{"id":3336,"date":"2015-02-08T14:47:37","date_gmt":"2015-02-08T13:47:37","guid":{"rendered":"http:\/\/blog.websupport.cz\/?p=3336"},"modified":"2025-03-11T21:18:23","modified_gmt":"2025-03-11T20:18:23","slug":"zbrojime-na-souboj-se-spamem-2-cast","status":"publish","type":"post","link":"https:\/\/www.websupport.cz\/blog\/2015\/02\/zbrojime-na-souboj-se-spamem-2-cast\/","title":{"rendered":"Zbroj\u00edme na souboj se spamem (2. \u010d\u00e1st)"},"content":{"rendered":"
Tento blog je pokra\u010dov\u00e1n\u00edm m\u00e9ho rok star\u00e9ho \u010dl\u00e1nku<\/a> o tom, co d\u011bl\u00e1me v boji proti odchoz\u00edmu spamu. Za t\u011bch posledn\u00edch dvan\u00e1ct m\u011bs\u00edc\u016f jsme se zase po\u0159\u00e1dn\u011b posunuli.\u00a0Osobn\u011b si mysl\u00edm, \u017ee m\u00e1lokdo na Slovensku, a mo\u017en\u00e1 tak\u00e9 v \u010cesku, d\u011bl\u00e1 tak mnoho v boji proti spam\u016fm.<\/em><\/p>\n Vych\u00e1z\u00ed to z faktu, \u017ee denn\u011b ode\u0161leme \u00factyhodn\u00fdch jeden a p\u016fl milionu mail\u016f a oproti klasick\u00fdm ISP se \u017eiv\u00edme hlavn\u011b provozem web\u016f. A z toho vych\u00e1z\u00ed velk\u00e9 mno\u017estv\u00ed na\u0161ich probl\u00e9m\u016f a v\u00fdzev.\u00a0Hostujeme internet takov\u00fd, jak\u00fd je – dynamick\u00fd a drav\u00fd, ale i zraniteln\u00fd, divok\u00fd a ob\u010das nef\u00e9rov\u00fd. Mno\u017estv\u00ed spamu, kter\u00fd k n\u00e1m p\u0159ich\u00e1z\u00ed a sna\u017e\u00ed se tak\u00e9 odej\u00edt, jednodu\u0161e vych\u00e1z\u00ed z faktu, \u017ee provozujeme obrovsk\u00e9 mno\u017estv\u00ed webov\u00fdch str\u00e1nek a po\u0161tovn\u00edch schr\u00e1nek, kter\u00e9 samy o sob\u011b generuj\u00ed hromady\u00a0mail\u016f. Pr\u00e1v\u011b ty ob\u010das padnou na nejasnou \u010d\u00e1ru\u00a0–\u00a0“vy\u017e\u00e1danou” a “nevy\u017e\u00e1danou” po\u0161tu. Ale hlavn\u011b,\u00a0bez rozd\u00edlu o jakou str\u00e1nku se jedn\u00e1, na v\u0161echny neust\u00e1le \u0165ukaj\u00ed hacke\u0159i z cel\u00e9ho sv\u011bta s jedn\u00edm hlavn\u00edm z\u00e1m\u011brem – odeslat si od n\u00e1s n\u011bjak\u00fd spam.<\/p>\n Takhle vypad\u00e1 mno\u017estv\u00ed n\u00e1mi zpracovan\u00e9 po\u0161ty v jeden den. V celkov\u00fdch \u010d\u00edslech chyb\u00ed asi t\u0159etina infrastruktury, ale z pr\u016fb\u011bhu je vid\u011bt, \u017ee\u00a0na\u0161i u\u017eivatel\u00e9\u00a0pos\u00edlaj\u00ed emaily nejv\u00edce r\u00e1no po p\u0159\u00edchodu do pr\u00e1ce a potom ve\u010der, kdy\u017e doraz\u00ed dom\u016f. Ob\u010das na grafu re\u00e1ln\u011b vid\u00edme, hlavn\u011b v p\u0159\u00edpad\u011b zhor\u0161en\u00ed po\u010das\u00ed, odpoledn\u00ed dopravn\u00ed z\u00e1cpu :)<\/p>\n Nejprve ale zrekapitulujme, co d\u011bl\u00e1me proti spamu. Jako \u00fapln\u00fd z\u00e1klad: p\u0159\u00edchoz\u00ed SMTP servery si ov\u011b\u0159ujeme v black-listech Spamhausu<\/a> a kontrolujeme SPF z\u00e1znamy. U odchoz\u00ed po\u0161ty kontrolujeme hlavi\u010dky mail\u016f, zda sed\u00ed s na\u0161imi mailboxy. K tomu pou\u017e\u00edv\u00e1me anti-spam od ESETu a pro jistotu nov\u011b i open-source SpamAssassin<\/a>.<\/p>\n P\u0159ihla\u0161ov\u00e1n\u00ed do schr\u00e1nek a na SMTP server limitujeme GeoIP ochranou na vybran\u00e9 zem\u011b. U\u017eivatel\u00e9 si mohou libovolnou zemi povolit a p\u0159idat. Je to ale i tak pom\u011brn\u011b nepopul\u00e1rn\u00ed, i kdy\u017e z technick\u00e9ho pohledu \u00fa\u017easn\u011b \u00fa\u010dinn\u00e9 \u0159e\u0161en\u00ed. P\u0159esto se n\u00e1m ale st\u00e1valo, \u017ee hacke\u0159i dok\u00e1zali \u00fato\u010dit na schr\u00e1nky z IP adres povolen\u00fdch zem\u00ed. Vyhodnocujeme proto, pokud se n\u011bkdo v kr\u00e1tk\u00e9m \u010dase z\u00e1zra\u010dn\u011b p\u0159esune z jedn\u00e9 povolen\u00e9 zem\u011b do jin\u00e9 povolen\u00e9, kter\u00e9 spolu ale nesoused\u00ed. Pokud ano, schr\u00e1nku mu tehdy zablokujeme. \u00dadajn\u011b to tak d\u011blaj\u00ed i mobiln\u00ed oper\u00e1to\u0159i se SIM kartami. Pamatuji si jeden star\u00fd urban legend o letci kanadsk\u00e9 vojensk\u00e9 st\u00edha\u010dky, kter\u00fd prolet\u011bl Kanadou tak rychle, \u017ee mu podobn\u00fd ochrann\u00fd algoritmus zablokoval mobil.<\/p>\n Pro p\u0159ihla\u0161ov\u00e1n\u00ed do webmailu jsme p\u0159idali nen\u00e1padn\u00fd kus Javascript k\u00f3du, kter\u00fd rozli\u0161uje mezi \u010dlov\u011bkem a strojem plus detekuje pou\u017eit\u00ed my\u0161i. Tohle n\u00e1m dost pomohlo.<\/p>\n D\u00e1le jsme p\u0159idali velk\u00e9 mno\u017estv\u00ed statistick\u00fdch kontrol. V\u0161echny ale st\u00e1ly a padaly na tom, \u017ee jsme pot\u0159ebovali sjednotit na jedno m\u00edsto logy ze v\u0161ech na\u0161ich mailov\u00fdch, ale i jin\u00fdch server\u016f. Jen t\u011bch po\u0161tovn\u00edch server\u016f, kter\u00e9 m\u00e1me vystr\u010den\u00e9 do sv\u011bta, je sedmdes\u00e1t sedm. Proto jsme rozjeli grandi\u00f3zn\u00ed a velmi \u00fasp\u011b\u0161n\u00fd projekt centralizovan\u00e9 datab\u00e1ze v\u0161ech na\u0161ich log\u016f. B\u011b\u017e\u00ed to na logstash managementu s elastic-search datab\u00e1z\u00ed a na grafick\u00e9 vyhodnocen\u00ed log\u016f pou\u017e\u00edv\u00e1me n\u00e1stroj kibana. Denn\u011b zaznamen\u00e1me 350 milion\u016f log\u016f a dr\u017e\u00edme dvout\u00fddenn\u00ed historii. B\u011b\u017e\u00ed n\u00e1m to skv\u011ble na dvou nov\u00fdch a \u010dty\u0159ech star\u0161\u00edch fyzick\u00fdch serverech.<\/p>\n Centralizovan\u00fd log server vyu\u017e\u00edv\u00e1me tak\u00e9 na vyhled\u00e1v\u00e1n\u00ed r\u016fzn\u00fdch anom\u00e1li\u00ed. Pokud se nap\u0159\u00edklad sna\u017e\u00ed n\u011bjak\u00fd po\u0161tovn\u00ed \u00fa\u010det poslat ur\u010dit\u00fd po\u010det zpr\u00e1v za hodinu, kter\u00e9 n\u00e1\u0161 syst\u00e9m ozna\u010d\u00ed za spam, blokujeme cel\u00e9 konto a automaticky upozor\u0148ujeme u\u017eivatele. Pokud pos\u00edl\u00e1 n\u011bkdo velk\u00e9 mno\u017estv\u00ed legitimn\u00edch mail\u016f, p\u0159e\u0159ad\u00ed ho syst\u00e9m automaticky na jin\u00fd mailout server. Pokud m\u00e1 u n\u00e1s n\u011bkdo “pochybnou” minulost z pohledu zas\u00edl\u00e1n\u00ed spamu, dost\u00e1v\u00e1 se tak\u00e9 na jin\u00fd mailout server. P\u0159id\u00e1vat nov\u00e1 pravidla je nyn\u00ed ji\u017e jednodu\u0161\u0161\u00ed, ne\u017e je vym\u00fd\u0161let.<\/p>\n Zde je graf p\u0159\u00edchoz\u00edch a odchoz\u00edch spam\u016f z \u010d\u00e1sti na\u0161\u00ed infrastruktury. Zat\u00edmco v minulosti musel n\u00e1\u0161 ESET anti-spam zastavit t\u00e9m\u011b\u0159 200 tis\u00edc spam\u016f denn\u011b, dnes je to u\u017e jen asi desetina. Pr\u00e1v\u011b kv\u016fli automatick\u00fdm ochran\u00e1m, kter\u00e9 spam odchyt\u00e1vaj\u00ed p\u0159\u00edmo u zdroje. Sv\u011btle-modr\u00e9 jsou p\u0159\u00edchoz\u00ed spamy, ty chod\u00ed rovnom\u011brn\u011b. Tmav\u011b-modr\u00e9 jsou odchoz\u00ed z web\u016f a \u017elut\u00e9 jsou odchoz\u00ed spamy ze SMTP server\u016f. Je vid\u011bt, \u017ee jak\u00e1koliv snaha odes\u00edlat spam automaticky je syst\u00e9mem identifikov\u00e1na a ihned zastavena. Tzn. je zablokov\u00e1no konto a vyrozum\u011bn u\u017eivatel.<\/p>\n Zavedli jsme tak\u00e9 proces sledov\u00e1n\u00ed a odpov\u00edd\u00e1n\u00ed na ka\u017ed\u00fd jeden abuse report, kter\u00fd dostaneme. Rovn\u011b\u017e sledujeme online reporty firem jako Microsoft (hotmail.com, zoznam.sk, atd.), kter\u00e9 n\u00e1m zobrazuj\u00ed statistiky spam\u016f, kter\u00e9 od n\u00e1s ode\u0161ly. Je to pracn\u00e9, ale \u00fa\u010dinn\u00e9.<\/p>\n Velk\u00fdm zdrojem probl\u00e9m\u016f byly a jsou vyhackovan\u00e9, u n\u00e1s hostovan\u00e9, www str\u00e1nky. Je to \u0161\u00edlen\u00e1 statistika, ale a\u017e 10 procent web\u016f, kter\u00e9 hostujeme, jsou napadeny. Tak\u017ee v dan\u00e9m okam\u017eiku hostujeme p\u0159ibli\u017en\u011b 6000 napaden\u00fdch str\u00e1nek, kter\u00e9 bu\u010f DDoS-uj\u00ed ven, pos\u00edlaj\u00ed spam nebo se jen tv\u00e1\u0159\u00ed nen\u00e1padn\u011b a \u010dekaj\u00ed na budouc\u00ed povely. Pravideln\u011b v\u0161em hostovan\u00fdm str\u00e1nk\u00e1m scanujeme soubory ese\u0165\u00e1ck\u00fdm a tak\u00e9 vlastn\u00edm scannerem. Malware soubor\u016fm, kter\u00e9 najdeme, m\u011bn\u00edme pr\u00e1va, aby nebyly spustiteln\u00e9 a jejich u\u017eivatele okam\u017eit\u011b upozor\u0148ujeme.<\/p>\n Je to d\u0159ina, ale pom\u00e1h\u00e1 to. Z m\u00e9ho pohledu nab\u00edr\u00e1 cel\u00e1 situace kolem zranitelnosti CMSek jako WordPress<\/strong>, Joomla<\/strong> apod. ne\u00fanosnou situaci. Pokud upozorn\u00edme u\u017eivatele, \u017ee m\u00e1 star\u00fd a zraniteln\u00fd CMS, v\u011bt\u0161ina z nich nev\u00ed, co s t\u00edm ud\u011blat. P\u0159i efektivit\u011b souvisej\u00edc\u00ed s t\u00edm, za jak\u00e9 ceny takov\u00e9 str\u00e1nky hostujeme, je nemo\u017en\u00e9, abychom jim je zdarma upgradovali a zabezpe\u010dovali.<\/p>\n Blokovat v\u0161echny zraniteln\u00e9 str\u00e1nky tak\u00e9 nechceme. Proto je r\u016fzn\u00fdmi metodami vyhled\u00e1v\u00e1me a n\u011bkdy pouze \u010d\u00e1ste\u010dn\u011b omezujeme. Sv\u011btlo na konci tunelu je v podob\u011b automaticky-se-updatovan\u00fdmi CMS syst\u00e9my, tak jak je to dnes b\u011b\u017en\u00e9 pro opera\u010dn\u00ed syst\u00e9my. Jednodu\u0161e, web postaven\u00fd na WordPressu, kter\u00fd si nahod\u00edte na internet a nebudete updatovat vydr\u017e\u00ed nehacknut\u00fd tolik, jako PC\u010dko s Windows, vypnut\u00fdm firewallem, bez antiviru a zak\u00e1zan\u00fdmi aktualizacemi OS. \u010cili asi jen p\u00e1r m\u011bs\u00edc\u016f, maxim\u00e1ln\u011b tak rok, mo\u017en\u00e1 dva.<\/p>\n<\/a><\/p>\n
<\/a><\/p>\n