🚀 go-pugleaf

W dniu 2020-03-23 o 14:34, LFC pisze:
> Nie odnieśliście wrażenia, że spamerzy się ostatnio mocno zaktywizowali.

Ci od proponowania baz adresów? Tak.

> Aktywowałem sendmailowi port 587 i przy okazji prześledziłęm logi.
> W secure od groma informacji saslautha o próbach zalogowania do smtp.
> W maillogu od groma info z refused z zen spamhaus.org
> Macie jakieś rozwiązanie, że np po 3, 4 nieudanych logowaniach z jednego IP - host ma bana na jakiś czas?

fail2ban
/etc/fail2ban/filter.d/sendmail-auth.conf:

failregex = \w{14}: (\S+ )?\[<HOST>\]( \(may be forged\))?: possible SMTP attack: command=AUTH, count=\d+$
             \[<HOST>\]( \(may be forged\))? did not issue MAIL\/EXPN\/VRFY\/ETRN during connection to MTA

Podobnie można filtrować te odrzucone przez zena.

> I jeszcze jedno - spam z reginalnymi domenami pisz.pl, zgora.pl, lapy.pl, zagan.pl, etc. Jest go coraz więcej.
> Jak to gówno wychwytujecie? Można po IP, ale tych IP jest kilka i co pewien czas się jednak zmieniają.

milter-regex

reject "Looks like hosted spam #3-140" #biuro,office,info,bok@*.miasto.pl
envfrom /(biuro|office|info|bok|smtp)@\w+\.(zgora|jgora|tgory|sejny|naklo|lapy|zagan|pisz|zarow|agro|waw|turek)\.pl/e and envrcpt //

a potem fail2ban:

failregex = \[<HOST>\]: REJECT: Looks like hosted spam #3-


> 
> Serwer to sendmail za autoryzacją na centos 6
> 
> LFC