Im Test: Spamfilter. optimierten Konfiguration getestet. Das beste Programm

Transkript

1 Im Test: sollen unerwünschte Nachrichten aus dem Posteingang aussortieren. Wie gut sie das in den Standardeinstellungen und nach dem Training durch den Anwender bewerkstelligen, hat com! getestet. Ein guter erfüllt drei Anforderungen: Er erkennt - und Phishing-Mails zuverlässig, er verwirft nur wenige reguläre s fälschlicherweise als und er prüft die s rasch. com! hat Funktionen, Erkennungsraten und von acht Filterprogrammen verglichen. Getestet wurden drei Arten von Anti--Tools: Filter, die in -Clients integriert sind, Filter, die einen Bestandteil von Security-Suiten bilden, und Filter, die sich als eigenständige Anwendung mit jeweils verschiedenen -Programmen kombinieren lassen. In zwei Testdurchgängen wurden die mit mehr als s konfrontiert. Es handelte sich dabei um -Mails, Phishing-Mails und vom Nutzer erwünschte s. Die Programme wurden zunächst in ihrer Standardkonfiguration und dann in einer optimierten Konfiguration getestet. Das beste Programm Die Prädikate Testsieger und Preis- Tipp vergibt com! bei diesem Test nicht, da alle Programme entweder eine inakzeptabel hohe Anzahl an erwünschten s als verwarfen oder einfach nicht genügend erkannten. Eine gute durchschnittliche Erkennungsrate von mindestens 95 Prozent erreichte kein Testkandidat. Von allen getesteten Programmen schnitt der ihilator (www. spamihilator.com, kostenlos) mit der Note befriedigend am besten ab. Bei der Freeware handelt es sich um einen eigenständigen. Nach dem Training und der Anpassung der Software durch com! bot ihilator die höchste -Erkennungsrate im Test: 9,9 Prozent der -Mails wurden von diesem Programm richtigerweise verworfen. Allerdings klassifizierte ihilator jede dritte erwünschte fälschlicherweise als und hatte damit die mit Abstand höchste Falscherkennungsrate im Test. Dass erwünschte s als verworfen werden, lässt sich bei ihilator allerdings verhindern, indem man das Adressbuch aus dem installierten -Client in ihilator importiert. Wirkungsvoll ist das aber nur, wenn das Adressbuch gepflegt und in regelmäßigen Abständen abgeglichen wird was bei den meisten Nutzern nicht der Fall ist. Adressen lassen 2 Das Computer-Magazin 5/200

2 TESTS trainieren Bei Thunderbird und ihilator erreicht man durch Training der deutlich bessere Erkennungsraten. Sehen Sie zunächst alle Nachrichten im Posteingang und im ordner durch: Geben Sie bei den von der Software irrtümlicherweise als identifizierten s an, dass es sich nicht um handelt. Kennzeichnen Sie nachrichten, die nicht erkannt wurden, als. Dies verfeinert die Filterregeln der Programme und steigert so die Erkennungsrate. Absender, von denen Sie häufig s erhalten, sollten Sie in die Whitelist Ihres s eintragen das ist allerdings nicht notwendig, wenn der automatisch die im Adressbuch des -Programms vorhandenen Einträge in die Whitelist übernimmt. Absender, die regelmäßig schicken, tragen Sie in die Blacklist ein dann werden s von diesen Absendern oder Domains automatisch ausgefiltert. Bei professionellen versendern bringt das allerdings nicht viel, da sie ohnehin laufend neue oder gefälschte Absenderadressen verwenden. Steckbrief: -Test Kompakt prüfen, ob eingehende s charakteristische Eigenschaften unerwünschter Nachrichten enthalten. sind in -Clients und Security-Suiten integriert oder als eigenständige Programme verfügbar. Alle Programme im Test bieten einen Basisschutz vor - und Phishing-Mails. Eine gute Erkennungsrate ab 95 Prozent bot keines der Tools. Inhalt Das beste Programm S.2 Kompatibilit t S. S. Erkennungsrate Untrainiert S.4 Trainiert und angepasst S.5 S.5 Fazit S.5 trainieren S. Glossar: Was ist eigentlich? S.4 : So hat com! getestet S.5 : Testergebnisse im Detail S. Weitere Infos Englischsprachige Webseite zu Greylisting Offizielle englische Webseite zu Assassin, einem serverseitigen sich zudem nur aus dem Windows- Adressbuch importieren. Obwohl ihilator mehr zur Erkennung von -Mails einsetzt als die anderen Tools, arbeitete ihilator im Test recht schnell. Kompatibilität ihilator erreichte in der Testkategorie Kompatibilität die maximal mögliche Punktzahl: Das Tool arbeitet mit allen wichtigen -Clients zusammen, zum Beispiel Outlook, Outlook Express, Thunderbird, Pegasus Mail und Incredimail. Neben POP3 und IMAP unterstützt ihilator zudem die verschlüsselten Varianten POP3S und IMAPS, bei denen die gesamte Kommunikation zwischen - Client und -Server mittels SSL verschlüsselt wird. Ansonsten ist nur noch Thunderbird fähig, verschlüsselt über POP3S und IMAPS abzurufen. Zum Testzeitpunkt funktionierten nur Thunderbird, Kaspersky Internet Security und Windows Mail auch unter Windows Vista, alle anderen Programme arbeiten lediglich unter Windows 2000 und Windows XP. Die mit Abstand meisten setzt ihilator ein. Als einziger im Test unterstützt der das Hash-Verfahren Distributed Checksum Clearinghouse: Dabei identifizieren Server Massen- s anhand ihrer Prüfsumme. In der Praxis sehr nützlich ist es, wenn sich Whitelists und Blacklists komplett oder in einzelnen Einträgen aus dem Internet in die Filter-Software importieren lassen. Diese Funktion bieten jedoch lediglich ihilator und die Gdata Internet Security 200. Kaspersky Internet Security.0 importiert nur Whitelists. pal.594 ( kostenlos) verwendet in der Grundeinstellung nur wenige Filter. Weitere Filter muss der Anwender nachrüsten. Es gibt pal-plug-ins für Bayes- Filter und Blacklisting nach IP-Adresse. pal kann zwar auch nach regulären Ausdrücken filtern. Diese Option muss nach der Installation aber zusätzlich aktiviert werden. In pal lassen sich erheblich mehr Adressbücher einbinden als in den anderen getesteten Programmen. Das Computer-Magazin 5/200

3 Keines der getesteten Tools filtert -Mails über Vipul s Razor. Das sehr gute Verfahren DNS-Blacklisting unterstützen direkt nach der Installation nur Gdata Internet Security 200, F- Secure Internet Security und pal. Für ihilator gibt es ein Plug-in zum Nachrüsten. Alle anderen Testkandidaten können mit DNS-Blacklisting nicht umgehen. Erkennungsrate Die -Erkennungsrate hat com! in zwei Durchgängen getestet. Zuerst wurden die in ihren Standardeinstellungen mit 000 unerwünschten s () und 242 erwünschten s () konfrontiert. Dann hat com! die Programmkonfiguration optimiert und der Software per Training beigebracht, welche s als interpretiert werden sollen und welche nicht. Danach wurde der Test mit 4045 unerwünschten und 52 erwünschten s wiederholt. Um das Ergebnis nicht zu verfälschen, wurden den Filtern in beiden ihilator: Die Freeware sortierte gute 9,9 Prozent der -Mails aus, stufte aber auch jede dritte erwünschte Mail als ein (Bild B) Durchgängen unterschiedliche und -Mails zur Prüfung präsentiert. Beide Testreihen fanden mit leeren White- und Blacklists statt. Auch während des Trainings wurden keine Absender dort eingefügt. Nur so war es möglich, die Qualität der Filter zu testen. Denn Ziel war nicht, zu ermitteln, ob die Programme fähig sind, -Absenderadressen mit White- und Blacklists zu vergleichen, sondern in welchem Umfang sie am Inhalt und an -typischen Merkmalen erkennen. Untrainiert Obwohl der aktiv war, identifizierte der untrainierte Thunderbird keine einzige -Mail. Grund: In der Basiseinstellung kennt Thunderbird keine Filterregeln (Bild A). Bei den anderen Kandidaten sind wenigstens ein paar Regeln vordefiniert. Trotzdem schnitten auch sie untrainiert unbefriedigend ab. Gdata Internet Security 200 und Zone Labs Zone Alarm Internet Security erreichten untrainiert zumindest - Erkennungsraten von durchschnittlich über 5 Prozent. Außer Thunderbird haben die Programme in den Standardeinstellungen erfreulich hohe -Erkennungsraten von über 93 Prozent. Das heißt, s, die der Nutzer erhalten möchte, werden von der Software nicht als klassifiziert. Mit einer -Erkennungsrate von jeweils 99, Prozent am besten schnitten pal.594 und Internet Security 200 von F-Secure ab. Insgesamt die beste Erkennungsleistung im untrainierten Zustand bot der mit sehr guten Filterregeln ausgestatte- Glossar:Was ist eigentlich...? Bayes-Filter: Selbstlernende Filter. Der Nutzer sortiert die eingegangenen s nach und Nicht-. Brauchbare Ergebnisse erhält man erst ab etwa 000 selbst klassifizierten E- Mails. Dann sollte der Filter eine Trefferquote von 95 und mehr Prozent erreichen. Um den Filter weiter zu verfeinern, empfiehlt es sich, im weiteren Betrieb vom Filter falsch erkannte E- Mails richtig einzuordnen. Blacklist: In diese Liste tragen Sie einzelne Absender oder IP-Adressen ein, deren s stets als gewertet werden sollen. Distributed Checksum Clearinghouse (DCC): Das Hash-Verfahren setzen Provider ein, um zu identifizieren. Es setzt voraus, dass eine große Anzahl identischer -Mails gleichzeitig an unterschiedliche Empfänger verschickt wird. Sobald ein Server eine als eingestuft hat, errechnet er eine Prüfsumme und schickt sie an eine zentrale Datenbank. Beim Abrufen von s errechnen die -Server die Prüfsummen der einzelnen s und vergleichen sie mit den Einträgen in der DCC-Datenbank. Übersteigt die Anzahl von Empfängern einer bestimmten einen definierten Schwellwert, verweigern die - Server die Annahme der als identifizierten es sei denn, sie stammt von einer in der lokalen Whitelist enthaltenen Adresse. Da die Prüfsummen nach einer Fuzzy-Logik errechnet werden, lassen sich -Mails auch dann zuverlässig identifizieren, wenn sie von den - Versendern geringfügig modifiziert wurden. DNS-Blacklisting: Ein DNSBL-Filter vergleicht die IP-Adresse des Absenders mit einer Liste bekannter -Versender. Wenn die IP-Adresse als erkannt wird, wird der angeforderte Verbindungswunsch abgelehnt, bevor es zum Download der kommt. Es gibt eine Reihe von DNS-Blacklists verschiedener Betreiber. Regul re Ausdr cke: Die einfachste Methode, eine als zu klassifizieren, ist es, sie als einzustufen, wenn bestimmte Stichwörter oder Ausdrücke darin enthalten sind. Ein solch simpler Filter ist jedoch leicht zu umgehen: Wenn etwa an Stelle von Viagra V!agra im Text steht, versteht der Empfänger, was gemeint ist, der Filter erkennt das Unwort jedoch nicht. Deshalb nutzen moderne Filter die aus der Informatik bekannte formale Sprache der regulären Ausdrücke, um alle nur denkbaren Schreibweisen zu berücksichtigen. Mit einer Art Textschablone lassen sich über einen regulären Ausdruck beispielsweise alle Zeichenkombinationen erfassen, die mit einer bestimmten Zeichenfolge beginnen beziehungsweise enden (siehe dazu Vipul s Razor: Hinter dem von Vipul Ved Prakash entwickelten Razor stecken eine Client- Software und ein verteiltes Netzwerk, das zur Erkennung von -Mails dient. Hier wird ähnlich wie bei DCC eine Prüfsumme für eine als eingestufte errechnet und den Netzwerkteilnehmern zur Verfügung gestellt. Mit statistischen Verfahren versucht Razor, auch Mutationen von -Mails zu erkennen. Whitelist: In die Erlaubnisliste tragen Sie Absender ein, deren s nie als gewertet werden sollen selbst wenn sie typische Merkmale einer -Mail enthalten.verschiedene Filterprogramme und -Clients wie Thunderbird fügen automatisch alle Adressen des internen Adressbuchs in die Whitelist ein, so dass s von Personen, mit denen Sie in Kontakt stehen, nicht im -Ordner landen. 4 Das Computer-Magazin 5/200

4 TESTS te Outlook-Express-Nachfolger: Das in Windows Vista integrierte Windows Mail erreichte eine -Erkennungsrate von 90, Prozent und eine -Erkennungsrate von 93,8 Prozent. Trainiert und angepasst Der zweite Durchlauf nach der Programmkonfiguration und dem Training lieferte überraschende Ergebnisse: Beim Testsieger ihilator stieg die Erkennungsrate von -Mails zwar auf sehr gute 9,9 Prozent. Die -Erkennungsrate sank jedoch auf miserable 4,9 Prozent (Bild B). Bei Gdata Internet Security 200 und F-Secure Internet Security 200 verschlechterten sich die -Erkennungsraten im zweiten Testdurchlauf erheblich. Gdata Internet Security 200 erkannte nicht einmal mehr ein Drittel der unerwünschten Mails und F-Secure Internet Security 200 sogar nur 8,2 Prozent. Auch bei Kaspersky Internet Security.0 sank die ohnehin extrem schlechte -Erkennungsrate von 4, Prozent auf,5 Prozent. Bei Windows Mail reduzierte sich die Erkennungsrate bei und im zweiten Testdurchlauf unwesentlich um 0,2 Prozent. Das Training der Software brachte hier also nicht den gewünschten Erfolg. Bei pal.594 und Zone Labs Zone Alarm Internet Security wurden im zweiten Testlauf mehr -Mails aussortiert als im ersten Durchlauf, aber bei weitem nicht genug: nur rund 0 Prozent. Auch hier brachte das aufwendige Training keinen nennenswerten Erfolg. Ganz anders bei Thunderbird: Der Filter verbesserte seine Erkennungsrate nach dem Training und der Optimierung der Software-Einstellungen ganz erheblich: Das -Programm erkannte 8,3 Prozent der unerwünschten Mails und 95 Prozent der erwünschten Mails. Alle verfügen über ein elektronisches Handbuch. Ein gedrucktes findet sich nur bei den Security-Suiten Gdata Internet Security 200, F-Secure Internet Security 200, Zone : So hat com! getestet com! hat die aktuellen Programmversionen bekannter verglichen. Sie sollten vor allem drei Anforderungen erf llen: - und Phishing-Mails zuverl ssig erkennen, nur wenige erw nschte Mails f lschlicherweise als klassifizieren und die Pr fung relativ rasch vornehmen. Kompatibilit t: Bewertet wurde, in welchem Umfang das jeweilige Filterprogramm sich als kompatibel zu verbreiteten - Clients erwies und wie viele der Übertragungsprotokolle POP3, IMAP, POP3S und IMAPS es unterstützte. In dieser Kategorie waren maximal 5 Punkte zu erreichen. : Hier punkteten Programme mit vielen. Weniger Punkte erhielten Programme, bei denen Plug-ins nachgerüstet werden mussten oder bei denen die Konfiguration der Filter mühsam war. In dieser Kategorie gab es maximal 20 Punkte. Labs Zone Alarm Internet Security und Kaspersky Internet Security.0. Bei pal und seiner mit Abstand aufwendigsten Konfiguration hilft das Tutorial unter /Anleitung recht gut. F-Secure Internet Security 200 und pal trödelten beim Filtern am meisten: Um s abzuarbeiten, benötigten sie mehrere Stunden. Das ist vor allem problematisch, wenn per IMAP auf die s zugegriffen wird. Da die s bei IMAP nicht heruntergeladen werden, sondern auf dem Server bleiben, wird bei jedem Einloggen am -Account eine vollständige Prüfung durchgeführt. Am schnellsten arbeiteten ihilator und Gdata Internet Security 200. Schnell waren auch Thunderbird und Windows Mail. Fazit Thunderbird: In den Grundeinstellungen ist der Filter zwar aktiv, ohne Training der Filterregeln erkennt er aber keine einzige -Mail (Bild A) Erkennungsrate: In einem ersten Schritt wurden die Filter ohne Anpassung oder Training in der Standardkonfiguration getestet. In diesem Durchlauf wurden die Programme mit 000 unerwünschten s (99 - und 8 Phishing-Mails) sowie 242 erwünschten s konfrontiert. Danach wurden falsch erkannte s korrekt klassifiziert und der zweite Durchlauf gestartet. Darin hatten die Filter 4045 unerwünschte s (359 und 28 Phishing-Mails) und 52 erwünschte s zu prüfen. Für Erkennungsraten unter 80 Prozent gab es keine Punkte. In dieser Kategorie waren maximal 45 Punkte zu erreichen. : Punkten konnten hier Programme, die eine sprachige Bedienoberfläche haben und einfach zu installieren und konfigurieren sind. Besonders wichtig war die Prüfdauer: Je schneller ein Filter die Mails abarbeitete, desto mehr Punkte erhielt er. In dieser Kategorie waren maximal 20 Punkte zu erreichen. Die durchschnittliche Erkennungsrate lag bei allen Programmen weit unter 95 Prozent. So erreichte keiner der Testkandidaten die Note gut. Das beste Programm im Test, der kostenlose Filter ihilator, schnitt gerade noch befriedigend ab. Bei ihilator ist nach dem Training ein Import des Windows-Adressbuchs unerlässlich, um die Erkennungsrate zu steigern. Das Trainieren und Konfigurieren der Software machte die Sache in einigen Fällen nicht besser. Im Gegenteil: Bei manchen Programmen wurden dann sogar noch weniger unerwünschte Nachrichten aussortiert. Lediglich Thunderbird und ihilator erreichten nach einem Training deutlich bessere Erkennungsraten. Franz Grieser, Mark Lubkowitz test@com-magazin.de Das Computer-Magazin 5/200 5

5 Anbieter Produkt Michael Kr mer ihilator Mozilla Foundation Thunderbird Gdata Internet Security 200 Internet Preis (Straßenpreis) Kompatibilität Erkennungsrate trainiert und angepasst Gesamtpunktzahl Note Preis-Leistungs-Verhältnis Bewertung Ausstattung Update-Abonnement inklusive Anzahl der PC-Installationen Betriebssystem Protokollfunktion Statistik Kompatibilit t Unterstützte -Clients POP3 IMAP POP3 über SSL IMAP über SSL Bayes (lernende Filter) Filtern nach regulären Ausdrücken (max. 5 Punkte) (max. 5 Punkte) (max. 30 Punkte) (max. 00 Punkte) kostenlos befriedigend sehr gut Training steigert -Erkennungsrate, verringert aber die -Erkennung unbegrenzt Outlook Express, Outlook 2000/XP/2003, Opera, Eudora, Pegasus Mail, Phoenix Mail, Netscape /Mozilla, Thunderbird, Incredimail kostenlos 0 54 sehr gut Kostenloser -Client mit sehr guten Erkennungsraten nach Training unbegrenzt /Vista eigenständiger -Client erst nach Trainingsphase 30 Euro mangelhaft Nach Training drastisch reduzierte -Erkennungsrate 2 Monate Proxy-Server für alle Clients, die POP3 oder IMAP unterstützen; zusätzlich Plug-in für Outlook Unterstützung für DNS-Blacklisten (Realtime-Blacklisten) Unterstützung für Distributed Checksum Clearinghouse Unterstützt Vipul s Razor Erweiterbar durch Plug-ins Blacklisting nach IP Blacklisting nach -Adresse Whitelisting nach IP Whitelisting nach -Adresse Nutzt Adressbuch für Whitelisting Importiert Whitelists und Blacklists aus Datei Erkennungsrate trainiert und angepasst Sprache Gedrucktes Handbuch Elektronisches Handbuch / Tutorial Elektronische Hilfe im Programm Installation / Konfiguration Trainingsmodus Prüfdauer Zusammenarbeit mit -Client über Plug-in kann nur Windows-Adressbuch importieren / 44,5 % 94, % 9,9 % 4,9 % /, gut verständlich Handarbeit erforderlich / einfach eigenes Modul im Programm sehr kurz schlecht ) Note sehr gut: 00-9 Punkte Note gut: 90- Punkte Note befriedigend: 5-58 Punkte Note : 5-4 Punkte Note mangelhaft: Punkte Note ungenügend: 9-0 Punkte / 0 % 0% 8,3 % 95 % /, gut verständlich /kein, kurz maximal drei Listen, lassen sich ändern / 0,9 % 98,8 % 32 % 9,9 % / Whitelist, Blacklist sehr kurz Das Computer-Magazin 5/200

6 Microsoft Windows Mail in Vista enthalten sehr gut Sehr guter -Client mit hohen Erkennungsraten, jedoch für Vista Windows Vista eigenständiger -Client F-Secure Internet Security Euro mangelhaft Geringe -Erkennungsrate sinkt nach Training weiter ab 2 Monate Outlook, Outlook Express, Thunderbird / Mozilla, Eudora, Opera / 90, % 93,8 % 90,5 % 93, % kann nur Adressbuch von Outlook importieren / 44, % 99, % 8,2 % 99, % /, gut verständlich nicht erforderlich / einfach /kein, kurz / sehr lang ) Im Test blockierten zwei Mails den Download über POP3, sie mussten über das Webinterface des Mail-Providers vom Server gelöscht werden Das Computer-Magazin 5/200

7 Anbieter / Produkt Zone Labs / Zone Alarm Internet Security 200 James Farmer pal.594 Kaspersky Internet Security.0 Internet Preis (Straßenpreis) Kompatibilität Erkennungsrate trainiert und angepasst Gesamtpunktzahl Note Preis-Leistungs-Verhältnis Bewertung Ausstattung Update-Abonnement inklusive Anzahl der PC-Installationen Betriebssystem Protokollfunktion Statistik Kompatibilit t Unterstützte -Clients (max. 5 Punkte) (max. 5 Punkte) (max. 30 Punkte) (max. 00 Punkte) 38 Euro ungenügend Hoher Bedienkomfort, aber nur zu Outlook kompatibel 2 Monate Outlook 2000/XP/2003, Outlook Express kostenlos 2 49 gut Hohe Kompatibilität zu unterschiedlichen -Clients unbegrenzt Proxy-Server für alle Clients, die POP3 oder IMAP unterstützen 25 Euro mangelhaft Schlechteste -Erkennungsrate im Testfeld 2 Monate /Vista Outlook, The Bat POP3 IMAP POP3 über SSL IMAP über SSL Bayes (lernende Filter) Filtern nach regulären Ausdrücken Unterstützung für DNS-Blacklisten (Realtime-Blacklisten) Unterstützung für Distributed Checksum Clearinghouse Unterstützt Vipul s Razor Erweiterbar durch Plug-ins Blacklisting nach IP Blacklisting nach -Adresse Whitelisting nach IP Whitelisting nach -Adresse Nutzt Adressbuch für Whitelisting Importiert Whitelists und Blacklists aus Datei Erkennungsrate trainiert und angepasst Sprache Gedrucktes Handbuch Elektronisches Handbuch / Tutorial Elektronische Hilfe im Programm Installation / Konfiguration Trainingsmodus Prüfdauer Zusammenarbeit mit -Client / 5,2 % 98,8 % 5,8 % 98,8 % / /kein, mittel Note sehr gut: 00-9 Punkte Note gut: 90- Punkte Note befriedigend: 5-58 Punkte Note : 5-4 Punkte Note mangelhaft: Punkte Note ungenügend: 9-0 Punkte über Plug-in enthalten, aber nicht standardmäßig aktiviert die wichtigsten sind voreingestellt, weitere lassen sich hinzufügen über Plug-in über Plug-in, erfordert den Import exportierter Adressbücher / 40,3 % 99, % 59,3 % 99,5 % / (auf Webseite), unvollständig Handarbeit erforderlich / aufwendig sehr lang / 4, % 93,0 %,5 % 93,2 % / Trainingsassistent, /kein, mittel 8 Das Computer-Magazin 5/200