SMTP Adresse im Exchange suchen

[Steven OSeal 10]

Hallo Kollegen,

 

wir haben hier gerade ein Fall indem die Anwender unserer Organisation Mails bekommen die von einer smtp Adresse inerhalb der Organisation zu kommen scheint.

 

Leider ist diese Adresse weder im globalen Adressbuch vorhanden, noch ist sie einem User zuzuordnen. Sie wird scheinbar benutzt um aus irendeinem System automatische Mails zu versenden.

 

Gibt es eine Möglichkeit anhand des E-Mail Kopfs oder mit AD Tools zu ermitteln ob diese SMTP Adresse irgendeinem User zugeordnet ist ???

 

Sowohl wir im Support als auch die Konzern Systembetreuuer haben den Namen des Systems aus dem diese Mails kommen jemand gehört.

 

Wäre schön, wenn mir da jemand einen Hinweis geben würde, evtl auch eine Info wie ich den E-Mail Header interpretieren kann.

 

Gruß

 

Steven

[GuentherH 61]

Hi.

 

Sollte dir helfen - .:. www.SBSPraxis.de, die MCSEBoard Hilfe Seite für den Microsoft SBS Server 2003 .:.

 

LG Günther

[jani 10]

Hallo,

 

du kannst im AD die Suchfunktion nutzen und nach SMTP Adressen suchen. Zusätzlich kannst du dort auch Filter setzen.

 

Wenn du jedoch ein Problem mit Relay oder der gleichen hast, kann die Mail auch von extern von nem Spammer kommen? ODer hat die Mail "normale" Informationen...?

[Steven OSeal 10]

Eine Spam Mail ist es nicht... gut für den Anwender schon da er mit den Informationen Projekt bedingt nichts mehr zutun hat.... aber eine Spam Mail ist es nicht.

 

Die Scripte und Befehle Funktionieren leider nicht....

 

Bei den Scripten meldet er das die VBS-Dateien kein Script Modul wäre und der csvde Befehl motzt wegen ungültiger Optionen....

 

Schade

[woiza 10]

Die vbs tut einwandfrei. bist du mit deiner Maschine in der richtigen Domäne?

[GuentherH 61]

Hi.

 

a) wie woiza

b) welche Exchange Version ? (ich bin von 2000/2003) ausgegangen

 

LG Günther

[Steven OSeal 10]

Ok.. an den Clients hier klappts nicht.. da is scheinbar die Script Unterstützung nicht freigegeben. Im Terminal klappt das Script dann... mal sehen was ich finden kann.

 

 

Edit: Ok.. die Suchen geben keinen Ergebnisse :-(

Würde also Bedeuten, das diese Mailadresse keine AD Account zugewiesen ist. Wie kann dann darüber versendet werden ?

Ich hab hier zwei Header dieser Mails, kann ich da noch irgendwelche Hinweise raus ziehen ???

[woiza 10]

Edit: Ok.. die Suchen geben keinen Ergebnisse :-(

Würde also Bedeuten, das diese Mailadresse keine AD Account zugewiesen ist. Wie kann dann darüber versendet werden ?

 

Hmm jein,

 

habt ihr nen Single Domain Forest? Ansonsten könnte der Acount durchaus in ner anderen Domäne liegen. Das Script in der vorliegenden Form durchsucht nur die aktuelle Domäne.

 

Versendet können die Mails auch via Telnet werden. Oder Blat, oder...

 

Da sie ja an einen bekannten Empfänger gehen, ist es Exchange wurst, ob der Absender evtl. unbekannt ist.

 

 

Ich hab hier zwei Header dieser Mails, kann ich da noch irgendwelche Hinweise raus ziehen ???

 

Schwierig zu sagen, kenne ja deine Struktur nicht. Zumindest solltest du darin sehen können, wo die Mail in deine Exchange Org gekommen ist.

[Steven OSeal 10]

Also.. wir laufen auf Exchange 2003....

 

Wir sind eine unterdomain des Konzern Forest.... nur soweit zur groben Struktur:

 

XYZ

|- 1Dom.xyz

|- 2Dom.xyz (PräName: 2Dom.de) <= Unsere Domain in der ich gesucht hab

|- 3Dom.xyz

 

 

Hier ist also so, das die Mails scheinbar aus 2Dom.de zu kommen scheint...

Im Header steht unter Message-ID ein vermerk auf ........JavaMail.info@SubDom.2Dom.xyz

 

Eingehend scheint die Mail über unseren Internet Connector zu gehen, da im Header der erste Recived Eintrag auf den Exchange Server weißt der als Schnittstelle zum Internet arbeitet.

 

Was mich im Header jedoch Irritiert ist als erste Zeile die

Message ID : C=de; a=dbp; p=[forrest Prefix wies scheint]; l= [zahlenfolge]

 

Ich hab den Verdacht das irgendjemand nen Server mit ner Weboberfläche laufen hat und hierrüber Mails direkt über diese Adresse als Absender verschickt werden. Würde heißen es ist für uns nicht nachvollziehbar wo das Ding herkommt.... :(

[GuentherH 61]

HI.

 

Ja, es scheint so zu sein, dass ein Spammer als Absender absender[@]eure.domain benutzt, und dann an Empfänger[@]eure.domain sendet. Dies ist teilweise eine Vorgangsweise diverser Spammer, die aber eigentlich erlaubt ist.

 

Einzige Möglichkeit diese zu unterbinden, wäre ein E-Mail (SPAM) Filter, der erkennt, dass dies ein Absender der internen Domain ist, aber über die externe Schnittstelle senden will, und dies unterbindet. Ein Produkt, dass ich da einsetze ist die XWALL von DataEnter's Utilities for Microsoft Mail, Exchange and the Internet

 

 

LG Günther