+7 (495) 320-70-49
- Назад
- Телефоны
- +7 (495) 320-70-49
- Заказать звонок
info@proxmox.su
Москва, Бакунинская улица, 69с1
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Фишинговые письма, Proxmox Mail Gateway

dthompson

Guest

16.11.2018 16:25:00

Я пытаюсь понять, почему некоторые письма не блокируются спам-фильтром, и ищу помощь и советы от сообщества. У нас есть письма с домена unitecreative.ca, откуда жалуются на фишинговые атаки, которые проходят примерно раз-два в день. Письмо выглядит примерно так, с вложением .doc файла, но со временем меняется (язык, содержание):
==========================================================================
От: David Niemela <user@unitecreative.ca> <moiz@supremeuniversal.in>
Дата: 15 ноября 2018 года, 22:35 EST
Кому: user1@unitecreative.ca
Тема: Your David Niemela Statement

Добрый день,
Я отправил вам письмо с подтверждением последнего счёта.
С наилучшими пожеланиями,
- David Niemela
user@unitecreative.ca
==========================================================================

При этом они получают письма будто от «себя», по крайней мере так указан отправитель. Например, David Niemela, сотрудник unitecreative.ca, указан в поле «от», хотя фактический отправитель — "moiz@supremeuniversal.in". PMG считает, что это не проблема и пропускает сообщение с вложением конечному пользователю, который тоже работает на unitecreative.ca.
mx1 pmg-smtp-filter[23992]: 2D0235BEE3AF1A3F2E: SA score=0/5 time=1.403 bayes=4.9960036108132e-16 autolearn=no autolearn_force=no hits=BAYES_00,DKIM_INVALID,DKIM_SIGNED,HEADER_FROM_DIFFERENT_DOMAINS,RCVD_IN_DNSWL_NONE,SPF_PASS

Вопрос: как настроить сервер, чтобы отбрасывать такие письма? Они реально раздражают получателя. Сейчас фильтр блокировки спама установлен на 5. Стоит ли понизить уровень до 4 или 3? Но при этом не хочу блокировать легитимную почту, поэтому перед изменениями ищу советы от тех, кто сталкивался с похожим спамом. Спасибо за любую помощь!

killmasta93

Guest

19.11.2019 18:53:00

Спасибо за ответ, извиняюсь за непонимание. Я имел в виду, блокирует ли этот фильтр также письма, которые пытаются замаскировать отправителя? Например: from: client@domain.com <fakeemail@domain.com>. Фильтр должен блокировать любые письма, которые пытаются скрыть настоящий адрес другим. Спасибо!

killmasta93 Guest	#3 0 19.11.2019 14:52:00 @hata_ph, так этот фильтр сканирует письма, в которых меняются заголовки?

hata_ph

Guest

19.11.2019 15:26:00

Не совсем понимаю, что ты имеешь в виду под «сменой заголовков письма»... Ты можешь заблокировать весь домен отправителя или использовать регулярные выражения для части email отправителя или доменного имени...

Charles Oliveira

Guest

13.11.2019 22:29:00

У меня такая же проблема с фишингом: пользователи отправляют сообщения, выдавая себя за легитимных пользователей, подставляя в поле email «Alias» как действительный адрес в моём домене, и Proxmox эти письма принимает, не проверяя на вирусы. Есть идеи, как заставить Proxmox распознавать такие письма как внешние и сканировать их на вирусы?

От: "Other < Other@XXXXXX.com.br >" < gransegreteria@cavalieridellarcadellalleanza.it >
Кому: "Another" < Another@XXXXXX.com.br >
Тема: REF. ATUALIZAR/ SOLICITAR DADOS - RAFAEL Fernandes Araujo
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="----=_Part_52991_700906407.3400350869681498544"
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=aruba.it; s=a1; t=1572533332; bh=GLQazT+SBnxpaCQIeQD5YlZLATMi0bEiiCyI2sqT/Nw=; h=Date:From:To:Subject:MIME-Version:Content-Type; b=EIbqiji2vI9hXsiu60RKIPEJFa8xnmOkOFxpqTtHhnRaukJmt3SlR7A6tcIMy71SD78WPFhQIGib9IQLCLbGsWKNpZcz5Hb3M2LWKsCi9RAJvn8/q/n/EEph5UYypOEC3DQTMSpKvdzNed9Wwh8fw5skGYUZHKtRI98bVE6O4H1wMcun3jv/4AfxqFwbKnBfUsqpNeimHi0KC7ZylPrX53c7uG+q4EBOPbsoNJ+i1H586YPxTd0cWTTW+nXUlquVepM9N0ih0fkxygU12lkxTR3KWJTt+apgZKHR6ASF9rNl8zQ1+GR/pqT1F43koChw7ccP8Jjb5NqpdZVUWOgyPQ==
X-SPAM-LEVEL:
Spam detection results:
0 BAYES_00 -1.9 Bayes вероятность спама от 0 до 1%
DKIM_INVALID 0.1 DKIM или DK-подпись есть, но невалидна
DKIM_SIGNED 0.1 Письмо подписано DKIM или DK, не обязательно валидно
MISSING_MID 0.497 Отсутствует заголовок Message-Id
RCVD_IN_BL_SPAMCOP_NET 1.347 Получено через релей bl.spamcop.net
RCVD_IN_DNSWL_NONE -0.0001 Отправитель в списке https://www.dnswl.org/, без доверия
RCVD_IN_MSPIKE_H2 -0.001 Средняя репутация (+2)
SPF_HELO_NONE 0.001 SPF: HELO не публикует SPF-запись
SPF_NONE 0.001 SPF: отправитель не публикует SPF-запись

hata_ph

Guest

14.11.2019 02:58:00

Настройте правила фильтрации так, чтобы блокировался конкретный домен @cavalieridellarcadellalleanza.it или используйте регулярное выражение для всех доменов, которые заканчиваются на .it. Можно настроить блокировку или помещение в карантин. У меня работает, только убедитесь, что правила фильтрации имеют самый высокий приоритет. (\W|^)[\w.+\-]{0,50}@[\w.+\-]{0,50}\.it(\W|$)

hata_ph

Guest

20.11.2019 02:09:00

У меня такая же проблема. Приходит куча спам-писем, которые на первый взгляд выглядят, как будто их отправили наши внутренние пользователи. Но на самом деле это просто псевдоним, а настоящий адрес — с домена @kopran.com. Настройте правило блокировки или карантина, чтобы блокировать именно этот домен — @kopran.com.

hata_ph

Guest

20.11.2019 02:13:00

Если вы получаете много спама с доменов @xxx.best или @xxx.za, используйте регулярные выражения, чтобы блокировать или помещать такие письма в карантин. У меня пока это работает...
(\W|^)[\w.+\-]{0,50}@[\w.+\-]{0,50}\.best(\W|$)
(\W|^)[\w.+\-]{0,50}@[\w.+\-]{0,50}\.za(\W|$)

killmasta93

Guest

20.11.2019 04:23:00

Спасибо за ответ. Значит, если добавить правило блокировки для домена @mydomain.com на PMG, это заблокирует любые домены, которые пытаются подделать mydomain.com, правильно? И можно ли заблокировать письмо, если в нём есть алиас? Например, если письмо от noreply@paypal.com, но рядом в углу указано < fakemail@domain.com >, можно ли с помощью регулярного выражения заблокировать такие двойные адреса в заголовке? Спасибо.

hata_ph Guest	#10 0 20.11.2019 04:43:00 Нет. Он блокирует или помещает в карантин только те домены, которые вы указали в списке фильтрации. Например, вы получаете письмо с поля From: "abc@abc.com" <123@123.com>. Вам нужно заблокировать или поместить в карантин домен @123.com, а не @abc.com.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры