(57)【要約】  不審な電子メールの分析及び報告のための機械学習ベースの方法が開示される。一態様において、ユーザ選択可能なアイコンを表示して不審な電子メッセージを報告することを含む方法が存在する。本方法はさらに、電子メッセージ及びユーザ選択可能アイコンの選択を受け付けることを含む。本方法はさらに、選択に応答して、電子メッセージを隔離することを含む。本方法はさらに、選択に応答して、脅威分析を実行するために、電子メッセージをプロセッサに電子的に通信することを含む。本方法はさらに、実行された脅威分析に応答して、電子メッセージの脅威状態を示す応答メッセージを受信することを含む。本方法はさらに、応答メッセージに応答して、電子メッセージを処理することを含む。電子メッセージの処理は、電子メッセージの削除と、電子メッセージを隔離したままにすることと、及び／又は、電子メッセージを第１のフォルダに移動することとのうち少なくとも１つを含む。
2021503142.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータにより実行される方法であって、
ユーザの電子メールアドレスと関連付けられた電子メッセージを第１のフォルダに受信するステップと、
不審な電子メッセージを報告するために、ユーザ選択可能なアイコンを表示するステップと、
前記電子メッセージ及び前記ユーザ選択可能なアイコンの選択を入力するステップと、
前記選択に応答して前記電子メッセージを隔離するステップと、
前記選択に応答して脅威分析を実行すうために、前記電子メッセージをプロセッサに電子的に通信するステップと、
前記転送に応答して、１つ以上のヘッダを前記電子メッセージに付加するステップと、
実行された前記脅威分析に応答して、応答メッセージを受信するステップであって、前記応答メッセージは、前記電子メッセージの脅威ステータスを示す前記１つ以上のヘッダを含む、ステップと、
前記応答メッセージに応答して前記電子メッセージを処理するステップであって、前記電子メッセージを削除することと、前記電子メッセージを隔離することと、及び／又は、前記電子メッセージを前記第１のフォルダに移動することとのうち少なくとも１つを含む、ステップと、
を含む、コンピュータにより実行される方法。
【請求項２】
前記電子メッセージの前記脅威ステータスに応答して、ブラックリスト及び／又は配信前チェックリストを更新するステップをさらに含む、
請求項１に記載の方法。
【請求項３】
前記電子メッセージの送信者が以前の電子メッセージをユーザの前記電子メールアドレスに送信していないことと、
前記送信者が前記ユーザの前記電子メールアドレスに送信した以前の電子メッセージと比較して、前記送信者の名前のスペルが変化していることと、
前記ユーザの前記電子メールアドレスにより受信された他の電子メッセージに関連付けられていない送信システムから発信された前記電子メッセージと、又は
前記電子メッセージの計算されたフィンガプリントが、信頼レベルしきい値よりも低い信頼レベルを持つフィンガプリントデータベースのフィンガプリントと一致する前記電子メッセージと、
のうち少なくとも１つに応答して脅威分析を実行するために、前記プロセッサに前記電子メッセージを電子的に伝達するステップをさらに含む、
請求項１又は２に記載の方法。
【請求項４】
前記脅威ステータスは、信号機インジケータ、即ち、既知の脅威に対応する電子メッセージに対する前記信号機インジケータの「赤」若しくは「止まれ」、あり得る脅威に対応する電子メッセージに対する信号機インジケータの「黄」若しくは「注意」、並びに、既知の脅威に関連付けられておらず、脅威となる疑いもない電子メッセージに対する前記信号機インジケータの「青」若しくは「進め」を含み、前記脅威ステータスは、脅威カテゴリを含む、
請求項１−３のいずれか１つに記載の方法。
【請求項５】
前記脅威カテゴリは、安全なメッセージ、悪意的メッセージ、フィッシングメッセージ、ウイルス、スパムメッセージ、及び／又はポルノメッセージのうち少なくとも１つを含む、
請求項４に記載の方法。
【請求項６】
前記電子メッセージを、少なくとも１つのヘッダ又はヘッダリストと、少なくとも１つの本文と、及び、前記電子メッセージが添付ファイルを含む場合には、少なくとも１つの前記添付ファイルとに分解するステップと、
前記少なくとも１つのヘッダ又はヘッダリストの各々についてヘッダフィンガプリントを生成するステップと、
前記少なくとも１つの本文の各々を構文解析するステップと、
前記少なくとも１つの本文の各々を正規化するステップと、
前記解析及び正規化された少なくとも１つの本文の各々について本文フィンガプリントを生成するステップと、
前記電子メッセージが添付ファイルを含む場合には、前記少なくとも１つの添付ファイルに対する添付ファイルフィンガプリントを生成するステップと、
少なくとも１つのヘッダフィンガプリントの各々と、少なくとも１つの本文フィンガプリントの各々と、前記電子メッセージが添付ファイルを含む場合には、少なくとも１つの添付ファイルフィンガプリントとを、メッセージフィンガプリントに集約するステップと、
をさらに含む、
請求項１−５のうちいずれか１つに記載の方法。
【請求項７】
前記電子メッセージのメッセージフィンガプリントと一致するフィンガプリントデータベース内のメッセージフィンガプリントを有する他の電子メッセージを隔離するために移動することをさらに含む、
請求項６に記載の方法。
【請求項８】
前記少なくとも１つの本文は、ユニフォームリソースロケータ（ＵＲＬ）、テキスト形式の本文、及びバイナリ形式の本文のうちの少なくとも１つを含み、各添付ファイルは、少なくとも１つのテキスト形式の添付ファイル、及びバイナリ形式の添付ファイルのうち少なくとも１つを含む、
請求項６−７のうちいずれか１つに記載の方法。
【請求項９】
各少なくとも１つのヘッダ又はヘッダリストに対するヘッダフィンガプリントを生成するステップは、前記各少なくとも１つのヘッダ又はヘッダリストを字句解析するステップを含み、
前記少なくとも１つのヘッダ又はヘッダリストを字句解析するステップであって、各種のヘッダ又はヘッダリストの数を識別し、前記各ヘッダ又はヘッダリストの字句構文を分析し、前記各ヘッダ又はヘッダリスト内の空白の頻度及びパターンを分析し、前記各ヘッダ又はヘッダリスト内の特殊文字の頻度及びパターンを分析し、前記ヘッダリスト内のソース及びメッセージルーティングを一貫性のために比較する、ステップと、
各ヘッダについて、前記少なくとも１つのヘッダにヘッダハッシュアルゴリズムを適用するステップと、及び／又は、
各ヘッダリストに対して、ヘッダリストハッシュアルゴリズムを適用するステップと、
のうち少なくとも１つを含む、
請求項６−８のうちいずれか１つに記載の方法。
【請求項１０】
前記少なくとも１つの本文を構文解析するステップは、構文解析及び／又は意味解析を用いて、前記少なくとも１つの本文の各構成要素を識別及び編成するステップを含む、
請求項６−９のうちいずれか１つに記載の方法。
【請求項１１】
前記少なくとも１つの本文を正規化するステップは、空白を正規化するステップと、スペルを訂正するために文字を転置するステップと、余分な句読点を除去するステップと、ハイフネーションを除去するステップと、ハイパーテキストマークアップ言語（ＨＴＭＬ）を除去するステップと、及び／又は、ゼロに対するＯ、若しくはアクセントマークがついたアクセント付き文字に対するアクセントなし文字等の、誤って置換された文字を置換するステップと、のうち少なくとも１つを含む、
請求項６−１０のうちいずれか１つに記載の方法。
【請求項１２】
前記本文フィンガプリントを生成するステップは、
前記各ＵＲＬに対して、前記各ＵＲＬに対するＵＲＬ本文フィンガプリントを生成するために、ＵＲＬハッシュアルゴリズムを適用するステップと、
前記各テキスト形式の本文に対して、前記各テキスト本文に対するテキスト本文フィンガプリントを生成するためにテキスト本文ハッシュアルゴリズムを適用するステップと、
前記各バイナリ形式の本文に対して、前記各バイナリ本文に対するバイナリ本文フィンガプリントを生成するためにバイナリ本文ハッシュアルゴリズムを適用するステップと、
のうち少なくとも１つを含む、
請求項８に記載の方法。
【請求項１３】
ＵＲＬハッシュアルゴリズムは、従来のハッシュを含み、
テキスト本文ハッシュアルゴリズムは、類似性ハッシュを含み、
バイナリ本文ハッシュアルゴリズムは、ファジーハッシュを含む、
請求項１２に記載の方法。
【請求項１４】
前記各添付ファイルに対して添付ファイルフィンガプリントを生成するステップは、
前記各テキスト形式添付ファイルに対して、各テキスト形式添付ファイルに対するテキスト添付ファイルフィンガプリントをせいせいするために、テキスト添付ファイルハッシュアルゴリズムを適用するステップと、
前記各バイナリ形式の添付ファイルに対して、各バイナリ形式の添付ファイルに対するバイナリ添付ファイルフィンガプリントを生成するために、バイナリ添付ファイルハッシュアルゴリズムを適用するステップと、
を含む、
請求項８に記載の方法。
【請求項１５】
テキスト添付ファイルハッシュアルゴリズムは、類似性ハッシュを含み、
バイナリ添付ファイルハッシュアルゴリズムは、ファジーハッシュを含む、
請求項１４に記載の方法。
【請求項１６】
前記脅威分析を実行するステップは、
前記電子メッセージの少なくとも１つの原表示を生成し、前記電子メッセージの解析表示を生成し、及び、前記電子メッセージのブラウザ表示を生成するステップと、
脅威ステータス指標を収集するために、前記電子メッセージの少なくとも一部を分析するステップと、
前記脅威ステータス指標に応答して、前記電子メッセージの前記脅威ステータスを自動的に生成するステップと、
前記電子メッセージの前記脅威ステータスに信頼レベルを割り当てるステップと、
前記信頼レベルが信頼レベルしきい値を下回る場合に、前記電子メッセージの前記脅威ステータスの手動生成を要求するステップと、及び、
前記手動された脅威ステータスで前記脅威ステータスを更新するステップと、を含む、
請求項６−１５のうちいずれか１つに記載の方法。
【請求項１７】
前記電子メッセージの前記原表示は、前記少なくとも１つの本文を解析及び正規化する前の前記電子メッセージのテキストに対応し、
前記電子メッセージの解析表示は、前記少なくとも１つの本文を解析及び正規化した後の、電子メッセージを一貫性のある形式への再配列に対応し、
前記電子メッセージのブラウザ表示は、前記少なくとも１つの本文を解析及び正規化した後のＨＴＭＬ表示に対応する、
請求項１６に記載の方法。
【請求項１８】
前記脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、
複数の規則の各々が前記電子メッセージの少なくとも一部に一致するかどうかを識別するために、前記電子メッセージの少なくとも一部に、ルールデータベース内の複数のルールを適用するステップと、を含み、
前記ルールデータベース内のルールは、以前はルール脅威ステータスが割り当てられており、かつ、
各マッチングルール及び各対応する前記ルール脅威ステータスは、前記脅威ステータス指標に対応する、
請求項１６又は１７に記載の方法。
【請求項１９】
脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、
前記電子メッセージの前記少なくとも一部を、前記電子メッセージの少なくとも一部が、少なくとも１つのアンチウイルスデータベース内の少なくとも１つのウイルスを含むかどうかを識別するためにスキャンするステップであって、前記識別されたウイルスの各々は、前記脅威ステータス指標に対応する、ステップと、
を含む、
請求項１６−１８のうちいずれか１つに記載の方法。
【請求項２０】
前記脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、
前記電子メッセージ内の各ＵＲＬについて、ＵＲＬ脅威データベースに前記ＵＲＬ脅威データベースを照会し、前記電子メッセージ内の少なくとも１つのＵＲＬが少なくとも１つのＵＲＬ脅威データベース内の少なくとも１つのＵＲＬに含まれるかどうかを識別し、前記ＵＲＬ脅威データベース内の各識別された前記ＵＲＬと、ＵＲＬ脅威データベース照会のための脅威ステータス指標に対応するＵＲＬ脅威ステータスとを照会するステップと、を含む、
請求項１６−１９のうちいずれか１つに記載の方法。
【請求項２１】
脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、ヘッダに対する少なくとも１つのルールに準拠しているかを確認するために、少なくとも１つのヘッダを分析するステップを含む、
請求項１６−２０のうちいずれか１つに記載の方法。
【請求項２２】
前記ヘッダに対するルールは、１つの電子メッセージ内に単一のメッセージＩＤのみを含むことである、
請求項２１に記載の方法。
【請求項２３】
前記脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、前記電子メッセージ内の高リスクな命令又は動作を識別するステップを含む、
請求項１６−２２のうちいずれか１つに記載の方法。
【請求項２４】
前記高リスクな命令又は動作は、ユーザが前記電子メッセージ又は前記少なくとも１つの添付ファイルのうちの１つを開いたときに、コード又はマクロを実行することを含む、
請求項２３に記載の方法。
【請求項２５】
前記脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、ドメインネームサービス分析を含み、前記ドメインネームサービス分析は、
ＩＰアドレスと、ヘッダ内のドメインネームと、前記電子メッセージの少なくとも一部の内のＵＲＬとを抽出することと、
前記抽出された前記ドメインネームからＩＰアドレスに名前解決を行うことと、
各ドメインネームに対して、登録期間、ドメインネームの評判、及び難読化を識別することと、
前記各ＩＰアドレスに対して、ＩＰアドレス評判及びジオロケーションを識別することと、
前記ドメインネームサービス分析に対する前記脅威ステータス指標と対応するドメインネームサービス脅威ステータスを決定することと、
を含む、
請求項１６−２４に記載の方法。
【請求項２６】
前記脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、前記メッセージフィンガプリントを、フィンガプリントデータベース内の複数のフィンガプリントと比較するステップを含み、
前記フィンガプリントデータベース内の前記フィンガプリントは、以前はあるフィンガプリント脅威ステータスに割り当てられており、
識別された一致するフィンガプリントの各々及び対応するフィンガプリント脅威ステータスの各々は、脅威ステータス指標と対応し、
前記一致の種類は、完全一致、包括的一致、類似性ハッシュ一致、及び／又はファジーハッシュ一致である、
請求項１６−２５に記載の方法。
【請求項２７】
前記脅威ステータス指標を収集するために前記電子メッセージの少なくとも一部を分析するステップは、
前記電子メッセージをセキュリティサンドボックスに電子的に通信するステップと、
前記電子メッセージを前記セキュリティサンドボックス内で有効化するステップと、
前記有効化された電子メッセージを、実行時の不審な特徴に対して監視するステップと、
既知の、実行時の不審な特徴のデータベース内で、実行時の前記不審な特徴を識別するステップと、
前記識別された、実行時の前記不審な特徴に応答して、サンドボックス脅威ステータス指標を計算するステップと、
を含む、
請求項１６−２６に記載の方法。
【請求項２８】
前記電子メッセージの前記脅威ステータスの手動生成を要求するステップは、
手動レビューのために、前記集約されたフィンガプリント及び前記脅威ステータス指標のヒートマップと、前記電子メッセージの原表示と、前記電子メッセージの解析表示と、前記電子メッセージのブラウザ表示と、及び／又は前記脅威ステータス指標とを提供する、
請求項１６−２７に記載の方法。
【請求項２９】
少なくとも１つのデータプロセッサと、
前記少なくとも１つのデータプロセッサにより実行されると、
ユーザの電子メールアドレスと関連付けられた電子メッセージを第１のフォルダに受信するステップと、
不審な電子メッセージを報告するために、ユーザ選択可能なアイコンを表示するステップと、
前記電子メッセージ及び前記ユーザ選択可能なアイコンの選択を入力するステップと、
前記選択に応答して前記電子メッセージを隔離するステップと、
前記選択に応答して脅威分析を実行すうために、前記電子メッセージをプロセッサに電子的に通信するステップと、
前記転送に応答して、１つ以上のヘッダを前記電子メッセージに付加するステップと、
実行された前記脅威分析に応答して、応答メッセージを受信するステップであって、前記応答メッセージは、前記電子メッセージの脅威ステータスを示す前記１つ以上のヘッダを含む、ステップと、
前記応答メッセージに応答して前記電子メッセージを処理するステップであって、前記電子メッセージを削除することと、前記電子メッセージを隔離することと、及び／又は、前記電子メッセージを前記第１のフォルダに移動することとのうち少なくとも１つを含む、ステップと、
を含む動作を実行させる命令を格納するメモリと、を備える、
システム。
【請求項３０】
少なくとも１つのデータプロセッサにより実行されると、
ユーザの電子メールアドレスと関連付けられた電子メッセージを第１のフォルダに受信するステップと、
不審な電子メッセージを報告するために、ユーザ選択可能なアイコンを表示するステップと、
前記電子メッセージ及び前記ユーザ選択可能なアイコンの選択を入力するステップと、
前記選択に応答して前記電子メッセージを隔離するステップと、
前記選択に応答して脅威分析を実行するために、前記電子メッセージをプロセッサに電子的に通信するステップと、
前記転送に応答して、１つ以上のヘッダを前記電子メッセージに付加するステップと、
実行された前記脅威分析に応答して、応答メッセージを受信するステップであって、前記応答メッセージは、前記電子メッセージの脅威ステータスを示す前記１つ以上のヘッダを含む、ステップと、
前記応答メッセージに応答して前記電子メッセージを処理するステップであって、前記電子メッセージを削除することと、前記電子メッセージを隔離することと、及び／又は、前記電子メッセージを前記第１のフォルダに移動することとのうち少なくとも１つを含む、ステップと、
を含む動作を実行させる命令を格納する、
非一時的機械可読媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
関連出願への相互参照．
本出願は、２０１７年１０月３１日出願の、発明の名称「不審なＥメールの分析及び報告」の、米国特許出願第６２／５７９７５１号に基づく優先権を主張し、当該出願の開示内容は、参照により全体を通して本明細書に援用される。
【０００２】
本明細書に記載の主題は、不審なＥメールメッセージの分析及び報告に関する。
【背景技術】
【０００３】
計算機分野において、フィッシングとは、電子通信において、信用できる人物又は企業になりすまして、パスワード及びクレジットカードの詳細情報といった機密情報を不正に取得しようとする試みである。この目的は、接続するユーザを餌にかけ、正当なエンティティになりすましている不正な当事者に、認証情報を提示することにある。フィッシングを行う者は、電子メールのなりすましを行い、又は、Ｅメール又はインスタントメッセージ等の公式に見える電子情報を送信することにより、ユーザを騙す。場合によれば、フィッシングＥメールは、マルウェアに感染したウェブサイトへのリンクを含み得る。フィッシングの語は、部分的には、ますます洗練されたルアーを用いてユーザの財務情報及びパスワードを「釣る」ことに由来する。
【０００４】
フィッシング攻撃は、最近のほとんどのサイバー標的型攻撃の一般的な場所となっている。実際に、成功した多くのデータ侵害が、フィッシング攻撃から始まっている。しかしながら、フィッシング攻撃は適応及び進化しており、他の手法と組み合わせられることで、自動化テクノロジのみでは検出が困難な混合型攻撃を行っている。
【０００５】
従って、フィッシング及び他の攻撃に対するセキュリティを提供するために、改善されたシステム及び方法が必要とされている。本明細書に記載の実施形態は、不審なＥメールのフィッシング及び他の攻撃からの保護を提供する。
【発明の概要】
【発明が解決しようとする課題】
【０００６】
不審な電子メールの分析及び報告のためのシステム、方法、及び製品（コンピュータプログラム製品を含む）が提供される。
【課題を解決するための手段】
【０００７】
一態様において、本方法は、ユーザの電子メールアドレスに関連付けられた電子メッセージを第１のフォルダに受信するステップを含む。本方法は、不審な電子メッセージを報告するために、ユーザ選択可能なアイコンを表示するステップをさらに含む。本方法は、電子メッセージ及びユーザ選択可能なアイコンの選択を入力するステップをさらに含む。方法は、選択に応答して電子メッセージを隔離するステップをさらに含む。本方法は、選択に応答して脅威分析を実行するために、電子メッセージをプロセッサに電子的に通信するステップをさらに含む。本方法は、送信に応答して、１つ以上のヘッダを電子メッセージに付加するステップをさらに含む。本方法は、実行された脅威分析に応答して応答メッセージを受信するステップをさらに含み、応答メッセージは、電子メッセージの脅威ステータスを示す１つ以上のヘッダを含む。本方法は、応答メッセージに応答して電子メッセージを処理するステップをさらに含む。ここで、処理するステップは、電子メッセージを削除するステップ、電子メッセージを隔離するステップ、及び／又は電子メッセージを第１のフォルダに移動するステップのうちの少なくとも１つを含む。
【０００８】
オプションの変形例において、以下を含む（がそれらに限定されない）１つ以上の追加の特徴が、任意の実現可能な組み合わせで含まれ得る。
【０００９】
例えば、本方法は、電子メッセージの脅威状態に応答して、ブラックリスト及び／又は配信前チェックリストを更新することをさらに含み得る。本方法はさらに、次のうち少なくとも１つに応答して脅威分析を実行するために、プロセッサに電子メッセージを電子的に伝達するステップを含み得る。すなわち、「電子メッセージの送信者が以前の電子メッセージをユーザの電子メールアドレスに送信していないこと」、「送信者がユーザの電子メールアドレスに送信した以前の電子メッセージと比較して、名前のスペルが変化していること」、「ユーザの電子メールアドレスにより受信された他の電子メッセージに関連付けられていない送信システムから発信された電子メッセージ」、又は、「電子メッセージの計算されたフィンガプリントが、信頼レベルしきい値よりも低い信頼レベルを持つフィンガプリントデータベースのフィンガプリントと一致する電子メッセージ」である。
【００１０】
脅威状態には、信号機インジケータが含まれ得る。すなわち、既知の脅威に対応する電子メッセージに対する信号機インジケータの「赤」若しくは「止まれ」、あり得る脅威に対応する電子メッセージに対する信号機インジケータの「黄」若しくは「注意」、既知の脅威に関連付けられておらず、脅威となる疑いもない電子メッセージに対する信号機インジケータの「青」若しくは「進め」、である。脅威状態は脅威カテゴリを含み得る。脅威カテゴリには、安全なメッセージ、悪意のあるメッセージ、フィッシングメッセージ、ウイルス、スパムメッセージ、及び／又はポルノメッセージのうち少なくとも１つが含まれ得る。
【００１１】
本方法は、少なくとも１つのヘッダ又はヘッダリストの各々についてヘッダフィンガプリントを生成するステップをさらに含み得る。本方法は、少なくとも１つの本文の各々を構文解析するステップをさらに含み得る。本方法は、少なくとも１つの本文をそれぞれ正規化するステップをさらに含み得る。本方法は、解析及び正規化された少なくとも１つの本文の各々について本文フィンガプリントを生成するステップをさらに含み得る。本方法は、電子メッセージが添付ファイルを含む場合に、少なくとも１つの添付物の各々について、添付物フィンガプリントを生成するステップをさらに含み得る。本方法は、少なくとも１つのヘッダフィンガプリントの各々と、少なくとも１つの本文フィンガプリントの各々とを集約するステップをさらに含み得る。本方法は、電子メッセージが添付物を含む場合、少なくとも１つの添付物フィンガプリントの各々を、メッセージフィンガプリントに含めるステップをさらに含み得る。本方法は、フィンガプリントデータベース内のメッセージフィンガプリントのうち、電子メッセージのメッセージフィンガプリントと一致するメッセージフィンガプリントを、他の電子メッセージを検疫するために移動するステップをさらに含み得る。
【００１２】
少なくとも１つの本文の各々は、ユニフォームリソースロケータ（ＵＲＬ）、テキスト形式の本文、及びバイナリ形式の本文のうち少なくとも１つを含み得る。各添付物は、テキスト形式の添付物、及びバイナリ形式の添付物のうち少なくとも１つを含み得る。少なくとも１つのヘッダ又はヘッダリストの各々についてヘッダフィンガプリントを生成するステップは、少なくとも１つのヘッダ又はヘッダリストの各々を字句解析するステップを含み得る。字句解析するステップは、各種のヘッダ又はヘッダリストの数を識別するステップと、各ヘッダ又はヘッダリストの字句構文を分析するステップと、各ヘッダ又はヘッダリスト内の空白の頻度及びパターンを分析するステップと、各ヘッダ又はヘッダリスト内の特殊文字の頻度及びパターンを分析するステップと、ヘッダリスト内のソース及びメッセージルーティングを一貫性のために比較するステップとのうち少なくとも１つを含み得る。
【００１３】
少なくとも１つのヘッダ又はヘッダリストの各々に対してヘッダフィンガプリントを生成するステップは、各ヘッダに対して、少なくとも１つのヘッダにヘッダハッシュアルゴリズムを適用するステップと、及び／又は各ヘッダリストに対して、ヘッダリストハッシュアルゴリズムを適用するステップとを含み得る。少なくとも１つの本文を解析するステップは、構文解析及び／又は意味解析を用いて少なくとも１つの本文の各構成要素を識別及び編成するステップを含み得る。少なくとも１つの本文を正規化するステップは、空白を正規化するステップと、スペルを訂正するために文字を転置するステップと、余分な句読点を除去するステップと、ハイフネーションを除去するステップと、ハイパーテキストマークアップ言語（ＨＴＭＬ）を除去するステップと、及び／又は、ゼロに対するＯ、若しくはアクセントマークがついたアクセント付き文字に対するアクセントなし文字等の、誤って置換された文字を置換するステップとを含み得る。
【００１４】
本文フィンガプリントを生成するステップは、各ＵＲＬに対して、各ＵＲＬに対するＵＲＬ本文フィンガプリントを生成するために、ＵＲＬハッシュアルゴリズムを適用するステップを含み得る。本文フィンガプリントを生成するステップは、各テキスト形式の本文に対して、各テキスト本文に対するテキスト本文フィンガプリントを生成するためにテキスト本文ハッシュアルゴリズムを適用するステップを含み得る。本文フィンガプリントを生成するステップは、各バイナリ形式の本文に対して、各バイナリ形式の本文に対するバイナリ本文フィンガプリントを生成するために、バイナリ本文ハッシュアルゴリズムを適用するステップをさらに含み得る。ＵＲＬハッシュアルゴリズムは、従来のハッシュを含み得る。テキスト本文ハッシュアルゴリズムは、類似性ハッシュを含み得る。バイナリ本文ハッシュアルゴリズムは、ファジーハッシュを含み得る。
【００１５】
添付物フィンガプリントを生成するステップは、各テキスト形式添付物に対して、各テキスト形式添付物に対するテキスト添付物フィンガプリントを生成するために、テキスト添付物ハッシュアルゴリズムを適用するステップを含み得る。添付物フィンガプリントを生成するステップは、各バイナリ形式の添付物に対して、各バイナリ形式の添付物に対するバイナリ添付物フィンガプリントを生成するために、バイナリ添付物ハッシュアルゴリズムを適用するステップを含み得る。テキスト添付物ハッシュアルゴリズムは類似性ハッシュを含み得る。バイナリ添付物ハッシュアルゴリズムはファジーハッシュを含み得る。脅威分析を実行するステップは、電子メッセージの原表示、解析表示、及びブラウザ表示のうち少なくとも１つを生成するステップを含み得る。
【００１６】
脅威分析を実行するステップは、脅威状態インジケータを収集するために、電子メッセージの少なくとも一部を分析するステップを含み得る。脅威分析を実行するステップは、脅威状態インジケータに応答して、電子メッセージの脅威状態を自動的に生成するステップを含み得る。脅威分析を実行するステップは、電子メッセージの脅威状態に信頼レベルを割り当てることを含み得る。脅威分析を実行するステップは、信頼レベルが信頼レベルしきい値を下回る場合に、電子メッセージの脅威状態の手動生成を要求するステップを含み得る。脅威分析を実行するステップは、手動生成された脅威状態で脅威状態を更新するステップを含み得る。電子メッセージの原表示は、少なくとも１つの本文を解析及び正規化する前の電子メッセージのテキストに対応し得る。電子メッセージの解析表示は、少なくとも１つの本文を解析及び正規化した後の、電子メッセージを一貫性のある形式に再配列することに対応し得る。電子メッセージのブラウザ表示は、少なくとも１つの本文を解析及び正規化した後の、電子メッセージのＨＴＭＬ表示に対応し得る。
【００１７】
脅威状態インジケータを収集するために電子メッセージの少なくとも一部を分析するステップは、複数の規則の各々が電子メッセージの少なくとも一部に一致するか否かを識別するために、電子メッセージの少なくとも一部に規則データベース内の複数の規則を適用するステップを含み得る。規則データベース内の規則は、以前は規則脅威状態が割り当てられていた。識別されたマッチング規則の各々及び対応する規則脅威状態の各々は、脅威状態インジケータと対応し得る。脅威状態インジケータを収集するために電子メッセージの少なくとも一部を分析するステップは、電子メッセージの少なくとも一部をスキャンして、電子メッセージの少なくとも一部が、少なくとも１つのウイルス対策データベース内の少なくとも１つのウイルスを含むか否かを識別するステップを含み得る。識別された各ウイルスは、スキャンに対する脅威状態インジケータと対応し得る。脅威状態インジケータを収集するために電子メッセージの少なくとも一部を分析するステップは、電子メール内の少なくとも１つのＵＲＬが少なくとも１つのＵＲＬ脅威データベース内の少なくとも１つのＵＲＬを含むか否かを識別するために、電子メッセージ内の各ＵＲＬについて、ＵＲＬ脅威データベースにＵＲＬ及びＵＲＬ脅威状態を紹介するステップを含み得る。ＵＲＬ脅威データベース内の識別された各ＵＲＬ及び対応するＵＲＬ脅威状態は、ＵＲＬ脅威データベースクエリに対する脅威状態インジケータに対応し得る。脅威状態インジケータを収集するために電子メッセージの少なくとも一部を分析するステップは、ヘッダに対する少なくとも１つの規則に準拠しているか否かを確認するために、少なくとも１つのヘッダを分析するステップを含み得る。ヘッダに対する規則は、電子メッセージ内の唯一のメッセージＩＤを含めることを含み得る。脅威状態インジケータを収集するために電子メッセージの少なくとも一部を分析するステップは、電子メッセージ内のリスクが高い命令又は動作を識別するステップを含み得る。リスクが高い命令又は動作は、ユーザが電子メッセージ又は少なくとも１つの添付物のうちの１つを開いたときに、コード又はマクロを実行することを含み得る。脅威状態インジケータを収集するために電子メッセージの少なくとも一部を分析するステップは、ドメインネームサービス分析を含み得る。ドメインネームサービス分析は、各ドメインネームに対して、登録期間、ドメインネームの評判、及び難読化を含み得る。ドメインネームサービス分析は、各ＩＰアドレスに対して、ＩＰアドレスの評判及び地理位置情報を特定することを含み得る。ドメインネームサービス分析は、ドメインネームサービス分析のための、脅威状態インジケータに対応するドメインネームサービス脅威状態を決定することを含み得る。
【００１８】
脅威状態インジケータを収集するために電子メッセージの少なくとも一部を分析するステップは、メッセージフィンガプリントをフィンガプリントデータベース内の複数のフィンガプリントと比較するステップを含み得る。フィンガプリントデータベース内のフィンガプリントには、以前にフィンガプリント脅威状態が割り当てられている場合がある。識別された各マッチングフィンガプリント及び対応する各フィンガプリント脅威状態は、脅威状態インジケータと対応し得る。フィンガプリント一致の種類は、完全一致、包括的一致、類似性ハッシュ一致、及び／又はファジーハッシュ一致であり得る。脅威状態インジケータを収集するために電子メッセージの少なくとも一部を分析するステップは、電子メッセージをセキュリティサンドボックスに電子的に通信するステップを含み得る。セキュリティサンドボックスは、セキュリティの欠陥を孤立させて監視するように設計された、コンパートメント化された計算環境であり得る。脅威状態インジケータを収集するために電子メッセージの少なくとも一部を分析するステップは、セキュリティサンドボックスで電子メッセージを有効化するステップを含み得る。脅威状態インジケータを収集するために電子メッセージの少なくとも一部を分析するステップは、不審な実行特性について有効化された電子メッセージを監視するステップを含み得る。脅威状態インジケータを収集するために電子メッセージの少なくとも一部を分析するステップは、既知の不審な実行特性のデータベースにおいて、不審な実行特性を識別するステップを含み得る。脅威状態インジケータを収集するために電子メッセージの少なくとも一部を分析するステップは、識別された不審な実行特性に対応して、サンドボックス脅威状態インジケータを計算するステップを含み得る。電子メッセージの脅威状態の手動生成を要求するステップは、手動レビューのために、集約されたフィンガプリントのヒートマップと、並びに、電子メッセージ、電子メッセージの原表示、電子メッセージの解析表示、電子メッセージのブラウザ表示、及び／又は脅威状態インジケータに対する脅威状態インジケータとを提供するステップを含み得る。
【００１９】
１つ以上の機械（コンピュータ等）に、本明細書に記載の動作を行わせるように動作可能かつ有形具体化された機械可読媒体を備える物品とともに、本アプローチに係るシステム及び方法が記載される。同様に、１つ以上のプロセッサと、１つ以上のプロセッサに結合された１つ以上のメモリとを備え得るコンピュータシステムも記載される。コンピュータ可読記憶媒体を含み得るメモリは、１つ以上のプロセッサに本明細書に記載の１つ以上の動作を実行させる１つ以上のプログラムを含有、エンコード、又は記憶等することができる。現在の主題の１つ以上の実施形態に係るコンピュータにより実行される方法は、単一の計算システム又は複数の計算システムに常駐する１つ以上のデータプロセッサにより実行され得る。このような複数の計算システムは互いに接続され、データ、コマンド、及び／又は他の命令等を、１つ以上の接続を通じて交換し得る。当該１つ以上の接続は、ネットワーク（例えば、インターネット、無線広域ネットワーク、ローカルエリアネットワーク、広域ネットワーク、有線ネットワーク等）上の接続、又は複数の計算システムのうちの１つ以上の間の直接接続を通じた等を含むが、これらに限定されない。
【００２０】
本明細書に記載の主題の１つ以上の変形の詳細が、添付の図面及び以下の説明に示される。本明細書に記載の主題の他の特徴及び利点は、詳細な説明、図面、及び特許請求の範囲から明らかになる。現在開示される主題の特定の特徴は、ソフトウェアシステム又はシステムアーキテクチャに関連して例示の目的で記載されるが、これらの特徴が限定を意図しないことは容易に理解できるだろう。本開示に続く特許請求の範囲は、保護される主題の範囲を定義することを意図している。
【００２１】
添付の図面は、本明細書に組み込まれてその一部を構成し、本明細書に開示される主題の特定の態様を示し、詳細な説明とともに、開示される実施形態に関連するいくつかの原理の説明を助ける。
【図面の簡単な説明】
【００２２】
【図１】本開示に係る１つ以上の特徴を有するコンピュータネットワークを示す図
【図２】本開示に係る１つ以上の特徴を有するコンピュータネットワークを示すブロック図
【図３Ａ】本開示に係る、不審な電子メッセージを解析及び報告するためのプロセスを示すフローチャート
【図３Ｂ】ユーザが選択して不審な電子メッセージを報告することが可能な、デスクトップコンピュータ又はラップトップコンピュータ上のアイコンを示す図
【図３Ｃ】ユーザが選択して不審な電子メッセージを報告することが可能な、ポータブル計算デバイス上のアイコンを示す図
【図４】図３Ａ及び本開示に係る、電子メッセージを分解、解析、正規化、及びフィンガプリント化するためのプロセスを示すフローチャート
【図５Ａ】図３Ａ−図３Ｃ、図４、及び本開示に係る、電子メッセージに対する脅威状態の補完的な自動生成及び手動生成のためのプロセスを示すフローチャート
【図５Ｂ】電子メッセージのブラウザ表示を示す図
【図５Ｃ】図５Ｂの電子メッセージの原表示を示す図
【図５Ｄ】図５Ｂ及び図５Ｃの電子メッセージの解析表示を示す図
【図６】図３、図４、図５、及び本開示に係る、脅威状態インジケータを生成するためのプロセスを示す図
【発明を実施するための形態】
【００２３】
実用において、同様の符号は、同様の構造、特徴、又は要素を示す。
【００２４】
ここに記載する主題は、企業の計算システム等のシステムで処理されているデータを監視し、不審なデータにフラグを立ててさらに処理し、不審なデータの正当性を判断するためのソリューションを提供する。計算システム上で実行されるプログラムアプリケーション実行制御の従来技術は、コンピュータが特定のプログラムを安全に実行することができるかどうかを判断するために、署名のデータベース等の静的メソッドに依存している。ここに記載の主題は、署名データベースを継続的に更新する必要性を回避するための機械学習ベースのソリューションを提供する。
【００２５】
図１は、本開示に係る１つ以上の特徴を有するコンピュータネットワーク１００を示す図である。コンピュータネットワーク１００は、コンピュータネットワークシステムがセットアップされ得る１つの手段の例示である。コンピュータネットワーク１００は、複数のコンピュータデバイス１２０Ａ，１２０Ｂ，１２０Ｃ，１２０Ｄを備え、複数のコンピュータ端末は、各々が対応するユーザと対話し、通信ネットワーク１１０を介して通信する、すなわちデータを送受信するように構成される。いくつかの態様において、コンピュータネットワーク１００は、図１に示す４つの代表的なデバイス１２０よりも多い、又は少ない数のコンピュータデバイスを含み得る。コンピュータデバイス１２０は、無線通信デバイスであり、例えば、パーソナルコンピュータ（ＰＣ）、ラップトップＰＣ、タブレット、携帯電話／スマートフォン、並びに、ネットワークサービス管理デバイス、データリポジトリとして機能するコンピュータサーバ等を含み得る。通信ネットワーク１１０は、インターネット等の１つ以上の広域ネットワーク（ＷＡＮ）と、１つ以上のローカルエリアネットワーク（ＬＡＮ）とを含み、これには、コンピュータ端末１２０と接続するための無線ＬＡＮ（ＷＬＡＮ）が含まれ得る。コンピュータ端末１２０は、企業、政府機関等の団体にサービスを提供するように構成された企業ネットワークの一部であってもよい。企業ネットワークは、
（ｉ）各々が対応する従業員／ユーザにコンピュータサービスを提供する、ネットワーク化された多くのパーソナルコンピュータ端末（ラップトップ、スマートフォン等）と、
（ｉｉ）そのようなサービスの集中管理を提供する１つ以上のネットワーク化されたサーバと、
を含み得る。大体的に、コンピュータ端末１２０は、企業ネットワークの一部ではないスタンドアロンのデバイスであってもよい。
【００２６】
図１に示すように、コンピュータネットワーク１００は、サーバ１３０も含み得る。いくつかの態様において、サーバ１３０は、ネットワークサービス管理デバイス、データリポジトリ等として機能するように構成されたサーバを含み得る。いくつかの態様において、サーバ１３０は、コンピュータ端末１２０間で電子メールメッセージを保存及び転送するように構成されたメールサーバを含み得る。他の態様において、サーバ１３０は、不審な電子メールの報告及び処理を含む、不審な電子メールプロセスを管理するように構成されたアンチウイルス及び／又はアンチフィッシングサーバを含み得る。いくつかの実施形態において、コンピュータ端末１２０をサーバ１３０として用いることもでき、サーバ１３０をコンピュータ端末１２０として用いることもできる。
【００２７】
コンピュータ端末１２０がスタンドアロンであるか企業ネットワークの一部であるかに関わらず、各コンピュータ端末は、ホスト及び／又は電子メールアプリケーション（本明細書では「電子メールアプリ」とも呼ぶ）にアクセスして、ユーザに電子メールサービスを提供する。例えば、Ｍｉｃｒｏｓｏｆｔ  Ｏｕｔｌｏｏｋ（登録商標）、ＧＭＡＩＬ（登録商標）、並びに、ｍａｉｌ．ｃｏｍ等の様々なオペレーティングシステム用のモバイルアプリケーション等がある。一部の態様において、電子メールアプリは、電子メールメッセージが作成され、通信ネットワーク１１０に送信され、通信ネットワーク１１０から受信され、電子メールアプリのグラフィカルユーザインターフェース（ＧＵＩ）を介して表示されることを可能にする。受信（及び表示）される電子メールメッセージは、既知の／信頼できる送信者及び関連する電子メールアドレスからの電子メールメッセージ、並びに未知の送信者及び関連する電子メールアドレスからの迷惑メールメッセージを含み得る。
【００２８】
いくつかの実施形態において、ユーザは、受信、表示、及び未承諾の電子メッセージを、本質的に悪意があると疑い得る。そのような「不審な」電子メールは、マルウェア（例えばウイルス、スパイウェア等）を含むか、フィッシング攻撃の一部であり得る。上述のように、フィッシング攻撃は、ユーザに関する個人情報又は機密情報への不正アクセスを試みるために、なりすましの電子メールメッセージ又はＷｅｂサイトを使用する。攻撃者は、標的となった被害者（ユーザ）に連絡する際によく知られた組織を装う。ユーザは、電子メールメッセージに埋め込まれたリンク（例えばユニフォームリソースロケータ（ＵＲＬ）又はハイパーリンク）にアクセスするか、電子メールメッセージの添付ファイルをダウンロードし、又は開くか、又は不審な電子メールの送信者（電子メールアドレス）の送信者に応答するように、誘導される。
【００２９】
受信され表示された電子メールメッセージが悪意を持つ可能性があるとユーザが疑う場合、本明細書で提供される技術により、ユーザが不審な電子メールを「不審な電子メール」として便利かつ一貫性のある手段で報告できる。不審な電子メールが報告されると、プログラムは電子メールに対して分析を実行し、分析結果をユーザに報告することができる
【００３０】
図２を参照して、図１のコンピュータ端末１２０のいずれかに対応するコンピュータ端末２００の例を示すブロック図である。コンピュータ端末２００は、コンピュータ端末２００の動作を制御するプロセッサ２１０を含み得る。プロセッサ２１０は、中央処理装置（ＣＰＵ）とも呼ぶ。読み出し専用メモリ（ＲＯＭ）及びランダムアクセスメモリ（ＲＡＭ）の両方を含み得るメモリ２２０は、命令及びデータをプロセッサ２１０に提供し得る。また、メモリ２２０の一部は、不揮発性ランダムアクセスメモリ（ＮＶＲＡＭ）、磁気ディスクストレージメディアデバイス、光ストレージメディアデバイス、電気的、光学的、又はその他の物理的／有形の（例えば非一時的）メモリストレージデバイスも含み得る。プロセッサ２１０は通常、メモリ２２０内に格納されたプログラム命令に基づいて、論理演算及び算術演算を実行する。メモリ２２０内の命令は、本明細書に記載の方法を実装するように実行可能であり得る。
【００３１】
例えば、メモリ２２０は、セキュリティアプリケーション（例えば脅威テストアプリケーション）が不審な電子メール機能を実行して、ユーザが不審な電子メールメッセージを報告し、報告された（不審な）電子メールメッセージの脅威分析を実行できるようにするための命令を、本明細書に提供された手段に従って格納又はエンコードする。セキュリティアプリケーションは、市販の電子メールプログラムであり、本明細書に記載の動作をサポートするために必要に応じて変更され得る。加えて、メモリ２２０は、既知の脅威、既知のウイルス、ＩＰアドレス脅威情報、ドメインネーム脅威情報、ホストネーム脅威情報、ユニフォームレコードロケータ（ＵＲＬ）脅威情報、フィンガプリント脅威情報、サンドボックス脅威情報、電子メールユーザリスト、マルウェアリスト、及び不審な電子メールの解析に用いられる他のデータに対する規則を格納する１つ以上のデータベースを含み得る。メモリ２２０は、本明細書に記載のユーザ対話をサポートするためのＧＵＩロジックも格納し得る。
【００３２】
プロセッサ２１０は、１つ以上のプロセッサで実装される処理システムを含むか、又は、そのコンポーネントであり得る。１つ以上のプロセッサは、汎用マイクロプロセッサ、マイクロコントローラ、デジタル信号プロセッサ（ＤＳＰ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、プログラマブルロジックデバイス（ＰＬＤ）、コントローラ、ステートマシン、ゲートロジック、個別のハードウェアコンポーネント、専用ハードウェア有限状態マシン、又は、情報の計算若しくはその他の操作を実行できる他の適切なエンティティの、任意の組み合わせにより実装され得る。
【００３３】
処理システムは、ソフトウェアを格納するための機械可読媒体も含み得る。ソフトウェアは、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、ハードウェア記述言語等と呼ばれる任意の種類の命令を指すと広く解釈される。命令は、（例えば、ソースコード形式、バイナリコード形式、実行可能コード形式、又は他の適切なコード形式の）コードを含み得る。命令は、１つ以上のプロセッサにより実行されると、処理システムに、本明細書に記載の様々な機能を実行させる。
【００３４】
コンピュータ端末２００はまた、コンピュータ端末２００と遠隔地との間のデータの送受信を可能にするトランシーバ２６０を含み得る。コンピュータ端末２００は、トランシーバ２６０に結合されたアンテナ２７０を備え得る。コンピュータ端末２００は、複数のトランスミッタ、複数のレシーバ、複数のトランシーバ、及び／又は複数のアンテナ（図示なし）を含み得る。トランシーバ２６０は、２Ｇ／３Ｇ／４Ｇ／５Ｇ、及び／又はグローバル・システム・フォー・モバイル・コミュニケーションズ（ＧＳＭ）インタフェース（これらに限定されない）を含む任意のセルラー電話規格と相互運用するように構成され得る。
【００３５】
コンピュータ端末２００は、いくつかの態様において、ユーザ入力デバイス２４０を更に備え得る。ユーザ入力デバイス２４０は、キーパッド、マイクロフォン、スピーカ、及び／又はディスプレイを備え得る。ユーザ入力デバイス２４０は、コンピュータ端末２００のユーザに情報を伝達し、及び／又はユーザから入力を受け取る任意の要素又はコンポーネントを含み得る。例えば、ユーザに提供されるフィードバックは、例えば視覚的フィードバック、聴覚的フィードバック、又は触覚的フィードバック等の、任意の形態の感覚的フィードバックであり得る。また、ユーザからの入力は、音響入力、音声入力、又は触覚入力（これらに限定されない）を含む任意の形式で受信され得る。コンピュータ端末２００は、コンピュータ端末２００に電力を供給するためにバッテリ（図示なし）を備え得る。
【００３６】
コンピュータ端末２００は、例えば、陰極線管（ＣＲＴ）、液晶ディスプレイ（ＬＣＤ）、又は発光ダイオード（ＬＥＤ）モニタ、又はユーザに情報を表示するための他のデバイスを含み得るディスプレイ２３０等のディスプレイデバイスを備え得る。コンピュータ端末２００は、ネットワークインタフェース２５０をさらに備え得る。ネットワークインタフェース２５０は、有線及び無線のネットワークインタフェースを含み得る。有線インタフェースは、ユニバーサルシリアルバス（ＵＳＢ）インタフェース、イーサネットインタフェース、又は他の有線インタフェースを含み得る。無線インタフェースは、ＷｉＦｉ（ＩＥＥＥ８０２．１１ファミリの規格のいずれか）、ＷｉＭＡＸ（８０２．１６ファミリの規格のいずれか）、Ｂｌｕｅｔｏｏｔｈ、又は他の無線インタフェースを含み得る。
【００３７】
コンピュータ端末２００の様々な構成要素は、バスシステムにより互いに結合し得る。バスシステムは、データバスと、データバスに追加で電力バス、制御信号バス、状態信号バスを含み得る。コンピュータ端末２００の構成要素は、他のメカニズムを利用して、１つに結合するか、又は相互に入力を受け入れ、若しくは提供することができる。図２にはいくつかの別個の構成要素が示されているが、１つ以上の構成要素を組み合わせたり、共通に実装したりしてもよい。さらに、図２に示す各構成要素は、複数の別個の要素を用いて実装され得る。
【００３８】
図３Ａは、不審な電子メッセージを分析及び報告するためのプロセス３００を示すフローチャートである。図１−３を参照して、プロセス３００は、コンピュータ端末１２０Ａ，１２０Ｂ，１２０Ｃのうちの１つ、又はコンピュータネットワーク１００のサーバ１３０と対応し得るコンピュータ端末２００により実行され得る。
【００３９】
ステップ３１０において、ユーザ端末１２０（又はコンピュータ端末２００）は、ユーザの電子メールアドレスに関連する電子メッセージを第１のフォルダに受信する。例えば、ユーザ端末１２０は、エンドユーザのセキュリティ認識及びリアルタイムのサイバー脅威の高度な脅威検出を加速するように設計された電子メールセキュリティサービス（例えばセキュリティアプリケーション）を利用し得る。いくつかの態様において、セキュリティアプリケーション又は「アプリケーション」は、ＥｄｇｅＷａｖｅ  ＴｈｒｅａｔＴｅｓｔアプリケーションを構成する。セキュリティアプリケーションは、ユーザ主導の高度な脅威検出及び脅威防止サービスであり、企業がセキュリティの認識と訓練をエンドユーザへと拡張するのに役立つ。いくつかの態様において、セキュリティアプリケーションは、セキュリティ認識及びセキュリティ訓練のソリューション、並びに、他の業界をリードする電子メールセキュリティテクノロジ（例えば、ＥｄｇｅＷａｖｅ  ｅＰｒｉｓｉｍ電子メールセキュリティアプリケーション）と統合され得る。
【００４０】
いくつかの実施形態において、コンピュータネットワーク１００は、主に電子メールアプリ（例えば、ＭＳ  Ｅｘｃｈａｎｇｅ又はＯｆｆｉｃｅ  ３６５）からの電子メールを処理するために設計されたセキュリティサーバ若しくはセキュリティアプリケーション（例えばＴｈｅｒｅａｔＴｅｓｔアドイン）を含み得る。処理された電子メールは、クラウド上だけでなく、オンプロミスの様々なサードパーティシステム／アーカイブ、又はストレージシステムに保存若しくは統合され得る。セキュリティサーバ又はセキュリティアプリケーションは、電子メールの脅威分析の実際の処理タスクを実行し、それをサードパーティシステムと統合する方法を提供できる。セキュリティアプリケーション又はサーバは、基本的には拡張可能なクライアントアプリケーションと統合されるためのクライアント側ＳＤＫも提供する。例えば、アプリケーションはＯｕｔｌｏｏｋアドインフレームワークで構成され、Ｏｆｆｉｃｅ  ３６５ユーザに、Ｏｕｔｌｏｏｋアドインが提供するセキュリティアプリケーションの情報にアクセスするための、統合されかつ結合された方法を提供する。本明細書で用いられるプラグイン、アドイン、アドオン、又は拡張の語は、互換的に用いられ得る。
【００４１】
ステップ３２０において、ユーザ端末１２０（又はコンピュータ端末２００）は、不審な電子メッセージを報告するためにユーザ選択可能なアイコンを表示する。例えば、セキュリティアプリケーションアドイン（例えば、ＴｈｒｅａｔＴｅｓｔ  Ｏｕｔｌｏｏｋアドイン）は、ユーザが選択できるアイコン又はボタンを電子メールアプリに表示するように構成され得る。電子メールメッセージを読んでいるユーザは、不審な電子メールを閲覧し、さらに分析するためにそれにフラグを立てようとし得る。例えば、図３Ｂは、ユーザ端末１２０又はコンピュータ端末２００に対応するデスクトップコンピュータ又はラップトップコンピュータ上の電子メールアプリケーションの表示３８０を示す。表示３８０は、ハイライトされたエントリ３８２を伴う電子メールのリストを含む。ハイライトされたエントリに対応する電子メール３８４が、画面の下部に向かって表示される。電子メール３８４が不審な場合、ユーザはアイコン３８６を選択できる。同様に、図３Ｃは、潜在的に不審な電子メール３９２を伴う、スマートフォン上の電子メールアプリケーションの表示３９０を示す。
【００４２】
ステップ３３０において、ユーザ端末１２０（又はコンピュータ端末２００）は、電子メッセージ及びユーザ選択可能なアイコンの選択を受け取る。一部の実装では、ユーザは不審な電子メールメッセージを選択し、アドインアイコン又はボタンを選択する。例えば、アイコン／ボタンは、アプリケーションを呼び出して起動し得る。いくつかの態様において、セキュリティアプリケーションアドインは、不審な電子メールメッセージをスパムとしてマークするか、又は不審な電子メールをセキュリティアプリケーションに送信して、さらに分析するかを選択するようにユーザに要求し得る。不審な電子メールメッセージは、ユーザのメールボックスからセキュリティアプリケーションサーバ（ＴｈｒｅａｔＴｅｓｔＬａｂｓ等）に添付ファイルとして送信され得る。
【００４３】
ステップ３３５において、ユーザ端末１２０（又はコンピュータ端末２００）は、選択に応答して電子メッセージを隔離し、それによりユーザがアクセス不能となる。
【００４４】
不審な電子メールメッセージは、ユーザが不審な電子メールメッセージをスパムとしてマークするか、分析のためにセキュリティアプリケーションに送信するかに基づいて、電子メール、ファイル転送、又はその他の手段で宛先に電子的に送信される。セキュリティアプリケーションサーバは、不審な電子メールメッセージに第１のヘッダを追加し得る。いくつかの態様において、第１のヘッダにユーザのメールボックスの識別子が含まれるため、アプリケーションは分析への応答の送信先を認識できる。例えば、第１のヘッダは、応答の送信先を示すＲＥＰＬＹ＿ＴＯヘッダを含み得る。いくつかの実施形態において、不審な電子メールメッセージは、ゲートウェイフィルタ又はスパムフィルタ（ｅＰｒｉｓｍメッセージ保証ゲートウェイ（ＭＡＧ）等）によりユーザのメールボックスから傍受され得る。次に、ゲートウェイは不審な電子メールメッセージに最初のヘッダに追加し、変更された不審な電子メールメッセージをアプリケーションに転送する。
【００４５】
ステップ３４０において、ユーザ端末１２０（又はコンピュータ端末２００）は、選択に応答して脅威分析を実行するために、プロセッサに電子メッセージを電子的に伝達する。
【００４６】
第１のヘッダが追加された不審な電子メールメッセージを受信した後、セキュリティアプリケーションサーバは、不審な電子メールメッセージをセキュリティアプリケーションサーバのフォルダに移動させる。フォルダに入ると、セキュリティアプリケーションは、不審な電子メールメッセージに第２のヘッダを追加し得る。いくつかの態様において、第２のヘッダは、メッセージ識別子、アプリケーションメッセージ識別子、及び／又は応答メッセージを返送するためのアドレスを含み得る。メッセージ識別子は、不審な電子メールメッセージの識別子を含み得る。アプリケーションメッセージ識別子は、不審な電子メールメッセージを識別するためにセキュリティアプリケーションアドインにより生成された一意な識別子を含み得る。いくつかの実施形態において、アドレスは、セキュリティアプリケーションがアプリケーションアドインに応答メッセージを返すために呼び出すＵＲＬを含み得る。
【００４７】
いくつかの態様において、不審な電子メールメッセージに関する情報は、セキュリティアプリケーションサーバデータベースに保存されます。情報は、不審な電子メールメッセージ、ユーザ、及び選択されたオプション（スパム、分析のための送信等）に関する情報を含み得る。他の実施形態において、セキュリティアプリケーションは、不審な電子メールメッセージのうちの１つ以上のタグを生成して、メッセージのステータスがより可視的になるようにもできる。他の実施形態において、セキュリティアプリケーションサーバは、組織内の他のユーザ／メールボックスに送信された同一又は同様の不審な電子メールメッセージを見つけ、それぞれの防止又は修復のアクションを実行し得る。
【００４８】
ステップ３５０において、ユーザ端末１２０（又はコンピュータ端末２００）は、転送に応答して、１つ以上のヘッダを電子メッセージに添付する。セキュリティアプリケーションが不審な電子メールメッセージを受信して処理した後、セキュリティアプリケーションは応答メッセージを生成し得る。応答メッセージは、セキュリティアプリケーションサーバからユーザのメールアプリへのメールメッセージを含み得る。いくつかの実施形態において、応答メッセージは、ユーザのメールボックスに転送される前に、ゲートウェイ又はスパムフィルタ（ｅＰｒｉｓｍ  ＭＡＧ等）によりインターセプトされ得る。いくつかの態様において、ゲートウェイは応答メッセージをユーザのメールアプリ（Ｏｕｔｌｏｏｋ  Ｅｘｃｈａｎｇｅ）のセキュリティアプリケーションアドインのメールボックス（ＴｈｒｅａｔＣｈｅｃｋメールボックス等）に転送する。セキュリティアプリケーションアドインは、定期的にメールボックスをチェックして、報告された脅威又は不審な電子メールに対する応答を確認できる。
【００４９】
いくつかの態様において、応答メールメッセージは、不審なメールメッセージに追加された第１のヘッダを含み得る。応答電子メールメッセージは、不審な電子メールメッセージに関連付けられたカテゴリ状態情報をさらに含み得る。いくつかの実施形態において、異なるカテゴリの状態は、不審な電子メールメッセージに関連する保留中、安全、悪意的、未処理、ウイルス、フィッシング、ポルノ等の状態を含み得る。場合によっては、応答メッセージのカテゴリ状態が悪意的、ウイルス、フィッシング、又は他の安全でない状態を示す場合、セキュリティアプリケーション、不審な電子メールメッセージをセキュリティアプリケーションサーバフォルダから削除し得る。
【００５０】
加えて、セキュリティアプリケーションアドインは、視認性を高めるために、受信した状態で応答メッセージにタグ付けすることができる。セキュリティアプリケーションアドインは、他のユーザ／メールボックスに送信された関連メッセージを見つけ、セキュリティアプリケーションサーバ（ＴｈｒｅａｔＣｈｅｋＬａｂｓ等）から受信した状態に基づいてそれぞれのアクションを実行し得る。
【００５１】
いくつかの態様において、セキュリティアプリケーションアドイン（ＴｈｒｅａｔＣｈｅｃｋプラグイン等）は、ユーザの選択とは無関係に脅威検出アクションを実行し得る。例えば、セキュリティアプリケーションアドインは、組織内の全てのメールボックスを定期的にスキャンして、報告された不審な電子メールメッセージのコピーを見つける。次に、受信したセキュリティ対策をより迅速に実行するために、それらのメッセージをデータベーステーブルに収集する。いくつかの実施形態において、セキュリティアプリケーションアドインは、以前に他のユーザのメールボックスで報告されたがユーザにより明示的に報告されなかった疑わしい電子メールをユーザに通知又は削除することができる。加えて、セキュリティアプリケーションアドインは、電子メールセキュリティシステム（ＥｄｇｅＷａｖｅ  ｅＰｒｉｓｍ等）により定義されたルールを実行するか、指紋照合アルゴリズムを用いて、全てのメールボックス内のメッセージを以前に報告された電子メールと比較し、組織内の全てのメールボックス内の、対応する保護ルールが存在しないメールボックスに以前に到達した悪意的なメッセージを識別する。このような実行は、ウイルス又はユーザの感染が悪意的な電子メールを受信するのを防ぐのに役立つ。一部の実施形態において、セキュリティアプリケーションアドインは、組織内の全てのメールボックスで実行された保護基準に基づいて、識別された不審なメッセージを隔離フォルダ、ジャンクフォルダ、又は他の定義されたフォルダに移動し得る。
【００５２】
いくつかの態様において、組織内のユーザのメールボックスにアクセスしたり、それらに代わってメールを送信したりするために、テクニカルスーパーユーザを作成し得る。テクニカルスーパーユーザは、集中管理のセキュリティアプリケーション（ＴｈｒｅａｔＣｈｅｃｋ等の設定で構成し得る。テクニカルスーパーユーザは、セキュリティアプリケーションと統合されるメールボックスへのフルアクセスが可能である。組織内の全てのユーザ又は選択したユーザを表示するために、プロビジョニングジョブを構成でき、スーパーユーザは、メールアプリ（Ｏｕｔｌｏｏｋ  Ｅｘｃｈａｎｇｅ等）で少なくとも「表示のみの組織管理」の権限を持ち得る。セキュリティアプリケーションＯｕｔｌｏｏｋ又は他のメールアプリを展開する場合、アドインのテクニカルスーパーユーザに「組織のカスタムアプリ」の役割を割り当てることができる。この役割により、テクニカルスーパーユーザは、組織全体のカスタムアプリを展開及び管理できる。
【００５３】
いくつかの実施形態において、ユーザ報告の方法及び結果としての不審な電子メールメッセージの自動処理を実行し得る。方法の動作の全ては、コンピュータ端末１２０及び／又はサーバ１３０のうちの所定の１つで実行し得る。あるいは、本明細書に開示されるように、動作は、複数のコンピュータ端末１２０、及びサーバ１３０のうちの複数の間で分割されていてもよい。
【００５４】
いくつかの態様において、コンピュータ端末１２０は、ユーザ名及び対応する電子メールアドレスに関連付けられたユーザアカウントと紐付けられた電子メールメッセージを受信する。つまり、受信した電子メールメッセージは、ユーザアカウントに関連付けられた電子メールアドレスに送信される。ユーザは、不審な電子メールメッセージを選択し、セキュリティアプリケーションに関連付けられたボタンを選択して、選択した不審な電子メールメッセージを報告することができる。セキュリティアプリケーションは、報告された不審な電子メールに関する脅威ステータスを分析してユーザに報告するように構成され得る。不審な電子メールメッセージの選択を受信した後、セキュリティアプリケーションは、受信した不審な電子メールメッセージに１つ以上のヘッダを追加し、変更された不審な電子メールメッセージをさらに分析するために転送する。セキュリティアプリケーションは、脅威分析を実行し、及び／又は脅威分析の結果の表示を受け取り得る。次に、セキュリティアプリケーションは、脅威分析の状態／結果を示す応答メッセージをユーザに送信する。いくつかの態様において、脅威分析が悪意的又は有害な状態を示す場合、セキュリティアプリケーションは不審な電子メールメッセージを削除し得る。
【００５５】
ステップ３６０において、ユーザ端末１２０（又はコンピュータ端末２００）は、実行された脅威分析に応答して、１つ以上のヘッダを含み、電子メールメッセージの脅威ステータスを示す応答メッセージを受信する。様々な実施形態において、脅威ステータスは信号機インジケータを含む。既知の脅威に対応する電子メールメッセージの場合、信号機インジケータは、赤色又は「止まれ」であり得る。既知の脅威に対応して、ユーザは電子メールが既知の脅威であることを通知される。メールは既知の脅威としてタグ付けされており、削除又は無力化され得る。潜在的な脅威に対応する電子メールメッセージの場合、信号機インジケータは、黄色又は「注意」であり得る。電子メールは潜在的な脅威としてタグ付けされており、ユーザは電話又はその他の手段で送信者に連絡するように提案され得る。既知の脅威と関連付けられておらず、脅威と疑われてもいない電子メールメッセージに対しては、信号機インジケータは青色又は「進め」であり得る。電子メールは、既知の脅威に関連付けられていないとしてタグ付けされる。様々な実施形態において、脅威ステータスは、電子メッセージが、例えば、安全なメッセージ、悪意的メッセージ、フィッシングメッセージ、ウイルス、スパムメッセージ、及び／又はポルノメッセージであることを示す脅威カテゴリを含む。
【００５６】
ステップ３７０において、ユーザ端末１２０（又はコンピュータ端末２００）は、応答メッセージに応答して電子メッセージを処理する。例えば、ユーザ端末１２０（又はコンピュータ端末２００）は、電子メッセージを削除し、電子メッセージを検疫に残し、及び／又は電子メッセージを第１のフォルダに移動し得る。
【００５７】
様々な実施形態において、コンピュータ端末２００は、電子メッセージの脅威ステータスに応じて、ブラックリスト及び／又は配信前チェックリストを更新する。
【００５８】
様々な実施形態において、コンピュータ端末２００又はサーバ１３０は、ユーザが見る前に電子メッセージをスキャンする。コンピュータ端末２００又はサーバ１３０は、以下の条件のうちの１つに応答して脅威分析を実行するために、電子メッセージをプロセッサに電子的に伝達する。第１の条件は、電子メッセージの送信者が以前の電子メッセージをユーザの電子メールアドレスに送信しているかどうかである。第２の条件は、送信者がユーザの電子メールアドレスに送信した以前の電子メッセージと比較して、送信者の名前のスペルに変化があるかどうかである。第３の条件は、電子メッセージが、ユーザの電子メールアドレスが受信した他の電子メッセージに関連付けられていない送信システムから発信されたかどうかである。第４の条件は、電子メッセージが、信頼レベルのしきい値よりも低い信頼レベルで悪意的脅威ステータスを持つフィンガプリントデータベースのフィンガプリントと一致する計算フィンガプリントを有するかどうかである。
【００５９】
図４は、図３Ａ及び本開示に係る、電子メッセージを分解、解析、正規化、及びフィンガプリントを採取するためのプロセス４００を示すフローチャートである。図１，２，４を参照して、プロセス４００は、コンピュータ端末１２０Ａ，１２０Ｂ，１２０Ｃのうちの１つ、又はコンピュータネットワーク１００のサーバ１３０に対応し得るコンピュータ端末２００により実行され得る。
【００６０】
ステップ４１０において、コンピュータ端末２００は電子メッセージを、少なくとも１つのヘッダ又はヘッダリストと、少なくとも１つの本文と、並びに、もし電子メッセージが添付ファイルを含む場合、少なくとも１つの添付ファイルとに分解する。電子メッセージヘッダは、例えば、送信者の名前、メールアドレス、ＩＰアドレス、受信者の名前とメールアドレス、メールが送信された日時、件名、ルーティング情報を特定できる。メッセージは送信者と受信者の間で複数回ルーティングされ得るため、ルーティング情報等のフィールドは、複数の値とともにヘッダリストに含まれ得る。メッセージは、複数のヘッダ又はヘッダリストを含み得る。電子メールの本文は、テキストのブロック若しくは埋め込みユニフォームリソースロケータ（ＵＲＬ）が含まれ、又はバイナリ形式であり得る。バイナリ形式の本文は例えば、埋め込み画像、埋め込みビデオ、実行可能コードである。電子メッセージへの添付ファイルは、テキスト形式の添付ファイル、又は、実行可能ファイル等のバイナリ形式の添付ファイルを含み得る。様々な実施形態において、電子メッセージは再帰的に分解される。例えば、電子メッセージは最初にヘッダ、本文、及び添付ファイルのコンポーネントに分解される。次に、ヘッダコンポーネントは単一のヘッダのキー／値の組に分解され得る。添付ファイルは、個々のテキストとバイナリの添付ファイルとに分解され得る。本文は、テキストブロック、ＵＲＬ、及びバイナリに分解され得る。分解されると、各ヘッダ、本文、添付ファイルをフィンガプリント化又は特徴づけできる。フィンガプリントは、電子メッセージのヘッダ、本文、又は添付要素のいずれであるか否かに関わらず、分解された各要素を特徴づける特徴値のベクトルに対応する。本明細書で用いられるに際し、本文は、メッセージ本文の一部又は全体に対応し得る。同様に、ヘッダは１つ以上のヘッダ及びヘッダリストエントリを参照し得る。添付ファイルは、添付ファイルの一部、単一の添付ファイル、又は複数の添付ファイルを指し得る。
【００６１】
ステップ４２０において、コンピュータ端末２００は、以下に説明するように、字句解析し、ヘッダハッシュアルゴリズムを適用し、及び／又はヘッダリストハッシュアルゴリズムを適用することにより、少なくとも１つのヘッダ又はヘッダリスト毎にヘッダフィンガプリントを生成する。様々な実施形態において、コンピュータ端末２００は、少なくとも１つのヘッダ又はヘッダリストの各々を字句解析する。ヘッダ又はヘッダリストの字句解析は、ヘッダ又はヘッダリストの各タイプの識別を含み得る。ヘッダ又はヘッダリストの字句解析は、ヘッダリストの字句形式の解析を含み得る。ヘッダ又はヘッダリストの字句解析は、各ヘッダ又はヘッダリスト内の空白の頻度とパターンの解析を含み得る。ヘッダ又はヘッダリストの字句解析は、各ヘッダ又はヘッダリスト内の特殊文字の頻度及びパターンの解析を含み得る。ヘッダ又はヘッダリストの字句解析は、ソースリスト及びメッセージルーティングをヘッダリストで比較して一貫性を保つことを含み得る。様々な実施形態において、ヘッダフィンガプリントの生成は、各ヘッダについて、少なくとも１つのヘッダにヘッダハッシュアルゴリズムを適用することを含む。ヘッダフィンガプリントを生成することは、各ヘッダリストについて、少なくとも１つのヘッダリストにヘッダリストハッシュアルゴリズムを適用することを含み得る。
【００６２】
ステップ４３０において、コンピュータ端末２００は、少なくとも１つの本文の各々を解析する。様々な実施形態において、少なくとも１つの本文の解析は、構文解析及び／又は意味解析を用いて、少なくとも１つの本文の各々の構成要素を特定して整理することを含む。本文内の構成要素を識別して整理することにより、共通の要素をグループ化し、メッセージ情報を、メッセージ間で一貫性のあるやり方で、自動又は手動でレビューするために提示することができ、処理を高速化するとともに一貫性を向上させることができる。
【００６３】
ステップ４４０において、コンピュータ端末２００は、少なくとも１つの本文の各々を正規化する。悪意的な行為者は、余分な空白を埋め込み、アクセント付きの文字（ウムラウト等）を含め、大文字のＯをゼロに置き換え、文字をトランスポーズし、又は、スパム若しくは他の悪意的電子メールディテクタを欺くための他の手段を取り得る。少なくとも１つの本文の各々の正規化は、例えば、余分な空白の除去、空白の正規化、正しいスペルへの文字の転置、過剰な句読点の除去、ハイフネーションの除去、ハイパーテキストマークアップ言語の除去、及び／又は、ゼロに対するＯ、若しくはアクセント付き文字に対するアクセントなし文字のような、誤って置換された文字を発音区別符号に置き換えることにより、これらの行為を逆転させ得る。
【００６４】
ステップ４５０において、コンピュータ端末２００は、解析及び正規化された少なくとも１つの本文の各々に対して本文フィンガプリントを生成する。様々な実施形態において、解析及び正規化された少なくとも１つの本文の各々に対する本文フィンガプリントの生成は、各ＵＲＬについてＵＲＬハッシュアルゴリズムを適用して、各ＵＲＬに対するＵＲＬ本文フィンガプリントを生成することを含む。様々な実施形態において、解析及び正規化された少なくとも１つの本文の各々に対して本文フィンガプリントを生成することは、テキスト形式の本文の各々に対し、テキスト本文の各々に対するテキスト本文フィンガプリントを生成するために、テキスト本文ハッシュアルゴリズムを適用することを含む。様々な実施形態において、解析及び正規化された少なくとも１つの本文の各々に対する本文フィンガプリントを生成することは、バイナリ形式の本文の各々に対し、バイナリ形式の本文の各々に対するバイナリ本文フィンガプリントを生成するために、バイナリ本文ハッシュアルゴリズムを適用することを含む。様々な実施形態において、ＵＲＬハッシュアルゴリズムは、従来のハッシュを含む。様々な実施形態において、本文ハッシュアルゴリズムは、類似性ハッシュを含む。様々な実施形態において、バイナリ本文ハッシュアルゴリズムは、ファジーハッシュを含む。
【００６５】
ステップ４６０において、コンピュータ端末２００は、電子メッセージ内に添付ファイルがある場合、少なくとも１つの添付ファイルの各々に対して添付ファイルフィンガプリントを生成する。様々な実施形態において、各添付ファイルに対する添付ファイルフィンガプリントを生成することは、各テキスト形式の添付ファイルに対して、テキスト添付ファイルハッシュアルゴリズムを適用して、各テキスト添付ファイルに対するテキスト添付ファイルフィンガプリントを生成することを含む。様々な実施形態において、各添付ファイルの添付ファイルフィンガプリントを生成することは、各バイナリ形式添付ファイルに対して、各バイナリ形式添付ファイルフィンガプリントを生成するためにバイナリ添付ファイルハッシュアルゴリズムを適用することを含む。様々な実施形態において、テキスト添付ファイルハッシュアルゴリズムは、類似性ハッシュを含む。様々な実施形態において、バイナリ添付ファイルハッシュアルゴリズッムは、ファジーハッシュを含む。
【００６６】
ステップ４７０において、コンピュータ端末２００は、少なくとも１つのヘッダフィンガプリントの各々、少なくとも１つの本文フィンガプリントの各々、及び、電子メッセージが添付ファイルを含む場合は、少なくとも１つの添付ファイルフィンガプリントの各々を、メッセージフィンガプリントに集約する。様々な実施形態において、ヘッダフィンガプリント、本文フィンガプリント、及び添付ファイルフィンガプリントの集約は、ヘッダフィンガプリントベクトル、本文フィンガプリントベクトル、及び添付ファイルフィンガプリントベクトルを連結してフィンガプリントベクトルを生成することを含み得る。様々な実施形態において、個々のヘッダフィンガプリント、本文フィンガプリント、及び添付ファイルフィンガプリントは、平均及び分散に関して正規化され得る。様々な実施形態において、フィンガプリントベクトルの次元性を低減するために、因子分析又は主成分分析が適用され得る。
【００６７】
図５Ａは、図３、図４及び本開示に係る、電子メッセージの脅威ステータスの相補的な自動生成及び手動生成のためのプロセスを示すフローチャート５００である。様々な実施形態において、プロセス５００は、プロセス４００の続きであり得る。図１、図２、及び図５を参照して、プロセス５００は、コンピュータ端末１２０ａ，１２０ｂ，１２０ｃ又はコンピュータネットワーク１００のサーバ１３０のうちの１つに対応するコンピュータ端末２００により実行され得る。
【００６８】
ステップ５１０において、コンピュータ端末２００は、電子メッセージの原表示、電子メッセージの解析表示、及び電子メッセージのブラウザ表示のうちの少なくとも１つを生成する。図５Ｂ、図５Ｃ、及び図５Ｄはそれぞれ、電子メッセージのブラウザ表示５７０、原表示５８０、及び加工表示５９０を示す。様々な実施形態において、電子メッセージのブラウザ表示は、電子メッセージのＨＴＭＬ表示に対応する。様々な実施形態において、電子メッセージの原表示は、少なくとも１つの本文を解析して正規化する前の電子メッセージのテキストに対応する。様々な実施形態では、電子メッセージの解析表示は、少なくとも１つの本文を解析して正規化した後に、電子メッセージを一貫した形式に並べ替えることに対応する。電子メッセージの異なる表示は、脅威を検出又は識別する自動化されたツールにより、又は人間の評価者により使用され得る。
【００６９】
ステップ５２０において、コンピュータ端末２００は、電子メッセージの少なくとも一部を分析して脅威ステータス指標を収集する。様々な実施形態において、コンピュータ端末２００は、機械学習に基づく方法又は他の分析ツールを適用して、脅威ステータス指標を生成する。生成された脅威ステータス指標は、脅威に対応する、又は脅威と相関する電子メッセージの少なくとも一部の特徴又は特性と対応し得る。例えば、脅威ステータス指標は、１つ以上の脅威に対応するパターン又は分析結果に対応し得る。
【００７０】
ステップ５３０において、コンピュータ端末２００は、脅威ステータス指標に応答して、電子メッセージの脅威ステータスを自動的に生成する。生成された脅威ステータス指標は、脅威ステータスに対応し得る。電子メッセージの脅威ステータス指標は、脅威ステータス指標空間内の脅威に対応するポイントに対応し得る。脅威ステータス指標を脅威ステータスに割り当てるために、ベイズ法、ルールベース、クラスタリング法、ニューラルネットワーク法、相関法、又は統計学に基づく手法が用いられ得る。いくつかのルールパターンは、電子メッセージが脅威であるという非常に高い確信度と対応もし得る。
【００７１】
ステップ５４０において、コンピュータ端末２００は、電子メッセージの脅威ステータスに信頼度を割り当てる。ステップ５３０で決定された各脅威ステータスは、信頼度を有し得る。様々な実施形態において、信頼度は、０〜１の尺度であってよく、ここで、１は１００％の信頼度に対応し、０は０％の信頼度に対応する。様々な実施形態において、信頼度は脅威ステータス指標の統計的な類似性に基づき、高い信頼度の場合は１に近く、低い信頼度の場合は０に近くなり得る。
【００７２】
ステップ５５０において、コンピュータ端末２００は、信頼度が信頼度のしきい値以下である場合、電子メッセージの脅威ステータスの手動生成を要求する。例えば、９０％のしきい値が用いられ得る。しきい値をより低くすると、より多くの電子メッセージが人間の評価者に転送される。様々な実施形態において、電子メッセージの脅威ステータスの手動生成を要求することは、手動評価のために、電子メッセージの集約されたフィンガプリント、電子メッセージの脅威ステータス指標のヒートマップ、電子メッセージの原表示、電子メッセージの解析表示、電子メッセージのブラウザ表示、及び／又は、脅威ステータス指標を提供することを含む。ヒートマップは、メッセージのフィンガプリント及び／又は脅威ステータス指標の視覚的な表現であり得る。ヒートマップは、分析のために特定のベクトル要素を可視化し、色で強調表示することを可能にする。ヒートマップは、重要な要素を強調するために色分けされた正方形の行列を含み得る。訓練により、人間の評価者はヒートマップを用いて、大量のデータをより迅速に評価し、分析することができる。
【００７３】
ステップ５６０において、コンピュータ端末２００は、手動で生成された脅威ステータスを用いて脅威ステータスを更新する。様々な実施形態において、電子メッセージの脅威ステータスに対応するルールデータベースに新しいルールが追加され得る。様々な実施形態において、メッセージフィンガプリントは、電子メッセージの脅威ステータスに対応するフィンガプリントデータベースに追加され得る。
【００７４】
図６は、図３、図４、図５、及び本開示に係る、脅威ステータス指標を生成するためのプロセス６００を示すフローチャートである。図１、図２、及び図６を参照して、プロセス５００は、コンピュータ端末２００により実行され得る。コンピュータ端末２００は、コンピュータ端末１２０ａ，１２０ｂ，１２０ｃのうちの１つか、又はコンピュータネットワーク１００のサーバ１３０に対応し得る。例えば、コンピュータ端末２００は、図６に示すシリアル順に、ステップ６１０，６２０，６３０，６４０，６５０，６６０，６７０，６８０を処理し得る。様々な実施形態において、コンピュータ端末２００は、ステップ６１０，６２０，６３０，６４０，６５０，６６０，６７０，６８０を、異なる順序で、及び／又は並列に処理し得る。
【００７５】
ステップ６１０において、コンピュータ端末２００は、既知の脅威を識別するために、ルールデータベース内のルールを電子メッセージの少なくとも一部に適用する。コンピュータ端末２００は、ルールデータベース内の数百、数千、数万、又はそれ以上のルールを電子メッセージの少なくとも一部に適用して、各ルールが電子メッセージの少なくとも一部と一致するかどうかを識別することにより、脅威ステータス指標を収集する。ルールデータベース内のルールは、各ルールが既知の脅威に対応するため、以前はルール脅威ステータスが割り当てられていた。識別された各マッチングルール及び対応する各ルール脅威ステータスは、脅威ステータス指標に対応する。様々な実施形態において、ルールは、特定の脅威に対応するように手動で生成される。ルールデータベースは、数万又はそれ以上のルールを含み得る。分析者は、新しい脅威が分析されると同時に、ルールを追加し得る。ルールデータベースから既知のルールを適用することは、既知のスパム又は他の脅威を迅速に特定するための良い最初のステップになり得る。ルールデータベースは、事前配信システムで用いられるルールデータベースよりも最新であり得る。
【００７６】
ステップ６２０において、コンピュータ端末２００は、電子メッセージの少なくとも一部をウイルスのためにスキャンする。様々な実施形態において、少なくとも１つの関連づけられたウイルスデータベースを有する１つ以上のウイルスチェッカは、電子メッセージをスキャンし、ウイルスデータベース内のウイルスと一致する場合に脅威ステータス指標を生成するために用いられ得る。識別された各ウイルスは、スキャンの脅威ステータス指標に対応する。
【００７７】
ステップ６３０において、コンピュータ端末２００はＵＲＬ脅威データベースに検索を要求して、電子メッセージ内の各ＵＲＬについて、電子メッセージ内の少なくとも１つのＵＲＬが、少なくとも１つのＵＲＬ脅威データベース内の少なくとも１つのＵＲＬを構成するかどうかを識別する。ＵＲＬ脅威データベース内の各識別されたＵＲＬ及び対応するＵＲＬ脅威ステータスは、ＵＲＬ脅威データベースクエリで要求された脅威ステータス指標に対応する。
【００７８】
ステップ６４０において、コンピュータ端末２００は、少なくとも１つのヘッダがヘッダに関する少なくとも１つのルールに準拠しているかどうかを分析する。例えば、電子メッセージは、１つのメッセージＩＤのみを有するべきである。電子メッセージが１つよりも多いメッセージＩＤを含む場合、その電子メッセージは脅威であり得る。
【００７９】
ステップ６５０において、コンピュータ端末２００は、電子メッセージ内の危険なコマンド又は動作を識別する。例えば、ユーザが電子メッセージを開いたとき、又はユーザが添付ファイルを開いたときにコード又はマクロを実行する電子メッセージは、脅威であり得る。
【００８０】
ステップ６６０において、コンピュータ端末２００は、脅威を探して、電子メッセージの少なくとも一部に含まれるホスト名及びＩＰアドレスを分析する。コンピュータ端末２００は、ＩＰアドレスと、ヘッダからのドメイン名と、電子メッセージの少なくとも一部に含まれるＵＲＬとを抽出する。コンピュータ端末２００は、抽出したドメイン名からＩＰアドレスへ名前解決を行う。コンピュータ端末２００は、各ドメイン名について、登録年数、ドメイン名の評判、難読化を識別する。コンピュータ端末２００は、各ＩＰアドレスについて、ＩＰアドレスの評判とジオロケーションとを特定する。次に、コンピュータ端末２００は、ドメイン名サービス分析の脅威ステータス指標に対応するドメイン名サービス脅威ステータスを決定する。
【００８１】
ステップ６７０において、コンピュータ端末２００は、メッセージフィンガプリントをフィンガプリントデータベース内の複数のフィンガプリントと比較する。フィンガプリントデータベース内のフィンガプリントには、以前はフィンガプリント脅威ステータスが割り当てられていた。識別されたそれぞれの一致するフィンガプリントと、対応するそれぞれのフィンガプリント脅威ステータスは、脅威ステータスインジケータに対応する。メッセージフィンガプリントとの間で行われる一致の種類は、完全一致、包括的一致、類似性ハッシュ一致、及び／又はファジーハッシュ一致である。完全一致において、フィンガプリントは同一である。包括的一致では、一方のフィンガプリントは他方のフィンガプリントのサブセットである。類似性ハッシュマッチとファジーハッシュマッチでは、２つのフィンガプリントの間の距離があるしきい値の範囲内である。
【００８２】
ステップ６８０において、コンピュータ端末２００は、セキュリティサンドボックス内の電子メッセージを脅威のために分析する。メッセージはサンドボックスシステムに送信される。サンドボックスシステムは、仮想マシンとして実装された区画化された計算環境、又は、別個の計算インフラストラクチャであり得る。サンドボックスシステムは、セキュリティ上の欠陥を隔離して監視するように設計されている。メッセージは、実行時の不審な特徴を監視し、既知の特徴のデータベースを比較しながら、そのシステムで有効化される。脅威スコアは、例えば、実行時の不審な特徴及びそれに関連する個々のスコアの合計に基づいて計算される。
【００８３】
本明細書に記載された特許請求の範囲、解釈、又は適用を何ら制限することなく、本明細書に開示された例示的な実施形態の１つ以上の技術的効果は、不審な電子メールメッセージをスクリーニングする容易さ及び効率を向上させることを含み得る。本明細書に記載の特許請求の範囲、解釈、又は適用を何ら制限することなく、本明細書に開示されている例示的な実施形態の１つ以上の技術的効果は、ユーザデバイス上の不審な電子メールメッセージのより効果的な分析を提供することを含み得る。例示的な実施形態の１つ以上の追加の技術的効果は、クローズドループ、高度なフィッシング保護、発生する攻撃の種類に対する可視性、及び攻撃がいつ発生するかに対する可視性を含み得る。
【００８４】
本明細書に記載の要旨の１つ以上の態様又は特徴は、デジタル電子回路、集積回路、特別に設計された特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、コンピュータハードウェア、ファームウェア、ソフトウェア、及び／又はそれらの組み合わせにおいて実現され得る。これらの様々な態様又は特徴は、記憶システム、少なくとも１つの入力デバイス、及び少なくとも１つの出力デバイスからデータ及び指示を受信し、データ及び指示を送信するために結合された、特殊目的又は汎用目的であり得る少なくとも１つのプログラマブルプロセッサを含むプログラマブルシステム上で実行可能及び／又は解釈可能な１つ以上のコンピュータプログラムにおける実装を含み得る。プログラマブルシステム又は計算システムは、クライアント及びサーバを含み得る。クライアント及びサーバは、一般に、互いに遠隔であり、典型的には、通信ネットワークを介して相互に作用する。クライアントとサーバの関係は、それぞれのコンピュータ上で実行され、互いにクライアントとサーバの関係を有するコンピュータプログラムにより生じる。
【００８５】
プログラム、ソフトウェア、ソフトウェアアプリケーション、アプリケーション、コンポーネント、又はコードとも呼ばれ得るこれらのコンピュータプログラムは、プログラマブルプロセッサのための機械命令を含み、高級手続き型言語、オブジェクト志向プログラミング言語、関数型プログラミング言語、論理プログラミング言語、及び／又はアセンブリ／機械言語で実装され得る。本明細書で用いられるに際し、「機械可読媒体」の語は、機械命令及び／又はデータをプログラマブルプロセッサに提供するために用いられる、例えば磁気ディスク、光ディスク、メモリ、プログラマブルロジックデバイス（ＰＬＤ）等の任意のコンピュータプログラム製品、装置、及び／又は装置を指し、機械命令を機械可読信号として受信する機械可読媒体を含む。「機械可読信号」の語は、機械命令及び／又はデータをプログラマブルプロセッサに提供するために用いられる任意の信号を指す。機械可読媒体は、例えば、非一過性のソリッドステートメモリ、磁気ハードドライブ、又は同等の記憶媒体のように、そのような機械命令を非一過的に記憶し得る。機械可読媒体は、代替又は追加で、例えば、１つ以上の物理プロセッサコアに関連付けられたプロセッサキャッシュ又は他のランダムアクセスメモリのような過渡的な方法で、そのような機械命令を格納することができる。
【００８６】
ユーザとのインタラクションを提供するために、本明細書に記載された要旨の１つ以上の態様又は特徴は、ユーザに情報を表示するための例えば陰極線管（ＣＲＴ）又は液晶ディスプレイ（ＬＣＤ）又は発光ダイオード（ＬＥＤ）モニタのような表示装置と、ユーザがコンピュータに入力を提供するためのキーボード及びポインティングデバイス（例えばマウス又はトラックボール）を有するコンピュータ上に実装し得る。他の種類のデバイスも同様に、ユーザとの相互作用を提供するために用いられ得る。例えば、ユーザに提供されるフィードバックは、例えば視覚的フィードバック、聴覚的フィードバック、又は触覚的フィードバックといった感覚フィードバックの任意の形態であってよく、ユーザからの入力は、音響入力、音声入力、又は触覚入力を含む（がこれらに限定されない）任意の形態で受信され得る。他の可能な入力装置は、タッチスクリーン、又は単点・多点の抵抗式若しくは静電容量式のトラックパッド等の他の触覚感応装置、音声認識ハードウェア及びソフトウェア、光スキャナ、光ポインタ、デジタル画像キャプチャ装置及び関連する解釈ソフトウェア等を含む（がこれらに限定されない）。
【００８７】
上述の明細書及び特許請求の範囲において、「少なくとも１つの」又は「１つ以上の」等の語句は、連続する要素又は特徴のリストに続いて出現し得る。また、「及び／又は」という語句は、２つ以上の要素又は特徴のリストの中で出現し得る。用いられる文脈により暗黙的に又は明示的に矛盾しない限り、そのような語句は、列挙された要素又は特徴のいずれかを個別に、又は他の列挙された要素又は特徴のいずれかと組み合わせて示唆された要素又は特徴のいずれかを意味することも意図している。例えば、「Ａ及びＢのうち少なくとも１つ」、「Ａ及びＢの１つ以上」、及び「Ａ及び／又はＢ」のフレーズはそれぞれ、「Ａ単独、Ｂ単独、又はＡ及びＢを同時に」という意味であることが意図されている。同様の解釈は、３つ以上の項目を含むリストについても意図される。例えば、「Ａ、Ｂ及びＣのうち少なくとも１つ」、「Ａ、Ｂ、及びＣのうち１つ以上」、並びに、「Ａ、Ｂ、及び／又はＣ」のフレーズは、それぞれ、「Ａ単独、Ｂ単独、Ｃ単独、Ａ及びＢ、Ａ及びＣ、Ｂ及びＣ、又は、Ａ、Ｂ及びＣ」という意味が意図されている。上記及び特許請求の範囲における「に基づいて」の語の使用は、未記載の特徴又は要素も許容されるように、「少なくとも部分的に基づいて」を意味することが意図されている。
【００８８】
本明細書で用いられるに際し、ファイルへの参照が行われる場合、これはまた、ファイルの少なくとも一部を含み得る。例えば、ファイルが実行される場合、これはまた、ファイルの少なくとも一部を実行することを含み得る。
【００８９】
本明細書に記載の要旨は、所望の構成に応じて、システム、装置、方法、及び／又は物品として具体化され得る。前述の説明に記載の実施形態は、本明細書に記載の要旨に係る全ての実施形態を表していない。むしろ、それらは単に、記載された要旨に関連する態様と一致するいくつかの例に過ぎない。いくつかの変形例が上記で詳細に記載されているが、他の修正又は追加も可能である。特に、本明細書の記載に加えて、さらなる特徴及び／又は変形を提供し得る。例えば、上述の実施形態は、開示された特徴の様々な組み合わせ及びサブコンビネーション、及び／又は上述で開示したいくつかのさらなる特徴の組み合わせ及びサブコンビネーションに向け得る。さらに、添付の図に描かれた論理フロー及び／又は本明細書に記載の論理フローは、望ましい結果を達成するために、必ずしも示された特定の順序、又は逐次的な順序を必要としない。他の実施形態も、以下の特許請求の範囲内にあり得る。
【図１】
2021503142.tif 000003
【図２】
2021503142.tif 000004
【図３Ａ】
2021503142.tif 000005
【図３Ｂ】
2021503142.tif 000006
【図３Ｃ】
2021503142.tif 000007
【図４】
2021503142.tif 000008
【図５Ａ】
2021503142.tif 000009
【図５Ｂ】
2021503142.tif 000010
【図５Ｃ】
2021503142.tif 000011
【図５Ｄ】
2021503142.tif 000012
【図６】
2021503142.tif 000013
【国際調査報告】
2021503142.tif 000014
2021503142.tif 000015