kleines Spam -Problem

[nevermore 10]

Servus miteinander,
 
wir haben aktuell beim Kunden einen seltsamen Fall.. und ich kann mir beim besten Willen nicht erklären, warum das nicht alle Kunden haben.
 
Folgende Situation: Exchange 2013 on Premise, authorisierende Domäne: maiergmbh.de. Adressen bzw. User im AD und Exchange: maxmustermann@maiergmbh.de.
 
nun kommen verschiedene externe Mailserver (ist jedesmal ne andere IP) und setzen pro Connection 4 Mails an interne Adressen ab, die nicht existieren: z.B.:
 

- ehlo irgendwer.com
- mail from: tresdfsfduifeh@iwa.com
- rcpt to: gerhardmueller@subdomain.maiergmbh.de
- rcpt to: maxmustermann@subdomain.maiergmbh.de
- rcpt to: ehemaligermitarbeiter@subdomain.maiergmbh.de
- rcpt to: nicht_existenter_mitarbeiter@maiergmbh.de

Jede Mail wird mit 250 - OK quittiert (seltsam, die Mailadresse gibts nicht, aber alle unsere Kundenexchange reagieren hier exakt gleich).

Nun stellt der Exchange fest, dass die Adresse des Empfängers nicht existiert und schickt eine Mail an den (nicht existenten) Absender.. eine NDR quasi :-)

Mit viel Glück blockt der Smarthost die Mail weil er sagt "Recipient Adress not found". Allerdings kommts auch vor, dass unser Exchange ausgesperrt wird, weil von einem Spam-Angriff ausgegangen wird... das sind Hunderte bis Tausende Mails pro Minute.

 

Das ganze hier Ist ja erstmal nix gefährliches, sondern eher was ärgerliches. Und eigentlich auch kein klassischer Joe-Job/Backscatter...

 

Meine Fragen hierzu lauten also: 

1. Warum passiert das bei anderen Kunden nicht, wenn ja jeder Exchange erstmal ein 250-OK wirft, trotz falscher Empfängeradresse.

2. Wie bekomme ich dieses Verhalten in den Griff?

 

 

Gruß,

Johannes

[NorbertFe 2.039]

Exchange 2013 vermute ich? ;) Oder fehlende/deaktivierte Empfängerprüfung bei Exchange 2010, 2007, 2003.

 

Bye

Norbert

[nevermore 10]

Der betroffene Exchange ist ein 2013, ja ..

Zum Vergleich hab ich 2010 und sogar 2007 genommen. Jeder gibt erst mal 250-OK ... 

 

Empfängerprüfung check ich, danke für den Tip ;)

Ui .. das wars. Danke !! 

 

Die Empfängerfilterung scheint auf allen 2013'ern per Default deaktiviert zu sein. Komisch, aber ok :-)

[NorbertFe 2.039]

Die Empfängerfilterung funktioniert wenn überhaupt nur (sinnvoll), wenn sie auf dem Edge läuft. Wenn du die auf einem Multirole Server aktivierst hast du Probleme, dass die Prüfung quasi erst nach "Empfang" stattfindet und was noch viel schlimmer ist, sollte eine Mail mehrere Empfänger haben und einer davon ist falsch geschrieben, bekommt niemand die Mail. :/

 

https://technet.microsoft.com/en-us/library/bb125187(v=exchg.150).aspx

Although the Recipient Filter agent is available on Mailbox servers, you shouldn't configure it. When recipient filtering on a Mailbox server detects one invalid or blocked recipient in a message that contains other valid recipients, the message is rejected. If you install the anti-spam agents on a Mailbox server, the Recipient Filter agent is enabled by default. However, it isn't configured to block any recipients. For more information, see Enable anti-spam functionality on Mailbox servers.

Da hilft dann nur eine Lösung wie bspw. Vamsoft ORF Fusion, die auf dem Multirole Server läuft und deren Empfängerprüfung. :)

 

Bye

Norbert