Игорь Ченцов подготовил руководство (http://www.opennet.me/base/net/zmailer_spam.txt.html) по организации мер для противодействия получению спама в почтовом сервера на базе zmailer (http://www.zmailer.org/).URL: http://www.opennet.me/base/net/zmailer_spam.txt.html
Новость: http://www.opennet.me/opennews/art.shtml?num=7914
ох уж эти любители spamassassin.я не хочу сказать, что контент-скоринг -- это мертворожденная идея, но то, как оно сейчас существует, в system-wide виде на реальной не самой маленькой и не самой слабозагруженной системе, скорее, очень неэффективно, чем наоборот. =(
вот greylisting, spf, фильтрация helo, sender verify и прочее -- да, таки более актуальны. =) не говоря уже о хоть какой-то автоматизации анализа логов и дополнения черного списка на основе этого анализа.
иными словами, рассказ про то, как заставить работать rbl, clamav, spamassassin в отдельно взятом экзотическом MTA, конечно, объясняет достаточно про то, как конфигурировать этот самый экзотический MTA, но ничего -- про то, как эффективно, собственноm бороться со spam. ;)
Наиболее оптимально использовать все ;) К примеру rbl + greylisting + content filter. Spamassassin очень сильно жрет проц и память т.к. он на перл. Я сейчас склоняюсь к dspam.
Так и сделано. постфикс: рбл, грейлистинг, спамассасин+кламав+дрвеб (угу, именно так, 2 антивира последовательно. Меня проц не ограничивает)Грейлистинг самопальный, имеет поддержку черных/белых списков по IP, доменам, сендерам, еще пара фич. Короче говоря, с плюшками.
Статистика, в среднем, такая: из 100% обращений к серверу, проходит только 15%, остальное отбивается. Из этих принятых, еще 15% маркируются ассасином как спам.
А дальше идут проблемы :( Например, есть админы, у которых серваки почту отравляют 1 раз в сутки. И если кто-то думает, что таких мало, то он, мягко говоря, заблуждается. А окно приема почты в грее больше 23 часов делать нельзя по понятным причинам... Ну и еще пару таких же проблем можно рассказать.
Вообще-то ассассин это СЕТЬ.90% реакции асассина это razor+dcc.
На случай, если это кому неведомо, поясняю.
Когда спам полился, начинаются жалобы на него в СОРБС и далее.
СОРБС и товарищи идентифицирует сообщение, на которое есть поток жалоб, как спам.
Ассасин, начиная разбор письма, обращается в _СЕТЬ_, чтобы узнать,
НЕ ИДЕНТИФИЦИРОВАЛ ЛИ УЖЕ СОРБС ЭТОТ МЕССИДЖ КАК СПАМ?А вы думали он у вас локально "самообучается", да?
Логи и исходники полистайте, да.
спасибо, что просветил - я не знал
А Вы могли бы тогда рассказать, как, собственно, эффективно бороться со спамом? :) Ибо проблема актуальна. Даже серый список не спасает. С ним, конечно же лучше стало, но все равно 15% пропущенных писем -- спам. Да и проблем с серыми списками не мало :(И желательно, на примере чего-нибудь по-экзотичнее, постфикс, например )))
Не знал что postfix это экзотика. В большинстве Linux дистрибутивов он уже MTA по умолчанию.
... эх,Вася :-(
Postfix - это экзотика, Sendmail - это классика, а Exim - это тоже неплохая система ... :-)
реализовано - sender_verify, clamav, spamassassin + мелочь
так вот sender_verify на ежедневном потоке в 30-50 тыс. писем отрубает 2/3 потока, потом еще около 5 тыс. маркирует SpamAssassin
моя специфика в том, что рубить нужно максимально качественно, т.к. отмазы типа - у него же почтовик RFC не соответствует и т.п. - не катят. Почта должна ходить, понимаешь :-)
Почтовики бывают такие у клиентов, что плакать хочется. Но соответсвуют вообще ничему похоже. Но почта действительно должна ходить, и ничего с этим не поделать. Поэтому либо рубить почту вместе со спамом, либо получать спам вместе с почтой.
По определению часть спама проходить будет
другой вопрос - 1, 10 или 200 писем спама получает пользователь в день
здесь уже политический аспект - нужно донести до руководства понятие о теме,
а потом - и до пользователей
А у вас sender_verify mail from: какой делает ? На сколько я понимаю, рекомендовано mail from:<> , который грейлистинг должен пропускать. У многих систем sender_verify делается не от <>, а например <postmaster...>, что создает проблемы.
в ru.unix очень недавно обсуждалось.теоретически, можно использовать какой угодно еще адрес -- но главное, чтобы на него встречная проверка проходила без сучка и задоринки (читай без greylisting и без еще одного sender verify).
но не совсем понятно, зачем. потому, что единственный аргумент ``за'' -- общение с серверами, которые почту с <> не принимают принципиально. а такое поведение есть само по себе настолько неправильное, что отбивает всякую охоту иметь дело с такими ``серверами''.
если контора доверяет настройку почтового сервера человеку, который даже не знает, какая почта идет с <> и почему ее нельзя блокировать -- значит, она себе не может позволить ни одного адекватного человека, прочитавшего хоть что-то о протоколе SMTP в IT-отделе. следовательно, пусть используют релей провайдера.
> А Вы могли бы тогда рассказать, как, собственно, эффективно бороться со спамом? :)за исключением упоминавшегося (q.s.) можно вспомнить разве что неприятие почты с хостов без PTR RR. эта мера спорная, но лично я вижу от нее больше пользы, чем вреда.
мне также здорово помогают мелочи типа reject на helo в виде localhost, или моего хоста/домена, писем без message-id (последнее, опять же, спорно), да и вообще reject писем с обратных адресов @хост/домен получателя (сиречь, мой) и не идущих ни с whitelist, ни с smtp auth.
> но все равно 15% пропущенных писем -- спам
вы поймите -- невозможно 100% уничножить spam. лучшее приближение к этому -- challenge/response системы, но они настолько неудобны в использовании, что могут сгодиться только для личной почты какого-нибудь geek'а. да и то, у меня ощущение, что они эффективны только потому, что нафиг никому не сдались.
это как со статистикой по раскрытым преступлениям -- не может она быть выше 15-20%. а то, что у нас в стране ее декларируют равной 60% -- это просто научная фантастика, что понимают все, кроме налогоплательщиков, чьи деньги идут на поощрение еще большего увеличения этой ``раскрываемости''.
если у вас процент spam колеблется от 5% до 15% (из incoming) -- это не так и плохо.
> И желательно, на примере чего-нибудь по-экзотичнее, постфикс, например )))
у меня под рукой только ничуть не экзотический sendmail. =)
странный выбор zmailer.....
и чем же он странный ?