Backscatter-spam bestride op serverniveau

Gearfetting

Dizze moanne moast ik omgean mei backscatter-spam, dy't ien fan de mailservers rekke dy't ik beheare. As serveryngenieur soargje ik derfoar dat servers gjin spam ferstjoere en dat ynkommende e-mail filtere wurdt. Ek mei alle goede muoite bleau dizze server op in swarte list stean foar it ferstjoeren fan spam nei iCloud, Office 365 en Google Gmail for Business (G Suite). Lês mei om út te finen wat dit feroarsake en hoe't it op te lossen is.

Folsleine tekst

It probleem

De server is in Postfix-mailserver op Debian GNU/Linux mei alle lêste fernijingen en feiligenspatches. De server wurdt brûkt troch legitime klanten dy't him allinnich mei de goede autentikaasje brûke kinne.

Foarkomme in iepen relay te wurden

Yndividuele brûkersautentikaasje op in mailserver is in wichtige maatregel tsjin misbrûk fan de mailserver. As der spam ferstjoerd wurdt, kinst do yn de logs fan de mailserver sjen hokker brûker it probleem feroarsaket. Yn technyske termen betsjut dit dat de server gjin 'iepen relay' wurde kin. Postfix hat in soad ynstellingen om SMTP relay te beheinen mei tagongskontrôle.

Rate limiting op (kompromittearre) mailakkounts

Misbrûk fan de server troch yndividuele brûkers bart as har kompjûter in firus krijt of as har wachtwurd yn ferkearde hannen falt. Dat kin barre as do dyn e-mail brûkst fia in net-befeilige WiFi sûnder fersifering (TLS/SSL). Foar sokke situaasjes is it in goed idee om it oantal e-mails dat yndividuele brûkers ferstjoere meie te beheinen. Do kinst ferskate Postfix konfiguraasjeparameters brûke (lykas smtpd_client_message_rate_limit, smtpd_client_connection_rate_limit en smtpd_client_recipient_rate_limit) of in Postfix-firewall lykas Postwfd.

De server komt op de swarte list 'backscatterer.org'

Ek mei alle maatregels tsjin spammisbrûk kaam de server dochs op http://backscatter.org te stean foar it ferstjoeren fan spam. As in server op in swarte list komt, fertrouwe oare servers him net mear en beskôgje se alle berjochten as fertocht. Dat kin derta liede dat dyn (legitime) berjochten troch oare servers as spam sjoen wurde (falske positiven). Om te begripen wêrom dit barde, moatst do earst begripe wat backscatter-spam is.

Wat is backscatter-spam?

Backscatter-spam binne ferkeard automatysk ferstjoerde bounce-berjochten fan de mailserver, meastentiids as byeffekt fan ynkommende spam.

Backscatter komt foar as spammers it ôfstjoeradres falskje. Se stjoere in mailberjocht dêr't se fan ferwachtsje dat it weromstjoerd wurdt, mei it adres fan immen oars as ôfstjoerder. As it mailberjocht weromstjoerd wurdt, stjoert de mailserver it berjocht werom nei de falske ôfstjoerder... wêrtroch't de server yn feite spam nei dat ôfstjoeradres leveret.

It ienfâldige backscatter-senario is dêr't in berjocht weromstjoerd wurdt nei de ferkearde ôfstjoerder. Dat senario is ienfâldich op te lossen troch de server sa yn te stellen dat hy gjin bounce-berjochten stjoert, mar yn plak dêrfan reagearret mei in SMTP-flaterkoade.

Spitigernôch is der noch in (dreger) senario dat dyn mailserver backscatter-spam ferstjoere lit. Dat bart as immen op dyn server syn of har mailakkount ynstelt om e-mail troch te stjoeren nei in oar adres. De twadde server hat miskien in strangere spamfilter dy't derfoar soarget dat berjochten by it trochstjoeren blokkearre wurde. Dyn mailserver ynformearret dan de oarspronklike ôfstjoerder dat it trochstjoeren mislearre, wat backscatter-spam feroarsaket.

It trochstjoersenario is folle dreger op te lossen, want mooglik hast do gjin kontrôle oer de oare mailserver of syn spamfilterynstellingen. Wat slimmer is, is dat der faak wat fertraging sit tusken it akseptearjen fan it berjocht en it trochstjoeren, wêrtroch't it ûnmooglik is om op in antwurd fan de oare mailserver te wachtsjen.

Backscatter-spam foarkomme

De iennichste manier om backscatter-spam folslein te foarkommen is om hiel strang te wêzen by de earste mailserver, yn it begjinstadium fan de SMTP-ferbining. Dit lost it útdaagjende 'trochstjoersenario' op troch hiel selektyf te wêzen oer hokker berjochten trochstjoerd wurde.

Spam blokkearje foardat it de server yngiet

De bêste manier om backscatter-spam te foarkommen is it te blokkearjen foardat it de (keatling fan) server(s) yngiet.

Tradisjoneel brûke servers avansearre spamfilters lykas SpamAssassin om berjochten ien foar ien te analysearjen. Dat soarget foar ekstra belêsting op de mailserver.

It is folle makliker om nei de ôfstjoerder te sjen (bygelyks oft hy in reade hoed draacht) foar de earste filtering. Stiet de ôfstjoerder op in swarte list? Brûkt hy in 'normale' mail-app, of wurde berjochten ferstjoerd troch in firus of malware? Do kinst in soad dingen bepale troch te sjen nei de 'taal' dy't de ôfstjoerder sprekt.

Yn Postfix kinst do SMTP-beheiningen oantsjutte yn it konfiguraasjebestân main.cf. Der binne kontrôles dy't brûkt wurde kinne om berjochten te blokkearjen. It is in goed idee om yn de filterlogika te wurkjen fan 'maklik nei dreech', te begjinnen mei dingen dy't kontrolearre wurde kinne sûnder eksterne servers te rieplachtsjen. Dat ferminderet netwurkferkear en belêsting. Allinnich as in berjocht alle kontrôles trochkomt, wurdt it tastien foar levering (of trochstjoeren).

By levering kinst do ekstra komplekse (en brûkerspesifike) spamfiltering ynsette mei ark lykas SpamAssassin of Bayes filtering. Troch de tastream fan dúdlike spamberjochten te ferminderjen kinne dizze boarnefrekke filters har wurk folle effisjinter dwaan.

Konklúzje

Spam op serverniveau bestride is in útdaagjend spul, want spammers wurde kreativer yn it misbrûken fan meganismen fan mailservers. As dyn server op in swarte list komt foar backscatter-spam, moatst do foarsichtich wêze mei trochstjoersenario's. Hâld de swarte listen yn de gaten om te sjen oft dyn server problemen feroarsaket.

Blokkearje berjochten mei flaterkoades yn stee fan se werom te stjoeren nei de ôfstjoerder (bouncing). Konfigurearje de server mei in strang leveringsbelied. De bêste manier om backscatter-spam te foarkommen is berjochten te blokkearjen foardat se de mailserver yngean, no witst do hoe.