[postfix-jp:03758] Re: spam対 策としてこんな機能は？

[Tomoyuki Sakurai <ml-postfix-jp@xxxxxxxxxxxxxxx>]

On Thu, 11 Dec 2003 03:31:56 +0900
Nobuo Morita <shen_anny@xxxxxxxxx> wrote:

| 【目的】
| ・自ドメインへのランダム、または、辞書を使ったspamの大量送信
| に対する対策

どちらかというとDoS対策ですね。

| 【機能】
| ・MTA-aから自ドメインへ、単位時間当たりの送信メール数のうち、
| 存在しないアカウントへの送信メール数が一定量を超えたとき、一
| 定時間（数時間）MTA-aからのアクセスをリジェクトする。

デフォルトでは、存在しないアドレスをRCPT TO:に指定するとエラーになります
ので、smtpd_error_sleep_time/smtpd_soft_error_limit/smtpd_hard_error_limit
で、ある程度は対応できます。MTAからの接続を拒絶する(port 25への接続にRST
を返すとか)のは、ファイアウォールやcheck_client_accessなどで何とかするし
かないようです。

| または、MTA-aからの単位時間当たりの送信メール数が一定量を越
| えた時点で一定時間MTA-aからのアクセスをリジェクトしても良い
| かもしれません。

official releaseのPostfixの機能だけでは無理そうです。何かいいアイデアが
あれば教えてください。

experimental releaseには次のような機能があります。

smtpd(8)
|smtpd_client_connection_count_limit
| The  maximal  number of simultaneous connections that any client
| is allowed to make to this service.  When a client  exceeds  the
| limit,   the   SMTP  server  logs  a  warning  with  the  client
| name/address and the service name as configured in master.cf.
| 
|smtpd_client_connection_rate_limit
| The maximal number of connections per unit time (specified  with
| connection_rate_time_unit) that any client is allowed to make to
| this service. When a client exceeds the limit, the  SMTP  server
| logs a warning with the client name/address and the service name
| as configured in master.cf.

RELEASE_NOTES
| Major changes with Postfix snapshot 2.0.16-20031111
| ===================================================
| 
| Preliminary defense against SMTP clients that hammer an SMTP server
| with too many connections.  By default, the number of simultaneous
| connections per client is limited to half the default process limit,
| and no limit is imposed on the number of successive connections
| per time unit that a client is allowed to make.

| When Postfix rejects a client, it sends a 450 status code and
| disconnects, and logs a warning with the client name/address and
| the service name from master.cf. You can, for example, capture this
| information with a logfile watching program that updates a firewall
| rule (such a watcher program is not included with Postfix).

ちなみに、ランダムなアドレスを使用してspamを送りつけるホストは、ほとんど
がopen proxyです。また、そうしたホストの大部分は動的に割り当てられている
(ように見える)IPアドレスから接続してきます。こうしたホスト向けの対策を行
うと、同時にここでの目的もある程度達成できるでしょう。

静的に割り当てられているIPアドレスからの、こうした攻撃は今のところほとん
どないように思います。あったとしてもログを監視していればすぐにわかるので、
個別に対処できるでしょう。

--
Tomoyuki Sakurai - Tomi -
mailto:ml-postfix-jp@xxxxxxxxxxxxxxx