Newsgroup: it.news.net-abuse
Titolo: Entrato in BL su spamcop e CBL, che fare/come far?

Ciao a tutti.
Capita che un IP da me gestito sia entrato in BL su spamcop e su CBL.
Pare oltretutto che vi sia entrato solo ieri (07/01/2008) alle ore 14 
GMT (+/- mezz'ora) secondo CBL.
SpamCop dice che
If there are no reports of ongoing objectionable email from this system 
it will be delisted automatically in approximately 6 hours.
Causes of listing
     * System has sent mail to SpamCop spam traps in the past week (spam 
traps are secret, no reports or evidence are provided by SpamCop)
Leggo anche che se i report di spam terminano da sè, dopo 6 ore verrà 
rimosso dalla lista il mio IP. Cosi' apparentemente non è stato, dato 
che sono passate molte piu' ore che le sole 6.
Ora, che mi consigliate di controllare? è listato anche su XBL (che lo 
indica per "deduzione" del listing su CBL)...
Grazie...


A cosa è deputato l'IP in questione? Cosa c'è collegato?
Un listing CBL significa di norma un PC windoze trojanizzato, quindi se 
"dietro" quell'IP c'è una rete nattata, parti da lì e leggi questo: 
http://cbl.abuseat.org/nat.html
Se invece c'è solo un mailserver, tieni conto che configurazioni non 
corrette dello stesso possono facilmente "indurre in errore" le metriche 
  di valutazione usate da CBL per l'analisi delle trap (il che però non 
spiegherebbe il listing spamcop).
Se indichi l'IP magari si può dare qualche dato in più.

 Se indichi l'IP magari si può dare qualche dato in più.
Si, effettivamente dietro a quell'IP c'è una rete nattata, ma l'IP 
stesso è anche mx per il dominio in questione (IP 62.2.134.50)
La cosa "triste" è che apparentemente tutto è nato su una sessione RDP 
di Terminal Services di un utente... ora sto analizzando il sistema e 
vedro' cosa mi dirà... poi che fare altro?

 vedro' cosa mi dirà... poi che fare altro?
Rivedere le regole di firewall per il traffico uscente: se c'è un 
mailserver interno usato dagli utenti, plausibilmente i client non hanno 
alcuna necessità abituale di contattare la porta 25 di sistemi esterni 
alla tua rete; basta che possa farlo il mailserver.
Se ne hanno proprio bisogno, esiste la apposita porta 587, che gli 
utenti posso utilizzare per raggiungere mailserver autenticati esterni.
Oppure, se il provider che usano è uno di quelli che la porta 587 non 
sanno nemmeno cosa sia, oltre a suggerire di cambiare fornitore ( ;-) ) 
esiste sempre la possibilità di aprire la 25 solo per i sistemi 
effettivamente necessari, e chiuderla per tutti gli altri.
Se nessuna di queste è praticabile (ma di norma quando vengono sollevate 
presunte impossibilità è per pigrizia e non per impossibilità tecnica), 
almeno utilizzare IP di NAT differenti per mailserver e LAN è un must.
Questo, appunto, il sunto di 
http://cbl.abuseat.org/nat.html

 alla tua rete; basta che possa farlo il mailserver.
Già, proprio cio' che andrei a verifare a breve su quel firewall (che 
tra l'altro penso verrà cambiato a breve).
Grazie per il supporto.

 almeno utilizzare IP di NAT differenti per mailserver e LAN è un must.
ecco, questa è un'altra cosa fondamentale; far uscire un mailserver
sullo stesso IP usato come NAT da una LAN, sebbene sia possibile
non è molto igienico :D

 non è molto igienico :D
supponendo di impedire ogni connessione in uscita sulla porta 25, che
problema c'è?

 non è molto igienico :D
Concordo con tutto, ma ora non posso mettere mano alla conf. di rete... 
ci pensero' appena ci metteremo a tavolino a riprogettare due cosette...
Grazie+