Newsgroup: it.comp.os.linux.sys
Titolo: Re: Sto cominciando ad inalberarmi: spammer

 Voi che usate, come vi muovete?
Se il server e' tutto tuo (i.e., ricevi posta direttamente dall'MX origine), 
io ti consiglierei una bella greylist.
Come beneficio aggiunto, tagli automaticamente fuori l'intera rete 
interbusiness, che ha i server configurati a pazzo di pane :P
Se cominciano ad adottarlo un po' di persone, magari la capiscono.
Ciaotutti,
* 

 origine), io ti consiglierei una bella greylist.
Io ho le greylist (oggi abbassate a 50 secondi per venire incontro a 
Interbusiness e soci che riprovavano dopo 1 minuto e dopo 1 ora..., ma 
erano a 3 minuti), e ricevo comunque lo stesso spam (phishing e 
cartoline, oltre ai pdf/jpeg/gif). Penso si siano attrezzati meglio di 
Intrebusiness per mandarlo. :/
Bye.

 bancadiroma,intesa,poste (che morissero fra atroci sofferenze)
passano le greylist. Usano server di posta 'veri'.
Invece SpamAssassin, dopo una fase iniziale in cui 'alcuni' di questi 
phishing passavano, riesce ora a bloccarmeli praticamente tutti.
Abilita su SA anche i controlli dns (rbl/razor/pyzor/...) ed il bayes. 
Se necessario scrivi anche qualche regexp custom 'fatta bene' che 
aggiungano almeno un paio di punti in piu' (inizialmente aiutano anche 
il bayesian ad imparare prima).
ciao
-- 
Cybertoldo
Per rispondermi via email, sostituisci moc.liamg con 
gmail.com

 Voi che usate, come vi muovete?
Ti consiglio di dare un'occhiata a policyd-weight. Se ben tarato, e con le
giuste blasklist, offre un ottimo filtro in *prequeue*.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 Voi che usate, come vi muovete?
Io uso, nell'ordine:
1) DNS-Blacklist
2) Mia blacklist personale
3) Controllo SPF
4) Greylisting
5) Antivirus con rifiuto automatico (e con un paio di accorgimenti che ho
detto in un altro Thread, ClamAV ti riesce a interpretare quei PDF come
Virus)
6) Controllo DomainKeys
7) SpamAssassin
Se hai il tuo Server e puoi fare che mettere su quel che vuoi, e se posso
permettermi un po' di "pubblicita'" personale, questo
(
http://www.lucabert.de/myProgram/viewProgramDetail.php?lang=it&programName=ConfigEMail
)
e' un sistema pronto per l'uso basato su Exim e Dovecot (DB utenti su
MySQL) che fa tutto quanto ho detto sopra!
Ciao
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 clamd si sia reso conto di quelle nuove firme...
ovviamente fai il restart del servizo per fargli leggere le nuove
signature? (oppure hai il serfcheck abilitato in clamd.conf E
notifyclamd in freshclam.conf , in maniera che faccia tutto da solo
senza riavvii manuali)
Ciao,
Manuel

 Si, ma ho anche attivi i parametri che dicevi tu...
scusami la domanda cretina.... ovviamente i file sono leggibili
dall'utente con cui gira clamav (sul mio sistema l'utente è amavis)?
se non lo hai già fatto, dai magari una sbirciata ad uno degli script
che trovi qui 
http://www.sanesecurity.co.uk/clamav/usage.htm
per capire come funziona...
oppure su un sistema di test prova a fargli trovare solo le signature
anti-phishing (senza quelle antivirus) per vedere almeno se le vede.
Ciao,
Manuel

 giuste blasklist, offre un ottimo filtro in *prequeue*.
pero', quali regole ci metti? ...che - come ripeto, nel caso dei 
*phishing* - si servono soprattutto di "mail server veri". Magari anche 
ben configurati, ma dei quali sono venuti in possesso di un accesso in 
relay (e non sono neanche degli open relay: quelli che ho controllato 
risultavano tutti puliti).
Anch'io ho uno sistema simile a policyd-weight (pero' e' un mio script 
in perl) che parte anch'esso per ogni "RCPT TO" di una sessione SMTP 
[1]. E' sicuramente utile: analizzo ip, reverse, mittente, destinatario, 
helo...; blocco solo gli ip 'non italiani' quando risultano positivi ai 
controlli dnsbl di Spamhaus (tanto ho poi a monte SpamAssassin); faccio 
partire la greylist con Postgrey (anche se uso Qmail) in modo 
condizionale (eg. se il reverse del mittente /mi sembra/ dinamico); 
imposto variabili per essere poi riviste successivamente (eg. 
nazione/continente di provenienza dell'email); ecc...
Non vedo pero' cosa poter fare, in questo stadio di conversazione SMTP, 
per poter bloccare queste email di phishing.
Posso ridurmi a fare una regexp sull'envelope sender... ma tanto poi 
cambiano continuamente mittente con una fantasia disarmante....
Note:
1) attenzione a un piccolo effetto collaterale che puo' abbassare le 
performance: queste procedure di controllo (eg. sia policyd-weight che 
la mia), come gia' detto, partono per ogni "RCPT TO"... Questi maledetti 
spammer, quando gli restituisci un errore 4xx (ie. un deferral, per es. 
in caso di greylisting), *insistono* piu' volte (3,4 o piu') inviando un 
RSET (o un nuovo HELO) a fine sequenza. Cambiano quindi il "MAIL FROM" 
e, riutilizzando la stessa connessione, riprovano di nuovo per ogni 
destinatario che hanno in lista.
Su un server, dove facevo dei test, ho fatto caso che: se non abilitavo 
la greylist, la procedura in perl collegata all'evento "RCPT TO" veniva 
eseguita in media 20000 volte al giorno; con la GL attiva, il conto 
saliva a 60000 volte al giorno (!).
Ciao


 Il test però passa sempre!
si è una cosa che succede anche ad altri...
viene identificato come virus ma amavisd non lo scarta.
però è già un inizio... prova a questo punto ad aumentare il verbose di 
amavis per vedere cosa accade, magari clamav riporta un return-code 
differente e amavisd non sa come interpretarlo (la sto buttando li..)
Ciao,
Manuel

Manuel manetta ha scritto:
...
non ho sbagliato di molto: 
http://www.mail-archive.com/amavi...@lists.sourceforge.net/msg08684.html
inoltre, a quanto sembra x risolvere i problemi:
http://groups.google.com/group/mailing.unix.amavis-user/browse_thread/thread/37eb57ca9e3266c5/cc538b7fa5598382
Ciao,
Manuel