RU2011152895A - Система поиска спама в реальном времени - Google Patents

Abstract

1. Способ управления отправлением незапрашиваемой электронной почты в систему электронной почты по сети, причем система включает в себя множество серверов входящей почты, содержащий этапы, на которых:(a) получают (330) сообщение электронной почты на транспортный агент входящей электронной почты;(b) определяют (338), подозревается ли сообщение электронной почты в том, что оно является незапрашиваемым подозрительным сообщением;(c) инициализируют (340) запрос для дополнительной информации по одной или более характеристик сообщения, возвращаемая запросом информация по характеристикам на основе сети;(d) получают ответ на, по меньшей мере, один из поисков на предмет физической характеристики;(e) определяют (342), является ли сообщение незапрашиваемой массовой рассылкой электронной почты на основе результата, по меньшей мере, одного поиска;(f) осуществляют действия (344, 346) над сообщением, основываясь на этапе определения.2. Способ по п.1, в котором этап (b) включает в себя определение того, является ли сообщение подозрительным на основе результатов предыдущего запроса.3. Способ по п.1, который дополнительно включает в себя сохранение (348) результатов каждого запроса для использования на этапе (b).4. Способ по п.1, в котором этап (e) включает в себя использование обновленных результатов поиска из множества параллельных поисков для выполнения этапа определения.5. Способ по п.1, в котором этап (b) включает в себя, по меньшей мере, одно из:определение (404) истинного IP источника для сообщения и того, связан ли этот IP с известными отправителями спама;определение (404, 422, 432) IP источника для сообщения и того, связан ли этот IP с блоком IP, связанных с извест�

Claims (15)

1. Способ управления отправлением незапрашиваемой электронной почты в систему электронной почты по сети, причем система включает в себя множество серверов входящей почты, содержащий этапы, на которых:

(a) получают (330) сообщение электронной почты на транспортный агент входящей электронной почты;

(b) определяют (338), подозревается ли сообщение электронной почты в том, что оно является незапрашиваемым подозрительным сообщением;

(c) инициализируют (340) запрос для дополнительной информации по одной или более характеристик сообщения, возвращаемая запросом информация по характеристикам на основе сети;

(d) получают ответ на, по меньшей мере, один из поисков на предмет физической характеристики;

(e) определяют (342), является ли сообщение незапрашиваемой массовой рассылкой электронной почты на основе результата, по меньшей мере, одного поиска;

(f) осуществляют действия (344, 346) над сообщением, основываясь на этапе определения.

2. Способ по п.1, в котором этап (b) включает в себя определение того, является ли сообщение подозрительным на основе результатов предыдущего запроса.

3. Способ по п.1, который дополнительно включает в себя сохранение (348) результатов каждого запроса для использования на этапе (b).

4. Способ по п.1, в котором этап (e) включает в себя использование обновленных результатов поиска из множества параллельных поисков для выполнения этапа определения.

5. Способ по п.1, в котором этап (b) включает в себя, по меньшей мере, одно из:

определение (404) истинного IP источника для сообщения и того, связан ли этот IP с известными отправителями спама;

определение (404, 422, 432) IP источника для сообщения и того, связан ли этот IP с блоком IP, связанных с известными отправителями спама;

определение (412) IP источника и того, имеет ли регистратор домена, связанный с IP источником, IP, связанные с известными отправителями спама;

определение (442) для имени домена, надежного сервера доменных имен и того, связан ли ANS с известным спамером;

определение MX записи, связанной с отправителем и того, связаны ли домены или IP-адреса в MX записи с известными отправителями спама;

определение (422) имени хост-системы, связанной с известным IP-адресом источника электроной почты и определение того, связаны ли IP сервера имен хост-системы с известными отправителями спама;

определение (442) сервера имен, связанного с отправляющим доменом и определение того, связан ли сервер имен с известными отправителями спама.

6. Способ по п.1, в котором этап инициализации включает в себя выполнение множества запросов (404, 412, 422, 432, 442, 452) по множественным характеристикам сообщения.

7. Способ по п.1, который включает в себя асинхронное выполнение множества запросов.

8. Способ по п.1, который дополнительно включает в себя получение ответа (410, 418, 428, 438, 448, 458) на один и множества запросов и определение того, является ли ответ определяющим то, является ли сообщение спамом до получения ответов на другие указанные запросы.

9. Способ по п.1, в котором этап (f) включает в себя один или более из этапов, на которых:

определяют (344) отклонить сообщение и не подают сообщения "сообщение принято к доставке";

определяют (344) отклонить сообщение посредством подачи ошибки SMTP уровня 500;

определяют (346) принять сообщение и маршрутизировать его в папку нежелательной почты,

определяют принять сообщение и автоматически удаляют сообщение; определяют принять сообщение и визуализировать сообщение иначе.

10. Способ для определения того, подавать ли сообщение "почта принята к доставке" для сообщения электронной почты, полученной по сети, содержащий этапы, на которых:

определяют (338) имеет ли сообщение характеристики спама;

подают (340, 404, 412, 422, 432, 442, 452) множество запросов одного или более компонентов сообщения для определения является ли спамом сообщение, использующее характеристики сетевой инфраструктуры совместно с ранее определенными сообщениями;

получают (405, 413, 423, 433, 443, 453) ответ на один или более из множества запросов;

определяют (406, 414, 424, 434, 444, 454) достаточно ли полученного ответа, чтобы определить является ли сообщение спамом или не спамом;

если полученный ответ достаточен для определения того, является ли сообщение спамом или не спамом, определяют (410, 418, 428, 438, 448, 458), на основании упомянутого ответа, является ли сообщение спамом или не спамом, и если нет, ожидают одного или более дополнительных ответов;

подают (346) или удерживают (344) сообщение "сообщение принято к доставке" на основе одного или более ответов, достаточных для определения того, является ли сообщение спамом или не спамом.

11. Способ по п.10, который дополнительно включает в себя сохранение (348) ответов на запросы для использования на каждом этапе определения, подача включает в себя определение того, является ли сообщение подозрительным на основе результатов предыдущего запроса.

12. Способ по п.11, в котором подача или удержание включает в себя использование обновленных результатов поиска из множества параллельных запросов для выполнения этапа определения.

13. Система обмена сообщениями, содержащая устройство обработки данных, включающее в себя код, предоставляющий инструкции для устройства обработки данных, чтобы реализовать этапы, на которых:

предоставляют управляющие соединения агента (215) передачи сообщений системе обмена сообщениями;

причем анализирующий агент (225) входящей электронной почты, включает в себя модуль извлечения компонента почты;

причем модуль (235) определения подозрительной электронной почты, включает в себя, который содержит код, выполняющий этапы, на которых:

определяют (334, 338) имеет ли сообщение характеристики спама; подают множество запросов (340) одного или более компонентов сообщения, чтобы определить разделяет ли сообщение характеристики с сообщениями, определенными ранее как спам или не спам, на основе характеристик сетевой инфраструктуры;

получают ответ на один или более из множества запросов;

подают (346, 344) или удерживают сообщение "сообщение принято к доставке" на основе одного или более ответов, достаточных для определения того, является ли сообщение спамом или не спамом.

14. Система по п.13, в которой модуль определения подозрительной электронной почты дополнительно включает в себя код, выполняющий этапы, на которых:

определяют достаточно ли полученного ответа, чтобы определить является ли сообщение спамом или не спамом;

если полученный ответ достаточен для определения того, является ли сообщение спамом или не спамом, определяют, на основе упомянутого ответа, является ли сообщение спамом или не спамом, и если нет, ожидают одного или более дополнительных ответов.

15. Система по п.13, в которой код, подающий множество запросов, включает в себя подачу запроса на, по меньшей мере, одно из:

определение (404) истинного IP источника для сообщения и того, связан ли этот IP с известными отправителями спама;

определение (404, 422, 432) IP источника для сообщения и того, связан ли этот IP с блоком IP, связанных с известными отправителями спама;

определение (412) IP источника и того, имеет ли регистратор домена, связанный с IP источником, IP, связанные с известными отправителями спама;

определение (442) для имени домена, надежного сервера доменных имен и того, связан ли ANS с известным спамером;

определение MX записи, связанной с отправителем и того, связаны ли домены или IP-адреса в MX записи с известными отправителями спама;

определение (422) имени хост-системы, связанной с известным IP-адресом источника электронной почты и определение того, связаны ли IP сервера имен хост-системы с известными отправителями спама;

определение (442) сервера имен, связанного с отправляющим доменом и определение того, связан ли сервер имен с известными отправителями спама.