反lj邮件技术解析-1

yudi669

概述
电子邮件是最常用的网络应用之一，已经成为网络交流沟通的重要途径。但是，lj邮件（spam）烦恼着大多数人，近来的调查显示，93%的被调查者都对他们接收到的大量lj邮件非常不满。一些简单的lj邮件事件也造成了很有影响的安全问题。日益增加的lj邮件现在会造成1年94亿美元的损失（来自chinabyte上一则新闻的数据），在一些文章表明，lj邮件可能会花费一个公司内每个用户600到1000美元。
lj邮件随着互联网的不断发展而大量增长，不再像以前一样，只是小小的一个骚扰，现在的lj邮件可以说是铺天盖地了。最初，lj邮件主要是一些不请自来的商业宣传电子邮件，而现在更多的有关{**此为已被过滤词语**}、{**此为已被过滤词语**}的lj邮件不断增加，甚至达到了总lj邮件量的40%左右，并且仍然有持续增长的趋势。另一方面，lj邮件成了计算机bd新的、快速的传播途径。
而且目前世界上50%的邮件都是lj邮件，只有少数组织承担责任。很多反lj邮件的措施都被提出出来，但是只有非常少的被实施了。不幸的是，这些解决办法也都还不能完全阻止lj邮件，而且还对正常的邮件来往产生影响。
1.1、什么是lj邮件？
某种程度上，对lj邮件的定义可以是：那些人们没有意愿去接收到的电子邮件都是lj邮件。比如：
*商业广告。很多公司为了宣传新的产品、新的活动等通过电子邮件的方式进行宣传。
*{**此为已被过滤词语**}言论。目前会收到不少来自其他国家或者{**此为已被过滤词语**}组织发送的这类电子邮件，这就跟lj的商业广告一样，销售和贩卖他们的所谓言论。
*蠕虫bd邮件。越来越多的bd通过电子邮件来迅速传播，这也的确是一条迅速而且有效的传播途径。
*恶意邮件。恐吓、欺骗性邮件。比如phishing，这是一种假冒网页的电子邮件，完全是一种诡计，来蒙骗用户的个人信息、账号甚至信用卡。
普通个人的电子邮箱怎么成为了lj邮件的目标呢，造成这样的结果有很多原因，比如在网站、论坛等地方注册了邮件地址，bd等在朋友的邮箱中找到了你的电子邮箱，对邮件提供商进行的用户枚举，等等。通常情况下，越少暴露电子邮件地址越少接收到lj邮件，使用时间越短越少接收到lj邮件。一些无奈的用户就选择了放弃自己的邮箱而更换新的电子邮箱。
1.2、安全问题
lj邮件给互联网以及广大的使用者带来了很大的影响，这种影响不仅仅是人们需要花费时间来处理lj邮件、占用系统资源等，同时也带来了很多的安全问题。
lj邮件占用了大量网络资源，这是显而易见的。一些邮件服务器因为安全性差，被作为lj邮件转发站为被警告、封IP等事件时有发生，大量消耗的网络资源使得正常的业务运作变得缓慢。随着国际上反lj邮件的发展，组织间黑名单共享，使得无辜服务器被更大范围屏蔽，这无疑会给正常用户的使用造成严重问题。
lj邮件和黑客攻击、bd等结合也越来越密切，比如，SoBig蠕虫就安装开放的，可以用来支持邮件转发的代理。随着lj邮件的演变，用恶意代码或者监视软件等来支持lj邮件已经明显地增加了。2003年12月31，巴西的一个黑客组织发送包含恶意javascript脚本的lj邮件给数百万用户，那些通过Hotmail来浏览这些lj邮件的人们在不知不觉中已经泄露了他们的账号。另外一个例子就是，近来IE的URL显示问题，在主机名前添加"%01"可以隐藏真实的主机地址，在被发布之后几个星期内就出现在lj邮件中了。
越来越具有欺骗性的bd邮件，让很多企业深受其害，即便采取了很好的网络保护策略，依然很难避免，越来越多的安全事件都是因为邮件产生的，可能是bd、木马或者其他恶意程序。Phishing的假冒诡计对于普通使用者来说，的确很难作出正确的判断，但是造成的损失却是很直接的。
2、反lj邮件技术
已经存在的和在被提及的反lj邮件方法试图来减少lj邮件问题和处理安全需求。通过正确的识别lj邮件，邮件bd或者邮件攻击程序等都会减少。这些解决方法采取多种安全途径来努力阻止lj邮件。
当前的反lj邮件技术可以分为4大类：过滤器 、反向查询 、挑战 和密码术 ,这些解决办法都可以减少lj邮件问题，但是都有它们的局限性。本文将在下面的内容讨论这些技术以及一些主要技术的实现。
2.1、过滤
过滤 是一种相对来说最简单却很直接的处理lj邮件技术。这种技术主要用于接收系统 来辨别和处理lj邮件。从应用情况来看，这种技术也是使用最广泛的，比如很多邮件服务器上的反lj邮件插件、反lj邮件网关、客户端上的反lj邮件功能等，都是采用的过滤技术。
2.1.1、关键词过滤
关键词过滤技术通常创建一些简单或复杂的与lj邮件关联的单词表来识别和处理lj邮件。比如某些关键词大量出现在lj邮件中，如一些bd的邮件标题，比如：test。这种方式比较类似反bd软件利用的bd特征一样。可以说这是一种简单的内容过滤方式来处理lj邮件，它的基础是必须创建一个庞大的过滤关键词列表。
这种技术缺陷很明显，过滤的能力同关键词有明显联系，关键词列表也会造成错报可能比较大，当然系统采用这种技术来处理邮件的时候消耗的系统资源会比较多。并且，一般躲避关键词的技术比如拆词，组词就很容易绕过过滤。
2.1.2、黑白名单
黑名单 和白名单 。分别是已知的lj邮件发送者或可信任的发送者IP地址或者邮件地址。现在有很多组织都在做*bl ，将那些经常发送lj邮件的IP地址 收集在一起，做成 一个BL，可以在很大范围内共享。许多ISP正在采用一些组织的BL来阻止接收lj邮件。白名单则与黑名单相反，对于那些信任的邮件地址或者IP就完全接受了。
目前很多邮件接收端都采用了黑白名单的方式来处理lj邮件，包括MUA和MTA，当然在MTA中使用得更广泛，这样可以有效地减少服务器的负担。
BL技术也有明显的缺陷，因为不能在block list中包含所有的（即便是大量）的IP地址，而且lj邮件发送者很容易通过不同的IP地址来制造lj。
2.1.3 HASH技术
HASH技术是邮件系统通过创建HASH来描述邮件内容，比如将邮件的内容、发件人等作为参数，最后计算得出这个邮件的HASH来描述这个邮件。如果HASH相同，那么说明邮件内容、发件人等相同。这在一些ISP上在采用，如果出现重复的HASH值，那么就可以怀疑是大批量发送邮件了。
2.1.4 基于规则的过滤
这种过滤根据某些特征（比如单词、词组、位置、大小、附件等）来形成规则，通过这些规则来描述lj邮件，就好比IDS中描述一条入侵事件一样。要使得过滤器有效，就意味着管理人员要维护一个庞大的规则库。
2.1.5 智能和概率系统
广泛使用的就是贝叶斯(Bayesian)算法，可以学习单词的频率和模式，这样可以同lj邮件和正常邮件关联起来进行判断。这是一种相对于关键字来说，更复杂和更智能化的内容过滤技术。我将在下面详细描述这种在客户端和服务器中使用最广泛的技术。
2.1.5.1 Bayesian 贝叶斯算法
在过滤器中，现在表现最好的应该是基于评分(score)的过滤器，因为我们很容易就可以明白对付狡猾的lj邮件，那些黑白名单、关键词库或者HASH等过滤器是多么的简单。评分系统过滤器是一种最基本的算法过滤器，也是贝叶斯算法的基本雏形。它的原理就是检查lj邮件中的词或字符等，将每个特征元素（最简单的元素就是单词，复杂点的元素就是短语）都给出一个分数（正分数），另一方面就是检查正常邮件的特征元素，用来降低得分的（负分数）。最后邮件整体就得到一个lj邮件总分，通过这个分数来判断是否spam。
这种评分过滤器尽量实现了自动识别lj邮件的功能，但是依然存在一些不适应的问题：
*特征元素列表通过lj邮件或者正常邮件获得。因此，要提高识别lj邮件的效果，就要从数百邮件中来学习，这降低了过滤器效率，因为对于不同人来说，正常邮件的特征元素是不一样的。
*获得特征元素分析的邮件数量多少是一个关键。如果lj邮件发送者也适应了这些特征，就可能让lj邮件更象正常邮件。这样的话，过滤特征就要更改了。
*每个词计算的分数应该基于一种很好的评价，但是还是有随意性。比如，特征就可能不会适应lj邮件的单词变化，也不会适应某个用户的需要。
贝叶斯理论现在在计算机行业中应用相当广泛，这是一种对事物的不确定性描述，比如google计算中就采用了贝叶斯理论。贝叶斯算法的过滤器就是计算邮件内容中成为lj邮件的概率，它要首先从许多lj邮件和正常邮件中进行学习，因此，效果将比普通的内容过滤器更优秀，错报就会更少。贝叶斯过滤器也是一种基于评分的过滤器。但不仅仅是一种简单的计算分数，而更从根本上来识别。它采用自动建立特征表的方式，原理上，首先分析大量的lj邮件和大量的正常邮件，算法分析邮件中多种特征出现概率。
贝叶斯算法计算特征的来源通常是：
·邮件正文中的单词
·邮件头（发送者、传递路径等）
·其他表现，比如HTML编码（如颜色等）
·词组、短语
·meta信息，比如特殊短语出现位置等
比如，正常邮件中经常出现单词AAA，但是基本不在lj邮件中出现，那么，AAA标示lj邮件的概率就接近0，反之则然。