Vor knapp über einem Jahr machten die Wissenschaftler vom International Computer Science Institute in Berkeley schon einmal von sich reden. Damals nutzten sie Teile eines bestehenden Botnetzes, um die Effizienz von Spam-Mails zu überprüfen (wenn es interessiert: „Spamalytics: Eine empirische Analyse der Konversationsrate von Spam-Marketing“). Jetzt sind sie wieder da – und zusammen mit Wissenschaftlern der University of California in San Diego präsentieren sie möglicherweise nicht weniger als eine Sensation: einen 100-prozentig sicheren Spam-Filter.
Dabei machen sie sich erneut die Botnetzte der Spammer zunutze und verwenden diese gegen sie. Die Wissenschaftler entschlüsseln hierzu Templates, die beim Versand von Spam eine entscheidende Rolle spielen. Hierbei handelt es sich nämlich um Tools, die nicht nur den Inhalt einer Spam-Mail bestimmen, sondern auch, welche Veränderungen an ihr vorgenommen werden müssen, um einen Spam-Filter auszutricksen und sich an ihm vorbeizumogeln (beispielsweise die Absenderadresse). Indem sie nun verseuchte Mails analysieren, können die Wissenschaftler Rückschlüsse auf das Template ziehen, das die Spam erstellt hat.
Die entschlüsselten Daten gibt das Team dann an die Spamfilter weiter und „lehrt“ sie, worauf sie bei ankommenden Mails achten müssen, um sie als Spam erkennen zu können. Dies hat in einem Versuch mit den bekanntesten Spam-Arten zu einem Schutz mit mit Nulltoleranz geführt, da ein Template die gesamte Bandbreite an Spam beschreibt, die von einem Bot verschickt wird.
Ein weiterer erfreulicher Aspekt neben der hohen Zuverlässigkeit dieser Methode ist der Umstand, dass bei dem Test keine einzige „echte“ Mail fälschlicherweise ausgefiltert wurde. Wie immer, so gibt es aber auch in disem Fall einen Wermutstropfen: Aufgrund der enormen Größe von Botnetzen können in der Zeit, die zum Entschlüsseln eines Templates benötigt wird, bereits Millionen von Spam-Mails verschickt werden. Hinzu kommt, dass es ja nicht nur einen Botnetz auf der Welt gibt. Das bedeutet, dass quasi von jedem Botnet Spam-Mails aufgefangen und analysiert werden müssten, um einen Rundumschutz gewährleisten zu können. Einige von den Bots sind mit Sicherheit auch so schlau, sich – im Borg-Stil – auf die neue Situation einzustellen und die Templates entsprechend anzupassen. Und das sind nur die Ideen, auf die ich komme. Was fällt dann wohl erst den Profi-Spammern ein.
Schade also. Ein echter 100-Prozent-Schutz wäre auch zu schön gewesen.
(Marek Hoffmann)
