[plamo:16713] Re: postfixの設定

[Shun-ichi TAHARA (田原 俊一)]

From: naomijj@hi-ho.ne.jp
Message-Id: <JZ20021126114734.9497578@hi-ho.ne.jp>

> IPアドレスやホストを受信拒否などする様にすればいいわけですね。

なんか違うような。

ちょうどお昼休みなので、即席SPAM講座でも。

通常メールは、

  送信元(メーラ等)→送信側MTA→(インターネット)→受信側MTA→受信先

という手順で送られます。大昔IP接続が珍しかった頃は、インターネット内で
いろんな接続形態があったために、接続形態が変わる度にそこにゲートウェイ
MTAがあって、メールを転送していましたが、今では送信側のドメインから受
信側のドメインまでは普通直結です。(ドメイン内部ではサーバ構成によって
は何回か転送される場合はありますが)

SPAMは、通常「第3者中継」と呼ばれる手法を使います。つまり、

  送信元→(インターネット)→よそのMTA→受信側MTA→受信先

てな感じですね。これによって、送信元ではほとんど負荷がかかりません。
MLの配送と同じように、エンベロープに多数(数万件以上)の受信先を指定して
おけば、送信元から1発SMTPでメッセージを投げてやれば、よそのMTA 側でせっ
せとたくさんの受信者宛にメールを投げてくれます。SPAM に関しては、踏み
台にされた方は、社会的信用とか、抗議のメールが来るとか以前に、余計なト
ラフィックが発生したりメールサーバに負荷がかかったりして、結構直接的な
被害もこうむります。

通常SPAM対策とは、第3者中継を拒否することを指します。これは、自分の組
織のMTAを通るメールは、

・組織内部から出たメール(送信側MTAとしての機能)
・組織ドメインのアドレス宛のメール(受信側MTAとしての機能)

のどちらかであることを利用します。これ以外を拒否することで、第3者中継
を拒否できます。

普通は、SMTP接続元IPアドレスが自分の組織のものである場合(前者のチェッ
ク)、あるいは、エンベロープの To: のドメインが自分の組織のものである場
合(後者のチェック)のどちらかのみ転送を許可する、という設定になります。

さらに厳しくする場合には、前者のチェックルールに、エンベロープの From:
のドメインが自分の組織のものであるかどうかを「追加」(あくまで IPアドレ
スチェックは必須)することもあります。これは、内部からのSPAMとか私用メー
ルとかの送信を抑制する心理的効果があります(Windowsの一般的なメーラは、
From: ヘッダのアドレスを、そのままエンベロープの From: に設定しますの
で、事実上 From: の設定値を組織内のものに限定させることが可能)。
# もちろん、エンベロープの値なんていくらでも偽装可能だし、Mewみたいに
# 別に設定できるものもあるので、あくまで「心理的効果」レベル

このような、第3者中継拒否設定は、あくまで踏み台にならないための設定で
あって、これをやっても、よそが踏み台になったり、あるいは潤沢なネットワー
ク資源を持つSPAM屋さんとかからやってくるSPAMの受信を拒否することはでき
ません。

で、さらに1歩進んだ対策として、積極的にSPAMの受信拒否を行なうためには、
いくつかの方法がありますが、第3者中継と違って、SMTP的には、正当な受信
メール(受信者が自組織のものになっているため)なので、根本的な方法が存在
しないのが実情です。

主なものに、

・ORDBとかのブラックリスト(第3者中継を行なっているサーバなど)からの
  SMTP接続を切る
・SPAMメール特有の本文パターンを検出して、スコア付けを行なって分類する
  (ウィルスとか、業務/私用/機密漏洩の別とかを自動判断する企業向けセキュ
   リティパッケージに多い)

などがあります。通常は前者を用いますが、たまたまそこのサーバに正当なユー
ザがいた場合でも、そこからのメールは弾かれてしまいます。

> ただ、実際にスパムメールがどの様なもので、
> どの様なところを突いてくるのか良く理解していません。

これでちょっとは理解の助けになりましたでしょうか?

> 当MLでLinuxセミナーの案内をよく見かけますが
> 地方からなかなか東京に出られる機会が無く
> もっと色々知りたいですがなかなか参加できないのが実状です。

UNIXマガジンとか、Software Design とかの、良質な技術系情報紙を読むよう
にしておくと、だいたい年に1度はこの手の特集が組まれますので、このへん
に目を通しておくのが一番近道かもしれません。
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
田原 俊一   jado@flowernet.gr.jp, shunichi_tahara@zenrin.co.jp
                                  http://flowernet.gr.jp/jado/
FingerPrint:  16 9E 70 3B 05 86 5D 08  B8 4C 47 3A E7 E9 8E D9
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣