(57)【要約】  ディレクトリ取得物攻撃のダイナミックな検出と緩和システムは、受信側ｅメールサーバがそのｅメール配信ルールをどのように実施しているかを取り巻くロジックを変更することによって遂行される。受信したｅメールに対するｅメールサーバの想定レスポンスはサーバが攻撃を受けていると判断されたとき変更されるので、ｅメールサーバによって保持された有効なｅメールアドレスとその他の情報の無許可取得物は無効にされる。
2010541425.tif 000002
【特許請求の範囲】
【請求項１】
ｅメール管理システムであって、
ｅメールを受信（２０）し、
意図する受信者が有効であると判断（２２）された場合、該意図する受信者に配信するために受信したｅメールを受けとるように構成された入出力部（７４）と、
受信したｅメールの前記意図する受信者の有効性を判断（２２）し、
前記意図する受信者が有効であると判断（２２）された場合、
ｅメールのソースを判断（２６）し、
削除通知をソースに与えることなくｅメールを削除（２６）するように構成された処理部と
を具えたことを特徴とするｅメール管理システム。
【請求項２】
前記入出力部は、それぞれの複数の意図する受信者との複数のｅメールを受けとるように構成されたことを特徴とする請求項１記載のｅメール管理システム。
【請求項３】
前記処理部は、ｅメールが正しく配信されたことを示す標準的結果コードを判断するようにさらに構成され、
前記入出力部は、ｅメールが前記意図する受信者に配信されたとの印象をソースに与えるために標準的結果コードを前記判断されたソースに送信するようにさらに構成されたことを特徴とする請求項１記載のｅメール管理システム。
【請求項４】
受信したｅメールはディクショナリ攻撃の一部であることを特徴とする請求項１記載のｅメール管理システム。
【請求項５】
前記処理部は、受信したｅメールの配信が所与の時間間隔にわたって試みられた所与のドメインのユニーク受信者の数があらかじめ決めた数を越えているかどうかを判断することによって、受信したｅメールが悪意のキャンペーンの一部であることを判断するようにさらに構成されたことを特徴とする請求項１記載のｅメール管理システム。
【請求項６】
前記処理部は、受信したｅメールの配信が所与の時間間隔にわたって試みられた所与のドメインのユニーク受信者のパーセンテージがあらかじめ決めた数を越えているかどうかを判断することによって、受信したｅメールが悪意のキャンペーンの一部であることを判断するようにさらに構成されたことを特徴とする請求項１記載のｅメール管理システム。
【請求項７】
前記処理部は、
悪意のキャンペーンが検出された場合ディレクトリ取得物緩和手法をターンオンし、
悪意のキャンペーンが検出されない場合ディレクトリ取得物緩和手法をターンオフするように構成されたことを特徴とする請求項１記載のｅメール管理システム。
【請求項８】
ｅメール管理方法であって、
ｅメールを受信するステップ（２０）と、
受信したｅメールの意図する受信者の有効性を判断するステップ（２２）と、
前記意図する受信者が有効であると判断された場合、該意図する受信者に配信するためにｅメールを受けとるステップ（２２、２６）と、
前記意図する受信者が無効であると判断された場合、
ｅメールのソースを判断するステップ（２６）と、
ディレクトリ取得物緩和手法を作成するために削除通知をソースに与えることなくｅメールを削除するステップ（２６）と
を具えたことを特徴とする方法。
【請求項９】
それぞれの複数の意図する受信者との複数のｅメールを受信するステップをさらに具えたことを特徴とする請求項８記載の方法。
【請求項１０】
ｅメールが前記意図する受信者に配信されたとの印象をソースに与えるために標準的結果コードをｅメールのソースに送信するステップをさらに具えたことを特徴とする請求項８記載の方法。
【請求項１１】
受信したｅメールの配信が所与の時間間隔にわたって試みられた所与のドメインのユニーク受信者の数があらかじめ決めた数を越えているかどうかを判断することによって、受信したｅメールが悪意のキャンペーンの一部であることを判断するステップをさらに具えたことを特徴とする請求項８記載の方法。
【請求項１２】
受信したｅメールの配信が所与の時間間隔にわたって試みられた所与のドメインのユニーク受信者のパーセンテージがあらかじめ決めた数を越えているかどうかを判断することによって、受信したｅメールが悪意のキャンペーンの一部であることを判断するステップをさらに具えたことを特徴とする請求項８記載の方法。
【請求項１３】
悪意のキャンペーンが検出された場合緩和手法をアクチベートするステップと、
悪意のキャンペーンが検出されない場合緩和手法をターンオフするステップと、
をさらに具えたことを特徴とする請求項８記載の方法。
【請求項１４】
ｅメールを管理するためのコンピュータ実行可能命令を収めたコンピュータ可読媒体（７２、７６２、７６４、７２５、７２８、７３０、７６２、７２９）であって、前記コンピュータ実行可能命令は、
ｅメールを受信するステップ（２０）と、
受信したメールの意図する受信者の有効性を判断するステップ（２２）と、
前記意図する受信者が有効であると判断（２２）された場合、該意図する受信者に配信するためにｅメールを受けとるステップと、
前記意図する受信者が無効であると判断（２２）された場合、
ｅメールのソースを判断するステップ（２６）と、
ディレクトリ取得物緩和手法を形成するために削除通知を前記ソースに与えることなくｅメールを削除するステップ（２６）と
を実行することを特徴とするコンピュータ可読媒体。
【請求項１５】
複数のｅメールがそれぞれの複数の意図する受信者によって受信されることを特徴とする請求項１４記載のコンピュータ可読媒体。
【請求項１６】
コンピュータ実行可能命令は、さらに、悪意のｅメールが前記意図する受信者に配信されたとの印象をソースに与えるために標準的結果コードをソースに送信することを特徴とする請求項１４記載のコンピュータ可読媒体。
【請求項１７】
受信したｅメールはディクショナリ攻撃の一部であることを特徴とする請求項１４記載のコンピュータ可読媒体。
【請求項１８】
コンピュータ実行可能命令は、さらに、ディクショナリ取得物攻撃が行なわれていることを判断することを特徴とする請求項１４記載のコンピュータ可読媒体。
【請求項１９】
コンピュータ実行可能命令は、さらに、受信したｅメールの配信が所与の時間間隔にわたって試みられた所与のドメインのユニーク受信者の数があらかじめ決めた数を越えているかどうかを判断することによって、受信したｅメールが悪意のキャンペーンの一部であることを判断することを特徴とする請求項１４記載のコンピュータ可読媒体。
【請求項２０】
コンピュータ実行可能命令は、さらに、受信したｅメールの配信が所与の時間間隔にわたって試みられた所与のドメインのユニーク受信者のパーセンテージがあらかじめ決めた数を越えているかどうかを判断することによって、受信したｅメールが悪意のキャンペーンの一部であることを判断することを特徴とする請求項１４記載のコンピュータ可読媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本技術分野は、一般的には、ｅメールディレクトリ取得物攻撃をダイナミックに検出し、緩和するシステムおよび方法に関する。
【背景技術】
【０００２】
インターネットとして知られているグローバルネットワークシステムは、ユーザ間でメッセージまたは電子メール（すなわち、ｅメール）を配信し、送信するのに役立っている。インターネットｅメールサーバは、他のｅメールサーバおよびユーザから受信したｅメールの転送を容易にするために使用されている。
【０００３】
ある合意されたｅメール標準（例えば、ＳＭＴＰ（Ｓｉｍｐｌｅ  Ｍａｉｌ  Ｔｒａｎｓｐｏｒｔ  Ｐｒｏｔｏｃｏｌ：簡易メール転送プロトコルなど）では、この標準に準拠する利用されたｅメールサーバは、別のｅメールサーバから受信したメールを受けとるか、拒否するかのどちらである。
【０００４】
ｅメールメッセージを受けとるか、拒否するかのｅメールサーバの決定は、サーバがメールを受けとるように構成されたｅメールアドレスのリストでｅメール受信者のアドレスをｅメールサーバが検査することによって推し進められるのが代表的である。受信者のアドレスがそのリスト内に見つからない場合は、サーバはｅメールを拒否し、最初にそのｅメールをサーバに送信した接続先（ｃｏｎｎｅｃｔｅｄ）クライアントに関連エラーメッセージを送っている。
【０００５】
既知ユーザのリスト（「ディレクトリサービス」とも知られている）を使用して、インバウンドｅメールを受けとるか否かを判断するｅメールサーバのオペレータについては、ディクショナリまたはディレクトリ取得物攻撃（ｄｉｒｅｃｔｏｒｙ  ｈａｒｖｅｓｔ  ａｔｔａｃｋ）の機会が存在している。
【０００６】
ディクショナリ攻撃（ｄｉｃｔｉｏｎａｒｙ  ａｔｔａｃｋ）は、返されたエラーコードとメッセージを非常に多数の拒否されたｅメールとメッセージから分析することによって、特定のインターネットドメインについて、既知の有効ｅメールアドレスのリストを得ようとする無許可の個人またはシステムによる試みである。無許可リストを収集し、生成する目的は、その無許可リストを使用して非送信請求（ｕｎｓｏｌｉｃｉｔｅｄ）ｅメール（ＳＰＡＭ）を送信しようとするエンティティにそのリストを販売するためである。
【０００７】
ディクショナリ攻撃のプロシージャは、シングルまたは種々のｅメールメッセージを、所与のドメイン名内の非常に多数の個別ｅメールアドレスに送信しようとすると自動的に開始される。試みのアドレス名は時には自動化され、シーケンスに生成されるか（例えば、ａａ＠ｅｘａｍｐｌｅ．ｃｏｍ．ａｂ＠ｅｘａｍｐｌｅ．ｃｏｍ）または検出を回避する努力の中で他のパターンで生成されることがあり、その中にはランダムまたは擬似ランダムな方式が含まれている。
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ディレクトリ取得物攻撃を検出して緩和し、また、その攻撃を緩和するダイナミックシステムは、スパム（ｓｐａｍ）レベルを少なくし、無許可エンティティが特定のドメインに対する既知の善良なｅメールアドレスを導き出すのを妨げている。
【課題を解決するための手段】
【０００９】
この要約説明は、以下の例示実施形態の「詳細説明」の個所で詳しく説明されている概念を選んで簡単に紹介したものである。この要約説明は請求項に記載の主題のキーとなる特徴または重要な特徴を特定するものではなく、また請求項に記載の主題の範囲を限定するために使用されるものでもない。
【００１０】
一般的に、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和によると、ディレクトリ取得物攻撃が行なわれていることを、特定のドメインに対するｅメール配信の局所的増加が短い時間期間の間に起っていることを分析し、判断することによって検出する能力が得られる。ある攻撃が検出されたとき、その攻撃は、ドメインに対するすべてのｅメールメッセージは受け付け、有効なユーザアドレス宛でないｅメールメッセージは削除することにより、削除されたｅメールが配信されたと悪意の送信者（個人またはシステムのどちらか）に思い込ませることによって緩和されている。種々の実施形態では、ｅメールが正しく配信されたと思い込ませる通知が送信者に転送されるか、または正しく配信されなかったとの通知が送信者に転送されるのを禁止されている。攻撃がいったん中止されると、ｅメールサーバはその標準的動作行動に戻る。
【００１１】
別の形態では、ｅメール管理システムはｅメールを受信し、受信したｅメールを受け付けて意図する受信者に配信するように構成された入出力部（ただし、意図する受信者が有効な受信者であると判断された場合）と、受信したｅメールの意図する受信者の有効性を判断するように構成された処理部とを含んでいる。意図する受信者が無効であると判断された場合は、ｅメールのソースを判断し、削除通知をソースに与えることなくｅメールを削除することによって悪意のｅメールが処理される。その代わりに、正しく配信されたと思い込ませる正しくない通知がソースに送信されることがある。
【００１２】
本明細書に記載されているｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和は、ディクショナリまたはディレクトリ取得物攻撃のイニシエータ（起動側）が特定のドメインに対して既知の善良なｅメールアドレスを正しく導き出すのを防止している。システムは、このような攻撃をダイナミックおよび自動的に緩和するようにセットされていることがある。
【００１３】
例示の実施形態では、ダイナミックｅメールディレクトリ取得物攻撃検出および緩和システムは、緩和手法をダイナミックにオンおよびオフにし、攻撃を受けている間だけ緩和手法をオンにし、ｅメールが攻撃を受けていると判断したときを除くすべての時間の間、代表的なｅメールバウンスメッセージ（ｅｍａｉｌ  ｂｏｕｎｃｅ  ｍｅｓｓａｇｅ）システムを維持している。
【図面の簡単な説明】
【００１４】
上述した要約説明は、下述する詳細説明と共に、添付図面を参照することにより理解がしやすくなっている。ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和を例で説明するために、添付図面には例示の構造が示されているが、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和は、本明細書に開示した特定の方法および手段に限定されない。
【００１５】
【図１】ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和を実現するための例示プロセッサを示すブロック図である。
【図２】カストマを実現できる適当なコンピューティング環境を示す図である。
【図３】ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和のための例示プロセスを示す概要フロー図である。
【発明を実施するための形態】
【００１６】
本明細書に記載されているｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和は、ｅメールサーバ、ルータ、およびその他のメッセージ受け渡し機器に対するディクショナリまたはディレクトリ取得物攻撃をダイナミックに検出し、緩和することを可能にしている。個人またはプログラムした機器は、制御し、改変し、または表示する権限のないｅメールサーバ機器に対して悪意の目的で有効なｅメールアドレスを判断しようと試みるおそれのあることが知られている。
【００１７】
トップレベルの概要図において、ある形態のｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和は、図３を参照すると理解がしやすくなっている。この形態のｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和には、ｅメールメッセージを受信（２０）し、ｅメール受信者の有効性を判断（２２）し、受信者が無効である場合、ディレクトリまたはディクショナリ取得物攻撃が進行中であるかどうかを判断（２４）し、そうであれば、悪意のｅメールのソースを判断して、ｅメールのソースにエラーメッセージを送信することなくｅメールを削除（２６）することからなる方法のステップが含まれている。
【００１８】
従来スタイルのｅメールルーティングおよびその他のメッセージルーティングは、ＳＭＴＰ（Ｓｉｍｐｌｅ  Ｍａｉｌ  Ｔｒａｎｓｐｏｒｔ  Ｐｒｏｔｏｃｏｌ：簡易メール転送プロトコル）の使用を通して行なわれることがあり、この標準には受信者のアドレスに基づくメッセージルーティングが含まれている。この標準に準拠するｅメールサーバまたはルータで利用されているように、サーバまたはルータのどちらかが、別のｅメールサーバから受信したメッセージを受けとるか、または拒否している。ＳＭＴＰ標準では、ｅメールメッセージが、例えば、アドレスの中のエラーまたはその他のエラーによって拒否可能であると分かった場合、エラーメッセージが生成され、受信したｅメールのソースに送り返されている。
【００１９】
ｅメールを受けとるか、拒否するかの判断を行なう際、ｅメールサーバは、サーバがメールを受けとるように構成されたｅメールアドレスのリストでｅメール受信者のアドレスを検査することがよくある。受信者のアドレスがリスト内に見つからなかった場合は、サーバはｅメールを拒否し、関連のエラーコードが接続先ソースまたはクライアントに送られている。
【００２０】
ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和の例示実施形態によれば、ディレクトリ取得物攻撃の試みは、所与の時間期間に配信が試みられた、所与のドメインのユニーク受信者の数を、所与のドメインに対するユニークな有効ｅメールアドレスの総数と比較することによって検出されている。ドメインにおける個別的アドレスに対する試みの数が所与のドメインに対する有効なｅメールアドレスの総数よりも著しく大であれば、ディレクトリが攻撃されたことを示している。
【００２１】
例えば、“ｅｘａｍｐｌｅ．ｃｏｍ”ドメインに５００個の有効なｅメールアドレスがあり、“ｅｘａｍｐｌｅ．ｃｏｍ”に対してｅメールを受けとるように構成されたｅメールサーバが１０００個を超えるユニークなｅメールアドレスを配信する試みを２分間にわたって“ｅｘａｍｐｌｅ．ｃｏｍ”で受信した場合、これはディレクトリ攻撃が行なわれていることを示している。
【００２２】
ユニークなｅメールアドレスの総数は、ドメインが異なるごとに可変であり、このことが原因で、同じように、ｅメールサーバによって維持されているドメインの各々に対するインバウンドｅメール、メッセージ送信の試みをウォッチし、ログし、記録するためのセットされたしきい値の数または時間期間が変更されることになる。分かりやすくするために、ｅメールサーバは１または２以上のドメインに対してｅメールをルーティングすることがある。
【００２３】
さらに、共通であるが無効なｅメールアドレス、順序がシーケンスまたはアルファベットであるアドレス、または時間の経過と共に発見される可能性のある他のパターンのように、攻撃が進行中であることを判断するために代替の変数がモニタされ、しきい値が変更されることがあり、他のパターンの中には、アドレス名の非順次または擬似ランダムパターン、ｅメール受信の時間、およびインバウンドｅメールのソースまたはクライアント、その他が含まれている。さらに、ドメインにおける有効なｅメールアドレシの総数と比較した無効なｅメール受信の比率またはパーセンテージを判断するといったように、攻撃が起っているかどうかを判断するために、異なる関係が計算され、それぞれのしきい値レベルが利用されることがある。攻撃が起っているかどうかを判断するために、多数の種々のメトリックスが利用されることもある。
【００２４】
さらに、特定のドメインに対する有効なｅメールアドレスの数は時間の経過と共に変化することがあり、その変化に伴って、同様にしきい値の数もそれぞれ変化することがある。利用される種々の検出しきい値が、ウォッチしているドメインのステートの変化に基づいて自動的に変化されるのを可能にすることによって、本発明のシステムは、攻撃に対するシステムの潜在的レスポンスにおいてダイナミックになっている。ドメインのその他のアトリビュート（属性）も時間の経過と共に変化する可能性があるので、検出しきい値レベルまたは数がそれぞれ自動的に変化する必要がある。
【００２５】
ディレクトリ取得物またはディクショナリの攻撃に対するレスポンスとしての緩和手法は、受信側ｅメールサーバがその配信ルールをどのように実施するかを取り巻くロジックを変更することによって実行されることがある。例えば、受信したｅメールに対するｅメールサーバのレスポンスは、ｅメールが攻撃を受けているとサーバが判断したとき変更される。
【００２６】
具体的には、ｅメールサーバは、攻撃を受けているドメインに対するすべてのｅメールを受けとるように再構成される。そのとき、この方法によれば、配信が正しく行なわれたことを示す標準的結果コードが送信者に返される。メールを受け付けたあと、受信側メールサーバは、ドメインに対する有効ｅメールアドレスのリストまたはディレクトリの中の受信者ｅメールアドレスを調べる。そのアドレスが有効アドレスのリストの中にあれば、そのｅメールは通常のように配信される。そうでなければ、そのｅメールは送信者に通知することなく壊される。
【００２７】
この緩和方法が採用されるのは、ディクショナリ攻撃が継続している間だけである。攻撃がいったん中止されると、ｅメールサーバは、それぞれのドメインに対して善良なユーザであると分かっているときはｅメールを受け付け、その他のすべのユーザについては、メールを拒否する当初のステートに戻る。このように緩和手法が自動的にオンにされ、自動的にオフにされると、悪意目的の攻撃を無価値にするダイナミックで、強固な方法が生成される。
【００２８】
図１は、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和を実現するための例示プロセッサ６８を示す図である。プロセッサ６８は、処理部７０、メモリ部７２、および入出力部７４を備えている。処理部７０、メモリ部７２、および入出力部７４は、相互間の通信を可能にするように相互に結合されている（図１にはこの結合は示されていない）。入出力部７４は、ｅメールディクショナリ取得物攻撃のダイナミックな検出と緩和を上述したように実行するために利用されるコンポーネントを提供し、および／または受信する能力を備えている。例えば、入出力部７４は、上述したように、ｅメールメッセージを提供／受信し、エラーメッセージを送信し、ｅメールが正しく配信されたことを示す標準的結果コードを送信する能力またはこれらを組み合わせた能力を備えている。さらに、入出力部は、受信したｅメールメッセージを意図する受信者に転送し、および／または受信者が有効であると判断された場合には、ｅメールを受け取って、意図する受信者に配信することができる。
【００２９】
処理部７０は、上述したように、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和を実現する能力を備えている。例えば、処理部７０は、ディレクトリ取得物攻撃がいつ起っているかを判断し、ｅメールメッセージを受けとるか、拒否するかのポリシを変更し、ディレクトリ取得物攻撃が起らなくなったときｅメールメッセージを受けとるか、拒否するかのポリシを変更する能力を備えている。さらに、処理部は、上述したように攻撃の検出を判断するための基準を生成する種々のダイナミックしきい値を計算し、変更し、判断することができる。さらに、処理部は、意図する受信者が無効であると判断されたとき、悪意のｅメールのソースを判断し、悪意の攻撃キャンペーンが進行中であると判断し、削除通知をソースに与えることなく、または削除通知を生成することなくｅメールを削除することができる。プロセッサは、入力部と組み合わさって、ｅメールソースに転送する標準的結果コードを判断することができる。攻撃緩和期間に、プロセッサは、受信された悪意のｅメールがすでに配信されたとの誤った印象をソースに与えることができる。
【００３０】
プロセッサ６８は、クライアントプロセッサおよび／またはサーバプロセッサとして実現することができる。基本構成では、プロセッサ６８は少なくとも１つの処理部門７０とメモリ部７２を備えることができる。メモリ部７２は、上述したようにｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和を実現することに関連して利用された情報があれば、その情報をストアすることができる。プロセッサの正確な構成とタイプに応じて、メモリ部７２は揮発性（ＲＡＭなど）７６、不揮発性（ＲＯＭ、フラッシュメモリなど）７８、またはこれらの組み合わせにすることができる。プロセッサ６８は追加の特徴／機能を備える事ができる。例えば、プロセッサ６８は追加のストレージ（取り外し可能ストレージ８０および／または取り外し不能ストレージ８２）を備えることができ、その中には磁気または光ディスク、テープ、フラッシュ、スマートカードまたはこれらを組み合わせたものが含まれるが、これらに限定されない。メモリ部７２、７６、７８、８０および８２のようなコンピュータ記憶媒体は、コンピュータ可読命令、データ構造、プログラムモジュール、またはその他のデータなどの情報をストアするためのなんらかの方法またはテクノロジで実現された揮発性および不揮発性の取り外し可能および取り外し不能媒体を含んでいる。コンピュータ記憶媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリまたは他のメモリテクノロジ、ＣＤ−ＲＯＭ、ＤＶＤ（ｄｉｇｉｔａｌ  ｖｅｒｓａｔｉｌｅ  ｄｉｓｋ）または他の光ストレージ、磁気カセット、磁気テープ、磁気ディスクストレージまたは他の磁気ストレージデバイス、ＵＳＢ（ｕｎｉｖｅｒｓａｌ  ｓｅｒｉａｌ  ｂｕｓ）互換性メモリ、スマートカード、または所望の情報をストアするために使用でき、プロセッサ６８によってアクセス可能である他のいずれかの媒体を含んでいるが、これらに限定されない。このようなコンピュータ記憶媒体はいずれもプロセッサ６８の一部にすることができる。
【００３１】
プロセッサ６８は、プロセッサ６８が、例えば、その他のデバイスのような他のデバイスと通信するのを可能にする通信コネクション８８を備えることもできる。通信コネクション８８は通信媒体の一例である。通信媒体は、コンピュータ可読命令、データ構造、プログラムモジュールまたはその他のデータを、搬送波または他のトランスポートメカニズムなどの変調データ信号で具現化しているのが代表的であり、その中にはいずれの情報配信媒体も含まれている。「変調データ信号（ｍｏｄｕｌａｔｅｄ  ｄａｔａ  ｓｉｇｎａｌ」という用語は、その特性の１つまたは２つ以上が信号の中の情報を符号化するような形でセットまたは変更されている信号を意味している。例を挙げると、その例に限定されないが、通信媒体は、ワイヤードネットワークや直接ワイヤードコネクションなどのワイヤード（有線）媒体、および音響、ＲＦ、赤外線およびその他のワイヤレス媒体などのワイヤレス（無線）媒体を含んでいる。明細書の中で用いられている「コンピュータ可読媒体」という用語は記憶媒体と通信媒体の両方を含んでいる。プロセッサ６８は、キーボード、マウス、ペン、音声入力デバイス、タッチ入力デバイスなどの入力デバイス８６を備えることも可能である。ディスプレイデバイス、スピーカ、プリンタなどの出力デバイス８４を備えることも可能である。
【００３２】
図２および後述する説明は、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和が実現可能である適当なコンピューティング環境を簡単に概要説明したものである。必ずしも必要でないが、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和の種々の側面は、プログラムモジュールのように、クライアントワークステーションやサーバのようなコンピュータによって実行されるコンピュータ実行可能命令の一般的コンテキストの中で説明することができる。一般的に、プログラムモジュールは、特定のタスクを実行し、または特定の抽象データ型を実現するルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含んでいる。さらに、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和を実装したものは、他のコンピュータシステム構成で実施することが可能であり、その中にはハンドヘルドデバイス、マルチプロセッサシステム、マイクロプロセッサベースまたはプログラマブルコンシューマエレクトロニクス、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータなどが含まれている。さらに、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和は、通信ネットワークを通してリンクされているリモート処理デバイスによってタスクが実行されるような分散コンピューティング環境で実施することも可能である。分散コンピューティング環境では、プログラムモジュールは、ローカルとリモートの両方のメモリストレージデバイスに置いておくことができる。
【００３３】
コンピュータシステムは、大体３つのコンポーネントグループ、すなわち、ハードウェアコンポーネント、ハードウェア／ソフトウェアインタフェースシステムコンポーネント、およびアプリケーションプログラムコンポーネント（「ユーザコンポーネント」または「ソフトウェアコンポーネント」とも呼ばれる）に分割することができる。コンピュータシステムの種々の実施形態において、ハードウェアコンポーネントは、中央処理ユニット（ＣＰＵ）７２１、メモリ（ＲＯＭ７６４とＲＡＭ７２５の両方）、基本入出力システム（ＢＩＯＳ）７６６、および特にキーボード７４０、マウス７６２、モニタ７４７、および／またはプリンタ（図示せず）などの種々の入出力（Ｉ／Ｏ）デバイスを備えていることがある。ハードウェアコンポーネントはコンピュータシステムのための基本的物理インフラストラクチャを含んでいる。
【００３４】
アプリケーションプログラムコンポーネントは種々のソフトウェアプログラムを含んでおり、その中にはコンパイラ、データベースシステム、ワードプロセッサ、ビジネスプログラム、ビデオゲームなどが含まれているが、これらに限定されない。アプリケーションプログラムは、コンピュータリソースが問題解決のために利用され、ソリューションを提供し、種々のユーザ（マシン、他のコンピュータシステム、および／またはエンドユーザ）のためにデータを処理するときの手段を提供している。例示の環境では、アプリケーションプログラムは、上述したようにｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和に関連する機能を実行している。
【００３５】
ハードウェア／ソフトウェアインタフェースシステムコンポーネントは、多くの場合、それ自身がシェルとカーネルを含むオペレーティングシステムを含んでいる（ある種の実施形態では、オペレーティングシステムだけからなることもある）。「オペレーティングシステム」（ＯＳ）は、アプリケーションプログラムとコンピュータハードウェアの間の中間役の働きをする特殊なプログラムである。ハードウェア／ソフトウェアインタフェースシステムコンポーネントは、バーチャルマシンマネージャ（ＶＭＭ）、ＣＬＲ（Ｃｏｍｍｏｎ  Ｌａｎｇｕａｇｅ  Ｒｕｎｔｉｍｅ：共通言語ランタイム）または機能的に同等のもの、Ｊａｖａバーチャルマシン（ＪＶＭ）または機能的に同等のもの、またはコンピュータシステムにおけるオペレーティングシステムに置き換わるか、または付加される他のソフトウェアコンポーネントを含んでいることもある。ハードウェア／ソフトウェアインタフェースシステムの目的は、ユーザがアプリケーションプログラムを実行できる環境を提供することである。
【００３６】
ハードウェア／ソフトウェアインタフェースシステムは、一般にスタートアップ時にコンピュータシステムにロードされ、そのあとコンピュータシステムにおけるアプリケーションプログラムのすべてを管理する。アプリケーションプログラムは、アプリケーションプログラムインタフェース（ＡＰＩ）を通してサービスを要求することによりハードウェア／ソフトウェアインタフェースシステムとやりとりする。一部のアプリケーションプログラムは、コマンド言語（ｃｏｍｍａｎｄ  ｌａｎｇｕａｇｅ）やグラフィカルユーザインタフェース（ＧＵＩ）などのユーザインタフェースを通してエンドユーザがハードウェア／ソフトウェアインタフェースシステムとやりとりするのを可能にしている。
【００３７】
ハードウェア／ソフトウェアインタフェースシステムは、従来からアプリケーションのためにサービスを実行している。複数のプログラムが同時に稼動しているようなマルチタスキングハードウェア／ソフトウェアインタフェースシステムでは、ハードウェア／ソフトウェアインタフェースシステムは、どのアプリケーションプログラムをどの順序で実行させ、各アプリケーションに対してどれだけの時間を許容させるかを判断してから、ある別のアプリケーションに順番にスイッチングしている。ハードウェア／ソフトウェアインタフェースシステムは、内部メモリを複数のアプリケーション間で共有することも管理し、ハードディスク、プリンタおよびダイアルアップポートなどの接続ハードウェアデバイスとの入出力を取り扱っている。ハードウェア／ソフトウェアインタフェースシステムは、オペレーションのステータスおよび発生した可能性のあるエラーに関するメッセージも各アプリケーションに（ある種のケースでは、エンドユーザに）送信している。ハードウェア／ソフトウェアインタフェースシステムは、バッチジョブ（例えば、印刷）の管理負担を軽減して、開始側アプリケーションがこの作業から解放され、他の処理および／またはオペレーションを再開できるようにすることもできる。並行処理を提供できるコンピュータでは、ハードウェア／ソフトウェアインタフェースシステムは、プログラムが２以上のプロセッサ上で同時に実行されるようにプログラムを分割することも管理している。
【００３８】
ハードウェア／ソフトウェアインタフェースシステムシェル（「シェル」という）は、
ハードウェア／ソフトウェアインタフェースシステムとの対話型エンドユーザインタフェースである。（シェルは「コマンドインタプリタ」と呼ばれることもあり、オペレーティングシステムでは、「オペレーティングシステムシェル」と呼ばれることもある）。シェルは、アプリケーションプログラムおよび／またはエンドユーザによって直接にアクセス可能なハードウェア／ソフトウェアインタフェースシステムの外側層である。シェルとは対照的に、カーネルは、ハードウェアコンポーネントと直接にやりとりするハードウェア／ソフトウェアインタフェースシステムの最も内側の層である。
【００３９】
図２に示すように、例示の汎用コンピューティングシステムは従来のコンピューティングデバイス７６０などを含み、その中には、処理ユニット７２１、システムメモリ、およびシステムメモリを含む種々のシステムコンポーネントを処理ユニット７２１に結合するシステムバス７２３を含んでいる。システムバス７２３は、いくつかのタイプのバス構造のいずれかであることがあり、その中には、種々のバスアーキテクチャのいずれかを使用したメモリバスまたはメモリコントローラ、周辺バス、およびローカルバスを含んでいる。システムメモリはＲＯＭ（リードオンリメモリ）７６４とＲＡＭ（ランダムアクセスメモリ）７２５を含んでいる。スタートアップ時の期間のように、コンピューティングデバイス７６０内のエレメント間で情報の転送を支援する基本ルーチンを収めた基本入力システム７６６（ＢＩＯＳ）はＲＯＭにストアされている。コンピューティングデバイス７６０は、ハードディスク（ハードディスクは図示していない）との間で読み書きを行うハードディスクドライブ７２７、取り外し可能磁気ディスク（例：フロッピディスク、取り外し可能ストレージ）との間で読み書きを行なう磁気ディスクドライブ７２８（例：フロッピドライブ）、およびＣＤ−ＲＯＭまたは他の光媒体）などの取り外し可能な光ディスク７３１との間で読み書きを行なう光ディスクドライブをさらに備えていることがある。ハードディスクドライブ７２７、磁気ディスクドライブ７２８、および光ディスクドライブ７３０は、それぞれハードディスクドライブインタフェース７３２、磁気ディスクドライブインタフェース７３３、および光ドライブインタフェース７３４によってシステムバス７２３に接続されている。これらのドライブおよびその関連コンピュータ可読媒体は、コンピュータ可読命令、データ構造、プログラムモジュールおよび他のデータの不揮発性ストレージをコンピューティングデバイス７６０のために提供している。本明細書に記載の例示の環境はハードディスク、取り外し可能磁気ディスク７２９、および取り外し可能な光ディスク７３１を採用しているが、この分野の精通者ならば当然に理解されるように、磁気カセット、フラッシュメモリカード、デジタルビデオディスク、Ｂｅｒｎｏｕｌｌｉカートリッジ、ＲＡＭ（ランダムアクセスメモリ）、ＲＯＭ（リードオンリメモリ）などのように、コンピュータによってアクセス可能であるデータをストアできるその他のタイプのコンピュータ可読媒体が例示の動作環境で使用されることもある。同様に、例示の環境は、熱センサおよびセキュリティまたは火災警報システムなどの多数のタイプのモニタリングデバイス、およびその他の情報ソースを含んでいることもある。
【００４０】
いくつかのプログラムモジュールは、ハードディスク、磁気ディスク７２９、光ディスク７３１、ＲＯＭ７６４、またはＲＡＭ７２５にストアすることが可能であり、これらはオペレーティングシステム７３５、１または２以上のアプリケーションプログラム７３６、その他のプログラムモジュール７３７、およびプログラムデータ７３８が含まれている。ユーザは、キーボード７４０およびポインティングデバイス７６２（例：マウス）などの入力デバイスを通してコマンドおよび情報をコンピューティングデバイス７６０に入力することがある。その他の入力デバイス（図示せず）には、マイクロホン、ジョイスティック、ゲームパッド、サテライトディッシュ、スキャナなどが含まれていることがある。これらの入力デバイスおよびその他の入力デバイスは、システムバスに結合されたシリアルポートインタフェース７４６を通して処理ユニット７２１に接続されていることが多いが、パラレルポート、ゲームポート、またはＵＳＢ（ユニバーサルシリアルバス）などの、他のインタフェースによって接続されていることもある。モニタ７４７またはその他のタイプのディスプレイデバイスも、ビデオアダプタ７４８などのインタフェースを介してシステムバス７２３に接続されている。モニタ７４７のほかに、コンピューティングデバイスは、スピーカやプリンタのような他の周辺出力デバイス（図示せず）を備えているのが代表的である。図２の例示の環境は、ホストアダプタ７５５、ＳＣＳＩ（小型コンピュータシステムインタフェース）バス７５６、およびＳＣＳＩバス７５６に接続された外部ストレージデバイス７６２も含んでいる。
【００４１】
コンピューティングデバイス７６０は、リモートコンピュータ７４９のような、１または２以上のリモートコンピュータとの論理的コネクションを使用してネットワーク化環境で動作することがある。リモートコンピュータ７４９は、別のコンピューティングデバイス（例：パーソナルコンピュータ）、サーバ、ルータ、ネットワークＰＣ、ピアデバイス、またはその他の共通ネットワークノードであることがあり、コンピューティングデバイス７６０に関連して上述したエレメントの多くまたはすべてを含んでいるのが代表的である。なお、図２にはメモリストレージデバイス７５０（フロッピデバイス）だけが示されている。図２に図示の論理的コネクションはＬＡＮ（ローカルエリアネットワーク）７５１とＷＡＮ（ワイドエリアネットワーク）７５２を含んでいる。このようなネットワーキング環境は、オフィス、企業内コンピュータネットワーク、イントラネットおよびインターネットでは一般化されている。
【００４２】
ＬＡＮネットワーキング環境で使用されるときは、コンピューティングデバイス７６０はネットワークインタフェースまたはアダプタ７５３を通してＬＡＮ７５１に接続されている。ＷＡＮネットワーキング環境で使用されるときは、コンピューティングデバイス７６０は、インターネットのようなワイドエリアネットワーク７５２を利用した通信を確立するためのモデム７５２または他の手段を備えることが可能である。モデム７５４は内蔵型と外付け型があり、いずれもシリアルポートインタフェース７４６を介してシステムバス７２３に接続されている。ネットワーク化環境では、コンピューティングデバイス７６０に関して図示したプログラムモジュールまたはその一部はリモートメモリストレージデバイスにストアされていることがある。以上から理解されるように、図示のネットワークコネクションは例示であり、コンピュータ間に通信リンクを確立する他の手段が使用されることもある。
【００４３】
ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和の多くの実施形態は、特にコンピュータ化システムに適していることが想定されているが、本明細書中のいずれも、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和がこのような実施形態に限定されることを意図していない。これに反して、本明細書の中で使用されている「コンピュータシステム」の用語は、情報をストアし、処理する能力を備え、および／またはストアされた情報を使用してデバイス自体の行動または実行を制御する能力を備えたいずれかのデバイスおよびすべてのデバイスを含むことを意図し、そのようなデバイスは本質的に電子的である、機械的であるか、論理的であるか、仮想的であるかとは無関係である。
【００４４】
本明細書に記載した種々の手法は、ハードウェアまたはソフトウェアに関連して実現することも、該当する場合には、ハードウェアとソフトウェアを組み合わせたもので実現することも可能である。従って、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和のための方法および装置、またはある種の側面またはその一部は、フロッピディスケット、ＣＤ−ＲＯＭ、ハードドライブ、または他のいずれかのマシン可読記憶媒体などの、有形媒体に具現化されたプログラムコード（例：命令）の形態にすることが可能であり、そこでは、プログラムコードがコンピュータのようなマシンにロードされ、マシンによって実行されるとき、そのマシンはｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和を実現するための装置になっている。
【００４５】
プログラムは、必要ならば、アセンブリ言語またはマシン言語で実現することができる。いずれの場合も、言語はコンパイル型または解釈型言語にすることができ、ハードウェアに実装したもの組み合わせることができる。ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和を実現するための方法および装置は、電気的ワイヤリングまたはケーブリングの利用、光ファイバの利用、その他のいずれかの伝送形体の利用といったように、なんらかの伝送媒体を使用して伝送されるプログラムコードの形体に具現化された通信を通して実施することもでき、そこでは、プログラムコードが受信されたとき、ＥＰＲＯＭ、ゲートアレイ、ＰＬＤ（ｐｒｏｇｒａｍｍａｂｌｅ  ｌｏｇｉｃ  ａｒｒａｙ：プログラマブルロジックアレイ）、クライアントコンピュータなどのマシンにロードされ、そのマシンによって実行されている。汎用プロセッサ上に実装されているときは、プログラムコードはプロセッサと組み合わさって、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和の機能を起動するように動作するユニークな装置を提供している。さらに、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和と関連して使用されるいずれの記憶手法も、常にハードウェアとソフトウェアを組み合わせたものすることができる。
【００４６】
ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和を種々の図の例示実施形態と関連付けて説明してきたが、当然に理解されるように、その他の類似実施形態を使用することも、上述した実施形態に改良と追加を行なって、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和の同じ機能を、ｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和から逸脱しない範囲で実行することも可能である。従って、本明細書に記載したｅメールディレクトリ取得物攻撃のダイナミックな検出と緩和は、どの実施形態にも限定されず、むしろ、規模と範囲は請求項の記載に従って解釈されるものである。
【図１】
2010541425.tif 000003
【図２】
2010541425.tif 000004
【図３】
2010541425.tif 000005
【国際調査報告】
2010541425.tif 000006
2010541425.tif 000007