JP4387205B2 - アンチスパム技術の統合を可能にするフレームワーク - Google Patents

Description

本発明は、一般に、電子メッセージングに関し、より詳細には、望んでいない電子メールをフィルタリングすることに関する。

電子メッセージング、特にインターネット上で運ばれる電子メール（ｅ−ｍａｉｌ）は、急速に、社会にすっかり浸透しつつあるばかりか、その形式ばらないこと、使いやすさおよび低コストになりつつあるので、多くの個人および組織に対して好適な通信の方法となっている。

残念ながら、ｅ−ｍａｉｌの受け側は、求められていない大量のメーリングにますますさらされている。インターネットベースの商業の成長と共に、広く成長している電子マーチャンタイザは、それらの製品およびサービスを広告する、求められていないメールを、拡大する一方のｅ−ｍａｉｌの受け側の母集団へ繰り返し送っている。インターネットを介して製品を注文し、ないしは商人と取引をする、たいていの消費者は、それら商人からこのような勧誘を予期し、および実際は定期的に受ける。

しかしながら、電子メーラは、ますます多くの受け側に届くように、それらの配布リストを絶えず拡大している。例えば、種々のウェブサイトによって生成されたビジタ情報に対する、恐らく無害に見える要求に応答して彼らのｅ−ｍａｉｌアドレスを単に提供する、受け側は、しばしば、求めていないメール、すなわち彼らを大いに不快にさせるものを受け取り、彼らは、彼らが電子配布リストに含まれてきていることに気付く。これは、受け側の同意はおろか、理解無しに行われる。さらに、電子メーラは、しばしば、販売であろうと賃貸であろうと、ないしはその使用のために他のこのようなメーラへ、その配布リストを広め、続くメーラについて同様のことが行われる。従って、時間と共に、ｅ−ｍａｉｌの受け側は、しばしば、広く増加している種々の大量のメーラによって維持される別個の配布リストから生じる、求められていないメールによってかれら自身がますます集中砲火を受けていることに気付く。一個人が、１年の間に、何百、何千通の求められていないｅ−ｍａｉｌを受け取ることさえある。電子配布リスト上の個人は、非常に短い期間に亘って、かなり多くの求められていないメッセージを受け取ることを予想できる。

さらに、ディスカウントオフィスまたはコンピュータ用品、モーゲージ金利相場（ｍｏｒｔｇａｇｅ ｒａｔｅ ｑｕｏｔｅ）、もしくはあるタイプまたは他のタイプの会議への出席の案内等、求められていないｅ−ｍａｉｌメッセージの多くは無害である一方、ポルノ的、扇動的および口汚い資料等、他のものは、それらの受け側を不快にさせる。これら求められていないメッセージは、「ジャンク」メールまたは「スパム」として知られている。スパムからのｅ−ｍａｉｌのロードは、合法のｅ−ｍａｉｌから生成されたロードと等価物であるかもしれない。

ジャンク郵便メールを扱うタスクと同様に、ｅ−ｍａｉｌの受け側は、その入来メールをふるいを通してスパムを除去しなければならない。コンピュータ産業はこの問題を認識し、スパム除去を自動化するための技術を開発してきた。例えば、一技術は、ターフリスト（ｔｕｒｆ ｌｉｓｔ）である。ｅ−ｍａｉｌの受け側はターフリストに登録し、そのことによって、規定されたルールに基づいた特性のセットを用いて、メールの受け取りを識別し拒絶する。残念ながら、得たｅ−ｍａｉｌメッセージがスパムか否かの選択は、特定の受け側およびメッセージの実際のコンテンツに大いに依存する。ある受け側へのスパムである可能性があるものは、他の受け側にはスパムでないかもしれなく、そしてそのことは、ターフリストの機能を制限する。さらに、電子メーラ（すなわち、スパムジェネレータ）は、メッセージを適切に用意して、その本当のコンテンツが、そのサブジェクトラインから明らかでなく、メッセージの本文を読むことからのみ見分けられるようにする。

開発された他の技術は、ブラックホールリストとして知られている。ブラックホールリストとは、スパムが送られてくる、知られたスパムアドレスのリストのことである。ｅ−ｍａｉｌの送り主のアドレスをブラックホールリストによってチェックする。アドレスがリスト上にある場合、ｅ−ｍａｉｌを受け取らない。スパムジェネレータは、それらのアドレスを簡単に変えて、この技術を回避する。他の技術も、また、開発されてきている。それら技術のどれもが、１００％の有効性を示さない。スパムを防ぐためのｅ−ｍａｉｌサーバによるイノベーションを、スパムクリエータによるイノベーションに対抗させ、それらイノベーションを克服する。

本発明は、多数のスパム検知のソリューションを管理可能なおよび合理的な方法で共に処理するよう配置でき、および新しいイノベーションを高速配置モデルの下、作成でき、配置できるフレームワークを提供する。

ｅ−ｍａｉｌメッセージがアンチスパムモジュールを用いるスパムであるかどうか判定する方法を示す。その方法は、アンチスパムモデルのうち１つを実行し、およびアンチスパムモジュールからスパムの信頼水準（ｓｐａｍ ｃｏｎｆｉｄｅｎｃｅ ｍｏｄｅｌ）を受け取る。チューニングファクタをスパムの信頼水準に適用して、チューニングされたスパムの信頼水準を作成する。チューニングされたスパムの信頼水準を合計されたスパムの信頼水準に加え、および合計されたスパムの信頼水準を少なくとも１つの閾値と比較する。合計されたスパムの信頼水準が閾値より大きい場合、少なくとも１つの閾値に関連した動作を実行する。そのプロセスを、合計されたスパムの信頼水準がその閾値よりも大きくなるか、またはアンチスパムモジュールの全てが実行されるかのいずれかまで繰り返す。

一実施形態では、最高閾値を含む、複数の閾値を使用し、合計されたスパムの信頼水準を各閾値と比較する。合計されたスパムの信頼水準が１または２以上の閾値よりも大きい場合、超えられた閾値であって、最高閾値に最も近いものに関連した動作を実行する。

チューニングファクタは、スパムの信頼水準に１を掛ける、またはスパムの信頼水準を提供した、アンチスパムモジュールにおけるユーザの信頼水準によってスパムの信頼水準を測定する等の、簡単なスケーリングファクタから、非線形信頼水準正規化を用いてスパムの信頼水準を正規化する、複雑なチューニングファクタまで及んでいる。

実行された動作は、接続の中断を含み、合計されたスパムの信頼水準が第１の閾値水準を超過する場合は、未配信メッセージを送り主に返し、合計されたスパムの信頼水準が第２の閾値水準を超過し第１の閾値水準より小さい場合は、メッセージをジャンクメールフォルダへ配信し、メッセージが第３の閾値水準を超過し第２の閾値水準より小さい場合は、クライアントがユーザ毎にカスタマイズされた動作を実行できるよう、合計されたスパムの信頼水準をクライアントへ送る。

本発明のさらなる特徴および利点は、添付する図面を参照して行う、後述する例示的な実施形態の詳細な説明から明らかになるであろう。

添付した特許請求の範囲は、特殊性をもって本発明の特徴を記載するが、本発明は、その目的と利点と共に、添付する図面と共に成された以下の詳細な説明から最も良く理解されよう。

図面を見ると、同様の参照番号／符号は、同様の要素を指し、本発明は、適切なコンピューティング環境で実行されるように図示される。必要ではないけれども、本発明は、パーソナルコンピュータによって実行されるプログラムモジュール等のような、コンピュータ実行可能命令の一般のコンテキストで記述されるであろう。一般に、プログラムモジュールは、特定のタスクを実行する、または特定の抽象データタイプを実装する、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造等を含む。さらに当業者は、本発明を、ハンドヘルドデバイス、マルチプロセッサシステム、マイクロプロセッサベースのまたはプログラム可能な家電製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ等の、他のコンピュータシステムの構成で実施しても良い、ということを理解するであろう。本発明を、タスクを通信ネットワークを通じてリンクされるリモートプロセシングデバイスによって実行する、分散コンピューティング環境でも実施することもできる。分散コンピューティング環境では、プログラムモジュールをローカルおよびリモートメモリストレージデバイスに設置しても良い。

図１は、本発明を実施できる、適切なコンピューティングシステム環境１００の一例を図示する。コンピューティングシステム環境１００は、適切なコンピューティング環境の単なる一例であり、本発明の使用の範囲または機能について、どんな限定も示唆するよう意図したものではない。コンピューティング環境１００は、例示の動作環境１００で図示されたコンポーネントの任意の１つまたは組み合わせに関する、いずれの従属物または要求物を有するとして解釈されるべきではない。

本発明は、本発明で使用するのにふさわしい、多数の他の汎用または専用／特定目的コンピューティングシステム環境または構成で使用できる。周知なコンピューティングシステム、環境、および／または構成の例は、限定ではないのだが、パーソナルコンピュータ、サーバコンピュータ、ハンドヘルドまたはラップトップデバイス、マルチプロセッサシステム、マイクロプロセッサベースシステム、セットトップボックス、プログラム可能な家電製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、上述のシステムまたはデバイスのいずれも含む分散コンピューティング環境等を含む。

本発明を、コンピュータによって実行されている、プログラムモジュール等のような、コンピュータ実行可能命令の一般のコンテキストで記述しても良い。一般に、プログラムモジュールは、特定のタスクを実行し、特定の抽象データタイプを実装する、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造等を含む。本発明を、タスクを通信ネットワークを通じてリンクされるリモートプロセッシングデバイスによって実行する、分散コンピューティング環境でも実施することができる。分散コンピューティング環境では、プログラムモジュールを、メモリストレージデバイスを含む、ローカルおよびリモートコンピュータストレージメディアの双方に配置しても良い。

図１を参照すると、本発明を実施するための典型的なシステムは、コンピュータ１１０の形式の汎用コンピューティングデバイスを含む。
コンピュータ１１０のコンポーネントは、限定ではないが、プロセシングユニット１２０、システムメモリ１３０、およびシステムメモリを含む種々のシステムコンポーネントをプロセシングユニット１２０へ結合させる、システムバス１２１を含む。システムバス１２１は、幾つかあるバス構造のうちいずれであっても良く、メモリバスまたはメモリコントローラ、ペリフェラルバス、および種々のバス構造のいずれかを用いるローカルバスを含むことができる。例であって、限定ではないが、このような構造は、ＩＳＡ（Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、ＭＣＡ（Ｍｉｃｒｏ Ｃｈａｎｎｅｌ Ａｒｃｈｉｔｅｃｔｕｒｅ）バス、ＥＩＳＡ（Ｅｎｈａｎｃｅｄ ＩＳＡ）バス、ＶＥＳＡ（Ｖｉｄｅｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｔａｎｄａｒｄｓ Ａｓｓｏｃｉａｔｅ）ローカルバス、およびＭｅｚｚａｎｉｎｅバスとしてまた知られる、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ）バスを含む。

コンピュータ１１０は、一般に、種々のコンピュータ可読媒体を含む。コンピュータ可読媒体は、コンピュータ１１０によってアクセスされることができる、いずれの利用可能な媒体とすることができ、揮発性および不揮発性媒体、着脱可能および着脱不可な媒体の双方を含む。例であって、限定ではないが、コンピュータ可読媒体は、コンピュータストレージメディアおよび通信メディアを含んでも良い。コンピュータストレージメディアは、揮発性および不揮発性、着脱可能および着脱不可なメディアの双方を含み、それらメディアによって、コンピュータ可読命令、データ構造、プログラムモジュールまたは他のデータ等のような、情報を記憶するためのいずれかの方法またはテクノロジが実施される。コンピュータストレージメディアは、限定ではないが、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリまたは他のメモリテクノロジ、ＣＤ−ＲＯＭ、デジタル多用途ディスク（ＤＶＤ）または他の光ディスクストレージ、磁気カセット、磁気テープ、磁気ディスクストレージまたは他の磁気ストレージデバイス、もしくは所望の情報を格納するのに用いられる、およびコンピュータ１１０によってアクセスされる、いかなる他のメディアをも含む。通信メディアは、一般に、コンピュータ可読命令、データ構造、プログラムモジュールまたはキャリア波または他の輸送メカニズム等のような、変調されたデータ信号中の他のデータを具体化し、いかなる情報配信メディアを含む。用語「変調されたデータ信号」とは、信号中の情報をエンコードする方法でセットされ変えられた、１または２以上のその特性を有する信号を意味する。例であって、限定ではないが、通信メディアは、有線ネットワークまたは直接有線接続等のような、有線メディア、および音響、ＲＦ、赤外および他の無線メディア等のような、無線メディアを含む。いかなる上述の組み合わせをも、コンピュータ可読媒体の範囲内に含むべきである。

システムメモリ１３０は、リードオンリーメモリ（ＲＯＭ）１３１およびランダムアクセスメモリ（ＲＡＭ）１３２等のような、揮発性および／または不揮発性メモリの形式のコンピュータストレージメディアを含む。ＢＩＯＳ（ｂａｓｉｃ ｉｎｐｕｔ／ｏｕｔｐｕｔ ｓｙｓｔｅｍ）１３３は、起動中などに、コンピュータ１１０内の要素間で情報を転送するのを助ける基本ルーチンを含み、一般に、ＲＯＭ１３１に格納される。ＲＡＭ１３２は、一般に、プロセシングユニット１２０によって、直ちにアクセス可能でありおよび／または現在動作している、データおよび／またはプログラムモジュールを含む。例であって、限定ではないが、図１には、オペレーティングシステム１３４、アプリケーションプログラム１３５、他のプログラムモジュール１３６、およびプログラムデータ１３７を図示する。

コンピュータ１１０は、他の着脱可能／着脱不可、揮発性／不揮発性のコンピュータストレージメディアをも含む。単なる例にすぎないが、図１には、着脱不可、不揮発性の磁気メディアに対して読み書きするハードディスクドライブ１４１、着脱可能、不揮発性磁気ディスク１５２に対して読み書きする磁気ディスクドライブ１５１、およびＣＤ−ＲＯＭまたは他の光メディア等のような、着脱可能、不揮発性光ディスク１５６に対して読み書きする光ディスクドライブ１５５を図示する。他の着脱可能／着脱不可、揮発性／不揮発性コンピュータストレージメディアを、例示的な動作環境で用いることができ、それらメディアは、限定ではないが、磁気テープカセット、フラッシュメモリカード、デジタル多用途ディスク、デジタルビデオテープ、固体素子ＲＡＭ（ｓｏｌｉｄ ｓｔａｔｅ ＲＡＭ）、固体素子ＲＯＭ（ｓｏｌｉｄ ｓｔａｔｅ ＲＡＭ）、等を含む。ハードディスクドライブ１４１は、一般に、インタフェース１４０等のような、着脱不可なメモリインタフェースを通じて、システムバス１２１へ接続され、磁気ディスクドライブ１５１および光ディスクドライブ１５５は、一般に、インタフェース１５０等のような、着脱可能なメモリインタフェースによってシステムバス１２１へ接続される。

上述し図１に図示した、ドライブおよびそれらに関連したコンピュータストレージメディアは、コンピュータ可読命令、データ構造、プログラムモジュールおよびコンピュータ１１０に対する他のデータのストレージを提供する。図１において、例えば、ハードディスクドライブ１４１は、オペレーティングシステム１４４、アプリケーションプログラム１４５、他のプログラムモジュール１４６、およびプログラムデータ１４７を格納するものとして図示されている。これらのコンポーネントは、オペレーティングシステム１３４、アプリケーションプログラム１３５、他のプログラムモジュール１３６、およびプログラムデータ１３７と、同じかまたは異なるもののいずれかとすることができることに留意されたい。オペレーティングシステム１４４、アプリケーションプログラム１４５、他のプログラムモジュール１４６、およびプログラムデータ１４７は、少なくともそれらが異なるコピーであることを示す、異なった数字が本明細書では与えられている。ユーザは、キーボード１６２および通常、マウス、トラックボールまたはタッチパッドと称されるポインティングデバイス１６１等のような、入力デバイスを通して、コマンドと情報とをコンピュータ１１０へと入力することができる。他の入力デバイス（不図示）は、マイクロフォン、ジョイスティック、ゲームパッド、衛星放送アンテナ、スキャナ等を含んでも良い。これらおよび他の入力デバイスは、しばしば、システムバスに結合される、ユーザ入力インタフェース１６０を通じて、プロセシングユニット１２０へ接続されるが、パラレルポート、ゲームポートまたはユニバーサルシリアルバス（ＵＳＢ）等のような、他のインタフェースおよびバス構造によって接続されても良い。モニタ１９１または他の種類のディスプレイデバイスをも、ビデオインタフェース１９０等のような、インタフェースを介してシステムバス１２１へ接続する。モニタに加えて、コンピュータは、スピーカ１９７およびプリンタ１９６等のような、他のペリフェラル出力デバイスも含むことができ、それらデバイスを、出力ペリフェラルインタフェース１９５を通じて接続することができる。

コンピュータ１１０は、リモートコンピュータ１８０等のような、１または２以上のリモートコンピュータへの論理接続を使用する、ネットワーク化環境で動作することができる。図１には、メモリストレージデバイス１８１のみを図示してきたが、リモートコンピュータ１８０は、他のパーソナルコンピュータ、サーバ、ルータ、ネットワークＰＣ、ピアデバイス、または他の通常のネットワークノードであっても良く、一般に、パーソナルコンピュータ１１０に関して上述の要素の多くまたは全てを含む。図１に表す論理接続は、ローカルエリアネットワーク（ＬＡＮ）１７１およびワイドエリアネットワーク（ＷＡＮ）１７３を含むが、他のネットワークを含んでも良い。このようなネットワーキング環境は、オフィス、企業全体のコンピュータネットワーク、イントラネットおよびインターネットでは一般的である。

ＬＡＮネットワーキング環境で用いるとき、パーソナルコンピュータ１１０をネットワークインタフェースまたはアダプタ１７０を通じてＬＡＮ１７１に接続する。ＷＡＮネットワーキング環境で用いるとき、コンピュータ１１０は、一般に、モデム１７２、またはインターネット等のような、ＷＡＮ１７３を介して通信を確立するための他の手段を含む。モデム１７２は、内蔵または外付けであっても良く、ユーザ入力インタフェース１６０、または他の適した機構を介して、システムバス１２１に接続されても良い。ネットワーク化環境では、パーソナルコンピュータ１１０またはその一部に関して表されたプログラムモジュールを、リモートメモリストレージデバイスに格納することができる。例であって、限定ではないのだが、図１は、メモリデバイス１８１に存在するものとして、リモートアプリケーションプログラム１８５を図示する。図示されたネットワーク接続は一例であり、コンピュータ間の通信リンクを確立する他の手段を用いて良いことは理解されよう。

以下に続く説明では、別の方法で示されない限り、１または２以上のコンピュータによって実行される、行為および操作の記号表示を参照して、本発明を説明する。従って、ときにはコンピュータ実行可能と呼ばれる、このような行為および操作は、構成された形式のデータを表す電気信号のコンピュータのプロセシングユニットによる処理を含むことが理解されよう。この操作により、データを変換し、またはコンピュータのメモリシステム中の位置にそれを維持し、当業者によって周知である方法でコンピュータの操作を構成する、ないしは変更する。データを維持するデータ構造は、データのフォーマットによって規定された特定のプロパティを有する、メモリの物理位置である。しかしながら、本発明を以下の文脈で説明している一方、限定を意味するものではなく、以下に説明する種々の行為および操作をハードウエアに実装できることは、当業者に理解されよう。

ＥｘｃｈａｎｇｅサーバとのＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を用いて本発明を説明する。Ｅｘｃｈａｎｇｅは、Ｍｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎによって生産されるｅ−ｍａｉｌサーバである。ＳＭＴＰは、優れたｅ−ｍａｉｌプロトコルであり、インターネットで用いられる。ＳＭＴＰおよびＥｘｃｈａｎｇｅを用いる一方、本発明を、他の転送プロトコルおよびメールサーバで用いても良い。ＳＭＴＰは、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）通信プロトコルであり、ＴＣＰ／ＩＰによって、インターネットを介するＥｘｃｈａｎｇｅ等のようなあるｅ−ｍａｉｌサーバから他のｅ−ｍａｉｌサーバへメールを転送するのに用いられる、メッセージフォーマットが規定される。ＳＭＴＰによれば、ｅ−ｍａｉｌメッセージを、一般に、以下の方法で送信する。ユーザは、ｅ−ｍａｉｌプログラムを実行して、ｅ−ｍａｉｌメッセージを作成し、ｅ−ｍａｉｌプログラムは、メッセージテキストと制御情報を出力メッセージに配置する。キューは、一般に、ｅ−ｍａｉｌサーバにアクセス可能なファイルの集まりとして実装される。

Ｅｘｃｈａｎｇｅサーバは、宛先ｅ−ｍａｉｌサーバ上の受信ＳＭＴＰポートへのＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｏｒｏｌ Ｐｒｏｔｃｏｌ）を確立し、ＳＭＴＰを用いてインターネットに渡ってメッセージを転送する。送信および受信サーバ間のＳＭＴＰセッションにより、送信ホスト上のキューからステージの受信ホスト上のキューへ転送されているメッセージが生じる。そのステージは、確立されている接続のＩＰアドレスを提供する送信サーバからメッセージヘッダおよびメッセージコンテンツの全てを受信することまでの範囲にわたる。メッセージ転送を完了すると、受信サーバはＳＭＴＰによって用いられたＴＣＰを閉じ、送信ホストはそのメールキューからメッセージを削除し、受信者は構成したｅ−ｍａｉｌプログラムを用いて、メールキュー中のメッセージを読み取る。

次に図２において、ＳＭＴＰスタック２００は、インターネット情報サーバ（ＩＩＳ）２０２内で稼動する。ＩＩＳサーバ２０２は、Ｍｉｃｒｏｓｏｆｔ Ｃｏｒｐｏｒａｔｉｏｎによって販売されているウェブサーバソフトウエアであり、サーバ２０４にインストールされている。ＩＩＳ２０２は、ＳＭＴＰを介して他のＥｘｃｈａｎｇｅサーバ２０６またはインターネット上のＳＭＴＰサーバ（不図示）と通信する。ＩＩＳ２０２は、データベース２０８を有しており、そのデータベース２０８を用いて、発信または入来メッセージを格納する。メッセージが到来するために、ＳＭＴＰプロトコル２００に対して接続を確立すると、イベントが発射（ｆｉｒｅ）され、フレームワーク２１０によって受信される。フレームワーク２１０は、メッセージを代行受信し、それを１または２以上のフィルタへ受け渡す。フィルタ２１２は、メッセージを分析し、フィルタ２１２が有しメッセージがスパムであるという信頼水準を決定し、その信頼水準をフレームワーク２１０へ送信する。フレームワーク２１０は、信頼水準に基づいて他のフィルタ２１２、またはアクション２１４を呼び出す必要があるか否か判定する。アクション２１４は、接続をドロップすること、メッセージをＥｘｃｈａｎｇｅトランスポート２１６へ送信すること、およびメッセージを削除することを含む。Ｅｘｃｈａｎｇｅトランスポート２１６は、メッセージを発送する。Ｅｘｃｈａｎｇｅトランスポート２１６は、メッセージをサーバ２０４上のメールボックスへ配信するか、またはそれはＳＭＴＰを介して他のサーバ２０６へ送る必要があるか判定する。

次に図３において、フレームワーク２１０は、種々のタイプのアンチスパム検知テクノロジから構成される。例えば、フィルタ２１２のタイプは、リアルタイムブラックホールリストモジュール３００、非線形モジュール３０２、アンチウィルスモジュール３０６を用いてＥｘｃｈａｎｇｅサーバ２０４との通信を行うアンチウィルスＡＰＩ３０４、ターフリストモジュール３０８、および自身のルールを用いてメッセージがスパムであるかを判定する他のフィルタ３１０であっても良い。例えば、他のフィルタ３１０は、テキスト分類（ｔｅｘｔ ｃｌａｓｓｉｆｉｃａｔｉｏｎ）、キーワードマッチング等とすることができる。

リアルタイムブラックホールリストモジュール３００は、スパムアドレスの既知のリストに対して、メッセージ送り主のＩＰアドレスを比較する。ＩＰアドレスが既知のリストである場合、Ｅｘｃｈａｎｇｅサーバ２０４はメールを受け入れない。非線形モジュール３０２は、スパムと正当なメッセージとの間の分離をさせる、Ｓ型カーブ、Ｂａｙｅｓｉａｎ関数等のような、関数を用いて、フィルタ２１０の信頼水準を正規化する。例えば、フィルタ２１０が９５％の信頼水準を返す場合、非線形モジュール３０２は、信頼水準を９６％へスケールアップすることができる一方、４０％の信頼水準を３０％に信頼水準へスケールダウンすることができる。ターフリスト３０８は、送り主のメールアドレスおよび／またはドメイン、メールのターゲット受け側、およびメッセージＩＤ、データ、件名、添付タイプおよび名前等のような、実際のメッセージ本体の特性を含む、利用可能な情報に基づいた、送り主とＥｘｃｈａｎｇｅサーバとの間のＳＭＴＰプロトコル交換中は、メールを無効にする。

フレームワーク２１０は、アンチスパムフィルタ２１２の１または２以上の呼び出しを管理し、各呼び出しの結果を正規化し、正規化された結果を評価し、その結果に処置を講じる。フレームワーク２１０を、最も一般に、ネットワークのエッジでのサーバ２０４（すなわち、インターネットからｅ−ｍａｉｌを始めに受信するメールサーバ）に使用する。テキスト分類等のような、用いられる幾つかのテクノロジを、メッセージの重要度および機密度の識別等のような、異なった用途に用いることができる。この結果として、フレームワークを、内部サーバでも使用することができる。フレームワーク２１０を、単に既存のスタンドアローンスパム検知実装によって呼び出されたユーティリティのライブラリとして用いて、スタンドアローン実装からの移行を支援することができ、またはより好ましくは、アンチスパムフィルタ２１２を呼び出すのに用いられる（後述する）基礎的イベンティングメカニズム（ｕｎｄｅｒｌｙｉｎｇ ｅｖｅｎｔｉｎｇ ｍｅｃｈａｎｉｓｍ）から抽象性を提供する、ラッパ（ｗｒａｐｐｅｒ）として用いることができる。ラッパの実施形態によって、ｅ−ｍａｉｌ用に開発されたアンチスパムフィルタ２１２をも、インスタントメッセージング、いやがらせメッセージ（ｈａｒａｓｓｍｅｎｔ ｍｅｓｓａｇｅ）の判定等のような、他のメッセージングソリューションに対して用いることができる。いずれの場合でも、フレームワークを、ビルドまたはランタイムでアンチスパムテクノロジへとリンクされる、ライブラリとして配信する。

Ｅｘｃｈａｎｇｅ中のＳＭＴＰスタック２００のアーキテクチャは、スタック２００によってイベントシンクへイベントを発射する（すなわち、スタック２００から供給される）ようなものであり、一般に、ＣＯＭオブジェクトとして実装される。新しいアンチスパムテクノロジを使用すると、それはＣＯＭオブジェクトを実施し、そのＣＯＭオブジェクトは、インストールタイムでプロトコルイベントシステムに登録する。登録コードはフレームワーク２１０によって配信される。フレームワーク２１０のインストールは、問題のサーバにソフトウエアをインストールすること、イベントシンクを登録すること、システム管理者コンソールを介して特定のサーバに対する特定の技術を可能にする、または不可能にすること、ならびに評価およびアクションの戦略を確立してスパムを受信するときに続行すること、を含む。特定の技術が可能／不可能になると、ネットワーク中のサーバ全てが同一のソフトウエアバイナリを含めることによって、フレームワーク２１０の使い易さが向上する。

次に図４において、アンチスパムフィルタ２１２の統合およびメッセージがスパムかの判定のプロセスが図示されている。ランタイムで、ＳＭＴＰスタック２００（およびその後はポイント）への接続を開始すると、イベントが発射される（ステップ４００）。イベントディスパッチシステムは、その登録のリストを検査し、相当するオブジェクトを呼び出す。呼び出しは、フレームワークがラッパとして作動するときは直接、またはそれがライブラリ関数として呼び出されているときは間接のいずれかでフレークワークにやって来る（ステップ４０２）。双方の場合において、フレームワーク２１０は、それ自身の構成を精査して、それを登録してきたアンチスパムテクノロジ３００〜３１０のうちどれを、システム管理者が“使用可能にした”か、“使用不可能にした”かを判定する。使用可能にしてきたアンチスパムテクノロジを列挙し、スパム信頼水準の合計（ｓｕｍｍａｒｙ）をゼロに設定する（ステップ４０４）。

特定のアンチスパムフィルタ２１２を“使用可能”にする場合、フレームワーク２１０は、精査するためのアンチスパムフィルタ２１２に対して利用可能な情報は何でも獲得し、その情報をフィルタ２１２へ送信する（ステップ４０６）。利用可能な情報の量およびタイプは、フィルタ２１２を呼び出すプロトコルのステージに依存して変化する。例えば、そこに呼び出された最初の時間は、単に、確立されている接続のＩＰアドレスについての情報であっても良い。システムがメッセージを受け入れる前の最新のコールで、メッセージヘッダおよびコンテンツの全ては、利用可能になる。フレームワーク２１０がメッセージのエンコードされたコンテンツを解読することができる場合、フレームワーク２１０は、メッセージのエンコードされたコンテンツを解読してアンチスパムフィルタ２１０によってより容易に使用可能な形式にする。フレームワークをラッパとして実装すると、この情報は、自動的に利用可能になるであろう。ライブラリとして実装すると、その情報は、アンチスパムフィルタ２１０によって特に要求された場合のみ利用可能である。フレームワークの形式（すなわち、ラッパまたはライブラリ）に関わらず、メッセージコンテンツの解読等のようなユーティリティ機能を、アンチスパムフィルタによって受動的に呼び出して、ＣＰＵ負荷を軽減する。一実施形態では、フレームワーク２１０は、メッセージ中の受け側アドレスの探索を提供し、フィルタ２１２は、その探索を、１通のメールをスパムとするその評価の一部として用いることができる。

その評価の完了で、フィルタ２１２は、戻り値または参照のいずれかによって（またはフレームワークライブラリへの呼び出しによって）、ソリューションは特定のメールメッセージがスパムであるということを有するという、信頼の評価をフレームワーク２１０に戻す（ステップ４０８）。フレームワーク２１０は、一般に、０％は明らかにスパムではないことを表し１００％は明らかにスパムであることを表す場合、０〜１００％の範囲内の答えを期待する。一実施形態において、そのパーセンテージを０と１００との間の数字として示す。異なる測定を用いる種々のアンチスパムテクノロジ３００〜３１０を収容するために、フレームワーク２１０は、スケーリングファクタまたはチューニングファクタを提供して、正規化または調整されたスパム信頼水準を作成するために呼び出された各個別のフィルタ２１２からの結果へ適用する（ステップ４１０）。スケーリングファクタまたはチューニングファクタを、サーバ２０４の管理者によって構成される。これは、フレームワークが、異なるフィルタ２１０の結果を比較するために実行しなければならない正規化を構成する。正規化された数値を、スパム信頼水準として参照する。そのスパム信頼水準をスパム信頼水準の合計に加える（ステップ４１２）。フレームワーク２１０は、接続についてはそれ自身のメッセージ上におよび／またはパフォーマンスについてはメモリ内に、実行中の合計として計算されたスパム信頼水準を格納する。連続したソリューションの評価結果を、スパム信頼水準の合計に加える。

正規化（すなわち、スケーリングファクタの適用）を、種々の方法で実装することができる。例えば、結果を正規化するための一方法は、各フィルタ２１２の結果を等しく信頼するものであり、簡単にそれら結果を合計する（例えば、０．５＋０．７＋０．８＋．．．＝合計）。他の方法は、各々にスケールを適用することである。例えば、管理者が、特定のフィルタがスパムを検知する方法を好む場合、管理者は、比較的高い数値（例えば、０．９）によるそのフィルタのスパム信頼水準をスケールするであろう。同様に、管理者があまり信頼していないフィルタがある場合、管理者は、比較的低い数値（例えば、０．３）によるそのフィルタのスパム信頼水準をスケールする。スケーリングファクタの他の例は、Ｓ型カーブ等のような重み付けされたカーブを用いる、非線形信頼水準正規化を用いることである。例えば、フィルタ２１０が９５％のスパム信頼水準を戻す場合、スケーリングファクタは、それをより高い、例えば９６％にスケールアップする。スパム信頼水準が範囲の中間（例えば、５０〜５５％）である場合、より急激なスケーリングを適用して、それをより低くスケールダウンする（例えば、３０〜３５％）。

フレームワーク２１０は、管理者がスパム信頼水準の合計が越えた最大閾値に基づいてメッセージにより異なるアクションを定義することを可能にする幾つかの閾値を設定する機能を提供する。アクションは、メッセージがスパムであるかについてよりよい見解を知るまで配信すること、接続の中断、未配信メッセージの送り主への送信、メッセージの削除、それをスパム信頼水準の合計に基づいた他のフィルタ２１０へのパス、メッセージの受け側への送信、等から、メッセージを守ることができる。閾値のデフォルト設定および相当するアクションを、フレームワーク２１０で提供する。

スケールされたスパム信頼水準の合計を、管理者によって設定された最高閾値と比較する（４１４）。スパム信頼水準の合計が最高閾値を上回る場合、最高閾値について構成されたアクションを取る（ステップ４１６）。スパム信頼水準の合計が最高閾値水準を上回らない場合およびメッセージを評価するために用いることができる、より多くのフィルタがある場合（ステップ４１８）、最高閾値を上回るか、またはメッセージのエンドを受信するかのいずれかまで（ステップ４２０）、ステップ４０６からステップ４１４までを繰り返す。メッセージのエンドを受信していない場合、ＳＭＴＰスタック２００は、次のメッセージ受け入れ状態に移動し（ステップ４２２）、ステップ４０６からステップ４２０を、次のメッセージ受け入れ状態のために繰り返す。メッセージのエンドを受信しており、使用可能なフィルタの全てがメッセージを分析していた場合、スパム信頼水準の合計を、スパム信頼水準の合計が閾値を上回るまで、最高閾値から最低閾値まで順番に（ステップ４２４）残りの閾値を比較する（ステップ４２６）。スパム信頼水準の合計が閾値を上回る場合、その閾値について構成されたアクションを取る。

合計において、フィルタ２１２がその分析を完了した後、フレームワーク２１０は、管理者によって規定された閾値のセットに対してスパム信頼水準の合計を評価する。スパム信頼水準の合計が管理者によって設定された最も高い閾値よりも大きい場合、最も高い閾値について指定されたアクションをメッセージと共に取る。あるいはまた、最大閾値を上回るか、フィルタ全てがメッセージを評価していたかのいずれかになるまで、次のフィルタを用いて、メッセージを評価する。フィルタ全てがメッセージを評価した後は、閾値全て、および選択されたマッチング閾値に対して、スパム信頼水準の合計を比較する。次いで、その閾値に関連したアクションを取る。例えば、スパム信頼水準の合計が９９％の信頼水準閾値を上回る場合、メッセージ接続を静かに中断することができる。スパム信頼水準の合計が、７０％の信頼水準閾値を上回る場合、未配信レポートを送り主に返すことができる。スパム信頼水準の合計が４０％の信頼水準閾値を上回る場合、メッセージをユーザのメールボックスの“ジャンクメール”フォルダへ配信することができる。スパム信頼水準の合計が閾値のいずれも上回らない場合、メッセージを正当であると見なし、ユーザの受信ボックスへ配信することができる。

全ての点で、特定のメッセージと共に取られたアクションを、管理者が選んで記録する、情報のレベルに依存する、メッセージトラッキングテーブルに記録し、または加えることができる。アクションのデフォルトセットは、フレームワーク２１０と共に管理者に利用可能である。新しいアンチスパムフィルタを配置するのに用いられるものと同様の方法で、追加のアクションを、追加のアクション実行コードを配信することによって加えることができる。

フレームワーク２１０によるメールボックスへの配信のために受け入れられたメッセージは、その周知のプロパティにおいて、格納されたそのメッセージのスパム信頼水準の合計を有する。メッセージを処理する配信エージェントは、それ自身のロジックの一部としてこのプロパティを評価するために選択することができる。メッセージを閲覧するクライアント、またはこうしたメッセージのテーブルは、誤算されているかもしれない、このようなメッセージの識別への補助として、スパム信頼水準の合計の順番の昇順または降順でメッセージのリストを作成するように選択することができる。

スパムおよびウィルスを、種々の既存および将来のアンチスパムフィルタおよびテクノロジを用いる、ネットワーク境界の縁で検知し処理することができるプラットフォームを説明してきたことは見て取れよう。プラットフォームは、ソリューションおよびテクノロジを合理的な方法で相互に作用し管理することを可能にし、それによって、スパム検知の好戦的な環境でサーバサイド上に迅速なイノベーションを展開するための機能を提供する。

本発明の原理を適用できる、多くの考えられる実施形態を考慮すると、図面に関して本明細書で説明した実施形態を、例示のみ意図するものであって、本発明の範囲を限定するものとして考慮すべきでないことを理解するべきである。例えば、ソフトウエアで示し例示した実施形態の要素を、ハードウエアで実装しても良く、あるいはその逆であっても良いこと、または、例示した実施形態を、本発明の精神から逸脱することなく、構成および詳細に変更することができることは、当業者によって理解されよう。従って、本明細書で説明した本発明は、添付する特許請求の範囲およびその均等物内に該当する実施形態全てを予期する。

本発明が存在する例示のコンピュータシステムを概略的に図示するブロック図である。 ＳＭＴＰプロトコルスタックを用いるシステムにおける本発明のフレームワークを概略的に図示するブロック図である。 本発明により用いられるアンチスパムモジュールの例を図示するブロック図である。 アンチスパムモジュールを統合する、およびメッセージがスパムであるか判定するプロセスを図示するフローチャートである。

符号の説明

２００ ＳＭＴＰプロトコル
２０２ インターネット情報サーバ
２０４ サーバ
２０６ 他のＥｘｃｈａｎｇｅサーバおよびｅ−ｍａｉｌサーバ
２０８ データベース
２１０ フレームワーク
２１２ フィルタ
２１４ アクション
２１６ Ｅｘｃｈａｎｇｅトランスポート
３００ リアルタイムブラックホールリストモジュール
３０２ 非線形フィルタ
３０４ アンチウィルスＡＰＩ
３０６ アンチウィルスモジュール
３０８ ターフリスト
３１０ 他のフィルタ

Claims (9)

1. 複数のアンチスパムフィルタを有するシステムが、メッセージがスパムであるか否かを判定する方法であって、
   ａ）前記複数のアンチスパムフィルタのうち１つを呼び出すステップと、
   ｂ）前記複数のアンチスパムフィルタのうち１つから、前記メッセージがスパムである可能性を表すスパム信頼水準を受信するステップと、
   ｃ）前記スパム信頼水準を正規化して正規化されたスパム信頼水準を作成するステップと、
   ｄ）前記正規化されたスパム信頼水準を格納して合計されたスパム信頼水準を得るステップと、
   ｅ）前記合計されたスパム信頼水準を少なくとも１つの閾値と比較するステップと、
   ｆ）前記合計されたスパム信頼水準が前記少なくとも１つの閾値より大きい場合、前記少なくとも１つの閾値に関連したアクションを呼び出すステップと、
   ｇ）前記合計されたスパム信頼水準が前記少なくとも１つの閾値より小さい場合、ステップａ〜ｆを繰り返すステップであって、前記合計されたスパム信頼水準が前記少なくとも１つの閾値より大きくなるまで又は前記複数のアンチスパムフィルタの全てが呼び出されるまで繰り返すステップと
   を含み、
   前記アクションを呼び出すステップは、前記合計されたスパム信頼水準が第１の閾値水準を上回る場合、接続を中断するステップ、前記合計されたスパム信頼水準が第２の閾値水準を上回り前記第１の閾値水準より低い場合、未配信メッセージを送り主に返すステップ、および、前記メッセージが第３の閾値水準を上回り前記第２の閾値水準より低い場合、前記メッセージをジャンクメールフォルダに配信するステップを含むことを特徴とする方法。
2. 前記少なくとも１つの閾値は、最高閾値および最低閾値を含む複数の閾値を備え、
   前記合計されたスパム信頼水準を少なくとも１つの閾値と比較するステップは、前記合計されたスパム信頼水準を前記複数の閾値の各々と比較するステップを含み、
   前記少なくとも１つの閾値に関連したアクションを呼び出すステップは、前記合計されたスパム信頼水準が前記複数の閾値の少なくとも１つより高い場合、
   前記複数の閾値の少なくとも１つのうちどれが前記最高閾値に最も近いか判定するステップと、
   前記複数の閾値の少なくとも１つのうち前記最高閾値にもっとも近い閾値に関連したアクションを呼び出すステップと
   を含むことを特徴とする請求項１記載の方法。
3. 前記スパム信頼水準を正規化するステップは、非線形信頼水準正規化を用いて前記スパム信頼水準を正規化するステップを含むことを特徴とする請求項１記載の方法。
4. 前記合計されたスパム信頼水準を前記メッセージへ加えるステップをさらに備えることを特徴とする請求項１記載の方法。
5. 前記複数のアンチスパムモジュールは、ブラックホールリストおよびターフリストのうち１つを含むことを特徴とする請求項１記載の方法。
6. 複数のアンチスパムフィルタを有するコンピュータに、メッセージがスパムであるか否かを判定する方法を実行させるためのプログラムであって、前記方法は、
   ａ）前記複数のアンチスパムフィルタのうち少なくとも１つを呼び出すステップと、
   ｂ）前記複数のアンチスパムフィルタのうち少なくとも１つから、前記メッセージがスパムである可能性を表すスパム信頼水準を受信するステップと、
   ｃ）前記スパム信頼水準を正規化して正規化されたスパム信頼水準を作成するステップと、
   ｄ）前記正規化されたスパム信頼水準を格納して合計されたスパム信頼水準を得るステップと、
   ｅ）前記合計されたスパム信頼水準を少なくとも１つの閾値と比較するステップと、
   ｆ）前記合計されたスパム信頼水準が前記少なくとも１つの閾値より大きい場合、前記少なくとも１つの閾値に関連したアクションを呼び出すステップと、
   ｇ）前記合計されたスパム信頼水準が前記少なくとも１つの閾値より低い場合、前記合計されたスパム信頼水準が前記少なくとも１つの閾値より大きくなるまで又は前記複数のアンチスパムフィルタの全てが呼び出されるまで、ステップａ〜ｆを繰り返すステップと
   を含み、
   前記アクションを呼び出すステップは、
   前記合計されたスパム信頼水準が第１の閾値水準を上回る場合、接続を中断するステップ、前記合計されたスパム信頼水準が第２の閾値水準を上回り、前記第１の閾値水準より低い場合、未配信メッセージを送り主へ返すステップ、および前記メッセージが第３の閾値水準を上回り、前記第２の閾値水準より低い場合、前記メッセージをジャンクメールフォルダへ配信するステップを含むことを特徴とするプログラム。
7. 前記少なくとも１つの閾値は、最高閾値および最低閾値を含む複数の閾値を備え、
   前記合計されたスパム信頼水準を少なくとも１つの閾値と比較するステップは、前記合計されたスパム信頼水準を前記複数の閾値の各々と比較するステップを含み、
   前記少なくとも１つの閾値に関連したアクションを呼び出すステップは、前記合計されたスパム信頼水準が前記複数の閾値の少なくとも１つより大きい場合、
   前記複数の閾値の少なくとも１つのうちどれが前記最高閾値に最も近いか判定するステップと、
   前記複数の閾値の少なくとも１つのうち前記最高閾値にもっとも近い閾値に関連したアクションを呼び出すステップと
   を含むことを特徴とする請求項６記載のプログラム。
8. 前記スパム信頼水準を正規化するステップは、非線形信頼水準正規化を用いて前記スパム信頼水準を正規化するステップを含むことを特徴とする請求項６記載のプログラム。
9. 前記方法は、
   前記合計されたスパム信頼水準を前記メッセージへ加えるステップ、および
   前記メッセージのエンコードされたコンテンツを解読するステップ
   のうちの１つまたは複数をさらに含むことを特徴とする請求項６記載のプログラム。

Images