211service.com
En bedre måde at skyde spam ned på
Ny software udviklet på Georgia Institute for Technology kan identificere spam, før den rammer mailserveren. Systemet, kendt som SNARE (Spatio-temporal Network-level Automatic Reputation Engine), bedømmer hver indkommende e-mail baseret på en række nye kriterier, der kan hentes ud fra en enkelt pakke data. De involverede forskere siger, at det automatiserede system belaster netværket mindre og minimerer behovet for menneskelig indgriben, samtidig med at det opnår samme nøjagtighed som traditionelle spamfiltre.
Det er ikke nemt at adskille spam fra legitim e-mail, også kendt som skinke. Det er dels på grund af den store mængde meddelelser, der skal behandles, og dels på grund af e-mail-forventninger: Brugere ønsker, at deres e-mail ankommer minutter, hvis ikke sekunder, efter at den blev sendt. At analysere indholdet af hver e-mail kan være en pålidelig metode til at identificere spam, men det tager for lang tid, siger Nick Feamster , en assisterende professor ved Georgia Tech, der overvågede SNARE-forskningen. At lade spam strømme ufiltreret ind i vores indbakker er heller ikke en fornuftig mulighed. Ifølge en rapport udgivet af e-mail-sikkerhedsfirmaet MessageLabs , spam udgjorde 90,4 procent af al e-mail sendt i juni.
Hvis du ikke er bekymret for spam, vil jeg foreslå, at du slukker dit spamfilter i cirka en time og ser, hvad der sker, siger Sven Krasser, seniordirektør for data-mining research hos McAfee. Firmaet Santa Clara, CA, leverede rådata til analyse af Georgia Tech-teamet.
Holdet analyserede 25 millioner e-mails indsamlet af TrustedSource.org , en onlinetjeneste udviklet af McAfee til at samle data om tendenser inden for spam og malware. Ved at bruge disse data opdagede Georgia Tech-forskerne adskillige egenskaber, der kunne hentes fra en enkelt pakke data og bruges til effektivt at identificere uønsket post. For eksempel afslørede deres forskning, at skinke har en tendens til at komme fra computere, der har mange kanaler eller porte, der er åbne for kommunikation. Bots, automatiserede systemer, der ofte bruges til at udsende masser af spam, har en tendens til kun at holde e-mail-porten åben, kendt som Simple Mail Transfer Protocol-porten.
Ydermere fandt forskerne ud af, at de ved at plotte den geodætiske afstand mellem afsenderens og modtagerens internetprotokol (IP)-adresser – målt på jordens buede overflade – kunne afgøre, om beskeden var junk. (Ligesom ethvert hus har en adresse, har hver computer på internettet en IP-adresse, og den adresse kan kortlægges til et geografisk område.) Spam, fandt forskerne, har en tendens til at rejse længere end skinke. Spammere har også en tendens til at have IP-adresser, der numerisk er tæt på andre spammeres.
Dean Malmgren, en ph.d.-kandidat ved Northwestern University, hvis arbejde omfatter at identificere nye metoder til at identificere spam, siger, at han finder forskningen interessant. Men han undrer sig over, hvor robust SNARE vil være, når dens metode er almindeligt kendt. IP-adresser, bemærker han, er nemme at forfalske. Så hvis spammere fik nys om, hvordan SNARE fungerer, kan de for eksempel bruge en falsk IP-adresse tæt på modtagerens.
Georgia Tech-forskerne kiggede også på det autonome servernummer (AS) forbundet med en e-mail. (Et AS-nummer tildeles hvert uafhængigt drevet netværk, uanset om det er en internetudbyder eller et campusnetværk.) Da forskerne vidste, at en betydelig procentdel af spam kommer fra en håndfuld autonome servernumre, besluttede forskerne at integrere denne egenskab i SNARE, også.
Slutresultatet var et system, der var i stand til at detektere spam 70 procent af tiden med en falsk positiv rate på 0,3 procent. Feamster siger, at det kan sammenlignes med eksisterende spamfiltre, men bemærker, at når det bruges sammen med eksisterende systemer, burde processen være langt mere effektiv.
Overvej SNARE som en første forsvarslinje, siger Shuang Hao , en ph.d.-kandidat i datalogi ved Georgia Institute of Technology og en SNARE-forsker. Hver af egenskaberne i SNARE-systemet bidrager til den samlede score for en e-mail. Hidtil er SNARE kun blevet implementeret i et forskningsmiljø, men hvis det bruges i en virksomhedsindstilling, kan netværksadministratoren sætte regler for, hvad der sker med e-mail baseret på dens SNARE-score. For eksempel kan e-mail, der scorer dårligt, blive droppet, før den overhovedet rammer mailserveren. Hao siger, at dette kan spare betydelige ressourcer, da mange virksomheder har en politik, der kræver, at de beholder en kopi af hver e-mail, der rammer serveren, uanset om den er uønsket eller ej. Beskeder med middelmådige resultater kunne vurderes yderligere ved hjælp af traditionelle indholdsfiltre.
Hao hjælper i øjeblikket Yahoo med at forbedre sit spamfilter baseret på, hvad han har lært under udviklingen af SNARE. Han fortæller, at Cisco også har udtrykt interesse for arbejdet.
Det er ret smart på den måde, at de kombinerer en masse data, der er billige at bruge, siger John Levine , formand for Koalition mod uopfordret kommerciel e-mail og en senior teknisk rådgiver for Arbejdsgruppe mod misbrug af beskeder , et konsortium af virksomheder, der er involveret i at bekæmpe spam. På den anden side synes jeg, at nogle af deres konklusioner er lidt for optimistiske. Spammere er ikke dumme; hver gang du har en populær ordning [til at identificere spam], vil de omgå det.
Forskerholdet vil præsentere deres arbejde om SNARE på Usenix Security Conference næste måned i Montreal. I fremtiden håber Feamster at kunne anvende deres resultater på andre computersikkerhedsproblemer, såsom phishing-e-mails, hvor afsenderen foregiver at være fra en betroet institution til modtagere, når de afslører deres adgangskoder.