CN1522416A - 用于处理电子邮件的设备和方法 - Google Patents

Abstract

一种用于确定对来自发件人的到来电子邮件的处置的邮件传送代理，它包括一惩罚计数过滤模块(20)，它根据当前通信系统资源使用率例如正在保持的并行TCP连接的数目以及分配给累计不良发件人活动例如发送巨大电子邮件文件的惩罚计数来工作。该惩罚计数过滤模块可以在选择－拒绝状态中操作，接受来自没有惩罚计数的发件人的电子邮件，并且在随机－拒绝状态中拒绝来自具有惩罚计数的发件人的所有电子邮件并且随机拒绝其他电子邮件。拒绝率可以随着所检测到的系统资源使用率的增加或减少而增加或减少。

Description

用于处理电子邮件的设备和方法

技术领域

本发明涉及网络通信系统，尤其涉及一种用于处理到来电子邮件消息的系统和方法。

背景技术

包括邮件洪水在内的拒绝服务攻击是影响在电子邮件管理中所使用的邮件传送代理的安全性的常见问题。在现有技术中，一种可能的响应是在发生邮件洪水或拒绝服务攻击期间拒绝所有到来电子邮件。但是，由于来自合法发件人的电子邮件会与来自问题发件人的洪水邮件一起被拒绝，所以这种应对措施是不理想的。现有技术没有提供在高峰电子邮件活动期间在问题发件人和合法发件人之间进行区分的方法。

需要一种响应到来电子邮件的方法，该方法在邮件洪水攻击或拒绝服务攻击期间选择地拒绝来自问题发件人的电子邮件并且选择地接受来自合法发件人的电子邮件。

发明概述

本发明是从以下研究结果中得出的，即可以通过利用在通信设备中装在邮件传送代理的前端中的惩罚计数过滤模块来识别和跟踪发动不良活动的电子邮件发件人，从而可以缓解随后通往接收装置的电子邮件中断。该惩罚计数过滤模块根据当前通信系统资源使用率和分配给累积不良发件人活动的惩罚计数来确定对到来电子邮件的处置。可以通过正在保持的并行TCP连接数目来确定系统资源使用率，采用行为跟踪表来跟踪的不良发件人活动可以包括发送大量电子邮件或者占用相当多的TCP连接时间。该惩罚计数过滤模块在多种状态中操作，包括正常状态，选择-拒绝状态和随机-拒绝状态。在选择-拒绝状态中，随机拒绝来自具有惩罚计数的电子邮件，并且接受来自没有惩罚计数的发件人的电子邮件。在随机-拒绝状态中，拒绝所有来自具有惩罚计数的发件人的电子邮件，并且随机拒绝没有惩罚计数的发件人的电子邮件。拒绝率可以随着在所检测到的系统资源使用率增加或降低而增加或降低。

附图说明

下面的本发明说明参照了以下附图：

图1为一邮件传送代理的示意图，它包括用于确定对到来电子邮件的处置的惩罚计数过滤模块；

图2为一流程图，描绘了通过图1的惩罚计数过滤模块进行的操作顺序；

图3为驻留在图1的惩罚计数过滤模块中的惩罚计数表的数据结构图；

图4为一流程图，更详细描绘了如由在图2的流程图中的确定过滤模块状态的步骤所表示一样的惩罚计数过滤模块的操作；

图5为一流程图，更详细描绘了如由在图2的流程图中根据发件人和过滤模块状态处理电子邮件的步骤所表示一样的惩罚计数过滤模块的操作；

图6为一通信网络的示意图，该网络包括驻留在邮件传送代理中的图3的惩罚计数拒绝表和驻留在工作站中的行为跟踪表；

图7为图6的行为跟踪表的数据结构图；

图8为一合并惩罚计数表的数据结构图，该表包括来自图3的惩罚计数表和图7的行为跟踪表的数据；并且

图9为一流程图，描绘了由图1的惩罚计数过滤模块进行的操作的可选顺序。

具体实施方式

在图1中显示出适用于通过通信网络(未示出)例如因特网接收到来电子邮件消息11的一邮件传送代理10的功能方框图。该邮件传送代理10可以与通信设备例如个人计算机或工作站结合。该邮件传送代理10包括结合进邮件传送代理10的前端15中的惩罚计数过滤模块(PCFM)20、到来消息队列13和转发后台程序18。在优选实施方案中，前端15如在相关技术中所公知的一样根据简单邮件传送协议(SMTP)进行工作。

将到来电子邮件消息11提供给接受/拒绝过滤器23，该过滤器确定是否将到来电子邮件消息11存入到到来消息队列13作为被接受的电子邮件消息16，或者拒绝该到来电子邮件消息11并且向该消息的发信方发送临时否定完成回复19。接受/拒绝确定是通过接受/拒绝过滤器23根据发件人惩罚计数状态27和PCFM状态29来作出的。如在下面更详细描述的一样，发件人标识21从到来电子邮件消息11中获取并且用来确定发件人惩罚计数状态27。

可以通过采用反向域名服务(DNS)验证确定到来电子邮件消息11的发信方的IP地址来识别出该发件人。在其中发件人的信封地址不可得到的情况下，例如在TCP超时攻击期间，TCP连接的对等IP地址可以用作发件人标识21。发件人惩罚计数状态模块27保存着与不良电子邮件活动相关的一直更新的发件人列表。这些不良活动例如可以包括发送大量电子邮件、发送相当大的电子邮件、占用太多的TCP连接时间或者造成TCP超时。

如在下面更详细描述的一样，只要建立了TCP连接就被更新的系统资源使用率状态25被用来确定PCFM29状态29。该系统资源使用率状态25提供一数值，用于与包括到来电子邮件消息11在内的到来消息的处理相关的一个或多个系统资源的使用率或容量状态，例如由到来消息队列13占用的磁盘空间、在到来消息队列13中的电子邮件文件的数量或者正在保持的并行TCP连接的数量。

可以另外参照图2的流程图对邮件传送代理10的操作进行说明，其中该邮件传送代理10在步骤31处完成TCP连接，并且接收到来电子邮件消息11。在步骤33处确定PCFM状态20，并且在步骤35处确定电子邮件消息11的发件人的身份。将PCFM状态29确定作为以下参数的函数：i)当前PCFM状态；ii)惩罚计数过滤模块20保持在当前PCFM状态中所经过的时间；以及iii)当前系统资源使用率状态25。PCFM状态29的确定与电子邮件消息11的发件人的身份无关。

采用在下面更详细描述的过程，接受/拒绝过滤器23在步骤37处确定，到来电子邮件消息是作为被转送电子邮件消息发送给收件人，或者确定该到来电子邮件消息11是被拒绝并且将可选的临时否定完成回复19发送给发件人，说明该到来电子邮件消息11已经被拒绝。接受或拒绝电子邮件消息11的确定是根据当前PCFM状态29和该电子邮件消息11的发件人的身份来作出的。当当前到来电子邮件消息11已经得到处理时，在步骤41处邮件传送代理10更新行为跟踪表160(在下面的图7中所示)。在优选实施方案中，通过行为跟踪表160来跟踪和更新每个电子邮件发件人的活动。应该理解的是，不是所有在行为跟踪表160中列出的电子邮件发件人将随后产生充分的不良行为以获取惩罚计数状态。

发件人惩罚计数状态模块27在判定块43处确定到来电子邮件消息11是否具有不良活动，如果有，则在步骤45处发件人惩罚计数状态模块27用适当的发件人惩罚计数数值在惩罚计数表50(在图3中所示的)中生成用于该发件人标识21的新列表。或者，如果对于发件人标识21已经存在列表，则更新相应的发件人惩罚计数数值。对于其中没有检测到任何不良活动的正常电子邮件活动而言，不会对在惩罚计数表50中的发件人项目作出任何变化。对于在惩罚计数表50中没有列出的发件人而言，可以将惩罚计数数值取为零。在本发明的一个实施方案中，在已经中断在步骤31处建立的TCP连接之后监视电子邮件消息11的发件人的活动。记录下与当前电子邮件消息11相关的不良活动，并且评价出适当的惩罚计数。邮件传送代理10然后前进至步骤31，在该步骤下建立下一个TCP连接。

惩罚计数状态的推导

可以参照在图3中的数据结构图来描述惩罚计数表50的功能。该惩罚计数表50包括多个由记录51、53、55和59表示的记录。为了在例如使用两个或更多处理器来处理到来电子邮件消息11时实现同步，信号特征(semaphore feature)57或类似的锁定/未锁定功能与每个表项目相关。记录53、55和59的结构类似于记录51的结构，该记录包括发件人标识(SID)数值61、累积惩罚计数(PNCT)数值63和时标(TS)数值65。

在优选实施方案中，可以通过使用从SID中计算出的关键字对惩罚计数表50进行散列，从而优化查找发件人标识数值的过程。例如在具有256个项目的表格中，可以使用相对应的发件人标识数值的最低有效字节作为散列关键字。可以通过这样一种结构来使再散列最小化，其中散列表的每个项目指向链接表，其中这些记录存储在链接表中。

累积惩罚计数数值63是一种与时间相关的参数，它根据由相应SID数值61标识的发件人的行为进行更新。时标数值65记录了时间T_TS，在这时最新计算出累积惩罚计数数值63。时标数值65还用来确定记录51过期并且应该从惩罚计数表50中除去的时候。在优选实施方案中，在经过大约2¹⁹秒(即，大约为6天)的保持时间τ_PCNT之后除去该记录51。优选采用以下等式来推导出累积惩罚计数(PCNT)数值63：

PCNT＝min(k，α+)，

其中k为PCNT的预设最大数值，α为针对当前不良活动的赋予给发件人的活动惩罚计数，并且为从最近过去的历史中确定的发件人产生的不良活动的前面惩罚计数数值(如果有)。在优选实施方案中，将K设定为128。

用于活动惩罚计数α的数值可以为由系统管理员规定的一整数，并且对于不同类型的不良活动可以具有不同的数值。例如，对于发送超过预设最大数量的大量电子邮件可以将活动惩罚计数评为6，对于发送超过预设累积文件大小的一份或多份电子邮件可以将活动惩罚计数评为4，并且对于导致TCP连接超过预定阈值可以评价为另一个活动惩罚计数。活动惩罚计数是一累积值，从而对于既超过最大数量又超过文件大小的情况可以将发件人评价10的活动惩罚计数。

推导累积惩罚计数数值63的过程从出现最初不良活动开始，为此将α₁的第一活动惩罚计数赋予由SID数值61标识的发件人。如上所述，时标数值65记录了当前(即第一)不良活动的出现时间(在下面实施例中表示为T₁)。因此，

PCNT(T₁)＝min(K，α₁)＝α₁      (2)

由于在只出现第一次不良活动的情况下＝0。

如果由SID数值61标识的发件人在时刻T₂处产生随后(即第二)不良活动，则分配第二活动惩罚计数α₂。如果T₂处于保持时间τ_PCNT内，则采用以下公式将前面累积惩罚计数(PCNT)63更新为数值PCNT(T₂)，

PCNT(T₂)＝min(K，α₂+₂)       (3)

其中，

从而得出：

$\mathrm{PCNT}\left(T_2\right)={\mathrm{\α}}_2+{\mathrm{\α}}_1(1-\frac{T_2-T_1}{{\mathrm{\τ}}_{\mathrm{PCNT}}})----\left(5\right)$

要注意，如果T₂在T₁之后经过保持时间τ_PCNT之后出现，则₂＝0。

通常，可以采用以下公式来确定在时刻T_n处更新的第n个累积惩罚计数63，

PCNT(T_n)＝min(K，α_n-1+_n)     (6)

其中，

PCFM状态的确定

在优选实施方案中，惩罚计数过滤模块20在至少三个状态中的一个中操作：‘正常’状态、‘选择-拒绝’状态和‘随机-拒绝’状态。当惩罚计数过滤模块20正在‘正常’状态中操作时，邮件传送代理10接收来自任意发件人的所有有效的到来的电子邮件消息11以便转发给所期望的收件人。在处理到来电子邮件量所需要的系统资源增加并且在邮件传送代理10上设置了更大的要求时，惩罚计数过滤模块20的操作将从‘正常’状态改变至‘选择拒绝’状态或‘随机拒绝’状态。随后，如果电子邮件量恢复至正常水平，则惩罚计数过滤模块20的操作将最终回到‘正常’。

如果起初在‘正常’状态中，则在系统资源已经增加超过第一预设定的‘选择-拒绝’水位标记的情况下惩罚计数过滤模块20的操作从‘正常’状态改变至‘选择-拒绝’状态。例如在到来消息队列的磁盘空间超过预定的磁盘空间阈值或者在并行TCP连接的数目超过预定连接数目时，到达选择-拒绝水位标记。在可选实施方案中，可以采用由系统管理员规定的其它这种标准，从而限定附加的水位标记和操作状态。

如果一开始在‘随机-拒绝’状态中操作，该惩罚计数过滤模块20将在‘随机-拒绝’状态中保持至少由停留时间(TTS)间隔τ_TTS表示的一段时间。在经过该停留时间间隔τ_TTS之后，惩罚计数过滤模块20可以根据系统资源使用率状态文件25回到‘选择-拒绝’操作或‘正常’操作。或者，如果一开始在‘选择-拒绝’状态中操作，则惩罚计数过滤模块20将在‘选择-拒绝’状态中继续停留时间间隔τ_TTS，然后回到‘正常’状态，除了当电子邮件量增加并且惩罚计数过滤模块20的操作改变至‘随机-拒绝’状态。在优选实施方案中，停留时间间隔τ_TTS大约为20分钟。

可以参照图4的流程图对PCFM29在管理电子邮件消息11的过程上的应用进行说明，该流程图提供了在图2中的步骤33的更详细说明。从步骤31开始，在步骤71处确定系统资源使用率状态25。在判定块73中对于惩罚计数过滤模块20是否处于选择-拒绝状态作出查询。如果回答为“是”，操作进入判定块85。如果在判定块73中回答为“否”，则随后在判定块75处对该惩罚计数过滤模块20是否处于随机-拒绝状态作出查询。如果回答为‘是’，则操作前进至判定块115。如果在判定块75中的回答是‘否’，则在判定块77处对系统资源(SYSRES)是否超过选择-拒绝水位标记作出查询。如果已经超过了选择-拒绝水位标记，则在步骤81处将停留时间初始化为停留时间间隔τ_TTS，将资源利用系数f设定为初始值，并且将检查时间初始化为检测时间间隔τ_CHK。在优选实施方案中，检测时间间隔τ_CHK大约为3秒。然后该惩罚计数过滤模块20在步骤83处改变至选择-拒绝状态。如果在判定块77处还没有超过选择-拒绝水位标记，则在步骤79处惩罚计数过滤模块20保持在正常状态中。

如果在判定块73(上面的)确定该惩罚计数过滤模块20处于选择-拒绝状态，则操作前进至判定块85，在那里对系统资源是否已经超过随机-拒绝水位标记作出查询。如果已经超过该随机-拒绝水位标记，则在步骤87处将停留时间初始化为停留时间间隔τ_TTS，将拒绝系数R_f设定为初始值，并且将检查时间初始化为检测时间间隔τ_CHK。拒绝系数R_f具有由系统管理员分配的数值并且例如可以具有初始值2。惩罚计数过滤模块20在步骤89处改变至随机-拒绝状态，然后操作前进至步骤35。

如果还没有超过随机-拒绝水位标记，则在判定块85处对停留时间是否已经届满作出查询。如果停留时间已经届满，则在判定块93处对系统资源是否已经超过选择-拒绝水位标记作出查询。如果还没有超过选择-拒绝水位标记，则在步骤95处惩罚计数过滤模块20改变至正常状态，并且操作前进至步骤35。如果在判定块93处已经超过选择-拒绝水位标记，则在步骤97处更新该停留时间，在步骤99处惩罚计数过滤模块20保持在选择-拒绝状态，并且操作前进至步骤35。

如果在判定块91处停留时间还没有届满，则在判定块101处对检查时间是否已经届满作出查询。如果检查时间还没有届满，则在步骤99处惩罚计数过滤模块20保持在选择-拒绝状态，并且操作前进至步骤35。如果在判定块101处检查时间已经届满，则在判定块103处对系统资源是否已经超过选择-拒绝水位标记作出查询。如果已经超过选择-拒绝水位标记，则在步骤105处提高资源利用系数f(下面定义的)，并且在步骤109处更新检查时间。在一个优选实施方案中，当系统资源超过选择-拒绝水位标记，则将资源利用系数f加倍。如果在判定块103处还没有超过选择-拒绝水位标记，则在步骤107处降低资源利用系数f，并且在步骤109处更新检查时间。在另一个优选实施方案中，如果还没有超过选择-拒绝水位标记，则将资源利用系数f减半。在步骤109处已经更新了检查时间之后，在步骤111处惩罚计数过滤模块20保持在选择-拒绝状态，并且操作前进至步骤35。

如果在判定块75(上面的)确定惩罚计数过滤模块20处于随机-拒绝状态，则操作前进至判定块115，在这里对停留时间是否已经届满作出查询。如果该停留时间已经届满，则在判定块117处对系统资源是否已经超过随机-拒绝水位标记作出查询。如果还没有超过随机-拒绝水位标记，则在步骤119处将停留时间初始化为停留时间间隔τ_TTS，将资源利用系数f设定为初始值，并且将检查时间初始化为检查时间间隔τ_CHK。随后，在步骤121处，惩罚计数过滤模块20改变至选择-拒绝状态，并且操作前进至步骤35。如果在步骤117处已经超过随机-拒绝水位标记，则在步骤123处更新停留时间，在步骤125处该惩罚计数过滤模块20保持在随机-拒绝状态中，并且操作前进至步骤35。

如果在判定块115处停留时间还没有届满，则在判定块127处对检查时间是否已经届满作出查询。如果检查时间没有届满，则惩罚计数过滤模块在步骤125保持在随机-拒绝状态，并且操作前进至步骤35。如果在判定块127处检查时间已经届满，则在判定块129对系统资源是否已经超过随机-拒绝水位标记作出查询。如果已经超过随机-拒绝水位标记，则在步骤131处提高拒绝系数R_f，并且在步骤135处更新该检查时间。在优选实施方案中，当系统资源超过随机-拒绝水位标记时将拒绝系数R_f加倍。如果在判定块129处还没有超过选择-拒绝水位标记，则在步骤133处降低拒绝系数R_f，并且在步骤135处将检查时间更新。在一个优选实施方案中，如果还没有超过随机-拒绝水位标记，则按因数2减少拒绝系数R_f。在步骤135处已经更新了检查时间之后，在步骤137处该惩罚计数过滤模块20保持在随机-拒绝状态，并且操作前进至步骤35。

处理电子邮件

在图5的流程图中更详细地显示出在图2的步骤39处根据发件人状态和惩罚计数过滤模块状态来处理电子邮件的操作，其中在判定块201处对惩罚计数过滤模块20是否处于选择-拒绝状态作出查询。如果回答为‘是’，则在判定块203处对累计惩罚计数是否大于零作出查询。如果回答为‘否’，则到来电子邮件消息11在步骤171处被接受，并且作为转发的电子邮件17被发送给收件人。如果在判定块203处回答为‘是’，则在步骤205处产生随机数R_h，其中1≤R_h≤K。

然后，在判定块207处对随机数R_h是否大于资源利用系数f和累计惩罚计数的乘积作出查询。如果回答为‘是’，则该收到电子元件信息11在步骤171处被接受并且被转发给收件人。操作回到步骤41，在那里将行为跟踪表160更新。如果在判定块207处回答为‘否’，则到来电子邮件11在步骤209处被拒绝，该惩罚计数过滤模块20将临时否定完成回复19返回给发件人，并且操作回到步骤41。

如果在判定块201处回答为‘否’，则在判定块211处对惩罚计数过滤模块20是否处于随机-拒绝状态作出查询。如果回答为‘否’，则到来电子邮件消息11在步骤171处被接受并且作为转发的电子邮件17被发送给收件人。如果在判定块211处回答为‘是’，则在判定块213处对累计惩罚计数的当前数值是否大于零作出查询。如果在判定块213处回答为‘是’，则到来电子邮件消息11在步骤219处被拒绝，并且惩罚计数过滤模块20将临时否定完成回复19返回给发件人。如果在判定块213处回答为‘否’，则在步骤215处产生随机数R_g，其中1≤R_g≤K。

在步骤217处对该随机数R_g是否大于拒绝系数R_f作出查询。如果回答为‘是’，则到来电子邮件消息11在步骤219处被接受并且被转发给收件人。如果在判定块217处回答为‘否’，则到来电子邮件消息11在步骤219处被拒绝，惩罚计数过滤模块20将临时否定完成回复19返回给发件人，并且操作返回至步骤41，在那里更新行为跟踪表160。

如上所述，资源利用系数f在步骤207处被用来确定特定到来电子邮件消息11是否被随机返回给发件人或者被发送给所期望的收件人。从平均累计惩罚计数 P中推导出资源利用系数f，其中

$\stackrel{\‾}{P}=\frac{\underset{i=1}{\overset{m}{\mathrm{\Σ}}}{\mathrm{PCNT}}_i}{m},---\left(8\right)$

并且其中PCNT_i为赋予在惩罚计数表50中列出的m个发件人标识中的第i个发件人标识的惩罚计数。资源利用系数f由下面的公式给出，

$f=\frac{k}{2\stackrel{\‾}{P}}---\left(9\right)$

如上所述，然后惩罚计数过滤模块20产生出相当于资源利用系数f和累计惩罚计数的乘积的随机数R_h。如果R_h＞f·，则到来电子邮件消息11由惩罚计数过滤模块20接受；如果R_h≤f·，则到来电子邮件消息11被拒绝并且惩罚计数过滤模块20向相应的发件人发出临时否定完成回复19。

行为跟踪表

在优选实施方案中，行为跟踪表160包括在工作站150中，如在图6中所示一样该工作站通过通信网络151例如LAN或WAN与邮件传送代理10连接。发件人惩罚计数状态27采用包含在将发件人的电子邮件行为制成表格的行为跟踪表160中的信息来更新在惩罚计数表50中的电子邮件发件人的累计惩罚计数。

行为跟踪表160包括由在图7中所示的记录161，163，165和169所表示的多个记录或行为数值。信号特征167或类似的锁定/未锁定功能与每个表项目相关。记录163，165和169的结构类似于记录161的结构，该记录包括发件人标识(SID)数值171，发件人电子邮件的累计电子邮件计数(NN)，电子邮件文件的总体电子邮件大小(SZ)175，总体TCP连接利用时间(UT)177以及时标(TS)数值179，它是从由SID数值171标识的发件人接收到的最近电子邮件的记录。

可以采用与在惩罚计数表50中查找数值的方法类似的方法，通过采用从SID中计算出的关键字对行为跟踪表160进行散列来优化查找发件人标识数值的过程。在行为跟踪表160中可以通过让散列表的每个项目指向一个链接列表使重新散列最小化，其中这些记录存储在链接列表中。在行为跟踪表160中的每个记录161，163，167和169具有保持时间τ_BHT，之后在查看相应表项目并且仔细检查记录时除去过期记录。在优选实施方案中，保持时间τ_BHT大约为5秒。

当到来电子邮件消息11对应于由发件人标识数值171标识的发件人时，采用当前和以前的数值更新累计电子邮件计数173，累计总体大小175和累计总体TCP链接利用时间177，并且其中以衰减系数d将前面数值降低。更新的累计电子邮件数值(NN)由下面的公式给出。

NN＝1+d·NN(T_TS)，             (10)

其中NN(T_TS)为以前在时标时间(T_TS)处获得的前面或最近在先电子邮件计数数值。

更新的累计总体大小(SZ)由下面的公式给出，

SZ＝SZ(T_UD)+d·UT(T_TS)         (11)

其中SZ(T_UD)为在更新记录时获得的附加电子邮件大小，而SZ(T_TS)为前面或最近在先电子邮件大小。同样，更新的累计连接利用时间(UT)由下面的公式给出，

UT＝UT(T_UD)+d·UT(T_TS)         (12)

其中UT(T_UD)为在更新记录时确定的连接利用时间，并且UT(T_TS)为前面或最近在先连接利用时间。在已经更新了累计电子邮件计数173，累计总体大小175和累计总体TCP连接利用时间177之后，将时标(T_TS)重新设定为最近更新时间。在等式10至12中的衰减系数d由下式给出，

$d=1-\min (1,\frac{T_{\mathrm{TC}}-T_{\mathrm{TS}}}{{\mathrm{\τ}}_{\mathrm{BHT}}})---\left(13\right)$

如果累计电子邮件计数173，累计总体大小175或累计总体TCP连接利用时间177中的任一个如上述一样超过了预定阈值或水位标记，则与发件人标识数值171相对应的发件人被赋予适当的惩罚计数。对于由当前没有在行为跟踪表160中列出的发件人发送的到来电子邮件消息11，针对累计电子邮件计数173，累计总体大小175和累计总体TCP连接利用时间177分别用输入到行为跟踪表160中的初始数值1，SZ(T_TS)和UT(T_TS)建立新的项目。

在再一个实施方案中，邮件传送代理10包括在图8中所示的合并惩罚计数表180，该表包括多个具有与记录181所示的项目类似的记录。记录181通过将在记录51和记录161中的数据合并产生出，并且包括发件人标识(SID)数值183，累计惩罚计数(PCNT)数值185，发件人电子邮件的累计电子邮件计数(NN)187，电子邮件文件的总体电子邮件大小(SZ)，总体TCP连接利用时间(UT)191以及时标(TS)数值193。本领域普通技术人员可以理解，如果邮件传送代理10包括合并惩罚计数表180代替惩罚计数表50的话，则在工作站150中不需要行为跟踪表160。

在图9的流程图中所示的可选实施方案中，根据发件人状态处理到来的电子邮件。该邮件传送代理10在步骤231处完成TCP连接，并且接收收到的电子邮件消息11。在步骤233处确定电子邮件消息11的发件人的标识。接受/拒绝过滤器23在步骤235处确定到来电子邮件消息11是否被发送给收件人或者到来电子邮件消息11是否被拒绝。接受或拒绝到来电子邮件消息的确定基于发件人的身份。当已经处理了当前到来电子邮件消息11时，在步骤239处更新行为跟踪表160，并且发件人惩罚计数状态模块27在判定块241处确定到来电子邮件消息11是否具有不良活动。如果是，则发件人惩罚计数状态模块27在步骤243处用适当的发件人惩罚计数数值为在惩罚计数表50中的发件人标识21产生新的列表。或者，如果对于发件人标识21已经存在列表，则更新相应的发件人惩罚计数数值。对于其中没有检测到任何不良活动的正常电子邮件活动而言，不对在惩罚计数表50中的发件人项目作任何变化。对于在惩罚计数表50中没有列出的发件人，将惩罚计数数值取为零。然后邮件传送代理10的操作前进至步骤231，在该步骤下建立下一个TCP连接。

虽然已经针对具体实施方案对本发明进行了说明，但是要理解的是，本发明决不限于在附图中所披露的和/或所示的具体结构和方法，而是可以包括在权利要求范围内的任意改变或等同方案。

Claims (36)

1.一种适合在通信设备中使用的用来确定对来自发件人的到来电子邮件的处置的方法，所述方法包括建立发件人的身份以提供发件人标识(61)的步骤，并且其特征在于还包括以下步骤：

确定与所述发件人标识相关的累计惩罚计数数值(63)；

检索与通信设备相关的系统资源使用状态(71)；并且

根据所述累计惩罚计数数值和所述系统资源使用状态来处理到来电子邮件。

2.如权利要求1所述的方法，其中建立发件人身份的所述步骤(35)包括查明发件人的IP地址的步骤。

3.如权利要求1所述的方法，其中建立发件人身份的所述步骤(35)包括使发件人与发件人TCP连接的对等IP地址相关的步骤。

4.如权利要求1所述的方法，其中确定累计惩罚计数数值的所述步骤包括对于与发件人相关的不良活动将惩罚计数数值赋予所述发件人标识的步骤。

5.如权利要求4所述的方法，其中所述累计惩罚计数数值包括针对当前不良发件人活动赋予发件人的活动惩罚计数和从前面不良发件人活动中确定的与时间相关的惩罚计数。

6.如权利要求5所述的方法，其中所述与时间相关的惩罚计数包括在预定保持时间之后的零数值。

7.如权利要求5所述的方法，其中所述与时间相关的惩罚计数包括通过衰减系数降低的在先活动惩罚计数数值。

8.如权利要求4所述的方法，其中所述不良活动包括以下活动之一：发送大量电子邮件；发送相对大的电子邮件；占用相对多的TCP连接时间；以及造成TCP超时。

9.如权利要求1所述的方法，其中所述系统资源使用状态是以下因素之一的函数：正在保持的并行TCP连接的数目；在到来消息队列中的电子邮件文件的数目；以及用于到来消息队列的磁盘空间量。

10.如权利要求1所述的方法，其中处理到来电子邮件的所述步骤包括给该通信设备分配操作状态的步骤，所述操作状态为所述系统资源使用状态的函数。

11.如权利要求10所述的方法，其中所述操作状态为以下之一：正常操作状态；选择-拒绝操作状态和随机-拒绝操作状态。

12.如权利要求11所述的方法，其中对于所述选择-拒绝状态，如果所述累计惩罚计数数值为零数值，则处理所述到来电子邮件的所述步骤包括接受到来电子邮件的步骤。

13.如权利要求11所述的方法，其中对于所述选择-拒绝状态，如果所述累计惩罚计数数值具有非零数值，则处理所述到来电子邮件的所述步骤包括以下步骤：

规定拒绝系数；

产生随机数；并且

根据所述拒绝系数和所述随机数随机拒绝到来电子邮件。

14.如权利要求13所述的方法，其中随机拒绝的所述步骤包括以下步骤，如果所述随机数大于所述拒绝系数则接受所述到来电子邮件，并且如果所述随机数不大于所述拒绝系数则拒绝所述到来电子邮件。

15.如权利要求13所述的方法，其中在所述系统资源使用状态增加的情况下所述拒绝系数增加，并且在所述系统资源使用状态降低的情况下所述拒绝系数降低。

16.如权利要求11所述的方法，其中对于所述随机-拒绝状态，如果所述累计惩罚计数数值具有非零数值，则处理所述到来电子邮件的所述步骤包括拒绝到来电子邮件的步骤。

17.如权利要求11所述的方法，其中对于所述随机-拒绝状态，如果所述累计惩罚计数数值具有零数值，则处理到来电子邮件的所述步骤包括以下步骤：

推导出资源使用系数；

产生随机数；并且

根据所述资源使用系数、所述随机数和所述累计惩罚计数数值随机拒绝到来电子邮件。

18.如权利要求17所述的方法，其中随机拒绝的所述步骤包括以下步骤，如果所述随机数大于所述资源使用系数和所述累计惩罚计数数值的乘积，则接受所述到来电子邮件，并且如果所述随机数不大于所述资源使用系数和所述累计惩罚计数数值的乘积，则拒绝所述到来电子邮件。

19.如权利要求18所述的方法，其中如果所述系统资源使用状态增加，则所述资源使用系数增加，并且如果所述系统资源使用状态降低则所述资源使用系数降低。

20.一种用于确定对来自发件人的到来电子邮件的处置的通信设备，所述设备包括用于标识发件人(21)的装置，其特征在于所述设备还包括：

一惩罚计数过滤模块(20)，它具有

用于将一惩罚计数(27)分配给发件人的装置，所述惩罚计数为与发件人相关的不良活动的函数；

用于在接收电子邮件中确定所述通信设备的资源使用状态(25)的装置；

用于指定所述惩罚计数过滤模块的操作状态(29)的装置，所述操作状态为所述资源使用数值的函数；以及

用于根据所述发件人惩罚计数和所述操作状态处置到来电子邮件的接受/拒绝过滤器(23)。

21.如权利要求20所述的设备，其中用于标识所述发件人(21)的所述装置包括用于获得域名服务验证和发件人TCP连接的对等IP地址中的至少一个的装置。

22.如权利要求20所述的设备，其中所述不良活动包括以下之一：发送大量电子邮件；发送相对大的电子邮件；占用相对多的TCP连接时间；以及造成TCP超时。

23.如权利要求20所述的设备，其中所述系统资源使用状态(25)为以下之一的函数：正在保持的并行TCP连接的数目；在到来消息队列中的电子邮件文件的数目；以及用于到来消息队列的磁盘空间量。

24.一种用于确定对来自发件人的到来电子邮件的处置的通信设备，其特征在于所述设备包括：

一发件人惩罚计数数据结构(27)，用于存储与发件人相关的当前惩罚计数数值；

一系统资源使用状态文件(25)，用于存储用于设备电子邮件处理资源的当前使用状态数值；以及

一接受/拒绝过滤器(23)，用于根据所述惩罚计数数值和所述使用状态处置到来电子邮件。

25.如权利要求24所述的设备，其中所述发件人惩罚计数数据结构(27)包括含有以下数值之一的项目：发件人标识数值；累计惩罚计数数值；累计电子邮件计数；总体电子邮件大小；总体TCP连接时间和时标数值。

26.一种适合在通信设备中使用的用来确定对来自发件人的到来电子邮件的处置的方法，所述方法包括通过确定发件人IP地址来标识电子邮件发件人的步骤，其特征在于，所述方法还包括以下步骤：

获得对于所述发件人IP地址计算出的在先发件人惩罚计数数值；并且

根据所述发件人惩罚计数数值接受或拒绝到来电子邮件。

27.如权利要求26所述的方法，还包括以下步骤：

保持用于电子邮件发件人的行为跟踪表项目；并且

从所述行为跟踪表中确定所述在先发件人惩罚计数。

28.如权利要求27所述的方法，还包括响应于接收到发件人电子邮件更新在所述跟踪表项目中的发件人行为数值的步骤。

29.如权利要求28所述的方法，其中所述发件人行为数值包括以下之一：电子邮件的数目；电子邮件的总体大小；以及TCP连接时间的总体时间。

30.如权利要求28所述的方法，其中更新发件人行为数值的所述步骤包括以下步骤：

通过衰减系数降低所述行为跟踪表数值；并且

将当前行为跟踪表数值加入到所述相应降低的行为跟踪表数值中。

31.如权利要求30所述的方法，其中所述衰减系数为在所述行为跟踪表项目的最近两次更新之间的时间间隔和预定保持时间的函数。

32.如权利要求26所述的方法，其中从在预定保持时间上出现的不良发件人活动中确定所述发件人惩罚计数数值。

33.如权利要求32所述的方法，其中所述不良活动包括以下之一：发送大量电子邮件；发送相对大的电子邮件；占用相对多的TCP连接时间；以及造成TCP超时。

34.如权利要求26所述的方法，还包括更新所述发件人惩罚计数数值的步骤。

35.如权利要求34所述的方法，其中更新所述发件人惩罚计数数值的所述步骤包括以下步骤：

以衰减系数降低所述在先发件人惩罚计数数值以产生降低的发件人惩罚计数数值，所述衰减系数是所述预定保持时间的函数；并且

将活动惩罚计数数值加入到所述降低的发件人惩罚计数数值中以产生出更新的发件人惩罚计数数值，所述活动惩罚计数数值计算作为当前发件人电子邮件活动的函数。

36.如权利要求35所述的方法，其中所述衰减系数还是在所述在先发件人惩罚计数数值的计算和所述活动惩罚计数数值的计算之间的时间间隔的函数。

Images