Dotaz: email a antispam

[chinook]

Jak se ma spravne resit tato problematika?

1) Pokud je spam pozitive,tak jej zahodit nebo dat do karanteny a nikomu se o tom nezminovat

2) Proscanovat online a pokud se jedna o spam, tak poslat serveru zpravu o nedoruceni

3) Hazet to uzivatelum rovnou do schranek do slozky SPAM

4) Pouze oznacit predmet jako spam

Jake reseni je podle vas idealni?

Dale mam jeste dotaz. Mam nejaky smtp.server. Jeho IP neni na zadnem blaclistu, ale obcas pres nej neco odesila nejaky klient z ruznych pofidernich siti, ktere jsou na blacklistu a antispam na druhe strane pak email oznaci jako spam, protoze byl odeslan z IP co je na blaclistu. Pritom server je duveryhodny. Je to normalni chovani toho antispamu? Jak se toto resi?

Odpovědi

[pupu]

To zalezi na podminkach, v jakych pracujes. Pokud jsi ISP a mas stovky tisic schranek, poridis si technologii, ktera naprostou vetsinu spamu odrazi jeste predtim, nez vubec dojde na jejich analyzu (klicova slova 'reputacni databaze', pripadne 'ironport' ). Zbytek je asi nejvhodnejsi oznacit jako SPAM v subjectu a dat uzivatelum navod, jak si pripadne nastavit u schranek filtr.

Pokud jsi mensi firma, pouzijes nejspis v prvni linii hruby filtr (klicove slovo 'greylist') a zbytek poladis podle dohody s uzivateli - napriklad podle urovne spamovosti (spam-level ve spamassassinu) bud zahodis, nebo oznacis a pustis dal, nebo rovnou pustis.

Pokud jsi koncovy uzivatel, je to na tobe.

Co se oznacovani mailu pochazejiciho z divnych siti tyce, je to regulerni postup. Pokud tomu chces zabranit, nastav si server tak, aby cestu maskoval - tj. zahodil vsechny Received: hlavicky, ktere v mailu uz byly.

[chinook]

Pokud jsi mensi firma, pouzijes nejspis v prvni linii hruby filtr (klicove slovo 'greylist') a zbytek poladis podle dohody s uzivateli - napriklad podle urovne spamovosti (spam-level ve spamassassinu) bud zahodis, nebo oznacis a pustis dal, nebo rovnou pustis.

Spis toto sedi na muj pripad. Greylistu bych se rad vyhnul. Nelibi se mne zpozdeni emailu. Zajima me hlavne bud zahodis? To muzu zahodit i false-positive. Nebylo by lepsi to ani neprevzit? Scanovat to nejak takto Spampd as a Before-Queue Content Filter? S uzivateli je domluva ruzna. Ty bych do toho radsi ani netahal.

[pupu]

Pokud nemas dostatecne duveryhodnou reputacni databazi, je greylist patrne to nejucinnejsi, co muzes pouzit. Zpozdeni mailu se da eliminovat, pokud ti to dovoli charakter provozu - dopisujes si temer vyhradne s nekolika domenami nebo primo konkretnimi uzivateli? Fajn, dej je na whitelist. Greylistova reseni tyhle veci vetsinou podporuji. Pokud se bojis false positive, dej si limit pro zahozeni hodne vysoko. Kazdopadne bych vrele doporucoval postupne ladeni, jak na urovni pridavani dalsich stupnu ochrany, tak na limitech.

[chinook]

Tech domen neni zase tak malo, takze na whitelist bych se taky spolehat nechtel. Vim, ze greylist je ucinny, ale nekdy klient chce dostat email hned. Na serveru mam spamassassin se sagatorem. Pokud se jedna o spam email je ulozen do karanteny. Funguje to celkem spolehlive, ale urcite se obcas stane, ze zahodi regulerni postu. Coz bohuzel nikdo nepozna. Rad bych to nejak vylepsil. Podle me by se mel email pokud jej prijmu dorucit. Takze bud to vratit pred prijmem nebo dorucit do schranky. Je to spravna uvaha?

Kdyz dam limit pro zahozeni hodne vysoko, tak zase projde spam. To se mne taky nezda jako reseni. Je jasne, ze obcas nejaky spam projde, ale chci to minimalizovat.

[pupu]

To, ze se obcas zahodi regulerni posta, je tvuj dojem, nebo fakt? To si muzes overit, pokud budes nekam ukladat vsechno, co ma prijit ke smazani, a obcas si to projdes. Pak muzes doladit konfiguraci systemu. Pokud chces mit 100% jistotu, pust vsechno, oznacuj treba jako LIKELY_SPAM a SPAM a hromadne uprav uzivatelum jejich filtry (s moznosti vypnout/editovat). Nebo se podivej na IronPort a zacni setrit

[chinook]

Je to odhad. Spis to bude 1 email denne co je oznacen jako false pozitive. Pravidla jsou nastavena celkem vysoko. Ok takze navrhujes oznacovat postu a nejlepe predavat rovnou do schranek do slozky SPAM a LIKELY SPAM? Proc nepouzit Before-Queue Content Filter a tak postu vubec neprebrat? Jake to ma uskali?

[pupu]

Muzes vyzkouset, ale pak se muze snadno vyskytnout bordel v samotne komunikaci. Nektere maily treba prijdou dvakrat, jine prijdou a zaroven dorazi nazpatek upozorneni na nedorucitelnost, nenadaly priliv mailu ti uvari server... ja k tomu moc duveru nemam. Kdyz uz jit timhle smerem, tak spis pres tu reputacni databazi a nedovolit bud ani connect, nebo zabit session okamzite a ani nic nehlasit.

[chinook]

Diky to jsem chtel vedet. Taky mne napadlo, ze by ten stroj sel lehce zahltit. Ale proc by nektere emaily prisly 2x. Zase moc laborovat s tim nechci, protoze potrebuju, aby server stale fungoval a dorucoval postu. Proto se ptam tady na foru, jake kdo ma s tim zkusenosti.

[pupu]

Protoze odesilatel si bude myslet, ze jsi mail neprevzal (protoze mu treba vytika timeout na odesilani nebo mu neco po ceste zavre spojeni), zatimco ty obsah zatim prechroustas a odesles adresatovi. Jakmile nekde muze byt otevrena sessna relativne dlouho a zaroven pres ni nic netece, je to riziko.

[nejsem]

mne se jako dobre reseni jevi pouzit greylist jenom na maily ze zahranici. extremne ucinne ve firmach je taky zablokovat cokoliv z asie afriky a jizni ameriky, ale to se samozrejme neda pouzit vsude.
no a ve spamassassinu toho pouzit, co nejvic muzes (co utahnou stroje). zase se neco jinyho pouzije, pokud jsi ISP nebo webhosting, ktery musi prijimat odevsad. pokud resis ve firme, muzes nasadit takovy veci jako je treba DCC a dat mu vysokou hodnotu (DCC je pozitivni jenom u masovych mailu), autowhitelist (ale ten muze bobtnat rychleji, nez te napadne), blacklisty (pokud tech mailu nemas moc, tak jsou blacklisty zadarmo), pripadne (pokud mas silny stroje se spamassassinem a maly pocet mailu) i treba fuzzyOCR na scanovani obrazku.
Mne se jako rozumny reseni jevi postu se score 5-10 davat do slozky lightspam, 10-20 do slozky spam a nad 20 zahazovat.
zatizeni stroju se spamassassinem se da ladit, kdyz budes pouzivat spamc a spamd. spamc ma parametr, ktery urcuje maximalni velikost scanovane zpravy - vetsina spamu ma do 80kB a snad vsechny do 125kB. zbytek muzes poustet jako ham.
preju hodne zdaru.