HELO überprüfung stoppt SPAM

[janmadera 10]

Hallo zusammen

 

Ich habe auf einer Astaro-Firewall (als SMTP-Proxy für Exchange) gerade "Reject invalid HELO" aktiviert, so sind nur noch Server willkommen welche sich per HELO so melden, dass der Servername über RDNS verifiziert werden kann. Alle anderen werden abgelehnt.

 

Da 90% SPAM von Bots verteilt wird, welche kein korrektes HELO benutzen habe ich auf dem schlimmsten Mailaccount nun anstelle der 250 Spammails am Tag nur noch knapp 1-2 Spammails bekommen.

 

Hat jemand erfahrung mit dieser Funktion, oder auch schon Erfolg gehabt?

 

Kann Exchange das auch von Haus aus?

 

Gruss,

jan

[firefox80 10]

es kommt immer wieder mal vor, dass firmen den rdns nicht richtig konfiguriert haben. das würde dann also zu false positives führen.

 

ich setze eher auf die anderen features, die natürlich auch vor- und nachteile haben:

RBLs sind sehr zuverlässig und halten schon einen sehr großen Teil der Spams fern. diese können schon bei verbindungsaufbau gecheckt werden und sind daher sehr leistungseffizient.

Block dialup/residential hosts ist eigenentlich eine Standardeinstellung, die man immer eingeschaltet lassen kann.

 

Den heuristic Filter muss man mit der Stufe oft nach den eigenen Bedürfnissen anpassen. Bei mir funktioniert der Standardwert ganz gut.

dazu muss die mail erst vollkommen empfangen werden. astaro checkt aber keine mails, die größer als 128 kB sind.

perform spam url check überprüft urls in betreff und text mit einer blacklist. das lass ich auch immer an.

 

obwohl es immer heißt, dass graylisting veraltet ist, weiß ich vom hersteller, dass immer noch sehr viele spams mit diesem filter abgefangen werden. seit v7.300 wurde dieser verbessert, sodass man nicht auf jede mail extra lange warten muss. wenn die kombination aus mail adressen und ip adresse schon in der datenbank ist, wird die mail gleich zustestellt. nur die allererste mail kommt also mit einer verzögerung von ein paar minuten.

 

batv und spf sind etwas komplexer, haben aber keine gefahr von false positives

 

Fazit: ich würd alles einschalten, nur Reject invalid HELO ausschalten. :D

[janmadera 10]

Danke für die Stellungnahme.

 

Die von Dir erwähnten Features habe ich auch seit 3 Jahren aktiv, der Unterschied aber wenn ich HELO-check einschalte ist einfach so gewaltig.

 

Ich hab nochmals nachgeschaut, auf runde 340 HAM-Mails kommen mit HELO knapp 40'000 geblockte Emails, die anderen Filter treffen anschliessend nur noch 200 SPAM Mails, welche korrekten HELO hatten.

 

Ist es denn wirklich ein ernst zu nehmenden Risiko, dass einige (eigentlich nur schlecht konfigurierte) Firmen mit falschen HELO geblockt würden?

Fakt ist dass wir in zwei Monaten nun noch keine Email vermisst haben (KMU mit 40 Büro-Arbeitsplätze).

 

Denn der Nutzen des Filters ist meiner Meinung nach einiges überragender..?

[firefox80 10]

Im Endeffekt würde es dem Kommunikationspartner auffallen, wenn seine Mails an euch nicht durchkommen, weil er dann einen NDR bekommen müsste. In dem Fall würde er sich sicher telefonisch melden, was da los ist. Dann kannst du ihm ja erklären, dass er seinen Mailserver falsch konfiguriert hat und machst durch diesen Schritt das Internet wieder etwas sicherer :D es ist halt mit etwas Aufwand verbunden.

Die abgewiesenen Mails stehen halt leider auch nicht im Daily Spam Report - sodass sie dem User auffallen würden.

 

Der HELO check greift ja auch deshalb bei so vielen Mails, weil er als erstes durchgeführt wird. Ich denke diese Mails würden sicher auch bei einem anderen Anti-Spam Verfahren auffällig werden.

 

LG

[janmadera 10]

Ich denke diese Mails würden sicher auch bei einem anderen Anti-Spam Verfahren auffällig werden.

 

Nein, es hat leider keine andere Anti-Spam Technik soo viel Erfolg bewirkt. Lies nochmals meine Zahlen, welche ich oben angegeben habe.

[gelöscht 0]

Nein, es hat leider keine andere Anti-Spam Technik soo viel Erfolg bewirkt. Lies nochmals meine Zahlen, welche ich oben angegeben habe.

 

Hallo,

ich denke auch dass Du einige False Positives haben wirst, wenn Dir das aber egal ist...

Zum Vergleich kann ich Dir meine Zahlen geben: über IP-Reputation werden bei uns ca. 94% der Zustellversuche aufgrund der Absender IP geblockt. Der Rest fliegt bei der Empfängerüberprüfung oder Inhaltsprüfung durch. Von etwa 10k Mails bleiben dann noch ca. zwei bis dreihundert HAMs.

 

ASR