Spam etki alanlarını toplu olarak engelleyen teknoloji

Spam e-postaları tespit etmek için birçok teknoloji kullanıyoruz. Bunlar; üstbilgiler, metin, görseller ve bağlantılar gibi bir mesajın her kısmını analiz eder. Ancak e-posta ürünlerimizin öncelik verdiği ilk konu, “Gönderen” alanıdır. Adres, reddedilenler listemizde zaten bulunan bir etki alanı içeriyorsa, karar vermek kolaydır. Ancak spam gönderenler bu işin püf noktalarını iyi biliyorlar; bu nedenle, tek bir saldırı kampanyasından gönderilen e-postaların bile tamamen farklı adreslerden gelmesini sağlamak için alan adlarını endüstriyel ölçekte kaydettiriyorlar. Belli ki bunu kendi elleriyle yapmıyorlar. Bu süreç uzun zamandır otomatikleştirilmiş durumda ve saldırganların kullandığı algoritmalar, birkaç dakika içinde çok sayıda alan adını kaydettirebilmekte. Ancak her alan adının bir isme ihtiyacı vardır ve her biri için benzersiz bir tane bulmak mümkün değildir. Bu nedenle, spam gönderenler, tarih ve saat, sözde rasgele sayılar vb. temelinde küçük farklılıklar içeren benzer adlar oluşturan etki alanı oluşturma algoritmaları (DGA’lar) kullanırlar.

Aslında, bu tür postaları engellemek için reddedilenler listenizde her adresin bulunması gerekmez. Kaspersky olarak süreçleri otomatikleştirmede de iyiyiz. Bir süredir, e-posta çözümlerimizde DGA’lar tarafından oluşturulan alan adlarını tespit eden ve tek bir kural ile tüm grubu devre dışı bırakan bir teknoloji yer alıyor. Bu teknolojinin nasıl çalıştığını açıklayayım.

Oluşturulmuş alan adlarını toplu olarak nasıl tespit edip engelliyoruz?

Teknolojilerimizden herhangi biri bir e-postayı spam olarak işaretlediği anda, söz konusu adres daha ayrıntılı bir incelemeye tabi tutulur. Bir dizi kriteri karşılıyorsa, söz konusu alan adı, “zararlı” olarak değerlendirdiğimiz alan adlarından oluşan veri tabanımıza eklenir. Bu alan adlarını benzerliklerine göre karşılaştıran, kümeler halinde gruplandıran ve tüm kümeyi engelleyen kısa ama kapsamlı bir kural oluşturan bir sınıflandırıcı zinciri geliştirdik. E-posta koruma çözümlerimiz, bir güncellemeyle birlikte bu kuralı alır. O andan itibaren, bu adrese uyan herhangi bir alan adından gönderilen tüm e-postaları engeller, bu alan adları spam saldırı kampanyalarında henüz hiç kullanılmamış olsa bile.

İşte gerçek hayattan bir örnek. Diyelim ki sınıflandırıcı, topladığı “kötü” alan adları koleksiyonunda birbirine benzeyen birkaç alan adını işaretliyor:

• sxkjcc.asia
• sxkjcd.asia
• sxkjcy.asia

Bu durumda hepsini yakalamak için tek bir kural yeterlidir: @sxkjc[a-z0-9]\.asia\b

Şirketinizi spamden nasıl koruyabilirsiniz?

Analizimize göre, geçen yıl gönderilen e-postaların %44,9’u spamdi. İstenmeyen ve talep edilmemiş e-postalar, çalışanların dikkatini dağıtır, çalışma süresi kaybına yol açar ve gelen kutularını boş yere doldurur. Bazı durumlarda dolandırıcılık, kimlik avı veya kötü amaçlı yazılım içerikleri de barındırırlar. Kurumsal müşterileri bu yoğun tehdit dalgasından korumak amacıyla, kurumsal e-posta güvenliği çözümlerimizde sürekli olarak geliştirdiğimiz spam önleme teknolojileri bulunmaktadır. Buna, DGA’lar tarafından oluşturulan alan adlarını engellemek için yukarıda açıklanan teknoloji de dahildir.