JP2018063645A - 電子メール監視装置、端末装置、電子メール監視方法、及び、電子メール監視プログラム - Google Patents

Abstract

【課題】不正な電子メールを受信することによる不正動作の発生に対する監視を、効率的に確実に行う。【解決手段】電子メール監視装置５０は、電子メール７１が不正動作を発生させる可能性がある不正情報７１０を含むことを表す解析結果に基づいて、電子メール７１と、電子メール７１を受信したあるいは今後受信する可能性がある端末装置６０と、を関連付ける端末特定情報５１０を生成する生成部５１と、端末特定情報５１０において、電子メール７１と関連付けられた、外部からの指示に応じて不正動作の発生を監視する監視部６１を備えた端末装置６０に対して、不正動作の発生を監視することを指示する指示部５２と、を備える。【選択図】 図４

Description

本願発明は、不正な電子メールによる不正動作を監視する技術に関する。

近年、不正な（悪性のある）電子メールを使用したサイバー攻撃が急増している。したがって、不正な電子メールを監視することによって、サイバー攻撃から防御する技術に対する期待が高まってきている。

このような技術に関連する技術として、特許文献１には、コンピュータウィルスによる不正な電子メールの送信を抑制する電子メール装置が開示されている。この装置は、送信が予定された電子メールがコンピュータウィルスによる不正な電子メールであるかどうかの判断を行なう。この装置は、電子メールの内容を表示装置に表示して、利用者に対して、本人認証及び電子メールの送信を意図しているかどうかの確認を要求することによって、前述した判断を行なう。この装置は、利用者が本人である旨の応答を受信し、又は、利用者が送信を意図した電子メールである旨の応答を受信した場合は、その電子メールは不正な電子メールでないと判断して、当該電子メールを送信する。

また、特許文献２には、コンピュータ処理能力に乏しい小型のメール端末に負担を発生させることなく、コンピュータウィルスの感染判定を行う電子メールシステムが開示されている。このシステムでは、メールサーバとメール端末とが、無線通信網を介して接続され、メール端末は、携帯電話や携帯情報端末の小型のメール端末として構成されている。このメールサーバにインターネット通信網を介して電子メールが到着したとき、メールサーバは、当該電子メールがウィルスに感染しているか否かを判定する。このメールサーバは、ウィルス感染に関する判定結果を、検査情報の全部又は一部として、電子メールのヘッダ内に追記する。メール端末は、検査情報に基づいてウィルス感染の有無等を検知し、電子メールがウィルスに感染している場合は、ブザーや振動等を正常なメール受信時と違えることにより、ユーザにウィルス感染を報知する。

また、特急文献３には、メールサーバと、検査コンピュータとを有するウィルス検査システムが開示されている。この検査コンピュータは、メールサーバから転送された電子メールの添付ファイルを実行する。このシステムは、検査コンピュータとパーソナルコンピュータに備えられている周辺機器とを接続するＩ（Input）／Ｏ（Output）ポートに対する、当該添付ファイルの実行によるアクセスの有無を検出することによって、ウィルスの侵入を検査する。

国際公開第2004-55681号 特開2005-237023号公報 特開2003-169096号公報

一般的な電子メールシステムでは、例えばサンドボックスを構築したメール解析装置によって、不正な電子メールを検知することができる。サンドボックスとは、調査対象である電子メールに不正情報が含まれているか否かを解析するために、例えば仮想環境として構築された隔離環境のことであり、不正情報による不正動作が発生してもシステムに影響を与えない保護された領域（ソフトウェアの実行環境）のことである。このサンドボックスを利用して不正な電子メールを検出する技術では、サンドボックスにおいて、当該電子メールに含まれるＵＲＬ（Uniform Resource Locator）へのアクセスを行なった後に、あるいは、当該電子メールに添付されたファイルを実行した後などに、不正動作が発生しているか否かを解析する。

このようにメール解析装置によって不正な電子メールを検知した場合、例えば当該電子メールの宛先（メールアドレス）を把握することは可能であるが、当該電子メールを受信したあるいは今後受信する可能性がある端末装置を特定することまでは、一般的に行なわれていない。もし不正な電子メールを受信したあるいは今後受信する可能性がある端末装置を特定できれば、当該端末装置に対して不正動作を監視する指示を与えることによって、不正動作の発生に対する監視を効率的に確実に行なうことができる。したがって、電子メールシステムにおいて、不正な電子メールを受信したあるいは今後受信する可能性がある端末装置を特定し、特定した端末装置に対して不正動作を監視する指示を与えるようにすることが課題である。特許文献１乃至３は、この課題について言及していない。本願発明の主たる目的は、この課題を解決する電子メール監視装置等を提供することである。

本願発明の一態様に係る電子メール監視装置は、電子メールが不正動作を発生させる可能性がある不正情報を含むことを表す解析結果に基づいて、前記電子メールと、前記電子メールを受信したあるいは今後受信する可能性がある端末装置と、を関連付ける端末特定情報を生成する生成手段と、前記端末特定情報において、前記電子メールと関連付けられた、外部からの指示に応じて前記不正動作の発生を監視する監視手段を備えた前記端末装置に対して、前記不正動作の発生を監視することを指示する指示手段と、を備える。

上記目的を達成する他の見地において、本願発明の一態様に係る電子メール監視方法は、電子メール監視装置によって、電子メールが不正動作を発生させる可能性がある不正情報を含むことを表す解析結果に基づいて、前記電子メールと、前記電子メールを受信したあるいは今後受信する可能性がある端末装置と、を関連付ける端末特定情報を生成し、前記端末特定情報において、前記電子メールと関連付けられた前記端末装置に対して、前記不正動作の発生を監視することを指示し、前記端末装置によって、前記電子メール監視装置による指示に応じて、前記不正動作の発生を監視する。

また、上記目的を達成する更なる見地において、本願発明の一態様に係る電子メール監視プログラムは、電子メールが不正動作を発生させる可能性がある不正情報を含むことを表す解析結果に基づいて、前記電子メールと、前記電子メールを受信したあるいは今後受信する可能性がある端末装置と、を関連付ける端末特定情報を生成する生成処理と、前記端末特定情報において、前記電子メールと関連付けられた、外部からの指示に応じて前記不正動作の発生を監視する構成を備えた前記端末装置に対して、前記不正動作の発生を監視することを指示する指示処理と、をコンピュータに実行させるためのプログラムである。

更に、本願発明は、係る電子メール監視プログラム（コンピュータプログラム）が格納された、コンピュータ読み取り可能な、不揮発性の記録媒体によっても実現可能である。

本願発明は、不正な電子メールを受信することによる不正動作の発生に対する監視を、効率的に確実に行うことを可能とする。

本願発明の第１の実施形態に係る電子メール監視システム１の構成を示すブロック図である。 本願発明の第１の実施形態に係る端末特定情報１３０の構成を例示する図である。 本願発明の第１の実施形態に係る電子メール監視システム１の動作を示すフローチャートである。 本願発明の第２の実施形態に係る電子メール監視装置５０の構成を示すブロック図である。 本願発明の各実施形態に係る電子メール監視装置を実行可能な情報処理装置９００の構成を示すブロック図である。

以下、本願発明の実施の形態について図面を参照して詳細に説明する。

＜第１の実施形態＞
図１は、本願発明の第１の実施の形態に係る電子メール監視システム１の構成を概念的に示すブロック図である。電子メール監視システム１は、大別して、電子メール監視装置１０、端末装置２０、メールサーバ装置３０、及び、メール解析装置４０を有している。これらの装置は、通信可能に接続されている。図１には説明の便宜上、端末装置２０を１つ示しているが、電子メール監視システム１は、端末装置２０を複数有してもよい。また、図１には説明の便宜上、電子メール３１を１つ示しているが、電子メール監視システム１は、多数の電子メール３１に対する処理を行う。電子メール監視システム１では、電子メール監視装置１０は、不正な電子メール３１を受信した端末装置２０に対して不正動作を監視することを指示し、端末装置２０は、その指示に応じて、不正動作の発生を監視する。

メールサーバ装置３０は、電子メール３１に含まれる宛先のメールアドレスを有するユーザが、端末装置２０を使用してメールサーバ装置３０に対してアクセスした場合、電子メール３１を端末装置２０へ配信する。メールサーバ装置３０及び端末装置２０は、この際、例えば、ＩＭＡＰ（Internet Message Access Protocol）、あるいはＰＯＰ（Post Office Protocol）等の電子メール用の通信プロトコルを使用する。メールサーバ装置３０は、端末装置２０からのアクセス履歴（ログイン履歴）を、アクセス履歴３２として、内蔵する電子メモリや磁気ディスク等の記憶デバイス（不図示）に記憶している。

アクセス履歴３２は、例えば、電子メール３１に含まれる宛先のメールアドレスと、端末装置２０を識別可能な識別子と、を関連付けた情報である。端末装置２０を識別可能な識別子としては、例えば、ＩＰ（Internet Protocol）アドレスなどが使用できる。

メール解析装置４０は、調査対象である電子メール（検体（被検体））に不正情報が含まれているか否かを解析するために、サンドボックスを構築した情報処理装置である。メール解析装置４０は、メールサーバ装置３０から電子メール３１を入手して、入手した電子メール３１に不正情報が含まれているか否かを解析する。メール解析装置４０は、より具体的には、電子メール３１に含まれるＵＲＬへのアクセスを行なった後に、あるいは、電子メール３１に添付されたファイル（添付ファイル）を実行した後などに、不正動作が発生しているか否かを解析する。

メール解析装置４０は、その解析結果４１を、電子メール監視装置１０へ送信する。解析結果４１は、例えば、電子メール３１に含まれる宛先のメールアドレスと、検体指標（indicator）を含んでいる。ただし、検体指標とは、電子メール３１に含まれる不正情報を示す指標のことであり、例えば、アクセスによって不正動作を発生させるＵＲＬ、あるいは実行によって不正動作を発生させる添付ファイルを識別可能な識別子などである。この添付ファイルを識別可能な識別子としては、例えば、当該添付ファイルのＭＤ５（Message Digest Algorithm 5）ハッシュ値などがある。

本実施形態に係る電子メール監視装置１０は、生成部１１、指示部１２、及び、端末特定情報記憶部１３を備えている。

生成部１１は、メール解析装置４０から受信した解析結果４１と、メールサーバ装置に記憶されているアクセス履歴３２とに基づいて、端末特定情報１３０を生成する。端末特定情報１３０は、不正情報を含む電子メール３１と、電子メール３１を受信した可能性がある、あるいは今後受信する可能性がある端末装置２０とを関連付ける情報である。

図２は、本実施形態に係る端末特定情報１３０の構成を、概念的に例示する図である。図２に例示する通り、端末特定情報１３０は、不正情報を含む電子メール３１を受信した可能性がある、あるいは今後受信する可能性がある端末装置２０のＩＰアドレスと、電子メール３１に含まれる宛先のメールアドレスと、電子メール３１に含まれる検体指標とが、関連付けされた情報である。

図２に例示する端末特定情報１３０は、例えば、ＩＰアドレスが「ＩＰアドレス０００１」である端末装置２０が、不正な添付ファイルＡを含む、宛先のメールアドレスが「メールアドレス００００１」である電子メール３１を受信した可能性があることを示している。なお、図２に例示する端末特定情報１３０では、１つの宛先のメールアドレスに、１つのＩＰアドレスが関連付けされているが、あるユーザが複数の端末装置２０を使用する場合などでは、１つの宛先のメールアドレスに、複数のＩＰアドレスが関連付けされる場合がある。

図１に示す生成部１１は、生成した端末特定情報１３０を、端末特定情報記憶部１３へ格納する。端末特定情報記憶部１３は、例えば、磁気ディスクあるいは電子メモリ等の記憶デバイスである。

指示部１２は、端末特定情報記憶部１３に記憶された端末特定情報１３０を参照し、端末特定情報１３０にＩＰアドレスが登録されている端末装置２０に対して、不正動作の発生を監視することを指示する。指示部１２は、この際、端末特定情報１３０において、端末装置２０と関連付けされている検体指標を、端末装置２０へ通知する。

図１に示す本実施形態に係る端末装置２０は、例えばパーソナルコンピュータなどの情報処理装置である。端末装置２０は、ＩＭＡＰあるいはＰＯＰ等の通信プロトコルを使用して、ユーザのメールアドレスによる認証を受けて、メールサーバ装置３０と接続し、メールサーバ装置３０から電子メール３１を受信する。端末装置２０は、ユーザによる操作入力に応じて、例えば、電子メール３１に添付されたファイルに対する所定の処理や、電子メールに含まれる、通信ネットワークにおけるＵＲＬ等のアクセスアドレスへのアクセスを行う機能を備える。端末装置２０は、動作ログ生成部２１、監視部２２、及び、動作ログ記憶部２３を備えている。

動作ログ生成部２１は、端末装置２０の動作を監視して、その監視結果を動作ログ２３０として、動作ログ記憶部２３へ格納する。動作ログ記憶部２３は、例えば、磁気ディスクあるいは電子メモリ等の記憶デバイスである。動作ログ生成部２１は、例えば、端末装置２０によって行なわれる下記の動作を監視する。
・ファイルへのアクセス：動作時刻、アクセスファイルの名称、アクセスファイルのＭＤ５ハッシュ値、
・プロセスの起動及び終了：動作時刻、実行ファイルの名称、実行ファイルのＭＤ５ハッシュ値、当該プロセスを呼び出した親プロセスに関する情報、
・ＨＴＴＰ（HyperText Transfer Protocol）通信：動作時刻、通信先のＵＲＬ。

監視部２２は、電子メール監視装置１０における指示部１２による指示に応じて、指示部１２から通知された検体指標に基づいて、端末装置２０における不正動作の発生を監視する。監視部２２は、動作ログ記憶部２３に格納済みである動作ログ２３０を確認するとともに、動作ログ生成部２１によって、動作ログ２３０として追加される監視結果（動作ログ）も確認する。

監視部２２は、例えば、検体指標として、図２に例示する「添付ファイルＡ」を通知された場合、端末装置２０において行なわれる、「添付ファイルＡ」に対する所定の処理を監視する。例えば「添付ファイルＡ」が、実行形式のファイル（例えば拡張子が「ｅｘｅ」等であるファイル）である場合、監視部２２は、「添付ファイルＡ」が端末装置２０において実行されたことをもって、不正動作の発生を検知する。あるいは、「添付ファイルＡ」が、圧縮形式のファイル（例えば拡張子が「ｚｉｐ」等であるファイル）である場合、監視部２２は、「添付ファイルＡ」が解凍された（圧縮状態が解除された）のちに、「添付ファイルＡ」に含まれるファイルに対する所定の処理が端末装置２０において行なわれたことをもって、不正動作の発生を検知する。

監視部２２は、例えば、検体指標として、図２に例示する「アクセス先ＵＲＬ００１」を通知された場合、端末装置２０において行なわれる、「アクセス先ＵＲＬ００１」へのアクセスを契機とする不正動作を監視する。監視部２２は、この場合、例えば、「アクセス先ＵＲＬ００１」へのアクセスによって、端末装置２０において、不審なプロセスが起動された、あるいは、不審な通信が発生したことなどをもって、不正動作の発生を検知する。

監視部２２は、端末装置２０における不正動作の発生を検知した場合、端末装置２０が備えるモニター（不図示）に不正動作が発生したことを表示してもよいし、システム管理者の端末装置（不図示）等に、不正動作の発生を通知してもよい。

次に図３のフローチャートを参照して、本実施形態に係る電子メール監視システム１の動作（処理）について詳細に説明する。

電子メール監視装置１０は、メール解析装置４０から、電子メール３１に不正情報が含まれることを示す解析結果４１を受信する（ステップＳ１０１）。電子メール監視装置１０における生成部１１は、端末装置２０からメールサーバ装置３０へのアクセス履歴３２と、解析結果４１とに基づいて、電子メール３１と、端末装置２０とを関連付ける端末特定情報１３０を生成し、端末特定情報１３０を端末特定情報記憶部１３へ格納する（ステップ１０２）。

電子メール監視装置１０における指示部１２は、端末特定情報１３０において、電子メール３１と関連付けされた端末装置２０に、解析結果４１により示された検体指標による不正動作を監視することを指示する（ステップ１０３）。端末装置２０は、電子メール監視装置１０における指示部１２からの指示に応じて、動作ログ２３０を参照することによって、不正動作の発生を監視し（ステップＳ１０４）、全体の処理は修了する。

本実施形態に係る電子メール監視システム１は、不正な電子メールを受信することによる不正動作の発生に対する監視を、効率的に確実に行うことができる。その理由は、電子メール監視システム１では、電子メール監視装置１０は、不正な電子メール３１を受信した可能性がある端末装置２０に対して不正動作を監視することを指示するからである。そして、端末装置２０は、電子メール監視装置１０からの指示に応じて、不正動作の発生を監視するからである。

以下に、本実施形態に係る電子メール監視システム１によって実現される効果について、詳細に説明する。

メール解析装置によって不正な電子メールを検知する場合、例えば当該電子メールの宛先（メールアドレス）を把握することは可能であるが、当該電子メールを受信したあるいは今後受信する可能性がある端末装置を特定することまでは、一般的に行なわれていない。もし不正な電子メールを受信したあるいは今後受信する可能性がある端末装置を特定できれば、当該端末装置に対して不正動作を監視する指示を与えることによって、不正動作の発生に対する監視を効率的に確実に行なうことができる。したがって、電子メールシステムにおいて、不正な電子メールを受信したあるいは今後受信する可能性がある端末装置を特定し、特定した端末装置に対して不正動作を監視する指示を与えるようにすることが課題である。

このような課題に対して、本実施形態に係る電子メール監視装置１０では、生成部１１は、電子メール３１が不正動作を発生させる可能性がある不正情報を含むことを表す解析結果４１に基づいて、電子メール３１と、電子メール３１を受信したあるいは今後受信する可能性がある端末装置２０とを関連付ける端末特定情報１３０を生成する。指示部１２は、端末特定情報１３０において、電子メール３１と関連付けられた、外部からの指示に応じて不正動作の発生を監視する監視部２２を備えた端末装置２０に対して、不正動作の発生を監視することを指示する。そして、端末装置２０では、監視部２２は、電子メール３１を受信したあるいは今後受信する可能性があることを、電子メール監視装置１０によって検出された場合に、電子メール監視装置１０による指示に応じて、不正動作の発生を監視する。すなわち、本実施形態に係る電子メール監視システム１では、メール解析装置４０によって検出された不正な電子メール３１を受信したあるいは今後受信する可能性がある端末装置２０のみが、電子メール監視装置１０による指示に応じて、電子メール３１に含まれる不正情報によって発生する不正動作の発生を監視する。これにより、本実施形態に係る電子メール監視システム１は、不正な電子メールを受信することによる不正動作の発生に対する監視を、効率的に確実に行うことができる。

また、本実施形態に係る端末装置２０のＩＰアドレスが、例えばＤＨＣＰ（Dynamic Host Configuration Protocol）によって付与される場合、端末装置２０のＩＰアドレスが流動的に変化する。この場合、生成部１１は、端末特定情報１３０を生成する際に、端末装置２０を識別可能な識別子として、ＩＰアドレスの変わりに、ＭＡＣ（Media Access Control）アドレスを使用可能である。生成部１１は、この場合、ＤＨＣＰサーバ装置の動作ログを解析することによって、端末特定情報１３０を生成する。そして、この場合、指示部１２は、端末特定情報１３０にＭＡＣアドレスが登録されている端末装置２０に対して、不正動作の発生を監視することを指示する。

また、本実施形態に係る電子メール監視装置１０は、電子メール３１を、電子メール３１を一意に識別可能なメール識別子により管理してもよい。この場合、生成部１１は、例えば、メール解析装置４０による解析結果４１から、電子メール３１を一意に識別可能なメール識別子（例えばメッセージＩＤ（Message-ID）、ＩＤは「Identifier」を示す）を抽出する。生成部１１は、例えば、端末装置２０がメールサーバ装置３０からＳＭＴＰあるいはＰＯＰ等によって電子メール３１を受信する可能性がある場合に、当該メール識別子と端末装置２０とを関連付けた端末特定情報１３０を生成する。そして、指示部１２は、端末特定情報１３０において、当該メール識別子と関連付けられた端末装置２０に対して、不正動作の発生を監視することを指示する。これにより、本実施形態に係る電子メール監視システム１は、不正な電子メールを受信することによる不正動作の発生に対する監視を、さらに効率的に確実に行うことができる。

また、本実施形態に係る指示部１２は、電子メール３１に添付された不正なファイルを識別可能なファイル識別情報、あるいは、電子メール３１に含まれる不正なＵＲＬ（通信ネットワークにおけるアクセスアドレス）を、端末装置２０に対して通知する。そして、端末装置２０における監視部２２は、通知されたファイルに対する所定の処理（動作）が発生すること、及び、通知されたＵＲＬへのアクセスを契機とする所定の処理が発生することを監視する。前述した所定の処理は、複合的な処理も含んでいる。これにより、本実施形態に係る電子メール監視システム１は、不正な電子メールを受信することによる不正動作の発生に対する監視を、より効率的に確実に行うことができる。

＜第２の実施形態＞
図４は、本願発明の第２の実施形態に係る電子メール監視装置５０の構成を概念的に示すブロック図である。電子メール監視装置５０は、生成部５１、及び、指示部５２を備えている。

生成部５１は、電子メール７１が不正動作を発生させる可能性がある不正情報７１０を含むことを表す解析結果に基づいて、電子メール７１と、電子メール７１を受信したあるいは今後受信する可能性がある端末装置６０と、を関連付ける端末特定情報５１０を生成する。

指示部５２は、端末特定情報５１０において、電子メール７１と関連付けられた、外部からの指示に応じて不正動作の発生を監視する監視部６１を備えた端末装置６０に対して、その不正動作の発生を監視することを指示する。

本実施形態に係る電子メール監視装置５０は、不正な電子メールを受信することによる不正動作の発生に対する監視を、効率的に確実に行うことができる、その理由は、電子メール監視装置５０は、不正な電子メール７１を受信したあるいは今後受信する可能性がある、不正動作の発生を監視する監視部６１を備えた端末装置６０に対して、不正動作を監視することを指示するからである。

＜ハードウェア構成例＞
上述した各実施形態において図１、及び、図４に示した電子メール監視装置における各部は、専用のＨＷ（ＨａｒｄＷａｒｅ）（電子回路）によって実現することができる。また、図１、及び、図４において、少なくとも、下記構成は、ソフトウェアプログラムの機能（処理）単位（ソフトウェアモジュール）と捉えることができる。
・生成部１１及び５１、
・指示部１２及び５２、
但し、これらの図面に示した各部の区分けは、説明の便宜上の構成であり、実装に際しては、様々な構成が想定され得る。この場合のハードウェア環境の一例を、図５を参照して説明する。

図５は、本願発明の各実施形態に係る電子メール監視装置を実行可能な情報処理装置９００（コンピュータ）の構成を例示的に説明する図である。即ち、図５は、図１、及び、図４に示した電子メール監視装置を実現可能なコンピュータ（情報処理装置）の構成であって、上述した実施形態における各機能を実現可能なハードウェア環境を表す。

図５に示した情報処理装置９００は、構成要素として下記を備えている。
・ＣＰＵ（Ｃｅｎｔｒａｌ＿Ｐｒｏｃｅｓｓｉｎｇ＿Ｕｎｉｔ）９０１、
・ＲＯＭ（Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）９０２、
・ＲＡＭ（Ｒａｎｄｏｍ＿Ａｃｃｅｓｓ＿Ｍｅｍｏｒｙ）９０３、
・ハードディスク（記憶装置）９０４、
・外部装置との通信インタフェース９０５、
・バス９０６（通信線）、
・ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ＿Ｄｉｓｃ＿Ｒｅａｄ＿Ｏｎｌｙ＿Ｍｅｍｏｒｙ）等の記録媒体９０７に格納されたデータを読み書き可能なリーダライタ９０８、
・入出力インタフェース９０９。

即ち、上記構成要素を備える情報処理装置９００は、これらの構成がバス９０６を介して接続された一般的なコンピュータである。情報処理装置９００は、ＣＰＵ９０１を複数備える場合もあれば、マルチコアにより構成されたＣＰＵ９０１を備える場合もある。

そして、上述した実施形態を例に説明した本願発明は、図５に示した情報処理装置９００に対して、次の機能を実現可能なコンピュータプログラムを供給する。その機能とは、その実施形態の説明において参照したブロック構成図（図１、及び、図４）における上述した構成、或いはフローチャート（図３）の機能である。本願発明は、その後、そのコンピュータプログラムを、当該ハードウェアのＣＰＵ９０１に読み出して解釈し実行することによって達成される。また、当該装置内に供給されたコンピュータプログラムは、読み書き可能な揮発性のメモリ（ＲＡＭ９０３）、または、ＲＯＭ９０２やハードディスク９０４等の不揮発性の記憶デバイスに格納すれば良い。

また、前記の場合において、当該ハードウェア内へのコンピュータプログラムの供給方法は、現在では一般的な手順を採用することができる。その手順としては、例えば、ＣＤ−ＲＯＭ等の各種記録媒体９０７を介して当該装置内にインストールする方法や、インターネット等の通信回線を介して外部よりダウンロードする方法等がある。そして、このような場合において、本願発明は、係るコンピュータプログラムを構成するコード或いは、そのコードが格納された記録媒体９０７によって構成されると捉えることができる。

以上、上述した実施形態を模範的な例として本願発明を説明した。しかしながら、本願発明は、上述した実施形態には限定されない。即ち、本願発明は、本願発明のスコープ内において、当業者が理解し得る様々な態様を適用することができる。

尚、上述した各実施形態の一部又は全部は、以下の付記のようにも記載されうる。しかしながら、上述した各実施形態により例示的に説明した本発明は、以下には限られない。すなわち、
（付記１）
電子メールが不正動作を発生させる可能性がある不正情報を含むことを表す解析結果に基づいて、前記電子メールと、前記電子メールを受信したあるいは今後受信する可能性がある端末装置と、を関連付ける端末特定情報を生成する生成手段と、
前記端末特定情報において、前記電子メールと関連付けられた、外部からの指示に応じて前記不正動作の発生を監視する監視手段を備えた前記端末装置に対して、前記不正動作の発生を監視することを指示する指示手段と、
を備える電子メール監視装置。
（付記２）
前記生成手段は、前記電子メールを前記端末装置へ配信するメールサーバ装置に対して、前記端末装置がアクセスした履歴に基づいて、前記端末特定情報を生成する、
付記１に記載の電子メール監視装置。
（付記３）
前記生成手段は、前記電子メールと、前記端末装置に付与されたＩＰアドレスあるいはＭＡＣアドレスと、を関連付ける前記端末特定情報を生成し、
前記指示手段は、前記ＩＰアドレスあるいは前記ＭＡＣアドレスによって特定される前記端末装置に対して、前記不正動作の発生を監視することを指示する、
付記１または２に記載の電子メール監視装置。
（付記４）
前記生成手段は、前記端末装置と、前記電子メールに含まれる宛先のメールアドレスあるいはメッセージＩＤと、を関連付ける前記端末特定情報を生成し、
前記指示手段は、前記宛先のメールアドレスあるいはメッセージＩＤと関連付けられた前記端末装置に対して、前記不正動作の発生を監視することを指示する、
付記１乃至３のいずれか一項に記載の電子メール監視装置。
（付記５）
前記生成手段は、前記電子メールに添付されたファイル、あるいは、前記電子メールに含まれる、通信ネットワークにおけるアクセスアドレスを、前記不正情報として含む前記電子メールと、前記端末装置とを関連付ける前記端末特定情報を生成する、
付記１乃至４のいずれか一項に記載の電子メール監視装置。
（付記６）
前記生成手段は、前記電子メールに添付されたファイルを識別可能なハッシュ値を含む前記端末特定情報を生成する、
付記５に記載の電子メール監視装置。
（付記７）
前記指示手段は、前記電子メールに添付されたファイルを識別可能なファイル識別情報、あるいは、前記電子メールに含まれる前記アクセスアドレスを、前記端末装置に対して通知する、
付記５または６に記載の電子メール監視装置。
（付記８）
不正動作を発生させる可能性がある不正情報が含まれている電子メールを受信したあるいは今後受信する可能性があることを、電子メール監視装置によって検出された場合に、前記電子メール監視装置による指示に応じて、前記不正動作の発生を監視する監視手段
を備える端末装置。
（付記９）
前記監視手段は、前記電子メールに添付されたファイルに対する所定の処理が発生すること、及び、前記電子メールに含まれる、通信ネットワークにおけるアクセスアドレスへのアクセスを契機とする所定の処理が発生することを監視する、
付記８に記載の端末装置。
（付記１０）
前記監視手段は、前記電子メールに添付された実行形式のファイルが実行されたこと、及び、前記電子メールに添付された圧縮形式のファイルの圧縮状態が解除されたのちに前記圧縮形式のファイルに含まれるファイルに対する処理の処理が行われたこと、を監視する、
付記９に記載の端末装置。
（付記１１）
前記監視手段は、前記電子メールに含まれる、前記アクセスアドレスへのアクセスを契機とする、不審なプロセスの起動、及び、不審な通信の発生を監視する、
付記９または１０に記載の端末装置。
（付記１２）
自装置の動作ログを記憶する動作ログ記憶手段をさらに備え、
前記監視手段は、前記動作ログ記憶手段に格納済みである前記動作ログ、あるいは、前記動作ログ記憶手段に新たに記憶される前記動作ログを確認することによって、前記不正動作の発生を監視する、
付記８乃至１１のいずれか一項に記載の端末装置。
（付記１３）
電子メール監視装置と、端末装置と、を有し、
前記電子メール監視装置は、
電子メールが不正動作を発生させる可能性がある不正情報を含むことを表す解析結果に基づいて、前記電子メールと、前記電子メールを受信したあるいは今後受信する可能性がある端末装置と、を関連付ける端末特定情報を生成する生成手段と、
前記端末特定情報において、前記電子メールと関連付けられた前記端末装置に対して、前記不正動作の発生を監視することを指示する指示手段と、
を備え、
前記端末装置は、
前記電子メール監視装置による指示に応じて、前記不正動作の発生を監視する監視手段を備える、
電子メール監視システム。
（付記１４）
電子メール監視装置によって、
電子メールが不正動作を発生させる可能性がある不正情報を含むことを表す解析結果に基づいて、前記電子メールと、前記電子メールを受信したあるいは今後受信する可能性がある端末装置と、を関連付ける端末特定情報を生成し、
前記端末特定情報において、前記電子メールと関連付けられた前記端末装置に対して、前記不正動作の発生を監視することを指示し、
前記端末装置によって、
前記電子メール監視装置による指示に応じて、前記不正動作の発生を監視する、
電子メール監視方法。
（付記１５）
電子メールが不正動作を発生させる可能性がある不正情報を含むことを表す解析結果に基づいて、前記電子メールと、前記電子メールを受信したあるいは今後受信する可能性がある端末装置と、を関連付ける端末特定情報を生成する生成処理と、
前記端末特定情報において、前記電子メールと関連付けられた、外部からの指示に応じて前記不正動作の発生を監視する構成を備えた前記端末装置に対して、前記不正動作の発生を監視することを指示する指示処理と、
をコンピュータ実行させるための電子メール監視プログラム。

１ 電子メール監視システム
１０ 電子メール監視装置
１１ 生成部
１２ 指示部
１３ 端末特定情報記憶部
１３０ 端末特定情報
２０ 端末装置
２１ 動作ログ生成部
２２ 監視部
２３ 動作ログ記憶部
２３０ 動作ログ
３０ メールサーバ装置
３１ 電子メール
３２ アクセス履歴
４０ メール解析装置
４１ 解析結果
５０ 電子メール監視装置
５１ 生成部
５１０ 端末特定情報
５２ 指示部
６０ 端末装置
６１ 監視部
７１ 電子メール
７１０ 不正情報
９００ 情報処理装置
９０１ ＣＰＵ
９０２ ＲＯＭ
９０３ ＲＡＭ
９０４ ハードディスク（記憶装置）
９０５ 通信インタフェース
９０６ バス
９０７ 記録媒体
９０８ リーダライタ
９０９ 入出力インタフェース

Claims (10)

1. 電子メールが不正動作を発生させる可能性がある不正情報を含むことを表す解析結果に基づいて、前記電子メールと、前記電子メールを受信したあるいは今後受信する可能性がある端末装置と、を関連付ける端末特定情報を生成する生成手段と、
   前記端末特定情報において、前記電子メールと関連付けられた、外部からの指示に応じて前記不正動作の発生を監視する監視手段を備えた前記端末装置に対して、前記不正動作の発生を監視することを指示する指示手段と、
   を備える電子メール監視装置。
2. 前記生成手段は、前記電子メールを前記端末装置へ配信するメールサーバ装置に対して、前記端末装置がアクセスした履歴に基づいて、前記端末特定情報を生成する、
   請求項１に記載の電子メール監視装置。
3. 前記生成手段は、前記電子メールと、前記端末装置に付与されたＩＰアドレスあるいはＭＡＣアドレスと、を関連付ける前記端末特定情報を生成し、
   前記指示手段は、前記ＩＰアドレスあるいは前記ＭＡＣアドレスによって特定される前記端末装置に対して、前記不正動作の発生を監視することを指示する、
   請求項１または２に記載の電子メール監視装置。
4. 前記生成手段は、前記端末装置と、前記電子メールに含まれる宛先のメールアドレスあるいはメッセージＩＤと、を関連付ける前記端末特定情報を生成し、
   前記指示手段は、前記宛先のメールアドレスあるいはメッセージＩＤと関連付けられた前記端末装置に対して、前記不正動作の発生を監視することを指示する、
   請求項１乃至３のいずれか一項に記載の電子メール監視装置。
5. 前記生成手段は、前記電子メールに添付されたファイル、あるいは、前記電子メールに含まれる、通信ネットワークにおけるアクセスアドレスを、前記不正情報として含む前記電子メールと、前記端末装置とを関連付ける前記端末特定情報を生成する、
   請求項１乃至４のいずれか一項に記載の電子メール監視装置。
6. 前記指示手段は、前記電子メールに添付されたファイルを識別可能なファイル識別情報、あるいは、前記電子メールに含まれる前記アクセスアドレスを、前記端末装置に対して通知する、
   請求項５に記載の電子メール監視装置。
7. 不正動作を発生させる可能性がある不正情報が含まれている電子メールを受信した、あるいは今後受信する可能性があることを、電子メール監視装置によって検出された場合に、前記電子メール監視装置による指示に応じて、前記不正動作の発生を監視する監視手段
   を備える端末装置。
8. 前記監視手段は、前記電子メールに添付されたファイルに対する所定の処理が発生すること、及び、前記電子メールに含まれる、通信ネットワークにおけるアクセスアドレスへのアクセスを契機とする所定の処理が発生することを監視する、
   請求項７に記載の端末装置。
9. 電子メール監視装置によって、
   電子メールが不正動作を発生させる可能性がある不正情報を含むことを表す解析結果に基づいて、前記電子メールと、前記電子メールを受信したあるいは今後受信する可能性がある端末装置と、を関連付ける端末特定情報を生成し、
   前記端末特定情報において、前記電子メールと関連付けられた前記端末装置に対して、前記不正動作の発生を監視することを指示し、
   前記端末装置によって、
   前記電子メール監視装置による指示に応じて、前記不正動作の発生を監視する、
   電子メール監視方法。
10. 電子メールが不正動作を発生させる可能性がある不正情報を含むことを表す解析結果に基づいて、前記電子メールと、前記電子メールを受信したあるいは今後受信する可能性がある端末装置と、を関連付ける端末特定情報を生成する生成処理と、
    前記端末特定情報において、前記電子メールと関連付けられた、外部からの指示に応じて前記不正動作の発生を監視する構成を備えた前記端末装置に対して、前記不正動作の発生を監視することを指示する指示処理と、
    をコンピュータ実行させるための電子メール監視プログラム。

Images