E-mail szerver Postfix-Amavis-Clamav vírus szűrés nem működik

Én nem értek hozzá, de logokat néztél mit mondtak a levelekre ?
spam level ilyesmi.

Remélhetőleg a levél headereiből kiderül, hogy egyáltalán keresztülment-e a Clamavon a levél, ha igen, akkor meg kell nézni, hogy a kérdéses vírust a Clamav egyáltalán ismeri-e, megy-e rendesen a Clamav update, aztán persze sok minden lehet, de az alapján amennyit leírtál, ennél többet nem nagyon lehet írni.

Az első, hogy nulladik körben már alkalmazható a Google szigora, hogy hibás/rossz/fail/softfail/nincs SPF esetén tessék visszacsapni az emailt. Jó esély van rá, hogy az átjutó vírusok közül volt olyan, amit már ez megfogott volna a feladó domain vs. küldő szerver alapján.

Ezek egyáltalán nem biztos, hogy klasszikusan vírusos emailek voltak, és a clamav a külső adatbázisok nélkül elég felemásan fog meg dolgokat. Az első amit csekkolj le, hogy a Google safebrowse-ing db-t használja-e, talán alapból ki van kapcsolva.

A második a https://github.com/extremeshok/clamav-unofficial-sigs nevű script csomag, de ennek is át kell nézni a konfigját, és ez sem csodaszer. (Van egy securiteinfo nevű francia cucc, azt érdemes lehet hozzá megnézni.)

A harmadik dolog, hogy a valóban jobb DNS RBL-eket nem árt egyáltalán használni, és ezek alapján visszadobni emailt. Pár éve erről mást gondoltam, de olyan szinten romlott a helyzet, hogy aki bekerül mondjuk a spamcopra, vagy a spamhausra, esetleg barracuda-ra, azokat azért is jobb visszacsapni, mert hátha észreveszik mi a helyzet. A fontos partnereknek lehet köremailt küldeni, hogy szigor jön, illetve a levelező szerverük whitelistelhető, ahogy a nagy felhős szolgáltatókat is érdemes whitelistelni, mert esetükben ez nem lesz valódi védelem, csak neked bosszúság.

Ami nagyon fontos: "Valakik" sosem küldenek emailt. Vagy egy robot szerű történet küld, vagy egy konkrét ember küldi. A szervernaplókból meg fogod tudni, hogy honnan jött az email, és mennyire valós, és hogy pl. az SPF megfogta-e volna.

Továbbá érdekes, hogy sok ilyet a SpamAssassin fog meg, amibe érdemes extra szabályokat (pl. akár kevésbé erős DNS BL-eket) felvenni, és így még egy védvonalad van. Az "azonnal változossan jelszót", és társai phisinget, meg a kamuszámlákat nagyon nehéz lesz megfogni, mert bazira gyorsan változnak, azaz akár óránként jelentősen átszövegezik, változik a csatolt malware, illetve a phising link, amire próbálják becsalni a juzert. Erre a ClamAV nemnagyon van felkészülve (eleve 4-6 órás talán az ajánlott frissítési idő), de másnak is erősen feladja a leckét. Különösen akkor, hogy ha kimondottan magyar(os) történettel próbálkoznak, mert relatív kicsi a minta, és nem biztos, hogy olyan hamar bekerül a központi adatbázisba, ha bekerül.

Végül a végponti védelmet nem fogod tudni megúszni, mert a nagyobb fizetős (ha az Avast megfogta és mégingyenes, akkor elsőre az sem rossz) megoldásoknál lesz arra erőforrás, hogy az előbbi dolgokat legyen esélyük kezelni, és megfogni. Ezt valamilyen DNS alapú hálózati blokkolással (azaz ha fekelistás a dolog, akkor a hosztot "rosszul" oldja fel a névszerver) ki lehet egészíteni.

sajnos a ClamAV nem szamit eros viruskeresonek, igazabol sose volt az, de miota a Cisco ratette a kezet meg kevesbe az, legalabbis a free adatbazisokkal. lehet hozza venni fizetos db-ket, de azok se csodatevok. eleve a sajat free db-je ritkan frissul, es nem is nagyon foglalkoznak vele.

van egy teszt szerverunk amire rengeteg csapda cim van rairanyitva (innen gyujtom a spamszuro tanitashoz a mintakat), ezen fenn van 8 fele linuxos viruskergeto es neha nezek statisztikat, melyik mennyit fogott meg. a clamav nem sokat...

ingyenes egyre kevesebb van, bar a sophost meg ra lehet beszelni hogy az alap verzioja mukodjon licensz nelkul, de pl. esets/nod32, kaspersky, bitdefender stb mind licenszes, max van 30-90 nap probaido.

masik irany a felhos AV enginek, pl virustotal hasznalata, csak ezzel tobb problema is van. a free csak napi 500 queryt enged, ami kis forgalomnal eleg csak, cserebe 80+ kulonbozo AV motorral ellenorzi a filet. bar a licenszuk szerint pont erre nem szabad hasznalni :)

subs

Lazán kapcsolódik: a Proxmox Mail Gateway-e eléggé szépen szűr és ingyenes a cucc.