Onderwerp: DNS-based anti spamlists - welke spam blocklists gebruiken jullie?

Voor de liefhebbers:

Van de gehele maand november:

Relay Denied 423
Host Rejected 28589
Dns Block 48901
Unknow User 3342
No Full email addr 101
Invallid Helo Command 75
Spam mail 1799
Virus Mail 5334
Totaal: 88564


bl.spamcop.net 2189
blackhole.securitysage.com 163
combined.njabl.org 9854
dnsbl.njabl.org 1281
dnsbl.sorbs.net 3751
flowgoaway.com 76
list.dsbl.org 10943
multihop.dsbl.org 632
opm.blitzed.org 1401
relays.ordb.org 249
sbl-xbl.spamhaus.org 1136
sbl.spamhaus.org 9228
virbl.dnsbl.bit.nl 6608
zombie.dnsbl.sorbs.net 1390
Totaal: 48901

Origineel geplaatst door electric
bl.spamcop.net 2189
sbl-xbl.spamhaus.org 1136
sbl.spamhaus.org 9228
virbl.dnsbl.bit.nl 6608

3 vragen / opmerkingen :
* bl.spamcop.net is nog steeds experimental, dit weet je?
* Waarom zowel sbl.spamhaus.org als sbl-xbl.spamhaus.org? De laatste bevat ook de SBL entries.
* Het is, mijns inziens, het verstandigste om virbl.dnsbl.bit.nl als eerste in je rijtje op te nemen, deze pakt immers alleen met een virus geinfecteerde hosts. Dit verlaagd de load voordat de mail door andere DNSBL's gaat.

Origineel geplaatst door Digiover


3 vragen / opmerkingen :
* bl.spamcop.net is nog steeds experimental, dit weet je?

-> Euhm, wist ik niet. Maar doet 't naar mijn inzien prima.

* Waarom zowel sbl.spamhaus.org als sbl-xbl.spamhaus.org? De laatste bevat ook de SBL entries.

-> Ja klopt, vergeten te verwijderen.

* Het is, mijns inziens, het verstandigste om virbl.dnsbl.bit.nl als eerste in je rijtje op te nemen, deze pakt immers alleen met een virus geinfecteerde hosts. Dit verlaagd de load voordat de mail door andere DNSBL's gaat.

-> Die staat ook helemaal in 't begin. echter in mijn stats niet ( op naam georderd )

Origineel geplaatst door electric

-> Euhm, wist ik niet. Maar doet 't naar mijn inzien prima.

Het probleem van bl.spamcop.net vind ik de manier van listen, het algorithme erachter. Iedereen kan iedere e-mail aanmelden alszijnde spam, doet men dit vaak voor e-mail afkomstig van jouw servers dan sta je automatisch in de lijst.

PS: Zo snel heb ik het woord 'experimental' niet meer kunnen vinden op de site, dus ik ben niet helemaal zeker van mijn bewering. Ik zal eens goed zoeken .

Ik zit nu al een tijdje hierna te staren en ben tot de conclusie gekomen dat ik dit ook op mijn server wil hebben.

Hoe kan ik dit in mijn exim.conf zetten?
Kan iemand mij daar mee helpen?

Groeten,
Willow

Origineel geplaatst door WilloW
Ik zit nu al een tijdje hierna te staren en ben tot de conclusie gekomen dat ik dit ook op mijn server wil hebben.

Hoe kan ik dit in mijn exim.conf zetten?
Kan iemand mij daar mee helpen?

Groeten,
Willow

Is dit iets ?

http://www.linuxconsultants.com.au/help/spam.txt

Origineel geplaatst door Digiover


PS: Zo snel heb ik het woord 'experimental' niet meer kunnen vinden op de site, dus ik ben niet helemaal zeker van mijn bewering. Ik zal eens goed zoeken .

Nog wat kunnen vinden?

Ik had er nog niet naar gekeken, dus nu maar even snel gedaan. Het staat er niet letterlijk (wat het eerst wel deed), maar lees: http://www.spamcop.net/bl.shtml "Implement the SCBL to Filter Spam".

Als ik een mogelijkheid heb zal ik de SCBL eens testen (liefst in een tag-only mode met SpamAssassin bijv.).

Het verschilt, bij tijden gaat het lekker, maar soms :S

DNS Blacklists zijn heel mooi, maar ook erg gevaarlijk. Uit ervaring blijkt dat ORDB de meest betrouwbare partij is.
Persoonlijk gebruik ik deze lijsten liever vanuit Spamassassin dan meteen de e-mail blokkeren als afzender IP in een van deze lijsten voorkomt. De klant kan bij ons zelf het spamfilter nivo instellen waarop spamassassin blokkeert. Zo kan de klant zelf bepalen of hij de e-mail al blokkeert als hij in een van die lijsten voorkomt.

Er is ooit een artikel in een Belgische krant geweest waarvan ik dertijds nog een samenvatting moest maken voor de les Nederlands.

--------------------------------------------------------
Soldaten in de oorlog tegen spam

Er wordt dagelijks oorlog gevoerd tegen onbekenden op het grootste slagveld ter wereld. Het Internet. Voor een zodanige immense oorlog heb je natuurlijk veel soldaten nodig. Wel, die bestaan! Het bedrijf MessageLabs uit Gloucester, een stadje in de Britse Cotwolds levert dagelijks een fikse slag tegen virusschrijvers en spammers.


MessageLabs is gespecialiseerd en eveneens marktleider in geïntegreerde e-mailbeveiliging. Hun netwerk bestaat uit 120 centra met elk 25 supercomputers die zich op verschillende strategische locaties op de aardbol bevinden. Een beveiligde ruimte met een enorm plasmascherm waarop symbooltjes en allerlei kleuren te zien zijn tot gedetailleerde grafieken met daarachter acht technici in zwarte uniforme kledij zitten op hun comfortabele bureaustoelen de schermen van hun laptops kritisch e-mail te analyseren.

Iedere dag is er minstens een alarm of waarschuwingssignaal op het National Operation Center (war room) van MessageLabs. Tot honderd twintig miljoen e-mailtjes per dag worden gecontroleerd door MessageLabs. 70% bestaat uit spam waarvan 1 op 32 een virus bevat. Wanneer het om een bekend virus gaat wordt deze onmiddellijk geëlimineerd. Maar een klein aantal ervan die tot de duizend berichten oploopt wordt verdacht gesteld tot nader onderzoek. In vaktermen: “suspicious messages”. Deze bevatten dan meestal een nieuwe virusvariant. Ze worden daarna doorgestuurd naar een team specialisten, indien nodig worden ze thuis zelf wakker gebeld. Niet lang geleden ontdekte MessageLabs negen nieuwe virusvarianten op één dag.

MessageLabs controleert het e-mailverkeer voor zo’n 11.000 klanten met vier miljoen eindgebruikers. Zo’n controle vindt plaats wanneer de e-mail nog rondzwerft op het WWW en nog geen schade kon toebrengen. Ze worden dan afgeleid naar het infrastructuur van MessageLabs waar een controleprogramma genaamd ‘Skeptic’ zorgt voor een zorgvuldige scan. Skeptic zorgt er dus voor dat elk bericht intensiever gecontroleerd word dan met basis-antivirussoftware mogelijk maakt. Er wordt ook meer gekeken naar de omvang en de structuur van het bestand. Zo wordt Skeptic verschillende malen per dag aangepast zodat het opgewassen is tegen de nieuwste virussen. Een gewone pc heeft onvoldoende rekenkracht, daarbij is het scannen van mails “in the cloud” veel efficiënter dan die door de mailserver zelf gefilterd worden. Wanneer een nieuw virus zich verspreid kan het tien uur duren vooraleer specialisten er achter komen wat voor schade het virus kan aanrichten. Tijdens die periode kan het virus heel wat schade aanrichten bij de gewone consumenten.

MessageLabs klanten blijven gegarandeerd vrij van de malware. Wanneer er toch een infectie optreedt betaalt MessageLabs de opgelopen schade. Maar dat is sinds de afgelopen drie jaar niet gebeurd. Oprichter en algemeen directeur Ben White antwoord ‘Ja’ op de vraag of hij de oorlog tegen spam en virussen aan het winnen is. Maar twijfelend of er ooit vrede op Internet zal zijn.

Maar, na een eerste golf komt een tweedde. Dan spreekt men van IM, VOIP en mobiele communicatie. De strijd is nog lang niet gedaan.

Copyright 2005 - Ken

Allemaal zeer nuttige informatie, vooral leuk om te zien welke dns blacklists er zoal gebruikt worden. Aan de stats te zien is het wel duidelijk dat het zin heeft. (merken wij trouwens zelf ook wel)

Voor de spam die er toch nog doorkomt (en is er heus wel wat voor sommige domeinen) is het misschien een optie om dspam te overwegen. Heeft een heel andere aanpak dan spamassassin maar kan hier en daar effectiever zijn..

http://dspam.nuclearelephant.com/

Gebruik 'm zelf al eventjes, en moet zeggen, een correctheid die 'veel' hoger ligt dan andere filters.. (hoewel veel van je initiele training afhangt natuurlijk)

cheers

/usr/local/bin/tcpserver -v -R -l "$LOCAL" -x /etc/tcp.smtp.cdb -c "$MAXSMTPD" \
-u "$QMAILDUID" -g "$NOFILESGID" 0 smtp rblsmtpd \
-r relays.ordb.org \
-r bl.spamcop.net \
-r sbl.spamhaus.org \
-r relays.ordb.org \
-r dnsbl.sorbs.net \
-r dnslisbl.spamcop.net \
-r cbl.abuseat.org \

Wij gebruiken bovenstaande nu.

sbl+xbl,
relays.ordb.org,
dnsbl.sorbs.net.

Op dit moment dan. Heb sinds kort een MailScanner setup draaien, en da's best angstig als je ziet dat 75% van alle incoming mail spam is, maar wil 't ook niet -te- strak afstellen. Veel klanten stellen een misser wat betreft een 'geldige' mail die als spam weggesmeten wordt niet echt op prijs.

Wij gebruiken op dit moment de onderstaande RBL listings. Sorbs is vrij agressief maar houd erg veel spam tegen.

l1.spews.dnsbl.sorbs.net
l2.spews.dnsbl.sorbs.net
dnsbl.sorbs.net
relays.ordb.org
opm.blitzed.org
dnsbl.njabl.org
dynablock.njabl.org
blackholes.wirehub.net
list.dsbl.org
cbl.abuseat.org
sbl-xbl.spamhaus.org
bl.spamcop.net
korea.services.net

In de afgelopen 24 uur zijn er 1135 berichten gereject vanwege een RBL listing. Dit is een gemiddelde van 0.75 spam berichten per minuut. Doorgelaten zijn 245 in de afgelopen 24 uur.

We hebben een tijd greylisting gebruikt maar klanten vinden dit niet altijd even fijn. Zeker niet als ze wachten op een email en de @home mailserver heeft een requeue tijd voor 1 uur.

In de huidige setup werken we met een mailgateway die de mails zowel door RBL als spamassassin heen haalt. Zijn ze schoon worden ze doorgezet naar de productie bakken.