行为判别技术成反垃圾邮件新方向

1. 垃圾邮件愈演愈烈，发送手段日益多样化

自2004年初，公安部、信息产业部、教育部、国务院新闻办公室四大部委联合发文，开展了轰轰烈烈的垃圾邮件专项治理工作，国内很多的企业和政府也安装了相应的反垃圾邮件网关系统，采取了一定的技术手段。但是由于垃圾邮件发送者受到巨大的经济利益驱动，还有很多心存恶意的敏感内容邮件发送者，依然在源源不断地制造垃圾邮件。

2004年11月份的数字显示，垃圾邮件的比例接近74%，在发送的垃圾邮件中，钓鱼欺诈性邮件占了24%，这使得它成为了增长速度最快的垃圾邮件类型，其它数量较大的垃圾邮件类型包括广告(23%)、医疗(11%)、色情(14%)。

由于根据SMTP协议传输邮件时，服务器不验证发信人的身份，所以垃圾邮件发送者一般只要知道接收方的邮件地址就可以进行发信了，如何大量的得到邮件地址呢?一般会利用几种方法:

利用一些网站的内容吸引普通用户，让用户进行注册，注册时需要填写邮件地址；
架设扫描器监听网络上的邮件传输数据包，从中抓取邮件地址；
先利用扫描手段找到邮件服务器，再利用穷举法探测用户邮件地址；
直接攻击、入侵邮件服务器，获得权限后直接发送。

目前垃圾邮件发送者大都开始利用专用的垃圾邮件发送软件，这类软件可以达到高度的自动化，可以自动、定时变换发信用户和连接源IP地址。可以轻易的躲过邮件管理员人工的阻断，以及传统的反垃圾邮件技术的控制。

在内容方面，为了躲过目前很多垃圾邮件内容过滤技术的设备的过滤，垃圾邮件将会更快的变换内容信息，并不断的加入大量的干扰信息，如:加入干扰字符、利用同音字、将文本转换成图像传播、加密、多种类多层压缩技术等。

垃圾邮件的数量也将成倍的增长，逐步成为即病毒之后的又一互联网隐患。对于这种垃圾邮件愈演愈烈，日益泛滥成灾的形势，也给国内外专业从事反垃圾邮件技术研究的公司日益提出新的挑战，反垃圾邮件技术也出现了新的发展方向和趋势。

2. 当前反垃圾邮件产品主要采用的技术

垃圾邮件的危害有以下几点:

1) 垃圾邮件的存在占用了大量的社会资源，如网络带宽资源、服务器存储资源、邮件用户时间等，可以说是间接地浪费钱财。

2) 日益增长的垃圾邮件有淹没正常邮件的趋势，严重干扰了正常信息的传递与流动。

3) 由于垃圾邮件附载大量虚假、不健康、甚至危害社会稳定与安全的信息，并且垃圾邮件的发送处于非受控状态，对国家的信息安全造成一定的威胁。

国内外主要的反垃圾邮件系统，普遍采用的是关键字内容过滤技术，采取“截获样本、解析特征、生成规则、规则下发、内容过滤” 这种类似传统杀病毒系统的原理，存在着许多难以克服的问题:

垃圾邮件内容变化快，数量远远大于病毒，任何一家安全公司都很难保证样本采集的数量和及时性，也就很难保证反垃圾邮件的使用效果和效果的持久性;
必须比对完所有的关键字规则，一封信才能被确实不是垃圾邮件，导致效率低下，资源消耗大，网关系统不稳定，尤其是在遭受巨量邮件攻击时，可能导致系统崩溃。
信件内容多样模糊，依赖关键字规则判别垃圾邮件，导致误判率举高不下，垃圾邮件识别准确性低，效果差;
系统自维护能力差，管理员维护大量规则库，工作量大;
信件必须接收完整才能进行内容过滤，导致国际网络流量费用高。
通过拆信检查内容的方式进行反垃圾邮件，侵犯了公民电子邮件通信自由权和隐私权，这种内容过滤技术将受到广泛的法律质疑。

这种过滤算法往往随着规则设立的越多，产生误判的机率也越来越大，而且往往会将合法邮件当成垃圾邮件来对待;而且处理时需要主机做大量的运算，严重影响过滤器，甚至是邮件服务器的性能。

所以说传统反垃圾邮件技术，只能解决上述垃圾邮件危害中的第2)点，也就是只能提升信噪比，以免垃圾邮件淹没正常邮件，但不能解决第1)与第3)个问题。垃圾邮件与病毒邮件仍然占用了大量带宽与存储资源，垃圾邮件的发送仍处于非受控状态。

3. 国内安全厂商首创“行为模式识别”全新的反垃圾邮件技术

要想从根本上解决反垃圾邮件的技术难题，必须从事先原理出发，从邮件内容进一步往前提一步，做到主动性垃圾邮件行为模式识别的技术，这样才能做到主动型的邮件攻击行为防御、主动型的垃圾邮件阻断，从而最大程度地提高垃圾邮件识别率、拦截率，降低资源消耗，真正达到电信级的网关处理速度。

国内著名的反垃圾邮件技术公司敏讯科技和清华大学联合研究发现，垃圾邮件在发送阶段处于活跃的状态，恶意的行为特征远比内容特征要明显，经过对几千万封垃圾邮件搜集、分类，对各种垃圾邮件的发送行为、方式、邮件特征等进行统计学研究，首创垃圾邮件“行为识别模型”(Spam Behavioral Pattern)、空中截击技术(On-Sky Spam Blocking)以及SMTP-IPS抗邮件攻击模型。