Newsgroup: it.comp.os.linux.sys
Titolo: [SpamAssassin] Whitelist_from e unwhitelist_from

Salve a tutti,
ho un server di posta con Postfix 2.2.5 e SpamAssassin 3.1.0
Ho notato che ultimamente arrivano parecchie mail spam da indirizzi il 
cui dominio è all'interno della whitelist_from in 
local.cf
per esempio:
whitelist_from	*@
pippo.it
I messaggi incriminati arrivano con "mail from" del tipo: 
ad...@pippo.it
 
piuttosto che 
sup...@pippo.it
 che puntualmente vengono fatti passare da 
SpamAssassin in quanto il mittente è presente in whitelist_from.
Dunque vorrei far passare tutti i messaggi provenienti da indirizzi del 
tipo *@
pippo.it
 tranne 
sup...@pippo.it
 e 
ad...@pippo.it
.
Nella documentazione parlando di unwhitelist_from:
http://spamassassin.apache.org/full/3.0.x/dist/doc/Mail_SpamAssassin_Conf.html
Ma la cosa sembra non funzionare..per la cronaca le ho provate un po' 
tutte: mettendo "unwhitelist_from 
ad...@pippo.it
" in user_prefs 
dell'utente con cui gira spamd, piuttosto che mettendolo dentro 
local.cf
 
appena dopo "whitelist_from *@
pippo.it
" ..ma niente da fare, il 
messaggio viene fatto passare con un punteggio alto in quanto viene 
assegnato USER_IN_WHITELIST (di default: -100).
Qualcuno mi può illuminare? ;-)
Twisted

 
Una regola personalizzata che intendi?
Il discorso è che se metto 
ad...@pippo.it
 in blacklist_from (lasciando 
whitelist_from *@
pippo.it
), SpamAssassin attribuirà sia il punteggio 
USER_IN_WHITELIST(-100) che USER_IN_BLACKLIST (+100) ... che diventa 0 + 
   o - qualche altro punteggio assegnato. Io vorrei evitare appunto 
questo, se in blacklist.. nn dare il punteggio USER_IN_WHITELIST.
Qualche idea?
Grazie

puoi farti una regola del tipo
header		regola		From	~= /admin\@dominio.tld/
score		regola		500.0
describe	regola		Blacklist
Sono andato a memoria.....non sono proprio sicuro della sintassi 
dell'header... Comunque il concetto è quello.
Io uso score di oltre 1000 per determinate regole. (il punteggio dipende 
molto dall'incavolatura che mi fa venire il messaggio incriminato)
Twistato ha scritto:


 
Sì ma non risolvo il problema che ti ho menzionato poco fa.

 molto dall'incavolatura che mi fa venire il messaggio incriminato)
Questa potrebbe essere un idea ;)
Grazie

Twistato ha scritto:

Che altro non è che una regola personalizzata come ti ha suggerito 
Davide....

 Twisted
Se gli indirizzi from sono spoofati, puoi usare whitelist_from_rcvd 
<e-mail address> <domain>

lorenzodes ha scritto:

Sarebbe un ottima cosa, il problema che diventa troppo restrittivo.
Non sempre il server da cui ci arriva la posta è il medesimo!

 Non sempre il server da cui ci arriva la posta è il medesimo!
Nel senso che ti aspetti che 
loren...@pippo.it
 ti possa mandare 
posta usando 
mail.pippo.it
 come qualsiasi altro server smtp?
Se è così è un bel buco nella tua configurazione antispam.

 configurare i dns in modo acconcio... tutte cose molto normali IMHO.
Se il signor 
pippo.it
 non ha ottenuto dal suo ISP un record PTR per il 
reverse DNS del suo relay di posta, imho l'OP farebbe meglio a 
metterlo in blacklist, altro che whitelist.

 Se è così è un bel buco nella tua configurazione antispam.
Non è un buco, è una scelta dettata dal fatto che potrebbe produrre 
troppi falsi negativi (nella mia situazione in cui spamassassin analizza 
messaggi destinati a N domini).

lorenzodes ha scritto:

Purtroppo essendo il record PTR facoltativo, molti non lo registrano e 
di conseguenza non puoi permetterti di sbattere la porta in faccia  a 
mittenti potenzialemente leciti.

 
In tal caso non ti resta che creare una regola che di fatto annulli la 
whitelist (quindi come ti ha detto Davide) attribuendo a quegli 
indirizzi un punteggio positivo pari a 100, poi lasci fare il tutto 
alle altre regole... parlando delle quali, ti sei chiesto come mai hai 
necessità di ricorrere ad una whitelist? Hai verificato perché 
spamassassin marca come spam messaggi che non lo sono?

 Hai verificato perché spamassassin marca come spam messaggi che non lo sono?
Sì, il rate falsi_positivi/totale_messaggi_processati è pressochè irrisorio.

 potrebbe produrre falsi negativi.
Ah, capito, si tratta quindi di una semplice precauzione, una misura 
preventiva :)