Stavíme poštovní server – 10 (spam + viry) (diskuse)

[Lubos Kopecky]

mozna jsem je prehlidnul, ale u ty sekce pravidel @av_scanners pro clamav bych jen doplnil, ze jsou jiz jako odkomentovane uvedeny v souboru 15-av_scanners, ze je neni nutne tedy kamkoliv psat.

[Martin22]

Jeste bych mozna zaradil do pristiho nebo nektereho dalsiho dilu FuzzyOCR http://fuzzyocr.own-hero.net/ , v dnesni dobe chodi spousta obrazkovych spamu, ktere nelze pres samotny Spamassassin prilis dobre rozpoznavat.

[Vladki]

Zajimalo by mne jestli u postfixu jde udelat antivirovou a antispamovou kontrolu i jinak nez cestou postfix->amavis->postfix->mailbox. Tato cesta ma totiz jednu zasadni nevyhodu. Pokud amavis rozhodne ze se jedna o vir nebo spam tak ma jen nasledujici moznosti:

1. tise zahodit 2. hodit do karanteny 3. oznackovat a pustit dal 4. zahodit a poslat nedorucenku 5. odmitnou pro smtp konverzaci mezi amavisem a postfixem

Problem s 5. variantou je ze postfix uz prijeti potvrdil, a tak musi poslat nedorucenku sam, tudiz je to podobne jako varianta 4. Vsechny tyto varianty jsou podle mne spatne. Varianta 4. a 5. otravuje casto nevinne lidi protoze je sfalsovana adresa odesilatele a my jen prispivame k sireni spamu. Varianty 1.-3. jsou vicemene rovnocenne, protoze karantenu nebo spambox uzivatele prohlizeji jen sporadicky, a pokud dojde k omylu tak o nem nevi ani odesilatel ani prijemce.

Podle mne nejlepsi zpusob je aby prijimajici smtp server (postfix) pockal na vysledek antivirove a antispamove kontroly a podle toho potvrdil nebo odmitl prijeti mailu. Pak je vyrozumeni o nedoruceni ukolem odesilajiciho smtp serveru a pokud slo opravdu o omyl, bude vyrozumen odesilatel. Pokud slo o spam tak je to jedno, hlavne ze to nas server neposila dal. S Eximem to jde pekne, ani nepotrebuju amavis. Exim si umi primo zavolat clamav a spamassassin a podle vysledku konat dal, ale jak to udelat na postfixu netusim.

Vi nekdo jak tohle nastaveni udelat na postfixu?

[core]

melo by to jit pres smtpd_proxy_filter

[core]

a demon clamsmtp pro clamav, jestli je neco podobneho i pro spamassassin nebo jak to zkombinovat nevim

[Vladki]

Aby clamsmtpd odmital inteligentne, muzi byt prvni v retezci prijmu mailu, a nevim jak je na tom s ostatnimi nastavenimi abych z nej nemel open relay ...

[Vladki]

tak ne... clamsmtpd urcite ne... viz dokumentace.

Action This option controls what clamsmtpd(8) does when it finds a virus. The options are:

bounce Bounce the email. In most cases this is not a good idea since many viruses spoof sender addresses.

drop Silently drop the email. Recommended.

pass Pass on the email. Inserts an 'X-Virus-Infected' header.

[ Default: drop ]

Opet pouze ty tri nevhodne varianty. reject to neumi...

[Vladki]

Z popisu v dokumentaci mi pripada ze to dela to same co content_filter popsane v clanku:

The proxy receives all mail from the Postfix SMTP server, and is supposed to give the result to another Postfix SMTP server process.

Takze mame opet proces: postfix - amavis - postfix - mailbox.

A tomu se ja chci vyhnout.

[trekker.dk]

Pro ty, kteří se ke článku dostanou přes Google...

Příslušná dokumentace k Postfixu je tady. Ve zkratce - přestože content_filter a smtpd_proxy_filter vypadá na první pohled stejně, je mezi nimi rozdíl s ohledem na to, jak Postfix v jednotlivých případech pracuje.

U content_filter se zpráva přijme do fronty Postfixu, Postfix klientovi potvrdí její přijetí a následně ji předá filtru. V případě, že filtr zprávu odmítne, je (měla by být) vygenerována zpráva o nedoručitelnosti

Varianta se smtpd_proxy_filter předává zprávu filtru předtím, než se uloží do fronty Postfixu (a tedy před tím, než se klientovi potvrdí její přijetí.) Pokud filtr zprávu odmítne, je klientovi toto odmítnutí sděleno ještě v rámci SMTP relace a není tedy potřeba generovat zprávy o nedoručitelnosti.)

[iwik]

Ano, presne tak, cez smtpd_proxy_filter to ide. This feature is available in Postfix 2.1 and later. Odporucam.

[Voty]

Pokud chceš rozhodovat co s mailem už v SMTP time (tedy ještě než Postfix potvrdí přijetí) tak existuje tusím clamav milter, pomocí které to lze zařídit. Večer kouknu doma do cfg jak to mám dělané.

[pupu]

Before-queue filter je IMHO dobra cesta k uvareni serveru, nesel bych do toho, alespon na vytizenejsich serverech. Kdyz uz jit touhle cestou, tak kvalitni reputacni databaze (www.senderbase.org, treba). U mensich instalaci nebyva problem s tim, ze by mel SA vetsi procento false positives, takze kombinace 1 (pri vysokem skore) a 3. Rozhodne ne 4.

[Vladki]

U mensich instalaci taky nebude problem s before-queue filtrem. Samozrejme je potreba napred co nejvic odfiltrovat pomoci DNS blacklistu, ci jinych pravidel ktera lze snadno a rychle vyhodnotit. Tim se mnozstvi mailu, ktere se dostanou az k analyze spamassassinem a clamavem, brutalne snizi. Je samozrejme otazka kde je hranice mezi mensi instalaci a vytizenejsim serverem. tisice mailu denne? miliony? jeste vic?

[pupu]

To uz je na prislusnem architektovi. Moje osobni hranice by se pohybovala mezi radem deset a sto tisic; pochopitelne by zalezelo na konkretni architekture (HW i SW). To je ovsem ciste muj soukromy nazor.

[Sláva]

A co takhle mailscanner? Nad tím nikdo neuvažoval? Je syce asynchronní, ale asi tak desetkrát rychlejší než amavis a lze tam nastavit prakticky cokoliv.

[depka]

smtp-amavis          unix    –       –       n       –       5       smtp
    -o smtp_data_done_timeout=1200
    -o disable_dns_lookups=yes

podle dokumentace a nektereho z prnich dilu serialu je v configu master.cf posledni sloupec nazev spustitelneho programu jez provadi sluzbu, v prikladu tedy smtp coz je soucast postfixu, jak podle tohoto nastaveni postfix pozna se ma spustit externi program amavis a ma mu predat zpravu?