Dotaz: Amavis a SpamAssassin rozdílné hodnocení

[chinook]

Mám propojen postfix přes amavis a na něj připojen SpamAssassin. Je toto řešení ještě používané? Nebo je něco novějšího?

Problém je v tom, že amavis nebere všechna pravidla ze spamassassinu.

Když email přijde přes amavis. Dostane od amavisu nižší hodnocení, podle mě nezohlední všechny online filtry:

X-Spam-Flag: YES
X-Spam-Score: 11.544
X-Spam-Level: ***********
X-Spam-Status: Yes, score=11.544 tagged_above=-999 required=6.31
        tests=[BAYES_80=5, HTML_IMAGE_ONLY_16=1.092, HTML_MESSAGE=0.001,
        HTML_SHORT_LINK_IMG_2=0.001, SPF_HELO_NONE=0.001, SPF_PASS=-0.001,
        URIBL_ABUSE_SURBL=1.25, URIBL_BLACK=1.7, URIBL_DBL_SPAM=2.5]
        autolearn=no autolearn_force=no

Ale když to proženu přímo přes spamassassin

spamassassin -D < /tmp/1569578500.M912590P30087.imap1\,S\=4452\,W\=4545\:2\,S

Content analysis details:   (18.4 points, 5.0 required)

 pts rule name              description
---- ---------------------- --------------------------------------------------
 1.2 URIBL_ABUSE_SURBL      Contains an URL listed in the ABUSE SURBL
                            blocklist
                            [URIs: evanpipta.co]
 1.7 URIBL_BLACK            Contains an URL listed in the URIBL blacklist
                            [URIs: evanpipta.co]
 2.5 URIBL_DBL_SPAM         Contains a spam URL listed in the Spamhaus DBL
                            blocklist
                            [URIs: evanpipta.co]
 3.0 RCVD_IN_ZENSPAMHAUS    RBL: Relay is listed in zen.spamhaus.org
                            [69.94.131.15 listed in zen.spamhaus.org]
 3.3 RCVD_IN_SBL_CSS        RBL: Received via a relay in Spamhaus SBL-CSS
 3.0 RCVD_IN_SBLSPAMHAUS    RBL: Relay is listed in sbl.spamhaus.org
                            [69.94.131.15 listed in sbl.spamhaus.org]
 2.5 BAYES_50               BODY: Bayes spam probability is 40 to 60%
                            [score: 0.5000]
 0.0 SPF_HELO_NONE          SPF: HELO does not publish an SPF Record
 0.0 HTML_MESSAGE           BODY: HTML included in message
 1.1 HTML_IMAGE_ONLY_16     BODY: HTML: images with 1200-1600 bytes of
                            words
 0.0 HTML_SHORT_LINK_IMG_2  HTML is very short with a linked image

Do spamassassinu jsem přidal toto, ale amavis to ignoruje:

header RCVD_IN_ZENSPAMHAUS        eval:check_rbl('zenspamhaus-lastexternal', 'zen.spamhaus.org.')
describe RCVD_IN_ZENSPAMHAUS      Relay is listed in zen.spamhaus.org
tflags RCVD_IN_ZENSPAMHAUS        net
score RCVD_IN_ZENSPAMHAUS         3.0

header RCVD_IN_XMLSPAMHAUS        eval:check_rbl('xblspamhaus-lastexternal', 'xbl.spamhaus.org.')
describe RCVD_IN_XMLSPAMHAUS      Relay is listed in xbl.spamhaus.org
tflags RCVD_IN_XMLSPAMHAUS        net
score RCVD_IN_XMLSPAMHAUS         3.0

header RCVD_IN_SBLSPAMHAUS        eval:check_rbl('sblspamhaus-lastexternal', 'sbl.spamhaus.org.')
describe RCVD_IN_SBLSPAMHAUS      Relay is listed in sbl.spamhaus.org
tflags RCVD_IN_SBLSPAMHAUS        net
score RCVD_IN_SBLSPAMHAUS         3.0

header RCVD_IN_PSBSURRIEL         eval:check_rbl('psblsurriel-lastexternal', 'psbl.surriel.com.')
describe RCVD_IN_PSBSURRIEL       Relay is listed in psbl.surriel.com
tflags RCVD_IN_PSBSURRIEL         net
score RCVD_IN_PSBSURRIEL          3.0

header RCVD_IN_BARRACUDACEN       eval:check_rbl('bbarracuda-lastexternal', 'b.barracudacentral.org.')
describe RCVD_IN_BARRACUDACEN     Relay is listed in b.barracudacentral.org
tflags RCVD_IN_BARRACUDACEN       net
score RCVD_IN_BARRACUDACEN        3.0

header RCVD_IN_DULSORBS           eval:check_rbl('dnsblsorbs-lastexternal', 'dul.dnsbl.sorbs.net.')
describe RCVD_IN_DULSORBS         Relay is listed in dul.dnsbl.sorbs.net
tflags RCVD_IN_DULSORBS           net
score RCVD_IN_DULSORBS            3.0

header RCVD_IN_SPAMFABEK          eval:check_rbl('ssfabek-lastexternal', 'spamsources.fabek.dk.')
describe RCVD_IN_SPAMFABEK        Relay is listed in spamsources.fabek.dk
tflags RCVD_IN_SPAMFABEK          net
score RCVD_IN_SPAMFABEK           3.0

header RCVD_IN_CBLABUSEAT         eval:check_rbl('abuseat-lastexternal', 'cbl.abuseat.org.')
describe RCVD_IN_CBLABUSEAT       Relay is listed in cbl.abuseat.org
tflags RCVD_IN_CBLABUSEAT         net
score RCVD_IN_CBLABUSEAT          3.0

header RCVD_IN_L1APEWS            eval:check_rbl('apews-lastexternal', 'l1.apews.org.')
describe RCVD_IN_L1APEWS          Relay is listed in l1.apews.org
tflags RCVD_IN_L1APEWS            net
score RCVD_IN_L1APEWS             3.0

header RCVD_IN_BLSPAMCANIBAL      eval:check_rbl('spamcannibal-lastexternal', 'bl.spamcannibal.org.')
describe RCVD_IN_BLSPAMCANIBAL    Relay is listed in bl.spamcannibal.org
tflags RCVD_IN_BLSPAMCANIBAL      net
score RCVD_IN_BLSPAMCANIBAL       3.0

header RCVD_IN_ANONMAILS          eval:check_rbl('anonmails-lastexternal', 'spam.dnsbl.anonmails.de.')
describe RCVD_IN_ANONMAILS        Relay is listed in spam.dnsbl.anonmails.de
tflags RCVD_IN_ANONMAILS          net
score RCVD_IN_ANONMAILS           3.0

Dostanu úplně jiné hodnocení. Otázka zní, jak nastavit amavis, aby to posílal na spamassassin přímo a nebo jak nastavit pravdila, aby měl stejné výsledky amavis, stejně jako když to pošlu na spamassassin.

Odpovědi

[MMMMMMMMM]

Není možné, že v době, kdy spam přišel, získal nějaké skóre a teď, ex post, když ten samý spam proženeš spamassassinem, je skóre vyšší, protože třeba konkrétně v době přijetí ještě nebyla IP adresa na blacklistu Spamhausu a nyní je?

[chinook]

Asi jsem měl chybu v syntaxi ve spamassassinu. Měl jsem tam navíc endif v local.cf. A nejspíš přímo to spamassassinu nevadilo a amavisu jo.

Filtrace spamu se výrazně zlepšila. Ale je ještě nějaká možnost jak více antispam poladit, aby spamu procházelo méně?

[j]

To hodne zalezi, co od toho chces...

Hodne spamu muzes zabit uz postfixem samotnym, jeste driv, nez prijde na radu amavis. Ale skoncej ti na tom pochopitelne i maily od tardu, ktery si neumej nastavit dns(ale ver, ze to problem neni, ti co stebou mailovat chteji, si to opravi).

Aneb:

smtpd_client_restrictions, smtpd_helo_restrictions, smtpd_sender_restrictions, smtpd_recipient_restrictions ...

Dalsi kus prace udela greylist, jen zas musis pocitat s tim, ze v zavislosti na konfiguraci odesilatele budou maily od nepravidelne komunikujicich chodit se zpozdenim klidne i hodin (a od dmentu ktery provozujou maily u M$ ti nebudou chodit vubec, protoze M$ maily proste neumi ani poslat ani prijmout).

Pak je dobry se zamerit na SPF, DKIM a dalsi veci. Pokud nejsou, muzes mailu zhorsit score, pokud jsou a nesedi, tak to klidne rovnou zahod ...

Dobry taky je cas od casu prosacovat spam vsech useru, a trebas ti z toho vykvete nejaka domena/rozsah IP/... kterej rucne odstrelis. Jednotlivy adresy ale nema smysl resit, kdyz uz tak aspon cely Ccko. Protoze tech spamujicich MTAcek tam bude zarucene vic.

Nekteri soudruzi (ale to uz je fakt hodne na hrane) preventivne banujou adresy ISPcek (jako trebas UPC a spol).