパムメール送信クライアントのＩＰアドレスおよびクライアントが名乗るホスト名をブラックリスト化し、第１の実施形態に加えて、既存データからメール送信クライアントが名乗るホスト名とＩＰアドレスをそれぞれ抽出し、スパムメール送信クライアントにのみ現れる情報からブラックリストを生成する。

＜メール受信サーバの処理＞
図６を用いて、メール受信サーバの処理について説明する。
まず、メール送信クライアント２から得られる情報に基づいて、メール送信クライアントの特徴を生成する（ステップＳ２０１）。次に、その生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、スパムメールのみに適用可能なルールを生成する（ステップＳ２０２）。

そして、ルールを生成する際に使用したスパムメールの送信クライアントのＩＰアドレスとメール送信クライアントが名乗るホスト名をリスト化し、既知のデータから、メール送信クライアントが名乗るホスト名とＩＰアドレスとを抽出し、スパムメールのメール送信クライアントにのみ現れる情報からブラックリストを生成する（ステップＳ２０３）。さらに、生成したルールとその生成したブラックリストとに基づいて、新たに送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する（ステップＳ２０４）。

したがって、本実施形態によれば、単一のアカウントに対して、大量かつ集中的にスパムメールを送信するために、単一の送信元ＩＰアドレスや共通のホスト名を名乗りながら他の情報を変化させて送るようなスパムメールをブロックできる。かつ、非特許文献のように、正常なクライアントがブラックリスト化される問題を解決することができる。

なお、メール受信サーバの処理をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムをメール受信サーバに読み込ませ、実行することによって本発明のメール受信サーバを実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。

また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。

また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。例えば、第１の実施形態においては、特徴生成部が３つの生成部から構成される例について、説明したが、これに限らず、この３つのうちの１つ、あるいは、３つのうちの任意の２つを組み合わせて用いた場合であっても、従来の技術よりも、的確にスパムメールを排除することができる。

本発明に係るシステムの構成図である。 第１の実施形態に係るメール受信サーバの構成図である。 第１の実施形態に係る特徴生成部およびルール生成部の構成図である。 第１の実施形態に係るメール受信サーバの処理フローである。 第２の実施形態に係るメール受信サーバの構成図である。 第２の実施形態に係るメール受信サーバの処理フローである。

符号の説明

１・・・送信者端末
２・・・メール送信クライアント
３・・・メール受信サーバ
４・・・受信者端末
５・・・ネットワーク
１１・・・メール受信部
１２・・・特徴生成部
１３・・・ルール生成部
１４・・・受信判断部
１５・・・通常メール保存部
１６・・・スパムメール保存部
１７・・・既存データ格納部
１８・・・ブラックリスト生成部

Claims (10)

1. 送信者からの電子メールを送信するメール送信クライアントから送信された電子メールを受信するメール受信サーバであって、
   前記メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成する特徴生成手段と、
   該生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、前記スパムメールのみに適用可能なルールを生成するルール生成手段と、
   該生成したルールに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する受信拒否手段と、
   を備えたことを特徴とするメール受信サーバ。
2. 前記特徴生成手段が、
   ドメイン情報を比較することによりメール送信クライアントの特徴を生成する第１の特徴生成手段と、クライアントに関する情報がエンドユーザらしさを表す特徴によりメール送信クライアントの特徴を生成する第２の特徴生成手段と、メール送信クライアントの特徴として多く検出された特徴を利用してメール送信クライアントの特徴を生成する第３の特徴生成手段との少なくとも１つから構成されることを特徴とする請求項１に記載のメール受信サーバ。
3. 前記第１の特徴生成手段が、メール送信クライアントのＩＰアドレス、メール送信クライアントが名乗るホスト名、送信者のメールアドレス、ＩＰアドレスの逆引きホスト名、逆引きホスト名を回答するネームサーバのホスト名、メール送信クライアントのＩＰアドレスが割り当てられている国を含む情報に基づいて、メール送信クライアントのＩＰアドレスの逆引きホスト名のドメインＤｒｌ、逆引きホスト名を回答するネームサーバのホスト名のドメインＤｎｓ、送信者メールアドレスのホスト名部分のドメインＤｍｓ、メール送信クライアントが名乗るホスト名のドメインＤｈｌを抽出し、これらのドメインを比較して、Ｘ１（ＤｒｌとＤｎｓが一致した場合「１」、それ以外の場合は「０」）、Ｘ２（ＤｒｌとＤｍｓが一致した場合「１」、それ以外の場合は「０」）、Ｘ３（ＤｒｌとＤｈｌが一致した場合「１」、それ以外の場合は「０」）、Ｘ４（ＤｎｓとＤｍｓが一致した場合「１」、それ以外の場合は「０」）、Ｘ５（ＤｎｓとＤｈｌが一致した場合「１」、それ以外の場合は「０」）、Ｘ６（ＤｍｓとＤｈｌが一致した場合「１」、それ以外の場合は「０」）の特徴を生成することを特徴とする請求項２に記載のメール受信サーバ。
4. 前記第２の特徴生成手段が、クライアントに関する情報から、エンドユーザらしさを表す特徴として、Ｘ７（ＩＰアドレスの逆引きホスト名に所定数以上の数字が用いられている場合「１」、それ以外の場合は、「０」）、Ｘ８（メール送信クライアントが名乗るホスト名に所定数以上の数字が用いられている場合「１」、それ以外の場合は、「０」）を生成することを特徴とする請求項２に記載のメール受信サーバ。
5. 前記第３の特徴生成手段が、クライアントの特徴として、多く検出された特徴、Ｘ９（メール送信クライアントが名乗るホスト名がＩＰアドレス形式で、かつ、実際のメール送信クライアントのＩＰアドレスと一致しない場合「１」、それ以外の場合は「０」）、Ｘ１０（メール送信クライアントのＩＰアドレスの逆引きホスト名が存在しない場合「１」、それ以外の場合は「０」）、Ｘ１１（メール送信クライアントのＩＰアドレスが割り当てられている国と、メール受信サーバが位置する国とが一致しない場合「１」、それ以外の場合は「０」）、Ｘ１２（メール送信クライアントが名乗るホスト名が受信者のメールアドレスの一部を含んでいる場合「１」、それ以外の場合は「０」）をメール送信クライアントの特徴として生成することを特徴とする請求項２に記載のメール受信サーバ。
6. 前記分類アルゴリズムとして決定木アルゴリズムを用いることを特徴とする請求項１に記載のメール受信サーバ。
7. 送信者からの電子メールを送信するメール送信クライアントから送信された電子メールを受信するメール受信サーバであって、
   前記メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成する特徴生成手段と、
   該生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、前記スパムメールのみに適用可能なルールを生成するルール生成手段と、
   該ルールを生成する際に使用したスパムメールの送信クライアントのＩＰアドレスとメール送信クライアントが名乗るホスト名をリスト化し、既知のデータから、メール送信クライアントが名乗るホスト名とＩＰアドレスとを抽出し、スパムメールのメール送信クライアントにのみ現れる情報からブラックリストを生成するブラックリスト生成手段と、
   前記生成したルールと該生成したブラックリストとに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する受信拒否手段と、
   を備えたことを特徴とするメール受信サーバ。
8. 送信者からの電子メールを送信するメール送信クライアントから送信された電子メールのうち、スパムメールを検出して、その電子メールの本文の受信を拒否するスパムメールの受信拒否方法であって、
   前記メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成する第１のステップと、
   該生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、前記スパムメールのみに適用可能なルールを生成する第２のステップと、
   該生成したルールに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する第３のステップと、
   を備えたことを特徴とするスパムメールの受信拒否方法。
9. 送信者からの電子メールを送信するメール送信クライアントから送信された電子メールのうち、スパムメールを検出して、その電子メールの本文の受信を拒否するスパムメールの受信拒否方法であって、
   前記メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成する第１のステップと、
   該生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、前記スパムメールのみに適用可能なルールを生成する第２のステップと、
   該ルールを生成する際に使用したスパムメールの送信クライアントのＩＰアドレスとメール送信クライアントが名乗るホスト名をリスト化し、既知のデータから、メール送信クライアントが名乗るホスト名とＩＰアドレスとを抽出し、スパムメールのメール送信クライアントにのみ現れる情報からブラックリストを生成する第３のステップと、
   前記生成したルールと該生成したブラックリストとに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する第４のステップと、
   を備えたことを特徴とするスパムメールの受信拒否方法。
10. コンピュータに、送信者からの電子メールを送信するメール送信クライアントから送信された電子メールのうち、スパムメールを検出して、その電子メールの本文の受信を拒否するスパムメールの受信拒否方法を実行させるためのプログラムであって、
    前記メール送信クライアントから得られる情報に基づいて、メール送信クライアントの特徴を生成する第１のステップと、
    該生成されたメール送信クライアントの特徴に基づいて、スパムメールのメール送信クライアントを分類するために、分類アルゴリズムによって、前記スパムメールのみに適用可能なルールを生成する第２のステップと、
    該生成したルールに基づいて、送信された電子メールがスパムメールであるか否かを判断し、スパムメールであると判断した場合に、その電子メールの本文の受信を拒否する第３のステップと、
    を実行させるためのプログラム。

Images