DE60128227T2

DE60128227T2 - Verfahren und system zur e-mailverarbeitung

Info

Publication number: DE60128227T2
Application number: DE60128227T
Authority: DE
Inventors: Alexander MessageLabs Cirencester SHIPP
Original assignee: MessageLabs Ltd
Current assignee: MessageLabs Ltd
Priority date: 2000-07-07
Filing date: 2001-07-06
Publication date: 2008-01-10
Anticipated expiration: 2021-07-07
Also published as: WO2002005072A3; EP1299791A2; GB2367714A; GB0116578D0; PT1299791E; GB2367714B; DE60128227D1; AU2001270763A1; US7877807B2; US20040054498A1; EP1299791B1; GB2367714C; GB0016835D0; DK1299791T3; ATE361489T1; WO2002005072A2; ES2287140T3; CY1106782T1

Description

Die Erfindung betrifft ein Verfahren und ein System zum Verarbeiten von E-Mails, insbesondere zum Detektieren eines Virusausbruchs. Die Erfindung ist insbesondere, aber nicht ausschließlich, auf die Verarbeitung von E-Mails durch einen Internet-Dienstanbieter (Internet Service Provider-ISP) anwendbar.
Hintergrund der Erfindung
Es sollte bemerkt werden, dass einige Abhandlungen über bösartige Software den Begriff „Virus" in einem engen Sinn bezüglich Software verwenden, die bestimmte Eigenschaften hinsichtlich der Ausbreitung, möglicherweise auch der Vervielfältigung und der Auswirkung besitzt, die verschieden von anderen Formen wie „trojanischen Pferden", „Würmern", usw. sind. In dieser Beschreibung, einschließlich der angefügten Ansprüche wird der Begriff Virus jedoch in einem allgemeinen Sinn für irgendeine Software verwendet, die aufgrund böser Absicht (oder durch Zufall) unerwunschte Auswirkungen verursacht.
Herkömmliche Virenprüfer finden Viren, indem sie nach bekannten Muster in Dateien suchen, indem sie ein Dateisystem auf neue oder veränderte Dateien überprüfen oder indem verdächtige Programme in einer Sandkastenemulatorumgebung ausgeführt werden, um eine virenartige Aktivität zu detektieren.
Die zunehmende Verwendung von E-Mail sowohl im Internet als auch in privaten Netzwerken steigert die Exposition von einzelnen Endnutzern und Arbeitsprozessen gegenüber bösartigen Störungen. Kürzlich hat es E-Mail übertragene Virusausbrüche gegeben, die sich im Bereich von Stunden quer über die Welt ausgebreitet haben. Ein gewisser Grad an Schutz kann erreicht werden, indem die E-Mails und ihre Anhänge nach Viren abgesucht werden und dies wird offensichtlich am Besten in einer zentralisierten Weise, z. B. durch Internet-Dienstanbieter oder andere getan, die ein E-Mail-Gateway betreiben, eher als es Endnutzern zu überlassen, die die Ressourcen, die Kenntnis oder die Neigung, ihre eigenen Antivirus-Maßnahmen zu ergreifen, besitzen können oder nicht.
Doch gibt es sogar bei einem zentralisierten Absuchen noch ein Problem mit neuen Viren. Auch wenn man die Frage beiseite lässt, wie ein neuer Virus zuerst entdeckt wird, ob durch Maßnahmen, die ein Internet-Dienstanbieter oder ähnlicher ausführt, oder bei der Maschine eines Endnutzers, beanspruchen die notwendigen Schritte, um die Auswirkung des Ausbrechens zu lindem, Zeit, um durchgeführt zu werden, und zu der Zeit, zu der sie umgesetzt sind, können die schlimmsten Auswirkungen des Ausbruchs bereits überall auf der Welt eingetreten sein. Diese Schritte, welche alle Zeit beanspruchen und währenddessen der Ausbruch sich frei ausbreiten kann, umfassen typischerweise ein Identifizieren einer charakteristischen Zeichenfolge von Bits oder einer „Signatur", die den Virus identifiziert, verbreiten diese Information an Virus suchende Stellen und Programmieren der Absucher mit dieser Information.
Dies ist kürzlich besonders problematisch mit dem Typ von Virus geworden, der sich gewissermaßen selbst vervielfältigen kann, indem er Kopien der Mail erzeugt und versendet, die ihn enthält, indem er beispielsweise auf ein E-Mailadressbuch, (z. B. das, was für einen Endnutzer E-Mail-Client verfügbar ist) zugreift und dann auf der Maschine verfügbare Dienste verwendet, um eine Kopie der E-Mail und von sich selbst an irgendeine oder alle gefundenen Adressen zu senden. Diese Taktik kann sich zwischen Kontinenten innerhalb von Minuten ausbreiten und führt zu einer geometrischen „Explosion" der Anzahl von Instanzen von ihm (dem Virus).
Stand der Technik
US-A-5832208 (Chem): ist ein Beispiel für ein bekanntes Client-Server-System mit einer Vorrichtung auf dem Server, die E-Mailanhänge nach Viren vor einer Übermittlung durchsucht.
WO 93/2272 (MuliInform): betrifft einen Netzwerkwächter, der Netzwerkpakete wieder in Dateien zusammensetzt, die dann nach Viren abgesucht werden, indem eine Signatur basierte Technik verwendet wird.
WO 00/05650 und WO 00/05852 (Raytheon): betrifft ein „Informationssicherheitsanalysesystem" das unter anderem Mittel zum Protokollieren des E-Mailverkehrs und einer Einrichtung zum Überprüfen der Funktionalität von verdächtigem Code umfasst, um zu bestimmen, ob ein Computervirus vorhanden ist.
Aufgabe der Erfindung
Die Erfindung liegt die Aufgabe zugrunde, ein Verfahren und ein System zum Verarbeiten von E-Mail zu schaffen, die in der Lage sind, die Ausbreitung eines zuvor unbekannten Virus zu detektieren, der durch E-Mails übertragen wird, und somit die Auswirkung eines Ausbruchs solch eines Virus abzuschwächen.
Kurzfassung der Erfindung
Die Erfindung schafft ein automatisches Verfahren zum Verarbeiten von E-Mails, dadurch gekennzeichnet, dass, um die Ausbreitung von zuvor unbekannten Viren zu detektieren, das Verfahren eine Überwachung von E-Mailverkehr aufweist, der durch einen oder mehrere Knoten eines Netzes passiert, wobei diese Überwachung aufweist:

a) Protokollieren von Details über E-Mails in einen Datenbestand und
b) Suchen in dem Datenbestand nach Muster von E-Mailverkehr, die auf die Ausbreitung eines durch E-Mail übertragenen Virus hinweisen oder die Verbreitung andeuten, durch Anwenden eines vorgegebenen Satzes von Verdächtigkeits-Kriterien auf Attribute (z. B. eine Länge einer Nachricht, eine Anzahl von Anhängen, eine Absender-IP-Adresse, eine Verarbeitung von einem ersten Anhang) der E-Mails, wobei der Satz Kriterien einschließt, die sich auf eine Mehrzahl von einzelnen Teilen (z. B. eine Betreffzeile, Empfänger, einen Nachrichttext, einen Anhang) der E-Mails bezieht, und sobald ein solches Muster detektiert ist, Einleiten einer automatischen Abhilfemaßnahme, Warnen eines Betreibers oder beides.

Die Erfindung schafft ferner ein automatisches System, in einem oder für ein Computernetz, über das Benutzer einander E-Mails senden, zum Verarbeiten von E-Mails, um die Ausbreitung von zuvor unbekannten Viren zu detektieren, wobei das System aufweist:
Mittel zum Überwachen von E-Mailverkehr, der durch einen oder mehrere Knoten des Netzes passiert, wobei die Mittel aufweisen:

a) Mittel zum Protokollieren von Details über E-Mails in einen Datenbestand, und
b) Mittel zum Durchsuchen des Datenbestandes nach Muster von E-Mailverkehr, die auf die Verbreitung von einem durch E-Mail übertragenen Virus hinweisen oder die Verbreitung andeuten, durch Anwendung eines vorgegebenen Satzes von Verdächtigkeits-Kriterien auf Attribute (z. B. eine Länge einer Nachricht, eine Anzahl von Anhängen, eine Absender-IP-Adresse, eine Verarbeitung von erstem Anhang) der E-Mails, wobei der Satz Kriterien einschließt, die sich auf eine Mehrzahl von einzelnen Teilen (z. B. eine Betreffzeile, Empfänger, einen Nachrichttext) der E-Mails bezieht, und Mittel, die ausgestaltet sind, sobald solch ein Muster detektiert ist, eine automatische Abhilfemaßnahme einzuleiten, einen Betreiber zu warnen oder beides.

Eher als einzelne E-Mails zu überwachen, behandelt die Erfindung die verarbeiteten E-Mails als ein „Ensemble" und sucht nach Mustern in dem E-Mailverkehr, die charakteristisch für Viren sind, die über E-Mail verbreitet werden. Es wurde herausgefunden, dass solche charakteristischen Muster relativ einfach zu definieren und leicht zu identifizieren sind, sobald sie auftreten.
Um die Identifizierung der relevanten Muster des E-Mailverkehrs zu unterstützen, wird jede E-Mail bezüglich einer Anzahl von Kriterien analysiert die darauf hinweisen, dass die E-Mail einen Virus enthalten könnte. Jede E-Mail, die irgendeins dieser Kriterien erfüllt, wird dann in einem Datenbestand protokolliert. Die Untersuchung der kürzlichen Hinzufügungen zu diesem Datenbestand kann dann verwendet werden, um Verkehrsmuster zu identifizieren, die hinweisend oder andeutend für einen Virusausbruch sind.
Die Entscheidung, ob eine bestimmte E-Mail protokolliert wird oder nicht, kann auf der Basis gefällt werden, ob sie eines oder mehrere hinweisende Kriterien erfüllt, dass es für die E-Mail möglich ist, einen Virus zu enthalten. Mit anderen Worten können die gewählten Kriterien, um zu entscheiden, ob eine E-Mail protokolliert wird, solche sein, die hinweisend dafür sind, dass es für die E-Mail möglich ist, einen Virus zu enthalten, unabhängig davon, ob sie es tatsächlich tut, auf der Basis, dass E-Mails, die unmöglich einen Virus enthalten können, nicht individuell protokolliert werden müssen. Die Erfindung schließt jedoch die Möglichkeit nicht aus, dass ein oder mehrere Kriterien zu bestimmen versuchen, ob die E-Mail tatsächlich einen Virus enthält, mittels irgendeines geeigneten Absuchens oder einer anderen analytischen Technik.
Es wird angenommen, ein Nutzer meldet, dass eine bestimmte E-Mail einen Virus als Anhang enthält, und diese ist eine von einer Anzahl von E-Mails, die kürzlich durch das System verarbeitet wurden. Der Datenbestand wird dann in sich Einträge besitzen, die Dinge wie den Absender und die Empfänger, den E-Mailbetreff, die Namen und Größen der Anhänge speichern. Es ist automatisch möglich (d.h. mit Software) die relevanten gespeicherten Attribute dieser Nachrichten zu identifizieren und sie als Basis zum Vornehmen korrigierender Handlungen bezüglich der nachfolgend verarbeiteten übereinstimmenden E-Mails zu verwenden. Es ist ferner möglich, die Empfänger der übereinstimmenden E-Mails zu benachrichtigen, die bereits verarbeitet worden sind, um eigene Abhilfe leistende Maßnahmen vorzunehmen, z.B. die E-Mail ungelesen und ungeöffnet zu löschen, wenn man annimmt, dass das System die Empfängernamen als Klartext abspeichert.
Beschreibung der Zeichnungen
Die Erfindung wird nachfolgend anhand eines nicht beschränkenden Beispiels mit Bezug auf beigefügte Zeichnungen näher erläutert. Hierbei zeigen:
1 den Vorgang des Sendens einer E-Mail über das Internet; und
2 ein Blockdiagramm einer Ausführungsform der Erfindung.
Dargestellte Ausführungsform
Bevor die dargestellte Ausführungsform der Erfindung beschrieben wird, wird ein typischer Vorgang des Sendens einer E-Mail über das Internet kurz mit Bezug auf 1 beschrieben. Dies dient nur einer Veranschaulichung; es gibt verschiedene Verfahren zum Übermitteln und Empfangen von E-Mail im Internet, einschließlich, jedoch nicht beschränkend auf, Endpunkt zu Endpunkt SMTP, IMAP4 und UCCP. Es gibt andere Möglichkeiten, um SMTP bis POP3 E-Mail auszuführen, einschließlich beispielsweise der Verwendung einer ISDN- oder Standleitungsverbindung anstelle einer Einwahlmodemverbindung.
Es wird angenommen, ein Nutzer 1A mit der E-Mailidentifikation „AAbsender" hat sein Konto bei „aQuelle.com" und möchte eine E-Mail an irgendeinen 1B mit einem Konto „aEmpfanger" bei „aZiel.com" senden und dass diese com-Domains von entsprechenden Internet-Dienstanbietern (ISPs-Intemet-Service-Providers) unterhalten werden. Jede der Domains besitzt einen Mailserver 2A, 26, die einen oder mehrere SMTP Server 3A, 3B für ausgehende Nachrichten und einen oder mehrere POP3 Server 4A, 4B für eingehende Nachrichten umfassen. Diese Domains bilden einen Teil des Internets, das zur Klarheit getrennt als 5 bezeichnet ist. Das Verfahren läuft wie folgt ab:

1. AAbsender bereitet die E-Mailnachricht vor, indem er eine E-Mailsoftware 1A, beispielsweise Microsoft Outlook Express, verwendet und sie an "aEmpfänger@aZiel.com" adressiert.
2. Indem eine Einwahl-Modem-Verbindung oder ähnliches verwendet wird, verbindet sich AAbsender's E-Mailclient 1A mit dem E-Mailserver 2A bei "mail.aQuelle.com".
3. AAbsender's E-Mailclient 1A führt eine Konversation mit dem SMTP-Server 3A durch, in dessen Verlauf er dem SMPT-Server 3A die Adressen des Absenders und des Empfängers mitteilt und ihm den Hauptteil (body) der Nachricht einschließlich irgendwelcher Anhänge schickt und somit die E-Mail 10 zu dem Server 3A überträgt.
4. Der SMPT-Server 3A parst das TO(AN)-Feld des E-Mailumschlags in a) den Empfänger und b) den Domainnamen des Empfängers. Für die hier vorliegenden Zwecke wird angenommen, dass die Internetdienstanbieter des Absenders und Empfängers verschieden sind, andernfalls könnte der SMTP-Server 3A einfach die E-Mail durch seine(n) zugehörige(n) POP3-Server 4A für eine nachfolgende Zustellung durchleiten.
5. Der SMPT-Server 3A lokalisiert den Internet-Domain-Name-Server und erhält die IP-Adresse des Mailservers der Zieldomain.
6. Der SMPT-Server 3A verbindet sich mit dem SMPT-Server 3B bei "aZiel.com" über SMPT und sendet die Absender- und Empfängeradressen und den Nachrichtenhauptteil (body) ähnlich zu Schritt 3.
7. Der SMPT-Server 3B erkennt, dass der Domainname ihn selbst bezeichnet und leitet die Nachricht an den POP3-Server 46 von "aZiel" weiter, der die Nachricht in "aEmpfängers" Briefkasten für die Abholung durch den E-Mailclient 1B des Empfängers legt.

Es gibt verschiedene Wege, in denen die E-Mails in bösartiger Auswirkung verwendet werden können, wobei die am weitesten bekannte ein Virus ist, das mit der E-Mail als Anhang reist. Typischerweise erlaubt der Empfänger, indem er den Anhang "öffnet", beispielsweise indem er ihn doppelt anklickt, dem Virus, der ein binärer ausführbarer Code oder Skriptcode sein kann, der für einen Interpreter geschrieben ist, der von dem E-Mailclient oder dem Betriebssystem beherbergt wird, ausgeführt zu werden. Weder das Problem der bösartigen Absicht noch die Lösung der vorliegenden Erfindung hierzu sind auf Viren dieses Typs beschränkt. Andere bösartige Attacken können beispielsweise ein Ausnutzen einer Schwäche des Übermittlungssystems (SMTP + POP3) oder des E-Mailclients umfassen, beispielsweise indem absichtlich ein E-Mailkopffeld in einer Weise formatiert wird, die bekannt ist, eine Fehlfunktion der Software zu versuchen, die diese verarbeitet.
2 zeigt in Blockform die Hauptuntersysteme einer Ausführungsform der vorliegenden Erfindung. Bei dem betrachteten Beispiel, d.h. der Verarbeitung einer E-Mail durch einen Internet-Dienstanbieter, sind die Untersysteme mittels Software implementiert, die auf dem(n) Computer(n) des Internet-Dienstanbieters ausgeführt wird. Diese Computer betreiben ein oder mehrere E-Mailgateways 20A...20N, die E-Mailnachrichten, wie beispielsweise 10, weiterreichen.
Die verschiedenen Untersysteme der Ausführungsform werden unten in größerem Detail beschrieben, umfassen jedoch kurz gefasst

– einen Nachrichtenzerleger/-analysierer 21, der E-Mails in ihre Bestandteile zerlegt und diese analysiert, um zu bewerten, ob sie Kandidaten für das Protokollieren sind;
– einen Protokollierer 22, der einen Datenbestandeintrag für jede Nachricht vorbereitet, die als ein Protokollierungskandidat von dem Zerleger/Analysierer 21 ausgewählt ist;
– einen Datenbestand 23, der die von dem Protokollierer 22 vorbereiteten Einträge speichert,
– einen Sucher 24, der neue Einträge in dem Datenbestand 23 absucht, indem er nach Zeichen für einen einen Virus übertragenden Verkehr sucht;
– einen Stopper 25, der die Signale des Suchers 24 signalisiert und optional ein Weiterreichen von E-Mails stoppt, die Kriterien des Zerlegers/Analysators 21 für ein Hinweisen auf eine Virusgefahr entsprechen.

Der Stopper 25 kann auf solche eine Weise implementiert sein, dass E-Mails, die von dem System verarbeitet werden und nicht als mit einem Virus infiziert betrachtet werden, einen benachrichtigenden Text eingefügt bekommen, z.B. an den Nachrichtentext angehängt erhalten, der sagt, dass die E-Mail von dem System abgesucht worden ist, so dass der Empfänger in der Lage sein wird zu sehen, dass dies stattgefunden hat.
Insgesamt arbeitet das System nach 2 nach folgenden Prinzipien:
Viren, die sich über E-Mails ausbreiten, können detektiert werden, indem Verkehrsmuster der E-Mails untersucht werden, die sie erzeugen.
Die dargestellte Ausführungsform wendet einen heuristischen Satz an, um E-Mailviren zu identifizieren. Das Folgende ist eine nicht erschöpfende Liste von Kriterien, mittels derer E-Mails bewertet werden können, um diese Heuristik umzusetzen. Andere Kriterien können zusätzlich oder stattdessen verwendet werden:
sie enthalten die gleichen oder ähnliche Betreffzeilen;
sie enthalten die gleichen oder ähnliche Hauptteiltexte;
sie enthalten den gleich benannten Anhang;
sie enthalten einen Anhang mit der gleichen Nachrichtenverarbeitung;
sie sind an viele Empfänger adressiert;
sie sind an Empfänger in alphabetischer oder umgekehrt alphabetischer Reihenfolge adressiert;
sie sind an eine bestimmte E-Mailadresse versandt worden und gehen dann vielfach von der gleichen E-Mailadresse und/oder ähnlichen E-Mailadressen aus;
sie enthalten dasselbe strukturelle Format;
sie enthalten dieselben strukturellen Eigenarten;
sie enthalten dieselben ungewöhnlichen Nachrichtenköpfe.
Die obigen Kriterien sollten selbsterklärend sein, außer vielleicht jene, die sich auf die "Nachrichtenverarbeitung" und "strukturellen Eigenarten" beziehen. Diese Ausdrücke werden unten erläutert.
Jedem der obigen Kriterien ist eine numerische Bewertung zugewiesen. Jede E-Mail, die durch das System passiert, wird durch den Zerleger/Analysator 21 analysiert und in einem Datenbestand 23 durch einen Protokollierer 22 protokolliert. Eine Suchroutine, die von dem Sucher 24 ausgeführt wird, analysiert kontinuierlich die neue Information, die in den Datenbestand gespeichert wird, um zu sehen, ob ähnliche Nachrichten gesendet werden. Falls es sie gibt, wird dann die "Verdächtigkeit" der E-Mail berechnet, indem ein Algorithmus verwendet wird, der berücksichtigt, wie ähnlich die Nachrichten sind und wie viele von ihnen kürzlich empfangen wurden. Sobald ein Grenzwert überschritten ist, werden alle Nachrichten, die mit diesen Kriterien übereinstimmen, als potentielle Viren von dem Stopper 25 gestoppt und ein Alarm ausgelöst.
Das System kann eine Nachrichtenverarbeitung erzeugen, zumindest für solche Nachrichten, die in dem Datenbestand protokolliert werden. Die Nachrichtenverarbeitungen stellen bequeme und effiziente Mittel zum Identifizieren von Nachrichten mit demselben Nachrichtentext und ein "Handle" zum Wiederfinden einer Sammlung von Protokolleinträgen dar, die denselben Nachrichtentext repräsentieren, der in einer Vielzahl von E-Mails versandt ist. Die Verarbeitung kann in dem Datenbestand zusätzlich zu oder anstelle der Nachrichtenliste gespeichert werden.
Eine Nachrichtenverarbeitung wird typischerweise erzeugt, indem ein Einrichtungshashalgorithmus (z.B. MD5 oder Message-Digest-5) auf eine Reihe von Zeichen (in dem vorliegenden Fall z.B. die Zeichen der Nachricht) angewandt wird. Die Vorteile des Verwendens einer Verarbeitung in dieser Anwendung sind:

– Sie sind typischerweise kleiner als die Originalnachricht und besitzen eine festgelegte Länge, so dass sie in einem Datenbestand einfach gespeichert werden können.
– Sie sind typischerweise Einrichtungsfunktionen, so dass die Originalnachricht nicht wieder hergestellt werden kann und somit eine Kundenvertraulichkeit erhalten wird.
– Eine kleine Änderung in der Nachricht führt zu einer komplett verschiedenen Verarbeitung.

Beispielsweise ist die MD5-Verarbeitung von "The rain in spain falls mainly on the plain" 6f7f4c35a219625efc5a9ebad8fa8527 und von "The rain in Spain falls mainly on the plain" b417b67704f2dd2b5a812f99ade30e00. Diese zwei Nachrichten unterscheiden sich nur in einem Bit (dem "s" in spain, da ein Großbuchstabe S sich in einem Bit von einem Kleinbuchstabe s in dem ASCII-Zeichensatz unterscheidet), die Verarbeitungen sind jedoch vollständig verschieden.
Einige Beispiele für Kriterien, mit denen die E-Mails bewertet werden können, werden nun angegeben:
Strukturelle Eigenarten: Die meisten E-Mails werden mit Hilfe von erprobten und getesteten Anwendungen erzeugt. Diese Anwendungen erzeugen eine E-Mail immer auf eine bestimmte Weise. Es ist häufig möglich zu identifizieren, welche Anwendung eine bestimmte E-Mail erzeugt hat, indem die E-Mailköpfe untersucht werden und auch das Format der unterschiedlichen Teile untersucht wird. Es ist dann möglich, E-Mails zu identifizieren, die Eigenarten enthalten, die entweder andeuten, dass die E-Mail versucht auszusehen, als ob sie von einem bekannten E-Mailprogramm erzeugt wurde, was sie jedoch nicht ist, oder dass sie von einem neuen und unbekannten Mailprogramm oder von einer Anwendung (die ein Virus oder Wurm sein könnte) erzeugt wurde. Alle sind verdächtig.
Beispiele:
Inkonsistente Großschreibung

from: alex@star.co.uk
To: alex@star.co.uk

Das from und To weisen eine unterschiedliche Großschreibung auf.
Nicht-Standard-Anordnung von Kopfelementen

Subject: Tower fault tolerance
Content-type: multipart/mixed; boundary="======_962609498==_"
Mime-Version: 1.0

Die Mime-Version Kopfzeile kommt normalerweise vor der Content-Type Kopfzeile.
Fehlende oder zusätzliche Kopfelemente

X-Mailer: QUALCOMM Windows Eudora Pro Version 3.0.5 (32)
Date: Mon, 03 Jul 2000 12:24:17 +0100

Eudora fügt normalerweise auch eine X-Sender-Kopfzeile ein.
Nachrichten-ID-Format

Massage-ID: <00270ibfe4elSb37dbdcOS9264010a@tomkins.int.star.co.uk>
X-Mailer: QUALCOMM Windows Eudora Pro Version 3.0.5 (32)

Die X-Mailer-Kopfzeile sagt aus, dass die Mail durch Eudora erzeugt ist, jedoch ist das Format der Message-ID eine Outlook-Message-ID, nicht eine Eudora-Message-ID.
Boundary-(Begrenzungs-)-Format

X-Mailer: Microsoft Outlook 8.5, Build 4.71.2173.0
Content-Type: multipart/mixes; boundary="======_962609498==_"

Die X-Mailer Kopfzeile sagt aus, dass die Mail durch Outlook erzeugt ist, jedoch ist das boundary-(Begrenzungs)-Format eine Eudora-boundary-(Begrenzung), nicht eine Outlook-boundary-(Begrenzung).
Zeilenumbrüche und andere Zwischenraumzusammenstellungen im Nachrichtenkopf

To: "Andrew Webley" <awebley@messagelabs.com>,
"Matt Cave" <MCave@messagelabs.com>,
"Alex at MessageLabs" ashipp@messagelabs.com
X-Mailer: QUALCOMM Windows Eudora Pro Version 3.0.5 (32)

Das E-Mailprogramm (Eudora) verwendet gewöhnlich einen einzelnen Zwischenraum und keine Tabulatoren für Fortsetzungszeilen.
Sie entstammt einer bestimmten IP-Adresse oder einem IP-Adressbereich
Die IP-Adresse des Urhebers ist selbstverständlich bekannt und kann daher verwendet werden, um zu bestimmen, ob sie dieses Kriterium erfüllt.
Sie enthält spezielle Konstrukte
Einige E-Mails verwenden HTML-Skript, um den Nachrichteninhalt zu verschlüsseln. Dies beabsichtigt, linguistische Analysatoren zu umgehen. Wenn die Mail in einem Mailclient, beispielsweise Outlook, betrachtet wird, wird der Text sofort entschlüsselt und angezeigt. Es wäre ungewöhnlich, für eine normale E-Mail dies zu tun.
Leerer Nachrichten-Sender-Umschlag
Eine E-Mail zeigt normalerweise den Urheber in dem Absendertextfeld an und Spam-Absender werden oft einen gefälschten Eintrag in das Feld fügen, um die Tatsache zu verschleiern, dass die E-Mail infiziert ist. Die Absendeidentität soll jedoch auch in dem Protokoll spezifiziert sein, indem sich SMTP-Prozesse untereinander bei dem Übertragen von E-Mails unterhalten, und dieses Kriterium betrifft die Abwesenheit der Absenderidentifikation in dem relevanten Protokollschlitz, nämlich dem Mail-From-Protokollschlitz.
Ungültige Nachrichten-Absender-E-Mail-Adresse
Dieser ist komplementär zu Eintrag 8 und umfasst eine Betrachtung sowohl des Absenderfelds der Nachricht als auch des Absender-Protokollschlitzes, ob sie ungültig sind. Die E-Mail kann von einer Domain kommen, die nicht existiert oder die nicht die normalen Regeln für Domains befolgt. Beispielsweise ist eine HotMail-Adresse "123@hotmail.com" ungültig, weil HotMail-Adressen nicht nur aus Zahlen bestehen dürfen.
Eine Anzahl von Feldern der E-Mail können auf ungültige Einträge hin untersucht werden, einschließlich "Sender", "From" und "Errors-to".
Nachrichten-Absender-Adresse, die nicht zu dem Mailserver passt, von dem die Mail gesendet ist.
Der lokale Mailserver weiß oder kann zumindest aus dem Protokoll die Adresse des Mail-Absenders entnehmen. So kann eine Bestimmung ausgeführt werden, ob diese mit der Absenderadresse in dem Mailtext übereinstimmt.
Bei einer tatsächlichen Implementierung des Systems nach 2 wird ein Netzwerk von E-Mail-Gateways 20 bevorzugt, so dass die E-Mail in einem benötigten Umfang verarbeitet werden kann. Je ausgedehnter dieses Netzwerk ist und je mehr E-Mails verarbeitet werden, desto größer sind die Chancen, in der Lage zu sein, neue Viren abzufangen, Symptome zu erkennen und weitere Vorkommen zu stoppen, bevor der Virus zu weit verbreitet ist. Die Verwendung einer Anzahl von E-Mail-Gateways ist jedoch kein unverzichtbarer Bestandteil des Systems; das System ist in der Lage, neu Viren zu erkennen und zu detektieren, sogar wenn nur ein E-Mail-Gateway verwendet wird und sogar wenn nur eine klein Anzahl von E-Mails durch ihn hindurch passiert.
Alle E-Mails werden durch den Analysierer/Zerleger 21 gereicht, in dem die E-Mail in ihre Bestandteile zerlegt wird. Aus Gründen der Verkehrsheuristik wird jeder Teil klassifiziert als:
E-Mailkopf/Mimeköpfe;
ein Bestandteil, der normalerweise als Teil der Nachricht betrachtet wird;
ein Bestandteil, der normalerweise als Anhang betrachtet wird.
Jeder Teil wird dann weiter analysiert, ob er möglicherweise potentielle Gefahren enthält.
E-Mailkopf/Mimeköpfe: Überlange Zeilen oder Zeilen mit einer ungewöhnlichen Syntax können verwendet werden, um bestimmte Browser zum Absturz zu bringen, indem entweder ein denial of service attack (Dienstverweigerungsangriff) oder ein Exploit verursacht wird, der eine Sicherheitslücke verursachen kann oder einen Virus verbreitet.
Ein Bestandteil, der normalerweise als Teil der Nachricht betrachtet wird: Dieser kann einen eingebetteten ausführbaren Code umfassen. Eine HTML-Nachricht kann beispielsweise Skriptcodes in verschiedenen Computersprachen enthalten oder sie kann Elemente enthalten (z.B. <frameset>- oder <object>-Marken), für die gezeigt worden ist, dass sie ausbeutbar sind.
Ein Bestandteil, der normalerweise als Anhang betrachtet wird: Diese können direkt ausführbar sein, wie z.B. eine EXE-Datei. Sie können einen eingebetteten ausführbaren Code enthalten, wie z.B. ein Microsoft Word Dokument, das ein Makro enthält. Sie können Archivdateien oder andere Behälterdateien umfassen, die ihrerseits andere gefährliche Bestandteile enthalten können. Beispielsweise kann eine ZIP-Datei eine ausführbare Datei enthalten.
Normalerweise müssen Anhänge, die irgendwelche ausführbaren Elemente enthalten, als potentielle Bedrohung angesehen werden. Das System ist jedoch in der Lage, in einen Modus umgeschaltet zu werden, in dem es alle Anhänge als potentielle Bedrohung ansieht. Dies ist zum Vorsorgen für zwei Möglichkeiten vorgesehen, wie:
Ein Dokument, beispielsweise ein .jpg-Bild, kann eine illegale Formatierung enthalten, die die Anwendung zum Absturz bringt, die verwendet wird, um den Anhang zu betrachten. Dies kann entweder einen denial of service attack (einen Dienstverweigerungsangriff) oder einen Exploit verursachen, der eine Sicherheitslücke verursachen oder einen Virus verbreiten kann.
Der Hauptteil der Nachricht (body) kann Anweisungen enthalten, die, falls befolgt, den Anhang in eine gefährliche Form umwandeln, z. B. „benenne Bild.jpg in Bild.exe um".
Nach dem Analysieren jeder Komponente wird, falls irgendeine Komponente die Möglichkeit besitzt, eine potentielle Bedrohung zu enthalten, die Nachricht von dem Protokollierer 22 in den Datenbestand 23 protokolliert. Anderenfalls wird die Nachricht nicht protokolliert.
Der Protokollierer 22 ist so programmiert, dass das System Bestandteile von jeder Nachricht protokolliert, so dass ähnliche Nachrichten detektiert werden können. Das Folgende wird protokolliert:
Betreffzeile und Verarbeitung der Betreffzeile;
die ersten wenigen Zeichen des Textteils der E-Mail, eine Verarbeitung des ersten Textteils und eine Verarbeitung der ersten wenigen Zeichen;
Name des ersten Anhangs;
Verarbeitung des ersten Anhangs;
Anzahl der Empfänger;
ob die Empfänger sich in alphabetischer Reihenfolge oder in umgekehrter alphabetischer Reihenfolge befinden;
Zeit der Protokollierung;
Verarbeitung des Absenders;
Verarbeitung des ersten Empfängers;
strukturelle Formatindikatoren;
strukturelle Eigenartindikatoren;
ungewöhnliche Nachrichtenköpfe;
Zeit, zu der die E-Mail eintraf.
Die obige Liste ist nicht erschöpfend und die Erfindung ist nicht auf diese bestimmte Kombination von Informationseinheiten beschränkt.
Der Datenbestand 23 protokolliert Details über Nachrichten und gestattet die Abfrage von Details, um Muster von Duplikaten oder ähnlichen E-Mails zu finden.
Um eine Reaktionsschnelligkeit zu bieten, kann das Protokollieren ein einstufiger oder mehrstufiger Vorgang sein. Beispielsweise kann die Nachricht lokal in einem Datenbestand geografisch nahe zu dem E-Mailserver protokolliert und lokal analysiert werden. Dies ergibt eine schnelle Antwort auf lokale Verkehrsmuster. Die Protokolle können jedoch auch zu einem zentralen Datenbestand zurückkopiert werden, um eine globale Analyse auszuführen. Diese wird langsamer reagieren, jedoch wird sie in der Lage sein, eher auf globale als auf lokale Muster zu reagieren.
Alte Protokolleinträge werden automatisch aus dem Datenbestand 23 gelöscht, da sie nicht länger benötigt werden – das System ist ausgelegt, eine Frühwarnung für neue Viren zu tiefem.
Der Sucher 24 fragt die Datenbank periodisch ab und sucht nach ähnlichen neuen Nachrichten und erzeugt eine Bewertung, indem die Bestandteile analysiert werden. Abhängig von der Bewertung kann das System eine „eindeutige" Bedrohung oder eine „potentielle" Bedrohung identifizieren. Eine eindeutige Bedrohung bewirkt, dass eine Signatur zu dem Stopper zurückgesendet wird, so dass alle zukünftigen Nachrichten mit dieser Charakteristik gestoppt werden. Eine potentielle Bedrohung verursacht, dass ein Alarm an einen Betreiber gesandt wird, der dann entscheiden kann, die Bedrohung wie eine eindeutige Bedrohung zu behandeln, sie als falschen Alarm zu kennzeichnen, so dass keine zukünftigen Vorkommen berichtet werden, oder abzuwarten.
Der Sucher kann mit verschiedenen Parametern konfiguriert werden, so dass er empfindlicher ist, falls er Protokolle eines einzelnen E-Mail-Gateways durchsucht, und weniger empfindlich ist, falls ein Datenbestand einer weltweiten Information verarbeitet wird.
Jedem Kriterium kann eine unterschiedliche Bewertung zugeordnet werden.
Die Zeit zwischen den Suchen kann angepasst werden.
Die Zeitspanne, die jede Suche abdeckt, kann angepasst sein und mehrere Zeitspannen umfassen.
Ein Gesamtgrenzwert kann festgesetzt werden.
Der Stopper 25 nimmt Signaturen des Suchers 24. Die Signaturen identifizieren Charakteristika von E-Mails, die gestoppt werden müssen. Nach Empfang der Signatur werden alle zukünftigen übereinstimmenden E-Mails als Viren behandelt und gestoppt.
Offensichtlich kann die Stopphandlung eine Anzahl von Formen annehmen, einschließlich

– Entfernen der infizierten E-Mails, ohne sie an ihre adressierten Empfänger zu senden.
– Sie in einem temporären Speicher zu behalten und die Adressaten mittels einer E-Mail zu benachrichtigen, dass eine infizierte Nachricht abgefangen worden ist und für einen Zeitraum für ihre Rückgewinnung behalten wird, sollten sie dies wünschen, und anderenfalls gelöscht werden wird.
– Desinfizieren der E-Mail, indem die Virusbedrohung durch irgendwelche geeigneten Mittel entfernt wird; beispielsweise kann, falls der Virus ein ausführbarer Anhang ist, abgelöst oder entschärft werden, bevor die E-Mail an ihre Adressaten weitergeleitet wird. Die E-Mail kann durch die Aufnahme einer Textnachricht modifiziert werden, die erklärt, dass die E-Mail desinfiziert worden ist.

Wo ein Virus detektiert ist, kann ein automatisierter Mailserver 30 andere Stellen über die relevanten Charakteristika der infizierten E-Mails informieren, um entweder menschliche Betreiber zu alarmieren oder um Ausführungsformen der Erfindung an den entfernten Stellen mit den Charakteristika der E-Mail zu versorgen, die notwendig für ihre Stopper 25 sind, um sie zu stoppen.
Typischer Algorithmus
Es folgt ein möglicher Algorithmus, der von dem Sucher 24 in einer beschriebenen Ausführungsform der Erfindung implementiert werden kann.
Bezüglich der oben angegebenen E-Mail-Bewertungs-Kriterien des Beispiels wird es geschätzt werden, dass eine E-Mail unter Betrachtung eine Anzahl von Attributen besitzt, die als Datenwerte repräsentiert werden können, wobei die Datentypen von der Art des Attributs abhängen. Die Länge der Nachricht und die Anzahl der Anhänge sind beispielsweise ganze Zahlen (Integers), wohingegen die verschiedenen Text-Kopfzeilen (z. B. To (an), SendTo (gesendet an), Subject (Betreff)) Zeichenketten (character strings) sind, wie es auch die Verarbeitungen, beispielsweise die Nachrichtverarbeitung, sind. Im Folgenden werden E-Mails als gleich bezüglich eines gegebenen Kriteriums angesehen, falls die entsprechenden Attribute im Falle von ganzen Zahlen und Zeichenketten gleich sind. Im Falle von Zeichenketten kann, wo angemessen, Gleichheit durch einen Vergleich ohne Berücksichtigung von Groß- und Kleinschreibung bestimmt werden; ein Vergleich ohne Groß-/Kleinschreibungsberücksichtigung ist für Textfelder von E-Mails angemessen, jedoch nicht notwendigerweise für andere Zeichenketten. (Für den Fall, dass ein Attribut durch einen Fließkommawert repräsentiert ist, ist dem Fachmann bewusst, dass ein Vergleich auf der Basis durchgeführt werden sollte, ob der absolute Wert der Differenz größer als irgendein beliebiger Wert ist, der manchmal in technischer Literatur als „epsilon" bezeichnet ist, der größer als der Rundungsfehler ist).
Unten sind die Zahlen in Klammem Schrittnummern, um die ausgeführten Schritte zu identifizieren.
In regelmäßigen Intervallen (100):
Für jedes Kriterium A messen wir (110)
Für jedes Zeitintervall B Minuten messen wir (200)
Erhalte einen Auswahlsatz S von E-Mails über die letzten B Minuten, deren Wert gemäß eines ausgewählten Kriteriums A gleich ist (210). Teile den Auswahlsatz, falls er Werte enthält, die nicht derselbe Virus sein können (z. B., falls einige E-Mails in dem Satz HTML Skript umfassen und einige eine EXE (Datei), können diese nicht derselbe Virus sein und sollten als getrennte Sätze S pro Schritt 210 behandelt werden)
Für jeden Auswahlsatz S (300)
Setze für X = Zählung von Mails in dem Auswahlset (310)
Multipliziere X aus Schritt 310 mit einem Wichtigkeitsfaktor C für Kriterium A (320). Jedes Kriterium besitzt einen entsprechenden Wichtigkeitsfaktor, der von der Art des Kriteriums abhängt, da einige Kriterien, z. B. der Name eines Dateianhangs, signifikanter als andere hinsichtlich einer Bewertung der Wahrscheinlichkeit sein können, dass eine Virusbedrohung vorliegt; ähnliche Kommentare treffen auf andere unten erwähnte Faktoren zu)
Addiere zu X aus Schritt 320 einen zweiten Wichtigkeitsfaktor D für jedes andere Kriterium A2, bei dem A2 ebenfalls über den Auswahlsatz S gleich ist (330)
Addiere zu X aus Schritt 330 einen dritten Wichtigkeitsfaktor E für jedes andere Kriterium A3, bei dem A3 einen begrenzten Satz von verschiedenen Werten über den Auswahlsatz S aufweist (340). „Begrenzter Bereich" bedeutet > 1 und < R. Jedes Zeitintervall B besitzt ein entsprechendes R
Addiere zu X aus Schritt 340 einen Verbreitungsfaktor (P mal T), falls der Auswahlsatz Q E-Mails enthält, die in eine Domain eintreten und dann T Kopien die Domain verlassen (wobei T > Q) (350). Jedes Zeitintervall B besitzt ein unterschiedliches P und Q
Falls X aus Schritt 350 größer als ein Grenzwert V ist (jedes Zeitintervall B besitzt einen entsprechenden Grenzwert V), dann kennzeichne als Virus. (360)
sonst
Falls X aus Schritt 350 größer als ein Grenzwert O ist (jedes Zeitintervall B besitzt einen entsprechenden Grenzwert O), wobei O kleiner als V ist, dann kennzeichne als Betreiberunterstützung benötigend (370). Der Betreiber kann dann beurteilen, ob eine Virusbedrohung vorliegt oder nicht, und die Software anweisen, entsprechend vorzugehen.
Nächster Auswahlsatz (380)
Nächstes Intervall (210)
Nächstes Kriterium (120)
Man bemerke, dass drei „Wichtigkeits"-Faktoren C, D, E, der Verbreitungsfaktor und die Grenzwerte numerische Werte sind, die empirisch festgelegt werden können und die dynamisch angepasst werden können. Der Algorithmus kann ferner ausgeführt werden, indem einer oder mehrere verschiedene Werte für das Zeitintervall B verwendet werden, z. B. 5 Minuten, 30 Minuten und 180 Minuten.
Auf Deutsch: Wir suchen nach E-Mails mit ähnlichen Charakteristika, die in einem gegebenen Zeitraum eintreffen. Je mehr ähnliche E-Mails wir finden, desto argwöhnischer werden wir. Falls die E-Mails auch andere Charakteristika gemeinsam haben, macht uns dies sogar noch argwöhnischer.
Einige Dinge sind verdächtiger als andere – wir können z. B. wählen, eine höhere Bewertung zuzuordnen, falls wir E-Mails mit dem gleich benannten Anhang sehen, als wenn wir E-Mails mit der gleichen Betreffzeile sehen.
Falls wir E-Mails sehen, die an eine Domain gesandt werden und dann überschwemmend herauskommen, ist dies ebenso verdächtig.
Obwohl die Erfindung oben mit Bezug auf eine Anwendung auf Internet-E-Mail beschrieben worden ist, ist sie nicht auf solche E-Mail beschränkt; die Erfindung ist genauso auf andere private oder öffentliche, lokale (LAN) oder weitreichende (WAN) Netzwerke oder Kombinationen solcher Netzwerke miteinander und mit dem Internet als auch auf E-Mails über WAP (Wireless Access Protocol) und SMS (Simple Messaging Service) für Mobiltelefone und ähnliche Vorrichtungen anwendbar.

Claims

Automatisches Verfahren zum Verarbeiten von E-Mails, dadurch gekennzeichnet, dass, um die Ausbreitung von zuvor unbekannten Viren zu detektieren, das Verfahren eine Überwachung von E-Mailverkehr aufweist, der durch einen oder mehrere Knoten eines Netzes passiert, wobei diese Überwachung aufweist: c) Protokollieren (22) von Details über E-Mails in einen Datenbestand (23) und d) Suchen (24) in dem Datenbestand nach Muster von E-Mailverkehr, die auf die Ausbreitung eines durch E-Mail übertragenen Virus hinweisten oder die Verbreitung andeuten, durch Anwenden eines vorgegebenen Satzes von Verdächtigkeits-Kriterien auf Attribute, z. B. Länge einer Nachricht, Anzahl von Anhängen, Absender-IP-Adresse, Verarbeitung von erstem Anhang, der E-Mails, wobei der Satz Kriterien einschließt, die sich auf eine Mehrzahl von einzelnen Teilen, z. B. Betreffzeile, Empfänger, Nachrichttext, Anhang, der E-Mails bezieht, und sobald ein solches Muster detektiert ist, Einleiten (25) einer automatischen Abhilfemaßnahme, Warnen eines Betreibers oder beides.
Verfahren nach Anspruch 1, wobei in Schritt (b) verschiedene numerische Wichtigkeitsfaktoren auf verschiedene Verdächtigkeits-Kriterien angewendet werden.
Verfahren nach Anspruch 1 oder 2, wobei, beim Anwenden des vorgegebenen Satzes von Verdächtigkeits-Kriterien, ein Satz von E-Mails einer numerischen Bewertung zugeordnet wird, die entsprechend einer ausgewählten Kombination der Kriterien berechnet wird, und als viral gekennzeichnet wird, wenn die Bewertung einen vorgegebenen Grenzwert überschreitet.
Verfahren nach Anspruch 3, wobei, wenn die Bewertung den Grenzwert nicht überschreitet, aber einen zweiten, niedrigeren Grenzwert überschreitet, der Satz von E-Mails für die Beachtung eines Betreibers gekennzeichnet wird.
Verfahren nach einem der Ansprüche 1 bis 4, wobei das Protokollieren einer E-Mail ein Protokollieren einer Verarbeitung von dem Folgenden einschließt: des Nachrichtentextes; der Betreffzeile; der ersten wenigen Zeichen des Textteils der E-Mail; des ersten Textteils der E-Mail; des ersten Anhangs; des Absenders; oder des ersten Empfängers.
Verfahren nach einem der Ansprüche 1 bis 5, wobei eines der Kriterien ist, dass eine E-Mail inkonsistente Großschreibung aufweist.
Verfahren nach einem der Ansprüche 1 bis 6, wobei eines der Kriterien ist, dass eine E-Mail einen Zeilenumbruch hat oder andere Leerzeichen-Anordnung in Nachrichten-Köpfen hat, die mit dem angezeigten Erzeuger der E-Mail inkonsistent ist.
Verfahren nach einem der Ansprüche 1 bis 7, wobei eines der Kriterien ist, dass eine E-Mail eine Nicht-Standard-Anordnung von Kopfelementen hat.
Verfahren nach einem der Ansprüche 1 bis 8, wobei eines der Kriterien ist, dass eine E-Mail fehlende oder zusätzliche Kopfelemente hat.
Verfahren nach einem der Ansprüche 1 bis 9, wobei eines der Kriterien ist, dass eine E-Mail eine inkonsistente Nachrichten-ID-Information hat.
Verfahren nach einem der Ansprüche 1 bis 10, wobei eines der Kriterien ist, dass eine E-Mail ein Begrenzungsformat hat, das inkonsistent mit dem angezeigten Erzeuger der E-Mail ist.
Verfahren nach einem der Ansprüche 1 bis 11, wobei eines der Kriterien ist, dass der Nachrichtenteil einer E-Mail verschlüsselt ist, um eine linguistische Analyse zu vereiteln.
Verfahren nach einem der Ansprüche 1 bis 12, wobei eines der Kriterien ist, dass eine E-Mail einen leeren Nachrichten-Absender-Umschlag hat.
Verfahren nach einem der Ansprüche 1 bis 13, wobei eines der Kriterien ist, dass die E-Mail eine ungültige Nachrichten-Absender-Adresse hat.
Verfahren nach einem der Ansprüche 1 bis 14, wobei eines der Kriterien ist, dass eine E-Mail eine Nachrichten-Absender-Adresse hat, die nicht zu dem Nachrichten-Server passt, von dem sie gesendet wurde.
Verfahren nach einem der Ansprüche 1 bis 15, wobei eines der Kriterien ist, dass E-Mails an Empfänger in alphabetischer oder umgekehrter alphabetischer Reihenfolge adressiert sind.
Verfahren nach einem der Ansprüche 1 bis 16, wobei eines der Kriterien ist, dass E-Mails zu einer bestimmten E-Mailadresse gesendet werden und dann mehrfach von derselben E-Mailadresse und/oder ähnlichen E-Mailadressen austreten.
Verfahren nach einem der Ansprüche 6 bis 17, wobei eines der Kriterien ist, dass E-Mails dasselbe strukturelle Format enthalten.
Verfahren nach einem der Ansprüche 1 bis 18, wobei eines der Kriterien ist, dass E-Mails denselben unüblichen Kopf enthalten.
Verfahren nach einem der Ansprüche 1 bis 19, wobei eines der Kriterien ist, dass E-Mails dieselbe strukturelle Eigenart enthalten.
Verfahren nach einem der vorhergehenden Ansprüche, wobei eines der Kriterien ist, dass eine E-Mail von einer bestimmten IP-Adresse oder einer Adresse in einem Bereich von IP-Adressen stammen.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Details einer E-Mail nicht protokolliert werden, wenn eine Analyse der E-Mail bestimmt, dass es für die E-Mail nicht möglich ist, einen Virus zu enthalten.
Verfahren nach einem der vorhergehenden Ansprüche, wobei das Durchsuchen, prinzipiell oder ausschließlich, nur kürzlich hinzugefügte Datenbestand-Einträge untersucht, d. h. Einträge, die weniger als eine vorgegebene Zeit zuvor hinzugefügt worden sind.
Verfahren nach einem der vorhergehenden Ansprüche, wobei die Abhilfemaßnahme eines oder alles des Folgenden einschließt, in Bezug zu jeder E-Mail, die dem detektierten Muster entspricht: a) zumindest zeitweise Stoppen des Passierens der E-Mails b) Benachrichtigen des Absenders der E-Mail c) Benachrichtigen des beabsichtigten Empfängers/der beabsichtigten Empfänger der E-Mail d) Desinfizieren der E-Mail e) Erzeugen eines Signals, um einen menschlichen Betreiber zu warnen.
Verfahren nach einem vorhergehenden Ansprüche, das außerdem einschließt: Senden einer Nachricht, die verdächtige E-Mails identifiziert, an einen automatisierten E-Mail-Server.
Verfahren nach einem der vorhergehenden Ansprüche, das den Schritt eines Verarbeitens von infizierten E-Mails einschließt, um diese zu desinfizieren oder einen Virus darin zu entschärfen.
Verfahren nach einem der vorhergehenden Ansprüche, das den Schritt eines Einsetzens einer Nachricht, die anzeigt, dass die E-Mail verarbeitet worden ist, in E-Mails einschließt, die nicht als virusinfiziert betrachtet werden.
Automatisches System in oder für ein Computernetz, über das Benutzer einander E-Mails senden, zum Verarbeiten von E-Mails, um die Ausbreitung von zuvor unbekannten Viren zu detektieren, wobei das System aufweist: Mittel zum Überwachen von E-Mailverkehr, der durch einen oder mehrere Knoten des Netzes passiert, wobei die Mittel aufweisen: a) Mittel zum Protokollieren (22) von Details über E-Mails in einen Datenbestand (23), und b) Mittel zum Durchsuchen (24) des Datenbestandes nach Mustern von E-Mailverkehr, die auf die Verbreitung von einem durch E-Mail übertragenen Virus hinweisen oder die Verbreitung andeuten, durch Anwendung eines vorgegebenen Satzes von Verdächtigkeits-Kriterien auf Attribute z. B. Länge einer Nachricht, Anzahl von Anhängen, Absender-IP-Adresse, Verarbeitung von erstem Anhang, der E-Mails, wobei der Satz Kriterien einschließt, die sich auf eine Mehrzahl von einzelnen Teilen, z. B. Betreffzeile, Empfänger, Nachrichttext, der E-Mails bezieht, und Mittel, die ausgestaltet sind, sobald solch ein Muster detektiert ist, eine automatische Abhilfemaßnahme einzuleiten (25), einen Betreiber zu warnen oder beides.
System nach Anspruch 28, wobei beim Betreiben der Mittel (b) verschiedene numerische Wichtigkeitsfaktoren auf verschiedene Verdächtigkeits-Kriterien angewendet werden.
System nach Anspruch 28 oder 29, wobei beim Anwenden des vorgegebenen Satzes von Verdächtigkeits-Kriterien, ein Satz von E-Mails einer numerischen Bewertung zugeordnet wird, die entsprechend einer ausgewählten Kombination der Kriterien berechnet wird, und als viral gekennzeichnet wird, wenn die Bewertung einen vorgegebenen Grenzwert überschreitet.
System nach Anspruch 30, wobei, wenn die Bewertung den Grenzwert nicht überschreitet, aber einen zweiten, niedrigeren Grenzwert überschreitet, der Satz von E-Mails für die Beachtung eines Betreibers gekennzeichnet wird.
System nach einem der Ansprüche 28 bis 31, wobei das Protokollieren einer E-Mail ein Protokollieren einer Verarbeitung von dem Folgenden einschließt: des Nachrichtentextes; der Betreffzeile; der ersten wenigen Zeichen des Textteils der E-Mail; des ersten Textteils der E-Mail; des ersten Anhangs; des Absenders; oder des ersten Empfängers.
System nach einem der Ansprüche 28 bis 32, wobei eines der Kriterien ist, dass eine E-Mail inkonsistente Großschreibung aufweist.
System nach einem der Ansprüche 28 bis 33, wobei eines der Kriterien ist, dass eine E-Mail einen Zeilenumbruch hat oder andere Leerzeichen-Anordnung in Nachrichten-Köpfen hat, die mit dem angezeigten Erzeuger der E-Mail inkonsistent ist.
System nach einem der Ansprüche 28 bis 34, wobei eines der Kriterien ist, dass eine E-Mail eine Nicht-Standard-Anordnung von Kopfelementen hat.
System nach einem der Ansprüche 28 bis 35, wobei eines der Kriterien ist, dass eine E-Mail fehlende oder zusätzliche Kopfelemente hat.
System nach einem der Ansprüche 28 bis 36, wobei eines der Kriterien ist, dass eine E-Mail eine inkonsistente Nachrichten-ID-Information hat.
System nach einem der Ansprüche 28 bis 37, wobei eines der Kriterien ist, dass eine E-Mail ein Begrenzungsformat hat, das inkonsistent mit dem angezeigten Erzeuger der E-Mail ist.
System nach einem der Ansprüche 28 bis 38, wobei eines der Kriterien ist, dass der Nachrichtenteil einer E-Mail verschlüsselt ist, um eine linguistische Analyse zu vereiteln.
System nach einem der Ansprüche 28 bis 39, wobei eines der Kriterien ist, dass eine E-Mail einen leeren Nachrichten-Absender-Umschlag hat.
System nach einem der Ansprüche 28 bis 40, wobei eines der Kriterien ist, dass die E-Mail eine ungültige Nachrichten-Absender-Adresse hat.
System nach einem der Ansprüche 28 bis 41, wobei eines der Kriterien ist, dass eine E-Mail eine Nachrichten-Absender-Adresse hat, die nicht zu dem Nachrichten-Server passt, von dem sie gesendet wurde.
System nach einem der Ansprüche 28 bis 42, wobei eines der Kriterien ist, dass E-Mails an Empfänger in alphabetischer oder umgekehrter alphabetischer Reihenfolge adressiert sind.
System nach einem der Ansprüche 28 bis 43, wobei eines der Kriterien ist, dass E-Mails zu einer bestimmten E-Mailadresse gesendet werden und dann mehrfach von derselben E-Mailadresse und/oder ähnlichen E-Mailadressen austreten.
System nach einem der Ansprüche 33 bis 44, wobei eines der Kriterien ist, dass E-Mails dasselbe strukturelle Format enthalten.
System nach einem der Ansprüche 28 bis 45, wobei eines der Kriterien ist, dass E-Mails denselben unüblichen Kopf enthalten.
System nach einem der Ansprüche 28 bis 46, wobei eines der Kriterien ist, dass E-Mails dieselbe strukturelle Eigenart enthalten.
System nach einem der Ansprüche 28 bis 47, wobei eines der Kriterien ist, dass eine E-Mail von einer bestimmten IP-Adresse oder einer Adresse in einem Bereich von IP-Adressen stammen.
System nach einem der Ansprüche 28 bis 48, wobei im Betrieb der Mittel die Details einer E-Mail nicht protokolliert werden, wenn eine Analyse der E-Mail bestimmt, dass es für die E-Mail nicht möglich ist, einen Virus zu enthalten.
System nach einem der Ansprüche 28 bis 49, wobei im Betrieb das Durchsuchen, prinzipiell oder ausschließlich, nur kürzlich hinzugefügte Datenbestand-Einträge untersucht, d. h. Einträge, die weniger als eine vorgegebene Zeit zuvor hinzugefügt worden sind.
System nach einem der Ansprüche 28 bis 50, wobei die Einleitungsmittel ausgestaltet sind, so dass die Abhilfemaßnahme eines oder alles des Folgenden einschließt, in Bezug zu jeder E-Mail, die dem detektierten Muster entspricht: a) zumindest zeitweises Stoppen des Passierens der E-Mails b) Benachrichtigen des Absenders der E-Mail c) Benachrichtigen des beabsichtigten Empfängers/der beabsichtigten Empfänger der E-Mail d) Desinfizieren der E-Mail e) Erzeugen eines Signals, um einen menschlichen Betreiber zu warnen.
System nach einem der Ansprüche 28 bis 51, das Mittel einschließt zum Senden einer Nachricht, die verdächtige E-Mails identifiziert, an einen automatisierten E-Mail-Server.
System nach einem der Ansprüche 28 bis 52, das Mittel einschließt zum Verarbeiten infizierter E-Mails, um diese zu desinfizieren oder einen Virus darin zu entschärfen.
System nach einem der Ansprüche 28 bis 53, das Mittel zum Einsetzen einer Nachricht, die anzeigt, dass die E-Mail verarbeitet worden ist, in E-Mails einschließt, die nicht als virusinfiziert betrachtet werden.