Die komplette MONITOR-Ausgabe 5/2003 können Sie

NETZ & TELEKOM SPAM - TEIL 2
Abb. 5: Spam und
Ham Häufigkeitstabelle
getaucht sind (die Spam Tabelle verzeichnet nur
die Häufigkeit für das Auftauchen in Spam, die
Ham Tabelle entsprechend die Häufigkeit für
das Auftreten in erwünschten Nachrichten).
Abb. 5 zeigt einige stark vereinfachte Beispiele
von Spam und Ham Häufigkeitstabellen.
Um eine Nachricht zu analysieren, wird sie
in Zeichen aufgespaltet und jedes Zeichen mit
den Werten in beiden Tabellen verglichen. Eine
statistische Analyse des Zeichensets mit dem
höchsten Häufigkeitswert in der Spam Kategorie
und die Analyse des (davon verschiedenen)
Sets mit dem höchsten Wert in der Ham Kategorie,
ergeben dann zusammen genommen
die Wahrscheinlichkeit, mit der es sich bei der
vorliegenden Nachricht um Spam handelt. Die
Wahrscheinlichkeit kann dabei nahezu 100 betragen
(dann erscheinen praktisch alle Token in
der Spam und keines in der Ham Tabelle) bis zu
1 (um sicher zu sein, dass es sich um Ham handelt).
Die Erfahrung mit der Methode hat bereits
gezeigt, dass sich die Mehrzahl der analysierten
Nachrichten entweder als Spam oder
Ham bestimmen lassen. Mittelwerte sind nur
sehr selten aufgetreten.
Als Beispiel soll die Nachricht in Abb. 6 dienen,
die in strenger Hinsicht als Spam kategorisiert
werden kann, da die überwiegende Token
Zahl sehr hohe Werte in der Spam Tabelle aufweist
und keinerlei vergleichbar hohen Wert in
der Ham Tabelle. Ein enormer Vorteil der beiden
vorgestellten Technologien DCC und STA
liegt im geringen Administrationsaufwand. Einmal
installiert, arbeiten beide weit gehend
„hands-off“ und benötigen wenig manuelle Intervention.
Abb. 7: Spam Mailbox
Effektivität von STA und DCC
Um die Effektivität von STA und DCC zu illustrieren,
ist in Abb. 7 die Mailbox Liste eines so
genannten Honey Pot Accounts dargestellt, der
dem Einsammeln von Spam dient. E-Mails, die
an diesen Account geschickt werden, passieren
die BorderWare MXtreme Mail Firewall.
MXtreme verfügt über beide Technologien, arbeitet
also sowohl mit Statistical Token Analysis
als auch mit Distributed Checksum Clea-
Abb. 6: Beispiel für STA Input
ringhouse. Wird eine Nachricht als Spam identifiziert,
kann sie entweder zurück gewiesen, in
einem separaten Bereich in Quarantäne genommen
werden, markiert und im „Subject“
mit einem Kommentar versehen werden oder
mit einer zusätzlichen Information im Header
an den Empfänger weiter geleitet werden. Die
Anmerkungen und Kommentare können genutzt
werden, um die Nachricht in einem speziellen
Ordner abzulegen. Die Nachrichten in
Abb. 7 wurden beispielsweise mit einem Kommentar
versehen in der Inbox des Anwenders
belassen.
Bei einem Gesamtaufkommen von 190 Spam
E-Mails in einem Testzeitraum von 10 Tagen,
konnte lediglich eine Spam Nachricht die DCC
und STA Kontrollen passieren.
Kommerzieller Einsatz
von STA and DCC
Sowohl STA als auch DCC sind vergleichsweise
junge Technologien. Für beide gibt es Public
Domains und infolgedessen bisher relativ wenig
kommerzielle Einsatzgebiete. Einer der Pioniere
in diesem Bereich ist die MXtreme Mail
Firewall von BorderWare Technologies Inc.
MXtreme bietet flexible und umfassende Anti-
Spam Funktionen durch die Kombination der
beiden traditionellen Filtermethoden mit STA
und DCC.
Über die Implementierung von STA hinaus
bietet BorderWare Technologies zusätzliche
Spam und Ham Häufigkeitstabellen aus eigenen
Analysen, gekoppelt mit einem (selbst-)lernenden
Algorithmus. Die Ham Häufigkeitstabelle
wird kontinuierlich auf der Basis von Outbound
E-Mails erweitert. Dabei werden E-Mails
von Unternehmen und Organisationen als legitim
gewertet. Zusätzlich werden die Spam Tabellen
um Spam erweitert, der mit anderen Methoden
aufgedeckt wurde. Nach einer Einführungsperiode
werden die STA Häufigkeitstabellen
an die E-Mail Konfiguration und Sprache
des jeweiligen Unternehmens angepasst (STA
funktioniert sprachen unabhängig). Eine ausführliche
Beschreibung der MXtreme Anti-Spam
Funktionen finden Sie unter [BorderWare 2002].
MXtreme bietet darüber hinaus E-Mail Verschlüsselung,
sicheres Web Mail, E-Mail Policy
Management und Virus Scanning. Weitere Informationen
zu MXtreme finden Sie unter
http://www.mxtreme.com.
Referenzen
BorderWare 2002:Mxtreme Anti-Spam
Capabilities, ein White Paper von Border-
Ware Technologies
DCC Home:Distributed Checksum
Clearinghouse Home Page,
http://www.rhyolite.com/anti-spam/dcc/
Graham 2002:A Plan for Spam,
http://www.paulgraham.com/spam.html
42 monitor 5/2003