Onderwerp: Mailserver op blocklist (virbl.bit.nl)

Oorspronkelijk geplaatst door nieuwhier

Is er bij BIT uberhaupt de wil om naar iets toe werken waar iedereen(niet alleen de grote jongens) mee kan leven ?

Ik heb ze aangegeven dat ze het totale mailvolume van een een server moeten meenemen in de afweging hoeveel virussen tot listing leidt (zoals de meeste blacklists doen). Dan krijg je een eerlijk systeem. Ze nemen dit volgens mij wel in overweging. Op dit moment is de lijst moeilijk serieus te nemen. Zeker als ze zo flexibel met een partij als Online omgaan. Ik ken wel meer bedrijven op de whitelist zonder goed abuse beleid. Daar zou gezamenlijk veel harder tegen opgetreden moeten worden. Wij overwegen zelf ook de publicatie van enkele van onze interne blacklists dus dit is een interessant onderwerp

Het grootste probleem in mijn ogen is dat VIRBL een pemanent reject aanraadt op haar site. Zolang het beleid niet aangepast wordt, is een permanent reject veel te zwaar en kan veel beter een temp reject worden aangeraden (maar nog beter is om de score alleen te combineren met andere classifiers).

Als je terug gaat lezen in de history van de nlnog maillijst, zie je ook dat de whitelist ooit is opgezet om juist collega's (vanuit BIT gezien), te onzien van de blacklist. Toen in 2003 hadden ze namelijk er last van dat ze mail niet van andere ontving. De lijst is dus daadwerkelijk opgezet om collega's te ontzien van blacklisting (en je komt toch niet zomaar op een blacklist, of heb ik het dan mis?).

quote van http://mailman.nlnog.net/pipermail/n...st/000525.html

Ik ben bezig met het samenstellen van een whitelist van mailservers van
nederlandse ISP's. Dit klinkt misschien bekend in de oren, maar het is
geen AOL-idee. Ik wil deze lijst gebruiken om voor blacklists checks te
doen zodat we geen last hebben van entries in bekende lists waar collega
ISP's in staan. Vanochtend bleek dat een niet nader te noemen
medium-sized collega in lists.dsbl.org stond, en dat er daardoor een
hoop legitieme mail verloren is gegaan. Dit willen we voorkomen door
middel van een whitelist, die overigens ook beschikbaar is voor derden.

De whitelist was (is?) dan ook
in eerste instantie bedoeld voor BIT intern om false positives te
voorkomen.

De whitelist was/is dus bedoel om false positives te voorkomen. Echter faalt BIT met deze lijst door bijvoorbeeld een online er nog wel op te laten staan, ook al weten ze dat online veel problemen heeft om hun mailscanning voor elkaar te krijgen of een abuse policy op orde te hebben. Hier bewijst BIT dat zelf selectief omgaat met de whitelist en niet handeld naar een concreet aantal punten om de whitelist te vullen.

Toen Alex met z'n briljante plan kwam om virusmails te blacklisten was
er des te meer reden om de lijst te vullen met de serieuzere ISPs.

Ik ben benieuwt dat Alex voor definitie gebruikt voor "serieuzere ISPs" en hoe dit rijmt met het 'geval' Online.

Ik ben voor een virbl, maar niet hoe er nu kunstmatig partijen bevoordeeld worden. Ik hoop nog steeds dat BIT serieus gaat nadenken over hoe de virbl nu in elkaar zit en waar de 'knelpunten' zitten. Zo niet, dan hoop ik dat Brinkie ver genoeg gaat.

Je gaat een whitelist opstellen omdat anders een hoop legitieme mail verloren gaat. Maar hallo, het feit dat verloren gaat is toch de trigger voor de verzendende ISP om wat aan zijn listing te doen? Als je zo'n whitelist in stand houdt kan het een Online dus aan hun kont roesten of ze gelist zijn. Totdat Mark mailt, joehoe Online, we gaan jullie toch blocken. Woordelijk rennen ze, maar tot gisteren is er niets veranderd. Knal ze maar eens op de blocklist, en zie eens hoe snel het dan opgelost is.

Nogmaals BIT, was is het nut van deze lijst?

Ik had het niet verwacht maar wederom staat een van onze servers erop. Een server met ongeveer 100.000 emails per dag.

De virusdefinities werden 6x per dag vernieuwd. Er zijn dan ook 6!!!! emails doorheen gegaan omdat deze net nog niet in de viruslijst zaten. Dat kan ik precies zien adv het tijdstip/datum van de viruslijst.
Ik laat die server zichzelf nu 24x per dag updaten.

De laatste melding was van 12:15(12:30 werd de update uitgevoerd). Doordat ik handmatig de virusscanner startte is er nog 1 doorgegaan terwijl ik bezig was.

Wij hebben echt een prima beleid en doen alles om virussen te voorkomen. Als ik dan die andere jokers met 80.000 virussen zie staan op die f... whitelist kan ik wel janken.

DIT kan toch niet de bedoeling zijn mensen van BIT.
En nu moet ik G.D 24 uur wachten tot die server weer toegelaten wordt ?!?!?!?!?!!!!!!

Oorspronkelijk geplaatst door Glenn

Je gaat een whitelist opstellen omdat anders een hoop legitieme mail verloren gaat.

In principe zou die mail niet verloren moeten gaan natuurlijk maar later weer aangeboden worden. Wat, als je veel mailverkeer hebt, extra (onnodige) serverload veroorzaakt natuurlijk, dat dan weer wel. En, je moet dus minimaal 24 uur lang mail opnieuw blijven aanbieden waarbij, met een beetje pech, weer een 'virus'-mail kan zitten.. waardoor de cirkel weer rond is.

Oorspronkelijk geplaatst door nieuwhier

Ik had het niet verwacht maar wederom staat een van onze servers erop. Een server met ongeveer 100.000 emails per dag.
[..]
Ik laat die server zichzelf nu 24x per dag updaten.

En nog ben je nooit 100% 'gedekt'?! Serieus, 6x per dag, dat is hartstikke netjes volgens mij. Dit soort reacties toont toch de totale zinloosheid in van de inmenging van BIT & vriendjes in het mailverkeer van anderen. De enige oplossing is, en dat is echt de enige, de originators blacklisten (zonder de lijst publiek te maken, wordt dus lastig) en de zendende smtp-server moet verplicht worden een goed beleid te hebben.

Oorspronkelijk geplaatst door brinkie

En nog ben je nooit 100% 'gedekt'?! Serieus, 6x per dag, dat is hartstikke netjes volgens mij. Dit soort reacties toont toch de totale zinloosheid ...

Hier zou nou die whitelist nuttig zijn. Wij zouden ons moeten kunnen registreren en ipnummers opgeven. Bij detectie van die 6 virussen zou er dan een mail gestuurd kunnen worden naar ons in de trend van 'LET OP'. DAAR hebben we dan allemaal iets aan.

Want wat gebeurd er nu ? Onze klanten sturen mails die niet aankomen. En ze snappen er werkelijk helemaal niets van!

Bit, reageer eens ?

Oorspronkelijk geplaatst door brinkie

In principe zou die mail niet verloren moeten gaan natuurlijk maar later weer aangeboden worden. Wat, als je veel mailverkeer hebt, extra (onnodige) serverload veroorzaakt natuurlijk, dat dan weer wel. En, je moet dus minimaal 24 uur lang mail opnieuw blijven aanbieden waarbij, met een beetje pech, weer een 'virus'-mail kan zitten.. waardoor de cirkel weer rond is.

Dat klopt niet. BIT raadt iedereen aan (en daarom doen de mensen die niet weten hoe ze een mailserver moeten beheren dat ook) om de emails met een 5xx code te rejecten (permanent reject) in plaats van een 4xx code (temporary reject). Je mailserver zal dus niet opnieuw proberen af te leveren en de email is wel degelijk "verloren" gegaan (de afzender heeft als het goed is wel een bounce gehad).

Kunnen de mensen die regelmatig onterecht gelist worden (er draait een up-to-date Clamav) mij het IP adres PMen? Ik kan eens kijken wat de trust-score in ons systeem is. Wellicht kunnen we de VIRBL lijst filteren op dit soort "false positives" en kan BIT daar wellicht weer iets mee doen.

Oorspronkelijk geplaatst door Dreas

BIT raadt iedereen aan (en daarom doen de mensen die niet weten hoe ze een mailserver moeten beheren dat ook) om de emails met een 5xx code te rejecten (permanent reject) in plaats van een 4xx code (temporary reject).

Dit is wel heel erg!

Oorspronkelijk geplaatst door Dreas

Dat klopt niet. BIT raadt iedereen aan (en daarom doen de mensen die niet weten hoe ze een mailserver moeten beheren dat ook) om de emails met een 5xx code te rejecten (permanent reject) in plaats van een 4xx code (temporary reject). Je mailserver zal dus niet opnieuw proberen af te leveren en de email is wel degelijk "verloren" gegaan (de afzender heeft als het goed is wel een bounce gehad).

Dan heb je het over rejects/bouncen. Mijn systeem, bijvoorbeeld, doet geen full body bounces; dat heb ik ingesteld door het volgende in Exim op te nemen:

bounce_return_body
bounce_return_size_limit = 1K
errors_reply_to = xxxxx @ superhost.nl

Oftewel een bounce is gelimiteerd tot 1K, waardoor een attachment nooit mee/terug komt. Dat werkt prima. Het probleem waar 'nieuwhier' (denk ik, gezien zijn eerdere reacties?) tegenaan loopt zijn die mailtjes die via een alias (forward) er door rollen. Dat is juist hét probleem mag ik wel zeggen; die worden dan bijv. geforward naar een user bij @Home die vervolgens constateert: "virus!" en de blacklisting gedaan...

Het zou realistischer van BIT zijn om de virusdefinitief pas EEN uur na toevoeging aan de definitiedatabase te gaan gebruiken. Dan heeft elke provider voldoende mogelijkheden om zijn/haar definities bij te werken. En is deze hele discussie overbodig.

Overigens doen wij ook een permanent rejection van mail op blacklist. Daarmee blokkeren we zo'n 250.000 e-mails per dag. En ik kan je vertellen dat de virusscanners daar erg blij mee zijn

Oorspronkelijk geplaatst door almar

Overigens doen wij ook een permanent rejection van mail op blacklist. Daarmee blokkeren we zo'n 250.000 e-mails per dag. En ik kan je vertellen dat de virusscanners daar erg blij mee zijn

Weten je klanten daarvan? En: wat vinden ze er van? Hoe reject je? Gewoon iedereen/alle servers op VIRBL? Dat heb ik ook twee weken gedaan, met zeer verbolgen klanten als gevolg..

Oorspronkelijk geplaatst door almar

Daarmee blokkeren we zo'n 250.000 e-mails per dag. En ik kan je vertellen dat de virusscanners daar erg blij mee zijn

Technisch gezien super, een behoorlijke ontlasting van de mailserver. Maar functioneel gezien heb ik er toch wel moeite mee. De tijd dat je er zeker kon zijn dat je email zijn doel zal bereiken lijkt zo onderhand wel voorbij.

Maar we hebben het hier alleen maar over virussen. Dat is toch een relatie klein percentage van het geheel. Het overgrote deel is spam en dan nog een klein deeltje wat echte ham is :-)

Het zou lekker zijn als BIT zich ook zo gaat gedragen bij ipnummers waar 2 spammailtjes per dag vandaan komen, dan kan alleen de whitelist nog met elkaar communiceren ;-) Gelukkig kun je tegenwoordig ook online postzegels bestellen ....

Oorspronkelijk geplaatst door brinkie

Weten je klanten daarvan? En: wat vinden ze er van? Hoe reject je? Gewoon iedereen/alle servers op VIRBL? Dat heb ik ook twee weken gedaan, met zeer verbolgen klanten als gevolg..

wel apart dat jij een van de weinige bent die hier vooral steen bij been blijft klagen. Ik heb je al aangesproken per PB, maar het wordt nu echt tijd dat je gewoon ophoud met de boel opzadelen met _jouw_ problemen !

Oorspronkelijk geplaatst door nieuwhier

Technisch gezien super, een behoorlijke ontlasting van de mailserver. Maar functioneel gezien heb ik er toch wel moeite mee. De tijd dat je er zeker kon zijn dat je email zijn doel zal bereiken lijkt zo onderhand wel voorbij.

Ja, functioneel gezien zou het een probleem kunnen zijn. Maar dat wordt het naar ons idee op het moment dat je een temporary rejection doet. Omdat je daarmee afhankelijk wordt van de queuelifetime van de verzendende partij. Door gelijk te bouncen weet de afzender gelijk dat er een probleem is. Bounce is in dit geval natuurlijk naar oorspronkelijke verzender.

Wij gebruiken al ruim een jaar of 4 RBL's en eigelijk weinig problemen. Uiteraard weten onze klanten dat.

Per dag forwarden wij een veelvoud van de eerder genoemde aantal mails, vrijwel altijd zonder problemen.

Ik denk serieus dat als mijn idee op de VIRBL wordt toegepast, de meeste problemen wel verholpen zullen zijn.