JP2022530290A - 悪性ｕｒｌ検出のための、最適走査パラメータ計算方法、デバイス、およびシステム - Google Patents

悪性ｕｒｌ検出のための、最適走査パラメータ計算方法、デバイス、およびシステム Download PDF

Info

Publication number
JP2022530290A
JP2022530290A JP2019537336A JP2019537336A JP2022530290A JP 2022530290 A JP2022530290 A JP 2022530290A JP 2019537336 A JP2019537336 A JP 2019537336A JP 2019537336 A JP2019537336 A JP 2019537336A JP 2022530290 A JP2022530290 A JP 2022530290A
Authority
JP
Japan
Prior art keywords
url
electronic message
scanning
parameter
optimal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2019537336A
Other languages
English (en)
Other versions
JP7381341B2 (ja
Inventor
セバスチャン グタール
マキシム マーク マイヤー
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Vade USA Inc
Original Assignee
Vade USA Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Vade USA Inc filed Critical Vade USA Inc
Publication of JP2022530290A publication Critical patent/JP2022530290A/ja
Application granted granted Critical
Publication of JP7381341B2 publication Critical patent/JP7381341B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F40/00—Handling natural language data
    • G06F40/20—Natural language analysis
    • G06F40/263—Language identification
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/21—Design or setup of recognition systems or techniques; Extraction of features in feature space; Blind source separation
    • G06F18/217—Validation; Performance evaluation; Active pattern learning techniques
    • G06F18/2178—Validation; Performance evaluation; Active pattern learning techniques based on feedback of a supervisor
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/23—Clustering techniques
    • G06F18/232—Non-hierarchical techniques
    • G06F18/2323—Non-hierarchical techniques based on graph theory, e.g. minimum spanning trees [MST] or graph cuts
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06V—IMAGE OR VIDEO RECOGNITION OR UNDERSTANDING
    • G06V10/00—Arrangements for image or video recognition or understanding
    • G06V10/70—Arrangements for image or video recognition or understanding using pattern recognition or machine learning
    • G06V10/77—Processing image or video features in feature spaces; using data integration or data reduction, e.g. principal component analysis [PCA] or independent component analysis [ICA] or self-organising maps [SOM]; Blind source separation
    • G06V10/778—Active pattern-learning, e.g. online learning of image or video features
    • G06V10/7784—Active pattern-learning, e.g. online learning of image or video features based on feedback from supervisors
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Artificial Intelligence (AREA)
  • Computing Systems (AREA)
  • Data Mining & Analysis (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Databases & Information Systems (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Evolutionary Computation (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computational Linguistics (AREA)
  • Audiology, Speech & Language Pathology (AREA)
  • Medical Informatics (AREA)
  • Multimedia (AREA)
  • Software Systems (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Evolutionary Biology (AREA)
  • Discrete Mathematics (AREA)
  • Information Transfer Between Computers (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

コンピュータ実施方法は、それぞれが１つまたはいくつかの悪性Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）と関連付けられる、複数の電子メッセージおよび対応する複数のフィッシングキットを収集しかつ記憶することと、複数の電子メッセージのそれぞれから特徴のセットを抽出することとを含んでよい。抽出された特徴のセットのそれぞれに対して、方法は、フィッシングキットのソースコードをプログラムでもしくは手動で検査することまたはリバースエンジニアリングすることに基づく教師あり学習アルゴリズムによってトレーニングされる、または悪性ＵＲＬによって指し示されるウェブサイトからデータを繰り返し要求し、かつこのような要求によって返されるデータおよびコードを検査する関数に基づく教師あり学習アルゴリズムによってトレーニングされる、１つまたは複数の決定木を使用して最適走査パラメータのセットを判断することを含んでよい。これらの最適走査パラメータはさらにまた、悪性ＵＲＬによって指し示される悪性コンテンツの存在を隠すために防御行動が取られる可能性が低減されるように悪性ＵＲＬを走査するために使用されてよい。

Description

サイバー犯罪者にとって、電子メール、テキストメッセージ（ＳＭＳ、ＭＭＳ）、またはインスタントメッセージ（ＷｈａｔｓＡｐｐ、ＷｅＣｈａｔ、Ｌｉｎｅ、Ｔｅｌｅｇｒａｍ…）などの悪意のある電子メッセージを犠牲者に送ることによって彼らを食い物にすることは、日常茶飯事である。例えば、フィッシング、ランサムウェア、またはｃｒｙｐｔｏｍｉｎｅｒなどを用いる場合があるこのようなサイバー脅威は、電子メッセージに埋め込まれるＵｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）を含むことが多い。このような脅威に応答して、セキュリティベンダは、機械学習、テキストマイニング、サンドボックス化、および／またはコンピュータビジョン技法などの広範なアルゴリズムおよび技術を使用して、悪性ＵＲＬを検出しかつブロックするためのＵＲＬ走査技術を開発している。このようなＵＲＬ走査技術は、これらのオンラインサイバー脅威を検出する際に非常にうまく機能している。その結果、サイバー犯罪者のボトムラインは悪影響を受けている。不法な収益源を保護するために、サイバー犯罪者は、これに呼応して、これらのセキュリティベンダのスキャナを特定しかつブロックするための機構を実装している。
図１は、疑わしいＩＰ範囲にＨＴＴＰ４０４エラーコードを返すフィッシングキットにおいて見つけられたＰＨＰコードの一例である。
図２は、禁止ユーザエージェントヘッダにＨＴＴＰ４０４エラーコードを返すＰＨＰコードの一例である。
図３は、別のフィッシングキットにおいて見つけられた．ｈｔａｃｃｅｓｓファイルの抜粋を示す。
図４は、フランスのエンドユーザを対象設定しているフィッシングキットにおいて見つけられた．ｈｔａｃｃｅｓｓファイルの一例である。
図５は、ＩＮＰＳフィッシング電子メールの実例を示す。
図６は、接続用ＩＰのジオロケーションを判断するためにジオロケーションサービスを呼び出すように構成される例示のＰＨＰフィッシングキットコードを示す。
図７は、１つの実施形態による、最適走査パラメータが選択可能である決定木である。
図８Ａは、１つの実施形態による決定木の一例である。
図８Ｂは、１つの実施形態による決定木の一例である。
図８Ｃは、１つの実施形態による決定木の一例である。
図９Ａは、１つの実施形態による、コンピュータ実施方法の態様を示す図である。
図９Ｂは、１つの実施形態による、コンピュータ実施方法のさらなる態様を示す図である。
図１０は、１つの実施形態による、コンピュータ実施方法のなおさらなる態様を示す図である。
図１１は、１つの実施形態による、コンピュータ実施方法のフローチャートである。
図１２は、別の実施形態による、コンピュータ実施方法のフローチャートである。
図１３は、さらに別の実施形態による、コンピュータ実施方法のフローチャートである。
図１４は、なおさらなる実施形態による、コンピュータ実施方法のフローチャートである。
図１５は、一実施形態の態様が実践可能であるコンピューティングデバイスのブロック図である。
フィッシングキットは、展開しやすいフォーマットの完全なフィッシングウェブサイトを含む電子パッケージである。フィッシングキットは、経時的に発達しており、ますます複雑になっている。最も高度なフィッシングキットは、ＵＲＬ走査技術を妨害する技法または任意の他の疑わしい着信ハイパーテキスト転送プロトコル（ＨＴＴＰ）接続を含む。典型的には、フィッシングキットが疑わしい着信ＨＴＴＰ接続を検出する場合、フィッシングウェブサイトコンテンツを返す代わりに、フィッシングキットは、潜在的に悪性ＵＲＬから遠ざけるＵＲＬ走査技術として何が考えられるか（事実上、例えば、「ここには見るものは何もないから立ち去りなさい！」）を誘導するための防御行動を取ることができる。本明細書では、防御行動は以下のうちの１つを含んでよい。
－ＨＴＴＰ ４００ Ｂａｄ Ｒｅｑｕｅｓｔ、ＨＴＴＰ ４０１ Ｕｎａｕｔｈｏｒｉｚｅｄ、ＨＴＴＰ ４０３ Ｆｏｒｂｉｄｄｅｎ、またはＨＴＴＰ ４０４ Ｎｏｔ ｆｏｕｎｄなどの無害のＨＴＴＰ ４ｘｘのクライアントエラーコードを返す。
－ＨＴＴＰ ５００ Ｉｎｔｅｒｎａｌ Ｓｅｒｖｅｒ Ｅｒｒｏｒなどの同様に無害のＨＴＴＰ ５ｘｘのサーバエラーコードを返す。
－着信ＨＴＴＰ接続を対象設定されたブランドの真正なＵＲＬにリダイレクトする。例えば、フィッシング対象のＰａｙＰａｌの場合、疑わしい着信ＨＴＴＰ接続は、本物のＰａｙＰａｌのサイトである、ｈｔｔｐｓ：／／ｗｗｗ．ｐａｙｐａｌ．ｃｏｍにリダイレクトされる場合があり、または
－着信ＨＴＴＰ接続を問題のない無害のサイトにリダイレクトする。例えば、疑わしい着信ＨＴＴＰ接続は、ｈｔｔｐｓ：／／ｗｗｗ．ｇｏｏｇｌｅ．ｃｏｍなどのサーチエンジンＵＲＬにリダイレクトされる場合がある。
上記のリストは、網羅的ではなく、潜在的なＵＲＬ走査技術が、不正なフィッシングウェブサイトの存在そのものに対するアクセスまたは学習を行わないようにするためにフィッシングキットによって行われる任意の他の防御行動を含んでもよい。
フィッシングキットは、
－接続用ＩＰアドレス、
－接続用ＩＰアドレスの逆引きＤＮＳ、
－接続用ＩＰアドレスのジオロケーション、
－ユーザエージェントヘッダ、
－Ｒｅｆｅｒｅｒヘッダ、および／または
－Ａｃｃｅｐｔ－Ｌａｎｇｕａｇｅヘッダ
などの特徴を解析することによって着信ＨＴＴＰ接続を評価することができる。
このリストも網羅的ではなく、詐欺師が、疑わしい（例えば、ＵＲＬ走査技術を含む）着信ＨＴＴＰ接続の評価と密接な関係があるとみなす場合がある着信ＨＴＴＰ接続に直接または間接的に関連している場合がある任意の他の特徴を含んでもよい。この場合、疑わしい着信ＨＴＴＰ接続は、セキュリティ会社の代わりに生じさせるまたは送られる接続である場合がある。これらのおよび他の技法を使用して、サイバー犯罪者は、それらのフィッシングウェブサイトへのアクセスを、専ら本物のマーク（実際の潜在的な犠牲者）および疑いを持たないマーク（悪意のある電子メッセージの対象受信者など）に限定しようと試み、かつ不正なフィッシングウェブサイトから離れるセキュリティ会社へのアクセスを拒否する、またはセキュリティ会社をリダイレクトすることを試みる。
ＵＲＬ走査技術の着信ＨＴＴＰ接続を指示することができる、上で列挙された特徴は、ある防御行動を開始する目的で、セキュリティベンダまたはセキュリティ研究機関を特定するためにフィッシングキットを展開したサイバー犯罪者によって使用可能である。実際は、接続用ＩＰアドレスは、セキュリティ会社のうちの１つに属する場合がある。例えば、このようなＩＰアドレスは、前述のセキュリティ会社に属する既知のＩＰ範囲のリストに対して着信ＨＴＴＰ接続のＩＰアドレスを照合することによって特定されてよい。代替的には、このようなＩＰアドレスの識別は、接続用ＩＰアドレスの逆引きＤＮＳを、セキュリティ会社に属する、またはこれによって使用されることが既知であるドメインまたはサブドメインのリストと比較することによって行われてよい。
ユーザエージェントヘッダは、インターネットロボット、スクリプト、および自動化ソフトウェアなどによって行われる接続を指示する場合があり、かつ、着信ＨＴＴＰ接続をセキュリティ会社によって生じたものとして与えることができる別の特徴である。
図１は、セキュリティ機関によって使用されると思われるＩＰアドレス範囲にＨＴＴＰ４０４を返すフィッシングキットにおいて見つけられたＰＨＰコードの一例である。そこに示されるように、ＰＨＰコードには、セキュリティ機関によって使用されることが既知であるいくつかの禁止ＩＰ範囲が挙げられている。着信ＨＴＴＰ接続が（「＊」の文字がワイルドカードである場合）禁止ＩＰ範囲のうちの１つから生じると判断される場合、フィッシングキットは（この例では）ＨＴＴＰ ４０４ Ｎｏｔ Ｆｏｕｎｄのエラーコードを返すことで、見たところ無害のエラーコードを返し、かつセキュリティ機関によって展開されたスキャナから、受信済み電子メッセージにおけるＵＲＬによって指し示される悪性ウェブサイトの存在そのものを隠す。例証の目的で、第１の範囲、８１．１６１．５９．＊がＢｉｔＤｅｆｅｎｄｅｒセキュリティベンダに属することは留意されたい。従って、電子フィッシングメッセージに埋め込まれたＵＲＬによって指し示される悪性ウェブサイトをホストするフィッシングキットサーバが８１．１６１．５９．＊のＩＰアドレス範囲内のＩＰアドレスから着信ＨＴＴＰ接続を受信したとしたら、フィッシングキットサーバは、フィッシングウェブサイトを返さず、代わりに、ＨＴＴＰ ４０４ Ｎｏｔ Ｆｏｕｎｄのエラー、またはその他の同等の無害のエラーコード、すなわち、実際にはその他の防御行動を返すことになる。
図１のＰＨＰコードを含むフィッシングキットはまた、図２に示されるように、同じＨＴＴＰ ４０４ Ｎｏｔ Ｆｏｕｎｄのエラーコードを、禁止ユーザエージェントヘッダのうちの１つを含む着信ＨＴＴＰ接続に返すＰＨＰコードを含む。そこに示されるように、着信ＨＴＴＰ接続が挙げられたユーザエージェントヘッダのうちの１つを含む場合、フィッシングキットはＨＴＴＰ ４０４ Ｎｏｔ Ｆｏｕｎｄのエラーコードを返す。図２において、Ｇｏｏｇｌｅｂｏｔは、Ｇｏｏｇｌｅによって使用されるサーチボットである。従って、着信ＨＴＴＰ接続がＧｏｏｇｌｅｂｏｔを特定するユーザエージェントヘッダを含む場合、コードとしてＨＴＴＰ ４０４ Ｎｏｔ Ｆｏｕｎｄのエラーコードを返すことになり、それによって、Ｇｏｏｇｌｅのサーチボットが不正ウェブページに対するアクセスおよびインデックス付けを行わないようにする。これによって、インデックス付けするサーチエンジンがこのような不正ウェブサイトをカタログ化しないようにし、かつ不正ウェブサイトがサーチ時に現れないようにする。
図３は、別のフィッシングキットにおいて見つけられた．ｈｔａｃｃｅｓｓファイルの抜粋を示す。．ｈｔａｃｃｅｓｓファイルは、Ａｐａｃｈｅ Ｗｅｂサーバソフトウェアを実行するウェブサーバ上での使用のための構成ファイルである。図３では、．ｈｔａｃｃｅｓｓルールは、疑わしいＩＰアドレスから生じる着信ＨＴＴＰ接続トラフィックをスプーフィングされた（不正）ウェブサイトに対応する本物のウェブサイトにリダイレクトして、さらにまた、このような不正ウェブサイトの検出をより困難にする。実際は、図３に示されるように、着信ＨＴＴＰ接続が、挙げられた疑わしいＩＰアドレスのうちの１つから生じる場合、接続は、不正のものではなく対応する本物のウェブサイトにリダイレクトされることになり、それによって、正当性を持たせる。例えば、着信ＨＴＴＰ接続がセキュリティ会社のうちの１つと関連付けられた挙げられたＩＰアドレスのうちの１つから生じる場合、フィッシングキットサーバは、偽装されたＰａｙＰａｌのウェブサイトから離れて、対応する本物のウェブサイトである、ｈｔｔｐｓ：／／ｗｗｗ．ｐａｙｐａｌ．ｃｏｍへと接続をリダイレクトし、さらにまた、フィッシング電子通信に埋め込まれたＵＲＬ（複数可）によって指し示される不正ウェブサイトの秘匿性をもたらす。
組み合わせると、これらの特徴は、サイバー犯罪者が固有のエンドユーザタイプを対象設定することを可能とするために使用される場合もある。このような対象設定は、悪性フィッシングウェブサイトコンテンツが（いくつかの基準を照合することによって特定可能である）意図した犠牲者にのみ返されるように徹底し、かつエラーコードが生成される、あるいは着信ＨＴＴＰ接続が本物のウェブサイトにリダイレクトされるように徹底することを目的とする。例えば、接続用ＩＰアドレスの逆引きＤＮＳを使用して、固有ＩＳＰ（Ｃｏｍｃａｓｔ、Ｃｏｘ、Ｂｒｉｔｉｓｈ Ｔｅｌｅｃｏｍなどのインターネットサービスプロバイダ）インターネット接続と通信するエンドユーザを対象設定できる。実際に、このようなＩＳＰはほとんどの場合、セキュリティ会社などの営利企業ではなく消費者であるエンドユーザと関連付けられる。例えば、特徴の具体的な組み合わせは、着信ＨＴＴＰ接続がＩＳＰ顧客である意図したフィッシング対象から生じたかのように見える確率を増大させるために使用可能である。このような、ＩＳＰ顧客からの着信ＨＴＴＰ接続は、フィッシングウェブサイトへのアクセスが与えられる場合があるが、他全ては、リダイレクトするまたはエラーコードを返すことのどちらかによって、アクセスが拒否されることになる。
接続用ＩＰのジオロケーションを使用して、特定国から接続するエンドユーザを対象設定してもよい。ＩＰアドレスジオロケーションデータは、国、地域、市、郵便番号、緯度、経度、および時間帯などの情報を含んでよい。データセットがより詳細になると、ドメイン名、接続速度、ＩＳＰ、言語、プロキシ、会社名、米国指定市場地域（Ｄｅｓｉｇｎａｔｅｄ Ｍａｒｋｅｔ Ａｒｅａ）／大都市統計圏（ＤＭＡ／ＭＳＡ）、北米産業分類体系（ＮＡＩＣＳ）コード、および家庭／ビジネスなどの他のパラメータを判断できる。例えば、有意に実施形態に関して、日本の銀行のウェブサイトを偽造するフィッシングウェブサイトは、日本の銀行のほとんどの日本の顧客（フィッシャーの意図した犠牲者）が日本においてジオロケートされるＩＰアドレスから通例接続することになるため、日本外にジオロケートされたＩＰアドレスから生じるインターネットトラフィックを疑わしいとみなすことができる。
ユーザエージェントヘッダは、特定デバイス、オペレーティングシステム、およびインターネットブラウザのユーザを、ユーザエージェント値が通例、この情報を含むため、対象設定するために使用されてもよい。例えば、ユーザエージェントヘッダは、ｉＰｈｏｎｅユーザのみを対象設定するフィッシングという文脈の中で使用されてよい。Ａｃｃｅｐｔ－Ｌａｎｇｕａｇｅヘッダはまた、特定言語を使用するエンドユーザを対象設定するために使用されてよい。例えば、日本の銀行のウェブサイトを偽造するフィッシングウェブサイトは、日本語を含まないＡｃｃｅｐｔ－Ｌａｎｇｕａｇｅヘッダを含む着信ＨＴＴＰ接続を疑わしいとみなすことができ、かつ偽造ウェブサイトへアクセスするその着信接続を拒否することができる。
図４は、フランスのエンドユーザを対象設定しているフィッシングキットにおいて見つけられた．ｈｔａｃｃｅｓｓファイルの一例である。このフィッシングキットにおいて、フィッシングウェブサイトは、フランスのＩＳＰ（ＳＦＲ、Ｎｕｍｅｒｉｃａｂｌｅ、Ｎｏｒｄｎｅｔ…）ＩＰアドレスから接続するエンドユーザにのみ表示される。他のＩＳＰから接続するエンドユーザはアクセスが拒否される。
ますます多くのサイバー犯罪者が、上で詳述されるように、ＵＲＬ走査技術を検出しかつ無効にする機構を実装しているため、これらの既存のＵＲＬ走査技術を改善することで、サイバー脅威を検出しかつブロックすることによってエンドユーザを保護する効果を持続するようにすることが、大いに必要とされてきている。
上記のように、サイバー脅威は、悪性ＵＲＬを、潜在的な犠牲者に送られる、電子メール、テキストメッセージ、またはインスタントメッセージなどの電子メッセージに挿入することによって広がることが多い。１つの実施形態によると、電子メッセージおよびこのコンテンツは、本明細書では、含まれる疑わしいＵＲＬ（複数可）の解析のための最適走査パラメータと称されるパラメータのセットを判断するために使用されてよい多くの有用な情報をもたらすために分解かつ解析されてよい。このような最適走査パラメータは、１つの実施形態によると、防御行動を生じさせずに、すなわち、フィッシングサイトの意図した犠牲者のうちの一人に見える間に、疑わしいＵＲＬを走査するためのＵＲＬ走査サービスによって使用されてよい。
図５に示されるフィッシング電子メールを考慮されたい。これはフィッシング電子メッセージの実例であるため、受信者は除去されている。１つの実施形態によると、電子メールの解析によって、最適走査パラメータを判断するために使用可能であるいくつかの重大な特徴が明らかになる。これらは、図５に示されるように、ＩＮＰＳ＜ｎｏ．ｒｅｐｌｙｓ２３＠ｐｏｓｔａｃｅｒｔ．ｉｎｐｓ．ｇｏｖ．ｉｔ＞を含む、Ｆｒｏｍのヘッダを含む。ＩＮＰＳは、イタリアにおける主要な政府機関であり、そのように、フィッシング偽造のＩＮＰＳはイタリアではかなり一般的である。ＩＮＰＳがイタリアの背景に固有であることは留意されたい。よって、イタリア人ではないエンドユーザがこのフィッシング電子メッセージによって対象設定されるようになる可能性は非常に低い。電子メールアドレスの国コードトップレベルドメイン（ｃｃＴＬＤ）が、イタリアを示すｃｃＴＬＤであるｉｔであることも留意されたい。Ｔｏのヘッダは、プライバシーを理由に除去されている受信者の表示名および電子メールアドレスを含む。図５に示されるように、Ｓｕｂｊｅｃｔのヘッダにおいて使用される言語は、電子メールの本文で使用される言語と同様にイタリア語である。除去された電子メールアドレスのｃｃＴＬＤはｉｔであり、かつ、ドメイン上のＤＮＳクエリは、ＭＸレコードに関連しているＩＰアドレスが全て、フランスにおいてジオロケートされていること、およびＡレコードに関連しているＩＰアドレスが全て、イタリアにおいてジオロケートされていることを示すことに、留意されたい。ｍａｉｌ ｅｘｃｈａｎｇｅｒレコード（ＭＸレコード）は、受信者のドメインの代わりに電子メールメッセージを受け入れることを担うメールサーバ、および複数のメールサーバが利用可能である場合にメール配信に優先順位を付けるために使用される嗜好値を指定するドメインネームシステム（ＤＮＳ）における一種の認定されかつ検証されたリソースレコードである。Ａレコードは、最も基本的なタイプのＤＮＳレコードであり、ＩＰアドレスに対するドメインまたはサブドメインを指し示すために使用される。Ａレコードに値を割り当てることは、ドメインまたはサブドメインが指し示すべきＴＴＬおよびＩＰアドレスをＤＮＳ管理パネルに提供することを必要とする。
先述によると、このフィッシングの試みは具体的にイタリア人のエンドユーザを対象設定した可能性がある。従って、１つの実施形態によると、この電子メールに埋め込まれたＵＲＬ（複数可）をうまく走査するには、
－イタリアにおいてジオロケートされるＩＰアドレス（図１０、ＵＲＬ走査サービスおよびＨＴＴＰプロキシを参照）、および
－少なくともｉｔ－ＩＴを含むＡｃｃｅｐｔ－Ｌａｎｇｕａｇｅヘッダ
を使用して行われる場合がある。
言語を形式化して、Ｍが、少なくとも１つのＵＲＬを含む（電子メール、テキスト、インスタントメッセージなどを含むがこれらに限定されない）電子メッセージを示すようにする。それぞれのこのような電子メッセージＭは、疑いを持たないエンドユーザを悪性ＵＲＬに向けさせることができる１つまたは複数のＵＲＬを含む場合がある。これらの埋め込まれたＵＲＬの１つまたは複数は走査のために選択可能である。すなわち、埋め込まれたＵＲＬのうちの唯一つが走査のために選択可能である、複数ではあるが少数のＵＲＬ全てが走査のために選択可能である、または電子メッセージに埋め込まれたＵＲＬの全てが走査のために選択可能である。式ＵＭ＝｛ｕＭ、１、…、ｕＭ、ｎ｝は、走査するためにメッセージＭにおいて選択されたＵＲＬのリストを示す。このリストは、単集合であってよい、または複数のメンバを含んでよい。
式ＵＭ＝ＳｅｌｅｃｔＵＲＬｓ（Ｍ）は、メッセージＭを解析する関数を示し、ＭからＵＲＬを抽出し、抽出されたＵＲＬの中から走査するためのこのＵＲＬ（複数可）を選択する。１つの実施形態では、選択されたＵＲＬは、Ｍに含有されるＵＲＬのサブセットであってよく、それによって、最も疑わしいＵＲＬ（単数または複数）のみが走査の検討対象になる。その目的に向けて、疑惑スコアは、もっとも疑わしいＵＲＬ（複数可）の選択を可能にするように計算されてよい。１つの実施形態によると、種々の特徴およびコンピュータ実施方法は、疑惑スコアの計算において使用されてよい。例えば、検討中のＵＲＬがクリッカブルであるかどうかは、より高い疑惑スコアと関連付けられてよい重大な特徴である。疑惑スコアは、例えば、可能なものをいくつか挙げると、異常検出アルゴリズム、教師あり学習アルゴリズム、自然言語処理アルゴリズム、および／またはコンピュータビジョンアルゴリズムを使用して、計算されてよい。高評価のドメインと関連付けられたＵＲＬは、ドメインが高評価であるＵＲＬが悪性である可能性が非常に低いため、無視されてよい、または低い疑惑スコアが割り当てられてよい。以下の（ＨｉｇｈＲｅｐｕｔａｔｉｏｎＤｏｍａｉｎｓ）を参照されたい。しかしながら、ｂｉｔ．ｌｙまたはｏｗ．ｌｙなどのＵＲＬ短縮化サービスドメインは、周知でありおそらく高評価であるが、サイバー犯罪者によって頻繁に乱用されている。
メッセージＭから抽出されたｐの特徴のリストは、ＦＭ＝｛ｆＭ、１、…、ｆＭ、ｐ｝として表されてよい。関数ＦＭ＝ＣｏｍｐｕｔｅＦｅａｔｕｒｅｓ（Ｍ）は、Ｍの種々のコンポーネントから特徴ＦＭを抽出し、必要に応じて、選択された方法に従って抽出されたデータを処理する。１つの実施形態によると、抽出の検討対象とされてよいＭのコンポーネントは、例えば、Ｍの送信者、Ｍの受信者、Ｍのコンテンツ、および／またはＭと関連付けられた任意の他のヘッダもしくはメタデータを含んでよい。
特徴は、テキストコンテンツを解析すること、ＤＮＳにクエリすること、ＷＨＯＩＳにクエリすること、ＩＰアドレスジオロケーションデータベースにクエリすること、例えば、Ｍにおいて使用される主要言語を特定するために、自然言語処理を適用すること、および／または例えば、画像としてレンダリングされるＭにおけるブランドロゴを認識しかつ抽出するために、Ｓｃａｌｅ－Ｉｎｖａｒｉａｎｔ Ｆｅａｔｕｒｅ Ｔｒａｎｓｆｏｒｍ（ＳＩＦＴ）または指向ＦＡＳＴなどのコンピュータビジョンアルゴリズム、および回転ＢＲＩＥＦ（ＯＲＢ）特徴検出アルゴリズムを適用することのうちの１つまたは複数によって、抽出されたデータから計算可能である。ＷＨＯＩＳは、ドメイン名、ＩＰアドレスブロック、または自律システムなどのインターネットリソースの登録されたユーザまたは割り当て先（ａｓｓｉｇｎｅｅ）を記憶するデータベースにクエリするために広く使用されるが、より広い範囲の他の情報にも使用されるクエリおよび応答プロトコルである。プロトコルは、人間にとって可読であるフォーマットでデータベースコンテンツを記憶しかつ配信する。
図５の例を再び検討すると、計算されるカテゴリ別特徴のセットは以下を含んでよい。
－送信者表示名はＩＮＰＳを含む
－送信電子メールアドレスはｉｎｐｓを含む
－送信者電子メールアドレスｃｃＴＬＤはｉｔである
－受信者電子メールアドレスｃｃＴＬＤはｉｔである
－受信者電子メールアドレスドメインＭＸレコードはフランスにおいてジオロケートされる
－受信者電子メールアドレスドメインＡレコードはイタリアにおいてジオロケートされる
－件名の主要言語はイタリア語である
－本文の主要言語はイタリア語である
－ＩＮＰＳが本文で見つかる
－ＩＮＰＳロゴが本文においてコンピュータビジョンによって見つかる
カテゴリ値、離散値、および連続値を混合し、かつＩＮＰＳを多くのイタリアブランドのうちの１つであるとみなす特徴の代替的なセットは以下を含んでよい。
－送信者フィールドはイタリアブランドへの２つの参照を含む
－送信者電子メールアドレスｃｃＴＬＤはｉｔである
－受信者電子メールアドレスｃｃＴＬＤはｉｔである
－件名の主要言語がイタリア語である確率は０．９８５であると計算される
－件名の主要言語がフランス語である確率は０．０１５であると計算される
－本文の主要言語がイタリア語である確率は１．０００であると計算される
－イタリアブランドロゴが本文においてコンピュータビジョンによって見つかった確率は０．９９２であると計算される
テキストメッセージおよびインスタントメッセージなどの他のタイプのメッセージに対して、これらのメッセージが、特徴の選択を行うようにすることができる異なるデータが利用可能であってよいため、特徴は異なっていてよい。カテゴリ別特徴、離散特徴、および連続特徴のこのセットは典型的には、特徴ベクトルによって表されてよい。
最適走査パラメータがここで判断されてよい。１つの実施形態によると、最適走査パラメータＳＰＭ＝｛ｓｐＭ、１、…、ｓｐＭ、ｑ｝は、関数ＳＰＭ＝ＤｅｔｅｒｍｉｎｅＳＰ（ＦＭ）によって返されてよい。このような最適走査パラメータは、１つの実施形態によると、以下のパラメータ、
－走査に使用されるＩＰアドレス
－走査に使用されるＩＰアドレスのジオロケーション
－走査に使用されるＩＰアドレスの逆引きＤＮＳに対する制約（例えば、逆引きＤＮＳは所定の選択済みドメイン名のサブドメインであるものとする）
－走査に使用されるＩＰアドレスのＷＨＯＩＳに対する制約（例えば、ＷＨＯＩＳレコードは所定の選択済みテンプレートに適合するものとする）
－ＨＴＴＰユーザエージェントヘッダの値
－ＨＴＴＰ Ｒｅｆｅｒｅｒヘッダの値、および
－ＨＴＴＰ Ａｃｃｅｐｔ－Ｌａｎｇｕａｇｅヘッダの値
などの１つまたは複数を含んでよい。ＩＰアドレスがもとからジオロケーションを有することができ、関連した逆引きＤＮＳをもとから有することができ、ＷＨＯＩＳ情報をもとから有することができるため、いくつかのパラメータがその他に依存することは留意されたい。最適走査パラメータの上記のリストは、当業者には認識可能であるように、このような可能なパラメータの包括的なリストであることを意図するものではない。
以下に、最適走査パラメータの一例を挙げる。
－イタリアにおいてジオロケートされるＩＰアドレス、および
－ｉｔ－ＩＴ、ｉｔ；ｑ＝０．９、ｅｎ；ｑ＝０．８を含むＡｃｃｅｐｔ－Ｌａｎｇｕａｇｅヘッダ
この場合、最適走査パラメータは、ＩＰアドレスがイタリアにおいてジオロケートされることを含む。さらには、ＨＴＴＰクライアントは、各ｑ値優先度が０．９および０．８であるように、コンテンツがイタリア語、あるいは英語で配信されるものとすることを、サーバにアドバタイズする。
ここに、このような最適走査パラメータの別の例を挙げる。
－ＩＰアドレス逆引きＤＮＳはｂｂｏｘ．ｆｒのサブドメインである（図１０、ＵＲＬ走査サービスおよびＨＴＴＰプロキシを参照）、
－Ａｃｃｅｐｔ－Ｌａｎｇｕａｇｅヘッダはｆｒ－ＦＲ、ｆｒ；ｑ＝０．８、ｅｎ－ＵＳ；ｑ＝０．６、ｅｎ；ｑ＝０．４を含む、および
－ユーザエージェントヘッダは、Ｍｏｚｉｌｌａ／５．０を含む（Ｍａｃｉｎｔｏｓｈ；Ｉｎｔｅｌ Ｍａｃ ＯＳ Ｘ １０＿１３＿６）、ＡｐｐｌｅＷｅｂＫｉｔ／５３７．３６（ＧｅｃｋｏのようなＫＨＴＭＬ）、Ｃｈｒｏｍｅ／６８．０．３４４０．１０６ Ｓａｆａｒｉ／５３７．３６
最適走査パラメータは、この場合、ＩＰアドレス逆引きＤＮＳがサブドメインｂｂｏｘ．ｆｒを含むこと、ユーザエージェントヘッダが、いくつかある詳細の中で特に、Ｉｎｔｅｌ Ｍａｃ ＯＳ Ｘ １０．１３．６のコンピュータ上で実行するＣｈｒｏｍｅブラウザバージョン６８．０．３４４０．１０６を指示することを含む。
このように、関数ＳＰＭ＝ＤｅｔｅｒｍｉｎｅＳＰ（ＦＭ）は、１つの実施形態によると、メッセージＭに対する最適走査パラメータを判断する。この関数は、入力としてＦＭ＝｛ｆＭ、１、…、ｆＭ、ｐ｝の特徴を活用し、ＳＰＭ＝｛ｓｐＭ、１、…、ｓｐＭ、ｑ｝の走査パラメータを返す。１つの実施形態によると、この関数は、例えば、決定木もしくは決定木の組み合わせ、および／またはニューラルネットワークもしくはニューラルネットワークの組み合わせなどのアルゴリズムまたはアルゴリズムの組み合わせであってよいまたはこれを含んでよく、例えば、教師あり学習方法によってトレーニングされてよい。決定木の一例に関しては図７を、決定木の組み合わせの一例に関しては図８Ａ、図８Ｂ、および図８Ｃを参照されたい。
実施例１：決定木
１つの実施形態では、関数ＳＰＭ＝ＤｅｔｅｒｍｉｎｅＳＰ（ＦＭ）は、１つの実施形態によると、決定木または決定木の組み合わせを使用して最適走査パラメータを選択することができる。決定木は、入ってくるエッジを有さないルートと呼ばれるノードのある有向木である、根付き木を形成する、ノードＮのセットおよびエッジＥのセットから成る。全ての他のノードは、厳密には１つの入ってくるエッジを有する。出ていくエッジを有するノードは、内部ノードまたはテストノードと呼ばれる。全ての他のノードは、葉、または終端ノードと呼ばれる。決定木は、１つの実施形態によると、入力としてＦＭの特徴またはＦＭの特徴のサブセットを活用するように構成可能であることで、それぞれのテストノードがＦＭの特徴のサブセットとみなされ、それぞれの終端ノードは１つまたは複数のｓｐＭ、ｉ走査パラメータを出力する。決定木は手動で構成されてよい。代替的には、決定木は、教師あり学習の文脈の中でプログラムで構成されてよい。図７は、
－２つのＦＭの入力特徴は、１）受信者電子メールアドレスの国コードトップレベルドメインｃｃＴＬＤ、および２）電子メール本文における主要言語であり、かつ
－単一の出力ＳＰＭ走査パラメータはＩＰアドレスジオロケーションである、
という、決定木の一例である。示されるように、ｃｃＴＬＤがイタリアであり、かつ電子メール本文における主要言語がイタリア語である場合、ＳＰＭ走査パラメータＩＰアドレスジオロケーションはイタリアである。電子メール本文における主要言語がイタリア語以外である場合、ＩＰアドレスジオロケーションは、この例示の実装形態では、デフォルトのＵＳＡになる。同様に、ｃｃＴＬＤがフランスであり、かつ電子メール本文における主要言語がフランス語である場合、ＳＰＭ走査パラメータＩＰアドレスジオロケーションはフランスである。電子メール本文における主要言語がフランス語以外である場合、ＩＰアドレスジオロケーションは、この決定木では、デフォルトのＵＳＡになる。同様に、ｃｃＴＬＤがイタリアまたはフランス以外であり、かつ電子メール本文における主要言語がイタリア語である場合、ＳＰＭ走査パラメータＩＰアドレスジオロケーションはイタリアである。ｃｃＴＬＤがイタリアまたはフランス以外であり、かつ電子メール本文における主要言語がフランス語である場合、ＳＰＭ走査パラメータＩＰアドレスジオロケーションはフランスである。ｃｃＴＬＤがイタリアまたはフランス以外であり、かつ電子メール本文における主要言語がイタリア語またはフランス語以外である場合、ＩＰアドレスジオロケーションはこの例ではデフォルトのＵＳＡになる。
図８Ａ、図８Ｂ、および図８Ｃは、１つの実施形態による、決定木の組み合わせの例である。それぞれの決定木は出力を生じさせ、これらの出力は、収集されかつ組み合わせられて、共同決定を出力してよい。すなわち、１つの実施形態によると、それぞれの決定木出力は、最終出力を生じさせるとみなされてよい。方策の一例は、決定木の大部分によって活用された決定を選択することであってよい。図８Ａに示されるように、受信者の電子メールアドレスのｃｃＴＬＤがイタリアである場合、決定木は、ＩＰアドレスがイタリアにおいてジオロケートされるように出力する。同様に、受信者の電子メールアドレスのｃｃＴＬＤがフランスである場合、図８Ａの決定木は、ＩＰアドレスがフランスにおいてジオロケートされるように出力する。受信者の電子メールアドレスのｃｃＴＬＤがイタリアでもフランスでもない場合、決定木は（この例では）、ＩＰアドレスがデフォルトとして米国においてジオロケートされることになる。
図８Ｂに示されるように、電子メール本文における主要言語がイタリア語である場合、決定木は、ＩＰアドレスがイタリアにおいてジオロケートされるように出力する。同様に、受信者の電子メールアドレスのｃｃＴＬＤがフランスである場合、図８Ｂの決定木は、ＩＰアドレスがフランスにおいてジオロケートされるように出力する。電子メール本文における主要言語がイタリア語でもフランス語でもない場合、図８Ｂの決定木は、この例では、ＩＰアドレスがデフォルトとして米国においてジオロケートされることになる。
図８Ｃは、ブランドロゴ、商標、または他の特定可能な特性の認識に基づいてＩＰアドレスジオロケーションを選択するように構成される決定木である。電子メールの本文において認識されるブランドロゴがない場合、１つの実施形態では、木は、ＩＰアドレスがデフォルトとして米国においてジオロケートされることになる。そこに示されるように、ブランドロゴが電子メールの本文において認識される場合、そのブランドが既知でありかつジオロケーションと関連付けられているかどうかが判断されてよい。例えば、ブランドロゴが、例えば、ＩＮＰＳ、Ｐｏｓｔｅ Ｉｔａｌｉａｎｅ、Ｂａｎｋ ｏｆ Ｉｔａｌｙ、または別のイタリアブランドとして認識されかつ特定される場合、ＩＰアドレスジオロケーションはイタリアであると判断される。同様に、ブランドロゴが、例えば、ＢＮＰ Ｐａｒｉｂａｓ、Ｓｏｃｉｅｔｅ Ｇｅｎｅｒａｌｅ、または別のフランスブランドとして認識されかつ特定される場合、ＩＰアドレスジオロケーションはフランスであると判断される。全ての他の場合では、決定木は、ＩＰアドレスがデフォルトとして米国においてジオロケートされることになる。
図８Ａ、図８Ｂ、および図８Ｃが簡略化された決定木の例でもあり、かつ使用時に、このような決定木がはるかに大きくかつ詳細なものになり得ることは、理解されたい。
実施例２：フィッシングキットのリバースエンジニアリングによる教師あり学習アルゴリズム
１つの実施形態では、関数ＳＰＭ＝ＤｅｔｅｒｍｉｎｅＳＰ（ＦＭ）は、１つの実施形態によると、フィッシングキットのリバースエンジニアリングによる教師あり学習アルゴリズムを使用して最適走査パラメータを選択することができる。ＰＭがフィッシングメッセージであり、ＰＫがＰＭに含まれる悪性ＵＲＬと関連付けられたフィッシングキットである、ペア（ＰＭ、ＰＫ）を考慮されたい。ｎ個のこのようなペアのセット｛（ＰＭ１、ＰＫ１）、…、（ＰＭｎ、ＰＫｎ）｝がさらにまた収集される。ここで、教師あり学習アルゴリズムを考慮されたい。それぞれのペア（ＰＭｉ、ＰＫｉ）について、教師あり学習アルゴリズムでは、
－入力特徴ベクトルとしてのＦＰＭｉ＝ＣｏｍｐｕｔｅＦｅａｔｕｒｅｓ（ＰＭｉ）、および
－所望の出力ベクトルとしてのＳＰＰＫｉであって、ＰＫｉのフィッシングキットの手動または自動化リバースエンジニアリングによって判断されてよい走査パラメータのセットである、ＳＰＰＫｉが考慮される。教師あり学習アルゴリズムのタスクは、入力空間Ｘ＝｛ＦＰＭ１、…、ＦＰＭｎ｝を所望の出力空間Ｙ＝｛ＳＰＰＫ１、…、ＳＰＰＫｎ｝にマッピングする最適関数ｇ：Ｘ→Ｙをシークすることである。
例えば、
－ＰＭ１が図５の例示のＩＮＰＳフィッシングメッセージにおいて提示されるフィッシングメッセージであり、かつ
－ＰＫ１がＰＭ１に含まれる悪性ＵＲＬに関連付けられたフィッシングキットである、
ペア（ＰＭ１、ＰＫ１）を考慮する。フィッシングキットのソースコードの手動またはプログラムによるリバースエンジニアリングは、
－接続用ＩＰアドレスがイタリアにおいてジオロケートされる時、フィッシングキットが、ＨＴＴＰ ２００ ＯＫ、およびフィッシングウェブページコンテンツを返すこと、
－その他の場合、フィッシングキットがいずれのコンテンツもない、ＨＴＴＰ ４０４ Ｎｏｔ Ｆｏｕｎｄのエラーコードを返すこと、
を示す。
図６は、接続用ＩＰのジオロケーションを判断するためにジオロケーションサービスを呼び出すように構成される例示のＰＨＰフィッシングキットコードを示す。
ペア（ＰＭ１、ＰＫ１）について、教師あり学習アルゴリズムでは以下を検討する。
－入力特徴ベクトルとしてＦＰＭ１＝ＣｏｍｐｕｔｅＦｅａｔｕｒｅｓ（ＰＭ１）である。特徴の例には、
－受信者電子メールアドレスｃｃＴＬＤはｉｔであること、
－本文における主要言語はイタリア語であること、
－イタリアのブランドロゴが見つかったこと、
－所望された出力ベクトル、すなわち、ＩＰがイタリアにおいてジオロケートされるという、走査パラメータの所望のセットとしてのＳＰＰＫ１、
が含まれてよい。教師あり学習アルゴリズムを精確にトレーニングしかつテストするために、さらに多くの（ＰＭｉ、ＰＫｉ）ペアを収集することが望ましい。
実施例３：ＴｅｓｔＳｃａｎＵＲＬによる教師あり学習アルゴリズム
１つの実施形態では、関数ＳＰＭ＝ＤｅｔｅｒｍｉｎｅＳＰ（ＦＭ）は、教師あり学習モデルの基礎となるＤｅｔｅｒｍｉｎｅＳＰのトレーニングのための最適走査パラメータがＴｅｓｔＳｃａｎＵＲＬ（ＳＰＭ、ｍｕＭ）関数を使用して判断される教師あり学習アルゴリズムを使用して、最適走査パラメータを選択してよい。ＴｅｓｔＳｃａｎＵＲＬ（ＳＰＭ、ｍｕＭ）関数は、１つの実施形態によると、最適走査パラメータを選択するＤｅｔｅｒｍｉｎｅＳＰ関数のトレーニング中に使用されてよい。ＴｅｓｔＳｃａｎＵＲＬ（ＳＰＭ、ｍｕＭ）関数は、１つの実施形態によると、下記により詳細に論じられるように、その目的が、ＤｅｔｅｒｍｉｎｅＳＰ関数をトレーニングすることに限定されるため、電子メールが受信される時、いずれのＵＲＬ走査技術においても、またはいずれのメッセージサービスコンテキストにおいても、使用されない。
Ｍが悪性ＵＲＬ、ｍｕＭを含むメッセージであり、ＳＰＭが、ＴｅｓｔＳｃａｎＵＲＬ（ＳＰＭ、ｍｕＭ）が１を返すような走査パラメータである、ペア（Ｍ、ＳＰＭ）を考慮する。メッセージのｎのトレーニングペアおよび最適走査パラメータのセット｛（Ｍ１、ＳＰＭ１）、…、（Ｍｎ、ＳＰＭｎ）｝が収集される。ここで、それぞれのペア（Ｍｉ、ＳＰＭｉ）について、
－入力ベクトルとしてのＦＭｉ＝ＣｏｍｐｕｔｅＦｅａｔｕｒｅｓ（Ｍｉ）、および
－所望の出力ベクトルとしてのＳＰＭｉ
を考慮する教師あり学習アルゴリズムを考慮する。教師あり学習アルゴリズムのタスクは、入力空間Ｘ＝｛ＦＭ１、…、ＦＭｎ｝を所望の出力空間Ｙ＝｛ＳＰＭ１、…、ＳＰＭｎ｝にマッピングする最適関数ｇ：Ｘ→Ｙをシークすることである。
例えば、以下の場合のペア（Ｍ１、ＳＰＭ１）を考慮する。
－Ｍ１が図５において提示されるフィッシングメッセージ、（ＩＮＰＳフィッシングメッセージ）であり、ｍｕＭ１がＭ１に含まれる悪性ＵＲＬであり、かつ
－ＳＰＭ１が、ＴｅｓｔＳｃａｎＵＲＬ（ＳＰＭ１、ｍｕＭ１）が１を返すような走査パラメータのセットである。ＳＰＭ１はＴｅｓｔＳｃａｎＵＲＬのおかげで発見可能である。
例えば、走査パラメータの全数探索は、ＳＰＭ１を見つけるためにＴｅｓｔＳｃａｎＵＲＬによって行われてよい。接続用ＩＰのジオロケーションと関連付けられた国である単一の走査パラメータＩＰＣｏｕｎｔｒｙの場合を考えてみる。１つの実施形態によると、ステップは以下を含む。
－ステップ１：ＨＴＴＰ ４０４ Ｎｏｔ Ｆｏｕｎｄのエラーコードが返されるため、ＴｅｓｔＳｃａｎＵＲＬ（ＩＰＵＳＡ、ｍｕＭ１）は０を返し、
－ステップ２：ＨＴＴＰ ４０４ Ｎｏｔ Ｆｏｕｎｄのエラーコードが返されるため、ＴｅｓｔＳｃａｎＵＲＬ（ＩＰＦｒａｎｃｅ、ｍｕＭ１）は０を返し、
－ステップ３：ＨＴＴＰ ２００ ＯＫ状態コードがフィッシングウェブページコンテンツと共に返されるため、ＴｅｓｔＳｃａｎＵＲＬ（ＩＰＩｔａｌｙ、ｍｕＭ１）は１を返す。よってＳＰＭ１＝ＩＰＩｔａｌｙである。
代替的な方法を使用してよい。例えば、探索空間を絞り込むためにＦＭ１＝ＣｏｍｐｕｔｅｒＦｅａｔｕｒｅｓ（Ｍ１）を使用することができる。
関数ｒｅｓ＝ＴｅｓｔＳｃａｎＵＲＬ（ＳＰＭ、ｕＭ、ｉ）は、１つの実施形態によると、ＳＰＭ走査パラメータを有するＵＲＬ、ｕＭ、ｉによって指し示されるウェブリソースに対するデータを要求するためにＳＰＭ走査パラメータを有するＵＲＬ、ｕＭ、ｉに対するＨＴＴＰ ＧＥＴ要求を行う関数である。この関数は、１つまたはいくつかのリダイレクトがある場合があるため、直面するいずれのリダイレクトにも従うことができることに留意されたい。種々のやり方でリダイレクトを行うことができる（ＨＴＴＰ ３０１ Ｍｏｖｅｄ Ｐｅｒｍａｎｅｎｔｌｙ、ＨＴＭＬ ｍｅｔａ ｒｅｆｒｅｓｈリダイレクト、ＪａｖａＳｃｒｉｐｔリダイレクトなどのＨＴＴＰ ３ｘｘリダイレクト）。このＴｅｓｔＳｃａｎＵＲＬ（ＳＰＭ、ＵＲＬ、ｕＭ、ｉ）関数は，走査されるＵＲＬのサーバ側での防御行動が疑わしい時に０のｒｅｓ値を返し、その他の場合は１を返す。防御行動は、１つの実施形態によると、ＵＲＬに対するＨＴＴＰ ＧＥＴ要求が以下の結果のうちの１つをもたらす時かつその時に限り、疑わしい。
－ＨＴＴＰ ４００ Ｂａｄ Ｒｅｑｕｅｓｔ、ＨＴＴＰ ４０１ Ｕｎａｕｔｈｏｒｉｚｅｄ、ＨＴＴＰ ４０３ Ｆｏｒｂｉｄｄｅｎ、またはＨＴＴＰ ４０４ Ｎｏｔ ｆｏｕｎｄなどのＨＴＴＰ ４ｘｘクライアントエラーコード、または
－ＨＴＴＰ ５００ Ｉｎｔｅｒｎａｌ Ｓｅｒｖｅｒ ＥｒｒｏｒなどのＨＴＴＰ ５ｘｘサーバエラーコード、または
－さらに以下に論じられる、ドメインがＨｉｇｈＲｅｐｕｔａｔｉｏｎＤｏｍａｉｎｓに属するＵＲＬへのリダイレクト。
ドメインがＨｉｇｈＲｅｐｕｔａｔｉｏｎＤｏｍａｉｎｓに属するＵＲＬへのリダイレクト
上記のように、いくつかのリダイレクトがあってよく、リダイレクトは種々のやり方で行われ得る（ＨＴＴＰ ３０１ Ｍｏｖｅｄ Ｐｅｒｍａｎｅｎｔｌｙ、ＨＴＭＬ ｍｅｔａ ｒｅｆｒｅｓｈリダイレクト、ＪａｖａＳｃｒｉｐｔリダイレクトなどのＨＴＴＰ ３ｘｘリダイレクト）。ＨｉｇｈＲｅｐｕｔａｔｉｏｎＤｏｍａｉｎｓの構成は、高い評価を受け、周知であり、一般的に信頼されているドメイン名のリストを含んでよい。高評価のドメイン名には、例えば、サーチエンジンドメイン、ソーシャルネットワークドメイン、金融サービスドメイン、電子商取引企業ドメイン、およびＩＳＰドメインなどが挙げられ得る。それに応じて、ＨｉｇｈＲｅｐｕｔａｔｉｏｎＤｏｍａｉｎｓの例には、ｇｏｏｇｌｅ．ｃｏｍ、ｆａｃｅｂｏｏｋ．ｃｏｍ、ｌｉｎｋｅｄｉｎ．ｃｏｍ、ｗｅｌｌｓｆａｒｇｏ．ｃｏｍ、ｃｈａｓｅ．ｃｏｍ、ｐａｙｐａｌ．ｃｏｍ、ａｍａｚｏｎ．ｃｏｍ、ｏｒａｎｇｅ．ｆｒが挙げられる。一般的に、フィッシングおよびランサムウェアなどによってサイバー犯罪者によって規則的に対象設定されかつ偽造される機関に属するドメインは、ＨｉｇｈＲｅｐｕｔａｔｉｏｎＤｏｍａｉｎｓリストに表されることになる。このリストが、例えば、ＧｏｏｇｌｅのＰａｇｅＲａｎｋなどの技術を使用して自動的に生成されてよいことは留意されたい。
ＵＲＬ書き換え
Ｍ'＝ＲｅｗｒｉｔｅＵＲＬｓ（Ｍ、ＵＳＳ、ＵＭ、ＳＰＭ）は、１つの実施形態では、メッセージＭにおけるＵＲＬ、ＵＭ＝｛ｕＭ、１、…、ｕＭ、ｎ｝を書き換える関数である。ＵＲＬ書き換えは、メッセージＭにおける選択されたＵＲＬ、ｕＭ、ｉを書き換えられたＵＲＬ、ｕ'Ｍ、ｉに変換する。この書き換えられたＵＲＬ、ｕ'Ｍ、ｉは、自分のメールボックスから書き換えられたメッセージを検索し、書き換えられたメッセージを開き、そこに含まれる書き換えられたＵＲＬをクリックする時にエンドユーザにもたらされることになる危険性は低い。実際は、書き換えられたＵＲＬはここで、ＵＲＬ走査サービスを指し示し、メッセージＭに元々含まれていた潜在的悪性ＵＲＬを指し示さない。この関数は以下の入力パラメータ、
－メッセージＭ、
－ＵＲＬ走査サービスの基本のＵＲＬであるＵＳＳ、
－ＵＭ＝ＳｅｌｅｃｔＵＲＬｓ（Ｍ）であるＵＭ＝｛ｕＭ、１、…、ｕＭ、ｎ｝を書き換えるためのＵＲＬ、および
－ＳＰＭ＝｛ｓｐＭ、１、…、ｓｐＭ、ｑ｝走査パラメータを用いる。それぞれのＵＲＬ、ｕＭ、ｉについて、ＲｅｗｒｉｔｅＵＲＬｓ（Ｍ、ＵＳＳ、ＵＭ、ＳＰＭ）関数は、
－ＵＳＳはｕ'Ｍ、ｉに対する基本のＵＲＬとしての役割を果たす、
－ｕＭ、ｉは、符号化され、かつＵＲＬパスまたはクエリ文字列に記憶される第１のＵＲＬパラメータとして渡され、
－ＳＰＭ＝｛ｓｐＭ、１、…、ｓｐＭ、ｑ｝は、符号化され、かつＵＲＬパスまたはクエリ文字列に記憶される１つまたはいくつかの第２のＵＲＬパラメータとして渡される、
など、書き換えられたＵＲＬ、ｕ'Ｍ、ｉを計算する。さらにまた、ＲｅｗｒｉｔｅＵＲＬｓ（Ｍ、ＵＳＳ、ＵＭ、ＳＰＭ）関数は、それぞれのＵＲＬ、ｕＭ、ｉを書き換えられたＵＲＬ、ｕ'Ｍ、ｉに置き換える。最後に、ＲｅｗｒｉｔｅＵＲＬｓ（Ｍ、ＵＳＳ、ＵＭ、ＳＰＭ）関数は、書き換えられた｛ｕ'Ｍ、１、…、ｕ'Ｍ、ｎ｝ＵＲＬを含む更新されたメッセージＭ'を返し、このメッセージＭ'はさらにまた、さらなる使用のためにエンドユーザのメールボックスに記憶されてよい。
ＵＲＬ書き換え例
ここで、１つの実施形態による、実行中のＲｅｗｒｉｔｅＵＲＬｓ（Ｍ、ＵＳＳ、ＵＭ、ＳＰＭ）の一例を示す。下記の例示の値を考えてみる。
－ＵＲＬ走査サービスに対する基本のＵＲＬとしてのＵＳＳ＝ｈｔｔｐ：／／ｕｒｌｓｃａｎｎｉｎｇｓｅｒｖｉｃｅ．ｃｏｍ
－ｕＭ、ｉ＝ｈｔｔｐ：／／ｗｗｗ．ｕｎｋｎｏｗｎ．ｃｏｍ／ｉｎｄｅｘ．ｈｔｍｌ
－ＳＰＭ＝｛ＩＰ ｇｅｏｌｏｃａｔｅｄ ｉｎ ＵＳＡ｝
ｕＭ、ｉの書き換えは、
ｕ'Ｍ、ｉ＝ｈｔｔｐ：／／ｕｒｌｓｃａｎｎｉｎｇｓｅｒｖｉｃｅ．ｃｏｍ／ｕｒｌ／ａＨＲ０ｃＤｏｖＬ３ｄ３ｄｙ５１ｂｍｔｕｂ３ｄｕＬｍＮｖｂＳ９ｐｂｍＲｌｅＣ５ｏｄＧ１ｓ／ｇｅｏｉｐ／ｄＸＮｈであってよい。この例では、ｕＭ、ｉおよびＳＰＭは、符号化され、かつＵＲＬパスにおけるパラメータとして記憶されている。
－「ａＨＲ０ｃＤｏｖＬ３ｄ３ｄｙ５１ｂｍｔｕｂ３ｄｕＬｍＮｖｂＳ９ｐｂｍＲｌｅＣ５ｏｄＧ１」のパラメータ値は、Ｂａｓｅ６４におけるｈｔｔｐ：／／ｗｗｗ．ｕｎｋｎｏｗｎ．ｃｏｍ／ｉｎｄｅｘ．ｈｔｍｌの符号化から生じる。パラメータ値はｕｒｌパラメータキーが先行する。パラメータキーおよび値は、前方のスラッシュによって分離される。
－ｄＸＮｈパラメータ値は、Ｂａｓｅ６４における文字列ｕｓａの符号化から生じる。パラメータ値はｇｅｏｉｐパラメータキーが先行する。ここでも、パラメータキーおよび値は、前方のスラッシュによって分離される。
Ｂａｓｅ６４は、ＵＲＬ書き換えの文脈の中でパラメータが符号化可能である多くの可能なフォーマットのうちの１つのみであることに留意されたい。ＵＲＬ書き換えは、悪性リンクに対してエンドユーザを保護するためのメッセージセキュリティの文脈の中での一般的技法である。Ｍｉｃｒｏｓｏｆｔ Ｏｆｆｉｃｅ ３６５ ＡＴＰ Ｓａｆｅ Ｌｉｎｋｓ、Ｍｉｍｅｃａｓｔ ＵＲＬ Ｐｒｏｔｅｃｔ、およびＰｒｏｏｆｐｏｉｎｔ ＵＲＬ Ｄｅｆｅｎｓｅは、このような実装形態の例である。
図９Ａは、１つの実施形態による、コンピュータ実施方法のフローチャートである。ここに示されるように、ブロックＢ９０２は、受信した電子メッセージＭから１つまたは複数のＵＲＬ、ＵＭ＝｛ｕＭ、１、…、ｕＭ、ｎ｝を抽出しかつ選択することを求める。メッセージＭにＵＲＬが存在しない（ＵＭが空である）場合、このコンピュータ実施方法は終了する。１つの実施形態において、選択されたＵＲＬはＭに含まれるＵＲＬのサブセットであってよく、それによって、最も疑わしいＵＲＬのみが走査の検討対象になる。上記のように、その目的に向けて、疑惑スコアは、Ｍに含まれるＵＲＬの感知した不審度を判断し、かつこれにランクスコアを割り当てるために計算されかつ使用されてよい。疑惑スコアは、例えば、可能なものをいくつか挙げると、異常検出アルゴリズム、教師あり学習アルゴリズム、自然言語処理アルゴリズム、および／またはコンピュータビジョンアルゴリズムを使用して、計算されてよい。高評価のドメインと関連付けられたＵＲＬは、ドメインが高評価であるＵＲＬが悪性ものである可能性が非常に低いため、無視されてよい、または低い疑惑スコアが割り当てられてよい。
図９Ａに示されるように、１つまたは複数のＵＲＬが存在し、かつメッセージＭにおいて選択されている（ＵＭは空ではない）と想定すると、ブロックＢ９０４では、関数ＦＭ＝ＣｏｍｐｕｔｅＦｅａｔｕｒｅｓ（Ｍ）によってＦＭ＝｛ｆＭ、１、…、ｆＭ、ｐ｝として表される、メッセージＭから抽出されるｐ個の特徴ｆのリストを求めることが実行されてよい。特徴ＦＭは、Ｍの種々のコンポーネントからデータを抽出することによって、かつ１つまたは複数の選択された方法に従って抽出されたデータを処理することによって、計算されてよい。１つの実施形態によると、抽出の検討対象とされてよいＭのコンポーネントは、例えば、Ｍの送信者、Ｍの受信者、Ｍのコンテンツ、および／または電子メッセージＭと関連付けられた任意の他のヘッダもしくはメタデータを含んでよい。特徴は、テキストのコンテンツを解析すること、ＤＮＳにクエリすること、ＷＨＯＩＳにクエリすること、コンピュータネットワーク上でアクセスし、かつＩＰアドレスジオロケーションデータベースにクエリすること、例えば、Ｍにおいて使用される主要言語を特定するために、自然言語処理を適用すること、および／または画像としてレンダリングされるＭにおける商標登録グラフィックスまたは他のブランドロゴを認識しかつ抽出するためにコンピュータビジョンアルゴリズムを適用することのうちの１つまたは複数によって抽出されたデータから計算可能である。他の特徴も、前述の特徴に加えてまたはこれの代わりに抽出されてよい。
ブロックＢ９０６は、Ｂ９０４のＦＭ出力、すなわち、電子メッセージＭから抽出された特徴を用い、かつ１つの実施形態によると、関数ＳＰＭ＝ＤｅｔｅｒｍｉｎｅＳＰ（ＦＭ）を使用して最適走査パラメータを計算する。この関数は、入力としてＦＭ＝｛ｆＭ、１、…、ｆＭ、ｐ｝の特徴を用い、かつ電子メッセージにおける１つまたは複数の選択されたＵＲＬを走査するために使用可能である、ＳＰＭ＝｛ｓｐＭ、１、…、ｓｐＭ、ｑ｝の最適走査パラメータを返すことによって、メッセージＭに対する最適走査パラメータを判断する。すなわち、疑わしい悪性または偽造されたウェブサイトの走査が前述の最適走査パラメータを使用して行われたとしたら、当該ウェブサーバは、防御行動を取る可能性は低くなり、かつフィッシングウェブサイトまたはウェブページを送り返す可能性が高くなり、それによって、この識別が可能になり、かつセキュリティ会社がそれに対する防御をその顧客にもたらすことを可能にする。１つの実施形態によると、このようなパラメータは、例えば、走査に使用されるＩＰアドレス、走査に使用されるＩＰアドレスのジオロケーション、走査に使用されるＩＰアドレスの逆引きＤＮＳに対する制約、走査に使用されるＩＰアドレスのＷＨＯＩＳに対する制約、ＨＴＴＰ ＲｅｆｅｒｅｒヘッダのＨＴＴＰユーザエージェントヘッダの値、および／またはＨＴＴＰ Ａｃｃｅｐｔ－Ｌａｎｇｕａｇｅヘッダの値を含んでよい。他のカテゴリ値、離散値、および連続値の特徴は、本明細書に開示されるように送り返されてよい。上記のように、ＳＰＭ＝ＤｅｔｅｒｍｉｎｅＳＰ（ＦＭ）関数は、決定木技法、ニューラルネットワーク技法、およびこれらの組み合わせを活用してよく、例えば、教師あり学習技法によってトレーニングされてよい。ＴｅｓｔＳｃａｎＵＲＬ（ＳＰＭ、ｍｕＭ）関数は、１つの実施形態によると、教師あり学習モデルの基礎となるＤｅｔｅｒｍｉｎｅＳＰ（ＦＭ）関数をトレーニングするために使用される最適走査パラメータを判断するために前もって使用されていてよい。
Ｂ９０８に示されるように、メッセージＭ、１つまたは複数の抽出されかつ選択されたＵＲＬ、ＵＭ、ＤｅｔｅｒｍｉｎｅＳＰ（ＦＭ）関数によって出力される最適走査パラメータ、および書き換えられるＵＲＬに対する基本のＵＲＬ、ＵＳＳを使用して、ＲｅｗｒｉｔｅＵＲＬｓ（Ｍ、ＵＳＳ、ＵＭ、ＳＰＭ）関数は、メッセージＭにおけるそれぞれの疑わしいＵＲＬ、ｕＭ、ｉを書き換え、かつこれをメッセージＭ'において書き換えられたＵＲＬ、ｕ'Ｍ、ｉと置き換える。ここでの書き換えられたＵＲＬ、ｕ'Ｍ、ｉを有するメッセージＭ'は、図９ＡにおけるブロックＢ９１０に示されるように、エンドユーザのメールボックスに記憶されてよい。この時点で、メッセージサービスにおいて実行されたコンピュータ実施方法は終了する。メッセージＭ'におけるそれぞれの書き換えられたＵＲＬ、ｕ'Ｍ、ｉは、１つの実施形態によると、指し示すウェブリソースが解決可能となる前にＵＲＬ走査サービスによって最初に復号されなければならないため、ユーザがクリックしても安全である。
図９Ｂは、１つの実施形態による、書き換えられたＵＲＬを復号し、かつ復号されたＵＲＬを走査するコンピュータ実施方法のフローチャートである。Ｂ９２０に示されるように、関数ｕＭ、ｉ、ＳＰＭ＝ＤｅｃｏｄｅＲｅｗｒｉｔｔｅｎＵＲＬ（ｕ'Ｍ、ｉ）は、１つの実施形態によると、エンドユーザが自分のメールボックスにおいてメッセージＭ'における任意の書き換えられたＵＲＬ、ｕ'Ｍ、ｉをクリックする時に呼び出されるＵＲＬ走査サービスによって実行されてよい。書き換えられたＵＲＬ、ｕ'Ｍ、ｉをクリックする、あるいは選択する行為によって、ＵＳＳがｕ'Ｍ、ｉの基本のＵＲＬであるため、ＵＲＬ走査サービスによる、生成、受信、および処理を行わせる要求が生じる。そのように、関数ＤｅｃｏｄｅＲｅｗｒｉｔｔｅｎＵＲＬ（ｕ'Ｍ、ｉ）はｕ'Ｍ、ｉからｕＭ、ｉをおよびＳＰＭを抽出することで、ここで復号される、書き換えられたＵＲＬ、ｕＭ、ｉ（元のメッセージＭに含まれていたのと同じである）が、抽出されかつ復号されたＳＰＭ走査パラメータによって安全に走査可能とされる。関数ＳｃａｎＵＲＬ（ＳＰＭ、ｕＭ、ｉ）は、ブロックＢ９２２に示されるように、前もって判断された最適走査パラメータＳＰＭによる現時点で復号されたＵＲＬ、ｕＭ、ｉの走査を行う。適したＵＲＬ走査技術は、２０１８年１１月２７日出願の、共同所有される米国特許第９，３９８，０４７号および米国特許第１０，４２３，３６６号に開示されており、これらは両方とも全体が参照により本明細書に組み込まれている。
図１０は、ＵＲＬを走査する際のＨＴＴＰプロキシの使用を含む、１つの実施形態のさらなる態様を示す図である。ここに示されるように、ＵＲＬ走査サービス１００２は、図９ＢのブロックＢ９２０およびＢ９２２の機能性を組み込むように構成されてよい。すなわち、エンドユーザが書き換えられたＵＲＬをクリックする時、クリックする行為は、Ｂ９２０に示されるように、符号化されたＵＲＬパラメータとして渡された書き換えられたＵＲＬを復号する、および、図９ＢにおけるブロックＢ９２２に示されるように、符号化されたＵＲＬパラメータとしてＵＲＬ走査サービスに渡された、前もって判断されかつ現時点で復号される最適走査パラメータＳＰＭを使用して、復号されたＵＲＬを走査するための、ＵＲＬ走査サービスへの要求として動作する。
図１０に示されるように、１つの実施形態によると、一実施形態の態様を組み込むＵＲＬ走査サービス１００２は、フィッシングキットのＨＴＴＰサーバ１０１０との通信、走査、あるいは対話を行わない。代わりに、このような走査は、選択されたＨＴＴＰプロキシによるＵＲＬ走査技術の指針で生じる。１つの実施形態によると、選択されたＨＴＴＰプロキシは、悪性メッセージの意図した受信者の国（１００４に示されるような米国、１００６に示されるようなイタリア、または１００８に示されるようなフランス）などの選択された国においてジオロケートされてよい。選択されたＨＴＴＰプロキシ１００４、１００６、１００８、またはその他（図示せず）は、１つの実施形態によると、いくつかある可能な要件の中で特に、ＩＰアドレス、ＩＰアドレスの前述のジオロケーション、ＩＰアドレスの逆引きＤＮＳ、ＩＰアドレスに関連しているＷＨＯＩＳ情報などの走査パラメータの要件に配慮する場合がある。ＨＴＴＰプロキシはまた、選択された国においてジオロケートされてよく、図１０における１００８に示されるように、ドメインｂｂｏｘ．ｆｒ（実例）などの選択されたドメインのサブドメインであるＩＰアドレスを有してよい。これによって、フィッシングキットのＨＴＴＰサーバが疑わしい着信接続を検出する際に防御行動を取る可能性が低減する。有意には、選択されたＨＴＴＰプロキシ１００４、１００６、または１００８からのＨＴＴＰ着信接続は、一実施形態に従って選択された最適なパラメータを使用して、セキュリティ会社からではなく、対象の国に位置する本物のエンドユーザ（すなわち、意図したフィッシングの犠牲者）から生じたかのようにフィッシングキット１０１０のＨＴＴＰサーバに現れることになる。選択されたＨＴＴＰプロキシによって、メッセージＭの選択された１つまたは複数のＵＲＬは、前もって判断された最適走査パラメータを使用して、コンピュータネットワーク１０１２上で走査される。
図１１は、１つの実施形態による、コンピュータ実施方法のフローチャートである。ここに示されるように、ブロックＢ１１０２は、プロセッサおよびメモリを含むコンピューティングデバイスにおいてコンピュータネットワーク上で電子メッセージＭを受信することを求める。受信した電子メッセージはさらにまた、メモリに記憶されてよい。Ｂ１１０３に示されるように、プロセッサを使用して、１つまたは複数のＵＲＬは次いで、受信した電子メッセージから抽出されてよい。１つまたは複数の（潜在的に）悪性または疑わしいＵＲＬはさらにまた、抽出されたＵＲＬの中から選択されてよい。ブロックＢ１１０４において、データは受信した電子メッセージから抽出され、特徴は抽出されたデータから計算される。Ｂ１１０５において、（上述されるＤｅｔｅｒｍｉｎｅＳＰ（ＦＭ）関数などの）関数は呼び出されてよく、この関数は、図７、図８Ａ、図８Ｂ、および図８Ｃに対して論じられるように、１つまたは複数の決定木を含んでよい。１つの実施形態によると、決定木は、計算された特徴を受け入れるように構成される根ノード、それぞれが計算された特徴のサブセットを評価するように構成される少なくとも１つの内部ノード、および１つまたは複数の走査パラメータを出力するように構成される少なくとも１つの終端ノードを含んでよい。
Ｂ１１０６において、計算された特徴は、決定木（複数可）の根ノードに入力されてよく、計算された特徴の対応するサブセットは内部ノード（複数可）において評価されてよく、決定木（複数可）の終端ノード（複数可）の出力から生じる最適走査パラメータはメモリに記憶されてよい。
Ｂ１１０７に示されるように、メッセージＭ、１つまたは複数の抽出されかつ選択されたＵＲＬ、ＵＭ＝｛ｕＭ、ｉ、…、ｕＭ、ｎ｝、ＤｅｔｅｒｍｉｎｅＳＰ（ＦＭ）関数によって出力される最適走査パラメータ、および書き換えられるＵＲＬに対する基本のＵＲＬ、ＵＳＳを使用して、メッセージＭにおける疑わしいＵＲＬ、｛ｕＭ、ｉ、…、ｕＭ、ｎ｝は（１つの実施形態において、上述されるＲｅｗｒｉｔｅＵＲＬｓ（Ｍ、ＵＳＳ、ＵＭ、ＳＰＭを使用して）書き換えられてよく、修正されたメッセージＭ'における書き換えられたＵＲＬ、｛ｕ'Ｍ、ｉ、…、ｕ'Ｍ、ｎ｝と置き換えられてよい。この書き換えられたＵＲＬは、ＵＲＬ走査サービスの基本のＵＲＬ、第１のＵＲＬパラメータとしての元のＵＲＬ、ｕＭ、ｉの符号化バージョン、および第２のＵＲＬパラメータとしての最適走査パラメータの符号化バージョンを含む。他のパラメータは、前述の第１のＵＲＬパラメータおよび第２のＵＲＬパラメータに加えてまたはこれらの代わりに含まれてよい。Ｂ１１０８に示されるように、符号化された最適走査パラメータを含む書き換えられたＵＲＬ、｛ｕ'Ｍ、ｉ、…、ｕ'Ｍ、ｎ｝を有するメッセージＭ'はここで、エンドユーザのメールボックス（自身のＭｉｃｒｏｓｏｆｔ ３６５受信トレイ、ＧｏｏｇｌｅのＧｍａｉｌ受信トレイなど）に安全に記憶可能である。この時点で、メッセージサービスにおいて実行されたコンピュータ実施方法は終了する。メッセージＭ'における書き換えられたＵＲＬ、｛ｕ'Ｍ、ｉ、…、ｕ'Ｍ、ｎ｝は、１つの実施形態によると、これらのＵＲＬが（フィッシングウェブサイトなどのいくつかの潜在的な悪性ネットワークリソースとは対照的に）ＵＲＬ走査サービスを指し示し、かつ指し示す元のネットワークリソースが解決可能となる前にＵＲＬ走査サービスによって復号されなければならないため、ユーザがクリックしても安全である。しかしながら、復号および走査はどれも、メッセージングサービスにおいて生じない、またはユーザの秘密の個人情報を危険にさらさない。
図１２は、メッセージサービスの視点から、１つの実施形態によるコンピュータ実施方法のフローチャートである。ブロックＢ１２０２に示されるように、疑わしいＵＲＬを含む元の電子メッセージ（例えば、１つの実施形態における電子メール）が受信される。ブロックＢ１２０２は、例えば、エンドユーザでも、電子メッセージの意図した受信者でもなく、メッセージングサービスによって実行可能である。特徴はさらにまた、Ｂ１２０４に示されかつ上述されるように、そこから抽出可能である。その後、Ｂ１２０６に示されるように、関数が呼び出されてよく、この関数は、前もって抽出された特徴から最適走査パラメータを選択するように構成されてよい。当業者には理解されるであろうが、ブロック、ステップ、および上述した機能性の１つまたは複数は、機能的に等価のプロセスによって全体または一部においてサブプロセスに組み合わせ、分解、および／または置き換え可能である。ブロックＢ１２０８は、受信した元の電子メッセージＭを、受信した元の電子メッセージＭにおける疑わしい元のＵＲＬ、ｕＭ、ｉを、最適走査パラメータを使用して疑わしいＵＲＬを走査するためのＵＲＬ走査サービスに対するコンピュータネットワーク上での要求を、クリックした時に生成するように構成される書き換えられたＵＲＬと置き換える、修正されたＵＲＬ、ｕ'Ｍ、ｉを含む修正された電子メッセージＭ'と置き換えることを求める。１つの実施形態では、修正されたＵＲＬ、ｕ'Ｍ、ｉは、ＵＲＬ走査サービスの基本のＵＲＬ、疑わしいＵＲＬの符号化バージョンを含む第１のＵＲＬパラメータ、および記憶された最適走査パラメータの符号化バージョンを含む第２のＵＲＬパラメータを含んでよい。Ｂ１２１０に示されるように、書き換えられたＵＲＬ、ｕ'Ｍ、ｉを有する修正された電子メッセージＭ'はさらにまた、エンドユーザ（通常は、電子メッセージの意図した受信者）のメールボックスに送られてよい。
図１３は、１つの実施形態による、エンドユーザ（電子メッセージの意図した受信者）の視点からのコンピュータ実施方法のフローチャートである。Ｂ１３０２に示されるように、方法は、コンピュータネットワーク上で、元のＵｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）を含む前もって受信した元の電子メッセージの修正バージョンを受信することを含んでよい。前もって受信した電子メッセージの修正バージョンは、１つの実施形態によると、ＵＲＬ走査サービスの基本のＵＲＬ、元のＵＲＬの符号化バージョンを含む第１のＵＲＬパラメータ、および符号化された最適走査パラメータを含む第２のＵＲＬパラメータを含む修正されたＵＲＬを含んでよい。Ｂ１３０４に示されるように、ユーザが受信した修正済み電子メッセージにおける修正されたＵＲＬをクリックしたことを指示する入力が受信可能である。実際は、ユーザは、書き換えられたＵＲＬ、ｕ'Ｍ、ｉを含む書き換えられた電子メッセージＭ'を受信しかつ開いていてよい。この電子メッセージはここで、もはや、潜在的悪性フィッシングキットＨＴＴＰサーバのＵＲＬを含むことはないため、ＵＲＬが符号化された、ひいては無害の形式に書き換えられていることを知っている（または幸いにもこの事実が明らかである）ため、書き換えられた修正済みＵＲＬを安全にクリックすることができる。ブロックＢ１３０４において、従って、ユーザは、その通りに行い、かつ受信した修正済みメッセージＭ'における書き換えられかつ修正されたＵＲＬをクリックする。
書き換えられた修正済みＵＲＬをクリックすることによって、符号化されたＵＲＬ、および前もって判断され、現時点で符号化された最適走査パラメータを含む符号化されたＵＲＬパラメータと共に、要求がＵＲＬ走査サービスに送られる。この要求は、ＵＲＬ走査サービスに、Ｂ１３０８に示されるように第１のＵＲＬパラメータから符号化されたＵＲＬを復号することによって元のＵＲＬを検索することを求める。Ｂ１３１０に示されるように、要求はまた、ＵＲＬ走査サービスに、第２のＵＲＬパラメータから符号化された最適走査パラメータを復号することによって渡される最適走査パラメータを検索することを求める。最終的に、Ｂ１３１２において、エンドユーザがメッセージＭ'において修正されたＵＲＬをクリックすることによって開始された要求は、ＵＲＬ走査サービスに、フィッシングウェブサイトまたは他の悪性ネットワークリソースの存在を判断するために検索した最適走査パラメータを使用して、選択されたプロキシを通して、検索した元のＵＲＬを走査することを求める。
図１４は、１つの実施形態によるコンピュータ実施方法のフローチャートである。図１４のフローチャートはＵＲＬ走査サービスの視点からのものである。ここに示されるように、ＵＲＬ走査サービスは、Ｂ１４０２において、例えば、エンドユーザから生じる要求を受信する。要求は、符号化されたＵＲＬを含む第１のＵＲＬパラメータ、および１つまたは複数の符号化された最適走査パラメータを含む第２のＵＲＬパラメータを含む。この要求に応答して、第１のＵＲＬパラメータからの符号化されたＵＲＬは復号されてよく、同様に、第２のＵＲＬパラメータからの符号化された最適走査パラメータは復号されてよい。例えば、第１のＵＲＬパラメータおよび第２のＵＲＬパラメータは、Ｂａｓｅ６４文字列として符号化されていてよいが、当業者には認識可能であるように、他の符号化が利用されてよい。ここで、ＵＲＬ走査サービスは疑わしいＨＴＴＰサーバの復号されたＵＲＬを有し、かつ復号された最適走査パラメータを持っているが、Ｂ１４０６に示されるように、最適走査パラメータを使用して悪性ウェブサイトまたは他のネットワークリソースを走査することができる。１つの実施形態では、このような走査は、選択された国においてジオロケートされたプロキシを通して実行されてよく、それによって、走査されたＨＴＴＰサーバは防御行動を起こす可能性が低くなる。
復号されたＵＲＬ（複数可）によって指し示されるウェブサイト（複数可）からのデータの走査および要求は、最適走査パラメータを使用して、復号されたＵＲＬのそれぞれによって指し示されるウェブサイトに対する対応するＨＴＴＰ ＧＥＴ要求を行うことを含んでよい。ＵＲＬ走査サービスはさらにまた、走査されたサーバが本物である、またはフィッシングキットのＨＴＴＰサーバである可能性があるかどうかを判断してよい。例えば、データは、復号されたＵＲＬ（複数可）によって指し示されるウェブサイト（複数可）から要求されてよく、この要求されたデータは、防御行動がそこから返されるかどうかを判断するために解析されてよい。
図１５は、実施形態が実装される、クライアントコンピューティングデバイスなどのコンピューティングデバイス、電子メール（電子メッセージ）サーバのブロック図を示す。図１５のコンピューティングデバイスは、情報を通信するためのバス１５０１または他の通信機構、および情報を処理するためにバス１５０１と結合される１つまたは複数のプロセッサ１５０２を含んでよい。コンピューティングデバイスは、プロセッサ（複数可）１５０２によって実行される情報および命令を記憶するためにバス１５０１に結合されるランダムアクセスメモリ（ＲＡＭ）または他の動的記憶デバイス１５０４（メインメモリと称される）をさらに含むことができる。メインメモリ（有形かつ非一時的であり、これらの用語は、本明細書では、信号それ自体および波形を除外する）１５０４は、プロセッサ１５０２によって命令の実行中に一時的な変数または他の中間情報を記憶するために使用されてもよい。図１５のコンピューティングデバイスは、プロセッサ（複数可）１５０２に対する静的情報および命令を記憶するためにバス１５０１に結合される読み出し専用メモリ（ＲＯＭ）および／または他の静的記憶デバイス１５０６を含んでもよい。磁気ディスクおよび／またはソリッドステートデータ記憶デバイスなどのデータ記憶デバイス１５０７は、図１～図１４に対して示されかつ開示される機能性の一部または全てを実行することを要求されることになるといった、情報および命令を記憶するためにバス１５０１に結合されてよい。コンピューティングデバイスは、コンピュータのユーザに情報を表示するためにバス１５０１を介してディスプレイデバイス１５２１に結合されてもよい。英数字および他のキーを含む英数字入力デバイス１５２２は、情報およびコマンド選択をプロセッサ（複数可）１５０２に通信するためにバス１５０２に結合されてよい。別のタイプのユーザ入力デバイスは、方向情報およびコマンド選択をプロセッサ（複数可）１５０２に通信するための、およびディスプレイ１５２１上のカーソル移動を制御するための、マウス、トラックボール、またはカーソル方向キーなどのカーソル制御１５２３である。図１５のコンピューティングデバイスは、通信インターフェース（例えば、モデム、ネットワークインターフェースカード、またはＮＩＣ）１５０８を介してネットワーク１５２６に結合されてよい。
示されるように、記憶デバイス１５０７は、磁気ディスク１５３０、不揮発性半導体メモリ（ＥＥＰＲＯＭ、フラッシュなど）１５３２、および１５３１に示唆されるように、磁気ディスクおよび不揮発性半導体メモリの両方を含むハイブリッドデータ記憶デバイスなどのダイレクトアクセスデータ記憶デバイスを含んでよい。参照記号１５０４、１５０６、および１５０７は、１つまたは複数のコンピューティングデバイスによって実行される時、本明細書に説明されかつ示される最適走査パラメータ方法を実行する命令のシーケンスを表すデータが記憶されている、有形の非一時的なコンピュータ可読媒体の例である。これらの命令のいくつかは、クライアントコンピューティングデバイスにローカルに記憶されてよく、これらの命令のその他は、リモートに記憶され（および／または実行され）かつネットワーク１５２６上でクライアントコンピュータに通信されてよい。他の実施形態では、これらの命令の全ては、クライアントまたは他のスタンドアローンのコンピューティングデバイスにローカルに記憶されてよく、さらに他の実施形態では、これらの命令の全ては（例えば、１つまたは複数のリモートサーバにおいて）リモートに記憶されかつ実行され、その結果はクライアントコンピューティングデバイスに通信される。なお別の実施形態では、命令（処理論理）は、１５２８などに示される、有形の非一時的なコンピュータ可読媒体の別の形態に記憶されてよい。例えば、参照記号１５２８は、光（またはその他の記憶技術）ディスクとして実装されてよく、この光ディスクは、適したデータキャリアを構成して、記憶されている命令を１つまたは複数のコンピューティングデバイスにロードすることによって、このコンピューティングデバイス（複数可）を本明細書に説明されかつ示される実施形態の１つまたは複数に再構成することができる。他の実装形態では、参照記号１５２８は暗号化ソリッドステートドライブとして具現化されてよい。他の実装形態が可能である。
本発明の実施形態は、最適走査パラメータの選択によってフィッシングキットをホストするＨＴＴＰサーバの新規の走査を実行するためのコンピューティングデバイスの使用に関連している。実施形態によって、ＵＲＬ走査技術を検出しかつ無効にするためにサイバー犯罪者によって実行される機構を無効にすることによってコンピュータシステムの機能に対する具体的な改善をもたらす。このような改善されたコンピュータシステムを使用して、ＵＲＬ走査技術は、サイバー脅威を検出しかつブロックすることによってエンドユーザを保護する効果を持続するようにすることができる。１つの実施形態によると、本明細書に説明される方法、デバイス、およびシステムは、メモリ１５０４に含まれる、本明細書に示されかつ説明されるコンピュータ実施方法の態様を具現化する、命令のシーケンスを、プロセッサ（複数可）１５０２が実行することに応答して、１つまたは複数のコンピューティングデバイスによって提供されてよい。このような命令は、１５２８などに示されるように、データ記憶デバイス１５０７または別の（光、磁気など）データキャリアなどの別のコンピュータ可読媒体からメモリ１５０４に読み出されてよい。メモリ１５０４に含まれる命令のシーケンスの実行によって、プロセッサ（複数可）１５０２は、本明細書に説明されるステップを行いかつ機能性を有する。代替的な実施形態では、ハードワイヤード回路構成は、説明した実施形態を実装するためにソフトウェア命令の代わりにまたはこれと組み合わせて使用可能である。よって、実施形態は、ハードウェア回路構成およびソフトウェアの任意の具体的な組み合わせに限定されない。実際は、任意の適したコンピュータシステムが本明細書に説明される機能性を実装することができることは、当業者には理解されるべきである。コンピューティングデバイスは、所望の機能を実行するように機能する１つまたは複数のマイクロプロセッサを含んでよい。１つの実施形態では、マイクロプロセッサ（単数または複数）によって実行される命令は、マイクロプロセッサ（複数可）に、本明細書に説明されるステップを行わせるように動作可能である。命令は、任意のコンピュータ可読媒体に記憶されてよい。１つの実施形態では、これら命令は、マイクロプロセッサに外付けの、またはマイクロプロセッサと一体化した不揮発性半導体メモリに記憶されてよい。別の実施形態では、命令は、ディスクに記憶され、かつ、マイクロプロセッサによる実行前に揮発性半導体メモリに読み出されてよい。
上記の詳細な説明の一部分には、ローカル処理ユニット、ローカル処理ユニット用のメモリ記憶デバイス、ディスプレイデバイス、および入力デバイスを含むコンピュータコンポーネントを含んでよいコンピューティングデバイスによるプロセスおよび動作の記号表現が説明されている。また、このようなプロセスおよび動作は、例えば、リモートファイルサーバ、コンピュータサーバ、およびメモリ記憶デバイスを含む、不均一に分布したコンピューティング環境におけるコンピュータコンポーネントを利用することができる。これらの分布したコンピューティングコンポーネントは、通信ネットワークによってローカル処理ユニットにアクセス可能としてよい。
コンピュータによって行われるプロセスおよび動作は、ローカル処理ユニットおよび／またはリモートサーバによるデータビットの操作、およびローカルまたはリモートメモリ記憶デバイスの１つまたは複数に常駐しているデータ構造内のこれらのビットのメンテナンスを含む。これらのデータ構造は、物理編成をメモリ記憶デバイス内に記憶されたデータビット群に与え、かつ電磁スペクトル素子を表す。
本明細書に説明されかつ示される最適走査パラメータ方法のコンピュータ実施選択などのプロセスは、一般に、所望の結果をもたらすコンピュータ実行ステップのシーケンスであると定義されてよい。これらのステップは、一般に、物理量の物理的操作を必要とする。通常、必然ではないが、これらの量は、記憶、転送、組み合わせ、比較、あるいは操作が可能である電気、磁気、または光信号の形態を取ることができる。当業者が、これらの信号を、ビットもしくはバイト（これらが二値論理レベルを有する時）、画素値、仕事、値、エレメント、記号、文字、項、数、点、レコード、オブジェクト、画像、ファイル、ディレクトリ、またはサブディレクトリなどに言及することは、従来的である。しかしながら、これらのおよび同様の用語がコンピュータ動作に適切な物理量と関連付けられるものとし、これらの用語が単に、コンピュータの動作の範囲内かつ間に存在する物理量に適用される従来のラベルであることは留意されるべきである。
コンピュータ内の操作が、追加する、比較する、移動する、位置付ける、配置する、照明する、除去する、および改変するなどの用語で称されることが多いことも理解されるべきである。本明細書に説明される動作は、コンピュータと対話する人間のもしくは人工知能エージェントのオペレータまたはユーザによって提供されるさまざまな入力と併せて行われる機械動作である。本明細書に説明される動作を行うために使用される機械は、ローカルもしくはリモートの汎用デジタルコンピュータまたは他の同様のコンピューティングデバイスを含む。
さらに、本明細書に説明されるプログラム、プロセス、方法などが、いかなる特定のコンピュータまたは装置にも関連しておらずまたは限定されるものではないし、いかなる特定の通信ネットワークアーキテクチャにも関連しておらずまたは限定されるものではないことは理解されるべきである。もっと正確に言えば、本明細書に説明される教示に従って構成されるプログラムモジュールと共に、さまざまなタイプの汎用ハードウェア機が使用可能である。同様に、読み出し専用メモリなどの不揮発性メモリに記憶されたハードワイヤード論理またはプログラムを有する固有のネットワークアーキテクチャにおける専用のコンピュータシステムによって本明細書に説明される方法ステップを行うための専門の装置を構成することが有利であることが証明され得る。
ある特定の例示の実施形態が説明されているが、これらの実施形態は例としてのみ提示されており、本明細書に開示される実施形態の範囲を限定することは意図されていない。よって、先述の説明において、任意の特定の特徴、特性、ステップ、モジュール、またはブロックが必要であるまたは不可欠であると含意することはどこにも意図されていない。実際は、本明細書に説明される新規の方法およびシステムは、さまざまな他の形態で具現化されてよく、さらに、本明細書に説明される方法およびシステムの形態におけるさまざまな省略、代用、および変更は、本明細書に開示される実施形態の趣旨から逸脱することなくなされてよい。

Claims (14)

  1. コンピュータネットワーク上でメッセージングサービスによって実行されるコンピュータ実施方法であって、
    プロセッサおよびメモリを含むコンピューティングデバイスにおいて、前記コンピュータネットワーク上で元の電子メッセージを受信することと、
    前記受信した元の電子メッセージを前記メモリに記憶することと、
    前記プロセッサを使用して、前記受信した電子メッセージから、潜在的にフィッシングキットと関連付けられるため疑わしいと判断されるＵｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）を抽出することと、
    前記受信した電子メッセージから特徴を抽出することと、
    最適走査パラメータを判断するために決定木を使用する関数を呼び出すことであって、前記決定木は、前記抽出された特徴を受け入れるように構成される根ノード、前記抽出された特徴のサブセットを評価するように構成される少なくとも１つの内部ノード、および、前記最適走査パラメータを出力するように構成される少なくとも１つの終端ノードを含む、呼び出すことと、
    前記決定木の前記根ノードに前記抽出された特徴を入力し、前記少なくとも１つの内部ノードにおいて前記抽出された特徴のサブセットを評価し、前記少なくとも１つの終端ノードから出力された前記最適走査パラメータを前記メモリに記憶することと、
    前記受信した元のメッセージを、前記受信した元の電子メッセージにおいて疑わしいと判断された前記ＵＲＬを、前記最適走査パラメータを使用して前記疑わしいと判断されたＵＲＬを走査するためのＵＲＬ走査サービスに対する前記コンピュータネットワーク上での要求をクリックした時に生成するように構成される書き換えられたＵＲＬと置き換える、修正されたＵＲＬを含む修正された電子メッセージと置き換えることと、
    前記置き換えられたＵＲＬを有する前記修正された電子メッセージをエンドユーザのメールボックスに送ることと、を含む、コンピュータ実施方法。
  2. 置き換えることは、前記ＵＲＬ走査サービスの基本ＵＲＬ、前記疑わしいと判断されたＵＲＬの符号化バージョンを含む第１のＵＲＬパラメータ、および前記記憶された最適走査パラメータの符号化バージョンを含む第２のＵＲＬパラメータを含むことが前記疑わしいと判断されたＵＲＬを書き換えることを含む、請求項１に記載のコンピュータ実施方法。
  3. 前記抽出された特徴は、前記受信した電子メッセージの受信者の国コードトップレベルドメイン、および前記受信した電子メッセージの主要言語のうちの少なくとも１つを含む、請求項１に記載のコンピュータ実施方法。
  4. 前記抽出された特徴は、前記受信した電子メッセージにおけるブランドロゴおよび商標のうちの少なくとも１つを含む、請求項１に記載のコンピュータ実施方法。
  5. 前記抽出された特徴から計算されるさらなる特徴を有する前記電子メッセージから抽出される前記特徴を、前記電子メッセージのテキストのコンテンツを解析すること、ドメインネームシステム（ＤＮＳ）にクエリすること、ＷＨＯＩＳにクエリすること、ＩＰアドレスジオロケーションデータベースにアクセスしかつクエリすること、前記電子メッセージにおいて使用される主要言語を特定するために自然言語処理を適用すること、および前記電子メッセージにおける画像としてレンダリングされる商標登録グラフィックスまたは他のブランド識別子を認識しかつ抽出するために特徴検出コンピュータビジョンアルゴリズムを適用することのうちの少なくとも１つによって補足することをさらに含む、請求項１に記載のコンピュータ実施方法。
  6. コンピュータネットワーク上でメッセージングサービスによって実行されるコンピュータ実施方法であって、
    プロセッサおよびメモリを含むコンピューティングデバイスにおいて、疑わしいＵＲＬを含む元の電子メッセージを受信することと、
    前記受信した元の電子メッセージを前記メモリに記憶することと、
    前記記憶された元の電子メッセージから特徴を抽出することと、
    前記記憶された元の電子メッセージから抽出された前記特徴から最適走査パラメータを選択するように構成される関数を使用し、かつ選択された前記最適走査パラメータを前記メモリに記憶することと、
    前記受信した元の電子メッセージを、前記受信した元の電子メッセージにおける疑わしい前記ＵＲＬを、前記最適走査パラメータを使用して前記疑わしいＵＲＬを走査するためのＵＲＬ走査サービスに対する前記コンピュータネットワーク上での要求をクリックした時に生成するように構成される書き換えられたＵＲＬと置き換える、修正されたＵＲＬを含む修正された電子メッセージと置き換えることと、
    前記置き換えられたＵＲＬを有する前記修正された電子メッセージをエンドユーザのメールボックスに送ることと、を含む、コンピュータ実施方法。
  7. 置き換えることは、前記ＵＲＬ走査サービスの基本のＵＲＬ、前記疑わしいＵＲＬの符号化バージョンを含む第１のＵＲＬパラメータ、および記憶された前記最適走査パラメータの符号化バージョンを含む第２のＵＲＬパラメータを含むように、前記疑わしいＵＲＬを書き換えることを含む、請求項６に記載のコンピュータ実施方法。
  8. 前記関数は、電子メッセージから抽出された特徴から最適走査パラメータを選択することを、
    それぞれが潜在的にフィッシングキットと関連付けられる少なくとも１つの疑わしいＵＲＬを含む複数の電子メッセージを収集しかつ記憶すること、
    前記複数の電子メッセージから特徴のセットを抽出すること、
    前記抽出された特徴のセットから、対応するフィッシングキットのソースコードをプログラムでまたは手動で検査することによって判断される所望の最適走査パラメータのセットを提供すること、および、
    教師あり学習アルゴリズムおよび前記所望の最適走査パラメータのセットを使用して、電子メッセージから抽出された前記特徴から前記最適走査パラメータを選択する関数をトレーニングすることによって、行うようにトレーニングされる、請求項６に記載のコンピュータ実施方法。
  9. 前記関数は、電子メッセージから抽出された特徴から最適走査パラメータを選択することを、前記複数の電子メッセージのそれぞれが潜在的にフィッシングキットと関連付けられる疑わしいＵＲＬを含む、複数の電子メッセージを収集しかつ記憶すること、
    教師あり学習アルゴリズムを使用して、前記複数の電子メッセージのそれぞれに対して最適走査パラメータを判断する関数を、前記プロセッサを使用して前記電子メッセージから特徴のセットを抽出すること、および、
    最適走査パラメータを、複数のＨＴＴＰプロキシを通してかつ複数のＨＴＴＰヘッダによって、前記疑わしいＵＲＬによって指し示されるウェブサイトに対するＨＴＴＰ ＧＥＴ要求を、前記ウェブサイトが所定のＨＴＴＰ状態コードを返さなくなる、または所定のＵＲＬドメインにリダイレクトしなくなるまで繰り返し行うことによって選択し、および、前記メモリにおいて、前記ウェブサイトに、所定のＨＴＴＰ状態コードを返させない、または前記最適走査パラメータとして所定のＵＲＬドメインにリダイレクトさせない、これらのＨＴＴＰ走査パラメータを記憶することによって、行うようにトレーニングされる、請求項６に記載のコンピュータ実施方法。
  10. 前記抽出された特徴は、前記受信した元の電子メッセージの受信者の国コードトップレベルドメイン、および前記受信した元の電子メッセージの主要言語のうちの少なくとも１つを含む、請求項６に記載のコンピュータ実施方法。
  11. 前記抽出された特徴は、前記受信した元の電子メッセージにおけるブランドロゴおよび商標のうちの少なくとも１つを含む、請求項６に記載のコンピュータ実施方法。
  12. 前記抽出された特徴から計算されるさらなる特徴を有する前記受信した元の電子メッセージから抽出される前記特徴を、
    前記電子メッセージのテキストのコンテンツを解析すること、
    ドメインネームシステム（ＤＮＳ）にクエリすること、
    ＷＨＯＩＳにクエリすること、
    ＩＰアドレスジオロケーションデータベースにアクセスしかつクエリすること、前記受信した元の電子メッセージにおいて使用される主要言語を特定するために自然言語処理を適用すること、および、
    前記受信した元の電子メッセージにおける画像としてレンダリングされる商標登録グラフィックスまたは他のブランド識別子を認識しかつ抽出するために特徴検出コンピュータビジョンアルゴリズムを適用することのうちの少なくとも１つによって補足することをさらに含む、請求項６に記載のコンピュータ実施方法。
  13. コンピュータネットワーク上で、元のＵｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）を含む前もって受信した元の電子メッセージの修正バージョンを受信することであって、前記前もって受信した電子メッセージの前記修正バージョンは、
    ＵＲＬ走査サービスの基本のＵＲＬ、
    前記元のＵＲＬの符号化バージョンを含む第１のＵＲＬパラメータ、および、符号化された最適走査パラメータを含む第２のＵＲＬパラメータを含む修正されたＵＲＬを含む、受信することと、
    ユーザが、前記受信した修正済み電子メッセージにおける前記修正されたＵＲＬをクリックしたことを指示する入力を受信することと、
    前記受信した入力に応答して、前記第１のＵＲＬパラメータから符号化された前記ＵＲＬを復号することによって前記元のＵＲＬを検索するように、前記第２のＵＲＬパラメータから前記符号化された最適走査パラメータを復号することによって前記最適走査パラメータを検索するように、および、フィッシングウェブサイトの存在を判断するために検索した前記最適走査パラメータを使用して、選択されたプロキシを通して、検索した前記元のＵＲＬを走査するように前記ＵＲＬ走査サービスに対する要求を送ることと、を含む、コンピュータ実施方法。
  14. コンピュータネットワーク上で、エンドユーザから生じる要求を受信することであって、前記要求は、符号化されたＵｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）を含む第１のＵＲＬパラメータ、および符号化された最適走査パラメータを含む第２のＵＲＬパラメータを含む、受信することと、
    前記要求の受信に応答して、前記第１のＵＲＬパラメータからの前記符号化されたＵＲＬを復号し、かつ前記第２のＵＲＬパラメータからの前記符号化された最適走査パラメータを復号することと、
    前記コンピュータネットワーク上でおよび選択されたプロキシを通して、悪性ネットワークリソースの存在を判断するために復号された前記最適走査パラメータを使用して復号された前記ＵＲＬによって指し示されるネットワークリソースを走査することと、を含む、コンピュータ実施方法。
JP2019537336A 2019-03-28 2019-04-30 悪性ｕｒｌ検出のための、最適走査パラメータ計算方法、デバイス、およびシステム Active JP7381341B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US16/368,537 2019-03-28
US16/368,537 US10686826B1 (en) 2019-03-28 2019-03-28 Optical scanning parameters computation methods, devices and systems for malicious URL detection
PCT/US2019/029822 WO2020197570A1 (en) 2019-03-28 2019-04-30 Optimal scanning parameters computation methods, devices and systems for malicious url detection

Publications (2)

Publication Number Publication Date
JP2022530290A true JP2022530290A (ja) 2022-06-29
JP7381341B2 JP7381341B2 (ja) 2023-11-15

Family

ID=71075093

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019537336A Active JP7381341B2 (ja) 2019-03-28 2019-04-30 悪性ｕｒｌ検出のための、最適走査パラメータ計算方法、デバイス、およびシステム

Country Status (3)

Country Link
US (2) US10686826B1 (ja)
JP (1) JP7381341B2 (ja)
WO (1) WO2020197570A1 (ja)

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11665181B2 (en) * 2020-03-18 2023-05-30 Microsoft Technology Licensing, Llc Detection of high-risk blobs based on an analysis of associated graphical elements
KR102197005B1 (ko) * 2020-07-31 2020-12-30 (주)라바웨이브 피싱 어플리케이션에 의해 유출된 개인정보 보호장치 및 방법
US11223599B1 (en) * 2020-08-17 2022-01-11 Netflix, Inc. Techniques for templated domain management
US11184393B1 (en) 2020-10-01 2021-11-23 Vade Secure Inc. Automated collection of branded training data for security awareness training
US11871235B2 (en) * 2020-10-29 2024-01-09 Proofpoint, Inc. Secure URL shortener for character-limited messages
US12143418B2 (en) * 2021-03-16 2024-11-12 Cisco Technology, Inc. Techniques for preventing messaging attacks in codes
US11943257B2 (en) * 2021-12-22 2024-03-26 Abnormal Security Corporation URL rewriting
US12013952B1 (en) * 2021-12-22 2024-06-18 Gen Digital Inc. Systems and methods for protecting user data privacy against the use of fake first-party domains by hidden web trackers
CN116132187B (zh) * 2023-02-23 2024-05-14 北京京航计算通讯研究所 一种数据包过滤方法及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007133488A (ja) * 2005-11-08 2007-05-31 Nippon Telegr & Teleph Corp <Ntt> 情報発信元検証方法および装置
US20170063893A1 (en) * 2015-08-28 2017-03-02 Cisco Technology, Inc. Learning detector of malicious network traffic from weak labels
US20180375877A1 (en) * 2017-05-19 2018-12-27 Agari Data, Inc. Using message context to evaluate security of requested data

Family Cites Families (44)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6285999B1 (en) 1997-01-10 2001-09-04 The Board Of Trustees Of The Leland Stanford Junior University Method for node ranking in a linked database
US7272853B2 (en) 2003-06-04 2007-09-18 Microsoft Corporation Origination/destination features and lists for spam prevention
US8990928B1 (en) 2003-12-11 2015-03-24 Radix Holdings, Llc URL salience
US9106694B2 (en) 2004-04-01 2015-08-11 Fireeye, Inc. Electronic message analysis for malware detection
US7516488B1 (en) * 2005-02-23 2009-04-07 Symantec Corporation Preventing data from being submitted to a remote system in response to a malicious e-mail
US7370039B2 (en) * 2005-04-05 2008-05-06 International Business Machines Corporation Method and system for optimizing configuration classification of software
US7854007B2 (en) 2005-05-05 2010-12-14 Ironport Systems, Inc. Identifying threats in electronic messages
GB0512744D0 (en) * 2005-06-22 2005-07-27 Blackspider Technologies Method and system for filtering electronic messages
US20070136806A1 (en) * 2005-12-14 2007-06-14 Aladdin Knowledge Systems Ltd. Method and system for blocking phishing scams
US7809796B1 (en) * 2006-04-05 2010-10-05 Ironport Systems, Inc. Method of controlling access to network resources using information in electronic mail messages
US7966553B2 (en) * 2007-06-07 2011-06-21 Microsoft Corporation Accessible content reputation lookup
US20090070873A1 (en) * 2007-09-11 2009-03-12 Yahoo! Inc. Safe web based interactions
US8521667B2 (en) 2010-12-15 2013-08-27 Microsoft Corporation Detection and categorization of malicious URLs
EP2661852A1 (en) * 2011-01-04 2013-11-13 Cisco Technology, Inc. Limiting virulence of malicious messages using a proxy server
CN102801574B (zh) * 2011-05-27 2016-08-31 阿里巴巴集团控股有限公司 一种网页链接的检测方法、装置和系统
WO2013185101A2 (en) * 2012-06-07 2013-12-12 Hagar David Eric Dashboards for displaying threat insight information
US9215242B2 (en) * 2012-12-19 2015-12-15 Dropbox, Inc. Methods and systems for preventing unauthorized acquisition of user information
US9467410B2 (en) * 2012-12-20 2016-10-11 Mcafee, Inc. Just-in-time, email embedded URL reputation determination
US9344449B2 (en) * 2013-03-11 2016-05-17 Bank Of America Corporation Risk ranking referential links in electronic messages
US9178901B2 (en) * 2013-03-26 2015-11-03 Microsoft Technology Licensing, Llc Malicious uniform resource locator detection
US20150067853A1 (en) * 2013-08-27 2015-03-05 Georgia Tech Research Corporation Systems and methods for detecting malicious mobile webpages
US20150067833A1 (en) * 2013-08-30 2015-03-05 Narasimha Shashidhar Automatic phishing email detection based on natural language processing techniques
KR101521903B1 (ko) * 2013-12-09 2015-05-20 소프트캠프(주) 링크정보의 악성코드에 대응한 단말기의 로컬환경 보호방법과 보호시스템
US9596264B2 (en) 2014-02-18 2017-03-14 Proofpoint, Inc. Targeted attack protection using predictive sandboxing
US10320746B2 (en) * 2014-05-12 2019-06-11 Michael C. Wood Computer security system and method based on user-intended final destination
US9602660B2 (en) * 2014-07-29 2017-03-21 Buc Mobile, Inc. System and method for handling mobile messages with embedded URLs
US9413774B1 (en) 2014-10-27 2016-08-09 Palo Alto Networks, Inc. Dynamic malware analysis of a URL using a browser executed in an instrumented virtual machine environment
US9398047B2 (en) 2014-11-17 2016-07-19 Vade Retro Technology, Inc. Methods and systems for phishing detection
US20200067861A1 (en) * 2014-12-09 2020-02-27 ZapFraud, Inc. Scam evaluation system
CN106209488B (zh) * 2015-04-28 2021-01-29 北京瀚思安信科技有限公司 用于检测网站攻击的方法和设备
US9654492B2 (en) * 2015-09-15 2017-05-16 Mimecast North America, Inc. Malware detection system based on stored data
US10601865B1 (en) * 2015-09-30 2020-03-24 Fireeye, Inc. Detection of credential spearphishing attacks using email analysis
US10212175B2 (en) 2015-11-30 2019-02-19 International Business Machines Corporation Attracting and analyzing spam postings
US10142366B2 (en) * 2016-03-15 2018-11-27 Vade Secure, Inc. Methods, systems and devices to mitigate the effects of side effect URLs in legitimate and phishing electronic messages
US20180007066A1 (en) 2016-06-30 2018-01-04 Vade Retro Technology Inc. Detection of phishing dropboxes
US11044267B2 (en) * 2016-11-30 2021-06-22 Agari Data, Inc. Using a measure of influence of sender in determining a security risk associated with an electronic message
US10331889B2 (en) * 2017-01-05 2019-06-25 Votiro Cybersec Ltd. Providing a fastlane for disarming malicious content in received input content
US11343276B2 (en) * 2017-07-13 2022-05-24 KnowBe4, Inc. Systems and methods for discovering and alerting users of potentially hazardous messages
US11689557B2 (en) * 2018-02-20 2023-06-27 Darktrace Holdings Limited Autonomous report composer
US10958683B2 (en) * 2018-04-26 2021-03-23 Wipro Limited Method and device for classifying uniform resource locators based on content in corresponding websites
US10397272B1 (en) * 2018-05-10 2019-08-27 Capital One Services, Llc Systems and methods of detecting email-based attacks through machine learning
US11388192B2 (en) * 2018-07-09 2022-07-12 Blackberry Limited Managing third party URL distribution
EP3599753A1 (en) * 2018-07-25 2020-01-29 Cyren Inc. Phishing detection system and method
US11743290B2 (en) * 2018-12-21 2023-08-29 Fireeye Security Holdings Us Llc System and method for detecting cyberattacks impersonating legitimate sources

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007133488A (ja) * 2005-11-08 2007-05-31 Nippon Telegr & Teleph Corp <Ntt> 情報発信元検証方法および装置
US20170063893A1 (en) * 2015-08-28 2017-03-02 Cisco Technology, Inc. Learning detector of malicious network traffic from weak labels
US20180375877A1 (en) * 2017-05-19 2018-12-27 Agari Data, Inc. Using message context to evaluate security of requested data

Also Published As

Publication number Publication date
US20210112089A1 (en) 2021-04-15
JP7381341B2 (ja) 2023-11-15
US10686826B1 (en) 2020-06-16
US11252176B2 (en) 2022-02-15
WO2020197570A1 (en) 2020-10-01

Similar Documents

Publication Publication Date Title
JP7381341B2 (ja) 悪性ｕｒｌ検出のための、最適走査パラメータ計算方法、デバイス、およびシステム
US12316591B2 (en) Multi-level security analysis and intermediate delivery of an electronic message
US11552993B2 (en) Automated collection of branded training data for security awareness training
Kumar et al. Phishing website classification and detection using machine learning
US11102244B1 (en) Automated intelligence gathering
Mahajan et al. Phishing website detection using machine learning algorithms
US8015250B2 (en) Method and system for filtering electronic messages
US10425444B2 (en) Social engineering attack prevention
Manyumwa et al. Towards fighting cybercrime: Malicious URL attack type detection using multiclass classification
WO2019118838A1 (en) Using a measure of influence of sender in determining a security risk associated with an electronic message
US8707426B1 (en) Method and apparatus for resolving a cousin domain name to detect web-based fraud
US20090300012A1 (en) Multilevel intent analysis method for email filtration
JP7689675B2 (ja) メールセキュリティー基盤のゼロデイｕｒｌ攻撃防御サービス提供装置及びその動作方法
KR20080078693A (ko) 네트워크 어드레스 평가 및 액세스 방법
Geng et al. Combating phishing attacks via brand identity and authorization features
US20220321518A1 (en) Email Sender and Reply-To Authentication to Prevent Interception of Email Replies
US12041076B2 (en) Detecting visual similarity between DNS fully qualified domain names
Hawanna et al. A novel algorithm to detect phishing URLs
Naresh et al. Intelligent phishing website detection and prevention system by using link guard algorithm
Koide et al. PhishReplicant: A language model-based approach to detect generated squatting domain names
Ahmad et al. Overview of phishing landscape and homographs in Arabic domain names
WO2018081016A1 (en) Multi-level security analysis and intermediate delivery of an electronic message
Krupalin et al. A survey and taxonomy of anti-phishing techniques for detecting fake websites
Sonowal What Does a Phishing URL Look Like?
Barbar et al. Image spam detection using FENOMAA technique

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220218

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230117

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20230207

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230420

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20230801

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20230807

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20231031

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20231102

R150 Certificate of patent or registration of utility model

Ref document number: 7381341

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150