Dnes je mnoho e-mailových aplikací, jako je Sendmail, Postfix nebo dokonce MS Exchange, přepracováno tak, aby se snížila možnost, že se stanou ‘spam-relay’. Podle našich zkušeností je většina útoků SMTP AUTH relay způsobena kompromitací slabě zaheslovaných uživatelských účtů. Jakmile jsou účty objeveny a kompromitovány. Spammeři se ověří pomocí uživatelských pověření, je jim umožněno relay prostřednictvím serveru, který je následně využit k rozesílání spamu.
Níže uvádíme jednoduché kroky, jak tyto spamové e-maily rychle zastavit a zjistit, který účet (nebo účty) byl napaden.
Krok 1: Zastavit frontu e-mailů v režimu čekání.
Velké množství spamových e-mailů neustále zahlcuje vaši poštovní frontu. Ještě horší je, že veškerý tento spam zaplňuje celý váš adresář /var. Proto je vždy vhodné dočasně pozastavit poštovní frontu, dokud nezjistíte, který účet byl zneužit spammerem a odesílá velké množství e-mailů.
Krok 2: Zkontrolujte si protokol e-mailů.
Přejděte do adresáře /var/log/maillog a rychle se podívejte na řádek s políčkem „from:“. Možná tam uvidíte spoustu e-mailových domén, které nepatří k vaší organizaci. Je to způsobeno tím, že spammer falšuje pole „from:“.
Krok 3: Identifikace napadeného účtu při ověřování připojení pomocí SMTP AUTH
Nyní zkontrolujeme e-mailové účty, které byly napadeny. Spusťte příkaz `have cat grep sasl_username` a výsledek seřaďte. Měl by se zobrazit dlouhý seznam pokusů o přihlášení a relací u těchto napadených účtů. Můžete také provést rychlý výpočet pomocí příkazu `wc -l`, abyste zjistili celkový počet relací u konkrétního uživatele.
Krok 4: Deaktivujte napadený e-mailový účet.
Jakmile máme řetězec SASL_username, který představuje uživatelský účet, doporučujeme vám heslo deaktivovat nebo jej změnit na složité heslo.
Krok 5: Přesuňte frontu e-mailů nebo smažte spamový e-mail
Teď se musíme vypořádat s frontou e-mailů. Nejjednodušší a nejrychlejší způsob je přesunout frontu e-mailů a úklid provést až později. Nebo můžete tyto spamové e-maily smazat pomocí skriptu v Bashu.
Krok 6: Uvolnění fronty e-mailů
Nezapomeňte po dokončení údržbového procesu uvolnit frontu e-mailů a nadále sledovat e-mailový provoz.