SPAMメール対策どうしてる?
dozikko_geki_love@yahoo.co.jp cyrus-saslの安定版で一番新しいバージョンどれか
知ってる人教えてメカドック。 >>116
MailWasher漏れも入れて見たけどいい感じやね。
>>117
SPAM送信元にエラーメール返すだけだから他に迷惑は
掛からんと思うけど、何が問題なんでしょ?
>>121
今さらSPAMメールのFrom:が正しいなんてことはあり得んだろう。
常識的に考えて・・ >>122
あー確かになんぼでも偽装出来ますな…。
しかしエラーメールで返してやったら確かに来る数が極端に減った訳で。
100通/日位で届いてたのが2,3通/日位にガタ落ちに。
そーいや最近覚えのないエラーメールが大量に届くことってなくなったよな。」 starpit + spamassassinで対策中。 >>124
キャッチオール設定にしているうちのドメインは1ヶ月に一回ぐらいFrom詐称されてます。
多いときは1日数千通のエラーメールですね。
あとは日常的に
icq1@ icq1nn@ spm@ ml@ catchthismail@
mlx@ contact@ icq1s@ cq1n@ xrbz@ pm@
mln@ helloitmenice@ guest@
これらのアカウントにSPAMが来る。
エラーメールはSPAMよりフィルタしにくい分迷惑 >>87さんの意見への間接的な批判発見
ttp://s25r.blogspot.com/2007/05/blog-post_8973.html
tarGreyも知らん連中が「お前の知識は古くて参考にならん」ってどんだけwww >>130
tarGreyって何?taRgreyなら知ってるけどww 逆引きの無いゴミIPをカット
softbank.ne.jpを拒否
これで99%OK
procmail.rcの中身でいいのあれば教えてください。
敵も巧妙なのか20%くらい隙間ついてきます。
私が今やってることとして、iptableで中韓のアドレスを遮断。
spamassassin+bsfilter+procmailrcでの振り分けです。 taRgreyで、spam弾きの練習しています。
spamをたくさん欲しいのですが、
どっかナイスな宣伝場所はないものでしょうか?
http://pigmon.ddo.jp/
contact@pigmon.ddo.jp >137 釣り?
出会い系サイトに登録すれば嫌でも大量に来る。
登録して無くても姉妹サイト?から止めどなくやってくる。 >138
ありがとうございます。
釣りじゃなくて、マジです。
出会い系サイトとは思いつきませんでした。
早速どっか登録してみます。 >138
早速3つ登録してみました。
おかげさまで、taRgreyでpostgreyが
動いていることが確認できました。
他にもどっかいいスパム業者があったら教えてくださいw 自分のサイトや、2chに貼ったのなら、
名簿屋のクローラーが巡回・収集して送ってくるだろよw >142
そうですね。そんな感じです。
Linuxの勉強をしています。
ITproで「S25R」を見て、今実装中です。
>143
第三者中継は大丈夫ですよ。
http://pigmon.ddo.jp/Relay_Checker_by_RB.pdf
spamcomにも登録はされていませんでした。
ただ、ログの読み方が完全には分からないので、
ちょと困ってます。
なんかHTML化してくれるようなツールがあるといいんですけど。 >144
ググれば山ほど書いてあるよ。HTMLにしたからって読めんのかよ。 >145
ちがうよ。AWstatsみたいに見やすいといいなってこと。
ま、おっしゃる通りちょとググって見ますわ。 pflogsumm入れてみました。
http://pigmon.ddo.jp/pflogsumm20080414.html
う〜ん、ちょといまいちかな。
他に探して見ます。 http://pigmon.ddo.jp/
チョト変えてみた。
もっとたくさんSpam欲しいんだけどな。
なんかナイスな海外掲示板ありませんか?
中国とか韓国とかやばそうな国で宣伝しまくりたいんですが。 アングラサイトでアカウント登録しまくってみる。
出会い系・アダルト系のサイトに登録してみる。
パチンコ雑誌を買ってきて、広告出してる金貸し業者に登録してみる。 >149
ありがとうございます〜。
アダルトサイト(出会い系)はやってみました。
taRgrey対策済みみたいで、くぐりぬけてきちゃうんですよね〜。
なんで今度はアングラ系でも行ってみます。
パチンコはやらないんで、あきらめます。 >>150
潜り抜けられるのはSPAMの何%ぐらいですか?
最近tarpitが回避されるって話を聞くようになりましたが… >151
う〜ん、ごめんなさい。統計の取り方が分からないもので。。
ただ、自分から登録した出会い系サイトからのメールは、
ほぼ100%すり抜けてきますね。
なんで、rejetct_heloで弾いちゃいます。
ただtarpit以前で引っかかっているメールのほうが多いです。
こんな感じです。
------------------
NOQUEUE: reject: RCPT from unknown[125.187.32.169]: 450 4.1.8 <win@clockmail.net>:
Sender address rejected: Domain not found; from=<win@clockmail.net>
to=<contact@pigmon.ddo.jp> proto=ESMTP helo=<m19.mailyes.net>
NOQUEUE: reject: RCPT from kcc-202-178-81-110.kamakuranet.ne.jp[202.178.81.110]:
504 5.5.2 <104/.@x>: Sender address rejected: need fully-qualified address;
from=<104/.@x> to=<contact@pigmon.ddo.jp> proto=ESMTP helo=<pigmon.ddo.jp>
------------------
ま、自分のアドレスがまだそんなにブラック業者に
出回ってないせいでしょうか。出回るこれからが勝負ですね。 >>152
その手の業者は、なんの工夫もせずに送ってきてるから逆にすり抜けちゃうんだよ。
qmailとかをそのまま使って送るから、tarpitもgreylistも効かない。ある意味最強。
heloとかで拒否するのが現実的だね。 >152
そう、今そのheloで困ってます。
自分から仕掛けといて、困るもくそもないんですが。。
すり抜けてくるやつらの、helo(orEHLO)コマンドの
内容が分かんないんです。
logwatchとかmaillogとかに、載っていると思って
漁るんですが、何てheloを打ってきたのか
載ってないんですよね。
これからちょと@ITの会議室で質問してみます。
よかったらみなさんあっちで回答ください。
登録制なのが面倒ですが。。 postfixなら設定で、全てのメールの>>152でrejectしたときのログと同じのを吐かすことが可能。
全ての条件でWARNを掛けれるようにすればいい。 フリーメール使ったり
ブロックしたり
フリーツール使用しています。
でも半分減ったが3,4件来ます。
嫌ですね。
なにか対策ないかなぁ。 接続元が知らない国の場合IPをサブネット単位でフィルタ。 自分はもうメンドクサイからレン鯖の方に回して、
フィルター後自鯖に転送するようにした。
快適 俺の場合だと国内は9割が出会い系(特にエルメディア、ウィンズ多し)だが
JPNICで範囲洗ってiptable入り、、、もしくはheaderchecksとかでエラーメール
返すのがいいのか、迷い中 >>161
エラーメールであろうと、何らかの反応を示すのは逆効果って話を聞く >>161
あぁ、確かにそれもよく聞くね。
トラフィックにもよろしくないから、しつこいとルーターレベルでお帰り頂く事に
するわ。そのほうがログも吐かないし。 おれはスパムの統計を取っているが今月15000個来た。
いままで圧倒的に多かったUS発を抜いて、スパムのおよそ1割がトルコ発。
それも全部がリモホの逆引き設定なし。
ちなみにワースト10は
1385 TR
1376 US
1172 RU
1080 GB
0921 CN
0862 BR
0706 KR
0455 IN
0421 DE
0410 CO , ES
アメリカが少なくなって来て近隣国やヨーロッパが増えた。 すいません。どこで聞くのかわからないんで、ここで聞きます。
迷惑メールのフィルターデータベス会社で
バラクーダとクラウドマークではどちらが優秀ですか?
>>162
無反応だと生きていると思われるからアドレス販売業者の思うつぼじゃないのか。 とりあえず ずーっとブロックし続けてるが初めこのサイトに
メアド乗せたのがまちがいですた。
その頃ネット初心者ですたので
とりあえずスパム送るやろー どっかの組の下っ端だか分からんがムカツク
うざい あとを絶たないでイタチゴッコだが妙にムカつく犯罪だぞ。これ。
いまにパクられるしな。どうせやっつけられて
皆無視しろ。当たり前だが 自鯖にしつこく接続に来るのはhinet.netとseed.net.twくらいかな。
rejectしてるので特に問題ないですね。
ISPのメアドのほうに国内からのSPAMが微妙に増えて来たので
レン鯖の業者とかISPにクレームしてます。
やっぱり丸紅インフォテックからメアドとか流出したのが効いてきたのかなこれは 中華電信亞網とかはipfilterやipfwレベルで弾くのがお勧め。 ウチは中国、韓国からはメールに限らず全部接続拒否。
国内組は誘導ドメインベースで判断する自作スクリプトで弾いてます。
でも2日に1通くらいは届くんだよね〜 >>174
撃ち返す相手は本当にSPAMの送信者なのかい? なんか今日突然バウンススパム大量に送りつけられた。
今は収まったけど防ぎようが無いのは困るなぁ。 うえ・・・今日は中国・タイランドIPからのランダムメアド攻撃がえらい多いな
きっちり20回づつ試してるところをみると負荷攻撃かな・・・
全く無駄なことを >>177
ウチは昨日が多かった。
script で iptables で弾いちゃうから、最終的にどの程度来ているのか
判らないけどね。
つーか、先月の米韓へのDDos 攻撃の間がなぜか一番多かった。
日本のドメインなのに・・・orz >>178 ごめんそれは月曜日のログでした、同じですね
んで、火曜日はUser unknownが倍増ですw
何だろう日を変えてスパム通過実験でもしてるんですかね・・・
無駄なことを >>178
iptableで弾こうにも、元ipが全部違うんだが。これがbot netから来てるってやつなのか? >>179
昨晩からまた、急増。
現在も、複数のIPアドレスからBrute force attack的な状態になっている。
1秒間に 400 コネクションとか張ってくるなよ。
万が一のためにと思って作っておいてツールが大活躍です。
>>180
恐らくそうでしょ。
不定期だけど先月から量が極端に増えている・・・
なんの bot なのかは判らないけどね。 ユーザーID部分をランダムではなくリストらしきものから生成して送ってきてますね
ただアレックスとか日本名ではないリストらしく蹴られて居るとい感じ
日本語名のDB使われると面倒だなぁ、まぁIPでもころしているしアサシンやウイルスチェック
でも蹴られるのでほとんど通る事はないだろうけど厄介なBOTですね >>182
確かに、ランダムでは無いね。辞書を使っていると思う。
ただ、今日のログを見ていると aizawa.hideakiとかyuuji.yokoe、h_hirosi、akira_terada
って感じに明らかに日本語の単語も混じっているから成長しているように思えるよ。
これ、嫌な感じだよね。 メールアドレス辞書攻撃
10日分から大体IP枠が絞れた
078.187.000.0/19
078.187.032.0/20
078.187.048.0/21
080.040.000.0/13
089.248.119.0/24
115.080.000.0/14
190.002.032.0/19
190.042.187.0/25
190.081.005.0/25
200.067.227.0/24
200.071.160.0/20
201.040.000.0/15
201.236.128.0/18
207.044.128.0/17
220.130.195.0/24
結構多いなw
>>184
集計乙!
でも、/14 /18 とか入っていたら影響でかすぎで、使えないよぉ。 >>185 ブラジルとかなら殺しても良いかな防火壁に設定してみようっと
78.187って・・・
あぁ0〜55なのか どーも、先週頭くらいから新しい bot がはやっているみたいだね。
log を見ていると、greylistingを突破するロジック搭載ぽい。
今は、tarpitting、greylisting、log 監視して iptables の更新
をやっているけど・・・
新しいツールを考えないとだめだ。
何か良いアイデアない?
国単位でブロックしてる。
許可してる国でも逆引きできなかったら拒否。
spamしか投げてこないドメインはtarpittingで超待たせてる。
User Unknownを繰り返したら即ブロック。
(あくまで自宅の個人専用鯖の話だからね) iptables の hashlimit で 75/min でかつ
smtpd_client_connection_rate_limit = 50/minに絞っていてもこの様ですよ。
Sep 2 22:45:39 hoge postfix/anvil[23910]: statistics: max connection rate 81/60s for (smtp:207.44.254.106) at Sep 2 22:38:40
Sep 2 22:45:39 hoge postfix/anvil[23910]: statistics: max connection count 57 for (smtp:207.44.254.106) at Sep 2 22:38:40
Sep 2 22:45:39 hoge postfix/anvil[23910]: statistics: max message rate 50/60s for (smtp:207.44.254.106) at Sep 2 22:38:40
Sep 2 22:45:39 hoge postfix/anvil[23910]: statistics: max recipient rate 997/60s for (smtp:207.44.254.106) at Sep 2 22:39:40
>>190
そうだよ。
絞る前は、300 connection とかあった。 >>191 >184 207.044.128.0/17
ビンゴだねw
8月の頭からきてるってことだな >>191
postfixだよね?だとすると同一IPからの接続ってデフォルトの設定だと50じゃない?
なんで300も接続許してるんだろう。 >>193
実験
どの程度張ってくるのか興味があったから、一時的に
設定変更して遊んでみた。 辞書攻撃の SPAM その後
Brute force attack攻撃的な現象が続いたので、
iptables hashlimit や、postfix の smtpd_client_connection_rate_limit などで
帯域を絞り攻撃が来なくなったなぁ・・・と思っていたら
同一ホストからは、5分に1通
様々なホストから、10秒に1通
Slow Scanning 的な手法が観測されました。
対策なんて無理だ!! >>195 だから、上のIPリストみたいので元からはじくのがいいんじゃね?
メーラーじゃなく防火壁で殺せば良い
どうせチョンのスパマーだからそんなのISP単位でぶち殺しておっけじゃね >>196
CK Filter やら国別 Filter は、知っているし家では、使っております。
仕事で管理している大きめの所では無理。
板違いなのは承知しています。
技術系の板で SPAM 対策のネタが書けるのが
ここくらいなので・・・ごめんなさい。 >>197 今回のスパムの傾向として
・同じIPでアドレス変えて打ってくる
から、そのロジックでmaillogからIPとアドレスだけ抜き出してIPでソートしてアドレスの変位でrejectフィルター更新するシェル組めばいいんじゃね? >>198
アドバイスありがとう。
職場で log を追いながら相関関係を見ているのですが・・・
Source IP Address が一回しか使われていないケースも
結構あることが判りました。
また、RCPT 時点で Reject しているため MAIL FROM: <> であること以外、
log からは特徴がつかめません。
じゃあ、MAIL FROM: <> で抽出したら?って話になりますが、
RFC2505 で禁止されているので、これも出来ません。
しかも、攻撃中一度しか送信してきていない Host は
本当に多種で、国内某大手ISPやら某ホスティングなど
RejectやFilterしては駄目なHostも多数見られます。
最初は辞書攻撃に反応するロジックを考えれば良いと思ってましたが、
導入すると副作用の方がかなり高くなる可能性が高いので
根本的な解決は無理と結論付けました。
botnet 恐ろしや・・・
スレ汚し、ごめん。 >>199 一回だけのは今回の流れで言ってるSPAMメールと関係ないだろ?
おまえいったい何の話してるの?
まさかすべてのSPAMパターンを1種のロジックでなんとかしようなんて妄想してんの? >>200
説明が悪かった・・・すまない。
IDS的に言うと、「Slow Scanning 」的な手法で
様々な Host から、ゆっくりと辞書攻撃を仕掛けてくる。
当初、複数回投げてくる Host の存在だけが目立っていたけれども
よくよく調査してみたら、Uniq Host の方が圧倒的に多かった。
だから、辞書攻撃に対する対策がこれ以上は難しい。
という意味なのですが・・・
なにか、防御機能として良い案ある? >>201 パターン化できない限りパターン防御はできない
問題は、本当にそこにパターンは存在しないのか? という点だね
ヘッダ・本文・経路・ホスト・ISPなど 本当にランダムなのかな?
もしも上記のすべてが完璧なまでにランダムならソレは予防(アクティブ)は不可能
どうしてもパッシブなイタチごっこになるよね
良い案というかこっちは君の出す情報しかないんで本文もヘッダも何一つわからないからね
ウイルスソフトやスパムアサシンのフィルター機能や、ブラックリストチェック、MTAの各種フィルター
防火壁やISPのチェック機能、MTAを稼働するOS上での独自フィルター、これはすべて
・パターンチェック
でしかなく、未知の新手法には対応できない
辞書攻撃なら辞書の傾向あるような気もするし、無限にあるであろう中継サイトもパターンはあるような気もする
管理者である限り放棄はできない以上なんか考えなければアカンやろ
そうじゃないなら来たSPAMを二度と来ないように1メールずつ殺していくしかない それだけのことだ >>202
アドバイスありがとう。
今のところ、上で書いた攻撃手段は1回しか
観測されていないという言い訳もあって、送信元のIPを
細かく分析しきれていません。
他の業務もあるので、少し後回しになるかもしれないけど
もう少し考えて見るよ。 MAIL FROM:<> ということは辞書攻撃とかじゃなくて、単純に backscatter でしょ。
BACKSCATTER_README を読んどけ。
これだけで防ぎきるのはムリだけど、だいぶ軽減できるはず。 死刑なんて緩いネ。
ネット接続遮断で十分。タイムアウト地獄で自爆してホスイ。 spamassasin使ってる人に質問
/usr/local/bin/spam-filter の
下記送信先に、spamメールが配送されますが、
それをどこにも送らないようにするにはどうすればいいでしょうか。
cat | $SPAMASSASSIN -x > in.$$
grep -e "^X-Spam-Status:.Yes" in.$$ \
&& $SENDMAIL "送信先" < in.$$ \
|| $SENDMAIL "$@" < in.$$
スパムアサシンとprocmail使って消してる。
/etc/procmailrcに以下の設定+個別対策してるわ。
当然、全部が全部はじけないけど、都度パターン見つけて追加してってる
:0 B
* ^ (2\..|3\..|4\..|5\..|6\..) URIBL_.._SURBL.*
/dev/null
:0 B
* .*http:/.*(\.pl|\.be|\.cz|\.my|\.za|\.nl|\.hr|\.in|\.cl|\.br|\.at|\.il)/.*
/dev/null
:0 H
* ^Return-Path: .*@.*(\.pl|\.be|\.cz|\.my|\.za|\.nl|\.hr|\.in|\.cl|\.br|\.at|\.il)>.*
/dev/null
:0 H
* ^Subject: .*(Valiun|Viagra|Vicodin|Watche|Xanas|Levitra|Omega|Penis|Penns|Pharmacy|Phentermin|prescription|Propecia|Replica).*
/dev/null
:0 H
* ^Subject: .*(Rolex|Fake|Hydrocodone|Discount|Erections|Ambiem|Cialis|cheap |Codeine).*
/dev/null
:0
* ^Subject: .*\.jp .*
* ^Subject: .*(Alert|Order|News|Sale) .*
/dev/null
:0
* ^Subject: .*(degree|Sale.*..% off|Pills).*
/dev/null メールサーバで受け取ったメールを一端gmailに送って、それをメールサーバで
受け取って各メールボックスに配送することはできますか?
i'm fine good work <a href=" http://urbania4.org ">amitriptyline price uk</a> Present Patient Care Presentation >>213
それ以外に特に制約条件が無いなら技術的には可能。 分かる方ご教示ください。
サーバがspamの踏み台にされたっぽいです。
CentOS5でpostfixとsasl2のSMTP認証使っています。
http://www.rbl.jp/svcheck.php
このサイトのチェックではno relays accepted.
と表示されるので安心していました。
nagiosでmailqの監視をやっていてアラートが上がったので、
見てみると不到達メールがたくさんありました。
clamd+amavisdでウィルス対策しています。
更に調べてみるとamavisのログに
Passed CLEAN {RelayedOpenRelay}, [接続してきたIP] <接続してきたメールアドレス>
こういうのがありました。
spamのあて先は50件すべて自ドメイン宛ではないです。
OpenRelayログ事態は以前からありました。
mynetworks =自分のネットワーク、localhost
と指定しているので、記述内アドレスからはオープンリレーと同じはずです。
それで気にしていませんでした。
接続してきたIPは未知のアドレスです。
何でチェックサイトでは拒否できて、postfixで拒否できなかったのか、
何でamavisがオープンリレーだと言っているのか、
分かる方是非教えてください。 >>217
どうもそうみたい。
どうやらsasl2の設定が悪そう。
salsdblisetusersで出てこないUNIXユーザが何故か認証されていた。
接続してきたホストは既にspamcop.netに登録されていたので、
しばらくは大丈夫だと思う。 えっちぃ絵をリクエストすると誰かが描いてくれるかもしれない素敵なスレ【R-18】
http://hayabusa.o p e n 2ch.net/test/read.cgi/news4vip/1423739321/ 特定の大型顧客の過去案件が件名になってるspamがくるんだけど、その客先のサーバーがhackされたんですかね?
送信者もその案件の関係者騙ってるけど、メールアドレスは全然別物です
その客先以外の案件は騙ってこないので、うちからの流出は考えづらいのですが 最近のSPAM、dkimとdmarcが最初から付いてない DMARC採用するにはDKIM必須ですか?
SPFだけじゃダメ? p.s.
受信するだけなら SPF のみでもおっけーだけどそういう話じゃないよね? DKIMないと
なりすましされたことが
レポートでわかるくらい? レンタルサーバだからDKIM無理だけど、
DMARC付けておいた方が良いとかありますか? DKIM無理なレンタルサーバからDKIM使えるレンタルサーバに移転すべき時期 SPFレコード書くとき、
サブドメインがあるときは、
サブドメインのTXTレコードにも書く必要ありますか? >>229
両方必要@とサブドメインにそれぞれ設定
中継サーバーがあればそれらもインクルード 使っている(レンタル)サーバはdmarcに対応してないです。
SPFだけ。
それでも_dmarcサブドメイン作って置いた方が良いのでしょうか? >>232
作っちゃダメです
サーバーが対応していないのにレコードを作ってしまうとhardfailになります SPF
DKIM
DMARC
でスパム迷惑メール撲滅できるの?
現在はSPFしか設定してないけど、手間の割には撲滅できないなら導入止めようと思うんだけど。
どうですか? DKIM&DMARC対応スパムもあるから完全には無理かな。うちでは Postfix で逆引きできないホストを全部弾く方がスパム避けになってる。 >>234
結構減る
あと「お前のPCハクした。お前が見てたエロ動画とお前の4545のマッシュアップ動画作った
連絡先に動画を送信されたくなければBTC払え」は完全に来なくなる
手間はワンタイムで効果は継続だから導入の一択でしょ >>236
>結構減る
>完全に来なくなる
どっちだよ。
完全に無くなるというのは、なぜ言い切れるの? >>234
> Postfix で逆引きできないホストを全部弾く方
以前はそれやっていたけど、ここ10年くらいから逆引きできない国内鯖増えてきたから止めたんだよね。
メルマガ系でもトラブル多くなったし。
現在は https://ipv4.fetus.jp/からwgetで取得し、cn, hk, kr, kp, ru, irを弾くだけで98%はOK。
さらにSPF,DKIM,DMARC で弾けるならうれしいが。 >>238
BTC恐喝はターゲット、つまり俺自身のメアドで送信してくるよね
だから自ドメインのSPFやDKIM導入でhardfailにでき、完全に阻止できる
一方、SPF/DKIM/DMARC設定済みドメインで送信されるspamもあるから、こっちは完全じゃない >>239
あー、確かに。最近はメールをあんまし使わなくなったのでホワイトリスト手動更新でなんとか対応できてるけど。
IPv6なアドレスもちらほらあったりするからやめ時かな。 test@hostxbay.com
このアドレスがらみのアクセスどうにか出来ないかねえ… GoogleがDNSにDMARCレコードのないドメインからのメールを受け取らなくなるというのは本当ですか? 一斉メール配信サービスはDKIM対応、WEBArenaメールホスティングはDKIM非対応の混在環境の場合、DMARCは設定すべきでないと思っておりますが皆さんの意見をお聞きしたいです。
因みにAIのコパイロットはすべきでない、人間のサポートは設定しても問題ないと答えています。
ドメインは両サービスとも同じです。
たすけてください。 どっちも正しい…というか回答出来ない。
DMARCはDKIMをパスしないとパスしない。
でもDMARCのポリシーをNoneにするなら設定してもパスしなくても問題無い。