iceget
Goto Top

Postfix Spam-Benutzer erkennen

Hallo liebe Community,

ich habe das Problem das aktuell irgend ein Benutzer (das kommt alle 3-4 Wochen mal vor) im System vom Server direkt rausspamt.
Also Servername = mail.domain.com, und raussenden tut dieser mit z.B. Kundenservice@mail.domain.com. Wenn ich mir das Logfile
anschaue, sehe ich dann den Benutzer der darüberhinaus versendet.

Nun die Frage:
Wie kann ich das "ausfiltern" bzw. einstellen das wenn ein User rausspammt das ich das irgendwie mitprotokoliere?

Meine main.cf:
# See /usr/share/postfix/main.cf.dist for a commented, more complete version


# Debian specific:  Specifying a file name will cause the first
# line of that file to be used as the name.  The Debian default
# is /etc/mailname.
#myorigin = /etc/mailname

smtpd_banner = $myhostname ESMTP $mail_name (Debian/GNU)
biff = no

# appending .domain is the MUA's job. 
append_dot_mydomain = no

# Uncomment the next line to generate "delayed mail" warnings 
#delay_warning_time = 4h

readme_directory = /usr/share/doc/postfix

# TLS parameters
smtpd_tls_cert_file = /etc/postfix/smtpd.cert
smtpd_tls_key_file = /etc/postfix/smtpd.key
smtpd_use_tls = yes
smtpd_tls_session_cache_database = btree:${data_directory}/smtpd_scache
smtp_tls_session_cache_database = btree:${data_directory}/smtp_scache

# See /usr/share/doc/postfix/TLS_README.gz in the postfix-doc package for
# information on enabling SSL in the smtp client.

myhostname = mail.domain.tld
alias_maps = hash:/etc/aliases, hash:/var/lib/mailman/data/aliases
alias_database = hash:/etc/aliases, hash:/var/lib/mailman/data/aliases
myorigin = /etc/mailname
mydestination = mail.domain.tld, localhost, localhost.localdomain
relayhost = 
mynetworks = 127.0.0.0/8 [::1]/128
mailbox_command = procmail -a "$EXTENSION"  
mailbox_size_limit = 0
recipient_delimiter = +
inet_interfaces = all
html_directory = /usr/share/doc/postfix/html
virtual_alias_domains = 
virtual_alias_maps = proxy:mysql:/etc/postfix/mysql-virtual_forwardings.cf, proxy:mysql:/etc/postfix/mysql-virtual_email2email.cf, hash:/var/lib/mailman/data/virtual-mailman
virtual_mailbox_domains = proxy:mysql:/etc/postfix/mysql-virtual_domains.cf
virtual_mailbox_maps = proxy:mysql:/etc/postfix/mysql-virtual_mailboxes.cf
virtual_mailbox_base = /var/vmail
virtual_uid_maps = static:5000
virtual_gid_maps = static:5000
inet_protocols = all
smtpd_sasl_auth_enable = yes
broken_sasl_auth_clients = yes
smtpd_sasl_authenticated_header = yes
smtpd_recipient_restrictions = check_recipient_access mysql:/etc/postfix/mysql-virtual_recipient.cf, permit_mynetworks, permit_sasl_authenticated, reject_unauth_destination
smtpd_tls_security_level = may
transport_maps = hash:/var/lib/mailman/data/transport-mailman, proxy:mysql:/etc/postfix/mysql-virtual_transports.cf
relay_domains = mysql:/etc/postfix/mysql-virtual_relaydomains.cf
relay_recipient_maps = mysql:/etc/postfix/mysql-virtual_relayrecipientmaps.cf
proxy_read_maps = $local_recipient_maps $mydestination $virtual_alias_maps $virtual_alias_domains $virtual_mailbox_maps $virtual_mailbox_domains $relay_recipient_maps $relay_domains $canonical_maps $sender_canonical_maps $recipient_canonical_maps $relocated_maps $transport_maps $mynetworks
smtpd_sender_restrictions = check_sender_access mysql:/etc/postfix/mysql-virtual_sender.cf
smtpd_client_restrictions = check_client_access mysql:/etc/postfix/mysql-virtual_client.cf
smtpd_client_message_rate_limit = 100
maildrop_destination_concurrency_limit = 1
maildrop_destination_recipient_limit = 1
virtual_transport = dovecot
header_checks = regexp:/etc/postfix/header_checks
mime_header_checks = regexp:/etc/postfix/mime_header_checks
nested_header_checks = regexp:/etc/postfix/nested_header_checks
body_checks = regexp:/etc/postfix/body_checks
owner_request_special = no
dovecot_destination_recipient_limit = 1
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
content_filter = amavis:[127.0.0.1]:10024
receive_override_options = no_address_mappings
message_size_limit = 0
smtp_tls_security_level = may

Kann ich das auch irgendwie filtern wenn innerhalb von 15 Minuten der selbe User mehr wie 200 Mails verschickt, das ich benachrichtig werden bzw. dies in ein Log geschrieben wird?

Vielen Dank

lg Iceget
Kommentar vom Moderator 16568 am May 28, 2014 um 18:49:37 Uhr
Posting pseudonymisiert...

Content-Key: 239182

Url: https://administrator.de/contentid/239182

Printed on: April 18, 2024 at 22:04 o'clock

Member: Lochkartenstanzer
Lochkartenstanzer May 26, 2014 at 12:51:16 (UTC)
Goto Top
Moin,

pack mal bitte die Config in Code-tags, damit man die besser lesen kann.

lks
Mitglied: 16568
16568 May 28, 2014 at 18:52:40 (UTC)
Goto Top
Da es ja nich jeder wissen muß, wie Dein System heißt, war ich so frei und habe pseudonymisiert.

Also, Deine Google Keywords lauten: postfix throttling


Lonesome Walker
Member: iceget
iceget Jun 03, 2014 updated at 09:52:50 (UTC)
Goto Top
Hallo Lonesome Walker,

Danke dafür!

Leider habe ich trotzdem ein anderes Problem. Habe mir nun in den letzten Stunden die Logs angesehen;
mein Problem sieht eher so aus:

Ein Outlookclient der sich Maleware eingefangen hat, spamt im Hintergrund hinaus (jedoch NICHT mit der ursprünglichen E-Mail).

Also z.B. der Servername selbst lautet: mail.serverdomain.com. Der autorisierte Benutzer von Postfix lautet z.B. user1@domainxyz.com.
Wenn ich mir nun das Maillog ansehe und ich mit postcat die "Spam"-E-Mail aufmache sehe ich das von Sparkasse@serverdomain.com rausgeschickt wird,
jedoch aber via authenticated user user1@domainxyz.com.

Also spamt eigentlich ein autorisierter Benutzer über das System raus, nur mit einer anderen Absenderadresse.

Wie kann ich das unterbinden?

Danke und lg

Zitat von @16568:

Da es ja nich jeder wissen muß, wie Dein System heißt, war ich so frei und habe pseudonymisiert.

Also, Deine Google Keywords lauten: postfix throttling


Lonesome Walker
Member: Lochkartenstanzer
Lochkartenstanzer Jun 03, 2014 at 09:59:35 (UTC)
Goto Top
Zitat von @iceget:

Also z.B. der Servername selbst lautet: mail.serverdomain.com. Der autorisierte Benutzer von Postfix lautet z.B.
user1@domainxyz.com.
...
Also spamt eigentlich ein autorisierter Benutzer über das System raus, nur mit einer anderen Absenderadresse.

Wie kann ich das unterbinden?

Das naheliegendste:

Sperre diesen user, bis seien Kiste wieder sauber ist.

lks
Member: iceget
iceget Jun 03, 2014 at 10:14:28 (UTC)
Goto Top
Hi,

schon klar. Wurde schon gemacht.

Mir geht's nur um das dies in Zukunft zu verhindern bzw. das ich informiert werde wenn wieder mal ein Client spammt...

Hast Du da eine Idee?

Danke und lg

Zitat von @Lochkartenstanzer:

> Zitat von @iceget:
>
> Also z.B. der Servername selbst lautet: mail.serverdomain.com. Der autorisierte Benutzer von Postfix lautet z.B.
> user1@domainxyz.com.
> ...
> Also spamt eigentlich ein autorisierter Benutzer über das System raus, nur mit einer anderen Absenderadresse.
>
> Wie kann ich das unterbinden?

Das naheliegendste:

Sperre diesen user, bis seien Kiste wieder sauber ist.

lks
Member: Lochkartenstanzer
Lochkartenstanzer Jun 03, 2014 at 11:56:55 (UTC)
Goto Top
Zitat von @iceget:

Mir geht's nur um das dies in Zukunft zu verhindern bzw. das ich informiert werde wenn wieder mal ein Client spammt...

Hast Du da eine Idee?

Akzeptiere von den Clients nur Mails mit Eurer Domain als Absender.

lks
Member: heysa27
heysa27 Jul 03, 2014 at 18:56:19 (UTC)
Goto Top
Hallo zusammen,

ich habe ein ähnliches Problem. Bei mir wurde das PW eines Mailbox Accounts gehackt und in Folge trudelten eine unheimliche Menge Mail in der mail queue für den versand ein. Der FROM Header enthält grundsätzlich die eigene Domain und lediglich einen wild zusammen gesetzten varierenden User Anteil in der Adresse.

Ich suche auch nach einem Weg auf statistischem Wege einen Mailbox Account zu identifizieren, wenn der mehr als sagen wir 100 Mails pro Stunde oder vielleicht mehr als 50 in 15 Minuten.

Bei den Usern vernünftige PWs durchzusetzen ist natürlich Maßnahme Nummer Eins ^^ Leider kann ich die Kandidaten mit den schlechten PWs nicht auf Anhieb erkennen, da PWs in der DB ja verschlüsselt. Ich plane im Webmailer ein kleinen Hook nach dem Login, da habe ich das PW flüchtig und kann mal gleich ne Anschnauz Mail versenden, wenn PW schlecht. Aber die lokalen Mail Clients bekomme ich damit nicht erreicht.

Viele Grüße, Björn
Member: heysa27
heysa27 Jul 03, 2014 at 18:59:51 (UTC)
Goto Top
sry ;) postfix + saslauth ..... und was ich auch noch nicht identifiziert bekam ist, wieviel Mails durch eine einzige sasl auth versendet wurde.
Member: iceget
iceget Nov 13, 2014 at 12:28:18 (UTC)
Goto Top
So, habe die Konfiguration von Postfix so upgedated das rein nur mehr der Benutzer Mails rausschicken darf. Läuft seit dem ohne Probleme.