🚀 go-pugleaf

On 1 Paź, 17:06, tomek.p...@gmail.com wrote:
> Na servie mam postfixa przeglądałm logi i nie zauważyłem nic
> dziwnego.

Bo całkiem możliwe, że postfix niczego nie przesyła, a "maile" idą
prosto z komputera użytkownika za NATem.

> Z tego co się doczytałem wygląda iż to jest syf z sieci.. jak mogę
> zapobiec temu ? puścic tcpdumpa i zobaczyć z jakiego ip atakuje porty
> 25 ? Jak się przed tym bronić ?

Metoda nieautomatyczna, ale dość skuteczna. Dodałem regułę do
firewalla (ipfw):

allow log tcp from my_local_network to not my_local_network dst-port
25

i jeżeli przechodzi przez nią dużo pakietów (informacją w codziennym
mailu) to zaglądam do /var/log/security i szukam skąd ten ruch na
porcie 25. Jeżeli ktoś się szczególnie powtarza i to z różnymi IP
docelowymi (nslookup się przydaje), to wtedy do firewalla trafia
odpowiednia reguła z "deny" ... i jak mi się chce, to poinformuję
właściciela maszyny. Jeżeli nie, a używa programów pocztowych, to sam
się odezwie z pytaniem, czemu nie może poczty wysłać.

tomek.plat@gmail.com napisał(a):
> Z tego co się doczytałem wygląda iż to jest syf z sieci.. jak mogę
> zapobiec temu ? puscic tcpdumpa i zobaczyc z jakiego ip atakuje porty
> 25 ? Jak się przed tym bronić ?

W dzisiejszych czasach zupełnie bezpieczne jest założenie, że
szanujący się prowajder poczty obsługuje pocztę wychodzącą z
autentykacją _i_ szyfrowaniem. Zatem wypuszczasz ruch na port 465,
a blokujesz cały ruch na port 25 z wyjątkiem pochodzącego z Twojego
serwera. Jeśli jakiś użytkownik ma na zewnątrz pocztę, która nie
obsługuje SSLa, to każesz im wysyłać przez Twój lokalny serwer z
autentykacją.

W ten sposób ubijasz praktycznie 100% spamu wychodzącego z twoich
(potencjalnie) zarażonych pecetów.

Elb

-- 
- No wiesz, pijany i o trzeciej nad ranem wracasz do domu!?
- A kto powiedział, że wracam? Po gitarę tylko przyszedłem.
===========================================================
FAQ  pl.rec.muzyka.gitara:          http://faq.prmg.art.pl/

On 13 Paź, 20:49, Paweł Kania <e...@sgh.waw.pl> wrote:
> W dzisiejszych czasach zupełnie bezpieczne jest założenie, że
> szanujący się prowajder poczty obsługuje pocztę wychodzącą z
> autentykacją _i_ szyfrowaniem. Zatem wypuszczasz ruch na port 465,
> a blokujesz cały ruch na port 25 z wyjątkiem pochodzącego z Twojego
> serwera. Jeśli jakiś użytkownik ma na zewnątrz pocztę, która nie
> obsługuje SSLa, to każesz im wysyłać przez Twój lokalny serwer z
> autentykacją.

Założenie słuszne, ale tylko w teorii. Potrzeba by zdefiniować co to
jest "szanujący się prowajder", ale ciągle dość powszechne
(przykładowo interia i wp) jest ustawianie SSLa na porcie 25, a
uwierzytelnianie bez szyfrowania to także często spotykany przypadek.

Co do "wysyłania poczty przez lokalny serwer", to jest jeszcze gorzej.
Można oczywiście zmusić użytkowników, żeby korzystali z lokalnych kont
i wysyłali nie tyle "przez" co "z" lokalnego serwera, bo w innym
przypadku pojawiają się problemy. Wiele serwerów pocztowych/dns ma
ustawioną opcję SPF, gdzie zawarta jest informacja o tym jakie serwery
mają prawo do wysyłania poczty z danej domeny. Gdy poczta będzie
wysłana przez inny serwer, to z założenia jest odrzucana jako spam. W
początkach problemów ze spamem w sieci zrobiłem forrwarda - wszystko
na port 25 ma iść na mój serwer. Działało, tylko były zwroty
informujące, że "spamu nie tolerujemy" - nazwa domeny nie zgadza się z
nazwą serwera.

> W ten sposób ubijasz praktycznie 100% spamu wychodzącego z twoich
> (potencjalnie) zarażonych pecetów.

Tu się zgodzę. Lokalny filtr antyspamowy powinien sobie poradzić ...
tyle, że kosztem użytkowników, czyli ograniczeniu ich dostępu do
wybranych usług (poczty).

Pozdrawiam,
MK

marcinkk napisał(a):
> Tu się zgodzę. Lokalny filtr antyspamowy powinien sobie poradzić ...
> tyle, że kosztem użytkowników, czyli ograniczeniu ich dostępu do
> wybranych usług (poczty).

Przykro mi; jeśli ktoś się nie zgadza z polityką bezpieczeństwa firmy,
z którym to dokumentem zapoznał się i go podpisał zaczynając pracę, to
jego problem.

A jako że to NTG, na dalszą dyskusję zapraszam na pl.comp.mail[.mta]

Elb

-- 
- No wiesz, pijany i o trzeciej nad ranem wracasz do domu!?
- A kto powiedział, że wracam? Po gitarę tylko przyszedłem.
===========================================================
FAQ  pl.rec.muzyka.gitara:          http://faq.prmg.art.pl/