Newsgroup: it.news.net-abuse
Titolo: Gestione SPAM

Ciao,
dedicato agli ISP: come gestite lo spam dei vostri clienti?
- Lo rimuovete (rischiando però di cancellare i falsi positivi)
- Lo parcheggiate da qualche parte (però poi l'utente si dimentica di
andare a controllare)
- Marchiate solamente l'oggetto (modificando così anche i falsi
positivi)
- Lo fate passare così com'è?
Grazie!
JD

 JD
Non so se qualcuno che lavora in un ISP qualsiasi legge queste news, per
esperienza con vari ISP, e per qualcuno con piu' di un contratto, posso
dirti che sono vere sicuramente le ultime tre modalita' che hai esposto
(piu' la seconda e la quarta), la prima probabilmente non viene utilizzata
proprio per evitare i falsi positivi.
-- 
Ciao
Andrea Malfatti

Ciao.
Gatsu wrote:

E' stato argomento di discussione in un 3d di qualche settimana fa. Buttaci
un'occhio certamente otterai una visione piu' completa.
Venendo alla tua domanda, io sono un piccolo ISP e adotto una politica che
si avvicina alla prima ipotesi della lista. Le mail non le accetto per
processarle a posteriori. Il reject viene generato in fase di transazione
SMTP e la notifica dell'accaduto interessa solo il mittente.
La dove vi sia un caso di falso positivo con la collaborazione del cliente
ci si attiva per porre immediatamente rimedio. Non ha mai avuto reclami per
questo tipo di prassi. Accettano senza troppi problemi un falso positivo,
se poi ne guadagnano in pulizia della mailbox e in tempo giacche' non
devono scremare tonnellate di posta inutile.
Il livello di falsi positivi e' comunque limitato a pochissimi casi. 
Non adotto uno Spam Folder perche' nella maggioranza dei casi i miei utenti
non lo controllerebbero. Arrivo a dire che la troverebbero una seccatura.
In breve tempo, da strumento di analisi, diventerebbero dei veri e propri
cimiteri. Non vogliono prendersi carico di fare il lavoro per la quale
hanno pagato...e chi puo' dargli torto.
Va comunque sottolineato che il tutto e' possibile anche e soprattutto
grazie ad una utenza abbastanza uniforme e poco smalizziata. Insomma per
mia fortuna non ho utenti che amano eseguire analisi forensi dei cadaveri
di una Spam Folder :), e tieni conto che questo aspetto e' tutt'altro che
banale.
Ciao
Giuseppe

 - Lo fate passare cosě com'č?
Qui il default e' la quarantena a 30gg (NB: molte decine di GB), ovvero la 
seconda opzione.
pc

 Qui il default e' la quarantena a 30gg (NB: molte decine di GB), ovvero la seconda opzione.
Grazie a tutti, davvero.
Impresa ardua rispondere ai colleghi o clienti che ti chiedono: "ma
non si può rimuovere tutto questo spam?", "perchè oggi mi è arrivata
una valangata di spam, di + rispetto a ieri?" :-)

 devono scremare tonnellate di posta inutile.
Questo dipende dalle esigenze dell'utente. Se un'email è importante, 
preferisci le tonnellate di posta inutile piuttosto che il rischio di 
perdere o ritardare un'email che attendi con ansia.

 una valangata di spam, di + rispetto a ieri?" :-)
Alla prima richiesta gli puoi offrire di bypassare i controlli antispam: ti 
implorera' di riattivarli al piu' presto. Lo stesso vale se si lamentano che 
gli blocchi la gnusletter della cantina sociale che hanno visitato 3 anni fa 
durante la fuitina... ;-)
All'ultima richiesta a mio avviso si deve rispondere pubblicando internamente 
l'andamento HAM/SPAM in tempo quanto piu' reale possibile. Una volta che 
l'utente ha assimilato il tuo livello di "acchiappamento" percentuale (metti 
80%), capisce che se le occorrenze aumentano, si trovera' piu' falsi negativi 
nella casella.
pc

 una valangata di spam, di + rispetto a ieri?" :-)
Beh; la risposta più rapida ed a basso costo ad una problematica di
questo tipo è l'adozione di un filtro layered e l'uso di alcuni
accorgimenti
prima di tutto, partiamo dalla email in arrivo "dall'esterno"; l'iter di
tali
messaggi dovrebbe in linea di massima essere il seguente:
1) controllo se IP in whitelist; nel caso passa a 4 o 5
2) controllo che fwd/rev DNS siano coerenti con HELO
3) controllo RBL; rifiuta connessioni da IP dinamici o spamhosts
    conclamati (ossia... senza recupero :D)
4) controllo SPF (su HELO/EHLO, e su envelope sender)
5) graylisting con relativo delay ed eventuale uso di "penalty box"
    il GL dovrebbe usare una lista di esclusione per gli hosts che "non
    digeriscono" gli errori "temporary failure"
6) controllo allegati, reject di allegati "non ammessi" (da zippare)
7) scansione AV, reject immediato di messaggi "infetti"
a questo punto, se tutto è ok il messaggio arriverà a destinazione
per quanto invece riguarda i messaggi provenienti dai propri utenti
e che arriveranno su porta 587/tcp con SSL ed autenticazione, i
controlli da effettuare sono "variabili" in linea di principio però
credo
che quanto segue sia il minimo
1) controllo allegati, reject di allegati "non ammessi" (da zippare)
2) scansione AV, reject immediato di messaggi "infetti"
3) "rate limiting" ossia limitazione del numero di messaggi inviabili
    in un arco "T" di tempo (la cosa può essere gestita anche con un
    controllo sui destinatari ecc..)
oltre a quanto sopra sarebbe opportuno nel caso in cui il servizio
offerto includa anche la connettività, bloccare (specificando la cosa
da contratto) il traffico SMTP in ingresso/uscita direttamente verso/da
l'indirizzo IP del cliente permettendolo solo per i clienti  che abbiano
fatto esplicita richiesta all'abilitazione di tale traffico; ed in tal
caso
verificando se lo "sblocco" possa essere applicabile solo verso un
certo numero di hosts o "generico" e considerando inoltre  che in linea
di principio, i clienti con IP dinamico NON dovrebbero essere oggetto
di tale "sblocco"; tutto sommato, il blocco della 25 non inficia
l'eventuale
utilizzo di servizi email esterni visto e considerato che questi
servizi, se
seri, permetteranno comunque l'uso della porta 587 per l'invio di email
ciao

 che si trattava di un'email legittima.
Questo francamnte è abbastanza facilmente accelerabile tramite
- l'uso di web-form e/o indirizzi di contatto esclusi da qualsiasi
  genere di filtro
- la segnalazione esplicita della locazione di tali risorse all'interno
  dei messaggi di reject, adeguatamente personalizzati e a prova di
  utente medio per quanto possibile
-- 
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.

   utente medio per quanto possibile
Però è sempre il mittente a dover segnalare, giusto?


Sì[1], ma il concetto è cercare di rendergli le cose più facili possibile.
[1] E IMHO, in una logica "globale", è anche giusto che il canale di
comunicazione per la risoluzione di queste problematiche sia instaurato
in questa direzione: checchè se ne dica[2], nella stragrande maggioranza
dei casi -attualmente, almeno- problematiche di questo genere sono
ineluttabilmente legate a problemi di sicurezza sulla rete del mittente.
Aprire un canale di comunicazione verso il destinatario può risolvere il
falso positivo in sè, ma certo non fa nulla per risolvere il problema
*vero* che lo causa...
[2] Che ci si creda o no, ho avuto a che fare con sedicenti esperti
(sedicenti esperti di spam, peraltro) che affermano che le questioni di
sicurezza informatica non c'entran nulla con il fenomeno spam...


 5) graylisting con relativo delay ed eventuale uso di "penalty box" il GL dovrebbe usare una lista di esclusione per gli hosts che "non digeriscono" gli errori "temporary failure"
Vi ringrazio davvero tutti.
Un chiarimento relativo al greylisting: alcuni provider dei mittenti
"digeriscono" l'errore provocato dal greylisting (Libero ed Hotmail ad
esempio), altri però no.
Sarebbe un lavoro immane popolare la lista di esclusione per gli host
che non accettano ciò (e che guardacaso serve proprio a frenare chi,
come la maggiorparte degli spammer, non ritentano la spedizione).
Grazie

 come la maggiorparte degli spammer, non ritentano la spedizione).
Non esattamente; se ti interessa posso passarti una lista di SMTP
che non "digeriscono" il greylisting e che potrai utilizzare per
popolare
la tua "exclusion list"; ovvio che in ogni caso potresti avere necessità
di manutenere tale lista, ma, del resto, un sistema antispam che sia
degno di tale nome DEVE avere una manutenzione regolare, che poi
la necessità di tale manutenzione sia più o meno frequente .. dipende
dalla bontà della soluzione adottata; ad ogni modo, e tornando al
discorso "no-greylist" se vuoi la lista.. mandami una email (occhio a
ripulire l'indirizzo)
ciao

 se vuoi la lista.. mandami una email (occhio a ripulire l'indirizzo)
Ok, ti mando tra poco una mail, grazie ancora.
Sai cosa mi ha risposto il produttore del mailserver? Il greylisting
non è per tutti (!)
In teoria dal db delle connessioni ritardate dovrei capire chi non
digerisce il greyl., giusto?

 perdere o ritardare un'email che attendi con ansia.
Ok, ma un Falso positivo e' l'eccezione non la norma. Almeno cosi' dovrebbe
essere. In altre realta' non so dirti cosa accada e come venga trattato.
Concordo pienamente con Skull quando dice che gli strumenti ci sono e vale
la pena provarli, fornendo un resoconto chiaro e un metodo semplice per
mettersi in contatto con chi di dovere. Una catena di montaggio...che puo'
accorciare di molto i tempi per sistemare le cose.
Sulle soluzioni, ognuno mette in atto la politica che predilige in base
alle possibilita' e ai risultati che intende raggiungere.
L'idea di ricevere tutto e seppellire silenziosamente in una discarica
in mezzo a vagoni di immondizia si basa comunque sul presupposto che
qualcuno controlli quella Folder. Una possibile pezza potrebbe essere quella
di mandare un resoconto riepilogativo all'utente (magari a fine giornata)
informandolo di cosa e' stato depositato nel corso delle ultime 24 ore.
Qualche scriptino ad hoc in Python o in Perl potrebbe bastare.
Tuttavia questa soluzione ti mette in condizione di subire passivamente
l'azione dello Spammer. Ed e' perfettamente corretto: gli hai rilasciato un
nullaosta che lo autorizza a continuare a rompere le "OO" :)
Ti confesso che ho osservato con interesse l'idea che sta nel mezzo:
depositare comunque lo SPAM nella discarica e contestualmente inviare un
reject fasulo. Non ho verificato la fattibilita', potrebbe trattarsi di una
buona soluzione. Tuttavia mi sorge il dubbio: e se qualche babbeo apre una
di quelle e-mail facendo un full-immersionsi in viagra e affini ? Magari ti
va bene, magari lo Spammer mangia la foglia e se ne frega dei tuo 554.
Se qualcuno in ascolta o voglia di dire la sua su questo argomento, sono
tutto orecchie :)
Buona serata. 
Beppe

 wrote:
Vorrei aggiornarvi sulla mia situazione: ho attivato il Greylisting e
ciò che ridotto lo spam del 70/80% credo.
Qualche cliente s'è lamentato che le mail arrivano in ritardo, ma
questo accade solamente la prima volta che il mittente esterno gli
invia posta. Potrei aver problemi con chi non digerisce il
Greylisting, ma spero che al mittente arrivi poi un messaggio di
notifica.
Qualche messaggio di spam continua ad arrivare, cercherò di capirne di
+.
Grazie!
JD