迷惑メールフィルターの 「検出率の揺らぎ」に注目 | キャリワカ：トレンド | nikkei BPnet 〈日経BPネット〉（情報元のブックマーク数）
迷惑メールフィルタも日々対応対応、ウイルスと同じですよね。大変ですよねぇ
迷惑メールフィルターの検出率を1日単位で集計すると、上がったり下がったりの揺らぎが発生する。ソースポッドが2月に調査した5製品では、検出率が99％台で揺らぎの少ない製品があった一方で、85〜99％まで大きく揺らいだ製品があった。
http://www.nikkeibp.co.jp/article/column/20090406/144209/
迷惑メール送信業者が新手口の迷惑メールを“開発”するとフィルターの検出率が落ちる。フィルター会社が対処すると検出率が元に戻るが、回復するまでの日数は製品ごとに異なる。迷惑メールフィルターを選ぶ際には、揺らぎについての数値データにも敏感になった方がいい。
迷惑メールフィルタの期間を限定した検出率レポート、
2009年3月10日に発表の「スパムメール実情レポート 2009年2月版」には、迷惑メールフィルター5製品（IronMail、Panda GateDefender Performa、SPAM WATCHER Appliance、Symantec Brightmail 8300、マトリックススキャンAPEX）について、2月15日から2月末まで、毎日の検出率がグラフで載っている。
http://www.nikkeibp.co.jp/article/column/20090406/144209/?P=2
検出率の揺らぎは、製品1は期間中ずっと99％台だった。製品2は98〜99％、製品3は93〜98％、製品4は92〜98％、製品5は85〜99％の範囲内で揺らいだ。製品1は、検出率が高く、安定度も高いフィルターである。製品5は、最高性能は高いが、検出率の揺らぎが大きい製品ということになる。
やっぱり大変だ・・・
迷惑メール送信者が新手口を開発すると、フィルター会社は新手口を封じるフィルターを開発する。この“いたちごっこ”が延々と続き、フィルター会社が日々の検出力の向上を怠ると検出率が低下する。迷惑メールフィルター会社は、一般的には次の手順で検出率の向上を図る。
http://www.nikkeibp.co.jp/article/column/20090406/144209/?P=2
（a）新しい迷惑メール送信者や新しい迷惑メールの手口を発見する
（b）新しい迷惑メールをフィルターするパターンファイルを作成する
（c）パターンファイルを配信する
まず、（a）〜（c）までの対処が素早いフィルター会社ほど検出率を上げやすい。パターンファイルの作成の一部は自動化できるが、高度な分析が必要になる新手口のメールの場合には、専門の技術者が手作業でパターンファイルを作成している。しかし、フィルター会社の人的リソースにも限りがある。休日なしの24時間体制で技術者を配置していないフィルター会社もあるだろう。
ヒューリスティック検出だと誤検知もあり得るって感じかな。
一つ目は、過去の手口との類似度や、迷惑メールに多いパターンを評価して、新手口のものも迷惑メールと判断する機能が有効に働いた可能性がある。迷惑フィルター会社が「ヒューリスティック」と呼んでいる、未知の迷惑メールにも対応する重要な機能である。
http://www.nikkeibp.co.jp/article/column/20090406/144209/?P=3
二つ目は、ソースポッドが迷惑メールを受信するのに先立って、迷惑メールフィルター会社が「その」迷惑メールを入手しており、パターンファイルを配信済みだったという場合だ。幅広く迷惑メールを入手する体制を築いているフィルター会社が有利というわけだ。
ソースポッドが比較しているのは、企業やプロバイダーが導入する、メールサーバーと連携して動作する迷惑メールフィルター機器についてである。
厳しい・・・製品として購入する場合は、そんなイメージですよねやっぱり。
なお、この分野の優秀な迷惑メールフィルターは、95〜99％程度の検出率（月平均）の揺らぎを各社が競っている。一瞬でも90％以下になる製品は、筆者の個人的な感覚だと“落第”である。
http://www.nikkeibp.co.jp/article/column/20090406/144209/?P=3
