CN1774706A

CN1774706A - 允许反垃圾邮件技术的整合的框架

Info

Publication number: CN1774706A
Application number: CNA2004800032505A
Authority: CN
Inventors: B·A·姆米兰; A·J·华莱士; N·K·考兰德; 王强; S·P·阿特韦尔; S·J·尼利
Original assignee: Microsoft Corp
Current assignee: Microsoft Technology Licensing LLC
Priority date: 2003-11-12
Filing date: 2004-07-26
Publication date: 2006-05-17
Anticipated expiration: 2024-07-26
Also published as: AU2004288591B2; WO2005057326A2; TWI379557B; KR20060113361A; DK1609045T3; MXPA05007075A; WO2005057326A3; NZ540656A; NO335968B1; IL169466A0; BRPI0406541A; RU2355018C2; US7533148B2; BRPI0406541B1; CA2512194A1; EP1609045B1; KR20120031504A; CN100527117C; TW200516925A; US20040139165A1

Abstract

提出了一种允许以可管理和理性的方式采用多个垃圾邮件检测解决方案来确定消息是否为垃圾邮件的方法。一框架调用反垃圾邮件过滤器来分析消息，并返回该消息是否为垃圾邮件的置信度级别。该框架对照一组已定义阈值评估最高置信度级别。如果最高置信度级别大于由管理员设置的最高阈值，则采取对该最高阈值指定的动作。该最高置信度级别也与所有阈值进行比较，并且采取与所超过的最接近阈值相关联的动作。

Description

允许反垃圾邮件技术的整合的框架

发明领域

本发明一般涉及电子消息通信，尤其涉及过滤不需要的电子邮件。

发明背景

电子消息通信，尤其是在因特网上传送的电子邮件(“e-mail”)，迅速变得不仅相当普遍深入到社会，也给予许多个人和组织其非正式、易于使用和低成本的较佳的通信方法。

不幸的是，电子邮件接收者越来越多地遭受大量未经请求的邮件。随着基于因特网的商务的增长，各种各样且越来越多的电子商人向不断扩张的电子邮件接收者的全体重复地发送对其产品和服务做广告的未经请求的邮件。通过因特网定购产品或与商人交易的大多数消费者期望并实际上的确有规则地从那些商人接收这些请求。

然而，电子邮件发送者不断地扩张其分发列表以到达越来越多的接收者。例如，仅响应于对由各种网站生成的访问者信息的可能无害的出现请求而提供其电子邮件地址的接收者经常接收到未经请求的邮件，并且令他们感到非常不满意的是，他们发现他们被包括在电子分发列表上。这在接收者不知道的情况下发生，更不用说他们的批准了。此外，电子邮件发送者经常通过销售、出租或其它方式向另一这样的邮件发送者散布其分发列表共其使用，而另一邮件发送者也依此类推对随后的邮件发送者如此做。最后，随着时间的推移，电子邮件接收者经常发现他们越来越多地被从各种各样且越来越多的大量邮件发送者维护的单独分发列表得到的未经请求的邮件所干扰。个人在一整年中可容易地接收到上百甚至上千封未经请求的电子邮件。电子分发列表上的个人能够期望在一段短得多的时间内接收相当大量的未经请求的消息。

此外，尽管许多未经请求的电子邮件消息是良性的，如提供折扣的办公室或计算机供应、抵押率报价、或出席一种类型或另一种类型的会议的邀请，然而诸如色情、煽动和辱骂资料等其它消息对于其接收者而言是讨厌的。这些未经请求的消息被称为“垃圾”邮件或“垃圾邮件”。来自垃圾邮件的电子邮件负载可以等效于从合法的电子邮件生成的负载。

类似于处理垃圾邮政邮件的任务，电子邮件接收者必须筛选其收到的邮件来去除垃圾邮件。计算机行业认识到这一问题，并开发了自动化垃圾邮件去除的技术。例如，一种技术是作用范围列表(turf list)。电子邮件接收者订阅作用范围列表，它识别使用一组基于已定义规则的字符的邮件并拒绝接受这些邮件。不幸的是，对给定电子邮件消息是否为垃圾邮件的选择高度依赖于特定的接收者和消息的实际内容。对于一个接收者是垃圾邮件的消息对于另一个接收者可能不是垃圾邮件，从而限制了作用范围列表的功能。另外，电子邮件发送者(即，垃圾邮件生成者)会准备一种消息，使得其真实内容不能从其主题行中体现，并只能通过阅读消息正文来辨别。

开发的另一种技术被称为黑洞列表(black hole list)。黑洞列表是从其发送垃圾邮件的已知垃圾邮件地址的列表。对照该黑洞列表检查电子邮件发送者的地址。如果地址在列表上，则不接受该电子邮件。垃圾邮件生成者只要改变其地址就可以绕过该技术。也开发了其它技术。这些技术没有一个是100％有效的。电子邮件服务器为防止垃圾邮件的革新遭受到了垃圾邮件创建者为克服该革新所作的革新。

发明概述

本发明提供了一种允许采用多个垃圾邮件检测解决方案来以可管理且合理的方式一起工作，并允许在快速开发模型下创建和采用新革新的框架。

提出了一种使用反垃圾邮件模块来确定电子邮件消息是否为垃圾邮件的方法。该方法调用反垃圾邮件模块之一，并从该反垃圾邮件模块接受一垃圾邮件置信度级别。可向该垃圾邮件置信度级别应用一调整因子，来创建经调整的垃圾邮件置信度级别。将最高的垃圾邮件置信度级别与至少一个阈值进行比较。如果最高垃圾邮件置信度级别大于该阈值，则调用与该至少一个阈值相关联的动作。

在一个实施例中，使用了包括最高阈值的多个阈值，并且将最高垃圾邮件置信度级别与每一阈值进行比较。如果最高垃圾邮件置信度级别高于一个或多个阈值，则调用与所超过的最接近于最高阈值的阈值相关联的动作。

调用的动作包括如果最高垃圾邮件置信度级别超过第一阈值级别则丢弃连接、如果最高垃圾邮件置信度级别超过第二阈值级别且低于第一阈值级别则向发送者返回未送达消息、如果最高垃圾邮件置信度级别超过第三阈值级别且低于第二阈值级别则将消息传送到垃圾邮件文件夹、以及将最高垃圾邮件置信度级别发送到客户机以允许客户机执行每一用户自定义的动作。

当参考附图阅读以下说明性实施例的详细描述时，可以清楚本发明的其它特征和优点。

附图简述

尽管所附权利要求书以细节陈述了本发明的特征，然而当结合附图阅读以下详细描述时，可以最好地理解本发明及其目的和优点，附图中：

图1是概括地示出了本发明所驻留的示例性计算机系统的框图；

图2是概括地示出了使用SMTP协议栈的系统中本发明的框架的框图；

图3是示出依照本发明使用的反垃圾邮件模块的示例的框图；

图4是示出集成反垃圾邮件模块并确定消息是否为垃圾邮件的过程的流程图。

图5所示是集成反垃圾邮件模块和确定消息是否为垃圾邮件的另一实施例的流程图。

发明的详细描述

转向附图，其中相同的标号是指相同的元素，本发明被示出为在一合适的计算环境中实现。尽管并非所需，但本发明将在诸如由个人计算机执行的程序模块等计算机可执行指令的一般上下文环境中描述。一般而言，程序模块包括例程、程序、对象、组件、数据结构等等，执行特定的任务或实现特定的抽象数据类型。此外，本领域的技术人员可以理解，本发明可以用其它计算机系统配置来实施，包括手持式设备、多处理器系统、基于微处理器或可编程消费者电子设备、网络PC、小型机、大型机等等。本发明也可以在分布式计算环境中实践，其中，任务由通过通信网络连接的远程处理设备来执行。在分布式计算环境中，程序模块可以位于本地和远程存储器存储设备中。

图1示出了适合在其中实现本发明的计算系统环境100的一个示例。计算系统环境100仅为合适的计算环境的一个示例，并非暗示对本发明的使用范围或功能的局限。也不应将计算环境100解释为对示例性操作环境100中示出的任一组件或其组合具有任何依赖或需求。

本发明可以使用众多其它通用或专用计算系统环境或配置来操作。适合使用本发明的众所周知的计算系统、环境和/或配置包括但不限于：个人计算机、服务器计算机、手持式或膝上设备、图形输入板设备、多处理器系统、基于微处理器的系统、机顶盒、可编程消费者电子设备、网络PC、小型机、大型机、包括任一上述系统或设备的分布式计算环境等等。

本发明可以在诸如由计算机执行的程序模块等计算机可执行指令的一般上下文环境中描述。一般而言，程序模块包括例程、程序、对象、组件、数据结构等等，执行特定的任务或实现特定的抽象数据类型。本发明也可以在分布式计算环境中实践，其中，任务由通过通信网络连接的远程处理设备来执行。在分布式计算环境中，程序模块可以位于包括存储器存储设备的本地和/或远程计算机存储介质中。

参考图1，用于实现本发明的示例性系统包括计算机110形式的通用计算设备。计算机110的组件包括但不限于，处理单元120、系统存储器130以及将包括系统存储器的各类系统组件耦合至处理单元120的系统总线121。系统总线121可以是若干种总线结构类型的任一种，包括存储器总线或存储器控制器、外围总线以及使用各类总线体系结构的局部总线。作为示例而非局限，这类体系结构包括工业标准体系结构(ISA)总线、微通道体系结构(MCA)总线、增强ISA(EISA)总线、视频电子技术标准协会(VESA)局部总线以及外围部件互连(PCI)总线，也称为Mezzanine总线。

计算机110通常包括各种计算机可读介质。计算机可读介质可以是可由计算机110访问的任一可用介质，包括易失性和非易失性介质、可移动和不可移动介质。作为示例而非局限，计算机可读介质包括计算机存储介质和通信介质。计算机存储介质包括以用于储存诸如计算机可读指令、数据结构、程序模块或其它数据等信息的任一方法或技术实现的易失性和非易失性，可移动和不可移动介质。计算机存储介质包括但不限于，RAM、ROM、EEPROM、闪存或其它存储器技术、CD-ROM、数字多功能盘(DVD)或其它光盘存储、磁盒、磁带、磁盘存储或其它磁存储设备、或可以用来储存所期望的信息并可由计算机110访问的任一其它介质。通信介质通常具体化为诸如载波或其它传输机制的已调制数据信号中的计算机可读指令、数据结构、程序模块或其它数据，并包括任一信息传送介质。术语“已调制数据信号”指以对信号中的信息进行编码的方式设置或改变其一个或多个特征的信号。作为示例而非局限，通信介质包括有线介质，如有线网络或直接连线连接，以及无线介质，如声学、RF、红外和其它无线介质。上述任一的组合也应当包括在计算机可读介质的范围之内。

系统存储器130包括以易失性和/或非易失性存储器形式的计算机存储介质，如只读存储器(ROM)131和随机存取存储器(RAM)132。基本输入/输出系统133(BIOS)包括如在启动时帮助在计算机110内的元件之间传输信息的基本例程，通常储存在ROM 131中。RAM 132通常包含处理单元120立即可访问或者当前正在操作的数据和/或程序模块。作为示例而非局限，图1示出了操作系统134、应用程序135、其它程序模块136和程序数据137。

计算机110也可包括其它可移动/不可移动、易失性/非易失性计算机存储介质。仅作示例，图1示出了对不可移动、非易失性磁介质进行读写的硬盘驱动器141、对可移动、非易失性磁盘152进行读写的磁盘驱动器151以及对可移动、非易失性光盘156，如CD ROM或其它光介质进行读写的光盘驱动器155。可以在示例性操作环境中使用的其它可移动/不可移动、易失性/非易失性计算机存储介质包括但不限于，磁带盒、闪存卡、数字多功能盘、数字视频带、固态RAM、固态ROM等等。硬盘驱动器141通常通过不可移动存储器接口，如接口140连接到系统总线121，磁盘驱动器151和光盘驱动器155通常通过可移动存储器接口，如接口150连接到系统总线121。

上文讨论并在图1示出的驱动器及其关联的计算机存储介质为计算机110提供了计算机可读指令、数据结构、程序模块和其它数据的存储。例如，在图1中，示出硬盘驱动器141储存操作系统144、应用程序145、其它程序模块146和程序数据147。注意，这些组件可以与操作系统134、应用程序135、其它程序模块136和程序数据137相同，也可以与它们不同。这里对操作系统144、应用程序145、其它程序模块146和程序数据147给予不同的标号来说明至少它们是不同的副本。用户可以通过输入设备，如键盘162和定位设备161(通常指鼠标、跟踪球或触摸板)、麦克风163以及图形输入板或电子数字化仪164向计算机110输入命令和信息。其它输入设备(未示出)可包括操纵杆、游戏垫、圆盘式卫星天线、扫描仪等等。这些和其它输入设备通常通过耦合至系统总线的用户输入接口160连接至处理单元120，但是也可以通过其它接口和总线结构连接，如并行端口、游戏端口或通用串行总线(USB)。监视器191或其它类型的显示设备也通过接口，如视频接口190连接至系统总线121。监视器191也可与触摸屏面板或其类似物集成。注意，监视器和/或触摸屏面板可以物理地耦合至其中包含了计算设备110的外壳，如图形输入板类型的个人计算机。另外，诸如计算设备110的计算机也可包括其它外围输出设备，如扬声器197和打印机196，它们通过输出外围接口194或其类似物连接。

计算机110可以使用到一个或多个远程计算机，如远程计算机180的逻辑连接在网络化环境中操作。远程计算机180可以是个人计算机、服务器、路由器、网络PC、对等设备或其它普通网络节点，并通常包括许多或所有相对于计算机110所描述的元件，尽管在图1中仅示出了存储器存储设备181。图1描述的逻辑连接包括局域网(LAN)171和广域网(WAN)173，但也可包括其它网络。这类网络环境常见于办公室、企业范围计算机网络、内联网以及因特网。

当在LAN网络环境中使用时，计算机110通过网络接口或适配器170连接至LAN 171。当在WAN网络环境中使用时，计算机110可包括调制解调器172或用于通过WAN 173，如因特网建立通信的其它装置。调制解调器172可以是内置或外置的，通过用户输入接口160或其它适当的机制连接至系统总线121。在网络化环境中，相对于计算机110所描述的程序模块或其部分可储存在远程存储器存储设备中。作为示例而非局限，图1示出了远程应用程序185驻留在存储器设备181上。可以理解，示出的网络连接是示例性的，也可以使用在计算机之间建立通信链路的其它装置。

在以下描述中，将参考由一个或多个计算机执行的动作和操作的符号表示来描述本发明，除非另外指明。由此，可以理解，这类动作和操作，有时称为计算机执行的，包括计算机的处理单元对以结构化形式表示数据的电信号的操纵。这一操纵转换了数据或在计算机的存储器系统中的位置上维护它，从而以本领域的技术人员都理解的方式重配置或改变了计算机的操作。维护数据的数据结构是存储器的物理位置，具有数据的格式所定义的具体特性。然而，尽管在上述的上下文环境中描述本发明，它并不意味着限制，如本领域的技术人员所理解的，后文所描述的动作和操作的各方面也可以用硬件实现。

结合Exchange服务器的简单邮件传输协议(SMTP)将用于描述本发明。Exchange是由微软公司生产的一种电子邮件服务器。SMTP是在因特网上使用的主要电子邮件协议。尽管将使用SMTP和Exchange，本发明可用于其它传输协议和邮件服务器。SMTP是一种传输控制协议/互联网协议(TCP/IP)通信协议，它定义了用于将邮件从诸如Exchange等一个电子邮件服务器通过因特网传输到另一电子邮件服务器的消息格式。依照SMTP，电子邮件消息通常以以下方式发送。用户运行电子邮件程序来创建电子邮件消息，并且电子邮件程序将消息文本和控制信息放入传出消息的队列中。该队列通常被实现为电子邮件服务器可访问的文件集合。

Exchange服务器建立与目的地电子邮件服务器上保留的SMTP端口的传输控制协议(TCP)连接，并使用SMTP经由因特网传输消息。发送和接收服务器之间的SMTP会话导致消息从发送主机上的队列分阶段地传输到接收主机上的队列。阶段的范围从提供所建立的连接的IP地址的发送服务器到接收所有的消息头部和消息内容。当完成消息传输时，接收服务器关闭由SMTP使用的TCP连接，发送主机从其邮件队列中移除消息，且接收者使用其配置的电子邮件程序来阅读邮件队列中的消息。

现在转向图2，SMTP栈200运行在因特网信息服务器(IIS)202内，它是由微软公司销售的、安装在服务器204上的web服务器软件。IIS 202经由SMTP与因特网上的其它Exchange服务器206或SMTP服务器(未示出)通信。IOS 202具有用于储存传出或传入消息的数据库208。当建立与SMTP协议200的连接以供消息进入时，一事件被激发并由框架210接收。框架210截取该消息并将其传递到一个或多个过滤器212。过滤器212分析该消息、确定过滤器212所具有的该消息是垃圾邮件的置信度级别、并将该置信度级别发送到框架210。框架210基于该置信度级别判定它是否希望调用另一过滤器212或动作214。动作214包括丢弃连接、向Exchange传输216发送消息以及删除消息。Exchange传输216路由该消息。它确定消息是要被传送到服务器204上的邮箱还是需要经由SMTP 200去往另一服务器206。

现在转向图3，过滤器212由各种类型的反垃圾邮件检测技术构成。例如，过滤器212的类型可以是实时黑洞列表模块300、非线性模块302、反病毒模块306用于与Exchange服务器204通信的反病毒API 304、作用范围列表模块308、以及使用其自己的规则来确定消息是否为垃圾邮件的其它过滤器。例如，其它过滤器310可以是文本分类、关键字匹配等等。

实时黑洞列表模块300将消息发送者的IP地址与已知的垃圾邮件地址列表进行比较。如果该IP地址在已知列表上，则Exchange服务器204不接受该邮件。非线性模块302使用诸如s形曲线、贝叶斯函数等在垃圾邮件和合法消息之间强制分隔的函数，来归一化过滤器212的置信度级别。例如，如果过滤器212返回95％的置信度级别，则非线性模块202可将置信度级别缩放至96％，而40％的置信度级别可被缩放至30％的置信度级别。作用范围列表模块308基于可用信息，包括发送者邮件地址和/或域、邮件的目标接收者以及诸如消息id、日期、主题、附件类型和名称等实际消息正文的特征，拒绝发送者和Exchange服务之间的SMTP协议交换期间的邮件。

框架210管理一个或多个反垃圾邮件过滤器212的调用、归一化每一调用的结果、评估归一化的结果、并对结果采取动作。框架210最通常用于网络边缘的服务器204(即，首先接收来自因特网的电子邮件的邮件服务器)。使用的某些技术，如文本分类，可用于不同的用途，诸如识别消息的重要性或敏感性。作为其结果，该框架也可在内部服务器上有用地采用。框架210可仅用作由现有的独立垃圾邮件检测实现调用的实用程序库，来帮助从独立实现的迁移，或较佳地被实现为提供从用于调用反垃圾邮件过滤器212的底层事件机制(下文描述)的抽象的包装程序。包装程序实施例使得为电子邮件开发的反垃圾邮件过滤器212也可用于其它消息通信解决方案，如即时消息通信、确定骚扰消息等等。在任一情况下，框架作为在构建或运行时链接到反垃圾邮件技术的库传送。

Exchange中SMTP栈200的体系结构使得事件由栈200触发(即，源自)到事件宿(sink)，它通常被实现为COM对象。当采用新反垃圾邮件技术时，它实现在安装时向协议事件系统注册的COM对象。注册代码由框架210传送。框架210的安装包括在所述服务器上安装软件、注册事件宿、经由系统管理员控制台启用或禁用特定服务器的特定技术、以及建立当收到垃圾邮件时要遵循的评估和动作策略。特定技术的启用/禁用通过允许网络中的服务器包含同样的软件二进制码而提高了框架210的可管理性。

现在转向图4，示出了用于集成反垃圾邮件模块212以及确定消息是否为垃圾邮件的过程。在运行时，当打开到SMTP栈200(及其后的点)的连接，激发一事件(步骤400)。事件分派系统检查其注册列表，并调用对应的对象。调用在它担当包装程序时直接到达框架210，或者当它作为库函数调用时间接到达框架210(步骤402)。在两种情况下，框架210检查其自己的配置，以确定它所注册的反垃圾邮件技术300-310的哪一种被系统管理员“启用”或“禁用”。枚举已启用的反垃圾邮件技术，并且将垃圾邮件置信度级别的总和设为0(步骤404)。

如果特定的反垃圾邮件过滤器212被“启用”，则框架210获得对反垃圾邮件过滤器212可用的任何信息，以检查并向过滤器212发送该信息(步骤406)。可用信息的量和类型将根据调用过滤器212时协议的阶段来变化。例如，当第一次调用时，可能仅有关于所建立的连接的IP地址的信息。在消息被系统接受之前的最后一次调用时，所有的消息头部和内容都可用。如果框架210能够破解消息的已编码内容，则框架210将消息的已编码内容破解成反垃圾邮件过滤器212更容易可使用的形式。当框架被实现为包装程序时，该信息将自动可用。当实现为库时，信息仅当由反垃圾邮件过滤器212特别地请求时才可用。不论框架的形式是什么(即，包装程序或库)，诸如破解消息内容的实用程序功能将由反垃圾邮件过滤器被动地调用以降低CPU负载。在一个实施例中，框架210也提供了对消息中接收者地址的查找，过滤器212可将该地址用作其将一封邮件评估为垃圾邮件的一部分。

在完成评估之后，过滤器212通过返回值或引用(或通过调用框架库)，向框架210传递回对该解决方案所具有的特定邮件消息是垃圾邮件的置信度的评估(步骤408)。框架210通常期望范围在0-100％内的回答，其中0％表示明显不是垃圾邮件，而100％表示明显是垃圾邮件。在一个实施例中，百分比被表示为0和100之间的数字。为容纳使用不同度量的各种反垃圾邮件技术300-310，框架210提供了一种应用于来自所调用的每一个别过滤器212的结果的缩放或调整因子，来创建归一化或经调整的垃圾邮件置信度级别(步骤410)。该缩放或调整因子由服务器204的管理员配置。这构成了框架必须按顺序执行来比较不同过滤器212的结果的归一化。该归一化的数字被称为垃圾邮件置信度级别。该垃圾邮件置信度级别被添加到垃圾邮件置信度级别的总和(步骤412)。框架210将所计算的垃圾邮件置信度级别作为运行总和储存在消息本身用于持久存储，和/或储存在存储器中用作性能。连续解决方案的评估结果被添加到垃圾邮件置信度级别的总和。

归一化(即，缩放因子的引用)可以用各种方法来实现。例如，归一化结果的一种方法是同等地信任每一过滤器212的结果，并将结果简单地相加(例如，0.5+0.7+0.8+…+＝总和)。另一种方法是向每一个应用比例。例如，如果管理员喜欢特定过滤器检测垃圾邮件的方法，则管理员可按相对较高的数字(例如，0.9)来缩放该过滤器的垃圾邮件置信度级别。类似地，如果存在管理员认为不是很确信的过滤器，则管理员可按相对较低的数字(例如，0.3)来缩放该过滤器的垃圾邮件置信度级别。缩放因子的另一示例是使用利用诸如s形曲线的加权曲线的非线性置信度级别归一化。例如，如果过滤器212返回95％的垃圾邮件置信度级别，则缩放引起将其缩放高达例如96％。如果垃圾邮件置信度级别处于范围的中间(例如，50-55％)，则应用更合理的缩放来将其缩放得更低(例如，30-35％)。

框架210向管理员提供了设置若干阈值的能力，这些阈值使管理员能够基于垃圾邮件置信度级别的总和所超过的最大阈值来定义要对消息采取的不同动作。动作可以是阻止消息被传送直到知道了消息是否为垃圾邮件的更好意见、丢弃连接、发送未送达消息给发送者、删除消息、基于垃圾邮件置信度级别的总和将消息传递到另一过滤器212、将消息发送到接收者等等。阈值的默认设置和对应的动作在框架210中提供。

将缩放的垃圾邮件置信度级别的总和与由管理员设置的最高阈值进行比较(步骤414)。如果垃圾邮件置信度级别的总和超过该最高阈值，则采取对最高阈值配置的动作(步骤416)。如果垃圾邮件置信度级别的总和不超过最高阈值，且有可用于评估消息的更多过滤器212(步骤418)，则重复步骤404到416，直到超过了最高阈值或接收到消息的结束(步骤420)。如果未接收到消息的结束，则SMTP栈200移动到下一消息接受状态(422)，并且对下一消息接受状态重复步骤406到420。如果接收到消息的结束，且所有启用的过滤器都已分析了该消息，则将垃圾邮件置信度级别的总和按从最高阈值到最低阈值的顺序与剩余的阈值进行比较(步骤424)，直到垃圾邮件置信度级别的总和超过一阈值(步骤426)。如果垃圾邮件置信度级别的总和超过一阈值，则采取为该阈值配置的动作。

总言之，在过滤器212完成了其分析之后，框架210对照由管理员定义的一组阈值评估垃圾邮件置信度级别的总和。如果垃圾邮件置信度级别的总和大于由管理员设置的最高阈值，则对消息采取为该最高阈值指定的动作。否则，使用随后的过滤器来评估该消息，直到超过最大阈值，或所有的过滤器已评估了该消息。在所有的过滤器评估了该消息之后，将垃圾邮件置信度级别的总和与所有的阈值进行比较，并选择匹配的阈值。采取与该阈值相关联的动作。例如，如果垃圾邮件置信度级别的总和超过99％的置信度级别阈值，则消息连接可被无声地丢弃。如果垃圾邮件置信度级别的总和超过70％的置信度级别阈值，则可向发送者返回未送达报告。如果垃圾邮件置信度级别的总和超过40％的置信度级别阈值，则消息可被传递到用户收件箱的“垃圾邮件”文件夹。如果垃圾邮件置信度级别的总和未超过任何阈值(步骤428)，则该消息可被认为是合法的，并传递到用户的收件箱。

当消息的垃圾邮件置信度级别在组织内的服务器之间(以及在组织之间)发送时，它可在消息上传播。这允许经缩放的方法处理不同级别的垃圾邮件。例如，组织中的网关服务器(即，在组织的输入点处的服务器)可执行诸如拒绝或删除具有高垃圾邮件置信度级别值的垃圾邮件的破坏性动作。或者，网关服务器归档具有高垃圾邮件置信度级别的消息，使得管理员可核查这些消息来验证反垃圾邮件过滤器212的操作。后端服务器可对较低的垃圾邮件置信度级别值执行较不具破坏性的动作，诸如将消息移至特殊的垃圾邮件文件夹。

现在转向图5，某些情况下，很难确定不同的反垃圾邮件解决方案之间的合理缩放因子，来确定最终的归一化垃圾邮件置信度级别。在这些情况下，将来自多个反垃圾邮件过滤器212的垃圾邮件置信度级别值组合的默认算法是采用返回的最高垃圾邮件置信度级别值(在被缩放至诸如0到9的归一化范围之后)作为该消息的最终垃圾邮件置信度级别。在本实施例中，调用反垃圾邮件过滤器212(步骤500)，并且每一反垃圾邮件宿返回一垃圾邮件置信度级别(步骤502)。确定最高垃圾邮件置信度级别(步骤504)，并如上所述地将其与各阈值进行比较(步骤506、508)。注意，该算法暗示着最激进的反垃圾邮件解决方案总是能得到最后的胜利，并具有当添加更多反垃圾邮件过滤器时，有更少的垃圾邮件能够通过的效果。注意，反垃圾邮件过滤器212过于激进，并比其它反垃圾邮件过滤器212更频繁地确定合法消息为垃圾邮件是可能的。在这一情况下，过于激进的反垃圾邮件过滤器的垃圾邮件置信度级别被禁用或缩放，使得被分类为垃圾邮件的合法消息的数量得以减少。

在各方面，对特定消息采取的动作可以被记入日志或添加到消息跟踪表，取决于管理员选择记录的信息的级别。随同框架210有一组默认的动作对管理员可用。可以通过以类似于用于部署新反垃圾邮件过滤器的方式传递附加动作执行代码来添加附加动作。

被框架210接受以供传送到邮箱的任何消息将具有该消息以众所周知的属性储存在其上的垃圾邮件置信度级别的总和。处理该消息的传送代理可选择评估该属性作为其自己的逻辑的一部分。查看该消息或该消息的表的客户机可选择以垃圾邮件置信度级别的总和的升序或降序列出消息，作为对识别被误计算的那些消息的帮助。

可以看到，描述了一种允许在网络边界的边缘使用各种现有和未来反垃圾邮件过滤器和技术来检测和处理垃圾邮件和病毒的平台。该平台使得解决方案和技术能够以理性的方式交互和管理，由此提供了在检测垃圾邮件的类似战争环境中采用服务器端上的迅速革新的能力。

鉴于可应用本发明的原理的许多可能的实施例，应当认识到，此处相对于附图描述的实施例仅意味着说明性的，并不应当认为是对本发明范围的限制。例如，本领域的技术人员将认识到，以软件示出的所阐明的实施例的元素可以用硬件来实现，反之亦然，或者所示的实施例可以在排列和细节上进行修改，而不脱离本发明的精神和范围。因此，此处描述的本发明构想所有这样的实施例都落入所附权利要求书及其等效技术方案的范围之内。

Claims

1.一种在具有多个反垃圾邮件模块的系统中确定消息是否为垃圾邮件的方法，包括以下步骤：

调用所述多个反垃圾邮件模块的多个；

从所述多个反垃圾邮件的多个的每一个接收一垃圾邮件置信度级别；

从所述垃圾邮件置信度级别确定最高垃圾邮件置信度级别；

将所述最高垃圾邮件置信度级别与至少一个阈值进行比较；以及

如果所述最高垃圾邮件置信度级别大于所述至少一个阈值，则调用与所述至少一个阈值相关联的动作。

2.如权利要求1所述的方法，其特征在于，还包括向至少一个垃圾邮件置信度级别应用一调整因子，以创建至少一个经调整的垃圾邮件置信度级别的步骤，并且其中，确定最高垃圾邮件置信度级别的所述步骤包括确定所述至少一个经调整的垃圾邮件置信度级别和应用了所述调整因子的垃圾邮件置信度级别中的最高者的步骤。

3.如权利要求2所述的方法，其特征在于，应用调整因子的所述步骤包括按与所述至少一个垃圾邮件置信度级别相关联的反垃圾邮件模块中的用户置信度级别来调整所述至少一个垃圾邮件置信度级别。

4.如权利要求1所述的方法，其特征在于，还包括将每一垃圾邮件置信度级别缩放至一归一化范围的步骤。

5.如权利要求4所述的方法，其特征在于，所述归一化范围是0到9。

6.如权利要求1所述的方法，其特征在于，还包括向所述消息添加所述垃圾邮件置信度级别的步骤。

7.如权利要求1所述的方法，其特征在于，所述至少一个阈值包括多个阈值，该多个阈值包括最高阈值和最低阈值，所述方法还包括以下步骤：

将所述最高垃圾邮件置信度级别与所述多个阈值的每一个进行比较；

确定所述最高垃圾邮件置信度级别是否高于所述多个阈值的至少一个；

如果所述最高垃圾邮件置信度级别高于所述多个阈值的至少一个：

确定所述多个阈值的至少一个中的哪一个最接近于所述最高阈值；以及

调用与所述多个阈值中最接近于所述最高阈值的至少一个相关联的动作。

8.如权利要求1所述的方法，其特征在于，调用所述动作的步骤包括调用删除消息、发送未送达通知、归档消息、以及将消息传递到具有最高垃圾邮件置信度级别的客户机中的一个。

9.如权利要求1所述的方法，其特征在于，调用所述动作的步骤包括：

如果所述最高垃圾邮件置信度级别超过第一阈值级别，则丢弃连接；

如果所述最高垃圾邮件置信度级别超过第二阈值级别但低于第一阈值级别，则返回未送达消息；

如果所述最高垃圾邮件置信度级别超过第三阈值级别但低于第二阈值级别，则将所述消息传送到垃圾邮件文件夹。

10.如权利要求9所述的方法，其特征在于，所述第一阈值是百分之九十九的垃圾邮件置信度级别，所述第二阈值级别是百分之七十的垃圾邮件置信度级别，所述第三阈值级别是百分之四十的垃圾邮件置信度级别。

11.如权利要求9所述的方法，其特征在于，还包括将对所述消息采取的动作记入日志的步骤。

12.一种具有计算机可执行指令的计算机可读介质，所述指令用于在具有多个反垃圾邮件模块的系统中确定消息是否为垃圾邮件，所述指令包括以下步骤：

从所述多个反垃圾邮件模块的多个的每一个接收一垃圾邮件置信度级别；

确定最高垃圾邮件置信度级别；

13.如权利要求12所述的计算机可读介质，其特征在于，还具有计算机可执行指令，用于执行向至少一个垃圾邮件置信度级别应用一调整因子，以创建至少一个经调整的垃圾邮件置信度级别的步骤，并且其中，确定最高垃圾邮件置信度级别的步骤包括确定所述至少一个经调整的垃圾邮件置信度级别和应用了所述调整因子的垃圾邮件置信度级别中的最高者的步骤。

14.如权利要求13所述的计算机可读介质，其特征在于，应用调整因子的步骤包括按与所述至少一个垃圾邮件置信度级别相关联的反垃圾邮件模块中的用户置信度级别调整至少一个垃圾邮件置信度级别。

15.如权利要求12所述的计算机可读介质，其特征在于，还具有用于执行将每一垃圾邮件置信度级别缩放至一归一化范围的步骤的计算机可执行指令。

16.如权利要求15所述的计算机可读介质，其特征在于，所述归一化范围是0到9。

17.如权利要求12所述的计算机可读介质，其特征在于，还具有用于执行向所述消息添加所述垃圾邮件置信度级别的步骤的计算机可执行指令。

18.如权利要求12所述的计算机可读介质，其特征在于，所述至少一个阈值包括多个阈值，所述多个阈值包括最高阈值和最低阈值，所述计算机可读介质还具有用于执行以下步骤的计算机可执行指令：

如果所述最高垃圾邮件置信度高于所述多个阈值的至少一个：

确定所述多个阈值的至少一个中哪一个最接近于所述最高阈值；以及

调用所述多个阈值中最接近于所述最高阈值的至少一个相关联的动作。

19.如权利要求12所述的计算机可读介质，其特征在于，调用所述动作的步骤包括调用删除消息、发送未送达通知、归档消息、以及将消息传递到具有最高垃圾邮件置信度级别的客户机中的一个。

20.如权利要求12所述的计算机可读介质，其特征在于，调用所述动作的步骤包括：

如果所述最高垃圾邮件置信度级别超过第二阈值级别但低于第一阈值级别，则向发送者返回未送达消息；

21.如权利要求20所述的计算机可读介质，其特征在于，所述第一阈值是百分之九十九的垃圾邮件置信度级别，所述第二阈值是百分之七十的垃圾邮件置信度级别，所述第三阈值是百分之四十的垃圾邮件置信度级别。

22.如权利要求20所述的计算机可读介质，其特征在于，还具有用于执行将对所述消息采取的动作记入日志的步骤的计算机可执行指令。

23.如权利要求12所述的计算机可读介质，其特征在于，还具有用于执行调用所述多个反垃圾邮件模块的多个的步骤的计算机可执行指令。

24.如权利要求23所述的计算机可读介质，其特征在于，调用所述多个反垃圾邮件模块的多个的步骤包括提供所述消息中的接收者地址列表的步骤。

25.如权利要求12所述的计算机可读介质，其特征在于，还具有用于执行破解和编码所述消息的内容的步骤的计算机可执行指令。