(57)【要約】  コンピュータが、プロセッサと、プロセッサに接続されたメモリとを含む。メモリは、メッセージ内で指定される当初ネットワークノードから、当初ネットワークノードに関連するさらなるネットワーノードにリンクすることによって導出されるネットワークノード属性を用いてメッセージを増強するようにプロセッサによって実行される命令を記憶する。ネットワークノード属性を表すメッセージ署名を生成する。メッセージ署名を評価してメッセージを特徴付ける。【選択図】図１
2016520224.tif 000002
【特許請求の範囲】
【請求項１】
プロセッサと、
前記プロセッサに接続されたメモリと、
を備えたコンピュータであって、前記メモリは、
メッセージ内で指定される当初ネットワークノードから、該当初ネットワークノードに関連するさらなるネットワーノードにリンクすることによって導出されるネットワークノード属性を用いて前記メッセージを増強し、
前記ネットワークノード属性を表すメッセージ署名を生成し、
前記メッセージ署名を評価して前記メッセージを特徴付ける、
ように前記プロセッサによって実行される命令を記憶する、
ことを特徴とするコンピュータ。
【請求項２】
前記当初ネットワークノードは、前記メッセージ内にネットワーク装置インジケータを含む、
請求項１に記載のコンピュータ。
【請求項３】
前記ネットワーク装置インジケータは、ホスト名である、
請求項２に記載のコンピュータ。
【請求項４】
前記ネットワーク装置インジケータは、インターネットプロトコル（ＩＰ）アドレスである、
請求項２に記載のコンピュータ。
【請求項５】
前記ネットワークノード属性は、ネーミングシステムの記録を含む、
請求項１に記載のコンピュータ。
【請求項６】
前記ネーミングシステムは、ドメインネームシステム（ＤＮＳ）、ネットワーク情報サービス（ＮＩＳ）、サーバメッセージブロック（ＳＭＢ）、ＷｈｏＩｓ、Ｗｅｉｒｄｓ及びＡｌｅｘａから選択される、
請求項５に記載のコンピュータ。
【請求項７】
再帰的リンクを通じて、さらなるネットワークノード属性を用いて前記メッセージをさらに増強するかどうかを判断するように前記プロセッサによって実行される命令をさらに含む、
請求項１に記載のコンピュータ。
【請求項８】
前記メッセージ署名を評価して前記メッセージを特徴付ける前記命令は、前記メッセージを、未承諾の大量電子メール（スパム）として特徴付ける命令を含む、
請求項１に記載のコンピュータ。
【請求項９】
スパムとして特徴付けられた隔離メッセージを形成するように前記プロセッサによって実行される命令をさらに含む、
請求項８に記載のコンピュータ。
【請求項１０】
前記隔離メッセージについて受信者に通知するように前記プロセッサによって実行される命令をさらに含む、
請求項９に記載のコンピュータ。
【請求項１１】
前記メッセージ内の特徴を表すメッセージ署名を生成するように前記プロセッサによって実行される命令をさらに含む、
請求項１に記載のコンピュータ。
【請求項１２】
前記ネットワークノード属性を特徴付ける関係グラフを形成するように前記プロセッサによって実行される命令をさらに含む、
請求項１に記載のコンピュータ。
【請求項１３】
ネットワークノード属性間の関係を記憶するように前記プロセッサによって実行される命令をさらに含む、
請求項１に記載のコンピュータ。
【請求項１４】
前記関係を評価して疑わしいノードを識別し、該疑わしいノードに関連するノードに疑わしい特徴を帰属させるように前記プロセッサによって実行される命令をさらに含む、
請求項１３に記載のコンピュータ。
【発明の詳細な説明】
【技術分野】
【０００１】
〔関連出願との相互参照〕
本出願は、２０１３年４月３０日に出願された米国特許出願第１３／８７４，３７６号に対する優先権を主張する継続出願であり、該特許出願の内容は引用により本明細書に組み入れられる。
【０００２】
本発明は、一般にネットワーク通信に関する。より具体的には、本発明は、メッセージを増強してスパム識別を容易にするための技術に関する。
【背景技術】
【０００３】
未承諾の大量電子メールは、一般にスパムと呼ばれる。スパムは、電子メールメッセージ、ショートメッセージングサービス（ＳＭＳ）テキストメッセージ、及びマルチメディアサービス（ＭＭＳ）メッセージなどの形を取ることができる。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
スパムメッセージは、メッセージ受信者にとって煩わしいものと考えられ、ネットワーク通信事業者にとって望ましくないトラフィックを生じるので、これらのメッセージを識別して隔離する努力が継続的に行われている。
【課題を解決するための手段】
【０００５】
コンピュータが、プロセッサと、プロセッサに接続されたメモリとを含む。メモリは、メッセージ内で指定される当初ネットワークノードから、この当初ネットワークノードに関連するさらなるネットワーノードにリンクさせることによって導出されるネットワークノード属性を用いてメッセージを増強するようにプロセッサによって実行される命令を記憶する。ネットワークノード属性を表すメッセージ署名を生成する。メッセージ署名を評価してメッセージを特徴付ける。
【０００６】
本発明は、添付図面と併せて以下の詳細な説明を読むことによってさらに完全に理解される。
【図面の簡単な説明】
【０００７】
【図１】本発明の実施形態によって構成されるシステムを示す図である。
【図２】本発明の実施形態に関連する処理動作を示す図である。
【図３】本発明の実施形態によって形成される、ネットワークノード属性を特徴付けるための関係グラフを示す図である。
【発明を実施するための形態】
【０００８】
図面の複数の図を通じ、同じ参照数字は対応部分を示す。
【０００９】
図１に、本発明の実施形態によって構成されるシステム１００を示す。システム１００は、有線又は無線ネットワークとすることができるネットワーク１０６を介してサーバ１０４に接続されたコンピュータ１０２を含む。コンピュータ１０２は、バス１１４を介して接続された中央処理装置１１０及び入出力装置１１２などの標準コンポーネントを含む。入出力装置１１２は、キーボード、マウス及びタッチディスプレイなどを含むことができる。バス１１４には、ネットワーク１０６への接続を可能にするためのネットワークインターフェイス回路１１６も接続される。バス１１４には、メモリ１２０も接続される。メモリ１２０は、スパムメッセージを生成して配信するための実行可能命令を含むスパムモジュール１２２を記憶する。
【００１０】
サーバ１０４も、中央処理装置１３０、入出力装置１３４、バス１３４及びネットワークインターフェイス回路１３６などの標準コンポーネントを含む。バス１３４には、メモリ１４０も接続される。メモリ１４０は、本発明の動作を実施するための実行可能命令を記憶する。モジュールは、標準メッセージサーバ１４２を含むことができる。標準メッセージサーバ１４２は、メッセージ内で指定される当初ネットワークノードから導出されたネットワークノード属性でメッセージを増強するための実行可能命令を含む、関連するメッセージ増強モジュール１４４を有する。当初ネットワークノードは、メッセージヘッダ内又はメッセージの本文内に存在することができる。
【００１１】
メモリ１４０は、メッセージ内の特徴及びネットワークノード属性を表すメッセージ署名を生成するための実行可能命令を含むメッセージ分類器１４６も記憶する。メッセージ分類器１４６は、メッセージ署名を評価してメッセージを特徴付ける。例えば、メッセージ分類器１４６は、メッセージ署名を、スパムに関連することが分かっているメッセージ署名と比較することができる。メッセージ署名の一致が見つかった場合、そのメッセージをスパムと見なすことができる。その後、このメッセージを隔離し、隔離メッセージに関する受信者を識別することができる。
【００１２】
図１には、クライアントコンピュータ１４８も示す。クライアントコンピュータ１４８も、中央処理装置１５０、入出力装置１５２、バス１５４及びネットワークインターフェイス回路１５６などの標準コンポーネントを含む。バス１５４には、メモリ１６０が接続される。メモリ１６０は、メッセージサーバ１４２と協調してメッセージにアクセスして処理するための実行可能命令を含むクライアントメッセージモジュール１６２を記憶する。
【００１３】
図２に、本発明の実施形態に関連する処理動作を示す。これらの動作は、メッセージサーバ１４２、メッセージ増強モジュール１４４及びメッセージ分類器１４６のうちの１つ又はそれ以上を用いて実施することができる。これらの処理モジュールは例示である。モジュールは、組み合わせることも、又は拡張することもできる。重要なのは、このような動作の特定の実装ではなく、本発明の動作である。
【００１４】
まず、（例えば、メッセージサーバ１４２が）メッセージを受信する（２００）。次に、（例えば、メッセージ増強モジュール１４４が）メッセージの増強を決定する（２０２）。増強を行うべき場合（２０２−はい）、増強基準を適用して（２０４）メッセージを増強する（２０６）。例えば、ネットワーク装置名及びネットワーク装置アドレスなどの当初ネットワークノード情報から導出されるネットワークノード属性を用いて、当初ネットワークノード情報を増強することができる。ネットワークノード情報は、メッセージ内のいずれかの場所からの最初のインターネットプロトコル（ＩＰ）アドレスとホスト名の組を含むことができる。ＩＰアドレスは、インターネットプロトコルを通信に使用するコンピュータネットワーク内の各装置に割り当てられる数値ラベルである。ホスト名は、コンピュータネットワーク内の装置に割り当てられるラベルである。ホスト名は、単純名とすることも、或いはドメイン名に付加することもできる。ドメイン名は、ドメインネームシステム（ＤＮＳ）内の名前である。ホスト名は、対応するＩＰアドレスを有する。従って、所与のＩＰアドレスとホスト名の組について、関連するＩＰアドレス及びホスト名を識別することができる。例えば、ホスト名及びＩＰアドレスのＤＮＳルックアップを用いて、ホスト名をそのＤＮＳネームサーバに関連付けることや、ホスト名をその帰着するＩＰアドレスに関連付けることができる。
【００１５】
ネットワークノード属性は、ネーミングシステムの記録を含むことができる。例えば、ネーミングシステムは、ＤＮＳ、ネットワーク情報サービス（ＮＩＳ）、サーバメッセージブロック（ＳＭＢ）、ＷｈｏＩｓ、Ｗｅｂ  Ｅｘｔｅｎｓｉｂｌｅ  Ｉｎｔｅｒｎｅｔ  Ｒｅｇｉｓｔｒａｔｉｏｎ  Ｄａｔａ  Ｓｅｒｖｉｃｅ（ＷＥＩＲＤＳ）、及びＡｌｅｘａ（登録商標）から選択することができる。ＤＮＳの場合、ネーミングシステムの記録は、アドレス記録、ポインタ、ネームサーバ及びメール交換などとすることができる。他の有用なＤＮＳ記録タイプとしては、ゾーン情報（ＳＯＡ）、テキスト情報（ＴＸＴ）が挙げられ、ＴＸＴは、センダー・ポリシー・フレームワーク（ＳＰＦ）情報及びドメインキー・アイデンティファイド・メール（ＤＫＩＭ）情報を含むことが多い。ホスト名のベースドメインの検索も有用となり得る（例えば、ｍａｉｌ．ｆｏｏ．ｃｏｍのｆｏｏ．ｃｏｍ）。結果としての応答記録をリンクさせて特徴を与え、メッセージを特徴付けることができる。例えば、クエリアイテム、応答記録タイプ及び関連アイテムを含むタプルを形成することができる。その後、将来的に参照できるようにタプルをデータベースに記憶することができる。
【００１６】
メッセージの初期増強後、制御はブロック２０２に戻り、さらなるネットワークノード属性を用いてメッセージをさらに増強するかどうかを判断する。従って、潜在的な再帰的リンクを呼び出して、複数レベルのネットワーク関連アイテムを発見することができる。１つの実施形態では、動的に更新されるロジックにより、アイテム間のどの関係を追跡すべきか、及び関係の組をどこまで拡張すべきかを変更することができる。例えば、いくつかのＤＮＳルックアップの実行を停止し、他のＤＮＳルックアップの実行を開始し、或いは新たな深度における関係の組の拡張を停止するようにロジックを変更することができる。
【００１７】
メッセージの増強が完了した場合（２０２−いいえ）、そのメッセージに対してメッセージ署名を生成する（２０８）。メッセージ署名は、メッセージ内の特徴及び／又はネットワークノード属性を表す。メッセージ署名は、メッセージからの文字列、このような文字列又はメッセージの他のセグメントのハッシュとすることができる。メッセージ署名は、ネットワークノード属性又はそのハッシュに基づくことができる。単一のメッセージに複数の署名を関連付けることもできる。
【００１８】
次に、メッセージ署名を評価する（２１０）。例えば、メッセージ署名を、スパムを示すことが分かっている署名と比較する。すなわち、生成されたメッセージ署名を、以前にスパムとして識別されたメッセージのデータベース内の署名と比較する。
【００１９】
スパムが識別されない場合（２１２−いいえ）、メッセージを送出する（２１４）。スパムが識別された場合（２１２−はい）、メッセージを隔離し（２１６）、隔離されたメッセージについて受信者に通知することができる（２１８）。
【００２０】
上述の動作を用いて、以下のメッセージを処理することができる：
*****************************************************
Received: from sender.com (10.2.3.4) by mtal0.recipient.com (192.168.3.5) 
with SMTP 
From: sender@sender.com 
To : recipient@recipient.com 
Subject: Spam 
Buy my spam at http://www. spamstore.com 
*****************************************************
【００２１】
この場合、当初ネットワークノード属性は、以下のホスト名及びＩＰアドレスを含む。
-sender.com
-10.2.3.4
-mta10.recipient.com
-recipient.com
-192.168.3.5
-spamstore.com
【００２２】
この例では、メッセージ増強モジュール１４４がＤＮＳルックアップを実行して、以下の関係、さらなるホスト名及びＩＰアドレスを発見する。
2016520224.tif 000003
【００２３】
これらの関係を以下のヘッダとしてメッセージに追加した結果、以下のようなメッセージになる。
2016520224.tif 000004
2016520224.tif 000005
Received: from sender.com ( 10.2.3.4) by mtalO.recipient.com ( 192.168.3.5) with SMTP
From: sender@sender.com
To : recipient@recipient.com
Subject: Spam
Buy my spam at http://www.spamstore.com
*****************************************************
【００２４】
次に、この増強されたメッセージをメッセージ分類器１４６によって処理することができる。例えば、このメッセージはスパムと見なすことができ、従って隔離することができる。
【００２５】
本発明の別の実施形態は、ホスト名とＩＰアドレスの関係のグラフをさらに深く利用することができる。この実施形態では、基本的なグラフネットワークの関係を用いて、同じ特性（例えば、スパムの特徴）を有するノードのオーバーレイネットワークを定める。例えば、以下の２つのメッセージについて検討する。
*****************************************************
Date: Mon, 28 Jan 2013 13 :35:41 - 0800
From: Spammer <buymyspa:m@company 1.com>
To: Recipient <recipient@recipient.com>
Subject: Buy my amazing products
Content-Type: text/html; charset= "utf-8"
<a href-http://websitel .eomximg border-0
src=http://website1.com>
</a>
*****************************************************
2016520224.tif 000006
【００２６】
これらのメッセージは、図３に示すように評価することができる。第１のメッセージの本文の「ｗｅｂｓｉｔｅ１．ｃｏｍ」ドメイン３００にＤＮＳルックアップ３０４を行って、ＩＰアドレス３０６を取得することができる。同様に、第２のメッセージの「ｗｅｂｓｉｔｅ２．ｃｏｍ」ドメイン３０２にＤＮＳルックアップ３０８を行って、ＩＰアドレス３１０を取得することができる。次に、ＩＰアドレス３０６にＷｈｏＩｓルックアップ３１２を行って、ドメインｓｐａｍｍｅｒ．ｃｏｍ３１４を取得することができる。同様に、ＩＰアドレス３１０にＷｈｏＩｓルックアップ３１６を行って、同じドメイン名３１４を取得することができる。
【００２７】
このように、メッセージ内に存在するドメイン名とＩＰアドレスとの関係を用いて、メッセージ内に存在しない関連するドメイン名及び／又はＩＰアドレスを識別することができる。これらの関係を用いて、スパムの特徴を関連ノードに帰属させることができる。例えば、ｓｐａｍｍｅｒ．ｃｏｍというドメインがスパムであることが分かっている場合、図３のグラフ内の関連ノードもスパムとして特徴付けることができる。このような関係は、後で参照できるようにリレーショナルデータベースに記憶することができる。
【００２８】
あらゆる数の処理技術を用いてノード間の関係を明らかにすることができる。例えば、１つの手順を用いて、単一のノード（ドメイン名又はＩＰアドレス）に関する完全な情報の組を取得し、別の手順を用いて、直接隣接するノードに関する情報を取得し、別の手順を用いて、所与のホストノードから到達可能な全てのノードをグラフ化することができる。
【００２９】
ノード間の十分に定められた関係グラフを考慮した場合、根本的なノードの組を識別する方法を、ノードの特徴を広げるための１又はそれ以上の帰納ステップと組み合わせたものを所与として、アルゴリズムがこのグラフを分析し、（スパムのカテゴリ化などの）ノードの特徴を広げることができる。例えば、何らかの外部ソースに従って、これらの根本的なノードの組を、スパムの特徴を有していることが既に分かっているものとして定めることができる。１つの帰納ステップは、「このノードの子の大部分が所与の特徴を有し、これらの子が特定の特性を通じて関連している場合、この特徴を親ノードに広げる」と定めることができる。別の帰納ステップは、「子ノードが親ノードに対して特定のタイプの関係を有する場合、その特徴を子ノードに広げる」とすることができる。その後、この帰納ステップに更新されたノードの組を再び適用して、さらなるノードを発見する。帰納ステップを繰り返し適用することで、初期の根本的な組からグラフ全体を通じてさらなるノードに特徴が広がり、基本的な関係グラフ上に重なるようになる。
【００３０】
本発明は、スパムを識別するために利用できる情報を拡張する技術を提供することが有利である。すなわち、関連するホスト及びＩＰアドレスへの再帰的リンクにより、スパムに関連する感染を発見する機会が増える。
【００３１】
本発明の実施形態は、様々なコンピュータ実施動作を実行するためのコンピュータコードを記憶したコンピュータ可読記憶媒体を含むコンピュータ記憶製品に関する。これらの媒体及びコンピュータコードは、本発明の目的のために特別に設計され構築されたものとすることも、或いはコンピュータソフトウェア技術の当業者によく知られていて利用可能な種類のものとすることもできる。コンピュータ可読媒体の例としては、以下に限定されるわけではないが、ハードディスク、フロッピー（登録商標）ディスク及び磁気テープなどの磁気媒体、ＣＤ−ＲＯＭ、ＤＶＤ及びホログラフィック装置などの光学媒体、光磁気媒体、並びに特定用途向け集積回路（「ＡＳＩＣ」）、プログラマブル論理装置（「ＰＬＤ」）及びＲＯＭ、ＲＡＭ装置などの、プログラムコードを記憶して実行するよう特別に構成されたハードウェア装置が挙げられる。コンピュータコードの例としては、コンパイラによって生成されたような機械コード、及びインタープリタを用いてコンピュータによって実行される高水準コードを含むファイルが挙げられる。例えば、本発明の実施形態は、ＪＡＶＡ（登録商標）、Ｃ＋＋、又はその他のオブジェクト指向プログラミング言語及び開発ツールを用いて実装することができる。本発明の別の実施形態は、機械実行可能ソフトウェア命令の代わりに、又は機械実行可能ソフトウェア命令と組み合わせて、ハードワイヤード回路に実装することができる。
【００３２】
上記の説明では、本発明を十分に理解できるように説明目的で特定の標準名称を使用している。しかしながら、当業者には、本発明を実施するために特定の詳細は必要でないことが明らかであろう。従って、上述した本発明の特定の実施形態についての説明は、例示及び説明を目的として示したものである。これらの説明は、包括的であることや、或いは開示した正確な形に本発明を限定するためのものではなく、上記の教示に照らして多くの修正例及び変形例が考えられることが明らかである。これらの実施形態は、本発明の原理及びその実際の応用を最も良く説明することにより、想定される特定の用途に適した様々な修正を伴って本発明及び様々な実施形態を他の当業者が最も良く利用できるようにするために選択して説明したものである。本発明の範囲は、以下の特許請求の範囲及びその同等物によって定められるものとする。
【符号の説明】
【００３３】
１００  システム
１０２  コンピュータ
１０４  サーバ
１０６  ネットワーク
１１０  ＣＰＵ（中央処理装置）
１１２  Ｉ／Ｏ（入出力装置）
１１４  バス
１１６  ＮＩＣ（ネットワークインターフェイス回路）
１２０  メモリ
１２２  ＳＰＡＭモジュール
１３０  ＣＰＵ（中央処理装置）
１３２  Ｉ／Ｏ（入出力装置）
１３４  バス
１３６  ＮＩＣ（ネットワークインターフェイス回路）
１４０  メモリ
１４２  メッセージサーバ
１４４  メッセージ増強モジュール
１４６  メッセージ分類器
１４８  クライアントコンピュータ
１５０  ＣＰＵ（中央処理装置）
１５２  Ｉ／Ｏ（入出力装置）
１５４  バス
１５６  ＮＩＣ（ネットワークインターフェイス回路）
１６０  メモリ
１６２  クライアントメッセージモジュール
【図２】
2016520224.tif 000007
【図３】
2016520224.tif 000008
【図１】
2016520224.tif 000009
【国際調査報告】
2016520224.tif 000010