Аспро: ЛайтШоп [тема: Нужно разобраться, как лучше блокировать отправителей и откуда.]

Нужно разобраться, как лучше блокировать отправителей и откуда.

Wed, 07 Feb 2024 12:10:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Я не совсем понимаю, в чём тут проблема, но попробую ответить: сейчас это невозможно. Отправитель конверта (то, что указано в SMTP-диалоге) не является частью самого письма, и именно с ним сопоставляются WHO-объекты. А заголовок From — это просто заголовок, который надо сопоставлять через поле Match. Поскольку разные типы категорий в правиле объединяются по логике «и», нельзя сказать: вот этот WHO-объект или вот этот WHAT-объект — просто нужно иметь два правила. Но с точки зрения производительности это особой разницы не даёт, ведь оба совпадения в любом случае нужно проверить. К тому же применение правил редко становится узким местом, потому что основное время уходит на DNS-запросы, распаковку и упаковку письма, антивирусную проверку, обмен данными с исходящим и входящим почтовыми серверами и т.п. Даже если у вас несколько сотен регулярных выражений, это займёт значительно меньше времени по сравнению с доступом к диску и сети (если, конечно, у вас не *очень* ограниченные процессор и память, но сегодня они должны быть достаточно доступными).
07.02.2024 12:10:00, dcsapak.

Нужно разобраться, как лучше блокировать отправителей и откуда.

Sat, 20 Jan 2024 11:10:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
В ВОЗ у меня СпамПочта СпамДомен
20.01.2024 11:10:00, smileluo.

Нужно разобраться, как лучше блокировать отправителей и откуда.

Sat, 20 Jan 2024 11:08:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
ЧТО нужно сопоставить с информацией в заголовке письма, чтобы мой Proxmox применял нижеследующие правила для спама: HeaderFrom, HeaderTo, HeaderSubject, HeaderMessageID, HeaderReceived, HeaderReplyTo, HeaderXMailer, HeaderDisposition, HeaderOtherInfo. Можно добавить множество вариантов для каждого типа.
20.01.2024 11:08:00, smileluo.

Нужно разобраться, как лучше блокировать отправителей и откуда.

Sat, 20 Jan 2024 10:31:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
@smileluo Спасибо за ответы. У меня была такая ситуация: в некоторых случаях одна запись не срабатывала, и мне приходилось создавать по две записи для каждого домена, надеясь блокировать спамеров. Моя цель — добавить одну запись и таким образом блокировать всё, что связано с этим доменом. Возможно, это и не является реальным, и мне придется добавлять и What, и Who для каждого домена.
20.01.2024 10:31:00, MiamiJack.

Нужно разобраться, как лучше блокировать отправителей и откуда.

Sat, 20 Jan 2024 10:27:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
@dcsapak У меня огромные логи, поэтому найти, задокументировать и замаскировать информацию немного сложно. Могу сказать, что я получил сообщение уже зная, когда применил правило. Думаю, всё зависит от того, с чем я сравниваю. В кратком описании, которое я видел ниже (на изображении), говорится, КТО отправитель или получатель, и ЧТО содержится в сообщении, но я видел несколько постов, где человек использовал поле WHAT Matchfield вместо WHO. Моя цель —, скажем так, сопоставить ЛЮБОЙ заголовок с доменным именем по регулярному выражению выше, вместо того чтобы выбирать from/reply-to и так далее. Чтобы максимально эффективно написать одно правило, которое будет одним элементом и остановит спам (магия, которую мы, как известно, найти сложно). Я прикрепил трекинг, который веду по своим правилам, чтобы знать, где у меня может быть 1000 правил, но отбрасывается всего 4 письма в месяц, и тогда эти правила можно выкинуть, или чтобы видеть, что новый метод лучше предыдущего. Я делаю это как для белых, так и для черных списков. Во всех случаях мои новые правила срабатывают первыми (WL-Who-DOMR, WL-WT-MFrom, BL-Who-DomR, BL-WT-MTo, BL-WT-MFrom).
20.01.2024 10:27:00, MiamiJack.

Нужно разобраться, как лучше блокировать отправителей и откуда.

Sat, 20 Jan 2024 02:26:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Как вы знаете, для каждого письма адрес в поле Envelope From и адрес в заголовке From могут различаться.
20.01.2024 02:26:00, smileluo.

Нужно разобраться, как лучше блокировать отправителей и откуда.

Sat, 20 Jan 2024 02:16:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Если вы хотите заблокировать Envelope From, используйте WHO Who Objects > Create > Name: SpamSenders; Description: любое описание по вашему желанию. Затем нажмите SpamSenders, Add, Regular Expression >>> Regex: .*(@|\.)darnspammer\.com.

Если вы хотите заблокировать header From, используйте WHAT What Object > Create > Name: SpamHeaderFrom; Description: любое описание по вашему желанию. Затем нажмите SpamHeaderFrom, Add, Match Field >>> Field: From Value: .*(@|\.)darnspammer\.com.

В конце, в Mail Filter, добавьте SpamSenders и SpamHeaderFrom в ваши правила блокировки, чтобы всё работало.
20.01.2024 02:16:00, smileluo.

Нужно разобраться, как лучше блокировать отправителей и откуда.

Fri, 19 Jan 2024 18:09:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Спасибо, @smileluo, думаю, все эти варианты подойдут по части регулярных выражений, но дело скорее в том, где именно правило находится — КТО против ЧТО и так далее.
19.01.2024 18:09:00, MiamiJack.

Нужно разобраться, как лучше блокировать отправителей и откуда.

Fri, 19 Jan 2024 14:10:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Я использую следующий регулярное выражение для поиска основного домена и поддомена: .*(@|\.)darnspammer\.com. Все адреса электронной почты с основным доменом имеют вид @darnspammer.com, а все адреса с поддоменом — .darnspammer.com.
19.01.2024 14:10:00, smileluo.

Нужно разобраться, как лучше блокировать отправителей и откуда.

Fri, 19 Jan 2024 09:52:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Можешь выложить лог этого письма? По моему мнению, это вряд ли имеет большое значение, так как части spamassassins/disk/networking, скорее всего, занимают гораздо больше времени, чем обработка правил.
19.01.2024 09:52:00, dcsapak.

Нужно разобраться, как лучше блокировать отправителей и откуда.

Fri, 19 Jan 2024 04:54:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
@dcsapak Правило, которое я опубликовал, так же как и твоё, проходит проверку по регулярному выражению при добавлении правила для name@dom и name@sub.dom, но, к моему удивлению, даже после того, как это правило было применено, спам всё равно доходил. Какой метод, по твоему мнению, лучше всего использовать, чтобы заблокировать отправителя или envelope sender в одном месте, чтобы сократить количество правил? Или, может быть, что-то в заголовках... Добавлять 2 или 3 правила кажется просто замедлением доставки каждого сообщения.
19.01.2024 04:54:00, MiamiJack.

Нужно разобраться, как лучше блокировать отправителей и откуда.

Tue, 06 Feb 2024 22:35:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
@dcsapak Какие-нибудь идеи??
06.02.2024 22:35:00, MiamiJack.

Нужно разобраться, как лучше блокировать отправителей и откуда.

Thu, 25 Jan 2024 19:49:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Окей, сегодня у меня был отличный пример того, что я называю ЛУЧШИМ СПОСОБОМ! У меня есть 3 правила (две последние постепенно убираю), чтобы блокировать отправителей. Думаю, создавать сразу 3 правила — это перебор и неэффективно, но давайте двигаться дальше.

Код:

Who Object: BL-WO-RDomains -
.*@(\w+\.)?mediaware-news\.com

What Object: BL-WT-MFrom - Match Field from
.*@(\w+\.)*mediaware-news\.com

WHAT Object OLDER, but still active
BL-WHAT-MatchFrom - Match field from
.+@mediaware-news.com

Who Object - BL-WO-RDomains - Регулярное выражение (2 записи)
.*@(\w+\.)?embluejet\.com
.*@(\w+\.)?embluemail\.com

Не будем сейчас разбираться в синтаксисе выше и в том, как это делают все остальные — синтаксис верный, давайте просто поймём концепцию, на которой основан наш метод блокировки.

Вот ключевые строки из заголовка, сгруппированные по совпадению либо с доменом, который я пытаюсь заблокировать, либо с отправляющим сервером, который у меня в поле зрения как спамера.

Строка 16: header.d=mediaware-news.com; dmarc=pass action=none
Строка 17: header.from=mediaware-news.com; compauth=pass reason=100
Строка 34: DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; s=epexo; d=mediaware-news.com;
Строка 36: Message-ID:Date; i=itwarelatam@mediaware-news.com;
Строка 52: =?utf-8?q?a?=
Строка 56: reply-to: itwarelatam@mediaware-news.com

Строка 15: smtp.mailfrom=emark9.embluejet.com; dkim=pass (signature was verified)
Строка 19: emark9.embluejet.com discourages use of 138.9.12.150 as permitted sender)
Строка 27: Received-SPF: pass (emark9.embluejet.com: Sender is authorized to use 'emblue3prd_user2@emark9.embluejet.com' in 'mfrom' identity (mechanism 'include:_spf.embluemail.com' matched)) receiver=mgw.myproxmox.net; identity=mailfrom; envelope-from="emblue3prd_user2@emark9.embluejet.com"; helo=tnt30.embluetnt.com; client-ip=5.83.1.33
Строка 28: Received: from tnt30.embluetnt.com (tnt30.embluetnt.com [5.83.1.33])
Строка 41: DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; s=epexo; d=embluetnt.com;
Строка 59: List-Unsubscribe: <https://app.embluemail.com/Services/Interaccion.svc/DesuscribirContactoEnvio?datos=6g5d-R-ixfxyrxBKuwhhgbr,
Строка 61: Message-ID: <1RP-ac98e03bbd-p@embluemail.com>
Строка 63: Return-Path: emblue3prd_user2@emark9.embluejet.com

Конечно, в Outlook это выглядит так:
ITware Latam - Noticias de Tecnología en Latinoamérica < itwarelatam@mediaware-news.com >

Я не добавлял синие домены выше в свои новые правила, так что обязательно сделаю это, но это на 100% доказывает мою мысль: я хочу просто в одном правиле ловить mediaware-news, и если оно встречается где угодно в заголовке — сразу матч. Если нет, то приходится делать WHO/WHAT from или Regex, потом то же для Reply-to, и в итоге у меня может набраться сотня записей — что явно неэффективно. И к тому же приходится создавать правила для каждой записи отдельно.

(Кстати, я написал быстрый скрипт: подаю в него домены — он выдаёт команду для добавления правил/объектов.)

Вот, собственно, вопрос: есть ли у нас более эффективный способ сделать то, что я описал?
25.01.2024 19:49:00, MiamiJack.

Нужно разобраться, как лучше блокировать отправителей и откуда.

Tue, 02 Jan 2024 21:08:00 +0300

Нужно разобраться, как лучше блокировать отправителей и откуда. Proxmox Mail Gateway в форуме Proxmox Mail Gateway.
Всем привет! Я понимаю, что блокировка email-адресов связана с множеством нюансов, поэтому ищу способ упростить процесс и сделать его более эффективным. Например, я знаю, что у нас есть отправитель в конверте (envelope sender) и адрес в поле From, и цель — поймать домен по любому из этих полей. Я замечал, что ставил правило в нескольких местах: блокировка доменов с Block Who, добавлял домен — часто это не срабатывает. Пробовал Block Who Regex с .+@DarnSpammer.com, а также .+@.+DarnSpammer.com и даже Block WHO - E-mail; PainInDaButt@DarnSpammer.Com — но, как ни странно, по-прежнему спам проходит.

В пришедшем письме у меня есть такая информация:
Envelope From: PainInDaButt@DarnSpammer.Com
В Header From: PainInDaButt@DarnSpammer.Com
Return-Path содержит Recipient@notifications.DarnSpammer.Com.

И пока не уйдем в сторону: мы используем несколько RBL, блокируем многие IP-сети, с которых у нас был спам, и настраиваем SA с правилами, чтобы уменьшить количество спама. Так что вопрос такой: есть ли одно универсальное правило, которое сработает в 90% случаев из описанных выше, чтобы наконец-то заблокировать этих спамеров? Уменьшая число правил, я также рассчитываю снизить нагрузку на сервер и повысить эффективность обработки. Спасибо!
02.01.2024 21:08:00, MiamiJack.