可疑邮件检测装置、可疑邮件检测方法以及可疑邮件检测程序制造方法及图纸

运用部(120)计算作为检查对象的电子邮件的对象邮件的特征量。接下来，运用部基于所述对象邮件的特征量从状态定义文件中获取所述对象邮件的状态标识符。接下来，运用部从1个以上的邮件线程中选择所述对象邮件所属的邮件线程作为对象线程，将所述对象邮件的状态标识符追加到所述对象线程的状态组。接下来，运用部判定追加了所述对象邮件的状态标识符之后的所述对象线程的状态组是否符合检测规则。在所述对象线程的所述状态组符合所述检测规则的情况下，运用部产生警报。

【技术实现步骤摘要】
【国外来华专利技术】可疑邮件检测装置、可疑邮件检测方法以及可疑邮件检测程序
本专利技术涉及用于检测可疑的电子邮件的技术。
技术介绍
针对性攻击已成为严重威胁。针对性攻击是以特定组织或特定的人为对象，以窃取机密信息等为目的的攻击。在针对性攻击中，针对性邮件攻击仍然是重大威胁之一。针对性邮件攻击是基于电子邮件的攻击。根据趋势科技(TrendMicro)的调查得到如下结果：由针对性邮件攻击造成的恶意软件(malware)感染高达针对企业的攻击整体的76％。因此，从防止使受害增加的精心的网络攻击的观点来看，防止针对性邮件攻击很重要。在这样的背景下，已研究了用于通过检测针对性攻击邮件来防止组织遭受针对性邮件攻击的技术。专利文献1中公开了如下技术：通过将接收邮件的标题与已学习的正规标题进行比较来判断接收邮件是否为可疑的电子邮件。专利文献2中公开了如下技术：为了判断电子邮件附带的文件是否可疑而确定文件的格式，判定确定出的格式是否为被允许的格式。专利文献3中公开了如下技术：在新邮件的标题信息与过去邮件的标题信息的相似度低的情本文档来自技高网...

【技术保护点】
1.一种可疑邮件检测装置，具备：/n特征量计算部，计算作为检查对象的电子邮件的对象邮件的特征量；/n状态获取部，基于所述对象邮件的特征量，从1个以上的状态标识符与1个以上的特征量彼此对应关联的状态定义文件中获取所述对象邮件的状态标识符；/n线程构筑部，从1个以上的邮件线程中选择所述对象邮件所属的邮件线程作为对象线程，将所述对象邮件的状态标识符追加到所述对象线程的状态组；以及/n线程检查部，判定追加了所述对象邮件的状态标识符之后的所述对象线程的状态组是否符合检测规则，该检测规则示出可疑邮件所属的邮件线程中的状态模式。/n

【技术特征摘要】
【国外来华专利技术】1.一种可疑邮件检测装置，具备：
特征量计算部，计算作为检查对象的电子邮件的对象邮件的特征量；
状态获取部，基于所述对象邮件的特征量，从1个以上的状态标识符与1个以上的特征量彼此对应关联的状态定义文件中获取所述对象邮件的状态标识符；
线程构筑部，从1个以上的邮件线程中选择所述对象邮件所属的邮件线程作为对象线程，将所述对象邮件的状态标识符追加到所述对象线程的状态组；以及
线程检查部，判定追加了所述对象邮件的状态标识符之后的所述对象线程的状态组是否符合检测规则，该检测规则示出可疑邮件所属的邮件线程中的状态模式。


2.根据权利要求1所述的可疑邮件检测装置，其中，
所述可疑邮件检测装置还具备邮件检查部，该邮件检查部判定所述对象邮件是否满足单独要件，该单独要件为与可疑邮件相符合的电子邮件单独满足的要件。


3.根据权利要求2所述的可疑邮件检测装置，其中，
在所述对象邮件不满足所述单独要件的情况下，所述线程检查部判定追加了所述对象邮件的状态标识符之后的所述对象线程的状态组是否符合所述检测规则。


4.根据权利要求1至权利要求3中的任意一项所述的可疑邮件检测装置，其中，
在所述对象邮件所属的邮件线程不存在的情况下，所述线程构筑部生成所述对象邮件所属的邮件线程作为对象线程，将所述...

【专利技术属性】
技术研发人员：西川弘毅，山本匠，河内清人，
申请(专利权)人：三菱电机株式会社，
类型：发明
国别省市：日本;JP