Spam / Antivirus

Que font les serveurs anti-spam ?

Les passerelles AntiSpam de Deckpoint tentent d'identifier les messages spam en fonction d'un certain nombre de critères (près de 200 critères).

Ces critères évoluent avec les technologies de spamming constatées et sont mis à jour périodiquement et automatiquement.

La tactique d'identification du spam inclut plusieurs techniques :

• Analyse d'entête (header) : Les spammers utilisent un certain nombre de ruses pour masquer leur identité, afin de vous faire croire qu'il vous font parvenir un mail personnel et valable ou que vous en avez sollicité la réception. Les serveurs antispam anaylsent les informations de routage (normalement cachées), et déterminent l'expéditeur réel si possible, ou au moins le serveur d'envoi, ainsi que d'autres détails.
• Analyse du corps du message (text) : Souvent les spams ont un style caractéristique facilement repérable. L'AntiSpam de Deckpoint va tester ces caractéristiques l'une après l'autre pour démasquer le spam. Exemples: les images forment plus de 80% du message, il y a des textes entièrement en majuscules, des points d'exclamation répétés, le texte mentionne la possibilité de gagner des millions de dollars, etc
• Listes noires (blacklists) : L'AntiSpam de Deckpoint s'appuie également sur de nombreuses "listes noires" très utiles comme mail-abuse.org, ordb.org. Ces listes noires contiennent la liste des expéditeurs (adresses mail ou domaines) qui sont considérés comme des spammeurs manifestes. Si des emails de vos correspondants sont bloqués à ce titre, il est du ressort de leur fournisseur d'accès de faire enlever le serveur en cause des listes noires. Deckpoint n'est pas impliqué à ce stade. Nous ne faisons que consulter les listes.
• Razor: Vipul's Razor est une base de données collaborative dite de spam-tracking, qui permet d'enregistrer les signatures des messages qualifiés de spam. Comme les spammers opèrent en général en envoyant un message identique à des centaines de destinataires, Razor permet de les court-circuiter en permettant à la première personne qui recoit le spam d'enregistrer la signature du message dans la base de données. Ainsi tout un chacun est ensuite en mesure de bloquer automatiquement ce message.

Les tests d'identification de spam vont être faits par étapes :

• 1ere étape : Notation des messages
  Chaque message est analysé dès réception de celui-ci. La détection de l'un de ces critères dans le message ajoute un (ou plusieurs) point(s). La totalité de ces points donne une note globale au message. C'est celle-ci qui sera déterminante pour l'étape suivante. Cette note est stockée dans l'entête du message dans une section baptisée x-spam. Ne pas confondre entête (header) et sujet (subject).

• 2ème étape : Filtrage
  Il existe 2 filtres : un filtre Normal et un filtre Elevé
  Un filtre possède 2 seuils, correspondant à des notes et a des actions différentes.
  
  • Le 1er seuil : en dessous du premier seuil les messages sont considérés comme normaux et transmis tel quel. Seule l'information "x-spam" qui se trouve dans l'entête permet de connaître la note qui a été attribuée au message.
  • Le 2eme seuil : entre le 1er et le 2eme seuil les sujets des messages sont "tagués" et transmis ainsi. L'opération de taguage correspond à la modification du sujet du message. Le mot [SPAM], y compris les crochets, est ajouté au début du sujet.
  • Au delà du 2ème seuil, le message est considéré d'office comme un spam et est effacé sans autre mesure ni information.

Il est difficile de définir automatiquement les règles de ce qu'est un spam et de ce qui n'en est pas. Ce que vous considérez comme un spam peut être un message bienvenu pour votre voisin. Cependant le taux d'erreurs est faible. Dans le doute, nous préférons laisser tout de même un message vous parvenir, plutôt que d'être trop stricts sur le filtrage.