(57)【要約】【課題】  セキュリティ対策の改善が必要となるウイルスや迷惑メールの発信に関わっている装置を特定する。【解決手段】  不正な電子メールを転送するトラフィックを判定し発信元を特定するトラフィックトレースプログラム、ウイルスを添付した電子メールを判定し発信元を特定するウイルストレースプログラム、迷惑メールに該当する電子メールを判定し発信元を特定する迷惑メールトレースプログラムにより抽出された発信元IPアドレスが多地点への不正な電子メールの発信に関与しているか否か、継続的な不正な電子メールの発信に関与しているか否か、複数手法による不正な電子メールの発信に関与しているか否かを判定し、上記3ステップのいずれかにおいて、不正な電子メールの発信に関与していると判定された場合には、発信元IPアドレスを管理する組織に不正な電子メールの発信状況を送信する。【選択図】  図16
2007226368.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続した電子計算機から成るシステムにおいて、トラフィック解析による不正な電子メール発信元を特定する手段と、ウイルスの添付された電子メール発信元を特定する手段と、迷惑メールと判定された電子メール発信元を特定する手段とを設けたことを特徴とする電子メールトラフィック観測装置。
【請求項２】
請求項1記載のシステムにおいて、該当プロトコルのみで使用されているコマンドか否かを用いて当該プロトコルによるトラフィックを判定する手段と、その結果を当該プロトコルらしさの度合いとして算出する手段と、当該プロトコルらしさの度合いとして表示する手段とを設けたことを特徴とする電子メールトラフィック観測装置。
【請求項３】
請求項1記載のシステムにおいて、発信元が多地点への不正な電子メールの発信に関与しているか否かを判定する手段と、継続的な不正な電子メールの発信に関与しているか否かを判定する手段と、複数手法による不正な電子メールの発信に関与しているか否かを判定する手段とを設けたことを特徴とする電子メールトラフィック観測装置。
【請求項４】
請求項1記載のシステムにおいて、特定の発信元が関与する観測結果として、宛先ポート番号毎の観測されたパケット総数、ウイルス名毎の観測された電子メール総数、ドメイン名毎の観測された迷惑メール総数とを表示する手段を設けたことを特徴とする電子メールトラフィック観測装置。
【請求項５】
請求項3記載の不正な電子メールの発信に関与しているか否かを判定する方法において、
不正な電子メールの発信状況に関与していると判断した場合、発信元を管理する組織に不正な電子メールの発信状況を通知する手段を設けたことを特徴とする電子メールトラフィック観測装置。
【請求項６】
請求項4記載の観測結果の表示する方法において、多地点の観測結果を観測手法毎に一覧にして表示する手段と、観測された不正な電子メールの発信元を一覧にして表示する手段と、同一の発信元が多地点の観測結果に現れた場合には表示方式を変更する手段と、同一の発信元が複数の観測手法の観測結果に現れた場合には表示方式を変更する手段とを設けたことを特徴とする電子メールトラフィック観測装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続した電子計算機から成るシステムにおいて、電子メールを用いたウイルスや迷惑メールの発信に関わる装置を特定する技術に関する。
【背景技術】
【０００２】
近年、企業情報システムにおいて、電子メールを用いたウイルスや迷惑メールを対象とした流布対策は重要な課題となってきている。
【０００３】
従来、電子メールを用いたウイルス流布を予防する方法として、ウイルス対策ソフトウェアを用いることにより、コンピュータウイルスの検出、駆除ならびに、感染からの修復などを行っている。また、迷惑メールを予防する方法として、電子メールの件名や本文中に記載された特定の文字列の記載有無などを判定する迷惑メール対策ソフトウェアを用いることにより、迷惑メールの検出ならびに廃棄などを行っている。
【０００４】
例えば、特許文献１に、ウイルス検知に関する技術が開示されている。
【０００５】
【特許文献１】特開平０６−３３７７８１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
インターネット技術を用いた情報システムが企業活動のインフラとして利用されるにつれ、電子メールの受信側でウイルスや迷惑メールの検出、駆除ならびに廃棄するだけではなく、ウイルスや迷惑メールの発信装置ならびに中継装置を特定し、これらウイルスや迷惑メールである迷惑メールの発信に関わっている装置のセキュリティ対策を改善することで、流布対策を行なう必要がでてきている。
【０００７】
しかしながら、上記従来技術を用いてウイルスや迷惑メールの流布対策を行う場合、電子メールの受信側で、該当するコンピュータウイルスや迷惑メールのツールを適用し検出、駆除ならびに廃棄するに留まっている。結果として、ウイルスや迷惑メールの発信に関わっている装置のセキュリティ対策が改善されていないため、ウイルスや迷惑メールの発信自身を抑止することができないという課題がある。
【課題を解決するための手段】
【０００８】
本発明は、上記問題点の解決を図るために、セキュリティ対策の改善が必要となるウイルスや迷惑メールの発信に関わっている装置を特定する技術を提供する。
【０００９】
本発明は、上記課題を解決するために、電子計算機を用いて1以上の機器で構成されるネットワークシステムにおいて、電子メールに関わるトラフィック観測方法として、以下に示す手段を用いることにより達成される。
(1) トラフィック解析による不正な電子メール発信元の特定
トラフィックを構成するパケットの宛先ポート番号が電子メール転送で使用するポート番号25以外である場合、トラフィック中のSMTP(Simple Mail Transfer Protocol)コマンド混入を判定することにより、電子メールが転送されているトラフィックであるか否かを判定する。パケットのデータ部にSMTPコマンド混入が混入している場合には、このトラフィックは、通常の電子メールを転送する操作ではない、すなわち、不正な電子メールを転送するトラフィックであると判定し、パケットヘッダから発信元IPアドレスを抽出することで不正な電子メール発信元を特定する。
(2) ウイルスの添付された電子メール発信元の特定
受信した電子メールに対して、コンピュータウイルスの対策ツールを適用し、電子メールにウイルスの混入を判定する。電子メールにウイルスが混入している場合には、当該システムにパケットを送信してきた発信元IPアドレスをパケットヘッダから抽出することでウイルスの添付された電子メール発信元を特定する。
(3) 迷惑メールと判定された電子メール発信元の特定
受信した電子メールに対して、迷惑メールの対策ツールを適用し、電子メールが迷惑メールに該当するか否かを判定する。電子メールを迷惑メールに該当すると判定した場合には、当該システムにパケットを送信してきた発信元IPアドレスをパケットヘッダから抽出することで迷惑メールと判定した電子メール発信元を特定する。
(4) 発信元組織への不正な電子メールの発信状況通知
前記3ステップにより抽出された発信元IPアドレスからのウイルスや迷惑メールなど不正な電子メールの発信を監視する。次に、多地点で不正な電子メールの発信を観測した場合、前記3ステップのいずれかにおいて継続的な不正な電子メールの発信を観測した場合、あるいは、前記3ステップのうち、複数の発信元特定手法で不正な電子メールの発信を観測した場合には、発信元IPアドレスを管理する組織に不正な電子メールの発信状況を通知する。
【００１０】
具体的には、本発明による電子メールトラフィック観測装置は、ネットワークに接続した電子計算機から成るシステムにおいて、トラフィック解析による不正な電子メール発信元を特定する手段と、ウイルスの添付された電子メール発信元を特定する手段と、迷惑メールと判定された電子メール発信元を特定する手段とを設けたことを特徴とする。
【００１１】
また、該当プロトコルのみで使用されているコマンドか否かを用いて当該プロトコルによるトラフィックを判定する手段と、その結果を当該プロトコルらしさの度合いとして算出する手段と、当該プロトコルらしさの度合いとして表示する手段とを設けたことを特徴とする。
【００１２】
また、発信元が多地点への不正な電子メールの発信に関与しているか否かを判定する手段と、継続的な不正な電子メールの発信に関与しているか否かを判定する手段と、複数手法による不正な電子メールの発信に関与しているか否かを判定する手段とを設けたことを特徴とする。
【００１３】
また、特定の発信元が関与する観測結果として、宛先ポート番号毎の観測されたパケット総数、ウイルス名毎の観測された電子メール総数、ドメイン名毎の観測された迷惑メール総数とを表示する手段を設けたことを特徴とする。
【００１４】
また、上記不正な電子メールの発信に関与しているか否かを判定する手段は、不正な電子メールの発信状況に関与していると判断した場合、発信元を管理する組織に不正な電子メールの発信状況を通知する手段を設けたことを特徴とする。
【００１５】
また、観測結果を表示する手段は、多地点の観測結果を観測手法毎に一覧にして表示する手段と、観測された不正な電子メールの発信元を一覧にして表示する手段と、同一の発信元が多地点の観測結果に現れた場合には表示方式を変更する手段と、同一の発信元が複数の観測手法の観測結果に現れた場合には表示方式を変更する手段とを設けたことを特徴とする。
【００１６】
これらの手段により、対象とするネットワークシステムにおいてウイルスや迷惑メールなど不正な電子メールの発信に関わっている装置を特定し、装置を管理する組織に装置のセキュリティ対策改善を図るための勧告通知を実施することができる。
【００１７】
すなわち、本発明によれば、ウイルスや迷惑メールの発信に関わっている装置を特定することができ、特定した発信元が多地点で不正な電子メールの発信を観測した場合、継続的な不正な電子メールの発信を観測した場合、あるいは、複数手法による不正な電子メールの発信を観測した場合には、発信元IPアドレスを管理する組織に不正な電子メールの発信状況を通知することが可能となる。
【発明の効果】
【００１８】
本発明によれば、ウイルスや迷惑メールの発信に関わっている装置を特定することができる。
【００１９】
また、不正な電子メールの発信状況を通知することが可能となる。
【発明を実施するための最良の形態】
【００２０】
以下、本発明の実施例を図面によって説明する。
【００２１】
図3は、本発明を適用した電子メールトラフィック観測のネットワークシステム概略図である。電子メールトラフィック観測装置301、そして、サーバ装置(302a、302b)、クライアント装置(302c、302d、302e)などの電子計算機がネットワーク(303a、303b)を介して接続している。なお、トラフィック観測装置301bはサーバ装置(302b)機構をその装置内部に取り込んだ構成となっている。本実施例では、電子メールトラフィック観測装置1(301a)が、他の電子メールトラフィック観測装置2(301b)の観測結果を収集する構成をとっている。
【００２２】
図1は、電子メールトラフィック観測装置301の概略構成図である。電子メールトラフィック観測装置301は、CPU101、メモリ102、ハードディスク装置などの外部記憶装置103、ネットワークに接続された通信装置104、キーボードやマウスなどの入力装置105、ディスプレイなどの表示装置106、FDなどの可搬性を有する記憶媒体のデータにアクセス読取り装置107と、上述した各構成要素間のデータ送受信を司るインタフェース108とを備えた電子計算機上に構築することができる。外部記憶装置103には、電子メールトラフィック観測装置301を電子計算機上に構築するための構成情報管理プログラム132、当該装置上で稼動するトラフィックトレースプログラム133、ウイルストレースプログラム134、迷惑メールトレースプログラム135などが格納されている。CPU101はメモリ上にロードされた構成情報管理プログラム132を実行することにより、電子メールトラフィック観測装置全体のプロセス制御を行なう。パケット監視部112は受信パケットの到着を検出し、入力制御部111を経由して、通信制御プログラム131が受信パケットを次の中継先に転送する。また、入力制御部111は入力装置105や表示装置106を制御して電子メールトラフィック観測装置の管理者から指示を受付け、その出力を表示する。構成情報管理プログラム132は、これらパケット監視部112、入力制御部111、トラフィックトレースプログラム133、ウイルストレースプログラム134、迷惑メールトレースプログラム135と連動して、ウイルスや迷惑メールなどの不正な電子メールの検出と、発信元IPアドレスの特定を行なう。また、観測状況通知プログラム136は、多地点で不正な電子メールの発信を観測した場合、継続的な不正な電子メールの発信を観測した場合や複数の発信元特定手法で不正な電子メールの発信を観測した場合に、発信元IPアドレスを管理する組織に不正な電子メールの発信状況を通知する。
【００２３】
図2は、クライアント装置やサーバ装置などのネットワークシステムを利用する電子計算機302の概略構成図である。ここで、図1に示す電子メールトラフィック観測装置301と同じ機能を有するものには同じ符号を付している。クライアント／サーバ装置302の外部記憶装置103には、当該装置上で稼動するアプリケーションプログラム137、通信制御プログラム131と構成情報管理プログラム132が格納されている。CPU101はメモリ上にロードされた構成情報管理プログラム132を実行することにより、クライアント／サーバ装置全体のプロセス制御を行い、そのプロセス制御下でアプリケーションプログラム137を実行することにより、サーバ装置(302)が有する個々のサービスを提供する。
【００２４】
図4は、電子メールが転送されているトラフィックであるか否かを判定するデータベースの一例を示す。なお、このデータベースは、電子メールトラフィック観測装置(301)のトラフィックトレースプログラム133の一部として格納されている。列401はSMTPプロトコルで使用するコマンドの一覧であり、列402には当該コマンドがSMTPプロトコルのみで使用されているコマンドであることを示す「SMTP特有」か、他のプロトコルでも使用されているコマンドであることを示す「SMPT特有ではない」を格納している。
【００２５】
図5〜図6と図12〜図13に、上記構成の電子メールトラフィック観測装置(301)のトラフィックトレースプログラム133の動作について説明する。
【００２６】
図13は、電子メールトラフィック観測装置(301)上のトラフィックトレースプログラム133において、パケットデータ部に格納されているデータのSMTPプロトコルらしさの度合いを判定するフロー図である。ステップS1301では、パケット監視部112が受信したパケットのデータ部に格納されているデータ部を抽出する。ステップS1302では、抽出したデータ部に、列401に記載されたSMTPコマンドのうち、列402に「SMTP特有」と記載されたコマンドが格納されているかを判定する。データ部に列402の「SMTP特有」と記載されたコマンドを含んでいる場合には、当該受信パケットは電子メールの転送を行なっているパケットであると判定し、SMTPプロトコルの通信に関与するパケットであるかどうかの尺度をしめす、SMTPプロトコルらしさ度として「高」を設定する(S1304)。ステップS1303では、抽出したデータ部に、列401に記載されたSMTPコマンドのうち、列402に「SMTP特有ではない」と記載されたコマンドが格納されているかを判定する。データ部に列402の「SMTP特有ではない」と記載されたコマンドを含んでいる場合には、当該受信パケットは電子メールの転送を行なっていると想定されるパケットであると判定し、SMTPプロトコルらしさ度として「中」を設定する(S1305)。データ部に列401に記載されたSMTPコマンドを含んでいない場合には、ステップS1302、S1303のいずれにも該当しない場合となり、SMTPプロトコルらしさ度として「低」を設定する(S1306)。
【００２７】
図12は、電子メールトラフィック観測装置(301)上のトラフィックトレースプログラム133において、不正な電子メールを転送するトラフィックを判定し、発信元を特定するフロー図である。パケット監視部112が受信パケットの到着を検出すると、トラフィックトレースプログラム133にパケットを引き渡し、パケットヘッダから宛先と発信元IPアドレスの抽出(S1201)、宛先と発信元ポート番号の抽出(S1202)を行なう。ステップS1203では、S1202で抽出した宛先ポート番号が電子メール転送で使用するポート番号25以外であるか否かを判定する。宛先ポート番号が25番である場合には正規の電子メール転送であると判定し、正規の電子メール転送処理としてトラフィックトレース情報の集計処理(S1206)においてパケット数の頻度算出の加算を行なう。一方、宛先ポート番号が25番以外である場合には、通常の電子メールを転送する操作ではない、すなわち、不正な電子メールを転送するトラフィックであると判断し(S1203)、パケットデータ部に格納されているデータのSMTPプロトコルらしさの度合いを判定する(S1204)。ステップS1204では、図13に示すフローに従い、当該受信パケットがSMTPプロトコルの通信に関与するパケットであるかどうかの尺度をしめす、SMTPプロトコルらしさ度を設定する。ステップS1205では、不正な電子メールを発信している装置のIPアドレスを特定するための手順であり、S1201で抽出したパケットヘッダの発信元IPアドレスを不正な電子メールを発信している装置の発信元IPアドレスとして設定した後、不正な電子メール転送処理としてトラフィックトレース情報の集計処理(S1206)において発信元IPアドレス毎ならびに宛先ポート番号毎の頻度算出の加算を行なった後、本実施例では、その集計結果を電子メールトラフィック観測装置1(301a)に転送する。
【００２８】
図5は、電子メールトラフィック観測装置1(301a)のトラフィックトレースプログラム133のトラフィックトレース情報の集計処理(S1206)が出力する特定IPアドレスに着目したトラフィックトレース情報の画面表示例である。IPアドレス(71)はトラフィックトレースプログラム133のステップS1201で抽出された発信元IPアドレスのひとつであり、ここに表示されるグラフや表は、当該IPアドレスに関する集計処理結果である。表示エリア(502)は、それぞれの電子メールトラフィック観測装置1ならびに2(301)において観測された当該IPアドレスに関わる集計処理結果を出力するエリアである。グラフ(503)は、日毎の観測されたパケット数の推移を表し、ステップS1204で判定されたSMTPプロトコルらしさの度合い3段階を加味し表示している。表(504)は、グラフの表示期間を対象に、ステップS1202で抽出された宛先ポート番号毎の観測されたパケット総数を表示している。
【００２９】
図6は、電子メールトラフィック観測装置1(301a)のトラフィックトレース情報の集計処理(S1206)が出力する多地点を対象としたトラフィックトレース情報の画面表示例である。表示エリア(601)は、それぞれの電子メールトラフィック観測装置1ならびに2(301)において観測されたすべてのデータを対象とした集計処理結果を出力するエリアである。グラフ(602)は、日毎の観測されたパケット数の推移を表し、ステップS1204で判定されたSMTPプロトコルらしさの度合い3段階を加味し表示している。表は、それぞれの電子メールトラフィック観測装置1ならびに2(301)において観測された発信元IPアドレス(603)毎のパケット数(604)である。通知(605)は、発信元IPアドレスを管理する組織に不正な電子メールの発信状況通知を指示するボタンである。太枠で表示されている(606)は、選択されたIPアドレスが他の電子メールトラフィック観測装置においてもIPアドレスが観測されたことを示し、当該IPアドレスにカーソルなどのポインタをあわせた場合のみ該当するセルの枠線の太さを変更している。さらに、当該IPアドレスをカーソルにより選択した場合には、図5に示す特定IPアドレスに着目したトラフィックトレース情報の表示が行われる。
【００３０】
図7〜図8と図14に、上記構成の電子メールトラフィック観測装置(301)のウイルストレースプログラム134の動作について説明する。
【００３１】
図14は、電子メールトラフィック観測装置(301)上のウイルストレースプログラム134において、ウイルスを添付した電子メールを判定し、発信元を特定するフロー図である。パケット監視部112が受信パケットの到着を検出すると、ウイルストレースプログラム134にパケットを引き渡し、パケットヘッダから発信元IPアドレスの抽出(S1401)を行なう。ステップS1402では、パケットのデータ部に格納されているデータ部を抽出した後、コンピュータウイルスの対策ツールを適用し、当該受信パケットへのウイルス混入の有無を判定する。ウイルス混入がない場合には、正規の電子メール転送であると判定し、正規の電子メール転送処理としてウイルストレース情報の集計処理(S1406)においてパケット数の頻度算出の加算を行なう。一方、ウイルス混入があると判断した場合には、当該受信パケットに関わる電子メールにはウイルスが添付されていると判断し、コンピュータウイルスのツールが特定したウイルス名を取り出す(S1404)。ステップS1405では、ウイルスの添付された電子メールを発信している装置のIPアドレスを特定するための手順であり、S1401で抽出したパケットヘッダの発信元IPアドレスを不正な電子メールを発信している装置の発信元IPアドレスとして設定した後、不正な電子メール転送処理としてウイルストレース情報の集計処理(S1406)において発信元IPアドレス毎ならびにウイルス名毎での頻度算出の加算を行なった後、本実施例では、その集計結果を電子メールトラフィック観測装置1(301a)に転送する。
【００３２】
図7は、電子メールトラフィック観測装置1(301a)のウイルストレースプログラム134のウイルストレース情報の集計処理(S1406)が出力する特定IPアドレスに着目したウイルストレース情報の画面表示例である。IPアドレス(701)はウイルストレースプログラム134のステップS1401で抽出された発信元IPアドレスのひとつであり、ここに表示されるグラフや表は、当該IPアドレスに関する集計処理結果である。表示エリア(702)は、それぞれの電子メールトラフィック観測装置1ならびに2(301)において観測された当該IPアドレスに関わる集計処理結果を出力するエリアである。グラフ(703)は、日毎の観測されたウイルスの添付された電子メール数の推移を表示している。表(704)は、グラフの表示期間を対象に、ステップS1404で抽出されたウイルス名毎の観測された電子メール総数を表示している。
【００３３】
図8は、電子メールトラフィック観測装置1(301a)のウイルストレース情報の集計処理(S1406)が出力する多地点を対象としたウイルストレース情報の画面表示例である。表示エリア(801)は、それぞれの電子メールトラフィック観測装置1ならびに2(301)において観測されたすべてのデータを対象とした集計処理結果を出力するエリアである。グラフ(802)は、日毎の観測されたウイルスの添付された電子メール数の推移を表示している。表は、それぞれの電子メールトラフィック観測装置1ならびに2(301)において観測された発信元IPアドレス(803)毎のウイルスの添付された電子メール数(804)である。通知(805)は、発信元IPアドレスを管理する組織に不正な電子メールの発信状況通知を指示するボタンである。太枠で表示されている(806)は、選択されたIPアドレスが他の電子メールトラフィック観測装置においてもIPアドレスが観測されたことを示し、当該IPアドレスにカーソルなどのポインタをあわせた場合のみ該当するセルの枠線の太さを変更している。さらに、当該IPアドレスをカーソルにより選択した場合には、図7に示す特定IPアドレスに着目したウイルストレース情報の表示が行われる。
【００３４】
図9〜図10と図15に、上記構成の電子メールトラフィック観測装置(301)の迷惑メールトレースプログラム135の動作について説明する。
【００３５】
図15は、電子メールトラフィック観測装置(301)上の迷惑メールトレースプログラム135において、迷惑メールに該当する電子メールを判定し、発信元を特定するフロー図である。パケット監視部112が受信パケットの到着を検出すると、迷惑メールトレースプログラム135にパケットを引き渡し、パケットヘッダから発信元IPアドレスの抽出(S1501)を行なう。ステップS1502では、パケットのデータ部に格納されているデータ部を抽出した後、迷惑メールの対策ツールを適用し、当該受信パケットで送られてきた電子メールが迷惑メールに該当するか否かを判定する。迷惑メールに該当しない場合には、正規の電子メール転送であると判定し、正規の電子メール転送処理として迷惑メールトレース情報の集計処理(S1506)においてパケット数の頻度算出の加算を行なう。一方、迷惑メールに該当すると判断した場合には、迷惑メールの発信元メールアドレスからドメイン名を取り出す(S1504)。ステップS1505では、迷惑メールを発信している装置のIPアドレスを特定するための手順であり、S1501で抽出したパケットヘッダの発信元IPアドレスを不正な電子メールを発信している装置の発信元IPアドレスとして設定した後、不正な電子メール転送処理として迷惑メールトレース情報の集計処理(S1506)において発信元IPアドレス毎ならびにドメイン名毎での頻度算出の加算を行なった後、本実施例では、その集計結果を電子メールトラフィック観測装置1(301a)に転送する。
【００３６】
図9は、電子メールトラフィック観測装置1(301a)の迷惑メールトレースプログラム135の迷惑メールトレース情報の集計処理(S1506)が出力する特定IPアドレスに着目した迷惑メールトレース情報の画面表示例である。IPアドレス(901)は迷惑メールトレースプログラム135のステップS1501で抽出された発信元IPアドレスのひとつであり、ここに表示されるグラフや表は、当該IPアドレスに関する集計処理結果である。表示エリア(902)は、それぞれの電子メールトラフィック観測装置1ならびに2(301)において観測された当該IPアドレスに関わる集計処理結果を出力するエリアである。グラフ(903)は、日毎の観測された迷惑メール数の推移を表示している。表(904)は、グラフの表示期間を対象に、ステップS1504で抽出されたドメイン名毎の観測された迷惑メール総数を表示している。
【００３７】
図10は、電子メールトラフィック観測装置1(301a)の迷惑メールトレース情報の集計処理(S1506)が出力する多地点を対象とした迷惑メールトレース情報の画面表示例である。表示エリア(1001)は、それぞれの電子メールトラフィック観測装置1ならびに2(301)において観測されたすべてのデータを対象とした集計処理結果を出力するエリアである。グラフ(1002)は、日毎の観測された迷惑メール数の推移を表示している。表は、それぞれの電子メールトラフィック観測装置1ならびに2(301)において観測された発信元IPアドレス(1003)毎の迷惑メール数(1004)である。通知(1005)は、発信元IPアドレスを管理する組織に不正な電子メールの発信状況通知を指示するボタンである。太枠で表示されている(1006)は、選択されたIPアドレスが他の電子メールトラフィック観測装置においてもIPアドレスが観測されたことを示し、当該IPアドレスにカーソルなどのポインタをあわせた場合のみ該当するセルの枠線の太さを変更している。さらに、当該IPアドレスをカーソルにより選択した場合には、図9に示す特定IPアドレスに着目した迷惑メールトレース情報の表示が行われる。
【００３８】
図11と図16に、発信元IPアドレスを管理する組織に不正な電子メールの発信状況通知を指示するボタン(605、805、1005)を押すことによる通知手順について説明する。
【００３９】
図11は、電子メールトラフィック観測装置1(301a)上の観測状況通知プログラム136において、発信元IPアドレスを管理する組織に不正な電子メールの発信状況を通知する際に送信される情報である。IPアドレス(1101)は発信状況通知を指示するボタン(605、805、1005)で選択された発信元IPアドレスである。行方向は送信される情報の種別、列方向は電子メールトラフィック観測装置毎(1105)となっており、トラフィックトレース情報(1102)、ウイルストレース情報(1103)、迷惑メールトレース情報(1104)の3種類の情報が通知される。本実施例では、トラフィックトレース情報として宛先ポート番号毎の観測されたパケット総数(504)、ウイルストレース情報としてウイルス名毎の観測された電子メール総数(704)、迷惑メールトレース情報としてドメイン名毎の観測された迷惑メール総数(904)を通知する。
【００４０】
図16は、電子メールトラフィック観測装置1(301a)上の観測状況通知プログラム136において、発信元IPアドレスを管理する組織に不正な電子メールの発信状況を通知するフロー図である。不正な電子メールの発信状況通知を指示するボタン(605、805、1005)を押すことにより実行される観測状況通知プログラム136は、ステップS1601において、前回実行以降に集計されたトラフィックトレース情報、ウイルストレース情報、迷惑メールトレース情報から発信元IPアドレスを抽出する。次に、ステップS1602では、抽出された発信元IPアドレスが多地点への不正な電子メールの発信に関与しているか否かを判定する。ステップS1603では、継続的な不正な電子メールの発信に関与しているか否かを判定する。ステップS1604では、複数手法による不正な電子メールの発信に関与しているか否かを判定する。上記3ステップのいずれかにおいて、不正な電子メールの発信に関与していると判定された場合には、ステップS1605において発信元IPアドレスを管理する組織に不正な電子メールの発信状況として、図11に提示した観測情報が送信される。
【００４１】
本実施例によれば、以下のような効果がある。
(1) トラフィック解析による不正な電子メール発信元の特定、ウイルスの添付された電子メール発信元の特定、迷惑メールと判定された電子メール発信元の特定の3つの発信元特定方法を備えているため、複数サイトにまたがり、より俯瞰的に観測することができる。
(2) パケットデータ部に格納されているデータをSMTP プロトコル判定器により判定し、その結果をSMTPプロトコルらしさの度合いとして出力している。このため、ポート番号によらないSMTPプロトコルの判定が可能となる。
【図面の簡単な説明】
【００４２】
【図１】電子メールトラフィック観測装置
【図２】クライアント／サーバ装置
【図３】実施例において電子メールトラフィック観測装置を適用したシステムの概略図
【図４】電子メールが転送されているトラフィックであるか否かを判定するデータベース
【図５】特定IPアドレスに着目したトラフィックトレース情報の表示
【図６】多地点を対象としたトラフィックトレース情報の表示
【図７】特定IPアドレスに着目したウイルストレース情報の表示
【図８】多地点を対象としたウイルストレース情報の表示
【図９】特定IPアドレスに着目した迷惑メールトレース情報の表示
【図１０】多地点を対象とした迷惑メールトレース情報の表示
【図１１】サービス転送型のサービス選択状態が格納されたデータベース
【図１２】トラフィックトレースプログラムの動作フロー
【図１３】SMTPプロトコルらしさの度合いを判定するフロー
【図１４】ウイルストレースプログラムの動作フロー
【図１５】迷惑メールトレースプログラムの動作フロー
【図１６】観測状況通知プログラムの動作フロー
【符号の説明】
【００４３】
S1601: 集計された情報から発信元IPアドレスを抽出するステップ
S1602: 多地点への不正な電子メール発信を判定するステップ
S1603: 継続的な不正な電子メール発信を判定するステップ
S1604: 複数の手法による不正な電子メール発信を判定するステップ
S1605: 発信元IPアドレスの管組織に不正な電子メール発信状況を通知するステップ
【図１】
2007226368.tif 000003
【図２】
2007226368.tif 000004
【図３】
2007226368.tif 000005
【図４】
2007226368.tif 000006
【図５】
2007226368.tif 000007
【図６】
2007226368.tif 000008
【図７】
2007226368.tif 000009
【図８】
2007226368.tif 000010
【図９】
2007226368.tif 000011
【図１０】
2007226368.tif 000012
【図１１】
2007226368.tif 000013
【図１２】
2007226368.tif 000014
【図１３】
2007226368.tif 000015
【図１４】
2007226368.tif 000016
【図１５】
2007226368.tif 000017
【図１６】
2007226368.tif 000018