Newsgroup: it.news.net-abuse
Titolo: tool AV e messaggi automatici

     Sat, 17 Dec 2005 18:49:38 +0100 (CET)
la mia risposta:
|Salve,
|Vi sarebbe stato sufficiente controllare l'ip di provenienza
|80.181.34.30 per capire che non si tratta di X-Privat.Org,
|dato che i nostri MX sono: 
|217.22.228.18 -> 
mail.x-privat.org
|81.174.12.30 -> 
news.x-privat.org
|I tool automatici che utilizzate danno risultati falsi e sono
|oltremodo inutili, creano panico negli utenti che non
|conoscono le comunicazioni SMTP e sopratutto creano ulteriore
|SPAM. 
|Vi invitiamo quindi a rivedere il vostro sistema e/o a
|filtrare i domini di 
x-privat.org
 e 
x-planet.org
 dal vostro
|sistema di avviso (palesemente non funzionante). 
|X-Privat Team - 
www.x-privat.org
|Cordialmente
la mia domanda è questa: questi tool automatici che utilizzano 
questi ISP e/o aziende che siano, non sono in grado, 
opportunamente configurati, di fare un reale controllo di 
provenienza delle mail prima di inviare questi inutili avvisi?
Spesso ho molto traffico generato proprio per ricevere questi 
inutilità ..
-- 
Ciao, Dmitry
I've a dream... bring usenet to every family 

 inutilitą ..
aioe.org
 ha 5 utenti di posta
praticamente sono un grande ISP
istruzione.it
 č una fonte continua di problemi (per me quindi immagino 
anche per altri). Probabilmente gioverebbe qualche sistemista non di
nomina politica.
BTW io l'ho messo in white-list (finchč non trovo un sistema migliore)

inutilità ..
No però tu puoi fare di meglio nelle body_checks:
/^VIRUS ALERT/	550 do not send bounces. Worms spoof addresses and 
a good sysadmin is no so expensive!

 No perň tu puoi fare di meglio nelle body_checks:
devi trovare una regex su cui appoggiare la regola (e sperare che non
cambino il testo)

 addresses and a good sysadmin is no so expensive!
si, ok. Ma dal loro lato non č possibile una configurazione 
migliore? 


 sistema migliore) 
mhm .. io stavo pensando a delle WL basate sugli IP degli MX, 
fare WL sui domini del MAIL FROM, non ha imho, senso.


 sperare che non cambino il testo)
mhm, pericoloso come sistema...


 di autocommiserazione :)
perchè riuscire ad aver problemi con un mail server con *5* account
(tutti di parenti ed amici) mi sembra davvero uno scherzo della sorte
BTW, 
istruzione.it
 ogni tanto rifiuta messaggi con spiegazioni
inverosimili (non è detto che quel che leggi nel bounce debba essere per
forza vero)
ciau (a te ed alla tua signora ;))
e buona domenica

 e buona domenica
anche a te :) Paola ringrazia.


cambino il testo)
E' già una regexp. Tieni pignolo, ci aggiungo un dollaro :)
/^VIRUS ALERT$/	550 do not send bounces. Worms spoof addresses and 
a good sysadmin is no so expensive!
se non ti basta ...
http://std.dkuug.dk/keld/virus/header_checks

migliore? 
si, non inviarli. La lista dei virus che spoofano il mittente oramai è 
quasi la totalità del wild, quindi la vecchia distinzione dei worm che 
spoofano il mittente (possibile cmp in amavisd), come osservava 
giustamente furio qualche tempo addietro, è inutile. Poi ci si aggiunge 
la complessità aggiuntiva dovuta al fatto che la designazione non è 
standardizzata, e quindi tra software e software il nome può cambiare, 
per rendere l'operazione ancora più complessa.

 si, non inviarli.
faglielo capire ..


Dmitry for President? ;oP
Nuovo PRI ;)

 Dmitry for President? ;oP
rosso fuoco :)


 Nuovo PRI ;)
lol :) immagino sia qualcosa del tipo: "partito roditori 
italiani" :)
Oibň, a me sembra che potrei cosě riunire vari personaggi in 
entrambi gli schieramenti. Il problema č decidersi con i nomi 
perDio. Insomma, voglio dire: ulivo, margherita e via dicendo, 
meglio un bel tronchetto di sana liquirizia e non se ne parla 
piů :)
ci manca solo il partito dei fiorellini (lascia stare Rosario 
eh) e siamo al completo.
Al che, io propongo appunto una nuova idea floreale :)


 
Il discorso 
istruzione.it
 in particolare è già stato affrontato qui.
Riassunto: un tempo lavoravo lì dentro, e ho ancora qualche contatto che
interrogai per quella questione, e il succo -rigorosamente non
ufficiale- è "quelle macchine vennero installate con l'appalto di X anni
fa e non sono coperte dalle competenze acquisite con i nuovi contratti
(nel frattempo il gestore del sistema informativo è cambiato due volte),
ergo non sono amministrate da nessuno".
Parlando del "reale controllo di provenienza" il problema è abbastanza
complesso, e passa per il concetto "generico" di provenienza: in assenza
di validazione del path o del mittente (e si torna al discorso SPF ecc.)
non ha pressochè alcun senso parlare di "provenienza".
Valgono piuttosto le questioni già affrontate più volte relativamente al
comportamento e alla legittimità del client mittente: perchè si accetta
una mail da una macchina che è listata come proxy da
CBL
XBL
SORBS
NJABL
DSBL
ed è attestata su connettività dinamica?

 ed è attestata su connettività dinamica?
tutte bl che uso. Quando è stata listata?


 tutte bl che uso. Quando è stata listata?
quindi 
mx4.istrizione.it
 non si è preoccupata di filtrarla, e/o 
forse non usa liste di blocco, difatto:
http://www.dnsstuff.com/tools/ip4r.ch?ip=80.181.34.30
che è l'ip di origine è presente in diverse liste.


 e/o forse non usa liste di blocco,
quindi se č cosě, e pare sia cosě, posso ragionevolmente 
rifiutare posta da 
mx4.instruzione.it
 in quando difatto, mi 
arriva spazzatura.


 
Ovviamente mi riferivo all'emettitore originario e alla sua accettazione
come peer "buono" da parte delle macchine di 
istruzione.it
.
Cmq, per completezza, è listato da NJABL dal 13 Novembre 2004, e da DSBL
e SORBS dal 22 dicembre 2003 (da parte di Tokarev, che fornisce feed ad
entrambe le liste).
Il che è abbastanza normale, per un IP assegnato dinamicamente, che
nessuno ha interesse a "ripulire".

 
Non sarei cosě "brutale", francamente: quelli sono gli instradatori
principali di tutto il Ministero della Pubblica Istruzione.
Se puň essere utile, io uso questa da parecchio tempo (non so se la tua
notifica fa parte della "famiglia" bloccata da questa o se invece si
riferisce ad altre "generatori di fuffa"):
/^From:\"Content-filter at \S+\.trampi\.mpi\.it\"/          REJECT
Bye

principali di tutto il Ministero della Pubblica Istruzione.
Allora il Reject ... sarebbe meglio fosse:
REJECT   ehi... teachers, leave servers alone ! All in all it's just, 
an other IP in the firewall.

 an other IP in the firewall.
ROTFL.
Nella fattispecie il problema è che *non dovrebbero* "leave servers
alone", però... ;-)

che è l'ip di origine è presente in diverse liste.
oramai inutilmente per giunta. Pax Altissimi sit vobiscum.

 REJECT 
thanks :)


 
istruzione.it
. 
si, 80.181.34.30.


 
http://std.dkuug.dk/keld/virus/header_checks
sei un grande ;D
grazie!
ciau

<snip>
|> Vi sarebbe stato sufficiente controllare l'ip di provenienza
|> 80.181.34.30 per capire che non si tratta di X-Privat.Org,
<snip>
Oppure .. implementare dei checks SPF ed usarli :-)

 rosso fuoco :)
Che sei, un Pokemon?!?
Fabrizio  O:-)

 Che sei, un Pokemon?!?
no è che ultimamente se ne sentono di tutti i colori, come ad 
esempio la dichiarazione di Borghezio in cui afferma che 
nell'essere minacciato di morte stava per essere sbattuto fuori 
dal finestrino del treno. Ora .. atto gravissimo il pestaggio, 
non c'è dubbio (ma non strumentializziamo però eh), ma che 
Borghezio potesse finire fuori da un finestrino di un treno 50 
x80 cm mi pare davver inverosimile. Non per cinismo, ma per pura 
'fisica delle particelle' :)


 dal finestrino del treno. Ora .. atto gravissimo il pestaggio,
Ed io mi fermerei qui.
Anche perche' tu ed io non eravamo sul treno e quindi non possiamo
capire il "limite" a cui possono arrivare cinquanta pazzi furiosi.
Anzi, ora diro' una parola che mandera' in "crisi" parecchia gente, che
legge troppa Usenet e poca realta'.
Un BRANCO di pazzi furiosi (visto che, in questi casi, le reazioni sono
piu' simili a quelle degli animali che a quelle umane), che si eccitano
a vicenda.
Visto che, in quei casi, fanno tutti a gara a chi la spara piu' grossa,
mi stupisco che nessuno abbia avuto "l'idea" di aprire lo sportello del
treno.
BTW, mi stupisco anche che quei due oscuri (e malmenati. Di Borghezio si
sa tutto. Mi piacerebbee sapere anche di quei due.) poliziotti non
abbiano estratto le armi. Secondo me, non le avevano (ignoro lo "stato"
della Polfer)... senno' sarebbe stato un bel casino.
Ma tutto questo non c'entra un tappo con la mia battuta (decisamente
piu' leggera... e non politica).
Fabrizio

 lo sportello del treno.
questo mi ricorda una serie di barzellette dedicate ad una precisa 
categoria professionale :o)
-- 
"Egli imparň a volare, e non si rammaricava per il prezzo
che aveva dovuto pagare. Scoprě che erano la noia e la paura 
e la rabbia a rendere cosě breve la vita di un gabbiano." (R.Bach)

 si, non inviarli.
O, per carichi non elevati...
smtp      inet  n       -       n       -       -       smtpd
        -o smtpd_proxy_filter=
127.0.0.1:10024
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

        -o smtpd_proxy_filter=
127.0.0.1:10024
direi che l'operazione del before queue filtering, ovvero nella 
fattispecie la pass-through proxy feature di postfix, espone a una 
serie di problematiche non trascurabili che hai sottointeso un po' 
frettolosamente in quel "risorse".
1) rischi di Dos in grado di grave epidemia (specie con sistemi di 
compressione annidati che costringono l'AV a salti mortali - avrei poi 
da raccontare un giochino bellissimo da farsi con la tecnica degli 
annidamenti compressi ;) )
2) necessità di diminuire su macchine *normali* con molti utenti, come 
anche quelle castoriche, il numero di utenti contemporanei.
Operazione con qualche senso per antivirus tipo clamAV che dispongono 
di add-on per implementare queste funzionalità direttamente, assai meno 
per uso di amavisd-new, il cui uso è ad esempio nella fattispecie 
sconsigliato.
Il tutto per pagare con dei reject dei worm che al 99 % usano direct-to 
mx bloccabili tranquillamente con i filtri o chiudendo quella famosa 25 
per gli IP non statici? Bah; non mi convinci stavolta.
Se invece ti riferisci a regole per beccare attacchi mirati, ad esempio 
a mezzo back-door, in quanto ritieni che gli worm eseguibili son segati 
tot court da regole non impegnative, beh non c'e' miglior cosa che non 
far sapere all'attaccante di quali cartucce AV è munito il server 
ricevente (notoriamente amavisd ad esempio può usarne di molteplici ma 
di default smutanda quale AV ha identificato l'agente). In caso di 
attacco simile infatti, la prima regola è conoscere con quale AV si ha 
a che fare, sperando sempre sia il norton e non il KAV. :)
Se poi passiamo al campo professional, beh siamo in logiche dove l'AV 
ha rilevanza trascurabile.
-- 
Qui di seguito  si  segnala  la  minaccia, subito  dopo  realizzata, di
infastidire il contatore del sito dello scrivente,da parte di un Vostro
utente... Non è lo stesso post recante la minaccia... e se non ce l'ho, 
che faccio... autosex? non si usa più. (PP--> non ho capito un apascio)

 cinquanta pazzi furiosi. 
beh, se per questo per quanto mi riguarda è pazzo furioso anche 
lui. uno che predica in comizio 'calci in culo' un pò a tutti, 
si può anche aspettare che qualcuno la prendi come una 'sfida'.
ora, ripeto, atto gravissimo, ma io non ho mai predicato 'calci 
in culo agli islamici o chichessia, solo perchè la pensano 
diversamente da me.
magari il sig Borghezio, dovrebbe valutare l'ipotesi di essere 
un pò meno arrogante nei suoi comizi, anche per cercare un 
minimo di dialogo e stemperare un pò gli animi.
Condanna piena per il pestaggio, ovviamente.
