Den Spammern immer einen Schritt voraus

Seite 1 von 6 Hintergrundartikel März 2005 Den Spammern immer einen Schritt voraus Kombinierte Filtermethoden arbeiten zuverlässig und effizient Volker Zinser, Senior Systems Engineer Symantec (Deutschland) GmbH Im Monat Januar 2005 konnte Symantec einen Spam-Anteil von 67 Prozent am weltweiten Gesamt-E-Mail-Aufkommen feststellen 1 . Im privaten Bereich kostete es den Anwender bisher zwar in erster Linie Nerven, mittlerweile nehmen aber auch Spam- Mails mit betrügerischen Inhalten in Form von Phishing-Mails immer stärker zu. Unternehmen haben bereits heute mit erheblichen Kosten zu kämpfen, die eindeutig auf die Flut von Spam-Mails zurückgehen. Laut einer Umfrage von Symantec vom November letzten Jahres im deutschsprachigen Raum verwenden Mitarbeiter in 39 Prozent der befragten kleinen und mittelständischen Unternehmen bis zu 45 Minuten täglich auf die Bearbeitung von Spam-Mails. Spammer werden außerdem immer erfinderischer, was die Methoden für den Versand und auch die Beschaffung neuer E-Mail-Adressen angeht. Immer neue Technologien sind notwendig, um der Gefahr durch Spam zuverlässig zu begegnen und das Katz-und-Maus-Spiel gegen Spammer zu gewinnen. Die klassische Definition von Spam, der unaufgeforderten Zusendung von Werbemails und Informationen, ist zwar immer noch richtig, aber die Ausmaße sind heute wesentlich umfangreicher und zerstörerischer. So zählen Spam-Mails heute zu den größten Belastungen für die Netzwerklast in Unternehmen und verursachen dadurch hohe Kosten. Nicht nur, dass die Speicher der Server mit unerwünschten E-Mails belastet werden und Administratoren viel Zeit mit der Beseitigung verbringen, auch jeder Mitarbeiter verbringt durchschnittlich 15 Minuten pro Tag mit dem Lesen, Löschen und Beantworten dieser Mails. Spam-Mails sind ein schwerwiegender volkswirtschaftlicher Faktor geworden und werden sowohl in Politik und auch rechtlich ernst genommen. 1 Die Grundlage liefern 106 Milliarden gescannte E-Mails Seite 2 von 7 März 2005 Der Ablauf einer Spam-Attacke ist ebenso subtil wie erfolgreich für einen Spam-Versender. Statistiken des US-amerikanischen Business 2.0 Magazins zeigen, dass bei einer Reaktionsrate von nur 0,05 Prozent und einem erfolgten Kauf von 20 Euro, der Spam-Versender bereits einen Umsatz von einer Million Euro im Monat erzielen kann. E-Mail-Adressen generiert der Versender zum Beispiel mit sogenannten Spambot-Programmen (das sind Programme, die Adressinformationen aus dem Internet ziehen) oder Suchmaschinen automatisiert. Oder er spioniert sie mit Hilfe von Spyware aus, die beim potenziellen Opfer installiert wird. Außerdem werden E-Mail-Adressen, die für das Abonnieren von Newslettern oder das Verschicken von Internet-Grußkarten registriert werden, häufig zum Kauf angeboten, so dass Spam-Versender bereits für einen geringen Betrag Millionen von E-Mail-Adressen erwerben kann. Die Versender von Spam-Mails generieren immer neue Techniken. Von den ersten ASCII- basierenden Angriffen haben sich die Spam-Technologien mittlerweile zu hoch komplexen und spezialisierten Anwendungen entwickelt. Um die Ergebnisse noch zu steigern und das Verhalten der Empfänger besser analysieren zu können, werden die E-Mails vermehrt mit kleinen Applikationen ergänzt. Einfache Flash-Animationen erzeugen höhere Beachtung, kleine Anwendungen (Spyware) protokollieren beim Anklicken von Bildern die Richtigkeit der E- Mail-Adresse, und versteckte Inhalte geben den Spam-Versendern zusätzliche Informationen über das Verhalten der Anwender. Wie arbeiten Anti-Spam-Lösungen? Verschiedene Faktoren sind für eine leistungsfähige Anti-Spam-Lösung wichtig. So ist ein Schutz nur dann sinnvoll, wenn er effizient und auch zuverlässig funktioniert. Die Vermeidung von False Positives, also fälschlicherweise als Spam klassifizierter E-Mails, spielt dabei eine bedeutende Rolle. Nur wenn dieser Anteil sehr gering ist, ist eine Anti-Spam-Lösung zuverlässig, zeitsparend und effektiv. Eine Untersuchung von Ferris Research aus dem August 2003 hat zum Beispiel ergeben, dass die durch False Positives verursachten Kosten bei Unternehmen in den USA bei 3,5 Milliarden US-Dollar jährlich liegt. Unternehmen, die sich im ersten Schritt auf die Vermeidung von False Positives konzentriert haben und erst im zweiten auf die Verbesserung des Spam-Filters haben von daher mit ihren Produkten richtig gelegen, die meisten Hersteller haben sich allerdings zunächst einmal um die Verstärkung der Filter bemüht und mussten dann einen Schritt zurückrudern. Messbar wird die Leistungsfähigkeit eines Spam-Filters, indem die Zahl der abgefangenen Spam-Mails der Anzahl der fälschlicherweise blockierten Mails gegenübergestellt wird. Je besser das Verhältnis ausfällt, desto besser ist die Lösung zu bewerten. Seite 3 von 7 März 2005 Dieses Verhältnis wird von reaktiven und proaktiven Ansätzen beeinflusst. Reaktive Filtermethoden arbeiten zum Beispiel mit signaturbasierten Filtern. Sie arbeiten akkurat, allerdings benötigen sie eine umfangreiche und ständig aktualisierte Infrastruktur, denn die Lösung gleicht die E-Mails mit den ihr zur Verfügung stehenden Daten ab. Je größer der reaktive Anteil ist, desto weniger Fehler unterlaufen der Lösung. Negativ wirkt sich dies jedoch auf neue unbekannte Spam-Mails aus, da diese nur von den proaktiven Komponenten erkannt werden können. Proaktive Filtermethoden arbeiten zum Beispiel mit heuristischen Filtern. Diese Filter suchen nach bestimmten Spam-Charakteristiken und sind daher effektiver, wenn es um die Blockierung von neuen unbekannten Spam-Mails geht. Hier kommt es darauf an, dass die Filter kontinuierlich nachgebessert und „trainiert“ werden, damit sie auch neue „Verhaltensmuster“ von Spam-Mails schnell erkennen. Nachteil einer solchen Filtermethode ist die vergleichsweise höhere Gefahr, E-Mails fälschlicherweise als Spam einzuordnen. Höchste Effektivität erzielt eine Anti-Spam-Lösung, wenn reaktive und proaktive Filtermethoden kombiniert werden, denn nur so lässt sich eine hohe Effizienz bei gleichzeitiger Minimierung von False Positives erzielen. Abschließender Einfluss bei der Auswahl einer optimalen Lösung ist der Verwaltungsaufwand und die Aktualität der Filterlisten. Um die Aktualität der Daten zu gewährleisten, werden neben öffentlichen Listen zum Teil auch herstellereigene Aufstellungen eingesetzt. Gefüttert werden diese in den Symantec-Lösungen zum Beispiel durch die im Symantec BLOC (Brightmail Logistics and Operation Center) gefilterten E-Mails. Dazu betreibt Symantec das sogenannte Probe Network, das aus mehr als 2 Millionen „Honeypot“ E-Mail-Konten in mehr als 20 Ländern besteht. Der Mailverkehr zu diesen Konten – zig Millionen E-Mails täglich – wird im BLOC analysiert und Analysten entwickeln entsprechende Gegenmaßnahmen gegen neu identifizierte Spam-Mails. Im BLOC werden 24 Stunden am Tag Informationen aus den unterschiedlichsten Quellen gesammelt und in die Spam-Datenbank eingepflegt. Aktualisierungen werden im Durchschnitt alle zehn Minuten automatisiert an den Kunden weitergegeben, um einen Echtzeitschutz vor Spam zu gewährleisten. Eine Anti-Spam-Lösung kann direkt am Gateway des Unternehmens, am Mail-Server, am Client oder als Kombination betrieben werden. Besonderes Augenmerk ist auf die Konfiguration in Bezug auf Ausfallsicherheit und Fehlererkennung zu legen. Genauso negativ wie die Überflutung durch Spam-Mails, kann sich der Ausfall von Mailempfang und -versand oder gar die Blockierung von wichtigen E-Mails auswirken. Seite 4 von 7 März 2005 Die Mischung macht’s – erst kombinierte Lösungen bieten umfassenden Schutz Um der Spam-Flut Herr zu werden und die Systeme zu schützen, kommen verschiedene Technologien zum Einsatz, entweder separat oder in einer kombinierten Lösung, wie zum Beispiel bei Symantec Brightmail Anti-Spam, wo mehr als 17 Filtermethoden eingesetzt werden. Dabei passieren die E-Mails einzelne Filterstufen und werden auf mögliche versteckte Spam-Inhalte untersucht: 1. Benutzerdefinierte Filter Neben dem herstellerseitigen Filter können in den meisten Lösungen auch benutzerdefinierte Listen geführt werden. Dabei stehen dem Anwender sowohl konfigurierbare Black als auch White Lists zur Verfügung. Vielfach kann der Anwender auch im Bereich Content Filtering eigene Themen eintragen und verwalten. Diese Filtertechnologie sollte immer am Anfang der Prüfung stehen, denn wenn der Anwender entscheidet, dass ein Absender vertrauenswürdig ist, dann hat das oberste Priorität. 2. Reputationsfilter Der Reputationsfilter greift auf Listen zurück, die von Anti-Spam-Herstellern und anderen Institutionen verwaltet werden. In diesen sogenannten Black Lists werden Einträge aus Meldungen von Anwendern, aus Ergebnissen anderer Technologien und bekannt gewordenen Spam-Quellen hinterlegt. Auf Anwenderseite werden die eingehenden E-Mails mit den Informationen aus diesen Listen verglichen und bei Übereinstimmung abgefangen und je nach Anforderung gesondert abgelegt oder gleich gelöscht. Da immer neue Quellen dazukommen, muss diese Technologie sehr häufig und dynamisch mit neuesten Informationen gepflegt werden, da sie sonst nur eine Basissicherheit bietet.