[connect24h:9762] Re: info@ spam

[MATSUDA Yoh-ichi / 松田陽一 <yoh@xxxxxxxx>]

こんにちは。松田陽一@三鷹です。

From: Masato Zembutsu <azi@xxxxxxxxxxxxxxx>
Subject: [connect24h:9761] Re: info@ spam
Date: Tue, 27 Sep 2005 06:30:13 +0900

> 　おはようございます、前佛と申します。

> > # なお、 3.x から URIBL は標準サポートされていますので、ver.up
> > # すれば上記ユーティリティは不要になります。
> 
> 　私の勉強不足です。ご指摘ありがとうございます。
> 　2.6 のマニュアルは斜め読みでしたので、正規表現ということも完
> 全に気づかずにいました。3.x で勉強します。

2.6x でもフィルタリングはできますが、最新版は spam の最新事情に
対応したルールが満載されています。
こういうものは出来るだけ最新のものを追いかけるのが吉です。

> > (1) うっかり知り合いとのメイル文中にこのサイトの URI を記述し
> >     ただけでスコアが 30 も跳ね上がってしまうことと、
> 
> 　はい、これはかなりリスキーであり荒療治です。。

ですので、他のルールと組み合わせたりすることが必要です。
紋切り型のフィルタリングはお薦めできません。
その為のスコアリングなのですから。

今般の話題に上がっている、いわゆる "info@*" の spam には、非常に
判り易い特徴があります。

(1) エンベロープ From が "info@mail.***.*** である。
    Return-path: ヘッダで引っかけられる。

(2) Subject: が生 JIS である。
    SA なら SUBJ_ILLEGAL_CHARS というルールがある。

(3) (1) のエンベロープ From の A レコードにて、 MTA に対する HELO
    を返している。

(4) (3) の A レコードが複数の IP アドレスを返す。

(5) (4) の IP アドレスは韓国、中国、台湾のものである。
    但し、今後の動向次第では他の国のものが使われる可能性も否定でき
    ない。

(1) と (2) の meta ルールだけでも良いかも知れませんが、やはりここ
はベイジアンとの組合せで、確実性を高めたいです。
SA のベイズエンジンは日本語に必要なわかち書き処理を含んでいません
が、それでもヘッダを含めたメイル全体を扱うので、みっちり学習させれ
ば効果はあります。

私は汎用性を高める為、 DNSBL / URIBL とベイジアンとの組合せによる
meta ルールを多用していますが、今般のケースは DNSBL にヒットしない
場合がたまにあります。
今般のケースの spam をかき集め、 info@mail.***.*** の A レコード
を軒並 host コマンドで IP アドレスを割り出し、予想される使用アドレ
ス範囲を Received: 行で引っかけるルールを作成しても良いかもしれま
せん。
勿論、それだけで高スコアにすることは危険ですから、前述の他のルール
やベイジアンとの組合せでスコアを積み上げるのが良いかと思います。


> > (2) "http://" が記述されていないので、 "ttp://" というように
> >     アクセスを回避する記述が使えないこと
> 
> 　該当サイトの中には A レコードで複数のホスト名を与えるケース
> があったため、あえて http:// の記述は省略していました。

見たところ、本文中に「拒否アドレス」として記されるメイルアドレスは、
yahoo.co.jp 等の、当該 A レコードと無関係なものも記されている場合
もありますので、やはりお薦めできません。
それは横着というものです。
「拒否アドレス」はこの際無視するか、あったらピンポイントで引っかけ
る程度で考えるのが良いと思います。
--
Nothing but a peace sign.
松田 陽一(yoh)
mailto:yoh@xxxxxxxx
http://www.flcl.org/~yoh/diary/

--[PR]------------------------------------------------------------------
３種類の餃子が楽しめる！「餃子工房RON」のこだわり餃子を工場より直送！
　　　▼▼　お試し生餃子セット（３種類　７４ヶ入り）　▼▼
　特別価格１，８９０円（初回送料無料）　お一人様２セット限り！
一口生餃子（５０ヶ）・もち豚肉生餃子（１２ヶ）・野菜生餃子（１２ヶ）
 http://ad.freeml.com/cgi-bin/ad.cgi?id=d455k
------------------------------------------------------------------[PR]--
■GMO INTERNET GROUP■ GMO INTERNET www.gmo.jp