Projekt Spamabwehr

Transkript

1 Projekt Spamabwehr Status und Ausblick W. Gansterer, M. Ilger, A. Janecek, P. Lechner, J. Strauß Institut für Distributed und Multimedia Systems / Research Lab Computational Technologies und Applications Universität Wien

2 Ermöglicht durch

3 Überblick Motivation (Was / Warum / ) Eigenschaften von Spam Das zugrundeliegende Geschäftsmodell Methoden gegen Spam Eigene Entwicklungen Schlußfolgerungen und Ausblick

4 (I) Motivation Schätzungen des Spamaufkommens (international) Message Labs: Spamanteil 65% (Jänner 2006) Brighmail: 2004: 60%, 2003: 56%, 2002: 40% Sophos: >60% von Zombies (2005) Postini: >150 Millionen Spamnachrichten pro Tag (2006) Spamquellen Sophos: dirty dozen (2005) country of origin of computers sending spam 1. USA 26,8% - 2. Südkorea 18,4% - 3. Volksrep. China 17,0% 11. Österreich 0,9% [ Sophos Report 2005, spam-filter-review.topten-reviews.com/spam-statistics.html]

5 Schaden durch Spam Spam verursacht Kosten Filterungsmechanismen, Arbeitszeit Opportunitätskosten durch falsch klassifizierte Nachrichten Studie an der Christian-Albrechts-Universität (Kiel) [M. Clement, H.-J. Boie: Die Kosten von Spam, 2006] 8000 Mitarbeiter Im Schnitt 24 s pro Tag, 45% davon Spam Verursachen Kosten von durchschnittlich 780 pro Mitarbeiter/Jahr Schätzung laut OECD-Report $ 874 pro Mitarbeiter/Jahr

6 Schaden durch Spam Outblaze limited, Webmail Provider in Hong Kong [OECD Report: Spam Issues in Developing Countries, 2005] 80% der eintreffenden als Spam abgewiesen 15% der akzeptierten ist Spam (passiert den Filter) monatl. Bandbreitekosten für Spam: US$ 6 300,- monatl. Speicherkosten für Spam: US$ 5 400,- monatl. Personalkosten für mail/abuse administrators : US$ ,- Weiters: Kosten für Support von unzufriedenen Benutzern

7 Transfer der Kosten Spammer haben extrem niedrige Kosten Verursachen jedoch weit größere Kosten bei ISP, Unternehmen, einzelnem Nutzer (Speicher, download, etc.) Umkehr des Systems traditioneller Marketingmethoden sender pays -Modell Kosten für Empfänger vernachlässigbar [OECD Report: Spam Issues in Developing Countries, 2005]

8 Zielsetzungen - global Das Ziel jeder Antispam-Policy sowie begleitender legislativer Maßnahmen ist es, den Anteil von Spam im -Verkehr und dessen negative Auswirkungen zu reduzieren. Aktivitäten müssen auf drei Ebenen erfolgen: Maßnahmen, die das Aussenden von Spam verhindern. Mechanismen, die die Menge an Spam im Netzwerk reduziert (nachdem Spam abgeschickt wurde). Maßnahmen, die die Menge an Spam reduziert, die empfangen wird (z.b. beim Enduser). [OECD Report: Anti-Spam Regulation, 2005]

9 (II) Eigenschaften von Spam Formale inhaltliche Spielen eine wesentliche Rolle für den Erfolg von Abwehrmethoden Basis für die Entwicklung neuer, innovativer Konzepte Statistische Analyse von Spamdaten Datenquellen: ZID der Uni Wien, Projektpartner, Freiwillige Ziel: Zeitraum 1 Jahr (fast 1,5 Mio Spamnachrichten) Erste Zwischenergebnisse eines entsprechenden Tools für die statistische Analyse von Spamdaten liegen vor

10 Statistiken Sprache

11 Statistiken Top Level Domains Top Level Domains (Spam) ; 26% 1012; 0% 33834; 3% 38763; 4% ; 17% ; 50% com net de at ungültig sonstige (vorgegeben)

12 (III) Geschäftsmodell Genaue Analyse des Geschäftsmodells als Grundlage für effiziente Gegenmaßnahmen Schaden verhindern, bevor er entsteht (im Gegensatz zu vielen Standardansätzen) Entwicklung eines Tools SpamSim für die Analyse dieses Geschäftsmodells Resultate bilden die Basis für die Parametrisierung von pre-send -Methoden ( Token Bucket )

13 Spammer Szenario 1 Spammer versendet Spam über Einzelplatzrechner Fixkosten Hardware, Software (inklusive spezieller Spamsoftware) Arbeitskosten, Betriebskosten Variable Kosten Open proxy (um Identität zu verschleiern) Erlös Bezahlung per Kampagne : Durchschnitt über diverse Spammerberichte pro Nachricht ca. 0,00434 Euro Gegenmaßnahme 1: Token Bucket für die Beschränkung ausgehender Nachrichten Gewinn erst über 8400 Spams/Tag

14 Einsatz eines Token Bucket Token Bucket Spammen profitabel Spammen nicht profitabel Gesendete Nachrichten Normales Aufkommen Tage

15 Spammer Szenario 2 Spammer versendet Spam mit handelsüblichem PC über gemieteten Server Kosten Zusätzlich: Servermiete Keine Kosten für open proxy Erlös Bezahlung per Kampagne : Durchschnitt über diverse Spammerberichte pro Nachricht ca. 0,00434 Euro Gegenmaßnahme: Spamfilter Gewinn nur dann, wenn Filterperformance unter 98,45%

16 Filtereinsatz Gewinn Spammer abhängig von Filterperformance Gewinn/Monat , , , , ,5 100 Filtereffektivität in % Gewinn

17 Spammer Szenario 3 Spammer versendet Spam über Einzelplatzrechner Fixkosten Hardware, Software (inklusive spezieller Spamsoftware) Arbeitskosten, Betriebskosten Variable Kosten Open proxy (um Identität zu verschleiern) Erlös Bezahlung pro verkauftem Stück (auf Provisionsbasis) Restriktion: Antwortrate Gewinn bei Antwortraten über 0,002% Quellenangaben: Antwortraten bei Spam 0,0015% 0,005% [vgl. 0,36% bis 2% Antwortrate bei seriöser Werbung]

18 Auswirkung der Antwortrate Gewinn Spammer abhängig von Antwortrate Gewinn in Euro Gewinn / Euro ,5 0,25 0,125 0,0625 0,036 0, , ,0015 0,001 Response Rate in %

19 Screenshot SpamSim

20 (IV) Methoden gegen Spam Post-send Pre-send Neue Protokolle

21

22 Zielsetzungen Umfassend, flexibel Selbstadaptiv, automatisch, intelligent Robust, einfach zu handhaben Wirksam bevor Schaden eintritt

23 Evaluierungen Leistungsevaluierungen verschiedener Methoden verschiedener Tools (kommerziell, public domain) Speziell: Mozilla Thunderbird Trainingssensitivität des Bayes Filters SpamAssassin Regelset

24 (V) Neue Methoden Token Buckets gegen outgoing Spam Prototyp für Spamabwehr

25 Token Buckets Verhinderung von outgoing Spam Veröffentlicht auf The IASTED International Conference on COMMUNICATION, NETWORK AND INFORMATION SECURITY (CNIS) 2005 (USA), November Pre-send Methode: Für outgoing Mailserver, flexibles Limit für outgoing Nachrichten (z.b. pro User) Bei richtiger Parametrisierung wird Geschäftsmodell des Spammers gestört ohne reguläre User zu beeinträchtigen Vorteile: Selbstschutz für ISP Selektive Maßnahme gegen Spammer Problematik der Fehlklassifizierung nicht existent Bei breitem Einsatz: deutliche Reduktion des Spamvolumens möglich

26 Prototyp 3 Komponenten: Greylisting Merkmalsselektion Klassifikation Vorteile Ressourcenschonend (Klassifizierung bevor Nachricht endültig akzeptiert) Nachrichtenannahme und Klassifizierung asynchron möglich (daher arbeitsintensive Klassifikationsmethoden anwendbar) Skalierbarkeit, Robustheit gegenüber Hochlast

27 Struktur des Prototyps Data Storage

28 Ergebnisse Prototyp - Greylisting Zeitraum: Live Spam-Stream, insgesamt 921 Nachrichten Ergebnisse: kein Virus (clamav) Im Live-Stream richtig klassifiziert: 97% bei Schwellenwert % bei Schwellenwert 0.5 Gesamt daher: 99,89% der Spams abgewiesen (greylisting + Klassifizierung) Greylisted Greylisted wegen Timestamp ungültig Abgelehnt aufgrund Klassifikation Angenommen 833 [90.45%] 85 [9.23%] 2 [0.22%] 1 [0.11%]

29 Erkennungsraten SpamAssassin

30 Erkennungsraten Prototyp

31 (VI) Zusammenfassung Spam ist weiterhin ein schwerwiegendes Problem Es sind noch keine umfassenden und völlig zufriedenstellenden Lösungen vorhanden Standardtechnologie funktioniert im großen und ganzen nicht schlecht, schafft es aber nicht, den Schaden einzugrenzen bzw. zu verhindern Viele praktisch verfügbare Methoden haben entweder ad hoc Charakter oder benötigen hohen Trainingsaufwand, um zufriedenstellende Leistung zu erreichen Weitere Forschung und Entwicklung ist erforderlich, um adaptive, intelligente Systeme zu entwickeln, die eine Reduktion des durch Spam bewirkten Schadens ermöglicht.

32 Ausblick (1) Derzeitiges Projekt endet am 30.April Darüber hinaus sind wir an weiteren Kooperationen/Projekten interessiert. Weiterführende Themen: Phishing Unterscheidung von lästigem und gefährlichem Spam Selbstadaptive Anpassung von Trainingssets Reduktion des Aufwandes für die Wartung (Performance!) Neue Ansätze zur Selektion von Merkmalen Längerfristige Entwicklungen der Merkmale von Spam, um mehr invariante Merkmale zu identifizieren

33 Ausblick (2) Weiterführende Themen: Light-weight Ansätze für Endgeräte (PDA, Handy, etc.) Geringere Kapazität von Endgeräten Damit im ZH: verteilte Konzepte Optimierung klassischer Filterkonzepte Reduktion der false positives

34 Kontakt, Publikationen: Vielen Dank für Ihre Aufmerksamkeit!

35 Weitere Folien

36 Kurzfassungen (MI) Welcher Schaden durch Spam (MI) Welcher Umfang von Spam (wieviel ist Spam) (JS) 2 konkrete Szenarien SpamSim (JS) Screenshots Daberger-Statistiken Bründl Graphiken Report II-1: Was daraus sollte/könnte im Vortrag vorkommen?

37

38 Statistiken Ankunftszeit Spam nach Wochentagen Anzahl MO DI MI DO FR SA SO Tag

39 Statistiken Mail-Client sendender Mail-Client (Spam) Microsoft Outlook Express ; 22% Microsoft Outlook ; 10% ; 2% ; 4% ; 7% ; 7% ; 48% The Bat! Apple Mail IPB PHP Mailer Sonstige über s Sonstige bis s

40 Statistiken Mail-Client sendender Mail-Client (Ham) Microsoft Outlook 716; 24% 155; 5% 167; 5% 1.009; 34% Microsoft Outlook Express WWW-Mail 1.6 (Global Message Exchange) Pegasus Mail 196; 6% 800; 26% Mailbox Webmail Sonstige

41 Response Rate (0,0025%)

42 Modeling Spammers Business Model Cost - Profit Model Spammer revenue without token bucket (only limited by bandwidth) Cost/Revenue in Euro actual cost opportunity cost (8% interest) revenue token bucket (100 msg per day) revenue token bucket (1000 msg per day) Month

43 Trainingssensitivität Mozilla Thunderbird

44 Prototyp 1 Return 354 Accept DATA Sender whitelisted? No Yes Return 250 Deliver Message 3 No QTupel in TupelDB? No Sender blacklisted? 2 Yes Return 550 Save QTupel -> Timestamp Yes TimeStamp OK? 6 No Message too late? Yes Yes Return 450 Increase Reliability Counter Delete QTupel 4 5 No Message is Spam? Yes Delete QTupel Increase Suspicious Counter Ùpdate Qtupel -> TimeStamp No Classify Message Return 250 Return 550 Return 450 Update SpamDB Deliver Message

45 Gegenüberstellung Vergleich der Spam-Erkennungsraten bei unterschiedlichen false positives Raten false postitives 0.05% 0.10% 0.15% 0.20% SpamAssassin 72.19% 73.73% 76.25% 82.12% Prototyp (VSM) 85.90% 87.49% 91.52% 92.45%

46 Nur Prototyp

47 Zukunftspläne (1/2) Detailanalyse des Spamaufkommens Langfristige Entwicklung der Eigenschaften von Spam Fluktuationen in der Gesamtmenge Änderung in Versendemethoden Lifecycle von Spamtraps Dauer zwischen Veröffentlichung und erstem Eintreffen von Spam Reaktion auf verschiedene Arten der Veröffentlichung Grad der Individualisierung der Nachrichten

48 Zukunftspläne (2/2) Optimierung klassischer Filterkonzepte Fehlklassifizierung von legitimen Nachrichten minimieren Evaluierung kostenbasierter Ansätze Finding the right mix Richtige Mischung aus Spamfiltern Outgoing limitations

49 Weitere Zukunftspläne Analyse von Spam Traps Evt. laufende Bewertung State-of-the-art