Newsgroup: it.news.net-abuse
Titolo: Antispam locale e Black-list

Salve,
cercando su google non ho trovato risposte alla mia domanda, quindi la 
pongo a voi che siete certamente più esperti.
Tempo fa (un anno circa) avevo chiesto a questo ng quali fossero le 
miglori blacklist da usare per un filtro antispam.
Dalle risposte ottenute mi sono orientato su Spamhaus e Sorbs.
Il problema principale è che il filtro lavora in locale sul pc 
dell'utente (è un comune antispam che funge da proxy tra il client di 
posta e il server).
Vorrei quindi capire in che modo comportarmi per l'analisi degli IP 
negli header.
Certo non posso analizzare l'ultimo IP, perchè è certamente quello del 
provider di posta (quindi pressochè inutile). E non posso essere sicuro 
neanche del penultimo e così via.
La policy che uso è quella di analizzare *tutti* gli IP della mail e, al 
primo "positivo" incrementare il punteggio di spam.
Sto anche pensando di "sgravare" le BL creando dele blacklist locali 
temporanee. In questo caso, ogni quanto dovrei far "scadere" i dati 
delle BL locali per abbassare il rischio di avere un IP in locale ma che 
  è stato tolto da spamhaus e sorbs?
Ultima domanda. E' corretto usare Zen come blacklist al posto di xb-sbl 
o è meglio non usarla perchè (per motivi a me oscuri) la PBL inclusa in 
zen può dare problemi?
Grazie a chi vorrà aiutarmi.
Nicola Ottomano
www.nicolaottomano.it

  è stato tolto da spamhaus e sorbs?
Se l'obietttivo è quello di "sgravare le BL", in linea di massima non
serve che fai nulla: dato che le DNSBL si appoggiano all'infrastruttura
DNS, valgono per esse gli stessi meccanismi di caching che valgono per
tutte le altre applicazioni.
Quindi la "prima volta" domandi al mirror della DNSBL, ma la seconda
interroghi una cache locale, almeno fino a scadenza della stessa. Quindi
è sufficiente che il DNS sia locale per ridurre al minimo indispensabile
le query che escono dalla tua rete.
Le DNSBL principali hanno parecchi mirror distribuiti pressappoco
ovunque (Spamhaus, ad esempio, in questo momento ne ha 45, mi pare), e
le interrogazioni da parte di qualche centinaio o migliaio di utenti non
la sentono nemmeno.
Se gestisci volumi molto grossi, o ritieni quel servizio una componente
critica (ma questo di norma vale per infrastrutture di classe ISP, non
certo per i client) puoi pensare di  richiedere un feed via rsync ed
eseguire una tua istanza locale di rbldnsd, ma considera che fornire un
accesso rsync (con tutte le schedulazioni necessarie a mantenerli
allineati) "pesano" sulla struttura del gestore delle DNSBL quanto
alcune milionate di mailbox (e poi, spesso sono servizi a pagamento).
Se vuoi mantenere delle DNSBL locali, liberissimo di farlo, ma falle per
un'altra ragione, come ad esempio per listare sorgenti di spam che hai
identificato ma che le DNSBL pubbliche non hanno ancora listato.
In questo caso, il discorso cambia.
Se interessa comunque una risposta alla domanda 'ogni quanto dovrei far
"scadere" i dati delle BL locali', si può argomentare al riguardo, ma
fai sapere tu...
-- 
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.

 alla SRL[1] di cui sopra.
[1] voleva argomentare che l'analisi della SRL è stato in un certo qual
modo portato nelle prassi ISP-grade da AOL: poichè ricevono da anni spam
inviato attraverso relay altrui, mantendono un DB che associa ISP e
numero di tier, ed effettuano analisi sulla N-esima received-line,
ovvero il punto "reale" di immissione della mail...


 la sentono nemmeno.
Ok, questomi ha chiarito molto le idee.
Il problema principale è che io non so le configurazioni dell'utente.
Il mio antispam è scaricabile gratuitamente dal mio sito, quindi gli 
utilizzatori fanno parte di classi più disparate.
Grazie per la risposta.
Nicola Ottomano

 ovvero il punto "reale" di immissione della mail...
Com'è possibile ottenere una lista dei pricipali ISP e del loro numero 
di tier? Se mi fornissi qualche link ti sarei immensamente grato.
Nicola

 di tier? Se mi fornissi qualche link ti sarei immensamente grato.
Non mi risultano risorse pubbliche in questo senso.
Per quanto ne so, AOL la sua se la è popolata, presumibilmente
attraverso una serie di analisi automatizzate sugli header delle mail
entranti...
Magari potrebbe essere un progettino interessante su cui operare: un
servizio (magari sempre basato su DNSBL) che associa ad un sistema SMTP
di uscita il numero di SMTP-hop che lo compongono...


 tiscali, e magari il vero IP è sulla terza o quarta recived?
No, non puoi esserne sicuro.  Dipende dall'architettura del sistema
dell'ISP ricevente (e non e' raro che vi siano piu' architetture
diverse usate simultaneamente).
Occhio anche ai forward automatici, che causano un brusco cambiamento di
ISP risalendo la catena di Received ma la sorgente di spam (se e'
spam) sta piu' sopra.   Il considerare sorgente di spam un sistema
che fa solo facendo forwarding e' un errore dei piu' classici.
furio

 che fa solo facendo forwarding e' un errore dei piu' classici.
Infatti per questo motivo ho timore a segnalare (a Gmail) come spam lo spam
che ricevo tramite un forwarder (l'indirizzo nel mio From). Non vorrei che
si verificasse proprio la confusione di cui parli. 

Da quanto capisco dalle vostre risposte è meglio che continui sulla 
strada che ho intrapreso, cioè quella di analizzare tutti i received, 
facendo accortezza a non cercarli in PBL.
Peccato, mi sarebbe piaciuto "affinare" l'algoritmo del mio antispam.
bye

 strada che ho intrapreso, cioč quella di analizzare tutti i received,
Non so se ti puň essere utile, ma ti segnalo al proposito un vecchio script
per Hamster,   RBLCHECK di daRkSidE. Se cerchi con GG trovi le discussioni
su hamster.it.misc , per es.
http://groups.google.com/group/hamster.it.misc/browse_thread/thread/3dba7c0574755f82/d3a86640c9951b37?#d3a86640c9951b37
 

che fa solo facendo forwarding e' un errore dei piu' classici.
Che fanno praticamente tutti però. :-(
-- 
ciao, |
Marco |  The Italian Usenet Cabal, Abuse Department (TINC)
"It's about damn time that all of us who actually give a damn about Usenet
stand up and tell the people who don't to fuck off and die." -- Russ Allbery

 Che fanno praticamente tutti però. :-(
Succede anche quando si "poppa" la posta ricevuta su un altro ISP?