JP6515621B2 - メール処理サーバ、メール処理方法、およびメール処理プログラム - Google Patents

Description

本発明は、メール処理サーバ、メール処理方法、およびメール処理プログラムに関する。

電子メールの普及に伴い、個人を標的とした悪意のある電子メール（以下「不正メール」と呼ぶ）による被害が増えている。不正メールは、差出人が受信者の関係者に偽装されていたり、本文を業務と関連する内容とすることで業務関連の電子メールに偽装されていたりする。不正メールの送信者は、このような偽装により、受信者に電子メールが正当だと信じ込ませ、電子メールに添付された悪意で作成されたファイルやウェブページを開かせようとする。以下、電子メールに添付されたファイルの内容を表示させたり、電子メール本文のリンクを選択して、リンク先のウェブページを表示させたりするユーザの行動を、危険行動と呼ぶこととする。

不正メールを早期に発見し、対処するため、不正メールの検知処理が行われる。不正メールの検知処理では、添付ファイルなどが外部から隔離した環境で処理され、添付ファイルの振る舞いが分析される。添付ファイルがセキュリティ上危険な振る舞いをした場合、その添付ファイルが添付された電子メールが不正メールと特定される。メールサーバは、不正メールを削除することで、不正メールに対してユーザが危険行動を行うことを抑止する。

不正サイトへのアクセスを防止する技術としては、例えば、電子メール内の不正が疑われるサイトへのリンクにおけるリンク先アドレスを、不正アクセス警告装置のアドレスに書き換える技術がある。

特開２００７−２０２０４６号公報

不正メールが多数のユーザに送られた場合、メールサーバ内のすべてのユーザのメールボックスから、不正メールを削除するのには時間がかかる。そのため、不正メールの削除などの対処を実行している間に、不正メールが受信者によってダウンロードされ、添付ファイルを開くといった危険行動が実行されてしまうことがある。なお不正メールを受信してから危険行動を実行するまでの時間は、ユーザごとに異なる。

そこで、電子メールを受信してから添付ファイルを開くまでの時間が短い傾向にあるユーザ宛ての不正メールを、優先的に削除することが考えられる。しかし、従来技術では、各ユーザが、電子メールを受信してからどの程度の時間経過後に添付ファイルを開くのかが分からない。そのため、適切な順番で不正メールに対処することができない。

１つの側面では、本件は、受信された電子メールに対する対処を適切な順番で実行することを目的とする。

１つの案では、記憶部と演算部とを有するメール処理サーバが提供される。記憶部は、複数のユーザそれぞれの、受信した電子メールに対応した操作履歴に関する対応操作情報を記憶する。演算部は、対処すべき対象電子メールの検知に応じ、対象電子メールの送信先に含まれる複数の送信先ユーザそれぞれに、対応操作情報に基づき優先度を設定した、優先度情報を生成する。

１態様によれば、電子メールに対する対処が適切な順番で実行可能となる。

第１の実施の形態に係るシステムの構成例を示す図である。 第２の実施の形態のシステム構成例を示す図である。 メール処理サーバのハードウェアの一構成例を示す図である。 不正メールの削除処理の概略を示す図である。 メール実行記録ＤＢの一例を示す図である。 行動パターンＤＢの一例を示す図である。 時間視点集計情報の一例を示す図である。 時刻視点集計情報の一例を示す図である。 不正メール検知データの一例を示す図である。 行動情報収集処理の手順を示すシーケンス図である。 行動パターン解析処理の概略手順の一例を示すフローチャートである。 行動パターン解析処理の詳細手順の一例を示すフローチャートである。 行動パターンＤＢ更新処理の手順の一例を示すフローチャートである。 時間視点の実行割合計算の手順の一例を示すフローチャートである。 時刻視点の実行割合計算の手順の一例を示すフローチャートである。 不正メール削除処理の手順の一例を示すシーケンス図である。 ユーザごとの危険度の判定例を示す図である。 不正メール削除処理の手順を示すフローチャートである。 危険レベル算出処理の手順を示すフローチャートである。 危険レベル順不正メール削除処理の手順の一例を示す図である。 不正メール削除処理の手順の一例を示す図である。 各視点での危険レベルの総乗を用いることによる欠点を示す図である。 ブラックリストの作成例を示す図である。 複数条件を組み合わせたときの実行割合の算出例を示す図である。

以下、本実施の形態について図面を参照して説明する。なお各実施の形態は、矛盾のない範囲で複数の実施の形態を組み合わせて実施することができる。
〔第１の実施の形態〕
図１は、第１の実施の形態に係るシステムの構成例を示す図である。メール処理サーバ１０は、ネットワーク１から送られた電子メールを、メールセンサ２を介して受信し、管理する。受信した電子メールは、送信先のユーザごとに設けられたメールボックス１３−１〜１３−３に格納される。ユーザは、端末装置３ａ〜３ｃを用いて、メールボックス１３−１〜１３−３内の電子メールをダウンロードし、開封することができる。

メールセンサ２は、所定の対処の実施対象である対象電子メール１３ｂ−１〜１３ｂ−３を検知する。例えばメールセンサ２は、不正処理の原因となる不正メールを、対象電子メール１３ｂ−１〜１３ｂ−３として検知する。対象電子メール１３ｂ−１〜１３ｂ−３を検知したメールセンサ２は、演算部１２に対して、対象電子メール検知通知４を送信する。

第１の実施の形態に係る端末装置３ａ〜３ｃは、受信した電子メールに対するユーザの処理の行動を記録することができる。所定の行動とは、例えば電子メールの添付ファイルを開くことを指示する操作である。端末装置３ａ〜３ｃは、ユーザによる所定の行動を検出すると、行動情報を記録する。行動情報には、例えば行動対象の電子メールのＩＤ、受信日時、所定の行動を実行した日時、実行したユーザ名などが含まれる。

メール処理サーバ１０は、メールボックス１３−１〜１３−３に格納された不正メール１３ｂ−１〜１３ｂ−３について、不正メールを削除するなどの対処を施す。その際、メール処理サーバ１０は、例えば不正メール１３ｂ−１〜１３ｂ−３に対して所定の行動をすぐに実行する傾向にあるユーザのメールボックスから順に、対処を施すことができる。不正メール１３ｂ−１〜１３ｂ−３に対する対処を適切な順番で実行するために、メール処理サーバ１０は、以下のような記憶部１１、演算部１２、および対処実行部１４を有する。

記憶部１１は、複数のユーザそれぞれが受信した電子メールに対応した操作履歴に関する対応操作情報１１ａを記憶する。また記憶部１１は、対応操作情報に基づいて解析された各ユーザの行動パターンを示す行動パターン情報１１ｂを記憶する。

演算部１２は、端末装置３ａ〜３ｃが記録した対応操作情報に基づいて、不正メール１３ｂ−１〜１３ｂ−３に対して、適切な順番で対処を行う。例えば演算部１２は、端末装置３ａ〜３ｃから、対応操作情報を取得し、記憶部１１に格納する（ステップＳ１）。

また演算部１２は、記憶部１１に格納した対応操作情報１１ａに基づいて、ユーザごとの行動パターンを解析する（ステップＳ２）。例えば演算部１２は、１日を複数の時間帯に分け、時間帯ごとに、該当時間帯内で各ユーザが、電子メールの受信から所定時間（例えば５分）以内に、その電子メールに対して所定の行動を実行した割合を計算する。演算部１２は、解析の結果得られた行動パターンを示す行動パターン情報１１ｂを、記憶部１１に格納する。

また演算部１２は、対象電子メール１３ｂ−１〜１３ｂ−３が検知されると、対応操作情報１１ａに基づいて、対象電子メール１３ｂ−１〜１３ｂ−３の送信先である複数の送信先ユーザそれぞれに対処の優先度を設定した、優先度情報１２ａを生成する（ステップＳ３）。なお図１の例では、予め対応操作情報１１ａに基づいて行動パターンが解析されているため、対象電子メール１３ｂ−１〜１３ｂ−３が検知された際には、行動パターン情報１１ｂに基づいて、優先度を決定することができる。例えば演算部１２は、電子メール１３ａ−１〜１３ａ−３の受信から所定の行動の実行までの時間が短い送信先ユーザほど、対処の優先度を高くする。

対処実行部１４は、優先度情報１２ａが生成されると、対処の優先度が高い送信先ユーザから順に、送信先ユーザ宛ての対象電子メール１３ｂ−１〜１３ｂ−３に関する対処を実行する（ステップＳ４）。例えば、対処実行部１４は、対象電子メール１３ｂ−１〜１３ｂ−３を、メールボックス１３−１〜１３−３から順番に削除する。なお、対処実行部１４は、対処として、対象電子メール１３ｂ−１〜１３ｂ−３の検出を示すメッセージを、各ユーザが使用する端末装置３ａ〜３ｃに送信することもできる。

また対処実行部１４は、送信先ユーザ宛ての対象電子メール１３ｂ−１〜１３ｂ−３が、送信先ユーザが使用する端末装置３ａ〜３ｃにダウンロードされているか否かを調査することもできる。そして対処実行部１４は、すでにダウンロードされている場合、対処として、端末装置３ａ〜３ｃに対して、ダウンロードした対象電子メールの削除を指示してもよい。

このようなシステムによれば、各ユーザが電子メール１３ａ−１〜１３ａ−３に対して行う行動が、端末装置３ａ〜３ｃで、対応操作情報として蓄積される。その対応操作情報は、メール処理サーバ１０で収集され、記憶部１１に格納される。そして演算部１２により、記憶部１１に格納された対応操作情報１１ａに基づいて、各ユーザの、電子メールに対する行動パターンが解析される。例えば時間帯ごとに、各ユーザが、受信した電子メールのうちに、５分以内に所定の行動を実行する割合が計算される。そして解析結果が、行動パターン情報１１ｂとして、記憶部１１に格納される。

その後、複数のユーザ宛てに、不正メール１３ｂ−１〜１３ｂ−３が送られると、その不正メール１３ｂ−１〜１３ｂ−３がメールボックス１３−１〜１３−３に格納される。またメールセンサ２において、送られた電子メールが不正メール１３ｂ−１〜１３ｂ−３であることが検知される。すると、不正メール１３ｂ−１〜１３ｂ−３を検知したメールセンサ２からメール処理サーバ１０へ、対象電子メール検知通知４が送られる。

対象電子メール検知通知４を受信したメール処理サーバ１０では、行動パターン情報１１ｂに基づいて、不正メール１３ｂ−１〜１３ｂ−３に対する対処の優先度が決定される。不正メール１３ｂ−１〜１３ｂ−３の受信時刻が９時４３分の場合、演算部１２は、行動パターン情報１１ｂから、該当時刻を含む時間帯「９：００〜１０：００」における各ユーザの行動パターンを取得する。図１の例では、ユーザ「Ａ」は、該当時間帯内に、電子メールの受信から５分以内に所定の行動を実行する割合は５割である。ユーザ「Ｂ」は、該当時間帯内に、電子メールの受信から５分以内に所定の行動を実行する割合は２割である。ユーザ「Ｃ」は、該当時間帯内に、電子メールの受信から５分以内に所定の行動を実行する割合は１割である。

そうすると、ユーザ「Ａ」に対して送られた不正メール１３ｂ−１は、対処を実施する緊急性が極めて高い。その次に、ユーザ「Ｂ」に対して送られた不正メール１３ｂ−２に対して対処を実施する緊急性が高い。ユーザ「Ｃ」に対して送られた不正メール１３ｂ−３に対しては、対処を実施する緊急性は低い。その結果、対処の実行順が、「Ａ」、「Ｂ」、「Ｃ」の順に決定される。

そして、まずユーザ「Ａ」のメールボックス１３−１から、不正メール１３ｂ−１が削除される。次に、ユーザ「Ｂ」のメールボックス１３−２から、不正メール１３ｂ−２が削除される。最後に、ユーザ「Ｃ」のメールボックス１３−３から、不正メール１３ｂ−３が削除される。

このようにして、受信した電子メールに対して短時間のうちに添付ファイルを開くような危険行動を実行する傾向にあるユーザから順に、不正メールに対する対処が実行される。その結果、適切な順番で不正メールが削除され、ユーザが不正メールの添付ファイルを実行することなどが原因で、不正処理が実行される可能性を低減することができる。

なお、対応操作情報１１ａには、電子メール１３ａ−１〜１３ａ−３の特徴を含めることもできる。特徴は、例えば、電子メールの受信時刻、添付ファイルの種別、送信元が社外なのか社内なのかなどである。対応操作情報１１ａに電子メールの特徴が含まれる場合、演算部１２は、対象電子メール（例えば不正メール１３ｂ−１〜１３ｂ−３）と共通する特徴を有する電子メールに対する、各ユーザの対応操作情報に基づいて、各ユーザの優先度を決定してもよい。例えば、演算部１２は、不正メール１３ｂ−１〜１３ｂ−３に同じ特徴を有する電子メールに対して、所定の行動を実行するまでの時間が短い傾向にある送信先ユーザほど、対処の優先度を高くする。これにより、緊急性をより正確に判断することができ、不正処理が実行される可能性をさらに低減することができる。

なお、対象電子メールから複数の特徴を抽出できる場合もある。この場合、演算部１２は、例えば対応操作情報１１ａに基づいて、複数の送信先ユーザそれぞれについて、電子メールの複数の特徴ごとに、その電子メールを受信してから所定時間以内に所定の行動を実行する割合を示す実行割合を算出する。そして演算部１２は、複数の特徴それぞれについて算出した実行割合に基づいて、該ユーザの優先度を決定する。例えば演算部１２は、特徴ごとに求めたユーザの複数の実行割合をすべて掛け合わせた結果を、そのユーザの優先度とする。これにより、電子メールの特徴を用いて、対処の緊急性をより正確に判断することができ、不正処理が実行される可能性をさらに低減することができる。

なお、演算部１２および対処実行部１４は、例えばメール処理サーバ１０が有するプロセッサにより実現することができる。また、記憶部１１は、例えばメール処理サーバ１０が有するメモリにより実現することができる。また、図１に示した各要素間を接続する線は通信経路の一部を示すものであり、図示した通信経路以外の通信経路も設定可能である。

〔第２の実施の形態〕
次に第２の実施の形態について説明する。第２の実施の形態は、不正メールを検知した場合、その不正メールに応じて、不正メールの削除処理を行う利用者の優先度を決定し、優先度の高い利用者のメールボックスから順に、不正メールの削除処理を実施するものである。なお、以下の説明では、電子メールを単に「メール」と呼ぶこととする。

図２は、第２の実施の形態のシステム構成例を示す図である。内部ネットワーク２０と外部ネットワーク３１とは、ファイアウォール３２を介して接続されている。外部ネットワーク３１は、例えばインターネットである。内部ネットワーク２０は、例えば社内のＬＡＮ（Local Area Network）である。ファイアウォール３２には、メールセンサ３３を介してＤＭＺ（DeMilitarized Zone）メールサーバ３４が接続されている。メールセンサ３３は、不正メールを検知する機器である。

内部ネットワーク２０には、ファイアウォール３２に加え、複数の端末装置５０，５０ａ，・・・やメール処理サーバ１００が接続されている。端末装置５０，５０ａ，・・・は、ユーザが使用するコンピュータである。メール処理サーバ１００は、複数の端末装置５０，５０ａ，・・・を使用するユーザ宛のメールを管理するコンピュータである。メール処理サーバ１００は、不正メールが検知された場合には、例えば不正メールの削除を行うことができる。

外部ネットワーク３１を介して送られたメールは、ファイアウォール３２を経由して、ＤＭＺメールサーバ３４に送られている。メールは、ＤＭＺメールサーバ３４から、メール処理サーバ１００に転送される。メール処理サーバ１００は、受信したメールを、ユーザごとのメールボックスに格納する。ユーザは、例えば端末装置５０を用いて、メール処理サーバ１００にアクセスし、自身宛てのメールを、使用している端末装置５０にダウンロードする。端末装置５０には、メールの本文が表示される。

メールの本文にＵＲＬ（Uniform Resource Locator）へのリンクが含まれている場合、ユーザは、そのリンクを選択することができる。ＵＲＬが選択されると、端末装置５０は、ＵＲＬのリンク先のウェブサイトにアクセスし、ＵＲＬに該当するウェブページのデータを取得する。そして端末装置５０の画面に、ウェブページが表示される。表示されたウェブページに、プログラムが埋め込まれている場合、ウェブページを表示した際に、端末装置５０において、埋め込まれていたプログラムが実行される。

メールに添付ファイルがある場合、端末装置５０の画面に、添付ファイルを示すアイコンが表示される。ユーザがそのアイコンを選択すると、添付ファイルが開かれ、端末装置５０の画面に、添付ファイルの内容が表示される。添付ファイルにマクロプログラムなどのプログラムが埋め込まれている場合、添付ファイルの内容が表示される際に、端末装置５０において、埋め込まれていたプログラムが実行される。

図３は、メール処理サーバのハードウェアの一構成例を示す図である。メール処理サーバ１００は、プロセッサ１０１によって装置全体が制御されている。プロセッサ１０１には、バス１０９を介してメモリ１０２と複数の周辺機器が接続されている。プロセッサ１０１は、マルチプロセッサであってもよい。プロセッサ１０１は、例えばＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、またはＤＳＰ（Digital Signal Processor）である。プロセッサ１０１がプログラムを実行することで実現する機能の少なくとも一部を、ＡＳＩＣ（Application Specific Integrated Circuit）、ＰＬＤ（Programmable Logic Device）などの電子回路で実現してもよい。

メモリ１０２は、メール処理サーバ１００の主記憶装置として使用される。メモリ１０２には、プロセッサ１０１に実行させるＯＳ（Operating System）のプログラムやアプリケーションプログラムの少なくとも一部が一時的に格納される。また、メモリ１０２には、プロセッサ１０１による処理に利用する各種データが格納される。メモリ１０２としては、例えばＲＡＭ（Random Access Memory）などの揮発性の半導体記憶装置が使用される。

バス１０９に接続されている周辺機器としては、ＨＤＤ（Hard Disk Drive）１０３、グラフィック処理装置１０４、入力インタフェース１０５、光学ドライブ装置１０６、機器接続インタフェース１０７およびネットワークインタフェース１０８がある。

ＨＤＤ１０３は、内蔵したディスクに対して、磁気的にデータの書き込みおよび読み出しを行う。ＨＤＤ１０３は、メール処理サーバ１００の補助記憶装置として使用される。ＨＤＤ１０３には、ＯＳのプログラム、アプリケーションプログラム、および各種データが格納される。なお、補助記憶装置としては、フラッシュメモリなどの不揮発性の半導体記憶装置（ＳＳＤ：Solid State Drive）を使用することもできる。

グラフィック処理装置１０４には、モニタ２１が接続されている。グラフィック処理装置１０４は、プロセッサ１０１からの命令に従って、画像をモニタ２１の画面に表示させる。モニタ２１としては、ＣＲＴ（Cathode Ray Tube）を用いた表示装置や液晶表示装置などがある。

入力インタフェース１０５には、キーボード２２とマウス２３とが接続されている。入力インタフェース１０５は、キーボード２２やマウス２３から送られてくる信号をプロセッサ１０１に送信する。なお、マウス２３は、ポインティングデバイスの一例であり、他のポインティングデバイスを使用することもできる。他のポインティングデバイスとしては、タッチパネル、タブレット、タッチパッド、トラックボールなどがある。

光学ドライブ装置１０６は、レーザ光などを利用して、光ディスク２４に記録されたデータの読み取りを行う。光ディスク２４は、光の反射によって読み取り可能なようにデータが記録された可搬型の記録媒体である。光ディスク２４には、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）などがある。

機器接続インタフェース１０７は、メール処理サーバ１００に周辺機器を接続するための通信インタフェースである。例えば機器接続インタフェース１０７には、メモリ装置２５やメモリリーダライタ２６を接続することができる。メモリ装置２５は、機器接続インタフェース１０７との通信機能を搭載した記録媒体である。メモリリーダライタ２６は、メモリカード２７へのデータの書き込み、またはメモリカード２７からのデータの読み出しを行う装置である。メモリカード２７は、カード型の記録媒体である。

ネットワークインタフェース１０８は、内部ネットワーク２０に接続されている。ネットワークインタフェース１０８は、内部ネットワーク２０を介して、他のコンピュータまたは通信機器との間でデータの送受信を行う。

以上のようなハードウェア構成によって、メール処理サーバ１００を実現することができる。また図２に示す他の装置も、図３に示したメール処理サーバ１００と同様のハードウェアにより実現できる。第１の実施の形態に示したメール処理サーバ１０も、図３に示したメール処理サーバ１００と同様のハードウェアにより実現できる。

メール処理サーバ１００は、例えばコンピュータ読み取り可能な記録媒体に記録されたプログラムを実行することにより、第２の実施の形態の処理機能を実現する。メール処理サーバ１００に実行させる処理内容を記述したプログラムは、様々な記録媒体に記録しておくことができる。例えば、メール処理サーバ１００に実行させるプログラムをＨＤＤ１０３に格納しておくことができる。プロセッサ１０１は、ＨＤＤ１０３内のプログラムの少なくとも一部をメモリ１０２にロードし、プログラムを実行する。またメール処理サーバ１００に実行させるプログラムを、光ディスク２４、メモリ装置２５、メモリカード２７などの可搬型記録媒体に記録しておくこともできる。可搬型記録媒体に格納されたプログラムは、例えばプロセッサ１０１からの制御により、ＨＤＤ１０３にインストールされた後、実行可能となる。またプロセッサ１０１が、可搬型記録媒体から直接プログラムを読み出して実行することもできる。

次に、不正メールの削除処理について説明する。本システムのユーザ宛に、悪意の第三者が不正メールを送信する場合がある。例えば不正メールには、不正行為を行うためのウェブサイトへのリンクを示すＵＲＬが含まれていることがある。また不正メールの添付ファイルに、不正行為を実行するプログラムが組み込まれている場合がある。

外部ネットワーク３１から送られた不正メールは、メールセンサ３３で検知される。例えばメールセンサ３３は、添付ファイルの振る舞いを分析し、内部データを送信する処理のような、情報漏洩の疑いがある処理が実行されるか否かを判断する。そしてメールセンサ３３は、予め設定された不正メール判定条件に適合する処理が実行された場合、該当するメールを不正メールと判断する。

ただし、メールセンサ３３において、受信したメールが不正であると確定するまでには時間がかかる。そのため、メールセンサ３３が受信メールの不正の有無を判断している間に、そのメールは、メール処理サーバ１００の宛先となる各ユーザのメールボックスに格納される。ユーザが、例えば端末装置５０を用いてそのメールのダウンロードを行えば、メールは、ユーザが使用する端末装置５０に格納される。そのため、メールセンサ３３において、受信したメールが不正メールであると判断したときは、その不正メールはメール処理サーバ１００に格納されているとともに、端末装置５０，５０ａ，・・・に格納されている可能性もある。

そこで、メールセンサ３３で不正メールを検知すると、不正メールの削除処理が実行される。
図４は、不正メールの削除処理の概略を示す図である。メール処理サーバ１００は、メールを処理するために、行動記録部１１０，メール実行記録データベース（ＤＢ）１２０、行動パターン管理部１３０、行動パターンＤＢ１４０、メール削除部１５０、および内部メールサーバ１６０を有する。

行動記録部１１０は、受信したメールに対してユーザが取った危険行動の履歴を、メール実行記録ＤＢ１２０に記録する。危険行動は、例えばユーザによる添付ファイルを開く操作や、メール本文に示されるＵＲＬを選択し、他のウェブページを開く操作である。なお、受信したメールをユーザが開き、内容を表示させる操作を、危険行為に含めてもよい。メール実行記録ＤＢ１２０には、各ユーザがメールに対して行った行動の履歴が蓄積される。例えば行動記録部１１０は、複数の端末装置５０，５０ａ，・・・から行動情報が送られるごとに、受信した行動情報を、行動の履歴として行動をメール実行記録ＤＢ１２０に格納する。

行動パターン管理部１３０は、受信したメールに対するユーザの行動パターンを、行動パターンＤＢ１４０を用いて管理する。行動パターンＤＢ１４０には、各ユーザの行動パターンが記録される。例えば行動パターン管理部１３０は、行動記録部１１０から取得した行動情報に基づいて、各ユーザの行動パターンを解析する。例えば行動パターン管理部１３０は、各ユーザが、どのようなメールをどのような時期に受信すると、メールに添付されたファイルを開きやすいかを数値化して記録する。

メール削除部１５０は、不正メール検知データ７２に基づいて、内部メールサーバ１６０からの不正メールの削除処理を行う。例えば、メール削除部１５０は、行動パターンＤＢ１４０を参照し、各ユーザの行動パターンに応じ、緊急性の高いユーザのメールボックスから順に、不正メールを削除する。

内部メールサーバ１６０は、ユーザのメールを保持・管理する。内部メールサーバ１６０は、ユーザごとのメールボックス１６１，１６２，・・・を有している。各メールボックス１６１，１６２，・・・には、対応するユーザ宛のメールが格納される。

端末装置５０は、メールボックス５１とメーラ５２を有している。メールボックス５１には、端末装置５０を使用するユーザ宛のメールが格納される。メーラ５２は、内部メールサーバ１６０からメールをダウンロードし、そのメールをメールボックス５１に格納する。またメーラ５２は、メールボックス５１内のメールを表示する。さらにメーラ５２は、ユーザの操作により添付ファイルが開かれた場合、添付ファイルの開封行動が行われたことを示す行動情報を、行動記録部１１０に通知する。またメーラ５２は、ユーザの操作により、メール本文に示されるリンクのＵＲＬが選択された場合、ＵＲＬの選択行動が行われたことを示す行動情報を、行動記録部１１０に通知する。

このようなシステムにおいて、外部ネットワーク３１を介してＤＭＺメールサーバ３４に不正メール７１が送られると、メールセンサ３３が不正メールを検知する。すると、メールセンサ３３からメール削除部１５０へ、不正メールを検知したことを示す不正メール検知データ７２が送信される。不正メール検知データ７２を受信したメール削除部１５０は、行動パターン管理部１３０から、不正メールの宛先である各ユーザの行動パターン情報を取得する。そして、メール削除部１５０は、取得した行動パターン情報に基づいて、不正メールの宛先のユーザに対して、不正メールの削除処理の実施順に関する優先度を決定する。例えばメール削除部１５０は、現在の時刻や不正メールの種別などの特徴に鑑み、不正メールに対して危険行動を早く行う傾向にあるユーザほど、優先度を高くする。そしてメール削除部１５０は、優先度に従ってユーザを順番に選択し、選択したユーザの内部メールサーバ１６０内のメールボックスから不正メールを削除する。なお、不正メールが端末装置５０，５０ａ，・・・に既にダウンロードされている場合、メール削除部１５０は、選択したユーザの使用する端末装置に不正メールの検出を通知し、端末装置に対して不正メールを削除させることもできる。

なお、図４に示した各要素間を接続する線は通信経路の一部を示すものであり、図示した通信経路以外の通信経路も設定可能である。また、メール処理サーバ１００内の各要素は、別々のコンピュータに分散して設けることもできる。さらに、図４に示した各装置の機能は、例えば、その要素に対応するプログラムモジュールをコンピュータに実行させることで実現することができる。

次に、図３、図４に示すシステムで用いられる情報について、具体的に説明する。
図５は、メール実行記録ＤＢの一例を示す図である。メール実行記録ＤＢ１２０には、例えば行動管理テーブル１２１が格納されている。行動管理テーブル１２１には、端末装置５０，５０ａ，・・・から収集した行動情報がエントリとして登録されたデータテーブルである。行動管理テーブル１２１には、ＩＤ、行動者、メール受信日時、メール実行日時、特定キーワード、送信元、送信先、実行タイプ、および行動パターンＤＢへの反映の欄が設けられている。

ＩＤの欄には、取得した行動情報の識別番号が設定される。行動者の欄には、行動情報を採取したメーラの使用者の名称が設定される。メール受信日時の欄には、行動対象となったメールの、内部メールサーバ１６０における受信日時が設定される。メール実行日時の欄には、メールに対する危険行動の実行日時が設定される。特定キーワードの欄には、メールのタイトルなどに含まれるキーワードが設定される。特定キーワードとしては、「重大」、「至急」などがある。送信元の欄には、行動対象となったメールの送信元のメールアドレスが設定される。送信先の欄には、行動対象となったメールの送信先のメールアドレスが設定される。実行タイプの欄には、危険行動の種別が設定される。例えばＰＤＦ（Portable Document Format）ファイルが開かれた場合、実行タイプの欄に「pdf」と設定される。拡張子が「doc」のファイルが開かれた場合、実行タイプの欄に「doc」と設定される。拡張子が「exe」のファイルが実行された場合、実行タイプの欄に「exe」と設定される。ウェブサイトへのリンクを示すＵＲＬが選択された場合、実行タイプの欄に「URL」と設定される。行動パターンＤＢへの反映の欄には、行動情報の内容を、行動パターンＤＢ１４０に反映したかどうかを示すフラグが設定される。反映済みであれば、行動パターンＤＢへの反映の欄に「済」と設定され、未反映であれば、行動パターンＤＢへの反映の欄に「未」と設定される。

図６は、行動パターンＤＢの一例を示す図である。行動パターンＤＢ１４０には、ユーザごとの行動パターン管理情報１４１，１４２，・・・が格納されている。行動パターン管理情報１４１，１４２，・・・には、例えば対応するユーザのメールアドレスが設定されている。

行動パターン管理情報１４１，１４２，・・・は、対応するユーザが、どのようなときに危険行動を実行するのかを示す情報である。例えば行動パターン管理情報１４１には、時間視点集計情報１４１−１と時刻視点集計情報１４１−２とが含まれる。時間視点集計情報１４１−１は、メールの受信時から危険行動までの経過時間に基づく、行動パターンの集計情報である。時刻視点集計情報１４１−２は、危険行動が実行された時刻に基づく、行動パターンの集計情報である。

図７は、時間視点集計情報の一例を示す図である。時間視点集計情報１４１−１には、全体管理テーブル１４１ａ、件名キーワード別管理テーブル１４１ｂ、実行タイプ別管理テーブル１４１ｃ、送信元アドレス別管理テーブル１４１ｄ、および送信先アドレス別管理テーブル１４１ｅが含まれる。

全体管理テーブル１４１ａは、すべての行動情報を、メール受信から危険行動の実行までの時間で集計した結果が登録されたデータテーブルである。全体管理テーブル１４１ａには、「〜５分」、「５分〜６０分」、「６０分〜」、および「５分以内の実行割合」の欄が設けられている。「〜５分」の欄には、メール受信から危険行動までの時間が５分以内である行動情報の件数が設定される。「５分〜６０分」の欄には、メール受信から危険行動までの時間が５分より長く、６０分以内である行動情報の件数が設定される。「６０分〜」の欄には、メール受信から危険行動までの時間が６０分より長い行動情報の件数が設定される。「５分以内の実行割合」の欄には、ユーザが行った行動情報の全体の件数に対する、メール受信から危険行動までの時間が５分以内である行動情報の件数の割合が設定される。

件名キーワード別管理テーブル１４１ｂは、行動情報をキーワードで分類し、メール受信から危険行動の実行までの時間で集計した結果が登録されたデータテーブルである。件名キーワード別管理テーブル１４１ｂには、「キーワード」、「〜５分」、「５分〜６０分」、「６０分〜」、および「５分以内の実行割合」の欄が設けられている。キーワードの欄には、危険行動の対象となったメールの件名に含まれるキーワードが設定される。「〜５分」の欄には、対応するキーワードを件名に有するメールに対する危険行動を示す行動情報のうち、メール受信から危険行動までの時間が５分以内である行動情報の件数が設定される。「５分〜６０分」の欄には、対応するキーワードを件名に有するメールに対する危険行動を示す行動情報のうち、メール受信から危険行動までの時間が５分より長く、６０分以内である行動情報の件数が設定される。「６０分〜」の欄には、対応するキーワードを件名に有するメールに対する危険行動を示す行動情報のうち、メール受信から危険行動までの時間が６０分より長い行動情報の件数が設定される。「５分以内の実行割合」の欄には、対応するキーワードを件名に有するメールに対する危険行動を示す行動情報の件数に対する、メール受信から危険行動までの時間が５分以内である行動情報の件数の割合が設定される。

実行タイプ別管理テーブル１４１ｃは、行動情報を実行タイプで分類し、メール受信から危険行動の実行までの時間で集計した結果が登録されたデータテーブルである。実行タイプ別管理テーブル１４１ｃには、「実行タイプ」、「〜５分」、「５分〜６０分」、「６０分〜」、および「５分以内の実行割合」の欄が設けられている。実行タイプの欄には、危険行動の対象となったメールの実行タイプが設定される。「〜５分」の欄には、対応する実行タイプの危険行動を示す行動情報のうち、メール受信から危険行動までの時間が５分以内である行動情報の件数が設定される。「５分〜６０分」の欄には、対応する実行タイプの危険行動を示す行動情報のうち、メール受信から危険行動までの時間が５分より長く、６０分以内である行動情報の件数が設定される。「６０分〜」の欄には、対応する実行タイプの危険行動を示す行動情報のうち、メール受信から危険行動までの時間が６０分より長い行動情報の件数が設定される。「５分以内の実行割合」の欄には、対応する実行タイプの危険行動を示す行動情報の件数に対する、メール受信から危険行動までの時間が５分以内である行動情報の件数の割合が設定される。

送信元アドレス別管理テーブル１４１ｄは、行動情報を送信元アドレスの種別で分類し、メール受信から危険行動の実行までの時間で集計した結果が登録されたデータテーブルである。送信元アドレス別管理テーブル１４１ｄには、「送信元アドレス」、「〜５分」、「５分〜６０分」、「６０分〜」、および「５分以内の実行割合」の欄が設けられている。送信元アドレスの欄には、危険行動の対象となったメールの送信元アドレスの種別が設定される。メールの送信元のアドレスが社内のアドレスであれば、送信元アドレスの欄に「社内」と設定される。メールの送信元のアドレスが社外のアドレスであれば、送信元アドレスの欄に「社外」と設定される。「〜５分」の欄には、対応する送信元アドレスを有するメールに対する危険行動を示す行動情報のうち、メール受信から危険行動までの時間が５分以内である行動情報の件数が設定される。「５分〜６０分」の欄には、対応する送信元アドレスを有するメールに対する危険行動を示す行動情報のうち、メール受信から危険行動までの時間が５分より長く、６０分以内である行動情報の件数が設定される。「６０分〜」の欄には、対応する送信元アドレスを有するメールに対する危険行動を示す行動情報のうち、メール受信から危険行動までの時間が６０分より長い行動情報の件数が設定される。「５分以内の実行割合」の欄には、対応する送信元アドレスの危険行動を示す行動情報の件数に対する、メール受信から危険行動までの時間が５分以内である行動情報の件数の割合が設定される。

送信先アドレス別管理テーブル１４１ｅは、行動情報を送信先アドレスの種別で分類し、メール受信から危険行動の実行までの時間で集計した結果が登録されたデータテーブルである。送信先アドレス別管理テーブル１４１ｅには、「送信先アドレス」、「〜５分」、「５分〜６０分」、「６０分〜」、および「５分以内の実行割合」の欄が設けられている。送信先アドレスの欄には、危険行動の対象となったメールの送信先アドレスの種別が設定される。メールの送信先のアドレスが個人向けのアドレスであれば、送信先アドレスの欄に「個人」と設定される。メールの送信先のアドレスが、複数のユーザを含むグループ向けのアドレスであれば、送信先アドレスの欄に「リスト」と設定される。「〜５分」の欄には、対応する送信先アドレスを有するメールに対する危険行動を示す行動情報のうち、メール受信から危険行動までの時間が５分以内である行動情報の件数が設定される。「５分〜６０分」の欄には、対応する送信先アドレスを有するメールに対する危険行動を示す行動情報のうち、メール受信から危険行動までの時間が５分より長く、６０分以内である行動情報の件数が設定される。「６０分〜」の欄には、対応する送信先アドレスを有するメールに対する危険行動を示す行動情報のうち、メール受信から危険行動までの時間が６０分より長い行動情報の件数が設定される。「５分以内の実行割合」の欄には、対応する送信先アドレスの危険行動を示す行動情報の件数に対する、メール受信から危険行動までの時間が５分以内である行動情報の件数の割合が設定される。

図８は、時刻視点集計情報の一例を示す図である。時刻視点集計情報１４１−２には、１日視点の実行割合管理テーブル１４１ｆ、１週間視点の実行割合管理テーブル１４１ｇ、および１ヶ月視点の実行割合管理テーブル１４１ｈが含まれる。

１日視点の実行割合管理テーブル１４１ｆは、危険行動の実行時刻に基づいて、危険行動の実行件数を、１日の時間帯ごとに集計した結果が登録されたデータテーブルである。１日視点の実行割合管理テーブル１４１ｆには、「実行時間」、「実行件数」、および「実行割合」の欄が設けられている。「実行時間」の欄には、１日を複数の時間帯に分割したときの各時間帯が設定される。「実行件数」の欄には、対応する時間帯内に実行された危険行動が実行された件数が設定される。「実行割合」の欄には、すべての危険行動の実行件数に対する、対応する時間帯内に行われた危険行動の実行件数の割合が設定される。

１週間視点の実行割合管理テーブル１４１ｇは、危険行動の実行時刻に基づいて、危険行動の実行件数を、１週間の曜日ごとに集計した結果が登録されたデータテーブルである。１週間視点の実行割合管理テーブル１４１ｇには、「実行曜日」、「実行件数」、および「実行割合」の欄が設けられている。「実行曜日」の欄には、曜日が設定される。「実行件数」の欄には、対応する曜日に実行された危険行動が実行された件数が設定される。「実行割合」の欄には、すべての危険行動の実行件数に対する、対応する曜日に行われた危険行動の実行件数の割合が設定される。

１ヶ月視点の実行割合管理テーブル１４１ｈは、危険行動の実行時刻に基づいて、危険行動の実行件数を、１ヶ月の日付ごとに集計した結果が登録されたデータテーブルである。１ヶ月視点の実行割合管理テーブル１４１ｈには、「実行日」、「実行件数」、および「実行割合」の欄が設けられている。「実行日」の欄には、日付が設定される。「実行件数」の欄には、対応する日に実行された危険行動が実行された件数が設定される。「実行割合」の欄には、すべての危険行動の実行件数に対する、対応する日に行われた危険行動の実行件数の割合が設定される。

図９は、不正メール検知データの一例を示す図である。不正メール検知データ７２は、「メッセージＩＤ」、「メール受信日」、「メール受信時刻」、「特定キーワード」、「送信元」、「送信先」、および「実行タイプ」のフィールドを有している。「メッセージＩＤ」のフィールドには、不正メール検知データ７２を通知するメッセージの識別子（メッセージＩＤ）が設定される。なお同報送信されたメールには、同じメッセージＩＤが付与されている。「メール受信日」のフィールドには、不正メールの受信日が設定される。「メール受信時刻」のフィールドには、不正メールの受信時刻が設定される。「特定キーワード」のフィールドには、予め指定された特定のキーワードのうち、不正メールの件名に含まれるキーワードが設定される。「送信元」のフィールドには、不正メールの送信元のメールアドレスが設定される。「送信先」のフィールドには、不正メールの送信先のメールアドレスが設定される。「実行タイプ」のフィールドには、不正メールを用いて実行される不正処理の種別が設定される。

以上のような各種情報を用いて、不正メールの削除を、適切な順番で行うことができる。不正メールの削除順を適切に判断するために、予め各ユーザの行動パターンが解析される。行動パターンの解析のために、まず、受信したメールに対してユーザが実行した危険行動の行動情報が収集される。

図１０は、行動情報収集処理の手順を示すシーケンス図である。内部メールサーバ１６０は、ＤＭＺメールサーバ３４からメールを受信する（ステップＳ１０１）。内部メールサーバ１６０は、受信したメールを、送信先のメールアドレスに対応するメールボックスに格納する。

その後、端末装置５０が、内部メールサーバ１６０に受信メール取得要求を送信する（ステップＳ１０２）。例えば、端末装置５０は、メーラ５２に予め設定されている時間間隔で、受信メール取得要求を送信する。また端末装置５０は、ユーザからの受信メール取得を示す入力に応じて、受信メール取得要求を送信することもできる。

受信メール取得要求を受信した内部メールサーバ１６０は、端末装置５０を使用しているユーザ用のメールボックス内に格納されているメールを、端末装置５０に送信する（ステップＳ１０３）。この際、内部メールサーバ１６０は、送信したメールを、メールボックスから削除することもできる。内部メールサーバ１６０からメールを受信した端末装置５０は、そのメールを、メールボックス５１内の受信メールのフォルダに格納する（ステップＳ１０４）。ステップＳ１０２〜Ｓ１０４の処理により、端末装置５０にメールがダウンロードされる。

ユーザが端末装置５０に対して受信したメールを表示させる入力を行うと、端末装置５０は、メールを画面に表示する。メールに添付ファイルがある場合、例えば添付ファイルがあることを示すアイコンも表示される。添付ファイルの存在を示すアイコンがユーザによって選択されると、端末装置５０は、添付ファイルを開き、内容を画面に表示する（ステップＳ１０５）。

ユーザによる添付ファイルを表示させる操作は、危険行動として、メーラ５２によって行動情報が取得される（ステップＳ１０６）。取得する行動情報の内容は、図５に示した行動管理テーブル１２１の各欄に示す情報のうち、「行動パターンＤＢへの反映」の欄以外の情報である。行動者は、メーラ５２を使用しているユーザ名である。メール受信日時、送信元、および送信先は、行動対象のメールのヘッダから取得できる。メール実行日時は、添付ファイルが開かれたときの、端末装置５０の内部時計の時刻である。特定キーワードは、行動対象のメールの件名から取得できる。実行タイプは、添付ファイルの拡張子に基づいて判断される。

端末装置５０は、取得した行動情報を、行動記録部１１０に送信する（ステップＳ１０７）。行動情報を受信した行動記録部１１０は、メール実行記録ＤＢ１２０に、その行動情報を追加の行動として記録する（ステップＳ１０８）。例えば、行動記録部１１０は、受信した行動情報を１つのエントリとして、行動管理テーブル１２１に追加する。その際、行動記録部１１０は、行動パターンＤＢへの反映の欄を、未反映を示す値「未」とする。

このようにして、ユーザによるメールの添付ファイルを開く行動に関する情報が、メール実行記録ＤＢ１２０に蓄積される。なお図１０の例では、添付ファイルを開く危険行動の例を示しているが、ユーザが外部リンクへのＵＲＬを選択し、リンク先のページを表示させた場合にも、同様に行動情報が記録される。

その後、メール実行記録ＤＢ１２０に記録された行動情報を用いて、行動パターン管理部１３０によってユーザの行動パターンが解析される。
図１１は、行動パターン解析処理の概略手順の一例を示すフローチャートである。

［ステップＳ１１１］行動パターン管理部１３０は、定期的に、行動情報を取得する。例えば行動パターン管理部１３０は、１時間ごとに行動情報を取得する。行動情報の取得では、例えば、行動管理テーブル１２１から、行動パターンＤＢへの反映の欄が「未」となっている行動情報が取得される。

［ステップＳ１１２］行動パターン管理部１３０は、取得した行動情報に基づいて統計分析処理を実行する。統計分析処理の詳細は後述する。
［ステップＳ１１３］行動パターン管理部１３０は、統計分析処理の結果に応じて行動パターンＤＢ１４０内の情報を更新する。

このような手順で行動パターンが解析される。より詳細には、行動パターンＤＢに反映していない行動情報が１つずつ選択され、選択した行動情報に基づいて、行動パターンＤＢが順次更新される。

次に、行動パターン解析処理について詳細に説明する。
図１２は、行動パターン解析処理の詳細手順の一例を示すフローチャートである。
［ステップＳ１２１］行動パターン管理部１３０は、前回の処理から一定時間が経過したか否かを判断する。一定時間が経過した場合、処理がステップＳ１２３に進められる。一定時間が経過していなければ、処理がステップＳ１２２に進められる。

［ステップＳ１２２］行動パターン管理部１３０は、処理終了の指示があるか否かを判断する。処理終了の指示があれば、統計分析処理を終了し、指示がなければ、処理がステップＳ１２１に進められる。

［ステップＳ１２３］行動パターン管理部１３０は、メール実行記録ＤＢ１２０内に、行動パターンＤＢ１４０に未反映の行動情報があるか否かを判断する。例えば行動パターン管理部１３０は、行動管理テーブル１２１を参照し、行動パターンＤＢへの反映の欄が「未」である行動情報の有無を判断する。未反映の行動情報があれば、処理がステップＳ１２４に進められる。未反映の行動情報がなければ、処理がステップＳ１２１に進められる。

［ステップＳ１２４］行動パターン管理部１３０は、メール実行記録ＤＢ１２０から、未反映の行動情報を１つ取得する。取得した行動情報には、行動者、メール受信日時、メール実行日時、特定キーワード、送信元アドレス、送信先アドレス、および実行タイプの情報が含まれる。

以下、ステップＳ１２５〜Ｓ１２８において、取得した行動情報の行動者に対応する行動パターン管理情報が更新される。
［ステップＳ１２５］行動パターン管理部１３０は、行動パターンＤＢの更新処理を行う。この処理の詳細は後述する（図１３参照）。

［ステップＳ１２６］行動パターン管理部１３０は、取得した行動情報における受信から実行までの経過時間が、メール受信から５分以内か否かを判断する。経過時間は、メール実行日時からメール受信日時を減算することで得られる。経過時間が５分以内であれば、処理がステップＳ１２７に進められる。経過時間が５分より長ければ、処理がステップＳ１２８に進められる。

［ステップＳ１２７］行動パターン管理部１３０は、時間視点の実行割合を計算する。この処理の詳細は後述する（図１４参照）。
［ステップＳ１２８］行動パターン管理部１３０は、時刻視点の実行割合を計算する。この処理の詳細は後述する（図１５参照）。

［ステップＳ１２９］行動パターン管理部１３０は、行動記録部１１０のメール実行記録ＤＢ１２０にアクセスし、行動管理テーブル１２１内の取得した行動情報の「行動パターンＤＢへの反映」の欄の値を「済」に変更する。その後、処理がステップＳ１２３に進められる。

次に、行動パターンＤＢ更新処理の詳細について説明する。
図１３は、行動パターンＤＢ更新処理の手順の一例を示すフローチャートである。
［ステップＳ１３１］行動パターン管理部１３０は、メール受信から危険行動の実行までの経過時間を計算する。例えば行動パターン管理部１３０は、メール実行日時からメール受信日時を減算する。

［ステップＳ１３２］行動パターン管理部１３０は、全体管理テーブル１４１ａ（図７参照）内の、ステップＳ１３１で求めた経過時間に合致する欄の値を、１だけ増やす。例えば実行までの経過時間が４５分であれば、「５分〜６０分」の欄の件数が、１だけ増やされる。

［ステップＳ１３３］行動パターン管理部１３０は、件名キーワード別管理テーブル１４１ｂ（図７参照）内の、取得した行動情報の特定キーワードに関する、ステップＳ１３１で求めた経過時間に合致する欄の値を、１だけ増やす。例えば、実行までの経過時間が３分で、メールの件名に「至急」を含む場合、至急に関する「〜５分」の欄の件数が、１だけ増やされる。

［ステップＳ１３４］行動パターン管理部１３０は、実行タイプ別管理テーブル１４１ｃ（図７参照）内の、取得した行動情報の実行タイプに関する、ステップＳ１３１で求めた経過時間に合致する欄の値を、１だけ増やす。

［ステップＳ１３５］行動パターン管理部１３０は、送信元アドレス別管理テーブル１４１ｄ（図７参照）内の、取得した行動情報の送信元アドレスに関する、ステップＳ１３１で求めた経過時間に合致する欄の値を、１だけ増やす。

［ステップＳ１３６］行動パターン管理部１３０は、送信先アドレス別管理テーブル１４１ｅ（図７参照）内の、取得した行動情報の送信先アドレスに関する、ステップＳ１３１で求めた経過時間に合致する欄の値を、１だけ増やす。

［ステップＳ１３７］行動パターン管理部１３０は、１日視点の実行割合管理テーブル１４１ｆ（図８参照）内の、行動情報のメール実行日時における時間に合致する欄の値を、１だけ増やす。例えばメール実行日時における時間が「０９：３０」の場合、「０９：００〜１０：００」の件数が、１だけ増やされる。

［ステップＳ１３８］行動パターン管理部１３０は、１週間視点の実行割合管理テーブル１４１ｇ（図８参照）内の、行動情報のメール実行日時における曜日に合致する欄の値を、１だけ増やす。

［ステップＳ１３９］行動パターン管理部１３０は、１ヶ月視点の実行割合管理テーブル１４１ｈ（図８参照）内の、行動情報のメール実行日時における日付に合致する欄の値を、１だけ増やす。

次に、時間視点の実行割合計算処理の詳細について説明する。
図１４は、時間視点の実行割合計算の手順の一例を示すフローチャートである。
［ステップＳ１５１］行動パターン管理部１３０は、全体管理テーブル１４１ａ（図７参照）に基づいて、メールの合計件数を計算する。図７に示した例であれば、１００件＋２００件＋１２０件＝４２０件となる。

［ステップＳ１５２］行動パターン管理部１３０は、すべてのメールのうち、受信から５分以内に危険行動が実行されたメールの割合を計算する。図７の例では、５分以内に実行されたのは１００件であるため、５分以内の実行割合は「１００／４２０≒０．２４」となる。

［ステップＳ１５３］行動パターン管理部１３０は、件名キーワード別管理テーブル１４１ｂ（図７参照）に基づいて、件数が更新されたキーワードに関して、５分以内に危険行動が実行されたメールの割合を計算する。例えば行動パターン管理部１３０は、まず、件数が更新されたキーワードの合計件数を計算する。図７に示した例において、「至急」が更新されたのであれば、５件＋３件＋０件＝８件となる。そして行動パターン管理部１３０は、該当キーワードについての５分以内に実行された件数を、合計件数で除算し、５分以内の実行割合とする。例えば「至急」が更新されたのであれば、５分以内の実行割合は「５／８≒０．６３」となる。

［ステップＳ１５４］行動パターン管理部１３０は、実行タイプ別管理テーブル１４１ｃ（図７参照）に基づいて、件数が更新された実行タイプに関して、５分以内に危険行動が実行されたメールの割合を計算する。例えば行動パターン管理部１３０は、まず、件数が更新された実行タイプの合計件数を計算する。そして行動パターン管理部１３０は、該当実行タイプについての５分以内に実行された件数を、合計件数で除算し、５分以内の実行割合とする。

［ステップＳ１５５］行動パターン管理部１３０は、送信元アドレス別管理テーブル１４１ｄ（図７参照）に基づいて、件数が更新された送信元アドレスに関して、５分以内に危険行動が実行されたメールの割合を計算する。例えば行動パターン管理部１３０は、まず、件数が更新された送信元アドレスの合計件数を計算する。そして行動パターン管理部１３０は、該当送信元アドレスについての５分以内に実行された件数を、合計件数で除算し、５分以内の実行割合とする。

［ステップＳ１５６］行動パターン管理部１３０は、送信先アドレス別管理テーブル１４１ｅ（図７参照）に基づいて、件数が更新された送信先アドレスに関して、５分以内に危険行動が実行されたメールの割合を計算する。例えば行動パターン管理部１３０は、まず、件数が更新された送信先アドレスの合計件数を計算する。そして行動パターン管理部１３０は、該当送信先アドレスについての５分以内に実行された件数を、合計件数で除算し、５分以内の実行割合とする。

次に、時刻視点の実行割合計算処理の詳細について説明する。
図１５は、時刻視点の実行割合計算の手順の一例を示すフローチャートである。
［ステップＳ１６１］行動パターン管理部１３０は、１日視点の実行割合管理テーブル１４１ｆ（図８参照）に基づいて、すべての時間帯に関して、該当時間帯内に危険行動が実行されたメールの割合を計算する。例えば行動パターン管理部１３０は、まず、１日視点の実行割合管理テーブル１４１ｆの時間帯ごとの実行件数の合計件数を計算する。そして行動パターン管理部１３０は、時間帯ごとに、その時間帯内の実行件数を合計件数で除算し、その時間帯の実行割合とする。

［ステップＳ１６２］行動パターン管理部１３０は、１週間視点の実行割合管理テーブル１４１ｇ（図８参照）に基づいて、すべての曜日に関して、該当曜日内に危険行動が実行されたメールの割合を計算する。例えば行動パターン管理部１３０は、まず、１週間視点の実行割合管理テーブル１４１ｇの曜日ごとの実行件数の合計件数を計算する。そして行動パターン管理部１３０は、曜日ごとに、その曜日内の実行件数を合計件数で除算し、その曜日の実行割合とする。

［ステップＳ１６３］行動パターン管理部１３０は、１ヶ月視点の実行割合管理テーブル１４１ｈ（図８参照）に基づいて、すべての日に関して、該当する日内に危険行動が実行されたメールの割合を計算する。例えば行動パターン管理部１３０は、まず、１ヶ月視点の実行割合管理テーブル１４１ｈの日ごとの実行件数の合計件数を計算する。そして行動パターン管理部１３０は、日ごとに、その日内の実行件数を合計件数で除算し、その日の実行割合とする。

以上のようにして、行動パターンＤＢ１４０が更新される。行動パターンＤＢ１４０が更新されることで、各ユーザの危険行動に関する行動パターンが、行動パターンＤＢ１４０に保持される。その後、メールセンサ３３によって不正メールが検出されると、メール削除部１５０により、行動パターンＤＢ１４０を参照することで、不正メールを受信した各ユーザについて、検出された不正メールに対して危険行動をすぐに実行してしまう可能性が判定される。

図１６は、不正メール削除処理の手順の一例を示すシーケンス図である。メールセンサ３３が、不正メールを検知する（ステップＳ２０１）。すると、メールセンサ３３は、不正メール検知データをメール削除部１５０に送信する（ステップＳ２０２）。メール削除部１５０は、不正メールの送信先であるユーザごとに、すぐに危険行動を実行する可能性を示す危険度を計算する（ステップＳ２０３）。

メール削除部１５０は、危険度の高い順に、不正メールの送信先のユーザを選択し、選択したユーザのメールボックスからの不正メールの削除要求を、内部メールサーバ１６０に送信する（ステップＳ２０４）。例えば不正メールの削除要求には、ユーザのメールアドレスと不正メールのメッセージＩＤとが含められる。

内部メールサーバ１６０は、不正メールの削除要求に従って、メールボックスから不正メールを削除する（ステップＳ２０５）。例えば内部メールサーバ１６０は、通知されたメッセージＩＤを有するメールを、通知されたユーザのメールアドレスに対応するメールボックスから削除する。

ユーザごとの危険度は、例えば時間視点での危険レベルや時刻視点での危険レベルに基づいて、総合的に判定される。
図１７は、ユーザごとの危険度の判定例を示す図である。図１７の例では、１８時０１分に、件名に「至急」を含み、ＰＤＦファイルが添付された不正メール７１を受信したものとする。不正メール７１は、メールセンサ３３によって検知され、メールセンサ３３からメール削除部１５０に、不正メール検知データ７２が送られる。

メール削除部１５０は、行動パターンＤＢ１４０から、メールの受信者であるユーザの行動パターン管理情報を取得する。そしてメール削除部１５０は、ユーザごとに、様々な視点で、送信先のユーザが短時間内（例えば５分以内）に不正メール７１に添付されたＰＤＦファイルを開く可能性を判定する。

例えば、あるユーザの１日視点の実行割合管理テーブル１４１ｆを参照すると、１日内のどの時間帯に、そのユーザが危険行動を実行しやすいのかが分かる。例えば危険行動を非常に実行しやすい時間帯であれば、危険レベルが「高」と判断できる。危険行動を実行することがある程度以上の可能性で認められるのであれば、危険レベルが「中」と判断できる。危険行動を実行する可能性がほとんどないのであれば、危険レベルが「低」と判断できる。

また例えば件名キーワード別管理テーブル１４１ｂを参照すると、メールの件名に「至急」を含む場合、そのメールに対して５分以内に危険行動を実行する割合が高いことが分かる。他方、実行タイプ別管理テーブル１４１ｃを参照すると、ＰＤＦファイルが添付されているときに危険行動が実行される可能性は、あまり高くないことが分かる。この場合、例えば時間視点での危険度として、危険度が高い方の判定結果を採用し、危険レベルを「高」とすることができる。

さらにメール削除部１５０は、時刻視点の危険レベルと時間視点の危険レベルとの両方を用いて、該当ユーザの総合的な危険レベルを算出する。例えばメール削除部１５０は、時刻視点の危険レベルと時間視点の危険レベルとを数値化し、それぞれの危険レベルを掛け合わせた結果を、ユーザの総合的な危険レベルとすることができる。

メール削除部１５０は、このような危険レベルの算出を、不正メール７１の送信先のユーザごとに行い、危険レベルの高いユーザから順に、不正メールの削除を実施する。
次に、メール削除部１５０における不正メールの削除処理について、詳細に説明する。

図１８は、不正メール削除処理の手順を示すフローチャートである。
［ステップＳ２１１］メール削除部１５０は、不正メール検知データを取得する。
［ステップＳ２１２］メール削除部１５０は、不正メール受信者全員の行動パターン管理情報を取得する。例えばメール削除部１５０は、不正メール検知データの送信先フィールドに設定されているメールアドレスを、送信先と判断する。そしてメール削除部１５０は、送信先のメールアドレスに対応するユーザの行動パターン管理情報を、行動パターンＤＢ１４０から取得する。

［ステップＳ２１３］メール削除部１５０は、各ユーザの総合的な危険レベルを算出する。危険レベル算出処理の詳細は後述する（図１９参照）。
［ステップＳ２１４］メール削除部１５０は、危険レベル順での不正メール削除処理を実行する。この処理の詳細は後述する。

図１９は、危険レベル算出処理の手順を示すフローチャートである。
［ステップＳ２２１］メール削除部１５０は、不正メールの送信先のユーザを選択する。例えばメール削除部１５０は、不正メール検知データ内の送信先のフィールドに設定されているアドレスを１つ選択する。

［ステップＳ２２２］メール削除部１５０は、選択したアドレスが社外アドレスか否かを判断する。メール削除部１５０は、例えば、選択したアドレスのドメイン名の部分（“＠”以降）が、社内のサーバのドメイン名か否かにより、アドレスが社内か否かを判断する。社外アドレスであれば、処理がステップＳ２２３に進められる。社内アドレスであれば、処理がステップＳ２２４に進められる。

［ステップＳ２２３］メール削除部１５０は、選択したユーザに対する個別連絡をする。例えばメール削除部１５０は、選択したユーザのメールアドレス宛に、不正メールが送られていることを通知するメールを送信する。その後、処理がステップＳ２３０に進められる。

［ステップＳ２２４］メール削除部１５０は、選択したユーザのアドレスが、メーリングリストか否かを判断する。例えばメール削除部１５０は、予めメーリングリスト用の１以上のアドレスを記憶しており、選択したアドレスが、メーリングリスト用のアドレスの何れかと一致するか否かを判断する。メーリングリストであれば、処理がステップＳ２２５に進められる。メーリングリストでなければ、処理がステップＳ２２６に進められる。

［ステップＳ２２５］メール削除部１５０は、メーリングリストを、個人アドレスに展開する。例えばメール削除部１５０は、内部メールサーバ１６０に、メーリングリストに含まれるユーザのアドレスを問い合わせる。内部メールサーバ１６０は、問い合わせに応じ、該当するユーザのアドレスを、メール削除部１５０に応答する。これにより、メール削除部１５０は、メーリングリストに属する全ユーザの個人アドレスを取得できる。

なお、メーリングリストを個人アドレスに展開した場合、展開後の個人アドレスごとに、ステップＳ２２６〜Ｓ２２９の処理が実行される。
［ステップＳ２２６］メール削除部１５０は、選択したユーザの危険レベルを計算する。例えばメール削除部１５０は、選択したユーザの行動パターン管理情報内のすべてのテーブルにおける、不正メールに該当する実行割合をすべて乗算し、乗算結果をユーザの危険レベルとする。例えば、以下のような不正メール検知データが通知された場合を考える。
メール受信日： ２０１４／１１／１（月）
メール受信時刻： ０９：０３
特定キーワード： 至急
送信元： 社内
送信先： Ｔｏ個人
実行タイプ： doc
選択したユーザの行動パターン管理情報の内容は、図７、図８に示す通りであるものとする。このとき、全体管理テーブル１４１ａから、５分以内の実行割合「０．２４」が抽出される。件名キーワード別管理テーブル１４１ｂから、キーワード「至急」の５分以内の実行割合「０．６３」が抽出される。実行タイプ別管理テーブル１４１ｃから、「doc」の５分以内の実行割合「０．４２」が抽出される。送信元アドレス別管理テーブル１４１ｄから、「社内」の５分以内の実行割合「０．３０」が抽出される。送信先アドレス別管理テーブル１４１ｅから、「Ｔｏ個人」の５分以内の実行割合「０．６２」が抽出される。１日視点の実行割合管理テーブル１４１ｆから、実行時間「０９：００〜１０：００」の実行割合「０．１３」が抽出される。１週間視点の実行割合管理テーブル１４１ｇから、実行曜日「月」の実行割合「０．１７」が抽出される。１ヶ月視点の実行割合管理テーブル１４１ｈから、実行日「１日」の実行割合「０．０５」が抽出される。抽出したすべての実行割合の乗算結果「０．２４×０．６３×０．４２×０．３０×０．６２×０．１３×０．１７×０．０５＝０．００００１３」が、選択したユーザの危険レベルとなる。

［ステップＳ２２７］メール削除部１５０は、危険レベルが所定の閾値を超えているか否かを判断する。危険レベルが閾値を超えている場合、処理がステップＳ２２８に進められる。危険レベルが閾値を超えていなければ、処理がステップＳ２２９に進められる。

［ステップＳ２２８］メール削除部１５０は、選択したユーザが受信した不正メールの削除処理を行う。不正メール削除処理の詳細は後述する（図２１参照）。その後、処理がステップＳ２３０に進められる。

［ステップＳ２２９］メール削除部１５０は、ユーザに対応付けて危険レベルをメモリに保存する。
［ステップＳ２３０］メール削除部１５０は、すべての送信先の危険レベルを計算したか否かを判断する。すべての送信先の危険レベルの計算が完了していれば、危険レベル計算処理が終了する。危険レベルを計算していない送信先があれば、処理がステップＳ２２１に進められる。

次に危険レベル順不正メール削除処理について詳細に説明する。
図２０は、危険レベル順不正メール削除処理の手順の一例を示す図である。
［ステップＳ２４１］メール削除部１５０は、不正メールの送信先のユーザのリストを作成する。不正メールの送信先にメーリングリストが含まれている場合、展開後の個人アドレスがリストに登録される。

［ステップＳ２４２］メール削除部１５０は、図１９のステップＳ２２８において既に不正メールを削除済みのユーザを、リストから削除する。
［ステップＳ２４３］メール削除部１５０は、危険レベルの高い順にユーザを選択する。例えばメール削除部１５０は、リスト内のユーザを危険レベルで降順にソートする。そしてメール削除部１５０は、ソート後の順番の上位から順に、ユーザを選択する。

［ステップＳ２４４］メール削除部１５０は、選択したユーザの不正メール削除処理を行う。この処理の詳細は後述する（図２１参照）。
［ステップＳ２４５］メール削除部１５０は、すべてのユーザの不正メールを削除したか否かを判断する。すべてのユーザの不正メールの削除が完了した場合、危険レベル順不正メール削除処理が終了する。不正メールを削除していないユーザがいる場合、処理がステップＳ２４３に進められる。

次に、不正メール削除処理について詳細に説明する。
図２１は、不正メール削除処理の手順の一例を示す図である。
［ステップＳ２５１］メール削除部１５０は、選択されたユーザが使用する端末装置に、不正メールがあるか否かを問い合わせる。例えばメール削除部１５０には、予め各ユーザが使用する端末装置の識別情報（ＩＰ（Internet Protocol）アドレスなど）が登録されているものとする。そしてメール削除部１５０は、不正メール検知データ７２に含まれる、不正メールのメッセージＩＤを端末装置に送信し、同じメッセージＩＤを有するメールの有無を問い合わせる。端末装置は、自己の有するメールボックスから、受け取ったメッセージＩＤを有するメールを検索する。該当するメールがある場合、端末装置は、不正メールがある旨の応答を、メール削除部１５０に送信する。

［ステップＳ２５２］メール削除部１５０は、端末装置からの応答に基づいて、不正メールがダウンロードされているか否かを判断する。例えば、端末装置から不正メールがある旨の応答を受信した場合、ダウンロードされていると判断される。ダウンロードされている場合、処理がステップＳ２５３に進められる。ダウンロードされていなければ、処理がステップＳ２５４に進められる。

［ステップＳ２５３］メール削除部１５０は、端末装置に不正メールの無効化を指示する。無効化の指示を受信した端末装置は、例えば不正メールをメールボックスから削除する。無効化処理として、不正メールの閲覧禁止、添付ファイルの実行禁止などの処理を行ってもよい。なお、端末装置に不正メールの無効化機能がない場合、ユーザ宛に、メールなどで、不正メールが送られた旨のメッセージを通知してもよい。

［ステップＳ２５４］メール削除部１５０は、内部メールサーバ１６０に、選択したユーザのメールボックス内に不正メールがあるか否かを問い合わせる。例えばメール削除部１５０は、不正メール検知データに示される不正メールのメッセージＩＤとユーザのメールアドレスとを内部メールサーバ１６０に送信し、不正メールと同じメッセージＩＤを有するメールの有無を問い合わせる。内部メールサーバ１６０は、指定されたユーザのメールボックスから、受け取った不正メールと同じメッセージＩＤを有するメールを検索する。該当するメールがある場合、内部メールサーバ１６０は、不正メールがある旨の応答を、メール削除部１５０に送信する。

［ステップＳ２５５］メール削除部１５０は、内部メールサーバ１６０からの応答に基づいて、不正メールが存在するか否かを判断する。存在する場合、処理がステップＳ２５６に進められる。存在しなければ、不正メール削除処理が終了する。

［ステップＳ２５６］メール削除部１５０は、端末装置に不正メールの無効化を指示する。無効化の指示を受信した内部メールサーバ１６０は、不正メールの削除などの無効化処理を行う。無効化処理として、不正メールを、ユーザがアクセスできないフォルダに移動することで、隔離してもよい。

以上のようにして、不正メールに対して危険行動をすぐに実行しそうなユーザから順に、メールボックスからの不正メールの削除を行うことで、不正メールを用いた不正な処理が実行される可能性を低下させることができる。例えば、不正メールを起因としてセキュリティ脅威（例えばマルウェア）に感染する端末装置の数が削減される。

また、ユーザが既にメールをダウンロードしている場合であっても、危険レベルが高い順に、そのユーザの端末装置内の不正メールを削除することで、不正メールを用いた不正な処理が実行されることを抑止できる。なお、ユーザの端末装置が不正メールの削除機能を有さない場合、危険レベルが高い順に、メッセンジャ、メール、電話などにより、ユーザに不正メール検知を連絡することもできる。

〔第３の実施の形態〕
次に第３の実施の形態について説明する。第３の実施の形態は、ユーザごとの危険レベルの計算方法を工夫し、より正確な危険レベルを算出できるようにするものである。

上記の第２の実施の形態では、時間視点や時刻視点などの各種視点で個別に計算した危険レベルをすべて掛け合わせたものを、ユーザの総合的な危険レベルとしている。このような計算方法は、危険レベルを短時間で算出できるという点で有用である。ただし、ある特定の視点において低い危険レベルと判定されると、その危険レベルの値を乗算することで、他の視点による特徴が希釈化されてしまう。

図２２は、各視点での危険レベルの総乗を用いることによる欠点を示す図である。図２２では、時間帯「００：００〜０１：００」に社外から受信した不正メールの件名にキーワード「重要」が含まれている場合を想定している。

受信者「Ａ」が「００：００〜０１：００」に受信したメールに対して危険行動を行う実行割合は「０．１」である。受信者「Ａ」が、件名に「重要」を含むメールに対して受信から５分以内に危険行動を行う実行割合は「０．８」である。受信者「Ａ」が、社外からのメールに対して受信から５分以内に危険行動を行う実行割合は「０．１」である。これらをすべて掛け合わせた値を、受信者「Ａ」の危険レベルとする場合、その値は「０．００８」である。

受信者「Ｂ」が「００：００〜０１：００」に受信したメールに対して危険行動を行う実行割合は「０．１」である。受信者「Ｂ」が、件名に「重要」を含むメールに対して受信から５分以内に危険行動を行う実行割合は「０．４」である。受信者「Ｂ」が、社外からのメールに対して受信から５分以内に危険行動を行う実行割合は「０．２」である。これらをすべて掛け合わせた値を、受信者「Ｂ」の危険レベルとする場合、その値は「０．００８」である。

受信者「Ｃ」が「００：００〜０１：００」に受信したメールに対して危険行動を行う実行割合は「０．２」である。受信者「Ｃ」が、件名に「重要」を含むメールに対して受信から５分以内に危険行動を行う実行割合は「０．２」である。受信者「Ｃ」が、社外からのメールに対して受信から５分以内に危険行動を行う実行割合は「０．２」である。これらをすべて掛け合わせた値を、受信者「Ｃ」の危険レベルとする場合、その値は「０．００８」である。

この例では、受信者「Ａ」は、件名にキーワード「重要」を含むメールを受信した場合、８割の確率で５分以内に危険行動を実行してしまう。この場合、受信者「Ａ」宛ての件名にキーワード「重要」を含む不正メールは、優先的に削除するのが適切である。しかし、キーワード以外の視点での危険レベルが低いため、受信者「Ａ」の総合的な危険レベルは、他の受信者と同値「０．０８」となっている。

また複数の視点を組み合わせて解析すると、異なる結論を得られる可能性がある。例えば、受信者「Ｃ」が、いままでに「Ｎｏ．１」から「Ｎｏ．８」の８通のメールを受信しているものとする。「Ｎｏ．１」から「Ｎｏ．５」の５件のメールには、件名にキーワード「重要」が含まれているが、他のメールにはそのキーワードが含まれていない。「Ｎｏ．４」から「Ｎｏ．８」の５件のメールは、送信元が社外であるが、他のメールの送信元は社内である。これらの８通のメールのうち、受信者「Ｃ」が５分以内に危険行動を実行したのは、件名にキーワード「重要」を含み、かつ送信元が社外である、「Ｎｏ．４」のメールのみである。

この場合、件名「重要」のメールに関する実行割合が１／５（０．２）、送信元「社外」のメールに関する実行割合が１／５（０．２）であるが、件名「重要」であり、かつ送信元「社外」のメールに関する実行割合は、１／２（０．５）となる。この場合、件名「重要」でありかつ送信元「社外」の不正メールが検知された場合、その不正メールを、受信者「Ｃ」のメールボックスから早急に削除するのが適切である。しかし、各視点での危険レベルを掛け合わせただけでは、受信者「Ｃ」の危険レベルが他の受信者より高くならない。

以上のような問題を解決するために、第３の実施の形態では、個々の条件において極めて高い危険レベルとなっているユーザについては、その条件を満たす不正メールが検知された場合、他の条件における危険レベルとは関係なく、優先的に不正メールを削除する。

そのために、例えばメール削除部１５０は、個々の条件について、危険レベルの閾値を設定する。そしてメール削除部１５０は、条件を満たすメールに対する危険行動の実行割合を、ユーザ間で比較し、メールの内容や時刻ごとにブラックリストを作っておく。例えば行動パターンＤＢ１４０には、受信したメールが満たす条件ごとに、そのメールが届いたときに５分以内に危険行動が実行される確率（実行割合）が、ユーザごとに登録されている。そこでメール削除部１５０は、行動パターンＤＢ１４０を参照し、条件ごとに、危険レベルが閾値を超えるユーザを抽出し、その条件のブラックリスト（特定の条件でメールを実行する時間が早い人のリスト）としてメモリに保持する。

なお危険レベルの閾値ではなく、各ユーザの危険レベルを比較し、相対的に高いユーザをブラックリストに登録することもできる。例えば全ユーザの上位の所定の割合の人数を、ブラックリストに登録してもよい。

図２３は、ブラックリストの作成例を示す図である。図２３の例では、「メールの件名にキーワード「重要」が含まれる」という条件で、ブラックリストを作成するものである。この場合、メール削除部１５０は、行動パターンＤＢ１４０から、条件を満たすメールを受信したときに、各ユーザが５分以内に危険行動を実行する割合を比較する。そして、実行割合が上位のユーザの危険レベル「高」と判断し、「メールの件名にキーワード「重要」が含まれる」という条件に対応するブラックリスト８１に登録する。このようにして、件名にキーワード「重要」が含まれるとき、メールを早く開いてしまう可能性の高いユーザに関するブラックリスト８１が作成される。

メール削除部１５０は、他の様々な条件に基づいて、多数のブラックリスト８２，８３，・・・を作成する。例えばブラックリスト８２は、「メールの件名にキーワード「至急」が含まれる」という条件に基づいて作成されたものである。またブラックリスト８３は、「危険行動の実行時刻が時間帯「０９：００〜１０：００」内である」という条件に基づいて作成されたものである。なおブラックリスト８３を適用する不正メールの条件は、「受信時刻が時間帯「０９：００〜１０：００」内である」という条件となる。

このようにあらかじめブラックリスト８１，８２，８３，・・・を作成することで、他の視点での危険レベルが低くても、特定の条件で高い危険レベルとなるユーザについては、不正メール削除の優先度を高くし、即座に対処することができる。

次に、複数条件の組み合わせに着目する場合について説明する。図２２の受信者「Ｃ」のように、個々の条件では実行割合が高くないが、特定の条件の組み合わせ時に実行割合が高くなる可能性が考えられる。これは複数条件の組み合わせについて閾値を設定し、閾値を超えていた場合は即座に対処することで外れ値の対応をすることができる。

図２４は、複数条件を組み合わせたときの実行割合の算出例を示す図である。例えばメール削除部１５０は、検知した不正メール７１ａと近い条件の組み合わせに関する行動情報を、行動管理テーブル１２１から検索する。そして、検索でヒットした行動情報のうち、メール受信から５分以内に危険行動を実行した実行割合を計算する。行動情報の検索では、例えば不正メール７１ａとの類似度の高い行動情報が、行動管理テーブル１２１から検索される。

図２４の例では、不正メール７１ａに対して、実行時刻、件名のキーワード、送信元、送信先、実行タイプのうち、３つ以上の項目で一致する行動情報が検索されている。実行時刻については、例えば、不正メール７１ａの受信時刻「１６：４８」と同じ時間帯「１６：００〜１７：００」内のメール実行日時が設定されている行動情報について、実行時刻が一致すると判断される。図２４の例では、不正メール７１ａに類似する行動情報が３件検出されている。このうち、メールの受信から５分以内に危険行動が実行されたのは２件である。その結果、実行割合は０．６７となる。メール削除部１５０は、この実行割合を、行動管理テーブル１２１に対応するユーザの危険レベルとする。

このようにして各ユーザの危険レベルを計算することで、条件の組み合わせにより実行割合が変わるユーザに対して、優先的に不正メール削除の対象とすることができる。
以上、実施の形態を例示したが、実施の形態で示した各部の構成は同様の機能を有する他のものに置換することができる。また、他の任意の構成物や工程が付加されてもよい。さらに、前述した実施の形態のうちの任意の２以上の構成（特徴）を組み合わせたものであってもよい。

１ ネットワーク
２ メールセンサ
３ａ〜３ｃ 端末装置
４ 対象電子メール検知通知
１０ メール処理サーバ
１１ 記憶部
１１ａ 対応操作情報
１１ｂ 行動パターン情報
１２ 演算部
１２ａ 優先度情報
１３−１〜１３−３ メールボックス
１３ａ−１〜１３ａ−３ 電子メール
１３ｂ−１〜１３ｂ−３ 不正メール
１４ 対処実行部

Claims (9)

1. 複数のユーザそれぞれの、受信した電子メールに対応した操作履歴に関する対応操作情報を記憶する記憶部と、
   対処すべき対象電子メールの検知に応じ、前記対象電子メールの送信先に含まれる複数の送信先ユーザそれぞれに、前記対応操作情報に基づき優先度を設定した、優先度情報を生成し、前記優先度情報に基づき、優先度が高い送信先ユーザから順に、該送信先ユーザ宛ての前記対象電子メールに対する対処を行う処理部と、
   を備えたメール処理サーバ。
2. 前記処理部は、優先度が高い送信先ユーザから順に、該送信先ユーザ宛ての電子メールを記憶するメールボックスから、前記対象電子メールを削除する請求項１記載のメール処理サーバ。
3. 前記処理部は、優先度が高い送信先ユーザから順に、該送信先ユーザ宛てに、前記対象電子メールの検出を示すメッセージを送信する請求項１または２に記載のメール処理サーバ。
4. 前記処理部は、優先度が高い送信先ユーザから順に、該送信先ユーザ宛ての前記対象電子メールが、対象ユーザが使用する端末装置にダウンロードされているか否かを調査し、ダウンロードされている場合、前記対処として、前記端末装置に対して、ダウンロードした前記対象電子メールの削除を指示する請求項１乃至３のいずれか１つに記載のメール処理サーバ。
5. 複数のユーザそれぞれの、受信した電子メールに対応した操作履歴に関する対応操作情報を記憶する記憶部と、
   対処すべき対象電子メールの検知に応じ、前記対象電子メールの送信先に含まれる複数の送信先ユーザそれぞれに、前記対応操作情報に基づき、前記電子メールの受信から所定の行動を実行するまでの時間が短い送信先ユーザほど高い優先度を設定した、優先度情報を生成する処理部と、
   を備えたメール処理サーバ。
6. 前記対応操作情報には、前記電子メールの特徴を示す情報が含まれており、
   前記処理部は、前記対象電子メールと共通する特徴を有する電子メールの受信から前記所定の行動を実行するまでの時間が短い送信先ユーザほど、前記優先度を高くする、
   請求項５記載のメール処理サーバ。
7. 前記処理部は、前記対応操作情報に基づいて、前記複数のユーザそれぞれについて、前記電子メールの複数の特徴ごとに、前記電子メールを受信してから所定時間以内に前記所定の行動を実行する割合を示す実行割合を算出し、前記対象電子メールが有する特徴について算出した実行割合に基づいて、前記複数の送信先ユーザそれぞれの優先度を決定する、
   請求項６記載のメール処理サーバ。
8. コンピュータが、
   対処すべき対象電子メールの検知に応じ、前記対象電子メールの送信先に含まれる複数の送信先ユーザそれぞれに、複数のユーザそれぞれの、受信した電子メールに対応した操作履歴に関する対応操作情報に基づき優先度を設定した、優先度情報を生成し、前記優先度情報に基づき、優先度が高い送信先ユーザから順に、該送信先ユーザ宛ての前記対象電子メールに対する対処を行う、
   メール処理方法。
9. コンピュータに、
   対処すべき対象電子メールの検知に応じ、前記対象電子メールの送信先に含まれる複数の送信先ユーザそれぞれに、複数のユーザそれぞれの、受信した電子メールに対応した操作履歴に関する対応操作情報に基づき優先度を設定した、優先度情報を生成し、前記優先度情報に基づき、優先度が高い送信先ユーザから順に、該送信先ユーザ宛ての前記対象電子メールに対する対処を行う、
   処理を実行させるメール処理プログラム。

Images