JP4447479B2

JP4447479B2 - データ処理装置

Info

Publication number: JP4447479B2
Application number: JP2005017939A
Authority: JP
Inventors: 達也馬場; 秀介前田; 尚通大谷
Original assignee: NTT Data Corp
Current assignee: NTT Data Corp
Priority date: 2005-01-26
Filing date: 2005-01-26
Publication date: 2010-04-07
Anticipated expiration: 2025-01-26
Also published as: JP2006211088A

Description

本発明は、イントラネット等のネットワークにおいてワームメールの送信等の不正なアクセスの発生を防止する際に用いて好適なデータ処理装置に関する。

現在、社会に大きな被害を与えているものの１つにネットワーク経由で感染するワームがある。ワームの感染手段には様々なものがあるが、中でも大きな割合を占めているものとしてメール感染型ワームがある。メール感染型ワームは、ワームプログラムをメール（電子メール）に添付し、感染したマシンのディスクに保存されている複数のメールアドレスに対して一斉に送信することによって感染を広げる。

このメール感染型ワームに対抗するために、メールサーバなどにインストールするタイプのゲートウェイ型アンチウイルスソフトが多く利用されている。ゲートウェイ型アンチウイルスソフトは、メールサーバが受信するメールの内容をチェックし、添付ファイルなどに不正な特徴が見つかった場合に、それがワームメール（ワームプログラムが添付されているメール）であると判断し、ワームの駆除や管理者などへの通知を行う。

また、トラフィックを監視してワームを検知する装置をネットワーク上に設置することで、ワームプログラムの含まれたメールを検出し、遮断や駆除などの処理を行う方法も利用されている。

また、不正なアクセスを防止するため、不正なアクセスを所定の端末（仮想おとりサーバ）に転送させるようにしたものがある。特許文献１には、正規サーバと仮想おとりサーバの２つを動作させ、不正アクセスを検知した場合に、そのアクセスを仮想おとりサーバに誘導する構成が記載されている。仮想おとりサーバで不正アクセスが成功したかのように振る舞うことで、正規サーバに対して不正アクセスを行わせないようにする。
特開２００２−１１１７２７号公報

一方、メール感染型ワームがメールを送信する際に使用するメールサーバの選択の方法としては、主に以下の３パターンが存在する。

（１）あるメール感染型ワームは、ある特定のメーラー（Microsoft Outlook（登録商標）など）の設定を検索し、送信先として設定されているメールサーバに対してワームメールを送信する（図５）。図５のシステムでは、ある企業のイントラネット内にメールサーバ１０２が設けられていて、イントラネット内の端末１０１のメーラーには送信先のメールサーバとしてローカルのメールサーバ１０２が設定されている。例えば、インターネット２０に接続されている他のメールサーバ３０を送信相手側とする場合、端末１０１から送信されたメールはローカルメールサーバ１０２を介して送信される。

（２）他のメール感染型ワームは、ＤＮＳ（Domain Name System）でワームメールの送信先メールアドレスのドメイン名部分に対するＭＸ（Mail eXchanger）レコードを検索することで、送信先メールサーバを特定し、ローカルのメールサーバを経由せず、ワーム感染端末から相手側のメールサーバに直接送信する（図６）。図６のシステムでは、イントラネット内にＤＮＳサーバ１０３が設けられている。イントラネット内の端末１０１に感染したワームは、送信先メールアドレス（“baba@example.com”）に対してワームメールを送信する際に、まず、ＤＮＳサーバ１０３にアクセスし、ドメイン名（“example.com”）に対するMXレコードを検索することで、送信先メールサーバ３０のホスト名（“mail”）を含むドメイン名（“mail.example.com”）を特定する（ステップＳ１０１）。次に、ローカルのメールサーバ１０２を経由せずに、外部のメールサーバ３０に対してワームメールを直接送信する（ステップＳ１０２）。

（３）また、他のメール感染型ワームは、メールサーバのホスト名を推測して相手組織のメールサーバに直接ワームメールを送信する。この場合、メール感染型ワームは、送信先メールアドレスのドメイン名部分の前に、メールサーバのホスト名として付与することの多い、“smtp”や“mail”などのラベルを付加したものに対して、ＤＮＳで名前解決（Ａ（Address）レコードの検索）を行い、名前解決に成功すれば、返答されたＩＰ（Internet Protocol）アドレスに対してメールを送信する（図７）。図７に示す例では、イントラネット内の端末１０１に感染したワームは、送信先メールアドレス（“baba@example.com”）に対してワームメールを送信する際に、まず、ＤＮＳサーバ１０３にアクセスし、ドメイン名（“smtp.example.com”）に対するＡレコードを検索する（ステップＳ２０１）。ドメイン名（“smtp.example.com”）に対するＡレコードが取得できなかったとすると、次に、ドメイン名（“mail.example.com”）に対するＡレコードを検索する（ステップＳ２０２）。ここで、ドメイン名（“mail.example.com”）に対するＡレコードが取得できたとすると、送信先メールサーバ３０（“mail.example.com”）に対して、ローカルのメールサーバ１０２を経由せずに、ワームメールを直接送信する（ステップＳ２０３）。

上記（１）については、ワームメールが、例えば、イントラネット内のローカルメールサーバ１０２に対して送信されることになるため、そのメールサーバ上でゲートウェイ型アンチウイルスソフトなどを常駐させておくことで、外部に送信されるワームを駆除することができる。しかし、（２）および（３）については、ローカルのメールサーバ１０２を経由せずに、ワーム感染端末１０１から相手組織のメールサーバ３０に直接送信されるため、メールサーバ１０２上のゲートウェイ型アンチウイルスソフトでは駆除することができないという問題がある。

また、トラフィックを監視してワームを検知する装置を、インターネットとの接続点付近に設置することで、ワームメールの送信を遮断することも可能であるが、正常なアクセスも含めてすべてのトラフィックを検査しなければならないため、処理速度の面で問題となる。そして、インターネットとの接続点にファイアウォールが設置されている場合には、ファイアウォールでメールサーバ以外の端末からのメール送信を遮断するように設定することも可能であるが、ファイアウォール自身はワーム検知機能を備えているわけではないため、それがワーム感染によるものなのかどうかは判断できず、管理者はその後の対応を迅速に行うことが難しいという問題がある。

本発明は、上記のような事情を考慮してなされたものであり、簡易な構成でイントラネット等の所定のネットワーク内のメールサーバを経由しない不正なアクセスを防止することができるデータ処理装置を提供することを目的とする。

上記課題を解決するため、請求項１記載の発明は、ドメイン名とＩＰ（Internet Protocol）アドレスとを対応させて名前解決処理を行う装置であって、所定の問い合わせ内容に対して回答すべき所定の誘導先ホストの情報を記憶した記憶手段と、各問い合わせについて問い合わせ種別及び問い合わせ元情報が、前記記憶手段に記憶されている前記所定の問い合わせ内容の示す所定の問い合わせ種別及び所定のサーバに一致するか否かを判定する判定手段と、判定手段によって前記問い合わせの問い合わせ種別が前記所定の問い合わせ内容の示す前記所定の問い合わせ種別に一致し、かつ、前記問い合わせの問い合わせ元情報が前記所定の問い合わせ内容の示す前記所定のサーバに一致しないと判定された場合に当該問い合わせに対して前記記憶手段に記憶されている前記所定の誘導先ホストの情報を回答する回答手段とを備えることを特徴とする。

請求項２記載の発明は、前記当該問い合わせが、メールサーバのホスト名についての問い合わせであり、その問い合わせ元が所定のメールサーバ以外である場合に、所定の誘導先ホストの情報を回答することを特徴とする。

請求項３記載の発明は、前記当該問い合わせが、ＭＸ（Mail Exchange）レコードについての問い合わせであり、その問い合わせ元が所定のメールサーバ以外である場合に、所定の誘導先ホストのドメイン名を回答することを特徴とする。

上記構成によれば、例えばワームプログラム自身がＳＭＴＰ（Simple Mail Transfer Protocol）エンジンを持ち、相手のメールサーバに直接ワームメールを送信するようなタイプのワームであっても、記憶手段に、ワームによるアクセスの性質に基づく問い合わせ内容と、不正アクセス対策を実施したホスト（あるいはサーバ、コンピュータ、ノード等）のアドレス等の情報を記憶させておき、その内容に一致するアクセスに対してはそのホストの情報を回答することで、不正アクセス対策を実施したサーバ宛にアクセスさせることが可能となり、例えば外部へのワームメールの流出を防ぐと共に、例えばその送信元ＩＰアドレスから、ワーム感染端末をいち早く隔離することが可能となる。

以下、図面を参照して本発明の実施の形態について説明する。図１は本発明の実施の形態を説明するためのブロック図である。図１においてイントラネット等のＬＡＮ（Local Area Network）１０には、端末１０１、メールサーバ１０２およびＤＮＳサーバ１０３Ａ（情報処理装置）が設けられている。ＬＡＮ１０は、例えば図示していないファイアウォールを介してインターネット２０に接続されている。そしてインターネット２０には、メールサーバ３０とＤＮＳサーバ４０とが接続されている。この場合、メールサーバ１０２上ではゲートウェイ型アンチウイルスソフトが実行されていて、メールサーバが受信するメールの内容をチェックし、添付ファイルなどに不正な特徴が見つかった場合に、それがワームメールなどであると判断し、ワームの駆除や管理者などへの通知を行う。ＤＮＳサーバ４０は、ＤＮＳサーバ１０３Ａの上位のＤＮＳサーバである。

ＤＮＳサーバ１０３Ａは、ドメイン名とＩＰアドレスとを対応させることで名前解決処理を行うＤＮＳ処理部１０３１と、名前解決処理の内容に係る所定の定義情報を事前に内部のハードディスクなどの記憶領域に登録したポリシーファイル１０３４とを備えている。本実施の形態において、ＤＮＳ処理部１０３１には、判定部１０３２と回答部１０３３が設けられており、これらの機能ブロックはＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）によって構成されている。判定部１０３２は、ＤＮＳサーバ１０３Ａが受信した各ＤＮＳ問い合わせが、ポリシーファイル１０３４に登録されている所定の問い合わせ内容に一致するか否かを記憶領域からポリシーファイル１０３４を読み出して判定する。回答部１０３３は、判定部１０３２によって問い合わせ内容が一致したと判定された場合、当該問い合わせ内容に対してポリシーファイル１０３４に登録されている所定のホストの情報を、本来の回答内容に代えて、問い合わせ元に対して回答するための処理を行う。

図６および図７を参照して説明したように、上記（２）および（３）の方法で送信先メールサーバを検索するメール感染型ワームは、送信先メールサーバを検索するために、必ずＤＮＳを使用するという性質がある。本実施の形態では、この性質を利用して対策を行うため、例えば企業ネットワーク１０で使用されているＤＮＳサーバ１０３Ａ上で、ワームが送信先メールサーバ３０を検索するためのものと思われる名前解決が発生した場合に、本来のＩＰアドレスではなく、ゲートウェイ型アンチウイルスソフトがインストールされているような、ローカルのワーム対策機能付メールサーバ（メールサーバ１０２）のＩＰアドレスを返答する。これにより、ワームメールの可能性があるメールをローカルのワーム対策機能付メールサーバ１０２に送信させる。そして、ワーム対策機能付メールサーバ１０２は、それがワームメールであると判断すれば駆除し、ワームメールでなければ、そのメールを通常のメールサーバと同様に中継することで、ワームメールが外部に流出しないようにすることが可能となる。この際、ＤＮＳサーバ１０３Ａは、他のホスト（コンピュータ、ノード、サーバ）からのＤＮＳ問い合わせの内容を監視し、ポリシーファイル１０３４（定義ファイル）にあらかじめ登録されたポリシー（定義内容）に従って誘導処理を行う。

なお、ポリシーファイル１０３４には、誘導すべきＤＮＳ問い合わせの内容（判定の基準となる条件）と、内容が一致した場合の誘導先ホスト名／ＩＰアドレスが事前に登録されている。図２はその一例を示すものである。この場合、ポリシーファイル１０３４には、所定の問い合わせ内容を表す各要素（「監視対象レコード」、「ＤＮＳ回答の条件」および「監視除外ＩＰアドレス」）と、その内容が一致した場合に回答すべき所定のホストの情報（「誘導先ホスト名又はＩＰアドレス」）とが記述されている。

図２に示す例は、あらかじめ登録されたメールサーバ（192.168.0.10）以外からのＭＸ（Mail Exchange）レコード問い合わせが行われた場合と、存在しないＡレコード又はＡＡＡＡレコードの問い合わせが行われた場合に、当該問い合わせに基づくアクセスを、不正アクセス対策サーバ（ホスト名：secure.local.dom、ＩＰｖ４（Internet Protocol version 4）アドレス：192.168.0.20、ＩＰｖ６（Internet Protocol version 6）アドレス：3cfe:28ac:3efa::20）（図１ではメールサーバ１０２）に誘導したいときの設定を記述したものである。

ここで、ＤＮＳサーバ１０３Ａにおいてワームメールの可能性があるメールをワーム対策機能付メールサーバ１０２に誘導する際の処理の概要について説明する。

［ＭＸレコードの問い合わせが発生した場合］：ＭＸレコードは、メールの送信先となるメールサーバを検索するためのレコードであり、メールサーバ以外のホストがこのＭＸレコードを問い合わせることはない。このため、あらかじめ設定したメールサーバ（例えばメールサーバ１０２）以外のホストからＭＸレコードの問い合わせがあった場合には、ワーム対策機能付メールサーバ１０２のアドレスを返答する。

［Ａ（Address）レコードまたはＡＡＡＡ（クワッドＡ）レコードの問い合わせが発生した場合］：ＡレコードおよびＡＡＡＡレコードは、ホスト名からＩＰアドレス（ＩＰｖ４アドレスはＡレコード、ＩＰｖ６アドレスはＡＡＡＡレコード）を得るためのレコードであり、多くのホストが利用するレコードである。このため、ＡレコードおよびＡＡＡＡレコードの問い合わせ自体は怪しいものではないが、存在しないホスト名に対する問い合わせであった場合には、それは、ワームが送信先メールサーバのホスト名を推測してＤＮＳサーバ１０３Ａに問い合わせた可能性がある。このため、ＤＮＳサーバ１０３ＡがＡレコードまたはＡＡＡＡレコードの問い合わせを受信し、その結果が「Non-Existent Domain」のようなエラーであった場合には、クライアントにはエラーを返却せずに、代わりにワーム対策機能付メールサーバ１０２のＩＰアドレスを返答することで、その後のワーム感染端末からのアクセスをワーム対策機能付メールサーバ１０２に振り向けることが可能となる。

なお、図２のポリシーファイル１０３４において、「監視対象レコード」は、監視対象とすべきＤＮＳサーバ１０３Ａに対する各問い合わせが対象とするレコード（ＤＮＳの設定ファイル内の記述）の種別を表している。監視対象レコードには、「ＭＸ」、「Ａ」、「ＡＡＡＡ」等のレコードの種別が記述される。

「ＤＮＳ回答条件」は、各問い合わせに対する名前解決処理を行った場合の処理結果の内容を表している。この場合、「なし」は、「ＤＮＳ回答条件」を不定とする（特に定めない）場合である。また、「エラー発生時のみ」と設定した場合は、何らかのエラーが発生したときにのみ、この項目についての判定条件が満足されたことになる。

「監視対象除外ＩＰアドレス」は、監視の対象外とする問い合わせ元のＩＰアドレスを表している。ここにＩＰアドレスが記述されている問い合わせ元コンピュータ（サーバ、ホスト、ノード）からの問い合わせについては、誘導対象から外されることになる。本実施の形態では、ＬＡＮ１０内の各端末（端末１０１等）からの正規のメール送信が、メールサーバ１０２を介して行われるように設定されているものとすると、メールサーバ１０２からのＭＸレコードの問い合わせ以外を不正なアクセスとすることができる。この場合、「監視対象除外ＩＰアドレス」には正当なＭＸレコードの問い合わせ元となるメールサーバ１０２のアドレスを記述することになる。

「誘導先ホスト名／ＩＰアドレス」は、ワーム対策機能付きサーバ等、不正アクセスに対する対策がなされた誘導先ホスト（コンピュータ、サーバ、ノード）のアドレスを、問い合わせ内容（問い合わせ条件）毎に表すものである。図２の例では、ＭＸレコードを監視対象レコードとする場合には誘導先ホストのドメイン名（メールサーバ１０２のドメイン名）が、Ａレコード又はＡＡＡＡレコードを監視対象レコードとする場合には誘導先ホストのＩＰｖ４アドレス又はＩＰｖ６アドレス（メールサーバ１０２のＩＰアドレス）が登録されている。

次に図３および図４を参照して、図１および図２に示す構成による具体的な処理の流れについて説明する。本実施の形態による仕組みは、メール感染型ワームの場合に非常に有効であるが、最初にＤＮＳを利用して情報収集を行う不正アクセス全般に対しても有効である。このため、本発明では、特にメール感染型ワームだけを対象とせず、不正アクセス全般を対象とする。なお、本願において不正アクセスとは、正当でないアクセス全般を含むものとする。すなわち、不正アクセス行為の禁止等に関する法律で定められているような識別符号を利用したアクセス制御機能の制限を解除するようなものに限定されない。

［ＭＸレコード問い合わせが行われた場合（図３）]：（ａ）ＤＮＳサーバ１０３Ａは、ＭＸレコードの問い合わせ元ＩＰアドレスがポリシーファイル１０３４で登録されている許可されたＩＰアドレス（メールサーバ１０２のＩＰアドレス）である場合には、通常通り上位ＤＮＳサーバ４０に対して名前解決を行い、結果を返却する。一方、端末（クライアント）１０１上で起動しているワームが外部メールサーバ３０（ドメイン名：example.com）のＭＸレコードを検索した場合のように、ＭＸレコードの問い合わせ元ＩＰアドレス（すなわちクライアント１０１のＩＰアドレス）がポリシーファイル１０３４に登録されている許可されたＩＰアドレスではなかった場合には、上位ＤＮＳサーバ４０に対して名前解決を行わず、誘導先となる不正アクセス対策サーバ１０２のホスト名（secure.local.dom）を返却する（ステップＳ１１〜Ｓ１２）。

（ｂ）不正アクセス対策サーバ１０２のホスト名が返却されたクライアント１０１は、不正アクセス対策サーバ１０２のホスト名（secure.local.dom）に対するＡレコードを問い合わせ、不正アクセス対策サーバ１０２のＩＰアドレス（192.168.0.20）を取得する（ステップＳ１１〜Ｓ１２）。

（ｃ）問い合わせ元のクライアント１０１は、ＳＭＴＰによって、取得したＩＰアドレスを用いて不正アクセス対策サーバ１０２に対して、外部メールサーバ３０向けのメール（アドレス：baba@example.com）を送信する（ステップＳ１３）。ここで、メールサーバ１０２においてワームメールの検知が可能となる。

[ＡレコードまたはＡＡＡＡレコードの問い合わせが行われた場合（図４）］：（ａ）端末（クライアント）１０１上で起動しているワームが外部メールサーバ３０のホスト名を「smtp.example.com」と推定してワームメールを送信しようとした場合に、「smtp.example.com」が誤ったドメイン名であったとき、クライアント１０１から「smtp.example.com」に対する問い合わせが発生したとすると（ステップＳ２１）、ＤＮＳサーバ１０３Ａでは、通常通り上位ＤＮＳサーバ４０に対して名前解決を行う（ステップＳ２２）。

（ｂ）ＤＮＳサーバ１０３Ａは、名前解決の結果、ＩＰアドレスが得られれば、通常通りその結果を問い合わせ元に返却する。名前解決の結果、「Non-Existent Domain」エラーとなった場合には（ステップＳ２３）、問い合わせ元にはエラーを返却せずに、誘導先となる不正アクセス対策サーバ１０２のＩＰアドレス（192.168.0.20）を返却する（ステップＳ２４）。ただし、この偽造したＡレコードまたはＡＡＡＡレコードのＴＴＬ（Time To Live）値は、ネガティブキャッシュ値と同等の短い値とする。

（ｃ）問い合わせ元のクライアント１０１は、ＳＭＴＰによって、取得したＩＰアドレスを用いて不正アクセス対策サーバ１０２に対してアクセスを行う（ステップＳ２５）。ここで、メールサーバ１０２においてワームメールの検知が可能となる。

また、不正アクセス対策サーバ１０２での処理は特に規定しないが、メール感染型ワームへの対策を行う場合には、以下のような処理を行うことができる。

（ア）ＳＭＴＰを使用してアクセスが行われた場合には、アクセス元ＩＰアドレスを記録する。

（イ）受信したメールの内容について、既存のゲートウェイ型アンチウイルスソフトなどの機能を使用してチェックする。

（ウ）もし、それがワームメールでなければ、そのメールをあらかじめ設定された正規のメールサーバに転送する。もし、それがワームメールであれば、メールを破棄し、管理者にそのアクセス元ＩＰアドレスを通知する。管理者に通知したＩＰアドレスは、ワーム感染端末を特定し、ネットワークから隔離するためなどに使用される。

なお、不正アクセス対策サーバに対してＳＭＴＰ以外のプロトコルを使用してアクセスしてきた場合には、そのアクセスを拒否するか、既存のハニーポットツールを使用するなどして、その後のアクセス情報を収集する。

以上のように、メール感染型ワームは、ゲートウェイ型アンチウイルスがインストールされたメールサーバを通過しないと検知および駆除が行えないため、従来の手法ではメールサーバを通過しないワームメールの検知ができないという問題があった。しかし、本実施の形態によれば、ワームプログラム自身がＳＭＴＰエンジンを持ち、相手のメールサーバに直接ワームメールを送信するようなタイプのワームであっても、ローカルの不正アクセス対策サーバ宛にメールを送信させてチェックを行うことが可能となり、外部へのワームメールの流出を防ぐと共に、その送信元ＩＰアドレスから、ワーム感染端末をいち早く隔離することが可能となる。

なお、本発明の実施の形態は、上記に限定されず、各構成を分散して配置したり、各構成を統合して配置したりすることが可能である。また、本発明は、装置に限定されず、下記のような特徴を有する方法またはプログラムの発明としてとらえることも可能である。

すなわち、本発明は、ドメイン名とＩＰアドレスとを対応させて名前解決処理を行う方法であって、所定の問い合わせ内容に対して回答すべき所定のホストの情報を記憶した記憶手段を用い、各問い合わせが記憶手段に記憶されている所定の問い合わせ内容に一致するか否かを判定する判定過程と、判定過程で一致すると判定された場合に当該問い合わせに対して記憶手段に記憶されている所定のホストの情報を回答する回答過程とを有することを特徴とするデータ処理方法としてとらえることができる。また、上記各過程をコンピュータで実行するための記述を含むことを特徴とするデータ処理プログラムとしてとらえることもできる。

本発明の一実施の形態を説明するためのシステム図。図１のポリシーファイル１０３４の構成例を示す図。図１の構成における処理の流れを説明するためのシステム図（メールサーバ以外のホストからＭＸレコードの問い合わせがあった場合）。図１の構成における他の処理の流れを説明するためのシステム図（存在しないＡレコードへの問い合わせがあった場合）。従来の構成におけるワームメールの送信過程の一例を示す図（特定のメーラーで送信先として設定されているメールサーバに対してワームメールを送信する場合）。従来の構成におけるワームメールの送信過程の一例を示す図（ＭＸレコードを検索して相手組織のメールサーバに直接ワームメールを送信する場合）。従来の構成におけるワームメールの送信過程の一例を示す図（メールサーバのホスト名を推測して相手組織のメールサーバに直接ワームメールを送信する場合）。

符号の説明

１０ＬＡＮ（イントラネット）
２０インターネット
３０外部メールサーバ
４０上位ＤＮＳサーバ
１０１端末
１０２メールサーバ
１０３ＡＤＮＳサーバ
１０３１ＤＮＳ処理部
１０３２ポリシーファイル
１０３３回答部
１０３４判定部

Claims

ドメイン名とＩＰ（Internet Protocol）アドレスとを対応させて名前解決処理を行う装置であって、
所定の問い合わせ内容に対して回答すべき所定の誘導先ホストの情報を記憶した記憶手段と、
各問い合わせについて問い合わせ種別及び問い合わせ元情報が、前記記憶手段に記憶されている前記所定の問い合わせ内容の示す所定の問い合わせ種別及び所定のサーバに一致するか否かを判定する判定手段と、
判定手段によって前記問い合わせの問い合わせ種別が前記所定の問い合わせ内容の示す前記所定の問い合わせ種別に一致し、かつ、前記問い合わせの問い合わせ元情報が前記所定の問い合わせ内容の示す前記所定のサーバに一致しないと判定された場合に当該問い合わせに対して前記記憶手段に記憶されている前記所定の誘導先ホストの情報を回答する回答手段と
を備えることを特徴とするデータ処理装置。
前記当該問い合わせが、メールサーバのホスト名についての問い合わせであり、その問い合わせ元が所定のメールサーバ以外である場合に、所定の誘導先ホストの情報を回答することを特徴とする請求項１記載のデータ処理装置。
前記当該問い合わせが、ＭＸ（Mail Exchange）レコードについての問い合わせであり、その問い合わせ元が所定のメールサーバ以外である場合に、所定の誘導先ホストのドメイン名を回答することを特徴とする請求項１記載のデータ処理装置。