Analisi del tipo di file EML

Il rilevamento di spam e malware sui file di posta viene eseguito con una varietà di tecniche. Per darvi un'idea delle tecniche e delle euristiche coinvolte, ecco alcuni esempi. Nota che questi esempi sono lontani da un elenco completo:

• Informazioni sul percorso di consegna nell'intestazione della posta, vale a dire Received intestazione. Questi potrebbero essere utilizzati per estrarre l'indirizzo IP del mittente e controllare le blacklist. Anche DKIM-Signature e Received-SPF intestazioni, tipici oggetti spam o simili.
• Tipo e struttura degli allegati, ovvero un file ZIP con un file * .js all'interno è tipicamente malware. Un allegato HTML con Javascript è spesso phishing. Office documentato incorporato in PDF è solitamente malware, ecc.
• Il contenuto degli allegati controllati da un antivirus, ovvero la ricerca di macro nei documenti word o simili.
• Collegamenti inclusi nella posta che si riferiscono a siti di phishing.
• Confronto con i messaggi precedentemente classificati, ovvero la somiglianza con spam, phishing o malware noti.
• ...

Si noti che la maggior parte di queste sono solo euristiche. Ciò significa che anche se alcune funzionalità sono tipiche dello spam o del phishing, a volte potrebbero verificarsi anche in e-mail innocenti. Quindi c'è sempre una possibilità che un rilevamento sia in realtà un falso positivo, cioè qualcosa di innocente rilevato come cattivo. Simile c'è sempre la possibilità che qualcosa di brutto non venga rilevato e considerato innocente (falso negativo).