戦略法の提案

迷 惑 メールの 現 状 と 対 策 有 限 会 社 ジーワークス 佐 藤 潔

自 己 紹 介 targrey/rgrey/starpit 有 限 会 社 ジーワークス 長 野 県 白 馬 村 スキーしたかったから

今 やってる 仕 事 8 年 ほど 前 から 地 方 ISP 様 から 外 注 サーバの 管 理 やユーザサポート 業 務

なぜスパム 対 策 を 考 え 始 めたか ユーザの 苦 情 からスパム 対 策 の 必 要 性 を 痛 感 メールアドレスへの 愛 着 が 既 存 ユーザをつな ぎとめている 古 くからのユーザほど メールアドレスを 変 えたくない スパムが 多 い

こんなことを 話 します スパムの 現 状 対 策 手 法 紹 介 おすすめ 対 策 方 針 メール 以 外 のスパム 対 策 まとめ すみません 話 したいことがいっぱいあるんで かっとばしていきます

スパムの 現 状 スパムの 数 スパムのメインストリームは bot 日 本 語 スパムはスパム 1.0 8:2 の 法 則 スパム 格 差 分 業 化 スパム 対 策 はすでにセキュリティ 対 策 の 一 環

スパムの 数 海 外 だと 90% 以 上 という 報 告 が 多 い 日 本 だと 80% ~ 90% 程 度 という 実 感 年 々 増 えている 3 年 前 の 日 本 で 70% ~ 80% 5 年 前 のアメリカで 70% ~ 80%

スパムのメインストリームは bot スパムの 大 半 は 海 外 の 動 的 IP から bot 化 した Windows PC で 出 す bot 総 数 は 不 明 とりあえず 何 100 万 台 という 単 位 bot が 直 接 送 信 先 メールサーバへ SMTP 接 続 してくる 日 本 発 のスパムは OP25B により 激 減

日 本 語 スパムはスパム 1.0 日 本 語 スパムは 中 国 韓 国 等 の 固 定 的 IP から レンタルサーバか 事 務 所 にサーバを 何 台 も 置 いて qmail や postfix から 出 す 黒 竜 江 省 で 摘 発 された 例 (タクミ 通 信 摘 発 )

8:2の 法 則 上 位 スパム 送 信 業 者 で 大 多 数 のスパムが 出 さ れている スパムでは95:5くらい? 右 下 図 の80 秒 のピークだけで1スパム 業 者 が 1/3のスパムを 出 していることがわかる 2007/7 2009/5

スパム 格 差 海 外 ではまんべんなく 届 く 日 本 ではスパムが 届 く 人 と 届 かない 人 の 差 が 激 しい 理 由 はメールアドレスの 収 集 方 法 Webからクロール 総 当 たりや 辞 書 アタック Webに 載 ってるアドレスや 単 語 のアドレスに は 山 ほど 届 く

分 業 化 世 界 では 分 業 化 が 進 んでいる スパム 送 信 業 として 専 業 化 botネットを 持 つ 日 本 ではあまり 分 業 されていない 感 じ

スパム 対 策 はすでにセキュリティ 対 策 の 一 環 スパムでWebサイトへ 誘 導 誘 導 したページでFlashの 脆 弱 性 などを 突 いて 感 染 bot 化 そのbotを 使 ってスパムを 撒 く

どんな 対 策 手 法 があるのか スパム 対 策 する 箇 所 は 大 きく 3 つ クライアントでの 対 策 メールサーバでの 対 策 送 信 の 制 限 での 対 策 OP25B SPF/DKIMなどの 送 信 ドメイン 認 証 情 報 の 付 加 サーバ 管 理 者 の 方 が 多 いでしょうからメー ルサーバでの 対 策 手 法 を 紹 介

送 信 者 アドレスのブラックリスト 一 番 単 純 で 最 初 に 思 いつく 対 策 送 信 者 アドレスは 偽 装 出 来 るため 無 力 化 SMTPはインターネットの 古 き 良 き 時 代 の 性 善 説 で 設 計 されてるからなんでも 偽 装 可 能 送 信 者 アドレスを 偽 装 できなければ 対 策 しや すいのに 送 信 ドメイン 認 証

送 信 ドメイン 認 証 送 信 者 アドレスのドメインが 偽 装 されていな いかを 確 認 するもの SPF DKIM 詳 しくはumqさんの 解 説 を!

見 えにくい 変 えにくい 箇 所 のブラックリスト HELOのブラックリスト botのスパムには 使 えない 場 合 が 多 いが 日 本 語 スパムには 有 効 送 信 者 ドメインのNSのブラックリスト 送 信 者 アドレスのメタ 化 軽 くて 誤 検 出 が 少 ないよう 設 定 できる 汎 用 的 ではない

禁 止 ワード スパムに 良 く 含 まれる 単 語 VIAGRA 出 会 い とかを 禁 止 ワードにする 誤 検 出 の 問 題 V1AGRA とかで 無 力 化 禁 止 ワードを 自 動 学 習 出 来 れば ベイジアンフィルタ

ベイジアンフィルタ キーワードとその スパムらしさ をメール から 自 動 学 習 強 力 で 非 常 に 広 まった 学 習 にSVM 使 うものとかもある ローカライズの 問 題 重 い スパマー 側 の 対 抗 策 画 像 スパム ワードサラダ

画 像 認 識 (OCR) アンチ 画 像 スパム ローカライズの 問 題 糞 重 い CAPTCHAとか 分 割 するとか 画 像 じゃなくRTF にするとかのアンチアンチ

URLBL 本 文 に 入 っているURLのブラックリスト 結 構 効 果 が 高 い URLも 画 像 にする 対 抗 策

送 信 者 IPアドレスのブラックリス ト 送 信 者 の 接 続 元 IPがブラックリストに 入 って いたら 拒 否 動 的 IPから 出 す 手 法 で 無 力 化 ブラックリストの 更 新 が 追 いつかない リス トの 共 有 出 来 ないか DNSBL

DNSBL IPアドレスのブラックリストをDNSのシステ ムを 利 用 して 共 有 Botが 増 えすぎて 無 力 化 しつつある 他 のユーザの 巻 添 え IPアドレス 帯 で 登 録 サービス 運 用 者 と 国 が 違 うとき

動 的 IPを 制 限 S25R 動 的 IPっぽい 逆 引 き 名 DUL(Dialup User List) 動 的 IPのDNSBL 当 然 誤 検 出 あるよ

地 域 でメタ 化 GeoIP 中 韓 台 フィルタ もちろん 誤 検 出 あるよ

NNIPF 最 近 傍 識 別 スパム 送 信 者 のIPアドレス 集 合 との 距 離 で 判 定 動 的 IPや 地 域 でのメタ 化 を 自 動 学 習 している とも 言 えそう

greylisting 一 時 拒 否 して 再 送 してきたら 受 け 取 る メールの 遅 延 再 送 しない 正 しい サーバや 違 うIPから 再 送 される 場 合 誤 検 出 nolisting セカンダリmxで 受 け 取 る selective greylisting 怪 しいところだけgreylisting 掛 ける

tarpitting SMTPセッションの 返 答 を 何 10 秒 か 待 たせる せっかちなクライアントは 接 続 を 切 ってくる メールマガジンなどで 誤 検 出 起 りやすい プロセス 数 の 増 大 Starpit selective tarpitting targrey tarpittingを 再 送 で 救 済

p0f TCP/IPのパケットから 接 続 元 のOS 種 を 判 定 動 的 IPっぽいWindowsPCからの 接 続 なら 怪 し いよね

コラボレーションフィルタ 参 加 者 にメール 内 容 のシグニチャをブラック リスト 登 録 してもらう Pyzor/Razor CLOUDMARKなど 商 用 で 良 く 使 われている DCC 多 数 の 同 じメールが 届 いているならスパムだろう 人 間 が 判 定 してるんだから 誤 検 出 はない? 他 言 語 の 場 合 など 同 じセグメントに 属 する 参 加 者 の 数 が 少 ないとダメ

ユーザ 毎 のスパム 率 を 利 用 スパムを 多 く 受 け 取 るユーザのメールはスパ ムの 可 能 性 が 高 い ユーザ 毎 に 重 みづけされるDCCとも 考 えられる

統 合 型 SpamAssassinなど 各 種 手 法 での 判 定 結 果 をポイント 付 けして 判 断 商 用 のものはコラボレーションフィルタとベイジア ンフィルタあたりの 統 合 型 が 多 そう

こういう 手 法 が 有 効 みたい 自 動 学 習 メタ 情 報 を 扱 う ユーザからの 情 報 を 利 用 ローカライズが 必 要 英 語 圏 の 対 策 をそのまま 持 ってきても 性 能 が 落 ちる

対 策 の 方 針 誤 検 出 が 無 いことを 重 視 なるべくログを 残 す 各 手 法 を 組 み 合 わせて 弱 点 をカバー 我 々のアドバンテージは ワンオブゼム 自 分 が 利 用 しているスパム 対 策

誤 検 出 が 無 いことを 重 視 重 大 な 誤 検 出 が 起 こるとユーザは 使 ってくれない 逆 に 仕 事 が 増 える

なるべくログを 残 す 誤 検 出 は 必 ず 起 こると 考 える スパム 業 者 の 傾 向 をつかむためにも

各 手 法 を 組 み 合 わせて 弱 点 をカ バー 一 つの 仕 組 みでシンプルなシステムにこだわ ると 誤 検 出 や 負 荷 の 問 題 がおこりやすい スパムらしさは 加 算 ではなく 乗 算

SMTPセッションレベルでの 組 み 合 わせ postfixだとアクセスポリシーを 多 段 で 利 用 sendmailでは?milter managerを 使 おう! 詳 しくはkouさんの 解 説 を!

我 々のアドバンテージは ワンオブゼム 超 大 手 Gmailやhotmailでは 使 えない 手 法 も 多 い 特 定 のメールサーバやサービスが 狙 われた 場 合 無 力 なもの ちょっと 届 かないサーバがあっても 対 策 してこない

自 分 が 利 用 しているスパム 対 策 1 次 フィルタに SMTP セッションでの 軽 い フィルタ 2 次 フィルタにコンテンツフィルタの 重 い フィルタ 1 次 フィルタにtaRgrey 日 本 語 スパム 用 個 別 フィルタ 2 次 フィルタにSpamAssassin

1 次 フィルタにtaRgrey S25Rに 引 っかかったものだけ tarpittingを90 秒 くらい 掛 ける 遅 延 を 待 てなくてもちゃんと 再 送 されれば 許 可 (greylistingを 利 用 )

日 本 語 スパム 用 個 別 フィルタ 素 のpostfixやqmailで 送 られてくるものを 防 ぐ 特 に 日 本 語 スパム HELO/sender fromのブラックリスト HELOが 固 定 だから 有 効 NSのブラックリスト ドメインを 大 量 に 取 って 送 ってくるもの targreyと 個 別 フィルタで90% 強 くらい

2 次 フィルタにSpamAssassin ぶっちゃけ 松 田 さんのTLECレシピ 使 えば 良 い 日 本 語 化 パッチでベイジアンフィルタの 誤 検 出 率 を 下 げる 2 次 のコンテンツフィルタでも90% 強 落 とせ れば 十 分 だから 無 理 に 域 値 を 下 げなくてもよい

メール 以 外 のスパムへの 応 用 PukiWiki 用 のスパム 対 策 spam_filter も 書 いてます メールのスパム 対 策 は 他 のサービスのスパム 対 策 にも 応 用 が 効 く コメントスパム トラックバックスパム スパムブログ などなど

サービス 設 計 時 点 から スパム 対 策 を 考 えておくべき 広 まったサービスにはすべてスパムがやってくる スパムによりそのサービスが 機 能 しなくなる トラックバック コメントスパムの 山 でブログ 廃 棄 あとからプロトコルを 変 えるのは 難 しい

共 有 ブラックリスト DNSBL/URLBL そのまま 使 えるが セグメントが 違 うの で コメントスパム 用 のブラックリストで ないと 効 果 が 低 い スパムちゃんぷるー DCC 同 一 の 内 容 の 書 き 込 みやトラックバック 大 規 模 なブログサービスならその 中 だけで 十 分 DCCが 働 くはず

メタ 情 報 でブラックリスト URLのNSのブラックリスト フィッシング 用 のドメインを 使 い 捨 ててくる 場 合 に GeoIP クライアントやURLの 国 情 報 を 見 る

スパム 業 者 があまり 気 にしてないところを チェック Accept-Language 情 報 CNだったり 無 かったりしたら 怪 しい ボタンの 押 下 位 置 情 報 画 像 ボタンだとクリックした 位 置 も 送 られてくる

selective CAPTCHA 怪 しいもの に 対 してだけCAPTCHAを 掛 ける 複 合 条 件 例 えば 内 容 に 日 本 語 がなくてURLが3 件 以 上 ある 場 合 CAPTCHAを 掛 ける とか

ポートスキャンのtarpitting ポートスキャンの 反 応 をTCPのWindowサイズを0に してtarpitting

まとめ スパム 対 策 はすでにセキュリティ 対 策 の 一 環 誤 検 出 が 無 いことを 重 視 なるべくログを 残 す 各 手 法 を 組 み 合 わせて 弱 点 をカバー メールのスパム 対 策 は 他 のサービスのスパム 対 策 にも 応 用 が 効 く サービス 開 始 時 からスパム 対 策 を 考 えておくべき