SPAM Problematik
Joe
ich weis, das dieser Beitrag nicht direkt mit Exchange verknüpft ist,
vielleicht bekomme ich auf diesem Weg trotzdem ein paar nützliche
Informationen zum Thema Spam Ausgrenzung.
Wir setzen Antispam Produkte ein, die in der Lage sind, Spam zu erkennen und
als solche zu kennzeichnen. Das ist für mich aber keine Lösung, sondern nur
eine Verlagerung des Problems. Ob der Enduser die als Spam markierten Mails
direkt in den Posteingang oder in einen Unterordner bekommt - überprüfen muß
er sie doch.
Wie sind eure Lösungsansätze?
Spam bis auf den Desktop zu leiten kann doch keine Lösung sein. Wie kann man
solche Mails zuverlässig löschen, ohne dass geschäftliche Mails dabei
verloren gehen?
Wir bewegen uns hier in einer Größenordnung von bis zu 500 Usern. Es gibt
Firmen, die weitaus mehr Enduser haben. Ich kann mir nicht vorstellen, dass
der Ansatz hier derselbe ist. Wie kann man solchen Mist zuverlässig
herausfiltern, ohne das die Mails beim User landen?
Nochmals sorry für das Posting unter der Exchange NG, aber ich denke, das
das Thema vielen unter den Nägeln brennt.
Danke und Gruß
Joe
Tobias Redelberger (MVP - SBS)
Lösung:
Ablehnen am SMTP-Gateway ab einem gewissen SCL-Level
Vorteil:
Absender bekommt von IHREM SMTP-Server eine NDR, dass diese E-Mail nicht
zugestellt werden konnte und kann nun seinerseits (wenn Geschäfts E-Mail)
ggf. die E-Mail (modifiziert) erneut senden bzw. anderweitig mit dem
Empfänger (bzw. Administrator des Empfänger-E-Mail Systems) in Kontakt
treten. Spammer werde dies wohl kaum tun.. ;)
--
Tobias Redelberger
StarNET Services (HomeOffice)
Schoenbornstr. 57
D-97440 Werneck
Tel: +49 (9722) 4835
Mobil: +49 (179) 25 98 341
Email: T.Rede...@starnet-services.net
Nic K. Mowe
>
> Lösung:
>
> Ablehnen am SMTP-Gateway ab einem gewissen SCL-Level
>
> Vorteil:
>
> Absender bekommt von IHREM SMTP-Server eine NDR, dass diese
> E-Mail nicht zugestellt werden konnte und kann nun seinerseits (wenn
> Geschäfts E-Mail) ggf. die E-Mail (modifiziert) erneut senden bzw.
> anderweitig mit dem Empfänger (bzw. Administrator des Empfänger-
> E-Mail Systems) in Kontakt treten. Spammer werde dies wohl kaum tun.
>
Nichtzustellen von E-Mail betrifft.
Wir setzen bei unserem MSX2003 den MS IMF (Intelligent Message Filter) ein
und hatten uns gleich in den Haaren mit einer anderen Behörde, die im
gleichen AD hängt - also wo es nur eine Stelle gibt - für alle
angeschlossenen Funkhäuser - an der man den Filter einstellen kann.
Abgewiesene Mail landet auf dem Exchange-Server in einem Verzeichnis, das
der verantwortungsvolle Admin dann täglich durchforsten muss. Was wir dort
an False Positives fanden, gefiel uns ganz und garnicht. Wir haben dann
darauf bestanden, dass _alle_ als SPAM identifizierte Mail (SCL-Level 4-9)
den Anwendern in dem dafür vorgesehenen Ordner zugestellt werden muss.
Hatten wir davor viele Klagen über nicht zugestellte Mail, sind unsere
'Kunden' zufrieden über die jetzige Lösung.
Gruß vom Nic
Norbert Fehlauer [MVP]
Hi,
> Das kommt auf den 'Kunden' an. Behörden sind da sehr pingelig, was das
> Nichtzustellen von E-Mail betrifft.
Warum? Wenns nicht angenommen wird bekommt der Absender eine Fehlernachricht
und muß erstmal interpretieren, was er da liest. Meist löst sich das Problem
nach Verstehen der Fehlermeldung. ;)
> Wir setzen bei unserem MSX2003 den MS IMF (Intelligent Message Filter) ein
> und hatten uns gleich in den Haaren mit einer anderen Behörde, die im
> gleichen AD hängt - also wo es nur eine Stelle gibt - für alle
> angeschlossenen Funkhäuser - an der man den Filter einstellen kann.
Richtig. Wobei das kein wirkliches Problem ist.
> Abgewiesene Mail landet auf dem Exchange-Server in einem Verzeichnis, das
> der verantwortungsvolle Admin dann täglich durchforsten muss.
Falsch. Abgewiesene Mails landen nirgends. Das was ihr macht ist
archivieren. Das MUSS zwangsläufig in die Hose gehen und ist zudem in
deutschland aus datenschutzrechtlicher Sicht auch nicht zulässig AFAIR.
> Was wir dort an False Positives fanden, gefiel uns ganz und garnicht. Wir
> haben dann darauf bestanden, dass _alle_ als SPAM identifizierte Mail
> (SCL-Level 4-9) den Anwendern in dem dafür vorgesehenen Ordner zugestellt
> werden muss.
Eigentlich nicht wirklich sinnvoll. Denn Level 6,7,8,9 sind meiner Erfahrung
IMMER SPAM oder Testmails. Aber noch nie wirklich legitime Mails. Und wie
oben beschrieben wenn ihr /abgelehnt/ hättet, wäre es überhaupt kein Problem
für irgendjemanden der SMTP verstanden hat. Was ich mal für einen Mailadmin
zumindest in Grundzügen voraussetze.
> Hatten wir davor viele Klagen über nicht zugestellte Mail, sind unsere
> 'Kunden' zufrieden über die jetzige Lösung.
Naja. Aber eure Mitarbeiter die den Junkordner als zweiten Posteingang
betrachten müssen sind euch egal?
Bye
Norbert
Willmar Heinrich
ich habe mit folgendem Lösungsansatz die besten Erfahrungen:
Der SPAM-Schutz ist ganz vom Exchange-Server weg und auf einem vorgelagerten
Server installiert.
Dort wird folgendermaßen gefiltert:
SPAMs von bekannten SPAM-Versendern (IP-Adressen) werden abgewiesen. Damit
werden gut 90% aller SPAM-Mails schon am Gateway nicht mehr wirksam.
E-Mails, die SPAM-verdächtig sind, werden in einen SPAM-Ordner gelegt. Der
Benutzer bekommt einmal am Tag per E-Mail eine Übersicht der eingegangenen
SPAMs, die ers ich per Link bei Interesse aufrufen und an sich weiterleiten
kann. Ansonsten werden sie nach 10 Tagen automatisch gelöscht.
Natürlich kommen immer noch 2-3 SPAMs pro Tag durch, aber damit kann der
Benutzer leben.
Willmar
"Joe" <kuen...@yahoo.com> schrieb im Newsbeitrag
news:erlsGRcY...@TK2MSFTNGP04.phx.gbl...
Joe
zunächst vielen Dank für die Antworten.
Unsere Konstellation ist in etwa so wie Willmar beschrieben hat. Wir setzen
ein Virengateway ein, danach werden die Mails weiter auf den Spamserver und
dann auf den Mailserver geleitet. Mit diesem Lösungsansatz kann ich am
Spamserver die Mails nicht mehr abweisen, sonst quillen bei mir die
Wartenschlangen vor NDR´s über.
Die ersten Lösungsansätze verlangen einen zusätzlichen Exchange-Server wie
auch eine zusätzliche Lizenz.
Vielleicht bekomme ich noch eine Info über Produkte, die man direkt am
Gateway als Antispamlösung einsetzen kann. Unsere jetzige Lösung lässt da
sehr zu wünschen übrig.
Das wäre sehr nett.
Nochmals vielen Dank und schöne Grüße
Joe
"Willmar Heinrich" <willmar....@web.de> schrieb im Newsbeitrag
news:%23YTYG$kYIHA...@TK2MSFTNGP02.phx.gbl...
Thomas Wildgruber
> Spam bis auf den Desktop zu leiten kann doch keine Lösungg sein. Wie kann man
> solche Mails zuverlässig lösen, ohne dass geschäftliche Mails dabei
> verloren gehen?
Unser AV/AS am MTA hat eine Enduser Quarantäne, welche alle an den User
adressierten Spams in einen eigenen (Spam) Ordner ins Outlook verschiebt.
Das hat den Vorteil, dass ich den Spamfilter auf /maximum attack/ stellen
kann, ohne dabei bei jeder vermissten E-Mail selber im Backend wühlen zu
müssen. Die Spams beleiben dann einen bestimmten Zeitraum dort liegen,
bevor sie automatisch gelöscht werden. Der Benutzer kann auch selber eine
Whitelist anlegen, wo er false positiv Spams als zulässige Absender
deklariert.
In Verbindung mit dem /Exchange Spam Score/ (SCL), welchen wir ab Stufe 6
in den Junk Mail Ordner verschieben haben wir *deutlich* weniger
Spamproblematik als zuvor.
Wenn du den Spam jetzt nicht (deklariert) zum User durchkommen lässt, bist
du als Admin ständig auf der Suche nach irgendwelchen Mails die vermisst
werden. Um dich davor weitestgehend zu schützen, wirst du die Sensibilität
des Filters herunterschrauben, was wiederum mehr Spam, der diesmal nicht
als solcher erkannt wurde, zum User durchkommen lässt...
Du kannst es drehen wie du willst, die Sache hat immer einen Vorteil und
auch einen Nachteil...
Bye Tom
--
"Ich weiß nicht, was der französische Staatspräsident Mitterand denkt, aber
ich denke dasselbe." (Helmut Kohl)
Norbert Fehlauer [MVP]
Hi,
> Unsere Konstellation ist in etwa so wie Willmar beschrieben hat. Wir
> setzen ein Virengateway ein, danach werden die Mails weiter auf den
> Spamserver und dann auf den Mailserver geleitet.
OK. Das Virengateway ist aber an der falschen Stelle. So einfach ist das.
Viren kannst du am Ende deiner ganzen Sache immer noch filtern. Zuerst muß
ein Spamfilter (welcher auch immer) kommen und danach der Rest.
Nenn doch mal deine Konstellation.
Virengateway - Hersteller/Produkt/Version?
Spamserver - Hersteller/Produkt/Version?
Mailserver - Hersteller/Produkt/Version?
> Mit diesem Lösungsansatz kann ich am Spamserver die Mails nicht mehr
> abweisen, sonst quillen bei mir die Wartenschlangen vor NDR´s über.
Richtig. Damit hast du dann auch ganz schön deine Schwachstelle in deiner
Konfig gefunden. :)
> Die ersten Lösungsansätze verlangen einen zusätzlichen Exchange-Server wie
> auch eine zusätzliche Lizenz.
Nein tun sie nicht. Sie verlangen eine korrekte Konfiguration deiner Systeme
;) Da du über die aber Stillschweigen bewahrst, wird es schwierig dir zu
helfen.
> Vielleicht bekomme ich noch eine Info über Produkte, die man direkt am
> Gateway als Antispamlösung einsetzen kann. Unsere jetzige Lösung lässt da
> sehr zu wünschen übrig.
Schonmal hier gegooglet in der Gruppe? Ich empfehle als Gatewayprodukt
eigentlich immer ORFEE von vamsoft.com denn das ist preis-leistungstechnisch
kaum zu schlagen.
Bye
Norbert
Norbert Fehlauer [MVP]
Hi,
> Unser AV/AS am MTA hat eine Enduser Quarantäne, welche alle an den User
> adressierten Spams in einen eigenen (Spam) Ordner ins Outlook verschiebt.
Das kann doch aber der IMF ebenfalls. ;)
> Das hat den Vorteil, dass ich den Spamfilter auf /maximum attack/ stellen
> kann, ohne dabei bei jeder vermissten E-Mail selber im Backend wühlen zu
> müssen.
Dafür müssen sich deine User durchwühlen. Kann meiner Meinung nach auch
nicht das Ziel sein.
> In Verbindung mit dem /Exchange Spam Score/ (SCL), welchen wir ab Stufe 6
> in den Junk Mail Ordner verschieben haben wir *deutlich* weniger
> Spamproblematik als zuvor.
Heißt, deine User müssen sogar in zwei Ordner schauen?
Bye
Norbert
Thomas Wildgruber
>> Unser AV/AS am MTA hat eine Enduser Quarantäne, welche alle an den User
>> adressierten Spams in einen eigenen (Spam) Ordner ins Outlook verschiebt.
>
> Das kann doch aber der IMF ebenfalls. ;)
Der Junk-Mail Ordner? Jupp da kommen sie an. Bei mir vierstellig, in der
Woche.
>> Das hat den Vorteil, dass ich den Spamfilter auf /maximum attack/ stellen
>> kann, ohne dabei bei jeder vermissten E-Mail selber im Backend wühlen zu
>> müssen.
>
> Dafür müssen sich deine User durchwühlen. Kann meiner Meinung nach auch
> nicht das Ziel sein.
Aber irgendwer muss halt schauen, wenn was nicht ankommt und ob ich das bei
500 User (die der OP hat) noch machen würde...? Bin mir da nicht mehr so
sicher ;-)
Die Geschichte Spam abzulehnen und einen NDR zu erzeugen wird von unserer
GL auch nicht angenommen und ich finde es auch nicht wirklich sinnvoll
jeden Spam mit einem NDR zu beantworten. Erzeugt nur Traffic und läuft in
99% aller Fälle sowiso ins Nirvana.
>> In Verbindung mit dem /Exchange Spam Score/ (SCL), welchen wir ab Stufe 6
>> in den Junk Mail Ordner verschieben haben wir *deutlich* weniger
>> Spamproblematik als zuvor.
>
> Heißt, deine User müssen sogar in zwei Ordner schauen?
Jupp, leider aber so ist das bei Trend Micro eben gelöst. Manche Dinge sind
eben wie sie sind und wir sind hier alle eh heilfroh, das Problem Spam
soweit im Griff zu haben. Das sah vor zwei, drei Jahren noch ganz anders
aus. Da gab es Tage, an denen waren vereinzelte Postfächer gar nicht mehr
zu benutzen. Ich errinnere mich noch mit Schrecken an Swen, da konnte ich
gar nicht so schnell löschen wie der Müll rein kam...
Bye Tom
--
"Die Wirklichkeit sieht anders aus als die Realität." (Helmut Kohl)
Maximilian Hänel
>> Heißt, deine User müssen sogar in zwei Ordner schauen?
>
> Jupp, leider aber so ist das bei Trend Micro eben gelöst.
Was aber übrigens der Hauptgrund war, warum wir EUQ deaktiviert haben,
denn in zwei Ordner wühlen muss ja nun wirklich nicht sein...
cu
Max
Norbert Fehlauer [MVP]
Hi,
> Der Junk-Mail Ordner? Jupp da kommen sie an. Bei mir vierstellig, in der
> Woche.
Bei mir maximal 2stelling in einem Monat.
> Aber irgendwer muss halt schauen, wenn was nicht ankommt und ob ich das
> bei
> 500 User (die der OP hat) noch machen würde...? Bin mir da nicht mehr so
> sicher ;-)
Bei richtiger Konfiguration gibts nicht allzuviel zu schauen. Ausser die
Spamstatistik und sich entspannt zurücklehnen.
> Die Geschichte Spam abzulehnen und einen NDR zu erzeugen wird von unserer
> GL auch nicht angenommen und ich finde es auch nicht wirklich sinnvoll
> jeden Spam mit einem NDR zu beantworten. Erzeugt nur Traffic und läuft in
> 99% aller Fälle sowiso ins Nirvana.
Nein das verstehst du falsch. Es erzeugt KEINEN Traffic. Jedenfalls nicht
auf deiner Seite. Und damit ist es allen anderen Möglichkeiten in meinen
Augen vorzuziehen.
>> Heißt, deine User müssen sogar in zwei Ordner schauen?
>
> Jupp, leider aber so ist das bei Trend Micro eben gelöst. Manche Dinge
> sind
> eben wie sie sind und wir sind hier alle eh heilfroh, das Problem Spam
> soweit im Griff zu haben.
Naja zwei Spamordner würde ich der GL nicht beigebracht bekommen. Ausserdem
behaupte ich mal, dass Trend /nicht/ besser ist als der IMF. ;)
> Das sah vor zwei, drei Jahren noch ganz anders
Ja vor allem war vor 2 Jahren der Trend Spamfilter eher was für die Tonne.
Seitdem setze ich ihn auch nicht mehr ein. War einfach nur grausam das Teil.
Bye
Norbert
Thomas Wildgruber
>> [NDR = Traffic]
> Nein das verstehst du falsch. Es erzeugt KEINEN Traffic. Jedenfalls nicht
> auf deiner Seite. Und damit ist es allen anderen Möglichkeiten in meinen
> Augen vorzuziehen.
Stimmt da war was, der NDR wird vom *sendenden* MTA erzeugt und nicht vom
empfangenden. Okay somit ist das Argument Traffic erledigt ;-)
>> Der Junk-Mail Ordner? Jupp da kommen sie an. Bei mir vierstellig, in der
>> Woche.
> Bei mir maximal 2stelling in einem Monat.
Weil der Filter zuvor schon ganze Arbeit leistet oder weil deine E-Mail
Adresse nicht auf jeder zweiten Homepage fünfmal drin steht? Anyway, ich
konnte bei der Junk-Mail geschichte mit dem SCL und IMF auch bei Stufe 6
bislang noch keine false positiv feststellen, die könnte man in der Tat
wohl sofort ablehnen. Beim Trend Micro kommt es schon immer wieder mal vor
aber der steht auch auf der aggresivsten Stufe, zumindest dass nehme ich
ihm nicht übel aber...
> [...]
>> Das sah vor zwei, drei Jahren noch ganz anders
>
> Ja vor allem war vor 2 Jahren der Trend Spamfilter eher was für die Tonne.
> Seitdem setze ich ihn auch nicht mehr ein. War einfach nur grausam das Teil.
...Trend Micro ist wirklich eine Entäuschung, vor allem die SMB Version.
Wir hatten früher gar kein Feedback bekommen *warum* eine Mail als Spam
erkannt wurde, heute wird zwar kurz mal der Filter erwähnt aber Details
bleiben dennoch aus.
Der Spam-Mail Ordner in Outlook hat auch die unangenehme Eigenschaft, dass
im Kontextmenü kein Eintrag "Ordner Spam-Mail leeren" vorhanden ist, wie
z.B. beim Junk-Mail Ordner, sondern nur der Menü Punkt "Spam-Mail löschen"
was aber den ganzen Ordner löscht und nicht nur den Inhalt. Kommt auch
regelmässig vor aber er funktioniert immerhin auch dann noch, wenn er in
den gelöschten Objekten ist... ;-) Aber eigentlich schon auch traurig.
Unser zweiter Standort hat jetzt den Kaspersky am Laufen und bis unser
Maintenance Vertrag ausläuft haben die genügend Erfahrung damit gesammelt,
dass wir dann wahrscheinlich auch wechseln werden. Aber bis dahin, wird es
wohl so bleiben wie es ist...
Aber dennoch, das End User Quarantaine Feature finde ich persönlich schon
okay.
Bye Tom
--
"One good Whiskey a day, keeps the doctor away"
Joe
hier meine Produktpalette:
1: Gateway = TrendMicro IMSS 7.0
2: SPAM = GFI ME 12
3: Mail = Exchange 2003
Für mich gehört(e) das Virengateway aus Sicherheitsgründen an Position 1. Da
wir hier Trend einsetzen und Trend eine neue Anti-Spamversion am Start hat,
habe ich darüber nachgedacht, diese einzusetzen. Aber es waren ja jetzt in
den Postings schon einige negative Meldungen dabei.
Gruß
Joe
"Norbert Fehlauer [MVP]" <n.feh...@gmx.net> schrieb im Newsbeitrag
news:44B43530-A668-4FFA...@microsoft.com...
Norbert Fehlauer [MVP]
Hi,
> Stimmt da war was, der NDR wird vom *sendenden* MTA erzeugt und nicht vom
> empfangenden. Okay somit ist das Argument Traffic erledigt ;-)
Genau.
>> Bei mir maximal 2stelling in einem Monat.
>
> Weil der Filter zuvor schon ganze Arbeit leistet
Ich schau kurz nach.
Sagen wir mal so: Ohne ORFEE hätte ich (nur an mich) ca. 4.906 mehr Mails
durch den IMF schicken müssen ;)
> ...Trend Micro ist wirklich eine Entäuschung, vor allem die SMB Version.
> Wir hatten früher gar kein Feedback bekommen *warum* eine Mail als Spam
> erkannt wurde, heute wird zwar kurz mal der Filter erwähnt aber Details
> bleiben dennoch aus.
Deswegen würde ich den Filter auch einfach deaktivieren. Der ist auf keinen
Fall besser als der IMF ;)
> Unser zweiter Standort hat jetzt den Kaspersky am Laufen und bis unser
> Maintenance Vertrag ausläuft haben die genügend Erfahrung damit gesammelt,
> dass wir dann wahrscheinlich auch wechseln werden. Aber bis dahin, wird es
> wohl so bleiben wie es ist...
Auch mit denen hab ich zwiespältige Erfahrungen. Aber jeder wie er mag.
> Aber dennoch, das End User Quarantaine Feature finde ich persönlich schon
> okay.
Ja, aber doch nicht zwei die sich dann eventuell auch noch gegenseitig
beeinflussen.
Bye
Norbert
Norbert Fehlauer [MVP]
Hi,
> Hallo Norbert,
>
> hier meine Produktpalette:
> 1: Gateway = TrendMicro IMSS 7.0
> 2: SPAM = GFI ME 12
> 3: Mail = Exchange 2003
AHa.
>
> Für mich gehört(e) das Virengateway aus Sicherheitsgründen an Position 1.
> Da wir hier Trend einsetzen und Trend eine neue Anti-Spamversion am Start
> hat, habe ich darüber nachgedacht, diese einzusetzen. Aber es waren ja
> jetzt in den Postings schon einige negative Meldungen dabei.
Was du nicht annimmst, mußt du auch nicht auf Viren filtern. Muß ich es noch
deutlicher sagen? ;)
Bye
Norbert
PS: Bitte keine TOFU Postings.
Norbert Fehlauer [MVP]
> Sagen wir mal so: Ohne ORFEE hätte ich (nur an mich) ca. 4.906 mehr Mails
> durch den IMF schicken müssen ;)
Da fehlt was Wichtiges: das waren die letzten 30 Tage.
Bye
Norbert
Joe
das ist ein schlagendes Argument.
Da werde ich mich jetzt mal bemühen.
Danke und einen schönen Feierabend zusammen!
Joe
"Norbert Fehlauer [MVP]" <n.feh...@gmx.net> schrieb im Newsbeitrag
news:FF8ACE72-75EC-42B6...@microsoft.com...