IT-Management in der Praxis Seminar ? WS 2004/05 - am ...

Beispiel SpamAssassin 83
3.3 Regeln
SpamAssassin verfügt über einen fest eingebauten Satz von Regeln, kann aber auch um weitere
Regeln ergänzt werden. Die Regeln überprüfen dabei sowohl den Header als auch den Body der
E-mail. So wird der Header auf Einhaltung der Internet-Standards überprüft, der Body auf
Phrasen, die häufig in Spam vorkommen (z.B. Make Money fast) aber auch auffällige HTML-
Mails (JavaScript, fehlende End-Tags um Wörter zu zerhacken, etc.) führen zu einer hohen
Bewertung. Weitere Regeln prüfen auf Vorhandensein in einer Black- bzw. Whitelist. Diese
Überprüfungen werden meist online bei einem externen Dienstleister (wie z.B. SpamCop)
durchgeführt und werden daher in SpamAssassin als Netzwerktests bezeichnet.
Für jede Regel lassen sich 4 unterschiedliche Scores festlegen:
• ohne Bayes, ohne Netzwerktests
• ohne Bayes, mit Netzwerktests
• mit Bayes, ohne Netzwerktests
• mit Bayes, mit Netzwerktests
Die Scores lassen sich zentral für das ganze System oder aber per Benutzer festlegen (in
der Datei: .spamassassin/user prefs im Homeverzeichnis des Benutzers). Falls keine Homeverzeichnisse
existieren ist es auch möglich die Scores in einer SQL-Datenbank (MySQL,
PostgreSQL, ODBC) zu speichern.
Ein Test, der beispielsweise überprüft, ob das Subject einer E-mail vollständig Großgeschrieben
wurde sieht folgendermaßen aus:
header SUBJ_ALL_CAPS eval:subject_is_all_caps()
describe SUBJ_ALL_CAPS Subject is all capitals
Score SUB_ALL_CAPS 0.550 0.567 0 0
Und als weiteres Beispiel ein Test, der überprüft ob die Absenderadresse (From:) mit Ziffern
beginnt:
header FROM_STARTS_WITH_NUMS From =~ /^\d\d/
describe FROM_STARTS_WITH_NUMS From: starts with nums
Score FROM_STARTS_WITH_NUMS 0.390 1.574 1.044 0.579
3.4 Bayes’sches Lernen
Der Bayes-Filter basiert auf den Arbeiten von Paul Graham [Grah02, Grah03] sowie den
Verbesserungen (chi-quadrat Verteilung) von Gary Robinson [Robi03].
Das Bayes-Modul in SpamAssassin ist relativ unabhängig von dem bisherigen regelbasierten
System. Es liefert aber genauso wie alle anderen Tests einen Wert zurück, der zu dem Gesamtwert
addiert wird. Dies erfolgt über die BAYES *-Tests. BAYES 00 ist erfüllt, wenn die
Spamwahrscheinlichkeit zwischen 0% und 1% liegt. Dies führt bei der Bewertung (Score) zu
einem Abzug von 1,665 oder 2,599 (je nach verwendetem Score). BAYES 99 ist erfüllt, wenn
die Spamwahrscheinlichkeit zwischen 99% und 100% liegt. Dies führt zu einer Erhöhung des
Scores um 1,886 oder 4,07.
Seminar – IT-Management in der Praxis