(57)【要約】      （修正有）【課題】信頼性の高いウイルス検体を選別し易くするメールチェッカーを提供する。【解決手段】判定装置（サーバ１０３）は、メールを受信した端末からウイルス検体として提供される当該メールと、当該端末におけるユーザ操作又は当該端末の動作に関する状況データを受け付ける受付部と、状況データと所定基準との比較結果に基づいて、メールに関するウイルス検体としての適性を判定する判定部とを有する。端末は、メールを受信したときの、ユーザ操作又は端末自身の動作に関する状況データを特定する特定部と、状況データと所定基準との比較結果に基づいて、メールに関するウイルス検体としての適性を判定する判定部とを有する。【選択図】図１１
2018106464.tif 000002
【特許請求の範囲】
【請求項１】
メールを受信した端末からウイルス検体として提供される当該メールと、当該端末におけるユーザ操作又は当該端末の動作に関する状況データを受け付ける受付部と、
前記状況データと所定基準との比較結果に基づいて、前記メールに関する前記ウイルス検体としての適性を判定する判定部と
を有する判定装置。
【請求項２】
前記受付部は、更に、前記端末のメールチェッカーによる前記メールに対するチェック結果を受け付け、
前記判定部は、前記比較結果と前記チェック結果とに基づいて、前記適性を判定する
請求項１記載の判定装置。
【請求項３】
メールを受信したときの、ユーザ操作又は端末自身の動作に関する状況データを特定する特定部と、
前記状況データと所定基準との比較結果に基づいて、前記メールに関するウイルス検体としての適性を判定する判定部と
を有する端末。
【請求項４】
前記端末は、更に、前記メールをチェックするメールチェッカーを有し、
前記判定部は、前記比較結果と前記メールチェッカーによるチェック結果とに基づいて、前記適性を判定する
請求項３記載の端末。
【請求項５】
前記端末は、更に、前記適性に関する判定結果を表示する処理を行う表示処理部を有する
請求項４又は５記載の端末。
【請求項６】
メールを受信した端末からウイルス検体として提供される当該メールと、当該端末におけるユーザ操作又は当該端末の動作に関する状況データを受け付け、
前記状況データと所定基準との比較結果に基づいて、前記メールに関する前記ウイルス検体としての適性を判定する
処理を含み、コンピュータにより実行される判定方法。
【請求項７】
メールを受信した端末からウイルス検体として提供される当該メールと、当該端末におけるユーザ操作又は当該端末の動作に関する状況データを受け付け、
前記状況データと所定基準との比較結果に基づいて、前記メールに関する前記ウイルス検体としての適性を判定する
処理をコンピュータに実行させるプログラム。
【請求項８】
メールを受信したときの、ユーザ操作又は端末自身の動作に関する状況データを特定し、
前記状況データと所定基準との比較結果に基づいて、前記メールに関するウイルス検体としての適性を判定する
処理を含み、コンピュータにより実行される判定方法。
【請求項９】
メールを受信したときの、ユーザ操作又は端末自身の動作に関する状況データを特定し、
前記状況データと所定基準との比較結果に基づいて、前記メールに関するウイルス検体としての適性を判定する
処理をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、検体データを収集する技術に関する。
【背景技術】
【０００２】
メールチェッカーは、ウイルスパターンを用いてウイルスメールを検出する。そして、新種のウイルスメールに備えるため、ウイルスパターンは随時更新される。このウイルスパターンの基礎となる受信メール、つまりウイルス検体は、ユーザから提供される場合もある。
【０００３】
但し、いずれの受信メールをウイルス検体として提供するかは、ユーザの判断に委ねられる。仮にユーザが誤った判断をすれば、ウイルスメールではないものがウイルス検体として提供されることもある。従って、ウイルスチェックの品質を維持するためには、信頼性の高いウイルス検体を集めることが要となる。
【０００４】
一般的に、人が慌てているとき、疲れているとき、或いは苛立っているときなどには、その者の判断力は低下するものである。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】国際公開第２００２／０９９６９５号
【特許文献２】特開２０１３−２３６３０８号公報
【特許文献３】特開２００８−２０４０７６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
本発明の目的は、一側面では、信頼性の高いウイルス検体を選別することである。
【課題を解決するための手段】
【０００７】
一態様に係る判定装置は、（Ａ）メールを受信した端末からウイルス検体として提供される当該メールと、当該端末におけるユーザ操作又は当該端末の動作に関する状況データを受け付ける受付部と、（Ｂ）状況データと所定基準との比較結果に基づいて、上記メールに関するウイルス検体としての適性を判定する判定部とを有する。
【０００８】
一態様に係る端末は、（Ｃ）メールを受信したときの、ユーザ操作又は端末自身の動作に関する状況データを特定する特定部と、（Ｄ）状況データと所定基準との比較結果に基づいて、上記メールに関するウイルス検体としての適性を判定する判定部とを有する。
【発明の効果】
【０００９】
一側面としては、状況的に信頼性が高いと推察されるウイルス検体を選別できる。
【図面の簡単な説明】
【００１０】
【図１】図１は、ネットワーク構成例を示す図である。
【図２】図２は、システムの動作概要を示す図である。
【図３】図３は、状況データの構成例を示す図である。
【図４】図４は、イベント関連データの構成例を示す図である。
【図５】図５は、セキュリティ関連データの構成例を示す図である。
【図６】図６は、システム関連データの構成例を示す図である。
【図７】図７は、メーラー関連データの構成例を示す図である。
【図８】図８は、クライアント端末のモジュール構成例を示す図である。
【図９】図９は、特定処理フローを示す図である。
【図１０】図１０は、クライアント端末におけるシーケンスを示す図である。
【図１１】図１１は、サーバのモジュール構成例を示す図である。
【図１２】図１２は、受付処理（Ａ）フローを示す図である。
【図１３】図１３は、パターン提供処理（Ａ）フローを示す図である。
【図１４】図１４は、判定処理（Ａ）フローを示す図である。
【図１５】図１５は、算出処理フローを示す図である。
【図１６】図１６は、チェック結果のデータ構成例を示す図である。
【図１７】図１７は、実施の形態２のクライアント端末におけるシーケンスを示す図である。
【図１８】図１８は、実施の形態２におけるサーバのモジュール構成例を示す図である。
【図１９】図１９は、受付処理（Ｂ）フローを示す図である。
【図２０】図２０は、判定処理（Ｂ）フローを示す図である。
【図２１】図２１は、実施の形態３におけるクライアント端末のモジュール構成例を示す図である。
【図２２】図２２は、実施の形態３のクライアント端末におけるシーケンスを示す図である。
【図２３】図２３は、実施の形態４のクライアント端末におけるシーケンスを示す図である。
【図２４】図２４は、判定処理（Ｃ）フローを示す図である。
【図２５】図２５は、実施の形態４におけるサーバのモジュール構成例を示す図である。
【図２６】図２６は、受付処理（Ｃ）フローを示す図である。
【図２７】図２７は、パターン提供処理（Ｂ）フローを示す図である。
【図２８】図２８は、判定処理（Ｄ）フローを示す図である。
【図２９】図２９は、実施の形態６におけるクライアント端末のモジュール構成例を示す図である。
【図３０】図３０は、実施の形態６のクライアント端末におけるシーケンスを示す図である。
【図３１】図３１は、コンピュータの機能ブロック図である。
【発明を実施するための形態】
【００１１】
［実施の形態１］
図１に、ネットワーク構成例を示す。この例で、複数のクライアント端末１０１がＬＡＮ（Local Area Network）に接続されている。クライアント端末１０１は、インターネットからＬＡＮを介してメールを受信する。受信したメールがウイルスを含む場合もある。従って、クライアント端末１０１では受信メールに対するウイルスチェックを行う。
【００１２】
また、ＬＡＮにはサーバ１０３が設けられている。サーバ１０３は、ウイルスを含むメール（ウイルスメールという。）を検出するためのウイルスパターンを生成する。ウイルスパターンについては、後述する。
【００１３】
図２に、システムの動作概要を示す。メーラー２０１は、メールを受信する。ユーザが受信メールを開封しようとすると、メールチェッカー２０３において受信メールに対するウイルスチェックが行われる。このとき、ユーザが、当該受信メールがウイルスを含む可能性が高く、同様のメールを排除したいと判断した場合に、当該受信メールをパターン生成部２０５に提供する。
【００１４】
パターン生成部２０５は、蓄積した受信メールをウイルス検体としてウイルスパターンを生成する。生成されたウイルスパターンはクライアント端末１０１に提供され、以降のウイルスチェックに用いられる。
【００１５】
本実施の形態で、クライアント端末１０１は、メールを受信したときの、クライアント端末１０１におけるユーザ操作又は当該クライアント端末１０１の動作に関する状況データをサーバ１０３に渡す。そして、サーバ１０３は、ユーザが通常の状態において検体提供を決定したと推測される受信メールをウイルス検体として採用する。一方、ユーザが通常の状態ではないときに検体提供された受信メールは、ウイルス検体として採用されない。
【００１６】
以下、図３乃至図７を用いて状況データについて説明する。図３に、状況データの構成例を示す。状況データは、ユーザ操作データ及び端末動作データを含む。ユーザ操作データは、ユーザによる操作に関するデータである。ユーザ操作データは、イベント関連データ及びセキュリティ関連データを含む。
【００１７】
イベント関連データは、クライアント端末１０１において発生したイベントに関する。図４を用いて、イベント関連データについて説明する。イベント関連データは、４つのパラメータを有している。第１パラメータは、アプリケーションの切り替え頻度である。アプリケーションの切り替えは、例えばアクティブなウインドウの切り替わりに相当する。タイピングのスピードは、一連のキー押下に関する単位時間当たりのイベント数である。マウス操作の頻度は、マウス操作に係るイベントの発生回数である。所定キーの連打回数は、例えばＤＥＬキー押下或いはＢＡＣＫキー押下のイベントの連続数である。
【００１８】
セキュリティ関連データは、クライアント端末１０１におけるセキュリティ管理に関する。図５に、セキュリティ関連データの構成例を示す。セキュリティ関連データは、３つのパラメータを有している。第１パラメータは、受信メールを検体として提供するための直近のユーザ操作が行われた時刻である。第２パラメータは、受信メールを検体として提供するためのユーザ操作が行われた回数である。第３パラメータは、ポリシーに違反した操作の回数である。
【００１９】
図３の説明に戻る。端末動作データは、クライアント端末１０１の動作に関する。端末動作データは、システム関連データ及びメーラー関連データを含む。
【００２０】
システム関連データは、クライアント端末１０１の基本動作に関する。図６に、システム関連データの構成例を示す。システム関連データは、５つのパラメータを含んでいる。第１パラメータは、クライアント端末１０１におけるＣＰＵ（Central Processing Unit）負荷である。第２パラメータは、クライアント端末１０１で動作しているタスクの数である。第３パラメータは、クライアント端末１０１における表示画面の明るさである。第４パラメータである周囲の明るさは、例えばクライアント端末１０１のカメラで撮影した画像によって特定される。第５パラメータである周囲の音の大きさは、例えばクライアント端末１０１のマイクで入力した音声によって特定される。
【００２１】
メーラー関連データは、メーラー２０１の動作に関する。図７に、メーラー関連データの構成例を示す。メーラー関連データは、２つのパラメータを含んでいる。第１パラメータは、直近のメール受信時に受信したメールの数である。第２パラメータは、メールが開封されてから検体提供の指示がなされるまでの所要時間である。
【００２２】
続いて、クライアント端末１０１の動作について説明する。図８に、クライアント端末１０１のモジュール構成例を示す。クライアント端末１０１は、メーラー２０１及びメールチェッカー２０３の他に、ＯＳ（Operating System）８０１、イベントロガー８０３、システムロガー８０５、特定部８０７、送信部８０９、メーラーログ記憶部８２１、セキュリティログ記憶部８２３、イベントログ記憶部８２５、システムログ記憶部８２７及び状況データ記憶部８２９を有する。
【００２３】
メーラー２０１は、メールの送受信及び閲覧などの処理を行う。また、メーラー２０１は、自身の動作に関するメーラーログを生成する。
【００２４】
メールチェッカー２０３は、受信メールのウイルスチェックを行う。メールチェッカー２０３は、送信メールのチェックを行うようにしてもよい。また、メールチェッカー２０３は、自身の動作に関するセキュリティログを生成する。
【００２５】
ＯＳ８０１は、キーボード及びマウスの操作に関するイベントが発生した場合にイベントロガー８０３に通知する。イベントロガー８０３は、イベントの種類と発生日時とをイベントログに設定する。
【００２６】
システムロガー８０５は、周期的にシステムの状態を示す値を取得して、取得日時と共にシステムログに設定する。
【００２７】
特定部８０７は、比較的短い間隔で各種パラメータを特定して状況データを更新する。送信部８０９は、検体候補のメール及び当該メールに付加されるデータをサーバ１０３へ送信する。本実施の形態では、状況データがメールに付加される。後述する実施の形態では、検体として確定したメールが送信されることもある。
【００２８】
メーラーログ記憶部８２１は、メーラーログを記憶する。セキュリティログ記憶部８２３は、セキュリティログを記憶する。イベントログ記憶部８２５は、イベントログを記憶する。システムログ記憶部８２７は、システムログを記憶する。状況データ記憶部８２９は、最新の状況データを記憶する。
【００２９】
上述したイベントロガー８０３、システムロガー８０５、特定部８０７及び送信部８０９は、ハードウエア資源（例えば、図３１）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。
【００３０】
上述したメーラーログ記憶部８２１、セキュリティログ記憶部８２３、イベントログ記憶部８２５、システムログ記憶部８２７及び状況データ記憶部８２９は、ハードウエア資源（例えば、図３１）を用いて実現される。
【００３１】
まず、特定部８０７の処理について説明する。図９に、特定処理フローを示す。特定部８０７は、周期的に状況データを更新する。そのため、特定部８０７は、更新のタイミングを待つ（Ｓ９０１）。
【００３２】
更新のタイミングに至ると、特定部８０７は、イベントログ記憶部８２５に記憶されているイベントログに基づいてイベント関連データに含まれるパラメータの値を算出する（Ｓ９０３）。特定部８０７は、セキュリティログ記憶部８２３に記憶されているセキュリティログからセキュリティ関連データに含まれるパラメータの値を抽出する（Ｓ９０５）。特定部８０７は、システムログ記憶部８２７に記憶されているシステムログからシステム関連データに含まれるパラメータの値を抽出する（Ｓ９０７）。特定部８０７は、メーラーログ記憶部８２１に記憶されているメーラーログに基づいてメーラー関連データに含まれるパラメータの値を算出する（Ｓ９０９）。尚、特定された各パラメータは、状況データ記憶部８２９に記憶される。
【００３３】
続いて、メーラー２０１及びメールチェッカー２０３の処理について、図１０に示したシーケンスに沿って説明する。メーラー２０１は、ユーザの指示に応じてメールを受信する（Ｓ１００１）。メーラー２０１は、ユーザ操作による受信メールの開封指示を受け付けると（Ｓ１００３）、閲覧の処理を行う前にメールチェッカー２０３にメールをチェックさせる。そのため、メーラー２０１は、閲覧対象のメールをメールチェッカー２０３へ渡す（Ｓ１００５）。
【００３４】
メールチェッカー２０３は、メールを受けると（Ｓ１００７）、当該メールに対するチェック処理を実行する（Ｓ１００９）。チェック処理において、メールチェッカー２０３はウイルスパターンを用いる。メールチェッカー２０３は、当該メールの危険度を含むチェック結果をメーラー２０１へ渡す（Ｓ１０１１）。
【００３５】
メーラー２０１は、チェック結果を受けると（Ｓ１０１３）、危険度に応じた処理を行う（Ｓ１０１５）。メーラー２０１は、例えばメールを削除し或いは隔離する。また、メーラー２０１は、ユーザに注意を喚起するメッセージを表示するようにしてもよい。
【００３６】
また、メールチェッカー２０３は、例えばチェック結果を示すウインドウを表示し、ウインドウ内のボタン操作によって検体提供の指示を受け付ける（Ｓ１０１７）。検体提供の指示を受け付けると、送信部８０９は、メールチェッカー２０３からの要求に応じて、検体候補のメール及び状況データをサーバ１０３へ送信する（Ｓ１０１９）。
【００３７】
続いて、サーバ１０３の動作について説明する。図１１に、サーバ１０３のモジュール構成例を示す。サーバ１０３は、受信部１１０１、受付部１１０３、算出部１１０５、判定部１１０７、生成部１１０９、送信部１１１１、検体記憶部１１２１、状況データ記憶部１１２３、許容範囲記憶部１１２５及びウイルスパターン記憶部１１２７を有する。
【００３８】
受信部１１０１は、各種データを受信する。受付部１１０３は、受信部１１０１を介して、検体候補のメール及び当該メールに付加されるデータを受け付ける。後述する実施の形態では、検体として確定したメールが受け付けられることもある。
【００３９】
算出部１１０５は、状況データに含まれる各パラメータの許容範囲を定める閾値を算出する。判定部１１０７は、検体候補のメールに関するウイルス検体としての適性を判定する。生成部１１０９は、ウイルス検体の集合に基づいてウイルスパターンを生成する。送信部１１１１は、ウイルスパターンをクライアント端末１０１へ送信する。
【００４０】
検体記憶部１１２１は、検体候補のメール及び検体のメールを記憶する。状況データ記憶部１１２３は、状況データを記憶する。許容範囲記憶部１１２５は、状況データに含まれる各パラメータの許容範囲を定める閾値を記憶する。許容範囲は、上限値及び下限値によって特定される。但し、下限値を用いずに上限値によって許容範囲が特定されるようにしてもよい。或いは、上限値を用いずに下限値によって許容範囲が特定されるようにしてもよい。ウイルスパターン記憶部１１２７は、ウイルスパターンを記憶する。
【００４１】
上述した受信部１１０１、受付部１１０３、算出部１１０５、判定部１１０７、生成部１１０９及び送信部１１１１は、ハードウエア資源（例えば、図３１）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。
【００４２】
上述した検体記憶部１１２１、状況データ記憶部１１２３、許容範囲記憶部１１２５及びウイルスパターン記憶部１１２７は、ハードウエア資源（例えば、図３１）を用いて実現される。
【００４３】
まず、サーバ１０３が検体候補のメール及び状況データを受け付ける処理について説明する。図１２に、受付処理（Ａ）フローを示す。受信部１１０１が検体候補のメール及び状況データを受信すると（Ｓ１２０１）、受付部１１０３は、検体記憶部１１２１に検体候補のメールを記憶する（Ｓ１２０３）。更に、受付部１１０３は、状況データ記憶部１１２３に状況データを記憶する（Ｓ１２０５）。当該メールと当該状況データとは、紐付けられる。
【００４４】
次に、サーバ１０３がウイルスパターンを生成して、クライアント端末１０１へ提供する処理について説明する。この処理は、適時行われる。図１３に、パターン提供処理（Ａ）フローを示す。判定部１１０７は、検体記憶部１１２１に記憶されている検体候補のメールを１つ特定する（Ｓ１３０１）。判定部１１０７は、当該メールに関する判定処理を実行する（Ｓ１３０３）。
【００４５】
本実施の形態では、判定処理（Ａ）が実行される。図１４に、判定処理（Ａ）フローを示す。判定部１１０７は、判定対象のメールに対応する状況データに含まれるパラメータを１つ特定する（Ｓ１４０１）。判定部１１０７は、当該パラメータの値が当該パラメータの許容範囲に含まれるか否かを判定する（Ｓ１４０３）。
【００４６】
当該パラメータの値が当該パラメータの許容範囲に含まれないと判定した場合には、判定部１１０７は、当該パラメータに割り当てられているポイントを合計値に加算する（Ｓ１４０５）。一方、当該パラメータの値が当該パラメータの許容範囲に含まれると判定した場合には、そのままＳ１４０７の処理に移る。
【００４７】
判定部１１０７は、未処理のパラメータがあるか否かを判定する（Ｓ１４０７）。未処理のパラメータがあると判定した場合には、Ｓ１４０１に示した処理に戻って、上述した処理を繰り返す。
【００４８】
一方、未処理のパラメータがないと判定した場合には、判定部１１０７は、合計値が上限値を超えているか否かを判定する（Ｓ１４０９）。合計値が上限値を超えていると判定した場合には、判定部１１０７は、判定対象のメールがウイルス検体に適さないと判定する（Ｓ１４１１）。一方、合計値が上限値を超えていないと判定した場合には、判定部１１０７は、判定対象のメールがウイルス検体に適すると判定する（Ｓ１４１３）。そして、呼出し元に復帰する。
【００４９】
図１３の説明に戻る。判定部１１０７は、検体候補のメールがウイルス検体に適するか否かによって処理を分岐させる（Ｓ１３０５）。当該メールがウイルス検体に適すると判定した場合には、判定部１１０７は、当該メールをウイルス検体とする（Ｓ１３０７）。判定部１１０７は、例えば検体記憶部１１２１に記憶されている当該メールに検体として確定したことを示すデータを付加する。
【００５０】
一方、当該メールがウイルス検体に適さないと判定した場合には、判定部１１０７は、当該メールをウイルス検体としない（Ｓ１３０９）。判定部１１０７は、例えば検体記憶部１１２１に記憶されている当該メールを削除する。
【００５１】
判定部１１０７は、未処理の検体候補のメールがあるか否かを判定する（Ｓ１３１１）。未処理の検体候補のメールがあると判定した場合には、Ｓ１３０１に示した処理に戻って、上述した処理を繰り返す。一方、未処理の検体候補のメールがないと判定した場合には、生成部１１０９は、ウイルス検体の集合に基づいてウイルスパターンを生成する（Ｓ１３１３）。ウイルスパターンは、メールのチェック項目に関して、幾つかのウイルス検体において共通する特性を含んでいる。送信部１１１１は、ウイルスパターンをクライアント端末１０１へ送信する（Ｓ１３１５）。
【００５２】
最後に、サーバ１０３が状況データに含まれる各パラメータの許容範囲を定める閾値を算出する処理について説明する。図１５に、算出処理フローを示す。算出部１１０５は、状況データに含まれるパラメータを１つ特定する（Ｓ１５０１）。算出部１１０５は、当該パラメータの平均及び標準偏差を算出する（Ｓ１５０３）。例えば、提供元が同じである状況データを母集団とする。或いは、提供元を限定せずに母集団を設定するようにしてもよい。
【００５３】
算出部１１０５は、平均及び標準偏差に基づいて、許容範囲を定める閾値を算出する（Ｓ１５０５）。具体的には、算出部１１０５は、正の係数×標準偏差＋平均を上限値とする。また、算出部１１０５は、負の係数×標準偏差＋平均を下限値とする。尚、上限値又は下限値の一方のみを算出するようにしてもよい。算出部１１０５は、許容範囲を定める閾値を許容範囲記憶部１１２５に記憶する（Ｓ１５０７）。
【００５４】
算出部１１０５は、未処理のパラメータがあるか否かを判定する（Ｓ１５０９）。未処理のパラメータがあると判定した場合には、Ｓ１５０１に示した処理に戻って、上述した処理を繰り返す。一方、未処理のパラメータがないと判定した場合には、算出処理を終える。
【００５５】
尚、算出処理は任意である。つまり、算出処理を行わずに、システム管理者が許容範囲を設定するようにしてもよい。
【００５６】
本実施の形態によれば、状況的に信頼性が高いと推察されるウイルス検体を選別できる。また、適性判定の基準を集中的に管理できるという側面もある。
【００５７】
［実施の形態２］
上述した実施の形態では、状況データと閾値との比較結果に基づいて、メールに関するウイルス検体としての適性を判定する例について説明した。本実施の形態では、更にメールチェッカー２０３によるチェック結果に基づいて、ウイルス検体としての適性を判定する例について説明する。
【００５８】
まず、図１６を用いて、チェック結果のデータ構成について説明する。チェック結果は、メールに対する複数のチェック項目の各々に対するポイントを含む。この例におけるチェック項目は、Ｆｒｏｍ項目、Ｃｏｎｔｅｎｔ−Ｔｙｐｅ項目、Ｘ−Ｍａｉｌｅｒ項目、Ｒｅｔｕｒｎ−Ｐａｔｈ項目、Ｄａｔｅ項目及びＲｅｃｅｉｖｅｄ項目である。チェック項目の内容が、ウイルスパターンに設定されている特性に合致した場合に、当該項目に１以上の所定ポイントが付される。更に、チェック結果は、各チェック項目のポイントの合計をレベルに分けた危険度を含む。
【００５９】
続いて、クライアント端末１０１の動作について説明する。図１７に、実施の形態２のクライアント端末１０１におけるシーケンスを示す。Ｓ１００１乃至Ｓ１０１７の処理は、図１０の場合と同様である。送信部８０９は、メールチェッカー２０３からの要求に応じて、検体候補のメール、状況データ及びチェック結果をサーバ１０３へ送信する（Ｓ１７０１）。
【００６０】
最後に、サーバ１０３の動作について説明する。図１８に、実施の形態２におけるサーバ１０３のモジュール構成例を示す。実施の形態２におけるサーバ１０３は、チェック結果記憶部１８０１を有する。チェック結果記憶部１８０１は、チェック結果を記憶する。チェック結果記憶部１８０１は、ハードウエア資源（例えば、図３１）を用いて実現される。
【００６１】
本実施の形態では、受付処理（Ａ）に代えて受付処理（Ｂ）が実行される。図１９に、受付処理（Ｂ）フローを示す。受信部１１０１が、検体候補のメール、状況データ及びチェック結果を受信すると（Ｓ１９０１）、受付部１１０３は、検体記憶部１１２１に検体候補のメールを記憶する（Ｓ１９０３）。受付部１１０３は、状況データ記憶部１１２３に状況データを記憶する（Ｓ１９０５）。更に、受付部１１０３は、チェック結果記憶部１８０１にチェック結果を記憶する（Ｓ１９０７）。当該メールと当該状況データと当該チェック結果とは、紐付けられる。
【００６２】
また、本実施の形態では、判定処理（Ａ）に代えて判定処理（Ｂ）が実行される。図２０に、判定処理（Ｂ）フローを示す。Ｓ１４０１乃至Ｓ１４０７の処理は、図１４の場合と同様である。判定部１１０７は、チェック結果に含まれる危険度を合計値＋１で除して有用度を求める（Ｓ２００１）。有用度は、危険度と正の相関関係を有し、更に合計値と負の相関関係を有する。つまり、危険度が高いメールは、有用度が高い。一方、合計値が大きければ、有用度は低い。
【００６３】
判定部１１０７は、有用度が下限値を下回っているか否かを判定する（Ｓ２００３）。有用度が下限値を下回っていると判定した場合には、判定部１１０７は、当該メールがウイルス検体に適さないと判定する（Ｓ２００５）。有用度が下限値を下回っていないと判定した場合には、判定部１１０７は、当該メールがウイルス検体に適すると判定する（Ｓ２００７）。そして、呼出し元に復帰する。
【００６４】
この例では、チェック結果に含まれる危険度を用いる例について説明したが、各チェック項目のポイントを用いるようにしてもよい。
【００６５】
本実施の形態によれば、有用なウイルス検体を選別し易い。
【００６６】
［実施の形態３］
上述した実施の形態では、サーバ１０３においてメールに関するウイルス検体としての適性を判定する例について説明したが、本実施の形態では、クライアント端末１０１においてメールに関するウイルス検体としての適性を判定する例について説明する。
【００６７】
クライアント端末１０１の動作について説明する。図２１に、実施の形態３におけるクライアント端末１０１のモジュール構成例を示す。実施の形態３におけるクライアント端末１０１は、算出部２１０１、判定部２１０３及び許容範囲記憶部２１２１を有する。
【００６８】
算出部２１０１は、状況データに含まれる各パラメータの許容範囲を定める閾値を算出する。判定部２１０３は、受信メールのウイルス検体としての適性を判定する。算出部２１０１及び判定部２１０３は、ハードウエア資源（例えば、図３１）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。
【００６９】
許容範囲記憶部２１２１は、状況データに含まれる各パラメータの許容範囲を定める閾値を記憶する。許容範囲記憶部２１２１は、ハードウエア資源（例えば、図３１）を用いて実現される。
【００７０】
図２２に、実施の形態３のクライアント端末１０１におけるシーケンスを示す。Ｓ１００１乃至Ｓ１０１７の処理は、図１０の場合と同様である。判定部２１０３は、判定処理（Ａ）又は判定処理（Ｂ）を実行する（Ｓ２２０１）。ここで、判定部２１０３は、判定対象のメールがウイルス検体に適すると判定したものとする（Ｓ２２０３）。判定対象のメールがウイルス検体に適すると判定された場合には、送信部８０９は、検体のメールをサーバ１０３へ送信する（Ｓ２２０５）。一方、判定部２１０３が、判定対象のメールがウイルス検体に適さないと判定した場合には、送信部８０９は、検体のメールをサーバ１０３へ送信しない。
【００７１】
サーバ１０３における動作は、従来と同様である。
【００７２】
本実施の形態によれば、クライアント端末１０１において状況的に信頼性が高いと推察されるウイルス検体を選別できる。従って、無駄な検体提供を減らせる面がある。
【００７３】
［実施の形態４］
実施の形態３では、クライアント端末１０１においてウイルス検体としての適性がない受信メールの提供を中止する例について説明したが、本実施の形態では、クライアント端末１０１においてウイルス検体としての適性のランク付けを行い、サーバ１０３において当該ランクに基づいてウイルス検体を絞り込む例について説明する。
【００７４】
まず、クライアント端末１０１の動作について説明する。図２３に、実施の形態４のクライアント端末１０１におけるシーケンスを示す。Ｓ１００１乃至Ｓ１０１７の処理は、図１０の場合と同様である。判定部２１０３は、判定処理（Ｃ）を実行して適性度を求める（Ｓ２３０１）。
【００７５】
図２４に、判定処理（Ｃ）フローを示す。Ｓ１４０１乃至Ｓ１４０７の処理は、図１４の場合と同様である。判定処理（Ｃ）では、２つの閾値を設けて、合計値を３段階に分ける。この例では合計値を３段階に分けるが、２段階或いは４段階以上に分けるようにしてもよい。
【００７６】
まず、判定部２１０３は、合計値が上側閾値を超えているか否かを判定する（Ｓ２４０１）。合計値が上側閾値を超えていると判定した場合には、判定部２１０３は、適性度がレベル３であると判定する（Ｓ２４０３）。そして、呼び出し元に復帰する。
【００７７】
一方、合計値が上側閾値を超えていないと判定した場合には、判定部２１０３は、合計値が下側閾値を超えているか否かを判定する（Ｓ２４０５）。合計値が下側閾値を超えていると判定した場合には、判定部２１０３は、適性度がレベル２であると判定する（Ｓ２４０７）。そして、呼び出し元に復帰する。
【００７８】
Ｓ２４０５において合計値が下側閾値を超えていないと判定した場合には、判定部２１０３は、適性度がレベル１であると判定する（Ｓ２４０９）。そして、呼び出し元に復帰する。
【００７９】
図２３の説明に戻る。送信部８０９は、検体候補のメール及び適性度をサーバ１０３へ送信する（Ｓ２３０３）。
【００８０】
続いて、サーバ１０３の動作について説明する。図２５に、実施の形態４におけるサーバ１０３のモジュール構成例を示す。実施の形態４におけるサーバ１０３は、適性度記憶部２５５１を有する。適性度記憶部２５５１は、適性度を記憶する。適性度記憶部２５５１は、ハードウエア資源（例えば、図３１）を用いて実現される。
【００８１】
本実施の形態では、受付処理（Ｃ）が実行される。図２６に、受付処理（Ｃ）フローを示す。受信部１１０１が検体候補のメール及び適性度を受信すると（Ｓ２６０１）、受付部１１０３は、検体記憶部１１２１に検体候補のメールを記憶する（Ｓ２６０３）。更に、受付部１１０３は、適性度記憶部２５５１に適性度を記憶する（Ｓ２６０５）。当該メールと当該適性度とは、紐付けられる。
【００８２】
本実施の形態では、パターン提供処理（Ａ）に代えてパターン提供処理（Ｂ）が実行される。図２７に、パターン提供処理（Ｂ）フローを示す。Ｓ１３０１の処理は、図１３の場合と同様である。
【００８３】
判定部１１０７は、Ｓ１３０１で特定されたメールの適性度が下限値以上か否かを判定する（Ｓ２７０１）。当該メールの適性度が下限値以上であると判定した場合に、判定部１１０７は、当該メールをウイルス検体とする（Ｓ１３０７）。一方、当該メールの適性度が下限値を下回ると判定した場合には、判定部１１０７は、当該メールをウイルス検体としない（Ｓ１３０９）。Ｓ１３１１乃至Ｓ１３１５の処理は、図１３の場合と同様である。
【００８４】
本実施の形態によれば、ウイルス検体の採用基準（適性度の下限値）を管理し易い。
【００８５】
［実施の形態５］
本実施の形態では、クライアント端末１０１において、状況データと閾値との比較結果と、メールチェッカー２０３によるチェック結果とに基づいて、ウイルス検体としての適性を判定する例について説明する。
【００８６】
本実施の形態では、クライアント端末１０１において判定処理（Ｃ）に代えて判定処理（Ｄ）が実行される。図２８に、判定処理（Ｄ）フローを示す。Ｓ１４０１乃至Ｓ１４０７の処理は、図１４の場合と同様である。Ｓ２００１の処理は、図２０の場合と同様である。判定処理（Ｄ）では、２つの閾値を設けて、有用度を３段階に分ける。この例では合計値を３段階に分けるが、２段階或いは４段階以上に分けるようにしてもよい。
【００８７】
まず、判定部２１０３は、有用度が上側閾値を超えているか否かを判定する（Ｓ２８０１）。有用度が上側閾値を超えていると判定した場合には、判定部２１０３は、適性度がレベル３であると判定する（Ｓ２８０３）。そして、呼び出し元に復帰する。
【００８８】
一方、有用度が上側閾値を超えていないと判定した場合には、判定部２１０３は、有用度が下側閾値を超えているか否かを判定する（Ｓ２８０５）。有用度が下側閾値を超えていると判定した場合には、判定部２１０３は、適性度がレベル２であると判定する（Ｓ２８０７）。そして、呼び出し元に復帰する。
【００８９】
Ｓ２８０５において有用度が下側閾値を超えていないと判定した場合には、判定部２１０３は、適性度がレベル１であると判定する（Ｓ２８０９）。そして、呼び出し元に復帰する。
【００９０】
本実施の形態によれば、クライアント端末１０１において有用なウイルス検体を選別し易い。
【００９１】
［実施の形態６］
本実施の形態では、クライアント端末１０１において、ウイルス検体としての適性に関する判定結果を表示する例について説明する。
【００９２】
図２９に、実施の形態６におけるクライアント端末１０１のモジュール構成例を示す。実施の形態６におけるクライアント端末１０１は、表示処理部２９０１を有する。表示処理部２９０１は、ウイルス検体としての適性に関する表示を行う。表示処理部２９０１は、ハードウエア資源（例えば、図３１）と、以下で述べる処理をプロセッサに実行させるプログラムとを用いて実現される。
【００９３】
図３０に、実施の形態６のクライアント端末１０１におけるシーケンスを示す。Ｓ１００１乃至Ｓ１０１７の処理は、図１０の場合と同様である。判定部２１０３は、判定処理（Ａ）乃至（Ｄ）のいずれかを実行する（Ｓ３００１）。
【００９４】
ここでは、判定部２１０３が判定処理（Ａ）又は判定処理（Ｂ）を実行し、判定対象のメールがウイルス検体に適さないと判定したものとする（Ｓ３００３）。判定対象のメールがウイルス検体に適さないと判定された場合には、表示処理部２９０１は、ウイルス検体に適さないので検体提供を中止する旨を表示する（Ｓ３００５）。一方、判定対象のメールがウイルス検体に適すると判定された場合には、検体のメールをサーバ１０３へ送信する。このとき、表示処理部２９０１は、ウイルス検体に適するので検体提供を行った旨を表示するようにしてもよい。
【００９５】
判定部２１０３が判定処理（Ｃ）又は判定処理（Ｄ）を実行する場合には、表示処理部２９０１は、適性度を表示するようにしてもよい。
【００９６】
本実施の形態によれば、ユーザに落ち着いた状況での判断を促すことに役立つ。
【００９７】
以上、状況データにユーザ操作データ及び端末動作データが含まれる例について説明したが、状況データにおいて端末動作データが省かれるようにしてもよい。或いは、状況データにおいてユーザ操作データが省かれるようにしてもよい。また、状況データに含まれるパラメータは、上述した例に限らない。
【００９８】
以上本発明の実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上述の機能ブロック構成はプログラムモジュール構成に一致しない場合もある。
【００９９】
また、上で説明した各記憶領域の構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ、処理の順番を入れ替えることや複数の処理を並列に実行させるようにしても良い。
【０１００】
なお、上で述べたクライアント端末１０１及びサーバ１０３は、コンピュータ装置であって、図３１に示すように、メモリ２５０１とＣＰＵ２５０３とハードディスク・ドライブ（ＨＤＤ：Hard Disk Drive）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。ＣＰＵ２５０３は、アプリケーション・プログラムの処理内容に応じて表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、所定の動作を行わせる。また、処理途中のデータについては、主としてメモリ２５０１に格納されるが、ＨＤＤ２５０５に格納されるようにしてもよい。本発明の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及びアプリケーション・プログラムなどのプログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。
【０１０１】
以上述べた本発明の実施の形態をまとめると、以下のようになる。
【０１０２】
本実施の形態に係る判定装置は、（Ａ）メールを受信した端末からウイルス検体として提供される当該メールと、当該端末におけるユーザ操作又は当該端末の動作に関する状況データを受け付ける受付部と、（Ｂ）状況データと所定基準との比較結果に基づいて、上記メールに関するウイルス検体としての適性を判定する判定部とを有する。
【０１０３】
このようにすれば、状況的に信頼性が高いと推察されるウイルス検体を選別できる。また、適性判定の基準を集中的に管理できるという側面もある。
【０１０４】
上記受付部は、更に、上記端末のメールチェッカーによる上記メールに対するチェック結果を受け付けるようにしてもよい。そして、上記判定部は、比較結果とチェック結果とに基づいて、上記適性を判定するようにしてもよい。
【０１０５】
このようにすれば、有用なウイルス検体を選別し易い。
【０１０６】
本実施の形態に係る端末は、（Ｃ）メールを受信したときの、ユーザ操作又は端末自身の動作に関する状況データを特定する特定部と、（Ｄ）状況データと所定基準との比較結果に基づいて、上記メールに関するウイルス検体としての適性を判定する判定部とを有する。
【０１０７】
このようにすれば、状況的に信頼性が高いと推察されるウイルス検体を選別できる。また、無駄な検体提供を減らせるという面もある。
【０１０８】
上記端末は、更に、上記メールをチェックするメールチェッカーを有してもよい。そして、上記判定部は、比較結果とメールチェッカーによるチェック結果とに基づいて、上記適性を判定するようにしてもよい。
【０１０９】
このようにすれば、有用なウイルス検体を選別し易い。
【０１１０】
上記端末は、更に、上記適性に関する判定結果を表示する処理を行う表示処理部を有してもよい。
【０１１１】
このようにすれば、ユーザに落ち着いた状況での判断を促すことに役立つ。
【０１１２】
なお、上で述べた判定装置の処理及び上で述べた端末の処理をコンピュータに行わせるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納されるようにしてもよい。尚、中間的な処理結果は、一般的にメインメモリ等の記憶装置に一時保管される。
【０１１３】
以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。
【０１１４】
（付記１）
メールを受信した端末からウイルス検体として提供される当該メールと、当該端末におけるユーザ操作又は当該端末の動作に関する状況データを受け付ける受付部と、
前記状況データと所定基準との比較結果に基づいて、前記メールに関する前記ウイルス検体としての適性を判定する判定部と
を有する判定装置。
【０１１５】
（付記２）
前記受付部は、更に、前記端末のメールチェッカーによる前記メールに対するチェック結果を受け付け、
前記判定部は、前記比較結果と前記チェック結果とに基づいて、前記適性を判定する
付記１記載の判定装置。
【０１１６】
（付記３）
メールを受信したときの、ユーザ操作又は端末自身の動作に関する状況データを特定する特定部と、
前記状況データと所定基準との比較結果に基づいて、前記メールに関するウイルス検体としての適性を判定する判定部と
を有する端末。
【０１１７】
（付記４）
前記端末は、更に、前記メールをチェックするメールチェッカーを有し、
前記判定部は、前記比較結果と前記メールチェッカーによるチェック結果とに基づいて、前記適性を判定する
付記３記載の端末。
【０１１８】
（付記５）
前記端末は、更に、前記適性に関する判定結果を表示する処理を行う表示処理部を有する
付記４又は５記載の端末。
【０１１９】
（付記６）
メールを受信した端末からウイルス検体として提供される当該メールと、当該端末におけるユーザ操作又は当該端末の動作に関する状況データを受け付け、
前記状況データと所定基準との比較結果に基づいて、前記メールに関する前記ウイルス検体としての適性を判定する
処理を含み、コンピュータにより実行される判定方法。
【０１２０】
（付記７）
メールを受信した端末からウイルス検体として提供される当該メールと、当該端末におけるユーザ操作又は当該端末の動作に関する状況データを受け付け、
前記状況データと所定基準との比較結果に基づいて、前記メールに関する前記ウイルス検体としての適性を判定する
処理をコンピュータに実行させるプログラム。
【０１２１】
（付記８）
メールを受信したときの、ユーザ操作又は端末自身の動作に関する状況データを特定し、
前記状況データと所定基準との比較結果に基づいて、前記メールに関するウイルス検体としての適性を判定する
処理を含み、コンピュータにより実行される判定方法。
【０１２２】
（付記９）
メールを受信したときの、ユーザ操作又は端末自身の動作に関する状況データを特定し、
前記状況データと所定基準との比較結果に基づいて、前記メールに関するウイルス検体としての適性を判定する
処理をコンピュータに実行させるプログラム。
【符号の説明】
【０１２３】
１０１  クライアント端末    １０３  サーバ
２０１  メーラー    ２０３  メールチェッカー
２０５  パターン生成部    ８０１  ＯＳ
８０３  イベントロガー    ８０５  システムロガー
８０７  特定部    ８０９  送信部
８２１  メーラーログ記憶部    ８２３  セキュリティログ記憶部
８２５  イベントログ記憶部    ８２７  システムログ記憶部
８２９  状況データ記憶部    １１０１  受信部
１１０３  受付部    １１０５  算出部
１１０７  判定部    １１０９  生成部
１１１１  送信部    １１２１  検体記憶部
１１２３  状況データ記憶部    １１２５  許容範囲記憶部
１１２７  ウイルスパターン記憶部    １８０１  チェック結果記憶部
２１０１  算出部    ２１０３  判定部
２１２１  許容範囲記憶部    ２５５１  適性度記憶部
２９０１  表示処理部
【図１】
2018106464.tif 000003
【図２】
2018106464.tif 000004
【図３】
2018106464.tif 000005
【図４】
2018106464.tif 000006
【図５】
2018106464.tif 000007
【図６】
2018106464.tif 000008
【図７】
2018106464.tif 000009
【図８】
2018106464.tif 000010
【図９】
2018106464.tif 000011
【図１０】
2018106464.tif 000012
【図１１】
2018106464.tif 000013
【図１２】
2018106464.tif 000014
【図１３】
2018106464.tif 000015
【図１４】
2018106464.tif 000016
【図１５】
2018106464.tif 000017
【図１６】
2018106464.tif 000018
【図１７】
2018106464.tif 000019
【図１８】
2018106464.tif 000020
【図１９】
2018106464.tif 000021
【図２０】
2018106464.tif 000022
【図２１】
2018106464.tif 000023
【図２２】
2018106464.tif 000024
【図２３】
2018106464.tif 000025
【図２４】
2018106464.tif 000026
【図２５】
2018106464.tif 000027
【図２６】
2018106464.tif 000028
【図２７】
2018106464.tif 000029
【図２８】
2018106464.tif 000030
【図２９】
2018106464.tif 000031
【図３０】
2018106464.tif 000032
【図３１】
2018106464.tif 000033