GFI Mail Essentials: filteren op URL *

[plakkert]

Hoi,

Hier op mn stage wordt gebruik gemaakt van GFI Mail Essentials op een W2k-server. Hier komen dagelijks een X aantal spam berichten binnen met die viagra e.d. troep erin. Aangezien ze het steeds anders typen (viagra > viagara, etc) kun je moeilijk op keyword filteren. Er staat wel een hyperlink in (verwijst naar http://hecomlete.com). Is het mogelijk om de url in de hyperlink te filteren ergens in GFI?

Bvd,

plakkert.

[F_J_K]

Ik ken de handleiding van GFI mail essentials niet (hint ), maar kan je 'hecomlete.com' dan niet gewoon als keyword opgeven

offtopic:
Ik maak de titel even af, alleen de naam van een orogramma zegt wat weinig over je vraag.

[Outerspace]

Waarom zou je die mail niet kunnen blokkeren dmv een rule in je firewall Dat je alles blockt op die link?

offtopic:
ik vertel dit omdat ik ook niet weet als het in GFI kan, maar wel weet dat je het via een andere manier kan blokkeren

offtopic:
F_J_K

[ Voor 4% gewijzigd door Outerspace op 21-11-2005 10:01 ]

[P_de_B]

Je kunt toch gewoon het domein aan de blacklist toevoegen?

Overigens kun je ook het Bayesian filter aanzetten, dit werkt ook goed tegen al die verschillende schrijfwijzen.

[plakkert]

F_J_K schreef op maandag 21 november 2005 @ 10:01:
maar kan je 'hecomlete.com' dan niet gewoon als keyword opgeven

Maar het lijkt mij dat hier de URL niet als keyword gezien wordt maar "Click Here" wel..

[JohnD]

jawel hoor. net getest hier.

[plakkert]

Ik heb het net ingesteld, en er kwam vervolgens een echte mail aan in de spam mailbox (atm is de Administrator mailbox de mailbox waar alle spam terechtkomt). In de subject stond dat die url (hecomlete.com) in de mail aanwezig was, wat niet zo was..

[CmdrKeen]

Als de URL hecomplete.com in de mail staat, staat de TEKST er ook in. Andersom hoeft niet per sé zo te zijn. Welke DNS blacklists gebruik je?

Ik gebruik de volgende:
relays.ordb.org
dnsbl.njabl.org
sbl-xbl.spamhaus.org
bl.spamcop.net

(Sbl en xbl.spamhaus.org zijn verenigd in sbl-xbl.spamhaus.org, dus niet alledrie aanvinken!)

Verder heb ik "geocities.com/" in m'n keyword checking staan, en "Match whole words only" bij Keyword Checking Props uitgevinkt. Let op: " blaat " is volgens GFI identiek aan "blaat". Als je dus checkt op " cum ", krijg je geen mail meer uit Blaricum.

Dat is bij mij genoeg om die maffe URL's eruit te houden.

Welke versie van GFI gebruik je? De fora van GFI bieden vaak ook wel hulp.

/edit
Soms wil het helpen om de GFI-services te resetten. Ik gebruik daar dit scriptje voor:

code:

@echo off
net stop "GFI Content Security Attendant Service"
net stop "GFI Content Security Auto-Updater Service"
net stop "GFI MailEssentials Attendant"
net stop "GFI MailSecurity Attendant Service"
net stop "GFI MailSecurity Scan Engine"
net stop w3svc
net stop smtpsvc
net stop "IIS Admin Service"

net start "GFI Content Security Attendant Service"
net start "GFI Content Security Auto-Updater Service"
net start "GFI MailEssentials Attendant"
net start "GFI MailSecurity Attendant Service"
net start "GFI MailSecurity Scan Engine"
net start w3svc
net start smtpsvc
net start "IIS Admin Service"

Van GFI is bekend dat soms de SMTP-service ineens niet meer wil starten, hou daar dus rekening mee.

/edit2
Komt je mail niet per ongeluk van een adres op de Whitelist? Dan kan je namelijk blokkeren wat je wil, maar dan wordt het gewoon doorgelaten (gesteld dat je Whitelist als eerste verwerkt wordt).

[ Voor 53% gewijzigd door CmdrKeen op 21-11-2005 12:45 ]

[plakkert]

Ik krijg het niet aan de praat, het zal vast aan mij liggen. Maar goed, waar moet ik dat domein invullen? Wellicht dat ik het op de verkeerde plek doe ofzo

[plakkert]

Aha, ik had een aantal domeinen gepinged, kwamen bijna allemaal op 'tzelfde IP adres uit.. inclusief deze hecomlete.com

[plakkert]

Hm, weet iemand hoe ik IP adressen in een blacklist kan zetten? De adressen in de Custom Blacklist zetten werkt niet, aangezien GFI deze er zelf verwijderd.

[Caeruleus]

Welke versie heb je? GFI Mailessentials versie 11 heeft namelijk een fuctie die exact doet wat jij wil, het heet "spam url blacklist" deze raadpleegt een externe database die continue wordt geupdate met dergelijke links. Werkt erg goed.

[plakkert]

Het is versie 11 ja, ik heb nu bij de blacklist het IP ingevuld, hopen dat 't wat uithaalt

[CmdrKeen]

IP's blacklisten heeft doorgaans geen zin, want
1. als het echt een spammerd is dan wisselt-ie elke drie minuten van IP;
2. alstie niet van IP wisselt dan staat-ie op de URL-blacklists, zoals Caeculeus zegt.

De adressen in de Custom Blacklist zetten werkt niet, aangezien GFI deze er zelf verwijderd.

Dat lijkt me niet goed. Wat probeer je precies te doen?

[plakkert]

Hm, ik denk IP's bannen ook lastig word, aangezien het IP niet als afzender geld. Er staan altijd links in die emails, verschillende domeinen die wijzen naar hetzelfde IP..

[CmdrKeen]

Kan je een paar voorbeelden plaatsen van dergelijke mailtjes (incl. headers aub)?

[plakkert]

Hier 2 screenies:
http://img511.imageshack.us/img511/7000/spammail14vf.jpg
http://img511.imageshack.us/img511/5751/spammail27lw.jpg

[Caeruleus]

plakkert schreef op woensdag 23 november 2005 @ 09:35:
Het is versie 11 ja, ik heb nu bij de blacklist het IP ingevuld, hopen dat 't wat uithaalt

Ik zie het probleem niet zo, in ME 11 heb je de spam url blacklist (dit is dus wat anders dan DNS blacklist). ff de juiste blacklist aanvinken (multi.surbl.org) en je bent er vanaf. Ik heb de 3 adressen die je noemt (1 in je startpost, 2 in de screenshots) gecontroleerd en deze worden alle 3 door deze lijst herkend als spam.

[ Voor 5% gewijzigd door Caeruleus op 23-11-2005 10:59 ]

[plakkert]

ik heb inmiddels een uur ofzo geleden alleen die multi aangevinkt, dus het is nog even afwachten . I'll keep you posted.

In ieder geval iedereen bedankt voor de hulp tot nu toe

[plakkert]

het lijkt goed te gaan, tussen 11 en 12 uur 0 spam mails gekregen.

[CmdrKeen]

Oh, DIE krengen! Met die rare tabelletjes erin Daar heb ik ook grote moeite mee gehad. Ik voer ze maar aan mijn Bayesian spamfilter (ook GFI ME natuurlijk) - die lust er wel pap van

Sinds het begin van die tabellenrommel heb ik een stuk of 200 (denk ik) van dat soort mailtjes aan Bayes gevoerd en sinds een weekje of zo werkt het wel lekker. Er komt nog maar zelden zo'n mailtje door.

Check even de manual; achterin bij Remote Commands. Daar staat hoe je mail aan Bayes kan voeren. (Bij mij door het te forwarden naar [e-mail] met in de body bovenaan ADDASSPAM.) Werkt prima, maar duurt even.

[plakkert]

alle spam berichten worden nu standaard geforward naar administrator mailbox

[CmdrKeen]

Prima, daar check je op false positives neem ik aan? En als je er eentje vindt, stuur je die naar de gebruiker toch? Mooi. Als de gebruiker een positive false (uhhh... spam dus) krijgt, kan die het forwarden naar bv. [e-mail] zodat het automagisch aan Bayes wordt gevoerd.

Zoals ik zei: laatste hoofdstuk van de manual van GFI ME.

[plakkert]

Ja, ik stuur ze door naar de gebruiker.

Ik heb de manual ff gelezen en de stappen gevolgd. Krijg je verder nog iets van een notificatie dat je doorgestuurde bericht als spam geclassificeerd word?

[CmdrKeen]

Nee, maar je krijgt wel een melden als het niet gelukt is. Het enige waar je even op moet letten is dat de mail ook daadwerkelijk aankomt. Standaard is het adres namelijk [e-mail] (of zoiets dergelijks), maar dat kan je ook veranderen. Ik heb het veranderd naar een lokaal adres en er een gebruiker bij gemaakt, zodat je alleen maar "spamfilter" hoeft in te typen in het To:-veld.

[plakkert]

Nah, ik zie Maandag wel wat voor impact de blacklist e.d. heeft gehad

[plakkert]

Hm, Ik probeer nu steeds via "ADDASSPAM" de berichten aan de bayesian filter te voeren, in de handleiding staat dat er dan een .eml bestandje moet komen in de map ADBRProcessed in de main folder van GFI. Dit is helaas niet het geval.

Zou iemand met een werkende GFI (met addasspam) even kunnen kijken of er bij hem/haar wel files staan in die folder?

ps. De spam komt binnen bij [e-mail] mailbox en ik stuur ze door naar [e-mail] met het "ADDASSPAM" commando erbij. Wellicht dat ik hier iets fout gedaan heb..?


Bvd,

plakkert

[CmdrKeen]

Bij mij staan ze wel allemaal.

Net even gekeken, en ik zie dat toch nog het originele adres als emailadres bij Remote Commands staat ([e-mail]) bij mij. Ik heb in Exchange een Contact gemaakt met dat emailadres, zodat ik de nick Spamfilter kan gebruiken.

Misschien moet je het dan toch maar bij het standaard-emailadres houden.

[plakkert]

Hm vreemd, ik heb het rcommands email adres ingevoerd als zijnde het email adres dat remote commands mag ontvangen en de account in Exchange aangepast, maar het komt er niet bij te staan.

Ik heb daarvoor geprobeerd naar een ander extern email adres te mailen, er kwam niets aan. Domein (gmail in dit geval) in de whitelist gezet en toen kwam 't wel aan. Ik heb ook het rcommands email adres in de Whitelist gezet, maar er komt niets in de Processed map te staan..

[plakkert]

Gebruik je een wachtwoord voor de bayesian?

[CmdrKeen]

Nee, geen wachtwoord. Ik filter wél op users, d.w.z. ik heb voorgedefinieerd welke accounts spam mogen invoeren. Het domein van de ontvanger hoeft niet op de whitelist. De volgorde is immers:

code:

client --> GFI --> SMTP-service --> internet

(Uitgaand dan natuurlijk he!)
Als het goed is, controleert GFI *eerst* de mail en stuurt-ie het daarna door - *tenzij* het het adres is waar Bayes naar luistert.

Draai je GFI in perimiter mode of op de server zelf?

[plakkert]

Hm, vaag dit. Ik heb nu [e-mail] ingesteld als de ontvanger van de commands. Als ik naar de spam doormail naar dat adres zeikt ie dat ie niet bestaat, kijk ik in de Processed map staan ze daar gewoon in als SUCCESS.

[CmdrKeen]

Definieer "ie"... wie zeikt? GFI? Je mailclient? SMTP op je mail relay server?

Het standaardadres is trouwens [e-mail], niet [e-mail]. Probeer het dus eens met [e-mail].

[ Voor 61% gewijzigd door CmdrKeen op 24-11-2005 13:27 ]

[plakkert]

Neem me niet kwalijk, ik krijg een emailtje terug dat de ontvanger (.local) niet bestaat. En mailessentials.com werkt gewoonweg niet

[CmdrKeen]

Tsja, zo kunnen we nog wel even bezig blijven natuurlijk. "Werkt niet" daar kan ik niks mee, kan je er wat meer over vertellen?

Standaard vangt ME het adres [e-mail] af om het in het Bayesian filter te verwerken. Je *kan* een ander adres instellen in ME, maar GFI raadt het af (ben even vergeten waarom ook alweer, staat ook in de manual).

Het lijkt erop dat je uitgaande mail helemaal niet via ME loopt, zou dat kunnen? Werkt je AutoWhitelist wél naar behoren? Als dat nl. niet zo is, dan verstuur je ws. je mail niet via de SMTP-service waar ME in zit te poeren. (M.a.w.: je mailserver, bv. Exchange, moet mail versturen via een Smart Host en niet direct.)

[plakkert]

De mail loopt wel degelijk via de ME. Aangezien hij automatisch mijn hotmail adres (had outgoing mail ff getest) in de whitelist had gezet

[CmdrKeen]

Ok dan. Nou ja, als de setting in ME op default staat en ook je uitgaande mail via ME loopt, dan zou het moeten werken. Wat je zou kunnen proberen is ME opnieuw installeren, dat lost soms rare problemen op, daar staat GFI om bekend.

Mijn mening over GFI: verre van ideaal maar de beste in z'n soort.

Service is wel ok, je zou ze ook kunnen bellen. Ik heb een keertje gehad dat ik er echt niet uitkwam; uiteindelijk waren ze zelfs bereid een developer (!) mee te laten kijken met bv. VNC op mijn server om te kijken wat er aan de hand was.

Alleen jammer dat je altijd hemel en aarde moet bewegen om überhaupt gehoord te worden. Meestal moet je eerst door allerlei zinloze opdrachten heen (troubleshooting en logging aanzetten en die bestanden naar ze uploaden voornamelijk, en dan structureel niets meer horen) voordat je hulp krijgt, maar *als* je eenmaal in the picture bent dan pakken ze het goed aan.

Als ik jou was, zou ik de boel ff opnieuw installeren want het lijkt me dat er iets mis is in ME zelf.

[plakkert]

Het schijnt toch allemaal prima te werken, een aantal berichten kregen een tag van de Bayesian filter, heb de filter nu ingesteld om de emails automatisch te verwijderen.

In ieder geval van harte bedankt voor de hulp