8	Anhang 2 - Einsatz des Bayes-Filters

Der Bayes-Filter ist ein Anti-Spam-Verfahren in GFI MailEssentials. Er arbeitet mit einem adaptiven Verfahren auf der Grundlage künstlicher Intelligenz und erkennt die meisten heute üblichen Spam-Verfahren.

Dieses Kapitel erläutert, wie der Bayes-Filter funktioniert, wie er konfiguriert ist und wie er trainiert werden kann.

HINWEIS: Der Bayes-Filter ist standardmäßig deaktiviert. Bevor Sie den Bayes-Filter aktivieren, sollten Sie ihn trainieren.

WICHTIGER HINWEIS: GFI MailEssentials muss mindestens eine Woche arbeiten, damit der Bayes-Filter optimal funktioniert. Dies ist deswegen erforderlich, weil der Bayes-Filter seine Höchsterkennungsrate nur dann erreicht, wenn er sich an Ihre E-Mail-Muster anpasst.

Wie funktioniert der Bayes-Filter?

Der Bayes-Filter geht davon aus, dass die meisten Ereignisse zusammenhängen und dass aus den früheren Häufigkeiten dieses Ereignisses die Wahrscheinlichkeit abgeleitet werden kann, mit der ein Ereignis in Zukunft eintritt.

HINWEIS: Weitere Informationen über die mathematischen Grundlagen des Bayes-Filters finden Sie unter den folgenden Links:

http://www-ccrma.stanford.edu/~jos/bayes/Bayesian_Parameter_Estimation.html

http://www.niedermayer.ca/papers/bayesian/bayes.html

Das gleiche Verfahren wird von GFI MailEssentials verwendet um Spam zu identifizieren und zu klassifizieren. Dabei geht man davon aus, dass ein bestimmtes Textstück in Spam-Mails häufig auftritt, nicht jedoch in den zulässigen E-Mails, und die betreffende E-Mail daher mit gewisser Wahrscheinlichkeit Spam ist.

Erstellen einer benutzerdefinierten Bayes-Wortdatenbank

Bevor ein Bayes-Filter verwendet wird, muss eine Datenbank mit Worten und Token, beispielsweise Dollarzeichen, IP-Adressen und Domänen usw. erstellt werden. Diese kann aus einer Stichprobe von Spam-Mails und zulässigen E-Mails erstellt werden (sogenanntem 'HAM’).

Abbildung 1 - Erstellen einer Wortdatenbank für den Filter

Anschließend wird jedem Wort oder Token ein Wahrscheinlichkeitswert zugeordnet; dieser Wert richtet sich danach, wie oft dieses Wort in SPAM, nicht aber in HAM vorkommt. Dazu werden die ausgehende E-Mails der Benutzer und bekannte Spam-Mails analysiert: Alle Wörter und Token, die in beiden E-Mail-Gruppen auftauchen, werden analysiert um die Wahrscheinlichkeit zu ermitteln, dass ein bestimmtes Wort in einer Spam-Mail auftaucht.

Diese Wahrscheinlichkeit wird nach folgendem Beispiel berechnet:

Wenn das Wort 'Hypothek' - in 400 von 3000 Spam-Mails auftaucht und in 5 von 300 zulässigen E-Mails, liegt die Spam-Wahrscheinlichkeit bei 0,8889 (das heißt [400/3000] / [5/300 + 400/3000]).

Erstellen einer benutzerdefinierten Datenbank mit zulässigen E-Mails

Die Analyse zulässiger E-Mails erfolgt mit den Firmen E-Mails und wird somit für die betreffende Firma angepasst.

•

Beispiel: Ein Finanzinstitut verwendet möglicherweise das Wort 'Hypothek' häufig und würde viele falsch-positive Treffer erhalten, wenn eine allgemeine Anti-Spam-Regel definiert ist. Der Bayes-Filter andererseits erkennt, wenn er während einer ersten Trainingsphase für Ihr Unternehmen angepasst wird, was gültige ausgehende E-Mails des Unternehmens sind (und dass das Wort Hypothek häufig in zulässigen E-Mails verwendet wird); somit hat er eine wesentlich bessere Spam-Erkennungsrate und eine weit niedrigere Zahl falsch-positiver Treffer.

Erstellen der Bayes-Spam-Datenbank

Neben zulässigen E-Mails (HAM) wertet der Bayes-Filter auch eine Spam-Datendatei aus. Diese Spam-Datendatei muss eine große Zahl bekannter Spam-Mails enthalten. Außerdem muss sie laufend mit den neuesten Spam-Nachrichten von der Anti-Spam-Software aktualisiert werden. Auf diese Weise kennt der Bayes-Filter immer die neuesten Spam-Trends und erzielt eine höhere Spam-Erkennungsrate.

Wie funktioniert der Bayes-Filter?

Sobald die Datenbank für zulässige E-Mails und für Spam-Mails erstellt sind, kann die Wortwahrscheinlichkeit berechnet werden und der Filter ist einsatzbereit.

Sobald eine neue E-Mail eintrifft, wird sie in Wörter aufgeschlüsselt, und es werden die relevantesten Wörter (diejenigen, die zur Identifizierung, ob eine E-Mail Spam ist) identifiziert. Mit diesen Wörtern berechnet der Bayes-Filter die Wahrscheinlichkeit, dass eine neue Nachricht Spam ist. Ist die Wahrscheinlichkeit höher als ein bestimmter Schwellenwert, wird die Nachricht als Spam klassifiziert.

HINWEIS: Weitere Informationen zum Bayes-Filter und dessen Vorteilen finden Sie unter:

http://kbase.gfi.com/showarticle.asp?id=KBID001813