KR20070065267A

KR20070065267A - 전자 메시지 소스 평판 정보 시스템

Info

Publication number: KR20070065267A
Application number: KR1020067027301A
Authority: KR
Inventors: 피터 케이. 런드; 스코트 엠. 페트리; 크래이그 에스. 크로테아우; 케네스 케이. 오쿠무라; 도리온 에이. 캐롤
Original assignee: 포스티니, 인크.
Priority date: 2004-05-25
Filing date: 2005-05-25
Publication date: 2007-06-22
Also published as: WO2005116851A3; US7676566B2; US7792909B2; US20070208817A1; US20070282952A1; CN101288060A; US8037144B2; US20070250644A1; AU2005248858A1; JP4829223B2; US20120030302A1; CN101288060B; US8001268B2; KR101150747B1; CA2564533A1; US20070162587A1; AU2005248858B2; EP1761863A2; WO2005116851A2; AU2005248858B8

Abstract

전자 메시지 소스 평판 시스템을 채용하는 필터링 시스템들 및 방법들이 여기 개시된다. 소스 평판 시스템은 소스 인터넷 프로토콜(IP) 주소 정보의 풀(pool)을, 소스 IP 주소의 평판을 제공할 수 있고 네트워크 트래픽을 필터링하기 위해 고객들에 의해 사용될 수 있는 실시간 징후 식별 네트워크('RTIN') 데이터베이스 형태로 유지한다. 소스 평판 시스템은 소스 평판 정보에의 액세스의 복수의 통로들을 제공한다. 이러한 통로들의 예들은 DNS(Domain Name Server)형 질의들, 라우터-테이블 데이터에 의해 서비스하는 라우터들, 혹은 그 외 통로들을 포함할 수 있다.

라우터-테이블 데이터, 네트워크 트래픽, 필터링, 소스 평판 시스템, 인터넷 프로토콜

Description

전자 메시지 소스 평판 정보 시스템{ELECTRONIC MESSAGE SOURCE REPUTATION INFORMATION SYSTEM}

관련 응용들과의 상호 참조

본 출원은 2004년 5월 25일 출원된 미국 임시 출원 번호 60/574,290 호의 이익을 청구하고, 그 전체 내용은 모든 목적들에 대해 본 발명과 참조적으로 통합된다. 본 출원은 또한 2005년 2월 2일 출원된 미국 임시 출원 번호 60/593,651 호의 이익을 청구하고, 그 전체 내용은 모든 목적들에 대해 본 발명과 참조적으로 통합된다.

기술 분야

여기 개시된 실시예들은 일반적으로 네트워크 활동을 모니터링하고, 상기 모니터링된 활동을 반영하는 정보의 풀들(pools)을 생성하고, 상기 모니터링된 활동을 반영하는 정보에 기초하여 네트워크 활동을 관리하기 위한 시스템들에 관한 것이다.

페트리(Petry) 등의 미국특허출원공보 2003/0158905("유효 EMS 특허출원")의 전체를 모든 목적들을 위해 참조로 여기 포함시킨다. 유효 EMS 특허출원은 전자 메시지들로부터 인커밍 접속시도들, 아웃고잉 배송 시도들, 및 메시지 콘텐츠 분석에 관하여 데이터가 수집되고 데이터 매트릭스에 기입되는 실시간 피드백 루프를 포함하는 능동 전자 메시지 관리 시스템을 기술하고 있다.

2005년 5월 현재 본 개시의 양수인인 포스티니 사는 주당 30억 이상의 메시지들을 처리한다. 이러한 처리로부터 수집된 정보는 인터넷 상의 이메일 트래픽에 관한 활동들을 유용하게 간파할 수 있게 한다. 콘텐츠 기반 이메일 메시지 필터링에 의해 저지된 공격적 이메일 트래픽커들 혹은 "스패머들"은 현존하는 많은 이메일 메시지 필터링 제품들 및 서비스들을 극복하기 위해서 무모한 방법들을 사용하기 시작하였다. 대부분의 경우 이들 무모한 방법들은 최종 사용자들의 메시지 박스들이 ISP들, 대학들, 및 회사 네트워크들에 의해 유지되는 라우터들을 포함하여 인터넷의 서버들 및 네트워크들에 총체적인 부담이기 때문에 이들 박스들에 그다지 위협이 되지는 않는다. 예를 들면, 어떤 경우 스패머들은 콘텐츠 기반 이메일 필터들이 일반적으로 인터넷 상의 메시지 트래픽 패턴들에 적응형이기 때문에, 이들 필터들의 필터링 파라미터들에 악영향을 미치게 할 목적으로 수백만 개의 무작위 메시지들을 보낼 것이다. 이에 따라 이들 메시지들은 상업성 광고들을 포함조차 하지 않을 것이다. 일반적으로 이들은 전혀 반복적이지 않고 무작위이며 스패머들의 데이터베이스들 내 기지의 이메일 주소들에 보내질 것이다. 메시지들은 알려진 패턴을 갖지 않을 것이기 때문에, 소스 주소에 의해 이메일 메시지들의 공격적 발송인 들 검출에 기초하여 메시지들을 차단하게 구성되어 있지 않은 콘텐츠 기반의 이메일 필터들은 일반적으로 이들 메시지들이 사용자들에 건네지게 할 것이다. 또한, 대다수 이러한 이메일 필터링은 회사 혹은 ISP 위치에서, 그리고 종종 최종 사용자용의 메일 서버만큼 원격지에서 혹은 사용자의 개인적인 이메일 클라이언트들에서도 수행되기 때문에, 이런 유형의 이메일 필터링은 ISP 혹은 회사 네트워크가 처리해야 하는 네트워크 트래픽의 레벨을 줄이기만 한다.

요약

전자 메시지 소스 평판 시스템을 채용하는 필터링 시스템들 및 방법들이 여기 개시된다. 소스 평판 시스템은 일단의 소스 인터넷 프로토콜(EP) 주소 정보를, 소스 IP 주소들의 평판을 제공할 수 있고 소스 평판 시스템의 고객들에 의해 네트워크 트래픽을 필터링하는데 사용될 수 있는 실시간 징후 식별 네트워크("RTIN") 데이터베이스 형태로 유지한다. 소스 평판 시스템은 소스 평판 정보에의 액세스의 복수의 통로를 제공한다. 이러한 통로들의 예들은 도메인명 서버(DNS)형 질의들, 라우터-테이블 데이터에 의한 서빙 라우터들, 혹은 이외의 통로들을 포함할 수 있다.

이러한 전체적인 개념의 여러 가지 면들은 소스 IP 주소 평판 정보 풀을 마련하는 시스템들 및 방법들, 소스 평판 정보에 액세스하기 위한 인증 프로세스들(예를 들면, 암호화키들, 등을 통해서), 소스 평판 정보 풀에 유지된 정보의 유형들, 및 소스 평판 정보에 액세스 혹을 이를 제공하는 방법들을 포함한다.

소스 평판 정보는 다양한 데이터 소스들로부터 도출될 수 있다. 데이터 소스의 일 예는 실시간 인터넷 트래픽 정보를 제공하는 트래픽 모니터 시스템이다. 트래픽 모니터 시스템은 이메일 트래픽에 기초하여 실시간 정보를 수집하게 구성되는 트래픽 모니터를 포함할 수 있다. 트래픽 모니터는 트래픽 모니터에 의해 수집된 정보를 반영하는 데이터를 포함하는 트래픽 로그를 유지할 수 있다. 트래픽 로그의 분석은 각종 도메인들 혹은 IP 주소들로부터 기인한 이메일 활동의 평가를 전개하기 위해서 소스 평판 시스템에 의해 수행될 수 있다. 도메인의 평가는 이 도메인으로부터 이메일 트래픽의 임계량이 평가될 때까지 지연될 수 있다.

데이터 소스의 또 다른 예는 오 확정 스팸 식별을 감소시키는 방법을 제공하는 투-스트라이크 시스템이다. 투-스크라이크 시스템이, 주어진 IP 주소로부터의 이메일이 스팸인 것으로 의심할 때, 의시되는 스팸 이메일이 이 IP 주소로부터 마지막으로 수신된 시간량을 체크할 것이다. 규정된 시간량 이상이 경과하였다면, 투-스크라이트 시스템은 의심되는 이메일이 스팸일 약간의 가능성이 있을 것으로 간주할 것이다. 그렇지 않고, 규정된 시간량 미만이 경과하였다면, 시스템은 의심되는 이메일이 스팸일 큰 가능성이 있는 것으로 간주하고 발송측 IP 주소를 스팸의 유력한 소스로서 식별한다. 투-스트라이크 시스템은 스팸의 유력한 소서들일 것으로 판정되는 IP 주소들을 리스트한, 이 프로세스로부터 나온 정보의 데이터베이스를 유지할 수 있다. 이 정보는 소스 평판 시스템에 데이터 소스로서 제공될 수 있다.

데이터 소스의 또 다른 예는 알려진 존재하지 않는 이메일 주소들 앞으로 된 수신된 이메일에 기초하여 스팸을 검출하는 시스템, 예를 들면 서든-데스 시스템일 수 있다. 서든-데스 시스템은 존재하지 않는 이메일 주소들 앞으로 된 이메일 메시지들의 경우들에 근거해서 스팸 소스들을 식별하는 방법을 제공할 수 있다. 존재하지 않는 이메일 주소들에 보내진 상당 분량들의 이메일들은 DHA의 징후일 수 있고, 따라서 소스 IP 주소는 DHA들 및 스팸 가능성의 소스의 소스로서 식별될 수 있다. 서든-데스 시스템은 존재하지 않는 이메일 주소들 앞으로 된 이메일을 다양한 방법들로 검출할 수 있다. 어떤 경우들에 있어서, 서든-데스 시스템은 실제 메일박스 주소에 사용되지 않을 수 있는 문자 조합들을 포함하는 메일박스 패턴들의 리스트에 입력 이메일의 주소들의 배송 주소들을 비교할 수 있다. 어떤 실제 사용자에도 속하지 않는 "시드" 이메일 주소들이 인터넷, "유스넷", 혹은 그 외 다른 곳에서 유포될 수 있다. 그러면 서든-데스 시스템은 이들 "시드" 주소들 중 하나에 보내진 이메일을 검출하여 소스 IP 주소를 스팸의 유력한 소스로서 태그할 수 있다. 서든-데스 시스템은 존재하지 않는 혹은 "시드" 주소들 앞으로 된 이메일의 경우들에 관계된 정보를 저장하기 위한 데이터베이스를 포함할 수 있다. 데이터베이스는 IP 주소 정보, 예를 들면 스팸 및/또는 DHA들의 유력한 소스들인 것으로 서든-데스 시스템에 의해 판정된 IP 주소들을 저장할 수 있다. 이 정보는 소스 평판 시스템에 데이터 소스로서 제공될 수 있다.

데이터 소스들의 또 다른 예들은 IP 주소 정보 데이터베이스(혹은 데이터베이스들)를 포함할 수 있다. 정보는 수신된 스팸 및 스팸을 발송한 IP 주소들에 관한 정보를 제공하는 고객들에 의해 제공될 수 있다. 정보는 IP 주소들에 관한 시스템 관리자들에 의해서 또한 제공될 수 있다. IP 주소 정보 데이터베이스는 스팸 혹은 이외 다른 악의적 활동의 알려진 소스들인 IP 주소들의 리스트들과 같은 블록-리스트들을 포함한다. IP 주소 정보 데이터베이스는 예를 들면 IP 주소들의 신뢰도에 따라 이들 주소들의 스코어가 매겨지는 어떤 정도로 신뢰성이 있는 것으로서 "그레이-리스트"된 IP 주소들을 포함할 수 있다. IP 주소 정보 데이터베이스는 스팸 혹은 이외 다른 악의적 활동의 소스들이 아닐 것으로 알려진 신뢰된 IP 주소들의 리스트들을 또한 포함할 수 있다.

신뢰된 IP 주소들은 스팸을 발송하지 않을 것으로 보이는 도메인들의 식별을 수반하는 프로세스를 통해 식별될 수 있다. 이것은 예기되는 거동에 기초해서 신뢰 레벨들을 IP 주소들에 할당하는 것을 포함할 수 있고, 여기서 신뢰레벨들은 스팸이 발송될 것인가 아니면 발송되지 않을 것인가의 많은 가능성 정도들에 걸쳐 있다. 신뢰 레벨들은 무엇보다도, 비즈니스, 산업 혹은 그 외 추단법에 기초할 수 있다. IP 주소들은 어떤 산업들에 연관되는 것으로서 식별될 수 있고, 예를 들면, 한 블록의 IP 주소들은 재정적 혹은 합법적 시설, 혹은 임의의 수의 전반적으로 신뢰되는 실체들을 포괄하는 "포괄적 신뢰" 카테고리에 속하는 것으로서 식별될 수도 있을 것이다. 일부 실시예들에서, 카테고리는 어떤 신뢰레벨에 구속될 수 있으므로, 어떤 카테고리에 할당된 IP 주소들 혹은 도메인들에는 연관된 신뢰레벨이 자동으로 할당된다.

이력으로 보아, 특정 IP 주소가 스팸, 혹은 그 외 악의적 혹은 바람직하지 못한 인터넷 활동의 알려진 소스이라면, 이 정보는 IP 주소 정보 데이터베이스에 유지될 수 있다. 이력으로 보아, IP 주소가 수락가능의 이메일 혹은 이외 인터넷 트래픽의 소스인 것으로 알려져 있다면, 이 정보는 IP 주소 정보 데이터베이스에 저장될 수 있다. 일부 실시예들에서, IP 주소들은 이력정보에 기초하여 플래그되거나 등급이 매겨질 수 있다. 플래그 혹은 등급은 수락가능의 혹은 바람직하지 못한 과거 활동을 나타낼 수 있다. 일부 실시예들에서, IP 주소 혹은 한 블록의 주소들로부터 비롯되는 악의적 활동의 점진적 증대의 검출에 기초하여 IP 주소의 등급을 감소시키는 것, 예를 들면 감소된 레벨의 신뢰성을 나타낼 수 있는 점진적 증대 활동 검출 시스템이 구현될 수 있다. IP 주소는 스팸 혹은 이외 악의적 활동에 주목할 만한 감소가 어떤 기간에 걸쳐 검출된다면, 향상된 등급을 회복할 수 있는데, 예를 들면 보다 신뢰되는 것으로 간주될 수 있다. 이 정보는 인터넷 트래픽 모니터들로부터 실시간 트래픽 정보에 기초하여 미리 결정된 간격들로 업데이트될 수 있다.

소스 평판 시스템은 데이터 소스 혹은 데이터 소스들로부터 수신된 정보에 기초하여 IP 주소를 평가할 수 있는 RTIN 엔진을 포함한다. 신뢰도, 혹은 도메인 혹은 IP 주소가 신뢰할 수 있는지 여부의 판정에 도달하기 위해서 임의의 수의 위험 메트릭들이 사용될 수 있다. 위험 메트릭들의 예들은 스팸, 바이러스들, 이메일 범브들, 및 디렉토리 채취 어택들에 관계된 메트릭들을 포함할 수 있다. 이들 메트릭들 각각에 대해 해당 소스 IP 주소가 이들 거동들에 연관되어있는 정도를 나타내는 측정들이 미리 결정된 스케일, 예를 들면 1 내지 100 범위의 스케일로 행해질 수 있다. 그러면 IP 주소는 이들 측정들에 근거해서 플래그될 수 있는데, 예를 들면, 스팸 측정에 대해서 50 내지 100 범위의 스코어는 해당 IP 주소가 스팸의 유력한 소스인 것으로 간주됨을 의미할 수 있다. 그렇지 않고, 스팸 측정이 50 미만이라면, IP 주소는 어느 정도는 신뢰될 수 있고, 이 경우 신뢰 수준은 측정값에 따른다. 예를 들면, 1-10 범위의 스팸측정을 가진 IP 주소는 40-50 범위의 스팸측정을 갖는 IP 주소보다 신뢰될 수 있는 것으로 간주된다.

일부 실시예들에서, IP 주소를 소유하는 산업 혹은 실체에 주어지는 다소간 IP 주소가 얼마나 많이 스팸 혹은 이외 악의적 활동의 소스일 것인가를 나타내는 업계 인수로 IP 주소의 평가를 나누기 위해서 IP 주소 소유자가 식별될 수 있다(예를 들면, DNS 혹은 "whois" 탐색 동작을 수행함으로써). 미리 결정된 레벨의 신뢰도를 달성하는 도메인들 혹은 IP 주소들은 그 자체로서 확실하게 식별될 수 있다. 일부 실시예들에서, 신뢰될 수 있는 것으로 식별된 도메인들 혹은 IP 주소들은 신뢰 IP 주소들의 데이터베이스에 추가될 수 있다.

RTIN 데이터베이스에 유지된 정보의 유형들은 IP 주소들 혹은 다수 블록들의 IP 주소들에 있어서, 해당 주소가 스팸, 바이러스들, DHA들 혹은 이외 악의적 활동들의 유력한 소스일 가능성을 나타내는 데이터와 같은 정보를 포함할 수 있다. 예를 들면, RTIN 데이터베이스는 각 IP 주소에 대해, 스팸, 바이러스, 혹은 DHA들과 같은 하나 이상의 카테고리들에 대한 스코어를 포함할 수 있고, 여기서 스코어는 해당 IP 주소가 각각의 카테고리에 연관된 활동에 연루하고 있을 것인가에 대한 표시를 제공한다. 소스 평판 데이터베이스에의 질의들은 특정 유형들의 정보에 대한 요청들부터 보다 일반적인 요청들, 예를 들면 특정 IP 주소 혹은 한 블록의 주소들에 연관된 모든 가용 정보를 요청하는 요청들마다 다를 수 있다.

소스 평판 데이터베이스를 형성하고 이를 저장하고 이에 액세스를 제공하는 구체적 구조들은 다양할 수 있다. 적합한 구조들의 예들이 여기 개시되나, 그 외 다른 구조들이 본 개시의 정신 및 범위 내에서 사용될 수 있다.

동일요소에 동일 참조부호를 사용한 도면에 예로서 실시예들을 예시한다.

도 1은 소스 평판 시스템의 예를 도시한 블록도.

도 2는 RTIN 엔진의 제1 실시예의 블록도.

도 3은 RTIN 엔진의 제2 실시예의 블록도.

도 4는 트래픽 모니터 시스템의 실시예의 블록도.

도 5는 투-스트라이크 시스템의 실시예의 블록도.

도 6은 도 5에 도시한 투-스트라이크에 의해 수행되는 프로세스의 실시예를 도시한 흐름도.

도 7은 서든-데스 시스템의 실시예의 블록도.

도 8은 도 7에 도시한 서든-데스 시스템에 의해 수행되는 프로세스의 실시예를 도시한 흐름도.

도 9는 도 1에 도시한 소스 평판 시스템에 의해 수행되는 프로세스의 실시예를 도시한 흐름도.

도 10은 도 1에 도시한 소스 평판 시스템에 액세스하기 위한 프로세스의 실시예를 도시한 흐름도.

도 11은 인터넷의 일 그룹의 자발 시스템들의 블록도.

도 12는 고객 라우터의 예의 블록도.

도 13은 도 1에 도시한 소스 평판 시스템과 더불어 블랙홀 기술을 사용하는 트래픽 흐름예를 도시한 블록도.

도 1은 소스 IP 주소의 평판에 기초하여 네트워크 트래픽의 필터링을 제공하는 필터링 시스템(100)의 예를 도시한 블록도이다. 예시된 실시예에 따라서, 시스템(100)은 하나 이상의 데이터 소스들(102a, 102b)(일괄하여 "102"), 소스 평판 시스템(104), 및 하나 이상의 고객 시스템들(106a, 106b)(일괄하여, "106")을 포함한다. 소스 평판 시스템(104)은 실시간 징후 식별(RTIN) 엔진(108) 및 옵션으로서의 고객 구성 데이터베이스(110)를 포함한다.

RTIN 엔진(108)은 임의의 수의 데이터 소스들(102)로부터 IP 주소 정보를 검색하고, RTIN 데이터베이스(114)에 IP 주소들 혹은 다수 블록들의 IP 주소들에 대한 소스 평판 프로파일들을 전개 및 유지하며 고객 시스템들(106)에 소스 평판 프로파일 정보의 배포를 관리하기 위해서 상기 검색된 정보를 처리한다. 고객 시스템들(106a, 106b)는 고객 라우터들(107a, 107b)(일괄하여 "107")를 각각 포함한다. 일부 실시예들에서, RTIN 엔진(108)은 고객 라우터들(107)에 직접 프로파일 정보의 배포를 관리할 수 있다. 일부 실시예들에서, RTIN 엔진(108)은 데이터베이스(110)에 저장된 고객 정보에 따라 IP 주소 프로파일 정보의 배포를 관리할 수 있다. 예를 들면, 정보 배포 방법들을 고객 시스템(106)에 제공되는 정보의 유형들은 고객 시스템(106)과는 다를 수 있다. RTIN 엔진(108)은 고객들(106a, 106b)의 고유의 선호들 및/또는 구성들에 따라 이들 고객들의 취급이 적합하게 될 수 있게 데이터베이스(110)에 저장된 데이터를 참조할 수 있다.

RTIN 엔진(108)은 하나 이상의 데이터 소스들(102)로부터 수신된 정보에 기초하여 IP 주소를 평가할 수 있다. 신뢰도 혹은 소스/도메인을 신뢰할 수 있는지 여부의 판정에 도달하기 위해서 임의의 수의 위험 메트릭들이 사용될 수 있다. 위험 메트릭들의 예들은 스팸, 바이러스들, 이메일 범브들, 및 디렉토리 채취 어택들에 관계된 메트릭들을 포함할 수 있다. 이들 메트릭들 각각에 대해 해당 소스 IP 주소가 이들 거동들에 연관되어있는 정도를 나타내는 측정들이 미리 결정된 스케일, 예를 들면 1 내지 100 범위의 스케일로 행해질 수 있다. 그러면 IP 주소는 이들 측정들에 근거해서 플래그될 수 있는데, 예를 들면, 스팸 측정에 대해서 50 내지 100 범위의 스코어는 해당 IP 주소가 스팸의 주요 소스인 것으로 간주됨을 의미할 수 있다. 그렇지 않고, 스팸 측정이 50 미만이라면, IP 주소는 어느 정도는 신뢰될 수 있고, 이 경우 신뢰 수준은 측정값에 따른다. 예를 들면, 1-10 범위의 스팸측정을 가진 IP 주소는 40-50 범위의 스팸측정을 갖는 IP 주소보다 신뢰될 수 있는 것으로 간주된다.

일부 실시예들에서, IP 주소를 소유하는 산업 혹은 실체에 주어지는 다소간 IP 주소가 얼마나 많이 스팸 혹은 이외 악의적 활동의 소스일 것인가를 나타내는 업계 인수로 IP 주소의 평가를 나누기 위해서 IP 주소 소유자가 식별될 수 있다(예를 들면, DNS 혹은 "whois" 탐색 동작을 수행함으로써). 미리 결정된 신뢰 수준을 달성하는 도메인들 혹은 IP 주소들은 그 자체로서 명확하게 확인될 수 있다. 일부 실시예들에서, 신뢰할 수 있는 것으로서 확인된 도메인들 혹은 IP 주소들은 신뢰 IP 주소 데이터베이스에 추가될 수 있다.

RTIN 데이터베이스(114)를 생성하기 위해서, 소스 평판 시스템(104)의 관리자는 예를 들면, 메시지들의 수와 특정 IP 주소로부터 보내진 스팸 메시지들 수의 비와 같은, 각종 데이터 소스들(102)에서 입수될 수 있는 정보의 여러 필드들의 조합을 질의 및 평가할 수 있다. 다음으로 한정되는 것은 아니라, 그 외 다른 조치들은 다음을 포함한다.

. 전달된 메시지 수

. 스팸으로 간주된 메시지 수

. 수령인 수

. 접속 시도 회수

. 접속 성공 회수

. 접속 실패 회수

. 400-클래스 에러 수

. 500-클래스 에러 수

. 바이트로 평균 메시지 크기

. 평균 접속 기간

. 바이러스 수

RTIN 엔진(108)은 어떤 소스 IP 주소들이 스팸 어택 정책들, 디렉토리 채취 어택 정책들, 바이러스 정책들, 혹은 서비스 거부 어택 정책들을 위반하는지 질의하여 데이터 소스들(102)의 일부 혹은 전부를 일소할 수 있으며, 혹은 RTIN 엔진(108)은 데이터 소스들(102) 내 데이터의 분석에 따라 자원 IP 주소들에 등급을 매기거나 유별할 수 있다.

RTIN 데이터베이스(114)는 특정 소스 IP 주소가 자신의 레코드들을 클리어하게 할 것이지만, 불량 레코드를 전개한 바와 동일한 레이트로 무결보증서를 반드시 수신할 필요는 없다. 예를 들면, 소스 IP 주소의 DHA 스코어를 감소시키기 위해서 10회의 "클린" 패스들을 취할 수도 있을 것이다. 이들 레이트들은 실험적 관찰들 혹은 설계 목적들에 따라 조정될 수 있고, 이들은 서로 다른 상황들, 예를 들면 이전 어택들의 심각성/레벨 혹은 IP 주소에 관한 그 외 알려진 정보 하에선 다를 수도 있을 것이다.

절차상으로, RTIN 엔진(108)은 고객들(106)로부터의 요청들에 기초하여, 콤마로 분리된 이름/값 쌍 리스트로 IP 주소 특정의 값들을 제공할 수 있다. 이것은 추가의 값들을 부가하고 이전의 시스템들과의 호환성의 큰 융통성을 제공한다.

앞서 언급한 바와 같이, 이를테면 업계 특정의 IP 주소 범위들의 숙지를 통해서, 부정 평판이 아닌 긍정 평판을 전개하는 것이 가능하다. 이에 따라, 어떤 소스 IP 주소들 - 예를 들면 IBM 혹은 3M 혹은 GM 소유의 서버들- 은 스팸 혹은 DHB 등이 아니라 정당한 이메일들을 보낼 것이라고 강하게 가정될 수도 있을 것이다. 이때 이러한 평가는 고객(106)으로부터 소스 평판 조회로 리턴될 수도 있을 긍정 평판 스코어를 포함할 수도 있을 것이다. 또한, 이를테면 의료, 법률 혹은 회계와 같은 보다 그래뉼라 업계특정의 정보를 제공함으로써 이들 업계들 중 하나에 속하는 IP 주소들이 이들 업계들 중 하나에 속하는 고객들에 대해 덜 차단되게 할 것이 가능할 수도 있다.

이를테면 콜러-ID 유형 시스템들 및 블랙 리스트들과 같은 이전에 구체화된 방식들에 비해 소스 평판 시스템(104)의 차별적 요소들은, RTIN 데이터베이스(1140)가 네트워크 수행에 근거한 시스템(104)에 의해 행해진 조치들에 기초한다는 것이다. 사람들이 스패머들을 로그 혹은 보고할 것을 요하지 않는다. 요약하여, 소스 평판 시스템(104)은 자시에 접촉하는 자가 누구인지 혹은 누가 등록하였는지에 개의치 않는다. 당사자가 부정한 것들을 행하고 있다면, 그 당사자는 부정한 것을 행하는 것으로서 확인될 것이며 RTIN 데이터베이스(114)에 의해 지시된 고객 시스템들(106)에 의해 필터링된 당사자가 발송한 이메일의 수행에 영향을 미칠 것이다. 콜러-ID는 사람들이 알게 된 서버들로부터 스팸을 발송하는 멈추게 하지 못할 것이며, 특정 이메일들에 대해 확인된 SMTP-정보에 연관된 것들 이외의 서버들로부터 보내진 이메일들만을 차단할 것이며, 따라서 콜러-ID는 스팸에 대한 완벽한 해결책이 되지 않을 것이다. 또한, 콜러-ID 방식들은 콜러-ID 평가가 메시지의 페이로드에의 액세스를 필요로 하기 때문에, 디렉토리 채취 어택들에 대해선 보호하지 못한다. 그러나, 발견적 기반 방식은 대부분의 경우, 스패머들에 의해 활성적으로 사용되는, 혹은 어떤 업계들 혹은 비즈니스 유형과 같은, 정당 발송인들에 의해 활성적으로 사용되는 것으로 판정된 소스 IP 주소들에의 이메일들의 연관에 의해서만 스패머들로부터 이메일들을 방해할 수 있다. 필터링에 대한 이러한 업계의 발견적 방식에 대한 폭넓은 논의에 대해서는, 본 개시에 양도되고 모든 목적들을 위해 전체가 참조로 여기 포함되는 "System and Method for Filtering Electronic Messages Using Business Heuristics" 명칭의 미국특허출원 10/832,407를 참조한다.

이에 따라 RTIN 데이터베이스에 유지된 정보의 유형들은 이를테면 IP 주소들 혹은 다수 블록들의 IP 주소들에 대해서 해당 주소가 스팸, 바이러스들, DHA들 혹은 그 외 악의적 활동들의 가능한 소스일 가능성을 나타내는 데이터와 같은 정보를 포함할 수 있다. 예를 들면, 일부 실시예들에서 RTIN 데이터베이스는 각 IP 주소에 대해서, 이를테면 스팸, 바이러스 혹은 DHA들과 같은 하나 이상의 카테고리들에 대한 스코어를 포함할 수 있고, 여기서 스코어는 각각의 카테고리에 연관된 활동에 해당 IP 주소가 얼마나 관여될 것인가에 대한 표시를 제공한다.

도 2는 RTIN 엔진(108)의 제1 실시예의 블록도이다. 제1 실시예에 따라, RTIN 엔진(108)은 하나 이상의 RTIN 서버들을 포함한다. 도시된 예에서, RTIN 엔진(108)은 1차 및 2차 RTIN 서버들(112a, 112b)(일괄하여 "112")를 포함한다. 서버들(112) 각각은 동일 정보를 처리 및 저장할 수 있다. 이에 따라, 고객들(106)에 제공되는 서비스는 서버들(112) 중 하나가 보수 혹은 다른 이유로 다운되었어도 중단되지 않을 수 있다. 따라서, 복수의 RTIN 서버들(112)을 사용함으로써 보다 강건 한 시스템(104)이 될 수 있다. 대안적 실시예들은 임의의 수의 RTIN 서버들(112)을 포함할 수 있다.

RTIN 서버들(112) 각각은 소스 IP 주소 평판 정보가 유지되는 RTIN 데이터베이스(114a, 114b)(일괄하여 "114")를 포함한다. RTIN 서버들(112)은 IP 주소 정보에 대해 데이터 소스들(102)에 주기적으로 질의라고, IP 주소의 소스 평판 프로파일에 대한 데이터를 전개하기 위해서 IP 주소 정보를 처리하고, 그에 따라 RTIN 데이터베이스(114)에 프로파일 데이터를 업데이트하도록 구성될 수 있다. 도 2에 도시한 것과 같은 하나 이상의 RTIN 서버(112)를 포함하는 실시예들에서, 서버들(112a, 112b) 각각은 동일 정보를 갖는 각각의 RTIN 데이터베이스(114a, 114b)를 포함할 수 있다.

RTIN 서버들(112)은 고객들(106)에 소스 IP 주소 평판 정보의 배포를 관리한다. 서버들(112)은 고객들(106)이 액세스할 수 있는데, 일부 실시예들에서는 이러한 액세스는 필요할 경우 제한되고 관리될 수 있다. 예를 들면, RTIN 서버들(112)은 소스 평판 시스템(100)에 가입한 고객들(106)만에 의해서 RTIN 데이터베이스들(114) 내 데이터에 보안 및 인증된 액세스를 허용하게 구성될 수 있다. 고객들(106)은 서버들(112)에 질의할 수 있고 RTIN 데이터베이스들(114)에 저장된 정보에 기초하여 응답을 수신할 수 있다.

RTIN 데이터베이스들(114)에 저장된 데이터는 고객들에 의해서 액세스되거나 다수의 서로 다른 방법들 중 한 방법으로 고객들에 제공될 수 있다. RTIN 데이터가 액세스될 수 있는 한 방법은 DNS형 룩업 알고리즘을 통한 것으로, 이에 의해서 고 객들(106)은 RTIN 제어기들(RTIN 서버들(112)에 연관된(도 3 참조))에 의해 취급되는 인증된 DNS형 조회들을 보낸다. 이들 DNS형 룩업들은 특정의 발송측 서버 IP 주소(SMTP 접속을 요청하고 있는 발송측 이메일 서버의)에 대해서, 이 발송측 서버가 불량 혹은 좋은 평판을 갖고 있는지를 알아내기 위해서 고객들(106)에 의해 보내질 수 있다.

RTIN 제어기들은 고객 구성 데이터베이스(110)에 저장된 고객 데이터를 참조할 수 있다. 이에 따라, 예를 들면, 고객(106a)은 발송측 서버 IP 주조에 대한 DNS형 조회를 시스템(104)에 보낼 수 있다. 이 조회는 RTIN 서버들(112) 중 하나에 의해 취급된다. RTIN 서버(112)는 고객 구성 데이터베이스(110) 내 구성정보에 따라 RTIN 데이터베이스(114)로부터 정보를 제공할 수 있다. 고객의 조회에 대한 응답은 특정 발송측 서버 IP 주소가 스팸, 혹은 디렉토리 채취 어택들, 혹은 서비스거절 어택들에 연관이 있을 것인가를 나타내는 스코어들을 RTIN 고객(106)에 제공하는 것을 포함할 수 있고, 혹은 긍정적인 측에서, 긍정적 스코어는 발송측 서버가 정당 이메일에 연관될 것임을 나타내는 특정 발송측 서버에 연관될 수 있다. 이들 룩업들은 가입자의 이메일 시스템들이 이메일 접속요청들을 수신하기 때문에, 실시간으로 행해질 수 있다.

도 3은 RTIN 엔진(108)의 제2 실시예의 블록도를 도시한 것이다. 제2 실시예는 RTIN 서버(112)에 의해 제1 실시예에서 수행되는 기능들이 제2 실시예에서는 RTIN 제어기(116a, 116b)(일괄하여 "116)과 RTIN 서버(118a, 118b(일괄하여 "118"))간에 분할되는 점에 제1 실시예와 다르다. 따라서, 제2 실시예에 따라, RTIN 엔진(108)은 하나 이상의 RTIN 제어기들(116) 및 하나 이상의 RTIN 서버들(118)을 포함한다. 제어기들(116) 및 서버들(118) 각각은 각각의 RTIN 데이터베이스들(114a, 114b, 114c, 114d)(일괄하여 "1114")를 유지한다. 제1 실시예에서처럼, 제어기들(116) 및 서버들(118)의 복수 쌍들의 사용은 보다 강경한 시스템(104)이 되게 한다.

RTIN 제어기(116)와 RTIN 서버(118)간의 듀티들의 분할은 다양할 수 있다. 예를 들면, RTIN 제어기(116)는 IP 주소 정보를 수집하기 위해서 데이터 소스들(102)을 질의하고, 소스 IP 주소 평판 데이터를 전개하기 위해서 IP 주소 정보를 처리하고, 제어기(116) 및 서버(18) 둘 다의 RTIN 데이터베이스들(114)을 업데이트하는 것을 행할 수 있다. RTIN 서버(118)는 고객들(106)로부터의 질의들을 취급하는 것을 포함하여, 그의 RTIN 데이터베이스(114)에 저장된 소스 IP 주소 평판 정보를 고객들(106)에의 배포를 관리하는 것을 행할 수 있다.

도 1로 가서, 소스 평판 시스템(104)은 임의의 수의 데이터 소스들(102)에 액세스할 수 있다. 블록도가 두 개의 데이터 소스들(102a, 102b)를 도시하고 있지만, 임의의 수의 소스들(102)이 본 발명의 범위 내에서 사용될 수도 있을 것임에 유의한다.

데이터 소스들(102)의 상세들 또한 다양할 수 있다. 일부 실시예들에서, 예를 들면, 이메일 트래픽을 모니터링하는 시스템이 데이터 소스(102)로서 사용될 수도 있을 것이다. 도 4는 이메일 트래픽 모니터 시스템(120)의 실시예의 블록도이다. 트래픽 모니터 시스템(120)은 실시간 이메일 트래픽 통계들을 생성한다. 트래 픽 모니터 시스템(120)은 유효 EMS 특허출원(위를 참조)에 기술된 활성 전자 메시지 관리 시스템의 구성요소들 및 프로세스들을 포함할 수 있다. 트래픽 감시 시스템(120)은 메시지 취급 프로세스(122)를 포함한다. 메시지 취급 프로세스(122)는 서버(124)와 같은 발송측 전자 메일 서버들로부터 수신측 메일 서버들, 이를테면 서버(126)에 입력 SMTP 접속시도들을 셋업 및 모니터링한다.

프로세스(122)는 트래픽 모니터(128)에 접속된다. 트래픽 모니터(128)는 프로세스(122)로부터 소스 및 목적지 데이터를 포함하여, 실시간 입력 SMTP 접속 데이터, 메시지 메타데이터, 및 메시지 배송 정보를 수집한다. 소스 및 목적지 데이터는 발송측 메일 서버(124)에 연관된 소스 데이터, 및 수신측 메일 서버(126)에 연관된 목적지 데이터를 포함할 수 있다. 트래픽 모니터(128)에 의해 유지되는 데이터의 구체적인 예들은 소스 IP 주소 및 목적지 데이터/정보의 각 조합에 대해서,

. 지난번에 소스에 의해 트래픽 모니터 시스템(120)에 행해진 접속회수

. 현재 열려 있는 소스로부터의 접속회수

. 지난번에 소스 대신 고객에 대해 트래픽 모니터 시스템(120)에 의해 행해진 접속회수

. 현재 열려있는 소스 대신 고객에 대해 트래픽 모니터 시스템(120)에 의해 행해진 접속회수

. 소스 대신 고객에 대해 트래픽 모니터 시스템(120)에 의해 행해진 실패한 접속시도 회수

. 소스에서 트래픽 모니터 시스템(120)으로의 접속들의 기간의 평균 및 표준 편차

. 소스대신 고객에 대해 트래픽 모니터 시스템(120)에 의해 행해진 접속기간의 평균 및 표준편차

. 소스에서 고객으로 모든 메시지들의 크기의 평균 및 표준편차

. 소스에서 고객에게로 메시지들의 수령수의 평균 및 표준편차

. 고객에게 소스에 의해 보내진 메시지 수(전체)

. 트래픽 모니터 시스템(120)이 스팸으로서 식별한 소스에 의해 소스에 의해 보내진 메시지수

. 트래픽 모니터 시스템(120)이 바이러스를 포함하는 것으로서 식별한 소스에 의해 소스에 의해 보내진 메시지수

. 트래픽 모니터 시스템(120)이 접속 관리 레코드에 기인하여 발송된 소스에 의해 소스에 의해 보내진 메시지수

. 접속 관리 레코드에 기인하여 블랙홀된 소스에 의해 고객에게 보내진 메시지수

. 접속 관리 레코드에 기인하여 고립된, 소스에 의해 고객에게 보내진 메시지수

. 트래픽 모니터 시스템(120)이 스풀한 소스에 의해 고객에게 보내진 메시지수

. 소스 및 고객을 수반한 접속에서 나타난 400-클래스 에러들의 수

. 소스 및 고객을 수반한 접속에서 나타난 500-클래스 에러들의 수.

이와 같이, 트래픽 모니터 시스템(120)은 시스템(120)을 통해 보내지는 발송측 서버들에 대한 소스 IP 주소들에 따라 실시간 통계들을 저장할 수 있다.

도 4가 트래픽 모니터들을 단일의 트래픽 모니터(128)로서 도시하고 있을지라도, 실제 구현은 그보다 적은 혹은 많은 트래픽 모니터들을 갖출 수 있다. 예를 들면, 가입자들의 지리 혹은 언어에 따라 트래픽 모니터들을 분할하는 것이 바람직할 수 있다.

일부 실시예들에서, 트래픽 모니터 시스템(120)은 모든 발송측 서버들 혹은 메시지 전송 에이전트들("MTA")에 관한 비교적 단기간 정보, 예를 들면 60초간 유지를 할 수 있다. 모든 이들 발송측 IP 주소들은 트래픽 모니터(128) 내 메모리 격자 내 저장되고, 이는 이들이 얼마나 많은 메시지들을 발송하였는지, 이들의 "500 에러들" 혹은 다른 유형들의 에러들을 얼마나 많이 발생시켰는지, 및 이들이 콘텐츠 스캐닝에 기초하여 얼마나 많은 스팸 메시지들을 발송하였는지 등, 이들 소스 IP 주소들에 관한 다수 개의 정보를 유지한다. 일부 실시예들에서, 언제든 트래픽 모니터 시스템(120)은 지만 60초 동안 일어난 것만을 알도록 구성될 수 있지만, 단일 접속이 60초보다 길게 열려있다면 트래픽 모니터 시스템(120)은 접속기간만큼 그 접속에 관한 데이터 누적을 계속할 수 있다.

데이터 소스(102)의 또 다른 예는 이메일을 모니터링하고 주어진 기간 동안 한 분량의 이메일에 기초하여 스팸의 소스들인 IP 주소들을 검출하는 시스템일 수 있다. 도 5는 이러한 시스템의 실시예의 블록도이다. 도 5에 도시한 시스템은 투-스트라이크 시스템(130)이다. 투-스트라이크 시스템(130)은 오 확정적 스팸 식별을 감소시키는 방법을 제공한다. 스팸으로서 잘못 확인된 이메일을 발송하는 IP 주소는 통상적으로 스팸으로서 확인되고 있는 많은 분량의 이메일을 발송하지 않을 것이다. 따라서, 투-스트라이크 시스템(130)이 주어진 IP 주소로부터 이메일을 스팸으로서 의심할 때, 의심가는 스팸 이메일이 그 IP 주소로부터 수신된 이후 경과한 시간량을 체크할 것이다. 규정된 시간량 혹은 그 이상이 경과하였다면, 투-스트라이크 시스템(130)은 이메일이 스팸이라고 의심할 작은 가능성이 있을 것으로 간주할 것이다. 그렇지 않고, 규정 시간량 미만이 경과하였다면, 시스템(130)은 의심되는 이메일이 스팸일 큰 가능성이 있을 것으로 간주하고 발송측 IP 주소를 유력한 스팸 소스로 확인한다.

투-스트라이크 시스템(130)은 도 4를 참조로 기술된 프로세스(122)와 같은 메시지 취급 프로세스(122)를 포함한다. 메시지 취급 프로세스(122)는 서버(134)와 같은 발송측 전자 메일 서버들로부터 서버(136)와 같은 수신측 메일 서버들로 입력 SMTP 접속 시도들을 셋업하고 모니터링하는 것과, 발송된 메시지들에 연관된 소스 및 목적지 데이터를 판정한다. 프로세스(122)는 투-스트라이크 엔진(132)에 접속된다. 투-스트라이크 엔진(132)은 메시지 취급 프로세서(122), 및 프로세스(122)가 얻는 데이터로 동작하게 구성된다. 엔진(132)은 또한, 입력 이메일이 스팸인지 여부를 검출하게 구성될 수 있다. 일부 대안적 실시예들에서, 이러한 판정은 프로세서(122)에 의해 행해질 수 있고, 이 검출은 엔진(132)에 제공될 수 있다. 일부 이러한 실시예들에서 투-스트라이크 엔진(132)은 스팸일 것으로 의심되는 어떤 표시를 이메일과 더불어 수신할 수 있다. 이외 다른 이러한 대안적 실시예들에서, 시스 템(130)은 스팸일 것으로 의심되는 이메일만을 수신하게 구성될 수 있고, 이 경우에는 이러한 취지의 어떠한 표시자가 필요하지 않을 것이다. 이러한 스팸 검출은 임의의 공지된 스팸 검출방법, 예를 들면 이메일 콘텐츠에 근거할 수 있다.

엔진(132)은 투-스트라이크 데이터베이스(138)에 접속된다. 엔진(132)은 스팸일 것으로 의심되는 이메일의 경우들에 관계된 정보를 저장하기 위한 데이터베이스(138)를 사용할 수 있다. 데이터베이스(138)는 IP 주소 정보, 예를 들면, 스팸의 소스들일 것으로 엔진(132)에 의해 판정된 IP 주소들을 저장한다. 이러한 정보는 RTIN 엔진(108)에서 사용할 수 있다.

도 6은 투-스트라이크 시스템(130)에 의해 수행되는 투-스트라이크 프로세스를 예시한 흐름도이다. 블록(140)에서, 해당 IP 주소로부터의 입력되는 이메일은 스팸일 높은 가능성을 갖는 것으로서, 예를 들면 메시지 취급 프로세스(122)에 의해 식별되었다. 블록(142)에서, 투-스트라이크엔진(132)은 해당 IP 주소에 대해 데이터베이스(138)에 질의한다. 의심가는 이메일이 해당 IP 주소로부터 이전에 수신된 적이 있다면, 데이터베이스(138)는 바로 전의 의심가는 이메일이 수신된 시간을 포함할 것이다. 투-스트라이크 엔진(132)은 바로 전 의심가는 이메일의 시간을 검색한다. 해당 IP 주소에 대해 어떠한 데이터도 존재하지 않는다면, 프로세스는 블록(148)로 스킵할 수 있는 것에 유의한다. 블록(144)에서, 엔진(132)은 현재의 의심가는 이메일과 이전의 의심가는 이메일간에 얼마나 많은 시간이 경과하였는지와 시간량이 미리 결정된 임계값 - 이력 정보에 따라 설정될 수 있음- 미만인지를 판정한다. 임계값의 일 예는 2시간일 수 있다. 임계 시간량이 경과하지 않았다면(블 록(144)에서 "예"), 이메일은 스팸인 것으로 간주되고 프로세스는 블록(146)으로 계속된다. 블록(146)에서, 이메일이 격리되거나 아니면 스팸으로서 취급된다. 또한, 스팸의 알려진 소스로서 스팸 이메일의 소스 IP 주소들을 식별하기 위해 데이터베이스(138)가 업데이트된다. 다음에, 블록(148)에서, 현 의심되는 이메일의 시간이 이 프로세스의 차후 반복들을 위해 바로 전 의심되는 이메일의 시간을 대치하도록 데이터베이스(138)가 업데이트된다. 블록(144)에서, 임계 시간량이 경과하였다면(블록(144)에서 "아니오"), 프로세스는 블록(146)을 스킵하고 블록(148)으로 간다.

데이터 소스(102)의 또 다른 예는 알려진 존재하지 않는 이메일 주소들 앞으로 된 수신된 이메일에 기초하여 스팸을 검출하는 시스템일 수 있다. 도 7은 이러한 시스템의 실시예의 블록도이다. 도 7에 도시한 시스템은 서든-데스 시스템(150)이다. 시스템(150)은 존재하지 않는 이메일 주소들 앞으로 된 이메일 메시지들의 경우들에 근거해서 스팸 소스들을 식별하는 방법을 제공한다. 존재하지 않는 이메일 주소들에 보내진 상당 분량들의 이메일들은 DHA의 징후일 수 있고, 따라서 소스 IP 주소는 DHA들 및 스팸 가능성의 소스의 소스로서 식별될 수 있다. 어떤 경우들에 있어서, 어떤 실제 사용자에도 속하지 않는 "시드" 이메일 주소들이 인터넷, "유스넷", 혹은 그 외 다른 곳에서 유포될 수 있다. 그러면 시스템(150)은 이들 "시드" 주소들 중 하나에 보내진 이메일을 검출하여 소스 IP 주소를 스팸 가능성의 소스로서 태그할 수 있다.

서든-데스 시스템(150)은 도 4 및 도 5를 참조로 기술된 프로세스(122)와 같 은 메시지 취급 프로세스(122)를 포함한다. 메시지 취급 프로세스(122)는 서버(154)와 같은 발송측 전자 메일 서버들로부터 서버(156)와 같은 수신측 메일 서버들로 입력 SMTP 접속 시도들을 셋업하고 모니터링하는 것과, 발송된 메시지들에 연관된 소스 및 목적지 데이터를 판정한다. 프로세스(122)는 서든-데스 엔진(152)에 접속된다. 서든-데스 엔진(152)은 메시지 취급 프로세서(122), 및 프로세스(122)가 얻는 데이터로 동작하게 구성된다. 엔진(152)은 또한, 입력 이메일의 주소가 존재하지 않은 주소 아니면 "시드" 주소인 것으로 여겨지는지를 검출하게 구성될 수 있다. 일부 대안적 실시예들에서, 이러한 판정은 프로세서(122)에 의해 행해질 수 있고, 이 검출은 엔진(152)에 제공될 수 있다. 일부 이러한 실시예들에서 서든-데스 엔진(152)은 존재하지 않은 혹은 "시드" 주소로 보내졌다는 어떤 표시를 이메일과 더불어 수신할 수 있다. 이외 다른 이러한 대안적 실시예들에서, 시스템(150)은 존재하지 않는 혹은 "시드" 주소들 앞으로 보내진 이메일만을 수신하게 구성될 수 있고, 이 경우에는 이러한 취지의 어떠한 표시자가 필요하지 않을 것이다.

엔진(152)은 서든-데스 데이터베이스(158)에 접속된다. 엔진(152)은 존재하지 않은 혹은 "시드" 주소들 앞으로 보내진 이메일의 경우들에 관계된 정보를 저장하기 위해 데이터베이스(158)를 사용할 수 있다. 데이터베이스(158)는 IP 주소 정보, 예를 들면 스팸 및/또는 DHA들 가능성의 소스들인 것으로 엔진(152)에 의해 판정된 IP 주소들을 저장한다. 이 정보는 RTIN 엔진(180)에서 이용할 수 있다.

도 8은 서든-데스 시스템(150)에 의해 수행된 서든-데스 프로세스를 예시한 흐름도이다. 블록(160)에서, 해당 IP 주소로부터 들어오는 이메일은 예를 들면 메시지 취급 프로세스(122)에 의해서, 존재하지 않은 이메일 주소에 보내진 것으로서 확인되었다. 어떤 경우들에 있어서, 이것은 해당 이메일이 수신측 메일 서버(156)로 하여금 클래스 500 에러를 발생하게 하였음을 의미하며, 이는 수신측 메일 서버(156)가 이메일 메시지의 주소들을 인식하지 못한 것을 의미한다. 이메일은 "시드" 주소 혹은 서든-데스 주소 패턴("SD 패턴")과 일치하는 주소를 갖는 것에 대해 플래그될 수도 있을 것이다. SD 패턴은 실세 메일박스가 아닐 메일박스(예를 들면, ptexql@)이다. 서든-데스 엔진(152)은 이러한 SD 패턴들의 리스트를 유지할 수 있다. 블록(162)에서, 서든-데스 엔진(152)은 배송 주소가 SD 패턴들 중 하나와 일치하는지를 판정한다. 그러하다면, 프로세스는 블록(164)로 계속된다. 그렇지 않다면, 블록(64)은 스킵된다. 블록(164)에서, 서든-데스 엔진(152)은 SD 패턴이 현존의 정당 이메일 주소에서 사용되는지를 검증한다. 예를 들면, 이메일이 "ptexql@xyz.com" 앞으로 발송되었다면, 메일박스 "ptexql"는 SD 패턴 "ptexql"과 일치할 것이다. 그러나, SD 패턴과 또한 일치하는 이메일 계정은 존재할 수도 있을 것이 가능하다. 따라서, 블록(164)에서, 서든-데스 엔진(152)은 메일박스 "ptexql@xyz.com"이 실제로 존재하는지를 판정하기 위해서 "xyz.com"에 대해 서버에 질의할 수 있다. 그러하다면, 서든-데스 프로세스는 종료될 수 있고 이메일은 통상대로 배송될 수 있다. 그렇지 않다면, 프로세스는 블록(166)으로 계속된다. 블록(162)에서, 수신인이 SD 패턴과 일치하지 않는다면, 프로세스는 블록(166)으로 계속됨에 유의한다.

블록(166)에서, 배송 어드레스가 거의 모호한지에 관하여 판정이 행해진다. 예를 들면, 이메일이 "ptexql@xyz.com" 앞으로 되어있고 정당 이메일 계정이 "prexql@xyz.com"에 대해 존재한다면, 두 주소들은 매우 유사하기 때문에, 배송 주소를 입력할 때 발송인이 오류를 범하기에 좋은 가능성이 있다. 이에 따라, 블록(166)은 배송 주소와 현존 주소들 중 어느 주소 간의 차이 수가 미리 결정된 차이(예를 들면, 문자들) 수보다, 예를 들면 2 혹은 3 이상의 차이들로 큰지를 판정하기 위해 배송 주소를 현존 주소들과 비교하는 것을 포함할 수 있다. 그렇지 않다면(블록(166)에서 "아니오"), 서든-데스 엔진(152)은 부정확하게 주소가 사용된 정당 이메일일 것으로 이메일을 취급한다. 그렇지 않다면, (블록(166)에서 "예"), 이메일은 스팸으로서 취급되고, 서든-데스 엔진(152)은 소스 IP 주소를 스팸 가능성의 주소로서 식별하기 위해 서든-데스 데이터베이스(158)를 업데이트한다.

다시 도 1을 참조하여, 데이터 소스들(102)의 또 다른 예들은 LP 주소 정보 데이터베이스(혹은 데이터베이스들)를 포함할 수 있다. 정보는 수신된 스팸 및 스팸을 발송한 IP 주소들에 관한 정보를 제공하는 고객들(106)에 의해 제공될 수 있다. 정보는 IP 주소들에 관한 시스템 관리자들에 의해서도 제공될 수 있다. IP 주소 정보 데이터베이스는 스팸 혹은 이외 다른 악의적 활동의 알려진 소스들인 IP 주소 리스트들과 같은 블록-리스트들을 포함할 수 있다. IP 주소 정보 데이터베이스는 예를 들면 IP 주소들이 이들의 신뢰성 정도에 따라 스코어가 매겨지는, 어느 정도 신뢰성이 있는 것으로서 "그레이-리스트"된 IP 주소들을 포함할 수 있다. IP 주소 정보 데이터베이스는 스팸 혹은 이외 악의적 활동의 소스들이 아닐 것으로 알 려진 신뢰된 IP 주소들의 리스트들을 포함할 수 있다.

신뢰된 IP 주소들은 스팸을 발송하지 않을 것으로 보일 도메인들의 식별을 수반하는 프로세스를 통해 식별될 수 있다. 이것은 예기되는 거동에 기초해서 신뢰 레벨들을 IP 주소들에 할당하는 것을 포함할 수 있고, 여기서 신뢰레벨들은 스팸이 발송될 것인가 아니면 발송되지 않을 것인가의 많은 가능성 정도들에 걸쳐 있다. 신뢰 레벨들은 무엇보다도, 비즈니스, 산업 혹은 그 외 추단법에 기초할 수 있다. IP 주소들은 어떤 산업들에 연관되는 것으로서 식별될 수 있고, 예를 들면, 한 블록의 IP 주소들은 재정적 혹은 합법적 시설, 혹은 임의의 수의 전반적으로 신뢰되는 실체들을 포괄하는 "포괄적 신뢰" 카테고리에 속하는 것으로서 식별될 수도 있을 것이다. 일부 실시예들에서, 카테고리는 어떤 신뢰레벨에 구속될 수 있으므로, 어떤 카테고리에 할당된 IP 주소들 혹은 도메인들에는 연관된 신뢰레벨이 자동으로 할당된다.

도 9로 가서, RTIN 데이터베이스(114)를 형성하는 프로세스의 실시예를 도시한 흐름도이다. 이 실시예에서, 데이터 소스들(120) 중 한 소스로서 트래픽 모니터 시스템(120)이 사용될 수 있다.

블록(170)부터 시작하여, 트래픽 모니터(128)는 실시간 트래픽 통계 업데이트들을 수신한다. 이어서, 블록(172)에 나타낸 바와 같이, 트래픽 모니터(128)는 소스 및 목적지 데이터를 포함하여, 실시간 들어오는 SMTP 접속 데이터, 메시지 메타데이터, 및 메시지 배송 정보를 수신한다. 소스 및 목적지 데이터는 발송측 메일 서버(124)에 연관된 소스 데이터, 및 수신측 메일 서버(126)에 연관된 목적지 데이터를 포함할 수 있다. 이에 따라, 트래픽 모니터(128)는 시스템(120)을 통해 보내지는 발송측 서버들의 소스 IP 주소들에 따라 실시간 통계들을 저장한다. 특정 구현에서, 트래픽 모니터(128)는 모든 발송측 서버들 혹은 MTA들에 관해 예를 들면 60초 동안의 비교적 단기 정보를 유지할 수 있다. 모든 이들 발송측 IP 주소들은 이를테면 이들 소스 IP 주소들이 얼마나 많은 메시지들을 발송하였는가, 이들이 얼마나 많은 "500 에러들" 혹은 이외 다른 유형의 에러들을 발생하였는가, 및 콘텐츠 스캐닝에 기초해서 이들이 얼마나 많은 스팸 메시지들을 보냈는가와 같은, 이들 소스 IP 주소들에 관한 다수 개의 정보를 유지하는 트래픽 모니터(128) 내 메모리 격자에 저장된다. 일부 실시예들에서, 언제든 트래픽 모니터(128)는 바로 전 60초간 발생한 것만을 알게 구성될 수 있는데, 그러나 단일 접속이 60초보다 길게 열려있다면, 트래픽 모니터(128)는 접속이 되어 있는 동안 그 접속에 관한 데이터를 계속하여 축적할 수 있다.

다음에, 도 9의 블록(174)에 나타낸 바와 같이, RTIN 엔진(108)은 데이터 소스들(102)를 질의한다. 본 실시예에서, 이것은 트래픽 모니터 시스템(120)에 질의하는 것과, 트래픽 모니터(128)에 저장된 데이터를 일소하는 것을 포함한다. 트래픽 모니터(128)의 일소는 주기적일 수 있는데, 예를 들면 60초보다 더 빈번하게, 이를테면 매 15초마다 행한다. 이상적으로는, 일소간 간격은 트래픽 모니터(128) 내 보전되는 시간량 미만이어야 한다.

RTIN 엔진(108)은 위에 기술한 바와 같은, 추가의 데이터 소스들(102)을 질의할 수 있다. 예를 들면, 일부 실시예들에서 RTIN 엔진(108)은 튜-스트라이크 데이터베이스(138), 서든-데스 데이터베이스(158), 및/또는 그 외 다른 위에 논한 데이터베이스들에 질의할 수 있다.

일단 데이터가 여러 데이터 소스들(102)로부터 수집되었으면, RTIN 엔진(108)은 도 9의 블록(176)에 나타낸 바와 같이 질의의 결과들을 처리할 수 있다. 트래픽 모니터 시스템(120)으로부터 수집된 데이터의 경우에, RTIN 엔진(108)은 트래픽 모니터(128) 내 데이터를 수집할 수 있고, 인터프리터 프로세스를 사용하여, 작용될 수 있는 메시지들의 트래픽 내 메시지들의 패턴들을 인식하기 위해서 그 데이터를 분석할 수 있다. 인터프리터 프로세스는 위에 언급된 유효 EMS 특허출원에 기술된 바와 같은 인터프리터 프로세스일 수 있다. 인터프리터 프로세스는 전자 메일 메시지들 혹은 메시지들을 발송하는 사용자의 거동에 연관된 패턴들을, 소스 및 목적지 데이터와 트래픽 모니터에 기입된 메타데이터를 분석함으로써 판정한다. 일부 실시예들에서, 인터프리터 프로세스는 추가 데이터 소스들(102)로부터 수신된 데이터를 고려할 수 있다.

한 방법으로서, 인터프리터 프로세스는 어택의 4개의 주 유형들로서, DHA, 스팸 어택, 바이러스 발발 및 메일 범브/서비스 거절 어택을 식별할 수 있는데, RTIN 데이터베이스(114)는 많은 다른 유형들의 정보 혹은 특정 IP 주소들에 관한 어택들을 식별하기 위해 유연하게 정의될 수 있다. 특정의 예로서, 소스 IP 주소가 이들 4개의 어택들 중 임의의 하나 이상에 연루된 것으로 검출된다면, 소스 IP 주소 및 식별된 특정 유형의 어택에 연관된 카운터가 1만큼 증가될 수 있다. 특정의 예로서, RTIN 엔진(108)이 한밤중에 트래픽 감시 시스템(120)을 통해 일소를 행하여 소스 IP 주소 "XYZ"이 DHA에 연루되어 있는 것으로 판정하였다면, RTIN 데이터베이스(114)에 그 연관된 "XYZ" 소스 IP 주소 엔트리에 그 카테고리에 단일 카운트가 추가될 수 있다. 이것은 이 소스 IP 주소에 대해 새로운 엔트리였다면, 이의 연관된 스코어는 DHA=1이다. 일소중 다음 번에, "XYZ" 소스가 여전히 어택 중에 있는 것으로 확인된다면, 이의 스코어는 DHA=2의 업데이트된 연관된 스코어가 된다. 이 프로세스는 최대값, 예를 들면 99까지 계속될 수 있다. 90 직접적 스위프에 있어 서, 소스 IP 주소 "XYZ"은 트래픽 모니터 분석에 근거해서 누군가를 어택하고 있다면, 카운터는 최대로서 정의될 수도 있을 90까지 증분될 것이다.

도 9의 블록(178)에 나타낸 바와 같이, 인터프리터 처리에 의한 데이터는 RTIN 데이터베이스(114)를 업데이트하는데 사용된다. 추가 데이터 소스들로부터 수신된 데이터의 특성에 따라, 해석적 처리의 필요없이 일부 데이터 소스들(102)로부터 수신된 데이터로 직접 RTIN 데이터베이스를 업데이트하는 것이 적합할 수도 있다. 예를 들면, 데이터 소스들(102) 중 하나가 정보를 제공한다면 IP 주소는 차단될 것이다.

RTIN 제어기들(116)이 RTIN 서버들(118)에 RTIN 데이터베이스 업데이트들을 행하는 옵션 블록(179)이 도시되었다. 이 옵션 블록은 도 3에 도시된 제2 실시예와 같은 실시예들에 사용될 것이다. 옵션 블록(179)은 도 2에 도시된 제1 실시예와 같은 다른 실시예들에선 필요하지 않을 것이다. 블록(179)가 실제적인 경우, RTIN 서버들(118)의 RTIN 데이터베이스들(114)이 RTIN 제어기들(116)의 RTIN 데이터베이스들(114)와 동기될 수 있도록 제공된다.

트래픽 모니터(128)가 단기간 동안에 데이터를 유지할 뿐인 반면에, RTIN 데이터베이스(114)는 훨씬 더 긴 시간 동안 IP 주소들에 관한 누적된 업데이트된 정보를 유지할 수 있는 것에 유의한다.

고객들(106)이 RTIN 데이터베이스들에 소스 평판 정보를 이용할 수 있는 다수의 방법들이 있다. 한 방법은 TCP 접속을 요청중에 있는 IP 주소들에 관해 고객 시스템들이 DNS형 조회들을 행하는 것이다. 이러한 DNS형 질의가 시스템(104)에 대 해 고객들(106)에 의해 수행될 수 있는 방법의 예를 도 10에 도시한 흐름도를 참조로 다음에 기술한다.

블록(180)에서 시작하여, 고객(106)은 소스 IP 주소로부터 TCP 접속 요청을 수신한다. 예를 들면, 소스 IP 주소는 이메일 메시지를 배송하기 위해서 고객(106)과의 SMTP 접속 수립을 시도하는 중일 수 있다. 고객 시스템(106)은 접속요청 수신을 알리기 전에 소스 평판 시스템(104)에 질의할 것이다. 일부 실시예들에서, 블록(182)에 도시된 바와 같이, 고객 시스템(106)은 유효키로 인증된 질의를 생성하기 위한 RTIN 클라이언트를 포함한다.

상업적 가입을 위해 제공된 소스 평판 시스템(104)에 있어서는 가입에 대해 지불한 자들에게만 RTIN 데이터베이스(114)가 액세스될 수 있는 것이 바람직하다. 따라서, 시스템(104)은 RTIN 데이터베이스에의 인증된 액세스를 제공할 수 있고, 이에 의해서 보안키가 RTIN 고객들(106)로부터 보내진 DNS형 룩업 명령 내 내장된다(한 방법에서). RTIN 룩업 명령의 포맷은 룩업될 IP 주소에 프리펜드된 해시된 보안 키에 있을 수 있다. 따라서, 예를 들면, 해시된 보안키는 "45492147"일 수도 있고, 룩업할 특정 IP 주소는 127.000.000.001일 수도 있다. 이 경우에 전체 명령 포맷은 "RTIN.45492147.127.000.000.001.RTIN.postinicorp.com"일 수도 있을 것이다. 따라서, 일반적인 방법은 룩업하고, IP 주소 앞에 MD4-해시된 보안키를 프리펜드하고, RTIN 엔진(108)에 대한 DNS형 조회를 행하기를 원하는 IP 혹은 "머신" 주소를 고객(106)이 취하는 것이다. RTIN 액세스 보안키들은 주기적으로 만료될 수 있으며, 이는 시스템의 보안성을 증대시킬 것이다. 한 방법으로서, 각 키는 새로운 키들이 매 30일마다 제공되어, 60일 기간동안 유효할 수도 있을 것이며, 이에 의해서 연속된 키들은 30일로 중첩될 것이다. 키들은 컴퓨터 독출가능 매체에 의한 배포에 의한 것 혹은 보안성 온라인 액세스 및 검증을 통한 것을 포함하여, 다수의 방법들 중 하나를 통해 제공될 수도 있을 것이다. 특정 가입자가 가입자에 의해 주기적으로 업데이트될 수 있는 2년 유효한 키들을 가질 수 있게 미리 복수 세트들의 키들이 제공될 수 있다.

다음에, 블록(186)에서, 일단 고객 시스템(106)이 소스 평판 시스템(104)에 액세스할 수 있게 되면, 고객 시스템(106)은 소스 IP 주소에 관한 정보에 대해 RTIN 엔진(108)에 질의한다. 이어서, RTIN 엔진(108)은 인증된 질의들이 이행되면 요청을 인증하고, 블록(190)에서, RTIN 엔진(108)은 소스 IP 주소에 관계된 정보에 대해 RTIN 데이터베이스(114)에 질의한다. 블록(192)에서 RTIN 데이터베이스(114)는 질의 결과들 -있다면-을 RTIN 엔진에 리턴한다. 이어서, 블록(194)에서 RTIN 엔진(108)은 질의 결과들을 고객(106)에 제공한다.

일부 실시예들에서, 블록(194)은 고객 구성 데이터베이스(110)에 저장된 고객 선호도들에 따라 질의 결과들을 처리하는 것을 포함할 수 있다. 예를 들면, 데이터베이스(110)에 저장된 고객 구성 파일은 신뢰된 혹은 알려진 불량 IP 주소들의 리스트들을 포함할 수 있다. 이 리스트는 RTIN 데이터베이스(114)로부터 수신된 정보를 수정하는데 사용될 수 있다. 예를 들면, RTIN 데이터베이스(114)가 소스 IP 주소가 스팸 가능성의 소스여서 차단되어야 한다는 정보를 포함하나 고객 구성은 IP 주소를 포함하는 한 블록의 IP 주소들은 결코 차단되지 말아야 한다는 정보를 포함한다면, 고객의 선호도들은 RTIN 엔진(108)이 소스 IP 주소가 차단되지 말아야 할 주소임을 보고할 수 있다.

마지막으로, 블록(196)에서, 고객(106)은 질의 결과들을 수신한다. 이때, 고객 시스템(106)은 질의 결과들 및 고객(106)에 국한된 정책들에 기초해서 소스 IP 주소로부터 접속요청에 응답할 수 있다.

위에 기술한 액세스 방법이 DNS형 방법으로서 기술되었더라도, 조회들은 표준 DNS 조회들이 아니다. DNS 조회들은, 예를 들면, 통상적으로, DNS 서버에 도메인명의 제출을 수반하고, 이것은 IP 주소를 리턴할 것이다. RTIN 데이터베이스에 액세스하는데 사용되는 조회들은, 반대로, IP 주소들 자신들이며, 리턴되는 정보는 발송측 이메일 서버로서 특정 IP 주소의 특징들에 관해 RTIN 데이터베이스에 알려진 정보이다.

고객(106)이 RTIN 데이터베이스(114) 내 소스 평판 정보를 이용할 수 있는 또 다른 방법은 시스템(104)이 고객 라우터들에 직접 정보를 제공하는 프로세스를 수반한다. RTIN 데이터가 고객 라우터들에 제공될 수 있는 방법에 대한 프로세스들을 도 11-13에 관련하여 기술한다. 이 프로세스는 이메일 패킷/라우터 레벨에서 적용하기 위해 사전에 확인된 기술들을 토대로 한다. 인터넷 및 회사 인트라넷들에서의 메시지 라우터들은 최상위 레벨 IP 주소로부터 인터넷에 내보내는 메시지가 자신의 의도된 목적지(들)로의 루트를 발견할 수 있게 수백만 라우터들을 통해 패킷 라우팅 경로들을 총괄적으로 알아내어, 어떤 라우터들을 통해 메시지 트래픽 처리 시드들 및 전파시간들에 맞추고, 또한 "다운"된 혹은 항시 사용불가한 라우터들에 맞추게 한다. 인터넷에서 패킷 라우팅 방법들에 대한 이러한 적응성은 회사, 교육, 고객 사용자들에게 전자 메시지들을 배송하는 신뢰성 있는 수단으로서 상당한 대중성을 인터넷에게 부여한 요인들 중 하나였다.

인터넷 라우터들에 대해 메시지 라우팅 경로들을 공유하는 표준 프로토콜들은 인터넷 커뮤니티가 표준들을 수립한 RFC(Request For Comment) 프로세스에 의해 개발되었다. 수년에 걸쳐 개발된 프로토콜들은 인터넷 초창기에 널리 사용되었던 EGP((Exterior Gateway Protocol), 바람직한 인터넷 트랜스포트 프로토콜로서 EGP를 점진적으로 대치하고 있는 BGP(Border Gateway Protocol)을 포함한다. 최근의 BGP는 BGP-4(Border Gateway Protocol 4)이며 RFC 1771에 기술되어 있다.

BGP를 이해하기 위해서, 인터넷을 일단의 자율적 시스템들로서 간주하는 것이 도움이 된다. 예를 들면, 인터넷의 일부가 도 11에 도시한 일 그룹의 자율적 시스템들(200-204)로서 도시될 수 있다. 각각의 자율적 시스템(200-204)은 경계 라우터들(206-210)을 사용하여 어떤 다른 자율적 시스템들(200-204)과 직접 통신할 수 있다. 또한, 각 자율적 시스템(200-204)은 직접 연결되지 않은 다른 자율적 시스템들(200-204)과 통신할 수 있다. 예를 들면, 자율적 시스템 (AS-A)(200)은 통로 서비스로서 자율적 시스템 (AS-C)(202)를 사용하여 자율적 시스템 (AS-E)(204)과 통신할 수 있다. 자율적 시스템 (AS-A)(200)은 통로 서비스들로서 자율적 시스템들 (AS-B)(201) 및 (AS-D)(203)을 사용하여 자율적 시스템 (AS-E)(204)와 통신할 수도 있을 것이다. 이에 따라, 자율적 시스템들 (AS-A)(200)와 (AS-E)(204)간에 통신을 할 수 있도록 라우터 RA(206)이 선택될 수 있을 복수의 경로들이 있다. 도 11은 예 를 들면 통로 서비스를 제공하고 있는 자율적 시스템의 내부 라우터들을 통해 통신이 자주 연결되는 것을 매우 단순화하여 도시한 것임에 유의한다.

라우터 RA(206)이 라우터 RE(210)과의 통신을 요청하기 위해서, 먼저 라우터 RE(210)에의 경로 혹은 경로들에 대해 알아야 한다. 라우터 RA(206)는 BGP를 사용하여 라우터들 RB(207) 및 RC(208)로부터 가능한 경로들을 알 수 있다. BGP는 네트워크 접근성 정보를 교환하기 위해서, 라우터들(206-210)과 같은 라우터들에 의해 사용되는 프로토콜이다. 따라서, 도 11에 도시한 예에서, 라우터 RC(208)은 AS-E(204)에의 가용 경로를 라우터 RA(206)에 알리기 위해서 BGP를 사용할 수 있고, 마찬가지로, 라우터 RB(206)은 AS-D(203)의 라우터 RD(209)에 의해 AS-E(204)에의 가용 경로를 RA(206)에 알리기 위해서 BGP를 사용할 수 있다(라우터 RD(209)이 AS-E(204)에의 경로를 라우터 RB(207)에 알렸다고 가정함). 라우팅 정보의 이러한 교환은 예를 들면 라우터 RA(206)이 라우터 RB(207)과 접속되었을 때 직접 네트워크 접속을 수립시 초기에 통상 일어난다. 라우터 RA(206)은 BGP 라우팅 테이블을 구축하기 위해서 라우터 RB(207)로부터 수신된 라우팅 정보를 사용할 것이다. 시간에 따라 BGP 라우팅 테이블은 라우터 RB(207)로부터(라우터 RC(208)과 같은 다른 라우터들로부터만이 아니라) 라우팅 업데이트들이 수신되었을 때 업데이트될 수 있다.

도 1로 가서, RTIN 엔진(108)은 고객 시스템들(106a, 106b)의 라우터들(107a, 107b)과 각각 통신하게 구성될 수 있다. 각 고객 시스템(106)이 단일 라우터(107)를 가진 것으로 도시되었으나, 고객(106)당 임의의 수의 라우터들(107)이 포함될 수 있다.

도 12는 고객 라우터(10)의 예의 블록도이다. 라우터(107)는 라우팅 테이블(212) 및 피어 테이블(214)을 포함한다. RTIN 엔진(108)은 BGP 프로토콜을 사용하여 통신하게 구성될 수 있다. 따라서, 일단 피어 테이블(214)이 피어마다 RTIN 엔진(108)을 포함하게 적합하게 구성되면, RTIN 엔진(108)은 라우팅 테이블(212)을 업데이트하도록 라우터(107)에 지시하고, RTIN 데이터베이스(114)에 저장된 정보에 따라 라우팅 테이블(212)에 저장할 라우팅 데이터를 제공할 수 있다.

이에 따라, RTIN 엔진(108)의 또 다른 특징은 어떤 IP 주소들이 각각의 고객 시스템들(106)과의 연결 수립을 효과적으로 차단하는 고객 라우터들(107)에의 접속 데이터를 제공할 수 있다. RTIN 엔진(108)은 데이터 소스들(102)에 질의하고 인터넷 트래픽의 전체적 양상을 형성한다. 일부 실시예들에서, RTIN 엔진(108)은 인터넷 트래픽 데이터로부터 수집된 정보를 구성 데이터베이스(110)에 저장된 고객 선호도들과에 비교하고, 이 비교에 근거해서, 각 고객의 시스템(106)에 대해 차단할 공격성 IP 주소들의 리스트들을 생성할 수 있다. 다른 실시예들에서, 차단 IP 주소 리스트 생성에 있어 미리 결정된 임계값들 혹은 판단점들이 사용될 수 있다. RTIN 엔진(108)은 다수의 개개의(혹은 다수 그룹들의) 공격성 IP 주소들에 대한 루트들의 어떤 구체적인 사항을 가진 라우터인 것으로 "표명"한다. RTIN 엔진(108)은 라우터들(107)에 업데이터 명령을 발행하고 BGP를 사용하여 공격성 EP 주소들에 대한 블랙홀 라우팅 정보를 라우터들(107)에 넘긴다. 라우터들(107)은 RTIN 엔진(108)으로부터 수신된 새로운 블랙홀 라우팅 정보에 따라 그들 각각의 라우팅 테이블들(212)을 업데이트한다.

RTIN 엔진(108)에 의해 발행된 블랙홀 라우팅 정보는 라우팅 테이블들(212)에 사전에 저장된 공격성 IP 주소들에 대한 기존 라우팅 정보를 블랙홀 루트로 대치한다. 블랙홀 루트는 공격성 IP 주소에 연관된 시스템 이외의 위치로의 루트이다. 일부 실시예들에서, 블랙홀 루트는 고객들(106)에 의해 제공되고 구성 데이터베이스(110)에 저장된 대안적 위치에의 루트일 수 있다.

정당한 루트를 블랙홀 루트로 대치하는 효과를 도 13을 참조하여 설명한다. 도 13에서, 루트(220)은 소스 시스템(222)에서 목적지 고객 시스템(106)에의 정당한 루트이다. 루트(220)는 임의의 수의 통과-서비스 시스템들(226)을 통한 라우팅을 포함할 수 있다.

TCP 접속이 소스 시스템(222)과 목적지 고객 시스템(106)간에 수립되게 하기 위해서, 두 시스템들(222, 106)간에 메시지들 혹은 패킷들의 교환이 행해져야 한다. 소스 시스템(222)은 목적지 시스템(106)의 IP 주소에 제1 패킷을 보냄으로써 목적지 시스템(106)과의 TCP 접속 수립 시도를 개시할 수 있다. 일단 이 제1 패킷이 보내졌으면, 소스 시스템(222)은 목적지 시스템(106)으로부터 수신확인을 기다린다. 초기 패킷은 루트(220)를 따라 전송되고 목적지 시스템(224)에 의해 수신된다. 이러한 초기 패킷을 수신하였을 때, 목적지 시스템(224)은 수신확인 패킷을 준비하여 발송한다. 목적지 시스템(106)의 라우터가 소스 시스템(222)에 다시 이어지는, 루트(220)와 동일할 수 있고 아닐 수도 있는 정당 루트에 대해 알고 있다고 가정하면, 수신확인이 보내지고 소스 시스템(222)에 의해 수신되고, 소스 시스템(222)과 목적지 시스템(106)간에 통신이 행해질 수 있다.

한편, RTIN 엔진(108)이 소스 시스템(222)을 공격성 시스템으로서 식별하였다고 가정한다. 일부 실시예들에서, 이것은 소스 시스템(222)이 목적지 시스템(106)에 의해 설정된 기준을 충족하는 어떤 거동 패턴들을 소스 시스템(222)이 나타냈었음을 의미할 수 있다. RTIN 엔진(108)이 소스 시스템(222)을 예를 들면 IP 주소 혹은 한 블록의 IP 주소들에 의해 식별한 후에, RTIN 엔진(108)은 소스 시스템(222)에의 정당 루트들이 블랙홀 루트(222)로 대치되도록 목적지 시스템(106)의 라우터 혹은 라우터들(107)에 이들의 라우팅 테이블들(212)을 업데이트할 것을 지시할 것이다. 이어서, 소스 시스템(222)이 목적지 시스템(106)과의 TCP 접속 수립을 시도할 때, 접속 시도는 실패할 것이다. 소스 시스템(222)은 목적지 시스템(106)의 IP 주소 앞으로 된 초기 패킷을 보낼 것이며 이 초기 패킷은 소스 시스템(152)에 정당 루트(150)를 통해 목적지 시스템(106)에 배송될 것이다. 응답으로, 목적지 시스템(106)은 수신확인 메시지를 준비하여 발행할 것이다. 그러나, 목적지 시스템(106)의 라우터들(107)이 알고 있는 소스 시스템(222)의 IP 주소에의 유일한 루트는 블랙홀 루트들이기 때문에, 수신확인 메시지는 소스 시스템(222)에 배송되지 않는다. 대신에, 수신확인 메시지는 블랙홀 주소(230)로 보내진다. 어떤 기간이 경과한 후에, 소스 시스템(222)에 의해 행해진 시도된 TCP 접속 "타임 아웃" 될 것이며, 소스 시스템(222)은 목적지 시스템(06)을 접속불가 혹은 도달불가로 간주할 것이다. 그럼으로써 소스 시스템(222)으로부터의 차후 통신이 방지된다.

위에 기술한 바와 같이 소스 평판 시스템과 조합하여 블랙홀 기술을 사용하여, 소스 평판 시스템은 이메일 징후의 객관적이고, 정확하고 즉각적인 식별을 제 공하며 라우터 레벨에서 공격성 시스템들과의 통신을 차단함으로써 이러한 징후가 나타나지 못하게 한다. 공격성 IP 주소들은, 통상적인 실시간 블랙리스트들(RBL)을 형성하고 자주 악용되는 부분적이고 비효과적인 수작업에 의한 보고 프로세스들에 의한 것이 아닌, 실시간으로 관찰되어 리스트된다. 소스 평판 시스템은 일단 공격자들이 이들의 메시지 발송 실행을 일소하면 리스트에서 공격자들을 자동으로 제거하는 점에서 또한 객관적이다. 최근에 많은 RBL들은 의심가는 이벤트 후에 IP 주소들을 리스트 상에 오랫동안 남겨둔다. 소스 평판 시스템을 사용한 해결책들은 단순 예/아니오 프로세스가 아니라, 확률적 스코어들에 기초하여 징후들을 없애어, 층상 분석 기술들을 사용하여 이메일을 수락할 것인지에 대해 파트너들이 판단할 수 있게 한다. 결국, 소스 평판 시스템은 정당 IP 주소들이 악의적인 것으로서 잘못 특징지워질 때인 오 확정이 거의 없게 될 것이다.

여기 논의된 개념들에 따라, 소스 평판 시스템은 스패머들이 내부 주소들에서 추측하여 어떤 경우에 "메일박스 없음"의 리턴 메시지가 수신되지 않았는지를 등록함으로써 기업의 전체 이메일 디렉토리 "채취"를 시도하는 디렉토리 채취 어택들에 대해 방어할 수 있게 한다. 소스 평판 시스템은 전체 타켓 시스템을 접속불가 혹은 "없음"으로 보이게 만듦으로써 이러한 어택을 무효하게 한다. 통상적으로 RBL들은 스팸 배송에 연루하고 있거나 스팸 배송을 위한 릴레이들 혹은 콘딧들로서 작용하는 IP 주소들만을 리스트하나, 소스 평판 시스템은 디렉토리 채취 어택들 및 이메일 기반 서비스 거절 어택들을 수행하고 있는 것들을 간파한다. 소스 평판 시스템은 디렉토리채취 어택들 및 스팸 어택들을 추적하여 소스 IP 주소에 의해 상관 시키고, 결과들은 놀라웠다. DHA들은 전형적인 이메일 서버의 들어오는 SMTP 트래픽 및 용량의 최대 40%를 점유할 수 있고, 통상적으로 스팸 활동의 선도적 표시자이다.

여기 개시된 원리에 따른 여러 실시예들이 위에 기술되었는데, 예에 의해서만 제공된 것이고 한정하는 것은 아님을 알 것이다. 따라서, 본 발명의 범위는 전술한 실시예들 어느 것에 의해서도 한정되는 것은 아니며, 청구항들 및 이 개시로부터 나오는 등가물에 따라서만 정의된다. 또한, 위에서 잇점들 및 특징들이 실시예들에서 제공되었는데, 이러한 청구항들의 적용을 위의 잇점들 중 어느 잇점 혹은 모든 잇점을 달성하는 프로세스들 및 구조들로 한정하는 것은 아니다.

또한, 여기 단락의 표제들은 37 CFR 1.77 하에 제시와의 일관성을 위해서, 아니면 구성의 단서를 제공하기 위해 제공된 것이다. 이들 표제들은 본 개시로부터 나올 수 있는 임의의 청구항들에 개시된 발명(들)을 제한하거나 특징짓는 것은 아니다. 구체적으로 그리고 예에 의해서, 표제들이 "기술분야"를 언급할지라도, 이러한 청구항들은 소의 기술분야를 기술하기 위해 이러한 표제 하에 선택된 언어에 의해 제한되지 않는다. 또한, "배경" 기술의 기재는 기술이 본 개시에서 임의의 발명(들)에 대한 종래 기술이다라는 승인으로서 해석되지 않아야 한다. "간략한 요약"은 본 청구항들에 개시된 발명(들)의 특징으로서 또한 간주되지 않아야 한다. 또한, 본 개시에서 단일로 "발명"에의 어떠한 언급이든 이 개시에서 단일의 신규한 점만이 있다고 논하는데 사용되지 않아야 한다. 복수의 발명들이 이 개시로부터 나오는 복수의 청구항들의 한정에 따라 개시될 수 있고 따라서 이러한 청구항들은 발 명(들), 및 그럼으로써 보호되는 그들의 등가물들을 정의한다. 모든 경우들에 있어서, 이러한 청구항들의 범위는 이 개시로 보아 그들 자신의 특징들로 간주될 것이지만 여기 개시된 표제들에 의해서는 제약되지 않는다.

Claims

컴퓨터 네트워크에 걸쳐 전자 메시지들의 흐름을 필터링하기 위한 네트워크 트래픽 필터링 시스템에 있어서,

소스 IP 주소와 연관된 평판 데이터에 기초하여 소스 평판(reputation) 프로파일을 생성하도록 구성된 엔진; 및

상기 평판 데이터를 저장하기 위해 상기 엔진과 연관된 프로파일 데이터베이스를 포함하고,

상기 엔진은 또한 외부 시스템에 상기 소스 평판 프로파일을 제공하도록 구성되는, 네트워크 트래픽 필터링 시스템.
제 1 항에 있어서,

상기 엔진은 업데이트된 소스 평판 프로파일을 업데이트된 평판 데이터에 응답하여 생성하도록 구성되는, 네트워크 트래픽 필터링 시스템.
제 2 항에 있어서,

상기 업데이트된 평판 데이터는 실시간으로 제공되는, 네트워크 트래픽 필터링 시스템.
제 1 항에 있어서,

상기 소스 평판 프로파일은 적어도 한 항목의 평판 데이터를 갖는 리스트를 포함하는, 네트워크 트래픽 필터링 시스템.
제 1 항에 있어서,

상기 평판 데이터는 상기 소스 IP 주소로부터 보내진 스팸으로 간주된 메시지 수; 상기 소스 IP 주소로부터 보내진 메시지 수령인들의 수; 상기 소스 IP 주소로부터 접속 시도 회수; 상기 소스 IP 주소로부터 접속 성공 회수; 상기 소스 IP 주소로부터 접속 실패 회수; 상기 소스 IP 주소로부터 현재 열린 접속 수; 상기 소스 IP 주소에 의한 메시지 발송 시도들에 의해 야기되는 400-클래스 에러들의 수; 상기 소스 IP 주소에 의한 메시지 발송 시도들에 의해 야기되는 500-클래스 에러들의 수; 상기 소스 IP 주소로부터 발송된 바이트로의 평균 메시지 크기; 상기 소스 IP 주소로부터 평균 접속 기간; 상기 소스 IP 주소로부터 발송된 바이러스들의 수; 상기 소스 IP 주소로부터 배송된 메시지 수; 및 상기 소스 IP 주소로부터 발송된 메시지 전체 수로 구성된 그룹에서 선택된 적어도 하나를 포함하는, 네트워크 트래픽 필터링 시스템.
제 1 항에 있어서,

상기 소스 평판 프로파일은 상기 엔진에 의한 상기 평판 데이터의 평가를 포함하는, 네트워크 트래픽 필터링 시스템.
제 6 항에 있어서,

상기 평가는 상기 소스 IP 주소에 대한 평판 스코어를 생성하는 것을 포함하며, 상기 평판 스코어는 상기 소스 IP 주소로부터의 전자 메시지들이 요구되지 않을 가능성을 나타내는 것인, 네트워크 트래픽 필터링 시스템.
제 7 항에 있어서,

상기 엔진은 상기 소스 IP 주소에 연관된 새로운 평판 데이터에 기초하여 상기 평판 스코어를 변경하게 또한 구성된, 네트워크 트래픽 필터링 시스템.
제 1 항에 있어서,

상기 엔진은 네트워크 트래픽 감시 시스템, 투-스트라이크 시스템, 및 서든-데스 시스템으로 구성된 그룹에서 선택된 적어도 하나를 포함하는 데이터 소스로부터의 평판 데이터를 수신하게 구성된, 네트워크 트래픽 필터링 시스템.
제 1 항에 있어서,

상기 엔진은 고객 시스템을 포함하는 데이터 소스로부터 상기 평판 데이터를 수신하게 구성되며, 상기 평판 데이터는 블랙리스트들, 차단된 발송자 리스트들, 및 그레이-리스트들로 구성된 그룹에서 선택된 적어도 하나를 포함하는, 네트워크 트래픽 필터링 시스템.
제 1 항에 있어서,

상기 엔진은 비즈니스 기반 추단법 선택기술을 사용하여 선택된 승인된 발송자 IP 주소들을 포함하는 데이터 소스로부터 상기 평판 데이터를 수신하게 구성된, 네트워크 트래픽 필터링 시스템.
제 1 항에 있어서,

상기 엔진은 상기 외부 시스템으로부터 수신된 질의에 응하여 상기 외부 시스템에 상기 평판 프로파일을 제공하도록 구성되는, 네트워크 트래픽 필터링 시스템.
제 12 항에 있어서,

상기 질의는 상기 소스 IP 주소에 대응하는 DNS 질의를 포함하는, 네트워크 트래픽 필터링 시스템.
제 12 항에 있어서,

상기 엔진은 또한 상기 질의에 응답하기 전에 상기 외부 시스템을 인증하도록 구성되는, 네트워크 트래픽 필터링 시스템.
제 1 항에 있어서,

상기 엔진은 상기 소스 IP 주소로부터 전자 메시지들을 다른 수신자 앞으로 하기 위해서 상기 고객 시스템에 연관된 라우터의 네트워크 라우터 테이블에서 사용하기 위한 전자 메시지 경로 형태로 외부 시스템에 상기 평판 프로파일을 제공하는, 네트워크 트래픽 필터링 시스템.
제 1 항에 있어서,

상기 엔진은 평판 데이터에 대해 데이터 소스에 질의하고, 데이터 소스로부터 평판 데이터를 수신하고, 상기 소스 평판 프로파일을 전개하기 위해서 상기 수신된 평판 데이터를 평가하고, 프로파일 데이터베이스를 업데이트하고, 상기 소스 평판 프로파일 혹은 평판 데이터를 외부 시스템들에 배포하게 구성된 서버를 포함하는, 네트워크 트래픽 필터링 시스템.
제 16 항에 있어서,

상기 엔진은 상기 서버와 연관되고 상기 평판 데이터를 저장하게 구성된 평판 데이터 데이터베이스를 더 포함하는, 네트워크 트래픽 필터링 시스템.
제 1 항에 있어서,

상기 엔진은 서버 및 제어기를 포함하고, 상기 제어기는 평판 데이터에 대해 데이터 소스에 질의하고, 데이터 소스로부터 평판 데이터를 수신하고, 상기 소스 평판 프로파일을 전개하기 위해 상기 수신된 평판 데이터를 평가하고, 상기 프로파일 데이터베이스를 업데이트하게 구성되며, 상기 서버는 상기 소스 평판 프로파일 혹은 평판 데이터를 외부 시스템들에 배포하게 구성되는, 네트워크 트래픽 필터링 시스템.
제 1 항에 있어서,

상기 외부 시스템은 상기 필터링 시스템을 사용하기 위해 가입하는 고객 시스템인, 네트워크 트래픽 필터링 시스템.
컴퓨터 네트워크에 걸쳐 전자 메시지들의 흐름을 필터링하는 방법에 있어서,

소스 IP 주소와 연관된 평판 데이터를 수신하는 단계;

상기 평판 데이터를 저장하는 단계;

상기 평판 데이터에 기초하여 소스 평판 프로파일을 생성하는 단계; 및

외부 시스템에 상기 소스 평판 프로파일을 제공하는 단계를 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
제 20 항에 있어서,

업데이트된 평판 데이터의 수신에 응하여 상기 소스 평판 프로파일을 업데이트하는 단계를 더 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
제 21 항에 있어서,

상기 업데이트된 평판 데이터는 실시간으로 제공되는, 전자 메시지들의 흐름 을 필터링하는 방법.
제 20 항에 있어서,

상기 소스 평판 프로파일 제공 단계는 적어도 한 항목의 평판 데이터를 갖는 리스트를 제공하는 단계를 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
제 20 항에 있어서,

상기 평판 데이터는 상기 소스 IP 주소로부터 보내진 스팸으로 간주된 메시지 수; 상기 소스 IP 주소로부터 보내진 메시지 수령인들의 수; 상기 소스 IP 주소로부터 접속 시도 회수; 상기 소스 IP 주소로부터 접속 성공 회수; 상기 소스 IP 주소로부터 접속 실패 회수; 상기 소스 IP 주소로부터 현재 열린 접속 수; 상기 소스 IP 주소에 의한 메시지 발송 시도들에 의해 야기되는 400-클래스 에러들의 수; 상기 소스 IP 주소에 의한 메시지 발송 시도들에 의해 야기되는 500-클래스 에러들의 수; 상기 소스 IP 주소로부터 발송된 바이트로의 평균 메시지 크기; 상기 소스 IP 주소로부터 평균 접속 기간; 상기 소스 IP 주소로부터 발송된 바이러스들의 수; 상기 소스 IP 주소로부터 배송된 메시지 수; 및 상기 소스 IP 주소로부터 발송된 메시지 전체 수로 구성된 그룹에서 선택된 적어도 하나를 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
제 20 항에 있어서,

상기 소스 평판 프로파일은 상기 엔진에 의한 상기 평판 데이터의 평가를 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
제 25 항에 있어서,

상기 평가는 상기 소스 IP 주소에 대한 평판 스코어를 생성하는 것을 포함하며, 상기 평판 스코어는 상기 소스 IP 주소로부터의 전자 메시지들이 요구되지 않을 가능성을 나타내는 것인, 전자 메시지들의 흐름을 필터링하는 방법.
제 26 항에 있어서,

상기 엔진은 상기 소스 IP 주소에 연관된 새로운 평판 데이터에 기초하여 상기 평판 스코어를 변경하는 단계를 더 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
제 20 항에 있어서,

평판 데이터 수신 단계는 네트워크 트래픽 감시 시스템, 투-스트라이크 시스템, 및 서든-데스 시스템으로 구성된 그룹에서 선택된 적어도 하나를 포함하는 데이터 소스로부터의 평판 데이터를 수신하는 단계를 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
제 20 항에 있어서,

평판 데이터 수신 단계는 고객 시스템으로부터 평판 데이터를 수신하는 단계를 포함하고, 상기 평판 데이터는 블랙리스트들, 차단된 발송자 리스트들, 및 그레이-리스트들로 구성되는 그룹에서 선택된 적어도 하나를 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
제 20 항에 있어서,

평판 데이터 수신 단계는 비즈니스 기반 휴리스틱스(heuristics) 선택 기술을 사용하여 선택된 승인된 발송자 IP 주소들을 포함하는 평판 데이터를 수신하는 단계를 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
제 20 항에 있어서,

제공 단계는 상기 고객 시스템으로부터 수신된 질의에 응하여 고객 시스템에 상기 소스 평판 프로파일을 제공하는 단계를 더 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
제 31 항에 있어서,

상기 질의는 상기 소스 IP 주소에 대응하는 DNS 질의를 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
제 32 항에 있어서,

상기 방법은 상기 질의에 응답하기 전에 상기 외부 시스템을 인증하는 단계를 더 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
제 20 항에 있어서,

제공 단계는 상기 소스 IP 주소로부터 전자 메시지들을 다른 수신자 앞으로 하기 위해서 상기 고객 시스템에 연관된 라우터의 네트워크 라우터 테이블에서 사용하기 위한 전자 메시지 경로 형태로 고객 시스템에 상기 평판 프로파일을 제공하는 단계를 더 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
제 34 항에 있어서,

상기 전자 메시지들은 상기 네트워크 내 블랙홀로 보내지게 고쳐지는, 전자 메시지들의 흐름을 필터링하는 방법.
제 20 항에 있어서,

외부 시스템에 상기 평판 프로파일을 제공하는 단계는 상기 필터링 방법을 사용하기 위해 가입하는 고객 시스템에 상기 평판 프로파일을 제공하는 단계를 포함하는, 전자 메시지들의 흐름을 필터링하는 방법.
소스 IP 주소 평판 정보를 생성하는 방법에 있어서,

소스 IP 주소로부터, 스팸일 것으로 보이는 현 전자 메시지를 수신하는 단 계;

스팸일 것으로 의심되는 이전 전자 메시지가 상기 소스 IP 주소로부터 수신된 시간을 검색하기 위해서 데이터베이스에 질의하는 단계;

상기 현 전자 메시지의 수신과 상기 이전 전자 메시지가 수신된 시간 사이에 경과된 시간량을 계산하는 단계;

상기 경과된 시간량이 미리 결정된 임계값 미만인지를 판정하는 단계; 및

상기 경과된 시간량이 상기 미리 결정된 임계값 미만이면 상기 소스 IP 주소를 스팸 소스로서 식별하는 단계를 포함하는, 소스 IP 주소 평판 정보 생성 방법.
제 37 항에 있어서,

상기 소스 IP 주소에 관한 질의에 응답하여 고객 시스템에 상기 식별을 제공하는 단계를 더 포함하는, 소스 IP 주소 평판 정보 생성 방법.
제 37 항에 있어서,

스팸일 것으로 보이는 또 다른 전자 메시지의 수신과 스팸일 것으로 의심되는 이전 메시지 간 경과된 시간을 계산한 것에 기초하여 상기 소스 IP 주소를 스팸 소스가 아닌 것으로서 식별하고, 상기 경과된 시간량을 미리 결정된 임계값보다 큰 것으로 판정하는 단계를 더 포함하는, 소스 IP 주소 평판 정보 생성 방법.