+abmail 迷惑メール対策サービス迷惑メール判定プログラム abmail によるスパム対策の導入のすすめ株式会社あいはら研究開発チーム山田泰司

Size: px

Start display at page:

Download "+abmail 迷惑メール対策サービス迷惑メール判定プログラム abmail によるスパム対策の導入のすすめ株式会社あいはら研究開発チーム山田泰司"

きよたついちぞの
4 years ago
Views:

1 +abmail 迷惑メール対策サービス迷惑メール判定プログラム abmail によるスパム対策の導入のすすめ株式会社あいはら研究開発チーム山田泰司

2 迷惑メールの傾向本文における文字列判定統計的判定を回避画像スパムのシグネチャマッチング等を回避希有なエンコーディング画像スパムノイズ付加された画像機械難読化された画像ボットとして操られているパソコンから送信脆弱性をもつ各種サーバネット家電から送信インターネット発展途上国から大量に送信 greylisting, tarpitting の回避再送要求遅延応答に対応したスパム送信エンジン 2

3 迷惑メールの現状１正当なメールが一日に８０通ほどのユーザの場合メーリングリストメールニュースを多用メールアドレスが公知ウイルス付きメールも多量に混在 2006/11/ /02/15 105日間のメール受信ログ受信数受信数/総数受信数/日数ウイルススパムその他総数９割近くものメールが迷惑メール 3

4 迷惑メールの現状 2 正当なメールが一日に 2 ０通ほどのユーザの場合いくつかのメールニュースを利用メールアドレスが公知ウイルス付きメールは比較的少ない 2006/06/ /02/ 日間のメール受信ログ受信数受信数/総数受信数/日数ウイルススパムその他総数８割以上ものメールが迷惑メール 4

5 迷惑メールの現状３よく使われるアカウント名例の場合メーリングリスト等は未使用メールアドレスが公知ウイルス対策をメールサーバにて実施 2006/11/ /02/ 日間のメール受信ログ受信数受信数/総数受信数/日数ウイルススパムその他総数９割以上ものメールが迷惑メール 5

6 迷惑メール対策の必要性一日に２０通以上の迷惑メールを受信しているユーザは迷惑メール対策の導入が必要かと返信すべきメールを読まずに放置してしまう読まずに棄てるべき迷惑メールに騙されてしまう危険性に対する注意力を日々維持するのは困難既に既存の迷惑メール対策を導入していてもやはり一日に２０通以上の迷惑メールがすり抜けてくるユーザは別の迷惑メール対策の検討が必要かと既に導入している迷惑メール対策ソフトの管理コストや判定能力はシステム環境やスパムの本質に適合していますか 6

7 迷惑メールの特徴１偽装した EHLO/HELO で送りつけるスパマー EHLO/HELO で送り先ドメインを名乗る Return-Path: Received: from aihara.co.jp (unknown [ ]) by mailhost.aihara.co.jp (Postﬁx) with SMTP id 600CD81578 for Sat, 3 Feb :07: (JST) MIME-Version: 1.0 Message-Id: < CD81578@mailhost.aihara.co.jp> Content-Type:text/plain; charset="iso-2022-jp" Content-Transfer-Encoding: 7bit Subject: 検討して頂けましたか From: ハセガワ <woman_lovely@mail.goo.ne.jp> To: <taiji@aihara.co.jp> 長谷川です私の説明わかりにくかったかなと思ったのでもう一度連絡しました個別紹介は私が個人的な紹介をするために作ったものだから参加費とかお金は一円も私いらないですからね (^^) の説明を見てくれてもわかってもらえると思いますただ漠然と紹介するよりちゃんとこういう形で紹介した方が静香さんの事も伝わりやすいと思って作ったんです静香さんがには個別紹介で待って貰っていますので連絡してあげてくださいね結局不倫の関係になっちゃうからこういう安心って必要ですよねメールボックスを作ればすぐ使えるので静香さん自身が望んでる関係なので２３お話ししてみて話が合いそうだったら連絡方法を決めてもいいと思いますよなのでまずは静香さんに連絡してあげて下さいねどうぞよろしくお願いします 7

8 迷惑メールの特徴 2 エンドユーザ空間から直接送りつけてくるボット OP25B が世界的に普及しないと Return-Path: <cruisequiz@hotmail.com> Received: from mail.hotmail.com (adsl dsl.irvnca.sbcglobal.net [ ]) by mailhost.aihara.co.jp (Postﬁx) with SMTP id 0C5AC81519 for <taiji@aihara.co.jp>; Thu, 15 Feb :09: (JST) Received: (qmail invoked by uid 0); 15 Feb :17: MIME-Version: 1.0 Content-Type: text/plain; charset="iso-2022-jp" Content-Transfer-Encoding: 7bit Subject: 心ときめく春をプレゼント From: "DEAR LOVE" <cruisequiz@hotmail.com> To: "" <taiji@aihara.co.jp> Date: 15 Feb :17: 癒しを求め合う男女日常を豊かに過ごすために特別無料ご招待のお知らせもしあなたが日常的に小さな不満を持って日々生活しているのであれば小さな楽しみをプレゼント出来ますもしあなたが理想の出会いを求めていてもなかなか見つからないのであれば小さなときめきをプレゼント出来ますあなたの生活に変化を与えるために無料で始める 8

9 迷惑メールの特徴３逆引き不能な IP アドレスから送りつけてくるスパマー正当なメール送信サーバならまずあり得ない Return-Path: Received: from pc52 (unknown [ ]) by mailhost.aihara.co.jp (Postﬁx) with SMTP id 4D0ED813B8; Thu, 15 Feb :39: (JST) MIME-Version: 1.0 Content-Type:text/plain; charset="iso-2022-jp" Content-Transfer-Encoding: 7bit Subject: 秘密必ずご確認下さい From: To: undisclosed-recipients:; Date: Wed, 14 Feb :46: Reply-To: 提携サイト様より数人の女性の紹介依頼を承っていますその中であなた様の好みに合いそうな女性を今回ご紹介させて頂きたいと思います以下ＵＲＬよりアクセス後ご連絡を望まれる場合はメールアドレスの登録が必要となっておりますもし他の女性を希望される場合今しばらくお待ち下さい 9

10 迷惑メールの特徴４自分は送ってないメールの不到達通知を送る正当な MTA 詐称されたメールアドレスによる偽のバウンス Return-Path: <> Delivered-To: Received: by mailhost.aihara.co.jp (Postﬁx) id ; Mon, 29 Jan :22: (JST) MIME-Version: 1.0 Content-Type: multipart/report; report-type=delivery-status; boundary=" b /mailhost.aihara.co.jp" Subject: Undelivered Mail Returned to Sender From: (Mail Delivery System) To: Date: Mon, 29 Jan :22: (JST) : <joe@aihara.co.jp>: unknown user: "joe" : Received: from aihara.co.jp (unknown [ ]) by mailhost.aihara.co.jp (Postﬁx) with ESMTP id B for <joe@aihara.co.jp>; Mon, 29 Jan :19: (JST) MIME-Version: 1.0 X-Priority: 3 X-MSMail-Priority: Normal Subject: Jlcbyjuvsknu From: taiji@aihara.co.jp To: joe@aihara.co.jp Date: Mon, 29 Jan :20: Content-Type: multipart/mixed; boundary="----=_nextpart_000_0011_f69a8ab6.6b2a41aa" : 10

11 これまでの迷惑メール対策送信者フィルタ型詐称可能な情報を判定基準にするのはどうかメール本文検査型ウイルス検知広告検知ベイズ推定シグネチャマッチング最近はあまり効果がなくイタチごっこの様相アドレス管理型 MTA 検知型 RBL(Real Time Black List) greylisting, S25R(Selective port 25 Rejection), Rgrey, tarpitting, targrey SPF(Sender Policy Framework), DomainKeys 11

12 これからの迷惑メール対策詐称しやすい情報による判定は行わない詐称するコストが高い情報に着目するメール本文も走査しないベイズ推定法を回避するスパム画像シグネチャマッチングを回避する画像スパム本文を走査しても検査コストが増大していくだけ遅延受信拒否など敵に気付かれる手法は排除メールサーバとしては来るものは拒まずスパムは削除隔離分類いずれかの方法でエンドユーザの負担とサーバの負荷を緩和することが肝要スパマーが効果低下に気付くまでの時間を稼ぐ 12

13 abmail による迷惑メール判定１受信メールの経路情報から判定アドレス空間のブラックリストドメイン名のブラックリストエンドユーザアドレスのボットネットを排除クラックされている MTA 等を排除アドレス空間のホワイトリストスパマーやボットの巣窟となるアドレス空間を排除自ドメインやメール転送元となっている MTA 動的アドレス空間上の自前 MTA を救済ドメイン名のホワイトリストエンドユーザアドレスではない正当な MTA を救済 13

14 abmail による迷惑メール判定２偽のバウンスにおいても経路情報から判定メールに添付されたバウンスレポートのメールヘッダから詐称されたメールアドレスからの迷惑メールのバウンスメールであることを判定自分が相手先アドレスを間違って送ってしまったバウンスと偽のバウンスとの判別が可能バウンスではないスパムとほぼ同等の判定能力但し稀に適切なバウンスレポートを添付してくれない MTA が世の中には存在し判定不能となる 14

15 abmail による迷惑メール判定３偽装された情報から判定 EHLO/HELO における偽装宛先のドメイン名で偽装宛先のドメインのアドレスで偽装プライベートアドレス空間で偽装偽装が明らかなのでまず誤判定がありえない 15

16 abmail による迷惑メール判定４逆引き不能による判定と救済措置逆引き不能な MTA はまずスパマーであるたまたま逆引きが不能なケースが稀にあり得る隔離されたスパムを時間差で改めて逆引きすることで誤判定を救済することも可能 DNS サーバへの負荷を考慮するなら隔離もしくは分類されたスパムをエンドユーザが確認できる環境であれば救済措置は必ずしも必須ではない 16

17 abmail による迷惑メール判定５ RBL による判定と救済措置 RBL を併用するとブラックリストの管理が軽減しかし RBL による誤判定も往々にしてあり得る隔離されたスパムを時間差で改めて検査することで誤判定を救済することも可能 DNS サーバへの負荷を考慮するなら隔離もしくは分類されたスパムをエンドユーザが確認できる環境であれば救済措置は必ずしも必須ではない信頼性の高い RBL を利用しオープンリレーのまま放置されている管理が不適切な MTA を簡便に排除することが目的 17

18 abmail による迷惑メール判定６ウイルス対策ソフトとの併用ウイルス対策ソフトを併用すると隔離スパムメールボックスの容量が低減隔離もしくは分類されたスパムをエンドユーザが確認している場合その人的コストも軽減併用しない場合大部分のウイルスをスパムと判定しかし最近はウイルス対策ソフト自体の脆弱性を狙われる事態もあり得るのでウイルス対策ソフトの適切な運用が肝要 18

19 abmail による迷惑メールの現状１正当なメールが一日に８０通ほどのユーザの場合 105 日間の受信メールの内訳種類受信数受信数/日ウイルス不正なEHLO/HELO 偽装されたEHLO/HELO エンドユーザアドレス空間信頼できないアドレス空間 RBLに登録されたアドレス空間不正なバウンスレポートその他総計

20 11/02( 木 ) 11/03( 金 ) 11/04( 土 ) 11/05( 日 ) 11/06( 月 ) 11/07( 火 ) 11/08( 水 ) 11/09( 木 ) 11/10( 金 ) 11/11( 土 ) 11/12( 日 ) 11/13( 月 ) 11/14( 火 ) 11/15( 水 ) 11/16( 木 ) 11/17( 金 ) 11/18( 土 ) 11/19( 日 ) 11/20( 月 ) 11/21( 火 ) 11/22( 水 ) 11/23( 木 ) 11/24( 金 ) 11/25( 土 ) 11/26( 日 ) 11/27( 月 ) 11/28( 火 ) 11/29( 水 ) 11/30( 木 ) 12/01( 金 ) 12/02( 土 ) 12/03( 日 ) 12/04( 月 ) 12/05( 火 ) 12/06( 水 ) 12/07( 木 ) 12/08( 金 ) 12/09( 土 ) 12/10( 日 ) 12/11( 月 ) 12/12( 火 ) 12/13( 水 ) 12/14( 木 ) 12/15( 金 ) 12/16( 土 ) 12/17( 日 ) 12/18( 月 ) 12/19( 火 ) 12/20( 水 ) 12/21( 木 ) 12/22( 金 ) 12/23( 土 ) 12/24( 日 ) 12/25( 月 ) 12/26( 火 ) 12/27( 水 ) 12/28( 木 ) 12/29( 金 ) 12/30( 土 ) 12/31( 日 ) 01/01( 月 ) 01/02( 火 ) 01/03( 水 ) 01/04( 木 ) 01/05( 金 ) 01/06( 土 ) 01/07( 日 ) 01/08( 月 ) 01/09( 火 ) 01/10( 水 ) 01/11( 木 ) 01/12( 金 ) 01/13( 土 ) 01/14( 日 ) 01/15( 月 ) 01/16( 火 ) 01/17( 水 ) 01/18( 木 ) 01/19( 金 ) 01/20( 土 ) 01/21( 日 ) 01/22( 月 ) 01/23( 火 ) 01/24( 水 ) 01/25( 木 ) 01/26( 金 ) 01/27( 土 ) 01/28( 日 ) 01/29( 月 ) 01/30( 火 ) 01/31( 水 ) 02/01( 木 ) 02/02( 金 ) 02/03( 土 ) 02/04( 日 ) 02/05( 月 ) 02/06( 火 ) 02/07( 水 ) 02/08( 木 ) 02/09( 金 ) 02/10( 土 ) 02/11( 日 ) 02/12( 月 ) 02/13( 火 ) 02/14( 水 ) 02/15( 木 ) 02/16( 金 ) 02/17( 土 ) 02/18( 日 ) 02/19( 月 ) 02/20( 火 ) 02/21( 水 ) 02/22( 木 ) 02/23( 金 ) 02/24( 土 ) 02/25( 日 ) 02/26( 月 ) 02/27( 火 ) 02/28( 水 ) 03/01( 木 ) abmail による迷惑メールの現状１正当なメールが一日に８０通ほどのユーザの場合続き受信数の系列受信数の系列ウイルススパムその他 20

21 11/02( 木 ) 11/03( 金 ) 11/04( 土 ) 11/05( 日 ) 11/06( 月 ) 11/07( 火 ) 11/08( 水 ) 11/09( 木 ) 11/10( 金 ) 11/11( 土 ) 11/12( 日 ) 11/13( 月 ) 11/14( 火 ) 11/15( 水 ) 11/16( 木 ) 11/17( 金 ) 11/18( 土 ) 11/19( 日 ) 11/20( 月 ) 11/21( 火 ) 11/22( 水 ) 11/23( 木 ) 11/24( 金 ) 11/25( 土 ) 11/26( 日 ) 11/27( 月 ) 11/28( 火 ) 11/29( 水 ) 11/30( 木 ) 12/01( 金 ) 12/02( 土 ) 12/03( 日 ) 12/04( 月 ) 12/05( 火 ) 12/06( 水 ) 12/07( 木 ) 12/08( 金 ) 12/09( 土 ) 12/10( 日 ) 12/11( 月 ) 12/12( 火 ) 12/13( 水 ) 12/14( 木 ) 12/15( 金 ) 12/16( 土 ) 12/17( 日 ) 12/18( 月 ) 12/19( 火 ) 12/20( 水 ) 12/21( 木 ) 12/22( 金 ) 12/23( 土 ) 12/24( 日 ) 12/25( 月 ) 12/26( 火 ) 12/27( 水 ) 12/28( 木 ) 12/29( 金 ) 12/30( 土 ) 12/31( 日 ) 01/01( 月 ) 01/02( 火 ) 01/03( 水 ) 01/04( 木 ) 01/05( 金 ) 01/06( 土 ) 01/07( 日 ) 01/08( 月 ) 01/09( 火 ) 01/10( 水 ) 01/11( 木 ) 01/12( 金 ) 01/13( 土 ) 01/14( 日 ) 01/15( 月 ) 01/16( 火 ) 01/17( 水 ) 01/18( 木 ) 01/19( 金 ) 01/20( 土 ) 01/21( 日 ) 01/22( 月 ) 01/23( 火 ) 01/24( 水 ) 01/25( 木 ) 01/26( 金 ) 01/27( 土 ) 01/28( 日 ) 01/29( 月 ) 01/30( 火 ) 01/31( 水 ) 02/01( 木 ) 02/02( 金 ) 02/03( 土 ) 02/04( 日 ) 02/05( 月 ) 02/06( 火 ) 02/07( 水 ) 02/08( 木 ) 02/09( 金 ) 02/10( 土 ) 02/11( 日 ) 02/12( 月 ) 02/13( 火 ) 02/14( 水 ) 02/15( 木 ) 02/16( 金 ) 02/17( 土 ) 02/18( 日 ) 02/19( 月 ) 02/20( 火 ) 02/21( 水 ) 02/22( 木 ) 02/23( 金 ) 02/24( 土 ) 02/25( 日 ) 02/26( 月 ) 02/27( 火 ) 02/28( 水 ) 03/01( 木 ) abmail による迷惑メールの現状１正当なメールが一日に８０通ほどのユーザの場合続きスパム種別の系列スパム種別の系列不正バウンス不正複パート偽装 HELO 不正 HELO 不正ドメイン不信アドレス不正アドレス 21

22 abmail による迷惑メールの現状２正当なメールが一日に２０通ほどのユーザの場合２４７日間の受信メールの内訳種類受信数受信数/日ウイルス不正なEHLO/HELO 偽装されたEHLO/HELO エンドユーザアドレス空間信頼できないアドレス空間 RBLに登録されたアドレス空間不正なバウンスレポートその他総計

23 06/13( 火 ) 06/16( 金 ) 06/19( 月 ) 06/22( 木 ) 06/25( 日 ) 06/28( 水 ) 07/01( 土 ) 07/04( 火 ) 07/07( 金 ) 07/10( 月 ) 07/13( 木 ) 07/16( 日 ) 07/19( 水 ) 07/22( 土 ) 07/25( 火 ) 07/28( 金 ) 07/31( 月 ) 08/03( 木 ) 08/06( 日 ) 08/09( 水 ) 08/12( 土 ) 08/15( 火 ) 08/18( 金 ) 08/21( 月 ) 08/24( 木 ) 08/27( 日 ) 08/30( 水 ) 09/02( 土 ) 09/05( 火 ) 09/08( 金 ) 09/11( 月 ) 09/14( 木 ) 09/17( 日 ) 09/20( 水 ) 09/23( 土 ) 09/26( 火 ) 09/29( 金 ) 10/02( 月 ) 10/05( 木 ) 10/08( 日 ) 10/11( 水 ) 10/14( 土 ) 10/17( 火 ) 10/20( 金 ) 10/23( 月 ) 10/26( 木 ) 10/29( 日 ) 11/01( 水 ) 11/04( 土 ) 11/07( 火 ) 11/10( 金 ) 11/13( 月 ) 11/16( 木 ) 11/19( 日 ) 11/22( 水 ) 11/25( 土 ) 11/28( 火 ) 12/01( 金 ) 12/04( 月 ) 12/07( 木 ) 12/10( 日 ) 12/13( 水 ) 12/16( 土 ) 12/19( 火 ) 12/22( 金 ) 12/25( 月 ) 12/28( 木 ) 12/31( 日 ) 01/03( 水 ) 01/06( 土 ) 01/09( 火 ) 01/12( 金 ) 01/15( 月 ) 01/18( 木 ) 01/21( 日 ) 01/24( 水 ) 01/27( 土 ) 01/30( 火 ) 02/02( 金 ) 02/05( 月 ) 02/08( 木 ) 02/11( 日 ) 02/14( 水 ) 02/17( 土 ) 02/20( 火 ) 02/23( 金 ) 02/26( 月 ) 03/01( 木 ) abmail による迷惑メールの現状２正当なメールが一日に２０通ほどのユーザの場合続き受信数の系列受信数の系列ウイルススパムその他 23

24 06/13( 火 ) 06/16( 金 ) 06/19( 月 ) 06/22( 木 ) 06/25( 日 ) 06/28( 水 ) 07/01( 土 ) 07/04( 火 ) 07/07( 金 ) 07/10( 月 ) 07/13( 木 ) 07/16( 日 ) 07/19( 水 ) 07/22( 土 ) 07/25( 火 ) 07/28( 金 ) 07/31( 月 ) 08/03( 木 ) 08/06( 日 ) 08/09( 水 ) 08/12( 土 ) 08/15( 火 ) 08/18( 金 ) 08/21( 月 ) 08/24( 木 ) 08/27( 日 ) 08/30( 水 ) 09/02( 土 ) 09/05( 火 ) 09/08( 金 ) 09/11( 月 ) 09/14( 木 ) 09/17( 日 ) 09/20( 水 ) 09/23( 土 ) 09/26( 火 ) 09/29( 金 ) 10/02( 月 ) 10/05( 木 ) 10/08( 日 ) 10/11( 水 ) 10/14( 土 ) 10/17( 火 ) 10/20( 金 ) 10/23( 月 ) 10/26( 木 ) 10/29( 日 ) 11/01( 水 ) 11/04( 土 ) 11/07( 火 ) 11/10( 金 ) 11/13( 月 ) 11/16( 木 ) 11/19( 日 ) 11/22( 水 ) 11/25( 土 ) 11/28( 火 ) 12/01( 金 ) 12/04( 月 ) 12/07( 木 ) 12/10( 日 ) 12/13( 水 ) 12/16( 土 ) 12/19( 火 ) 12/22( 金 ) 12/25( 月 ) 12/28( 木 ) 12/31( 日 ) 01/03( 水 ) 01/06( 土 ) 01/09( 火 ) 01/12( 金 ) 01/15( 月 ) 01/18( 木 ) 01/21( 日 ) 01/24( 水 ) 01/27( 土 ) 01/30( 火 ) 02/02( 金 ) 02/05( 月 ) 02/08( 木 ) 02/11( 日 ) 02/14( 水 ) 02/17( 土 ) 02/20( 火 ) 02/23( 金 ) 02/26( 月 ) 03/01( 木 ) abmail による迷惑メールの現状２正当なメールが一日に２０通ほどのユーザの場合続きスパム種別の系列スパム種別の系列不正複パート偽装 HELO 不正 HELO 不正ドメイン不信アドレス疑惑アドレス不正アドレス 24

25 導入事例１ +abmail によるスパム除去サービスウェブサーバを利用したユーザ向け導入画面 25

26 導入事例２ +abmail によるスパム判定サービスメーラの自動振り分け機能での利用例 26

27 導入事例３ +abmail によるスパム除去サービスメールサーバ管理者向け設定例 postﬁx sendmail+procmail+abmail MAILDIR=$HOME/Mail :0 * SW_ANTISPAM?? ^^^^ { SW_ANTISPAM=on } :0 * SW_ANTISPAM?? on { ANTISPAMDIR=spam-`date +%Y%m%d` :0 HB *? abmail -b -g -d -v; test "$?" = "1" ${ANTISPAMDIR}/. } 27

28 abmail による迷惑メール判定７偽陽性に対する姿勢偽陽性正当なメールを誤判定してしまうは極力なくすべきしかし S25R のように送信元の MTA に高負荷を強いてまで偽陽性の緩和をすることは甚だ疑問実は隔離されたスパムメールボックスに稀にあるかもしれない正当なメールをユーザが見つけることは意外と容易い逆に正当なメールの中から人間がスパムを判別して棄てることはかなり難しいユーザの傾向に合わせて設定が熟れてくれば偽陽性をほぼ零にすることが可能例 105 日間で偽陽性は 1 通 28

29 +abmail のまとめセキュアコーディングされた abmail 極めて軽量な abmail によるヘッダ走査安全な迷惑メール対策高速な迷惑メール対策厳格なスパム判定基準に基づく abmail イタチごっこになり難い迷惑メール対策但し特に初期導入時にホワイトリストブラックリストの設定管理サーバ環境に応じたチューニングは必要迷惑メールに困っている方は是非へ 29

Automatic Processing System on Internet Text Messages Hiroyuki EDO abd Yoshiyuki SAKAMOTO 1 Return-Path: Return- Path: RFC822: Standard f

163 177 2000 Automatic Processing System on Internet Text Messages Hiroyuki EDO abd Yoshiyuki SAKAMOTO 1 Return-Path: Return- Path: RFC822: Standard for ARPA Internet Text Messages 163 2000 RFC822:ARPA

+abmail 迷惑メール対策サービス 迷惑メール判定プログラム abmail による スパム対策の導入のすすめ 株式会社あいはら 研究開発チーム 山田 泰司

+abmail 迷惑メール対策サービス迷惑メール判定プログラム abmail によるスパム対策の導入のすすめ株式会社あいはら研究開発チーム山田泰司