Postfix Spam-Benutzer erkennen
Hallo liebe Community,
ich habe das Problem das aktuell irgend ein Benutzer (das kommt alle 3-4 Wochen mal vor) im System vom Server direkt rausspamt.
Also Servername = mail.domain.com, und raussenden tut dieser mit z.B. Kundenservice@mail.domain.com. Wenn ich mir das Logfile
anschaue, sehe ich dann den Benutzer der darüberhinaus versendet.
Nun die Frage:
Wie kann ich das "ausfiltern" bzw. einstellen das wenn ein User rausspammt das ich das irgendwie mitprotokoliere?
Meine main.cf:
Kann ich das auch irgendwie filtern wenn innerhalb von 15 Minuten der selbe User mehr wie 200 Mails verschickt, das ich benachrichtig werden bzw. dies in ein Log geschrieben wird?
Vielen Dank
lg Iceget
ich habe das Problem das aktuell irgend ein Benutzer (das kommt alle 3-4 Wochen mal vor) im System vom Server direkt rausspamt.
Also Servername = mail.domain.com, und raussenden tut dieser mit z.B. Kundenservice@mail.domain.com. Wenn ich mir das Logfile
anschaue, sehe ich dann den Benutzer der darüberhinaus versendet.
Nun die Frage:
Wie kann ich das "ausfiltern" bzw. einstellen das wenn ein User rausspammt das ich das irgendwie mitprotokoliere?
Meine main.cf:
# See /usr/share/postfix/main.cf.dist for a commented, more complete version
# Debian specific: Specifying a file name will cause the first
# line of that file to be used as the name. The Debian default
# is /etc/mailname.
#myorigin = /etc/mailname
smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
biff = no
# appending .domain is the MUA's job.
append_dot_mydomain = no
# Uncomment the next line to generate "delayed mail" warnings
#delay_warning_time = 4h
readme_directory = /usr/share/doc/postfix
# TLS parameters
smtpd_tls_cert_file = /etc/postfix/smtpd.cert
smtpd_tls_key_file = /etc/postfix/smtpd.key
smtpd_use_tls = yes
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache
# See /usr/share/doc/postfix/TLS_README.gz in the postfix-doc package for
# information on enabling SSL in the smtp client.
myhostname = mail.domain.tld
alias_maps = hash:/etc/aliases, hash:/var/lib/mailman/data/aliases
alias_database = hash:/etc/aliases, hash:/var/lib/mailman/data/aliases
myorigin = /etc/mailname
mydestination = mail.domain.tld, localhost, localhost.localdomain
relayhost =
mynetworks = 127.0.0.0/8 [::1]/128
mailbox_command = procmail -a "$EXTENSION"
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all
html_directory = /usr/share/doc/postfix/html
virtual_alias_domains =
virtual_alias_maps = proxy:mysql:/etc/postfix/mysql-virtual_forwardings.cf, proxy:mysql:/etc/postfix/mysql-virtual_email2email.cf, hash:/var/lib/mailman/data/virtual-mailman
virtual_mailbox_domains = proxy:mysql:/etc/postfix/mysql-virtual_domains.cf
virtual_mailbox_maps = proxy:mysql:/etc/postfix/mysql-virtual_mailboxes.cf
virtual_mailbox_base = /var/vmail
virtual_uid_maps = static:5000
virtual_gid_maps = static:5000
inet_protocols = all
smtpd_sasl_auth_enable = yes
broken_sasl_auth_clients = yes
smtpd_sasl_authenticated_header = yes
smtpd_recipient_restrictions = check_recipient_access mysql:/etc/postfix/mysql-virtual_recipient.cf, permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination
smtpd_tls_security_level = may
transport_maps = hash:/var/lib/mailman/data/transport-mailman, proxy:mysql:/etc/postfix/mysql-virtual_transports.cf
relay_domains = mysql:/etc/postfix/mysql-virtual_relaydomains.cf
relay_recipient_maps = mysql:/etc/postfix/mysql-virtual_relayrecipientmaps.cf
proxy_read_maps = $local_recipient_maps $mydestination $virtual_alias_maps $virtual_alias_domains $virtual_mailbox_maps $virtual_mailbox_domains $relay_recipient_maps $relay_domains $canonical_maps $sender_canonical_maps $recipient_canonical_maps $relocated_maps $transport_maps $mynetworks
smtpd_sender_restrictions = check_sender_access mysql:/etc/postfix/mysql-virtual_sender.cf
smtpd_client_restrictions = check_client_access mysql:/etc/postfix/mysql-virtual_client.cf
smtpd_client_message_rate_limit = 100
maildrop_destination_concurrency_limit = 1
maildrop_destination_recipient_limit = 1
virtual_transport = dovecot
header_checks = regexp:/etc/postfix/header_checks
mime_header_checks = regexp:/etc/postfix/mime_header_checks
nested_header_checks = regexp:/etc/postfix/nested_header_checks
body_checks = regexp:/etc/postfix/body_checks
owner_request_special = no
dovecot_destination_recipient_limit = 1
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
content_filter = amavis:[127.0.0.1]:10024
receive_override_options = no_address_mappings
message_size_limit = 0
smtp_tls_security_level = may
Kann ich das auch irgendwie filtern wenn innerhalb von 15 Minuten der selbe User mehr wie 200 Mails verschickt, das ich benachrichtig werden bzw. dies in ein Log geschrieben wird?
Vielen Dank
lg Iceget
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Kommentar vom Moderator 16568 am 28.05.2014 um 20:49:37 Uhr
Posting pseudonymisiert...
Content-ID: 239182
Url: https://administrator.de/forum/postfix-spam-benutzer-erkennen-239182.html
Ausgedruckt am: 28.04.2025 um 14:04 Uhr
9 Kommentare
Neuester Kommentar

Da es ja nich jeder wissen muß, wie Dein System heißt, war ich so frei und habe pseudonymisiert.
Also, Deine Google Keywords lauten: postfix throttling
Lonesome Walker
Also, Deine Google Keywords lauten: postfix throttling
Lonesome Walker
Zitat von @iceget:
Also z.B. der Servername selbst lautet: mail.serverdomain.com. Der autorisierte Benutzer von Postfix lautet z.B.
user1@domainxyz.com.
...
Also spamt eigentlich ein autorisierter Benutzer über das System raus, nur mit einer anderen Absenderadresse.
Wie kann ich das unterbinden?
Also z.B. der Servername selbst lautet: mail.serverdomain.com. Der autorisierte Benutzer von Postfix lautet z.B.
user1@domainxyz.com.
...
Also spamt eigentlich ein autorisierter Benutzer über das System raus, nur mit einer anderen Absenderadresse.
Wie kann ich das unterbinden?
Das naheliegendste:
Sperre diesen user, bis seien Kiste wieder sauber ist.
lks
Zitat von @iceget:
Mir geht's nur um das dies in Zukunft zu verhindern bzw. das ich informiert werde wenn wieder mal ein Client spammt...
Hast Du da eine Idee?
Mir geht's nur um das dies in Zukunft zu verhindern bzw. das ich informiert werde wenn wieder mal ein Client spammt...
Hast Du da eine Idee?
Akzeptiere von den Clients nur Mails mit Eurer Domain als Absender.
lks
Hallo zusammen,
ich habe ein ähnliches Problem. Bei mir wurde das PW eines Mailbox Accounts gehackt und in Folge trudelten eine unheimliche Menge Mail in der mail queue für den versand ein. Der FROM Header enthält grundsätzlich die eigene Domain und lediglich einen wild zusammen gesetzten varierenden User Anteil in der Adresse.
Ich suche auch nach einem Weg auf statistischem Wege einen Mailbox Account zu identifizieren, wenn der mehr als sagen wir 100 Mails pro Stunde oder vielleicht mehr als 50 in 15 Minuten.
Bei den Usern vernünftige PWs durchzusetzen ist natürlich Maßnahme Nummer Eins ^^ Leider kann ich die Kandidaten mit den schlechten PWs nicht auf Anhieb erkennen, da PWs in der DB ja verschlüsselt. Ich plane im Webmailer ein kleinen Hook nach dem Login, da habe ich das PW flüchtig und kann mal gleich ne Anschnauz Mail versenden, wenn PW schlecht. Aber die lokalen Mail Clients bekomme ich damit nicht erreicht.
Viele Grüße, Björn
ich habe ein ähnliches Problem. Bei mir wurde das PW eines Mailbox Accounts gehackt und in Folge trudelten eine unheimliche Menge Mail in der mail queue für den versand ein. Der FROM Header enthält grundsätzlich die eigene Domain und lediglich einen wild zusammen gesetzten varierenden User Anteil in der Adresse.
Ich suche auch nach einem Weg auf statistischem Wege einen Mailbox Account zu identifizieren, wenn der mehr als sagen wir 100 Mails pro Stunde oder vielleicht mehr als 50 in 15 Minuten.
Bei den Usern vernünftige PWs durchzusetzen ist natürlich Maßnahme Nummer Eins ^^ Leider kann ich die Kandidaten mit den schlechten PWs nicht auf Anhieb erkennen, da PWs in der DB ja verschlüsselt. Ich plane im Webmailer ein kleinen Hook nach dem Login, da habe ich das PW flüchtig und kann mal gleich ne Anschnauz Mail versenden, wenn PW schlecht. Aber die lokalen Mail Clients bekomme ich damit nicht erreicht.
Viele Grüße, Björn