JP4880675B2 - 参照リソースの確率的解析に基づく不要な電子メールメッセージの検出 - Google Patents

Description

本発明は、一般に、ネットワークデータ通信に関する。本発明は、特に、不要なもしくはスパム、ウイルスまたは他の脅威に関連する電子メールメッセージの処理に関する。

この項に説明する手法は実行可能であるが、必ずしも以前に考えられまたは実行された手法ではない。そのため、本明細書に示されない限り、この項に説明される手法は、本願の特許請求の範囲に対する従来技術ではなく、この項内に含まれることにより従来技術とみなされるものではない。

不要なまたは未承諾（「スパム」）であるもしくはウイルスまたは「フィッシング」攻撃などの他の脅威を含む電子メールメッセージの送信者は、メッセージが不要または未承諾であり、ウイルスまたは他の脅威を含むという事実を隠蔽する方策を用いることが多い。そのメッセージは、件名、送信元（「Ｆｒｏｍ：」値）、および正当であるように見える他の要素を有し得る。加えて、メッセージは、電子システムがメッセージの意図を判断することを困難にするステップを取る場合がある。しかし、メッセージは、ハイパーリンク、ユニフォーム・リソース・インジケータ（ＵＲＩ）、ユニフォーム・リソース・ロケータ（ＵＲＬ）、もしくはスパム、ウイルスまたは他の脅威に関連する他のネットワークリソース識別子を含む場合がある。ユーザがそのようなメッセージ内のハイパーリンクを選択（「クリック」）すると、ユーザのブラウザは、ユーザを、ウイルス、アドウエア、またはスパイウエアを配信する有害なまたは望ましくないページに導き、またはユーザに個人情報または金融情報を開示するように促す、または広告またはポルノグラフィなどの望ましくないコンテンツをもたらす。

他の場合には、ＵＲＬはスパムエンジンにスパムメッセージの「成功」配信の報告を返す実行可能なコードまたはスクリプトにアクセスする。また他の場合には、ＵＲＬはスパムが関係する商品を何でもクリックスルーマーケティングすることを意図している。

その結果として、メッセージが受信された場合、メッセージコンテンツの典型的解析に基づいて脅威検出システムおよび他の解析ツールは、メッセージがスパムであるかまたは脅威に関連しているかを判断できないことが多い。

参照リソースの確率的解析に基づいて不要な電子メールメッセージを検出する方法および装置が記載されている。以下の記述では、説明の目的のため、本発明の完全な理解を提供するために多数の詳細が記載されている。しかし、当業者には、本発明がこれらの詳細なしに実施され得ることは明らかであろう。他の例では、本発明を不必要に不明瞭にすることを回避するために、周知の構造および装置がブロック図の形状で示されている。

本発明を、同様な参照番号が同様な要素を指す添付の図面の図内で、限定としてではなく一例として説明する。

本明細書では以下の概要に従って実施形態を記載する。

１．０ 総括
２．０ 構造および機能概要
２．１ 例示的構造配列
２．２ 機能概要
３．０ 実施機構−ハードウエア概要
４．０ 発展例および代替例
１．０ 総括
以上の背景技術で認識されたニーズならびに以下の説明に対して明らかになるであろう他のニーズおよび目的は本発明で達成され、本発明は一態様において、過去の電子メールメッセージに含まれていた複数の第１のネットワークリソース識別子を備えるホワイトリストを検索するステップと、ホワイトリストから特定の第１のネットワークリソース識別子を検索するステップと、特定の第１のネットワークリソース識別子に対するプロパティの第１のリストを生成するステップと、プロパティを用いて確率フィルタをトレーニングするステップと、ホワイトリスト内の第１のネットワークリソース識別子のすべてに対して抽出、検索およびトレーニングするステップを繰り返すステップと、スパムまたは脅威に関連する過去の電子メールメッセージに含まれていた複数の第２のネットワークリソース識別子を備えるブロックリストを検索するステップと、ブロックリストから特定の第２のネットワークリソース識別子を検索するステップと、特定の第２のネットワークリソース識別子に対するプロパティの第２のリストを生成するステップと、プロパティを用いて確率フィルタをトレーニングするステップと、ブロックリスト内の第２のネットワークリソース識別子のすべてに対して抽出、検索およびトレーニングするステップを繰り返すステップとにより、参照リソースの確率的解析に基づいて不要な電子メールメッセージを検出する方法を含む。

１つの特徴において、本方法は、第３のネットワークリソース識別子を受信するステップと、トレーニングされた確率フィルタを用いて第３のネットワークリソース識別子をテストするとともに、第３のネットワークリソース識別子がスパムまたは脅威に関連する確率を示す確率出力を受信するステップと、確率出力が第１の規定閾値より大きい場合、第３のネットワークリソース識別子をブラックリストに追加するステップとをさらに含む。

他の特徴において、プロパティの第２のリストを生成するステップが、第２のネットワークリソース識別子のドメイン部分を抽出するステップと、ドメインネームシステムから抽出されたドメイン部分に関連する１つまたは複数のメール交換記録を検索するステップと、ドメインネームシステムからメール交換記録で識別される各メールサーバに対する各アドレス記録を検索するステップと、アドレス記録の各々のネットワークアドレスに関連する評価スコア値を検索するステップと、平均評価スコア値が規定閾値未満である場合、ネットワークリソース識別子をブラックリストに追加するステップとを含む。

さらに他の特徴において、ネットワークリソース識別子がユニフォーム・リソース・ロケータ（ＵＲＬ）である。

さらに他の特徴において、プロパティの第２のリストを生成するステップが、第２のネットワークリソース識別子のドメイン部分を抽出するステップと、ドメインネームシステムから抽出されたドメイン部分に関連する１つまたは複数のネームサーバ記録を検索するステップと、ドメインネームシステムからネームサーバ記録で識別される各メールサーバに対する各アドレス記録を検索するステップと、アドレス記録の各々のネットワークアドレスに関連する評価スコア値を検索するステップと、平均評価スコア値が規定閾値未満である場合、ネットワークリソース識別子をブラックリストに追加するステップとを含む。

さらなる特徴において、本方法は、ブラックリストをネットワークに結合された複数のメッセージングゲートウェイ・アプライアンスに送信するステップをさらに含む。

他の特徴において、ブラックリストが前に識別されたブロックリストとは別である。

さらに他の特徴において、本方法は、ブラックリストのコピーをメッセージングゲートウェイで受信するステップと、メッセージングゲートウェイで、ユニフォーム・リソース・ロケータ（ＵＲＬ）を含む電子メールメッセージを受信するステップと、ＵＲＬを抽出するとともに、ＵＲＬがブラックリストのコピー内にあるかを判断するステップと、ＵＲＬがブラックリストのコピー内にある場合、電子メールメッセージに関連する脅威スコア値を変更するステップとをさらに含む。

本明細書において、脅威とは、ウイルス、フィッシング攻撃、およびファーミング攻撃のいずれかを含み得る。この文脈において、「フィッシング（ｐｈｉｓｈｉｎｇ）攻撃」は、ｅメールなどの一見公式電子通信内で信頼できる人または企業になりすますことにより、パスワードおよびクレジットカード詳細などの機密情報を不正に取得しようとする試みにより特徴付けられる犯罪活動の形状を指す。この用語はユーザの金融情報およびパスワードを「釣る（ｆｉｓｈ）」ためのますます精巧なルアーの使用から生じている。「ファーミング」は、コンピュータユーザにサイトのドメインネームを取得させるとともに、例えばそのウェブサイトのトラフィックを他のウェブサイトに再指向させるＤＮＳサーバソフトウエア内の脆弱性の利用を指す。

他の態様において、本発明は、以上のステップを行うように構成された電子メールサーバ、他のコンピュータ装置およびコンピュータ読み取り可能媒体を包含する。

２．０ 構造および機能概要
２．１ 例示的構造配列
図１は、実施形態を実施するために用い得る例示的ネットワーク配列を図示するブロック図である。明瞭な例を図示する目的のため、本明細書では説明の一部はスパムメッセージに言及する。しかし、他の実施形態は、任意の形状のメッセージ感染脅威または問題を含むまたは関連するメッセージ、例えばスパムまたは未承諾メッセージ、「フィッシング」攻撃もしくは他の不正または有害なコンテンツを含むメッセージを扱う場合がある。そのように、本明細書の幅広い手法はスパムを扱うシステムに限定されない。さらに、実施形態は、「ハム」メッセージをテストすることができるとともに、そのようなメッセージがスパムではないまたは脅威と関連しないということを示す出力を提供する。

ここで図１を参照すると、素性および場所が通例不明である脅威送信者１００は、公衆（ｐｕｂｌｉｃ）ネットワーク１０２に直接または間接的に結合されているとともに、通例電子メッセージまたはｅメールでメッセージを公衆ネットワークに送信する。メッセージは、複数の受信者または専用（ｐｒｉｖａｔｅ）ネットワーク１１０内のコンピュータ１２０Ａ、１２０Ｂ、１２０Ｃのユーザ、脅威情報ソース１０４および脅威トラップ１０６のアカウントなどの宛先に宛てられる。メッセージはスパムを備え、ウイルスなどの脅威を含み、またはスパムコンテンツを表わすもしくは迷惑または有害であるネットワークリソースのネットワーク識別子を含む。

脅威情報ソース１０４は、メッセージ署名、ブラックリスト、ホワイトリスト、またはスパムまたは有害であるメッセージまたはメッセージの送信者を識別する他の情報のネットワークアクセス可能ソースを含む。追加的にまたは代替的に、脅威情報ソース１０４は、ワールドワイドウェブ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）上のドメイン「ｓｐａｍｃｏｐ．ｎｅｔ」でアクセス可能なスパムコップ（ＳｐａｍＣｏｐ）情報サービス、またはスパムコップ（ＳｐａｍＣｏｐ）サービスのユーザを含み得る。スパムコップ（ＳｐａｍＣｏｐ）は、スパム、ハムおよび確率スコアに関連するＵＲＬ、ホストネームおよびＩＰアドレスを追跡するためのデータベースを含む。

脅威情報ソース１０４は、１つまたは複数のインターネットサービスプロバイダまたは他の大量メール受信者により所有、動作または管理されるサービスまたはデータベースを含み得る。

他の代替実施形態において、本明細書の自動的手法に対する補完として、脅威情報ソース１０４は、情報サービス相談者または解析者により得られるデータの手による検査もしくは外部ソースを含み得る。例えばスパム対策ベンダー、ウイルス対策ベンダー、第三者ベンダー、スパム対策メーリングリストまたはウイルスメーリングリスト、スパムトラップまたは脅威トラップデータおよび他のソースからの警告を監視している人間の管理者が、ほとんどの場合スパム対策ソフトウエアまたは処理ルールへの更新が公開される前にスパムを良好に検出することができる。

脅威トラップ１０６は、スパムを備えるまたは脅威に関連するｅメールメッセージに関する情報を収集する専用のｅメールアドレス、アカウントまたはメールボックスである。単純な例を図示する目的のため、図１は、脅威情報ソース１０４および脅威トラップ１０６の形状の２つの宛先のみを示すが、特定の実施形態において、任意の数のこのようなスパム情報ソースがあり得る。

脅威送信者１００は、コンピュータ１２０Ａ、１２０Ｂ、１２０Ｃおよび脅威トラップ１０６のネットワークアドレスを、公衆ソース、購入ｅメールアドレスリスト、オンラインポスティング等から取得し得る。

脅威情報プロセッサ１０８は、公衆ネットワーク１０２に通信可能に結合されているとともに、脅威情報ソース１０４および脅威トラップ１０６から情報を受信することができる。脅威情報プロセッサ１０８は、脅威情報ソース１０４および脅威トラップ１０６からスパムおよび脅威情報を収集すること、スパムおよび脅威発生情報を生成すること、およびデータベース１１２内に発生情報を格納することを含む、本明細書にさらに記載するある機能を実施する。

ネットワークリソース１５０およびウェブサイト１５２が公衆ネットワーク１０２に結合されている。ネットワークリソース１５０は、ネットワークアクセス可能な実行可能コンピュータプログラムコード、スクリプト、または他のソフトウエア要素を備え得る。ネットワークリソース１５０は、ウェブサイト１５２、ファイルサーバ、または任意の他のネットワークアクセス可能な情報リソースも含み得る。様々な実施形態において、ネットワーク１０２に結合された任意の数のネットワークリソース１５０およびウェブサイト１５２があり得る。この明細書において、「ネットワークリソース識別子」という用語は任意の種類のネットワークリソースを識別する任意のデータを広く指し、そのため「ネットワークリソース識別子」はＵＲＬ、ＵＲＩ、ハイパーリンク、ドメインネーム、ホストネーム等であり得る。

１つまたは複数のドメインネームサービス（ＤＮＳ）サーバ１６０が公衆ネットワーク１０２に結合されている。各ＤＮＳサーバ１６０は、ドメインネームを、ＩＰアドレスなどのネットワークアドレス、ドメインネームに関連するメール交換（ＭＸ）サーバのネーム、ネームサーバ記録等に分解するために用いることができるＤＮＳ記録を記憶する。

現存のパブリックＵＲＩブロックリスト１４０が公衆ネットワーク１０２に結合されている。ブロックリスト１４０は、一般に、スパムメッセージで公表されたユニフォーム・リソース・インジケータ（ＵＲＩ）のリストを含む。一実施形態において、ブロックリスト１４０は、他のブロックリストの一群、スパムメッセージで見つかるすべての対象ドメインを含む。ブロックリスト１４０における情報にはＤＮＳルックアップを用いてアクセスすることができるが、それにはインターネット接続が必要であるとともに結果を得るために比較的長い待ち時間を有する。一実施形態では、ブロックリスト１４０はリストの一群を含むため、ブロックリスト１４０からの各出力入力にはドメインが現れたリストを示すビットマスクが標識付けされている。

メッセージングゲートウェイ１０７が、公衆ネットワーク１０２と複数の終端ステーション１２０Ａ、１２０Ｂ、１２０Ｃを含む専用ネットワーク１１０との間に、ファイアウォール１１１または他のネットワーク要素を介して直接または間接的に結合されている。メッセージングゲートウェイ１０７は、ｅメールを専用ネットワーク１１０用に処理するメール転送エージェント１０９と一体化されていてもよく、またはメール転送エージェントは別に配置されていてもよい。例えばカリフォルニア州サンブルーノ（Ｓａｎ Ｂｒｕｎｏ，Ｃａｌｉｆｏｒｎｉａ）のアイアンポート・システムズ社（ＩｒｏｎＰｏｒｔ Ｓｙｓｔｅｍｓ Ｉｎｃ．）から市販されているアイアンポート メッセージングゲートウェイ・アプライアンス（ＩｒｏｎＰｏｒｔ Ｍｅｓｓａｇｉｎｇ Ｇａｔｅｗａｙ Ａｐｐｌｉａｎｃｅ）（ＭＧＡ）、例えばモデルＣ６０、Ｃ３０、Ｃ１０、Ｘ１０００等は、メール転送エージェント１０９、ファイアウォール１１１、およびメッセージングゲートウェイ１０７に対して本明細書に記載された機能を実施し得る。

一実施形態において、メッセージングゲートウェイ１０７は、脅威情報プロセッサ１０８からウイルス発生情報を得るとともにメッセージングゲートウェイに設定されたポリシーに従って終端ステーション１２０Ａ、１２０Ｂ、１２０Ｃ宛てのメッセージを処理する、メッセージウイルス情報ロジック１１４を含む。このようなウイルス情報ロジックは、メッセージングゲートウェイ１０７のコンテンツフィルタ機能と一体化されていてもよい。

メッセージングゲートウェイ１０７は、クラム（Ｃｌａｍ）ＡＶなどのウイルス対策チェッカー１１６、コンテンツフィルタ１１８、およびスパムアサシン（ＳｐａｍＡｓｓａｓｓｉｎ）モジュールなどのスパム対策ロジック１１９も含み得る。ウイルス対策チェッカー１１６は、例えばソフォス（Ｓｏｐｈｏｓ）ウイルス対策ソフトウエアを含み得る。コンテンツフィルタ１１８は、専用ネットワーク１１０に関連するポリシーに従ってメッセージ件名またはメッセージ本文内に容認不可能なコンテンツを含むメッセージの配信または受理を制限するロジックを提供する。スパム対策ロジック１１９は、着信メッセージをスキャンしてメール受理ポリシーに従ってそれらが不要であるか、例えば着信メッセージが未承諾商用ｅメールか否かを判断するとともに、スパム対策ロジック１１９は、ポリシーを適用して任意の不要なメッセージの配信、転送の制限または受理の拒否を行う。スパム対策ロジックは、禁止された送信者を識別するローカルブラックリスト、またはスパムメッセージに公表されたネットワークリソースの識別子（例えばネットワークリソース１５０、ウェブサイト１５２）と通信し得る。

本明細書で用いられる「メールサーバ」という用語は、メッセージングゲートウェイ１０７、メール転送エージェント、メール交換、および電子メールメッセージを受信および転送する任意の他のデータ処理ユニット、サーバ、ソフトウエア、またはシステムを含む。

専用ネットワーク１１０は、企業に関連する企業ネットワークもしくは強化セキュリティまたは保護が望ましい任意の他のネットワーク形態であり得る。公衆ネットワーク１０２および専用ネットワーク１１０は、通信のためにＴＣＰ／ＩＰなどのオープンスタンダードプロトコルを用い得る。

脅威情報ソース１０４は、他の専用ネットワークを保護する目的のために公衆ネットワーク１０２と他の専用ネットワーク（明瞭化のため図示せず）との間に介在するメッセージングゲートウェイ１０７の他の例を含み得る。一実施形態において、脅威情報ソース１０４はアイアンポート（ＩｒｏｎＰｏｒｔ）ＭＧＡである。

脅威トラップ１０６は、１つまたは複数のドメインと関連する１つまたは複数のｅメールアドレスまたはｅメールメールボックスと関連している。脅威トラップ１０６は、解析または報告のため未承諾ｅメールメッセージまたは「スパム」を受信する目的のために設置されているが、通例従来のｅメール通信には用いられない。例えばスパムトラップは、「ｄｕｍｍｙａｃｃｏｕｎｔｆｏｒｓｐａｍ＠ｍｙｃｏｍｐａｎｙ．ｃｏｍ」などのｅメールアドレスであり得るか、またはスパムトラップは受信ｅメール情報が提供されるＭＸタイプＤＮＳ記録に分類されるｅメールアドレスの一群であり得る。メール転送エージェント１０９または他のアイアンポート（ＩｒｏｎＰｏｒｔ）ＭＧＡのメール転送エージェントは脅威トラップ１０６をホストとして動作する。

一実施形態において、脅威情報ソース１０４は、コンピュータウイルス発生を管理する際に用いる情報を生成するとともに脅威情報プロセッサ１０８に提供し、さらに、脅威情報プロセッサ１０８は、同じ目的のため脅威トラップ１０６から情報を得ることができる。例えば脅威情報ソース１０４は、不審な添付ファイルを有する受信メッセージを数えるとともに、その計数を脅威情報プロセッサ１０８に提供するか、または外部プロセスが計数を検索するとともにそれらを特定のデータベースに格納することを可能にする。メッセージングゲートウェイ１０７は、ウイルスに関連する表示を有するかさもなければ不審であるメッセージを検出する、特定の期間に受信した不審なメッセージの計数を行う、およびその計数を脅威情報プロセッサ１０８に定期的に提供することによりウイルス情報ソースとしても役立ち得る。

具体例として本明細書に記載された機能は、総合的メッセージデータ収集および報告設備、例えばアイアンポート・システムズ社（ＩｒｏｎＰｏｒｔ Ｓｙｓｔｅｍｓ Ｉｎｃ．）のセンダーベース（ＳｅｎｄｅｒＢａｓｅ）サービスの一部として実施され得る。この実施形態において、脅威情報プロセッサ１０８は、脅威情報ソース１０４および脅威トラップ１０６から情報を検索するかまたは受信し、スパム対策ロジック１１９によりスパムであると判断されるもしくは不審な添付ファイルまたはウイルス対策チェッカー１１６により示されるようなウイルス識別子を有するメッセージの送信者に対する評価スコアを生成し、さらにウイルス情報ロジック１１４およびメッセージングゲートウェイ１０７のスパム対策ロジック１１９による後の検索ならびに利用のため、データベース１１２を評価スコアで更新することができる。

脅威情報プロセッサ１０８は、メッセージを解析するとともにメッセージングゲートウェイ１０７または専用ネットワーク内に配置されたまたは公衆ネットワーク１０２に結合された他のメッセージングゲートウェイにより用いることができる情報を生成する、１つまたは複数のサーバ、システムまたはサービスを含む。脅威情報プロセッサ１０８は、脅威オペレーションセンター（ＴＯＣ）、受信ウイルススコア（ＲＶＳ）プロセッサ、または両方を含むまたは通信可能に結合可能である。ＴＯＣおよびＲＶＳプロセッサは、脅威情報プロセッサ１０８から分離し得るが、データベース１１２または公衆ネットワーク１０２に通信結合され得る。１日２４時間、週７日間対応可能な人員を有し、脅威情報プロセッサ１０８によって収集されるとともにデータベース１１２に記憶された情報を監視する人員配置されたセンターとしてＴＯＣを実施することができる。ＴＯＣに詰める人員は、脅威情報ソース１０４からの新しい情報を解析する、脅威トラップ１０６において受信したメッセージを検査する、スパム対策ルールを作成する、ウイルス対策ルールを作成する、ウイルス発生警報を発する、データベース１１２内に記憶された情報を更新する、ウイルス発生情報を公表してメッセージングゲートウェイ１０７がウイルス発生情報にアクセスできるようにする、およびそのメッセージングゲートウェイおよび他のメッセージングゲートウェイへのウイルス発生情報の送信を手動で作動させるなどの手作業を行うことができる。

一実施形態において、脅威情報プロセッサ１０８は、図２Ａ〜図３に関連して本明細書に記載された機能を実施する１つまたは複数のコンピュータプログラムまたは他のソフトウエア要素を備えるネットワーク識別子解析ロジック１３０を含む。

一実施形態において、脅威情報プロセッサ１０８は、スパムを備えることが分かっているまたは脅威を担持することが分かっているメッセージのコピーまたは属性を蓄積する１つまたは複数の信頼されるブラックリストを含むまたはそこから情報を受信する。脅威情報プロセッサ１０８はブラックリストをホストとして動作し、外部ブラックリストに問い合わせる、またはメッセージングプロトコルを介してブラックリスト情報を得ることができる。

ある実施形態において、データベース１１２はコーパスと呼ばれるとともに、ウイルスを含むまたは含まないスパムまたはそうではないとして明確に分類された、もしくは他の特定の脅威に対して分類されたメッセージを含む脅威情報プロセッサ１０８のデータベースを含む。このように、コーパスは、今後のメッセージがスパムであるか脅威を含むかを示すルールまたは他の基準を判断するために用いることができる履歴メッセージ情報の信頼されるレポジトリを表わす。メッセージは、脅威トラップ１０６などの自動ソースからおよびメッセージングゲートウェイ１０７からの報告からコーパスに入る。メッセージは、人間の分類システムからも入り、そのため、解析者は、メッセージまたはＵＲＬを受信するとともにそのメッセージまたはＵＲＬがデータベース１１２内のホワイトリストまたはブラックリストに付加されるべきであると判断し得る。コーパスは、アバターを用いて公衆ネットワーク１０２に入るとともに分類用メッセージを取得し得る。

一実施形態において、データベース１１２は以下のメッセージに対する属性値を記憶し得る。

一実施形態において、脅威情報プロセッサ１０８はブロックリスト１４２を含む。一実施形態において、ブロックリスト１４２は、パブリック送信者ＵＲＩブロックリスト１４０の局所的に管理されたコピーまたはミラーであり得る。ブロックリスト１４０のミラーリングは、ブロックリスト１４０がネットワーク停止または不具合に直面しても、脅威情報プロセッサ１０８が連続的に利用可能なＵＲＩブロックリスト情報を有することができるようにする。一実施形態において、ブロックリスト１４２はデータベース１１２に一体化されてもよい。

一実施形態において、脅威情報プロセッサ１０８は、ＨＴＴＰサービス１３２を含み、ＨＴＴＰサービス１３２は、ＨＴＴＰ要求を発してネットワークリソース１５０のコピー、ウェブサイト１５２からの情報、またはＨＴＴＰサーバに記憶されている他のネットワークアクセス可能情報を得ることができる。

一実施形態において、脅威情報プロセッサ１０８は評価スコアサービス１３６を含み、評価スコアサービス１３６は、データベース１１２に記憶されたメッセージに対する評価スコア値を判断するとともに新しいメッセージが受信されると同時にデータベースをスコア値で更新することができる。評価スコア値は、送信者が送信したことが分かっている過去のメッセージに基づいてまたはメッセージ要素を含む過去のメッセージに基づいて、メッセージ送信者またはメッセージ要素がスパムメッセージまたは脅威を含むメッセージに関連するかを表わす。一実施形態において、評価スコア値は、不良評価もしくはスパムまたは脅威を有するメッセージの頻繁且つ不断の送信を示す（−１０）から良好な評価を示す（＋１０）に及ぶ。

一実施形態において、脅威情報プロセッサ１０８は、ソフトウエア・コンポーネント内で実施される１つまたは複数のトレーニングデータベースまたは確率フィルタ１３４を含む。追加的にまたは代替的に、ネットワーク識別子解析ロジック１３０および確率フィルタ１３４は、メッセージングゲートウェイ１０７内のスパム対策ロジック１１９の一部として、またはメッセージングゲートウェイのスパム対策ロジック用のプラグインソフトウエア・コンポーネントの形状で実施され得る。確率フィルタ１３４はベイジアン（Ｂａｙｅｓｉａｎ）フィルタであってもよい。確率フィルタ１３４の使用は次の項にさらに記載されている。

２．２ 機能概要
一般に、電子メッセージを処理する方法の一実施形態は、メッセージを受信することと、メッセージ内の１つまたは複数のネットワークリソース識別子を識別することと、ネットワークリソース識別子により参照されるリソースへのネットワーク接続を確立することと、参照リソースを検索することと、参照リソースを評価することと、参照リソースに基づいてメッセージが脅威を含むかスパムを表わすかを判断することとを含む。

一実施形態において、リソースは、それらがスパム送信者にランレンするかを判断するベイジアン解析などの確率的解析を受ける。一般に、ベイジアン解析は、観察された分布に基づいて基本的な分布のパラメータを確立する統計的手法である。解析は、パラメータの相対的尤度または非ベイジアン観察の結果の査定を始めとする、任意の関連データに基づき得る「事前分布」で始まる。実際には、事前分布に対する適当な範囲の値にわたり均一な分布を査定することが普通である。

事前分布を考えると、プロセスはデータを収集して観察分布を得る。そして、このプロセスは、観察分布の尤度をパラメータ値の関数として算出し、この尤度関数に事前分布を掛け、さらにその結果を正規化してすべての可能な値にわたり、事後確率分布と称される単位確率を得る。そして、分布のモードは、パラメータ推計であるとともに、標準的手順を用いて「確率区間」（ベイジアン・アナログ信頼区間）を算出することができる。ベイジアン解析において、結果の妥当性は事前分布の妥当性に依存し、統計的に査定することができない。

他の手法において、ｅメールメッセージ内のホストネーム参照は、例えばＤＮＳルックアップを用いてＩＰアドレスに分解される。これらの手法の両方を用いて、データベース１１２に保持されているブラックリストに追加されるまたはブロックリスト１４２に更新されるべきネットワークアドレス、例えばＩＰアドレスを識別してもよい。

他の手法において、メッセージ本文内のＵＲＬから抽出されたホストネームはＩＰアドレスにマッピングされる（例えばＤＮＳを用いて）。その結果得られるＩＰアドレスは１つまたは複数のブラックリスト内で探索される。同時に、評価スコアが生成されるとともに、低評価スコアとそのＩＰアドレスがブラックリストに載っているという表示との組み合わせを用いて、関連するＵＲＬもブラックリストに載せるべきか否かを判断する。

この手法を、メッセージが以前にスパムであると判断されたか否かに関係なくコーパス内にあるすべてのメッセージに適用することができる。

本明細書の他の手法において、メッセージは受信されてコーパス内に格納される。それらのメッセージは手動で審査されてハムまたはスパムとして印される。メッセージ内で参照された１つまたは複数のＵＲＬが識別されるとともに、１つまたは複数のホストネームがＵＲＬから抽出される。エージェントはメッセージ本文内のＵＲＬを得るためにウェブページを検索する。エージェントは、ドメインに対するドメインネーム登録機関「フーイズ」記録を探索し得るとともに、抽出されたドメインネームにおけるルートページを検索し得る。スパム対策サービスにより調査中であるという信号をウェブサーバの所有者またはオペレータに送り得る、同じページを頻繁に検索することを回避するように予防策を取ってもよい。

検索データはトークン化されるとともに、そのトークンを用いて確率スパム検出エンジンまたはフィルタをトレーニングする。その結果、確率フィルタは、あるトークンの有無に基づいてどのメッセージがスパムを表わすか表わさないか認識することをトレーニングされる。例えばスパム送信者は、繰り返しスパム活動において同様な出現ドメインネームを用いる場合があり、またはウェブページ検索動作は、スパム送信者が偽のＵＲＬを送信しているまたは表示されたＵＲＬにおけるウェブページがまだ開設されていない場合に発生する可能性があるＨＴＴＰ４０４エラー（ページが見つからない）を生じることになり、またはウェブページ内のコンテンツがスパムソースに関連していることが既知であるプロダクトを広告しようとする場合がある。

トレーニングフェーズ後、新たに検索されたメッセージは、確率フィルタにより処理されるとともに、高確率スコアを生じるそれらのメッセージに関連するＩＰアドレスがブラックリストに載せられる。

一実施形態において、メッセージングゲートウェイ１０７は、脅威情報プロセッサ１０８に定期的に問い合わせを行って、スパム対策ロジック１１９で用いるためのスパム対策更新を要求する。脅威情報プロセッサ１０８は、ブロックリスト１４２から形成されるとともにデータベース１１２内で管理される内部ホワイトリストおよびブラックリストとしてＵＲＬブラックリストを生成する。その結果得られるＵＲＬブラックリストは、単独でまたはメッセージングゲートウェイの他の要素用の他の更新と一緒にメッセージングゲートウェイ１０７に送信される。

一実施形態において、ＵＲＬブラックリストは、形状（ホストネーム。ビットマスク）のタプルのリストを備えるパール（Ｐｅｒｌ）ＳＤＢＭファイルとしてメッセージングゲートウェイ１０７に送信される。リストはホワイトリストに載っていないホストネームを含む。使用時には、他のリストエントリのための「ワイルドカード」ホワイトリストエントリである任意のリストエントリはそのエントリに勝つことになる。例えばｆｏｏ．ｂａｒ．ｃｏｍがブラックリストに載っているとともに、「^＊．ｂａｒ．ｃｏｍ」がホワイトリストに載っていると仮定する。その結果、ｆｏｏ．ｂａｒ．ｃｏｍはメッセージングゲートウェイ１０７に送信される最終的なブラックリストに現れない。「ｂａｒ．ｃｏｍ」のみがホワイトリストに載っている場合にも同じ結果が生じる。

ここで図２Ａ、図２Ｂ、図２Ｃ、および図２Ｄを参照して機能例を説明する。図２Ａは、受信メッセージ内のネットワークリソース識別子に基づいて確率フィルタをトレーニングする一実施形態の高水準概要を図示するフロー図であり、図２Ｂは、受信メッセージがスパムであるかまたは脅威に関連するかをテストする一実施形態の高水準概要を図示するフロー図であり、図２Ｃは、ネットワークリソース識別子をブロックリストに追加すべきかを判断する一実施形態の高水準概要を図示するフロー図であり、図２Ｄは、ブロックリストをメッセージングゲートウェイに転送するとともにブロックリストを用いてメッセージをフィルタリングする一実施形態の高水準概要を図示する。

まず図２Ａ、区分（１）を参照すると、ステップ２０２において第１のネットワークリソース識別子のホワイトリストのコンテンツが検索される。一実施形態において、脅威情報プロセッサ１０８はＵＲＩホワイトリストを生成するとともに管理する。代替的には、パブリックＵＲＩホワイトリストを用いることができる。ステップ２０２のホワイトリストおよび以下にさらに説明するステップ２１０のブロックリストは、機械により生成または人間により生成され得る。後者のフィルタリング動作を適正に実行するためには、ホワイトリストおよびブロックリストは非常に正確でなければならない。この文脈において、「ホワイトリスト」は、ネットワークアドレス、ＩＰアドレス、ドメインネーム、または概してスパムまたは脅威に関連していなかった他のネットワークリソース識別子のリストを指す。

ステップ２０４において、特定の第１のネットワークリソース識別子がホワイトリストから検索される。

ステップ２０６において、検索された第１のネットワークリソース識別子に対するプロパティまたはトークンのリストが生成される。この文脈においてネットワークリソース識別子の「プロパティ」例には、例えばネーム、ＩＰアドレス、サーバ等などのネットワークリソース識別子に基づいたＤＮＳクエリーから得られる情報、ウェブページ、ネットワークリソース識別子が用いているサーバソフトウエア、ネットワークリソース識別子に含まれるドメインネームに対するドメインネーム所有者およびネットワークブロック所有者の両方に基づいて「フーイズ」クエリーから得られる情報、ならびにＵＲＩおよび／またはドメインネームから抽出されたワード（例えばドメインネーム「ｂｌｕｅｐｉｌｌｏｒｄｅｒｓ．ｃｏｍ」に対して、抽出されたワードは「ｂｌｕｅ」、「ｐｉｌｌ」および「ｏｒｄｅｒｓ」を含むこともあり得る）を含み得る。

一実施形態において、ステップ２０６は、ウェブページまたは特定のネットワークリソース識別子により識別される他のネットワークリソースのコピーを検索することを含む。例えば脅威情報プロセッサ１０８のＨＴＴＰサービス１３２は、ＨＴＴＰ ＧＥＴ要求を生成するとともに発して、上述の抽出されたＵＲＬにおけるリソースをダウンロードする。抽出されたＵＲＬ識別子がアクティブなオンラインウェブサイト１５２または他のネットワークリソース１５０を識別すると仮定すると、ウェブページまたは他のリソースのコピーがＨＴＴＰ ＧＥＴ要求に応じて受信される。

ネットワークリソース識別子に関連するプロパティは、トークンのリストまたはストリームに変換され、各トークンはプロパティの個々の部分である。例えばトークンは、文字列、ワード、テキストブロック、グラフィックイメージ、ＵＲＬ、フレーム、または他のページ要素を含み得る。コピーをトークンに変換することは、記憶されたコピーをスキャンすることと様々なタイプのデリミタを識別することとを含み得る。

ステップ２０８において、データベース２１８をトレーニングすることにより表わされる確率フィルタは、トークンを用いてトレーニングされる。例えば確率フィルタ１３４には、トークンおよびトークンが「既知の良好な」ネットワークリソース識別子に関連することを示す情報が供給される。トレーニング中に脅威情報プロセッサの管理者または他の信頼されるユーザが確率フィルタ１３４に、特定のネットワークリソースおよびプロパティが実際にスパムまたはメッセージ脅威に関連するか否かについて知らせる。代替的には、ステップ２０８は、一組の他のネットワークリソース識別子プロパティが「良好」もしくはスパムまたはメッセージ脅威に関連しないネットワークリソース識別子を示す確率を生成するためにのみ用いられる確率フィルタをトレーニングすることを含み得る。

図２Ａの区分（２）に示されたステップ２１０から２１６はステップ２０２から２０８に対応するが、ステップ２１０から２１６は第２のネットワークリソース識別子のブロックリストに現れるネットワークリソース識別子に基づいて確率フィルタをトレーニングする（例えばデータベースをトレーニングする２１８）。例えばブロックリスト１４０に現れるＵＲＩをステップ２１０から２１６のトレーニングに用い得る。図２Ａの区分（１）および（２）を独立して実行することができるが、両方とも通例同じトレーニングデータベースまたは確率フィルタをトレーニングする。その結果、確率フィルタは、後に得られる他のネットワークリソース識別子がスパムまたはメッセージ脅威と関連しそうな確率を正確に生成するようにトレーニングされる。

このように、従来の手法とは異なり、確率フィルタは、メッセージヘッダまたは本文に現れているワードに関してではなく、ブロックリストおよびホワイトリストに現れるとともにメッセージ内で参照できるネットワークリソースのコンテンツに関してトレーニングされる。その結果、確率フィルタ１３４は、ネットワークリソース内に現れている特定のテキスト、イメージ、グラフィックスまたは他の文書要素がコンピュータによる脅威を含むまたは配信するスパムメッセージまたはネットワークリソース内で参照されるという確率を示す記憶情報を取得する。

その結果として新しいメッセージが後で受信されるが、確率フィルタがトレーニングされた同様なコンテンツを示す、異なるＵＲＬを含む場合、確率フィルタは、その新しいメッセージをスパムとしてまたは脅威に関連すると正しく識別することになる。スパムのスパム送信者は、ドメインネームを迅速に変更し得るがそれらのドメインにより配信されるコンテンツを変更しないため、この手法は非常に有用である。そのため、本明細書に提案されたコンテンツの確率解析は、システムに非ブラックリスト掲載ＵＲＬがどのくらいスパムまたは脅威に関連されるかを判断させることができる。

他の実施形態において、確率フィルタ内で、確率値が、ネットワークリソース識別子およびトークンを識別する情報またはメッセージ内で参照されるネットワークリソースの他のコンテンツ要素の両方と関連して記憶されている。この手法において、後続のテストまたはフィルタリングは、ネットワークリソース識別子のみを確率フィルタに提示することと、そのネットワークリソース識別子がスパムまたは脅威に関連するかを示す対応確率値を受信することとを含むことができる。その結果、各後続テストまたはフィルタは、必ずしもネットワークリソースの他のコピーを検索する必要がない。

さらに、確率フィルタ１３４は、メッセージ自体ではなくメッセージ内で参照されるネットワークリソースのコンテンツに基づいてトレーニングされるため、確率フィルタは、無害のテキストを有するが「フィッシング」攻撃または脅威を配信する埋め込みハイパーリンクを含むメッセージのフィルタリングに失敗する可能性が低い。

ステップ２０２〜２０８は、ホワイトリスト内に現れる任意の数のネットワークリソース識別子に対して繰り返され得る。同様に、ステップ２１０〜２１６は、ブロックリスト内に現れる任意の数のネットワークリソース識別子に対して繰り返され得る。

ここで図２Ｂを参照すると、ステップ２１０において、第３のネットワークリソース識別子に関して情報が受信される。一実施形態において、ステップ２１０において、脅威情報プロセッサ１０８は、メッセージングゲートウェイ１０７から、メッセージングゲートウェイが特定のネットワークリソース識別子を含む１つまたは複数のメッセージを受信したということを示す通信を受信する。例えばその通信は、脅威情報プロセッサ１０８に保持されているサーバへのＤＮＳクエリーを介して発生し得る。追加的にまたは代替的に、脅威情報プロセッサ１０８は、「センダーベース・ネットワーク・パーティシペーション（ＳｅｎｄｅｒＢａｓｅ Ｎｅｔｗｏｒｋ Ｐａｒｔｉｃｉｐａｔｉｏｎ）」プロトコルでメッセージングゲートウェイ１０７にリンクされており、そのプロトコルによりメッセージングゲートウェイはメッセージングゲートウェイが処理したデータを定期的に報告することができる。

代替的に、ステップ２１０は、１つまたは複数のネットワークリソース識別子を含むメッセージを実際に受信することを含み得る。明瞭な例を図示する目的のため、受信メッセージの本文が表１に示したテキストを含むと仮定する。

表１−例示的受信メッセージ
できる限りよいサービスを提供するために、弊社オンライン支払いサービス（Ｏｎｌｉｎｅ Ｐａｙｍｅｎｔ Ｓｅｒｖｉｃｅｓ）ではお客様の口座情報を弊社に確認していただく必要があります。口座情報を確認なさらない場合には、弊社はお客様の口座を無効にすることになります。口座詳細をご提供いただくにはここをクリックしてください。ｈｔｔｐ：／／ｏｎｌｉｎｅｐａｙｍｅｎｔ．ｐｈｉｓｈｉｎｇｓｃａｍ．ｃｏｍ
ありがとうございました！
メッセージの外見にかかわらず、このメッセージは、オンライン支払いサービス（Ｏｎｌｉｎｅ Ｐａｙｍｅｎｔ Ｓｅｒｖｉｃｅｓ）により認証されたものではないとともに、このメッセージ内のＵＲＬ（ｈｔｔｐ：／／ｏｎｌｉｎｅｐａｙｍｅｎｔ．ｐｈｉｓｈｉｎｇｓｃａｍ．ｃｏｍ）は、不正または迷惑目的のためにユーザ口座データを収集するサーバにアクセスする。明瞭な例を図示する目的のため、表１のメッセージは１つのＵＲＬを含むが、各々任意の数のＵＲＬまたは他のネットワークリソース識別子を含む任意の数のメッセージが本明細書に記載する手法で用いられ得る。

ステップ２１０は、通例確率フィルタ１３４がトレーニングされた後ある時に行われる。このように、図２Ｂは、確率フィルタ１３４が、メッセージ内で参照されるネットワークリソースのコンテンツがスパムであるかまたは脅威に関連する確率によりトレーニングされていることを前提としている。

ステップ２１１において、プロパティのリストが第３のネットワークリソース識別子に対して生成される。プロパティは、ステップ２０６に対して上述した同じタイプの情報に基づくトークンを含み得る。

ステップ２１２において、トレーニングされた確率フィルタを用いて第３のネットワークリソース識別子のプロパティがテストされるとともに、ステップ２１４において確率出力が受信される。

ステップ２１６において、確率値がテストされて、それがスパムまたは脅威を示す閾値より大きいかを判断する。受信された確率が閾値より大きい場合には、ステップ２１８において、第３のネットワークリソース識別子はブロックリストに追加される。一実施形態において、「フィードバックループ」効果を防止するために、ステップ２１８は、ネットワークリソース識別子を、図２Ａのステップ２１０〜２１６のトレーニングに用いられるブロックリスト以外のブロックリストに追加することを含む。別のローカルブロックリスト、ブロックリスト１４２またはデータベース１１２内の専用ブラックリストのいずれかを用いてもよい。その後、ブロックリストがメッセージングゲートウェイ１０７に送信されると、図２Ｄに対して以下にさらに説明するように、メッセージングゲートウェイは、同じネットワークリソース識別子を含むメッセージの配信をブロックすることができる。

ステップ２１８は、脅威情報ソース１０４またはブロックリスト１４０などの外部情報サービスに、ネットワークリソース識別子がスパムまたは脅威に関連するということを報告することを含むことができる。

図２Ａ、図２Ｂにおいて処理されたプロパティは、評価ベースの情報を含むことができる。ここで図２Ｃを参照すると、一手法において、ステップ２１７で第３のネットワークリソース識別子が受信されると、ステップ２１９で第３のネットワークリソース識別子のドメインネーム部分が抽出される。ネットワークリソース識別子が「ｈｔｔｐ：／／ｏｎｌｉｎｅｐａｙｍｅｎｔ．ｐｈｉｓｈｉｎｇｓｃａｍ．ｃｏｍ」である場合には、ステップ２１９において、ドメインネーム部分「ｐｈｉｓｈｉｎｇｓｃａｍ．ｃｏｍ」が抽出される。

ステップ２２０において、ドメインネームに対するＭＸまたはＮＳ記録がＤＮＳシステムから検索される。例えば脅威情報プロセッサ１０８のネットワーク識別子解析ロジック１３０は、ＤＮＳクエリーをＤＮＳサーバ１６０に発行して、抽出されたドメインネームに対するＭＸ記録を得る。図３に示すように、ＤＮＳサーバ１６０は複数組のＭＸ記録１６２と、複数組のＮＳ記録１６４と、複数組のＡ記録１６６とを記憶している。特定のドメインネームは、記録の０、１、２または３つのすべてのタイプの中から見出せ得る。すべての正当な登録ドメインネームは、少なくとも、関連するＩＰアドレスをマッピングするＡ記録を有する。メール交換またはメールサーバを管理するドメインはＭＸ記録を有することになる。ネームサーバを管理するドメインはＮＳ記録を有することになる。

ＤＮＳサーバ１６０は、ＭＸ記録のコピーまたはＭＸ記録が見つからなかったことを示す応答を返信する。ＭＸ記録が見つからない場合には、ドメインネームに対するＡ（アドレス）記録が要求される。代替的には、ネームサーバ（ＮＳ）記録が要求される。

受信されたＭＸ記録およびＮＳ記録はサーバネームを識別する。ステップ２２２において、各受信記録に対してアドレス記録が検索される。例えば他のＤＮＳクエリーが発行されて、各ＭＸ記録またはＮＳ記録内に付与されたネームに対するＡ記録を得る。その結果、脅威情報プロセッサ１０８は抽出されたドメインネーム部分に関連するネットワークアドレス（ＩＰアドレスなど）を取得する。

ステップ２２４において、アドレス記録内の各アドレスに関連する評価スコアまたはブロックリスト状況が判断される。一実施形態において、アドレス記録からのＩＰアドレスを含むクエリーが評価スコアサービス１３６に対して発行され、評価スコアサービス１３６はそのＩＰアドレスに関連する評価スコア値で応答する。ドメインに関連する多数ＩＰアドレスに対する多数のクエリーが送信されてもよい。同じメッセージ内で参照された複数のドメインのすべてに関連する多数のＩＰアドレスに対する多数のクエリーが送信されてもよい。その結果得られる評価スコア値は例えば平均を演算することにより組み合わせられ得る。代替的には、ステップ２２４はアドレスをブロックリストと照合することを含む。

平均評価スコアが特定の閾値未満である場合には、またはステップ２２６でテストされる際アドレスがブロックされる場合には、ステップ２２８でそのネットワークリソース識別子がブロックリストに追加される。ステップ２１９と同様に、別のブロックリストを用いてフィードバック効果を防止してもよい。代替的には、制御はステップ２３０で戻って他のメッセージ処理または動作を行う。

このように、図２Ｃの手法はメッセージ内に見つかったネットワークリソース識別子と関連する評価値に基づいて、評価サービスから得た情報を特定のメッセージがスパムであるかまたは脅威に関連するか否かの判断と統合可能にする。

メッセージングゲートウェイ１０７またはメールサーバは、参照ネットワークリソース識別子に基づいて、前の手法で展開された情報を用いてスパムであるかまたは脅威に関連するメッセージをフィルタリング、ブロックまたはポリシーを適用し得る。ここで図２Ｄを参照すると、ステップ２４０においてメッセージングゲートウェイから更新ブロックリストに対するクエリーが受信される。このように、一実施形態において、メッセージングゲートウェイ１０７は脅威情報プロセッサ１０８に更新ブロックリストが利用可能であるかについて定期的に問い合わせる。ステップ２４２において、更新ブロックリストがメッセージングゲートウェイに送信される。ステップ２４２は、データベース１１２および／またはブロックリスト１４２のコンテンツに基づいてブロックリストを生成することを含み得る。

ステップ２４４において、更新ブロックリストが局所的に格納される。例えばメッセージングゲートウェイ１０７は、受信した更新ブロックリストに基づいてローカルブラックリスト１１７を格納する。

ステップ２４６において、ネットワークリソース識別子を含む新しいｅメールメッセージが例えばメッセージングゲートウェイ１０７においてが受信される。そのメッセージがスパム対策ロジック１１９に提供される。ステップ２４８で１つまたは複数のネットワークリソース識別子がメッセージから抽出される。スパム対策ロジック１１９が抽出を行い得る。ステップ２５０でテストが行われて抽出されたネットワークリソース識別子がブロックリストに見つかるかを判断する。

そうであれば、ステップ２５２においてメッセージングゲートウェイ１０７はテスト２５０の真の結果に基づいて脅威スコア値を変更する。このように、図２Ｄがスパム対策スキャンの状況で実施される場合、ステップ２５２はステップ２４６のメッセージが「スパムのよう」らしいことを示すスパムスコア値を生成することを含み得る。

抽出されたネットワークリソース識別子がブロックリストに見つからない場合には、ステップ２５４において、メッセージングゲートウェイ１０７は、他のメッセージ処理、例えばウイルス対策スキャン、コンテンツフィルタリング、ポリシー強化等を行うことができる。

２．３ プラグイン実施形態
一実施形態において、本明細書の手法は、メッセージングゲートウェイ１０７内のスパム対策ロジック１１９に対するソフトウエアプラグインで実施される。一般に、このようなローカルＵＲＩブロックリストプラグインはスパム対策ロジック１１９を用いてメッセージから抽出されたデータを用いて、メッセージ内のネットワークリソース識別子を見つけてそれらをＵＲＩブロックリストに対してテストする。

一実施形態において、プラグインは、ネットワークリソース識別子を探すメッセージ本文のサーチに基づいて、メッセージ毎に１つの肯定的の結果を返信する。追加的または代替的に、肯定的および否定的結果値をメッセージ内に見つかるすべてのネットワークリソース識別子に対して生成することができる。

一実施形態において、プラグインは、肯定的であるべきソースリストを特定する書き込みルールおよびそれらのスコアリングウェイトをサポートする。ルールは、メッセージングゲートウェイ１０７の管理者または他のユーザがテスト対象のリストを参照するビットマスクを指定することを可能にする。この手法では、余分なスコアリングウェイトを特に信頼できるまたはできないことが既知である特定のリストまたはソースに置くことができる。

ブロックリスト１４０、ブロックリスト１４２またはメッセージングゲートウェイ１０７内に局所的に記憶されている他のブロックリストに対してテストを行うことができる。このように、図１の目的のため、ローカルブラックリスト１１７はこのようなローカルブロックリストを表わすことができる。ブロックリストは、ローカルデータベースまたはファイル内に格納されてもよく、これによりパール（Ｐｅｒｌ）スクリプトおよびパイソン（Ｐｙｔｈｏｎ）プログラムがそのファイルに接続できるとともにそのファイルをハッシュ値を含むとして処理することができる。一実施形態において、ローカルデータベースまたはファイル内の入力は、（キー＞値）の組み合わせを備え、各キーはドメイン値であるとともに各関連値はソースビットマスクである。例えば入力は（ｆｏｏ．ｂａｒ＝＞０．０．６８）を備え得る、ここで「０．０．６８」はアイアンポート（ＩｒｏｎＰｏｒｔ）、第三者のブロックリスト等を表わすビットマスクである。

４．０ 実施機構−ハードウエア概要
図４は、本発明の実施形態が実施され得るコンピュータシステム４００を図示するブロック図である。好適な実施形態は、ルータ装置などのネットワーク要素で動作する１つまたは複数のコンピュータプログラムを用いて実施される。このように、この実施形態において、コンピュータシステム４００はルータである。

コンピュータシステム４００は、バス４０２または情報を通信する他の通信機構と、バス４０２と結合された情報を処理するプロセッサ４０４とを含む。コンピュータシステム４００は、バス４０２に結合されて情報およびプロセッサ４０４によって実行されるべき指示を記憶するランダムアクセスメモリ（ＲＡＭ）、フラッシュメモリ、または他のダイナミック記憶装置などのメインメモリ４０６も含む。メインメモリ４０６を、プロセッサ４０４により実行されるべき指示の実行中に一時的変数または他の中間情報を記憶するために用いてもよい。コンピュータシステム４００は、読み出し専用メモリ（ＲＯＭ）４０８または静的情報およびプロセッサ４０４に対する指示を記憶する、バス４０２に結合された他のスタティック記憶装置をさらに含む。磁気ディスク、フラッシュメモリまたは光ディスクなどの、情報および指示を記憶する記憶装置４１０が設けられるとともにバス４０２に結合されている。

情報およびコマンド選択をプロセッサ４０４に通信する通信インターフェース４１８がバス４０２に結合され得る。インターフェース４１８はＲＳ−２３２またはＲＳ−４２２インターフェースなどの従来のシリアルインターフェースである。外部端末４１２または他のコンピュータシステムがコンピュータシステム４００に接続するとともに、インターフェース４１４を用いてコマンドをそれに提供する。コンピュータシステム４００内で動作するファームウエアまたはソフトウエアは、外部コマンドをコンピュータシステムに与えることができるように端末インターフェースまたはキャラクタベースのコマンドインターフェースを提供する。

切替システム４１６がバス４０２に結合されるとともに、入力インターフェース４１４と１つまたは複数の外部ネットワーク要素への出力インターフェース４１９とを有する。外部ネットワーク要素は１つまたは複数のホスト４２４に結合されたローカルネットワーク４２２、または１つまたは複数のサーバ４３０を有するインターネット４２８などのグローバルネットワークを含み得る。切替システム４１６は、周知の所定プロトコルおよび規則に従って、入力インターフェース４１４に届く情報トラフィックを出力インターフェース４１９に切り替える。例えば切替システム４１６は、プロセッサ４０４と協働して入力インターフェース４１４に届くデータのパケットの宛先を判断するとともに、出力インターフェース４１９を用いてそれを正しい宛先に送信することができる。宛先には、ホスト４２４、サーバ４３０、他の終端ステーション、もしくはローカルネットワーク４２２またはインターネット４２８内の他のルーティングおよび切替装置があり得る。

本発明は、参照リソースの確率的解析に基づいて不要な電子メールメッセージを検出するコンピュータシステム４００の使用に関連する。本発明の一実施形態によれば、参照リソースの確率的解析に基づいて不要な電子メールメッセージを検出することは、メインメモリ４０６に含まれる１つまたは複数の指示の１つまたは複数のシーケンスを実行するプロセッサ４０４に応じてコンピュータシステム４００により提供される。このような指示が、記憶装置４１０などの他のコンピュータ読み取り可能媒体からメインメモリ４０６に読み込まれ得る。メインメモリ４０６に含まれる指示のシーケンスの実行は、プロセッサ４０４に本明細書に説明したプロセスステップを行わせる。多数の処理装置における１つまたは複数のプロセッサは、メインメモリ４０６に含まれる指示のシーケンスを実行するように採用されてもよい。代替実施形態において、配線接続された回路を、本発明を実施するソフトウエア指示の代わりにまたは組み合わせて用い得る。このように、本発明の実施形態は、ハードウエア回路およびソフトウエアの任意の特定の組み合わせに限定されない。

本明細書に用いられる「コンピュータ読み取り可能媒体」という用語は、プロセッサ４０４に指示を提供して実行させることに関与する任意の媒体を指す。このような媒体は、不揮発性媒体、揮発性媒体、および伝送媒体をはじめとする多くの形態を取り得るがこれらに限定されない。不揮発性媒体には例えば記憶装置４１０などの光または磁気ディスクがある。揮発性媒体にはメインメモリ４０６などのダイナミックメモリがある。伝送媒体には、バス４０２を備えるワイヤをはじめとする同軸ケーブル、銅線および光ファイバがある。伝送媒体は、無線および赤外線データ通信中に生成されるものなどの音波または光波の形状を取ることもできる。

コンピュータ読み取り可能媒体の一般的形状には、例えばフロッピー（登録商標）ディスク、フレキシブルディスク、ハードディスク、磁気テープまたは任意の他の磁気媒体、ＣＤ−ＲＯＭ、任意の他の光媒体、パンチカード、紙テープ、穴のパターンを有する任意の他の物理的媒体、ＲＡＭ，ＰＲＯＭおよびＥＰＲＯＭ、ＦＬＡＳＨ−ＥＰＲＯＭ、任意の他のメモリチップまたはカードリッジ、以下に説明する搬送波、またはコンピュータが読み取ることができる任意の他の媒体がある。

様々な形状のコンピュータ読み取り可能媒体は、プロセッサ４０４に１つまたは複数の指示の１つまたは複数のシーケンスを搬送して実行させることに関与し得る。例えば指示は最初に遠隔コンピュータの磁気ディスクに保持され得る。遠隔コンピュータは、指示をダイナミックメモリにロードするとともに、モデムを用いて電話線により指示を送信することができる。コンピュータシステム４００に対して局所的なモデムは電話線上のデータを受信するとともに赤外線送信器を用いてそのデータを赤外線信号に変換することができる。バス４０２に結合された赤外線検出器は、赤外線信号で搬送されるデータを受信するとともにそのデータをバス４０２上に置くことができる。バス４０２は、そのデータをメインメモリ４０６に搬送し、そこからプロセッサ４０４は指示を検索するとともに実行する。メインメモリ４０６により受信された指示は、場合によってはプロセッサ４０４による実行前または後に記憶装置４１０に格納され得る。

通信インターフェース４１８は、ローカルネットワーク４２２に接続されたネットワークリンク４２０に２方向データ通信結合も提供する。例えば通信インターフェース４１８は、統合サービスデジタル網（ＩＳＤＮ）カードまたはデータ通信接続を対応するタイプの電話線に提供するモデムであり得る。他の例として、通信インターフェース４１８は、データ通信接続を互換性のあるＬＡＮに提供するローカルエリアネットワーク（ＬＡＮ）カードであり得る。無線リンクも実施され得る。任意のこのような実施形態において、通信インターフェース４１８は、様々なタイプの情報を表わすデジタルデータストリームを搬送する電気、電磁または光信号を送受信する。

ネットワークリンク４２０は、通例１つまたは複数のネットワークを介して他のデータ装置にデータ通信を提供する。例えばネットワークリンク４２０は、ローカルネットワーク４２２を介してホストコンピュータ４２４にまたはインターネットサービスプロバイダ（ＩＳＰ）４２６により作動されるデータ装置に接続を提供し得る。そして、ＩＳＰ４２６は、現在一般に「インターネット」４２８と称されるワールドワイドパケットデータ通信ネットワークを介してデータ通信サービスを提供する。ローカルネットワーク４２２およびインターネット４２８は、共にデジタルデータストリームを搬送する電気、電磁または光信号を用いる。デジタルデータをコンピュータシステム４００との間で搬送する様々なネットワークを介する信号ならびにネットワークリンク４２０上および通信インターフェース４１８を介する信号は、情報を伝送する搬送波の例示的形状である。

コンピュータシステム４００は、ネットワーク、ネットワークリンク４２０および通信インターフェース４１８を介して、プログラムコードを始めとしてメッセージを送信するとともにデータを受信することができる。インターネット例において、サーバ４３０はインターネット４２８、ＩＳＰ４２６、ローカルネットワーク４２２および通信インターフェース４１８を介してアプリケーションプログラム用の要求コードを送信し得る。本発明によれば、１つのこのようなダウンロードされたアプリケーションは、本明細書に説明したような参照リソースの確率的解析に基づいて不要な電子メールメッセージの検出を提供する。

受信コードは受信されるとプロセッサ４０４により実行され、および／または記憶装置４１０または他の不揮発性記憶装置に格納されて後で実行され得る。このようにして、コンピュータシステム４００は搬送波の形状でアプリケーションコードを獲得し得る。

５．０ 発展例および代替例
上記の明細書において特定の実施形態を参照して本発明を説明した。しかし本発明の広範な要旨と範囲とから逸脱することなく様々な変更および変形をなし得ることは明らかであろう。明細書および図面は従って限定的意味ではなく例示的意味で考えられるべきものである。

実施形態を実施するために用い得る例示的ネットワーク配列を図示するブロック図である。 受信メッセージ内のネットワークリソース識別子に基づいて確率フィルタをトレーニングする一実施形態の高水準概要を図示するフロー図である。 受信メッセージがスパムであるかまたは脅威に関連するかをテストする一実施形態の高水準概要を図示するフロー図である。 ネットワークリソース識別子をブロックリストに追加すべきかを判断する一実施形態の高水準概要を図示するフロー図である。 ブロックリストをメッセージングゲートウェイに転送するとともにブロックリストを用いてメッセージをフィルタリングする一実施形態の高水準概要を図示するフロー図である。 ドメインネームシステム（ＤＮＳ）サーバ内の記録を図示するブロック図である。 実施形態が実施され得るコンピュータシステムを図示するブロック図である。

Claims (15)

1. 過去の電子メールメッセージに含まれていた複数の第１のネットワークリソース識別子を備えるホワイトリストを検索するステップと、
   前記ホワイトリストから特定の第１のネットワークリソース識別子を検索するステップと、
   前記特定の第１のネットワークリソース識別子に対するプロパティの第１のリストを生成するステップと、
   前記プロパティを用いてベイジアンフィルタである確率フィルタをトレーニングするステップと、
   前記ホワイトリスト内の前記第１のネットワークリソース識別子のすべてに対して前記検索、生成およびトレーニングするステップを繰り返すステップと、
   スパムまたは脅威に関連する過去の電子メールメッセージに含まれていた複数の第２のネットワークリソース識別子を備えるブロックリストを検索するステップと、
   前記ブロックリストから特定の第２のネットワークリソース識別子を検索するステップと、
   前記特定の第２のネットワークリソース識別子に対するプロパティの第２のリストを生成するステップと、
   前記プロパティを用いて前記確率フィルタをトレーニングするステップと、
   前記ブロックリスト内の前記第２のネットワークリソース識別子のすべてに対して前記検索、生成およびトレーニングするステップを繰り返すステップと、
   第３のネットワークリソース識別子を受信するステップと、
   前記トレーニングされた確率フィルタを用いて前記第３のネットワークリソース識別子をテストするとともに、前記第３のネットワークリソース識別子がスパムまたは脅威に関連する確率を示す確率出力を受信するステップと、
   前記確率出力が第１の規定閾値より大きい場合、前記第３のネットワークリソース識別子をブラックリストに追加するステップと、を含むことを特徴とする方法。
2. 前記プロパティの第２のリストを生成するステップが、
   前記第２のネットワークリソース識別子のドメイン部分を抽出するステップと、
   ドメインネームシステムから前記抽出されたドメイン部分に関連する１つまたは複数のメール交換記録を検索するステップと、
   前記ドメインネームシステムから前記メール交換記録で識別される各メールサーバに対する各アドレス記録を検索するステップと、
   前記アドレス記録の各々のネットワークアドレスに関連する評価スコア値を検索するステップと、
   平均評価スコア値が規定閾値未満である場合、前記ネットワークリソース識別子をブラックリストに追加するステップと、
   を含むことを特徴とする請求項１に記載の方法。
3. 前記プロパティの第２のリストを生成するステップが、
   前記第２のネットワークリソース識別子のドメイン部分を抽出するステップと、
   ドメインネームシステムから前記抽出されたドメイン部分に関連する１つまたは複数のネームサーバ記録を検索するステップと、
   前記ドメインネームシステムから前記ネームサーバ記録で識別される各メールサーバに対する各アドレス記録を検索するステップと、
   前記アドレス記録の各々のネットワークアドレスに関連する評価スコア値を検索するステップと、
   平均評価スコア値が規定閾値未満である場合、前記ネットワークリソース識別子をブラックリストに追加するステップと、
   を含むことを特徴とする請求項１に記載の方法。
4. 前記ブラックリストのコピーをメッセージングゲートウェイで受信するステップと、
   前記メッセージングゲートウェイで、ユニフォーム・リソース・ロケータ（ＵＲＬ）を含む電子メールメッセージを受信するステップと、
   前記ＵＲＬを抽出するとともに、前記ＵＲＬが前記ブラックリストのコピー内にあるかを判断するステップと、
   前記ＵＲＬが前記ブラックリストのコピー内にある場合、前記電子メールメッセージに関連する脅威スコア値を変更するステップと、
   をさらに含むことを特徴とする請求項２または３に記載の方法。
5. 前記脅威がウイルス、フィッシング攻撃、およびファーミング攻撃のいずれかを含むことを特徴とする請求項１に記載の方法。
6. 過去の電子メールメッセージに含まれていた複数の第１のネットワークリソース識別子を備えるホワイトリストを検索する手段と、
   前記ホワイトリストから特定の第１のネットワークリソース識別子を検索する手段と、
   前記特定の第１のネットワークリソース識別子に対するプロパティの第１のリストを生成する手段と、
   前記プロパティを用いてベイジアンフィルタである確率フィルタをトレーニングする手段と、
   前記ホワイトリスト内の前記第１のネットワークリソース識別子のすべてに対して前記検索、生成およびトレーニング手段の実行を繰り返す手段と、
   スパムまたは脅威に関連する過去の電子メールメッセージに含まれていた複数の第２のネットワークリソース識別子を備えるブロックリストを検索する手段と、
   前記ブロックリストから特定の第２のネットワークリソース識別子を検索する手段と、
   前記特定の第２のネットワークリソース識別子に対するプロパティの第２のリストを生成する手段と、
   前記プロパティを用いて前記確率フィルタをトレーニングする手段と、
   前記ブロックリスト内の前記第２のネットワークリソース識別子のすべてに対して前記検索、生成およびトレーニングを繰り返す手段と、
   第３のネットワークリソース識別子を受信する手段と、
   前記トレーニングされた確率フィルタを用いて前記第３のネットワークリソース識別子をテストするとともに、前記第３のネットワークリソース識別子がスパムまたは脅威に関連する確率を示す確率出力を受信する手段と、
   前記確率出力が第１の規定閾値より大きい場合、前記第３のネットワークリソース識別子をブラックリストに追加する手段と、
   を備えることを特徴とする装置。
7. 前記プロパティの第２のリストを生成する手段が、
   前記第２のネットワークリソース識別子のドメイン部分を抽出する手段と、
   ドメインネームシステムから前記抽出されたドメイン部分に関連する１つまたは複数のメール交換記録を検索する手段と、
   前記ドメインネームシステムから前記メール交換記録で識別される各メールサーバに対する各アドレス記録を検索する手段と、
   前記アドレス記録の各々のネットワークアドレスに関連する評価スコア値を検索する手段と、
   平均評価スコア値が規定閾値未満である場合、前記ネットワークリソース識別子をブラックリストに追加する手段と、
   を備えることを特徴とする請求項６に記載の装置。
8. 前記プロパティの第２のリストの生成する手段が、
   前記第２のネットワークリソース識別子のドメイン部分の抽出する手段と、
   ドメインネームシステムからの前記抽出されたドメイン部分に関連する１つまたは複数のネームサーバ記録の検索する手段と、
   前記ドメインネームシステムから前記ネームサーバ記録で識別される各メールサーバに対する各アドレス記録の検索する手段と、
   前記アドレス記録の各々のネットワークアドレスに関連する評価スコア値の検索する手段と、
   平均評価スコア値が規定閾値未満である場合、前記ネットワークリソース識別子のブラックリストへの追加する手段と、
   を含むことを特徴とする請求項６に記載の装置。
9. 前記ブラックリストのコピーをメッセージングゲートウェイで受信する手段と、
   前記メッセージングゲートウェイで、ユニフォーム・リソース・ロケータ（ＵＲＬ）を含む電子メールメッセージを受信する手段と、
   前記ＵＲＬを抽出するとともに、前記ＵＲＬが前記ブラックリストのコピー内にあるかを判断する手段と、
   前記ＵＲＬが前記ブラックリストのコピー内にある場合、前記電子メールメッセージに関連する脅威スコア値を変更する手段と、
   をさらに備えることを特徴とする請求項７または８に記載の装置。
10. 前記脅威がウイルス、フィッシング攻撃、およびファーミング攻撃のいずれかを含むことを特徴とする請求項６に記載の装置。
11. １つまたは複数のプロセッサと、
    実行のために１つまたは複数の媒体に符号化されたロジックと、
    を備えた電子メールサーバであって、
    前記ロジックは実行された場合、前記１つまたは複数のプロセッサに、
    過去の電子メールメッセージに含まれていた複数の第１のネットワークリソース識別子を備えるホワイトリストを検索するステップと、
    前記ホワイトリストから特定の第１のネットワークリソース識別子を検索するステップと、
    前記特定の第１のネットワークリソース識別子に対するプロパティの第１のリストを生成するステップと、
    前記プロパティを用いてベイジアンフィルタである確率フィルタをトレーニングするステップと、
    前記ホワイトリスト内の前記第１のネットワークリソース識別子のすべてに対して前記検索、生成およびトレーニングするステップを繰り返すステップと、
    スパムまたは脅威に関連する過去の電子メールメッセージに含まれていた複数の第２のネットワークリソース識別子を備えるブロックリストを検索するステップと、
    前記ブロックリストから特定の第２のネットワークリソース識別子を検索するステップと、
    前記特定の第２のネットワークリソース識別子に対するプロパティの第２のリストを生成するステップと、
    前記プロパティを用いて前記確率フィルタをトレーニングするステップと、
    前記ブロックリスト内の前記第２のネットワークリソース識別子のすべてに対して前記検索、生成およびトレーニングするステップを繰り返すステップと、
    第３のネットワークリソース識別子を受信するステップと、
    前記トレーニングされた確率フィルタを用いて前記第３のネットワークリソース識別子をテストするとともに、前記第３のネットワークリソース識別子がスパムまたは脅威に関連する確率を示す確率出力を受信するステップと、
    前記確率出力が第１の規定閾値より大きい場合、前記第３のネットワークリソース識別子をブラックリストに追加するステップと、
    を行わせるように動作可能であることを特徴とする電子メールサーバ。
12. 前記プロパティの第２のリストを生成するロジックがさらなるロジックを備え、前記さらなるロジックは、実行された場合、
    前記第２のネットワークリソース識別子のドメイン部分を抽出するステップと、
    ドメインネームシステムから前記抽出されたドメイン部分に関連する１つまたは複数のメール交換記録を検索するステップと、
    前記ドメインネームシステムから前記メール交換記録で識別される各メールサーバに対する各アドレス記録を検索するステップと、
    前記アドレス記録の各々のネットワークアドレスに関連する評価スコア値を検索するステップと、
    平均評価スコア値が規定閾値未満である場合、前記ネットワークリソース識別子をブラックリストに追加するステップと、
    を行わせるように動作可能であることを特徴とする請求項１１に記載の電子メールサーバ。
13. 前記プロパティの第２のリストを生成するロジックがさらなるロジックを備え、前記さらなるロジックは、実行された場合、
    前記第２のネットワークリソース識別子のドメイン部分を抽出するステップと、
    ドメインネームシステムから前記抽出されたドメイン部分に関連する１つまたは複数のネームサーバ記録を検索するステップと、
    前記ドメインネームシステムから前記ネームサーバ記録で識別される各メールサーバに対する各アドレス記録を検索するステップと、
    前記アドレス記録の各々のネットワークアドレスに関連する評価スコア値を検索するステップと、
    平均評価スコア値が規定閾値未満である場合、前記ネットワークリソース識別子をブラックリストに追加するステップと、
    を行わせるように動作可能であることを特徴とする請求項１１に記載の電子メールサーバ。
14. 前記ブラックリストのコピーをメッセージングゲートウェイで受信するステップと、
    前記メッセージングゲートウェイで、ユニフォーム・リソース・ロケータ（ＵＲＬ）を含む電子メールメッセージを受信するステップと、
    前記ＵＲＬを抽出するとともに、前記ＵＲＬが前記ブラックリストのコピー内にあるかを判断するステップと、
    前記ＵＲＬが前記ブラックリストのコピー内にある場合、前記電子メールメッセージに関連する脅威スコア値を変更するステップと、
    をさらに行われるように動作可能であることを特徴とする請求項１２または１３に記載の電子メールサーバ。
15. 前記脅威がウイルス、フィッシング攻撃、およびファーミング攻撃のいずれかを含むことを特徴とする請求項１１に記載の電子メールサーバ。

Images