「IPアドレスの最近傍識別を行うSPAM Filter」記事へのコメント

学習効果

[Anonymous Coward]

実はこの方法とほぼ同じ方法をしかなりの期間試してみたことがあります。
(実際の距離の計算のところはもう少し複雑なアルゴリズムでしたが)

この方法のミソはヘッダや本文やその他の情報は偽造したり頻繁に変更す
ることは簡単だが、IPアドレスを頻繁に(大きく)変更することは難しいと
いう点にあり、ダイナミックIPからのスパム等にかなり効果があることは
確かです。

ただ長期に試した結果としては「学習効果が強過ぎるかな」といった問題
がでています。

よく判定に失敗した例としては

    - 最近のスパムbotは普通にISPのメールサーバを使用して送信してきたりする

Re:学習効果

[twada (33858)]

コメントありがとうございます．
こういった現象はほんの僅かではありますが，起きております．ただ，スパムだけでなく，普通のメイルもIPを登録しますので，これらのせめぎ合いでうまく動くようです．それと，うちの場合，大学の入り口でSMTPタービットやら強制切断でチェックしているので，botから直接流れてくるスパムが少ないこともあるかもしれません．そういう意味では組み合わせとしてはタービットやら強制切断と組み合わせるのがいいかもしれません．
>- 最近のスパムbotは普通にISPのメールサーバを使用して送信してきたりする
> ⇒ 大手の

Re:学習効果

[tmiura (6268)]

- 最近のスパムbotは普通にISPのメールサーバを使用して送信してきたりする ⇒ 大手のISPのメールサーバがスパムサーバとして登録されたりする

これはyahoo，gmail，hotmailなどで昔はあったのですが，最近はほとんどないようです．少なくとも私のところでは過去半年こういうのはないです．

OP25Bの普及とともにそちらへ移っていきますよ、これから。

Re:学習効果

[twada (33858)]

25番が閉じられたらISPのメールサーバかWEBメールに移行というパターンは可能性としてあると思います．ただ，私の見ている限りbotよりも，専用中継サーバからのスパムが圧倒的に多いです．ISPはターピットや強制切断で対策を講じるでしょうし，WEBメールもコンテンツフィルタや，通信パターンから遮断をかけるくらいの技術はもっているでしょう．そういうわけで，今のところは楽観的にとらえてます．ただ，顕在化したときのためにIPアドレス以外の部分も拾えるようにヘッダ全部を一旦メモリに乗せておくように変更しようと思います．また，学生が作っているBayesianフィルタとの組み合わせも検討してみます．コメントありがとうございました．