行为判别技术成反垃圾邮件新方向

　　作者： 敏讯科技 郑海明

　　1. 垃圾邮件愈演愈烈，发送手段日益多样化

　　自2004年初，公安部、信息产业部、教育部、国务院新闻办公室四大部委联合发文，开展了轰轰烈烈的垃圾邮件专项治理工作，国内很多的企业和政府也安装了相应的反垃圾

邮件网关系统，采取了一定的技术手段。但是由于垃圾邮件发送者受到巨大的经济利益驱动，还有很多心存恶意的敏感内容邮件发送者，依然在源源不断地制造垃圾邮件。

　　2004年11月份的数字显示，垃圾邮件的比例接近74%，在发送的垃圾邮件中，钓鱼欺诈性邮件占了24%，这使得它成为了增长速度最快的垃圾邮件类型，其它数量较大的垃圾邮件类型包括广告(23%)、医疗(11%)、色情(14%)。

　　由于根据SMTP协议传输邮件时，服务器不验证发信人的身份，所以垃圾邮件发送者一般只要知道接收方的邮件地址就可以进行发信了，如何大量的得到邮件地址呢?一般会利用几种方法:

　　·利用一些网站的内容吸引普通用户，让用户进行注册，注册时需要填写邮件地址;

　　·架设扫描器监听网络上的邮件传输数据包，从中抓取邮件地址;

　　·先利用扫描手段找到邮件服务器，再利用穷举法探测用户邮件地址;

　　·直接攻击、入侵邮件服务器，获得权限后直接发送。

　　目前垃圾邮件发送者大都开始利用专用的垃圾邮件发送软件，这类软件可以达到高度的自动化，可以自动、定时变换发信用户和连接源IP地址。可以轻易的躲过邮件管理员人工的阻断，以及传统的反垃圾邮件技术的控制。

　　在内容方面，为了躲过目前很多垃圾邮件内容过滤技术的设备的过滤，垃圾邮件将会更快的变换内容信息，并不断的加入大量的干扰信息，如:加入干扰字符、利用同音字、将文本转换成图像传播、加密、多种类多层压缩技术等。

　　垃圾邮件的数量也将成倍的增长，逐步成为即

　　2. 当前反垃圾邮件产品主要采用的技术

　　垃圾邮件的危害有以下几点:

　　1) 垃圾邮件的存在占用了大量的社会资源，如网络带宽资源、服务器存储资源、邮件用户时间等，可以说是间接地浪费钱财。

　　2) 日益增长的垃圾邮件有淹没正常邮件的趋势，严重干扰了正常信息的传递与流动。

　　3) 由于垃圾邮件附载大量虚假、不健康、甚至危害社会稳定与安全的信息，并且垃圾邮件的发送处于非受控状态，对国家的信息安全造成一定的威胁。

　　国内外主要的反垃圾邮件系统，普遍采用的是关键字内容过滤技术，采取“截获样本、解析特征、生成规则、规则下发、内容过滤” 这种类似传统杀病毒系统的原理，存在着许多难以克服的问题:

　　·垃圾邮件内容变化快，数量远远大于病毒，任何一家安全公司都很难保证样本采集的数量和及时性，也就很难保证反垃圾邮件的使用效果和效果的持久性;

　　·必须比对完所有的关键字规则，一封信才能被确实不是垃圾邮件，导致效率低下，资源消耗大，网关系统不稳定，尤其是在遭受巨量邮件攻击时，可能导致系统崩溃。

　　·信件内容多样模糊，依赖关键字规则判别垃圾邮件，导致误判率举高不下，垃圾邮件识别准确性低，效果差;

　　·系统自维护能力差，管理员维护大量规则库，工作量大;

　　·信件必须接收完整才能进行内容过滤，导致国际网络流量费用高。

　　·通过拆信检查内容的方式进行反垃圾邮件，侵犯了公民电子邮件通信自由权和隐私权，这种内容过滤技术将受到广泛的法律质疑。

　　这种过滤算法往往随着规则设立的越多，产生误判的机率也越来越大，而且往往会将合法邮件当成垃圾邮件来对待;而且处理时需要主机做大量的运算，严重影响过滤器，甚至是邮件服务器的性能。

　　所以说传统反垃圾邮件技术，只能解决上述垃圾邮件危害中的第2)点，也就是只能提升信噪比，以免垃圾邮件淹没正常邮件，但不能解决第1)与第3)个问题。垃圾邮件与病毒邮件仍然占用了大量带宽与存储资源，垃圾邮件的发送仍处于非受控状态。

　　3. 国内安全厂商首创“行为模式识别”全新的反垃圾邮件技术

　　要想从根本上解决反垃圾邮件的技术难题，必须从事先原理出发，从邮件内容进一步往前提一步，做到主动性垃圾邮件行为模式识别的技术，这样才能做到主动型的邮件攻击行为防御、主动型的垃圾邮件阻断，从而最大程度地提高垃圾邮件识别率、拦截率，降低资源消耗，真正达到电信级的网关处理速度。

　　国内著名的反垃圾邮件技术公司敏讯科技和

　　这种新一代基于垃圾邮件“行为模式识别”理论的智能反垃圾邮件技术，产生了巨大的社会影响和经济效益，哺一出世，即以其崭新的视角、前瞻的理论在国内反垃圾邮件市场上占据了领先地位。

　　敏讯科技利用概率统计数学模型对垃圾邮件进行分类分析统计，与以往不同我们在分析时不但导入邮件内容本身的特征点，而且最关键的是全面加入了各类行为相关因素。通过两年多对上千万封垃圾邮件样本的分析、统计，并经过大量的统计分析计算，从归纳出了垃圾邮件发送行为模式识别模型。行为模式识别模型包含了邮件发送过程中的各类行为要素，如，时间、频度、发送IP、协议声明特征、发送指纹等。在统计分析中，我们发现行为特征上，垃圾邮件与正常邮件具有极高的区分度，且不论内容如何均相对为固有特征，特别是对大量的采用动态IP发送的邮件更是如此。

　　垃圾邮件行为模式识别模型在理论计算上有着较高的垃圾邮件区分度(>90%)，在实证分析中也暗合“小偷的行为心理异于常人”的道理，禁得起逻辑和哲学理论的推敲。

　　采用垃圾邮件行为模式识别模型不仅大大提高了垃圾邮件辨别的准确率，而且不需要对信件的全部内容进行扫描，所以又可以大大提高计算处理能力，为电信级的邮件过滤打下了坚实的基础。

　　此外，采用垃圾邮件行为模式识别模型识别垃圾邮件，也可以从另一方面给垃圾邮件攻击者以压力，迫使发送者必须按照一定的规范发送邮件。也就是说迫使邮件发送者只能从正常渠道，以正常方式发送邮件，从而使得邮件的发送处于受控状态。

　　垃圾邮件行为模式识别模型是完全不同其他邮件过滤技术或算法的技术，虽说依然是站在巨人的肩膀上，但通过推出这种行为识别技术，可以说是将目前的邮件过滤技术带入到下一代的技术革新中。相信不久的将来，在全球的邮件过滤器上都会应用到行为识别技术。

　　鉴于传统内容过滤型反垃圾邮件技术的弊病和局限性，以及垃圾邮件的发展趋势，将导致其逐渐失去作用，并逐步被淘汰。新一代的垃圾邮件行为识别技术将得到更广泛的应用，并取代传统的内容过滤反垃圾邮件技术。