tlberlus
Goto Top

Spam: Aussortierung, Blocken

Hallo Zusammen,

wir haben momentan das Problem, dass wir ein recht massives Aufgebot an Spam bekommen (Scheinbar sind durch einen Trojaner auf einem User-PC interne Mail-Adresen nach draußen gelangt).

Da ich bislang relativ wenig praktische Erfahrung mit Firewalls habe (und unser Firewall-Experte noch im Urlaub ist), wollte ich hier mal nach dem besten Vorgehen fragen.
Eingesetzt wird eine Securepoint-Firewall und ein MS-Exchange 2010.

Die Möglichkeiten die ich sehe:

1. Greylisting (könnte etwaig den Geschäftsprozess aufhalten)
2. Proxy-Server zwischen Firewall und Netzwerk
3. Zumindestens die Anhänge bei den Mails, die als (vermuteter) Spam getagt sind, zu blockieren


Falls ihr Anmerkungen/andere Ansätze habt, wäre ich sehr verbunden.
(Glaskugel wird auch angenommen)


Grüße,

Tiberius

Content-Key: 290949

Url: https://administrator.de/contentid/290949

Printed on: April 25, 2024 at 13:04 o'clock

Member: SlainteMhath
SlainteMhath Dec 15, 2015 at 11:16:45 (UTC)
Goto Top
Moin,

Greylisting hällt dir ca 99% aller unerwünschter Mail vom Leib. Dazu noch ein, zwei DNS-RBL's und gut isses.
Zusätzliche blocke ich hier noch alles (unter Windows) ausführbare am AV Gateway und Webproxy.

lg,
Slainte
Member: tikayevent
tikayevent Dec 15, 2015 at 11:26:10 (UTC)
Goto Top
Greylisting kann aber auch zu Problemen führen, weil einige Mailserver fehlerhaft konfiguriert sind und einen 400er Fehler wie einen 500er Fehler behandeln. Damit geht die Mail zurück an den Absender.

Ich habe vor unseren Exchangeservern noch Linuxserver sitzen, die sich um das ganze Thema SPAM-Abwehr, Antivirus, Anhangfilterung und sowas kümmern. Die sind in den letzten Tagen auch sehr gut beschäftigt.

Zu den DNS-Blacklists: Ja, aber ein bis zwei sind zu wenig. So viele wie möglich davon und dann mit einem Punktesystem. Es gehen häufiger mal BLs vom Netz oder liefern falsche Informationen. Wenn man die Annahme von dem Ergebnis einer BL abhängig macht, bekommt man sehr schnell Anrufe von Kunden und Dienstleistern.
Member: SachsenHessi
SachsenHessi Dec 15, 2015 at 12:16:30 (UTC)
Goto Top
Hallo,

Die beste Möglichkeit, die ich kenne ist REDOXX.
Der User (Absender) bekommt eine Antwort mit Link zu einer Website, dort muss er einen (in der EMail angegeben) Punkt im Bild klicken. Danach wird die Mail weitergeleitet und der Absender in eine Positiv Liste eingetragen.
(Alternativ kann der Mitarbeiter die Absender-Adresse auch selber eintragen)
Das ganze ist eine Appliance, also: zwischen stöpseln, konfigurieren, fertig ziemlich simpel gehalten das ganze.
Entfernt Spam zu 99.9 % face-smile

Gruss
Frank
Member: Deepsys
Deepsys Dec 15, 2015 at 12:37:51 (UTC)
Goto Top
Hi,

wir setzen auch Greylisting ein, und das führt bei 99,9% zu keinem PRoblem.
Die paar anderen meldeten sich bisher immer.
Allerdings haben wir 99,9% auch deutsche Partner/Kunden ....

VG,
Deepsys
Member: ArnoNymous
ArnoNymous Dec 15, 2015 at 13:48:04 (UTC)
Goto Top
Zitat von @tikayevent:

Greylisting kann aber auch zu Problemen führen, weil einige Mailserver fehlerhaft konfiguriert sind und einen 400er Fehler wie einen 500er Fehler behandeln. Damit geht die Mail zurück an den Absender.


Das ist dann aber deren Problem, nicht "unseres".
Member: SlainteMhath
SlainteMhath Dec 15, 2015 at 13:58:48 (UTC)
Goto Top
Zitat von @ArnoNymous:
Zitat von @tikayevent:
Greylisting kann aber auch zu Problemen führen, weil einige Mailserver fehlerhaft konfiguriert sind und einen 400er Fehler wie einen 500er Fehler behandeln. Damit geht die Mail zurück an den Absender.

Das ist dann aber deren Problem, nicht "unseres".
Seh ich auch so - wer seinen Mailserver nicht RFC Konform konfigurieren kann ist selbst schuld face-smile
Member: tikayevent
tikayevent Dec 15, 2015 at 15:27:18 (UTC)
Goto Top
Erkläre das mal so nem unfähigen Hilfsadmin, der sein Mailserverwissen aus der Computerblind hat.
Member: ArnoNymous
ArnoNymous Dec 15, 2015 at 15:35:16 (UTC)
Goto Top
Dann muss der Hilfsadmin sich damit beschäftigen oder jemand Externes dafür beauftragen. Ist ja auch keine Schande.
Member: LordGurke
LordGurke Dec 15, 2015 at 15:58:48 (UTC)
Goto Top
Zitat von @SlainteMhath:
Greylisting hällt dir ca 99% aller unerwünschter Mail vom Leib. Dazu noch ein, zwei DNS-RBL's und gut isses.

Die Zeiten sind meiner Meinung nach vorbei. Da inzwischen Spam entweder über billig angemietete vServer oder mittels gestohlener SMTP-Zugangsdaten versendet wird, werden die E-Mails ja durch einen regulären Mailserver eingeliefert der auch den zweiten Zustellungsversuch übernimmt.
Ich würde sagen, dass da bestenfalls noch 20% Filterung drin ist, mehr aber auch nicht. Alleine darauf würde ich zur Spamabwehr nicht mehr setzen, da muss schon wirklich eine Kombination aus Greylisting, punktebasierten DNSBLs und DNSWLs und zum Schluss der Content-Filter her, sonst hast du kaum eine Chance.


Zitat von @SachsenHessi:
Die beste Möglichkeit, die ich kenne ist REDOXX.
Der User (Absender) bekommt eine Antwort mit Link zu einer Website, dort muss er einen (in der EMail angegeben) Punkt im Bild klicken. Danach wird die Mail weitergeleitet und der Absender in eine Positiv Liste eingetragen. [...]
Entfernt Spam zu 99.9 % face-smile

Und 100% aller Mails von Support-Ticketsystemen oder Onlineshops. Vielleicht bin ich dem System gegenüber aber auch so negativ eingestellt, weil ich das Vergnügen hatte eine ungeduldige Empfängerin am Telefon zu haben die insistierte, dass sie jetzt sofort dringend diese Mail braucht und dann ausgerechnet die Webseite zum Bestätigen fast zwei Stunden lang nicht erreichbar war. Überflüssig zu erwähnen, dass sie auch unfähig war, die E-Mail-Adresse selbst in die Whitelist einzutragen. Abgesehen davon fände ich es als potentieller Kunde albern, erstmal so abgeschreckt zu werden.
Member: SlainteMhath
SlainteMhath Dec 16, 2015 at 08:28:46 (UTC)
Goto Top
Zitat von @LordGurke:

Zitat von @SlainteMhath:
Greylisting hällt dir ca 99% aller unerwünschter Mail vom Leib. Dazu noch ein, zwei DNS-RBL's und gut isses.
Die Zeiten sind meiner Meinung nach vorbei. Da inzwischen Spam entweder über billig angemietete vServer oder mittels gestohlener SMTP-Zugangsdaten versendet wird, [...]
Also bei mir sind die Ergebnisse (noch) deutlich > 90%


Zitat von @SachsenHessi:
Die beste Möglichkeit, die ich kenne ist REDOXX.

Und 100% aller Mails von Support-Ticketsystemen oder Onlineshops.[...]
Hier bin ich 100%ig bei dir face-smile Die Reddox läuft bei mir mittlerweile nur noch als S/MIME Gateway
Member: wiesi200
wiesi200 Dec 16, 2015 at 10:21:37 (UTC)
Goto Top
Zitat von @tikayevent:

Erkläre das mal so nem unfähigen Hilfsadmin, der sein Mailserverwissen aus der Computerblind hat.

Hatte bis jetzt mit einem Türkischen Mailserver zu tun der da nicht mitgespielt hatte.
Und dafür gibt's dann ne White List und der kann dann wieder brav senden.

Einzige Ausnahme wenn man permanent andere Absender hat dann könnte es aufwendig werden.
Member: Dani
Dani Dec 19, 2015 at 15:46:43 (UTC)
Goto Top
Moin,
2. Proxy-Server zwischen Firewall und Netzwerk
Wir nutzen diese Variante. Wir nutzen NoSpamProxy seit einem Jahr und seitdem ist Ruhe eingekehrt. Ist mit Reddox in weiten Teilen vergleichbar. Ist bei uns inzwischen ein Selbstläufer.

3. Zumindestens die Anhänge bei den Mails, die als (vermuteter) Spam getagt sind, zu blockieren
Hört sich nach Mehrarbeit für euch zukünftig an.


Grüße,
Dani