Bekijk Volledige Versie : Exchange wordt aangevallen?
Jongens,
Ik krijg constant een 7010 Event op m'n SBserver die hier lokaal bij mij thuis draait. Deze fungeert als Exchange server. en opzich heb ik alles dichtgetimmerd ivm relaying en al die crap.
Echter, niet access krijgen is toch een poging tot en daar houdt SBS niet van. Dus ik heb nu al meer dan 7300 meldingen met de volgende inhoud:
EvenID 7010
This is an SMTP protocol log for virtual server ID 2, connection #804. The client at "219.84.253.87" sent a "rcpt" command, and the SMTP server responded with "550 5.7.1 Unable to relay for liaoml@ms82.url.com.tw ". The full command sent was "rcpt TO: <liaoml@ms82.url.com.tw>". This will probably cause the connection to fail.
Het zijn steeds verschillende email adressen en IP adressen. Een lookup op een van de IP's in Ripe geeft een globaal ip-block aan (kan dus overal op de wereld zijn).
Iemand?
SMTP dichtgooien is overigens geen optie sinds ik mijn mail gewoon wil ontvangen.
Als je een smtp server aan het internet hangt heb je 2 opties:
1. Daar leren mee leven.
2. Er een filter voor plaatsen, hardware of software.
Van Exchange weet ik niets, maar bij ons worden ip's voor een tijd geblocked na een paar van dergelijke pogingen. Als iedere poging werkelijk van een ander ip adres komt lost dit natuurlijk ook niets op, maar meestal heb je wel een burst vanaf het zelfde ip adres.
crazycoder
14/06/08, 14:11
EvenID 7010
This is an SMTP protocol log for virtual server ID 2, connection #804. The client at "219.84.253.87" sent a "rcpt" command, and the SMTP server responded with "550 5.7.1 Unable to relay for liaoml@ms82.url.com.tw ". The full command sent was "rcpt TO: <liaoml@ms82.url.com.tw>". This will probably cause the connection to fail.
Het zijn steeds verschillende email adressen en IP adressen. Een lookup op een van de IP's in Ripe geeft een globaal ip-block aan (kan dus overal op de wereld zijn).
Iemand?
Dat ip komt uit het apnic blok, ripe kijkt gemiddeld niet veel verder dan z'n eigen neus lang is.
Verder zie ik niet helemaal wat het probleem nu eigenlijk is. Je smtp server vertikt het om voor een e-mail adres te relayen. Dat wil je ook. Het werkt dus zoals bedoelt, Exchange verteld dat via de logs.
Als je bezorgt bent om die logging zet logging dan uit of zoek een of andere e-mail filter service die de troep voor jou eruit haalt.
ik zou even kijken of je niet als open relay server fugeert, het lijkt me van niet want daar gaat de meldinge over :)
http://www.google.nl/search?as_q=open+relay+test&hl=nl&num=100&btnG=Google+zoeken&as_epq=&as_oq=&as_eq=&lr=&cr=&as_ft=i&as_filetype=&as_qdr=all&as_occt=any&as_dt=i&as_sitesearch=&as_rights=&safe=images
die van abuse.net is wel goed...
daarnaast zou ik IMF aan gaan zetten met een paar RBL list erin (spamhause bv.) die blokkeert de boel al eerder zodat je logs niet vol lopen.
2003:
http://www.petri.co.il/block_spam_with_exchange_2003.htm
2007:
http://exchangepedia.com/blog/2006/12/exchange-server-2007-how-are-rbls.html
suc6 ;)
dreamhost_nl
15/06/08, 14:02
daarnaast zou ik IMF aan gaan zetten met een paar RBL list erin (spamhause bv.) die blokkeert de boel al eerder zodat je logs niet vol lopen.
Ook als een e-mail wordt geblokkeerd i.v.m. een RBL zal dit normaliter in je logging verschijnen hoor... ;)
Klopt, ik ben al met IMF bezig gedaan, en spamlists als Spamhaus toegevoegd. De afgelopen 24 uur is het dan opeens ook rustig geweest:)
ik heb trouwens in de afgelopen week een mail gezien met de inhoud dat mijn server een openrelay server zou zijn. Op dat moment was dat ook nog zo (test proposes) en ik denk dat ik daarom al die relay's krijg...
crazycoder
15/06/08, 19:47
ik heb trouwens in de afgelopen week een mail gezien met de inhoud dat mijn server een openrelay server zou zijn. Op dat moment was dat ook nog zo (test proposes) en ik denk dat ik daarom al die relay's krijg...
Nee, die pogingen doen ze toch wel :)
Nee, die pogingen doen ze toch wel :)
idd.. duizende per dag :(
dreamhost_nl
16/06/08, 09:49
..en het feit dat je als "open relay" bekend stond zal deze hoeveelheid ook wel enigszins hebben doen toenemen... ;)
attempts zijn nu gelukkig afgenomen. Ik had al een Spamfilter draaien (MailMarshal). Nu dus IMF met een paar RBL lists er in.
Afwachten dan maar:)