Onderwerp: Nieuws - Nederlandse hostingprovider voerde ddos-aanval uit op Spamhaus

Artikel in de automatiseringsgids: http://www.automatiseringgids.nl/nie...nker-kloetinge
Artikel op security.nl https://www.security.nl/artikel/4569...berbunker.html

Deze blog al gelezen?
https://greenhost.nl/2013/03/21/spam...d-spamhaus-ip/

It seems clear that the CB3ROB network hijacked one (or more) of the IP addresses of Spamhaus, and installed a DNS server there which incorrectly returns positive results to every query. The result causes harm to Spamhaus users and their customers, making Spamhaus unusable for anyone unable to correct the problem as we did, and perhaps even undermining the credibility of Spamhaus itself.

Oorspronkelijk geplaatst door ®on

Deze blog al gelezen?
https://greenhost.nl/2013/03/21/spam...d-spamhaus-ip/

Jup, maar /32 announcen is quite useless gezien die door 99% van de ISP's wel gefilterd worden..

Mogelijk interessant om cnet hierover ook eens te lezen: http://news.cnet.com/8301-1009_3-575...een-prevented/

Oorspronkelijk geplaatst door phreak

Jup, maar /32 announcen is quite useless gezien die door 99% van de ISP's wel gefilterd worden..

De schrijver van de blog entry (greenhost.nl) was dus de 1% .

Ik blijf me toch enigszins verbazen in deze thread. Het gaat maar door over het wel of niet van een Cyberbunker, terwijl het eigenlijk om de aanval gaat en wat dat veroorzaakt.

Misschien denk ik er te makkelijk over maar CB3ROB is eerder "berucht" (misschien iets te hard uitgedrukt) dan bekend, al dan niet zonder bunker.
Ongeacht wie zo'n DDOS gedaan heeft.... vervolgen die hap. Als justitie kleine jongens aanpakt die dit doen, dan ook providers die zich niet kunnen gedragen.

Wat Spamhaus betreft..... nja... misschien mis ik na 10 jaar Spamhaus gebruik wel iets, maar nooit last gehad als je gewoon zorgt dat de spam stopt. Zie ik het verkeerd als ik dan denk dat de providers zich gewoon moeten gedragen? Dan hebben ze ook geen last van Spamhaus. En als iedereen het zo vreselijk vind is het een kwestie van als groot blok Spamhaus niet meer gebruiken, heb je immers niet perse nodig.
Dus ik zie het probleem niet zo, behalve dan dat zo'n DDOS gewoon door jusititie aangepakt moet worden.

Probleem is dat (helaas) veel providers spamhaus gebruiken en als je in de SBL zit dan gaan je klanten klagen omdat hun mail niet meer aankomt. Als iedereen stopt met het gebruiken van spamhaus dan zijn we snel van die toko af.

Spamhaus blokkeert niet enkel spammers maar ook de isp's die websites van spammers hosten, sites die verwijzen naar filesharing downloads (films, games, software enz..) komen ook in de SBL.

Zijn er goede alternatieven? Ik draai default exim.confs van DA.

Als ik een grep op "Email blocked by" op het exim log doe dan zijn alle hits voor spamhaus. Van wat ik zo zie allemaal ook echt spam.

Oorspronkelijk geplaatst door Arieh

Zijn er goede alternatieven? Ik draai default exim.confs van DA.

Als ik een grep op "Email blocked by" op het exim log doe dan zijn alle hits voor spamhaus. Van wat ik zo zie allemaal ook echt spam.

heb je verificatie aanstaan? (require verify = sender)
Dit in combinatie met spamassassin stopt 99,5% van alle spam mails.

Dat ze ook beginnen ISP's van spammers te blokkeren vind ik persoonlijk een goede zaak. Je wilt spammers immers niet als klant.
Het is niet goed dat ze ook sites die door jou genoemde verwijzingen doen blokkeren. Dat heeft niets met spam te maken.

Als iedereen stopt met het gebruiken van spamhaus dan zijn we snel van die toko af.

Ja daarom schreef ik ook "als een blok", dus als 1 groot blok als providers. Maar dan zou je wat dat betreft alle of in elk geval de meeste isp's en hosters op 1 lijn moeten krijgen. De vraag is of dat gaat lukken, want lukt dat niet dan schiet het niet op.

@Arieh: Ja er zijn zeker alternatieven. In de exim.conf staan immers ook nog NJABL en CBL standaard actief. Zelf zet ik er altijd Spamcop bij, dat is ook een goede, kun je makkelijk als volgt even ertussen plaatsen:

Code:

# deny using spamcop
  deny message = Email blocked by SPAMCOP - to unblock see http://www.spamcop.net/fom-serve/cache/76.html
       hosts = !+relay_hosts
       domains = +use_rbl_domains
       !authenticated = *
       dnslists = bl.spamcop.net

@Swedendedicated: Die verificatie is wel een mooie optie, maar krijg je dan geen last met bijv. noreply@domein.nl emails hetgeen bijv. vaak gebruikt wordt voor legale mailinglijsten? Worden die dan niet gebounced?

Hmmz... er plakken ook nog andere nadelen aan, bijv. zoals bij OVH die op een bepaalde manier mails verzend bij accounts, kans dat anderen dat ook doen:
http://bohwaz.net/p/Exim-whitelist-s...verify-callout
En hoe zit het met mails die van servers komen root@server.domein.nl met o.a. log en andere info? Ik begin me af te vragen of je dan niet ook dingen niet krijgt die wel nodig zijn. En om alles te gaan lopen monitoren en dan te whitelisten, nah... dan gebruik ik liever een paar RBL's. Of ik moet me nu echt vergissen, kan ook.

Ik weet niet precies hoe het zat met noreply maar volgens mij moet zo'n account wel bestaan maar worden de mails gebounced, met andere worden de noreply kunnen gewoon geverifieerd worden. Anders zou je de RFC regel breken zoals sommige doen/deden met de abuse@ en postmaster@

Je kunt lokale ip's whitelisten evenals hele ranges.

Op een server require verify aangezet en spamhaus uit, even kijken wat er gebeurd.

Ben nog niet echt onder de indruk van verify, er komt spul binnen van ik vermoed gehackte webservers. Heb spamcop er maar tussen gezet die houdt een boel tegen nu. Spamcop is toch wel oke?

Mogelijk dat spamassasin hoger moet bij iedereen maar das ook geen feest. Zo'n lijst met bad servers als principe lijkt me geen overbodige luxe.

Zet deze er tussen: b.barracudacentral.org

Spamcop tagged veel legitieme mails als spam.