Re: [Sysadmins] Борьба со спамом!!!

Re: [Sysadmins] Борьба со спамом!!!

[Максим Иванов]

В сообщении от Tuesday 04 March 2008 01:42:23 Shcherbina N. Timur написал(а):
> Здравствуйте!
>
> У меня стоит почтовик под Postfix есть куча правил, которые блокирует спам
> на уровне SMTP протокола, допустим с домена telecomitalia.it мне постоянно
> идет обращение и попытка соединения, и на команде HELO его благополучно
> реджектит

Я тоже reject'ю по имени хоста, кучу спама как рукой сняло. Но постоянно 
терзают сомнения что полезные пиьсма тоже не доходят. Ведь не все, кто ставят 
свои почтари регистрируют нормальное имя в обратной зоне DNS.  Вот решил 
спросить у коллег, насколько оправдан такой жёсткий отлуп по их мнению.

Re: [Sysadmins] Борьба со спамом!!!

[ABATAPA]

04 марта 2008 г. Максим Иванов написал:
> Ведь не все, кто ставят
> свои почтари регистрируют нормальное имя в обратной зоне DNS.  Вот решил
> спросить у коллег, насколько оправдан такой жёсткий отлуп по их мнению.
Те, кто ставит почтовый сервер у себя на не пенадлежащим им IP, и не 
пересылают почту через сервера провайдера, совершают БОЛЬШУЮ ошибку.
А об оправданности... Часто потеря одного лишь письма перечеркивает любую 
целесообразность борьбы со спамом - по-крайней мере, в глазах начальства...
-- 
ABATAPA

Re: [Sysadmins] Борьба со спамом!!!

[Maks Re]

>  А об оправданности... Часто потеря одного лишь письма перечеркивает любую
>  целесообразность борьбы со спамом - по-крайней мере, в глазах начальства...

факт, однако.




-- 
С уважением,
  Макс.

Re: [Sysadmins] Борьба со спамом!!!

[Shcherbina N. Timur]

Но когда то же начальство ищет нормальное письмо среди сотни писем спама
тоже не нормально, обычно в начале бывают реджекты от кривых серверов, но со
временем таких переносишь в "белые листы" и все отлично работает... 

Но проблема в том чтобы реджектить их не на уровни протокола SMTP, а на
уровне TCP...  



-- 
С уважением,
  Макс.
_______________________________________________
Sysadmins mailing list
Sysadmins@lists.altlinux.org
https://lists.altlinux.org/mailman/listinfo/sysadmins

Re: [Sysadmins] Борьба со спамом!!!

[Maks Re]

ага...
а когда клиенты работают с mail.ru то ваще песня.

2008/3/4 Shcherbina N. Timur <timur@hlbprime.com>:
> Но когда то же начальство ищет нормальное письмо среди сотни писем спама
>  тоже не нормально, обычно в начале бывают реджекты от кривых серверов, но со
>  временем таких переносишь в "белые листы" и все отлично работает...
>
>  Но проблема в том чтобы реджектить их не на уровни протокола SMTP, а на
>  уровне TCP...
>
>
>
>  --
>  С уважением,
>   Макс.
>
>
> _______________________________________________
>  Sysadmins mailing list
>  Sysadmins@lists.altlinux.org
>  https://lists.altlinux.org/mailman/listinfo/sysadmins
>  _______________________________________________
>  Sysadmins mailing list
>  Sysadmins@lists.altlinux.org
>  https://lists.altlinux.org/mailman/listinfo/sysadmins
>



-- 
С уважением,
  Макс.

Re: [Sysadmins] Борьба со спамом!!!

[Sergey]

On Tuesday 04 March 2008, Shcherbina N. Timur wrote:

> Но проблема в том чтобы реджектить их не на уровни протокола SMTP, а на
> уровне TCP...  
 
Могу только теоритическое направление предложить. Попробовать использовать
mailfromd, который будет правила iptables править на лету. Сам про это думаю
иногда, но до реализации не доходит.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] Борьба со спамом!!!

[Alexander Volkov]

On 2008-03-04 01:42:23 +0300, Shcherbina N. Timur wrote:
SNT>  

SNT> Здравствуйте!

SNT> У меня стоит почтовик под Postfix есть куча правил, которые блокирует спам
SNT> на уровне SMTP протокола, допустим с домена telecomitalia.it мне постоянно
SNT> идет обращение и попытка соединения, и на команде HELO его благополучно
SNT> реджектит, но хочется сделать так чтобы вообще не принимало TCP соединения с
SNT> этим доменом, причем желательно это сделать регулярными выражениями, ибо
SNT> нужно реджектить динамические адреса
SNT> (host102-187-dynamic.26-79-r.retail.telecomitalia.it) по маске, или например
SNT> заблокировать TCP- соединения на 25 порт c  .com.br  Подскажите если кто что
SNT> знает: 
Это вам к netfilter (iptables). 

--
 Regards, Alexander

Re: [Sysadmins] Борьба со спамом!!!

[Alexey Morsov]

[-- Attachment #1: Type: text/plain, Size: 1050 bytes --]

On Tue, Mar 04, 2008 at 10:18:32AM +0300, Максим Иванов wrote:
> терзают сомнения что полезные пиьсма тоже не доходят. Ведь не все, кто ставят 
> свои почтари регистрируют нормальное имя в обратной зоне DNS.  Вот решил 
> спросить у коллег, насколько оправдан такой жёсткий отлуп по их мнению.
наличие обратки (PTR записи в DNS) не является обязательным для smtp, так
что резать за это не совсем корректно.

-- 
С уважением,
Алексей Морсов
программист ЗАО "ИК "Риком-Траст"

Jabber: samurai@www.fondmarket.ru
ICQ: 196766290
www.ricom.ru
www.fondmarket.ru

ALT Linux Team Member
email: swi@altlinux.ru
web: www.altlinux.ru, www.sisyphus.ru

NP: Knorkator / das nächste Album aller Zeiten: 1 - Alter Mann


[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 481 bytes --]

Re: [Sysadmins] Борьба со спамом!!!

[Shcherbina N. Timur]

Mail.ru для меня сказка, с ним spamassasin вполне справляется, а так как
домен .com, то проблематично с предложениями увеличению органов и продажей
виагры, причем замечена одна закономерность, а именно:

Вот часть main.cf
smtpd_client_restrictions = permit_sasl_authenticated, permit_mynetworks,
check_client_access hash:/etc/postfix/client_access, check_client_access
regexp:/etc/postfix/dul_checks, reject_rbl_client bl.spamcop.net,
reject_rbl_client cbl.abuseat.org, reject_rbl_client list.dsbl.org, permit

smtpd_helo_restrictions = permit_mynetworks, permit_sasl_authenticated,
check_helo_access hash:/etc/postfix/helo-access, check_helo_access
regexp:/etc/postfix/helo-regexp, reject_invalid_hostname,
reject_non_fqdn_hostname, reject_unknown_hostname, permit

smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks,
reject_unlisted_recipient, reject_unauth_destination, permit

smtpd_sender_restrictions = permit_sasl_authenticated, permit_mynetworks,
check_sender_access regexp:/etc/postfix/sender_access,
reject_non_fqdn_sender, reject_unknown_sender_domain, permit

Файл /etc/postfix/dul_checks
/([0-9]*-){3}[0-9]*(\..*){2,}/i            553 SPAM_ip-add-rr-ess_networks
/([0-9]*\.){4}(.*\.){3,}.*/i               553 SPAM_ip-add-rr-ess_networks

Файл /etc/postfix/helo-regexp
/([0-9]{1,3}(\.|-)){3}[0-9]{1,3}/i      REJECT IP-able helo SPAM

Вообщем весь этот конфиг говорит о том что запрещаем ИП-адрес в качестве
HELO.

Но каким то чудным образом пролезают письма с таким заголовком(см. ниже),
проанализировав логи и заголовки, пришел к выводу что с данного ИП создается
максимальное кол-во подключений и во всех практически заголовках первый
Received: from ИП (HELO ИП), также при анализе понял, что такие письма
проходят тока на алиасы, в примере внизу admin это алиас timur@hlbprime.com:

Mar  3 19:33:45 post postfix/anvil[12847]: statistics: max connection rate
7/60s for (smtp:190.50.106.101) at Mar  3 19:30:31


Received: by post.hlbprime.com (Postfix, from userid 121)
	id 157842000342; Mon,  3 Mar 2008 19:30:03 +0300 (MSK)
X-Spam-Checker-Version: SpamAssassin 3.2.1 (2007-05-02) on post.hlbprime.com
X-Spam-Level: **
X-Spam-Status: No, score=2.2 required=7.0 tests=AWL,HTML_EXTRA_CLOSE,
	HTML_MESSAGE,RCVD_FORGED_WROTE2,RDNS_NONE autolearn=no version=3.2.1
Received: from ps-av.com (unknown [190.50.106.101])
	by post.hlbprime.com (Postfix) with SMTP id 7EF16200034E
	for <admin@hlbprime.com>; Mon,  3 Mar 2008 19:29:54 +0300 (MSK)
Received: from 67.39.166.4 (HELO nospam.ivnet.com)
     by hlbprime.com with esmtp ({nChar[8-12]} {nChar[4-6]})
     id GEJkZB-VhSSrV-7l
     for admin@hlbprime.com; Mon, 03 Mar 2008 14:31:59 -0300

Re: [Sysadmins] Борьба со спамом!!!

[Maxim Tyurin]

Максим Иванов writes:

> В сообщении от Tuesday 04 March 2008 01:42:23 Shcherbina N. Timur написал(а):
>> Здравствуйте!
>>
>> У меня стоит почтовик под Postfix есть куча правил, которые блокирует спам
>> на уровне SMTP протокола, допустим с домена telecomitalia.it мне постоянно
>> идет обращение и попытка соединения, и на команде HELO его благополучно
>> реджектит
>
> Я тоже reject'ю по имени хоста, кучу спама как рукой сняло. Но постоянно 
> терзают сомнения что полезные пиьсма тоже не доходят. Ведь не все, кто ставят 
> свои почтари регистрируют нормальное имя в обратной зоне DNS.  Вот решил 
> спросить у коллег, насколько оправдан такой жёсткий отлуп по их мнению.

По имени хоста отбивать вполне нормально, а вот отбивать по
обратному резоливингу это слишком.
-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
   ___                                 
  / _ )__ _____  ___ ____ _______ _____
 / _  / // / _ \/ _ `/ _ `/ __/ // (_-<
/____/\_,_/_//_/\_, /\_,_/_/  \_,_/___/
               /___/  

Re: [Sysadmins] Борьба со спамом!!!

[Shcherbina N. Timur]

На самом деле iptablesэто хорошо, но, как показал спектральный анализ:-),
есть же проще способ а именно hosts.allow hosts.deny... а имеено указать в
файле hosts.deny что то вроде smtp: .telecomitalia.it Но я не могу понять
почему в Альтлинукс Сервере файлы эти есть, а процесса которые их читает их
нет, зачем они тогда?  

-----Original Message-----
From: sysadmins-bounces@lists.altlinux.org
[mailto:sysadmins-bounces@lists.altlinux.org] On Behalf Of Alexander Volkov
Sent: Tuesday, March 04, 2008 11:35 AM
To: sysadmins@lists.altlinux.org
Subject: Re: [Sysadmins] Борьба со спамом!!!

On 2008-03-04 01:42:23 +0300, Shcherbina N. Timur wrote:
SNT>  

SNT> Здравствуйте!

SNT> У меня стоит почтовик под Postfix есть куча правил, которые блокирует
спам
SNT> на уровне SMTP протокола, допустим с домена telecomitalia.it мне
постоянно
SNT> идет обращение и попытка соединения, и на команде HELO его благополучно
SNT> реджектит, но хочется сделать так чтобы вообще не принимало TCP
соединения с
SNT> этим доменом, причем желательно это сделать регулярными выражениями,
ибо
SNT> нужно реджектить динамические адреса
SNT> (host102-187-dynamic.26-79-r.retail.telecomitalia.it) по маске, или
например
SNT> заблокировать TCP- соединения на 25 порт c  .com.br  Подскажите если
кто что
SNT> знает: 
Это вам к netfilter (iptables). 

--
 Regards, Alexander

_______________________________________________
Sysadmins mailing list
Sysadmins@lists.altlinux.org
https://lists.altlinux.org/mailman/listinfo/sysadmins

Re: [Sysadmins] Борьба со спамом!!!

[Nikolay]

В сообщении от 4 марта 2008 Sergey написал(a):
> On Tuesday 04 March 2008, Shcherbina N. Timur wrote:
> > Но проблема в том чтобы реджектить их не на уровни протокола SMTP, а на
> > уровне TCP...  
>
> Могу только теоритическое направление предложить. Попробовать использовать
> mailfromd, который будет правила iptables править на лету. Сам про это
> думаю иногда, но до реализации не доходит.
Можно воспользоватся такой приятной вещьюкак spam_check
там есть
# Команда которая будет вызываться в случае обновления файла блокировки.
$cfg_blocklist_rebuild_cmd = "/usr/sbin/postmap -w 
$cfg_block_dir/block_list.txt";
Вот сюда и - наверное -  и можно приписать скрипт кот будет парсить ip адреса 
и порты из его собственной базы в iptbles ...
Вопрос кто допишет ?

-- 
С уважением, Николай

Re: [Sysadmins] Борьба со спамом!!!

[Shcherbina N. Timur]

Остановился пока на связке xinetd-2.3.14-alt2 + tcp_wrappers-7.6-alt8... я
так понимаю что можно hosts.deny написать smtp: .com.br и отрезать полностью
этот домен... Пока разбираюсь как это все работает... не могу пока привязать
tcp_wrappers-7.6-alt8 к xinetd... Подскажите если кто настраивал...

-----Original Message-----
From: sysadmins-bounces@lists.altlinux.org
[mailto:sysadmins-bounces@lists.altlinux.org] On Behalf Of Nikolay
Sent: Tuesday, March 04, 2008 2:55 PM
To: ALT Linux sysadmin discuss
Subject: Re: [Sysadmins] Борьба со спамом!!!

В сообщении от 4 марта 2008 Sergey написал(a):
> On Tuesday 04 March 2008, Shcherbina N. Timur wrote:
> > Но проблема в том чтобы реджектить их не на уровни протокола SMTP, а на
> > уровне TCP...  
>
> Могу только теоритическое направление предложить. Попробовать использовать
> mailfromd, который будет правила iptables править на лету. Сам про это
> думаю иногда, но до реализации не доходит.
Можно воспользоватся такой приятной вещьюкак spam_check
там есть
# Команда которая будет вызываться в случае обновления файла блокировки.
$cfg_blocklist_rebuild_cmd = "/usr/sbin/postmap -w 
$cfg_block_dir/block_list.txt";
Вот сюда и - наверное -  и можно приписать скрипт кот будет парсить ip
адреса 
и порты из его собственной базы в iptbles ...
Вопрос кто допишет ?

-- 
С уважением, Николай
_______________________________________________
Sysadmins mailing list
Sysadmins@lists.altlinux.org
https://lists.altlinux.org/mailman/listinfo/sysadmins

Re: [Sysadmins] Борьба со спамом!!!

[Максим Иванов]

В сообщении от Tuesday 04 March 2008 11:53:27 Maxim Tyurin написал(а):

> > Я тоже reject'ю по имени хоста, кучу спама как рукой сняло. Но постоянно
> > терзают сомнения что полезные пиьсма тоже не доходят. Ведь не все, кто
> > ставят свои почтари регистрируют нормальное имя в обратной зоне DNS.  Вот
> > решил спросить у коллег, насколько оправдан такой жёсткий отлуп по их
> > мнению.
>
> По имени хоста отбивать вполне нормально, а вот отбивать по
> обратному резоливингу это слишком.

Коннект приходит, сервер видит только IP адрес откуда пришёл запрос. Как он 
узнает имя хоста без обратного резолвинга?

Re: [Sysadmins] Борьба со спамом!!!

[ua2fgb]

Максим Иванов пишет:
> Коннект приходит, сервер видит только IP адрес откуда пришёл запрос. Как он 
> узнает имя хоста без обратного резолвинга?
>   
По тому, что напишет удаленный сервер в первом запросе...
HELO 161.mail.ru

Re: [Sysadmins] Борьба со спамом!!!

[Shcherbina N. Timur]

Вообще, если руководствоватся протоколом SMTP, то присходит соединения,
первая команда отправителя это HELO myserver(тут должна указываться MX
запись DNS), если стоит проверка на команду HELO, то принимающий сервер
делает запрос, соответствует ли данная доменное имя, тому ИП адресу с
которого пришел коннект... Вот так он и узнает, но только в том случае если
есть проверка...    

В сообщении от Tuesday 04 March 2008 11:53:27 Maxim Tyurin написал(а):

> > Я тоже reject'ю по имени хоста, кучу спама как рукой сняло. Но постоянно
> > терзают сомнения что полезные пиьсма тоже не доходят. Ведь не все, кто
> > ставят свои почтари регистрируют нормальное имя в обратной зоне DNS.
Вот
> > решил спросить у коллег, насколько оправдан такой жёсткий отлуп по их
> > мнению.
>
> По имени хоста отбивать вполне нормально, а вот отбивать по
> обратному резоливингу это слишком.

Коннект приходит, сервер видит только IP адрес откуда пришёл запрос. Как он 
узнает имя хоста без обратного резолвинга?
_______________________________________________
Sysadmins mailing list
Sysadmins@lists.altlinux.org
https://lists.altlinux.org/mailman/listinfo/sysadmins

Re: [Sysadmins] Борьба со спамом!!!

[Shcherbina N. Timur]

Для тех кому интересно есть отличная статья про настройки против спама
http://demon.yekt.com/3.html 

Re: [Sysadmins] Борьба со спамом!!!

[Sergey]

On Tuesday 04 March 2008, Shcherbina N. Timur wrote:

> HELO myserver(тут должна указываться MX запись DNS)

Нет. FQDN и адрес-литерал.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] Борьба со спамом!!!

[Shcherbina N. Timur]

FQDN - (Fully Qualified Domain Name) -  полностью определённое имя домена,
например example.com, но из настроек Postfix видно что он(Postfix)
представляется директивой myhostname = (например mail.examle.com), которая
должна существовать как MX запись для домена examle.com, но если DNS зону
держит провайдер, а MX запись вы, то тогда ИП адреса у mail.examle.com и
examle.com разные, поэтому при проверки на команде HELO отреджектит, ибо
резолв вернет другой ИП-адрес... Как то так :-)  

On Tuesday 04 March 2008, Shcherbina N. Timur wrote:

> HELO myserver(тут должна указываться MX запись DNS)

Нет. FQDN и адрес-литерал.

-- 
С уважением, Сергей
a_s_y@sama.ru
_______________________________________________
Sysadmins mailing list
Sysadmins@lists.altlinux.org
https://lists.altlinux.org/mailman/listinfo/sysadmins

Re: [Sysadmins] Борьба со спамом!!!

[Sergey]

On Tuesday 04 March 2008, Shcherbina N. Timur wrote:
 
> FQDN - (Fully Qualified Domain Name) -  полностью определённое имя домена,
> например example.com, 

Нет, именно mail.examle.com. Не Domain Name, а Fully Qualified.

> но из настроек Postfix видно что он(Postfix) представляется директивой 
> myhostname = (например mail.examle.com),

Прав Постфикс.

> которая должна существовать как MX запись для домена examle.com,

А это вот совсем не так. MX-ами, запросто, могут быть server1.examle.com
и server2.examle.com, а mail имеет право быть кем угодно, например, только
pop/imap, или только эмиттер.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] Борьба со спамом!!!

[Sergey]

On Tuesday 04 March 2008, Maxim Tyurin wrote:

> По имени хоста отбивать вполне нормально, а вот отбивать по
> обратному резоливингу это слишком.
 
Кстати, ещё дифференцированный подход применить попробовать можно. 
Правильно описанные сервера (резолвинг сходится, helo нормальный
и т.п.) пропускать с минимумом проверок, подозрительные хоть в 
контекстный фильтр засовывать.

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] Борьба со спамом!!!

[Maxim Tyurin]

Sergey writes:

> On Tuesday 04 March 2008, Maxim Tyurin wrote:
>
>> По имени хоста отбивать вполне нормально, а вот отбивать по
>> обратному резоливингу это слишком.
>  
> Кстати, ещё дифференцированный подход применить попробовать можно. 
> Правильно описанные сервера (резолвинг сходится, helo нормальный
> и т.п.) пропускать с минимумом проверок, подозрительные хоть в 
> контекстный фильтр засовывать.

У меня так и делается.
Если проходит SPF то гнусные проверки вроде greylisting не
запускаются. 
-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
   ___                                 
  / _ )__ _____  ___ ____ _______ _____
 / _  / // / _ \/ _ `/ _ `/ __/ // (_-<
/____/\_,_/_//_/\_, /\_,_/_/  \_,_/___/
               /___/  

Re: [Sysadmins] Борьба со спамом!!!

[Максим Иванов]

В сообщении от Tuesday 04 March 2008 17:37:15 Shcherbina N. Timur написал(а):
> Вообще, если руководствоватся протоколом SMTP, то присходит соединения,
> первая команда отправителя это HELO myserver(тут должна указываться MX
> запись DNS), если стоит проверка на команду HELO, то принимающий сервер
> делает запрос, соответствует ли данная доменное имя, тому ИП адресу с
> которого пришел коннект... Вот так он и узнает, но только в том случае если
> есть проверка...

Аааа... отлуплять по HELO еще хуже чем фильтровать всякие dhcp,ppp и т.д. в 
результате обратного резолвинга. Ибо в HELO попадается всё что угодно, кроме 
нормального FQDN =( 

Re: [Sysadmins] Борьба со спамом!!!

[Алексей Шенцев]

В сообщении от Friday 07 March 2008 12:04:03 Максим Иванов написал(а):
> Аааа... отлуплять по HELO еще хуже чем фильтровать всякие dhcp,ppp и т.д. в
> результате обратного резолвинга. Ибо в HELO попадается всё что угодно,
> кроме нормального FQDN =(
А вот тут вы не правы - на нормально почтаре с HELO всё нормально.
Да же если мои пользователи должны получать письма с почтового сервера, где с 
HELO не всё в порядке, я стараюсь достучаться до почтовых администраторов и 
объяснить им возникшую проблему. А у себя отказываться от такого не желаю. 
Здоровски помогает в борьбе со спамом и экономией трафика.
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845

Re: [Sysadmins] Борьба со спамом!!!

[ua2fgb]

Максим Иванов пишет:
> В сообщении от Tuesday 04 March 2008 17:37:15 Shcherbina N. Timur написал(а):
>   
>> Вообще, если руководствоватся протоколом SMTP, то присходит соединения,
>> первая команда отправителя это HELO myserver(тут должна указываться MX
>> запись DNS), если стоит проверка на команду HELO, то принимающий сервер
>> делает запрос, соответствует ли данная доменное имя, тому ИП адресу с
>> которого пришел коннект... Вот так он и узнает, но только в том случае если
>> есть проверка...
>>     
>
> Аааа... отлуплять по HELO еще хуже чем фильтровать всякие dhcp,ppp и т.д. в 
> результате обратного резолвинга. Ибо в HELO попадается всё что угодно, кроме 
> нормального FQDN =( 
> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins
>   
Да хоть "HELO localhost"!
Главное, чтобы клиент авторизовался.
Все эти суровые правила про dрсp,ppp,..., FQDN -- для почтового сервера, 
который пересылает мыло от своего клиента по адресу назначения