JP2018151739A

JP2018151739A - メール配送装置およびＷｅｂプロキシサーバ

Info

Publication number: JP2018151739A
Application number: JP2017045986A
Authority: JP
Inventors: 飛日藤原; Asuka Fujiwara
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2017-03-10
Filing date: 2017-03-10
Publication date: 2018-09-27
Anticipated expiration: 2037-03-10
Also published as: JP6418422B2

Abstract

【課題】組織内の利用者が多くなると、不正又は脅威メールによる悪影響を防止するために、専用のアプリケーションを利用者毎に導入すること、或いは、Ｗｅｂプロキシサーバによってアクセス制限することは費用、手間がかかる。【解決手段】受信したメールのプロトコル情報を参照して、当該メールのコマンド情報を検査処理することによって、当該メールの脅威の有無を検査処理する検査処理部を備えたメール配送サーバが得られる。【選択図】図１

Description

本発明はメール配送装置及びＷｅｂプロキシサーバに関する。

一般に、メール中に悪意のあるサイトへのURL（Uniform Resource Locator）を含めるような攻撃手法は存在している。具体的に説明すると、所謂標的型攻撃と呼ばれる手法を使った脅威が広く存在しており、利用者宛てに有害なURL等を含むメールを送付し、利用者の不注意等でこれらにアクセスすることで侵入を試みるといった攻撃手法が問題とされている。

この場合、アクセス先が有害かどうかを一利用者が判断するのは難しいため、利用者毎に専用のアプリケーションを導入する方法、或いは、Ｗｅｂプロキシサーバを導入する方法による対策が提案されている。

前者の方法では、実際に悪意のあるサイトから受信したデータやプログラムに脅威が存在しないかどうかを専用のアプリケーションを使って、判定・予防している。

一方、後者の方法では、Ｗｅｂプロキシサーバの運用者が個別にアクセス先を制限するように設定を変更するか、或いは、外部のアクセス制限リストを参照することによって、有害メールに対する応答を制限している。

しかしながら、専用のアプリケーションを導入する方法は、導入・運用のための費用・手間が大きい。このことは、組織の規模が大きくなればなるほど、導入に費用が掛かることを意味している。また、適切に検出パターンや検出用エンジンの更新を行うといった運用を徹底する必要があり、一部の利用者において更新ができていないために攻撃を成功させてしまうという問題もあった。

他方、組織内から外部のＷｅｂサイトに対するアクセスの際、Ｗｅｂプロキシサーバを使用する方法は、運用者による制限あるいは外部のアクセス制限リストの更新までの時間差が存在するという問題があり、これらの費用、手間、時間差を低減させることが課題であった。

また、特許文献１は、メールを受信した利用者が悪意のあるサイトへアクセスするのを防止する方法を記載している。具体的には、この方法は、受信したメール中のURLを抽出し、予め定められたURL判定条件を用いて当該URLが悪意のあるサイトであるか否かを判定するメールサーバを使用している。当該メールサーバにおけるURL判定条件として、全て１バイト文字で表現されていること、及び全て大文字若しくは小文字で表現されていることが挙げられている。上記２種類の判定条件を満足しない受信メールは誘導URLの可能性ありと判定している。

更に、特許文献１では、誘導URLに関するデータは誘導URLデータベースに登録しておき、Ｗｅｂサーバへのアクセス要求があった場合、プロキシサーバによって誘導URLデータベースを検索し、誘導URLが存在した場合、利用者に誘導URLのドメイン名、IP（Internet Protocol）アドレス等を送信している。したがって、特許文献１では、受信メールの妥当性の判断は利用者に任せている。

特許文献２は、電子メール本文中及び添付ファイル中のURLを抽出しておき、抽出されたすべての当該URLへのアクセスにおいて都度セキュアプロキシサーバを利用して安全性を確認するシステムを開示している。

特開２００７−２５７８９号公報特開２０１３−２４６４７４号公報

本発明の課題は、各利用者に専用のアプリケーションを導入する必要がないメール配送装置（サーバ）を提供することである。

本発明の他の課題は、メールの脅威をURLの抽出以外の手法により検出するメール配送サーバ、当該メール配送サーバを含む通信システムを提供することである。

本発明の別の課題は、設定操作の実施やアクセス制限リストの更新を待つことなく効果的に脅威を防ぐことができるＷｅｂプロキシサーバを提供することである。

本発明は、脅威を含む可能性のあるURLを含むメール自身を、メール配送装置で検査し、当該検査結果に基づいてURLを抽出し、当該メール配送装置をＷｅｂプロキシサーバと連動させることによって、脅威メールによる影響を軽減する。

具体的に説明すると、本発明の一態様によれば、メールを受信して処理するメール受信処理装置と、メールを検査処理するメール検査処理部とを備え、前記メール検査処理部は前記メール受信処理部で受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出するメール配送サーバが得られる。

本発明の別の態様によれば、前記メール検査処理部における検査の結果、前記メールの脅威が検出され、且つ、前記メール中にURLが含まれている場合、前記URLを抽出するメール抽出部を更に備えているメール配送サーバが得られる。前記プロトコル情報はSMTP（Simple Mail Transfer Protocol）プロトコルコマンド情報である。また、前記SMTPプロトコル情報はMAIL FROMコマンド及びRCPT TOコマンドを含んでいる。

本発明の更に別の態様によれば、上記したメール配送サーバと、前記メールの脅威が検出され、且つ、当該メールに前記URLが含まれている場合、前記メールに含まれる前記URLを格納する脅威URL一覧と、前記脅威URLを参照するＷｅｂプロキシサーバを含み、前記メール配送サーバ及び前記Ｗｅｂプロキシサーバは組織内ネットワークに接続されている通信システムが得られる。

本発明の別の態様によれば、メールを受信して処理するステップと、メールを検査処理するステップを備え、前記メール検査処理ステップは前記受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出すると共に、前記メールの脅威が検出されると、前記メールのURLを抽出することを特徴とするメール配送方法が得られる。

本発明は、メール配送の過程で行う、SPAM,成りすまし,ウィルス入りなどの不正なメールの検出結果に基づき、そのメール中のURLを抽出して、Ｗｅｂプロキシサーバからアクセス制御対象として参照させる。これによって、組織内から外部へのＷｅｂブラウザ等のアクセスを効率的かつ効果的に抑制することで標的型攻撃等の脅威へ対策を実現できる。

また、本発明は、不正メールを一括して管理できるため、組織の規模が大きくなればなる程、即ち、利用者の数が多くなればなる程、経済性において有利である。

本発明に係るメール配送装置（サーバ）を含む通信システムを概略的に説明する図である。本発明に係る通信システムに用いられるメール配送装置（サーバ）及びＷｅｂプロキシサーバの構成を説明する図である。本発明の一実施形態に係るメール配送装置及びＷｅｂプロキシサーバの動作をより具体的に説明するフローチャートである。図２に示されたメール表示装置及びＷｅｂプロキシサーバの動作を説明するフローチャートである。ブラックリストに登録されるURLの例を説明する図である。本発明の他の実施形態に係るメール配送装置及びＷｅｂプロキシサーバの構成を説明する図である。図６に係るメール配送装置及びＷｅｂプロキシサーバの動作を説明するフローチャートである。

図１を参照して、本発明に係るメール配送装置（サーバ）を含む通信システムの概略構成を説明する。図示された通信システムは、会社、自治体等の組織内に設けられた組織内ネットワーク１１と、組織外に設けられた組織外ネットワーク、例えば、インターネット１２を含んでいる。

・組織内ネットワーク１１：
組織内ネットワーク１１は組織内の各サーバ間の通信に利用される。ここでは、組織内ネットワーク１１から組織外ネットワーク１２には特定のサーバや要求元からのみアクセスできるように制御されるものとする。

・組織外ネットワーク１２：
ここでは、組織外ネットワーク１２が所謂インターネットの場合について説明するが、本発明は必ずしもインターネットに限定されない。

図示された組織内ネットワーク１１には、本発明に係るメール配送サーバ（装置）１１１及びＷｅｂプロキシサーバ１１２の他に、メール格納サーバ１１３、及びメール表示装置１１４が接続されている。また、メール配送装置（サーバ）１１１及びＷｅｂプロキシサーバ１１２はデータベースの一部を構成する脅威一覧URL一覧１１５に結合されている。脅威一覧URL移置１１５の動作については後述する。

図２を参照すると、図１に示された通信システムのうち、メール配送サーバ１１１及びＷｅｂプロキシサーバ１１２の構成がより具体的に示されている。メール配送サーバ１１１は、組織外ネットワーク１２から届いたメールを、組織内ネットワーク１１経由で受け取る機能と、受け取ったメールの内容の走査とその結果に応じて、メール格納サーバ１１３に配送する機能、及び、脅威URL一覧１１５を更新する機能を有している。

メール配送サーバ１１１の内部は機能的に及び論理的に以下の処理部部分に分けることができるが、機械的に分割されている必要はない。

図示されたメール配送サーバ１１１はメール受信処理部２１、メール検査処理部２２、メールURL抽出部２３、脅威URL更新処理部２４、及びメール格納処理部２５を含んでいる。図２において、メール受信処理部２１は組織内ネットワーク１１及びメール検査処理部２２に接続され、また、メール検査処理部２２はメールURL抽出部２３及びメール格納処理部２５に結合されている。更に、メールURL抽出部２３は脅威URL更新処理部２４に接続されると共に、脅威URL更新処理部２４は脅威URL一覧１１５に結合されている。メール格納処理部２５は組織内ネットワーク１１を介してメール格納サーバ１１３に結合されている。

ここで、メール配送サーバ１１１を構成する各部の機能をより具体的に説明する。

・メール受信処理部２１：
メール受信処理部２１は、所謂SMTPプロトコル経由でメールを受け取る機能を提供する。受け取ったメールとその時の使ったSMTPプロトコルのコマンド情報（MAIL FROMコマンドやRCPT TOコマンドの内容）は一時的にメール配送サーバ１１１内に保持され以降の処理で参照される。以下では、プロトコルに関連するコマンド情報を含む情報をプロトコル情報と呼ぶ。

・メール検査処理部２２：
メール検査処理部２２はメール受信処理部２１で受け取ったメールの内容やSMTPプロトコルのコマンド情報を基にメールが脅威を含むものかどうかを判断する処理部分である。

例えば、メール検査処理部２２はメールの発信者を詐称する成りすましメールかどうかの判断や、メールの内容がSPAMやウィルスを含むものかどうかを判断する。当該メール検査処理部２２はメール受信処理部２１で受け取ったメールの内容やSMTPプロトコルのコマンド情報を基にメールが脅威を含むものかどうかを判断するコンピュータプログラムによって構成されている。

・メールURL抽出部２３：
メールURL抽出部２３は、メールの内容を走査し、文中やメールデータ内に含まれるURLを列挙する機能を有する。メールの内容はRFC822等の規約で定められた書式に従っており、メールURL抽出部２３は、この書式の解析を行ったうえで、URLの書式を定めたRFC3986等の仕様に基づいた文字列を見つけることで実現する。

・脅威URL更新処理部２４：
脅威URL更新処理部２４はメールURL抽出部２３における処理で得られたURLを脅威URL一覧１１５に反映する処理を行う。

・メール格納処理部２５：
メール格納処理部２５は組織内部宛てのメールを実際に格納するメール格納サーバ１１３に渡す機能を持つ。

次に、メール格納サーバ１１３、Ｗｅｂプロキシサーバ１１２、及びメール表示装置１１４の機能を具体的に説明する。

・メール格納サーバ１１３：
メール配送サーバ１１１を経由したメールを所定の利用者毎に格納する機能を持つ。また、メール表示装置１１４からの要求に応じて格納されているメールの内容や一覧を応答する機能をもつ。

・Ｗｅｂプロキシサーバ１１２：
Ｗｅｂプロキシサーバ１１２はリクエスト発行部２６、リクエスト解析部２７、及びリクエスト受信部２８を含み、リクエスト受信部２８はメール表示装置１１４に結合されており、且つ、Ｗｅｂプロキシサーバ１２内のリクエスト解析部２７に結合されている。更に、リクエスト解析部２７はリクエスト発行部２６に結合され、且つ、脅威URL一覧１１５にも結合されている。

Ｗｅｂプロキシサーバ１１２は、組織内ネットワーク１１に存在するメール表示装置１１４やＷｅｂブラウザからアクセスされ、要求されたURLの情報を組織外ネットワーク１２から取得して、要求元に応答する機能を持つ。Ｗｅｂプロキシサーバ１１２の内部では以下の処理部分に分かれている。

・リクエスト受信部２８：
メール表示装置６やＷｅｂブラウザからの要求（所謂、HTTP（Hyper Text Transfer Protocol）やHTTPS（Hyper Text Transfer Protocol Secure）等のプロトコルに沿ったリクエスト）を受け取って、移行の処理に必要なデータを渡す機能を持つ。

・リクエスト解析部２７：
リクエスト解析部２７はリクエスト受信部２８から要求されたURL文字列を取得し、それが脅威URL一覧１１５に含まれるかどうかを判断する機能をもつ。脅威URL一覧１１５に含まれていた場合、リクエスト受信部２８から受け取った要求元にエラー応答を返信し、脅威URL一覧１１５に含まれていない場合、リクエスト発行部２６の処理部分で必要なデータを渡す。

・リクエスト発行部２６：
リクエスト発行部２６はリクエスト解析部２７から受け取った要求先URLに対して組織内ネットワーク１１、インターネット１２経由で実際に取得し、同じく受け取った要求元にその内容を応答する機能を持つ。

また、図２に示されたメール表示装置１１４及び脅威URL一覧１１５の機能は以下の通りである。

・メール表示装置１１４：
メール表示装置１１４はメール格納サーバ１１３からの情報を取得して、その内容を表示する機能を持つ。また、表示したメールに対する操作者の操作に応じてＷｅｂプロキシサーバ１１２に要求を発行しその内容を表示したり、Ｗｅｂブラウザを起動して同様にＷｅｂプロキシサーバ１１２に要求を発行させる機能を持つ。

・脅威URL一覧１１５：
脅威URL一覧１１５はアクセスすることで攻撃を受けたりする可能性があるURLの一覧情報を格納したデータベース上のテーブルであり、ブラックリストと呼ばれることもある。

この実施形態における脅威URL一覧１１５は、メールURL抽出部２３によって生成・更新され、リクエスト解析部２７によってその内容が参照される。脅威URL一覧１１５における実際の格納方式は任意の方式でよく、素朴なテキストファイル方式でも、RDBMS（Relational Data Base Management System）などのデータベースサーバによる方式であっても構わない。

図３および図４を参照して、図１及び２に示された通信システムの動作を説明する。ここでは、組織外ネットワーク１２から組織内ネットワーク１１内の利用者宛てのメールを受信した場合における動作が説明される。

組織外ネットワーク１２から、ＳＰＡＭメール等、脅威を含むメールを受信した場合、まず、メール配送サーバ１１１にメールが送付される。このとき、メール配送サーバ１１１のメール受信処理部２１がメール配送サーバ１１１内部にメールデータを一時的に蓄える（図３、ステップＳ３１）。その後、メール検査処理部２２でメールの内容を走査し、このメールにおける脅威検出動作が行われる。（図３、ステップＳ３２）。

脅威検出動作の結果、メールに脅威が存在しないことが判定されると（図３、ステップＳ３３）、当該メールはメール格納処理部２４に格納される。

一方、ステップＳ３３において、脅威を含むメールであるとメール検査処理部２２で判定された場合、メール配送サーバ１１１は図３のステップＳ３５の処理を開始する。図３のステップＳ３５の処理は、この実施形態ではメールURL抽出部２３によって実行される。

ステップＳ３５の処理では、メール配送サーバ１１１内に蓄えられているメール内容がRFC822やRFC3986等で定められた書式に従って解析されURLにあたる文字列が抽出される。

抽出された脅威URLは、脅威URL一覧１１５を管理しているファイルあるいはデータベースに追記される（図３、ステップＳ３６）。このとき、図５のような一覧が追記される。その後、当該メールはメール格納サーバ１１３に送付される（図３、ステップＳ３４）。

図４は、受信したメール中を参照あるいはメール中のURLで示される情報を参照した場合におけるメール表示装置１１４（メーラあるいはＷｅｂブラウザ）及びＷｅｂプロキシサーバ１１２の動作を示している。ここで、ステップＳ４１、Ｓ４２、Ｓ４７は各利用者の使うメーラあるいはＷｅｂブラウザでの動作であり、ステップＳ４３〜Ｓ４６は組織内に設置しているＷｅｂプロキシサーバ１１２の動作である。

前述した図３で説明した動作の結果、メール格納サーバ１１３に受信したメールが存在し、脅威URL一覧１１５に図５のような内容が含まれているものとする。この時、利用者がメール表示装置１１４を使って当該メールを参照し、その内容に含まれるURLをクリックすることで不正なURL（http://bad.url1.example.com）にアクセスして外部情報取得を行ったものとする（図４、ステップＳ４２）。

利用者が外部情報取得動作を行うと、メール表示装置１１４はＷｅｂプロキシサーバ１１２に対して取得要求を出力する。当該取得要求を受けたＷｅｂプロキシサーバ１１２はリクエスト受信部２８の処理部分で要求されたURL情報を抽出し、抽出されたURL情報をリクエスト解析部２７に送付する。リクエスト解析部２７は脅威URL一覧１１５の一覧に該当するものがあるかどうか確認する（図４、ステップＳ４３）。

リクエスト解析部２７における解析の結果、登録済みの脅威であると判断された場合（図３、ステップＳ４４）、外部情報取得要求に対する応答として、リクエスト解析部２７は取得エラーを示す応答を行う（図４、ステップＳ４６）。

その結果、メール表示装置１１４では、外部情報の表示が行われず、参照できなかった旨を示す結果が表示され（図４、ステップＳ４７）、実際に攻撃を受けることなく処理が完了する。

他方、ステップＳ４４において、リクエスト解析部２７で脅威URL一覧１１５に登録されていない場合、外部情報を取得・応答して（図４、ステップＳ４５）、メール表示装置１１４に外部情報を表示させる。

上記実施の形態による第一の効果は、メール配送サーバ１１１におけるメールの脅威検出の結果に基づいたURL抽出により、実際にURLへアクセスすることなく脅威を検出できる。このため、メール表示装置１１４を使う利用者が攻撃を受ける可能性を下げることができる。

また、第二の効果は、Ｗｅｂプロキシサーバ１１２の管理者や外部のアクセス制限リストの更新を待つことなく脅威に対するアクセスを予防できるようになる点である。即ち、図３に示すように、受信したメールに脅威が存在すると判断されると（ステップＳ３３）、判断された時点で脅威URL一覧１１５に当該メールのURLが格納されることになる（図３、ステップＳ３６）。したがって、図４のメール表示装置１１４で外部情報取得の際（図４、ステップＳ４２）、当該メールのURLは脅威URL一覧１１５に格納されている。したがって、当該脅威が存在するメールはステップＳ４６において、登録されたURLにより、外部情報の取得エラー応答がされることになる。

次に、図６は、本発明に係る他の実施形態の通信システムである。図６に係る通信システムは図２に示された通信システムに以下の処理部および一覧を追加した構成である。具体的に説明すると、図６に示された通信システムのメール配送サーバ１１１は、図２に示された脅威URL更新処理部２４の代わりに、URL一覧結合・更新部６１を備えている点で、図２に示されたメール配送サーバ１１１と異なっている。また、当該URL一覧結合・更新部６１は脅威URL一覧１１５だけでなく、データベースの一部を構成する手動で管理される脅威URL一覧６２にも結合されている。以下、追加された構成について説明する。

・URL一覧結合・更新部６１：
URL一覧結合・更新部６１は手動で管理される脅威URL一覧６２で管理されているURL一覧と、メールURL抽出部２３で得られたURL一覧を結合する処理を行い、結合されたURL一覧を生成し、新たに脅威URL一覧１１５に格納する。

・手動で管理される脅威URL一覧６２：
手動で管理される脅威URL一覧６２はURL一覧結合・更新部６１で生成された脅威一覧のURLを格納し、リクエスト解析部２７で参照される。手動で管理される脅威URL一覧６２は脅威としてみなされているURLに加えて、何らかの理由で脅威は存在しないとするURL、所謂ホワイトリストにあたる情報の両方を保持している。

次に、図７を参照して、図６に示された通信システムの動作が説明される。

図３のステップＳ３６（脅威URLの追加）にあたる部分の動作が図７のステップＳ３６’（脅威URLの結合）の処理に変更されている点が異なっている。

図７のステップＳ３６’（脅威URLの結合）では、図６の手動で管理される脅威URL一覧６２に記載されている一覧に加えて、図７のステップＳ５（脅威URLの抽出）で抽出されたURL）を含めるようにする。この時、図６に示された（手動で管理される脅威URL一覧６２には脅威が存在しないとするURLでありながら、図７のステップＳ５（脅威URLの抽出）で同じURLが検出された場合、当該URLは脅威であるとみなして、一覧が再構成される。

先の実施形態で得られる効果に加えて、図７に示された実施形態では、運用者が別途まとめたブラックリストおよびホワイトリスト一覧との併用による効果的なアクセス防止を実現できる。

上記の実施の形態の一部又は全部は、以下の付記のようにも記載され得るが以下には限られない。

［付記１］
メールを受信して処理するメール受信処理装置と、メールを検査処理するメール検査処理部とを備え、前記メール検査処理部は前記メール受信処理部で受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出することを特徴とするメール配送サーバ。

［付記２］
前記メール検査処理部における検査の結果、前記メールの脅威が検出され、且つ、前記メール中にURLが含まれている場合、前記URLを抽出するメール抽出部を更に備えていることを特徴とする付記１記載のメール配送サーバ。

［付記３］
前記プロトコル情報はSMTPプロトコルコマンド情報であることを特徴とする付記１又は２記載のメール配送サーバ。

［付記４］
前記SMTPプロトコルコマンド情報はMAIL FROMコマンド及びRCPT TOコマンドを含んでいることを特徴とする付記３に記載のメール配送サーバ。

［付記５］
付記２〜４の何れか一項に記載のメール配送サーバと、前記メールの脅威が検出され、且つ、当該メールに前記URLが含まれている場合、前記メールに含まれる前記URLを格納する脅威URL一覧と、前記脅威URLを参照するＷｅｂプロキシサーバを含み、前記メール配送サーバ及び前記Ｗｅｂプロキシサーバは組織内ネットワークに接続されていることを特徴とする通信システム。

［付記６］
前記組織内ネットワークは組織外ネットワークに接続されていることを特徴とする付記５記載の通信システム。

［付記７］
前記メール中に含まれる脅威URLがアクセスされると、前記Ｗｅｂプロキシサーバは前記脅威URL一覧にアクセスして、当該脅威URLであることを検出して、取得エラーであることを表示するメール表示装置を有することを特徴とする付記５又は６記載の通信システム。

［付記８］
前記メール表示装置には、前記脅威URLに対する外部取得情報が表示されないことを特徴とする付記７記載の通信システム。

［付記９］
前記脅威URL一覧と共に、手動で管理される脅威URL一覧を備えていることを特徴とする付記５〜８のいずれか一項に記載の通信システム。

［付記１０］
メール配送サーバで実行されるメール配送方法であって、前記メール配送サーバはメールを受信して処理するステップと、メールを検査処理するステップを備え、前記メール検査処理ステップは前記受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出すると共に、前記メールの脅威が検出されると、前記メールのURLを抽出することを特徴とするメール配送方法。

［付記１１］
前記メール検査処理ステップ検査の結果、前記メールの脅威が検出され、且つ、前記メール中にURLが含まれている場合、前記URLを抽出することを特徴とする付記１０記載のメール配送方法。

［付記１２］
前記プロトコル情報はSMTPプロトコルコマンド情報であり、前記SMTPプロトコル情報はMAIL FROMコマンド及びRCPT TOコマンドを含んでいることを特徴とする付記１１に記載のメール配送方法。

［付記１３］
メールを受信して処理するメール受信処理装置と、メールを検査処理するメール検査処理部とを備え、前記メール検査処理部は前記メール受信処理部で受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出するメール配送サーバと、前記メールの脅威が検出され、且つ、当該メールに前記URLが含まれている場合、前記メールに含まれる前記URLを格納する脅威URL一覧と、前記脅威URLを参照するＷｅｂプロキシサーバを含み、前記メール配送サーバ及び前記Ｗｅｂプロキシサーバは組織内ネットワークに接続されていることを特徴とする通信システム。

［付記１４］
コンピュータに、メールを受信して処理し、処理されたメールのURLを抽出する前に、前記メールのプロトコル情報を検査して、当該メールの脅威の有無を検出する処理を実行させるコンピュータプログラム。

本発明は、大規模な組織における、より安全なメール配送および参照装置の実現に適用できる。また、所謂電子メール以外のコミュニケーション装置（メッセージングサービス）に対しても、メッセージあるいはメッセージの発信元等から脅威を含むかどうか判断できる場合に、同様の効果を得る装置として適用できる。

１１組織内ネットワーク
１２組織外ネットワーク
１１１ネール配送サーバ
１１２Ｗｅｂプロキシサーバ
１１３メール格納サーバ
１１４メール表示装置
２１メール受信処理部
２２メール検査処理部
２３メールURL抽出部
２４脅威URL更新処理部
２５メール格納処理部
２６リクエスト発行部
２７リクエスト解析部
２８リクエスト受信部
６１ URL一覧結合・更新部
６２手動で管理される脅威URL一覧

具体的に説明すると、本発明の一態様によれば、メールを受信し、当該メールの内容と前記メールのコマンド情報を保持するメール受信処理装部と、前記メールの内容及び前記メールのコマンド情報を検査処理するメール検査処理部とを備え、前記メール検査処理部は前記メール受信処理部により保持された前記メールの内容及び前記メールのコマンド情報を検査して、当該メールの脅威の有無を検出するメール配送サーバが得られる。

本発明の別の態様によれば、前記メール検査処理部における検査の結果、前記メールの脅威が検出され、且つ、前記メールの内容中にURLが含まれている場合、前記URLを抽出するメール抽出部を更に備えているメール配送サーバが得られる。前記コマンド情報はSMTP（Simple Mail Transfer Protocol）プロトコルコマンド情報である。また、前記SMTPプロトコルコマンド情報はMAIL FROMコマンド及びRCPT TOコマンドを含んでいる。

本発明の更に別の態様によれば、上記したメール配送サーバと、前記メールの脅威が検出され、且つ、当該メールに前記URLが含まれている場合、前記メールに含まれる前記URLを格納する脅威URL一覧と、前記脅威URL一覧を参照するＷｅｂプロキシサーバを含み、前記メール配送サーバ及び前記Ｗｅｂプロキシサーバは組織内ネットワークに接続されている通信システムが得られる。

本発明の別の態様によれば、メールを受信し、当該メールの内容と前記メールのコマンド情報を保持する処理を行う受信処理ステップと、前記メールの内容及び前記メールのコマンド情報を検査処理するメール検査処理ステップを備え、前記メール検査処理ステップは前記受信処理ステップにおいて保持された前記メールのコマンド情報を検査して、当該メールの脅威の有無を検出すると共に、前記メールの脅威が検出されると、前記メールの内容中のURLを抽出することを特徴とするメール配送方法が得られる。

Claims

メールを受信して処理するメール受信処理装置と、メールを検査処理するメール検査処理部とを備え、前記メール検査処理部は前記メール受信処理部で受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出することを特徴とするメール配送サーバ。
前記メール検査処理部における検査の結果、前記メールの脅威が検出され、且つ、前記メール中にURLが含まれている場合、前記URLを抽出するメール抽出部を更に備えていることを特徴とする請求項１記載のメール配送サーバ。
前記プロトコル情報はSMTPプロトコルコマンド情報であり、前記SMTPプロトコル情報はMAIL FROMコマンド及びRCPT TOコマンドを含んでいることを特徴とする特徴とする請求項１又は２記載のメール配送サーバ。
請求項２又は３に記載のメール配送サーバと、前記メールの脅威が検出され、且つ、当該メールに前記URLが含まれている場合、前記メールに含まれる前記URLを格納する脅威URL一覧と、前記脅威URLを参照するＷｅｂプロキシサーバを含み、前記メール配送サーバ及び前記Ｗｅｂプロキシサーバは組織内ネットワークに接続されていることを特徴とする通信システム。
前記組織内ネットワークは組織外ネットワークに接続されていることを特徴とする請求項４記載の通信システム。
前記メール中に含まれる脅威URLがアクセスされると、前記Ｗｅｂプロキシサーバは前記脅威URL一覧にアクセスして、当該脅威URLであることを検出して、取得エラーであることを表示するメール表示装置を有することを特徴とする請求項４又は５記載の通信システム。
前記メール表示装置には、前記脅威URLに対する外部取得情報が表示されないことを特徴とする請求項６記載の通信システム。
前記脅威URL一覧と共に、手動で管理される脅威URL一覧を備えていることを特徴とする請求項４〜７のいずれか一項に記載の通信システム。
メール配送サーバで実行されるメール配送方法であって、前記メール配送サーバはメールを受信して処理するステップと、メールを検査処理するステップを備え、前記メール検査処理ステップは前記受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出すると共に、前記メールの脅威が検出されると、前記メールのURLを抽出することを特徴とするメール配送方法。
コンピュータに、メールを受信して処理し、処理されたメールのURLを抽出する前に、前記メールのプロトコル情報を検査して、当該メールの脅威の有無を検出する処理を実行させるコンピュータプログラム。