(57)【要約】コンピューターウィルスおよび他のメッセージを媒介とする脅威の早期検知は、経験則によるテストをメッセージコンテンツに適用しおよびウィルスシグネチャ情報が利用できない場合に送信者信用情報を調べることによって提供される。その結果、メッセージングゲートウェイはウィルスの突然発生時にメッセージの配信を早期に停止することができ、メッセージからウィルスコードを取り除くことができるアンチウィルスチェッカーを更新するのに十分な時間を提供する。動的およびフレキシブルな脅威隔離キューは、先入れ先出し以外の順序メッセージの早期解放を許容する様々な終了基準および終了アクションを備える。脅威ルールを選択されたメッセージ要素のみと照合することおよび一つのメッセージ要素に対する照合が脅威閾値を超えるとすぐにルール照合を中止することによって構文解析およびスキャニングからの早期終了が発生可能であるメッセージスキャン方法を説明する。
2008545177.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークインタ−フェース、
ネットワークインタ−フェースに接続された一つ以上の処理装置および、
一つ以上の処理装置に接続され、一つ以上の処理装置によって実行される際に、一つ以上の処理装置に下記を実行させるロジック：
受信者アカウントの宛先アドレスを有する電子メールメッセージを受信する；
コンピューターウィルスを含むことがわかっているメッセージの属性を規定する一つ以上のルールに基づいて、メッセージに対するウィルススコア値を決定する、該属性は、メッセージへの添付ファイルの種類、添付ファイルのサイズ、およびメッセージの送信者、件名または本文および添付ファイル以外のシグネチャに基づく一つ以上の経験則を含む；
ウィルスコア値が規定の閾値と同じかそれを上回る場合に、メッセージを受信者アカウントに即座に配信せずに、メッセージを隔離キューに記憶する；
を備えた装置。
【請求項２】
属性が添付ファイルのコンテンツの種類を含むことを特徴とする請求項１または３０に記載の装置。
【請求項３】
属性がメッセージの送信者の識別を含むことを特徴とする請求項１または３０に記載の装置。
【請求項４】
経験則は、メッセージの本文のコンテンツを、ウィルスを保有する他のメッセージの本文に一般的に用いられる単語の辞書と照合することを含むことを特徴とする請求項１または３０に記載の装置。
【請求項５】
経験則は、メッセージの件名のコンテンツを、ウィルスを保有する他のメッセージの件名欄に一般的に用いられる単語の辞書を照合することを含むことを特徴とする請求項１または３０に記載の装置。
【請求項６】
経験則は：
送信者識別子をメッセージから抽出する；
送信者識別子と関連付けられた信用スコア値を読み出す；
信用スコア値に少なくとも部分的に基づいてウィルスコア値を決定する
ことを含むことを特徴とする請求項１または３０に記載の装置。
【請求項７】
経験則は、メッセージの添付ファイルのバイトをＭｉｃｒｏｓｏｆｔ（登録商標）の実行ファイルの初期バイトを固有に識別するルールと照合することを含むことを特徴とする請求項１または３０に記載の装置。
【請求項８】
経験則は：
送信者識別子をメッセージから抽出する；
送信者識別子がローカルに記憶された送信者のブラックリストの中にあるか否かを決定する；
送信者識別子がブラックリストの中にあるか否かに少なくとも部分的に基づいてウィルスコア値を決定する
ことを含むことを特徴とする請求項１または３０に記載の装置
【請求項９】
経験則は：
送信者識別子をメッセージから抽出する；
ネットワーク上で、送信者識別子が記憶された送信者のブラックリストの中にあるか否かを決定するよう外部サービスを要求し、および外部サービスからの応答を受信する；
応答に少なくとも部分的に基づいてウィルスコア値を決定する
ことを含むことを特徴とする請求項１または３０に記載の装置。
【請求項１０】
ネットワークインタ−フェース、
ネットワークインタ−フェースに接続された一つ以上の処理装置、および
一つ以上の処理装置に接続され、一つ以上の処理装置によって実行される際に、一つ以上の処理装置に下記を実行させるロジック：
受信者アカウントの宛先アドレスを有する電子メールメッセージを受信する；
メッセージに対する脅威スコア値を決定する；
脅威スコア値が規定の脅威閾値と同じかそれを上回る場合に、メッセージを受信者アカウントに即座に配信せずに、メッセージを隔離キューに記憶する；
先入れ先出しの以外の順序で複数の隔離終了基準のうち任意の基準に基づいて隔離キューからメッセージを解放する、それぞれの隔離終了基準は一つ以上の終了アクションと関連付けられている；
特定の終了基準に基づいて、関連付けられた一つ以上の終了アクションを選択しおよび実行する
を備えた装置。
【請求項１１】
隔離終了基準は、メッセージ隔離時間制限の満了、隔離キューのオーバーフロー、隔離キューからの手動解放、および脅威スコア値を決定するために一つ以上のルールの更新を受信することを含むことを特徴とする請求項１０または３１に記載の装置。
【請求項１２】
終了アクションは、メッセージから添付ファイルを取り除きおよび添付ファイルのないメッセージを受信者アカウントに配信する；メッセージを削除する；メッセージの件名欄を修正する；およびＸヘッダをメッセージに付加することを含むことを特徴とする請求項１０または３１に記載の装置。
【請求項１３】
（ａ）メッセージ隔離からメッセージを手動解放するようにとのユーザー要求、（ｂ）メッセージと関連付けられたタイマーの満了、（ｃ）隔離が満杯になりつつあるというメッセージに対応して異なるアクションを実行するロジックをさらに含むことを特徴とする請求項１０または３１に記載の装置。
【請求項１４】
（ａ）メッセージ隔離からメッセージを手動解放するようにとのユーザー要求に対応して、メッセージを修正なしに受信者アカウントに配信する；および（ｂ）隔離が満杯に成りつつあるというメッセージに対応して、メッセージから添付ファイルを取り除きおよび添付ファイルのないメッセージを受信者アカウントに配信するロジックをさらに含むことを特徴とする請求項１０または３１に記載の装置。
【請求項１５】
満了時間値をメッセージに割り当てるロジックをさらに含み、満了時間値は、経験則によるテストをメッセージコンテンツに適用する結果に基づいて異なることを特徴とする請求項１０または３１に記載の装置。
【請求項１６】
隔離終了基準は、脅威スコア値を決定するために一つ以上のルールの更新を受信することを含み、および、終了アクションは更新されたルールに基づいてメッセージに対する脅威スコア値を再び決定することを含むことをさらに特徴とする請求項１０または３１に記載の装置。
【請求項１７】
終了アクションはメッセージのコピーを装置以外のホスト上にある第二の隔離キューに送信することを含むことを特徴とする請求項１０または３１に記載の装置。
【請求項１８】
一つ以上の異なる終了アクション群が異なる隔離終了基準と関連付けられていることを特徴とする請求項１０または３１に記載の装置。
【請求項１９】
脅威スコア値が規定の報告の閾値と同じかそれを上回る時を決定し、およびそれに対応して警告メッセージを作成しおよび別のホストに送信することを特徴とする請求項１０または３１に記載の装置。
【請求項２０】
脅威がウィルス、スパム、またはフィッシング攻撃のうちいずれか一つを含むことを特徴とする請求項１０または３１に記載の装置。
【請求項２１】
ネットワークインタ−フェース、
ネットワークインタ−フェースに接続された一つ以上の処理装置、および
一つ以上の処理装置に接続され、一つ以上の処理装置によって実行される際に、一つ以上の処理装置に下記を実行させるロジック：
メッセージと関連付けられた脅威を示す電子メッセージの特性を規定する複数のルールを受信しおよび記憶する、それぞれのルールが優先順位の値を持ち、それぞれのルールがメッセージ要素型と関連付けられている；
受信者アカウントの宛先アドレスを有する電子メールメッセージを受信し、メッセージが複数のメッセージ要素を含む；
第一のメッセージ要素を抽出する；
第一のメッセージ要素のみを、第一のメッセージ要素に対応するメッセージ要素型を有する選択されたルールのみと、および選択されたルールの優先順位の順序にしたがって照合することによって、メッセージに対する脅威スコア値を決定する；
脅威スコア値が規定の閾値よりも大きい場合に、脅威スコア値を出力する
を備えた装置。
【請求項２２】
脅威スコア値が規定の閾値未満である場合にのみ、他のメッセージ要素を他のルールと照合することによって、メッセージに対する更新された脅威スコア値を決定するロジックをさらに含むことを特徴とする請求項２１または３２に記載の装置。
【請求項２３】
メッセージ要素が、一つ以上のメッセージヘッダ、メッセージ本文、およびメッセージ本文中に一つ以上のＨＴＭＬ要素を含むことを特徴とする請求項２１または３２に記載の装置。
【請求項２４】
第一のメッセージ要素が一つ以上のメッセージヘッダを含み、選択されたルールがヘッダルールのみを含み、および複数のルールがヘッダルール、メール本文ルール、およびＨＴＭＬ本文ルールを含むことを特徴とする請求項２１または３２に記載の装置。
【請求項２５】
第一のメッセージ要素のみを、第一のメッセージ要素に対応するメッセージ要素型を有する選択されたルールのみと、および選択されたルールの優先順位の順序にしたがって照合することによって、メッセージに対する脅威スコア値を決定し；選択されたルールのうちそれぞれのルールを照合した後、脅威スコア値が規定の閾値よりも大きいか否かをテストし；および、脅威スコア値が規定の閾値よりも大きい場合に、その脅威スコア値を出力するロジックをさらに含むことを特徴とする請求項２１または３２に記載の装置。
【請求項２６】
メッセージの本文を解読することによってメッセージに対する更新された脅威スコア値を決定し、および脅威スコア値が規定の閾値未満である場合にのみ本文を一つ以上のメール本文ルールと照合するロジックをさらに含むことを特徴とする請求項２１または３２に記載の装置。
【請求項２７】
マークアップ言語メッセージ要素を表示することによってメッセージに対する更新された脅威スコア値を決定し、および脅威スコア値が規定の閾値未満である場合にのみ表示されたマークアップ言語メッセージ要素を一つ以上の本文ルールと照合するロジックをさらに含むことを特徴とする請求項２１または３２に記載の装置。
【請求項２８】
ロジックがアンチスパムスキャンエンジンを含むことを特徴とする請求項２１または３２に記載の装置。
【請求項２９】
脅威がウィルス、スパムまたはフィッシング攻撃のうちいずれか一つを含むことを特徴とする請求項１０または３１に記載の装置。
【請求項３０】
受信者アカウントの宛先アドレスを有する電子メールメッセージを受信する手段、
コンピューターウィルスを含むことがわかっているメッセージの属性を規定する一つ以上のルールに基づいて、メッセージに対するウィルススコア値を決定する手段であって、該属性は、メッセージへの添付ファイルの種類、添付ファイルのサイズ、およびメッセージの送信者、件名または本文および添付ファイル以外のシグネチャに基づく一つ以上の経験則を含むものである手段、および
ウィルスコア値が規定の閾値と同じかそれを上回る場合に、メッセージを受信者アカウントに即座に配信せずに、メッセージを隔離キューに記憶する手段
を備えた装置。
【請求項３１】
受信者アカウントの宛先アドレスを有する電子メールメッセージを受信する手段、
メッセージに対する脅威スコア値を決定する手段、
脅威スコア値が規定の脅威閾値と同じかそれを上回る場合に、メッセージを受信者アカウントに即座に配信せずに、メッセージを隔離キューに記憶する手段、
先入れ先出しの以外の順序で複数の隔離終了基準のうち任意の基準に基づいて隔離キューからメッセージを解放する手段であって、それぞれの隔離終了基準は一つ以上の終了アクションと関連付けられている手段、および
特定の終了基準に基づいて、関連付けられた一つ以上の終了アクションを選択しおよび実行する手段
を備えた装置。
【請求項３２】
メッセージと関連付けられた脅威を示す電子メッセージの特性を規定する複数のルールを受信しおよび記憶する手段であって、それぞれのルールが優先順位の値を持ち、それぞれのルールがメッセージ要素型と関連付けられている手段、
受信者アカウントの宛先アドレスを有する電子メールメッセージを受信し、メッセージが複数のメッセージ要素を含む手段、
第一のメッセージ要素を抽出する手段、
第一のメッセージ要素のみを、第一のメッセージ要素に対応するメッセージ要素型を有する選択されたルールのみと、および選択されたルールの優先順位の順序にしたがって照合することによって、メッセージに対する脅威スコア値を決定する手段、および
脅威スコア値が規定の閾値よりも大きい場合に、脅威スコア値を出力する手段
を備えた装置。
【請求項３３】
受信者アカウントの宛先アドレスを有する電子メールメッセージを受信するステップ、
コンピューターウィルスを含むことがわかっているメッセージの属性を規定する一つ以上のルールに基づいて、メッセージに対するウィルススコア値を決定するステップであって、該属性は、メッセージへの添付ファイルの種類、添付ファイルのサイズ、およびメッセージの送信者、件名または本文および添付ファイル以外のシグネチャに基づく一つ以上の経験則を含むものであるステップ、
ウィルスコア値が規定の閾値と同じかそれを上回る場合に、メッセージを受信者アカウントに即座に配信せずに、メッセージを隔離キューに記憶するステップ
を有してなる方法。
【請求項３４】
属性が添付のコンテンツの種類を含むことを特徴とする請求項３３に記載の方法。
【請求項３５】
属性がメッセージの送信者の識別を含むことを特徴とする請求項３３に記載の方法。
【請求項３６】
経験則は、メッセージの本文のコンテンツを、ウィルスを保有する他のメッセージの本文に一般的に用いられる単語の辞書と照合することを含むことを特徴とする請求項３３に記載の方法。
【請求項３７】
経験則は、メッセージの件名のコンテンツを、ウィルスを保有する他のメッセージの件名欄に一般的に用いられたる単語の辞書を照合することを含むことを特徴とする請求項３３に記載の方法。
【請求項３８】
経験則は：
送信者識別子をメッセージから抽出する；
送信者識別子と関連付けられた信用スコア値を読み出す；
信用スコア値に少なくとも部分的に基づいてウィルスコア値を決定する
ことを含むことを特徴とする請求項３３に記載の方法
【請求項３９】
経験則は、メッセージの添付ファイルのバイトを「Ｍｉｃｒｏｓｏｆｔ」の実行ファイルの初期バイトを固有に識別するルールと照合することを含むことを特徴とする請求項３３に記載の方法。
【請求項４０】
経験則は：
送信者識別子をメッセージから抽出する；
送信者識別子がローカルに記憶された送信者のブラックリストの中にあるか否かを決定する；
送信者識別子がブラックリストの中にあるか否かに少なくとも部分的に基づいてウィルスコア値を決定する
ことを含むことを特徴とする請求項３３に記載の方法
【請求項４１】
経験則は：
送信者識別子をメッセージから抽出する；
ネットワーク上で、送信者識別子が記憶された送信者のブラックリストの中にあるか否かを決定するよう外部サービスを要求し、および外部サービスからの応答を受信する；
応答に少なくとも部分的に基づいてウィルスコア値を決定する
ことを含むことを特徴とする請求項３３に記載の方法。
【請求項４２】
受信者アカウントの宛先アドレスを有する電子メールメッセージを受信するステップ、
メッセージに対する脅威スコア値を決定するステップ、
脅威スコア値が規定の脅威閾値と同じかそれを上回る場合に、メッセージを受信者アカウントに即座に配信せずに、メッセージを隔離キューに記憶するステップ、
先入れ先出しの以外の順序で複数の隔離終了基準のうち任意の基準に基づいて隔離キューからメッセージを解放するステップであって、それぞれの隔離終了基準は一つ以上の終了アクションと関連付けられているステップ、および
特定の終了基準に基づいて、関連付けられた一つ以上の終了アクションを選択しおよび実行するステップ
を有してなる方法。
【請求項４３】
隔離終了基準は、メッセージ隔離時間制限の満了、隔離キューのオーバーフロー、隔離キューからの手動解放、および脅威スコア値を決定するために一つ以上のルールの更新を受信することを含むことを特徴とする請求項４２に記載の方法。
【請求項４４】
終了アクションは、メッセージから添付ファイルを取り除きおよび添付ファイルのないメッセージを受信者アカウントに配信する；メッセージを削除する；メッセージの件名欄を修正する；およびＸヘッダをメッセージに付加することを含むことを特徴とする請求項４２に記載の方法。
【請求項４５】
（ａ）メッセージ隔離からメッセージを手動解放するようにとのユーザー要求、（ｂ）メッセージと関連付けられたタイマーの満了、（ｃ）隔離が満杯になりつつあるというメッセージに対応して異なるアクションを実行するロジックをさらに含むことを特徴とする請求項４２に記載の方法。
【請求項４６】
（ａ）メッセージ隔離からメッセージを手動解放するようにとのユーザー要求に対応して、メッセージを修正なしに受信者アカウントに配信する；および（ｂ）隔離が満杯に成りつつあるというメッセージに対応して、メッセージから添付ファイルを取り除きおよび添付ファイルのないメッセージを受信者アカウントに配信するロジックをさらに含むことを特徴とする請求項４２に記載の方法。
【請求項４７】
満了時間値をメッセージに割り当てるロジックをさらに含み、満了時間値が、経験則によるテストをメッセージコンテンツに適用する結果に基づいて異なることを特徴とする請求項４２に記載の方法。
【請求項４８】
隔離終了基準は、脅威スコア値を決定するために一つ以上のルールの更新を受信することを含み、および、終了アクションは更新されたルールに基づいてメッセージに対する脅威スコア値を再び決定することを含むことをさらに特徴とする請求項４２に記載の方法。
【請求項４９】
終了アクションはメッセージのコピーを装置以外のホスト上にある第二の隔離キューに送信することを含むことを特徴とする請求項４２に記載の方法。
【請求項５０】
一つ以上の異なる終了アクション群が異なる隔離終了基準と関連付けられていることを特徴とする請求項４２に記載の方法。
【請求項５１】
脅威スコア値が規定の報告の閾値と同じかそれを上回る時を決定し、およびそれに対応して警告メッセージを作成しおよび別のホストに送信することを特徴とする請求項４２に記載の方法。
【請求項５２】
脅威がウィルス、スパムまたはフィッシング攻撃のうちいずれか一つを含むことを特徴とする請求項４２に記載の方法。
【請求項５３】
ネットワークインタ−フェース、
ネットワークインタ−フェースに接続された一つ以上の処理装置、
一つ以上の処理装置に接続され、一つ以上の処理装置によって実行される際に、一つ以上の処理装置に下記を実行させるロジック：
メッセージと関連付けられた脅威を示す電子メッセージの特性を規定する複数のルールを受信しおよび記憶する、それぞれのルールが優先順位の値を持ち、それぞれのルールがメッセージ要素型と関連付けられている；
受信者アカウントの宛先アドレスを有する電子メールメッセージを受信し、該メッセージは複数のメッセージ要素を含む；
第一のメッセージ要素を抽出する；
第一のメッセージ要素のみを、第一のメッセージ要素に対応するメッセージ要素型を有する選択されたルールのみと、および選択されたルールの優先順位の順序にしたがって照合することによって、メッセージに対する脅威スコア値を決定する；
脅威スコア値が規定の閾値よりも大きい場合に、脅威スコア値を出力する
を有してなる方法。
【請求項５４】
脅威スコア値が規定の閾値未満である場合にのみ、他のメッセージ要素を他のルールと照合することによって、メッセージに対する更新された脅威スコア値を決定するロジックをさらに含むことを特徴とする請求項５３に記載の方法。
【請求項５５】
メッセージ要素が、一つ以上のメッセージヘッダ、メッセージ本文、およびメッセージ本文中に一つ以上のＨＴＭＬ要素を含むことを特徴とする請求項５３に記載の方法。
【請求項５６】
第一のメッセージ要素が一つ以上のメッセージヘッダを含み、選択されたルールがヘッダルールのみを含み、および複数のルールがヘッダルール、メール本文ルール、およびＨＴＭＬ本文ルールを含むことを特徴とする請求項５３に記載の方法。
【請求項５７】
第一のメッセージ要素のみを、第一のメッセージ要素に対応するメッセージ要素型を有する選択されたルールのみと、および選択されたルールの優先順位の順序にしたがって照合することによって、メッセージに対する脅威スコア値を判断し；選択されたルールのうちそれぞれのルールを照合した後、脅威スコア値が規定の閾値よりも大きい場合に、脅威スコア値を出力するロジックをさらに含むことを特徴とする請求項５３に記載の方法。
【請求項５８】
メッセージの本文を解読することによってメッセージに対する更新された脅威スコア値を決定し、および脅威スコア値が規定の閾値未満である場合にのみ本文を一つ以上のメール本文ルールと照合するロジックをさらに含むことを特徴とする請求項５３に記載の方法。
【請求項５９】
マークアップ言語メッセージ要素を表示することによってメッセージに対する更新された脅威スコア値を決定し、および脅威スコア値が規定の閾値未満である場合にのみ表示されたマークアップ言語メッセージ要素を一つ以上の本文ルールと照合するロジックをさらに含むことを特徴とする請求項５３に記載の方法。
【請求項６０】
ロジックがアンチスパムスキャンエンジンを含むことを特徴とする請求項５３に記載の方法。
【請求項６１】
脅威がウィルス、スパムまたはフィッシング攻撃のうちいずれか一つを含むことを特徴とする請求項５３に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は一般に、電子メッセージ中でコンピューターウィルス、スパム、およびフィッシング攻撃といった脅威を検知する。より具体的には、本発明は電子メッセージ中での脅威の新たな発生に応答し、脅威を保持するメッセージの隔離キューを管理し、および脅威を探してメッセージをスキャンする技術に関する。
【背景技術】
【０００２】
この節に記載されるアプローチは追求しうるが、必ずしもこれまでに思い付いたりまたは追求されてきたアプローチではない。したがって、本明細書中に他に示されない限り、この章に記載されるアプローチは、本出願明細書中の特許請求の範囲に対する先行技術ではなく、およびこの章に包含することによって先行技術に加えられることはない。
【０００３】
公共のネットワークに接続されたコンピューター中のメッセージを媒介とするウィルスの繰り返しの発生は、とりわけ大規模な私設ネットワークを備えた企業にとって深刻な問題となった。何千ドルの直接および間接コストが、無駄になった従業員の生産性、追加的なハードウェアおよびソフトウェアを購入するための設備投資、多くのウィルスが共有ディレクトリ上のファイルを破壊することを理由とする失われた情報、および、多くのウィルスがファイルに添付され、およびランダムファイルをユーザーのコンピューターから送信することを理由とするプライバシーおよび機密保持の侵害から生じうる。
【０００４】
さらに、ウィルスによる損害はきわめて短時間のうちに発生する。非常に高い比率の企業ネットワーク中のマシンが、ウィルスが突然発生した時と、ウィルス定義が公開されてウィルス感染したメッセージを検知できおよび阻止できる企業のメールゲートウェイに配備される時との間に感染する可能性がある。「突然発生」と「ルールの配備」との間の時間枠は、多くの場合５時間またはそれ以上である。反応時間を削減することは極めて価値が高いであろう。
【０００５】
大部分のウィルスの突然発生において、実行可能な添付ファイルは現在はウィルスコードのキャリヤとしての役割を果たしている。たとえば、過去３年間に発生した１７個の主要なウィルスの突然発生のうち、１３個のウィルスは電子メールの添付ファイルを介して送信された。電子メールの添付ファイルを介して送信された１３個のウィルスのうち１２個は、危険な添付ファイルの種類を介して送信された。このように、いくつかの企業ネットワークのメールゲートウェイは今やすべての種類の実行可能な添付ファイルを阻止する。
【０００６】
それに明らかに対応して、現在のウィルス作成者は実行ファイルを隠している。ウィルス作成者はますます、一見無害に見えるファイルの中に既知の危険なファイルの種類を隠しつつある。たとえば、あるウィルス作成者は、ＷｉｎＺＩＰおよび他のアーカイブユーティリティによって生成された種類の．ｚｉｐファイルの中に実行ファイルを埋め込むかもしれない。このような．ｚｉｐファイルは、より大きなファイルを圧縮しおよび共有するために企業において非常に一般的に用いられ、このため、大部分の企業は．ｚｉｐファイルを阻止することに消極的であるかまたはそれらを阻止することができない。実行ファイルをＭｉｃｒｏｓｏｆｔ  Ｗｏｒｄ（登録商標）およびいくつかのバージョンのＡｄｏｂｅ  Ａｃｒｏｂａｔ（登録商標）の中に埋め込むことも可能である。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
上記に基づいて、ウィルスの突然発生を管理するための改善されたアプローチに対する明確な必要性がある。大量の商業的な迷惑メール(「スパム」)、およびフィッシング攻撃といった他の形態の脅威を含むメッセージの配信を防止するための現在の各技術もまた、不十分と考えられている。脅威を探してメッセージをスキャンする現在の技術もまた不十分と考えられ、および改善が必要とされる。
【課題を解決するための手段】
【０００８】
コンピューターウィルスの突然発生を管理する方法および装置が記載される。下記の記載では、説明目的で多数の具体的な詳細事項が、本発明の完全な理解を提供するために説明されている。しかしながら、これら具体的な詳細事項がなくても本発明を実施しうることは当業者にとって明らかであろう。他の例では、本発明を不必要に曖昧にするのを避けるために、周知の構造および機器はブロック図の形態で示される。
【０００９】
下記のアウトラインにしたがって実施形態は本明細書中に記載される：
１．０  総括
２．０  ウィルスの突然発生抑制アプローチ−第一の実施形態−構造的および機能的な概要
２．１  ネットワークシステムおよびウィルス情報ソース
２．２  疑わしいメッセージのカウント
２．３  ウィルス突然発生情報に基づくメッセージの処理
２．４  ウィルス突然発生情報の生成
２．５  ウィルス突然発生情報の使用
２．６  追加的な特徴
２．７  例となる使用事例
３．０  スパムメッセージを阻害するためのアプローチ
３．１  スパムスキャンからの早期終了
３．２  スパムスキャン判定キャッシュ
４．０  メッセージ経験則、送信者情報、動的隔離操作、およびきめの細かいルールに基づくウィルスの検知方法
４．１  メッセージ経験則を用いた検知
４．２  送信者ごとのウィルス検知
４．３  再スキャンを含む動的隔離操作
４．４  きめの細かいルール
４．５  メッセージングゲートウェイのサービスプロバイダーとの通信
４．６  発信側ホワイトリストモジュール
５．０  実施メカニズム−ハードウェア概要
６．０  拡張および代替
１．０  総括 
上述の背景で特定された必要性、および下記の記載において明らかになるであろう他の必要性および目的は、本発明において達成されるとともに、一実施態様では、受信者アカウントの宛先アドレスを有する電子メールメッセージを受信する；コンピューターウィルスを含むことがわかっているメッセージの属性を規定する一つ以上のルールに基づいて、メッセージに対するウィルススコア値を決定する、該属性は、メッセージへの添付ファイルの種類、添付ファイルのサイズ、およびメッセージの送信者、件名または本文および添付ファイル以外のシグネチャに基づく一つ以上の経験則を含む；ウィルススコア値が規定の閾値と同じかそれを上回る場合に、メッセージを受信者アカウントに即座に配信せずに、メッセージを隔離キューに記憶することを含む方法を含む。
【００１０】
別の一実施態様では、本発明は、受信者アカウントの宛先アドレスを有する電子メールメッセージを受信する；メッセージに対する脅威スコア値を決定する；脅威スコア値が規定の脅威閾値と同じかそれを上回る場合に、メッセージを受信者アカウントに即座に配信せずに、メッセージを隔離キューに記憶する；先入れ先出しの以外の順序で複数の隔離終了基準のうち任意の基準に基づいて隔離キューからメッセージを解放する、それぞれの隔離終了基準は一つ以上の終了アクションと関連付けられている；および、特定の終了基準に基づいて、関連付けられた一つ以上の終了アクションを選択しおよび実行することを含む方法を提供する。
【００１１】
別の実施態様では、本発明は、メッセージと関連付けられた脅威を示す電子メッセージの特性を規定する複数のルールを受信しおよび記憶する 、それぞれのルールが優先順位の値を持ち、それぞれのルールがメッセージ要素型と関連付けられている；受信者アカウントの宛先アドレスを有する電子メールメッセージを受信し、該メッセージは複数のメッセージ要素を含む；第一のメッセージ要素を抽出する；第一のメッセージ要素のみを、第一のメッセージ要素に対応するメッセージ要素型を有する選択されたルールのみと、および選択されたルールの優先順位の順序にしたがって照合することによって、メッセージに対する脅威スコア値を決定する；脅威スコア値が規定の閾値よりも大きい場合に、脅威スコア値を出力することを含む方法を提供する。
【００１２】
これらアプローチでは、コンピューターウィルスおよび他のメッセージ媒介脅威の早期検知は、経験則によるテストをメッセージコンテンツに適用し、およびウィルスシグネチャ情報が利用できない場合には送信者信用情報を調べることによって提供される。その結果、メッセージングゲートウェイはウィルスの突然発生時にメッセージの配信を早期に停止することができ、メッセージからウィルスコードを取り除くことができるアンチウィルスチェッカーを更新するのに十分な時間を提供する。動的なおよびフレキシブルな脅威隔離キューは、先入れ先出し以外の順序でメッセージの早期解放を可能にする様々な終了基準および終了アクションを備えている。脅威ルールを選択されたメッセージ要素とのみ照合しおよびある一つのメッセージ要素に対する照合が脅威閾値を超えるとすぐにルール照合を中止することによって、構文解析およびスキャンからの早期終了が起きることを可能にするメッセージスキャン方法を説明する。
【００１３】
別の実施態様では、本発明は上述のステップを実施するように構成されたコンピューター装置およびコンピューターが解読可能な媒体を包含する。
【発明を実施するための最良の形態】
【００１４】
本発明は、添付図面の図において、例として示されるものでありおよび限定として示されるものではなく、および添付図面において同様の参照数字は類似の要素を示す。
【００１５】
２．０  ウィルスの突然発生抑制システム−第一の実施形態−構造的および機能的概要
２．１  ネットワークシステムおよびウィルス情報ソース
図１は、一実施形態によるコンピューターウィルスの突然発生を管理するシステムのブロック図である。身元および場所が典型的には知られていないウィルス送信者１００は、ウィルスに感染したメッセージを、典型的には電子メッセージ、または電子メールの形で、ウィルスを保有する添付された実行ファイルとともにインターネットといった公共のネットワーク１０２に送信する。メッセージは、ウィルス情報ソース１０４およびスパムトラップ１０６といた複数の宛先に宛てられるか、またはウィルスの作用によって伝播する。スパムトラップは、迷惑電子メールのメッセージに関する情報を収集するのに用いられる電子メールアドレスまたは電子メールメールボックスである。ウィルス情報ソース１０４およびスパムトラップ１０６の動作および実施は、後に詳述する。単純な例を示すという目的のため、図１は ウィルス情報ソース１０４およびスパムトラップ１０６の形態での宛先を二つのみ示す。しかし、実際の実施形態ではウィルス情報のこのようなソースは任意の数であってよい。
【００１６】
ウィルス送信者１００は、ウィルス情報ソース１０４およびスパムトラップ１０６のネットワークアドレスを、公共のソースから、またはウィルスを少数の既知のアドレスに送信しおよびウィルスを伝播させることによって、取得しうる。
【００１７】
ウィルス情報処理装置１０８は公共のネットワーク１０２に通信可能に接続され、およびウィルス情報ソース１０４およびスパムトラップ１０６から情報を受信することができる。ウィルス情報処理装置１０８は、ウィルス情報ソース１０４およびスパムトラップ１０６からウィルス情報を収集すること、ウィルス突然発生情報を生成すること、およびウィルス突然発生情報をデータベース１１２に記憶することを初めとする、本明細書中に詳述する所定の機能を実装する。
【００１８】
メッセージングゲートウェイ１０７は、直接的にまたはファイアウォール１１１または他のネットワーク要素を介して非直接的に、公共のネットワーク１０２から、複数の終端ステーション１２０Ａ、１２０Ｂ、１２０Ｃを含む私設ネットワーク１１０に接続されている。メッセージングゲートウェイ１０７は私設ネットワーク１１０の電子メールを処理するメール配達エージェント１０９と統合されてもよく、または、メール配達エージェントは別途配備されてもよい。たとえば、Ｉｒｏｎ  Ｐｏｒｔ  Ｓｙｓｔｅｍｓ  Ｉｎｃ．社（カリフォルニア州サンブルノ）によって市販されているモデルＣ６０、Ｃ３０、またはＣ１０といったアイロンポートメッセージングゲートウェイアプライアンス（ＭＧＡ）は、メール配達エージェント１０９、ファイアウォール１１１、およびメッセージングゲートウェイ１０７のために本明細書中に記載される機能を実装する。
【００１９】
一実施形態では、メッセージングゲートウェイ１０７は、ウィルス情報処理装置１０８からウィルス突然発生情報を取得し、およびメッセージングゲートウェイで設定されたポリシーにしたがって終端ステーション１２０Ａ、１２０Ｂ、１２０Ｃに仕向けられたメッセージを処理するウィルス情報ロジック１１４を含む。本明細書中にさらに記載されるように、ウィルス突然発生情報は、多数の種類の情報のうち任意のものを含むことができ、該情報は、ウィルススコア値、およびウィルススコア値をウィルスと関連付けられたメッセージ特性に関連付ける一つ以上のルールを含むがこれに限らない。図３に関して本明細書中にさらに記載されるように、このようなウィルス情報ロジックはメッセージングゲートウェイ１０７のコンテンツフィルター機能に統合されてもよい。
【００２０】
一実施形態では、ウィルス情報ロジック１１４は、メッセージングゲートウェイ１０７内の独立した論理モジュールとして実装されている。メッセージングゲートウェイ１０７は、ウィルス情報ロジック１１４をメッセージデータによって呼び出し、およびそれに対応する判定を受信する。判定はメッセージ経験則に基づいてもよい。メッセージ経験則は、メッセージをスコア付けし、およびメッセージがウィルスである可能性を決定する。
【００２１】
ウィルス情報ロジック１１４は、メッセージのパラメーターに部分的に基づいてウィルスを検知する。一実施形態では、ウィルス検知は下記のうち一つ以上のいずれかに基づいて実行される：実行可能なコードを含むメールの経験則；一致しないメッセージヘッダの経験則；既知のオープンリレーからのメールの経験則；一致しないコンテンツ種類および拡張子を有するメールの経験則；動的ユーザーリスト、ブラックリストに載ったホスト、または信用が低いことがわかっている送信者からのメールの経験則；および送信者の信頼性テスト結果。送信者の信頼性テスト結果は、公共のネットワークから送信者ＩＤ値を受信するロジックによって生成してもよい。
【００２２】
メッセージングゲートウェイ１０７は、アンチウィルスチェッカー１１６、コンテンツフィルター１１８、およびアンチスパムロジック１１９も含んでもよい。アンチウィルスチェッカー１１６はたとえばＳｏｐｈｏｓアンチウィルスソフトウェアを含んでもよい。コンテンツフィルター１１８は、私設ネットワーク１１０と関連付けられたポリシーにより許容できないメッセージ件名またはメッセージ本文中にコンテンツを含むメッセージの配信または受信を制限するロジックを提供する。
【００２３】
アンチスパムロジック１１９は、着信メッセージをスキャンして、たとえば着信メッセージが商業的な迷惑電子メールであるか否かとメール受信ポリシーにしたがって、着信メッセージが望まれないかどうかを判断し、および、アンチスパムロジック１１９は任意の望まれないメッセージの配信、出力先変更、または受信拒否を制限するポリシーを適用する。一実施形態では、アンチスパムロジック１１９はメッセージをスキャンし、および、それぞれのメッセージに対する、該メッセージがスパムまたは別の種類の望まれない電子メールである確率を示す０から１００までのスコアを返す。スコアの範囲は、管理者によって定義可能でありユーザーが下記に詳述する規定のアクション群を適用できる、スパムの可能性があるものおよびスパムの可能性が高いものの閾値と関連付けられている。一実施形態では、スコアが９０以上であるメッセージはスパムであり、およびスコアが７５から８９であるメッセージはスパンと疑われるものである。
【００２４】
一実施形態では、アンチスパムロジック１１９は、データベース１１２またはＩｒｏｎ  Ｐｏｒｔ  Ｓｙｓｔｅｍｓ  Ｉｎｃ．社のＳｅｎｄｅｒ  Ｂａｓｅといった外部信用サービスから取得した信用情報に部分的に基づいて、メッセージの送信者がスパム、ウィルス、または他の脅威と関連付けられていることを示すスパムスコアを決定する。スキャンは、メッセージが首尾よくスキャンされたことを確認するＸヘッダをスキャンされたメッセージ中に記録することを含んでもよく、および、メッセージに合致したルールを識別する難読化された文字列を含む。難読化には、ルール識別子のハッシュを、秘密キーおよび一方向のハッシュアルゴリズムに基づいて作成することを含んでもよい。難読化は、図７のサービスプロバイダー７００といった規定の当事者のみが一致したルールを解読することを保証し、システムのセキュリティを向上させる。
【００２５】
私設ネットワーク１１０は、企業と関連付けられた企業ネットワーク、またはセキュリティまたは保護の向上が望まれる任意の他の形態のネットワークであってもよい。公共のネットワーク１０２および私設ネットワーク１１０は、通信用のＴＣＰ／ＩＰといったオープン標準プロトコルを用いてもよい。
【００２６】
ウィルス情報ソース１０４は、公共のネットワーク１０２と別の私設ネットワーク（明確にするために図示しない）との間に該別の私設ネットワークを保護する目的で介挿される別のメッセージングゲートウェイ１０７の例を含んでもよい。一実施形態では、ウィルス情報ソース１０４はＩｒｏｎ  Ｐｏｒｔ  ＭＧＡである。スパムトラップ１０６は、一つ以上のドメインと関連付けられた一つ以上の電子メールアドレスまたは電子メールメールボックスと関連付けられている。スパムトラップ１０６は、電子迷惑メールメッセージまたは「スパム」を分析または報告のために受信する目的で確立され、および従来の電子メール通信には典型的には用いられない。たとえば、スパムトラップは「ｄｕｍｍｙａｃｃｏｕｎｔｆｏｒｓｐａｍ＠ｍｙｃｏｍｐａｎｙ．ｃｏｍ」といった電子メールアドレスであることができ、または、スパムトラップは、受信した電子メール情報が提供される、メール交換（ＭＸ）ドメイン名システム(ＤＮＳ)レコードへとグループ分けされた電子メールアドレスの一群であることができる。メール配達エージェント１０９、または別のＩｒｏｎ  Ｐｏｒｔ  ＭＧＡのメール配達エージェントは、スパムトラップ１０６のホストとなってもよい。
【００２７】
一実施形態では、ウィルス情報ソース１０４は、コンピューターウィルスの突然発生を管理するのに用いる情報を生成し、およびウィルス情報処理装置１０８に提供し、および、ウィルス情報処理装置１０８は、同じ目的でスパムトラップ１０６からの情報を取得することができる。たとえば、ウィルス情報ソース１０４は、受信した疑わしい添付ファイが添付されたメッセージのカウントを生成し、およびカウントをウィルス情報処理装置１０８に提供するか、または外部処理がカウントを読み出しおよびカウントを専用データベースに記憶することを可能にする。メッセージングゲートウェイ１０７は、ウィルスと関連付けられているかまたは別なふうに疑わしいとの徴候を示すメッセージを検知し、特定の時間周期内に受信した疑わしいメッセージのカウントを作成し、およびカウントをウィルス情報処理装置１０８に定期的に提供することによって、ウィルス情報ソースとしての役割もする。
【００２８】
具体例として、本明細書中に記載される機能は、Ｉｒｏｎ  Ｐｏｒｔ  Ｓｙｓｔｅｍｓ  Ｉｎｃ．社のＳｅｎｄｅｒＢａｓｅサービスといった、包括的なメッセージデータ収集および報告設備の一部として実施されてもよい。この実施形態では、ウィルス情報処理装置１０８は、ウィルス情報ソース１０４およびスパムトラップ１０６から情報を読み出すかまたは受信し、疑わしい添付ファイルまたは他のウィルスインジケーターが添付されたメッセージのカウントを生成し、およびデータベース１１２を該カウントで更新しおよびメッセージングゲートウェイ１０７のウィルス情報ロジック１１４による後の読み出しおよび使用のためにウィルス突然発生情報を生成する。ＳｅｎｄｅｒＢａｓｅサービスに関連した方法および装置は、２００４年５月２８日に出願されたＲｏｂｅｒｔ  Ｂｒａｈａｍｓ  ｅｔ  ａｌ．の係属出願第１０/８５７,６４１号、表題「メッセージ送信者の信用を決定する技法」に記載されており、この内容のすべては参照により、本明細書中に完全に説明されているかのごとく、本明細書に組み入れられ。
【００２９】
追加的にまたは代替的に、ウィルス情報ソース１０４は、ワールドワイドウェブ上のドメイン「ｓｐａｍＣｏｐ．ｎｅｔ」でアクセス可能なＳｐａｍＣｏｐ情報サービス、またはＳｐａｍＣｏｐサービスのユーザーを含んでもよい。ウィルス情報ソース１０４は、一つ以上のインターネットサービスプロバイダーまたは他の多量メールの受信者を含んでもよい。
【００３０】
ＳｅｎｄｅｒＢａｓｅおよびＳｐａｍＣｏｐサービスは、ウィルスを検知するための強力なデータソースを提供する。サービスは、スパムトラップのアドレス、エンドユーザー苦情報告者、ＤＮＳログ、および第三者データソースを介して、一日あたり何百万のメッセージに関する情報を追跡する。このデータは、本明細書中のアプローチを用いて迅速にウィルスを検知するのに用いることができる。とりわけ、正常のレベルに対して特定の添付ファイルの種類が添付され、正当なまたはスパムトラップアドレスに送信され、および、アンチウィルススキャナーによってウィルスとして識別されないメッセージの数は、まだ公知でなくおよびアンチウィルススキャナーによって検知可能な新しいウィルスに基づいて、ウィルスの突然発生が起こった旨の早期の警告インジケーターを提供する。
【００３１】
別の代替的な実施形態では、本明細書中の自動的なアプローチへの補足として、ウィルス情報ソース１０４は、情報サービスコンサルタントまたはアナリスト、または外部ソースによって取得されたデータの手作業による見直しを含んでもよい。たとえば、アンチウィルス開発ベンダー、第三者ベンダー、セキュリティメーリングリスト、スパムトラップデータおよび他のソースからの警告を監視している管理者（人間）は、ほとんどの場合においてウィルス定義が公開される時よりも十分前もって、ウィルスを検知することができる。
【００３２】
ウィルス突然発生情報に基づいてウィルスの突然発生がひとたび識別されると、メッセージングゲートウェイ１０７といったネットワーク要素は、メッセージをそれがウィルスである確率に基づいて取り扱うための様々な選択肢を提供することができる。メッセージングゲートウェイ１０７がメール配達エージェントまたはメールゲートウェイと統合されると、ゲートウェイは即座にこのデータに作用することがでえきる。たとえば、メール配達エージェント１０９は、私設ネットワーク１１０へのメッセージ配信を、ウィルス更新がアンチウィルスベンダーから受信されおよびメッセージングゲートウェイ１０７にインストールされるまで遅延させることができ、その結果、遅延されたメッセージは、ウィルス更新が受信された後に、アンチウィルスチェッカー１１６によってスキャンすることができる。
【００３３】
遅延されたメッセージは、隔離キュー３１６に記憶されてもよい。隔離キュー３１６の中のメッセージは、詳述されるようなポリシーにしたがって解放および配信され、削除されるか、または配信前に修正されてもよい。一実施形態では、複数の隔離３１６がメッセージングゲートウェイ１０７の中に確立され、および一つの隔離は、管理された私設ネットワーク１１０中のコンピューター１２０Ａ、１２０Ｂ等に対するそれぞれの受信者アカウントと関連付けられている。
【００３４】
図１に示されていないものの、ウィルス情報処理装置１０８は、ウィルスの突然発生業務センター(ＶＯＯＣ)、受信ウィルススコア（ＲＶＳ)処理装置、またはその両方を含むことができるか、またはそれらに通信可能に接続されている。ＶＯＯＣおよびＲＶＳ処理装置ウィルス情報処理装置１０８とは別体であるが、データベース１１２および公共のネットワーク１０２と通信可能に接続することができる。ＶＯＯＣは、ウィルス情報処理装置１０８によって収集されおよびデータベース１１２に記憶された情報を監視するために、１日２４時間、週７日、利用可能な人員を備えたスタッフ配属センターとして実施することができる。ＶＯＣＣに配属された人員は、ウィルスの突然発生警告を発行する、データベース１１２に記憶された情報を更新する、メッセージングゲートウェイ１０７がウィルス突然発生情報にアクセスできるようにウィルス突然発生情報を公開する、およびウィルス突然発生情報のメッセージングゲートウェイ１０７および他のメッセージングゲートウェイ１０７への送信を手入力で開始するといった、手作業のアクションを行うことができる。
【００３５】
追加的に、ＶＯＣＣに配属された人員は、「ソフトバウンス」を配信するといった所定のアクションを実行するよう、メール配達エージェント１０９を構成してもよい。メール配達エージェント１０９が、メール配達エージェント１０９にアクセス可能なルール群に基づいて、受信したメッセージを返す場合に、ソフトバウンスは実行される。より具体的には、送信者からの電子メールのメッセージを受信することによってメール配達エージェント１０９がＳＭＴＰトランザクションを完了すると、メール配達エージェント１０９は、メール配達エージェント１０９にアクセス可能な記憶されたソフトウェアルール群に基づいて、受信したメッセージが望まれていないかまたは配信不可能であることを決定する。受信したメッセージが望まれていないかまたは配信不可能であるという決定に対応して、メール配達エージェント１０９は、送信者によって規定されたバウンス電子メールアドレスにメッセージを返す。メール配達エージェント１０９がメッセージを送信者に返すと、メール配達エージェント１０９はいかなる添付ファイルもメッセージから取り外してもよい。
【００３６】
いくつかの実施において、ＶＯＣＣに配属された人員といった、人員によってなされた手作業のアクションに対応して、ウィルス突然発生情報は利用可能になるか、または公開される。他の実施において、ウィルス情報処理装置、ＶＯＯＣ、またはＲＶＳの構成にしたがって、ウィルス突然発生情報は自動的に利用可能になり、および次いでウィルス突然発生情報および行われた自動的なアクションは、必要または望ましいと考えられる場合に、ＶＯＯＣにいる修正を行うことができる人員によって引き続き見直される。
【００３７】
一実施形態では、ＶＯＣＣに配属された人員または一実施形態によるシステムの構成部品は、(ａ）添付ファイルの付いたメッセージを受信する際のパターン、(ｂ）受信したメッセージへの添付ファイルのリスクのある特性、（ｃ）公開されたベンダーウィルス警告、(ｄ）増加したメーリングリスト活動、(ｅ）メッセージのソースごとのリスクのある特性、(ｆ）受信したメッセージのソースと関連付けられた動的ネットワークアドレスパーセント比率、(ｇ）受信したメッセージのソースと関連付けられたコンピューター化されたホストのパーセント比率、および(ｈ)疑わしいボリュームパターンのパーセント比率といった、様々な要因に基づいて、メッセージがウィルスを含むか否かを決定してもよい。
【００３８】
上記の要因のそれぞれは、様々な基準を含んでもよい。たとえば、受信したメッセージへの添付ファイルのリスクのある特性は、添付のファイル名がどの程度疑わしいか、ファイルが複数のファイル拡張子と関連付けられているか否か、受信したメッセージに添付された類似のファイルサイズの量、受信したメッセージに添付された類似のファイルサイズの量、および既知のウィルスの添付ファイルの名称についての考慮に基づいてもよい。添付ファイルの付いたメッセージを受信する際のパターンは、添付ファイルを含むメッセージの数の現在の比率、リスクのある添付ファイルが付いた受信したメッセージの数の動向、および、添付ファイルの付いたメッセージの増加を報告している顧客データソース、ウィルス情報ソース１０４、およびスパムトラップ１０６の数についての考慮に基づいてもよい。
【００３９】
加えて、メッセージがウィルスを含むか否かの決定は、顧客から送信された情報に基づいてもよい。たとえば、安全な環境にあるシステムで受信した電子メールメッセージを用いて、情報がユーザーからシステムに報告されてもよい。その結果、メッセージ受信体がウィルスに感染している場合、システムのメッセージ受信体がシステムの他の部分へのコンピューターウィルスの拡散をできる限り防止するよう構成される。
【００４０】
ＲＶＳ処理装置は、たとえば様々な添付ファイルの種類に対するウィルススコア値の形態またはウィルススコア値をメッセージ特性に関連付けるルール群の形態で、メッセージングゲートウェイ１０７および他のメッセージングゲートウェイ１０７が利用可能となる、ウィルス突然発生情報を生成する自動システムとして実施することができる。
【００４１】
一実施形態では、メッセージングゲートウェイ１０７は、アンチウィルスチェッカー１１６および／またはアンチスパムロジック１１９からの判定値のローカルストレージを複写されたメッセージが受信される際の再使用のために提供する判定キャッシュ１１５を含む。判定キャッシュ１１５の構造および機能を下記にさらに説明する。一実施形態では、メッセージングゲートウェイ１０７は、メッセージングゲートウェイの機能に関する統計的情報またはステータスメッセージを記憶することができるログファイル１１３を含む。記録をつけることができる情報の例として、メッセージ判定および判定の結果として行われるアクション；難読化された形式でメッセージと一致したルール；スキャンエンジンの更新が起こった旨の表示；ルールの更新が起こった旨の表示；スキャンエンジンのバージョン番号、等を含む。
【００４２】
２．２ 疑わしいメッセージのカウント
図２は、一実施形態による疑わしいメッセージのカウントを生成する処理のフロー図である。一実施において、図２のステップは、図１のウィルス情報ソース１０４といったウィルス情報ソースによって実行されてもよい。
【００４３】
ステップ２０２において、メッセージが受信される。たとえば、ウィルス情報ソース１０４またはメッセージングゲートウェイ１０７は、ウィルス送信者１００から送信されたメッセージを受信する。
【００４４】
ステップ２０４において、メッセージがリスクがあるか否かについての決定が行われる。一実施形態では、ウィルスチェッカーがウィルス情報ソース１０４またはメッセージングゲートウェイ１０７でウィルスを識別せずにメッセージをスキャンするが、メッセージは、リスクがあることがわかっているファイルの種類または拡張子を有する添付ファイルも含んでいる合は、メッセージはリスクがあると決定される。たとえば、ＭＳ  Ｗｉｎｄｏｗｓ（登録商標）（ＸＰ  Ｐｒｏ)のファイルの種類または拡張子ＣＯＭ、ＥＸＥ、ＳＣＲ、ＢＡＴ、ＰＩＦ、またはＺＩＰは、ウィルス作成者は一般的にこのようなファイルを悪意のある実行可能なコードに用いるので、リスクがあると考えてもよい。上述のものはリスクがあると考えることができるファイルの種類または拡張子の例にすぎない。５０を超える既知の異なるファイルの種類がある。
【００４５】
メッセージが疑わしいという決定は、ソースＩＰ値といったソースネットワークアドレスをメッセージから抽出し、および、ソースがスパムまたはウィルスと関連付けられていることがわかっているか否かを判断するため、ＳｅｎｄｅｒＢａｓｅサービスに対してクエリーを発行することによって行われてもよい。たとえば、メッセージが疑わしいか否かを決定する際にＳｅｎｄｅｒＢａｓｅサービスによって提供される信用スコア値を考慮に入れてもよい。メッセージは、セキュリティ侵害されたことがわかっている、ウィルスを送信した履歴を有する、または電子メールのインターネットへの送信を最近開始したばかりであるホストと関連付けられたＩＰアドレスから送信された場合にも、疑わしいと決定してもよい。決定は、下記の要因のうち一つ以上に基づいてもよい：(ａ）メッセージに直接添付された添付ファイルの種類または拡張子、(ｂ）圧縮されたファイル、アーカイブ、．ｚｉｐファイル、またはメッセージに直接添付された他のファイルの中に含まれるファイルの種類または拡張子、および（ｃ）添付ファイルから取得したデータフィンガープリント。
【００４６】
加えて、疑わしいメッセージの決定は、疑わしいメッセージに対する添付ファイルのサイズ、疑わしいメッセージの件名のコンテンツ、疑わしいメッセージの本文のコンテンツ、または疑わしいメッセージの任意の他の特性に基づくことができる。いくつかのファイルの種類には、他のファイルの種類を埋め込むことができる。たとえば「．ｄｏｃ」ファイルおよび「．ｐｄｆ」ファイルには、「．ｇｉｆ」または「．ｂｍｐ」といった他の画像ファイルの種類を埋め込んでもよい。メッセージが疑わしいか否かを判断する場合、ホストファイルの種類の中に埋め込まれた任意のファイルの種類を考慮してもよい。疑わしいメッセージの特性は、メッセージングゲートウェイ１０７に提供されるかまたはメッセージングゲートウェイ１０７が利用可能となり、および一つ以上のこのような特性と関連付けられたウィルススコア値を含むルールを策定するのに用いることができる。
【００４７】
ステップ２０６において、メッセージが疑わしい場合は、次いで現在の時間周期に対する疑わしいメッセージの数がインクリメントされる。たとえば、メッセージがＥＸＥ添付ファイルを有する場合、ＥＸＥ添付ファイルが添付されたメッセージのカウントがインクリメントされる。
【００４８】
ステップ２０８において、疑わしいメッセージのカウントが報告される。たとえば、ステップ２０８は報告メッセージをウィルス情報処理装置１０８に送信することを伴ってもよい。
【００４９】
一実施形態では、ウィルス情報処理装置１０８はステップ２０８の報告といった多数の報告を継続的にリアルタイムで受信する。報告が受信されるにつれ、ウィルス情報処理装置１０８は更新データベース１１２を報告データ更新し、およびウィルス突然発生情報を決定しおよび記憶する。一実施形態では、ウィルス突然発生情報は、図４を参照して下記にさらに説明される従属処理にしたがって決定されるウィルススコア値を含む。
【００５０】
２．３  ウィルス突然発生情報に基づくメッセージの処理
図３は、一実施形態によるウィルス突然発生情報に基づくメッセージの処理を示すデータフロー図である。一実施において、図３のステップは図１のメッセージングゲートウェイ１０７といったＭＧＡによって実行されてもよい。有利には、図３に示すステップを実行することによって、メッセージがウィルスを含むと肯定的な決定がされる前にメッセージが作用してもよい。
【００５１】
ブロック３０２では、コンテンツフィルターがメッセージに適用される。コンテンツフィルターを適用することは、一実施形態では、メッセージ件名、他のメッセージのヘッダ値、およびメッセージ本文を調べ、コンテンツのフィルタリングに対する一つ以上のルールがコンテンツ値によって満たされているか否かを決定し、ルールが満たされている場合コンテンツポリシーに規定されうるような一つ以上のアクションを行うことを伴う。ブロック３０２の実行は随意的である。このようにして、いくつかの実施形態はブロック３０２を実行してもよく、一方、他の実施形態はブロック３０２を実行しなくてもよい。
【００５２】
さらに、ブロック３０２では、ウィルス突然発生情報が、後続の処理ステップでの使用のために読み出される。一実施形態では、ブロック３０２では、図３を実施するメッセージングゲートウェイ１０７は、当時最新のウィルス突然発生情報をウィルス情報処理装置１０８に定期的に要求することができる。一実施形態では、メッセージングゲートウェイ１０７は、許可されていない者がウィルス突然発生情報にアクセスすることを防止する安全な通信プロトコルを用いて、ウィルス突然発生情報をウィルス情報処理装置１０８から約５分ごとに読み出す。メッセージングゲートウェイ１０７がウィルス突然発生情報を読み出すことができない場合、ゲートウェイはゲートウェイに記憶されている最新の利用可能なウィルス突然発生情報を用いることができる。
【００５３】
ブロック３０４において、アンチスパム処理がメッセージに適用され、および、一見迷惑メールのメッセージと思われるメッセージがスパムポリシーにしたがって印を付けられるかまたは処理される。たとえば、スパムメッセージは静かに切り落とされ、規定のメールボックスまたはフォルダに移されてもよく、または、メッセージの件名は「スパムの可能性があるもの」といった指定を含むよう修正されてもよい。ブロック３０４の実行は随意的である。このようにして、いくつかの実施形態はブロック３０４を実行してもよく、一方、他の実施形態はブロック３０４を実行しなくてもよい。
【００５４】
ブロック３０６において、アンチウィルス処理がメッセージに適用され、および、メッセージまたは添付ファイル中の、一見ウィルスを含むように見えるメッセージには印が付けられる。一実施形態では、Ｓｏｐｈｏｓからのアンチウィルスソフトウェアはブロック３０６を実施する。メッセージがウィルス陽性であると決定する場合、次いでブロック３０８において、メッセージは削除され、隔離キュー３１６内に隔離され、または適切なウィルス処理ポリシーにしたがって別な方法で処理される。
【００５５】
代替的に、ブロック３０６がメッセージがウィルス陽性でないと決定する場合、次いでブロック３１０において、メッセージが前にウィルスのスキャンをされたことがあるか否かを決定するためのテストが実行される。本明細書中にさらに説明されるように、メッセージが過去にウィルスのスキャンをされていた後は、後続のブロックからブロック３０６に再び到達することができる。
【００５６】
ブロック３０６においてこれまでにメッセージがウィルスのスキャンをされたことがある場合、次いで図３の処理は、ウィルスの突然発生が識別された場合に、首尾よくウィルスを識別するのに必要なすべてのパターン、ルール、または他の情報とともにアンチウィルス処理３０６が更新されたと仮定する。したがって、制御はブロック３１４へと進み、そこでは前にスキャンされたメッセージが配信される。ブロック３１０において、メッセージが前にスキャンされたことがないと決定される場合、処理はブロック３１２へと続く。
【００５７】
ブロック３１２において、ブロック３０２で取得したウィルス突然発生情報が規定の閾値を満たすか否かを決定するためのテストが実行される。たとえば、ウィルス突然発生情報がウィルススコア値(ＶＳＶ)を含む場合、ウィルススコア値は、ウィルススコア値がウィルススコア閾値と同じかそれを上回るか否かが確認される。
【００５８】
閾値は構成ファイル中に管理者コマンドによって規定されるか、または、別個の処理で、他のマシン、処理またはソースからから受信される。一実施において、閾値は、メッセージがウィルスを含む確率に対応しているか、または、新しいウィルスの突然発生と関連付けられている。閾値を上回るスコアを受信するウィルスは、隔離キュー３１６の中でメッセージの隔離を実行するといった、オペレーターによって規定されたアクションの対象となる。いくつかの実施では、規定された単一の値がすべてのメッセージに用いられる、一方、他の実施では、複数の閾値が異なる特性に基づいて用いられ、その結果、管理者は、メッセージングゲートウェイが受信するメッセージの種類および関連付けられたメッセージ受信者にとって正常またはリスクが少ないと考えられるものに基づいて、いくつかのメッセージより他よりも注意深く取り扱うことができる。一実施形態では、０から５までのウィルススコア尺度に基づいて、デフォルト閾値３が用いられ、ここでは５が最も高い（脅威）リスクレベルである。
【００５９】
たとえば、ウィルス突然発生情報はウィルススコア値を含むことができ、およびネットワーク管理者は許容されたウィルススコア閾値を決定すること、およびウィルススコア閾値をすべてのメッセージ配達エージェントまたは図３の処理を実行する他の処理装置に送信することができる。他の例として、ウィルス突然発生情報は、ウィルススコア値を一つ以上のウィルスを示すメッセージ特性に関連付けられたルール群を含むことができ、および図５に関して本明細書中に記載されるアプローチに基づいて、メッセージに対する一致するルールに基づいてウィルススコア値を決定することができる。
【００６０】
管理者によって設定されたウィルススコア閾値の値は、メッセージの遅延配信をいつ開始するかを示唆する。たとえば、ウィルススコア閾値が１であると、次いで図３を実施するメッセージングゲートウェイは、ウィルス情報処理装置１０８によって決定されるウィルススコア値が低い場合にメッセージの配信を遅延させる。ウィルススコア閾値が４である場合、次いで図３を実施するメッセージングゲートウェイは、ウィルス情報処理装置１０８によって決定されるウィルススコア値が高い場合にメッセージの配信を遅延させる。
【００６１】
規定の閾値スコア値を上回らない場合は、次いでブロック３１４において、メッセージが配信される。
【００６２】
ブロック３１２においてウィルススコア閾値を上回っていると決定され、およびブロック３１０において決定されるようにメッセージは前にスキャンされたことがない場合、次いで、メッセージは突然発生隔離キュー３１６に入れられる。それぞれのメッセージは、メッセージが突然発生隔離キュー３１６内に保持される時間を表す規定の保持時間値、または満了日−時間値でタグ付けされている。突然発生隔離キュー３１６の目的は、検知されたウィルスの突然発生と関連付けられた新しいウィルスを計上するためのアンチウィルス処理３０６の更新を可能にするのに十分な時間の量だけ、メッセージの配信を遅延させることである。
【００６３】
保持時間は任意の所望の期間を有してよい。保持時間値の例は１時間から２４時間の間でありうる。一実施形態では、デフォルト保持時間値１２時間が提供されている。管理者は、本明細書中の処理を実施するメッセージングゲートウェイにコマンドを発行することによって、いつでも、任意の好適な保持時間値の間、保持時間を変更してもよい。このようにして、保持時間値はユーザーによって構成可能である。
【００６４】
一つ以上のツール、特性、またはユーザーインターフェースを提供して、オペレーターが突然発生隔離キューの状態および隔離されたメッセージを監視できる。たとえば、オペレーターは現在隔離されているメッセージのリストを取得することができ、および、リストは、規定の閾値を満たしたメッセージに対する適用可能なウィルススコア値、またはメッセージに一致したルール群のうちの一つまたは複数のルールといった、キュー内のそれぞれのメッセージが隔離された理由を特定することができる。添付ファイルの種類といったメッセージ特性によって、または一連のルールが用いられている場合に適用可能なルールによって、概略情報を提供することができる。ツールを提供して、オペレーターがキュー内のそれぞれの個々のメッセージを見直すことを可能にすることができる。別の特性を提供して、オペレーターが、一つ以上の基準を満たす隔離されたメッセージを検索することを可能にすることができる。メッセージング・ゲートウェイの構成が正しく実行されたことおよび着信メッセージがウィルス発生フィルターによって適切に処理されていること確実にするよう、メッセージを「追跡する」と呼ばれる、さらに別のツールを提供して、処理中のメッセージをシミュレートすることができる。
【００６５】
加えて、ウィルス情報処理装置、これまでに識別された特別なまたは重大なウィルスリスクまたは脅威に関する一般的な警告情報を示す、ＶＯＯＣ、ＲＶＳからのツールを提供することができる。また、警告が発せられた時に、ＭＧＡと関連付けられた一人以上の人員に連絡するためのツールをＭＧＡに含めることができる。たとえば、メッセージが隔離中の場合、所定数のメッセージが隔離された場合、または隔離キューの容量満杯になったかまたは規定のレベルに到達した場合、自動電話または呼び出しシステムが規定の個人に連絡することができる。
【００６６】
メッセージは、図３中の指定された経路３１６Ａ、３１６Ｂ、３１６Ｃによって示される３つの回路で突然発生隔離キュー３１６を終了してもよい。経路３１６Ａに示されるように、当該メッセージに対する規定の保持時間が満了すると、メッセージは正常に満了してもよい。その結果、正常な満了によって、一実施において、突然発生隔離キュー３１６は、ＦＩＦＯ（先入れ先出し）キューとして作動する。次いで、保持時間の満了後に、メッセージ中に存在しうるウィルスを検知するのに必要な任意のパターンファイルまたは他の情報によって、アンチウィルス処理が更新されたと仮定して、メッセージは再スキャンのためのアンチウィルス処理３０６に戻るよう転送される。
【００６７】
経路３１６Ｂによって示されるように、メッセージは突然発生隔離キュー３１６から手入力で解放されてもよい。たとえば、管理者、オペレーター、または他のマシンまたは処理によって発行されたコマンドに対応して、一つ以上のメッセージを突然発生隔離キュー３１６から解放することができる。手動解放に基づいて、ブロック３１８において、たとえば、オペレーターが特定の種類のメッセージが絶対にウィルス感染していることを示すオフライン情報を受信したかもしれない場合など、メッセージを再スキャンまたは削除するとのオペレーターの決定が実行される。その場合、オペレーターはブロック３２０でメッセージを削除することを選択できたであろう。代替的に、保持時間値の満了より前に、ウィルスの突然発生に対応してアンチウィルス処理３０６が新しいパターンまたは他の情報で更新されたことを示すオフライン情報を、オペレーターが受信した可能性がある。その場合、経路３１９で示されるように、メッセージをスキャンのためにアンチウィルス処理３０６に送り返すことによって、保持時間が満了するのを待たずに、オペレーターはメッセージを再スキャンすることを選択してもよい。
【００６８】
さらに別の例として、オペレーターは、現在突然発生隔離キュー３１６に保持されているメッセージの検索を実行して、一つ以上のメッセージを識別することができる。たとえば、ウィルスの突然発生にかかわるウィルスを検知するのに十分な情報でアンチウィルス処理３０６が更新されたか否かをテストするために、このようにして識別されたメッセージは、アンチウィルス処理３０６によるスキャンのためにオペレーターによって選択することができる。選択されたメッセージの再スキャンが首尾よくウィルスを特定すると、オペレーターは、突然発生隔離キューの中の一部またはすべてのメッセージを手入力で解放することができ、その結果、解放されたメッセージはアンチウィルス処理３０６によって再スキャンすることができる。しかしながら、アンチウィルス処理によって選択されたテストメッセージ中にウィルスが検知されると、次いでオペレーターは、後の時間まで待ち、および、ウィルスを検知できるようにアンチウィルス処理３０６が更新された否かを決定するためにテストメッセージまたは別のメッセージをテストすることができ、または、オペレーターはメッセージの満了時間が満了するまで待っておよびその際メッセージを解放することができる。
【００６９】
経路３１６Ｃに示されるように、たとえば、突然発生隔離キュー３１６が満杯なので、メッセージは早期に満了してもよい。オーバーフローポリシー３２２が早期に満了するメッセージに適用される。たとえば、ブロック３２０に示されるように、オーバーフローポリシー３２２はメッセージが削除されることを要求してもよい。別の例として、オーバーフローポリシー３２２は、ブロック３２４に示されるように、メッセージがウィルスを含む可能性が高いリスクの適切な警告がメッセージの件名に付記されることを要求してもよい。たとえば、「感染しているかもしれない」または「疑わしいウィルス」といったメッセージを、件名に、メッセージの件名欄の終わりまたは初めなどに、付記することができる。件名が付記されたメッセージがアンチウィルス処理３０６を介して配信され、および、メッセージはこれまでにスキャンされたことがあるため、処理はアンチウィルス処理３０６からブロック３１０を介して継続し、および、メッセージは次いでブロック３１４に示されるように配信される。
【００７０】
明確にするために図３には示されていないが、追加的なオーバーフローポリシーを適用することができる。たとえば、オーバーフローポリシー３２２は、メッセージに添付された添付ファイルの除去、その後の添付ファイルが取り外されたメッセージの配信を要求してもよい。随意的に、オーバーフローポリシー３２２は、特定のサイズを上回る添付ファイルのみを取り外すことを要求してもよい。別の例として、オーバーフローポリシー３２２は、突然発生隔離キュー３１６が満杯であるとき、ＭＴＡは新しいメッセージを受信することが可能であるが、しかし、メッセージがＳＭＴＰトランザクション中に受信される前に、メッセージが４ｘｘ一時的エラーで拒絶されることを要求してもよい。
【００７１】
一実施形態では、経路３１６Ａ、３１６Ｂ、３１６Ｃにしたがったメッセージの取り扱いは、隔離キューのコンテンツ全体に対してユーザーによって構成可能である。代替的に、このようなポリシーはそれぞれのメッセージに対してユーザーによって構成可能である。
【００７２】
一実施形態では、ブロック３１２は、たとえば、ウィルススコア値が規定のウィルススコア閾値を満たすかまたは超える場合といった、ウィルス情報処理装置１０８から取得したウィルス突然発生情報が規定の閾値を満たす場合、警告メッセージを一人以上の管理者に生成しおよび送信することを伴ってもよい。たとえば、ブロック３１２で送信された警告メッセージは、ウィルススコアが変更になった添付ファイルの種類、現在のウィルススコア、過去のウィルススコア、現在のウィルススコア閾値、および、いつその種類の添付ファイルに対するウィルススコアの最新の更新がウィルス情報処理装置１０８から受信されたかを規定する電子メールを含んでもよい。
【００７３】
さらに別の実施形態では、隔離キューの中の全メッセージ数が管理者によって設定された閾値を超えるといつでも、または、隔離キュー記憶容量の特定の量または比率を上回った場合、図３の処理は、一人以上の管理者に警告メッセージを生成しおよび送信することを伴ってもよい。このような警告メッセージは、隔離キューのサイズ、用いられる容量のパーセント比率等を規定してもよい。
【００７４】
突然発生隔離キュー３１６は任意の所望のサイズを有してもよい。一実施形態では、隔離キューは約３ＧＢのメッセージを記憶することができる。
【００７５】
２．４ ウィルス突然発生情報の生成
一実施形態では、一つ以上のメッセージ特性に基づいてウィルスの突然発生の可能性を示すウィルス突然発生情報が生成される。一実施形態では、ウィルス突然発生情報はウィルススコア値といった数値を含む。ウィルス突然発生情報は、メッセージへの添付ファイルの種類、添付ファイルのサイズ、メッセージのコンテンツ（たとえば、メッセージの件名欄またはメッセージの本文のコンテンツ)、メッセージの送信者、メッセージの送信者のＩＰアドレスまたはドメイン、メッセージの受信者、メッセージの送信者のＳｅｎｄｅｒＢａｓｅの信用スコア、または任意の他の適切なメッセージ特性、といった一つ以上のメッセージの特性と対応付けることができる。具体例として、ウィルス突然発生情報は、一つのメッセージ特性を、種類がＥＸＥの添付ファイルが添付されたメッセージに対するウィルススコア値が「４」であることを示す「ＥＸＥ=４」といった、ウィルススコア値に関連付けることができる。
【００７６】
別の実施形態では、ウィルス突然発生情報は、それぞれがウィルスの突然発生の可能性を一つ以上のメッセージ特性に関連付ける一つ以上のルールを含む。具体例として、「ｉｆ  ＥＸＥ  ａｎｄ  ｓｉｚｅ  ＜  ５０，  ｔｈｅｎ  ４」という形態のルールは、種類がＥＸＥでありおよびサイズが５０ｋ未満である添付ファイルが添付されたメッセージに対するウィルススコア値は「４」であることを示す。着信メッセージがルールのメッセージ特性に一致するか否かを判断するために適用されるルール群を、メッセージングゲートウェイに提供することができ、これによってルールが着信メッセージに適用可能でありおよびしたがって関連付けられたウィルススコア値に基づいて取り扱われるべきであることを示す。ルール群の使用について、図５を参照して下記にさらに説明する。
【００７７】
図４は、一実施形態による、ウィルススコア値を決定する方法のフロー図である。一実施において、図４のステップは、ウィルス情報ソース１０４およびスパムトラップ１０６から受信したデータベース１１２中の情報に基づいて、ウィルス情報処理装置１０８によって実行されてもよい。
【００７８】
図４のステップ４０１は、所定のコンピューターによるステップ４０２、４０４が、ウィルス情報処理装置１０８にアクセス可能な、ウィルス情報ソース１０４またはスパムトラップ１０６といったウィルス情報の異なるそれぞれのソースに対して実行されることを示す。
【００７９】
ステップ４０２は、より最近の過去のウィルススコア値に対するより大きな重み付けに合致する重み付けアプローチを用いて、過去の時間に対する一つ以上の過去のウィルススコア値を組み合わせることによって、特定の電子メールの添付ファイルの種類に対する重み付けされた現在の平均ウィルススコア値を生成することを伴う。特定の時間周期に対するウィルススコア値は、特定のソースで受信した疑わしい添付ファイルを有するメッセージの数に基づくスコア値のことをいう。添付ファイルが特定のファイルサイズ、ファイルの種類等といった一つ以上の評価指標を満たすか、または、送信者のネットワークアドレスが過去のウィルスの突然発生と関連付けられていることがわかっている場合に、メッセージは、疑わしい添付ファイルを有すると考えられる。決定は、添付ファイルのファイルサイズまたはファイルの種類または拡張子に基づいてもよい。
【００８０】
ウィルススコア値の決定は、メッセージからソースＩＰアドレス値といったソースネットワークアドレスを抽出し、および、ソースがスパムまたはウィルスと関連付けられていることがわかっているか否かを決定するため、ＳｅｎｄｅｒＢａｓｅサービスに対してクエリーを発行することによっても行ってもよい。決定は、(ａ）メッセージに直接添付された添付ファイルの種類または拡張子、(ｂ)ファイル、アーカイブ、．ｚｉｐファイル、またはメッセージに直接添付された他のファイルの中に含まれる圧縮されたファイルの種類または拡張子、および（ｃ）添付ファイルから取得したデータフィンガープリント、に基づいてもよい。上記のいずれかにおいて発見されたそれぞれの添付ファイルの種類に対して、別々のウィルススコア値が生成されおよび記憶されてもよい。さらに、メッセージ内に発見された最もリスクの高い添付ファイルの種類に基づいて、ウィルススコア値が生成されおよび記憶されてもよい。
【００８１】
一実施形態では、ステップ４０２は、所定の添付ファイルの種類に対する最後３回分の１５分の時間幅に対するウィルススコア値の組み合わせの演算を伴う。さらに、一実施形態では、重み付けされた値が１５分の時間幅に対する３つの値に適用され、最も直近の１５分の時間枠がより早期の１５分の時間幅よりもより重く重み付けされている。たとえば、一つの重み付けアプローチでは、乗数０．１０が最も古い１５分の時間幅（３０〜４５分前)に対するウィルススコア値に適用され、乗数０．２５が二番目に古い値(１５〜３０分前)に適用され、乗数０．６５が０〜１５分前の期間に対する最も直近のウィルススコア値に適用される。
【００８２】
ステップ４０４において、ステップ４０２で決定された現在の平均ウィルススコア値を長期の平均ウィルススコア値と比較することによって、特定の添付ファイルの種類に対する正常パーセント比率ウィルススコア値が生成される。正常レベルの現在のパーセント比率は、３０日間の期間のうちすべての１５分の時間周期に対して、その添付ファイルの種類に対する３０日間平均値を参照することによって演算してもよい。
【００８３】
ステップ４０５において、ウィルス情報ソース１０４およびスパムトラップ１０６といったすべてのソースに対する正常パーセント比率ウィルススコア値のすべての平均が求められ、その結果、特定の添付ファイルの種類に対する正常値の全体比率を作成する。
【００８４】
ステップ４０６において、全体の正常パーセント比率値が、特定の添付ファイルの種類に対するウィルススコア値にマッピングされる。一実施形態では、ウィルススコア値は０から５までの整数であり、および正常パーセント比率値がウィルススコア値にマッピングされる。表１はウィルススコア尺度の例を示す。
【表１】
2008545177.tif 000003
【００８５】
他の実施形態では、スコア値０から１００まで、０から１０まで、１から５まで、または任意の他の所望の値の幅へのマッピングを用いてもよい。整数スコア値に加えて、非整数値を用いることができる。定義された値の幅を用いる代わりに、確率値を決定することができる。たとえば、より高い確率がウィルスの突然発生のより高い可能性を示す０％から１００％までの範囲の確率、または、分数または０．５４３といった小数として表される０から１までの確率などである。
【００８６】
最適化として、および非常に低い３０日間カウントによって起こりうるゼロ発行による除算を回避するため、図４の処理では、ステップ４０２で演算されるベースライン平均に１を加算することができる。本質的に、１を加えることによってデータのうちいくつかを減衰することによって、値のノイズレベルを好ましい方法でわずかに上昇させる。
【００８７】
表２は、仮説的な実施形態におけるファイルの種類ＥＸＥに対するデータ例を示す。
【表２】
2008545177.tif 000004
【００８８】
代替的な実施形態では、図２、図３、図４の処理は、報告されたデータの動向を認識しおよびウィルススコア演算における変則性を識別するロジックも含んでもよい。
【００８９】
大部分の実行ファイルは、ある一種類のまたは別の種類の電子メールの添付ファイルを介して伝播するので、本明細書中のアプローチの戦略は、添付ファイルの種類に基づいてポリシー決定を行うことに焦点を当てる。代替的な実施形態では、ウィルススコア値は、メッセージ中のユーアールエル（ＵＲＬ)、添付ファイルの名前、ソースネットワークアドレス、といった他のメッセージデータおよびメタデータを考慮することによって、開発されうる。さらに、代替的な実施形態では、ウィルススコア値は、添付ファイルの種類ではなくむしろ、個々のメッセージに割り当てられてもよい。
【００９０】
さらに別の実施形態では、ウィルススコア値を決定するために別の評価指標を考慮してもよい。たとえば、これまでに一度もメッセージを一度も送信していない新しいホストからウィルス情報処理装置１０８またはその情報ソースに多数のメッセージが急に受信された場合に、ウィルスが識別されてもよい。このようにして、特定のメッセージ最初に見られた日付が最近であるという事実、および、ウィルス情報処理装置１０８によって検知されたメッセージ量における急な上昇によって、ウィルスの突然発生を早期に示唆してもよい。
【００９１】
２．５  ウィルス突然発生情報の使用
上記のとおり、ウィルス突然発生情報は、ウィルススコア値を添付ファイルの種類といったメッセージ特性に単純に関連付けることができ、または、ウィルス突然発生情報は、それぞれがウィルススコア値を、ウィルスを示唆するメッセージの一つ以上の特性に関連付けるルール群を含むことができる。ＭＧＡは、ルール群を着信メッセージに適用して、どのルールがメッセージに一致するかを決定することができる。着信メッセージに一致するルールに基づいて、たとえば、一致するルールに由来する一つ以上のウィルススコア値に基づいてウィルススコア値を決定すること等によって、ＭＧＡは、メッセージがウィルスを含む可能性を決定することができる。
【００９２】
たとえば、ルールは、ＥＸＥ添付ファイルが添付されたメッセージに対するウィルススコアが４であることを示す「‘ｅｘｅ’の場合は、４である」であることができる。別の例として、ルールは、ＥＸＥ添付ファイルが添付されサイズが５０ｋ未満であるメッセージに対するウィルススコアが３であることを示す「‘ｅｘｅ’でおよびサイズが＜５０ｋの場合は、３である」であることができる。さらに別の例として、ルールは、ＳｅｎｄｅｒＢａｓｅ信用スコア (ＳＢＲＳ)が「−５」未満である場合にウィルススコアが４であることを示す 「ＳＢＲＳ＜−５の場合は、４である」であることができる。別の例として、ルールは、メッセージが添付ファイルの種類ＰＩＦを有しおよびメッセージの件名が文字列「ＦＯＯＬ」を含む場合ウィルススコアが５であることを示す「‘ＰＩＦ’でありおよび件名が‘ＦＯＯＬ’を含む場合は、５である」であってもよい。一般に、ルールは、ウィルス発生を決定するために用いることができる任意の数のメッセージ特性または他のデータを、メッセージ特性または他のデータに一致するメッセージがウィルスを含む可能性を示すインジケーターに関連付けることができる。
【００９３】
さらに、メッセージングゲートウェイは、一つ以上の隔離ポリシーの形態などで、例外を適用して、図３のブロック３１２において決定されるような、一致するルールに基づいて決定されたウィルススコア値に基づいて規定された閾値を別の方法で満たすメッセージが突然発生隔離キュー内に入れられるべきか否か、または、メッセージが突然発生隔離キュー内に入れられずに処理されるべきか否かを決定することができる。ＭＧＡは、ウィルススコアにかかわらずメッセージが電子メールアドレスまたは電子メールアドレス群に常に配信されることを可能にする、または、ＰＤＦファイルを含むＺＩＰファイルといった規定の添付ファイルの種類の添付されたメッセージを常に配信するポリシーといったルールを適用するための、一つ以上のポリシーを適用するよう構成することができる。
【００９４】
一般に、ウィルス情報処理装置にウィルススコア値の代わりにルールを供給させることによって、それぞれのＭＧＡは、ＭＧＡの管理者によって決定された態様で一部またはすべてのルールを適用することができ、これによって特定のＭＧＡの必要性を満たすための追加的な柔軟性を提供する。その結果、二つのメッセージングゲートウェイ１０７が、同じルール群を用いる場合であっても、それぞれのＭＧＡの管理者によってルールの適用を構成する能力は、それぞれのＭＧＡが同じメッセージを処理し、および決定されたウィルス攻撃が起きている可能性の点で異なる結果を取得することができること、および、それぞれのＭＧＡが同じメッセージを処理しおよびＭＧＡの管理者によって確立された構成に応じて異なるアクションを取ることができることを意味している。
【００９５】
図５は、一実施形態による、ウィルスの突然発生を管理するルール群の適用を示すフロー図である。図５に示す機能は、メッセージングゲートウェイによって、ブロック３１２の一部としてまたは着信メッセージの処理中の任意の他の適切な位置において、実行することができる。
【００９６】
ブロック５０２において、メッセージングゲートウェイは着信メッセージのメッセージ特性を特定する。たとえば、メッセージングゲートウェイ１０７は、メッセージが添付ファイルを有するか否か、およびもしそうであれば、添付ファイルの種類、添付ファイルのサイズ、および添付ファイルの名称を決定することができる。他の例として、メッセージングゲートウェイ１０７は、ＳｅｎｄｅｒＢａｓｅの信用スコアを取得するために、送信側ＩＰアドレスに基づいてＳｅｎｄｅｒＢａｓｅサービスに問い合わせを行うことができる。図５を説明する目的で、メッセージが添付ファイルの種類ＥＸＥが添付され、大きさが３５ｋであり、およびメッセージの送信ポストがＳｅｎｄｅｒＢａｓｅの信用スコア−２を有すると仮定する。
【００９７】
ブロック５０４において、メッセージングゲートウェイは、該メッセージのメッセージ特性に基づいてルール群のうちどのルールと一致しているかを決定する。たとえば、図５を説明する目的で、ルール群は、例となる特性を提供された仮説的ウィルススコア値に関連付ける下記の５つのルールから成ると仮定する：
ルール１：「ＥＸＥの場合は、３である」
ルール２：「ＺＩＰの場合は、４である」
ルール３：「ＥＸＥでおよびサイズが＞５０ｋの場合は、５である」
ルール４：「ＥＸＥでおよびサイズが＜５０ｋおよび＞２０ｋの場合は、４である」
ルール５：「ＳＢＲＳ＜−５の場合は、４である」
これらルール例において、ルール１は、ＺＩＰ添付ファイルのほうがＥＸＥ添付ファイルよりもウィルスを含む可能性が高いことを示す。その理由は、ウィルススコアはルール２で４であるがしかしルール１ではわずか３であるからである。さらに、上記のルール例において、サイズが５０ｋよりも大きいＥＸＥ添付ファイルはウィルスを有する可能性が最も高いが、しかし、サイズが５０ｋ未満であるが２０ｋよりも大きいＥＸＥ添付ファイルがウィルスを含む可能性はわずかに低いことを示す。その理由はおそらくは、ＥＸＥ添付ファイルが添付された疑わしいメッセージの大部分がサイズが５０ｋよりも大きいからである。
【００９８】
メッセージが添付ファイルの種類ＥＸＥを有しサイズが３５ｋである添付ファイルを有し、および関連付けられたＳｅｎｄｅｒＢａｓｅの信用スコアが−２である本例において、ルール１と４は一致するが、一方で、ルール２、３、および５は一致しない。
【００９９】
ブロック５０６において、メッセージングゲートウェイは、一致するルールに由来するウィルススコア値に基づいて、メッセージに対して用いられるウィルススコア値を決定する。メッセージに対して用いられるウィルススコア値の決定は、多数のアプローチのうちのいずれかに基づいて実行することができる。用いられる特定のアプローチは、メッセージングゲートウェイの管理者によって規定され、および所望のとおり修正することができる。
【０１００】
たとえば、ルールのリストをリスト化された順序で適用する際に最初に一致するルールを用いることができ、および、任意の他の一致するルールは無視される。したがって、この例では、一致する最初のルールはルール１であり、およびしたがって、メッセージに対するウィルススコア値は３である。
【０１０１】
他の例として、ウィルススコア値が最も高い一致するルールが用いられる。したがって、この例では、一致するルールの中でルール３が最も高いウィルススコア値を有し、およびしたがって、メッセージに対するウィルススコア値は５である。
【０１０２】
さらに別の例として、最も具体的なメッセージ特性群を備えた一致するルールが用いられる。したがって、この例では、ルール４は３つの異なる基準を含むので、ルール４は最も具体的な一致するルールであり、およびしたがって、メッセージに対するウィルススコア値は４である。
【０１０３】
他の例として、一致するルールに由来するウィルススコア値を組み合わせて、メッセージに適用するウィルススコア値を決定することができる。具体例として、ルール１、３、および４に由来するウィルススコア値を平均化して、ウィルススコア値４を決定することができる（たとえば、(３＋４＋５)÷３＝４)。別の例として、一致するルールのウィルススコア値の重み付けされた平均を用いて、より具体的なルールに対してより大きな重みを与えることができる。具体例として、それぞれのウィルススコア値に対する重みは、ルール中の基準の数と同じであることができる（たとえば、１個の基準を持つルール１は重み１を有し、一方、３個の基準があるルール４は重み３を有する)、およびしたがって、ルール１、３、および４の重み付けされた平均は結果としてウィルススコア値４．２となる(たとえば、(１×３＋２×５＋３×４)÷(１＋２＋３)＝４．２)。
【０１０４】
ブロック５０８において、メッセージングゲートウェイは、ブロック５０６で決定されたウィルススコア値を用いて、規定のウィルススコア閾値が満たされているか否かを決定する。たとえば、この例において、閾値が、ウィルススコア値が４であることと仮定する。その結果、すべての例示的なアプローチによってブロック５０６で決定されたウィルススコア値は、一致する最初のルールを用いる場合およびブロック５０６がウィルススコア値が３であると決定する場合を除いて、閾値を満たすであろう。
【０１０５】
規定の閾値が、ブロック５０８で決定されたウィルススコア値によって満たされると決定される場合、次いでブロック５１０において、一つ以上の隔離ポリシーが適用されて、メッセージを突然発生隔離キューに加えるか否かを判断する。たとえば、メッセージングゲートウェイの管理者は、たとえウィルスの突然発生が検知された場合であっても、一人以上のユーザーまたは一つ以上のユーザーの群に決してメッセージを隔離させるべきでないと決定してもよい。他の例として、管理者は、規定の閾値に基づいてウィルス突然発生情報がウィルス攻撃を示す場合、所定の特性を備えたメッセージ（たとえば、ＸＬＳ添付ファイルが添付されサイズが少なくとも７５ｋであるメッセージ）が、隔離される代わりに、常に配信されるようにするポリシーを確立することができる。
【０１０６】
具体例として、組織の法務部の人員は、たとえメッセージングゲートウェイがウィルスの突然発生が起きていると決定した場合であっても、突然発生隔離中に入れられることによって遅延させられるべきでない、重要な法的文書を含むＺＩＰファイルを高い頻度で受信するかもしれない。したがって、メッセージングゲートウェイのメール管理者は、たとえＺＩＰ添付ファイルに対するウィルススコア値が規定の閾値を満たすかまたは超える場合であっても、ＺＩＰファイルが添付されたメッセージを法務部に常に配信するというポリシーを策定することができる。
【０１０７】
他の具体例として、メール管理者は、メール管理者の電子メールアドレスに宛てられたメッセージを常に配信させたいと願うかもしれない。その理由は、このようなメッセージはウィルスの突然発生に対処するための情報を提供しうるからである。メール管理者が教養あるユーザーである場合、ウィルスに感染したメッセージを配信するリスクは低い。その理由は、メール管理者が、ウィルスが作用できる前に、感染されたメッセージを識別しおよび対処することができる可能性が高いからである。
【０１０８】
図５を説明するのに用いられている例に対して、企業の上級技術マネジャーに宛てられたＥＸＥ添付ファイルは、たとえこのようなメッセージに対するウィルススコア値がウィルススコア閾値を満たすかまたは超える場合であっても、常に配信されるというポリシーをメール管理者が確立したと仮定する。したがって、メッセージが任意の上級技術マネジャーに宛てられる場合、それにもかかわらずメッセージは、突然発生隔離中に入れられる代わりに配信される。しかしながら、上級技術マネジャー以外に宛てられたメッセージは、(他の適用可能なポリシーによって他に除外されない限り）隔離される。
【０１０９】
一実施形態では、メッセージングゲートウェイは、２つの状態「平穏な」および「緊張した」のうち一つの状態に構成することができる。どのメッセージも隔離されない場合、平穏な状態が適用される。しかしながら、ウィルス突然発生情報が更新され、および規定の閾値を上回ったことを示す場合、メッセージングゲートウェイによって受信中の任意のメッセージが隔離中か否かにかかわらず、状態は「平穏な」から「緊張した」に変化する。緊張した状態は、ウィルス突然発生情報が更新されおよび規定の閾値をもはや上回らないと示すまで持続する。
【０１１０】
いくつかの実施では、システム状態の変化(たとえば、「平穏な」から「緊張した」または「緊張した」から「平穏な」)が起きるといつでも、警告メッセージがオペレーターまたは管理者に送信される。加えて、かつては閾値を満たさない低かったウィルススコア値が今では閾値を満たすかまたは上回る場合は、たとえシステムの全体の状態が変化しない (たとえば、システムが過去に「平穏な」から「緊張した」に変化し、および一方では「緊張した」状態で、閾値を満たすかまたは超える別のウィルススコアがウィルス情報処理装置から受信される) 場合であっても、警告を発することができる。同様に、過去に閾値を満たした高いウィルススコアが低下しておよび今では規定の閾値未満である場合も、警告を発することができる。
【０１１１】
警告メッセージは、下記を含むがそれに限らない一つ以上の種類の情報含むことができる：ウィルス突然発生情報が変更した添付ファイルの種類、現在のウィルススコア、過去のウィルススコア、現在の閾値、およびいつウィルス突然発生情報の最新の更新が発生したか。
【０１１２】
２．６  追加的な特徴
上記に記載の特徴に加えて、一つ以上の下記の追加的な特徴を特定の実施において用いることができる。
【０１１３】
一つの追加的な特徴は、ウィルス脅威の識別を支援するよう具体的に設計された送信者ごとのデータを取得することである。たとえば、ＭＧＡが、ＳｅｎｄｅｒＢａｓｅといったサービスに、ＩＰアドレスを接続するためのＳｅｎｄｅｒＢａｓｅの信用スコアを取得するよう問い合わせをする場合、ＳｅｎｄｅｒＢａｓｅのＩＰアドレスを接続するために特有のウィルス脅威データを提供することができる。ウィルス脅威データは、ＩＰアドレスに対してＳｅｎｄｅｒＢａｓｅによって収集されたデータに基づき、および、ＩＰアドレスまたはＩＰアドレスと関連付けられた企業から由来するメッセージ中にウィルスがどれだけの頻度で検出されるかという点において、およびＩＰアドレスの履歴を反映する。これによって、ＭＧＡは、特定のメッセージのコンテンツについて送信側ＩＰアドレスから何の情報または知識もなしに、メッセージの送信者のみに基づいて、ＳｅｎｄｅｒＢａｓｅからウィルススコアを取得することができる。送信者ごとのウィルス脅威に関するデータは、上記のように決定されたウィルススコアの代わりに、またはそれに加えて、用いることができ、または、送信者ごとのウィルス脅威に関するデータは、ウィルススコアの計算に組み入れることができる。たとえばＭＧＡは、送信者ごとのウィルス脅威データに基づいて、特定のウィルススコア値を増加または減少させうる。
【０１１４】
別の特徴は、動的またはダイアルアップのブラックリストを用いて、動的またはダイアルアップのホストが外部のＳＭＴＡＰサーバーに直接接続している場合に、ウィルスに感染した可能性の高いメッセージを識別することである。通常は、インターネットに接続する動的およびダイアルアップのホストは、ホストのローカルＳＭＴＡＰサーバーを介して、発信メッセージを送信すると予想される。しかしながら、ホストがウィルスに感染している場合、ウィルスは、ＭＧＡといった外部のＳＭＴＡＰサーバーにホストを直接接続させることができる。このような状況では、ホストに外部のＳＭＴＡＰサーバーとの接続を確立させるウィルスに、ホストが感染する可能性は高い。例としては、スパムおよびＯｐｅｎ  Ｒｅｌａｙ  Ｂｌｏｃｋｉｎｇ  Ｓｙｓｔｅｍｅ（ＳＯＲＢＳ）動的ホスト、およびＮｏｔ  Ｊｕｓｔ  Ａｎｏｔｈｅｒ  Ｂｏｇｕｓ  Ｌｉｓｔ  （ＭＪＡＢＬ）  動的ホストがあげられる。
【０１１５】
しかしながら、一部の場合では、初心者のユーザーが直接接続を行う場合、または接続がＤＳＬまたはケーブルモデムといった動的でないブロードバンド・ホストからの場合などは、直接接続はウィルスによって開始されない。それにもかかわらず、このようなダイアルアップまたは動的ホストからの外部のＳＭＴＡＰサーバーへの直接接続の結果、高いウィルススコアを決定するか、または、すでに決定されたウィルススコアを増加するかして、直接接続がウィルスを原因とする能性が高まったことを反映することができる。
【０１１６】
別の特徴は、過去にウィルスによって不当に利用されたホストを追跡する不当に利用されたホストのブラックリストを、ウィルス情報源として用いることである。サーバーがオープンリレー、オープンプロキシであるか、またはその他誰もが電子メールをどこにでも配信できるという脆弱性を有する場合に、ホストは不当に利用される可能性がある。不当に利用されたホストのブラックリストは、二つの技法のうち一つを用いて、不当に利用されたホストを追跡する：感染したホストが送信するコンテンツ、および、接続時間スキャンによって感染したホストを検索すること。例として、Ｃｏｍｐｏｓｉｔｅ  Ｂｌｏｃｋｉｎｇ  Ｌｉｓｔ（ＣＢＬ）およびＯｐｅｎ  Ｐｒｏｘｙ  Ｍｏｎｉｔｏｒ（ＯＰＭ）およびＤｉｓｔｒｉｂｕｔｅｄ  Ｓｅｒｖｅｒ  Ｂｏｙｃｏｔｔ  Ｌｉｓｔ（ＤＳＢＬ）からのデータを用いるＥｘｐｌｏｉｔｓ  Ｂｌｏｃｋ  Ｌｉｓｔ（ＸＢＬ）があげられる。
【０１１７】
別の特徴は、ウィルス情報処理装置が、ウィルスを送信した過去の履歴を有する送信者およびネットワークのブラックリストを開発することである。たとえば、最も高いウィルススコアを、ウィルスのみを送信することがわかっている個人のＩＰアドレスに割り当てることができる。中等度のウィルススコアを、ウィルスとウィルスに感染していない正当なメッセージとの両方を送信することがわかっている個人のＩＰアドレスに関連付けることができる。中等度から低いウィルススコアを、一つ以上の個々の感染したホストを含むネットワークに割り当てることができる。
【０１１８】
別の特徴は、上記に論じたことに加えて、添付ファイルの特性を識別するといった、疑わしいメッセージを識別する広範なテスト群を組み入れることである。たとえば、一般的ヘッダテストを用いて、任意の一般的メッセージヘッダに対して下記の例のような定められた文字列または正規表現を探すことができる：
ｈｅａｄ    Ｘ＿ＭＩＭＥ＿ＦＯＯ    Ｘ−Ｍｉｍｅ＝〜／ｆｏｏ／
ｈｅａｄ    ＳＵＢＪＥＣＴ＿ＹＯＵＲ    Ｓｕｂｊｅｃｔ＝〜／ｙｏｕｒ  ｄｏｃｕｍｅｎｔ／
別の例として、一般的本文テストを用いて、下記の例のような定められた文字列または正規表現を検索することによって、メッセージ本文をテストすることができる：
ｂｏｄｙ    ＨＥＹ＿ＰＡＬ    ／ｈｅｙ  ｐａｌ｜ｌｏｎｇ  ｔｉｍｅ，  ｎｏ  ｓｅｅ／
ｂｏｄｙ    ＺＩＰ＿ＰＡＳＳＷＯＲＤ    ／＼．ｚｉｐ  ｐａｓｓｗｏｒｄ  ｉｓ／ｉ
さらに別の例として、機能テスト用いて、下記の例のようなテストメッセージのきわめて特有の態様をテストするカスタムテストを作成することができる：
ｅｖａｌ    ＥＸＴＥＮＳＩＯＮ＿ＥＸＥ    ｍｅｓｓａｇｅ＿ａｔｔａｃｈｍｅｎｔ＿ｅｘｔ（“．ｅｘｅ”）
ｅｖａｌ    ＭＩＭＥ＿ＢＯＵＮＤ＿ＦＯＯ    ｍｉｍｅ＿ｂｏｕｎｄａｒｙ（“−−／ｄ／ｄ／ｄ／ｄ［ａ−ｆ］”）
ｅｖａｌ    ＸＢＬ＿ＩＰ    ｃｏｎｎｅｃｔｉｎｇ＿ｉｐ（ｅｘｐｌｏｉｔｅｄ  ｈｏｓｔ）
別の例として、上記のような複数の特徴に基づいてメタテストを用いて、下記の例のようなルールのメタルールを作成することができる：
ｍｅｔａ    ＶＩＲＵＳ＿ＦＯＯ    （（ＳＵＢＪＥＣＴ＿ＦＯＯ１  ｜｜  ＳＵＢＪＥＣＴ＿ＦＯＯ２）  ＆＆  ＢＯＤＹ＿ＦＯＯ）
ｍｅｔａ    ＶＩＲＵＳ＿ＢＡＲ    （ＳＩＺＥ＿ＢＡＲ  ＋  ＳＵＢＪＥＣＴ＿ＢＡＲ  ＋  ＢＯＤＹ＿ＢＡＲ  ＞２）
用いることができる別の特徴は、すべてのルールを作動させる必要がないよう上記のウィルススコア決定アプローチを一つ以上のマシン学習技法に拡張すること、および、誤判定および検知漏れを最小化することによって正確な分類を提供することである。たとえば、下記の方法のうち一つ以上を採用することができる：離散回答を提供するデシジョンツリー；付加的なスコアを提供する認知；および確率をスコアにマッピングするベイズ様解析。
【０１１９】
別の特徴は、ウィルスの影響に基づくウィルスの突然発生による脅威の重大性をウィルススコア決定に組み込むことである。たとえば、ウィルスによって、感染したコンピューターのハードドライブが、すべてのコンテンツを削除させた場合、そのウィルススコアを増加することができ、一方、メッセージを単に表示するウィルスは、変化しないままのまたはさらに減少したウィルススコアを有することができる。
【０１２０】
別の追加的な特徴は、疑わしいメッセージを取り扱うための選択肢を拡大することである。たとえば、たとえば、ユーザーが、メッセージに対して決定されたウィルスリスクのレベルの警告を受けるよう(たとえば、件名または本文の)メッセージにウィルススコアを加えることによって、疑わしいメッセージは、メッセージが疑わしいことを示すようタグ付けすることができる。別の例として、新しいメッセージを生成して、ウィルスに感染したメッセージを送信しようとしている試みを受信者に対して警告するか、または、メッセージの非ウィルス感染部を含む新しくかつ未感染のメッセージを作成することができる。
【０１２１】
２．７  例となる使用事例
下記の仮説的な説明は、どのように本明細書中に記載されるアプローチをウィルスの突然発生を管理するのに用いても良いかを提供する。
【０１２２】
最初の使用事例として、「Ｓｐｒｏｓｔｓ．ｋｙ」という題の新しいウィルスがＭｉｃｒｏｓｏｆｔ  Ｅｘｃｅｌ（登録商標）に埋め込まれたＶｉｓｕａｌ  Ｂａｓｉｃマクロを介して伝播したと仮定する。ウィルスがヒットして間もなく、ウィルススコアは添付ファイル．ｘｌｓのために１から３へと移動し、および本明細書中のアプローチのユーザーであるＢｉｇ  Ｃｏｍｐａｎｙ社は、Ｅｘｃｅｌファイルの配信の遅延を開始する。Ｂｉｇ  Ｃｏｍｐａｎｙ社のネットワーク管理者は、．ｘｌｓファイルが現在隔離中であると記載する電子メールを受信する。Ｓｏｐｈｏｓは次いで、１時間後に、ウィルスを止めるための新しい更新ファイルが利用可能であると記載された警告を送信する。ネットワーク管理者は次いで、自分のＩｒｏｎＰｏｒｔ  Ｃ６０が最新の更新ファイルをインストール済であることを確認する。ネットワーク管理者は、隔離キューのための遅延時間を５時間と設定したものの、Ｅｘｃｅｌファイルは企業にとってきわめて重要であり、したがって管理者はさらに４時間待つ余裕はない。したがって、管理者はＩｒｏｎＰｏｒｔ  Ｃ６０にアクセスし、および手入力でキューを一気に消去し、Ｅｘｃｅｌファイルを添付したすべてのメッセージを、Ｓｏｐｈｏｓアンチウィルスチェッキングを介して送信する。管理者は、これらメッセージのうち２４９個がウィルス陽性であり、および１個が感染していなかったのでＳｏｐｈｏｓによって捉えられなかったことを発見する。メッセージは、全遅延時間１．５時間で配信される。
【０１２３】
第二の使用事例として、「Ｃｌｅｇｇ．Ｐ」ウィルスが、暗号化されたｚｉｐファイルを介して伝播したと仮定する。Ｂｉｇ  Ｃｏｍｐａｎｙ社のネットワーク管理者は、ウィルススコア値が急上昇したとの電子メールの警告を受信するが、しかし、管理者は警告を無視し、本明細書中に提供された自動的な処理に依存する。６時間後に一夜明けて、管理者は隔離キューが容量の７５％に到達したことを警告する２ページ目を受信する。管理者が仕事場に到着する時間までに、Ｃｌｅｇｇ．ＰはＢｉｇ  Ｃｏｍｐａｎｙ社の隔離キューを満杯にした。幸運にも、ネットワーク管理者はＩｒｏｎＰｏｒｔ  Ｃ６０に対して、隔離キューがオーバーフローした場合にはメッセージを正常どおり配信するというポリシーを設定しており、および、Ｓｏｐｈｏｓは、隔離キューがオーバーフローする前に、徹夜で新しい更新を出していた。ウィルススコア値が隔離キューをトリガーする前は２名のみのユーザーが感染しており、したがって、管理者はあふれた隔離キューにのみ直面する。すべてのメッセージがウィルスであったとの仮定に基づいて、管理者は、メッセージをキューから一気に消去し、自動的にそれらを削除して、ＩｒｏｎＰｏｒｔ  Ｃ６０上のロードを使わないで取っておく。予防的なアプローチとして、ネットワーク管理者は、規定の未来の時間周期の間すべての暗号化された．ｚｉｐファイルを阻止する。
【０１２４】
３．０  「スパム」メッセージを阻害するためのアプローチ
図７は、「スパム」メッセージを阻害するための、および他の種類の電子メールスキャン処理のアプローチに用いてもよいブロック図である。この文脈において、語「スパム」は任意の迷惑電子メールのことをいい、および語「ハム」は正当な大量の電子メールのことをいう。語「ＴＩ」は脅威特定、すなわち、ウィルスの突然発生またはスパム通信が起きていることを決定することをいう。
【０１２５】
サービスプロバイダー７００中に、一つ以上のＴＩ開発コンピューター７０２が、コーパスサーバークラスタ７０６に接続され、コーパスサーバークラスタ７０６は脅威識別ルールのコーパスまたはマスターリポジトリの役割を果たし、および脅威識別ルールを評価のためにメッセージに適用し、その結果スコア値を生成する。サービスプロバイダー７００のメールサーバー７０４は、ハム電子メールをコーパスサーバークラスタ７０６に与える。一つ以上のスパムトラップ７１６は、スパム電子メールをコーパスに与える。スパムトラップ７１６は、確立されたおよびスパム発信者にシードされた電子メールアドレスであり、その結果、該アドレスはスパム電子メールのみを受信する。スパムトラップ７１６で受信されたメッセージは、メッセージシグニチャまたはチェックサムへと変換され、これらはコーパスサーバークラスタ７０６に記憶される。一つ以上のアバター７１４が非機密の電子メールをコーパスに評価のために与える。
【０１２６】
サービスプロバイダー７００中に、一つ以上のＴＩ開発コンピューター７０２が、コーパスサーバークラスタ７０６に接続され、コーパスサーバークラスタ７０６は脅威識別ルールのコーパスまたはマスターリポジトリホストの役割を果たし、および脅威識別ルールを評価用にメッセージに適用してその結果スコア値を生成する。サービスプロバイダー７００のメールサーバー７０４は、ハム電子メールをコーパスサーバークラスタ７０６に与える。一つ以上のスパムトラップ７１６は、スパム電子メールをコーパスに与える。スパムトラップ７１６は、確立されおよびスパム発信者にシードされた電子メールアドレスであり、その結果アドレスはスパム電子メールのみを受信する。スパムトラップ７１６で受信されたメッセージは、メッセージシグニチャまたはチェックサムへと変換され、これらはコーパスサーバークラスタ７０６に記憶される。一つ以上のアバター７１４が評価のために非機密の電子メールをコーパスに与える。
【０１２７】
コーパスサーバークラスタ７０６によって作成されたスコアは、ルール／ＵＲＬサーバー７０７に接続され、該ルール／ＵＲＬサーバー７０７は、ウィルス、スパム、および他の電子メール脅威と関連付けられたルールおよびＵＲＬを、顧客のもとに配置されたサービスプロバイダー７００の一つ以上のメッセージングゲートウェイ１０７に対して発行する。メッセージングゲートウェイ１０７は、ＨＴＴＰＳ転送を介して新しいルールを定期的に読み出す。脅威オペレーションセンター（ＴＯＣ)７０８は、テスト目的の暫定的なルールを生成し、およびそれをコーパスサーバークラスタ７０６に送信してもよい。脅威オペレーションセンター７０８は、ウィルス脅威を検知しおよびにそれに応答することにかかわる人員、ツール、データおよび施設のことをいう。ＴＯＣ７０８はまた、生産用途のために承認されたルールも、ルール／ＵＲＬサーバー７０７に発行し、および、スパム、ウィルスまたは他の脅威と関連付けられていないことがわかっているホワイトリストに掲載されたＵＲＬを、ルール−ＵＲＬサーバーに送信する。ＴＩチーム７１０は、手入力で他のルールを作成し、およびそれらをルール／ＵＲＬサーバーに提供してもよい。
【０１２８】
明確な例を示すために、図７は一つのメッセージングゲートウェイ１０７を示す。しかしながら、様々な実施形態および商業的な実施では、サービスプロバイダー７００は、様々な顧客のもとでまたは顧客のサイトにある、多数の現場に配備されたメッセージングゲートウェイ１０７に接続されている。メッセージングゲートウェイ１０７、アバター７１４、およびスパムトラップ７１６は、インターネットといった公共のネットワークを介してサービスプロバイダー７００に接続する。
【０１２９】
一実施形態によると、それぞれの顧客のメッセージングゲートウェイ１０７は、実行可能なロジックおよびＤＮＳブラックリストを含むローカルＤＮＳ  ＵＲＬブラックリストモジュール７１８を保持する。ＤＮＳブラックリストの構造は、ＩＰアドレスといったネットワークアドレスを、ＩＰアドレスと関連付けられた信用スコア値にマッピングする、複数のＤＮＳ型記録Ａを含んでもよい。ＩＰアドレスは、スパムメッセージの送信者のＩＰアドレス、または、スパムメッセージ中に発見されたことがあるかまたはフィッシング攻撃またはウィルスといった脅威と関連付けられていることがわかっているＵＲＬのルートドメインと関連付けられたサーバーアドレスを表してもよい。
【０１３０】
したがって、それぞれのメッセージングゲートウェイ１０７は、ＩＰアドレスの自己のＤＮＳブラックリストを保持する。これに対して、過去のアプローチでは、グローバルな場所で保持され、ここでは、ネットワーク通信を介してすべてのクエリーを受信しなければならない。本アプローチは、ＭＧＡによって生成されるＤＮＳクエリーはネットワークを横切って集中型のＤＮＳサーバーに到達する必要がないので、性能を改善する。このアプローチは更新もしやすい；セントラルサーバーは、インクリメントの更新をメッセージングゲートウェイ１０７に定期的に送信することができる。フィルタースパムメッセージに対して、メッセージングゲートウェイ１０７中の他のロジックが、テストされているメッセージから一つ以上のＵＲＬを抽出することができ、 (ＵＲＬ、ビットマスクの)対のリストとして入力をブラックリストモジュール７１８に提供し、およびブラックリストＩＰアドレスヒットのリストとして出力を受信する。ヒットが示される場合、次いでメッセージングゲートウェイ１０７は、電子メールの配信を阻止し、電子メールを隔離するか、または、配信の前にメッセージからＵＲＬを取り外すといった他のポリシーを適用することができる。
【０１３１】
一実施形態では、ブラックリストモジュール７１８は、電子メール中のＵＲＬポイズニングのテストも行う。ＵＲＬポイズニングとは、スパム発信者によって用いられる、悪意のないＵＲＬも合わせて含んでいる電子迷惑メールメッセージの中に悪意のあるまたは破壊的なＵＲＬを入れる技法のことをいい、その結果、疑いを持たずにＵＲＬをクリックするユーザーが、悪意のあるローカルなアクション、広告の表示等を知らずにトリガーする可能性がある。「善良な」ＵＲＬの存在には、スパム検知ソフトウェアがメッセージをスパムとしてマーキングすることを防止することが意図されている。一実施形態では、ブラックリストモジュール７１８は、入力として提供される悪意のあるおよび善良なＵＲＬの特定の組み合わせがスパムメッセージを表す場合を決定することができる。
【０１３２】
一実施形態は、ＤＮＳデータを取得し、および、それを、数個のデータベースクエリーを受け取りおよび次いでＤＮＳ応答を受信できるハッシュ型のローカルデータベースに移動させるシステムを提供する。
【０１３３】
上述のアプローチは、ＳｐａｍＡｓｓａｓｓｉｎオープンソースプロジェクトへのプラグインとして構成されるコンピュータープログラム中に実施されてもよい。ＳｐａｍＡｓｓａｓｓｉｎは、コアプログラムとともに用いることができるＰｅｒｌモジュール群から成る。該コアプログラムは、ＳｐａｍＡｓｓａｓｓｉｎとともに出荷される「ｓｐａｍｄ」といったメッセージチェックを実行するネットワークプロトコルを提供することができる。ＳｐａｍＡｓｓａｓｓｉｎのプラグインアーキテクチャは、アプリケーションプログラミング。インタ−フェースを介して拡張可能である；プログラマーは、新しいチェック経験則および他の機能を、コアコードを変更することなく加えることができる。プラグインは構成ファイルの中で識別され、およびランタイムにロードされ、およびＳｐａｍＡｓｓａｓｓｉｎの機能的な一部分となる。ＡＰＩは、経験則の形式（スパムに一般的に用いられる単語または句を検知するルール)およびメッセージチェックのルールを定義する。一実施形態では、経験則は単語の辞書に基づいており、およびメッセージングゲートウェイ１０７は、管理者が辞書のコンテンツを編集していかがわしい単語または既知の善良な単語を追加または除去することを可能にするユーザーインターフェースをサポートする。一実施形態では、管理者は、他のアンチスパムスキャンを実行する前に、企業に特有のコンテンツ辞書に対してメッセージをスキャンするアンチスパムロジック１１９を構成することができる。このアプローチによって、メッセージが企業に特有の語または業界標準の語を含む場合に、コンピューターを用いた高価な他のスパムスキャンを実施せずに、メッセージが低いスコアを最初に受信することが可能になる。
【０１３４】
さらに、広い意味では、上記に記載のアプローチによって、スパムチェックエンジンが、信用度決定の基盤を形成してきたがスパムチェックでの直接使用を発見していない情報を受信しおよび用いることが可能になる。該情報は、加重値およびスパムチェッカーの他の経験則を修正するのに用いることができる。したがって、スパムチェッカーは、新たに受信したメッセージがスパムであるか否かをより高い精度で決定することができる。さらに、スパムチェッカーは、コーパス中の大量の情報によって情報を得て、これによっても精度が向上する。
【０１３５】
３．１  スパムスキャンからの早期終了
アンチスパムロジック１１９は、通常は、完全な態様でそれぞれのメッセージに対して作動し、このことは、それぞれのメッセージのすべての要素が完全に構文解析され、および次いで、すべての登録されたテストが実行されることを意味している。これによって、ある一つのメールがハムかスパムかについての非常に正確な全体評価を与えられる。しかしながら、ひとたび、メッセージが十分「スパム性がある」と、該メッセージはスパムとして信号を発しおよび取り扱うことができる。メールのバイナリー性質に寄与する必要のある追加的な情報はない。一実施形態がスパムおよびハムの閾値を実施する場合には、次いで、メッセージが確実にスパムであると言えるほど十分「スパム性がある」とひとたびロジックが決定すると、メッセージスキャン機能を終了することによって、アンチスパムロジック１１９の性能が向上する。本明細においては、このようなアプローチは、アンチスパム構文解析またはスキャンからのＥａｒｌｙ  Ｅｘｉｔ（早期終了）とよばれる。
【０１３６】
早期終了によって、単にメッセージがスパムであることをさらに確認するだけの何百のルールを評価しないことによって、相当な時間を節約することができる。ネガティブな採点ルールは典型的にはごくわずかしか存在しないため、ひとたび所定の閾値がヒットすると、ロジック１１９はメッセージがスパムであると陽性の決定をすることができる。二つの別の性能利得も、ルールの秩序化および実行およびオンデマンドの構文解析と呼ばれるメカニズムを用いて実施される。
【０１３７】
ルールの秩序化および実行は、確実に迅速使用できるインジケーターを使用するメカニズムである。ルールが秩序化されおよびテストグループに分類される。それぞれのグループが実行された後、現在のスコアがチェックされ、およびメッセージが十分「スパム性がある」か否かについて決定が行われる。スパム性がある場合は、ロジック１１９はルール処理を中止し、およびメッセージがスパムであるとの判定を発表する。
【０１３８】
オンデマンドの構文解析は、必要な場合のみ、アンチスパムロジック１１９の一部としてメッセージ構文解析を実行する。たとえば、メッセージヘッダのみを構文解析した結果メッセージがスパムであるいう決定が得られた場合、他の構文解析動作は実行されない。とりわけ、メッセージヘッダに適用可能なルールは、非常に良いスパムのインジケーターとなることができる；アンチスパムロジック１１９が、ヘッダルールに基づいてメッセージがスパムであると決定する場合には、本文は構文解析されない。その結果、アンチスパムロジック１１９の性能が向上する。構文解析ヘッダは、メッセージ本文を構文解析するよりもコンピューターを用いる高価なものであるからである。
【０１３９】
別の例として、メッセージ本文が構文解析されるが、しかし、非ＨＴＭＬ本文要素に適用されるルールの結果スパムの判定が得られた場合には、ＨＴＭＬ要素は除外される。ＨＴＭＬの構文解析または（下記に詳述するような)ＵＲＩブラックリスト化のテストは、必要とされる場合にのみ実行される。
【０１４０】
図１１は、早期終了アプローチによる、メッセージ脅威スキャンを実行する処理のフロー図である。ステップ１１０２において複数のルールが受信される。ルールは、メッセージと関連付けられた脅威を示す電子メッセージの特性を規定する。したがって、あるルールがメッセージ要素に一致する場合、該メッセージはおそらくは、脅威を有するかまたはスパムである。それぞれのルールは優先順位の値を有し、およびそれぞれのルールがメッセージ要素型と関連付けられている。
【０１４１】
ステップ１１０４において、受信者アカウントの宛先アドレスを有する電子メールメッセージが受信される。メッセージは複数のメッセージ要素を含む。要素は典型的にはヘッダ、メール本文、およびＨＴＭＬ本文要素を含む。
【０１４２】
ステップ１１０６において、次のメッセージ要素が抽出される。ブロック１１０６Ａに示されるように、ステップ１１０６は、ヘッダ、メール本文、またはＨＴＭＬ本文要素を抽出することを伴うことができる。例として、ステップ１１０６でメッセージヘッダのみが抽出されると仮定する。抽出は典型的には一時コピーをデータ構造の中に作成することを伴う。
【０１４３】
ステップ１１０８において、同じ要素型に対するルール群の中からルールの優先順位の順序に基いて、次のルールが選択される。したがって、ステップ１１０８は、ステップ１１０６で抽出された現在のメッセージ要素に対して、その要素型に対するルールのみが考慮され、および、ルールはその優先順位の順序にしたがって照合することを反映する。たとえば、メッセージヘッダがステップ１１０６で抽出された場合には、ヘッダルールのみが照合される。過去のアプローチとは異なり、メッセージ全体は同時には考慮されず、および、すべてのルールは同時には考慮されない。
【０１４４】
ステップ１１０９において、メッセージに対する脅威スコア値が、現在のメッセージ要素のみを現在のルールのみに照合することによって決定される。代替的に、ステップ１１０８および１１０９は、現在のメッセージ要素型に対応するすべてのルールを選択し、および、すべてのこのようなルールを現在のメッセージ要素に照合することを伴うことができる。したがって、図１１は、それぞれのルールの後にテストすることによって早期終了を実行すること、または、特定のメッセージ要素型に対するすべてのルールを照合しおよび次いで早期終了が可能であるか否かを決定することを包含する。
【０１４５】
ステップ１１１０においてテストされるように脅威スコア値が規定の閾値よりも大きい場合には、スキャンからの終了、構文解析およびを照合がステップ１１１２で実行され、および、脅威スコア値がステップ１１１４で出力される。その結果、スキャン、抽出、およびルール照合処理において閾値を早い時期に超える場合は、スキャン処理からの早期終了が達成され、および、脅威スコア値をはるかに急速に出力してもよい。とりわけ、ヘッダルールの結果が閾値を超える脅威スコア値である場合は、ＨＴＭＬメッセージ要素を表示しおよびルールをそれら照合するコンピューターを用いるコストの高い処理を省略することができる。
【０１４６】
しかしながら、ステップ１１１０で脅威スコア値が閾値を上回らない場合、次いでステップ１１１１で、テストを実行して、現在のメッセージ要素に対するすべてのルールが照合されたか否かを決定する。テストの前にメッセージ要素に対するすべてのルールがステップ１１１０の照合される上記に記載の代替形態では、ステップ１１１１は必要ない。同じメッセージ要素型に対する他のルールが存在する場合には、制御はステップ１１０８に戻り、それらルールを照合する。同じメッセージ要素型に対するすべてのルールがすでに照合された場合には、制御はステップ１１０６に戻り、次のメッセージ要素を検討する。
【０１４７】
図１１の処理は、アンチスパムスキャンエンジン、アンチウィルススキャナー、または複数の異なる種類の脅威を識別することができる一般的な脅威スキャンエンジンにおいて実施されてもよい。脅威は、ウィルス、スパム、またはフィッシング攻撃のうちいずれか一つを含むことができる。
【０１４８】
したがって、一実施形態では、ひとたびメッセージ性質についての確実性に到達すると、アンチスパム、アンチウィルス、または他のメッセージスキャン動作を実行する論理エンジンは、メッセージに対してテストもまたは動作も実行しない。エンジンは、ルールを優先順位の群へと分類し、その結果、最も効果的でありおよび最もコストのかからないテストが先に実行される。エンジンは、特定のルールまたはルール群が構文解析を必要とするまで構文解析を避けるよう、論理的に順序付けられている。
【０１４９】
一実施形態では、ルールの優先順位の値がルールに割り当てられ、およびルールは実行時に順序付けられることができる。たとえば、優先順位が−４のルールは優先順位が０のルールよりも前に実行され、および、優先順位が０のルールは、優先順位が１０００のルールより前に実行される。一実施形態では、ルールの優先順位の値は、ルール群が作成される際に管理者によって割り当てられる。ルール優先順位の例は、−４、−３、−２、−１、ＢＯＴＨ、ＶＯＦを含み、および、ルールの有効性、ルールの種類、およびルールの大まかな間接費に基いて割り当てられる。たとえば、非常に効果的でありおよび単純な正規表現比較であるヘッダルールは、優先順位が−４（最初に実行）かもしれない。ＢＯＴＨは、ルールがスパムとウィルスの両方を検知するのに効果的であることを示す。ＶＯＦはウィルスの突然発生を検知するために実行されるルールを示す。
【０１５０】
一実施形態では、脅威特定チーム７１０（図７）はルールの分類および順序付けを決定し、および優先順位を割り当てる。ＴＩチーム７１０は、ルールの統計的な有効性を継続的に評価して、異なる優先順位を割り当てることを含め、実行のためにルールをどのように順序付けるかを決定することができる。
【０１５１】
一実施形態では、最初に、メッセージヘッダが構文解析され、およびヘッダルールが実行される。次に、メッセージ本文の復号が実行され、およびメール本文ルールが実行される。最後に、ＨＴＭＬ要素が表示され、および本文ルールおよびＵＲＩルールが実行される。それぞれの構文解析ステップの後、テストが実行されて、現在のスパムスコアがスパム要請の閾値よりも大きいか否かを決定する。大きい場合には次いで、パーサーは終了し、および後続のステップは実行されない。追加的にまたは代替的に、それぞれのルールが実行された後テストが実行される。
【０１５２】
表３は、早期終了の実施時のアンチスパムロジック１１９内のイベントの作動順序の例を示すマトリクスである。ＨＥＡＤの行はメッセージＨＥＡＤが構文解析され、およびヘッダテストが実行され、およびこのようなテストは早期終了をサポートし、およびすべての優先順位の範囲を許容する(−４からＶＯＦ)ことを示す。
【表３】
2008545177.tif 000005
【０１５３】
３．２  スパムスキャン判定キャッシュ
所定のスパムメッセージによって、アンチスパムロジック１１９が、メッセージがスパムであるか否かの判定を決定するために莫大な時間の量を必要とするかもしれない。したがって、スパム送信者は、システム管理者にアンチスパムロジック１１９を無効にさせようとして、このような難解なメッセージを繰り返し送信する「ポイズンメッセージ」の攻撃を用いるかもしれない。一実施形態では、この問題に対応しおよび性能を向上させるため、アンチスパムロジック１１９が生成するメッセージのアンチスパム判定がメッセージングゲートウェイ１０７中の判定キャッシュ１１５中に記憶され、および、アンチスパムロジック１１９は、同一の本文を有するメッセージを処理するために、キャッシュされた判定を再使用する。
【０１５４】
効果的な実施において、キャッシュから読み出された判定が、実際のスキャンによって返されるであろう判定と同じ場合には、判定は「真の判定」と呼ばれる。スキャンからの判定と一致しないキャッシュからの判定は、「偽の判定」と呼ばれる。効果的な実施において、いくつかの性能利得がトレードオフ評価されて信頼性を保証する。たとえば、一実施形態では、「件名」欄メッセージのダイジェストがキャッシュへのキーの一部として含まれ、これによってキャッシュのヒット率を低下させるが、しかし、偽の判定の機会も低下させる。
【０１５５】
スパム送信者は、本文の連続するメッセージの形態が異なりそれ以外はコンテンツが同一である非印刷の、無効のＵＲＬタグを含むことによって、判定キャッシュの使用を無効にしようと試みるかもしれない。メッセージ本文中でのこのようなタグの使用によって、このような連続するメッセージの中で、本文のメッセージダイジェストを異ならせる。一実施形態では、アルゴリズムを生成するあいまいなダイジェストを用いることができ、その中では、ＨＴＭＬ要素は構文解析され、非表示バイトが入力から取り除かれダイジェストアルゴリズムに入れられる。
【０１５６】
一実施形態では、判定キャッシュ１１５が、アンチスパムロジック１１９からのパイソン辞書の判定として実装されている。キャッシュへのキーはメッセージダイジェストである。一実施形態では、アンチスパムロジック１１９は、ブライトメールソフトウェアを含み、およびキャッシュキーは、ＤＣＣ「ｆｕｚ２」メッセージダイジェストを含む。Ｆｕｚ２は、ＭＤ５ハッシュ、またはメッセージ本文の意味的に固有の部分のダイジェストである。Ｆｕｚ２は、ＨＴＭＬを構文解析し、およびユーザーがメッセージを閲覧する時に見るものに影響しないメッセージ中のバイトを省略する。Ｆｕｚ２はまた、スパム送信者によって高い頻度で変更されるメッセージの部分を省略することも試みる。たとえば、「Ｄｅａｒ」で始まる件名欄は、入力から除外されダイジェストに入れられる。
【０１５７】
一実施形態では、アンチスパムロジック１１９がスパムまたはウィルススキャンに適格なメッセージの処理を開始し、メッセージダイジェストが作成されおよび記憶される。メッセージダイジェストを作成できない場合、または、判定キャッシュ１１５の使用が無効にされる場合には、ダイジェストは「なし」に設定される。ダイジェストは、判定キャッシュ１１５中で参照を実行するためのキーとして用いられ、過去に演算された判定が同一のメッセージ本文を有するメッセージに対して記憶されているか否かを決定する。語「同一の」は、読者がメッセージがスパムであるか否かを決定する際に読者が意味があると考える、メッセージの一部が同一であることを意味する。キャッシュ中にヒットが起きる場合には、キャッシュされた判定が読み出され、およびさらなるメッセージのスキャンは実行されない。キャッシュ中にダイジェストが存在しない場合には、アンチスパムロジック１１９を用いてメッセージがスキャンされる。
【０１５８】
一実施形態では、判定キャッシュ１１５はサイズ制限を有する。サイズ制限に到達した場合には、最も長い間使われていない入力がキャッシュから削除される。一実施形態では、それぞれのキャッシュ入力は、構成可能な入力存続期間の終了時に満了する。存続期間のデフォルト値は６００秒である。サイズ制限は、入力存続期間の１００倍に設定される。したがって、キャッシュは約６ＭＢと比較的小量のメモリを必要とする。一実施形態では、キャッシュ中のそれぞれの値は、入力された時間、判定、およびアンチスパムロジック１１９が初期のスキャンを完了するのにかかった時間を含むタプルである。
【０１５９】
一実施形態では、要求されたキャッシュキーがキャッシュ中に存在する場合に、次いで入力された時間の値が現在の時間と比較される。入力が依然として最新のものである場合には、次いでキャッシュ中の項目の値が判定として返される。入力が期間満了した場合、入力はキャッシュから削除される。
【０１６０】
一実施形態では、判定がキャッシュされる前に、メッセージダイジェストを演算するためのいくつかの試みがなされるかもしれない。たとえば、ｆｕｚ２が利用可能であれば用いられ、そうでない場合は、ｆｕｚ１が利用可能であれば用いられ、およびそうでない場合は、「すべてのマイム部分」が利用可能であればダイジェストとして用いられ、そうでなければキャッシュ入力は何も作成されない。「すべてのマイム部」のダイジェストは、一実施形態では、メッセージのＭＩＭＥ部のダイジェストの連結を含む。ＭＩＭＥ部がない場合には、メッセージ本文全体のダイジェストが用いられる。一実施形態では、「すべてのマイム部」のダイジェストは、いくつかの他の理由によりアンチスパムロジック１１９がメッセージ本文スキャンを実行する場合にのみ演算される。本文のスキャンによってＭＩＭＥ部を抽出し、および、演算ダイジェストの限界費用は無視できる；したがって、動作を効率的に組み合わせることができる。
【０１６１】
一実施形態では、メッセージングゲートウェイ１０７がルール−ＵＲＬサーバー７０７(図７)からルール更新を受信するたびにいつでも、判定キャッシュが一気に消去される。一実施形態では、アンチスパムロジック１１９の構成の変化が起きるときはいつでも、たとえば、管理的なアクションによってまたは新しい構成ファイルをロードすることによって、判定キャッシュは一気に消去される。
【０１６２】
一実施形態では、アンチスパムロジック１１９は複数のメッセージを並列的にスキャンすることができる。したがって、二つ以上の同一のメッセージを同時にスキャンしうる。このため、キャッシュはメッセージのうち一つに基づいてまだ更新されていないので、キャッシュミスを引き起こす。一実施形態では、メッセージの一コピーが完全にスキャンされた後にのみ、判定がキャッシュされる。現在スキャン中の同じメッセージの他のコピーはキャッシュミスである。
【０１６３】
一実施形態では、アンチスパムロジック１１９は、定期的に判定キャッシュ全体をスキャンし、および期間満了した判定キャッシュ入力を削除する。その場合には、アンチスパムロジック１１９は、キャッシュのヒット、ミス、満了および追加のカウントを報告するログファイル１１３へのログ入力を書き込む。アンチスパムロジック１１９または判定キャッシュ１１５は、ログを実行しまたは性能報告の目的のために、カウンター変数を保持してもよい。
【０１６４】
別の実施形態では、キャッシュされたダイジェストをメッセージフィルターまたはアンチウィルス判定に用いてもよい。一実施形態では、複数のチェックサムを用いて、より高いヒット率およびより低い偽判定比率の両方を提供するよりリッチなキーを作成する。さらに、長いメッセージをスパムがないかスキャンするのに必要な時間量といった他の情報を、判定キャッシュに記憶してもよい。
【０１６５】
特定のアンチスパムソフトウェアまたはロジックの特定の要求事項に対応するために最適化を導入することができる。たとえば、ブライトメールはトラッカー文字列を作成し、および、トラッカー文字列をメッセージ判定とともに返す；トラッカー文字列は、Ｘ−ブライトメール−トラッカーヘッダとしてメッセージに付加することができる。トラッカー文字列は、ブライトメールのプラグインによってＭｉｃｒｏｓｏｆｔ  Ｏｕｔｌｏｏｋ（登録商標）に用いられ、言語識別を実施することができる。トラッカー文字列は、プラグインが誤判定を報告する際にも、ブライトメールに送り返すことができる。
【０１６６】
判定およびトラッカー文字列の両方は、同一の本文を有するメッセージごとに異なることができる。いくつかの場合には、本文は非スパムであるが、しかし、スパムは件名の中に符号化されている。一アプローチでは、メッセージの件名欄はメッセージ本文とともに、メッセージダイジェストアルゴリズムへの入力として含まれる。しかしながら、両方のメッセージの本文が明らかにスパムであるかまたは明らかにウィルスであるかその両方である場合は、件名欄は異なることができる。たとえば、二つのメッセージは、同じウィルスを含むことができ、およびブライトメールによってスパムと考えられるが、しかし、件名ヘッダは異なってもよい。それぞれのメッセージは、他のメッセージとは異なる短いテキストの添付ファイルを有してもよく、および異なる名称を有してもよい。添付されているファイル中のファイルの名称は異なってもよい。しかしながら、両方のメッセージがスキャンされる場合には、同じ判定が結果として生じる。
【０１６７】
一実施形態では、ウィルス陽性ルールを用いてキャッシュのヒット率が改善される。添付ファイルのダイジェストが、ウィルス陽性判定およびスパム陽性判定と一致する場合には、たとえ件名と序文が異なる場合であっても、過去のスパム判定が再使用される。
【０１６８】
いくつかの類似のメッセージでは、異なるＦｒｏｍの値および異なるメッセージＩＤ欄の結果、異なるトラッカー文字列を生成する。スパム判定は同じであるが、しかし、明らかに偽の「Ｆｒｏｍ」値および明らかに偽のメッセージ−ＩＤによって、判定をより早期に発見し、および他のルールをトラッカー文字列に報告することができる。一実施形態では、「Ｆｒｏｍ」ヘッダおよびメッセージ−ＩＤヘッダは第二のメッセージから削除され、および、メッセージが再スキャンされ、および、トラッカーヘッダが最初のメッセージのものと同じになる。
【０１６９】
４．０  メッセージ経験則、送信者情報、動的隔離操作、およびきめの細かいルールに基づくウィルスの検知方法
４．１  メッセージ経験則を用いた検知
一アプローチによると、経験則アプローチを使用するウィルスを検知することが提供される。ウィルスの突然発生を検知するための基本的なアプローチが、Ｍｉｃｈａｅｌ  Ｏｌｉｖｉｅｒ  ｅｔ  ａｌ．の、２００４年１２月６日出願、係属出願第１１／００６,２０９号、「コンピューターウィルスの発生を管理する方法および装置」に記載されている。
【０１７０】
この文脈において、メッセージ経験則は、メッセージに関するシグネチャ情報が利用可能でない場合には、メッセージがウィルスである可能性を決定するために用いられる要因の群のことをいう。経験則は、スパム中に一般的に用いられる単語または句を検知するルールを含んでもよい。経験則は、メッセージテキストに用いられる言語にしたがって異なってもよい。一実施形態では、管理的なユーザーは、アンチスパムスキャンにおいてどの言語を経験則が用いるかを選択することができる。メッセージ経験則を用いて、ＶＳＶ値を決定してもよい。メッセージの経験則は、基本的なアンチスパムスキャンおよびアンチウィルススキャンを実行するスキャンエンジンによって決定されてもよい。
【０１７１】
メッセージは、ウィルスを含むかもしれないので、ウィルスの突然発生の定義ではなくまたはそれに加えて経験則動作の結果に基づいて、隔離記憶装置に入れることができる。このような定義は、上記に参照されるＯｌｉｖｅｒ  ｅｔ  ａｌ．の出願に記載されている。したがって、コーパスサーバークラスタ７０６は、過去のウィルスの履歴を含み、および、メッセージが経験則の結果として過去の履歴中のパターンと一致する場合には、次いでメッセージは、メッセージがウィルス突然発生の定義に一致するか否かにかかわらず隔離されてもよい。このような早期の隔離は、メッセージ処理中に有益な遅延を提供し、一方、ＴＯＣはウィルスの突然発生の定義を準備する。
【０１７２】
図８は、ウィルス突然発生の仮想例において、時間対感染したマシンの数のグラフである。図８では、横軸８１４は時間を表し、および縦軸８１２は感染したマシンの数を表す。点８０６は、Ｓｏｐｈｏｓといったアンチウィルスソフトウェアベンダーが、更新されたウィルス定義を公開する時間を表す。該ウィルス定義は、ウィルスに感染したメッセージを検知し、およびそのアンチウィルスソフトウェアを使用しているメッセージングゲートウェイ１０７によって保護されるネットワーク中のマシンへのさらなる感染を防止する。点８０８は、ＴＯＣ７０８が同じウィルスに対するウィルスの突然発生を識別するルールを公開する時間を表す。曲線８０４は、図８に示されるように、感染したマシンの数が経時的に増加するように変化するが、しかし、増加の比率は点８０８を過ぎると減少し、および次いで、感染したマシンの全数は、最終的には点８０６を過ぎて大幅に減少するよう、変化する。本明細書中に記載される経験則に基づく早期の隔離は点８１０で適用されて、曲線８０４の領域８１６内に包含されたマシンの数を減少させるのに役に立つ。
【０１７３】
一実施形態では変動可能な隔離時間が用いられる。隔離時間は、経験則がメッセージウィルスを含む可能性がより高いことを示す場合に、増加してもよい。これによって、ＴＯＣまたはアンチウィルスベンダーがルールまたは定義を準備するために最大の時間を提供する一方、ウィルスを含む可能性がより低いメッセージには最小の隔離遅延を適用する。したがって、隔離時間は、メッセージがウィルスを含む確率と関連しており、結果として、隔離バッファ領域の最適な使用、ならびに、重要でないメッセージの隔離時間の最小化につながる。
【０１７４】
４．２  送信者ごとのウィルス検知
一アプローチによると、ウィルススコアは、メッセージの送信者のＩＰアドレス値に関連付けられて決定され、およびデータベースに記憶される。スコアはしたがって、関連付けられたアドレスから由来するメッセージがウィルスを含む可能性を示す。その前提は、一つのウィルスを送信するマシンは、別のウィルスによって感染するか、または同じウィルスまたは更新されたウィルスによって再感染するかする可能性が高いということである。その理由は、それらのマシンは十分に保護されていないからである。さらに、マシンがスパムを送信する場合には、次いでウィルスを送信する可能性はより高い。
【０１７５】
ＩＰアドレスは遠隔にあるマシンを特定してもよく、または、メッセージングゲートウェイ１０７が保護している企業ネットワーク内のマシンを規定してもよい。たとえば、ＩＰアドレスは、うっかりしてウィルスに感染した企業ネットワーク内のマシンを規定してもよい。このような感染したマシンは、ウィルスを含む別のメッセージを送信する可能性が高い。
【０１７６】
関連したアプローチにおいて、ウィルスの突然発生検知チェックは、メッセージングゲートウェイ１０７内のスパムチェックとして、全体のメッセージ処理中に同時間に実行することができる。したがって、ウィルスの突然発生検知は、メッセージが構文解析され、およびスパム検知を受けるのと同時に実行することができる。一実施形態では、一つのスレッドは、順序付けられた連続的な態様で上述の動作を実行する。さらに、所定の経験則動作の結果を用いて、アンチスパム検知動作およびアンチウィルス検知動作の両方を伝えることができる。
【０１７７】
一実施形態では、ＶＳＶ値は下記のうち一つ以上のいずれかに基づいて決定される：ファイル名の拡張子；送信者およびコンテンツごとに識別されたローカルでの、およびグローバルでのメッセージ量の急な上昇；「Ｍｉｃｒｏｓｏｆｔ」実行ファイルといった添付ファイルのコンテンツに基づき；および送信者ごとの脅威識別情報。様々な実施形態では、様々な送信者ごとのデータ識別情報が用いられる。例として、動的またはダイアルアップのホストブラックリスト、不当に利用されたホストブラックリスト、およびウィルスのホットゾーンがあげられる。
【０１７８】
インターネットに接続する動的およびダイアルアップのホストは、一般に、ローカルＳＭＴＡＰサーバーを介して発信メール送信する。ホストが、メッセージングゲートウェイ１０７といった外部のＳＭＴＡＰサーバーに直接接続する場合には、ホストはおそらくすでに損傷しており、および、スパムメッセージまたは電子メールウィルスのいずれかを送信している。一実施形態では、メッセージングゲートウェイ１０７は、前述の方法で過去に動作したことのある動的ホストのブラックリストを保持するロジックを含むか、または、ＮＪＡＢＬ動的ホストリストおよびＳＯＲＢＳ動的ホストリストといった外部ソースで取得されうる取得した動的ホストのブラックリストに接続する。
【０１７９】
この実施形態では、図５のステップ５０２で着信メッセージのメッセージ特性を識別することは、メッセージの送信者が動的ホストのブラックリスト中にあるか否かを決定することをさらに含む。存在する場合は、より高いＶＳＶ値が決定されるかまたは割り当てられる。
【０１８０】
ステップ５０２は、不当に利用されたホストブラックリストに接続するかまたはそれを管理すること、および、メッセージの送信者が不当に利用されたホストブラックリスト上にあるか否かを決定することを含んでもよい。不当に利用されたホストブラックリストは、感染したホストが送信しているコンテンツに基づいて、ウィルスに感染していることがわかっているかまたはスパムを送信することがわかっているホストを追跡し、および、接続時間のスキャンによって感染したホストを検索する。例として、ＸＢＬ（ＣＢＬおよびＯＰＭ)およびＤＳＢＬがあげられる。
【０１８１】
別の実施形態では、サービスプロバイダー７００は、顧客のメッセージングゲートウェイ１０７から受信した送信者情報に基づいて、ウィルスを送信した過去の履歴を有する送信者およびネットワークの内部ブラックリストを作成しおよび記憶する。一実施形態では、顧客のメッセージングゲートウェイ１０７は、定期的にコーパスサーバークラスタ７０６へのネットワーク通信を開始し、および、メッセージングゲートウェイ１０７内部ロジックがスパムであるかまたはウィルスないし他の脅威と関連付けられていると決定したメッセージの送信者のネットワークアドレス（たとえば、ＩＰアドレス）を報告する。サービスプロバイダー７００のロジックは、内部ブラックリストを定期的にスキャンすることができ、および、任意のネットワークアドレスがウィルスまたはスパムのみを送信することがわかっているか否かを決定することができる。肯定の場合は、ロジックは高い脅威レベル値またはＶＳＶをそれらアドレスと関連付けて記憶することができる。中等度の脅威レベル値は、ウィルスと正当な電子メールの両方を送信することがわかっているネットワークアドレスと関連付けて記憶することができる。中等度のまたは低い脅威レベル値は、一つ以上の個々の感染したホストを含むネットワークと関連付けることができる。
【０１８２】
ブラックリストに対してテストを行うことは、上記の種類のルールを用いて開始することができる。たとえば、下記のルールはブラックリストテストを開始することができる：
ｅｖａｌ    ＤＹＮＡＭＩＣ＿ＩＰ  ｃｏｎｎｅｃｔｉｎｇ＿ｉｐ（ｄｙｎａｍｉｃ）
ｅｖａｌ    ＨＯＴＺＯＮＥ＿ＮＥＴＷＯＲＫ  ｃｏｎｎｅｃｔｉｎｇ＿ｉｐ（ｈｏｔｚｏｎｅ）    
ｅｖａｌ    ＸＢＬ＿ＩＰ  ｃｏｎｎｅｃｔｉｎｇ＿ｉｐ（ｅｘｐｌｏｉｔｅｄ  ｈｏｓｔ）    
４．３  再スキャンを含む動的隔離操作
過去のアプローチでは、メッセージは先入れ先出しの順番で隔離から解放される。代替的に、別の実施形態では初終了アルゴリズムを用いてもよい。このアプローチでは、隔離バッファが満杯である場合には、順序付けのメカニズムは、どのメッセージを最初に解放するべきかを決定する。一実施形態では、最も危険が少ないと考えられるメッセージが最初にが解放される。たとえば、経験則の結果として隔離されたメッセージが最初に解放され、および、一致するウィルスの突然発生テストの結果として隔離されたメッセージが二番目に解放される。このメカニズムを支援するため、それぞれの隔離されたメッセージは、隔離の理由を示す情報に関連付けられて、メッセージングゲートウェイ１０７の隔離の中に記憶される。したがって、メッセージングゲートウェイ１０７中の処理は、この理由に基づいてメッセージを解放することができる。
【０１８３】
順序付けは、メッセージングゲートウェイ１０７によって処理される構成ファイル中の順序を規定することによって、データ駆動型の態様で構成されてもよい。したがって、サービスプロバイダーから顧客のメッセージングゲートウェイ１０７への順序付けを含む新しい構成ファイルを公開することによって、自動的に、それらメッセージングゲートウェイ１０７は新しい順序付けを採用する。
【０１８４】
同様に、メッセージが隔離を離れる時には、メッセージが隔離を離れる際にメッセージと関連付けられる脅威レベルに基づいて、隔離されたメッセージに対して異なるアクションを取ることができる。たとえば、一見きわめて脅威的であるが、しかし、オーバーフローの結果隔離を離れてもよいメッセージは、取り外し−配信動作の対象となることができる。該取り外し−配信動作では、添付ファイルが取り外されおよびメッセージは添付ファイルなしに受信者に配信される。代替的に、より低い脅威レベルメッセージが正常通り配信される。
【０１８５】
さらに別の実施形態では、Ｘヘッダをより低い脅威レベルのメッセージに付加しうる。この代替形態は、顧客の電子メールプログラム（たとえば、Ｅｕｄｏｒａ（商標）、「Ｍｉｃｒｏｓｏｆｔ  Ｏｕｔｌｏｏｋ」）が、Ｘヘッダを認識しおよびＸヘッダが添付されたメッセージを特別なフォルダに入れるルール（たとえば、「潜在的に危険なメッセージ」）で構成される場合には適切である。さらに別の代替形態では、メッセージの特定の脅威レベルの添付ファイルの名称が変更され（メッセージが「無力化され」)、受信側ユーザーに対し、積極的に添付ファイルの名称を変更して、添付ファイルがアプリケーションによって利用可能になるよう要求する。このアプローチは、ファイルの名称を変更しおよびファイルを開く前に、ユーザーにファイルを注意深く調べさせることを意図している。メッセージは、評価のために管理者に転送されうる。一実施形態では、これら代替のうち任意のものを組み合わせることができる。
【０１８６】
図９は、ウィルスを含むかもしれないメッセージを再スキャンするアプローチのフロー図である。一実施形態によると、ＴＯＣ７１０が新しい脅威ルールをメッセージングゲートウェイ１０７に解放する場合には、それぞれのメッセージングゲートウェイは、隔離中にあるメッセージをその新しいルールに対して再スキャンする。このアプローチは、メッセージを隔離からより早期に解放してもよいという利点を提供する。その理由は、後の段階の処理において新しいルールを用いて、メッセージがウィルスを含むと検知されるからである。この文脈において、「解放」はメッセージを隔離から除去し、および、メッセージをアンチウィルススキャン処理に送信することをいう。
【０１８７】
代替的に、再スキャンはメッセージの隔離時間を減少または増加させうる。これによって、隔離中のメッセージの数を最小化し、および感染されたメッセージを解放する可能性を低下させる。たとえば、隔離が定まった解放時間を有し、および、アンチウィルスベンダーまたは他のソースが、解放されたメッセージを捕捉するウィルス定義を解放する前に、定まった解放タイマーが期間満了した場合、このような不慮の解放は起こりうるであろう。そのシナリオでは、悪意のあるメッセージは自動的に解放され、および下流の処理はメッセージを捕捉しないであろう。
【０１８８】
一実施形態では、いくつかのイベントのうち任意のものが、メッセージ隔離中にメッセージの再スキャンをトリガーしてもよい。さらに、図９のアプローチは、ウィルス、スパム、または他の脅威またはメッセージの所望しない特性の結果として、隔離の中にあるメッセージを処理するのに適用される。ステップ９０２において、再スキャンタイマーが始動し、およびが満了まで実行され、および満了とともに、隔離キューの中のすべてのメッセージの再スキャンがステップ９０６でトリガーされる。
【０１８９】
追加的にまたは代替的に、ステップ９０４において、メッセージングゲートウェイ１０７は、ルール−ＵＲＬサーバー７０７からの、一つ以上の新しいウィルス脅威ルール、アンチスパムルール、ＵＲＬ、スコア、または他のメッセージ分類情報を受信する。このような情報を受信することによって、ステップ９０６での再スキャンもトリガーすることができる。新しいルール、スコアおよび他の情報を再スキャンステップに用いて、隔離中のそれぞれのメッセージに対して新しいＶＳＶを生成する。たとえば、ＴＯＣサーバー７０８は、初めは広範であり、および後により多くの突然発生に関する情報が知られるにつれルールの範囲を狭めてもよい、ウィルスの突然発生に対するルール群を、ルール−ＵＲＬサーバー７０７を介して公開してもよい。その結果、より早期のルール群に一致したメッセージは改正されたルールとは一致しない可能性があり、および、既知である誤判定となる。本明細書中のアプローチは、メッセージングゲートウェイ１０７の管理者による介入なしに、ルール更新に自動的に対応して既知である誤判定を解放することを試みる。
【０１９０】
一実施形態では、隔離キュー３１６の中のそれぞれのメッセージは、メッセージがいつ隔離に入ったかを示す時間値を記憶しており、および、ステップ９０６での再スキャンは、隔離侵入時間の順序で、最も古いメッセージを最初に実行する。
【０１９１】
ステップ９０８において、図３ステップ３１２のように、テストを実行して、あるメッセージに対する新しいＶＳＶが特定の閾値と同じかそれを上回るか否かを決定する。ＶＳＶ閾値は、メッセージングゲートウェイ１０７の管理者によって、隔離メッセージの許容範囲を決定するために設定される。ＶＳＶが閾値未満である場合には、次いでメッセージを隔離からおそらく解放することができる。したがって制御はステップ９１０へと進み、そこでは正常隔離終了配信ポリシーが適用される。
【０１９２】
随意的に、一実施形態では、メッセージングゲートウェイ１０７は別々の報告用閾値を実施してもよい。ステップ９０７でテストされるように、メッセージが報告用閾値を超えるＶＳＶを有する場合には、メッセージングゲートウェイ１０７はステップ９０９でサービスプロバイダー７００に通知し、および、メッセージの処理を継続する。このような通知は、新しいウィルスの突然発生が起きたことを決定する重要な入力を提供してもよい。所定の実施形態では、このような報告は、「ＳｅｎｄｅｒＢａｓｅ  Ｎｅｔｗｏｒｋ  Ｐａｒｔｉｃｉｐａｔｉｏｎ」(ＳＢＮＰ)の一態様であり、および構成設定を用いる管理者によって選択的に有効化することができる。
【０１９３】
ステップ９１０で配信ポリシーを適用することは、修正されない形態で受信者に配信されるメッセージを即座に問い合わせするか、または添付ファイルを取り外すか、またはコンテンツフィルタリングを実行するか、またはメッセージに対する他のチェックを実行することを含んでもよい。配信ポリシーを適用することは、ウィルススキャンが結果生じることを示すメッセージにＸヘッダを付加することを含んでもよい。すべての適用可能なＸヘッダは、アクションが起きた順序でメッセージに付加されてもよい。配信ポリシーを適用することは、メッセージの件名欄を修正して、ウィルス、スパムまたは他の脅威の存在の可能性を示すことを含んでもよい。配信ポリシーを適用することは、メッセージの出力先を交互に発生する受信者に変更すること、および他のロジック、システムまたは人員による後続の解析のためにメッセージのアーカイブされたコピーを記憶することを含んでもよい。
【０１９４】
一実施形態では、いくつかの隔離のうちのいずれかにメッセージが存在し、および一つの隔離が、添付ファイルを取り外すことが正しいアクションであると決定する場合には、ステップ９１０で配信ポリシーを適用することは、メッセージを配信する前にメッセージからすべての添付ファイルを取り除くことを含む。たとえば、メッセージングゲートウェイ１０７は、ウィルス突然発生隔離キュー３１６、および、許容されない単語の存在といった、ゲートウェイのポリシーに違反するように見えるメッセージを保持する別の隔離キューを支持してもよい。ウィルス突然発生隔離キュー３１６は、配信の前に、オーバーフロー後直ちに添付ファイルを取り外すよう構成されていると仮定する。メッセージが、ウィルス突然発生隔離キュー３１６および別のポリシー隔離キューの両方に存在し、および、たまたまウィルス突然発生隔離キュー３１６をオーバーフローさせると仮定する。管理者が次いでポリシー隔離キューから同じメッセージを手入力で解放する場合には、次いで配信前に添付ファイルが再び取り外される。
【０１９５】
ステップ９１２では、メッセージが配信される。
【０１９６】
ステップ９０９のテストが真である場合、メッセージには問題があり、およびおそらく隔離の中に保持される必要がある。
【０１９７】
随意的に、それぞれのメッセージは、満了時間値に割り当てられてもよく、および満了時間値は、隔離キュー３１６に関連付けられたメッセージングゲートウェイ１０７のデータベース中に記憶される。一実施形態では、満了時間は、メッセージが隔離キュー３１６に侵入した時間および規定の保持時間と等しい。満了時間値は、メッセージコンテンツまたはメッセージの経験則に基づいて異なってもよい。
【０１９８】
ステップ９１４において、テストを実行して、メッセージ満了時間が満了したか否かを決定する。満了した場合は、次いで、メッセージは隔離から除去されるが、しかし、その時点でのメッセージの除去は異常または早期終了とみなされ、およびしたがって、ステップ９１８で異常終了配信ポリシーが適用される。その後、メッセージはステップ９１２において配信されステップ９１８の配信ポリシーを受ける。ステップ９１８で適用される配信ポリシーは、ステップ９１０で適用されるポリシーとは異なっていてもよい。たとえば、ステップ９１０のポリシーは、制限されない配信を提供しうるが、一方、ステップ９１８では（疑わしいが、しかし満了時間よりも長い間隔離中であったメッセージの配信に対して）添付ファイルを除去することが要求されうる。
【０１９９】
ステップ９１４でメッセージ時間が満了していない場合には、次いでステップ９１６で示されるように、メッセージは隔離保持される。ＶＳＶに閾値を上回らせるルールが変化する場合には、次いでルールの名称および詳細がメッセージデータベース中において更新される。
【０２００】
様々な実施形態では、図９の異なるステップによって、メッセージングゲートウェイ１０７に、一つ以上の警告メッセージを管理者または特定されたユーザーアカウントまたはグループに送信させてもよい。たとえば警告は、ステップ９０４、９１２または９１６で生成することができる。警告イベントの例として、規定の隔離満杯レベルまたは空間制限に到達すること；隔離オーバーフロー；新しい発生ルール、たとえば、一致すれば、メッセージングゲートウェイ中に構成される隔離閾値よりも高く、ＶＳＶを設定するルールを受信すること；突然発生ルールを除去する情報を受信すること；メッセージングゲートウェイ中の新しいルールを更新する試みの失敗などがあげられる。突然発生ルールを除去する情報は、メッセージングゲートウェイ中に構成される隔離閾値を下回る特定の種類のメッセージの脅威レベルを低下させる新しいルールを受信することを含んでもよい。
【０２０１】
さらに、図９の異なるステップは、メッセージゲートウェイ１０７に、実行されたアクションを記載する一つ以上のログ入力をログファイル１１３中に書き込ませてもよい。たとえば、ログファイル入力は、メッセージが異常に早期終了において解放される場合に、書き込むことができる。警告またはログ入力は、隔離が規定のレベルを満たす時に、送信するかまたは書き込むことができる。たとえば、警告またはログ入力は、隔離が５％満杯、５０％満杯、７５％満杯等に到達する際に、送信されるかまたは書き込まれる。ログ入力は、隔離受信時間、隔離終了時間、隔離終了基準、隔離終了アクション、隔離中のメッセージの数等を含んでもよい。
【０２０２】
別の実施形態では、警告メッセージは、スキャンエンジン更新の失敗；ルール更新の失敗；規定の時間周期中にルール更新を読み出すことの失敗；規定のパーセント比率のメッセージの拒絶；規定数のメッセージの拒絶；等を示すことができる。
【０２０３】
図１０は、上記に記載のロジックを実施するメッセージングゲートウェイ中のメッセージフローモデルのブロック図である。メッセージ経験則１００２およびウィルスの突然発生ルール１００４が、アンチウィルスチェッカー１１６といった、スキャンエンジンに提供され、スキャンエンジンはＶＳＶ値またはウィルス脅威レベル(ＶＴＬ）値１００５を生成する。ＶＳＶ値が規定の閾値を超える場合には、メッセージは隔離３１６に侵入する。
【０２０４】
複数の終了基準１００６は、メッセージが隔離３１６を離れることを可能にする。終了基準１００６の例として、時間制限１００８の満了、オーバーフロー１０１０、手動解放１０１２、またはルール更新１０１４があげられる。終了基準１００６が満たされる場合には、一つ以上の終了アクション１０１８が次いで起こる。終了アクション１０１８の例として、取り外しおよび配信１０２０、削除１０２２、正常配信１０２４、メッセージ件名のキーワードとのタグ付け(たとえば、[ＳＰＡＭ])１０２６、およびＸヘッダの付加１０２８を含む。別の実施形態では、終了アクションはメッセージの規定の受信者を警告することを含むことができる。
【０２０５】
一実施形態では、メッセージングゲートウェイ１０７は、メッセージと関連付けられたそれぞれの送信側ホストに対して、ホストから受信したメッセージに作用するポリシーを定義するデータ構造を保持する。たとえば、ホストアクセス表は、図３、図９に関して本明細書中に記載されるように、そのホストに対してウィルスの突然発生スキャンを実行するか否かを示すブール属性値を含む。
【０２０６】
さらに、メッセージングゲートウェイ１０７中で処理されるそれぞれのメッセージは、メッセージングゲートウェイ中でどのメッセージ処理を実行するかを示すメタデータを保持するデータ構造中に記憶されてもよい。メタデータの例として：メッセージのＶＳＶ値；結果としてＶＳＶ値を生じるルールの名称および対応するルールの詳細；メッセージ隔離時間およびオーバーフローの優先順位；アンチスパムおよびアンチウィルススキャンおよびウィルスの突然発生スキャンを実行するか否かを規定するフラッグ；およびコンテンツフィルターがバイパスされるようにするフラグがあげられる。
【０２０７】
一実施形態では、メッセージングゲートウェイ１０７中に記憶された構成情報の群は、ゲートウェイからのメッセージのそれぞれの潜在的な受信者ごとの、ウィルスの突然発生スキャンに対する追加的なプログラム挙動を規定する。メッセージングゲートウェイ１０７は、典型的にはメッセージトラッフィクを、たとえば、従業員、請負業者または企業私設ネットワーク内の他のユーザー等有限なユーザーの群へと管理するので、このような構成情報は、すべての潜在的な受信者に対して管理してもよい。たとえば、受信者ごとの構成値は、本明細書中に記載されるスキャンによる検討から除外されるメッセージ添付ファイルの拡張子の種類（「．ｄｏｃ」、「．ｐｐｔ」等）のリストを規定してもよく、および、該値はメッセージが隔離すべきでないことを示す値である。一実施形態では、構成情報はそれぞれの受信者ごとの特定の閾値を含むことができる。したがって、ステップ３１２およびステップ９０８のテストは、関連付けられた閾値に応じて、異なる受信者ごとに異なる結果を有してもよい。
【０２０８】
メッセージングゲートウェイ１０７は、図３、図９の技法を用いてフィルタリングされたメッセージ、このようなメッセージのＶＳＶ、およびメッセージ隔離３１６に送信されたメッセージのカウントを数えるデータベース表も管理してもよい。
【０２０９】
一実施形態では、それぞれのメッセージ隔離３１６は、どのようにメッセージが隔離を終了するかを制御する複数の関連付けられたプログラム的アクションを有する。再び図３を参照すると、終了アクションは、オペレーターの決定３１８に基づいて、メッセージ隔離３１６からのメッセージの手動解放を含んでもよい。終了アクションは、図９のように、満了タイマーが満了する際の、メッセージ隔離３１６からのメッセージの自動的な解放を含んでもよい。終了アクションは、オーバーフローポリシー３２２の実施として、隔離が満杯になった際の、メッセージ隔離３１６からの早期終了を含んでもよい。「早期終了」とは、メッセージと関連付けられた満了時間値の終了よりも前に、キューのオーバーフローといったリソースの制限に基づいて、時期尚早にメッセージを解放することをいう。
【０２１０】
正常のメッセージ終了アクションおよび早期の終了アクションは、配信ポリシーステップ９１０に対する上述の種類の一次アクションおよび二次アクションとして編成してもよい。一次アクションは、バウンス、削除、添付ファイルの取り外しおよび配信、および配信を含んでもよい。二次アクションは、件名タグ、Ｘ−ヘッダ、送信先変更、または保存を含んでもよい。二次アクションは、一次アクションである削除と関連付けられていない。一実施形態では、二次アクションである送信先変更は、メッセージングゲートウェイ１０７上ではなく、コーパスサーバークラスタ７０６に、またはサービスプロバイダー７００内の他の要素にホストされた「ボックス外」二次隔離キューに、メッセージを送信することを可能にする。このアプローチによって、ＴＩチーム７１０は隔離されたメッセージを調べることができる。
【０２１１】
一実施形態では、隔離キューオーバーフローに起因する隔離からの早期終了アクションは、添付ファイルの取り外しおよび配信を初めとする、任意の一次アクションを含んでもよい。このような早期終了には、任意の二次アクションを用いてもよい。メッセージングゲートウェイ１０７の管理者は、早期終了の直後に、コマンドインターフェースまたはＧＵＩを用いてメッセージングゲートウェイに構成コマンドを発行することによって、一次アクションおよび二次アクションを選択してもよい。追加的にまたは代替的に、アンチウィルススキャンまたは他のメッセージスキャンを実行した結果、決定されたメッセージ経験則は、対応して実行される早期終了アクションを異ならせてもよい。
【０２１２】
一実施形態では、メッセージングゲートウェイ１０７中のローカルデータベースは、メッセージ隔離３１６の中にある受信したメッセージの添付ファイルの名称、およびの添付ファイルのサイズを記憶する。
【０２１３】
ステップ９０６での再スキャンは、メッセージングゲートウェイ１０７の他のアクションに対応して、特定のメッセージに対して起こってもよい。一実施形態では、メッセージングゲートウェイ１０７は、一つ以上のルールにしたがって受信したメッセージのコンテンツ変更することができるコンテンツフィルターを実装する。過去にウィルスがないかスキャンされた受信したメッセージのコンテンツを、コンテンツフィルターが変更する場合には、次いでそのメッセージのＶＳＶ値は再スキャン後ただちに変化しうる。たとえば、コンテンツフィルターがー添付ファイルをメッセージから取り外し、およびウィルスが添付ファイル中にあった場合には、取り外されたメッセージはもはやウィルス脅威を有さないかもしれない。したがって、一実施形態では、受信されたメッセージのコンテンツをコンテンツフィルターが変更する場合には、ステップ９０６で再スキャンは実行される。
【０２１４】
一実施形態では、メッセージングゲートウェイ１０７の管理者は、コンソールコマンドまたは他のユーザーインターフェースコマンドを用いて、隔離３１６のコンテンツを検索することができる。一実施形態では、添付ファイルの名称、添付ファイルの種類、添付ファイルのサイズ、および他のメッセージ属性に基づいて、検索を実行することができる。一実施形態では、ファイル種類による検索は、隔離３１６の中にありおよびポリシー隔離または他の隔離の中にはないメッセージに対してのみ実行することができる。このような検索は、性能にネガティブに影響を与えうるメッセージ本文のスキャンを必要とするからである。一実施形態では、管理者は、上述の属性のうち任意のものにしたがって並べ替えられた順序で、ウィルスの突然発生隔離３１６のコンテンツを表示することができる。
【０２１５】
一実施形態では、図３または図９の処理を介してメッセージが隔離３１６の中に入れられると、メッセージングゲートウェイ１０７はウィルスの突然発生隔離の一覧を自動的に表示する。一実施形態では、一覧は、隔離の中のそれぞれのメッセージに対して下記の属性値を含む：突然発生識別子またはルールの名称；送信者の名称；送信者のドメイン；受信者の名称；受信者のドメイン；件名；添付ファイルの名称；添付ファイルの種類；添付ファイルのサイズ；ＶＳＶ；隔離侵入時間；隔離保持時間。
【０２１６】
一実施形態では、メッセージングゲートウェイ１０７は、隔離３１６から手入力によって解放されたメッセージと関連付けることができる随意の固有のテキスト文字列を含む再挿入キーを記憶する。解放されたメッセージが、それらと関連付けられた再挿入キーを有する場合には、メッセージングゲートウェイ１０７中における配信前の後続の処理中には、解放されたメッセージは隔離することができない。
【０２１７】
４．４ きめの細かいルール
メッセージルールは抽象的な命令文であり、アンチスパムロジック１１９中のメッセージと比較して一致している場合は、その結果、メッセージは、より高いスパムスコアとなる。ルールは、ルールの種類を有してもよい。ルールの種類の例として、損傷したホスト、疑いのあるスパムソース、ヘッダ特性、本文特性、ＵＲＩ、および学習があげられる。一実施形態では、特定の突然発生ルールを適用することができる。たとえば、ウィルスの突然発生検知メカニズムは、ＺＩＰ添付ファイルが添付されサイズが２０ｋｂの所定の種類のメッセージがウィルスを表すことを決定しうる。顧客のメッセージングゲートウェイ１０７は、２０ｋｂのＺＩＰ添付ファイルが添付されたメッセージを隔離するが、しかし、１ＭＢのＺＩＰ添付ファイルが添付されたメッセージは隔離しないというルールを、メカニズムは作成することができる。その結果、より少ない誤った隔離動作が起こる。
【０２１８】
一実施形態では、ウィルス情報ロジック１１４は、定められた文字列または正規表現を識別するためのメッセージヘッダおよびメッセージ本文に対するルールまたはテストを確立するのを支援するロジックを含む：
ｈｅａｄ    Ｘ＿ＭＩＭＥ＿ＦＯＯ    Ｘ−Ｍｉｍｅ  ＝  〜／ｆｏｏ／
ｈｅａｄ    ＳＵＢＪＥＣＴ＿ＹＯＵＲ    Ｓｕｂｊｅｃｔ  ＝  〜／ｙｏｕｒ  ｄｏｃｕｍｅｎｔ／
ｂｏｄｙ    ＨＥＹ＿ＰＡＬ  ／ｈｅｙ  ｐａｌ｜ｌｏｎｇ  ｔｉｍｅ，  ｎｏ  ｓｅｅ／
ｂｏｄｙ    ＺＩＰ＿ＰＡＳＳＷＯＲＤ    ／￥．ｚｉｐ  ｐａｓｓｗｏｒｄ  ｉｓ／ｉ
一実施形態では、機能テストはメッセージの特定の態様をテストすることができる。それぞれの機能はカスタムコードを実行して、メッセージ、メッセージに関してすでに捉えられた情報等を調べる。一般的なヘッダまたは本文テストの単純な論理的な組み合わせを用いて、テストを形成することはできない。たとえば、ファイルのコンテンツを調べずにウィルスを照合する効果的なテストは、ＭＩＭＥフィールドの「ファイル名」または「名称」の拡張子を主張されたＭＩＭＥのコンテンツの種類と比較することである。拡張子が「ｄｏｃ」であり、およびコンテンツの種類がａｐｐｌｉｃａｔｉｏｎ／ｏｃｔｅｔ−ｓｔｒｅａｍまたはａｐｐｌｉｃａｔｉｏｎ／．＊ｗｏｒｄのいずれでもない場合、コンテンツは疑わしい。類似の比較を、ＰｏｗｅｒＰｏｉｎｔ、Ｅｘｃｅｌ、画像ファイル、テキストファイル、および実行ファイルにも実行することができる。
【０２１９】
他のテストの例として：ＢＡＳＥ６４型のコンテンツの第１行が「Ｍｉｃｒｏｓｏｆｔ」の実行ファイルを示す正規表現／＾ＴＶ［ｎｏｐｑｒ］／に一致するか否かテストする；電子メールの優先順位が高く設定されているが、しかし、Ｘ−メーラーまたはユーザーエージェントヘッダがないか否かテストする；メッセージがマルチパート／オルタナティブであるが、しかし、オルタナティブパートのコンテンツが非常に異なるか否かテストする；メッセージがマルチパートであるが、ＨＴＭＬテキストのみを含むか否かテストする；新しい突然発生に対する特定のＭＩＭＥバウンダリー形式を検索する；があげられる。
【０２２０】
一実施形態では、ウィルス情報ロジック１１４は、複数の関連付けられたルールを含むメタルールを確立するよう支援する。例として下記があげられる：
ｍｅｔａ    ＶＩＲＵＳ＿ＦＯＯ  （（ＳＵＢＪＥＣＴ＿ＦＯＯ１  ｜｜  ＳＵＢＪＥＣＴ＿ＦＯＯ２）        ＆＆  ＢＯＤＹ＿ＦＯＯ）
ｍｅｔａ    ＶＩＲＵＳ＿ＢＡＲ  （ＳＩＺＥ＿ＢＡＲ  ＋  ＳＵＢＪＥＣＴ＿ＢＡＲ  ＋        ＢＯＤＹ＿ＢＡＲ  ＞；２）
一実施形態では、ウィルス情報論理１１４は、添付ファイルのサイズ、ファイル名称のキーワード、暗号化されたファイル、メッセージのＵＲＬ、およびアンチウィルスロジックバージョン値に基づく規則に対して、メッセージを確立しおよびテストするのを支援するロジックを含む。一実施形態では、添付ファイルのサイズに関するルールは、すべての起こりうるサイズ値ではなく離散値に基づいて確立される；たとえば、ルールは、ファイルサイズが０から５Ｋのファイルには１Ｋのインクリメントで；５Ｋから１ＭＢのサイズのファイルには５Ｋのインクリメントで；および１ＭＢインクリメントでファイルサイズを規定することができる。
【０２２１】
メッセージへの添付ファイルがルール中に一つ以上のキーワードを含む名称を有する場合、ファイル名称のキーワードルールはメッセージに一致する。暗号化されたファイルルールは、添付ファイルが暗号化されているか否かをテストする。このようなルールは、メッセージへの添付ファイルとして、暗号化されたＺＩＰファイルといった、暗号化コンテナを有するメッセージを隔離するのに有用かもしれない。メッセージ本文がルール中に規定された一つ以上のＵＲＬを含む場合に、メッセージＵＲＬのルールはメッセージに一致する。一実施形態では、少なくとも一つのメッセージＵＲＬがシステムにインストールされていない限り、ＵＲＬを識別するためにメッセージがスキャンされない。
【０２２２】
メッセージングゲートウェイ１０７が一致するバージョンを有するアンチウィルスロジックを実行する場合、アンチウィルスロジックのバージョン値に基づくルールはメッセージに一致する。たとえば、あるルールは、ＡＶシグネチャのバージョン「７．３．１」を規定してもよく、および、メッセージングゲートウェイはバージョン番号を有するシグネチャファイルでＡＶソフトウェアを実行している場合には、ルールはメッセージに一致するであろう。
【０２２３】
一実施形態では、過去に受信したルールよりもより特定的なメッセージ群に対する新しいルールを受信すると直ちに、メッセージングゲートウェイ１０７は、メッセージに対する記憶されたＶＳＶを自動的に低下させる。たとえば、ＴＯＣ７０８が、．ＺＩＰ添付ファイルが添付されたいかなるメッセージにもＶＳＶ「３」に割り当てられるというルールを最初に、配信すると仮定する。ＴＯＣ７０８は次いで、３０ＫＢから３５ＫＢまでの．ＺＩＰ添付ファイルが添付されたメッセージはＶＳＶ「３」を有するというルールを配信する。これに対応して、メッセージングゲートウェイ１０７は、異なるファイルサイズの．ＺＩＰ添付ファイルが添付されたすべてのメッセージのＶＳＶをデフォルトＶＳＶ、たとえば「１」に低下させる。
【０２２４】
一実施形態では、アンチスパムロジック１１９は、受信者のアドレス、受信者のドメインおよび高い頻度で用いられる単語または句といった発信メッセージの特性に基づいて、組織に特有の正当な電子メールを識別することを学習することができる。この文脈において、発信メッセージは、私設ネットワーク１１０上のコンピューター１２０Ａ、１２０Ｂ、１２０Ｃと関連付けられたユーザーアカウントによって構成され、および、メッセージングゲートウェイ１０７を介して、メッセージングゲートウェイよりも論理的に外側にある受信者アカウントに向けられるメッセージである。このような受信者アカウントは典型的には、公共のネットワーク１０２に接続されたコンピューター上にある。すべての発信メッセージはネットワーク１０２への配信前にメッセージングゲートウェイ１０７を通過し、およびこのような発信メッセージはスパムであることがめったにないので、メッセージングゲートウェイはこのようなメッセージをスキャンすることができ、および、非スパムメッセージと関連付けられた経験則またはルールを自動的に生成することができる。一実施形態では、学習は、発信メッセージのテキストに対してアンチスパムロジック１１９中のベイジアンフィルターを訓練し、および次いで、ベイジアンフィルターを用いて着信メッセージをテストすることによって、達成される。訓練されたベイジアンフィルターが高い確率を返す場合には、発信側メッセージがスパムでない確率に従うと着信メッセージはおそらくはスパムではない。
【０２２５】
一実施形態では、メッセージングゲートウェイ１０７は、ルール−ＵＲＬサーバー７０７を定期的にポーリングして、すべての利用可能なルールの更新を要求する。ＨＴＴＰＳを用いてルール更新を配信してもよい。一実施形態では、メッセージングゲートウェイ１０７の管理者は、ルール更新のＵＲＬを入力し、およびブラウザおよびプロキシサーバーまたは定まったアドレスを用いてルール−ＵＲＬサーバー７０７に接続することによって、ルール更新にアクセスしおよび調べることができる。管理者は、次いで、管理されたネットワークの中の選択されたメッセージングゲートウェイ１０７に更新を配信することができる。ルール更新を受信することは、ルール更新が受信されたこと、またはメッセージングゲートウェイが首尾よくルール−ＵＲＬサーバー７０７に接続されたことを明記する、メッセージングゲートウェイ１０７のインターフェース内にユーザー通知を表示するか、またはログファイル１１３中に入力を書き込むことを含んでもよい。
【０２２６】
４．５  サービスプロバイダーとの通信
図１の顧客のメッセージングゲートウェイ１０７は、「自動電話呼び出し」または「ＳｅｎｄｅｒＢａｓｅ Ｎｅｔｗｏｒｋ  Ｐａｒｔｉｃｉｐａｔｉｏｎ」サービスを実施することができる。これらサービスでは、メッセージングゲートウェイ１０７は、サービスプロバイダー７００への接続を開くことができ、およびメッセージングゲートウェイ１０７が処理したメッセージに関する情報を提供し、その結果、フィールドからのこのような情報をコーパスに追加するか、およびそうでなければサービスプロバイダーで用いて、採点、突然発生検知、および経験則を改善することができる。
【０２２７】
一実施形態では、ツリーデータ構造および処理アルゴリズムを用いて、メッセージングゲートウェイ１０７からサービスプロバイダーへの効率的なデータ通信を提供する。
【０２２８】
アンチスパムおよびアンチウィルスチェックの一部として生成されるサービスプロバイダーからのデータが、フィールド中のメッセージングゲートウェイ１０７に送信される。その結果、サービスプロバイダーは、サービスプロバイダーがメッセージングゲートウェイ１０７に何のデータをサービスプロバイダーに返してほしいかを記載するメタデータを作成する。メッセージングゲートウェイ１０７は、ある時間周期、たとえば５分間、メタデータのデータマッチングを照合する。メッセージングゲートウェイ１０７は次いで、サービスプロバイダーに接続を戻し、およびメタデータの仕様にしたがってフィールドデータを提供する。
【０２２９】
このアプローチでは、異なるメタデータを定義しおよびメッセージングゲートウェイ１０７に異なる時間に配信することによって、サービスプロバイダーは、フィールド内のメッセージングゲートウェイ１０７に、異なるデータをサービスプロバイダーへ送り返すよう指示することができる。したがって、サービスプロバイダーの指示がなされた時に、「自動電話呼び出し」サービスは拡張可能となる。ＭＧＡではソフトウェアへの更新は要求されない。
【０２３０】
一実施において、複数のハッシュのうちの一ハッシュとしてツリーが実施される。ネスト化されたハッシュ（またはパイソン中の辞書)のツリーへの標準的なマッピングが存在した。どの物が何であるかについてのデータをＭＧＡから返すことができる方法で、所定の節点に名前が付けられる。位置のみに基づいて物を記載するのではなく、ツリー中で名前を付けることによって、ＭＧＡはサービスプロバイダーがこのデータで何をするのかを知る必要はない。ＭＧＡが必要なのは、名称で正しいデータを検索し、およびデータのコピーをサービスプロバイダーに送り返すことのみである。ＭＧＡが知る必要のあることは、データの種類、すなわち、データが数値かまたは文字列かということのみである。ＭＧＡは、サービスプロバイダーに適するようにデータの演算または変換を実行する必要はない。
【０２３１】
定数がデータの構造上に置かれている。ルールは、ツリーの終点は常に二つのうちの一つであるということである。標的データが数字である場合、葉節点はカウンターである。ＭＧＡが入ってくる次のメッセージを確認すると、ＭＧＡはその節のカウンターをインクリメントまたはデクリメントする。標的データが文字列である場合には、次いで葉節点はその文字列値で上書きされる。
【０２３２】
カウンターのアプローチを用いて、任意の形態のデータを通信することができる。たとえば、サービスプロバイダーが平均スコアとして特定の値を返してほしいことをサービスプロバイダーからＭＧＡに通知させるのでなく、ＭＧＡが、通信によってサービスプロバイダーに平均スコア値を戻す必要がある場合、一方が上側値および一方が下側値である二つのカウンターが用いられる。ＭＧＡは何が何であるか知る必要はない。ＭＧＡは、単に規定の値をカウントし、それを返す。サービスプロバイダーのロジックは、ＭＧＡから受信した値はカウンターであり、および平均化および記憶される必要がないことを知っている。
【０２３３】
このようにして、このアプローチは、ユーザーから見えないデータの照合および転送の方法を提供する。この方法では、データを転送する装置はデータの特定の用途を知らないが、しかし、データを照合しおよびを提供することができる。さらに、サービスプロバイダーは自己のソフトウェアを更新して、メッセージングゲートウェイ１０７に追加的な値を要求することができるが、しかし、ＭＧＡのソフトウェアの更新は必要とされない。これによって、サービスプロバイダーは、フィールド内の何百または何千のメッセージングゲートウェイ１０７を変更する必要なしにデータを採取することができる。
【０２３４】
メッセージングゲートウェイ１０７からサービスプロバイダー７００に通信できるデータの例は、特定のメッセージに一致しおよびスパム判定につながるルールを含む難読化された、Ｘヘッダ値を含む。
【０２３５】
４．７  発信側ホワイトリストモジュール
図３の構成では、顧客のメッセージングゲートウェイ１０７を顧客ネットワークに配備して、着信側および発信側のメッセージトラッフィクの両方を受信しおよび処理することができる。したがって、メッセージングゲートウェイ１０７は、発信側メッセージホワイトリストで構成することができる。このアプローチでは、メッセージングゲートウェイ１０７を離れる指定されたメッセージの宛先ネットワークアドレスは、加重値を付けて発信側メッセージホワイトリストに入れられる。着信メッセージが受信されると、発信側メッセージホワイトリストが参照され、および、加重値が適切な場合には、発信側ホワイトリスト中にソースネットワークアドレスを有する着信メッセージが配信される。すなわち、メッセージが配信されるべきであるか否かを決定する際に加重値が考慮され；発信側ホワイトリスト中のアドレスの存在は必ずしも配信を命令しない。その理論的根拠は、メッセージを団体に送信することは暗示的に信用を示すので、発信側ホワイトリスト中の団体から受信されたメッセージは、スパムであったりまたは脅威的であったりするはずがないということである。発信側ホワイトリストは、他の顧客のメッセージングゲートウェイ１０７への配信のために、サービスプロバイダーで保持されてもよい。
【０２３６】
加重値を決定することは、いくつかのアプローチを用いて実行してもよい。たとえば、宛先アドレスは信用採点システムを用いて処理することができ、および、加重値は結果生じる信用スコアに基づいて選択することができる。メッセージ識別子は追跡され、および着信メッセージが送信された過去のメッセージに本当に返答しているか否かを決定するために比較することができる。メッセージ識別子のキャッシュを用いてもよい。したがって、Ｒｅｐｌｙ−Ｔｏヘッダが同じメッセージングゲートウェイ１０７によって過去に送信されたメッセージのメッセージ識別子を含む場合には、回答はスパムまたは脅威でない可能性が高い。
【０２３７】
５．０  実施メカニズム−ハードウェア概要
本明細書中に記載されたコンピューターウィルスの突然発生を管理するアプローチは、様々な態様で実施してもよく、および、本発明は任意の特定の実施に限定されない。アプローチは、電子メールシステムまたはメールゲートウェイ装置または他の適切な装置に統合されてもよく、または、スタンドアロン型メカニズムとして実施されてもよい。さらに、アプローチは、コンピューターのソフトウェア、ハードウェア、またはそれらの組み合わせにおいて実施されてもよい。
【０２３８】
図６は、本発明の一実施形態を実施することができるコンピューターシステム６００を示すブロック図である。コンピューターシステム６００は、情報を通信するためのバス６０２または他の通信メカニズム、および情報を処理するためにバス６０２に接続された処理装置６０４を含む。コンピューターシステム６００はまた、処理装置６０４によって実行される情報および指示を記憶するために、バス６０２に接続されたランダムアクセスメモリ (「ＲＡＭ」)または他の動的記憶装置といった、主メモリ６０６も含む。主メモリ６０６を用いて、処理装置６０４によって実行される指示の実行中に、一時的変数または他の中間情報を記憶してもよい。コンピューターシステム６００は、さらに、処理装置６０４に対する静的情報および指示を記憶するためにバス６０２に接続された、リードオンリーメモリ（「ＲＯＭ」)６０８または他の静的記憶装置をさらに含む。磁気ディスクまたは光学ディスクといった記憶装置６１０が提供され、および、情報および指示を記憶するためにバス６０２に接続される。
【０２３９】
コンピューターシステム６００は、バス６０２を介して、情報をコンピューターユーザーに表示するブラウン管（「ＣＲＴ」)といったディスプレイ６１２に接続されてもよい。英数字および他のキーを初めとする入力装置６１４は、情報およびコマンド選択を処理装置６０４に通信するためにバス６０２に接続される。別の種類のユーザー入力装置は、マウス、トラックボール、スタイラス、またはカーソル方向キーといった、方向情報およびコマンド選択を処理装置６０４に通信し、およびディスプレイ６１２上のカーソルの動きを制御するカーソル制御６１６である。この入力装置は典型的には、第一の軸（たとえばｘ)および第二の軸(たとえばｙ)の二つの軸における二自由度を有し、装置が平面内に位置を特定することを可能にする。
【０２４０】
本発明は、経験則によるテストをメッセージコンテンツに適用し、動的脅威隔離キューを管理し、および構文解析およびスキャンから早期終了してメッセージをスキャンするコンピューターシステム６００の使用に関する。本発明の一実施形態によると、経験則によるテストをメッセージコンテンツに適用し、動的脅威隔離キューを管理し、および構文解析およびスキャンから早期終了してメッセージをスキャンすることは、主メモリ６０６に含まれる一つ以上の指示のうち一つ以上のシーケンスを実行する処理装置６０４に対応して、コンピューターシステム６００によって提供される。このような指示は、記憶装置６１０といった、他のコンピューターが解読可能な媒体から、主メモリ６０６に読み込まれてもよい。主メモリ６０６に含まれる指示のシーケンスの実行によって、処理装置６０４に本明細書中に記載される処理ステップを実行させる。代替的な実施形態では、ソフトウェアの指示の変わりにまたはそれと組み合わせて、配線回路を用いて本発明を実施してもよい。したがって、本発明の実施形態は、任意の特定のハードウェア回路とソフトウェアの組み合わせに限定されない。
【０２４１】
本明細書中に用いられる語「コンピューターが解読可能な媒体」は、実行のために処理装置６０４に指示を提供する際に参加する任意の媒体のことをいう。このような媒体は多くの形を取ることができ、それらは、非揮発性媒体、揮発性媒体、および伝送媒体を含むが、これに限らない。非揮発性媒体は、たとえば、記憶装置６１０といった光学または磁気ディスクを含む。揮発性媒体は主メモリ６０６といった動的メモリを含む。伝送媒体は、バス６０２を含む配線を初めとする、同軸ケーブル、銅線および光ファイバーである。伝送媒体もまた、電波および赤外線データの通信中に生成されたものなど、音波または光波の形態を取ることができる。
【０２４２】
コンピューターが解読可能な媒体の一般的な形態は、たとえば、フロッピー（登録商標）ディスク、フレキシブルディスク、ハードディスク、磁気テープ、または任意の他の磁気媒体、ＣＤ−ＲＯＭ、任意の他の光学媒体、パンチカード、紙テープ、任意の他の穴パターンを有する物理的媒体、ＲＡＭ、ＰＲＯＭ、およびＥＰＲＯＭ、ＦＬＡＳＨ−ＥＰＲＯＭ、任意の他のメモリチップまたはカートリッジ、本明細書中に後に記載される搬送波、またはコンピューターが読み取ることができる任意の他の媒体を含む。
【０２４３】
コンピューターが解読可能な様々な形態が、実行のために、処置装置６０４に一つ以上の指示のうち一つ以上のシーケンスを記憶装置６１０に搬送するのに関与してもよい。たとえば、指示は、リモートコンピューターの磁気ディスクの上で最初に搬送してもよい。リモートコンピューターは、指示をその動的メモリにロードし、およびモデムを用いて電話回線上で指示を送信することができる。ローカルからコンピューターシステム６００へのモデムは電話回線上でデータを受信し、および赤外線送信機を用いてデータを赤外線信号へと変換することができる。赤外線検知器は、赤外線信号中に搬送されたデータを受信し、および適切な回路がデータをバス６０２に入れることができる。バス６０２は、主メモリ６０６にデータを搬送し、そこから処理装置６０４は指示を読み出しおよび実行する。主メモリ６０６によって受信された指示は、処理装置６０４による実行の前または後のいずれかに記憶装置６１０に随意的に記憶されてもよい。
【０２４４】
コンピューターシステム６００はまた、バス６０２に接続された通信インターフェース６１８も含む。通信インターフェース６１８は、ローカルネットワーク６２２に接続されたネットワークリンク６２０に結合した二方向データ通信を提供する。たとえば、通信インターフェース６１８は、対応する種類の電話回線へのデータ通信接続を提供する統合サービスデジタル通信網(「ＩＳＤＮ」)のカードまたはモデムであってもよい。別の例として、通信インターフェース６１８は、適合可能なＬＡＮへのデータ通信接続を提供するローカルエリアネットワーク（「ＬＡＮ」)カードであってもよい。無線リンクもまた実施されてもよい。任意のこのような実施では、通信インターフェース６１８は、様々な種類の情報を表すデジタルデータストリームを搬送する電気的、電磁的または光学的信号を送信しおよび受信する。
【０２４５】
ネットワークリンク６２０は、典型的には一つ以上のネットワークを介した他のデータ機器へのデータ通信を提供する。たとえば、ネットワークリンク６２０は、ローカルネットワーク６２２を介した、インターネットサービスプロバイダー（「ＩＳＰ」)６２６によって動作されるホストコンピューター６２４またはデータ機器への接続を提供してもよい。ＩＳＰ６２６は次に、今では一般に「インターネット」６２８と呼ばれる世界的なパケットデータ通信ネットワークを介して、データ通信サービスを提供する。ローカルネットワーク６２２およびインターネット６２８は両方とも、デジタルデータストリームを搬送する電気的、電磁的または光学的信号を用いる。様々なネットワークを通る信号、およびネットワークリンク６２０上の通信インターフェース６１８を介した信号は、コンピューターシステム６００との間でデジタルデータを搬送し、これらは情報を輸送する搬送波の例示的な形態である。
【０２４６】
コンピューターシステム６００は、ネットワーク、ネットワークリンク６２０および通信インターフェース６１８を介して、メッセージを送信し、および、プログラムコードを含むデータを受信する。インターネットの例では、サーバー６３０は、インターネット６２８、ＩＳＰ６２６、ローカルネットワーク６２２および通信インターフェース６１８を介して、アプリケーションプログラム用の要求されたコードを送信しうる。本発明によると、このようなダウンロードされたアプリケーションの一つは、経験則によるテストをメッセージコンテンツに適用し、動的脅威隔離キューを管理し、および本明細書中に記載される構文解析およびスキャンからの早期終了を用いてメッセージをスキャンすることを提供する。
【０２４７】
処理装置６０４は、コードが受信されたおよび／または記憶装置６１０、または後の実行のための他の非揮発性記憶装置に記憶される際に、受信したコードを実行する。このようにして、コンピューターシステム６００は搬送波の形態でアプリケーションコードを取得してもよい。
【０２４８】
６．０  拡張および代替
上記に記載の明細書では、本発明はその具体的な実施形態を参照して記載されてきた。しかしながら、本発明のより広範な精神およびその範囲から逸脱することなく、様々な修正および変更を本発明に対してなすことができるのは明らかであろう。明細書および図面はしたがって制限的な意味でなく例示的な意味に解釈されるべきである。発明は他の文脈および適用も含み、そこでは、本明細書中に記載されるメカニズムおよび処理が、他のメカニズム、方法、プログラム、および処理にも利用可能である。
【０２４９】
加えて、この明細書において、所定の処理ステップが特定の順序で説明されており、および、英数字ラベルを用いて所定のステップを識別する。本開示中に具体的に記載されない限り、本発明の実施形態は、このようなステップを実行する任意の特定の順序に限定されない。とりわけ、ラベルは、ステップの便利な識別のためにのみ用いられ、および、このようなステップを実行する特定の順序を示唆、規定または要求するよう意図されていない。さらに、別の実施形態は本明細書に記載されたステップよりもより多いかまたはより少ないステップを用いてもよい。
【図面の簡単な説明】
【０２５０】
【図１】一実施形態による、コンピューターウィルスの突然発生を管理するシステムのブロック図
【図２】一実施形態による、ウィルス情報ソースによって実行される疑わしいメッセージのカウントを生成する処理のフロー図
【図３】一実施形態による、ウィルス突然発生情報に基づくメッセージの処理を示すデータフロー図
【図４】一実施形態による、ウィルススコア値を決定する方法のフロー図
【図５】一実施形態による、ウィルスの突然発生を管理するルール群の適用を示すフロー図
【図６】一実施形態が実施されうるコンピューターシステムを示すブロック図
【図７】「スパム」 メッセージを阻害するための、および他の種類の電子メールスキャン処理のためのアプローチに用いられうるシステムのブロック図
【図８】ウィルスの突然発生仮想例における時間対感染したマシン数のグラフ
【図９】ウィルスを含みうるメッセージを再スキャンするアプローチのフロー図
【図１０】上記に記載のロジックを実施するメッセージングゲートウェイにおけるメッセージフローモデルのブロック図
【図１１】早期終了アプローチによるメッセージ脅威スキャンを実行する処理のフロー図
【図１】
2008545177.tif 000006
【図２】
2008545177.tif 000007
【図３】
2008545177.tif 000008
【図４】
2008545177.tif 000009
【図５】
2008545177.tif 000010
【図６】
2008545177.tif 000011
【図７】
2008545177.tif 000012
【図８】
2008545177.tif 000013
【図９】
2008545177.tif 000014
【図１０】
2008545177.tif 000015
【図１１】
2008545177.tif 000016