1. Икономически Университет –
гр. Варна
по дисциплината: Безопасност и защита
на тема: Spam – определение, класификация и защита
от Spam
Изготвила: Проверили:
Христина Иванова доц. д-р Стефан Дражев
Балканова Ф№: 10491 х. ас. Видилина Кръстева
Специалност: “Информатика”
Група: 59
Курс: V
Варна 2013
2. СЪДЪРЖАНИЕ
1. История и дефиниция на спама Стр. 3-4
2. Видове спам Стр. 4-7
3. Методи за борба със спама Стр. 7-10
4. Видове филтри Стр. 10-12
5. Анти-спам инструменти Стр. 12-14
6. Стратегия за борба срещу спама Стр. 14-17
7. Специфични критерии при избора на анти-спам решения Стр. 17-18
8. Анализ на спама Стр. 18-20
9. Анализ на поръчителя Стр. 20-21
10. Техника на спам-атаките Стр. 21-25
11. Извод Стр. 25
12. Използвани източници Стр. 26
2
3. История и дефиниция на спама
Първият спам е получен през Май 1978 г. Съобщението е съдържало реклама и е
било разпратено до всички електронни адреси по западния бряг на САЩ (около 600
потребителя). През 1978 Интернет реално още не е съществувал, а е имало ARPANet.
Тази мрежа е била от по-малко от 10000 души, които са имали мегаскъпи компютри с
поделено процесорно време и работели за големи кооперации и университети.
“Спам” не е българска дума. Правилният превод на български е “нежелан” и
включва и вида “спам” - “нежелана поща”, “нежелано съдържание”, “нежелано
свързване”, “нежелано съобщение” и др. под. Почти всички вече са свикнали с
разбирането за спам като за нещо рекламно, което ти пращат в електронната поща. Но
по-общо погледнато спамът далеч не е само това. Спам е, когато ти пишат коментари
в блога, каквито не само не си пожелал, но и по принцип не желаеш, когато ти
запълват свободното за редактиране уики с купища препратки към сайтове, с които
изобщо нямаш връзка, когато в програмата си за моментни съобщения получаваш
реклами или някакви обяснения за вируси или “писма на късмета”, а също така и
когато в пощенската си кутия вкъщи виждаш пъхнати рекламни листовки от фирми и
“безплатни” вестници с обяви, които не само не си поискал, но и нямаш начин да
престанеш да получаваш.
Една от основните дефиниции за спам е: да изпращаш много еднакви имейли на
различни хора, по такъв начин, че те да нямат друг избор, освен да го получат. Това
може да са реклами, търговски оферти, съобщения с неприлично или агресивно
съдържание, или каквото и да е друго, което е нежелано от получателя. В
Съединените Щати има точен юридически термин – нарича се UCE (unsolicited
commercial email) или в превод – непоискани търговски съобщения по електронната
поща, и се преследва от Закона.
Защо възниква нежеланата поща в Интернет? Най-честата причина е чисто и
просто търговска. Много писма съдържат реклами на най-различни продукти. Други
имат за цел да заразят компютъра ни с вируси и да се опитат да съберат информация
за банкови карти, пароли, лични данни и прочие. Има и такива, които го правят без
определена причина, просто за удоволствие, като по този начин ни губят времето, а то
струва пари в Интернет.
Спамът, особено този в съобщенията - електронни писма, моментни съобщения,
писма в новинарски групи, писма в пощенски групи - много често е комбиниран с
други две зловредни съдържания. Това са вирусите и залъгалките (”phishing”). Ако
3
4. няма вируси и няма залъгване, значи или става дума за масова реклама на иначе
неуспешен продукт, или под прикритието на успешен продукт ви се “пробутват”
линкове към спамърски сайтове.
Вирусите са най-често в прикачени файлове, които неопитните потребители на
уязвими операционни системи отварят необмислено. Много хора се подлъгват от
сигурността, която им дават антивирусните агенти в машините им и смело
задоволяват любопитството си, зареждайки поредния вирус в спам-писмо. На
практика няма нищо интересно за потребителя в каквото и да е спам-съдържание, а
такова “пробване” може да е само опасно. Златното правило е щом нещо ви прилича
на спам и особено, ако вече е класифицирано от спам-филтъра ви като такъв, значи
почти сигурно е нещо зловредно. Оставяте го в папката за спам-а или още по-добре
триете го веднага.
Залъгалките, “фишинг”-ът, пък са това, което ви кара сами да си дадете
поверителните данни. Вместо да ви пускат вирус, който да взема ценна информация
от файловете и от настройките ви или пък да ползва ресурси на машината ви,
спамърите ви пращат писмо, което на пръв поглед по всичко прилича официално
писмо от банката ви, например. В него учтиво ви казват, че им трябва името и
паролата ви за връзка към банката. Или пък са им нужни трите ви имена, номерът на
кредитната ви карта и датата на изтичането й, защото по някакво много неприятно
стечение на обстоятелствата и лична грешка точно вашите данни са загубени.
Видове спам
Позовавайки се на източници, които и в други реферати по същата тема са
използвани, може да разделим спама в четири категории:
Изпращане на рекламно съобщение до дори и един интернет потребител,
който не е изрично пожелал това. Всъщност, ако нещо задръства пощата ви,
надали за вас ще има значение дали сте сам, или има още сто хиляди като вас.
Изпращане до потребители на рекламни съобщения и поща със съдържание,
различно от това, за което те са заявили, че искат да получават. Ако например
дадете e-mail адреса си за да получавате новини за нови книги, а вместо това
получавате и реклами за нови порно сайтове, това отново е спам.
Изпращане до потребители на рекламни съобщения и поща с честота,
различна от обявената. Ако например се абонирате за месечна информация, а
получавате рекламни съобщения ежедневно, спамът отново е налице.
4
5. Включване на случайни хора в мейлинг листове, като им се предоставя
"възможността" да се отпишат. Това е най-досадния и нагъл тип спам. Тъй като в
Щатите, при условие че на жертвата е предоставена възможност да се отпише от
списъка, спамът не се преследва, някои хора използват това за да ви тормозят
"законно". Те не само че най-нахално ви включват в списъците на жертвите си, но
и "законно" изискват от вас да предприемате стъпки (т.е. да губите време и нерви)
за да се отписвате.
Спамът е зараза, която придобива все повече и повече публичност. Независимо от
изключително вредните последици, до които води, все още се практикува от много
рекламодатели и рекламни агенции. Спамът вреди и внушава отрицателни нагласи на
публичността. Спамът коства на бизнеса милиарди долари от гледна точка на
изгубена производителност, дължаща се на неволно изтриване на легитимни
електронни писма заедно със спама, кражба на лични данни, кражба на финансови
средства, загуби от интелектуална собственост, ненужно изразходвани ресурси,
претоварване на интернет канала, вируси, измами, лъжливи и подвеждащи реклами.
Различни видове спам са:
Спам с картинки
Спамът с картинки се появява през 2006г. и довежда до огромно увеличение на
спам e-mail-ите. Той разчита на това, че колкото и интелигентен да е компютърът
той все още не вижда. Компютърът проглежда благодарение на Оптичното
Разпознаване на Символи (OCR). OCR може лесно да бъде победен с помощта на
различни объркващи техники като:
- Неясен/размазан текст;
- Изграждане на изображението чрез наслагване на няколко слоя;
- Използване на случайно количество "цветен шум" в изображението;
- Използване на файлови разширения за анимирани картинки;
- Създаване на вълнообразни шрифтове.
Най-новата тенденция в спама с изображения е използването на сайт за
хостване на изображения. Всичко, което трябва да се направи е спам съобщението
да съдържа линк към определно изображение, което се зарежда автоматично при
отваряне на e-mail-а.
Спам-реклами
Спам-рекламите са друга често срещана спам технология. Те представляват
5
6. комбинирана заплаха, съставена от няколко фази. Първата фаза е създаването на
лъжлив сайт, в който има реклами на различни комерсиални продукти. Втората
фаза е да вдигнеш рейтинга на тази страница в търсачките. Това става по няколко
начина, най-лесният е на страницата да има често търсени в търсачките думи.
Друг начин е посредством специален софтуер, който търси в Интернет страници,
които подлежат на редактиране. Когато намери такава, софтуерът вмъква линк
към спамърски сайт. „Изпомпване и Изхвърляне” е друг много разпространен тип
на спам-рекламата обхваща промотирането на евтини акции. Спамърите купуват
евтини акции на произволна компания и започват да изпращат огромни
количества спам преиначавайки информацията за тях. Най-често лъжливата
информация е свързана с рязко увеличаване на цената на тези акции. Според
анализаторите има хора, които попадат в клопката спамърите им продават своите
акции и цената спира да се увеличава. Печалбата им възлиза на 5%-6% процента
от инвестираните пари в рамките на два дни.
Спам чрез чат клиенти
Чат клиентите са най-бързо развиващата се медия. Това е известно на
спамърите, които измислиха спам, чрез чат клиенти. Повечето от чат клиентите
предоставят някакво количество информация за потребителите, което обикновено
е достъпно за всички. Спамърите се възползват от тази информация, за да
изпращат спам съобщения, насочени към определени групи, организирани по
различни критерии.
Чат спамът все още не е толкова широко разпространен като e-mail спама
например, затова и ранното адаптиране на анти-спам решенията може да
предотврати превръщането му в поредната спам епидемия.
Измамни бюлетини
В днешно време информационните бюлетини са спам за едни и важна
информация за други. Спамърите откриват нови начини да превърнат тези
бюлетини в спам. Един от начините е да се открадне легитимен бюлетин и дадено
изображение да се замести със спам такова. Спам бюлетинът изглежда напълно
нормално, той е на организация, която познавате или сте абониран за нея, но
когато се отвори се вижда спамът. Не всички спам бюлетини съдържат спам
изображения, в някои например е подменен линкът най-отдолу на бюлетина или
статията, който изглежда като линк към страницата на издателя или продължение
на статията, а всъщност ви отвежда към сайт със спам реклами.
6
7. PDF спам
След появата на спама с изображения Secure Computing предсказа, че
спамърите скоро ще пробват и други формати. Предположението се потвърди с
появата на PDF спама. Предимствата на PDF спама са:
- По-големите възможности при форматирането
- PDF компресиращия алгоритъм прави невъзможно за анти-спам филтъра да
прочете съдържанието, ако не засича PDF формат
Сплог - Спам Блог
Спам блоговете са легитимни блогове, създадени с цел да рекламират спам
сайтове. Целта обикновено е:
- Да увеличат ранга на спам сайта в търсачките;
- Да генерират приходи, чрез постване на рекламни банери, за които се плаща
на кликване;
- Да предоставят евтино рекламно място за различни продукти;
- Да генерират приходи, посредством предлагане на членство.
Спам блоговете не само хабят напразно ценни ресурси, като дисково
пространтво и Интернет достъп, но освен това променят резултатите на
търсачките.
Има и други видове спам, но тези са едни от основните.
Методи за борба със спама
Борбата срещу „спам епидемията” изглежда като безкрайна битка. Изпращането
на спам се превърна в печеливш бизнес и работа на пълен работен ден за много хора.
Спамът процъфтява, защото спамърите разработват и усъвършенстват много нови
технологии, които побеждават или заобикалят съществуващите анти-спам
приложения.
Основната част от борбата със спама е филтрирането на пощата чрез процес,
който определя за всяко съобщение вероятност то да е „боклук”. Традиционните
техники разчитат на намирането на ключови думи в полето за заглавие на
съобщението. Например използването на думи като „промоция”, „реклама” са
вероятен индикатор за спам. Повечето спам-филтри проверяват съобщенията по
списък от забранени думи и филтрират съмнителните в отделни папки за по-
нататъчна проверка. Количеството спам се увеличава, увеличават се и опциите за
филтриране и съответно нарастват случаите на случайното изтриване на „истински”
7
8. съобщения. Филтрирането по ключова сума е било ефективна техника в миналото, но
постепенно точността на метода спадна. Спамарите започнаха да използват различни
техники за заобикаляне на филтрите. Например заглавия от типа „About Us”, “Hello”
филтрите пропускат, а те могат да съдържат прикрит спам.
По-късните филтриращи техники претърсваха цялото тяло на съобщението за
ключови думи, което даваше желания ефект за откриване на повече спам, но на
цената на загуба на ценно процесорно време. По-големите системи за електронна
поща изпращат съобщения през няколко сървърно базирани филтри, в допълнение
към филтрите при клиента. Резултатът от това разслояване беше по-добър, но само
отчасти.
С нарастването на използването на електронната поща, спамът продължава да
открива начини за достъп до пощенските ни кутии. Количеството изпращани
съобщения на ден расте с такава скорост, че прави филтрите по ключови думи все по-
малко ефективни в дългосрочен период. Необходими са значителни усилия и време,
за да се поддържат списъци с ключови думи. Още повече време е необходимо за
ровене в спама, за да бъдем сигурни, че някое истинско съобщение не е попаднало
във филтрирания боклук. Този метод поражда идеи за създаване на по-
усъвършенствани техники.
Ранният софтуер за пощенски сървъри позволяваше пренасочването на
съобщенията през трета страна, което водеше до маскиране на подателя. Това
предоставяше възможност на спамърите да използват анонимен подател, чрез който
да изпращат големи обеми съобщения. Тъй като повечето сървъри работеха в този
свободен режим, скоро последва множество от нежелани съобщения. Наложи се
създаването на „черни” списъци, в които се включваха всички податели, разпознати
веднъж като спамъри. Електронните съобщения от тях автоматично се блокират.
Администраторите веднага конфигурираха сървърите да проверяват подателя на
всяко съобщение и да филтрират всички, които са от известен вече подател на спам.
Тази стратегия също донесе някои разочарования. В желанието си да пазят своята
анонимност, спамърите се насочиха към големи комерсиални Интернет доставчици
като източник на техните съобщения. Въпреки, че гигантските организации като
EarthLink имат опитен персонал и стриктна политика на предлаганите услуги,
забраняваща спама, докато открият, че даден спамър използва тяхната мрежа, той
вече е изпратил няколко хиляди съобщения и е изчезнал. Повечето доставчици
8
9. познават методите на спамърите и не позволяват на такива потребители да
продължават да ползват техните услуги.
Автоматизацията изглеждаше добра идея, но се оказа, че носи повече
неприятности, отколкото ползи. Алгоритмите за съставяне на черни списъци не
можеха да гарантират, че някой от тези супер доставчици няма да бъде блокиран
случайно, което определено не е целта на филтрирането. Много от малките
доставчици блокираха съобщения от HotMail и AOL, отчасти защото по това време
огромно количество спам идваше от тези мрежи. Отново се наложи да бъде намерен
по-добър начин за справяне със спама.
Последната дума на спам филтрирането разчита на самообучаващ се сървърен
софтуер, или базова форма на изкуствен интелект (ИИ), който разделя спам от
истинските съобщения. Обикновено хората нямат проблем с отсяването на
истинската поща, а компютърът може да бъде обучен да прави същото. Като използва
машинно самообучение, анализ на съдържанието и обновявана база данни с доказан
спам, даден пощенски сървър може да разпознае разликата между спам и истинско
съобщение. Това намалява грешните отхвърляния (допустима поща, обявена като
спам) и грешните одобрявания (спам в кутията с входяща поща).
ИИ софтуерът проверява и други фактори, освен ранга и отношенията на думите в
съобщението. Часът, в който е изпратено съобщението, броят на пощенските сървъри,
използвани при изпращането му, местоположението на тези сървъри, дори самата
структура на съобщението биват разглеждани и анализирани. Когато веднъж бъде
установена схемата, в спама се откриват някои общи черти, които са лесни за
идентифициране. Много спамъри използват оцветен HTML текст в съобщенията и
повечето използват излишни препинателни знаци за привличане на вниманието. Това
са слабите места на спама и ИИ машините лесно ги улавят, без значение от
конкретния цвят, форма и размер.
В крайна сметка самото послание издава спама. Винаги има някаква улика в
съобщението и тази улика може да бъде открита от специализиран инструмент. Най-
съвършеният метод за заобикаляне на ИИ филтрите е съобщението от чист текст,
изпратено директно и без разкрасяване.
Системите за сигурност се групират и изграждат около няколко общи принципа:
стандарти, политики, насоки и процедури. Стандартите представляват общоприети
норми по конкретна тема. Политиките са специфични за компанията и средата
адаптации на стандартите. Насоките са одобрени, но незадължителни методи за
9
10. прилагане на стандартите и политиките. Процедурите са инструкции от типа „стъпка
по стъпка”, които описват детайлно постигането на конкретна цел, с дадени ресурси и
при дадена ситуация.
Видове филтри
Инсталацията на самите филтри е разпределена между потребителя и провайдъра.
Затова и те се разделят на два вида: клиентски филтри (Client Side Spam Filters) и
сървърни (Server Side Spam Filters).
Client Side Spam Filters
Тези филтри са по-малко ефективни, но са полезни ако нашият провайдър не
може да филтрира голяма част от нежеланата поща. Повечето са предвидени
специално за определена операционна система.
1. Windows Client Spam Filters. Специализирани съобразно протокола, с който
си четем пощата (POP3, IMAP):
POP3 филтри – те са два вида: POP3 proxy, който по-скоро извършва
сканиране за вируси и POP3 spam removal, който изтрива спам от нашия POP3-
акаунт преди да го свалим в редовната си поща. Предимството на POP3 филтрите
е, че те работят независимо от опитите на нашата mail-програма да получи
съобщението и ни отървават от спама още преди да сме го download-нали.
- Windows POP3 Proxy Spam Filters – адресите на най-популярните са:
Spam Agent - www.spam-agent.com
Super Googie - www.supergoogie.com
Spambam - www.epage.com.au/spambam/
Junk Spy - www.junkspy.com
- Windows POP3 Spam Removal:
Spam Assault - www.spamassault.com
Active Email Monitor - www.vicman.net
AntiSpamWare - www.antispamware.com
MailWasher Pro - www.firetrust.com/download/mailwasherpro/
IMAP филтри:
Kill the Spams - www.zipstore.com
ChiaraMail - www.chiaramail.com
InboxCop - www.inboxcop.com
Spam Nullifier - www.spamnullifier.com/product1.htm
10
11. Windows Download and Filter Spam – Тези приложения свалят всичката поща
и я филтрират върху нашия компютър:
www.mailboxfilter.com
www.spamcounterstrike.com
www.geocities.com/SiliconValley/Campus/2076/mmail.html
www.spamburner.com
2. Unix Client Spam Filters.
Някои Unix приложения работят със стандартни Unix mailbox формати, други
отново посредничат между POP3 сървъра и нашата пощенска кутия като трият
спама преди да сме го свалили, а трети работят с Procmail или други MDA още на
ниво сървър, a не на потребителско равнище.
• General Unix Client Side Spam Filters
sourceforge.net/projects/imapassassin/ - SpamAssassin for IMAP clients
sourceforge.net/projects/bmf/ - Bayesian Mail Filter
pigmail.sourceforge.net – Bayes
• Delete off POP3 –по познатата схема, трие идентифицирания спам още на
сървъра.
Mailfilter - mailfilter.sourceforge.net
LittlePOPReader - lpopr.sourceforge.net - Perl
DisSpam - freshmeat.net/projects/disspam/ - Perl
• Procmail – Пакет, който може да се използва за създаване на майл-сървъри,
mailing списъци, сортира приходящата поща, стартира произволна програма при
пристигане на съобщение, селективно прави forward.
www.spambouncer.org
ftp://boombox.micro.umn.edu/pub/spamtrap/
alcor.concordia.ca/topics/email/auto/procmail/spam/
Server Side Spam Filtering
1. Windows Server Spam Filtering.
• Windows Spam Fiters Addons – Тези спам филтри работят с всеки Windows
mail server software, с който разполагаме.
• Windows Mail Servers with Spam Control – Тези приложения за Windows са
разработени специално за спам контрол и биха могли да работят като резервен
майл сървър.
11
12. 2. Cross Platform Server Filters. Тези приложения работят независимо от избора
ни на операционна система.
• Multiple OS Spam Filters – тези всъщност не са истински мултиплатформени
приложения, но са приложими за няколко операционни системи едновременно:
www.mailshell.com/mail/client/oem2.html/step/module - Linux/Solaris/Windows
• Phyton Sevrer Spam Filters – SpamBayes - spambayes.sourceforge.net - Spam
Bayes проектът изгражда Bayesian анти-спам филтър, базиран на разработките на
Paul Graham. Bayesian филтърът се базира на анализиране на съдържанието
(content) на съобщението и математически изчисления. С този филтър се определя
99.5% от спама.
• Perl Server Spam Filters - www.postarmor.com
• Java Server Spam Filters - www.contactor.se/~dast/spam.html
3. Unix Server Spam Filters - spamassassin.org
4. Mac Server Spam Filters - www.tenon.com/products/netten/
Анти-спам инструменти
Като последна линия за отбрана (освен бутона Delete) във войната със спама,
клиентските филтри използват най-различни стандарти и усъвършенствани методи за
разпознаване, съпоставяне, филтриране и промяна на спама. Ние ще разгледаме
решения за операционната система Microsoft Windows.
SpamBayes е анти-спам инструмент с отворен код. Групата от разработчици
разпространява версия на SpamBayes като плъгин-модул за Microsoft Outlook,
въпреки че първо е бил разработван като платформено-независим спам филтър за
UNIX. Този плъгин-модул използва Бейсов статистически анализ за определяне на
входящите e-mail съобщения като спам, хам (полезен e-mail) или неизвестен. След
това SpamBayes сортира класифицираната поща според конфигурацията и
пощенските папки, които сме създали.
SpamBayes е мощен плъгин-модул за Outlook, който разчита силно на
взаимодействие с потребителя и машинно обучение, за да класифицира пощата като
спам или хам. Първо потребителя предоставя примери за спам на SpamBayes –
колкото повече, толкова по-добре. Програмата анализира хедърите на съобщенията,
включително адресите To и From, полето Subject и текстът на самото съобщение, като
си изгражда статистически модел на спам за този потребител. След това потребителят
12
13. предоставя примери за полезна поща и SpamBayes повтаря процеса, за да си изгради
модел за нещата, които трябва да остават във входящата пощенска кутия.
Потребителят създава филтър за разделяне на спамаи неизвестната поща (такава,
на която SpamBayes не може да даде оценка) в самостоятелни папки, след което
SpamBayes е готов за употреба. Когато пощата достигне до клиента Outlook,
SpamBayes преценява съобщенията според статистическият си модел. Ако разпознае
спам, съобщението отива в означената от потребителя папка за спам. Ако
съобщението се счете за допустимо, то пристига във входящата пощенска кутия на
потребителя (и се подлага на всички други филтри, които потребителят е създал). Ако
SpamBayes не може да определи статуса на входящото съобщение, то се означава като
„неизвестно” и се филтрира в отделна, посочена от потребителя папка за
допълнително разглеждане.
Потребителят продължава да обучава SpamBayes, като отбелязва всяко непознато
или грешно филтрирано съобщение като спам или хам. След това SpamBayes
разпределя тази информация към правилния статистически модел и продължава
работата си.
iHateSpam на Sunbelt Software използва евристична обработка, ядро за правила и
списъци за блокиране/деблокиране. Работейки като плъгин-модул за Outlook,
iHateSpam обработва e-mail съобщения и поставя под карантина спама извън клиента
за по-нататъшно преглеждане. iHateSpam работи с Windows и поддържа всички
версии на Outlook.
SpamPal е анти-спам прокси програма, която разчита на информация от черни
DNS списъци или списъци със забрани, за да сортира или маркира подозрителните за
спма съобщения. SpamPal работи с Windows и е съвместим с всеки стандартен
поддържащ POP3 e-mail клиент, като Outlook.
SpamPal наблюдава POP3 съобщения по пътя им към клиента на потребителя,
работейки подобно на прокси между пощенския сървър и пощенския клиент. SpamPal
сравнява полетата From с черни DNS списъци. Ако съобщението е преминало през
хост, включен в тези списъци, SpamPal го означава като спам със специален хедър.
Потребителят може да конфигурира клиента си да сортира съобщения с този
специален хедът в определена папка.
Разбира се, много допустими съобщения преминават през такива хостове. Те
трябва да бъдат прехвърляни на ръка в папката за обичайна поща на потребителите, а
белия списък на SpamPal трябва да бъде обновяван с информация за допустимите
13
14. податели или хостове, най-вече чрез конфигуриране на SpamPal да позволява
получаването на съобщения от определени податели в определени мрежи, без да им
поставя етикети.
Стратегия за борба срещу спама
Ефективната стратегия за борба със спама се свежда до следните стъпки:
1. Класифициране – сортиране на пощенските акаунти
2. Пощенска политика – развиване на система за филтриране, базирана на
типа на писмата
3. Разполагане на ресурси – изграждане на система, която да реализира
плана ни
4. Управление – проектиране на методология за проверка, която да осигури
правилната работа на политиката
Основание за сортиране на профилите е, че всеки от тях има различна политика,
асоциирана с него. Възможно е, ако системата е малка, да не се нуждае от много
категории за сортиране.
Някои от политиките, които може да включим след сортиране на профилите са:
- Сигурност и поверителност – дефинира необходимата защита при
съхраняването и предаването на електронните съобщения. Обща практика е
всички профили да криптират поверителна или засекретена информация.
- Периоди на съхранение – указва се периода от време, през който дадено
съобщение ще бъде съхранявано на локалната машина и на сървъра. Въпреки, че
много организации съхраняват съобщения за вечни времена е важно да има
разделение – да бъдат установени дълги периоди за важните документи и къси
периоди за документите от краткотрайните потребителски профили.
- Препращане и пренасочване – трябва да бъдат предвидени някои мерки
за повечето потребителски профили, по отношение на отпуските, празниците и
други събития, изискващи пренасочване на съобщенията. Поради временната
нужда от тях, трябва да бъдат развити специфични политики, които да бъдат
прилагани от потребителите и да се контролира тяхното използване.
- Права за достъп – необходимо е да бъде организиран административен,
управленски и персонал по сигурността, които да притежават необходимите права
за достъп до чужди профили. Политиката трябва да дефинира кога, в какъв
14
15. случай и с каква продължителност е позволен и наложителен достъп до чужд
профил.
- Документиране, оторизиране и политики на допустимо ползване – когато
изготвяме тази политика трябва да сме наясно с правилата за допустимо ползване
на услугите на нашия Интернет доставчик или на други партньори, с които
обменяме информация, тъй като често съществуват предварителни указания,
относно това как става този обмен и какви мерки ще бъдат вземани при
определени събития. Например да се подсигурим с подходящи процедури за
обстоятелства, които могат да нарушат политиката на допустимо използване на
доставчика на Интернет.
След като сме определили организацията и типовете на пощенските акаунти,
следващата логична стъпка е да отделим време на хардуера и софтуера на пощенския
сървър. Също така много важно е да се установи редовна практика за тестване,
обновяване и за проверка на установените при експлоатацията на системата
недостатърци в сигурността.
Внедряването на нито една информационна технология не може да бъде
завършено без фазата на тестване. Специално при контрола на спама, тестването
често се извършва при реално работеща система и с реални съобщения.
Прихващането, събирането и контролирането на нежеланите съобщения се извършва
с използването на карантинен метод. Не е за препоръчване изграждането на система,
при която спам филтрите изтриват подозрителните съобщения без възможност за
възстановяване. При система, използваща карантина, съобщенията могат да бъдат
оценявани спрямо политиката на организацията и да бъдат правени подходящи фини
настройки на конкретна конфигурация за борба със спама. Постоянните подобрения
трябва да се превърнат в част от поддръжката на системата.
Федералната търговска комисия (ФТС) определя спама като бич, който набира
популярност сред измамниците. Той е възможност за изпращане на милиони
настоятелни оферти, без почти никакви парични инвестиции. ФТС разпределя спам-
съобщенията в следните групи:
- Бизнес предложения – пирамидални структури, многоетажен маркетинг
или опити за присвояване на самоличност.
- Масови електронни съобщения – предложения за продажба или
препродажба на списъци от електронни пощенски адреси.
15
16. - Верижни писма – предложения да изпратите по един долар на пет имена
от списък или ще ви се случи нещо лошо.
- Схеми за надомна работа – сгъване на пликове, сглобяване на химикалки,
изработване на бижута.
- Здраве и диети – хапчета, билки, медикаменти и други неточно
представяни медицински продукти.
- Печалба без усилие – схеми за забогатяване.
- Безплатни стоки и услуги – друга схема на многоетажния маркетинг.
- Предложения за инвестиране – невероятни коефициенти на
възвращаемост, офшорни сметки, ценни метали, подозрително евтини акции.
- Гарантирани заеми – ненужни списъци от безинтересни лихвари.
- Изчистване на кредити – поема или изчиства вашите дългове, обикновено
за сметка на нов заем.
- Ваканционни промоции – Вие „спечелихте” безплатна ваканция до
Хаваите, срещу дребна сума, за да ви изпратим ваучерите и билетите.
Още по-неприятно от запълването на пощенската ни кутия със спам е стремежът
на спамърите да запазят своята анонимност и да увеличат количеството генериран
„боклук” за сметка на цялото общество. При използването на препредавателите
спамърите създават едновременно две жертви. Едната жертва е собственикът на
неправилно конфигурирания пощенски сървър, който действа като „усилвател” на
спам и изпраща милиони съобщения до получатели (втората жертва), които гневно
сочат с пръст него, вместо истинския виновник.
Създадени са множество отлични ресурси за борба с този тип атака, които
каталогизират повредените пощенски сървъри. Open Relay Database съдържа повече
от четвърт милион активни препредавателя, всеки от които генерира огромно
количество спам. Първата важна стъпка, за да се уверим, че не сме използвани от
спамъри, е да проверим дали наши домейни или IP адреси не са в списъка на
известните пощенски ретранслатори. Разпространителите на спам използват активно
тези бази данни, така че се налага и ние да се научим да го правим.
Дори, ако елиминараме всички препредаватели в нашата мрежа, остават дупки,
които позволяват на спамърите да препредават съобщения. Ако проектират
внимателно структурата на съобщението, спамърите могат да изпратят съобщения от
вашата система, като използват грешка в дизайна на някои скриптове.
16
17. Специфични критерии при избора на анти-спам решения
Когато избираме пакет за контрол на спама, трябва да имаме предвид следните
четири критерия, подредени по важност
- Стабилност
- Допълнителни функции
- Съвместимост между компонентите на мрежите
- Лесно използване
При избора на продукт за защита от спам е необходимо да търсим такъв, при
който се извършва редовно актуализиране на правилата, дефинициите, шаблоните и
списъците. Най-добрият вариант е да изберем производител, който предлага
автоматично обновяване в реално време.
Често първият и единствен критерий за избор на решение за филтриране на спам е
технологията, използвана от софтуера. По-добрите и по-усъвършенствани
възможности ще привлекат потребителите, но първо трябва да се уверим, че
софтуерът е стабилен, лесен за работа и с добра поддръжка. Колкото по-добри са
методите, използвани за борба със спама, толкова по-малко спам ще получаваме.
Сравняването и отчитането на различните подходи, използвани от всяка потенциална
стратегия за филтриране на спама, е важна задача, но все пак тя трябва да бъде на
второ място след общата стабилност на системата.
Докато мрежата расте по размер и структура, нейната сложност се увеличава
нелинейно. За малки мрежи, съвместимостта между компонентите не е чак толкова
важно изискване. За по-големите мрежи, нищо не се добавя в мрежата без
продължителни тестове, за да се убедим в неговата съвместимост. Добрата новина е,
че анти-спам пакетите комуникират с пощенските сървъри и клиенти чрез протоколи
като SMTP. POP и IMAP, лошата новина е, че колкото повече усъвършенствана
функционалност се добавя към стандартните пакети, толкова по-вероятно става да се
наруши съвместимостта.
Лесното използване е друг важен критерий за избор. „Лесен” трябва да бъде
потребителския интерфейс, възможностите за генериране на отчети и управлението
на системата. Колко детайлна и пълна е документацията, както и как трябва да бъдат
променени политиките са важни и уместни теми при процеса на актуализиране на
системата и дефинициите.
17
18. Анализ на спама
Анализът на съдържанието на спама се реализира под различни форми и в
различни размери, но най-общо се свежда до разбор на съдържанието на
електронното съобщение и анализ на резултата, за да се определи дали съобщението е
спам. Ранните филтриращи инструменти са били бързи скриптове на Perl. Те
натоварваха системата и това ги прави непрактични и дори опасни за използване.
Поради това често се сканираше само хедъра на съобщението, понякога дори само
заглавието, с цел да се намали системното натоварване. Сегашните решения за борба
със спама имат много повече възможности, като не само анализират всеки изпратен
байт, но и прилагат усъвършенствани техники преди съобщението да бъде изцяло
получено.
Най-общо филтрите се делят на два вида – разпознаващи спама по изпращач и по
съдържание. Първите разчитат на проверка в черни списъци, в които са поместени
IP-адресите и домейните на известни спам “доброжелатели”. При положение, че спам
съобщението се е промъкнало през Black List проверката, то следва контрол върху
съдържанието му. Тук е важно точно на какви думи ще “научим” филтъра да реагира.
Например съобщения, които съдържат фрази от рода на: CLICK HERE, FREE!!,
EARN MONEY, FAST CASH, BUY NOW, $$$, fast bucks and huge savings са почти
100% сигурен спам. Проблемът е, че съществуват “рискови” думи, които се използват
в легитимни писма: money back, accept credit cards, credit profile, cash back, FREE.
Тогава е важно да предприемаме различни действия при различна подредба на
фразите, или да използваме софтуер за текстов анализ за да минимизираме
възможността от прихващане на легитимна поща.
Съществува и статистика, която измежду 500 спам-съобщения, анализира хедъра
на фалшивите писма. Тя дава трети метод (най-несигурен, обаче) за идентификация
на Интернет боклука.
Спам характеристики %
Получателят не фигурира в To: или Cc: 64%
To: полето липсва 34%
To: полето съдържа невалиден е-майл адрес 20%
No message ID 20%
Подозрително ID 20%
Cc: съдържа повече от 15 получателя 17%
From: е същото като To: полето 6%
18
19. Cc: съдържа 5-15 получателя 3%
To: съдържа 5-15 получателя 2%
To: съдържа повече от 15 получателя 1%
Bcc: съществува 0%
To: празно 0%
From: празно или не съществува 0%
Тази информация също може да бъде използвана за класификация на
съобщенията, които получаваме.
Почти всички пакети, независимо дали се разпространяват от комерсиални
корпорации или са безплатни за ползване под една или друга форма, имат
възможност за работа с черни/бели списъци.
Групирането на познати спамъри в черни списъци е лесен и ефективен начин за
блокиране на нежелана поща според източника ѝ. Черните списъци могат да
съдържат точни e-mail адреси, варианти на e-mail адреси (например
spamster@spam.tld), зададени със стандартини символи за заместване (например
*@spam.tld), или дори IP адреси. Има два типа черни списъци: споделени мрежови и
локални с база данни. Като се има предвид огромната бройка спамъри и
допълнителната сложност в поддръжката на най-новите списъци, повечето
потребители на черни списъци обединяват ресурсите си в мрежа и споделят работата
си с други мрежи, за да намалят времето за обработка, натоварването и мястото за
съхранение на данни. Локалните черни списъци с бази данни обикновено са част от
пълни пакети за филтриране на спам, като допълват ефективността на решението. Тъй
като мрежовите черни списъци се поддържат от външни организации, качеството на
филтриране се определя от хората, които ги поддържат.
Един от недостатъците на черните списъци е валидността. Организациите, които
разчитат главно на черни списъци, често намират важни сървъри, добавени към черен
списък, или изцяло по погрешка, или тъй като някой спамър се е промъкнал през
шлюза, означавайки го по този начин като спамърски. Друг недостатък е
необходимостта адресът на спамъра да бъде коректно определен като източник на
спам и да бъде добавен към базата данни, за да бъде успешна проверката и спам
съобщението да бъде блокирано.
Белите списъци се основават на същите технически методи и практики. Те са
противоположност на черните списъци. Черният списък идентифицира податели,
комуникацията с които е нежелана, тъй като преди са изпратили спам. Белият списък
19
20. идентифицира познати добри податели, които, дори и да изпращат нещо, което може
да бъде определено като спам, трябва да бъдат допускани без филтриране.
Белите списъци се внедряват най-удачно на работната станция на крайния
потребител, вместо където и да било в сървърите. Потребителите имат различни
изисквания, и въпреки че най-вероятно те могат да бъдат групирани по някакъв
начин, потребителите предпочитат да управляват локалните си e-mail съобщения по
коренно различен начин. Поради тази причина е най-добре да се остави на крайните
потребители да създават собствени бели списъци.
Анализ на поръчителя
Голяма част от хората хвърлят вината върху подателите на спама, вместо да се
насочат директно към реалните поръчители, които имат изгода от разпространението
на съобщенията. Някой трябва да наеми подателите на спам, за да започне да действа
цялата схема. Очевидно е, че все повече хора са заинтересовани от печалбата от
изпращането на големи обеми от поща. Всеки ден получаваме хиляди комерсиални
писма, печелившите от които са почти същото число. Двата метода за борба са:
- Filters that Fight Back (FFB)
- Законови подходи
Filters that Fight Back означава проследяване на живо или филтри, които
отвъщат на удара. В духа на идеята да се атакува гърба на спамъра е идеята да се
използва собственото му съобщение срещу самия него. Практически всяко спам
съобщение има уеб препратка някъде в себе си, обикновено сочеща към продукт
или услуга, за която гарантира спама. При тази стратегия препратката се последва,
но не се прави нищо с резултата. Представете си един обичаен спам източник,
който генерира милиони съобщения на час. Какво би се случила, ако всички,
които са получили спама, щракнат едновременно върху препратката, която е
поместена в него?
Това, което ще се случи, се нарича DDoS атака. DDoS означава Distributed
Denial of Service (Разпределен отказ от услуга) и е по-сложен начин да се каже, че
координираните усилия на всички тези прости заявки най-вероятно ще блокират
уеб сървъра на поръчителя. Допълнително това ще доведе до рязко увеличаване на
Интернет сметката му, и то до такава степен, че ще се отрази сериозно на
финансите му. Ако имаше такава система никой, който е решил да изпробва e-mail
маркетинга веднъж, нямаше да опита отново.
20
21. Тъй като установяването на идентичността на поръчителя е непосредствената
ни цел ще разгледаме някои от нещата, които може да направим, за да ги заловим.
На първо място, хедърите на e-mail съобщенията имат малко, но ценна
информация, отнасяща се за истинския поръчител на спама. Често се случва така,
че тази информация може да ни доведе до фирмата обработваща спама.
Най-добрите следи за проследяване обаче, идват от съдържанието на самото
съобщение. За да промотират продаваната стока или услуга, спамърите трябва да
предложат начин да стигнем до тях. Това обикновено се постига чрез уеб
препратка, но понякога има и телефонни номера за връзка.
От уеб-препратките им може да се съберат много важни данни, с цената на
минимално проучване. Например с домейните по целия път има асоциирани дълги
списъци с имена, адреси и телефонни номера, всяко от които може да ни доведе
до крайния поръчител на спама. Освен това, извършването на анализ на
съдържанието на уеб сървъра им и идентифицирането на начина и времето на
създаване на файлове често разкриват допълнителна доказателства, водещи до
поръчителя.
Законови подходи
Тъй като спамът е престъпление по отношение на това, че злоупотребява с
чужди ресурси и средства, за наше щастие, има ISP провайдери, успели да
проведат успешни съдебни дела срещу спамъри, нанесли щети по мрежите им. В
допълнение, в САЩ, а вече и в Европейския съюз (проект за “Закон за защита на
данните от електронната комуникация”) вече има анти-спам закони, които могат
да допринесат за появата на нови значителни съдебни дела срещу спамърите.
Техника на спам атаките
Удачен е въпросът за техниката на спам атаките. Понеже целта на спам -
съобщенията е да бъдат прочетени, първата задача пред бъдещия злонамерен спамър
е сдобиването с валидни e-mail акаунти. И пред всеки пострадал клиент стои
въпросът: “От къде знаят адреса ми?”. Има много възможни отговори. Каквато и
активност да проявяваме в Мрежата, винаги има шанс да попаднем в списъка от
обстрелвани със спам адреси.
Ако адресът ни е на услуга с много абонати (hotmail, yahoo и др.), много
вероятно е той да бъде случайно налучкан. Подобни услуги имат толкова много
абонати, че на практика един случаен адрес като pencho@yahoo.com вероятно
21
22. наистина съществува. Все едно да стреляте с пистолет в гора - все ще улучите
някое дърво. Изпращачите на нежелана поща са в състояние автоматично да
генерират такива адреси (да стрелят напосоки) и по случайност да улучат нашия.
Адресът ни може да бъде налучкан и недотам случайно. Ако участваме в web
клубове, форуми, места за обяви и т.н. често се налага там да се представим с
някакво име или псевдоним. И в много от случаите нашият прякор съвпада с e-
mail адреса ни. Ако във форум се прествяме като gencho, много лесно за
изпращача на спам да изпрати писма до gencho@yahoo.com, gencho@hotmail.com,
gencho @abv.bg и т.н. Все някъде може да ни улучи. И ако не нас, то поне някой
друг вместо нас, или нас вместо друг.
Изпращачите на спам могат да са в състояние да разбият защитата на някоя
пощенска или друга услуга, която да предлага достъп до списъци с електронни
адреси.
Ако попаднем в списъка на един изпращач на нежелана поща, вероятно ще
попаднем във списъците и на други изпращачи
Някои вируси използват личната ни адресна книга с адреси на приятели и
колеги, за да се самоизпратят под формата на електронни писма от вас до
колегите и приятелите ви. По същия начин можем да получим нежелана поща, със
или без вирус, от наш познат или приятел, без той да ни ги е изпращал.
Понякога познат или приятел може да ни изпрати съвсем доброволно
нежелана поща, неосъзнавайки какво прави. Той може да си мисли например, че
ни прави някакво абстрактно добро.
Спамерите събират огромни количества произволни E-mail адреси от
всевъзможни Интернет места чрез автоматизирани системи, наречени паяци
(Spambots).
Борбата за надмощие между спамърите и анти-спам приложенията ще продължи
до тогава, докато не се открие ефикасен начин да се филтрира спама. Добре ще е за
спамърите да знаят, че съществува TrustedSource, решение което може да ги блокира
независимо от техниката на спам, която използват.
TrustedSource като виртуална кредитна агенция определя репутацията на
изпращача и след това го класифицира като добър, лош или подозрителен.
Класифицирането се базира на задълбочен анализ на стотици характерни свойства за
всеки изпращач. TrustedSource е първата, и за сега единствена репутационна система,
22
23. която комбинира анализ на трафична информация, бели листи (добре изпращачи),
черни списъци и мрежови характеристики.
Комбинирайки години проучвания с ненадминати способи в изследване на спам
съобщенията, Secure Computing направи ключови открития. Всеки месец
TrustedSource анализира стотици милиарди съобщения, събрани от глобалната мрежа
от сензори на Secure Computing, разположени в много организации и правителствени
институции. Репутационните точки на изпращача в TrustedSource се базират на
поведението на изпращача и на характеристиките на съобщението. Репутация се
задава на следните обекти – IP, URL, съобщение, изображение и домейн.
Устройствата на Secure Computing по целия свят изпращат сведения до
TrustedSource, давайки реална представа за фактически целия трафик в Интернет.
Всяко отклонение от нормалния модел на изпращане се анализира от TrustedSource и
репутационните точки се осъвременяват. Тези резултати стават незабавно известни и
достъпни за всички останали устройства на Secure Computing.
Комбинацията от най-напредналата репутационна система използвана от
TrustedSource заедно с останалите спам профилиращи техники, които работят в
локалните устройства (IronMail, IronIM, Edge и Webwasher) осигуряват на клиентите
на Secure Computing значителни предимства. И по-важното, те имат предимства при
появата на каквито и да е нови начини за изпращане на спам. Интеграцията на
TrustedSource във всички хардуерни защитни стени на Secure Computing осигурява
най-високо ниво на защита за организациите и превръща тези продукти в истинското
анти-спам оръжие днес и за в бъдеще.
Методите за борба със "спам"-а съвсем скоро трябва да бъдат подобрени и
усложнени, тъй като "спамърите" вече са измислили начини да избягват
обикновеното филтриране по съдържанието на писмата, което просто търси в текста
думи като "безплатен" и "подарък". Напоследък, все повече компании, предлагащи
услуги за "спам" филтриране, събират в големи бази данни "спам" писмата с помощта
на мрежи-примамки, по подобие на метода, използван за подлъгването на хакери да
атакуват симулирани мрежови услуги.
За да създадат такава мрежа-примамка, доставчиците на услуги за филтриране на
"спам" създават e-mail адреси на множество mail сървъри с единственото
предназначение да получават на тях "спам". Впоследствие те могат внимателно да
проучат тези писма, по-добре да ги разберат и по този начин да създадат нови
филтъри за тях. В профилите на несъществуващите хора, свързани с тези e-mail
23
24. адреси, са включени множество интереси, от тяхно име се дават мнения в
дискусионни форуми и новинарски групи. Тези адреси обаче не са регистрирани за
никаква услуги, електронно издание или каталог. Така, когато се получи някакво
писмо, може да се каже със сигурност, че този e-mail е бил открит с помощта на
софтуер за събиране на e-mail адреси, и че полученото писмо е "спам".
Въпреки че на пръв поглед този анализ изглежда по-подходящ за работата на
компании, предлагащи софтуер за "спам" филтриране, той може да се използва и в
корпоративните мрежи. В новите версии на множество e-mail продукти (Pegasus Mail,
IronMail…) е включена функционалност за автоматично създаване на такива мрежи-
примамки за "спам". Но често дори и тези мрежи за улавяне на "спам" не са
достатъчни. Не помагат особено и неясните алгоритми, които могат да открият дали
едно съобщение е "спам" дори и ако в неговия край са добавени случайно генерирани
данни.
Въпреки цялото това изобилие на подходи за борба със "спам" писмата, създадени
и предлагани в интернет, все още се налага някой да преглежда и отсява
филтрираните съобщение, за да се увери, че няма да бъде загубена някоя важна
кореспонденция. А войната на надхитряне между разработчиците на филтри за "спам"
и изобретателни "спамъри" тепърва започва.
През последните години се забелязва намаляване на сложността на тялото на спам
съобщенията, което загатва, че подателите не само изчистват съобщенията си, но
освен това ги тестват с пробна платформа, за да видят как се справят.
За да избегнат филтрирането с усъвършенствани методи, те използват процеси,
които конвертират съобщенията в изображения (JPEG, GIF, TIFF и др.).
Статистическият модел на e-mail съобщенията разчита на наличието на сериозно
количество текст за анализиране и сравняване. Някои от съобщенията са
конструирани така, че умно да заобиколят филтрите чрез липсата на какъвто и да е
текст, с изключение на информацията от хедърите. Разбира се, преобладаващите
съобщения, съдържащи само изображение в тялото си, могат да бъдат определени
като спам и включени в модела, довеждайки до отхвърлянето им.
Друга усъвършебнствана техника на спамърите, наричана „подвижен спаминг”
използва нарастващата масовост на безжичните устройства. Напоследък спамърите
променят до такава степен съобщенията си, че не могат да бъдат прихванати от
филтрите. Спамърите излизат да се повозят късно вечер, намират отворена точка за
24
25. достъп до безжичен интернет и избълват няколко милиона съобщения чрез нищо
неподозираща организация, предоставила по глупав начин мрежата си.
В стремежа си да останат една стъпка пред закона и недоволната тълпа от
получатели, спамърите често се крият зад кухи корпорации, които могат лесно да
бъдат изградени офшорно. Понякога цената за създаването на нова корпорация е
толкова ниска и документацията се изготвя толкова бързо, че много спамъри си
създават корпоратична самоличност когато си искат и за колкото време пожелаят.
Извод
Познавати са много методи, използвани от анти-спам решенията. Те могат да
бъдат класифицирани на филтри, които използват самото съдържание на
съобщението, филтри, работещи според подателя и междинните точки, през които
преминава спама, и филтри, които проследяват поръчителя. За всяка категория
разгледахме подходящи решения за борба със спама.
Борбата със спама е много важна в днешно време, когато технологиите се
развиват толкова бързо. Всеки се е сблъсквал с проблема на нежеланата поща или
друг вид спам атака. Колкото по-добре познаваме техниките за предпазване от спам,
толкова по-малко ще ни се налага да трием ненужни рекламни съобщения от нашия e-
mail.
25
26. Използвани източници:
1.Улфе, П. Анти-спам, издателство Софтпрес, София, 2004г.
2.http://www.iseca.org/downloads/2003_2004-1/papers/30636_30667_SPAM.pdf
3.http://www.bgspamtrap.com/bgspamtrap/home.nsf/0/72ff92f4b7c3b05ec2257347004e
6296/$FILE/ATTARH95/spamtech.pdf
4.http://blog.fcolor.bg/?p=70
5.http://www.slideshare.net/stedrazhev/what-is-spam
26
