JP2018132823A - ポリシー設定装置、ポリシー設定方法およびポリシー設定プログラム - Google Patents

Abstract

【課題】セキュリティポリシーの追加による業務への影響を低減させる。【解決手段】ポリシー設定装置１０は、ユーザ宛ての電子メールのうちの検体電子メール１３の中から、通信を制限する対象とする通信相手アドレス１３ａを抽出する。ポリシー設定装置１０は、過去に行われた通信を示す通信履歴１４を参照して、通信相手アドレス１３ａを用いた通信の頻度を示す頻度指標値を算出する。ポリシー設定装置１０は、通信相手アドレス１３ａを用いた通信を制限するルール１５ａを含み、頻度指標値が示す頻度が大きいほど有効期間１５ｂが短くなるかまたは適用対象機器１５ｃが少なくなるように設定したセキュリティポリシー１５を生成する。【選択図】図１

Description

本発明はポリシー設定装置、ポリシー設定方法およびポリシー設定プログラムに関する。

特定の組織が有する秘密情報を窃取することを目的とした情報セキュリティ上の攻撃（標的型攻撃）の１つとして、電子メールを利用した標的型メール攻撃が存在する。標的型メール攻撃では、攻撃者は標的の組織に対して、通常の業務に関する電子メールを装った不正な電子メールを送信する。不正な電子メールには、業務に関するファイルを装って、コンピュータウィルスを含む不正なファイルが添付されていることがある。また、不正な電子メールには、業務に関するＷｅｂサイトを装って、コンピュータウィルスを送信する不正なＷｅｂサイトへのハイパーリンクが記載されていることがある。

不正な電子メールを受け取ったユーザが添付ファイルを開くと、組織内のコンピュータがコンピュータウィルスに感染するおそれがある。また、不正な電子メールを受け取ったユーザがハイパーリンクを辿ってＷｅｂサイトにアクセスすると、組織内のコンピュータがコンピュータウィルスに感染するおそれがある。コンピュータウィルスに感染することで、組織内の秘密情報が組織外に漏洩してしまうことがある。

このような標的型メール攻撃の脅威を低減するため、各種の情報セキュリティ製品が使用されることがある。例えば、ある種の情報セキュリティ製品は、組織外から受信する電子メールを監視し、特定の送信元メールアドレスや特定の送信元メールサーバアドレスを含む電子メールを不正な電子メールと判定する。情報セキュリティ製品は、不正な電子メールに対しては閲覧や添付ファイルの開封などのユーザ操作を制限する。また、例えば、ある種の情報セキュリティ製品は、組織外のＷｅｂサーバへのアクセスを監視し、特定のＷｅｂサイトアドレスを指定したアクセスを制限する。

なお、受信した情報のうちユーザにとって有害な情報を除去して出力する情報フィルタリング装置が提案されている。提案の情報フィルタリング装置は、ユーザの行動を示す行動情報を収集し、受信した情報の重要性を行動情報に基づいて判定する。情報フィルタリング装置は、有害でありかつ重要性が低いと判定した情報を除去する。

特開２００６−２０９３７９号公報

攻撃者が使用するアドレスは変化する可能性がある一方で、短期的には同様のアドレスを用いた標的型メール攻撃が繰り返し行われることが多い。そこで、組織内のユーザが標的型メール攻撃と疑われる電子メールを受け取った場合に、当該電子メールを検体メールとしてユーザからシステム管理部門に提供し、組織全体の情報セキュリティの向上に役立てる方法が考えられる。システム管理部門は、提供された検体メールに含まれる組織外のアドレスを要注意のアドレスと判断し、要注意のアドレスやそれに類似するアドレスを用いた通信を制限するセキュリティポリシーを生成することが考えられる。生成されたセキュリティポリシーは、各種の情報セキュリティ製品に対して動的に組み込まれる。

しかし、ユーザから提供される検体メールの中には、ユーザが誤って標的型メール攻撃であると判断した正当な電子メールが含まれている可能性がある。また、あるアドレスが攻撃者の使用するアドレスであっても、それに類似するアドレスは業務に使用される正当なアドレスである場合もある。よって、ユーザから提供された検体メールに基づいて生成したセキュリティポリシーを単純に適用してしまうと、正当な通信も制限してしまう過剰防衛が発生し、組織の通常の業務が阻害されてしまうおそれがある。

１つの側面では、本発明は、セキュリティポリシーの追加による業務への影響を低減できるポリシー設定装置、ポリシー設定方法およびポリシー設定プログラムを提供することを目的とする。

１つの態様では、記憶部と処理部とを有するポリシー設定装置が提供される。記憶部は、ユーザ宛ての電子メールのうちの１以上の検体電子メールと、過去に行われたユーザまたは他のユーザの通信を示す通信履歴とを記憶する。処理部は、検体電子メールの中から通信を制限する対象とする通信相手アドレスを抽出する。処理部は、通信履歴を参照して通信相手アドレスを用いた通信の頻度を示す頻度指標値を算出する。処理部は、通信相手アドレスを用いた通信を制限するルールを含み、頻度指標値が示す頻度が大きいほど有効期間が短くなるかまたは適用対象機器が少なくなるように設定したセキュリティポリシーを生成する。

また、１つの態様では、コンピュータが実行するポリシー設定方法が提供される。また、１つの態様では、コンピュータに実行させるポリシー設定プログラムが提供される。

１つの側面では、セキュリティポリシーの追加による業務への影響を低減できる。

第１の実施の形態のポリシー設定装置の例を示す図である。 第２の実施の形態の情報処理システムの例を示す図である。 管理サーバのハードウェア例を示すブロック図である。 ユーザ端末および管理サーバの機能例を示すブロック図である。 ログテーブルの例を示す図である。 通報履歴テーブルの例を示す図である。 パラメータテーブルの例を示す図である。 ポリシー判定テーブルの例を示す図である。 ポリシーデータの例を示す図である。 ポリシー生成の手順例を示すフローチャートである。

以下、本実施の形態を図面を参照して説明する。
［第１の実施の形態］
第１の実施の形態を説明する。

図１は、第１の実施の形態のポリシー設定装置の例を示す図である。
第１の実施の形態のポリシー設定装置１０は、標的型メール攻撃から情報処理システムを保護するために用いられるコンピュータである。ポリシー設定装置１０は、クライアントコンピュータでもよいしサーバコンピュータでもよい。ポリシー設定装置１０は、セキュリティ製品に適用するセキュリティポリシーを動的に生成する。セキュリティポリシーは、特定の通信相手アドレスを用いた通信を制限することを示す場合がある。

ポリシー設定装置１０は、記憶部１１および処理部１２を有する。記憶部１１は、ＲＡＭ（Random Access Memory）などの揮発性の記憶装置、または、ＨＤＤ（Hard Disk Drive）やフラッシュメモリなどの不揮発性の記憶装置である。処理部１２は、例えば、ＣＰＵ（Central Processing Unit）やＤＳＰ（Digital Signal Processor）などのプロセッサである。ただし、処理部１２は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの特定用途の電子回路を含んでもよい。プロセッサは、ＲＡＭなどのメモリに記憶されたプログラムを実行する。例えば、プロセッサはポリシー設定プログラムを実行する。なお、複数のプロセッサの集合を「マルチプロセッサ」または単に「プロセッサ」と言うことがある。

記憶部１１は、検体電子メール１３および通信履歴１４を記憶する。また、記憶部１１は、後述するように処理部１２が生成したセキュリティポリシー１５を記憶する。
検体電子メール１３は、ユーザが属する組織の外部から受信された当該ユーザ宛ての電子メールである。検体電子メールが２つ以上あってもよい。検体電子メール１３は、例えば、その宛先のユーザから検体として提供される。例えば、検体電子メール１３は、ユーザが使用する端末装置によって受信され、ユーザによって標的型メール攻撃であると判断された電子メールである。ただし、検体電子メール１３は、誤って標的型メール攻撃であると判断された正当な電子メールである可能性がある。

通信履歴１４は、過去に行われた通信の履歴である。通信履歴１４は、検体電子メール１３を提供したユーザの端末装置によって行われた通信の履歴を含んでもよい。また、通信履歴１４は、検体電子メール１３を提供したユーザと同じ組織に属する他のユーザの端末装置によって行われた通信の履歴を含んでもよい。通信履歴１４は、例えば、電子メールの受信履歴、電子メールの送信履歴、Ｗｅｂサイトのアクセス履歴などを含む。

電子メールの受信履歴には、例えば、送信元メールアドレス、送信元メールアドレスの一部分（ドメイン名など）、送信元メールサーバアドレス、または、送信元メールサーバアドレスの一部分（ドメイン名など）が含まれる。電子メールの送信履歴には、例えば、宛先メールアドレスまたはその一部分（ドメイン名など）が含まれる。Ｗｅｂサイトのアクセス履歴には、例えば、アクセス先のＷｅｂサイトアドレス（ＵＲＬ（Uniform Resource Locator）など）またはその一部分（ドメイン名など）が含まれる。

セキュリティポリシー１５は、電子メールの送受信やＷｅｂサイトへのアクセスなどの通信を制限することが可能な電子機器に対して適用する設定情報である。ポリシー設定装置１０は、生成したセキュリティポリシー１５を組織内の適切な電子機器に配信する。例えば、セキュリティポリシー１５は、特定のアドレスを送信元アドレスに含む電子メールの閲覧や添付ファイルの開封を禁止することを示す場合がある。そのようなセキュリティポリシー１５は、ユーザが使用する端末装置やメールサーバに配信されることがある。また、例えば、セキュリティポリシー１５は、特定のアドレスをＵＲＬに含むＷｅｂサイトへのアクセスを禁止することを示す場合がある。そのようなセキュリティポリシー１５は、ユーザが使用する端末装置やプロキシサーバに配信されることがある。

セキュリティポリシー１５には、有効期間１５ｂや適用対象機器１５ｃが設定されることがある。有効期間１５ｂは、セキュリティポリシー１５が有効な期間であり、その範囲外ではセキュリティポリシー１５が無効になる。有効期間１５ｂは、開始時刻、終了時刻、有効日数などによって特定され得る。セキュリティポリシー１５に有効期間１５ｂの情報が含まれてもよい。適用対象機器１５ｃは、セキュリティポリシー１５が適用される電子機器であり、それ以外の電子機器にはセキュリティポリシー１５が適用されない。適用対象機器１５ｃは、組織の部署名、ユーザ名、電子機器の種類などによって特定され得る。セキュリティポリシー１５に適用対象機器１５ｃの情報が含まれてもよい。

処理部１２は、検体電子メール１３の中から、通信を制限する対象とする通信相手アドレス１３ａを抽出する。通信相手アドレス１３ａは、ユーザが属する組織の外部で使用されるアドレスであり、検体電子メール１３の宛先メールアドレス以外の箇所に記載されている。例えば、通信相手アドレス１３ａは、ヘッダに記載された送信元メールアドレス、送信元メールアドレスの一部分（ドメイン名など）、送信元メールサーバアドレス、または、送信元メールサーバアドレスの一部分（ドメイン名など）である。また、例えば、通信相手アドレス１３ａは、本文にリンク先として記載されたＷｅｂサイトアドレス（ＵＲＬなど）またはその一部分（ドメイン名など）である。

処理部１２は、通信履歴１４を参照して、通信相手アドレス１３ａを用いた通信の頻度を示す頻度指標値を算出する。例えば、処理部１２は、通信相手アドレス１３ａを宛先メールアドレスに含む電子メールの送信頻度（一定期間内の送信回数など）から頻度指標値を算出する。また、例えば、処理部１２は、通信相手アドレス１３ａを送信元メールアドレスまたは送信元メールサーバアドレスに含む電子メールの受信頻度（一定期間内の受信回数など）から頻度指標値を算出する。また、例えば、処理部１２は、通信相手アドレス１３ａをＷｅｂサイトアドレスに含むＷｅｂサイトへのアクセス頻度（一定期間内のアクセス回数など）から頻度指標値を算出する。この頻度指標値は、通信相手アドレス１３ａを用いた通信を制限した場合の業務への影響度を表していると言うことができる。

処理部１２は、通信相手アドレス１３ａを用いた通信を制限することを示すルール１５ａを含むセキュリティポリシー１５を生成する。このとき、処理部１２は、上記の頻度指標値に基づいて、有効期間１５ｂおよび適用対象機器１５ｃの少なくとも一方をセキュリティポリシー１５に対して設定する。有効期間１５ｂについては、処理部１２は、頻度指標値が示す頻度が大きいほど（影響度が大きいほど）有効期間１５ｂが短くなるように設定し、頻度指標値が示す頻度が小さいほど（影響度が小さいほど）有効期間１５ｂが長くなるように設定する。適用対象機器１５ｃについては、処理部１２は、頻度指標値が示す頻度が大きいほど適用対象機器１５ｃが少なくなるように設定し、頻度指標値が示す頻度が小さいほど適用対象機器１５ｃが多くなるように設定する。適用対象機器１５ｃを少なくすることは、例えば、セキュリティポリシー１５を適用する部署、ユーザ、電子機器の種類などを限定することによって実現される。

第１の実施の形態のポリシー設定装置１０によれば、ユーザから提供された検体電子メール１３に含まれる通信相手アドレス１３ａを制限対象アドレスとする場合に、通信相手アドレス１３ａを用いた過去の通信頻度が算出される。そして、過去の通信頻度が大きいほど有効期間１５ｂが短くなるよう設定されるか、または、過去の通信頻度が大きいほど適用対象機器１５ｃが少なくなるよう設定される。これにより、通信相手アドレス１３ａを用いた通信を制限することを示すセキュリティポリシー１５を追加することによる過剰防衛を抑制し、正当な業務が阻害されるという影響を低減できる。

例えば、検体電子メール１３が誤って標的型メール攻撃であると判断された正当な電子メールである場合、検体電子メール１３と同一または類似する他の検体電子メールが後に提供される可能性は低い。そのため、有効期間１５ｂを限定すれば、有効期間１５ｂが更新されずにセキュリティポリシー１５が早期に無効になると期待される。一方、検体電子メール１３が標的型メール攻撃を目的とするものである場合、検体電子メール１３と同一または類似する他の検体電子メールが後に提供される可能性が高い。そのため、有効期間１５ｂが延長されてセキュリティポリシー１５が継続して適用されると期待される。

また、例えば、適用対象機器１５ｃを限定することで、業務への影響が相対的に大きい特定の部署についてはセキュリティポリシー１５の適用を保留しつつ、別の部署でセキュリティポリシー１５を試用することが可能となる。このような特定の部署には、検体電子メール１３と同一または類似する他の検体電子メールが後に提供されてからセキュリティポリシー１５を適用することが考えられる。すなわち、検体電子メール１３が誤って標的型メール攻撃であると判断された正当な電子メールである場合には、業務への影響が相対的に大きい特定の部署にはセキュリティポリシー１５が適用されないと期待される。

［第２の実施の形態］
次に、第２の実施の形態を説明する。
図２は、第２の実施の形態の情報処理システムの例を示す図である。

第２の実施の形態の情報処理システムは、管理サーバ１００、ユーザ端末２００，２００ａ，２００ｂおよび管理者端末２００ｃを有する。管理サーバ１００、ユーザ端末２００，２００ａ，２００ｂおよび管理者端末２００ｃは、同一の組織内で使用される装置である。管理サーバ１００、ユーザ端末２００，２００ａ，２００ｂおよび管理者端末２００ｃは、ローカルネットワークであるネットワーク３０に接続されている。

管理サーバ１００は、ユーザ端末２００，２００ａ，２００ｂのセキュリティ対策を支援するサーバコンピュータである。管理サーバ１００は、電子メールを利用して組織の秘密情報を不正に取得する標的型メール攻撃からユーザ端末２００，２００ａ，２００ｂを保護する。管理サーバ１００は、ユーザ端末２００，２００ａ，２００ｂから、標的型メール攻撃であると疑われる電子メール（不審メール）を検体メールとして収集する。

管理サーバ１００は、管理者端末２００ｃからの指示に応じて、収集した検体メールを用いてセキュリティポリシー（単に「ポリシー」と言うことがある）を生成する。ポリシーには、受信した電子メールが標的型メール攻撃に関する危険な電子メールであるか判断するためのルールが含まれる。また、ポリシーには、アクセス先のＷｅｂサイトが標的型メール攻撃に関する危険なＷｅｂサイトであるか判断するためのルールが含まれる。管理サーバ１００は、ポリシーをユーザ端末２００，２００ａ，２００ｂに配信する。

ユーザ端末２００，２００ａ，２００ｂは、組織に属するユーザが使用するクライアントコンピュータである。ユーザ端末２００，２００ａ，２００ｂは、ユーザの操作に応じて、組織の外部から送信された電子メールを受信することがある。このとき、ユーザ端末２００，２００ａ，２００ｂは、管理サーバ１００から配信されたポリシーに基づいて、受信した電子メールが危険な電子メールであるか判断して危険な電子メールの閲覧を制限する。また、ユーザ端末２００，２００ａ，２００ｂは、受信した電子メールが標的型メール攻撃を目的とした電子メールであるとユーザが判断したとき、ユーザの操作に応じて、受信した電子メールを検体メールとして管理サーバ１００に提供する。

また、ユーザ端末２００，２００ａ，２００ｂは、ユーザの操作に応じて、組織の外部のＷｅｂサイトにアクセスすることがある。このとき、ユーザ端末２００，２００ａ，２００ｂは、管理サーバ１００から配信されたポリシーに基づいて、アクセス先のＷｅｂサイトが危険なＷｅｂサイトであるか判断して危険なＷｅｂサイトへのアクセスを制限する。危険なＷｅｂサイトのアクセスは、標的型メール攻撃を目的とした電子メールの中に記載されているハイパーリンクをユーザが選択することで発生することがある。

管理者端末２００ｃは、組織の情報処理システムを管理する管理者が使用するクライアントコンピュータである。管理者端末２００ｃは、管理者の操作に応じて管理サーバ１００にアクセスし、ポリシーの生成やユーザ端末２００，２００ａ，２００ｂへのポリシーの配信を管理サーバ１００に指示する。収集された検体メールからポリシーを生成する過程で管理者の判断（例えば、不審メールの絞り込みなど）を要する場合、管理者は管理者端末２００ｃを通じて管理サーバ１００に適宜指示を送る。

図３は、管理サーバのハードウェア例を示すブロック図である。
管理サーバ１００は、ＣＰＵ１０１、ＲＡＭ１０２、ＨＤＤ１０３、画像信号処理部１０４、入力信号処理部１０５、媒体リーダ１０６および通信インタフェース１０７を有する。上記ユニットはバスに接続される。ユーザ端末２００，２００ａ，２００ｂおよび管理者端末２００ｃも、管理サーバ１００と同様のハードウェアを用いて実装できる。

ＣＰＵ１０１は、プログラムの命令を実行する演算回路を含むプロセッサである。ＣＰＵ１０１は、ＨＤＤ１０３に記憶されたプログラムやデータの少なくとも一部をＲＡＭ１０２にロードし、プログラムを実行する。なお、ＣＰＵ１０１は複数のプロセッサコアを備えてもよく、管理サーバ１００は複数のプロセッサを備えてもよく、以下の処理を複数のプロセッサまたはプロセッサコアを用いて並列に実行してもよい。また、複数のプロセッサの集合を「マルチプロセッサ」または単に「プロセッサ」と言うことがある。

ＲＡＭ１０２は、ＣＰＵ１０１が実行するプログラムやＣＰＵ１０１が演算に用いるデータを一時的に記憶する揮発性の半導体メモリである。なお、管理サーバ１００は、ＲＡＭ以外の種類のメモリを備えてもよく、複数個のメモリを備えてもよい。

ＨＤＤ１０３は、ＯＳ（Operating System）やミドルウェアやアプリケーションソフトウェアなどのソフトウェアのプログラム、および、データを記憶する不揮発性の記憶装置である。プログラムにはポリシー設定プログラムが含まれる。なお、管理サーバ１００は、フラッシュメモリやＳＳＤ（Solid State Drive）などの他の種類の記憶装置を備えてもよく、複数の不揮発性の記憶装置を備えてもよい。

画像信号処理部１０４は、ＣＰＵ１０１からの命令に従って、管理サーバ１００に接続されたディスプレイ４１に画像を出力する。ディスプレイ４１としては、ＣＲＴ（Cathode Ray Tube）ディスプレイ、液晶ディスプレイ（ＬＣＤ：Liquid Crystal Display）、プラズマディスプレイ、有機ＥＬ（ＯＥＬ：Organic Electro-Luminescence）ディスプレイなど、任意の種類のディスプレイを用いることができる。

入力信号処理部１０５は、管理サーバ１００に接続された入力デバイス４２から入力信号を取得し、ＣＰＵ１０１に出力する。入力デバイス４２としては、マウスやタッチパネルやタッチパッドやトラックボールなどのポインティングデバイス、キーボード、リモートコントローラ、ボタンスイッチなどを用いることができる。また、管理サーバ１００に複数の種類の入力デバイスが接続されていてもよい。

媒体リーダ１０６は、記録媒体４３に記録されたプログラムやデータを読み取る読み取り装置である。記録媒体４３として、例えば、磁気ディスク、光ディスク、光磁気ディスク（ＭＯ：Magneto-Optical disk）、半導体メモリなどを使用できる。磁気ディスクには、フレキシブルディスク（ＦＤ：Flexible Disk）やＨＤＤが含まれる。光ディスクには、ＣＤ（Compact Disc）やＤＶＤ（Digital Versatile Disc）が含まれる。

媒体リーダ１０６は、例えば、記録媒体４３から読み取ったプログラムやデータを、ＲＡＭ１０２やＨＤＤ１０３などの他の記録媒体にコピーする。読み取られたプログラムは、例えば、ＣＰＵ１０１によって実行される。なお、記録媒体４３は可搬型記録媒体であってもよく、プログラムやデータの配布に用いられることがある。また、記録媒体４３やＨＤＤ１０３を、コンピュータ読み取り可能な記録媒体と言うことがある。

通信インタフェース１０７は、ネットワーク３０に接続され、ネットワーク３０を介して他のノードと通信を行うインタフェースである。通信インタフェース１０７は、例えば、スイッチなどの通信装置とケーブルで接続される有線通信インタフェースである。ただし、基地局と無線リンクで接続される無線通信インタフェースでもよい。

図４は、ユーザ端末および管理サーバの機能例を示すブロック図である。
ユーザ端末２００は、ポリシー記憶部２１１、行動ログ記憶部２１２、メーラー２２１、Ｗｅｂブラウザ２２２、メールチェッカー２２３、Ｗｅｂアクセスチェッカー２２４および共有情報提供部２２５を有する。ポリシー記憶部２１１および行動ログ記憶部２１２は、例えば、ＲＡＭまたはＨＤＤに確保した記憶領域を用いて実装される。メーラー２２１、Ｗｅｂブラウザ２２２、メールチェッカー２２３、Ｗｅｂアクセスチェッカー２２４および共有情報提供部２２５は、例えば、プログラムを用いて実装される。ユーザ端末２００ａ，２００ｂも、ユーザ端末２００と同様のブロック構成を有する。

ポリシー記憶部２１１は、管理サーバ１００から受信したポリシーデータを記憶する。ポリシー記憶部２１１が記憶するポリシーデータには、組織外から受信した電子メールをフィルタリングするためのポリシーデータと、組織外のＷｅｂサイトへのアクセスをフィルタリングするためのポリシーデータとが含まれる。前者のポリシーデータには、不正な電子メールの特徴を示すルールが記載されている。後者のポリシーデータには、不正なＷｅｂサイトのＷｅｂサイトアドレスの特徴を示すルールが記載されている。

行動ログ記憶部２１２は、ユーザ端末２００が行った通信の履歴を示す行動ログを記憶する。行動ログ記憶部２１２が記憶する行動ログには、電子メールの送信履歴を示す送信ログと、電子メールの受信履歴を示す受信ログが含まれる。また、行動ログには、Ｗｅｂサイトのアクセス履歴を示すＷｅｂログが含まれる。

メーラー２２１は、ユーザの操作に応じて電子メールの送信、電子メールの受信、受信した電子メールの保存や表示などのメール処理を行うアプリケーションソフトウェアである。メーラー２２１は、組織内または組織外のメールサーバに対して電子メールを送信する。また、メーラー２２１は、組織内または組織外のメールサーバにアクセスし、当該メールサーバに保存されている自ユーザ宛ての電子メールを受信する。

Ｗｅｂブラウザ２２２は、ユーザの操作に応じてＷｅｂページを表示するアプリケーションソフトウェアである。Ｗｅｂブラウザ２２２は、組織外のＷｅｂサーバに対してＵＬＲなどのＷｅｂサイトアドレスを指定したリクエストを送信し、ＨＴＭＬ（HyperText Markup Language）文書などのデータをＷｅｂサーバから受信する。Ｗｅｂブラウザ２２２は、受信したデータに基づいてＷｅｂページを描画して表示する。

メールチェッカー２２３は、メーラー２２１が電子メールを受信したとき、ポリシー記憶部２１１に記憶されているポリシーデータに基づいて、受信した電子メールが標的型メール攻撃を目的とする不正な電子メールであるか判定する。不正な電子メールであると判定した場合、メールチェッカー２２３は、ポリシーデータが指定する方法によって当該電子メールの閲覧を制限する。例えば、メールチェッカー２２３は、受信された電子メールが不正な電子メールである可能性がある旨の警告メッセージを表示する。また、例えば、メールチェッカー２２３は、当該電子メールを通常の受信フォルダではなく迷惑メール用の受信フォルダに隔離し、当該電子メールの閲覧を禁止する。また、例えば、メールチェッカー２２３は、当該電子メールの添付ファイルの開封を禁止する。

また、メールチェッカー２２３は、ある電子メールを標的型メール攻撃であるとユーザが判断したとき、当該ユーザから通報の指示を受け付けることがある。通報する電子メールは、メールチェッカー２２３が標的型メール攻撃の可能性があると判定した電子メールであることもあるし、そのように判定しなかった電子メールであることもある。メールチェッカー２２３は、指定された電子メールを共有情報提供部２２５に提供する。ここで、メールチェッカー２２３は、電子メールとポリシーデータに含まれるルールとを照合するとき、ルールの適合度を示すチェッカー精度を算出する。メールチェッカー２２３は、通報する電子メールと合わせてチェッカー精度を共有情報提供部２２５に提供する。

また、メールチェッカー２２３は、メーラー２２１による電子メールの送信を監視し、電子メールの送信履歴を示す送信ログを行動ログ記憶部２１２に保存する。また、メールチェッカー２２３は、メーラー２２１による電子メールの受信を監視し、電子メールの受信履歴を示す受信ログを行動ログ記憶部２１２に保存する。

Ｗｅｂアクセスチェッカー２２４は、Ｗｅｂブラウザ２２２が組織外のＷｅｂサイトにアクセスしようとしたとき、ポリシー記憶部２１１に記憶されているポリシーデータに基づいて、アクセス先が不正なＷｅｂサイトであるか判定する。不正なＷｅｂサイトであると判定した場合、Ｗｅｂアクセスチェッカー２２４は、ポリシーデータが指定する方法によって当該Ｗｅｂサイトへのアクセスを制限する。例えば、Ｗｅｂアクセスチェッカー２２４は、アクセス先のＷｅｂサイトが不正である旨の警告メッセージを表示する。また、例えば、Ｗｅｂアクセスチェッカー２２４は、Ｗｅｂブラウザ２２２が生成したリクエストを破棄することで当該Ｗｅｂサイトへのアクセスを禁止する。また、Ｗｅｂアクセスチェッカー２２４は、Ｗｅｂブラウザ２２２によるＷｅｂサイトへのアクセスを監視し、Ｗｅｂサイトのアクセス履歴を示すＷｅｂログを行動ログ記憶部２１２に保存する。

共有情報提供部２２５は、ユーザ端末２００が有する情報のうち組織内で共有することが好ましい情報を管理サーバ１００に送信する。共有情報提供部２２５は、メールチェッカー２２３から取得した電子メール、すなわち、ユーザが標的型メール攻撃であると判断し通報するよう指示した電子メールを、検体メールとして管理サーバ１００に提供する。このとき、共有情報提供部２２５は、検体メールと共にそのチェッカー精度も通知する。また、共有情報提供部２２５は、行動ログ記憶部２１２に蓄積された行動ログを管理サーバ１００に提供する。蓄積された行動ログは、定期的に管理サーバ１００に送信してもよいし、検体メールと合わせて管理サーバ１００に送信してもよい。

管理サーバ１００は、行動ログ記憶部１１１、通報履歴記憶部１１２、設定情報記憶部１１３、共有情報収集部１２１、不審メール抽出部１２２、ポリシー生成部１２３およびポリシー配信部１２４を有する。行動ログ記憶部１１１、通報履歴記憶部１１２および設定情報記憶部１１３は、例えば、ＲＡＭ１０２またはＨＤＤ１０３に確保した記憶領域を用いて実装される。共有情報収集部１２１、不審メール抽出部１２２、ポリシー生成部１２３およびポリシー配信部１２４は、例えば、プログラムを用いて実装される。

行動ログ記憶部１１１は、ユーザ端末２００，２００ａ，２００ｂから収集した行動ログを記憶する。行動ログ記憶部１１１が記憶する行動ログには、電子メールの送信履歴を示す送信ログと、電子メールの受信履歴を示す受信ログが含まれる。また、行動ログには、Ｗｅｂサイトのアクセス履歴を示すＷｅｂログが含まれる。

通報履歴記憶部１１２は、ユーザ端末２００，２００ａ，２００ｂのユーザが過去に標的型メール攻撃を通報した履歴を記憶する。通報履歴記憶部１１２に記憶される通報履歴には、ユーザ毎に当該ユーザが提供した検体メールの数が含まれる。また、通報履歴には、ユーザ毎に当該ユーザが提供した検体メールのうち、実際に標的型メール攻撃である可能性が高くポリシーデータ生成に利用された不審メールの数が含まれる。提供された検体メールの中から不審メールを抽出することは、不審メール抽出部１２２で行われる。

設定情報記憶部１１３は、不審メールからポリシーデータを生成するときに参照される設定情報を記憶する。設定情報には、受信した電子メールの閲覧を制限する方法、Ｗｅｂサイトへのアクセスを制限する方法、ポリシーデータの有効期間、ポリシーデータの配信を開始する条件、ポリシーデータの配信先を選択する方法などを決める手順を示す情報が含まれる。また、設定情報には、上記を決定するために使用される指標値を算出する方法や、指標値の算出に用いられるパラメータを示す情報が含まれる。これらの設定情報は、例えば、管理者によって作成されて予め設定情報記憶部１１３に格納される。

共有情報収集部１２１は、ユーザ端末２００，２００ａ，２００ｂから行動ログを受信し、受信した行動ログを行動ログ記憶部１１１に格納する。また、共有情報収集部１２１は、ユーザ端末２００，２００ａ，２００ｂから検体メールを受信する。

不審メール抽出部１２２は、共有情報収集部１２１が収集した検体メールの中から、ポリシーデータの生成に利用する不審メールを抽出する。このとき、不審メール抽出部１２２は、同一または類似の不審メールを不審メール群としてまとめて抽出するようにする。不審メールは、例えば、管理者によって検体メールの中から選択される。管理者は、収集された検体メールそれぞれを確認して標的型メール攻撃である可能性が高いか判断する。また、管理者は、標的型メール攻撃である可能性が高いと判断した検体メール相互の類似性から、検体メールのグループを判断する。不審メール抽出部１２２は、管理者が操作する管理者端末２００ｃからの指示に応じて不審メール群を抽出する。

また、不審メール抽出部１２２は、共有情報収集部１２１が収集した検体メールについての通報履歴を通報履歴記憶部１１２に格納する。不審メール抽出部１２２は、検体メール毎に当該検体メールを提供したユーザの通報メール数を１つ加算する。また、不審メール抽出部１２２は、不審メールとして抽出した検体メール毎に当該検体メールを提供したユーザの不審メール数を１つ加算する。

ポリシー生成部１２３は、設定情報記憶部１１３に記憶された設定情報を参照して、不審メール抽出部１２２が抽出した不審メールからポリシーデータを生成すると共に、生成したポリシーデータの配信先を決定する。このとき、ポリシー生成部１２３は、不審メールに記載された組織外のドメインを制限対象ドメインとして抽出し、制限対象ドメインとの通信を制限することを示すポリシーデータを生成することがある。

その場合、ポリシー生成部１２３は、制限対象ドメインについて、通信を制限することによる業務への影響を示す影響度と、制限対象ドメインが標的型メール攻撃に関するドメインであることの信頼性を示す確度とを算出する。ポリシー生成部１２３は、行動ログ記憶部１１１に記憶された行動ログに基づいて影響度を算出する。また、ポリシー生成部１２３は、不審メールとして抽出した検体メールと合わせて提供されたチェッカー精度および通報履歴記憶部１１２に記憶された通報履歴に基づいて、確度を算出する。ポリシー生成部１２３は、算出した影響度と確度の組み合わせに基づいて、ポリシーデータの有効期間の長さやポリシーデータの配信先の広さを自動的に調整する。

ポリシー配信部１２４は、ポリシー生成部１２３が生成したポリシーデータを、ポリシー生成部１２３が決定した配信先のユーザ端末に対して送信する。ポリシーデータの配信先は、組織内で使用されている全てのユーザ端末になることもあるし、特定の部署で使用されているユーザ端末に限定されることもあるし、特定のユーザが使用するユーザ端末に限定されることもある。ユーザ端末２００が配信先に含まれている場合、ポリシーデータがユーザ端末２００に送信されてポリシー記憶部２１１に格納される。

図５は、ログテーブルの例を示す図である。
行動ログ記憶部１１１は、Ｗｅｂログテーブル１１４を記憶する。Ｗｅｂログテーブル１１４は、ユーザ端末２００，２００ａ，２００ｂから組織外のＷｅｂサイトへのアクセスの履歴を示す。Ｗｅｂログテーブル１１４は、時刻、宛先ドメイン、閲覧時間、閲覧ページ数およびアクセス後行動の項目を有する。

時刻の項目には、Ｗｅｂサイトへのアクセスを開始した時刻、すなわち、ある宛先ドメインを指定した最初のリクエストを送信した時刻が登録される。宛先ドメインの項目には、アクセス先のＷｅｂサイトのＷｅｂサイトアドレスに含まれるドメインが登録される。宛先ドメインは、ＵＲＬに含まれるドメイン名でもよいし、Ｗｅｂサイトに対応するＷｅｂサーバのＩＰ（Internet Protocol）アドレスでもよい。

閲覧時間の項目には、Ｗｅｂブラウザ２２２が当該ＷｅｂサイトのＷｅｂページを表示していた時間（秒数）が登録される。同じ宛先ドメインに属する複数のＷｅｂページが連続して表示された場合には、それら複数のＷｅｂページの表示時間が合計される。閲覧ページ数の項目には、Ｗｅｂブラウザ２２２が連続して表示した当該ＷｅｂサイトのＷｅｂページの数が登録される。宛先ドメインが同じである限り、表示されるＷｅｂページが切り替わる毎に閲覧ページ数が１ずつ増加する。

アクセス後行動の項目には、Ｗｅｂブラウザ２２２が最初のリクエストを送信した後にユーザが行った行動の種類が登録される。アクセス後行動の種類には、「キャンセル」、「参照」、「リンク」および「ダウンロード」が含まれる。キャンセルは、最初のリクエストを送信した後すぐに（所定秒数以下で）Ｗｅｂページの表示を取りやめたことを表す。キャンセルは、アクセス先のＷｅｂサイトをすぐに変更した場合や、Ｗｅｂブラウザ２２２をすぐに閉じた場合に発生する。参照は、当該宛先ドメインについて１つのＷｅｂページのみを所定秒数より長く表示したことを表す。リンクは、ハイパーリンクを辿ることで宛先ドメインに属する複数のＷｅｂページを表示したことを表す。ダウンロードは、表示用データ以外のファイルをダウンロードしたことを表す。

また、行動ログ記憶部１１１は、送信ログテーブル１１５を記憶する。送信ログテーブル１１５は、ユーザ端末２００，２００ａ，２００ｂから組織の外部への電子メールの送信の履歴を示す。送信ログテーブル１１５は、時刻および宛先ドメインの項目を有する。時刻の項目には、電子メールを送信した時刻が登録される。宛先ドメインの項目には、宛先メールアドレスに含まれるドメインが登録される。

また、行動ログ記憶部１１１は、受信ログテーブル１１６を記憶する。受信ログテーブル１１６は、ユーザ端末２００，２００ａ，２００ｂによる組織の外部からの電子メールの受信の履歴を示す。受信ログテーブル１１６は、時刻、送信元ドメインおよびテキストの項目を有する。時刻の項目には、電子メールを受信した時刻が登録される。送信元ドメインの項目には、送信元アドレスに含まれるドメインが登録される。送信元アドレスは、送信元メールアドレスでもよいし送信に使用されたメールサーバのアドレスでもよい。メールサーバのドメインとしてはメールサーバのＩＰアドレスを用いてもよい。テキストの項目には、電子メールの本文に記載されているテキストが登録される。電子メールの本文からは、電子メールのヘッダおよび添付ファイルを除いてよい。

なお、Ｗｅｂログテーブル１１４は直近の所定期間（例えば、直近１ヶ月間）のアクセス履歴を保持すればよく、それより古いアクセス履歴はＷｅｂログテーブル１１４から削除してもよい。同様に、送信ログテーブル１１５は直近所定期間の送信履歴を保持すればよく、それより古い送信履歴は送信ログテーブル１１５から削除してもよい。また、受信ログテーブル１１６は直近所定期間の受信履歴を保持すればよく、それより古い受信履歴は受信ログテーブル１１６から削除してもよい。

図６は、通報履歴テーブルの例を示す図である。
通報履歴記憶部１１２は、通報履歴テーブル１１７を有する。通報履歴テーブル１１７は、ユーザ毎の検体メールの提供状況を示す。通報履歴テーブル１１７は、ユーザＩＤ、通報メール数および不審メール数の項目を有する。

ユーザＩＤの項目には、組織に属するユーザに割り当てられた識別子が登録される。通報メール数の項目には、あるユーザが管理サーバ１００に対して提供した検体メールの数が登録される。不審メール数の項目には、あるユーザが提供した検体メールのうち、標的型メール攻撃の可能性が高い不審メールと判断された数が登録される。不審メール数を通報メール数で割った割合は、ユーザの通報が正しかった割合を表している。

ここで、影響度および確度を算出する方法の例を説明する。
影響度は、例えば、次のように算出することができる。影響度＝α１×Ｗｅｂアクセス値＋α２×送信メール値＋α３×受信メール値＋α４×コンテンツ値。ここでα１，α２，α３，α４は重みを表すパラメータである。

Ｗｅｂアクセス値は、制限対象ドメインをアクセス先とする直近所定期間（例えば、１ヶ月間）のアクセス履歴から算出される。まず、アクセス回数×平均閲覧時間×平均閲覧ページ数が算出される。アクセス回数は、Ｗｅｂログテーブル１１４に記録されたレコードのうち制限対象ドメインを宛先ドメインに含むレコードの数である。平均閲覧時間は、該当するレコードに含まれる閲覧時間の平均である。平均閲覧ページ数は、該当するレコードに含まれる閲覧ページ数の平均である。そして、この値がＷｅｂアクセス閾値Ｔｈ１より大きい場合にＷｅｂアクセス値＝１と算出され、この値がＷｅｂアクセス閾値Ｔｈ１以下である場合にＷｅｂアクセス値＝０と算出される。

ただし、制限対象ドメインを宛先ドメインに含み、かつ、アクセス後行動が「ダウンロード」、「リンク」または「参照」であるレコードが存在する場合、上記のＷｅｂアクセス値に所定値が加算される。アクセス後行動が「ダウンロード」であるレコードが存在する場合、β１がＷｅｂアクセス値に加算される。アクセス後行動が「リンク」であるレコードが存在する場合、β２がＷｅｂアクセス値に加算される。アクセス後行動が「参照」であるレコードが存在する場合、β３がＷｅｂアクセス値に加算される。通常、「ダウンロード」は「リンク」より業務上の重要性が高いため、β１はβ２以上である。また、「リンク」は「参照」より業務上の重要性が高いため、β２はβ３以上である。

送信メール値は、制限対象ドメインを宛先アドレスに含む直近所定期間（例えば、１ヶ月間）の電子メールの送信履歴から算出される。まず、制限対象ドメインを宛先ドメインに含む電子メールの送信回数が算出される。そして、この送信回数が送信メール閾値Ｔｈ２より大きい場合に送信メール値＝１と算出され、この送信回数が送信メール閾値Ｔｈ２以下である場合に送信メール値＝０と算出される。

受信メール値は、制限対象ドメインを送信元アドレスに含む直近所定期間（例えば、１ヶ月間）の電子メールの受信履歴から算出される。まず、制限対象ドメインを送信元ドメインに含む電子メールの受信回数が算出される。そして、この受信回数が受信メール閾値Ｔｈ３より大きい場合に受信メール値＝１と算出され、この受信回数が受信メール閾値Ｔｈ３以下である場合に受信メール値＝０と算出される。

コンテンツ値は、直近所定期間（例えば、１ヶ月間）の電子メールの受信履歴から算出される。まず、不審メールから本文のテキスト（タイトルを含んでもよい）が抽出され、受信ログテーブル１１６に記録されたテキストそれぞれとの間で類似度が算出される。テキスト同士の類似度を算出する方法として、ｎ−ｇｒａｍ距離やレーベンシュタイン距離（編集距離）などを用いることができる。類似度が所定の閾値より高い（距離が閾値より小さい）受信メールが特定され、該当する受信メールの数が算出される。そして、この受信メール数がコンテンツ閾値Ｔｈ４より大きい場合にコンテンツ値＝１と算出され、この受信メール数がコンテンツ閾値Ｔｈ４以下である場合にコンテンツ値＝０と算出される。

確度は、例えば、次のように算出することができる。確度＝α５×チェッカー精度＋α６×通報信頼度。ここでα５，α６は重みを表すパラメータである。
チェッカー精度は、受信した電子メールが標的型メール攻撃の電子メールであるか否か判定するときにユーザ端末２００，２００ａ，２００ｂが算出した値であり、ポリシーデータに含まれるルールとの適合度を表す。同一または類似の２以上の不審メールが存在する場合、それら２以上の不審メールに対するチェッカー精度の平均が算出される。

ここで、ポリシーデータに含まれるルールは、標的型メール攻撃を目的とした電子メールが有する様々な特徴を規定している。ルールに規定される特徴の例として、送信元メールサーバのＩＰアドレス、送信元メールサーバのドメイン、送信時刻、送信時刻のタイムゾーン、送信日の曜日、送信メーラー、タイトルに含まれる文字列、宛先メールアドレスの組み合わせなどが挙げられる。チェッカー精度は、例えば、ルールに規定された複数の特徴のうち受信された電子メールがもつ特徴の割合とする。この場合、ルールに８個の特徴が列挙されており、受信された電子メールがそのうち５個の特徴を有しているとすると、チェッカー精度は６２．５％と算出される。チェッカー精度が閾値より大きい電子メールは、警告表示や開封禁止などのフィルタリングの対象となる。ただし、チェッカー精度の算出にあたっては、複数の特徴を重み付けしてもよい。

通報信頼度は、通報履歴テーブル１１７に記憶された通報履歴に基づいて算出される。まず、不審メールを提供したユーザのユーザＩＤが特定され、そのユーザＩＤに対応する通報メール数および不審メール数が通報履歴テーブル１１７から検索される。そして、通報メール数に対する不審メール数の割合が通報信頼度となる（通報信頼度＝不審メール数／通報メール数）。同一または類似の２以上の不審メールが存在する場合、それら２以上の不審メールに対応する２以上のユーザの通報信頼度が合計される。

なお、α１，α２，α３，α４の一部を０に設定することで、影響度の算出にＷｅｂアクセス値、送信メール値、受信メール値およびコンテンツ値の一部を使用しないようにすることができる。例えば、α４＝０とすれば、影響度の算出にテキストの類似度を考慮しないようにすることができる。また、α５，α６の何れか一方を０に設定することで、確度の算出にチェッカー精度と通報信頼度の何れか一方を使用しないようにすることができる。例えば、α５＝０とすれば、確度を通報信頼度のみから算出することができ、α６＝０とすれば、確度をチェッカー精度のみから算出することができる。

図７は、パラメータテーブルの例を示す図である。
設定情報記憶部１１３は、パラメータテーブル１１８を記憶する。パラメータテーブル１１８は、影響度の算出に用いられるパラメータと確度の算出に用いられるパラメータとを記憶する。影響度の算出に用いられるパラメータには、Ｗｅｂアクセス閾値Ｔｈ１、送信メール閾値Ｔｈ２、受信メール閾値Ｔｈ３およびコンテンツ閾値Ｔｈ４が含まれる。また、影響度の算出に用いられるパラメータには、ダウンロード加算値β１、リンク加算値β２および参照加算値β３が含まれる。また、影響度の算出に用いられるパラメータには、Ｗｅｂアクセス重みα１、送信メール重みα２、受信メール重みα３およびコンテンツ重みα４が含まれる。確度の算出に用いられるパラメータには、チェッカー精度重みα５および通報信頼度重みα６が含まれる。

図８は、ポリシー判定テーブルの例を示す図である。
設定情報記憶部１１３は、ポリシー判定テーブル１１９を記憶する。ポリシー判定テーブル１１９は、影響度および確度とポリシーデータの設定とを対応付ける。ポリシー判定テーブル１１９は、影響度、確度、配信条件、処理、期間および配信先の項目を有する。

影響度の項目には、影響度が大きいか小さいかを示すフラグが登録される。上記のような方法で算出した影響度と所定の閾値とが比較され、影響度が閾値より大きい場合に影響度「大」と判定され、影響度が閾値以下である場合に影響度「小」と判定される。確度の項目には、確度が高いか低いかを示すフラグが登録される。上記のような方法で算出した確度と所定の閾値とが比較され、確度が閾値より大きい場合に確度「高」と判定され、確度が閾値以下である場合に確度「小」と判定される。

配信条件の項目には、ポリシーデータを組織内のユーザ端末に配信する条件が登録される。例えば、提供された同一または類似の検体メールの数が一定数以上であることが配信条件とされる。配信条件を満たさない場合（例えば、検体メール数が少ない場合）、検体メールから抽出された制限対象アドレスを用いたポリシーデータは配信されない。

処理の項目には、ポリシーデータに抵触する通信の処理方法が登録される。処理方法には「警告」と「禁止」が含まれる。処理方法が「警告」である場合、例えば、ポリシーデータに抵触する電子メールが受信されたときや当該電子メールを開封しようとするときに警告メッセージが表示される。また、例えば、ポリシーデータに抵触するＷｅｂサイトへのアクセスが発生したときに警告メッセージが表示される。処理方法が「禁止」である場合、例えば、ポリシーデータに抵触する電子メールが受信されたときに当該電子メールが迷惑メール用フォルダに強制的に隔離されて開封が禁止される。また、例えば、ポリシーデータに抵触するＷｅｂサイトへのアクセスが強制的に遮断される。

期間の項目には、ポリシーデータが有効である期間が登録される。配信日から当該期間以上経過したポリシーデータは無効となり、当該ポリシーデータに基づくフィルタリングは行われなくなる。配信先の項目には、ポリシーデータを配信する宛先の範囲が登録される。配信先としては、例えば、組織内の全ユーザ端末（全体）、組織内の特定の部署のユーザ端末（部署限定）、検体メールを提供したユーザと業務上の関係が強いユーザのユーザ端末（関係者）などが挙げられる。特定の部署は、組織の外部との通信の必要性に応じて予め管理者が決めておく。例えば、情報システム部はポリシーデータの配信先に含め、外部との通信が多い営業部などは配信先から除外しておく。検体メールを提供したユーザの関係者は、例えば、当該ユーザと同一の部署に属するユーザである。

一例として、影響度が大きく確度が高い場合、配信条件を検体メール２つ以上とし、処理方法を警告とし、有効期間を２週間とし、配信先を部署限定とする。影響度が大きく確度が低い場合、配信条件を検体メール１つ以上とし、処理方法を警告とし、有効期間を１週間とし、配信先を部署限定とする。影響度が小さく確度が高い場合、配信条件を検体メール３つ以上とし、処理方法を禁止とし、有効期間を６ヶ月とし、配信先を全体とする。影響度が小さく確度が低い場合、配信条件を検体メール２つ以上とし、処理方法を禁止とし、有効期間を１ヶ月とし、配信先を関係者とする。

影響度が大きい（閾値を超えている）場合、影響度が小さい（閾値以下である）場合よりも有効期間が短いことが好ましい。また、影響度が大きい場合、影響度が小さい場合よりも配信先の範囲が狭いことが好ましい。確度が高い（閾値を超えている）場合、確度が低い（閾値以下である）場合よりも有効期間が長いことが好ましい。また、確度が高い場合、確度が低い場合よりも配信先の範囲が広いことが好ましい。

図９は、ポリシーデータの例を示す図である。
ポリシー記憶部２１１は、ポリシーデータ２１３を記憶する。ポリシーデータ２１３は、管理サーバ１００によって生成されユーザ端末２００に配信されたものである。ポリシーデータ２１３には、配信時刻、有効期限、ルールおよび処理方法が含まれる。配信時刻は、ポリシーデータ２１３が配信された時刻である。有効期限は、ポリシーデータ２１３の有効期間の末尾を示す時刻である。ルールは、フィルタリングする電子メールの特徴またはフィルタリングするＷｅｂアクセスの特徴を示すブラックリストである。ルールには、電子メールの特徴として送信元ドメインが含まれることがある。また、ルールには、Ｗｅｂアクセスの特徴として宛先ドメインが含まれることがある。処理方法は、ルールに適合する電子メールまたはＷｅｂアクセスのフィルタリング方法である。

次に、管理サーバ１００の処理手順の例を説明する。
図１０は、ポリシー生成の手順例を示すフローチャートである。
（Ｓ１０）不審メール抽出部１２２は、ユーザ端末２００，２００ａ，２００ｂから収集した検体メールの中から、標的型メール攻撃である可能性が高く互いの内容が同一または類似している不審メール群を抽出する。不審メール抽出部１２２は、例えば、管理者端末２００ｃからの指示に応じて不審メール群を選択する。ただし、不審メール抽出部１２２は、所定の判定ルールに基づいて、各検体メールについて標的型メール攻撃である可能性を自動的に判定してもよい。また、不審メール抽出部１２２は、不審メール間でテキストを比較することで内容の同一性を自動的に判定してもよい。

（Ｓ１１）不審メール抽出部１２２は、通報履歴記憶部１１２に記憶された通報履歴テーブル１１７を更新する。すなわち、不審メール抽出部１２２は、検体メールそれぞれについて当該検体メールを提供したユーザに対応する通報メール数を１つ加算する。また、不審メール抽出部１２２は、検体メールの中から抽出した不審メールそれぞれについて当該不審メールを提供したユーザに対応する不審メール数を１つ加算する。

（Ｓ１２）ポリシー生成部１２３は、ステップＳ１０で抽出された不審メール群から、それら不審メール群に共通に含まれている組織外のドメインを制限対象ドメインとして抽出する。制限対象ドメインは、例えば、不審メールのヘッダ部に記載された送信元メールアドレスまたは送信元メールサーバアドレスに含まれる。また、制限対象ドメインは、例えば、不審メールの本文（ボディ部）に記載されたＵＲＬに含まれる。

（Ｓ１３）ポリシー生成部１２３は、ステップＳ１２で抽出した制限対象ドメインに関する直近の所定期間内の行動ログを行動ログ記憶部１１１から検索する。ポリシー生成部１２３は、Ｗｅｂログテーブル１１４から、制限対象ドメインを宛先ドメインとするＷｅｂログを検索する。また、ポリシー生成部１２３は、送信ログテーブル１１５から、制限対象ドメインを宛先ドメインとする送信ログを検索する。また、ポリシー生成部１２３は、受信ログテーブル１１６から、制限対象ドメインを送信元ドメインとする受信ログを検索する。また、ポリシー生成部１２３は、不審メールから本文のテキストを抽出し、受信ログテーブル１１６からテキストが類似する受信ログを検索する。

（Ｓ１４）ポリシー生成部１２３は、ステップＳ１３で検索した行動ログを用いて影響度を算出する。ポリシー生成部１２３は、検索されたＷｅｂログの数（レコード数）と閲覧時間の平均と閲覧ページ数の平均からＷｅｂアクセス値を算出する。このとき、ポリシー生成部１２３は、アクセス後行動に応じてダウンロード加算値、リンク加算値または参照加算値をＷｅｂアクセス値に加える。また、ポリシー生成部１２３は、検索された送信ログの数（レコード数）から送信メール値を算出する。また、ポリシー生成部１２３は、検索された受信ログの数（レコード数）から受信メール値およびコンテンツ値を算出する。ポリシー生成部１２３は、Ｗｅｂアクセス値と送信メール値と受信メール値とコンテンツ値の重み付き和によって影響度を算出する。

（Ｓ１５）ポリシー生成部１２３は、通報履歴記憶部１１２に記憶された通報履歴テーブル１１７から、検体メールを提供したユーザに対応する通報履歴を検索する。通報履歴は、通報メール数と不審メール数とを含む。ステップＳ１０で２以上の不審メールが抽出された場合、ポリシー生成部１２３は、２以上のユーザそれぞれの通報履歴を検索する。

（Ｓ１６）ポリシー生成部１２３は、ステップＳ１５で検索した通報履歴に基づいて通報信頼度を算出する。通報信頼度は、通報メール数に対する不審メール数の割合とする。ステップＳ１０で２以上の不審メールが抽出された場合、２以上のユーザの通報信頼度が合計される。また、ポリシー生成部１２３は、不審メールと合わせて提供されたチェッカー精度を取得する。ステップＳ１０で２以上の不審メールが抽出された場合、２以上の不審メールに対するチェッカー精度の平均が算出される。そして、ポリシー生成部１２３は、チェッカー精度と通報信頼度の重み付き和によって確度を算出する。

（Ｓ１７）ポリシー生成部１２３は、設定情報記憶部１１３に記憶されたポリシー判定テーブル１１９を参照して、ステップＳ１４，Ｓ１６で算出した影響度と確度の組から、配信条件、処理方法、有効期間および配信先を決定する。

（Ｓ１８）ポリシー生成部１２３は、ステップＳ１０で抽出された不審メールの数が、ステップＳ１７で決定した配信条件を満たすか判断する。配信条件を満たす場合はステップＳ１９に処理が進み、配信条件を満たさない場合は処理が終了する。

（Ｓ１９）ポリシー生成部１２３は、ステップＳ１０で抽出された不審メール群に基づいて、不審メール群に共通の特徴を示すルールを生成する。ルールには、ステップＳ１２で抽出された制限対象ドメインが含まれ得る。そして、ポリシー生成部１２３は、生成したルール、ステップＳ１７で決定した処理方法、および、ステップＳ１７で決定した有効期間に応じた有効期限を含むポリシーデータを生成する。

（Ｓ２０）ポリシー配信部１２４は、ステップＳ１９で生成したポリシーデータを、ステップＳ１７で決定した配信先に対して配信する。
なお、上記では管理サーバ１００が影響度および確度を算出したが、検体メールの提供時にユーザ端末２００，２００ａ，２００ｂが影響度および確度の少なくとも一方を算出するようにしてもよい。例えば、ユーザ端末２００が、検体メールを提供するとき、ユーザ端末２００に記憶された行動ログに基づいて影響度を算出することが考えられる。また、行動ログを複数の時間帯に分類して時間帯毎の影響度を算出するようにしてもよい。その場合、時間帯によって処理方法や有効期間を変えることができる。また、行動ログを複数の部署に分類して部署毎の影響度を算出するようにしてもよい。その場合、部署によって処理方法や有効期間を変えることができる。

第２の実施の形態の情報処理システムによれば、検体メールに記載された通信相手ドメインを制限対象ドメインとする場合、制限対象ドメインに関する通信履歴から影響度が算出される。また、メールチェッカーにより算出されたチェッカー精度やユーザの通報履歴から確度が算出される。そして、影響度と確度の組に応じて、ポリシーデータの有効期間や配信先範囲が調整される。例えば、影響度が大きいほど有効期間や配信先範囲が限定され、影響度が小さいほど有効期間や配信先範囲が拡大する。また、例えば、確度が高いほど有効期間や配信先範囲が拡大し、確度が低いほど有効期間や配信先範囲が限定される。

これにより、ポリシーデータを追加することによる過剰防衛を抑制し、正当な業務が阻害されるという影響を低減することができる。例えば、ユーザが正当な電子メールを誤って検体メールとして提供した場合であっても、業務への影響を限定することができる。また、攻撃者が使用するアドレスと類似するアドレスが正当な業務において使用されている場合であっても、業務への影響を限定することができる。また、検体メールが標的型メール攻撃を目的とする電子メールである場合には、同一または類似の検体メールが引き続き提供される可能性が高く、ポリシーデータの継続的な更新によって標的型メール攻撃に対するセキュリティを確保することができると期待される。

１０ ポリシー設定装置
１１ 記憶部
１２ 処理部
１３ 検体電子メール
１３ａ 通信相手アドレス
１４ 通信履歴
１５ セキュリティポリシー
１５ａ ルール
１５ｂ 有効期間
１５ｃ 適用対象機器

Claims (5)

1. ユーザ宛ての電子メールのうちの１以上の検体電子メールと、過去に行われた前記ユーザまたは他のユーザの通信を示す通信履歴とを記憶する記憶部と、
   前記検体電子メールの中から通信を制限する対象とする通信相手アドレスを抽出し、前記通信履歴を参照して前記通信相手アドレスを用いた通信の頻度を示す頻度指標値を算出し、前記通信相手アドレスを用いた通信を制限するルールを含み、前記頻度指標値が示す頻度が大きいほど有効期間が短くなるかまたは適用対象機器が少なくなるように設定したセキュリティポリシーを生成する処理部と、
   を有するポリシー設定装置。
2. 前記頻度指標値の算出では、前記処理部は、前記通信相手アドレスを宛先アドレスに含む電子メールの送信頻度、前記通信相手アドレスを送信元アドレスに含む電子メールの受信頻度、および、前記通信相手アドレスをＷｅｂサイトアドレスに含むＷｅｂサイトのアクセス頻度のうちの少なくとも１つに基づいて前記頻度指標値を算出する、
   請求項１記載のポリシー設定装置。
3. 前記記憶部は更に、前記検体電子メールの数およびセキュリティポリシーの生成に使用された前記ユーザ宛ての検体電子メールの数を示す検体履歴を記憶し、
   前記処理部は更に、前記検体履歴を参照して、提供された前記検体電子メールの信頼度を示す信頼度指標値を算出し、
   前記セキュリティポリシーの生成では、前記処理部は、前記信頼度指標値が示す信頼度が高いほど有効期間が長くなるかまたは前記信頼度指標値が示す信頼度が高いほど適用対象機器が多くなるように前記セキュリティポリシーを設定する、
   請求項１記載のポリシー設定装置。
4. コンピュータが実行するポリシー設定方法であって、
   ユーザ宛ての電子メールのうちの１以上の検体電子メールの中から、通信を制限する対象とする通信相手アドレスを抽出し、
   過去に行われた前記ユーザまたは他のユーザの通信を示す通信履歴を参照して、前記通信相手アドレスを用いた通信の頻度を示す頻度指標値を算出し、
   前記通信相手アドレスを用いた通信を制限するルールを含み、前記頻度指標値が示す頻度が大きいほど有効期間が短くなるか、または、適用対象機器が少なくなるように設定したセキュリティポリシーを生成する、
   ポリシー設定方法。
5. コンピュータに、
   ユーザ宛ての電子メールのうちの１以上の検体電子メールの中から、通信を制限する対象とする通信相手アドレスを抽出し、
   過去に行われた前記ユーザまたは他のユーザの通信を示す通信履歴を参照して、前記通信相手アドレスを用いた通信の頻度を示す頻度指標値を算出し、
   前記通信相手アドレスを用いた通信を制限するルールを含み、前記頻度指標値が示す頻度が大きいほど有効期間が短くなるか、または、適用対象機器が少なくなるように設定したセキュリティポリシーを生成する、
   処理を実行させるポリシー設定プログラム。

Images