Newsgroup: it.comp.os.linux.sys
Titolo: Succede qualcosa allo spam di oggi?

Ciao a tutti.
sta succedendo qualcosa di particolare nel mondo oggi?
Ho una debian che mi fa da server di tutto.. compreso mail con postfix, 
bogofilter e graylist.
Non era praticamente mai passato spam... una decina al giorno. Tutti 
fermati da graylist in pratica. Da tipo quattro anni.
Oggi succede un disastro: mi passa 1 messaggio al minuto. Bogofilter poi 
fa del suo meglio.. ma poverello non è più abituato.
Sembra che abbiano imparato da oggi ad aspettare e bypassare postgrey.
E' successo qualcosa anche a voialtri o semplicemente ho fatto io 
qualcosa che ha attirato l'attenzione di spammer più sgamati?
Mario

 fermati da graylist in pratica. Da tipo quattro anni.
Se finora con il solo greylisting ti passava poca roba, significa che di 
spam ne ricevevi poco e sfigato.
Che le botnet oltrepassano il greylisting sono almeno 3 anni...
-- 
http://bofhskull.wordpress.com/

 qualcosa che ha attirato l'attenzione di spammer più sgamati?
Hanno decisamente imparato.
Sparano scariche di spam uguali a distanza di pochi secondi.
Dopo un po graylist si convince e lascia passare.
Ok: ieri c'era graylist.. oggi che si fa?
Tutta roba da:
r200-40-61-226.ae-static.anteldata.net.uy
80-88-248-39.nat.2connectbahrain.com
89-178-188-25.broadband.corbina.ru
o simili
Dovrei chiudere l'accesso a questo tipo di gente e permettere l'accesso 
solo a domini "qualificati" tipo 
mail.google.com
?

 solo a domini "qualificati" tipo 
mail.google.com
?
3 vie:
1) imparare a gestire lo spam con gli strumenti che hai
2) farlo fare a qualcuno che lo sa fare, dando il servizio in outsourcing
3) farlo a fare a qualcuno che lo sa fare, acquistando un appliance (o 
un software commerciale) già predisposto
Si noti che la 3 implica in qualche misura anche la 1, dato che quel che 
ti metti in casa lo devi anche gestire...
-- 
http://bofhskull.wordpress.com/

 qualcuno che lo sa fare, dando il servizio in outsourcing 3) farlo a
prendo la uno.
Per ora bogofilter reagisce bene. Ho solo aumentato temporaneamente la 
frequenza di lancio dello script con cui "impara".
Vuol dire che per questi 3 anni m'era andata di c__o.
Grazie comunque.
Mario

 Ok: ieri c'era graylist.. oggi che si fa?
A questo punto bloccare tutte le connessioni da range palesemente
dinamici?
Io lo faccio a casa con iptables, non so quanto possa essere fattibile
in altri ambiti (ISP/aziende), poiché rischi di perdere mail (anche se
chi ha IP dinamici dovrebbe usare il suo relay host di riferimento).
Enrico

 Ok: ieri c'era graylist.. oggi che si fa?
Parecchio, direi...
1) Bloccare le connessioni NON autenticate provenienti da IP dinamici
(tramite richiesta DNS a 
dul.dnsbl.sorbs.net
 e 
pbl.spamhaus.org
)
2) Bloccare le connessioni NON autenticate con HELO/EHLO non valido (non
FQDN o palesementa falso [il tuo IP, il tuo Hostname, etc.])
3) Bloccare le connessioni non autenticate provenienti da IP listati in
dnsbl.sorbs.net
4) Implementare il controllo SPF (anche se, oramai, parecchi Spammer hanno
imparato anche qui e si registrano domini con informazioni di SPF valide.
Ma sono ancora relativamente pochi e l'SPF lo implementi in fretta)
5) Meditare di implementare il controllo dei DomainKeys/DKeys, anche se,
purtroppo, alcuni gestori di ML fanno fallire miserrimamente il controllo
Io ho implementato tutto cio'. Sono sulle 2-3 Mail di Spam al giorno AL
MASSIMO...
Ciao
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it



Prova a modificare opportunamente la tua configurazione aggiungendo 
queste tre RBL:
psbl.surriel.com
bl.spamcop.net
zen.spamhaus.org
Ed eventualmente questa RHSBL:
block.rhs.mailpolice.com
Da me bloccano il 75% dello spam in arrivo.
Ciao.
-- 
Tobe Bofh

 chi ha IP dinamici dovrebbe usare il suo relay host di riferimento).
Chi usa ip dinamici per spedire mail sta GIA' perdendo un sacco di email
per strada, ergo č un folle, un imbecille o un incompetente.
Il problema non sussiste.
-- 
A: Because we read from top to bottom, left to right.
Q: Why should i start my reply below the quoted text?

 1) Bloccare le connessioni NON autenticate provenienti da IP dinamici
scusate se mi intrometto, cosa intendete per ip dinamici?
Mi capita coi paesi dell'est che alcuni miei messaggi vengano
rimbalzati in quanto risultano provenienti da un ip dinamico. Il
server di posta è gestito in casa.
L'ip invece è rigorosamente statico.
Il problema è che se pingo 
miodominio.com
 risponde l'ip del firewall
mentre se pingo -a X.X.X.X (l'ip del firewall) risponde hostX-X-static.
X-X-b.business.telecomitalia.it
 e non 
miodominio.com
Potrebbe questo creare casino con l'ip dinamico presunto?
Non sono pratico di queste cose...
Grazie,
ten
__
P.S: Per risposte private togliere 10 dall'indirizzo email 

 il controllo
per le Ml c'è gmail apposta. non a mia preziosa banda e spazio su disco.
ora vedo di fare anche questo.
Grazie a tutti, gente!
Preziosi.
Mario

 Non sono pratico di queste cose...
Come ho detto, la decisione se l'IP e' statico o dinamico non deve essere
implementata da te con questi sistemi "artigianali" (ping, reverse lookup,
etc), ma la fai appoggiandoti a delle DNS-Blacklists (per esempio:
dul.dnsbl.sorbs.net
 e/o 
pbl.spamhaus.org
).


 sta succedendo qualcosa di particolare nel mondo oggi?
Niente di nuovo IMHO (come discorso generale).
E' la solita vecchia guerra allo SPAM. Cambiano gli
strumenti a tua dispozione, ma cambiano pure i metodi
adottati degli SPAMMER...e si ricomincia in loop.
Il punto a mio avviso rilevante e' che o ti adegui insieme
al fenomeno oppure prima o poi ti travolge.[*]
Mi pare che il discorso che ti abbia fatto Skull sia realistico
e coinciso.
Beppe
[*] Va molto anche a periodi per quello che ti posso dire io.
Oggi ho segnalazioni nella norma. Domani nuova botnet
e le segnalazioni schizzano in verticale. Qualche
giorno dopo la situazione si regolarizza di nuovo.

 
dul.dnsbl.sorbs.net
 e/o 
pbl.spamhaus.org
).
Se nella risposta del ping compare la parola ....static...telecomitalia... 
la cosa
fa pensare che l'ip sia considerato di tipo statico a tutti i livelli.
A me le DNS-blacklist non occorrono, il mio problema è in uscita. In
entrata la spazzatura è ad un livello accettabilissimo...
Un guru della telecom mi diceva di abiliate lmhosts nelle proprietà della
rete. Ho visto che è possibile dargli in pasto un file ma non ho ancora ben
capito a cosa serve sta roba.


 capito a cosa serve sta roba.
A parte che, secondo me, "Guru" e "Telecom" nella stessa frase non ci
stanno...
Ma COS'E' CHE TI DICEVA?!? Cosa vuol dire quella frase?


 capito a cosa serve sta roba.
Meno male che è un guru.
Suggerirei di provare anche con il sale nel bicchiere: ha le stesse 
probabilità di servire a qualcosa...
[1] è anche la ragione per la quale sostanzialmente ne sconsiglio 
l'utilizzo se non in ambienti di piccole dimensioni. O almeno una tra le 
ragioni...
-- 
http://bofhskull.wordpress.com/

 Ma COS'E' CHE TI DICEVA?!? Cosa vuol dire quella frase?
Delle minchiate, perché per avere dei server smtp riconosciuti come
statici, occorre registrare il proprio nome a dominio sui nameserver di
primo livello, in modo che a livello mondiale corrispondano la
risoluzione diretta e quella inversa tra dominio e IP.
Altrimenti posso anche avere un IP statico, ma se la risoluzione diretta
mi dice che 
pippo.it
 è 62.63.64.65, mentre risolvo 62.63.64.65 e torna
ip-static-salcaz.telecomitalia.pirlachilegge.it
, sarò blacklistato a
velocità warp.
-- 
Massimo Bacilieri AKA Crononauta

 velocità warp.
Blacklistato per questo certamente no...
-- 
http://bofhskull.wordpress.com/

 Blacklistato per questo certamente no...
Prova a spedire posta con un smtp che risponde in questo modo, poi dimmi
quanta posta arriva :-)


 quanta posta arriva :-)
Non certo perchè *vieni blacklistato*.
Più semplicemente, i ruleset di filtraggio sono tanto più aggressivi 
quanto meno l'IP mittente è riconoscibile come un server SMTP "vero".
E un IP che risolve come 
ip-static-salcaz.telecomitalia.pirlachilegge.it
 
non lo sembra: è solo uno dei tanti IP che sputano SMTP e che hanno una 
zona inversa di questo tipo, il 95% dei quali è di norma composto da bot 
di vario genere.
Percentuale, questa, che tende a salire quanto più ci si allontana 
geograficamente dall'Italia, il che sta alla base del fatto che il 
blocco lo si incontri soprattutto con destinatari "lontani".
E che spiega (anche se non giustifica, IMHO) il fatto che la DUL di 
SORBS listi anche i netblock che riportano zone inverse generiche di 
questo tipo al pari di quelli dinamici...
-- 
http://bofhskull.wordpress.com/

 Non certo perchè *vieni blacklistato*.
Sì, a rigore hai ragione, ho usato un termine improprio, perché
blacklist fa pensare a una lista di IP o domini "malevoli", mentre in
realtà il filtro si basa su un ruleset e non su una lista.
Detto questo, ritorna il principio che se non hai un reverse-dns valido,
la tua posta non l'accettano :-)


 velocità warp.
ed è proprio quello che succede e vorrei trovare la soluzione (se esiste)
anche grazie alla vostra esperienza e non a quella dei guru telecom...


 velocità warp.
Fino all'anno scorso in una ditta avevo un piccolo mail server interno 
(ereditato dal precedente gestore). La loro adsl era con indirizzo statico ma 
NON registrata (vedi sopra). Problemi di invio e ricezione tramite quel mail 
server non ce ne sono mai stati a parte un paio di volte con mail inviate ad 
utenti di grandissime aziende che, a quanto pare, avevano delle policy 
rigorosissime (niente allegati nemmeno in pdf...) e un'altra volta che un utente 
impestato si era messo a spammare inconsapevolmente ed erano finiti in una 
blacklist.
RIpulito il tutto e fatta richiesta di cancellazione dalla BL in 24 ore tutto a 
posto....
-- 
"Benvenuto nel mondo vero."
Roy Batty

 questo servizio.
Uh?
-- 
http://bofhskull.wordpress.com/

 questo servizio.
ma non gli basterebbe chierere al provider la delega della zona per la
risoluzione inversa? o sto facendo casino?
ilSimo
-- 
now playing: 
High above, at the edge of the world
We're searching for glory and peace
When the time has come, you will see
Our return to the land of the free
                                Gammaray - Land Of The Free

 risoluzione inversa? o sto facendo casino?
Delega è facile se hai una /24 almeno.
Sennò devi richiedere l'implementazione di RFC2317, che è abbastanza da 
farti rispondere "spiacente provi al negozio all'angolo" dalla maggior 
parte degli ISP.
Più facilmente, basta dire al provider "mettetemi il PTR per l'IP 
x.y.z.w a 
mail.pippo.net
".
E avere in ISP che abbia voglia di farlo, ovviamente...
-- 
http://bofhskull.wordpress.com/

 E avere in ISP che abbia voglia di farlo, ovviamente...
ne esistono? :P
ilSimo
-- 
now playing: 
screams of love in the air tonight
and it burns like a buzzsaw blade
                                Annihilator - It Burns Like A Buzzsaw Blade

 ne esistono? :P
Sì.
-- 
http://bofhskull.wordpress.com/

 Sì.
A me l'hanno fatto addirittura per una /28...

 
Mah. ;-)
Io posso assicurare che ho un mail server su ip statico.
Ho il dominio registrato.
Ho l'MX puntato su quel nome.
Ho il record A per il nome del mail server.
Il PTR [*] è con il nome dato dal provider, il cui nome viene comunque
risolto dal FWD dns, perciò il tutto è consistente, e a parte un russo,
un paio di anni fa, più paranoico di me, nessuno ha mai rifiutato mail
in uscita dalla mia rete.
Ovviamente l'HELO è full qualified, e risolve.
[*] Sì, per pigrizia non ho cambiato provider, visto che in fondo non
ho problemi causati dalla mancanza univocità, e il resto del servizio
mi soddisfa.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 in uscita dalla mia rete.
Idem su diversi miei clienti piccoli il cui provider non permette la 
personalizzazione del rdns. Per i pochissimi casi di problemi di invio per 
rdns generico ho messo in transport di passare dal server del provider.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.