Neue Technologie zur Abwehr von Botnet-Spam

Identifikation verdächtiger Verhaltensmuster bei unbekannten IP-Adressen

(01.08.08) - Sophos hat eine neue Technologie entwickelt, die Unternehmen zuverlässig vor von Botnets versendeten Spam-Mails schützen soll: "Sophos Sender Genotype" ermöglicht die Identifikation verdächtiger Verhaltensmuster bei IP-Adressen, die bislang noch nicht als verdächtig eingestuft wurden. Damit unterscheidet sich die Technologie von herkömmlichen Reputation-Filtern, die auf der Analyse und Abwehr bekannter Spam-Absender beruhen. Sender Genotype wurde als optionale Funktion in die "E-Mail Security and Control"-Lösungen Sophos integriert.

Rund 90 Prozent aller Spam-Mails wurden in der ersten Jahreshälfte 2008 über Botnets versendet - so die Schätzung der SophosLabs, der weltweiten Forschungszentren von Sophos. Botnets bestehen für gewöhnlich aus den mit Schadcode infizierten Rechnern von unbedarften Anwendern und werden von Cyberkriminellen heimlich für gezielte Spam-Attacken an meist speziell ausge-wählte Anwender und Unternehmen missbraucht. Da die Botnets oft nur wenige Minuten online sind und dynamische IP-Adressen verwenden, können sie von traditionellen Reputation-Filter-Lösungen häufig nicht identifiziert werden.

Die Sender Genotype Technologie soll diese Lücke ausschließen, indem sie Verbindungsanfragen am E-Mail-Gateway überwacht und E-Mails aussortiert, die Anzeichen für Verbindungen zu Botnets aufweisen. So lassen sich Spam-Mails von sowohl bekannten als auch unbekannten Absendern blocken, beispielsweise Spam-Mails, die heimlich von infizierten Zombie-PCs ahnungsloser Anwender aus versendet werden.

Herkömmliche Filter-Methoden basieren darauf, jede neue E-Mail mit den von früheren Spam-Mails gesammelten Informationen abzugleichen. Das ist nicht nur eine komplizierte und ineffiziente, sondern unter Umständen auch eine unzuverlässige Methode, wenn es sich um neue Spam-Attacke handelt. Sender Genotype soll es ermöglichen, das genetische Profil von Spam-Mails zu analysieren und so verdächtige E-Mails sofort zu erkennen und abzuwehren. (Sophos: ra)