Akademik Bilişim '10 10 - 12 Şubat 2010 Muğla

SMTP Protokolü ve Spam Mail ProblemiM. Erkan Yüksel, Şafak Durukan Odabaşı3. SMTP ve Spam ile İlgili Yapılan ÇalışmalarSpam aktiviteleri ve altyapıları üzerinde son zamanlardabir çok araştırma yapılmaktadır. Pathak,Hu ve Mao’nun ortaya koyduğu, spam yollayıcılarınglobal davranışlarının analizi üzerineyaptıkları çalışmada spam yollayıcılar, YüksekYoğunluklu Spam Yollayıcılar (High VolumeSpammers – HVS) ve Düşük Yoğunluklu SpamYollayıcılar (Low Volume Spammers – LVS)olarak sınıflandırılmıştır [1]. Kanich, Kreibichve Levchenko’nun yapmış olduğu çalışmadaise botnet altyapısı kullanılarak ekonomi ve kârbakımından mail spam piyasası incelenmiş vespam pazarında düşük yatırımın büyük gelir getirdiğigözlenmiştir [2].Spam yollayıcı ağı altyapısının varlığı, ağınnasıl genişlediğini ve servis içinde bulunduğunugöstermektedir [3][4]. Yapılan çalışmalarsırasında, spam problemi araştırılmış ve spamekarşı mücadelede kullanılacak olan email spamimzasının üretilmesi için botnet tabanlı spamhareketlerinin dağıtılmış karakteristiklerindenyararlanılmıştır [5]. Mesaj boyutları, gönderici,alıcı ve mesaj teslim süresi bilgilerini içerenbir mail sunucusu incelenirse, mail sistemleriiçin kriter olarak kullanılabilecek mail kalıplarıüretilebilinir [6].SMTP Yol Analizi’ni inceleyen çalışmalarda,mail domainleri ve ilgili IP adreslerinin reddedilmeoranını tahmin edecek bir öğrenme algoritmasıgeliştirilmiştir [7]. Bu analizlerin temeli,bilinen güvenli mailler ve bilinen spamleriniletimi için kullanılan yollar bulunmaktadır.Bunların dışında, veri madenciliği kullanılarakmesaj iletim uygulamasının nasıl gerçeklendiğiniinceleyen çalışmalar da, davranış tabanlımail analizi için yapılan spam tespitinin birparçası olabilir [8].Tüm bu çalışmalar, izin tabanlı bir servis sunmayanSMTP protokolünün dizaynının başındatahmin edilememiş spam probleminin ne kadarönemli olduğunu göstermektedir.4263. UygulamaBu çalışmada bir iç mail sunucusu ve dışsal mailsunucuları simüle edilerek, mesaj logları incelenmiştir.Bu iç mail sunucusunun email başlıklarınınsinyallerinin mail değişim depolarından eldeedilen veriler analiz edilmiştir. Bu veri, DNSBLve anti-spam uygulaması kullanılarak filtrelenmiştir.İki adet veri seti ile çalışılmıştır. İlkiDNSBL bloklama listesidir. Bu veri, “, , ”bilgilerini içermektedir. OK, IP adresinin DNSkara listesinden (DNSBL) geçtiği anlamına gelmektedir.REJECT ise mailin DNSBL kontrolündengeçemediğini göstermektedir.İkinci veri seti, Anti-Spam Filtre veri logu ise,“, , ,” bilgilerini kapsamaktadır.DNSBL kontrolünden geçen her mail,mail sunucusunda filtreleme kurallarına uygunolarak 0 ile 1 arasında olasılıklarla işaretlenmeküzere Anti-Spam filtre aracına gönderilir. Eğermail virüs içeriyorsa VIRUS olarak işaretlenir.Spam mailleri, güvenli maillerden ayırmak için,güvenli mail mesajları 0 ve 0.5 arasında olasılıklaişaretlenmiştir. 0.5’den büyük değerleresahip mailler ise spam olarak belirlenmiştir.Mesaj loglarının incelenmesi sonucunda eldeedilen veriler tablolar halinde hem iç hem dedış mesaj logları için çizelgelenmiştir.Şekil 3 ve 4’de iç mesaj loglarının sonuçları görünmektedir.Şekillerde bir aylık periyot için, saatlikgüvenli ve spam mail sayıları görülmektedir.Saatler arasında mail aktivitesinin yüksek olduğuzamanlarda, spam hareketliliği de artmaktadır.Başka bir ilginç sonuç ise, Şekil 5’de gösterilen,aynı sunucudan gelen güvenli ve spammailler arasında güvenilir maillerin sayısınınçok olduğunun görülmesidir. Simüle edilen içmail sunucusundan 1 saat içinde alınan güvenilirmaillerin ortalama sayısı 1440 iken, ortalamaspam mail sayısı 222 olarak gözlenmiştir.Şekil 6,7 ve 8’de ise yine bir aylık periyot içinsaatlik dışsal mail log analizi gösterilmektedir.4. SonuçElde edilen sonuçlar, spam aktiviteleri hakkındaaydınlatıcı olmaktadır. Hem iç hem de dışsunuculardan gelen mailere göre, alınan mailsayısıyla beraber spam mail sayısı da artmaktadırve bu değer gece yarısından önce tepe noktasınaulaşmaktadır.Spam mailler hem iç hem de dış sunuculardangelmektedir. Bu esnada birçok mail DNSBL’inAkademik Bilişim’10 - XII. Akademik Bilişim Konferansı Bildirileri10 - 12 Şubat 2010 Muğla Üniversitesi427kontrolünden tespit edilmeden geçmeyi başarmıştır.Bu durum dinamik IP adreslerinin kullanımıveya spam üreticilerin bot makineler üzerindeçalışmaları ve buna bağlı olarak DNSBLfiltrelemeden kaçabilmeleriyle açıklanabilir.Verinin analizi sonucu, spam mailler filtrelendiğinde,spam yollayıcıların, spam mail göndermeyedevam ettikleri; yani filtrelemenin spamyollayıcıları durduramadığı ve bazı spamlerindoğal olarak yayıldıkları gözlenmiştir.Şekil 3. İç mesaj logu için 1 saatte gelen güvenilir maillerin toplam sayısı .Şekil 4. İç mesaj logu için 1 saatte gelen spam maillerin toplam sayısı .