Filtern von Mails auf dem Openexchangeserver (Schutz vor SPAM)

Supportdatenbank (rsimai_slox_anti_spam)

Anliegen

Was ist SPAM?

Was ist Relaying?

Was ist ein offenes Relay?

• Sie haben 'pop before smtp' eingerichtet und der Client hat sich in dem gesetzten Zeitrahmen mittels einer POP- oder IMAP-Verbindung am Server autentifiziert
• Der Absender befindet sich in dem '$mynetworks' angegebenen Adressbereich. Das ist immer der Fall, wenn Sie den Webmailer zum Versenden von Mails verwenden.
• Der eMail Server ist für SMTP-AUTH konfiguriert und der Client unterstützt/nutzt das
• Der eMail Server ist für die Verwendung von Zertifikaten konfiguriert. Sie haben dem Client ein Zertifikat vergeben und dieser unterstützt das

Was tun, wenn der SPAM nicht aufhört?

Einrichten von Anti-SPAM-Maßnahmen

Aktivieren des eingebauten Schutzes auf dem Openexchangeserver (SPAM Filter)

• Worum geht es?
  Eingehende Mails werden einer Bewertung unterzogen, die nicht von festen Angaben abhängt.
• Wirkungsweise
  Eingehende Mails werden durch einen 'content_filter' (Procmail/Spamassassin) geschleust und mit zusätzlichen Headerzeilen versehen. Die Bewertung ist dabei kontinuierlich. Es wird prinzipiell zunächst nicht gefiltert oder die Annahme verweigert, sondern nur markiert.
  Beispielsweise enthält eine markierte Mail entsprechenden Inhalts folgende zusätzlichen Headerzeilen:

  X-Spam-Status: Yes, hits=8.7 required=5.0
          tests=UNDISC_RECIPS,NO_REAL_NAME,CLICK_BELOW,UPPERCASE_25_50,
                CLICK_HERE_LINK
          version=2.31
  X-Spam-Flag: YES
  X-Spam-Level: ********
  X-Spam-Checker-Version: SpamAssassin 2.31 (devel $Id: SpamAssassin.pm,v 1.94.2.2 2002/06/20 17:20:29 hughescr Exp $)
  X-Spam-Report:   8.7 hits, 5 required;
    *  4.0 -- Valid-looking To "undisclosed-recipients"
    *  0.5 -- From: does not include a real name
    *  1.5 -- BODY: Asks you to click below
    *  1.9 -- BODY: message body is 25-50% uppercase
    *  0.8 -- BODY: Tells you to click on a URL
  

• Einrichtung
  Sie erreichen als Admin diese Funktion, wenn Sie sich als cyrus einloggen und unter 'Mail', 'Postfix' die Option 'SPAM Filter' aktivieren.
  Die Benutzer erhalten die Funktion unter 'Setup', 'Mailfilter', 'SPAM'. Alternativ kann ein SIEVE-Filter verwendet werden, um nach Einzelheiten zu filtern.
• Vorteile
  Das System übernimmt automatisch die Bewertung, ohne dass explizite Regeln festgelegt werden müssen. Jeder Benutzer kann für sich entscheiden, ob er markierte Mails erhalten oder filtern will. Das System ist nicht abhängig von anderen Servern, wie z.B. bei RBLs.
• Nachteile
  Es besteht die Gefahr, dass Mails fälschlicherweise markiert werden. Auch kann diese Art keinen absoluten Schutz bieten. Erst die erhöhte Anzahl der Feststellung bestimmter Kriterien kennzeichnet die Mail eindeutig. Ein hohes Aufkommen von Mails erhöht die Systemlast enorm!

Verwendung von Procmail zum Filtern der Mails (nur bei aktiviertem SPAM-Filter)

• Worum geht es?
  Durchsuchen der Mails (Header und/oder Body) nach 'verdächtigen' Einträgen; auslösen von Aktionen
• Wirkungsweise
  Bei aktiviertem SPAM Filter werden Mails, wie im vorhergehenden Punkt beschrieben, über Procmail geleitet. In der Konfigurationsdatei können jetzt Regeln zur Behandlung aufgestellt werden.
• Einrichtung
  Der vorher beschriebene SPAM Filter muss aktiviert werden. Die Konfigurationsdatei finden Sie dann unter /etc/imap/procmailrc
  Nachdem die Aufzählung aller Procmail-Features diese Beschreibung sprengen würde, sehen Sie bitte in die zugehörige Manpage 'man procmailrc'.
• Vorteile
  Es sind sehr umfangreiche Filtermöglichkeiten gegeben, die mit den weiter unten beschriebenen Postfixlösungen kaum erreichbar sind.
• Nachteile
  Bei falscher Konfiguration droht Mailverlust! Sie sollten diese Einrichtung nur vornehmen, wenn Sie mit der Anwendung von Procmail vertraut sind!

Filtern des Headers

• Worum geht es?
  Durchsuchen des Mailheaders zum Aufsuchen von 'verdächtigen' Einträgen, die die Mail als SPAM identifizieren können.
• Wirkungsweise
  Postfix beinhaltet eine Funktion, die das Durchsuchen des Headers ermöglicht. Dabei wird die Mail während des Empfangs per SMTP auf einen bestimmten Ausdruck durchsucht. Mit der hier beschriebenen Methode wird ausschließlich der Header der Mail durchsucht.
• Einrichtung
  
  1. Legen Sie ein File /etc/postfix/header_checks an.
     In diesem File fügen Sie Regeln ein, die von Postfix auszuwerten sind. Verwenden Sie dazu Perl Compatible Regular Expressions (PCRE, eine Beschreibung finden Sie auch in der Manpage man 5 pcre_table). Hier ein Beispiel:
     

                     /^(To|From):*friend@(public.com|localhost.net)/ REJECT
                     /^From:.*infowatch\.net/ REJECT
                     /^To: ListMembers@theneffect/ REJECT
                     

  2. Editieren Sie /etc/postfix/main.cf und fügen Sie folgende Zeile ein:
     

                     header_checks = pcre:/etc/postfix/header_checks
                     

  3. Lesen Sie die Konfiguration neu ein:

                     rcpostfix reload
                     

• Vorteile
  SPAM ist oft am Header zu erkennen. Sie können hier gezielt nach Absendern, aber auch nach dem Subject filtern und so einen Großteil der unerwünschten Mails ablehnen. Sie können alle Zeilen eines Headers verwenden. Nehmen Sie am Besten den Header einer SPAM-Mail als Vorlage.
• Nachteile
  Sie müssen die Liste aktuell halten. Sobald ein neuer SPAM aufkommt, müssen Sie eine Regel entwerfen, die darauf passt. Generell müssen Sie aufpassen, keine zu allgemeinen Regeln zu formulieren. Es besteht die Gefahr, dass auch erwünschte Mail abgelehnt wird, weil der Absender z.B. ein Subject gewählt hat, welches Sie ausfiltern.

Filtern des Inhaltes (Body)

• Worum geht es?
  Filtern des Mailinhaltes (Body) nach 'verdächtigen' Ausdrücken. Ebenso kann diese Prüfung auch für das Ablehnen bestimmter Attachments verwendet werden.
• Wirkungsweise
  Postfix beinhaltet eine Funktion, die das Durchsuchen des Mailinhaltes während des Empfangs über SMTP ermöglicht. Bei dieser Überprüfung wird ausschließlich der Inhalt (Body) der Mail durchsucht.
• Einrichtung
  
  1. Legen Sie ein File /etc/postfix/body_checks an.
     In diesem File fügen Sie Regeln ein, die von Postfix auszuwerten sind. Verwenden Sie dazu Perl Compatible Regular Expressions (PCRE, eine Beschreibung finden Sie auch in der Manpage man 5 pcre_table). Hier ein Beispiel:
     

                     /^Hi! How are you/ REJECT
                     /(usa\.net|hotmail\.com|yahoo\.com)\?subject=remove/ REJECT
                     /(filename|name)=".*\.exe.*"/ REJECT
     		/(filename|name)=".*\.(asd|chm|exe|doc|dll|hlp|hta|js|ocx|pif).*"/ REJECT your mail contains a $2 file which is not allowed on this server
                     

  2. Editieren Sie /etc/postfix/main.cf und fügen Sie folgende Zeile ein:
     

                     body_checks = pcre:/etc/postfix/body_checks
                     

  3. Lesen Sie die Konfiguration neu ein:

                     rcpostfix reload
                     

• Vorteile
  Filtern nach längeren Textpassagen ist möglich, um nicht versehntlich doch erwünschte Mails abzulehnen. Auch filtern nach Attachments funktioniert hier. Mit der letzten Regel in o.g. Beispiel wird die Annahme von Mails mit Attachments mit mindestens einer der angegebenen Endungen verweigert und mit einer entsprechenden Meldung quittiert.
• Nachteile
  Auch hierbei besteht die Gefahr, dass Sie Mails ablehnen, die kein SPAM sind. Ebenso kann das Filtern nach Attachments vom Sender unterlaufen werden, in dem er einfach andere, nicht gefilterte Endungen verwendet.

Sperren von Hosts oder Domänen

• Worum geht es?
  Gezieltes Sperren von Hosts oder Domänen, die als Absender von SPAM aufgefallen sind.
• Wirkungsweise
  Postfix beinhaltet die Funktion, eine Liste von Hosts zu führen, für die besondere Regelungen getroffen werden können. In unserem Fall ist das, den Empfang von Mails abzulehnen. Postfix überprüft die Hostnamen mittels DNS.
• Einrichtung
  1. Editieren Sie die Datei /etc/postfix/access und fügen Sie Regeln in folgendem Stil ein:

                     #Sperren einer Domain, kein Host dieser Domain (auch Subdomains) darf Mails einliefern
                     spammers.com REJECT
                     #Sperren einer einzelnen IP-Adresse mit Fehlermeldung an den Absender
                     213.95.15.200 550 Keep your SPAM
                     #Sperren eines kompletten Subnetzes (213.95.x.x)
                     213.95 REJECT
                     

     Hilfe finden Sie in den Kommentaren in der Datei oder in der Manpage man 5 access
     
  2. Erzeugen Sie ein db-File:
     

                     postmap /etc/postfix/access
                     

  3. Lesen Sie die Konfiguration neu ein:
     

                     rcpostfix reload
                     

• Vorteile
  Das Verweigern der Annahme von Mails von bestimmten Hosts oder Domänen ist einfach zu konfigurieren.
• Nachteile
  Tatsächlich besteht aber die Gefahr, dass Sie zuviele Hosts aussperren. Es kann keine Mail über einen Relayhost aus einer gesperrten Domäne an Sie zugestellt werden. Sie blockieren also nicht unbedingt den Absender der SPAM-Mails als vielmehr einen für Ihre Mailzustellung wichtigen Mailserver.

Realtime Blackhole Lists (RBL)

• Worum geht es?
  Sperren von Absendern, die in einer 'Blacklist' aufgeführt sind. Solche Blacklists stellen den Anspruch, laufend eine aktuelle Datenbank zu unterhalten, in der SPAM-Absender gelistet werden.
• Wirkungsweise
  Postfix führt eine Anfrage bei einem Blacklist-Server durch um zu prüfen, ob der Absender gelistet ist. Dazu wird der Nameservice verwendet (Reverse Lookup). Ist die DNS-Prüfung beim Blacklist-Server positiv, wird die Annahme von Mail verweigert.
  Manche Blacklist-Server-Betreiber bieten die Möglichkeit, im lokalen Nameserver eine entsprechende Slave-Zone einzurichten, um die DNS-Anfragen zu beschleunigen (z.B. http://www.mail-abuse.org/).
• Einrichtung
  Editieren Sie /etc/postfix/main.cf und fügen Sie folgende Zeilen ein. Passen Sie die rbl_domains auf den (die) Server an, den (die) Sie verwenden wollen. Informieren Sie sich vorher, welche Server hier zur Verfügung stehen. Manche Server können auch nur nach einer kostenpflichtigen Registrierung genutzt werden. U.g. Server müssen nicht funktionieren!
  

                  smtpd_helo_restrictions = reject_maps_rbl
                  maps_rbl_domains = blackholes.mail-abuse.org, relays.osirusoft.com
                  

  Lesen Sie die Konfiguration neu ein:

                  rcpostfix reload
                  

• Vorteile
  Wenig zu konfigurieren und effektiv. Das Aktualisieren der Listen wird vom jeweiligen Serverbetreiber vorgenommen.
• Nachteile
  Erhöhte Netzlast, da für jede SMTP-Verbindung eine zusätzliche Nameserveranfrage gestartet werden muss. Es wurden auch schon Probleme (Ausfall des Mailsystems) berichtet, wenn z.B. der Nameservice nicht richtig funktioniert. Weiterhin ist nicht ausgeschlossen, dass Absender versehentlich gelistet werden. Sie haben keinen Einfluss auf den Inhalt der Blacklist.

Weitere Maßnahmen