IT-Management in der Praxis Seminar ? WS 2004/05 - am ...

82 Nils L. Roßmann: Anti-Spam Techniken
NS steht für die Anzahl der Spam-Mails und NH für die Anzahl der Ham-Mails aus der
Trainingsmenge.
Beim Analysieren einer neuen E-mail wird mit Hilfe der Bayes Formel ermittelt, wie wahrscheinlich
es ist, dass es sich um eine Spam-Mail handelt. Dazu wählt der Filter aus jeder Email
M = {w1, w2, ..., wN} automatisch die n aussagekräftigsten Wörter { ˙w1, ˙w2, ..., ˙wn} ⊆ M
aus. Wörter sind aussagekräftig, wenn sie häufig in Spam-, bzw. Ham-Mails vorkommen. Also
P ( ˙wi|C = S) ≈ 1 bzw. P ( ˙wi|C = S) ≈ 0 ist. n sollte dabei nicht zu groß gewählt werden (ca.
15-20 Wörter), da ansonsten die Gefahr besteht, dass größere Spam-mails, die größtenteils
unverfänglichen Text enthalten, übersehen werden (siehe: [Grah03]).
P (C = S| P (C = S)
W = M) =
n
P (W = ˙wi|C = S)
i=1
P (C = S) n
P (W = ˙wi|C = S) + P (C = H) n
P (W = ˙wi|C = H)
i=1
Bayes basierte Filter haben den großen Vorteil, dass sie sich an neue Spam-Typen schnell
anpassen können und dass im Vorfeld keine Regeln erstellt werden müssen.
Diesen Vorteil erkauft man sich allerdings mit dem Nachteil, den Filter erst einmal mit einer
großen Anzahl (mehrere hundert) möglichst aktueller Ham- und Spam-Mails trainieren
zu müssen. Außerdem muss die Wortdatenbank ständig aktualisiert werden. Es sollten also
möglichst alle falsch klassifizierten E-mails als neue Trainingsdaten verwendet werden.
3 Beispiel SpamAssassin
3.1 Warum SpamAssassin?
SpamAssassin ist zurzeit der populärste Spam-Filter für den Einsatz auf einem E-mail-Server.
Er ist modular aufgebaut und kann vom Benutzer an die eigenen Wünsche angepasst werden.
Neben regelbasierten Filtern unterstützt es außerdem Blacklisting und verfügt über ein Bayes-
Modul. SpamAssassin kann sowohl an den MTA als auch an den MDA gekoppelt werden.
Außerdem besteht die Möglichkeit ihn als POP3-Proxy zu verwenden.
SpamAssassin steht unter der GNU Public License und ist somit für jeden frei verfügbar. Eine
ausführlichere Beschreibung findet man auf der Homepage von SpamAssassin [Spa] bzw. in
dem Buch ” SpamAssassin“ aus dem O’Reilly Verlag [Schw04].
3.2 Prinzip
SpamAssassin überprüft jede E-mail anhand einer Vielzahl von Regeln. Erfüllt diese die Regelbedingung,
wird die Gewichtung (positiv oder negativ) der Regel zu dem Gesamtwert
(Score) der E-mail addiert. Je höher dieser Wert ist, desto eher handelt es sich um Spam.
Diese Bewertung wird im Header der E-mail eingetragen. Außerdem kann noch eine Schwelle
festgelegt werden, ab der SpamAssassin die E-mail als Spam klassifiziert:
X-Spam-Status: Yes, hits=13.0 tag1=3.0 tag2=5.1 kill=5.1 tests=BAYES_99,
DATE_IN_FUTURE_24_48, HTML_70_80, HTML_FONTCOLOR_BLUE, HTML_FONTCOLOR_RED,
HTML_FONT_BIG, HTML_MESSAGE, HTML_TITLE_UNTITLED, IMPOTENCE,
MIME_BASE64_TEXT, MIME_HTML_NO_CHARSET, MIME_HTML_ONLY, PENIS_ENLARGE
X-Spam-Level: ************
Seminar – IT-Management in der Praxis
i=1