Краткий обзор эффективности средств борьбы со СПАМом в КМС

[zoid009]

naliman, Самое ценное в этом топике это первый пост:

Цитата

Сообщение от BlackSnake

Исходные установки:

1. Службы DNSBL:

- [Для просмотра данной ссылки нужно зарегистрироваться] (sbl-xbl.spamhaus.org)
- [Для просмотра данной ссылки нужно зарегистрироваться] (dnsbl.sorbs.net)
- [Для просмотра данной ссылки нужно зарегистрироваться] (dul.ru)
- [Для просмотра данной ссылки нужно зарегистрироваться] (*.countries.nerd.dk)

[Для просмотра данной ссылки нужно зарегистрироваться]

2. Локальный черный список
3. SPF

[Для просмотра данной ссылки нужно зарегистрироваться]

4. Задержка приветствия

[Для просмотра данной ссылки нужно зарегистрироваться]

5. Параметры безопасности сервера SMTP

- Максимальное число соединений, поступающих в течение часа с одного IP
- Максимальное число одновременных соединений SMTP, открытых с одного IP
- Максимальное число неизвестных получателей
- Блокировать сообщение, если почтовый домен отсутствует в базе ДНС

[Для просмотра данной ссылки нужно зарегистрироваться]

А вот собственно результат анализа:



Как видно из таблицы за сутки КМС отразил около 200 тысяч атак. В домен реально прошло только 5 спамерских писем, все из которых были порезаны пользовательскими правилами фильтрации, о которых я напишу немного позже...

Если с первыми двумя пунктами понятно практически каждом, что тоже является спорным моментом, то с остальными есть вопросы, а именно:
пункт 3 "SPF" кроме ссылки ни каких пояснений нет, нажимаем на ссылку, там ничего полезного нет.
пункт 4 "Задержка приветствия" кроме ссылки ни каких пояснений нет, нажимаем на ссылку, там ничего полезного нет.
пункт 5 "Параметры безопасности сервера SMTP" - из пояснений, только копипастный текст, ниже ссылка, опять же там ничего полезного нет.

Вопрос: где описание "эффективности средств борьбы со СПАМом в КМС", где рекомендации какие параметры выставлять?

Все тут конечно же понимают, что картинки залиты на бесплатный файлообменни, на котором через какой-то период времени они удаляются, но раз уж вы засунули этот топик в важные, удосужитесь поддерживать актуальность данных топиках или это из серии, что BlackSnake как запостил в 12.04.2009, 09:12 и уже это не актуально, тогда вопрос зачем данный топик висит в важных? Только ради того как правильно руками настроить SpamAssassin?
Ведь люди сюда заходят, чтобы найти какие-то ответы на свои вопросы. Смотрят, а тут нет актуальных данных или из чего они должны найти ответ? Из трёпа, которого тут 60%. Спору нет, это конечно минус любых форумов, не будем тут вдаваться в дискуссии и подробности.

Меня интересует содержательная часть, а так же ещё некоторых, которые писали, что картинки не открываются. Какие параметры рекомендуется выставлять? Картинки не обязательны, можно просто текстом написать и тогда не надо скрины перезаливать на файлообенник.

P.S. naliman Считаю, что ответил на Ваш вопрос, если в чём-то не прав, то просьба дать детальное разъяснения.

[naliman]

zoid009, я тебя понял
однако увы, восстановить те картинки которые были уже не представляется возможным

НО:
"реперные точки" обозначены, и ничего (ведь правда?) не мешает погуглить, что б разобраться что сие означает, зачем нужно и как работает

хотя это, безусловно, никак не оправдывает нас, как администрацию ресурса, в том что мы по сути проебали содержание треда
однако мы всегда придерживались и тепреь придерживаемся той мысли, что нуждающийся - всегда найдет, особенно если его "направить" в нужном векторе, а конкретные няшки это приятная, но (как бывает выходит) не всегда долговечная штука

теперь коснёмся конкретики:
СПФ - там ничего сложного нет, это определенная (текстовая) запись в ДНС, где прописываются "соответствия" ип-адресов доменам-отправителям
достаточно примитивный, но в то же время рабочий инструмент
для своего домена - сделать запись
для приёма писем - включить проверку (ну тут, понятно, с не жёсткими требованиями, то есть если нет спф-записи это необязательно спам, просто кто-то забил болт)

задержка приветствия - тоже весьма простая штука, означает промежуток времени, по истечении которого сервер даст ответ на смтп-запрос
логика работы проста - спамер долго ждать не будет
подобрать значение можно импирически, мониторя логи
думаю в течение дня при желании можно всё отследить\отстроить

параметры безопасности сервера SMTP - так же несложная вещь, понимая что этих параметров производитель софта "заложил" сколько "заложил", самым главным и в я бы даже сказал фундаментальным параметром является запрет на OpenRelay, то есть запрет на свободную ретрансляцию почты, остальные "настройки" не трудно понять импирически, то есть "изучательно"

сответственно понятно, что эти инструменты только в совокупности дают хорошую эффективность

PS
имеха: не хватает очень эффективного инструмента в реализации софта, простого и, повторюсь, очень эффективного - грейлистинга (Greylisting)
MDaemon (да, это пеар) его имеет и только он отшибает >90% говна

только из-за грейлистинга (опять же имха) - очень стоит заморочиться с фильтрующим рилеем на msSMTP и поставленным поверх ORF-фильтром (годится для любого почтаря, особенно для msExchange - очень мощная вещь)

[zoid009]

naliman, первый раз вижу чтобы админы форума приносили извинения и признавали свой мини-косяк, пользователю, котороый только что зарегался на форуме и написал только один пост, это сильно и сразу +50 к уважению

Надо сказать, что я сюда и забрёл по ссылкам гугла
Работаю с продуктами kerio уже больше 5-ти лет и хорошо понимаю что с чем надо кушать. Но касательно kerio connect интересовал вопрос по блокировке спама, т.к. какая та его часть всё равно пролезает и её явно можно блокировать, хотел посмотреть рекомендации по настройке и может быть у меня что-то не правильно сделано.

Мои настройки:
Показатели оценки:
Маркировка 7.5
Блокировка 9.7

Черные спики:
rhsbl.sorbs.net
db.wpbl.info
cbl.abuseat.org
list.dsbl.org
zen.spamhaus.org
bl.spamcop.net
dnsbl.sorbs.net
На всех стоит Блокировка и запрашивать на прямую. Может быть это и жестоко и так сильно доверять DNSBL-у но пока ни кто не жаловался.

Так же присутствует группа IP-адресов, которую блокирую, правда не большая.
Показатели увеличения оценки ставил но при блокировке отсекается больше спама.

Пользовательские правила - тут приличный список, кто и что разрешено и кто заблокирован, перечислять не буду и смысла не вижу, ибо у каждого своё.

SpamAssassin - активирован

Caller ID - раньше стояло увеличение оценки 0.5, месяц назад поставил вести лог и мониторю, пока всё спам, по этому скорее сего поставлю тоже на блокировку.

SPF - включен на блокировку, раньше столяо увеличение оценки на 2, но помле мониторинга лога, выставил на блокировку, ибо нех и нах Правильные админы всегда делают всё правильно в том числе PTR, SPF а те отправители, у которых нет SPF могут мне позвонить и я их добавлю в список доверительных получателей - таких еденицы.

Грейлистинг включен + исключения на локаьные IP-адреса и доверительные.

Задержка приветствия SMTP стоит 25 секунд.

Открытая ретрансляция естественно закрыта, установлено только для аутенифицированных и исключение для локальные адресов.

В политиках безопасности (тут есть вопросы и рекомендации, которые искал, чую что не совсем правильно стоит):
Макс. число сообщений поступивши в одного IP в течении часа -100
Макс. число одновременных SMTP соединений -2
Макс. число неизвестных получателей -5
Не применяю эти ограничения для определённого списка IP-адресов.

Доп. параметры:
Блокировать домен если домен отправителя не найден в DNS
Заблокировать, если IP-адрес клиента не имеет PTR
Макс. число получателей, указанных в сообщении - 25
Макс. число команд, завершающихся сбоем сеанса SMTP - 3
макс. размер входящего\исходящего сообщения - 20 метров
макс. число принятых заголовков полученных сообщений - 100

Отправляю на прямую DNS MX

параметры очереди отправки (тут тоже хотел узнать рекомендации):
Макс. кол-во потоков доставки - 5
Интервал между попатками доставки - 5 минут
Возвращать письмо отправителю если не было доставлено за - 3 дня.
Предупреждать отправителя если сообщение не будет доставлено в течении - 30 минут.

Включен антивирус, обновляется каждые 6 часов.
Включена фильтрация вложений, пактически всё в дифолте, добавлял некоторые MIME и расширения, но их еденицы.

Спорить не буду, что-то выставлено крайне жестко или не правильно, что-то очень лояльно. По этому и выкладываю эту инфу, чтобы послушать критику и узнать что-то новое и какие-то рекомендации.

[naliman]

Цитата:

Сообщение от zoid009

первый раз вижу чтобы админы форума приносили извинения и признавали свой мини-косяк, пользователю, котороый только что зарегался на форуме и написал только один пост, это сильно и сразу +50 к уважению

ну а чего, коль так и есть в действительности?
мыж всё таки не хрустальными какашками какаем

на остальное потом овечу, щяс пока занят стал

[IvaN]

zoid009 Задержка приветствия SMTP стоит 25 секунд.
Не много? Я выставил у себя 15, т.к. периодически были проблемы у пользователей Outlook и жалобы на долгую отправку писем.

[zoid009]

Цитата:

Сообщение от IvaN

zoid009 Задержка приветствия SMTP стоит 25 секунд.
Не много? Я выставил у себя 15, т.к. периодически были проблемы у пользователей Outlook и жалобы на долгую отправку писем.

Нет, по Стандартам RFC на SMTP почтовый сервер ждёт 30 секунд ответа, по этому 25 нормально.
Касательно долгой отправки почты, у меня в пользовательских правилах определён большой список дружественных и часто используемых доменов, на которые это правило не распространяется. Такой спсиок доменов, периодически пополняется, чтобы не только это правило не применялось, но и другие фильтрации тоже, таким образом с постоянно используемыми доменами обмен почтой моментальный, а новые ждут и проходят все параметры фильтрации.

Добавлено через 2 минуты
Коллеги,
я бы хотел услышать по больше критики по моим настройкам, естественно обоснованных, а не типа это не правильно и гавно и ваще ты ламер Про то, что я сертифицированный ламер я и так знаю

Добавлено через 27 минут

Цитата:

Сообщение от naliman

СПФ - там ничего сложного нет, это определенная (текстовая) запись в ДНС, где прописываются "соответствия" ип-адресов доменам-отправителям

Вот тут кстати вопрос - SPF прописываю на домен, т.е. на А-запись или на домен 3-го уровня, на саму MX-запись?
Куда прописывать SPF правильно:
сюда- domain.ru
или
сюда - mx-mail.domain.ru
???

[Fleycher]

может я не в тему, но мои черные списки достигли 79 штук, две из них отключены: bl.spamcannibal.org и ips.backscatterer.org-вообще заносит целыми подсетями.
Пользовательских тоже много забито, ну тут у каждого свое
Правила загрубелны до не могу, ибо спам ну просто задрал:

[Valery12]

Цитата:

Сообщение от zoid009

Куда прописывать SPF правильно:
сюда- domain.ru
или
сюда - mx-mail.domain.ru
???

сюда- domain.ru