Spam / Spam-Mails - Prof. Dr. Norbert Pohlmann
Spam / Spam-Mails | |
 | Inhaltsverzeichnis Was sind Spam-Mails?
Der Basis-E-Mail-Dienst hat einige generelle Probleme oder Herausforderungen, die bei der Nutzung grundsätzlich betrachtet werden müssen. Weltweit kann uns jeder E-Mails senden. Für die E-Mails, die wir empfangen wollen, ist das eine sehr gute Eigenschaft. Für die E-Mails, die wir nicht empfangen wollen (E-Mails mit Werbung, politischen Inhalten, kriminellen Absichten, …) hat sich das Wort „Spam“ etabliert. Es gibt aber auch E-Mails, die uns einen direkten Schaden zufügen sollen. Das sind E-Mails mit Malware oder auch Phishing E-Mails. Alle E-Mails, die wir nicht empfangen wollen, stellen ein großes Problem für die E-Mail-Anwendung dar, insbesondere weil die eigene E-Mail-Infrastruktur das Senden nicht verhindern und der Sender nicht eindeutig verifiziert werden kann. Laut ENISA ist der Spam-Anteil größer als 95 % in der E-Mail-Infrastruktur. Bei den Nutzern kommen zwar durch intelligente Filtermechanismen nicht mehr so viele Spams in den E-Mail-Postfächern an, aber das Aufkommen ist immer noch hoch und produziert einen sehr großen Schaden, weil die E-Mail-Infrastruktur für nicht-gewollte E-Mails vorgehalten werden muss. Motivation von SpamIm Gegensatz zur normalen Werbepost werden bei Spam die Kosten vom Anbieter zum Empfänger verschoben. Im Vergleich zur Werbepost im Briefkasten ist der Versand von Millionen von E-Mails mit geringen Kosten für den Absender machbar. Schäden, die durch Spam-Mails auftretenDie durch Spam-Mails entstehenden Schäden sind zum Teil nicht exakt bezifferbar. Sie lassen sich jedoch in folgende Bereiche grob unterteilen:
Anti-Spam-LösungenBei der Identifizierung von Spam-Mails ist zu entscheiden, ob Spam-Mails bereits am Mailserver oder erst am Client herausgefiltert oder blockiert werden sollen. Für mittlere und größere Unternehmen ist eine zentrale Server- oder Gatewaylösung meistens die einzige pragmatische Alternative. Kleinunternehmen, welche keine eigene E-Mail-Infrastruktur betreiben, sind mit Clientlösungen oder Services von E-Mail-Dienstleistern gut gerüstet. Anti-Spam-Technologien realisieren die Spam-Abwehr durch einen mehrstufigen Prozess. Im Folgenden werden ein paar technische Mechanismen dargestellt, die auch in Kombination verwendet werden können: 
Zentrale Anti-Spam-Lösungen
Mechanismen zum Erkennen von Spam-MailsIm Folgenden werden grundsätzliche Methoden prinzipiell dargestellt, mit denen Spam-Mails erkannt und/oder verhindert werden können. Bei der Erkennung von Spam-Mails ist im Detail zu entscheiden, ob Spam-Mails bereits am Mailserver oder erst am Client herausgefiltert oder blockiert werden sollen. Für mittlere und größere Unternehmen ist eine zentrale Server- oder Gatewaylösung meistens die einzige pragmatische Alternative. Kleinunternehmen, welche keine eigene E-Mail-Infrastruktur betreiben, sind mit Clientlösungen oder Services von E-Mail-Dienstleistern gut gerüstet. Im Folgenden werden ein paar technische Mechanismen dargestellt, die auch in Kombination verwendet werden können: E-Mail-Kopfzeilen-Analyse und Strukturanalyse Verfahren zur E-Mail-Kopfzeilen-Analyse untersuchen die Kontrollinformationen auf Konsistenz und Vollständigkeit. Die Prüfung von erweiterten Informationen in den E-Mail-Kopfzeilen (Header) auf Konsistenz erlaubt das gezielte Erkennen von E-Mails, die nicht von Standard-E-Mail-Systemen versendet wurden. Werden eine oder mehrere Unregelmäßigkeiten erkannt, so werden diese mit einem Rating versehen. Voraussetzung für eine hohe Erkennungsrate ist ein feinabgestimmtes Rating der einzelnen Merkmale. Bei der Strukturanalyse wird überprüft, ob der E-Mail-Nachrichtentext (Body) eine Kombination von unerwünschten HTML-Tags und Skripten enthält. Inhaltanalyse durch gewichtete Wortlisten in Betreff und Nachrichtentext Textanalyse mit statistischen Verfahren Checksummen-Server Bei dieser Methode ist auch möglich, die Spam-Mails durch eine individuelle Klassifikation durch die Nutzer zu identifizieren. Das Prinzip weist auch einige Grenzen auf: Newsletter werden in der Regel auch als Massenmail versendet, ein Spam-Versender kann das Checksummen-System durch die Personalisierung der Spam-Mail oder durch Einfügen zufälliger Zeichenketten umgehen. Mithilfe von unscharfen Prüfsummen oder Fuzzy-Prüfsummen kann das Individualisieren von Spam-Mails entgegengewirkt werden. Bei Fuzzy-Prüfsummen wird zum Beispiel der E-Mail-Inhalt auf ein charakteristisches Minimum reduziert. Dies erhöht die Wahrscheinlichkeit, dass leicht unterschiedliche Spam-E-Mails trotzdem erkannt werden. Bewertung von Erkennungsmechanismen Für die Bewertung der Anti-Spam-Technologien gibt es im Prinzip zwei Kenngrößen. Die Filterrate von Anti-Spam Technologie wird als Verhältnis von erkannten Spam-Mails zu den insgesamt erhaltenen Spam-Mails ausgedrückt. Eine wichtige Kenngröße sind die sogenannten “False Positives”. Damit sind E-Mails gemeint, die fälschlicherweise als Spam-Mails eingeordnet, herausgefiltert und in Quarantäne gestellt worden sind. Dies kann in der Praxis zu Problemen führen, wenn wichtige E-Mails dort landen und nicht rechtzeitig den Empfänger erreichen oder sogar gelöscht werden. Typischerweise ist die Rate bei Anti-Spam-Mechanismen 0,001% – 0,0001%. Sicherheitshalber werden eingehende Mails, die den Anforderungen einer Spam-Mail des Filters entsprechen direkt in einen Spam-Ordner verschoben. Der Vorteil ist, dass E-Mails nicht automatisch gelöscht werden und eine ab-schließende Kontrolle durch den Nutzer möglich bleibt, was aber sehr viel Zeit kostet. Bei „False Negative“ wird eine Spam-Mail nicht als Spam erkannt in landet so im Eingangsorder des Nutzers. Typischerweise ist die Rate bei Anti-Spam-Mechanismen 0,1% – 0,01%. Nachteile der Spam-Erkennungsverfahren
Mechanismen zur Vermeidung von Spam-MailsIm Folgenden werden technische Mechanismen zur Vermeidung von Spam-Mails beschrieben und bewertet. Blacklist Whitelist Greylist IP Reputation Service Bei Aufbau der SMTP-Verbindung wird gefragt, welche Reputation die einliefernde IP-Adresse (E-Mail-Gateway, …) hat. In der Regel werden IP Reputation Services DNS-basiert aufgebaut [6]. Es wird beim Aufbau einer SMTP-Verbindung (TCP) die IP-Adresse des Senders an den IP Reputation Service gesendet und als Antwort wird die Reputation der IP-Adresse gegeben. Es handelt sich bei der Antwort um eine Einschätzung in Bezug auf die Wahrscheinlichkeit, dass es sich um eine Spam-Mail handelt. Wenn die Reputation der IP-Adresse gut ist, dann wird die E-Mail angenommen, sonst abgelehnt. Beispiele Reputationsbewertung von IP-Adressen Dialup-IPs IPs aller vertrauenswürdigen E-Mail-Server Frequenzanalysen Bewertung der technischen Mechanismen zur Vermeidung vom Spam-Mails Weitere Informationen zum Begriff “Spam / Spam-Mails”:„Knackpunkt Spam – Umfrage zur E-Mail-Verlässlichkeit“ „IP-Blacklisting zur Spam-Abwehr – Spam-Vermeidung ist besser als Spam-Erkennung“ „E-Mail Spam Threats and Mitigation Recent research results“ „Übungsaufgaben und Ergebnisse zum Lehrbuch Cyber-Sicherheit“ „Bücher im Bereich Cyber-Sicherheit und IT-Sicherheit zum kostenlosen Download“
„Innovative Answers to the IoT Security Challenges“ „Künstliche Intelligenz (KI) und Cyber-Sicherheit“ „IT Security Talks im Rahmen der it-sa 365 – Vertrauenswürdigkeit schafft Vertrauen“
„Master-Studiengang Internet-Sicherheit (IT-Sicherheit, Cyber-Sicherheit)“ „Marktplatz IT-Sicherheit: IT-Notfall“ „Marktplatz IT-Sicherheit: IT-Sicherheitstools“ „Marktplatz IT-Sicherheit: Selbstlernangebot“ „Marktplatz IT-Sicherheit: Köpfe der IT-Sicherheit“ „Vertrauenswürdigkeits-Plattform“ Zurück zur Übersicht Summary Article Name Spam / Spam-Mails Description Für die E-Mails, die wir nicht empfangen wollen (E-Mails mit Werbung, politischen Inhalten, kriminellen Absichten …) hat sich das Wort „Spam“ oder „Spam-Mails“ etabliert. Die E-Mails können als Massenware oder als personalisierte Werbemails auftreten. Author Prof. Norbert Pohlmann Publisher Name Institut für Internet-Sicherheit – if(is) Publisher Logo  |
| |