Gibt es das Wundermittel gegen Spam?

Seite 1 von 6 Januar 2005 Gibt es das Wundermittel gegen Spam? Der Bedarf an zuverlässigen Filtermethoden ist groß – welche Technologien werden dem Anspruch am ehesten gerecht? Autor: Volker Zinser, Systems Engineer Symantec (Deutschland) GmbH Der zunehmende Versand von Massen-E-Mails belastet den Privatanwender ebenso wie Unternehmen. Im Monat Oktober konnte Symantec einen Spam-Anteil von 66 Prozent am weltweiten Gesamt-E-Mail-Aufkommen feststellen1. Im privaten Bereich kostete es den Anwender bisher zwar in erster Linie Nerven, mittlerweile nehmen aber auch Spam-Mails mit betrügerischen Inhalten in Form von Phishing-Mails immer stärker zu. Unternehmen haben bereits heute mit erheblichen Kosten zu kämpfen, die eindeutig auf die Flut von Spam-Mails zurückgehen. Immer neue Technologien sind notwendig, um der Gefahr durch Spam zuverlässig zu begegnen – die wichtigsten stellt Volker Zinser, Systems Engineer Symantec (Deutschland) GmbH, im Folgenden vor. Die klassische Definition von Spam, der unaufgeforderten Zusendung von Werbemails und Informationen, ist zwar immer noch richtig, aber die Ausmaße sind heute wesentlich umfangreicher und zerstörerischer. So zählen Spam-Mails heute zu den größten Belastungen für die Netzwerklast in Unternehmen und verursachen dadurch hohe Kosten. Nicht nur, dass die Speicher der Server mit unerwünschten E-Mails belastet werden und Administratoren viel Zeit mit der Beseitigung verbringen, auch jeder Mitarbeiter verbringt durchschnittlich 15 Minuten pro Tag mit dem Lesen, Löschen und Beantworten dieser Mails. Spam-Mails sind ein schwerwiegender volkswirtschaftlicher Faktor geworden und werden sowohl in Politik und auch rechtlich ernst genommen. Der Ablauf einer Spam-Attacke ist ebenso subtil wie erfolgreich für einen Spam-Versender. Über gigantische E-Mail-Listen, die im Internet ausgeforscht oder einfach eingekauft werden, verteilt der Spammer seine Mails. 1 Die Grundlage liefern 106 Milliarden gescannte E-Mails Seite 2 von 6 Januar 2005 Statistiken des US-amerikanischen Business 2.0 Magazins zeigen, dass bei einer Reaktionsrate von nur 0,05 Prozent und einem erfolgten Kauf von 20 Euro, der Spam-Versender bereits einen Umsatz von einer Million Euro im Monat erzielen kann. Die Verwender von Spam-Mails generieren immer neue Techniken. Von den ersten ASCII-basierenden Angriffen haben sich die Spam-Technologien mittlerweile zu hoch komplexen und spezialisierten Anwendungen entwickelt. Um die Ergebnisse noch zu steigern und das Verhalten der Empfänger besser analysieren zu können, werden die E-Mails vermehrt mit kleinen Applikationen ergänzt. Einfache Flash- Animationen erzeugen höhere Beachtung, kleine Anwendungen protokollieren beim Anklicken von Bildern die Richtigkeit der E-Mail-Adresse, und versteckte Inhalte geben den Spam-Versendern zusätzliche Informationen über das Verhalten der Anwender. Wie arbeiten Anti-Spam-Lösungen? Verschiedene Faktoren sind für eine leistungsfähige Anti-Spam-Lösung wichtig. So ist ein Schutz nur dann sinnvoll, wenn er effizient und auch zuverlässig funktioniert. Messbar wird die Leistungsfähigkeit, indem die Zahl der abgefangenen Spam-Mails der Anzahl der fälschlicherweise blockierten Mails gegenübergestellt wird. Je besser das Verhältnis ausfällt, desto besser ist die Lösung zu bewerten. Dieses Verhältnis wird von reaktiven und proaktiven Ansätzen beeinflusst. Je größer der reaktive Anteil ist, desto weniger Fehler unterlaufen der Lösung. Negativ wirkt sich dies jedoch auf neue unbekannte Spam-Mails aus, da diese nur von der proaktiven Komponente erkannt werden können. Abschließender Einfluss bei der Auswahl einer optimalen Lösung ist der Verwaltungsaufwand und die Aktualität der Filterlisten. Um die Aktualität der Daten zu gewährleisten, werden neben öffentlichen Listen zum Teil auch herstellereigene Aufstellungen eingesetzt. Gefüttert werden diese in den Symantec-Lösungen zum Beispiel durch die im Symantec BLOC (Brightmail Logistics and Operation Center) gefilterten E-Mails. Hier werden 24 Stunden am Tag Informationen aus den unterschiedlichsten Quellen gesammelt und in die Spam-Datenbank eingepflegt. Eine Anti-Spam-Lösung kann direkt am Gateway des Unternehmens, am Mail-Server, am Client oder als Kombination betrieben werden. Besonderes Augenmerk ist auf die Konfiguration in Bezug auf Ausfallsicherheit und Fehlererkennung zu legen. Genauso negativ wie die Überflutung durch Spam-Mails, kann sich der Ausfall von Mailempfang und -versand oder gar die Blockierung von wichtigen E-Mails auswirken. Seite 3 von 6 Januar 2005 Wie bereits Eingangs erwähnt ist auch eine schnelle Reaktionszeit auf neue Attacken durch den Hersteller und eine aktuelle Bereitstellung der Daten ein wichtiger Faktor für einen optimalen Schutz gegen Spam- Attacken. Die Mischung macht’s – erst kombinierte Lösungen bieten umfassenden Schutz Um der Spam-Flut Herr zu werden und die Systeme zu schützen, kommen verschiedene Technologien zum Einsatz, entweder separat oder, wie zum Beispiel bei Symantec Brightmail Anti-Spam, in einer kombinierten Lösung. Dabei passieren die E-Mails einzelne Filterstufen und werden auf mögliche versteckte Spam-Inhalte untersucht: 1. Benutzerdefinierte Filter Neben dem herstellerseitigen Filter können in den meisten Lösungen auch benutzerdefinierte Listen geführt werden. Dabei stehen dem Anwender sowohl Black als auch White Lists zur Verfügung. Vielfach kann der Anwender auch im Bereich Content Filtering eigene Themen eintragen und verwalten. Diese Filtertechnologie sollte immer am Anfang stehen, denn wenn der Anwender entscheidet, dass ein Absender vertrauenswürdig ist, dann hat das oberste Priorität. 2. Reputationsfilter Der Reputationsfilter greift auf Listen zurück, die von Anti-Spam-Herstellern und anderen Institutionen verwaltet werden. In diesen sogenannten Black Lists werden Einträge aus Meldungen von Anwendern, aus Ergebnissen anderer Technologien und bekannt gewordenen Spam-Quellen hinterlegt. Auf Anwenderseite werden die eingehenden E-Mails mit den Informationen aus diesen Listen verglichen und bei Übereinstimmung abgefangen und je nach Anforderung gesondert abgelegt oder gleich gelöscht. Da immer neue Quellen dazukommen, muss diese Technologie sehr häufig und dynamisch mit neuesten Informationen gepflegt werden, da sie sonst nur eine Basissicherheit bietet. Ein guter und gepflegter Reputationsfilter ist allerdings in der Lage, schon allein 75 Prozent des Spam-Aufkommens zu erkennen. 3. Filterung von Dateianhängen Häufig werden Spam-Mails in Kombination mit Dateianhängen verschickt, die beim Anklicken Bilder oder auch bösartigen Code enthalten können. Moderne Filter erkennen den Inhalt von Dateianhängen bereits an spezifischen Merkmalen und können an Hand von bekannten Angriffen diese E-Mail blocken. Damit müssen nicht gleich komplette Dateiformate gesperrt werden. Seite 4 von 6 Januar 2005 4. URL-Filter Ähnlich wie beim Reputationsfilter wird bei dieser Technologie auch mit Listen gearbeitet. In diesen Aufstellungen werden die URLs von bekannten Spammer-Webseiten registriert und mit den in den E- Mails angeführten URLs verglichen. Dabei werden sowohl einfache Links als auch Rückantwort- Adressen analysiert und protokolliert. 5. Heuristischer Filter Hierbei wird die Struktur, also alle Komponenten der E-Mail, wie Betreffzeile und Inhalte, analysiert und mit bekannten Spammer-Mustern verglichen. Dazu zählen vor allem einfache Dinge wie zum Beispiel die Verwendung von Kapitälchen oder der verstärkte Einsatz von Ausrufe- und Sonderzeichen. Über eine Content-Filter-Technologie kann auch nach bestimmten unerwünschten Inhalten gescannt werden. Durch einfaches Auswählen von Kategorien werden diese Themenbereiche ausgeblendet und nicht weiter verteilt. In den Betreffzeilen suchen die Filter nach Spuren von Spam-Programmen, wie zum Beispiel Programmnamen, oder auch veränderten Absendern und Zeitzonen. Analysierte E-Mails werden anschließend in verschiedene Gruppen einsortiert und entsprechend der von der Anti-Spam-Lösung definierten Regeln zugestellt, geblockt oder vernichtet. Nachteil einer rein heuristischen Lösung ist jedoch, dass sie teilweise aufwändig konfiguriert und gepflegt werden muss und bei fehlerhafter Bedienung möglicherweise auch E-Mails unbeabsichtigt geblockt werden können. Eine heuristische Prüfung birgt außerdem den Nachteil, dass sie relativ große Rechnerkapazitäten benötigt – in der Symantec Brightmail-Lösung wird sie daher als letzter Schritt eingesetzt, nachdem die E-Mail bereits durch die vorgeschalteten Filter geprüft wurde. 6. Bayes-Filter Im Gegensatz zum Wortfilter arbeitet dieser lernende Filter nicht nur mit Wörtern die häufig in Spam- Nachrichten vorkommen, sondern auch mit solchen, die in legitimierten Nachrichten enthalten sind, also in solchen, die auf keinen Fall geblockt werden sollen. Jedes Wort hat eine bestimmte Wahrscheinlichkeit. Mit Hilfe der Regeln von Thomas Bayes (englischer Mathematiker, 18. Jahrhundert) wird eine Gesamtwahrscheinlichkeit berechnet, ob es sich bei der betreffenden Mail um Spam handelt oder nicht.