Se encontraron más saltos para correos no deseados que correos legítimos

1

Background

Estoy trabajando con encabezados de correo electrónico para la detección de spam. Cada encabezado de correo electrónico contiene muchos campos de encabezados "Recibidos:". Cada encabezado "Received:" es agregado por un servidor intermedio Smtp / Mail en la ruta desde el origen del correo electrónico hasta su destino.

Leí en un documento de investigación que el número de servidores intermedios de correo electrónico / smt encontrados en esa ruta es alto para el correo legítimo y menos para el correo no deseado.

Aquí está la explicación que se proporciona: "los spammers han explotado servidores de retransmisión predefinidos para entregar su spam, por lo que el número de saltos es limitado, mientras que en el caso normal, la cantidad de servidores de retransmisión puede variar según las rutas a las que sigue el mensaje llegar a su destino final. "

Pensamientos :

La ruta del correo normal sería: el agente de usuario de correo, el agente de transporte de correo del remitente, el agente de transporte de correo de destino (IP obtenida por consulta MX) o la cadena de agentes de transporte de correo de destino dentro del dominio de destino.

Para el correo no deseado, la ruta debe ser: spammer para abrir el servidor de retransmisión, abrir la retransmisión al MTA de destino o la cadena de agentes de transporte de correo de destino dentro del dominio de destino.

Por lo tanto, los saltos encontrados serían casi iguales.

Query:

¿Puede alguien explicar si el análisis anterior es correcto? Cómo es que la cantidad de saltos encontrados por correos legítimos se compara más con los correos no deseados y por qué la investigación dice que "los emisores de spam han explotado servidores de retransmisión predefinidos para enviar su spam, por lo que el número de saltos es limitado"

    
pregunta user10012 24.06.2016 - 19:08
fuente

1 respuesta

3

Esto es probablemente correcto en un sentido estadístico. Un correo electrónico legítimo probablemente (pero no ciertamente) pasará por varios saltos no solo en el lado de destino (que en su mayoría son siempre los mismos para un destinatario dado, por lo que ese número no es interesante) sino también en el lado de envío, y estos se registrará en los encabezados recibidos.

Sin embargo, un correo no deseado, mientras se envía por un relé, a menudo se envía por un relé que no es smtp o por un troyano en una PC infectada. Estos vectores no agregarán encabezados recibidos. El spam solo tendrá encabezados recibidos si se transmite a través de un servidor legítimo (hay varias ventajas y desventajas al hacer eso, no es una opción muy común por lo que puedo ver) o si el spammer agrega voluntariamente encabezados recibidos falsos en un esfuerzo por confundir a las personas o los programas antispam que intentan analizar los encabezados (y que es pasivamente común).

Por lo tanto, estadísticamente no me sorprende que los spams en promedio tengan menos encabezados recibidos que correos legítimos. Sin embargo, aparte de agregar esto a algunos criterios de filtro de Bayes de una manera suficientemente baja como para que los principales spammers no comiencen a agregar masas de encabezados falsos recibidos a su basura, realmente no veo una forma en que pueda hacer uso de esta visión.

    
respondido por el Law29 25.06.2016 - 02:57
fuente

Lea otras preguntas en las etiquetas