Newsgroup: it.comp.os.linux.sys
Titolo: [OT] bloccare spammer e virus tramite RBL - Progetto nuovo

Hola,
salumi a tutti.
Considerato che ultimamente i virus e gli spammer sono veramente diventati
fastidiosi, ho notato che le RBL sono lo strumento migliore per bloccare
questi abusi.
In giro ce ne sono diverse, tutte funzionanti molto bene, ma non sempre
aggiornate per quanto riguarda gli IP italiani...
Da qui mi è sorta una idea: perchè non creare una RBL che contenga
prevalentemente ip dinamici italiani, spammer e abuser italiani ?
Credo che una RBL dedicata, almeno per noi che lavoriamo nello stivale,
possa essere una ottima cosa per tamponare questo tipo di problemi...
Ebbene.. la RBL l'ho già fatta ed è funzionante. Ovviamente, essendo nata
due giorni fa, non è ancora omnicomprensiva ma già si comporta bene in
termini di prestazioni e affidabilità.
La mia idea sarebbe di rendere il progetto pubblico.
A questo scopo, avete consigli?
Come tenerla aggiornata? come fare in modo che ci siano dei sensori sparsi
in giro per raccogliere i nuovi abusi ?
Attendo un pò di "consigli per gli acquisti" per procedere...
Max

 in giro per raccogliere i nuovi abusi ?
La cosa e` un po` problematica su diversi temi:
- risorse. A regime, una cosa del genere porta via un cospicuo numero di
  risorse, in particolare di calcolo e sopratutto di *banda*. Hai
  calcolato questa cosa?
- Policy. Praticamente la totalita` del successo, o dell'insuccesso di
  una rbl e` legata alla sua policy.
  Come si entra in bl?
  Come si esce?
  Sei in grado di "sopportare" le potenziali pressioni che figure di un
  certo peso, potrebbero tentare di fare per farli uscire dalla rbl?
Ci sono molte consdirazioni da fare a questo proposito. Forse, varrebbe
la pena di sentire anche qualche opinione in inn-a.
Vedi tu, nel caso.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
We all agree that your theory is crazy, but is it crazy enough?

 Vedi tu, nel caso.
Ok... spostata di la !
(f-up settato)
Max

 (f-up settato)
Non seguo quel gruppo, fai sapere ogni tanto se e come la cosa evolve?
Riguardo la banda, non e' possibile configurare tante macchine (quelle
dei volontari) come DNS secondari e utilizzare poi un banale round-robin
sulla zona dedicata alle RBL?
Piuttosto, sara' il caso di cominciare a contattare qualche avvocato
esperto in diritto informatico. ;)
	probabilmente,
	   Cthulhu
-- 
http://www.rlyeh.it/

 esperto in diritto informatico. ;)
Per come la vedo io no.
Se ho una RBL mia ci metto dentro quello che voglio.
Se uno utilizza la mia RBL, lo fa a suo rischio e pericolo.
(questo ovviamente non considerando le policy chiare, come levarsi, come si
viene inseriti etcc... però il succo è quello)
Max

 viene inseriti etcc... però il succo è quello)
Questo di regola. Ma la storia recente, insegna che diversi gruppi hanno
fatto ampie pressioni, e in molti si sono trovati in situazioni poco
piacevoli.
Ecco perche`, ad esempio spews e` mantenuta in maniera totalmente
anonima.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
kill -9 them all. Let init sort them out.

 anonima.
stai parlando di minacce o cosa? puoi spiegarti meglio?pressioni di che
genere?

 genere?
Pressioni legali. Tipo, c'e' un tizio in USA che in base a "questioni di
principio" (i.e. e' un fantoccio di qualche grosso spammer) vuol fare
causa a chi ha scritto spamassassin perche' e' illegale modificare in
alcun modo un email in transito, secondo lui; e perche' i falsi positivi
costituiscono "diffamazione".
In un Paese di azzeccagarbugli come l'Italia, dove se sbudelli un autobus
di orfanelle davanti a una telecamera a circuito chiuso il garante della
privacy ti fa assolvere, le possibilita' sarebbero infinite :)
Eugenio
-- 
Interesting facts about languages, n. 32
The Eskimos have over 40 words for "snow"
The English have over 20 words for "rain"
The Italians have over 200 words for sexual organs

 genere?
Di qualunque genere. Dietro al giro dello spam, ci sono ambiti
piccolo/ingenui ma anche molti gruppi di spammer professionisti che
fanno girare parecchio denaro.
Se io "potenzialmente" non posso fare pressione su di te, posso farla
sul tuo provider, per fare un esempio banale...
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Illiterate?  Write for help!

 anonima.
Comunque pensavo di non fare una RBL specifica per lo spam.
   2250   received
   1159   delivered
      3   forwarded
      1   deferred  (1  deferrals)
     12   bounced
  11870   rejected (91%)
      0   reject warnings
      0   held
      0   discarded (0%)
blocked using la_mia_rbl (total: 11031) (ovvero il 90% dei reject)
Quando su un singolo server smtp mi escono fuori numeri del genere,
bloccando tutti gli IP dinamici delle adsl e dei dialup, vuol dire che il
problema non è lo spam. 
Lo spam è noioso, certamente, ma il problema principale, a mio avviso, sono
i virus. 11000 connect da macchine dialup o ADSL italiane sono tantissime e
ti possono sedere una macchina e ti sdraiano il traffico.
bloccare virus, trojan e quant'altro è già un ottimo punto di partenza per
avere un smtp efficiente.
Per quanto riguarda lo spam, io lo lascio passare. Mi limito, presso alcuni
clienti, a marcare quello che riconosco con sicurezza.
fino a quando non ci sarà una cultura antispam, fino a quando in cina o in
brasile ci sarà gente che lascia aperti proxy e smtp, esisterà sempre il
fenomeno dello spam.
una RBL organizzata in questo modo non credo che possa suscitare le ire
degli spammers o dei grandi provider a mio avviso, tra l'altro, colpevoli
di non filtrare i virus.
Max

 Max
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 sono tutte statiche.
Si, anche le smart 10 sono spesso statiche.
Anche dei miei clienti le usano cosě.
Il problema č che dietro questi IP spesso ci sono delle reti nattate.
E altrettanto spesso c'č gente infetta.
Chi vuole avere il suo server smtp per la posta in uscita č corretto che se
lo configuri come smart_host che mandi la posta agli smtp di Telecom.
Max

 lo configuri come smart_host che mandi la posta agli smtp di Telecom.
La possibilità teorica che però qualche furbo ci metta un mailserver c'è 
davvero.
Una cosa:mica hai la zona in formato bind o rbldnsd che la testo un po'?


 32168 DNSBL 
dul.dnsbl.sorbs.net
Da stampare e leggere ogni volta che si pensa che listare i dinamici e`
contro la liberta` di espressione (ho sentito anche questa, una volta).
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Computers are not intelligent.  They only think they are.

 lo configuri come smart_host che mandi la posta agli smtp di Telecom.
Mumento.
Il problema degli ip dinamici, e smtp su ip dinamico, e` che non hai
_nessun_ modo di instaurare un rapporto in caso di spam|virus|ecc, con
eventuale (o incosciente) abusatore.
E` perfettamente sano e corretto avere smtp su ip statici, assegnati,
con domini correttamente configurati, ecc.
Una nattata su adsl che prende un virus, non ha percentuali diverse da
una nattata su cdn, o su t1.
Poi ovviamente, fai quello che vuoi, ma una lista del genere sarebbe
inusabile e anche poco interessante IMHO.
Ps:
Se ho fatto un investimento in ip statici ci sara` un motivo. E` un
fondamento di internet, e del concetto di posta.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------


 prevalentemente ip dinamici italiani, spammer e abuser italiani ?
Se posso dire la mia, trovo che sia al tempo stesso una iniziativa
lodevole e uno spreco di risorse.
Chi lavora in provider di medie dimensioni ha a che fare con mail da e per
i posto più disparati (cina, corea, romania, russia, ecc.).
Diventa abbastanza impensabile, per chi deve gestire una attività di
questo tipo, pensare di appoggiarsi a decine e decine di liste -una per
nazione- e interfacciarsi con i rispettivi gestori in caso di escalation
(il 90% delle volte l'utente finale che si trova in queste liste non ha
nè le competenze nè la voglia di imbarcarsi in dialoghi con i gestori.
Farlo fare ai propri provider è spesso infruttuoso. L'unica è mantenere
i contatti in prima persona *tu*...)
Molto più fruttuoso è invece mantenere un subset di liste mirate,
affidabili e governate da policy ben precise, ma *non* geografiche...
C'è già chi lo fa, e non è detto siano liste pubbliche (trullallà...),
perchè mantenerle *costa*...
Pertanto, direi che il concetto dovrebbe essere una cosa tipo:
"colleziono ip dinamici, ovunque essi siano". Ergo, se trovi una lista le
cui policy di gestione ritieni soddisfacenti, inizia a collaborare con
loro fornendo materiale (diventando magari il referente per lo spazio ip
italiano, sul medio termine).
I costi per gestire una BL sono parecchi, e vanno dalla forza lavoro alla
ridondanza necessaria, alla banda, ecc.
Mantenere spamhaus costa all'incirca 1.000.000$/anno.
Per carità, è grossa e ampiamente utilizzata, i costi per una cosa più
locale non saranno così altri, ma puoi aspettarti velocemente un costo di
qualche decina mi migliaia di euro/anno...
Sei sicuro che valga la candela, e di avere le forze e le risorse
necessarie?
-- 
The Skull says:
A Linux machine! Because an (i386|ppc|alpha|PA-RISC)
is a terrible thing to waste!

 
Quì dentro finisnono in gran parte virus del kaiser (che magari 
sarebbero poi uccisi dopo analisi dell'allegato, ma in questo modo è 
mooolto meglio)


 italiano, sul medio termine).
Yep. Molto agree.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Research is what I'm doing when I don't know what I'm doing.

 una nattata su cdn, o su t1.
Mumento anche per me...
spessissimo un IP statico su ADSL che paghi se ha un mail server, fa anche
da NAT.
Ti arriva una connessione SMTP da quell'IP... come fai a sapere se è un
worm o è l'smtp fatto ad hoc??
Altrettanto spesso una subnet ha IP mixati.. alcuni statici ed altri
dinamici (telecom insegna)...
L'unica sarebbe controllare l'HELO e che il reverse dell'ip corrisponda al
nome con cui ti si presenta.
Già in condizioni normali è difficilissimo trovare questa situazione... su
CDN o linee dedicate. Aggiungere questo controllo ad un SMTP vorrebbe dire
non ricevere più posta. 
o sbaglio ?
Max

 necessarie?
risorse tecniche si...
banda anche (almeno per gli utliizzi che ne sto facendo ora...
Stavo solo valutando se far partire questo progetto o meno...
mi state tutti dicendo, praticamente: fattela e gestiscitela, così la usi
tu e non hai problemi... ^_^
Max

 worm o è l'smtp fatto ad hoc??
Non lo devo sapere. Devo aver qualcuno da contattare, in modo _semplice_
in caso di "incidente", che risolva il problema. Se questo non succede,
passo a vie piu` drastiche (block list locale).
Ma bannare a monte classi di ip _regolari_ solo perche` _alcuni_ ne
fanno un uso improprio, e` poco furbo. E` come filtrare classi di ip per
evitare i port scan. A sto punto stacca il cavo di rete, e buonanotte.
Io voglio poter contattare un mail-admin, in modo semplice, e risolvere
il problema (utente virussato, cliente pirla, ecc.). Non voglio
_sperare_ di non ricevere mai piu` niente. Stare su internet, significa
*anche* avere a che fare con queste cose.
E ribadisco che se filtri tutte le adsl con ip statico, filtri un sacco
di mail server perfettamente legali, e correttamente configurati. (e
alcuni non).
Il risultato e` molto inferiore rispetto alla perdita.
Es:
Classe di ip dinamici
mizio@hal:~$ rblcheck 80.116.27.1
80.116.27.1 not RBL filtered by 
xbl.spamhaus.org
80.116.27.1 not RBL filtered by 
sbl.spamhaus.org
80.116.27.1 not RBL filtered by 
list.dsbl.org
80.116.27.1 RBL filtered by 
dnsbl.njabl.org
80.116.27.1 RBL filtered by 
dul.dnsbl.sorbs.net
80.116.27.1 not RBL filtered by 
l1.spews.dnsbl.sorbs.net
Classe di ip statici
mizio@hal:~$ rblcheck 82.185.95.1
82.185.95.1 not RBL filtered by 
xbl.spamhaus.org
82.185.95.1 not RBL filtered by 
sbl.spamhaus.org
82.185.95.1 not RBL filtered by 
list.dsbl.org
82.185.95.1 not RBL filtered by 
dnsbl.njabl.org
82.185.95.1 not RBL filtered by 
dul.dnsbl.sorbs.net
82.185.95.1 not RBL filtered by 
l1.spews.dnsbl.sorbs.net
Ambedue adsl, ambedue Telecom (vabbe` la prima 
tin.it
). C'e` una _bella_
differenza tra queste due reti (e infatti njabl e sorbs, lo sanno).
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------


 o sbaglio ?


 differenza tra queste due reti (e infatti njabl e sorbs, lo sanno).
Diciamo che l'ultima è una classe nuova che non è ancora stata inserita ed
infatti la 82. mi sta dando moltissimi problemi in questo periodo.
diciamo anche che per ora la mia discriminante è questa:
1) se trovo nel whois un contatto allora no problem
2) se trovo nel whois i soliti riferimenti telecom, io blacklisto !!
82.185.95.0 not RBL filtered by 
la_mia_rbl.it
Vedi un pò questa, ad esempio: 82.49.240.0 - 82.49.255.255
Non è filtrata da alcuna rbl ma sono ip dinamici e tra l'altro sono una
fucina di sobig.g (quelli del virus dello spam in tedesco).
Gestire una rbl per ip italiani (che, ribadisco, sono quelli che
potenzialmente possono generare più problemi) permette proprio di gestire
queste cose in maniera migliore rispetto a liste grosse e rinomate, però
con un target globale.
Max

 infatti la 82. mi sta dando moltissimi problemi in questo periodo.
Capiamoci: non voglio convincerti a fare in un modo o in un altro. Ti
espongo le mie motivazioni del perche` una lisat del genere e` poco
utilizzabile.
Prendilo come un contributo alla discussione, nothing more.


 *anche* avere a che fare con queste cose.
a questo proposito... potresti essere piů esplicito ?
Max

 a questo proposito... potresti essere piů esplicito ?
Sure. Internet, e il /servizio/ di mail exchange, e` un sistema
distribuito. In un sistema distribuito, con nodi indipendenti, e` molto
importante poter dialogare con i nodi, molto piu` che non imporre una
regola comune.
In questo senso, stare in rete, e _pretendere_ (bonariamente, si
intende) che "gli altri" non facciano un uso improprio di essa, e`
utopistico. Per convesso, lo strumento coercitivo esiste: non essere in
rete.
Appurato che le due soluzioni (sperare che tutti si comportino come si
deve, e/o non essere collegato), non sono praticabili, perche` ricorda
che ogni nodo mette a disposizione (parte delle) sue risorse per
l'interoperabilita` e l'interconnettivita`, l'accento e` molto piu`
importante sulla "comunicazione" che non su "non voglio che si faccia
questo".
Per andare a bomba e uscire da questo discorso, che potrebbe suonare un
po` farraginoso, il senso e`:
- puo` capitare, che una rete, abbia da parte di qualche elemento,
  comportamenti sgradevoli. Puo` capitare per tanti motivi, non tutti
  intenzionali, non tutti incontrollabili.
  Per fare un esempio banale, un isp, non puo` _prevenire_ un suo
cliente, dall'uso improprio delle sue risorse. Quello che invece e`
importante e` che:
- egli sia dotato di una policy di enforce per fare rispettare le regole
  dello stesso, e poter, sospendere _immediatamente_ l'abuso, e/o
  terminare il contratto al cliente.
- egli sia dotato di una struttura tecnica che si prende carico
  "tempestivamente" delle segnalazioni di abuso da parte di "altri
  nodi"
Tutto questo per la risoluzione dei problemi dello "stare in rete" e`
IMHO (ma non solo mio), molto piu` importante, e reale che l'ipotesi
"non venga mai commesso un abuso sulla mia rete" - perche` inapplicabile
e insperabile - nonche` l'ipotesi auto-isolamento preventivo - visto che
l'obbiettivo principale della rete, e` l'interconnettivita`.
Puoi comodamente sostituire "isp" nell'esempio, con "altra figura" che
eroga - eventualmente anche per se stesso - servizi di rete, ed in
particolare di posta. L'esempio non cambia.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Grove giveth and Gates taketh away.

 tu e non hai problemi... ^_^
Oh, no...
E' che è quello che finisci per fare se sottovaluti la cosa.
Per questo consiglio di collaborare con qualche progetto già avviato.
Le competenze da mantenere in merito non sono banali (penso di aver
imparato una enormità di cose, da quando lavoro qui, che prima non avrei
nemmeno mai immaginato esistessero...).
Se eventualmente, dopo una esperienza del genere, ritieni ancora che una
cosa "diversa" sia da auspicarsi, nulla ti vieta di forkare o di iniziare
un nuovo progetto...
Hola..


 [...]

Un followup con grave ritardo, ma non seguo questo ng e ho trovato
ora questa thread per caso googlando.
C'e' un punto _estremamente_ importante: quello di aver costruito
preventivamente (e sostenuto i costi necessari allo scopo) una 
infrastruttura legale che permetta di operare nel lungo termine senza 
compromessi e con tranquillita'.
Vediamo alcuni casi:
(a) sei una entita' privata e mantieni una BL esclusivamente per i tuoi
    clienti.  In questo caso la tua protezione e' basata sui contratti
    coi tuoi clienti, che devono di fatto delegarti in modo 
    incondizionato a bloccare parte della loro posta, allo stesso tempo
    scagionandoti da qualsiasi responsabilita' diretta nel caso di blocco 
    di posta legittima.
(b) sei una entita' non-profit e fornisci al mondo una BL senza scopo
    di lucro; i tuoi "clienti" non stipulano contratto.
    In questo caso la tua posizione in caso di disputa e' forte proprio
    perche' sei una non-profit, operi senza altri fini, e godi di
    una reputazione riconosciuta.
(c) sei una entita' privata ma mantieni e fornisci al mondo una BL.
    Questo e' un caso che inevitabilmente genera problemi che portano
    nel giro di qualche mese alla chiusura dell'operazione, oppure
    alla "compromissione" (appena qualcuno fa la voce grossa viene
    delistato).  La difficolta' sta nel fatto che in genere l'utilizzatore 
    della lista non ha un contratto col suo gestore, e che il gestore e'
    supposto (anche se di fatto non e' vero) trarre profitti (diretti
    o indiretti) dalla gestione della BL,
    Se uno vuol seguire questa strada, deve assolutamente
    considerare la cosa molto attentamente e quasi certamente 
    fornire la lista - anche se gratuita - solo in virtu' di un
    contratto con l'utilizzatore che garantisca il gestore anche
    nei confronti di tutti i sottoutilizzatori a valle.
    Inoltre, ci possono essere pressioni non necessariamente legate ad
    azioni legali  ("se non ci togli dalla lista faremo in modo che tu
    perda il tuo grosso cliente A").
Un esempio eccellente di una (c) che non si e' cautelata e' stata la lista 
Blackholes di Easynet.NL, che al momento di scegliere tra la compromissione 
o la cessazione dell'attivita' (conseguenti all'applicazione di 
pressioni da qualuno grosso) ha scelto la seconda strada. Uscita
onorevole, ma di certo non e' stato per loro divertente.
Impariamo dalla storia. In tutti i casi, e' sano prevedere una quota di 
spese legali nel budget di qualsiasi BL; se poi non servono, meglio cosi'.
furio ercolessi