EBS 2008 - Gewaltiges Spamproblem trotz Forefront TMG

[Superstruppi 13]

Hallo,

 

wir haben in den letzten Tagen einen Kunden von SBS2003R1 auf EBS umgestellt, inkl. Sicherheitsserver, Exchange 2007 mit seinen Antispamtechnologien, usw.

 

Dennoch kommen jede Stunde an die 30 Spamnachrichten in das Unternehmen rein, tlw. deutlich sichtbar, aber SCL "gut" bewertet (2-4). In öffentliche Ordner kommen gar Nachrichten mit gepackten Viren an (in Postfächern nicht). Die Content-Richtline ist standardmäßig eingestellt:

 

Nachrichten ablehnen, deren SCL-Bewertung größer oder gleich dem Wert 6 ist.

Alle anderen Hakerl weg.

Auch die Empfängerfilterung ist aktiv.

 

Frage: Was kann man hier tun, um den Spamschutz zu verbessern?

Der Sicherheitsserver ist übrigens hinter einer HW-Firewall (Zywall 35).

 

Besten Dank u. viele Grüße,

Mario.

[NorbertFe 2.034]

Dennoch kommen jede Stunde an die 30 Spamnachrichten in das Unternehmen rein, tlw. deutlich sichtbar, aber SCL "gut" bewertet (2-4).

 

30 pro User oder insgesamt? ;)

 

In öffentliche Ordner kommen gar Nachrichten mit gepackten Viren an (in Postfächern nicht).

 

Das ist auch ein Spamfilter, und kein Virenscanner. Hast du keinen Exchange-Virenscanner installiert?

 

 

Die Content-Richtline ist standardmäßig eingestellt:

 

Nachrichten ablehnen, deren SCL-Bewertung größer oder gleich dem Wert 6 ist.

 

OK, aber ich würde eher 5 oder 4 wählen.

Was sagt

Get-OrganizationConfig |fl scljunkthreshold

?

 

Bye

Norbert

bearbeitet 1. November 2009 von NorbertFe

[Superstruppi 13]

Hallo Norbert,

 

habe die Contentrichtline von 6 auf 5 herabgesetzt.

Der Junkthreshold war bei 4 u. ist nun beim Exchange Backend Server auf 3.

 

Der Forefront Security für Exchange Server hat ja mehrere Virenengines dabei. In unserem Fall

 

Die aktivierten Scanner:

- CA Vet

- Microsoft Antimalware Engine

- Noman Virus Control

- Sophos Virus Detection Engine

 

lG,

Mario.

[NorbertFe 2.034]

Hallo Norbert,

 

habe die Contentrichtline von 6 auf 5 herabgesetzt.

Der Junkthreshold war bei 4 u. ist nun beim Exchange Backend Server auf 3.

 

Backend auf 3? Soweit ich weiß setzt man den Threshold für die Org, oder wie oder was tust du da? :)

 

Der Forefront Security für Exchange Server hat ja mehrere Virenengines dabei. In unserem Fall

 

OK, wobei du beachten solltest, dass bspw. CA Vet ab 1.12. eingestellt wird. Drauf achten, dass du vorher auf die aktuellen Engines umsteigst.

Wundert mich aber, dass da noch "Viren" durchgekommen sind. Vor allem, wieso nur in Public Folders? Der SCanner läuft für alle ein- und ausgehenden Mails.

 

Bye

Norbert

[Superstruppi 13]

Backend auf 3? Soweit ich weiß setzt man den Threshold für die Org, oder wie oder was tust du da? :)

 

Die gleiche Abfrage gibt vom EBS Security Server "4" zurück, vom EBS Mail Server - nach der Anweisung "3".

Die Anweisung:

Set-OrganizationConfig -SCLJunkThreshold 3

lässt sich nur auf dem Mailserver erfolgreich ausführen, auf dem Security Server nicht, der erscheint diese Fehlermeldung:

Fehler beim Konvertieren des Namensformats für ''. Fehler: 87. 

 

Vermutlich eine rollenabhängige Anweisung, die sich noch nicht repliziert hat..?

 

OK, wobei du beachten solltest, dass bspw. CA Vet ab 1.12. eingestellt wird. Drauf achten, dass du vorher auf die aktuellen Engines umsteigst.

Muss man das manuell machen? Alle Enginges haben sich über das Internet auf den aktuellsten Stand gebracht. Reicht das nicht aus?

 

Wundert mich aber, dass da noch "Viren" durchgekommen sind. Vor allem, wieso nur in Public Folders? Der SCanner läuft für alle ein- und ausgehenden Mails.

 

Das war eine Falschaussage von mir, die RAR-Dateien waren zwar im Spam angehängt, allerdings wurden die Inhalte durch TXT-Dateien ersetzt.

[NorbertFe 2.034]

Die gleiche Abfrage gibt vom EBS Security Server "4" zurück, vom EBS Mail Server - nach der Anweisung "3".

Die Anweisung:

Set-OrganizationConfig -SCLJunkThreshold 3

lässt sich nur auf dem Mailserver erfolgreich ausführen, auf dem Security Server nicht, der erscheint diese Fehlermeldung:

Fehler beim Konvertieren des Namensformats für ''. Fehler: 87. 

 

Vermutlich eine rollenabhängige Anweisung, die sich noch nicht repliziert hat..?

 

start-edgesync? ;)

 

Muss man das manuell machen? Alle Enginges haben sich über das Internet auf den aktuellsten Stand gebracht. Reicht das nicht aus?

 

Ja. Nein. Antimalware Engine Notifications and Developments

 

Das war eine Falschaussage von mir, die RAR-Dateien waren zwar im Spam angehängt, allerdings wurden die Inhalte durch TXT-Dateien ersetzt./QUOTE]

 

Aha.

 

Bye

Norbert