JP7520329B2 - セキュリティレベルに基づく階層的アーキテクチャーを用いた電子メールセキュリティサービスの提供装置及びその動作方法 - Google Patents

Description

本発明は、電子メールセキュリティサービスの提供装置及びその動作方法に係り、さらに詳しくは、電子メールを介した悪性コードの感染、ソーシャルエンジニアリングハッキングなどのサイバー脅威を探知しかつ遮断することのできるセキュリティレベルに基づく階層的アーキテクチャーを用いた電子メールセキュリティサービスの提供装置及びその動作方法に関する。

今日の社会は、世界中で、コンピューターと情報通信技術の発展に乗じて、社会生活の全分野にわたってサイバー依存度が高まりつつあり、これは、ますます加速化が進んでいる傾向にある。近頃には、超高速、超低遅延、超接続性をもった５Ｇ移動通信が商用化され、これに基づいた新たなサービスが登場することに伴い、サイバーセキュリティは益々重要性を増している。

モノのインターネット（ＩｏＴ）、クラウドシステム、ビッグデータ、人工知能（ＡＩ）などの技術分野は、情報通信技術と結び付けて新たなサービス環境を提供している。このようなサービスを提供するシステムは、無線インターネットネットワークなどを介してパソコン（ＰＣ）または携帯型端末装置などと結ばれて実際の生活において利用可能である。

このような様々な端末装置または通信機器と接続される情報通信技術が実際の生活になお一層密接に結び付いていることに伴い、これを用いて悪意的な意図をもったサイバーセキュリティ脅威が日々増えつつある。精巧化されかつ高度化されたサイバーセキュリティ脅威は、団体や機関、個人の情報通信端末装置の異常起動を引き起こしたり、管理情報の偽造、改ざんを通じた人間のミスを誘導して情報を奪い取り、毀損するなどの被害を被らせる虞がある。なお、サイバーセキュリティ脅威を通じて不法的に奪い取られた情報は、金銭詐欺犯罪や他の経済的・社会的な犯罪を犯すのに利用される虞がある。

サイバーセキュリティ脅威を遮断し、かつ、サイバーセキュリティ脅威に対応するために、システム化された情報通信技術を保護しかつ管理する情報保護システムが活用されることがある。情報保護システムは、様々なサイバー脅威に対応できるように情報通信技術のシステムの類型または技術の特徴に基づいて築かれることができ、かつ、段階ごとに適用可能である。

情報通信技術において活用されている電子メールシステムは、コンピューター端末を介してユーザー間の通信回線を用いてメッセージをやり取りできるように内容本文付きの電子郵便物サービスを提供することができる。このとき、電子メールには、共有しようとする内容付きの電子ファイルを添付することができ、または、ウェブサイト接続リンク（ＵＲＬ；Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）を本文に書き込んだり添付ファイル内に埋め込んだりすることができる。

このように、電子メールシステムを介して悪意的な意図をもって悪性コード付きの実行可能な電子ファイルが添付されたり、特定のウェブサイトにアクセス可能なＵＲＬが埋め込まれたりすることができる。これを通じて、電子メールの受信者をして悪性コードを実行せしめたり、埋め込まれたＵＲＬを介して偽造、改ざんされたウェブサイトにアクセスしたりすることにより、ユーザーが意図しない情報処理が行われ、情報を奪い取られてしまう虞がある。

このように、経済的・社会的な被害を引き起こす虞があり、しかも、各種の犯罪につながる虞がある電子メールセキュリティ脅威に対応するために、大韓民国登録特許第１０－１５９５３７９号公報には、「悪性コード付きの電子メールの統制及び遮断システム」が開示されている。上記の登録特許には、外部のサーバーまたは端末から発送された電子メールがファイアウォールと、スパム遮断ソフトウェアが埋め込まれているスパム遮断装置を経由して送られてくると、対象システムにおいて電子メールを受信する機能と、前記電子メールを対象システムにおいて添付ファイルがあるか否かを確認するが、添付ファイルがなければ、対象システムからメールサーバーへと前記電子メールを送信し、添付ファイルがあれば、ユーザーの業務の目的に最も頻繁に使用する添付ファイルのタイプ（ドキュメント、圧縮、画像）の他には、前記電子メールを遮断して悪性コードの感染を予め防ぐ機能と、添付ファイルのタイプが画像である場合には、画像は変換が不可能であるため、悪性コードの感染が不可能であるため、対象システムからメールサーバーへと前記電子メールを送信し、添付ファイルのタイプがドキュメントである場合には、修正が不可能な形式のＰＤＦにドキュメントを変換してドキュメントの内部に悪性コードが反映されたＵＲＬなどをメール受信者がクリックしてユーザー端末が悪性コードにより感染される場合を予め遮断する方式を用いて、対象システムからユーザー端末へと電子メール、メッセンジャー、モバイル、カカオトークのうちから単数または複数を選択してお知らせメールを送信する機能と、添付ファイルのタイプが圧縮ファイルである場合には、まず圧縮を解凍してファイルのタイプ分析を行い、画像である場合には、上記の方式を用いて処理し、ドキュメントである場合には、ＰＤＦに変換して上記の方式を用いて処理し、実行ファイルである場合には、色々な種類の悪性コード治療ソリューションが搭載されたＶｉｒｔｕａｌ ＢＯＸにおいて悪性コードの感染検査及び治療を行い、結果を含むお知らせメールを電子メール、メッセンジャー、モバイル、カカオトークのうちから単数または複数を選択して対象システムからメールサーバーへとお知らせ処理を送信する機能と、対象システムから実行ファイルの他に悪性コードの検査が必要な添付ファイルをＶｉｒｔｕａｌ ＢＯＸへと渡して悪性コードの検査及び治療を処理し、その結果を再び対象システムに渡して処理する機能と、を有する対象システムと、前記対象システムから実行ファイルを受信するＶｉｒｔｕａｌ ＢＯＸは、別途のシステムとして仮想化環境を造り、色々な種類の悪性コード治療ソリューションを搭載して実行ファイルの中に隠されている悪性コードの検査及び治療を処理し、その結果を再び対象システムに渡し、検査前の環境に原状回復処理するＶｉｒｔｕａｌ ＢＯＸと、前記対象システムから電子メール（お知らせメールを含む）を受信し、ユーザー端末へと電子メール（お知らせメールを含む）を渡す機能を有するメールサーバーと、前記対象システムからお知らせメールを受信したとき、ユーザーがお知らせメールの確認を通じてオリジナル電子メールの許容または拒否を選択する機能と、前記受信された電子メールをログインした後に確認する機能とを有するユーザー端末と、を備える悪性コード付きの電子メールの統制及び遮断システムについて述べられている。

しかしながら、このような悪性コード付きの電子メールの統制及び遮断システムは、電子メールの受信の側面からの対応システムに制限されており、この他に、電子メールの発信の側面とともに、電子メールの管理システムの内部の側面、ユーザー端末装置端における電子メールの処理の側面に対するサイバーセキュリティ脅威の対応には限界がある。

また、電子メールに添付された添付ファイルに植え付けられた悪性コード及び偽造、改ざんＵＲＬに対するＰＤＦ変換と仮想環境を用いた実行ファイルと添付ファイルの検査と治療に限られているが故に、まるで類似ドメインであるかのように偽装されたメールと社会的な攻撃を加えられる関係分析などの脅威の診断と対応には限界が生じる可能性がある。

本発明は、上述した従来の不都合を解消するために案出されたものであり、電子メールシステムにおいて処理される受信メール、発信メール、システム内におけるメールの処理、ユーザー端末装置などといった側面から考慮可能なスパム、ハッキング、詐欺などのサイバーセキュリティ脅威に対して、セキュリティレベルに基づく階層的アーキテクチャーを用いて段階的なサイバーセキュリティ脅威への対応と電子メールシステムの統制・管理が行える電子メールセキュリティサービスの提供装置及びその動作方法を提供するところにその目的がある。

上記のような課題を解決するための本発明の実施形態による方法は、電子メールセキュリティサービスの提供装置の動作方法において、一台以上のユーザー端末の間において送受信されるメール情報を取り集める収集段階と、予め設定されたセキュリティ脅威アーキテクチャーに従って、前記メール情報に対応するメールセキュリティプロセスの段階ごとのマッチングを処理し、前記マッチング処理されたメールセキュリティプロセスにより前記メール情報を検査し、前記検査結果に応じたメールセキュリティ検査情報を格納及び管理するセキュリティ脅威検査段階と、前記メールセキュリティ検査情報及び前記メール情報の分析を通じて取得されるセキュリティ脅威判別情報に基づいてメールの状態を処理するメール処理段階と、前記セキュリティ脅威判別情報に基づいて処理された前記メール情報をレコード情報として格納しかつ管理するレコード管理段階と、を含む。

また、上記のような課題を解決するための本発明の実施形態による装置は、一台以上のユーザー端末の間において送受信されるメール情報を取り集める収集部と、予め設定されたセキュリティ脅威アーキテクチャーに従って、前記メール情報に対応するメールセキュリティプロセスの段階ごとのマッチングを処理し、前記マッチング処理されたメールセキュリティプロセスにより前記メール情報を検査し、前記検査結果に応じたメールセキュリティ検査情報を格納及び管理するセキュリティ脅威検査部と、前記メールセキュリティ検査情報及び前記メール情報の分析を通じて取得されるセキュリティ脅威判別情報に基づいてメールの状態を処理するメール処理部と、前記セキュリティ脅威判別情報に基づいて処理された前記メール情報をレコード情報として格納しかつ管理するレコード管理部と、を備える電子メールセキュリティサービスの提供装置である。

一方、上記のような課題を解決するための本発明の実施形態による方法は、前記方法を実行するためのプログラムまたは前記プログラムが記録されてコンピューターにて読み取り可能な記録媒体により実現可能である。

本発明の実施形態によれば、電子メールを受信の側面からみて、スパムメール（迷惑メール）、悪性コード付きの添付ファイル、偽造、改ざんされたＵＲＬｓ、類似ドメイン、詐欺性の内容に脅威を区別して分析し、段階的な脅威対応処理を可能にすることにより、悪意的な目的をもって送られてきたメールを受信者が開く前に遮断したり、システムに無害なメールに変換したりすることができる。また、電子メールを発信の側面からみて、サイバーセキュリティ脅威を感知しかつ遮断し、電子メール管理システムの内部の側面からみては、情報の流出の疑いや、管理されるシステムアクセスＩＰアドレス情報の不一致などといった潜在的な脅威を予め感知して、悪意的な目的に利用できないように被害を未然に防ぐことができる。このように、電子メールシステムを介して行われ得るハッキング、詐欺、スパムなどの非正常的な処理を統制し、かつ被害を防ぐことにより、ユーザー間の安全な情報のやり取りと処理を保証する電子メールサービスを提供することができる。

本発明の一実施形態による全体のシステムを示す概念図である。 本発明の一実施形態によるメールセキュリティサービスの提供装置を説明するためのブロック図である。 本発明の一実施形態によるメールセキュリティサービスの提供装置の一部の構成をより具体的に説明するためのブロック図である。 本発明の一実施形態によるメールセキュリティサービスの提供装置の動作方法を説明するためのフローチャートである。 本発明の一実施形態によるメールセキュリティサービスのアーキテクチャーに従う検査方式を説明するための例示図である。

以下の内容は、単に本発明の原理を例示する。そのため、当業者であれば、たとえ本明細書に明らかに説明されたり図示されたりしていないものの、本発明の原理を実現し、本発明の概念と範囲に含まれている種々の装置と方法を発明することができるのである。なお、本明細書に列挙されたすべての条件付き用語及び実施形態は、原則として、本発明の概念が理解されるようにするための目的にしか明らかに意図されず、このように特別に列挙された実施形態及び状態に制限的ではないものと理解されるべきである。

また、本発明の原理、観点及び実施形態だけではなく、特定の実施形態を列挙するすべての詳細な説明は、このような事項の構造的及び機能的な均等物を含むように意図されるものであると理解されるべきである。なお、これらの均等物は、現在公知となっている均等物だけではなく、将来に開発されるべき均等物、すなわち、構造とは無関係に同一の機能を行うように発明されたあらゆる素子を網羅するものであると理解されるべきである。

よって、例えば、本明細書のブロック図は、本発明の原理を具体化させる例示的な回路の概念的な観点を示すものであると理解されるべきである。これと同様に、すべてのフローチャート、状態変換図、擬似コードなどは、コンピューターにて読み取り可能な媒体に実質的に示すことができ、コンピューターまたはプロセッサーが明らかに示されているか否かを問わずに、コンピューターまたはプロセッサーにより行われる様々なプロセスを示すものであると理解されるべきである。

また、プロセッサー、制御またはこれと略同じ概念として提示される用語の明確な使用は、ソフトウェアを実行する能力をもったハードウェアを排他的に引用して解釈されてはならず、制限なしにデジタル信号プロセッサー（ＤＳＰ）ハードウェア、ソフトウェアを記憶するための読み込み専用メモリー（ＲＯＭ）、ランダムアクセスメモリー（ＲＡＭ）及び不揮発性メモリーを暗示的に含むものであると理解されるべきである。周知慣用の他のハードウェアもまた含まれ得る。

上述した目的、特徴及びメリットは、添付図面と結び付けて行われる以下の詳細な説明からなお一層明らかになる筈であり、それにより、本発明が属する技術分野において通常の知識を有する者が本発明の技術的思想を容易に実施することができる筈である。なお、本発明を実施するに当たって、本発明と関わる公知の技術についての具体的な説明が本発明の要旨を余計に曖昧にする虞があると認められる場合にはその詳細な説明を省略する。

本出願において用いた用語は、単に特定の実施形態を説明するために用いられたものであり、本発明を限定しようとする意図はない。単数の表現は、文脈からみて明らかに他の意味を有さない限り、複数の言い回しを含む。本出願において、「備える」または「有する」などの用語は、明細書に記載の特徴、数字、段階、動作、構成要素、部品またはこれらを組み合わせたものが存在することを指定するものに過ぎず、一つまたはそれ以上の他の特徴や数字、段階、動作、構成要素、部品またはこれらを組み合わせたものの存在または付加の可能性を予め排除しないものと理解すべきである。

以下、添付図面に基づいて、本発明の好適な実施形態について詳しく説明する。本発明について説明するにあたって、全体的に理解し易くするために、図中の同一の構成要素に対しては、同一の参照符号を付し、同一の構成要素についての重複する説明は省略する。

本明細書において用いられる「メール（ｍａｉｌ）」は、ユーザーが端末装置とここにインストールされるクライアントプログラムまたはウェブサイトを介してコンピューター通信網を用いてやり取りする電子メール（Ｅｌｅｃｔｒｏｎｉｃ ｍａｉｌ）、ウェブメール（Ｗｅｂ ｍａｉｌ）、電子郵便、電子郵便物などの用語をまとめて称することができる。

図１は、本発明の一実施形態による全体システムを示す概念図である。

図１を参照すると、本発明の一実施形態によるシステムは、サービス提供装置１００と、ユーザー端末２００と、メールサーバー３００と、を備える。

より具体的に、サービス提供装置１００と、ユーザー端末２００、及びメールサーバー３００は、公衆網（Ｐｕｂｌｉｃ ｎｅｔｗｏｒｋ）で結ばれることにより有線及び無線のうちのどちらか一方以上により接続されてデータを送受信することができる。前記公衆網は、国もしくは通信基幹事業者が構築及び管理する通信網であり、一般に、電話網、データ網、ＣＡＴＶ網及び移動通信網などをはじめとして、不特定多数の一般人が他の通信網やインターネットに接続可能なように接続サービスを提供する。本発明においては、前記公衆網をネットワークに書き換える。

また、前記サービス提供装置１００と、ユーザー端末２００、及びメールサーバー３００は、各通信網に対応するプロトコルにて通信するためのそれぞれの通信モジュールを備えていてもよい。

前記サービス提供装置１００は、メールセキュリティサービスの提供のために、各ユーザー端末２００及びメールサーバー３００と有／無線ネットワークを介して接続されることができ、各ネットワークに結ばれた装置または端末は、予め設定されたネットワークチャンネルを介して相互間の通信を行うことができる。

ここで、前記各ネットワークは、近距離通信網（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ；ＬＡＮ）、広域通信網（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ；ＷＡＮ）、付加価値通信網（Ｖａｌｕｅ Ａｄｄｅｄ Ｎｅｔｗｏｒｋ；ＶＡＮ）、個人近距離無線通信（Ｐｅｒｓｏｎａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ；ＰＡＮ）、移動通信網（Ｍｏｂｉｌｅ ｒａｄｉｏｃｏｍｍｕｎｉｃａｔｉｏｎ ｎｅｔｗｏｒｋ）または衛星通信網などのあらゆる種類の有／無線ネットワークにより実現されることができる。

本明細書において説明されるサービス提供装置１００は、メールを介して意図しないプログラムの実行とメール関係のシステムのデータ処理能力の低下、フィッシング詐欺などを引き起こす攻撃を探知しかつ遮断できるメールセキュリティサービスを提供することができる。

そして、本明細書において説明されるユーザー端末２００としては、パソコン（ＰＣ：ｐｅｒｓｏｎａｌ ｃｏｍｐｕｔｅｒ）、ノート型パソコン（ｌａｐｔｏｐ ｃｏｍｐｕｔｅｒ）、携帯電話（Ｍｏｂｉｌｅ ｐｈｏｎｅ）、タブレットＰＣ（Ｔａｂｌｅｔ ＰＣ）、パーソナルデジタルアシスタント（ＰＤＡ：Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔｓ）、ポータブルマルチメディアプレーヤー（ＰＭＰ：Ｐｏｒｔａｂｌｅ Ｍｕｌｔｉｍｅｄｉａ Ｐｌａｙｅｒ）などが挙げられるが、本発明は、これらに何ら限定されるものではなく、公衆網または私設網などを介して前記サービス提供装置１００やメールサーバー３００などと接続可能な装置であってもよい。

これらに加えて、それぞれの装置は、アプリケーション駆動またはウェブブラウジングを通じた情報の入出力が可能な様々な装置であってもよい。特に、一般に、ユーザー端末２００は、個別的なセキュリティネットワークを介して前記サービス提供装置１００と接続可能である。

前記メールサーバー３００は、ユーザーがユーザー端末２００を用いて作成したメールを発信したり、相手方がユーザー端末２００を用いて作成したメールを受信したりできるように、電子郵便の内容を中継及び保管するシステムである。前記メールサーバー３００は、メールの受信と発信の処理という使用目的に応じて予め設定されたプロトコルを活用して相互間の通信を行うことができる。

一般に、前記プロトコルとしては、メールの受信処理に際して、ポストオフィスプロトコルバージョン３（ＰＯＰ３：Ｐｏｓｔ Ｏｆｆｉｃｅ Ｐｒｏｔｏｃｏｌ ３）、インターネットメッセージアクセスプロトコル（ＩＭＡＰ：Ｉｎｔｅｒｎｅｔ Ｍｅｓｓａｇｅ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）が使用可能である。また、前記プロトコルとしては、メールの発信処理に際して、シンプルメールトランスファープロトコル（ＳＭＴＰ：Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）が使用可能である。このように、メールサーバー３００は、メールの送受信処理のためのサーバー（ｓｅｒｖｅｒ）システムから構成されて作動することができる。なお、前記メールサーバー３００は、メール受信サーバーとメール発信サーバーとに細分化されてそれぞれの機能を提供することができる。

図２及び図３は、本発明の一実施形態によるメールセキュリティサービスの提供装置を説明するためのブロック図である。

図２及び図３を参照すると、本発明の一実施形態によるサービス提供装置１００は、制御部１１０と、収集部１２０と、セキュリティ脅威検査部１３０と、関係分析部１４０と、メール処理部１５０と、ユーザー端末統制部１６０と、レコード管理部１７０と、脆弱点テスト部１８０、及び通信部１９０を備えていてもよい。

制御部１１０は、前記サービス提供装置１００の各構成要素の動作を全般的に制御するための一つ以上のプロセッサーにより実現されることができる。

収集部１２０は、一台以上のユーザー端末２００の間において送受信されるメール情報を取り集めることができる。前記メール情報には、電子メールのヘッダー情報、電子メールのタイトル、電子メールの内容本文、一定期間の受信回数などが盛り込まれていてもよい。

具体的に、前記電子メールのヘッダー情報には、メール発信サーバーＩＰアドレス、メール発信サーバーホスト名情報、発信者メールドメイン情報、発信者メールアドレス、メール受信サーバーＩＰアドレス、メール受信サーバーホスト名情報、受信者メールドメイン情報、受信者メールアドレス、メールプロトコル情報、メール受信時間情報、メール発信時間情報などが盛り込まれていてもよい。

また、前記電子メールヘッダーには、メールが送受信される過程において必要とされるネットワーク経路情報、メールのやり取りのためのメールサービスシステム間の使用プロトコル情報などが盛り込まれていてもよい。

追加的に、前記メール情報には、添付ファイルの拡張子、添付ファイルのハッシュ情報、添付ファイル名、添付ファイルの内容本文、統一資源位置指定子（ＵＲＬ：Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）情報などが盛り込まれていてもよい。前記添付ファイルには、発信者が受信者に届けようとするメールの本文内容に加えて、さらなる情報を届けたり、情報の返信を求めたりするためのさらなるコンテンツが盛り込まれていてもよい。

前記コンテンツは、テキスト、画像、動画などを提供することができる。受信者は、メールに添付されているファイルに対応するアプリケーションを起動して、コンテンツを確認することができる。なお、受信者は、メールに添付されているファイルをローカル記憶装置にダウンロードして格納及び管理することが可能である。

前記添付ファイルの拡張子は、ファイルの形式や種類を区別することができる。前記添付ファイルの拡張子は、一般に、ファイルの属性やファイルを生成したアプリケーションを示す文字列により区別されることができる。例えば、テキストファイルは、［ファイル名］．ｔｘｔ、ＭＳワードファイルは、［ファイル名］．ｄｏｃ（ｄｏｃｘ）、ハングルファイルは［ファイル名］．ｈｗｐなどの拡張子により区別されることができる。なお、画像ファイルは、ｇｉｆ、ｊｐｇ、ｐｎｇ、ｔｉｆなどにより拡張子が区別されることができる。

追加的にコード化された指令に従って指示された作業を行うようにするコンピューターファイルである実行ファイルは、［ファイル名］．ｃｏｍ、［ファイル名］．ｅｘｅ、［ファイル名］．ｂａｔ、［ファイル名］．ｄｌｌ、［ファイル名］．ｓｙｓ、［ファイル名］．ｓｃｒなどに区別されることができる。

前記添付ファイルのハッシュ情報は、情報の偽造、改ざんを確認して情報の無欠性を保証することができる。ハッシュ情報またはハッシュ値は、ハッシュ関数を用いて任意の長さを有する任意のデータに対して一定の長さのビット列にマッピングされることができる。

これを通じて、最初に生成される添付ファイルに関してハッシュ関数を通じて出力されるハッシュ情報は、固有の値を有することになる。前記出力されるハッシュ情報またはハッシュ値は、逆に、関数に入力されるデータを取り出せない一方向性を有する。また、ハッシュ関数は、一つの与えられた入力データに関して出力されたハッシュ情報またはハッシュ値と同じ出力を提供する他の入力データは、計算的に不可能な衝突回避性を保証することができる。これにより、前記添付ファイルのデータを修正したり付加したりすると、ハッシュ関数の出力値は異なるように返される。

このように、前記添付ファイルの固有のハッシュ情報は、メールを介してやり取りするファイルに関してハッシュ情報またはハッシュ値を比較することにより、ファイルの修正、偽造、改ざんの有無を確認することができる。また、前記ハッシュ情報は、固有の値に固定されるため、悪意的な意図をもって生成したファイルに関する過去の履歴のデータベースである評判情報を活用することにより、事前防疫措置を可能にすることができる。加えて、前記ハッシュ関数は、一方向性と衝突回避性とが保証可能な技術及びバージョンに利用可能である。

例えば、ハッシュ情報は、ウィルストータルウェブサイトやマルウェアウェブサイトを介してファイルの悪性コードの有無に関する検索情報として活用可能である。前記ファイルのハッシュ情報の分析を提供するウェブサイトを介してファイルの提供業者、ファイルのハッシュ値などの情報を提供されることができる。なお、ファイルのハッシュ情報に関する検索結果は、多数のＩＴ情報セキュリティソリューションを提供するグローバル会社において判別した評判情報をクロスチェックすることができて、より信頼性のある情報をもって判断することが可能である。

セキュリティ脅威検査部１３０は、予め設定されたセキュリティ脅威アーキテクチャーに従って、前記メール情報に対応するメールセキュリティプロセスの段階ごとのマッチングを処理し、前記マッチング処理されたメールセキュリティプロセスにより前記メール情報を検査し、前記検査結果に応じたメールセキュリティ検査情報を格納及び管理することができる。

前記セキュリティ脅威アーキテクチャーは、スパムメールセキュリティ脅威、悪性コードセキュリティ脅威、ソーシャルエンジニアリングセキュリティ脅威、内部情報流出セキュリティ脅威などに区別されることができる。前記セキュリティ脅威アーキテクチャーによりセキュリティ脅威の類型／レベル／プロセス／プライオリティ／処理順序が設定されることができる。

前記セキュリティ脅威アーキテクチャーに従って対応するメールセキュリティプロセスは、スパムメールセキュリティプロセス、悪性コードセキュリティプロセス、なりすましメールセキュリティプロセス、メール搬出セキュリティプロセスなどを含んでいてもよい。

前記メールセキュリティプロセスとしては、前記セキュリティ脅威アーキテクチャーに従って、受信メールであるか、発信メールであるかに対応する互いに異なるメールセキュリティプロセスが決定されることができる。なお、前記メールセキュリティプロセスの検査順序または検査レベルは、予め設定したセキュリティ段階及びアーキテクチャーにより決定されることができる。

前記メールセキュリティプロセスは、受信または発信のためのメール情報がユーザー端末２００から送信されれば、独立して区別されたプロセスがリソースに割り当てられ、前記メール情報において割り当てられた検査領域において即座に実行可能な流動的なリソースの割り当て方式は、仮想空間の概念に基づいて説明されることができる。前記仮想空間にリソースを割り当てる方式において、メールセキュリティプロセスは、処理が完了したとき、順次に流入するメール情報において割り当てられた検査領域において作業を即座に処理することができる。

これとは対照的に、仮想環境、仮想マシンのように一つのリソース内において処理が制限される一定のプロセスが割り当てられた環境は、要請される作業を処理するとき、特定のプロセスの処理が完了するまで他のプロセスが待機する休止（ｉｄｌｅ）タイムを有することができる。このように、プロセスを通じた分析方式において、流動的なリソースは、固定型リソースと比較するとき、処理速度及び性能において優位性を有することができる。

前記セキュリティ脅威検査部１３０は、前記収集部１２０において取り集められた前記メール情報に基づいて受信または発信の目的をもってメールを区別することができる。次いで、前記セキュリティ脅威検査部１３０は、前記メールセキュリティプロセスを順次にまたは設定されたプライオリティに基づいてマッチングしかつ分析することにより、それぞれのメールに関するメールセキュリティ検査情報を取得することができる。

前記スパムメールセキュリティ脅威は、関係のない発信者と受信者との間に広告と広報などを狙って一方的にかつ大量に不特定多数に無差別的に散布されるメールの類型を含んでいてもよい。また、大量のスパムメールは、メールシステムのデータ処理能力に負荷を与えてしまう結果、システムの処理能力を低下させる原因になる虞もある。なお、スパムメールは、内容本文などに盛り込まれている無分別な情報に対してユーザーが意図せずにアクセスする虞があり、潜在的なフィッシング詐欺のための情報のように偽装されるリスクがある。

このようなスパムメールを検出しかつフィルターリングするために、前記セキュリティ脅威検査部１３０は、スパムメール検査部１３１を備えていてもよい。前記スパムメール検査部１３１は、前記メールセキュリティプロセスがスパムメールセキュリティプロセスである場合、メールヘッダー情報、メールタイトル、メールの内容本文、一定期間の受信回数などが盛り込まれる前記メール情報を予め設定したスパム指標と段階ごとにマッチングすることができる。

前記スパムメール検査部１３１は、メールヘッダー情報とメールタイトル、メールの内容本文などが盛り込まれるメール情報に対してスパムメールであると区別可能な一定のパターンの検査などを通じてスパム指標において検査項目として用いることができる。これを通じて、前記スパムメール検査部１３１は、前記スパム指標を段階ごとにマッチングしてスパムメール検査情報を取得しかつ格納及び管理することができる。

前記スパム指標としては、段階ごとにメール情報に盛り込まれる項目に基づく検査項目と検査を通じたレベル値が設定されることができる。本発明の一実施形態によれば、スパム指標は，Ｌｅｖｅｌ １，Ｌｅｖｅｌ ２，Ｌｅｖｅｌ ３，．．．，Ｌｅｖｅｌ ［ｎ］に細分化及び段階化されて構成されることができる。

前記スパム指標Ｌｅｖｅｌ １は、ビッグデータ及び評判情報に基づいてメール情報に盛り込まれるメールタイトルデータをマッチングすることができる。これを通じて、前記スパム指標Ｌｅｖｅｌ １は、評価されたレベル値をスパム指標Ｌｅｖｅｌ １の検査情報として取得することができる。前記レベル値は、定量的に測定可能な情報として設定されることができる。例えば、前記スパム指標Ｌｅｖｅｌ １の検査情報は、検査項目であるメールタイトルに「広告」、「広報」などの語句が含まれているとき、前記ビッグデータ及び評判情報においてスパムメールと定義した情報と一致する場合、０と１に区別されたレベル値において「１」と評価されることができる。これを通じて、スパム指標Ｌｅｖｅｌ １の検査情報は、「１」として取得されることができる。

追加的に、前記スパム指標Ｌｅｖｅｌ ２は、ユーザー指定キーワードに基づいてメール情報に盛り込まれるデータをマッチングすることができる。これを通じて、前記スパム指標Ｌｅｖｅｌ ２は、評価されたレベル値をスパム指標Ｌｅｖｅｌ ２の検査情報として取得することができる。例えば、前記スパム指標Ｌｅｖｅｌ ２の検査情報は、検査項目であるメールの内容本文に「お買い得価格」、「激安超特価」、「セール」、「ｓａｌｅ」、「売れ切れ」などをはじめとするキーワードが含まれているとき、前記ユーザー指定キーワードにおいてスパムメールと定義した情報と一致する場合、０と１に区別されたレベル値において「１」と評価されることができる。これを通じて、スパム指標Ｌｅｖｅｌ ２の検査情報は、「１」として取得されることができる。

次の段階において、前記スパム指標Ｌｅｖｅｌ ３は、画像の分析に基づいてメール情報に盛り込まれるデータをマッチングすることができる。これを通じて、前記スパム指標Ｌｅｖｅｌ ３は、評価されたレベル値をスパム指標Ｌｅｖｅｌ ３の検査情報として取得することができる。例えば、前記スパム指標Ｌｅｖｅｌ ３の検査情報は、検査項目であるメールの内容本文に盛り込まれる画像を分析して取り出したデータに「０８０」から始まる電話番号などが含まれているとき、前記画像の分析においてスパムメールと定義した情報と一致する場合、０と１に区別されたレベル値において「１」と評価されることができる。これを通じて、スパム指標Ｌｅｖｅｌ ３の検査情報は、「１」として取得されることができる。

このように、前記スパムメールセキュリティプロセスを通じてスパム指標レベル単位で取得された検査情報は、最終的に合算（「３」）されてスパムメール検査情報として格納及び管理されることができる。このようにして合算されたスパムメール検査情報は、前記メールセキュリティ検査情報に盛り込まれて管理されることができ、前記メール処理部１５０においてセキュリティ脅威判別情報として活用されることができる。

前記セキュリティ脅威検査部１３０は、悪性コード検査部１３２をさらに備えていてもよい。前記悪性コード検査部１３２は、前記メールセキュリティプロセスが悪性コードセキュリティプロセスである場合、添付ファイルの拡張子、添付ファイルのハッシュ情報、添付ファイル名、添付ファイルの内容本文、ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）情報などをさらに含む前記メール情報を予め設定した悪性コード指標と段階ごとにマッチングすることができる。

前記悪性コード検査部１３２は、添付ファイルの属性値をもって確認可能な添付ファイルの拡張子、添付ファイルのハッシュ情報、添付ファイル名などとともに添付ファイルの内容本文と内容本文に埋め込まれるＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）情報を悪性コード指標検査項目として用いることができる。これを通じて、前記悪性コード検査部１３２は、前記悪性コード指標を項目に応じて段階ごとにマッチングして悪性コード検査情報を取得しかつ格納及び管理することができる。

前記悪性コード指標としては、段階ごとにメール情報に盛り込まれる項目に基づく検査項目と検査を通じたレベル値が設定されることができる。本発明の一実施形態によれば、悪性コード指標は、Ｌｅｖｅｌ １，Ｌｅｖｅｌ ２，Ｌｅｖｅｌ ３，．．．，Ｌｅｖｅｌ ［ｎ］に細分化及び段階化されて構成されることができる。

前記悪性コード指標Ｌｅｖｅｌ １は、ビッグデータ及び評判情報に基づいてメール情報に盛り込まれる添付ファイル名、添付ファイルの拡張子をマッチングすることができる。これを通じて、前記悪性コード指標Ｌｅｖｅｌ １は、評価されたレベル値を悪性コード指標Ｌｅｖｅｌ １の検査情報として取得することができる。例えば、前記悪性コード指標Ｌｅｖｅｌ １の検査情報は、検査項目である添付ファイル名が「Ｔｒｏｊａｎ」、添付ファイルの拡張子が「ｅｘｅ」を含んでいるとき、前記ビッグデータ及び評判情報において悪性コードと定義された情報と一致する場合、０と１に区別されたレベル値において「１」と評価されることができる。これを通じて、悪性コード指標Ｌｅｖｅｌ １の検査情報は、「１」として取得されることができる。

追加的に、前記悪性コード指標Ｌｅｖｅｌ ２は、ビッグデータ及び評判情報に基づいてメール添付ファイルのハッシュ情報をマッチングすることができる。これを通じて、評価されたレベル値を悪性コード指標Ｌｅｖｅｌ ２の検査情報として取得することができる。例えば、前記悪性コード指標Ｌｅｖｅｌ ２の検査情報は、検査項目である添付ファイルハッシュ情報が「ａ１ｂ２ｃ３ｄ４」であると分析されるとき、前記評判情報において悪性コードと定義された情報と一致する場合、０と１に区別されたレベル値において「１」と評価されることができる。これを通じて、悪性コード指標Ｌｅｖｅｌ ２の検査情報は、「１」として取得されることができる。

次の段階において、前記悪性コード指標Ｌｅｖｅｌ ３は、ＵＲＬ評判情報に基づいて添付ファイルまたはメールの内容本文に埋め込まれたＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）情報をマッチングすることができる。これを通じて、評価されたレベル値を悪性コード指標Ｌｅｖｅｌ ３の検査情報として取得することができる。例えば、前記悪性コード指標Ｌｅｖｅｌ ３の検査情報は、検査項目であるＵＲＬ情報が「ｗｗｗ．ｍａｌｉｃｉｏｕｓ－ｃｏｄｅ．ｃｏｍ」であると確認されるとき、前記ＵＲＬ評判情報において悪性コードファイルが含まれる有害サイトと定義された情報と一致する場合、０と１に区別されたレベル値において「１」と評価されることができる。これを通じて、悪性コード指標Ｌｅｖｅｌ ３の検査情報は、「１」として取得されることができる。そして、前記悪性コード検査部１３２は、ＵＲＬ評判情報において抜けや漏れが起こる可能性があるゼロデイ攻撃に対応することができる。前記悪性コード検査部１３２は、評判情報のないＵＲＬへのリンクＩＰアドレスを特定のシステムのＩＰアドレスに変更し、変更されたＩＰアドレスをユーザー端末２００に提供することができる。前記ユーザー端末２００は、前記ＵＲＬに接続しようとするとき、前記悪性コード検査部１３２が変更した特定のシステムのＩＰアドレスに接続されることができる。以前に前記ＵＲＬへのリンクＩＰアドレスに変更された特定のシステムは、持続的にＵＲＬのエンドポイントまで悪性コードの包含有無を検査することができる。

このように、前記悪性コードセキュリティプロセスを通じて悪性コード指標レベル単位で取得された検査情報は、最終的に合算（「３」）されて悪性コード検査情報として格納及び管理されることができる。このようにして合算された悪性コード検査情報は、前記メールセキュリティ検査情報に盛り込まれて管理されることができ、前記メール処理部１５０においてセキュリティ脅威判別情報として活用されることができる。

前記セキュリティ脅威検査部１３０は、なりすましメール検査部１３３をさらに備えていてもよい。前記なりすましメール検査部１３３は、メールセキュリティプロセスがなりすましメールセキュリティプロセスである場合であって、前記関係分析部１４０を介して取得される関係分析情報に対して予め設定した関係分析指標と段階ごとにマッチングすることができる。前記関係分析情報は、メール情報及び正常であると確認されたメールの属性情報などが盛り込まれるメール情報の分析を通じて取得されることができる。

前記なりすましメール検査部１３３は、正常と判別されたメールから取り出し可能な受信メールドメイン、発信メールドメイン、受信メールアドレス、発信メールアドレス、メールルーティング、メールの内容本文情報などを関係分析指標検査項目として用いることができる。これを通じて、前記なりすましメール検査部１３３は、前記関係分析指標を項目に応じて段階ごとにマッチングしてなりすましメール検査情報を取得しかつ格納及び管理することができる。これを通じて、前記なりすましメール検査部１３３は、類似ドメインを検出することができ、メールの発送経路を追跡または検証してセキュリティ脅威を与える可能性があるメールをフィルターリングすることができる。

前記関係分析指標としては、段階ごとに前記関係分析情報に基づく検査項目と検査を通じたレベル値が設定されることができる。本発明の一実施形態によれば、関係分析指標は、Ｌｅｖｅｌ １，Ｌｅｖｅｌ ２，Ｌｅｖｅｌ ３，．．．，Ｌｅｖｅｌ ［ｎ］に細分化及び段階化されて構成されることができる。

前記関係分析指標Ｌｅｖｅｌ １は、評判情報に基づいて発信者メールのドメイン、発信者メールのアドレスなどをマッチングすることができる。これを通じて、前記関係分析指標Ｌｅｖｅｌ １は、評価されたレベル値を関係分析指標Ｌｅｖｅｌ １の検査情報として取得することができる。例えば、前記関係分析指標Ｌｅｖｅｌ １の検査情報は、検査項目である発信済みのメールのドメインが「＠なりすまし．ｃｏｍ」であり、発信者メールのアドレスが「なりすまし＠」を含んでいるとき、前記評判情報において悪性コードと定義された情報と一致する場合、０と１に区別されたレベル値において「１」と評価されることができる。

追加的に、前記関係分析指標Ｌｅｖｅｌ ２は、前記関係分析情報に基づいて発信者メールのドメイン、発信者メールのアドレスなどをマッチングすることができる。これを通じて、前記関係分析指標Ｌｅｖｅｌ ２は、評価されたレベル値を関係分析指標Ｌｅｖｅｌ ２の検査情報として取得することができる。例えば、前記関係分析指標Ｌｅｖｅｌ ２の検査情報は、検査項目である発信済みのメールのドメインが「＠なりすまし．ｃｏｍ」であり、発信者メールのアドレスが「なりすまし＠」を含んでいるとき、前記関係分析情報において正常メールの属性情報と定義された情報と一致しない場合、０と１に区別されたレベル値において「１」と評価されることができる。これを通じて、関係分析指標Ｌｅｖｅｌ ３の検査情報は、「１」として取得されることができる。

次の段階において、前記関係分析指標Ｌｅｖｅｌ ３は、前記関係分析情報に基づいてメールルーティング情報などをマッチングすることができる。これを通じて、前記関係分析指標Ｌｅｖｅｌ ３は、評価されたレベル値を関係分析指標Ｌｅｖｅｌ ３の検査情報として取得することができる。例えば、前記関係分析指標Ｌｅｖｅｌ ３の検査情報は、検査項目であるメールルーティング情報が「１．１．１．１」、「２．２．２．２」、「３．３．３．３」であると確認されるとき、メールの送信経路である前記ルーティング情報が前記関係分析情報において正常メールの属性情報と定義された情報と一致しない場合、０と１に区別されたレベル値において「１」と評価されることができる。これを通じて、関係分析指標Ｌｅｖｅｌ ３の検査情報は、「１」として取得されることができる。

このように、前記なりすましメールセキュリティプロセスを通じて関係分析指標レベル単位で取得された検査情報は、最終的に合算（「３」）されてなりすましメール検査情報として格納及び管理されることができる。このようにして合算されたなりすましメール検査情報は、前記メールセキュリティ検査情報に盛り込まれて管理されることができ、前記メール処理部１５０においてセキュリティ脅威判別情報として活用されることができる。

前記セキュリティ脅威検査部１３０は、内部情報流出セキュリティ脅威に対応できるようにメール搬出検査部１３４を備えていてもよい。前記メール搬出検査部１３４は、メールセキュリティプロセスがメール搬出セキュリティプロセスである場合、前記メール情報に基づいて予め設定したメール搬出管理指標と段階ごとにマッチングすることができる。

前記メール搬出検査部１３４は、前記メール情報の属性情報を活かしてメール搬出管理指標検査項目として用いることができる。なお、前記管理指標検査項目としては、内部的に管理されるユーザー端末２００の割り当てＩＰ情報が用いられることができる。

前記メール搬出管理指標としては、段階ごとに予め設定された検査項目と検査を通じたレベル値が設定されることができる。本発明の一実施形態によれば、メール搬出管理指標は、Ｌｅｖｅｌ １，Ｌｅｖｅｌ ２，Ｌｅｖｅｌ ３，．．．，Ｌｅｖｅｌ ［ｎ］に細分化及び段階化されて構成されることができる。

前記メール搬出管理指標は、発信環境の検査のために、ユーザー端末２００に割り当てられたＩＰアドレスにおいて許容されたＩＰアドレスのみがメール情報を登録できるように統制する項目を含んでいてもよい。未認証のユーザー端末は、内部情報を流出する可能性が相対的に高く、かつ、メールを介してセキュリティ脅威を与える可能性が相対的に高いため、これを予め遮断可能な管理指標を管理することができる。

また、前記メール搬出検査部１３４は、前記メール搬出管理指標をＩＰアドレス情報、発送回数情報などの検査項目に区別してメール搬出管理指標として活用することができる。さらに、前記メール搬出検査部１３４は、メール発信環境検査項目として承認プロセスなどの統制部をさらに備えて、内部情報の流出脅威を低減することができる。これを通じて、前記メール搬出検査部１３４は、メール搬出プロセスを通じて検査項目とマッチングして算出されたレベル値をメール搬出検査情報として格納しかつ管理することができる。

関係分析部１４０は、前記メール情報及び信頼認証ログの分析に基づいて取得される関係分析情報を格納及び管理することができる。前記信頼認証ログには、前記レコード管理部１７０においてセキュリティ脅威判別情報に基づいてメール情報を正常メールとして処理する場合、受信メールドメイン、発信メールドメイン、受信メールアドレス、発信メールアドレス、メールルーティング、メールの内容本文情報などが盛り込まれるレコード情報が盛り込まれていてもよい。

メール処理部１５０は、前記メールセキュリティ検査情報及び前記メール情報の分析を通じて取得されるセキュリティ脅威判別情報に基づいてメールの状態を処理することができる。

前記メール処理部１５０は、予め設定されたプライオリティによる前記メールセキュリティプロセスを行うことができる。前記メール処理部１５０は、前記メールセキュリティプロセスを通じた前記セキュリティ脅威判別情報が非正常メールであると判別される場合、後続するメールセキュリティプロセスの中断有無を判断してメールの状態を処理することができる。これを通じて、前記メール処理部１５０は、プライオリティに応じて先に検査段階において問題が見つけられた場合、その段階において必要とされる処理のみを行い、検査の終了有無を判断して後続する検査段階は行わずに終了することができる。これを通じて、メールセキュリティサービスの効率性を確保してシステムの複雑性を低め、処理効率を向上させることができる。

前記メールセキュリティ検査情報としては、前記セキュリティ脅威検査部１３０において算出されたスパムメール検査情報と悪性コード検査情報、なりすましメール検査情報、メール搬出検査情報をまとめて取得された情報を活用することができる。例えば、前記セキュリティ脅威検査部１３０がメール情報に対してプロセスを行うことにより、前記スパムメール検査情報として算出されたスコアが「３」、悪性コード検査情報として算出されたスコアが「２」、なりすましメール検査情報として算出されたスコアが「１」、メール搬出検査情報として算出されたスコアが「０」である場合、メールセキュリティ検査情報として合算されるスコアは「７」として取得されることができる。このとき、予め設定されたセキュリティ脅威判別情報を目安にして総合スコアが０～３の範囲であるときに正常メール、４～６の範囲であるときにグレーメール、７～１２の範囲であるときに非正常メールに仕分けされることができる。これにより、前記メールセキュリティ検査情報が「７」であるメールは、非正常メールと判別されることができる。そして、前記メール情報検査情報に盛り込まれるそれぞれの検査情報項目の結果値は、項目に応じて絶対的なプライオリティが指定されたり、重み付け値による情報によりプライオリティが定められたりすることができる。

前記メール処理部１５０は、前記セキュリティ脅威判別情報に基づいて正常メールと判別されたメールに対して、前記ユーザー端末が処理可能な受信または発信の状態に処理するメール振り分け処理部１５１を備えていてもよい。

また、前記メール処理部１５０は、前記セキュリティ脅威判別情報に基づいて非正常メールと判別されたメールに対して、前記ユーザー端末のアクセスが不可能な状態に処理するメール廃棄処理部１５２をさらに備えていてもよい。

追加的に、前記メール処理部１５０は、前記セキュリティ脅威判別情報に基づいてグレーメールと判別されたメールに対して、前記グレーメールを非実行ファイルコンテンツに変換処理し、前記ユーザー端末がメールの状態を選択的に処理できるように配設されるメール無害化処理部１５３をさらに備えていてもよい。

一般に、前記グレーメールは、スパムメールまたはジャンクメールとして区別されてもよく、逆に、正常メールとして区別されてもよい。本発明においては、前記グレーメールは、セキュリティ脅威判別情報が正常または非正常と確定できない一定の範囲内における中間値として算出された場合に区別されるメールの類型であると定義することができる。前記メール無害化処理部１５３は、疑いのある内容本文などが盛り込まれたグレーメールを画像ファイルに変換し、ユーザー端末２００が確認可能なメールの状態で提供することができる。なお、前記メール無害化処理部１５３は、添付ファイル内の悪性コードであると疑われる部門を除去または修正してユーザー端末２００に提供することができる。

ユーザー端末統制部１６０は、前記ユーザー端末２００がネットワークにおいて使用するＩＰアドレス（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ Ａｄｄｒｅｓｓ；ＩＰアドレス）情報が予め設定した非認可ＩＰアドレスに相当する場合、前記メール情報の送信を統制することができる。

レコード管理部１７０は、前記セキュリティ脅威判別情報に基づいて処理された前記メール情報をレコード情報として格納しかつ管理することができる。前記レコード管理部１７０は、前記セキュリティ脅威判別情報に基づいて正常メールとして処理される場合、受信メールドメイン、発信メールドメイン、受信メールアドレス、発信メールアドレス、メールルーティング、メールの内容本文情報などが盛り込まれる前記レコード情報を信頼認証ログとして格納しかつ管理する関係情報管理部１７１をさらに備えていてもよい。これを通じて、前記信頼認証ログは、受信者と発信者のメール情報について信頼可能な関係情報の分析に活用されることができる。なお、前記信頼認証ログに盛り込まれた情報は、相互間の情報のやり取りを通じて持続的にデータが蓄えられ続けながら信頼度が保証されることができる。

また、前記レコード管理部１７０は、前記セキュリティ脅威判別情報に基づいて非正常メールとして処理される場合、受信メールドメイン、発信メールドメイン、受信メールアドレス、発信メールアドレス、メールルーティング、メールの内容本文情報などが盛り込まれる前記レコード情報をメールセキュリティプロセスを行うに当たっての非正常メールの判断指標として活用することができる。

脆弱点テスト部１８０は、前記セキュリティ脅威判別情報に基づいて非正常メールと判別されたメールに対して、前記非正常メールを非実行ファイルコンテンツに変換して前記ユーザー端末において受信または発信の処理が行われるように配設されることができる。前記脆弱点テスト部１８０は、前記非正常メールに対して受信または発信の処理をした前記ユーザー端末の識別情報を取得して類型ごとの脆弱情報として格納及び管理する脆弱情報管理部１８１を備えていてもよい。

図４は、本発明の一実施形態によるメールセキュリティサービスの提供装置の動作方法を説明するためのフローチャートである。

図４を参照すると、メールセキュリティサービスの提供装置の動作方法において、収集段階（Ｓ１０１）においては、一台以上のユーザー端末２００の間において送受信されるメール情報を取り集めることができる。

セキュリティ脅威検査段階（Ｓ１０３）においては、予め設定されたセキュリティ脅威アーキテクチャーに従って、前記メール情報に対応するメールセキュリティプロセスの段階ごとのマッチングを処理することができる。次いで、前記セキュリティ脅威検査段階（Ｓ１０３）においては、前記マッチング処理されたメールセキュリティプロセスにより前記メール情報を検査することができる。これを通じて、前記セキュリティ脅威検査段階（Ｓ１０３）においては、前記検査結果に応じたメールセキュリティ検査情報を格納及び管理することができる。

前記メールセキュリティプロセスとしては、前記セキュリティ脅威アーキテクチャーに従って、受信メールであるか、発信メールであるかに対応する互いに異なるメールセキュリティプロセスが決定されることができる。また、前記メールセキュリティプロセスの検査順序または検査レベルは、予め設定したセキュリティ段階及びアーキテクチャーにより決定されることができる。

メール処理段階（Ｓ１０５）においては、前記メールセキュリティ検査情報及び前記メール情報の分析を通じて取得されるセキュリティ脅威判別情報に基づいてメールの状態を処理することができる。

前記メール処理段階（Ｓ１０５）においては、予め設定されたプライオリティによる前記メールセキュリティプロセスが行われることができる。前記メール処理段階（Ｓ１０５）においては、前記メールセキュリティプロセスを通じた前記セキュリティ脅威判別情報が非正常メールであると判別される場合、後続するメールセキュリティプロセスの中断有無を判断してメールの状態を処理することができる。これを通じて、前記メール処理段階（Ｓ１０５）においては、プライオリティに従って先に検査段階において問題が見つけられた場合、その段階において必要とされる処理のみを行い、検査の終了有無を判断して、後続する検査段階は行わずに終了することができる。これを通じて、メールセキュリティサービスの効率性を確保してシステムの複雑性を低め、処理効率を向上させることができる。

レコード管理段階（Ｓ１０７）においては、前記セキュリティ脅威判別情報に基づいて処理された前記メール情報をレコード情報として格納しかつ管理することができる。前記レコード管理段階（Ｓ１０７）においては、前記セキュリティ脅威判別情報に基づいて正常メールとして処理される場合、受信メールドメイン、発信メールドメイン、受信メールアドレス、発信メールアドレス、メールルーティング情報、メールの内容本文などが盛り込まれる前記レコード情報を信頼認証ログとして格納しかつ管理する関係情報管理段階をさらに含んでいてもよい。

関係分析段階（図示せず）においては、前記メール情報及び前記信頼認証ログの分析に基づいて取得される関係分析情報を格納及び管理することができる。

前記セキュリティ脅威検査段階（Ｓ１０３）は、前記メールセキュリティプロセスがスパムメールセキュリティプロセスである場合、電子メールのヘッダー情報、電子メールのタイトル、電子メールの内容本文、一定期間の受信回数のうちのいずれか一つ以上が盛り込まれる前記メール情報を予め設定したスパム指標と段階ごとにマッチングするスパムメール検査段階をさらに含んでいてもよい。追加的に、前記セキュリティ脅威検査段階（Ｓ１０３）は、前記メールセキュリティプロセスが悪性コードセキュリティプロセスである場合、添付ファイルの拡張子、添付ファイルのハッシュ情報、添付ファイル名、添付ファイルの内容本文、ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）情報のうちのいずれか一つ以上が盛り込まれる前記メール情報を予め設定した悪性コード指標と段階ごとにマッチングする悪性コード検査段階をさらに含んでいてもよい。また、前記セキュリティ脅威検査段階（Ｓ１０３）は、前記メールセキュリティプロセスがなりすましメールセキュリティプロセスである場合、前記関係分析情報に対して予め設定した関係分析指標と段階ごとにマッチングするなりすましメール検査段階をさらに含んでいてもよい。そして、前記セキュリティ脅威検査段階（Ｓ１０３）は、前記メールセキュリティプロセスがメール搬出セキュリティプロセスである場合、前記メール情報に基づいて予め設定したメール搬出管理指標と段階ごとにマッチングするメール搬出検査段階をさらに含んでいてもよい。

前記メール処理段階（Ｓ１０５）は、前記セキュリティ脅威判別情報に基づいて正常メールと判別されたメールに対して、前記ユーザー端末が処理可能な受信または発信の状態に処理するメール振り分け処理段階をさらに含んでいてもよい。なお、前記メール処理段階（Ｓ１０５）は、前記セキュリティ脅威判別情報に基づいて非正常メールと判別されたメールに対して、前記ユーザー端末のアクセスが不可能な状態に処理するメール廃棄処理段階をさらに含んでいてもよい。

追加的に、前記メール処理段階（Ｓ１０５）は、前記セキュリティ脅威判別情報に基づいてグレーメールと判別されたメールに対して、前記グレーメールを非実行ファイルコンテンツに変換処理し、前記ユーザー端末がメールの状態を選択的に処理できるように用意されるメール無害化処理段階をさらに含んでいてもよい。

脆弱点テスト段階（図示せず）は、前記セキュリティ脅威判別情報に基づいて非正常メールと判別されたメールに対して、前記非正常メールを非実行ファイルコンテンツに変換して前記ユーザー端末において受信または発信の処理が行われるように用意することができる。前記脆弱点テスト段階は、前記非正常メールに対して受信または発信の処理をした前記ユーザー端末の識別情報を取得して類型別の脆弱情報として格納及び管理する脆弱情報管理段階をさらに含んでいてもよい。

図５は、本発明の一実施形態によるメールセキュリティサービスのアーキテクチャーに従う検査方式を説明するための例示図である。

図５を参照すると、図５は、メールセキュリティサービスを提供するためのアーキテクチャーであって、これに従い、セキュリティ脅威の類型とレベル、プロセス、プライオリティ、処理順序などが設定されることができる。前記メールセキュリティサービスのアーキテクチャーは、受信メール、発信メール、内部メール、ユーザー教育などの最上位カテゴリーに区別されて各カテゴリーごとに下部構造として階層的、段階的な構成と処理方式が適用されることができる。前記最上位カテゴリーは、メール情報に盛り込まれる属性値またはユーザー端末２００のメールの利用目的に応じて接続するシステムの区別に準拠して仕分けされることができる。

それぞれのセキュリティ脅威の類型内には、一つ以上の特定のメールセキュリティプロセスが割り当てられることができ、これは、レベルとして区別されて段階的かつ順次的に行われることができる。細部的に、セキュリティ脅威の類型は、ＳＰＡＭ、Ｍａｌｉｃｉｏｕｓ ｃｏｄｅ（Ａｔｔａｃｈｍｅｎｔ）、Ｍａｌｉｃｉｏｕｓ ｃｏｄｅ（ＵＲＬ）、Ｓｏｃｉａｌ Ｅｎｇｉｎｅｅｒｉｎｇ Ａｔｔａｃｋなどのセキュリティ脅威の類型に区別されることができる。これによる、セキュリティ脅威の類型の検査プロセスが順次に行われることができる。なお、それぞれの前記セキュリティ脅威の類型内においては、レベル１，２，３，．．．［ｎ］の段階に区別されて順次に行われることができる。このとき、各レベルは、検査する特定の項目と指標が割り当てられて検査結果を取得することができる。

また、アーキテクチャーの設定に伴い、それぞれのセキュリティ脅威の類型内のメールセキュリティプロセスは、割り当てられた検査領域を並列的に並行検査処理する方式によっても行われることができる。

最上位カテゴリーの一つである前記受信メールは、下位階層としてセキュリティ脅威の類型が区別されることができる。細部的に、前記セキュリティ脅威の類型は、ＳＰＡＭ処理、悪性コード処理、ソーシャルエンジニアリング処理などに区別されることができる。

受信メールのセキュリティ脅威の検査のために、ＳＰＡＭ処理部門内のレベル１（Ｌｖ．１）においては、評判に基づくスパムメールの有無を検査することができる。次いで、評判に基づくスパムメール検査において見つけられた問題がない場合、レベル２（Ｌｖ．２）においては、ユーザー指定キーワードに基づいて、フィルターリングを通じたスパムメールの有無を検査することができる。

レベル２が行われ終わった後、次の段階であるレベル３（Ｌｖ．３）においては、画像に基づく内容分析を通じたスパムメールの有無を検査することができる。このように、メールセキュリティサービスアーキテクチャーは、ＳＰＡＭ処理類型内における特定のスパムフィルターリングプロセスを通じてレベルごとの検証を行い、前記検証が完了したときに、次のレベルに進むようにする。そして、前記メールセキュリティサービスアーキテクチャーは、ＳＰＡＭ処理を通じたメールのスパム有無の検査を完了した後、メール内の悪性コードの包含有無を判別する悪性コード処理段階に進むことができる。

前記悪性コード処理は、レベル１の評判に基づく悪性コードの包含有無を判別することができ、正常であると確認されたとき、次の段階に進むことができる。レベルｎ（Ｌｖ．ｎ）は、悪性コードの包含の可能性がある添付ファイルであると判別されたとき、添付ファイル内に埋め込まれた実行コードを変形する無害化処理を通じて悪性コード処理段階を終了することができる。前記悪性コード処理検査が完了した場合、検査段階は、ソーシャルエンジニアリング処理検査段階に進むことができる。前記ソーシャルエンジニアリング処理検査段階は、レベル１（Ｌｖ．１）のメタデータに基づく、かつ、レベルｎ（Ｌｖ．ｎ）の関係分析に基づくソーシャルエンジニアリング攻撃メール検査プロセスを実行した後、検査結果情報に基づいて対応を処理または要請することができる。

最上位カテゴリーの一つである前記発信メールは、下位階層としてセキュリティ脅威の類型が区別されることができる。前記発信メールのカテゴリーもまた、受信メールのセキュリティ脅威の類型と同様に、ＳＰＡＭ処理、悪性コード処理、ソーシャルエンジニアリング処理の段階に区別され、検査が行われることができる。

特に、発信メールのセキュリティ脅威の検査は、発信環境検査段階を含んでいてもよい。前記発信環境検査段階においては、メールの発信を狙って一台以上のユーザー端末２００がシステムに接続するとき、予め登録されたホワイトリストによるＩＰアドレス許容ユーザー端末であるか否かを検証するレベル１（Ｌｖ．１）の段階を行うことができる。前記レベル１の段階の検証を通じて認証が行われたユーザー端末２００は、メールの発送回数が一定基準回数以内であって、基準と符合するとき、正常メールであると判別し、次の段階に進むことができる。次いで、レベルｎ（Ｌｖ．ｎ）の段階においては、発信メールの内容を予め検査して異常有無を判別するプロセスが実行されて正常メールの有無を検証することができる。

最上位カテゴリーの一つである前記内部メールは、下位階層として内部情報の流出を防げる内部メール管理段階が行われることができる。前記内部メール管理段階においては、レベル１（Ｌｖ．１）の承認プロセスを通じて異常メールを検査することができる。前記承認プロセスにおいては、内部情報付きのメールに対する情報流出の危険度を判断することができる。

前記承認プロセスは、メール管理システムにより順次に承認処理されて外部に送られるメールの内容について事前検閲される方式により行われることができる。次いで、レベル２（Ｌｖ．２）の段階において、ＤＬＰ（Ｄａｔａ Ｌｏｓｓ Ｐｒｅｖｅｎｔｉｏｎ；データ流出防止）及びＤＲＭ（Ｄｉｇｉｔａｌ Ｒｉｇｈｔｓ Ｍａｎａｇｅｍｅｎｔ：デジタル著作権管理）統制プロセスが行われて内部情報の流出有無を検査することができる。前記ＤＬＰ統制プロセスにおいては、承認などの許可なしにポリシーに違反するシステムにアクセスして情報を送信しようとする行為を感知及び統制することができる。前記ＤＲＭ統制プロセスにおいては、暗号化された内部ドキュメントが承認などの許可なしに復号化されるか、あるいは、復号化されたファイルをメールに添付しようとする試みを探知して統制することができる。次いで、レベルｎ（Ｌｖ．ｎ）の段階においては、メールを発信しようとするとき、ユーザー端末２００の認証処理段階として１段階、２段階などの多段階の認証プロセスを提供することができる。これを通じて、アカウントの奪取や盗用を試みるユーザーを遮断することにより、正常的なメール処理を保証することができる。

最上位カテゴリーの一つである前記ユーザー教育は、下位階層として模擬フィッシングとフィードバックシステムの段階を含んでいてもよい。前記模擬フィッシング段階においては、セキュリティ脅威付きのメールを使用した履歴があるユーザー端末２００の識別値と回数などの情報を格納及び管理することができる。前記セキュリティ脅威には、実際にシステムやコンテンツに無害な方式により構成されたメールが用いられることができる。これを通じて、フィードバックシステムは、模擬フィッシングを通じて算出された統計値や脅威の度合いを分析した結果値を提供することができる。

前記カテゴリーごとに構成されたセキュリティ脅威の検査は、アーキテクチャー及びセキュリティ段階により決定されることができる。これにより、検査順序及び検査レベルが決定されることができ、順次的な検査により異常有無を確認することができる。また、前記検査順序及び検査レベルのプライオリティは、アーキテクチャー及びセキュリティ段階に応じて設定されることができる。前記プライオリティに応じて行われたプロセスは、取得される検査結果に基づいて問題が見つけられる場合、その段階において必要とされる処理を行い、検査の終了有無を判断することができる。上記の問題は、スパムメールと判別されたり、悪性コード付きのメールと判別されたりするとき、メールをユーザー端末２００において確認できないように廃棄処理したり、返送処理したりすることにより解決することができる。このように、特定の段階における検査プロセスを通じてメールの問題を処理する場合、後続する検査段階または並列処理中の残りの検査段階は、行われずに終了されることができる。

上述した本発明による方法は、コンピューターにおいて実行されるためのプログラムとして作成されてコンピューターにて読み取り可能な記録媒体に記憶されることができ、コンピューターにて読み取り可能な記録媒体の例としては、読み取り専用メモリー（ＲＯＭ）、ランダムアクセスメモリー（ＲＡＭ）、コンパクトディスク－読み取り専用メモリー（ＣＤ－ＲＯＭ）、磁気テープ、フロッピーディスク、光データ記憶装置などが挙げられ、なお、キャリアウェーブ（例えば、インターネットを介した送信）の形態により実現されることも挙げられる。

コンピューターにて読み取り可能な記録媒体は、ネットワークで結ばれたコンピューターシステムに分散されて、分散方式によりコンピューターにて読み取り可能なコードが記憶されかつ実行されることができる。そして、上記の方法を実現するための機能的な（ｆｕｎｃｔｉｏｎ）プログラム、コード及びコードセグメントは、本発明が属する技術分野におけるプログラマーにより容易に推論されることができる。

また、以上においては、本発明の好適な実施形態について図示及び説明したが、本発明は、上述した特定の実施形態に何ら限定されるものではなく、特許請求の範囲において請求する本発明の要旨から逸脱することなく、当該発明が属する技術分野において通常の知識を有する者により種々の変形実施が可能であるということはいうまでもなく、これらの変形された実施形態は、本発明の技術的思想や見通しから個別的に理解されてはならない。

Claims (19)

1. サービス提供装置において、
   一台以上のユーザー端末の間において送受信されるメール情報を取り集める収集部と、
   予め設定されたセキュリティ脅威アーキテクチャーに従って、前記メール情報に対応するメールセキュリティプロセスの段階ごとのマッチングを処理し、マッチング処理されたメールセキュリティプロセスにより前記メール情報を検査し、検査結果に応じたメールセキュリティ検査情報を格納及び管理するセキュリティ脅威検査部と、
   前記メールセキュリティ検査情報及び前記メール情報の分析を通じて取得されるセキュリティ脅威判別情報に基づいてメールの状態を処理するメール処理部と、
   前記セキュリティ脅威判別情報に基づいて処理された前記メール情報を管理するレコード管理部と、を備え、
   前記セキュリティ脅威検査部は、
   前記セキュリティ脅威アーキテクチャーにより、受信メールに対応して特定検査項目と指標が設定されたセキュリティ脅威の類型及びレベルに基づいて、前記メールセキュリティプロセスを段階的にマッチングして順次的に行い、前記セキュリティ脅威の類型は悪性コード処理及びソーシャルエンジニアリング処理を含み、
   前記メールセキュリティプロセスは、
   前記受信メールの前記悪性コード処理の類型に対応して前記受信メールの悪性コードの包含有無を判別する悪性コード処理段階を行い、
   前記悪性コード処理段階が終了する場合、前記ソーシャルエンジニアリング処理の類型に対応して前記受信メールの関係分析に基づくソーシャルエンジニアリング攻撃メール検査を実行するソーシャルエンジニアリング処理段階が行われるように処理し、
   前記悪性コード処理段階は、
   添付ファイルを用いた悪性コード、URLを用いた悪性コード及びURL評判情報から抜けや漏れが起こる可能性があるゼロデイ悪性コードを含む複数のレベルで前記検査情報を管理するサービス提供装置。
2. 前記レコード管理部は、
   前記セキュリティ脅威判別情報に基づいて正常メールとして処理される場合、受信メールドメイン、発信メールドメイン、受信メールアドレス、発信メールアドレス、メールルーティング、メールの内容本文情報のうちのいずれか一つ以上を信頼認証ログとして格納しかつ管理する関係情報管理部をさらに備える、
   請求項１に記載のサービス提供装置。
3. 前記メール情報及び前記信頼認証ログの分析に基づいて取得される関係分析情報を格納及び管理する関係分析部をさらに備える、
   請求項２に記載のサービス提供装置。
4. 前記セキュリティ脅威検査部は、
   前記メールセキュリティプロセスがスパムメールセキュリティプロセスである場合、電子メールのヘッダー情報、電子メールのタイトル、電子メールの内容本文、一定期間の受信回数のうちのいずれか一つ以上が盛り込まれる前記メール情報を予め設定したスパム指標と段階ごとにマッチングするスパムメール検査部を備える、
   請求項３に記載のサービス提供装置。
5. 前記セキュリティ脅威検査部は、
   前記メールセキュリティプロセスが悪性コードセキュリティプロセスである場合、添付ファイルの拡張子、添付ファイルのハッシュ情報、添付ファイル名、添付ファイルの内容本文、ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）情報のうちのいずれか一つ以上をさらに含む前記メール情報を予め設定した悪性コード指標と段階ごとにマッチングする悪性コード検査部をさらに備える、
   請求項４に記載のサービス提供装置。
6. 前記セキュリティ脅威検査部は、
   前記メールセキュリティプロセスがなりすましメールセキュリティプロセスである場合、前記関係分析情報に対して予め設定した関係分析指標と段階ごとにマッチングするなりすましメール検査部をさらに備える、
   請求項５に記載のサービス提供装置。
7. 前記セキュリティ脅威検査部は、
   前記メールセキュリティプロセスがメール搬出セキュリティプロセスである場合、前記メール情報に基づいて予め設定したメール搬出管理指標と段階ごとにマッチングするメール搬出検査部をさらに備える、
   請求項６に記載のサービス提供装置。
8. 前記メール処理部は、
   前記セキュリティ脅威判別情報に基づいて正常メールと判別されたメールに対して、前記ユーザー端末が処理可能な受信または発信の状態に処理するメール振り分け処理部と、
   前記セキュリティ脅威判別情報に基づいて非正常メールと判別されたメールに対して、前記ユーザー端末のアクセスが不可能な状態に処理するメール廃棄処理部と、を備える、
   請求項１に記載のサービス提供装置。
9. 前記メール処理部は、
   前記セキュリティ脅威判別情報に基づいてグレーメールと判別されたメールに対して、前記グレーメールを非実行ファイルコンテンツに変換処理し、前記ユーザー端末がメールの状態を選択的に処理できるように配設されるメール無害化処理部をさらに備える、
   請求項８に記載のサービス提供装置。
10. 前記セキュリティ脅威判別情報に基づいて非正常メールと判別されたメールに対して、前記非正常メールを非実行ファイルコンテンツに変換して前記ユーザー端末において受信または発信の処理が行われるように配設される脆弱点テスト部をさらに備える、
    請求項１に記載のサービス提供装置。
11. 前記脆弱点テスト部は、
    前記非正常メールに対して受信または発信の処理をした前記ユーザー端末の識別情報を取得して類型別の脆弱情報として格納及び管理する脆弱情報管理部を備える、
    請求項１０に記載のサービス提供装置。
12. 前記電子メールのヘッダー情報には、メール発信サーバーＩＰアドレス、メール発信サーバーホスト名情報、発信者メールドメイン情報、発信者メールアドレス、メール受信サーバーＩＰアドレス、メール受信サーバーホスト名情報、受信者メールドメイン情報、受信者メールアドレス、メールプロトコル情報、メール受信時間情報、メール発信時間情報のうちのいずれか一つ以上が盛り込まれる、
    請求項４に記載のサービス提供装置。
13. 前記メールセキュリティプロセスとしては、前記セキュリティ脅威アーキテクチャーに従って、受信メールであるか、発信メールであるかに対応する互いに異なるメールセキュリティプロセスが決定され、
    前記メールセキュリティプロセスの検査順序または検査レベルは、予め設定したセキュリティ段階及びアーキテクチャーにより決定される、
    請求項１に記載のサービス提供装置。
14. サービス提供装置の動作方法において、
    一台以上のユーザー端末の間において送受信されるメール情報を取り集める収集段階と、
    予め設定されたセキュリティ脅威アーキテクチャーに従って、前記メール情報に対応するメールセキュリティプロセスの段階ごとのマッチングを処理し、マッチング処理されたメールセキュリティプロセスにより前記メール情報を検査し、検査結果に応じたメールセキュリティ検査情報を格納及び管理するセキュリティ脅威検査段階と、
    前記メールセキュリティ検査情報及び前記メール情報の分析を通じて取得されるセキュリティ脅威判別情報に基づいてメールの状態を処理するメール処理段階と、
    前記セキュリティ脅威判別情報に基づいて処理された前記メール情報を管理するレコード管理段階と、
    を含み、
    前記セキュリティ脅威検査段階は、
    前記セキュリティ脅威アーキテクチャーにより、受信メールに対応して特定検査項目と指標が設定されたセキュリティ脅威の類型及びレベルに基づいて、前記メールセキュリティプロセスを段階的にマッチングして順次的に行い、前記セキュリティ脅威の類型は悪性コード処理及びソーシャルエンジニアリング処理を含み、
    前記メールセキュリティプロセスは、
    前記受信メールの前記悪性コード処理の類型に対応して前記受信メールの悪性コードの包含有無を判別する悪性コード処理段階を行い、
    前記悪性コード処理段階が終了する場合、前記ソーシャルエンジニアリング処理の類型に対応して前記受信メールの関係分析に基づくソーシャルエンジニアリング攻撃メール検査を実行するソーシャルエンジニアリング処理段階が行われるように処理し、
    前記悪性コード処理段階は、
    添付ファイルを用いた悪性コード、URLを用いた悪性コード及びURL評判情報から抜けや漏れが起こる可能性があるゼロデイ悪性コードを含む複数のレベルで前記検査情報を管理するサービス提供装置の動作方法。
15. 前記レコード管理段階は、
    前記セキュリティ脅威判別情報に基づいて正常メールとして処理される場合、受信メールドメイン、発信メールドメイン、受信メールアドレス、発信メールアドレス、メールルーティング情報、メールの内容本文のうちのいずれか一つ以上を信頼認証ログとして格納しかつ管理する関係情報管理段階をさらに含む、
    請求項１４に記載のサービス提供装置の動作方法。
16. 前記メール情報及び前記信頼認証ログの分析に基づいて取得される関係分析情報を格納及び管理する関係分析段階をさらに含む、
    請求項１５に記載のサービス提供装置の動作方法。
17. 前記セキュリティ脅威検査段階は、
    前記メールセキュリティプロセスがスパムメールセキュリティプロセスである場合、電子メールのヘッダー情報、電子メールのタイトル、電子メールの内容本文、一定期間の受信回数のうちのいずれか一つ以上が盛り込まれる前記メール情報を予め設定したスパム指標と段階ごとにマッチングするスパムメール検査段階と、
    前記メールセキュリティプロセスが悪性コードセキュリティプロセスである場合、添付ファイルの拡張子、添付ファイルのハッシュ情報、添付ファイル名、添付ファイルの内容本文、ＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）情報のうちのいずれか一つ以上が盛り込まれる前記メール情報を予め設定した悪性コード指標と段階ごとにマッチングする悪性コード検査段階と、
    前記メールセキュリティプロセスがなりすましメールセキュリティプロセスである場合、前記関係分析情報に対して予め設定した関係分析指標と段階ごとにマッチングするなりすましメール検査段階と、
    前記メールセキュリティプロセスがメール搬出セキュリティプロセスである場合、前記メール情報に基づいて予め設定したメール搬出管理指標と段階ごとにマッチングするメール搬出検査段階と、をさらに含む、
    請求項１６に記載のサービス提供装置の動作方法。
18. 前記メール処理段階は、
    前記セキュリティ脅威判別情報に基づいて正常メールと判別されたメールに対して、前記ユーザー端末が処理可能な受信または発信の状態に処理するメール振り分け処理段階と、
    前記セキュリティ脅威判別情報に基づいて非正常メールと判別されたメールに対して、前記ユーザー端末のアクセスが不可能な状態に処理するメール廃棄処理段階と、
    前記セキュリティ脅威判別情報に基づいてグレーメールと判別されたメールに対して、前記グレーメールを非実行ファイルコンテンツに変換処理し、前記ユーザー端末がメールの状態を選択的に処理できるように用意されるメール無害化処理段階と、をさらに含む、
    請求項１４に記載のサービス提供装置の動作方法。
19. 前記セキュリティ脅威判別情報に基づいて非正常メールと判別されたメールに対して、前記非正常メールを非実行ファイルコンテンツに変換して前記ユーザー端末において受信または発信の処理が行われるように用意される脆弱点テスト段階をさらに含む、
    請求項１４に記載のサービス提供装置の動作方法。