メールサーバーのIPを変えた際に起きたoffice365の受信問題

先日、メールサーバーのIPアドレスを変更した。
するとある特定の企業へのメールが飛ばなくなった。

エラーは以下の通り。
(host メールサーバー名.mail.protection.outlook.com [23.xx.xx.xx] said: 452 4.5.3 Too many recipients (xxxxxx)[xxxJPN01.prod.protection.outlook.com] (in reply to RCPT TO command))
という感じでメールキューがたまりまくる。

自社ドメイン詐称したスパムメールは、SPFで止める。

よく質問されることなのですが、
自社ドメインを使用したスパムメールが社内に届くことがあります。

これを停止するには、

clamdが起動できないときの対処法

弊社で必ず使用しているもので、clamavというプログラムがあります。
amavisd-newやsquidclamavとも連携し、メールやプロキシーでウイルスやマルウェアのチェックに使用しています。
sambaのファイルチェックにも使用しています。

このclamdのＤＢの部分のアップデートに、freshclamというプログラムを自動実行しているのですが、
たまに以下のような表示が出て、clamdが起動できないことがあります。

ソリューション名：ニリアコットUAP（にりあこっとゆーえーぴー）のご紹介

昨年（2016年）にリリース致しましたソリューションの「ニリアコットUAP」（にりあこっとゆーえーぴー）を改めてご紹介致します。

ウェブサーバーへのログ解析版（ＮＵＡＰ－Ｗｅｂ版）
メールサーバーへのログ解析版（ＮＵＡＰ－Ｍａｉｌ版）
プロキシーへのログ解析版（ＮＵＡＰ－Ｐｒｏｘｙ版）
と３種類ございます。

目的：入口対策
概要：Ｗｅｂログ分析チェック
ソリューション名：ＮＵＡＰ－Ｗｅｂ版

目的：入口出口対策
概要：メールログ分析チェック
ソリューション名：ＮＵＡＰ－Ｍａｉｌ版

目的：出口対策
概要：プロキシーログ分析チェック
ソリューション名：ＮＵＡＰ－Ｐｒｏｘｙ版

Notice for "niriakot" （スパムメールの例、詐欺メールの例）

数年前から同じような内容のメールが一部の会社あてに届いていたようですが、

弊社にも本日届きました。

レジストリに関する別名の登録を語った詐欺だと思われます。

今回弊社に来た内容は以下の通り。

ほとんどの中小企業はスパムの踏み台にされている。事例。

つい最近送信されてきているスパムの事例です。

運送業者を装ったものと
金融を装ったもので、
スパム業者に依頼している黒幕が、踏み台構築を模索している段階です。

最終目的は、公共機関と大手企業です。
その踏み台に中小企業が使われているのです。

postfixとSPFとDKIMとamavisの話

このところメールの問い合わせが多いのですが、今回SPF、DKIM、スパムチェックをある顧客に追加した際の話です。

先にpostfixが入っており、今回、amavisの追加し、spamチェック機能を強化するということが目的で追加構築しました。

すでにあるメールサーバーはそのままに、弊社ではリレーサーバーを担当し、
今回新たに追加する機器がMXで指定されたメールサーバーに変更されました。

不正アクセスログ分析と即時対応の価格（NUAP-Web版、NUAP-Mail版）

不正アクセスログ分析と即時対応ソリューションの価格とその内容の説明です。

ソリューション名：ニリアコットUAP（にりあこっとゆーえーぴー）
（Niriakot Unauthorized Access Prevention apparatus）

略称：NUAP（ぬあぷ）

基本運用料金：5万円（税別、月額、初期費用無料）「NUAP-Web版、NUAP-Mail版」

犯罪メールの例

以下はスパムの例です。
送り元は
209.54.56.78
で、GMOアメリカのクラウドサーバーを借りていると思われます。

なので、このIPはBANです。
GMOは、犯罪者のサーバーを放置してはいけません。
上場企業なのですから。
早急な対応を望みます。

※2016/04/08追記：2016/04/04に不正アクセスバンリスト（Web版、Mail版）の無料配布始めました。
参照：http://niriakot.blogspot.jp/2016/04/webmail.html

ちなみに本文の例。

スパム対策の事例

弊社でのスパム対策の事例を紹介。

メールサーバーもしくは転送サーバー内にamavisd-newを入れて、スパムのポイント制を導入しています。

これで、ポイントの増減やブラックホワイトリストなどの微妙な調整が数値で出来るようになります。
弊社の場合、15ポイント以上付加されたら、Discardし、サーバー内で内緒で削除されます。
もちろんこのメールのアーカイブは、取ってはいますが、ほとんど見ることはないです。

これでログを検証する準備はできたので、シスログサーバーに各メールサーバーのメールログをためて、安全なログのキーワードのみを外していきます。
下記の例のようにスパムポイントが高いものと不正な認証チェックしていたものが最終的にログに残り、その元のホストをBANするという方法を取っています。

※2016/04/08追記：2016/04/04に不正アクセスバンリスト（Web版、Mail版）の無料配布始めました。
参照：http://niriakot.blogspot.jp/2016/04/webmail.html

不正アクセスバンリストMail版サンプル

※2016/04/08修正：投稿時に「不正アクセス元」と表記していたものを不正アクセスバンリストに改めました。
※2016/04/08追記：2016/04/04に不正アクセスバンリスト（Web版、Mail版）の無料配布始めました。
参照：http://niriakot.blogspot.jp/2016/04/webmail.html

前回の不正アクセスバンリスト　Web版に続き、
弊社で管理しているメールサーバーへ不正にアクセスしてきているリストを公開いたします。
辞書攻撃している物がほとんどです。

※リストが長いので、別ページに致します。

SPAM from China

弊社のＷｅｂサイトの書き込みが、余りにもひどいので下記のように全面禁止にしました。

もし、同じような被害にあわれておりましたら、/etc/hosts.denyを下記のように追加しましょう。

# China  Fuzhou  Putian City Fujian Provincial Network Of Unicom
ALL: 36.250.160.0/19

－－－ＣＭ－－－
これ以外でも、弊社では各種サーバー
（DNS、メール、Ｗｅｂ、ファイル共有、カスタマイズ、セキュリティチェック、ベンチマーク）を
オープンソースで、作成し、運用を致しますので、
御用命は、
webmaster@niriakot.jp
までどうぞ。　http://niriakot.jp/
（時給5,000円で請け負います。。。相談は無料。。。）

openSUSE13.1とamavisd-new2.8.1の問題。

タイトルとおりなのですが、
openSUSEでメールサーバーを構築しており、それのアップデートをやった時のお話。

amavisd-newでスパムやウイルスチェックをやっているのですが、
13.1にアップデートするとamavisdが起動できないという問題。

openSUSE13.1において、今現在amavisdは2.8.1になっているのですが、
どうもipv6標準になったようで、ipv6が有効になってないとうまく起動できないのである。

そんな話は、海外のフォーラムにも書いてないので、海外ではipv6が標準なのかとさえ思ってしまいました。
エラーコマンドメッセージは割愛するが、pidができないだのと書出てくるけど、実際の原因は、ipv6で自らを探しに行ったときに見つからない、だから起動しないというものであった。
直し方は特になく、単純にipv6を有効にするだけです。

日本では、はまった人余りいないのかなぁ？

－－－ＣＭ－－－
これ以外でも、弊社では各種サーバー
（DNS、メール、Ｗｅｂ、ファイル共有、カスタマイズ、セキュリティチェック、ベンチマーク）を
オープンソースで、作成し、運用を致しますので、
御用命は、
webmaster@niriakot.jp
までどうぞ。　http://niriakot.jp/
（時給5,000円で請け負います。。。相談は無料。。。）

標的型攻撃対策アプライアンスをつくる。その１

標的型攻撃対策アプライアンスなんてものが、巷には多数発表されているが、

侵入経路

脱出経路

この2点を従来のセキュリティを保守する機器で、きちんと対応していれば恐れる事は無い。

ただ、アプライアンスだとなんとなく、設定や運用が簡単な気になるが、迅速な設定と運用が重要なのであって、なにをどう使おうが、セキュリティ担当者の心がけひとつで企業の情報は守られるのだという事をボクは言いたい。

ちなみに、ウイルスやSPAM対策はマルチベンダーで対応するべきである。

有償と無償の製品の2段構え。

侵入経路の特定、脱出経路の限定。

これに尽きる。

いづれも弊社ではオープンソースで、作成し、運用も致しますので、御用命は、

webmaster@niriakot.jp

までどうぞ。

※初めてのお客様には、運用費用３か月は無料にします。（構築費は頂きます。）
３か月運用任せて、もしダメだなと感じましたら、運用契約は無しで結構です。

kfactormedia.comについて

postman@kfactormedia.comからくるメールは、facebookにのっているアドレスに対して、自動でメールを送りつけてくるスパム業者である。
決して、カレンダーを有効にしてはいけない。
配信停止もせずにフィルターで即削除がいい。