JP6053568B2 - ネットワークフローデータプロファイルからのスパムメール送信ホストの検知方式とシステム - Google Patents

Description

本発明は、一般に、データ解析、ネットワーク及び情報セキュリティ、機械学習に関する。

スパムメール送信ホストとは、未承諾広告及び／又は電子メールメッセージを提供するメールサーバである。このようなスパムメール送信ホストは、広告をユーザの目に触れさせるためのみに存在する。

スパムメール送信ホストの検出方法として、様々なものが提案されている。既存の検出方法は、スパムメール検出判定規則をどのように構築するかによって、エキスパートシステムによるものと、教師付き学習によるものと、の２種類に大きく分類できる。エキスパートシステムによる方法においては、新規ホストがスパムメール送信元かどうかを判定するために用いる規則を専門家が作成し、その規則が利用される。このような規則は、ペイロードの特性及びトラフィックの特性のいずれか若しくは両者の組み合わせ、又は、ボットネットの構成等スパムメール送信元をホスティングするネットワーク基盤に由来する特性、から導き出すことができる。このアプローチを採用するシステムの主な弱点として、時間の経過と共にトラフィックの特性が変化した場合に将来的なトラフィックへの順応性を欠く点、特定の特性はネットワークによって、大きく異なることから新規のネットワークへの移植性がない点、専門家は自身が把握している事象に対応した規則しか提供できないため判定規則がカバーできる範囲が限られる点、規則の修正が手作業のため困難な点が挙げられる。

教師付き学習による方法はより柔軟で、エキスパートシステムによる方法の弱点の多くが解決されている。ＩＰアドレスのみによって、ホストをクラスタ化したＩＰレベルクラスタに基づいてスパムメール送信元を特定するアプローチも存在し、このアプローチはスパムメール送信元と同じＩＰアドレスの一部を使用するホストにのみ適用される。

教師付き学習によるアプローチでは、まず、スパムメール送信元又は非スパムメール送信元としてそれぞれラベル付けしたホストと、該ホストのトラフィックのパターン（トレーニングデータ）と、を収集し、新規ホストをスパムメール送信元又は非スパムメール送信元として分類するための判定規則を自動的に学習する。このアプローチは、新規ホストのトラフィックのパターンがトレーニングデータのものと同様である間は良好に機能するが、新しいトラフィックのパターンが生じると共にパフォーマンスが低下する。この新しいパターンは、スパムメール送信元及び非スパムメール送信元のいずれにも該当しうる。
また、教師付き学習によるアプローチでは概念カテゴリが学習されず、当初のトレーニングデータにインスタンスが含まれるカテゴリの分類を学習するため、トラフィックのパターンが当初収集したデータから乖離し始めた場合にもパフォーマンスが低下する。
更に、現実には取得が困難な、スパムメール送信ホストとその挙動についての高度に選別された収集データが必要という弱点もある。実際には、スパムメール送信元自体が特定されていても、そのトラフィックのパターンは判明していない場合もある。
一方、多くのホストのトラフィックのパターンは観測可能でも、それらがスパムメール送信元かどうか不明な場合もある。

米国特許出願公開第２００９／２５４９８９号明細書

既存の検出方法では、スパムメール送信ホストの不変の特性についての非経験的な知識、又は、どのホストがスパムメール送信元かについての明示的な知識が前提とされている。スパムメール送信元の特性は時間と共に変化するため、また、どのホストが実際にスパムメール送信元かを判断できるとは限らないため、上記のいずれに基づいた方法も現実的でない。現在も、スパムメール送信元の検出は、困難かつ未解決の問題である。

様々なポートや宛先アドレスに向けてホストが送信するトラフィックのパターンをクラスタ化して、インターネット上のスパムメール送信ホストを検出する新規な技術を提案する。本技術により、上記の両方法の弱点が解決される。この新規技術では、既知のラベルや、同じホストの組におけるトラフィックのパターンを必要としない。
本アプローチでは、スパムメール送信元が含まれるか否かの知識を必要とすることなく、ネットワークトラフィック上に観測されるすべてのホスト及びトラフィックのパターンを利用でき、トラフィックのパターンの類似性に基づいてすべてのホストが自動的にクラスタ化される。
本アプローチでは、固定された（又は非経験的に決定された）カテゴリの概念を用いないため、スパムメール送信元及び非スパムメール送信元という新規なサブカテゴリを提供できる。

ネットワークフローデータプロファイルからスパムメール送信ホストを検知する方法は、１又は複数のクラスタプロファイルを構築し、スパムメール送信ホストを検知する。クラスタプロファイルの構築は、複数のホストからネットワークフローデータを観測する手順と、該複数のホストのそれぞれについて、該ホストに関連付けられた該ネットワークフローデータを多次元ベクトルとして表す手順と、該複数のホストのベクトル表現をクラスタリングし複数のクラスタプロファイルとする手順と、各クラスタプロファイルを、１又は複数のブラックリスト及び１又は複数のホワイトリストの少なくともいずれかを用いてラベル付けする手順と、各クラスタプロファイルのラベル付けの信頼性を算出する手順と、を含む。スパムメール送信ホストの検出は、新規ホストから該ネットワークフローデータを観測する手順と、該新規ホストに関連付けられた該ネットワークフローデータを多次元ベクトルとして表す手順と、該新規ホストの該新規の多次元ベクトルを、該１又は複数のクラスタプロファイルのうち１つに配置する手順と、を含む。

ネットワークフローデータプロファイルからスパムメール送信ホストを検知するシステムは、ＣＰＵとモジュールとを備え、１又は複数のクラスタプロファイルを構築し、スパムメール送信ホストを検知する。クラスタプロファイルの構築は、複数のホストからネットワークフローデータを観測する手順と、該複数のホストのそれぞれについて、該ホストに関連付けられた該ネットワークフローデータを多次元ベクトルとして表す手順と、該複数のホストのベクトル表現をクラスタリングし複数のクラスタプロファイルとする手順と、各クラスタプロファイルを、１又は複数のブラックリスト及び１又は複数のホワイトリストの少なくともいずれかを用いてラベル付けする手順と、各クラスタプロファイルのラベル付けの信頼性を算出する手順と、を含む。スパムメール送信ホストの検出は、新規ホストから該ネットワークフローデータを観測する手順と、該新規ホストに関連付けられた該ネットワークフローデータを多次元ベクトルとして表す手順と、該新規ホストの該新規の多次元ベクトルを、該１又は複数のクラスタプロファイルのうち１つに配置する手順と、を含む。

本発明の一側面によれば、該各クラスタプロファイルをラベル付けする手順が、該複数のクラスタプロファイル内の各ホストを該ブラックリスト及び該ホワイトリストと照合する手順と、該クラスタプロファイル内のホストに基づいて、ブラックリスト内の一致ホスト数及びホワイトリスト内の一致ホスト数を算出する手順と、該ブラックリスト内の一致ホスト数が閾値よりも多い場合に、該クラスタプロファイルをスパムメール送信元としてラベル付けする手順と、該ホワイトリスト内の一致ホスト数が閾値よりも多い場合に、該クラスタプロファイルを非スパムメール送信元としてラベル付けする手順と、を含む。
本発明の一側面によれば、該新規の多次元ベクトルを配置する手順が、該新規の多次元ベクトルを該複数のクラスタのそれぞれと照合する手順と、該新規多次元ベクトルを、最も近い中心を有するクラスタに配置する手順と、を含む。

本願による１又は複数の方法をコンピュータに実行させるための実行可能な命令群からなるプログラムを格納する、コンピュータ読み取り可能な記憶媒体も提供される。

本発明のプロファイル構築フェーズのフローチャートである。 本発明のスパムメール送信元検出フェーズのフローチャートである。 本発明のシステムの概略図である。

以下の詳細な説明では、図面を参照し、発明を限定するものではない実施形態を用いて、本発明を更に説明する。図面における類似の参照番号は、同様の構成要素を指すものである。ただし、本発明は、特定の構成や手段に限定されるものではない。

スパムメール送信ホストの検出の必要性に対応する、新規な方法を提案する。本方法は、（ｉ）図１に示すプロファイル構築フェーズと、（ｉｉ）図２に示すスパムメール送信ホスト検出フェーズの２つの部分からなる。
図１に示すプロファイル構築フェーズは、通常、オフライン（非リアルタイム）で実装可能であるが、該フェーズをオンラインで、リアルタイムモードで実行することで、プロファイルを更新できる。スパムメール送信ホスト検出フェーズは、オンラインでリアルタイムに実行可能である。プロファイル構築フェーズでは、様々なホストが様々なポートや宛先アドレスに向けて送出するトラフィックのパターンをクラスタ化する。スパムメール送信ホスト検出フェーズでは、プロファイル構築フェーズで構築されたクラスタに、新規ホストのプロファイルを割り当てる。この２つのフェーズの動作を以下に説明する。

図１に示すプロファイル構築フェーズでは、ステップＳ１１で、潜在的なスパムメール送信ホストのそれぞれから、異なる宛先ポートへのフローを観測しサンプリングする。実施形態では、ポート２５に宛ててトラフィックを送出するホストを潜在的なスパムメール送信元と見なす。ただし、潜在的なスパムメール送信元の決定には、他の基準を用いてもよい。
ステップＳ１２では、ステップＳ１１で決定した潜在的なスパムメール送信元又はスパムメール送信ホストに関連付けられたフローデータを一定期間にわたって集約し、多次元ベクトルとして表す、及び／又は多次元ベクトルに変換する。このようなベクトルはそれぞれ１つのホストを表す。

ステップＳ１３では、ｋ−ｍｅａｎｓクラスタリングアルゴリズム等のクラスタリングアルゴリズムを用いて、ベクトルを複数のクラスタに分類する。クラスタの数は、データのクラスタリングを複数回学習することにより自動的に決定され、同一クラスタ内のホストは同様のフローデータのプロファイルを示し、かつ、異なるクラスタのホストは異なるフローデータのプロファイルを示すように選択される。

ステップＳ１４では、クラスタは１又は複数のＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｅｒｖｉｃｅ）ブラックリスト及びホワイトリストを用いてラベル付けされる。このラベル付けは、クラスタ内のホストアドレスとＤＮＳブラックリスト及び／又はホワイトリスト内のホストアドレスとの一致を解析し、同一クラスタ内の均質性を評価する。
また、ＤＮＳブラックリスト若しくはホワイトリスト又はそれらの混合内のホストアドレスとの一致の数に基づいて、クラスタのラベル付けの信頼性を示す数値を算出する。信頼性の値が高ければ、クラスタのラベル付けの確実性が高い。この信頼性の値は、スパムメール送信ホスト検出ステージで、新規ホストのプロファイルをラベル付けされたクラスタに割り当てする際に用いられる。
ステップＳ１５では、ＤＮＳブラックリストに一致するクラスタ内のホストの数が閾値を超えているかどうかを判定する。ある実施形態では、この閾値は０．５以上と設定してよい。また、ある実施形態では、残りのホストがホワイトリストに載っていない場合にこの閾値を変更してよい。ブラックリストに一致するクラスタ内のホストの数が閾値を超えている場合（Ｓ１５＝ＹＥＳ）、そのクラスタはステップＳ１６において、スパムメール送信クラスタとしてラベル付けされる。
ステップＳ１７では、ベクトルの平均がそのクラスタ内のホストのプロファイルを示すように、各クラスタの原型が計算される。幾何学的に、平均ベクトルはクラスタの中心に対応する。

ブラックリストに一致するクラスタ内のホストの数が閾値を超えない場合（Ｓ１５＝ＮＯ）、ＤＮＳホワイトリストに一致するホストの数が閾値を超えているかどうかを判定する。閾値を超えている場合（Ｓ１８＝ＹＥＳ）、そのクラスタはステップＳ１９において、非スパムメール送信クラスタとしてラベル付けされる。
ステップＳ１７で、次のクラスタの処理を続ける。

各ホストに対し、ステップＳ１１及びステップＳ１２を行う。
各クラスタに対し、ステップＳ１４〜ステップＳ１９を適宜行う。

図２は、本発明のスパムメール送信元検出フェーズのフローチャートである。
ステップＳ２１では、新規ホスト（例えば、未処理のホスト）を観測し、異なる宛先ポートに宛てた生のフローデータをサンプリングする。更に、この新規ホストに関連付けられた生のフローデータを多次元ベクトルに変換する。

ステップＳ２２では、該新しいベクトルをクラスタと比較する。
ステップＳ２３では、該新しいベクトルをクラスタに割り当てる。該割り当てはクラスタ中心の位置に基づいて行われる。通常、該新しいベクトルは、該新しいベクトルに最も近い中心を持つクラスタに割り当てられる。該割り当てでは、該新しいベクトルのラベル付けをクラスタからコピーし、該クラスタがスパムメール送信クラスタとしてラベル付けされている場合には（該ベクトルにより表される）新しいホストをスパムメール送信元としてラベル付けし、該クラスタが非スパムメール送信クラスタとしてラベル付けされている場合には（該ベクトルにより表される）新しいホストを非スパムメール送信元としてラベル付けする。

図１のステップＳ１４で収集される情報と実行される処理とは、図２のステップＳ２３と基本的に同じものである。ただし、図２のステップＳ２３では、単にクラスタをラベル付けするためだけでなく、新規スパムメール送信元の検出のためにクラスタを用いている。つまり、ステップＳ１４では、クラスタのラベル付けが得られ、ステップＳ２３では、クラスタのラベル付けを用いて新規ホストについての判別を行う。

同様に、図１のステップＳ１１及びステップＳ１２で収集される情報と実行される処理とは、図２のステップＳ２１と基本的に同じものである。ただし、これらのステップの目的は、プロファイル構築フェーズとスパムメール送信元検出フェーズとで異なる。スパムメール送信元検出フェーズでは、クラスタのラベル付けに加えて、原型（例えば、クラスタ中心又は平均）を用いて新規ホストがスパムメール送信元かどうかを判断する。

この新規なスパムメール送信元検出の技術では、ラベルや、同じホストの組におけるトラフィックのパターンに関する知識を必要としない。実際に、本アプローチでは、スパムメール送信元が含まれるか否かが不明でも、ネットワークトラフィック上に観察されるすべてのホスト及びトラフィックのパターンを利用できる。トラフィックのパターンの類似性に基づいて、ホストは自動的にクラスタ化される。
本アプローチでは、固定された（又は非経験的に決定された）カテゴリの概念を用いないため、スパムメール送信元及び非スパムメール送信元という新規なサブカテゴリを採用できる。更に、新しいサブカテゴリの出現を検出するために、この新規な方法を定期的に、自動的に繰り返してもよい。
本アプローチでは、ネットワークフローを分析し、トラフィックの特性に関する仮定を最低限に抑えているため、高速かつ汎用的である。本アプローチの速度で、大規模ネットワーク内でもスパムメール送信ホストを検出できる。

この新規な方法では、自動的に抽出したクラスタ及びカテゴリのラベル付けのためだけにＤＮＳブラックリスト及びＤＮＳホワイトリストを用いる。新規ホストは、クラスタ中心からの距離を基にクラスタに割り当てられ、その後、クラスタのラベルがホストに適用される。

図３は、本発明のシステムの概略図である。
本システムには、ＣＰＵ１０と、メモリ１２と、インターネット上の複数のホスト１４と、が含まれる。ホスト１４として３台のホストが図示されているが、ホストは何台でもよい。
この新規なシステムでは、ホストがインターネット（図示せず）上でＣＰＵ１０に宛てて情報を送信する。該ＣＰＵは、図１及び図２に示したステップを行うモジュールを実行できる。該ＣＰＵは、生成された多次元ベクトルをメモリ１２に記憶できる。

本開示の様々な局面は、コンピュータ、プロセッサ、及び／又は機械において、実行された場合に、コンピュータ又は機械に上記方法のステップを行わせる、コンピュータ又はコンピュータ利用／読取可能な媒体に実装又は格納されたプログラム、ソフトウェア、命令として実施可能である。
本開示で説明した様々な機能や方法を行うための、機械で実行可能な命令群からなるプログラムを具体化したものである機械読取可能なプログラム記憶デバイス（例えば、コンピュータ読取可能な媒体）もまた、本発明により提供される。

本開示のシステム及び方法は、汎用コンピュータシステム又は専用コンピュータシステムにおいて、実装及び実行可能である。
コンピュータシステムは、現時点若しくは将来的に提供されるシステムであればどのようなものでもよく、典型例として、プロセッサ、メモリ装置、記憶装置、入出力装置、内部バス、及び／又は通信ハードウェア及びソフトウェアを介して他のコンピュータシステムと通信する通信インターフェイス、等が挙げられる。
本システムは、広く「クラウド」として知られる仮想コンピュータシステムにも実装可能である。

コンピュータ読取可能媒体は、コンピュータ読取可能記憶媒体、又はコンピュータ読取可能信号媒体であってよい。コンピュータ読取可能記憶媒体の例としては、磁気、光学、電気、電磁、赤外線、半導体によるシステム、機器、若しくは装置、又はこれらの適切な組み合わせが挙げられるが、これらの例に限定されるものではない。コンピュータ読取可能記憶媒体の具体例としては、可搬型コンピュータディスケット、ハードディスク、磁気記憶装置、可搬型コンパクトディスク読み取り専用メモリ（ＣＤ−ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭ、フラッシュメモリ）、１若しくは複数の電線を含む電気的接続、光ファイバ、光学記憶装置、又はこれらの適切な組み合わせが挙げられるが、これらの例に限定されるものではない。命令実行システム、機器、装置によって、若しくはこれらと連携して、用いられるプログラムを含むことができる又は記憶できる有形の媒体であれば、コンピュータ読取可能記憶媒体として用いることができる。

本願で用いられる「コンピュータシステム」及び「コンピュータネットワーク」という用語には、固定型及び／又は可搬型のコンピュータハードウェア、ソフトウェア、外部機器、記憶装置の様々な組み合わせが含まれてよい。該コンピュータシステムには、ネットワークに接続された、若しくは互いにリンクされ協調して機能する複数の部品、又は１若しくは複数のスタンドアロン部品が含まれてよい。本願における該コンピュータシステムのハードウェア及びソフトウェア部品は、デスクトップ、ラップトップ、及び／又はサーバ、サーバネットワーク（クラウド）等の固定型及び可搬型の装置を含んでよく、また、これらに含まれてよい。モジュールは、装置、ソフトウェア、プログラム、又は、所定の機能を実装するシステムの部品であってよく、ソフトウェア、ハードウェア、ファームウェア、電気回路等として実施される。

上記実施形態は説明のための例示にすぎず、本発明はそれらの特定の実施形態に限定されるものではない。請求の範囲に記載された本発明の要旨を逸脱しない範囲において、当業者により種々の改良及び変更が可能である。

１０ ＣＰＵ
１２ メモリ
１４ ホスト

Claims (9)

1. ネットワークフローデータプロファイルからスパムメール送信ホストを検知する方法であって、
   前記方法は、１又は複数のクラスタプロファイルを構築する手順と、スパムメール送信ホストを検出する手順とを含み、
   前記１又は複数のクラスタプロファイルを構築する手順は、
   １又は複数のホストからネットワークフローデータを観測する手順と、
   前記１又は複数のホストのそれぞれについて、該ホストに関連付けられた前記ネットワークフローデータを多次元ベクトルとして表す手順と、
   前記１又は複数のホストの前記１又は複数のベクトルをクラスタリングし複数のクラスタプロファイルとする手順と、
   各クラスタプロファイルを、１又は複数のブラックリスト及び１又は複数のホワイトリストの少なくともいずれかを用いてラベル付けする手順と、
   各クラスタプロファイルのラベル付けの信頼性を算出する手順と、を含み、
   スパムメール送信ホストを検出する手順は、
   新規ホストから前記ネットワークフローデータを観測する手順と、
   前記新規ホストに関連付けられた前記ネットワークフローデータを多次元ベクトルとして表す手順と、
   前記新規ホストの新規の多次元ベクトルを、前記１又は複数のクラスタプロファイルのうち１つに配置する手順と、を含む、ことを特徴とする方法。
2. 請求項１に記載の方法であって、
   前記各クラスタプロファイルをラベル付けする手順は、
   前記複数のクラスタプロファイル内の各ホストを前記ブラックリスト及び前記ホワイトリストと照合する手順と、
   前記クラスタプロファイル内のホストに基づいて、ブラックリスト内の一致ホスト数及びホワイトリスト内の一致ホスト数を算出する手順と、
   前記ブラックリスト内の一致ホスト数が閾値よりも多い場合に、前記クラスタプロファイルをスパムメール送信元としてラベル付けする手順と、
   前記ホワイトリスト内の一致ホスト数が閾値よりも多い場合に、前記クラスタプロファイルを非スパムメール送信元としてラベル付けする手順と、
   を含むことを特徴とする方法。
3. 請求項１に記載の方法であって、
   前記新規の多次元ベクトルを配置する手順は、
   前記新規の多次元ベクトルを前記複数のクラスタのそれぞれと照合する手順と、
   前記新規の多次元ベクトルを、最も近い中心を有するクラスタに配置する手順と、
   を含むことを特徴とする方法。
4. ネットワークフローデータプロファイルからスパムメール送信ホストを検知する方法をコンピュータに実行させるための実行可能な命令群からなるプログラムを格納する、コンピュータ読み取り可能な記憶媒体であって、
   前記方法は、１又は複数のクラスタプロファイルを構築する手順と、スパムメール送信ホストを検出する手順とを含み、
   前記１又は複数のクラスタプロファイルを構築する手順は、
   １又は複数のホストからネットワークフローデータを観測する手順と、
   前記１又は複数のホストのそれぞれについて、該ホストに関連付けられた前記ネットワークフローデータを多次元ベクトルとして表す手順と、
   前記１又は複数のホストの前記１又は複数のベクトルをクラスタリングし複数のクラスタプロファイルとする手順と、
   各クラスタプロファイルを、１又は複数のブラックリスト及び１又は複数のホワイトリストの少なくともいずれかを用いてラベル付けする手順と、
   各クラスタプロファイルのラベル付けの信頼性を算出する手順と、を含み、
   前記スパムメール送信ホストを検出する手順は、
   新規ホストから前記ネットワークフローデータを観測する手順と、
   前記新規ホストに関連付けられた前記ネットワークフローデータを多次元ベクトルとして表す手順と、
   前記新規ホストの新規の多次元ベクトルを、前記１又は複数のクラスタプロファイルのうち１つに配置する手順と、を含むコンピュータ読み取り可能な記憶媒体。
5. 請求項４に記載のコンピュータ読み取り可能な記憶媒体であって、
   前記各クラスタプロファイルをラベル付けする手順は、
   前記複数のクラスタプロファイル内の各ホストを前記ブラックリスト及び前記ホワイトリストと照合する手順と、
   前記クラスタプロファイル内のホストに基づいて、ブラックリスト内の一致ホスト数及びホワイトリスト内の一致ホスト数を算出する手順と、
   前記ブラックリスト内の一致ホスト数が閾値よりも多い場合に、前記クラスタプロファイルをスパムメール送信元としてラベル付けする手順と、
   前記ホワイトリスト内の一致ホスト数が閾値よりも多い場合に、前記クラスタプロファイルを非スパムメール送信元としてラベル付けする手順と、を含むコンピュータ読み取り可能な記憶媒体。
6. 請求項４に記載のコンピュータ読み取り可能な記憶媒体であって、
   前記新規の多次元ベクトルを配置する手順は、
   前記新規の多次元ベクトルを前記複数のクラスタと照合する手順と、
   前記新規の多次元ベクトルを、最も近い中心を有するクラスタに配置する手順と、を含むコンピュータ読み取り可能な記憶媒体。
7. ネットワークフローデータプロファイルからスパムメール送信ホストを検知するシステムであって、
   前記システムは、ＣＰＵと、
   １又は複数のクラスタプロファイルを構築し、スパムメール送信ホストを検出するために操作可能なモジュールとを備え、
   前記モジュールは、前記クラスタプロファイルを構築するために、
   １又は複数のホストからネットワークフローデータを観測する手段と、
   前記１又は複数のホストのそれぞれについて、該ホストに関連付けられた前記ネットワークフローデータを多次元ベクトルとして表す手段と、
   前記１又は複数のホストの前記１又は複数のベクトルをクラスタリングし複数のクラスタプロファイルとする手段と、
   各クラスタプロファイルを、１又は複数のブラックリスト及び１又は複数のホワイトリストの少なくともいずれかを用いてラベル付けする手段と、
   各クラスタプロファイルのラベル付けの信頼性を算出する手段と、を含み、
   前記モジュールは、スパムメール送信ホストを検出するために、
   新規ホストから前記ネットワークフローデータを観測する手段と、
   前記新規ホストに関連付けられた前記ネットワークフローデータを多次元ベクトルとして表す手段と、
   前記新規ホストの新規の多次元ベクトルを、前記１又は複数のクラスタプロファイルのうち１つに配置する手順と、を含む、システム。
8. 請求項７に記載のシステムであって、
   前記各クラスタプロファイルをラベル付けする手段は、
   前記複数のクラスタプロファイル内の各ホストを前記ブラックリスト及び前記ホワイトリストと照合する手段と、
   前記クラスタプロファイル内のホストに基づいて、ブラックリスト内の一致ホスト数及びホワイトリスト内の一致ホスト数を算出する手段と、
   前記ブラックリスト内の一致ホスト数が閾値よりも多い場合に、前記クラスタプロファイルをスパムメール送信元としてラベル付けする手段と、
   前記ホワイトリスト内の一致ホスト数が閾値よりも多い場合に、前記クラスタプロファイルを非スパムメール送信元としてラベル付けする手段と、を含む、システム。
9. 請求項７に記載のシステムであって、
   前記新規の多次元ベクトルを配置する手段は、
   前記新規の多次元ベクトルを前記複数のクラスタのそれぞれと照合する手段と、
   前記前記新規の多次元ベクトルを、最も近い中心を有するクラスタに配置する手段と、を含む、システム。

Images