Newsgroup: it.comp.os.linux.sys
Titolo: Consiglio su antivirus per mailserver

Ciao a tutti,
amministro un server di posta (postfix) di una piccola azienda con una 
trentina di caselle di posta, e fino ad oggi abbiamo sempre usato 
Kaspersky come antivirus con ottime soddisfazioni sia in termini di 
protezione che di velocità; oggi al momento di rinnovare le licenze ho 
scoperto che c'è stato un aumento notevole (praticamente da circa 8 euro 
a casella dello scorso anno si è passati a 17) e la direzione mi ha 
chiesto di vagliare delle alternative: voi cosa usate di solito che 
garantisca un buon livello di affidabilità e che non costi un occhio 
della testa?
A dimenticavo che il serverozzo è pure un chiodo: un sempron 2400+ con 
*ben 256Mb di RAM* (si lo so che è poca ma vaglielo a far capire) con 
mediamente  5-6GB di rumenta sparsi fra le varie caselle (IMAP con 
Dbmail e Mysql): quindi se fosse pure leggero l'antivirus non sarebbe 
male ;-)
grazie a tutti in anticipo
Ercole

 della testa?
Clamav. Nei 256MB ci viaggia abbastanza bene, e sul server di posta č
facilmente integrabile, anche in prequeue se necessario con il milter.
USER     PID   %CPU %MEM    VSZ   RSS TTY  STAT START TIME COMMAND
clamav   18681  0.0  3.2  84296 62900 ?    Ss   Feb15 0:10 /usr/sbin/clamd
Non č probabilmente il migliore antivirus sul mercato, ma i tempi di
reazione non sono dissimili da quelli della concorrenza ed il suo target
elettivo č proprio il "gateway", di posta o web.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

Grazie Zipman, clamav lo conosco lo uso sui proxy web.In effetti lo 
avevo già consigliato anche io, ma preferiscono averne uno "commerciale" 
visto che arriva di tutto via posta (e non si fidano degli antispam 
quindi vogliono vedere anche tutta le mail marcata come spam): in un 
anno ci sono arrivate 5 o 6 mail infette ed effettivamente in un paio di 
occasioni il clam non le avrebbe beccate (quando ricevo un virus lo 
provo sempre anche con il clam), mentre il Kav non ne ha lasciata 
passare nessuna.

 passare nessuna.
Ed in altre occasioni probabilmente nemmeno il Kav le avrebbe bloccate, come
puoi vedere dalle statistiche di virustotal.
Dato che le minacce arrivano al client da più fonti è IMHO indispensabile
che la protezione più completa sia sul client. Sul gateway devono essere
bloccate più minacce possibili ma in modo "economico" (sia da un punto di
vista monetario che di risorse computazionali), e quindi clamav rappresenta
il migliore compromesso. E' peraltro importante, per avere una copertura più
amplia possibile, usare soluzioni multivendor, quindi se sei rimasto
contento di KAV, una soluzione ottima sarebbe l'uso di clamav sul gateway e
di KAV sui singoli client. Un virus che passasse clamav verrebbe comunque
bloccato dal client e non farebbe danni; se infettasse comunque il client
significa che sarebbe passato anche dal gateway con KAV.
Di contro da "condannare" è la politica di lasciare passare lo spam. Dato
che il 99% dei virus via mail sono sparati da macchine sparaspam, bloccare
lo spam comporta automaticamente anche il blocco della maggior parte dei virus.
E' peraltro abbastanza stupido accettare tutto lo spam (marchiato). Se lo
leggi per verificare che non sia un falso positivo perdi lo stesso tempo che
avresti perso a non leggerlo, quindi non ti serve l'antispam. Se lo cancelli
senza verificarlo perdi comunque più tempo di quanto ne avresti perso
rifiutandolo direttamente alla fonte.
Lo spam *va* rifiutato. L'unica cosa importante è che chi invia sappia
sempre se il messaggio è stato rifiutato ed il motivo (quindi niente discard).


 discard).
Quoto tutto.

 
Già: e siccome ci sono in giro dei cani che mandano email senza oggetto, 
con allegati eseguibili non zippati e con corpo del messaggio il nome 
del file allegato (e sto parlando di softwarehouse non di ragazzini!!) 
capirete anche perché non vogliono lo spam bloccato.
Comunque per tornare in tema mi sa che spingo per clamav (sui client 
hanno già l'antivirus della Trend - un vero chiodo - ma l'ha fornito la 
ditta che gli fa assistenza per il SW gestionale e gli ha fatto un 
contratto di 2 o 3 anni quindi quello non si tocca)
Grazie a tutti per le risposte
Ercole

 capirete anche perché non vogliono lo spam bloccato.
[OT]
*/INIZIO_SFOGO_ALLA_COX
Pero' finche' ci saranno sysadmin che permettono comunque la ricezione 
di queste mail di $SOFTWARE_HOUSE senza oggetto e con allegati 
eseguibili chiedendo ad un software di fare cio' che non ha voglia (e 
ripeto *VOGLIA*) di fare l'uomo perche' si trova di fronte persone che 
glielo permettono siamo sempre da capo, in un cerchio che si chiude 
perfettamente (e con dentro tutti gli spammer che ci applaudono insieme !!)
Ho passato i primi 3 anni in azienda a litigare con esterni ed interni 
(anche con la direzione) per spiegar loro le basilari regole di utilizzo 
della mail e alla fine, dopo kili di m... mangiata adesso e' (+ o -) la 
regola con filtri sugli allegati e quant'altro !! Ormai tutti in azienda 
(e i maggiori interlocutori esterni) sanno come _deve_ funzionare e non 
rompono piu' di tanto le balle !!
Questo esula dall'avere o meno un software antivirus installato sul 
server che ormai si rende indispensabile pero' non chiediamogli di 
pensare anche al posto delle persone solo perche' 
$SOFTWARE_MUA_DEL_PIFFERO ha dato loro delle pessime abitudini o gli ha 
consentito "di usare il computer anche se non sei esperto" !!
FINE_SFOGO/*
[/OT]
Scusate, brutto periodo
Rizio

 Quoterei anch'io... se non esistessero i falsi positivi.
Rileggi bene il messaggio.
-- 
non devi necessariamente impazzire per installarti una
SLACKWAWE
                                                          Dmitry

 capirete anche perché non vogliono lo spam bloccato.
Senza offesa, ma quella è una mail lecita che di per sè non andrebbe
bloccata; hanno ragione a lamentarsi se blocchi questi messaggi.
Per quanto riguarda gli attachment, blocco di default gli eseguibili non
.EXE (
p.es
. .COM, .PIF, .SCR, ecc.) e tutti quelli eseguibili con doppia
estensione, ma i .EXE sono bloccati solo in accordo con il cliente in quanto
spesso usati (inopportunamente) per spedire aggiornamenti, fix o archivi
autoscompattanti.
Il blocco delle mail non può^H^H^Hdovrebbe essere eseguito in funzione di
un'analisi euristica, ma usando correttamente blacklist e whitelist. Se non
sei un ISP il carico amministrativo è veramente basso e rigetti senza il
minimo sforzo il 95% delle mail. Su base euristica è corretta la politica
Mark & Pass, ma deve essere applicata solo su ciò che è già stato
precedentemente filtrato mediante blacklist.


 E se tu cancelli le mail, te ne dovrai assumere la responsabilita'. 
Su questo sono d'accordo, anche perche' se alla cancellazione aggiungi 
eventualmente un antivirus senza log decenti e' come avere una moglie 
senza i buchi... solo casini !!!
Pero' il mio era un approccio del tipo "non uccidiamoli prima di aver 
loro piegato almeno una volta come _dovrebbe_ essere".
Rizio

 
I falsi positivi si gestiscono, così come gli allegati non zippati o altre 
amenità.
Io droppo solo i virus, altrimenti viene respinto al mittente
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
The day after tomorrow is the third day of the rest of your life.

 E se tu cancelli le mail, te ne dovrai assumere la responsabilita'. 
Non si devono MAI cancellare le mail (tranne che selettivamente).
Il principio è che la mail va rigettata (e allora il mittente viene
notificato) o fatta passare eventualmene marchiata (e allora arriva al
destinatario).
Se proprio proprio un cliente chiede di cancellarle allora gli metto a
disposizine un catchall, eventualmente con pulizia automatica delle cose più
vecchie di un mese.


 lo marchiamo semplicemente come spam.
Cambia antispam, e di corsa.


 basta dare un'occhiata veloce nel folder bulk.
Probabilmente tu ricevi una tipologia di mail molto omogenea. I miei filtri
bayesani, anche se addestratissimi, continuano a classificarmi come spam
parecchie mail lecite provenienti da svariate mailing lists (OK, dovrei
whitelistare sugli headers delle ML, ma non ne ho mai voglia ;-) ), e non mi
basta un'occhiata veloce per distinguerle dallo spam.


 e un po' rischioso.
Quello su cui insisti, e che contesto, è il termine *cancellare*.
Le mail non si cancellano, si *rifiutano*, che è cosa *molto* diversa.


 Quoterei anch'io... se non esistessero i falsi positivi.
I falsi positivi sono il motivo per cui deve esistere un'accurata
gestione del problema spam.
Un falso positivo, se correttamente gestito con un reject sul peer, non
è un grosso problema: si segnala la cosa al postmaster che analizzerà
la faccenda e troverà una soluzione.

 E se tu cancelli le mail
Non cancllo proprio nulla, faccio reject sul peer.

 spiega la motivazione della cancellazione della mail?
*Non* *è* *una* *cancellazione*.

 correra' dietro con una scopa in mano.
Lo fo ogni giorno per un paio di milioni di mail. Direi che ancora non 
ho preso scope ;-)
Il fatto di farli smazzare i problemi all'utente, IMHO, è un po' un modo 
di lavarsene le mani e di non risolvere -e nemmeno affrontare- il 
problema che sta alla base, ma son opinioni, eh...

 Ma non finisce qui! Ne parlerlo' con chi di dovere!!"
Chi non lo vuole non lo ha (il filtraggio, intendo).
Tipicamente, lo ri-chiede dopo una settimana o giù di lì.
Esperienza di qualche annetto a fare *solo* filtraggio in reject.

 
Questa e' una scelta, basata sulla voglia [*] di gestire i falsi
positivi, whitelisting e compagnia bella.
[*] Voglia= voglia + tempo + risorse + management + front end + ...
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 autoscompattanti.
"Inopportunamente"? Come quel gateway fax->email di sap che spedisce tiff
incapsulate in un eseguibile per poterle visualizzare facendo due click?
Fabio

 la faccenda e troverà una soluzione.
Per quello che mi riguarda se mando un email (e puo' conetenere
qualsiasi cosa) e me la blocchi devi dirmelo, se la tagghi come spam
me lo devi dire comunque, perche' c'e' gente (successo) che NON guarda
MAI la cartella dello spam. Io mando l'email (roba che se non arriva
entro ieri finisce il mondo), telefono (io) il giorno dopo e (lui) mi
dice
"ah ma a me non e' arrivato nulla"
io: "beh io te l'ho mandata"
lui: "ma a me non e' arrivata"
io: "vabbe' te la rimando...mandata"
lui"... ... ... non e' arrivata...toh e' diventata in bold la scritta
SPAM"
io (cascando dalla sedia): "ehm prova a guardarci dentro."
lui: "ah eccola"
Email super-mega-importante-che-se-non-arriva-muoiamo-tutti e tu il
giorno dopo neanche mi chiame per chiedermi come mai non e' arrivata?
E per favore smettetela fi bloccare sti cazzo di zip. sono stufo di
dover rinominare il file e poi spiegare nella mail come fare ad
aprirlo. :)
Ciao Jack

 Tipicamente, lo ri-chiede dopo una settimana o giù di lì.
Confermo al 100%. M'è capitato con un capoprogetto in azienda che s'è
incazzato ed ha voluto essere messo nella lista di esclusione dell'antispam.
Dopo *due* giorni è tornato a chiedere l'abilitazione dell'antispam e con
*molta* calma, la settimana successiva, lo ho tolto dalla lista di
esclusione :-)


 aprirlo. :)
T'hanno mai detto che l'SMTP non è un protocollo di scambio di files?
Quello di chiama FTP.


 
Così velocemente?
Non doveva essere molto incazzato
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Simon's Law:
	Everything put together falls apart sooner or later.

 Quello di chiama FTP.
perche' tu quando devi spedire un file a qualcuno lo fai via ftp vero?
ma stiamo scherzando??? (cit.)
Ciao Jack

 ma stiamo scherzando??? (cit.)
Dipende, ma normalmente sě, preferisco mandare via mail un link ad un FTP.
Non uso la mail per allegati di dimensione superiore a 200KB (salvo casi
veramente *rari*) e soprattutto odio quando mi arrivano allegati
astronomici, specie se inutili: una volta un cliente mi ha spedito un
allegato Word di 5MB in cui aveva copincollato una scansione in alta
definizione di 5 righe di testo scritte a mano su un foglio.
Purtroppo oggi che tutti hanno la banda larga flat e che i PC non sono piů
uno strumento solo per chi sa cosa fa, il malcostume dilaga e ci si ritrova
al paradosso di essere "cazziati" se si fa un uso corretto dei sistemi.


 sistemi.
Qua si entra in un discorso troppo ampio, ma in definitiva non mi sento di
incolpare al 100% i c.d. "luser", perchè sicuramente sia tu che io
siamo "luser" in qualche altro campo in cui loro eccellono.
In ogni caso è frustrante vedere come anche menti brillanti, quando si
mettono davanti al computer, diventano dei perfetti idioti senza nessun
motivo apparente.
-- 
Vide

 siamo "luser" in qualche altro campo in cui loro eccellono.
ma probabilmente non "utilizziamo" quello di cui loro sono "esperti" come
strumento giornaliero. epoi, per imparare a non scrivere in maiuscolo, a
quotare bene, ecc. non e' che ci sia bisogno di essere sti grandi
esperti....
voglio dire, non e' un reato imparare ad usare gli strumenti (e gli "usi e
costumi" annessi) degli strumenti che utilizzerai...
ilSimo
-- 
now playing: Exodus - Low Rider
Tomorrow, I'll see it, another day's rise ... right before my eyes
Been sinking in sorrow, but now I'm gonna rise
No more reasons why
                                Gammaray - Somewhere Out In Space

 qualsiasi cosa) e me la blocchi devi dirmelo
Cioè quello che ho scritto io.