JP6266487B2 - メール情報抽出装置、メール判定リスト作成装置、メール情報抽出方法、メール判定リスト作成方法およびコンピュータプログラム - Google Patents

Description

本発明は、メール情報抽出装置、メール判定リスト作成装置、メール情報抽出方法、メール判定リスト作成方法およびコンピュータプログラムに関する。

従来、インターネット（Internet）を介してやり取りされる電子メール（以下、単にメールと称する）の送信者を偽称して送信される迷惑メールを判別する技術として、ＳＰＦ（Sender Policy Framework）方式が知られている（例えば、非特許文献１参照）。ＳＰＦ方式では、受信メールのメール送信元ドメインのＤＮＳ（Domain Name System）サーバに予め登録された送信者認証情報（ＳＰＦレコード）に基づいて、当該受信メールの送信者認証を行う。具体的には、受信メールのメール送信元ドメインのＤＮＳサーバに登録されている送信者認証情報に、当該受信メールが有する送信者情報が含まれている場合には当該受信メールの送信者認証が成功であると判定し、当該受信メールが有する送信者情報が含まれていない場合には当該受信メールの送信者認証が失敗であると判定する。

特開２０１４−６３４０２号公報

"Sender Policy Framework (SPF) for Authorizing Use of Domains in E-Mail"、［online］、［平成２６年９月９日検索］、インターネット＜ＵＲＬ：http://www.ietf.org/rfc/rfc4408.txt＞

上述した従来のＳＰＦ方式では、迷惑メール送信者が送信者ドメインを既存の正規なドメインに偽装して迷惑メールを送信することは防止できる。しかし、迷惑メール送信者が、独自のドメインを自ら取得し、該取得した独自のドメインの送信者認証情報に自身のメール送信サーバのアドレス等を登録して迷惑メールを送信した場合には、従来のＳＰＦ方式では、送信者認証が成功するため、そのような迷惑メールを検知できない。これに対処するために、本発明者は、特許文献１において、受信メールのメール送信元ドメインのＤＮＳサーバに登録されている送信者認証情報の包括的な特徴を利用して当該受信メールの送信者認証を行う従来技術（ここでは、迷惑メール判別方式Ａと称する）を提案した。具体的には、該包括的な特徴に基づいて、受信メールの迷惑メール判別に使用されるホワイトリストやブラックリストを作成している。

しかしながら、その迷惑メール判別方式Ａでは、ＤＮＳサーバに登録されている送信者認証情報の包括的な特徴が変わることでホワイトリストやブラックリストが更新されるが、これが弱点となり得る。例えば、実際のメール送信に使用される送信者情報（例えば、メール送信端末のＩＰ（Internet Protocol）アドレス）とは無関係な送信者認証情報が、ＤＮＳサーバに既に登録されている送信者認証情報に追加されたとする。すると、該ＤＮＳサーバに登録されている送信者認証情報の包括的な特徴が変わるが、この特徴の変化に基づいてホワイトリストやブラックリストが変更されると、変更後のホワイトリストやブラックリストには、実際のメール送信に使用される送信者情報とは無関係な送信者認証情報の特徴が反映される。これにより、該変更後のホワイトリストやブラックリストが有効に作用しなくなる可能性がある。

そこで、本発明者は、さらに、特願２０１４−１５４１８９において、既知迷惑メールに関する異なる二つのメール送信元ドメインの各ＤＮＳサーバに登録されている送信者認証情報の間で、それぞれの送信者認証情報を構成する送信者認証情報要素のうち、共通の送信者認証情報要素の組合せからブラックリストを作成するリスト作成方法を提案した。また、本発明者は、さらに、特願２０１４−１６０７５６において、メール送信元ドメインのＤＮＳサーバに登録されている送信者認証情報を構成する送信者認証情報要素の中で、実際の送信者ＩＰアドレスを包含する送信者認証情報要素からブラックリストを作成し、新たなメールを受信した際には、その受信メールのメール送信元ドメインのＤＮＳサーバに登録されている送信者認証情報内にブラックリストに記載される送信者認証情報要素があるか否かを検証することにより、迷惑メールを判定するメール判定方法を提案した。

本発明は、このような事情を考慮してなされたものであり、迷惑メールの判定に利用されるブラックリスト又はホワイトリスト等のメール判定リストの作成における負担の軽減に寄与できるメール情報抽出装置、メール判定リスト作成装置、メール情報抽出方法、メール判定リスト作成方法およびコンピュータプログラムを提供することを課題とする。

（１）本発明の一態様は、過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出するメール情報抽出部と、前記メール情報抽出部により抽出された各メールのメール情報であって、偽装が比較的困難な第１のメール情報と、偽装が比較的簡単な第２のメール情報とから、同じ前記第１のメール情報に対して複数の異なる前記第２のメール情報が組み合わされている前記第１のメール情報を抽出する特定情報抽出部と、を備えるメール情報抽出装置である。
（２）本発明の一態様は、上記（１）のメール情報抽出装置において、前記第１のメール情報はメール送信元ＩＰアドレスであり、前記第２のメール情報はメール送信元ホスト名である、メール情報抽出装置である。
（３）本発明の一態様は、上記（１）のメール情報抽出装置において、前記第１のメール情報はメールアドレスドメインであり、前記第２のメール情報はメッセージ識別子のホスト名部分である、メール情報抽出装置である。

（４）本発明の一態様は、過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出するメール情報抽出部と、前記メール情報抽出部により抽出された各メールのメール情報であって、偽装が比較的困難な第１のメール情報と、偽装が比較的簡単な第２のメール情報とから、同じ前記第１のメール情報に対して複数の異なる前記第２のメール情報が組み合わされている前記第１のメール情報を抽出する特定情報抽出部と、前記特定情報抽出部により抽出された前記第１のメール情報に基づいたメール判定リストを作成するリスト作成部と、を備えるメール判定リスト作成装置である。
（５）本発明の一態様は、上記（４）のメール判定リスト作成装置において、前記第１のメール情報はメール送信元ＩＰアドレスであり、前記第２のメール情報はメール送信元ホスト名である、メール判定リスト作成装置である。
（６）本発明の一態様は、上記（４）のメール判定リスト作成装置において、前記第１のメール情報はメールアドレスドメインであり、前記第２のメール情報はメッセージ識別子のホスト名部分である、メール判定リスト作成装置である。
（７）本発明の一態様は、上記（４）から（６）のいずれかのメール判定リスト作成装置において、前記リスト作成部は、前記特定情報抽出部により抽出された前記第１のメール情報のリストを作成するメール判定リスト作成装置である。
（８）本発明の一態様は、上記（５）のメール判定リスト作成装置において、前記メール情報抽出部により抽出されたメール情報である各メールのメール送信元ＩＰアドレスおよび送信元メールアドレスにおいて、前記特定情報抽出部により抽出されたメール送信元ＩＰアドレスと組になっている送信元メールアドレスから、メールアドレスドメインを抽出するメールアドレスドメイン抽出部と、前記メールアドレスドメイン抽出部により抽出されたメールアドレスドメインのＤＮＳ（Domain Name System）サーバに登録されるＳＰＦ（Sender Policy Framework）レコードを取得するＳＰＦレコード取得部と、前記ＳＰＦレコード取得部により取得されたＳＰＦレコードを使用して、メール判定リストを作成するリスト作成部と、を備えるメール判定リスト作成装置である。
（９）本発明の一態様は、上記（６）のメール判定リスト作成装置において、前記特定情報抽出部により抽出されたメールアドレスドメインのＤＮＳ（Domain Name System）サーバに登録されるＳＰＦ（Sender Policy Framework）レコードを取得するＳＰＦレコード取得部と、前記ＳＰＦレコード取得部により取得されたＳＰＦレコードを使用して、メール判定リストを作成するリスト作成部と、を備えるメール判定リスト作成装置である。

（１０）本発明の一態様は、メール情報抽出装置が、過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出するメール情報抽出ステップと、前記メール情報抽出装置が、前記メール情報抽出ステップにより抽出された各メールのメール情報であって、偽装が比較的困難な第１のメール情報と、偽装が比較的簡単な第２のメール情報とから、同じ前記第１のメール情報に対して複数の異なる前記第２のメール情報が組み合わされている前記第１のメール情報を抽出する特定情報抽出ステップと、を含むメール情報抽出方法である。
（１１）本発明の一態様は、メール判定リスト作成装置が、過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出するメール情報抽出ステップと、前記メール判定リスト作成装置が、前記メール情報抽出ステップにより抽出された各メールのメール情報であって、偽装が比較的困難な第１のメール情報と、偽装が比較的簡単な第２のメール情報とから、同じ前記第１のメール情報に対して複数の異なる前記第２のメール情報が組み合わされている前記第１のメール情報を抽出する特定情報抽出ステップと、前記メール判定リスト作成装置が、前記特定情報抽出ステップにより抽出された前記第１のメール情報に基づいたメール判定リストを作成するリスト作成ステップと、を含むメール判定リスト作成方法である。

（１２）本発明の一態様は、コンピュータに、過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出するメール情報抽出機能と、前記メール情報抽出機能により抽出された各メールのメール情報であって、偽装が比較的困難な第１のメール情報と、偽装が比較的簡単な第２のメール情報とから、同じ前記第１のメール情報に対して複数の異なる前記第２のメール情報が組み合わされている前記第１のメール情報を抽出する特定情報抽出機能と、を実現させるためのコンピュータプログラムである。
（１３）本発明の一態様は、コンピュータに、過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出するメール情報抽出機能と、前記メール情報抽出機能により抽出された各メールのメール情報であって、偽装が比較的困難な第１のメール情報と、偽装が比較的簡単な第２のメール情報とから、同じ前記第１のメール情報に対して複数の異なる前記第２のメール情報が組み合わされている前記第１のメール情報を抽出する特定情報抽出機能と、前記特定情報抽出機能により抽出された前記第１のメール情報に基づいたメール判定リストを作成するリスト作成機能と、を実現させるためのコンピュータプログラムである。

本発明によれば、迷惑メールの判定に利用されるブラックリスト又はホワイトリスト等のメール判定リストの作成における負担の軽減に寄与できるという効果が得られる。

本発明の一実施形態に係るメール判定リスト作成装置１の構成を示すブロック図である。 本発明の一実施形態に係るメール判定リスト作成方法のフローチャートである。 本発明の一実施形態に係るメール判定リスト作成方法の例１の手順を示すフローチャートである。 ＳＰＦレコードの例を示す図表である。 ＳＰＦレコードの例を示す図である。 ＳＰＦレコードの例を示す図である。 本発明の一実施形態に係るメール判定リスト作成方法の例２の手順を示すフローチャートである。 ＳＰＦレコードの例を示す図である。 本発明の一実施形態に係るメール判定リスト作成方法の例２を説明するための図である。 本発明の他の実施形態に係るメール判定リスト作成装置１の構成を示すブロック図である。 本発明の他の実施形態に係るメール判定リスト作成方法のフローチャートである。

以下、図面を参照し、本発明の実施形態について説明する。
図１は、本発明の一実施形態に係るメール判定リスト作成装置１の構成を示すブロック図である。図１において、メール判定リスト作成装置１は、メール送信元情報抽出部１０とメールアドレスドメイン抽出部２１とＳＰＦレコード取得部２２とリスト作成部２３とを備える。メール送信元情報抽出部１０は、メール情報抽出部１１と送信元ＩＰアドレス抽出部１２とを備える。

メール判定リスト作成装置１には、メールデータが入力される。メールデータは、過去にやり取りされた複数のメールについての各メールのヘッダ情報を有する。メールデータの一例として、過去にやり取りされたメール自身を集めたデータ（メール集合データ）が挙げられる。又は、メールデータの他の例として、受信メールサーバで作成された受信メールのログ（メールログ）が挙げられる。メールデータに含まれるヘッダ情報は、迷惑メールであるか否かが分からないメールのヘッダ情報であってよい。したがって、一般に取得可能なメール集合データ又はメールログをそのまま、メール判定リスト作成装置１への入力データに利用することができる。つまり、メール判定リスト作成装置１への入力データを準備するために、一般に取得可能なメール集合データ又はメールログから、既知の迷惑メールの情報のみを抽出する必要がない。

メール情報抽出部１１は、過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出する。送信元ＩＰアドレス抽出部１２は、メール情報抽出部１１により抽出されたメール情報である各メールのメール送信元ホスト名およびメール送信元ＩＰアドレスから、同じメール送信元ＩＰアドレスに対して複数のメール送信元ホスト名が組み合わされているメール送信元ＩＰアドレスを抽出する。送信元ＩＰアドレス抽出部１２は特定情報抽出部である。メール送信元ＩＰアドレスは、偽装が比較的困難な第１のメール情報である。メール送信元ホスト名は、偽装が比較的簡単な第２のメール情報である。

メールアドレスドメイン抽出部２１は、メール情報抽出部１１により抽出されたメール情報である各メールのメール送信元ＩＰアドレスおよび送信元メールアドレスにおいて、送信元ＩＰアドレス抽出部１２により抽出されたメール送信元ＩＰアドレスと組になっている送信元メールアドレスから、メールアドレスドメインを抽出する。ＳＰＦレコード取得部２２は、メールアドレスドメイン抽出部２１により抽出されたメールアドレスドメインのＤＮＳサーバに登録されるＳＰＦレコード（送信者認証情報）を取得する。

リスト作成部２３は、送信元ＩＰアドレス抽出部１２により抽出されたメール送信元ＩＰアドレスに基づいたメール判定リストを作成する。メール判定リスト作成装置１は、リスト作成部２３により作成されたメール判定リストを出力する。メール判定リストとして、例えば、迷惑メールを判定するブラックリスト、非迷惑メールを判定するホワイトリストなどが挙げられる。

図２は、本実施形態に係るメール判定リスト作成方法のフローチャートである。以下、図２を参照して、図１に示すメール判定リスト作成装置１の動作を説明する。

（ステップＳ１）メールデータがメール判定リスト作成装置１に入力される。

（ステップＳ２）メール情報抽出部１１は、メールデータに含まれる各メールのヘッダ情報から、メール送信元ホスト名とメール送信元ＩＰアドレスと送信元メールアドレスとを抽出する。メール送信元ホスト名およびメール送信元ＩＰアドレスは、Receivedヘッダに含まれている。以下に、Receivedヘッダの例を示す。
Received: from xxx.example.com (yyy.example.com [X.X.X.X]) by exampleXXX.com (Postfix) with・・・（以下省略）
このReceivedヘッダにおいて、「xxx.example.com」はメール送信元サーバが名乗るホスト名（メール送信元ホスト名）であるheloホスト名である。また、「X.X.X.X」はメール送信元サーバのＩＰアドレス（メール送信元ＩＰアドレス）である。また、「yyy.example.com」はメール送信元ＩＰアドレスの逆引きホスト名である。
送信元メールアドレスは、Fromヘッダ、Return-Pathヘッダ、またはRecent-Fromヘッダに含まれている。以下に、Return-Pathヘッダの例を示す。
Return-path: <test@example.co.jp>
このReturn-Pathヘッダにおいて、「test@example.co.jp」が送信元メールアドレスである。
上述したステップＳ２によって、メールデータから、メール毎に、メール送信元ホスト名とメール送信元ＩＰアドレスと送信元メールアドレスが抽出される。

（ステップＳ３）送信元ＩＰアドレス抽出部１２は、メール情報抽出部１１により抽出された各メールのメール送信元ホスト名およびメール送信元ＩＰアドレスから、所定のメール送信元ＩＰアドレス抽出条件に合うメール送信元ＩＰアドレスを抽出する。該メール送信元ＩＰアドレス抽出条件は、迷惑メールのメール送信元ＩＰアドレスを抽出するための条件として予め設定される。

ここで、本実施形態に係るメール送信元ＩＰアドレス抽出条件を説明する。一般的に、迷惑メール送信者は、メール送信元サーバに対して任意に設定できるheloホスト名を頻繁に変更するという特徴がある。メール送信元サーバのheloホスト名が頻繁に変更されると、メール送信元ＩＰアドレスが同一であっても、heloホスト名が異なる事象が散見される。そこで、本実施形態では、メール送信元ＩＰアドレス抽出条件として、同じメール送信元ＩＰアドレスに対してＮ個の異なるheloホスト名（メール送信元ホスト名）が組み合わされている該メール送信元ＩＰアドレスを抽出すること、とする。但し、heloホスト名としてＦＱＤＮ（Fully Qualified Domain Name：完全修飾ドメイン名）である場合には、少なくともドメイン名が異なることを、heloホスト名が異なることの条件とする。ＦＱＤＮは、ホスト名とドメイン名から構成される。

例えば、heloホスト名としてＦＱＤＮである例１として、
（事象Ａ）メール送信元ＩＰアドレス：「X.X.X.X」、heloホスト名：「a.example.com」
（事象Ｂ）メール送信元ＩＰアドレス：「X.X.X.X」、heloホスト名：「b.example.com」
とする。この例１において、事象Ａのheloホスト名（ＦＱＤＮ）はホスト名「ａ」とドメイン名「example.com」から構成されており、事象Ｂのheloホスト名（ＦＱＤＮ）はホスト名「ｂ」とドメイン名「example.com」から構成されている。この場合、事象Ａ，Ｂの各heloホスト名において、ホスト名は異なっているが、ドメイン名は両方とも「example.com」で同一である。このため、この例１では、事象Ａ，Ｂにおいてheloホスト名が異なるとはしない。よって、該例１では、事象Ａ，Ｂにおいて、同じメール送信元ＩＰアドレス「X.X.X.X」に対して、異なるheloホスト名とはなっていない。

他方、heloホスト名としてＦＱＤＮである例２として、
（事象Ｃ）メール送信元ＩＰアドレス：「X.X.X.X」、heloホスト名：「a.example.com」
（事象Ｄ）メール送信元ＩＰアドレス：「X.X.X.X」、heloホスト名：「b.example.co.jp」
とする。この例２において、事象Ｃのheloホスト名（ＦＱＤＮ）はホスト名「ａ」とドメイン名「example.com」から構成されており、事象Ｄのheloホスト名（ＦＱＤＮ）はホスト名「ｂ」とドメイン名「example.co.jp」から構成されている。この場合、事象Ｃ，Ｄの各heloホスト名において、ドメイン名が異なっている。このため、この例２では、事象Ｃ，Ｄにおいてheloホスト名が異なる。よって、該例２では、事象Ｃ，Ｄにおいて、同じメール送信元ＩＰアドレス「X.X.X.X」に対して、異なるheloホスト名となっている。なお、例２では、事象Ｃ，Ｄの各heloホスト名において、ホスト名も異なっているが、仮に同一ホスト名であっても、ドメイン名が異なっているので、同じメール送信元ＩＰアドレス「X.X.X.X」に対して、異なるheloホスト名となっている。

また、本実施形態に係るメール送信元ＩＰアドレス抽出条件において、Ｎの値は、２以上の値に任意に設定可能とする。なお、Ｎの値が大きい方が、False positive（偽陽性）は減るが、逆にFalse negative（偽陰性）は増える。一方、Ｎの値が小さい方が、False positiveは大きくなるが、False Negativeは少なくなる。したがって、これらの特性に基づいて、Ｎの値を決定することが好ましい。

上述したステップＳ３によって、メール送信元ＩＰアドレス抽出条件に合うメール送信元ＩＰアドレスが抽出される。

（ステップＳ４）メールアドレスドメイン抽出部２１は、メール情報抽出部１１により抽出された各メールのメール送信元ＩＰアドレスおよび送信元メールアドレスにおいて、送信元ＩＰアドレス抽出部１２により抽出されたメール送信元ＩＰアドレスと組になっている送信元メールアドレスから、メールアドレスドメインを抽出する。メールアドレスは、ローカル部と、ドメイン部（メールアドレスドメイン）とから構成される。
上述したステップＳ４によって、送信元ＩＰアドレス抽出部１２により抽出されたメール送信元ＩＰアドレス毎に、メールアドレスドメインが抽出される。

（ステップＳ５）ＳＰＦレコード取得部２２は、メールアドレスドメイン抽出部２１により抽出されたメールアドレスドメインのＤＮＳサーバに登録されるＳＰＦレコードを取得する。このＳＰＦレコード取得方法として、例えば、ＳＰＦレコード取得部２２が通信により該当するＤＮＳサーバからＳＰＦレコードを受信することが挙げられる。又は、ＳＰＦレコード取得方法の他の例として、ＳＰＦレコード取得部２２が、取得対象のＳＰＦレコードが格納される記憶装置又は記録媒体から、ＳＰＦレコードを読み出すことが挙げられる。

（ステップＳ６）リスト作成部２３は、ＳＰＦレコード取得部２２により取得されたＳＰＦレコードを使用して、メール判定リストを作成する。メール判定リストの例として、迷惑メールを判定するブラックリストと、非迷惑メールを判定するホワイトリストとが挙げられる。このメール判定リスト作成方法については後述する。

上述した実施形態によれば、一般に取得可能なメール集合データ又はメールログをそのまま使用して、迷惑メールの特徴を有するメール送信元ＩＰアドレスを抽出できる。本実施形態では、迷惑メールの特徴を有するメール送信元ＩＰアドレスとして、同じメール送信元ＩＰアドレスに対して複数の異なるheloホスト名（メール送信元ホスト名）が組み合わされているメール送信元ＩＰアドレスを抽出する。該抽出されたメール送信元ＩＰアドレスは、メール判定リストの作成に利用可能である。これにより、既知の迷惑メールのメール送信元ＩＰアドレスが分からなくても、メール判定リストの作成が可能となるので、メール判定リストの作成のために既知の迷惑メールのメール送信元ＩＰアドレスを収集する負担が軽減される効果が得られる。

また、上述したステップＳ３で抽出されたメール送信元ＩＰアドレスをリスト化してブラックリストにすることも可能である。リスト作成部２３は、送信元ＩＰアドレス抽出部１２により抽出されたメール送信元ＩＰアドレスのリストを作成する。この作成されたリストは、迷惑メールを判定するブラックリストとして利用できる。これにより、ＳＰＦレコードを使用しなくても、ブラックリストを作成できる。このブラックリストによれば、ＳＰＦレコードを取得できない場合であっても、迷惑メール判別を行うことができる。

次に、本実施形態に係るメール判定リスト作成方法について例を挙げて説明する。

＜メール判定リスト作成方法の例１＞
図３は、本実施形態に係るメール判定リスト作成方法の例１の手順を示すフローチャートである。以下、図３を参照して、図２のステップＳ６に係るメール判定リスト作成方法の例１を説明する。

（ステップＳ１０１）リスト作成部２３は、ＳＰＦレコード取得部２２により取得されたＳＰＦレコードを入力する。

図４は、ＳＰＦレコード取得部２２により取得されたＳＰＦレコードの例を示す図表である。ＳＰＦレコード取得部２２により取得された各ＳＰＦレコードは、該当するメールアドレスドメインに関連付けられる。図４の例では、メールアドレスドメインとして、「example.com」、「example.com2」及び「example.com3」の３個のメールアドレスドメインがある。また、メールアドレスドメイン「example.com」のＳＰＦレコードの要素（送信者認証情報要素）として「ip4:a.a.a.a/22」、「ip4:b.b.b.b/22」、「ip4:c.c.c.c/19」、「ip4:d.d.d.d/18」及び「a:example.com4」の５個の要素がある。また、メールアドレスドメイン「example.com2」のＳＰＦレコードの要素として「ip4:b.b.b.b/22」及び「ip4:c.c.c.c/19」の２個の要素がある。また、メールアドレスドメイン「example.com3」のＳＰＦレコードの要素として「ip4:a.a.a.a/22」、「ip4:b.b.b.b/22」、「ip4:c.c.c.c/19」、「ip4:d.d.d.d/18」及び「a:example.com5」の５個の要素がある。以下、図４の例を用いて具体的に説明する。

（ステップＳ１０２）リスト作成部２３は、図４のＳＰＦレコードに基づいてルール候補を作成する。このルール候補作成方法を具体的に説明する。まず、リスト作成部２３は、異なる二つのメールアドレスドメインについてのＳＰＦレコードの間で、それぞれのＳＰＦレコードの要素のうち共通の要素を抽出する。そして、リスト作成部２３は、抽出された共通の要素の組合せ毎に、ルール候補番号を付与する。

これにより、図４の例において、メールアドレスドメイン「example.com」のＳＰＦレコードとメールアドレスドメイン「example.com2」のＳＰＦレコードの間では、共通の要素として「ip4:b.b.b.b/22」及び「ip4:c.c.c.c/19」が抽出される。そして、この共通の要素の組合せ「ip4:b.b.b.b/22」及び「ip4:c.c.c.c/19」には、ルール候補番号「１」が付与されたとする。また、メールアドレスドメイン「example.com」のＳＰＦレコードとメールアドレスドメイン「example.com3」のＳＰＦレコードの間では、共通の要素として「ip4:a.a.a.a/22」、「ip4:b.b.b.b/22」、「ip4:c.c.c.c/19」及び「ip4:d.d.d.d/18」が抽出される。そして、この共通の要素の組合せ「ip4:a.a.a.a/22」、「ip4:b.b.b.b/22」、「ip4:c.c.c.c/19」及び「ip4:d.d.d.d/18」には、ルール候補番号「２」が付与されたとする。また、メールアドレスドメイン「example.com2」のＳＰＦレコードとメールアドレスドメイン「example.com3」のＳＰＦレコードの間では、共通の要素として「ip4:b.b.b.b/22」及び「ip4:c.c.c.c/19」が抽出される。そして、この共通の要素の組合せ「ip4:b.b.b.b/22」及び「ip4:c.c.c.c/19」には、ルール候補番号「３」が付与されたとする。なお、説明の便宜上、ルール候補番号「Ｘ」の共通の要素の組合せのことを、第Ｘルール候補と称する。

なお、異なる二つのメールアドレスドメインについてのＳＰＦレコードの間で抽出する共通の要素として、ＳＰＦレコード内の最上位階層の共通の要素だけに限定してもよい。図５，図６は、あるメールアドレスドメインのＳＰＦレコードの例１，例２を示す図である。図５に示されるメールアドレスドメインのＳＰＦレコードの例１では、要素「ip4:A.A.A.0/24」が実際のメール送信に使用されるメール送信端末のＩＰアドレス（メール送信元ＩＰアドレス）とは無関係なＳＰＦレコード（ダミー）として登録されている。図６に示されるメールアドレスドメインのＳＰＦレコードの例２では、要素「ip4:B.B.B.0/24」が実際のメール送信に使用されるメール送信端末のＩＰアドレスとは無関係なＳＰＦレコード（ダミー）として登録されている。

これら図５，図６のメールアドレスドメインのＳＰＦレコードの例１，例２の間で抽出する共通の要素として、ＳＰＦレコード全体から共通の要素を抽出してもよく、又は、ＳＰＦレコード内の最上位階層の共通の要素だけに限定して抽出してもよい。ＳＰＦレコード内の最上位階層の要素として、図５のメールアドレスドメインのＳＰＦレコードの例１では「ip4:A.A.A.0/24」と「include:yyy.yyy」と「include:zzz.zzz」の３個があり、図６のメールアドレスドメインのＳＰＦレコードの例２では「ip4:B.B.B.0/24」と「include:yyy.yyy」と「include:zzz.zzz」の３個がある。そして、その図５，図６のメールアドレスドメインのＳＰＦレコードの例１，例２の間におけるＳＰＦレコード内の最上位階層の共通の要素としては、「include:yyy.yyy」と「include:zzz.zzz」の２個がある。このＳＰＦレコード内の最上位階層の共通の要素「include:yyy.yyy」と「include:zzz.zzz」の組合せだけを、図５，図６のメールアドレスドメインのＳＰＦレコードの例１，例２についてのルール候補としてもよい。これは、ＳＰＦレコード内の最上位階層にはダミーを登録しやすいという理由から、効果的である。

次いで、リスト作成部２３は、抽出されたルール候補の中に、要素が全て同じであるルール候補が複数ある場合には、そのうちのいずれか一つだけを残し、他は削除する。ここでの例では、第１ルール候補「ip4:b.b.b.b/22」及び「ip4:c.c.c.c/19」と第３ルール候補「ip4:b.b.b.b/22」及び「ip4:c.c.c.c/19」とは要素が全て同じであるので、そのうちのいずれか一つだけを残し、他は削除する。ここでは、第１ルール候補「ip4:b.b.b.b/22」及び「ip4:c.c.c.c/19」を残し、第３ルール候補「ip4:b.b.b.b/22」及び「ip4:c.c.c.c/19」を削除する。

上述したルール候補作成方法により、ここでの例では、第１ルール候補「ip4:b.b.b.b/22」及び「ip4:c.c.c.c/19」と第２ルール候補「ip4:a.a.a.a/22」、「ip4:b.b.b.b/22」、「ip4:c.c.c.c/19」及び「ip4:d.d.d.d/18」の２個のルール候補が作成されている。ここで、リスト作成部２３は、さらにルール候補を限定してもよい。以下に、そのルール候補限定方法の例を説明する。

［ルール候補限定方法の例１］
リスト作成部２３は、所定の個数（ｍ個とする）以上の要素を有するルール候補だけを残し、それ以外のルール候補を削除する。これは、ルールに含まれる要素の数が少ないと、非迷惑メールを迷惑メールであると誤判定してしまうことを誘発する可能性があることによる。ここでの例では、第１ルール候補「ip4:b.b.b.b/22」及び「ip4:c.c.c.c/19」の要素数は２であり、第２ルール候補「ip4:a.a.a.a/22」、「ip4:b.b.b.b/22」、「ip4:c.c.c.c/19」及び「ip4:d.d.d.d/18」の要素数は４である。したがって、例えば、ｍが２であるとすると、第１ルール候補及び第２ルール候補の両方ともに、ルール候補として残る。ｍの値は、予め、経験値等によって設定しておく。例えば、ｍの値（つまり、ルールに含まれる要素の数）を変えながら該ルールを用いた迷惑メール判別を試験し、この試験結果から妥当なｍの値を決めることが挙げられる。

［ルール候補限定方法の例２］
リスト作成部２３は、ルール候補それぞれについて、各メールアドレスドメインのＳＰＦレコードに出現するかを調べる。そして、リスト作成部２３は、その調査の結果である出現回数が所定の回数（ｎ回）以上であるルール候補だけを残し、それ以外のルール候補を削除する。これは、より多くのメールアドレスドメインに該当するルールを抽出することによって、ルールの効率向上を図ることができることによる。ここでの例では、第１ルール候補「ip4:b.b.b.b/22」及び「ip4:c.c.c.c/19」の出現回数はメールアドレスドメイン「example.com」、「example.com2」及び「example.com3」の３回であり、第２ルール候補「ip4:a.a.a.a/22」、「ip4:b.b.b.b/22」、「ip4:c.c.c.c/19」及び「ip4:d.d.d.d/18」の出現回数はメールアドレスドメイン「example.com」及び「example.com3」の２回である。したがって、例えば、ｎが２であるとすると、第１ルール候補及び第２ルール候補の両方ともに、ルール候補として残る。ｎの値は、予め、経験値等によって設定しておく。例えば、ｎの値（つまり、ルールの出現回数）を変えながら該ルールを用いた迷惑メール判別を試験し、この試験結果から妥当なｎの値を決めることが挙げられる。

なお、上述したルール候補限定方法の例２において、リスト作成部２３は、メールアドレスドメイン毎に、メールの受信数についての情報を使用してルール候補の出現の重み付けを行い、上述の出現回数を算出してもよい。例えば、各メールアドレスドメインのＳＰＦレコードにルール候補が出現したときの出現カウント値に対する重み係数を、各メールアドレスドメインについてのメールの受信数に応じて、該受信数が多いほどに該重み係数が大きくなるように決定する。そして、その重み係数で重み付けした出現カウント値を使用して、各ルール候補の出現回数を算出する。例えば、メールアドレスドメイン「example.com」、「example.com2」、「example.com3」についての各メールの受信数に応じて、「example.com」の重み係数が１、「example.com2」の重み係数が２、「example.com3」の重み係数が３と決定したとする。これにより、あるルール候補が、「example.com」のＳＰＦレコードに出現した場合には出現回数を１回増やし、「example.com2」のＳＰＦレコードに出現した場合には出現回数を２回増やし、「example.com3」のＳＰＦレコードに出現した場合には出現回数を３回増やす。この重み付けによって、迷惑メールが頻出するメールアドレスドメインを検知しやすくする効果が得られる。

［ルール候補限定方法の例３］
リスト作成部２３は、異なるルール候補の間で該ルール候補に含まれる要素を比較し、他のルール候補を包含するルール候補を削除する。ここでの例では、第１ルール候補「ip4:b.b.b.b/22」及び「ip4:c.c.c.c/19」の全ての要素が、第２ルール候補「ip4:a.a.a.a/22」、「ip4:b.b.b.b/22」、「ip4:c.c.c.c/19」及び「ip4:d.d.d.d/18」に含まれている。したがって、第２ルール候補は第１ルール候補を包含するので、該第２ルール候補を削除する。

以上がルール候補限定方法の例の説明である。なお、上述したルール候補限定方法の例１，２，３は、それぞれ単独で使用してもよく、又は、いずれか複数もしくは全部を組み合わせて使用してもよい。

（ステップＳ１０３）リスト作成部２３は、作成したルール候補をルールとして記載したメール判定リストを作成する。

（ステップＳ１０４）リスト作成部２３は、作成したメール判定リストを出力する。この出力されたメール判定リストは、ＳＰＦ方式を使用した受信メールの迷惑メール判別を行うメール判定装置などで使用される。ここでは、メール判定リストは、迷惑メールと思しきメールのメールアドレスドメインのＳＰＦレコードのみから作成されていることから、迷惑メールを判定するブラックリストとして利用することができる。

上述したメール判定リスト作成方法の例１によれば、迷惑メールと思しき各メールのメールアドレスドメインのＳＰＦレコードの間で共通の要素からルールを作成する。これにより、該ルールのリストが受信メールの迷惑メール判別で使用されることによって、該迷惑メール判別に対して、迷惑メールと思しき各メールのメールアドレスドメインの共通的な要素を反映させることができるので、迷惑メール判別精度を向上させることに寄与できる。

なお、上述したメール判定リスト作成方法の例１を、非迷惑メールと思しきメールのメールアドレスドメインのみを対象にして同様に適用してもよい。これによって作成されたルールのメール判定リストは、非迷惑メールを判定するホワイトリストとして利用することができる。非迷惑メールと思しきメールのメールアドレスドメインとしては、上述の図２のステップＳ２で抽出された各メールの「メール送信元ＩＰアドレスと送信元メールアドレス」において、図２のステップＳ３で抽出されたメール送信元ＩＰアドレス以外の他のメール送信元ＩＰアドレスと組になっている送信元メールアドレスから抽出されたメールアドレスドメインが利用可能である。

＜メール判定リスト作成方法の例２＞
図７は、本実施形態に係るメール判定リスト作成方法の例２の手順を示すフローチャートである。図８は、ＳＰＦレコード取得部２２により取得されたＳＰＦレコード１００の例を示す図である。図９は、本実施形態に係るメール判定リスト作成方法の例２を説明するための図である。以下、図７、図８、図９を参照して、図２のステップＳ６に係るメール判定リスト作成方法の例２を説明する。

図８には、ＳＰＦレコード取得部２２が取得したＳＰＦレコード１００が示されている。ＳＰＦレコード１００は、メールアドレスドメイン「example.com」のＤＮＳサーバに登録されたＳＰＦレコードである。ＳＰＦレコード１００は、メールアドレスドメイン「example.com」のＳＰＦレコードを構成する送信者認証情報要素として、ホスト名「spf.example.com」、ホスト名「spf.dummy.com」、ＩＰアドレス情報「ip4:10.1.1.0/24」、ＩＰアドレス情報「ip4:10.1.2.0/24」、ＩＰアドレス情報「ip4:10.1.3.0/24」及びＩＰアドレス情報「ip4:1.2.3.0/24」を有する。ＩＰアドレス情報「ip4:10.1.1.0/24」、「ip4:10.1.2.0/24」、「ip4:10.1.3.0/24」及び「ip4:1.2.3.0/24」は、メールアドレスドメイン「example.com」に属するメール送信端末のＩＰアドレス（メール送信元ＩＰアドレス）が取り得る範囲を示す。なお、「ip4」はIPv4を指す。

送信者認証情報要素「spf.example.com」には、送信者認証情報要素「ip4:1.2.3.0/24」及び「ip4:10.1.3.0/24」が関連付けられている。送信者認証情報要素「spf.dummy.com」には、送信者認証情報要素「ip4:10.1.2.0/24」が関連付けられている。メールアドレスドメイン「example.com」のＤＮＳサーバは、通信ネットワークを介して、ＳＰＦレコード１００を公開する。

図９に示されるメール２００は、メール判定リスト作成装置１に入力されたメールデータに含まれるメールの一例である。メール２００は、送信者情報として、メールアドレスドメイン「example.com」とIPv4のメール送信元ＩＰアドレス「1.2.3.4」を有する。図９において、「ip4:1.2.3.0/24」は、メール２００のメール送信元ＩＰアドレス「1.2.3.4」についての送信者認証関連要素である。送信者認証関連要素は、メール送信元ＩＰアドレスを包含する送信者認証情報要素である。「ip4:10.1.3.0/24」は、メール２００のメール送信元ＩＰアドレス「1.2.3.4」についての準送信者認証関連要素である。準送信者認証関連要素は、送信者認証関連要素と共通の関連付けホスト名（図９の例では「spf.example.com」）を持つＩＰプレフィクスの送信者認証情報要素である。「ip4:10.1.2.0/24」及び「ip4:10.1.1.0/24」は、メール２００のメール送信元ＩＰアドレス「1.2.3.4」についての非送信者認証関連要素である。非送信者認証関連要素は、送信者認証関連要素以外であり且つ準送信者認証関連要素以外であるＩＰプレフィクスの送信者認証情報要素である。

以下、図７を参照し、図８および図９の例を用いて具体的にメール判定リスト作成方法の例２を説明する。以下の説明において、送信者認証情報要素組とは、送信者認証関連要素に関連する準送信者認証関連要素のことと、送信者認証関連要素に関連する非送信者認証関連要素のことと、送信者認証関連要素と準送信者認証関連要素の組合せのことと、送信者認証関連要素と準送信者認証関連要素と非送信者認証関連要素の組合せのことと、を指す。

（ステップＳ５１０）メール判定リスト作成装置１には、メール２００に対するＳＰＦ方式を使用した送信者認証の結果が入力される。リスト作成部２３は、該入力された送信者認証の結果から、メール２００に対するＳＰＦ方式を使用した送信者認証が成功したかを確認する。該確認の結果、成功した場合にはステップＳ５２０へ進み、失敗した場合には図７の処理を終了する。

（ステップＳ５２０）メール判定リスト作成装置１には、メール２００に対するメール判別の判定結果が入力される。このメール判別方法としては、メール本文の内容に基づいて迷惑メールを判別する方法、届いたメールを全て迷惑メールと見做すことができるおとりのメールアドレスに届いたことをもって迷惑メールと判定する方法、などが挙げられる。リスト作成部２３は、該入力されたメール判別の判定結果を確認する。該確認の結果が、非迷惑メールである場合にはステップＳ５３０へ進み、迷惑メールである場合にはステップＳ５６０へ進む。

（ステップＳ５３０）リスト作成部２３は、ＳＰＦレコード１００の送信者認証関連要素と送信者認証情報要素組とを、ホワイトリストへ追加する。この追加方法として、例えば、迷惑メール判別において見逃しの低減と誤検知の低減のどちらを重視するかの運用方針に基づいて、ホワイトリストへの追加方法を決めることが挙げられる。例えば、見逃しの低減を重視する場合には、ＳＰＦレコード１００の送信者認証関連要素と送信者認証情報要素組との全てをホワイトリストへ追加することが挙げられる。一方、誤検知の低減を重視する場合には、ＳＰＦレコード１００の送信者認証関連要素だけをホワイトリストへ追加することが挙げられる。

（ステップＳ５４０）リスト作成部２３は、ブラックリストを参照し、ＳＰＦレコード１００の送信者認証関連要素がブラックリストに登録されているか、また、ＳＰＦレコード１００の送信者認証情報要素組がブラックリスト１７２に登録されているか、を判断する。この判断の結果、ブラックリストに登録されている送信者認証関連要素又は送信者認証情報要素組がある場合にはステップＳ５５０へ進み、ブラックリストに登録されている送信者認証関連要素も送信者認証情報要素組もない場合には図７の処理を終了する。

（ステップＳ５５０）リスト作成部２３は、ブラックリストから、ＳＰＦレコード１００の送信者認証関連要素および送信者認証情報要素組を削除する。この後、図７の処理を終了する。

（ステップＳ５６０）リスト作成部２３は、ホワイトリストを参照し、ＳＰＦレコード１００の送信者認証関連要素がホワイトリストに登録されているか、また、ＳＰＦレコード１００の送信者認証情報要素組がホワイトリストに登録されているか、を判断する。この判断の結果、送信者認証関連要素および送信者認証情報要素組の全てがホワイトリストに登録されている場合には図７の処理を終了する。一方、送信者認証関連要素または送信者認証情報要素組の少なくともいずれか一つがホワイトリストに登録されていない場合にはステップＳ５７０へ進む。

（ステップＳ５７０）リスト作成部２３は、ＳＰＦレコード１００の送信者認証関連要素であってホワイトリストに登録されていないものの全てと、ＳＰＦレコード１００の送信者認証情報要素組であってホワイトリストに登録されていないものの全てとを、ブラックリストへ追加する。この後、図７の処理を終了する。なお、ここで、送信者認証関連要素と準送信者認証関連要素と非送信者認証関連要素の組合せについては、ブラックリストへ追加しないようにしてもよい。

上述したメール判定リスト作成方法の例２によれば、迷惑メールと思しき各メールのメールアドレスドメインのＳＰＦレコードの送信者認証関連要素と該送信者認証関連要素に関連する送信者認証情報要素組のみから、ホワイトリストおよびブラックリストを作成する。ここで、メール送信端末のＩＰアドレス（つまり、メール送信元ＩＰアドレス）はインターネット接続業者（Internet Services Provider：ＩＳＰ）などから正規に割り当てられる。このため、ＳＰＦレコードを構成する送信者認証情報要素のうち、メール送信元ＩＰアドレスを示す送信者認証情報要素である送信者認証関連要素については、ＤＮＳサーバに対して自由に変更することができない。したがって、ＤＮＳサーバのＳＰＦレコードにおいて送信者認証関連要素は信頼できる情報であるので、メール判定リスト作成方法の例２により作成されたホワイトリストおよびブラックリストは、信頼性が高いと言える。

また、上述したように、送信者認証関連要素については、ＤＮＳサーバに対して自由に変更することができないので、ＤＮＳサーバの送信者認証情報を変更することによって、メール判定リスト作成方法の例２により作成されたホワイトリストおよびブラックリストの無効化を図ることは難しい。したがって、例えば迷惑メール送信者がＤＮＳサーバの自由に変更可能な送信者認証情報を変更しても、該ホワイトリストおよびブラックリストは無効化されないので、迷惑メール送信者による迷惑メール検知の妨害を防ぐ効果が得られる。

以上が本実施形態に係るメール判定リスト作成方法の例の説明である。

［他の実施形態］
次に、本発明に係る他の実施形態を説明する。図１０は、本発明の他の実施形態に係るメール判定リスト作成装置１の構成を示すブロック図である。この図１０において図１の各部に対応する部分には同一の符号を付している。図１０に示されるメール判定リスト作成装置１において、メール送信元情報抽出部１０は、図１の送信元ＩＰアドレス抽出部１２の代わりにメールアドレスドメイン抽出部３１を備える。図１０に示されるメール判定リスト作成装置１は、図１のメールアドレスドメイン抽出部２１を有さない。

図１０において、メール情報抽出部１１は、過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出する。メールアドレスドメイン抽出部３１は、メール情報抽出部１１により抽出されたメール情報である各メールのメールアドレスドメインおよびMessage-ID（メッセージ識別子）のホスト名部分から、同じメールアドレスドメインに対して複数の「Message-IDのホスト名部分（Message-IDホスト名部分）」が組み合わされているメールアドレスドメインを抽出する。メールアドレスドメイン抽出部３１は特定情報抽出部である。メールアドレスドメインは、偽装が比較的困難な第１のメール情報である。Message-IDホスト名部分は、偽装が比較的簡単な第２のメール情報である。

ＳＰＦレコード取得部２２は、メールアドレスドメイン抽出部３１により抽出されたメールアドレスドメインのＤＮＳサーバに登録されるＳＰＦレコード（送信者認証情報）を取得する。リスト作成部２３は、メールアドレスドメイン抽出部３１により抽出されたメールアドレスドメインに基づいたメール判定リストを作成する。メール判定リスト作成装置１は、リスト作成部２３により作成されたメール判定リストを出力する。メール判定リストとして、例えば、迷惑メールを判定するブラックリスト、非迷惑メールを判定するホワイトリストなどが挙げられる。

図１１は、本発明の他の実施形態に係るメール判定リスト作成方法のフローチャートである。この図１１において図２の各ステップに対応する部分には同一の符号を付している。以下、図１１を参照して、図１０に示すメール判定リスト作成装置１の動作を説明する。

（ステップＳ１）メールデータがメール判定リスト作成装置１に入力される。

（ステップＳ２）メール情報抽出部１１は、メールデータに含まれる各メールのヘッダ情報から、メールアドレスドメインおよびMessage-IDを抽出する。

（ステップＳ１１）メールアドレスドメイン抽出部３１は、メール情報抽出部１１により抽出された各メールのメールアドレスドメインおよびMessage-IDから、所定のメールアドレスドメイン抽出条件に合うメールアドレスドメインを抽出する。該メールアドレスドメイン抽出条件は、迷惑メールのメールアドレスドメインを抽出するための条件として予め設定される。

Message-IDは、一般に、「“ランダム文字列”＋“@”＋“ホスト名部分”」という構成である。その“ホスト名部分”は、通常、サーバが任意に設定可能である。例えば、メールアドレスドメインが「example.com2」である場合に、あるメールのMessage-IDが「201409250001@ADKRIJRL」であり、別のメールのMessage-IDが「201409250001@KGKRAKFPORF」である事象が起こり得る。この場合、同じメールアドレスドメイン「example.com2」に対して、「ADKRIJRL」と「KGKRAKFPORF」との複数のMessage-IDホスト名部分が組み合わされている。本発明者は、そのように、同じメールアドレスドメインに対して複数のMessage-IDホスト名部分が組み合わされている該メールアドレスドメインが迷惑メールのメールアドレスドメインとして抽出できることを発見した。このことから、本実施形態では、メールアドレスドメイン抽出条件は、同じメールアドレスドメインに対してＮ個の異なるMessage-IDホスト名部分が組み合わされている該メールアドレスドメインを抽出すること、とする。

また、本実施形態に係るメールアドレスドメイン抽出条件において、Ｎの値は、２以上の値に任意に設定可能とする。なお、Ｎの値が大きい方が、False positive（偽陽性）は減るが、逆にFalse negative（偽陰性）は増える。一方、Ｎの値が小さい方が、False positiveは大きくなるが、False Negativeは少なくなる。したがって、これらの特性に基づいて、Ｎの値を決定することが好ましい。

上述したステップＳ１１によって、メールアドレスドメイン抽出条件に合うメールアドレスドメインが抽出される。

（ステップＳ５）ＳＰＦレコード取得部２２は、メールアドレスドメイン抽出部３１により抽出されたメールアドレスドメインのＤＮＳサーバに登録されるＳＰＦレコードを取得する。このＳＰＦレコード取得方法として、例えば、ＳＰＦレコード取得部２２が通信により該当するＤＮＳサーバからＳＰＦレコードを受信することが挙げられる。又は、ＳＰＦレコード取得方法の他の例として、ＳＰＦレコード取得部２２が、取得対象のＳＰＦレコードが格納される記憶装置又は記録媒体から、ＳＰＦレコードを読み出すことが挙げられる。

（ステップＳ６）リスト作成部２３は、ＳＰＦレコード取得部２２により取得されたＳＰＦレコードを使用して、メール判定リストを作成する。メール判定リストの例として、迷惑メールを判定するブラックリストと、非迷惑メールを判定するホワイトリストとが挙げられる。このメール判定リスト作成方法として前述のメール判定リスト作成方法の例を利用できる。

本実施形態によれば、一般に取得可能なメール集合データ又はメールログをそのまま使用して、迷惑メールのメールアドレスドメインを抽出できる。該抽出されたメールアドレスドメインは、メール判定リストの作成に利用可能である。これにより、既知の迷惑メールのメールアドレスドメインが分からなくても、メール判定リストの作成が可能となるので、メール判定リストの作成のために既知の迷惑メールのメールアドレスドメインを収集する負担が軽減される効果が得られる。

また、上述したステップＳ１１で抽出されたメールアドレスドメインをリスト化してブラックリストにすることも可能である。リスト作成部２３は、メールアドレスドメイン抽出部３１により抽出されたメールアドレスドメインのリストを作成する。この作成されたリストは、迷惑メールを判定するブラックリストとして利用できる。これにより、ＳＰＦレコードを使用しなくても、ブラックリストを作成できる。このブラックリストによれば、ＳＰＦレコードを取得できない場合であっても、迷惑メール判別を行うことができる。

以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

なお、メールデータに含まれるヘッダ情報の量が多いほど、送信元ＩＰアドレス抽出部１２による送信元ＩＰアドレスの抽出精度やメールアドレスドメイン抽出部３１によるメールアドレスドメインの抽出精度が上がる半面、その処理量が増大する。このことを考慮してメールデータに含まれるヘッダ情報の量を調節することが好ましい。

また、メール送信元情報抽出部１０を、メール判定リスト作成装置１とは別個のメール情報抽出装置として構成してもよい。

また、上述したメール判定リスト作成装置１の機能を実現するためのコンピュータプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するようにしてもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものであってもよい。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、フラッシュメモリ等の書き込み可能な不揮発性メモリ、ＤＶＤ（Digital Versatile Disk）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。

さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（例えばＤＲＡＭ（Dynamic Random Access Memory））のように、一定時間プログラムを保持しているものも含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

１…メール判定リスト作成装置、１０…メール送信元情報抽出部、１１…メール情報抽出部、１２…送信元ＩＰアドレス抽出部（特定情報抽出部）、２１…メールアドレスドメイン抽出部、２２…ＳＰＦレコード取得部、２３…リスト作成部、３１…メールアドレスドメイン抽出部（特定情報抽出部）

Claims (13)

1. 過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出するメール情報抽出部と、
   前記メール情報抽出部により抽出された各メールのメール情報であって、偽装が比較的困難な第１のメール情報と、偽装が比較的簡単な第２のメール情報とから、同じ前記第１のメール情報に対して複数の異なる前記第２のメール情報が組み合わされている前記第１のメール情報を抽出する特定情報抽出部と、
   を備えるメール情報抽出装置。
2. 前記第１のメール情報はメール送信元ＩＰアドレスであり、前記第２のメール情報はメール送信元ホスト名である、
   請求項１に記載のメール情報抽出装置。
3. 前記第１のメール情報はメールアドレスドメインであり、前記第２のメール情報はメッセージ識別子のホスト名部分である、
   請求項１に記載のメール情報抽出装置。
4. 過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出するメール情報抽出部と、
   前記メール情報抽出部により抽出された各メールのメール情報であって、偽装が比較的困難な第１のメール情報と、偽装が比較的簡単な第２のメール情報とから、同じ前記第１のメール情報に対して複数の異なる前記第２のメール情報が組み合わされている前記第１のメール情報を抽出する特定情報抽出部と、
   前記特定情報抽出部により抽出された前記第１のメール情報に基づいたメール判定リストを作成するリスト作成部と、
   を備えるメール判定リスト作成装置。
5. 前記第１のメール情報はメール送信元ＩＰアドレスであり、前記第２のメール情報はメール送信元ホスト名である、
   請求項４に記載のメール判定リスト作成装置。
6. 前記第１のメール情報はメールアドレスドメインであり、前記第２のメール情報はメッセージ識別子のホスト名部分である、
   請求項４に記載のメール判定リスト作成装置。
7. 前記リスト作成部は、前記特定情報抽出部により抽出された前記第１のメール情報のリストを作成する請求項４から６のいずれか１項に記載のメール判定リスト作成装置。
8. 前記メール情報抽出部により抽出されたメール情報である各メールのメール送信元ＩＰアドレスおよび送信元メールアドレスにおいて、前記特定情報抽出部により抽出されたメール送信元ＩＰアドレスと組になっている送信元メールアドレスから、メールアドレスドメインを抽出するメールアドレスドメイン抽出部と、
   前記メールアドレスドメイン抽出部により抽出されたメールアドレスドメインのＤＮＳ（Domain Name System）サーバに登録されるＳＰＦ（Sender Policy Framework）レコードを取得するＳＰＦレコード取得部と、
   前記ＳＰＦレコード取得部により取得されたＳＰＦレコードを使用して、メール判定リストを作成するリスト作成部と、
   を備える請求項５に記載のメール判定リスト作成装置。
9. 前記特定情報抽出部により抽出されたメールアドレスドメインのＤＮＳ（Domain Name System）サーバに登録されるＳＰＦ（Sender Policy Framework）レコードを取得するＳＰＦレコード取得部と、
   前記ＳＰＦレコード取得部により取得されたＳＰＦレコードを使用して、メール判定リストを作成するリスト作成部と、
   を備える請求項６に記載のメール判定リスト作成装置。
10. メール情報抽出装置が、過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出するメール情報抽出ステップと、
    前記メール情報抽出装置が、前記メール情報抽出ステップにより抽出された各メールのメール情報であって、偽装が比較的困難な第１のメール情報と、偽装が比較的簡単な第２のメール情報とから、同じ前記第１のメール情報に対して複数の異なる前記第２のメール情報が組み合わされている前記第１のメール情報を抽出する特定情報抽出ステップと、
    を含むメール情報抽出方法。
11. メール判定リスト作成装置が、過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出するメール情報抽出ステップと、
    前記メール判定リスト作成装置が、前記メール情報抽出ステップにより抽出された各メールのメール情報であって、偽装が比較的困難な第１のメール情報と、偽装が比較的簡単な第２のメール情報とから、同じ前記第１のメール情報に対して複数の異なる前記第２のメール情報が組み合わされている前記第１のメール情報を抽出する特定情報抽出ステップと、
    前記メール判定リスト作成装置が、前記特定情報抽出ステップにより抽出された前記第１のメール情報に基づいたメール判定リストを作成するリスト作成ステップと、
    を含むメール判定リスト作成方法。
12. コンピュータに、
    過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出するメール情報抽出機能と、
    前記メール情報抽出機能により抽出された各メールのメール情報であって、偽装が比較的困難な第１のメール情報と、偽装が比較的簡単な第２のメール情報とから、同じ前記第１のメール情報に対して複数の異なる前記第２のメール情報が組み合わされている前記第１のメール情報を抽出する特定情報抽出機能と、
    を実現させるためのコンピュータプログラム。
13. コンピュータに、
    過去にやり取りされた複数のメールについての各メールのヘッダ情報を有するメールデータから、所定のメール情報を抽出するメール情報抽出機能と、
    前記メール情報抽出機能により抽出された各メールのメール情報であって、偽装が比較的困難な第１のメール情報と、偽装が比較的簡単な第２のメール情報とから、同じ前記第１のメール情報に対して複数の異なる前記第２のメール情報が組み合わされている前記第１のメール情報を抽出する特定情報抽出機能と、
    前記特定情報抽出機能により抽出された前記第１のメール情報に基づいたメール判定リストを作成するリスト作成機能と、
    を実現させるためのコンピュータプログラム。

Images