(57)【特許請求の範囲】
【請求項１】
ネットワークコンテンツ処理システムにより悪意あるネットワークコンテンツを検出する方法であって、
複数の電子メールメッセージを受信し、
前記複数の電子メールメッセージを分析して当該複数の電子メールメッセージのメッセージコンテンツに含まれる複数のＵＲＬを検出し、
検出された前記複数のＵＲＬのうち、ブラウザアプリケーションを含む仮想環境コンポーネントによって仮想環境において処理される順序を示す優先度が関連付けられた幾つかのＵＲＬが疑わしいかを判断し、
前記優先度に基づいて、前記幾つかのＵＲＬの処理を行ない、
前記処理においては、前記幾つかのＵＲＬのうち第１のＵＲＬの処理中に発行されたコンテンツの要求に応じて受け取ったコンテンツの分析を実行し、
前記第１のＵＲＬに対応する前記コンテンツの分析の応答として少なくとも１つの望ましくない挙動が前記仮想環境コンポーネント内で発生した場合、当該第１のＵＲＬを悪意ありと特定する、方法。
【請求項２】
前記第１のＵＲＬに関連付けられた前記優先度は、その処理に利用可能なリソースの量に少なくとも基づいている、請求項１に記載の方法。
【請求項３】
前記第１のＵＲＬが前記複数の電子メールメッセージの１つとネットワークトラフィックにおいて検出され、前記幾つかのＵＲＬのうち第２のＵＲＬが当該ネットワークトラフィックにおいてのみ検出された場合、当該第１のＵＲＬにより高い優先度が与えられる、請求項１に記載の方法。
【請求項４】
ファイアウォール経由のネットワークトラフィックにおいて複数のＵＲＬを検出し、
前記第１のＵＲＬが、前記複数の電子メールメッセージの１つのメッセージコンテンツ内に存在し、かつ前記ネットワークトラフィックにおける前記複数のＵＲＬの１つであることが検出されると、当該第１のＵＲＬに関連付けられた前記優先度を高くする、請求項１に記載の方法。
【請求項５】
悪意あるネットワークコンテンツを検出するシステムであって、
プロセッサと、
前記プロセッサと通信可能に結合されたメモリシステムと、
を備えており、
前記メモリシステムは、
（ｉ）電子メールメッセージを受信し、（ｉｉ）前記電子メールメッセージを分析して当該電子メールメッセージのメッセージコンテンツに含まれる少なくとも１つのＵＲＬを検出し、（ｉｉｉ）検出された前記ＵＲＬが疑わしいかを判断する第１システムと、
前記第１システムと通信可能であり、（ｉ）ネットワークトラフィックにおいて第１のＵＲＬを含む複数のＵＲＬを検出し、（ｉｉ）前記電子メールメッセージのメッセージコンテンツにおける前記少なくとも１つのＵＲＬの１つに対応する前記第１のＵＲＬと前記複数のＵＲＬのうち少なくとも１つのＵＲＬが疑わしいと判断されると、前記第１のＵＲＬに関連付けられた優先度が第２のＵＲＬに関連付けられた優先度よりも高くなるように、前記複数のＵＲＬのうち少なくとも１つのＵＲＬに優先度を関連付け、（ｉｉｉ）前記優先度によって定められた順序に基づいて、前記第１のＵＲＬを含む前記少なくとも１つのＵＲＬを仮想環境において処理し、（ｉｖ）ブラウザアプリケーションを含む前記仮想環境の仮想環境コンポーネントにおいて発生する少なくとも１つの望ましくない挙動に基づいて、前記第１のＵＲＬを悪意ありと特定する第２システムと、
を備えている、システム。
【請求項６】
前記第２システムは、前記第１のＵＲＬが、前記複数の電子メールメッセージの１つのメッセージコンテンツ内に存在し、かつ前記ネットワークトラフィックにおける前記複数のＵＲＬの１つであることが検出されると、当該第１のＵＲＬに関連付けられた前記優先度を高くする、請求項５に記載のシステム。
【請求項７】
前記第１システムは、電子メッセージマルウェア検出システムとして動作し、
前記第２システムは、ウェブマルウェア検出システムとして動作し、
前記第１システムと通信し、当該第１システムと少なくとも１つのクライアント装置との間で少なくとも１つの電子メールメッセージを転送する交換サーバをさらに備えている、請求項５に記載のシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本出願は、「マルウェア攻撃防止システムおよび方法」を発明の名称とし、２００７年３月１２日に提出された米国特許出願１１／７１７，４７４号の一部継続出願である。
米国特許出願１１／７１７，４７４号は、「動的署名生成および執行」を発明の名称とし、２００６年７月２８日に提出された米国特許出願１１／４９４，９９０号の一部継続出願である。
米国特許出願１１／４９４，９９０号は、「動的データフロー分析を伴う仮想マシン」を発明の名称とし、２００６年６月１９日に提出された米国特許出願１１／４７１，０７２号の一部継続出願である。
米国特許出願１１／４７１，０７２号は、「仮想マシン上でのリプレイによる経験則に基づくキャプチャ」を発明の名称とし、２００６年４月２０日に提出された米国特許出願１１／４０９，３５５号の一部継続出願である。
米国特許出願１１／４０９，３５５号は、「コンピュータウイルスを検出するシステムおよび方法」を発明の名称とし、２００５年３月３１日に提出された米国特許出願１１／０９６，２８７号の一部継続出願であり、「コンピュータウイルス防御システムおよび方法」を発明の名称とし、２００５年６月１３日に提出された米国特許出願１１／１５２，２８６号の一部継続出願である。
米国特許出願１１／０９６，２８７号は、２００４年４月１日に提出された米国特許仮出願６０／５５９，１９８の優先権の利益を主張するものである。
米国特許出願１１／１５１，８１２号は、２００４年６月１４日に提出された米国特許仮出願６０／５７９，９５３の優先権の利益を主張するものである。
米国特許出願１１／１５２，２８６号は、２００４年６月１４日に提出された米国特許仮出願６０／５７９，９１０の優先権の利益を主張するものである。
上記各特許出願の内容は、ここに参照として取り込まれる。
【背景技術】
【０００２】
今日では、悪意あるネットワークコンテンツ（悪意あるソフトウェアやマルウェアなど）が、通信ネットワークを介して様々な装置を攻撃できる。例えば、マルウェアは、コンピュータユーザにとって有害なプログラムやファイルを含みうる。例えば、ボット、コンピュータウイルス、ワーム、トロイの木馬、アドウェア、スパイウェア、コンピュータユーザに関する情報を収集し、あるいは当該ユーザの許可なく動作するプログラムが挙げられる。
【０００３】
悪意あるネットワークコンテンツが引き起こしうる問題を防ぐために、様々な処理および装置が用いられている。例えば、コンピュータは、アンチウイルススキャンソフトを備えていることが多い。当該ソフトは、ウイルスについて特定のクライアント装置をスキャンする。コンピュータは、スパイウェアとアドウェアの少なくとも一方をスキャンするソフトウェアも備えている。スキャンの実行は、手動で、または特定のコンピュータやシステム管理者に関連付けられたユーザにより指定されたスケジュールに基づいて行なわれうる。残念ながら、スキャンソフトによってウイルスやスパイウェアが検出されるときまでに、コンピュータの損傷やプライバシーの喪失が発生している場合がある。加えて、新たなアンチウイルス署名が手作業で生成され、アンチウイルスアプリケーションが更新されるまでに数日から数週間を要する。その間に、マルウェアの製作者は、当該署名をかいくぐる新たなバージョンの作成を済ませてしまう。さらに、ポリモーフィック型エクスプロイトもまた、アンチウイルスアプリケーションの効果を制限する一因である。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
悪意あるネットワークコンテンツは、ウェブサイトを経由してネットワークに拡散されうる。当該ウェブサイトの例としては、ＨＴＴＰ標準に基づいてネットワーク上で動作するサーバが挙げられる。このようにして拡散された悪意あるネットワークコンテンツは、それをホストするウェブサイトにアクセスするのみで、積極的にダウンロードされ、ユーザのコンピュータにインストールされうる。その際、当該ユーザの承諾や認識を伴うことはない。悪意あるネットワークコンテンツをホストするウェブサイトは、悪意あるウェブサイトと称されることがある。悪意あるネットワークコンテンツは、悪意あるウェブサイトにホストされたウェブページに付随するデータに埋め込まれうる。例えば、ウェブページはジャバスクリプト（JABASCRIPT：登録商標）コードを含みうる。そして悪意あるネットワークコンテンツは、当該ジャバスクリプトコードに埋め込まれうる。この場合、ジャバスクリプトコードに埋め込まれた悪意あるネットワークコンテンツは、ジャバスクリプトコードが実行されるまでは、それが悪意あるネットワークコンテンツを含むことが明らかにならないように、難読化されうる。したがって、悪意あるネットワークコンテンツは、アンチウイルスソフト、ファイヤーウォール、侵入検知システムなどにより検出される前に、ユーザのコンピュータに対する攻撃や感染が可能である。
【０００５】
加えて、悪意あるネットワークコンテンツは、電子メッセージにより拡散されうる。電子メッセージは、ＰＯＰ、ＳＭＴＰ、ＩＭＡＰなどのプロトコルを用いる電子メール、および様々な形態のウェブベースメールを含む。悪意あるコンテンツは、当該メッセージに直接添付されうる（例えば、悪意あるマイクロソフトエクセル文書のように文書リーディングアプリケーションを悪用可能な文書として）。あるいは、当該電子メッセージは、ネットワーク上のいずこかにあるウェブサーバにホストされた悪意あるコンテンツへのＵＲＬリンクを含みうる。標的とされたユーザがそのようなリンクをクリックすると、当該ユーザは、上述したようにウェブを通じて感染を受けうる。電子メッセージを通じてユーザのコンピュータを感染させるこれらの技術は、特に組織における幹部や、主要な技術・業務スタッフのような「高価値な」ユーザを標的とする攻撃によく用いられうる。
【０００６】
必要とされているのは、電子メッセージを通じて伝搬する悪意あるコンテンツを検出する改善されたシステムである。
【課題を解決するための手段】
【０００７】
本技術は、電子メッセージに含まれるマルウェアについて当該メッセージを分析する。電子メッセージを分析するシステムは、マルウェアについて添付ファイルを分析するのが一般的である。電子メッセージの内容自体はテキストを含んでおり、当該テキストはマルウェアシステムによっては調べられないことが普通である。本技術は、電子メッセージのテキストを分析することによって、当該電子メッセージ自体におけるマルウェアコンテンツを検出および処理する。幾つかの実施形態において、本技術は、電子メッセージを分析することによって、ＵＲＬ（uniform resource location）を検出し、当該ＵＲＬが疑わしいものであるかを判断し、全ての疑わしいＵＲＬを分析してマルウェアであるかを判断する。当該分析は、仮想環境における疑わしいＵＲＬのリプレイを含みうる。当該リプレイは、対象の演算装置による当該メッセージの受信をシミュレートする。リプレイされたＵＲＬが悪意ありと判断された場合、当該ＵＲＬは、ブラックリストに加えられる。当該ブラックリストは、コンピュータシステム全体にわたり更新される。
【０００８】
一実施形態においては、ネットワークコンテンツ処理システムにより電子メッセージを受信することによって、悪意あるネットワークコンテンツが検出されうる。当該電子メッセージは、疑わしいとされたコンテンツを含むと判断されうる。当該疑わしい電子メッセージコンテンツは、仮想環境下で実行されうる。当該仮想環境下における実行に基づき、当該疑わしい電子メッセージコンテンツは、悪意ありと特定されうる。
【図面の簡単な説明】
【０００９】
【図１】悪意ある電子メッセージを検出するシステムの例を示すブロック図である。
【図２】電子メールマルウェア検出モジュールの例を示すブロック図である。
【図３】管理サーバの例を示すブロック図である。
【図４】悪意ある電子メッセージを検出する方法の例を示すフローチャートである。
【図５】疑わしいＵＲＬを判断する方法の例を示すフローチャートである。
【図６】複数の疑わしいＵＲＬを判断する方法の例を示すフローチャートである。
【図７】マルウェア検出システムを更新する方法の例を示すフローチャートである。
【図８】演算装置の例を示すブロック図である。
【発明を実施するための形態】
【００１０】
本技術は、電子メッセージに含まれるマルウェアについて当該メッセージを分析する。電子メッセージを分析するシステムは、マルウェアについて添付ファイルを分析するのが一般的である。分析は、仮想環境のような人口の環境において行なわれる。従前のシステムとは異なり、本技術は、電子メッセージのコンテンツを分析し、当該メッセージコンテンツ中のマルウェアを検出できる。例えば、当該コンテンツは、ＵＲＬ（uniform resource locator）アドレスを含みうる。当該ＵＲＬアドレスは、マルウェアと関連付けられていないかを判断するために分析されうる。加えて、本技術は、装置化された仮想環境において動作する現実のＯＳにおける添付物を分析できる。電子メール自体の内容の分析に加え、本技術は、マルウェアと関連付けられたロケーションを提供する電子メールの添付物を処理できる。当該添付物は、アプリケーション間で互換性を有する少なくとも１つのファイルを含みうる。当該アプリケーションは、マイクロソフト社（ワシントン州、レドモンド）のワード、エクセル、パワーポイントや、アドビシステムズ社（カリフォルニア州、サンホセ）のアドビリーダを含んでいる。
【００１１】
幾つかの実施形態において、本技術は、ＵＲＬを検出すべく電子メッセージを分析し、当該ＵＲＬが疑わしいものであるかを特定し、当該疑わしいＵＲＬがマルウェアと関連付けられたロケーションを記述しているかを判断できる。ＵＲＬが疑わしいものであるかを判断するにあたっては、当該ＵＲＬを少なくとも１つのＵＲＬを含むリストと比較する。例えば、当該ＵＲＬは、認めうるＵＲＬを含むホワイトリスト、マルウェアＵＲＬを含むブラックリスト、ＵＲＬの組合せを含むリストの少なくとも１つと比較されうる。当該ＵＲＬがいずれのリストにも見つからない場合、当該ＵＲＬは、マルウェアとも認めうるものとも判断されず、よって疑わしいものと判断されうる。
【００１２】
疑わしいＵＲＬを分析するにあたっては、当該疑わしいＵＲＬのリプレイが仮想環境において行なわれうる。リプレイとは、対象とする演算装置による電子メッセージの受信をシミュレートするものである。ＵＲＬをリプレイするにあたっては、仮想環境における仮想コンポーネントによってＵＲＬが実行され、ＵＲＬアドレスに配置されたコンテンツを要求できる。ＵＲＬ要求への応答として、当該仮想環境によりコンテンツが受信される。当該受信されたコンテンツは、当該仮想環境にロードされ、当該仮想環境がモニタされている間に実行される。リプレイされたＵＲＬが悪意あるものと判断されると、当該悪意あるＵＲＬは、ブラックリストに加えられる。当該ブラックリストは、コンピュータシステム全体にわたって更新される。
【００１３】
電子メッセージのコンテンツ（ＵＲＬなど）は、第１装置またはモジュールによって悪意あるものと判断されうる。第１装置またはモジュールは、電子メッセージを処理し、マルウェアを検出する。システムにおける他の第１装置またはモジュールは、ネットワークトラフィックを処理してマルウェアを検出できる。中央装置またはモジュールは、ネットワークトラフィックマルウェアモジュールおよび電子メッセージマルウェアモジュールの双方と通信できる。幾つかの実施形態において、当該中央モジュールは、悪意ありと検出されたＵＲＬを受信し、当該受信したＵＲＬに基づいて中央ＵＲＬブラックリストを更新し、当該更新されたＵＲＬブラックリストをネットワークトラフィックマルウェアモジュールと電子メールマルウェアモジュールの双方へ送信できる。これにより、電子メール中に示されたＵＲＬへの要求に対して返送されるウェブトラフィックを、ネットワークマルウェアモジュールにより詳細に調べさせうる。例えば、当該ウェブトラフィックが仮想環境でリプレイされることが好ましい。
【００１４】
図１は、悪意ある電子メッセージを検出するシステムの例を示すブロック図である。図１のシステムは、ソース装置１０５、ネットワーク１１０、およびマルウェア検出システム１００を含む。マルウェア検出システム１００は、ファイアウォール１２０、ウェブマルウェア検出装置１３０、電子メッセージサーバ１４０、電子メッセージマルウェア検出装置１５０、交換サーバ１６０、管理サーバ１７０、クライアント装置１８２、クライアント装置１８４、およびクライアント装置１８６を含む。ここで異なる装置として説明するシステム１００内のブロック（例えば、ウェブマルウェア検出装置１３０と電子メッセージマルウェア検出装置１５０）は、単一の装置や装置の組合せとして実現されうる。
【００１５】
ソース装置１０５は、電子メッセージおよびページコンテンツ（ウェブページコンテンツなど）を、ネットワーク１１０を通じてマルウェア検出システム１００へ送信できる。システム１００は、ファイアウォール１２０を通じてネットワークトラッフィクコンテンツを受信できるとともに、ネットワーク１１０経由で電子メッセージサーバ１４０を通じて電子メッセージコンテンツを受信できる。
【００１６】
ネットワーク１１０は、電子メッセージ、ページコンテンツなどのコンテンツを、ネットワーク１１０に接続された装置の間で送信できる。当該ネットワーク１１０は、マルウェア検出装置１３０、電子メッセージマルウェア検出装置１５０、およびソース装置１０５を含んでいる。ネットワーク１１０は、少なくとも１つのプライベートネットワーク、パブリックネットワーク、ＬＡＮ、ＷＡＮ、イントラネット、インターネット、およびこれらネットワークの組合せを含みうる。
【００１７】
ファイアウォール１２０は、許可されていないネットワークトラフィックを検出し、クライアント装置１８２、１８４、１８６との送受信を防止するハードウェアとソフトウェアの少なくとも一方からなる装置とされうる。ファイアウォール１２０は、ネットワーク１１０およびウェブマルウェア検出装置１３０と通信できる。
【００１８】
ウェブマルウェア検出装置１３０は、管理サーバ１７０およびクライアント装置１８２、１８４、１８６と通信できる。ウェブマルウェア検出装置１３０は、ネットワークトラフィックを阻止するように動作しうるとともに、阻止されたトラフィックを分析し、当該トラフィックがマルウェアであるかを判断できる。阻止されたトラフィックは、ウェブマルウェア検出装置１３０によってコピーされうるとともに、経験則などの技術を用いて分析されうる。経験則は、ネットワークトラフィックのうち疑わしい部分を特定するために用いられうる。ネットワークトラフィックのうち疑わしいと特定されなかった部分は、無視されうるとともに、ウェブマルウェア検出装置１３０を通過されうる。疑わしいネットワークトラフィックの部分は、当該トラフィックを仮想環境においてリプレイすることにより、分析されうる。当該リプレイはモニタされうるとともに、ウェブマルウェア検出装置１３０によってマルウェアコンテンツを特定するために用いられうる。仮想コンポーネントを用いて阻止されたトラフィックをリプレイするためのシステムは、「仮想環境コンポーネントを用いた悪意あるネットワークコンテンツの検出」を発明の名称とし、２００９年１月２３日に提出された米国特許出願１２／３５９，２５２号に記載されている。その開示内容は、ここに参照として取り込まれる。
【００１９】
電子メッセージサーバ１４０は、ネットワーク１１０と電子メッセージマルウェア検出装置１５０との間で、電子メッセージを送受信できる。
【００２０】
電子メッセージマルウェア検出装置１５０は、交換サーバ１６０、管理サーバ１７０、および電子メッセージサーバ１４０と通信できるとともに、メッセージ転送エージェント（ＭＴＡ）のような少なくとも１つの装置により実現されうる。電子メッセージマルウェア検出装置１５０は、クライアント装置１８２、１８４、１８６へ宛てられた電子メッセージトラフィックを阻止できる。電子メッセージマルウェア検出装置１５０は、ロジックを含みうる。当該ロジックは、電子メッセージサーバ１４０と送受信される電子メッセージを分析し、当該電子メッセージ内の悪意あるコンテンツを特定する。マルウェアの特定にあたっては、電子メッセージを疑わしいと特定し、当該疑わしい電子メッセージを分析して疑わしいコンテンツを特定し、当該疑わしいコンテンツを管理サーバ１７０に通信してシステム１００の残りの部分に伝えうる。疑わしい電子メッセージを分析するにあたっては、当該電子メッセージの一部を仮想環境においてリプレイし、当該コンテンツのリプレイを監視できる。幾つかの実施形態において、電子メッセージマルウェア検出装置１５０に調べられたコンテンツは、システム１００によって受信された電子メッセージのヘッダまたは本体において検出されたＵＲＬを含みうる。
【００２１】
交換サーバ１６０は、クライアント装置１８２、１８４、１８６と電子メッセージマルウェア検出装置１５０との間でメールを転送できる。管理サーバ１７０は、悪意あるＵＲＬの通知を受信し、受信したＵＲＬを集約し、管理サーバ１７０に保持されているブラックリストを更新できる。悪意あるＵＲＬの通知は、システム１５０またはシステム１３０より受信されうる。管理サーバ１７０は、ＵＲＬのブラックリストを、マルウェア検出装置および電子メッセージマルウェア検出装置（システム１００全体）へ送信することもできる。
【００２２】
クライアント装置１８２、１８４、１８６は、システム１００内において少なくとも１人のユーザがウェブページのようなネットワークコンテンツにアクセスするプログラムを実行し、インスタントメッセージ等の電子メッセージを送信できる類の装置とされうる。
【００２３】
図２は、電子メッセージマルウェア検出システムの例を示すブロック図である。図２に記載のシステムは、ネットワークタップ２１０、ＵＲＬアナライザ２２０、スケジューラ２３０、仮想環境コンポーネントプール２４０、仮想環境２５０、およびＵＲＬデータベース２６０を含む。ネットワークタップ２１０は、電子メッセージサーバ１４０と交換サーバ１６０の間で送信されるインスタントメッセージなどの電子メッセージを阻止できる。ネットワークタップ２１０は、当該電子メッセージのコピーを作成し、電子メッセージマルウェア検出装置１５０内で解析できる。電子メッセージは、電子メールなどのメッセージを含みうるが、ここで説明する電子メールは一例に過ぎない。
【００２４】
ＵＲＬアナライザ２２０は、検出された電子メッセージ中のＵＲＬを検出できる。ＵＲＬを検出するにあたっては、電子メッセージのヘッダと本体を構文解析し、当該電子メッセージ中のＵＲＬを特定する。メッセージ中にＵＲＬを検出すると、ＵＲＬアナライザ２２０は、当該ＵＲＬが疑わしいものであるかを判断し、疑わしいＵＲＬに対する分析を開始する。認可ＵＲＬのリスト（ホワイトリスト）にもマルウェアＵＲＬのリスト（ブラックリスト）にも表れないＵＲＬは、疑わしいＵＲＬとされうる。
【００２５】
疑わしいＵＲＬを検出すると、ＵＲＬアナライザ２２０は、当該ＵＲＬをスケジューラ２３０に提供する。スケジューラ２３０は、疑わしいＵＲＬを受け取り、仮想環境コンポーネントプール２４０から仮想環境コンポーネントを取得する。仮想環境コンポーネントは、電子メッセージを受信するように構成されたクライアント装置における現実のコンポーネント再現するように構成されたコンポーネントを含みうる。例えば、仮想環境は、仮想ＯＳ、仮想アプリケーション、および仮想ネットワークを含み、電子メッセージを受信するように構成された特定のクライアント装置に関連付けられたこれらを再現できる。そしてスケジューラ２３０は、仮想環境で当該ＵＲＬをリプレイするために、当該ＵＲＬおよび当該取得した仮想環境コンポーネントを、仮想環境２５０に提供する。
【００２６】
仮想環境２５０は、疑わしいＵＲＬと仮想環境コンポーネントを受け取り、当該仮想コンポーネントを有する仮想環境で当該ＵＲＬをリプレイする。当該ＵＲＬのリプレイは、疑わしいＵＲＬを「クリック」する操作の実行と同様とされうる。ＵＲＬのクリックを実行すると、コンテンツの要求が当該ＵＲＬへ送られ、当該ＵＲＬに関連付けられたネットワークサーバは、当該要求への応答としてコンテンツを提供する。そして要求への応答として受け取ったコンテンツは、仮想環境によって処理される。当該環境はモニタされ、望ましくない挙動が発生しないかが判断される。当該ＵＲＬに関連付けられたコンテンツをロードすることによって望ましくない挙動が発生した場合、当該ＵＲＬは、電子メッセージマルウェア検出装置１５０によってマルウェアと判断され、ブラックリストに加えられる。望ましくない挙動の例としては、許可されていないデータの要求、ネットワークを通じたデータの送受信、データの処理と保存の少なくとも一方、レジストリ値の変更、ファイルのインストール、ファイルの実行などの動作が挙げられる。内部マルウェアブラックリストは、管理サーバ１７０に送信される。
【００２７】
ＵＲＬデータベース２６０は、ブラックＵＲＬリスト２６２とホワイトＵＲＬリスト２６４を含む。ＵＲＬアナライザは、電子メッセージ中に検出されたＵＲＬを、ブラックＵＲＬリスト２６２と比較し、一致の有無を判断できる。一致が存在する場合、当該ＵＲＬは、マルウェアとして検出され、当該電子メッセージはブロックされうる。あるいは当該ＵＲＬが当該電子メッセージから除去されうる。当該ＵＲＬが当該電子メッセージから除去されると、当該ＵＲＬが除去された旨を示す警告が（例えばメッセージ内において）生成され、管理者に通知されうる。検出されたＵＲＬがホワイトＵＲＬリスト２６４上のＵＲＬと一致する場合、当該ＵＲＬは受け入れ可能と判断され、さらなる処理は行なわれない。検出されたＵＲＬがブラックＵＲＬリスト２６２上のＵＲＬとも、ホワイトＵＲＬリスト２６４上のＵＲＬとも一致しない場合、当該ＵＲＬは、疑わしいものと特定され、仮想環境で処理される。
【００２８】
図３は、管理サーバの例を示すブロック図である。図３に示す管理サーバ１８０は、ＵＲＬアグリゲータ３１０、ＵＲＬブラックリスト３２０、および通信マネージャ３３０を含む。ＵＲＬアグリゲータ３１０は、取得したＵＲＬを集約し、ＵＲＬブラックリスト３２０に保存する。ＵＲＬブラックリスト３２０は、悪意ありと確認されたＵＲＬのリストであり、管理サーバ１８０によって維持される。通信マネージャ３３０は、システム１００内の電子メッセージマルウェア検出システムおよびウェブマルウェア検出システムからＵＲＬを受信できる。通信マネージャ３３０は、当該ＵＲＬをＵＲＬアグリゲータ３１０に提供できる。これにより当該ＵＲＬを集約し、管理サーバ１８０に維持されているＵＲＬブラックリスト３２０を更新する。通信マネージャ３３０は、現在のＵＲＬブラックリストを、システム１００内のマルウェア検出システムへ送ることもできる。
【００２９】
図４は、悪意ある電子メッセージを検出する方法の例を示すフローチャートである。ここでは電子メッセージについて図４の説明を行なうが、インスタントメッセージなどの電子メッセージや、その他の型式の通信が、本技術により処理されうる。
【００３０】
ステップ４０５では、電子メッセージが受信される。電子メッセージは、電子メッセージサーバ１４０を介して電子メッセージマルウェア検出システム１５０によって受信されうる。電子メッセージと当該メッセージへの添付物の少なくとも一方が、ＵＲＬを検出するためにスキャンされうる（ステップ４１０）。電子メッセージは、ＵＲＬアナライザモジュールによってスキャンされうる。これにより、当該電子メッセージのヘッダや本体などの部分におけるＵＲＬを検出する。添付物は、当該添付物内のＵＲＬを検出するためにスキャンされうる。例えば、添付物がワードプロセッサ文書やスプレッドシートである場合、当該ワードプロセッサ文書のテキスト内におけるＵＲＬや、当該スプレッドシートのセル内におけるＵＲＬを検出するために、当該添付物がスキャンされうる。
【００３１】
検出されたＵＲＬは、マルウェア検出システムへ送信されうる（ステップ４１５）。当該マルウェア検出システムは、電子メッセージマルウェア検出システム１５０においてローカルに含まれてもよいし、検出モジュール１５０の外部に含まれてもよい。例えば、電子メッセージマルウェア検出システム１５０は、検出されたＵＲＬを、ウェブマルウェア検出システム１３０へ転送し、当該ＵＲＬが悪意あるものであるかを判断できる。幾つかの実施形態においては、ＵＲＬは、さらなる処理のために電子メッセージマルウェア検出システム１５０にローカル保存される（ステップ４１５）。
【００３２】
検出されたＵＲＬの中から、疑わしいＵＲＬが特定されうる（ステップ４２０）。ＵＲＬが、電子メッセージマルウェア検出システム１５０に維持されている（または検出モジュール１５０によりアクセス可能な）ブラックリストのＵＲＬにもホワイトリストのＵＲＬにも一致しない場合、当該ＵＲＬは疑わしいものと特定されうる。疑わしいＵＲＬの特定については、図５に記載の方法を参照してより詳細に説明する。
【００３３】
疑わしいＵＲＬは、悪意あるＵＲＬを検出するために仮想環境コンポーネントを用いて分析される（ステップ４２５）。疑わしいＵＲＬを分析するにあたっては、仮想コンポーネントが選択される。仮想コンポーネントの例としては、仮想ＯＳ、仮想アプリケーション、仮想ネットワークが挙げられる。また当該仮想コンポーネントで仮想環境の追加構成が行なわれる。そして当該仮想環境で当該ＵＲＬが処理される。当該ＵＲＬの処理にあたっては、当該仮想環境で当該ＵＲＬの「クリック」動作が行なわれることにより、当該ＵＲＬがリプレイされる。当該ＵＲＬのクリック操作によって受信するコンテンツが当該仮想環境に望ましくない挙動をもたらす場合、当該ＵＲＬは悪意あるものと特定されうる。望ましくない挙動の例としては、ＯＳ設定・構成の変更、仮想環境で実行可能なファイルの実行、望ましくないデータの送信などの動作の企てが挙げられる。幾つかの実施形態においては、望ましくない挙動は、予期せぬ挙動を含みうる。ＵＲＬのクリック操作により望ましくない挙動が発生しなければ、当該ＵＲＬは受け入れ可能なものと判断され、ホワイトリストに加えられる。
【００３４】
マルウェア検出システムは、検出されたマルウェアＵＲＬに基づいて更新されうる（ステップ４３０）。更新にあたっては、悪意あるＵＲＬがシステムの他の部分に伝えられる。例えば、電子メッセージマルウェア検出システム１５０は、少なくとも１つの悪意あるＵＲＬを、管理サーバ１７０に伝えうる。当該サーバ１７０は、更新されたブラックリストを介して、システム１００内のウェブマルウェア検出システムと電子メッセージマルウェア検出システムに当該ＵＲＬを伝えうる。マルウェア検出システムの更新については、図７に記載の方法を参照してより詳細に説明する。
【００３５】
少なくとも１つの要因が、疑わしいＵＲＬの判断手法と、当該ＵＲＬがマルウェアに関連づけられているかの判断手法の少なくとも一方に影響を及ぼしうる。一実施形態においては、電子メールにおいて検出されたＵＲＬは、電子メッセージマルウェア検出システム１５０によってウェブマルウェア検出システム１３０へ転送されうる。例えばユーザの選択や当該ＵＲＬの「クリック」への応答として、コンテンツが当該ＵＲＬによって要求されていることが検出されると、ウェブマルウェア検出システム１３０は、当該検出されたＵＲＬの優先度を高くできる。これにより、疑わしいものであるかの判断と、マルウェアと関連付けられているかの判断の少なくとも一方を行なうために、当該ＵＲＬが分析される。本実施形態においては、当該ＵＲＬは、コンテンツが当該ＵＲＬによって実際に要求されているものであると判断されるまで、ウェブマルウェア検出システム１３０によっては処理されない。
【００３６】
ファイアウォール１２０を通過するネットワークトラフィックにおいて、多くのＵＲＬが、ウェブマルウェア検出システム１３０によって検出されうる。ウェブマルウェア検出システム１３０によって検出された少なくとも１つのＵＲＬは、分析の優先度が付与されうる。高い優先度のＵＲＬは、低い優先度のＵＲＬより先に、疑わしいものであるか、あるいはマルウェアと関連付けられているかを判断するために分析される。幾つかの実施形態において、電子メールにおいて検出されたＵＲＬは、ウェブマルウェア検出システム１３０によってネットワークトラフィックにおいて検出されたＵＲＬよりも低い優先度が与えられる。ＵＲＬが電子メールとネットワークトラフィックの双方に存在すると判断されると（すなわち、順番を問わず電子メッセージマルウェア検出システム１５０とウェブマルウェア検出システム１３０の双方により検出されると）、当該ＵＲＬの優先度は高められうる。優先度の高まり度合いは、ＵＲＬの処理に利用可能なリソースに依存しうる。例えば、疑わしいＵＲＬの処理に利用可能な仮想環境やコンポーネントの数が少ない場合、優先度の高まり度合いは小さい。ＵＲＬの処理に利用可能な仮想環境やコンポーネントの数が多い場合、優先度の高まり度合いは大きい。よって、処理されるＵＲＬの優先度は、全ての電子メールＵＲＬの検査に必要な負荷を許容しつつ、高負荷によるウェブマルウェア検出システム１３０の通常機能の低下を避けるように、調節されうる。
【００３７】
図５は、疑わしいＵＲＬを特定する方法の例を示すフローチャートである。幾つかの実施形態において、図５に記載の方法は、図４に記載の方法におけるステップ４２０の詳細を示している。電子メッセージにおいて検出された各ＵＲＬは、ＵＲＬホワイトリストと比較される（ステップ５０５）。ＵＲＬホワイトリストは、電子メッセージマルウェア検出システム１５０において維持されうる。ＵＲＬホワイトリストは、受け入れ可能なＵＲＬやＵＲＬドメインを含みうる。ＵＲＬホワイトリストに一致するＵＲＬは、無視される（ステップ５１０）。ＵＲＬホワイトリストに一致するＵＲＬは、疑わしいものではないと判断され、所定のクライアント装置への通過が許可される。
【００３８】
検出されたＵＲＬがホワイトリストにない場合、次にＵＲＬブラックリストと比較される（ステップ５１５）。ブラックリストのＵＲＬは、悪意があるものとして知られており、クライアント装置と関連付けられたユーザへ通過させるべきではない。検出されたＵＲＬがブラックリストのＵＲＬと一致する場合、当該ＵＲＬはブロックおよび報告され（ステップ５２０）、受け手のクライアント装置への提供が防がれる。ＵＲＬは、電子メッセージ全体の送信ブロックや、電子メッセージからの当該ＵＲＬの除去などの手法によって、送達が防止されうる。ホワイトリストのＵＲＬとブラックリストのＵＲＬのいずれにも一致しないＵＲＬは、疑わしいＵＲＬとして特定される（ステップ５２６）。残りのＵＲＬは、それが受け入れ可能なものであるか悪意あるものかが判らないため、疑わしいものとされる。
【００３９】
図６は、悪意あるＵＲＬを特定する方法の例を示すフローチャートである。図６に記載の方法は、図５に記載の方法におけるステップ５２５の詳細を示している。まず疑わしいＵＲＬが選択され、仮想環境で分析される（ステップ６０５）。幾つかのＵＲＬは、分析のために高い優先度で重みづけがなされる。優先度の高いＵＲＬは、優先度の低いＵＲＬよりも、分析待ち行列において優先度の高い位置に配置される。優先度は、ユーザによって、本システムにより実行される学習などの手法に基づいて、ＵＲＬと関連付けられうる。優先度は、ＵＲＬドメイン、ＵＲＬ中のキーワード、電子メッセージ内におけるＵＲＬの配置などの因子と関連付けられうる。
【００４０】
本システムは、仮想環境アプリケーション、仮想ＯＳ、および仮想ネットワークコンポーネントを構成できる（ステップ６１０）。これらの仮想コンポーネントは、スケジューラによってコンポーネントプールより取得されうる。ＵＲＬは、仮想コンポーネントにより構成された仮想環境において分析されうる（ステップ６１５）。ＵＲＬを分析するにあたっては、当該ＵＲＬが「クリック」操作されることによりリプレイされうる。クリック操作が検出されると、アプリケーションは、コンテンツ要求メッセージを当該ＵＲＬへ送信し、当該ＵＲＬ要求に対する応答メッセージを受信できる。例えば、ＵＲＬ要求に対する応答としてアプリケーションにより受信されたコンテンツを提供するために、ネットワークブラウザが実行されうる。ＵＲＬコンテンツの受信に応じて仮想環境で実行される動作は記録され、当該ＵＲＬが悪意あるものであるかを判断するために分析されうる。
【００４１】
ステップ６２０では、悪意あるＵＲＬが特定されうる。悪意あるＵＲＬの特定は、疑わしいＵＲＬが仮想環境でリプレイされることにより生ずる動作や変化に基づきうる。悪意あるＵＲＬを示す動作としては、ＯＳ構成の変更、要求実行、インストールの試み、ファイルの実行など、当該ＵＲＬが示す場所から取得されたコンテンツに応じて実行される動作が挙げられる。
【００４２】
図７は、マルウェア検出システムを更新する方法の例を示すフローチャートである。図７に記載の方法は、図４に記載の方法におけるステップ４３０の詳細を示している。まず管理サーバが、電子メッセージマルウェア検出システムによって検出された悪意あるＵＲＬを受信する（ステップ７０５）。そして当該悪意あるＵＲＬは、管理サーバによって集約される（ステップ７１０）。ＵＲＬブラックリストは、集約された悪意あるＵＲＬによって更新される（ステップ７１５）。そして管理サーバは、当該更新されたＵＲＬブラックリストを、電子メッセージマルウェア検出システムとウェブマルウェア検出システムへ送信できる（ステップ７２０）。当該更新されたＵＲＬブラックリストの送信は、要求に基づいて実行されうる。当該要求は、周期的、特定のイベント発生したとき（ＵＲＬブラックリストの変更回数が所定値に達した場合など）に実行されうる。
【００４３】
本技術の応用にあたっては、到来する電子メッセージにおいて確認される全てのＵＲＬからコンテンツをフェッチすることは望ましくない。そのような「クリック」は、通信プロトコルとしてウェブ（ＨＴＴＰ）を用いるアプリケーションに望ましくない副作用をもたらしうる。したがって、代わりの方法として、電子メッセージにより受信されたすべてのＵＲＬがウェブマルウェア検出システムへ送られ、ウェブコンテンツの特定部分が以前に電子メッセージ（電子メールなど）に現れたかを調べる確率を上げるために用いられる。よって「標的を絞ったスピアーフィッシング」攻撃（悪意あるＵＲＬが特定の電子メールアドレスに送られ、受信者にリンクをクリックさせるように仕向ける）が、受信者が実際にクリックをした場合にのみ、マルウェア検出システムによって検査される。
【００４４】
電子メッセージに見られる多くのＵＲＬは、ウェブ経由でもアクセスされるため、本発明は、ウェブコンテンツを検査する優先度を高くするために用いられる「電子メール優先度強化」を設定する動的な方法も含む。当該方法は、ウェブマルウェア検出システムの能力の全ての部分を、電子メッセージマルウェア検出システムにより以前に確認されたＵＲＬを調べるために注力させることにより行なわれる。この「電子メール優先度強化」は、ウェブマルウェア検出システムで利用可能な仮想実行環境における特定の部分を標的とするために調整されうる。これにより、他のウェブマルウェア検出機能の損失をもたらすウェブマルウェア検出システムの過負荷が回避されつつ、システム負荷が許す限りにおいて電子メッセージ中に見られるＵＲＬの完全な検査が可能とされる。
【００４５】
図８は、演算装置の例を示すブロック図である。図８に記載の演算装置は、図１に記載のシステム１００における少なくとも１つの装置を実現するために用いられうる。当該少なくとも１つ装置は、ファイアウォール１２０、ウェブマルウェア検出装置１３０、電子メールサーバ１４０、電子メールマルウェア検出装置１５０、管理サーバ１７０、交換サーバ１６０、クライアント装置１８２〜１８６を含むが、これらに限定されるものではない。図８は、悪意あるネットワークコンテンツ検出装置の例を示すブロック図である。幾つかの実施形態において、図８に記載の方法は、図１に記載の悪意あるネットワークコンテンツ検出システム１２５の詳細を示している。
【００４６】
悪意あるネットワークコンテンツ検出システム１２５は、少なくとも１つのプロセッサ８０５、メモリシステム８１０、およびストレージシステム８１５を備えている。これらの各々は、データバス８２０と通信可能に接続されている。幾つかの実施形態において、データバス８２０は、少なくとも１つのデータバスによって実現されうる。悪意あるネットワークコンテンツ検出システム１２５は、通信ネットワークインターフェース８２５、入出力（Ｉ／Ｏ）インターフェース８３０、および表示インターフェース８３５も備えている。通信ネットワークインターフェース８２５は、通信媒体８４０を介してネットワーク１２０と通信可能に接続されている。幾つかの実施形態において、悪意あるネットワークコンテンツ検出システム１２５は、ネットワークタップ１１５のようなネットワークタップと接続され、結果としてネットワーク１２０と通信可能に接続されうる。バス９２０は、通信ネットワークインターフェース８２５、プロセッサ８０５、メモリシステム８１０、ストレージシステム８１５、Ｉ／Ｏインターフェース８３０、および表示インターフェース８３５間の通信を提供する。
【００４７】
通信ネットワークインターフェース８２５は、他のデジタル装置（図示せず）と通信媒体８４０を介して通信できる。プロセッサ８０５は、プロセッサが読み取り可能な記憶媒体に保存されうる命令群を実行する。メモリシステム８１０は、データを永続的あるいは一時的に保存できる。メモリシステム８１０の例としては、ＲＡＭやＲＯＭが挙げられる。ストレージシステム８１５もまたデータを永続的あるいは一時的に保存できる。ストレージシステム８１５の例としては、ハードディスクやディスクドライブが挙げられる。Ｉ／Ｏインターフェース８３０は、ユーザから入力を受け付け、ユーザへ出力を提供する装置を含みうる。Ｉ／Ｏインターフェース８３０は、キーボード、マウス、タッチスクリーン、キーパッド、生体センサ、コンパクトディスク（ＣＤ）ドライブ、デジタルビデオディスク（ＤＶＤ）ドライブ、光ディスクドライブ、フロッピー（登録商標）ディスクドライブを含むが、これらに限られるものではない。表示インターフェース８３５は、ディスプレイ、モニタ、スクリーンをサポートするように構成されたインターフェースを含みうる。幾つかの実施形態において、悪意あるネットワークコンテンツ検出システム１２５は、ユーザに当該システムを制御できるようにするために、当該ユーザにモニタを通じて表示されるグラフィカルユーザインターフェースを備える。
【００４８】
これまでの本技術に係る詳細な説明は、例示を目的としたものである。本技術を開示した通りの形態に限定する意図はない。上記の教示に基づく多くの変形や変更が可能である。上記の実施形態は、本技術の本質部分を最もよく説明するものとして選ばれており、これにより当業者は、様々な実施形態（様々な変形を伴う）の本技術を利用して、意図された特定の用途に合うように実際の応用を行なうことができる。本技術の範囲は、添付の特許請求の範囲により定められることを意図している。
【図１】
0006013455.tif 000002
【図２】
0006013455.tif 000003
【図３】
0006013455.tif 000004
【図４】
0006013455.tif 000005
【図５】
0006013455.tif 000006
【図６】
0006013455.tif 000007
【図７】
0006013455.tif 000008
【図８】
0006013455.tif 000009