Ｅメールアンチフィッシングインスペクタ
方法、システム、およびコンピュータプログラム製品は、ＥＳｃａｍサーバの実施形態を実装するために提供され、これらは、フィッシングＥメールを決定するために有用である。方法、システム、およびプログラム製品は、信頼されるＵＲＬと関連づけられるサーバを決定するために有用な信頼されるホストマイナ、リンクが信頼されるＵＲＬである場合に、ユーザが通信するために有用な信頼されるホストブラウザ、およびユーザの機密情報を要求する文書へのオンサイトリンクを決定するために有用なページスパイダ、の実施形態を実装するためにも提供される。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連特許出願の相互参照）
本出願は、２００４年１１月１０日に出願された米国特許出願第１０／９８５，６６４号の一部継続出願であり、上記出願の全体は、参照によって本願明細書に援用される。
【０００２】
（発明の分野）
本発明は、個人から詐取するために用いられるＥメールメッセージ（いわゆる「フィッシング」Ｅメールなど）を検出するための技術に関する。本発明は、Ｅメールメッセージを受取り、このＥメールメッセージがフィッシングＥメールメッセージであるか否かを決定するための方法、システム、およびコンピュータプログラム製品（以下、「方法（ｍｅｔｈｏｄ）」または「方法（ｍｅｔｈｏｄｓ）」）を提供する。本発明は、決定された信頼のレベルをユーザに伝達するための方法だけでなく、宛先ＵＲＬが「信頼される（ｔｒｕｓｔｅｄ）」ホストであり、地理的に予期される場所に位置するか否かを決定するために、要求されたＵＲＬを評価するための方法をも含む。本発明はさらに、信頼されるホストを引き出すための方法を含み、その方法は、信頼されるサーバの１つ以上のインターネットプロトコル（ＩＰ）アドレスを信頼されるＵＲＬと関連づける。方法はまた、ユーザから機密情報を要求する文書へのオンサイトリンクを決定するために、文書中のリンクを処理するために提供される。
【背景技術】
【０００３】
（発明の背景）
（関連技術の説明）
フィッシングは信用詐欺であり、犯罪者が、Ｅメール受信者から個人情報および金融情報を「フィッシュ」しようと力を尽くして、ワールドワイドウェブの最も大きくかつ信頼できるウェブサイト（例えば、ｅＢａｙ、ＰａｙＰａｌ、ＭＳＮ、Ｙａｈｏｏ、ＣｉｔｉＢａｎｋ、およびＡｍｅｒｉｃａ Ｏｎｌｉｎｅ）などから来るような合法的な外観のＥメールを送り出す信用詐欺である。一旦、犯罪者が、疑いをもたないＥメール受信者からそのような個人情報および金融情報を得ると、犯罪者はその後、自己の利益のためにその情報を用いる。
【０００４】
今日、多くのベンダがアンチフィッシングの解決策を提供している。これらの解決策は、フィッシングＥメールを予防的に管理することには役立たない。代わりに、これらは、既知のフィッシングＥメール、ブラックリスト、盗まれたブランドなどに基づいた早期の警告を提供することに頼っている。
【０００５】
現在、アンチフィッシングの解決策は、３つの大きなカテゴリに分かれる。
１）リンクチェックシステム。このシステムは、サイトがスプーフィングされたサイトにリンクされるか否かを決定するために、ブラウザベースのブラックリストまたは挙動技術を用いる。残念なことに、ブラックリスト解決策を用いるシステムは、スプーフィングされたサイトをホストするＩＰアドレスのサードパーティアップデートに頼る、まったく受身の解決策である。
２）早期警告システム。このシステムは、フィッシングＥメールを識別するために、「ハニーポット」（インターネット上のコンピュータシステムであり、他人のコンピュータシステムへ侵入を試みる人々を引き付けて「トラップする」ために特に設定される）を介するフィッシングＥメールの監視技術、オンラインブランド管理およびスキャン技術、Ｗｅｂサーバログ分析技術、およびトラヒック捕捉および分析技術を用いる。これらのシステムが、迅速にフィッシング攻撃を識別し得ることにより、メンバー機関は早期の警告を取得し得る。しかし、これらのシステムのいずれも全く予防的ではない。従って、これらのシステムは、スプーフィングされたサイトによってユーザが犠牲にされることからユーザを保護することに役立たない。
３）認証および証明システム。このシステムは、Ｅメール、デジタル署名、Ｅメールの由来の妥当性検証などに埋込まれた信頼されるイメージを用いる。このシステムは、Ｅメールが合法であるか否かを顧客が決定することを可能にする。
【０００６】
現在のアンチフィッシングの解決策は、リアルタイムでフィッシング攻撃に取組むことに役立たない。リンクチェックシステムを用いるビジネスは、フィッシング攻撃に対する保護のために、常にアップデートされているブラックリストに頼らなければならない。残念なことに、リンクチェックシステムが予防的な解決策ではなく、ブラックリストのアップデートに頼らなければならないので、フィッシング攻撃と関連づけられるＩＰアドレスがブラックリストに追加される前に、何人かの顧客が個人情報および金融情報に対してフィッシングされ得る可能性がある。早期警告システムは、未来の犯罪者をトラップして、フィッシング攻撃が起こる前にその攻撃を封じ込めることを試みる。しかし、このシステムはしばしば、それらの目的を達成することに失敗する。なぜなら、その技法が、スキャンを利用しないフィッシング攻撃に取組むことに役立たないからである。認証および証明システムは、様々な識別技法を用いることを要求される。その技法は、例えば、顧客とサービスプロバイダとの間において両者間で秘密のイメージを共有すること、デジタル署名、そして顧客のコンピュータ上で保存される特定の顧客に固有のコードである。このような技法は、顧客によって、ソフトウェアが顧客のコンピュータ上でメンテナンスされ、定期的にアップデートされなければならないという点で面倒である。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
従って、フィッシング攻撃の時点で攻撃を予防的に阻止し、かつ面倒が最小なアンチフィッシングの解決策へのニーズと要求がある。
【０００８】
ブラックリストまたはホワイトリストを用いることなく、宛先ホストが信頼されることを予防的に確証し得る解決策に対するニーズもまた存在する。
【０００９】
Ｅメールから取り出されたＵＲＬと関連づけられる信頼のレベルに少なくとも基づいた、フィッシングＥメールを決定するための方法もまた必要である。
【００１０】
信頼されるＵＲＬと信頼されるサーバの１つ以上のＩＰアドレスとを関連づけるさらなるニーズは存在し、ＵＲＬのホストと関連づけられる信頼のレベルをユーザに伝達するニーズが存在する。
【００１１】
最後に、機密情報を要求する文書へのオンサイトリンクを決定するために、文書中のリンクを処理する方法もまた当該分野において必要である。
【課題を解決するための手段】
【００１２】
（発明の概要）
本発明は、Ｅメールメッセージがフィッシング攻撃に用いられるか否かをリアルタイムで決定するための方法を提供する。１つの実施形態において、エンドユーザがＥメールメッセージを受信する前に、Ｅメールメッセージは、ＥメールメッセージがフィッシングＥメールであるか否かを決定するためにサーバによって分析される。このサーバは、フィッシングスコアを作成するためのアルゴリズムの中で用いられる、情報を取得するためにＥメールメッセージを構文解析する。フィッシングスコアが所定の閾値を超える場合、そのＥメールは、フィッシングＥメールメッセージであると決定される。さらなる実施形態において、Ｅメールから取出された記述内容と保存された記述内容との間の比較に基づいて、そのＥメールがフィッシングＥメールであると決定され得る。
【００１３】
信頼されるサーバの１つ以上のＩＰアドレスを信頼されるＵＲＬと関連づけるための方法もまた、本発明において提供される。機密情報を要求する文書を参照するオンサイトリンクを決定するために、文書中のリンクを処理するためのさらなる方法が提供される。
【００１４】
本発明はまた、要求されたＵＲＬの宛先が信頼されるホストであるか否かを決定するための方法を提供する。１つの実施形態において、ユーザがブラウザによってＵＲＬを訪れることを選択する場合に、宛先ページの内容は、そのページが信頼されるホストからのみ来るべきである情報を含むことを示すためにスキャンされる。そのページが信頼されるホストからのみ戻るべきである情報を含む場合、宛先ホストはそれから、そのホストが信頼されるホストのデータベース（ＤＢ）中に含まれる信頼されるホストであることを確証するためにチェックされる。データベースに含まれない場合、ユーザは、内容が信頼されるべきでないことを警告される。
【００１５】
本発明の前記ならびに他の利点および特徴は、添付の図面を参照しながら以下に示される本発明の実施形態の詳細な説明からより明らかになる。
【００１６】
以下の詳細な説明において、本明細書の一部分を形成する添付の図面に対して参照が行われ、その図面において、本発明が実施され得る特定の実施形態が例示として示される。これらの実施形態は、当業者が本発明を実施することを可能にするために十分詳しく記述され、本発明の精神および範囲から逸脱することなく、他の実施形態が利用され得、構造的、論理的およびプログラミングの変更がなされ得ることは、理解されるべきである。
【発明を実施するための最良の形態】
【００１７】
（発明の詳細な説明）
本発明の方法、システム、およびコンピュータプログラム製品が開示され、記述されるに先立ち、本発明が固有の方法、固有の構成要素、または特定の構成（それらはもちろん変わり得るので）に限定されないことが、理解されるべきである。本明細書中に用いられる用語は、特定の実施形態を記述する目的のためだけであり、限定されることを意図しないこともまた、理解されるべきである。
【００１８】
別段の明確な明示がない限り、本明細書中に記述されるいかなる方法または実施形態も、そのステップが固有の順序で実行されることを必要とすると解釈されることは少しも意図されない。従って、ステップが固有の順序に限定されるべきであるとの方法の主張が、特許請求の範囲または説明において特に明示されなければ、いかなる関連においても１つの順序が推論されることは少しも意図されない。これは、解釈の目的で、ステップまたは動作フローの配列に関する論理の問題、文法構成または句読法から引出される単純な意味、または明細書中に記述される実施形態の数またはタイプを含む、明確でないあらゆる可能性を保有している。さらに、方法、システム、またはコンピュータプログラム製品の法定のクラスを示す、現在のアプリケーションにおいて、様々な実施形態が提供される一方、本発明が、いかなる法定のクラスにおいても、実行され、実施され、または請求され得ることは注目されるべきである。
【００１９】
用語「ＥＳｃａｍスコア」は、ヘッダスコアとＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）スコアとを含む値の組合せを示す。ＥＳｃａｍスコアは、特定のＥメールメッセージがどれほど疑わしいかを表す。
【００２０】
用語「ヘッダスコア」は、分析されるＥメールメッセージ中に見出される、インターネットプロトコル（ＩＰ）アドレスと関連づけられる値の組合せを示す。
【００２１】
用語「ＵＲＬスコア」は、分析されるＥメールメッセージ中に見出される、ＵＲＬと関連づけられる値の組合せを示す。
【００２２】
用語「信頼されない国」は、信頼すべきでない国としてＥＳｃａｍサーバによって指定されるが、ハイリスク国またはＯＦＡＣ（財務省外国資産管理局）国（以下で定義される）ではない国を示す。
【００２３】
用語「ハイリスク国」は、標準より高い犯罪アクティビティを有する国としてＥＳｃａｍサーバによって指定されるが、ＯＦＡＣ国ではない国を示す。
【００２４】
用語「信頼される国」は、信頼されるべき国としてＥＳｃａｍサーバによって指定される国を示す。
【００２５】
用語「ＯＦＡＣ国」は、米国または別の国によって課された制裁を有する国を示す。
【００２６】
用語「ＥＳｃａｍメッセージ」は、ＥメールメッセージのＥＳｃａｍサーバの分析結果を記述する、ＥＳｃａｍサーバによって提供されるテキストフィールドを示す。
【００２７】
用語「ＥＳｃａｍデータ」は、Ｅメールヘッダ中のすべてのＩＰアドレスとＥメールメッセージの本文中におけるすべてのＵＲＬとを詳説する、ＥＳｃａｍサーバリポートの一部を示す。
【００２８】
本発明において用いられ得るＮｅｔＡｃｕｉｔｙサーバ２４０の動作は、米国特許第６，８５５，５５１号明細書において議論される。上記特許は、共に本出願の譲受人に譲渡され、その全体は、参照によって本願明細書中に援用される。
【００２９】
（ＥＳｃａｍサーバ）
図１は、本発明の一実施形態における、ＥメールメッセージがフィッシングＥメールであるか否かを決定するためのステップを例示するフローチャートである。ステップ１０２において、ＥＳｃａｍサーバ２０２が、Ｅメールメッセージをスキャンする要求を受取る場合に、ＥＳｃａｍサーバ２０２は、Ｅメールメッセージの処理を開始する。次にステップ１０４において、ＥＳｃａｍサーバ２０２は、なんらかのＥメールヘッダがＥメールメッセージに存在するか否かを判断する。ＥメールヘッダがＥメールメッセージに存在しない場合、ＥＳｃａｍサーバ２０２は、ステップ１１６に進む。ＥメールヘッダがＥメールメッセージに存在する場合、ステップ１０６において、ＥＳｃａｍサーバ２０２は、ヘッダからＩＰアドレスを取得するために、ＥメールメッセージからのＥメールヘッダを構文解析する。次にステップ１０８において、ＥＳｃａｍサーバ２０２は、その後のスコア付けのために、ヘッダと関連づけられるＩＰアドレスがどのように分類されるべきかを決定する。例えば、ヘッダと関連づけられるＩＰアドレスに対する分類およびスコアは、以下のようであり得る。
【００３０】
【表１】
ステップ１０８においてＩＰアドレスが一旦分類されると、ステップ１１０において、ＥＳｃａｍサーバ２０２は、Ｅメールヘッダと関連づけられるＩＰアドレスの地理的な位置を決定するために、ＩＰアドレスをＮｅｔＡｃｕｉｔｙサーバ２４０へ転送する。ＮｅｔＡｃｕｉｔｙサーバ２４０は、ＩＰアドレスが匿名プロクシサーバと関連づけられるか否かをも決定し得る。次にステップ１１２において、ＩＰアドレスがオープンリレーサーバまたはダイナミックサーバのいずれかであるかを決定するために、ＩＰアドレスはブロックリストに対してチェックされる。保存されたブロックリストとの比較のために、ＩＰアドレスを例えばサードパーティに転送することによって、ステップ１１２における決定がもたらされる（ステップ１１４）。さらに、ステップ１１２において、ＥＳｃａｍサーバ２０２は、ヘッダスコアを計算する。
【００３１】
ステップ１１４に続いて、すべての取得された情報は、ＥＳｃａｍサーバ２０２に送られる。次に、ステップ１１６において、ＥＳｃａｍサーバ２０２は、なんらかのＵＲＬがＥメールメッセージに存在するか否かを判断する。どのＵＲＬをもＥメールメッセージに存在しない場合、ＥＳｃａｍサーバ２０２は、ステップ１２８に進む。ＵＲＬが存在する場合、ホスト名をＥメールメッセージの本文から取出すために、ＥＳｃａｍ ＡＰＩ２５０を用いて、ＥＳｃａｍサーバ２０２は、ステップ１１８においてＵＲＬを処理する。次にステップ１２０において、ＥＳｃａｍサーバ２０２は、その後のスコア付けのために、ＩＰアドレスと関連づけられるハイパーテキストマークアップ言語（ＨＴＭＬ）タグ情報を検査することによって、ＵＲＬと関連づけられるＩＰアドレスがどのように分類されるべきかを決定する。例えば、ＵＲＬと関連づけられるＩＰアドレスに対する分類およびスコアは、以下のようであり得る。
【００３２】
【表２】
ＩＰアドレスが一旦分類されると、ステップ１２０において、ＥＳｃａｍサーバ２０２は、ＵＲＬと関連づけられるＩＰアドレスの地理的な位置を決定するために、ＩＰアドレスをＮｅｔＡｃｕｉｔｙサーバ２４０に転送する（ステップ１２２）。次に、ステップ１２４において、ＥＳｃａｍサーバ２０２は、Ｅメールメッセージと関連づけられる各ＩＰアドレスに対してスコアを計算し、各ＩＰアドレスに対して結合されたＵＲＬスコアおよび理由コードを生成する。理由コードは、特定のＩＰアドレスがそのスコアを受取る理由と関連する。例えば、ＥＳｃａｍサーバ２０２は、Ｅメールが疑わしいと判断されることを示す理由コードを戻し得る。なぜなら、ＥメールメッセージのＩＰアドレスがＯＦＡＣ国を発信地とし、Ｅメールメッセージの本文が、ハードコード化されたＩＰアドレスを有するリンクを含むからである。
【００３３】
ステップ１２６において、ＥＳｃａｍサーバ２０２は、２つのコードが合致することを保証するために、Ｅメールメッセージヘッダと関連づけられるＥメールサーバからの国コードとＥメールクライアントからの国コードとを比較する。ＥＳｃａｍサーバ２０２は、ＮｅｔＡｃｕｉｔｙサーバ２４０を用いて、ＥメールサーバおよびＥメールクライアントに関する国コード情報を取得する。ＮｅｔＡｃｕｉｔｙサーバ２４０は、Ｅメールサーバおよびクライアントサーバの位置を決定し、ＥメールサーバおよびＥメールクライアントに対する特定の国と関連づけるコードを戻す。Ｅメールサーバの国コードとＥメールクライアントの国コードとの間が合致しない場合、Ｅメールメッセージにはフラグが付けられ、計算されるスコアがそれに応じて調整される。例えば、国コードの間が合致しないとき、計算されるスコアは、１ポイントさらに加えられ得る。
【００３４】
さらに、ＥＳｃａｍスコアは計算される。ＥＳｃａｍスコアは、ヘッダスコアとＵＲＬスコアの組合せである。ＥＳｃａｍスコアは、Ｅメールメッセージにおける各ＩＰアドレスに対するスコアを加算し、ＩＰアドレスが、ＥメールヘッダまたはＥメールの本文中のＵＲＬのどちらからであったかに基づいてスコアを集計することによって決定される。Ｅメールが詐欺であるか否かを決定する場合に、計算は、より大きなレベルの細分性を提供する。
【００３５】
ＥＳｃａｍスコアは、ＥメールメッセージがフィッシングＥメールであるか否かを決定するために所定の閾値レベルと比較され得る。例えば、最終的なＥＳｃａｍスコアが閾値レベルを超える場合、Ｅメールメッセージは、フィッシングＥメールであると決定される。一実施形態において、ＥＳｃａｍサーバ２０２による決定は、ＥＳｃａｍスコアを計算するためにＵＲＬスコアのみを用い得る。しかし、ＵＲＬスコアが一定の閾値を超える場合、ヘッダスコアもまた、ＥＳｃａｍスコアの計算の要因の一つとして含まれ得る。
【００３６】
最後に、ステップ１２８において、ＥＳｃａｍサーバ２０２は、Ｅメールメッセージと関連づけられる各ＩＰアドレスに関する詳細な法的な（ｆｏｒｅｎｓｉｃ）情報を含めて、ＥＳｃａｍスコア、ＥＳｃａｍメッセージ、およびＥＳｃａｍデータをＥメール受信者へ出力する。詳細な法的な情報は、疑わしいＥメールメッセージの由来を追跡することに用いられ得、訴えるための法的な強化を可能にし得る。例えば、Ｅメールメッセージの分析の間に、ＥＳｃａｍサーバ２０２によって収集された法的な情報は、以下のようであり得る。
Ｘ−ｅＳｃａｍ−スコア： ８
Ｘ−ｅＳｃａｍ−メッセージ： 信頼されない国／ＭＡＰタグにおけるハードコード化されたＵＲＬ
Ｘ−ｅＳｃａｍ−データ： −−−−− ヘッダリポートの開始 −−−−−
Ｘ−ｅＳｃａｍ−データ： １： １９２．１６８．１．１４ ＰＲＩＶ ＤＨＥＬＳＰＥＲＬＡＰＴＯＰ
Ｘ−ｅＳｃａｍ−データ： １： 国： ＊＊＊ 地域： ＊＊＊ 都市： プライベート
Ｘ−ｅＳｃａｍ−データ： １： 接続スピード： ？
Ｘ−ｅＳｃａｍ−データ： １： フラグ： プライベート
Ｘ−ｅＳｃａｍ−データ： １： スコア： ０ ［クリーンにスキャンされた］
Ｘ−ｅＳｃａｍ−データ： −−−−− ヘッダリポートの終了 −−−−−
Ｘ−ｅＳｃａｍ−データ： −−−−− ＵＲＬリポートの開始 −−−−−
Ｘ−ｅＳｃａｍ−データ： １： ＜Ａ＞ ［１６７．８８．１９４．１３５］ ｗｗｗ．ｗａｍｕ．ｃｏｍ
Ｘ−ｅＳｃａｍ−データ： １： 国： ｕｓａ 地域： ｗａ 都市： ｓｅａｔｌｅ
Ｘ−ｅＳｃａｍ−データ： １： 接続スピード： ブロードバンド
Ｘ−ｅＳｃａｍ−データ： １： フラグ：
Ｘ−ｅＳｃａｍ−データ： １： スコア： ０ ［ＵＲＬはクリーンである］
Ｘ−ｅＳｃａｍ−データ： ２： ＜エリア＞ ［６２．１４１．５６．２４］ ６２．１４１．５６．２４
Ｘ−ｅＳｃａｍ−データ： ２： 国： ｄｅｕ 地域： ｔｈ 都市： ｅｒｆｕｒｔ
Ｘ−ｅＳｃａｍ−データ： ２： 接続スピード： ブロードバンド
Ｘ−ｅＳｃａｍ−データ： ２： フラグ： 信頼されない
Ｘ−ｅＳｃａｍ−データ： ２： スコア： ８ ［信頼されない国／ＭＡＰタグにおけるハードコード化されたＵＲＬ］
Ｘ−ｅＳｃａｍ−データ： −−−−− ＵＲＬリポートの終了 −−−−−
Ｘ−ｅＳｃａｍ−データ： −−−−− プロセスリポートの開始 −−−−−
Ｘ−ｅＳｃａｍ−データ： −： ヘッダスコア： ０ ＵＲＬスコア： ８
Ｘ−ｅＳｃａｍ−データ： −： ０．１９７秒で処理した
Ｘ−ｅＳｃａｍ−データ： −−−−− プロセスリポートの終了 −−−−−
システム構成に依存して、フィッシングＥメールであると決定されたＥメールメッセージはまた、例えば、削除されるか、隔離されるか、またはレビューのために単にフラグを付けられ得る。
【００３７】
ＥＳｃａｍサーバ２０２は、ＵＲＬ中のホスト名をＩＰアドレスに分解するためにドメインネームサーバ（ＤＮＳ）のルックアップを利用し得る。さらに、ステップ１０６において、Ｅメールメッセージのヘッダを構文解析する場合に、もし有効ならば、ＥＳｃａｍサーバ２０２は、チェーンにおける最終のＥメールサーバ（Ｅメールメッセージの発信サーバ）を表すＩＰアドレスと、Ｅメールメッセージの送信ＥメールクライアントのＩＰアドレスとを識別し得る。ＥＳｃａｍサーバ２０２は、ＩＰアドレス識別のために、ＮｅｔＡｃｕｉｔｙサーバ２４０を用いる（ステップ１１０）。ＥＳｃａｍサーバ２０２は、送信Ｅメールクライアントをも識別し得る。
【００３８】
図２は、本発明が用いられ得る例示的な処理システム２００である。システム２００は、ＮｅｔＡｃｕｉｔｙサーバ２４０、通信用インタフェース２１２、ＮｅｔＡｃｕｉｔｙ ＡＰＩ２１４、ＥＳｃａｍサーバ２０２、通信用インタフェース２１０、ＥＳｃａｍ ＡＰＩ２５０、および少なくとも１つのＥメールクライアント（例えば、Ｅメールクライアント２６０）を含む。図３において具体的に示されるように、ＥＳｃａｍサーバ２０２、ＮｅｔＡｃｕｉｔｙサーバ２４０、およびＥメールクライアント２６０、２６２、２６４は、それぞれ１つ以上のコンピュータシステム上で動作し得、そのことは、以下においてより詳細に議論される。ＥＳｃａｍサーバ２０２に、情報を保存する複数のデータベース（２２０、２２２および２２４）が存在する。例えば、データベース２２０は、Ｅメールメッセージと関連づけられる国コードと比較され得る、ＯＦＡＣ国コードのリストを保存する。データベース２２２は、Ｅメールメッセージと関連づけられる国コードと比較され得る、疑わしい国コードのリストを保存する。データベース２２４は、Ｅメールメッセージと関連づけられる国コードと比較され得る、信頼される国コードのリストを保存する。
【００３９】
ＥＳｃａｍ ＡＰＩ２５０は、ＥＳｃａｍサーバ２０２とＭｉｃｒｏｓｏｆｔ Ｏｕｔｌｏｏｋ Ｅメールクライアント２６２などのサードパーティアプリケーションとの間の、ＥＳｃａｍサーバ２０２およびサードパーティアプリケーションからの様々な関数呼出しを介したインタフェースを提供する。ＥＳｃａｍ ＡＰＩ２５０は、例えばＴＣＰ／ＩＰプロトコルを用いる、ＥＳｃａｍサーバ２０２とサードパーティアプリケーションとの間の、認証メカニズムおよび通信コンディットを提供する。ＥＳｃａｍ ＡＰＩ２５０は、Ｅメールメッセージの本文中に在るいかなるＩＰアドレスと同様にいかなるホスト名をも抽出するために、Ｅメール本文の構文解析を実行する。ＥＳｃａｍ ＡＰＩ２５０はまた、送信または受信Ｅメールアドレスなどのプライベートであると決定されている情報を削除するために、Ｅメールヘッダのなんらかの構文解析を実行する。
【００４０】
ＥＳｃａｍ ＡＰＩ２５０は、Ｅメールクライアント（２６０、２６２および２６４）がＥメールメッセージをＥＳｃａｍサーバ２０２への送信を試みる場合に、以下のインタフェース関数を実行し得る。
・ヘッダおよび本文中のＥメールメッセージを構文解析すること。
・ヘッダを処理し、Ｅメールメッセージから、Ｔｏ：、Ｆｒｏｍ：、およびＳｕｂｊｅｃｔ：、の情報を削除すること。
・メッセージの本文を処理し、ＥＳｃａｍサーバ２０２へ送信するための準備として、ＵＲＬを引出すこと。
・準備されたヘッダおよびＵＲＬをＥＳｃａｍサーバ２０２へ送信すること。
・ＥＳｃａｍサーバ２０２による処理が完了したときには、ＥＳｃａｍサーバ２０２からの戻りコードを引出すこと。
・ＥＳｃａｍサーバ２０２によって遂行された処理の結果もたらされる原文メッセージを引出すこと。
・Ｅメールメッセージの処理が完了したときには、ＥＳｃａｍサーバ２０２から最終的なＥＳｃａｍスコアを引出すこと。
・Ｅメールメッセージの処理が完了したときには、ＥＳｃａｍサーバ２０２から最終的なＥＳｃａｍメッセージを引出すこと。
・Ｅメールメッセージの処理が完了したときに、ＥＳｃａｍサーバ２０２からＥＳｃａｍの詳細を引出すこと。
・ヘッダスコアを引出すこと。
・ＵＲＬスコアを引出すこと。
【００４１】
追加のサポート構成要素は、システム２００に含まれ得る。それは、Ｅメール受信者の受信箱（図示せず）に置かれることに先立ち、特定のＥメールクライアント、例えばＥメールクライアント２６０が、着信するＥメールメッセージをＥＳｃａｍサーバ２０２へ送信することを可能にする。この構成要素は、通信コンディットを用いるＥＳｃａｍサーバ２０２と通信するために、ＥＳｃａｍ ＡＰＩ２５０を用い得る。この構成要素は、ＥＳｃａｍサーバ２０２によって戻されるＥＳｃａｍスコアに基づいて、例えば、Ｅメール受信者の受信箱にＥメールメッセージを残すか、隔離フォルダにＥメールメッセージを移動し得る。Ｅメールメッセージが隔離フォルダに移動される場合、Ｅメールメッセージは、アタッチメントとして、ＥＳｃａｍスコアと、Ｅメールメッセージのサブジェクトに付加されたメッセージと、Ｅメールメッセージに追加されたＥＳｃａｍデータとを有し得る。
【００４２】
従って、本発明は、ＩＰ情報をＥメールメッセージ中の様々な属性と結び付ける。例えば、ヘッダおよび本文中のＵＲＬのＩＰアドレス属性は、Ｅメールメッセージがフィッシングの策略に用いられるか否かを決定することに用いられ得る、ＥＳｃａｍスコアを計算するための規則を適用するために本発明によって用いられる。ヘッダおよび本文中のＵＲＬの個々の要素は、ＨＴＭＬタグや埋込まれたＵＲＬがハードコード化されたＩＰアドレスを有するか否かなどの、判定基準の数に基づいてスコア化される。本発明は、デスクトップ（図示せず）またはバックエンドのメールサーバ上に組込まれ得る。
【００４３】
システム２００のためのバックエンドのメールサーバの実装において、ＥＳｃａｍ ＡＰＩ２５０は、Ｅメールクライアント、例えばＥメールクライアント２６０に組込まれ得る。Ｅメールクライアント２６０がＥメールメッセージを受信するときに、Ｅメールクライアント２６０は、ＥＳｃａｍ ＡＰＩ２５０と通信用インタフェース２１０とを介して、分析のためにＥメールメッセージをＥＳｃａｍサーバ２０２へ渡す。戻りコードに基づいて、ＥＳｃａｍサーバ２０２は、ＥメールメッセージをＥメール受信者の受信箱に転送するか、またはＥメールメッセージを恐らくは処分するかを決定する。
【００４４】
デスクトップインテグレーションが利用される場合、Ｅメールクライアントおよびウィルス対策ベンダは、Ｗｉｎｄｏｗｓ（登録商標）ベースＥＳｃａｍ ＡＰＩ２５０を有するＥＳｃａｍサーバ２０２を用い得る。デスクトップクライアントはその後、着信するＥメールメッセージの分析をＥＳｃａｍサーバ２０２へ頼み得る。ＥＳｃａｍサーバ２０２による分析が完了すると、エンドユーザは、ＥＳｃａｍサーバ２０２からの戻りコードに基づいて、Ｅメールメッセージがどのように扱われるべきかを決定し得る。例えば、分析されたＥメールメッセージを示すために、Ｅメールメッセージのサブジェクトをアップデートすることは、フィッシングの策略の一部であると決定される。スコアが一定の閾値を超える場合、Ｅメールメッセージはまた、隔離フォルダに移動され得る。
【００４５】
本発明の方法は、様々な実施形態を実行するようにプログラムされたプロセッサを用いて実行され得る。図３は、開示された方法を実行するための例示的なコンピュータシステムを示すブロック図である。この例示的なコンピュータシステムは、単なる動作環境の例であり、使用の範囲または動作環境アーキテクチャの機能性について、いかなる限定を示唆することを意図されない。また、動作環境は、例示的な動作環境において示されるいずれか１つの構成要素または構成要素の組合せと関連する、いかなる従属物または要件をも有しないと解釈されるべきである。
【００４６】
方法は、多くの他の汎用または専用のコンピュータシステム環境またはコンフィギュレーションによって動作可能であり得る。方法と共に用いることに適合し得る周知のコンピュータシステム、環境、および／またはコンフィギュレーションの例は、パーソナルコンピュータ、サーバコンピュータ、ラップトップデバイス、およびマルチプロセッサシステムを含むが、これらに限定されない。追加の例は、セットトップボックス、プログラマブルな家電製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、上記のシステムまたはデバイスのいずれかを含む分散コンピューティング環境など、を含む。
【００４７】
方法は、コンピュータによって実行される、プログラムモジュールなどのコンピュータ命令の一般的なコンテキストにおいて記述され得る。一般的に、プログラムモジュールは、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含み、これらは、特定のタスクを実行するか、または特定の抽象的なデータタイプを実装する。方法は、通信ネットワークを通してリンクされるリモート処理デバイスによってタスクが実行される、分散コンピューティング環境において実行され得る。分散コンピューティング環境において、プログラムモジュールは、メモリストレージデバイスを含むローカルコンピュータおよびリモートコンピュータのストレージ媒体に置かれ得る。
【００４８】
本明細書中に開示される方法は、コンピュータ３０１の形式における汎用コンピュータデバイスを介して実装され得る。コンピュータ３０１の構成要素は、１つ以上のプロセッサまたは処理ユニット３０３、システムメモリ３１２、そしてプロセッサ３０３を含む様々なシステム構成要素をシステムメモリ３１２に連結する、システムバス３１３を含み得るが、これらに限定されない。
【００４９】
図３におけるプロセッサ３０３は、Ｉｎｔｅｌ Ｃｏｒｐｏｒａｔｉｏｎによって製造されるＰＥＮＴＩＵＭ（登録商標）ＩＶを含むｘ−８６互換プロセッサ、またはＡｄｖａｎｃｅｄ Ｍｉｃｒｏ Ｄｅｖｉｃｅｓ Ｃｏｒｐｏｒａｔｉｏｎによって製造されるＡＴＨＬＯＮ ６４プロセッサ、であり得る。Ａｐｐｌｅ、ＩＢＭ、またはＮＥＣによって製造される、他の命令セットを利用するプロセッサを含む、それらのプロセッサもまた用いられ得る。
【００５０】
システムバス３１３は、バス構造のいくつかの可能なタイプの１つ以上を表す。システムバス３１３は、様々なバスアーキテクチャのいずれかを用いる、メモリバスまたはメモリコントローラ、周辺バス、加速式（ａｃｃｅｌｅｒａｔｅｄ）グラフィックポート、およびプロセッサバスまたはローカルバスを含む。例として、そのようなアーキテクチャは、Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ（ＩＳＡ）バス、Ｍｉｃｒｏ Ｃｈａｎｎｅｌ Ａｒｃｈｉｔｅｃｔｕｒｅ（ＭＣＡ）バス、Ｅｎｈａｎｃｅｄ ＩＳＡ（ＥＩＳＡ）バス、Ｖｉｄｅｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｔａｎｄａｒｄｓ Ａｓｓｏｃｉａｔｉｏｎ（ＶＥＳＡ）ローカルバス、およびＭｅｚｚａｎｉｎｅバスとしても公知のＰｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔｓ（ＰＣＩ）バスを含み得る。このバスおよびこの記述において明記されたすべてのバスは、ワイヤードネットワークまたはワイヤレスネットワーク接続を介して実装され得る。バス３１３およびこの記述において明記されたすべてのバスは、ワイヤードネットワークまたはワイヤレスネットワーク接続およびサブシステムの各々を介して実装され得る。サブシステムは、プロセッサ３０３、大容量ストレージデバイス３０４、オペレーティングシステム３０５、アプリケーションソフト３０６、データ３０７、ネットワークアダプタ３０８、システムメモリ３１２、入力／出力インタフェース３１０、ディスプレイアダプタ３０９、ディスプレイデバイス３１１、およびヒューマンマシンインタフェース３０２を含み、物理的に離れた場所にあり、この形式のバスを通して接続され、完全に分散型システムを実装する効果がある、１つ以上のリモートコンピュータデバイス３１４ａ、３１４ｂ、３１４ｃ内に収容され得る。
【００５１】
図３におけるオペレーティングシステム３０５は、ＭＩＣＲＯＳＯＦＴ ＷＩＮＤＯＷＳ（登録商標）ＸＰ、ＷＩＮＤＯＷＳ（登録商標）２０００、ＷＩＮＤＯＷＳ（登録商標）ＮＴ、またはＷＩＮＤＯＷＳ（登録商標）９８、およびＲＥＤＨＡＴ ＬＩＮＵＸ、ＦＲＥＥ ＢＳＤ、またはＳＵＮ ＭＩＣＲＯＳＹＳＴＥＭＳ ＳＯＬＡＲＩＳなどのオペレーティングシステムを含む。さらに、アプリケーションソフト３０６は、ＭＩＣＲＯＳＯＦＴ ＩＮＴＥＲＮＥＴ ＥＸＰＬＯＲＥＲまたはＭＯＺＩＬＬＡ ＦＩＲＥＦＯＸなどのウェブブラウザソフトウェアを含み得、これらは、ディスプレイデバイス３１１上において、ＨＴＭＬ、ＳＧＭＬ、ＸＭＬ、またはすべての他の適切に構築された文書言語をユーザが見ることを可能にする。
【００５２】
コンピュータ３０１は、一般的にコンピュータ読取り可能な様々な媒体を含む。そのような媒体は、コンピュータ３０１によってアクセス可能な、揮発性および不揮発性の媒体、リムーバブルおよび非リムーバブルの媒体の両方を含む、すべての利用可能な媒体であり得る。システムメモリ３１２は、ランダムアクセスメモリ（ＲＡＭ）などの揮発性メモリ、および／または読出し専用メモリ（ＲＯＭ）などの不揮発性メモリという形式の、コンピュータ読取り可能な媒体を含む。システムメモリ３１２は、処理ユニット３０３によって即座にアクセス可能で、かつ／または現在動作させられている、データ３０７などのデータ、および／またはオペレーティングシステム３０５およびアプリケーションソフト３０６などのプログラムモジュール、を一般的に含む。
【００５３】
コンピュータ３０１は、他のリムーバブル／非リムーバブルの、揮発性／不揮発性のコンピュータストレージ媒体をも含み得る。例として、図３は、コンピュータ３０１に対する、コンピュータコード、コンピュータ読取り可能な命令、データ構造、プログラムモジュール、および他のデータの不揮発性ストレージを提供し得る、大容量ストレージデバイス３０４を例示する。例えば、大容量ストレージデバイス３０４は、ハードディスク、リムーバブル磁気ディスク、リムーバブル光ディスク、磁気カセットまたは他の磁気ストレージデバイス、フラッシュメモリカード、ＣＤ−ＲＯＭ、ｄｉｇｉｔａｌ ｖｅｒｓａｔｉｌｅ ｄｉｓｋｓ（ＤＶＤ）または他の光学ストレージデバイス、ランダムアクセスメモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、電気的消去可能プログラム可能ＲＯＭ（ＥＥＰＲＯＭ）などであり得る。
【００５４】
任意の数のプログラムモジュールは、例えばオペレーティングシステム３０５およびアプリケーションソフト３０６を含めて、大容量ストレージデバイス３０４上において保存され得る。オペレーティングシステム３０５およびアプリケーションソフト３０６（または、そのいくつかの組合せ）の各々は、プログラミングおよびアプリケーションソフト３０６のエレメントを含み得る。データ３０７もまた、大容量ストレージデバイス３０４上において保存され得る。データ３０４は、当該分野において公知である、１つ以上のデータベースのいずれかに保存され得る。そのようなデータベースの例は、ＤＢ２（登録商標）、Ｍｉｃｒｏｓｏｆｔ（登録商標） Ａｃｃｅｓｓ、Ｍｉｃｒｏｓｏｆｔ（登録商標） ＳＱＬ Ｓｅｒｖｅｒ、Ｏｒａｃｌｅ（登録商標）、ｍｙＳＱＬ、ＰｏｓｔｇｒｅＳＱＬなど、を含む。データベースは、集中化するか、または複数のシステムに渡って分散され得る。
【００５５】
ユーザは、入力デバイス（図示せず）を介してコンピュータ３０１にコマンドと情報を入力し得る。そのような入力デバイスの例は、キーボード、ポインティングデバイス（例えば、「マウス」）、マイクロホン、ジョイスティック、シリアルポート、スキャナ、タッチスクリーン装置などを含むが、これらに限定されない。これらおよび他の入力デバイスは、システムバス３１３に連結されるヒューマンマシンインタフェース３０２を介して、処理ユニット３０３へ接続され得るけれども、パラレルポート、シリアルポート、ゲームポート、またはユニバーサルシリアルバス（ＵＳＢ）などの、他のインタフェースおよびバス構造によって接続され得る。
【００５６】
ディスプレイデバイス３１１もまた、ディスプレイアダプタ３０９などのインタフェースを介して、システムバス３１３と接続され得る。例えば、ディスプレイデバイスは、陰極線管（ＣＲＴ）モニタまたは液晶ディスプレイ（ＬＣＤ）であり得る。ディスプレイデバイス３１１に加えて、他の出力周辺デバイスは、入力／出力インタフェース３１０を介してコンピュータ３０１と接続され得る、スピーカー（図示せず）およびプリンタ（図示せず）などの構成要素を含み得る。
【００５７】
コンピュータ３０１は、１つ以上のリモートコンピュータデバイス３１４ａ、３１４ｂ、３１４ｃへの論理接続を用いて、ネットワーク化された環境において動作し得る。例として、リモートコンピュータデバイスは、パーソナルコンピュータ、ポータブルコンピュータ、サーバ、ルータ、ネットワークコンピュータ、ピアデバイスまたは他の共通ネットワークノードなどであり得る。コンピュータ３０１とリモートコンピュータデバイス３１４ａ、３１４ｂ、３１４ｃとの間の論理接続は、ローカルエリアネットワーク（ＬＡＮ）、一般のワイドエリアネットワーク（ＷＡＮ）、またはインターネットなどのネットワークを介して作られ得る。そのようなネットワーク接続は、ネットワークアダプタ３０８を通過し得る。
【００５８】
例示の目的のために、アプリケーションプログラムおよびオペレーティングシステム３０５などの他の実行可能なプログラムコンポーネントがコンピュータデバイス３０１の異なるストレージ構成要素において幾重にも存在することは認識されるけれども、そのようなアプリケーションプログラムおよび他の実行可能プログラムコンポーネントは、個別のブロックとして本明細書中に例示されて、コンピュータのデータプロセッサによって実行される。アプリケーションソフト３０６の実装は、ある種のコンピュータ読取り可能な媒体に保存されるか、またはそれを介して転送され得る。開示された方法の実装もまた、ある種のコンピュータ読取り可能な媒体に保存されるか、またはそれを介して転送され得る。コンピュータ読取り可能な媒体は、コンピュータによってアクセスされ得るあらゆる利用可能な媒体であり得る。例として、限定はされないが、コンピュータ読取り可能な媒体は、「コンピュータストレージ媒体」および「通信媒体」を含み得る。「コンピュータストレージ媒体」は、コンピュータ読取り可能な命令、データ構造、プログラムモジュール、または他のデータなどの情報のストレージのための、あらゆる方法または技術を実装される揮発性および不揮発性で、リムーバブルおよび非リムーバブルの媒体を含む。コンピュータストレージ媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリまたは他のメモリ技術、ＣＤ−ＲＯＭ、ＤＶＤまたは他の光学ストレージデバイス、磁気カセット、磁気テープ、磁気ディスクストレージデバイスまたは他の磁気ストレージデバイス、または所望される情報を保存するために用いられ得、そしてコンピュータによってアクセスされ得るすべての他の媒体を含むが、これらに限定されない。
【００５９】
（フィッシングＥメールディターミナ（Ｄｅｔｅｒｍｉｎｅｒ））
本発明の１つの実施形態において、フィッシングＥメールディターミナ（ＰＥＤ）は、少なくとも１つの要因はＥメールから取出されたＵＲＬと関連づけられる信頼のレベルである、１つ以上の要因を用いてフィッシングＥメールを決定するために提供される。図４の実施形態は、フィッシングＥメールを決定するためのそのような１つの方法を例示する。
【００６０】
最初に、図４の実施形態において、Ｅメールメッセージは受信される（４０１）。２番目に、Ｅメールメッセージは、少なくとも１つの要因がＥメールから取出されたＵＲＬと関連づけられる信頼のレベルに基づいている、１つ以上の要因に基づいてスコア化される（４０２）。３番目に、スコアは、所定のフィッシング閾値と比較される（４０３）。最終的に、Ｅメールは、比較に基づいてフィッシングＥメールであると決定される（４０４）。
【００６１】
図４の実施形態に基づいた実施形態において、ＵＲＬと関連づけられる信頼のレベルは、ＵＲＬと関連づけられるＩＰアドレスの関数として決定される。ＵＲＬと関連づけられるＩＰアドレスは、ＤＮＳサーバに問合せることによって決定され得る。様々な実施形態において、ＥメールがフィッシングＥメールであるという決定は、リアルタイムか、ほぼリアルタイムか、または所定の時間間隔で起こり得る。
【００６２】
図３のコンピュータシステム上において動作し得る種類のデータベースは、図４のフィッシングＥメールディターミナの様々な実施形態において用いられ得る。例えば、１つ以上の要因がデータベースに保存され得るか、またはＵＲＬと関連づけられる信頼のレベルが保存され得るか、データベースから引出され得る。１つの実施形態において、要因は、Ｅメールメッセージの発信元の地理的な位置であり得、それは、Ｅメールメッセージの発信元ＩＰアドレスの関数として決定され得る。ＮｅｔＡｃｕｉｔｙサーバ２４０は、メッセージの発信元ＩＰアドレスに基づいてＥメールメッセージの発信元の地理的な位置を決定するための、様々な実施形態において用いられ得る。
【００６３】
図４の実施形態を拡張して、図５において例示されるフィッシングＥメールディターミナのさらなる実施形態において、Ｅメールメッセージ中の１つ以上のＵＲＬは、Ｅメールのリスクスコアを最適化するために、それらのＵＲＬが信頼されるサーバと関連づけられるか否かを決定するために分析され得る。最初に、Ｅメールメッセージ中の１つ以上のＵＲＬは決定される（５０１）。２番目に、ＵＲＬの１つ以上が信頼されるサーバと関連づけられるか否かは決定される（５０２）。３番目に、１つ以上のＵＲＬの各々が信頼されるサーバと関連づけられる場合、リスクスコアは、ＥメールがフィッシングＥメールである可能性がより低いことを反映するように最適化される（５０３）。従って、１つ以上のＵＲＬのすべてが信頼されるサーバと関連づけられていない場合、リスクスコアは、ＥメールがフィッシングＥメールである可能性がより高いことを反映するように最適化される（５０４）。
【００６４】
図４の実施形態に基づいたＰＥＤのまた別の実施形態において、Ｅメールメッセージは、ヘッダおよび本文において構文解析される。そのようなＥメールは、プレーンテキスト、ＨＴＭＬ、ＸＭＬ、リッチテキストなどを含む多くのフォーマットの１つにおけるデータを含み得る。従って、Ｅメールがヘッダおよび本文において構文解析された後、リスクスコアは、ヘッダスコアおよびＵＲＬスコアを含み、このＵＲＬスコアは、ＵＲＬと関連づけられるＨＴＭＬタグに基づいて調整され得る。さらに、１つの実施形態において、ヘッダスコアは、Ｅメールメッセージに含まれるＩＰアドレスと関連づけられる発信国に基づいて調整され得る。いくつかの実施形態において、ＥメールがフィッシングＥメールであると決定することは、ＥメールメッセージがＥメール受信者に送られる前に、起こり得る。
【００６５】
例えば、図６の実施形態において例示されるように、本発明のフィッシングＥメールディターミナはまた、会社などの実体と関連づけられる、Ｅメールメッセージから取出される記述内容に基づいて、フィッシングＥメールを決定し得る。最初に、１つ以上の実体と関連づけられるドメイン名およびキーワードを少なくとも含む記述内容は保存される（６０１）。２番目に、Ｅメールメッセージは受信され（６０２）、記述内容はそれから取出される（６０３）。４番目に、第１の実体は、取出された記述内容と保存された記述内容との間の比較に基づいて、Ｅメールが関連づけられ得ることを決定される（６０４）。５番目に、ＵＲＬはＥメールから取出され（６０５）、ＵＲＬと関連づけられる、第２の実体が決定される（６０６）。最後に、第１の実体と第２の実体との間の比較に基づいて、ＥメールがフィッシングＥメールであると決定される（６０７）。
【００６６】
図６のＰＥＤは、例えば、Ｅメールがユーザの銀行からであると称するけれども、実際は銀行を装う盗人（ｔｈｉｅｆ）からである場合に、ＥメールがフィッシングＥメールであると決めるために実用的に用いられ得る。図６におけるＰＥＤの実施形態を適用すると、記述内容は、ＦｉｒｓｔＢａｎｋと仮に呼ばれる銀行と関連づけられて保存され（６０１）、その銀行は、ドメイン名ｆｉｒｓｔｂａｎｋ．ｃｏｍと関連づけられる。次に、方法は、Ｅメールを受信し（６０２）、記述内容をＥメールから取出す（６０３）。この例において、ＰＥＤは、ドメイン名ｆｉｒｓｔｂａｎｋ．ｃｏｍをＥメールメッセージから取出す（６０２）。次に、ＰＥＤは、取出されたドメインをステップ６０１において保存された記述内容と比較し、取出されたドメイン名がＦｉｒｓｔＢａｎｋと関連づけられることを決定する（６０４）。それからＵＲＬは、Ｅメールから取出され（６０５）、６０６において、そのＵＲＬは、ＦｉｒｓｔＢａｎｋに所属しないと決定される。最終的に、図６のＰＥＤは、第１の実体（ＦｉｒｓｔＢａｎｋ）と第２の実体（ＦｉｒｓｔＢａｎｋによって所有されていないＵＲＬ）とを比較し、比較に基づいてＥメールがフィッシングＥメールであると決定する（６０７）。
【００６７】
図６の様々な実施形態において、記述内容は、ドメイン名、キーワード、グラフィックイメージ、サウンドファイル、ビデオファイル、添付ファイル、デジタル指紋、およびＥメールアドレスを含むいかなるタイプの情報をも含み得る。ＰＥＤのさらなる実施形態において、ＵＲＬと関連づけられる第２の実体を決定するステップは、ＵＲＬと関連づけられるＩＰアドレスを決定するステップを含み得、それは、例えば、ＤＮＳサーバに問合せることによって決定され得る。
【００６８】
図６の実施形態に基づく別の実施形態において、インタフェースが提供され、そのインタフェースは、実体と関連づけられるキーワードおよびドメイン名をユーザが決定することを可能にする。キーワードおよびドメイン名は、次いで保存され、実体と関連づけられる。保存は、例えば、図３に例示されるコンピュータシステム上に存在するデータベースにおいて起こり得る。
【００６９】
（信頼されるホストマイナ）
本発明の信頼されるホストマイナ（ＴＨＭ）は、特定の信頼されるＵＲＬとして役立つすべてのサーバのＩＰアドレスを発見することが可能であり、図７の実施形態において例示される。信頼されるＵＲＬとして役立つサーバは、信頼されるサーバとして公知である。様々な実施形態において、ＴＨＭは、特定の信頼されるＵＲＬに対してもはや用いられないサーバを切捨てることによって、信頼されるサーバのデータベース（７０２）を最新に保つ役目を担う。
【００７０】
１つの実施形態において、ＴＨＭは、発見してメンテナンスする役目を担う信頼されるＵＲＬのリストを信頼されるＵＲＬデータベースからロードする（７０３）。ＴＨＭはそれから、各ＵＲＬのためにＤＮＳ問合せを実行する（７０４）。ＤＮＳ問合せはまた、ＤＮＳが戻す各アドレスのために、活動時間（ｔｉｍｅ−ｔｏ−ｌｉｖｅ）（ＴＴＬ）値を戻す。そして、ステップ７０５で、サーバアドレスがデータベース中にあるか否かが決定される。サーバアドレスがデータベース中にある場合、アドレスに対して最後に見られた日付は、信頼されるサーバのデータベース中でアップデートされる（７０６）。ＴＨＭは次いで、ＤＮＳが供給した、アドレスに対する活動時間（ＴＴＬ）の間それが終了するのを待ち（７０７）、それから、ステップ７０４においてＤＮＳサーバ問合せを繰り返す。
【００７１】
ステップ７０５において、サーバアドレスがデータベース中になかったことを決定した場合、サーバのアドレスは、信頼されるサーバのデータベースに追加される（７０８）。ＴＨＭはそれから、アドレスに対するＴＴＬの間それが終了するのを待ち得、ステップ７０４において開始するＴＨＭの手順を繰り返す。
【００７２】
設定された時間量の間に、特定の信頼されるサーバが見られなかった場合、ＴＨＭは、信頼されるサーバのデータベース（７１１）からサーバを削除する（７０９）ことによって切捨て得る。この行為は、信頼されるサーバのデータベース（７１１）がいつも最新であり、期限切れのエントリを含まないことを保証する。
【００７３】
信頼されるサーバのデータベースはまた、信頼されるサーバの所有者により提供されるそれらのサーバのセットによって事前にロードされ得る（７１０）。例えば、金融機関は、信頼されるそのサーバのリストを提供し得る。これらのサーバのリストは、信頼されるサーバのデータベース（７１１）中に置かれ得、ＴＨＭによって引き出され得ない。
【００７４】
別の実施形態のＴＨＭは、図８において例示される。最初に、ＴＨＭは、信頼されるＵＲＬを受信する（８０１）。２番目に、方法は、信頼されるＵＲＬを含む最初の問合せをＤＮＳに提出し（８０２）、それから、ＤＮＳから第１のＩＰアドレスを受信する（８０３）。４番目に、第１のＩＰアドレスは、信頼されるＵＲＬと関連づけられ、その関連は保存される（８０４）。２番目の問合せはそれから、最初の所定の時間が経過した後に、信頼されるＵＲＬを含めてＤＮＳに提出され、最初の所定の時間量はＤＮＳから受信したＴＬＬ値の関数である（８０５）。６番目に、第２のＩＰアドレスは、ＤＮＳから受信される（８０６）。最終的に、第２のＩＰアドレスは、信頼されるＵＲＬと関連づけられ、その関連は保存される（８０７）。
【００７５】
図８の実施形態を拡張するＴＨＭの一実施形態において、２番目の事前設定された時間量が経過した後に、ＴＨＭの方法は、ＩＰアドレスを信頼されるＵＲＬから関連を解除する。さらに、２番目の事前設定された時間量は、ＴＴＬ値の関数として決定され得る。さらなる実施形態において、信頼されるＵＲＬは、データベース問合せの結果として受信され、ＩＰアドレス、ＴＴＬ値、および信頼されるＵＲＬは、図３のコンピュータシステム上に存在するデータベースに保存され得る。
【００７６】
（信頼されるホストブラウザ）
本発明は、信頼のレベルをユーザに伝達するための信頼されるホストブラウザ（ＴＨＢ）の方法を提供する。１つの実施形態において、ＴＨＢは信頼されるサーバのデータベース７１１を用いて、信頼されるホストブラウザは、ツールバーを介して使用可能であり得るウェブブラウザプラグインとして実装される。プラグインは、ウェブブラウザにロードされ得、エンドユーザが訪れるウェブサイトのセキュリティに関して彼らにフィードバックを提供するために用いられ得る。例えば、エンドユーザが、リンクが彼らの銀行のウェブサイトであるという確信において、彼らが受信したＥメールメッセージ中のリンクをクリックする場合、プラグインは、ウェブサイトからウェブブラウザに提供されるコンテンツを彼らが信頼し得るか否かを視覚的に示し得る。
【００７７】
図９において例示されるようなＴＨＢの１つの実施形態において、ＴＨＢプラグインは、ウェブブラウザ要求エリアにおいてロードされたＵＲＬを受取り、ＵＲＬと関連づけられるアドレスをルックアップする（９０１）。プラグインはそれから、信頼されるサーバのデータベース中のアドレスに対してそのアドレスを照合することを示すアドレスを伴って、ＥＳｃａｍサーバ２０２をコールする（９０２）。アドレスが信頼されるサーバである場合（９０３）、プラグインは、「信頼されるウェブサイト」を示すアイコンまたはダイアログボックスをユーザに対して表示する（９０４）。
【００７８】
ＥＳｃａｍサーバ２０２は、サーバが信頼されないと決めた場合、次にサーバの地理的な位置をチェックする（９０５）。地理的な位置がＯＦＡＣ国または所定の疑わしい国など潜在的に疑わしい場合（９０６）、ＥＳｃａｍサーバ２０２は、プラグインにこのことを示し得る。地理的な位置が疑わしくない場合、プラグインは次いで、「疑わしくないウェブサイト」を示すアイコンをブラウザにおいて表示し得る（９０８）。サーバの位置が疑わしい場合、プラグインは、「疑わしいウェブサイト」を示すアイコンを表示する（９０７）。エンドユーザはそれから、ユーザのログイン情報、パスワード情報、または金融情報を含む機密情報の提供など、このサイトとの交信を続行するか否かを決定するためにウェブサイトの妥当性に関する情報を用い得る。
【００７９】
信頼のレベルをユーザに伝達するために有用な、ＴＨＢの別の実施形態は、図１０において例示される。図１０の実施形態において、方法は、最初にＵＲＬを受信する（１００１）。２番目に、ＵＲＬと関連づけられるＩＰアドレスが決定される（１００２）。３番目に、ＵＲＬのホストと関連づけられる信頼のレベルは、少なくとも１つの要因がＩＰアドレスに基づく、１つ以上の要因に基づいて決定される（１００３）。最終的に、決定された信頼のレベル（１００３）は、ユーザに伝達される（１００４）。
【００８０】
図１０に基づいたＴＨＢの一実施形態において、ＵＲＬは、インターネットウェブブラウザのアドレスフィールド中に入力される。さらに、要因は、ＵＲＬについて問合わされたＥＳｃａｍサーバ２０２から受信される信頼のレベルであり得る。さらに、要因は、ＩＰアドレスの関数として決定されるホストの地理的な位置であり得る。１つの実施形態において、ホストの地理的な位置は、ＮｅｔＡｃｕｉｔｙサーバ２４０を用いて決定され得る。
【００８１】
（ページスパイダ）
本発明の一実施形態は、ユーザ証明書、ログイン情報、パスワード情報、金融情報、社会保障番号、またはすべてのタイプの個人識別情報などの機密または要注意情報の通信を要求し得るオンサイトＵＲＬを決定するために、文書中のリンクを処理することに有用なページスパイダの方法を提供する。機密情報を要求するオンサイトウェブページを示すＵＲＬはまた、信頼されるＵＲＬとして扱われ、信頼されるＵＲＬのデータベース７１１に追加され、ＴＨＭによって処理され得る。
【００８２】
ページスパイダの方法は、図１１に描かれる一実施形態において例示される。図１１のページスパイダは、ＵＲＬを安全なページＵＲＬまたはすべての包含的なＵＲＬのいずれかに分類するための論理を用い得る。包含的なＵＲＬは、ログインを求めると決定されていないか、または個人もしくは要注意情報を要求しないあらゆるＵＲＬである。最初に、第１のリンクにおいて使用可能である第１の文書が引出され、第１のリンクは第１のホスト名を含む（１１０１）。２番目に、第１の文書は、第２の文書への第２のリンクを識別するために構文解析される（１１０２）。第２の文書が、第１のホスト名と同じホスト名を含む第２のリンクを伴うので、すなわち、第２のリンクは第１のリンクに関してオンサイトである。第２の文書は次いで、それがログイン情報、パスワード情報、または金融情報などの機密情報を要求するか否かを決定するために検査される（１１０３）。最終的に、第２の文書が機密情報を要求する場合、第２のリンクは第１のリストに保存される（１１０４）。さらなる実施形態において、第２の文書が機密情報を要求しない場合、第２のリンクは第２のリストに保存され得る。
【００８３】
ページスパイダの別の実施形態において、文書は、ＨＴＭＬ互換の文書であり、リンクはＵＲＬである。ページスパイダのさらなる実施形態において、文書は、ＸＭＬ文書であり、リンクはＵＲＬである。ページスパイダが、他の文書への１つ以上のリンクまたは参照を含む、あらゆるタイプの文書に対して用いられ得ることもまた当業者にとって明らかである。
【００８４】
また別の実施形態において、第１の文書は、第２の文書へのリンクを含むＨＴＭＬアンカータグ＜Ａ＞を決定するために構文解析され得る。第２の文書はまた、それが＜ＦＯＲＭ＞タグまたは＜ＩＮＰＵＴ＞タグなどの１つ以上の所定のＨＴＭＬタグを含むか否かを決定することによって、文書が機密情報を要求するか否かを決定するために検査され得る。様々な実施形態において、機密情報は、安全なログイン形式によって要求され得る。
【００８５】
本発明の１つ以上の実施形態が、図１２において示される実施形態など強化された機能性を提供するために組合され得る。それは、協力して動作するページスパイダおよび信頼されるホストマイナを例示する。
【００８６】
図１２に例示される実施形態において、ページスパイダは、ジャンプオフ（Ｊｕｍｐ−Ｏｆｆ）ＵＲＬのデータベース１２０２からジャンプオフＵＲＬを与えられるすべての可能なＵＲＬまたはサイトに対して、ページをスキャンする役目を担う。ページスパイダは、ＵＲＬを安全なログインＵＲＬまたはすべての包含的なＵＲＬのいずれかに分類するために、ロジックを用いる。それは、ログインを求めると決定されていないあらゆるＵＲＬである。ページスパイダによるＵＲＬ処理は、ＵＲＬが安全なログインＵＲＬのように機密情報を要求するか否か、またはＵＲＬが正に通常のＵＲＬであるか否かを知る必要がある方法に有用である。様々な実施形態において、ページスパイダは、現在のサイトからリンクを辿らないけれども、それらのサイトがジャンプオフＵＲＬに変換されるべきであるか否かをある人が確証するために、オフサイトリンクをＤｉｄｎ’ｔ Ｆｏｌｌｏｗデータベース１２０３に追加する。１つの実施形態において、ジャンプオフＵＲＬは、信頼されるホストマイナ１２０８によって処理され得る潜在的に信頼されるＵＲＬである。
【００８７】
現在の実施形態において、ページスパイダのユーザインタフェース（ＵＩ）１２０１が提供され、そのＵＩは、ユーザがジャンプオフＵＲＬを入力し、Ｄｏｎ’ｔ Ｆｏｌｌｏｗ ＵＲＬを入力し、そしてＤｉｄｎ’ｔ Ｆｏｌｌｏｗ ＵＲＬを有効にし、そしてＤｉｄｎ’ｔ Ｆｏｌｌｏｗ ＵＲＬをジャンプオフＵＲＬのデータベース１２０２に置くことを可能にする。ページスパイダＵＩ１２０１はまた、ページスパイダ処理をバイパスして、すべての包含的なデータベース１２０６エントリを有効にし、安全なログインＵＲＬのデータベース１２０７のエントリを有効にし、そしてすべての包含的なＵＲＬ／安全なＵＲＬを手動で入力するために用いられ得る。
【００８８】
図１２の実施形態において、ページスパイダ１２０５は、ページスパイダＵＩ１２０１を介してジャンプオフＵＲＬのＤＢ１２０２、Ｄｏｎ’ｔ Ｆｏｌｌｏｗ ＵＲＬのＤＢ１２０４、そしてＤｉｄｎ’ｔ Ｆｏｌｌｏｗ ＵＲＬのＤＢ１２０３にＵＲＬを入力するために用いられる。ページスパイダは、オンサイトＵＲＬを突止めて、それらをすべての包含的なＵＲＬのＤＢ１２０６または安全なログインＵＲＬのＤＢ１２０７のいずれかに置く。これらの突止められたＵＲＬは、それから、ＴＨＭ１２０８に供給される。ＴＨＭ１２０８は、例えば、図７および図８において例示されるように、供給されたＵＲＬに対する信頼されるホストを決定する。ＴＨＭ１２０８はそれから、信頼されるサーバのＤＢ１２０９をアップデートする。
【００８９】
別の実施形態において、信頼されるサーバのＤＢビルダー１２１０が信頼されるサーバのＤＢ１２０９をポーリングし、十分な変化がある場合に、すべての包含的な信頼されるサーバのＤＢ１２１１と、安全なログインの信頼されるサーバのＤＢ１２１２とにＵＲＬを公開する。さらなる実施形態において、ＤＢディストリビュータ１２１３はまた、すべての包含的な信頼されるサーバのＤＢ１２１１と安全なログインの信頼されるサーバのＤＢ１２１２とにＵＲＬを送信する。最終的に、ユーザは、機関の情報ＤＢ１２１４を管理するために、機関のＵＩ１２１５を用いる。機関の情報ＤＢ１２１４は、機関と関連する内容を識別するために用いられ得るドメイン名およびキーワードなどの記述内容を含む。記述内容はまた、機関からであると称するフィッシングＥメールを決定するために、記述内容が用いられることを可能にして、図１２の実施形態によって連結されるＰＥＤに供給され得る。
【００９０】
本発明は、様々な実施形態に関連して詳細に記述されたけれども、本発明が上記において開示される実施形態に限定されないことは理解されるべきである。むしろ、本発明は、これまで記述されなかった、本発明の精神および範囲を逸脱しない様々な変更、代替、置換、または均等な編成を含むように改変され得る。従って、本発明は前述の説明または図面によって限定されないけれども、添付の特許請求の範囲によってのみ限定される。
【図面の簡単な説明】
【００９１】
【図１】図１は、本発明による、ＥメールメッセージがフィッシングＥメールであるか否かを決定するための方法を例示するフローチャートである。
【図２】図２は、本発明のＥＳｃａｍサーバの一実施形態を実装するためのコンピュータシステムのブロック図である。
【図３】図３は、本発明の様々な実施形態を実装するために用いられ得るコンピュータシステムのブロック図である。
【図４】図４は、本発明の一実施形態におけるフィッシングＥメールを決定するための方法を例示する。
【図５】図５は、本発明の別の実施形態におけるフィッシングＥメールを決定するための方法を例示する。
【図６】図６は、本発明のさらなる実施形態におけるフィッシングＥメールを決定するための方法を例示する。
【図７】図７は、本発明の一実施形態の信頼されるホストマイナの方法を例示する。
【図８】図８は、本発明の別の実施形態の信頼されるホストマイナの方法を例示する。
【図９】図９は、本発明の一実施形態の信頼されるホストブラウザの方法を例示する。
【図１０】図１０は、本発明の別の実施形態における信頼されるホストブラウザの方法を例示する。
【図１１】図１１は、本発明の一実施形態のページスパイダの方法を例示する。
【図１２】図１２は、本発明の一実施形態におけるページスパイダの方法および信頼されるホストマイナの方法を例示する。
【技術分野】
【０００１】
（関連特許出願の相互参照）
本出願は、２００４年１１月１０日に出願された米国特許出願第１０／９８５，６６４号の一部継続出願であり、上記出願の全体は、参照によって本願明細書に援用される。
【０００２】
（発明の分野）
本発明は、個人から詐取するために用いられるＥメールメッセージ（いわゆる「フィッシング」Ｅメールなど）を検出するための技術に関する。本発明は、Ｅメールメッセージを受取り、このＥメールメッセージがフィッシングＥメールメッセージであるか否かを決定するための方法、システム、およびコンピュータプログラム製品（以下、「方法（ｍｅｔｈｏｄ）」または「方法（ｍｅｔｈｏｄｓ）」）を提供する。本発明は、決定された信頼のレベルをユーザに伝達するための方法だけでなく、宛先ＵＲＬが「信頼される（ｔｒｕｓｔｅｄ）」ホストであり、地理的に予期される場所に位置するか否かを決定するために、要求されたＵＲＬを評価するための方法をも含む。本発明はさらに、信頼されるホストを引き出すための方法を含み、その方法は、信頼されるサーバの１つ以上のインターネットプロトコル（ＩＰ）アドレスを信頼されるＵＲＬと関連づける。方法はまた、ユーザから機密情報を要求する文書へのオンサイトリンクを決定するために、文書中のリンクを処理するために提供される。
【背景技術】
【０００３】
（発明の背景）
（関連技術の説明）
フィッシングは信用詐欺であり、犯罪者が、Ｅメール受信者から個人情報および金融情報を「フィッシュ」しようと力を尽くして、ワールドワイドウェブの最も大きくかつ信頼できるウェブサイト（例えば、ｅＢａｙ、ＰａｙＰａｌ、ＭＳＮ、Ｙａｈｏｏ、ＣｉｔｉＢａｎｋ、およびＡｍｅｒｉｃａ Ｏｎｌｉｎｅ）などから来るような合法的な外観のＥメールを送り出す信用詐欺である。一旦、犯罪者が、疑いをもたないＥメール受信者からそのような個人情報および金融情報を得ると、犯罪者はその後、自己の利益のためにその情報を用いる。
【０００４】
今日、多くのベンダがアンチフィッシングの解決策を提供している。これらの解決策は、フィッシングＥメールを予防的に管理することには役立たない。代わりに、これらは、既知のフィッシングＥメール、ブラックリスト、盗まれたブランドなどに基づいた早期の警告を提供することに頼っている。
【０００５】
現在、アンチフィッシングの解決策は、３つの大きなカテゴリに分かれる。
１）リンクチェックシステム。このシステムは、サイトがスプーフィングされたサイトにリンクされるか否かを決定するために、ブラウザベースのブラックリストまたは挙動技術を用いる。残念なことに、ブラックリスト解決策を用いるシステムは、スプーフィングされたサイトをホストするＩＰアドレスのサードパーティアップデートに頼る、まったく受身の解決策である。
２）早期警告システム。このシステムは、フィッシングＥメールを識別するために、「ハニーポット」（インターネット上のコンピュータシステムであり、他人のコンピュータシステムへ侵入を試みる人々を引き付けて「トラップする」ために特に設定される）を介するフィッシングＥメールの監視技術、オンラインブランド管理およびスキャン技術、Ｗｅｂサーバログ分析技術、およびトラヒック捕捉および分析技術を用いる。これらのシステムが、迅速にフィッシング攻撃を識別し得ることにより、メンバー機関は早期の警告を取得し得る。しかし、これらのシステムのいずれも全く予防的ではない。従って、これらのシステムは、スプーフィングされたサイトによってユーザが犠牲にされることからユーザを保護することに役立たない。
３）認証および証明システム。このシステムは、Ｅメール、デジタル署名、Ｅメールの由来の妥当性検証などに埋込まれた信頼されるイメージを用いる。このシステムは、Ｅメールが合法であるか否かを顧客が決定することを可能にする。
【０００６】
現在のアンチフィッシングの解決策は、リアルタイムでフィッシング攻撃に取組むことに役立たない。リンクチェックシステムを用いるビジネスは、フィッシング攻撃に対する保護のために、常にアップデートされているブラックリストに頼らなければならない。残念なことに、リンクチェックシステムが予防的な解決策ではなく、ブラックリストのアップデートに頼らなければならないので、フィッシング攻撃と関連づけられるＩＰアドレスがブラックリストに追加される前に、何人かの顧客が個人情報および金融情報に対してフィッシングされ得る可能性がある。早期警告システムは、未来の犯罪者をトラップして、フィッシング攻撃が起こる前にその攻撃を封じ込めることを試みる。しかし、このシステムはしばしば、それらの目的を達成することに失敗する。なぜなら、その技法が、スキャンを利用しないフィッシング攻撃に取組むことに役立たないからである。認証および証明システムは、様々な識別技法を用いることを要求される。その技法は、例えば、顧客とサービスプロバイダとの間において両者間で秘密のイメージを共有すること、デジタル署名、そして顧客のコンピュータ上で保存される特定の顧客に固有のコードである。このような技法は、顧客によって、ソフトウェアが顧客のコンピュータ上でメンテナンスされ、定期的にアップデートされなければならないという点で面倒である。
【発明の開示】
【発明が解決しようとする課題】
【０００７】
従って、フィッシング攻撃の時点で攻撃を予防的に阻止し、かつ面倒が最小なアンチフィッシングの解決策へのニーズと要求がある。
【０００８】
ブラックリストまたはホワイトリストを用いることなく、宛先ホストが信頼されることを予防的に確証し得る解決策に対するニーズもまた存在する。
【０００９】
Ｅメールから取り出されたＵＲＬと関連づけられる信頼のレベルに少なくとも基づいた、フィッシングＥメールを決定するための方法もまた必要である。
【００１０】
信頼されるＵＲＬと信頼されるサーバの１つ以上のＩＰアドレスとを関連づけるさらなるニーズは存在し、ＵＲＬのホストと関連づけられる信頼のレベルをユーザに伝達するニーズが存在する。
【００１１】
最後に、機密情報を要求する文書へのオンサイトリンクを決定するために、文書中のリンクを処理する方法もまた当該分野において必要である。
【課題を解決するための手段】
【００１２】
（発明の概要）
本発明は、Ｅメールメッセージがフィッシング攻撃に用いられるか否かをリアルタイムで決定するための方法を提供する。１つの実施形態において、エンドユーザがＥメールメッセージを受信する前に、Ｅメールメッセージは、ＥメールメッセージがフィッシングＥメールであるか否かを決定するためにサーバによって分析される。このサーバは、フィッシングスコアを作成するためのアルゴリズムの中で用いられる、情報を取得するためにＥメールメッセージを構文解析する。フィッシングスコアが所定の閾値を超える場合、そのＥメールは、フィッシングＥメールメッセージであると決定される。さらなる実施形態において、Ｅメールから取出された記述内容と保存された記述内容との間の比較に基づいて、そのＥメールがフィッシングＥメールであると決定され得る。
【００１３】
信頼されるサーバの１つ以上のＩＰアドレスを信頼されるＵＲＬと関連づけるための方法もまた、本発明において提供される。機密情報を要求する文書を参照するオンサイトリンクを決定するために、文書中のリンクを処理するためのさらなる方法が提供される。
【００１４】
本発明はまた、要求されたＵＲＬの宛先が信頼されるホストであるか否かを決定するための方法を提供する。１つの実施形態において、ユーザがブラウザによってＵＲＬを訪れることを選択する場合に、宛先ページの内容は、そのページが信頼されるホストからのみ来るべきである情報を含むことを示すためにスキャンされる。そのページが信頼されるホストからのみ戻るべきである情報を含む場合、宛先ホストはそれから、そのホストが信頼されるホストのデータベース（ＤＢ）中に含まれる信頼されるホストであることを確証するためにチェックされる。データベースに含まれない場合、ユーザは、内容が信頼されるべきでないことを警告される。
【００１５】
本発明の前記ならびに他の利点および特徴は、添付の図面を参照しながら以下に示される本発明の実施形態の詳細な説明からより明らかになる。
【００１６】
以下の詳細な説明において、本明細書の一部分を形成する添付の図面に対して参照が行われ、その図面において、本発明が実施され得る特定の実施形態が例示として示される。これらの実施形態は、当業者が本発明を実施することを可能にするために十分詳しく記述され、本発明の精神および範囲から逸脱することなく、他の実施形態が利用され得、構造的、論理的およびプログラミングの変更がなされ得ることは、理解されるべきである。
【発明を実施するための最良の形態】
【００１７】
（発明の詳細な説明）
本発明の方法、システム、およびコンピュータプログラム製品が開示され、記述されるに先立ち、本発明が固有の方法、固有の構成要素、または特定の構成（それらはもちろん変わり得るので）に限定されないことが、理解されるべきである。本明細書中に用いられる用語は、特定の実施形態を記述する目的のためだけであり、限定されることを意図しないこともまた、理解されるべきである。
【００１８】
別段の明確な明示がない限り、本明細書中に記述されるいかなる方法または実施形態も、そのステップが固有の順序で実行されることを必要とすると解釈されることは少しも意図されない。従って、ステップが固有の順序に限定されるべきであるとの方法の主張が、特許請求の範囲または説明において特に明示されなければ、いかなる関連においても１つの順序が推論されることは少しも意図されない。これは、解釈の目的で、ステップまたは動作フローの配列に関する論理の問題、文法構成または句読法から引出される単純な意味、または明細書中に記述される実施形態の数またはタイプを含む、明確でないあらゆる可能性を保有している。さらに、方法、システム、またはコンピュータプログラム製品の法定のクラスを示す、現在のアプリケーションにおいて、様々な実施形態が提供される一方、本発明が、いかなる法定のクラスにおいても、実行され、実施され、または請求され得ることは注目されるべきである。
【００１９】
用語「ＥＳｃａｍスコア」は、ヘッダスコアとＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）スコアとを含む値の組合せを示す。ＥＳｃａｍスコアは、特定のＥメールメッセージがどれほど疑わしいかを表す。
【００２０】
用語「ヘッダスコア」は、分析されるＥメールメッセージ中に見出される、インターネットプロトコル（ＩＰ）アドレスと関連づけられる値の組合せを示す。
【００２１】
用語「ＵＲＬスコア」は、分析されるＥメールメッセージ中に見出される、ＵＲＬと関連づけられる値の組合せを示す。
【００２２】
用語「信頼されない国」は、信頼すべきでない国としてＥＳｃａｍサーバによって指定されるが、ハイリスク国またはＯＦＡＣ（財務省外国資産管理局）国（以下で定義される）ではない国を示す。
【００２３】
用語「ハイリスク国」は、標準より高い犯罪アクティビティを有する国としてＥＳｃａｍサーバによって指定されるが、ＯＦＡＣ国ではない国を示す。
【００２４】
用語「信頼される国」は、信頼されるべき国としてＥＳｃａｍサーバによって指定される国を示す。
【００２５】
用語「ＯＦＡＣ国」は、米国または別の国によって課された制裁を有する国を示す。
【００２６】
用語「ＥＳｃａｍメッセージ」は、ＥメールメッセージのＥＳｃａｍサーバの分析結果を記述する、ＥＳｃａｍサーバによって提供されるテキストフィールドを示す。
【００２７】
用語「ＥＳｃａｍデータ」は、Ｅメールヘッダ中のすべてのＩＰアドレスとＥメールメッセージの本文中におけるすべてのＵＲＬとを詳説する、ＥＳｃａｍサーバリポートの一部を示す。
【００２８】
本発明において用いられ得るＮｅｔＡｃｕｉｔｙサーバ２４０の動作は、米国特許第６，８５５，５５１号明細書において議論される。上記特許は、共に本出願の譲受人に譲渡され、その全体は、参照によって本願明細書中に援用される。
【００２９】
（ＥＳｃａｍサーバ）
図１は、本発明の一実施形態における、ＥメールメッセージがフィッシングＥメールであるか否かを決定するためのステップを例示するフローチャートである。ステップ１０２において、ＥＳｃａｍサーバ２０２が、Ｅメールメッセージをスキャンする要求を受取る場合に、ＥＳｃａｍサーバ２０２は、Ｅメールメッセージの処理を開始する。次にステップ１０４において、ＥＳｃａｍサーバ２０２は、なんらかのＥメールヘッダがＥメールメッセージに存在するか否かを判断する。ＥメールヘッダがＥメールメッセージに存在しない場合、ＥＳｃａｍサーバ２０２は、ステップ１１６に進む。ＥメールヘッダがＥメールメッセージに存在する場合、ステップ１０６において、ＥＳｃａｍサーバ２０２は、ヘッダからＩＰアドレスを取得するために、ＥメールメッセージからのＥメールヘッダを構文解析する。次にステップ１０８において、ＥＳｃａｍサーバ２０２は、その後のスコア付けのために、ヘッダと関連づけられるＩＰアドレスがどのように分類されるべきかを決定する。例えば、ヘッダと関連づけられるＩＰアドレスに対する分類およびスコアは、以下のようであり得る。
【００３０】
【表１】
ステップ１０８においてＩＰアドレスが一旦分類されると、ステップ１１０において、ＥＳｃａｍサーバ２０２は、Ｅメールヘッダと関連づけられるＩＰアドレスの地理的な位置を決定するために、ＩＰアドレスをＮｅｔＡｃｕｉｔｙサーバ２４０へ転送する。ＮｅｔＡｃｕｉｔｙサーバ２４０は、ＩＰアドレスが匿名プロクシサーバと関連づけられるか否かをも決定し得る。次にステップ１１２において、ＩＰアドレスがオープンリレーサーバまたはダイナミックサーバのいずれかであるかを決定するために、ＩＰアドレスはブロックリストに対してチェックされる。保存されたブロックリストとの比較のために、ＩＰアドレスを例えばサードパーティに転送することによって、ステップ１１２における決定がもたらされる（ステップ１１４）。さらに、ステップ１１２において、ＥＳｃａｍサーバ２０２は、ヘッダスコアを計算する。
【００３１】
ステップ１１４に続いて、すべての取得された情報は、ＥＳｃａｍサーバ２０２に送られる。次に、ステップ１１６において、ＥＳｃａｍサーバ２０２は、なんらかのＵＲＬがＥメールメッセージに存在するか否かを判断する。どのＵＲＬをもＥメールメッセージに存在しない場合、ＥＳｃａｍサーバ２０２は、ステップ１２８に進む。ＵＲＬが存在する場合、ホスト名をＥメールメッセージの本文から取出すために、ＥＳｃａｍ ＡＰＩ２５０を用いて、ＥＳｃａｍサーバ２０２は、ステップ１１８においてＵＲＬを処理する。次にステップ１２０において、ＥＳｃａｍサーバ２０２は、その後のスコア付けのために、ＩＰアドレスと関連づけられるハイパーテキストマークアップ言語（ＨＴＭＬ）タグ情報を検査することによって、ＵＲＬと関連づけられるＩＰアドレスがどのように分類されるべきかを決定する。例えば、ＵＲＬと関連づけられるＩＰアドレスに対する分類およびスコアは、以下のようであり得る。
【００３２】
【表２】
ＩＰアドレスが一旦分類されると、ステップ１２０において、ＥＳｃａｍサーバ２０２は、ＵＲＬと関連づけられるＩＰアドレスの地理的な位置を決定するために、ＩＰアドレスをＮｅｔＡｃｕｉｔｙサーバ２４０に転送する（ステップ１２２）。次に、ステップ１２４において、ＥＳｃａｍサーバ２０２は、Ｅメールメッセージと関連づけられる各ＩＰアドレスに対してスコアを計算し、各ＩＰアドレスに対して結合されたＵＲＬスコアおよび理由コードを生成する。理由コードは、特定のＩＰアドレスがそのスコアを受取る理由と関連する。例えば、ＥＳｃａｍサーバ２０２は、Ｅメールが疑わしいと判断されることを示す理由コードを戻し得る。なぜなら、ＥメールメッセージのＩＰアドレスがＯＦＡＣ国を発信地とし、Ｅメールメッセージの本文が、ハードコード化されたＩＰアドレスを有するリンクを含むからである。
【００３３】
ステップ１２６において、ＥＳｃａｍサーバ２０２は、２つのコードが合致することを保証するために、Ｅメールメッセージヘッダと関連づけられるＥメールサーバからの国コードとＥメールクライアントからの国コードとを比較する。ＥＳｃａｍサーバ２０２は、ＮｅｔＡｃｕｉｔｙサーバ２４０を用いて、ＥメールサーバおよびＥメールクライアントに関する国コード情報を取得する。ＮｅｔＡｃｕｉｔｙサーバ２４０は、Ｅメールサーバおよびクライアントサーバの位置を決定し、ＥメールサーバおよびＥメールクライアントに対する特定の国と関連づけるコードを戻す。Ｅメールサーバの国コードとＥメールクライアントの国コードとの間が合致しない場合、Ｅメールメッセージにはフラグが付けられ、計算されるスコアがそれに応じて調整される。例えば、国コードの間が合致しないとき、計算されるスコアは、１ポイントさらに加えられ得る。
【００３４】
さらに、ＥＳｃａｍスコアは計算される。ＥＳｃａｍスコアは、ヘッダスコアとＵＲＬスコアの組合せである。ＥＳｃａｍスコアは、Ｅメールメッセージにおける各ＩＰアドレスに対するスコアを加算し、ＩＰアドレスが、ＥメールヘッダまたはＥメールの本文中のＵＲＬのどちらからであったかに基づいてスコアを集計することによって決定される。Ｅメールが詐欺であるか否かを決定する場合に、計算は、より大きなレベルの細分性を提供する。
【００３５】
ＥＳｃａｍスコアは、ＥメールメッセージがフィッシングＥメールであるか否かを決定するために所定の閾値レベルと比較され得る。例えば、最終的なＥＳｃａｍスコアが閾値レベルを超える場合、Ｅメールメッセージは、フィッシングＥメールであると決定される。一実施形態において、ＥＳｃａｍサーバ２０２による決定は、ＥＳｃａｍスコアを計算するためにＵＲＬスコアのみを用い得る。しかし、ＵＲＬスコアが一定の閾値を超える場合、ヘッダスコアもまた、ＥＳｃａｍスコアの計算の要因の一つとして含まれ得る。
【００３６】
最後に、ステップ１２８において、ＥＳｃａｍサーバ２０２は、Ｅメールメッセージと関連づけられる各ＩＰアドレスに関する詳細な法的な（ｆｏｒｅｎｓｉｃ）情報を含めて、ＥＳｃａｍスコア、ＥＳｃａｍメッセージ、およびＥＳｃａｍデータをＥメール受信者へ出力する。詳細な法的な情報は、疑わしいＥメールメッセージの由来を追跡することに用いられ得、訴えるための法的な強化を可能にし得る。例えば、Ｅメールメッセージの分析の間に、ＥＳｃａｍサーバ２０２によって収集された法的な情報は、以下のようであり得る。
Ｘ−ｅＳｃａｍ−スコア： ８
Ｘ−ｅＳｃａｍ−メッセージ： 信頼されない国／ＭＡＰタグにおけるハードコード化されたＵＲＬ
Ｘ−ｅＳｃａｍ−データ： −−−−− ヘッダリポートの開始 −−−−−
Ｘ−ｅＳｃａｍ−データ： １： １９２．１６８．１．１４ ＰＲＩＶ ＤＨＥＬＳＰＥＲＬＡＰＴＯＰ
Ｘ−ｅＳｃａｍ−データ： １： 国： ＊＊＊ 地域： ＊＊＊ 都市： プライベート
Ｘ−ｅＳｃａｍ−データ： １： 接続スピード： ？
Ｘ−ｅＳｃａｍ−データ： １： フラグ： プライベート
Ｘ−ｅＳｃａｍ−データ： １： スコア： ０ ［クリーンにスキャンされた］
Ｘ−ｅＳｃａｍ−データ： −−−−− ヘッダリポートの終了 −−−−−
Ｘ−ｅＳｃａｍ−データ： −−−−− ＵＲＬリポートの開始 −−−−−
Ｘ−ｅＳｃａｍ−データ： １： ＜Ａ＞ ［１６７．８８．１９４．１３５］ ｗｗｗ．ｗａｍｕ．ｃｏｍ
Ｘ−ｅＳｃａｍ−データ： １： 国： ｕｓａ 地域： ｗａ 都市： ｓｅａｔｌｅ
Ｘ−ｅＳｃａｍ−データ： １： 接続スピード： ブロードバンド
Ｘ−ｅＳｃａｍ−データ： １： フラグ：
Ｘ−ｅＳｃａｍ−データ： １： スコア： ０ ［ＵＲＬはクリーンである］
Ｘ−ｅＳｃａｍ−データ： ２： ＜エリア＞ ［６２．１４１．５６．２４］ ６２．１４１．５６．２４
Ｘ−ｅＳｃａｍ−データ： ２： 国： ｄｅｕ 地域： ｔｈ 都市： ｅｒｆｕｒｔ
Ｘ−ｅＳｃａｍ−データ： ２： 接続スピード： ブロードバンド
Ｘ−ｅＳｃａｍ−データ： ２： フラグ： 信頼されない
Ｘ−ｅＳｃａｍ−データ： ２： スコア： ８ ［信頼されない国／ＭＡＰタグにおけるハードコード化されたＵＲＬ］
Ｘ−ｅＳｃａｍ−データ： −−−−− ＵＲＬリポートの終了 −−−−−
Ｘ−ｅＳｃａｍ−データ： −−−−− プロセスリポートの開始 −−−−−
Ｘ−ｅＳｃａｍ−データ： −： ヘッダスコア： ０ ＵＲＬスコア： ８
Ｘ−ｅＳｃａｍ−データ： −： ０．１９７秒で処理した
Ｘ−ｅＳｃａｍ−データ： −−−−− プロセスリポートの終了 −−−−−
システム構成に依存して、フィッシングＥメールであると決定されたＥメールメッセージはまた、例えば、削除されるか、隔離されるか、またはレビューのために単にフラグを付けられ得る。
【００３７】
ＥＳｃａｍサーバ２０２は、ＵＲＬ中のホスト名をＩＰアドレスに分解するためにドメインネームサーバ（ＤＮＳ）のルックアップを利用し得る。さらに、ステップ１０６において、Ｅメールメッセージのヘッダを構文解析する場合に、もし有効ならば、ＥＳｃａｍサーバ２０２は、チェーンにおける最終のＥメールサーバ（Ｅメールメッセージの発信サーバ）を表すＩＰアドレスと、Ｅメールメッセージの送信ＥメールクライアントのＩＰアドレスとを識別し得る。ＥＳｃａｍサーバ２０２は、ＩＰアドレス識別のために、ＮｅｔＡｃｕｉｔｙサーバ２４０を用いる（ステップ１１０）。ＥＳｃａｍサーバ２０２は、送信Ｅメールクライアントをも識別し得る。
【００３８】
図２は、本発明が用いられ得る例示的な処理システム２００である。システム２００は、ＮｅｔＡｃｕｉｔｙサーバ２４０、通信用インタフェース２１２、ＮｅｔＡｃｕｉｔｙ ＡＰＩ２１４、ＥＳｃａｍサーバ２０２、通信用インタフェース２１０、ＥＳｃａｍ ＡＰＩ２５０、および少なくとも１つのＥメールクライアント（例えば、Ｅメールクライアント２６０）を含む。図３において具体的に示されるように、ＥＳｃａｍサーバ２０２、ＮｅｔＡｃｕｉｔｙサーバ２４０、およびＥメールクライアント２６０、２６２、２６４は、それぞれ１つ以上のコンピュータシステム上で動作し得、そのことは、以下においてより詳細に議論される。ＥＳｃａｍサーバ２０２に、情報を保存する複数のデータベース（２２０、２２２および２２４）が存在する。例えば、データベース２２０は、Ｅメールメッセージと関連づけられる国コードと比較され得る、ＯＦＡＣ国コードのリストを保存する。データベース２２２は、Ｅメールメッセージと関連づけられる国コードと比較され得る、疑わしい国コードのリストを保存する。データベース２２４は、Ｅメールメッセージと関連づけられる国コードと比較され得る、信頼される国コードのリストを保存する。
【００３９】
ＥＳｃａｍ ＡＰＩ２５０は、ＥＳｃａｍサーバ２０２とＭｉｃｒｏｓｏｆｔ Ｏｕｔｌｏｏｋ Ｅメールクライアント２６２などのサードパーティアプリケーションとの間の、ＥＳｃａｍサーバ２０２およびサードパーティアプリケーションからの様々な関数呼出しを介したインタフェースを提供する。ＥＳｃａｍ ＡＰＩ２５０は、例えばＴＣＰ／ＩＰプロトコルを用いる、ＥＳｃａｍサーバ２０２とサードパーティアプリケーションとの間の、認証メカニズムおよび通信コンディットを提供する。ＥＳｃａｍ ＡＰＩ２５０は、Ｅメールメッセージの本文中に在るいかなるＩＰアドレスと同様にいかなるホスト名をも抽出するために、Ｅメール本文の構文解析を実行する。ＥＳｃａｍ ＡＰＩ２５０はまた、送信または受信Ｅメールアドレスなどのプライベートであると決定されている情報を削除するために、Ｅメールヘッダのなんらかの構文解析を実行する。
【００４０】
ＥＳｃａｍ ＡＰＩ２５０は、Ｅメールクライアント（２６０、２６２および２６４）がＥメールメッセージをＥＳｃａｍサーバ２０２への送信を試みる場合に、以下のインタフェース関数を実行し得る。
・ヘッダおよび本文中のＥメールメッセージを構文解析すること。
・ヘッダを処理し、Ｅメールメッセージから、Ｔｏ：、Ｆｒｏｍ：、およびＳｕｂｊｅｃｔ：、の情報を削除すること。
・メッセージの本文を処理し、ＥＳｃａｍサーバ２０２へ送信するための準備として、ＵＲＬを引出すこと。
・準備されたヘッダおよびＵＲＬをＥＳｃａｍサーバ２０２へ送信すること。
・ＥＳｃａｍサーバ２０２による処理が完了したときには、ＥＳｃａｍサーバ２０２からの戻りコードを引出すこと。
・ＥＳｃａｍサーバ２０２によって遂行された処理の結果もたらされる原文メッセージを引出すこと。
・Ｅメールメッセージの処理が完了したときには、ＥＳｃａｍサーバ２０２から最終的なＥＳｃａｍスコアを引出すこと。
・Ｅメールメッセージの処理が完了したときには、ＥＳｃａｍサーバ２０２から最終的なＥＳｃａｍメッセージを引出すこと。
・Ｅメールメッセージの処理が完了したときに、ＥＳｃａｍサーバ２０２からＥＳｃａｍの詳細を引出すこと。
・ヘッダスコアを引出すこと。
・ＵＲＬスコアを引出すこと。
【００４１】
追加のサポート構成要素は、システム２００に含まれ得る。それは、Ｅメール受信者の受信箱（図示せず）に置かれることに先立ち、特定のＥメールクライアント、例えばＥメールクライアント２６０が、着信するＥメールメッセージをＥＳｃａｍサーバ２０２へ送信することを可能にする。この構成要素は、通信コンディットを用いるＥＳｃａｍサーバ２０２と通信するために、ＥＳｃａｍ ＡＰＩ２５０を用い得る。この構成要素は、ＥＳｃａｍサーバ２０２によって戻されるＥＳｃａｍスコアに基づいて、例えば、Ｅメール受信者の受信箱にＥメールメッセージを残すか、隔離フォルダにＥメールメッセージを移動し得る。Ｅメールメッセージが隔離フォルダに移動される場合、Ｅメールメッセージは、アタッチメントとして、ＥＳｃａｍスコアと、Ｅメールメッセージのサブジェクトに付加されたメッセージと、Ｅメールメッセージに追加されたＥＳｃａｍデータとを有し得る。
【００４２】
従って、本発明は、ＩＰ情報をＥメールメッセージ中の様々な属性と結び付ける。例えば、ヘッダおよび本文中のＵＲＬのＩＰアドレス属性は、Ｅメールメッセージがフィッシングの策略に用いられるか否かを決定することに用いられ得る、ＥＳｃａｍスコアを計算するための規則を適用するために本発明によって用いられる。ヘッダおよび本文中のＵＲＬの個々の要素は、ＨＴＭＬタグや埋込まれたＵＲＬがハードコード化されたＩＰアドレスを有するか否かなどの、判定基準の数に基づいてスコア化される。本発明は、デスクトップ（図示せず）またはバックエンドのメールサーバ上に組込まれ得る。
【００４３】
システム２００のためのバックエンドのメールサーバの実装において、ＥＳｃａｍ ＡＰＩ２５０は、Ｅメールクライアント、例えばＥメールクライアント２６０に組込まれ得る。Ｅメールクライアント２６０がＥメールメッセージを受信するときに、Ｅメールクライアント２６０は、ＥＳｃａｍ ＡＰＩ２５０と通信用インタフェース２１０とを介して、分析のためにＥメールメッセージをＥＳｃａｍサーバ２０２へ渡す。戻りコードに基づいて、ＥＳｃａｍサーバ２０２は、ＥメールメッセージをＥメール受信者の受信箱に転送するか、またはＥメールメッセージを恐らくは処分するかを決定する。
【００４４】
デスクトップインテグレーションが利用される場合、Ｅメールクライアントおよびウィルス対策ベンダは、Ｗｉｎｄｏｗｓ（登録商標）ベースＥＳｃａｍ ＡＰＩ２５０を有するＥＳｃａｍサーバ２０２を用い得る。デスクトップクライアントはその後、着信するＥメールメッセージの分析をＥＳｃａｍサーバ２０２へ頼み得る。ＥＳｃａｍサーバ２０２による分析が完了すると、エンドユーザは、ＥＳｃａｍサーバ２０２からの戻りコードに基づいて、Ｅメールメッセージがどのように扱われるべきかを決定し得る。例えば、分析されたＥメールメッセージを示すために、Ｅメールメッセージのサブジェクトをアップデートすることは、フィッシングの策略の一部であると決定される。スコアが一定の閾値を超える場合、Ｅメールメッセージはまた、隔離フォルダに移動され得る。
【００４５】
本発明の方法は、様々な実施形態を実行するようにプログラムされたプロセッサを用いて実行され得る。図３は、開示された方法を実行するための例示的なコンピュータシステムを示すブロック図である。この例示的なコンピュータシステムは、単なる動作環境の例であり、使用の範囲または動作環境アーキテクチャの機能性について、いかなる限定を示唆することを意図されない。また、動作環境は、例示的な動作環境において示されるいずれか１つの構成要素または構成要素の組合せと関連する、いかなる従属物または要件をも有しないと解釈されるべきである。
【００４６】
方法は、多くの他の汎用または専用のコンピュータシステム環境またはコンフィギュレーションによって動作可能であり得る。方法と共に用いることに適合し得る周知のコンピュータシステム、環境、および／またはコンフィギュレーションの例は、パーソナルコンピュータ、サーバコンピュータ、ラップトップデバイス、およびマルチプロセッサシステムを含むが、これらに限定されない。追加の例は、セットトップボックス、プログラマブルな家電製品、ネットワークＰＣ、ミニコンピュータ、メインフレームコンピュータ、上記のシステムまたはデバイスのいずれかを含む分散コンピューティング環境など、を含む。
【００４７】
方法は、コンピュータによって実行される、プログラムモジュールなどのコンピュータ命令の一般的なコンテキストにおいて記述され得る。一般的に、プログラムモジュールは、ルーチン、プログラム、オブジェクト、コンポーネント、データ構造などを含み、これらは、特定のタスクを実行するか、または特定の抽象的なデータタイプを実装する。方法は、通信ネットワークを通してリンクされるリモート処理デバイスによってタスクが実行される、分散コンピューティング環境において実行され得る。分散コンピューティング環境において、プログラムモジュールは、メモリストレージデバイスを含むローカルコンピュータおよびリモートコンピュータのストレージ媒体に置かれ得る。
【００４８】
本明細書中に開示される方法は、コンピュータ３０１の形式における汎用コンピュータデバイスを介して実装され得る。コンピュータ３０１の構成要素は、１つ以上のプロセッサまたは処理ユニット３０３、システムメモリ３１２、そしてプロセッサ３０３を含む様々なシステム構成要素をシステムメモリ３１２に連結する、システムバス３１３を含み得るが、これらに限定されない。
【００４９】
図３におけるプロセッサ３０３は、Ｉｎｔｅｌ Ｃｏｒｐｏｒａｔｉｏｎによって製造されるＰＥＮＴＩＵＭ（登録商標）ＩＶを含むｘ−８６互換プロセッサ、またはＡｄｖａｎｃｅｄ Ｍｉｃｒｏ Ｄｅｖｉｃｅｓ Ｃｏｒｐｏｒａｔｉｏｎによって製造されるＡＴＨＬＯＮ ６４プロセッサ、であり得る。Ａｐｐｌｅ、ＩＢＭ、またはＮＥＣによって製造される、他の命令セットを利用するプロセッサを含む、それらのプロセッサもまた用いられ得る。
【００５０】
システムバス３１３は、バス構造のいくつかの可能なタイプの１つ以上を表す。システムバス３１３は、様々なバスアーキテクチャのいずれかを用いる、メモリバスまたはメモリコントローラ、周辺バス、加速式（ａｃｃｅｌｅｒａｔｅｄ）グラフィックポート、およびプロセッサバスまたはローカルバスを含む。例として、そのようなアーキテクチャは、Ｉｎｄｕｓｔｒｙ Ｓｔａｎｄａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ（ＩＳＡ）バス、Ｍｉｃｒｏ Ｃｈａｎｎｅｌ Ａｒｃｈｉｔｅｃｔｕｒｅ（ＭＣＡ）バス、Ｅｎｈａｎｃｅｄ ＩＳＡ（ＥＩＳＡ）バス、Ｖｉｄｅｏ Ｅｌｅｃｔｒｏｎｉｃｓ Ｓｔａｎｄａｒｄｓ Ａｓｓｏｃｉａｔｉｏｎ（ＶＥＳＡ）ローカルバス、およびＭｅｚｚａｎｉｎｅバスとしても公知のＰｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔｓ（ＰＣＩ）バスを含み得る。このバスおよびこの記述において明記されたすべてのバスは、ワイヤードネットワークまたはワイヤレスネットワーク接続を介して実装され得る。バス３１３およびこの記述において明記されたすべてのバスは、ワイヤードネットワークまたはワイヤレスネットワーク接続およびサブシステムの各々を介して実装され得る。サブシステムは、プロセッサ３０３、大容量ストレージデバイス３０４、オペレーティングシステム３０５、アプリケーションソフト３０６、データ３０７、ネットワークアダプタ３０８、システムメモリ３１２、入力／出力インタフェース３１０、ディスプレイアダプタ３０９、ディスプレイデバイス３１１、およびヒューマンマシンインタフェース３０２を含み、物理的に離れた場所にあり、この形式のバスを通して接続され、完全に分散型システムを実装する効果がある、１つ以上のリモートコンピュータデバイス３１４ａ、３１４ｂ、３１４ｃ内に収容され得る。
【００５１】
図３におけるオペレーティングシステム３０５は、ＭＩＣＲＯＳＯＦＴ ＷＩＮＤＯＷＳ（登録商標）ＸＰ、ＷＩＮＤＯＷＳ（登録商標）２０００、ＷＩＮＤＯＷＳ（登録商標）ＮＴ、またはＷＩＮＤＯＷＳ（登録商標）９８、およびＲＥＤＨＡＴ ＬＩＮＵＸ、ＦＲＥＥ ＢＳＤ、またはＳＵＮ ＭＩＣＲＯＳＹＳＴＥＭＳ ＳＯＬＡＲＩＳなどのオペレーティングシステムを含む。さらに、アプリケーションソフト３０６は、ＭＩＣＲＯＳＯＦＴ ＩＮＴＥＲＮＥＴ ＥＸＰＬＯＲＥＲまたはＭＯＺＩＬＬＡ ＦＩＲＥＦＯＸなどのウェブブラウザソフトウェアを含み得、これらは、ディスプレイデバイス３１１上において、ＨＴＭＬ、ＳＧＭＬ、ＸＭＬ、またはすべての他の適切に構築された文書言語をユーザが見ることを可能にする。
【００５２】
コンピュータ３０１は、一般的にコンピュータ読取り可能な様々な媒体を含む。そのような媒体は、コンピュータ３０１によってアクセス可能な、揮発性および不揮発性の媒体、リムーバブルおよび非リムーバブルの媒体の両方を含む、すべての利用可能な媒体であり得る。システムメモリ３１２は、ランダムアクセスメモリ（ＲＡＭ）などの揮発性メモリ、および／または読出し専用メモリ（ＲＯＭ）などの不揮発性メモリという形式の、コンピュータ読取り可能な媒体を含む。システムメモリ３１２は、処理ユニット３０３によって即座にアクセス可能で、かつ／または現在動作させられている、データ３０７などのデータ、および／またはオペレーティングシステム３０５およびアプリケーションソフト３０６などのプログラムモジュール、を一般的に含む。
【００５３】
コンピュータ３０１は、他のリムーバブル／非リムーバブルの、揮発性／不揮発性のコンピュータストレージ媒体をも含み得る。例として、図３は、コンピュータ３０１に対する、コンピュータコード、コンピュータ読取り可能な命令、データ構造、プログラムモジュール、および他のデータの不揮発性ストレージを提供し得る、大容量ストレージデバイス３０４を例示する。例えば、大容量ストレージデバイス３０４は、ハードディスク、リムーバブル磁気ディスク、リムーバブル光ディスク、磁気カセットまたは他の磁気ストレージデバイス、フラッシュメモリカード、ＣＤ−ＲＯＭ、ｄｉｇｉｔａｌ ｖｅｒｓａｔｉｌｅ ｄｉｓｋｓ（ＤＶＤ）または他の光学ストレージデバイス、ランダムアクセスメモリ（ＲＡＭ）、読出し専用メモリ（ＲＯＭ）、電気的消去可能プログラム可能ＲＯＭ（ＥＥＰＲＯＭ）などであり得る。
【００５４】
任意の数のプログラムモジュールは、例えばオペレーティングシステム３０５およびアプリケーションソフト３０６を含めて、大容量ストレージデバイス３０４上において保存され得る。オペレーティングシステム３０５およびアプリケーションソフト３０６（または、そのいくつかの組合せ）の各々は、プログラミングおよびアプリケーションソフト３０６のエレメントを含み得る。データ３０７もまた、大容量ストレージデバイス３０４上において保存され得る。データ３０４は、当該分野において公知である、１つ以上のデータベースのいずれかに保存され得る。そのようなデータベースの例は、ＤＢ２（登録商標）、Ｍｉｃｒｏｓｏｆｔ（登録商標） Ａｃｃｅｓｓ、Ｍｉｃｒｏｓｏｆｔ（登録商標） ＳＱＬ Ｓｅｒｖｅｒ、Ｏｒａｃｌｅ（登録商標）、ｍｙＳＱＬ、ＰｏｓｔｇｒｅＳＱＬなど、を含む。データベースは、集中化するか、または複数のシステムに渡って分散され得る。
【００５５】
ユーザは、入力デバイス（図示せず）を介してコンピュータ３０１にコマンドと情報を入力し得る。そのような入力デバイスの例は、キーボード、ポインティングデバイス（例えば、「マウス」）、マイクロホン、ジョイスティック、シリアルポート、スキャナ、タッチスクリーン装置などを含むが、これらに限定されない。これらおよび他の入力デバイスは、システムバス３１３に連結されるヒューマンマシンインタフェース３０２を介して、処理ユニット３０３へ接続され得るけれども、パラレルポート、シリアルポート、ゲームポート、またはユニバーサルシリアルバス（ＵＳＢ）などの、他のインタフェースおよびバス構造によって接続され得る。
【００５６】
ディスプレイデバイス３１１もまた、ディスプレイアダプタ３０９などのインタフェースを介して、システムバス３１３と接続され得る。例えば、ディスプレイデバイスは、陰極線管（ＣＲＴ）モニタまたは液晶ディスプレイ（ＬＣＤ）であり得る。ディスプレイデバイス３１１に加えて、他の出力周辺デバイスは、入力／出力インタフェース３１０を介してコンピュータ３０１と接続され得る、スピーカー（図示せず）およびプリンタ（図示せず）などの構成要素を含み得る。
【００５７】
コンピュータ３０１は、１つ以上のリモートコンピュータデバイス３１４ａ、３１４ｂ、３１４ｃへの論理接続を用いて、ネットワーク化された環境において動作し得る。例として、リモートコンピュータデバイスは、パーソナルコンピュータ、ポータブルコンピュータ、サーバ、ルータ、ネットワークコンピュータ、ピアデバイスまたは他の共通ネットワークノードなどであり得る。コンピュータ３０１とリモートコンピュータデバイス３１４ａ、３１４ｂ、３１４ｃとの間の論理接続は、ローカルエリアネットワーク（ＬＡＮ）、一般のワイドエリアネットワーク（ＷＡＮ）、またはインターネットなどのネットワークを介して作られ得る。そのようなネットワーク接続は、ネットワークアダプタ３０８を通過し得る。
【００５８】
例示の目的のために、アプリケーションプログラムおよびオペレーティングシステム３０５などの他の実行可能なプログラムコンポーネントがコンピュータデバイス３０１の異なるストレージ構成要素において幾重にも存在することは認識されるけれども、そのようなアプリケーションプログラムおよび他の実行可能プログラムコンポーネントは、個別のブロックとして本明細書中に例示されて、コンピュータのデータプロセッサによって実行される。アプリケーションソフト３０６の実装は、ある種のコンピュータ読取り可能な媒体に保存されるか、またはそれを介して転送され得る。開示された方法の実装もまた、ある種のコンピュータ読取り可能な媒体に保存されるか、またはそれを介して転送され得る。コンピュータ読取り可能な媒体は、コンピュータによってアクセスされ得るあらゆる利用可能な媒体であり得る。例として、限定はされないが、コンピュータ読取り可能な媒体は、「コンピュータストレージ媒体」および「通信媒体」を含み得る。「コンピュータストレージ媒体」は、コンピュータ読取り可能な命令、データ構造、プログラムモジュール、または他のデータなどの情報のストレージのための、あらゆる方法または技術を実装される揮発性および不揮発性で、リムーバブルおよび非リムーバブルの媒体を含む。コンピュータストレージ媒体は、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュメモリまたは他のメモリ技術、ＣＤ−ＲＯＭ、ＤＶＤまたは他の光学ストレージデバイス、磁気カセット、磁気テープ、磁気ディスクストレージデバイスまたは他の磁気ストレージデバイス、または所望される情報を保存するために用いられ得、そしてコンピュータによってアクセスされ得るすべての他の媒体を含むが、これらに限定されない。
【００５９】
（フィッシングＥメールディターミナ（Ｄｅｔｅｒｍｉｎｅｒ））
本発明の１つの実施形態において、フィッシングＥメールディターミナ（ＰＥＤ）は、少なくとも１つの要因はＥメールから取出されたＵＲＬと関連づけられる信頼のレベルである、１つ以上の要因を用いてフィッシングＥメールを決定するために提供される。図４の実施形態は、フィッシングＥメールを決定するためのそのような１つの方法を例示する。
【００６０】
最初に、図４の実施形態において、Ｅメールメッセージは受信される（４０１）。２番目に、Ｅメールメッセージは、少なくとも１つの要因がＥメールから取出されたＵＲＬと関連づけられる信頼のレベルに基づいている、１つ以上の要因に基づいてスコア化される（４０２）。３番目に、スコアは、所定のフィッシング閾値と比較される（４０３）。最終的に、Ｅメールは、比較に基づいてフィッシングＥメールであると決定される（４０４）。
【００６１】
図４の実施形態に基づいた実施形態において、ＵＲＬと関連づけられる信頼のレベルは、ＵＲＬと関連づけられるＩＰアドレスの関数として決定される。ＵＲＬと関連づけられるＩＰアドレスは、ＤＮＳサーバに問合せることによって決定され得る。様々な実施形態において、ＥメールがフィッシングＥメールであるという決定は、リアルタイムか、ほぼリアルタイムか、または所定の時間間隔で起こり得る。
【００６２】
図３のコンピュータシステム上において動作し得る種類のデータベースは、図４のフィッシングＥメールディターミナの様々な実施形態において用いられ得る。例えば、１つ以上の要因がデータベースに保存され得るか、またはＵＲＬと関連づけられる信頼のレベルが保存され得るか、データベースから引出され得る。１つの実施形態において、要因は、Ｅメールメッセージの発信元の地理的な位置であり得、それは、Ｅメールメッセージの発信元ＩＰアドレスの関数として決定され得る。ＮｅｔＡｃｕｉｔｙサーバ２４０は、メッセージの発信元ＩＰアドレスに基づいてＥメールメッセージの発信元の地理的な位置を決定するための、様々な実施形態において用いられ得る。
【００６３】
図４の実施形態を拡張して、図５において例示されるフィッシングＥメールディターミナのさらなる実施形態において、Ｅメールメッセージ中の１つ以上のＵＲＬは、Ｅメールのリスクスコアを最適化するために、それらのＵＲＬが信頼されるサーバと関連づけられるか否かを決定するために分析され得る。最初に、Ｅメールメッセージ中の１つ以上のＵＲＬは決定される（５０１）。２番目に、ＵＲＬの１つ以上が信頼されるサーバと関連づけられるか否かは決定される（５０２）。３番目に、１つ以上のＵＲＬの各々が信頼されるサーバと関連づけられる場合、リスクスコアは、ＥメールがフィッシングＥメールである可能性がより低いことを反映するように最適化される（５０３）。従って、１つ以上のＵＲＬのすべてが信頼されるサーバと関連づけられていない場合、リスクスコアは、ＥメールがフィッシングＥメールである可能性がより高いことを反映するように最適化される（５０４）。
【００６４】
図４の実施形態に基づいたＰＥＤのまた別の実施形態において、Ｅメールメッセージは、ヘッダおよび本文において構文解析される。そのようなＥメールは、プレーンテキスト、ＨＴＭＬ、ＸＭＬ、リッチテキストなどを含む多くのフォーマットの１つにおけるデータを含み得る。従って、Ｅメールがヘッダおよび本文において構文解析された後、リスクスコアは、ヘッダスコアおよびＵＲＬスコアを含み、このＵＲＬスコアは、ＵＲＬと関連づけられるＨＴＭＬタグに基づいて調整され得る。さらに、１つの実施形態において、ヘッダスコアは、Ｅメールメッセージに含まれるＩＰアドレスと関連づけられる発信国に基づいて調整され得る。いくつかの実施形態において、ＥメールがフィッシングＥメールであると決定することは、ＥメールメッセージがＥメール受信者に送られる前に、起こり得る。
【００６５】
例えば、図６の実施形態において例示されるように、本発明のフィッシングＥメールディターミナはまた、会社などの実体と関連づけられる、Ｅメールメッセージから取出される記述内容に基づいて、フィッシングＥメールを決定し得る。最初に、１つ以上の実体と関連づけられるドメイン名およびキーワードを少なくとも含む記述内容は保存される（６０１）。２番目に、Ｅメールメッセージは受信され（６０２）、記述内容はそれから取出される（６０３）。４番目に、第１の実体は、取出された記述内容と保存された記述内容との間の比較に基づいて、Ｅメールが関連づけられ得ることを決定される（６０４）。５番目に、ＵＲＬはＥメールから取出され（６０５）、ＵＲＬと関連づけられる、第２の実体が決定される（６０６）。最後に、第１の実体と第２の実体との間の比較に基づいて、ＥメールがフィッシングＥメールであると決定される（６０７）。
【００６６】
図６のＰＥＤは、例えば、Ｅメールがユーザの銀行からであると称するけれども、実際は銀行を装う盗人（ｔｈｉｅｆ）からである場合に、ＥメールがフィッシングＥメールであると決めるために実用的に用いられ得る。図６におけるＰＥＤの実施形態を適用すると、記述内容は、ＦｉｒｓｔＢａｎｋと仮に呼ばれる銀行と関連づけられて保存され（６０１）、その銀行は、ドメイン名ｆｉｒｓｔｂａｎｋ．ｃｏｍと関連づけられる。次に、方法は、Ｅメールを受信し（６０２）、記述内容をＥメールから取出す（６０３）。この例において、ＰＥＤは、ドメイン名ｆｉｒｓｔｂａｎｋ．ｃｏｍをＥメールメッセージから取出す（６０２）。次に、ＰＥＤは、取出されたドメインをステップ６０１において保存された記述内容と比較し、取出されたドメイン名がＦｉｒｓｔＢａｎｋと関連づけられることを決定する（６０４）。それからＵＲＬは、Ｅメールから取出され（６０５）、６０６において、そのＵＲＬは、ＦｉｒｓｔＢａｎｋに所属しないと決定される。最終的に、図６のＰＥＤは、第１の実体（ＦｉｒｓｔＢａｎｋ）と第２の実体（ＦｉｒｓｔＢａｎｋによって所有されていないＵＲＬ）とを比較し、比較に基づいてＥメールがフィッシングＥメールであると決定する（６０７）。
【００６７】
図６の様々な実施形態において、記述内容は、ドメイン名、キーワード、グラフィックイメージ、サウンドファイル、ビデオファイル、添付ファイル、デジタル指紋、およびＥメールアドレスを含むいかなるタイプの情報をも含み得る。ＰＥＤのさらなる実施形態において、ＵＲＬと関連づけられる第２の実体を決定するステップは、ＵＲＬと関連づけられるＩＰアドレスを決定するステップを含み得、それは、例えば、ＤＮＳサーバに問合せることによって決定され得る。
【００６８】
図６の実施形態に基づく別の実施形態において、インタフェースが提供され、そのインタフェースは、実体と関連づけられるキーワードおよびドメイン名をユーザが決定することを可能にする。キーワードおよびドメイン名は、次いで保存され、実体と関連づけられる。保存は、例えば、図３に例示されるコンピュータシステム上に存在するデータベースにおいて起こり得る。
【００６９】
（信頼されるホストマイナ）
本発明の信頼されるホストマイナ（ＴＨＭ）は、特定の信頼されるＵＲＬとして役立つすべてのサーバのＩＰアドレスを発見することが可能であり、図７の実施形態において例示される。信頼されるＵＲＬとして役立つサーバは、信頼されるサーバとして公知である。様々な実施形態において、ＴＨＭは、特定の信頼されるＵＲＬに対してもはや用いられないサーバを切捨てることによって、信頼されるサーバのデータベース（７０２）を最新に保つ役目を担う。
【００７０】
１つの実施形態において、ＴＨＭは、発見してメンテナンスする役目を担う信頼されるＵＲＬのリストを信頼されるＵＲＬデータベースからロードする（７０３）。ＴＨＭはそれから、各ＵＲＬのためにＤＮＳ問合せを実行する（７０４）。ＤＮＳ問合せはまた、ＤＮＳが戻す各アドレスのために、活動時間（ｔｉｍｅ−ｔｏ−ｌｉｖｅ）（ＴＴＬ）値を戻す。そして、ステップ７０５で、サーバアドレスがデータベース中にあるか否かが決定される。サーバアドレスがデータベース中にある場合、アドレスに対して最後に見られた日付は、信頼されるサーバのデータベース中でアップデートされる（７０６）。ＴＨＭは次いで、ＤＮＳが供給した、アドレスに対する活動時間（ＴＴＬ）の間それが終了するのを待ち（７０７）、それから、ステップ７０４においてＤＮＳサーバ問合せを繰り返す。
【００７１】
ステップ７０５において、サーバアドレスがデータベース中になかったことを決定した場合、サーバのアドレスは、信頼されるサーバのデータベースに追加される（７０８）。ＴＨＭはそれから、アドレスに対するＴＴＬの間それが終了するのを待ち得、ステップ７０４において開始するＴＨＭの手順を繰り返す。
【００７２】
設定された時間量の間に、特定の信頼されるサーバが見られなかった場合、ＴＨＭは、信頼されるサーバのデータベース（７１１）からサーバを削除する（７０９）ことによって切捨て得る。この行為は、信頼されるサーバのデータベース（７１１）がいつも最新であり、期限切れのエントリを含まないことを保証する。
【００７３】
信頼されるサーバのデータベースはまた、信頼されるサーバの所有者により提供されるそれらのサーバのセットによって事前にロードされ得る（７１０）。例えば、金融機関は、信頼されるそのサーバのリストを提供し得る。これらのサーバのリストは、信頼されるサーバのデータベース（７１１）中に置かれ得、ＴＨＭによって引き出され得ない。
【００７４】
別の実施形態のＴＨＭは、図８において例示される。最初に、ＴＨＭは、信頼されるＵＲＬを受信する（８０１）。２番目に、方法は、信頼されるＵＲＬを含む最初の問合せをＤＮＳに提出し（８０２）、それから、ＤＮＳから第１のＩＰアドレスを受信する（８０３）。４番目に、第１のＩＰアドレスは、信頼されるＵＲＬと関連づけられ、その関連は保存される（８０４）。２番目の問合せはそれから、最初の所定の時間が経過した後に、信頼されるＵＲＬを含めてＤＮＳに提出され、最初の所定の時間量はＤＮＳから受信したＴＬＬ値の関数である（８０５）。６番目に、第２のＩＰアドレスは、ＤＮＳから受信される（８０６）。最終的に、第２のＩＰアドレスは、信頼されるＵＲＬと関連づけられ、その関連は保存される（８０７）。
【００７５】
図８の実施形態を拡張するＴＨＭの一実施形態において、２番目の事前設定された時間量が経過した後に、ＴＨＭの方法は、ＩＰアドレスを信頼されるＵＲＬから関連を解除する。さらに、２番目の事前設定された時間量は、ＴＴＬ値の関数として決定され得る。さらなる実施形態において、信頼されるＵＲＬは、データベース問合せの結果として受信され、ＩＰアドレス、ＴＴＬ値、および信頼されるＵＲＬは、図３のコンピュータシステム上に存在するデータベースに保存され得る。
【００７６】
（信頼されるホストブラウザ）
本発明は、信頼のレベルをユーザに伝達するための信頼されるホストブラウザ（ＴＨＢ）の方法を提供する。１つの実施形態において、ＴＨＢは信頼されるサーバのデータベース７１１を用いて、信頼されるホストブラウザは、ツールバーを介して使用可能であり得るウェブブラウザプラグインとして実装される。プラグインは、ウェブブラウザにロードされ得、エンドユーザが訪れるウェブサイトのセキュリティに関して彼らにフィードバックを提供するために用いられ得る。例えば、エンドユーザが、リンクが彼らの銀行のウェブサイトであるという確信において、彼らが受信したＥメールメッセージ中のリンクをクリックする場合、プラグインは、ウェブサイトからウェブブラウザに提供されるコンテンツを彼らが信頼し得るか否かを視覚的に示し得る。
【００７７】
図９において例示されるようなＴＨＢの１つの実施形態において、ＴＨＢプラグインは、ウェブブラウザ要求エリアにおいてロードされたＵＲＬを受取り、ＵＲＬと関連づけられるアドレスをルックアップする（９０１）。プラグインはそれから、信頼されるサーバのデータベース中のアドレスに対してそのアドレスを照合することを示すアドレスを伴って、ＥＳｃａｍサーバ２０２をコールする（９０２）。アドレスが信頼されるサーバである場合（９０３）、プラグインは、「信頼されるウェブサイト」を示すアイコンまたはダイアログボックスをユーザに対して表示する（９０４）。
【００７８】
ＥＳｃａｍサーバ２０２は、サーバが信頼されないと決めた場合、次にサーバの地理的な位置をチェックする（９０５）。地理的な位置がＯＦＡＣ国または所定の疑わしい国など潜在的に疑わしい場合（９０６）、ＥＳｃａｍサーバ２０２は、プラグインにこのことを示し得る。地理的な位置が疑わしくない場合、プラグインは次いで、「疑わしくないウェブサイト」を示すアイコンをブラウザにおいて表示し得る（９０８）。サーバの位置が疑わしい場合、プラグインは、「疑わしいウェブサイト」を示すアイコンを表示する（９０７）。エンドユーザはそれから、ユーザのログイン情報、パスワード情報、または金融情報を含む機密情報の提供など、このサイトとの交信を続行するか否かを決定するためにウェブサイトの妥当性に関する情報を用い得る。
【００７９】
信頼のレベルをユーザに伝達するために有用な、ＴＨＢの別の実施形態は、図１０において例示される。図１０の実施形態において、方法は、最初にＵＲＬを受信する（１００１）。２番目に、ＵＲＬと関連づけられるＩＰアドレスが決定される（１００２）。３番目に、ＵＲＬのホストと関連づけられる信頼のレベルは、少なくとも１つの要因がＩＰアドレスに基づく、１つ以上の要因に基づいて決定される（１００３）。最終的に、決定された信頼のレベル（１００３）は、ユーザに伝達される（１００４）。
【００８０】
図１０に基づいたＴＨＢの一実施形態において、ＵＲＬは、インターネットウェブブラウザのアドレスフィールド中に入力される。さらに、要因は、ＵＲＬについて問合わされたＥＳｃａｍサーバ２０２から受信される信頼のレベルであり得る。さらに、要因は、ＩＰアドレスの関数として決定されるホストの地理的な位置であり得る。１つの実施形態において、ホストの地理的な位置は、ＮｅｔＡｃｕｉｔｙサーバ２４０を用いて決定され得る。
【００８１】
（ページスパイダ）
本発明の一実施形態は、ユーザ証明書、ログイン情報、パスワード情報、金融情報、社会保障番号、またはすべてのタイプの個人識別情報などの機密または要注意情報の通信を要求し得るオンサイトＵＲＬを決定するために、文書中のリンクを処理することに有用なページスパイダの方法を提供する。機密情報を要求するオンサイトウェブページを示すＵＲＬはまた、信頼されるＵＲＬとして扱われ、信頼されるＵＲＬのデータベース７１１に追加され、ＴＨＭによって処理され得る。
【００８２】
ページスパイダの方法は、図１１に描かれる一実施形態において例示される。図１１のページスパイダは、ＵＲＬを安全なページＵＲＬまたはすべての包含的なＵＲＬのいずれかに分類するための論理を用い得る。包含的なＵＲＬは、ログインを求めると決定されていないか、または個人もしくは要注意情報を要求しないあらゆるＵＲＬである。最初に、第１のリンクにおいて使用可能である第１の文書が引出され、第１のリンクは第１のホスト名を含む（１１０１）。２番目に、第１の文書は、第２の文書への第２のリンクを識別するために構文解析される（１１０２）。第２の文書が、第１のホスト名と同じホスト名を含む第２のリンクを伴うので、すなわち、第２のリンクは第１のリンクに関してオンサイトである。第２の文書は次いで、それがログイン情報、パスワード情報、または金融情報などの機密情報を要求するか否かを決定するために検査される（１１０３）。最終的に、第２の文書が機密情報を要求する場合、第２のリンクは第１のリストに保存される（１１０４）。さらなる実施形態において、第２の文書が機密情報を要求しない場合、第２のリンクは第２のリストに保存され得る。
【００８３】
ページスパイダの別の実施形態において、文書は、ＨＴＭＬ互換の文書であり、リンクはＵＲＬである。ページスパイダのさらなる実施形態において、文書は、ＸＭＬ文書であり、リンクはＵＲＬである。ページスパイダが、他の文書への１つ以上のリンクまたは参照を含む、あらゆるタイプの文書に対して用いられ得ることもまた当業者にとって明らかである。
【００８４】
また別の実施形態において、第１の文書は、第２の文書へのリンクを含むＨＴＭＬアンカータグ＜Ａ＞を決定するために構文解析され得る。第２の文書はまた、それが＜ＦＯＲＭ＞タグまたは＜ＩＮＰＵＴ＞タグなどの１つ以上の所定のＨＴＭＬタグを含むか否かを決定することによって、文書が機密情報を要求するか否かを決定するために検査され得る。様々な実施形態において、機密情報は、安全なログイン形式によって要求され得る。
【００８５】
本発明の１つ以上の実施形態が、図１２において示される実施形態など強化された機能性を提供するために組合され得る。それは、協力して動作するページスパイダおよび信頼されるホストマイナを例示する。
【００８６】
図１２に例示される実施形態において、ページスパイダは、ジャンプオフ（Ｊｕｍｐ−Ｏｆｆ）ＵＲＬのデータベース１２０２からジャンプオフＵＲＬを与えられるすべての可能なＵＲＬまたはサイトに対して、ページをスキャンする役目を担う。ページスパイダは、ＵＲＬを安全なログインＵＲＬまたはすべての包含的なＵＲＬのいずれかに分類するために、ロジックを用いる。それは、ログインを求めると決定されていないあらゆるＵＲＬである。ページスパイダによるＵＲＬ処理は、ＵＲＬが安全なログインＵＲＬのように機密情報を要求するか否か、またはＵＲＬが正に通常のＵＲＬであるか否かを知る必要がある方法に有用である。様々な実施形態において、ページスパイダは、現在のサイトからリンクを辿らないけれども、それらのサイトがジャンプオフＵＲＬに変換されるべきであるか否かをある人が確証するために、オフサイトリンクをＤｉｄｎ’ｔ Ｆｏｌｌｏｗデータベース１２０３に追加する。１つの実施形態において、ジャンプオフＵＲＬは、信頼されるホストマイナ１２０８によって処理され得る潜在的に信頼されるＵＲＬである。
【００８７】
現在の実施形態において、ページスパイダのユーザインタフェース（ＵＩ）１２０１が提供され、そのＵＩは、ユーザがジャンプオフＵＲＬを入力し、Ｄｏｎ’ｔ Ｆｏｌｌｏｗ ＵＲＬを入力し、そしてＤｉｄｎ’ｔ Ｆｏｌｌｏｗ ＵＲＬを有効にし、そしてＤｉｄｎ’ｔ Ｆｏｌｌｏｗ ＵＲＬをジャンプオフＵＲＬのデータベース１２０２に置くことを可能にする。ページスパイダＵＩ１２０１はまた、ページスパイダ処理をバイパスして、すべての包含的なデータベース１２０６エントリを有効にし、安全なログインＵＲＬのデータベース１２０７のエントリを有効にし、そしてすべての包含的なＵＲＬ／安全なＵＲＬを手動で入力するために用いられ得る。
【００８８】
図１２の実施形態において、ページスパイダ１２０５は、ページスパイダＵＩ１２０１を介してジャンプオフＵＲＬのＤＢ１２０２、Ｄｏｎ’ｔ Ｆｏｌｌｏｗ ＵＲＬのＤＢ１２０４、そしてＤｉｄｎ’ｔ Ｆｏｌｌｏｗ ＵＲＬのＤＢ１２０３にＵＲＬを入力するために用いられる。ページスパイダは、オンサイトＵＲＬを突止めて、それらをすべての包含的なＵＲＬのＤＢ１２０６または安全なログインＵＲＬのＤＢ１２０７のいずれかに置く。これらの突止められたＵＲＬは、それから、ＴＨＭ１２０８に供給される。ＴＨＭ１２０８は、例えば、図７および図８において例示されるように、供給されたＵＲＬに対する信頼されるホストを決定する。ＴＨＭ１２０８はそれから、信頼されるサーバのＤＢ１２０９をアップデートする。
【００８９】
別の実施形態において、信頼されるサーバのＤＢビルダー１２１０が信頼されるサーバのＤＢ１２０９をポーリングし、十分な変化がある場合に、すべての包含的な信頼されるサーバのＤＢ１２１１と、安全なログインの信頼されるサーバのＤＢ１２１２とにＵＲＬを公開する。さらなる実施形態において、ＤＢディストリビュータ１２１３はまた、すべての包含的な信頼されるサーバのＤＢ１２１１と安全なログインの信頼されるサーバのＤＢ１２１２とにＵＲＬを送信する。最終的に、ユーザは、機関の情報ＤＢ１２１４を管理するために、機関のＵＩ１２１５を用いる。機関の情報ＤＢ１２１４は、機関と関連する内容を識別するために用いられ得るドメイン名およびキーワードなどの記述内容を含む。記述内容はまた、機関からであると称するフィッシングＥメールを決定するために、記述内容が用いられることを可能にして、図１２の実施形態によって連結されるＰＥＤに供給され得る。
【００９０】
本発明は、様々な実施形態に関連して詳細に記述されたけれども、本発明が上記において開示される実施形態に限定されないことは理解されるべきである。むしろ、本発明は、これまで記述されなかった、本発明の精神および範囲を逸脱しない様々な変更、代替、置換、または均等な編成を含むように改変され得る。従って、本発明は前述の説明または図面によって限定されないけれども、添付の特許請求の範囲によってのみ限定される。
【図面の簡単な説明】
【００９１】
【図１】図１は、本発明による、ＥメールメッセージがフィッシングＥメールであるか否かを決定するための方法を例示するフローチャートである。
【図２】図２は、本発明のＥＳｃａｍサーバの一実施形態を実装するためのコンピュータシステムのブロック図である。
【図３】図３は、本発明の様々な実施形態を実装するために用いられ得るコンピュータシステムのブロック図である。
【図４】図４は、本発明の一実施形態におけるフィッシングＥメールを決定するための方法を例示する。
【図５】図５は、本発明の別の実施形態におけるフィッシングＥメールを決定するための方法を例示する。
【図６】図６は、本発明のさらなる実施形態におけるフィッシングＥメールを決定するための方法を例示する。
【図７】図７は、本発明の一実施形態の信頼されるホストマイナの方法を例示する。
【図８】図８は、本発明の別の実施形態の信頼されるホストマイナの方法を例示する。
【図９】図９は、本発明の一実施形態の信頼されるホストブラウザの方法を例示する。
【図１０】図１０は、本発明の別の実施形態における信頼されるホストブラウザの方法を例示する。
【図１１】図１１は、本発明の一実施形態のページスパイダの方法を例示する。
【図１２】図１２は、本発明の一実施形態におけるページスパイダの方法および信頼されるホストマイナの方法を例示する。
【特許請求の範囲】
【請求項１】
フィッシングＥメールを決定するための方法であって、該方法は、
ａ．Ｅメールメッセージを受信するステップと、
ｂ．１つ以上の要因に基づいて該Ｅメールメッセージをスコア化するステップであって、少なくとも１つの要因は、該Ｅメールから取出されるＵＲＬと関連づけられる信頼のレベルに基づく、ステップと、
ｃ．該スコアを所定のフィッシング閾値と比較するステップと、
ｄ．該比較に基づいて、該ＥメールがフィッシングＥメールであるか否かを決定するステップと
を包含する、方法。
【請求項２】
前記要因の１つ以上は、データベースに保存される、請求項１に記載の方法。
【請求項３】
前記ＵＲＬと関連づけられる前記信頼のレベルは、該ＵＲＬと関連づけられるＩＰアドレスの関数として決定される、請求項１に記載の方法。
【請求項４】
前記ＵＲＬと関連づけられる前記ＩＰアドレスは、ＤＮＳサーバに問合せることによって決定される、請求項３に記載の方法。
【請求項５】
前記ＵＲＬと関連づけられる前記信頼のレベルは、データベースから引出される、請求項１に記載の方法。
【請求項６】
要因は、前記Ｅメールメッセージの発信元の地理的な位置を含む、請求項１に記載の方法。
【請求項７】
前記地理的な位置は、前記Ｅメールメッセージの前記発信元のＩＰアドレスの関数として決定される、請求項６に記載の方法。
【請求項８】
前記ＥメールがフィッシングＥメールであるか否かを決定する前記ステップは、リアルタイムで起こる、請求項１に記載の方法。
【請求項９】
前記Ｅメールメッセージをヘッダおよび本文に構文解析することをさらに含む、請求項１の方法。
【請求項１０】
前記Ｅメールメッセージは、ＨＴＭＬのＥメールメッセージである、請求項１に記載の方法。
【請求項１１】
前記Ｅメールメッセージは、テキストのＥメールメッセージである、請求項１に記載の方法。
【請求項１２】
請求項１に記載の方法であって、該方法は、
ａ．前記Ｅメールメッセージに含まれる１つ以上のＵＲＬを決定するステップと、
ｂ．該１つ以上のＵＲＬが信頼されるサーバと関連づけられるか否かを決定するステップと、
ｃ．該１つ以上のＵＲＬの各々が、信頼されるサーバと関連づけられる場合、該Ｅメールが、フィッシングＥメールである可能性がより低いことを反映するように前記スコアを最適化するステップと、
ｄ．該１つ以上のＵＲＬのすべてが、信頼されるサーバと関連づけられていない場合、該Ｅメールが、フィッシングＥメールである可能性がより高いことを反映するようにリスクスコアを最適化するステップと
をさらに含む、方法。
【請求項１３】
前記スコアは、ヘッダスコアとＵＲＬスコアとから構成される、請求項９に記載の方法。
【請求項１４】
前記ＵＲＬスコアは、前記ＵＲＬと関連づけられるＨＴＭＬタグに基づいて調整される、請求項１３に記載の方法。
【請求項１５】
前記ヘッダスコアは、前記Ｅメールメッセージに含まれるＩＰアドレスと関連づけられる発信国に基づいて調整される、請求項１３に記載の方法。
【請求項１６】
前記Ｅメールメッセージは、Ｅメールクライアントによって受信される、請求項１に記載の方法。
【請求項１７】
前記ＥメールメッセージがＥメール受信者に送られる前に、前記決定するステップが起こる、請求項１に記載の方法。
【請求項１８】
前記決定するステップと関連づけられる情報を報告するステップをさらに含む、請求項１に記載の方法。
【請求項１９】
フィッシングＥメールを決定するための方法であって、該方法は、
ａ．１つ以上の実体と関連づけられる記述内容を保存するステップであって、該内容は、少なくともドメイン名およびキーワードを含む、ステップと、
ｂ．Ｅメールを受信するステップと、
ｃ．該Ｅメールから記述内容を取出すステップと、
ｄ．該取出された記述内容と該保存された記述内容との間の比較に基づいて、該Ｅメールが、関連づけられ得る第１の実体を決定するステップと、
ｅ．該ＥメールからＵＲＬを取出すステップと、
ｆ．該ＵＲＬと関連づけられる第２の実体を決定するステップと、
ｇ．該第１の実体と該第２の実体との間の比較に基づいて、該ＥメールがフィッシングＥメールであるか否かを決定するステップと
を包含する、方法。
【請求項２０】
前記ＵＲＬと関連づけられる第２の実体を決定する前記ステップは、該ＵＲＬと関連づけられるＩＰアドレスを決定するステップを含む、請求項１９に記載の方法。
【請求項２１】
前記ＩＰアドレスは、ＤＮＳサーバに問合せることによって決定される、請求項２０に記載の方法。
【請求項２２】
請求項１９に記載の方法であって、前記１つ以上の実体と関連づけられる記述内容を保存するステップは、
ａ．実体と関連づけられるキーワードおよびドメイン名を決定するために、ユーザに対してインタフェースを提供するステップと、
ｂ．該実体と関連づけられるキーワードを該ユーザによって決定するステップと、
ｃ．該実体と関連づけられるドメイン名を該ユーザによって決定するステップと、
ｄ．実体情報、該関連づけられたキーワード、および該関連づけられたドメイン名を保存するステップと
を含む、方法。
【請求項２３】
前記実体、キーワード、およびドメイン名の情報は、データベースに保存される、請求項２２に記載の方法。
【請求項２４】
信頼されるサーバの１つ以上のインターネットプロトコル（ＩＰ）アドレスを信頼されるユニフォームリソースロケータ（ＵＲＬ）と関連づけるための方法であって、該方法は、
ａ．該信頼されるＵＲＬを受信するステップと、
ｂ．該信頼されるＵＲＬを含む第１の問合せをドメインネームサーバ（ＤＮＳ）に提出するステップと、
ｃ．該ＤＮＳから第１のＩＰアドレスを受信するステップと、
ｄ．該第１のＩＰアドレスを該信頼されるＵＲＬと関連づけ、該関連を保存するステップと、
ｅ．第１の所定の時間量が経過した後に、該信頼されるＵＲＬを含む第２の問合せを該ＤＮＳに提出するステップであって、該第１の所定の時間量は、該ＤＮＳから受信された活動時間（ＴＴＬ）値の関数である、ステップと、
ｆ．該ＤＮＳから第２のＩＰアドレスを受信するステップと、
ｇ．該第２のＩＰアドレスを該信頼されるＵＲＬと関連づけ、該関連を保存するステップと
を包含する、方法。
【請求項２５】
前記信頼されるＵＲＬを受信する前記ステップは、データベース問合せの結果として、該信頼されるＵＲＬを受信するステップを含む、請求項２４に記載の方法。
【請求項２６】
１つ以上のＩＰアドレス、ＴＴＬ値、および前記信頼されるＵＲＬをデータベースに保存するステップをさらに含む、請求項２４に記載の方法。
【請求項２７】
第２の事前設定された時間量が経過した後に、ＩＰアドレスを前記信頼されるＵＲＬから関連を解除するステップをさらに含む、請求項２４に記載の方法。
【請求項２８】
前記第２の事前設定された時間量は、ＴＴＬ値の関数として決定される、請求項２７に記載の方法。
【請求項２９】
前記信頼されるサーバと関連づけられる実体から、前記信頼されるＵＲＬと関連づけられるＩＰアドレスを受信するステップをさらに含む、請求項２４に記載の方法。
【請求項３０】
前記実体は、信頼されるサーバの所有者である、請求項２９に記載の方法。
【請求項３１】
ステップｅからステップｇは、１回以上繰り返される、請求項２４に記載の方法。
【請求項３２】
ユニフォームリソースロケータ（ＵＲＬ）のホストと関連づけられる信頼のレベルをユーザに伝達するための方法であって、該方法は、
ａ．該ＵＲＬを受信するステップと、
ｂ．該ＵＲＬと関連づけられるインターネットプロトコル（ＩＰ）アドレスを決定するステップと、
ｃ．１つ以上の要因に基づいて該ＵＲＬの該ホストと関連づけられる該信頼のレベルを決定するステップであって、少なくとも１つの要因は、該ＩＰアドレスに基づく、ステップと、
ｄ．該ホストと関連づけられる該信頼のレベルを該ユーザに伝達するステップと
を包含する、方法。
【請求項３３】
前記ＵＲＬは、インターネットウェブブラウザのアドレスフィールドに入力されるＵＲＬである、請求項３２に記載の方法。
【請求項３４】
要因は、前記ＵＲＬについて問合わされたＥＳｃａｍサーバから受信される前記信頼のレベルである、請求項３２に記載の方法。
【請求項３５】
前記ＵＲＬと関連づけられるＩＰアドレスを決定する前記ステップは、該ＵＲＬについてＤＮＳに問合せるステップを含む、請求項３２に記載の方法。
【請求項３６】
要因は、前記ＩＰアドレスの関数として決定される前記ホストの地理的な位置である、請求項３２に記載の方法。
【請求項３７】
前記ＵＲＬと関連づけられるＩＰアドレスを決定する前記ステップは、データベースから該ＩＰアドレスを引出すステップを含む、請求項３２に記載の方法。
【請求項３８】
前記ユーザに伝達する前記ステップは、前記ＵＲＬと関連づけられる前記信頼のレベルを示すメッセージを該ユーザに対して表示することによって、前記ホストと関連づけられる該信頼のレベルを該ユーザに伝達するステップを含む、請求項３２に記載の方法。
【請求項３９】
前記ユーザに伝達する前記ステップは、前記ＵＲＬと関連づけられる前記信頼のレベルを示すアイコンまたはダイアログボックスを該ユーザに対して表示することによって、前記ホストと関連づけられる該信頼のレベルを該ユーザに伝達するステップを含む、請求項３２に記載の方法。
【請求項４０】
文書の中のリンクを処理するための方法であって、該方法は、
ａ．第１のリンクにおいて使用可能な第１の文書を引出すステップであって、該第１のリンクは、第１のホスト名を含む、ステップと、
ｂ．第２の文書への第２のリンクを識別するために、該第１の文書を構文解析するステップであって、該第２のリンクは、該第１のホスト名と同じホスト名を含む、ステップと、
ｃ．該第２の文書が、ログイン情報、パスワード情報、または金融情報などの機密情報を要求するか否かを決定するために、該第２の文書を検査するステップと、
ｄ．該第２の文書が機密情報を要求する場合、第１のリストに該第２のリンクを保存するステップと
を包含する、方法。
【請求項４１】
前記第２の文書が機密情報を要求しない場合、第２のリストに前記第２のリンクを保存するステップをさらに含む、請求項４０に記載の方法。
【請求項４２】
文書は、ＨＴＭＬ互換の文書であり、リンクは、ユニフォームリソースロケータ（ＵＲＬ）である、請求項４０に記載の方法。
【請求項４３】
文書は、ＸＭＬ互換の文書であり、リンクは、ユニフォームリソースロケータ（ＵＲＬ）である、請求項４０に記載の方法。
【請求項４４】
第２の文書への第２のリンクを決定するために、前記第１の文書を構文解析する前記ステップは、該第２の文書へのリンクを含む、＜Ａ＞ＨＴＭＬタグを決定するステップを含む、請求項４２に記載の方法。
【請求項４５】
前記第２の文書が機密情報を要求するか否かを決定するために、該第２の文書を検査する前記ステップは、該第２の文書が＜ＦＯＲＭ＞タグまたは＜ＩＮＰＵＴ＞タグなどの１つ以上の所定のＨＴＭＬタグを含むか否かを決定するために、該第２の文書を検査するステップを含む、請求項４２に記載の方法。
【請求項４６】
前記機密情報は、前記第２の文書に含まれる安全なログイン形式によって要求される、請求項４５に記載の方法。
【請求項４７】
前記機密情報は、前記第２の文書に含まれる安全なログイン形式によって要求される、請求項４０に記載の方法。
【請求項４８】
文書の中のリンクを処理するための方法であって、該方法は、
ａ．第１のリンクにおいて使用可能な第１の文書を引出すステップであって、該第１のリンクは、第１のホスト名を含む、ステップと、
ｂ．他の文書への１つ以上のリンクを識別するために、該第１の文書を構文解析するステップであって、各識別されたリンクは、識別されたホスト名を含み、該１つ以上の識別されたリンクは、第２のホスト名を含む第２のリンクを少なくとも含む、ステップと、
ｃ．該１つ以上の識別されたリンクに対して、該第１のホスト名と該識別されたホスト名とが同じか否かを決定するステップと、
ｄ．該第１のホスト名と該識別されたホスト名とが同じ場合、第１のリストに該識別されたリンクを保存するステップと、
ｅ．該第１のホスト名と該識別されたホスト名とが同じでない場合、第２のリストに該識別されたリンクを保存するステップと
を包含する、方法。
【請求項４９】
検査されるリンクが、ログイン情報、パスワード情報、または金融情報などの機密情報を要求する文書を参照するか否かを決定するために、前記第１のリストの１つ以上の該リンクを検査するステップをさらに含む、請求項４８に記載の方法。
【請求項５０】
請求項４９に記載の方法であって、該方法は、
ａ．前記検査されるリンクによって参照される前記文書が、機密情報を要求する場合、第３のリストに該検査されるリンクを保存するステップと、
ｂ．該検査されるリンクによって参照される該文書が、機密情報を要求しない場合、第４のリストに該検査されるリンクを保存するステップと
をさらに含む、方法。
【請求項５１】
文書は、ＨＴＭＬ互換の文書であり、リンクは、ユニフォームリソースロケータ（ＵＲＬ）である、請求項４８に記載の方法。
【請求項５２】
文書は、ＸＭＬ互換の文書であり、リンクは、ユニフォームリソースロケータ（ＵＲＬ）である、請求項４８に記載の方法。
【請求項５３】
第２の文書への前記第２のリンクを決定するために、前記第１の文書を構文解析する前記ステップは、該第２の文書へのリンクを含む、＜Ａ＞ＨＴＭＬタグを決定するステップを含む、請求項５１に記載の方法。
【請求項５４】
第２の文書が機密情報を要求するか否かを決定するために、該第２の文書を検査する前記ステップは、該第２の文書が＜ＦＯＲＭ＞タグまたは＜ＩＮＰＵＴ＞タグなどの１つ以上の所定のＨＴＭＬタグを含むか否かを決定するために、該第２の文書を検査するステップを含む、請求項５１に記載の方法。
【請求項５５】
前記機密情報は、前記第２の文書に含まれる安全なログイン形式によって要求される、請求項５４に記載の方法。
【請求項５６】
前記機密情報は、前記第２の文書に含まれる安全なログイン形式によって要求される、請求項４８に記載の方法。
【請求項１】
フィッシングＥメールを決定するための方法であって、該方法は、
ａ．Ｅメールメッセージを受信するステップと、
ｂ．１つ以上の要因に基づいて該Ｅメールメッセージをスコア化するステップであって、少なくとも１つの要因は、該Ｅメールから取出されるＵＲＬと関連づけられる信頼のレベルに基づく、ステップと、
ｃ．該スコアを所定のフィッシング閾値と比較するステップと、
ｄ．該比較に基づいて、該ＥメールがフィッシングＥメールであるか否かを決定するステップと
を包含する、方法。
【請求項２】
前記要因の１つ以上は、データベースに保存される、請求項１に記載の方法。
【請求項３】
前記ＵＲＬと関連づけられる前記信頼のレベルは、該ＵＲＬと関連づけられるＩＰアドレスの関数として決定される、請求項１に記載の方法。
【請求項４】
前記ＵＲＬと関連づけられる前記ＩＰアドレスは、ＤＮＳサーバに問合せることによって決定される、請求項３に記載の方法。
【請求項５】
前記ＵＲＬと関連づけられる前記信頼のレベルは、データベースから引出される、請求項１に記載の方法。
【請求項６】
要因は、前記Ｅメールメッセージの発信元の地理的な位置を含む、請求項１に記載の方法。
【請求項７】
前記地理的な位置は、前記Ｅメールメッセージの前記発信元のＩＰアドレスの関数として決定される、請求項６に記載の方法。
【請求項８】
前記ＥメールがフィッシングＥメールであるか否かを決定する前記ステップは、リアルタイムで起こる、請求項１に記載の方法。
【請求項９】
前記Ｅメールメッセージをヘッダおよび本文に構文解析することをさらに含む、請求項１の方法。
【請求項１０】
前記Ｅメールメッセージは、ＨＴＭＬのＥメールメッセージである、請求項１に記載の方法。
【請求項１１】
前記Ｅメールメッセージは、テキストのＥメールメッセージである、請求項１に記載の方法。
【請求項１２】
請求項１に記載の方法であって、該方法は、
ａ．前記Ｅメールメッセージに含まれる１つ以上のＵＲＬを決定するステップと、
ｂ．該１つ以上のＵＲＬが信頼されるサーバと関連づけられるか否かを決定するステップと、
ｃ．該１つ以上のＵＲＬの各々が、信頼されるサーバと関連づけられる場合、該Ｅメールが、フィッシングＥメールである可能性がより低いことを反映するように前記スコアを最適化するステップと、
ｄ．該１つ以上のＵＲＬのすべてが、信頼されるサーバと関連づけられていない場合、該Ｅメールが、フィッシングＥメールである可能性がより高いことを反映するようにリスクスコアを最適化するステップと
をさらに含む、方法。
【請求項１３】
前記スコアは、ヘッダスコアとＵＲＬスコアとから構成される、請求項９に記載の方法。
【請求項１４】
前記ＵＲＬスコアは、前記ＵＲＬと関連づけられるＨＴＭＬタグに基づいて調整される、請求項１３に記載の方法。
【請求項１５】
前記ヘッダスコアは、前記Ｅメールメッセージに含まれるＩＰアドレスと関連づけられる発信国に基づいて調整される、請求項１３に記載の方法。
【請求項１６】
前記Ｅメールメッセージは、Ｅメールクライアントによって受信される、請求項１に記載の方法。
【請求項１７】
前記ＥメールメッセージがＥメール受信者に送られる前に、前記決定するステップが起こる、請求項１に記載の方法。
【請求項１８】
前記決定するステップと関連づけられる情報を報告するステップをさらに含む、請求項１に記載の方法。
【請求項１９】
フィッシングＥメールを決定するための方法であって、該方法は、
ａ．１つ以上の実体と関連づけられる記述内容を保存するステップであって、該内容は、少なくともドメイン名およびキーワードを含む、ステップと、
ｂ．Ｅメールを受信するステップと、
ｃ．該Ｅメールから記述内容を取出すステップと、
ｄ．該取出された記述内容と該保存された記述内容との間の比較に基づいて、該Ｅメールが、関連づけられ得る第１の実体を決定するステップと、
ｅ．該ＥメールからＵＲＬを取出すステップと、
ｆ．該ＵＲＬと関連づけられる第２の実体を決定するステップと、
ｇ．該第１の実体と該第２の実体との間の比較に基づいて、該ＥメールがフィッシングＥメールであるか否かを決定するステップと
を包含する、方法。
【請求項２０】
前記ＵＲＬと関連づけられる第２の実体を決定する前記ステップは、該ＵＲＬと関連づけられるＩＰアドレスを決定するステップを含む、請求項１９に記載の方法。
【請求項２１】
前記ＩＰアドレスは、ＤＮＳサーバに問合せることによって決定される、請求項２０に記載の方法。
【請求項２２】
請求項１９に記載の方法であって、前記１つ以上の実体と関連づけられる記述内容を保存するステップは、
ａ．実体と関連づけられるキーワードおよびドメイン名を決定するために、ユーザに対してインタフェースを提供するステップと、
ｂ．該実体と関連づけられるキーワードを該ユーザによって決定するステップと、
ｃ．該実体と関連づけられるドメイン名を該ユーザによって決定するステップと、
ｄ．実体情報、該関連づけられたキーワード、および該関連づけられたドメイン名を保存するステップと
を含む、方法。
【請求項２３】
前記実体、キーワード、およびドメイン名の情報は、データベースに保存される、請求項２２に記載の方法。
【請求項２４】
信頼されるサーバの１つ以上のインターネットプロトコル（ＩＰ）アドレスを信頼されるユニフォームリソースロケータ（ＵＲＬ）と関連づけるための方法であって、該方法は、
ａ．該信頼されるＵＲＬを受信するステップと、
ｂ．該信頼されるＵＲＬを含む第１の問合せをドメインネームサーバ（ＤＮＳ）に提出するステップと、
ｃ．該ＤＮＳから第１のＩＰアドレスを受信するステップと、
ｄ．該第１のＩＰアドレスを該信頼されるＵＲＬと関連づけ、該関連を保存するステップと、
ｅ．第１の所定の時間量が経過した後に、該信頼されるＵＲＬを含む第２の問合せを該ＤＮＳに提出するステップであって、該第１の所定の時間量は、該ＤＮＳから受信された活動時間（ＴＴＬ）値の関数である、ステップと、
ｆ．該ＤＮＳから第２のＩＰアドレスを受信するステップと、
ｇ．該第２のＩＰアドレスを該信頼されるＵＲＬと関連づけ、該関連を保存するステップと
を包含する、方法。
【請求項２５】
前記信頼されるＵＲＬを受信する前記ステップは、データベース問合せの結果として、該信頼されるＵＲＬを受信するステップを含む、請求項２４に記載の方法。
【請求項２６】
１つ以上のＩＰアドレス、ＴＴＬ値、および前記信頼されるＵＲＬをデータベースに保存するステップをさらに含む、請求項２４に記載の方法。
【請求項２７】
第２の事前設定された時間量が経過した後に、ＩＰアドレスを前記信頼されるＵＲＬから関連を解除するステップをさらに含む、請求項２４に記載の方法。
【請求項２８】
前記第２の事前設定された時間量は、ＴＴＬ値の関数として決定される、請求項２７に記載の方法。
【請求項２９】
前記信頼されるサーバと関連づけられる実体から、前記信頼されるＵＲＬと関連づけられるＩＰアドレスを受信するステップをさらに含む、請求項２４に記載の方法。
【請求項３０】
前記実体は、信頼されるサーバの所有者である、請求項２９に記載の方法。
【請求項３１】
ステップｅからステップｇは、１回以上繰り返される、請求項２４に記載の方法。
【請求項３２】
ユニフォームリソースロケータ（ＵＲＬ）のホストと関連づけられる信頼のレベルをユーザに伝達するための方法であって、該方法は、
ａ．該ＵＲＬを受信するステップと、
ｂ．該ＵＲＬと関連づけられるインターネットプロトコル（ＩＰ）アドレスを決定するステップと、
ｃ．１つ以上の要因に基づいて該ＵＲＬの該ホストと関連づけられる該信頼のレベルを決定するステップであって、少なくとも１つの要因は、該ＩＰアドレスに基づく、ステップと、
ｄ．該ホストと関連づけられる該信頼のレベルを該ユーザに伝達するステップと
を包含する、方法。
【請求項３３】
前記ＵＲＬは、インターネットウェブブラウザのアドレスフィールドに入力されるＵＲＬである、請求項３２に記載の方法。
【請求項３４】
要因は、前記ＵＲＬについて問合わされたＥＳｃａｍサーバから受信される前記信頼のレベルである、請求項３２に記載の方法。
【請求項３５】
前記ＵＲＬと関連づけられるＩＰアドレスを決定する前記ステップは、該ＵＲＬについてＤＮＳに問合せるステップを含む、請求項３２に記載の方法。
【請求項３６】
要因は、前記ＩＰアドレスの関数として決定される前記ホストの地理的な位置である、請求項３２に記載の方法。
【請求項３７】
前記ＵＲＬと関連づけられるＩＰアドレスを決定する前記ステップは、データベースから該ＩＰアドレスを引出すステップを含む、請求項３２に記載の方法。
【請求項３８】
前記ユーザに伝達する前記ステップは、前記ＵＲＬと関連づけられる前記信頼のレベルを示すメッセージを該ユーザに対して表示することによって、前記ホストと関連づけられる該信頼のレベルを該ユーザに伝達するステップを含む、請求項３２に記載の方法。
【請求項３９】
前記ユーザに伝達する前記ステップは、前記ＵＲＬと関連づけられる前記信頼のレベルを示すアイコンまたはダイアログボックスを該ユーザに対して表示することによって、前記ホストと関連づけられる該信頼のレベルを該ユーザに伝達するステップを含む、請求項３２に記載の方法。
【請求項４０】
文書の中のリンクを処理するための方法であって、該方法は、
ａ．第１のリンクにおいて使用可能な第１の文書を引出すステップであって、該第１のリンクは、第１のホスト名を含む、ステップと、
ｂ．第２の文書への第２のリンクを識別するために、該第１の文書を構文解析するステップであって、該第２のリンクは、該第１のホスト名と同じホスト名を含む、ステップと、
ｃ．該第２の文書が、ログイン情報、パスワード情報、または金融情報などの機密情報を要求するか否かを決定するために、該第２の文書を検査するステップと、
ｄ．該第２の文書が機密情報を要求する場合、第１のリストに該第２のリンクを保存するステップと
を包含する、方法。
【請求項４１】
前記第２の文書が機密情報を要求しない場合、第２のリストに前記第２のリンクを保存するステップをさらに含む、請求項４０に記載の方法。
【請求項４２】
文書は、ＨＴＭＬ互換の文書であり、リンクは、ユニフォームリソースロケータ（ＵＲＬ）である、請求項４０に記載の方法。
【請求項４３】
文書は、ＸＭＬ互換の文書であり、リンクは、ユニフォームリソースロケータ（ＵＲＬ）である、請求項４０に記載の方法。
【請求項４４】
第２の文書への第２のリンクを決定するために、前記第１の文書を構文解析する前記ステップは、該第２の文書へのリンクを含む、＜Ａ＞ＨＴＭＬタグを決定するステップを含む、請求項４２に記載の方法。
【請求項４５】
前記第２の文書が機密情報を要求するか否かを決定するために、該第２の文書を検査する前記ステップは、該第２の文書が＜ＦＯＲＭ＞タグまたは＜ＩＮＰＵＴ＞タグなどの１つ以上の所定のＨＴＭＬタグを含むか否かを決定するために、該第２の文書を検査するステップを含む、請求項４２に記載の方法。
【請求項４６】
前記機密情報は、前記第２の文書に含まれる安全なログイン形式によって要求される、請求項４５に記載の方法。
【請求項４７】
前記機密情報は、前記第２の文書に含まれる安全なログイン形式によって要求される、請求項４０に記載の方法。
【請求項４８】
文書の中のリンクを処理するための方法であって、該方法は、
ａ．第１のリンクにおいて使用可能な第１の文書を引出すステップであって、該第１のリンクは、第１のホスト名を含む、ステップと、
ｂ．他の文書への１つ以上のリンクを識別するために、該第１の文書を構文解析するステップであって、各識別されたリンクは、識別されたホスト名を含み、該１つ以上の識別されたリンクは、第２のホスト名を含む第２のリンクを少なくとも含む、ステップと、
ｃ．該１つ以上の識別されたリンクに対して、該第１のホスト名と該識別されたホスト名とが同じか否かを決定するステップと、
ｄ．該第１のホスト名と該識別されたホスト名とが同じ場合、第１のリストに該識別されたリンクを保存するステップと、
ｅ．該第１のホスト名と該識別されたホスト名とが同じでない場合、第２のリストに該識別されたリンクを保存するステップと
を包含する、方法。
【請求項４９】
検査されるリンクが、ログイン情報、パスワード情報、または金融情報などの機密情報を要求する文書を参照するか否かを決定するために、前記第１のリストの１つ以上の該リンクを検査するステップをさらに含む、請求項４８に記載の方法。
【請求項５０】
請求項４９に記載の方法であって、該方法は、
ａ．前記検査されるリンクによって参照される前記文書が、機密情報を要求する場合、第３のリストに該検査されるリンクを保存するステップと、
ｂ．該検査されるリンクによって参照される該文書が、機密情報を要求しない場合、第４のリストに該検査されるリンクを保存するステップと
をさらに含む、方法。
【請求項５１】
文書は、ＨＴＭＬ互換の文書であり、リンクは、ユニフォームリソースロケータ（ＵＲＬ）である、請求項４８に記載の方法。
【請求項５２】
文書は、ＸＭＬ互換の文書であり、リンクは、ユニフォームリソースロケータ（ＵＲＬ）である、請求項４８に記載の方法。
【請求項５３】
第２の文書への前記第２のリンクを決定するために、前記第１の文書を構文解析する前記ステップは、該第２の文書へのリンクを含む、＜Ａ＞ＨＴＭＬタグを決定するステップを含む、請求項５１に記載の方法。
【請求項５４】
第２の文書が機密情報を要求するか否かを決定するために、該第２の文書を検査する前記ステップは、該第２の文書が＜ＦＯＲＭ＞タグまたは＜ＩＮＰＵＴ＞タグなどの１つ以上の所定のＨＴＭＬタグを含むか否かを決定するために、該第２の文書を検査するステップを含む、請求項５１に記載の方法。
【請求項５５】
前記機密情報は、前記第２の文書に含まれる安全なログイン形式によって要求される、請求項５４に記載の方法。
【請求項５６】
前記機密情報は、前記第２の文書に含まれる安全なログイン形式によって要求される、請求項４８に記載の方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公表番号】特表２００９−５１８７５１（Ｐ２００９−５１８７５１Ａ）
【公表日】平成２１年５月７日（２００９．５．７）
【国際特許分類】
【出願番号】特願２００８−５４４５０３（Ｐ２００８−５４４５０３）
【出願日】平成１８年１２月６日（２００６．１２．６）
【国際出願番号】ＰＣＴ／ＵＳ２００６／０４６６６５
【国際公開番号】ＷＯ２００７／０７０３２３
【国際公開日】平成１９年６月２１日（２００７．６．２１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
【出願人】（５０４３５９７８７）デジタル エンボイ， インコーポレイテッド (9)
【Ｆターム（参考）】
【公表日】平成２１年５月７日（２００９．５．７）
【国際特許分類】
【出願日】平成１８年１２月６日（２００６．１２．６）
【国際出願番号】ＰＣＴ／ＵＳ２００６／０４６６６５
【国際公開番号】ＷＯ２００７／０７０３２３
【国際公開日】平成１９年６月２１日（２００７．６．２１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
【出願人】（５０４３５９７８７）デジタル エンボイ， インコーポレイテッド (9)
【Ｆターム（参考）】
[ Back to top ]