Spam Bekämpfung mit policyd-weight

el*Loco blogged

Freitag, 24. November 2006

Spam Bekämpfung mit policyd-weight

Da ich Andy gestern damit helfen konnte gibt es hier noch einen Eintrag zum momentan für mich am Besten mit Postfix funktionierenden Anti-Spam Tool: policyd-weight von Robert Felber.

Ab Version 2.1 kann Postfix die Entscheidung, ob eine Mail angenommen wird, an einen externen policy daemon delegieren. Für den von mir eingesetzten policyd-weight ist nur der Inhalt dreier SMTP Kommandos interessant: HELO, MAIL FROM und RCPT TO. Mit diesen Werten checkt das Programm DNS Daten, inkonsistente HELO Strings und kann RBLs abfragen und bildet daraus einen gewichteten Score, um Mails bereits während des SMTP Dialogs abzulehnen. Das spart Bandbreite, schont die CPU durch weniger Scans mit Spamassassin o.ä. Tools auf dem Mailserver und erspart rejects für fälschlicherweise auf einer Blackliste geführten sauberen Host.

policyd-weight fragt momentan folgende RBLs ab
• njabl.org (using dynablock. and dnsbl. zones)
• spamcop.net (using bl. zone)
• spamhaus.org (using sbl-xbl. zone)
• dsbl.org (using list. zone)
• ix.dnsbl.manitu.net (RBL of a german zine)
• ordb.org (using relays. zone)
Erst wenn mehrere Kriterien wie gefälschtes HELO, Eintrag in zwei RBLs und falschen Nameserver Einträgen zutreffen wird die Mail abgelehnt.

Die Einrichtung ist einfach:

cd /usr/local/bin
wget http://www.policyd-weight.org/policyd-weight
chmod +x policyd-weight

Dann entweder ein eigenes Init Script bauen oder im Laufe des bootens vor postfix starten:

/usr/local/bin/policyd-weight

Damit postfix den externen policy daemon ansprechen kann, wird die /etc/postfix/main.cf angepasst:

smtpd_recipient_restrictions = reject_non_fqdn_sender
  reject_non_fqdn_recipient
  reject_unknown_sender_domain
  permit_mynetworks
  permit_sasl_authenticated
  reject_unauth_destination
  check_client_access hash:/etc/postfix/policyd_weight_client_whitelist
  check_recipient_access hash:/etc/postfix/recipient-access
  check_policy_service inet:127.0.0.1:12525
 

Nach einem

postfix reload

sollten die ersten Meldungen im konfigurierten Maillog auftauchen. Ein Beispiel für eine abgelehnte Mail sieht dann so aus:

Nov 22 22:41:27 bigboy postfix/policyd-weight[5362]: weighted check:  IN_DYN_NJABL=3.25 IN_SBL_XBL_SPAMHAUS=4.35 NOT_IN_SPAMCOP=-1.5 NOT_IN_BL_NJABL=-1.5 BAD_MX=15.96 BOGUS_MX=9.7 CL_IP_NE_HELO=9.1 RESOLVED_IP_IS_NOT_HELO=1.5 (check from: .reflectionsofart. - helo: .localhost.)  FROM_NOT_FAILED_HELO=10.6 <client=88.108.67.36> <helo=localhost> <from=rcpost.com@reflectionsofart.com> <to=peter@pommesbude.org>, rate: 51.46
Nov 22 22:41:27 bigboy postfix/policyd-weight[5362]: decided action=550 Mail appeared to be SPAM or forged. Ask your Mail/DNS-Administrator to correct HELO and DNS MX settings or to get removed from DNSBLs; MTA helo: localhost, MTA hostname: 88-108-67-36.dynamic.dsl.as9105.com[88.108.67.36] (helo/hostname mismatch)

Tipp: um das Verhalten von policyd-weight zu testen, kann der Aufruf in der main.cf mit vorgestelltem warn_if_reject eingebunden werden:

  warn_if_reject check_policy_service inet:127.0.0.1:12525

Jetzt wird zwar im Logfile ein Eintrag geschrieben, die Mail passiert aber ungehindert.
Mir erspart der Einsatz eines solchen policy daemons jedenfalls massiv Spam, nur noch über Mailinglisten kommt hin- und wieder etwas rein.
Geschrieben von el*Loco in Technik Kommentare: (3) Trackbacks: (0)
Tags für diesen Artikel: , ,
Artikel mit ähnlichen Themen:
Trafficüberschreitung bei Hetzner
Lotus Notes und 16MB Mail
Newsletter abbestellen unerwünscht
| Top Exits (498)
325 Klicks

Trackbacks
Trackback für spezifische URI dieses Eintrags

Keine Trackbacks

Kommentare
Ansicht der Kommentare: (Linear | Verschachtelt)

#1 - augusto sagt:
24.11.2006 10:19 - (Antwort)

Das klingt interessant. Nur, welchen Vorteil habe ich gegenüber den reinen Postfix-Checks? Dieser kann schließlich auch gegen verschiedene Listen prüfen. So macht es auch mein Server.

#1.1 - el*Loco sagt:
24.11.2006 10:22 - (Antwort)

Sobald Postfix einen Hit von nur einer Liste bekommt, lehnt er die Mail ab. Bei "harten" Listenbetreibern wie Spamcop kann sowas schonmal zum Problem führen.
policyd-weight gewichtet die Listen und blockt erst bei mehreren Treffern.

#1.2 - el*Loco sagt:
27.11.2006 12:01 - (Antwort)

z.B. würde postfix mit einkonfigurierter SORBS Liste jetzt alle server4you Adressen Sperren, siehe http://www.heise.de/newsticker/meldung/81592


Kommentar schreiben

Umschließende Sterne heben ein Wort hervor (*wort*), per _wort_ kann ein Wort unterstrichen werden.
Standard-Text Smilies wie :-) und ;-) werden zu Bildern konvertiert.
Die angegebene E-Mail-Adresse wird nicht dargestellt, sondern nur für eventuelle Benachrichtigungen verwendet.

Um maschinelle und automatische Übertragung von Spamkommentaren zu verhindern, bitte die Zeichenfolge im dargestellten Bild in der Eingabemaske eintragen. Nur wenn die Zeichenfolge richtig eingegeben wurde, kann der Kommentar angenommen werden. Bitte beachten Sie, dass Ihr Browser Cookies unterstützen muss um dieses Verfahren anzuwenden.
CAPTCHA

BBCode-Formatierung erlaubt