JP5036742B2 - 電子メール送信ホスト分類システムおよび電子メール送信ホスト分類方法ならびにそのためのプログラム - Google Patents

Description

本発明は、電子メール送信ホストの分類技術に係り、特に、様々なクラスの電子メール送信ホストに対して複数の有効な特徴を学習し、新たに観測した電子メール送信ホストを、その特徴に基づきスパマーホスト、ボットネット（botnet）、踏み台ホスト、通常ホストのような複数のクラスのいずれかに統計的に推定して分類する技術に関する。

電子メールの利用普及に伴って、未承諾広告等のユーザが望まない電子メール（スパムメール）の配送が急増してきた。単位時間あたりに処理すべき電子メールの通数の増加により、電子メール受信サーバ・システムにかかる負荷の増加、および通常の電子メールへの影響が大きな問題となっている。

メッセージの中身の分析結果に基づき、電子メールを不要なメールと必要なメール（通常のメール）に分類する技術は広く実用に供しているが、メッセージの分析にあたってはまずすべてのメールを受信する必要があるため、処理負荷増大の問題を解決するものではない。

この問題を解決するために、電子メールのメッセージを受信する前に疑わしい通信を遮断する技術（受信前制御技術）が様々提案されている。

非特許文献１等に記載のＤＮＳＢＬ（DNS Black List）と呼ばれる技術は、大量のスパムメールを送信したホスト、電子メール受信者によって悪質であるとレポートされたホストのＩＰアドレスのリストを、ＤＮＳ（Domain Name System）を通じて公開する技術である。電子メール受信サーバは電子メール送信ホストのＩＰアドレスがＤＮＳＢＬに登録されているか否かを調べ、もし登録していれば当該通信を遮断することが可能である。

ＤＮＳＢＬは世界中の広範囲にわたるアドレスを管理することが可能であるが、ＩＰアドレスの割り当ては日々変わるため、常にリストを更新し続ける必要があること、およびリストに無いアドレスには何の情報をも持たないため、柔軟性にかけるという問題がある。

また、通常のホストが何らかの原因によりスパムを送信する踏み台と使われてしまう場合があるが、そのようなときにその通常ホストがＤＮＳＢＬに登録されてしまい、当該ホストを利用している通常のユーザの電子メールが配送されなくなるという問題がある。

非特許文献２に記載のGreylistingと呼ばれる技術では、初見の送信元ホストに対して一時拒否（temporarily reject）を返すことにより、正しくメールを再送信しないホストからの通信を遮断する。この技術のアイディアはスパム送信に利用されるホストは通常のＳＭＴＰ（Simple Mail Transfer Protocol）にのっとった通信を行わないことを利用したものである。

しかしながら、通常のホストであっても再送を行うタイミングによってはgreylisting によって弾かれてしまう問題や、メールの再送信時にホストを変更する場合などに通常の通信まで遮断してしまうという問題があった。

この他、非特許文献３に記載されている電子メール送信ホストのＤＮＳ逆引きホスト名を利用した方法や非特許文献４に記載されているＳＭＴＰトランザクションにおけるコマンドの特徴を利用したスパムホスト検出方法などが提案されているが、いずれの方法も特定の特徴を利用したものであるため万能な方法ではなく、精度を上げることができないという問題があった。

A Ramachandran, D Dagon, N Feamster, "Can DNS-based blacklists keep up with bots?," Proceedings of CEAS 2006 John R. Levine, "Experiences with Greylisting", Proceedings of CEAS 2005 浅見秀雄, 阻止率９９％のスパム対策方式の研究報告−− Selective SMTP Rejection (S25R)方式 −−http://www.gabacho-net.jp/anti-spam/ Richard Clayton, "Stopping Spam by Extrusion Detection", Proceedings of CEAS 2004

本発明は上記の課題を鑑みてなされたものであり、より柔軟で精度の高いスパム電子メール送信ホストの制御を実現するために、様々なクラスの電子メール送信ホストに対して複数の有効な特徴を学習し、新たに観測した電子メール送信ホストの特徴に基づき当該電子メール送信ホストのクラスを統計的に分類することが可能な電子メール送信ホスト分類システムおよび電子メール送信ホスト分類方法ならびにそのためのプログラムを提供することを目的とする。

本発明の第一の電子メール送信ホスト分類システムにおいては、電子メールを受信する電子メール受信サーバあるいは該電子メール受信サーバの手前で動作するサーバ（これらを総称して以下、「メール受信サーバ」という）において電子メール送信ホストの特徴を学習した結果を利用し、新たに観測した電子メール送信ホストの特徴を元にその電子メール送信ホストをいくつかのクラスに分類することを特徴とする。

電子メール送信ホストの特徴として、電子メール送信ホストのＩＰアドレスに関して、ＩＰアドレスが属する国、ＩＰアドレスが属するＡＳ番号、ＩＰアドレスが属するＢＧＰ Prefix、ＩＰアドレスにＤＮＳ逆引きレコードが存在するか否か、ＩＰアドレスを逆引きしたホスト名に任意に指定が可能な特定の文字列パターンが含まれているか否か、隣接したＩＰアドレスを逆引きしたホスト名と当該ＩＰアドレスのホスト名の類似度、ＩＰアドレスが特定のブラックリストに存在したか否かを特徴Ａとして取得する（特徴取得手段；メール送信ホスト学習部内の特徴抽出部）。

また、電子メール送信ホストがメール受信サーバに対して試みたＳＭＴＰ通信に対して当該ＩＰパケットのＩＰヘッダおよびＴＣＰヘッダに記載された情報を任意に指定し、特徴Ｂとして取得する（特徴取得手段；メール送信ホスト学習部内の特徴抽出部）。

取得した電子メール送信ホストの特徴Ａ，Ｂをメール送信ホストデータベース（ＤＢ）に保管管理する。

また、予め電子メール送信ホストを、例えば、スパマーホスト、ボットネット（botnet）、踏み台ホスト、通常ホストのような複数のクラスＣ_１、Ｃ_２、・・・，Ｃ_ｘに分類したデータを準備する。このデータを元に、電子メール送信ホストがそれぞれのクラスに属する際に特徴Ａ,Ｂがある実現値をとる確率（尤度）を、下記（数１）のようにそれぞれの特徴Ａ_ｊ，Ｂ_ｌ（ｊ=1,2,…,m,ｌ=1,2,…,p）毎に計算する（尤度計算手段；メール送信ホスト学習部内のクラス取得部）。

ここで、Pr[Y|X]は、Ｘが所与の元でＹを得る条件付き確率である。すなわち、Pr[Ａ_ｊ＝ａ_ｊｋ|Ｃ_ｉ]はあるホストのクラスＣがＣ_ｉ（例えばスパマーホスト）ある元で、その電子メール送信ホストに関する特徴Ａ_ｊがある実現値ａ_ｊｋ（k=1,…,mj）をとる確率（尤度）である。

また、上記のデータより、ある電子メール送信ホストがクラスＣ_ｉとなる事前確率であるPr[C=Ci]をｉ=１,２,…,ｘに対して計算する（事前確率計算手段；メール送信ホスト学習部内のクラス取得部）。以上の所与のデータを用いて尤度と事前確率を計算するプロセスを学習プロセスと呼ぶ。学習した尤度と事前確率は尤度・事前確率データベース（ＤＢ）に格納され管理される（メール送信ホスト学習部内の尤度・事前確率更新部）。

なお、上記の例では、電子メール送信ホストからのメールを受信する毎にオンラインで学習した尤度と事前確率を尤度・事前確率データベース（ＤＢ）に格納するようにしているが、予め事前にオフラインで別途学習した尤度と事前確率を尤度・事前確率データベース（ＤＢ）に格納するようにしてもよい。

次に、新たに観測したホストに対して、同様に特徴Ａ,Ｂを取得し（特徴取得手段；メール送信ホストクラス推定部内の特徴抽出部）、その値をもとにクラスＣ_１、Ｃ_２、・・・，Ｃ_ｘに対して以下で定義されるスコアＳ（A,B;Ci）を下記（数２）を用いて計算する（スコア計算手段；メール送信ホストクラス推定部内のクラス推定部）。

ここで、Pr[Ci]は前記学習した事前確率であり、Pr[Aj|Ci]（j=1,…,m）およびPr[Bl|Ci]（l=1,…,p）は前記学習した尤度である。スコアが最も高い値を与えるクラスを観測ホストのクラスとして推定する。以上のクラスを推定するプロセスを推定プロセスと呼ぶ。

本発明の第二の電子メール送信ホスト分類システムにおいては、上記学習プロセスあるいは推定プロセスのいずれかにおいて特徴Ａ，Ｂの一部の情報が得られない場合は、得られた情報のみを用いて、上記学習およびスコアの計算を実施する。

本発明の第三の電子メール送信ホスト分類システムにおいては、上記特徴Ａの取得において、ＡＳ番号、ＢＧＰ Prefix、国番号に関して、生のデータを使う代わりにハッシュ関数を適用し、取り得る値の範囲を一定のサイズに固定した値を使う事も可能である。例えば２バイトで管理されるＡＳ番号は６５５３５通りの値を取り得るが、これを一様にランダムな出力を行うハッシュ関数を適用することによって１０２４通りの値にマッピングすることができる。

本発明の第四の電子メール送信ホスト分類システムにおいては、上記電子メール送信ホスト分類システムにおける学習プロセスにおいて、尤度Pr[Aj|Ci]を計算する際に下記（数３）のように計算する

ここに、ｎ_ｉｊｋはクラスがＣ_ｉであるときに特徴Ａｊがある実現値ａ_ｊｋとなった回数であり、ｍ_ｊは特徴Ａ_ｊの実現値ａ_ｊｋが取り得る値の種類の数である。ｆは任意に指定が可能な小さな値に定めることができる。例えばｎを学習に用いたデータ（ホスト）の総数であるとして、ｆ＝１／ｎのように定める。

本発明の第五の電子メール送信ホスト分類システムにおいては、上記電子メール送信ホスト分類システムにおける隣接したＩＰアドレスを逆引きしたホスト名と当該ＩＰアドレスのホスト名の類似度の判断において、当該アドレスおよび隣接アドレスのホスト名をＨ（当該アドレス）,Ｈ’（隣接アドレス１）,Ｈ’’（隣接アドレス２）とした際に、ＨをＨ’に変更するのに必要な文字列操作（削除、挿入）の回数をd（Ｈ,Ｈ’）とし,同様にＨとＨ’’に対してはd（Ｈ,Ｈ’’）とする。このときd（Ｈ,Ｈ’）とd（Ｈ,Ｈ’’）の双方が任意に指定可能な閾値θよりも小さい場合に当該ＩＰアドレスは隣接アドレスに対して類似していると判断する。

本発明の第六の電子メール送信ホスト分類システムにおいては、上記電子メール送信ホスト分類システムにおける特徴Ｂにおいて、ＩＰヘッダに記載のＴＴＬ（Time To Live）値の観測値Ｘを、Ｘが１２８よりも大きい場合はＸ→２５５に、それ以外の場合は下記（数４）と補正する。

ここで、下記（数５）は天井関数であり、ｙよりも大きい最小の整数を意味する。

本発明の第七の電子メール送信ホスト分類システムにおいては、上記電子メール送信ホスト分類システムにおけるＩＰアドレスを逆引きしたホスト名に任意に指定が可能な特定の文字列パターンにおいて、文字列パターンを下記のようにする。

（ａ）56k, access, bb, broadband, cable, catv, dhcp, dial, dip, dsl, dyn, fiber, ftth, host, hotspot, hsd, ipad, ipbf, ipngn, isdn, isp, mobil, modem, pool, ppp, reverse, telecom, telekom, telkom, user, usr, wifi, wireless, wi-fi を含む
（ｂ）当該ＩＰアドレスのドット表記（１９２.１６８.１.３など）に対し、ドットで区切られた数字そのものあるいはそれを１６進数表記したものを二つ以上含む（順序は問わない）。
（ｃ）当該ＩＰアドレスのドット表記の最後の数字（例えば１９２.１６８.１.２３４の場合２３４）を含む。

本発明の第八の電子メール送信ホスト分類システムにおいては、上記電子メール送信ホスト分類システムにおけるスコアの計算において、下記（数６）のようにスコアを対数で計算する。

本発明の第九の電子メール送信ホスト分類システムにおいては、上記電子メール送信ホスト分類システムにおけるホスト分類において、スコアの高いクラスを分類結果として採用する代わりに、コストの最も低いクラスを採用したものである。以下、そのための構成を述べる。

ある電子メール送信ホストの真のクラスがＣ_ｉであるときに当該電子メール送信ホストのクラスをＣ_ｊと推定した際のコストをW（ｉ，ｊ）とする。
このとき、ある電子メール送信ホストのクラスをＣ_ｉと分類するコストＣost（Ｃ_ｉ）を下記（数７）と定義する。

そして、ある電子メール送信ホストに対してＣost（Ｃ_ｉ）が最も小さいクラスＣ_ｉを当該ホストのクラスとして推定する。

本発明の第十の電子メール送信ホスト分類システムにおいては、上記電子メール送信ホスト分類システムのメール送信ホストデータベース（ＤＢ）において、当該電子メール送信ホストの特徴を収集し、記録した際の時刻Ｔを記録しておき、同電子メール送信ホストが再度観測された場合にその時に時刻と前記時刻Ｔとの差が任意に指定可能な一定期間内（例えば６時間以内）であればメール送信ホストデータベース（ＤＢ）に記録された特徴を利用し、一定期間内でない場合は新規に特徴を収集し直す。

本発明の第十一の電子メール送信ホスト分類システムにおいては、上記電子メール送信ホスト分類システムの特徴Ｂとして、前記ＴＣＰ/ＩＰヘッダ情報に加え、メール受信サーバがメッセージ受信前（ＳＭＴＰトランザクションにおいてＤＡＴＡコマンドが発行される前）に取得が可能なデータとして、ＳＭＴＰコマンド（HELO,RCPT,RSET,SEND,SOML,SAML,VRFY,EXPN,HELP,NOOP,QUIT,TURN）の引数、および受信サーバが応答したＳＭＴＰ応答コードを利用する。

本発明の第十二の電子メール送信ホスト分類方法においては、電子メール受信サーバあるいは該電子メール受信サーバの手前に設置されたサーバ（両者を合わせて、以下メール受信サーバという）により電子メール送信ホストの特徴を元に該電子メール送信ホストを分類する電子メール送信ホスト分類方法であって、電子メール送信ホストのＩＰ（Internet Protocol）アドレスに関し、ＩＰアドレスが属する国、ＩＰアドレスが属するＡＳ番号（Autonomous System Number）、ＩＰアドレスが属するＢＧＰ（Border Gateway Protocol）Prefix、ＩＰアドレスにＤＮＳ（Domain Name System）逆引きレコード（ＰＴＲ Resource Record）が存在するか否か、ＩＰアドレスを逆引きしたホスト名に任意に指定が可能な特定の文字列パターンが含まれているか否か、隣接したＩＰアドレスを逆引きしたホスト名と当該ＩＰアドレスのホスト名の類似度、ＩＰアドレスが特定のブラックリストに存在したか否かを特徴Ａ={A1,…,Am}として取得するとともに、前記電子メール送信ホストが前記メール受信サーバに対して試みたＳＭＴＰ（Simple Mail Transfer Protocol）通信に対して当該ＩＰパケットのＩＰヘッダおよびＴＣＰ（Transmission Control Protocol）ヘッダに記載された情報を任意に指定し特徴Ｂ={B1,…,Bp}として取得する特徴取得ステップと、該特徴取得手段で取得した電子メール送信ホストの特徴Ａ={A1,…,Am}および特徴Ｂ={B1,…,Bp}をメール送信ホストデータベース（ＤＢ）に格納する特徴格納ステップと、予め前記電子メール送信ホストをスパマーホスト、ボットネット（botnet）、踏み台ホスト、通常ホストのような複数のクラスＣ_１、Ｃ_２、・・・，Ｃ_ｘに分類したデータを準備しておき、該データを元に、前記電子メール送信ホストがそれぞれのクラスに属する際に前記特徴Ａ={A1,…,Am}および特徴Ｂ={B1,…,Bp}がある実現値をとる確率である尤度をそれぞれの特徴Aj，Bl（j=1,2,…,m,l=1,2,…,p）毎に（数１）により計算する尤度計算ステップ（ここで、Pr[Y|X]は、Ｘが所与の元でＹを得る条件付き確率）と、前記データよりあるホストがクラスＣ_ｉとなる事前確率Pr[C=Ci]をｉ=１,２,…,ｘに対して計算する事前確率計算ステップと、前記尤度計算手段で求めた尤度と前記事前確率計算手段で求めた事前確率を尤度・事前確率データベース（ＤＢ）に格納する尤度・事前確率格納ステップと、新たに観測した電子メール送信ホストに対して前記特徴抽出手段により特徴Ａ,Ｂを取得し、その値を元にクラスＣ_１、Ｃ_２、・・・，Ｃ_ｘに対して下記（数２）で定義されるスコアＳ（A,B;Ci）を計算するスコア計算ステップ（ここで、Pr[Ci]は前記で学習した事前確率、Pr[Aj|Ci]（j=1,…,m）およびPr[Bl|Ci]（l=1,…,p）は前記学習した尤度）と、前記スコア計算手段で求めたスコアＳが最も高い値を与えるクラスを観測した電子メール送信ホストのクラスとして推定するクラス推定ステップとを有する。

本発明の第十三のプログラムは、コンピュータを、上記第一から第十一のいずれかに記載の電子メール送信ホスト分類システムにおける各手段として機能させるプログラムである。

本発明によれば、様々なクラスの電子メール送信ホストに対して複数の有効な特徴を学習し、新たに観測した電子メール送信ホストの特徴に基づき当該電子メール送信ホストのクラスを統計的に分類するようにしたので、より柔軟で精度の高いスパム電子メール送信ホストの制御が可能な電子メール送信ホスト分類システムおよび電子メール送信ホスト分類方法ならびにそのためのプログラムを実現できる。

本発明に係るメール送信ホスト分類システムの一実現例を示す図である。 本発明に係るメール受信サーバの一構成例を示す図である。 本発明に係るメール送信ホスト分類部にあるメール送信ホスト学習部の構成例を示す図である。 本発明に係るメール送信ホスト分類部にあるメール送信ホストクラス推定部の構成例を示す図である。 本発明に係る特徴抽出部の一例を示す図である。 本発明に係るメール送信ホストデータベース（ＤＢ）の一例を示す図である。 本発明に係る尤度・事前確率データベース（ＤＢ）の一例を示す図である。 本発明に係るメール送信ホスト学習部の動作の一例を示すフローチャートである。 本発明に係るメール送信ホストクラス推定部の動作の一例を示すフローチャートである。 オフライン等で別途学習して得られた尤度・事前確率データベース（ＤＢ）を用い、メール送信ホストクラスの推定を行うメール受信サーバの構成例である。 本発明に係るメール送信ホストＤＢにおける統計テーブルの一例を示す図である。 本発明に係るメール送信ホストＤＢにおける特徴テーブルの一例を示す図である。 本発明に係る尤度・事前確率ＤＢにおける特徴１テーブル（ＡＳ番号）の一例を示す図である。 本発明に係る尤度・事前確率ＤＢにおける特徴ｊテーブル（ＤＮＳＢＬ１）の一例を示す図である。

以下、本発明に係るメール送信ホスト分類システムの実施例を、図面を用いて詳細に説明する。

（実施例１）
図１は、本発明に係るメール送信ホスト分類システムの一実現例を示したものであり、ネットワークを介して接続されたメール受信サーバ１０と複数のメール送信ホスト２０とメールを蓄積するメール蓄積サーバ３０から構成される。

また、メール受信サーバ１０の中に埋め込まれる形で、メールの送受信処理を行うメール配送処理部１１と、メールの送信元のメール送信ホスト２０を分類する機能であるメール送信ホスト分類部１２が存在する。

ここで、メール受信サーバ１０は所謂ＭＴＡ（Mail Transfer Agent）であり、外部ネットワークに接続されたメール送信ホスト２０から送信されるメッセージ配送要求を受け付ける。また、この実施例では、後述するように、メール受信サーバ１０のメール配送処理部１１にスパム判定部が具備されているため、学習に用いるデータを自ら更新・蓄積することが可能である。

図２は、上記メール受信サーバ１０の一構成例を示す図である。
上述したように、メール受信サーバ１０は、メール配送処理部１１とメール送信ホスト分類部１２とを備えている。

また、メール配送処理部１１は、メール受信・処理部１１１とメッセージ配送管理部１１２とスパム判定部１１３とメール送信部１１４から構成され、メール送信ホスト分類部１２は、メール送信ホスト学習部１２１とメール送信ホストクラス推定部１２２とメール送信ホストデータベース（ＤＢ）１２３と尤度・事前確率データベース（ＤＢ）１２４から構成される。

メール配送処理部１１では、まずメール受信・処理部１１１がメール送信ホスト２０から送信されるメールからメッセージおよびメール送信ホストＴＣＰ/ＩＰヘッダ情報を取得する。この際、ポリシーに応じてメールの受信を拒否することも可能である。

例えば、メールを配送するか否かをメール送信ホストクラス推定部１２２によるクラス推定結果に基づいて決定することが可能である。

メール受信・処理部１１１で受信したメッセージは、メッセージ配送管理部１１２、および後段に続くスパム判定部１１３、メール送信部１１４にて通常の電子メール配送の処理が行われるものとする。

なお、スパム判定部１１３は、メッセージの中身に基づいてスパムであるか否かを判定する既存の技術であり、ここではメール受信サーバ１０に具備される形態としているが、このスパム判定部１１３は外部に設けられた図示しないサーバに実装されていても構わない。

スパム判定部１１３は、メールを送信したホスト（メール送信ホスト２０）とそのメッセージの分類結果（例えばスパムであるか否か、あるいはスパムである確率やスコア）を元にメール送信ホスト２０の統計値（メッセージ送信履歴）をメール送信ホスト分類部１２のメール送信ホストＤＢ１２３に格納して管理する。

ここで、メール送信ホストＤＢ１２３は、図６に示すような二つのテーブル、すなわち統計テーブル１２３１と特徴テーブル１２３２から構成され、メール送信ホスト２０に関する統計値は統計テーブル１２３１のカウント値を更新することによって管理される。図１１は統計テーブルの例であり、図１２は特徴テーブルの例である。

メール送信ホスト分類部１２は、上述したように、電子メール送信ホストの特徴をオンラインで学習するメール送信ホスト学習部１２１、メール送信を試みたメール送信ホストのクラスを推定するメール送信ホストクラス推定部１２２を具備している。

メール送信ホスト学習部１２１およびメール送信ホストクラス推定部１２２は、メール送信ホストデータベース（ＤＢ）１２３と尤度・事前確率データベース（ＤＢ）１２４の二つのデータベースを共有している。またメール送信ホストクラス推定部１２２で推定した結果は、メール配送処理部１１にあるメール受信・処理部１１１に送信することができる。

図３は、メール送信ホスト分類部１２にあるメール送信ホスト学習部１２１の構成例を示す図である。

メール送信ホスト学習部１２１は、同図に示すように、データ受信部１２１１と特徴抽出部１２１２とクラス取得部１２１３と尤度・事前確率更新部１２１４から構成される。

データ受信部１２１１では、メール配送処理部１１のメール受信・処理部１１１より送られたメール送信ホストの情報、具体的にはＩＰアドレス、およびＴＣＰ/ＩＰヘッダ情報を受信し、特徴抽出部１２１２とクラス取得部１２１３のそれぞれに送信する。これらの作業は並列に行うことが可能である。

特徴抽出部１２１２は、メール送信ホストデータベース（ＤＢ）１２３の特徴テーブルを参照し、当該電子メール送信ホストの特徴を得られていない場合には、該電子メール送信ホストの特徴Ａ={A1,…,Am},特徴Ｂ={B1,…,Bp}を後述する方法によって取得する。

ここで、電子メール送信ホストの特徴Ａ={A1,…,Am}とは、電子メール送信ホストのＩＰ（Internet Protocol）アドレスに関し、ＩＰアドレスが属する国、ＩＰアドレスが属するＡＳ番号（Autonomous System Number）、ＩＰアドレスが属するＢＧＰ（Border Gateway Protocol）Prefix、ＩＰアドレスにＤＮＳ（Domain Name System）逆引きレコード（ＰＴＲ Resource Record）が存在するか否か、ＩＰアドレスを逆引きしたホスト名に任意に指定が可能な特定の文字列パターンが含まれているか否か、隣接したＩＰアドレスを逆引きしたホスト名と当該ＩＰアドレスのホスト名の類似度、ＩＰアドレスが特定のブラックリストに存在したか否かの情報であり、特徴Ｂ={B1,…,Bp}とは、電子メール送信ホストがメール受信サーバに対して試みたＳＭＴＰ（Simple Mail Transfer Protocol）通信に対して当該ＩＰパケットのＩＰヘッダおよびＴＣＰ（Transmission Control Protocol）ヘッダに記載された情報を任意に指定した情報である。

なお、特徴Ａ={A1,…,Am}の取得において、ＡＳ番号、ＢＧＰ Prefix、国番号に関して、生のデータを使う代わりにハッシュ関数を適用し、取り得る値の範囲を一定のサイズに固定した値を使うようにしてもよい。

また、特徴Ａ={A1,…,Am}の取得において、ＩＰアドレスを逆引きしたホスト名に任意に指定が可能な特定の文字列パターンが含まれているか否かの判断において、前記特定の文字列パターンとしては、例えば、下記（ａ）〜（ｃ）のいずれかの文字列を含むものである。

（ａ）56k, access, bb, broadband, cable, catv, dhcp, dial, dip, dsl, dyn, fiber, ftth, host, hotspot, hsd, ipad, ipbf, ipngn, isdn, isp, mobil, modem, pool, ppp, reverse, telecom, telekom, telkom, user, usr, wifi, wireless, wi-fi を含む
（ｂ）当該ＩＰアドレスのドット表記に対し、ドットで区切られた数字そのものあるいはそれを１６進数表記したものが順序は問わず、二つ以上含まれる
（ｃ）当該ＩＰアドレスのドット表記の最後の数字が含まれる

また、特徴Ｂ={B1,…,Bp}として、前記ＴＣＰ/ＩＰヘッダ情報に記載された情報に加え、メール受信サーバがメッセージ受信前（ＳＭＴＰトランザクションにおいて、ＤＡＴＡコマンドが発行される前）に取得が可能なデータとして、ＳＭＴＰコマンド（HELO, RCPT, RSET, SEND, SOML, SAML, VRFY, EXPN, HELP, NOOP, QUIT, TURN）の引数、および受信サーバが応答したＳＭＴＰ応答コードを特徴Ｂとして利用するようにしてもよい。

クラス取得部１２１３は、当該電子メール送信ホストに関する統計値をメール送信ホストデータベース（ＤＢ）１２３にある統計テーブル（図１１参照）を参照し、当該電子メール送信ホストに関するメッセージ数が予め決められた数以上（例えば１０以上）であった場合に、メッセージ数に対するスパムメッセージの割合などからそのメール送信ホストのクラスを判定し、該統計テーブル中の「決定クラス」列に「クラス決定時刻」を更新する。ここで、クラスとは、例えば、スパマーホスト、ボットネット（botnet）、踏み台ホスト、通常ホストなどである。

得られた結果、例えばあるメール送信ホストから送信されたメッセージのＸ％以上（例えば７０％以上）がスパムである場合にはその電子メール送信ホストのクラスをスパマーホストとして判断する。

次に、特徴抽出部１２１２とクラス取得部１２１３で得られた情報を元に、当該電子メール送信ホストがクラスＣiである元で特徴Ａ,Ｂがある実現値となる条件付き確率（尤度）を〔課題を解決するための手段〕の項に記載した（数１）により計算し、電子メール送信ホストがクラスＣiとなる確率（事前確率Pr[C=Ci]））をｉ=１,２,…,ｘに対して計算する。以上の所与のデータを用いて確率（尤度）と事前確率を計算するプロセスを学習プロセスと呼ぶ。学習した確率（尤度）と事前確率は尤度・事前確率データベース（ＤＢ）１２４に格納され管理される。

図７は、尤度・事前確率データベース（ＤＢ）１２４の一例を示したものである。該尤度・事前確率データベース（ＤＢ）１２４は、電子メール送信ホストの特徴を複数の特徴ｘテーブル（ｘ＝１，２，・・・ｍ）で管理するものである。尤度・事前確率データベース（ＤＢ）１２４は、例えば、図１３（特徴テーブル（ＡＳ番号））、図１４（特徴テーブル（ＤＮＳＢＬ１））に示したような如きテーブルを有している。これらのテーブルに保持されている値は確率そのものではなく、確率を計算する上で必要となるカウント値である。該尤度・事前確率データベース（ＤＢ）１２４の各テーブルは、必要に応じて参照・更新・管理される。

図８は、上記メール送信ホスト学習部１２１の動作を示すフローチャートである。以下では簡単のため、図１３に示した尤度・事前確率データベース（ＤＢ）１２４については特徴１テーブル（ＡＳ番号）のみを用いた例を、図８のフローチャートを用いて説明する。

図８に示すように、まず、電子メール送信ホストからメッセージを受信すると、該電子メール送信ホストについて統計テーブルを参照する（ステップＳ１１）。前回の特徴取得から所定時間Ｔ時間（例えば、６時間）以上経過したか否かを判定し（ステップＳ１２）、Ｔ時間以内であれば（ステップＳ１２：Ｎ）、該電子メール送信ホストの特徴（今の例ではＡＳ番号）を取得する（ステップＳ１３）。

図１２の特徴テーブルを参照し、ステップＳ１３で取得した特徴（ＡＳ番号）が前回取得した特徴と同じか否かを判定し（ステップＳ１４）、同じ場合は（ステップＳ１４：Ｙ）、メール送信ホストデータベース（ＤＢ）にある統計テーブルおよび特徴テーブルを更新する（ステップＳ１５）。

ステップＳ１５における更新の結果、メッセージ数が予め決められたＸ（例えば、１０）以上の場合は（ステップＳ１６；Ｙ）、決定クラスを更新する（ステップＳ１７）。

決定した決定クラスが前回と異なる場合（ステップＳ１８）、尤度。事前確率データベース（ＤＢ）を更新し（ステップＳ１９）、処理を終了する（ステップＳ２０）。

ステップＳ１２において、前回の特徴取得から所定時間Ｔ時間（例えば、６時間）以上経過している場合（ステップＳ１２：Ｙ）、および、ステップＳ１４において、取得した電子メール送信ホストの特徴（ＡＳ番号）と前回取得したＡＳ番号が異なる場合（ステップＳ１４：Ｎ）は、統計テーブルのレコードを０にクリアし、特徴テーブル、尤度・事前確率データベース（ＤＢ）を更新し（ステップＳ２１）、処理を終了する（ステップＳ２０）。

また、ステップＳ１６でメッセージ数が予め与えられたＸ未満の場合（ステップＳ１６：Ｎ）、および、ステップＳ１８で、決定クラスが前回と同じ場合（ステップＳ１８：Ｙ）は、処理を終了する（ステップＳ２０）。

上記の例で具体的に説明すると、ステップＳ１３で取得した電子メール送信ホスト（ＩＰアドレスのドット表記が「１９２．１６８．７．１２３」とする）の特徴（ＡＳ番号）が「６４６０１」で、前回取得したＡＳ番号「６４６０１」と同じであることを確認する（ステップＳ１４）。

また、該当するメッセージがスパムであったとする。このとき、図１１の統計テーブルにおいて当該電子メール送信ホストのレコードに関して、メッセージ数およびスパム数をそれぞれ１ずつカウントアップする（ステップＳ１５）。すなわち、図１１の統計テーブルのメッセージ数を４３から４４に、スパム数を３０から３１にカウントアップする。

図１１の統計テーブルから当該ホストは１０以上のメッセージを送っていることがわかるので（ステップＳ１６：Ｙ）、クラス判定が可能である。

ここでは、スパム送信率は３１/４４=７０.４％（上述したように、カウントアップした結果、図１１の値よりもスパム数およびメッセージ数の数値が１ずつ増えていることに注意）であるので、ＩＰアドレスのドット表記が１９２．１６８．７．１２３の電子メール送信ホストはスパマーホスト（クラスをＣ1とする）であると判定できる（ステップＳ１７）。

なお、今の例では前回とクラスが変わったので（前回のスパム送信率は３０/４３=６９.８％であり、閾値であるところの７０％よりも低いので、スパマーホストではなかった）（ステップＳ１８：Ｙ）、尤度・事後確率データベース（ＤＢ）１２４における特徴１テーブル（図１３）に対し、該当するクラスＣ1（スパマーホスト）のＡＳ番号６４６０１の数値を１３８から１３９にカウントアップし（ステップＳ１９）、処理を終了する（ステップＳ２０）。

図４は、メール送信ホストクラス推定部１２２の構成例を示す図である。
メール送信ホストクラス推定部１２２は、同図に示すように、データ受信部１２２１と特徴抽出部１２２２とクラス推定部１２２３と推定結果出力部１２２４から構成されている。

データ受信部１２２１は、電子メール送信ホストに関するＩＰアドレスおよびＴＣＰ/ＩＰヘッダ情報を受信し、特徴抽出部１２２２に送信する。

特徴抽出部１２２２で抽出された電子メール送信ホストの特徴はクラス推定部１２２３に送信される。

クラス推定部１２２３は、送信された特徴Ａ,Ｂを元に尤度・事前確率ＤＢ１２４を参照し、（数２）または（数６）で与えられるスコアS（A,B;Ci）を〔課題を解決するための手段〕の項に記載した（数２）により計算し、スコアが最大となるクラスＣiを推定クラスとして推定結果出力部１２２４に送信する。

図５に示す特徴抽出部４０は、メール送信ホスト学習部１２１における特徴抽出部１２１２およびメール送信ホストクラス推定部１２２における特徴抽出部に対応するものであり、それそれに別個に設けてもよいし、一つの特徴抽出部を共用してもよい。特徴抽出部４０は、同図に示すように、データ受信部４１、解析部４２、ＩＰデータベース（ＩＰ ＤＢ）４３、ＤＮＳ逆引きホスト解決部４４、キーワードデータベース（ＤＢ）４５、特徴出力部４６から構成されている。

データ受信部４１では、電子メール送信ホストに関するＩＰアドレスおよびＴＣＰ/ＩＰヘッダ情報を受信し、解析部４２に送信する。以下では各々の特徴の取得手段について述べる。

解析部４２は、キャッシュ判定部４２１とＩＰアドレス分析部４２２とキーワード分析部４２３と隣接ホスト類似度判定部４２４とＴＣＰ/ＩＰヘッダ解析部４２５から構成される。

キャッシュ判定部４２１は、当該ＩＰアドレスに関する特徴を既に抽出済みで、かつ前回に抽出した時刻から一定の期間内であるという条件を満たしているときにはメール送信ホストデータベース（ＤＢ）１２３に蓄積した情報（キャッシュ）を返す機能を持っており、これにより高速化を行っている。上記の条件に当てはまらないときに実際の特徴抽出を実施する。

ＩＰアドレス分析部４２２は、当該ＩＰアドレスに関する情報を、ＡＳＮテーブル４３１，ＢＧＰ Prefixテーブル，国テーブル，各種ＤＮＳＢＬテーブルを有するＩＰ ＤＢ４３を検索し、対応するＡＳ番号、ＢＧＰ Prefix、国番号、各種ＤＮＳＢＬにリストされているか否か、等の情報を取得する。

キーワード分析部４２３は、当該ＩＰアドレスおよび隣接ＩＰアドレスのＤＮＳ逆引きをＤＮＳ逆引きホスト解決部４４で実施し、さらに、キーワードＤＢ４５を参照し、予め指定したキーワードパターンが含まれるか否かを判定する。

例えば、当該ＩＰアドレスの逆引きホスト名が100-1-user.dynamic.example.jpであり、キーワードパターンの中に「“dynamic”が含まれる」というパターンが含まれていたら当該ＩＰアドレスは指定のパターンを有したと判定する。

隣接ホスト類似度判定部４２４は、当該アドレスおよび隣接アドレスのホスト名をＨ（当該アドレス）,Ｈ’（隣接アドレス１）,Ｈ’’（隣接アドレス２）とした際に、ＨをＨ’に変更するのに必要な文字列操作（削除，追加）の回数をd（Ｈ,Ｈ’）とし,同様にＨをＨ’’に変更するのに必要な文字列操作（削除，追加）の回数をd（Ｈ,Ｈ’’）とする。このときd（Ｈ,Ｈ’）とd（Ｈ,Ｈ’’）の双方が任意に指定可能な閾値θよりも小さい場合に当該ＩＰアドレスは隣接アドレスに対して類似していると判断する。

以上で得られたＩＰアドレスの特徴を、特徴出力部４６を通じて外部に出力する。例えば、ＩＰアドレスのドット表記で、当該電子メール送信ホストを「１９２.１６８.１.１００」とすると、隣接電子メール送信ホストは「１９２.１６８.１.９９」、および、「１９２.１６８.１.１０１」である。

これらのＤＮＳ逆引きホスト名がそれぞれ
Ｈ =“100-1-user.dynamic.example.jp”
Ｈ’ =“99-1-user.dynamic.example.jp”
Ｈ’’=“101-1-user.dynamic.example.jp”
であるとし、θ=６とする。このときd（Ｈ,Ｈ’）=５,d（Ｈ,Ｈ’’）=２となり、どちらもθより小さいので、当該ホストの隣接ＩＰアドレス類似度の判定の結果は「真」となる。

ＴＣＰ/ＩＰヘッダ解析部４２５では、任意に指定が可能なＴＣＰ/ＩＰヘッダの値を取得する。例えばＩＰヘッダとしてはＴＴＬ（Time To Live）フィールドの値を取得し、第六の電子メール送信ホスト分類システムに記載したように変換する。

ＴＴＬ（Time To Live）の観測値Ｘが２４５であれば、１２８より大きいので２５５に変換する。ＴＣＰヘッダとしてはＤＦ（Don’t Fragment Bit）がセットされているか否か、初期広告ウィンドウサイズの値、MSS（maximum segment size）の値、SACK （Selective Acknowledgement）オプションを使っているか否か等の値を利用する。

解析部４２は、以上で得られた電子メール送信ホストの特徴をまとめて特徴出力部４６に出力する。

図９は、メール送信ホストクラス推定部１２２における動作の一例を示したフローチャートである。
以下では簡単のため、図１３、図１４に記載の特徴１テーブル（ＡＳ番号）と特徴ｊテーブル（ＤＮＳＢＬ1）のみを用いた例を、図９のフローチャートを用いて説明する。

図９に示すように、まず、電子メール送信ホストからメッセージを受信すると（ステップＳ３０）、該電子メール送信ホストについて特徴テーブルを参照する（ステップＳ３１）。特徴が既に取得済みであるか否かを判断し（ステップＳ３２）、取得済みであれば（ステップＳ３２：Ｙ）、そのままステップＳ３４に進み、取得済みでなければ（ステップＳ３２：Ｎ）、取得した後（ステップＳ３３）にステップＳ３４に進む。

ステップＳ３４において、尤度・事前確率データベース（ＤＢ）を参照し、ステップＳ３５において、各クラスについてスコアを計算する（ステップＳ３５）。

以下、具体例を用いて説明する。
推定の対象となる電子メール送信ホストのＩＰアドレスのドット表記が「１９２.１６８.７.１２３」であったとする。図１２の特徴テーブルを参照することによって、当該電子メール送信ホストの特徴１, 特徴ｊの値としてそれぞれ「６４６０１」,「１」を得たものとする。この特徴１と特徴ｊの値「６４６０１」と「１」により図１３、図１４を参照し、該当する尤度を〔課題を解決するための手段〕の項に記載した（数３）により計算する。特徴１、特徴ｊをそれぞれA1, Aj とする。このとき尤度はそれぞれ下記（数８）〜（数１１）のようになる。

同様に事前確率は、それぞれ下記（数１２）〜（数１３）と計算できる。

よって、スコアは上記（数２）を用いてそれぞれ下記（数１４）および（数１５）のように計算できる。

（数１４）と（数１５）を比較すると下記（数１６）となるので、スコアが最も高いＣ１を当該電子メール送信ホストのクラスであると推定し（ステップＳ３６）、処理を終了する（ステップＳ３７）。

なお、スコアの計算を、〔課題を解決するための手段〕の項に記載した（数６）により計算するようにしてもよい。

また、上記電子メール送信ホスト分類システムにおいてはホスト分類において、スコアの高いクラスを分類結果として採用したが、その代わりに、コストの最も低いクラスを採用するようにしてもよい。

ここでは、ある電子メール送信ホストの真のクラスがＣ_ｉであるときに当該電子メール送信ホストのクラスをＣ_ｊと推定した際のコストをW（ｉ，ｊ）とし、ある電子メール送信ホストのクラスをＣ_ｉと分類するコストＣost（Ｃ_ｉ）を〔課題を解決するための手段〕の項に記載した（数７）で定義し、当該電子メール送信ホストに対して、Ｃost（Ｃ_ｉ）が最も小さいクラスＣ_ｉを当該ホストのクラスとして推定する。

（実施例２）
上記実施例１では、図２に示すように、メール送信ホスト学習部１２１がメール送信ホスト分類部１２内に具備され、電子メールを受信する毎に学習を行っていたが、このような方法によって学習をオンラインで実施する代わりに、例えば、オフライン等で別途学習して得られた尤度・事前確率データベース（ＤＢ）を用い、メール送信ホストクラスの推定を行うことも可能である。

図１０は、このような尤度・事前確率データベース（ＤＢ）を用い、メール送信ホストクラスの推定を行うメール受信サーバ５０の構成例であり、メール配送処理部５１とメール送信ホスト分類部５２を具備し、メール配送処理部５１は、メール受信・処理部５１１、メッセージ配送管理部５１２、メール送信部５１３からなり、メール送信ホスト分類部５２は、メール送信ホストクラス推定部５２１、尤度・事前確率データベース（ＤＢ）５２２からなる。

図１０に示した実施例２のメール受信サーバ１０は、図２に示した実施例１のメール受信サーバ５０に比較して、メール配送処理部のスパム判定部、メール送信ホスト分類部のメール送信ホスト学習部とメール送信ホストＤＢが削減されている。

実施例２の場合、尤度・事前確率ＤＢ５２２は参照のみに用いられ、メール受信毎に更新されることはない。尤度・事前確率ＤＢ５２２の運用方法として、例えば別のネットワークで蓄積したＤＢを用いる方法や、定期的にオフラインでＤＢを更新する等の方法が考えられる。

なお、本発明に係る電子メール送信ホスト分類システムにおける各手段（特徴抽出手段，尤度計算手段，事前確率計算手段，スコア計算手段）は、当該電子メール送信ホスト分類システム（メール受信サーバ）を構成するＣＰＵやメモリなどのハードウェア資源を用いて上記各手段に対応するプログラムを実行することにより実現される。

また、上記各手段に対応するプログラムは、ＦＤ，ＣＤ−ＲＯＭ、ＤＶＤなどの記録媒体や、インターネットなどのネットワークを介して市場に流通させることができる。

１０：メール受信サーバ
１１：メール配送処理部
１１１：メール受信・処理部
１１２：メッセージ配送管理部
１１３：スパム判定部
１１４：メール送信部
１２：メール送信ホスト分類部
１２１：メール送信ホスト学習部
１２１１：データ受信部
１２１２：特徴抽出部
１２１３：クラス取得部
１２１４：尤度・事前確率更新部
１２２：メール送信ホストクラス推定部
１２２１：データ受信部
１２２２：特徴抽出部
１２２３：クラス推定部
１２２４：推定結果出力部
１２３：メール送信ホストデータベース（ＤＢ）
１２３１：統計テーブル
１２３２：特徴テーブル
１２４：尤度・事前確率データベース（ＤＢ）
１２４１：特徴１テーブル
１２４２：特徴２テーブル
１２４ｍ：特徴ｍテーブル
２０：メール送信ホスト
３０：メール蓄積サーバ
４０：特徴抽出部
４１：データ受信部
４２：解析部
４２１：キャッシュ判定部
４２２：ＩＰアドレス分析部
４２３：キーワード分析部
４２４：隣接ホスト類似度判定部
４２５：ＴＣＰ/ＩＰヘッダ解析部
４３：ＩＰデータベース（ＩＰ ＤＢ）
４４：ＤＮＳ逆引きホスト解決部
４５：キーワードデータベース（ＤＢ）
４６：特徴出力部
５０：メール受信サーバ
５１：メール配送処理部
５１１：メール受信・処理部
５１２：メッセージ配送管理部
５１３：メール送信部
５２：メール送信ホスト分類部
５２１：メール送信ホストクラス推定部
５２２：尤度・事前確率データベース（ＤＢ）

Claims (13)

1. 電子メール受信サーバあるいは該電子メール受信サーバの手前に設置されたサーバ（以下、両者を総称してメール受信サーバという）により電子メール送信ホストの特徴を元に該電子メール送信ホストを分類する電子メール送信ホスト分類システムであって、
   電子メール送信ホストの特徴として、該電子メール送信ホストのＩＰ（Internet Protocol）アドレスに関し、ＩＰアドレスが属する国、ＩＰアドレスが属するＡＳ番号（Autonomous System Number）、ＩＰアドレスが属するＢＧＰ（Border Gateway Protocol）Prefix、ＩＰアドレスにＤＮＳ（Domain Name System）逆引きレコード（ＰＴＲ Resource Record）が存在するか否か、ＩＰアドレスを逆引きしたホスト名に任意に指定が可能な特定の文字列パターンが含まれているか否か、隣接したＩＰアドレスを逆引きしたホスト名と当該ＩＰアドレスのホスト名の類似度、ＩＰアドレスが特定のブラックリストに存在したか否かを特徴Ａ={A1,…,Am}として取得するとともに、前記電子メール送信ホストが前記メール受信サーバに対して試みたＳＭＴＰ（Simple Mail Transfer Protocol）通信に対して当該ＩＰパケットのＩＰヘッダおよびＴＣＰ（Transmission Control Protocol）ヘッダに記載された情報を任意に指定し特徴Ｂ={B1,…,Bp}として取得する特徴取得手段と、
   該特徴取得手段で取得した電子メール送信ホストの特徴Ａ={A1,…,Am}および特徴Ｂ={B1,…,Bp}を格納するメール送信ホストデータベース（ＤＢ）と、
   予め前記電子メール送信ホストを複数のクラスＣ_１、Ｃ_２、・・・，Ｃ_ｘに分類したデータを準備しておき、該データを元に、前記電子メール送信ホストがそれぞれのクラスに属する際に前記特徴Ａ={A1,…,Am}および特徴Ｂ={B1,…,Bp}がある実現値をとる確率である尤度をそれぞれの特徴Aj，Bl（j=1,2,…,m,l=1,2,…,p）毎に下記（数１）により計算する尤度計算手段と、
   

   

   （ここで、Pr[Y|X]は、Ｘが所与の元でＹを得る条件付き確率）
   前記データよりあるホストがクラスＣ_ｉとなる事前確率Pr[C=Ci]をｉ=１,２,…,ｘに対して計算する事前確率計算手段と、
   前記尤度計算手段で求めた尤度と前記事前確率計算手段で求めた事前確率を格納する尤度・事前確率データベース（ＤＢ）と、
   新たに観測した電子メール送信ホストに対して前記特徴抽出手段により特徴Ａ,Ｂを取得し、その値を元に前記複数のクラスＣ_１、Ｃ_２、・・・，Ｃ_ｘに対して下記（数２）で定義されるスコアＳ（A,B;Ci）を計算するスコア計算手段と、
   

   

   （ここで、Pr[Ci]は前記で学習した事前確率、Pr[Aj|Ci]（j=1,…,m）およびPr[Bl|Ci]（l=1,…,p）は前記学習した尤度）
   前記スコア計算手段で求めたスコアＳが最も高い値を与えるクラスを観測した電子メール送信ホストのクラスとして推定するクラス推定手段と
   を有することを特徴とする電子メール送信ホスト分類システム。
2. 請求項１に記載の電子メール送信ホスト分類システムにおいて、
   前記特徴抽出手段における特徴抽出で特徴Ａ,Ｂの一部の情報が得られない場合は、得られた情報のみを用いて前記尤度計算手段、事前確率計算手段、スコア計算手段による計算を実施する
   ことを特徴とする電子メール送信ホスト分類システム。
3. 請求項１または２に記載の電子メール送信ホスト分類システムにおいて、
   前記特徴Ａの取得において、ＡＳ番号、ＢＧＰ Prefix、国番号に関して、生のデータを使う代わりにハッシュ関数を適用し、取り得る値の範囲を一定のサイズに固定した値を使う
   ことを特徴とする電子メール送信ホスト分類システム。
4. 請求項１から３のいずれかに記載の電子メール送信ホスト分類システムにおいて、
   前記尤度計算手段において、尤度Pr[Aj|Ci]を計算する際に下記（数３）を用いて計算する
   ことを特徴とする電子メール送信ホスト分類システム。
   

   

   （ここで、ｎ_ｉｊｋはクラスがＣ_ｉであるときに特徴Ａｊがある実現値ａ_ｊｋとなった回数、ｍ_ｊは特徴Ａ_ｊの実現値ａ_ｊｋが取り得る値の種類の数。ｆは任意に指定が可能な小さな値に定めることができる。）
5. 請求項１から４のいずれかに記載の電子メール送信ホスト分類システムにおいて、
   前記隣接したＩＰアドレスを逆引きしたホスト名と当該ＩＰアドレスのホスト名の類似度の判断において、当該アドレスおよび隣接アドレスのホスト名をＨ（当該アドレス）,Ｈ’（隣接アドレス１）,Ｈ’’（隣接アドレス２）とした際に、ＨをＨ’に変更するのに必要な文字列操作の回数をd（Ｈ,Ｈ’）とし、同様にＨとＨ’’に対してはＨをＨ’’に変更するのに必要な文字列操作の回数をd（Ｈ,Ｈ’’）とし、d（Ｈ,Ｈ’）とd（Ｈ,Ｈ’’）の双方が任意に指定可能な閾値θよりも小さい場合に当該ＩＰアドレスは隣接アドレスに対して類似していると判断する
   ことを特徴とする電子メール送信ホスト分類システム。
6. 請求項１から５のいずれかに記載の電子メール送信ホスト分類システムにおいて、
   前記特徴Ｂにおいて、ＩＰヘッダに記載のＴＴＬ（Time To Live）値の観測値ＸをＸが１２８よりも大きい場合はＸ→２５５に、それ以外の場合は下記（数４）と補正すること
   を特徴とする電子メール送信ホスト分類システム。
   

   

   （ここで、下記（数５）は天井関数であり、ｙよりも大きい最小の整数であることを意味する。）
   

   
7. 請求項１から６のいずれかに記載の電子メール送信ホスト分類システムにおいて、
   前記ＩＰアドレスを逆引きしたホスト名に任意に指定が可能な特定の文字列パターンが含まれているか否かの判断において、前記特定の文字列パターンは下記（ａ）〜（ｃ）のいずれかの文字列を含むこと
   を特徴とする電子メール送信ホスト分類システム。
   （ａ）56k, access, bb, broadband, cable, catv, dhcp, dial, dip, dsl, dyn, fiber, ftth, host, hotspot, hsd, ipad, ipbf, ipngn, isdn, isp, mobil, modem, pool, ppp, reverse, telecom, telekom, telkom, user, usr, wifi, wireless, wi-fi を含む
   （ｂ）当該ＩＰアドレスのドット表記に対し、ドットで区切られた数字そのものあるいはそれを１６進数表記したものが順序は問わず、二つ以上含まれる
   （ｃ）当該ＩＰアドレスのドット表記の最後の数字が含まれる
8. 請求項１から７のいずれかに記載の電子メール送信ホスト分類システムにおいて、
   前記スコア計算手段での計算を、スコアＳを（数２）に代えて、下記（数６）を用いて計算する
   ことを特徴とする電子メール送信ホスト分類システム。
   

   
9. 請求項１から８のいずれかに記載の電子メール送信ホスト分類システムにおいて、
   前記クラス推定手段がスコア計算手段で求めたスコアＳが最も高い値を与えるクラスを観測した電子メール送信ホストのクラスとして推定するのに代えて、あるホストの真のクラスがＣ_ｉであるときに当該ホストのクラスをＣ_ｊと推定した際のコストをW（ｉ，ｊ）とし、あるホストのクラスをＣ_ｉと分類するコストＣost（Ｃ_ｉ）を下記（数７）と定義し、あるホストに対してＣost（Ｃ_ｉ）が最も小さいクラスＣ_ｉを当該電子メール送信ホストのクラスとして推定する
   ことを特徴とする電子メール送信ホスト分類システム。
   

   
10. 請求項１から９のいずれかに記載の電子メール送信ホスト分類システムにおいて、
    前記メール送信ホストデータベース（ＤＢ）において、当該電子メール送信ホストの特徴Ａ，Ｂを収集して格納した時刻Ｔを記録しておき、同電子メール送信ホストが再度観測された場合にその時刻と前記時刻Ｔとの差が任意に指定可能な一定期間内であれば前記メール送信ホストデータベース（ＤＢ）に記録された特徴を利用し、一定期間内でない場合は新規に特徴Ａ，Ｂを収集し直す
    ことを特徴とする電子メール送信ホスト分類システム。
11. 請求項１から１０のいずれかに記載の電子メール送信ホスト分類システムにおいて、
    前記特徴Ｂとして、前記ＴＣＰ/ＩＰヘッダ情報に記載された情報に加え、メール受信サーバがメッセージ受信前（ＳＭＴＰトランザクションにおいて、ＤＡＴＡコマンドが発行される前）に取得が可能なデータとして、ＳＭＴＰコマンド（HELO, RCPT, RSET, SEND, SOML, SAML, VRFY, EXPN, HELP, NOOP, QUIT, TURN）の引数、および受信サーバが応答したＳＭＴＰ応答コードを特徴Ｂとして利用する
    ことを特徴とする電子メール送信ホスト分類システム。
12. 電子メール受信サーバあるいは該電子メール受信サーバの手前に設置されたサーバ（両者を合わせて、以下メール受信サーバという）により電子メール送信ホストの特徴を元に該電子メール送信ホストを分類する電子メール送信ホスト分類方法であって、
    電子メール送信ホストの特徴として、該電子メール送信ホストのＩＰ（Internet Protocol）アドレスに関し、ＩＰアドレスが属する国、ＩＰアドレスが属するＡＳ番号（Autonomous System Number）、ＩＰアドレスが属するＢＧＰ（Border Gateway Protocol）Prefix、ＩＰアドレスにＤＮＳ（Domain Name System）逆引きレコード（ＰＴＲ Resource Record）が存在するか否か、ＩＰアドレスを逆引きしたホスト名に任意に指定が可能な特定の文字列パターンが含まれているか否か、隣接したＩＰアドレスを逆引きしたホスト名と当該ＩＰアドレスのホスト名の類似度、ＩＰアドレスが特定のブラックリストに存在したか否かを特徴Ａ={A1,…,Am}として取得するとともに、前記電子メール送信ホストが前記メール受信サーバに対して試みたＳＭＴＰ（Simple Mail Transfer Protocol）通信に対して当該ＩＰパケットのＩＰヘッダおよびＴＣＰ（Transmission Control Protocol）ヘッダに記載された情報を任意に指定し特徴Ｂ={B1,…,Bp}として取得する特徴取得ステップと、
    該特徴取得手段で取得した電子メール送信ホストの特徴Ａ={A1,…,Am}および特徴Ｂ={B1,…,Bp}をメール送信ホストデータベース（ＤＢ）に格納する特徴格納ステップと、
    予め前記電子メール送信ホストを複数のクラスＣ_１、Ｃ_２、・・・，Ｃ_ｘに分類したデータを準備しておき、該データを元に、前記電子メール送信ホストがそれぞれのクラスに属する際に前記特徴Ａ={A1,…,Am}および特徴Ｂ={B1,…,Bp}がある実現値をとる確率である尤度をそれぞれの特徴Aj，Bl（j=1,2,…,m, l=1,2,…,p）毎に下記（数８）により計算する尤度計算ステップと、
    

    

    （ここで、Pr[Y|X]は、Ｘが所与の元でＹを得る条件付き確率）
    前記データよりあるホストがクラスＣ_ｉとなる事前確率Pr[C=Ci]をｉ=１,２,…,ｘに対して計算する事前確率計算ステップと、
    前記尤度計算手段で求めた尤度と前記事前確率計算手段で求めた事前確率を尤度・事前確率データベース（ＤＢ）に格納する尤度・事前確率格納ステップと、
    新たに観測した電子メール送信ホストに対して前記特徴抽出手段により特徴Ａ,Ｂを取得し、その値を元にクラスＣ_１、Ｃ_２、・・・，Ｃ_ｘに対して下記（数９）で定義されるスコアＳ（A,B;Ci）を計算するスコア計算ステップと、
    

    

    （ここで、Pr[Ci]は前記で学習した事前確率、Pr[Aj|Ci]（j=1,…,m）およびPr[Bl|Ci]（l=1,…,p）は前記学習した尤度）
    前記スコア計算手段で求めたスコアＳが最も高い値を与えるクラスを観測した電子メール送信ホストのクラスとして推定するクラス推定ステップと
    を有することを特徴とする電子メール送信ホスト分類方法。
13. コンピュータを、請求項１から１１のいずれかに記載の電子メール送信ホスト分類システムにおける各手段として機能させるプログラム。

Images