Column

スパム対策で脚光浴びるレピュテーションシステム

スパムゲートウエイやスパム対策サービスでは膨大な量のスパムを防ぎきれなくなってきている。そこで注目されているのが、送信者のIPアドレスに基づくレピュテーションシステムだ。

公開 2007年06月06日 05時00分

更新 2014年07月22日 00時03分

著者

Mike Rothman

[TechTarget]

印刷する

　レピュテーションシステムを使うかどうかは、スパムやフィッシングなどの迷惑メールに圧倒されるか、潜在的に危険なメールをユーザーのメールボックスに配信しないで済むかの分かれ目だ。スパムはここ数年間で非常に進化したが、こういった迷惑メールの増加に対処する重要な技術として最近脚光を浴びているのがレピュテーションシステムだ。

　従来、スパムの特定には、シグネチャマッチングとヒューリスティック手法を組み合わせ、これを重み付けシステムによって最適化するという方法が用いられてきた。この方法はしばらくの間、効果があったが、スパムの量が指数関数的な増加を続けるのに伴い、スパムゲートウェイやスパム対策サービスでは追い付かなくなった。従来の方法では、あらゆるメッセージに対して詳細なスキャンを実行するのに膨大なリソースを必要とするからだ。

　最近では、画像スパムの急増で問題がいっそう深刻化してきた。この種のスパムは、ランダムに分割・画素化された画像でメッセージを表示することにより、スパムとして検知されるのを回避する。多くのベンダーは、OCR（光学文字認識）ベースの手法を用いて画像に含まれる文字を解釈するという方法でこれに対応した。しかしOCR手法はリソースを多用するため、アンチスパムゲートウェイの拡張性という点で限界がある。

　そこで脚光を浴びたのがレピュテーションシステムである。この技術自体は3年前から使われているが、ここにきて、電子メールのセキュリティソリューションを提供しているすべてのベンダーにとって必須要件となってきた。つまり、どんなベンダーでも、レピュテーションに頼ることなしに高いスパム検知率を実現するのは難しくなっているのだ。

　レピュテーションシステムの基本的な考え方は、誰が送信者であるかという情報に基づいて、そのメッセージがスパムである可能性をかなりの精度で判断できるというものだ。事実、送信者のIPアドレスに基づいて送信者の意図を判断することが可能となっている。

　ではなぜ、送信者のメールアドレス（あるいはメッセージのそのほかの属性）ではなく、IPアドレスをレピュテーションの評価で使用するのだろうか。その基本的な理由は、IPアドレスは偽装できないということだ。IPアドレスは、電子メールメッセージの送信者と受信者を特定し、メッセージを確実に受信者に届けるために不可欠である。メッセージに関する情報はほとんど何でも偽装することができるが、発信元のIPアドレスだけは偽装できない。

　レピュテーションシステムが効果的に機能するためには、レピュテーションプロバイダーは大量のデータ（何十億ものメッセージ）を参照しなければならない。正確な結果を得るには総合的な解析を行う必要があるからだ。このため、ベンダーの選定に当たっては、大量のメッセージトラフィックにアクセスし、何百万個のIPアドレスの履歴を提供しているベンダーを探すことが重要だ。各ベンダーが保有しているレピュテーションの数を尋ねるのも忘れないこと。

　では、レピュテーションシステムが、どのように役立つのか説明しよう。レピュテーションシステムが提供するデータは、どれが迷惑メールであるかを判断するために企業が利用する「スパム検知カクテル」に新たに追加する材料となる（問題解決のために複数の手法を組み合わせることを「カクテル型アプローチ」と呼ぶ）。送信者の意図を推測する手段が増えれば、このカクテルの効き目は確実に高まる。スパム検知カクテルは数百種類もの属性を使用し、これらを点数化・最適化することにより、メッセージがスパムであるかどうか判定する。どの属性も絶対確実なものではないため、一般にはデータが多ければ多いほど、そのカクテルの最適化のレベルが高いということになる。レピュテーションデータは、ほかの手法では検知できないスパムを検知するわけではないが、有罪評決を支持する陪審員が1人加わることでスパム判定の確度が高まるのだ。

　レピュテーションシステムが最も効果を発揮するのは、コネクション管理で利用する場合である。コネクション管理は、ネットワークの境界部に置かれる追加的防護層で、着信メッセージトラフィックに対する粗いフィルターとしての役割を果たす。インバウンドメッセージをレピュテーションデータベースのデータと照らし合わせてチェックし、明らかに「評判の悪い」送信者からのトラフィックを廃棄することにより、スパムがネットワークに入る前の段階で少なくとも50％のスパムをブロックできる場合が多い。これにより、大量のトラフィックをゲートウェイから排除できるため、ゲートウェイはあらゆるメッセージに対して徹底した解析を実行することが可能になる。

　だが落とし穴もある。まず、ほかのすべてのスパム検知手法と同じく、レピュテーションシステムも精密科学ではない。しかも、境界部で捕獲された電子メールはすべて、基本的に死刑を宣告されるのだ。ほとんどのベンダーのシステムは、ボーダーライン上のメッセージを隔離することにより、誤検知されたメールを回収できるようにしている。しかし、そのためにほとんどの企業では、コネクション管理の設定を甘くし、特に悪質な送信者からのメールだけが廃棄されるようにしているのだ。

　スパマーもばかではないので、こういったレピュテーションシステムがスパムの配信可能性に影響を与えているのを認識すると、送信者の素性を分かりにくくする別の方法を考え始めた。IPアドレスを偽装することはできないので、彼らは次善の策を講じた。自分たちに代わって汚い仕事をする匿名のゾンビの軍隊を組織したのである。

　ゾンビはレピュテーションシステムの致命的欠陥を狙う。レピュテーションシステムの中には、未知の送信者（ゾンビの可能性が高い）を善良な送信者と見なすものもあれば、悪質な送信者と判断するものもある。どちらの判定方法も理想的ではない。未知の送信者を悪質と判定すれば誤検知が増えることになり、善良と判定すればコネクション管理機能の効果が損なわれるのだ。筆者個人としては、「無実が証明されるまでは有罪」という方針を採用するシステムの方を好む。電子メール送信者の大多数が悪意を持った送信者であることは明らかだからだ。しかし、このアプローチがあらゆる人に適しているわけではない。幸いなことに、エンドユーザーにとっては、レピュテーションはスパム検知パズルのピースの1つにすぎない。

　今日のエンタープライズメッセージング環境では、スパムトラフィックがあまりにも多いため、あらゆるメッセージを精査しなければならない。メッセージが境界部を通過する前にスパムを廃棄するレピュテーションシステムは、ゲートウェイの負担を軽減する。レピュテーションシステムは企業のスパム問題をすべて解決するものではないが、ほかの技術と組み合わせて利用すれば、企業のスパム対策戦略に対する貴重な補強となるだろう。

本稿筆者のマイク・ロスマン氏は、アトランタにある業界調査企業、セキュリティインサイトの社長兼主任アナリストを務めており、著書に「The Pragmatic CSO: 12 Steps to Being a Security Master」がある。