SpamAssassin

SpamAssassin to popularny, otwarty silnik antyspamowy oceniający wiadomości na podstawie zestawu reguł.

Jak SpamAssassin ocenia wiadomości

SpamAssassin to otwartoźródłowy silnik filtrujący pocztę elektroniczną, napisany w języku Perl i rozwijany w ramach projektu Apache SpamAssassin. Nie jest osobnym programem pocztowym ani serwerem SMTP. Jego zadaniem jest przeanalizowanie treści wiadomości oraz dodanie do niej informacji, które pozwalają dalszym elementom systemu pocztowego zdecydować, czy wiadomość należy uznać za spam. Program może sprawdzać nagłówki, temat, adresy URL, strukturę MIME, treść tekstową oraz wybrane cechy techniczne wiadomości.

Podstawą działania jest system reguł testujących. Każda reguła może przyznać wiadomości określoną liczbę punktów dodatnich albo ujemnych. Punkty dodatnie wskazują cechy często spotykane w spamie, natomiast ujemne mogą obniżać wynik, gdy wiadomość ma cechy typowe dla prawidłowej korespondencji. Wynik jest porównywany z progiem konfiguracyjnym required_score. Przekroczenie tego progu nie musi oznaczać automatycznego usunięcia wiadomości; najczęściej powoduje oznaczenie jej nagłówkami, aby decyzję o dostarczeniu, przeniesieniu lub odrzuceniu podjął dalszy komponent obsługujący pocztę.

Reguły, nagłówki i źródła sygnałów

Reguły SpamAssassin mogą analizować między innymi nagłówki From, To, Subject, Received oraz sposób kodowania treści. Silnik korzysta także z testów dotyczących adresów internetowych i reputacji nadawcy, w tym z zapytań do wybranych list DNSBL, jeśli odpowiednie mechanizmy są włączone i dostępne. Wynik zależy więc nie tylko od samego tekstu wiadomości, ale również od jej ścieżki dostarczenia, informacji o nadawcy i konfiguracji lokalnego środowiska.

Po skanowaniu SpamAssassin może dodać do wiadomości nagłówki takie jak X-Spam-Status, X-Spam-Flag oraz X-Spam-Level. Wartość X-Spam-Status zwykle zawiera informację, czy wiadomość została sklasyfikowana jako spam, uzyskany wynik punktowy, wymagany próg oraz listę uruchomionych reguł. Te dane są przydatne podczas analizy błędnej klasyfikacji, ponieważ pokazują, które testy wpłynęły na decyzję. Administrator może zmieniać punktację reguł, wyłączać wybrane testy, ustalać próg oraz definiować własne reguły w konfiguracji lokalnej.

Uruchamianie i uczenie filtra

SpamAssassin może być uruchamiany pojedynczo dla wskazanej wiadomości za pomocą programu spamassassin albo jako usługa działająca w tle. W typowej konfiguracji proces spamd pozostaje uruchomiony, a klient spamc przekazuje mu wiadomości do sprawdzenia. Taki model ogranicza koszt uruchamiania interpretera dla każdej wiadomości i ułatwia podłączenie silnika do istniejącego przepływu pocztowego. Sam SpamAssassin nie dostarcza wiadomości do skrzynki użytkownika; integracja z odbiorem i przekazywaniem poczty zależy od użytego serwera pocztowego oraz dodatkowych komponentów.

Projekt zawiera również mechanizm klasyfikacji bayesowskiej. Dane uczące można przygotowywać poleceniem sa-learn, przekazując wiadomości oznaczone jako spam za pomocą opcji --spam oraz wiadomości prawidłowe za pomocą --ham. Uczenie nie zastępuje reguł statycznych, lecz dostarcza dodatkowego sygnału wynikającego z lokalnego zbioru wiadomości. Błędnie oznaczone przykłady mogą pogorszyć działanie filtra, dlatego zbiór uczący powinien zawierać poprawnie sklasyfikowane i reprezentatywne wiadomości. Aktualizacje reguł i danych dodatkowych mogą być pobierane przez narzędzie sa-update, o ile skonfigurowano odpowiednie kanały aktualizacji.

Rozpoznawanie problemów na komputerze użytkownika

SpamAssassin działa przede wszystkim w środowisku związanym z obsługą poczty, ale jego działanie może być widoczne na komputerze użytkownika jako zmieniony temat wiadomości, dodatkowe nagłówki albo przenoszenie korespondencji do folderu spamu. Przy diagnostyce trzeba odróżnić działanie samego silnika od decyzji klienta pocztowego, serwera dostarczającego wiadomości i filtrów ustawionych przez dostawcę skrzynki. Jeżeli tylko część wiadomości jest oznaczana nieprawidłowo, najważniejsze są szczegóły nagłówka X-Spam-Status, zastosowane reguły oraz wartość progu, a nie sam wygląd wiadomości w programie pocztowym.

Typowym źródłem fałszywych alarmów jest zbyt niski próg punktowy, nadmiernie agresywna reguła, niedokładne dane bayesowskie albo niedostępne usługi DNS używane przez wybrane testy. Z kolei spam może przechodzić przez filtr, gdy wiadomość nie osiągnie wymaganego wyniku lub gdy część testów została wyłączona. Zmiany konfiguracji powinny być sprawdzane na kopiach testowych wiadomości, ponieważ modyfikacja plików takich jak local.cf lub ustawień użytkownika może wpływać na całą obsługiwaną korespondencję.