el*Loco blogged

Hier ein Snapshot der Spamnationen dieses kleinen Blogs seit dem 01.02.2007:

Es ist schon schwer, ein Spamtool zu benutzen. So etwas kommt in letzter Zeit hier öfters an:

%TO_CC_DEFAULT_HANDLER

Subject: %SUBJECT

Sender: "%FROM_NAME" <%FROM_EMAIL>

Mime-Version: 1.0 

Content-Type: text/html

Date: %CURRENT_DATE_TIME



%MESSAGE_BODY

Bei den Arbeiten an der spamblocklog Tabelle meiner Serendipity Installation, die evtl. demnächst zum release eines Plugins zur Spam Statistik führen, habe ich ein wenig mit der GeoIP API für PHP gespielt, dabei kam z.B. die folgende interessante Statistik zur Herkunft der abgelehnten Kommentare bzw. Trackbacks heraus:

2647 United States

1788 Korea, Republic of

1163 Ukraine

 972 Norway

 861 Austria

 686 China

 525 India

 488 Japan

 226 Germany

 173 Russian Federation

 164 Algeria

 127 Mexico

Persönlich hätte ich China und Russland weiter oben auf der Liste erwartet, aber die breite Streuung der verschiedenen Länder (auch aus Syrien, Iran und Saudi-Arabien kommt Spam) deutet auch hier auf Botnetze hin, ähnlich wie bei Spam Mails.

Da ich Andy gestern damit helfen konnte gibt es hier noch einen Eintrag zum momentan für mich am Besten mit Postfix funktionierenden Anti-Spam Tool: policyd-weight von Robert Felber.

Ab Version 2.1 kann Postfix die Entscheidung, ob eine Mail angenommen wird, an einen externen policy daemon delegieren. Für den von mir eingesetzten policyd-weight ist nur der Inhalt dreier SMTP Kommandos interessant: HELO, MAIL FROM und RCPT TO. Mit diesen Werten checkt das Programm DNS Daten, inkonsistente HELO Strings und kann RBLs abfragen und bildet daraus einen gewichteten Score, um Mails bereits während des SMTP Dialogs abzulehnen. Das spart Bandbreite, schont die CPU durch weniger Scans mit Spamassassin o.ä. Tools auf dem Mailserver und erspart rejects für fälschlicherweise auf einer Blackliste geführten sauberen Host.

policyd-weight fragt momentan folgende RBLs ab
• njabl.org (using dynablock. and dnsbl. zones)
• spamcop.net (using bl. zone)
• spamhaus.org (using sbl-xbl. zone)
• dsbl.org (using list. zone)
• ix.dnsbl.manitu.net (RBL of a german zine)
• ordb.org (using relays. zone)
Erst wenn mehrere Kriterien wie gefälschtes HELO, Eintrag in zwei RBLs und falschen Nameserver Einträgen zutreffen wird die Mail abgelehnt.

Die Einrichtung ist einfach:


Dann entweder ein eigenes Init Script bauen oder im Laufe des bootens vor postfix starten:


Damit postfix den externen policy daemon ansprechen kann, wird die /etc/postfix/main.cf angepasst:


Nach einem


sollten die ersten Meldungen im konfigurierten Maillog auftauchen. Ein Beispiel für eine abgelehnte Mail sieht dann so aus:


Tipp: um das Verhalten von policyd-weight zu testen, kann der Aufruf in der main.cf mit vorgestelltem warn_if_reject eingebunden werden:


Jetzt wird zwar im Logfile ein Eintrag geschrieben, die Mail passiert aber ungehindert.
Mir erspart der Einsatz eines solchen policy daemons jedenfalls massiv Spam, nur noch über Mailinglisten kommt hin- und wieder etwas rein.

Schon Anfang September nach dem 3. Deutschen Antispam Kongress in Köln wollte ich eigentlich ein paar Zeilen zu den Vorteilen des Submission Ports und Sperrung des Port 25 für Dialup IPs schreiben. Das hat mir die auch auf dem Kongress vortragende MAAWG jetzt abgenommen und eine Empfehlung zur Behandlung des Port 25 durch Dialup Provider veröffentlicht:

Therefore, the MAAWG recommends the following set of Email
Transmission Best Practices for Internet and Email Service Providers:
1. Provide Email Submission services on port 587, as described in RFC 2476.
2. Require authentication for Email Submission, as described in RFC 2554.
3. Abstain from interfering with outbound connectivity to port 587.
4. Configure email client software to use port 587 and authentication for Email Submission.
5. Block access to port 25 from all hosts on your network, other than those that you explicitly authorize to perform SMTP relay functions. Such hosts will certainly include your own Email Submission servers and may also include the legitimate Email Submission servers of your responsible customers.
6. Block incoming traffic to your network from port 25. This prevents potential abuse from spammers using asymmetric routing and spoofing IP addresses on your network.

Das ganze Dokument gibt hieres als PDF. WEB.DE Freemail bietet diesen Submission Port übrigens schon seit geraumer Zeit an.