特許 7453886 検知装置、検知方法及び検知プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-03-12

(45)【発行日】2024-03-21

(54)【発明の名称】検知装置、検知方法及び検知プログラム

(51)【国際特許分類】

   H04L 51/00 20220101AFI20240313BHJP

【ＦＩ】

H04L51/00

【請求項の数】 6

(21)【出願番号】P 2020154495

(22)【出願日】2020-09-15

(65)【公開番号】P2022048599

(43)【公開日】2022-03-28

【審査請求日】2023-01-18

(73)【特許権者】

【識別番号】000208891

【氏名又は名称】ＫＤＤＩ株式会社

(73)【特許権者】

【識別番号】519429510

【氏名又は名称】ＫＤＤＩデジタルセキュリティ株式会社

(74)【代理人】

【識別番号】100106002

【弁理士】

【氏名又は名称】正林 真之

(74)【代理人】

【識別番号】100120891

【弁理士】

【氏名又は名称】林 一好

(72)【発明者】

【氏名】澤谷 雪子

(72)【発明者】

【氏名】窪田 歩

(72)【発明者】

【氏名】浦川 順平

【審査官】中川 幸洋

(56)【参考文献】

【文献】特開２０１９－１６５３５２（ＪＰ，Ａ）

【文献】特開２０１７－０４５３４７（ＪＰ，Ａ）

【文献】特開２０１６－０７１７２８（ＪＰ，Ａ）

【文献】特表２０１８－５０８１６９（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１６／０３１５９６９（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ５１／００

(57)【特許請求の範囲】

【請求項1】

既知の正規のメールアドレスに関するＤＮＳ情報を含むメールアドレス情報を取得するアドレス情報取得部と、
受信したメールの送信元メールアドレスに対して、当該送信元メールアドレスのアドレスホスト部に基づくＳＰＦ認証の結果が成功又は失敗のいずれでもないとき、前記メールアドレス情報に、同一のドメイン名で、かつ、当該ドメイン名を含むアドレスホスト部に対する異なるホストのＳＰＦレコードが存在する場合、当該受信したメールを迷惑メールの可能性が高いと判定する判定部と、を備える検知装置。

【請求項2】

既知の正規のメールにおけるヘッダ情報に基づいて、当該メールの送受信経路上の送信サーバに関するＤＮＳ情報を含むメール情報を取得するメール情報取得部を備え、
前記判定部は、受信したメールの送信元メールアドレスに対して、当該送信元メールアドレスのアドレスホスト部に基づくＳＰＦ認証の結果が成功又は失敗のいずれでもないとき、前記メールアドレス情報に、同一のドメイン名で、かつ、当該ドメイン名を含むアドレスホスト部に対する異なるホストのＳＰＦレコードが存在する場合、当該受信したメールを迷惑メールの可能性が高いと判定し、前記ＳＰＦレコードが存在しない場合、偽装可能情報が一致し、かつ、偽装不可能情報が不一致な前記メール情報が存在する場合、当該受信したメールを迷惑メールの可能性が高いと判定する請求項１に記載の検知装置。

【請求項3】

前記偽装可能情報は、受信サーバと直接通信した送信サーバのＨＥＬＯホスト名、並びに当該送信サーバ以外のＨＥＬＯホスト名、送信元ＩＰアドレス及び当該送信元ＩＰアドレスの逆引きホスト名を含む請求項２に記載の検知措置。

【請求項4】

前記偽装不可能情報は、受信サーバと直接通信した送信サーバの送信元ＩＰアドレス、及び当該送信元ＩＰアドレスの逆引きホスト名を含む請求項２又は請求項３に記載の検知装置。

【請求項5】

既知の正規のメールアドレスに関するＤＮＳ情報を含むメールアドレス情報を取得するアドレス情報取得ステップと、
受信したメールの送信元メールアドレスに対して、当該送信元メールアドレスのアドレスホスト部に基づくＳＰＦ認証の結果が成功又は失敗のいずれでもないとき、前記メールアドレス情報に、同一のドメイン名で、かつ、当該ドメイン名を含むアドレスホスト部に対する異なるホストのＳＰＦレコードが存在する場合、当該受信したメールを迷惑メールの可能性が高いと判定する判定ステップと、をコンピュータが実行する検知方法。

【請求項6】

請求項１から請求項４のいずれかに記載の検知装置としてコンピュータを機能させるための検知プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、迷惑メールを検知する検知装置、検知方法及び検知プログラムに関する。

【背景技術】

【0002】

従来、迷惑メール（スパムメール）による被害が多数発生している。特に、送信元ドメインが詐称され、ドメイン認証のみでは迷惑メールか否かを判断できない場合も多い。このような状況において、受信メールの中から迷惑メールを検知する手法が提案されている。

【0003】

例えば、非特許文献１のＳＰＦは、送信元ドメインが詐称されていないかを検査するための仕組みである。メール受信サーバがメールの受信時に、送信元となっているドメインのＳＰＦレコードをＤＮＳに問い合わせ、送信元のサーバがＳＰＦレコード中で許可されていない場合は、送信ドメインの詐称が行われたと判断して受信を拒否する等の処理を行う。
また、非特許文献２のＤＭＡＲＫは、ＳＰＦの拡張であり、受信者側から正規のドメイン管理者に、詐称されたメールを受信した旨を送信することができる。

【0004】

特許文献１及び特許文献２では、ＳＰＦ認証をかいくぐるために正しく送信元を設定している迷惑メール送信者を検知するための手法が提案されている。これらの手法では、迷惑メール送信者間でＳＰＦレコードの記載内容が共通していることをもとに迷惑メールが判定される。
特許文献３では、偽装可能な情報（例えば、ｈｅｌｏコマンドで送られてくる送信元サーバのホスト名等）が異なるが、偽装不可能な情報（例えば、送信元ＩＰアドレス等）が共通である場合に迷惑メールと判定する方式が提案されている。

【先行技術文献】

【特許文献】

【0005】

【文献】特開２０１４－６３４０２号公報

【文献】特開２０１６－３１６６６号公報

【文献】特開２０１６－３８６８１号公報

【非特許文献】

【0006】

【文献】“Sender Policy Framework (SPF) for Authorizing Use of Domains in E-Mail, Version 1,” RFC4408, 2006, URL <https://tools.ietf.org/html/rfc4408>

【文献】“Domain-based Message Authentication, Reporting, and Conformance (DMARC),” RFC7489, 2015, URL <https://tools.ietf.org/html/rfc7489>

【発明の概要】

【発明が解決しようとする課題】

【0007】

ところで、ＳＰＦによる送信元の認証結果に基づいて、メールのパターンは次のように分類される。
正規パターン１：送信元認証で正規（ＳＰＦ認証でＰａｓｓ）と判定されるもの。
正規パターン２：送信元認証で判定がつかない（ＳＰＦ認証でＴｅｍｐＥｒｒｏｒ又はＮｏｎｅの）もの。
悪性パターン１：送信元認証で正規（ＳＰＦ認証でＰａｓｓ）と判定されるもの。
悪性パターン２：送信元認証で拒絶される（ＳＰＦ認証でＦａｉｌの）もの。
悪性パターン３：送信元認証で判定がつかない（ＳＰＦ認証でＴｅｍｐＥｒｒｏｒ又はＮｏｎｅの）もの。
悪性パターン３－１：送信元認証情報（ＳＰＦレコード）を登録していないもの。
悪性パターン３－２：正規ドメインに偽装しつつも、正規パターン１及び正規パターン２とＦＱＤＮが完全一致しないようにしているもの。

【0008】

ＳＰＦ認証のみで正規か悪性かを判定する場合、例えば、正規パターン２を全て通すために、ＳＰＦ認証でＴｅｍｐＥｒｒｏｒ又はＮｏｎｅのものを正規とみなす設定とすると、悪性パターン３も通過することになり、特に、悪性パターン３－２のような偽装アドレスも正規と判定されてしまう。
このように、送信元ドメインによる認証のみでは、迷惑メールを正しく検知することは難しかった。

【0009】

本発明は、迷惑メールを精度良く検知できる検知装置、検知方法及び検知プログラムを提供することを目的とする。

【課題を解決するための手段】

【0010】

本発明に係る検知装置は、既知の正規のメールアドレスに関するＤＮＳ情報を含むメールアドレス情報を取得するアドレス情報取得部と、受信したメールの送信元メールアドレスに対して、当該送信元メールアドレスのアドレスホスト部に基づくＳＰＦ認証の結果が成功又は失敗のいずれでもないとき、前記メールアドレス情報に、同一のドメイン名で、かつ、当該ドメイン名を含むアドレスホスト部に対するＳＰＦレコードが存在する場合、当該受信したメールを迷惑メールの可能性が高いと判定する判定部と、を備える。

【0011】

前記検知装置は、既知の正規のメールにおけるヘッダ情報に基づいて、当該メールの送受信経路上の送信サーバに関するＤＮＳ情報を含むメール情報を取得するメール情報取得部を備え、前記判定部は、受信したメールの送信元メールアドレスに対して、当該送信元メールアドレスのアドレスホスト部に基づくＳＰＦ認証の結果が成功又は失敗のいずれでもないとき、偽装可能情報が一致し、かつ、偽装不可能情報が不一致な前記メール情報が存在する場合、当該受信したメールを迷惑メールの可能性が高いと判定してもよい。

【0012】

前記偽装可能情報は、受信サーバと直接通信した送信サーバのＨＥＬＯホスト名、並びに当該送信サーバ以外のＨＥＬＯホスト名、送信元ＩＰアドレス及び当該送信元ＩＰアドレスの逆引きホスト名を含んでもよい。

【0013】

前記偽装不可能情報は、受信サーバと直接通信した送信サーバの送信元ＩＰアドレス、及び当該送信元ＩＰアドレスの逆引きホスト名を含んでもよい。

【0014】

本発明に係る検知方法は、既知の正規のメールアドレスに関するＤＮＳ情報を含むメールアドレス情報を取得するアドレス情報取得ステップと、受信したメールの送信元メールアドレスに対して、当該送信元メールアドレスのアドレスホスト部に基づくＳＰＦ認証の結果が成功又は失敗のいずれでもないとき、前記メールアドレス情報に、同一のドメイン名で、かつ、当該ドメイン名を含むアドレスホスト部に対するＳＰＦレコードが存在する場合、当該受信したメールを迷惑メールの可能性が高いと判定する判定ステップと、をコンピュータが実行する。

【0015】

本発明に係る検知プログラムは、前記検知装置としてコンピュータを機能させるためのものである。

【発明の効果】

【0016】

本発明によれば、送信元ドメインによる認証のみでは判断がつかない迷惑メールを精度良く検知できる。

【図面の簡単な説明】

【0017】

【図1】実施形態における検知装置の機能構成を示す図である。

【図2】実施形態における検知方法を実現する検知装置の処理を例示するフローチャートである。

【発明を実施するための形態】

【0018】

以下、本発明の実施形態の一例について説明する。
本実施形態における迷惑メールの検知方法では、送信元ドメイン認証のみで迷惑メールか否かの判断がつかないケースの中で、正規メールの送信元との矛盾を検出することにより正規メールを偽装する迷惑メールが検知される。

【0019】

図１は、本実施形態における検知装置１の機能構成を示す図である。
検知装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。

【0020】

制御部１０は、検知装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。

【0021】

記憶部２０は、ハードウェア群を検知装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）等であってよい。
具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させるためのプログラム（検知プログラム）の他、既知のメールアドレス情報、及び既知のメール情報等を記憶する。

【0022】

制御部１０は、アドレス情報取得部１１と、メール情報取得部１２と、ドメイン認証部１３と、判定部１４とを備える。

【0023】

アドレス情報取得部１１は、既知の正規のメールアドレスに関して、次のデータを含むメールアドレス情報を取得し、記憶部２０に記憶する。
・アドレスホスト部及びドメイン名
・ホスト名に対するＤＮＳレコード（ＳＰＦ（ＴＸＴ）、ＭＸ、Ａ）の有無、及びその内容

【0024】

なお、メールアドレスのうち、アットマーク以下（例えば、＠ｔｅｓｔ．ｅｘａｍｐｌｅ．ｃｏｍ）をアドレスホスト部と呼ぶ。アドレスホスト部には、ホスト名（ｔｅｓｔ．ｅｘａｍｐｌｅ．ｃｏｍ）及びドメイン名（ｅｘａｍｐｌｅ．ｃｏｍ）が含まれる。

【0025】

メール情報取得部１２は、既知の正規のメール及び迷惑メールそれぞれにおけるヘッダ情報に基づいて、次のデータを含むメール情報を取得し、記憶部２０に記憶する。
・Ｒｅｔｕｒｎ－ｐａｔｈヘッダ又はＦｒｏｍヘッダに記載のアドレスホスト部及びドメイン名
・ホスト名に対するＤＮＳレコード（ＳＰＦ（ＴＸＴ）、ＭＸ、Ａ）の有無、及びその内容
・メールの送受信経路上の送信サーバに関するＤＮＳ情報として、ＩＰアドレス、ＩＰアドレスの逆引きホスト名、及び逆引きホストのドメイン名

【0026】

ドメイン認証部１３は、受信したメールの送信元メールアドレスに対して、この送信元メールアドレスのアドレスホスト部に基づくＳＰＦ認証を実施する。
ここで、前述の正規パターン２又は悪性パターン３のように、認証の結果が成功（Ｐａｓｓ）又は失敗（Ｆａｉｌ）のいずれでもないとき、迷惑メールか否かの判定は、判定部１４に委ねられる。

【0027】

判定部１４は、受信したメールの送信元メールアドレスに関して、ドメイン認証部１３による認証の結果が成功又は失敗のいずれでもないとき、記憶部２０に記憶されたメールアドレス情報に、同一のドメイン名で、かつ、このドメイン名を含むアドレスホスト部に対するＳＰＦレコードが存在する場合、受信したメールを迷惑メールの可能性が高いと判定する。

【0028】

また、判定部１４は、受信したメールの送信元メールアドレスに関して、ドメイン認証部１３による認証の結果が成功又は失敗のいずれでもないとき、記憶部２０に偽装可能情報が一致し、かつ、偽装不可能情報が不一致なメール情報が存在する場合、受信したメールを迷惑メールの可能性が高いと判定する。

【0029】

ここで、偽装可能情報は、メールヘッダに関する情報のうち、偽装が可能な情報であり、Ｒｅｔｕｒｎ－ｐａｔｈヘッダ、Ｆｒｏｍヘッダの他、Ｒｅｃｅｉｖｅｄヘッダに記述される受信サーバと直接通信した送信サーバ及びその他の送信サーバのＨＥＬＯホスト名、受信サーバと直接通信した送信サーバ以外の送信元ＩＰアドレス及び送信元ＩＰアドレスの逆引きホスト名等を含む。
また、偽装不可能情報は、受信サーバと直接通信した送信サーバの送信元ＩＰアドレス、及びこの送信元ＩＰアドレスの逆引きホスト名等を含む。

【0030】

判定部１４は、このように、受信したメールと過去の正規メールとの間でＤＮＳ情報の矛盾を検出することで、受信したメールが正規メールを偽装した迷惑メールの可能性が高いことを判定する。
制御部１０は、ドメイン認証部１３及び判定部１４による迷惑メールの検知方法に加えて、既存の検知方法を併用してもよく、これにより、検知精度を向上できる。

【0031】

図２は、本実施形態における検知方法を実現する検知装置１の処理を例示するフローチャートである。

【0032】

ステップＳ１において、検知装置１は、受信したメールのメールアドレスが架空のアドレスか否かを検証する。具体的には、制御部１０は、受信したメールの送信者へ返信するプロトコルに従い、ＤＮＳレコード（例えば、ＭＸレコード及びＡレコード）があるか否かを判定する。レコードがなければ（判定がＹＥＳの場合）、送信元アドレスが実在しない可能性が高いため、受信したメールを迷惑メールの可能性が高いと判定する。
一方、ＤＮＳレコードが存在する（判定がＮＯの）場合、処理はステップＳ２へ移る。

【0033】

ステップＳ２～Ｓ４において、検知装置１は、受信したメールの正規メールとの矛盾を次のように検証する。
ステップＳ２において、制御部１０は、ドメイン認証部１３により、送信元メールアドレスのＳＰＦ認証結果を確認する。制御部１０は、認証結果がＰａｓｓの場合、受信したメールを正規メールと判定し、認証結果がＦａｉｌの場合、メールアドレスが偽装されていると判断できるので、受信したメールを迷惑メールの可能性が高いと判定する。
一方、認証結果がＰａｓｓでもＦａｉｌでもない（例えば、ＴｅｍｐＥｒｒｏｒ又はＮｏｎｅ）場合、処理はステップＳ３へ移る。

【0034】

ステップＳ３において、制御部１０は、判定部１４により、記憶部２０に記憶された既知の正規のメールアドレス情報又はメール情報を参照し、送信元メールアドレスと同一ドメイン内で異なるホストのＳＰＦレコードが存在するか否かを判定する。ＳＰＦレコードが存在する（判定がＹＥＳの）場合、受信したメールの送信元アドレスは、偽装アドレスと判断できるので、制御部１０は、受信したメールを迷惑メールの可能性が高いと判定する。
一方、ＳＰＦレコードが存在しない（判定がＮＯの）場合、処理はステップＳ４へ移る。

【0035】

ステップＳ４において、制御部１０は、判定部１４により、記憶部２０に記憶された既知の正規のメール情報を参照し、受信したメールと同一の偽装可能情報が一致し、かつ、偽装不可能情報が不一致のメール情報が存在するか否かを判定する。このようなメール情報が存在する（判定がＹＥＳの）場合、偽装可能情報が偽装されていると判断できるので、制御部１０は、受信したメールを迷惑メールの可能性が高いと判定する。
一方、該当するメール情報が存在しない（判定がＮＯの）場合、処理はステップＳ５に移る。

【0036】

ステップＳ５において、制御部１０は、受信したメールと既知の迷惑メールとの共通性を検証する。具体的には、制御部１０は、前述の偽装可能情報の中でも偽装されることが比較的少ない情報、例えば、Ｒｅｃｅｉｖｅｄヘッダに記述されている経路情報の中で、送信元に近いサーバの情報が共通している、あるいは偽装不可能情報が共通しているか否かを判定し、共通している（判定がＹＥＳの）場合、受信したメールを迷惑メールの可能性が高いと判定する。
一方、既知の迷惑メールとの共通情報がない（判定がＮＯの）場合、処理はステップＳ６に移る。

【0037】

ステップＳ６において、制御部１０は、受信したメールと既知の正規メールとの共通性を検証する。具体的には、制御部１０は、既知の正規メールと偽装不可能情報が共通しているか否かを判定し、共通している（判定がＹＥＳの）場合に、受信したメールを正規メールと判定する。
共通の偽装不可能情報がない（判定がＮＯの）場合、制御部１０は、受信したメールを正規メール、又は不確定とする。

【0038】

ここで、ステップＳ２におけるＳＰＦ認証の結果がＰａｓｓの場合、制御部１０は、例えば、特許文献１の方式等を用いて、迷惑メールか否かを、さらに詳細に検証してもよい。
また、このようにして迷惑メールか否かを判定されたメールは、判定結果に基づいて、アドレス情報取得部１１及びメール情報取得部１２によりメールアドレス情報及びメール情報が追記される。

【0039】

なお、前述の処理例では、受信したメールを迷惑メールか否かの２種類に分類しているが、迷惑メールの可能性が判定されてもよい。例えば、既知のメールの情報との共通又は矛盾の程度に応じて、迷惑メールの可能性が判定されてもよい。

【0040】

本実施形態によれば、検知装置１は、既知の正規のメールアドレスに関するＤＮＳ情報を含むメールアドレス情報を取得しておく。検知装置１は、新たに受信したメールの送信元メールアドレスに対して、ＳＰＦ認証の結果が成功又は失敗のいずれでもないとき、メールアドレス情報に、同一のドメイン名で、かつ、このドメイン名を含むホストに対するＳＰＦレコードが存在する場合、この受信したメールを迷惑メールの可能性が高いと判定する。
したがって、検知装置１は、同一ドメインでありながら、ＳＰＦレコードの有無に違いがあるという、正規メールとの矛盾を検出することにより、これまで検知できなかった迷惑メール送信元を検出できるので、例えば、既存の検知技術を補完することで、迷惑メールを精度良く検知できる。

【0041】

また、検知装置１は、既知の正規のメールにおけるヘッダ情報に基づいて、このメールの送受信経路上の送信サーバに関するＤＮＳ情報を含むメール情報を取得しておく。検知装置１は、受信したメールの送信元メールアドレスに対して、ＳＰＦ認証の結果が成功又は失敗のいずれでもないとき、偽装可能情報が一致し、かつ、偽装不可能情報が不一致なメール情報が存在する場合、この受信したメールを迷惑メールの可能性が高いと判定する。
これにより、検知装置１は、例えば同一のメールアドレスでありながら異なるＩＰアドレスから受信している等、正規メールとの矛盾を検出することにより、迷惑メールを精度良く検知できる。

【0042】

ここで、検知装置１は、偽装可能情報として、受信サーバと直接通信した送信サーバのＨＥＬＯホスト名、並びに当該送信サーバ以外のＨＥＬＯホスト名、送信元ＩＰアドレス及びこの送信元ＩＰアドレスの逆引きホスト名を参照する。
また、検知装置１は、偽装不可能情報として、受信サーバと直接通信した送信サーバの送信元ＩＰアドレス、及びこの送信元ＩＰアドレスの逆引きホスト名を参照する。
これにより、検知装置１は、効率的に迷惑メールを精度良く検知できる。

【0043】

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

【0044】

検知装置１による検知方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

【符号の説明】

【0045】

１ 検知装置
１０ 制御部
１１ アドレス情報取得部
１２ メール情報取得部
１３ ドメイン認証部
１４ 判定部
２０ 記憶部

【図1】

【図2】