JP2020162158A - 通信システム、通信方法及びプログラム - Google Patents

Abstract

【課題】 メールに含まれるURLに対して予防的にアクセス制限を実施する。【解決手段】 受信したメッセージに含まれる識別子によって特定されるネットワーク上のリソースに脅威があるか否かを判定（脅威検出判定）する。ユーザによるメッセージに対する操作に基づき識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての脅威検出判定が実行中の場合、アクセスを制限する。【選択図】 図５

Description

本発明は通信システムに関する。本発明は、特に、URL(Uniform Resource Locator)が示すリソースへのアクセスの制御に関し、特に、メールに含まれるURLへのアクセス制御に関する。

近年、特定の組織、特定の個人といった特定の相手を標的として情報窃盗等を行う標的型攻撃による被害が多発している。特に、メールを用いた標的型攻撃が問題となっている。

標的型攻撃に対抗する技術として、所謂社内LAN(Local Area Network)のような組織内ネットワークから、インターネットに代表される組織外ネットワーク上のウェブサイトにアクセスするのにあたり、ウェブプロキシサーバを経由してアクセスを行うものがある。これにより、アクセス効率の向上や脅威を含むサイトへのアクセスの制限を図るものである。

一般に、ウェブプロキシサーバでは、アクセスを制限すべきURLを運用者が個別に設定することにより、アクセス制限を行っている。或いは、予め脅威ありと判定されたURLをリスト化したアクセス制限リストを提供するサービスがインターネット上に存在するので、こうした外部のアクセス制限リストを参照してアクセス制限を行うものもある。

この種のウェブプロキシサーバによれば、運用者がアクセス制限すべきURLとして設定しない限り、そのURLへのアクセスは容認される。外部のアクセス制限リストを参照する場合も同様である。従って、上記したウェブプロキシサーバを用いた方法は新たな脅威URLを用いた標的型攻撃に対抗することができない。

他の対抗技術としては、最初にメールに含まれるURLについて脅威の有無を判定し、その判定結果に応じて、そのメールに関する追加処理を行うと共にそのメールを宛先に配送するか、或いは、そのメールを破棄するものがある。ここで追加処理とは、メールの内容を更新する、そのメールの代わりに、或いは、そのメールと共に警告メッセージを送信する、といった処理である。

この種のメール配送装置では、まず、URLについて脅威の有無を判定し、次に、その判定結果に応じてメールを宛先のメールクライアントに配送する。このため、URLについての判定が終了するまではそのメールを宛先に配送することができない。従って、メール配送の遅延を引き起こす恐れがある。

URLの脅威を検出し、そのURLに脅威があるか否かを判定する方式として所謂振る舞い検知方式がある。振る舞い検知方式は高い精度で脅威の有無を判定することができるものの、判定に要する時間が長い。このため、上述のメール配送装置の脅威検出方式として振る舞い検知方式を採用すると、特にメール配送の遅延を引き起こしやすい。

標的型攻撃に対抗する技術が特許文献１に記載されている。同文献によれば、セキュアプロキシサーバ上に構築した仮想マシンでウェブブラウザを実行し、そのウェブブラウザでメールに含まれているURLにアクセスする。仮想マシンのブラウザによるアクセスに問題がなければ、ユーザ端末からそのURLにアクセスする。

特許文献１の手法では、仮想マシンを介して間接的に目的のURLにアクセスすることにより、URLに脅威が存在する場合であっても、ユーザ端末がその影響を回避することができる。

特開２０１３−２４６４７４号公報

特許文献１によれば、URLが脅威であるか否かの判定を開始するのは、ユーザ端末からそのURLへのアクセスを試みたときである。特許文献１によれば、仮にそのURLに脅威があるとしても、その影響は仮想マシンに留まるため、ユーザ端末は影響を受けない。しかし、一度はそのURLへのアクセスを試みない限り、脅威があるか否かは不明である。

また、「アクセスが許容されないアクセス先のアドレス情報のパターン」（同文献請求項２）或いは「アクセスが許容されるアクセス先のアドレス情報のパターン」（同文献請求項３）を事前に記憶することは記載されている。しかし、同文献は、URLに脅威があるか否かの判定をどのようにして行うのかについては言及していない。このため、ユーザ端末から仮想マシン経由で脅威があるURLにアクセスしたとき、実際に脅威を引き起こすような操作（例えばそのURLのウェブページから、ウイルスを含むファイルをダウンロードし、実行することを許可するような操作）をしない限り、そのURLに脅威があるかどうかそのユーザ端末からは分からない。このため、仮想マシン経由であり、ユーザ端末に直接の影響はないとしても、そのURLへのアクセスは許可された状態が続く。

本発明はこのような状況を鑑みてなされたものであり、本発明が解決しようとする課題は、メールに含まれるURLの脅威検出の実行と、遅滞のないメール配信とを両立することが可能な通信システム、通信方法及びプログラムを提供することである。特に、メールに含まれるURLに対して予防的にアクセス制限を実施する通信システム、通信方法及びプログラムを提供することである。

上述の課題を解決するため、本発明は、その一態様として、受信したメッセージに含まれる識別子によって特定される、ネットワーク上のリソースをアクセス制限の対象に追加する検出前脅威一覧更新処理手段と、前記リソースに脅威があるか否かを判定する、脅威検出判定を実行するための脅威検出手段と、ユーザによる前記メッセージに対する操作に基づき前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が実行中の場合、当該リソースへのアクセスを制限する制限手段と、を備える通信システムを提供する。

また、本発明は、他の一態様として、検出前脅威一覧更新処理手段が、受信したメッセージに含まれる識別子によって特定される、ネットワーク上のリソースをアクセス制限の対象に追加し、脅威検出手段が、前記リソースに脅威があるか否かを判定する、脅威検出判定を実行し、制限手段が、ユーザによる前記メッセージに対する操作に基づき前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が実行中の場合、当該リソースへのアクセスを制限する、通信方法を提供する。

また、本発明は、他の一態様として、受信したメッセージに含まれる識別子によって特定される、ネットワーク上のリソースをアクセス制限の対象に追加する検出前脅威一覧更新処理手段と、前記リソースに脅威があるか否かを判定する、脅威検出判定を実行するための脅威検出手段と、ユーザによる前記メッセージに対する操作に基づき前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が実行中の場合、当該リソースへのアクセスを制限する制限手段としてコンピュータを機能させるためのプログラムを提供する。

本発明によれば、メールに含まれるURLの脅威検出の実行と、遅滞のないメール配信とを両立することが可能な通信システム、通信方法及びプログラムを提供することができる。特に、メールに含まれるURLに対して予防的にアクセス制限を実施する通信システム、通信方法及びプログラムを提供することができる。

本発明の第１実施形態であるアクセス制限システム１００のブロック図である。 アクセス制限システム１００のメール配送サーバ１、ウェブプロキシサーバ３、脅威検出装置８について更に説明するためのブロック図である。 アクセス制限システム１００におけるメール配送サーバ１、脅威検出装置８及びリスト記憶装置７の動作を説明するためのフローチャートである。 アクセス制限システム１００における脅威URL一覧７Ａの一例である脅威URL一覧７Ａ１を説明するためのテーブルである。 アクセス制限システム１００におけるウェブプロキシサーバ３、メール表示装置６及びリスト記憶装置７の動作を説明するためのフローチャートである。 本発明の第２の実施の形態であるアクセス制限システム２００のブロック図である。 アクセス制限システム２００における脅威URL一覧７Ａの一例である脅威URL一覧７Ａ２を説明するためのテーブルである。 アクセス制限システム２００におけるメール配送サーバ１、脅威検出装置８、脅威検出装置９及びリスト記憶装置７の動作を説明するためのフローチャートである。

（第１実施形態）
本発明の第１の実施の形態であるアクセス制限システム１００について説明する。図１を参照すると、アクセス制限システム１００は、メール配送サーバ１、メール格納サーバ２、ウェブプロキシサーバ３、組織内ネットワーク４、組織外ネットワーク５、メール表示装置６、リスト記憶装置７、脅威検出装置８を備える。

メール配送サーバ１、メール格納サーバ２、ウェブプロキシサーバ３、メール表示装置６、リスト記憶装置７、脅威検出装置８は、それぞれ、一乃至複数のCPU(Central Processing Unit)、LAN(Local Area Network)カード等のネットワークインタフェース装置を備えるコンピュータである。リスト記憶装置７はネットワークインタフェース装置を備える記憶装置であってもよいし、メール配送サーバ１、メール格納サーバ２、ウェブプロキシサーバ３、メール表示装置６、脅威検出装置８のうちのいずれかの記憶装置の領域をリスト記憶装置７として割り当てたものであってもよい。

メール配送サーバ１は、組織外ネットワーク５から届いたメールを、組織内ネットワーク４経由で受け取る機能を有する。また、メール配送サーバ１は受け取ったメールの内容を走査する機能を有する。また、メール配送サーバ１は、走査の結果に応じて、リスト記憶装置７に格納した脅威URL(Uniform Resource Locator)一覧７Ａを更新する機能を有すると共に、受け取ったメールをメール格納サーバ２に転送する機能を有する。

図２を参照してメール配送サーバ１について更に説明する。メール配送サーバ１は、メール受信処理部１１、メールURL抽出部１２、メールURL通知部１３、メール格納処理部１４を備える。

メール受信処理部１１は、SMTP(Simple Mail Transfer Protocol)プロトコルに従ってメールを受け取る。受け取ったメールと、その時に使ったSMTPプロトコルのコマンド情報（MAIL FROMコマンドやRCPT TOコマンドの内容）は、一時的にメール配送サーバ１内に保持され、以降の処理で参照される。

メールURL抽出部１２はメールの内容を走査する。また、メール本体をはじめとするメールデータからURLを抽出する。一般に、メールの内容はRFC(Request For Comments)822等の規約で定められた書式に従って記載されている。メールからURLを抽出するため、メールURL抽出部１２はこの書式の解析を行う。その上で、メールURL抽出部１２は、所定のURL文字列の書式に基づいてURL文字列を見つける。URL文字列の書式はRFC3986等に定められている。

メールURL通知部１３はメールURL抽出部１２が出力したURLを脅威検出装置８に送出する。送出処理の完了後、メールURL通知部１３はメール格納処理部１４での処理に遷移する。

メール格納処理部１４は、メール受信処理部１１、メールURL抽出部１２、メールURL通知部１３での処理が終わったメールを、メール格納サーバ２に転送する。

メール格納サーバ２は、メールの宛先であるメール表示装置６からの要求に応答して、そのメール表示装置６（或いはそのメール表示装置６のユーザ）を宛先とするメールの内容や、メールの一覧を送信する。また、この転送に備えて、メール格納処理部１４から受け取ったメールを格納する記憶装置を備える。

組織内ネットワーク４には、複数のメール表示装置６が存在する。また、組織内ネットワーク４内にはウェブブラウザを実行する不図示の端末が存在してもよい。これらメール表示装置及びウェブブラウザ端末は、ウェブプロキシサーバ３に対し、URLを指定してリソースを要求する。URLは組織外ネットワーク５上のリソースを特定するための文字列である。ウェブプロキシサーバ３は、要求において指定されたURLから、ウェブページ等のリソースを取得する機能を有する。また、取得したリソースを、要求元のメール表示装置６、ウェブブラウザに対して転送する機能を有する。

図２を参照してウェブプロキシサーバ３について更に説明する。ウェブプロキシサーバ３は、脅威URL一覧７Ａに記載のURLによって特定されるリソースへのアクセスを制限する。ウェブプロキシサーバ３によるアクセス制限の対象となるのは、メール表示装置６に代表される、組織内ネットワーク４の各種クライアントである。尚、脅威検出装置８はウェブプロキシサーバ３によるアクセス制限の対象外である。ウェブプロキシサーバ３はリクエスト受信部３１、リクエスト解析部３２及びリクエスト発行部３３を備える。

リクエスト受信部３１は、メール表示装置６やウェブブラウザからの要求を受け取って、移行の処理に必要なデータを、リクエスト解析部３２に渡す。メール表示装置６やウェブブラウザからの要求とは、いわゆるHTTP(Hypertext Transport Protocol)やHTTPS(Hypertext Transport Protocol Secure)等のプロトコルに沿って発行されたリクエストである。

リクエスト解析部３２はリクエスト受信部３１からURLを受け取る。リクエスト解析部３２はそのURLが脅威URL一覧７Ａに含まれているか否かを判定する。そのURLが脅威URL一覧７Ａに含まれている場合、リクエスト解析部３２は、そのURLの要求元であるメール表示装置６やウェブブラウザに対してエラー応答を返信する。他方、そのURLが脅威URL一覧７Ａに含まれていない場合、リクエスト解析部３２はそのURLを含む必要なデータをリクエスト発行部３３に渡す。

リクエスト発行部３３は、組織内ネットワーク４及び組織外ネットワーク５を介して、リクエスト解析部３２から受け取ったURLが示すリソースを取得する。また、リクエスト発行部３３は、取得したリソースをその要求元であるメール表示装置６やウェブブラウザに転送する。

組織内ネットワーク４は、メール配送サーバ１、メール格納サーバ２、ウェブプロキシサーバ３、メール表示装置６、リスト記憶装置７及び脅威検出装置８を相互に接続するデータ通信ネットワークである。組織内ネットワーク４は組織外ネットワーク５に接続されている。組織内ネットワーク４から組織外ネットワーク５へのアクセスは、特定のサーバや要求元からのみアクセスできるように制御されている。

組織外ネットワーク５は、組織内ネットワーク４の外部のデータ通信ネットワークであり、例えばインターネットである。

メール表示装置６はウェブページを表示可能なメールクライアントである。ここでは、メール表示装置６は特にメールの宛先となる端末として動作する。通常、組織内ネットワーク４には複数のメール表示装置６が接続されるが、本発明ではどのメール表示装置６も同じ動作をする。このため、図１では、組織内ネットワーク４にメール表示装置６を１台だけ図示している。

メール表示装置６は液晶表示装置、CRT(Cathode Ray Tube)等の表示装置を備える情報処理装置である。メール表示装置６として動作する情報処理装置のハードウェアの種類は問わない。例えば、メール表示装置６は、デスクトップコンピュータ、ラップトップコンピュータ、ワークステーション、タブレット、スマートフォン等であってもよい。

また、メール表示装置６は、これらのハードウェアの上で専用のメールクライアントプログラムを動作させるものであってもよいし、ウェブブラウザを動作させてウェブメールのメールクライアントとして動作させてもよい。専用のメールクライアントプログラムを動作させる場合、そのメールクライアントプログラム自体がウェブページを表示する機能を有することとしてもよい。或いは、メールクライアントプログラムが、そのメールクライアントプログラムとは別のウェブブラウザプログラムを呼び出してウェブページを表示することとしてもよい。

メール表示装置６は、メール格納サーバ２から情報を取得して、メールの一覧や、メールの内容を表示する機能を有する。また、メール表示装置６は、表示したメールに対する操作者の操作に応じて、ウェブプロキシサーバ３に対して要求を発行し、その内容を表示する機能を有する。例えば、表示したメールの中にURLが記載されていて、操作者がそのURLをマウス等のポインティングデバイスにてクリックしたときに、メール表示装置６は、そのURLが示すリソースをウェブプロキシサーバに対して要求する。

リスト記憶装置７は脅威URL一覧７Ａを記憶する記憶装置である。脅威URL一覧７Ａは、受信したメールに含まれていたURLのリストである。URLはネットワーク上のリソースを一意に特定可能な識別子である。脅威URL一覧７Aに含まれるURLは識別子全体を記録するのではなく、運用設計に基づいて前方の一部を記録し、例えばコンピュータホスト名部分までのみとして、前方一致するか否かで該当するかどうかを判断する方式としてもよい。リスト記憶装置７は、例えば所謂NAS(Network Attached Storage)のように、組織内ネットワーク４に接続するためのネットワークインタフェースを備える記憶装置であってもよい。或いは、メール配送サーバ１、メール格納サーバ２、ウェブプロキシサーバ３の記憶装置の一部領域を、リスト記憶装置７として用いることとしてもよい。

リスト記憶装置７が脅威URL一覧７Ａを格納する方式は特に問わない。例えば、単なるテキストファイルとして記憶することとしてもよいし、RDBMS(Relational Database Management System)などのデータベースサーバを用いて記憶することとしてもよい。

脅威URL一覧７Ａは、アクセスすることにより攻撃を受ける恐れがあるURLのリストであり、ブラックリストと呼ばれることもある。本実施形態では、脅威検出装置８が脅威URL一覧７Ａを生成、更新する。また、ウェブプロキシサーバ３が脅威URL一覧７Ａを参照する。

脅威検出装置８は、入力されたURLが脅威であるか否かを判定し、判定結果に応じて脅威URL一覧７Ａを更新する装置である。脅威検出装置８は、検出前脅威一覧更新処理部８１、脅威検出部８２、検出後脅威一覧更新処理部８３を備える。

検出前脅威一覧更新処理部８１は、メールURL通知部１３から通知されたURLを、リスト記憶装置７の脅威URL一覧７Ａに追加する。脅威URL一覧７ＡへのURLの追加は、脅威検出部８２がそのURLを判定するのに先立って行われることが好ましく、遅くとも、この判定の完了前に行われる。また、検出前脅威一覧更新処理部８１は、通知されたURLを脅威検出部８２に渡す。

脅威検出部８２は検出前脅威一覧更新処理部８１から受け取ったURLによって特定されるリソースに実際に脅威があるか否かを判定（脅威検出）する処理を行う。脅威検出処理の方式には様々なものがあり、どのような方式であってもよいが、特に、所要時間が長くても検出精度が高い方式が適している。脅威検出の結果、そのURLに脅威を検出しなかった場合、脅威検出部８２はその旨を検出後脅威一覧更新処理部８３に通知する。

脅威検出部８２の脅威検出方式として好適な方式としては振る舞い検知方式がある。振る舞い検知方式は、ビヘイビア法、ダイナミックヒューリスティック法等とも呼ばれる方式である。振る舞い検知方式では、仮想的な実行環境を用意して判定対象となるURLにアクセスし、異常な行動を起こさないか調べる。この場合、脅威検出部８２は、メール表示装置６を仮想化した装置を含む構成とする。この仮想化装置によって判定対象となるURLにアクセスし、その後の仮想化装置の振る舞いを観察して、異常な行動をするか否かを判定する。

検出後脅威一覧更新処理部８３は、脅威検出部８２での脅威検出の結果に応じて、リスト記憶装置７の脅威URL一覧７Ａを更新する。脅威検出の結果、そのURLに脅威がないと脅威検出部８２が判定した場合、検出後脅威一覧更新処理部８３は、リスト記憶装置７にアクセスし、脅威URL一覧７ＡからそのURLを削除する。

次に、図３を参照して、図２に示されたメール配送サーバ１及び脅威検出装置８を中心として、アクセス制限システム１００の動作を説明する。

組織外ネットワーク５から組織内ネットワーク４にメールＭが届く。ここで、メールＭにはURLが記載されているものとし、その値をURL_Xとする。また、メールＭの宛先をメール表示装置６の操作者とする。

メール配送装置１のメール受信処理部１１がメールＭを受信して、メール配送装置１の内部にメールＭのデータを一時的に蓄積する（ステップＳ１）。次に、メールURL抽出部１２はメールＭからURL_Xを抽出する（ステップＳ２）。次に、メールURL通知部１３は、脅威検出装置８の検出前脅威一覧更新処理部８１及びメール格納処理部１４にURL_Xを渡す（ステップＳ３）。

脅威検出装置８の検出前脅威一覧更新処理部８１はURL_Xを脅威URL一覧７Ａに追加する（ステップＳ４）。以後、ウェブプロキシサーバ３は、URL_Xが追加された脅威一覧URL一覧７Ａに基づいて、組織内ネットワーク４内のメール表示装置６、ブラウザ端末その他によるURL_Xへのアクセスを禁止する。つまり、ウェブプロキシサーバ３は、URL_Xへのアクセス制限を開始する。脅威URL一覧７Ａの一例として脅威URL一覧７Ａ１を図４に示す。脅威URL一覧７Ａ１は、左から順に、項番、URL、登録日時を格納する欄を有するテーブルである。

また、検出前脅威一覧更新処理部８１はURL_Xを脅威検出部８２に通知する。通知を受けて、脅威検出部８２はURL_Xを対象とした脅威検出処理を開始する（ステップＳ５）。言い換えると、ウェブプロキシサーバ３がURL_Xへのアクセス制限を開始するのとほぼ同時に、脅威検出部８２は、URL_Xの脅威検出処理を開始する。

この時点でURL_Xへのアクセス制限を実行しているものの、URL_Xが実際に脅威であるか否かの判定は未定である。本発明では、メールから抽出したURLについての脅威検出の結果を待たずに、そのURLへのアクセス制限を開始し、脅威なしの結果が出た後でアクセス制限を解除する。

脅威検出部８２がURL_Xの脅威検出処理を完了し、脅威がないとの判定結果を得た場合、脅威検出部８２はその旨を検出後脅威一覧更新処理部８３に通知する（ステップＳ６）。この通知を受けて、検出後脅威一覧更新処理部８３は、リスト記憶装置７にアクセスし、脅威URL一覧７ＡからURL_Xを削除する。一方、脅威検出処理の結果が脅威ありの場合は何もしない。

ステップＳ３に戻り、メールURL通知部１３からURL_Xを通知されたメール格納処理部１４は、ステップＳ１にて一時的に蓄積したメールＭをメール格納サーバ２に転送する（ステップＳ７）。

次に、メール格納サーバ２がメールＭを格納した後のメール表示装置６とウェブプロキシサーバ３の動作について説明する。図５において、ステップＳ１１、Ｓ１２、Ｓ１６はメール表示装置６の動作である。また、ステップＳ１３、Ｓ１４、Ｓ１５、Ｓ１７はウェブプロキシサーバ３の動作である。

メール表示装置６の操作者は任意のタイミングでメール格納サーバ２からメールＭを受信、表示する（ステップＳ１１）。このとき、メール表示装置６は、メール格納サーバ２に対し、当該メール表示装置６或いは当該メール表示装置６の操作者を宛先とするメールＭの転送をメール格納サーバ２に要求し、メール格納サーバ２は、この要求に応答してメールＭを当該メール表示装置６に転送する。

操作者がメールＭに記載されたURL_Xを、例えばマウス等のポインティングデバイスでクリックし、URL_Xが示す組織外ネットワーク５上のリソース、即ち、外部情報の取得を試みる。このとき、メール表示装置６は、リクエスト受信部３１にURL_Xへのアクセス要求を送信する（ステップＳ１２）。

リクエスト受信部３１は、アクセス要求からURL_Xを抽出して、抽出されたURL_Xをウェブプロキシサーバ３のリクエスト解析部３２に渡す。リクエスト解析部３２はURL_Xが脅威URL一覧７Ａに含まれているか否かを判定する（ステップＳ１３、Ｓ１４）。

まず、URL_Xが脅威URL一覧７Ａに登録されていない場合について説明する。これは、上述のステップＳ４において、脅威URL一覧７ＡにURL_Xを一度登録したものの、その後、ステップＳ５の脅威検出において脅威なしと判定し、ステップＳ６にて脅威URL一覧７ＡからURL_Xを削除した場合である。

この場合、リクエスト解析部３２はURL_Xへのアクセスに必要なデータをリクエスト発行部３３に渡す。リクエスト発行部３３は組織内ネットワーク４、組織外ネットワーク５を介してURL_Xが示すリソースを取得する（ステップＳ１５）。リクエスト発行部３３はアクセス要求の要求元であるメール表示装置６に取得した外部情報を転送する。メール表示装置６は、転送された外部情報を表示する（ステップＳ１６）。

次に、URL_Xが脅威URL一覧７Ａに登録されている場合について説明する。これは、上述のステップＳ４において、脅威URL一覧７ＡにURL_Xが登録された後、ステップＳ５の脅威検出において脅威ありとの判定が出て、ステップＳ６にて脅威URL一覧７Ａから削除されなかった場合である。或いは、ステップＳ５の脅威検出がまだ完了していない場合である。

この場合、リクエスト解析部３２はメール表示装置６からのアクセス要求に対して、取得エラーを返す(ステップＳ１７)。この場合、メール表示装置６は操作者に対して取得エラーを表示し、URL_Xが示す外部情報の表示を行わない。

本実施形態では、メールＭの宛先人が操作者であるメール表示装置６におけるアクセス制限に関して説明した。組織内ネットワーク４内のウェブブラウザ端末はすべて、ウェブプロキシサーバ３を介して組織外ネットワーク５のウェブページにアクセスする。このため、メール表示装置６以外のウェブブラウザ端末等であってもステップＳ１２以後の動作は同様である。

このように、本実施形態では、メールURL抽出部１２を用いてメールからURLを抽出（ステップＳ２）した後、脅威検出装置８を用いて当該URLの判定を開始する（ステップＳ５）のと並行してまたは前後して、メール格納サーバ２に当該メールを格納する（ステップＳ７）。言い換えると、組織内ネットワーク４にURLを含むメールが届くと、そのURLが実際に脅威であるか否かに関わらず、ウェブプロキシサーバ３にてそのURLへのアクセス制限を開始する。その一方で、そのメールをメール格納サーバ２に転送することにより、そのメールの配信処理を進める。更に、脅威検出装置８によってそのURLの脅威検出を並行して開始する。脅威検出が完了し、脅威がないと確認した後、そのURLへのアクセス制限を解除する。

このため、本実施の形態によれば、脅威検出の実行に起因するメール配信の遅延を回避しつつ、脅威の恐れがあるURLに対するアクセスを予防的に制限し、安全が確認されたURLについてはアクセスを許可するので、利便性と安全性の両立を図ることができる。

（第２実施形態）
図６は本発明の第２の実施の形態に係るアクセス制限システム２００である。アクセス制限システム２００は、図２に示されたアクセス制限システム１００にもう一つの脅威検出装置９を追加したものである。この関係で、図２と対応する図6の部分には、図２と同じ参照番号が付されている。即ち、アクセス制限システム２００は、メール配送サーバ１、メール格納サーバ２、ウェブプロキシサーバ３、組織内ネットワーク４、組織外ネットワーク５、メール表示装置６、リスト記憶装置７、及び２つの脅威検出装置８、９を備える。ここでは、脅威検出装置８、９を順に第１及び第２の脅威検出装置とも呼ぶ。

第２の脅威検出装置９は第１の脅威検出装置８と同様に、一乃至複数のCPUと、LANカード等のネットワークインタフェース装置を備えるコンピュータである。図６に示すように、脅威検出装置８及び９は、メール配送サーバ１及びリスト記憶装置７に対して互いに並列に接続されている。第１の脅威検出装置８と同様に、第２の脅威検出装置９は、入力されたURLが脅威であるか否かを判定し、判定結果に応じて脅威URL一覧７Ａを更新する装置である。図６では記載を省略しているが、第２の脅威検出装置９も、第１の脅威検出装置８と同様、検出前脅威一覧更新処理部９１、脅威検出部９２、検出後脅威一覧更新処理部９３を備える。各機能ブロックの動作は、脅威検出装置８の対応する機能ブロックと同様である。ただし、脅威検出部９２の脅威検出方式は、脅威検出装置８の脅威検出部８２のものとは異なる。異なる脅威検出方式であればどのようなものであってもよいが、検出の原理、精度、所要時間が異なるものであることが好ましい。

また、アクセス制限システム２００では、リスト記憶装置７に格納するテーブルの構造が異なる。本システムでは、リスト記憶装置７に図７のような脅威URL一覧７Ａ２のような構造のテーブルを格納する。脅威URL一覧７Ａ２は、項番、URL、登録日時に加えて、安全と判断された回数を格納する点で脅威URL一覧７Ａ１と異なる。

また、図２のアクセス制限システム１００では、脅威検出部８２があるURLを脅威なしと判定したとき、検出後脅威一覧更新処理部８２は、そのURLを脅威URL一覧７Ａから削除した。

これに対して、本システムでは、第１及び第２の脅威検出装置８、９のそれぞれにおいて、あるURLが脅威ありかなしかを独自に判定する。第１及び第２の脅威検出装置８、９が脅威なしと判定した回数を脅威URL一覧に記録する。記録した回数が２回になったとき、そのURLには脅威がないと判定し、そのURLを脅威URL一覧から削除する。

図８を参照してアクセス制限システム２００の動作を説明する。ステップＳ２１、Ｓ２２はそれぞれ上述のステップＳ１、Ｓ２と同様である。

ステップＳ３では、メールURL通知部１３は検出前脅威一覧更新処理部８１にURLを通知した。これに対して、ステップＳ２３では、メールURL通知部１３は検出前脅威一覧更新処理部８１及び検出前脅威一覧更新処理部９１にURLを通知する。

第１の脅威検出装置８は次のように動作する。検出前脅威一覧更新処理部８１は、URLを脅威URL一覧７Ａ２に登録する際、そのURLと同じ行の「安全と判断された回数」欄にゼロを格納する（ステップＳ２４Ａ）。次に、脅威検出部８２があるURLについて脅威の有無を判定する（ステップＳ２５Ａ）。次に、検出後脅威一覧更新処理部８３は、脅威検出部８２の判定結果と、そのURLの「安全と判断された回数」に応じて脅威URL一覧７Ａ２を更新する（ステップＳ２６Ａ）。判定結果が脅威ありの場合、検出後脅威一覧更新処理部８３は何もしない。判定結果が脅威なしの場合、検出後脅威一覧更新処理部８３は、そのURLの「安全と判断された回数」欄の値に１を加算する。そして、加算後の値が２の場合、そのURLの行を脅威URL一覧７Ａ２から削除する。

第２の脅威検出装置９の動作であるステップＳ２４Ｂ、Ｓ２５Ｂ、Ｓ２６Ｂは、上述の第１の脅威検出装置８のステップＳ２４Ａ、Ｓ２５Ａ、Ｓ２６Ａの動作において、検出前脅威一覧更新処理部８１、脅威検出部８２、検出後脅威一覧更新処理部８３を、それぞれ、検出前脅威一覧更新処理部９１、脅威検出部９２、検出後脅威一覧更新処理部９３と読み替えたものである。ただし、上述のように、脅威検出部８２と脅威検出部９２は、脅威検出の方式が互いに異なるものとする。

本実施形態によれば、先に説明した第１実施形態の効果に加えて、複数の脅威検出方式によって脅威がないと確認したURLに限ってアクセス制限を解除するので、安全性を更に高めることができる。

（変形）
本発明は上述の第１及び第２実施形態に限定されるものではなく、様々な変形が可能である。

例えば、アクセス制限システム１００、２００は組織内ネットワーク４内の複数のノード装置を組み合わせて構成した。しかし、本発明はこれに限定されるものではない。説明の都合上、メール配送サーバ１、メール格納サーバ２、ウェブプロキシサーバ３、メール表示装置６、リスト記憶装置７、脅威検出装置８、９を別々の装置として説明したが、これらの装置のいくつかを適宜組み合わせて単体の装置として構築可能であることは当業者であれば理解できるであろう。

また、アクセス制限システム２００は２つの脅威検出装置８、９を備えるものとして説明したが、３つ以上の脅威検出装置を備えることとしてもよい。３つ以上の脅威検出装置は、それぞれが異なる脅威検出方式に従って脅威検出を行うことが好ましいが、少なくとも２種類の脅威検出方式を含む、言い換えれば、脅威検出方式が互いに異なるものが含まれればよい。

また、上述の実施形態では、アクセス制限の手法として、脅威ありと判定したURLへのアクセスを禁止した。アクセスを禁止する代わりに、或いは、アクセスの禁止と共に、ウェブプロキシサーバ３は、脅威ありと判定したURLへのアクセス要求に対して、メール表示装置６に警告メッセージを表示させることとしてもよい。

また、上述の実施形態では、脅威検出部８２、９２において脅威を検出する際に用いる脅威検出方式の例として、振る舞い検知方式を挙げて説明したが、本発明はこれに限定されるものではない。検出精度は高いが、複雑な演算処理を含むために処理時間は長いような脅威検出方式は、どのような方式であっても脅威検出部８２、９２が行う脅威検出方式として好適である。また、脅威検出部８２、９２は、本発明の通信システムの外部のシステムや装置と連動して脅威検出を行うものであってもよい。この場合、外部のシステムや装置による処理時間が発生するが、本発明によれば、この種の処理時間によるメールの配送遅延は発生しない。

また、上述の実施形態では、脅威検出装置８、９を組織内ネットワーク４の中に設けているが、組織外ネットワーク５に設けることとしてもよい。特に、第２実施形態では、脅威検出装置８、９を両方とも組織内ネットワーク４の中に設けているが、一方を組織内ネットワーク４内に設け、他方を組織外ネットワーク５に設けることとしてもよい。例えば、第１の脅威検出装置８を自社の組織内ネットワーク４に設けると共に、他社がインターネット上で提供する脅威検出サービスを第２の脅威検出装置９として用いることが考えられる。

また、第２実施形態では、２つの脅威検出装置を設けたが、３つ以上の脅威検出装置を設けることとしてもよい。この場合、全ての脅威検出装置が脅威なしと判定するURLに限って、脅威URL一覧から削除することとしてもよい。或いは、複数の脅威検出装置の少なくともひとつがURLを脅威ありと判定している間は、そのURLを脅威URL一覧に記載しておき、ウェブプロキシサーバ３で当該URLへのアクセスを制限することとしてもよい。或いは、例えば３つの脅威検出装置のうちの２つがURLを脅威なしと判定したとき、そのURLを脅威URL一覧から削除して、ウェブプロキシサーバ３によるそのURLへのアクセス制限を解除することとしてもよい。

また、上述の実施形態では、メールに含まれるURLへのアクセスを制限するものとして説明したが、メールではなく所謂インスタントメッセージにも本発明を適用可能であることは当業者には明らかであろう。このため、本願では、メール、インスタントメッセージ等、データ通信ネットワークを介して指定した宛先に送信されるテキスト、画像、動画等を総称してメッセージと呼ぶものとする。

また、上述の実施形態では、URLによって特定されたリソースに関して説明したが、本発明はこれに限定されるものではなく、例えば、IPアドレスのように、ネットワーク上のリソースを特定可能な識別子であれば、本発明を同様に適用することができる。

上記の実施形態の一部又は全部は以下の付記のようにも記載されうるが、以下には限られない。

（付記１）
受信したメッセージに含まれる識別子によって特定される、ネットワーク上のリソースをアクセス制限の対象に追加する検出前脅威一覧更新処理手段と、
前記リソースに脅威があるか否かを判定する、脅威検出判定を実行するための脅威検出手段と、
ユーザによる前記メッセージに対する操作に基づき前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が実行中の場合、当該リソースへのアクセスを制限する制限手段と、
を備える通信システム。

（付記２）
前記制限手段は、
前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が完了し、脅威ありと判定済みの場合、当該リソースへのアクセスを制限する、付記１に記載の通信システム。

（付記３）
前記制限とは、
当該アクセス要求の要求元に対し、アクセスを禁止する、付記１または付記２に記載の通信システム。

（付記４）
前記制限とは、
当該アクセス要求の要求元に対し、警告を表示する、付記１〜３のいずれかに記載の通信システム。

（付記５）
当該アクセス要求の要求元に対し、エラーメッセージを送信する送信手段を更に備える、付記１〜３のいずれかに記載の通信システム。

（付記６）
検出前脅威一覧更新処理手段が、受信したメッセージに含まれる識別子によって特定される、ネットワーク上のリソースをアクセス制限の対象に追加し、
脅威検出手段が、前記リソースに脅威があるか否かを判定する、脅威検出判定を実行し、
制限手段が、ユーザによる前記メッセージに対する操作に基づき前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が実行中の場合、当該リソースへのアクセスを制限する、
通信方法。

（付記７）
前記制限手段は、前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が完了し、脅威ありと判定済みの場合、当該リソースへのアクセスを制限する、付記６に記載の通信方法。

（付記８）
前記制限とは、
当該アクセス要求の要求元に対し、アクセスを禁止する、付記６または付記７に記載の通信方法。

（付記９）
前記制限とは、
当該アクセス要求の要求元に対し、警告を表示する、付記６〜８のいずれかに記載の通信方法。

（付記１０）
送信手段が、当該アクセス要求の要求元に対し、エラーメッセージを送信する、付記６〜８のいずれかに記載の通信方法。

（付記１１）
受信したメッセージに含まれる識別子によって特定される、ネットワーク上のリソースをアクセス制限の対象に追加する検出前脅威一覧更新処理手段と、
前記リソースに脅威があるか否かを判定する、脅威検出判定を実行するための脅威検出手段と、
ユーザによる前記メッセージに対する操作に基づき前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が実行中の場合、当該リソースへのアクセスを制限する制限手段と
してコンピュータを機能させるためのプログラム。

（付記１２）
前記制限手段は、
前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が完了し、脅威ありと判定済みの場合、当該リソースへのアクセスを制限する、付記１１に記載のプログラム。

（付記１３）
前記制限とは、
当該アクセス要求の要求元に対し、アクセスを禁止する、付記１１または付記１２に記載のプログラム。

（付記１４）
前記制限とは、
当該アクセス要求の要求元に対し、警告を表示する、付記１１〜１３のいずれかに記載のプログラム。

（付記１５）
当該アクセス要求の要求元に対し、エラーメッセージを送信する送信手段として前記コンピュータを更に機能させる、付記１１〜１３のいずれかに記載のプログラム。

１ メール配送サーバ
２ メール格納サーバ
３ ウェブプロキシサーバ
４ 組織内ネットワーク
５ 組織外ネットワーク
６ メール表示装置
７ リスト記憶装置
７Ａ、７Ａ１、７Ａ２ 脅威URL一覧
８、９ 脅威検出装置
１１ メール受信処理部
１２ メールURL抽出部
１３ メールURL通知部
１４ メール格納処理部
３１ リクエスト受信部
３２ リクエスト解析部
３３ リクエスト発行部
１００、２００ アクセス制限システム

Claims (11)

1. 受信したメッセージに含まれる識別子によって特定される、ネットワーク上のリソースをアクセス制限の対象に追加する検出前脅威一覧更新処理手段と、
   前記リソースに脅威があるか否かを判定する、脅威検出判定を実行するための脅威検出手段と、
   ユーザによる前記メッセージに対する操作に基づき前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が実行中の場合、当該リソースへのアクセスを制限する制限手段と、
   を備える通信システム。
2. 前記制限手段は、
   前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が完了し、脅威ありと判定済みの場合、当該リソースへのアクセスを制限する、請求項１に記載の通信システム。
3. 前記制限とは、
   当該アクセス要求の要求元に対し、アクセスを禁止する、請求項１または請求項２に記載の通信システム。
4. 前記制限とは、
   当該アクセス要求の要求元に対し、警告を表示する、請求項１〜３のいずれかに記載の通信システム。
5. 当該アクセス要求の要求元に対し、エラーメッセージを送信する送信手段を更に備える、請求項１〜３のいずれかに記載の通信システム。
6. 検出前脅威一覧更新処理手段が、受信したメッセージに含まれる識別子によって特定される、ネットワーク上のリソースをアクセス制限の対象に追加し、
   脅威検出手段が、前記リソースに脅威があるか否かを判定する、脅威検出判定を実行し、
   制限手段が、ユーザによる前記メッセージに対する操作に基づき前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が実行中の場合、当該リソースへのアクセスを制限する、
   通信方法。
7. 前記制限手段は、前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が完了し、脅威ありと判定済みの場合、当該リソースへのアクセスを制限する、請求項６に記載の通信方法。
8. 前記制限とは、
   当該アクセス要求の要求元に対し、アクセスを禁止する、請求項６または請求項７に記載の通信方法。
9. 前記制限とは、
   当該アクセス要求の要求元に対し、警告を表示する、請求項６〜８のいずれかに記載の通信方法。
10. 送信手段が、当該アクセス要求の要求元に対し、エラーメッセージを送信する、請求項６〜８のいずれかに記載の通信方法。
11. 受信したメッセージに含まれる識別子によって特定される、ネットワーク上のリソースをアクセス制限の対象に追加する検出前脅威一覧更新処理手段と、
    前記リソースに脅威があるか否かを判定する、脅威検出判定を実行するための脅威検出手段と、
    ユーザによる前記メッセージに対する操作に基づき前記識別子によって特定されるリソースへのアクセス要求があった時点で、当該識別子についての前記脅威検出判定が実行中の場合、当該リソースへのアクセスを制限する制限手段と
    してコンピュータを機能させるためのプログラム。

Images