فناوری مسدودسازی هم‌زمان دامنه‌های اسپم
ما برای شناسایی هرزنامه‌های ایمیلی از فناوری‌های متعددی استفاده می‌کنیم. این فناوری‌ها تمام بخش‌های یک پیام، از جمله هدرها، متن، تصاویر و لینک‌ها را بررسی می‌کنند. اما نخستین چیزی که محصولات امنیت ایمیل ما روی آن تمرکز می‌کنند، فیلد From است. اگر این آدرس شامل دامنه‌ای باشد که از قبل در فهرست مسدودشده‌های ما قرار دارد، تصمیم‌گیری ساده است.
اما اسپمرها این روند را به‌خوبی می‌شناسند. به همین دلیل، دامنه‌ها را در تعداد بسیار زیادی ثبت می‌کنند تا ایمیل‌های یک کمپین واحد نیز بتوانند از آدرس‌های کاملاً متفاوت ارسال شوند.
واضح است که مهاجمان این کار را به‌صورت دستی انجام نمی‌دهند. این فرایند مدت‌هاست خودکار شده و الگوریتم‌های مهاجمان می‌توانند در عرض چند دقیقه تعداد بسیار زیادی دامنه ثبت کنند.
اما هر دامنه به یک نام نیاز دارد. ایجاد یک نام منحصربه‌فرد برای هر دامنه عملاً امکان‌پذیر نیست. بنابراین اسپمرها از الگوریتم‌های تولید دامنه (DGA) استفاده می‌کنند؛ الگوریتم‌هایی که بر اساس تاریخ و زمان، اعداد شبه‌تصادفی و عوامل دیگر، نام‌های مشابهی را با تغییرات جزئی ایجاد می‌کنند.
در واقع، برای مسدود کردن چنین کمپین‌هایی لازم نیست تک‌تک آدرس‌ها را در فهرست مسدودشده‌ها قرار دهید. ما نیز در خودکارسازی فرایندها مهارت داریم.
مدتی است که راهکارهای امنیت ایمیل ما به فناوری‌ای مجهز شده‌اند که دامنه‌های تولیدشده توسط DGA را شناسایی می‌کند و می‌تواند کل این مجموعه را با استفاده از یک قانون واحد مسدود کند. در ادامه توضیح می‌دهم این فناوری چگونه کار می‌کند.
چگونه نام دامنه‌های تولیدشده را به‌صورت گروهی شناسایی و مسدود می‌کنیم؟
به‌محض اینکه یکی از فناوری‌های ما یک ایمیل را به‌عنوان اسپم شناسایی کند، آدرس آن برای بررسی‌های بیشتر مورد ارزیابی قرار می‌گیرد.
اگر این آدرس مجموعه‌ای از معیارهای مشخص را داشته باشد، دامنه آن به پایگاه داده دامنه‌هایی اضافه می‌شود که آنها را «مخرب» یا «بد» در نظر می‌گیریم.
ما مجموعه‌ای زنجیره‌ای از طبقه‌بندی‌کننده‌ها (Classifiers) ایجاد کرده‌ایم که این دامنه‌ها را از نظر شباهت با یکدیگر مقایسه می‌کنند، آنها را در قالب خوشه‌های مختلف گروه‌بندی می‌کنند و سپس یک قانون کوتاه اما جامع ایجاد می‌کنند که کل آن خوشه را مسدود می‌کند.
راهکارهای محافظت از ایمیل ما این قانون را همراه با به‌روزرسانی دریافت می‌کنند. از آن لحظه به بعد، تمام ایمیل‌هایی را که از آدرس‌هایی در دامنه‌های منطبق با این قانون ارسال شده‌اند، مسدود می‌کنند؛ حتی اگر آن دامنه‌ها هنوز در هیچ کمپین اسپمی استفاده نشده باشند.
یک مثال واقعی
فرض کنید طبقه‌بندی‌کننده چند دامنه مشابه را در میان مجموعه‌ای از دامنه‌های «بد» که جمع‌آوری کرده، شناسایی کند:
-
sxkjcc.asia
-
sxkjcd.asia
-
sxkjcy.asia
در این حالت، تنها یک قانون برای شناسایی و مسدود کردن همه آنها کافی است:
@sxkjc[a-z0-9]\.asia\b
چگونه از شرکت خود در برابر اسپم محافظت کنیم؟
بر اساس تحلیل ما، در سال گذشته ۴۴٫۹ درصد از ایمیل‌های ارسال‌شده اسپم بوده‌اند.
ایمیل‌های ناخواسته و بدون درخواست، باعث حواس‌پرتی کارکنان، اتلاف زمان کاری و شلوغ شدن صندوق‌های ورودی می‌شوند. در برخی موارد نیز این ایمیل‌ها حاوی محتوای کلاهبرداری، فیشینگ یا بدافزار هستند.
برای محافظت از مشتریان سازمانی در برابر این حجم از تهدیدات، راهکارهای ما برای امنیت ایمیل سازمانی به فناوری‌های ضداسپم مجهز شده‌اند و ما این فناوری‌ها را به‌طور مستمر بهبود می‌دهیم.
فناوری توضیح‌داده‌شده در این مقاله برای مسدودسازی دامنه‌های تولیدشده توسط الگوریتم‌های DGA نیز یکی از همین قابلیت‌هاست.
