Combattere lo spam backscatter a livello di server

Riassunto

Questo mese ho dovuto occuparmi dello spam backscatter, che colpiva uno dei mail server che gestisco. Come sistemista mi assicuro che i server non mandino spam e che la posta in arrivo venga filtrata. Nonostante tutti gli sforzi, questo server continuava a finire in blacklist per aver inviato spam a iCloud, Office 365 e Google Gmail for Business (G Suite). Continua a leggere per scoprire cosa l'ha causato e come risolvere.

Testo completo

Il problema

Il server è un mail server Postfix su Debian GNU/Linux con tutti gli ultimi aggiornamenti e patch di sicurezza. Lo usano clienti legittimi, che possono usarlo solo con un'autenticazione corretta.

Evitare di essere un open relay

L'autenticazione dei singoli utenti su un mail server è una misura importante contro l'abuso del server. Se viene inviato spam, nei log del mail server puoi vedere quale utente causa il problema. In termini tecnici significa evitare che il server diventi un 'open relay'. Postfix offre molte impostazioni per limitare il relay SMTP con il controllo degli accessi.

Limitare la frequenza di invio degli account di posta (hackerati)

Gli abusi del server da parte dei singoli utenti avvengono quando il loro computer prende un virus o quando la loro password viene intercettata. Può succedere se accedi alla posta da un WiFi non sicuro e senza cifratura (TLS/SSL). Per situazioni così è una buona idea limitare la frequenza delle e-mail che i singoli utenti possono inviare. Puoi usare i singoli parametri di configurazione di Postfix (come smtpd_client_message_rate_limit, smtpd_client_connection_rate_limit e smtpd_client_recipient_rate_limit) oppure un firewall per Postfix come Postfwd.

Il server finisce nella blacklist di 'backscatterer.org'

Nonostante tutte le misure contro l'abuso di spam, il server è comunque finito nella lista di http://backscatter.org per aver inviato spam. Se un server finisce in una blacklist, gli altri server smettono di fidarsi e considerano sospetti tutti i suoi messaggi. Così i tuoi messaggi (legittimi) possono essere scambiati per spam dagli altri server (falsi positivi). Per capire perché è successo, devi prima capire cos'è lo spam backscatter.

Cos'è lo spam backscatter?

Lo spam backscatter sono messaggi di rimbalzo automatici e sbagliati, inviati dal mail server, di solito come effetto collaterale dello spam in arrivo.

Il backscatter si verifica quando gli spammer falsificano l'indirizzo del mittente. Inviano un messaggio che si aspettano venga respinto, usando come mittente l'indirizzo di qualcun altro. Quando il messaggio rimbalza, il mail server restituisce il messaggio al mittente falsificato... e così il server, di fatto, consegna spam a quell'indirizzo.

Il caso semplice di backscatter è quello in cui un messaggio rimbalza al mittente sbagliato. È facile da risolvere: configuri il server in modo che non invii messaggi di rimbalzo, ma risponda con un codice di errore SMTP.

Purtroppo c'è un altro scenario (più difficile) in cui il tuo mail server invia spam backscatter. Succede quando qualcuno sul tuo server configura il proprio account di posta per inoltrare le e-mail a un altro indirizzo. Il secondo server potrebbe avere un filtro antispam più severo, che blocca i messaggi dopo l'inoltro. Il tuo mail server informerà allora il mittente originale che l'inoltro è fallito, causando spam backscatter.

Lo scenario dell'inoltro è molto più difficile da risolvere, perché forse non controlli l'altro mail server né le impostazioni del suo filtro antispam. Peggio ancora, spesso passa un po' di tempo tra l'accettazione del messaggio e il suo inoltro, quindi non si può aspettare la risposta dell'altro mail server.

Prevenire lo spam backscatter

L'unico modo per prevenire del tutto lo spam backscatter è essere molto severi sul primo mail server, già alla fase iniziale della connessione SMTP. Così si risolve lo 'scenario dell'inoltro', perché si è molto selettivi su quali messaggi vengono inoltrati.

Come bloccare lo spam prima che entri nel server

Il modo migliore per prevenire lo spam backscatter è bloccarlo prima che entri nella (catena di) server.

Di solito i server usano filtri antispam avanzati come SpamAssassin per analizzare i messaggi uno per uno. Questo carica ulteriormente il mail server.

È molto più facile guardare il mittente (per esempio se porta un cappello rosso) per il filtraggio iniziale. Il mittente è in una blacklist? Usa un'app di posta 'normale', o i messaggi vengono inviati da un virus o da un malware? Puoi capire molte cose dal 'linguaggio' che parla il mittente.

In Postfix puoi specificare le restrizioni SMTP nel file di configurazione main.cf. Ci sono controlli che si possono usare per bloccare i messaggi. È una buona idea ordinare la logica del filtro 'dal facile al difficile', partendo dalle cose che si possono verificare senza consultare server esterni. Si riducono così traffico di rete e carico. Solo se un messaggio supera tutti i controlli viene autorizzato alla consegna (o all'inoltro).

Alla consegna puoi implementare un filtraggio antispam più complesso (e specifico per utente) con strumenti come SpamAssassin o il filtraggio bayesiano. Riducendo il flusso di messaggi spam evidenti, questi filtri che consumano molte risorse possono lavorare in modo molto più efficiente.

Conclusione

Combattere lo spam a livello di server è una partita impegnativa, perché gli spammer diventano sempre più creativi nell'abusare dei meccanismi dei mail server. Se il tuo server finisce in blacklist per spam backscatter, devi stare attento agli scenari di inoltro. Tieni d'occhio le blacklist per vedere se il tuo server sta creando problemi.

Blocca i messaggi con codici di errore invece di restituirli al mittente (bounce). Configura il server con una politica di consegna severa. Il modo migliore per prevenire lo spam backscatter è bloccare i messaggi prima che entrino nel mail server, ora sai come.