Onderwerp: Anti-Spam op z'n best

Spam, als server adminstrator wordt je er gek van. Met onze huidige setup komt er weinig spam binnen... toch vind ik weinig nog teveel.

Omdat we Plesk op onze productie servers draaien zijn we gebonden aan QMAIL. Laat dit nou net de deamon zijn waar ik niet mee overweg kan. We hebben daarom sinds een aantal maanden een mailgateway draaien die alle emails afhandeld. Op deze manier hoeft QMAIL alleen nog maar de email te routeren naar de juiste Map. De gateway doet de rest.

Wat doet de gateway dan? deze voert een aantal checks uit. Teneerste checkt ie een aantal RBL servers.

reject_rbl_client l1.spews.dnsbl.sorbs.net
reject_rbl_client l2.spews.dnsbl.sorbs.net
reject_rbl_client dnsbl.sorbs.net
reject_rbl_client relays.ordb.org
reject_rbl_client opm.blitzed.org
reject_rbl_client dnsbl.njabl.org
reject_rbl_client dynablock.njabl.org
reject_rbl_client blackholes.wirehub.net
reject_rbl_client list.dsbl.org
reject_rbl_client cbl.abuseat.org
reject_rbl_client sbl-xbl.spamhaus.org
reject_rbl_client bl.spamcop.net
reject_rbl_client korea.services.net

Daarnaast draait Spamassassin die bij een score van 5 aktie onderneemt. Vervolgens checkt amavis de email nog een keer.. en pas dan wordt ie doorgezet naar de server waar het domein op draait.

Toch blijft er spam binnenkomen.

Voorheen maakten we gebruik van greylisting. De meeste domeinen waren toen geheel spamloos. Helaas zorgt greylisting voor teveel ongemak...

Kortom de vraag; wat zou ik nog meer kunnen doen om het spam verhaal nog meer terug te dringen?

Alvast bedankt!

Oorspronkelijk geplaatst door Ronald vd Meer

Omdat we Plesk op onze productie servers draaien zijn we gebonden aan QMAIL. Laat dit nou net de deamon zijn waar ik niet mee overweg kan.

s/QMAIL/qmail/

http://www.lifewithqmail.org
http://www.qmail.org
http://www.fehcom.de/qmail/qmail.html

Oorspronkelijk geplaatst door Ronald vd Meer

We hebben daarom sinds een aantal maanden een mailgateway draaien die alle emails afhandeld. Op deze manier hoeft QMAIL alleen nog maar de email te routeren naar de juiste Map. De gateway doet de rest.

Wat doet de gateway dan? deze voert een aantal checks uit. Teneerste checkt ie een aantal RBL servers.

reject_rbl_client l1.spews.dnsbl.sorbs.net
reject_rbl_client l2.spews.dnsbl.sorbs.net
reject_rbl_client dnsbl.sorbs.net
reject_rbl_client relays.ordb.org
reject_rbl_client opm.blitzed.org
reject_rbl_client dnsbl.njabl.org
reject_rbl_client dynablock.njabl.org
reject_rbl_client blackholes.wirehub.net
reject_rbl_client list.dsbl.org
reject_rbl_client cbl.abuseat.org
reject_rbl_client sbl-xbl.spamhaus.org
reject_rbl_client bl.spamcop.net
reject_rbl_client korea.services.net

Ik wil niet negatief klinken, maar ik ben blij dat ik geen e-mail via jouw servers ontvang... Heb je ergens een lijstje DNSBLs van het net geplukt en in de Postfix configuratie geplaatst?

Tip 1) Plaats RBLs in volgorde van 'importance';
Tip 2) Verwijder overbodige RBLs (een aantal uit dit lijstje bestaan niet(!) meer... en anderen hebben dezelfde entries);
Dit is trouwens het zelfde lijstje als dat je gepost hebt in de thread ' DNS-based anti spamlists', toen heb ik je ook al gemeld dat een aantal DNSBLs niet meer bestaan.

Je gebruikt o.a. Spamcop en SPEWS, heb je de NL-Whitelist als whitelist-RBL geconfigureerd? Nee? Doen. Doe eventueel hetzelfde voor Belgie en andere landen.

Daarnaast draait Spamassassin die bij een score van 5 aktie onderneemt. Vervolgens checkt amavis de email nog een keer.. en pas dan wordt ie doorgezet naar de server waar het domein op draait.

Welke actie onderneemt Spamassassin? Verwijdert het de e-mail, of tagt SA? In ieder geval, analyseer binnengekomen spam en maak aan de hand hier van je eigen SA rules. Test deze eerst met een lage score (0.1 of zo).
Amavis is een virusscanner, right? Plaats deze voor Spamassassin in de set-up, om zo eerst virussen te filteren. Dit verlaagt de load op Spamassassin.

Toch blijft er spam binnenkomen.

Voorheen maakten we gebruik van greylisting. De meeste domeinen waren toen geheel spamloos. Helaas zorgt greylisting voor teveel ongemak...

Wederom wil ik niet negatief klinken, maar denk je dat deze set-up niet voor ongemak zorgt? Ik denk dat internationaal georienteerde klanten met moeite e-mail kunnen ontvangen (van zakelijke relaties bijv).

Kortom de vraag; wat zou ik nog meer kunnen doen om het spam verhaal nog meer terug te dringen?

Omdat je toch al zo agressief filtert:
* virbl.dnsbl.bit.nl is een aanrader;
* Weiger SMTP verbindingen van hosts zonder PTR records;
* Weiger email te accepteren na een foutieve HELO/EHLO (bijvoorbeeld geen FQDN in het HELO/EHLO commando);
* Eventueel zou je een eigen connectie naar het MX record op kunnen bouwen om te zien of deze bestaat. Zo ja, oke, zo nee: drop (soort van 'sender call-back', wat o.a. Tiscali ook uitvoert);
* Kijk naast Spamassassin ook eens naar dspam;

Oorspronkelijk geplaatst door Digiover

Omdat je toch al zo agressief filtert:
* virbl.dnsbl.bit.nl is een aanrader;
* Weiger SMTP verbindingen van hosts zonder PTR records;
* Weiger email te accepteren na een foutieve HELO/EHLO (bijvoorbeeld geen FQDN in het HELO/EHLO commando);
* Eventueel zou je een eigen connectie naar het MX record op kunnen bouwen om te zien of deze bestaat. Zo ja, oke, zo nee: drop (soort van 'sender call-back', wat o.a. Tiscali ook uitvoert);
* Kijk naast Spamassassin ook eens naar dspam;

Geldige PTR vereisen is niets mis mee, moet je wel hopen dat afzender geen KPN office dsl heeft want die komen standaard zonder PTR.. leuk he..

Je kan ook nog aan SPF denken.. Is niet alles, maar je kan o.a. spam via gespoofde hotmail en gmail accounts voorkomen..

De enige manier om spam 100% te stoppen is inkomend verkeer naar poort 25 sluiten. In alle andere gevallen blijf je spam houden.

Allemaal leuk die maatregelen die jij treft, maar heb je wel eens gekeken dat je NIET te goed filtert. maw. dat je geen legitieme email tegenhoud. Klanten kunnen niet tegen spam maar ook beslist niet tegen email die nooit binnenkomt

ptr en greylisting behalen wij trouwens wel goede resultaten mee. Als je ensim gebruikt check http://forum.ensim.com/showthread.php?t=16668 dan maar eens voor easy to use greylisting.

Peace

Oorspronkelijk geplaatst door Digiover

Ik wil niet negatief klinken, maar ik ben blij dat ik geen e-mail via jouw servers ontvang... Heb je ergens een lijstje DNSBLs van het net geplukt en in de Postfix configuratie geplaatst?

Nee, ik heb een aantal weken alle spam berichten bekeken en de afzender IP adressen door een multi rbl check gehaald. Deze gaf aan welke lijst welk IP blacklisted was. Dit bijgehouden en uiteindelijk een selectie gemaakt van de betreffende RBL lijsten.

Oorspronkelijk geplaatst door Digiover

Tip 1) Plaats RBLs in volgorde van 'importance';

Is inderdaad een goed idee... zojuist gedaan.

Oorspronkelijk geplaatst door Digiover

Tip 2) Verwijder overbodige RBLs (een aantal uit dit lijstje bestaan niet(!) meer... en anderen hebben dezelfde entries);
Dit is trouwens het zelfde lijstje als dat je gepost hebt in de thread ' DNS-based anti spamlists', toen heb ik je ook al gemeld dat een aantal DNSBLs niet meer bestaan.

Nogmaals bedankt. Deze zijn inmiddels verwijderd.

Oorspronkelijk geplaatst door Digiover

Je gebruikt o.a. Spamcop en SPEWS, heb je de NL-Whitelist als whitelist-RBL geconfigureerd? Nee? Doen. Doe eventueel hetzelfde voor Belgie en andere landen.

Maken we nog geen gebruik van. Zal gaan uitzoeken hoe we dit precies kunnen gaan gebruiken.

Oorspronkelijk geplaatst door Digiover

Wederom wil ik niet negatief klinken, maar denk je dat deze set-up niet voor ongemak zorgt? Ik denk dat internationaal georienteerde klanten met moeite e-mail kunnen ontvangen (van zakelijke relaties bijv).

Tijdens het opzetten van deze situatie tail ik veel het log om te kijken of alles goed gaat. Tot nu lijkt alles vrij goed te gaan en is de RBL listing vrij goed. Ik overweeg om eventueel sorbs te verwijderen uit de lijst. Dit aangezien wxs een notitie daar heeft. Ook planet heeft een tijd genoteerd gestaan als spam server.

Oorspronkelijk geplaatst door Digiover

Omdat je toch al zo agressief filtert:
* virbl.dnsbl.bit.nl is een aanrader;
* Weiger SMTP verbindingen van hosts zonder PTR records;
* Weiger email te accepteren na een foutieve HELO/EHLO (bijvoorbeeld geen FQDN in het HELO/EHLO commando);
* Eventueel zou je een eigen connectie naar het MX record op kunnen bouwen om te zien of deze bestaat. Zo ja, oke, zo nee: drop (soort van 'sender call-back', wat o.a. Tiscali ook uitvoert);
* Kijk naast Spamassassin ook eens naar dspam;

Tip 2 en 3 worden al gedaan. In een test opstelling heb ik nu tip 4 lopen. Dit lijkt een mooi principe. Heb je hier zelf ook ervaring mee?

Bedankt!

En werkt je bayesian filter al ? Standaard wil spamassassin 200 ham en 200 spam geleerd hebben voordat de bayesian algoritmes ingeschakeld worden. Check in een spamassassin rapport even of er een BAYES-rule in staat en zo niet, zorg dan dat je spamassassin 'n flink aantal ham- en 'n flink aantal spamberichten leert.

Oorspronkelijk geplaatst door Ronald vd Meer

Nee, ik heb een aantal weken alle spam berichten bekeken en de afzender IP adressen door een multi rbl check gehaald. Deze gaf aan welke lijst welk IP blacklisted was. Dit bijgehouden ...

Het bij houden van listings is heel goed om te doen en moet je vooral blijven doen. Het cli tooltje 'rblcheck' is ideaal, net als de website www.senderbase.org (van de lui van Spamcop).

Van de spam die er nog door komt, bekijk en analyseer deze en maak hiervoor je eigen SA rules, bijvoorbeeld

Code:

header  VEVIDA_DRUGSTORE_1	Subject =~ /satisfy.*friend/i
describe  VEVIDA_DRUGSTORE_1  drugstore spam
score VEVIDA_DRUGSTORE_1 0.2

Wanneer je geen false positives ontdekt kan je de scores verhogen.
Of je kan IP adressen van "lekke dozen", die nog geen DNSBL listing hebben ook zelf blacklisten. Voor je postfix doos: man postmap, voor qmail: http://www.rootr.net/man/man/tcpserver/1

Ik overweeg om eventueel sorbs te verwijderen uit de lijst. Dit aangezien wxs een notitie daar heeft. Ook planet heeft een tijd genoteerd gestaan als spam server.

Alle KPN Internet (= wxs / Planet) SMTP servers staan vermeld in de NL-Whitelist. Zie de VIRBL pagina van BIT.nl voor meer informatie over de NL-Whitelist.
De Belgische variant gebruiken wij nog niet, de website is te gedateerd en het is niet eenvoudig te achterhalen welke providers er in vermeld staan.

Tip 2 en 3 worden al gedaan. In een test opstelling heb ik nu tip 4 lopen. Dit lijkt een mooi principe. Heb je hier zelf ook ervaring mee?

Met tip #4 ('callback') heb ik zelf geen ervaring, alles wat ik er van weet is van mijn mailwisselingen met de admins @ Tiscali.
Het weigeren van verbindingen zonder PTR records (tip #2) werkt erg goed in combinatie met een DUL (dul.dnsbl.sorbs.net) lijst.

Oorspronkelijk geplaatst door Digiover

Van de spam die er nog door komt, bekijk en analyseer deze en maak hiervoor je eigen SA rules, bijvoorbeeld

Code:

header  VEVIDA_DRUGSTORE_1	Subject =~ /satisfy.*friend/i
describe  VEVIDA_DRUGSTORE_1  drugstore spam
score VEVIDA_DRUGSTORE_1 0.2

Zodra de email met een score van 5 of hoger wordt beoordeeld wordt deze als attachment naar de klant toegestuurd. Dit aangezien ik het risico van verkeerde berichten verwijderen niet wil lopen. Toch ga ik eens kijken naar de rules.

Oorspronkelijk geplaatst door Digiover

Of je kan IP adressen van "lekke dozen", die nog geen DNSBL listing hebben ook zelf blacklisten. Voor je postfix doos: man postmap, voor qmail: http://www.rootr.net/man/man/tcpserver/1

Wordt reeds gedaan maar wel bedankt.

Oorspronkelijk geplaatst door Digiover

Alle KPN Internet (= wxs / Planet) SMTP servers staan vermeld in de NL-Whitelist. Zie de VIRBL pagina van BIT.nl voor meer informatie over de NL-Whitelist.

Ik vraag me sterk af hoe zo'n whitelist moet worden geconfigureerd met postfix. Ik zal ergens moeten opgeven dat hij de reject_rbl_client moet passeren. Even uitzoeken dus!

Oorspronkelijk geplaatst door Digiover

Met tip #4 ('callback') heb ik zelf geen ervaring, alles wat ik er van weet is van mijn mailwisselingen met de admins @ Tiscali.

Het ziet er in principe goed uit. Probleem is wel dat sommige mailinglijsten een afzender hebben die niet bestaat.. Deze worden dus tegen gehouden.

Oorspronkelijk geplaatst door Digiover

Het weigeren van verbindingen zonder PTR records (tip #2) werkt erg goed in combinatie met een DUL (dul.dnsbl.sorbs.net) lijst.

Wordt reeds gedaan. Werkt inderdaad erg goed.

Oorspronkelijk geplaatst door handy

Allemaal leuk die maatregelen die jij treft, maar heb je wel eens gekeken dat je NIET te goed filtert. maw. dat je geen legitieme email tegenhoud. Klanten kunnen niet tegen spam maar ook beslist niet tegen email die nooit binnenkomt

Zegt iemand met Greylisting :-)
Dit hebben wij ook een aantal maanden gebruikt. De vertraging is te groot en je bent te afhankelijk van de requeue tijd van iemand anders. @home requeue tijd is rond de 1 uur. AOL bied zelfs maar 1x zijn mail aan.

Erg irritant als de klant 1 uur moet wachten op z'n mail waar die op zit te wachten. Laat staan mails van bijv, marktplaats of forums etc. onmogelijk om die allemaal te whitelisten.

Het callback systeem werkt niet... alle www-data@domeinnamen worden ook standaard tegen gehouden. Teveel nadelen dus. .ben benieuwd hoe tiscalli hiermee omgaat.

De door TS gebruikte blacklists gebruiken wij ook, echter komt er de laatste dagen een stuk meer spam doorheen. We hebben een tijd getest met die Barracuda antispam servers, die bakken filteren werkelijk super.

Verder voorkom je volgens mij met Spamassign en blacklists niet dat er af en toe wat doorheen slipt...

Oorspronkelijk geplaatst door my816797

De door TS gebruikte blacklists gebruiken wij ook, echter komt er de laatste dagen een stuk meer spam doorheen. We hebben een tijd getest met die Barracuda antispam servers, die bakken filteren werkelijk super.

gepatched?

Verder voorkom je volgens mij met Spamassign en blacklists niet dat er af en toe wat doorheen slipt...

Dat voorkom je inderdaad niet. De eerste die een 100%-oplossing tegen spam heeft moet nog komen, maar verder ligt het grotendeels aan je eigen set-up.

Oorspronkelijk geplaatst door Digiover

virbl.dnsbl.bit.nl is een aanrader;

Wordt behoorlijk veel goede mail tegen gehouden.. alsin mailing lijsten.

Code:

554 Service unavailable; Client host [195.140.241.150] blocked using virbl.dnsbl.bit.nl; 5 x HTML.Phishing.Bank-623. Last seen 2006-08-08 04:11:02.676034 CET

Oorspronkelijk geplaatst door Ronald vd Meer

Wordt behoorlijk veel goede mail tegen gehouden.. alsin mailing lijsten.

Code:

554 Service unavailable; Client host [195.140.241.150] blocked using virbl.dnsbl.bit.nl; 5 x HTML.Phishing.Bank-623. Last seen 2006-08-08 04:11:02.676034 CET

i.p.v. die virbl te gebruiken kan je m.i. beter gebruik maken van een eigen antivirus oplossing.

Ik snap waarom blacklists gebruikt worden maar zie eigenlijk niet de lol in van daar whitelists tegenover zetten..

Zelf ben ik extreem terughoudend in het gebruik van om het even welke blacklist.

Ja, draait ook. Ik zie dat het virus is verstuurd om 04:11:02 vanochtend. Ik vraag me dus inderdaad af wat wijsheid is.

Oorspronkelijk geplaatst door Ronald vd Meer

Ja, draait ook. Ik zie dat het virus is verstuurd om 04:11:02 vanochtend. Ik vraag me dus inderdaad af wat wijsheid is.

Ik zou dan eigenlijk niet verder gaan dan taggen.

Maar dan heeft gebruik van die blacklist eigenlijk totaal geen nut omdat je eigen scanner er ook nog een keertje overheen gaat..

Klopt.. aan de andere kant.. Systeem Administrators die laks met hun beveiliging omgaan moeten eigenlijk gewoon een ban aan hun broek hebben. 24 uur lang is een goede straf :-)