Dotaz: Exim analýza logu (neobvyklé stavy)

[VM]

Zdravím,

v souvislosti se stále se častějším problémem se zneužíváním legitimních účtů pro rozesílání SPAMu bych potřeboval nějak systémověji řešit analýzu exim logu, aby se dalo v přijatelné reakční době zakročit proti rozesilatelům SPAMu - typicky nějaký hacknutý PHP skript nebo zneužitý login k SMTP účtu. Obvykle se to zjistí, až když je příliš pozdě (mailserver je na blacklistu apod.).

Jde mi o to, aby to reportovalo neobvyklé stavy (např. běžný hodinový průměr v tuto dobu je 1000 mailů, nyní je 5000 => warning), ideálně i nějak per-user nebo per-domain (na serveru je hromada virtuálních domén).

Existuje něco podobného (hledat na google jsem zkoušel, ale asi blbě)? Používáte s úspěchem něco? Nebo si to budu muset naskriptovat ručně? :)

Díky za odpovědi.

Odpovědi

[NN]

Jenze takto se to nedela, k tomu se pouziva antispam/AV reseni jako spamassassin, clamav atd..

NN

[VM]

Nevím o žádném větším poskytovateli, který by skenoval přes SA/ClamAV veškerou ODCHOZÍ poštu. Navíc se obávám, že by to přineslo víc škody než užitku (živě si představuji stížnosti uživatelů, že jim nejde odeslat pošta kvůli .... ). Instalovat+konfigurovat SA na každý server, ze kterého se může odesílat pošta (obzvláště desítky různých webserverů) mi přijde trochu zvláštní řešení, které navíc bude mít pochybnou účinnost (ano, asi by to šlo řešit routingem veškeré pošty přes jeden centrální server, ale to zas není ideální z mnoha důvodů). Nebo se to opravdu někde v reálném světě takto dělá a já jsem jediný, komu to přijde jako špatné řešení?

[Kriegel]

V realnem svete se vse routuje skrz gateway(s). Obcas AV kontrola, ale ne kontrola na spam -- v pripade, ze to jde z vnitrni site se kontrola smrskne jen na "body check", coz je jen subset oproti beznemu komplet scanu, tudiz efektivita v porovnani s pozadavkem na vykon nic moc a tedy se bezne neprovozuje...

Taky na konfiguraci a spravu je to mnohem efektivnejsi.