REPORTE TÉCNICO COMPARACIÓN DE DETECCIÓN DE SPAM ENTRE FENIX Y GMAIL Ing. Fernando Javier Martínez Mendoza

Transcripción

1 REPORTE TÉCNICO COMPARACIÓN DE DETECCIÓN DE SPAM ENTRE FENIX Y GMAIL Ing. Fernando Javier Martínez Mendoza Resumen En este reporte se presentan los resultados de un experimento realizado con la finalidad de comparar directamente la eficiencia de los filtros de correo spam entre el servidor fénix del IFUNAM y los servicios de gmail de google. La comparación involucró el monitoreo de varias cuentas voluntarias de correo durante una semana y se concluye que la eficiencia global del filtro de fénix es comparable y algunas veces superior al de gmail, pese a la diferencia abismal de recursos y tecnología por ambos servicios. Antecedentes Qué es spam? Existen una gran variedad de definiciones para spam como: correo de electrónico no solicitado enviado en grandes cantidades, correo electrónico comercial no solicitado, correo fraudulento, cualquier correo electrónico con remitente falsificado, o un mensaje enviado a través de servidores de correo no protegidos 1. La definición de spam incluye todas las anteriores pero actualmente estamos observando que no solo son comerciales, también existen aquellos que buscan engañar a los usuarios, enviarles alguna opinión política o con algún tipo de mensaje religioso, entre otros. Tan difícil es llegar a una definición concreta como es identificar lo que es para cada uno de nosotros spam. Cómo se genera y llega a las cuentas? Las fuentes del correo spam son tan variadas que desafortunadamente hasta nuestros amigos y conocidos nos pueden estar mandando spam y lo que podemos hacer contra esto no es tarea fácil Existen empresas dedicadas a enviar correo spam, por unos dólares se puede contratar a una empresa que puede enviar millones de correos electrónicos en un par de horas vendiendo algún producto o invitándonos a tomar alguna posición política frente a un problema. Los spammers se valen de todo tipo de programas y engaños para poder entregar los correos. La legislación en México respecto a este tipo de conductas se encuentra muy atrasada y por el momento lo único que podemos hacer es tomar algunas acciones para mitigar la llegada de estos correos. Obtienen nuestros correos insertando virus o spyware en computadoras de usuarios descuidados o buscando algún indicio de nuestra existencia en internet. Los spammers tomarán direcciones de nuestros conocidos para que abramos sus correos, harán que parezca que viene desde un conocido o con información que podría ser de nuestro interés para obligarnos a leernos o incluso los spammers están secuestrando máquinas para enviar los correos, 1

2 de esta manera no sólo tienen un mayor poder de procesamiento para enviar los correos, si no que probablemente vendrá desde un dominio o una dirección IP conocida y confiable para nuestro servidor. Comparación entre fenix y gmail Las diferencias entre los presupuestos y equipo con que cuenta cada uno de los sistemas que vamos a comparar es abismal, google se ha colocado como una de las empresas más importantes en internet y tiene una de las plantas de desarrolladores más grandes en todo el mundo, sin dejar de lado los millones de dólares que invierten en estos sistemas. Equipo y presupuesto para atender fénix Fenix es el servidor de correo del Instituto de Física, después de los cambios efectuados este año contamos con dos servidores corriendo en paralelo para atender en promedio a 500 usuarios al día con un tráfico de alrededor de correos al día. La configuración de los servidores es la siguiente: Servidor de recepción y envio de correo electrónico Dos procesadores Dual-Core AMD Opteron(tm) Processor Ghz 2 GB en memoria RAM 2 Discos SATA de 80 GB 2 NIC 10/100/1000 Servidor de atención a usuarios Un procesador Intel(R) Xeon(TM) CPU 2.80GHz 2 GB en memoria RAM 3 discos SCSI 15 KRPM de 70 GB 1 NIC 100/1000 Estos servidores son administrados por una persona, además de atender a los usuarios y otros eventos que suelen requerir atención en el Instituto de Física. Presupuesto para google gmail es el servicio de correo electrónico gratuito de google que tiene una gran cantidad de servidores corriendo en paralelo. El número de máquinas que cuenta google y cuanto dedican a su servidor de correo es una incógnita, pero podemos dar algunos números que circulan por la red. Actualmente gmail ofrece una capacidad de almacenamiento de casi 9 GB por usuario. Esto es posible por la gran cantidad de equipos que tenia distribuidas en sus 25 sitios alrededor del mundo: Este es el último número oficial que se tiene de google y es de Junio del Podríamos calcular hoy que tendrán alrededor de un millón de computadoras para estos servicios?. 2 partner=rssnyt&emc=rss

3 Funcionamiento de los filtros antispam en fenix y gmail gmail utiliza un sistema por default para controlar el spam que llega a las cuentas de sus usuarios. Aunque su sistema es cerrado (al igual que su algoritmo de búsqueda y su sistema de archivos) y no se tiene mucha información sobre su funcionamiento, gmail separa todos los correos que califica como un spam en una carpeta que el usuario puede revisar en cualquier momento y que se almacenan ahí hasta por treinta días. Este sistema antispam es una de las principales características de gmail y por lo que decenas de millones de usuarios se han cambiado a este sistema. El servidor de correos del Instituto de Física ha empleado software libre por casi 7 años y ha resultado ser una excelente herramienta para este servicio. Fénix funciona con el sistema spamassassin para controlar el spam que llega a nuestras cuentas. spamassassin es un software libre que utiliza algunas pruebas para los correos como: comparación de frases en el cuerpo o encabezados de los correos comunes a los spams, contenido del correo, información del encabezado del correo, filtrado estadístico, listas negras de correo spam en servidores públicos y hechas en el sistema, caracteres de escritura, etc. Comparativo Protocolo experimental Se tuvieron seis usuarios voluntarios para redireccionar todo su correo electrónico a cuentas nuevas de gmail antes de ser separadas por nuestro sistema antispam. Estos usuarios revisaron todos los correos recibidos en las dos cuentas contestando las siguientes preguntas: Correo en el inbox (ham) Correo en el inbox que debio de ser marcado como spam (falso negativo) Correo en la carpeta spam (spam) Correo en la carpeta spam que no debio de ser separado (falso positivo) Correo marcado como High Score Spam (unicamente fenix) Resultados En total se analizaron 2390 correos de los seis usuarios. El número de correos separados por cada uno de los servidores es muy similar, fénix separó el 89% del correo de entrada identificándolo como spam y gmail el 86%. Esto se muestra en las siguientes gráficas:

4 Los usuarios analizaron cada uno de los correos y buscaron tanto en la carpeta de entrada como en la carpeta de spam los errores que cometieron los detectores, el análisis se distribuyo de la siguiente manera para cada uno de los servidores: En la siguiente gráfica se compraron cada uno de los resultados de los servidores y se graficaron linealmente para observar que la distribución entre la detección y los errores cometidos son tan similares que se aprecian casi como la misma línea: Los errores cometidos en la detección de spam como falsos positvos y falsos negativos se puede observar en la siguiente gráfica. Esta gráfica nos demuestra que fenix tiene menos errores para detectar correos spam, del total de correos analizados y depositados en la bandeja de entrada de los usuarios existió un error del 15.12% mientras que gmail tuvo un error del 23.51%.

5 Existe otro punto que observar en esta gráfica, mientras que gmail tuvo un error del 0.2% en la carpeta de spam de correos que envió erróneamente, fénix tuvo un error del 1.03%. Estos dos errores están relacionados ya que mientras mas estrictas son las reglas para detener los correos, también crece la posibilidad de equivocarse al calificar como spam correos válidos. Por último mostraremos una gráfica que explica la forma en que fénix ha calificado los correos detectados como spam. Fenix tiene dos calificaciones como spam y High Score Spam. El objetivo del High Score Spam es filtrar los correos que podemos tener el 99.9% de seguridad de que son spam y eliminarlos de las cuentas de los usuarios, con esto disminuimos considerablemente el número de correos que tienen que revisar los usuarios en busca de los errores. La gráfica muestra que el 27.18% de los correos de entrada deben de ser revisados por los usuarios en busca de los falsos positivos mientras que el 78.82% de los correos ni siquiera son enviados a los usuarios ya que existe una muy alta probabilidad de que sean spam. Conclusiones Las diferencias de usuarios y recursos tanto de procesamiento como económico entre el servidor de mail gratuito mas utilizado en el mundo y fénix es infinita, pero en esta comparación se puede

6 observar que el servicio de detección de correo spam es similar en efectividad y errores. Podemos afirmar que el servicio de filtrado de nuestro servidor de correos es excelente comparado con todo el poder de gmail. Como un servicio extra que da nuestro servidor a sus usuarios es el tratar de limpiar al máximo la cantidad de correos que tienen que revisar buscando erores ya que se elimina el 72.82% de los correos detectados como spam por tener una altísima probabilidad de serlo, de esta manera disminuimos el tiempo que tienen que pasar nuestros usuarios buscando algún error en las detecciones. Agradecimentos Agradezco la cooperación para recabar datos y el tiempo empleado para este fin a: Dr. Octavio Miramontes Vidal, Dr. Guillermo Ramírez Santiago, Sr. Alberto García Ramírez, Lic. Neptalí González Gómez y al Lic. Alejandro Juárez Robles.