Спам вирусы (как обнаружить на НАТ сервере)

[RaptoR]

Всем привет!

Есть серверы с НАТ, за ними пользователи.
Переодически пользователи хватают себе спамвирусы, в итоге внешний ИП попадает в спамлисты, а так же вышестоящий провайдер блокирует 25 порт.
Собственно есть ли средство по обнаружению таких вирусов, достаточно чтобы приходило на мыло сообщение о подозрение на зараженность такого то хоста, а в идеале запускать произвольный скрипт

Возможно есть такие возможности в различных IDS, но хочется простое решение

[HRonik]

какой сервер то?
А по-идее поставь прокси сервер с антивирусом, а не через НАТ...

[serzh-z]

Переодически пользователи хватают себе спамвирусы, в итоге внешний ИП попадает в спамлисты, а так же вышестоящий провайдер блокирует 25 порт.

Когда-то у нас было подобное - после чего админ просто закрыл на офисном шлюзе все лишние порты и обязал всех использовать только офисный SMTP-сервер. Проблема с тем, что нас блокируют была решена.

[RaptoR]

Это все хорошо когда всего лишь офисная сеть
У меня нет доступа к компам клиентов, хотя уже склоняюсь к мысли закрыть 25 порт и открывать только до СМТП серверов клиентов...

какой сервер то?

несколько под slackware и часть под gentoo

[serzh-z]

У меня нет доступа к компам клиентов

Он и не нужен. Закрыть на файрволе 25-й порт и установить на нём почтовый сервер... Жестоко, но действенно.

[RaptoR]

У меня нет доступа к компам клиентов

Он и не нужен. Закрыть на файрволе 25-й порт и установить на нём почтовый сервер... Жестоко, но действенно.

Да есть у меня свой почтовый сервер
Есть "продвинутые" клиенты хотят использовать только свои СМТП сервера, причем неся какие то отговорки про безопасноть и т.д. и т.п. (и чего им тогда по SSL не ходится...)

Собственно решений проблемы много различных, в данном топике интересует именно какой то простенький анализатор соединений по 25 порту, который бы запускал скрипт если с одного IP адреса допустим в течении несокльких секунд были попытки соеденится с несокльками хостами по 25 порту.
Вообще проблема ИМХО распростроненная, думал что есть какие либо наработки.

[serzh-z]

который бы запускал скрипт если с одного IP адреса допустим в течении несокльких секунд были попытки соеденится с несокльками хостами по 25 порту

knock может немного помочь.

[RaptoR]

который бы запускал скрипт если с одного IP адреса допустим в течении несокльких секунд были попытки соеденится с несокльками хостами по 25 порту

knock может немного помочь.

knock на сколько я понял позволяет стуком в определенный порт, запустить скрипт, чаще используется для открытия на некоторое время доступ на установку соединения к ssh

Сосбственно не знаю как может помочь, ибо мне нужно следить за транзитными пакетами...

Думается есть готовое решение в том же snorte, буду смотреть
Так же будет время попробую написать свою программку, ибо задача довольно простая, но опыта программирования под linux мало

[targeti]

Собственно решений проблемы много различных, в данном топике интересует именно какой то простенький анализатор соединений по 25 порту, который бы запускал скрипт если с одного IP адреса допустим в течении несокльких секунд были попытки соеденится с несокльками хостами по 25 порту.

Может подойдет что-то в таком роде:

Код: Выделить всё

/sbin/iptables -A FORWARD -p tcp -s xxx.xxx.xxx.xxx -m tcp --destination-port 25 -m state --state NEW -m limit --limit 1/minute --limit-burst 3 -j ACCEPT
/sbin/iptables -A FORWARD -p tcp -s xxx.xxx.xxx.xxx -m tcp --destination-port 25 -j DROP