JP7138532B2 - メール検査システム、メール検査方法およびメール検査プログラム - Google Patents
メール検査システム、メール検査方法およびメール検査プログラム Download PDFInfo
- Publication number
- JP7138532B2 JP7138532B2 JP2018188821A JP2018188821A JP7138532B2 JP 7138532 B2 JP7138532 B2 JP 7138532B2 JP 2018188821 A JP2018188821 A JP 2018188821A JP 2018188821 A JP2018188821 A JP 2018188821A JP 7138532 B2 JP7138532 B2 JP 7138532B2
- Authority
- JP
- Japan
- Prior art keywords
- user
- information
- destination user
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Description
本発明は、電子メールを検査するシステムに関するものである。
特定の組織または特定の人を標的として機密情報の窃取等の攻撃を行う標的型攻撃が深刻な脅威となっている。その中でも、電子メールを用いて行われる標的型メール攻撃は依然として重大な脅威の一つである。
一方、ヘッダおよび添付ファイルに基づいて明らかに不審な電子メールを検知するシステムが存在する。しかし、巧妙な標的型攻撃メールはこのようなシステムによって検知されない場合がある。そのため、巧妙な標的型攻撃メールについては、メール本文に基づいて不審さを検出し、ユーザに通知する必要がある。
一方、ヘッダおよび添付ファイルに基づいて明らかに不審な電子メールを検知するシステムが存在する。しかし、巧妙な標的型攻撃メールはこのようなシステムによって検知されない場合がある。そのため、巧妙な標的型攻撃メールについては、メール本文に基づいて不審さを検出し、ユーザに通知する必要がある。
今や、企業および個人に関する多くの情報をＯＳＩＮＴによって容易に入手できる状況にある。そのため、攻撃者が標的に対する知識を持っていなくても、攻撃者はＯＳＩＮＴによって信憑性の高い標的型攻撃メールを作成することが可能である。
ＯＳＩＮＴは、Ｏｐｅｎ Ｓｏｕｒｃｅ Ｉｎｔｅｌｌｉｇｅｎｃｅの略称である。
ＯＳＩＮＴは、Ｏｐｅｎ Ｓｏｕｒｃｅ Ｉｎｔｅｌｌｉｇｅｎｃｅの略称である。
特許文献１には、電子メールが受信されてから添付ファイルが開封されるまでの時間に基づいて電子メールに対する受信者の用心深さを計測する技術が開示されている。電子メールに対する注意力が低下していると判断された場合、受信者に対する通知がなされる。
非特許文献１から非特許文献４については実施の形態において述べる。
Ｇｏｌｄｂｅｒｇ， Ｌｅｗｉｓ Ｒ． "Ａｎ Ａｌｔｅｒｎａｔｉｖｅ "Ｄｅｓｃｒｉｐｔｉｏｎ ｏｆ Ｐｅｒｓｏｎａｌｉｔｙ" ： Ｔｈｅ Ｂｉｇ－Ｆｉｖｅ Ｆａｃｔｏｒ Ｓｔｒｕｃｔｕｒｅ"， Ｊｏｕｒｎａｌ ｏｆ Ｐｅｒｓｏｎａｌｉｔｙ ａｎｄ Ｓｏｃｉａｌ Ｐｓｙｃｈｏｌｏｇｙ， １９９０， Ｖｏｌ．５９， Ｎｏ．６， １２１６－１２２９．
ＩＢＭ、Ｐｅｒｓｏｎａｌｉｔｙ Ｉｎｓｉｇｈｔｓ、［ｏｎｌｉｎｅ］、インターネット（ＵＲＬ：ｈｔｔｐｓ：／／ｗｗｗ．ｉｂｍ．ｃｏｍ／ｗａｔｓｏｎ／ｓｅｒｖｉｃｅｓ／ｐｅｒｓｏｎａｌｉｔｙ－ｉｎｓｉｇｈｔｓ／）、［２０１８年９月１１日検索］
Ｃｉａｌｄｉｎｉ、 Ｒｏｂｅｒｔ Ｂ．、 Ｐｒｉｎｃｉｐｌｅｓ ｏｆ Ｐｅｒｓｕａｓｉｏｎ、［ｏｎｌｉｎｅ］、インターネット（ＵＲＬ：ｈｔｔｐｓ：／／ｗｗｗ．ｉｎｆｌｕｅｎｃｅａｔｗｏｒｋ．ｃｏｍ／ｐｒｉｎｃｉｐｌｅｓ－ｏｆ－ｐｅｒｓｕａｓｉｏｎ／）、［２０１８年９月１１日検索］
Ａｌｋｉｓ， Ｎ．， ＆ Ｔｅｍｉｚｅｌ， Ｔ． Ｔ．（２０１５）， "Ｔｈｅ ｉｍｐａｃｔ ｏｆ ｉｎｄｉｖｉｄｕａｌ ｄｉｆｆｅｒｅｎｃｅｓ ｏｎ ｉｎｆｌｕｅｎｃｅ ｓｔｒａｔｅｇｉｅｓ"， Ｐｅｒｓｏｎａｌｉｔｙ ａｎｄ Ｉｎｄｉｖｉｄｕａｌ Ｄｉｆｆｅｒｅｎｃｅｓ， ８７， １４７－１５２．
ＯＳＩＮＴのような手段が用いられた際の巧妙な標的型攻撃メールを防ぐ必要がある。
巧妙な標的型攻撃メールは、正規メールを模倣するアプローチ、または、心理的要因を利用するアプローチ、によって作成される。例えば、心理的要因とは、ＵＲＬを思わずクリックしてしまうような要因である。
巧妙な標的型攻撃メールは、正規メールを模倣するアプローチ、または、心理的要因を利用するアプローチ、によって作成される。例えば、心理的要因とは、ＵＲＬを思わずクリックしてしまうような要因である。
巧妙な標的型攻撃メールを検知するための方法として、メール本文等から、人を説得する表現または各種攻撃に共通する特徴を抽出し、攻撃が試みられているか判断する、という方法がある。
このような方法では、検知漏れを防ぐために閾値が低く設定される傾向がある。また、人を説得する表現は通常のメールでも用いられる。そのため、このような方法では、誤検知が多く発生してしまう可能性がある。
このような方法では、検知漏れを防ぐために閾値が低く設定される傾向がある。また、人を説得する表現は通常のメールでも用いられる。そのため、このような方法では、誤検知が多く発生してしまう可能性がある。
誤検知が多く発生した場合には誤検知に伴うアラートが増えてしまう。誤検知に伴うアラートの増大はユーザの慢心およびシステムの形骸化を生じさせる。
このような事情を考慮すると、全てのユーザに一律に同じセキュリティ対策を講じることは適切ではなく、それぞれのユーザの特性に応じてユーザ別にアラートを調整する必要がある。
このような事情を考慮すると、全てのユーザに一律に同じセキュリティ対策を講じることは適切ではなく、それぞれのユーザの特性に応じてユーザ別にアラートを調整する必要がある。
本発明は、ユーザの特性に応じてユーザ別にアラートを調整できるようにすることを目的とする。
本発明のメール検査システムは、
電子メールの宛先ユーザに関するユーザ情報に基づいて、前記宛先ユーザの特性を表すユーザ特性情報を取得するユーザ特性取得部と、
前記電子メールに基づいて、前記電子メールの特徴を表すメール特徴情報を取得するメール特徴取得部と、
前記メール特徴情報と前記ユーザ特性情報とに基づいて、前記宛先ユーザが前記電子メールを受け取った場合に前記宛先ユーザが前記電子メールによる指示に従う悪性行動を取るか否か、を予測する行動予測部とを備える。
電子メールの宛先ユーザに関するユーザ情報に基づいて、前記宛先ユーザの特性を表すユーザ特性情報を取得するユーザ特性取得部と、
前記電子メールに基づいて、前記電子メールの特徴を表すメール特徴情報を取得するメール特徴取得部と、
前記メール特徴情報と前記ユーザ特性情報とに基づいて、前記宛先ユーザが前記電子メールを受け取った場合に前記宛先ユーザが前記電子メールによる指示に従う悪性行動を取るか否か、を予測する行動予測部とを備える。
本発明によれば、ユーザの特性情報に基づいて、ユーザに悪性行動を取らせる可能性が高い電子メールを検出することが可能となる。
そのため、検出された電子メールに対するアラートを強調することが可能となる。つまり、ユーザの特性に応じてユーザ別にアラートを調整することが可能となる。
そのため、検出された電子メールに対するアラートを強調することが可能となる。つまり、ユーザの特性に応じてユーザ別にアラートを調整することが可能となる。
実施の形態および図面において、同じ要素または対応する要素には同じ符号を付している。説明した要素と同じ符号が付された要素の説明は適宜に省略または簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。
実施の形態１．
メール検査システムについて、図１から図７に基づいて説明する。
メール検査システムについて、図１から図７に基づいて説明する。
＊＊＊構成の説明＊＊＊
図１に基づいて、メール検査装置１００の構成を説明する。
メール検査装置１００は、プロセッサ１０１とメモリ１０２と補助記憶装置１０３と通信装置１０４と入出力インタフェース１０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。
図１に基づいて、メール検査装置１００の構成を説明する。
メール検査装置１００は、プロセッサ１０１とメモリ１０２と補助記憶装置１０３と通信装置１０４と入出力インタフェース１０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。
プロセッサ１０１は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）であり、他のハードウェアを制御する。例えば、プロセッサ１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、またはＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
メモリ１０２は揮発性の記憶装置である。メモリ１０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ１０２はＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。メモリ１０２に記憶されたデータは必要に応じて補助記憶装置１０３に保存される。
補助記憶装置１０３は不揮発性の記憶装置である。例えば、補助記憶装置１０３は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、またはフラッシュメモリである。補助記憶装置１０３に記憶されたデータは必要に応じてメモリ１０２にロードされる。
通信装置１０４はレシーバ及びトランスミッタである。例えば、通信装置１０４は通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
入出力インタフェース１０５は入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース１０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。ＵＳＢはＵｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略称である。
メモリ１０２は揮発性の記憶装置である。メモリ１０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ１０２はＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。メモリ１０２に記憶されたデータは必要に応じて補助記憶装置１０３に保存される。
補助記憶装置１０３は不揮発性の記憶装置である。例えば、補助記憶装置１０３は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、またはフラッシュメモリである。補助記憶装置１０３に記憶されたデータは必要に応じてメモリ１０２にロードされる。
通信装置１０４はレシーバ及びトランスミッタである。例えば、通信装置１０４は通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
入出力インタフェース１０５は入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース１０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。ＵＳＢはＵｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略称である。
メール検査装置１００は、メール受付部１１１とユーザ情報取得部１１２とユーザ特性取得部１１３とメール特徴取得部１１４と行動予測部１１５とアラート強調部１１６とメール出力部１１７といった要素を備える。これらの要素はソフトウェアで実現される。
補助記憶装置１０３には、メール受付部１１１とユーザ情報取得部１１２とユーザ特性取得部１１３とメール特徴取得部１１４と行動予測部１１５とアラート強調部１１６とメール出力部１１７としてコンピュータを機能させるためのメール検査プログラムが記憶されている。メール検査プログラムは、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
さらに、補助記憶装置１０３にはＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）が記憶されている。ＯＳの少なくとも一部は、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
つまり、プロセッサ１０１は、ＯＳを実行しながら、メール検査プログラムを実行する。
メール検査プログラムを実行して得られるデータは、メモリ１０２、補助記憶装置１０３、プロセッサ１０１内のレジスタ、または、プロセッサ１０１内のキャッシュメモリといった記憶装置に記憶される。
さらに、補助記憶装置１０３にはＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）が記憶されている。ＯＳの少なくとも一部は、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
つまり、プロセッサ１０１は、ＯＳを実行しながら、メール検査プログラムを実行する。
メール検査プログラムを実行して得られるデータは、メモリ１０２、補助記憶装置１０３、プロセッサ１０１内のレジスタ、または、プロセッサ１０１内のキャッシュメモリといった記憶装置に記憶される。
メモリ１０２は、メール検査装置１００で使用されるデータを記憶する記憶部１９０として機能する。但し、他の記憶装置が、メモリ１０２の代わりに、又は、メモリ１０２と共に、記憶部１９０として機能してもよい。
メール検査装置１００は、プロセッサ１０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ１０１の役割を分担する。
メール検査プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。
図２に基づいて、メール検査システム２００の構成を説明する。
メール検査システム２００において、メール検査装置１００は、アラート調整装置１００Ａとして利用することができる。
メール検査システム２００において、メール検査装置１００は、アラート調整装置１００Ａとして利用することができる。
メール検査システム２００は、不審メール検知装置３００とアラート調整装置１００Ａとを備える。
不審メール検知装置３００は、ユーザ２０１宛ての１つ以上の電子メールから不審メールを検知し、不審メールにアラート情報を付加し、アラート情報が付加された不審メールを出力する。アラート情報が付加された不審メールは、アラート調整装置１００Ａに入力される。
アラート調整装置１００Ａは、不審メールに付加されたアラート情報を調整し、調整されたアラート情報が付加された不審メールをユーザ２０１に提示する。アラート情報が調整される際には、インターネットに公開されたユーザ２０１の情報、または、情報データベースに登録されたユーザ２０１の情報、などが参照される。情報データベースは、例えば、社内情報を管理するためのデータベースである。
不審メール検知装置３００は、ユーザ２０１宛ての１つ以上の電子メールから不審メールを検知し、不審メールにアラート情報を付加し、アラート情報が付加された不審メールを出力する。アラート情報が付加された不審メールは、アラート調整装置１００Ａに入力される。
アラート調整装置１００Ａは、不審メールに付加されたアラート情報を調整し、調整されたアラート情報が付加された不審メールをユーザ２０１に提示する。アラート情報が調整される際には、インターネットに公開されたユーザ２０１の情報、または、情報データベースに登録されたユーザ２０１の情報、などが参照される。情報データベースは、例えば、社内情報を管理するためのデータベースである。
不審メールは、不審な電子メールである。例えば、不審メールは、不審メール検知装置３００によって標的型攻撃メールであると判断された電子メールである。
アラート情報は、電子メールが不審メールであることを示す情報である。例えば、アラート情報は、電子メールが不審メールであることを知らせるメッセージである。
図３に基づいて、不審メール検知装置３００の構成を説明する。
不審メール検知装置３００は、プロセッサ３０１とメモリ３０２と補助記憶装置３０３と通信装置３０４と入出力インタフェース３０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。
不審メール検知装置３００は、プロセッサ３０１とメモリ３０２と補助記憶装置３０３と通信装置３０４と入出力インタフェース３０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。
プロセッサ３０１は、演算処理を行うＩＣであり、他のハードウェアを制御する。例えば、プロセッサ３０１はＣＰＵ、ＤＳＰまたはＧＰＵである。
メモリ３０２は揮発性の記憶装置である。メモリ３０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ３０２はＲＡＭである。メモリ３０２に記憶されたデータは必要に応じて補助記憶装置３０３に保存される。
補助記憶装置３０３は不揮発性の記憶装置である。例えば、補助記憶装置３０３は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。補助記憶装置３０３に記憶されたデータは必要に応じてメモリ３０２にロードされる。
通信装置３０４はレシーバ及びトランスミッタである。例えば、通信装置３０４は通信チップまたはＮＩＣである。
入出力インタフェース３０５は入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース３０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。
メモリ３０２は揮発性の記憶装置である。メモリ３０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ３０２はＲＡＭである。メモリ３０２に記憶されたデータは必要に応じて補助記憶装置３０３に保存される。
補助記憶装置３０３は不揮発性の記憶装置である。例えば、補助記憶装置３０３は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。補助記憶装置３０３に記憶されたデータは必要に応じてメモリ３０２にロードされる。
通信装置３０４はレシーバ及びトランスミッタである。例えば、通信装置３０４は通信チップまたはＮＩＣである。
入出力インタフェース３０５は入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース３０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。
不審メール検知装置３００は、メール受付部３１０と不審メール検知部３２０とメール出力部３３０といった要素を備える。これらの要素はソフトウェアで実現される。
不審メール検知部３２０は、表層解析部３２１と深層解析部３２２とを備える。
不審メール検知部３２０は、表層解析部３２１と深層解析部３２２とを備える。
補助記憶装置３０３には、メール受付部３１０と不審メール検知部３２０とメール出力部３３０としてコンピュータを機能させるための不審メール検知プログラムが記憶されている。不審メール検知プログラムは、メモリ３０２にロードされて、プロセッサ３０１によって実行される。
さらに、補助記憶装置３０３にはＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ３０２にロードされて、プロセッサ３０１によって実行される。
つまり、プロセッサ３０１は、ＯＳを実行しながら、不審メール検知プログラムを実行する。
不審メール検知プログラムを実行して得られるデータは、メモリ３０２、補助記憶装置３０３、プロセッサ３０１内のレジスタ、または、プロセッサ３０１内のキャッシュメモリといった記憶装置に記憶される。
さらに、補助記憶装置３０３にはＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ３０２にロードされて、プロセッサ３０１によって実行される。
つまり、プロセッサ３０１は、ＯＳを実行しながら、不審メール検知プログラムを実行する。
不審メール検知プログラムを実行して得られるデータは、メモリ３０２、補助記憶装置３０３、プロセッサ３０１内のレジスタ、または、プロセッサ３０１内のキャッシュメモリといった記憶装置に記憶される。
メモリ３０２は、不審メール検知装置３００で使用されるデータを記憶する記憶部３９０として機能する。但し、他の記憶装置が、メモリ３０２の代わりに、又は、メモリ３０２と共に、記憶部３９０として機能してもよい。
不審メール検知装置３００は、プロセッサ３０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ３０１の役割を分担する。
不審メール検知プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。
＊＊＊動作の説明＊＊＊
メール検査システム２００またはメール検査装置１００の動作はメール検査方法に相当する。また、メール検査方法の手順はメール検査プログラムの手順に相当する。メール検査システム２００におけるメール検査プログラムには、不審メール検知プログラムが含まれる。
メール検査システム２００またはメール検査装置１００の動作はメール検査方法に相当する。また、メール検査方法の手順はメール検査プログラムの手順に相当する。メール検査システム２００におけるメール検査プログラムには、不審メール検知プログラムが含まれる。
図４に基づいて、メール検査方法を説明する。
ステップＳ１１０において、メール受付部１１１は、電子メールを受け付ける。
ステップＳ１１０において、メール受付部１１１は、電子メールを受け付ける。
具体的には、メール受付部１１１は、不審メール検知部３２０によって検知された不審メールを受け付ける。
不審メールを検知する方法は任意である。つまり、不審メールは、既存技術によって検知されてもよいし、新規技術によって検知されてもよい。
不審メールを検知する方法は任意である。つまり、不審メールは、既存技術によって検知されてもよいし、新規技術によって検知されてもよい。
不審メールは、以下のように受け付けられる。
まず、メール受付部３１０は、通信装置３０４を用いて、電子メールを受信する。
次に、不審メール検知部３２０は、受信された電子メールが不審メールであるか判定する。
受信された電子メールが不審メールである場合、メール出力部３３０は、通信装置３０４を用いて、不審メールをアラート調整装置１００Ａに送信する。不審メールには、アラートが付加される。
そして、メール受付部１１１は、通信装置１０４を用いて、不審メールを受信する。
まず、メール受付部３１０は、通信装置３０４を用いて、電子メールを受信する。
次に、不審メール検知部３２０は、受信された電子メールが不審メールであるか判定する。
受信された電子メールが不審メールである場合、メール出力部３３０は、通信装置３０４を用いて、不審メールをアラート調整装置１００Ａに送信する。不審メールには、アラートが付加される。
そして、メール受付部１１１は、通信装置１０４を用いて、不審メールを受信する。
不審メールは、以下のような手順で検知される。
表層解析部３２１は、電子メールに対する表層解析を行う。そして、表層解析部３２１は、解析結果に基づいて、電子メールが不審メールであるか判定する。表層解析は、電子メールの表層情報に基づいて行われる解析である。表層情報は、電子メールの本文以外の情報である。例えば、表層情報は、電子メールのヘッダ情報、添付ファイルの情報、または、それらの組み合わせである。
深層解析部３２２は、表層解析において不審メールと判定されなかった電子メールに対して深層解析を行う。そして、深層解析部３２２は、解析結果に基づいて、電子メールが不審メールであるか判定する。深層解析は、電子メールの深層情報に基づいて行われる解析である。深層情報には、電子メールの本文が含まれる。つまり、深層解析は、メール全体に対する解析である。
表層解析の解析結果と比較される閾値および深層解析の解析結果と比較される閾値を低く設定することにより、検知漏れを防ぐことが可能となる。しかし、誤検知が多く発生する。
表層解析部３２１は、電子メールに対する表層解析を行う。そして、表層解析部３２１は、解析結果に基づいて、電子メールが不審メールであるか判定する。表層解析は、電子メールの表層情報に基づいて行われる解析である。表層情報は、電子メールの本文以外の情報である。例えば、表層情報は、電子メールのヘッダ情報、添付ファイルの情報、または、それらの組み合わせである。
深層解析部３２２は、表層解析において不審メールと判定されなかった電子メールに対して深層解析を行う。そして、深層解析部３２２は、解析結果に基づいて、電子メールが不審メールであるか判定する。深層解析は、電子メールの深層情報に基づいて行われる解析である。深層情報には、電子メールの本文が含まれる。つまり、深層解析は、メール全体に対する解析である。
表層解析の解析結果と比較される閾値および深層解析の解析結果と比較される閾値を低く設定することにより、検知漏れを防ぐことが可能となる。しかし、誤検知が多く発生する。
ステップＳ１２０において、ユーザ情報取得部１１２は、データ通信によって、宛先ユーザのユーザ情報を取得する。
宛先ユーザは、電子メールの宛先アドレスで識別されるユーザである。
ユーザ情報は、宛先ユーザに関するユーザ情報である。
宛先ユーザは、電子メールの宛先アドレスで識別されるユーザである。
ユーザ情報は、宛先ユーザに関するユーザ情報である。
ユーザ情報取得部１１２は、宛先ユーザのユーザ情報を以下のように取得する。
まず、ユーザ情報取得部１１２は、宛先ユーザ識別子を取得する。宛先ユーザ識別子は宛先ユーザを識別する。例えば、宛先ユーザが宛先ユーザ識別子をアラート調整装置１００Ａに入力し、ユーザ情報取得部１１２が宛先ユーザ識別子を受け付ける。宛先ユーザ識別子は電子メールから抽出されてもよい。電子メールの宛先アドレスは、宛先ユーザ識別子の一例である。
次に、ユーザ情報取得部１１２は、情報源にアクセスし、宛先ユーザ識別子に対応付けられた各種情報を情報源から収集する。情報源は情報システムともいう。情報源の一例は、インターネットおよび情報データベースである。インターネットに公開されている情報を公開情報という。情報データベースに登録されている情報を登録情報という。特に、社内で収集可能な登録情報を社内情報という。例えば、社内情報は、スケジュール、メール、ディレクトリまたは名刺管理ソフトなどの情報である。
そして、ユーザ情報取得部１１２は、収集された各種情報を集約する。集約された情報が宛先ユーザのユーザ情報である。
まず、ユーザ情報取得部１１２は、宛先ユーザ識別子を取得する。宛先ユーザ識別子は宛先ユーザを識別する。例えば、宛先ユーザが宛先ユーザ識別子をアラート調整装置１００Ａに入力し、ユーザ情報取得部１１２が宛先ユーザ識別子を受け付ける。宛先ユーザ識別子は電子メールから抽出されてもよい。電子メールの宛先アドレスは、宛先ユーザ識別子の一例である。
次に、ユーザ情報取得部１１２は、情報源にアクセスし、宛先ユーザ識別子に対応付けられた各種情報を情報源から収集する。情報源は情報システムともいう。情報源の一例は、インターネットおよび情報データベースである。インターネットに公開されている情報を公開情報という。情報データベースに登録されている情報を登録情報という。特に、社内で収集可能な登録情報を社内情報という。例えば、社内情報は、スケジュール、メール、ディレクトリまたは名刺管理ソフトなどの情報である。
そして、ユーザ情報取得部１１２は、収集された各種情報を集約する。集約された情報が宛先ユーザのユーザ情報である。
公開情報の一例は、ＳＮＳ（Ｓｏｃｉａｌ Ｎｅｔｗｏｒｋｉｎｇ Ｓｅｒｖｉｃｅ）に公開された情報である。ＳＮＳの公開情報を得るために、ＳＮＳにおいて提供されるＡＰＩが利用される。ＡＰＩは、Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅの略称である。
ステップＳ１３０において、ユーザ特性取得部１１３は、宛先ユーザのユーザ情報に基づいて、宛先ユーザのユーザ特性情報を取得する。
宛先ユーザのユーザ特性情報は、宛先ユーザの特性を表す情報である。
宛先ユーザのユーザ特性情報は、宛先ユーザの特性を表す情報である。
具体的には、ユーザ特性取得部１１３は、宛先ユーザの性格を複数の性格要素について表す複数の性格値を取得する。取得される複数の性格値が宛先ユーザのユーザ特性情報である。
複数の性格要素の具体例はビッグファイブである。非特許文献１はビッグファイブについて記載されている。
ビッグファイブは、主要５因子性格モデルと呼ばれる性格評価尺度の１つである。主要５因子性格モデルは、パーソナリティを理解する上で包括的かつ明瞭なモデルであると言われ、医療または消費嗜好調査などの多くの領域で用いられる。
ビッグファイブに基づいて、以下の５つの要素について性格の数値化が行われる。
（１）知的好奇心（Ｏｐｅｎｎｅｓｓ）
（２）誠実性（Ｃｏｎｓｃｉｅｎｔｉｏｕｓｎｅｓｓ）
（３）外向性（Ｅｘｔｒｏｖｅｒｓｉｏｎ）
（４）協調性（Ａｇｒｅｅａｂｌｅｎｅｓｓ）
（５）感情起伏（Ｎｅｕｒｏｔｉｃｉｓｍ）
ビッグファイブは、主要５因子性格モデルと呼ばれる性格評価尺度の１つである。主要５因子性格モデルは、パーソナリティを理解する上で包括的かつ明瞭なモデルであると言われ、医療または消費嗜好調査などの多くの領域で用いられる。
ビッグファイブに基づいて、以下の５つの要素について性格の数値化が行われる。
（１）知的好奇心（Ｏｐｅｎｎｅｓｓ）
（２）誠実性（Ｃｏｎｓｃｉｅｎｔｉｏｕｓｎｅｓｓ）
（３）外向性（Ｅｘｔｒｏｖｅｒｓｉｏｎ）
（４）協調性（Ａｇｒｅｅａｂｌｅｎｅｓｓ）
（５）感情起伏（Ｎｅｕｒｏｔｉｃｉｓｍ）
ビッグファイブに基づく５つの値をビッグファイブスコアと呼ぶ。
ビッグファイブスコアは、Ｐｅｒｓｏｎａｌｉｔｙ Ｉｎｓｉｇｈｔｓと呼ばれるサービスを利用することによって、得ることが可能である。また、ビッグファイブスコアはアンケートによって得ることも可能である。非特許文献２はＰｅｒｓｏｎａｌｉｔｙ Ｉｎｓｉｇｈｔｓについて記載されている。
ビッグファイブスコアは、Ｐｅｒｓｏｎａｌｉｔｙ Ｉｎｓｉｇｈｔｓと呼ばれるサービスを利用することによって、得ることが可能である。また、ビッグファイブスコアはアンケートによって得ることも可能である。非特許文献２はＰｅｒｓｏｎａｌｉｔｙ Ｉｎｓｉｇｈｔｓについて記載されている。
図５に基づいて、宛先ユーザのユーザ特性情報を取得する手順の一例を説明する。
メール検査システム２００は、情報システム２０２と分析システム２０３とを備える。
情報システム２０２は、ユーザ情報を管理するシステムである。
分析システム２０３は、ユーザ情報に基づいてユーザの性格を分析するシステムである。
メール検査システム２００は、情報システム２０２と分析システム２０３とを備える。
情報システム２０２は、ユーザ情報を管理するシステムである。
分析システム２０３は、ユーザ情報に基づいてユーザの性格を分析するシステムである。
（１）ユーザ２０１が、宛先ユーザ識別子をアラート調整装置１００Ａに入力する。ユーザ情報取得部１１２は、入力された宛先ユーザ識別子を受け付ける。図中の「ユーザＩＤ」は宛先ユーザ識別子を意味する。
宛先ユーザ識別子の具体例はＴｗｉｔｔｅｒＩＤである。「Ｔｗｉｔｔｅｒ」は登録商標である。
（２）ユーザ情報取得部１１２は、宛先ユーザ識別子を用いて、情報システム２０２から宛先ユーザのユーザ情報を取得する。
情報システム２０２の具体例はＴｗｉｔｔｅｒのシステムである。宛先ユーザのユーザ情報の一例は宛先ユーザのツイートである。
例えば、ユーザ情報取得部１１２は、Ｔｗｉｔｔｅｒが提供しているＡＰＩを利用し、宛先ユーザのツイートを取得する。
（３）ユーザ特性取得部１１３は、宛先ユーザのユーザ情報を分析システム２０３のＡＰＩ用のフォーマットに変換する。
分析システム２０３の具体例は、Ｐｅｒｓｏｎａｌｉｔｙ Ｉｎｓｉｇｈｔｓのシステムである。
（４）ユーザ特性取得部１１３は、（変換後の）ユーザ情報を分析システム２０３に送信する。分析システム２０３は、ユーザ情報を受け付け、ユーザ情報に基づいて宛先ユーザの性格を分析し、分析結果を送信する。そして、ユーザ特性取得部１１３は、分析結果を受信する。分析結果は複数の性格値を含む。
複数の性格値の具体例はビッグファイブスコアである。
性格値のデータ形式は性格値をそのまま利用することが可能な形式になっており、複数の性格値は行動予測部１１５に入力される。
以降の処理（５）および（６）は、ビッグファイブスコアをユーザに提示する際の処理である。
（５）ユーザ特性取得部１１３は、分析結果に基づいて性格グラフを生成する。性格グラフは、分析結果に含まれる複数の性格値を示すグラフである。
（６）ユーザ特性取得部１１３は、入出力インタフェース１０５を介して、ディスプレイに性格グラフを表示する。
宛先ユーザ識別子の具体例はＴｗｉｔｔｅｒＩＤである。「Ｔｗｉｔｔｅｒ」は登録商標である。
（２）ユーザ情報取得部１１２は、宛先ユーザ識別子を用いて、情報システム２０２から宛先ユーザのユーザ情報を取得する。
情報システム２０２の具体例はＴｗｉｔｔｅｒのシステムである。宛先ユーザのユーザ情報の一例は宛先ユーザのツイートである。
例えば、ユーザ情報取得部１１２は、Ｔｗｉｔｔｅｒが提供しているＡＰＩを利用し、宛先ユーザのツイートを取得する。
（３）ユーザ特性取得部１１３は、宛先ユーザのユーザ情報を分析システム２０３のＡＰＩ用のフォーマットに変換する。
分析システム２０３の具体例は、Ｐｅｒｓｏｎａｌｉｔｙ Ｉｎｓｉｇｈｔｓのシステムである。
（４）ユーザ特性取得部１１３は、（変換後の）ユーザ情報を分析システム２０３に送信する。分析システム２０３は、ユーザ情報を受け付け、ユーザ情報に基づいて宛先ユーザの性格を分析し、分析結果を送信する。そして、ユーザ特性取得部１１３は、分析結果を受信する。分析結果は複数の性格値を含む。
複数の性格値の具体例はビッグファイブスコアである。
性格値のデータ形式は性格値をそのまま利用することが可能な形式になっており、複数の性格値は行動予測部１１５に入力される。
以降の処理（５）および（６）は、ビッグファイブスコアをユーザに提示する際の処理である。
（５）ユーザ特性取得部１１３は、分析結果に基づいて性格グラフを生成する。性格グラフは、分析結果に含まれる複数の性格値を示すグラフである。
（６）ユーザ特性取得部１１３は、入出力インタフェース１０５を介して、ディスプレイに性格グラフを表示する。
図６に、性格グラフ２０４を示す。
性格グラフ２０４は、ビッグファイブスコアを示す性格グラフの一例である。具体的には、性格グラフ２０４は、ビッグファイブスコアを示すレーダーチャートである。
例えば、ユーザ特性取得部１１３は、性格グラフ２０４をディスプレイに表示することによって、ビッグファイブスコアをユーザ２０１に提示する。
性格グラフ２０４は、ビッグファイブスコアを示す性格グラフの一例である。具体的には、性格グラフ２０４は、ビッグファイブスコアを示すレーダーチャートである。
例えば、ユーザ特性取得部１１３は、性格グラフ２０４をディスプレイに表示することによって、ビッグファイブスコアをユーザ２０１に提示する。
図４に戻り、ステップＳ１４０から説明を続ける。
ステップＳ１４０において、メール特徴取得部１１４は、受け付けられた電子メールに基づいて、受け付けられた電子メールのメール特徴情報を取得する。
メール特徴情報は、電子メールの特徴を表す情報である。
ステップＳ１４０において、メール特徴取得部１１４は、受け付けられた電子メールに基づいて、受け付けられた電子メールのメール特徴情報を取得する。
メール特徴情報は、電子メールの特徴を表す情報である。
具体的には、メール特徴取得部１１４は、電子メールの文章が相手に与える影響を複数の影響要素について表す複数の影響値を取得する。取得される複数の影響値がメール特徴情報である。
複数の影響要素の具体例はチャルディーニの法則における６つの要素である。非特許文献３はチャルディーニの法則について記載されている。
チャルディーニの法則は、相手に影響を与えることによって相手を自分の思い通りに誘導するための心理法則である。
チャルディーニの法則における６つの要素は以下の通りである。
（１）好意（Ｌｉｋｉｎｇ）
（２）返報性（Ｒｅｃｉｐｒｏｃａｔｉｏｎ）
（３）社会的証明（Ｃｏｎｓｅｎｓｕｓ）
（４）一貫性（Ｃｏｍｍｉｔｍｅｎｔ）
（５）権威（Ａｕｔｈｏｒｉｔｙ）
（６）希少性（Ｓｃａｒｃｉｔｙ）
チャルディーニの法則は、相手に影響を与えることによって相手を自分の思い通りに誘導するための心理法則である。
チャルディーニの法則における６つの要素は以下の通りである。
（１）好意（Ｌｉｋｉｎｇ）
（２）返報性（Ｒｅｃｉｐｒｏｃａｔｉｏｎ）
（３）社会的証明（Ｃｏｎｓｅｎｓｕｓ）
（４）一貫性（Ｃｏｍｍｉｔｍｅｎｔ）
（５）権威（Ａｕｔｈｏｒｉｔｙ）
（６）希少性（Ｓｃａｒｃｉｔｙ）
例えば、メール特徴取得部１１４は、電子メールの文章を識別器に入力し、識別器から出力されるメール特徴情報を取得する。識別器は、識別部、識別関数または識別モジュールともいう。
識別器は、学習データを用いた機械学習によって予め生成される。学習データは、文章とその文章に対応付いた特徴量とのペアの配列である。識別器は、学習データの文章に対して、特徴量が出力されるように学習される。
識別器は、学習データを用いた機械学習によって予め生成される。学習データは、文章とその文章に対応付いた特徴量とのペアの配列である。識別器は、学習データの文章に対して、特徴量が出力されるように学習される。
ステップＳ１５０において、行動予測部１１５は、メール特徴情報とユーザ特性情報とに基づいて、宛先ユーザが電子メールを受け取った場合に宛先ユーザが悪性行動を取るか否か、を予測する。
悪性行動は、電子メールによる指示に従う行動である。
電子メールによる指示は、電子メールの文章に記載された指示である。
以下の（１）および（２）は、悪性行動の具体例である。
（１）電子メールに添付された電子ファイル（添付ファイル）の開封
（２）電子メールの文章に含まれるハイパーリンクのクリック
ハイパーリンクは、ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）を示し、ＵＲＬによって指定されるウェブサイトにリンクされている。
悪性行動は、電子メールによる指示に従う行動である。
電子メールによる指示は、電子メールの文章に記載された指示である。
以下の（１）および（２）は、悪性行動の具体例である。
（１）電子メールに添付された電子ファイル（添付ファイル）の開封
（２）電子メールの文章に含まれるハイパーリンクのクリック
ハイパーリンクは、ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）を示し、ＵＲＬによって指定されるウェブサイトにリンクされている。
行動予測部１１５は以下のように予測を行う。
メール特徴情報が複数の影響値であり、ユーザ特性情報が複数の性格値であるものとする。
メール特徴情報が複数の影響値であり、ユーザ特性情報が複数の性格値であるものとする。
まず、行動予測部１１５は、複数の性格値に基づいて影響要素毎に閾値を決定するために、宛先ユーザの性格値に基づいて、宛先ユーザの影響値を算出する。
宛先ユーザの影響値を算出するための式は、式（１）で表すことができる。但し、性格要素がビッグファイブの要素であり、影響要素がチャルディーニの法則の要素であるものとする。
「Ｘ」は、宛先ユーザの性格値の集合を表す。
「ｘｉ」は、宛先ユーザの性格値の要素を表す。つまり、要素ｘｉは、集合Ｘの中の要素の一つである。
「Ｉ」は、宛先ユーザの影響値の集合を表す。
「ｉｃｊ」は、宛先ユーザの影響値の要素を表す。つまり、要素ｉｃｊは、集合Ｉの中の要素の一つである。
「Ｃ」は、性格要素と影響要素との関係を示す行列を表す。
「ｃｋｎ」は、第ｋ性格要素と第ｎ影響要素との組の相関値を表す。
宛先ユーザの影響値を算出するための式は、式（１）で表すことができる。但し、性格要素がビッグファイブの要素であり、影響要素がチャルディーニの法則の要素であるものとする。
「Ｘ」は、宛先ユーザの性格値の集合を表す。
「ｘｉ」は、宛先ユーザの性格値の要素を表す。つまり、要素ｘｉは、集合Ｘの中の要素の一つである。
「Ｉ」は、宛先ユーザの影響値の集合を表す。
「ｉｃｊ」は、宛先ユーザの影響値の要素を表す。つまり、要素ｉｃｊは、集合Ｉの中の要素の一つである。
「Ｃ」は、性格要素と影響要素との関係を示す行列を表す。
「ｃｋｎ」は、第ｋ性格要素と第ｎ影響要素との組の相関値を表す。
次に、行動予測部１１５は、宛先ユーザの影響値に基づいて、各影響要素に対する宛先ユーザ用の閾値を算出する。
各影響要素に対する宛先ユーザの閾値を算出するための式は、式（２）で表すことができる。但し、影響要素がチャルディーニの法則の要素であるものとする。
「Ｉ」は、宛先ユーザの影響値の集合を表す。
「ｉｃｉ」は、宛先ユーザの影響値の要素を表す。つまり、要素ｉｃｉは、集合Ｉの中の要素の一つである。
「Δ」は、各影響要素に対する宛先ユーザ用の閾値の集合を表す。
「δｊ」は、各影響要素に対する宛先ユーザ用の閾値を表す。つまり、閾値δｊは、集合Δの中の要素の一つである。
「Ｄ」は、宛先ユーザの影響値から宛先ユーザ用の閾値への変換行列を表す。
「ｄｋｎ」は、宛先ユーザの影響値から宛先ユーザ用の閾値への変換行列の要素を表す。つまり、要素ｄｋｎは、変換行列Ｄの中の要素の一つである。
各影響要素に対する宛先ユーザの閾値を算出するための式は、式（２）で表すことができる。但し、影響要素がチャルディーニの法則の要素であるものとする。
「Ｉ」は、宛先ユーザの影響値の集合を表す。
「ｉｃｉ」は、宛先ユーザの影響値の要素を表す。つまり、要素ｉｃｉは、集合Ｉの中の要素の一つである。
「Δ」は、各影響要素に対する宛先ユーザ用の閾値の集合を表す。
「δｊ」は、各影響要素に対する宛先ユーザ用の閾値を表す。つまり、閾値δｊは、集合Δの中の要素の一つである。
「Ｄ」は、宛先ユーザの影響値から宛先ユーザ用の閾値への変換行列を表す。
「ｄｋｎ」は、宛先ユーザの影響値から宛先ユーザ用の閾値への変換行列の要素を表す。つまり、要素ｄｋｎは、変換行列Ｄの中の要素の一つである。
ここで挙げた方法は、各影響要素に対する宛先ユーザ用の閾値を算出するための方法の一例である。各影響要素に対する宛先ユーザ用の閾値は、別の方法によって算出されてもよい。
そして、行動予測部１１５は、不審メールから抽出された各影響値を各影響要素に対する宛先ユーザ用の閾値と比較し、比較結果に基づいて予測を行う。予測例を以下に示す。
（１）少なくとも１つの影響要素について影響値が閾値を超えた場合、行動予測部１１５は、宛先ユーザが悪性行動を取ると判定する。
（２）全ての影響要素について影響値が閾値を超えた場合、行動予測部１１５は、宛先ユーザが悪性行動を取ると判定する。
（３）指定個数の影響要素について影響値が閾値を超えた場合、行動予測部１１５は、宛先ユーザが悪性行動を取ると判定する。
（４）行動予測部１１５は、複数の影響値の中の最大値に基づいて複数の影響値を正規化し、正規化後の複数の影響値の合計を算出する。正規化後の複数の影響値の合計が影響閾値を超える場合、行動予測部１１５は、宛先ユーザが悪性行動を取ると判定する。
（１）少なくとも１つの影響要素について影響値が閾値を超えた場合、行動予測部１１５は、宛先ユーザが悪性行動を取ると判定する。
（２）全ての影響要素について影響値が閾値を超えた場合、行動予測部１１５は、宛先ユーザが悪性行動を取ると判定する。
（３）指定個数の影響要素について影響値が閾値を超えた場合、行動予測部１１５は、宛先ユーザが悪性行動を取ると判定する。
（４）行動予測部１１５は、複数の影響値の中の最大値に基づいて複数の影響値を正規化し、正規化後の複数の影響値の合計を算出する。正規化後の複数の影響値の合計が影響閾値を超える場合、行動予測部１１５は、宛先ユーザが悪性行動を取ると判定する。
図７に基づいて、相関データ２０５を説明する。
相関データ２０５は、ビッグファイブの各要素が性格要素であり、チャルディーニの法則の各要素が特徴要素である場合の相関データである。
相関データ２０５には、第ｋ性格要素と第ｎ影響要素との組の相関値Ｃｋｎが設定されている。
非特許文献４は、ビッグファイブとチャルディーニの法則との相関について記載されている。非特許文献４に記載された相関値は、相関データ２０５に設定する相関値の具体例である。
相関データ２０５は、ビッグファイブの各要素が性格要素であり、チャルディーニの法則の各要素が特徴要素である場合の相関データである。
相関データ２０５には、第ｋ性格要素と第ｎ影響要素との組の相関値Ｃｋｎが設定されている。
非特許文献４は、ビッグファイブとチャルディーニの法則との相関について記載されている。非特許文献４に記載された相関値は、相関データ２０５に設定する相関値の具体例である。
図４に戻り、ステップＳ１５０の説明を続ける。
宛先ユーザが悪性行動を取ると予測された場合、処理はステップＳ１６０に進む。
宛先ユーザが悪性行動を取らないと予測された場合、処理はステップＳ１７０に進む。
宛先ユーザが悪性行動を取ると予測された場合、処理はステップＳ１６０に進む。
宛先ユーザが悪性行動を取らないと予測された場合、処理はステップＳ１７０に進む。
ステップＳ１６０において、アラート強調部１１６は、受け付けられた電子メール（不審メール）に付加されたアラート情報を強調する。
フォントサイズの拡大、書体の変更または情報のポップアップは強調の一例である。
フォントサイズの拡大、書体の変更または情報のポップアップは強調の一例である。
アラート強調部１１６は、電子メールの文章に含まれる影響要素（例えば、チャルディーニの法則）をアラート情報に追加してもよい。
アラート強調部１１６は、電子メールの文章の中で影響要素に該当する箇所（例えば、チャルディーニの法則に当てはまる箇所）を強調してもよい。
アラート強調部１１６は、電子メールの文章の中で影響要素に該当する箇所（例えば、チャルディーニの法則に当てはまる箇所）を強調してもよい。
ステップＳ１７０において、メール出力部１１７は、受け付けられた電子メールを出力する。
具体的には、メール出力部１１７は、入出力インタフェース１０５を介して、不審メールとアラート情報とをディスプレイに表示する。宛先ユーザが悪性行動を取ると予測された場合、アラート情報は強調された状態で表示される。
具体的には、メール出力部１１７は、入出力インタフェース１０５を介して、不審メールとアラート情報とをディスプレイに表示する。宛先ユーザが悪性行動を取ると予測された場合、アラート情報は強調された状態で表示される。
＊＊＊実施の形態１の効果＊＊＊
実施の形態１において、人ごとに有効な心理的要因が抽出される。その要因がメール本文に用いられている場合には、その不審メールに対するアラートが強調され、その不審メールと強調されたアラートとがユーザに提示される。
これにより、アラートの形骸化を防ぎつつ、特に危険なメールをユーザに知らせることが可能となる。
実施の形態１において、人ごとに有効な心理的要因が抽出される。その要因がメール本文に用いられている場合には、その不審メールに対するアラートが強調され、その不審メールと強調されたアラートとがユーザに提示される。
これにより、アラートの形骸化を防ぎつつ、特に危険なメールをユーザに知らせることが可能となる。
文章に含まれるチャルディーニの法則と個人のビッグファイブとの相関を見ることで、その個人がその文章によって説得される可能性が高いか判断することができる。
個人が説得される可能性が高い不審メールに対するアラートを強調して表示することで、個人が説得されやすい不審メールに対して、より注意を払わせることが可能となる。その結果、チャルディーニの法則を利用した巧妙な標的型攻撃メールによる被害を防止することができる。
個人が説得される可能性が高い不審メールに対するアラートを強調して表示することで、個人が説得されやすい不審メールに対して、より注意を払わせることが可能となる。その結果、チャルディーニの法則を利用した巧妙な標的型攻撃メールによる被害を防止することができる。
実施の形態２．
不審メールを検知する処理にユーザ特性情報をフィードバックする形態について、主に実施の形態１と異なる点を図８から図１１に基づいて説明する。
不審メールを検知する処理にユーザ特性情報をフィードバックする形態について、主に実施の形態１と異なる点を図８から図１１に基づいて説明する。
＊＊＊構成の説明＊＊＊
図８に基づいて、メール検査システム２００の構成を説明する。
メール検査システム２００の構成は、実施の形態１における構成と同じである（図２参照）。
但し、アラート調整装置１００Ａから不審メール検知装置３００にアラート調整の結果がフィードバックされる。具体的には、ユーザ特性情報がフィードバックされる。
図８に基づいて、メール検査システム２００の構成を説明する。
メール検査システム２００の構成は、実施の形態１における構成と同じである（図２参照）。
但し、アラート調整装置１００Ａから不審メール検知装置３００にアラート調整の結果がフィードバックされる。具体的には、ユーザ特性情報がフィードバックされる。
情報データベースには、ユーザがどの電子メールを開封してしまったかという記録も含まれている。つまり、情報データベースには、ユーザがどの電子メールに対して悪性行動を取ったかという記録も含まれている。
結果的に、情報データベースには、ユーザにとって引っかかりやすい電子メールがどのような内容であるか示す情報も含まれている。
結果的に、情報データベースには、ユーザにとって引っかかりやすい電子メールがどのような内容であるか示す情報も含まれている。
図９に基づいて、メール検査装置１００の構成を説明する。
メール検査装置１００は、さらに、フィードバック部１１８を備える。フィードバック部１１８はソフトウェアで実現される。
メール検査プログラムは、さらに、フィードバック部１１８としてコンピュータを機能させる。
メール検査装置１００は、さらに、フィードバック部１１８を備える。フィードバック部１１８はソフトウェアで実現される。
メール検査プログラムは、さらに、フィードバック部１１８としてコンピュータを機能させる。
図１０に基づいて、不審メール検知装置３００の構成を説明する。
不審メール検知装置３００において、不審メール検知部３２０は、さらに、パラメータ調整部３２３を備える。
不審メール検知装置３００において、不審メール検知部３２０は、さらに、パラメータ調整部３２３を備える。
＊＊＊動作の説明＊＊＊
図１１に基づいて、メール検査方法を説明する。
ステップＳ１１０からステップＳ１７０は、実施の形態１で説明した通りである（図４参照）。
ステップＳ１３０の後、処理はステップＳ２１０に進む。
図１１に基づいて、メール検査方法を説明する。
ステップＳ１１０からステップＳ１７０は、実施の形態１で説明した通りである（図４参照）。
ステップＳ１３０の後、処理はステップＳ２１０に進む。
ステップＳ２１０において、フィードバック部１１８は、不審メール検知部３２０に対してユーザ特性情報をフィードバックする。
不審メール検知部３２０は、パラメータを用いて不審メールを検知する。ユーザ特性情報は、パラメータを調整するための情報として使用される。
不審メール検知部３２０は、パラメータを用いて不審メールを検知する。ユーザ特性情報は、パラメータを調整するための情報として使用される。
具体的には、フィードバック部１１８は、通信装置１０４を用いて、ユーザ特性情報を送信する。そして、パラメータ調整部３２３が、通信装置３０４を用いて、ユーザ特性情報を受信する。
パラメータ調整部３２３は、受信したユーザ特性情報を用いて、宛先ユーザ用のパラメータを以下のように調整する。
まず、パラメータ調整部３２３は、ユーザ特性情報に基づいて、調整が必要なパラメータを特定する。特定されるパラメータを対象パラメータと呼ぶ。
そして、パラメータ調整部３２３は、ユーザ特性情報に基づいて、対象パラメータを調整する。
例えば、パラメータ調整部３２３は、宛先ユーザに対して有効ではない特徴を有する電子メールが検知され難くなるように、深層解析で使用される閾値などのパラメータを調整する。
まず、パラメータ調整部３２３は、ユーザ特性情報に基づいて、調整が必要なパラメータを特定する。特定されるパラメータを対象パラメータと呼ぶ。
そして、パラメータ調整部３２３は、ユーザ特性情報に基づいて、対象パラメータを調整する。
例えば、パラメータ調整部３２３は、宛先ユーザに対して有効ではない特徴を有する電子メールが検知され難くなるように、深層解析で使用される閾値などのパラメータを調整する。
＊＊＊実施の形態２の効果＊＊＊
アラート調整装置１００Ａで処理しきることができないような大量のアラートがメール検査システム２００から出力された場合、ユーザの特性に応じてアラートを適切に調整することが困難となる。
実施の形態２では、深層解析部３２２のアラート閾値などのパラメータが、ユーザの特性に応じて調整される。これにより、メール検査システム２００から出力されるアラートをユーザに特化したアラートに絞りこむことが可能となる。その結果、アラート調整装置１００Ａにおいてアラートを適切に調整することが可能となる。
アラート調整装置１００Ａで処理しきることができないような大量のアラートがメール検査システム２００から出力された場合、ユーザの特性に応じてアラートを適切に調整することが困難となる。
実施の形態２では、深層解析部３２２のアラート閾値などのパラメータが、ユーザの特性に応じて調整される。これにより、メール検査システム２００から出力されるアラートをユーザに特化したアラートに絞りこむことが可能となる。その結果、アラート調整装置１００Ａにおいてアラートを適切に調整することが可能となる。
＊＊＊実施の形態の補足＊＊＊
メール検査システム２００を構成する装置の数は、１つであってもよいし、２つであってもよいし、３つ以上であってもよい。
例えば、不審メール検知装置３００とアラート調整装置１００Ａとが１つの装置で構成されてもよい。
メール検査システム２００を構成する装置の数は、１つであってもよいし、２つであってもよいし、３つ以上であってもよい。
例えば、不審メール検知装置３００とアラート調整装置１００Ａとが１つの装置で構成されてもよい。
メール検査システム２００に備わる各要素（機能）は、ソフトウェアとハードウェアとファームウェアとこれらの組み合わせとのいずれで実現されてもよい。
実施の形態は、好ましい形態の例示であり、本発明の技術的範囲を制限することを意図するものではない。実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。
１００ メール検査装置、１００Ａ アラート調整装置、１０１ プロセッサ、１０２ メモリ、１０３ 補助記憶装置、１０４ 通信装置、１０５ 入出力インタフェース、１１１ メール受付部、１１２ ユーザ情報取得部、１１３ ユーザ特性取得部、１１４ メール特徴取得部、１１５ 行動予測部、１１６ アラート強調部、１１７ メール出力部、１１８ フィードバック部、１９０ 記憶部、２００ メール検査システム、２０１ ユーザ、２０２ 情報システム、２０３ 分析システム、２０４ 性格グラフ、２０５ 相関データ、３００ 不審メール検知装置、３０１ プロセッサ、３０２ メモリ、３０３ 補助記憶装置、３０４ 通信装置、３０５ 入出力インタフェース、３１０ メール受付部、３２０ 不審メール検知部、３２１ 表層解析部、３２２ 深層解析部、３２３ パラメータ調整部、３３０ メール出力部、３９０ 記憶部。
Claims (12)
- 電子メールの宛先ユーザに関するユーザ情報に基づいて、前記宛先ユーザの性格を複数の性格要素について表す複数の性格値を、前記宛先ユーザの特性を表すユーザ特性情報として取得するユーザ特性取得部と、
前記電子メールに基づいて、前記電子メールの文章が相手に与える影響を複数の影響要素について表す複数の影響値を、前記電子メールの特徴を表すメール特徴情報として取得するメール特徴取得部と、
前記メール特徴情報と前記ユーザ特性情報とに基づいて、前記宛先ユーザが前記電子メールを受け取った場合に前記宛先ユーザが前記電子メールによる指示に従う悪性行動を取るか否か、を予測する行動予測部と
を備えるメール検査システム。 - 前記行動予測部は、前記複数の性格値に基づいて影響要素毎に影響閾値を決定し、影響要素毎に影響値を影響閾値と比較し、比較結果に基づいて予測を行う
請求項１に記載のメール検査システム。 - 前記行動予測部は、前記複数の性格値と、前記複数の影響値と、性格要素と影響要素との組毎の相関値を示す相関データとに基づいて、影響閾値と比較する代表値を算出し、前記代表値を前記影響閾値と比較し、比較結果に基づいて予測を行う
請求項１に記載のメール検査システム。 - 不審メールとして検知されてアラート情報が付加された電子メールの宛先ユーザに関するユーザ情報に基づいて、前記宛先ユーザの特性を表すユーザ特性情報を取得するユーザ特性取得部と、
前記電子メールに基づいて、前記電子メールの特徴を表すメール特徴情報を取得するメール特徴取得部と、
前記メール特徴情報と前記ユーザ特性情報とに基づいて、前記宛先ユーザが前記電子メールを受け取った場合に前記宛先ユーザが前記電子メールによる指示に従う悪性行動を取るか否か、を予測する行動予測部と、
前記宛先ユーザが悪性行動を取ると予測された場合に前記電子メールに付加されたアラート情報を強調するアラート強調部と、
を備えるメール検査システム。 - パラメータを用いて不審メールを検知する不審メール検知部に対して前記パラメータを調整するための情報として前記ユーザ特性情報をフィードバックするフィードバック部を備える
請求項４に記載のメール検査システム。 - 不審メールとして検知された電子メールの宛先ユーザに関するユーザ情報に基づいて、前記宛先ユーザの特性を表すユーザ特性情報を取得するユーザ特性取得部と、
前記電子メールに基づいて、前記電子メールの特徴を表すメール特徴情報を取得するメール特徴取得部と、
前記メール特徴情報と前記ユーザ特性情報とに基づいて、前記宛先ユーザが前記電子メールを受け取った場合に前記宛先ユーザが前記電子メールによる指示に従う悪性行動を取るか否か、を予測する行動予測部と、
パラメータを用いて不審メールを検知する不審メール検知部に対して前記パラメータを調整するための情報として前記ユーザ特性情報をフィードバックするフィードバック部と、
を備えるメール検査システム。 - ユーザ特性取得部が、電子メールの宛先ユーザに関するユーザ情報に基づいて、前記宛先ユーザの性格を複数の性格要素について表す複数の性格値を、前記宛先ユーザの特性を表すユーザ特性情報として取得し、
メール特徴取得部が、前記電子メールに基づいて、前記電子メールの文章が相手に与える影響を複数の影響要素について表す複数の影響値を、前記電子メールの特徴を表すメール特徴情報として取得し、
行動予測部が、前記メール特徴情報と前記ユーザ特性情報とに基づいて、前記宛先ユーザが前記電子メールを受け取った場合に前記宛先ユーザが前記電子メールによる指示に従う悪性行動を取るか否か、を予測する
メール検査方法。 - ユーザ特性取得部が、不審メールとして検知されてアラート情報が付加された電子メールの宛先ユーザに関するユーザ情報に基づいて、前記宛先ユーザの特性を表すユーザ特性情報を取得し、
メール特徴取得部が、前記電子メールに基づいて、前記電子メールの特徴を表すメール特徴情報を取得し、
行動予測部が、前記メール特徴情報と前記ユーザ特性情報とに基づいて、前記宛先ユーザが前記電子メールを受け取った場合に前記宛先ユーザが前記電子メールによる指示に従う悪性行動を取るか否か、を予測し、
アラート強調部が、前記宛先ユーザが悪性行動を取ると予測された場合に前記電子メールに付加されたアラート情報を強調する
メール検査方法。 - ユーザ特性取得部が、不審メールとして検知された電子メールの宛先ユーザに関するユーザ情報に基づいて、前記宛先ユーザの特性を表すユーザ特性情報を取得し、
メール特徴取得部が、前記電子メールに基づいて、前記電子メールの特徴を表すメール特徴情報を取得し、
行動予測部が、前記メール特徴情報と前記ユーザ特性情報とに基づいて、前記宛先ユーザが前記電子メールを受け取った場合に前記宛先ユーザが前記電子メールによる指示に従う悪性行動を取るか否か、を予測し、
フィードバック部が、パラメータを用いて不審メールを検知する不審メール検知部に対して前記パラメータを調整するための情報として前記ユーザ特性情報をフィードバックする
メール検査方法。 - 電子メールの宛先ユーザに関するユーザ情報に基づいて、前記宛先ユーザの性格を複数の性格要素について表す複数の性格値を、前記宛先ユーザの特性を表すユーザ特性情報として取得するユーザ特性取得部と、
前記電子メールに基づいて、前記電子メールの文章が相手に与える影響を複数の影響要素について表す複数の影響値を、前記電子メールの特徴を表すメール特徴情報として取得するメール特徴取得部と、
前記メール特徴情報と前記ユーザ特性情報とに基づいて、前記宛先ユーザが前記電子メールを受け取った場合に前記宛先ユーザが前記電子メールによる指示に従う悪性行動を取るか否か、を予測する行動予測部として
コンピュータを機能させるためのメール検査プログラム。 - 不審メールとして検知されてアラート情報が付加された電子メールの宛先ユーザに関するユーザ情報に基づいて、前記宛先ユーザの特性を表すユーザ特性情報を取得するユーザ特性取得部と、
前記電子メールに基づいて、前記電子メールの特徴を表すメール特徴情報を取得するメール特徴取得部と、
前記メール特徴情報と前記ユーザ特性情報とに基づいて、前記宛先ユーザが前記電子メールを受け取った場合に前記宛先ユーザが前記電子メールによる指示に従う悪性行動を取るか否か、を予測する行動予測部と、
前記宛先ユーザが悪性行動を取ると予測された場合に前記電子メールに付加されたアラート情報を強調するアラート強調部として
コンピュータを機能させるためのメール検査プログラム。 - 不審メールとして検知された電子メールの宛先ユーザに関するユーザ情報に基づいて、前記宛先ユーザの特性を表すユーザ特性情報を取得するユーザ特性取得部と、
前記電子メールに基づいて、前記電子メールの特徴を表すメール特徴情報を取得するメール特徴取得部と、
前記メール特徴情報と前記ユーザ特性情報とに基づいて、前記宛先ユーザが前記電子メールを受け取った場合に前記宛先ユーザが前記電子メールによる指示に従う悪性行動を取るか否か、を予測する行動予測部と、
パラメータを用いて不審メールを検知する不審メール検知部に対して前記パラメータを調整するための情報として前記ユーザ特性情報をフィードバックするフィードバック部として
コンピュータを機能させるためのメール検査プログラム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2018188821A JP7138532B2 (ja) | 2018-10-04 | 2018-10-04 | メール検査システム、メール検査方法およびメール検査プログラム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2018188821A JP7138532B2 (ja) | 2018-10-04 | 2018-10-04 | メール検査システム、メール検査方法およびメール検査プログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2020057295A JP2020057295A (ja) | 2020-04-09 |
| JP7138532B2 true JP7138532B2 (ja) | 2022-09-16 |
Family
ID=70107380
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2018188821A Active JP7138532B2 (ja) | 2018-10-04 | 2018-10-04 | メール検査システム、メール検査方法およびメール検査プログラム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP7138532B2 (ja) |
Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2017138860A (ja) | 2016-02-04 | 2017-08-10 | 富士通株式会社 | 安全性判定装置、安全性判定プログラムおよび安全性判定方法 |
-
2018
- 2018-10-04 JP JP2018188821A patent/JP7138532B2/ja active Active
Patent Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2017138860A (ja) | 2016-02-04 | 2017-08-10 | 富士通株式会社 | 安全性判定装置、安全性判定プログラムおよび安全性判定方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2020057295A (ja) | 2020-04-09 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11252171B2 (en) | Methods and systems for detecting abnormal user activity | |
| Van Der Heijden et al. | Cognitive triaging of phishing attacks | |
| US11470029B2 (en) | Analysis and reporting of suspicious email | |
| US20190052655A1 (en) | Method and system for detecting malicious and soliciting electronic messages | |
| US11134097B2 (en) | Automated social account removal | |
| US9674214B2 (en) | Social network profile data removal | |
| US9628507B2 (en) | Advanced persistent threat (APT) detection center | |
| JP6068506B2 (ja) | オンライン不正行為の検出の動的採点集計のシステムおよび方法 | |
| US9674212B2 (en) | Social network data removal | |
| US8839401B2 (en) | Malicious message detection and processing | |
| US9055097B1 (en) | Social network scanning | |
| US8549642B2 (en) | Method and system for using spam e-mail honeypots to identify potential malware containing e-mails | |
| Laorden et al. | Study on the effectiveness of anomaly detection for spam filtering | |
| GB2555192A (en) | Methods and apparatus for detecting and identifying malware by mapping feature data into a semantic space | |
| Singh et al. | Who is who on twitter–spammer, fake or compromised account? a tool to reveal true identity in real-time | |
| US11394722B2 (en) | Social media rule engine | |
| US11165801B2 (en) | Social threat correlation | |
| US20200314125A1 (en) | Email Attack Detection And Forensics | |
| US20220217160A1 (en) | Web threat investigation using advanced web crawling | |
| Haupt et al. | Robust identification of email tracking: A machine learning approach | |
| JP2016122273A (ja) | アラート発信方法、プログラム、及び装置 | |
| Kumar Birthriya et al. | A comprehensive survey of phishing email detection and protection techniques | |
| US10078750B1 (en) | Methods and systems for finding compromised social networking accounts | |
| Gautam et al. | Email-based cyberstalking detection on textual data using multi-model soft voting technique of machine learning approach | |
| US9332031B1 (en) | Categorizing accounts based on associated images |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20210804 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20220419 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20220426 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20220606 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20220809 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20220906 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 7138532 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |