Zum Hauptinhalt gehen
Version: 5.7

Der Server wird zum Versenden von Spam verwendet

Überprüfen, dass der BM-Server kein offener Relay ist​

Standardmäßig ist postfix als offener Relay für den Server selbst konfiguriert, so dass verschiedene Dienste (Webmail, EAS) E-Mails senden können. Über die Verwaltungskonsole können Sie neue vertrauenswürdige IPs hinzufügen, die E-Mails über den BM-Server senden dürfen.

Wenn einer dieser Server kompromittiert wird, kann ein Spammer dann den BM-Server benutzen, um Spam zu versenden.

Erkennen Sie das Problem anhand zahlreicher Zeilen wie beispielsweise:

Jun 21 08:34:30 centos7 postfix/smtpd[16863]: connect from gateway[192.168.122.111]
Jun 21 08:34:48 centos7 postfix/smtpd[16863]: 1C205316C411: client=gateway[192.168.122.111]
Jun 21 08:34:58 centos7 postfix/cleanup[16869]: 1C205316C411: message-id=<>
Jun 21 08:34:58 centos7 postfix/qmgr[16801]: 1C205316C411: from=<user1@domain.com>, size=233, nrcpt=1 (queue active)
Jun 21 08:34:59 centos7 postfix/smtp[16821]: 1C205316C411: to=<user2@anotherdomain.net>, relay=smtp.anotherdomain.net[XX.XX.XX.XX]:25, delay=20, delays=20/0/0.35/0.09, dsn=2.0.0, status=sent (250 2.0.0 Ok: queued as 2F10238)
Jun 21 08:34:59 centos7 postfix/qmgr[16801]: 1C205316C411: removed
Jun 21 08:35:04 centos7 postfix/smtpd[16863]: disconnect from gateway[192.168.122.111]

Die Client-Zeile zeigt hier die IP des Servers, der diese E-Mail gesendet hat, hier 192.168.122.111, wenn sie nicht legitim ist, bedeutet dies, dass dieser Server kompromittiert ist und zum Senden von Spam verwendet wird.

Zu ergreifende Maßnahmen:

  • Löschen Sie die IP des betroffenen Servers in der BM-Verwaltungskonsole und speichern Sie die Konfiguration.

Erkennung des Benutzers, der für den Versand von Spam verwendet wurde​

Meistens wird das Problem von einem Spammer verursacht, der, oft durch Bruteforce, das Kennwort eines Benutzerkontos herausgefunden hat und es für den Versand von Spam verwendet.

Identifizieren Sie SMTP-Verbindungen, bei denen zahlreiche Zeilen des folgenden Typs auftreten:

May  5 00:08:55 hermes postfix/smtpd[27666]: 7E079B666CC: client=unknown[46.48.93.60], sasl_method=LOGIN, sasl_username=admin

Zu ergreifende Maßnahmen:

  • das Kennwort des Benutzers ändern: entweder in BM oder im Verzeichnis.

  • schließe alle Sitzungen dieses Benutzers mit dem Befehl :

    bm-cli user logout --email=login@domain.com

    ⚠️ SMTP-Verbindung
    Der Befehl bm-cli user logout beendet die BlueMind-Sitzungen eines Benutzers (Webmail, Anwendungen, API), verwaltet jedoch keine SMTP-Verbindungen.
    Ist eine SMTP-Verbindung bereits geöffnet, bleibt sie bis zu ihrem natürlichen Abbruch aktiv, und der Benutzer kann sich per SMTP mit seinem Passwort erneut authentifizieren. Um einen Benutzer am Versenden von E-Mails zu hindern, muss sein Konto gesperrt werden.

  • die Postfix-Warteschlange aufräumen, um alle E-Mails zu löschen, die auf den Versand warten, um alle E-Mails in der Warteschlange des Benutzers login@domain.net zu löschen

    postqueue -p | tail -n +2 | awk 'BEGIN { RS = "" } /login@domain\.net/ { print $1 }' | tr -d '\*!' | postsuper -d -

    ❗ Dieser Befehl wird alle E-Mails in der Warteschlange des Benutzers löschen, egal ob es sich um Spam oder um legitime E-Mails handelt, die der Benutzer gesendet hat, dieser Befehl kann sehr lange dauern.

Wie können Sie sich vor diesen Angriffen schützen?​

Begrenzung von Brute-Force-Angriffen​

Um Brute-Force-Versuche einzuschränken, verwenden Sie das Plugin „password-bruteforce“; dieses sperrt Anmeldeversuche für 20 Minuten, nachdem drei Authentifizierungsversuche fehlgeschlagen sind.

Einrichten einer Passwortrichtlinie​

Falls die Benutzer nicht über ein Verzeichnis verwaltet werden, verwenden Sie das Plugin „ Plugin für Passwort-Sicherheit “ ( password-sizestrength ), mit dem Sie eine Richtlinie einrichten können, um Passwortregeln durchzusetzen.

Wie kann das Problem frühzeitig erkannt werden?​

Mit der Überwachungsanwendung lässt sich das Problem schnell erkennen und darauf reagieren, bevor der Server von den verschiedenen Anti-Spam-Diensten auf die schwarze Liste gesetzt wird.

Es werden Warnmeldungen eingerichtet, die auf einem deutlichen Anstieg der E-Mail-Anzahl in der Postfix-Warteschlange basieren. Sobald die Postfix-Warteschlange 100 Nachrichten erreicht, wird eine Warn-E-Mail an admin@domain.net gesendet.

Weitere Informationen in der Überwachungsanwendung auf finden Sie unter der Seite Verwendung der Überwachungsanwendung.