spamassasin + clamav (фильтруем почту)

[aim]

каким способом кроме как через amavis запускать вместе spamassassin и clamav?

[VPF]

каким способом кроме как через amavis запускать виесте spamassassin и clamav?

Можно так
1. Установить Clamassassin и Procmail

2. Если почтовик Postfix, то добавить в main.cf

Код: Выделить всё

mailbox_command = /usr/bin/procmail -a "$EXTENSION"

То есть направлять всю почту для фильтрации и сортировки через Procmail.

3. Настроить Procmail. Для этого необходимо, чтобы файл procmailrc находился в /etc/
Первые правила

Код: Выделить всё

:0fw
| /usr/local/bin/clamassassin

:0:
* ^X-Virus-Status: Yes
/dev/null

:0fw
| spamassassin

:0:
* ^X-Spam-Status: Yes
/dev/null

Затем необходимо добавить правила для сортировки почты по ящикам пользователей, например

Код: Выделить всё

:0
* ^TO.*user1@domen.ru
user1

:0
* ^TO.*user2@domen.ru
user2

[Igor Yakimchuk]

На opennet.ru естьстатья с примером скрипта, как их подружить

[aim]

На opennet.ru естьстатья с примером скрипта, как их подружить

а можно урл?

[Igor Yakimchuk]

если еще не поздно http://www.opennet.ru/base/net/clamav_post...sassin.txt.html

[crez]

Никогда не поздно!

У меня вопрос в тему:

Полтора года назад работал в организации и установил связку Postfix+Spamassassin. Оба были в комплекте дистриба. Все тогда настроил, а вот обучить не успел - скормил около двухсот писем со спамом.

Все возвращается на круги своя - и я вернулся Все успешно работает (связка), но у меня возник вопрос... а так ли оно работает?

Значит имеем:

1. Запись в master.cf для Postfix-а

Код: Выделить всё

smtp    inet    n    -    -    -    -    smtpd -o content_filter=filter:dummy

filter    unix    -    n    n    -    -    pipe    user=spamfilter    argv=/usr/local/bin/spamfilter.sh -f $(sender) -- $(recipient)

Т.е. вся почта направляется на проверку в фильтр

2. Скрипт фильтра spamfilter.sh

Код: Выделить всё

#!/bin/sh
INSPECT_DIR=/var/spool/filter
SENDMAIL="/usr/sbin/sendmail -i"
SPAMASSASSIN=/usr/bin/spamc
EX_TEMPFAIL=75
EX_UNAVAILABLE=69
cd $INSPECT_DIR || { echo $INSPECT_DIR does not exist; exit $EX_TEMPFAIL; }
# Clean up when done or when aborting.
trap "rm -f in.$$; rm -f out.$$" 0 1 2 3 15
cat | $SPAMASSASSIN > out.$$ || { echo Message content rejected; exit $EX_UNAVAILABLE; }
$SENDMAIL "$@" < out.$$
exit $?

В результате получаю около двух сотен писем на свой почтовый ящик, которые в теле имеют примерно такую запись:

Код: Выделить всё

Return-Path: <info@bertha.co.uk>
X-Original-To: crez@louion.spb.ru
Delivered-To: crez@louion.spb.ru
Received: by mail.louion.spb.ru (Postfix, from userid 10028)
        id B21B911004C; Wed, 28 Feb 2007 10:06:47 +0300 (MSK)
Received: from localhost by gate.louion.spb.ru
        with SpamAssassin (version 3.0.4);
        Wed, 28 Feb 2007 10:06:47 +0300
From: =?koi8-r?B?4c7B1M/Myco=?= <info@bertha.co.uk>
To: crez@louion.spb.ru
Subject: =?koi8-r?B?0NLF2sXO1CDEzNEg1c3Oz8og1sXO3cnO2Q==?=
Date: Wed, 28 Feb 2007 08:34:01 +0300
Message-Id: <015401c75afa$0e868810$d6f3000a@acre>
X-Spam-Flag: YES
X-Spam-Checker-Version: SpamAssassin 3.0.4 (2005-06-05) on gate.louion.spb.ru
X-Spam-Level: ************
X-Spam-Status: Yes, score=12.1 required=7.0 tests=HELO_DYNAMIC_IPADDR2,
        HELO_DYNAMIC_SPLIT_IP,RCVD_IN_BL_SPAMCOP_NET,RCVD_IN_DSBL,
        RCVD_IN_NJABL_DUL,RCVD_IN_SORBS_DUL,RCVD_IN_XBL,RCVD_NUMERIC_HELO
        autolearn=failed version=3.0.4
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="----------=_45E52A07.CD712C42"
X-Antivirus: avast! (VPS 000718-0, 27.02.2007), Inbound message
X-Antivirus-Status: Clean

Т.е. спам флаг им ставится - они 100%-й спам. По счетчику многие зашкаливают (например, данное аж 12.1 баллов получило). НО! Они присылаются мне!

Может я не доучил spamassassin или должен в скрипте фильтра добавить строчку типа "отправить такие письма в /dev/null"?
Подскажите...

[VPF]

Полтора года назад работал в организации и установил связку Postfix+Spamassassin. Оба были в комплекте дистриба. Все тогда настроил, а вот обучить не успел - скормил около двухсот писем со спамом.

Т.е. спам флаг им ставится - они 100%-й спам. По счетчику многие зашкаливают (например, данное аж 12.1 баллов получило). НО! Они присылаются мне!

Может я не доучил spamassassin или должен в скрипте фильтра добавить строчку типа "отправить такие письма в /dev/null"?
Подскажите...

Не стоит всю нагрузку возлагать на Spamassassin.
Тем более, что в таком варианте письма уже поступают на сервер (трафик оплачивается).
Гланым в борьбе со спамом должен быть сам Postfix.
Именно так у меня всё и работает.
Результат - проскакивают единичные письма при непрерывном потоке спама.
При этом весь спам отсеивается на этапе запросов и трафик не формируется.

Напиши мне, если нужен конфиг Postfix.
vpf@zavod-p.ru

[aim]

Напиши мне, если нужен конфиг Postfix.
vpf@zavod-p.ru

а почему бы кусок не кинуть сюда?

[crez]

Логично и с объяснениями, что делает та или иная запись.

Кстати, я-то в данный момент не пойму - SA включится, когда обучится или он уже работает, но наглым образом присылает мне спам? Если второй вариант, то что добавить в скрипт, чтоб письма уходили.... в никуда

[VPF]

Логично и с объяснениями, что делает та или иная запись.

Хорошо, постараюсь сегодня выложить сам конфиг (основную часть).
Комментарий писать пока нет времени.
Это уже дополнительный сервис

В мире свободного ПО принято прилагать усилия самостоятельно.
Появятся конкретные вопросы, тогда уже другое дело.

[crez]

Принимается! Ждем-с...

[VPF]

Наконец нашлось свободное время.
Выкладываю рабочий конфиг Postfix, из которого удалил специфические настройки моего дистрибутива.
Самое основное и важное для борьбы со спамерами представлено в данном конфиге.
В моей рабочей схеме используются дополнительные механизмы, но это уже особенности моего специализированного дистрибутива.
До недавнего времени мой почтовый сервер работал на Mandrake и основные настройки я переносил со своего старого конфига.

[Igor Yakimchuk]

Логично и с объяснениями, что делает та или иная запись.

Кстати, я-то в данный момент не пойму - SA включится, когда обучится или он уже работает, но наглым образом присылает мне спам? Если второй вариант, то что добавить в скрипт, чтоб письма уходили.... в никуда

если удалять письма в /dev/null, то надо настроит procmail


VPF, считаю что использование всяких rbl баз не лучший вариант. Но как говорится каждый борется как может.

[VPF]

VPF, считаю что использование всяких rbl баз не лучший вариант. Но как говорится каждый борется как может.

Почему?
Что предлагаете?

В этом варианте я получаю нормальный результат.
Все нужные письма доходят, спам отсекается, а трафик минимальный.
Забыл уточнить, что приходиться также блокировать ящик postmaster.
С точки зрения правил - это нехорошо, но реальность такова, что на этот ящик у меня поступает несколько сотен спамовых писем ежедневно, поэтому принимаю жёсткие меры.
Точнее в файле /etc/postfix/relocated есть запись, которая формирует обратное сообщение с просьбой перезвонить мне по указанному номеру, но ещё никто никогда не звонил. Пока ещё не определился, как поступить с этим ящиком в дальнейшем.

Если у кого есть лучшие предложения, то поделитесь.
Только, пожалуйста, предлагайте проверенные рабочие варианты.

[crez]

Кстати, я-то в данный момент не пойму - SA включится, когда обучится или он уже работает, но наглым образом присылает мне спам? Если второй вариант, то что добавить в скрипт, чтоб письма уходили.... в никуда

На вопрос-то мне так никто и не ответил

[VPF]

Кстати, я-то в данный момент не пойму - SA включится, когда обучится или он уже работает, но наглым образом присылает мне спам? Если второй вариант, то что добавить в скрипт, чтоб письма уходили.... в никуда

На вопрос-то мне так никто и не ответил

Ответ был раньше, чем сам вопрос.
Он в данной теме - второй сверху.

[crez]

Сделал все, как прописал доктор Жду...
О результатах отпишусь...

[Igor Yakimchuk]

VPF, считаю что использование всяких rbl баз не лучший вариант. Но как говорится каждый борется как может.

Почему?
Что предлагаете?

В этом варианте я получаю нормальный результат.
Все нужные письма доходят, спам отсекается, а трафик минимальный.

да потому что это не всегда может быть спам. Можно конечно сказать что это проблема админа, но все зависит от важности писем.
Хотя если проблема в трафике, то конечно можно делать все что угодно

[suhanov]

Igor Yakimchuk

да потому что это не всегда может быть спам

Ну, тот же spamassasin пропускает спам в ящики, что абсолютно не радует.
Так что, на текущий момент, лично для меня (и организаций в которых я работаю) - RBL является более логичным выбором, чем обучающиеся спамоубивалки. А вот сотрудничать с дырявыми релеями и их настройщиками - дело неблагодарное.
К тому же, никто не мешает поставить определённые хосты/домены в исключения.

В любом случае - всё зависит от условий. Вот меня, например, не радует, что мой почтовый ящик у провайдера фильтруется spamassasin'ом. =)

[VPF]

VPF, считаю что использование всяких rbl баз не лучший вариант. Но как говорится каждый борется как может.

Почему?
Что предлагаете?

В этом варианте я получаю нормальный результат.
Все нужные письма доходят, спам отсекается, а трафик минимальный.

да потому что это не всегда может быть спам. Можно конечно сказать что это проблема админа, но все зависит от важности писем.
Хотя если проблема в трафике, то конечно можно делать все что угодно

Вот предлагаю ознакомиться с отчётом моего почтового сервера за вчерашний день.
Здесь представлено, то что отфильтровано средствами Postfix.
Среди этого списка я обнаружил только один полезный адрес, с которым надо разобраться.
Остальные несколько сотен писем - спам и вирусы.

[Igor Yakimchuk]

Вот предлагаю ознакомиться с отчётом моего почтового сервера за вчерашний день.
Здесь представлено, то что отфильтровано средствами Postfix.
Среди этого списка я обнаружил только один полезный адрес, с которым надо разобраться.
Остальные несколько сотен писем - спам и вирусы.

я ж не говорил, что против всего прямо. Проверка МХ или А записи для домена я тоже считаюб правильным. Я в частности только про rbl говорил. У меня например spamassassin пока ни разу не обманул, буду надеяться и в дальнейшем тоже так будет. И проблема трафика у меня не стоит, поэтому плевать на него.

[crez]

Понедельник, утро. Вижу результат

Spamassassin заработал правильно и хорошо! Учитывая, что меня не было с вечера четверга, за трое суток просочились только 120 писем (это по сравнению с тем, что было - капля в море). Это радует - обучение SA продолжается - все эти письма были тут же ему скормлены.

Подожду еще недельку, а там буду смотреть, стОит дополнительно что-то устанавливать или нет.

[VPF]

Понедельник, утро. Вижу результат

Spamassassin заработал правильно и хорошо! Учитывая, что меня не было с вечера четверга, за трое суток просочились только 120 писем (это по сравнению с тем, что было - капля в море). Это радует - обучение SA продолжается - все эти письма были тут же ему скормлены.

Подожду еще недельку, а там буду смотреть, стОит дополнительно что-то устанавливать или нет.

Через Procmail всю почту пропускаешь?
Посмотри, те письма, которые проскочили Spamassassin, кому адресованны?
Адрес получателя указан верный, или случайный?

Я указал только основные правила для Procmail.
Когда сообщишь информацию, то будет понятно, нужны ли дополнительные правила или проблему надо решать по-другому.

[n2j2r]

зря некоторые товарищи не любят rbl
у меня связка в postfix rbl+таймаут на smtp-connect (sleep секунд на 10). Итог reject до 100%

Код: Выделить всё

sleep seconds
    Pause for the specified number of seconds and proceed with the next restriction in the list, if any. This may stop zombie mail when used as:

Код: Выделить всё

    /etc/postfix/main.cf:
        smtpd_client_restrictions =
            sleep 1, reject_unauth_pipelining
        smtpd_delay_reject = no

[VPF]

зря некоторые товарищи не любят rbl
у меня связка в postfix rbl+таймаут на smtp-connect (секунд на 10). Итог reject до 100%

Вот и я о том же

[crez]

Да, почта через procmail бежит. И письма адресованы конкретно мне:

Код: Выделить всё

Return-Path: <info@dannyn.co.uk>
X-Original-To: crez@louion.spb.ru
Delivered-To: crez@louion.spb.ru
Received: by mail.louion.spb.ru (Postfix, from userid 10028)
        id 952FD110039; Mon,  5 Mar 2007 08:25:09 +0300 (MSK)
Received: from 82.128.76-86.rev.gaoland.net (unknown [86.76.128.82])
        by mail.louion.spb.ru (Postfix) with SMTP id AACD1110038
        for <crez@louion.spb.ru>; Mon,  5 Mar 2007 08:24:58 +0300 (MSK)
Message-ID: <020101c75ed8$f64173e0$d6f3000a@illusion>
From: "MAY" <info@dannyn.co.uk>
To: crez@louion.spb.ru
Subject: =?windows-1251?B?zODp8ero5SDv8ODn5O3o6ugg4iDS8/D26Og=?=
Date: Mon, 5 Mar 2007 06:47:12 +0300
MIME-Version: 1.0
Content-Type: multipart/related;
        type="multipart/alternative";
        boundary="----=_NextPart_000_01FD_01C75EF2.1AA29E30"
X-Priority: 3
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2900.3028
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.3028
X-Spam-Checker-Version: SpamAssassin 3.0.4 (2005-06-05) on gate.louion.spb.ru
X-Spam-Level: ****
X-Spam-Status: No, score=4.2 required=7.0 tests=EXTRA_MPART_TYPE,
        HELO_DYNAMIC_IPADDR2,HELO_DYNAMIC_SPLIT_IP,HTML_90_100,HTML_FONT_BIG,
        HTML_MESSAGE,HTML_TAG_EXIST_TBODY,RCVD_IN_NJABL_DUL autolearn=no
        version=3.0.4
X-Antivirus: avast! (VPS 000721-1, 03.03.2007), Inbound message
X-Antivirus-Status: Clean

Проскакивают сейчас только те, что не дотягивают до 7-ми баллов (по шкале Рихтера )
Я и говорю, что хочу недельку подождать - до пятницы. Буду скармливать ему эти "недотягивающие", по-идее SA должен обучиться и начать их тоже отсеивать. А вот если не справится - надо будет правила дописывать.

Предлагаю позже сделать howto по этой связке (просто вспоминаю, как сам тогда мучительно собирал по крупицам инфу)

[VPF]

Проскакивают сейчас только те, что не дотягивают до 7-ми баллов (по шкале Рихтера )
Я и говорю, что хочу недельку подождать - до пятницы. Буду скармливать ему эти "недотягивающие", по-идее SA должен обучиться и начать их тоже отсеивать. А вот если не справится - надо будет правила дописывать.

Предлагаю позже сделать howto по этой связке (просто вспоминаю, как сам тогда мучительно собирал по крупицам инфу)

Когда я использовал только Spamassassin, то приходилось устанавливать уровень 4

[slessv]

ой сколько я всего пропустил, а howto по этой связке кто-нибудь сделал?