网络安全和垃圾邮件技术防范体系

5.1　“行为识别”技术

“行为识别”技术是指根据邮件发送行为判断其是否是合法的技术。采用这种技术，可以不用考虑邮件内容，仅仅根据其发送的行为判断此邮件是否属于垃圾邮件。邮件传输遵循SMTP协议的，任何不满足该协议规范的邮件都有理由判断为垃圾邮件。“行为识别”通过对邮件发件行为与若干条规则进行比对，同时还需要通过大量统计发送垃圾邮件行为特征，不断分析正常和异常的发件行为特点，将垃圾邮件特征形成行为识别模型。“行为识别”技术模型中包含了发件源头信誉的检查、SMTP连接频率、反向域名解析验证等诸多要素，“行为识别”是针对协议进行的扫描，不涉及信体内容，有效地避免了内容图片化，正文文字变造引起的过滤失效。“行为识别”技术所作的判断过程基本在开始传输DATA之前结束。采用垃圾邮件行为模式识别模型不仅大大提高了垃圾邮件辨别的准确率，而且不需要对信件的全部内容进行扫描，无需接受完整邮件，节约了网络和邮件服务器资源。

5.2　“内容过滤”技术

除去网络攻击目的垃圾邮件外，其他的垃圾邮件都需要通过邮件内容达到其目的。因此，针对内容过滤的“内容过滤”技术应运而生。早期的内容过滤是根据关键字库中的关键字，将信件正文进行分词，一旦分词与关键字匹配一致即判断为垃圾邮件。但是，相同的词语在不同的语境中语义会有很大差异，因此关键字过滤误判率很高。目前，内容过滤技术主要采用基于统计的方法，是指对邮件内容进行分词统计然后对内容进行主题分类，从而实现过滤。目前，常用的文本分类统计技术有贝叶斯算法，该方法在进行过滤之前，需要庞大的垃圾数据样本库。过滤时先通过统计获得特征项在垃圾邮件中出现的先验概率，再利用统计中的贝叶斯公式，求得含有这些特征项的邮件是垃圾邮件的后验概率，该过滤方法是以先验概率进行内容评分，从而判定其所属类型。此外，还有基于SVM(支撑向量基)的过滤，基于神经网络的过滤等。