(57)【要約】【課題】スパムメールを精度良く検知できるスパムメール検知装置、方法及びプログラムを提供すること。【解決手段】スパムメール検知装置１は、メールの送信ドメインに対応するＳＰＦレコードを取得する取得部１１と、新たに受信したメールに関して、取得部１１により取得されたＳＰＦレコードに含まれる文字列の特徴に基づいて、この新たに受信したメールの送信ドメインがスパムメール送信ドメインであるか否かを判定する判定部１３と、を備える。【選択図】図１
2014063402.tif 000002
【特許請求の範囲】
【請求項１】
メールの送信ドメインに対応するＳＰＦ（Ｓｅｎｄｅｒ  Ｐｏｌｉｃｙ  Ｆｒａｍｅｗｏｒｋ）レコードを取得する取得部と、
受信したメールに関して前記取得部により取得されたＳＰＦレコードに含まれる文字列の特徴に基づいて、前記メールの送信ドメインがスパムメール送信ドメインであるか否かを判定する判定部と、を備えるスパムメール検知装置。
【請求項２】
既知のスパムメールの送信ドメインに対応するＳＰＦレコードの情報を記憶する記憶部を備え、
前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれる所定の文字列が前記記憶部に記憶されているＳＰＦレコードの情報と一致する場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する請求項１に記載のスパムメール検知装置。
【請求項３】
前記記憶部は、前記既知のスパムメールが前記ＳＰＦレコードに基づいて認証された場合に、当該ＳＰＦレコードの情報を記憶する請求項２に記載のスパムメール検知装置。
【請求項４】
前記記憶部は、前記ＳＰＦレコードに含まれるホスト名のリストを記憶し、
前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれるホスト名の少なくとも一部が前記記憶部に記憶されているリストに含まれている場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する請求項２又は請求項３に記載のスパムメール検知装置。
【請求項５】
前記記憶部は、前記ＳＰＦレコードに含まれるホスト名の出現頻度が所定以上の場合に、当該ホスト名を記憶する請求項４に記載のスパムメール検知装置。
【請求項６】
前記記憶部は、前記ＳＰＦレコードに含まれるホスト名が所定のホワイトリストに含まれている場合に、当該ホスト名を記憶しない請求項４又は請求項５に記載のスパムメール検知装置。
【請求項７】
前記記憶部は、前記ＳＰＦレコードに含まれるＩＰアドレスの組み合わせのリストを記憶し、
前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれるＩＰアドレスの組み合わせが前記記憶部に記憶されているリストに含まれている場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する請求項２又は請求項３に記載のスパムメール検知装置。
【請求項８】
前記記憶部は、前記ＳＰＦレコードに含まれるＩＰアドレスの少なくとも一部が所定のブラックリストに含まれている場合に、当該ＩＰアドレスの組み合わせを記憶する請求項７に記載のスパムメール検知装置。
【請求項９】
前記記憶部は、前記ＳＰＦレコードに含まれるホスト名、及び当該ホスト名に対応するＳＰＦレコードの情報を再帰的にリストとして記憶し、
前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれるホスト名、又はＩＰアドレスの組み合わせが前記記憶部に記憶されているリストに含まれている場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する請求項２又は請求項３に記載のスパムメール検知装置。
【請求項１０】
メールの送信ドメインに対応するＳＰＦ（Ｓｅｎｄｅｒ  Ｐｏｌｉｃｙ  Ｆｒａｍｅｗｏｒｋ）レコードを取得する取得ステップと、
受信したメールに関して前記取得ステップにおいて取得されたＳＰＦレコードに含まれる文字列の特徴に基づいて、前記メールの送信ドメインがスパムメール送信ドメインであるか否かを判定する判定ステップと、をコンピュータが実行するスパムメール検知方法。
【請求項１１】
メールの送信ドメインに対応するＳＰＦ（Ｓｅｎｄｅｒ  Ｐｏｌｉｃｙ  Ｆｒａｍｅｗｏｒｋ）レコードを取得する取得ステップと、
受信したメールに関して前記取得ステップにおいて取得されたＳＰＦレコードに含まれる文字列の特徴に基づいて、前記メールの送信ドメインがスパムメール送信ドメインであるか否かを判定する判定ステップと、をコンピュータに実行させるためのスパムメール検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、スパムメールを検知する装置、方法及びプログラムに関する。
【背景技術】
【０００２】
従来、迷惑メール（スパムメール）への対策として、メール本文の特徴から迷惑メールを判定する方式（例えば、非特許文献１又は２参照）と、ホスト若しくはメールアドレスの情報から迷惑メールを判定する方式（例えば、非特許文献３、４又は５参照）とが知られている。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】ＳｐａｍＡｓｓａｓｓｉｎ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｓｐａｍａｓｓａｓｓｉｎ．ａｐａｃｈｅ．ｏｒｇ／ｉｎｄｅｘ．ｈｔｍｌ＞
【非特許文献２】ＴｒａｎｓＷＡＲＥ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｔｒａｎｓｗａｒｅ．ｃｏ．ｊｐ／ｐｒｏｄｕｃｔ／ａｈ／ｓｖｍ．ｈｔｍｌ＞
【非特許文献３】Ｓｐａｍｈａｕｓ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｓｐａｍｈａｕｓ．ｏｒｇ／＞
【非特許文献４】ＳＰＦ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｗｗｗ．ｉｅｔｆ．ｏｒｇ／ｒｆｃ／ｒｆｃ４４０８．ｔｘｔ＞
【非特許文献５】Ｓ２５Ｒ、［ｏｎｌｉｎｅ］、［平成２４年６月２０日検索］、インターネット＜ｈｔｔｐ：／／ｈｔｔｐ：／／ｗｗｗ．ｇａｂａｃｈｏ−ｎｅｔ．ｊｐ／ａｎｔｉ−ｓｐａｍ／ａｎｔｉ−ｓｐａｍ−ｓｙｓｔｅｍ．ｈｔｍｌ＞
【発明の概要】
【発明が解決しようとする課題】
【０００４】
非特許文献４の技術は、あるドメインのメールを送信できる正規のサーバのＩＰアドレスを管理し、このドメインと無関係なメールサーバを利用して送信元を偽ったメールが送信されると、受信側でＩＰアドレスが異なることを検出して受け取りを拒否できる。
【０００５】
しかしながら、スパムメール送信者がＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）にＳＰＦ（Ｓｅｎｄｅｒ  Ｐｏｌｉｃｙ  Ｆｒａｍｅｗｏｒｋ）レコードを登録している場合もある。この場合、スパムメールがＳＰＦ又はＳｅｎｄｅｒ−ＩＤ等による認証を通過してしまい、検知されなかった。
【０００６】
本発明は、スパムメールを精度良く検知できるスパムメール検知装置、方法及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明では、以下のような解決手段を提供する。
【０００８】
（１）メールの送信ドメインに対応するＳＰＦ（Ｓｅｎｄｅｒ  Ｐｏｌｉｃｙ  Ｆｒａｍｅｗｏｒｋ）レコードを取得する取得部と、受信したメールに関して前記取得部により取得されたＳＰＦレコードに含まれる文字列の特徴に基づいて、前記メールの送信ドメインがスパムメール送信ドメインであるか否かを判定する判定部と、を備えるスパムメール検知装置。
【０００９】
このような構成によれば、スパムメール検知装置は、受信したメールに関するＳＰＦレコードを取得し、このＳＰＦレコードに含まれる文字列の特徴に基づいて、スパムメールであることを検知できる。
したがって、スパムメール検知装置は、ＳＰＦレコードを登録することにより送信元メールアドレスを偽装せずに送信されたスパムメールを精度良く検知できる。
【００１０】
（２）既知のスパムメールの送信ドメインに対応するＳＰＦレコードの情報を記憶する記憶部を備え、前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれる所定の文字列が前記記憶部に記憶されているＳＰＦレコードの情報と一致する場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する（１）に記載のスパムメール検知装置。
【００１１】
このような構成によれば、スパムメール検知装置は、既知のスパムメールに関するＳＰＦレコードの情報を記憶しておき、新たに受信したメールのＳＰＦレコードに含まれる所定の文字列を、記憶されている情報と照合することにより、スパムメールを検知できる。
したがって、スパムメール検知装置は、スパムメールに特有のＳＰＦレコードの情報を蓄積して精度良くスパムメールを検知できる。
【００１２】
（３）前記記憶部は、前記既知のスパムメールが前記ＳＰＦレコードに基づいて認証された場合に、当該ＳＰＦレコードの情報を記憶する（２）に記載のスパムメール検知装置。
【００１３】
このような構成によれば、スパムメール検知装置は、ＳＰＦレコードに基づいて認証されてしまうスパムメールに関して、このＳＰＦレコードの情報を記憶する。
したがって、スパムメール検知装置は、ＳＰＦ又はＳｅｎｄｅｒ−ＩＤ等により正常なメールと判定されてしまうスパムメールの特徴を記憶し、このようなスパムメールを精度良く検知できる。
【００１４】
（４）前記記憶部は、前記ＳＰＦレコードに含まれるホスト名のリストを記憶し、前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれるホスト名の少なくとも一部が前記記憶部に記憶されているリストに含まれている場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する（２）又は（３）に記載のスパムメール検知装置。
【００１５】
このような構成によれば、スパムメール検知装置は、既知のスパムメールに関するＳＰＦレコードに含まれるホスト名を記憶し、同一のホスト名がＳＰＦレコードに現れるメールをスパムメールと判定する。
したがって、スパムメール検知装置は、過去のスパムメールの送信元と同一のホストから送信されたスパムメールを精度良く検知できる。
【００１６】
（５）前記記憶部は、前記ＳＰＦレコードに含まれるホスト名の出現頻度が所定以上の場合に、当該ホスト名を記憶する（４）に記載のスパムメール検知装置。
【００１７】
このような構成によれば、スパムメール検知装置は、所定以上の頻度で出現するホスト名を記憶するので、より確実な情報を記憶し、スパムメールの検知精度を向上できる。スパムメール検知装置は、例えば、事前に収集したスパムメールの情報に正常なメールの情報が混在していた場合に、誤検知を引き起こすのを抑制できる。
【００１８】
（６）前記記憶部は、前記ＳＰＦレコードに含まれるホスト名が所定のホワイトリストに含まれている場合に、当該ホスト名を記憶しない（４）又は（５）に記載のスパムメール検知装置。
【００１９】
このような構成によれば、スパムメール検知装置は、既にホワイトリストに登録されており正常なメールを送信しているホスト名を記憶しないので、正常なメールをスパムメールと判定する誤検知を抑制できる。
【００２０】
（７）前記記憶部は、前記ＳＰＦレコードに含まれるＩＰアドレスの組み合わせのリストを記憶し、前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれるＩＰアドレスの組み合わせが前記記憶部に記憶されているリストに含まれている場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する（２）又は（３）に記載のスパムメール検知装置。
【００２１】
このような構成によれば、スパムメール検知装置は、既知のスパムメールに関するＳＰＦレコードに含まれるＩＰアドレスの組み合わせを記憶し、同一の組み合わせがＳＰＦレコードに現れるメールをスパムメールと判定する。
したがって、スパムメール検知装置は、スパムメール送信者がＳＰＦレコードの登録に利用するＩＰアドレスの組み合わせのパターンを記憶し、このパターンが一致することを検知することにより、単一のＩＰアドレス又はＩＰアドレスレンジを照合することに比べて、スパムメールの誤検知を低減して検知精度を向上できる。
【００２２】
（８）前記記憶部は、前記ＳＰＦレコードに含まれるＩＰアドレスの少なくとも一部が所定のブラックリストに含まれている場合に、当該ＩＰアドレスの組み合わせを記憶する（７）に記載のスパムメール検知装置。
【００２３】
このような構成によれば、スパムメール検知装置は、既に公開されている所定のブラックリストに含まれるＩＰアドレスがＳＰＦレコードに登録されている場合に、このＳＰＦレコードに含まれているＩＰアドレスの組み合わせを記憶する。
既知のブラックリストに登録済みのホストからは、スパムメールが送信される可能性が高い。したがって、スパムメール検知装置は、このような既知のブラックリストに登録済みのＩＰアドレスを含む組み合わせを記憶することにより、スパムメールの誤検知を低減して検知精度を向上できる。
【００２４】
（９）前記記憶部は、前記ＳＰＦレコードに含まれるホスト名、及び当該ホスト名に対応するＳＰＦレコードの情報を再帰的にリストとして記憶し、前記判定部は、前記取得部により取得されたＳＰＦレコードに含まれるホスト名、又はＩＰアドレスの組み合わせが前記記憶部に記憶されているリストに含まれている場合に、前記メールの送信ドメインがスパムメール送信ドメインであると判定する（２）又は（３）に記載のスパムメール検知装置。
【００２５】
このような構成によれば、スパムメール検知装置は、既知のスパムメールについてのＳＰＦレコードを再帰的に取得することにより、既知のスパムメールに関連して、ホスト名又はＩＰアドレスの組み合わせを、より豊富に蓄積することができる。
したがって、スパムメール検知装置は、ＳＰＦレコードを登録することにより送信元メールアドレスを偽装せずに送信されたスパムメールを精度良く検知できる。
【００２６】
（１０）メールの送信ドメインに対応するＳＰＦ（Ｓｅｎｄｅｒ  Ｐｏｌｉｃｙ  Ｆｒａｍｅｗｏｒｋ）レコードを取得する取得ステップと、受信したメールに関して前記取得ステップにおいて取得されたＳＰＦレコードに含まれる文字列の特徴に基づいて、前記メールの送信ドメインがスパムメール送信ドメインであるか否かを判定する判定ステップと、をコンピュータが実行するスパムメール検知方法。
【００２７】
このような構成によれば、スパムメール検知方法をコンピュータが実行することにより、（１）と同様の効果が期待できる。
【００２８】
（１１）メールの送信ドメインに対応するＳＰＦ（Ｓｅｎｄｅｒ  Ｐｏｌｉｃｙ  Ｆｒａｍｅｗｏｒｋ）レコードを取得する取得ステップと、受信したメールに関して前記取得ステップにおいて取得されたＳＰＦレコードに含まれる文字列の特徴に基づいて、前記メールの送信ドメインがスパムメール送信ドメインであるか否かを判定する判定ステップと、をコンピュータに実行させるためのスパムメール検知プログラム。
【００２９】
このような構成によれば、スパムメール検知プログラムをコンピュータに実行させることにより、（１）と同様の効果が期待できる。
【発明の効果】
【００３０】
本発明によれば、スパムメールを精度良く検知できる。
【図面の簡単な説明】
【００３１】
【図１】実施形態に係るスパムメール検知装置の機能構成を示す図である。
【図２】実施形態に係るＳＰＦレコードの例を示す図である。
【図３】実施形態に係るブラックリストの生成処理を示すフローチャートである。
【図４】実施形態に係るスパムメールの検知処理を示すフローチャートである。
【発明を実施するための形態】
【００３２】
＜第１実施形態＞
以下、本発明の第１実施形態について説明する。
本実施形態に係るスパムメール検知装置１は、ＳＰＦレコードに含まれる文字列の特徴に基づいて、スパムメールを検知するサーバ装置である。
【００３３】
図１は、本実施形態に係るスパムメール検知装置１の機能構成を示す図である。
スパムメール検知装置１は、制御部１０と、記憶部２０と、通信部３０と、入力部４０と、表示部５０とを備える。
【００３４】
制御部１０は、スパムメール検知装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、前述のハードウェアと協働し、本実施形態における各種機能を実現している。制御部１０は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）であってよい。なお、制御部１０が備える各部の機能は後述する。
【００３５】
記憶部２０は、ハードウェア群をスパムメール検知装置１として機能させるための各種プログラム、本実施形態の各種機能を制御部１０に実行させるためのプログラム、及び各種データ等を記憶する。なお、記憶部２０が記憶する各種データは後述する。
【００３６】
通信部３０は、スパムメール検知装置１が他の装置と情報を送受信する場合のネットワーク・アダプタである。
【００３７】
入力部４０は、スパムメール検知装置１に対するユーザからの指示入力を受け付けるインタフェース装置である。入力部４０は、例えばキー操作部又はタッチパネル等により構成される。
【００３８】
表示部５０は、ユーザにデータの入力を受け付ける画面を表示したり、スパムメール検知装置１による処理結果の画面を表示したりするものである。表示部５０は、液晶ディスプレイや有機ＥＬディスプレイであってよい。
【００３９】
前述の制御部１０は、取得部１１と、生成部１２と、判定部１３とを備える。また、記憶部２０は、ブラックリスト２１を記憶する。
【００４０】
取得部１１は、既知のスパムメール又は新たに受信したメールに関して、メールの送信ドメインに対応するＳＰＦレコードを取得する。具体的には、取得部１１は、メールのヘッダ情報又はＳＭＴＰサーバログを取得し、ヘッダ情報からは「Ｆｒｏｍ」、「Ｒｅｃｅｎｔ−Ｆｒｏｍ」等から、ＳＭＴＰサーバログからは「ｅｎｖｅｌｏｐｅ−ｆｒｏｍ」内のメールアドレスを抽出する。そして、取得部１１は、抽出したメールアドレスについて、ＤＮＳに対してＳＰＦレコード（ＤＮＳのＴＸＴレコード）を問い合わせる。
【００４１】
生成部１２は、既知のスパムメールの送信ドメインに対応するＳＰＦレコードからホスト名を抽出し、ブラックリスト２１を生成して記憶部２０に記憶する。
このとき、生成部１２は、既知のスパムメールがＳＰＦレコードに基づいて、ＳＰＦ又はＳｅｎｄｅｒ−ＩＤ等により認証された場合に、このＳＰＦレコードに含まれているホスト名のリストを記憶する。つまり、ＳＰＦレコードに基づく認証では検出できないスパムメールを検出するためのブラックリスト２１が生成される。
【００４２】
また、生成部１２は、ＳＰＦレコードに含まれるホスト名の出現頻度が所定以上の場合に、このホスト名を記憶することとしてもよい。具体的には、例えば、出現頻度が高い順に所定数のホスト名が登録されてもよいし、２回以上出現したホスト名が登録されてもよい。
【００４３】
また、生成部１２は、ＳＰＦレコードに含まれるホスト名が所定のホワイトリストに含まれている場合に、このホスト名を記憶しないこととしてよい。これにより、正常なメールが含まれ得るホスト名が除外されるので、正常なメールが誤ってスパムメールと判定される場合が抑制される。
【００４４】
図２は、本実施形態に係るＳＰＦレコードの例を示す図である。
この例では、「ｘｘｘｘｘｘｘｘ．ｊｐ」に対応するＳＰＦレコードは、「ｖ＝ｓｐｆ１  ｉｎｃｌｕｄｅ：ｙｙｙｙｙｙｙｙ．ｎｅｔ  ｉｎｃｌｕｄｅ：ｙｙｙｙｙｙｙｙ．ｊｐ  〜ａｌｌ」である。
【００４５】
生成部１２は、ＳＰＦレコードの中から、例えば、機構が「ｉｎｃｌｕｄｅ」、かつ、クオリファイアが「＋」又は省略されているものを抽出し、ブラックリスト２１として登録する。つまり、生成部１２は、「ｉｎｃｌｕｄｅ：ｙｙｙｙｙｙｙｙ．ｎｅｔ」及び「ｉｎｃｌｕｄｅ：ｙｙｙｙｙｙｙｙ．ｊｐ」をブラックリスト２１に追加する。
【００４６】
なお、機構は「ｉｎｃｌｕｄｅ」に限らず、ドメイン形式で記述可能な機構「ａ」等、ホスト名が出現するものであればよい。
【００４７】
判定部１３は、新たに受信したメールに関して取得部１１により取得されたＳＰＦレコードに含まれる文字列の特徴に基づいて、メールの送信ドメインがスパムメール送信ドメインであるか否かを判定する。
具体的には、判定部１３は、取得部１１により取得されたＳＰＦレコードに含まれる所定の文字列、すなわちホスト名の少なくとも一部がブラックリスト２１の文字列と一致する場合に、メールの送信ドメインがスパムメール送信ドメインであると判定する。
【００４８】
図３は、本実施形態に係るブラックリスト２１の生成処理を示すフローチャートである。
ステップＳ１において、取得部１１は、既知のスパムメールのヘッダ情報、又はＳＭＴＰサーバログを収集する。
【００４９】
ステップＳ２において、取得部１１は、ステップＳ１で収集したヘッダ情報又はＳＭＴＰサーバログから、メールアドレスを抽出する。
【００５０】
ステップＳ３において、取得部１１は、ステップＳ２で抽出したメールアドレスについて、ＤＮＳに対して問い合わせを行い、ＳＰＦレコードを取得する。
【００５１】
ステップＳ４において、生成部１２は、ステップＳ３で取得されたＳＰＦレコードからホスト名を抽出し、ブラックリスト２１として記憶する。
【００５２】
図４は、本実施形態に係るスパムメールの検知処理を示すフローチャートである。
ステップＳ１１において、取得部１１は、新たに受信したメールのヘッダ情報又はＳＭＴＰサーバログを取得する。
【００５３】
ステップＳ１２において、取得部１１は、ステップＳ１１で取得したヘッダ情報又はＳＭＴＰサーバログから、メールアドレスを抽出する。
【００５４】
ステップＳ１３において、取得部１１は、ステップＳ１２で抽出したメールアドレスについて、ＤＮＳに対して問い合わせを行い、ＳＰＦレコードを取得する。
【００５５】
ステップＳ１４において、判定部１３は、ステップＳ１３で取得したＳＰＦレコードに含まれているホスト名を、ブラックリスト２１と照合し、ブラックリスト２１に含まれている場合に、受信したメールをスパムメールと判定する。
【００５６】
以上のように、本実施形態によれば、スパムメール検知装置１は、受信したメールに関するＳＰＦレコードを取得し、このＳＰＦレコードに含まれる文字列の特徴に基づいて、スパムメールであることを検知できる。したがって、スパムメール検知装置１は、ＳＰＦレコードを登録することにより送信元メールアドレスを偽装せずに送信されたスパムメールを精度良く検知できる。
例えば、使い捨て（一時的な）メールアドレスドメインを使っているスパムメール送信者が多いが、これらのメールアドレスは、すぐに使われなくなってしまう。このため、ドメインベースのブラックリストを作ったとしても効果は短期間に限られてしまう。しかし、このような使い捨てのドメインを使っているスパムメール送信者は、逐一ＳＰＦレコードを登録しているため、ドメインが違っていてもＳＰＦレコードが同じである場合が多い。したがって、メールアドレスドメインに基づくブラックリストよりも効果が高い。
【００５７】
また、スパムメール検知装置１は、既知のスパムメールに関するＳＰＦレコードの情報を記憶しておき、新たに受信したメールのＳＰＦレコードに含まれる所定の文字列を、記憶されている情報と照合することにより、スパムメールを検知できる。したがって、スパムメール検知装置１は、スパムメールに特有のＳＰＦレコードの情報を蓄積して精度良くスパムメールを検知できる。
【００５８】
また、スパムメール検知装置１は、ＳＰＦレコードに基づいて認証されてしまうスパムメールに関して、このＳＰＦレコードの情報を記憶する。したがって、スパムメール検知装置１は、ＳＰＦ又はＳｅｎｄｅｒ−ＩＤ等により正常なメールと判定されてしまうスパムメールの特徴を記憶し、このようなスパムメールを精度良く検知できる。
【００５９】
また、スパムメール検知装置１は、既知のスパムメールに関するＳＰＦレコードに含まれるホスト名を記憶し、同一のホスト名がＳＰＦレコードに現れるメールをスパムメールと判定する。したがって、スパムメール検知装置１は、過去のスパムメールの送信元と同一のホストから送信されたスパムメールを精度良く検知できる。
【００６０】
また、スパムメール検知装置１は、所定以上の頻度で出現するホスト名を記憶するので、より確実な情報を記憶し、スパムメールの検知精度を向上できる。つまり、スパムメール検知装置１は、例えば、事前に収集したスパムメールの情報に正常なメールの情報が混在していた場合に、誤検知を引き起こすのを抑制できる。
【００６１】
また、スパムメール検知装置１は、既にホワイトリストに登録されており正常なメールを送信しているホスト名を記憶しないので、正常なメールをスパムメールと判定する誤検知を抑制できる。
【００６２】
＜第２実施形態＞
以下、本発明の第２実施形態について説明する。なお、第１実施形態と同様の構成については、同一の符号を付し、説明を省略又は簡略化する。
【００６３】
第２実施形態は、生成部１２及び判定部１３の処理内容、並びにブラックリスト２１の内容が第１実施形態と異なる。
【００６４】
生成部１２は、ＳＰＦレコードに含まれるＩＰアドレスを抽出し、これらのＩＰアドレスの組み合わせのリストをブラックリスト２１として記憶部２０に記憶する。この処理内容は、第１実施形態の生成処理（図３）におけるステップＳ４に相当する。
なお、生成部１２は、第１実施形態と同様に、既知のスパムメールがＳＰＦレコードに基づいて、ＳＰＦ又はＳｅｎｄｅｒ−ＩＤ等により認証された場合に、このＳＰＦレコードに含まれているＩＰアドレスの組み合わせを記憶する。つまり、ＳＰＦレコードに基づく認証では検出できないスパムメールを検出するためのブラックリスト２１が生成される。
【００６５】
ＳＰＦレコードは、ｉｐ４メカニズムで構成される場合、例えば、「ｖ＝ｓｐｆ１  ｉｐ４：ｘ．ｘ．ｘ．ｘ／２４  ｉｐ４：ｙ．ｙ．ｙ．ｙ／２８  〜ａｌｌ」のように記載されている。
この場合、生成部１２は、ＩＰアドレス全てを別々にブラックリスト２１に登録するのではなく、機構が「ｉｐ４」、かつ、クオリファイアが「＋」又は省略されているＩＰアドレスの組み合わせをブラックリスト２１に登録する。この例では、「ｉｐ４：ｘ．ｘ．ｘ．ｘ／２４」及び「ｉｐ４：ｙ．ｙ．ｙ．ｙ／２８」の組み合わせがリストの１つの要素として記憶される。
【００６６】
なお、機構は「ｉｐ４」に限らず、ＩＰアドレス形式で記述可能な機構「ｉｐ６」、又は「ａ：」に含まれるホスト名のａレコード内のＩＰアドレス等、ＩＰアドレスが出現するものであればよい。
【００６７】
このとき、生成部１２は、ＳＰＦレコードに含まれるＩＰアドレスの少なくとも一部が、既に公開されている所定のブラックリストに含まれている場合に、このＩＰアドレスの組み合わせを記憶することとしてよい。
【００６８】
判定部１３は、取得部１１により取得されたＳＰＦレコードに含まれるＩＰアドレスの組み合わせが記憶部２０に記憶されているブラックリスト２１に含まれている場合に、メールの送信ドメインがスパムメール送信ドメインであると判定する。この処理内容は、第１実施形態の生成処理（図４）におけるステップＳ１４に相当する。
【００６９】
以上のように、本実施形態によれば、スパムメール検知装置１は、既知のスパムメールに関するＳＰＦレコードに含まれるＩＰアドレスの組み合わせを記憶し、同一の組み合わせがＳＰＦレコードに現れるメールをスパムメールと判定する。したがって、スパムメール検知装置１は、スパムメール送信者がＳＰＦレコードの登録に利用するＩＰアドレスの組み合わせのパターンを記憶し、このパターンが一致することを検知することにより、単一のＩＰアドレス又はＩＰアドレスレンジを照合することに比べて、スパムメールの誤検知を低減して検知精度を向上できる。
【００７０】
また、スパムメール検知装置１は、既に公開されている所定のブラックリストに含まれるＩＰアドレスがＳＰＦレコードに登録されている場合に、このＳＰＦレコードに含まれているＩＰアドレスの組み合わせを記憶する。したがって、スパムメール検知装置１は、このような既知のブラックリストに登録済みのＩＰアドレスを含む組み合わせを記憶することにより、スパムメールの誤検知を低減して検知精度を向上できる。
【００７１】
以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、本実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、本実施形態に記載されたものに限定されるものではない。
【００７２】
スパムメール検知装置１は、第１実施形態ではホスト名を、第２実施形態ではＩＰアドレスの組み合わせを、それぞれブラックリスト２１として記憶したが、これには限られず、ホスト名及びＩＰアドレスの組み合わせの双方を記憶し、運用してもよい。
【００７３】
また、記憶部２０は、ＳＰＦレコードに含まれるホスト名と、このホスト名について、さらにＤＮＳに問い合わせることにより得られるＳＰＦレコードを再帰的に取得し、得られたホスト名、及びＩＰアドレスの組み合わせを、ブラックリスト２１として記憶してもよい。
この場合、判定部１３は、新たに受信したメールに関して、取得部１１により取得されたＳＰＦレコードに含まれるホスト名、又はＩＰアドレスの組み合わせがブラックリスト２１に含まれている場合に、メールの送信ドメインがスパムメール送信ドメインであると判定する。
【００７４】
このような構成によれば、スパムメール検知装置１は、既知のスパムメールに関連して、ホスト名又はＩＰアドレスの組み合わせを、より豊富に蓄積することができる。したがって、スパムメール検知装置１は、ＳＰＦレコードを登録することにより送信元メールアドレスを偽装せずに送信されたスパムメールの検知精度を向上できる。
【００７５】
スパムメール検知装置１は、ネットワークに接続可能な情報処理装置の一例であり、サーバ装置又はＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）等、様々な情報処理装置（コンピュータ）であってよく、前述の各機能は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、上記情報処理装置にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。
【符号の説明】
【００７６】
１  スパムメール検知装置
１０  制御部
１１  取得部
１２  生成部
１３  判定部
２０  記憶部
２１  ブラックリスト
３０  通信部
４０  入力部
５０  表示部
【図１】
2014063402.tif 000003
【図２】
2014063402.tif 000004
【図３】
2014063402.tif 000005
【図４】
2014063402.tif 000006