(57)【要約】【課題】送信されるメールを盗聴してメールサーバ名を取得するタイプの不正なウイルスの動作を防止する。【解決手段】コンピュータウィルスに感染した端末１から、不正な電子メールが配信されていることを検知する不正メール検知システムであって、端末１は、電子メールを転送する正規のメールサーバを特定するメールサーバ情報と、ダミーメールサーバ情報記憶部４２に、メールサーバ情報に対してダミーのダミーメールサーバ情報とを記憶しておき、ダミーメール送信部４１は、予め設定したタイミングでダミーメールサーバ情報を用いて電子メールを送信し、ダミーメールサーバは、予め設定したタイミング以外のタイミングで、ダミーメールサーバ情報を用いて作成された電子メールを受信した場合に、不正な電子メールが配信されることを検知する。【選択図】図２
2007172402.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータウィルスに感染した端末から、不正な電子メールが配信されていることを検知する不正メール検知システムであって、
電子メールを転送する正規のメールサーバを特定するメールサーバ情報と、前記メールサーバ情報に対してダミーのダミーメールサーバ情報とを記憶する記憶手段と、前記記憶手段に記憶されたメールサーバ情報を用いて前記正規のメールサーバ宛の電子メールを送信する処理を行うと共に、予め設定したタイミングで前記記憶手段に記憶されたダミーメールサーバ情報を用いて電子メールを送信する処理とを行う送信手段とを備えた端末と、
前記予め設定したタイミング以外のタイミングで、前記ダミーメールサーバ情報を用いて作成された電子メールを受信した場合に、不正な電子メールが配信されることを検知するダミーメールサーバと
を備えることを特徴とする不正メール検知システム。
【請求項２】
前記送信手段は、定期的なタイミングでダミーメールサーバ情報を用いて電子メールを送信する処理を行い、
前記ダミーメールサーバは、前記定期的なタイミング以外のタイミングで、前記ダミーメールサーバ情報を用いて作成された電子メールを受信した場合に、不正な電子メールが配信されることを検知することを特徴とする請求項１に記載の不正メール検知システム。
【請求項３】
前記送信手段は、ランダムなタイミングでダミーメールサーバ情報を用いて電子メールを送信する処理を行い、
前記ダミーメールサーバは、前記ランダムなタイミング以外のタイミングで、前記ダミーメールサーバ情報を用いて作成された電子メールを受信した場合に、不正な電子メールが配信されることを検知することを特徴とする請求項１に記載の不正メール検知システム。
【請求項４】
前記ダミーメールサーバに複数のダミーのホスト名が付与され、
前記記憶手段には、前記複数のダミーのホスト名を表すダミーメールサーバ情報が記憶され、
前記送信手段は、電子メールを送信する処理ごとに、ランダムに何れかのダミーメールサーバ情報を用いることを特徴とする請求項１乃至請求項３の何れか一項に記載の不正メール検知システム。
【請求項５】
前記端末は、前記ダミーメールサーバ情報へのアクセスを検出して、不正な電子メールが配信されることを検知することを特徴とする請求項１に記載の不正メール検知システム。
【請求項６】
前記端末によって前記ダミーメールサーバ情報へのアクセスを試みているプロセスが検出された場合に、当該プロセスを終了させる遮断手段を更に備えることを特徴とする請求項５に記載の不正メール検知システム。
【請求項７】
前記遮断手段は、前記ダミーメールサーバ情報へのアクセスを試みているプロセスを実行させている実行ファイルを検出して、駆除することを特徴とする請求項６に記載の不正メール検知システム。
【請求項８】
前記送信手段は、前記ダミーメールサーバ情報を用いて作成された電子メールに、コンピュータウィルスによって作成された電子メールとは異なる電子メールであることを識別する識別子を付加し、
前記ダミーメールサーバは、前記送信手段からダミーメールサーバ宛の電子メールを受信し、当該電子メールに識別子が付加されていない場合に、不正な電子メールが配信されることを検知することを特徴とする請求項１乃至請求項４の何れか一項に記載の不正メール検知システム。
【請求項９】
前記ダミーメールサーバは、受信したメールがダミーメールであるか否かを判定してダミーメールではない場合に不正な電子メールと判断し、当該電子メールを解析してコンピュータウィルスに感染している端末のアドレスを取得し、当該アドレスを含む警告メッセージを前記メール転送サーバに送信することを特徴とする請求項１に記載の不正メール検知システム。
【請求項１０】
前記正規のメールサーバは、前記警告メッセージを受信し、当該警告メッセージに含まれるアドレスが送信元の電子メールである場合に、当該電子メールを保留、破棄、又は、改変することを特徴とする請求項９に記載の不正メール検知システム。
【請求項１１】
前記ダミーメールサーバは、前記コンピュータウィルスに感染している端末のアドレスを記憶しておき、複数回に亘って当該端末からの電子メールを受信した場合に、前記警告メッセージの送信を制限することを特徴とする請求項９に記載の不正メール検知システム。
【請求項１２】
前記ダミーメールサーバが複数存在し、前記ダミーメールサーバ間で前記警告メッセージを交換して、それぞれのダミーメールサーバは、他のダミーメールサーバで検知された不正な電子メールの送信元の端末を記憶することを特徴とする請求項９に記載の不正メール検知システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上のウィルスのうち、不正なアプリケーションデータが添付されたメールデータの伝染を遮断するための不正メール検知システムに関する。
【背景技術】
【０００２】
従来より、ウィルス検知技術としては、既知のウィルスについて定義ファイルと呼ばれる特徴情報を記述したデータを予め用意しておき、ウィルスに感染している可能性のあるファイルと定義ファイルとをパターンマッチングするものが知られている。この定義ファイルは、コンピュータウイルスに感染したファイルや、ネットワーク上で自己複製を繰り返すワームプログラムの特徴を収録したファイルであって、アンチウィルスソフト(ワクチンソフト)がコンピュータウイルスやワームを検出するために、定義ファイル内に収録された各ウイルスのパターンが検査対象のファイルと照合されて、パターンとの一致が見られるとそのファイルがウイルスに感染していると判断する。
【０００３】
また、従来から知られているウィルスの一種であるワーム対策としては、例えば、「http://www.nttdata.co.jp/netcom/pdf/nc04_ss_03.pdf」に記載されているようなものも挙げられる。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来において、ウィルスの定義ファイルを用意しておくパターンマッチング型のウィルス検知技術では、定義ファイルがない新種のウィルスや亜種のウィルスを検知することができないといった問題がある。
【０００５】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、送信されるメールを盗聴してメールサーバ名を取得するタイプの不正なウイルスの動作を防止することができる不正メール検知システムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明は、コンピュータウィルスに感染した端末から、不正な電子メールが配信されていることを検知する不正メール検知システムであって、上述の課題を解決するために、電子メールを転送する正規のメールサーバを特定するメールサーバ情報と、メールサーバ情報に対してダミーのダミーメールサーバ情報とを記憶する記憶手段と、記憶手段に記憶されたメールサーバ情報を用いて正規のメールサーバ宛の電子メールを送信する処理を行うと共に、予め設定したタイミングで記憶手段に記憶されたダミーメールサーバ情報を用いて電子メールを送信する処理とを行う送信手段とを備えた端末と、予め設定したタイミング以外のタイミングで、ダミーメールサーバ情報を用いて作成された電子メールを受信した場合に、不正な電子メールが配信されることを検知するダミーメールサーバとを備える。
【発明の効果】
【０００７】
本発明に係る不正メール検知システムは、正規のメールサーバを特定するメールサーバ情報と、メールサーバ情報に対してダミーのダミーメールサーバ情報とを記憶しておき、予め設定されたタイミングでダミーメールサーバ情報を用いて電子メールを作成して送信し、ダミーメールサーバによって当該タイミングと異なるタイミングで電子メールを受信した場合に不正な電子メールが配信されることを検知するので、送信されるメールを盗聴してメールサーバ名を取得するタイプの不正なウイルスの動作を検知して、防止することができる。
【発明を実施するための最良の形態】
【０００８】
以下、本発明の実施の形態について図面を参照して説明する。
【０００９】
本発明は、例えば図１に示すように、端末１Ａ、１Ｂと、メールサーバ２，３と、ダミーメールサーバ１００とを有し、端末１Ａから送信した電子メールデータを盗聴してメールサーバ名を不正に取得して、不正な電子メールデータをメールサーバ２に送信するコンピュータウィルスの動作を検知する不正メール検知システムに適用される。この実施形態では、例えば端末１Ａがコンピュータウィルスに感染してしまい、端末１Ａから送信される不正な電子メールデータを検知する場合について説明する。
【００１０】
通常、この不正メール検知システムにおいて、端末１Ａから端末１Ｂにメールデータを送信する場合、先ず端末１Ａは、宛先メールアドレスを「hanako@osaka.jp」としたメールデータを作成すると、当該端末１Ａのメールクライアント設定で登録されているメールサーバ名「mail.tokyo.jp」のメールサーバ（ＳＭＴＰ（Simple Mail Transfer Protocol）サーバ）２に、電子メールデータを送信する。
【００１１】
この電子メールデータは、ホスト名「mail.tokyo.jp」のメールサーバ２で受信されると、メールサーバ２は、当該電子メールデータに含まれている電子メールデータの宛先を認識し、当該電子メールデータの宛先の端末１Ｂがアクセスできるメールサーバ３に電子メールデータを転送する。そして、端末１Ｂは、メールサーバ３にアクセスしてメールボックスを確認することによって、端末１Ａから送信された電子メールデータを取得できる。
【００１２】
このような通常のメール送信動作に対し、端末１Ａが、送信される電子メールデータからメールサーバ名を盗聴するタイプの不正なウィルスに感染して、図２に示すように不正ソフトウェア実行部１３が形成されてしまうと、当該不正ソフトウェア実行部１３の機能によって、正規な電子メールデータＭ２の送信時に正規なメールサーバ名が盗聴されてしまう（図１の（１））。そして、不正ソフトウェア実行部１３は、当該盗聴したメールサーバ名のメールサーバ２に、アドレス「hanako@osaka.jp」を宛先としウィルスファイルを添付した電子メールデータＭ１に送信すると（図１の（２））、当該メールサーバ２からメールサーバ３に電子メールデータＭ１が転送され（図１の（３））、端末１Ｂがメールサーバ３のメールボックスの確認を行うと（図１の（４））、ウィルスファイルを添付した電子メールデータＭ１が端末１Ｂで取得されてしまう（図１の（５））。
【００１３】
このような動作を行う不正メール検知システムにおいて、ウィルスに感染した端末１Ａには、図２に示すように、例えば他の端末から送信された不正なメール内容をプレビュー又は不正な添付ファイルを実行してしまったために、アプリケーション層に不正ソフトウェア実行部１３が実装されている。また、端末１Ａは、基本ソフトウェアとメールクライアントソフトウェアとダミーメールサーバ送信ソフトウェアと不正メール検知ソフトウェアとがインストールされることによって、基本ソフトウェア実行部１１と、メールクライアントソフトウェアを実行するメールクライアントソフトウェア実行部１２とダミーメール送信ソフトウェア実行部１４と不正メール検知ソフトウェア実行部１５とを備えて構成されている。
【００１４】
基本ソフトウェア実行部１１は、ネットワークと接続された通信インターフェース部２１とＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）通信制御部２２と、不正メール検知ソフトウェア実行部１５で検知された不正ソフトウェア実行部１３で作成された可能性のあるファイルを管理するファイル管理部２３と、不正ソフトウェア実行部１３が実装された場合に当該不正ソフトウェア実行部１３のプロセスを管理できるプロセス管理部２４とを備える。
【００１５】
この基本ソフトウェア実行部１１は、メールクライアントソフトウェア実行部１２によって正規の電子メールデータが作成されると、当該電子メールデータがＴＣＰ／ＩＰ通信制御部２２に渡される。ＴＣＰ／ＩＰ通信制御部２２は、受け渡された電子メールデータの先頭にＴＣＰヘッダ又はＵＤＰ（User Datagram Protocol）ヘッダのトランスポート層ヘッダ，ＩＰ層ヘッダを付加したＩＰパケットを作成して、不正メール検知ソフトウェア実行部１５に出力する。そして、この電子メールデータは、通信インターフェース部２１によって当該ＩＰパケットにリンク層ヘッダ等を付加して所定の変調処理等が施されて、ネットワークに送出される。
【００１６】
また、ネットワークから端末１Ａ宛に送信された電子メールデータを含むＩＰパケットは、通信インターフェース部２１によって復調処理等が施された後に、ＴＣＰ／ＩＰ通信制御部２２で解析されて、メールクライアントソフトウェア実行部１２に渡される。
【００１７】
メールクライアントソフトウェア実行部１２には、電子メールデータを転送する正規のメールサーバ２を特定するメールサーバ情報が格納されている。このメールサーバ情報は、正規のメールサーバ２のメールサーバ名及びＩＰアドレス、自己のメールアドレス、電子メール送信先のメールアドレス帳等を含み、メールクライアントソフトウェア実行部１２によって参照されて正規の電子メールデータが作成可能となっている。
【００１８】
メールクライアントソフトウェア実行部１２は、電子メールデータを送信する際に、メール送信検知部４３にメール送信開始信号を供給する。これに対し、メールクライアントソフトウェア実行部１２は、メール送信検知部４３からメール送信開始許可信号を受信するまで電子メールデータの送信を保留し、メール送信開始許可信号を受信した後に電子メールデータを基本ソフトウェア実行部１１に渡す。
【００１９】
ダミーメール送信ソフトウェア実行部１４は、ダミーメール送信部４１と、ダミーメールサーバ情報記憶部４２と、メール送信検知部４３とを備える。
【００２０】
ダミーメールサーバ情報記憶部４２には、ダミーメールサーバ１００のダミーメールサーバ名を含むダミーメールサーバ情報が記憶されている。このダミーメールサーバ情報は、ダミーメール送信部４１に読み込まれて、ダミーメール送信部４１がダミー電子メールデータを作成するために使用される。
【００２１】
メール送信検知部４３は、ダミーメール送信部４１によってダミー電子メールデータを送信するタイミングと、メールクライアントソフトウェア実行部１２によって正規の電子メールデータを送信するタイミングとを調整する。メール送信検知部４３は、所定時間を計時するタイマによってダミーメール送信部４１のダミー電子メールデータの送信タイミングが設定されている場合に、当該ダミー電子メールデータの送信タイミングとは異なるタイミングで正規な電子メールデータを送信させる。
【００２２】
このタイマーによってダミー電子メールデータの送信タイミングを制御する処理は、図３に示すように、ダミーメール送信部４１は、内部のタイマーが固定値又はランダム値の設定時間を計時して通知されるタイミングを待つ（ステップＳ１）。そして、ダミーメール送信部４１は、タイマーが所定時間を計時したことが通知されると、ステップＳ２において、ダミーメールサーバ情報記憶部４２のダミーメールサーバ情報を読み込んで、送信先のダミーメールサーバ１００を決定し、ステップＳ３において、ダミー電子メールデータを生成する。なお、タイマーが所定時間を計時してダミー電子メールデータを送信するタイミングとなった場合、その旨の通知をメール送信検知部４３にも送信する。
【００２３】
また、ダミーメール送信部４１は、ステップＳ４において、生成したダミー電子メールデータが、正規な電子メールデータではないダミーであることをダミーメールサーバ１００で識別させるダミーメール識別子を追加して、ステップＳ５において、複数のダミー電子メールデータを所定の時間間隔又はランダムな時間間隔で送信する。
【００２４】
次にダミーメール送信部４１は、次回にダミー電子メールデータを送信するタイミングを経時するために、タイマーの計時時間を固定値又はランダム値にセットして、処理を終了する。
【００２５】
また、メール送信検知部４３は、正規の電子メールデータの送信タイミングの前後にダミー電子メールデータを送信するように調整しても良い。
【００２６】
メール送信検知部４３は、メールクライアントソフトウェア実行部１２からメール送信開始信号が供給されると、当該メール送信開始信号をダミーメール送信部４１に通知する。これに応じて、ダミーメール送信部４１は、予め設定されたランダムなタイミングで一又は複数のダミー電子メールデータを作成して、基本ソフトウェア実行部１１を介して送信させ、その後に、メール送信検知部４３にダミー電子メールデータの送信が終了したことを通知する。メール送信検知部４３は、ダミーメール送信部４１からダミー電子メールデータの送信が終了した通知を受けると、メールクライアントソフトウェア実行部１２にメール送信開始許可信号を送信して、メールクライアントソフトウェア実行部１２から正規の電子メールデータを送信させ、その旨をダミーメール送信部４１に通知する。ダミーメール送信部４１は、メールクライアントソフトウェア実行部１２から電子メールデータの送信が終了したことに応じて、再度、一又は複数のダミー電子メールデータをランダムなタイミングで送信させる。
【００２７】
この処理は、図４に示すように、メール送信検知部４３によって、ステップＳ１１において、メールクライアントソフトウェア実行部１２からのメール送信開始信号が供給されるのを待ち、メール送信開始信号が供給された後に、ステップＳ１２において、メール送信検知部４３によって、ダミー電子メールデータの送信数Ｐ１を設定する。このダミー電子メールデータの送信数Ｐ１は、固定数でも良く、ランダムであっても良い。
【００２８】
次に、ダミーメール送信部４１は、図３と同様にステップＳ２〜ステップＳ５の処理を行うことによってダミー電子メールデータを送信し、ステップＳ１３において、ダミー電子メールデータの送信回数がステップＳ１２で決定した送信数Ｐ１に達したか否かを判定して、達していない場合にはステップＳ２〜ステップＳ５の処理を繰り返す。ダミー電子メールデータの送信回数が送信数Ｐ１に達した場合、メール送信検知部４３は、ステップＳ１４において、メールクライアントソフトウェア実行部１２にメール送信開始許可信号を送信して正規な電子メールデータを送信させる。
【００２９】
次に、メール送信検知部４３は、ステップＳ１５において、正規な電子メールデータの後に送信するダミー電子メールデータの送信数Ｐ２を決定し、ダミーメール送信部４１は、ステップＳ２〜ステップＳ５の処理行ってダミー電子メールデータを送信し、ステップＳ１６において、ダミー電子メールデータの送信回数がステップＳ１５で決定した送信数Ｐ２に達したか否かを判定して、達していない場合にはステップＳ２〜ステップＳ５の処理を繰り返す。ダミー電子メールデータの送信回数が送信数Ｐ２に達した場合に処理を終了する。
【００３０】
不正ソフトウェア実行部１３は、端末１Ａに実装されると、上述の図１に示した（１）、（２）の手順を実現させるために、ＴＣＰ／ＩＰ通信制御部２２又は通信インターフェース部２１によって送信される正規の電子メールデータを監視して、メールサーバ２のメールサーバ名又はダミーメールサーバ１００のメールサーバ名を盗聴すると、当該何れかのメールサーバ名を使用して電子メールデータを作成して基本ソフトウェア実行部１１から送信させる。
【００３１】
このような不正ソフトウェア実行部１３で実現される機能に対し、端末１Ａは、ＴＣＰ／ＩＰ通信制御部２２で作成されたパケットを監視して不正な電子メールデータの送信を遮断するための機能として、不正メール検知ソフトウェア実行部１５を備えている。不正メール検知ソフトウェア実行部１５は、パケットフック部３１と、駆除部３２とを備える。
【００３２】
パケットフック部３１は、ＴＣＰ／ＩＰ通信制御部２２で作成されて、通信インターフェース部２１に渡されるべきＩＰパケットを横取りすると、当該ＩＰパケットを駆除部３２に出力する。
【００３３】
駆除部３２は、電子メールデータの宛先がダミーメールサーバ１００であるか否かを判定する。駆除部３２は、電子メールデータの宛先がダミーメールサーバ１００のメールサーバ名であり、且つダミーメール識別子が含まれていない場合、ＩＰパケットを破棄する。また、電子メールデータの宛先がダミーメールサーバ１００ではない、又は、電子メールデータの宛先がダミーメールサーバ１００であってダミーメール識別子が含まれている場合、ＩＰパケットをパケットフック部３１を介して通信インターフェース部２１に転送する。
【００３４】
駆除部３２は、ダミーメールサーバ１００が宛先となっていて、ダミーメール識別子を含まない不正な電子メールデータを判定した場合、当該不正な電子メールデータを送信するプロセスを特定する。また、駆除部３２は、不正な電子メールデータを作成する実行ファイルを特定する。
【００３５】
このとき、駆除部３２は、プロセス管理部２４で管理している基本ソフトウェア及びアプリケーション層ソフトウェアで行っているプロセスの情報（ログ情報）から、不正な電子メールデータを作成して送信するプロセスを特定する。そして、駆除部３２は、基本ソフトウェア及びアプリケーション層ソフトウェアで不正な電子メールデータを作成して送信するプロセスがプロセス管理部２４で検出されたことを示す情報を取得した場合には、当該プロセスを強制終了させる。また、駆除部３２は、ファイル管理部２３で管理している実行ファイルから、不正な電子メールデータを作成して送信するプロセスを実行している実行ファイルを特定し、当該実行ファイルを削除するようにファイル管理部２３を制御する。これによって、不正ソフトウェア実行部１３を削除できる。
【００３６】
このような端末１Ａにおける駆除部３２の処理は、図５に示すように、ステップＳ２１において、電子メールデータを含むＩＰパケットの宛先がダミーメールサーバ１００宛か否かを判定し、そうである場合にはステップＳ２２に処理を進め、ダミーメールサーバ１００ではなくメールサーバ２宛であると判定した場合にはステップＳ２５に処理を進める。
【００３７】
ステップＳ２２において、駆除部３２は、ＩＰパケットにダミーメール識別子が含まれていないか否かを判定して、ダミーメール識別子が含まれていない場合にはステップＳ２３に処理を進め、ダミーメール識別子が含まれている場合にはステップＳ２５に処理を進める。
【００３８】
ステップＳ２３において、駆除部３２は、ＩＰパケットのトランスポート層ヘッダがＴＣＰヘッダか否かを判定し、そうである場合にはステップＳ２４に処理を進め、ＵＤＰパケットである場合にはステップＳ２５に処理を進める。
【００３９】
ステップＳ２４において、駆除部３２は、ＴＣＰヘッダに含まれているポート番号が、電子メールデータ転送プロトコルであるＳＭＴＰ（Simple Mail Transfer Protocol）ポート宛か否かを判定し、そうである場合にはステップＳ２６に処理を進め、そうでない場合にはステップＳ２５に処理を進める。
【００４０】
ステップＳ２５において、駆除部３２は、パケットフック部３１からのＩＰパケットに不正な電子メールデータが含まれていないために、電子メールデータを含むＩＰパケットをパケットフック部３１及び基本ソフトウェア実行部１１を介して送信させる。一方、駆除部３２は、ステップＳ２１〜ステップＳ２４において全て「ＹＥＳ」と判定された場合には、当該ＩＰパケットに不正な電子メールデータが含まれていると判定して、当該不正な電子メールデータが送信されることを防止するためにステップＳ２６以降に処理を進める。
【００４１】
ステップＳ２６において、駆除部３２は、プロセス管理部２４で管理しているプロセスのうち不正な電子メールデータを作成して送信するプロセスを特定し、ステップＳ２７において、ファイル管理部２３で管理している実行ファイルのうち不正な電子メールデータを作成して送信させる実行ファイルを特定する。
【００４２】
次に駆除部３２は、ステップＳ２８において、ステップＳ２６で特定した不正なプロセスを強制終了する。このとき、駆除部３２は、不正なプロセスによるログ情報を記録して他の装置に送信する処理や、不正なプロセスが発生しているという警報を端末１Ａのユーザや管理者に通知又は他の装置に送信する処理を行っても良い。
【００４３】
次に駆除部３２は、ステップＳ２９において、不正な電子メールデータを含むＩＰパケットを破棄し、ステップＳ３０において、ステップＳ２７で特定された実行ファイルを削除する。このとき、駆除部３２は、不正な実行ファイルによるログ情報を記録して他の装置に送信する処理や、不正な実行ファイルがインストールされていたという警報を端末１Ａのユーザや管理者に通知又は他の装置に送信する処理を行っても良い。
【００４４】
これによって、駆除部３２は、実行ファイルによって実装された不正ソフトウェア実行部１３のプロセスを検知して不正な電子メールデータの送信を停止すると共に、不正な電子メールデータを作成して送信する実行ファイルを検出して、当該実行ファイルを削除することができる。
【００４５】
つぎに、ダミーメールサーバ１００の構成及び動作について説明する。
【００４６】
ダミーメールサーバ１００は、図６に示すように、基本ソフトウェアとダミーメールサーバソフトウェアとがインストールされて、基本ソフトウェア実行部１０１と、ダミーメールサーバソフトウェア実行部１０２とを備えて構成されている。
【００４７】
基本ソフトウェア実行部１０１は、ネットワークを介してあらゆるネットワーク機器と接続された通信インターフェース部１１１とＴＣＰ／ＩＰ通信制御部１１２とを備える。
【００４８】
基本ソフトウェア実行部１０１は、通信インターフェース部１１１によってデータの復変調処理及びデータリンク層処理を行い、ＴＣＰ／ＩＰ通信制御部１１２によってネットワーク層処理及びトランスポート層処理を行う。この基本ソフトウェア実行部１０１は、ネットワークから受信したパケットに含まれる電子メールデータをダミーメールサーバソフトウェア実行部１０２に渡すと共に、ダミーメールサーバソフトウェア実行部１０２から渡されたデータに所定の処理を行ってパケットとして送信する。
【００４９】
ダミーメールサーバソフトウェア実行部１０２は、メール受信部１２１と、警告メッセージ受信部１２２と、警告メッセージ送信部１２３と、感染ホスト情報記憶部１２４と、ダミーメール判定部１２５とを備える。
【００５０】
メール受信部１２１は、基本ソフトウェア実行部１０１で受信したパケットに含まれる電子メールデータを受信すると、当該電子メールデータをダミーメール判定部１２５に渡す。
【００５１】
ダミーメール判定部１２５は、メール受信部１２１から受け取った電子メールデータにダミーメール識別子が含まれているか否かを判定して、当該電子メールデータが端末１Ａで正規に作成されたものか、不正ソフトウェア実行部１３で作成されたものかを判定する。そして、ダミーメール判定部１２５は、ダミーメール識別子が含まれている電子メールデータであれば破棄をする。一方、ダミーメール判定部１２５は、ダミーメール識別子が含まれていない電子メールデータである場合には、当該電子メールデータから送信元ＩＰアドレス、送信時刻、メール内容を含むログ情報を作成した後に、当該電子メールデータを破棄する。また、ダミーメール判定部１２５は、ダミーメール識別子が含まれているか否かのみならず、端末１Ａがダミー電子メールデータを送信するタイミングとは異なるタイミングでダミー電子メールデータを受信した場合に不正な電子メールデータと判定してログ情報を作成してもよく、送信者名から不正な電子メールデータを判定してログ情報を作成しても良い。そして、ダミーメール判定部１２５は、ログ情報を警告メッセージ送信部１２３に渡す。
【００５２】
警告メッセージ送信部１２３は、メール受信部１２１から受け取ったログ情報を用いて、ダミーメールサーバ情報を用いて作成された不正な電子メールデータが検出されたことを警告する警告メッセージを生成して、基本ソフトウェア実行部１０１に渡す。この警告メッセージには、不正な電子メールデータの送信元であって、コンピュータウィルスに感染した端末を特定する情報が含まれる。これにより、基本ソフトウェア実行部１０１は、予め警告メッセージの送信先として設定された管理者の端末やその他のネットワーク機器等に警告メッセージを送信できる。
【００５３】
ここで、警告メッセージ送信部１２３は、警告メッセージを送信する前に、感染ホスト情報記憶部１２４に格納された感染ホスト情報を参照して、警告メッセージを送信するか否かを判定しても良い。この感染ホスト情報記憶部１２４に格納された感染ホスト情報は、コンピュータウィルスに感染したホストを特定するＩＰアドレス等を含んでいる。そして、警告メッセージ送信部１２３は、不正な電子メールデータの送信元が既に感染ホスト情報として感染ホスト情報記憶部１２４に格納されている場合には、警告メッセージの送信を中止する。
【００５４】
また、ダミーメールサーバ１００は、不正メール検知システムにおいて複数のダミーメールサーバ１００が存在する場合に、他のダミーメールサーバ１００からの警告メッセージを受信し、当該警告メッセージを警告メッセージ受信部１２２で受け取る。そして、警告メッセージ受信部１２２は、当該警告メッセージに含まれる不正な電子メールデータの送信元のＩＰアドレス等を感染ホスト情報として感染ホスト情報記憶部１２４に格納する。
【００５５】
このようなダミーメールサーバ１００は、メール受信部１２１によって電子メールデータを受信した時、図７に示すように、ダミーメール判定部１２５によって、電子メールデータにダミーメール識別子が含まれている場合には、当該電子メールデータが正当なダミー電子メールデータであると判定して、ステップＳ３２においてダミー電子メールデータを破棄して処理を終了する。
【００５６】
一方、ダミーメール判定部１２５は、ステップＳ３１においてダミーメール識別子が含まれていない場合には正当なダミー電子メールデータではないと判定し、ステップＳ３３において、ログ情報を作成してダミー電子メールデータを破棄し、ステップＳ３４において、ＴＣＰ／ＩＰ通信制御部１１２から送信元のＩＰアドレスを受け取って、感染ホストを特定して警告メッセージ送信部１２３に渡す。
【００５７】
次に警告メッセージ送信部１２３は、ステップＳ３５において、感染ホスト情報記憶部１２４に格納された感染ホスト情報を参照して、ステップＳ３４において受け取った送信元ＩＰアドレスが感染ホスト情報に含まれるか否かを判定して、既に警告メッセージが配信されている感染ホスト情報か否かを判定し、そうである場合には警告メッセージを送信せずに処理を終了する。
【００５８】
一方、警告メッセージ送信部１２３は、受け取った送信元ＩＰアドレスが感染ホスト情報に含まれていない場合には、ステップＳ３６に処理を進めて、送信元ＩＰアドレスを感染ホスト情報として感染ホスト情報記憶部１２４に登録し、ステップＳ３７において、警告メッセージを基本ソフトウェア実行部１０１を介して送信させる。ここで、ダミーメールサーバ１００は、コンピュータウィルスに感染している端末のＩＰアドレスを記憶しておき、複数回に亘って当該端末からの電子メールデータを受信した場合に、警告メッセージの送信を制限するために、ステップＳ３５の処理回数を制限しても良い。
【００５９】
また、ダミーメールサーバ１００は、図８に示すように、外部から警告メッセージを基本ソフトウェア実行部１０１を介して警告メッセージ受信部１２２で受信した場合（ステップＳ４１）、ステップＳ４２において、警告メッセージ受信部１２２によって、当該警告メッセージに含まれるコンピュータウィルスに感染したホストを特定する送信元ＩＰアドレス等を感染ホスト情報記憶部１２４に記憶する。このように、不正メール検知システムは、他のネットワーク機器から送信された警告メッセージを受信した場合に自己の感染ホスト情報を更新するので、新種のコンピュータウィルスが発生して新たにコンピュータウィルスに感染したホストを短時間で検出できる。
【００６０】
このダミーメールサーバ１００は、図９に示すように、例えば端末１Ａといったコンピュータウィルスの感染ホストから、ダミーメールサーバ１００宛の電子メールデータＭ１１をダミーメールサーバ１００で受信した場合、ダミーメールサーバ１００から警告メッセージＭ１２を正当なメールサーバ２に送信できる。その後、正当なメールサーバ２は、警告メッセージに含まれる感染ホストからの電子メールデータＭ１３を受信した場合には、当該電子メールデータの転送を禁止できる。
【００６１】
つぎに、メールサーバ２の構成及び動作について説明する。
【００６２】
メールサーバ２は、図１０に示すように、基本ソフトウェアとメールサーバソフトウェアとがインストールされて、基本ソフトウェア実行部５１と、メールサーバソフトウェア実行部５２とを備えて構成されている。
【００６３】
基本ソフトウェア実行部５１は、ネットワークを介してあらゆるネットワーク機器と接続された通信インターフェース部６１とＴＣＰ／ＩＰ通信制御部６２とを備える。
【００６４】
基本ソフトウェア実行部５１は、通信インターフェース部６１によってデータの復変調処理及びデータリンク層処理を行い、ＴＣＰ／ＩＰ通信制御部６２によってネットワーク層処理及びトランスポート層処理を行う。この基本ソフトウェア実行部５１は、ネットワークから受信したパケットに含まれる電子メールデータをメールサーバソフトウェア実行部５２に渡すと共に、メールサーバソフトウェア実行部５２から渡された電子メールデータに所定の処理を行ってパケットとして送信する。
【００６５】
メールサーバソフトウェア実行部５２は、メール受信部７１と、メールチェック部７２と、感染ホスト情報記憶部７３と、警告メッセージ受信部７４と、メール転送部７５と、不審メール処理部７６と、メールボックス７７とを備える。
【００６６】
メール受信部７１は、基本ソフトウェア実行部５１で受信したパケットに含まれる電子メールデータを受け取ると、当該電子メールデータをメールチェック部７２に渡す。
【００６７】
メールチェック部７２は、メール受信部７１から受け取った電子メールデータの送信元のＩＰアドレスを取得し、当該送信元のＩＰアドレスが、感染ホスト情報として感染ホスト情報記憶部７３に登録されているか否かを判定する。送信元のＩＰアドレスが感染ホスト情報記憶部７３に登録されている場合、メールチェック部７２は、当該送信元のＩＰアドレスで送信された電子メールデータを不審メール処理部７６に渡す。一方、送信元のＩＰアドレスが感染ホスト情報記憶部７３に登録されている場合、メールチェック部７２は、当該送信元のＩＰアドレスで送信された電子メールデータをメール転送部７５に渡す。
【００６８】
この感染ホスト情報記憶部７３に記憶された感染ホスト情報は、上述のダミーメールサーバ１００で行う図８の処理と同様に、警告メッセージ受信部７４で警告メッセージを受信すると、当該警告メッセージに含まれたコンピュータウィルスに感染した感染ホストを特定する情報であるＩＰアドレスが警告メッセージ受信部７４によって登録される。
【００６９】
不審メール処理部７６は、メールチェック部７２から受け取った電子メールデータの転送を保留、又は、電子メールデータの破棄、又は、電子メールデータに添付されたコンピュータウィルスを除去する改変処理を行う。不審メール処理部７６は、不正な電子メールデータに対する処理が予め設定情報として設定されており、当該設定情報に従って、不正な電子メールデータの保留、破棄、又は改変を行う。
【００７０】
不審メール処理部７６は、不正な電子メールデータを保留する場合、図示しない不正な電子メールデータ用のバッファに記憶させる。また、不審メール処理部７６は、電子メールデータを改変した場合、当該電子メールデータを転送させるためにメール転送部７５に渡す。
【００７１】
メール転送部７５は、メールチェック部７２で不正な電子メールデータではないと判定された電子メールデータ及び不審メール処理部７６で改変された電子メールデータを受け取ると、当該電子メールデータの宛先ＩＰアドレスを取得する。メール転送部７５は、宛先ＩＰアドレスから自己のドメイン宛であると判定した場合には、ユーザごとに区分されたメールボックス７７に格納する。また、受け取った電子メールデータの宛先ＩＰアドレスから自己のドメイン宛ではないと判定した場合、メール転送部７５は、基本ソフトウェア実行部５１を介して宛先ドメインのメールサーバに電子メールデータを転送させる。
【００７２】
このようなメールサーバ２は、図１１に示すように、ステップＳ５１において、基本ソフトウェア実行部５１を介してメール受信部７１で電子メールデータを受信すると、ステップＳ５２において、メールチェック部７２により、当該電子メールデータの送信元ＩＰアドレスが感染ホスト情報に登録されているか否かを判定し、そうである場合には、当該電子メールデータを不審メール処理部７６に渡してステップＳ５３に処理を進め、そうでない場合には、当該電子メールデータをメール転送部７５に渡してステップＳ５７に処理を進める。
【００７３】
ステップＳ５３において、不審メール処理部７６は、不正な電子メールデータに対する処理を設定データから取得して、当該不正な電子メールデータを破棄する場合には、ステップＳ５４において電子メールデータを破棄して処理を終了する。
【００７４】
不正な電子メールデータを保留する場合には、ステップＳ５５において、メールサーバ２の管理者等に通知することでチェックさせて、ステップＳ５７に処理を進める。なお、このステップＳ５５において、不審メール処理部７６は、一定時間だけ不正な電子メールデータをバッファに記憶させて、管理者のチェックがなされたか否かに拘わらずメール転送部７５に電子メールデータを転送させても良い。
【００７５】
更に、不正な電子メールデータを改変する場合、ステップＳ５６においてコンピュータウィルスが添付されている可能性があるために取り扱いに注意させる警告文をメール本文中などに追記し、ステップＳ６０において添付ファイルを削除してステップＳ５７に処理を進める。この警告文は、例えば「このメールはウィルスによって送信された可能性があります」といった文章が挙げられる。なお、ステップＳ５６及びステップＳ６０の処理は、何れかを行うように設定されていても良い。
【００７６】
ステップＳ５７において、メール転送部７５は、電子メールデータの宛先ドメインが自己のものであるか否かを判定し、そうである場合には、ステップＳ５８において電子メールデータをメールボックス７７に保存して処理を終了し、そうでない場合には、ステップＳ５９において電子メールデータを他のメールサーバに転送させるために当該電子メールデータを基本ソフトウェア実行部５１に渡す。
【００７７】
このようなメールサーバ２によれば、警告メッセージを受信して感染ホスト情報を記憶しておき、当該感染ホスト情報として登録された送信元のＩＰアドレスで電子メールデータが送信された場合に、当該電子メールデータを保留、破棄又は改変できるので、コンピュータウィルスに感染した端末１Ａを検知して、不正な電子メールデータがそのまま転送されることを防止できる。
【００７８】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【００７９】
すなわち、上述した不正メール検知システムでは、実際にダミーメールサーバ１００が存在して、当該ダミーメールサーバ１００で電子メールデータを受信した場合に、不正な電子メールデータを検知するようにしたが、ダミーメールサーバ１００が実在していなくても、感染ホスト情報をメールサーバ２，３に登録しておき、ダミーメールサーバ情報を用いて作成された電子メールデータをメールサーバ２，３で検知するようにしても良い。更に、端末、メールサーバ２，３、ダミーメールサーバ１００で不正な電子メールデータを検知する場合のみならず、中継装置、横付け機器で検知しても良い。
【００８０】
更にまた、上述した実施形態における不正な電子メールデータを検知するため機能は、家電機器群がネットワーク接続されたホームネットワークや、設備装置群がネットワーク接続された設備ネットワークなどにも適用できる。例えば、ホームネットワークに接続されてアプリケーションとしてメール機能を具備する家電機器がコンピュータウィルスに感染した場合であっても、当該家電機器から外部ネットワークへと不正なコンピュータウィルスを含む電子メールが送信されることを検知することができる。
【００８１】
ここで、ホームネットワークを構築する技術としては、ＥＣＨＯネットの他、エミット（ＥＭＩＴ（Embedded Micro Internetworking Technology））と称される機器組み込み型ネットワーク技術などがあげられる。この組み込み型ネットワーク技術は、ネットワーク機器にＥＭＩＴミドルウェアを組み込んでネットワークに接続できる機能を備え、ＥＭＩＴ技術と称されている。
【００８２】
より具体的には、上述した不正な電子メールを検知する機能を有する端末１Ａ、ダミーメールサーバ１００、メールサーバ２，３等のネットワーク機器にＥＭＩＴ技術を実現するＥＭＩＴソフトウェアを搭載して、当該ＥＭＩＴソフトウェアを搭載した端末、中継装置、メールサーバ２，３、ダミーメールサーバ１００と、当該端末、中継装置、横付け機器を遠隔で制御又は監視するユーザ機器とをインターネット上に設けられたセンターサーバ（図示せず）を介して通信接続する。このユーザ機器は、例えば、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）、ＰＨＳ（Personal Handy phone System）等の外部端末（図示せず）である。
【００８３】
このようなＥＭＩＴ技術を実装したシステムによれば、ユーザ機器は、端末、メールサーバ２，３、ダミーメールサーバ１００、中継装置、横付け機器によって不正な電子メールデータをどのくらいの頻度で検知したかを遠隔監視でき、不正な電子メールを遮断又は警報する送信元アドレスを追加制御できる。
【図面の簡単な説明】
【００８４】
【図１】本発明を適用した不正メール検知システムの構成及び動作を説明するシステム図である。
【図２】本発明を適用した不正メール検知システムを構成する端末の構成を示すブロック図である。
【図３】本発明を適用した不正メール検知システムを構成する端末によって、タイマーを参照してダミー電子メールデータを作成して送信する処理手順を示すフローチャートである。
【図４】本発明を適用した不正メール検知システムを構成する端末によって、正規の電子メールデータを送信と混合して、ダミー電子メールデータを作成して送信する処理手順を示すフローチャートである。
【図５】本発明を適用した不正メール検知システムを構成する端末によって不正な電子メールデータを作成して送信するプロセスを遮断する処理手順を示すフローチャートである。
【図６】本発明を適用した不正メール検知システムを構成するダミーメールサーバの構成を示すブロック図である。
【図７】本発明を適用した不正メール検知システムを構成するダミーメールサーバによって電子メールデータを受信した時の処理手順を示すフローチャートである。
【図８】本発明を適用した不正メール検知システムを構成するダミーメールサーバによって警告メッセージを受信した時の処理手順を示すフローチャートである。
【図９】本発明を適用した不正メール検知システムにおいて、端末から不正な電子メールデータが送信された場合にダミーメールサーバから警告メッセージをメールサーバに送信する構成及び動作を説明するシステム図である。
【図１０】本発明を適用した不正メール検知システムを構成するメールサーバの構成を示すブロック図である。
【図１１】本発明を適用した不正メール検知システムを構成するメールサーバによって電子メールデータを受信した時の処理手順を示すフローチャートである。
【符号の説明】
【００８５】
１Ａ，１Ｂ  端末
２，３  メールサーバ
１１，５１，１０１  基本ソフトウェア実行部
１２  メールクライアントソフトウェア実行部
１３  不正ソフトウェア実行部
１４  ダミーメール送信ソフトウェア実行部
１５  不正メール検知ソフトウェア実行部
２１，６１，１１１  通信インターフェース部
２２，６２，１１２  ＴＣＰ／ＩＰ通信制御部
２３  ファイル管理部
２４  プロセス管理部
３１  パケットフック部
３２  駆除部
４１  ダミーメール送信部
４２  ダミーメールサーバ情報記憶部
４３  メール送信検知部
５２  メールサーバソフトウェア実行部
７１  メール受信部
７２  メールチェック部
７３，１２４  感染ホスト情報記憶部
７４，１２２  警告メッセージ受信部
７５  メール転送部
７６  不審メール処理部
７７  メールボックス
１００  ダミーメールサーバ
１０１  基本ソフトウェア実行部
１０２  ダミーメールサーバソフトウェア実行部
１２１  メール受信部
１２３  警告メッセージ送信部
１２５  ダミーメール判定部
【図１】
2007172402.tif 000003
【図２】
2007172402.tif 000004
【図３】
2007172402.tif 000005
【図４】
2007172402.tif 000006
【図５】
2007172402.tif 000007
【図６】
2007172402.tif 000008
【図７】
2007172402.tif 000009
【図８】
2007172402.tif 000010
【図９】
2007172402.tif 000011
【図１０】
2007172402.tif 000012
【図１１】
2007172402.tif 000013