Огляд Dr.Web - антивірус і антиспам

1. резюме

Dr.Web став черговим відомим вітчизняним продуктом, який включив до складу свого основного набору модуль антіспамной захисту. Для цього захисту компанією "Доктор Веб" використовується версія антиспам-модуля на основі технології Vade Retro від французької компанії GOTO Software, співпраця з якою почалося з жовтня 2006 року. Взаємовигідна співпраця має на увазі використання антивірусних движків Dr.Web в продуктах компанії GOTO Software і використання антиспам-технології Vade Retro в продуктах Dr.Web. Ось так і з'явився Dr.Web for Windows (антивірус + антиспам).

Ось і вирішили ми перевірити, як буде працювати французький антиспам з нашим великим і могутнім. По ходу ми з'ясували, що компанія GOTO Software, розробник цієї технології, далеко не новачок в антиспамерського справі (більш ніж п'ятирічний досвід боротьби зі спамом) і мало не всі французи користуються рішеннями цієї компанії по антиспамової захисту, що гамма цих рішень широка і, головне, працює над всім цим команда професіоналів, яка моментально реагує на найсвіжіші хитрощі спамерів. Значить, фільтр постійно вдосконалюється і регулярно оновлюється в складі Dr.Web.

Налаштування викликаються з панелі завдань

Перші враження після інсталяції виявилися різко негативними. Відразу ж після запуску The Bat! система стала моторошно гальмувати, а при спробі щось зробити з поштою, наприклад перемістити повідомлення, індикатор завантаження центрального процесора просто зашкалювало, а розумна утиліта регулювання швидкості процесорного кулера давала команду на максимальні оберти, від чого закладало вуха.

Причина знайшлася досить швидко: не слід змінювати налаштування за замовчуванням. Не варто для Spider Guard встановлювати перевірку поштових файлів ( "Налаштування - Типи файлів - Формати"). Саме це і може привести до зациклення роботи системи, що і сталося в нашому випадку і цілком зрозуміло. Адже поштова база комп'ютера модулем Spider Guard сприймається як файловий контейнер, і логічно, що його перевірка перетворюється в серйозне навантаження для комп'ютера. Уявіть собі, скільки інформації може бути в поштовій базі - листи з вкладеннями, вкладеними архівами, картинками, фотографіями і так далі.

Але ось що потрібно зробити обов'язково, так це ввести певний текст як префікс, який буде додаватися до поля Subject листів, що містять спам. Введіть будь-зрозуміле вам слово, ну, скажімо, Spam, а в поштовому клієнті створіть спеціальну папку і правило для збору листів з цією міткою в цій папці. Ключові слова в Spider Mail Settings і в правилі поштового клієнта повинні, звісно ж, збігатися. Звертаємо вашу увагу на це тільки тому, що в описі налаштувань поштових програм на сайті компанії це не обумовлено.

І ще один момент: не забудьте помістити її в налаштуваннях прапорець в полі "Дозволяти текст на кирилиці". Французи спеціально цю опцію включили, щоб листи російською мові не відфільтровувались в спам без будь-якої перевірки. Точно так же працює прапор "Вирішувати текст на китайському / японському / корейською мовами". Так що якщо у вас є кореспонденція на цих мовах - не забудьте про цей пунктик.

Прапорець для кирилиці повинен стояти

Тепер включаємо в Spider Mail перевірку на наявність спаму і перевіряємо нову пошту. Листи з вказаною міткою благополучно сипляться в папку для спаму. І все! І не шукайте вбудованих в поштовик панелей, їх немає ні в класичному Outlook, ні в інших поштових клієнтів: антиспам-модуль цей нікуди не вбудовується, а працює незалежно від поштових клієнтів за основними поштовим протоколам - POP3 і IMAP. Ніякої попередньої дресури на спамерських листах не вимагає, а починає просівати спам відразу після установки на комп'ютер. Налаштувань мінімум, в загальному, включив собі - і користуйся.

Потрібно сказати, що жоден спам-фільтр не видавав у нас обіцяного якості зачистки. У перші дні у движка Vade Retro приблизно третину спаму спочатку просочувалася через фільтр. Але треба зауважити, що при цьому брехня-негативних результатів було вкрай мало. Але ж, як правило, листи з відповіддю на реєстрацію на форумах і інформація про активацію облікового запису, а також підписка на розсилки потрапляли в папку "Спам" при роботі з іншими антиспаму. Що нас здивувало: Spider Mail з вбудованим Vade Retro такого не творив. Брехня-позитивні результати зустрічалися і після двотижневого тестового періоду з навчанням. Тобто щось з величезного потоку спамние річки все ж потрапляло в наші ящики.

Як же навчати фільтр, якщо немає вбудованих панелей? Механізм навчання таких програм досить простий:

• листи, помилково оцінені як спам, відправляйте на адресу [email protected];
• листи, помилково не визначені як спам, відправляйте на адресу [email protected].

Повідомлення слід пересилати у вигляді вкладення (forward as attachment), але не як частина повідомлення. Майже аналогічний варіант навчання зустрічається і у інших програмних антиспам-фільтрів, наприклад Agava Spamprotexx.

Діалог налаштувань фільтра

Скільки потрібно часу на навчання антиспам-фільтра, щоб бути впевненим у стовідсотковій роботі, сказати важко. Якщо хоча б місяць роботи пройде без брехня-негативних результатів, то можна і змінити правило поштового клієнта і прати спамние пошту на сервері. Правда, в класичному вигляді видаляти спам на сервері французький фільтр не вміє. Зате можна без проблем бити спам на льоту, всього лише змінивши дію в раніше створеному правилі для поштовика (видаляти - замість переміщення в папку для спаму).

Приклад фішингових листи

Для сталого, так званого призначеного для користувача, спаму фільтр дозволяє створювати чорні списки. Так ніхто не заважає і фільтри в самому поштовику налаштувати, щоб рубати стабільно повторюється спам прямо на сервері. А з нестійким спамом боротися - все одно що з вітряками боротися. Прорвалися сьогодні спам-листи завтра прийдуть в зовсім іншому образі - з новими адресами, вкладеннями і картинками. Ось чому не дає ніякого ефекту навчання спам-фільтрів на цьому прорватися спам, скільки не натискай кнопку "Це спам". І, ймовірно, тому немає у розглянутого блокувальника спаму вбудованих панелей в поштових клієнтах.

Технологія цього фільтра включає в себе кілька тисяч усіляких правил, які укладаються в кілька груп: евристичний аналіз, фільтрація протидії, аналіз на основі HTML-сигнатур, семантичний аналіз і антіскаммінг-технологія. При цьому вісімдесят відсотків спаму цей технологічний комплекс визначає по заголовкам. За весь час тестування до нас потрапило тільки одне фішингових повідомлень про блокування нашого гаманця на сервісі "Яндекс.Деньги", і повідомлення це благополучно вирушило в спам. Єдине зауваження в цьому плані: хотілося б для фішингу бачити в заголовках листів свої мітки, а не ті, що призначені для спаму, але це все ж не принципово.

Повідомлення про перевірених листах

Ось тільки користувачі Gmail.com будуть дещо розчаровані. Цей поштовик вимагає з'єднання по протоколу SSL, і адреси портів у нього нестандартні. В результаті в логах Spider Mail з'являється повідомлення, що це невідомий протокол, і програма не виконує перевірку вхідної та вихідної пошти.

Для користувачів антивіруса Dr.Web for Windows компанією оголошена акція за пільговим переходу на Dr.Web for Windows (антивірус + антиспам).

резюме

Антіспамная захист в одному з найвідоміших російських антивірусів працює не гірше, ніж інші антиспам-фільтри. Більш того, за показниками спам-негативних результатів він показав кращі результати з того, що нам зустрічалося раніше. Механізм навчання простий, в панелях поштових клієнтів нічого додаткового не виникає - ніщо не порушує наші звички і не відволікає від роботи.