Inhaltsfilterung SCL Werte und IP Blocklisten

[Drillsergeant 10]

Guten morgen alle zusammen,

 

ich richte bei uns gerade einen Exchange 07 ein. Bei der Spamfilterung, habe ich bisher noch keine Erfahrungen sammeln können. Darum wollte ich euch mal fragen, mit welchen Mitteln ihr gegen den Spam kämpft? Ich habe bisher nur die Boardmittel auf dem Exchange installiert.

Bei der Inhaltsfilterung, habe ich den SCL Wert für Nachrichten löschen auf 7 und den SCL um die Mail ab zu lehnen auf 5. Mails mit einem SCL Wert von 4 werden in den Junk verschoben.

Um IP Adressen zu blocken, will ich zen.spamhaus.org und dnsbl.sorbs.net einsetzten.

Kann man sich mit diesen Einstellungen gegen Spam wehren oder sollte ich noch andere Dinge einrichten / kaufen?

 

Mfg Stephan

[NorbertFe 2.032]

Bei der Inhaltsfilterung, habe ich den SCL Wert für Nachrichten löschen auf 7 und den SCL um die Mail ab zu lehnen auf 5. Mails mit einem SCL Wert von 4 werden in den Junk verschoben.

 

 

Löschen würde ich gar nicht. Sondern nur ablehnen und den Rest dann in Junk einsortieren. DNS Blocklisten kann man nutzen, aber obs was bringt?

 

Kann man sich mit diesen Einstellungen gegen Spam wehren oder sollte ich noch andere Dinge einrichten / kaufen?

 

 

Nö, der Exchange funktioniert da schon recht gut.

 

Bye

Norbert

[Drillsergeant 10]

Gut dann werde ich es mal mit diesen Einstellungen versuchen. Hast Du schon Erfahrung mit ForeFront Security?

 

Mfg Stephan

[NorbertFe 2.032]

Gut dann werde ich es mal mit diesen Einstellungen versuchen.

 

Kannst ja mal berichten.

 

Hast Du schon Erfahrung mit ForeFront Security?

 

For Exchange, oder was? Dann ja. Läuft.

 

Bye

Norbert

[genab.de 10]

hallo, ich hab genau die Einstellung wie mein vorposter Probiert:

 

SCL 8 gleich ablehnen,

 

SCl 4 in Quarantäne verschieben

 

und ausserdem haben wir Forefront Security für Exchange installiert

 

DNs blacklists habe ich auch eingerichtet: (Spamhouse)

 

Nun frage zum SCL wert, dieser wird doch nur anhand des Contest bestimmt. Also ühne überprüfung von MX Record, reverese lokking oder DNS Blacklisting usw..

 

ich habe das Problem, wenn ich von Googlemail.com eine Mail mit einem kurzen Betreff, einer Zip datei mit Word Dateien (unverschlüsselt) und mit lehrem Nachrichten Feld rein schicke, dann hat die Nachricht einen SCL wert von 6

 

Ist das nicht einbiaschen hoch?

 

Zweite Frage: ich finde nichts, was Forefront mit Spam macht....

da gibt es nichts einzustellen, oder anzupassen.... was macht Forefront mit dem Spam, Filtert der Überhaupt? Oder macht der nur Vierenscan?

[NorbertFe 2.032]

Nun frage zum SCL wert, dieser wird doch nur anhand des Contest bestimmt. Also ühne überprüfung von MX Record, reverese lokking oder DNS Blacklisting usw..

 

Soweit ich weiß, ist das ein "Geheimnis" von MS wie der IMF filtert.

 

ich habe das Problem, wenn ich von Googlemail.com eine Mail mit einem kurzen Betreff, einer Zip datei mit Word Dateien (unverschlüsselt) und mit lehrem Nachrichten Feld rein schicke, dann hat die Nachricht einen SCL wert von 6

 

Jupp. ist aber normal. Kann man schön nachvollziehen. Schick dir mal eine leere Mail mit Betreff Test und dann nochmal eine mit Test im Betreff und einigen normalen Sätzen wie "Dies ist ein Test um den IMF zu überprüfen." Mit Anrede und Verabschiedung liegt dann der SCL Wert deutlich tiefer. ;)

 

Ist das nicht einbiaschen hoch?

 

Tja. ;)

 

Zweite Frage: ich finde nichts, was Forefront mit Spam macht....

 

Ausser Blocklists nichts mehr. Spamcure gibts soweit ich weiß nicht mehr in Forefront.

 

da gibt es nichts einzustellen, oder anzupassen.... was macht Forefront mit dem Spam, Filtert der Überhaupt? Oder macht der nur Vierenscan?

 

Letzteres und noch einige Wort-Black und -Whitelists (Die aber keiner mehr nutzt).

 

Bye

Norbert

[morpheus4711 10]

hi,

 

kurze Frage noch hierzu.

 

ich habs genauso wie meine vorredner, zusätzlich hab ich aber noch die Hubtransportregel erstellt, dass alles was SCL höher x umgeleitet wird.

 

hab ich dann quasi zwei Kondome an oder macht das schon Sinn?

 

und noch eine Frage: es wird ja im technet auch darauf hingewiesen, mann soll unbedingt seine Spamberichte und Protokolle überwqachen....welche Berichte? Ich würd ja gerne find aber keine

 

schöne Grüße

[NorbertFe 2.032]

ich habs genauso wie meine vorredner, zusätzlich hab ich aber noch die Hubtransportregel erstellt, dass alles was SCL höher x umgeleitet wird.

 

Wohin leitest du denn um?

 

hab ich dann quasi zwei Kondome an oder macht das schon Sinn?

 

Ich weiß nicht, ob das in deinem Fall sinnvoll ist. Dazu müßtest du kurz das Ziel erklären. ;)

 

und noch eine Frage: es wird ja im technet auch darauf hingewiesen, mann soll unbedingt seine Spamberichte und Protokolle überwqachen....welche Berichte? Ich würd ja gerne find aber keine

 

Kann man irgendwie per Powershell analysieren.

Mußt mal googlen bzw. hier im Board hatte ich das auch schonmal irgendwo verlinkt.

 

Bye

Norbert

[morpheus4711 10]

hi norbert,

 

ich leite das an mein Spamkonto@domain.local...

 

die Frage ist doch, wenn ich im AntiSpam Inhaltsfilter die drei Werte bzw. Situationen beschreiben kann was mit SCL Höher X passieren soll und ich doch auch ein Transport-Rolle ersteleln kann die das selbe macht, bringt das was?

 

Einen eindeutigen Vorteil hat die Transportrolle ja...ich kann ins Detail gehen, Ausnahmen einbringen, was zuvor nicht möglich ist

 

dann braucht man ersteres ja gar nicht? oder?

 

 

ok, dann such ich mal nach powershell und bericht.... wird nicht so einfach was ich bisher gesehen habe, weil kaum einer davon Bescheid zu wissen scheint (kuckt man sich andere Posts an)

 

ich schreibs dann hier rein, wenn ihc was finde ;-)

[NorbertFe 2.032]

ich leite das an mein Spamkonto@domain.local...

 

Ich bin kein Freund von solcher Konfiguration, deswegen kann ich dazu nichts sagen. Ich gehe davon aus, dass alles was nicht am Gateway geblockt wird dem User zugestellt wird. Ob der User dann Spamfilerung für sein Postfach aktiviert oder nicht, ist eigentlich dem Admin egal ;)

 

die Frage ist doch, wenn ich im AntiSpam Inhaltsfilter die drei Werte bzw. Situationen beschreiben kann was mit SCL Höher X passieren soll und ich doch auch ein Transport-Rolle ersteleln kann die das selbe macht, bringt das was?

 

Die Frage ist nur, warum definierst du 3 Stufen?

 

Bye

Norbert

[genab.de 10]

Hallo Norbert, vielen Dank für deine hilfe.

 

zwecks dem SCL wert, ich hab nun ein bischen getestet, um hinter die geheimiss der SCl bestimmung zu kommen:

 

folgende Ergebnisse.

 

ich hab die Mail zum Vergleichen nie verändert:

 

ich hab immer nur im Betreff ein Wort stehe gehabt:

 

Ausserdem ein Zip Datei mit 10 Word Dateien (unverschlüsselt)

 

hab nun ein Zweites mal von Googlemail aus genau die gleiche Mail verschickt: nun war xer SCL nicht mehr 6 sondern 5

 

also schon um ein niederiger:

 

 

nun hat ein externer Kollege mir, ich bat ihm mir auch so eine Mail zu schicken, also gleiche Zip datei, gleicher Mail Betreff, auch kein Inhalt im Mail Text (Mail wurde nicht irgendwie weitergeleitet, sondern immer eine neue Mail wurde generiert)

 

diese Mail wurde von Outlook aus geschickt, SCL wert von 0 !!

 

also kein Reiner Content Filter Wert, der nur den inhalt analysiert? wird wohl in Geheimniss bleiben: :-(

 

Bei der genauen Analyse haben sich aber ein Paar Fragen zum Verständniss aufgeworfen, bei dem ich nichts im Technet finde.

 

wenn die Mail mit SCLwert 5 in meinem Posteingang landet, dann steh im Header.

 

X-MS-Exchange-Organization-SCL: 5

X-MS-Exchange-Organization-PCL: 2

X-MS-Exchange-Organization-Antispam-Report: DV:3.3.5705.600;SID:SenderIDStatus Pass;OrigIP:195.149.74.231

 

also SCL wert 0 (spam wert) PCL wert 2 (Pisching Wert)

SCL Wert wurde Spamengine 3.3.5705.600 untersucht und bestimmt (ist das die Engine von Forefront oder von Exchange oder von Outlook?)

 

 

wenn Mails in den Quarantäneordner landen, (weil SCL den Wert 6 haben) dann schaut der Header aber anders aus:

 

X-MS-Exchange-Organization-SCL: -1

X-MS-Exchange-Organization-Original-SCL: 6

 

wieso gibt es hier zwei SCL werte? (ich weis zumindest das werte wie -1 bedeuten, das sie nicht angewendet werden)

 

was ist der unterschied zwischen Organization-Original SCL und Organization SCL wert?

 

 

aber wieso steht hier kein DV Wert ect?

 

kann es sein, das der SCL wert bis er in meinem Postfach im Outlook ist mehrmals umgeschrieben wird, und nur zum schluss eine Scanengine mit DV wert vorhanden ist?

[morpheus4711 10]

mach ich ja gar ned. ich habs vorhin schon rausgenommen, weils Quatsch ist ;-)

[NorbertFe 2.032]

mach ich ja gar ned. ich habs vorhin schon rausgenommen, weils Quatsch ist ;-)

 

[Loriot]Ach![/Loriot]

 

Bye

Norbert ;)

–

zwecks dem SCL wert, ich hab nun ein bischen getestet, um hinter die geheimiss der SCl bestimmung zu kommen:

 

:) da bin ich ja gespannt.

 

folgende Ergebnisse.

 

ich hab die Mail zum Vergleichen nie verändert:

 

ich hab immer nur im Betreff ein Wort stehe gehabt:

 

Ausserdem ein Zip Datei mit 10 Word Dateien (unverschlüsselt)

 

hab nun ein Zweites mal von Googlemail aus genau die gleiche Mail verschickt: nun war xer SCL nicht mehr 6 sondern 5

 

also schon um ein niederiger:

 

 

nun hat ein externer Kollege mir, ich bat ihm mir auch so eine Mail zu schicken, also gleiche Zip datei, gleicher Mail Betreff, auch kein Inhalt im Mail Text (Mail wurde nicht irgendwie weitergeleitet, sondern immer eine neue Mail wurde generiert)

 

Er hat aber sicher nicht Google benutzt dazu, oder?

 

diese Mail wurde von Outlook aus geschickt, SCL wert von 0 !!

 

Und über welchen Provider?

 

 

also kein Reiner Content Filter Wert, der nur den inhalt analysiert? wird wohl in Geheimniss bleiben: :-(

 

Natürlich nicht. Das hätte ich dir auch vorher verraten können, dass Sachen wie SMTP Konfiguration des Absenders wie SPF usw. ebenfalls mit einkalkuliert werden.

Ist aber auch irgendwie logisch wenn man drüber nachdenkt. ;)

 

 

wenn die Mail mit SCLwert 5 in meinem Posteingang landet, dann steh im Header.

 

 

 

also SCL wert 0 (spam wert) PCL wert 2 (Pisching Wert)

SCL Wert wurde Spamengine 3.3.5705.600 untersucht und bestimmt (ist das die Engine von Forefront oder von Exchange oder von Outlook?)

 

 

Forefront hat keine Spamengine. Also kanns nur Exchange oder Outlook sein. Und Outlook trägt meines Wissens nach nix in den Header ein. Übrigens ein Grund, warum ich die Outlook Filterung stets deaktiviere wenn ein Exchange vorhanden ist.

 

wenn Mails in den Quarantäneordner landen, (weil SCL den Wert 6 haben) dann schaut der Header aber anders aus:

 

 

 

wieso gibt es hier zwei SCL werte? (ich weis zumindest das werte wie -1 bedeuten, das sie nicht angewendet werden)

 

was ist der unterschied zwischen Organization-Original SCL und Organization SCL wert?

 

Naja der Original SCL ist das weswegen das Ding bearbeitet wird. Und weil es bearbeitet wird, bekommt es den internen SCL von -1.

 

 

kann es sein, das der SCL wert bis er in meinem Postfach im Outlook ist mehrmals umgeschrieben wird, und nur zum schluss eine Scanengine mit DV wert vorhanden ist?

 

Weiß ich jetzt nicht. So genau will ich das auch gar nicht wissen ;)

 

Bye

Norbert