detectar spam de nombres de dominio aleatorios en el encabezado, en .procmailrc

Question 1

Aquí hay una receta de Procmail que implementa lo que yopensarte estarás preguntando.

Usapuntuaciónque es una característica un poco oscura pero ocasionalmente útil. Brevemente, asignamos una puntuación de 1 si hay un From:encabezado con un nombre de dominio (como siempre lo habría), luego restamos uno de la puntuación si el encabezado Reply-To:o Message-Id:tiene la misma cadena después de @.

:0:
*    1^0 ^From:.*@\/[^@<>   ]+
* $ -1^0 ^Message-Id:.*@$\MATCH\>
* $ -1^0 ^Reply-To:.*@$\MATCH\>
suspicious

Predigo que esto tendrá una tasa bastante alta de falsos positivos, pero tal vez pueda brindarle valor si recibe mucho spam con este patrón en particular, especialmente si puede combinarlo con una lista blanca.

Aún así, le recomendaría que revise la suspiciouscarpeta con regularidad y busque cualquier falso positivo en su bandeja de entrada habitual.

Aquí hay una demostración ejecutada con la muestra que proporcionó, con entrega en /dev/nullsu lugar solo para la demostración.

bash$ procmail -m VERBOSE=yes /tmp/procmailrc </tmp/sample 
procmail: [16] Fri Mar 19 09:06:29 2021
procmail: Rcfile: "/tmp/procmailrc"
procmail: Assigning "MAILDIR=/home/tripleee"
procmail: Assigning "MATCH="
procmail: Matched "namebrandwigs.com"
procmail: Score:       1       1 "^From:.*@\/[^@<>  ]+"
procmail: Score:       0       1 "^Message-Id:.*@()namebrandwigs\.com\>"
procmail: Score:       0       1 "^Reply-To:.*@()namebrandwigs\.com\>"
procmail: Assigning "LASTFOLDER=/dev/null"
procmail: Opening "/dev/null"
 Subject: drone with new features
  Folder: /dev/null                            1373

Una complicación específica es que esto no permite visitas a subdominios; No sería demasiado difícil permitir un remitente , pero el escenario opuesto es mucho más complicado, porque en el caso general no se puede saber realmente si el nombre de dominio es (como en los TLD y, por ejemplo) o (como en los TLD). , etc. TLD) o incluso más (según sea el caso de algunas prefecturas de Japón, etc.).Message-id: <[email protected]>From: real name <[email protected]>From: sender <[email protected]>labels.here.com.frmany.labels.here.co.uk.com.auk12.place.name.us

Con más detalle, 1^0asigna una 1puntuación para el primer acierto en la primera línea de receta y no asigna ninguna puntuación adicional a los aciertos adicionales. El \/token captura la cadena siguiente de la cadena coincidente, es decir, todo lo que está después del último @signo en el encabezado. Luego, la MATCHvariable se utiliza en las siguientes líneas de receta para hacer referencia a esta cadena capturada; la sintaxis $\MATCHproduce un patrón de expresión regular que coincide con la cadena literal. Las recetas subsiguientes tienen una $bandera para indicarle a Procmail que interpola cualquier variable (es decir, $MATCH) en la condición de la receta, y una -1^0instrucción de puntuación para restar uno por el primer resultado de la condición, y luego nada si coincide nuevamente.

Las páginas de manual explican todas estas construcciones, pero pueden ser bastante densas; tal vez ver también elReferencia rápida de procmailque es aún más denso, pero quizás también más rápido de leer y comprender.

Publiqué esto como una respuesta separada para no mezclar el contenido aquí con mi otra respuesta, que básicamente intenta disuadirlo de crear sus propios filtros de spam usando solo Procmail.

Answer

Aquí hay una receta de Procmail que implementa lo que yopensarte estarás preguntando.

Usapuntuaciónque es una característica un poco oscura pero ocasionalmente útil. Brevemente, asignamos una puntuación de 1 si hay un From:encabezado con un nombre de dominio (como siempre lo habría), luego restamos uno de la puntuación si el encabezado Reply-To:o Message-Id:tiene la misma cadena después de @.

:0:
*    1^0 ^From:.*@\/[^@<>   ]+
* $ -1^0 ^Message-Id:.*@$\MATCH\>
* $ -1^0 ^Reply-To:.*@$\MATCH\>
suspicious

Predigo que esto tendrá una tasa bastante alta de falsos positivos, pero tal vez pueda brindarle valor si recibe mucho spam con este patrón en particular, especialmente si puede combinarlo con una lista blanca.

Aún así, le recomendaría que revise la suspiciouscarpeta con regularidad y busque cualquier falso positivo en su bandeja de entrada habitual.

Aquí hay una demostración ejecutada con la muestra que proporcionó, con entrega en /dev/nullsu lugar solo para la demostración.

bash$ procmail -m VERBOSE=yes /tmp/procmailrc </tmp/sample 
procmail: [16] Fri Mar 19 09:06:29 2021
procmail: Rcfile: "/tmp/procmailrc"
procmail: Assigning "MAILDIR=/home/tripleee"
procmail: Assigning "MATCH="
procmail: Matched "namebrandwigs.com"
procmail: Score:       1       1 "^From:.*@\/[^@<>  ]+"
procmail: Score:       0       1 "^Message-Id:.*@()namebrandwigs\.com\>"
procmail: Score:       0       1 "^Reply-To:.*@()namebrandwigs\.com\>"
procmail: Assigning "LASTFOLDER=/dev/null"
procmail: Opening "/dev/null"
 Subject: drone with new features
  Folder: /dev/null                            1373

Una complicación específica es que esto no permite visitas a subdominios; No sería demasiado difícil permitir un remitente , pero el escenario opuesto es mucho más complicado, porque en el caso general no se puede saber realmente si el nombre de dominio es (como en los TLD y, por ejemplo) o (como en los TLD). , etc. TLD) o incluso más (según sea el caso de algunas prefecturas de Japón, etc.).Message-id: <[email protected]>From: real name <[email protected]>From: sender <[email protected]>labels.here.com.frmany.labels.here.co.uk.com.auk12.place.name.us

Con más detalle, 1^0asigna una 1puntuación para el primer acierto en la primera línea de receta y no asigna ninguna puntuación adicional a los aciertos adicionales. El \/token captura la cadena siguiente de la cadena coincidente, es decir, todo lo que está después del último @signo en el encabezado. Luego, la MATCHvariable se utiliza en las siguientes líneas de receta para hacer referencia a esta cadena capturada; la sintaxis $\MATCHproduce un patrón de expresión regular que coincide con la cadena literal. Las recetas subsiguientes tienen una $bandera para indicarle a Procmail que interpola cualquier variable (es decir, $MATCH) en la condición de la receta, y una -1^0instrucción de puntuación para restar uno por el primer resultado de la condición, y luego nada si coincide nuevamente.

Las páginas de manual explican todas estas construcciones, pero pueden ser bastante densas; tal vez ver también elReferencia rápida de procmailque es aún más denso, pero quizás también más rápido de leer y comprender.

Publiqué esto como una respuesta separada para no mezclar el contenido aquí con mi otra respuesta, que básicamente intenta disuadirlo de crear sus propios filtros de spam usando solo Procmail.

Question 2

Basándonos en unos pocos ejemplos limitados, es difícil encontrar algo específico que funcione hoy y siga funcionando mañana. Si tuactualLa pregunta es realmente "¿cómo puedo evitar el spam de Procmail?" La respuesta obvia, simple y bien documentada es "ejecute un filtro de spam de espectro completo como SpamAssassin y examine su resultado". Incluso entonces, su precisión probablemente nunca será del 100%; pero SpamAssassin hace un trabajo decente para una herramienta que básicamente configuras y olvidas. Depende en gran medida de servicios externos que proporcionan información dinámica de reputación para direcciones IP, URL y otros recursos de red utilizados por los spammers, por lo que, de hecho, hay una gran cantidad de acción detrás de escena.

UsadoViaProcmail en la wiki de SpamAssassinTiene más instrucciones. En resumen, una vez que haya instalado y configurado SpamAssassin, intente algo como

:0fw
* < 512000
| spamassassin

:0:
* ^X-Spam-Level: \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*
almost-certainly-spam

:0:
* ^X-Spam-Status: Yes
probably-spam

Los segundos dos puntos :0:solo son correctos si realiza la entrega en un buzón que requiere bloqueo (como un archivo mbox, pero definitivamente no es un directorio de Maildir; pero según el ejemplo de su pregunta, parece que está en mbox). Si recibe regularmente grandes mensajes de spam, tal vez elimine la condición de tamaño * < 512000o ajuste el número. El estándar Procmail de SpamAssassin incluye un archivo de bloqueo que es innecesario en su sistema personal y quizás dudoso en hosts compartidos, y un extraño vudú de culto de carga alrededor de Fromlíneas discontinuas que creo que nunca fue correcto.

Si desea un consejo específico para las muestras que proporcionó, comprenda que incluso los hechos profundamente investigados y absolutamente veraces que podrían permitirle descartar estos mensajes específicos con plena confianza de que no habrá falsos positivos serán prácticamente inútiles para manejar cualquier otro. mensajes, y/o obsoletos mañana o la próxima semana.

Answer

Basándonos en unos pocos ejemplos limitados, es difícil encontrar algo específico que funcione hoy y siga funcionando mañana. Si tuactualLa pregunta es realmente "¿cómo puedo evitar el spam de Procmail?" La respuesta obvia, simple y bien documentada es "ejecute un filtro de spam de espectro completo como SpamAssassin y examine su resultado". Incluso entonces, su precisión probablemente nunca será del 100%; pero SpamAssassin hace un trabajo decente para una herramienta que básicamente configuras y olvidas. Depende en gran medida de servicios externos que proporcionan información dinámica de reputación para direcciones IP, URL y otros recursos de red utilizados por los spammers, por lo que, de hecho, hay una gran cantidad de acción detrás de escena.

UsadoViaProcmail en la wiki de SpamAssassinTiene más instrucciones. En resumen, una vez que haya instalado y configurado SpamAssassin, intente algo como

:0fw
* < 512000
| spamassassin

:0:
* ^X-Spam-Level: \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*
almost-certainly-spam

:0:
* ^X-Spam-Status: Yes
probably-spam

Los segundos dos puntos :0:solo son correctos si realiza la entrega en un buzón que requiere bloqueo (como un archivo mbox, pero definitivamente no es un directorio de Maildir; pero según el ejemplo de su pregunta, parece que está en mbox). Si recibe regularmente grandes mensajes de spam, tal vez elimine la condición de tamaño * < 512000o ajuste el número. El estándar Procmail de SpamAssassin incluye un archivo de bloqueo que es innecesario en su sistema personal y quizás dudoso en hosts compartidos, y un extraño vudú de culto de carga alrededor de Fromlíneas discontinuas que creo que nunca fue correcto.

Si desea un consejo específico para las muestras que proporcionó, comprenda que incluso los hechos profundamente investigados y absolutamente veraces que podrían permitirle descartar estos mensajes específicos con plena confianza de que no habrá falsos positivos serán prácticamente inútiles para manejar cualquier otro. mensajes, y/o obsoletos mañana o la próxima semana.

detectar spam de nombres de dominio aleatorios en el encabezado, en .procmailrc

Respuesta1

Respuesta2

información relacionada