JP2021503142A5 - - Google Patents

Claims (30)

1. コンピュータにより実行される方法であって、
   ユーザの電子メールアドレスと関連付けられた電子メッセージを第１のフォルダに受信するステップと、
   不審な電子メッセージを報告するために、ユーザ選択可能なアイコンを表示するステップと、
   前記電子メッセージ及び前記ユーザ選択可能なアイコンの選択を入力するステップと、
   前記選択に応答して前記電子メッセージを隔離するステップと、
   前記選択に応答して脅威分析を実行すうために、前記電子メッセージをプロセッサに電子的に通信するステップと、
   前記転送に応答して、１つ以上のヘッダを前記電子メッセージに付加するステップと、
   実行された前記脅威分析に応答して、応答メッセージを受信するステップであって、前記応答メッセージは、前記電子メッセージの脅威ステータスを示す前記１つ以上のヘッダを含む、ステップと、
   前記応答メッセージに応答して前記電子メッセージを処理するステップであって、前記電子メッセージを削除することと、前記電子メッセージを隔離することと、及び／又は、前記電子メッセージを前記第１のフォルダに移動することとのうち少なくとも１つを含む、ステップと、
   を含む、コンピュータにより実行される方法。
2. 前記電子メッセージの前記脅威ステータスに応答して、ブラックリスト及び／又は配信前チェックリストを更新するステップをさらに含む、
   請求項１に記載の方法。
3. 前記電子メッセージの送信者が以前の電子メッセージをユーザの前記電子メールアドレスに送信していないことと、
   前記送信者が前記ユーザの前記電子メールアドレスに送信した以前の電子メッセージと比較して、前記送信者の名前のスペルが変化していることと、
   前記ユーザの前記電子メールアドレスにより受信された他の電子メッセージに関連付けられていない送信システムから発信された前記電子メッセージと、又は
   前記電子メッセージの計算されたフィンガプリントが、信頼レベルしきい値よりも低い信頼レベルを持つフィンガプリントデータベースのフィンガプリントと一致する前記電子メッセージと、
   のうち少なくとも１つに応答して脅威分析を実行するために、前記プロセッサに前記電子メッセージを電子的に伝達するステップをさらに含む、
   請求項１又は２に記載の方法。
4. 前記脅威ステータスは、信号機インジケータ、即ち、既知の脅威に対応する電子メッセージに対する前記信号機インジケータの「赤」若しくは「止まれ」、あり得る脅威に対応する電子メッセージに対する信号機インジケータの「黄」若しくは「注意」、並びに、既知の脅威に関連付けられておらず、脅威となる疑いもない電子メッセージに対する前記信号機インジケータの「青」若しくは「進め」を含み、前記脅威ステータスは、脅威カテゴリを含む、
   請求項１−３のうちいずれか１つに記載の方法。
5. 前記脅威カテゴリは、安全なメッセージ、悪意的メッセージ、フィッシングメッセージ、ウイルス、スパムメッセージ、及び／又はポルノメッセージのうち少なくとも１つを含む、
   請求項４に記載の方法。
6. 前記電子メッセージを、少なくとも１つのヘッダ又はヘッダリストと、少なくとも１つの本文と、及び、前記電子メッセージが添付ファイルを含む場合には、少なくとも１つの前記添付ファイルとに分解するステップと、
   前記少なくとも１つのヘッダ又はヘッダリストの各々についてヘッダフィンガプリントを生成するステップと、
   前記少なくとも１つの本文の各々を構文解析するステップと、
   前記少なくとも１つの本文の各々を正規化するステップと、
   前記解析及び正規化された少なくとも１つの本文の各々について本文フィンガプリントを生成するステップと、
   前記電子メッセージが添付ファイルを含む場合には、前記少なくとも１つの添付ファイルに対する添付ファイルフィンガプリントを生成するステップと、
   少なくとも１つのヘッダフィンガプリントの各々と、少なくとも１つの本文フィンガプリントの各々と、前記電子メッセージが添付ファイルを含む場合には、少なくとも１つの添付ファイルフィンガプリントとを、メッセージフィンガプリントに集約するステップと、
   をさらに含む、
   請求項１−５のうちいずれか１つに記載の方法。
7. 前記電子メッセージのメッセージフィンガプリントと一致するフィンガプリントデータベース内のメッセージフィンガプリントを有する他の電子メッセージを隔離するために移動することをさらに含む、
   請求項６に記載の方法。
8. 前記少なくとも１つの本文は、ユニフォームリソースロケータ（ＵＲＬ）、テキスト形式の本文、及びバイナリ形式の本文のうちの少なくとも１つを含み、各添付ファイルは、少なくとも１つのテキスト形式の添付ファイル、及びバイナリ形式の添付ファイルのうち少なくとも１つを含む、
   請求項６−７のうちいずれか１つに記載の方法。
9. 各少なくとも１つのヘッダ又はヘッダリストに対するヘッダフィンガプリントを生成するステップは、前記各少なくとも１つのヘッダ又はヘッダリストを字句解析するステップを含み、
   前記少なくとも１つのヘッダ又はヘッダリストを字句解析するステップであって、各種のヘッダ又はヘッダリストの数を識別し、前記各ヘッダ又はヘッダリストの字句構文を分析し、前記各ヘッダ又はヘッダリスト内の空白の頻度及びパターンを分析し、前記各ヘッダ又はヘッダリスト内の特殊文字の頻度及びパターンを分析し、前記ヘッダリスト内のソース及びメッセージルーティングを一貫性のために比較する、ステップと、
   各ヘッダについて、前記少なくとも１つのヘッダにヘッダハッシュアルゴリズムを適用するステップと、及び／又は、
   各ヘッダリストに対して、ヘッダリストハッシュアルゴリズムを適用するステップと、
   のうち少なくとも１つを含む、
   請求項６−８のうちいずれか１つに記載の方法。
10. 前記少なくとも１つの本文を構文解析するステップは、構文解析及び／又は意味解析を用いて、前記少なくとも１つの本文の各構成要素を識別及び編成するステップを含む、
    請求項６−９のうちいずれか１つに記載の方法。
11. 前記少なくとも１つの本文を正規化するステップは、空白を正規化するステップと、スペルを訂正するために文字を転置するステップと、余分な句読点を除去するステップと、ハイフネーションを除去するステップと、ハイパーテキストマークアップ言語（ＨＴＭＬ）を除去するステップと、及び／又は、ゼロに対するＯ、若しくはアクセントマークがついたアクセント付き文字に対するアクセントなし文字等の、誤って置換された文字を置換するステップと、のうち少なくとも１つを含む、
    請求項６−１０のうちいずれか１つに記載の方法。
12. 前記本文フィンガプリントを生成するステップは、
    前記各ＵＲＬに対して、前記各ＵＲＬに対するＵＲＬ本文フィンガプリントを生成するために、ＵＲＬハッシュアルゴリズムを適用するステップと、
    前記各テキスト形式の本文に対して、前記各テキスト本文に対するテキスト本文フィンガプリントを生成するためにテキスト本文ハッシュアルゴリズムを適用するステップと、
    前記各バイナリ形式の本文に対して、前記各バイナリ本文に対するバイナリ本文フィンガプリントを生成するためにバイナリ本文ハッシュアルゴリズムを適用するステップと、
    のうち少なくとも１つを含む、
    請求項８に記載の方法。
13. ＵＲＬハッシュアルゴリズムは、従来のハッシュを含み、
    テキスト本文ハッシュアルゴリズムは、類似性ハッシュを含み、
    バイナリ本文ハッシュアルゴリズムは、ファジーハッシュを含む、
    請求項１２に記載の方法。
14. 前記各添付ファイルに対して添付ファイルフィンガプリントを生成するステップは、
    前記各テキスト形式添付ファイルに対して、各テキスト形式添付ファイルに対するテキスト添付ファイルフィンガプリントをせいせいするために、テキスト添付ファイルハッシュアルゴリズムを適用するステップと、
    前記各バイナリ形式の添付ファイルに対して、各バイナリ形式の添付ファイルに対するバイナリ添付ファイルフィンガプリントを生成するために、バイナリ添付ファイルハッシュアルゴリズムを適用するステップと、
    を含む、
    請求項８に記載の方法。
15. テキスト添付ファイルハッシュアルゴリズムは、類似性ハッシュを含み、
    バイナリ添付ファイルハッシュアルゴリズムは、ファジーハッシュを含む、
    請求項１４に記載の方法。
16. 前記脅威分析を実行するステップは、
    前記電子メッセージの少なくとも１つの原表示を生成し、前記電子メッセージの解析表示を生成し、及び、前記電子メッセージのブラウザ表示を生成するステップと、
    脅威ステータス指標を収集するために、前記電子メッセージの少なくとも一部を分析するステップと、
    前記脅威ステータス指標に応答して、前記電子メッセージの前記脅威ステータスを自動的に生成するステップと、
    前記電子メッセージの前記脅威ステータスに信頼レベルを割り当てるステップと、
    前記信頼レベルが信頼レベルしきい値を下回る場合に、前記電子メッセージの前記脅威ステータスの手動生成を要求するステップと、及び、
    前記手動された脅威ステータスで前記脅威ステータスを更新するステップと、を含む、
    請求項６−１５のうちいずれか１つに記載の方法。
17. 前記電子メッセージの前記原表示は、前記少なくとも１つの本文を解析及び正規化する前の前記電子メッセージのテキストに対応し、
    前記電子メッセージの解析表示は、前記少なくとも１つの本文を解析及び正規化した後の、電子メッセージを一貫性のある形式への再配列に対応し、
    前記電子メッセージのブラウザ表示は、前記少なくとも１つの本文を解析及び正規化した後のＨＴＭＬ表示に対応する、
    請求項１６に記載の方法。
18. 前記脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、
    複数の規則の各々が前記電子メッセージの少なくとも一部に一致するかどうかを識別するために、前記電子メッセージの少なくとも一部に、ルールデータベース内の複数のルールを適用するステップと、を含み、
    前記ルールデータベース内のルールは、以前はルール脅威ステータスが割り当てられており、かつ、
    各マッチングルール及び各対応する前記ルール脅威ステータスは、前記脅威ステータス指標に対応する、
    請求項１６又は１７に記載の方法。
19. 脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、
    前記電子メッセージの前記少なくとも一部を、前記電子メッセージの少なくとも一部が、少なくとも１つのアンチウイルスデータベース内の少なくとも１つのウイルスを含むかどうかを識別するためにスキャンするステップであって、前記識別されたウイルスの各々は、前記脅威ステータス指標に対応する、ステップと、
    を含む、
    請求項１６−１８のうちいずれか１つに記載の方法。
20. 前記脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、
    前記電子メッセージ内の各ＵＲＬについて、ＵＲＬ脅威データベースに前記ＵＲＬ脅威データベースを照会し、前記電子メッセージ内の少なくとも１つのＵＲＬが少なくとも１つのＵＲＬ脅威データベース内の少なくとも１つのＵＲＬに含まれるかどうかを識別し、前記ＵＲＬ脅威データベース内の各識別された前記ＵＲＬと、ＵＲＬ脅威データベース照会のための脅威ステータス指標に対応するＵＲＬ脅威ステータスとを照会するステップと、を含む、
    請求項１６−１９のうちいずれか１つに記載の方法。
21. 脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、ヘッダに対する少なくとも１つのルールに準拠しているかを確認するために、少なくとも１つのヘッダを分析するステップを含む、
    請求項１６−２０のうちいずれか１つに記載の方法。
22. 前記ヘッダに対するルールは、１つの電子メッセージ内に単一のメッセージＩＤのみを含むことである、
    請求項２１に記載の方法。
23. 前記脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、前記電子メッセージ内の高リスクな命令又は動作を識別するステップを含む、
    請求項１６−２２のうちいずれか１つに記載の方法。
24. 前記高リスクな命令又は動作は、ユーザが前記電子メッセージ又は前記少なくとも１つの添付ファイルのうちの１つを開いたときに、コード又はマクロを実行することを含む、
    請求項２３に記載の方法。
25. 前記脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、ドメインネームサービス分析を含み、前記ドメインネームサービス分析は、
    ＩＰアドレスと、ヘッダ内のドメインネームと、前記電子メッセージの少なくとも一部の内のＵＲＬとを抽出することと、
    前記抽出された前記ドメインネームからＩＰアドレスに名前解決を行うことと、
    各ドメインネームに対して、登録期間、ドメインネームの評判、及び難読化を識別することと、
    前記各ＩＰアドレスに対して、ＩＰアドレス評判及びジオロケーションを識別することと、
    前記ドメインネームサービス分析に対する前記脅威ステータス指標と対応するドメインネームサービス脅威ステータスを決定することと、
    を含む、
    請求項１６−２４のうちいずれか１つに記載の方法。
26. 前記脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、前記メッセージフィンガプリントを、フィンガプリントデータベース内の複数のフィンガプリントと比較するステップを含み、
    前記フィンガプリントデータベース内の前記フィンガプリントは、以前はあるフィンガプリント脅威ステータスに割り当てられており、
    識別された一致するフィンガプリントの各々及び対応するフィンガプリント脅威ステータスの各々は、脅威ステータス指標と対応し、
    前記一致の種類は、完全一致、包括的一致、類似性ハッシュ一致、及び／又はファジーハッシュ一致である、
    請求項１６−２５のうちいずれか１つに記載の方法。
27. 前記脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、
    前記電子メッセージをセキュリティサンドボックスに電子的に通信するステップと、
    前記電子メッセージを前記セキュリティサンドボックス内で有効化するステップと、
    前記有効化された電子メッセージを、実行時の不審な特徴に対して監視するステップと、
    既知の、実行時の不審な特徴のデータベース内で、実行時の前記不審な特徴を識別するステップと、
    前記識別された、実行時の前記不審な特徴に応答して、サンドボックス脅威ステータス指標を計算するステップと、
    を含む、
    請求項１６−２６のうちいずれか１つに記載の方法。
28. 前記電子メッセージの前記脅威ステータスの手動生成を要求するステップは、
    手動レビューのために、前記集約されたフィンガプリント及び前記脅威ステータス指標のヒートマップと、前記電子メッセージの原表示と、前記電子メッセージの解析表示と、前記電子メッセージのブラウザ表示と、及び／又は前記脅威ステータス指標とを提供する、
    請求項１６−２７のうちいずれか１つに記載の方法。
29. 少なくとも１つのデータプロセッサと、
    前記少なくとも１つのデータプロセッサにより実行されると、
    ユーザの電子メールアドレスと関連付けられた電子メッセージを第１のフォルダに受信するステップと、
    不審な電子メッセージを報告するために、ユーザ選択可能なアイコンを表示するステップと、
    前記電子メッセージ及び前記ユーザ選択可能なアイコンの選択を入力するステップと、
    前記選択に応答して前記電子メッセージを隔離するステップと、
    前記選択に応答して脅威分析を実行すうために、前記電子メッセージをプロセッサに電子的に通信するステップと、
    前記転送に応答して、１つ以上のヘッダを前記電子メッセージに付加するステップと、
    実行された前記脅威分析に応答して、応答メッセージを受信するステップであって、前記応答メッセージは、前記電子メッセージの脅威ステータスを示す前記１つ以上のヘッダを含む、ステップと、
    前記応答メッセージに応答して前記電子メッセージを処理するステップであって、前記電子メッセージを削除することと、前記電子メッセージを隔離することと、及び／又は、前記電子メッセージを前記第１のフォルダに移動することとのうち少なくとも１つを含む、ステップと、
    を含む動作を実行させる命令を格納するメモリと、を備える、
    システム。
30. 少なくとも１つのデータプロセッサにより実行されると、
    ユーザの電子メールアドレスと関連付けられた電子メッセージを第１のフォルダに受信するステップと、
    不審な電子メッセージを報告するために、ユーザ選択可能なアイコンを表示するステップと、
    前記電子メッセージ及び前記ユーザ選択可能なアイコンの選択を入力するステップと、
    前記選択に応答して前記電子メッセージを隔離するステップと、
    前記選択に応答して脅威分析を実行するために、前記電子メッセージをプロセッサに電子的に通信するステップと、
    前記転送に応答して、１つ以上のヘッダを前記電子メッセージに付加するステップと、
    実行された前記脅威分析に応答して、応答メッセージを受信するステップであって、前記応答メッセージは、前記電子メッセージの脅威ステータスを示す前記１つ以上のヘッダを含む、ステップと、
    前記応答メッセージに応答して前記電子メッセージを処理するステップであって、前記電子メッセージを削除することと、前記電子メッセージを隔離することと、及び／又は、前記電子メッセージを前記第１のフォルダに移動することとのうち少なくとも１つを含む、ステップと、
    を含む動作を実行させる命令を格納する、
    非一時的機械可読媒体。