spam対策 • ドメイン認証その他の認証「名を名乗れ！」 • 本文のベイズ判定ベイズ理論の普及を促進 • spammerのメール送信の特徴を利用 Grey listing （初めてのメールは一旦reject） greet pause （220のgreetingを遅延させる） 1 Greet Pause ２２０ % telnet mail.mse.waseda.ac.jp 25 Trying 133.9.5.13... Connected to hades.mse.waseda.ac.jp. Escape character is '^]'. 220 hades.mse.waseda.ac.jp ESMTP Mirapoint 1.1.0; Wed, 16 Jan 2002 18:57:30 +0900 (JST) helo goto.info.waseda.ac.jp 250 hades.mse.waseda.ac.jp Hello oboe.goto.info.waseda.ac.jp [133.9.81.9], pleased to meet you 2 Grey listing • 解説の例：http://www.kozupon.com/mail/postgrey.html 1. 受信したメールは、初回には、すべて拒否 (reject)する。普通のメールサーバは(設定に依存)、15分ないし30分後に再送してくる。ただし spammerは短時間で再送してくることがありので、defaultでは5分以内に再送してきたメールは受信しない。(多くのspamを送信するサーバは一度拒否すると再送してこない。） 2. 最初に受信してから 2日以内に再送してきたメールは受け入れる。 3. ホワイトリストとして指定したアドレスからのメールは無条件で受信する。 4. 再送により受信を許可したメールアドレスを受信許可リストに入れる。 5. 最後にメールを受信してから35日間メールがない場合、そのアドレスは許可リストから外す。(最初は信頼できても、途中から spamになることがある。） 3 rejectの回数 status=sent greylisted 今週（Dec 3～） 11,843 7,494 先週(maillog.1) 23,272 12,554 maillog.2 22,836 13,978 maillog.3 25,963 13,946 maillog.4 25,661 14,046 4 Grey listing の効果（<goto>宛） 1 2 3 4 5 6 7 8 9 10 11 12 31 29 27 25 23 21 19 17 15 13 11 9 7 5 3 350 300 250 200 150 100 50 0 1 #messages spam messages day adjusted Jan 19, 1402184 5 Grey listingの弱点 • 見逃してしまうspam 正常なメールサーバが中継する場合［転送］ • 受信できなくなるメール再送しない、あるいは再送間隔が非常に長い（３日後）サーバがある • 上の問題はあるが、現在のところ効果が認められているようで、使われている文面解析のベイズフィルタと併用すると良いあるいはS25R併用するのも良い 6 Grey listingの弱点（実例） • NPO団体であるACPAのメールサーバは、３日以上経過した後に再送してきた • 添付ファイルが大きいために、分割した添付ファイルを複数のメールで同時に送信した • rejectされたメッセージを550 user unkownと同様に扱って、再送しなかった 7 S25R （浅見秀雄氏） http://gabacho.reto.jp/anti-spam/anti-spam-system.html • • • • • • • • • • • • spamを送信してくるサーバは次のような名前を持つことが多い逆引き失敗［ルール1］逆引きFQDNの最下位（左端）の名前が、数字以外の文字列で分断された二つ以上の数字列を含む［ルール2］逆引きFQDNの最下位の名前が、5個以上連続する数字を含む［ルール3］逆引きFQDNの上位3階層を除き、最下位または下位から2番目の名前が数字で始まる [ルール4］逆引きFQDNの最下位の名前が数字で終わり、かつ下位から2番目の名前が、1個のハイフンで分断された二つ以上の数字列を含む［ルール5］逆引きFQDNが5階層以上で、下位2階層の名前がともに数字で終わる［ルール6］逆引きFQDNの最下位の名前が「dhcp」、「dialup」、「ppp」、または「adsl」で始まり、かつ数字を含むブラックリストに登録されている HELOコマンドが宛先サーバのIPアドレスまたは受信者のドメイン名を通知している送信者ドメインの検索失敗内容の検査 8