Spam/virus-kontroll vid Lunds universitet www.ldc.lu.se Torgny.Hallenmark@ldc.lu.se Lars.Holst@ldc.lu.se

Anställda och studenter Parallella epost-servrar används: I huvudsak samma programvaror SunONE Messaging Server SunONE Directory Server (LDAP) Sendmail i mail-hub (anställda) Styrande system: LUCAT resp LADOK

LUCAT LADOK LDAP LDAP Helikon epost server epost server Falstaff Cassandra epost server Piraten

Ny struktur Samlad spam- och virus-kontroll uppsatt under juni-juli 2004 Tre parallella Sun-servrar V240 för kontroll Spam-kontroll: SpamAssassin m m Virus-kontroll: Sophos m m Adress-kontroll: Giltiga adresser i våra domäner

Spam- och viruskontroll mail.lu.se mail.lu.se mail.lu.se mail.lu.se Spam- och viruskontroll Argus1-3 epost server lokal epost-server POP IMAP webmail

Servrar, centralt/lokalt Central epost-server med tjänster: POP, IMAP, webmail 75% av anställda använder central epost-server Lokala epost-servrar finns på vissa institutioner Inkommande epost styrs via MX i DNS Lokala epost-servrar kan använda central spam/virus-kontroll

Virus-kontroll Programvara Sophos och ClamAV Märkning i Subject: ***VIRUS*** Virus-smittade bilagor klipps bort, info-text läggs in Även kontroll av ”farliga” filtyper (t ex dubbla filtyper)

Spam-kontroll Programvara SpamAssassin Spam-tester, spam-poäng summeras Även RBL kan ge spam-poäng Märkning i header: X-Spam-Flag Märkning i Subject: ***SPAM*** Ingenting kastas centralt, endast märkning Mottagare måste sätta upp filter i sitt epost-program

Spam-kontroll: Greylisting Började användas 1 juli 2004 Spam är inte längre något problem !!! 90-95% av spam är bara borta ! Spam kommer inte in, färre brev att kontrollera (både spam och virus) Inga beslut behövs om att kasta något

Reaktioner från användare: Fantastiskt, jättebra! Nu kan man använda mail som förr i tiden! Spammen är borta! Hur har ni burit er åt? Jättestort tack! Helt fantastiskt. Fick tidigare ca 200 spam om dagen, nu får jag högst två!! Tack för ett mycket bra jobb! Nästan tråkigt med så lite mail i inboxen … Det måste vara något fel på mail-systemet, jag får knappt några mail …

Greylisting Evan Harris: The Next Step in the Spam Control War http://projects.puremagic.com/greylisting/ Utnyttjar Internet SMTP-standard (RFC 821) Knepet är följande SMTP-svar: 451 4.7.1 TempFail – Please try again later Felkod 451 kan hanteras av ”riktiga” SMTP-servrar (lägg mail i kö, sänd om senare) Spam-spridarprogram kan inte … (ännu …)

Greylisting För inkommande epost kontrolleras följande triplett: 1) IP-adress för sändande SMTP-server 2) Avsändaradress (envelope sender) 3) Mottagaradress (envelope recipient) Om denna triplett är okänd sedan tidigare: Vägra ta emot (error 451, tempfail) Om denna triplett är känd sedan minst 5 minuter: Acceptera inkommande brev

En databas behövs (MySQL): Greylisting En databas behövs (MySQL): Time that triplet was first seen Time that triplet blocking will expire Time that triplet record itself will expire Number of blocked delivery attempts Number of messages sucessfully passed Some other data

Några konfigurationsparametrar: Greylisting Några konfigurationsparametrar: Unknown triplet, initial delay (default: 1 hour, LU: 5 minutes) Lifetime of new triplets that have not yet allowed a mail to pass (default: 5 hours) Lifetime of auto-whitelisted triplets that have allowed mail to pass (default: 36 days)

Greylisting: Manual whitelisting Kan göras för sändande server, avsändare, mottagare Egen IP-serie inlagd i whitelist (utgående epost från lokala klienter) ”Konstiga” servrar med problem kan läggas in (fast hellre bör de korrigeras)

Greylisting: Problem Fördröjd leverans första gången Epost-servrar som inte följer Internet SMTP-standard (hantering av error 451) Epost-servrar med jättelika spool-köer så att omsändning görs långt senare (vissa ISPer) Ingen slutlig lösning. Spam-spridarna lär sig säkert. Men håll tyst om Greylisting …!?

Programvara vid LU Sendmail 8.13 Greylisting (som Milter-funktion till Sendmail) MailScanner 4.31 SpamAssassin 2.63 Diverse RBL (kopplat till SpamAssassin) Sophos (antivirus) ClamAV (antivirus)

IT-enheten: Mål för epost vid LU Utgående epost ska tillåtas endast från godkända servrar (fåtal servrar med spam- och viruskontroll) All inkommande epost skall gå genom central spam- och viruskontroll Även intern epost skall gå genom spam- och viruskontroll

Lokala epost-servrar Certifiering finns sedan tidigare (relay-kontroll). Lista över godkända servrar. Mål: Reducera antal lokala servrar Servrar i lista kontrollerade, många svarar inte på SMTP-anrop Enkät går ut till kvarvarande aktiva servrar. Varför lokal epostserver? Bättre/fler tjänster centralt?

Mer information LU epost: www.ldc.lu.se/mail/ LU Lucat: www.lu.se/info/lucat/ Greylisting: projects.puremagic.com/greylisting/