(57)【要約】  本発明の悪質な電子メールの分類方法は、受信される電子メールパケットを読み取り可能な形態で復号化した後、パケットヘッダー部を分析し、ヘッダー情報別に分類する段階と、前記分類された各ヘッダー情報の正常有無を判断し、その判断結果によって当該ヘッダー情報に特定値を付与する段階と、それぞれのヘッダー情報に付与された特定値を利用して論理的推論規則によって悪質な電子メールを分類する段階と、悪質に分類された電子メールのヘッダー情報のうち実行添付ファイルが存在する場合、データ間の親密度分布を利用してウイルス感染可否を判定する段階とを備える。本発明によれば、スパムフィルタリングやウイルス情報に対するデータベース（ＤＢ）がなくても、悪質な電子メールを効果的に分類することができると共に、ウイルス感染可否も判定することができ、新しく発生するウイルスに対する予防も行うことができる。これにより、電子メールサーバ自体で保安技術を有することができ、例えば、スパムフィルタやアンチウイルスサーバ前段階で処理することができるので、さらに安全にメールサーバを運用することができる。
2010539556.tif 000002
【特許請求の範囲】
【請求項１】
受信される電子メールパケットを読み取り可能な形態で復号化した後、パケットヘッダー部を分析し、ヘッダー情報別に分類する段階と、
前記分類された各ヘッダー情報の正常有無を判断し、その判断結果によって当該ヘッダー情報に特定値を付与する段階と、
それぞれのヘッダー情報に付与された特定値を利用して論理的推論規則によって悪質な電子メールを分類する段階と、を備える悪質な電子メールの分類方法。
【請求項２】
前記ヘッダー情報は、メールヘッダー（Ｈ）部分、発信者部分（Ｆｒ）、受信者部分（Ｔｏ）及び実行添付ファイル（ＥＦ）情報からなることを特徴とする請求項１に記載の電子メールのウイルス感染可否判定方法。
【請求項３】
前記それぞれのヘッダー情報が正常の場合、‘１’、悪質の場合、‘０’の特定値を付与することを特徴とする請求項１に記載の電子メールのウイルス感染可否判定方法。
【請求項４】
前記論理的推論規則は、発信者部分（Ｆｒ）情報が正常であるが、受信者部分（Ｔｏ）及びメールヘッダー（Ｈ）部分情報が悪質であると共に、実行添付ファイル（ＥＦ）が存在する場合、悪質な電子メールに分類することを特徴とする請求項１に記載の電子メールのウイルス感染可否判定方法。
【請求項５】
前記論理的推論規則は、発信者部分（Ｆｒ）情報が悪質であり、受信者部分（Ｔｏ）情報が正常であるが、メールヘッダー（Ｈ）部分情報が悪質であると共に、実行添付ファイル（ＥＦ）が存在する場合、悪質な電子メールに分類することを特徴とする請求項１に記載の電子メールのウイルス感染可否判定方法。
【請求項６】
前記論理的推論規則は、発信者部分（Ｆｒ）及び受信者部分（Ｔｏ）情報が悪質であるが、メールヘッダー（Ｈ）部分情報が正常であると共に、実行添付ファイル（ＥＦ）が存在する場合、悪質な電子メールに分類することを特徴とする請求項１に記載の電子メールのウイルス感染可否判定方法。
【請求項７】
前記論理的推論規則は、発信者部分（Ｆｒ）、受信者部分（Ｔｏ）及びメールヘッダー（Ｈ）部分情報が悪質の場合、悪質な電子メールに分類することを特徴とする請求項１に記載の電子メールのウイルス感染可否判定方法。
【請求項８】
受信される電子メールパケットを読み取り可能な形態で復号化した後、パケットヘッダー部を分析し、ヘッダー情報別に分類する段階と、
前記分類された各ヘッダー情報の正常有無を判断し、その判断結果によって当該ヘッダー情報に特定値を付与する段階と、
それぞれのヘッダー情報に付与された特定値を利用して論理的推論規則によって悪質な電子メールを分類する段階と、
悪質に分類された電子メールのヘッダー情報のうち実行添付ファイルが存在する場合、データ間の親密度分布を利用してウイルス感染可否を判定する段階と、を備える電子メールのウイルス感染可否判定方法。
【請求項９】
前記ウイルス感染可否を判定する段階は、
前記実行添付ファイルデータを変換して簡単化する過程と、
前記簡単化された実行添付ファイルデータを正規化する過程と、
前記正規化された実行添付ファイルデータを利用してデータ間の親密度分布を獲得する過程と、
前記獲得されたデータ間の親密度分布を分析し、あらかじめ設定された濃密な分布パターンが存在する場合、ウイルス感染として判定する過程と、を備えることを特徴とする請求項８に記載の電子メールのウイルス感染可否判定方法。
【請求項１０】
前記データ間の親密度分布は、自己組織化マップ（ＳＯＭ）学習アルゴリズムを利用して前記正規化された実行添付ファイルデータに対する最適化されたコードマップを構成した後、周辺の値の平均値を中心にして新しいマトリックスを構成して獲得されることを特徴とする請求項９に記載の電子メールのウイルス感染可否判定方法。
【請求項１１】
前記ヘッダー情報は、メールヘッダー（Ｈ）部分、発信者部分（Ｆｒ）、受信者部分（Ｔｏ）及び実行添付ファイル（ＥＦ）情報からなることを特徴とする請求項８に記載の電子メールのウイルス感染可否判定方法。
【請求項１２】
前記それぞれのヘッダー情報が正常の場合、‘１’に、悪質の場合、‘０’に特定値を付与することを特徴とする請求項８に記載の電子メールのウイルス感染可否判定方法。
【請求項１３】
前記論理的推論規則は、
発信者部分（Ｆｒ）情報が正常であるが、受信者部分（Ｔｏ）及びメールヘッダー（Ｈ）部分情報が悪質であると共に、実行添付ファイル（ＥＦ）が存在する場合、悪質な電子メールに分類することを特徴とする請求項８に記載の電子メールのウイルス感染可否判定方法。
【請求項１４】
前記論理的推論規則は、
発信者部分（Ｆｒ）情報が悪質であり、受信者部分（Ｔｏ）情報が正常であるが、メールヘッダー（Ｈ）部分情報が悪質であると共に、実行添付ファイル（ＥＦ）が存在する場合、悪質な電子メールに分類することを特徴とする請求項８に記載の電子メールのウイルス感染可否判定方法。
【請求項１５】
前記論理的推論規則は、発信者部分（Ｆｒ）及び受信者部分（Ｔｏ）情報が悪質であるが、メールヘッダー（Ｈ）部分情報が正常であると共に、実行添付ファイル（ＥＦ）が存在する場合、悪質な電子メールに分類することを特徴とする請求項８に記載の電子メールのウイルス感染可否判定方法。
【請求項１６】
前記論理的推論規則は、
発信者部分（Ｆｒ）、受信者部分（Ｔｏ）及びメールヘッダー（Ｈ）部分情報が悪質的の場合、悪質な電子メールに分類することを特徴とする請求項８に記載の電子メールのウイルス感染可否判定方法。
【請求項１７】
受信される電子メールに実行添付ファイルが存在する場合、前記実行添付ファイルデータを変換して簡単化する段階と、
前記簡単化された実行添付ファイルデータを正規化する段階と、
前記正規化された実行添付ファイルデータを利用してデータ間の親密度分布を獲得する段階と、
前記獲得されたデータ間の親密度分布を分析し、あらかじめ設定された濃密な分布パターンが存在する場合、ウイルス感染として判定する段階と、を備えることを特徴とする電子メールのウイルス感染可否判定方法。
【請求項１８】
前記データ間の親密度分布は、自己組織化マップ（Self-Organizing Maps；ＳＯＭ）学習アルゴリズムを利用して前記正規化された実行添付ファイルデータに対する最適化されたコードマップを構成した後、周辺の値の平均値を中心にして新しいマトリックスを構成して獲得されることを特徴とする請求項１７に記載の電子メールのウイルス感染可否判定方法。
【請求項１９】
コンピュータで読み取り可能な記録媒体であって、請求項１乃至１８のいずれか１つに記載の方法を実行するためのプログラムが記録されていることを特徴とする記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、悪質な電子メールの分類方法及びウイルス感染可否判定方法に関し、より詳細には、論理的推論規則によってスパムフィルタリングやウイルス情報に対するデータベース（ＤＢ）がなくても、電子メールパケットに対する確率的データに基づいて悪質な電子メールを分類し、実行添付ファイルを有する電子メールに対するウイルス感染可否を効果的に判定するための方法に関する。
【背景技術】
【０００２】
一般的に、電子メールの便利な使用や速い速度のインターネット普及、そしてインターネット技術開発に伴って、電子メールを介したサイバー被害も増加している。
このような電子メールを介して各種スパムを送ったり、最近には、電子メールを介して人々を誘惑し、資金を横領する事件も増えており、ウイルスが電子メールを介して伝搬される場合もますます増加している。
【０００３】
これに対する対策として、スパムフィルタリングやアンチウイルス技術が提示されているが、既存の対応策は、すべて既に知られているパターンに対する情報に基づいてそのようなメールが伝達されるときに検索し、防止する水準にとどまっている。
【０００４】
すなわち、ユーザが特定形式（拡張子）の添付ファイルや特定のメールアドレスを遮断リストに設定しておけば、以後に設定された形式の添付ファイルを有する電子メールや設定されたメールアドレスから発信された電子メールを迷惑メールに分類するようになっている。
【０００５】
また、既存にスパム処理がパターンマッチングを使用する場合、発生したスパムに対するそれぞれのパターンをデータベースに保存し、同じパターンのスパムが発生するとき、これに対して制裁を加えるようになっている。
【０００６】
また、ウイルスに対してもウイルス署名をデータベース（ＤＢ）に保存し、アンチウイルスプログラムが１つのプログラムずつを検査し、ウイルス署名を捜すようになれば、当該プログラムは、ウイルスに感染されたものと判定する。また、最近、インターネットワームのような場合も、ウイルス署名で検索し、同じ署名が発見されれば、インターネットワームとして判定し、処理している。
【０００７】
しかしながら、従来の技術では、発生したものに対するデータベースのアップデートのみに依存するようになり、初めて発生するものに対しては、処理方法が全然存在しない状態になる。これにより、ゼロデイ攻撃に対しては、無防備状態にある問題点がある。
【先行技術文献】
【特許文献】
【０００８】
【非特許文献１】[TeuvoKohonen, “Self-Organization and Associative Memory”, 3rd edition, NewYork:Springer-Verlag, 1998] , [TeuvoKohonen, “Self-Organizing Maps”, Springer, Berlin, Heidelberg, 1995]
【発明の概要】
【発明が解決しようとする課題】
【０００９】
本発明は、前述したような問題点を解決するためになされたもので、本発明の目的は、論理的推論規則によって既存のパターンを用いたスパムフィルタリング過程を行うことなく、悪質な電子メールを効果的に分類することによって、電子メールサーバ自体で保安技術を有することができ、スパムフィルタサーバ前段階で処理することができるので、さらに安全にメールサーバを運用することができる悪質な電子メールの分類方法を提供することにある。
【００１０】
本発明の他の目的は、受信される電子メールに実行添付ファイルが存在する場合、データ間の親密度分布を利用してウイルス感染可否を判定することによって、ウイルス情報に対するデータベース（ＤＢ）がなくても、電子メールのウイルス感染可否を判定し、新しく発生するウイルスに対して効果的に予防することができる電子メールのウイルス感染可否判定方法を提供することにある。
【課題を解決するための手段】
【００１１】
上記課題を解決するために、本発明の第１様態に係る悪質な電子メールの分類方法は、受信される電子メールパケットを読み取り可能な形態で復号化した後、パケットヘッダー部を分析し、ヘッダー情報別に分類する段階と、前記分類された各ヘッダー情報の正常有無を判断し、その判断結果によって当該ヘッダー情報に特定値を付与する段階と、それぞれのヘッダー情報に付与された特定値を利用して論理的推論規則によって悪質な電子メールを分類する段階と、を備える
。
【００１２】
ここで、前記ヘッダー情報は、メールヘッダー（Ｈ）部分、発信者部分（Ｆｒ）、受信者部分（Ｔｏ）及び実行添付ファイル（ＥＦ）情報からなることが好ましい。
【００１３】
好ましくは、前記それぞれのヘッダー情報が正常の場合、‘１’、悪質の場合、‘０’の特定値を付与する。
【００１４】
好ましくは、前記論理的推論規則は、発信者部分（Ｆｒ）情報が正常であるが、受信者部分（Ｔｏ）及びメールヘッダー（Ｈ）部分情報が悪質であると共に、実行添付ファイル（ＥＦ）が存在する場合、悪質な電子メールに分類する。
【００１５】
好ましくは、前記論理的推論規則は、発信者部分（Ｆｒ）情報が悪質であり、受信者部分（Ｔｏ）情報が正常であるが、メールヘッダー（Ｈ）部分情報が悪質であると共に、実行添付ファイル（ＥＦ）が存在する場合、悪質な電子メールに分類する。
【００１６】
好ましくは、前記論理的推論規則は、発信者部分（Ｆｒ）及び受信者部分（Ｔｏ）情報が悪質であるが、メールヘッダー（Ｈ）部分情報が正常であると共に、実行添付ファイル（ＥＦ）が存在する場合、悪質な電子メールに分類する。
【００１７】
好ましくは、前記論理的推論規則は、発信者部分（Ｆｒ）、受信者部分（Ｔｏ）及びメールヘッダー（Ｈ）部分情報が悪質の場合、悪質な電子メールに分類する。
【００１８】
また、本発明の第２態様に係る電子メールのウイルス感染可否判定方法は、受信される電子メールパケットを読み取り可能な形態で復号化した後、パケットヘッダー部を分析し、ヘッダー情報別に分類する段階と、前記分類された各ヘッダー情報の正常有無を判断し、その判断結果によって当該ヘッダー情報に特定値を付与する段階と、それぞれのヘッダー情報に付与された特定値を利用して論理的推論規則によって悪質な電子メールを分類する段階と、悪質に分類された電子メールのヘッダー情報のうち実行添付ファイルが存在する場合、データ間の親密度分布を利用してウイルス感染可否を判定する段階と、を備える。
【００１９】
ここで、前記ウイルス感染可否を判定する段階は、前記実行添付ファイルデータを変換して簡単化する過程と、前記簡単化された実行添付ファイルデータを正規化する過程と、前記正規化された実行添付ファイルデータを利用してデータ間の親密度分布を獲得する過程と、前記獲得されたデータ間の親密度分布を分析し、あらかじめ設定された濃密な分布パターンが存在する場合、ウイルス感染として判定する過程と、を備えることが好ましい。
【００２０】
好ましくは、前記データ間の親密度分布は、自己組織化マップ（ＳＯＭ）学習アルゴリズムを利用して前記正規化された実行添付ファイルデータに対する最適化されたコードマップを構成した後、周辺の値の平均値を中心にして新しいマトリックスを構成して獲得される。
【００２１】
また、本発明の第３態様に係る電子メールのウイルス感染可否判定方法は、受信される電子メールに実行添付ファイルが存在する場合、前記実行添付ファイルデータを変換して簡単化する段階と、前記簡単化された実行添付ファイルデータを正規化する段階と、
前記正規化された実行添付ファイルデータを利用してデータ間の親密度分布を獲得する段階と、前記獲得されたデータ間の親密度分布を分析し、あらかじめ設定された濃密な分布パターンが存在する場合、ウイルス感染として判定する段階と、を備える。
【００２２】
また、本発明の第４態様は、悪質な電子メールの分類方法及びウイルス感染可否判定方法を実行するためのプログラムを記録したコンピュータが読み込み可能な記録媒体を提供する。
【発明の効果】
【００２３】
以上説明したような本発明の悪質な電子メールの分類方法及びウイルス感染可否判定方法によれば、スパムフィルタリングやウイルス情報に対するデータベース（ＤＢ）がなくても、悪質な電子メールを効果的に分類することができると共に、ウイルス感染可否も判定することができ、新しく発生するウイルスに対する予防も行うことができるという利点がある。
また、本発明によれば、電子メールサーバ自体で保安技術を有することができ、例えば、スパムフィルタやアンチウイルスサーバ前段階で処理することができるので、さらに安全にメールサーバを運用することができるという利点がある。
【図面の簡単な説明】
【００２４】
【図１】本発明の一実施例に係る悪質な電子メールの分類方法及びウイルス感染可否判定方法を説明するための全体的な流れ図である。
【図２】本発明の一実施例に適用された論理的推論規則を説明するための概念図である。
【図３】本発明の一実施例に係るウイルス感染可否判定方法を具体的に説明するための流れ図である。
【図４】本発明の一実施例に適用されたデータ間の親密度分布を獲得するための具体的な流れ図である。
【図５】本発明の一実施例に係るウイルス感染可否判定方法を通じてウイルス感染判定されたファイルを説明するための実際のデータ図である。
【図６】本発明の一実施例に係るウイルス感染可否判定方法を通じてウイルス感染判定されたファイルを説明するための実際のデータ図である。
【図７】本発明の一実施例に係るウイルス感染可否判定方法を通じてウイルス感染判定されたファイルを説明するための実際のデータ図である。
【図８】本発明の一実施例に係るウイルス感染可否判定方法を通じてウイルス感染判定されたファイルを説明するための実際のデータ図である。
【図９】本発明の一実施例に係るウイルス感染可否判定方法を通じてウイルス感染判定されたファイルを説明するための実際のデータ図である。
【図１０】本発明の一実施例に適用された濃密な分布パターンを説明するための実際のデータ図である。
【発明を実施するための形態】
【００２５】
以下、添付の図面を参照して本発明の実施例を詳細に説明する。しかし、下記に例示する本発明の実施例は、様々な他の形態に変形可能であり、本発明の範囲は下記に説明する実施例に限定されるものではない。本発明の実施例は、当業界における通常の知識を有する者に本発明をさらに完全に説明するために提供されるものである。
【００２６】
図１は、本発明の一実施例に係る悪質な電子メールの分類方法及びウイルス感染可否判定方法を説明するための全体的な流れ図である。
【００２７】
図１を参照すれば、まず、電子メールパケットが受信されれば、受信される電子メールパケットを読み取り可能な形態で復号化を行った後（Ｓ１００）、電子メールパケットのヘッダー部を分析し、ヘッダー情報別に分類する（Ｓ２００）。
【００２８】
ここで、通常、標準勧告案である‘ＲＦＣ（Request For Comments）８２２’では、電子メールを使用するためのフォーマットを定義しているが、これによれば、電子メールは、ヘッダー部とボディー部とに分けられ、前記ヘッダー部には、電子メールを正しく配送するために必要な電子メールのアドレスと発信先などが記載されなければならない。
【００２９】
また、前記復号化は、符号化された電子メールを読み取り可能な形態で変換するもので、一般的に、電子メールは、発送者が発送するとき、ＭＴＡで８ビット、Ｑｕｏａｔｅｄ−Ｐｒｉｎｔａｂｌｅ、Ｂａｓｅ６４などの基準によって変換されて発送されるが、これを符号化と言い、受信者側でこれを再解釈するために、さらに原文状態で解読することを復号化と言う。
【００３０】
一方、本発明の一実施例に使用されたヘッダー情報は、例えば、メールヘッダー（Ｈ）部分、発信者部分（Ｆｒ）、受信者部分（Ｔｏ）及び実行添付ファイル（ＥＦ）情報からなることが好ましいが、これらに限定されず、通常の電子メールのヘッダー部に含まれた多様な情報を含むこともできる。
【００３１】
次に、前記段階Ｓ２００で分類された各ヘッダー情報の正常有無を判断（Ｓ３００）、すなわち電子メールパケットのスペック（Ｓｐｅｃ）による正常化を判断した後、その判断結果によって当該ヘッダー情報に特定値を付与する（Ｓ４００）。
【００３２】
この時、それぞれのヘッダー情報が正常の場合、‘１’、悪質の場合、‘０’の特定値を付与することが好ましい。
【００３３】
その後、前記段階Ｓ４００で、それぞれのヘッダー情報に付与された特定値を利用して後述する論理的推論規則によって悪質な電子メールを分類した後（Ｓ５００）、悪質に分類された電子メールのヘッダー情報のうち実行添付ファイルが存在する場合、後述するデータ間の親密度分布を利用してウイルス感染可否を判定する（Ｓ６００）。
【００３４】
一方、本発明の一実施例では、ウイルス感染可否の判定対象を悪質に分類された電子メールに実行添付ファイルが存在する場合に限定したが、これに限定されず、ウイルス感染可否の判定は、実行添付ファイルが存在するすべての電子メールを対象にして行うこともできる。
【００３５】
最後に、前記段階Ｓ５００及び段階Ｓ６００が行われた電子メールパケットを適用されたサイトの政策によって電子メールパケットを通過させるか、それとも、フィルタリング作業を進行し、他の所に移すかなどを決定し、最終的に当該電子メールパケットを処理する。
【００３６】
図２は、本発明の一実施例に適用された論理的推論規則を説明するための概念図である。
【００３７】
図２を参照すれば、本発明の一実施例に適用された論理的推論規則は、特定値（‘０’又は‘１’）が付与されたそれぞれのヘッダー情報によって正常な又は悪質な電子メールに分類するために論理的に推論して得た規則である。
【００３８】
すなわち、電子メールを送った側の情報、すなわち発信者部分（Ｆｒ）が正確であり（Ｆｒ：１）、電子メールを受ける側の情報、すなわち受信者部分（Ｔｏ）が正確である（Ｔｏ：１）場合、当該電子メールは、正常化の可能性が高いので、正常な電子メールに分類する。
【００３９】
また、発信者部分（Ｆｒ）が正確であるが（Ｆｒ：１）、受信者部分（Ｔｏ）が正確ではない（Ｔｏ：０）場合にも、当該電子メールは、正常化の可能性が高いので、正常な電子メールに分類する。
【００４０】
また、発信者部分（Ｆｒ）が正確ではないが（Ｆｒ：０）、受信者部分（Ｔｏ）が正確であり（Ｔｏ：１）、メールヘッダー（Ｈ）部分の情報がスペックに合う（Ｈ：１）場合にも、当該電子メールは、正常化の可能性が高いので、正常な電子メールに分類する。
【００４１】
また、発信者部分（Ｆｒ）が正確ではないが（Ｆｒ：０）、受信者部分（Ｔｏ）が正確であり（Ｔｏ：１）、メールヘッダー（Ｈ）部分の情報がスペックに合わず（Ｈ：０）、実行添付ファイル（ＥＦ）が存在しない（ＥＦ：０）場合にも、当該電子メールは、正常化の可能性が高いので、正常な電子メールに分類する。
【００４２】
また、発信者部分（Ｆｒ）が正確ではなく（Ｆｒ：０）、受信者部分（Ｔｏ）が正確ではなく（Ｔｏ：０）、メールヘッダー（Ｈ）部分の情報がスペックに合い（Ｈ：１）、実行添付ファイル（ＥＦ）が存在しない（ＥＦ：０）場合にも、当該電子メールは、正常化の可能性が高いので、正常な電子メールに分類する。
【００４３】
一方、発信者部分（Ｆｒ）が正確であるが（Ｆｒ：１）、受信者部分（Ｔｏ）が正確ではなく（Ｔｏ：０）、メールヘッダー（Ｈ）部分の情報がスペックに合わないと共に（Ｈ：０）、実行添付ファイル（ＥＦ）が存在する（ＥＦ：１）場合、当該電子メールは、悪質化の可能性が高いので、悪質な電子メールに分類する。
【００４４】
また、発信者部分（Ｆｒ）が正確ではないが（Ｆｒ：０）、受信者部分（Ｔｏ）が正確であり（Ｔｏ：１）、メールヘッダー（Ｈ）部分の情報がスペックに合わないと共に（Ｈ：０）、実行添付ファイル（ＥＦ）が存在する（ＥＦ：１）場合にも、当該電子メールは、悪質化の可能性が高いので、悪質な電子メールに分類する。
【００４５】
また、発信者部分（Ｆｒ）が正確ではなく（Ｆｒ：０）、受信者部分（Ｔｏ）が正確ではないが（Ｔｏ：０）、メールヘッダー（Ｈ）部分の情報がスペックに合い（Ｈ：１）、実行添付ファイル（ＥＦ）が存在する（ＥＦ：１）場合にも、当該電子メールは、悪質化の可能性が高いので、悪質な電子メールに分類する。
【００４６】
また、発信者部分（Ｆｒ）が正確ではなく（Ｆｒ：０）、受信者部分（Ｔｏ）が正確ではなく（Ｔｏ：０）、メールヘッダー（Ｈ）部分の情報がスペックに合わない（Ｈ：０）場合にも、当該電子メールは、悪質化の可能性が高いので、悪質な電子メールに分類する。
【００４７】
一方、メールヘッダー（Ｈ）部分に対する正常化／悪質化判断の対象は、例えば、複合的なコンテンツタイプ（Multiple Content-Type）の有無（悪質化／正常化）、複合的な符号化ヘッダー（Multiple Encoding Header）の有無（悪質化／正常化）又は複合的なノン−プレイン（Multiple Non-Plain）ヘッダーの有無（悪質化／正常化）、メールヘッダー部とボディー部のタイプ一致性有無（正常化／悪質化）、不正な形式のメールヘッダーの有無（悪質化／正常化）などが含まれることができる。
【００４８】
また、発信者部分（Ｆｒ）に対する正常化／悪質化判断の対象は、例えば、発信者側のＩＰに対するドメインネームの存在有無（正常化／悪質化）、ドメインの存在性有無（正常化／悪質化）、ＳＭＴＰプロトコル内の発信者側でセットされた発信者アドレスのドメインネームの使用有無（すなわち、ｉｎｓｅｏｎ．ｙｏｏ＠１９２．１６８．１．２（悪質化）のようにＩＰとして使用されず、ｉｎｓｅｏｎ．ｙｏｏ＠ｓａｍｓｕｎｇ．ｃｏｍ（正常化）のように、ドメインネームで送られるものを意味する）、発信地のＩＰアドレスと発信者アドレスに使用されたメイン名の一致有無（正常化／悪質化）などを含むことができる。
【００４９】
また、受信者部分（Ｔｏ）に対する正常化／悪質化判断の対象は、受信者の存在有無（正常化／悪質化）、不適合な受信者アドレス（すなわち、ＩＰで設定された値で送られたが、メール部分では受信者アドレスが全然合わずに入っている場合）（悪質化）、受信者アドレスにドメイン名ではないＩＰに入っている場合（悪質化）、受信者部分（Ｔｏ）は空いているが、参照（Ｃｃ）部分や隠れた参照（Ｂｃｃ）部分に入って、ドメインネーム無しに送った場合（悪質化）、受信者部分（Ｔｏ）と参照（Ｃｃ）部分は空いているが、隠れた参照（Ｂｃｃ）部分にだけ受信者アドレスが入って、ドメインネーム無しに送った場合（悪質化）などを含むことができる。
【００５０】
図３は、本発明の一実施例に適用されたウイルス感染可否判定方法を具体的に説明するための流れ図である。
【００５１】
図３を参照すれば、本発明の一実施例に適用されたウイルス感染可否判定方法は、正常又は悪質に分類された電子メールに実行添付ファイルが存在する場合、後述するデータ間の親密度分布を利用して当該電子メールの実行添付ファイルにウイルスが存在するか否かを判定する方法である。
【００５２】
これを具体的に説明すれば、まず、データ変換作業を通じて当該実行添付ファイルデータを簡単化する（Ｓ６１０）。このとき、前記データ変換作業は、バイナリー形態の実行添付ファイルデータを簡単な十進数形態に変換する過程である。
【００５３】
その後、正規化作業を通じて前記段階Ｓ６１０で簡単化された実行添付ファイルデータを正規化する（Ｓ６２０）。すなわち、前記正規化作業は、簡単化された実行添付ファイルデータを特定範囲（例えば、［０〜１］範囲など）内のデータに変換して標準化する作業である。
【００５４】
次に、前記段階Ｓ６２０で正規化された実行添付ファイルデータを利用して後述するデータ間の親密度分布を獲得した後（Ｓ６３０）、前記獲得されたデータ間の親密度分布を分析し、あらかじめ設定された濃密な分布パターンが存在する場合、当該電子メールの実行添付ファイルがウイルス感染されたものと判定する（Ｓ６４０）。
【００５５】
ここで、前記濃密な分布パターンは、データの分布が任意の点を中心にして濃密に集まられたパターンを言い、ウイルスに感染されたデータには、このような濃密なデータの分布が現われるようになる。これにより、このような濃密な分布パターンの有無によってウイルスの感染可否が容易に分かる。
【００５６】
図４は、本発明の一実施例に適用されたデータ間の親密度分布を獲得するための具体的な流れ図である。
【００５７】
図４を参照すれば、本発明の一実施例に適用されたデータ間の親密度分布は、様々な段階のデータ計算過程を経て獲得することができる。すなわち、通常の自己組織化マップ（Self-Organizing Maps；ＳＯＭ）学習アルゴリズムを利用して図３の段階Ｓ６２０で正規化された実行添付ファイルデータ密集度に対する最適化されたコードマップを構成した後、周辺値の平均値を中心にして新しいマトリックスを構成して獲得することができる。
【００５８】
これを具体的に説明すれば、まず、前記正規化された実行添付ファイルデータの中間値と固有ベクトルを獲得した後（Ｓ６３１）、前記獲得された中間値と固有ベクトルを利用してコードマップを構成する（Ｓ６３２）。
【００５９】
その後、前記段階Ｓ６３２で構成されたコードマップは、前記正規化された実行添付ファイルデータと差異値を計算し、最もよくマッチングされるデータ、すなわちベストマッチデータベクトルを獲得する（Ｓ６３３）。
【００６０】
次に、前記段階Ｓ６３３で獲得されたベストマッチデータベクトルは、もう一度全体データを計算するために前記コードマップを他のマップに移動した後（Ｓ６３４）、前記正規化された実行添付ファイルデータと差異値をさらに計算し、差異値が少ない値、すなわち最もよくマッチングされた値を中心にして保存する（Ｓ６３５）。
【００６１】
その後、全体的に周辺値の平均値を中心にしてさらにデータが整理され、新しいマトリックスを構成する（Ｓ６３６）。
【００６２】
一方、前記の段階Ｓ６３１乃至段階Ｓ６３５は、通常の自己組織化マップ（ＳＯＭ）学習アルゴリズムを適用したもので、このような自己組織化マップ（ＳＯＭ）学習アルゴリズムは、非特許文献１に詳しく記述されている。
【００６３】
図５乃至図９は、本発明の一実施例に係るウイルス感染可否判定方法によりウイルス感染判定されたファイルを説明するための実際のデータ図であって、図５は、バイナリー形態の実行添付ファイルデータを簡単な十進数形態に変換したデータの一部分を示す図であり、図６は、図５の簡単化された実行添付ファイルデータを正規化した後、データの一部分を示す図であり、図７は、図６のデータを自己組織化マップ（ＳＯＭ）学習アルゴリズムを行った後、新しいマトリックスを構成して得られたデータの一部分を示す図であり、図８は、図７で得られたデータ値のうちあらかじめ設定された基準値（例えば、７２）より大きい値は残し、残りを除去し、データ間の親密度分布を獲得したデータを示す図であり、図９は、図８で獲得したデータを容易に把握するために、文字‘Ｓ’に取り替えたデータを示す図である。
【００６４】
図１０は、本発明の一実施例に適用された濃密な分布パターンを説明するための実際のデータ図であって、図１０の（ａ）及び（ｂ）は、図８及び図９に該当し、図６の（ｂ）で、文字‘Ｓ’のグループが少なくとも正四角形の約３／４程度が満たされた形態で現われるようになれば、それを“濃密な分布パターン”と決定することができる。
【００６５】
一方、文字‘Ｓ’が新しいマトリックスを覆うことかできるが（これは、データの親密度がすべて類似な場合に現われる）、このよう場合は、いくら文字‘Ｓ’が１ヶ所に集まっている形態と言っても、濃密な分布パターンであると決定しない。
【００６６】
前述したように、本発明によって電子メールサーバ側では、電子メールパケットの正常有無に対して、ひいては、ウイルス感染可否に対しても事前に対処することができる効果がある。
【００６７】
特に、本発明は、スパムや電子メールで流布されるウイルスに感染されたファイルに対する遮断、ひいては、悪質な電子メールパケットに対して、特定の情報のデータベース（ＤＢ）がなくても処理することができ、このように一段階さらに強化された防御機能により電子メールサーバ側に対する保安的安全度を高めることができる。
【００６８】
一方、本発明の一実施例に係る悪質な電子メールの分類方法及びウイルス感染可否判定方法は、コンピュータで読み取り可能な記録媒体にコンピュータが読み取り可能なコードとして実装可能である。コンピュータが読み取り可能な記録媒体は、コンピュータシステムによって読み取り可能なデータが保存される任意の記録装置を含む。
【００６９】
例えば、コンピュータが読み取り可能な記録媒体として、ＲＯＭ、ＲＡＭ、ＣＤ−ＲＯＭ、磁気テープ、ハードディスク、フロッピー（登録商標）ディスク、移動式保存装置、非揮発性メモリ（フラッシュメモリなど）、光データ保存装置などが挙げられ、また、搬送波（例えば、インターネットを用いた伝送）の形態で具現されるものも含まれる。
【００７０】
また、コンピュータで読み取り可能な記録媒体は、コンピュータ通信網で接続されたコンピュータシステムに分散され、その方法は分散方式で読み出すことができるコードで保存され実行されることができる。
【００７１】
前述した本発明による悪質な電子メールの分類方法及びウイルス感染可否判定方法の好ましい実施例について説明したが、本発明は、これに限定されるものではなく、特許請求範囲と発明の詳細な説明及び添付の図面の範囲内で様々に変形して実施することが可能であり、これも本発明に属する。
【図１】
2010539556.tif 000003
【図２】
2010539556.tif 000004
【図３】
2010539556.tif 000005
【図４】
2010539556.tif 000006
【図５】
2010539556.tif 000007
【図６】
2010539556.tif 000008
【図７】
2010539556.tif 000009
【図８】
2010539556.tif 000010
【図９】
2010539556.tif 000011
【図１０】
2010539556.tif 000012
【国際調査報告】
2010539556.tif 000013
2010539556.tif 000014