JP2016042312A - セキュリティ管理システム及び方法 - Google Patents

Abstract

【課題】メール添付ファイルの検疫のために解析を行うと、解析している間に受信者に不都合が生じる。【解決手段】本発明では、上記課題を解決するために、ユーザが外部からユーザに送信された添付ファイル付きメールを検疫する場合において、添付ファイル解析部が、前記メールに添付された添付ファイルを一次解析し、一次解析結果に基づいて添付ファイルを詳細解析の対象と判断された場合に、仮想マシン管理部が、添付ファイルを開くための仮想マシンを割当てるとともに、割り当てた仮想マシンが添付ファイルを操作できるように設定し、メール処理部が、割当てた仮想マシンへのアクセス情報を、ユーザに送信し、メール処理部が、詳細解析の結果を受け、添付ファイルをユーザに送信する。【選択図】図１

Description

本発明は、マルウェア等の悪性プログラムが添付された電子メールを受信するおそれのある環境におけるセキュリティ管理技術に関する。

企業等の組織は、他組織と連携をして業務を進めるために、インターネットを利用して情報を送受信するのが一般的となっている。一方で、インターネット上には悪意を持ったユーザが存在し、それらのユーザから送付されるマルウェア等の悪性プログラム付のメールを受信し、その悪性に気付かずに実行すると、組織外部への情報漏えいや組織内のシステムダウンを引き起こす恐れがある。そうした悪性プログラムの対策として、ファイルのパターンを検知し駆除する技術が用いられている。そうした技術は既知の悪性プログラムには有効であるが、未知もしくは新種の悪性プログラムを検知し、駆除する事は困難である。そのため、組織内のユーザには、悪性プログラムとみられるファイルが添付されたメールを受信してもファイルを実行しない事が求められるが、近年用いられる標的型攻撃では、業務でよく用いられるメール内容およびファイルを装うため、ユーザが注意していても添付ファイルを見分ける事が難しい。

上記問題を解決する方法としては、悪性プログラムが実行されても被害を受けないコンピュータを用意して、そのコンピュータでユーザにファイル操作をさせる方法がある。そうした方法の代表例には、特許文献１で示される検疫サーバを設けて行う方法や、特許文献２の様にサンドボックスと呼ばれる外部のネットワークから隔離された仮想マシン環境下でファイルを利用する方法が挙げられる。

特開2010-73011号公報 特表2008-500653号公報

特許文献１および特許文献２では、ファイルに悪性プログラムの疑いがかかると、通常使用するコンピュータとは異なる別のコンピュータ上でファイルを利用するため、ファイルが悪性プログラムでない事が後に判明した場合でも、ユーザは組織内のコンピュータにファイルを戻して利用する事ができなかったり、ファイルを戻すためにユーザは隔離されたコンピュータの管理者にファイルの取出しを依頼する等の対応が必要となるなど、ユーザが行っているファイルに関連した業務について不都合が生じる。

本発明では、上記課題を解決するために、ユーザが外部からユーザに送信された添付ファイル付きメールを検疫する場合において、添付ファイル解析部が、前記メールに添付された添付ファイルを一次解析し、一次解析結果に基づいて添付ファイルを詳細解析の対象と判断された場合に、仮想マシン管理部が、添付ファイルを開くための仮想マシンを割当てるとともに、割り当てた仮想マシンが添付ファイルを操作できるように設定し、メール処理部が、割当てた仮想マシンへのアクセス情報を、ユーザに送信し、メール処理部が、詳細解析の結果を受け、添付ファイルをユーザに送信する。

本発明では、メールの添付ファイルに当初悪性プログラムの疑いがある場合に、安全に添付ファイルを開くことができるとともに、後に悪性プログラムでないと判明した場合には、添付を迅速にユーザのコンピュータに引き渡す事ができる。

本発明の一実施形態によるセキュリティ管理システムのハードウェア構成を説明する図である。 本発明の一実施形態によるセキュリティ管理システム内で処理されるメール管理テーブルの一例を示す図である。 本発明の一実施形態によるセキュリティ管理システム内で処理される解析結果テーブルの一例を示す図である。 本発明の一実施形態によるセキュリティ管理システム内で処理される仮想マシン管理テーブルの一例を示す図である。 本発明の一実施形態によるセキュリティ管理システムの代表的な処理の一つである仮想マシン環境貸出し処理フローを説明する図である。 本発明の一実施形態によるセキュリティ管理システムの代表的な処理の一つである仮想マシン環境返却処理フローを説明する図である。

以下、本発明による仮想マシン環境管理システムの実施例を、図面を用いて説明する。

図１は、本発明の一実施形態によるセキュリティ管理システムのハードウェア構成である。

セキュリティ管理システムは、添付ファイル付メール管理装置１０１と、仮想マシン管理装置１０７と、を有し、これらの装置間及びメールサーバ１１１と、ユーザＰＣ１１２と、の間はネットワーク１１３で結ばれている。該システムを構成する装置は複数を有していても良く、ネットワークは有線でも無線でも良い。

添付ファイル付メール管理装置１０１は、プロセッサ上で稼働するプログラムである添付ファイル解析部１０２及び不審メール処理部１０３と、記憶装置に記憶されるDB（Data Base）であるメール管理テーブル１０４及び解析結果テーブル１０５とを有する。

添付ファイル解析部１０３は、メールに添付された添付ファイルを動的解析により迅速に解析する。メール管理テーブル１０４は、メールに関する情報を格納する。解析結果テーブル１０５は、不審ファイル詳細解析装置１０６に解析を依頼した添付ファイルの情報とその解析結果を格納する。

不審ファイル詳細解析装置１０６は、ファイルの詳細解析を行うものであり、セキュリティ管理システムの内や外にネットワークで接続された情報処理装置として設けられていることもあれば、セキュリティ管理システムの設置者とは異なる外部の専門機関に設けられていたりする。添付ファイル解析部１０２では解析が十分でなかった場合に、時間をかけてより詳細に解析を行う。添付ファイル付メール管理装置１０１の不審メール処理部１０３から添付ファイルを受信し、次に添付ファイルが悪性プログラムかどうかを、例えば静的解析や環境を様々に変えた動的解析を行う事で悪性の有無を判定し、添付ファイルから算出したハッシュ値と判定結果を不審メール処理部１０３へ返送する。

メールサーバ１１１は、メールを送受信するサーバであり、本実施例では少なくともメールを受信するPOP（Post Office Protocol）サーバとしての機能を有する。

ユーザＰＣ１１２はユーザが用いる情報端末であり、メールの送受信が行えるメール機能と、仮想マシン環境１１０へリモートログオンしてアクセスする機能を有した一般的なPCやタブレット、スマートフォンなどの情報機器が該当する。

仮想マシン管理装置１０７は、プロセッサ上で稼働するプログラムである仮想マシン貸出し処理部１０８と、記憶装置に記憶されるDBである仮想マシン管理テーブル１０９と、プラットフォームのリソースを仮想的に割り当てられた仮想マシン環境１１０とを有する。

仮想マシン貸出し処理部１０８は、仮想マシン環境１１０の貸出処理を行い、仮想マシン管理テーブル１０９は、仮想マシン環境１１０に関する情報を格納する。仮想マシン環境１１０は、仮想的に割り当てられたリソースを用いて、OS（Operation System）やアプリケーションを稼働させる。

図２A〜Cは、本発明の一実施形態による仮想マシン環境管理システム内で処理されるデータの一例を示す図である。

図２Aに示すメール管理テーブル１０４は、識別子であるＩＤ２０１と、メールの宛先２０２と、送信元、宛先、主題、添付ファイル、本文の全内容を含むメール情報２０３と、添付ファイルから算出される添付ファイルハッシュ値２０４と、仮想マシン管理装置から仮想マシン環境１１０貸出し時に受取る仮想マシンＩＰ２０５から構成される。例えば、ＩＤ「００１」では、メール情報から宛先「ｂｂ＠ａａａ．ｃｏｍ」と添付ファイルハッシュ「９ｅ２ａ７３１１」を取得し、宛先「ｂｂ＠ａａａ．ｃｏｍ」に紐付くユーザには仮想マシンＩＰ「１９２．１６８．０．１」で管理される仮想マシン環境１１０が割当てられている。また、ＩＤ「００２」では、メール情報から宛先「ｃｃ＠ａａａ．ｃｏｍ」と添付ファイルハッシュ「８１ｂ７ｅ４２２」を取得しているが、まだユーザ用の貸出し仮想マシン環境１１０が割当てられていない状態である。

図２Bに示す解析結果テーブル１０５は、識別子であるＩＤ２０６と、不審ファイル詳細解析装置１０６に詳細解析を依頼したファイルから算出されたハッシュ値２０７と、該装置１０６から返信される解析結果２０８から構成される。例えば、ＩＤ「００１」では、不審ファイル詳細解析装置１０６へ解析依頼したファイルのハッシュ値「９ｅ２ａ７３１１」に対して、不審ファイル詳細解析装置１０６がファイルが不正であると判定し、解析結果「不正」と登録される。また、ＩＤ「００３」は、不審ファイル詳細解析装置１０６へ解析依頼したファイルのハッシュ値「５２ａｆｂ２ｃａ」に対して、該装置１０６がまだ解析中の状況であるため、解析結果「解析中」と登録される。

図２Cに示す仮想マシン管理テーブル１０９は、識別子であるＩＤ２０９と、仮想マシンＩＰ２１０と、貸出し用アカウント２１１と、貸出し用パスワード２１２と、該当する仮想マシン環境１１０の貸出し先として紐付くメールの宛先２１３から構成される。該テーブル１０９では、本システムで準備される仮想マシン環境１１０のＩＰアドレス２１０をあらかじめ全て登録しておく。例えば、ＩＤ「００１」は、仮想マシンＩＰ「１９２．１６８．０．１」の仮想マシン環境１１０に対して、貸出し用アカウント「ｇｕｅｓｔ１」と貸出し用パスワード「＊＊＊＊＊＊＊＊」が発行され、宛先「ｂｂ＠ａａａ．ｃｏｍ」に紐付くユーザに対して貸出していることを示す。また、ＩＤ「００２」は、仮想マシンＩＰ「１９２．１６８．０．２」の仮想マシン環境１１０が貸出されていない状態となっており、貸出し用アカウントと、貸出しパスワードと、宛先が空欄となっている。

図３は、本発明の一実施形態による仮想マシン環境管理システムの代表的な処理の一つである仮想マシン環境貸出し処理フローを説明する図である。

該フローは、添付ファイル付メール管理装置１０１外より該装置１０１が添付ファイル付のメールを受信するところを開始とする。

ステップ３０１では、添付ファイル付メール管理装置１０１の不審メール処理部１０３は、まず外部のメールサーバからセキュリティ管理対象であるメールサーバ１１１へ向けたメールを受信する。添付ファイル付メール管理装置１０１が直接メールを受信してもよいし、メールサーバ１１１が受信したメールを添付ファイル付メール管理装置１０１に送るようにしてもよい。

次に添付ファイル解析部１０２はメールの添付ファイル有無を確認する。添付ファイルが存在しない場合には、解析は行わずにメールを不審メール処理部１０３へ渡す。添付ファイルがある場合、添付メール解析部１０２は添付ファイルが悪性プログラムの疑いがあるかどうか動的解析して悪性の有無を判定し、前記判定結果と併せてメールを不審メール処理部１０３へ渡す。動的解析はプログラムを実行させてその振る舞いを観測する解析であり、短い解析時間で簡易に素早く行うには好適である。

ステップ３０２では、不審メール処理部１０３は、ステップ３０１により添付メール解析部１０２から判定結果とメールを受取る。動的解析の判定結果が悪性無しであった場合、メールサーバ１１１にメールおよび添付ファイルを送り、メールはユーザにより受け取り可能な状態になる（ステップ３０７）。添付ファイルが無かった場合も同様である。判定結果が悪性可能性有だった場合には、ステップ３０３に進む。

ステップ３０３では、不審メール処理部１０３は、まずステップ３０１で受取ったメールの添付ファイルから添付ファイルハッシュ値２０４を算出し、次にメール管理テーブル１０４にメールの宛先２０２と、メール情報２０３と、添付ファイルのハッシュ値２０４を新たに格納する。次に不審メール処理部１０３は、添付ファイルを不審ファイル詳細解析装置１０６に送信して詳細解析を依頼する。

ステップ３０４では、不審メール処理部１０３は、ステップ３０３を実行後に、まず仮想マシン貸出し処理部１０８へメールの宛先２０２と添付ファイルを渡して、宛先２０２と紐付くユーザ用に仮想マシン環境１１０の貸出しを依頼する。次に該処理部１０３は、解析結果テーブル１０５へ添付ファイルから算出された添付ファイルハッシュ値２０７を新たに格納し、該当する解析結果２０８を「解析中」に設定する。

ステップ３０５では、仮想マシン貸出し処理部１０８は、ステップ３０４により不審メール処理部１０３からメールの宛先と添付ファイルを受取り、まず仮想マシン管理テーブル１０９内を参照して宛先２１３が空欄となっている解放中（貸出されていない）の仮想マシン環境１１０を確保（または仮想マシン環境１１０を新たに作成）し、確保した仮想マシン環境１１０から実行できるように添付ファイルを保存する。このとき、添付ファイルが実行できるスペック（ＯＳ，アプリケーションなど）の仮想マシン環境１１０を選択する。次に仮想マシン貸出し処理部１０８は、仮想マシン環境１１０に対して貸出し用アカウント２１１と貸出し用パスワード２１２を発行し、仮想マシン管理テーブル１０９内の確保した仮想マシン環境１１０のレコードに対して、貸出し用アカウント２１１と貸出し用パスワード２１２と宛先２１３を設定する。最後に仮想マシン貸出し処理部１０８は、不審メール処理部１０３へ、確保した仮想マシンのＩＰ２１０と、貸出し用アカウント２１１と、貸出し用パスワード２１２を送信する。

仮想マシン管理テーブル１０９には、準備される全ての仮想マシン環境１１０のＩＰアドレスをあらかじめ格納されており、仮想マシン貸出し処理部１０８が、不審メール処理部１０３からメールの宛先と添付ファイルを受取った場合には、確保した仮想マシン環境１１０のレコードに、発行された貸出し用アカウントと貸出し用パスワードをメールの宛先と併せて格納される。

ステップ３０６では、不審メール処理部１０３は、ステップ３０６により仮想マシン貸出し処理部１０８から仮想マシンＩＰと、貸出し用アカウントと、貸出し用パスワードを受取り、まずメール管理テーブル１０４のＩＤ２０１に対して、受取った仮想マシンＩＰ２０５を設定する。次に不審メール処理部１０３は、メール情報２０３から解析対象である添付ファイル付きメールのメール件名、メールの本文や送信元を転記して、受取った仮想マシンＩＰアドレスと、貸出し用アカウントと、貸出し用パスワード、添付ファイルのリスト（ファイル名・ファイル形式など）を追記し、宛先２０２に宛てたメールを作成し、メールサーバ１１１へ渡し、ユーザが受信可能な状態にする。このメールには、詳細解析の対象の添付ファイルは添付しないものとする（元のメールに複数のファイルが添付されていた場合、動的解析で悪性無しと判断された添付ファイルならば、メール情報２０３から読み出して添付してよい）。元のメールの件名、内容などを転記することに代えて、元のメールを添付ファイルを削除した状態でユーザに送ってもよい。

不審メール処理部１０３は、仮想マシン貸出し処理部１０８から仮想マシンＩＰアドレスと貸出し用アカウントと貸出し用パスワードを受取った場合には、メール管理テーブル１０４に仮想マシンＩＰアドレスを格納する。

ユーザＰＣ１１２は、不審メール処理部１０３が作成したメールをメールサーバ１１１から受取る。ユーザは、悪性可能性のある添付ファイル付きメールを受け取って解析に送られたことを知るとともに、ユーザＰＣ１１２を介して、受取ったメールに記載された仮想マシン環境１１０のＩＰアドレスと貸出し用アカウントと貸出し用パスワードを用いて、仮想マシン環境１１０にリモートアクセスし、該環境にある添付ファイルを利用することができる。

仮想マシン環境１１０は、ユーザに貸し出される仮想マシンであり、添付ファイルの実行、閲覧および編集を可能とするためのソフトウェアがインストールされている。添付ファイルが悪性プログラムだった場合に不正な動作をしても他の装置に攻撃させないようにするため他の装置とのネットワーク制限など機能を制限されているなど、添付ファイルが悪性だった場合の被害を抑える設定となっているので、悪性無しの判断がされていないファイルを閲覧することができる。

以上の処理により、ユーザが利用するユーザＰＣ１１２は、メールサーバ１１１を経由してメールを受取る。ステップ３０３〜３０６が実行された場合には、ユーザには受信したメールの添付ファイルが悪性プログラムの疑いがある事の通知とともに、貸出された仮想マシン環境１１０へのアクセス情報が通知されるため、ユーザは該仮想マシン環境１１０にリモートログオンしてアクセスする事で添付ファイルを利用する事が可能となる。

ここで、仮想マシン環境上の画面から、テキスト、オブジェクト、画像といった悪性のない様態でコピーして、ユーザＰＣ１１２内に保存することは可能としてもよい。また添付ファイルは、仮想マシン環境１１０内で操作（例えば閲覧や編集や実行を含む）することができ、編集や変更を加えることが可能であり、操作後の添付ファイルを仮想マシン環境１１２に保存することが可能である。これによって、詳細解析中においても、ユーザは添付ファイルに対して、可能な範囲で作業を行うことができる。

また、添付ファイル解析部１０２が悪性無しと判断し、ステップ３０７においてメールが不審メール処理部１０３からメールサーバ１１１に送信された場合には、ユーザは悪性無しと判断された添付ファイル付のメールを受信し利用することができる。

図４は、本発明の一実施形態による仮想マシン環境管理システムの代表的な処理の一つである仮想マシン環境返却処理フローを説明する図である。

フローは、不審ファイル詳細解析装置１０６が、添付ファイルが悪性プログラムかどうかを静的解析して悪性の有無を判定し、最後に添付ファイルからハッシュ値を算出して該ハッシュ値と判定結果を不審メール処理部１０３へ渡すところを開始とする。

ステップ４０１では、不審メール処理部１０３は、不審ファイル詳細解析装置１０６から添付ファイルのハッシュ値と判定結果を受取る。

判定結果が悪性有だった場合には、ステップ４０２を実行し、判定結果が悪性無だった場合には、ステップ４０３を実行する。

判定結果が悪性有であるステップ４０２では、不審メール処理部１０３は、まず解析結果テーブル１０５で該当するハッシュ値２０７に対して、解析結果２０８を「不正」として更新する。次に不審メール処理部１０３は、メール管理テーブル１０４から該当する宛先２０２と仮想マシンＩＰ２０５を取出し、悪性有の判定結果と仮想マシンＩＰ２０５で貸出している仮想マシン環境１１０を回収する旨を通知するメール本文と宛先２０２からメールを作成し、メールサーバ１１１を介してユーザＰＣ１１２へ渡すことで、ユーザに判定結果と仮想マシン回収の通知を行う。悪性ファイルであるので、被害を抑えるマシン環境といえども使用にはリスクが伴うからである。その後、ステップ４０６に進むが、ここで上記メールに対してユーザから仮想マシン環境１１０の回収の同意を取ってから、ステップ４０６に進むにようにしてもよい。

判定結果が悪性無であるステップ４０３では、不審メール処理部１０３は、まず解析結果テーブル１０５で該当するハッシュ値２０７に対して、解析結果２０８を「正常」として更新する。次に不審メール処理部１０３は、仮想マシン貸出し処理部１０８へ編集ファイル取得依頼の通知と仮想マシン環境１１０のＩＰアドレス２０５を渡して、貸出されていた仮想マシン環境１１０でステップ３０６以降よりユーザによって変更されたファイル（以下、編集ファイルとする）の取得を依頼する。本実施例では、ユーザは仮想マシン環境１１０内の添付ファイルに対して変更を加えて保存することが可能であるものとする。ここで、編集ファイルを保存した場合でも、編集前の添付ファイルも保存しておくようにしてもよい。

ステップ４０４では、仮想マシン貸出し処理部１０８は、ステップ４０３により不審メール処理部１０３から編集ファイル取得依頼の通知と仮想マシン環境１１０のＩＰアドレスを受取り、まず仮想マシン環境１１０から編集ファイルを取出し、不審メール処理部１０３へ編集ファイルを渡す。

ステップ４０５では、不審メール処理部１０３は、ステップ４０４により仮想マシン貸出し処理部１０８から編集ファイルを受取り、該当する宛先２０２と、メール情報２０３をもとに、該編集ファイルを添付し、メール情報２０３の本文に仮想マシンＩＰ２０５で貸出している仮想マシン環境１１０を回収する旨を追記してメールを作成し、メールサーバ１１１へ渡すことで、ユーザＰＣ１１２のユーザに届ける。ここで、編集メールに加えて、仮想マシン環境１１０またはメール管理テーブル１０４のメール情報２０３に保存してある編集前の添付ファイルも添付してもよい。また、元の添付ファイル付きメールは、解析結果及び仮想マシン環境回収を知らせるメールとは別に、元の状態で送ってもよい。

なお、編集ファイルを作業中であることもあるので、ステップ４０３〜４０５を行う前に、詳細解析結果と仮想マシン環境１１０の回収をメール伝達し回収同意をユーザから取り、編集ファイルが開かれて作業中ではないことを確認した後に、ステップ４０３の編集ファイル回収依頼を行うようにしてもよい。

ステップ４０２もしくはステップ４０３〜４０５を行った後に、ステップ４０６を行う。ステップ４０６では、不審メール処理部１０３は、ステップ４０２もしくはステップ４０５でユーザへ貸出し仮想マシン環境１１０の返却をメールで通知した後に、まず仮想マシン貸出し処理部１０８へ回収依頼の通知と仮想マシン環境１１０のＩＰアドレス２０５を渡して、貸出されていた仮想マシン環境１１０の回収を依頼する。次に不審メール処理部１０３は、メール管理テーブル１０４の該当するＩＤ２０１に紐付く宛先２０２と、メール情報２０３と、添付ファイルハッシュ値２０４と、仮想マシンＩＰアドレス２０５を削除する。

ステップ４０７では、仮想マシン貸出し処理部１０８は、ステップ４０６により不審メール処理部１０３から返却依頼の通知と仮想マシンＩＰを受取り、まず仮想マシン管理テーブル１０９の受取った仮想マシンＩＰ２１０に該当する貸出し用アカウント２１１と、貸出し用パスワード２１２と、宛先２１３を消去する。次に仮想マシン貸出し処理部１０８は、仮想マシンＩＰ２１０に紐付く仮想マシン環境１１０を初期状態にリストアし、貸出し用アカウント２１１と貸出し用パスワード２１２を消去する。

以上の動作により、ユーザが利用するユーザＰＣ１１２は、メールサーバ１１１を経由してメールを受取り、貸出されていた仮想マシン環境１１０はリストア処理を行ってユーザから利用できない状態となる。ステップ４０２以降のフローが実行された場合には、ユーザには添付ファイルが悪性プログラムであった事とともに、貸出していた仮想マシン環境１１０が回収される事が通知される。ステップ４０３以降のフローが実行された場合には、ユーザは添付ファイル付のメールに併せて、貸出されていた仮想マシン環境１１０で編集されたファイルを受信し、メールで貸出していた仮想マシン環境１１０が回収される事が通知されるため、ユーザは仮想マシン環境１１０で利用していた添付ファイルと編集したファイルをユーザＰＣ１１２でそのまま活用する事が可能となる。

１０１：添付ファイル付メール管理装置、１０２：添付ファイル解析部、１０３：不審メール処理部、１０４：メール管理テーブル、１０５：解析結果テーブル、１０６：不審ファイル詳細解析装置、１０７：仮想マシン管理装置、１０８：仮想マシン貸出し処理部、１０９：仮想マシン管理テーブル、１１０：仮想マシン環境、１１１：メールサーバ、１１２：ユーザＰＣ。

Claims (5)

1. 外部からユーザに送信された添付ファイル付きメールを検疫するセキュリティ管理方法において、
   添付ファイル解析部が、前記メールに添付された添付ファイルを解析する解析ステップと、
   前記解析結果に基づいて前記添付ファイルを詳細解析の対象と判断された場合に、仮想マシン管理部が、当該添付ファイルを開くための仮想マシンを割当てるとともに、前記割り当てた仮想マシンが前記添付ファイルを操作できるように設定する仮想マシン設定ステップと、
   メール処理部が、前記割当てた仮想マシンへのアクセス情報を、前記添付ファイル付きメールの送信先であるユーザに送信するステップと、
   メール処理部が、前記詳細解析の結果を受け、前記添付ファイルを前記ユーザに送信するステップと、
   を含むセキュリティ管理方法。
2. 請求項１において、
   前記ユーザに送信する添付ファイルは、前記仮想マシンにて前記ユーザの操作を受け付けて編集された添付ファイルを含むことを特徴とするセキュリティ管理方法。
3. 請求項１または請求項２において、
   前記ユーザに送信する添付ファイルは、前記仮想マシンにおけるユーザの操作を受け付ける前の添付ファイルを含むことを特徴とするセキュリティ管理方法。
4. 請求項１乃至３のいずれかにおいて、
   前記メール処理部は、前記詳細解析の対象と判断された添付ファイルのハッシュ値を記憶装置に記憶し、
   前記添付ファイルを前記ハッシュ値を用いて管理することを特徴とするセキュリティ管理方法。
5. ユーザが外部からユーザに送信された添付ファイル付きメールを検疫するセキュリティ管理システムにおいて、
   前記メールに添付された添付ファイルを解析する添付ファイル解析部と、
   前記解析結果に基づいて前記添付ファイルを詳細解析の対象と判断された場合に、当該添付ファイルを開くための仮想マシンを割当てるとともに、前記割り当てた仮想マシンが前記添付ファイルを操作できるように設定する仮想マシン管理部と、
   前記割当てた仮想マシンへのアクセス情報を、前記ユーザに送信するメール処理部と、
   を備え、
   メール処理部が、前記詳細解析の結果を受け、前記添付ファイルを前記ユーザに送信する、
   ことを特徴とするセキュリティ管理システム。

Images