专家称反垃圾邮件的过程将是漫长的博弈

　如果你选择了反垃圾邮件产品，那你必须找到一个平衡点——在正确率与误判率之间，在防范与效率之间。

　　垃圾邮件30岁

　　5月，据国外相关媒体报道，社交网站Myspace赢得了一桩有关垃圾邮件的官司，有望获得2.34亿美元的赔偿。

　　垃圾邮件的发送者是莱恩斯和华莱士两人。他们在Myspace创建了新账号，或是通过盗窃密码盗取了其他用户的账号。随后，两人大肆向Myspace用户发送垃圾邮件。他们装作推荐一个精彩视频的网站，当用户点击之后，却被转引到其他网站。美联社认为，这次官司是反垃圾邮件赢得的一次大胜利。

　　有意思的是，2008年5月，垃圾邮件正满30岁。垃圾邮件之所以泛滥，是因为简单邮件传输协议SMTP只问所达，不问出处，结果被发送者所利用。

　　利用Web2.0网站进行疯狂地发送垃圾邮件，还只是垃圾邮件众多发展趋势中的一种。相关人士表示，目前垃圾邮件朝着智能型垃圾邮件(多种技术综合应用，变得越来越智能)迈进，样本多样化、随机化、复杂图片合成、复杂附件技术被应用。专家称，垃圾与反垃圾的战争将是一个漫长的博弈。

　　中国互联网协会反垃圾邮件中心发布的2008年第一季度反垃圾邮件状况调查报告显示，垃圾邮件发送者为了逃避监管部门的拦截，对所发送的垃圾邮件的正文格式有了多种形式的翻新，有近一半的垃圾邮件都采用了图片加文本格式进行撰写。有55%的垃圾邮件还通过附件的方式进行发送，这些附件有32.86%都是压缩文件形式，这给反垃圾工作提出了新的挑战，也预示着反垃圾邮件工作的艰巨与漫长。

　　据东北大学网络中心张登科介绍，垃圾邮件发送方式的演化分为三个时期，在早期的时候，利用Open-Proxy或Open-Relay发送。在发展阶段，利用发件人地址随机变化、邮件主题随机变化等手段发送。现在垃圾邮件发送手段更加恶劣，往往采用信体加入干扰内容识别算法的文字，利用人的视觉反差来干扰内容分析，或者结合动态IP技术的低速群发垃圾邮件等。

　　技术攻坚

　　在与垃圾邮件的持续对抗中，反垃圾邮件技术也在不断发展。相关人士认为，反垃圾邮件技术可被归纳为四代。

　　东北大学网络中心从2003年开始着手反垃圾邮件技术的研发，参与人张登科表示，抛弃“代”的概念，他认为目前所有的反垃圾邮件技术都可被划分为基于内容解析的与基于行为解析的技术。

　　基于内容的反垃圾邮件技术的原理是: 如果一封邮件被判定为垃圾，则凡是与该邮件有相同校验和的邮件，都将被视作垃圾邮件而被丢弃或做其他处理。基于内容过滤的技术有很多，包括关键字过滤、黑白名单、HASH技术、贝叶斯统计等。

　　内容过滤主要通过相关技术用于接收系统(MUA，如Outlook Expree或者MTA，如sendmail)来辨别和处理垃圾邮件。

　　而基于行为解析的反垃圾邮件技术是从电子邮件发送和传输的行为出发，根据邮件会话信息，寻找垃圾邮件的来源，提取邮件的行为特征，进而加以判断识别。基于行为解析的反垃圾邮件技术有SMTP路径分析技术、Sender ID、灰名单等。常用的特征包括收件人个数、发送次数、发送频率、路由信息等。这个技术不必完整收下邮件即可完成“是否是垃圾邮件”的判断。

　　相关人士介绍，最近几年以来，高校、研究机构和各大公司提出了多种邮件安全的技术和解决方案。在行为分析解析技术方面，鉴于传统电子邮件缺乏信誉机制，雅虎提出了Domain Key的方案，微软提出了Sender ID的方案。这两个方案后来都成为IETF国际标准。而在内容过滤的技术方面，利用贝叶斯分析进行垃圾邮件过滤的方法越来越引起大家的注意，越来越多的实践表明这种方法具有极好的效果。世界最大的几家计算机安全厂商，例如Brightmail、CipherTrust、Ironport等，开始在全球范围内部署蜜罐，用于收集垃圾邮件，强化相关研究并据此提供反垃圾邮件服务。

　　其中，基于行为解析的技术一度成为研究热点。如MailChannels公司在2006年发布了一种从SMTP路由上实施类似“节流伐”控制原理的技术来对付垃圾邮件，并取得了不错的进展，该论文也获得了2007年美国麻省理工大学垃圾邮件会议的最佳论文的荣誉。在2006年底，博威特网络技术公司宣布将针对“好人”身份欺骗的特征识别技术加入梭子鱼垃圾邮件防火墙中。

　　尽管研究人员尽力推陈出新，但是目前仍然面临很多技术方面的难点，华南理工大学网络与信息工程研究中心董守斌教授表示，当前的研究工作主要有三个难点。

　　第一，变种垃圾邮件的识别。变种的垃圾邮件可以容易地躲避目前技术中除身份验证之外的其他方法。
　　第二，过滤器的性能问题。随着垃圾邮件种类的不断更新，过滤方法日趋复杂，计算开销大已成为目前很多垃圾邮件过滤系统要解决的主要问题。
　　第三，安全问题。处理垃圾邮件中的一些内容(特别是分析/运行脚本)会对系统安全造成一定威胁。

　　用户的问题与行动

　　垃圾邮件在中国大量泛滥是在2002年左右，“当时很多邮箱突然出现很多垃圾邮件，用户很难从几百封邮件里找出一封正常的邮件。”中国互联网协会反垃圾邮件工作委员会常务副秘书长李红说。

　　2002年前后，国外的垃圾邮件发送者利用我国大部份服务器默认开放的中继转发功能向国外大量转发垃圾邮件，导致国外反垃圾邮件组织封杀中国I P地址，造成我国网络连接不畅，信息交流受阻。严重影响了我国互联网业务的正常运转。这时候，中国互联网协会成立了反垃圾邮件协调小组，后来发展成现在的反垃圾邮件工作委员会，联合了国内多家大型邮件服务商等会员单位，在机制与技术方面进行了探讨。经过几年的治理取得了初步的成效。

　　“我们采取了综合治理的方式：协助政府完善法律法规并实施行政监管、开展行业自律、进行普教宣传、研究并实施技术保障和支撑措施以及建立国际协作共享机制。”2007年，这些措施得到进一步验证，根据国际相关机构的调查显示，发自中国的垃圾邮件数量在全球所占比重从2006年第一季度的21.9%下降到了2007年第四季度的4.2%。

　　对校园网来说，从2002年起，垃圾邮件开始大规模泛滥，比例不断增多。迅速到访的大批量邮件让网管人员颇为头疼。

　　因此，高校面临着两个选择，要不要用反垃圾产品？如果要用，是购买产品还是自己在开源软件的基础上进行开发？

　　要不要用反垃圾邮件产品？正如一个技术帮你解决问题的同时，也往往带来新的问题，反垃圾邮件产品也是一把双刃剑。在防范垃圾的同时，它又产生一些副作用，比如，邮件系统的稳定性，邮件抵达的效率，以及对正常邮件的误判都将程度不同地影响用户体验。”清华大学就是在思考再三之后才上了反垃圾邮件网关，因为用户数量庞大，使用反垃圾邮件系统得经过重重处理，可想而知在用户数特别庞大的时候，效率将会不可避免地降低。

　　“作为一名网管，你必须正视两件事，一是很多用户将邮件当成即时通讯，他们对速度的要求很高；其次，用户宁可错收十几封垃圾邮件，也不愿意漏掉一封正常邮件。”中山大学信息与网络中心商尔从说。

　　那就是说，如果你选择了反垃圾邮件产品，那你必须找到一个平衡点——在正确率与误判率之间，在防范与效率之间。

　　反垃圾邮件的工作中，渗透了博弈的哲学。一是垃圾邮件与反垃圾邮件系统的博弈，二是反垃圾邮件系统内部之间的博弈——限制严一些，正常邮件被误判，限制松一些，垃圾邮件大规模涌进。“就像抗癌的药,杀死癌细胞的同时,也杀死了好的细胞。这是一个博弈的过程。”

　　产品走向多技术融合

　　即便存在副作用，在垃圾邮件如此泛滥的今天，购买产品仍然是不少高校的选择。在本刊所采访的高校中，都无一例外地使用了反垃圾邮件产品。国外与本土产品兼而有之。几乎所有网管都一致反映，网关能阻挡大多数垃圾邮件，但对一些诸如利用僵尸网络发送的邮件仍束手无策。

　　在使用的过程中，也出现了一些让学校苦恼的事情。比如，国外产品在本土化还不够，对一些敏感词汇没做控制；还有的反垃圾邮件使用的是商业的防病毒软件，使用期过去之后也并不提示，静悄悄地停止服务，学校甚至要花很久时间查这个问题。

　　张登科认为，无论哪一种技术，都无法完全应对多变的垃圾邮件，因此产品必须走向技术融合。目前厂商都开始逐渐从单项、单点的技术研究发展到对多技术融合、协作式的反垃圾邮件技术体系的研究。行为解析技术和内容分析技术相结合，前者可以弥补后者无法克服的浪费网络带宽的缺点，而后者可以克服前者查全率较低的缺点。

　　相关专家表示，反垃圾系统的过滤效率、可维护性、可扩展性和稳定性，是部署反垃圾邮件系统时应该考虑的主要因素。

　　反垃圾邮件的性能和功能是两大要素，其中性能更为重要。因此，产品在自己环境内的评测显得很重要。评测的主要因素一般有两个，一是正常邮件的误过滤率，二是垃圾邮件的误过滤率。

　　专家表示，要使得一个过滤器有更好的使用效果，应该尽可能的最小化这两个误过滤参数值。然而，由于一个指标的提高往往以牺牲另一个指标为代价，因此同时最小化这两个误过滤参数值一般来说是不可能的。

　　对很多高校来说，如何进行评测，如何选定评测的参数又是另外一个让人颇为头疼的问题。目前尚无统一的参数标准。本期本刊在随后的文章中将给出华南理工大学在此方面的探索和实践，期望能给广大网管员一些借鉴。

　　但是，尽管实施了评测，但是在评测时与在真实环境中的使用仍然存在较大差别。因为垃圾邮件的发送技术也在不断改进与更新，你很难判断网络中的下一个垃圾邮件将是以何种方式发送的。

　　校园网的选择

　　一些高校选择商业产品的出发点是考虑到技术支持，比如清华大学。“由于用户多，为保证系统的的运行，应用商业软件能够得到有保障的技术支持。”清华大学网络与信息工程研究中心田斌表示。

　　无论选择了哪种反垃圾邮件，一定要与服务相配套，一个没有服务的反垃圾邮件系统做得再好，几乎相当于没有升级的防病毒软件。在采访中发现，由于服务费用高昂，一些高校有时候会忍痛只购买反垃圾网关而不购买服务。

　　反垃圾邮件系统的可扩展性也是部署中需要考虑的问题，很多商业系统的扩展可能会带来更大的资金投入，因而一些高校基于开源软件对反垃圾技术进行了深入研究。

　　2005年起，东北大学网络中心依托一些开源软件，自行设计并成功部署了一套反垃圾邮件系统。该系统采用“初审、复审、学习反馈”处理策略，初审使用基于行为分析和规则匹配的过滤技术；复审使用内容分析的技术对疑似邮件集合进行再次识别。运行3年左右，情况良好。

　　华南理工大学信息网络工程研究中心自主研发了Matrix智能邮件处理系统，具有智能化、自动化的反垃圾和防病毒邮件功能。

　　相关专家表示，高校自己开发的产品的优势是对自身的特点非常清楚，更容易实现最佳参数的设定，但和商业的解决方案比，基于开源产品的自主产品存在一些缺憾，比如部署复杂、操作界面不友好，并且需要维护人员具有一定的技术水平，能够及时地跟踪反垃圾邮件技术发展趋势，并对系统进行持续的技术维护和技术升级。

　　一封邮件是否是垃圾邮件，有时候用户对此判断不一，因此，无论是何种反垃圾邮件产品，都不可能尽善尽美。而且随着垃圾邮件越来越泛滥，未来的反垃圾邮件工作将会更困难。在技术发展的同时，专家表示，加强全球范围内的立法目前来说是提高发送邮件成本的重要手段。同时，对校园网来说，不仅要防范，也要保证，树立做“好邻居”的理念，保证自己网内不向外发垃圾邮件