🚀 go-pugleaf

Zygmunt M. Zarzecki wrote:

> Lemat wrote:
>> Kto ma dostęp do logów serwera poczty oraz (co ważniejsze) do logów
>> serwera DNS obsługującego domenę na tym serwerze?
>> Ważne jest to aby to wszystko było low-traffic, powiedzmy rzędu 1 spam na
>> 10 minut. Interesuje mnie korelacja zapytań o MX domeny z faktem
>> przybycia spamu. Mam pewną teorię spiskową. Chodzi o jeden konkretny
>> serwer.
> 
> Czy to coś podobnego do mojej teorii?
 
mam specjalny "view" w bindzie, do którego mam przypisane zakresy:
193.252.22.0/23; 80.12.242.0/24; 213.228.0.0/24; 168.95.0.0/16;
61.140.11.0/24; 210.21.4.133; 216.254.95.2; 222.221.0.0/24;
219.149.194.0/24; 202.101.98.55; 
w tym viewie moja domena nie ma rekordu MX ani A = nie ma mnie.

to jest orange, chiny i jakieś pojedyncze IPki.
moja ostatnia prośba dotyczyła 216.254.95.2, z którego miałem periodyczne
zapytania o MX a w chwilę później miałem w logach spam z zupełnie innej
sieci. W międzyczasie z tej sieci, z której przyszedł spam nie było zapytań
o mój MX (brałem pod uwagę także inne sieci tego samego operatora).

po wrzuceniu 216.254.95.2 do tej listy jak na razie nie obserwuję podobnego
efektu, ale też trudno mówić o spadku ilości spamu. Ale jakby wziąć pod
uwagę Chiny - to tak - widać, u mnie w tej chwili reszta Chin to 7,2% z
ogólnej liczby rejectów - wcześniej nawet 30%. Oczywiście mam za małą
próbkę do wyciągania jakichkolwiek wniosków statystycznych.

Stąd moja prośba o sprawdzenie takiej korelacji. Wynikiem jej było jedno
potwierdzenie i dwa zaprzeczenia mojej teorii, której założeniem było to,
że tego DNSa używa kontroler botnetu, który wysyła swoim zombie namiary
typu adres odbiorcy i adres jego MXa.

Ogólnie czasochłonność takiego wyszukiwania jest niewspółmierna do korzyści
osiągniętych.
-- 
Pozdrawiam
Lemat