Spam/Viren. Ein Statusbericht. Roland Dietlicher ID/Basisdienste 12. Mai 2004

Transkript

1 Spam/Viren Ein Statusbericht Roland Dietlicher ID/Basisdienste 12. Mai 2004

2 Guten Tag Herr Dietlicher, Ich nehme nicht an, dass Sie es waren der mir rund 20 Spams gesendet hat - aber evtl müsste ihr Computer einmal durchforstet werden... Weiss ja nicht. Mit freundlichen Grüßen Roland Dietlicher 2

3 hallo hotline, ich bekomme in den letzten paar (3?) wochen immer wieder mails, die scheinbar von einem ETH studenten kommen, als empfänger steht jeweils private-, free_mail- oder der inhalt ist irgend ein scheiss, wie "Ich war auch ein wenig überrascht! Wer konnte so etwas ahnen!? Lese selbst" oder "Alles klaro bei dir? Schau mal was Ich gefunden habe! Meinst Du das wirklich?" das attachment hab ich natürlich nie geöffnet! habt ihr eine ahnung was das sein soll und ob das irgendwie gefährlich ist? Roland Dietlicher 3

4 guten tag schon mehrmals habe ich eine ähliche mail wie unten eingefügt erhalten. dabei bin ich sicher, dass ich keine mail an die adresse und ein paar andere) geschickt habe. warum erhalte ich dieses mail? kann jemand anderes meine adresse benutzen? reichte es dann, mein passwort zu verändern? gruss und dank From: System Administrator Sent: Wed :01 To: Beunruhigter, Benutzer Subject: Undeliverable:Lieferstatusbenachrichtigung Your message did not reach some or all of the intended recipients. Subject: Re: Re: Thanks! Sent: :01 The following recipient(s) could not be reached: on 5/5/ :01 The recipient could not be processed because it would violate the security policy in force < mail-fs.sunrise.ch #5.7.0> Roland Dietlicher 4

5 Internet Headers Microsoft Mail Internet Headers Version 2.0 X-MimeOLE: Produced By Microsoft Exchange V Received: from xsmtp.ethz.ch ([ ]) by EX5.d.ethz.ch with Microsoft SMTPSVC( ); Sun, 9 May :00: Received: from phil1.ethz.ch ([ ] RDNS failed) by xsmtp.ethz.ch with Microsoft SMTPSVC( ); Sun, 9 May :00: Received: from exim by phil1.ethz.ch with spamc (Exim 4.24) id 1BMtax-0001C1-4G for vorname.name@sl.ethz.ch; Sun, 09 May :04: Received: from [ ] (helo=fred.net) by phil1.ethz.ch with smtp (Exim 4.24) id 1BMtav-0001B5-VW for vorname.name@sl.ethz.ch; Sun, 09 May :04: Date: Sun, 09 May :03: To: "vorname.name" <vorname.name@sl.ethz.ch> From: "Roland.dietlicher" <roland.dietlicher@id.ethz.ch> Subject: Re: Hello Message-ID: <cumipxmothwwrwxuxja@sl.ethz.ch> MIME-Version: 1.0 Content-Type: multipart/mixed; boundary=" kzloptetupzzpnfylnbb" X-Spam-Checker-Version: SpamAssassin 2.63 ( ) on phil1.ethz.ch X-Spam-Level: ** X-Spam-Status: No, hits=2.0 required=5.5 tests=bayes_60,html_message,mime_html_only autolearn=no version=2.63 Return-Path: <roland.dietlicher@id.ethz.ch> X-OriginalArrivalTime: 09 May :00: (UTC) FILETIME=[EA2230C0:01C435F7] Roland Dietlicher 5

6 Internet Headers (contd.) kzloptetupzzpnfylnbb Content-Type: text/html; charset="iso " Content-Transfer-Encoding: 7bit kzloptetupzzpnfylnbb Content-Description: Replaced Blocked File.txt Content-Type: text/plain; name="replaced Blocked File.txt" Content-Transfer-Encoding: quoted-printable Content-Disposition: attachment; filename="replaced Blocked File.txt" kzloptetupzzpnfylnbb-- Roland Dietlicher 6

7 guter Header Microsoft Mail Internet Headers Version 2.0 Received: from xsmtp.ethz.ch ([ ]) by EX5.d.ethz.ch with Microsoft SMTPSVC( ); Tue, 11 May :07: Received: from phil1.ethz.ch ([ ] RDNS failed) by xsmtp.ethz.ch with Microsoft SMTPSVC( ); Tue, 11 May :07: Received: from wiggis.ethz.ch ([ ] ident=postfix) by phil1.ethz.ch with esmtp (Exim 4.24) id 1BNXyL-0004wM-Es for Tue, 11 May :11: Received: from wiggis1.ethz.ch (wiggis1.ethz.ch [ ]) by wiggis.ethz.ch (Postfix) with ESMTP id BB5E83409D for Tue, 11 May :07: (CEST) Received: from arizona.ethz.ch (arizona.ethz.ch [ ]) by wiggis.ethz.ch (Postfix) with ESMTP id EB17B3408A for Tue, 11 May :07: (CEST) Received: by arizona.ethz.ch (Postfix, from userid 1001) id 58E24DC30E; Tue, 11 May :07: (CEST) Roland Dietlicher 7

8 Date: Tue, 11 May :07: (CEST) From: "Elmar S. Heeb" X-X-Sender: To: "Dietlicher, Roland" Subject: Re: FW: ITEK : Beamer? In-Reply-To: < E359E F701E985FA035@EX5.d.ethz.ch> Message-ID: <Pine.LNX.4.58L @arizona.ethz.ch> References: < E359E F701E985FA035@EX5.d.ethz.ch> MIME-Version: 1.0 Content-Type: TEXT/PLAIN; charset=iso Content-Transfer-Encoding: QUOTED-PRINTABLE X-Virus-Scanned: by amavisd-new at phys.ethz.ch X-local: Return-Path: heeb@phys.ethz.ch X-OriginalArrivalTime: 11 May :07: (UTC) FILETIME=[3D1F66C0:01C43761] Roland Dietlicher 8

9 Inhalt ID-Mailserver Infrastruktur Spamfilter Spamassassin DCC Virenscanner auf Exchange Ausblick Roland Dietlicher 9

10 ID-Mailserver Internet Gateways/Filter (phil1/phil2) Exchange Frontends für SMTP, WebMail (OWA), POP, IMAP: 4 Server (2x2) Backend-Cluster für MAPI (Outlook): 8 Server (4x2) 108 ethz.ch-domänen (58) ca MA-Mailboxen (1900) ca Studenten-Mailboxen Speicherplatz: über 1 TB Roland Dietlicher 10

11 Spamfilter Architektur 2x Debian Linux mit EximMTA gefilterte Domänen Spamassassin Automatischer Forward Eindeutiger Forward Spamassassin mit DCC Loadbalancing mit DNS MX Keine MX-Einträge der empfangenden Domänen auf Exchange im DNS Roland Dietlicher 11

12 Exim 1. temp. Brute force filter /dev/null 2. ETH-IP-Range Adressat 3. Adressat will kein Filter Adressat 4. Whitelist Adressat 5. (User-Blacklist) /dev/null 6. zu filternde Domäne Spamassassin 7. Spam? 3 Optionen Roland Dietlicher 12

13 Spamassassin Tests - Rating 1. Message Header Analyse (Inkonsistenzen) 2. Hat die Absender-Domäne einen MX 3. RBL Abfragen (Blacklists) 4. DCC Checksummen Abfrage (ext.) 5. RAZOR (Signatur ext. Serverabfrage) 6. Bayes Filter (statistische Inhaltsanalyse) 7. Message Body Analyse (Keywörter...) Roland Dietlicher 13

14 DCC: Distributed Checksum Clearinghouse Tausende von Clients (=Mailserver) über 200 DCC-Server fuzzy Checksummen von über 130 Mio Mails/Tag Austausch eines UDP/IP Datagrams von ca. 100 Bytes Eigener DCC-Server? Empfohlen ab Mails/Tag Roland Dietlicher 14

15 DCC: Anzahl geprüfte Mails Roland Dietlicher 15

16 DCC: Anz. gespeicherte Checksummen Roland Dietlicher 16

17 Spamfilter: Statistik phil1/phil2 Filter: 93 ethz.ch-domänen mit ca Benutzern + Studierende Markieren im Subject: 42 Domains Disposal Option: 40 Domains /dev/null: 28 Domains Konfigurationsmöglichkeiten: Ausschalten: 247 Adressen Whitelist: 138 Einträge (Blacklist): 117 Roland Dietlicher 17

18 Spamfilter Statistik gefiltert Spam Mails Roland Dietlicher 18

19 Virenscanner McAfee Groupshield for Exchange Ausführbare Programme (*.exe,..) Das Virus (Attachement) wird entfernt und eine entsprechende Meldung wird eingefügt. Roland Dietlicher 19

20 Ausblick Virenscanner auf Gateways eigener DCC-Server Registrieren von sendenden Mail-Servern im DNS SPF (Sender Policy Framework) Caller ID (Microsoft) sender domain reg. sender ip Spam Verschlüsselte s? Signierte s? ETH PGP-Server? Roland Dietlicher 20

21 Namen Daniel Wunderli, Mr. Exchange David McLaughlin, Spam-Fighter Daniel Koch, Windows-Guru Andreas Voss, Mailbox-Mover Brigitte Malacarne, Kundenbetreuung u.v.m. Roland Dietlicher 21