☰

このソースからのスパムをブロックするには、電子メール ヘッダー内のどの IP アドレスを禁止する必要がありますか?

tag-icon • tag-icon email email-server
このソースからのスパムをブロックするには、電子メール ヘッダー内のどの IP アドレスを禁止する必要がありますか?

から詐欺メールが届きましたzcsend.net。今回は送信元アドレスが偽装されています。同じ送信元からのメッセージを禁止するには、Fail2Ban を使用する必要があります。ただし、ヘッダーには多数のアドレスがあります。どれを禁止すればよいでしょうか?

Return-Path: <[email protected]>
Delivered-To: [email protected]
Received: from mail.elcolie.com
    by mail.elcolie.com with LMTP
    id CQu1FWy08mQ8UwEA83h3bQ
    (envelope-from <[email protected]>)
    for <[email protected]>; Sat, 02 Sep 2023 04:05:00 +0000
Received: from localhost (localhost [127.0.0.1])
    by mail.elcolie.com (Postfix) with ESMTP id 4F41E835F9
    for <[email protected]>; Sat,  2 Sep 2023 04:05:00 +0000 (UTC)
Received-SPF: Pass (mailfrom) identity=mailfrom; client-ip=135.84.81.239; helo=sender-239.fsu3.zcsend.net; envelope-from=bounce_826278108+a.1ffd60557f594e44_gm1@mail18.psnd.zcsend.net; receiver=<UNKNOWN> 
Authentication-Results: mail.elcolie.com; dmarc=none (p=none dis=none) header.from=ahrdigital.com.br
Authentication-Results: mail.elcolie.com;
    dkim=pass (1024-bit key; unprotected) header.d=mail18.psnd.zcsend.net [email protected] header.a=rsa-sha256 header.s=k1 header.b=mfuyyvvw;
    dkim-atps=neutral
Received: from sender-239.fsu3.zcsend.net (sender-239.fsu3.zcsend.net [135.84.81.239])
    by mail.elcolie.com (Postfix) with ESMTPS id 4A931833FE
    for <[email protected]>; Sat,  2 Sep 2023 04:04:59 +0000 (UTC)
Received: from 172.30.236.109 by sender-239.fsu3.zcsend.net
    with SMTP id 169362748867145850; Fri, 01 Sep 2023 21:04:48 -0700
DKIM-Signature: a=rsa-sha256; b=mfuyyvvwcocf77Gr4eWhg010x1Vak0knteAbKgX+PiHKD2TdnhfbGOZHCItAcuEJSjZN2UGRM/dQMzI9WfytdauyhtACpvDVf+uIn6qRmlNkOn140NbFVuYPDUABu1IBCr6wEwXR2pLevy7Zz1vFWUEuRck+70wzVwMjrj7+yvE=; c=simple/simple; s=k1; d=mail18.psnd.zcsend.net; v=1; bh=LMN9EQQS8smfom6q8kw8Y3zjTellj/Oo1rnIjeRT56c=; h=date:from:to:message-id:subject:mime-version:content-type:list-unsubscribe:list-unsubscribe-post:x-csa-complaints;
Date: Fri, 1 Sep 2023 21:04:48 -0700 (PDT)
From: "Parcel Team" <[email protected]>
To: [email protected]
Message-ID: <zcb.3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d.1ffd60557f594e44.1693627488661@mail18.psnd.zcsend.net>
Subject: =?UTF-8?B?Tm90aWZpY2F0aW9uOsKgIENhc2UgTnVtYmVyICMzMzYxNzI=?=
MIME-Version: 1.0
Content-Type: multipart/alternative; 
    boundary="----=_Part_8830362_773276248.1693627488657"
List-Unsubscribe: <https://vldxa-cmpzourl.maillist-manage.com/ua/optout?od=3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d&rd=1ffd60557f594e44&sd=1ffd60557f57b0ef&n=11699e4c32dbb4c>,<mailto:[email protected]>
List-Unsubscribe-Post: List-Unsubscribe=One-Click
X-CSA-Complaints: [email protected]
Reply-To: [email protected]
X-JID: 3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d.1ffd60557f3f24e4
X-campaignid: zohocampaigns.3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d.zcb.1ffd60557f594e44.11699e4c32dbb4c
X-Zoho-RID: zohocampaigns.3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d.zcb.1ffd60557f594e44.11699e4c32dbb4c
X-Report-Abuse: <Please send a copy of this message along with header to abuse+3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d_zcb_1ffd60557f594e44@zohocampaigns.com>, <https://vldxa-cmpzourl.maillist-manage.com/campaigns/ReportAbuse.zc?od=3za2ac949e760ea75599504c608f73642fe6611a47f75af214445fe34174e0169d&rd=1ffd60557f594e44&sd=1ffd60557f57b0ef&n=11699e4c32dbb4c>

------=_Part_8830362_773276248.1693627488657
Content-Type: text/plain;charset="UTF-8"
Content-Transfer-Encoding: quoted-printable

実際のメールアドレスを[email protected]

私のメールサーバーは参考: 私はただ走る docker exec 2834fea5aa2e setup fail2ban ban 135.84.81.239

質問:

  1. 正しい IP アドレスを見つけましたか?
  2. 正しくブロックしていますか?
  3. 何か見逃しているでしょうか?

答え1

正しいIPアドレスを見つける

毎メッセージ転送エージェント(MTA) は電子メールを処理する際に、メッセージの先頭にヘッダーを追加するため、ヘッダーは降順で表示されます。つまり、一番上にあるのが最新のヘッダーです。IP アドレスを見つけるには、Receivedサーバーが最初に電子メールを受け入れたヘッダーを探す必要があります。

Received: from sender-239.fsu3.zcsend.net (sender-239.fsu3.zcsend.net [135.84.81.239])
    by mail.elcolie.com (Postfix) with ESMTPS id 4A931833FE
    for <[email protected]>; Sat,  2 Sep 2023 04:04:59 +0000 (UTC)

ここで、 の後の最初のアドレスは、信頼できないサーバーのホスト名fromです。それに関連付けられた IP アドレスとホスト名 ( ) は括弧内にあります。HELOPTR

これが、135.84.81.239あなたが探していた IP アドレスです。ただし、これにはさらに続きがあります...

Fail2Banはこの目的のために設計されていない

なぜあなたは必要Fail2Banを使用するには?フェイル2バン(1)スパムをブロックするためのものではありませんが...

ブルートフォース認証の試行を制限するためのサーバーおよびクライアント プログラムのセット。

ドメイン名リアルタイムブラックホールリスト（RBL）

例のIPアドレス135.84.81.239は現在、リアルタイムブラックホールリスト（RBL）：

スパムが届くたびに個々の IP アドレスをブロックするのではなく、すでに大規模にブロックしている外部サービスを利用することもできます。また、ほとんどのサービスでは問題が解決するとリストが削除されます。

さまざまな種類のリストを持つ RBL プロバイダーは多数あります。これらのリストのどれがニーズに適しているかを分析する必要があります。例:

Postfix での RBL の設定

ヘッダーを見るとPostfixを使用していることがわかります。たとえば、SpamCopを設定するにはmain.cf、reject_rbl_clientでsmtpd_recipient_restrictionsHELOここで、これは完全な、MAIL FROM& の後に評価されますRCPT TO。

smtpd_recipient_restrictions =
    . . .
    reject_rbl_client bl.spamcop.net,
    . . .
    permit

答え2

1 台の Zoho サーバーをブラックリストに登録しても、あまり効果はありません。他にもいくつかサーバーがあります。

サーバー全体を禁止したい場合は、ホストドメインzcsend.netまたは封筒から@(.*).psnd.zcsend.net>。

完全に禁止したくない場合は、苦情を申し立てるしかありません。

もちろん、フィルタリングを試すこともできますヘッダFROM ですが、これは簡単に偽装されてしまいます。

関連情報