JP5121828B2 - 電子メール処理装置、電子メール処理方法、電子メール処理プログラムおよび電子メール処理システム - Google Patents

Description

本発明は、受信を望まない迷惑なメール（以下、スパム（迷惑）メールという）を処理する電子メール処理システムに関する。

近年、ＰＣや携帯電話等の通信端末を用いた電子メールが頻繁に利用されている。電子メールの利用拡大に伴い、受け手側の都合を無視し、不特定多数に大量の迷惑な電子メールを送信するスパムメールが問題になっている。そこで、スパムメールを検出することにより、受け手側のユーザが必要とする電子メールを効率よく受信できるスパム防御システムが利用されている。

図１４は、従来の第１のスパム防御システムを説明する図である。スパム防御システム１０は、スパムメールに関する情報を管理する管理センタ１２と、管理センタ１２が管理する情報に基づき、受け取った電子メール１４からスパムメールを検出し、処理する電子メールシステム１６と、電子メールシステム１６を介して、スパムメール以外の電子メール１４を受信するユーザＰＣ１８とによって構成される。

管理センタ１２は、ネットワークや通信回線を介して、電子メールシステム１６に接続されている。電子メールシステム１６は、ネットワークを介して、外部装置より電子メール１４を受け取ることができる。当該電子メールシステム１６は、例えば、インターネットサービスを提供するＩＳＰ（プロバイダ）や企業内に設置されたサーバ等のネットワークシステムである。

管理センタ１２は、例えば、ハニーポッド等のスパム収集システム２０に収集された大量のスパムメールに基づき、データベース２２を作成することで、スパムメールに関する情報を管理している。ハニーポッドは、例えば、架空人物用のメールアドレスを作成することで、要求しないメール、すなわち、スパムメールを収集することができる。データベース２２は、新たなスパムメールが発見される度に、スパムメールに関する情報が追加されるため、時系列的に記憶する情報容量が大きくなる。

電子メールシステム１６内に設置されたゲートウェイ３０は、管理センタ１２からデータベース２２を一定期間ごとにダウンロードする。判定部３２は、当該データベース２２に基づき、受け取った電子メール１４がスパムメールであるか否か判定する。これにより、ゲートウェイ３０は、スパムメールを検出することができる。スパムメール以外の必要な電子メール１４は、ゲートウェイ３０を通過し、メールサーバ３６に格納され、ユーザＰＣ１８側からの要求に応じて、各ユーザＰＣ１８a〜１８ｃに配信される。

図１５は、従来の第２のスパム防御システムを説明する図である。第２のスパム防御システム５０では、管理センタ１２側でスパムメールであるか否かを判定することができる。ゲートウェイ３０内にあるメール情報抽出部３４は、受け取った電子メール１４に関する情報を抽出し、シグネチャーと呼ばれる抽出情報を管理センタ１２にある判定部２４に送付する。判定部２４は、受け取ったシグネチャーとデータベース２２に基づき、受け取った電子メール１４がスパムメールであるか否かを判定し、その判定結果をゲートウェイ３０に送付する。これにより、ゲートウェイ３０は、受け取った判定結果に基づき、スパムメールを検出することができる。特許文献１は、第２のスパム防御システム５０に用いられる技術について開示している。

米国特許６３３０５９０号

従来の第１のスパム防御システム１０では、ゲートウェイ３０は、データベース２２自体をダウンロードする必要があるため、データベース２２を格納できるだけの容量を有する記憶装置が必要とされる。一般的に、データベース２２は、時系列的に増大するため、それに伴い、ゲートウェイ３０の記憶装置を増設する必要があり、その設置コストが問題になっていた。また、一定期間ごとにデータベース２２を更新するため、タイムラグが発生し、最新のスパムメールが検出できないという問題があった。

これに対し、従来の第２のスパム防御システム５０では、ゲートウェイ３０は、データベース２２自体をダウンロードする必要がないため、記憶装置の増設する設置コストを軽減することができる。また、ゲートウェイ３０は、その都度、管理センタ２２にアクセスするため、スパムメールをリアルタイムで検出することができる。

一般的に、スパム防御システムは、多数のゲートウェイ３０が１つの管理センタ１２に接続されている。このため、第２のスパム防御システム５０では、管理センタ１２に接続されるゲートウェイ３０の数が増大すると、管理センタ１２にスパムメールの判定処理を求めるアクセスが集中してしまうという問題があった。

また、第２のスパム防御システム５０では、電子メールシステム１６は、ネットワークを介して、電子メール１４の抽出情報を管理センタ１２に送付する。このため、第三者の不正アクセス等により抽出情報が流出すると、当該抽出情報から電子メール１４のメッセージ内容が解読されてしまう恐れがあった。

本発明は、このような課題を解決するものであり、電子メールのメッセージ内容が解読されることなく、リアルタイムでスパムメールを判定することができ、かつ、ゲートウェイ側でスパムメールの判定を行うことで、スパムメールの判定処理を分散することができる電子メール処理装置、電子メール処理方法、電子メール処理プログラムおよび電子メール処理システムを提供することを目的とする。

本発明に係る電子メール処理装置は、スパムメールを処理可能なものであって、受信した電子メールの外観的特徴を示すアウトライン情報を抽出する第１のアウトライン抽出手段と、前記アウトライン情報に基づきスパムメールを検出するためのスパム検出情報の送信を外部に要求する要求手段と、外部からスパム検出情報を受信する受信手段と、電子メールの内容が対応するスパム検出情報に該当するとき、当該電子メールがスパムメールであると判定する第１の判定手段とを有する。例えば、電子メール処理装置は、受け取った電子メールからスパムメールを検出し、処理するゲートウェイに対応し、メールサーバを含むものでなくてもよい。

好ましくは電子メール処理装置はさらに、アウトライン情報と当該アウトライン情報に対応するスパム検出情報のセットを複数保持する保持手段と、電子メールが、前記保持手段の対応するスパム検出情報に該当するか否かを判定する第２の判定手段とを含み、前記要求手段は、前記第２の判定手段により電子メールがスパム検出情報に該当しないと判定されたとき、電子メールのアウトライン情報に対応するスパム検出情報の送信を外部に要求する。

好ましくは前記第1のアウトライン抽出手段は、電子メールの本文、送信者および送信アドレス、受信者および受信アドレスを除く外観情報をアウトライン情報として抽出する。アウトライン情報は、電子メールの行数、添付ファイル、電子メールの形式、および電子メールの言語に関する情報の少なくとも１つを含むことができる。

好ましくは前記スパム検出情報は、検出ルールと当該検出ルールを用いて電子メールから検出された抽出データとを含み、前記第1の判定手段は、対応する検出ルールを用いて受信した電子メールから検出された判定データが前記抽出データに一致もしくは近似するか否かを判定する。ここでいう一致は、完全一致に限らず、部分一致でもよい。前記検出ルールは、ＵＲＬ、特定箇所の文字列、メールアドレス、ＨＴＭＬ要素の並び、添付ファイル、本文のソート結果、サンプリング、スパムメールを検出するための規則に従った文字列の少なくとも１つを含む抽出データを抽出するためのルールである。前記抽出データは、ＵＲＬ、特定箇所の文字列、メールアドレス、ＨＴＭＬ要素の並び、添付ファイル、本文のソート結果、サンプリング、スパムメールを検出するための規則に従った文字列の少なくとも１つを含むことができる。

好ましくは電子メール処理装置はさらに、前記保持手段の内容を外部データベースと同期化するための同期化手段を含み、前記同期化手段は、前記保持手段が保持するアウトライン情報およびこれに対応するスパム検出情報を外部データベースに送信し、かつ前記受信手段を介して受信されたスパム検出情報の差分を前記保持手段に保持させる。あるいは、電子メール処理装置は、前記保持手段保持の内容を外部データベースと同期化するための同期化手段を含み、前記同期化手段は、前記保持手段が保持するアウトライン情報を外部データベースに送信し、前記受信手段を介してアウトライン情報に対応するスパム検出情報の識別情報を受信し、かつ受信した識別情報に基づき前記保持手段が保持していない差分のスパム検出情報の送信を外部データベースに要求するようにしてもよい。

さらに本発明に係るスパムメールを処理可能な電子メール処理システムは、上記した電子メール処理装置と、ネットワークを介して電子メール処理装置に接続された管理センタとを含み、前記管理センタは、スパムメールを収集する収集手段と、収集されたスパムメールの外観的特徴を示すアウトライン情報を抽出する第２のアウトライン抽出手段と、検出ルールに基づき、スパムメールを特定するための抽出データを抽出する抽出データ抽出手段と、スパムメールを特定するための抽出データをアウトライン情報毎に設定する設定手段と、設定されたアウトライン情報とこれに対応する抽出データをスパム検出情報として記憶するデータベースと、電子メール処理装置の要求手段の要求に基づき、データベースの記憶された情報を送信する送信手段とを有する。

好ましくは、前記第２のアウトライン抽出手段は、第１のアウトライン抽出手段と同一のアルゴリズムを用いてスパムメールからアウトライン情報を抽出する。また、前記第２のアウトライン抽出手段は、スパムメールの本文、送信者および送信アドレス、受信者および受信アドレスを除く外観情報をアウトライン情報として抽出する。アウトライン情報は、スパムメールの行数、添付ファイル、スパムメールの形式、およびスパムメールの言語に関する情報の少なくとも１つを含むことができる。

好ましくは前記スパム検出情報は、スパムメールを検出するための検出ルールと当該検出ルールを用いて電子メールから検出された抽出データとを含み、前記抽出データは、ＵＲＬ、特定箇所の文字列、メールアドレス、ＨＴＭＬ要素の並び、添付ファイル、本文のソート結果、サンプリング、スパムメールを検出するための規則に従った文字列の少なくとも１つを含む。前記検出ルールは、ＵＲＬ、特定箇所の文字列、メールアドレス、ＨＴＭＬ要素の並び、添付ファイル、本文のソート結果、サンプリング、スパムメールを検出するための規則に従った文字列の少なくとも１つを含む前記抽出データを抽出するためのルールである。好ましくは前記送信手段は、電子メール処理装置の同期化手段に応答してスパム検出情報を電子メール処理装置に送信する。

本発明に係る電子メールを処理する電子メール処理方法／プログラムは、受信した電子メールの外観的特徴を示すアウトライン情報を抽出するステップと、抽出されたアウトライン情報に基づきスパムメールを検出するためのスパム検出情報をメモリから検索するステップと、検索されたスパム検出情報に基づき電子メールがスパムメールに該当するか否かを判定する第１の判定ステップと、スパムメールに該当しないと判定されたとき、アウトライン情報に対応するスパム検出情報の送信を外部データベースに要求するステップと、外部データベースから受信したスパム検出情報に基づき電子メールがスパムメールに該当するか否かを判定する判定する第２の判定ステップとを有する。

好ましくは前記スパム検出情報は、検出ルールと当該検出ルールを用いて電子メールから検出された抽出データとを含み、前記第1の判定ステップは、対応する検出ルールを用いて受信した電子メールから検出された判定データが前記抽出データに一致するか否かを判定する。電子メール処理方法はさらに、外部データベースから受信したスパム検出情報を前記メモリに記憶し、外部データベースと前記メモリを同期化するステップを含むことができる。

本発明の電子メール処理装置、電子メール処理方法、電子メール処理プログラムおよび電子メール処理システムによれば、スパムメールをリアルタイムで判定することができる。また、電子メール処理装置側でスパムメールの判定処理を行うため、管理センタにスパムメールの判定処理が集中することがなく、当該判定処理を分散することができる。さらに、アウトライン情報が流出したとしても、電子メールのメッセージ内容が漏洩することはない。

以下、本発明を実施するための最良の形態について図面を参照して説明する。

図１Ａは、本実施例に係る電子メール処理システムの構成例を示す図である。電子メール処理システム１００は、ネットワークを介して、外部装置より受け取る電子メール１０２と、スパムメールに関する情報を管理する管理センタ１０４と、管理センタ１０４から受け取った情報に基づき、電子メール１０２に含まれるスパムメールを検出し、処理する電子メールシステム１０６と、電子メールシステム１０６を介して、スパムメール以外の電子メール１０２を受信するユーザＰＣ１０８とを含んで構成される。

電子メールシステム１０６は、受け取った電子メール１０２からスパムメールを検出し、処理するゲートウェイ１２２と、ゲートウェイ１２２を通過した電子メール１０２を格納するメールサーバ１２４を含んでいる。メールサーバ１２４は、ユーザＰＣ１０８側の要求に応じて、格納された電子メール１０２を各ユーザＰＣ１０８ａ〜１０８ｃに配信することができる。例えば、ゲートウェイ１２２は、検出したスパムメールを削除／収集することでブロックしたり、識別タグを付与しメールサーバ１２４に送付する等の処理を行うことができる。

図１Ｂは、電子メール処理システムの他の構成例を示す図である。電子メールシステム１０６は、少なくとも、受け取った電子メール１０２からスパムメールを検出し、処理するゲートウェイ１２２を含むものであればよい。ただし、ゲートウェイ１２２には、メールサーバ機能が含まれる。

図２は、本実施例に係る管理センタの構成例を示す図である。大量のスパムメールを収集するスパム収集システム１３０と、スパム収集システム１３０に収集されたスパムメールに関する情報を格納するデータベース１３２と、ゲートウェイ１２２からの要求に応答し、スパムメールに関する情報を送付する受付応答部１３４と、各部を制御する制御部１３６とを含んでいる。

図３は、制御部１３６の機能的な構成を示すブロック図である。制御部１３６は、スパム収集システム１３０に収集されたスパムメールからアウトライン情報を抽出するアウトライン抽出手段１５０と、抽出されたアウトライン情報に対応する検出ルールに基づきスパムメールからデータを抽出するデータ抽出手段１５２と、スパムメールからアウトライン情報を抽出するためのアウトラインルール、およびスパムメールからデータを抽出するための検出ルールを設定し、当該検出ルールとスパムメールから抽出されたデータ（以下、抽出データという）とをセットにしたスパム検出情報をアウトライン情報に関連付けしてデータベース１３２に格納するアウトライン／検出ルール設定手段１５４と、ゲートウェイ１２２から送付されるアウトライン情報等を受け取り、データベース１３２に格納された情報をゲートウェイ１２２へ送信する同期化手段１５６とを含んでいる。

アウトライン情報は、アウトラインルールに基づき抽出される。このアウトライン情報は、電子メールの属性を表し、外観的特徴を示す情報であり、例えば、電子メールの行数、文字数、添付ファイルの有無等に関する外観情報である。よって、アウトライン情報は、電子メールのメッセージ内容を示すような情報ではない。このため、第三者がネットワーク上でアウトライン情報を入手したとしても、電子メールのメッセージ内容に関する情報が流出することはない。上記したアウトラインルールとは、スパムメールからアウトライン情報を抽出するためのルールであり、管理者等により予め設定される。

図４Ａは、スパムメールの表示例を示す図である。電子メール（スパムメールを含む）は、一般的に、ヘッダ部とボディ部からなるメールデータに基づき、ユーザに提示するディスプレイ表示が作成される。アウトライン抽出手段１５０は、電子メール本文の内容またはその表現を抽出するのではなく、スパムメール１６０のメールデータを解析することで、例えば、メールの行数１６２、言語の種類（日本語）１６４、特定箇所に記載されたメールアドレス１６６をアウトライン情報として抽出する。また、アウトライン抽出手段１５０は、図４Ｂに示すようなメールデータ（ヘッダ部）のデータ部１６８から、当該スパムメール１６０の種類を表現する方法を規定するＭＩＭＥ（Multipurpose Internet Mail Extension）をアウトライン情報として抽出することができる。

ここで留意すべき点は、アウトライン抽出手段１５０は、送信者およびそのメールアドレス、受信者およびそのメールアドレスを、アウトライン情報の抽出対象から除外している。これらの情報は、個人を特定することになるためである。さらに、件名についても抽出対象から除外することが望ましい。

検出ルールは、スパムメールから抽出データを検出するためのルールを決定するものであり、スパムメールのアウトライン情報に対応して設定される。検出ルールは、予めデフォルトのルールを設定しておくことも可能であるが、アウトライン／検出ルール設定手段１５４は、新規なスパムメールに対応することができるように、検出ルールの追加、変更を行うことが可能である。

検出ルールには、例えば、スパムメールに含まれるＵＲＬ、画像、特殊文字、慣用句、その他予め決められた規則等に関するものがあり、これらの情報を抽出するためのプログラムが含まれる。例えば、検出ルールがＵＲＬであるとき、データ抽出手段１５２は、当該検出ルールに基づき、スパムメールに含まれている“http”で始まるＵＲＬの実際のデータを抽出する。例えば、検出ルールが特殊文字であるとき、データ抽出手段１５２は、５０音またはアルファベットに該当しない実際のデータをスパムメールから抽出する。例えば、検出ルールが慣用句であるとき、データ抽出手段１５２は、当該検出ルールに基づき、スパムメールに含まれている慣用句を抽出する。ここで、慣用句は、例えば連続した漢字が３つ以上のものなどと定義することができる。

アウトライン抽出手段１５０およびデータ抽出手段１５２は、設定されたルールに基づきスパムメールのメールデータからアウトライン情報と抽出データを抽出する。管理者等は、巧妙化するスパムメールの変化に伴い、アウトラインルールや検出ルールの設定を変更したり、追加することができる。

次に、アウトライン抽出手段によるアウトライン情報の生成動作について図５（ａ）のフローチャートを参照して説明する。まず、アウトライン抽出手段１５０は、スパム収集システム１３０に収集されたスパムメールからメールデータを取り込む（ステップＳ１０１）。次に、アウトライン抽出手段１５０は、取り込んだメールデータに基づき、アウトライン情報を生成する（ステップＳ１０２）。ここで、アウトライン抽出手段１５０は、１つのスパムメールから複数のアウトライン情報を抽出することができる。

アウトライン情報は、電子メールの属性を表すデータであり、電子メールのメッセージ内容を示すものではない。アウトライン情報は、例えば、メールの行数幅、メールデータの種類を表現する方法を規定するＭＩＭＥの有無または種類、メールデータの形式や言語等を組み合わせたデータ配列である。アウトライン抽出手段１５０は、多種多様なスパムメールを分類するため、アウトライン情報を生成する。

次に、データ抽出手段による抽出データの抽出動作について図５（ｂ）のフローチャートを参照して説明する。まず、アウトライン抽出手段１５０は、スパム収集システム１３０に収集されたスパムメールからメールデータを取り込み（ステップＳ２０１）、データ抽出手段１５２は、設定された検出ルールに基づき、１つのメールデータからスパムメールを特定するための抽出データを抽出する（ステップＳ２０２）。検出ルールは、上記したように、メールデータに含まれるＵＲＬやメールアドレス、特定箇所の文字列、ＨＴＭＬの要素の並び、本文のソート結果、サンプリングおよび規則に従った文字列等を検出するルールである。

特定箇所の文字列は、例えば、メールデータの本文中の特定箇所に含まれたハートマーク等の文字列である。ＨＴＭＬの要素の並びは、例えば、メールデータが有するイメージタグ（ｉｍｇ）等である。本文のソート結果は、例えば、ソート後の最初に含まれる電話番号（ＴＥＬから始まる場合）等である。サンプリングは、例えば、５行目の１文字目と１０行目の１文字目が固定となる場合等である。規則に従った文字列は、例えば、アルファベット“Ａ”の出現回数等である。

検出ルールと抽出データとをセットにしたスパム検出情報は、ゲートウェイ１２２の要求により、ネットワークを介して、ゲートウェイ１２２に送付される。このため、データ手段１５２は、データ通信量を抑えるよう抽出データをハッシュ化してもよい（ステップＳ２０３）。

次に、アウトライン／検出ルール設定手段によるデータベースの構築動作について図６のフローチャートを参照して説明する。まず、アウトライン抽出手段１５０は、スパム収集システム１３０に収集されたあるスパムメールＭからメールデータを取り込み（ステップＳ３０１）、設定されたアウトラインルールに基づき、アウトライン情報を生成する（ステップ３０２）。アウトライン情報が生成されると、データ抽出手段１５２は、設定された検出ルールに基づき、当該メールデータから抽出データを抽出する（ステップＳ３０３）。アウトライン／検出ルール設定手段１５４は、抽出データが抽出されたか否かを判定し（ステップＳ３０４）、抽出データが抽出されたとき、アウトラインルール、アウトライン情報、それに対応する検出ルール、および抽出データをデータベース１３２に登録する（ステップＳ３０５）。抽出データが抽出されなかったとき、ステップＳ３０３に戻り、データ抽出手段１５２は、他の検出ルールで抽出データの抽出を試みる。

図７は、データベースのデータ構造を示す図である。データベース１３２は、アウトライン／検出ルール設定手段１５４により登録されたアウトラインルール、アウトライン情報、検出ルール、および抽出データを格納する。例えば、あるスパムメールＭを特定するため、「アウトラインルール１」「アウトラインＡ」、「検出ルール１」、および「抽出データ１」が登録されている。もちろん、１つのスパムメールＭを特定するために、複数のアウトラインルールを登録することもあり、１つのアウトラインルールに複数のアウトライン情報が生成されることがある。また、１つのアウトライン情報に複数の検出ルールが設定されることもある。

図８は、本実施例に係るゲートウェイの構成例を示す図である。ゲートウェイ１２２は、ネットワークを介して、外部装置より電子メール１０２を取得する電子メール取得部１７０と、スパムメールを検出するための検出ルールと抽出データを記憶するローカルキャッシュ１７２と、電子メール１０２のアウトライン情報に基づき、スパムメールであるか否かを判定するためのスパム検出情報を要求する要求応答部１７４と、電子メール１０２がスパムメールでなかったとき、メールサーバ１２４に電子メール１０２を送付する電子メール送付手段１７６と、各部を制御する制御部１７８とを含んでいる。

ローカルキャッシュ１７２は、過去に管理センタ１０４より送付され、スパムメールの検出に利用された検出ルールと、それに該当する抽出データを一定期間記憶している。これにより、制御部１７８は、電子メール１０２が過去に検出したスパムメールと同種であったとき、当該ローカルキャッシュ１７２に記憶されている検出ルールと抽出データに基づき、スパムメールを検出することができる。また、電子メール送付手段１７６は、電子メール１０２がスパムメールであっても、識別タグを付与しメールサーバ１２４に送付することもある。

図９は、制御部１７８の機能的な構成を示すブロック図である。制御部１７８は、電子メール取得部１７０が取得した電子メール１０２に基づき、アウトライン情報を抽出するアウトライン抽出手段１８０と、抽出されたアウトライン情報に基づき、スパム検出情報がリスト化されたスパムリスト等を管理センタ１０４に要求する要求手段１８２と、要求手段１８２に応じて管理センタ１０４から取得したスパムリストに基づき、管理センタ１０４から検出ルールと抽出データを取得する同期化手段１８４と、同期化手段１８４により取得した検出ルールと抽出データを管理する検出ルール管理手段１８６と、アウトライン情報に対応する検出ルールに基づき、電子メール１０２から判定データを抽出し、ローカルキャッシュ１７２または検出ルール管理手段１８６が管理する抽出データと比較することにより、取得した電子メール１０２がスパムメールであるか否かを判定するスパム判定手段１８８とを含んでいる。スパムリストには、電子メール１０２のアウトライン情報に対応する、当該電子メール１０２がスパムメールであるか否かを判定するために必要な検出ルールおよび抽出データが記載されている。

アウトライン抽出手段１８０は、管理センタ１０４側のアウトライン抽出手段１５０と同一のアルゴリズムに基づき、電子メール１０２からアウトライン情報を抽出する。同期化手段１８４は、管理センタ１０４側が保持する検出ルールとローカルキャッシュ１７２が保持する検出ルールとを、スパムリスト等に基づき比較し、同期化することで、検出ルールと抽出データを取得する。これにより、ゲートウェイ１２２は、電子メール１０２がスパムメールであるか否かを判定するために必要な抽出データのみを管理センタ１０４から取得することができる。また、同期化手段１８４は、管理センタ１０４側で設定されたアウトラインルールを取得することができ、ゲートウェイ１２２は最新のアウトラインルールを保持する。

スパム判定手段１８８は、アウトライン情報に対応する検出ルールに基づき、電子メール１０２から判定データを抽出することができる。判定データは、抽出データと同一のアルゴリズムに基づき、電子メール１０２から抽出されるため、データ形式が一致する。これにより、スパム判定手段１８８は、抽出データと判定データを比較することができ、これらデータが一致もしくは近似したとき、当該電子メール１０２は、スパムメールであると判定される。

本明細書でいうところの一致とは、完全一致のみならず部分一致または近似であってもよい。例えば、ＵＲＬに関する検出ルールの場合、抽出データが「http://○○○.com」であり、判定データが「http://○○○×.ｃｏｍ」であったとき、これらのデータは部分一致であり、スパム判定手段１８８は、スパムメールであると判定する。また、特定文字の出現回数をカウントする検出ルールの場合、例えば、抽出データが「４回」であり、判定データが「５回」であったとき、判定データの値「５回」は、抽出データの値「４回」を含むものであり、部分一致とみなされ、スパム判定手段１８８は、スパムメールであると判定する。

要求手段１８２は、管理センタ１０４にアウトライン情報を送付する。この際、不正アクセス等により、第三者がネットワーク上でアウトライン情報を入手し、アウトライン情報が解読される危険性がある。しかしながら、アウトライン情報は、電子メールの外観情報であるため、第三者が解読したとしても、メッセージ内容に関する情報が漏洩することはない。

次に、ゲートウェイによるスパム判定動作について図１０のフローチャートを参照して説明する。まず、アウトライン抽出手段１８０は、電子メール取得部１７０が取得した電子メール１０２のメールデータを取り込み（ステップＳ４０１）、アウトライン情報を生成する（ステップＳ４０２）。スパム判定手段１８８は、生成されたアウトライン情報に基づきローカルキャッシュ１７２を検索し（ステップＳ４０３）、ローカルキャッシュ１７２に格納された検出ルールに基づき、メールデータから判定データを抽出する（ステップＳ４０４）。

次に、スパム判定手段１８８は、ローカルキャッシュ１７２から抽出データを検索し（ステップＳ４０５）、判定データが抽出データと一致するか否かを判定する（ステップＳ４０６）。一致すると判定されたとき、電子メール１０２は、スパムメールと判定される（ステップＳ４０７）。

判定データが抽出データと一致しないと判定されたとき、ゲートウェイ１２２は、電子メール１０２がスパムメールであるか否かを判定するための検出ルールと抽出データを得るために、管理センタ１０４に問合せを行う（ステップＳ４０８）。

図１１は、検出ルールと抽出データを得るための同期化を説明する概念図である。管理センタ１０４側とゲートウェイ１２２側の同期化手段１５６、１８４は、あるアウトライン情報に対応する、データベース１３２が保持する検出ルール／抽出データと、ローカルキャッシュ１７２が保持する検出ルール／抽出データを比較することで、その差分情報からローカルキャッシュ１７２が保持していない検出ルールと該当する抽出データのみを効率よく取得することができる。取得した検出ルール／抽出データは、検出ルール管理手段１８６により管理される。

例えば、あるアウトライン情報に対応する、データベース１３２が「検出ルール１／抽出データ」、「検出ルール２／抽出データ」、「検出ルール３／抽出データ」および「検出ルールｎ／抽出データ」を保持している。ここで、ローカルキャッシュ１７２が「検出ルールｎ／抽出データ」以外の検出ルール／抽出データを既に保持している場合、同期手段１８４は、「検出ルールｎ／抽出データ」のみをデータベース１３２から取得することができる。これにより、ゲートウェイ１２２は、管理センタ１０４よりスパムメールを検出するための検出ルールと該当する抽出データを取得することができる。

次に、管理センタ問合せによるゲートウェイの第１の同期化を含むスパム判定動作について図１２のフローチャートを参照して説明する。要求手段１８２は、生成されたアウトライン情報と、当該アウトライン情報に対応する、ローカルキャッシュ１７２が保持する検出ルールと、該当する抽出データを管理センタ１０４に送付する（ステップＳ５０１）。アウトライン情報、検出ルール、および抽出データを取得すると、管理センタ１０４は、同期化手段１５６により、取得したアウトライン情報に対応する、検出ルール／抽出データをデータベース１３２が保持する情報と比較することで（ステップＳ５０２）、その差分情報から同期化を行う。これにより、ゲートウェイ１２２は、管理センタ１０４からスパム判定に必要な検出ルールと抽出データを取得し（ステップＳ５０３）、検出ルール管理手段１８６により取得した検出ルールと抽出データを保存する（ステップＳ５０４）。

次に、スパム判定手段１８８は、保存された検出ルールに基づき、電子メール１０２のメールデータから判定データを抽出する（ステップＳ５０５）。判定データが抽出されると、スパム判定手段１８８は、検出ルール管理手段１８６に保存された抽出データが電子メール１０２の判定データと一致するか否かを判定する（ステップＳ５０６）。判定データと一致すると判定されたとき、電子メール１０２は、スパムメールと判定される（ステップＳ５０７）。判定データと一致しないと判定されたとき、電子メール１０２は、必要な電子メールを判定され（ステップＳ５０８）、電子メール送付部１７６によりメールサーバ１２４に送付される。ステップ５０６において、判定データが抽出データに一致しないと判定されたとき、設定された回数や時間間隔に従い、判定動作を繰り返すことができる。最後に、スパム判定に利用された検出ルールと抽出データは、ローカルキャッシュ１７２に格納され、一定期間保持される。

次に、管理センタ問合せによるゲートウェイの第２の同期化を含むスパム判定動作について図１３のフローチャートを参照して説明する。要求手段１８２は、生成されたアウトライン情報を送付する（ステップＳ６０１）。これにより、管理センタ１０２側に、当該アウトライン情報に基づき、対応する検出ルールが記載されたスパム検出情報であるスパムリストを要求する。

ゲートウェイ１２２は、管理センタ１０４からスパムリストを取得すると（ステップＳ６０２）、当該スパムリストに記載された検出ルールとローカルキャッシュ１７２が保持する検出ルールとを比較する（ステップＳ６０３）。これにより、同期化手段１８４は、差分情報からローカルキャッシュ１７２が保持せず、スパム判定に必要な検出ルールと該当する抽出データを特定することができ、これらを管理センタ１０４に要求する（ステップＳ６０４）。

これにより、ゲートウェイ１２２は、管理センタ１０４からスパム判定に必要な検出ルールと抽出データを取得し（ステップＳ６０５）、検出ルール管理手段１８６により取得した検出ルールと抽出データを保存する（ステップＳ６０６）。

次に、スパム判定手段１８８は、保存された検出ルールに基づき、電子メール１０２のメールデータから判定データを抽出する（ステップＳ６０７）。判定データが抽出されると、スパム判定手段１８８は、検出ルール管理手段１８６に保存された抽出データが電子メール１０２の判定データと一致するか否かを判定する（ステップＳ６０８）。判定データと一致すると判定されたとき、電子メール１０２は、スパムメールと判定される（ステップＳ６０９）。判定データと一致しないと判定されたとき、電子メール１０２は、必要な電子メールを判定され（ステップＳ６１０）、電子メール送付部１７６によりメールサーバ１２４に送付される。ステップ６０８において、判定データが抽出データに一致しないと判定されたとき、第１のスパム判定動作と同様に、設定された回数や時間間隔に従い、判定動作を繰り返すことができる。最後に、スパム判定に利用された検出ルールと抽出データは、ローカルキャッシュ１７２に格納され、一定期間保持される。

上記実施例では、管理センタとゲートウェイは、スパムメールを検出するための検出ルールと該当する抽出データを管理していたが、これに限らず、スパムメール以外の必要な電子メールを検出するための検出ルールと該当する抽出データを管理してもよい。

上記実施例によれば、スパムメールをリアルタイムで判定することができ、ゲートウェイ側でスパムメールの判定処理を行うため、管理センタにスパムメールの判定処理が集中することがなく、当該判定処理を分散することができる。さらに、アウトライン情報が流出したとしても、電子メールのメッセージ内容が漏洩することはない。

上記実施例は例示的なものであり、これによって本発明の範囲が限定的に解釈されるべきものではなく、本発明の構成要件を満足する範囲内で他の方法によっても実現可能であることは言うまでもない。

本発明に係る電子メール処理システムは、スパイウェアやウィルス等のマルウェアを検出するサーバにおいて利用することができる。

本実施例に係る電子メール処理システムの構成例を示すブロック図である。 電子メール処理システムの他の構成例を示すブロック図である。 管理センタの構成例を示すブロック図である。 本実施例に係る管理センタの機能的な構成例を示すブロック図である。 スパムメールの表示例を示す図である。 ヘッダ部のソースコード例を示す図である。 図５（ａ）は、アウトライン生成動作を示すフローチャートである。図５（ｂ）は、抽出データの抽出動作を示すフローチャートである。 データベースの構築動作を示すフローチャートである。 データベースのデータ構造を示す図である。 ゲートウェイの構成例を示すブロック図である。 本実施例に係るゲートウェイの機能的な構成例を示すブロック図である。 本実施例に係る電子メール処理システムによるスパム判定動作を示すフローチャートである。 検出ルールと抽出データを得るための同期化を説明する概念図である。 管理センタ問合せによるゲートウェイの第１の同期化を含むスパム判定動作を示すフローチャートである。 管理センタ問合せによるゲートウェイの第２の同期化を含むスパム判定動作を示すフローチャートである。 第１のスパム防御システムの構成例を示す図である。 第２のスパム防御システムの構成例を示す図である。

１００：電子メール処理システム １０２：電子メール
１０４：管理センタ １０６：電子メールシステム
１０８：ユーザＰＣ １２２：ゲートウェイ
１２４：メールサーバ １３０：スパム収集システム
１３２：データベース １３４：受付応答部
１３６：制御部 １５０：アウトライン抽出部
１５２：データ抽出手段 １５４：アウトライン／検出ルール設定手段
１５６：同期化手段 １７０：電子メール取得部
１７２：ローカルキャッシュ １７４：要求応答部
１７６：電子メール送付部 １７８：制御部
１８０：アウトライン抽出手段 １８２：要求手段
１８４：同期化手段 １８６：検出ルール管理手段
１８８：スパム判定手段

Claims (13)

1. スパムメールを処理可能な電子メール処理装置であって、
   受信した電子メールの外観的特徴を示すアウトライン情報を抽出する第１のアウトライン抽出手段と、
   前記アウトライン情報に基づきスパムメールを検出するためのスパム検出情報の送信を外部に要求する要求手段と、
   外部からスパム検出情報を受信する受信手段と、
   電子メールの内容が対応するスパム検出情報に該当するとき、当該電子メールがスパムメールであると判定する判定手段とを有し、
   前記第１のアウトライン抽出手段は、電子メールの本文、送信者および送信アドレス、受信者および受信アドレスを除く外観情報をアウトライン情報として抽出し、
   前記スパム検出情報は、スパムメールからデータを抽出するための検出ルールと当該検出ルールを用いてスパムメールから抽出された抽出データとの対を含み、当該対はアウトライン情報に関連付けされ、
   前記判定手段は、検出ルールに基づき電子メールから抽出された判定データと前記スパム検出情報に含まれる対応する抽出データとが一致もしくは近似するか否かを判定し、
   前記判定手段により電子メールがスパムメールでないと判定されたとき、前記要求手段は、外部に対し前記アウトライン情報を送信することにより更新されたスパム検出情報を要求する、電子メール処理装置。
2. 電子メール処理装置はさらに、アウトライン情報と当該アウトライン情報に対応するスパム検出情報のセットを複数保持する保持手段を含む、請求項１に記載の電子メール処理装置。
3. 前記アウトライン情報は、電子メールの行数、添付ファイル、電子メールの形式、および電子メールの言語に関する情報の少なくとも１つを含む、請求項１に記載の電子メール処理装置。
4. 前記検出ルールは、ＵＲＬ、特定箇所の文字列、メールアドレス、ＨＴＭＬ要素の並び、添付ファイル、本文のソート結果、サンプリング、スパムメールを検出するための規則に従った文字列の少なくとも１つを含む前記抽出データを抽出するためのルールである、請求項１ないし３いずれか１つに記載の電子メール処理装置。
5. 前記抽出データは、ＵＲＬ、特定箇所の文字列、メールアドレス、ＨＴＭＬ要素の並び、添付ファイル、本文のソート結果、サンプリング、スパムメールを検出するための規則に従った文字列の少なくとも１つを含む、請求項１ないし４いずれか１つに記載の電子メール処理装置。
6. 電子メール処理装置はさらに、前記保持手段の内容を外部データベースと同期化するための同期化手段を含み、前記同期化手段は、前記保持手段が保持するアウトライン情報およびこれに対応するスパム検出情報を外部データベースに送信し、かつ前記受信手段を介して受信されたスパム検出情報の差分を前記保持手段に保持させる、請求項１ないし５いずれか１つに記載の電子メール処理装置。
7. 電子メール処理装置はさらに、前記保持手段の保持内容を外部データベースと同期化するための同期化手段を含み、前記同期化手段は、前記保持手段が保持するアウトライン情報を外部データベースに送信し、前記受信手段を介してアウトライン情報に対応するスパム検出情報の識別情報を受信し、かつ受信した識別情報に基づき前記保持手段が保持していない差分のスパム検出情報の送信を外部データベースに要求する、請求項１ないし６いずれか１つに記載の電子メール処理装置。
8. スパムメールを処理可能な電子メール処理システムであって、
   請求項１ないし７いずれか１つに記載の電子メール処理装置と、
   ネットワークを介して電子メール処理装置に接続された管理センタとを含み、
   前記管理センタは、
   スパムメールを収集する収集手段と、
   収集されたスパムメールの外観的特徴を示すアウトライン情報を抽出する第２のアウトライン抽出手段と、
   スパムメールからデータを抽出するための検出ルールに基づき、スパムメールからデータを抽出する抽出データ抽出手段と、
   前記検出ルールと前記抽出データとの対を含むスパム検出情報をアウトライン情報毎に設定する設定手段と、
   設定されたアウトライン情報とこれに対応するスパム検出情報を記憶するデータベースと、
   電子メール処理装置の要求手段からのアウトライン情報に基づき、データベースの記憶されたスパム検出情報を送信する送信手段とを有し、
   前記第２のアウトライン抽出手段は、スパムメールの本文、送信者および送信アドレス、受信者および受信アドレスを除く外観情報をアウトライン情報として抽出する、電子メール処理システム。
9. 前記アウトライン情報は、スパムメールの行数、添付ファイル、スパムメールの形式、およびスパムメールの言語に関する情報の少なくとも１つを含む、請求項８に記載の電子メール処理システム。
10. 電子メールを処理する電子メール処理方法であって、
    受信した電子メールの本文の行数を含むアウトライン情報を抽出するステップと、
    前記アウトライン情報に対応するスパム検出情報であって、当該スパム検出情報は、スパムメールからデータを抽出するための検出ルールと当該検出ルールを用いてスパムメールから抽出された抽出データとの対を含んでおり、当該スパム検出情報をメモリから読み出すステップと、
    読み出された検出ルールに従い、前記電子メールから判定データを抽出するステップと、
    前記判定データが、前記抽出データに一致もしくは近似したとき、前記電子メールをスパムメールであると判定するステップと、
    電子メールがスパムメールでないと判定されたとき、外部データベースに対し前記アウトライン情報を送信することにより更新されたスパム検出情報を要求するステップと、
    更新された検出ルールに基づき前記電子メールから判定データを抽出し、当該判定データを更新された抽出データと比較することにより、電子メールがスパムメールか否かを再判定するステップと、を有する電子メール処理方法。
11. 電子メール処理方法はさらに、外部データベースから受信した更新された検出ルールと抽出データを含むスパム検出情報を前記メモリに記憶し、外部データベースと前記メモリを同期化するステップを含む、請求項１０に記載の電子メール処理方法。
12. 電子メールを処理する電子メール処理プログラムであって、
    受信した電子メールの外観的特徴を示すアウトライン情報を抽出するステップと、
    抽出されたアウトライン情報に対応するスパム検出情報であって、当該スパム検出情報は、スパムメールからデータを抽出するための検出ルールと当該検出ルールを用いてスパムメールから抽出された抽出データとの対を含んでおり、当該スパム検出情報をメモリから検索するステップと、
    検索されたスパム検出情報の検出ルールに従い、前記電子メールから判定データを抽出するステップと、
    前記判定データと抽出データとを比較することにより、電子メールがスパムメールに該当するか否かを判定する判定ステップと、
    スパムメールに該当しないと判定されたとき、アウトライン情報を送信することにより更新されたスパム検出情報の送信を外部データベースに要求するステップと、
    外部データベースから受信した更新されたスパム検出情報に基づき電子メールがスパムメールに該当するか否かを判定する判定する第２の判定ステップと、
    を有する電子メール処理プログラム。
13. 前記外観的特徴は、電子メールの本文の行数を含み、前記判定ステップは、対応する検出ルールを用いて受信した電子メールから検出された判定データが前記抽出データに一致もしくは近似するか否かを判定する、請求項１２に記載の電子メール処理プログラム。

Images