Jakie są najlepsze metody przechwytywania spamu na rakietach śnieżnych?

Używam Smartermail do mojego małego serwera pocztowego. Ostatnio mieliśmy problem z otrzymywaniem fal spamu na rakietach śnieżnych, które mają ten sam wzór. Występują w partiach po 3 lub 4 na raz. Treści są prawie identyczne, z wyjątkiem nazwy domeny, do której prowadzą. Źródłowe adresy IP są przez pewien czas z tego samego bloku / 24, a następnie przełączają się na inny / 24. Domeny są zazwyczaj nowe. Posiadają ważne rekordy PTR i SPF i mają przypadkowy bełkot na dole ciała, aby sfałszować filtry bayesowskie.

Używam kilkunastu różnych RBL, w tym Barracuda, Spamhaus, SURBL i URIBL. Wykonują przyzwoitą robotę, łapiąc większość z nich, ale wciąż mamy wiele problemów, ponieważ adresy IP i domeny nie zostały umieszczone na czarnej liście.

Czy są jakieś strategie, które mogę zastosować, w tym RBL, które blokują nowo utworzone domeny lub zajmują się konkretnie spamem snoeshow? Mam nadzieję, że uniknę konieczności korzystania z usługi filtrowania innej firmy.

Czy to staje się prawdziwym problemem dla twoich użytkowników?

W tym momencie poleciłbym pełną usługę filtrowania poczty. Bayesian nie jest już tak gorący. Reputacja, RBL, analiza nagłówków / intencji i inne czynniki wydają się bardziej pomagać. Rozważ usługę filtrowania w chmurze, aby połączyć wiele podejść ( i wolumin zbiorowy ) w celu zapewnienia lepszej ochrony ( korzystam z rozwiązania chmurowego Barracuda ESS dla moich klientów ).

I oczywiście: Walka ze spamem - Co mogę zrobić jako: Administrator poczty e-mail, Właściciel domeny lub Użytkownik?

Upośledzenie ataków w rakietach śnieżnych nie wpłynęło negatywnie na nas. Widziałem okres, w którym liczba maili potroiła się z tymi atakami. Ale żadna z tych złych rzeczy nie przetrwała. W ciągu 3 dni Barracuda sprowadził wolumeny do normalnego poziomu.

Myślę, że rozwiązania filtrujące, które mają szeroki wgląd w ogólnoświatową aktywność poczty, mogą lepiej reagować na ataki niż pojedyncze filtry poczty.

Edytować:

Zostało to również niedawno omówione na temat LOPSA liście mailingowej :

Mój wkład: https://www.mail-archive.com/tech@lists.lopsa.org/msg04180.html
Inna opinia: https://www.mail-archive.com/tech@lists.lopsa.org/msg04181 .html

Jestem facetem DNS Ops, który ściśle współpracuje z grupą, która często jest atakowana. Radzenie sobie z atakami na rakietach śnieżnych jest przede wszystkim problemem procesowym, a jak zauważa ewwhite, rozwiązywanie we własnym zakresie może wykraczać poza zakres firmy. Chciałbym powiedzieć, że jeśli nie masz sporej operacji i kilku komercyjnych kanałów RBL, prawdopodobnie nie powinieneś próbować rozwiązać tego samodzielnie, korzystając z komercyjnej usługi filtrowania.

To powiedziawszy, mamy z tym pewne doświadczenie i dzielenie się nim jest ciekawsze niż nie. Niektóre punkty dotykowe to:

• Jeśli to możliwe, należy przeszkolić platformę pocztową w zakresie identyfikowania trwającego ataku na rakietę śnieżną i tymczasowo odrzucać wiadomości z danych sieci. Dobrze wychowani klienci będą próbować ponownie wysyłać wiadomości w przypadku tymczasowej awarii, inni zwykle tego nie robią.
• Upewnij się, że Twoi administratorzy DNS monitorują UDP-MIB::udpInErrorsza pośrednictwem SNMP, ponieważ platformy pocztowe są bardzo zdolne do przepełnienia kolejek odbiorczych odbiorników UDP, gdy trwa atak na rakietę śnieżną. Jeśli tak nie jest, szybkim sposobem na stwierdzenie pod Linuksem jest uruchomienie netstat -s | grep 'packet receive errors'na danych serwerach DNS; duża liczba wskazuje, że muszą zejść ze swoich mokradeł i zacząć zwracać uwagę. Będą musieli zwiększyć pojemność lub zwiększyć wielkość buforów odbiorczych, jeśli występuje częste wycieki. (co oznacza utracone zapytania DNS i utracone możliwości zapobiegania spamowi)
• Jeśli często widzisz te ataki wykorzystujące świeżo utworzone domeny, RBL, które je podkreślają, istnieją. Przykładem może być FarSight NOD (osoby czytające to powinny przeprowadzić własne badania), ale nie jest to bezpłatne.

Pełne ujawnienie: Farsight Security został założony przez Paula Vixie, który mam zły nawyk odejścia, gdy ludzie naruszają standardy DNS.

Zainstalowałem Declude (który jest bezpłatny) i Message Sniffer (który nie jest) i przez ostatnie 4 dni widziałem jedną wiadomość spamową przychodzącą na moje testowe konto e-mail, w przeciwieństwie do dziesiątek, które otrzymywało dziennie. O ile wiem, nie przefiltrowaliśmy dobrego e-maila. Spamassassin prawdopodobnie byłby również dobrym rozwiązaniem, chociaż nie miałem szczęścia, gdy próbowałem Spam Assassin in Box ..

Wiele odpowiedzi tutaj dotyczy ogólnego antyspamu. Do pewnego stopnia ma to sens, ponieważ spamerzy wydają się zmierzać w kierunku rakiety śnieżnej jako preferowanej metody dostarczania.

Snowshoe był początkowo zawsze wysyłany z centrów danych w małej ilości (na podstawie adresu IP) i zawsze zawierał link do rezygnacji z subskrypcji (nie mówiąc już o tym, czy to działa). W dzisiejszych czasach snowshoe prawie nigdy nie ma informacji o rezygnacji z subskrypcji i jest wysyłany w dużych ilościach ze swoich adresów IP, ale jest wysyłany w serii, tak że do czasu, gdy adres IP zostanie umieszczony na czarnej liście, wysyłanie poczty jest już zakończone. Nazywa się to spamem gradowym .

Z tego powodu DNSBL, a nawet ścisłe podpisy oparte na wzorach, są okropne w przechwytywaniu spamu na rakietach śnieżnych. Istnieją pewne wyjątki, takie jak listy CSS Spamhaus (który jest specjalnie ukierunkowane na sieci rakietach śnieżnych i jest częścią zarówno SBL i zen), ale generalnie trzeba greylisting / tarpitting (co może opóźnić dostawę aż do listy DNSBL dogonić ) i, co najważniejsze, oparty na tokenach system uczenia maszynowego, taki jak bayesowskie filtrowanie spamu . Bayes jest szczególnie dobry w wykrywaniu rakiet śnieżnych.

Odpowiedź Andrew B. wspomina o nowo posiadanych domenach i nazwach hostów Farsight Security (NOD), które próbują przewidywać sieci rakiet śnieżnych, gdy zostaną rozkręcone, ale zanim zaczną spamować. Spamhaus CSS prawdopodobnie robi coś podobnego. CSS jest gotowy do użycia w środowisku blokującym, podczas gdy NOD jest tak naprawdę zaprojektowany, aby być kanałem do niestandardowego systemu, a nie autonomicznego / blokującego systemu.