Napi 3-4 spam jön, nem tudom kivédeni

Személy szerint a szimpla rbl alapján történő visszautasítást nem eröltetném, mert sok mondjuk úgy vétlen áldozat lesz. Gondolok itt a nagyforgalmú emailszolgáltatókra, akik azért hajlamosak felkerülni.

Inkább érdemes a konkrét átjutó maileket elemezni, hogy azokat hogy lehetne megfogni valamilyen mintával.

A SpamAssassin konfigod alapján ezeket javasolnám:

- A DKIM és SPF matchek miatt simán negatívnak kell lennie, ezért inkább -0.5 vagy méginkább -1.0 -től tanítanám a hameket. Ugyanígy ha 4.0 ponttól már spam, akkor a spam_learn limitet is 4.0-re vagy esetleg 3.5-re állítanám.

- Ha vannak gyanús TLD-k (lásd az új mindenféle szabad TLD-ket, akkor lehet ilyen szabállyal operálni, persze a pontokat igény szerint átállítani:

header SUSP_FROM_TLD From:addr =~ /.+\.(xyz|bid|tk|pw|ml|top|id|cl|stream|in)$/i
describe SUSP_FROM_TLD Suspicous TLD in From address
score SUSP_FROM_TLD 2.5

- Ha Bayes vagy Razor metódusokban bízol és láthatóan jól üzemelnek, akkor lehet hogy a BAYES_95/99 és a RAZOR_ pontokat érdemes emelned.

- A SpamAssinban inkább érdemes a DNSBL-ekkel pontozni, hiszen sokkal inkább finomhangolható az adott DNSBL minősége/teljesítménye alapján. Ha minden igaz, akkor alapból a mailspike.net, a barracuda, az UCEprotect, hostkarma, több spamhaus lista és a protected-sky nincs benne konfigban.

- Ha pedig mindíg ugyanazok jönnek át, akkor blacklist és bayes tanítás.

A barracudával szerintem jó sok false positive-od lesz.
Az njabl tudtommal már nem él. http://www.dnsbl.info/dnsbl-njabl-org.php

Nálam az sbl-xbl.spamhaus.org feketelistás, a bl.spamcop.net, psbl.surriel.com, dnsbl.sorbs.net pedig greylistinget okoz. Meg persze van saját lista.

ezt már küldő domain alapján meg kéne fogni, nincs hozzá MX. nekem is kb egy hete ezekkel ömlesztenek el, de csak a visszapattanó leveleket látom queue-ban, amik persze nem tudnak hova menni

Írtam már korábban, ott van mind a négyben: URIBL_BLOCKED
Kipróbálhatod parancssorból: $ host -tTXT 2.0.0.127.multi.uribl.com
Ezt kéne visszakapnod: "2.0.0.127.multi.uribl.com descriptive text "permanent testpoint""
Nálad viszont ez lesz: "2.0.0.127.multi.uribl.com descriptive text "127.0.0.1 -> Query Refused""
SA mind a négyet megfogta volna, csak éppen nem látta az uribl-t, ahogy írja a log is.
Az általad használt DNS miatt nem megy amúgy( http://uribl.com/refused.shtml ). Ha beállítasz másik dns-t amiről már megy a teszt feloldás akkor a spam áradat is megszűnik.

A küldőnél reverz sincs, ez nálam eleve szürkelistát ér és erősebb pontot az SA-ban. Mondjuk ez önmagában nem fogná meg, de itt a korábban írt sima domain blacklist még bejöhet.

Én is ezekkel küzdök a napokban. Ezekben a levelekben nem találtam olyan közös nevezőt, amit SPAM assassin-es custom regexppel le tudnék fedni. Két közös dolog azonban van bennük:

• A spam küldő IP címek nálam a 212.83.0.0/16 és az 51.15.0.0./16 tartományokból jönnek. Mivel nem akartam egész blokkot tiltani, átmenetileg fail2ban lett a megoldás.
• A domain-ek a NameCheap.com-nál vannak beregisztrálva, többségük friss, alig egy hetes (lásd az általad linkelt első levél feladójának whois rekordját: http://imgur.com/a/5BoQS). Ez ellen tervezem egy pici milter írását, ami a küldő domain whois rekordját lekéri (és cache-eli), és ez alapján visszautasítja azt, ami NameCheap-es, és friss.

Oh, ezekbe en is belefutottam sokszor. A kozos az ezekben hogy a "^From: " mezoben levo hostnev az mindig feloldodik es mindig a 185.140.110.3-es cimre. Korabban volt egy hasonlo, az valami 163.172.32.17-re oldodott fel - ugylatszik par honap elteltevel valtoztatnak. Ez egy fel-fake email sender address: ahogy a kiuka kollega is irja fentebb, a 25-os porton nem figyel de webes cuccok (gondolom spammer hirdetesek + az emailed konfirmalasanak kodja) ezeken a gepen(!) fut. Egy ilyen bash-szkriptet csinaltam anno, amit a procmailrc-be beillesztve (mint filter) meg lehet fogni ezeket konnyen:

tmp=/tmp/fromipscan.$$.mail

cat > $tmp

fromhost=`head -n 1 $tmp | awk '{ print $2; }' | sed -e 's/.*@\(.*\)/\1/g'`
fromip=`host -W 1 -4 -t A "${fromhost}" | awk '{ print $(NF); }'`

if [ "${fromip}" == 163.172.32.17 ]; then
        cat $tmp | \
        awk \
         '{     print;
                if ( $1=="From:" )      print "X-Spam-By-IP: Yes"
         }'
else
        cat $tmp
fi

rm $tmp

nem a legelegansabb, de tanitasi mintakat gyujteni jo volt, oszt a vegen meg is tanulta szepen ;) Igy a 185.140.110.3-as ip-re mar nem is kellett tanitanom.

a teljes email kene mindegyik esetben...

--
t-systems-es it architect allast keres. Jelige: csak webshopot ne kelljen...

SpamAssassin-nál már nem tudom visszacsapni, akkor már elfogadtam a levelet. :) (persze át is lehetne alakítani, mert 2005-óta megy distupgrade-el ez a rendszer, ezt anno így csináltam még meg -boldog békeidők- és csak frissítem meg simogatom, illetve egyszer cseréltem rajta a courier-t dovecot-ra, de alapvetően nem szoktam átszabni)
Napi 1000 levél körül így is megy vissza 500-al még az smtp-nél, de ami átjött az már a SpamAssassin-é az vagy spam jelölést kap vagy megy az inboxba. Na itt tehetném esetleg meg, hogy bizonyos pontszám helyett ne spam jelölést kapjon, hanem töröljük. Ezt azonban nem akarom még meglépni, ha lehet inkább több smtp és 500 még kapcsolódáskor. 19 órakor vettem fel új rbl-eket, azóta 0 spamnek jelölt levél van. Koppp...koppp.

--
Tanya Csenöl az új csatorna

ÁÁÁÁ látom, hogy nem egyedi eset. :D Nekem mondjuk a SpamAssassin megfogja, csak zavarja az usereket a sok levél a spam mappában, ezért toldozgatom most az smtp szűrést.
--
Tanya Csenöl az új csatorna