JP2014021720A - 攻撃ホスト検知装置、方法及びプログラム - Google Patents

Abstract

【課題】迷惑メール送信ホストの検知精度を向上した攻撃ホスト検知装置、方法及びプログラムを提供すること。
【解決手段】ホスト検知装置１は、トラフィックデータから、メールを送信したホストの識別情報を抽出する抽出部１１と、抽出部１１により抽出された、第１の時間内、及び当該第１の時間に続く第２の時間内にメールを送信したホストの識別情報をそれぞれ記憶するホスト履歴データ２１及び直近トラフィックデータ２２と、第２の時間内にメールを送信したホストのうち、第１の時間内にメールを送信していない第１のホストを、ブラックリストの候補として特定する特定部１２と、を備える。
【選択図】図１

Description

本発明は、迷惑メールを送信した攻撃ホストを検知する装置、方法及びプログラムに関する。

従来、迷惑メール（スパムメール）への対策として、メール本文の特徴から迷惑メールを判定する方式（例えば、非特許文献１又は２参照）と、ホスト若しくはメールアドレスの情報から迷惑メールを判定する方式（例えば、非特許文献３、４又は５参照）とが知られている。

また、メール本文の特徴から迷惑メールを判定する方式は、本文中に迷惑メールの特徴である文字列が含まれていることを検知するため検知精度が高いが、処理負荷が大きい。一方、ホスト又はメールアドレスの情報から迷惑メールを判定する方式は、検知精度が劣るものの、少ない情報から迷惑メール送信ホストを判断するため処理負荷が小さい。そこで、後者の方式は、メールサーバに一次フィルタとして導入されることが多い。

ＳｐａｍＡｓｓａｓｓｉｎ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｓｐａｍａｓｓａｓｓｉｎ．ａｐａｃｈｅ．ｏｒｇ／ｉｎｄｅｘ．ｈｔｍｌ＞ ＴｒａｎｓＷＡＲＥ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｔｒａｎｓｗａｒｅ．ｃｏ．ｊｐ／ｐｒｏｄｕｃｔ／ａｈ／ｓｖｍ．ｈｔｍｌ＞ Ｓｐａｍｈａｕｓ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｓｐａｍｈａｕｓ．ｏｒｇ／＞ ＳＰＦ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ４４０８．ｔｘｔ＞ Ｓ２５Ｒ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｈｔｔｐ：／／ｗｗｗ．ｇａｂａｃｈｏ−ｎｅｔ．ｊｐ／ａｎｔｉ−ｓｐａｍ／ａｎｔｉ−ｓｐａｍ−ｓｙｓｔｅｍ．ｈｔｍｌ＞

ところで、ホスト又はメールアドレスの情報から迷惑メールを判定する方式は、既知の迷惑メール送信ホストのリスト、信頼できるメールサーバの判定、既知の迷惑メール送信ホストの文字列的特徴を用いている。

しかしながら、近年観測されている迷惑メール送信ホストの中には、ＩＰアドレスを取得し、正規のサーバに近いドメインを取得し、さらにＳＰＦ（Ｓｅｎｄｅｒ Ｐｏｌｉｃｙ Ｆｒａｍｅｗｏｒｋ）の設定を行っているホストが存在する。したがって、従来の方法では迷惑メール送信ホストの検知が難しくなっている。
また、局所的に、例えば特定の相手に迷惑メールを送信している迷惑メール送信ホストはブラックリストに登録され難いため、検知が難しかった。

本発明は、迷惑メール送信ホストの検知精度を向上した攻撃ホスト検知装置、方法及びプログラムを提供することを目的とする。

本発明では、以下のような解決手段を提供する。

（１）トラフィックデータから、メールを送信したホストの識別情報を抽出する抽出部と、前記抽出部により抽出された、第１の時間内、及び当該第１の時間に続く第２の時間内にメールを送信したホストの識別情報をそれぞれ記憶する記憶部と、前記第２の時間内にメールを送信したホストのうち、前記第１の時間内にメールを送信していない第１のホストを、ブラックリストの候補として特定する特定部と、を備える攻撃ホスト検知装置。

このような構成によれば、攻撃ホスト検知装置は、直近の第２の時間内に新たにメール送信を開始したホストを、ブラックリストの候補として特定できる。したがって、攻撃ホスト検知装置は、新たに迷惑メールの送信を開始したホストの候補を特定できるので、迷惑メールフィルタとしての精度を向上でき、組み合わせ可能な既存のブラックリスト又はコンテンツフィルタ等による処理負荷を低減できる。
また、攻撃ホスト検知装置は、特定されたホストをブラックリストとして記憶できるので、迷惑メールフィルタに用いられるブラックリストを動的に生成・更新して、迷惑メールの検知精度を向上できる。

（２）前記特定部は、前記第１のホストのうち、前記第２の時間内でメール送信が断続的に継続した第３の時間が所定以上である第２のホストを、ブラックリストの候補として特定する（１）に記載の攻撃ホスト検知装置。

このような構成によれば、攻撃ホスト検知装置は、第１の時間にはメールを送信しておらず、直近の第２の時間になって突然に所定以上に多量のメール送信を行ったホストを特定できる。したがって、攻撃ホスト検知装置は、迷惑メールの特徴である大量送信を検知することで、新たに迷惑メールの送信を開始した攻撃ホストの候補を精度良く特定できる。

（３）前記特定部は、前記第２のホストのうち、前記第３の時間内で単位時間当たりに送信されたデータ量が所定以上である第３のホストを、ブラックリストの候補として特定する（２）に記載の攻撃ホスト検知装置。

このような構成によれば、攻撃ホスト検知装置は、メール送信継続時間である第３の時間において送信されたメール数を推測できるので、第１の時間にはメールを送信しておらず、直近の第２の時間になって突然に所定以上に多量のメール送信を行ったホストを特定できる。したがって、ホスト検知装置は、迷惑メールの特徴である大量送信を検知することで、新たに迷惑メールの送信を開始した攻撃ホストの候補を精度良く特定できる。

（４）前記特定部は、前記第１のホストのうち、前記第２の時間内に送信されたデータ量が所定以上である第４のホストを、ブラックリストの候補として特定する（１）に記載の攻撃ホスト検知装置。

このような構成によれば、攻撃ホスト検知装置は、第２の時間において送信されたメール数を推測できるので、第１の時間にはメールを送信しておらず、直近の第２の時間になって突然に所定以上に多量のメール送信を行ったホストを特定できる。したがって、攻撃ホスト検知装置は、迷惑メールの特徴である大量送信を検知することで、新たに迷惑メールの送信を開始した攻撃ホストの候補を精度良く特定できる。

（５）前記特定部は、国内に割り当てられているＩＰアドレスを有するホストを、ブラックリストの候補として特定する（１）から（４）のいずれか１項に記載の攻撃ホスト検知装置。

このような構成によれば、攻撃ホスト検知装置は、国内に割り当てられているＩＰアドレスを有するホストを特定できるので、自身に関連深いエリアに限定して、局所的な迷惑メール送信ホストを効率的に特定できる。

（６）前記特定部は、自装置の管理対象であるＩＰアドレスを有するホストを、ブラックリストの候補として特定する（１）から（５）のいずれか１項に記載の攻撃ホスト検知装置。

このような構成によれば、攻撃ホスト検知装置は、自身の管理対象であるＩＰアドレスを有するホストを特定できるので、自身に関連深い対象ホストに限定して、局所的な迷惑メール送信ホストを効率的に特定できる。

（７）前記特定部は、ＩＰアドレス又は当該ＩＰアドレスから導出されるドメインの少なくとも一部が既存のブラックリストと共通するホストを、ブラックリストの候補として特定する（１）から（６）のいずれか１項に記載の攻撃ホスト検知装置。

このような構成によれば、攻撃ホスト検知装置は、ＩＰアドレス又はその逆引きにより得られるドメインの一部に、既知の迷惑メールと類似する部分が存在するホストを特定できる。したがって、攻撃ホスト検知装置は、例えば、ドメインが同じでＩＰアドレスを変えた場合、又はドメインの一部を変えた場合等、迷惑メール送信ホストである可能性が高いホストを効率的に特定できる。
また、攻撃ホスト検知装置は、特定されたホストのＩＰアドレスをブラックリストとして記憶できるので、サブドメイン又はサブネットをブラックリストとして利用する場合に比べて、処理負荷を低減できる。

（８）トラフィックデータから、メールを送信したホストの識別情報を抽出する抽出ステップと、前記抽出ステップにおいて抽出された、第１の時間内、及び当該第１の時間に続く第２の時間内にメールを送信したホストの識別情報をそれぞれ記憶する記憶ステップと、前記第２の時間内にメールを送信したホストのうち、前記第１の時間内にメールを送信していない第１のホストを、ブラックリストの候補として特定する特定ステップと、をコンピュータが実行する攻撃ホスト検知方法。

このような構成によれば、攻撃ホスト検知方法をコンピュータが実行することにより、（１）と同様の効果が期待できる。

（９）トラフィックデータから、メールを送信したホストの識別情報を抽出する抽出ステップと、前記抽出ステップにおいて抽出された、第１の時間内、及び当該第１の時間に続く第２の時間内にメールを送信したホストの識別情報をそれぞれ記憶する記憶ステップと、前記第２の時間内にメールを送信したホストのうち、前記第１の時間内にメールを送信していない第１のホストを、ブラックリストの候補として特定する特定ステップと、をコンピュータに実行させるための攻撃ホスト検知プログラム。

このような構成によれば、攻撃ホスト検知プログラムをコンピュータに実行させることにより、（１）と同様の効果が期待できる。

本発明によれば、迷惑メール送信ホストの検知精度を向上できる。

実施形態に係るホスト検知装置の機能構成を示す図である。 実施形態に係る第１の時間、第２の時間及び第３の時間の関係を示す図である。 実施形態に係る処理を示すフローチャートである。

以下、本発明の実施形態の一例について説明する。
本実施形態に係るホスト検知装置１は、新たに攻撃を開始した迷惑メール送信ホストを検知するサーバ装置である。

図１は、本実施形態に係るホスト検知装置１の機能構成を示す図である。
ホスト検知装置１は、制御部１０と、記憶部２０と、通信部３０と、入力部４０と、表示部５０とを備える。

制御部１０は、ホスト検知装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、前述のハードウェアと協働し、本実施形態における各種機能を実現している。制御部１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であってよい。なお、制御部１０が備える各部の機能は後述する。

記憶部２０は、ハードウェア群をホスト検知装置１として機能させるための各種プログラム、本実施形態の各種機能を制御部１０に実行させるためのプログラム、及び各種データ等を記憶する。なお、記憶部２０が記憶する各種データは後述する。

通信部３０は、ホスト検知装置１が他の装置と情報を送受信する場合のネットワーク・アダプタであり、ネットワーク内のコアルータ等にアクセスし、ネットワークフローデータ又はパケットキャプチャデータ等、トラフィックデータを取得して制御部１０へ提供する。

入力部４０は、ホスト検知装置１に対するユーザからの指示入力を受け付けるインタフェース装置である。入力部４０は、例えばキー操作部又はタッチパネル等により構成される。

表示部５０は、ユーザにデータの入力を受け付ける画面を表示したり、ホスト検知装置１による処理結果の画面を表示したりするものである。表示部５０は、液晶ディスプレイや有機ＥＬディスプレイであってよい。

前述の制御部１０は、抽出部１１と、特定部１２とを備える。また、記憶部２０は、ホスト履歴データ２１と、直近トラフィックデータ２２と、ブラックリスト２３とを有する。

抽出部１１は、通信部３０を介して取得したトラフィックデータから、メールを送信したホストの識別情報を抽出し、記憶部２０に記憶する。
ここで、記憶部２０のホスト履歴データ２１は、過去一定の時間（第１の時間、例えば１週間）内にメールを送信したホストの識別情報を含む。また、記憶部２０の直近トラフィックデータ２２は、第１の時間に続く第２の時間（例えば、１時間）内にメールを送信したホストの識別情報毎のトラフィックデータを含む。

なお、ホスト履歴データ２１及び直近トラフィックデータ２２は、所定のタイミングで又は周期的に更新されてよい。例えば、新たなトラフィックデータが取得された場合に、この新たなデータが直近トラフィックデータ２２に追加され、古くなったトラフィックデータに関するホストの識別情報がホスト履歴データ２１に移動される。そして、ホスト履歴データ２１から、古いデータが削除される。
また、ホスト履歴データ２１及び直近トラフィックデータ２２は、特定部１２によりブラックリストの候補となるホストを特定する際に、新たに作成されてもよい。

特定部１２は、第２の時間内にメールを送信したホストのうち、第１の時間内にメールを送信していないホストを、ブラックリストの候補として特定する。

また、特定部１２は、特定されたホスト毎の統計情報を直近トラフィックデータ２２から取得する。
統計情報は、第２の時間内で同一ホストからのメール送信が断続的に継続した時間（第３の時間）と、この第３の時間内で単位時間当たりに送信されたパケット数又は単位時間当たりのビット数とを含む。また、統計情報は、第２の時間内に送信されたパケットサイズ又はバイトサイズ等を含んでもよい。

図２は、本実施形態に係る第１の時間、第２の時間及び第３の時間の関係を示す図である。
第１の時間（例えば、１週間）に続いて、第２の時間（例えば、１時間）が設けられる。そして、第２の時間内に、新たなホスト（ＩＰアドレス）から複数のメール送信が確認された場合、これらのメール送信の継続時間として、第３の時間が求められる。

さらに、特定部１２は、特定したホストから、さらに以下の条件を満たすホストに絞り込み、ブラックリストの候補とする。

（１）第２の時間内でメール送信が断続的に継続した第３の時間が所定以上（例えば、１秒以上）であるホスト（第２のホスト）。

（２）第３の時間内で単位時間（１秒）当たりに送信されたデータ量（例えば、パケット数又はビット数等）が所定以上であるホスト（第３のホスト）。例えば、メール１通当たり１１パケットと想定し、単位時間当たり１つ以上のメールを送信したホスト、すなわち、１１パケット×１２８バイト×８ビット＝１１２６４ｂｐｓ以上であるホスト。

（３）第２の時間内に送信されたデータ量（例えば、パケットサイズ又はバイトサイズ等）が所定以上であるホスト（第４のホスト）。

（４）国内（例えば、日本国内）に割り当てられているＩＰアドレスを有するホスト。国内に割り当てられているＩＰアドレスか否かは、所定の機関（例えば、日本国ではＪＰＮＩＣ）から提供される情報により判定される。

（５）ホスト検知装置１が含まれる所定のネットワークの管理対象であるＩＰアドレスを有するホスト。

（６）ＩＰアドレス又はＩＰアドレスから導出されるドメインの少なくとも一部が既存のブラックリストと共通するホスト。具体的には、ＩＰアドレスのうちサブネット（例えば、／２４）が一致するホスト、又はサブドメインが一致するホスト等。

特定部１２は、これらの条件のいずれか、又は所定の組み合わせ（例えば、（１，２）、（１，２，４）、（１，２，６）等）を満たすホストをブラックリスト２３として記憶部２０に記憶する。このブラックリスト２３は、所定のサーバ（ホスト検知装置１が兼ねていてもよい。）において、新たに検知したメールが迷惑メールか否かを判定するための一次フィルタとして用いられる。
なお、いずれの条件を用いるかは、適宜設計可能である。

図３は、本実施形態に係るホスト検知装置１における制御部１０の処理を示すフローチャートである。
なお、ホスト履歴データ２１及び直近トラフィックデータ２２は作成済みであるものとする。

ステップＳ１において、特定部１２は、ホスト履歴データ２１から、第１の時間内にメールを送信したホストの識別情報を取得する。

ステップＳ２において、特定部１２は、直近トラフィックデータ２２から、第２の時間内にメールを送信したホストの識別情報を取得する。

ステップＳ３において、特定部１２は、直近トラフィックデータ２２に存在し、ホスト履歴データ２１に存在しないホストを、ブラックリストの候補として特定する。

ステップＳ４において、特定部１２は、ステップＳ３で特定されたホストのうち、予め設定されている上述の条件を満たすホストを抽出する。

ステップＳ５において、特定部１２は、ステップＳ４で抽出されたホストをブラックリスト２３に登録する。

以上のように、本実施形態によれば、ホスト検知装置１は、直近の第２の時間内に新たにメール送信を開始したホストを、ブラックリストの候補として特定できる。したがって、ホスト検知装置１は、新たに迷惑メールの送信を開始したホストの候補を特定できるので、迷惑メールフィルタとしての精度を向上でき、組み合わせ可能な既存のブラックリスト又はコンテンツフィルタ等による処理負荷を低減できる。
さらに、ホスト検知装置１は、特定されたホストをブラックリストとして記憶できるので、迷惑メールフィルタに用いられるブラックリストを動的に生成・更新して、迷惑メールの検知精度を向上できる。

また、ホスト検知装置１は、第１の時間にはメールを送信しておらず、直近の第２の時間になって突然に所定以上に多量のメール送信を行ったホストを、メール送信継続時間である第３の時間、又は送信データ量から推測されるメール数等に基づいて特定できる。したがって、ホスト検知装置１は、迷惑メールの特徴である大量送信を検知することで、新たに迷惑メールの送信を開始したホストの候補を精度良く特定できる。

また、ホスト検知装置１は、国内に割り当てられているＩＰアドレス、又は自身が含まれるネットワークの管理対象であるＩＰアドレスを有するホストを特定できるので、自身に関連深い対象ホストに限定して、局所的な迷惑メール送信ホストを効率的に特定できる。

また、ホスト検知装置１は、ＩＰアドレス又はその逆引きにより得られるドメインの一部に、既知の迷惑メールと類似する部分が存在するホストを特定できる。したがって、ホスト検知装置１は、例えば、ドメインが同じでＩＰアドレスを変えた場合、又はドメインの一部を変えた場合等、迷惑メール送信ホストである可能性が高いホストを効率的に特定できる。
さらに、ホスト検知装置１は、特定されたホストのＩＰアドレスをブラックリストとして記憶できるので、サブドメイン又はサブネットをブラックリストとして利用する場合に比べて、処理負荷を低減できる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。

ホスト検知装置１は、ネットワークに接続可能な情報処理装置の一例であり、サーバ装置又はＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等、様々な情報処理装置（コンピュータ）であってよく、前述の各機能は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、上記情報処理装置にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。

１ ホスト検知装置
１０ 制御部
１１ 抽出部
１２ 特定部
２０ 記憶部
２１ ホスト履歴データ
２２ 直近トラフィックデータ
２３ ブラックリスト
３０ 通信部

Claims (9)

1. トラフィックデータから、メールを送信したホストの識別情報を抽出する抽出部と、
   前記抽出部により抽出された、第１の時間内、及び当該第１の時間に続く第２の時間内にメールを送信したホストの識別情報をそれぞれ記憶する記憶部と、
   前記第２の時間内にメールを送信したホストのうち、前記第１の時間内にメールを送信していない第１のホストを、ブラックリストの候補として特定する特定部と、を備える攻撃ホスト検知装置。
2. 前記特定部は、前記第１のホストのうち、前記第２の時間内でメール送信が断続的に継続した第３の時間が所定以上である第２のホストを、ブラックリストの候補として特定する請求項１に記載の攻撃ホスト検知装置。
3. 前記特定部は、前記第２のホストのうち、前記第３の時間内で単位時間当たりに送信されたデータ量が所定以上である第３のホストを、ブラックリストの候補として特定する請求項２に記載の攻撃ホスト検知装置。
4. 前記特定部は、前記第１のホストのうち、前記第２の時間内に送信されたデータ量が所定以上である第４のホストを、ブラックリストの候補として特定する請求項１に記載の攻撃ホスト検知装置。
5. 前記特定部は、国内に割り当てられているＩＰアドレスを有するホストを、ブラックリストの候補として特定する請求項１から請求項４のいずれか１項に記載の攻撃ホスト検知装置。
6. 前記特定部は、自装置の管理対象であるＩＰアドレスを有するホストを、ブラックリストの候補として特定する請求項１から請求項５のいずれか１項に記載の攻撃ホスト検知装置。
7. 前記特定部は、ＩＰアドレス又は当該ＩＰアドレスから導出されるドメインの少なくとも一部が既存のブラックリストと共通するホストを、ブラックリストの候補として特定する請求項１から請求項６のいずれか１項に記載の攻撃ホスト検知装置。
8. トラフィックデータから、メールを送信したホストの識別情報を抽出する抽出ステップと、
   前記抽出ステップにおいて抽出された、第１の時間内、及び当該第１の時間に続く第２の時間内にメールを送信したホストの識別情報をそれぞれ記憶する記憶ステップと、
   前記第２の時間内にメールを送信したホストのうち、前記第１の時間内にメールを送信していない第１のホストを、ブラックリストの候補として特定する特定ステップと、をコンピュータが実行する攻撃ホスト検知方法。
9. トラフィックデータから、メールを送信したホストの識別情報を抽出する抽出ステップと、
   前記抽出ステップにおいて抽出された、第１の時間内、及び当該第１の時間に続く第２の時間内にメールを送信したホストの識別情報をそれぞれ記憶する記憶ステップと、
   前記第２の時間内にメールを送信したホストのうち、前記第１の時間内にメールを送信していない第１のホストを、ブラックリストの候補として特定する特定ステップと、をコンピュータに実行させるための攻撃ホスト検知プログラム。

Images