Newsgroup: it.news.net-abuse
Titolo: Pensavo fosse tutto più semplice.....

Ciao,
sono iniziati i test, finalmente si mette in pratica la teoria.
Ho la bellezza di circa 6.000 email al giorno da analizzare!!!!
Mamma mia quanti falsi positivi!!!
Ho provato ad utilizzare le blacklist, ma alcune mi danno troppi falsi
positivi, la peggiore
è risultata: 
dul.dnsbl.sorbs.net
Che ho scartato subito.
Ho deciso di bloccare come spam i messaggi contenenti: <iframe>
Non l'avessi mai fatto....altra caterva di falsi positivi.
Vedremo come andrà a finire.
Buon week-end a tutti.

 Che ho scartato subito.
mbah... 
-- 
cat: .signature: No such file or directory

 Che ho scartato subito.
non tutte le blacklist sono da utilizzare e non tutte quelle che sono 
perfette per uno si rivelano usabili per un altro.
Noi per esempio facciamo largo uso di dul sui nostri sistemi con un 
numero di falsi positivi uguale a 0
Tutto sta a vedere se la blacklist che hai deciso di usare è utile per 
il tipo di sistema che hai.
Es. se il tuo sistema mail deve ricevere dai dialup dinamici di altri 
ISP (cosa che credo sia il tuo caso) usare DUL che lista TUTTI i dialup 
dinamici (a prescindere dal fatto che facciano spam o meno) è una cazzata.
Per cui non è la blacklist che è peggiore, sei tu che hai sbagliato a 
usarla :-)
Ti consiglio (per iniziare con le blacklist) di usare queste
sbl-xbl.spamhaus.org
list.dsbl.org
relays.ordb.org
evitare come la peste spamcop e le varie dul
e se ti senti confidente inserire anche il livello 1 di SPEWS
l1.spews.dnsbl.sorbs.net
-- 
Cataldo Cigliola
Il miglior browser internet ? 
http://www.mozillaitalia.org/firefox/
Il miglior client di posta ? 
http://www.mozillaitalia.org/thunderbird/

 Che ho scartato subito.
Che falsi positivi ti da dul?
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
True love comes and goes, but Herpes is forever.


Ho già provveduto....speriamo bene :-)


62.10.139.62  -->  
ppp-62-10-139-62.dialup.tiscali.it
    eccone un esempio
h213-213-102-76.pd1.albacom.net
 [213.213.102.76] un altro
Potrei sbagliare, ma in teoria chi si crea un mail server con una
connessione dialup???
Pensavo solamente gli spammer, ma a quanto pare mi sbagliavo!
dul.dnsbl.sorbs.net
 mi ferma tantissimo spam, ma anche diverse email buone.

 
dul.dnsbl.sorbs.net
 mi ferma tantissimo spam, ma anche diverse email buone.
Buone, ma provenienti da macchine configurate male...


 
dul.dnsbl.sorbs.net
 mi ferma tantissimo spam, ma anche diverse email buone.
Ma non è un falso positivo: lui lista le connessioni dinamiche e quella è 
dinamica.
Ti dicessi quanti virus mi blocca dul..
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 
h213-213-102-76.pd1.albacom.net
 [213.213.102.76] un altro
Due domande:
- stai considerando l'IP che ha iniziato la connessione SMTP che ha
  consegnato il messaggio a un server che e' MX per il dominio di
  destinazione, oppure stai considerando un IP che appare in una
  linea Received come origine del messaggio?  (le liste di tipo
  DUL sono evidentemente utilizzabili esclusivamente nella prima ipotesi)
- quale criterio usi per definire "falsi positivi"?  (nel senso che
  un numero enorme di virus e' trasmesso da IP dinamici con un
  mittente che appare essere del tutto normale, e dai soli logs non
  e' affatto chiaro che sono virus)
furio

 Ti dicessi quanti virus mi blocca dul..
Lo so che non è un falso positivo, ma il messaggio è buono!!
Anche a me blocca tantissimi messaggi che contengono virus

 Non l'avessi mai fatto....altra caterva di falsi positivi.
Questo invece va fatto e non credo affatto che ti abbia generato una tale
"caterva" di falsi positivi, perche' le email legittime non dovrebbero contenere
iframe in quanto e' il modo per mascherare la redirezione verso siti esterni o,
peggio, a contenuti maliziosi. Visto che hai identificato dei falsi positivi con
iframe, prova a descriverci per quale ragione e' stato inserito un iframe in
quelle email, e vediamo.
-- 
Ciao!
   -DocDoc-
--- Per scrivermi: dottoATdespammed.com
Sei anche tu stanco dei messaggi spam? Usa Terminator, il programma
anti-spam italiano FREEWARE!     
http://www.spamterminator.it/

connessione dialup???
Pochi smanettoni che non hanno ancora realizzato di vivere nel 2004.
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 Lo so che non è un falso positivo, ma il messaggio è buono!!
Bisogna che ti metti d'accordo con te stesso, o prima di scrivere "A mi
genera un sacco di falsi positivi", ci rifletti.
Dul non ti ha generato nessun falso positivo. Se poi, non hai interesse
a bloccare quel *tipo* di risorsa - che e` pero` fondamentale da
bloccare, quindi occorre che rivedi anche i meccanismi di diffusione di
spam e virus - e` un problema solo tuo, non di dul.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
An NT server can be run by an idiot, and usually is.

Mamma mia,
credo di aver sparato una grandissima cazzata!!!!
Ho ricontrollato tutti i log e le statistiche e .......
...... spero di non ricevere insulti o quant'altro......
......NON HO FALSI POSITIVI!!!!
Questa blacklist funziona benissimo, non so perchè ho detto quella
cavolata!!
mmmmmm sono leggermente sconvolto!!
A quanto pare devo aver applicato male un filtro.
Sento già i cori: PIRLA, PIRLA.........
mi unisco a voi e mi auto insulto!!!!
Scusate!!!

   e' affatto chiaro che sono virus)
Mi hai fatto venire un grandissimo dubbio.......
.........

 
relays.ordb.org
Domanda generale: ma quanto puo' convenire ora come ora usare ordb?
Ormai il numero di relay aperti in circolazione e' irrisorio.
-- 
Veneziano Davide
http://www.vene.ws
ICQ# 14047537

 Ormai il numero di relay aperti in circolazione e' irrisorio.
Non proprio irrisorio, purtroppo...
E' molto basso rispetto agli open proxy, ma ce n'è ancora un certo numero.


 E' molto basso rispetto agli open proxy, ma ce n'è ancora un certo numero.
Comunque anche NJABL e DSBL danno una buona copertura dei relays.
furio

Domanda generale: ma quanto puo' convenire ora come ora usare ordb?
Nulla, usata dopo tutte le altre DNSBL mi blocca non più di una dozzina
di messaggi alla settimana (su 150-200K messaggi rifiutati).


Mi hai fatto venire un grandissimo dubbio.......
Ricevere e-mail da una connessione dial-up e`, nel 99% dei casi, spam,
o virus. Puoi accettare mail da un dial-up, solo se passa attraverso
il mailserver del proprio ISP.

mi unisco a voi e mi auto insulto!!!!
Ecco, bravo, chi non saltella, pirla e`!

 il mailserver del proprio ISP.
Skunk parla di "fessi", Marco d'Itri dice che è un metodo usato da 
"smanettoni che non ancora realizzato di vivere nel 2004" ma...io non ho 
mai verificato questo problema di reject se non in rari casi, eppure di 
email ne invio parecchie....Quindi, due domande ora sono d'obbligo :
1) tutti i mail server locali permettono di inoltrare la posta via 
mailserver del provider in uso qualora l'email non riesca a venir 
recapitata "direttamente". Stando cosi' le cose, qual è il problema?
2) Un utente che spedisce un'email con mailserver locale e connessione 
dialup, ha sempre la garanzia di poter vedere DA SUBITO se l'email è 
stata recapitata/espulsa o puo' essere che un server email ACCETTI 
l'email senza dire nulla e poi la cancelli in automatico? 
Se un server non tollera invii da parte di ip dialup, avvertira' in 
tutti i casi chi prova a spedire l'email (come è capitato, anche se 
raramente, a me) restituendo un messaggio d'errore oppure il filtro 
agisce DOPO che l'email è arrivata nel server (e quindi tenendo il 
mittente all'oscuro) ???
Grazie!
Saluti
RIC

 mittente all'oscuro) ???
Vale quanto sopra.  Il modo giusto di operare liste DUL e' quello di
dare un errore 5xx nella connessione SMTP.  Il testo del messaggio di
errore (tipicamente una linea) dovrebbe arrivare al mittente 
attraverso lo stesso server di posta che sta usando per spedire.
Anche se nella vita ho incontrato casi di mailservers in ambiente
Windows che sostituivano il messaggio di errore informativo con
"550 User unknown" al momento di presentarlo al mittente, con
prevedibili conseguenze.  Fortunatamente questi casi - comuni intorno
al 1998-2000 - sono ora piuttosto rari.
furio

 2) Un utente che spedisce un'email con mailserver locale e connessione 
Qui ha risposto furio. Io mi accodo e prendo nota...

 configurazione sensata come default, piuttosto che usarla come fallback?!?
Perdona l'ignoranza, puoi spiegarti meglio? 
Saluti!
RIC

 al 1998-2000 - sono ora piuttosto rari.
Scusa Furio se approfitto della tua disponibilita', un'altra veloce 
domanda:
Ho visto in circolazione decine di programmi che scaricano da pop3 
l'intera email e poi selezionano cosa tenere in base alle famosissime 
liste (tra cui 
dul.dnsbl.sorbs.net
 etc..approposito una lista completa 
dove si trova?). Ne esistono altri che filtrano direttamente scaricando 
solo gli headers delle email. 
Ammettendo di usare un sistema che cancella email senza intervento 
dell'utente, č piu' consigliabile scaricare tutto via pop3 e lasciare 
che il programma cancelli #dopo# aver scaricato oppure č sicura anche la 
cancellazione diretta anche se il programma in questione (tipo Mail 
Washer, ad esempio) ha scaricato solo gli headers?
Ultimissima cosa: (poi sparisco o cerco qualche FAQ)
Che programma (per Windows) consigli per filtrare le email in arrivo su 
pop3 usando le liste?
Grazie saluti! 
RIC

 Perdona l'ignoranza, puoi spiegarti meglio? 
Un MTA, per poter intrattenere un qualsivoglia rapporto di "fiducia" con i
suoi pari sparpagliati per il mondo, deve garantire il rispetto di alcune
regolette:
1) evitare di comportarsi come relay aperto e/o essere soggetto a facili
abusi, perchè in questi casi non ho alcun modo di sapere "chi c'è
dietro" l'invio della mail
2) avere delle utenze amministrative globalmente raggiungibili, in modo
che chi ne ha necessità possa intrattenere un rapporto diretto con
l'amministratore di tale server (abuse, postmaster, ecc...)
3) avere un ip ben definito (se con una zona inversa sensata tanto meglio,
davvero) che lo renda univocamente identificabile in qualche modo, al fine
di poter in qualche modo effettuare segnalazioni al suo amministratore.
La 2 è troppo spesso ignorata, e la 1 fortunatamente un caso che va quasi
sparendo, grazie alla maggiore posta nelle configurazioni di default da
parte dei produttori di sw.
La 3, tuttavia, è condizione imprescindibile, e da qui l'abbondanza di
liste che raccolgono blocchi dinamici, poichè mi pare sensato che deve
gestire un traffico di milioni di mail/mese voglia evitare di tirarsi in
casa anche la spazzatura altrui.
Soprattutto, con la crescita esponenziale del fenomeno spam, chi non cura
adeguatamente questi aspetti si ritrova velocemente con sistemi
sottodimensionati (da noi la percentuale di reject sugli MTA esterni è
dell'ordine del 68%... se tutta 'sta roba passasse oltre, dovremmo quindi
quadruplicare tutta l'infrastruttura che ci sta dietro...).
Ora: quando tu invii una mail, è possibile che chi sta dall'altra parte
mantenga queste accortezze ma anche no.
Perchè quindi cercare prima di inviare una mail "alla zozza" e ricorrere
alla maniera pulita solo se la zozza non va? Non è tanto meglio per tutti
usare direttamente quella pulita?


 pop3 usando le liste?
Non ho mai usato Windows.   Ho solo usato MSDOS "nudo" nella finestra 
temporale 1986-1991.  Nuovamente, qualcun altro piu' aggiornato 
di me rispondera'.   
furio

 pop3 usando le liste?
K9, è un proxy

> K9, č un proxy
Grazie ad entrambi
Saluti
RIC

 usare direttamente quella pulita?
Non hai torto ;)
Saluti
RIC

 Se ti dico che parlavo di 
smtp.libero.it
 ritratti quest'affermazione? ;)
Io?
Mai stato cliente di libero, quindi mi baso sui disservizi di cui mi
racconti tu...
Pertanto non ho nulla da ritrattare: 
[ $disservizi == 1 ] && echo "provider cattivo"
Quindi io mi sento paraculato in ogni caso... :-P
