Newsgroup: it.news.net-abuse
Titolo: Filtro per TLD

Visto che si parlava di statistiche e di metodi di filtraggio, volevo dirvi
che al programma Spam Terminator in versione 2.2 beta ho aggiunto un filtro
per TLD che si sta rivelando molto utile per aumentare l'efficienza del
riconoscimento "euristico" degli spam! In pratica ho introdotto una
blacklist dei TLD che non si desidera vedere (intendendo con questo non solo
che l'indirizzo del mittente non deve risultare appartenente a tali TLD, ma
anche che il messaggio non deve essere transitato per un qualsiasi sistema
appartenente ad uno dei TLD del filtro.
Le statistiche del programma indicano che questo filtro ha fatto arrivare
l'efficienza del programma (il rapporto tra spam riconosciuti e quelli non
riconosciuti) al 94%, ed in un mese e mezzo di utilizzo ZERO errori (cioe'
messaggi erroneamente cancellati)!
In dettaglio le tipologie di spam risultano cosi' suddivise:
Mittente indesiderato: 8,8%
Mittente vuoto: 0,0%
Destinatario vuoto: 15,2%
Destinatario=Mittente: 8,5%
Oggetto indesiderato: 25,8%
Oggetto vuoto: 4,6%
Dominio indesiderato: 6,0%
TLD indesiderato: 31,1%
Come si puo' notare, il nuovo filtro risulta il piu' frequentemente
utilizzato, pari a quasi un terzo del totale, seguito dalla blacklist per
subject (25.8%) e dal destinatario vuoto o con indirizzo non valido (15.2%).
Inoltre e' curioso anche che nessuno spam abbia praticamente piu' la
caratteristica del "From:" mancante (ora prerogativa esclusivamente dei
virus Hybris, che fortunatamente non ho ancora mai ricevuto...;-))
Cosa ne pensate? Sarebbe interessante confrontare questo tipo di filtri con
quelli di altri programmi (sia client sia server) in modo che si possa
reciprocamente ampliare l'"intelligenza" dei metodi antispam.
Se puo' interessare, il programma Spam Terminator 2.2 beta update (oltre
alla 2.1 completa se non avete Terminator gia' installato) si puo' prelevare
al seguente indirizzo:
http://www.sertel.net/terminator/download.htm
--
   Dotto
--- Per scrivermi togli lo spam dall'indirizzo ---
Sei anche tu stanco dei messaggi spam? Usa Terminator, il programma
anti-spam italiano FREEWARE! 
http://www.sertel.net/terminator/

    <-- 2 scelta

 che al programma Spam Terminator in versione 2.2 beta ho aggiunto un
filtro
Te l'ho gia' detto che un programma antispam che ti chiede l'indirizzo
non ispira fiducia?   ;-)
Scusa se te lo dico, neh? Mi piacerebbe provarlo, ma con la montagna di
cose da fare che ho, va a finire che quando decido di installarlo, sei
gia' alla versione 3.1... ed allora, faro' la 3menda fatica di riempire
il form in quel momento.
(come si comporta con Hamster?)
Fabrizio (pigro, anche se in ufficio fa fresco)

 il form in quel momento.
Beh, a parte che il form lo si deve riempire solo al primo download (gli
upgrade sono accessibili senza alcuna richiesta), se vuoi provarlo dimmelo,
cosi' ti mando Terminator in allegato ad una mail e ti risparmi la
form...;-))


 Terminator puo` usare la RBL, ORBL, e ORBZ ?
Attualmente no, soprattutto per una questione di tempi di risposta: essendo
un filtro a livello di client dover effettuare una interrogazione per ogni
mail potrebbe portare ad un rallentamento eccessivo del controllo (per lo
stesso motivo ad es. Terminator interroga solamente le intestazioni dei
messaggi presenti aul server).
E poi, in fin dei conti, si spera che il server da cui preleva la posta
abbia quei filtri, molto piu' efficienti se eseguiti su mail server
remoti...;-)


 al seguente indirizzo:
Come e se interagisce con i poproxy, ovvero in senso più generale con 
gli antivirus che proteggono il sistema al momento dello scaricamento 
della posta (NAV, AVP, ...?) ? La cosa non mi è chiara, scusa se OT o se 
già trattato ma non ho trovato nulla in merito. ciao

 già trattato ma non ho trovato nulla in merito.
Nessun problema. ;-)
Anche Terminator e' di fatto un proxy per POP3 ed SMTP quindi se il firewall
o proxy non agisce in modo trasparente (ad es. ZoneAlarm funziona
perfettamente con Terminator, rinominando tutti gli allegati "pericolosi")
e' difficile farli coesistere se non cambiando il numero delle porte di uno
dei due programmi (in Terminator questa impostazione esiste), ma mi sembra
una configurazione poco pratica.
Tra l'altro come afferma anche lo stesso sito del Norton Antivirus:
"Disabling email protection does not leave you vulnerable to viruses and
malicious software in email. It is a separate layer of protection in
addition to Auto-Protect. Auto-Protect scans any incoming files, including
email, as they are saved to your hard drive. As long as you keep your virus
definitions up to date with LiveUpdate, and keep Auto-Protect enabled and
set to scan files as they are created or downloaded, your system is fully
protected"
Quindi disabilitare il controllo antivirus nella e-mail non fa diminuire la
sicurezza in quanto nella quasi totalita' dei casi i virus e-mail possono
agire dopo che vengono salvati su file, seppur temporaneo, quindi il
monitoraggio dei file letti/scritti/aperti da parte dell'antivirus e'
sufficiente per intercettare il virus all'istante. Per gli altri rarissimi
casi (es. virus script inviati in una mail in formato HTML) e' piu' che
sufficiente da un lato attivare la protezione massima in Outlook Express
(Strumenti, Opzioni, Protezione), dall'altro tenere sempre il piu'
aggiornato possibile Outlook (e l'intero Internet Explorer).
Per ulteriori informazioni:
http://www.sertel.net/terminator/proxy.htm
Ciao!


 remoti...;-)
su questo non c'e` dubbio.


 remoti...;-)
RBL non presenta problemi, e non blocca quasi nulla.
Per i relay aperti, dato che
- la coscienza del problema in Italia a livello di amministratori
  di sistemi e' piuttosto scarsa
- gli amministratori di reti sembrano non curarsi affatto dei
  relay aperti di propri clienti
- spesso addirittura ISP girano con relay aperti
l'utilizzazione di database di relay aperti per filtrare la
posta da parte di un ISP e' impresa faticosa e perigliosa.
Dopo alcuni tentennament nel 2000, da quest'anno abbiamo iniziato 
a usare RSS (relay aperti a stadio singolo e abusati con
prova di abuso online).  Fin dall'inizio il mio obiettivo
e' stato quello di una utilizzazione permanente, e quindi
per non farla saltare sotto la pressione di clienti che
non riescono piu' a corrispondere con entita' dietro a un
relay aperto ho adottato una politica per cui se osservo
posta legittima bloccata da RSS, notifico gli amministratori
(anche pubblicamente su ABUSE) e metto l'IP in whitelist per
un mese.  Solo dopo questa "quarantena" inizio a bloccarlo
davvero (se e' ancora listato) e a quel punto ho materiale 
per difendere il blocco in caso di contestazioni.
Le contestazioni arrivano, spesso numerose ogni settimana,
e richiedono email e telefonate di chiarimento.
Come se non bastasse, alcuni idioti client windows
sostituiscono il messaggio di errore con la URL di RSS
che ritornano i nostri servers con un "550 User unknown",
per cui spesso tocca spiegare tutto dalle origini a
persone che non sanno nulla di SMTP ne' vogliono sapere,
e chiedono perche' il loro corrispondente e' improvvisamente
diventato user unknown.
In questo modo ho tenuto duro a bloccare il Lotus Domino 
aperto di Telecom FullCompany per molti mesi, finche' alla 
fine l'hanno chiuso, ed e' stato abbastanza sfibrante.
Ciononostante RSS mi blocca migliaia di spam ogni giorno,
la frazione di posta legittima bloccata e' assai piccola,
e quindi mi pare giustifichi la dozzina di ore di lavoro alla
settimana che la sua gestione in media si porta via.
Ora, ORBL include anche gli output di relay multistadio.
Questo significa che molti mail server di ISP italiani con 
altri server dietro vi sono inclusi.
mail3.blixer.it
, 
relay.inet.it
, 
relay1.inet.it
, 
mail.ita.tip.net
 ... tutti in ORBL.  Giustamente, ma vi
assicuro che per gestire le aperture "guasti" che l'adozione
di ORBL si porterebbe dietro, una persona a tempo pieno qui 
non basterebbe. La domanda che quindi sorge e': davvero
c'e' un ISP che ha le palle di usare ORBL (o ORDB o altro
database includente multistage)?
Negli USA non hanno di questi problemi, perche' nessun
relay aperto puo' corrispondere con l'ISP piu' grosso
in circolazione, e quindi chi ha un relay aperto se ne
accorge ben presto.  Si puo' forse dire che l'antispammer
piu' potente del mondo e' AOL.
furio ercolessi
http://www.spin.it/spam/