現在、Sendmail、Postfix、さらにはMS Exchangeなど、多くのメールアプリケーションは、「スパム中継」となる可能性を低減するよう再設計されています。 当社の経験上、SMTP AUTHリレー攻撃の大部分は、パスワード保護が不十分なユーザーアカウントが侵害されることが原因となっています。アカウントが発見され、侵害されると、スパマーはそのユーザーの認証情報を使用して認証を行い、サーバー経由でリレーする権限を得て、それを利用してスパムを送信します。.
以下に、こうしたスパムメールを素早く阻止し、どのアカウントが乗っ取られたかを特定するための簡単な手順を説明します。.
ステップ1：保留中のメールキューを停止する.
大量のスパムメールがメールスプールを埋め尽くし続けています。さらに悪いことに、そのスパムメールによって /var ディレクトリがすべて埋まってしまいます。したがって、どのアカウントがスパマーに乗っ取られ、大量のメールを送信しているのかを特定するまでは、メールキューを一時的に保留にしておくのが賢明です。.
ステップ2：メールのログを確認してください。.
/var/log/maillog にアクセスして、「from:」と書かれた行をざっと確認してみてください。そこには、あなたの組織とは無関係なメールドメイン名が多数表示されているかもしれません。これは、スパマーが「from:」を偽装しているためです。.
ステップ 3: SMTP AUTH 接続の認証に問題のあるアカウントを特定する
次に、侵害されたメールアカウントを確認しましょう。「have cat grep sasl_username」を実行し、結果をソートしてください。侵害されたアカウントに対するログイン試行やセッションの長いリストが表示されるはずです。また、「wc -l」コマンドを実行して、特定のユーザーのセッション総数を簡単に計算することもできます。.
ステップ4：悪用されたメールアカウントを無効にする。.
ユーザーアカウントである「SASL_username」という文字列が判明した場合、パスワードを無効にするか、複雑なパスワードに変更することをお勧めします。.
手順 5：メールキューを移動するか、スパムメールを削除する
さて、メールキューの処理に取り掛からなければなりません。最も簡単で手っ取り早い方法は、メールキューを移動させておき、後ほど整理を行うことです。あるいは、Bashスクリプトを使ってそれらのスパムメールを削除することもできます。.
手順 6：メールキューを解放する
メンテナンス処理終了後は、メールキューを解放することを忘れず、引き続きメールのトラフィックを監視してください。.