「IPアドレスの最近傍識別を行うSPAM Filter」記事へのコメント

学習効果

[Anonymous Coward]

実はこの方法とほぼ同じ方法をしかなりの期間試してみたことがあります。
(実際の距離の計算のところはもう少し複雑なアルゴリズムでしたが)

この方法のミソはヘッダや本文やその他の情報は偽造したり頻繁に変更す
ることは簡単だが、IPアドレスを頻繁に(大きく)変更することは難しいと
いう点にあり、ダイナミックIPからのスパム等にかなり効果があることは
確かです。

ただ長期に試した結果としては「学習効果が強過ぎるかな」といった問題
がでています。

よく判定に失敗した例としては

    - 最近のスパムbotは普通にISPのメールサーバを使用して送信してきたりする

Re:学習効果

[twada (33858)]

コメントありがとうございます．
こういった現象はほんの僅かではありますが，起きております．ただ，スパムだけでなく，普通のメイルもIPを登録しますので，これらのせめぎ合いでうまく動くようです．それと，うちの場合，大学の入り口でSMTPタービットやら強制切断でチェックしているので，botから直接流れてくるスパムが少ないこともあるかもしれません．そういう意味では組み合わせとしてはタービットやら強制切断と組み合わせるのがいいかもしれません．
>- 最近のスパムbotは普通にISPのメールサーバを使用して送信してきたりする
> ⇒ 大手のISPのメールサーバがスパムサーバとして登録されたりする
これはyahoo，gmail，hotmailなどで昔はあったのですが，最近はほとんどないようです．少なくとも私のところでは過去半年こういうのはないです．
> - スパマーの中には複数のサーバホスティング業者を渡り歩いて送信サーバを 変更してくるものがいる
> ⇒ 同じ業者のサーバホスティングを使用している他の人たちからのメールも 全てスパム扱いしてしまう
時々ありますね．こういうことは．でも先に述べたせめぎ合いで，全部スパム扱いにはなりません．日ごろのトレーニングのせいかもしれません．
> - 通常のメールに比べてスパムの数が圧倒的に多いと、そのうち知らないとこ ろから来たメールは全てスパム扱いしてくれる
これは先に述べたせめぎ合いで，うちでは殆ど起きておりません．
> ⇒ それはそれで良しという気がしないでもないが、ただのホワイトリス トと変らないんじゃないかと
ちょっとどう答えていいか分からないのですが，ホワイトリスト，ブラックリストとせずに距離の比較をしてるので，汎化性能はいいみたいです．

Re:学習効果

[tmiura (6268)]

- 最近のスパムbotは普通にISPのメールサーバを使用して送信してきたりする ⇒ 大手のISPのメールサーバがスパムサーバとして登録されたりする

これはyahoo，gmail，hotmailなどで昔はあったのですが，最近はほとんどないようです．少なくとも私のところでは過去半年こういうのはないです．

OP25Bの普及とともにそちらへ移っていきますよ、これから。

Re:学習効果

[twada (33858)]

25番が閉じられたらISPのメールサーバかWEBメールに移行というパターンは可能性としてあると思います．ただ，私の見ている限りbotよりも，専用中継サーバからのスパムが圧倒的に多いです．ISPはターピットや強制切断で対策を講じるでしょうし，WEBメールもコンテンツフィルタや，通信パターンから遮断をかけるくらいの技術はもっているでしょう．そういうわけで，今のところは楽観的にとらえてます．ただ，顕在化したときのためにIPアドレス以外の部分も拾えるようにヘッダ全部を一旦メモリに乗せておくように変更しようと思います．また，学生が作っているBayesianフィルタとの組み合わせも検討してみます．コメントありがとうございました．