This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Recent Increase In SPAM

Hi All,

We have an ASG 220 and since about mid December, we have seen an increase in SPAM getting through the filter. Here are the things I've tried. The owners used to get maybe 1-2 every couple of days. Now they get between 15-20 daily

1) Country Blocking - This works OK, but most of our SPAM is coming from the US. And so does our legitimate email...

2) RBLs - I currently have "Recommended" checked with bl.spamcop.net and b.barracudacentral.org in the list. I've checked the IPs of mail getting through against a multi RBL lookup site and the IPs either aren't listed or are only listed in one of the servers, and never the same one consistently enough to add it to my RBL check list. I have also found several IPs that CommTouch identifies as high risk yet these messages get through with no problem

3) Advanced Anti-Spam Options - everything is checked except Strict RDNS checks.

4) Log Analysis - I've spent several hours analyzing the SMTP proxy logs for SPAMing networks, domains, etc. While I've found some and blocked them, the issue is the SPAMers use these IP networks and domain names once or twice and then switch to something else. 

5) Doing things like Regular Expressions is useless because they may send 4-5 emails that day using the same keywords, but then it stops and switches to something else. In other words, by the time I would have added them to the SPAM filter they've moved onto another campaign. One day it's Ellen Degeneres, the next day it's Weight Loss Spray, the next it's Term Life coverage.

6) Submitting SPAM to Sophos - I've added a button to the users' Outlook that sends an email to the is-spam address at sophos with the SPAM message as an attachment with the headers in tact. They have been doing this since Mid December.

7) Called support today - got nowhere. They logged in to look at my settings and all they could ell me is "your setup looks good, you're doing the right things by submitting messages to us but we have no answer for you on how to block these obvious SPAM messages."

To me it feels like the content scanning is utterly broken and useless. And me blocking IPs and regex expressions is a total waste of time because it will change within a day or so. If I go to the Mail Manager and only display messages that are SPAM there are no results. The only rejected messages are RBL or RDNS/HELO related. And the messages that are quarantined are only messages matching keywords we have manually added. Nothing from the Sophos pattern stuff.

Does anyone have any ideas to tighten this thing down?

Thanks!


This thread was automatically locked due to age.
  • I'm not seeing this.  Without examining representative examples (headers + message), it would be difficult for a consultant to make any suggestions.  Have you gotten any help with this?

    Often, complaints like this come from people that regret having opted-in to "non-spam" mailings - that's not a message that complaining higher-ups want to hear though. [;)]

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • Hello SouperGrover

    That's a strange issue. However - for example here my catch stats of the last 30days - with practical zero spams slipping through.

    59,5% RDNS/HELO checks
    39,1% RBL
    0,84% Address Verification
    0,46% Antispam Engine (Commtouch)
    0,09% Sender Blacklist
    0,03% BATV

    I even don't use Greylisting anymore since a long while, as lot of todays spams are resent anyway (or sent to backup MX), and I don't like the delays with new communication partners. Did you check, if spams maybe arrives via a external backup mx / mail spooler of yours, where most reputation based AS checks of UTM will fail (I have seen this few times in the past) ?

    AND: That RDNS works at it's best you should use strict mode for it - a huge number of drops are usually due invalid RDNS, which is only tested in strict mode. You may loose lot of RDNS checks effectiveness here by not checking this small checkbox.

    I also use two additional RBL's as afterburner, but to be honest the built in RBL's "black.rbl.ctipd.astaro.local" and "cbl.abuseat.org" catches nearly all, and leave for my additional RBL's "drone.abuse.ch" and "bl.spamcop.net" practically zero hits [;)]

    Additionally I personally have blacklisted a IP range of "adRom Holding AG" 82.98.114.0/23, which were sending tons of spams - in our region mainly using .cc domains. Their spams for some reason always slipped through lot of antispam filters, and I've never seen them blacklisted anywhere...sadly I never found out, how they achieved this...I didn't found any other working method to block their crap mails as by blocking their complete IP range [:@]

    The preferred methods may differ on type of spam you receive - but I found upper setting quite effective in most setups.

    /Sascha
  • Bob - I'm absolutely positive that the boses have either "opted out" of one if not several messages. Plus, they use their email addresses to sign up for stuff. And they've had their addresses for over 15 years. I'm not sure why the sudden increase though. I can't pinpoint it to a particular message they opted out from or a particular list they signed up to.

    So yesterday I started feeling like I was getting nowhere with the ASG and was going o have to implement a second SPAM filter. I found Xeams (it's free). And while playing around with that, I discovered it has a SPAM Simulator tool that lets you paste in headers nad messages to see why a message was SPAM or why it was not. It uses a Bayesian scoring system so it is gives you a great idea on what happened. I decided to submit some of the messages that got through the ASG to this tool and out of the 10 I've tried so far it identified 7 of them as SPAM. And the reason was usually b/c it was a blacklisted domain or IP address. So, I'm feeling like if I ad in some of he RBLs that this software is using I will be doing better. I will do some further testing (I've have about 40 messages to try out) and let you know my results.

    BTW - EVERY message I have submitted has passed the SPF check saying the IP is allowed to send mail for he domain. Is it just me or is this check almost useless?

    Here is a sample message (header and body) that is getting through both

    Microsoft Mail Internet Headers Version 2.0
    
    Received: from postmaster.ourdomain.com ([1.2.3.4]) by ourexchangeserver.ourdomain.internal with Microsoft SMTPSVC();
     Mon, 24 Feb 2014 16:28:36 -0800
    Received: from [162.221.192.92] (port=28880 helo=ship.bramagruys.com)
    by postmaster.ourdomain.com with esmtp (Exim 4.76)
    (envelope-from )
    id 1WI5sv-0004cr-18
    for myboss@ourdomain.com; Mon, 24 Feb 2014 16:28:33 -0800
    From: "Anthony D." 
    Message-ID: 
    Subject: Mom in her spare time makes 75 dollars an hour (postions available)
    Date: Mon, 24 Feb 2014 18:57:09 -0500
    To: 
    Mime-Version: 1.0
    Content-Type: text/html; charset=us-ascii
    Content-Transfer-Encoding: 8bit
    Content-Disposition: inline
    Return-Path: bird.road@bramagruys.com
    X-OriginalArrivalTime: 25 Feb 2014 00:28:36.0638 (UTC) FILETIME=[85DD2BE0:01CF31C0]















    Regarding Your New Job Opportunity

    Monday, 24th - February



    Starting Salary: $75.00 an hour

    Status: PENDING



    Stay at home and work with the following companies






    ebay , amazon , Google,craigslist & *




    facebook




    This job has been reserved for you but will not be available long. We will need your response here to proceed.



    Your total 2014 salary could end up being over $89,000 (working from home).



    Claim it By Applying Here: ID# 6080009472861610946













    Have these come to a close. Its easy just go to this page now





    Put this to an end right/here today. or send a written note 704 Volunteer DriveChattanooga TN 37416-3860 







    IBM is committing to bring 500 jobs to a new, 100,000-square-foot, state-owned computer information technology center in Buffalo to train future and current industry workers and to create cutting-edge software for energy, health, defense and other industries, Gov. Andrew M. Cuomo announced today.

    Big Blue, as IBM sometimes is known, has also agreed to bolster a separate – though likely linked – endeavor by becoming the first corporate technology member of the recently announced New York Genomic Medicine Center, a $100 million new partnership between a genome research facility in Manhattan and the University at Buffalo’s center for computational research, according to Cuomo administration officials.

    At a news conference Monday, it was announced that IBM will be the anchor tenant in a new partnership development with SUNY College of Nanoscale Engineering in Albany.

    “It’s the right place to be, it’s the right direction, and IBM is the right partner,” Cuomo said.

    Some details of the announcement were provided to The Buffalo News on Sunday.

    The new facility to house IBM, and what the state hopes will be other private sector companies involved in the expansive field of information technology services, is expected to open in downtown Buffalo in early 2015. Officials said a precise location for the new site downtown has not yet been finalized.

    It is the latest in a series of economic development plans the Democratic governor has unveiled the past few years in Western New York, including the recent $1.5 billion RiverBend project.

    But unlike RiverBend, which so far involves two California energy companies, the endeavor Cuomo will tout today involves the world’s biggest technology services company, which operates in 170 countries and had a fourth-quarter net income in 2013 that totaled $6.2 billion.

    International Business Machines, founded 102 years ago in New York State and first known as the Computing Tabulating Recording Company, is headquartered in Armonk in Westchester County. Its history in the state has been one of an on-again, off-again cycle of boom and bust, especially in the Southern Tier near Binghamton as well as in the Mid-Hudson Valley, where layoffs are reportedly on the horizon in coming weeks.

    Officials said Sunday the IBM jobs for the Buffalo project are new for the company and are not part of a relocation effort from other areas.

    IBM is being lured to Buffalo, in part, with $55 million in state funding toward the project that officials said Sunday is coming out of Cuomo’s Buffalo Billion dollar commitment. The money, steered through the Albany-based College of Nanoscale Science and Engineering, which is part of the State University at New York system, will include $25 million to build what state officials called a “high-end software development center’’ downtown whose first tenant will be IBM.

    An additional $30 million will go for the purchase of various software, computers and servers. Using the model the state has employed before, notably at its nanoscale facility in Albany, taxpayers will not provide IBM with any direct subsidies for the purchase of the equipment; instead, the state will purchase and own the equipment that private companies can then tap into as part of their rental agreements.

    State officials said Sunday they expect the 500-job target to be hit in three to five years, and that IBM will put an emphasis on recruiting software engineer and researcher graduates from Buffalo-area colleges – a move that could help slow some of the “brain drain” of young people the region has experienced for years.

    The governor will announce that IBM will be the first anchor tenant of what he is calling the Buffalo Information Technologies Innovation and Commercialization Hub, a title similar to two other “innovation hub” ventures he has announced for projects at RiverBend and the Buffalo Niagara Medical Campus that involve partnerships among government, universities and the private sector.

    “From medical and clean energy innovation to now, cutting-edge software development, we are making strategic investments in emerging fields that will position the city of Buffalo and the entire Western New York region as a leader in the high-tech industry and a pioneer of new discoveries,” Cuomo said in a written statement.

    Ginni Rometty, IBM chairman, president and chief executive officer, said Cuomo’s push for the new facility will “create new opportunity for Buffalo developing the next generation of software in growth areas like mobile, cloud and analytics.”

    The state will own the downtown information technology facilities center to be used by IBM.

    The administration says the new deal with IBM is part of an effort involving the Western Regional Economic Development Council, the state’s own data center in Albany that is used by all state agencies, the nanoscale college in Albany and the University at Buffalo.

    Officials say its software developments in the information technology field could end up being used by an assortment of industries, including genomics and molecular research, as well as unspecified defense sector applications.

    Besides the IT jobs and software project, IBM is joining Cuomo’s program for a New York Genome Center that is expected to use UB’s large computing capacity to help with turning genome research underway at a Manhattan facility into practical health care advances that founders of the group say could show up quickly in hospitals and doctors’ offices.

    Cuomo has proposed to split $105 million between Buffalo and Manhattan. The money still has to be approved in the 2014 budget talks that are expected to get more serious attention when lawmakers return this week from a vacation, though there is little chance the money will not be included in the final fiscal plan.

    State officials envision a connection between the new software center to be constructed with IBM as the first major tenant and the genome program; they say software developed at the newly announced information technology hub could be used to help decipher the humane genome.

    IBM for years has been one of the key tenants at the ever-growing, 1.3 million-square-foot nanoscale campus in Albany, which has contributed to the reputation of the Capital Region as a high-technology address for research and manufacturing companies from around the world. The Albany nanoscale’s head, Dr. Alain Kaloyeros, who has increasingly become a trusted adviser to Cuomo, was part of the team to bring IBM to Buffalo.

    The two other “hubs” announced recently by Cuomo for Buffalo are the High Manufacturing Innovation Hub, which calls for a clean-energy facility on the former Republic Steel property on the Buffalo River that so far has attracted a LED lighting maker and solar panel manufacturer, and the Buffalo Medical Innovation and Commercialization Hub, which calls for $50 million in state money to build a biomedical facility with state-owned equipment on the grounds of the Buffalo Niagara Medical Campus that has attracted two initial tenants so far.

    Saying the economic development needs of Western New York have been largely ignored over the years by state officials, Cuomo in 2012 pledged to spend $1 billion in state money to help with job creation efforts in the region. The timeframe for when the money would be spent has been somewhat of a moving target, though in his new 2014 budget plan Cuomo proposed the state set aside the remaining uncommitted $680 million from the original $1 billion pledge. That does not mean that amount would be spent in the coming year, but rather would create a placeholder in the state’s bank account that could be tapped in future years without having to be a part of the annual budget process.




  • Hi SouperGrover

    Did you try to use other DNS Server in the UTM forwarder? Maybe there's going something wrong? 

    And SPF only works for domains havinf a SPF DNS entry as Microsoft, Googlw, GMX etc.

    I will have a look at your attached mail later on PC...difficult to read on mobile /o)

    /Sascha

    Sorry for short answers and typos. was written on mobile using astaro.org app.
  • One more sample for review. I can see why a content filter would have issue with this because this only "feels spammy" to a human due to the content, the way it is laid out and the massive amount of text at the bottom. It just looks wrong.

    Microsoft Mail Internet Headers Version 2.0
    
    Received: from postmaster.ourdomain.com ([1.2.3.4]) by ourexchangeserver.domain.local with Microsoft SMTPSVC();
     Fri, 21 Feb 2014 13:57:59 -0800
    Received: from [173.236.118.136] (port=41418 helo=match.sulasobby.com)
    by postmaster.ourdomain.com with esmtp (Exim 4.76)
    (envelope-from )
    id 1WGy6R-0002Fw-38
    for myboss@ourdomain.com; Fri, 21 Feb 2014 13:57:52 -0800
    Date: Fri, 21 Feb 2014 15:57:22 -0500
    Subject: You think you've seen it all? You've seen nothing until you've seen this
    To: 
    Mime-Version: 1.0
    From: "Instant News" 
    Message-ID: 
    Content-Type: text/html; charset=us-ascii
    Content-Transfer-Encoding: 8bit
    Content-Disposition: inline
    Return-Path: rebecca@sulasobby.com
    X-OriginalArrivalTime: 21 Feb 2014 21:57:59.0847 (UTC) FILETIME=[FC470B70:01CF2F4F]

     
















    Martha Stewart's New Face Photos





    Why do something so drastic?



    Twenty-years shaved off her face by doing this. As you look at these photos remember that they are verifiably real.Access The Photos Here



    --  No surgery was necessary  --



    Take a look at her facial transformation here





    Pictures Found Here


    *
      




























     ++ Going ++ to-this.link indicates not to send to you again.

    V, power of 0.58 0.12 mV 2, and frequency of 2.1 0.3 Hz. Delta rhythms were also generated in this experimental condition in other cortical association areas temporal association area and frontal cortex. Only weak, slower events could be detected in primary sensory areas S1 and Au1 data not shown. To further uncover the origin of the delta rhythm, we quantified the current source densities across laminae in parietal cortex. As with data from human invasive electrode studies Csercsa et al., 2010, dominant sourcesink pairs were seen in superficial layers in Utah recordings Fig. 1A. This was associated with an abrupt phase reversal when comparing pairwise glass electrode recordings, with reference electrode in layer 5, between layers 2 and 1  18 20 o vs 175 8 o, n 5 Fig. 1A. However, both phase reversal and sourcesink pair location were displaced from the layers in which peak delta power was seen. In all association areas, delta power was clearly largest in layer 5 see Discussion. To determine whether this dominance of the delta rhythm power in deep layers was translatable to human neocortex in this experimental model, we used voltagesensitive dye recordings from nonepileptic human frontal cortical tissue. In the neuromodulatory environment used for rat studies, human association cortex also generated persistent delta rhythms Fig. 1C. Mean frequency was not different from rat 2.4 0.5 Hz, n 6 epochs over 3 h. As with the rodent model, peak power was clearly localized to deep layers, with additional, smaller peaks in power around layers 2 and 3. Pharmacological clues to the mechanism underlying the delta rhythm suggested a complex interaction of multiple factors Fig. 1Bii. The dependence on cholinergic drive appeared to be predominantly via muscarinic receptors pirenzipine 10 M reduced delta power to below 10 of control values. In terms of synaptic excitation, blockade of either NMDARs alone with 50 M DAP5 or both AMPARs and kainate receptors 20 M NBQX also reduced delta power to 10 of control values. However, blockade of AMPARs or kainate receptors alone did not have such a dramatic effect on delta power, suggesting that a general reduction in excitation was required. There was a clear divergence in the effects of synaptic inhibition on the delta rhythm. Reduced GABAA receptormediated excitation increased mean delta power, whereas reduced GABAB receptormediated inhibition reduced delta power to 17 5 of control n 5 Fig. 1Bii. In addition, a range of drugs reducing gap junction conductance each with different nonspecific effects all nearly abolished the delta rhythm. Together, these pharmacological manipulations pointed to multiple mechanisms combining to generate the rhythm seen. To attempt to identify the key mechanisms, we next examined the outputs and synaptic inputs of different association neocortical neurons. Neuronal subtypes in layer 5 involved in the delta rhythm Both a subset of FS interneurons and all intrinsically bursting principal cells were seen to generate bursts of spike outputs on almost every delta period phase locked to concurrently recorded layer 5 field potentials Fig. 2. In each case, bursts of spikes were seen to ride on slow compound EPSPs. Mean spike incidence per delta period for deltalocked FS cells was 6 2 100 periods each in n 4 neurons Fig. 2B, FS1. Excitatory inputs were characterized by nearcontinuous occurrence of small, fast EPSPs 1.6 0.8 mV, d 2.7 0.3 ms. Superimposed on this lowlevel noise were large compound EPSPs that appeared to be made up of intense barrages of the small single EPSPs see during the quiescent part of each period. Mean peak amplitude of these delta phaselocked compound events was 13 3 mV from 70mV membrane potential. Interestingly, pooled power spectral analysis of FS EPSP traces 60s long, n 4 Fig. 2B revealed a second, smaller more spectrally spread peak in addition to the dominant delta frequency. Peak frequency of this additional rhythmic component was within the theta range 4.8 1.0 Hz. Bursts of spiking from layer 5 IB neurons were also seen on each delta period Fig. 2C. Mean spike incidence per delta period was greater than that seen in FS cells 10 3, 100 periods each in n 6 neurons, and spikes arose from large compound somatic EPSPs 9.4 2.0 mV amplitude from 70 mV. Although the overall active period of IB neurons coincided with a plateau depolarization, EPSP shapes were characteristically ramped, increasing in amplitude as the active period progressed, suggesting that initial spiking was related to the intrinsic burst ability of these neurons and the later spikes directly arising from the network EPSP. Synaptic inhibition in IB neurons consisted of two components. During the active phase of each delta period, IB cells received a barrage of fast IPSPs that weakly temporally summed until spike termination. In contrast, the quiescent part of each delta cycle was associated with a slow hyperpolarizing potential resembling GABABmediated IPSPs in these cells. Mean power spectra of these synaptic events recorded at a mean membrane potential of 30 mV also showed two components a dominant, sharp peak at theta frequency 4.2 0.4 Hz, see above for comparison with FS EPSPs and a weaker, more spectrally spread peak at delta frequency. Neuronal subtypes involved in layer 5 in the nested theta rhythm Not all FS cells showed the tight temporal relationship between spiking and the field delta rhythm described above. A subset of neurons with nearidentical spike shapes and response to depolarizing current steps to those described above were found to generate outputs dominated by single action potentials at theta frequency 4.5 0.5 Hz, n 3 neurons from 3 slices Fig. 3B, FS2. Occasional intense bursts of action potentials were also generated in this neuron subtype phase locked to the field delta rhythm mean burst incidence, 0.4 per delta period. The contrasting outputs of FS1 and FS2 interneurons appeared to be a consequence of their respective synaptic excitation profiles. Slow excitatory events phase locked to the field delta rhythm were much weaker and more erratic in FS2 cells. Mean amplitude was 5.2 1.4 mV  p 0.05 compared with FS1 deltafrequency EPSPs. The thetafrequency spike incidence matched a different set of synaptic inputs fast EPSPs 4.4 0.8 mV, d 2.5 0.4 ms occurred in a highly rhythmic manner in each FS2 cell recorded. The combination of these two types of input resulted in a broad mean spectrum with modal peaks at delta frequency 2.0 0.4 Hz and theta frequency 4.6 0.8 Hz. Layer 5 principal cells showed a remarkable divergence in spike behavior and inputs. Unlike the intense bursting of IB cells with the field delta rhythm, layer 5 RS neurons did not burst. Instead, a range of spiking patterns from single spikes on each delta period to nearcontinuous thetafrequency spiking was seen Fig. 3C. Mean spike incidence histograms revealed a modal peak at 4.4 1.0 Hz n 9. This pattern of outputs did not correspond to EPSP inputs seen in RS neurons. As with IB neurons, compound excitatory inputs occurred phase locked to the field delta rhythm. However, they were significantly smaller 4.1 0.6 mV, p 0.05 compared with IB neuron EPSPs and showed a different ramped profile. Although IB EPSPs ramped up in amplitude during the active phase of each delta period, RS EPSPs ramped down. IPSP inputs also differed between the two10754  J. Neurosci., June 26, 2013  332610750 10761Carracedo et al.  Dynamic Cortical Interlaminar InteractionsABCcell types. No trains of fast IPSPs were seen in RS neurons during the active phase of the delta period, and the quiescent phase was often interrupted by additional IPSP inputs. IPSPs seen had kinetics intermediate to the fast and slow events recorded in IB neurons 6.7 1.1 mV, d 21.2 1.3 ms. This complex pattern of different outputs from layer 5 FS neurons and principal cells was captured by the revised cortical column computational model used in this study see Materials and Methods. The dominant, deltalocked spike outputs occurred in model IB and FS2 neurons. IB neuron spiking was initiated by predominantly NMDARmediated IBIB recurrent excitatory connections and terminated by a combination of the strong intrinsic afterhyperpolarization in this neuron subtype and a phasic GABAB receptormediated slow IPSP Fig. 4. This latter network component came from FS2 interneurons modeled as neurogliaformlike cells that generated intense bursts on each delta period a burst incidence seen in experimental FS2 cells interspersed with nearcontinuous thetafrequency single spikes compare Figs. 3B, 4. In contrast, basketlike FS1 interneurons generated weaker spike trains at delta frequency, and layer 5 RSlike cells generated deltanested single spikes or spike pairs, or continuous thetafrequency spike outputs. This model confirmed the pharmacological data Fig. 1Bii implicating NMDARmediated excitation between IB neurons4 the concurrently recorded field A. Top histogram shows mean burst incidence at delta frequency. Bottom trace shows membrane potential at 70 mV mean revealing large, slow, regular depolarizations interspersed with more rapid but smaller, faster EPSPs. Bottom spectrogram shows that mean power of EPSPs onto FS cells had a modal peak at delta frequency but with a smaller additional peak in the theta  5 Hz band. C, Example recordings from an IB neuron in layer 5. Step depolarization with 0.2 nA 200 ms reveals the intrinsic bursting behavior of this cell type. Top trace shows spontaneous bursts of spike generation at resting membrane potential phase locked to the layer 5 field delta rhythm note that these traces were not concurrently recorded with the example field in A. Top histogram demonstrates mean burst incidence at delta frequency. Middle trace shows a recording from the same neuron held at 70 mV mean revealing large, ramped EPSPs underlying the bursting behavior. Mean power spectra again show peak incidence of EPSPs at delta frequency. Bottom trace shows activity in the same cell held at 30 mV to reveal IPSP inputs. IPSPs were complex, consisting of deltafrequency bursts of higher frequency, fast IPSPs interleaved with single, slow hyperpolarizations. Mean spectra bottom graph of such behavior in n 5 neurons exposed a bimodal power distribution with peaks at delta and theta frequencies. Calibration 200 mV field, 20 mV resting membrane potential, 10 mV  70 and 30 mV recordings, 0.5 s.Figure 2. Delta rhythms are generated by layer 5 IB neurons. A, Example trace showing a layer 5 LFP recording of delta activity. Spectrum shows a tight, single modal peak at 2 Hz. Data plotted as mean black line and SEM gray lines. B, Example recordings from a nonaccommodating, FS interneuron in layer 5. Response to step injection of 0.2 nA current for 200 ms demonstrates the intrinsic spiking behavior. Top trace shows spontaneous bursts of spike generation at resting membrane potential phase locked toCarracedo et al.  Dynamic Cortical Interlaminar InteractionsJ. Neurosci., June 26, 2013  332610750 10761  10755Aand GABAB receptormediated inhibition as the primary features of the layer 5 delta rhythm generator. It also suggested the layer 5 theta generator was mediated by a combination of RS neuron intrinsic properties and synaptic inputs. Layer 5 theta outputs are highly labile and manifest in the layer 23 LFP The model data predicted that transient, thetafrequency epochs of spikes from RS neurons would be highly sensitive to tonic excitatory drive to this cell type, with these cells being only weakly influenced by the layer 5 delta rhythm. A change in tonic drive of 0.2 nA to model RS neurons was sufficient to change outputs from single, deltalocked spikes to this continuous thetafrequency output Fig. 5A. During delta rhythms in association cortical slices, RS cell spike outputs could be modified across this range by injection of a small amount of tonic current  0.1 nA. A mean membrane potential difference of 5.2 0.5 mV was sufficient in each case to transform single, deltalocked spikes to continuous thetafrequency spiking. Over an even narrower range of membrane potentials, a stable theta burst of output two to three spikes could be generated. Interspike intervals within these brief bursts and during continuous spike were the same 170 15 vs 185 20 ms, respectively, p 0.1. To quantify the extent of the influence of the deltafrequency EPSPs in these neurons Fig. 3C, spike probability relative to peak positivity of the layer 5 delta LFP was calculated. Despite the difference in spike output patterns, there was a peak in spike incidence 150 180 ms into these wavetriggered avBC4 but smaller, faster EPSPs with large events occurring at theta frequency. Bottom spectrogram shows mean power of EPSPs onto FS cells had a bimodal peak at delta and theta frequency. Lines plotted show means of each of the three cells recorded. C, Example recordings from an RS neuron in layer 5. Step depolarization with 0.2 nA 200 ms reveals the RS behavior of this cell type. Top trace shows spontaneous spike generation at resting membrane potential is dominated by single or double spikes per delta period note that these traces were not concurrently recorded with the example field in A. Top histogram demonstrates mean spike incidence approximately at theta frequency. Middle trace shows a recording from the same neuron held at 70 mV mean revealing small compound EPSPs occurring at delta frequency from mean power spectrum on the left. Bottom trace shows activity in the same cell held at 30 mV to reveal IPSP inputs. IPSPs were complex, consisting of both delta and thetafrequency components. Note the absence of the runs of fast IPSPs seen in the FS cell in Figure 2. Calibration 200 V field, 20 mV resting membrane potential, 10 mV  70 and 30 mV recordings, 0.5 s.Figure 3. Layer 5 RS neurons produce thetafrequency spike outputs. A, Example trace showing a layer 5 LFP recording of delta activity. Spectrum shows a tight, single modal peak at 2 Hz as in Figure 2. B, Example recordings from a nonaccommodating, FS interneuron in layer 5. Response to step injection of 0.2 nA current for 200 ms demonstrates the intrinsic spiking behavior. Top trace shows sporadic bursts of spike generation at resting membrane potential phase locked to the concurrently recorded field A. Note also predominant thetafrequency spike generation. Top histogram shows mean spike incidence at theta frequency. Bottom trace shows membrane potential at 70 mV mean revealing small, slow, regular depolarizations interspersed with more rapid10756  J. Neurosci., June 26, 2013  332610750 10761Carracedo et al.  Dynamic Cortical Interlaminar InteractionsABerages at the beginning of the active phase of each delta period Fig. 5A. Despite the clear presence of this thetagenerating subcircuit within layer 5, the LFP was dominated by the IB neuronmediated delta rhythm. However, a field manifestation of this deltanested theta activity was seen in superficial layers Fig. 5B. Concurrent LFP recordings from layer 5 and layer 2 showed a phase reversal of the delta component of the rhythm Fig. 1A. However, additional detail in the superficial layer LFP suggested higherfrequency components. Spectrograms of activity in the two layers revealed a clear, iterative presence of power within the theta band only in superficial recordings. Therefore, we examined cellular activity patterns in layers 23 in more detail. Cellular responses in superficial layers RS neurons in layer 23 spiked sparsely during the delta rhythm. Mean spike incidence per delta period was 0.6 0.2 n 14 neurons from 11 slices. Spike timing relative to the LFP delta rhythm was highly variable with two clear maxima spread across the active phase data not shown. Examination of EPSP profiles revealed a possible source for this most delta periods were associated with compound EPSPs in superficial RS neurons with clear dual components Fig. 6B. Peak EPSP amplitude was 5.5 0.6 mV from 70 mV mean membrane potential, and the profile of these events looked remarkably similar to the spike incidence profile in layer 5 RS neurons in the narrow range of dual spike generation Fig. 5A, black line. Spectral analysis of these superficial layer RS EPSPs also revealed dual peaks at delta and theta frequency. In contrast, IPSPs received by superficial RS neurons had only a relatively weak delta component to their spectra and almost no power in the theta band. The source of these compound IPSPs within the superficial layer consisted of at least local FS and LTS interneurons Fig. 6C,D. Both interneuron subtypes generated spike bursts phase locked to the field delta rhythm, with outputs from FS cells more intense than LTS cells 7.2 2.0 vs 2.2 1.0 spikes per delta period, respectively, n 3 and 4. LTS cell EPSP recordings showed almost no evidence for thetafrequency inputs, but superficial FS cell excitatory inputs were more complex. As with layer 23 RS cells, FS cells in these layers exhibited dualcompound EPSPs approximately on every other delta period Fig. 6D. Spikefield coherence reveals a reciprocal laminar interaction afforded by deltanested theta rhythms The above demonstration of overt thetafrequency inputs onto superficial RS neurons despite a near absence of local theta generation in other superficial neurons suggested a degree of interplay between the theta source in layer 5 and the pattern of activity seen in superficial layers. To address this, we used Utah electrode arrays to concurrently record unit activity from all layers simultaneously. As with intracellular data, layer 5 units could be divided into two clearly different output patterns. Of the 52 layer 5 units recorded from seven slices, 23 demonstrated intense bursts on each delta period 7.8 0.5 spikes per period in a manner similar to that seen for intracellular recordings from IB4 FS2, modeled as neurogliaformlike cells demonstrated more intense spike bursts interspersed with thetafrequency single spikes compare with Fig. 3B. D, Example trace of activity in nontufted, layer 5 RS cells from the same simulation as AC. Note the absence of deltafrequency bursts, being replaced by doublet spikes with interspike interval reflecting theta period, occurring every field potential delta period. Calibration arbitrary field and IB GABAB 50 mV spike behavior examples, 0.5 s.CD




    On the flip side, you can  also-go.he/re. or write-to: 40894/Villanova____Drive___Sterling____Heights-----MI----48313__2974













  • AND: That RDNS works at it's best you should use strict mode for it - a huge number of drops are usually due invalid RDNS, which is only tested in strict mode. You may loose lot of RDNS checks effectiveness here by not checking this small checkbox.

    Sascha, when did you start using the strict mode?  When it was first offered, every client with Email Protection complained, so I changed everyone to NOT strict.  Maybe there's better compliance out there now?

    b/c it was a blacklisted domain or IP address

    In that case, the UTM would now catch these.

    EVERY message I have submitted has passed the SPF check saying the IP is allowed to send mail for he domain. Is it just me or is this check almost useless?

    Usually, amateur spammers won't take the time to create a valid domain with an SPF record.  Here are our stats for the last 24 hours:
    RBL rejects:			56.1%
    RDNS/HELO rejects: 33%
    Spam quarantined/rejected: 7.6%
    Address Verification rejects: 2.8%
    SPF rejects: 0.5%
    BATV rejects: 0%
    Malware quarantined/rejected: 0%
    Blacklist rejects: 0%


    The sending IP from your first list is 162.221.192.92 is on seven blacklists in addition to cbl.abuseat.org.  The second one is not.  The spam-identification method used by CommTouch has problems with these sophisticated spams as it does with advance-fee fraud spams sent from Gmail, Yahoo, etc.  If you're using Outlook, I would recommend SpamBayes for those that have an issue with having to delete such spams.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • Sascha, when did you start using the strict mode?  When it was first offered, every client with Email Protection complained, so I changed everyone to NOT strict.  Maybe there's better compliance out there now?


    I had heard the same thing and have not checked this yet. I couldn't really get a straight answer out of the Sophos tech I talked to as to what it does. Bob, can you elaborate?


    b/c it was a blacklisted domain or IP address

    In that case, the UTM would now catch these.


    The thing that blacklisted it was a different piece of software - not the UTM.

    The sending IP from your first list is 162.221.192.92 is on seven blacklists in addition to cbl.abuseat.org.  The second one is not.  The spam-identification method used by CommTouch has problems with these sophisticated spams as it does with advance-fee fraud spams sent from Gmail, Yahoo, etc.  If you're using Outlook, I would recommend SpamBayes for those that have an issue with having to delete such spams.


    None of the spam is coming for major providers like Gmail, Yahoo or Hotmail. 

    I'm guessing that cbl.abuseat.org is one of the "Recommended" filters that Sophos is using in the back end? I've seen it pop up in the Mail Manager before and it's not in my list of manualy added servers. So, if that is the case and the RBL is working correctly (and I have no reason to believe otherwise), then the IP is listed now and was not listed at the time the message hit our UTM. 

    I've added in zen.spamhaus.org and dbl.dnsbl.sorbs.net as these were two (for spamhaus it was dbl. and sbl.) of the RBLs in the other utility that were flagging things as black listed. I've been watching the mail monitor and haven't seen any spam using them yet, but nothing is getting through either.

    Question. Just want to make sure I have this right. The UTM passes the IP address of the connection through all RBLs until it finds a match, and then if no match is found the IP passes the check, right? Why do we care about the order they are in the list?
  • I'm starting ot notice a trend, but not sure of the Sophos will be able to do anything about it.

    What I've been doing is taking all the SPAM that makes it through and running it in the Xeams Spam Simulator to see what it gets. MOST of the messages have blacklisted URIs in their messages that are listed with SURBL. Can the UTM be configured to check with these somehow?
  • I had heard the same thing and have not checked this yet. I couldn't really get a straight answer out of the Sophos tech I talked to as to what it does. Bob, can you elaborate?


    Hello Bob and SouperGrover

    Yes, I remeber that...the change in RDNS was implemented 2 or 3 years ago, and the first implementation bricked that feature due lots of false positives. If I remeber right, the first implementation used a RFC conform method (I guess it was the one described here RFC 7001 - Message Header Field for Indicating Message Authentication Status ), which resolved the connection MTA / sender IP per RDNS back to a FQN, and checked, if that name matched to the helo name. This has led to lots of fales, because many companies didn't had a matching Reverse DNS entry, as usually customers are in control of the own forward DNS entries, bur Reverse DNS is property and maintained by your ISP, unless you own your own ip block / AS, and can not always be easily modified to your requirements.

    After that the separation RDNS check and "strict" RDNS check method was introduced.

    While RDNS simply checks, if you get a resolveable FQN in the helo string at all, this method is very limited, as it only drops things like "helo localhost" or "helo pppp".

    The strict option does verify, that a given, valid FQN in the helo string also resolves back to the connecting sender IP (FCrDNS as described here Anti-spam techniques - Wikipedia, the free encyclopedia ). I assume, that's also the reason, why the HELO/RDNS check aren't two separated antispam features in UTM, as UTM doesn't make a complete FCrDNS because of the abve mentioned issues with missing "real" rever DNS entries from the ISP's, but makes a DNS lookup of the given FQN in the helo string.

    So I personally expect the strict RDNS feature as "safe" with - from my experience - very low false positives due some misconfigured MTA's. 

    Against at least one of the two given spam samples you posted, the strict option would have helped:

    Not helped for the first sample:

    Received: from [173.236.118.136] (port=41418 helo=match.sulasobby.com)

    $ nslookup match.sulasobby.com
    Server: 127.0.1.1
    Address: 127.0.1.1#53

    Non-authoritative answer:
    Name: match.sulasobby.com
    Address: 173.236.118.136          

    But it would have blocked the second one

    Received: from [162.221.192.92] (port=28880 helo=ship.bramagruys.com)

    $ nslookup ship.bramagruys.com
    Server: 127.0.1.1
    Address: 127.0.1.1#53

    Non-authoritative answer:
    Name: ship.bramagruys.com
    Address: 66.35.77.34            

    I personally always suggest to use the strict option, as it's quite effective. I recommend that since two or three years, and only seldom had issues due RDNS (usually SPF makes more headache [;)] )

    Hope that explanation helps...
  • SG, you can make a suggestion at the Features site.

    Sascha, that you've been using strict for two years is good enough for me to try changing the setting on ours immediately.  If everything seems copacetic after a week, I'll have all my Email Protection clients switch.  Thanks!

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA