SubStop: Eine Analyse des Abonnement-E-Mail-Bombardements und der darauf basierenden maschinellen Lernmitigation

E-Mail-Bombardierung, eine Art von Denial-of-Service (DoS)-Angriff, beeinträchtig Internetnutzer und nimmt kürzlich zu. Eine besonders notorisch Art ist der Abonnement-Bombardement-Angriff, bei dem das Postfach eines Opfer-Nutzers in einem bestimmten Zeitraum mit einer Flut von Abonnement-E-Mails bombardiert wird. Diese Art von Angriff hilft dem Täter, sein wahres Motiv hinter einem oder mehreren scheinbar legitimen E-Mails zu verbergen. Die größte Herausforderung bei der Erkennung von Abonnementbombardements besteht darin, dass die meisten angreifenden E-Mails legitim und harmlos erscheinen und somit bestehende Antispamfilter umgehen können. Um Licht auf die Richtung der Erkennung der Bombardements zu werfen, führen wir in diesem Papier zunächst einige Reverse Engineering-Studien des Gmail-Antispam-Mechanismus (da die Informationen nicht öffentlich verfügbar sind) und eine eingehende Merkmalsanalyse von realen Bombardierungsangriff-E-Mails durch. Basierend auf den Erkenntnissen aus unserer Reverse Engineering-Studie und Datenanalyse schlagen wir eine neuartige geschichtete Erkennungsarchitektur vor, die als SubStop bezeichnet wird, um Abonnementbomben zu erkennen und zu mindern. SubStop nutzt die Statistiken über das eingehende Volumen, die Verteilung der Quell-Domänen, die Korrelation zwischen verschiedenen Merkmalen und implementiert maschinelles Lernen, um eine effektive Erkennung zu erreichen. Insbesondere verwenden wir die gewichtetete Support-Vektor-Maschine (WSVM) und stimmen die Klassen-Gewichte richtig ab, um eine hohe Genauigkeit bei der Erkennung von Bombardierungsangriffen zu erreichen. Trotz der Knappheit öffentlicher E-Mail-Datensätze führen wir umfangreiche Experimente zu einem realen Abonnementbombardierungsangriff und Echtzeitangriffen mit unserem Bombardierungssimulationsskript (das durch unsere Reverse Engineering-Ergebnisse erleichtert wird) an Test-E-Mail-Konten durch. Detaillierte experimentelle Ergebnisse zeigen, dass unsere vorgeschlagene Architektur sehr robust und äußerst genau bei der Erkennung und Minderung eines Abonnement-Bombardierungsangriffs ist.