Postfix+Spamassassin (Настройка антиспама)

[crez]

Привет всем!
Последнее время мой почтовик (почтовый сервер моей конторы) атакуется большим количеством спама. Вот я и решил поднять эту тему.

Почитав по этой теме пришел к выводу - надо к моему Postfix-у прикрутить Spamassassin (DrWeb уже стоит давно и у спешно).

Скачал SA 2.64, сделал:

Код: Выделить всё

#perl -MCPAN -e shell

Далее в оболочке perl-а:

Код: Выделить всё

o conf prerecuisites_policy ask
install Mail::SpamAssassin
quit

Дальше цитирую INSTALL из пакета SA 2.64:

Код: Выделить всё

Take a look at the USAGE document for more information on how to
use SpamAssassin.

А вот с USAGE и возникли проблемы...
Достойной статейки по настройке или howto я не нашел, поэтому прошу сообщество помочь с дальнейшей настройкой...

[Warderer]

На www.spamassassin.org есть недурственный wiki

[crez]

Это хорошо... Изучил... Настроил...
Вопрос: как сделать, чтоб spamd запускался, как демон? Т.е. как прописать его в /etc/rc.d/init.d ? Если быть точней, подскажите листинг скрипта /etc/rc.d/init.d/spamd.
У меня ALT 2.2

Я уже попробовал сделать его по аналогии с другими скриптами - не получается...
Добавлено:
Ладно, бог с ним, с демоном - запустил:

Код: Выделить всё

#spamd -d

и прописал запуск в local.rc

Постфикс перезапустил - по идее должен проверять...
На сегодня - все, пошел домой... Завтра продолжу... Начну обучать его распознавать спам...

[crez]

Не работает!!!
Вроде все правильно прописано, но в заголовках писем не вижу добавление записи X-Spam...... Запись антивируса присутствует, а спамассассина нет!

Судя по мануалам спамассассин должен быть запущен в виде демона. Я делаю так:

Код: Выделить всё

[root@ns root]#spamd -d
[root@ns root]# ps aux | grep spam
root     30543  0.0  9.1 25480 23548 ?       S    Sep21   0:01 /usr/bin/perl -T -w /usr/bin/spamd -d
root     30764  0.0  0.1  1380  440 pts/2    S    08:33   0:00 grep spam

Т.е. spamd запущен...
Запись для постфикса в master.cf:

Код: Выделить всё

smtp    inet    n       -       y       -       -       smtpd -o content_filter=spamassassin
smtp    inet    n       -       y       -       -       smtpd -o content_filter=filter:dummy.
.
.
.
filter  unix    -       n       n       -       -       pipe
    flags=R user=drweb argv=/opt/drweb/drweb-postfix -f${sender} -- ${recipient}
spamassassin
          unix  -       n       n       -       -       pipe
    user-nobody argv=/usr/bin/spamc -f -e /usr/sbin/sendmail -oi -f ${sender} ${recipient}

filter - проверка DrWeb-ом
spamassassin - соответственно spamassassin

Далее... Нужно, чтоб procmail направлял почту на проверку, добавлял запись в заголовок письма (что все проверено) и ложил письмо в почтовый ящик юзера...
У меня файл /etc/procmailrc ОТСУТСТВОВАЛ ! (в домашнем каталоге тоже не было!) Я создал его из примера в пакете SA.
Листинг:

Код: Выделить всё

# SpamAssassin sample procmailrc
#
# Pipe the mail through spamassassin (replace 'spamassassin' with 'spamc'
# if you use the spamc/spamd combination)
#
# The condition line ensures that only messages smaller than 250 kB
# (250 * 1024 = 256000 bytes) are processed by SpamAssassin. Most spam
# isn't bigger than a few k and working with big messages can bring
# SpamAssassin to its knees.
#
# The lock file ensures that only 1 spamassassin invocation happens
# at 1 time, to keep the load down.
#
:0fw: spamassassin.lock
* < 256000
| spamassassin

# Mails with a score of 15 or higher are almost certainly spam (with 0.05%
# false positives according to rules/STATISTICS.txt). Let's put them in a
# different mbox. (This one is optional.)
:0:
* ^X-Spam-Level: \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*
almost-certainly-spam

# All mail tagged as spam (eg. with a score higher than the set threshold)
# is moved to "probably-spam".
:0:
* ^X-Spam-Status: Yes
probably-spam

# Work around procmail bug: any output on stderr will cause the "F" in "From"
# to be dropped.  This will re-add it.
:0
* ^^rom[ ]
{
  LOG="*** Dropped F off From_ header! Fixing up. "

  :0 fhw
  | sed -e '1s/^/F/'
}

ЁКЕРНЫЙ БАБАЙ !!!! Говорила мне мама - "Читай маны и коментарии!"
Вот запостил сюда и увидел ошибку!!!!

Код: Выделить всё

# Pipe the mail through spamassassin (replace 'spamassassin' with 'spamc'
# if you use the spamc/spamd combination)

а у меня

Код: Выделить всё

:0fw: spamassassin.lock
* < 256000
| spamassassin

Сейчас поменяю на

Код: Выделить всё

:0fw: spamassassin.lock
* < 256000
| spamс

Скоро вернусь......

Вернулся...
Все равно нет никакой записи в заголовке письма, что оно проверялось SA!

Где еще копать?
Может все-таки дело в procmail? Поделитесь мыслями...

[Sparky]

У меня вот так

Код: Выделить всё

filter    unix  -   n   n   -   16   pipe
  flags=R user=drweb argv=/opt/drweb/filters.sh  -f ${sender} -- ${recipient}

filters.sh идет вместе с drweb
отсеиваю почту помечнную как спам с помошью header_checks диррективы в main.cf.
Совет - запусти сначала без procmail и псмотри будут ли письма помеченные как спам падать в почтовый ящик?

[crez]

В том-то и дело, что они не помечаются вообще!

В логе postfix-а получаю только вот это:

Код: Выделить всё

Sep 22 15:07:48 ns postfix/postfix-script: starting the Postfix mail system
Sep 22 15:07:48 ns postfix/master[5526]: daemon started
Sep 22 15:08:15 ns postfix/smtpd[5583]: connect from relay.mail.spbnit.ru[212.48.192.115]
Sep 22 15:08:15 ns postfix/smtpd[5583]: 321AD34E3: client=relay.mail.spbnit.ru[212.48.192.115]
Sep 22 15:08:15 ns postfix/cleanup[5584]: 321AD34E3: message-id=<19926505218.20040922150812@mail.spbnit.ru>
Sep 22 15:08:15 ns postfix/qmgr[5532]: 321AD34E3: from=<acrazy@mail.spbnit.ru>, size=995, nrcpt=1 (queue active)
Sep 22 15:08:15 ns postfix/smtpd[5583]: disconnect from relay.mail.spbnit.ru[212.48.192.115]
Sep 22 15:08:15 ns drweb-postfix: dwlib[5587]: scan: the message(drweb.tmp.K48PXv) sent by acrazy@mail.spbnit.ru to crez@louio
n.spb.ru is passed
Sep 22 15:08:15 ns postfix/pickup[5531]: 633C734FA: uid=524 from=<acrazy@mail.spbnit.ru>
Sep 22 15:08:15 ns postfix/cleanup[5584]: 633C734FA: message-id=<19926505218.20040922150812@mail.spbnit.ru>
Sep 22 15:08:15 ns postfix/pipe[5586]: 321AD34E3: to=<crez@louion.spb.ru>, relay=filter, delay=0, status=sent (dummy.)
Sep 22 15:08:15 ns postfix/qmgr[5532]: 633C734FA: from=<acrazy@mail.spbnit.ru>, size=1109, nrcpt=1 (queue active)
Sep 22 15:08:15 ns postfix/local[5591]: 633C734FA: to=<crez@louion.spb.ru>, relay=local, delay=0, status=sent ("|/usr/bin/proc
mail -f -a "$USER"")

В данном случае послано письмо с acrazy@mail.spbnit.ru (внешний почтовый ящик) на crez@louion.spb.ru (почтовый ящик моего сервера)
Меня смущает последняя строчка...
А в теле письма никаких записей по поводу проверки SA:

Код: Выделить всё

X-AntiVirus: Checked by Dr.Web [version: 4.31a, engine: 4.31b, virus records: 54738, updated: 22.08.2004]
Return-Path: <acrazy@mail.spbnit.ru>
Delivered-To: crez@louion.spb.ru
Received: by mail.louion.spb.ru (Postfix, from userid 524)
        id 03E9D34F1; Wed, 22 Sep 2004 14:30:27 +0400 (MSD)
Received: from neo.spbnit.ru (mail.spbnit.ru [212.48.192.115])
        by mail.louion.spb.ru (Postfix) with ESMTP id 9A47634D3
        for <crez@louion.spb.ru>; Wed, 22 Sep 2004 14:30:26 +0400 (MSD)
Received: from 127.0.0.1 ([212.58.194.218])
        by neo.spbnit.ru (8.12.2+mPOP/8.12.2) with ESMTP id i8MA9VBu078363
        for <crez@louion.spb.ru>; Wed, 22 Sep 2004 14:09:31 +0400 (MSD)
X-AntiVirus: Checked by Dr.Web [version: 4.31a, engine: 4.31b, virus records: 54738, updated: 22.08.2004]
Date: Wed, 22 Sep 2004 14:09:14 +0400
From: "Alexey A. Sidorov" <acrazy@mail.spbnit.ru>
X-Mailer: The Bat! (v1.60q) Personal
Reply-To: "Alexey A. Sidorov" <acrazy@mail.spbnit.ru>
X-Priority: 3 (Normal)
Message-ID: <19922967421.20040922140914@mail.spbnit.ru>
To: crez@louion.spb.ru
Subject: test spam
MIME-Version: 1.0
Content-Type: text/plain; charset=Windows-1251
Content-Transfer-Encoding: 8bit

Hello, crez.

12345

--
Best regards,
 Alexey                          mailto:acrazy@mail.spbnit.ru

Sparky, спасибо, что откликнулся
А то я уж думал что это я сам с собой разговариваю
Твой способ насчет header_checks я попробовал - в теле письма также никаких записей по поводу прошедшей проверки не наблюдается. А вот DrWeb, похоже у меня посвежей и в нем отсутствуют такие скрипты - все в бинарниках и почту проверяет drweb-postfix.

Так что я опять у того же корыта... Топчусь на месте - штудирую маны. Только вот что-то ничто не наталкивает на нужную мысль...
:helpsmilie:

[Warderer]

В том-то и дело, что они не помечаются вообще!

В логе postfix-а получаю только вот это:

Код: Выделить всё

Sep 22 15:07:48 ns postfix/postfix-script: starting the Postfix mail system
Sep 22 15:07:48 ns postfix/master[5526]: daemon started
Sep 22 15:08:15 ns postfix/smtpd[5583]: connect from relay.mail.spbnit.ru[212.48.192.115]
Sep 22 15:08:15 ns postfix/smtpd[5583]: 321AD34E3: client=relay.mail.spbnit.ru[212.48.192.115]
Sep 22 15:08:15 ns postfix/cleanup[5584]: 321AD34E3: message-id=<19926505218.20040922150812@mail.spbnit.ru>
Sep 22 15:08:15 ns postfix/qmgr[5532]: 321AD34E3: from=<acrazy@mail.spbnit.ru>, size=995, nrcpt=1 (queue active)
Sep 22 15:08:15 ns postfix/smtpd[5583]: disconnect from relay.mail.spbnit.ru[212.48.192.115]
Sep 22 15:08:15 ns drweb-postfix: dwlib[5587]: scan: the message(drweb.tmp.K48PXv) sent by acrazy@mail.spbnit.ru to crez@louio
n.spb.ru is passed
Sep 22 15:08:15 ns postfix/pickup[5531]: 633C734FA: uid=524 from=<acrazy@mail.spbnit.ru>
Sep 22 15:08:15 ns postfix/cleanup[5584]: 633C734FA: message-id=<19926505218.20040922150812@mail.spbnit.ru>
Sep 22 15:08:15 ns postfix/pipe[5586]: 321AD34E3: to=<crez@louion.spb.ru>, relay=filter, delay=0, status=sent (dummy.)
Sep 22 15:08:15 ns postfix/qmgr[5532]: 633C734FA: from=<acrazy@mail.spbnit.ru>, size=1109, nrcpt=1 (queue active)
Sep 22 15:08:15 ns postfix/local[5591]: 633C734FA: to=<crez@louion.spb.ru>, relay=local, delay=0, status=sent ("|/usr/bin/proc
mail -f -a "$USER"")

В данном случае послано письмо с acrazy@mail.spbnit.ru (внешний почтовый ящик) на crez@louion.spb.ru (почтовый ящик моего сервера)
Меня смущает последняя строчка...
А в теле письма никаких записей по поводу проверки SA:

Код: Выделить всё

X-AntiVirus: Checked by Dr.Web [version: 4.31a, engine: 4.31b, virus records: 54738, updated: 22.08.2004]
Return-Path: <acrazy@mail.spbnit.ru>
Delivered-To: crez@louion.spb.ru
Received: by mail.louion.spb.ru (Postfix, from userid 524)
        id 03E9D34F1; Wed, 22 Sep 2004 14:30:27 +0400 (MSD)
Received: from neo.spbnit.ru (mail.spbnit.ru [212.48.192.115])
        by mail.louion.spb.ru (Postfix) with ESMTP id 9A47634D3
        for <crez@louion.spb.ru>; Wed, 22 Sep 2004 14:30:26 +0400 (MSD)
Received: from 127.0.0.1 ([212.58.194.218])
        by neo.spbnit.ru (8.12.2+mPOP/8.12.2) with ESMTP id i8MA9VBu078363
        for <crez@louion.spb.ru>; Wed, 22 Sep 2004 14:09:31 +0400 (MSD)
X-AntiVirus: Checked by Dr.Web [version: 4.31a, engine: 4.31b, virus records: 54738, updated: 22.08.2004]
Date: Wed, 22 Sep 2004 14:09:14 +0400
From: "Alexey A. Sidorov" <acrazy@mail.spbnit.ru>
X-Mailer: The Bat! (v1.60q) Personal
Reply-To: "Alexey A. Sidorov" <acrazy@mail.spbnit.ru>
X-Priority: 3 (Normal)
Message-ID: <19922967421.20040922140914@mail.spbnit.ru>
To: crez@louion.spb.ru
Subject: test spam
MIME-Version: 1.0
Content-Type: text/plain; charset=Windows-1251
Content-Transfer-Encoding: 8bit

Hello, crez.

12345

--
Best regards,
 Alexey                          mailto:acrazy@mail.spbnit.ru

Sparky, спасибо, что откликнулся
А то я уж думал что это я сам с собой разговариваю 
Твой способ насчет header_checks я попробовал - в теле письма также никаких записей по поводу прошедшей проверки не наблюдается. А вот DrWeb, похоже у меня посвежей и в нем отсутствуют такие скрипты - все в бинарниках и почту проверяет drweb-postfix.

Так что я опять у того же корыта... Топчусь на месте - штудирую маны. Только вот что-то ничто не наталкивает на нужную мысль...
:helpsmilie:

↑

Мда... Я всвязи с новой ценовой политикой DrWeb резко скатился на связку Postfix+Amavis+ClamAV+Spamassassin. Пока вроде все нормально, но маловато статистики. Завтра скажу точнее...

[Sparky]

Да не за что, просто сам долго и мучительно настраивал эту связку....
Скрит очень простой

Код: Выделить всё

#!/bin/sh
#
# Example how to use Dr.WEB and SpamAssassin together.
# To activate this script:
# 1) copy script to /opt/drweb;
# 2) replace in master.cf line:
#   flags=R user=drweb argv=/opt/drweb/drweb-postfix -f ${sender} -- ${recipient}
# by:
#   flags=R user=drweb argv=/opt/drweb/filters.sh -f ${sender} -- ${recipient}
#

FILTER_SPAMC="spamc -u drweb"
FILTER_DRWEB="/opt/drweb/drweb-postfix"
cat | $FILTER_SPAMC | $FILTER_DRWEB $*

Да кстати я еще делал так помнится.... до того как начал использовать filters.sh

Код: Выделить всё

В master.cf:
filter    unix  -   n   n   -   16   pipe
  flags=R user=drweb argv=/usr/bin/spamc -e /opt/drweb/drweb-postfix  -f ${sender} -- ${recipient}

Дело в том что опция -e у spamc позволяет передать письмо на стандатный инпут другого процесса в данном случае drweb.
Вот так выглядит проверенное spamassassinом письмо у меня :

Код: Выделить всё

Return-Path: <hz@hotmail.com>
X-Original-To: doctor@dentstudio.ru
Delivered-To: doctor@dentstudio.ru
Received: by mail.a-shop.ru (Postfix, from userid 1026)
        id 12BBAC75D4; Tue, 21 Sep 2004 15:35:55 +0400 (MSD)
Received: from localhost by localhost
        with SpamAssassin (2.64 2004-01-11);
        Tue, 21 Sep 2004 15:35:54 +0400
From: "=?windows-1251?B?xO7h8O7lIPLl7+vu?=" <hz@hotmail.com>
To: =?windows-1251?B?wO3y8O7v6OXi7eA=?= <z@mail.ru>
Subject: **SPAM**04.02points: =?windows-1251?B?xO7h8O7lIPLl7+vuINEgxM7R0sDCys7JIQ==?=
Date: Tue, 21 Sep 2004 15:03:40 +0400
Message-Id: <000901c4a02e$bdcc23b1$edc08eff@pxbfvcizxk>
X-Spam-Flag: YES
X-Spam-Status: Yes, hits=4.0 required=3.5 tests=FORGED_OUTLOOK_TAGS,
        HTML_50_60,HTML_FONTCOLOR_BLUE,HTML_FONTCOLOR_RED,
        HTML_FONTCOLOR_UNSAFE,HTML_FONT_INVISIBLE,HTML_MESSAGE,
        HTML_TITLE_EMPTY,MIME_HTML_ONLY,URI_4YOU autolearn=no version=2.64
X-Spam-Checker-Version: SpamAssassin 2.64 (2004-01-11) on localhost
X-Spam-Level: ****
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="----------=_4150121A.9B0CA11A"

This is a multi-part message in MIME format.

------------=_4150121A.9B0CA11A
Content-Type: text/plain; charset=koi8-r
Content-Disposition: inline
Content-Transfer-Encoding: 8bit

Spam detection software, running on the system "localhost", has
identified this incoming email as possible spam.  The original message
has been attached to this so you can view it (if it isn't spam) or block
similar future email.  If you have any questions, see
evgeny@a-shop.ru for details.

[crez]

Yes, yes,yes,yes !!!!!!
(стучусь головой об клавиатуру и при этом подпрыгиваю)
YES !!!!
Заработало !
Sparky, огромный тебе респект :3dflagsdotcom_russi_2faws:
Именно опцийка -e помогла!

Записи X-Spam в заголовках писем появились :thumbsup:

[Warderer]

Коллеги, нашел, не побоюсь этого слова, роскошное описалово по настройке postfix+антиспам+антивирус: http://www.ezh.msk.ru/article/mailsystem/ :thumbsup:
Рекомендую всем. Написано замечательно по доходчивости (даже я понял! ) Настроил как описано, все работает. Продолжаю обучать spamassassin bayes-фильтры. Всем желаю успехов в борьбе с почтовой заразой!

[Sparky]

Yes, yes,yes,yes !!!!!!
(стучусь головой об клавиатуру и при этом подпрыгиваю)
YES !!!!
Заработало !
Sparky, огромный тебе респект  :3dflagsdotcom_russi_2faws:
Именно опцийка -e помогла!

Записи X-Spam в заголовках писем появились  :thumbsup:

↑

Сам рад что помог :thumbsup:

[crez]

Коллеги, нашел, не побоюсь этого слова, роскошное описалово по настройке postfix+антиспам+антивирус: http://www.ezh.msk.ru/article/mailsystem/  :thumbsup:
Рекомендую всем. Написано замечательно по доходчивости (даже я понял! ) Настроил как описано, все работает. Продолжаю обучать spamassassin bayes-фильтры. Всем желаю успехов в борьбе с почтовой заразой!

↑

Круто! Только по ссылке видим вот это:

Код: Выделить всё

Создание почтовой системы на базе exim, dbmail, amavisd-new и postgresql.

Но, все равно, спасибо Почитал - там тоже SA прикручивается.
Сегодня скормил спамассассину свою утреннюю порцию спама - примерно 15 писем. Сделал скрипт, по примеру вот этого, а вообще, еще руководствовался этой статьей(хоть там и sendmail).
Надо научить юзеров, чтоб поучаствовали в обучении SA - чтоб конвертили свою почту в папочки /ham и /spam, а cron няхай каждый день запускает скрипт-обучалку. Так его (SA) можно по жизни обучать всегда

Только, например, у меня подвис в воздухе вопрос об автоматическом перезапуске SA. У меня он запускается при старте системы - запись в rc.sysinit

Код: Выделить всё

# Start Spamassassin
ExecIfExecutable /usr/bin/spamd -d

Перезапускать приходится ручками:

Код: Выделить всё

[root@ns]# ps aux | grep spam
root      6317  0.0  9.1 25480 23544 ?       S    08:10   0:01 /usr/bin/perl -T -w /usr/bin/spamd -d
[root@ns]# kill 6317
[root@ns]# spamd -d

Что посоветуете в данном случае?