Форум по информационной безопасности: обсуждение продуктов Смарт-Софт

Спам-фильтр проверка домена в HELO, EHLO

User

25.05.2007 10:47:00

На адрес, с которого пришел запрос HELO или EHLO SMTP фильтр никак не реагирует, за исключением проверки его в RBL. Домен же указаный в "mail From:" проверяется на присутсвие MX записей, однако это еще не факт, что письмо бало отослано изначально с этого домена. ОЧЕнь желательно поискать сам адрес, с которого пришел запрос в DNS, и если не нашли или нашли, но нет MX записей в зоне, выставить какой нибудь флаг. Анализ трассировки показал, что в 90% случаев по адресам, с которых приходит спам нет MX записей, зато в уважаемых почтовых серверах это присутствует mail.ru, list.ru и т.д. Конечно перестанет приниматься почта с "перенаправилетей" почты, но их в последнее время уже мало кто использует, в основном доставляют непосредственно. Эта проверка позволила бы очень здорово облегчить жизнь, т.к. спамеру, чтоб его письма приходили уже необходимо тогда зарегистрировать домен и зону, разместить в них MX записи, а это уже сложнее, чем отсылать спам с динамических адресов провайдеров. С уважением Check.

SSALX User	#2 0 26.05.2007 17:14:00 В с-вах SMTP шлюза есть галка проверять адрес отправителя на наличие MX записи.

Check

User

26.05.2007 19:07:00

Галка то есть, только вот результата нет. У меня на локальном комьютере SMTP сервер не стоял, на нем была запущена программа редиректа SMTP, есть такая прога, SMTP relay называется, вся почта приходила с одного единственного адреса, для которого не было даже записи в домене, и уж естественно не было и подавно MX записей для не существующего домена. Чисто теоритически эту программу можно было настроить отсылать письма и на другие адреса, не только на адрес моего почтовика. - НИ КАКОЙ РЕАКЦИИ, потому что, насколько я правильно понял Вы сами написали адрес отправителя, но не адрес отправки. Поэтому мы брем любой SMTP сервак, все письма помечаем (mail From:) ну например с @mail.ru и если адрес отправки не числится в RBL спам спокойно проникает в систему. Для создания SMTP рилея домен не нужен. Я имел ввиду именно адрес отправки.

Check

User

26.05.2007 19:09:00

Цитата

Я же помоему очень понятно написал.

Check39228.7996296296

Check

User

26.05.2007 19:33:00

Вот лог telnet:

220 Traffic Inspector SMTP Gate, ver. 1.1.4.197, ready at Sat, 26 May 2007 19:18
:08 +0400
HELO mf1.mail.ru
250 B-SERVER Hello [192.168.222.22]
mail from^ 1CExchange
500 5.5.1 Unrecognized command
mail from: 1CExchange2006_7 @mail.ru
250 Sender OK
rcpt to: Eugeniy@bals.ru
250 Recipient OK
data
354 Start mail input; end with <CRLF>.<CRLF>
Vot i prolez ugastniy spam!!!
.
250 Queued mail for delivery

Ну и где же наша оборона??? Все полностью набирал со своего локального компа!!! Галочка про которую вы сказали включена. Еще что нить нужно объяснять? Я имею ввиду проверку адреса который выделен красным по следующей методике: если домен "живой" а не левый то можно сделать обратный поиск в DNS, который сразу же определит, что адрес 192.168.222.22 совсем не тот, за кого себя выдает, со всеми вытекающими последствиями, не нужно такие адреса резать, просто нужно "добавить весу", возможно в теме проскользнет слово Куплю или еще что нить в этом роде и вес станет слишком большим
Name: mf1.mail.ru
Address: 194.67.23.217

Можно еще проанализировать: доменный уровень -1 [mf1.]mail.ru будет mail.ru, далее просматриваем зону и видим, что там например нет MX записи mf1 - еще весу! После такой элементарной проверки "детский" спам просто отдыхает. Неужели это сложно сотворить? Согласен на то, что проверка письма будет идти дольше, но гигабайты говна стоят дороже времени потраченного на обработку нежелательной почты.

Check39231.8625925926

Bear

User

27.05.2007 10:25:00

и после такой проверки определенный и совсем не малый процент легальной почты тебе доходить не будет.

В корпоративной среде использование спаморезалок вообще вещь опасная и может поставить под удар бизнес-процессы. То есть, использовать их нужно КРАЙНЕ осторожно. Потому что если вдруг от кого-то из ваших партнёров вам перестанет ходить почта (потому что они вдруг оказались в каком-либо DNSBL), вас по голове не погладят.

Bear39229.4380208333

Check

User

27.05.2007 14:25:00

Цитата
после такой проверки определенный и совсем не малый процент легальной почты тебе доходить не будет.

Я не говорю о беспощадном обрезании таких писем, я лишь говорю лишь об увеличении весового коэффициента. Окончательное решение о блокировке писем принимается на основании других критериев, например по присутствию определенных слов, явно рекламного характера, в теме письма.

Анализ статистики отклонения запросов показал - нормальные пользователи используют "НОРМАЛЬНЫЕ" домены для отсылки писем: yandex.ru, mail.ru, yahoo.ru, rambler.ru, либо свои собственные. Спамеры же для рассылки сообщений используют "левые" чаще всего динамические адреса, которые непринадлежат ни одному из доменов, которыми они в настоящий момент прикрываются в запросе Mail from: основная задача определить: действительно ли тебе пришло письмо от указанных доменов или им только прикрылись.

Кроме того, если партнер желает, чтобы его письмо дошло, то отсылать он его будет с "нормального" домена и IP адреса, числящегося в зоне этого домена.
Кто Вам мешает занести нормальные почтовые домены в список белых адресов, и присвоить им весовой коэффициент например
"-100"? Во всех вышеперечисленных доменах есть защита от рассылки спама через них, например mail.ru после третьего отосланного письма просит ввести цифро-буквенный код с картинки.

Фактически этот механизм лишь дополняет службу RBL, а использовать его или нет право всегда остается за администратором.

Ну если партнеры отсылают почту с "сомнительных" адресов, так возможно и не стоит с ними работать?
OFF:
Анекдот: Речевое приветствие на местной АТС "Вас приветствует фирма Мракбракзагранпоставка! Наберите номер внутреннего абонента в тональном режиме. Если Ваш телефон не поддерживает тонального набора, то положите трубку... как клиент Вы нас не интересуете..."

Bear

User

27.05.2007 21:10:00

Цитата
Ну если партнеры отсылают почту с "сомнительных" адресов, так возможно и не стоит с ними работать?

не задача IT выбирать партнёров и клиентов. Задача IT - обеспечить работу бизнеса. А если IT начнёт ставить бизнес-задачи, вчесто того, чтоб их решать, это шарашкина контора какая-то получается...

Цитата
Кроме того, если партнер желает, чтобы его письмо дошло, то отсылать он его будет с "нормального" домена и IP адреса, числящегося в зоне этого домена.

Эх.... Вот у компании, где я работаю, подавляющее число клиентов тратит на услуги связи сумму с четырьмя-пятью нулями вечнозелёных в месяц. И тем не менее, среди них есть пользующиеся трафик инспектором (хотя есть решения, куда более подходящие под их цели, и вполне им по карману), есть те, у которых почтовые сервера вообще непонятно как настроены.... Из совсем свежего - занимался я проектом одного из крупнейших российских холдингов (имя известно всем, поэтому не называю), несколько десятков заводов по всей стране. Тихий ужас. В половине из них админа нет совсем!!!! Хотя есть своя УАТС, сеть из 100+ компов. Как это всё работает - непонятно. Спрашивал - говорят, раньше был админ, уволили за ненадобностью. На другой половине заводов админ - мальчик-студент технического вуза. Общий язык удалось найти только с администратором из центрального офиса...

А ты говоришь - надеяться, что кто-то там сделал всё по уму. Выглядеть всё будет так, что не кто-то там не смог послать письмо, а ты не смог его принять, что проблемы у тебя и виноват будешь ты.

Хотя всё же у большей части наших клиентов всё чуть лучше - в центре есть вменяемые админы, которые рулят всей инфраструктурой в регионах.

Bear39229.8830671296

Check

User

28.05.2007 02:26:00

Цитата
есть те, у которых почтовые сервера вообще непонятно как настроены....

Что каждый отсылает почту с локально настроеного в XP SMTP??? Ну объясните мне, тупому директору как можно настроить почтовый сервак на прием почты без MX записи в зоне домена? Я вот ни зуя не понимаю как это может быть! Или они настраивают корпоративный SMTP только на отправку? Объясните тогда мне смысл макого SMTP сервера. Если он используется для массовой рассылки СПАМА - так вот именно с такими я и борюсь. МНЕ НЕ НУЖНЫ ПИСЬМА, НА КОТОРЫЕ Я НЕ МОГУ ОТВЕТИТЬ! И если хотели контакта по почте, так будьте добры настройте свой сервер почеловечески, или катитесь со своими предложениями по покупке виагры к чертовой матери.

Цитата
это шарашкина контора какая-то получается...

Спасибо за шарашкину контору. Я руководитель, и IT служба так же в моем ведении, и меня больше волнует проблема получения спама в мой домен. И еще ни разу не было тез ужасных проблем которые вы описываете если письмо все таки не пришло. Мои клиенты мне перезванивают, и проблема решается в течении одной минуты. А волков бояться - спам не резать. Вы уходите от необходимости технической реализации определённого сервиса к организационным вопросам. В моей компании те организационные вопросы о которых Вы пишете решены так как я написал.

Yagoda User	#10 0 31.05.2007 03:55:00 Вот интересно, Check предлагает создать возможность. А Bear говорит - мол она (возможность) вредит. Уважаемый Bear, не ваше дело, вредит или нет. Клиенту такая возможность нужна! А как будет ее использовать - его дело. И еще. Наличие возможности не озночает обязательного ее использования. По существу, мое мнение, предложение дельное.

Читают тему (гостей: 2)

Форум компании Смарт-Софт