Spam: de wedloop gaat door

Zenger en zijn collega Teun Vink kennen de risico’s van spam. "Zou ik er niets aan doen dan had ik op een gemiddelde dag wel een paar honderd spamberichten." Maar wat kan een gemiddeld bedrijf aan spam doen? Teun Vink: "Allereerst moet je kijken wat je ISP eraan doet. Als die spam al filtert, scheelt dat al heel veel werk voor de beheerder. Een goed filter haalt al snel 99 procent van de spamberichten eruit. Zo’n filter moet goed bijgehouden worden. Spammers kennen de producten en ontwikkelen steeds weer nieuwe technieken om de filters te omzeilen, waarop de filtermakers ook weer nieuwe technieken moeten ontwikkelen. Het is een wedloop." Een wedloop die je als beheerder van een middelgrote organisatie niet zelf kunt bijhouden. De technieken worden steeds harder, steeds agressiever. Spammers zetten heel massale middelen in - als van een miljard berichten een paar promille goed aankomt, heb je al een heel behoorlijk resultaat, redeneren zij. Daar komt nog bij dat spam versturen bijna niets kost. Voor relatief weinig geld kun je bovendien een Zombie-netwerk huren en lijsten van open proxy-servers krijgen. Vink: "Wij filteren aan de poort: machines die bijvoorbeeld 24 uur lang spam hebben verzonden gaan op de blacklist: die worden dus geblokkeerd. Een groeiend probleem daarbij vormen de Zombie-netwerken. Wij filteren ook op inhoud door middel van onder meer patroonherkenning. Maar spammailtjes worden steeds cryptischer. Er worden bijvoorbeeld bijbelteksten doorheen gemengd, woorden worden verbasterd. De mailtjes worden daardoor ook minder leesbaar." Daar ligt ook een beperking van spamfilters. Zenger: "Een mens ziet snel of iets spam is, maar het is moeilijk in regels te vatten: dus zo’n filter kijkt naar opmaak, verdachte servers, bepaalde woorden en dan maakt hij een optelsom van strafpunten waarmee bepaald wordt of iets spam is. Een filter kan wel getraind worden - als hij iets herkent dat al eerder is voorgekomen kan hij zo leren dat dat ook spam is." Neem je deze stappen dan haal je bijna alle spam eruit. Maar leg je de drempel voor spam nog hoger om er nog meer uit te filteren dan haal je er te veel uit: berichten die geen spam zijn komen dan ook niet meer door, wat veel ergernis oproept. Vink heeft daar een duidelijk standpunt over: "Je kunt beter een procent te veel door laten dan een procent te weinig. Dat irriteert gebruikers wel eens ja, maar die wedloop tussen filterproducenten en spammers blijft nu eenmaal doorgaan. Het is een lastig punt in beheer dat de lijsten en filters actueel moeten blijven. Daar moet je als beheerder bovenop blijven zitten. Dat kost veel tijd. Want bedenk wel dat alles wat een spammer open kàn maken uiteindelijk een keer open gaat." Vink en Zenger, beide werkzaam bij een ISP, lijken met hun advies te preken voor het gebruik van het spamfilter van de ISP. Maar hun redenering is logisch. "Het kost je anders in elk geval heel veel tijd. En de provider heeft vaak al de kennis en houdt die ook bij." Wie er toch voor kiest met andere filters aan de slag te gaan, moet met het volgende rekening houden. Vink: "Je hebt er heel veel werk aan. Bovendien moet je er ook flink voor investeren in hardware en software. De meeste mailpakketen zoals Outlook en Mozilla Thunderbird, hebben ook een spamfilter. Maar dat zijn erg naïeve filters. Of ze gebruiken dezelfde technieken die de ISP ook al gebruikt. Dat is dus niet voldoende. Er zijn veel applicaties voor beschikbaar, ook open source. Die zijn vaak erg goed. Dat zijn de kosten niet. Maar de implementatie en het bijhouden ervan! Een bedrijf met 10.000 gebruikers heeft echt een flinke stapel servers nodig om spam te filteren. Je bent ook een paar uur per week kwijt aan het updaten, analyseren van verdachte dingen en bijlezen op het vakgebied. Wat in de VS gebeurt, komt vanzelf na een tijdje in Nederland. Als je dat bijhoudt, kun je wel snel je filters op orde brengen. Daarnaast moet je je eigen netwerk netjes houden: dus geen open relays in de mailserver, zorg dat je niet in een Zombie-netwerk terecht komt met je Windows-servers, gebruik de virusscanners goed - dus altijd snel updaten. En ook heel belangrijk: vertel de gebruiker wat hij wel en niet moet doen want het domme openklikgedrag blijft. Staat er iets van I love you of secret admirer in een mail dan klikken heel veel mensen hem open." Beeld: Cliffhanger/Comic House