JP7049087B2 - 疑わしい電子メッセージを検出する技術 - Google Patents

Description

技術分野
本開示は、概して、情報技術におけるセキュリティの側面に関する。特に、本開示は、悪意のある電子メッセージを検出する技術に関する。

背景
電子メールメッセージ（または電子ショートメール）、インスタントメッセージ、電子ファックスメッセージ等のような電子メッセージは、ネットワーク上の多数のコンピュータデバイスにマルウェアまたはスパムを拡散させるために頻繁に使用される。この文脈における「マルウェア」または「悪意のあるソフトウェア」という用語は、コンピュータ操作を中断させるため、機密情報に関するデータを収集するため、または、個人もしくは企業のコンピュータシステムにアクセスするために使用されるソフトウェアまたはソフトウェアの一部を指す。電子メッセージに埋め込まれまたは添付されて、電子メッセージを介して分散されるマルウェアは、特に、ウィルス、ワーム、トロイの木馬、ランサムウェア、スケアウェア、アドウェア、および／または、その他の悪意のあるプログラムを含み得る。「スパム」という用語は、多数のメッセージ受信側に送信され、一般的に、望まれていない広告内容、またはユーザによって請求されていない他の種類の迷惑内容を含む、迷惑メールを指す。

スパムメールのようなスパムメッセージは、ボットネットまたは「ゾンビネットワーク」によって送信されることがよくある。ボットネットまたはゾンビネットワークは、ハッカーによって悪意のある目的でアクセスおよび使用され得る感染したコンピュータデバイスのネットワークである。例えば、ボットネットコンピュータデバイスは、ハッカーによって匿名でスパム攻撃を実行するため、または分散型サービス拒否攻撃に参加するために使用され得る。そのような攻撃は、多数の分散した感染したコンピュータから発生するが、元のハッカーから発生するわけではないので、このような攻撃を特定して管理することは困難である。実際に、従来のマルウェア対策システムまたはスパムフィルタがそのようなボットネット攻撃を検出することができるようになるまでにはいくらかの時間がかかる。しかしながら、経過する時間が長くなればなるほど、より多くのスパムメッセージまたは悪意のある内容がインターネット上に拡散して、コンピュータを感染させるおそれがある。

米国特許出願公開第２００９／０２６５７８６号明細書（ＵＳ２００９／０２６５７８６Ａ１）は、ラベルが付いていない電子メールのセットに基づいた、自動的なボットネットスパム署名生成技術を開示している。この技術は、以下のように動作する：ラベルが付いていない電子メールのセットが使用され、これらの電子メールのセットに含まれている入力およびＵＲＬが抽出され、それらのドメインにしたがって複数のＵＲＬグループにグループ化される。その後、潜在するボットネットを最もよく特徴付けているグループを特定するために、生成されたＵＲＬグループが分析される。ボットネットの特徴を最もよく表しているＵＲＬグループ（つまり、多数の分散された送信側の間で最も強い時間相関を表しているＵＲＬグループ）が選択される。

米国特許出願公開第２００９／０２６５７８６号明細書

したがって、通信ネットワーク内における疑わしいまたは悪意のある電子メッセージを迅速かつ効率的な方法で検出することができる新しい検出技術が必要とされている。

概要
第１の態様によれば、疑わしい電子メッセージを検出する方法において、前記方法は、複数のメッセージ送信側および複数のメッセージ受信側と通信するメッセージングサーバにおいて実施される、方法が提供される。前記方法は、前記複数のメッセージ送信側から少なくとも１つのメッセージ受信側に送信された電子メッセージを受信するステップと、受信したそれぞれのメッセージから、少なくとも１つのメッセージ送信側特徴および少なくとも１つのメッセージ関連特徴を抽出するステップと、抽出された前記少なくとも１つのメッセージ送信側特徴および前記少なくとも１つのメッセージ内容特徴を、データベースに記録するステップと、前記データベースに記録された前記メッセージ内容特徴に基づいて、目下のメッセージに関連している可能性のある特定の内容特徴が、過去に既に記録されているかどうかを判定するステップと、前記特定の内容特徴が過去に既に記録されている場合に、前記データベースに記録された前記メッセージ送信側特徴に基づいて、前記特定の内容特徴に関連している可能性のあるメッセージ送信側の数を特定するステップと、前記特定の内容特徴に関連している可能性のあるメッセージ送信側の、特定された前記数が、所定の閾値を超えている場合に、前記目下のメッセージを疑わしいものとして分類するステップとを含む。

本開示における「電子メッセージ」（または略記して「メッセージ」）という用語は、広義に解釈されている場合がある。「電子メッセージ」または「メッセージ」として、記号、文字、および／または、数字、グラフィック要素等の形態のメッセージを含み、スパム内容またはマルウェアを埋め込むためまたは拡散させるために利用され得る、任意のデジタルデータ項目または任意のデジタルデータ部分が意味され得る。電子メッセージとして、例えば電子メールメッセージ、インスタントメッセージ、または電子ファックスメッセージが意味され得る。

さらに、１つまたは複数の「メッセージ送信側」によって、スマートフォン、タブレット、パーソナルコンピュータ、および／または、任意の他の個人または企業のコンピュータデバイスのような、電子メッセージを送信するように構成された任意の電子デバイスまたはデバイスが意味され得る。少なくとも１つの「メッセージ受信側」は、スマートフォン、タブレット、パーソナルコンピュータ、および／または、任意の他の個人または企業のコンピュータデバイスのような、電子メッセージを受信するように構成された任意のデバイスとすることができる。

さらに、スパムメッセージまたは悪意のあるメッセージである可能性が極めて高いメッセージは、「疑わしいメッセージ」と呼ばれる。送信されたメッセージの出現頻度および内容に応じて、メッセージは、スパムメッセージまたは悪意のあるメッセージであるとしてみなされる。本発明によれば、特定のメッセージ内容がスパムであるか、および／または、悪意のあるものであるかどうかを推定するために、複数のメッセージ送信側から複数のメッセージ受信側へのメッセージフローにおける相異なるメッセージ内容の出現頻度が検出される。

前記方法は、抽出されたそれぞれの前記メッセージ送信側特徴および前記メッセージ内容特徴に対してタイムスタンプを生成することと、前記タイムスタンプを、抽出された前記メッセージ送信側特徴および前記メッセージ内容特徴と共に前記データベースに記録することとをさらに含み得る。生成されたタイムスタンプは、１つまたは複数の電子メッセージによって運ばれた、抽出されたメッセージ送信側特徴および抽出されたメッセージ内容特徴が、メッセージングサーバに出現した時間を指示することができる。抽出されたメッセージ送信側特徴および抽出されたメッセージ内容特徴を、対応するタイムスタンプと共に記録することによって、過去の特定の時間間隔における相異なるメッセージ送信側と併せて、内容特徴の時間的な出現（すなわち時間的な発生パターン）を追跡することができる。

メッセージ送信側特徴およびメッセージ内容特徴を記録する前記ステップは、前記タイムスタンプ付きの前記メッセージ送信側特徴および前記メッセージ内容特徴を、少なくとも１つのインデックスデータ構造に編成することをさらに含み得る。同じタイムスタンプが割り当てられた、複数の同一のメッセージ送信側特徴および複数の同一のメッセージ内容特徴は、インデックスデータ構造に１回だけ記録することができる。１つの実施形態によれば、前記タイムスタンプ付きの前記メッセージ送信側特徴および前記メッセージ内容特徴を、２つの別個のインデックスデータ構造に記録することができる。第１のインデックスデータ構造は、前記タイムスタンプ付きの前記メッセージ内容特徴のデータセットを含み、第２のインデックスデータ構造は、前記タイムスタンプ付きの前記メッセージ内容特徴および前記メッセージアドレス特徴のデータセットを含み得る。

目下のメッセージから抽出された特定の内容特徴が既にデータベース内に存在しているかどうかを判定するために、前記目下のメッセージに関連している前記特定の内容特徴と、前記データベースに記録された前記内容特徴との間における同一性チェックまたは類似性チェックが実施される。同一性チェックまたは類似性チェックは、データベースにおける同一または類似の内容特徴の記録をルックアップすることを含み得る。上述したように、データベースが２つのインデックスデータ構造を含む場合には、少なくとも１つの同一または類似の内容特徴のルックアップは、第１のインデックスデータ構造において実施することができる。データベースにおける同一または類似の内容特徴の記録のルックアップは、過去の所定の時間枠に関連している内容特徴の記録に限定することができる。この時間枠は、以下ではルックアップ検出時間枠と呼ばれる。ルックアップ検出時間枠は、最後の数時間に限定することができる。

前記特定の内容特徴に関連している可能性のあるメッセージ送信側の数を特定するステップは、前記データベースにおいて、前記特定の内容特徴に関連している可能性のあるメッセージ送信側特徴をルックアップすることを含み得る。上述したように、データベースが２つのインデックスデータ構造を含む場合には、メッセージ送信側特徴のルックアップは、第２のインデックスデータ構造において実施することができる。この場合にも、データベースにおけるルックアップを、所定のルックアップ検出時間枠内のメッセージ送信側特徴の記録に限定することができる。メッセージ送信側特徴の記録は、メッセージ送信側を指示しているので、発見されたメッセージ送信側特徴の記録から、同一または類似のメッセージ内容を送信したメッセージ送信側の数を簡単に導出することができる。特定されたメッセージ送信側の数が、所定の閾値を超えている場合には、その内容が、ボットネットから発生したスパム内容または悪意のある内容であることを、ある程度の確率で仮定することが可能である。

所定の閾値は、事前に設定しておくこと、または動的に調整することができる。所定の閾値の調整は、選択されたルックアップ検出時間枠に基づくことができ、かつ／またはメッセージ送信側を特定すべきである特定の内容特徴に基づくことができる。閾値は、統計的有意水準にしたがって設定または調整することができる。すなわち、スパム内容または悪意のある内容を誤ってクリーンな内容であるとして分類する確率が５％未満、好ましくは１％未満になるように、閾値を設定することができる。

前記分類するステップは、前記目下のメッセージを、疑わしいメッセージであるとしてタグ付けするプロセスと、前記内容を、疑わしい内容または悪意のある内容であるとしてブラックリストに登録するステップと、のうちの少なくとも１つをさらに含み得る。

１つの実施形態によれば、前記方法は、前記目下のメッセージが疑わしいものであるとして分類された後に、前記目下のメッセージをブロックするステップ、前記目下のメッセージを隔離するステップ、および／または、前記目下のメッセージをＡＶ分析に供するステップ、をさらに含み得る。前記疑わしいメッセージはクリーンであると考えられ得ると、前記ＡＶ分析が判断した場合には、前記メッセージは、意図されたメッセージ受信側にルーティングされることとなる。

抽出された前記メッセージ送信側特徴は、前記メッセージ送信側のアドレスまたはアドレスの一部を指示することができる。したがって、抽出されたメッセージ送信側特徴を、メッセージの送信側を識別するために使用することができる。１つの変形形態によれば、抽出された前記メッセージ送信側特徴は、送信側アドレスまたは送信側アドレスの一部のハッシュ値とすることができる。

前記メッセージ内容特徴は、メッセージの添付ファイル、メッセージの件名内容、メッセージに含まれるＵＲＬまたはＵＲＬの一部、および／または、メッセージに埋め込まれた他の内容を指示することができる。したがって、抽出されたメッセージ内容特徴を、メッセージの内容を識別するために使用することができる。１つの変形形態によれば、前記メッセージ内容特徴は、メッセージの添付ファイル、メッセージの件名内容、メッセージに含まれるＵＲＬまたはＵＲＬの一部、および／または、メッセージに埋め込まれた他の内容のハッシュ値とすることができる。

第２の態様によれば、コンピュータデバイス（例えばメッセージングサーバ）上で実行された場合に、上述した方法を実施するためのプログラムコード部分を含む、コンピュータプログラム製品が提供される。前記コンピュータプログラム製品は、（非一時的な）コンピュータ読み出し可能な記録媒体に保存することができる。

第３の態様によれば、疑わしい電子メッセージを検出するためのメッセージングサーバにおいて、前記メッセージングサーバは、複数のメッセージ送信側および複数のメッセージ受信側と通信する、メッセージングサーバが提供される。前記メッセージングサーバは、前記複数のメッセージ送信側から少なくとも１つのメッセージ受信側に送信された電子メッセージを受信するように構成されており、前記メッセージングサーバは、受信したそれぞれのメッセージから、少なくとも１つのメッセージ送信側特徴および少なくとも１つのメッセージ内容特徴を抽出するように構成された分析ユニットと、抽出された前記少なくとも１つのメッセージ送信側特徴および前記少なくとも１つのメッセージ内容特徴を、データベースに記録するように構成された記録ユニットと、前記データベースに記録された前記メッセージ内容特徴に基づいて、目下のメッセージに関連している可能性のある特定の内容特徴が、過去に既に記録されているかどうかを判定し、前記特定の内容特徴が既に記録されている場合に、前記データベースに記録された前記メッセージ送信側特徴に基づいて、前記特定の内容特徴に関連している可能性のあるメッセージ送信側の数をさらに特定するように構成された判定ユニットと、前記特定の内容特徴に関連している可能性のある前記メッセージ送信側の、特定された前記数が、所定の閾値を超えている場合に、前記目下のメッセージを疑わしいものであるとして分類するように構成された分類ユニットとを含む。

前記メッセージングサーバは、抽出されたそれぞれの前記メッセージ送信側特徴および前記メッセージ内容特徴に対してデジタルタイムスタンプを供給するように構成されたタイムスタンピングユニットをさらに含み得る。

前記メッセージングサーバは、前記データベースを保存するように構成されたデータストレージをさらに含み得る。

前記メッセージングサーバは、単一のコンピュータデバイスとして、または上述した方法を実施するように構成された分散型の複数のコンピュータデバイスを含む１つのコンピュータシステムとして実装することができる。

図面の簡単な説明
本明細書に記載された本開示のさらなる詳細、態様、および利点は、以下の図面から明らかになるであろう。

本発明の例示的な実施形態による、疑わしい電子メッセージを検出するように構成されたメッセージングサーバを図示するブロック図である。 本発明の例示的な実施形態による、疑わしい電子メッセージを検出する方法を図示するフローチャートである。 本発明の例示的な実施形態による、疑わしい電子メッセージを検出する方法を図示するフローチャートである。 本発明の例示的な実施形態による、疑わしい電子メッセージを検出する方法を図示するフローチャートである。 タイムラインを示す図であり、このライムラインに基づいて、図２の方法の応答挙動が、従来のスパムおよびマルウェア検出技術の応答挙動と比較されている。

詳細な説明
以下の説明では、限定する目的ではなく説明する目的で、本明細書に提示する技術の完全な理解を提供するために特定の詳細を記載する。本開示の技術が、これらの特定の詳細から逸脱する他の実施形態において実施されてもよいことは、当業者には明らかであろう。

図１は、疑わしい電子メッセージを検出するための以下に記載する技術を実施するように設計されたメッセージングサーバ１０００の例示的な実施形態を、ブロック図の形態で図示する。

スパムメッセージまたは悪意のあるメッセージである可能性が極めて高いメッセージを、以下では疑わしいメッセージと呼ぶ。送信されたメッセージの出現頻度および内容に応じて、メッセージは、スパムメッセージまたは悪意のあるメッセージであるとしてみなされる。以下にさらに説明されるように、メッセージングサーバ１０００は、複数のメッセージ送信側１１０～１１０ｍから複数のメッセージ受信側１２０～１２０ｋへのメッセージフローにおける相異なるメッセージ内容の出現頻度を評価して、特定のメッセージ内容がスパムであるかどうか、および／または、悪意のあるものかどうかを推定するように設計されている。

図１に図示されているように、メッセージングサーバ１０００は、通信ネットワーク（インターネット等）の一部である複数のメッセージ送信側１１０～１１０ｍおよび複数のメッセージ受信側１２０～１２０ｋと通信する。図１では、任意の数のメッセージ１０１，１０２，１０３をメッセージングサーバ１０００に送信するために、ｍ個の相異なるメッセージ送信側１１０～１１０ｍがネットワーク内に存在し得ることを示すことを目的として、メッセージ送信側１１０および１１０ｍのみが図示されていることに留意すべきである。なお、ｍは２以上の整数である。同様にして図１は、メッセージ受信側１２０および１２０ｋのみを図示している。しかしながら、複数のメッセージ送信側１１０～１１０ｍによって送信されたメッセージ１０１，１０２，１０３を受信するために、ｋ個の相異なるメッセージ受信側がメッセージングサーバ１０００と通信し得ることは明らかである。なお、ｋは２以上の整数である。メッセージ送信側１１０～１１０ｍおよびメッセージ受信側１２０～１２０ｋは、それぞれポータブルユーザ端末（ＰＤＡ、携帯電話、スマートフォン、ノートブック等）または固定されたコンピュータデバイスのような、電子メッセージ１０１，１０２，１０３を送信／受信することができる電子デバイスの形態で実現することができる。

メッセージングサーバ１０００は、メッセージ送信側１１０～１１０ｍから送信された電子メッセージ１０１，１０２，１０３を連続的に受信し、受信したメッセージ１０１，１０２，１０３を、意図されたメッセージ受信側１２０～１２０ｋにルーティングするように設計されている。したがって、複数のメッセージ送信側１１０～１１０ｍからメッセージングサーバ１０００を介して複数のメッセージ受信側１２０～１２０ｋへと向かう、メッセージ１０１，１０２，１０３の連続的なフローが存在する。このフローは、図１の太字の矢印で示されている。メッセージングサーバ１０００は、着信メッセージ１０１，１０２，１０３をスパムおよび悪意のある挙動に関して分析するように構成されているので、必ずしも全ての着信メッセージ１０１，１０２，１０３が、意図されたメッセージ受信側１２０～１２０ｋにルーティングされるわけではないことは明らかである。むしろ、悪意のあるものであることが判明したメッセージ１０１，１０２，１０３、または明らかにスパムメッセージであるとしてみなすことができるメッセージ１０１，１０２，１０３は、フィルタリングされ、対応するメッセージ受信側１２０～１２０ｋに送信されないようにすることができる。メッセージングサーバ１０００のフィルタリング挙動は、図１の破線の矢印で示されている。

引き続き図１を参照しながら、メッセージングサーバ１０００の構造および機能についてさらに説明する。メッセージングサーバ１０００は、分析ユニット１０１０と、タイムスタンピングユニット１０２０と、記録ユニット１０３０と、判定ユニット１０４０と、分類ユニット１０５０と、データベース１０６０とを含む。メッセージングサーバ１０００はさらに、第１のインターフェース１０８０および第２のインターフェース１０９０を含む。メッセージングサーバ１０００は、任意選択的にセキュリティユニット１０７０を含み得る。図１に図示されているように、ユニット１０１０～１０７０は、相互に通信し合っており、かつインターフェース１０８０および１０９０と通信する。

分析ユニット１０１０、スタンピングユニット１０２０、記録ユニット１０３０、判定ユニット１０４０、分類ユニット１０５０、およびセキュリティユニット１０７０のそれぞれは、別個のソフトウェアモジュールとして、別個のハードウェアモジュールとして、または１つの組み合わせ型のソフトウェア／ハードウェアモジュールとして実装することができる。これに代えて、分析ユニット１０１０、タイムスタンピングユニット１０２０、記録ユニット１０３０、判定ユニット１０４０、および分類ユニット１０５０を、共通に設計された１つのソフトウェアおよび／またはハードウェアモジュールの各サブモジュールとして実装することもできる。当業者であれば、上述したユニットを、プログラムマイクロプロセッサ、特定用途向け集積回路（ＡＳＩＣ）、デジタル信号プロセッサ（ＤＳＰ）、または汎用コンピュータと連携して機能するソフトウェアを使用して実装してもよいことを理解するであろう。

第１の通信インターフェース１０８０は、メッセージ送信側１１０～１１０ｍから電子メッセージ１０１，１０２，１０３を受信し、受信したメッセージ１０１，１０２，１０３を分析ユニット１０１０に供給するように構成されている。さらに、第２の通信インターフェース１０９０は、メッセージングサーバ１０００によって受信されたメッセージ１０１，１０２，１０３であって、かつメッセージングサーバ１０００によってブロックされていないメッセージ１０１，１０２，１０３を、宛先のメッセージ受信側１２０～１２０ｋに送信するように構成されている。両方の通信インターフェース１０８０，１０９０は、一方ではメッセージ送信側１１０～１１０ｍとメッセージングサーバ１０００との間でのメッセージの通信、他方ではメッセージ受信側１２０～１２０ｋとメッセージングサーバ１０００との間でのメッセージの通信が、どのようにして実施されるかに応じて、無線通信インターフェース（例えば無線送信インターフェース）および／または有線通信インターフェースの形態で実装することができる。

別の変形形態によれば、第１および第２のインターフェース１０８０，１０９０を、周囲環境（すなわちメッセージ送信側１１０～１１０ｍおよびメッセージ受信側１２０～１２０ｋ）と通信するように設計された単一の共通インターフェースとして実現することも可能である。

セキュリティユニット１０７０は、メッセージングサーバ１０００によって受信されたそれぞれの電子メッセージ１０１，１０２，１０３に対してアンチウィルス分析（ＡＶ分析）を実施するように構成されたアンチウィルス分析モジュール（ＡＶ分析モジュール）を含み得る。ＡＶ分析モジュールとして、メッセージ１０１，１０２，１０３に対して、ブラックリストおよびホワイトリストに保存された既知の署名に基づいて署名スキャンを少なくとも実施するように設計された、市販のＡＶ分析モジュールを使用することができる。署名マッチングに加えて、ＡＶ分析モジュールは、メッセージ１０１，１０２，１０３の悪意のある挙動を検出するために、ヒューリスティックアンチウィルス検出技術および／またはエミュレーション技術を実施することもできる。ＡＶ分析モジュールはさらに、悪意のある内容を含んでいることが判明したメッセージ１０１，１０２，１０３をフィルタリングしてブロックするように構成されている。

セキュリティユニット１０７０はさらに、スパムメッセージをフィルタリングするように構成された少なくとも１つのスパムフィルタを含み得る。したがって、セキュリティユニット１０７０は、スパムメッセージおよび悪意のあるメッセージをブロックし、悪意のあるメッセージまたはスパムメッセージではないことが判明したメッセージのみを通過させるように構成されている。

分析ユニット１０１０は、第１のインターフェース１０８０と通信する。分析ユニット１０１０は、第１のインターフェース１０８０から受信した着信メッセージ１０１，１０２，１０３を傍受し、これらの着信メッセージ１０１，１０２，１０３を、その内容に関して分析するように設計されている。すなわち、分析ユニット１０１０は、メッセージ１０１，１０２，１０３によって運ばれた特定の内容に関連している可能性のある少なくとも１つのメッセージ内容特徴ＣＦを、それぞれのメッセージ１０１，１０２，１０３ごとに抽出するように設計されている。抽出されるメッセージ内容特徴ＣＦは、メッセージ１０１，１０２，１０３の件名内容、メッセージ１０１，１０２，１０３に添付されたまたは埋め込まれたメッセージ内容、およびそれらの一部、のうちの少なくとも１つを指示することができる。このようなメッセージ内容は、例えばメッセージに含まれるメッセージ添付ファイルまたはＵＲＬを含み得る。

分析ユニット１０１０はさらに、受信したそれぞれのメッセージ１０１，１０２，１０３から、メッセージ送信側特徴を追加的に抽出するように構成されている。メッセージ送信側特徴は、メッセージ１０１，１０２，１０３の発信元であるメッセージ送信側１１０～１１０ｍのアドレスまたはアドレスの一部を指示するアドレス特徴ＡＦとすることができる。内容特徴ＣＦおよびアドレス特徴ＡＦは、ハッシュ値として供給することができる。例えば、内容特徴ＣＦおよびアドレス特徴ＡＦを、それぞれＭＤ５ハッシュ値として供給してもよい。

タイムスタンピングユニット１０２０は、それぞれのメッセージ１０１，１０２，１０３に対してタイムスタンプを生成して供給するように構成されている。タイムスタンプは、所定の時間精度で供給される。例えば１秒～６０秒、好ましくは５秒～１０秒、より好ましくは１０秒の範囲の時間精度が考えられる。供給されたそれぞれのタイムスタンプは、考慮対象のメッセージ１０１，１０２，１０３（ひいては考慮対象のメッセージ１０１，１０２，１０３から抽出されたアドレス特徴ＡＦおよび内容特徴ＣＦ）がメッセージングサーバ１０００に出現した時点を指示するものである。所定のタイムスタンプ精度範囲内で受信されたメッセージに関連している可能性のある、抽出された内容特徴およびアドレス特徴には、同じタイムスタンプｔｓが供給される。

記録ユニット１０３０は、タイムスタンピングユニット１０２０および分析ユニット１０１０と通信する。記録ユニット１０３０は、分析ユニット１０１０によって分析されたそれぞれのメッセージ１０１，１０２，１０３ごとに、対応するアドレス特徴ＡＦおよび内容特徴ＣＦ、ならびに、対応するタイムスタンプｔｓを受信する。記録ユニット１０３０は、アドレス特徴および内容特徴を、対応するタイムスタンプと共にデータベース１０６０に記録するように構成されている。したがって、受信したそれぞれのメッセージ１０１，１０２，１０３ごとに、タイムスタンプｔｓと、内容特徴ＣＦと、関連するアドレス特徴ＡＦとを含む関連データ（ｔｓ，ＣＦ，ＡＦ）の一意的なセットが、データベース１０６０に記録される。データベースの性能を改善するために、少なくとも１つの特徴（すなわちアドレス特徴ＡＦ、内容特徴ＣＦ、またはタイムスタンプｔｓのいずれか）が異なっているデータセット（ｔｓ，ＣＦ，ＡＦ）だけが、データベース１０６０に記録される。すなわち、相異なるデータセットであって、相異なるメッセージ１０１，１０２，１０３から抽出されたデータセットであるが、内容特徴ＣＦ、アドレス特徴ＡＦ、およびタイムスタンプｔｓのセットが同一である（すなわち同じ特徴の組み合わせを有するセットが抽出された）ことが判明した、相異なるデータセットは、データベース１０６０に１回だけしか記録されない。相異なるメッセージ１０１，１０２，１０３から、同一の特徴の組み合わせを有するデータセットが抽出される可能性がないわけではないことに留意すべきである。例えば、同じメッセージ送信側１１０～１１０ｍから発信され、それぞれのメッセージにおいて同じメッセージ内容を運ぶニュースレターは、同一の特徴の組み合わせ（ｔｓ，ＣＦ，ＡＶ）をもたらす場合がある。

図１に図示された１つの実装形態によれば、記録ユニット１０３０は、受信したアドレス特徴ＡＦ、内容特徴ＣＦ、および関連するタイムスタンプｔｓを、２つの別個のインデックスデータ構造に記録するように設計されている。第１のインデックスデータ構造ＩＤＸ１には、タイムスタンプ付きの内容特徴（ｔｓ，ＣＦ）が記録され、その一方で、第２のインデックスデータ構造ＩＤＸ２には、タイムスタンプ付きの内容特徴が、アドレス特徴（ｔｓ，ＣＦ，ＡＦ）と共に記録される。この場合にも、データベースの性能を改善するために、重複するデータセット（ｔｓ，ＣＦ）および（ｔｓ，ＣＦ，ＡＦ）は、対応するインデックスデータ構造ＩＤＸ１およびＩＤＸ２に１回だけしか記録されない。以下では、このようなデータ構造の利点について図２ａ～２ｃと併せて説明する。

判定ユニット１０４０は、分析ユニット１０１０と通信する。判定ユニット１０４０は、メッセージ１０１，１０２，１０３から抽出された内容特徴ＣＦ（および任意選択的にアドレス特徴ＡＦ）を分析ユニット１０１０から受信するように構成されている。判定ユニット１０４０はさらに、抽出された内容特徴ＣＦに対して生成されたタイムスタンプｔｓを受信することができる。判定ユニット１０４０はさらに、目下受信したメッセージ（例えば図１のメッセージ１０１）から抽出されたそれぞれの特定の内容特徴ＣＦごとに、この内容特徴ＣＦが、複数の相異なるアドレス特徴ＡＦと併せてデータベース１０６０に過去に既に記録されているかどうかを判定するように構成されている。データベース１０６０は、以前に受信したメッセージの、相関されたアドレス特徴ＡＦおよび内容特徴ＣＦのセットを含んでいるので、データベースのルックアップにより、特定の内容特徴ＣＦに関連している可能性のある全ての（または少なくとも一部の）以前に記録されたアドレス特徴ＡＦを特定することが可能となる。今度はこれらのアドレス特徴ＡＦから、過去にその同じ特定の内容を送信したことがあるメッセージ送信側１１０～１１０ｍを識別することが可能となる。ボットネットからの攻撃は、短期間に複数の相異なるメッセージ送信側１１０～１１０ｍによって送信される大量のメッセージを特徴としているので、複数の相異なるアドレス特徴ＡＦの特定を、短時間のルックアップ検出時間枠に限定すれば十分である。例えば現在から最後の１０時間、好ましくは最後の５時間、より好ましくは最後の１時間を網羅するルックアップ検出時間枠を、予め設定しておくことができる。

分類ユニット１０５０は、判定ユニット１０４０によって特定された相異なるアドレス特徴ＡＦを受信し、これらのアドレス特徴ＡＦから、特定のメッセージ内容特徴ＣＦに関連している可能性のある相異なるメッセージ送信側１１０～１１０ｍの数Ｎを導出するように構成されている。この数が所定の閾値数を超えている場合に、分類ユニット１０５０は、目下のメッセージを疑わしいものとして分類する。

ユニット１０１０～１０６０の機能について図２ａ～２ｃのフローチャートと併せてさらに説明する。これらのフローチャートは、複数のメッセージ送信側１１０～１１０ｍから複数のメッセージ受信側１２０～１２０ｋに送信された疑わしい電子メッセージを検出する方法を図示する。

本方法は、ステップ２１０（図２ａ参照）で開始する。ステップ２１０によれば、複数のメッセージ送信側１１０～１１０ｍによって送信された電子メッセージ１０１，１０２，１０３が、インターフェース１０８０を介してメッセージングサーバ１０００によって受信される。インターフェース１０８０によって受信されたそれぞれのメッセージ１０１，１０２，１０３は、後続するメッセージ分析のために分析ユニット１０１０にルーティングされる。

後続のステップ２２０では、分析ユニット１０１０が、受信したそれぞれのメッセージ１０１，１０２，１０３から、これらのメッセージのメッセージ送信側特徴および内容特徴ＣＦを抽出する。上述したように、メッセージ送信側特徴は、メッセージ送信側アドレスを指示するハッシュ値（例えばＭＤ５ハッシュ値）とすることができる。さらに、抽出される内容特徴ＣＦは、件名内容、および／または、メッセージに添付されたまたは埋め込まれたメッセージ内容を指示するハッシュ値（例えばＭＤ５ハッシュ値）とすることができる。さらに、対応する内容特徴ＣＦおよび関連するアドレス特徴ＡＦが抽出されたそれぞれのメッセージに対して、タイムスタンピングユニット１０２０によってタイムスタンプｔｓが供給される。

考慮対象のそれぞれのメッセージ１０１，１０２，１０３ごとに、抽出されたアドレス特徴ＡＦおよび内容特徴ＣＦ、ならびに、対応するタイムスタンプｔｓが、記録ユニット１０３０に供給される。後続の第３のステップ２３０では、記録ユニット１０３０が、抽出されたアドレス特徴ＡＦおよび内容特徴ＣＦを、対応するタイムスタンプｔｓと共にデータベース１０６０に記録する。メッセージ１０１，１０２，１０３は、メッセージングサーバ１０００によって連続的に受信されるので、対応するアドレス特徴ＡＦおよび内容特徴ＣＦは、対応するタイムスタンプｔｓと共にデータベース１０６０に連続的に記録される。したがって、時間の経過と共に、タイムスタンプ付きの多数のアドレス特徴および内容特徴を含む１つのデータセットを記録することができる。

抽出された内容特徴ＣＦは、判定ユニット１０４０にも供給される。判定ユニット１０４０は、目下受信したメッセージ１０１から抽出された新たな内容特徴ＣＦを受信すると、この目下のメッセージ１０１に関連している内容特徴ＣＦが、データベース１０６０に過去に、すなわち以前に受信したメッセージに関して、既に記録されているかどうかを判定することを開始する（ステップ２４０）。すなわち、考慮対象の内容特徴ＣＦに関するデータベースの記録が、データベース１０６０内に既に存在するかどうかが判定される。判定ユニット１０４０は、データベース１０６０内に同じ内容特徴ＣＦに関する以前の記録が存在することを発見すると、この特定の内容特徴ＣＦに何個のメッセージ送信側１１０～１１０ｍが関連している可能性があるのかをさらに特定する。

判定ステップ２４０については図２ｂおよび２ｃを参照しながらさらに説明する。図２ｂは、判定アルゴリズムをフローチャートの形態でより詳細に図示する。判定ユニット１０４０は、同じ内容特徴がデータベース１０６０に既に記録されているかどうかを判定するために、第１のインデックスデータ構造ＩＤＸ１においてデータベースのルックアップを実施する。ボットネット攻撃は、通常、短期間に大量のメッセージ１０１，１０２，１０３を生成するので、一般的に、内容特徴ＣＦのルックアップを、過去の短期間に制限すれば十分である。上述したように、メッセージを分類するために十分な統計を得るためには、ルックアップを最後の１０時間、好ましくは最後の５時間、より好ましくは最後の１時間の記録に制限すれば十分であるべきである。同一の内容特徴ＣＦが発見されなかった場合には、アルゴリズムは、この時点で終了する（ステップ２４６）。本方法は、後続するメッセージから導出された新しい内容特徴ＣＦのための新たなルックアップへと進む。

しかしながら、判定ユニット１０４０が同一の内容特徴の記録を発見することができた場合には、判定ユニット１０４０は、ステップ２５０（図２ｃ参照）へと進む。すなわち、判定ユニット１０４０は、考慮対象の内容特徴ＣＦに対して、この考慮対象の内容特徴に関連している記録されたアドレス特徴ＡＦを特定するために、データベース１０６０における第２のルックアップを実施する（ステップ２５２）。第２のルックアップは、内容特徴ＣＦと併せてアドレス特徴ＡＦを含んでいる第２のデータインデックス構造ＩＤＸ２において実施される。この場合にも、ルックアップを、直近の過去に記録された特徴（例えば上述したように最後の数時間）に限定することができる。第２のルックアップの結果、考慮対象の内容特徴ＣＦに関連している可能性のある相異なるアドレス特徴ＡＦのリストが得られる。

得られたリストは、分類ユニット１０５０に供給され、分類ユニット１０５０は、このリストに含まれているアドレス特徴ＡＦに基づいて目下のメッセージ１０１を分類する。発見された相異なるアドレス特徴ＡＦの数Ｎ（ひいては同じ内容を送信したことがあるメッセージ送信側１１０～１１０ｍの数）が所定の閾値Ｎ１を超えていることを、分類ユニット１０５０が検出した場合には（図２ｃの判定２５３）、分類ユニット１０５０は、そのメッセージ１０１を疑わしいものとして分類し（ステップ２６２）、目下のメッセージ１０１は、さらなるアクションに供される（ステップ２６６）。このようなさらなるアクションは、宛先のメッセージ受信側１２０～１２０ｋに警告するために、疑わしいメールとしてメールにタグ付けすることを含み得る。これに代えて、目下のメッセージ１０１を、メッセージフローの下流に配置されたセキュリティユニット１０７０（図１も参照）によってフィルタリングまたは隔離されるように特定の方法でタグ付けしてもよい。さらにこれに代えて、目下のメッセージ１０１をスパムとしてタグ付けしてもよい。上述したメッセージのタグ付けは、分析ユニット１０１０において実施することができ、分析ユニット１０１０は、目下のメッセージ１０１が疑わしいものであることが判明したことを指示する相応のフィードバック信号を受信すると（図１の破線の矢印）、目下のメッセージ１０１を阻止する。

しかしながら、発見された相異なるアドレス特徴ＡＦの数Ｎが閾値Ｎ１以下である場合には、目下のメッセージ１０１は、クリーンであるとして分類され（図２ｃのステップ２６４）、さらなるアクションは必要とされない。この場合には、分類ユニット１０５０は、目下のメッセージ１０１が疑わしいものではないことが判明したことを指示するフィードバック信号を、分類ユニット１０１０に送信することができる。次いで、目下のメッセージ１０１を、必須のＡＶチェックのためにセキュリティユニット１０７０にルーティングすることができるか、または宛先のメッセージ受信側１２０～１２０ｋに直接的にルーティングすることができる。

上述した２段階のルックアッププロセスは、従来の検出方法の性能を著しく改善するものであるということに留意すべきである。なぜなら、目下のメッセージ１０１が新しいメッセージ内容を運ぶものであるか、または以前のメッセージによって既に運ばれたメッセージ内容だけを運ぶものであるかを判定するために、さほど多くのコンピュータリソースを必要としない高速ルックアップである第１のルックアップを使用することができるからである。メッセージ内容が新しい（すなわち以前のメッセージ内容とは異なる）ことが判明した場合には、目下のメッセージ１０１は、ボットネット攻撃の一部を形成するものではないと仮定することができ、このようにして、より高コストの第２ルックアップを実施する前にアルゴリズムを終了させることが可能となる。他方で、メッセージ内容がデータベース内に既に存在していることが判明した場合には、目下のメッセージ１０１がそのような攻撃の一部である可能性を排除することができず、疑わしいメッセージ（つまりスパムメッセージまたは悪意のあるメッセージ）とクリーンなメッセージとを所定の精度水準で区別するために、第２のルックアップが必要とされる。

１つの実施形態によれば、上述した方法の精度をさらに改善するために、企業ロゴのような、信頼できるメッセージ内容特徴を含むホワイトリストを追加的に供給することができる。このような信頼できるメッセージ内容特徴は、信頼できる複数の異なるメッセージ送信側によって送信された、複数の異なるメッセージの一部である場合がある。本方法は、そのようなメッセージを送信している信頼できるメッセージ送信側の数が、所定の閾値よりも大きければ、このようなメッセージを疑わしいものとして分類してしまうだろう。このような誤った分類は、抽出されたメッセージ内容特徴を、ホワイトリストに記録されている内容特徴と比較することによって回避することが可能である。内容特徴がホワイトリストから既知である場合には、そのメッセージは、悪意のあるものとして分類されなくなる。

図３を参照しながら、上述した検出技術の利点についてさらに説明する。図３は、垂直方向に進行するタイムラインを含む図を図示し、ｔ２は、特定の内容特徴ＣＦ１を運ぶスパムメッセージまたは悪意のあるメッセージが最初に現れる時点を規定する。時点ｔ２には、内容をスパムであるとしてまたは悪意のあるものとして識別するための適切なＡＶパターンが利用できないので、メッセージは、クリーンであるとしてみなされる。

ｔ２から開始して、同じ特定の内容特徴ＣＦ１を有するメッセージを送信するメッセージ送信側１１０～１１０ｍの数Ｎが、さらに増加する。それより後の時点ｔ１で、本方法は、特定のメッセージ内容ＣＦ１を担当しているメッセージ送信側の数が、所定の閾値を超えたことを検出する。特定の内容特徴ＣＦ１に関連している可能性のある、かなりの数の相異なるメッセージ送信側１１０～１１０ｍが検出されたことより、ｔ１より後の時点で出現する全てのメッセージは、本方法によって疑わしいものであるとして分類される。

したがって、特定の内容特徴ＣＦ１と、相異なるメッセージ送信側１１０～１１０ｍとの間で検出された相関に基づいて、既にｔ１において、新たなボットネット攻撃を検出することが可能となる。したがって、本方法によれば、悪意のあるメッセージまたはスパムメッセージの最初の出現とその検出との間の検出ギャップΔ１を、小さく保つことが可能である。本方法とは対照的に、従来のＡＶ検出技術は、新しい脅威を検出するために、適切なＡＶ署名の更新を待たなければならない。このような更新にはいくらかの時間がかかることがあり、悪意のあるメッセージまたはスパムメッセージの最初の出現とその検出との間の検出ギャップΔ２は、相当に大きくなってしまう（図３参照）。

ボットネット攻撃に対してできるだけ最良の保護が得られるように、従来のＡＶ検出技術および／またはスパムフィルタ（図１も参照）のような従来のセキュリティ技術と、本発明の技術とを組み合わせることができることも、上述した説明から明らかである。さらに、本発明の検出技術は、エラーおよび信頼性に対してロバストである。なぜなら、本発明の検出技術は、所定の閾値Ｎ１およびルックアップ検出時間枠（すなわち、記録された内容特徴およびアドレス特徴ＡＦがルックアップされ、検出アルゴリズムによって考慮される期間）のような、少数の検出パラメータにしか基づいていないからである。

本明細書に提示された技術は、特定の実施形態に関して記載されているが、当業者であれば、本発明が、本明細書に記載および例示された特定の実施形態に限定されないことを認識するであろう。本開示が例示に過ぎないことを理解するべきである。したがって、本発明は、添付の特許請求の範囲によってのみ限定されることが意図されている。

Claims (13)

1. 疑わしい電子メッセージを検出する方法において、
   前記方法は、複数のメッセージ送信側および複数のメッセージ受信側と通信するメッセージングサーバにおいて実施され、
   前記方法は、
   前記複数のメッセージ送信側から少なくとも１つのメッセージ受信側に送信された電子メッセージを受信するステップと、
   受信したそれぞれのメッセージから、少なくとも１つのメッセージ送信側特徴ＡＦおよび少なくとも１つのメッセージ内容特徴ＣＦを抽出するステップと、
   抽出された前記少なくとも１つのメッセージ送信側特徴ＡＦおよび前記少なくとも１つのメッセージ内容特徴ＣＦを、データベースに記録するステップと、
   前記データベースに記録された前記メッセージ内容特徴ＣＦに基づいて、目下のメッセージに関連している可能性のある特定の内容特徴が、過去に既に記録されているかどうかを判定するステップと、
   前記特定の内容特徴が過去に既に記録されている場合に、前記データベースに記録された前記メッセージ送信側特徴ＡＦに基づいて、前記特定の内容特徴に関連している可能性のあるメッセージ送信側の数Ｎを特定するステップと、
   前記特定の内容特徴に関連している可能性のあるメッセージ送信側の、特定された前記数Ｎが、所定の閾値Ｎ１を超えている場合に、前記目下のメッセージを疑わしいものとして分類するステップと
   を含み、
   前記方法は、
   タイムスタンプｔｓを生成することと、
   前記タイムスタンプｔｓを、抽出された前記メッセージ送信側特徴ＡＦおよび前記メッセージ内容特徴ＣＦと共に前記データベースに記録することと
   をさらに含み、
   前記タイムスタンプ付きの前記メッセージ送信側特徴ＡＦおよび前記メッセージ内容特徴ＣＦを、２つの別個のインデックスデータ構造に記録し、
   第１のインデックスデータ構造ＩＤＸ１は、前記タイムスタンプ付きの前記メッセージ内容特徴ＣＦのデータセット（ｔｓ，ＣＦ）を含み、
   第２のインデックスデータ構造ＩＤＸ２は、前記タイムスタンプ付きの前記メッセージ内容特徴ＣＦおよび前記メッセージ送信側特徴ＡＦのデータセット（ｔｓ，ＣＦ，ＡＦ）を含む、
   方法。
2. 前記特定の内容特徴が過去に既に記録されているかどうかを判定するステップは、前記第１のインデックスデータ構造ＩＤＸ１において実施される、
   請求項１記載の方法。
3. 特定の内容特徴が前記データベースに既に記録されているかどうかを判定する前記ステップは、前記目下のメッセージに関連している前記メッセージ内容特徴ＣＦと、前記データベースに記録された前記メッセージ内容特徴ＣＦとの間における同一性チェックまたは類似性チェックを実施することを含む、
   請求項１または２記載の方法。
4. 前記特定の内容特徴と同一または類似の内容特徴の記録が、過去の所定の時間枠の間に前記データベースに既に存在するかどうかを判定するために、データベースのルックアップを実施する、
   請求項３記載の方法。
5. 前記特定の内容特徴と同一または類似のメッセージ内容特徴の記録が、前記所定の時間枠の間に前記データベースに既に存在する場合に、前記所定の時間枠の間に存在する前記内容特徴の記録に関連している可能性のあるメッセージ送信側特徴ＡＦの数を特定する、
   請求項３または４記載の方法。
6. 前記分類するステップは、
   前記目下のメッセージを、疑わしいメッセージであるとしてタグ付けするプロセスと、
   前記目下のメッセージの内容を、スパムまたは悪意のある内容であるとしてブラックリストに登録するプロセスと、
   のうちの少なくとも１つをさらに含む、
   請求項１記載の方法。
7. 前記方法は、前記目下のメッセージが疑わしいものであるとして分類された場合に、前記目下のメッセージをブロックするステップをさらに含む、
   請求項１記載の方法。
8. 前記方法は、前記目下のメッセージが疑わしいものであるとして分類された場合に、前記目下のメッセージをＡＶ分析に供するステップをさらに含み、
   前記ＡＶ分析によって前記目下のメッセージが悪意のあるものでないことが判明した場合に、前記目下のメッセージを、意図されたメッセージ受信側にルーティングすることをさらに含む、
   請求項１記載の方法。
9. 抽出された前記少なくとも１つのメッセージ送信側特徴ＡＦは、送信側アドレスまたは送信側アドレスの一部を指示する、
   請求項１記載の方法。
10. 抽出された前記少なくとも１つのメッセージ内容特徴ＣＦは、メッセージの添付ファイル、メッセージの件名内容、メッセージに含まれるＵＲＬ、および／または、これらの一部を指示する、
    請求項１記載の方法。
11. コンピュータデバイス上で実行された場合に、請求項１から１０までのいずれか１項記載の方法を実施するためのプログラムコード部分を含む、
    コンピュータプログラム。
12. 請求項１１記載のコンピュータプログラムが保存された、非一時的なコンピュータ読み出し可能な記録媒体。
13. 疑わしい電子メッセージを検出するためのメッセージングサーバにおいて、
    前記メッセージングサーバは、複数のメッセージ送信側および複数のメッセージ受信側と通信し、
    前記メッセージングサーバは、前記複数のメッセージ送信側から少なくとも１つのメッセージ受信側に送信された電子メッセージを受信するように構成されており、
    前記サーバは、
    受信したそれぞれのメッセージから、少なくとも１つのメッセージ送信側特徴ＡＦおよび少なくとも１つのメッセージ内容特徴ＣＦを抽出するように構成された分析ユニットと、
    抽出された前記少なくとも１つのメッセージ送信側特徴ＡＦおよび前記少なくとも１つのメッセージ内容特徴ＣＦを、データベースに記録するように構成された記録ユニットと、
    前記データベースに記録された前記メッセージ内容特徴ＣＦに基づいて、目下のメッセージに関連している可能性のある特定の内容特徴が、過去に既に記録されているかどうかを判定し、前記特定の内容特徴が過去に既に記録されている場合に、前記データベースに記録された前記メッセージ送信側特徴ＡＦに基づいて、前記特定の内容特徴に関連している可能性のあるメッセージ送信側の数Ｎをさらに特定するように構成された判定ユニットと、
    前記特定の内容特徴に関連している可能性のあるメッセージ送信側の、特定された前記数Ｎが、所定の閾値Ｎ１を超えている場合に、前記目下のメッセージを疑わしいものであるとして分類するように構成された分類ユニットと
    を含み、
    抽出されたそれぞれの前記メッセージ送信側特徴ＡＦおよび前記メッセージ内容特徴ＣＦに対してタイムスタンプｔｓを供給するように構成されたタイムスタンピングユニットをさらに含み、
    前記タイムスタンプ付きの前記メッセージ送信側特徴ＡＦおよび前記メッセージ内容特徴ＣＦは、２つの別個のインデックスデータ構造に記録され、
    第１のインデックスデータ構造ＩＤＸ１は、前記タイムスタンプ付きの前記メッセージ内容特徴ＣＦのデータセット（ｔｓ，ＣＦ）を含み、
    第２のインデックスデータ構造ＩＤＸ２は、前記タイムスタンプ付きの前記メッセージ内容特徴ＣＦおよび前記メッセージ送信側特徴ＡＦのデータセット（ｔｓ，ＣＦ，ＡＦ）を含む、
    メッセージングサーバ。

Images