The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Опыт борьбы со спам-ботами на небольшом почтовом сервере

25.06.2007 15:54

В заметке "High traffic on the email server" наглядно продемонстрирован простой и эффективный способ блокирования спам-ботов, которые в определенные моменты приводят к превышению лимита на допустимое число соединений к почтовому серверу (эффект подобен DDoS атаке, сколько не увеличивай лимит - все равно соединения занимаются ботами с тысяч машин зараженных троянским ПО).

George Notaras, заметил, что большое число спам-ботов занимаются перебором адресов или отправляют почту уже несуществующим ящикам и провел простой эксперимент - выделил из лога postfix все подобные "reject" сообщения (за неделю выявлено более 260000 блокировок для 10000 уникальных IP) и заблокировал выявленные адреса. В результате, нагрузка на почтовый сервер снизилась в 40 раз.

  1. Главная ссылка к новости (http://www.g-loaded.eu/2007/06...)
Автор новости: greg
Тип: английский / Тема для размышления
Короткая ссылка: https://opennet.ru/11186-spam
Ключевые слова: spam, mail, postfix, flood
Поддержать дальнейшую публикацию новостей на OpenNET.


Обсуждение (14) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, pisto (??), 16:31, 25/06/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    То есть пользователи с этих  ипов не смогут работать с данным сервером?
     
     
  • 2.12, FSA (ok), 08:09, 26/06/2007 [^] [^^] [^^^] [ответить]  
  • +/
    Нет конечно, 120 комьпютеров из бразилии, 240 из США вполне имеют законное право рассылать через вас почту...
     

  • 1.2, daneg (?), 16:39, 25/06/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Смогут, через нормальные почтовые сервера.
     
  • 1.3, Dmitriy (??), 16:39, 25/06/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А еще более эффективный способ - вообще закрыть 25 порт. Эффект просто поразительный. А если серьезно - существуют более серьезные способы блокировки таких хостов (например так называемые ловушки или хотя бы временная блокировка выявленных ботов). Очень хороший эффект дает обратное разрешение имени хоста отправителя и блокировки по маске имени хоста. Ну и куча других. О бо всем можно почитать в том числе и здесь.
     
     
  • 2.14, Квагга (?), 18:22, 27/06/2007 [^] [^^] [^^^] [ответить]  
  • +/
    > обратное разрешение имени хоста отправителя и блокировки по маске имени хоста.
    А зачем? Процы греть? Чтобы найти еду нужно идти в продуктовую лавку. А не прочесывать перед походом лавку все окрестные помойки. Доступная аналогия? :)
     

  • 1.4, an (??), 17:28, 25/06/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    есть способ лучше :). большинство спам-ботов сидят на динамических IP-адресах. их и блокируем. ну кому придет в голову (и главное зачем) ставить SMTP сервер на динамическом IP? А? А поставит - его проблемы :). В нашем маленьком хозяйстве такой подход (вместе с некоторыми другими) оказался весьма эффективен (тьфу*3).
     
     
  • 2.5, Sergey (??), 18:15, 25/06/2007 [^] [^^] [^^^] [ответить]  
  • +/
    Угу, только каким макаром определять динамичность этих адресов? У меня был в практике опыт когда наши адреса оказались ранее занесенными в одну BL базу как динамические на основании низкого TTL реверсной зоны DNS. Я забодался пинаться с провайдером на эту тему, но вконце концов победил...
     
     
  • 3.6, an (??), 19:31, 25/06/2007 [^] [^^] [^^^] [ответить]  
  • +/
    базы тут непричем. 90% или более обратных DNS динамических адресов содержит в себе последнюю цифру IP адреса в том или ином виде. А также чтото типа dsl или pppoe или modem. Владельцы SMTP  серверов напротив, заботятся о нормальном ответе на обраный DNS запрос. Без обратного DNS часто на почтовые сервера вообще не пускают(и правильно делают).
     
  • 2.13, sabitov (??), 08:50, 26/06/2007 [^] [^^] [^^^] [ответить]  
  • +/
    Угу, а потом приходит к тебе директор и говорит, что ему люди письмо прислать не могут, и ваапще трах-тибидох!
    А при разборе полетов оказывается, что люди живут не внутри МКАД, а в деревне Гадюкино Урюпинского уезда, и что Сеть у них только 2 часа в сутки, и диалап через соседнюю область :(

    Вы с таким, сударь, не сталкивались? Вам везет, а мы уже несколько раз на эти грабли наступали, пришлось от этого отказываться.

    # Это грей-лист не пустил
    mx log # grep '450 <.*>: Recipient address rejected: Service is unavailable; from=' maillog | wc -l
    24360

    # Это сколько доставлено
    mx log # grep 'delivered to mailbox' maillog | wc -l
    3359

    # Это по теме статьи. Количество писем на не существующих пользователей
    mx log # grep 'User unknown in local recipient table' maillog  | wc -l
    627

    # Это количество уникальных IP адресов.
    mx log # grep 'User unknown in local recipient table' maillog  | sed -e 's/.*\(\[.*\]\): 550 .*/\1/' | sort | uniq | wc -l
    439

    примерно 1,5 письма на 1 IP, так что либо порог срабатывания должен быть очень низким (а если сендер просто опечатался?..), либо это работать не будет.
    И вообще грейлист рулит!

     

  • 1.7, Als (??), 23:07, 25/06/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Да в общем-то статья не о том, как отделить спам-ботов от легальных, а о том, что пока ботам выдавали отлуп с объяснением причины -- они это игнорировали и долбились дальше, занимая ресурсы сервера. А когда им просто сказали  "Reject" (не в курсе особенностей postfix non-access-denied rejections vs ) по IP -- их это проняло, и больше они не приходили. Так что это скорее конструктивный просчет программирования ботов.
     
  • 1.8, Аноним (-), 00:03, 26/06/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/

    У меня в exim стоит вот такое правило
       deny    message     = Max 3 failed recipients allowed
               condition   = ${if >{$rcpt_fail_count}{2} {1}}
               delay       = ${eval: ($rcpt_fail_count) * 30}s
               log_message = $rcpt_fail_count failed recipient attampts - dict attack


    После определенного количества rcpt_fail_count срабатывает tcp connect timeout и все идут лесом

     
     
  • 2.11, Вася (?), 08:04, 26/06/2007 [^] [^^] [^^^] [ответить]  
  • +/
    Exim рулез.
     

  • 1.9, Аноним (-), 04:25, 26/06/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Надеюсь, он теперь будет еженедельно пополнять этот "чёрный" список? :) Помнится был такой bl, в который заносили завирусованные компы. Чем он ему не понравился? Сам я такой bl не использую, но если человеку хочется, то флаг в руки...
    По блокировкам: нет какого-то волшебного способа способного сразу решить проблему. Только комплекс правил. И только если правила отлажены в тестовом режиме.
     
  • 1.10, Аноним (10), 07:32, 26/06/2007 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Собираю троянов и ботов 2-я ловушками в свой РБЛ.
    Эффективность сего - примерно еще +50 отлупов на 10000 попыток чего-либо послать (после всех остальных проверок)

    п/с/ но убирать эту ерунду все одно не собираюсь.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:
    При перепечатке указание ссылки на opennet.ru обязательно



    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2021 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру