捕捉雪鞋垃圾邮件的最佳方法是什么?

我使用Smartermail作为我的小型邮件服务器。 最近我们遇到了一系列类似雪花的垃圾邮件问题。 他们一次三批或四批。 除了链接到的域名外,这些主体几乎完全相同。 源IP往往是从相同/ 24块一段时间,然后他们切换到另一个/ 24。 这些领域往往是全新的。 他们有有效的PTR和SPFlogging,并在身体底部随机乱序欺骗贝叶斯filter。

我使用了十几种不同的RBL,包括Barracuda,Spamhaus,SURBL和URIBL。 他们做了一个体面的工作,其中大部分都抓住了这个机会,但是由于知识产权和领域还没有被列入黑名单,我们仍然陷入了困境。

有没有我可以采用的策略,包括阻止新创build的域名或专门处理snoeshow垃圾邮件的RBL? 我希望避免使用第三方过滤服务。

这是否成为您的用户真正的问题?

我build议在这一点上全面的邮件过滤服务。 贝叶斯已经不再那么热了。 声誉,RBL,标题/意图分析和其他因素似乎帮助更多。 考虑一个云过滤服务来结合多种方法( 和集体卷 )来提供更好的保护( 我为我的客户使用梭子鱼的ESS云解决scheme )。

当然: 反垃圾邮件 – 我可以做什么:电子邮件pipe理员,域名所有者或用户?

我们并没有受到雪蹄袭击事件的负面影响。 我确实看到了一个这样的时期,邮件数量在这些攻击中日复一日地增长了三倍。 但没有一件坏事能够通过。 梭罗达在3天内将卷数降至正常水平。

我认为过滤全球邮件活动广泛的解决scheme可以比单独的邮件filter更好地应对攻击。

编辑:

最近在LOPSA邮件列表上也讨论过这个问题 :

我的贡献: https : //www.mail-archive.com/[email protected]/msg04180.html
另有意见: https : //www.mail-archive.com/[email protected]/msg04181.html

我是一名DNS运营人,与经常遭受这些攻击的组织密切合作。 处理Snowshoe攻击主要是一个过程问题,正如ewwhite所指出的那样,超出你公司的范围来解决内部问题。 我甚至会说,除非你有相当大的操作和几个商业的RBL饲料,否则你可能不应该试图通过使用商业过滤服务来解决这个问题。

也就是说,我们有这方面的经验,分享比分享更有趣。 有些接触点是:

  • 如果可能的话,训练您的邮件平台,以确定正在进行的雪鞋攻击的特征,并暂时拒绝来自相关networking的邮件。 乖巧的客户会尝试在临时失败时重新发送消息,而其他人往往不会。
  • 确保您的DNSpipe理员通过SNMP监视UDP-MIB::udpInErrors ,因为当Snowshoe攻击正在进行时,邮件平台能够将UDP侦听器的接收队列溢出。 如果不是这样,在Linux下快速告诉我们运行netstat -s | grep 'packet receive errors' netstat -s | grep 'packet receive errors'问题的DNS服务器上的netstat -s | grep 'packet receive errors' ; 大量的数字表明,他们需要摆脱他们的屁股,开始关注。 如果频繁发生溢出,则需要增加容量或增加接收缓冲区的大小。 (这意味着丢失了DNS查询,并且丢失了防止垃圾邮件的机会)
  • 如果您经常看到这些利用新创build的域的攻击,那么突出显示这些域的RBL确实存在。 一个例子是FarSight NOD (读这个的人应该自己研究),但这不是免费的。

完全披露:Farsight Security由Paul Vixie创build,当人们违反DNS标准时,我有一个坏习惯。

我安装了Declude(这是免费的)和Message Sniffer(不是),在过去的4天里,我看到一封垃圾邮件来自我的testing邮件账户,而不是每天收到的数十封垃圾邮件。 据我所知,我们没有过滤出好的电子邮件。 Spamassassin可能也是一个很好的解决scheme,虽然我没有任何运气,当我尝试在一个框中的垃圾邮件刺客..

这里的很多答案是一般的反垃圾邮件。 在某种程度上,这是有道理的,因为垃圾邮件发送者似乎正在走向雪鞋作为首选的交付方式。

Snowshoe最初总是从数据中心以低容量(基于IP)发送,并且始终包含一个取消订阅链接(无论是否有效)。 如今,雪鞋几乎从来没有取消订阅的信息,而是从其IP中大量发送,但却是一发不可收拾,这样当IP被列入黑名单时,它已经完成了邮件发送。 这被称为冰雹垃圾邮件

正因为如此, DNSBLs甚至是严格的基于模式的签名在捕捉雪鞋垃圾信息方面都非常糟糕。 有一些例外,如Spamhaus CSS列表 (专门针对雪鞋networking,是SBL和ZEN的一部分),但总的来说,您需要灰名单 / tarpitting (这可以延迟交付,直到DNSBL赶上),最重要的是,像贝叶斯垃圾邮件过滤这样的令牌驱动的机器学习系统。 贝叶斯尤其擅长探测雪鞋。

安德鲁B的回答提到了Farsight Security的新域名和主机名 (NOD),它试图预测雪鞋networking在他们分手之前,但在他们开始发送垃圾邮件之前。 Spamhaus CSS可能会做类似的事情。 CSS已经可以在阻塞环境中使用了,而NOD实际上是为了定制系统而不是独立/阻塞系统。