Fail2Ban Reporting Service

Da wir aktuell die Bounce-Meldungen von nicht mehr existierenden Abuse-Adressen auswerten, lässt sich daraus ein Bild erkennen, wie der Provider die Reports einstuft.

Viele Provider aus Südamerika, lassen die Postfächer einfach immer voll oder die Abuse-Adresse ist ein Verteiler auf 3 bis 10 andere Postfächer, welche aber fast alle nicht mehr existieren.

Telefonica aus Brasilien z.B. hat zwei E-Mailadressen im Whois, aber die eine ist immer voll und von der anderen existiert der Host/Domain nicht.

Ebenfalls Brasilien: brasiltelecom.net.br (welche mittlerweile oi.br sind), haben wie telesp.net.br und telemar.net.br noch ur-alte Whois-Einträge, wodurch die doch sehr vielen Reports nicht zugestellt werden können.

Der Server mit den wenigsten Spammails ist garantiert der Server von virtua.com.br, da diese die Verbindungen nur sehr selten annehmen und dann irgendwann verlieren, bevor man die Empfänger-Adresse übermittelt hat.

Wenn uns eine CERT-Adresse für das Land des Providers vorliegt, erhalten die CERT-Teams den Report auch, damit diese die aktuelle Adresse ausfindig machen und den Report weiterleiten können.

Am schlimmsten sind Provider, welche nach dem dritten Report von drei unterschiedlichen IP-Adressen z.B. unsere IP-Adresse sperren. Da kann man wie z.B. bei home.net.ua sofort feststellen, das dieser Provider nichts gegen Spam, Phishing, Bots usw. aus seinem Netzwerk unternimmt.

Vor allem, da wir in unseren Reports ausdrücklich darauf hinweisen, das wenn die Provider die Meldungen an eine andere Adresse  oder gar nicht mehr erhalten möchten, diese uns einfach kurz antworten können, dann blockieren wir jeden Report für die Abuse-Adressen und stellen die Netze/IP’s auf unseren internen Firewall dauerhaft auf DROP.

Am besten gefallen uns die Griechen (otenet.gr), welche den Reports nachgehen und sich manuell ohne Template für die Reports bedanken und bei so was eine harte Richtlinie haben.

Einige Abuse-Reports können nicht zugestellt werden, da z.B. die Abuse-Mailbox voll ist oder die Abuse-Adresse nicht mehr existiert.

Bei Abuse-Adressen, an die viele Reports gehen, schreiben wir diese automatisch auf andere, erreichbare Adressen um oder senden die Abuse-Meldungen auf  Wunsch erst gar nicht.

Provider, welche kein oder ein schlechtes Abuse-Handling betreiben, erhalten unsere Reports natürlich nicht oder ignorieren diese. So können die Provider Ihre Netze nie sauber halten und die Anzahl der infizierten PC’s senken.

Unsere Reports sind in ARF X-ARF erstellt, wodurch diese einfach automatisiert verarbeitet werden können. Wenn ein Provider bereits ARF-Reports verarbeiten kann, so kann dieser auch sehr einfach unsere Reports verarbeiten. Er kann dabei für die einzelnen Kategorien oder Report-Typen festlegen wie er reagiert. Zum Beispiel, kann er ein Ticket eröffnen, wenn zu einer IP-Adresse mehr als 3 Meldungen über SSH-Attacken eingehen oder unsere Reports an den Server-Betreiber weiterleiten.

Hauptgründe:

1. Over Quota
2. Unknown User
3. Unknown User (Abuse-Adresse ist ein Verteiler und ein Empfänger existiert nicht mehr)
4. Domain existiert nicht mehr oder hat keinen MX-Record
5. Nachricht konnte nicht weitergeleitet werden (Posteingangsserver defekt, Postfach voll…).