Newsgroup: it.news.net-abuse
Titolo: liste affidabili?

Ciao a tutti,
avete blocklist affidabili da utilizzare?
 
queste possono andare bene?
 
zen.spamhaus.org
 
cbl.abuseat.org
 
dnsbl.sorbs.net
 
bl.spamcop.net
 
 
 
grazie
ciao
Andrea

 
cbl.abuseat.org
 
 
CBL è praticamente "inclusa" in ZEN
quindi evita di usarla se già usi l'altra
 
 


grazie, ma sorbs e 
spamcop.net
 sono ancora valide? ho sentito parlare di 
falsi positivi..

 ho sentito parlare di falsi positivi..
 
Prima di tutto bisognerebbe capire la tua "realtà"; mi spiego,
se tu fossi un ISP/ESP non potresti (forzatamente) "stringere"
troppo il filtraggio dato che non potresti rischiare di incocciare
in falsi positivi, quindi in questo caso converrà evitare l'uso
di liste troppo "aggressive" e comunque tarare i vari "filtri"
in modo più permissivo
 
Nel caso in cui, invece, il filtraggio fosse applicato ad una ben
definità realtà (azienda, organizzazione etc..) che abbia le sue
proprie policies nei confronti del traffico email potrai permetterti
di "stringere" maggiormente i vari filtri onde ridurre per quanto
possibile tutto ciò che nella tua realtà viene considerato "spam"
 
Detto questo; se ricadi nella seconda casistica, potresti provare
implementando le seguenti liste
 
zen.spamhaus.org
 
bb.barracudacentral.org
 
ix.dnsbl.manitu.net
 
bl.spamcop.net
 
combined.njabl.org
 
 
e magari impostandole (o impostandone alcune) in modo da
fare "monitoring" ossia non rifiutare i messaggi ma loggare solo
gli "hits"; in tal modo potrai farti da solo un'idea relativa al tasso
di hits ed all'eventuale percentuale di falsi positivi e decidere
in maniera autonoma se utilizzare o meno una data lista
 
Considera inoltre che sarebbe opportuno affiancare all'uso delle
DNSBL anche alcune DNS whitelists al fine di ridurre per quanto
possibile eventuali falsi positivi; alcune delle whiteslists che
potresti
provare a questo scopo sono
 
swl.spamhaus.org
 
list.dnswl.org
 
iadb.isipp.com
 
query.bondedsender.org
 
hul.habeas.com
 
 
 
 

 implementando le seguenti liste
 
 
perfetto, ricado nella seconda casistica e l'azienda è sovrastata da 
spam , quindi applicherò tutte le bl ma anche le wl
 
grazie mille
 

 anche le wl
 
Ehm... magari prima fai qualche test :)
 
A proposito, che s/w usi per il filtraggio ? Non per altro ma allo
scopo di restringere ulteriormente il tutto, se il s/w lo permette
potresti anche utilizzare qualche URIBL; ad esempio
 
dbl.spamhaus.org
 
multi.surbl.org
 
black.uribl.com
 
 
 
 

 da spam , quindi applicherï¿œ tutte le bl ma anche le wl
Tieni presente che molto spam te lo togli di torno anche con i
controlli di correttezza formale dell'HELO, ed il controllo
dell'esistenza del dominio del sender.
bye G.L.
-- 
Da i.d.c.tutela:
P.S. Quando ci sarï¿œ lo switch-off, avrï¿œ problemi anche col
monitor del PC? Ho visto che ï¿œ collegato in modalitï¿œ analogica.

 dell'esistenza del dominio del sender.
 
Beh... di sistemi ce ne sono tanti, graylisting, checks su
early-talkers, controlli SPF/DKIM... resta il fatto che uno
non si puň permettere di mettere in piedi un sistema di
filtraggio "stretto" senza poi monitorarlo e manutenerlo
dato che in qualsiasi caso, piů si "stringe" piů aumentano
i rischi di falsi positivi e che comunque in diversi casi,
capita di *dover* ricevere emails anche da servers
mal configurati/gestiti
 
 
 

 mal configurati/gestiti
Sottoscrivo, ma diciamo che per partire poche blacklist e pochi
controlli vanno bene. Poi, ci si mette su altro, magari anche
spamassassin. :-)
BTW quello da me gestito e' un email server aziendale, riceve poco
traffico, i controlli sull'HELO non hanno mai fallito. Quel che
invece ho recentemente tolto e' il controllo sul reverse del
client...
bye G.L.
-- 
Da i.d.c.tutela:
P.S. Quando ci sar� lo switch-off, avr� problemi anche col
monitor del PC? Ho visto che � collegato in modalit� analogica.

mal configurati/gestiti
 
Tipo quelli della Banca di Credito Cooperativo. :/
-- 
Living in Barbaropoli
http://www.barbaropoli.com
 

 sul reverse del client... .
Probabilmente perch� lo usavi in "blocking immediato";
nel caso di mailservers con un traffico relativamente basso
conviene impostare i vari tests in "scoring" e fare "reject"
solo nel momento in cui il punteggio superi una data soglia

> Tipo quelli della Banca di Credito Cooperativo. :/
Seh... fosse solo quella; la maggior parte delle entit� che
"smanazzano" (termine altamente teNNico) denaro, se ne
fregano di mettere in piedi delle contromisure valide nei
confronti del phishing :P

 confronti del phishing :P
Tanto per capirci; sarebbe sufficiente implementare in
modo opportuno SPF o DKIM, ma non lo fanno soltanto
perch� NON HANNO IDEA degli IP dai quali escono le
loro emails ! Non solo, molti phishing potrebbero essere
smascherati semplicemente impostando sui servers un
check che, alla richiesta di immagini/script/altro, obblighi
all'uso di SSL ed inoltre (e pi� importante) controlli quale
sia il "referer" e, se lo stesso non appartiene ad un host
"noto" provveda a passare un'immagine con una bella
scritta "falsificato"; in questo modo, parecchi dei "phish"
in circolazione verrebbero debellati immediatamente



Qua si parla di ignoranza delle basi: si presentano col nome corretto
del loro MTA ma poi mandano (e ricevono) mail presentandosi con
impi...@nomefiliale.bcc.it
Tutto bello se non fosse che i vari 
nomefiliale.bcc.it
 sono tutti
sottodomini inesistenti.


 sottodomini inesistenti.
Ah beh, quello si potrebbe risolvere in due minuti, sarebbe
sufficiente implementare SRS; quel che ho visto in giro �
molto peggio, gente che LAVORA per ISP a livello nazionale
e che invia emails con indirizzo aziendale (
pi...@isp.xyz
)
usando servers "a casaccio" (in pratica qualsiasi mailserver
al quale abbiano accesso in un dato momento); ovviamente
come ciliegina sulla torta il dominio "
isp.xyz
" pubblica un
record SPF ed altrettanto ovviamente, gli IDIOTI che usano
mailserver "a casaccio" si incaxxano perch� le email vengono
rifiutate :P

rifiutate :P
 
In realta' dig un record MX per i vari sottodomini lo restituirebbe
(delegando) anche, ma ogni tot evidentemente la richiesta picchia dove
non dovrebbe e li' iniziano i problemi.


 dove non dovrebbe e li' iniziano i problemi.
 
Ah beh :) ... poi ci sarebbe da discutere sul fatto che i due DNS
autoritativi per il dominio da te citato... sono anche dei resolvers
ricorsivi :P (prova e vedi da solo)
 
 
 

 ricorsivi :P (prova e vedi da solo)
Uhm... no, i flags non sembrano offrire ricorsione, probabilmente
quei DNS usano dei forwarders; resta il fatto che se la config dei
DNS in questione � quella che sospetto, i servers potrebbero
essere vulnerabili al cache snooping :P - non ho fatto prove in
merito visto che i tizi potrebbero essere suscettibili ma fare un
test non � complicato
http://www.rootsecure.net/content/downloads/pdf/dns_cache_snooping.pdf
;-)


http://www.rootsecure.net/content/downloads/pdf/dns_cache_snooping.pdf
 
 
Se vuoi controllare chi risponde per cosa e come:
 
alzatebrianza.bcc.it
 


 Se vuoi controllare chi risponde per cosa e come:
Mi hai frainteso, io mi stavo riferendo ai DNS autoritativi per 
bcc.it
ossia 
ihdns1.bcc.it
 (83.103.122.103) ed 
ihdns2.bcc.it
 (83.103.122.104)
prova (es.) ad inviare ad uno dei due una query per un qualsiasi
dominio che so... "dig 
www.zone-h.org
 @
83.103.122.104
" :-P i due
servers rispondono con i flags "qr, rd, ra" in alcuni casi, oppure
con "qr, aa" in altri :P



Non mi sono spiegato: non ti stavo suggerendo di fare esperimenti, ti
stavo solo dando un dato oggettivo (il sottodominio) in modo da poter
fare delle query sensate.
Vedrai infatti che i DNS che hanno in carico il sottodominio non sono
piu' quelli di 
bcc.it
, ma quelli di... :)


 piu' quelli di 
bcc.it
, ma quelli di... :)
 
Lo so, lo so, avevo già fatto i miei "compiti a casa", suvvia, pensavo
avessi un filo, anche minimo, di considerazione per il sottoscritto :D
 
 

avessi un filo, anche minimo, di considerazione per il sottoscritto :D
 
Hai le dita sporche di marmellata. :)


> Hai le dita sporche di marmellata. :)
Uh... ah quello ! No, non � marmellata � grasso lubrificante,
ho appena smontato un coso...


uso IMF di Exchange , oppure l'antispam integrato del kerio

 uso IMF di Exchange , oppure l'antispam integrato del kerio
 
Se usi exchange 2007 o 2010 lo spamfilter permette di usare
alcune features abbastanza interessanti/comode ... ok, niente
URIBL purtroppo ma per lo meno ha white/black lists oltre
a diverse altre cosette
 


cosa sono le URIBL ?

 cosa sono le URIBL ?
 
http://en.wikipedia.org/wiki/DNSBL#URI_DNSBLs