(57)【要約】  運用部（１２０）は、検査対象の電子メールである対象メールの特徴量を算出する。次に、運用部は、前記対象メールの特徴量に基づいて状態定義ファイルから前記対象メールの状態識別子を取得する。次に、運用部は、１つ以上のメールスレッドから前記対象メールが属するメールスレッドを対象スレッドとして選択し、前記対象スレッドの状態グループに前記対象メールの状態識別子を追加する。次に、運用部は、前記対象メールの状態識別子が追加された後の前記対象スレッドの状態グループが検知ルールに適合するか判定する。前記対象スレッドの前記状態グループが前記検知ルールに適合する場合、運用部はアラートを発生させる。
2019229988.tif 000002
【特許請求の範囲】
【請求項１】
検査対象の電子メールである対象メールの特徴量を算出する特徴量算出部と、
前記対象メールの特徴量に基づいて、１つ以上の状態識別子と１つ以上の特徴量とが互い対応付けられた状態定義ファイルから、前記対象メールの状態識別子を取得する状態取得部と、
１つ以上のメールスレッドから前記対象メールが属するメールスレッドを対象スレッドとして選択し、前記対象スレッドの状態グループに前記対象メールの状態識別子を追加するスレッド構築部と、
前記対象メールの状態識別子が追加された後の前記対象スレッドの状態グループが、不審メールが属するメールスレッドにおける状態パターンを示す検知ルールに適合するか判定するスレッド検査部と
を備える不審メール検知装置。
【請求項２】
前記不審メール検知装置は、さらに、
前記対象メールが、不審メールに該当する電子メールが単独で満たす単独要件を満たすか判定するメール検査部を備える
請求項１に記載の不審メール検知装置。
【請求項３】
前記スレッド検査部は、前記対象メールが前記単独要件を満たさない場合に、前記対象メールの状態識別子が追加された後の前記対象スレッドの状態グループが前記検知ルールに適合するか判定する
請求項２に記載の不審メール検知装置。
【請求項４】
前記スレッド構築部は、前記対象メールが属するメールスレッドが存在しない場合、前記対象メールが属するメールスレッドを対象スレッドとして生成し、生成した対象スレッドの状態グループに前記対象メールの状態識別子を追加する
請求項１から請求項３のいずれか１項に記載の不審メール検知装置。
【請求項５】
特徴量算出部が、検査対象の電子メールである対象メールの特徴量を算出し、
状態取得部が、前記対象メールの特徴量に基づいて、１つ以上の状態識別子と１つ以上の特徴量とが互い対応付けられた状態定義ファイルから、前記対象メールの状態識別子を取得し、
スレッド構築部が、１つ以上のメールスレッドから前記対象メールが属するメールスレッドを対象スレッドとして選択し、前記対象スレッドの状態グループに前記対象メールの状態識別子を追加し、
スレッド検査部が、前記対象メールの状態識別子が追加された後の前記対象スレッドの状態グループが、不審メールが属するメールスレッドにおける状態パターンを示す検知ルールに適合するか判定する
不審メール検知方法。
【請求項６】
検査対象の電子メールである対象メールの特徴量を算出する特徴量算出処理と、
前記対象メールの特徴量に基づいて、１つ以上の状態識別子と１つ以上の特徴量とが互い対応付けられた状態定義ファイルから、前記対象メールの状態識別子を取得する状態取得処理と、
１つ以上のメールスレッドから前記対象メールが属するメールスレッドを対象スレッドとして選択し、前記対象スレッドの状態グループに前記対象メールの状態識別子を追加するスレッド構築処理と、
前記対象メールの状態識別子が追加された後の前記対象スレッドの状態グループが、不審メールが属するメールスレッドにおける状態パターンを示す検知ルールに適合するか判定するスレッド検査処理と
をコンピュータに実行させるための不審メール検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不審な電子メールを検知するための技術に関するものである。
【背景技術】
【０００２】
標的型攻撃が深刻な脅威となっている。標的型攻撃は、特定の組織または特定の人を対象として、機密情報の窃取等を目的とする攻撃である。
標的型攻撃の中でも、標的型メール攻撃は、依然として重大な脅威の一つである。標的型メール攻撃は、電子メールをベースにした撃である。
トレンドマイクロの調査では、標的型メール攻撃によるマルウェア感染は企業に対する攻撃全体の７６パーセントにも上る、との結果が出ている。そのため、標的型メール攻撃を防ぐことは、被害を増加させる巧妙なサイバー攻撃を防ぐ観点から重要である。
このような背景の元、標的型攻撃メールを検知することによって標的型メール攻撃から組織を防ぐための技術が検討されている。【０００３】
特許文献１には、受信メールのヘッダを学習済の正規ヘッダと比較することによって、受信メールが不審な電子メールであるか判断する技術が開示されている。
特許文献２には、電子メールに添付されるファイルが不審であるか判断するためにファイルのフォーマットを特定し、特定したフォーマットが許可されるものであるか判定する技術が開示されている。
特許文献３には、新規メールのヘッダ情報と過去メールのヘッダ情報との類似度が低い場合に新規メールが不審な電子メールであると判断する技術が開示されている。
特許文献４には、受信メールの本文をスパムメッセージの本文との類似度が閾値を超える場合に受信メールが不審な電子メールであると判断する技術が開示されている。【０００４】
非特許文献１については、実施の形態において言及する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１３−２３６３０８号公報
【特許文献２】特表２００８−５４６１１１号公報
【特許文献３】特開２０１４−１０２７０８号公報
【特許文献４】特表２００７−５０３６６０号公報
【非特許文献】
【０００６】
【非特許文献１】Ｍｉｋｏｌｏｖ，  Ｔｏｍａｓ，  ｅｔ  ａｌ．  “Ｅｆｆｉｃｉｅｎｔ  ｅｓｔｉｍａｔｉｏｎ  ｏｆ  ｗｏｒｄ  ｒｅｐｒｅｓｅｎｔａｔｉｏｎｓ  ｉｎ  ｖｅｃｔｏｒ  ｓｐａｃｅ．”，  ａｒＸｉｖ  ｐｒｅｐｒｉｎｔ  ａｒＸｉｖ：１３０１．３７８１  （２０１３）
【発明の概要】
【発明が解決しようとする課題】
【０００７】
攻撃者が、メールヘッダを正規のヘッダであるように偽装し、さらに、標的の関係者が作成したかのようにメール本文を工夫することが考えられる。既存の技術では、このような巧妙な標的型攻撃メールを検知することができない。
例えば、攻撃者が、標的と関係がある人物の端末を感染させた後に、その人物を踏み台に利用して標的の端末を感染させることが考えられる。具体的には、攻撃者は、踏み台に利用する人物の情報（例えば、メールアドレス）を利用して、標的の端末へ攻撃メールを送信する。この場合、攻撃メールのヘッダ情報等は正規のものであり、攻撃メールの本文も踏み台に利用した人物の特徴を有している。そのため、既存の技術では、この攻撃メールを検知することが困難である。【０００８】
一般的に組織で用いられるファイル形式で生成された添付ファイルが感染のために用いる場合がある。この場合、添付ファイルの拡張子に基づく検知の効果は限定的である。【０００９】
企業の問い合わせ窓口に対して商品を問い合わせるような問い合わせにおいて攻撃者が正常なやり取りを行う人物であるとの信頼を獲得した後に、攻撃者がマルウェア感染等を引き起こす攻撃メールを送る、といった攻撃について考える。この場合、攻撃メールの本人性を検証しても、攻撃メールが正常な人物であるとの信頼を獲得した本人からのメールであるため、攻撃メールを検知することができない。【００１０】
本発明は、攻撃メール単独では攻撃メールを不審メールとして検知できないような場合であっても、攻撃メール以前の一連のやり取りに基づいて攻撃メールを不審メールとして検知できるようにすることを目的とする。
【課題を解決するための手段】
【００１１】
本発明の不審メール検知装置は、
検査対象の電子メールである対象メールの特徴量を算出する特徴量算出部と、
前記対象メールの特徴量に基づいて、１つ以上の状態識別子と１つ以上の特徴量とが互い対応付けられた状態定義ファイルから、前記対象メールの状態識別子を取得する状態取得部と、
１つ以上のメールスレッドから前記対象メールが属するメールスレッドを対象スレッドとして選択し、前記対象スレッドの状態グループに前記対象メールの状態識別子を追加するスレッド構築部と、
前記対象メールの状態識別子が追加された後の前記対象スレッドの状態グループが、不審メールが属するメールスレッドにおける状態パターンを示す検知ルールに適合するか判定するスレッド検査部とを備える。
【発明の効果】
【００１２】
本発明によれば、攻撃メール単独では攻撃メールを不審メールとして検知できないような場合であっても、攻撃メール以前の一連のやり取り（メールスレッド）に基づいて攻撃メールを不審メールとして検知することが可能となる。
【図面の簡単な説明】
【００１３】
【図１】実施の形態１における不審メール検知装置１００の構成図。
【図２】実施の形態１における準備部１１０の構成図。
【図３】実施の形態１における運用部１２０の構成図。
【図４】実施の形態１における不審メール検知方法の概要図。
【図５】実施の形態１における不審メール検知方法のフローチャート。
【図６】実施の形態１における準備処理（Ｓ１１０）のフローチャート。
【図７】実施の形態１における状態定義ファイル１３１を示す図。
【図８】実施の形態１における運用処理（Ｓ１２０）のフローチャート。
【図９】実施の形態１におけるスレッド検査処理（Ｓ１２７）のフローチャート。
【図１０】実施の形態２における準備処理（Ｓ１１０）のフローチャート。
【図１１】実施の形態２におけるスレッド構築処理（Ｓ１２６）のフローチャート。
【図１２】実施の形態における不審メール検知装置１００のハードウェア構成図。
【発明を実施するための形態】
【００１４】
実施の形態および図面において、同じ要素または対応する要素には同じ符号を付している。説明した要素と同じ符号が付された要素の説明は適宜に省略または簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。
【００１５】
実施の形態１．
不審な電子メールを検知する形態について、図１から図９に基づいて説明する。
【００１６】
＊＊＊構成の説明＊＊＊
図１に基づいて、不審メール検知装置１００の構成を説明する。
不審メール検知装置１００は、プロセッサ１０１とメモリ１０２と補助記憶装置１０３と入出力インタフェース１０４といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。
【００１７】
プロセッサ１０１は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）であり、他のハードウェアを制御する。例えば、プロセッサ１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｏｒ）、またはＧＰＵ（Ｇｒａｐｈｉｃｓ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）である。
メモリ１０２は揮発性の記憶装置である。メモリ１０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ１０２はＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）である。メモリ１０２に記憶されたデータは必要に応じて補助記憶装置１０３に保存される。
補助記憶装置１０３は不揮発性の記憶装置である。例えば、補助記憶装置１０３は、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）、またはフラッシュメモリである。補助記憶装置１０３に記憶されたデータは必要に応じてメモリ１０２にロードされる。
入出力インタフェース１０４は入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース１０４はＵＳＢ端子である。ＵＳＢはＵｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓの略称である。例えば、入力装置はキーボード、マウスおよびレシーバであり、出力装置はディスプレイおよびトランスミッタである。レシーバとトランスミッタとを総称して通信装置という。
【００１８】
不審メール検知装置１００は、準備部１１０と運用部１２０といった要素を備える。これらの要素はソフトウェアで実現される。
【００１９】
補助記憶装置１０３には、準備部１１０と運用部１２０としてコンピュータを機能させるための不審メール検知プログラムが記憶されている。不審メール検知プログラムは、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
さらに、補助記憶装置１０３にはＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）が記憶されている。ＯＳの少なくとも一部は、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
つまり、プロセッサ１０１は、ＯＳを実行しながら、不審メール検知プログラムを実行する。
不審メール検知プログラムを実行して得られるデータは、メモリ１０２、補助記憶装置１０３、プロセッサ１０１内のレジスタ、または、プロセッサ１０１内のキャッシュメモリといった記憶装置に記憶される。
【００２０】
補助記憶装置１０３は記憶部１３０として機能する。但し、他の記憶装置が、補助記憶装置１０３の代わりに、又は、補助記憶装置１０３と共に、記憶部１３０として機能してもよい。
【００２１】
不審メール検知装置１００は、プロセッサ１０１を代替する複数のプロセッサを備えてもよい。複数のプロセッサは、プロセッサ１０１の役割を分担する。
【００２２】
不審メール検知プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。
【００２３】
図２に基づいて、準備部１１０の構成を説明する。
準備部１１０は、ルール登録部１１１とスレッド登録部１１２とを備える。
【００２４】
図３に基づいて、運用部１２０の構成を説明する。
運用部１２０は、メール受取部１２１とメール検査部１２２と特徴量算出部１２３と状態取得部１２４とスレッド構築部１２５とスレッド検査部１２６とアラート発生部１２７とを備える。
【００２５】
＊＊＊動作の説明＊＊＊
不審メール検知装置１００の動作は不審メール検知方法に相当する。また、不審メール検知方法の手順は不審メール検知プログラムの手順に相当する。
【００２６】
不審メール検知装置１００は、例えば、メールクライアントのアドオンとして動作する。
【００２７】
図４に基づいて、不審メール検知方法の概要を説明する。
メール受取部１２１は、検査対象の電子メールを受け取る。
検査対象の電子メールを対象メールという。
【００２８】
メール検査部１２２は、対象メールが単独要件を満たすか判定する。
単独要件は、不審メールに該当する電子メールが単独で満たす条件である。
不審メールは、不審な電子メールである。例えば、不審メールは、標的型攻撃メールであると推測される電子メールである。標的型攻撃メールは、標的型メール攻撃を行うための電子メールである。
【００２９】
対象メールが単独要件を満たす場合、アラート発生部１２７はアラートを発生させる。
【００３０】
特徴量算出部１２３は、対象メールの特徴量を算出する。
特徴量は、電子メールの特徴を表す１つ以上の値である。
【００３１】
状態取得部１２４は、対象メールの特徴量に基づいて、状態定義ファイルから、対象メールの状態識別子を取得する。
状態定義ファイルは、１つ以上の状態識別子と１つ以上の特徴量とが互いに対応付けられたファイルである。
状態識別子は、電子メールの特徴量に対応する状態を識別する。
【００３２】
スレッド構築部１２５は、１つ以上のメールスレッドから、対象メールが属するメールスレッドを選択する。選択されるメールスレッドを対象スレッドという。
スレッド構築部１２５は、対象スレッドの状態グループに対象メールの状態識別子を追加する。
メールスレッドは、電子メールの集合である。メールスレッドは、メールグループと状態グループとを含む。
メールグループは、電子メールによる一連のやり取りを構成する１つ以上の電子メールである。
状態グループは、メールグループに含まれる１つ以上の電子メールの１つ以上の状態識別子である。
【００３３】
スレッド検査部１２６は、対象メールの状態識別子が追加された後の対象スレッドの状態グループが検知ルールに適合するか判定する。
検知ルールは、不審メールが属するメールスレッドにおける状態パターンを示す。
状態パターンは、不審メールが属するメールスレッドの状態グループについてのパターンである。
【００３４】
具体的には、対象メールが単独要件を満たさない場合に、スレッド検査部１２６は、対象メールの状態識別子が追加された後の対象スレッドの状態グループが検知ルールに適合するか判定する。
【００３５】
対象スレッドの状態グループが検知ルールに適合する場合、アラート発生部１２７はアラートを発生させる。
【００３６】
図５に基づいて、不審メール検知方法における処理の流れを説明する。
ステップＳ１１０において、準備部１１０は、１つ以上の検知ルールと１つ以上のメールスレッドとを登録する。
準備処理（Ｓ１１０）の詳細については後述する。
【００３７】
ステップＳ１２０において、運用部１２０は、対象メールが不審メールであるか判定する。
運用処理（Ｓ１２０）の詳細については後述する。
【００３８】
図６に基づいて、準備処理（Ｓ１１０）を説明する。
ステップＳ１１１において、利用者は、各種の電子メールに基づいて、１つ以上の状態定義データを生成する。そして、利用者は、１つ以上の状態定義データを不審メール検知装置１００に入力する。
ルール登録部１１１は、１つ以上の状態定義データを受け付ける。そして、ルール登録部１１１は、１つ以上の状態定義データを状態定義ファイルに登録する。状態定義ファイルは記憶部１３０に記憶される。
【００３９】
図７に基づいて、状態定義ファイル１３１を説明する。
状態定義ファイル１３１は、状態定義ファイルの具体例である。
状態定義ファイル１３１は、３つの状態定義データを有する。
状態定義データは、状態識別子とラベルと特徴量との組を含む。つまり、状態定義データは、状態識別子とラベルと特徴量とが互いに対応付けられたデータである。
状態識別子は、電子メールの特徴量に対応する状態を識別する。「ｓｘ」は第ｘの状態を識別する。
ラベルは、電子メールの特徴量に対応する状態を示す。「信頼構築」、「催促」および「添付ファイル開封」はラベルの一例である。
特徴量は、電子メールの特徴を表す１つ以上の値である。例えば、特徴量は特徴量ベクトルである。特徴ベクトルは複数の値を含む。
【００４０】
利用者は、状態定義データを以下のように生成する。
利用者は、特定の状態に関連する電子メールの特徴量を算出する。具体的には、利用者は、コンピュータを用いて、電子メールの本文を入力として特徴量算出ツールを実行する。特徴量算出ツールは、既存技術によって特徴量を算出する。既存技術の具体例はＷｏｒｄ２Ｖｅｃである。非特許文献１はＷｏｒｄ２Ｖｅｃに関する文献である。Ｗｏｒｄ２Ｖｅｃを応用することによって、電子メールの本文から分散表現を抽出し、抽出した分散表現を特徴ベクトルで表すことができる。
利用者は、特定の状態を識別する状態識別子を決定する。また、利用者は、特定の状態を示すラベルを決定する。
そして、利用者は、状態識別子とラベルと特徴量とを設定することによって、状態データを生成する。
【００４１】
図６に戻り、ステップＳ１１２から説明を続ける。
ステップＳ１１２において、利用者は、１つ以上の状態定義データに基づいて、１つ以上の検知ルールを生成する。そして、利用者は、１つ以上の検知ルールを不審メール検知装置１００に入力する。
具体的には、利用者は、１つ以上の状態識別子を１つ以上の単語として用いて、検知ルールを正規表現で記述する。
【００４２】
ルール登録部１１１は、１つ以上の検知ルールを受け付ける。そして、ルール登録部１１１は、１つ以上の検知ルールを検知ルールファイルに登録する。検知ルールファイルは記憶部１３０に記憶される。
【００４３】
ステップＳ１１３において、スレッド登録部１１２は、１つ以上のメールスレッドを生成する。そして、スレッド登録部１１２は、１つ以上のメールスレッドをスレッドデータベースに登録する。スレッドデータベースは記憶部１３０に記憶される。
【００４４】
スレッド登録部１１２は、１つ以上のメールスレッドを以下のように生成する。
まず、スレッド登録部１１２は、通信された複数の電子メールをそれぞれのヘッダ情報に基づいてグループ分けする。ヘッダ情報は、電子メールのヘッダに含まれる情報である。具体的には、ヘッダ情報は、Ｍｅｓｓａｇｅ−Ｉｄ、Ｉｎ−Ｒｅｐｌｙ−ＴｏおよびＲｅｆｅｒｅｎｃｅｓなどの情報である。
次に、スレッド登録部１１２は、電子メール毎に特徴量を算出する。特徴量を算出する方法は前述の通りである。つまり、スレッド登録部１１２は、Ｗｏｒｄ２Ｖｅｃのような既存技術によって、それぞれの電子メールの特徴量を算出する。
次に、スレッド登録部１１２は、電子メール毎に、電子メールの特徴量に基づいて、電子メールの状態識別子を状態定義ファイルから取得する。具体的には、スレッド登録部１１２は、電子メールの特徴量に最も近い特徴量を状態定義ファイルから選択し、選択した特徴量に対応付けられた状態識別子を状態定義ファイルから取得する。取得される状態識別子が電子メールの状態識別子である。
そして、スレッド登録部１１２は、メールグループ毎に、メールグループと状態グループとを含んだメールスレッドを生成する。
【００４５】
図８に基づいて、運用処理（Ｓ１２０）を説明する。
ステップＳ１２１において、メール受取部１２１は、検査対象となる電子メールを受け取る。受け取られる電子メールを対象メールという。
例えば、メール受取部１２１は、メールシステムから対象メールを受け取る。メールシステムの具体例は、メールサーバまたはメールクライアントである。
【００４６】
ステップＳ１２２において、メール検査部１２２は、対象メール（特に、ヘッダ情報）が単独要件を満たすか判定する。
例えば、メール検査部１２２は、対象メールに対する表層解析を行う。
例えば、メール検査部１２２は、特許文献１から特許文献４のいずれかに開示されている方法で、対象メールが不審メールに該当するか判定する。対象メールが不審メールに該当する場合、対象メールは単独要件を満たす。
対象メールが単独要件を満たす場合、処理はステップＳ１２３に進む。
対象メールが単独要件を満たさない場合、処理はステップＳ１２４に進む。
【００４７】
ステップＳ１２３において、アラート発生部１２７は、アラートを発生させる。
例えば、アラート発生部１２７は、アラートメッセージをディスプレイに表示する。アラートメッセージは、不審な電子メール（対象メール）が発生したことを知らせる。
【００４８】
ステップＳ１２４において、特徴量算出部１２３は、対象メールの特徴量を算出する。
具体的には、特徴量算出部１２３は、Ｗｏｒｄ２Ｖｅｃのような既存技術によって、対象メールの特徴量を算出する。
【００４９】
ステップＳ１２５において、状態取得部１２４は、対象メールの特徴量に基づいて、状態定義ファイルから、対象メールの状態識別子を取得する。
具体的には、状態取得部１２４は、対象メールの特徴量に最も近い特徴量を状態定義ファイルから選択する。そして、状態取得部１２４は、選択した特徴量に対応付けられた状態識別子を状態定義ファイルから取得する。
【００５０】
ステップＳ１２６において、スレッド構築部１２５は、対象スレッドを以下のように構築する。
まず、スレッド構築部１２５は、スレッドデータベースを検索することによって、対象メールが属するメールスレッドをスレッドデータベースから選択する。具体的には、スレッド構築部１２５は、スレッドデータベースに含まれるメールスレッド毎に、対象スレッドのヘッダ情報とメールグループに含まれる電子メールのヘッダ情報とに基づいて、対象メールがメールグループに属するか判定する。そして、スレッド構築部１２５は、対象メールが属するメールグループのメールスレッドを選択する。選択されるメールスレッドが対象スレッドである。例えば、スレッド構築部１２５は、対象メールにおけるＭｅｓｓａｇｅ−Ｉｄの値が、メールグループに含まれる電子メールにおけるＩｎ−Ｒｅｐｌｙ−Ｔｏの値またはＲｅｆｅｒｅｎｃｅｓの値と一致するか判定する。対象メールにおけるＭｅｓｓａｇｅ−Ｉｄの値が、メールグループに含まれる電子メールにおけるＩｎ−Ｒｅｐｌｙ−Ｔｏの値またはＲｅｆｅｒｅｎｃｅｓの値と一致する場合、対象メールはメールグループに属する。
そして、スレッド構築部１２５は、対象スレッドに対象メールを追加する。具体的には、スレッド構築部１２５は、対象スレッドのメールグループに対象メールを追加し、対象スレッドの状態グループに対象メールの状態識別子を追加する。
【００５１】
ステップＳ１２７において、スレッド検査部１２６は、対象スレッドを検査する。
【００５２】
図９に基づいて、スレッド検査処理（Ｓ１２７）を説明する。
ステップＳ１２７１において、スレッド検査部１２６は、検知ルールファイルから、未選択の検知ルールを１つ選択する。
【００５３】
ステップＳ１２７２は、ステップＳ１２６１で選択された検知ルールについて実行される。
【００５４】
ステップＳ１２７２において、スレッド検査部１２６は、対象スレッドの状態グループが検知ルールに適合するか判定する。
具体的には、スレッド検査部１２６は、検知ルールｒｉと状態グループｔとを入力として、マッチング関数（ｒｉ，ｔ）を実行する。
検知ルールｒｉは、ステップＳ１２６１で選択された検知ルールである。具体的には、検知ルールｒｉはｉ番目の検知ルールである。
状態グループｔは、対象スレッドの状態グループである。状態グループｔは、状態識別子ｓｊの系列｛ｓａ１，ｓａ２，・・・，ｓａＮ｝で表される。「Ｓａｎ」は、電子メールによる一連のやり取りにおけるｎ番目の電子メールについての状態識別子である。
マッチング関数（ｒｉ，ｔ）は、正規表現のマッチングを行うための関数である。マッチング関数（ｒｉ，ｔ）が実行される戻り値が得られる。マッチング関数（ｒｉ，ｔ）の戻り値は、状態グループｔが検知ルールｒｉに適合するか否かを示す。
対象スレッドの状態グループが検知ルールに適合する場合、処理はステップＳ１２７４に進む。
対象スレッドの状態グループが検知ルールに適合しない場合、処理はステップＳ１２７３に進む。
【００５５】
ステップＳ１２７３において、スレッド検査部１２６は、未選択の検知ルールが有るか判定する。ステップＳ１２７３において、未選択の検知ルールを未選択ルールという。
未選択ルールが有る場合、処理はステップＳ１２７１に進む。
未選択ルールが無い場合、スレッド検査処理（Ｓ１２７）は終了する。
【００５６】
ステップＳ１２７４において、アラート発生部１２７は、アラートを発生させる。
例えば、アラート発生部１２７は、アラートメッセージをディスプレイに表示する。アラートメッセージは、不審な電子メール（対象メール）が発生したことを知らせる。
【００５７】
＊＊＊実施の形態１の効果＊＊＊
実施の形態１は、ヘッダ情報および添付ファイルには不審さが見当たらない標的型攻撃メール、および、標的型攻撃メール一通だけを見るとでは不審さを感じ取ることができないほどに巧妙に作られた本文を有する標的型攻撃メールを検知することを目的とする。
実施の形態１は、メールが受信された際にメールの送信者とのやり取りを抽出し、攻撃が行われる状態が発生したときのメールを不審メールとして検知するものである。これにより、巧妙な標的型攻撃メールを検知することが可能となる。
実施の形態１により、ヘッダ情報等の表層情報が自然な情報であっても、悪意あるやり取りが実施された際に不審メールを検知することができる。その結果、巧妙な標的型メール攻撃を防ぐことが可能となる。
【００５８】
実施の形態１において、検知ルールが正規表現で記述される。これにより、複雑なやり取りについての検知ルールを簡単に表現することができる。例えば、似た文面のメールが何度か繰り返された後に攻撃が行われるようなやり取りについての検知ルール、および、信頼を獲得するためのあて先確認メールの後に催促があるようなやり取りについての検知ルールを簡単に表現することができる。
【００５９】
＊＊＊他の構成＊＊＊
スレッド登録部１１２は、グループ分けの対象とする電子メールを限定してもよい。
例えば、スレッド登録部１１２は、特定の時刻以降に通信された電子メールをグループ分けする。これにより、あまりに古いやり取りを除外することができる。
例えば、スレッド登録部１１２は、特定の通信端末によって通信された電子メールをグループ分けする。これにより、特定人物のやり取りだけを監視することができる。
【００６０】
スレッド登録部１１２またはスレッド構築部１２５は、一定期間を過ぎたメールスレッドを破棄してもよい。
具体的には、スレッド登録部１１２は、それぞれのメールスレッドに生存時間を設定する。そして、登録時または更新時（メールが追加されたとき）から生存時間が経過した場合に、スレッド登録部１１２またはスレッド構築部１２５が、そのメールスレッドを破棄する。
【００６１】
実施の形態２．
実施の形態１では、メールスレッドが予め登録される形態について説明した。
実施の形態２では、必要に応じてメールスレッドを登録する形態について、主に実施の形態１と異なる点を図１０および図１２に基づいて説明する。
【００６２】
＊＊＊構成の説明＊＊＊
不審メール検知装置１００の構成は、実施の形態１における構成と同じである（図１参照）。但し、準備部１１０の構成は、実施の形態１における構成と異なる。
実施の形態１において、準備部１１０は、準備部１１０と運用部１２０とを備える（図２参照）。しかし、実施の形態２では、運用部１２０は不要である。
【００６３】
＊＊＊動作の説明＊＊＊
図４に基づいて、不審メール検知方法の概要を説明する。
メール受取部１２１からスレッド検査部１２６のそれぞれは、実施の形態１で説明したように動作する。
さらに、スレッド構築部１２５およびスレッド検査部１２６は、以下のように動作する。
【００６４】
スレッド構築部１２５は、対象メールが属するメールスレッドが存在しない場合、対象メールが属するメールスレッドを対象スレッドとして生成する。そして、スレッド構築部１２５は、生成した対象スレッドの状態グループに対象メールの状態識別子を追加する。
【００６５】
不審メール検知方法の処理の流れは、実施の形態１における流れと同じである（図５参照）。但し、準備処理（Ｓ１１０）と運用処理（Ｓ１２０）とのそれぞれの詳細が実施の形態１における処理と異なる。
【００６６】
図１０に基づいて、準備処理（Ｓ１１０）を説明する。
ステップＳ１１１において、ルール登録部１１１は、１つ以上の状態定義データを状態定義ファイルに登録する。ステップＳ１１１は実施の形態１で説明した通りである（図６参照）。
ステップＳ１１２において、ルール登録部１１１は、１つ以上の検知ルールを検知ルールファイルに登録する。ステップＳ１１２は実施の形態１で説明した通りである（図６参照）。
ステップＳ１１２の後、準備処理（Ｓ１１０）は終了する。実施の形態１におけるステップＳ１１３は実施の形態２では不要である。
【００６７】
運用処理（Ｓ１２０）の流れは、実施の形態１における流れと同じである（図８参照）。但し、スレッド構築処理（Ｓ１２６）が実施の形態１における処理と異なる。
【００６８】
図１１に基づいて、スレッド構築処理（Ｓ１２６）を説明する。
ステップＳ１２６１において、スレッド構築部１２５は、対象スレッドを見つけるために、スレッドデータベースを検索する。
対象スレッドが見つかった場合、処理はステップＳ１２６２に進む。
対象スレッドが見つからなかった場合、処理はステップＳ１２６３に進む。
【００６９】
ステップＳ１２６２において、スレッド構築部１２５は、対象スレッドに対象メールを追加する。
具体的には、スレッド構築部１２５は、対象スレッドのメールグループに対象メールを追加し、対象スレッドの状態グループに対象メールの状態識別子を追加する。
【００７０】
ステップＳ１２６３において、スレッド構築部１２５は、対象スレッドをスレッドデータベースに登録する。
【００７１】
対象スレッドは以下のように登録される。
メール受取部１２１は、対象メールのヘッダ情報に基づいて、対象メールと関連する１つ以上の電子メールをメールシステムに要求する。そして、メール受取部１２１は、対象メールと関連する１つ以上の電子メールをメールシステムから受け取る。受け取られた電子メールを関連メールという。
特徴量算出部１２３は、関連メール別の特徴量を算出する。さらに、特徴量算出部１２３は、対象メールの特徴量を算出する。
状態取得部１２４は、関連メール別の特徴量に基づいて関連メール別の状態識別子を取得する。さらに、状態取得部１２４は、対象メールの特徴量に基づいて対象メールの状態識別子を取得する。
スレッド構築部１２５は、関連メールと関連メールの状態識別子とを用いて、新規のメールスレッドを生成する。新規のメールスレッドは、関連メールのメールグループと関連メールの状態グループとを含む。生成されるメールスレッドが対象スレッドである。スレッド構築部１２５は、対象スレッドをスレッドデータベースに登録する。そして、スレッド構築部１２５は、対象スレッドに対象メールを追加する。具体的には、スレッド構築部１２５は、対象スレッドのメールグループに対象メールを追加し、対象スレッドの状態グループに対象メールの状態識別子を追加する。
【００７２】
＊＊＊実施の形態２の効果＊＊＊
メールスレッドを必要に応じて登録することにより、考慮する必要がないほど昔のやり取り、または、議論が完了したやり取り等、無駄なやり取りを無視することができる。そして、記憶容量の削減および処理の高速化が見込める。
【００７３】
＊＊＊実施の形態の補足＊＊＊
図１２に基づいて、不審メール検知装置１００のハードウェア構成を説明する。
不審メール検知装置１００は処理回路１０９を備える。
処理回路１０９は、準備部１１０と運用部１２０とを実現するハードウェアである。
処理回路１０９は、専用のハードウェアであってもよいし、メモリ１０２に格納されるプログラムを実行するプロセッサ１０１であってもよい。
【００７４】
処理回路１０９が専用のハードウェアである場合、処理回路１０９は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡまたはこれらの組み合わせである。
ＡＳＩＣはＡｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔの略称であり、ＦＰＧＡはＦｉｅｌｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙの略称である。
不審メール検知装置１００は、処理回路１０９を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路１０９の役割を分担する。
【００７５】
処理回路１０９において、一部の機能が専用のハードウェアで実現されて、残りの機能がソフトウェアまたはファームウェアで実現されてもよい。
【００７６】
このように、処理回路１０９はハードウェア、ソフトウェア、ファームウェアまたはこれらの組み合わせで実現することができる。
【００７７】
実施の形態は、好ましい形態の例示であり、本発明の技術的範囲を制限することを意図するものではない。実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。
【符号の説明】
【００７８】
１００  不審メール検知装置、１０１  プロセッサ、１０２  メモリ、１０３  補助記憶装置、１０４  入出力インタフェース、１０９  処理回路、１１０  準備部、１１１  ルール登録部、１１２  スレッド登録部、１２０  運用部、１２１  メール受取部、１２２  メール検査部、１２３  特徴量算出部、１２４  状態取得部、１２５  スレッド構築部、１２６  スレッド検査部、１２７  アラート発生部、１３０  記憶部、１３１  状態定義ファイル。
【図１】
2019229988.tif 000003
【図２】
2019229988.tif 000004
【図３】
2019229988.tif 000005
【図４】
2019229988.tif 000006
【図５】
2019229988.tif 000007
【図６】
2019229988.tif 000008
【図７】
2019229988.tif 000009
【図８】
2019229988.tif 000010
【図９】
2019229988.tif 000011
【図１０】
2019229988.tif 000012
【図１１】
2019229988.tif 000013
【図１２】
2019229988.tif 000014
【国際調査報告】
2019229988.tif 000015
2019229988.tif 000016