5月の迷惑メール解析

スポンサーリンク

今日から 6 月なので,5 月に届いた迷惑メールの集計結果を発表する。といっても今月から始めたばっかりだけど。

スポンサーリンク

対象

解析の対象は,先月 (2010 年 5 月) に届いた迷惑メール,計 10,745 通。うち,日本語で書かれたものが 2,190 通,そうでないものが 8,555 通だった。ただし,この比率は環境によって変わるため,あまり重要ではない。

集計方法

今回も mbox 形式のファイルを解析するスクリプトを作成した。まず,以下の Perl スクリプト (getsenderip.pl) で,送信元の IP アドレスを求める。

#!/usr/bin/perl

use strict;

my ($flag, $ip);
my (%ips);

$flag = 0;
while (<STDIN>) {
    $_ =~ s/[\n|\r]//g;

    if ($_ =~ /^From /) {
        $flag = 1;
    } elsif ($flag == 1 && $_ eq '') {
        $ips{$ip}++;
        $flag = 2;
        $ip = undef;
        next;
    } 

    if ($flag == 2) { next; }
    if ($_ !~ /^Received:/) { next; }
    if ($_ !~ /\[([0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3})\]/) { next; }

    $ip = $1;
}

foreach $ip (keys %ips) {
    print $ip . "\n";
}

これだと,プライベート IP アドレスが振られたコンピュータが送信元だった場合に不都合が起きるが,今回は該当がなかったので考慮していない。

このスクリプトに対して,次のようにして標準入力に mbox を渡すことで,送信元の IP アドレスが出力される。

$ cat thunderbird/other | ./getsenderip.pl
59.98.168.XXX
95.155.40.XXX
41.248.221.XXX
122.168.247.XXX
92.84.204.XXX
  :

さらに,次の Perl スクリプト (getcc.pl) により,IP アドレスから国別コードを求める。詳細は先日のエントリに書いたとおり。

#!/usr/bin/perl

use strict;

my ($cc);
my (%ccs);

my (@ipv4db) = &ip2cc_prepare();

while (<STDIN>) {
    chomp;
    $cc = &ip2cc(*ipv4db, $_);
    $ccs{$cc}++;
}

foreach $cc (sort {$ccs{$b} <=> $ccs{$a}} keys %ccs) {
    print $ccs{$cc} . ',' . $cc . "\n";
}

exit;

sub ip2cc_prepare {
    my ($file) = 'ipv4.txt';
    my (@ipv4db);

    open(FH, $file);
    @ipv4db = <FH>;
    close(FH);

    chomp @ipv4db;

    return @ipv4db;
}

sub ip2cc {
    *ipv4db = shift;
    my ($addr) = shift;

    if ($addr !~ /^[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}$/) { return; }

    my ($d1, $d2, $d3, $d4) = split(/\./, $addr);
    my ($num) = (($d1 * 256 + $d2) * 256 + $d3) * 256 + $d4;

    foreach (@ipv4db) {
        my ($start, $end, $cc) = split(/\t/);
        if ($start <= $num && $num < $end) { 
            return $cc;
        }
    }

    return;
}

これにより,件数の降順で件数と国別コードが出力される。

集計結果

日本語で書かれたメールとそうでないものに分けて集計を行った。その結果を以下に示す。

まず,日本語で書かれたメール 2,190 通からは,送信元 IP アドレスが 1,691 件取得できた。3 割弱少ないのは,重複したものを取り除いたためである。その結果を次に示す。

$ cat thunderbird/japanese | ./getsenderip.pl | ./getcc.pl 
1442,CN
76,SG
54,PH
37,KR
24,TH
12,MY
9,US
6,TW
6,IN
3,JP
  :

これをグラフにしたものを次に示す。

日本語で書かれた迷惑メールの送信元


このように,2 位のシンガポール (SG) や 3 位のフィリピン (PH) を大きく引き離して,大多数が中国から送られてきたものであることがわかる。

一方,日本語以外で書かれたメール 8,555 通からは,送信元 IP アドレスが 7,798 件取得できた。その結果を次に示す。

$ cat thunderbird/other | ./getsenderip.pl | ./getcc.pl
678,IN
483,CN
454,US
386,BR
340,KR
335,GB
329,RU
267,DE
252,CO
249,NL
  :

これをグラフにしたものを次に示す。

日本語以外で書かれた迷惑メールの送信元


このように,実にカラフルなグラフとなっていることから、ある特定の国から大多数が送信されているのではなく,様々な国から分散して送信されていることがわかる。これは bot から発信されているためだと考えられる。

今回の調査では、日本語か否かを問わず、日本国内から送信された迷惑メールはほとんど見られなかった。これは、もし国内の PC が bot 化したとしても、ISP の Outbound Port 25 Blocking によりメールが送信できないためだろう。

まとめ

今回の調査で,日本語とそうでないものでは,送信元の国にまったく違う傾向が見られることがわかった。国内で迷惑メールをフィルタリングする場合,

  • 日本語で書かれているか否か
  • 送信元の国

を判定基準の一つとして用いることができると考えられる。ただし、日本語でない迷惑メールは様々な場所から発信されているので、送信元以外の基準で判別する必要があるだろう。

コメント

タイトルとURLをコピーしました