56. DFN-Betriebstagung. DFN-MailSupport Erfahrungsbericht aus Anwendersicht

Transkript

1 56. DFN-Betriebstagung DFN-MailSupport Erfahrungsbericht aus Anwendersicht Oliver Koch Rechenzentrum Technischen Universität Clausthal &

2 Ein paar Zahlen und Fakten... Ca Nutzer (ca Studierende, 1200 Mitarbeiter) Von 2002 bis 2004 Postfix, Amavisd und SpamAssassin - Nur Tagging, keine Quarantäne-Funktion - Kunde musste selbst filtern Ab 2004 Postfix und Sophos PureMessage - Zentrale Spam-Quarantäne Landeslizenz ausgelaufen - Suche nach Nachfolgeprodukt Ab 2012 vielleicht DFN-MailSupport? - Klassischer SPAM-Order? TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 2

3 Erste Schritte DFN-BT am 18./ Anmeldung zum Pilotbetrieb am Anmeldeformular - Einrichtung, Domains, Ziel-Mailserver, technische Ansprechpartner etc. benennen Eigene Kundeninstanz im DFN-MailSupport-Dienst mit eigenen IP- Adressen an den drei Standorten (B, ER, S) Erste Tests mit Testdomain (@test.tu-clausthal.de) - Nachteil: Da kommt kein Spam! :-) TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 3

4 Erste Schritte... Ab dem : - erste produktive -Domain über DFN-MailSupport geleitet Weitere Instituts-Domains ab Hochschulweite Nutzung in Planung - Rechtliche Dinge klären TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 4

5 Grundsätzliche Konfiguration MX-Records auf DFN-MailSupport-Systeme zeigen lassen: host -t mx rz.tu-clausthal.de rz.tu-clausthal.de mail is handled by 10 mfilter mx.srv.dfn.de. rz.tu-clausthal.de mail is handled by 10 mfilter mx.srv.dfn.de. rz.tu-clausthal.de mail is handled by 10 mfilter mx.srv.dfn.de. rz.tu-clausthal.de mail is handled by 50 selket.rz.tu-clausthal.de. rz.tu-clausthal.de mail is handled by 50 sphinx.rz.tu-clausthal.de. DFN-MailSupport-Systeme mit hoher MX-Priorität Eigene Mail-Relays ggf. anfänglich mit geringerer MX-Priorität - SMTP-Verbindungen ausgehend geblockt - MX im internen Netz behalten? - Lieber nicht, Spammer nutzen MXe mit geringere Priorität gerne (Annahme: schlechtere Konfiguration) - Nicht alle s gehen durch die DFN-Systeme TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 5

6 Grundsätzliche Konfiguration SMTP zu DFN-Mail-Support-Systemen erlauben MX-Records nur auf DFN zeigen lassen Für Domains, die DFN-MailSupport nutzen: - Greylisting abschalten TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 6

7 Grundsätzliche Konfiguration Nach DFN-Spam-Bewertung zweite Bewertung durch Sophos PureMessage Erst einmal nur in Quarantäne-Stellung aufgrund des eigenen Scorings - DFN-Scoring erst einmal nur als Vergleichswert Ursprünglicher Quell-Server ändert sich! - Vergleich der Erkennungsraten nicht 100%ig möglich? Und: DFN-MailSupport nutzt DNSRBLs - Es wird vor der Spam-Bewertung schon aussortiert TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 7

8 Spam-Erkennungsrate DFN-MailSupport erkennt Spam, der von PureMessage nicht ausreichend als Spam bewertet wurde Aber auch zu harte Bewertungen: X-DFN-Virus-Scanned: Debian amavisd-new at mgw1-tub.srv.dfn.de X-DFN-Spam-Flag: YES X-DFN-Spam-Score: X-DFN-Spam-Level: ******* X-DFN-Spam-Status: Yes, score=7.011 tagged_above=2 required=6.2 tests=[bogo_spam=7, HTML_MESSAGE=0.001, T_DKIM_INVALID=0.01] autolearn=disabled TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 8

9 Spam-Erkennungsrate - Bogo-Spam: 7 Punkte - Spam-Flag = YES wird ab 6,2 Punkten gesetzt - Bogo-Spam vielleicht mit nur 5 oder 6 Punkten bewerten lassen? - Einzelnes Bewertungskriterium sollte nicht zur Aussortierung führen! TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 9

10 Spam-Erkennungsrate Newsletter bekommen fast alle 7 Punkte durch Bogo-Spam! Für weitere Tests beim DFN erfragt BOGO_SPAM=6 zu konfigurieren - Problem: Zentrale Amavis-Instanz - Änderungen wären für alle Instanzen gültig - Seit dem : - Eigene Amavis-Instanzen -BOGO_SPAM-Bewertung pro Kunde konfigurierbar - Siehe auch IP-basierende Whitelists für Newsletter - -Weiterleitungen (!) TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 10

11 Viren-Erkennung Header-Einträge, die beim Filter helfen: X-DFN-Amavis-Alert: INFECTED, message contains virus: Eicar- Test-Signature Keine ausführlichen Tests der Erkennungsgüte - Mehrere Virenscanner - Erkennung sollte gegeben sein. ;-) TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 11

12 Basis-Checks Postfix-Check der Sender-Domain - reject_unknown_sender_domain - reject_non_fqdn_sender Postfix-Check des Helo-Hostnames - Keine - Amavid/SpamAssassin verteilt Punkte für - Helo-Hostname kein FQDN -Helo-Hostname-Domain nicht existent TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 12

13 Erreichbarkeit Überwachung der DFN-MailSupport-Instanz per Nagios - Ping - SMTP Keine Probleme erkannt TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 13

14 Durchsatz Test mit insgesamt Test-Mails auf einen Knoten: - Annahme der s: 192 s/Sekunde - Scannen der s: 45 s/Sekunde - Zustellung an Ziel-Mailserver: 10 s/Sekunde Test mit insgesamt Test-Mails auf einen Knoten: - Annahme der s: 125 s/Sekunde - Scannen der s: 45 s/Sekunde - Zustellung an Ziel-Mailserver: 12 s/Sekunde TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 14

15 Durchsatz Traffic verteilt sich auf drei Knoten DNSBLs blocken sehr viel - Befürchtung DFN-MailSupport-Dienst sei nicht leistungsfähig genug (z.b. kein Greylisting) unbegründet! Keine Engpässe erkannt - Aufstockung der Amavis-Prozesse bei Engpässen möglich! TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 15

16 Logging Syslog-Stream von DFN-Systemen - Auf eigenem Syslog-Server annehmen und speichern - Z.B. mit rsyslogd in MySQL-Datenbank und phplogcon TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 16

17 Integration von DFN-MailSupport in Sophos PureMessage Spam-Bewertung der DFN-Systeme in eigene Bewertung einfließen lassen Beispiel: - Eigene Bewertung: 49% (Quarantäne-Stellung ab 50%) - DFN-Bewertung: 80% mit DFN-Spam-Flag = YES - DFN-Bewertung erhöht eigenes Scoring - wird dann doch in Quarantäne gestellt Mit DFN-MailSupport eigenes System verbessern. - Bogo-Spam (!) TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 17

18 Rechtliche Aspekte Einverständnis bei Testteilnehmern (Instituten, ) eingeholt Datenschutzbeauftragten befragt - DFN-MailSupport-Dienst ist Auftragsdatenverarbeitung DFN-Verein schickt Anwendern Vertragsunterlagen zu TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 18

19 Ausblick Feedback von anderen DFN-Einrichtungen in weitere Planung einbeziehen - Blick in Maillogs zeigt: DFN-MailSupport einigerorts im Produktivbetrieb! Uniweite Einführung in Planung - Technisch sofort umsetzbar Was ist bis dahin zu tun? - Rechtliche Regelungen treffen - Gemeinsam mit DFN-Verein SpamAssassin bzw. Bogofilter tunen TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 19

20 Fragen? Vielen Dank für Ihre Aufmerksamkeit. :-) Oliver Koch Rechenzentrum Erzstraße 51 D Clausthal-Zellerfeld Telefon: ( ) Telefax: ( ) URL: TU Clausthal, Rechenzentrum DFN-MailSupport Erfahrungsbericht 20