(57)【特許請求の範囲】
【請求項１】
メッセージに関する予測フィルターを生成する方法であって、
フィルター情報を含むメッセージフィルターを評価データベースに連結されたフィルタマネージャにて受信し、前記評価データベースに格納された第１のメッセージ属性の評価が、受信される前記メッセージフィルター内に格納された前記フィルター情報の少なくとも一部に関連するか否かを判定するステップと、
前記第１のメッセージ属性の前記評価が前記フィルター情報の前記少なくとも一部に関連すると判定された場合に、前記第１のメッセージ属性を含むメッセージをフィルターする少なくとも１つの予測フィルターを、少なくとも１つのコンピュータプロセッサを利用して生成するステップであって、生成される前記少なくとも１つの予測フィルターは前記第１のメッセージ属性に関連する１つ以上の関連メッセージ属性を含むメッセージをさらにフィルターする、ステップと
を備える方法。
【請求項２】
前記少なくとも１つの予測フィルターを生成するステップは、前記フィルター情報を前記評価データベース内の評価情報と比較するステップをさらに備える、請求項１に記載の方法。
【請求項３】
前記フィルター情報の前記少なくとも一部の評価が特定の評価に関連しなくなった場合に、前記フィルター情報の前記少なくとも一部を変更するステップをさらに備える、請求項１に記載の方法。
【請求項４】
経験則を使用して前記評価データベースの少なくとも１つのメッセージ属性をテストするステップをさらに備える、請求項１に記載の方法。
【請求項５】
前記経験則の判定に基づいて、前記少なくとも１つのメッセージ属性をブラックリストに載せるステップをさらに備える、請求項４に記載の方法。
【請求項６】
種々のメッセージクライアント及びフィルタリングアプリケーションによって生成された統計を使用して前記評価データベースを更新するステップをさらに備える、請求項１に記載の方法。
【請求項７】
前記第１のメッセージ属性は、
Ｗｅｂサイトのコンテンツ、
マルウェア、スパイウェア、又はＳＰＡＭの少なくとも１つをホストする多くのＷｅｂサイト、
ネームサーバー、
ホストＩＰアドレス、
発信国、
ドメイン登録者の居住国、
ドメインのゾーンファイルレコードの有効期間、
ドメインに関連する多くのネームサーバー、
フーイズデータ、
複数回のネームサーバーのドメインの変更、
前記ネームサーバーが前記ドメインと同じ名前かどうかを示す値、
前記ドメインがドメインテイスティングに使用されているかどうかを示す値、
顧客フィールド統計に基づく前記ドメイン及び前記ホストＩＰアドレスの少なくとも１つから送信された前記ホストＩＰアドレス、電子メール、ＳＰＡＭ、及びウィルスボリュームの少なくとも１つの国の位置、
ＳＰＡＭの追跡カテゴリ、
オープンリレー、
ＩＰアドレス割り当ての送信で知られる多くのホストＩＰアドレス及びドメイン、及び、
ＩＰアドレス又はＩＰアドレス範囲の少なくとも１つに関する利用履歴
に関する情報の少なくとも１つを含む、請求項１に記載の方法。
【請求項８】
前記フィルター情報は、少なくとも１つのネームサーバー、ドメイン名、発信国、及びホストＩＰアドレスに関する少なくとも１つのフィルターを備えており、前記少なくとも１つのフィルターは最新のＳＰＡＭに合わせられる請求項１に記載の方法。
【請求項９】
前記経験則によるテストは、
前記ドメインの前記ホストＩＰアドレスがすでにブラックリストに載せられているかどうかの判定、
Ｗｅｂページのコンテンツが以前に識別されたＳＰＡＭ又はマルウェアコンテンツを含むかどうかの判定、
ネームサーバーが設定可能なパーセンテージのＳＰＡＭ  Ｗｅｂサイトを含むかどうかの判定、
ドメイン登録日が定義可能なしきい値の時間より新しいかどうかの判定、及び、
前記ホストＩＰアドレスと既知のゾンビ及びボットネットの少なくとも１つとの間に重複があるかどうかの判定
の少なくとも１つを含む、請求項４に記載の方法。
【請求項１０】
前記統計は、
Ｗｅｂサイトのコンテンツ、
発信国、
ＳＰＡＭの存在全体、
電子メールの利用全体、
ＳＰＡＭの傾向、
ＳＰＡＭでよく使用されるワード、及び、
フィルターのファイアリング特性
の少なくとも１つに関する情報を含む、請求項６に記載の方法。
【請求項１１】
メッセージに関する予測フィルターを生成する装置であって、
評価データベースに連結されたフィルタマネージャと、
フィルター情報を含むメッセージフィルターを受信し、前記評価データベースに格納された第１のメッセージ属性の評価が、受信される前記メッセージフィルター内に格納された前記フィルター情報の少なくとも一部に関連するか否かを判定し、前記第１のメッセージ属性の前記評価が前記フィルター情報の前記少なくとも一部に関連すると判定された場合に、前記第１のメッセージ属性を含むメッセージをフィルターする少なくとも１つの予測フィルターを生成する手段であって、生成される前記少なくとも１つの予測フィルターは前記第１のメッセージ属性に関連する１つ以上の関連メッセージ属性を含むメッセージをさらにフィルターする、手段と
を備える装置。
【請求項１２】
前記フィルター情報を前記評価データベース内の評価情報と比較する手段をさらに備える、請求項１１に記載の装置。
【請求項１３】
前記フィルター情報の前記少なくとも一部の評価が特定の評価に関連しなくなった場合に、前記フィルター情報の前記少なくとも一部を変更する手段をさらに備える、請求項１１に記載の装置。
【請求項１４】
経験則に照らして前記評価データベースの少なくとも１つのメッセージ属性をテストする手段をさらに備える、請求項１１に記載の装置。
【請求項１５】
前記経験則の判定に基づいて前記少なくとも１つのメッセージ属性をブラックリストに載せる手段をさらに備える、請求項１４に記載の装置。
【請求項１６】
種々のメッセージクライアント及びフィルタリングアプリケーションによって生成された統計を使用して前記評価データベースを更新する手段をさらに備える、請求項１１に記載の装置。
【請求項１７】
予測フィルターを生成するシステムであって、
受信コンピュータ及びフィルター情報を提供するメールサーバーの少なくとも１つと、
評価データベースに連結されたバックエンドシステムとを備えており、
前記バックエンドシステムは、第１のフィルター情報を含むメッセージフィルターを受信するフィルター受信モジュールと、前記評価データベースに格納された第１のメッセージ属性の評価が、受信される前記メッセージフィルター内に格納された前記フィルター情報の少なくとも一部に関連するか否かを判定する判定モジュールと、前記第１のメッセージ属性の前記評価が前記フィルター情報の前記少なくとも一部に関連すると判定された場合に、前記第１のメッセージ属性を含むメッセージをフィルターする少なくとも１つの予測フィルターを生成するフィルター生成モジュールとを備え、生成される前記少なくとも１つの予測フィルターは前記第１のメッセージ属性に関連する１つ以上の関連メッセージ属性を含むメッセージをさらにフィルターするシステム。
【請求項１８】
前記メールサーバー及び前記受信コンピュータの少なくとも１つは、統計を提供することによって前記メッセージ属性の前記評価を更新する、請求項１７に記載のシステム。
【発明の詳細な説明】
【発明の分野】
【０００１】
[0001]本発明の実施形態は、概して、ネットワークを経由したメッセージ通信に関する。より詳細には、本発明はメッセージ属性の評価データベースを使用してメッセージの予測フィルターを生成する方法及び装置に関する。
【関連技術の説明】
【０００２】
[0002]人々は種々の方法で相互に通信している。たとえば、ある人物はネットワーク（たとえばインターネット）を経由して受信者（ｒｅｃｉｐｉｅｎｔ）にメッセージ（たとえば、電子メール、テキストメッセージ、マルチメディアメッセージなど）を送信できる。電子メールには、一般に、送信者のアドレス、受信者のアドレス、ヘッダー、本文、その他のセクションが含まれる。電子メールは、受信者に届く前にメールサーバーで処理される。メールサーバーは、メッセージの特定の属性に合わせられるフィルターを備えることができる。不要で有害な連絡先を含むメッセージのソースを示すことで知られている特定の属性（たとえば、ドメイン名、ネームサーバー（ｎａｍｅ  ｓｅｒｖｅｒ）、発信国（ｃｏｕｎｔｒｙ  ｏｆ  ｏｒｉｇｉｎ）、ホストＩＰアドレスなど）が存在する場合は、電子メールへのフィルターの適用、及び／又は受信者への着信の回避が行われる。それ以外の場合は、電子メールが受信者に中継される。
【０００３】
[0003]メッセージにこうした特定の属性が存在する場合は、メッセージはメッセージがハードウェア、ソフトウェア及び／又はデータにとって潜在的に有害（たとえば、スパム（ＳＰＡＭ）、フィッシング（ｐｈｉｓｈ）、マルウェア（ｍａｌｗａｒｅ）、ウィルス、トロイの木馬（Ｔｒｏｊａｎ）、ワーム、サービス拒否（ＤｏＳ：ｄｅｎｉａｌ  ｏｆ  ｓｅｒｖｉｃｅ）攻撃、及び／又はそれ以外の望ましくないメッセージ）であることを示していると考えられる。ＳＰＡＭは、商用のメッセージ（電子メールなど）であり、ユーザーに広告を送付する。フィッシングは、信頼できる企業からの合法的なメッセージを装ってユーザーのパスワードを不正に取得するプロセスである。マルウェア、ウィルス、トロイの木馬、ワーム、サービス拒否攻撃は、電子メールに埋め込まれており、受信者のコンピュータ上で実行される有害な可能性のあるプログラムの例である。
【０００４】
[0004]フィルターは、受信者のハードウェア、ソフトウェア、及びデータを損傷から保護するのに有効である。フィルターは、よくある望ましくないメッセージの属性に関する情報を含むデータ構造であり、こうした望ましくないメッセージの送信を回避するために使用されるソフトウェアプログラムである。たとえば、ＳＰＡＭ、フィッシング、及びそれ以外の望ましくないメッセージを送信することで知られているドメインに関するフィルターを生成することができる。ＳＰＡＭ電子メールに含まれることで知られているドメインに関するフィルターも生成される。いずれの場合も、電子メールがすでに受信者に送信され、ＳＰＡＭであると判定された後になって初めてフィルターが生成される。結果として、望ましくないメッセージに関するフィルターが生成される前に損害が発生する可能性がある。
【０００５】
[0005]したがって、望ましくないメッセージが受信者に送信される前に、ドメインに関するメッセージフィルターを生成する方法及び装置が必要である。
【発明の概要】
【０００６】
[0006]本発明は、概して、メッセージの予測フィルターを生成する方法及び装置に関する。１つの実施形態において、フィルター情報は評価データベースに連結されている。メッセージ属性の評価がフィルター情報に関連する場合は、このメッセージ属性に関する１つ又は複数のフィルターが生成される。１つの実施形態において、ＳＰＡＭフィルターは予測によって生成される。さらに別の実施形態では、１つ又は複数のメッセージ属性が経験則（ｈｅｕｒｉｓｔｉｃｓ）を使用してテストされる。１つ又は複数の属性をテストした結果に基づいて、１つ又は複数のメッセージ属性がブラックリストに載せられる。メッセージ属性の評価がブラックリストに載せられた属性に関連する場合は、１つ又は複数の追加のメッセージフィルターが生成される。
【０００７】
[0007]本発明について以上で簡単に説明したが、本発明の前述の特徴について詳細に理解できるように、実施形態に関連付けながらより詳細に説明し、その一部を添付の図面に示す。しかし、添付の図面は、本発明の一般的な実施形態を例示しているにすぎず、本発明はこれ以外の同等の効果がある実施形態を対象としているため、こうした図面は本発明の範囲を限定するものと見なしてはならないことに留意されたい。
【０００８】
[0011]本発明について、本明細書では例として複数の実施形態と例示を目的とした図面を使用して説明するが、本発明は図示された実施形態又は図面の説明には限定されないことを当業者は理解するであろう。図面及び以下に示す図面に関する詳細な説明は、本発明を開示された特定の形に限定するものではなく、むしろ本発明は添付の請求項で定義する本発明の精神と範囲を逸脱しないすべての変更、同等物、及び代替を含むものとすることを理解されたい。本明細書で使用するヘッダーは構成化のみを目的としており、実施形態の範囲又は特許請求の範囲を限定する意図はない。本出願の全体を通じて使用される際に、「できる、〜でもよい」（“ｍａｙ”）は、許可的な意味で使用される（すなわち「必須」の意味）。同様に、「含む」（“ｉｎｃｌｕｄｅ”、“ｉｎｃｌｕｄｉｎｇ”、及び“ｉｎｃｌｕｄｅｓ”）ということばは、「含むがこれに限定はされない」という意味である。
【詳細な説明】
【０００９】
[0012]本発明の一実施形態は、メッセージの予測フィルターを生成する方法及び装置を含むものである。本装置は、フィルター情報を受信し、メッセージ属性の評価に基づいてメッセージ属性に関する１つ又は複数の追加のフィルターを生成するバックエンド（ｂａｃｋｅｎｄ）メッセージシステムを備えるシステムにおいて具体化される。バックエンドメッセージシステムは、フィールド統計（ｆｉｅｌｄ  ｓｔａｔｉｓｔｉｃｓ）を使用して各メッセージの評価を更新する。
【００１０】
[0013]図１は、送信者１０２、メールサーバー１０４、受信者１０６、及びバックエンドシステム１０８を備えており、それぞれがネットワーク１１０に連結されたネットワークコンピュータシステム１００を示すブロック図である。図１では、実例を示すために、フィルターを適用するメッセージタイプをＳＰＡＭとしているが、ネットワークコンピュータシステム１００は、これ以外の望ましくない電子メールメッセージタイプ（たとえば、フィッシング、又はウィルス、ワーム、トロイの木馬などの少なくとも１つが埋め込まれたその他の電子メール）に関するフィルターの生成にも使用できることは十分に理解されている。
【００１１】
[0014]ネットワーク１１０は、よく知られている種々のタイプのネットワークエレメント（ハブ、スイッチ、ルータなど）を利用して、コンピュータシステムを配線、ケーブル、光ファイバー、及び／又は無線リンクで接続する通信システムを備えている。ネットワーク１１０は、よく知られている種々のプロトコルを使用してネットワークリソース間で情報を伝達することができる。たとえば、ネットワーク１１０はＥｔｈｅｒｎｅｔ、ＷｉＦｉ、ＷｉＭａｘ、ＧＰＲＳなどの種々の通信インフラストラクチャを使用するインターネット又はイントラネットの一部でもよい。
【００１２】
[0015]送信者１０２は、ネットワーク１１０を経由して電子メールを送信するコンピュータ、サーバー、携帯情報端末（ＰＤＡ：ｐｅｒｓｏｎａｌ  ｄｉｇｉｔａｌ  ａｓｓｉｓｔａｎｔ）などのデバイスでもよい。本発明の実例を示すために、送信者１０２は受信者１０６にＳＰＡＭを送信するデバイスである。送信者１０２は、一般にドメイン名とメール名（ｍａｉｌ  ｎａｍｅ）を含む電子メールアドレスを使用して識別される。メール名は、たとえば、ドメイン名に関連付けられたサーバー上のユーザー名である。送信者１０２は、以下で説明されるようにさらに１つ又は複数のメッセージ属性にも関連付けられている。
【００１３】
[0016]受信者１０６は、ネットワークコンピュータシステム１００に接続し、メールサーバー１０４を使用して電子メールを送信／受信することができる任意のデバイスである。たとえば、受信者１０６は、コンピュータ、タブレット（ｔａｂｌｅｔ）コンピュータ、携帯情報端末（ＰＤＡ）、モバイル通信デバイス（ｍｏｂｉｌｅ  ｃｏｍｍｕｎｉｃａｔｉｏｎ  ｄｅｖｉｃｅ）（たとえば携帯電話）などでよい。
【００１４】
[0017]受信者１０６は、ＣＰＵ  １２２、サポート回路１２３、及びメモリ１２４を備えている。ＣＰＵ  １２２には、当業者に知られている１つ又は複数のマイクロプロセッサが含まれていてもよい。ＣＰＵ  １２２の動作をサポートするサポート回路１２３には、キャッシュ、電源、クロック回路、データレジスタ、Ｉ／Ｏインターフェイスなどが含まれていてもよい。メモリ１２４は、ランダムアクセスメモリ、読み取り専用メモリ、取り外し可能メモリ、フラッシュメモリ、及びこうしたタイプのメモリの種々の組み合わせを備えていてもよい。メモリ１２４は、メインメモリとも呼ばれており、一部をキャッシュメモリ又はバッファメモリとして使用できる。メモリ１２４には、メールユーザーエージェント１２６及びアンチＳＰＡＭクライアントアプリケーション１２８を含む種々のソフトウェアパッケージが格納される。メールユーザーエージェント１２６により、受信者１０６はメールサーバー１０４内に格納された電子メールの受信トレイ（ｉｎｂｏｘ）に連結できる。アンチＳＰＡＭクライアントアプリケーション１２８には、受信者１０６のＳＰＡＭポリシー及び／又はバックエンドシステム１０８によって生成されたフィルターを使用してＳＰＡＭが受信者に配信されないようにするためのソフトウェアが含まれる。
【００１５】
[0018]メールサーバー１０４は、一般に、電子メールメッセージを保持し、体系化し、さらに１台のコンピュータ（たとえば送信者１０２）から別のコンピュータ（たとえば受信者１０６）に転送するように設計されたコンピュータ及び／又はコンピュータシステムである。メールサーバー１０４は、電子メールが受信者１０６に転送される前にこれを処理及び／又は格納することもできる。
【００１６】
[0019]メールサーバー１０４は、中央処理装置（ＣＰＵ：ｃｅｎｔｒａｌ  ｐｒｏｃｅｓｓｉｎｇ  ｕｎｉｔ）１１２、サポート回路１１４、メモリ１１６を備えている。ＣＰＵ  １１２には、当業者に知られている１つ又は複数のマイクロプロセッサが含まれていてもよい。メールサーバー１０４のサポート回路１１４には、キャッシュ、電源、クロック回路、データレジスタ、Ｉ／Ｏインターフェイスなどが含まれていてもよい。メモリ１１６は、前述の受信者１０６のメモリ１２２と同様である。メモリ１１６は、アンチＳＰＡＭサーバーアプリケーション１１８及びメール転送エージェント１２０を含む種々のソフトウェアパッケージを格納する。アンチＳＰＡＭサーバーアプリケーション１１８には、バックエンドシステム１０８によって生成されたＳＰＡＭフィルターを使用して、ＳＰＡＭとして識別された電子メールが受信者１０６に送信されないようにするためのソフトウェアが含まれる。１つの実施形態において、ＳＰＡＭフィルターは、メールサーバーのユーザーから送信されたＳＰＡＭが送信されないようにするために使用できる（たとえば、ＳＰＡＭフィルターはアウトバウンドフィルターとして使用される）。メール転送エージェント１２０は、受信者１０６と送信者１０２との間で電子メールを受信する。受信者１０６も電子メールを送信でき、送信者１０２も電子メールを受信できることが想定されている。メール転送エージェント１２０は、電子メールを配信プロセスの一部として別のコンピュータに中継できる。
【００１７】
[0020]バックエンドシステム１０８は、ネットワークコンピュータシステム１００においてデータサービス（たとえば、データの格納及び／又は処理）及び／又はアプリケーションサービス（たとえば、ソフトウェアエージェント及びプロセス）を使用してメールサーバー１０４及び／又は受信者１０６をサポートする。１つ又は複数のバックエンドシステムは、種々のメールサーバーアプリケーションが動作する１台又は複数台のサーバーコンピュータ、及び／又は種々のメールクライアントアプリケーションが動作する１台又は複数台の受信者コンピュータをサポートできることが想定されるものとする。明確にするために、図１には１台のメールサーバーと１台の受信コンピュータのみをサポートする唯一のバックエンドシステムが示されている。
【００１８】
[0021]バックエンドシステム１０８は、サポート回路１３０、中央処理装置（ＣＰＵ）１３２、及びメモリ１３４を備えている。サポート回路１３０はＣＰＵ  １３２の機能を促進し、サポート回路１３０にはキャッシュ、電源、クロック回路、データレジスタ、Ｉ／Ｏインターフェイスなどが含まれていてもよい。ＣＰＵ  １３２には、当業者に知られている１つ又は複数のマイクロプロセッサが含まれていてもよい。メモリ１３４は、前述のメモリ１２２と同様である。メモリ１３４には、種々のソフトウェアパッケージ及びフィルター生成モジュール１３６が格納されている。フィルター生成モジュール１３６は、メールサーバー１０４及び受信者１０６で使用され、ＳＰＡＭをフィルターするためのフィルターを生成するプロセッサ実行可能命令のセットである。
【００１９】
[0022]バックエンドシステム１０８は、評価データベース１３８及び属性リレーショナルデータベース１４０に連結される。各データベースはデータレコードの集まりである。評価データベース１３８には、種々のメッセージ属性（ブラックリストに載せられた属性を含む）に関する評価が格納される。評価は、一般に、望ましくないメッセージ全体に関連するメッセージ属性を示す値である。メッセージ属性の評価は、種々の原因によって低くなったり高くなったりしてもよい。たとえば、以下で説明するように、ブラックリストに載せられたホストＩＰアドレス、ブラックリストに載せられたドメイン、及び／又はブラックリストに載せられたネームサーバーの評価は低くなる。別の例では、既存のアンチＳＰＡＭフィルターを備えるドメインの評価も低くなる。
【００２０】
[0023]属性リレーショナルデータベース１４０には、ホストＩＰアドレス、ネームサーバー、ドメイン名などの種々の属性間の関係（関連（ａｓｓｏｃｉａｔｉｏｎｓ））に関する情報が格納されている。たとえば、ドメインは、ホストＩＰアドレスに解決される場合にホストＩＰアドレスに関連する。さらに、ホストＩＰアドレスはそのＩＰアドレスをホストするネームサーバーに関連する。１つの実施形態において、ホストＩＰアドレスがメッセージフィルターを備える場合は、以下示すように、そのドメインを含む（ｂｅａｒｉｎｇ）（たとえば、本文内、ヘッダー内で送信側ドメインとして）任意の電子メールに対して、フラグの設定及び／又は受信者１０６への着信除外が行われる。
【００２１】
[0024]種々のメッセージ属性には、Ｗｅｂサイトのコンテンツ、マルウェア、スパイウェア、又はＳＰＡＭをホストする多くのＷｅｂサイト、ネームサーバー、ホストＩＰアドレス、発信国、ドメイン登録者の居住国、ドメインのゾーンファイルレコードの有効期間、ドメインに関連する多くのネームサーバー、フーイズデータ（すなわち、ドメイン登録者情報のルックアップ）、複数回のネームサーバーのドメインの変更、ネームサーバーがドメインと同じ名前かどうかを示す値、ドメインがドメインテイスティング（すなわち、ＩＣＡＮＮが規定したジェネリックトップレベルドメインについて、ドメイン登録開始時に５日間の「猶予期間」を使用してドメイン名の市場性をテストするための登録者の練習）に使用されているかどうかを示す値、顧客フィールド統計に基づくドメイン及びホストＩＰアドレスから送信されたホストＩＰアドレス、電子メール、ＳＰＡＭ、及び／又はウィルスボリュームの国の位置、エクスプロイト、マルウェア、又はその他のＳＰＡＭの追跡カテゴリ、オープンリレー、ＩＰアドレス割り当ての送信で知られるホストＩＰアドレス及び／又はドメイン、及びＩＰアドレス又はＩＰアドレス範囲に関する利用履歴に関する情報が含まれるが、これらに限定はされない。
【００２２】
[0025]評価データベース１３８は、現在公共消費向けに使用可能な複数の特徴と、現場の顧客から返される既存の製品情報に基づく本システムに固有のいくつかの特徴に基づいて構築されている。評価データベース１３８は、公に使用可能なデータ（Ｗｅｂサイトコンテンツに関する情報、データの発信国など）を追跡し、収集するために構築された種々の製品及びアプリケーション（たとえば、アンチＳＰＡＭサーバーアプリケーション１１８及びアンチＳＰＡＭクライアントアプリケーション１２８）から得られるフィールド統計を使用して更新される。フィールド統計は、一般にＳＰＡＭの増大を評価するために利用される。１つの実施形態において、フィールド統計はアンチＳＰＡＭフィルターのファイアリング（ｆｉｒｉｎｇ）特性及び処理されたメール全体のボリュームに関するフィードバックを提供する。フィールド統計には、ＳＰＡＭの存在、ＳＰＡＭの傾向、及びＳＰＡＭでよく使用されるワードのすべてに関する情報も含めることができる。多くの場合に、フィールド統計は個人ユーザーによって生成されるが、企業体、政府機関などによって生成されてもよい。フィールド統計は、米国、並びにヨーロッパ、アフリカ、アジア、オーストラリア、カナダ、中央アメリカ、及び南米から収集される。
【００２３】
[0026]このように、特定のメッセージ属性の評価は時間の経過に伴って変化する。これは、現在世界中に存在しているＳＰＡＭに関連して属性が増大又は減少するためである。たとえば、特定のホストＩＰアドレスが評価データベース１３８内で高い評価を維持している場合に、このホストＩＰアドレスはＳＰＡＭに関連しない可能性が非常に高い。１つの実施形態において、この特定のホストＩＰアドレスに解決するドメインも、ＳＰＡＭに関連しない可能性が非常に高い。したがって、この特定のホストＩＰアドレスに解決するドメインを本文内に含む電子メールメッセージも、ＳＰＡＭに関連しない可能性が非常に高い。電子メールメッセージをブロックする別の理由がない限り、受信者の受信トレイに保持される必要がある。
【００２４】
[0027]一方で、特定のホストＩＰアドレスの評価が非常に低い場合に、このホストＩＰアドレスに解決されるドメインの評価も非常に低い。ホストＩＰアドレスの評価が非常に低いことに関しては、種々の原因が考えられる。このホストＩＰアドレスに解決される１つ又は複数のドメインがＳＰＡＭで実際に使用されているとは限らないが、この特定のホストＩＰアドレスに関連することにより、ＳＰＡＭで使用される確率は高くなる。したがって、この特定のホストＩＰアドレスに解決されるすべてのドメインに関して予測フィルターを生成できる。１つ又は複数の実施形態において、個々の予測フィルターには、ドメインを認識するための情報が含まれる（たとえば、本文、メッセージヘッダー、件名、及び／又は電子メールのそれ以外の任意の要素内に）。こうしたドメインに関して生成される予測フィルターは、アンチＳＰＡＭサーバーアプリケーション１１８及び／又はアンチＳＰＡＭクライアントアプリケーション１２８に伝達され、ＳＰＡＭの送信を回避するために使用されてもよい。
【００２５】
[0028]本発明の１つの実施形態において、バックエンドシステム１０８はメールサーバー１０４及び受信者１０６と連携し、メッセージ属性の評価が最新のメッセージフィルター内の１つ又は複数のメッセージ属性に関連する場合に、１つ又は複数のメッセージフィルター（たとえばＳＰＡＭフィルター）を生成する。バックエンドシステム１０８は、望ましくないメッセージが生成される前に新しいメッセージフィルターを生成する（つまり、フィルターは予測に基づいて生成される）。たとえば、前述のように、本文内に特定のホストＩＰアドレスを含む電子メールをフィルターするように設定された最新のメッセージフィルターをバックエンドシステム１０８が受信する場合に、バックエンドシステム１０８は評価データベース１３８内で特定のホストＩＰアドレスを参照し、この特定のホストＩＰアドレスに関連する１つ又は複数のメッセージ属性を識別する。この例では、１つ又は複数のメッセージ属性はネームサーバー、特定のホストＩＰアドレスに解決するドメイン名、発信国などでよい。１つ又は複数の任意のメッセージ属性の評価が、そのメッセージ属性は近い将来ＳＰＡＭに関連する可能性が非常に高いことを示す場合に、このメッセージ属性に関して１つ又は複数のメッセージフィルターが生成される。
【００２６】
[0029]１つの実施形態において、１つ又は複数のメッセージフィルターは、メールサーバー１０４内のアンチＳＰＡＭサーバーアプリケーション１１８及び／又は受信者１０６内のアンチＳＰＡＭクライアントアプリケーション１２８に伝達される。アンチＳＰＡＭサーバーアプリケーション１１８及び／又はアンチＳＰＡＭクライアントアプリケーション１２８は、着信／発信の電子メールメッセージを評価し、１つ又は複数の電子メールメッセージをＳＰＡＭと認識してから、その目的の受信者にＳＰＡＭが送信されないようにすることができる。
【００２７】
[0030]図２は、フィルターを生成する方法２００を示す流れ図である。方法２００は、ステップ２０２で開始され、ステップ２０４に進む。ステップ２０４で、１つ又は複数のＳＰＡＭフィルターはバックエンドシステム１０８に連結される。ステップ２０４で、世界中のアンチＳＰＡＭアプリケーション及び製品は、最新のＳＰＡＭ内でよく使用されている属性に関するＳＰＡＭフィルターを生成し、さらにこのＳＰＡＭフィルターをバックエンドシステム１０８に伝達する。
【００２８】
[0031]ステップ２０６で、１つ又は複数のＳＰＡＭフィルターに関連する評価データベース１３８に格納されたメッセージ属性の評価に基づいて、１つ又は複数の予測ＳＰＡＭフィルターを生成するかどうかの判定（ｄｅｔｅｒｍｉｎａｔｉｏｎ）が行われる。ステップ２０６で、ＳＰＡＭフィルターに含まれるメッセージ属性は、ＳＰＡＭフィルターに関連を示す評価データベース１３８内の他のメッセージ属性を識別するために使用される。たとえば、ドメイン名はドメイン名をＩＰアドレスにマップするネームサーバー（たとえばドメインネームサーバー）に関連する。したがって、ドメイン名に関するＳＰＡＭフィルターが生成され、ネームサーバーの評価が、ネームサーバーがＳＰＡＭで知られるドメイン（たとえばＳＰＡＭＭＹドメイン）のマッピングに使用される可能性が非常に高いことを示す場合は、ネームサーバーを使用するすべてのドメインに関してＳＰＡＭフィルターが生成される。さらに、ネームサーバーがナイジェリアに配置されており、発信国メッセージ属性としてのナイジェリアの評価がナイジェリアからの電子メールはＳＰＡＭの可能性が非常に高いことを示す場合は、ＳＰＡＭフィルターはナイジェリアに配置された任意のネームサーバーから発信される電子メールに関するフィルターを生成する必要がある。
【００２９】
[0032]１つ又は複数の予測ＳＰＡＭフィルターを生成できる場合に、方法２００はステップ２０８に進む。ステップ２０８で、関連のメッセージ属性は将来ＳＰＡＭに含まれる可能性が非常に高いことをその評価が示す場合に、関連のメッセージ属性ごとに１つ又は複数の予測ＳＰＡＭフィルターが生成される。メッセージ属性に関連する十分な情報を使用してデータ構造が生成され、関連のメッセージ属性を含む電子メールの送信が回避される。１つの実施形態において、個々のすべての予測ＳＰＡＭフィルターは世界中のアンチＳＰＡＭ製品及びアプリケーションに配布される。
【００３０】
[0033]予測ＳＰＡＭフィルターを生成できない場合に、方法２００はステップ２１０に進む。ＳＰＡＭフィルターに関連する評価データベース１３８内にメッセージ属性がない場合、及び／又は関連のメッセージ属性の評価が関連のメッセージ属性はＳＰＡＭで使用される確率が非常に高いことを示していない場合は、予測フィルターは生成されない。たとえば、前述のように、ＳＰＡＭの送信で知られるネームサーバーがネームサーバーから発信されるＳＰＡＭの発信国としてのメッセージ属性ナイジェリアに関連する場合でも、他の種々の要因により、ナイジェリアがナイジェリアにある任意のネームサーバーから発信されるすべての電子メールに関するＳＰＡＭフィルターの生成が保証されるような評価の値をとらない場合もある。１つの実施形態では、合法的な電子メールユーザーによって使用される何百もの非ＳＰＡＭ（ｎｏｎ−ＳＰＡＭ）ネームサーバーの中に、ＳＰＡＭで知られる唯一のネームサーバーが存在する可能性がある。ナイジェリアから発信されたすべての電子メールにブランケットフィルター（ｂｌａｎｋｅｔ  ｆｉｌｔｅｒ）を適用するのは、不当であり、無分別であろう。多くの正常な非ＳＰＡＭ電子メールがＳＰＡＭと見なされ、フィルターを適用される。
【００３１】
[0034]ステップ２１０で、ＳＰＡＭフィルターによって使用されるメッセージ属性の評価に基づいて、１つ又は複数のＳＰＡＭフィルター及び／又は評価を変更するかどうかの判定が行われる。ステップ２１０で、メッセージ属性が将来のＳＰＡＭで使用される確率が非常に高いことを評価が示していない場合は、このメッセージ属性に関連するＳＰＡＭフィルターはＳＰＡＭの送信を回避する上でもはや有効ではない。それどころか、このＳＰＡＭフィルターは合法的な電子メールの送信を妨害する可能性がある。１つの実施形態において、メッセージフィルターの評価は、前述のように、世界中の種々のアンチＳＰＡＭ及び電子メールの製品及びアプリケーションによって生成されたフィールド統計に基づいて変更される。１つ又は複数のＳＰＡＭフィルター及び／又は評価を変更する必要がある場合に、本方法はステップ２１２に進む。変更を必要とするＳＰＡＭフィルター及び／又は評価がない場合に、本方法はステップ２１４に進む。
【００３２】
[0035]ステップ２１２で、１つ又は複数のＳＰＡＭフィルター及び／又は評価が変更される。ステップ２１４で、方法２００は図３に関連して以下で説明する方法３００に進む。１つの実施形態において、方法２００は必要に応じて複数のＳＰＡＭフィルターについて繰り返し実行してもよい。これに代わる１つの実施形態では、方法２００はステップ２１４で終了する。いずれの場合も、世界中の種々のアンチＳＰＡＭ及び電子メールの製品及びアプリケーションによって生成された統計の１つ又は複数の部分を使用して、評価データベースを更新する必要がある。
【００３３】
[0036]図３は、ＳＰＡＭフィルターと評価データベース１３８をさらに処理する方法３００を示す流れ図である。方法３００は、前述のように、方法２００のステップ２１２から継続される。１つの実施形態において、方法３００はステップ３０２で開始され、ステップ３０４に進む。
【００３４】
[0037]ステップ３０４で、１つ又は複数のメッセージ属性が経験則を使用してテストされ、１つ又は複数の予測ＳＰＡＭフィルターを生成できるかどうかを判定する。１つの実施形態において、評価データベース１３８内でＳＰＡＭフィルターを生成するように選択されていない唯一のメッセージ属性がテストされる。経験則で使用する情報は、フィールド統計及び／又はネットワークプロシージャコール（ｎｅｔｗｏｒｋ  ｐｒｏｃｅｄｕｒｅ  ｃａｌｌｓ）（たとえば、ｐｉｎｇ、ｔｒａｃｅ、ｗｈｏｉｓ、ｎｓｌｏｏｋｕｐなど）から収集される。経験則によるテストには、ドメインのホストＩＰアドレスがすでにブラックリストに載せられているかどうかの判定、Ｗｅｂページのコンテンツが以前に識別されたＳＰＡＭ又はマルウェアコンテンツを含むかどうかの判定、ネームサーバーが設定可能なパーセンテージのＳＰＡＭ  Ｗｅｂサイトを含むかどうかの判定、ドメイン登録日（たとえば、ＶｅｒｉＳｉｇｎ又はｗｈｏｉｓルックアップから得られる）が定義可能なしきい値の時間より新しいかどうかの判定、及び／又はホストＩＰアドレスと既知のゾンビ又はボットネット（ｚｏｍｂｉｅｓ  ｏｒ  ｂｏｔ  ｎｅｔｓ）との間に重複があるかどうかの判定を含めることができるが、これらに限定はされない。別の実施形態において、経験則によるテストではメッセージ属性をＳＰＡＭＭＹプロファイル  （たとえば、ＳＰＡＭに関連するメッセージ属性に関するデータ）と比較してフィルターを生成する必要があるかどうかを判定することができる。たとえば、．ｏｒｇドメインのスポンサーレジスタ（ｓｐｏｎｓｏｒｉｎｇ  ｒｅｇｉｓｔｒａｒ）がＳＰＡＭＭＹプロファイルと比較される。別の例では、正規表現（ｒｅｇｕｌａｒ  ｅｘｐｒｅｓｓｉｏｎｓ）を使用してドメイン名及び／又はネームサーバーがＳＰＡＭＭＹプロファイル（たとえばＳＰＡＭＭＹワード）と比較される。
【００３５】
[0038]ステップ３０６で、経験則によるテストが肯定的な結果を返すかどうかの判定が行われる。結果が肯定的な場合に、方法３００はステップ３０８に進む。結果が否定的な場合に、本方法はステップ３１０に進む。ステップ３０８で、１つ又は複数の属性がブラックリストに載せられ、その評価データベース内の評価は、その属性がブラックリストに載っていることを示すように変更される。たとえば、前述のように、ネームサーバーが設定可能なパーセンテージを満足する場合又は超える場合に、ネームサーバー自体がブラックリストに載せられ、このネームサーバーに関するフィルターが生成される。別の例では、ＩＰアドレスが１０台以上のネームサーバーをホストしており、それぞれがネームサーバーと同じ名前の唯一のドメインを備える場合は、このＩＰアドレスに関してブラックリストへの掲載及び／又はフィルターの生成が行われる。１つの実施形態において、属性がブラックリストに載せられた場合に、関連の属性がＳＰＡＭに含まれることを示す評価を伴う関連の属性のそれぞれについて、１つ又は複数のＳＰＡＭフィルターが生成されてもよい。
【００３６】
[0039]ステップ３１０で、評価データベース１３８はフィールド統計を使用して更新される。ステップ３１０で、評価データベースに格納される１つ又は複数のメッセージ属性の評価は、変化するＳＰＡＭの外観（ｃｈａｎｇｉｎｇ  ｆａｃｅ  ｏｆ  ＳＰＡＭ）に基づいて変更される。たとえば、ＳＰＡＭの罪を犯すユーザーは、その技術を次から次へと変更する（たとえば、ドメイン、ホストＩＰアドレス、発信国などを変更する）。評価は、このドメイン及び／又はこのＩＰホストアドレスがＳＰＡＭに関連しなくなった可能性あることを反映するように更新される。前述のように、このドメイン及び／またこのＩＰホストアドレスに関するＳＰＡＭフィルターが存在する場合は、これ変更する（たとえば、サービスから切り離す）必要がある。ステップ３１２で、本方法は終了する。
【００３７】
[0040]１つ又は複数の実施形態の例は次のようになる。現場の製品及びアプリケーションによってアンチＳＰＡＭフィルターが生成されると、ドメインａｂｃ．ｃｏｍはＳＰＡＭであると判定され、フィルターが生成される。フィルター生成時に、このホストＩＰアドレス及びネームサーバーが記録される（ａｂｃ．ｃｏｍ，  １２３．１２３．１２３．１２３，  ｎａｍｓｅｒｖｅｒ１）。こうしたドメインはＩＰアドレスがａｂｃ．ｃｏｍと同じ（１２３．１２３．１２３．１２３）であるため、時間の経過に伴って、ｄｅｆ．ｃｏｍ及びｇｈｉ．ｃｏｍに関する追加のフィルターが生成される。この時点で、ＩＰアドレスはブラックリストに載せられ、バックエンドシステム１０８に入るホストＩＰアドレス１２３．１２３．１２３．１２３に解決する任意のドメインはこのアドレスに関して自動的に生成されたフィルターを備えている。プロセスが続行されると、追加のＩＰアドレス（１２４．１２４．１２４．１２４、１２５．１２５．１２５．１２５、及び１２６．１２６．１２６．１２６）がブラックリストに載せられる。こうしたＩＰアドレスは、すべて同一のネームサーバー１２３．１２３．１２３．１２３（ｎａｍｓｅｒｖｅｒ１）上でホストされるためである。ここで、ｎａｍｅｓｅｒｖｅｒ１はブラックリストに載せられ、結果としてｎａｍｅｓｅｒｖｅｒ１でホストされるすべてのＩＰアドレスがブラックリストに載せられ、さらにこうしたＩＰアドレス上のすべてのドメインもブラックリストに載せられる。経験則により、現在のアンチＳＰＡＭフィルターから収集されたフィールドデータを即座に使用して、どのメッセージ属性（たとえばドメイン）をフィルターするのが最適であるかを予測する。ドメインａｂｃ．ｃｏｍに関して記述されたＳＰＡＭフィルターが多くのＳＰＡＭをファイアリングし、検出していると思われる場合は、ドメインａｂｃ．ｃｏｍ及びこのドメインに関連するドメインのファミリー（ＩＰアドレスからネームサーバーまで）がアンチＳＰＡＭフィルターの候補として選択されよう。
要約すると、前述のプロセスは次のように動作する。
Filter -> abc.com -> 123.123.123.123-> nameserver1
Filter -> def.com ->123.123.123.123-> nameserver1
Filter -> ghi.com -> 123.123.123.123-> nameserver1
Blacklist -> 123.123.123.123
Auto Filter -> xdc.com -> 123.123.123-> nameserver1
Auto Filter ->skw.com -> 123.123.123 ->nameserver1
Filter -> kef.com -> 124.124.124.124-> nameserver1
Filter -> jkl.com -> 124.124.124.124-> nameserver1
Filter -> swe.com -> 124.124.124.124-> nameserver1
Blacklist -> 124.124.124.124
Auto Filter -> rrr.com ->124.124.124.124 -> nameserver1
Filter -> qls.com -> 125.125.125.125-> nameserver1
Filter -> toc.com -> 125.125.125.125-> nameserver1
Filter -> llk.com -> 125.125.125.125-> nameserver1
Blacklist -> 125.125.125.125
Filter -> spm.com -> 126.126.126.126-> nameserver1
Filter -> pam.com -> 126.126.126.126-> nameserver1
Filter -> opo.com -> 126.126.126.126-> nameserver1
Blacklist -> 126.126.126.126
Blacklist -> nameserver1
Auto Filter -> 123.com ->121.122.100.101 -> nameserver1
Auto Filter -> 45r.com -> 122.100.12.100-> nameserver1
[0041]以上、本発明の実施形態について説明してきたが、本発明の基本的な範囲を逸脱することなく、これ以外のさらなる実施形態を考案でき、本発明の範囲は添付の「特許請求の範囲」に指定されている。
【図面の簡単な説明】
【００３８】
【図１】本発明の１つの実施形態を構成するフィルター生成モジュールを利用するネットワークを示すブロック図である。
【図２】本発明の１つ又は複数の実施形態により、フィルターを生成する方法を示す流れ図である。
【図３】本発明の１つ又は複数の実施形態により、メッセージ属性をブラックリストに載せる方法を示す流れ図である。
【符号の説明】
【００３９】
１００  ネットワークコンピュータシステム
１０２  送信者
１０４  メールサーバー
１０６  受信者
１０８  バックエンドシステム
１１０  ネットワーク
１１２  ＣＰＵ
１１４  サポート回路
１１６  メモリ
１１８  アンチＳＰＡＭサーバーアプリケーション
１２０  メール転送エージェント
１２２  ＣＰＵ
１２３  サポート回路
１２４  メモリ
１２６  メールユーザーエージェント
１２８  アンチＳＰＡＭクライアントアプリケーション
１３０  サポート回路
１３２  ＣＰＵ
１３４  メモリ
１３６  フィルター生成モジュール
１３８  評価データベース
１４０  属性リレーショナルデータベース
２００  フィルターを生成する方法
２０２  開始
２０４  ＳＰＡＭフィルターをバックエンドシステムに連結
２０６  １つ又は複数の予測ＳＰＡＭフィルターを生成するかを判定
２０８  メッセージ属性に関する１つ又は複数の予測ＳＰＡＭフィルターを生成
２１０  １つ又は複数のＳＰＡＭフィルター及び／又は評価を変更するかを判定
２１２  １つ又は複数のＳＰＡＭフィルター及び／又は評価を変更
２１４  方法３００へ
３００  ＳＰＡＭフィルターと評価データベース処理する方法
３０２  開始
３０４  １つ又は複数のメッセージ属性を経験則でテスト
３０６  肯定的な結果かを判定
３０８  １つ又は複数の属性をブラックリストに掲載
３１０  フィールド統計を使用して評価データベースを更新
３１２  終了
【図１】
0005311544.tif 000002
【図２】
0005311544.tif 000003
【図３】
0005311544.tif 000004