(57)【特許請求の範囲】
【請求項１】
コンピュータに、
メッセージに添付されたファイルデータを特定する添付ファイル情報毎に、該メッセージを特定する特定情報を対応付けて記憶部に記憶し、
前記メッセージの送信先のいずれかから、添付された前記ファイルデータについての危険性がない旨の安全情報を受信したことに応じて、前記記憶部に記憶した、前記安全情報で特定される前記添付ファイル情報を前記記憶部から削除する
処理を実行させる管理プログラム。
【請求項２】
前記コンピュータに、
前記ファイルデータが感染している旨の感染情報を受信したことに応じて、前記記憶部に記憶した、前記感染情報で特定される前記添付ファイル情報に対応付けられた前記特定情報に基づいて前記メッセージを特定し、該メッセージを保持する装置及び該メッセージの送信先に対して、該メッセージの削除を要求する
処理を実行させる請求項１記載の管理プログラム。
【請求項３】
前記コンピュータに、
危険なファイルデータを通知する危険情報を受信したことに応じて、該危険情報で示される該危険なファイルデータの前記添付ファイル情報の特定を、通知元に要求する処理を実行させ、
前記要求に応じて特定された前記添付ファイル情報を指定した前記感染情報を受信することを特徴とする請求項２記載の管理プログラム。
【請求項４】
前記コンピュータに、
前記ファイルデータが危険性がない旨の前記安全情報を受信したことに応じて、前記記憶部に記憶した、前記安全情報で特定される前記添付ファイル情報に対応付けられた前記特定情報に基づいて前記メッセージを特定し、
該メッセージの送信先に対して削除要求を送信して、前記安全情報で特定される前記添付ファイル情報を前記送信先から削除させる
処理を実行させることを特徴とする請求項１乃至３のいずれか一項記載の管理プログラム。
【請求項５】
コンピュータが、
メッセージに添付されたファイルデータを特定する添付ファイル情報毎に、該メッセージを特定する特定情報を対応付けて記憶部に記憶し、
前記メッセージの送信先のいずれかから、添付された前記ファイルデータについての危険性がない旨の安全情報を受信したことに応じて、前記記憶部に記憶した、前記安全情報で特定される前記添付ファイル情報を前記記憶部から削除する
処理を行う管理方法。
【請求項６】
メッセージに添付されたファイルデータを特定する添付ファイル情報毎に、該メッセージを特定する特定情報を対応付けて記憶部に記憶する対応付け部と、
前記メッセージの送信先のいずれかから、添付された前記ファイルデータについての危険性がない旨の安全情報を受信したことに応じて、前記記憶部に記憶した、前記安全情報で特定される前記添付ファイル情報を前記記憶部から削除する削除部と
を有する情報処理装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、管理プログラム、管理方法、及び管理装置に関する。
【背景技術】
【０００２】
近年、マルウェアの携帯は多種に渡り、かつ、その仕組みを巧妙に変化させている。電子メール（単に、「メール」と言う場合がある）等により進入した様々なマルウェアが企業等のシステムに脅威を与えている。マルウェアそのものを検出することに加えて、マルウェアが進入した経路を特定することが重要である。
【０００３】
電子メール本文、電子メールのヘッダ情報等と、添付ファイルとを関連付けて管理する技術を利用することで、添付ファイルがマルウェアに感染していた場合には、電子メール本文等の電子メールの情報から感染経路を調査できる可能性がある。また、メールサーバにおいて、予め添付ファイルの感染を検出する技術等が知られている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００５−１６６０３９号公報
【特許文献２】国際公開第２００５／３６４０９号パンフレット
【特許文献３】特表２０１４−５１３８３４号公報
【特許文献４】特表２００１−５００２９５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
電子メールの添付ファイルによるマルウェアの検出は、上述した技術によりメールサーバでも行うことが可能である。しかしながら、マルウェアの検出のために、電子メールの配信が遅延するようでは、企業等において業務に支障を来す。
【０００６】
特に、特定の日時に動作するマルウェア（所謂、ゼロデイ攻撃）の場合、特定の日時まで、電子メール配信を停止しておくということは運用上現実的ではない。そもそも、その特定の日時を知り得ない場合がある。
【０００７】
また、近年、配信される電子メール数は増加の一途であり、その数は膨大である。一方で、甚大な被害をもたらすマルウェアに感染した電子メール数は、配信する電子メールの全体数と比して、ほんの僅かな数の配信である。
【０００８】
したがって、１つの側面では、本発明は、感染元の電子メールを効率的に特定することを目的とする。
【課題を解決するための手段】
【０００９】
一態様によれば、コンピュータに、メッセージに添付されたファイルデータを特定する添付ファイル情報毎に、該メッセージを特定する特定情報を対応付けて記憶部に記憶し、前記メッセージの送信先のいずれかから、添付された前記ファイルデータについての危険性がない旨の安全情報を受信したことに応じて、前記記憶部に記憶した、前記安全情報で特定される前記添付ファイル情報を前記記憶部から削除する処理を実行させる管理プログラムが提供される。
【００１０】
また、上記課題を解決するための手段として、管理方法、及び情報処理装置とすることもできる。
【発明の効果】
【００１１】
感染元の電子メールを効率的に特定することができる。
【図面の簡単な説明】
【００１２】
【図１】既存の手法による感染源ファイルを特定する例を説明するための図である。
【図２】本実施例におけるシステム構成図を示す図である。
【図３】対応付け管理サーバのハードウェア構成を示す図である。
【図４】添付ファイル情報格納処理（図２のステップＡ）を説明するためのフローチャート図である。
【図５】添付ファイル取り出し監視処理（図２のステップＢ）を説明するためのフローチャート図である。
【図６】感染源メール特定処理（図２のステップＣ）を説明するためのフローチャート図である。
【図７】不要情報削除処理（図２のステップＤ）を説明するためのフローチャート図である。
【図８】感染源メール対処処理（図２のステップＥ）を説明するためのフローチャート図である。
【図９】本実施例におけるシステムの機能構成例を示す図である。
【図１０】対応付け情報蓄積ＤＢのデータ構成例を示す図である。
【図１１】エージェントＤＢのデータ構成例を示す図である。
【図１２】マルウェア情報のデータ構成例を示す図である。
【図１３】メール情報保管ＤＢのデータ構成例を示す図である。
【図１４】図４の添付ファイル情報格納処理（ステップＡ）を詳述するためのフローチャート図である。
【図１５】図５の添付ファイル取り出し監視処理（ステップＢ）を詳述するためのフローチャート図である。
【図１６】図６の感染源メール特定処理（ステップＣ）を詳述するためのフローチャート図である。
【図１７】図７の不要情報削除処理（ステップＤ）を詳述するためのフローチャート図である。
【図１８】図８の感染源メール対処処理（ステップＥ）を詳述するためのフローチャート図である。
【発明を実施するための形態】
【００１３】
以下、本発明の実施の形態を図面に基づいて説明する。先ず、マルウェアによる感染源ファイルを特定する既存の手法（Ｉ）、（ＩＩ）、（ＩＩＩ）について説明する。
（Ｉ）メールサーバが、仮想的環境で、電子メールの各添付ファイルを実行し、その結果、マルウェアの存在が確認されなかった場合に、電子メールを配信する。
（ＩＩ）利用者端末において、ファイルの格納、実行に応じて、マルウェアを検出するエンドポイント型センサにより、マルウェアが検出された場合、隔離、削除等の検疫を実行する。
（ＩＩＩ）ファイル、プロセス等の追跡システムにより、検出されたマルウェアのファイル名から生成元のプログラム名、ファイル名を追跡して感染源ファイルを特定する。
【００１４】
図１は、既存の手法による感染源ファイルを特定する例を説明するための図である。図１において、メールサーバ３００は、複数の電子メール３を蓄積し、利用者端末５００からのダウンロード要求に応じて、電子メール３が利用者端末５００にダウンロードされる。この際に、マルウェア９３ｗに感染した感染源メール９ａがダウンロードされてしまう場合がある。
【００１５】
メールサーバ３００は、上述した手法（Ｉ）を用いて、仮想的環境で、各電子メール３の添付ファイルを実行し、マルウェアの存在を確認する。しかしながら、メールサーバ３００は、ゼロデイ攻撃のマルウェアの場合には、即時にマルウェアを検出できない。また、ゼロデイ攻撃のマルウェアの存在を前提としてしまうと、電子メール３をいつまでたっても配信できない。
【００１６】
従って、運用上は、メールサーバ３００が電子メール３を受信に応じて行った検証においてマルウェアが検出されなかった場合は、電子メール３は、配信可能な状態となる。従って、配信可能な電子メール３には感染源メール９ａが含まれる可能性がある。利用者端末５００は、メールサーバ３００にアクセスし、配信可能となった電子メール３から感染源メール９ａをダウンロードしてしまった場合について説明する。
【００１７】
利用者端末５００において、利用者がメールソフト５１０を用いて、メールサーバ３００に接続し、配信可能な電子メール３の中から安全な電子メール３として感染源メール９ａをダウンロードする。
【００１８】
ダウンロードされた感染源メール９ａの添付ファイルである感染源ファイル９１ｅが、利用者によって実行される。感染源ファイル９１ｅは、文書データ、表計算データ、プレゼンテーションデータ、イメージファイル等の対応するアプリケーションにより実行されるファイル、又は、プログラムの実行ファイルそのものであってもよい。
【００１９】
感染源ファイル９１ｅは、利用者端末５００の利用者の操作により、１回目の実行が行われる。感染源ファイル９１ｅは実行されると、更に、別のファイル９２ｅを生成し、そのファイル９２ｅが実行される。そして、ファイル９２ｅは、更に、別のファイル（マルウェア９３ｗ）を生成し、実行する。
【００２０】
利用者端末５００では、エンドポイント型センサ等によるマルウェア検出部５１３により、マルウェア５３ｗが検出され、マルウェア５３ｗの隔離又は削除等の検疫が実行される。その後、マルウェア３９ｗのプロセス名、ファイル等が管理者へ通知される。マルウェア検出部５１３は、生成経路追跡部５１５へもマルウェア３９ｗのプロセス名、ファイル等を通知する。
【００２１】
マルウェア検出部５１３からのマルウェア検出通知により、生成経路追跡部５１５は、マルウェア検出部５１３が検出したマルウェア５３ｗの生成元を追跡する。即ち、マルウェア５３ｗを生成したプロフラムファイル９２ｅを特定し、プロフラムファイル９２ｅを生成した感染源ファイル９１ｅを特定する。生成経路追跡部５１５は、更に、感染源ファイル９１ｅがメールソフト５１０によってダウンロードされたことを突き止める。
【００２２】
感染源ファイル９１ｅを生成したファイルは存在しないため、感染源ファイル９１ｅが大元であると特定する。また、マルウェア検出部５１３は、メールソフト５１０により取り出されたことまでを特定する。
【００２３】
しかしながら、生成経路追跡部５１５は、マルウェア５３ｗの生成元を辿ることができても、感染源ファイル９１ｅが取り出された感染源メール９ａを複数の電子メール３の中から特定することができない。そのため、感染源ファイル９１ｅが利用者端末５００に存在することになった原因を知ることができない。具体的には、どの電子メール３から取り出されたのかを突き詰めることができない。
【００２４】
上記において、生成経路追跡部５１５は、マルウェア検出部５１３の機能の一部であってもよい。
【００２５】
マルウェア９３ｗは、利用者端末５００がメールサーバ３００から受信した感染源メール９ａから利用者端末５００で発病した例で説明したが、外部記憶媒体を介して、他の利用者の利用者端末５００から受信した感染源ファイル９１ｅを取得したことで、マルウェア９３ｗが活性化される場合もある。その場合には、より一層、感染源となった、感染源メール９ａを特定することが困難となる。
【００２６】
感染源である感染源メール９ａを特定するためには、感染源ファイル９１ｅの内容をもとに、メッセージＩＤを対応付けて管理することが考えられる。ファイル名での判定の場合、利用者がファイル名を変更して取り出したり、"setup.exe"などのような特徴のないファイル名の場合には特定が難しくなってしまう。
【００２７】
本実施例では、利用者端末５００にダウンロードされる電子メール３のファイル名と添付ファイルのファイル情報とを記録することで、メッセージＩＤを特定可能である。メッセージＩＤを用いることでメールサーバ３００で保持されている感染源メール９ａに対して対処可能とする。
【００２８】
しかしながら、感染源メール９ａの数は、安全に受信可能な電子メール３の数に比して、非常に少ない。全ての電子メール３に対して、メッセージＩＤを蓄積保存することは、ハードウェアリソースの観点において、好ましくない。
【００２９】
従って、本実施例では、更に、蓄積したメッセージＩＤに関して、セキュリティ脅威（単に、「脅威」と言う）を検出しなかった場合に、該当する電子メール３とメッセージＩＤとの対応付けた情報を削除することで、感染源メール９ａを特定するために保持し管理する情報量を大幅に小さくする。本実施例では、脅威を検出しなかった結果を得た場合、「安全」であると判断する。
【００３０】
図２は、本実施例におけるシステム構成図を示す図である。図２に示すシステム１０００は、ＦＷ（Fire Wall）３と、ＳＭＴＰ（Simple Mail Transfer Protocol）サーバ１００と、メールサーバ３００と、対応付け管理サーバ４００と、利用者端末５００、脅威レポート管理サーバ６００とを有する。
【００３１】
ＦＷ（Fire Wall）３は、インターネット２からの攻撃からメール配信に係るネットワークを保護する装置である。ＳＭＴＰサーバ１００は、電子メール３を送信するサーバである。メールサーバ３００は、送受信する電子メール３を保管するサーバである。
【００３２】
対応付け管理サーバ４００は、メールサーバ３００で受信した電子メール３の添付ファイル情報とメッセージＩＤとの対応付けをして管理するサーバである。マルウェアの驚異の検出通知を受信すると、特定されたマルウェアの感染源ファイル９１ｅに基づいて、感染源ファイル９１ｅを添付していた感染源メール９ａを特定し、メールサーバ３００に、保持している感染源メール９ａの削除を要求する。
【００３３】
利用者端末５００は、スタンドアロン型、ノートブック、タブレット等のＰＣ（Personal Computer）であり、利用者によって、少なくとも電子メール３を受信するために利用される端末である。
【００３４】
脅威レポート管理サーバ６００は、利用者端末５００のマルウェア検出部５１３が脅威を検出した旨の通知を受信し、対応付け管理サーバ４００へと通知する。対応付け管理サーバ４００は、マルウェアの情報を記憶する。
【００３５】
本実施例では、脅威の検出通知は、メールサーバ３００へも通知され、メールサーバ３００は、保持している電子メール３の中から、脅威が検出された感染源メール９ａを削除する。感染源メール９ａが削除されることで、感染源メール９ａの転送等による拡散を防止することができる。
【００３６】
また、本実施例では、マルウェア検出部５１３によって脅威なしの検出結果を得られた情報を対応付け管理サーバ４００に通知することで、脅威なしのメッセージＩＤに係る情報を削除する。そのため、対応付け管理サーバ４００による感染源ファイル９１ｅが添付された感染源メール９ａを特定するための情報量を削減することができる。
【００３７】
感染源ファイル９１ｅが添付されていた感染源メール９ａを特定するための情報管理を担う対応付け管理サーバ４００は、図３に示すようなハードウェア構成を有する。
【００３８】
図３は、対応付け管理サーバのハードウェア構成を示す図である。図３において、対応付け管理サーバ４００は、コンピュータによって制御される情報処理装置であって、ＣＰＵ（Central Processing Unit）１１と、主記憶装置１２と、補助記憶装置１３と、入力装置１４と、表示装置１５と、通信Ｉ／Ｆ（インターフェース）１７と、ドライブ装置１８とを有し、バスＢに接続される。
【００３９】
ＣＰＵ１１は、主記憶装置１２に格納されたプログラムに従って対応付け管理サーバ４００を制御するプロセッサに相当する。主記憶装置１２には、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等が用いられ、ＣＰＵ１１にて実行されるプログラム、ＣＰＵ１１での処理に必要なデータ、ＣＰＵ１１での処理にて得られたデータ等を記憶又は一時保存する。
【００４０】
補助記憶装置１３には、ＨＤＤ（Hard Disk Drive）等が用いられ、各種処理を実行するためのプログラム等のデータを格納する。補助記憶装置１３に格納されているプログラムの一部が主記憶装置１２にロードされ、ＣＰＵ１１に実行されることによって、各種処理が実現される。記憶部１３０は、主記憶装置１２及び補助記憶装置１３に相当する。
【００４１】
入力装置１４は、マウス、キーボード等を有し、管理者が対応付け管理サーバ４００による処理に必要な各種情報を入力するために用いられる。表示装置１５は、ＣＰＵ１１の制御のもとに必要な各種情報を表示する。入力装置１４と表示装置１５とは、一体化したタッチパネル等によるユーザインタフェースであってもよい。通信Ｉ／Ｆ１７は、有線又は無線などのネットワークを通じて通信を行う。通信Ｉ／Ｆ１７による通信は無線又は有線に限定されるものではない。 
対応付け管理サーバ４００によって行われる処理を実現するプログラムは、例えば、ＣＤ−ＲＯＭ（Compact Disc Read-Only Memory）等の記憶媒体１９によって対応付け管理サーバ４００に提供される。
【００４２】
ドライブ装置１８は、ドライブ装置１８にセットされた記憶媒体１９（例えば、ＣＤ−ＲＯＭ等）と対応付け管理サーバ４００とのインターフェースを行う。
【００４３】
また、記憶媒体１９に、後述される本実施の形態に係る種々の処理を実現するプログラムを格納し、この記憶媒体１９に格納されたプログラムは、ドライブ装置１８を介して対応付け管理サーバ４００にインストールされる。インストールされたプログラムは、対応付け管理サーバ４００により実行可能となる。
【００４４】
尚、プログラムを格納する記憶媒体１９はＣＤ−ＲＯＭに限定されず、コンピュータが読み取り可能な、構造（structure）を有する１つ以上の非一時的（non-transitory）な、有形（tangible）な媒体であればよい。コンピュータ読取可能な記憶媒体として、ＣＤ−ＲＯＭの他に、ＤＶＤディスク、ＵＳＢメモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリであっても良い。
【００４５】
ＳＭＴＰサーバ１００、メールサーバ３００、利用者端末５００、及び脅威レポート管理サーバ６００等も同様のハードウェア構成を有するコンピュータであるため、その説明を省略する。
【００４６】
図２のシステム１０００における、主な処理は、以下の通りである。
−添付ファイル情報格納処理    （ステップＡ）
−添付ファイル取り出し監視処理（ステップＢ）
−感染源メール特定処理        （ステップＣ）
−不要情報削除処理            （ステップＤ）
−感染源メール対処処理        （ステップＥ）
これら各処理についてフローチャート図で説明する。
【００４７】
図４は、添付ファイル情報格納処理（図２のステップＡ）を説明するためのフローチャート図である。添付ファイル情報格納処理（ステップＡ）は、ＳＭＴＰサーバ１００とメールサーバ３００との間に設けられたコンピュータの常駐プログラムとして動作し、電子メール３が中継される毎に実行される。又は、メールサーバ３００の受信側の処理の一部として組み込まれていてもよい。
【００４８】
図４より、添付ファイル情報格納処理（ステップＡ）において、ＳＭＴＰサーバ１００から、リレーされた電子メール３を受信すると（ステップＳ１１）、受信した電子メール３から添付ファイルを取り出し（ステップＳ１２）、添付ファイル情報を対応付け管理サーバ４００へ送信して格納させた後（ステップＳ１３）、電子メール３をメールサーバ３００へリレーする（ステップＳ１４）。添付ファイル情報格納処理（ステップＡ）は、電子メール３を受信する毎に終了する。
【００４９】
添付ファイル情報格納処理（ステップＡ）において、添付ファイル情報は、電子メール３を特定するメッセージＩＤと対応付けられて、対応付け管理サーバ４００の対応付け情報蓄積ＤＢ４６０（図１０）で蓄積され管理される。添付ファイル情報は、添付ファイルを圧縮した内容である。
【００５０】
図５は、添付ファイル取り出し監視処理（図２のステップＢ）を説明するためのフローチャート図である。添付ファイル取り出し監視処理（ステップＢ）は、利用者端末５００の常駐プログラムとして動作し、メールソフト５１０によるファイル生成を監視する処理である。
【００５１】
図５において、利用者端末５００において、メールソフト５１０によって電子メール３から添付ファイルが取り出されることによってファイルが生成されるのを監視する（ステップＳ２１）。
【００５２】
利用者端末５００において、メールソフト５１０が生成したファイルが読み込み（ステップＳ２２）、読み込んだファイルの内容を示すファイル情報を利用者端末５００内の記憶部に格納する（ステップＳ２３）。ファイル情報は、添付ファイルを圧縮した内容であり、ダウンロードされた日時、格納先等と共に、利用者端末５００内に保持される。
【００５３】
ファイル情報の格納後、ファイル生成の監視へ戻り（ステップＳ２４）、生成された次のファイルに対して、上記同様の処理を繰り返す。
【００５４】
図６は、感染源メール特定処理（図２のステップＣ）を説明するためのフローチャート図である。感染源メール特定処理（ステップＣ）は、利用者端末５００と、対応付け管理サーバ４００とにおいて行われる処理である。
【００５５】
図６において、マルウェア検出部５１３がマルウェア９３ｗを検出することでマルウェア情報を取得する（ステップＳ３１）。マルウェア９３ｗの検出に応じて、生成経路追跡部５１５がマルウェア情報に基づいて、マルウェア９３ｗのファイルの生成元を辿ることで追跡し、感染源ファイル９１ｅを特定する（ステップＳ３２）。
【００５６】
感染源ファイル９１ｅのファイル情報（「感染源ファイル情報」と言う場合がある）が取得され（ステップＳ３３）、感染源ファイル情報は、対応付け管理サーバ４００へ通知される。
【００５７】
対応付け管理サーバ４００では、通知された感染源ファイル情報と、自装置で保持している電子メール３の添付ファイルのファイル情報（「添付ファイル情報」と言う場合がある）とを突き合わせて、感染元の電子メール３を特定する（ステップＳ３４）。
【００５８】
図７は、不要情報削除処理（図２のステップＤ）を説明するためのフローチャート図である。不要情報削除処理（ステップＤ）は、１日１回などの定期的なバックグラウンド処理として行われ、対応付け管理サーバ４００に蓄積された脅威なしと判断されたファイル情報が削除される。図７において、利用者端末５００は、定期的間隔で動作開始する（ステップＳ４１）。生成経路追跡部５１５は、メールソフト５１０が生成したファイルを追跡する（ステップＳ４２）。
【００５９】
追跡して得られた、生成ファイルと、派生ファイルとを、マルウェア検出部５１３による検知結果と突き合わせて（ステップＳ４３）、生成ファイルと、派生ファイルとに脅威がなければ、対応付け管理サーバ４００に、「脅威なし」を通知する（ステップＳ４４）。添付ファイル情報が通知される。
【００６０】
対応付け管理サーバは、生成ファイルと一致する添付ファイルの電子メールの受信者へ危険性のない旨を通知して、添付ファイル情報をデータベースから削除する（ステップＳ４５）。そして、不要情報削除処理は終了する。
【００６１】
図８は、感染源メール対処処理（図２のステップＥ）を説明するためのフローチャート図である。感染源メール対処処理（ステップＥ）は、感染源メール９ａが特定される毎に、対応付け管理サーバ４００によって実行される。
【００６２】
図８において、対応付け管理サーバ４００は、感染源メール９ａのメッセージＩＤを取得する（ステップＳ５１）。複数のメッセージＩＤを取得する場合がある。対応付け管理サーバ４００は、メッセージＩＤから得られる内容と一致するファイルを添付した電子メール３の情報を、メールサーバ３００から取得する（ステップＳ５２）。
【００６３】
メッセージＩＤから得られる内容と一致するファイルを添付した電子メール３を、「対象電子メール」と言い、その電子メール３の情報を「メール情報」と言う。
【００６４】
対応付け管理サーバ４００は、取得したメール情報に基づいて、メールサーバ３００に対して対象電子メールの削除を要求し、また、対象電子メールの受信元等へと注意喚起を行う（ステップＳ５４）。受信元へは、電子メールで注意喚起内容を知らせてもよい。
【００６５】
対応付け管理サーバ４００は、全ての対象メールを処理したか否かを判断する（ステップＳ５４）。未処理の対象メールがある場合（ステップＳ５４のＮＯ）、対応付け管理サーバ４００は、ステップＳ５２へと戻り、上述同様の処理を繰り返す。一方、未処理の対象メールがある場合（ステップＳ５４のＹＥＳ）、対応付け管理サーバ４００は、この感染源メール対処処理を終了する。
【００６６】
次に、システム１０００における機能構成例を説明する。図９は、本実施例におけるシステムの機能構成例を示す図である。
【００６７】
図９の説明において、感染源メール９ａを含めて、総称して電子メール３という場合がある。図９に示すシステム１０００において、本実施例では、ＳＭＴＰサーバ１００とメールサーバ３００の途中経路に添付ファイル管理部３３０が設けられる。
【００６８】
添付ファイル管理部３３０における処理は、プラグインプログラムによって実現され、添付ファイル情報取得部３５０を有する。添付ファイル情報取得部３５０は、電子メール３に添付されている添付ファイル２ｆの情報（添付ファイル情報）を取得する。添付ファイル管理部３３０は、添付ファイル情報取得部３５０が取得した添付ファイル情報と、電子メール３を特定するメッセージＩＤとを含む対応付け情報７ａを対応付け管理サーバ４００に送信し、保持させる。
【００６９】
添付ファイル情報は、一例として、ハッシュ関数を用いて、添付ファイル２ｆの内容を要約化した値である。メッセージＩＤは、一例として、送信者が利用したメールサーバで付与した値を示し、送信者のメールアドレスの一部を示す情報である。
【００７０】
利用者端末５００は、メールソフト５１０と、マルウェア検出部５１３と、生成経路追跡部５１５と、エージェント５３０とを有する。利用者端末５００は、また、エージェントＤＢ５４０を記憶部に有する。
【００７１】
メールソフト５１０は、電子メール３の送受信等を含む種々の機能を提供するソフトウェアである。
【００７２】
マルウェア検出部５１３は、利用者が利用者端末５００に対して行う操作（振る舞い）から、脅威を検出する。マルウェア検出部５１３は、利用者の操作によって、メールソフト５１０が電子メール３から添付ファイル２ｆを取り出して実行すると、実行に応じて生成されたファイルの動作を監視する。マルウェア検出部５１３は、マルウェア９３ｗが生成されると、マルウェア９３ｗの生成を検出する。
【００７３】
検出結果は、結果ログ５１４に蓄積される。マルウェア検出部５１３の一例として、エンドポイント型センサと呼ばれるソフトウェアが利用される。マルウェア検出部５１３によって検出した脅威の情報（マルウェア情報）９ｍは、脅威レポート管理サーバ６００に集約される。結果ログ５１４には、ファイル名又はフルパス名、検出結果等の情報が、プログラムファイルが生成される毎に蓄積される。
【００７４】
生成経路追跡部５１５は、エージェント５３０からの関数呼び出しにより実行され、エージェントＤＢを参照して、マルウェア９３ｗが生成されるまでの経路を追跡し、感染源ファイル９１ｅを特定する。
【００７５】
エージェント５３０は、マルウェア検出部５１３の結果ログ５１４を参照し、「脅威なし」を示すファイルに係る情報を削除する。エージェント５３０は、更に、取出し監視部５３２と、ファイル情報取得部５３４とを有する。
【００７６】
取出し監視部５３２は、メールソフト５１０が書き出したファイルを検出する。ファイル情報取得部５３４は、取出し監視部５３２によって検出したファイルの内容に基づいて、ファイル情報を作成し、ファイル名と、作成したファイル情報等をエージェントＤＢ５４０に格納する。
【００７７】
エージェントＤＢ５４０は、メールソフト５１０から書き出されたファイルに関する情報を記憶し管理するデータベースであり、少なくとも、書き出された各ファイルの、ファイル名、ファイル情報等を記憶する。
【００７８】
対応付け管理サーバ４００は、メールサーバ３００の添付ファイル管理部３３０から受信した電子メール３から得た対応付け情報７ａを蓄積して記憶し、利用者端末５００から受信する情報に応じて、蓄積した対応付け情報７ａから感染源メール９ａを特定、又は、蓄積した対応付け情報７ａを削除する。
【００７９】
対応付け管理サーバ４００は、対応付け情報受信部４１０と、対応付け情報削除部４３０と、メッセージＩＤ特定部４５０と、感染源ファイル特定部４７０とを有する。対応付け管理サーバ４００は、対応付け情報蓄積ＤＢ４６０、マルウェア情報ＤＢ４９０等を記憶部１３０に記憶する。
【００８０】
対応付け情報受信部４１０は、添付ファイル管理部３３０から対応付け情報７ａを受信すると、対応付け情報蓄積ＤＢ４６０にレコードを追加して記憶する。
【００８１】
対応付け情報削除部４３０は、利用者端末５００から安全なファイル情報８ａを受信すると、対応付け情報蓄積ＤＢ４６０から、安全なファイル情報８ａと一致する添付ファイル情報を記憶したレコードを削除する。
【００８２】
メッセージＩＤ特定部４５０は、利用者端末５００から感染源ファイル情報８ｂを受信すると、感染源ファイル情報８ｂと一致する添付ファイル情報を記憶したレコードからメッセージＩＤを特定し、特定したメッセージＩＤを用いて、メールサーバ３００が保持する感染源メール９ａを削除する。
【００８３】
感染源ファイル特定部４７０は、脅威レポート管理サーバ６００からマルウェア情報９ｍを受信すると、マルウェア情報ＤＢ４９０にレコードを追加して記憶し、受信したマルウェア情報９ｍを利用者端末５００に通知する。特定された感染源ファイル９１ｅに関する感染源ファイル情報８ｂがメッセージＩＤ特定部４５０に通知される。
【００８４】
上述した機能構成における全体動作について、図９で説明する。
・電子メールの受信
＜１＞  感染源メール９ａを含む複数の電子メール３をＳＭＴＰサーバ１００が受信する。
【００８５】
＜２＞  ＳＭＴＰサーバ１００は、メールサーバ３００へ電子メール３をリレーする。
【００８６】
＜３＞  添付ファイル管理部３３０は、ＳＭＴＰサーバ１００とメールサーバ３００の途中経路で電子メール３から添付ファイル２ｆを取り出し、添付ファイル情報取得部３５０によって、添付ファイル２ｆのファイル情報（添付ファイル情報）を取得する。
【００８７】
＜４＞  添付ファイル管理部３３０は、添付ファイル情報と、メッセージＩＤとを示す対応付け情報７ａを対応付け管理サーバ４００に送信する。
【００８８】
＜５＞  対応付け管理サーバ４００では、対応付け情報受信部４１０が、受信した対応付け情報７ａを対応付け情報蓄積部４６０にレコードを追加して記憶する。
【００８９】
＜６＞  利用者端末５００は、メールソフト５１０によって電子メール３を受信する。メールソフト５１０は、利用者の添付ファイル２ｆの取り出し操作、又は、添付ファイル実行操作により添付ファイル２ｆをダウンロードする。
【００９０】
＜７＞  エージェント５３０は、取り出し監視部５３２により、利用者による添付ファイル２ｆの取り出し操作を監視し、少なくとも、取り出された添付ファイル２ｆのファイル名と、ファイル情報とをエージェントＤＢ５４０に保管する。ファイル名と、ファイル情報とは、ファイル情報取得部５３４によって取得される。
【００９１】
電子メール３から取り出された最初のファイルのファイル情報は、添付ファイル管理部３３０の添付ファイル情報取得部３５０が取得した添付ファイル情報と一致する。
【００９２】
＜８＞  利用者が添付ファイル２ｆを実行する。
【００９３】
＜９＞  マルウェア検出部５１３は、実行した添付ファイル２ｆに係るプログラムの動作を監視する。
・脅威なしの場合
＜１０＞  実行したプログラムが問題なく終了し、マルウェア検出部５１３は「脅威ない」と判断する。
【００９４】
＜１１＞  エージェント５３０は、マルウェア検出部５１３の結果ログ５１４を参照し、「脅威なし」の結果を「安全」なファイルと判断する。
【００９５】
＜１２＞  エージェント５３０は、生成経路追跡部５１５を利用して、マルウェア検出部５１３が「脅威なし」と判断した添付ファイル２ｆの生成元ファイルを特定する。
【００９６】
＜１３＞  エージェント５３０は、「脅威なし」と判断し添付ファイル２ｆの生成元ファイルの情報をエージェントＤＢ５４０に、「安全」を示す検出結果と共に格納する。
【００９７】
＜１４＞  エージェント５３０は、１日１回などのタイミングで、「安全」と判断されたファイル情報を安全なファイル情報８ａとして対応付け管理サーバ４００に送信し、送信した安全なファイル情報８ａのレコードをエージェントＤＢ５４０から削除する。
【００９８】
＜１５＞  対応付け管理サーバ４００は、利用者端末５００から受信した安全なファイル情報８ａと一致する添付ファイル情報のレコードを対応付け情報蓄積ＤＢ４６０から削除する。
・脅威ありの場合
＜２１＞  マルウェア検出部５１３は、実行したプログラムの動作を監視し、マルウェア９３ｗを検出する。
【００９９】
＜２２＞  マルウェア検出部５１３は、マルウェアの情報（マルウェア情報９ｍ）を脅威レポート管理サーバ６００へ通知する。
【０１００】
＜２３＞  脅威レポート管理サーバ６００は、マルウェア情報９ｍを対応付け管理サーバ４００へ送信する。
【０１０１】
＜２４＞  対応付け管理サーバ４００は、マルウェア情報ＤＢ４９０にレコードを追加して受信したマルウェア情報９ｍを記憶する。
【０１０２】
＜２５＞  対応付け管理サーバ４００は、利用者端末５００のエージェント５３０に、マルウェア検出部５１３から受信したマルウェア情報９ｍを送信して、感染源ファイル９１ｅの特定を要求する。
【０１０３】
＜２６＞  エージェント５３０は、マルウェア情報９ｍからマルウェアのファイル名を取り出して、生成経路追跡部５１を用いて、感染源ファイル９１ｅを特定する。
【０１０４】
＜２７＞  エージェント５３０は、感染源ファイル９１ｅのファイル情報をエージェントＤＢ５４０から取得して、対応付け管理サーバ４００へ感染源ファイル情報８ｂとして送信する。
【０１０５】
＜２８＞  対応付け管理サーバ４００では、メッセージＩＤ特定部４５０が、対応付け情報蓄積ＤＢ４６０から、感染源ファイル情報８ｂと一致する添付ファイル情報を検索し、一致したレコードから１以上のメッセージＩＤを取得する。
【０１０６】
＜２９＞  メッセージＩＤ特定部４５０は、メールサーバ３００に対して、取得したメッセージＩＤを送信して、感染源メール９ａを含む感染源の候補となる電子メール３の削除を依頼するとともに、疑わしい電子メール３をダウンロードした利用者へ注意喚起（ダウンロードファイルの削除等）するよう通知する。
【０１０７】
＜３０＞  対応付け情報蓄積ＤＢ４６０から検索した添付ファイル情報に、複数のメッセージＩＤが存在する場合、全てのメッセージＩＤの電子メール３に対して、削除依頼及び注意喚起を行う。感染源メール９ａ以外に、同一の内容の添付ファイル２ｆが別のメールへ別のファイル名で添付された場合等では、複数のメッセージＩＤが存在する場合がある。このような場合において削除依頼及び注意喚起を行うことで、感染した添付ファイル２ｆが実行される前の疑わしい電子メール３に対して事前に対処できる。
【０１０８】
次に、種々のＤＢ及び情報のデータ構成例について説明する。図１０は、対応付け情報蓄積ＤＢのデータ構成例を示す図である。図１０において、対応付け情報蓄積ＤＢ４６０は、添付ファイル情報を蓄積し、添付ファイル情報毎に、メッセージＩＤを対応付けて記憶し管理するデータベースであり、添付ファイル情報、複数のメッセージＩＤ等の項目を有する。
【０１０９】
添付ファイル情報の項目には、対応付け情報７ａに含まれていた添付ファイル情報が記憶される。メッセージＩＤの項目には、対応付け情報７ａに含まれていたメッセージＩＤが記憶される。メッセージＩＤは、送信者の電子メールアドレスの一部又は全部を示す。メッセージＩＤとして、少なくとも「ユーザ名＠ドメイン名」までを記憶する。
【０１１０】
対応付け情報受信部４１０は、対応付け情報７ａを添付ファイル管理部３３０から受信すると、対応付け情報７ａに含まれる添付ファイル情報で、対応付け情報蓄積ＤＢ４６０を検索し、一致するレコードに、対応付け情報７ａで示されるメッセージＩＤが存在しなければ、そのメッセージＩＤを追加する。
【０１１１】
一致するレコードが存在しない場合、対応付け情報受信部４１０は、レコードを追加し、受信した対応付け情報７ａの添付ファイル情報とメッセージＩＤとを記憶する。
【０１１２】
図１０のデータ構成例では、添付ファイル情報「Fsad#%321」に対して、１つのメッセージＩＤ「avc@dimain24」が対応付けられている。また、添付ファイル情報「eGr6wea%t5#$」に対して、１つのメッセージＩＤ「arw@dimain24」が対応付けられている。更に、添付ファイル情報「Fasdr4$Y3」に対して、２つのメッセージＩＤ「arw@dimain24」、「arw@dimain25」が対応付けられている。他のレコードについても同様である。
【０１１３】
マルウェア９３ｗの感染源の添付ファイル２ｆのファイル情報が添付ファイル情報「eGr6wea%t5#$」であった場合、対応付け管理サーバ４００は、「eGr6wea%t5#$」を示す感染源ファイル情報８ｂを受信する。
【０１１４】
メッセージＩＤ特定部４５０は、受信した感染源ファイル情報８ｂと一致する添付ファイル情報「eGr6wea%t5#$」のレコードから、メッセージＩＤ「arw@dimain24」を取得する。取得したメッセージＩＤ「arw@dimain24」をメールサーバ３００に送信することで感染源メール９ａを特定し、メールサーバ３００に削除を依頼する。
【０１１５】
また、メッセージＩＤ特定部４５０は、特定した感染源メール９ａの受信者に対して、注意喚起のメッセージを電子メール等により通知する。
【０１１６】
図１１は、エージェントＤＢのデータ構成例を示す図である。図１１において、エージェントＤＢ５４０は、時系列に生成されたファイルに係る情報を記憶するデータベースであり、生成日時、ファイル名、ファイル情報、検出結果等の項目を有する。
【０１１７】
生成日時は、ファイルが生成された日時を示す。生成日時は、必須ではなく、省略可能である。ファイル名は、少なくとも、生成されたファイル名を含む情報を示す。格納場所を示す、ファイル名までを含めたディレクトリ、ＵＲＬ（Uniform Resource Locator）等であればよくフルパス名でよい。ファイル情報は、ファイル情報取得部５３４によって生成されたファイル内容をハッシュ関数を用いて要約化した値である。
【０１１８】
検出結果は、マルウェア検出部５１３によって得られた結果ログ５１４に基づいて、ファイルの追跡結果により、メールソフト５１０から取り出された最初の添付ファイル２ｆに対して判断された危険性を示す。
【０１１９】
検出結果として、「未確認」、「危険」、「安全」等のいずれかが示される。「未確認」は、ファイルの生成直後等であって、「危険」であるのか「安全」であるのかの判別ができていない状態を示す。「危険」は、マルウェア９３ｗに感染したファイルであることを示す。「安全」は、脅威を検出しなかったファイルであることを示す。
【０１２０】
マルウェア９３ｗの生成元のメールソフト５１０から最初の添付ファイル２ｆに対しては、最初の添付ファイル２ｆが「安全」の判定であったとしても、「危険」が設定される。最初の添付ファイル２ｆが「安全」の判定であり、その後、派生して生成されるファイルがいずれも「安全」である場合には、最初の添付ファイル２ｆに対して「安全」が設定される。
【０１２１】
エージェントＤＢ５４０では、「安全」が確認されたファイルは、そのファイル名とファイル情報とが、安全なファイル情報８ａとして対応付け管理サーバ４００に通知されることで、対応付け管理サーバ４００が保持する対応付け情報蓄積ＤＢ４６０の情報量を削減できる。
【０１２２】
図１１のデータ構成例において、最初のレコードでは、生成日時「2015/06/01 13:51」に生成されたファイルについてファイル名「C:\Programfiles\Programdata\temp\abc.exe」を参照すると、生成されたのは実行ファイル「abc.exe」であり、ディレクトリ「C:\Programfiles\Programdata\temp」に格納されていることが示されている。また、検出結果は「未確認」である。
【０１２３】
第２のレコードでは、生成日時「2015/06/01 13:55」に生成されたファイルについてファイル名「D:\work\xyz.exe」を参照すると、生成されたのは実行ファイル「xyz.exe」であり、ディレクトリ「d」に格納されていることが示されている。また、検出結果は「危険」である。
【０１２４】
第３のレコードでは、生成日時「2015/06/01 13:59」に生成されたファイルについてファイル名「e:\app\qwert.exe」を参照すると、生成されたのは実行ファイル「qwert.exe」であり、ディレクトリ「e:\app」に格納されていることが示されている。また、検出結果は「危険」である。他のレコードについても同様である。
【０１２５】
図１１では、前述した対応付け情報蓄積ＤＢ４６０と、後述されるマルウェア情報９ｍとの関連付けを合わせて示している。エージェントＤＢ５４０と対応付け情報蓄積ＤＢ４６０との間では、添付ファイル情報によって関連付けされ、エージェントＤＢ５４０とマルウェア情報９ｍとでは、フルパス名によって関連付けられる。
【０１２６】
図１２は、マルウェア情報のデータ構成例を示す図である。図１２において、マルウェア情報９ｍは、マルウェア検出部５１３が検出したマルウェア９３ｗの情報を示し、発生日時、名称、ファイル名、危険度、フルパス名等の項目を有する。
【０１２７】
発生日時は、マルウェア９３ｗが発生した日時を示す。名称は、マルウェア９３ｗの名称を示す。ファイル名は、生成されたファイル名を示す。危険度は、マルウェア９３ｗが与える脅威のレベルを示す。「ｈｉｇｈ」は脅威レベルが高いことを示し、「ｍｅｄｉｕｍ」は脅威レベルが中位であることを示し、及び「ｌｏｗ」は脅威レベルが低いことを示す。感染源ファイル情報は、マルウェア９３ｗを確認したフルパス名を示す情報である。
【０１２８】
図１２のデータ構成例では、発生日「XX:XX」に、名称「Aboor」のマルウェア９３ｗが検出され、検出されたマルウェア９３ｗのファイル名は「xyz.exe」であり、存在場所（即ち、格納場所）はフルパス名で示される「D:\work\abc2.exe」であることが示されている。
【０１２９】
図１３は、メール情報保管ＤＢのデータ構成例を示す図である。図１３において、メール情報保管ＤＢ６は、利用者へ注意喚起する際、利用者への視認性を向上させるために、表題などの情報を管理しておくデータベースであり、メッセージＩＤ、受信日時、送信者、受信者、表題等の項目を有する。
【０１３０】
メール情報保管ＤＢ６は、必須のデータベースではないが、メール情報保管ＤＢ６を備えることにより、メールサーバ３００、配送ログ等にアクセスせずに、受信者の情報を取得でき、迅速に注意喚起することができる。
【０１３１】
メールサーバ３００、配送ログ等では、配信した電子メール３のログを保持している場合があるが、保管期間などの理由で削除され、受信者の情報を得ることができない場合がある。ゼロデイ攻撃等に十分に対応するためには、推奨されるデータベースである。
【０１３２】
メッセージＩＤは、対応付け情報蓄積ＤＢ４６０で管理されるメッセージＩＤであり、送信者の電子メールアドレスの一部又は全部を示す。受信日時は、メッセージＩＤで特定される電子メール３を受信した日時である。
【０１３３】
送信者は、電子メール３の送信者の電子メールアドレスを示す。受信者は、電子メール３の受信者の電子メールアドレスを示す。表題は、電子メール３に設定されていた表題を示す。
【０１３４】
図１３のデータ構成例では、メッセージＩＤ「ark@dimain24」の電子メール３を、「2015/06/01 13:51」に受信し、送信者の電子メールアドレスは「abc@abc.com」であり、受信者の電子メールアドレスは「zyx@xyz.jp」であり、表題は「昨日の御礼」であったことが示されている。他の電子メール３についても同様である。
【０１３５】
図９に示す機能構成例に基づいて、図２の各ステップＡ、Ｂ、Ｃ、Ｄ、及びＥについて詳述する。
【０１３６】
図１４は、図４の添付ファイル情報格納処理（ステップＡ）を詳述するためのフローチャート図である。図１４において、ＳＭＴＰサーバ１００は、電子メール３の送出を開始する（ステップＳ１１１）。
【０１３７】
添付ファイル管理部３３０では、ＳＭＴＰサーバ１００から送られてくる電子メール３に対する受信処理を開始し（ステップＳ３１１）、受信した電子メール３を一次保存する（ステップＳ３１２）。
【０１３８】
添付ファイル管理部３３０は、一次保存した電子メール３を解析し、添付ファイル２ｆを抽出して一次保存する（ステップＳ３１３）。添付ファイル管理部３３０は、エンコード方式をボディヘッダから確認し、確認できた方式でデコードし、添付ファイル２ｆを抽出する。
【０１３９】
添付ファイル管理部３３０は、抽出した添付ファイル２ｆのファイル情報（添付ファイル情報）を作成し（ステップＳ３１４）、対応付け管理サーバ４００へ、少なくとも、添付ファイル情報とメッセージＩＤとを含む対応付け情報７ａを送信する（ステップＳ３１５）。対応付け情報７ａに、更に、電子メール３の受信日時、送信者の電子メールアドレス、受信者の電子メールアドレス、表題等の情報を含めてもよい。この場合、対応付け管理サーバ４００にて、図１３に示すようなメール情報保管ＤＢ６を備えることができる。
【０１４０】
そして、添付ファイル管理部３３０は、一次保管した電子メールをメールサーバ３００へリレーして（ステップＳ３１６）、受信した電子メール３毎の処理を終了する。次の電子メール３を受信すると、ステップＳ３１１から、上述した同様の処理が繰り返される。
【０１４１】
一方、対応付け管理サーバ４００では、添付ファイル管理部３３０から対応付け情報７ａを受信すると、対応付け情報蓄積ＤＢ４６０に格納する（ステップＳ４１１）。
【０１４２】
図１５は、図５の添付ファイル取り出し監視処理（ステップＢ）を詳述するためのフローチャート図である。図１５において、利用者端末５００では、メールソフト５１０が添付ファイル２ｆを書き出すと（ステップＳ５２１）、エージェント５３０は、取り出し監視部５３２によって、ファイルシステムを監視し、メールソフト５１０が書き出した添付ファイル２ｆを読み込む（ステップＳ５２１）。
【０１４３】
添付ファイル２ｆを読み込むと、エージェント５３０は、ファイル情報取得部５３４によって、添付ファイル２ｆを要約化した添付ファイル情報を作成し、エージェントＤＢ５４０に格納する（ステップＳ５２３）。そして、添付ファイル取り出し監視処理は終了する。
【０１４４】
図１６は、図６の感染源メール特定処理（ステップＣ）を詳述するためのフローチャート図である。感染源メール特定処理は、利用者端末５００におけるマルウェア９３ｗの検出によって開始される。
【０１４５】
図１６より、利用者端末５００において、マルウェア検出部５１３がマルウェア９３ｗを検出すると（ステップＳ５３１）、脅威レポート管理サーバ６００を介して、対応付け管理サーバ４００にマルウェア情報９ｍを送信する（ステップＳ５３２）。
【０１４６】
対応付け管理サーバ４００では、感染源ファイル特定部４７０が、受信したマルウェア情報９ｍをマルウェア情報ＤＢ４９０に格納する（ステップＳ４３１）。そして、感染源ファイル特定部４７０は、マルウェア情報９ｍを利用者端末５００のエージェント５３０に送信することで、マルウェア９３ｗの感染源ファイル９１ｅの特定を依頼する（ステップＳ４３２）。
【０１４７】
利用者端末５００では、マルウェア情報９ｍを受信すると、エージェント５３０が、受信したマルウェア情報９ｍを生成経路追跡部５１５に通知し、生成経路追跡部５１５により、感染源ファイル９１ｅを特定する（ステップＳ５３３）。感染源ファイル９１ｅの特定によって、感染源ファイル９１ｅのフルパス名が取得される。
【０１４８】
エージェント５３０は、取得したフルパス名を用いて、エージェントＤＢ５４０を検索し、フルパス名が一致するレコードに記憶されている添付ファイル情報を取得し、感染源ファイル情報８ｂとして対応付け管理サーバ４００へ送信する（ステップＳ５３４）。
【０１４９】
そして、対応付け管理サーバ４００では、メッセージＩＤ特定部４５０が、受信した感染源ファイル情報８ｂを用いて、対応付け情報蓄積ＤＢ４６０を検索し、メッセージＩＤを特定する（ステップＳ４３３）。
【０１５０】
対応付け情報蓄積ＤＢ４６０において、受信した感染源ファイル情報８ｂと一致する添付ファイル情報のレコードから１以上のメッセージＩＤが特定される。特定した１以上のメッセージＩＤは、記憶部１３０に記憶され、後述される感染源メール処理（ステップＥ）にて利用される。
【０１５１】
図１７は、図７の不要情報削除処理（ステップＤ）を詳述するためのフローチャート図である。不要情報削除処理は、利用者端末５００と対応付け管理サーバ４００とにより行われ、利用者端末５００が定期的に、安全なファイル情報８ａを特定し、対応付け管理サーバ４００で保持する対応付け情報７ａの情報量を削減する。
【０１５２】
図１７より、利用者端末５００は、エージェント５３０は、エージェントＤＢ５４０からファイル名を１つ取得し（ステップＳ５４１）、マルウェア検出部５１３による結果ログ５１４と突き合わせ、検出状況を判定する（ステップＳ５４２）。「検出未実施」、「検出済み脅威あり」、及び「検出済み脅威なし」の判定結果を得る。
【０１５３】
検出状況が「検出未実施」又は「検出済み脅威あり」であると判定した場合、エージェント５３０は、ステップＳ５４６へと進む。
【０１５４】
検出状況が「検出済み脅威なし」であると判定した場合、エージェント５３０は、生成経路追跡部５１５により、派生して生成されたファイルに脅威があるか否かを判断する（ステップＳ５４３）。「全て脅威なし」、「一部脅威あり」、及び「一部検出未実施」のいずれかが判断結果として示される。
【０１５５】
「一部脅威あり」又は「一部検出未実施」と判断した場合、エージェント５３０は、ステップＳ５４６へと進む。一方、「全て脅威なし」と判断した場合、エージェント５３０は、ステップＳ５４１で取得したファイル名のファイルは、安全なファイルであると判定し、添付ファイル情報をエージェントＤＢ５４０から取得して、安全なファイル情報８ａとして対応付け管理サーバ４００へ送信することで、削除を依頼する（ステップＳ５３４）。
【０１５６】
対応付け管理サーバ４００では、安全なファイル情報８ａを受信すると、対応付け情報削除部４３０は、対応付け情報蓄積ＤＢ４６０から安全なファイル情報８ａと一致する添付ファイル情報のレコードを削除する（ステップＳ４４１）。
【０１５７】
メール情報保管ＤＢ６を備えている場合には、安全なファイル情報８ａと一致する添付ファイル情報のレコードからメッセージＩＤを取得し、更に、メール情報保管ＤＢ６から受信者を特定できる。メール情報保管ＤＢ６を備えていない場合、メッセージＩＤをメールサーバ３００に送信して、受信者のメールアドレスを取得すればよい。
【０１５８】
従って、対応付け情報削除部４３０は、受信者に、安全な（危険性のない）添付ファイルである旨を通知するようにしてもよい。そして、受信者に通知後に、安全なファイル情報８ａと一致する添付ファイル情報のレコードを削除するようにする。
【０１５９】
図１０のデータ構成例において、添付ファイル情報「eGr6wea%t5#$」のレコードの削除がこの処理によって行われる。
【０１６０】
その後、エージェント５３０は、エージェントＤＢ５４０から、添付ファイル情報のレコードを削除する（ステップＳ５４５）。
【０１６１】
ステップＳ５４１で取得したファイル名に対する処理を終了すると、エージェントＤＢ５４０は、次のファイル名があるか否かを判断する（ステップＳ５４６）。次のファイル名が存在する場合（ステップＳ５４６のＹＥＳ）、エージェント５３０は、ステップＳ５４１へと戻り上述同様の処理を繰り返す。一方、次のファイル名が存在しない場合（ステップＳ５４６のＮＯ）、この不要情報削除処理が終了する。
【０１６２】
図１８は、図８の感染源メール対処処理（ステップＥ）を詳述するためのフローチャート図である。感染源メール対処処理は、対応付け管理サーバ４００とメールサーバ３００とにより行われ、感染源メール９ａの削除と、感染源メール９ａの受信者への注意喚起を行う。
【０１６３】
図１８より、対応付け管理サーバ４００において、メッセージＩＤ特定部４５０は、記憶部１３０に記憶された１以上のメッセージＩＤから１つを取得する（ステップＳ４５１）。記憶部１３０に記憶された１以上のメッセージＩＤは、感染源メール特定処理（図１６）において特定した感染源ファイル情報８ｂに基づいて特定したメッセージＩＤである。
【０１６４】
メッセージＩＤ特定部４５０は、メッセージＩＤを用いて感染源メール９ａの受信者などの情報を取得する（ステップＳ４５２）。感染源メール９ａの受信者などの情報は、メッセージＩＤでメールサーバに問い合わせて取得しても良いし、対応付け管理サーバ４００がメール情報保管ＤＢ６（図１３）を備えている場合には、メール情報保管ＤＢ６をメッセージＩＤで検索して、受信者などの情報を取得してもよい。
【０１６５】
メッセージＩＤ特定部４５０は、ステップＳ４５１で取得したメッセージＩＤをメールサーバ３００に送信して、感染源メール９ａの削除を依頼する（ステップＳ４５３）。
【０１６６】
メールサーバ３００では、対応付け管理サーバ４００からメッセージＩＤを受信すると、メッセージＩＤに基づいて、メールサーバ３００内の記憶領域で保持している感染源メール９ａを特定して削除し、対応付け管理サーバ４００に削除完了を通知する（ステップＳ３５１）。
【０１６７】
対応付け管理サーバ４００では、感染源メール９ａの削除完了の通知を受けると、メッセージＩＤ特定部４５０は、感染源メール９ａの受信者宛てに、注意喚起と電子メールの削除結果通知とを内容とした電子メールの送信を依頼する（ステップＳ４５４）。少なくとも、感染源メール９ａの受信者の電子メールアドレスがメールサーバ３００へ送信される。受信者の電子メールアドレスと共に、注意喚起と電子メールの削除結果通知の内容をメールサーバ３００へ送信してもよい。
【０１６８】
メールサーバ３００では、対応付け管理サーバ４００から、少なくとも受信者の電子メールアドレスが指定された依頼を受信すると、感染源メール９ａの受信者宛てに電子メールを送信し、対応付け管理サーバ４００に完了結果を通知する（ステップＳ３５２）。
【０１６９】
対応付け管理サーバ４００では、メールサーバ３００から完了結果を受信すると、全てのメッセージＩＤに対して処理を終了したか否かを判断する（ステップＳ４５５）。未処理のメッセージＩＤが存在する場合（ステップＳ４５５のＹＥＳ）、メッセージＩＤ特定部４５０は、ステップＳ４５１へと戻り上述した同様の処理を繰り返す。
【０１７０】
メッセージＩＤが２以上存在する場合、感染源ファイル９１ｅが複数の電子メール３に添付されていたことを意味する。そのため、同じ添付ファイルを含む電子メール３（この場合、感染源電子メール９となる）を削除する。
【０１７１】
一方、全てのメッセージＩＤに対して処理を終了した場合（ステップＳ４５５のＮＯ）、感染源メール対処処理が終了する。
【０１７２】
上述したように、本実施例では、電子メール３の添付ファイルの情報（添付ファイル情報）と、電子メール３を特定するメッセージＩＤとを対応付けて管理する対応付け管理サーバ４００が、利用者端末５００から安全なファイル情報８ａを受信できる仕組みとすることで、感染源メール９ａを特定するために蓄積した対応付け情報７ａの情報量を削減できる。
【０１７３】
情報量の削減について、発明者等によって試算された結果を下記に示す。先ず、単に、添付ファイルを持つ電子メール３のメッセージＩＤと、添付ファイル情報とを保管した場合の情報量について考察する。
【０１７４】
メッセージＩＤに使用する文字列の最大長は規格などで定義されていないが、一般的に６４バイト程度から、２５６バイトの長さが利用されている。添付ファイル情報は、ファイルの内容をハッシュ関数などで要約し、文字列に変換した情報であり、数十バイトの文字列となる。
【０１７５】
発明者等は、環境を以下のように想定した場合で、保管する情報量を算出した。
・メール流通量：１日２０万通（従業員２０００人の企業で一人当たり１００通の利用の場合）
・添付ファイル含有率：５０％
・添付ファイル個数：１電子メール当たり平均２個
・メッセージＩＤ長：平均１２８バイト
・ファイル情報長：平均８０バイト
である。
【０１７６】
また、
・メッセージＩＤ文字列総量：２０万通×５０％×１２８バイト
＝12800000バイト＝約１２ＭＢ
・ファイル情報総量：２０万通×５０％×２個×８０バイト
＝16000000バイト＝約１６ＭＢ
・１日当たりの合計：約２８ＭＢ
・５年間運用した場合の合計：２８ＭＢ×１８２５日
＝５１１００ＭＢ＝約５０ＧＢ
となった。
【０１７７】
即ち、５年間運用を行った状態で、利用者端末５００でマルウェアが検出されると、約５０ＧＢ、１億８２５０万レコードの中からメッセージＩＤを検索することになり、多くの時間とＣＰＵコストを消費することになる。
・１万人を超えるような大規模ユーザを想定すると、非現実的な情報量となり、運用が困難になると考えられる。
【０１７８】
しかしながら、本実施例では、対応付け管理サーバ４００が、利用者端末５００のエージェントが、マルウェア検出部５１３の結果ログ５１４を用いて判定した安全なファイル情報８ａを受信することで、対応付け情報蓄積ＤＢ４６０での蓄積情報量の増加を削減することができる。
【０１７９】
次に、本実施例における再感染による防御について説明する。近年、電子メールによる標的型攻撃が巧妙化し、マルウェア９３ｗを即時検出するためにエンドポイント型センサが利用されている。本実施例において、利用者端末５００のマルウェア検出部５１３がエンドポイント型センサに相当する。標的型攻撃とは、特定の企業や組織のユーザを狙ったサイバー攻撃の一つである。
エンドポイント型センサは、利用者端末５００上で異常な振る舞いを行うマルウェア９３ｗのファイル名を特定できるが、感染源メール９ａを特定することができない。従って、メールサーバ３００に感染源メール９ａが残り続け、再感染や、社外などへの転送により加害者となって企業の信頼低下につながることが問題視されている。
【０１８０】
本実施例では、感染源メール９ａを特定し、メールサーバ３００に特定した感染源メール９ａの削除、及び利用者にダウンロード済み感染源ファイル９１ｅの削除を、禁則に要請できる。
【０１８１】
更には、再感染を防止する効果もある。メールサーバ３００に感染源メール９ａが残存すると、利用者が再度その感染源メール９ａを操作したときに再感染する可能性がある。また、利用者による感染源メール９ａの他の利用者への転送等の操作により、感染が拡大する可能性がある。
【０１８２】
再感染した場合においても、各利用者端末５００において、エンドポイント型センサが脅威を検出し報告することはできる。このため、再感染について対処不要と考えられる。しかしながら、振る舞い型センサの場合、プログラムが動作してから検知を実施することになるため、コンピュータシステムの破壊時、改変時に脅威を検知することになる。このため、従来のシグネチャ型検知とは異なり、再感染すると再度被害が進行することになる。エンドポイント型センサによりマルウェア９３ｗを検出できる状況であっても、即時、メールサーバ３００で感染源メール９ａを削除することが重要である。
【０１８３】
本実施例では、メールサーバ３００に対して感染源メール９ａの削除を依頼できるため、再感染に対する脅威を最小限に抑えることができる。
【０１８４】
本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、主々の変形や変更が可能である。
【０１８５】
以上の実施例を含む実施形態に関し、更に以下の付記を開示する。
（付記１）
コンピュータに、
メッセージに添付されたファイルデータを特定する添付ファイル情報毎に、該メッセージを特定する特定情報を対応付けて記憶部に記憶し、
前記メッセージの送信先のいずれかから、添付された前記ファイルデータについての危険性がない旨の安全情報を受信したことに応じて、前記記憶部に記憶した、前記安全情報で特定される前記添付ファイル情報を前記記憶部から削除する
処理を実行させる管理プログラム。
（付記２）
前記コンピュータに、
前記ファイルデータが感染している旨の感染情報を受信したことに応じて、前記記憶部に記憶した、前記感染情報で特定される前記添付ファイル情報に対応付けられた前記特定情報に基づいて前記メッセージを特定し、該メッセージを保持する装置及び該メッセージの送信先に対して、該メッセージの削除を要求する
処理を実行させる付記１記載の管理プログラム。
（付記３）
前記コンピュータに、
危険なファイルデータを通知する危険情報を受信したことに応じて、該危険情報で示される該危険なファイルデータの前記添付ファイル情報の特定を、通知元に要求する処理を実行させ、
前記要求に応じて特定された前記添付ファイル情報を指定した前記感染情報を受信することを特徴とする付記２記載の管理プログラム。
（付記４）
前記コンピュータに、
前記ファイルデータが危険性がない旨の前記安全情報を受信したことに応じて、前記記憶部に記憶した、前記安全情報で特定される前記添付ファイル情報に対応付けられた前記特定情報に基づいて前記メッセージを特定し、該メッセージの送信先に対して、該メッセージの削除を要求して、該記憶部に記憶した、前記安全情報で特定される前記添付ファイル情報を前記記憶部から削除する
処理を実行させることを特徴とする付記３記載の管理プログラム。
（付記５）
前記コンピュータに、
少なくとも、前記メッセージを特定する前記特定情報と、該メッセージの送信先の情報とを関連付けて前記記憶部に記憶させる処理を実行させ、
前記感染情報で特定される前記添付ファイル情報に対応付けられた前記特定情報に関連付けられる前記送信先の情報を取得させることを特徴とする付記２又は３記載の管理プログラム。
（付記６）
コンピュータが、
メッセージに添付されたファイルデータを特定する添付ファイル情報毎に、該メッセージを特定する特定情報を対応付けて記憶部に記憶し、
前記メッセージの送信先のいずれかから、添付された前記ファイルデータについての危険性がない旨の安全情報を受信したことに応じて、前記記憶部に記憶した、前記安全情報で特定される前記添付ファイル情報を前記記憶部から削除する
処理を行う管理方法。
（付記７）
メッセージに添付されたファイルデータを特定する添付ファイル情報毎に、該メッセージを特定する特定情報を対応付けて記憶部に記憶する対応付け部と、
前記メッセージの送信先のいずれかから、添付された前記ファイルデータについての危険性がない旨の安全情報を受信したことに応じて、前記記憶部に記憶した、前記安全情報で特定される前記添付ファイル情報を前記記憶部から削除する削除部と
を有する情報処理装置。
【符号の説明】
【０１８６】
２ｆ        添付ファイル
３          電子メール
７ａ        対応付け情報
８ａ        安全なファイル情報
８ｂ        感染源ファイル情報
９ａ        感染源メール
９ｍ        マルウェア情報
９１ｅ      感染源ファイル
１００      ＳＭＴＰサーバ
３００      メールサーバ
３３０      添付ファイル管理部
３５０      添付ファイル情報取得部
４００      対応付け管理サーバ
４１０      対応付け情報受信部、      ４３０      対応付け情報削除部
４５０      メッセージＩＤ特定部、    ４６０      対応付け情報蓄積部
４７０      感染源ファイル特定部、    ４９０      マルウェア情報ＤＢ
５００      利用者端末
５１０      メールソフト
５１３      マルウェア検出部、        ５１５      生成経路追跡部
５１４      結果ログ
５３０      エージェント
５３２      取り出し監視部、          ５３４      ファイル情報取得部
５４０      エージェントＤＢ
１０００    システム
【図１】
0006736913.tif 000002
【図２】
0006736913.tif 000003
【図３】
0006736913.tif 000004
【図４】
0006736913.tif 000005
【図５】
0006736913.tif 000006
【図６】
0006736913.tif 000007
【図７】
0006736913.tif 000008
【図８】
0006736913.tif 000009
【図９】
0006736913.tif 000010
【図１０】
0006736913.tif 000011
【図１１】
0006736913.tif 000012
【図１２】
0006736913.tif 000013
【図１３】
0006736913.tif 000014
【図１４】
0006736913.tif 000015
【図１５】
0006736913.tif 000016
【図１６】
0006736913.tif 000017
【図１７】
0006736913.tif 000018
【図１８】
0006736913.tif 000019