J'ai géré plus de 100 environnements de messagerie distincts au fil des ans et j'ai utilisé de nombreux processus pour réduire ou aider à éliminer le spam.

La technologie a évolué au fil du temps, aussi cette réponse passera-t-elle en revue certaines des choses que j'ai essayées dans le passé et détaillera-t-elle l'état actuel des choses.

Quelques réflexions sur la protection...

• Vous voulez protéger le port 25 de votre serveur de messagerie entrant pour qu'il ne soit pas un relais ouvert où tout le monde peut envoyer du courrier via votre infrastructure. Ceci est indépendant de la technologie particulière du serveur de messagerie que vous utilisez. Les utilisateurs distants doivent utiliser un autre port de soumission y une forme d'authentification requise pour relayer le courrier. Le port 587 ou le port 465 sont les alternatives courantes au 25.
• Le cryptage est également un atout. Une grande partie du trafic de courrier est envoyée en clair. Nous en sommes au point où la plupart des systèmes de messagerie peuvent prendre en charge une certaine forme de cryptage ; certains l'exigent même.
• Il s'agit d'approches plus proactives pour prévenir votre site de courrier électronique d'être classé comme source de spam...

En ce qui concerne les spams entrants...

• Greylisting a été une approche intéressante pendant une courte période de temps. Forcer un rejet/retard temporaire dans l'espoir qu'un spammeur se déconnecte et évite de s'exposer ou de perdre le temps et les ressources nécessaires pour relancer les messages. Cela a eu pour effet d'entraîner des retards imprévisibles dans la distribution du courrier, n'a pas bien fonctionné avec le courrier provenant de grandes fermes de serveurs et les spammeurs ont fini par développer des solutions de contournement. Le pire impact était de briser l'attente des utilisateurs quant à la rapidité de la distribution du courrier.
• Les relais MX multiples doivent encore être protégés. Certains spammeurs essaieraient d'envoyer à un sauvegarde ou MX de moindre priorité dans l'espoir qu'il ait un filtrage moins robuste.
• Listes de trous noirs en temps réel (RBL/DNSBL) - Ces bases de données gérées de manière centralisée permettent de vérifier si un serveur d'envoi est répertorié. La forte dépendance à l'égard des RBL s'accompagne de mises en garde. Certains ne sont pas aussi réputés que d'autres. Les offres de Spamhaus ont toujours été bons pour moi. D'autres, comme SORBS Les fournisseurs de services Internet, qui ont une mauvaise approche de l'établissement des listes d'adresses IP, bloquent souvent les courriels légitimes. Dans certains cas, cela a été assimilé à un complot d'extorsion, car le retrait de la liste implique souvent une somme d'argent.
• Cadre de la politique de l'expéditeur (SPF) - Il s'agit essentiellement d'un moyen de garantir qu'un hôte donné est autorisé à envoyer du courrier pour un domaine particulier, tel que défini par un enregistrement TXT du DNS. C'est une bonne pratique de créer des enregistrements SPF pour votre courrier sortant, mais une mauvaise pratique de exiger des serveurs qui vous l'envoient.
• Clés de domaine - Ce n'est pas un usage répandu... pour l'instant.
• Suppression des rebonds - Empêche le retour des courriers non valides à leur source. Certains spammeurs essaient de voir quelles adresses sont actives ou valides en analysant les éléments suivants rétrodiffusion pour créer une carte des adresses utilisables.
• Contrôles DNS inversé/PTR - Vérifiez qu'un serveur d'envoi possède un enregistrement PTR inversé valide. Il n'est pas nécessaire que cet enregistrement corresponde au domaine d'origine, car il est possible d'avoir une correspondance de plusieurs domaines à un hôte. Mais il est bon de déterminer la propriété d'un espace IP et de savoir si le serveur d'origine fait partie d'un bloc d'IP dynamique (par exemple, le haut débit domestique - lire : les spambots compromis).
• Filtrage du contenu - (peu fiable) - Essayer de contrer les permutations de "(Viagra, v\|agra, viagra, vilgra.)" prend beaucoup de temps à l'administrateur et ne s'adapte pas à un environnement plus vaste.
• Filtrage bayésien - Les solutions anti-spam plus avancées permettent une formation globale ou par utilisateur du courrier. Lisez l'article lié sur les heuristiques, mais l'essentiel est que le courrier peut être classé manuellement comme bon (Ham) ou mauvais (Spam), et les messages résultants alimentent une base de données bayésienne qui peut être référencée pour déterminer la catégorisation des futurs messages. Généralement, cette classification est associée à un score ou à une pondération du spam, et peut être l'une des nombreuses techniques utilisées pour déterminer si un message doit être remis.
• Contrôle des taux/Étouffement - Approche simple. Limite le nombre de messages qu'un serveur donné peut tenter de délivrer pendant une certaine période. Différez tous les messages dépassant ce seuil. Cette méthode est généralement configurée du côté du serveur de messagerie.
• Filtrage hébergé et en nuage. Postini me vient à l'esprit, car c'était un nuage solution avant nuage était un mot à la mode. Aujourd'hui propriété de Google, la force d'une solution hébergée réside dans les économies d'échelle inhérentes au traitement du volume de courrier qu'elle rencontre. L'analyse des données et une simple portée géographique peuvent aider une solution hébergée de filtrage du spam à s'adapter aux tendances. L'exécution est cependant simple. 1). Faites pointer votre enregistrement MX vers la solution hébergée, 2). fournissez une adresse de livraison du serveur post-filtrage. 3). Profit .

Mon approche actuelle :

Je suis un fervent défenseur des solutions anti-spam basées sur des appareils. Je veux rejeter les pourriels à la périphérie du réseau et économiser les cycles du processeur au niveau du serveur de messagerie. L'utilisation d'une appliance offre également une certaine indépendance par rapport au serveur de messagerie (agent de distribution du courrier).

Je recommande Appareils Barracuda Spam Filter pour un certain nombre de raisons. J'ai déployé plusieurs douzaines d'unités et l'interface Web, l'image de marque de l'industrie et la nature de l'appareil "set-and-forget" en font un gagnant. La technologie dorsale incorpore plusieurs des techniques énumérées ci-dessus.

• Je bloque le port 25 sur l'adresse IP de mon serveur de messagerie et je règle l'enregistrement MX du domaine sur l'adresse publique de l'appliance Barracuda, par exemple spam.domain.com. Le port 25 sera ouvert pour la distribution du courrier.
• Le noyau est SpamAssassin -Dérivé d'une interface simple vers un journal des messages (et une base de données bayésienne) qui peut être utilisé pour classer le bon courrier du mauvais pendant une période d'entraînement initiale.
• Barracuda utilise plusieurs RBL par défaut, notamment celles de Spamhaus.org et leur propre Base de données de réputation du BRBL . Remarque - le BRBL est utilisable gratuitement comme RBL standard pour d'autres systèmes de messagerie. .
• La base de données de réputation de Barracuda est compilée à partir de données en direct, de pots de miel, d'analyses à grande échelle et d'un certain nombre de techniques exclusives. Elle comporte une liste blanche et une liste de blocage enregistrées. Les expéditeurs de courrier électronique à fort volume et à grande visibilité s'inscrivent souvent auprès de Barracuda pour obtenir une liste blanche automatique. Les exemples incluent Blackberry, Constant Contact , usw.
• Les contrôles SPF peuvent être activés (je ne les active pas, cependant).
• Une interface permet d'examiner le courrier et de le redistribuer à partir du cache de l'appareil si nécessaire. Ceci est utile dans les cas où un utilisateur attendait un message qui n'a peut-être pas passé tous les contrôles anti-spam.
• La vérification des utilisateurs LDAP/Active Directory permet d'accélérer la détection des destinataires non valides du courrier. Cela permet d'économiser de la bande passante et d'éviter rétrodiffusion .
• L'adresse IP/expéditeur/domaine/pays d'origine peuvent tous être configurés. Si je veux refuser tout courrier provenant de suffixes de domaines italiens, c'est possible. Si je veux empêcher le courrier provenant d'un domaine particulier, c'est facile à configurer. Si je veux bloquer le courrier d'un utilisateur harceleur d'envoyer un courriel à l'utilisateur, c'est faisable (histoire vraie).
• Barracuda fournit un certain nombre de rapports automatiques et un bon affichage visuel de l'état de l'appareil et des mesures du spam.
• J'aime avoir une appliance sur site pour conserver ce traitement en interne et éventuellement disposer d'une connexion de journalisation du courrier électronique post-filtre (dans les environnements où la conservation du courrier est nécessaire).
• Plus L'appareil peut résider dans un infrastructure virtualisée .

Console d'état Barracuda Spam & Virus Firewall 300

Une approche plus récente :

J'ai fait des expériences avec Le service de sécurité du courrier électronique en nuage de Barracuda au cours du mois écoulé. Cette solution est similaire à d'autres solutions hébergées, mais elle est bien adaptée aux petits sites, pour lesquels un appareil coûteux est prohibitif. Pour un coût annuel minime, ce service fournit environ 85 % de ce que fait l'appliance matérielle. Le service peut également être exécuté en tandem avec une appliance sur site pour réduire la bande passante entrante et fournir une autre couche de sécurité. Il s'agit également d'un tampon agréable qui peut mettre le courrier en file d'attente en cas de panne du serveur. Les analyses sont toujours utiles, même si elles ne sont pas aussi détaillées que celles d'une unité physique.

Console Barracuda Cloud Email Security

Dans l'ensemble, j'ai essayé de nombreuses solutions, mais étant donné l'ampleur de certains environnements et les exigences croissantes de la base d'utilisateurs, je veux la ou les solutions les plus élégantes disponibles. Il est certainement possible d'adopter l'approche multidimensionnelle et de "déployer sa propre solution", mais j'ai obtenu de bons résultats avec une sécurité de base et une bonne surveillance de l'utilisation du dispositif Barracuda. Les utilisateurs sont très satisfaits du résultat.

Nota: Cisco Ironport est aussi très bien... Juste plus cher.

En partie, j'approuve ce que d'autres ont dit ; en partie, je ne le fais pas.

Spamassassin

Cela fonctionne très bien pour moi, mais vous devez passer un certain temps à former le filtre bayésien. avec du jambon et du spam .

Greylisting

ewwhite peut penser que son jour est passé, mais je ne suis pas d'accord. Un de mes clients m'a demandé quelle était l'efficacité de mes différents filtres, voici donc les statistiques approximatives de juillet 2012 pour mon serveur de mails personnel :

• 46000 messages de tentative de livraison
• 1750 sont passés à travers le greylisting
• 250 sont passés par le greylisting + formé spamassassin

Si je n'avais pas eu recours à la liste grise et si j'avais accepté tous ces messages, ils auraient tous eu besoin d'un filtre anti-spam, ce qui aurait utilisé le processeur, la mémoire et la bande passante.

Modifier Puisque cette réponse semble avoir été utile à certaines personnes, j'ai pensé que je devais mettre à jour les statistiques. J'ai donc relancé l'analyse sur les journaux de courrier de janvier 2015, soit 2,5 ans plus tard.

• 115 500 messages ont fait l'objet d'une tentative de livraison
• 13 300 sont passés au travers du greylisting (et de quelques vérifications de base, par exemple un domaine d'expéditeur valide).
• 8 500 sont passés par le greylisting + spamassassin entraîné

Les chiffres ne sont pas directement comparables, car je n'ai plus de note sur la façon dont je suis arrivé aux chiffres de 2012, et je ne peux donc pas être sûr que les méthodologies étaient identiques. Mais j'ai la certitude que je n'avais pas besoin d'utiliser un filtre anti-spam coûteux en calcul pour une grande partie du contenu à l'époque, et que je n'ai toujours pas besoin de le faire, grâce à la liste grise.

SPF

Il ne s'agit pas vraiment d'une technique anti-spam, mais elle peut réduire la quantité de rétrodiffusion à laquelle vous devez faire face, si vous êtes joe-jobbed. Vous devez l'utiliser à la fois en entrée et en sortie : Vous devez vérifier l'enregistrement SPF de l'expéditeur pour les e-mails entrants, et accepter/rejeter en conséquence. Vous devriez également publier vos propres enregistrements SPF, en listant de manière exhaustive toutes les machines autorisées à envoyer du courrier en votre nom, et bloquer tous les autres avec -all . Les enregistrements SPF qui ne se terminent pas par -all sont complètement inutiles.

Listes de trous noirs

Les RBL posent problème, car on peut y entrer sans que ce soit de sa faute, et il peut être difficile d'en sortir. Néanmoins, elles ont un usage légitime dans la lutte contre le spam, mais Je suggère fortement qu'aucune RBL ne devrait jamais être utilisée comme un test clair pour l'acceptation du courrier. . La façon dont spamassassin gère les RBL - en en utilisant plusieurs, chacune contribuant à un score total, et c'est ce score qui prend la décision d'accepter ou de rejeter - est bien meilleure.

Dropbox

Je ne parle pas du service commercial, mais du fait que mon serveur de courrier a une adresse qui passe au travers de toutes mes listes grises et de tous mes filtres anti-spam, mais qui, au lieu d'être distribuée dans la boîte aux lettres de quelqu'un, est envoyée dans un dossier accessible au monde entier dans le dossier /var qui est automatiquement débarrassé chaque nuit de tous les courriels datant de plus de 14 jours.

J'encourage tous les utilisateurs à en tirer parti lorsqu'ils remplissent des formulaires de courrier électronique nécessitant une adresse électronique validable, lorsqu'ils reçoivent un courrier électronique qu'ils doivent conserver, mais dont ils ne souhaitent plus jamais entendre parler, ou lorsqu'ils achètent auprès de vendeurs en ligne qui sont susceptibles de vendre et/ou de spammer leur adresse (en particulier ceux qui sont hors de portée des lois européennes sur la protection de la vie privée). Au lieu de donner son adresse réelle, un utilisateur peut donner l'adresse de la boîte de dépôt, et ne regarder dans la boîte de dépôt que lorsqu'il attend quelque chose d'un correspondant (généralement une machine). Lorsqu'il arrive, il peut le prendre et l'enregistrer dans sa propre collection de courrier. Aucun utilisateur ne doit consulter la boîte de dépôt à un autre moment.

J'utilise un certain nombre de techniques qui réduisent le spam à un niveau acceptable.

Retarder l'acceptation des connexions provenant de serveurs incorrectement configurés. La majorité des spams que je reçois proviennent de spambots fonctionnant sur des systèmes infectés par des logiciels malveillants. La plupart d'entre eux ne passent pas la validation rDNS. En retardant d'environ 30 secondes chaque réponse, la plupart des Spambots abandonnent avant d'avoir délivré leur message. Le fait de n'appliquer cette mesure qu'aux serveurs qui échouent à la validation rDNS évite de pénaliser les serveurs correctement configurés. Certains expéditeurs en masse légitimes ou automatisés mal configurés sont pénalisés, mais délivrent leur message avec un délai minimal.

La configuration de SPF pour tous vos domaines protège vos domaines. La plupart des sous-domaines ne doivent pas être utilisés pour envoyer du courrier électronique. La principale exception concerne les domaines MX qui doivent pouvoir envoyer du courrier par eux-mêmes. Un certain nombre d'expéditeurs légitimes délèguent le courrier en vrac et automatisé à des serveurs qui ne sont pas autorisés par leur politique. Le fait de différer plutôt que de rejeter sur la base du SPF leur permet de corriger leur configuration SPF, ou à vous de les mettre sur une liste blanche.

Exiger un FQDN (Fully Qualified Domain Name) dans la commande HELO/EHLO. Les spams utilisent souvent un nom d'hôte non qualifié, des adresses littérales, des adresses IP ou un TLD (Top Level Domain) invalide. Malheureusement, certains expéditeurs légitimes utilisent des TLD invalides, il peut donc être plus approprié de différer dans ce cas. Cela peut nécessiter une surveillance et une mise en liste blanche pour permettre au courrier de passer.

DKIM aide à la non-répudiation, mais n'est pas très utile pour le reste. D'après mon expérience, il est peu probable que le spam soit signé. Le spam est plus susceptible d'être signé, ce qui lui confère une certaine valeur dans l'évaluation du spam. Un certain nombre d'expéditeurs légitimes ne publient pas leurs clés publiques ou configurent mal leur système.

La liste grise est utile pour les serveurs qui présentent des signes de mauvaise configuration. Les serveurs qui sont correctement configurés finiront par passer, c'est pourquoi j'ai tendance à les exclure de la liste grise. Il est utile de mettre les freemails sur la liste grise car ils ont tendance à être utilisés occasionnellement pour le spam. Le délai donne à certaines entrées du filtre anti-spam le temps d'attraper le spammeur. Il tend également à détourner les spambots, car ils ne réessayent généralement pas.

Les listes noires et les listes blanches peuvent également être utiles.

• J'ai constaté que Spamhaus est une liste noire fiable.
• La liste blanche automatique dans le filtre anti-spam permet d'atténuer le classement des expéditeurs fréquents qui sont occasionnellement des spammeurs, ou des spammeurs qui sont occasionnellement des Hamish.
• Je trouve la liste blanche de dnsl.org utile également.

Les logiciels de filtrage du spam sont assez efficaces pour détecter les spams, même si certains passent au travers. Il peut être difficile de ramener les faux négatifs à un niveau raisonnable sans trop augmenter les faux positifs. Je trouve que Spamassassin attrape la plupart des spams qui lui parviennent. J'ai ajouté quelques règles personnalisées, qui répondent à mes besoins.

Les postmasters doivent configurer les adresses d'abus et de postmaster requises. Accusez réception des réactions que vous recevez à ces adresses et agissez en conséquence. Cela permet à d'autres de vous aider à vous assurer que votre serveur est correctement configuré et qu'il n'est pas à l'origine de spams.

Si vous êtes un développeur, utilisez les services de messagerie existants plutôt que de mettre en place votre propre serveur. D'après mon expérience, les serveurs configurés pour les expéditeurs de courrier automatique sont susceptibles d'être mal configurés. Consultez les RFC et envoyez des e-mails correctement formatés à partir d'une adresse légitime de votre domaine.

Les utilisateurs finaux peuvent faire un certain nombre de choses pour aider à réduire le spam :

• Ne l'ouvrez pas. Marquez-le comme spam ou supprimez-le.
• Assurez-vous que votre système est sécurisé et exempt de logiciels malveillants.
• Surveillez l'utilisation de votre réseau, surtout lorsque vous n'utilisez pas votre système. S'il génère beaucoup de trafic réseau lorsque vous ne l'utilisez pas, il se peut qu'il envoie du spam.
• Éteignez votre ordinateur lorsque vous ne l'utilisez pas. (Il ne sera pas en mesure de générer du spam s'il est éteint).

Les propriétaires de domaines et les fournisseurs d'accès à Internet peuvent aider en limitant l'accès Internet sur le port 25 (SMTP) aux serveurs de messagerie officiels. Cela limitera la capacité des spambots à envoyer des messages sur Internet. Cette mesure est également utile lorsque les adresses dynamiques renvoient des noms qui ne passent pas la validation rDNS. Il est encore mieux de vérifier que l'enregistrement PTR des serveurs de messagerie passe la validation rDNS. (Vérifiez l'absence d'erreurs typographiques lorsque vous configurez les enregistrements PTR pour vos clients).

J'ai commencé à classer les e-mails en trois catégories :

• Ham (presque toujours à partir de serveurs correctement configurés, correctement formatés, et généralement des courriels personnels).
• Spam (principalement des Spambots, mais un certain pourcentage provient de freemailers ou d'autres expéditeurs dont les serveurs sont mal configurés).
• Bacn ; pourrait être Ham ou Spam (comprend beaucoup de courrier provenant de listes de diffusion et de systèmes automatisés. Ham se retrouve généralement ici à cause d'un DNS et/ou d'une mauvaise configuration du serveur).

La SEULE solution la plus efficace que j'ai vue consiste à utiliser l'un des services externes de filtrage du courrier.

J'ai de l'expérience avec les services suivants chez mes clients actuels. Je suis sûr qu'il y en a d'autres. Chacun d'entre eux a fait un excellent travail selon mon expérience. Le coût est raisonnable pour les trois.

• Postini de Google
• MXLogic de McAfee
• SecureTide de AppRiver

Ces services présentent plusieurs avantages considérables par rapport aux solutions locales.

1. Ils arrêtent la plupart (>99%) des spams AVANT qu'ils n'atteignent votre connexion Internet et votre serveur de messagerie. Compte tenu du volume de spam, cela représente beaucoup de données qui ne se trouvent ni sur votre bande passante ni sur votre serveur. J'ai mis en œuvre l'un de ces services une douzaine de fois et, à chaque fois, cela s'est traduit par une amélioration sensible des performances du serveur de messagerie.

2. Ils assurent également le filtrage anti-virus, généralement dans les deux sens. Cela réduit la nécessité d'avoir une solution "anti-virus de messagerie" sur votre serveur, et permet également de garder les virus complètement à l'abri.

Ils font également un excellent travail en bloquant les spams. En deux ans de travail dans une entreprise utilisant MXLogic, je n'ai jamais eu de faux positif, et je peux compter sur les doigts d'une main les messages de spam légitimes qui sont passés.