(57)【要約】【課題】セキュリティを担保しつつ、電子メールの添付ファイルを開く際にそのファイルの危険性について確認を行う頻度を抑える。【解決手段】クライアント１０では、受信された電子メールに添付ファイルがある場合に、判定部１２が、電子メールのヘッダ情報に含まれる経路情報を安全なメールの経路情報を含むホワイトリストと照合し、添付ファイルの危険性の解析を行うか否かを判定する。解析を行う場合は、情報付加部１３が解析対象フラグを添付ファイルに付加する。ユーザがファイルを開く操作をファイルオープン検出部１５が検出したときに、ファイル送信部１６は、ファイルに解析対象フラグが付加されていればそのファイルをサーバ２０に送信する。解析結果受信部１７はそのファイルの危険性の解析結果をサーバ２０から受信する。ファイルオープン決定部１８は、解析結果が危険であればそのファイルを開くことを中止し、危険でなければそのファイルを開く。【選択図】図２
2011008730.tif 000002
【特許請求の範囲】
【請求項１】
クライアントコンピュータとサーバコンピュータとが通信回線を介して接続されてなるコンピュータシステムであって、
前記クライアントコンピュータは、
電子メールを受信する電子メール受信手段と、
前記電子メール受信手段により受信された前記電子メールの添付ファイルのうち、予め定めたルールにより危険性がある可能性があると判定された添付ファイルに、当該添付ファイルが解析対象であることを示す解析対象識別情報を付加する情報付加手段と、
ユーザがファイルを開く操作を検出する検出手段と、
ユーザが添付ファイルを開く操作を前記検出手段が検出したときに、当該添付ファイルに前記解析対象識別情報が付加されていれば、当該添付ファイルを前記サーバコンピュータに送信するファイル送信手段と、
前記ファイル送信手段により送信された前記添付ファイルの危険性を前記サーバコンピュータが解析した解析結果を、当該サーバコンピュータから受信する解析結果受信手段と、
前記解析結果に基づき、前記添付ファイルを開くかどうかを決定する決定手段とを備え、
前記サーバコンピュータは、
前記ファイル送信手段により送信された前記添付ファイルを受信するファイル受信手段と、
前記ファイル受信手段により受信された前記添付ファイルが危険性のないファイルであるか否かを解析する危険性解析手段と、
前記危険性解析手段が解析した解析結果を前記クライアントコンピュータに送信する解析結果送信手段とを備えた
ことを特徴とするコンピュータシステム。
【請求項２】
電子メールを受信する電子メール受信手段と、
前記電子メール受信手段により受信された前記電子メールの添付ファイルのうち、予め定めたルールにより危険性がある可能性があると判定された添付ファイルに、当該添付ファイルが解析対象であることを示す解析対象識別情報を付加する情報付加手段と、
ユーザがファイルを開く操作を検出する検出手段と、
ユーザが添付ファイルを開く操作を前記検出手段が検出したときに、当該添付ファイルに前記解析対象識別情報が付加されていれば、当該添付ファイルの危険性を解析する手段に当該添付ファイルを受け渡すことにより、当該添付ファイルの危険性についての解析結果を取得する解析結果取得手段と、
前記解析結果に基づき、前記添付ファイルを開くかどうかを決定する決定手段と
を備えたことを特徴とするコンピュータ装置。
【請求項３】
前記電子メールのヘッダ情報に含まれる当該電子メールの経路情報を、安全なメールの経路情報を含むホワイトリストと照合することにより、前記添付ファイルを解析対象とするか否かを判定する判定手段を更に備え、
前記情報付加手段は、前記判定手段が前記添付ファイルを解析対象とすると判定した場合に、前記解析対象識別情報を当該添付ファイルに付加することを特徴とする請求項２記載のコンピュータ装置。
【請求項４】
前記経路情報は、前記電子メールの送信元および／または当該電子メールが受信されるまでに経由したサーバを特定する情報であることを特徴とする請求項３記載のコンピュータ装置。
【請求項５】
前記決定手段は、前記添付ファイルを開くことを決定する際に、当該添付ファイルに付加された前記解析対象識別情報を削除することを特徴とする請求項２記載のコンピュータ装置。
【請求項６】
予め定めたルールにより危険性がある可能性があると判定されたファイルに、当該ファイルが解析対象であることを示す解析対象識別情報を付加するステップと、
ユーザがファイルを開く操作を検出するステップと、
ユーザが前記ファイルを開く操作が検出されたときに、当該ファイルに前記解析対象識別情報が付加されていれば、当該ファイルの危険性を解析する機能に当該ファイルを受け渡すことにより、当該ファイルの危険性についての解析結果を取得するステップと、
前記解析結果に基づき、前記ファイルを開くかどうかを決定するステップと
を含むことを特徴とするファイルオープン方法。
【請求項７】
コンピュータに、
予め定めたルールにより危険性がある可能性があると判定されたファイルに、当該ファイルが解析対象であることを示す解析対象識別情報を付加する機能と、
ユーザがファイルを開く操作を検出する機能と、
ユーザが前記ファイルを開く操作が検出されたときに、当該ファイルに前記解析対象識別情報が付加されていれば、当該ファイルの危険性を解析する機能に当該ファイルを受け渡すことにより、当該ファイルの危険性についての解析結果を取得する機能と、
前記解析結果に基づき、前記ファイルを開くかどうかを決定する機能と
を実現させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータシステム、コンピュータ装置、ファイルオープン方法、及びプログラムに関する。
【背景技術】
【０００２】
近年、特定の企業や個人のコンピュータを狙った標的型攻撃が流行の兆しを見せている。この標的型攻撃においては、攻撃者が、不正なコードが含まれたドキュメントファイル等を添付した電子メールを相手に送ることが一般的な手法になっており、受信した者がそのような添付ファイルを開くと、ソフトウェアの脆弱性等が悪用され、不正なコードが実行される。
【０００３】
標的型攻撃への対策としては、ソフトウェアを常に最新状態にアップデートすることや、ウイルス対策ソフトウェアを適切に運用することが挙げられる。しかしながら、修正プログラムが未だ提供されていないソフトウェアの脆弱性（ゼロデイ脆弱性）を悪用して行われる攻撃は防ぎようがない。また、ウイルス対策ソフトウェアでは、ウイルス定義ファイルに登録されていない新規のウイルスは検知することができない。
一方、疑わしいファイルを専用環境で開いて、通常のプログラムが実行しないようなウイルス特有の挙動があるか否かを確認する方法もある。しかしながら、単にファイルを開くためにわざわざ専用環境を使用するのでは、ユーザにとっての利便性が著しく低下するため、現実的とは言えない。
このように、ユーザの利便性を損なわないような、標的型攻撃に対する十分なセキュリティ対策がないというのが現状であった。
【０００４】
ここで、公報記載の技術として、ネットワーク環境に連接されたユーザーコンピュータが未認証のファイルを開くことを防止する方法が提案されている（例えば、特許文献１参照）。この特許文献１の技術では、プログラムファイルのファイル名フィールドと、ファイルバージョンフィールドと、ファイルの内容により計算したチェックコードフィールドとをもった認証ファイル記録を含む認証データベースを、サーバーコンピュータ及び複数のユーザーコンピュータにコピーする。そして、コピーされたそれぞれの認証データベースにより、ネットワーク環境を通して該サーバーコンピュータに進入／送出する複数のファイルが安全であるか否かを分析し、また、ユーザーコンピュータの開くファイルが安全であるか否かを検査している。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００２−０４１１７３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
そこで、標的型攻撃に対するセキュリティ対策として、特許文献１のような技術によりユーザが電子メールの添付ファイルを開くことを防止した上で、その添付ファイルが危険なものであるか否かを確認することが考えられる。しかしながら、ユーザが添付ファイルを開こうとするたびにその危険性について確認を行っていたのでは、待ち時間が頻繁に発生し、やはり利便性が低下するという問題点があった。
【０００７】
本発明の目的は、セキュリティを担保しつつ、電子メールの添付ファイルを開く際にそのファイルの危険性について確認を行う頻度を抑えることにある。
【課題を解決するための手段】
【０００８】
かかる目的のもと、本発明は、クライアントコンピュータとサーバコンピュータとが通信回線を介して接続されてなるコンピュータシステムであって、クライアントコンピュータは、電子メールを受信する電子メール受信手段と、電子メール受信手段により受信された電子メールの添付ファイルのうち、予め定めたルールにより危険性がある可能性があると判定された添付ファイルに、添付ファイルが解析対象であることを示す解析対象識別情報を付加する情報付加手段と、ユーザがファイルを開く操作を検出する検出手段と、ユーザが添付ファイルを開く操作を検出手段が検出したときに、添付ファイルに解析対象識別情報が付加されていれば、添付ファイルをサーバコンピュータに送信するファイル送信手段と、ファイル送信手段により送信された添付ファイルの危険性をサーバコンピュータが解析した解析結果を、サーバコンピュータから受信する解析結果受信手段と、解析結果に基づき、添付ファイルを開くかどうかを決定する決定手段とを備え、サーバコンピュータは、ファイル送信手段により送信された添付ファイルを受信するファイル受信手段と、ファイル受信手段により受信された添付ファイルが危険性のないファイルであるか否かを解析する危険性解析手段と、危険性解析手段が解析した解析結果をクライアントコンピュータに送信する解析結果送信手段とを備えたコンピュータシステムを提供する。
【０００９】
また、本発明は、電子メールを受信する電子メール受信手段と、電子メール受信手段により受信された電子メールの添付ファイルのうち、予め定めたルールにより危険性がある可能性があると判定された添付ファイルに、添付ファイルが解析対象であることを示す解析対象識別情報を付加する情報付加手段と、ユーザがファイルを開く操作を検出する検出手段と、ユーザが添付ファイルを開く操作を検出手段が検出したときに、添付ファイルに解析対象識別情報が付加されていれば、添付ファイルの危険性を解析する手段に添付ファイルを受け渡すことにより、添付ファイルの危険性についての解析結果を取得する解析結果取得手段と、解析結果に基づき、添付ファイルを開くかどうかを決定する決定手段とを備えたコンピュータ装置を提供する。
【００１０】
ここで、この装置は、電子メールのヘッダ情報に含まれる電子メールの経路情報を、安全なメールの経路情報を含むホワイトリストと照合することにより、添付ファイルを解析対象とするか否かを判定する判定手段を更に備え、情報付加手段は、判定手段が添付ファイルを解析対象とすると判定した場合に、解析対象識別情報を添付ファイルに付加するものであってよい。
また、この経路情報は、電子メールの送信元および／または電子メールが受信されるまでに経由したサーバを特定する情報であってよい。
【００１１】
更にまた、この装置の決定手段は、添付ファイルを開くことを決定する際に、添付ファイルに付加された解析対象識別情報を削除するものであってよい。
【００１２】
また、本発明は、予め定めたルールにより危険性がある可能性があると判定されたファイルに、ファイルが解析対象であることを示す解析対象識別情報を付加するステップと、ユーザがファイルを開く操作を検出するステップと、ユーザがファイルを開く操作が検出されたときに、ファイルに解析対象識別情報が付加されていれば、ファイルの危険性を解析する機能にファイルを受け渡すことにより、ファイルの危険性についての解析結果を取得するステップと、解析結果に基づき、ファイルを開くかどうかを決定するステップとを含むファイルオープン方法も提供する。
【００１３】
更にまた、本発明は、コンピュータに、予め定めたルールにより危険性がある可能性があると判定されたファイルに、ファイルが解析対象であることを示す解析対象識別情報を付加する機能と、ユーザがファイルを開く操作を検出する機能と、ユーザがファイルを開く操作が検出されたときに、ファイルに解析対象識別情報が付加されていれば、ファイルの危険性を解析する機能にファイルを受け渡すことにより、ファイルの危険性についての解析結果を取得する機能と、解析結果に基づき、ファイルを開くかどうかを決定する機能とを実現させるためのプログラムも提供する。
【発明の効果】
【００１４】
本発明によれば、セキュリティを担保しつつ、電子メールの添付ファイルを開く際にそのファイルの危険性について確認を行う頻度を抑えることが可能になる。
【図面の簡単な説明】
【００１５】
【図１】本実施の形態が適用されるコンピュータシステムの全体構成図である。
【図２】本実施の形態におけるクライアントの機能構成例を示したブロック図である。
【図３】本実施の形態におけるサーバの機能構成例を示したブロック図である。
【図４】電子メールのヘッダの例を示した図である。
【図５】解析対象フラグの例を示した図である。
【図６】本実施の形態において添付ファイルに解析対象フラグを付加する際のクライアントの動作例を示したフローチャートである。
【図７】本実施の形態においてユーザがファイルを開く際のクライアントの動作例を示したフローチャートである。
【図８】本実施の形態が適用されるコンピュータのハードウェア構成図である。
【発明を実施するための形態】
【００１６】
以下、添付図面を参照して、本発明の実施の形態について詳細に説明する。
まず、本実施の形態が適用されるコンピュータシステムについて説明する。
図１は、このようなコンピュータシステムの全体構成例を示した図である。
図示するように、このコンピュータシステムは、クライアント１０ａ，１０ｂと、サーバ２０とが、ネットワーク８０を介して接続されている。
【００１７】
クライアント１０ａ，１０ｂは、ユーザが使用するクライアントコンピュータである。例えば、パーソナルコンピュータやワークステーション、その他のコンピュータ装置にて実現される。本実施の形態において、クライアント１０ａ，１０ｂは、インターネットを介して図示しないメールサーバとの間で電子メールの送受信を行う。クライアント１０ａ，１０ｂは、受信された電子メールの添付ファイル（以下、単にファイルと称することもある）のうちで、後述する判定方法により解析対象であると判定されたものをサーバ２０にアップロードし、そのファイルの危険性についての解析結果をサーバ２０から受信する。尚、図１では、クライアント１０ａ，１０ｂを示したが、これらを区別する必要がない場合は、クライアント１０と称することもある。また、図１には、２台のクライアント１０しか示していないが、３台以上のクライアント１０を設けてもよい。クライアント１０の詳細な機能及び動作については後述する。
【００１８】
サーバ２０は、クライアント１０からアップロードされたファイルの危険性についての解析を行うサーバコンピュータである。例えば、パーソナルコンピュータやワークステーション、その他のコンピュータ装置にて実現される。尚、サーバ２０の詳細な機能及び動作については後述する。
ネットワーク８０は、情報の送受信に用いる通信回線である。このネットワーク８０としては、インターネットやＬＡＮ（Local Area Network）が例示される。
【００１９】
次に、クライアント１０の機能構成について説明する。
図２は、クライアント１０の機能構成例を示したブロック図である。
図示するように、クライアント１０は、電子メール受信部１１と、判定部１２と、情報付加部１３と、記憶部１４と、ファイルオープン検出部１５と、ファイル送信部１６と、解析結果受信部１７と、ファイルオープン決定部１８とを備えている。
【００２０】
電子メール受信部１１は、図示しないメールサーバから電子メールを受信する。本実施の形態では、電子メール受信手段の一例として、電子メール受信部１１を設けている。
【００２１】
判定部１２は、まず、電子メール受信部１１が受信した電子メールが添付ファイルを有するか否かを判定する。そして、所定の拡張子のファイルが添付されている場合に、電子メールのヘッダ情報に含まれる経路情報を、安全なメールの経路情報を含むホワイトリストと照合する。その結果、後述する判定基準に基づき、その添付ファイルの危険性についての解析を行うか否かを判定する。尚、経路情報とホワイトリストの具体的な内容については、後述する。本実施の形態では、受信された電子メールの添付ファイルを解析対象とするか否かを判定する判定手段の一例として、判定部１２を設けている。
【００２２】
情報付加部１３は、判定部１２が添付ファイルを解析対象であると判定した場合は、そのファイルが解析対象であることを示す解析対象識別情報の一例としての解析対象フラグ１６１（図５（Ｂ）参照）を、その添付ファイルに付加する。一方、判定部１２が添付ファイルを解析対象でないと判定した場合は、その添付ファイルには解析対象フラグ１６１を付加しない。尚、解析対象フラグ１６１については、後述する。本実施の形態では、添付ファイルに、その添付ファイルが解析対象であることを示す解析対象識別情報を付加する情報付加手段の一例として、情報付加部１３を設けている。
記憶部１４は、情報付加部１３が出力した添付ファイルを記憶する。
【００２３】
ファイルオープン検出部１５は、ユーザが記憶部１４に記憶されているファイルを開く操作を検出する。本実施の形態では、検出手段の一例として、ファイルオープン検出部１５を設けている。
【００２４】
ファイル送信部１６は、ユーザがファイルを開く操作をファイルオープン検出部１５が検出したときに、そのファイルに解析対象フラグ１６１が付加されているか否かを判定する。そして解析対象フラグ１６１が付加されていれば、ファイル送信部１６は、そのファイルをサーバ２０にアップロードする。これは、そのファイルが標的型攻撃として送られてきた可能性があることから、そのファイルを開くことにより不正なプログラムが実行されることがないかという、危険性についての解析を行うためである。本実施の形態では、添付ファイルをサーバコンピュータに送信するファイル送信手段の一例として、ファイル送信部１６を設けている。
【００２５】
解析結果受信部１７は、ファイル送信部１６がアップロードしたファイルの危険性をサーバ２０が解析した結果を、サーバ２０から受信する。本実施の形態では、解析結果受信手段の一例として、解析結果受信部１７を設けている。
【００２６】
ファイルオープン決定部１８は、解析結果受信部１７が受信した解析結果が、危険性があるという結果である場合は、図示しない表示手段に警告を表示してそのファイルを開くことを中止する。一方、解析結果が、危険性がないという結果である場合は、そのファイルから解析対象フラグ１６１を削除して、そのファイルを開く。本実施の形態では、添付ファイルを開くかどうかを決定する決定手段の一例として、ファイルオープン決定部１８を設けている。
【００２７】
次に、サーバ２０の機能構成について説明する。
図３は、サーバ２０の機能構成例を示したブロック図である。
図示するように、サーバ２０は、ファイル受信部２１と、危険性解析部２２と、解析結果送信部２３とを備えている。
【００２８】
ファイル受信部２１は、ファイル送信部１６によりアップロードされたファイルを受信する。本実施の形態では、ファイル受信手段の一例として、ファイル受信部２１を設けている。
【００２９】
危険性解析部２２は、ファイル受信部２１が受信したファイルに不正なプログラム（脆弱性を悪用するコードやコンピュータウイルス等）が含まれていないかどうかを解析する。解析方法としては、例えば、公知の技術であるスタティック・ヒューリスティック法やダイナミック・ヒューリスティック法を利用することができる。これらの具体的な内容については後述する。尚、ダイナミック・ヒューリスティック法については、例えば特開２００４−０３８２７３号公報に開示された技術を用いることができる。本実施の形態では、添付ファイルが危険性のないファイルであるか否かを解析する危険性解析手段の一例として、危険性解析部２２を設けている。
【００３０】
解析結果送信部２３は、危険性解析部２２が出力した解析結果をクライアント１０に送信する。本実施の形態では、解析結果送信手段の一例として、解析結果送信部２３を設けている。
【００３１】
ここで、危険性解析部２２によるファイルの危険性の解析方法について説明する。
上記のスタティック・ヒューリスティック法では、ファイルの改ざん・削除や自身のコピーの作成といった、コンピュータウイルス特有の挙動を行うコードが解析対象のファイルに含まれているか否かを、パターンファイルとの照合によって調べる。
一方、ダイナミック・ヒューリスティック法では、実際に解析対象のファイルを仮想環境で開いて、コンピュータウイルス特有の挙動が見られるか否かを調べる。仮想環境は、例えば「ＶＭｗａｒｅ」（登録商標）と呼ばれるソフトウェアを用いて、サーバ２０の実際のオペレーティングシステム（ホストＯＳ）上で仮想オペレーティングシステム（ゲストＯＳ）を動作させることにより、実現可能である。危険性解析部２２は、この仮想ＯＳ上で解析対象のファイルを開き、それによってファイルの改ざん・削除、不審なプロセスの実行、レジストリの書き換え等の異常が起こるか否かを監視する。尚、仮にゲストＯＳがコンピュータウイルスに感染しても、ホストＯＳとゲストＯＳとの間は論理的に遮断されているため、ホストＯＳに影響が及ぶおそれはない。
【００３２】
上記のような方法により対象ファイルの危険性を解析する際は、コンピュータウイルス特有の挙動のそれぞれに対して重み付けを行い、それを用いて対象ファイルの危険性の点数を算出するようにしても良い。危険性解析部２２は、このようにして得られる解析結果を解析結果送信部２３に対し出力する。
【００３３】
次に、電子メールの経路情報の具体的な内容について説明する。
図４は、電子メールのヘッダの例を示した図である。
電子メールのヘッダには、その電子メールがどこから送られてきたのかを示す情報が含まれている。図の例では、太枠で囲んだ記述１５１ａ及び１５１ｂが、電子メールの送信元のメールアドレス（yyyyy@eee.com）である。また、記述１５２ａ、１５２ｂ及び１５２ｃは、その電子メールが受信されるまでに経由したサーバを示す情報である。即ち、記述１５２ｃは、ホスト名“DDD.ddd.net”のサーバから送られてきたこの電子メールを、ホスト名“CCC.ccc.jp”のサーバが受け取ったことを示す。記述１５２ｂは、次にこの電子メールが、ホスト名“CCC.ccc.jp”のサーバからホスト名“BBB.bbb.jp”のサーバに送られたことを示す。そして記述１５２ａは、更にこの電子メールが、ホスト名“BBB.bbb.jp”のサーバからホスト名“AAA.aaa.co.jp”のサーバに送られ、最終的にメールアドレス“xxxxx@aaa.co.jp”宛に送られたことを示す。本実施の形態では、電子メールの経路情報の一例として、送信元ドメイン（図の例では“eee.com”）、及びその電子メールが受信されるまでに経由したサーバのホスト名（“AAA.aaa.co.jp”等）、並びにそれらのＩＰアドレスを使用する。
【００３４】
次に、ホワイトリストの具体的な内容について説明する。
本実施の形態では、普段から電子メールのやり取りをしている企業等は安全な送信元（差出人）であるとみなして、そのメールアドレス（送信元ドメイン）を予めホワイトリストに登録しておく。また、安全な送信元については、そこから送られてきた電子メールが経由したサーバのホスト名及びそれらのＩＰアドレスを、その送信元のメールアドレスに関連付けて、ホワイトリストに登録しておく。ただし、同じ送信元からの電子メールであっても、場合によっては途中の経路が変わることもあり得るため、既に登録されている経路と異なる経路をとったものがあれば、その電子メールの経路情報もホワイトリストに登録しておく。これらの登録は、例えばユーザが自ら行うこともできるし、判定部１２が自動で行うようにしても良い。本実施の形態では、安全なメールの経路情報を含むホワイトリストの一例として、このホワイトリストを使用する。
【００３５】
次に、解析対象フラグ１６１について説明する。
図５は、解析対象フラグ１６１の例を示した図である。図５（Ａ）は、解析対象フラグ１６１が付加されていない状態の、ファイルの一部をバイナリ表示したものである。一方、図５（Ｂ）は、解析対象フラグ１６１が付加されている状態の、ファイルの一部をバイナリ表示したものである。
図５（Ｂ）では、解析対象フラグ１６１として、“***THIS FILE MUST BE ANALYZED***”の文字列がファイルの先頭に付加されている。本実施の形態では、判定部１２の判定結果に応じて、情報付加部１３がこの文字列をファイルの先頭に付加し、また、ファイル送信部１６がファイルの先頭にこの文字列が付加されているか否かを判定する。尚、付加する文字列及び位置はこれに限られず、任意の文字列及びファイル内の任意の位置とすることができる。また、文字列の付加ではなく、ファイル内の特定の位置の特定のバイト数を特定の文字列に置換しても良い。更に、セキュリティ対策の観点からは、ファイルの拡張子を変更することによって、ユーザがそのファイルを容易に開けないようにすることが好ましい。
【００３６】
以下では、本実施の形態におけるクライアント１０の動作について説明する。まず、電子メール受信部１１が電子メールを受信したときに、その添付ファイルを解析対象とするか否かを判定し、判定結果に応じて添付ファイルに解析対象フラグ１６１を付加する処理について説明する。
図６は、本実施の形態において添付ファイルに解析対象フラグ１６１を付加する際のクライアント１０の動作例を示したフローチャートである。
まず、判定部１２は、電子メール受信部１１が受信した電子メールが所定の拡張子の添付ファイルを有するか否かを判定する（ステップ１０１）。所定の拡張子としては、“ｅｘｅ”、“ｄｏｃ”等の、不正なプログラムが含まれる可能性があると考えられるものが挙げられる。この所定の拡張子は、ユーザが設定できるようにすることが望ましい。電子メールに添付ファイルがないか、又は添付ファイルがあってもそれが所定の拡張子のものでない場合は、危険性がないと判断できるため、処理を終了する。
【００３７】
一方、所定の拡張子の添付ファイルがある場合は、その電子メールの送信元ドメインがホワイトリストに登録されているか否かを判定する（ステップ１０２）。登録されている場合は、更に、転送経路上のサーバがホワイトリストに登録されているものと異なるか否かを判定する（ステップ１０３）。即ち、その電子メールが転送されてきた経路上にあるサーバのホスト名及びそれらのＩＰアドレスの中で、その送信元ドメインに関連付けてホワイトリストに登録されているものと異なるものがあるか否かを調べる。そして異なるものがあった場合は、送信元ドメインが偽装されている可能性もあり得るため、その電子メールの添付ファイルを解析対象であるとして、情報付加部１３がその添付ファイルに解析対象フラグ１６１を付加し（ステップ１０４）、処理を終了する。
【００３８】
ステップ１０２において「登録されていない」という結果であったか、又はステップ１０３において「異なるものがない」という結果であった場合は、次に、送信元ドメインがその電子メールの転送経路上に存在しないかどうかを判定する（ステップ１０５）。そして「存在する」という結果である場合は、更に、その電子メールの送信元ドメインのＩＰアドレスが、実際のものと異なるか否かを判定する（ステップ１０６）。この判定は、公知の技術である送信ドメイン認証と同様の方法で行うことができる。この結果が同じである場合は、最後に、送信元ドメインが予め定義されたブラックリストに登録されているか否かを判定する（ステップ１０７）。そして送信元ドメインがブラックリストに登録されていないならば、その電子メールの送信元は信頼できるとみなして、その添付ファイルを解析対象とせず、処理を終了する。尚、ブラックリストとしては、心当たりのない差出人から来た不審な電子メールの経路情報を、ホワイトリストと同様に登録したものを使用する。
【００３９】
一方、ステップ１０５において「存在しない」という結果であったか、ステップ１０６において「異なる」という結果であったか、又はステップ１０７において「登録されている」という結果であった場合は、ステップ１０４に移行し、情報付加部１３がその添付ファイルに解析対象フラグ１６１を付加して、処理を終了する。
【００４０】
尚、添付ファイルを解析対象とするか否かを判定する際に、電子メールの経路情報だけでなく、添付ファイル自体の情報を使用することも可能である。例えば、不審な電子メールの添付ファイルについてハッシュ値をとって、それを予め上記のブラックリストに登録しておき、ステップ１０７において、判定の対象である添付ファイルのハッシュ値をブラックリストのものと比較するというようなことが考えられる。
【００４１】
本実施の形態では、予め定めたルールの一例として、上記のように電子メールの経路情報を使用し、解析対象フラグ１６１を付加する添付ファイルを選択する処理を行っている。しかしながら、選択の際のルールは上記のものに限られず、予め定めたルールであれば、如何なるルールであっても良い。
【００４２】
次に、ユーザがファイルを開く際にクライアント１０が行う処理について説明する。
図７は、本実施の形態においてユーザがファイルを開く際のクライアント１０の動作例を示したフローチャートである。
まず、ファイルオープン検出部１５は、ユーザがファイルを開く操作を検出するまで待機する（ステップ１２１）。そのような操作が検出されたときは、ファイル送信部１６が、そのファイルに解析対象フラグ１６１が付加されているか否かを判定する（ステップ１２２）。解析対象フラグ１６１が付加されていれば、ファイル送信部１６は、サーバ２０にそのファイルの危険性についての解析を行ってもらうため、そのファイルをサーバ２０へアップロードする（ステップ１２３）。
【００４３】
解析結果受信部１７は、サーバ２０が上述した方法によりそのファイルの危険性についての解析を行った結果をサーバ２０から受信する（ステップ１２４）。そしてファイルオープン決定部１８は、その解析結果が、危険性があるという結果であるか否かを判定する（ステップ１２５）。危険性がない場合は、ファイルオープン決定部１８は、そのファイルから解析対象フラグ１６１を削除して、そのファイルを開く（ステップ１２６、１２７）。一方、危険性がある場合は、図示しない表示手段に警告を表示してそのファイルを開くことを中止する（ステップ１２８）。
また、ステップ１２２において、解析対象フラグ１６１が付加されていないと判定された場合は、ステップ１２７へ移行し、危険性についての解析は行われずにファイルが開かれる。
【００４４】
尚、ステップ１２６において解析対象フラグ１６１を削除する代わりに、そのファイルが安全であることを示す安全フラグを新たに付加しても良い。その場合は、ステップ１２２の前で、ユーザが開こうとするファイルに安全フラグが含まれているかを判定する。安全フラグが含まれていれば、危険性についての解析は行われずにファイルが開かれる。
以上により、本実施の形態の動作は終了する。
【００４５】
ところで、以上の説明ではファイルの危険性についての解析は、サーバ２０が行ったが、クライアント１０が自ら解析処理を行っても良い。その場合のクライアント１０は、ファイル送信部１６及び解析結果受信部１７に代えて、解析結果取得部（不図示）を備える必要がある。解析結果取得部は、図７におけるステップ１２３及び１２４に代えて、ファイルの危険性を解析する手段にそのファイルを受け渡し、その手段から解析結果を取得する。この解析結果取得部は、解析結果取得手段の一例である。
【００４６】
以上述べたように、本実施の形態では、電子メールのヘッダ情報に含まれる経路情報を利用して、電子メールの添付ファイルのうちで解析対象とするものに解析対象フラグ１６１を付加し、ユーザが、解析対象フラグ１６１が付加されているファイルを開くときだけ危険性の解析を行うようにした。これにより、セキュリティを担保しつつ、電子メールの添付ファイルを開く際にそのファイルの危険性について確認を行う頻度を抑えることが可能になった。
【００４７】
最後に、本実施の形態におけるクライアント１０及びサーバ２０のハードウェア構成について説明する。図８は、このようなコンピュータのハードウェア構成の一例を示した図である。図示するように、コンピュータは、演算手段であるＣＰＵ（Central Processing Unit）９０と、Ｍ／Ｂ（マザーボード）チップセット９１を介してＣＰＵ９０に接続されたメインメモリ９２と、同じくＭ／Ｂチップセット９１を介してＣＰＵ９０に接続された表示機構９３とを備える。また、Ｍ／Ｂチップセット９１には、ブリッジ回路９４を介して、ネットワークインターフェイス９５と、磁気ディスク装置（ＨＤＤ）９６と、音声機構９７と、キーボード／マウス９８と、フレキシブルディスクドライブ９９とが接続されている。
【００４８】
尚、図８において、各構成要素は、バスを介して接続される。例えば、ＣＰＵ９０とＭ／Ｂチップセット９１の間や、Ｍ／Ｂチップセット９１とメインメモリ９２の間は、ＣＰＵバスを介して接続される。また、Ｍ／Ｂチップセット９１と表示機構９３との間は、ＡＧＰ（Accelerated Graphics Port）を介して接続されてもよいが、表示機構９３がＰＣＩ Ｅｘｐｒｅｓｓ対応のビデオカードを含む場合、Ｍ／Ｂチップセット９１とこのビデオカードの間は、ＰＣＩ Ｅｘｐｒｅｓｓ（ＰＣＩｅ）バスを介して接続される。また、ブリッジ回路９４と接続する場合、ネットワークインターフェイス９５については、例えば、ＰＣＩ Ｅｘｐｒｅｓｓを用いることができる。また、磁気ディスク装置９６については、例えば、シリアルＡＴＡ（AT Attachment）、パラレル転送のＡＴＡ、ＰＣＩ（Peripheral Components Interconnect）を用いることができる。更に、キーボード／マウス９８、及び、フレキシブルディスクドライブ９９については、ＵＳＢ（Universal Serial Bus）を用いることができる。
【００４９】
尚、クライアント１０の各機能は、ソフトウェアとハードウェア資源とが協働することにより実現される。具体的には、ＣＰＵ９０（図８参照）が、電子メール受信部１１と、判定部１２と、情報付加部１３と、ファイルオープン検出部１５と、ファイル送信部１６と、解析結果受信部１７と、ファイルオープン決定部１８との各機能を実現するプログラムを、例えば磁気ディスク装置９６（図８参照）からメインメモリ９２（図８参照）に読み込んで処理を行う。また、記憶部１４は、例えば磁気ディスク装置９６（図８参照）によって実現される。サーバ２０のファイル受信部２１と、危険性解析部２２と、解析結果送信部２３との各機能についても、クライアント１０と同様である。
【符号の説明】
【００５０】
１０…クライアント、１１…電子メール受信部、１２…判定部、１３…情報付加部、１５…ファイルオープン検出部、１６…ファイル送信部、１７…解析結果受信部、１８…ファイルオープン決定部、２０…サーバ、２１…ファイル受信部、２２…危険性解析部、２３…解析結果送信部、１６１…解析対象フラグ
【図１】
2011008730.tif 000003
【図２】
2011008730.tif 000004
【図３】
2011008730.tif 000005
【図４】
2011008730.tif 000006
【図５】
2011008730.tif 000007
【図６】
2011008730.tif 000008
【図７】
2011008730.tif 000009
【図８】
2011008730.tif 000010