(57)【要約】【課題】組織内の利用者が多くなると、不正又は脅威メールによる悪影響を防止するために、専用のアプリケーションを利用者毎に導入すること、或いは、Ｗｅｂプロキシサーバによってアクセス制限することは費用、手間がかかる。【解決手段】受信したメールのプロトコル情報を参照して、当該メールのコマンド情報を検査処理することによって、当該メールの脅威の有無を検査処理する検査処理部を備えたメール配送サーバが得られる。【選択図】図１
2018151739.tif 000002
【特許請求の範囲】
【請求項１】
メールを受信して処理するメール受信処理装置と、メールを検査処理するメール検査処理部とを備え、前記メール検査処理部は前記メール受信処理部で受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出することを特徴とするメール配送サーバ。
【請求項２】
前記メール検査処理部における検査の結果、前記メールの脅威が検出され、且つ、前記メール中にURLが含まれている場合、前記URLを抽出するメール抽出部を更に備えていることを特徴とする請求項１記載のメール配送サーバ。
【請求項３】
前記プロトコル情報はSMTPプロトコルコマンド情報であり、前記SMTPプロトコル情報はMAIL FROMコマンド及びRCPT TOコマンドを含んでいることを特徴とする特徴とする請求項１又は２記載のメール配送サーバ。
【請求項４】
請求項２又は３に記載のメール配送サーバと、前記メールの脅威が検出され、且つ、当該メールに前記URLが含まれている場合、前記メールに含まれる前記URLを格納する脅威URL一覧と、前記脅威URLを参照するＷｅｂプロキシサーバを含み、前記メール配送サーバ及び前記Ｗｅｂプロキシサーバは組織内ネットワークに接続されていることを特徴とする通信システム。
【請求項５】
前記組織内ネットワークは組織外ネットワークに接続されていることを特徴とする請求項４記載の通信システム。
【請求項６】
前記メール中に含まれる脅威URLがアクセスされると、前記Ｗｅｂプロキシサーバは前記脅威URL一覧にアクセスして、当該脅威URLであることを検出して、取得エラーであることを表示するメール表示装置を有することを特徴とする請求項４又は５記載の通信システム。
【請求項７】
前記メール表示装置には、前記脅威URLに対する外部取得情報が表示されないことを特徴とする請求項６記載の通信システム。
【請求項８】
前記脅威URL一覧と共に、手動で管理される脅威URL一覧を備えていることを特徴とする請求項４〜７のいずれか一項に記載の通信システム。
【請求項９】
メール配送サーバで実行されるメール配送方法であって、前記メール配送サーバはメールを受信して処理するステップと、メールを検査処理するステップを備え、前記メール検査処理ステップは前記受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出すると共に、前記メールの脅威が検出されると、前記メールのURLを抽出することを特徴とするメール配送方法。
【請求項１０】
コンピュータに、メールを受信して処理し、処理されたメールのURLを抽出する前に、前記メールのプロトコル情報を検査して、当該メールの脅威の有無を検出する処理を実行させるコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はメール配送装置及びＷｅｂプロキシサーバに関する。
【背景技術】
【０００２】
一般に、メール中に悪意のあるサイトへのURL（Uniform Resource Locator）を含めるような攻撃手法は存在している。具体的に説明すると、所謂標的型攻撃と呼ばれる手法を使った脅威が広く存在しており、利用者宛てに有害なURL等を含むメールを送付し、利用者の不注意等でこれらにアクセスすることで侵入を試みるといった攻撃手法が問題とされている。
【０００３】
この場合、アクセス先が有害かどうかを一利用者が判断するのは難しいため、利用者毎に専用のアプリケーションを導入する方法、或いは、Ｗｅｂプロキシサーバを導入する方法による対策が提案されている。
【０００４】
前者の方法では、実際に悪意のあるサイトから受信したデータやプログラムに脅威が存在しないかどうかを専用のアプリケーションを使って、判定・予防している。
【０００５】
一方、後者の方法では、Ｗｅｂプロキシサーバの運用者が個別にアクセス先を制限するように設定を変更するか、或いは、外部のアクセス制限リストを参照することによって、有害メールに対する応答を制限している。
【０００６】
しかしながら、専用のアプリケーションを導入する方法は、導入・運用のための費用・手間が大きい。このことは、組織の規模が大きくなればなるほど、導入に費用が掛かることを意味している。また、適切に検出パターンや検出用エンジンの更新を行うといった運用を徹底する必要があり、一部の利用者において更新ができていないために攻撃を成功させてしまうという問題もあった。
【０００７】
他方、組織内から外部のＷｅｂサイトに対するアクセスの際、Ｗｅｂプロキシサーバを使用する方法は、運用者による制限あるいは外部のアクセス制限リストの更新までの時間差が存在するという問題があり、これらの費用、手間、時間差を低減させることが課題であった。
【０００８】
また、特許文献１は、メールを受信した利用者が悪意のあるサイトへアクセスするのを防止する方法を記載している。具体的には、この方法は、受信したメール中のURLを抽出し、予め定められたURL判定条件を用いて当該URLが悪意のあるサイトであるか否かを判定するメールサーバを使用している。当該メールサーバにおけるURL判定条件として、全て１バイト文字で表現されていること、及び全て大文字若しくは小文字で表現されていることが挙げられている。上記２種類の判定条件を満足しない受信メールは誘導URLの可能性ありと判定している。
【０００９】
更に、特許文献１では、誘導URLに関するデータは誘導URLデータベースに登録しておき、Ｗｅｂサーバへのアクセス要求があった場合、プロキシサーバによって誘導URLデータベースを検索し、誘導URLが存在した場合、利用者に誘導URLのドメイン名、IP（Internet Protocol）アドレス等を送信している。したがって、特許文献１では、受信メールの妥当性の判断は利用者に任せている。
【００１０】
特許文献２は、電子メール本文中及び添付ファイル中のURLを抽出しておき、抽出されたすべての当該URLへのアクセスにおいて都度セキュアプロキシサーバを利用して安全性を確認するシステムを開示している。
【先行技術文献】
【特許文献】
【００１１】
【特許文献１】特開２００７−２５７８９号公報
【特許文献２】特開２０１３−２４６４７４号公報
【発明の概要】
【発明が解決しようとする課題】
【００１２】
本発明の課題は、各利用者に専用のアプリケーションを導入する必要がないメール配送装置（サーバ）を提供することである。
【００１３】
本発明の他の課題は、メールの脅威をURLの抽出以外の手法により検出するメール配送サーバ、当該メール配送サーバを含む通信システムを提供することである。
【００１４】
本発明の別の課題は、設定操作の実施やアクセス制限リストの更新を待つことなく効果的に脅威を防ぐことができるＷｅｂプロキシサーバを提供することである。
【課題を解決するための手段】
【００１５】
本発明は、脅威を含む可能性のあるURLを含むメール自身を、メール配送装置で検査し、当該検査結果に基づいてURLを抽出し、当該メール配送装置をＷｅｂプロキシサーバと連動させることによって、脅威メールによる影響を軽減する。
【００１６】
具体的に説明すると、本発明の一態様によれば、メールを受信して処理するメール受信処理装置と、メールを検査処理するメール検査処理部とを備え、前記メール検査処理部は前記メール受信処理部で受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出するメール配送サーバが得られる。
【００１７】
本発明の別の態様によれば、前記メール検査処理部における検査の結果、前記メールの脅威が検出され、且つ、前記メール中にURLが含まれている場合、前記URLを抽出するメール抽出部を更に備えているメール配送サーバが得られる。前記プロトコル情報はSMTP（Simple Mail Transfer Protocol）プロトコルコマンド情報である。また、前記SMTPプロトコル情報はMAIL FROMコマンド及びRCPT TOコマンドを含んでいる。
【００１８】
本発明の更に別の態様によれば、上記したメール配送サーバと、前記メールの脅威が検出され、且つ、当該メールに前記URLが含まれている場合、前記メールに含まれる前記URLを格納する脅威URL一覧と、前記脅威URLを参照するＷｅｂプロキシサーバを含み、前記メール配送サーバ及び前記Ｗｅｂプロキシサーバは組織内ネットワークに接続されている通信システムが得られる。
【００１９】
本発明の別の態様によれば、メールを受信して処理するステップと、メールを検査処理するステップを備え、前記メール検査処理ステップは前記受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出すると共に、前記メールの脅威が検出されると、前記メールのURLを抽出することを特徴とするメール配送方法が得られる。
【発明の効果】
【００２０】
本発明は、メール配送の過程で行う、SPAM,成りすまし,ウィルス入りなどの不正なメールの検出結果に基づき、そのメール中のURLを抽出して、Ｗｅｂプロキシサーバからアクセス制御対象として参照させる。これによって、組織内から外部へのＷｅｂブラウザ等のアクセスを効率的かつ効果的に抑制することで標的型攻撃等の脅威へ対策を実現できる。
【００２１】
また、本発明は、不正メールを一括して管理できるため、組織の規模が大きくなればなる程、即ち、利用者の数が多くなればなる程、経済性において有利である。
【図面の簡単な説明】
【００２２】
【図１】本発明に係るメール配送装置（サーバ）を含む通信システムを概略的に説明する図である。
【図２】本発明に係る通信システムに用いられるメール配送装置（サーバ）及びＷｅｂプロキシサーバの構成を説明する図である。
【図３】本発明の一実施形態に係るメール配送装置及びＷｅｂプロキシサーバの動作をより具体的に説明するフローチャートである。
【図４】図２に示されたメール表示装置及びＷｅｂプロキシサーバの動作を説明するフローチャートである。
【図５】ブラックリストに登録されるURLの例を説明する図である。
【図６】本発明の他の実施形態に係るメール配送装置及びＷｅｂプロキシサーバの構成を説明する図である。
【図７】図６に係るメール配送装置及びＷｅｂプロキシサーバの動作を説明するフローチャートである。
【発明を実施するための形態】
【００２３】
図１を参照して、本発明に係るメール配送装置（サーバ）を含む通信システムの概略構成を説明する。図示された通信システムは、会社、自治体等の組織内に設けられた組織内ネットワーク１１と、組織外に設けられた組織外ネットワーク、例えば、インターネット１２を含んでいる。
【００２４】
・組織内ネットワーク１１：
組織内ネットワーク１１は組織内の各サーバ間の通信に利用される。ここでは、組織内ネットワーク１１から組織外ネットワーク１２には特定のサーバや要求元からのみアクセスできるように制御されるものとする。
【００２５】
・組織外ネットワーク１２：
ここでは、組織外ネットワーク１２が所謂インターネットの場合について説明するが、本発明は必ずしもインターネットに限定されない。
【００２６】
図示された組織内ネットワーク１１には、本発明に係るメール配送サーバ（装置）１１１及びＷｅｂプロキシサーバ１１２の他に、メール格納サーバ１１３、及びメール表示装置１１４が接続されている。また、メール配送装置（サーバ）１１１及びＷｅｂプロキシサーバ１１２はデータベースの一部を構成する脅威一覧URL一覧１１５に結合されている。脅威一覧URL移置１１５の動作については後述する。
【００２７】
図２を参照すると、図１に示された通信システムのうち、メール配送サーバ１１１及びＷｅｂプロキシサーバ１１２の構成がより具体的に示されている。メール配送サーバ１１１は、組織外ネットワーク１２から届いたメールを、組織内ネットワーク１１経由で受け取る機能と、受け取ったメールの内容の走査とその結果に応じて、メール格納サーバ１１３に配送する機能、及び、脅威URL一覧１１５を更新する機能を有している。
【００２８】
メール配送サーバ１１１の内部は機能的に及び論理的に以下の処理部部分に分けることができるが、機械的に分割されている必要はない。
【００２９】
図示されたメール配送サーバ１１１はメール受信処理部２１、メール検査処理部２２、メールURL抽出部２３、脅威URL更新処理部２４、及びメール格納処理部２５を含んでいる。図２において、メール受信処理部２１は組織内ネットワーク１１及びメール検査処理部２２に接続され、また、メール検査処理部２２はメールURL抽出部２３及びメール格納処理部２５に結合されている。更に、メールURL抽出部２３は脅威URL更新処理部２４に接続されると共に、脅威URL更新処理部２４は脅威URL一覧１１５に結合されている。メール格納処理部２５は組織内ネットワーク１１を介してメール格納サーバ１１３に結合されている。
【００３０】
ここで、メール配送サーバ１１１を構成する各部の機能をより具体的に説明する。
【００３１】
・メール受信処理部２１：
メール受信処理部２１は、所謂SMTPプロトコル経由でメールを受け取る機能を提供する。受け取ったメールとその時の使ったSMTPプロトコルのコマンド情報（MAIL FROMコマンドやRCPT TOコマンドの内容）は一時的にメール配送サーバ１１１内に保持され以降の処理で参照される。以下では、プロトコルに関連するコマンド情報を含む情報をプロトコル情報と呼ぶ。
【００３２】
・メール検査処理部２２：
メール検査処理部２２はメール受信処理部２１で受け取ったメールの内容やSMTPプロトコルのコマンド情報を基にメールが脅威を含むものかどうかを判断する処理部分である。
【００３３】
例えば、メール検査処理部２２はメールの発信者を詐称する成りすましメールかどうかの判断や、メールの内容がSPAMやウィルスを含むものかどうかを判断する。当該メール検査処理部２２はメール受信処理部２１で受け取ったメールの内容やSMTPプロトコルのコマンド情報を基にメールが脅威を含むものかどうかを判断するコンピュータプログラムによって構成されている。
【００３４】
・メールURL抽出部２３：
メールURL抽出部２３は、メールの内容を走査し、文中やメールデータ内に含まれるURLを列挙する機能を有する。メールの内容はRFC822等の規約で定められた書式に従っており、メールURL抽出部２３は、この書式の解析を行ったうえで、URLの書式を定めたRFC3986等の仕様に基づいた文字列を見つけることで実現する。
【００３５】
・脅威URL更新処理部２４：
脅威URL更新処理部２４はメールURL抽出部２３における処理で得られたURLを脅威URL一覧１１５に反映する処理を行う。
【００３６】
・メール格納処理部２５：
メール格納処理部２５は組織内部宛てのメールを実際に格納するメール格納サーバ１１３に渡す機能を持つ。
【００３７】
次に、メール格納サーバ１１３、Ｗｅｂプロキシサーバ１１２、及びメール表示装置１１４の機能を具体的に説明する。
【００３８】
・メール格納サーバ１１３：
メール配送サーバ１１１を経由したメールを所定の利用者毎に格納する機能を持つ。また、メール表示装置１１４からの要求に応じて格納されているメールの内容や一覧を応答する機能をもつ。
【００３９】
・Ｗｅｂプロキシサーバ１１２：
Ｗｅｂプロキシサーバ１１２はリクエスト発行部２６、リクエスト解析部２７、及びリクエスト受信部２８を含み、リクエスト受信部２８はメール表示装置１１４に結合されており、且つ、Ｗｅｂプロキシサーバ１２内のリクエスト解析部２７に結合されている。更に、リクエスト解析部２７はリクエスト発行部２６に結合され、且つ、脅威URL一覧１１５にも結合されている。
【００４０】
Ｗｅｂプロキシサーバ１１２は、組織内ネットワーク１１に存在するメール表示装置１１４やＷｅｂブラウザからアクセスされ、要求されたURLの情報を組織外ネットワーク１２から取得して、要求元に応答する機能を持つ。Ｗｅｂプロキシサーバ１１２の内部では以下の処理部分に分かれている。
【００４１】
・リクエスト受信部２８：
メール表示装置６やＷｅｂブラウザからの要求（所謂、HTTP（Hyper Text Transfer Protocol）やHTTPS（Hyper Text Transfer Protocol Secure）等のプロトコルに沿ったリクエスト）を受け取って、移行の処理に必要なデータを渡す機能を持つ。
【００４２】
・リクエスト解析部２７：
リクエスト解析部２７はリクエスト受信部２８から要求されたURL文字列を取得し、それが脅威URL一覧１１５に含まれるかどうかを判断する機能をもつ。脅威URL一覧１１５に含まれていた場合、リクエスト受信部２８から受け取った要求元にエラー応答を返信し、脅威URL一覧１１５に含まれていない場合、リクエスト発行部２６の処理部分で必要なデータを渡す。
【００４３】
・リクエスト発行部２６：
リクエスト発行部２６はリクエスト解析部２７から受け取った要求先URLに対して組織内ネットワーク１１、インターネット１２経由で実際に取得し、同じく受け取った要求元にその内容を応答する機能を持つ。
【００４４】
また、図２に示されたメール表示装置１１４及び脅威URL一覧１１５の機能は以下の通りである。
【００４５】
・メール表示装置１１４：
メール表示装置１１４はメール格納サーバ１１３からの情報を取得して、その内容を表示する機能を持つ。また、表示したメールに対する操作者の操作に応じてＷｅｂプロキシサーバ１１２に要求を発行しその内容を表示したり、Ｗｅｂブラウザを起動して同様にＷｅｂプロキシサーバ１１２に要求を発行させる機能を持つ。
【００４６】
・脅威URL一覧１１５：
脅威URL一覧１１５はアクセスすることで攻撃を受けたりする可能性があるURLの一覧情報を格納したデータベース上のテーブルであり、ブラックリストと呼ばれることもある。
【００４７】
この実施形態における脅威URL一覧１１５は、メールURL抽出部２３によって生成・更新され、リクエスト解析部２７によってその内容が参照される。脅威URL一覧１１５における実際の格納方式は任意の方式でよく、素朴なテキストファイル方式でも、RDBMS（Relational Data Base Management System）などのデータベースサーバによる方式であっても構わない。
【００４８】
図３および図４を参照して、図１及び２に示された通信システムの動作を説明する。ここでは、組織外ネットワーク１２から組織内ネットワーク１１内の利用者宛てのメールを受信した場合における動作が説明される。
【００４９】
組織外ネットワーク１２から、ＳＰＡＭメール等、脅威を含むメールを受信した場合、まず、メール配送サーバ１１１にメールが送付される。このとき、メール配送サーバ１１１のメール受信処理部２１がメール配送サーバ１１１内部にメールデータを一時的に蓄える（図３、ステップＳ３１）。その後、メール検査処理部２２でメールの内容を走査し、このメールにおける脅威検出動作が行われる。（図３、ステップＳ３２）。
【００５０】
脅威検出動作の結果、メールに脅威が存在しないことが判定されると（図３、ステップＳ３３）、当該メールはメール格納処理部２４に格納される。
【００５１】
一方、ステップＳ３３において、脅威を含むメールであるとメール検査処理部２２で判定された場合、メール配送サーバ１１１は図３のステップＳ３５の処理を開始する。図３のステップＳ３５の処理は、この実施形態ではメールURL抽出部２３によって実行される。
【００５２】
ステップＳ３５の処理では、メール配送サーバ１１１内に蓄えられているメール内容がRFC822やRFC3986等で定められた書式に従って解析されURLにあたる文字列が抽出される。
【００５３】
抽出された脅威URLは、脅威URL一覧１１５を管理しているファイルあるいはデータベースに追記される（図３、ステップＳ３６）。このとき、図５のような一覧が追記される。その後、当該メールはメール格納サーバ１１３に送付される（図３、ステップＳ３４）。
【００５４】
図４は、受信したメール中を参照あるいはメール中のURLで示される情報を参照した場合におけるメール表示装置１１４（メーラあるいはＷｅｂブラウザ）及びＷｅｂプロキシサーバ１１２の動作を示している。ここで、ステップＳ４１、Ｓ４２、Ｓ４７は各利用者の使うメーラあるいはＷｅｂブラウザでの動作であり、ステップＳ４３〜Ｓ４６は組織内に設置しているＷｅｂプロキシサーバ１１２の動作である。
【００５５】
前述した図３で説明した動作の結果、メール格納サーバ１１３に受信したメールが存在し、脅威URL一覧１１５に図５のような内容が含まれているものとする。この時、利用者がメール表示装置１１４を使って当該メールを参照し、その内容に含まれるURLをクリックすることで不正なURL（http://bad.url1.example.com）にアクセスして外部情報取得を行ったものとする（図４、ステップＳ４２）。
【００５６】
利用者が外部情報取得動作を行うと、メール表示装置１１４はＷｅｂプロキシサーバ１１２に対して取得要求を出力する。当該取得要求を受けたＷｅｂプロキシサーバ１１２はリクエスト受信部２８の処理部分で要求されたURL情報を抽出し、抽出されたURL情報をリクエスト解析部２７に送付する。リクエスト解析部２７は脅威URL一覧１１５の一覧に該当するものがあるかどうか確認する（図４、ステップＳ４３）。
【００５７】
リクエスト解析部２７における解析の結果、登録済みの脅威であると判断された場合（図３、ステップＳ４４）、外部情報取得要求に対する応答として、リクエスト解析部２７は取得エラーを示す応答を行う（図４、ステップＳ４６）。
【００５８】
その結果、メール表示装置１１４では、外部情報の表示が行われず、参照できなかった旨を示す結果が表示され（図４、ステップＳ４７）、実際に攻撃を受けることなく処理が完了する。
【００５９】
他方、ステップＳ４４において、リクエスト解析部２７で脅威URL一覧１１５に登録されていない場合、外部情報を取得・応答して（図４、ステップＳ４５）、メール表示装置１１４に外部情報を表示させる。
【００６０】
上記実施の形態による第一の効果は、メール配送サーバ１１１におけるメールの脅威検出の結果に基づいたURL抽出により、実際にURLへアクセスすることなく脅威を検出できる。このため、メール表示装置１１４を使う利用者が攻撃を受ける可能性を下げることができる。
【００６１】
また、第二の効果は、Ｗｅｂプロキシサーバ１１２の管理者や外部のアクセス制限リストの更新を待つことなく脅威に対するアクセスを予防できるようになる点である。即ち、図３に示すように、受信したメールに脅威が存在すると判断されると（ステップＳ３３）、判断された時点で脅威URL一覧１１５に当該メールのURLが格納されることになる（図３、ステップＳ３６）。したがって、図４のメール表示装置１１４で外部情報取得の際（図４、ステップＳ４２）、当該メールのURLは脅威URL一覧１１５に格納されている。したがって、当該脅威が存在するメールはステップＳ４６において、登録されたURLにより、外部情報の取得エラー応答がされることになる。
【００６２】
次に、図６は、本発明に係る他の実施形態の通信システムである。図６に係る通信システムは図２に示された通信システムに以下の処理部および一覧を追加した構成である。具体的に説明すると、図６に示された通信システムのメール配送サーバ１１１は、図２に示された脅威URL更新処理部２４の代わりに、URL一覧結合・更新部６１を備えている点で、図２に示されたメール配送サーバ１１１と異なっている。また、当該URL一覧結合・更新部６１は脅威URL一覧１１５だけでなく、データベースの一部を構成する手動で管理される脅威URL一覧６２にも結合されている。以下、追加された構成について説明する。
【００６３】
・URL一覧結合・更新部６１：
URL一覧結合・更新部６１は手動で管理される脅威URL一覧６２で管理されているURL一覧と、メールURL抽出部２３で得られたURL一覧を結合する処理を行い、結合されたURL一覧を生成し、新たに脅威URL一覧１１５に格納する。
【００６４】
・手動で管理される脅威URL一覧６２：
手動で管理される脅威URL一覧６２はURL一覧結合・更新部６１で生成された脅威一覧のURLを格納し、リクエスト解析部２７で参照される。手動で管理される脅威URL一覧６２は脅威としてみなされているURLに加えて、何らかの理由で脅威は存在しないとするURL、所謂ホワイトリストにあたる情報の両方を保持している。
【００６５】
次に、図７を参照して、図６に示された通信システムの動作が説明される。
【００６６】
図３のステップＳ３６（脅威URLの追加）にあたる部分の動作が図７のステップＳ３６’（脅威URLの結合）の処理に変更されている点が異なっている。
【００６７】
図７のステップＳ３６’（脅威URLの結合）では、図６の手動で管理される脅威URL一覧６２に記載されている一覧に加えて、図７のステップＳ５（脅威URLの抽出）で抽出されたURL）を含めるようにする。この時、図６に示された（手動で管理される脅威URL一覧６２には脅威が存在しないとするURLでありながら、図７のステップＳ５（脅威URLの抽出）で同じURLが検出された場合、当該URLは脅威であるとみなして、一覧が再構成される。
【００６８】
先の実施形態で得られる効果に加えて、図７に示された実施形態では、運用者が別途まとめたブラックリストおよびホワイトリスト一覧との併用による効果的なアクセス防止を実現できる。
【００６９】
上記の実施の形態の一部又は全部は、以下の付記のようにも記載され得るが以下には限られない。
【００７０】
［付記１］
メールを受信して処理するメール受信処理装置と、メールを検査処理するメール検査処理部とを備え、前記メール検査処理部は前記メール受信処理部で受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出することを特徴とするメール配送サーバ。
【００７１】
［付記２］
前記メール検査処理部における検査の結果、前記メールの脅威が検出され、且つ、前記メール中にURLが含まれている場合、前記URLを抽出するメール抽出部を更に備えていることを特徴とする付記１記載のメール配送サーバ。
【００７２】
［付記３］
前記プロトコル情報はSMTPプロトコルコマンド情報であることを特徴とする付記１又は２記載のメール配送サーバ。
【００７３】
［付記４］
前記SMTPプロトコルコマンド情報はMAIL FROMコマンド及びRCPT TOコマンドを含んでいることを特徴とする付記３に記載のメール配送サーバ。
【００７４】
［付記５］
付記２〜４の何れか一項に記載のメール配送サーバと、前記メールの脅威が検出され、且つ、当該メールに前記URLが含まれている場合、前記メールに含まれる前記URLを格納する脅威URL一覧と、前記脅威URLを参照するＷｅｂプロキシサーバを含み、前記メール配送サーバ及び前記Ｗｅｂプロキシサーバは組織内ネットワークに接続されていることを特徴とする通信システム。
【００７５】
［付記６］
前記組織内ネットワークは組織外ネットワークに接続されていることを特徴とする付記５記載の通信システム。
【００７６】
［付記７］
前記メール中に含まれる脅威URLがアクセスされると、前記Ｗｅｂプロキシサーバは前記脅威URL一覧にアクセスして、当該脅威URLであることを検出して、取得エラーであることを表示するメール表示装置を有することを特徴とする付記５又は６記載の通信システム。
【００７７】
［付記８］
前記メール表示装置には、前記脅威URLに対する外部取得情報が表示されないことを特徴とする付記７記載の通信システム。
【００７８】
［付記９］
前記脅威URL一覧と共に、手動で管理される脅威URL一覧を備えていることを特徴とする付記５〜８のいずれか一項に記載の通信システム。
【００７９】
［付記１０］
メール配送サーバで実行されるメール配送方法であって、前記メール配送サーバはメールを受信して処理するステップと、メールを検査処理するステップを備え、前記メール検査処理ステップは前記受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出すると共に、前記メールの脅威が検出されると、前記メールのURLを抽出することを特徴とするメール配送方法。
【００８０】
［付記１１］
前記メール検査処理ステップ検査の結果、前記メールの脅威が検出され、且つ、前記メール中にURLが含まれている場合、前記URLを抽出することを特徴とする付記１０記載のメール配送方法。
【００８１】
［付記１２］
前記プロトコル情報はSMTPプロトコルコマンド情報であり、前記SMTPプロトコル情報はMAIL FROMコマンド及びRCPT TOコマンドを含んでいることを特徴とする付記１１に記載のメール配送方法。
【００８２】
［付記１３］
メールを受信して処理するメール受信処理装置と、メールを検査処理するメール検査処理部とを備え、前記メール検査処理部は前記メール受信処理部で受信処理されたメールのプロトコル情報を検査して、当該メールの脅威の有無を検出するメール配送サーバと、前記メールの脅威が検出され、且つ、当該メールに前記URLが含まれている場合、前記メールに含まれる前記URLを格納する脅威URL一覧と、前記脅威URLを参照するＷｅｂプロキシサーバを含み、前記メール配送サーバ及び前記Ｗｅｂプロキシサーバは組織内ネットワークに接続されていることを特徴とする通信システム。
【００８３】
［付記１４］
コンピュータに、メールを受信して処理し、処理されたメールのURLを抽出する前に、前記メールのプロトコル情報を検査して、当該メールの脅威の有無を検出する処理を実行させるコンピュータプログラム。
【産業上の利用可能性】
【００８４】
本発明は、大規模な組織における、より安全なメール配送および参照装置の実現に適用できる。また、所謂電子メール以外のコミュニケーション装置（メッセージングサービス）に対しても、メッセージあるいはメッセージの発信元等から脅威を含むかどうか判断できる場合に、同様の効果を得る装置として適用できる。
【符号の説明】
【００８５】
１１        組織内ネットワーク
１２        組織外ネットワーク
１１１      ネール配送サーバ
１１２      Ｗｅｂプロキシサーバ
１１３      メール格納サーバ
１１４      メール表示装置
２１        メール受信処理部
２２        メール検査処理部
２３        メールURL抽出部
２４        脅威URL更新処理部
２５        メール格納処理部
２６        リクエスト発行部
２７        リクエスト解析部
２８        リクエスト受信部
６１        URL一覧結合・更新部
６２        手動で管理される脅威URL一覧
【図１】
2018151739.tif 000003
【図２】
2018151739.tif 000004
【図３】
2018151739.tif 000005
【図４】
2018151739.tif 000006
【図５】
2018151739.tif 000007
【図６】
2018151739.tif 000008
【図７】
2018151739.tif 000009
【手続補正書】
【提出日】平成30年7月26日(2018.7.26)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
メールを受信し、当該メールの内容と前記メールのコマンド情報を保持するメール受信処理部と、前記メールの内容及び前記メールのコマンド情報を検査処理するメール検査処理部とを備え、前記メール検査処理部は前記メール受信処理部により保持された前記メールの内容及び前記メールのコマンド情報を検査して、当該メールの脅威の有無を検出することを特徴とするメール配送サーバ。
【請求項２】
前記メール検査処理部における検査の結果、前記メールの脅威が検出され、且つ、前記メールの内容中にURLが含まれている場合、前記URLを抽出するメール抽出部を更に備えていることを特徴とする請求項１記載のメール配送サーバ。
【請求項３】
前記コマンド情報はSMTPプロトコルコマンド情報であり、前記SMTPプロトコルコマンド情報はMAIL FROMコマンド及びRCPT TOコマンドを含んでいることを特徴とする特徴とする請求項１又は２記載のメール配送サーバ。
【請求項４】
請求項２又は３に記載のメール配送サーバと、前記メールの脅威が検出され、且つ、当該メールに前記URLが含まれている場合、前記メールに含まれる前記URLを格納する脅威URL一覧と、前記脅威URL一覧を参照するＷｅｂプロキシサーバを含み、前記メール配送サーバ及び前記Ｗｅｂプロキシサーバは組織内ネットワークに接続されていることを特徴とする通信システム。
【請求項５】
前記組織内ネットワークは組織外ネットワークに接続されていることを特徴とする請求項４記載の通信システム。
【請求項６】
前記メール中に含まれる脅威URLがアクセスされると、前記Ｗｅｂプロキシサーバは前記脅威URL一覧にアクセスして、当該脅威URLであることを検出して、取得エラーであることを表示するメール表示装置を有することを特徴とする請求項４又は５記載の通信システム。
【請求項７】
前記メール表示装置には、前記脅威URLに対する外部取得情報が表示されないことを特徴とする請求項６記載の通信システム。
【請求項８】
前記脅威URL一覧と共に、手動で管理される脅威URL一覧を備えていることを特徴とする請求項４〜７のいずれか一項に記載の通信システム。
【請求項９】
メール配送サーバで実行されるメール配送方法であって、前記メール配送サーバはメールを受信し、当該メールの内容と前記メールのコマンド情報を保持する処理を行う受信処理ステップと、前記メールの内容及び前記メールのコマンド情報を検査処理するメール検査処理ステップを備え、前記メール検査処理ステップは前記受信処理ステップにおいて保持された前記メールのコマンド情報を検査して、当該メールの脅威の有無を検出すると共に、前記メールの脅威が検出されると、前記メールの内容中のURLを抽出することを特徴とするメール配送方法。
【請求項１０】
コンピュータに、メールを受信し、当該メールの内容と前記メールのコマンド情報を保持し、保持された前記メールの内容中のURLを抽出する前に、前記メールのコマンド情報を検査して、当該メールの脅威の有無を検出する処理を実行させるコンピュータプログラム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００１６
【補正方法】変更
【補正の内容】
【００１６】
具体的に説明すると、本発明の一態様によれば、メールを受信し、当該メールの内容と前記メールのコマンド情報を保持するメール受信処理装部と、前記メールの内容及び前記メールのコマンド情報を検査処理するメール検査処理部とを備え、前記メール検査処理部は前記メール受信処理部により保持された前記メールの内容及び前記メールのコマンド情報を検査して、当該メールの脅威の有無を検出するメール配送サーバが得られる。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００１７
【補正方法】変更
【補正の内容】
【００１７】
本発明の別の態様によれば、前記メール検査処理部における検査の結果、前記メールの脅威が検出され、且つ、前記メールの内容中にURLが含まれている場合、前記URLを抽出するメール抽出部を更に備えているメール配送サーバが得られる。前記コマンド情報はSMTP（Simple Mail Transfer Protocol）プロトコルコマンド情報である。また、前記SMTPプロトコルコマンド情報はMAIL FROMコマンド及びRCPT TOコマンドを含んでいる。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００１８
【補正方法】変更
【補正の内容】
【００１８】
本発明の更に別の態様によれば、上記したメール配送サーバと、前記メールの脅威が検出され、且つ、当該メールに前記URLが含まれている場合、前記メールに含まれる前記URLを格納する脅威URL一覧と、前記脅威URL一覧を参照するＷｅｂプロキシサーバを含み、前記メール配送サーバ及び前記Ｗｅｂプロキシサーバは組織内ネットワークに接続されている通信システムが得られる。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００１９
【補正方法】変更
【補正の内容】
【００１９】
本発明の別の態様によれば、メールを受信し、当該メールの内容と前記メールのコマンド情報を保持する処理を行う受信処理ステップと、前記メールの内容及び前記メールのコマンド情報を検査処理するメール検査処理ステップを備え、前記メール検査処理ステップは前記受信処理ステップにおいて保持された前記メールのコマンド情報を検査して、当該メールの脅威の有無を検出すると共に、前記メールの脅威が検出されると、前記メールの内容中のURLを抽出することを特徴とするメール配送方法が得られる。