Newsgroup: it.comp.os.linux.sys
Titolo: [semi-OT] Discussione: Virus Filtering e mailserver

Ciao a tutti.
Quanti quanti di voi utilizzano tutt'oggi un sistema di Virus
Filtering sui mailserver ? Giusto oggi pomeriggio ci siamo messi (dati
alla mano) ad analizzare la situazione. Sui due mailserver che
amministro, il numero di Virus intercettati nel corso dell'anno appena
concluso e praticamente una miseria. Poche decine.
Non che la cosa ci provochi qualche dispiacere, per carita'. Ci si
chiedeva semplicemente se abbia ancora un senso tenere installati dei
sistemi che poco o tanto qualche cosa in termini di risorse occupano.
Che ne pensate ?
Ciao
Giuseppe

 Che ne pensate ?
Basta un virus per generare grossi problemi in una rete Windows, quindi
per l'esiguità di risorse richieste dal controllo antivirus io non lo
toglierei.
Al più può avere un senso, oggi come oggi, spostare il controllo
antivirus al termine della catena di filtraggio, dopo tutti i controlli
antispam. Una volta era invece conveniente averlo a metà, dopo le
blacklist e prima dei controlli euristici.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 sistemi che poco o tanto qualche cosa in termini di risorse occupano.
Sì, confermo che, a fronte di centinaia di migliaia di spam rigettati
ogni giorno, il numero di virus è irrilevante.
Ma devi comunque tenerlo, a mio avviso.

 processare i virus PRIMA di tutto il resto ha (IMHO) piu' senso.
Tecnicamente non cambia nulla: si parla di "quando applicarlo", non di
"cosa escludere da esso".
Cerco di declinare meglio.
5 anni fa via mail arrivavano binari infetti, inviati da worm.
Oggi il fenomeno non è scomparso, ma è estremamente ridotto. In
compenso, arrivano mail prive di allegati che linkano risorse web che
saranno il reale vettore di infezione. Questo come conseguenza del fatto
che virus e spam (o, meglio, una determinata tipologia di spam) sono
diventati una cosa sola.[1]
Se il filtraggio AS è fatto in modo adeguato, quindi, una gran fetta
delle mail che oltre a pubblicizzare pilloline di vario genere fungono
anche da vettore di infezione verrà già disinnescata prima di arrivare
all'AV. Questo riguarda in massima parte ciò che esce da botnet, ergo
ciò che di norma è filtrabile con poco sforzo computazionale attraverso
le principali DNSBL (XBL in primis).
Pertanto, per seguire la linea del "minimo sforzo", il setup più
conveniente sul piano del carico macchina è (IMHO):
1) filtraggio su envelope
2) AV
3) filtraggio su contenuti fase DATA
Ciò detto, proprio perchè molte mail di spam sono l'evento scatenante di
infezioni che hanno il proprio vettore in una sessione HTTP, ha senso
evitare di investire in AV eccessivamente anabolizzati da porre sugli
MTA, e concentrare la protezione dell'utente su quelli che sono i reali
mezzi di infezione di oggi. Un ottimo AV sui client contornato -se
possibile- da un meccanismo di difesa posto lungo la tratta HTTP[2].
[1] 
http://bofhskull.wordpress.com/2010/09/28/due-piccioni-e-una-fava/
[2] Che non significa necessariamente un proxy con funzioni di
webfiltering e AV, per quanto questo rappresenti una valida soluzione.
Anche l'uso di filtraggio a livello di resolver può essere sufficiente:
OpenDNS o un provider di dati RPZ:
https://www.isc.org/files/BIND98_web_event-2011-03-02.pdf
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/

Rieecchime, e grazie a tutti per le risposte :)
Insomma a conti fatti tutti sostanzialmente hanno rilevato la "quasi-
morte" del fenomeno (dio sia lodato) e, a parte dettami tecnici sul
dove eseguire il filtraggio, mi pare di capire che tenere l'AV attivo
sia una scelta di buon senso.
Trovo comunque interessante lo scenario proposto da Skull: poiche' non
siamo piu' in grado di bucare le macchine allegando bocconcini
prelibati alle mail, ti piazziamo un link nel corpo del messaggio e ti
dirottiamo in graziose paginette che nasconso omaggi ai visitatori.
Posto che un buon AV sul client dovrebbe mettere le pezze ad entrambi
i problemi, sono pronto a scommettere che una montagna di gente clicca
link a c@##o e ci casca alla grande (anche perche' fanno girare il
l'AV perennemente non aggiornato).
Giuseppe

 E' a questo che servono i Proxy trasparenti e l'URL filtering.
Sul URL Filtering siamo d'accordo. Qualche problema invece lo vedo
nell'implementazione del Proxy, almeno per uno dei due mailserver che
gestisco - una macchina che gestisce posta per circa 150 domini, dove
non ho la possibilita' di controllare e verificare quello che fanno
gli utenti quando surfano sulla rete.
Giuseppe