Detekce spamu na škole

1. Architektura detekce SPAMu [menu]

Na následujícím diagramu je zobrazeno, jak probíhají jednotlivé části antispamové kontroly ve školní síti.

Poznámky:

• Centrální mailserver jsou dva vzájemně se zastupující servery – servery vse.vse.cz a mx2.vse.cz.
• Dopisy odeslané z InSIS či z Office 365 neprochází antispamovou kontrolou, dopisy odeslané z jiných počítačů ve škole (např. z webových serverů) již částí antispamové kontroly prochází.
• Přes smtp.vse.cz (autentizované odesílání) lze posílat pouze limitované množství dopisů za den.
• Dopisy poslané do Office 365 ještě prochází další antivirovou a antispamovou kontrolou u Microsoftu.
• Pokud se na centrálním mailserveru označí dopis jako spam, tak ho InSIS zařadí do složky „Spam“. Office 365 ho zařadí do složky „Nevyžádaná pošta“. Pokud Microsoftí algoritmy příchozí dopis detekuje jako spam, tak ho též umístí do do složky „Nevyžádaná pošta“.
• Uživatelé mohou ovlivnit detekci spamu:
  • V Office 365 si mohou vytvářet vlastní pravidla včetně blokovaných a povolených uživatelů.
  • Při zpracování pošty v Office 365 přes webové rozhraní – označení dopisu za nevyžádanou poštu či zrušení tohoto označení lze poslat firmě Microsoft pro výuku heuristického filtrování.
  • V InSIS – pokud uživatel označí dopis jako SPAM, tak se použije pro „výuku“ heuristického filtrování na centrálním mailserveru.

2. Metody detekce spamu na centrálním mailserveru [menu]

Na centrálním mailserveru se používají následující metody detekce spamu:

• Blokování klientů (počítačů odesílajících poštu) dle ručně vedených seznamů IP adres či doménových jmen. Blokování odesílatelů (adresa FROM z obálky) na základě ručně vedených seznamů. Blokují se též dopisy poslané s neexistující doménou v adrese odesílatele či dopisy s příjemcem mimo školu (týká se pouze dopisů přijímaných z Internetu).
• Blokování klientů na základě externích seznamů IP adres spamerů (DNS blacklist). Používají se dva seznamy: SpamCop (bl.spamcop.net) a Spamhaus (zen.spamhaus.org).
• Greylisting – pokud trojice odesílatel, příjemce a klient z dopisu není známá, tak se mail dočasně odmítne. Pošta od některých klientů se nekontroluje (např. od seznam.cz). Mnozí spameři nezkusí odeslat spam podruhé.
• Omezení počtu odeslaných dopisů za hodinu/den. Vytvoří se zpoždění při odesílání spamu či legálních obchodních nabídek a tím vznikne časová rezerva pro vhodnou reakci. Většina těchto dopisů je později doručena.
  • Při odesílání dopisů na smtp.vse.cz má přihlášený uživatel dva limity – za den maximálně 500 zpráv a maximálně 2000 adresátů (v jednom dopisu může být více adresátů).
  • Konkrétní klient (poštovní server) na Internetu může poslat maximálně 500 zpráv za hodinu pro maximálně 1000 adresátů ve škole.
  • Konkrétní odesílatel (adresa z From) může poslat za hodinu maximálně 500 zpráv pro maximálně 1000 adresátů.
• Dopisy pro neexistující cílovou adresu se odmítají.
• Dopisy se zavirovanými či spustitelnými přílohami se zahazují.
• Detekce spamu v programu SpamAssassin. Pokud program usoudí, že se jedná o spam, tak se dopis nezahodí, ale pouze označí příznaky – do titulku doplní řetězec „*****SPAM!*****“ , do dopisu doplní hlavičku „X-Spam-Flag: YES„.
  • Pravidla na základě detekce vzorů v dopise, např. obsahuje obrázek s velkým množstvím slov, rozdílné freemaily ve From a v Reply-To či text obsahuje názvy léků (např. viagra) . Tvůrci spamassassinu pravidla aktualizují a testují. Na centrálním mailserveru je použito i několik lokálních pravidel.
  • Bayesovské filtrování – administrátor či uživatelé naučí SpamAssassin, co je spam. Program poté na základě podobnosti další dopisy označuje jako spam.
  • Síťové filtrovací metody – zjišťuje zda klient není na DNS blacklistech, zda v dopise není použita doména na URI DNS blacklistech, zda stejný obsah není posílán i na jiné mailservery (např. Vipul Razor), kontroly Sender Policy Framework a DKIM.