E-Mails mit gefälschten FROM: Header

Hallo,

was hier angesprochen wird ist das sogenannte "Impersonation" Problem, sprich from und envelope-from passen nicht wirklich zusammen.

Nicht-Sensibilisierte User fallen auf solche gefakten Mails rein.

Leider ist die UTM mit dem SMTP-Proxy nicht in der Lage dies abzufangen.

Lösungsansätze:

- Nutzung anderen SMTP-Proxy

- Usersensibilisierung (Ein Blick in den Mail-Header grade bei Mails aus Führungskreis)

Die UTM bietet das nicht.

Interessanterweise sind aber "from" und "envelope-from" absolut identisch.

Ein User kann nur noch die Mail dann als Fälschung erkennen, wenn er weiß woher die Postfach-Domain kommt.

Das <from> Feld ist gefälscht. Dies lässt sich leider nicht verhindern. Ausser eben durch Impersonation.

Beispiel:

Firma:    topfima.de

Geschäftsfüher: Mrx@topfirma.de

Der Mailheader sieht dann so aus: Mrx <mrx@toppfirma.de>

Jeder der flüchtig schaut denkt ist von Mrx, dem Geschäftsführer.

Mit Impersonation werden im Prinzip nur Listen geführt die Mrx erlaubte Absender-Adressen zuordnen.

Ist gängig in vielen anderen Firewalls z.b. von Fortigate. Sophos bietet sowas auch in der Central Email Lösung an.

Moin,

vielleicht kannst Du dem Problem noch weiter gegen steuern, wenn Du weitere RBLs verwendest:

bl.spamcop.net
dnsbl-1.uceprotect.net (sehr wirksam, Dislisting ist aber mit Kosten verbunden)
ix.dnsbl.manitu.net
b.barracudacentral.org
zen.spamhaus.org

Guter Einwand.

Gibt es eigentlich eine Liste, mit welchen Sophos UTM Default läuft? Dazu habe ich noch nichts gefunden.

> dnsbl-1.uceprotect.net (sehr wirksam, Dislisting ist aber mit Kosten verbunden)

Für den Spamversender nehme ich an, daher nicht für uns relevant, oder verstehe ich das falsch?

"Die meist erzählte Lüge ist, daß man bei uns bezahlen muß, um von der Blackliste entfernt zu werden.
Die Wahrheit ist, daß jede gelistete IP 7 Tage nachdem sie zuletzt wegen Mißbrauch aufgefallen ist, automatisch entfernt wird."

Die Schreibweise auf der Website ist aber nicht ganz so neutral.

Hi,

bei uceprotect muss man halt Geld latzen um nicht 7 Tage warten zu müssen. Bei anderen RBLs kann man ein Dislisting relativ einfach und kostenlos durchführen. Das ist aber nur relevant für diejenigen, die halt gelistet sind.

Patrick Lachmann said:

Guter Einwand.

Gibt es eigentlich eine Liste, mit welchen Sophos UTM Default läuft? Dazu habe ich noch nichts gefunden.

Standardmäßig werden die folgenden RBLs abgefragt:

Commtouch IP Reputation (cyren.org) und cbl.abuseat.org

Steht so sogar in der Online Hilfe. 

Ich habe gestern u.a. "uceprotect" (Level 1) aktiviert und auch deren Onlineauftritt eingehend studiert.

Negativ aufgefallen ist, dass auffällig viele "guten" Mails abgelehnt wurden, dadurch habe ich das erst einmal wieder rausgenommen und analysiere den Unterschied.

Was mir gar nicht so gefällt: Die passiv aggressive / sehr unseriöse Wortwahl auf der Website. Die Aufmachung selbst ist auch sehr ... ich sag mal Basic und dass kein HTTPS in der heutigen Zeit implementiert ist, ist auch heftig.
Man stützt sich ziemlich hart auf München, aber sonst gibt es keine Referenzen.

Ich würde die Blacklisten eher für ein Scoring benutzen, aber nicht direkt auf Grundlager dieser blocken. Das gibt aber die UTM so nicht her.

Das Gerät bzw. deren Software gefällt mir als Grundgedanke sehr gut.

UTM does not check the Message From address, which is the root of the problem.

Most RBLs are checking the Source IP, so they will not necessarily help either.

You need another spam filter, one which can check the Message From and use it effectively in the filtering process.

Here are my thoughts on what a spam filter should do.  Send me a private message if you want to know the non-Sophos product referenced at the end of my post.

https://community.sophos.com/products/unified-threat-management/f/mail-protection-smtp-pop3-antispam-and-antivirus/120105/what-you-need-in-an-email-spam-filter

Hallo Patrick,

wir schaut der SPF für domain-postbox.tld aus, ist da die IP 106.75.77.128 des Absenders damit erlaubt?
Wenn auf der UTM die Option "Perform SPF check" gesetzt ist, müsste der SPF-Filter ansonsten zuschlagen weil als "envelope from" wurde domain-postbox.tld benutzt.