Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 7 replies
  • Subscribers 1 subscriber
  • Views 8714 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

SPF and rDNS check passing spoofed email

rbecker
With SMTP Proxy enabled on the UTM220, most of our users are typically >98% spam free every month.  It seems since upgrading to 9.309-3, that emails spoofed as being sent from our users to their own addresses from IP's outside our address space are being delivered, despite Missing RDNS, Greylisting and SPF Check being enabled.

Example:
F= R= Accepted: to postmaster

The sender IP address listed in Mail Manager and the User Portal clearly contains an invalid IP address (not our own mx IP's) and there is no FQDN or SPF records coinciding with these invalid IP's.

Our own DNS records contain SPF, DKIM and rDNS records, so it's unclear why the UTM is passing spoofed mail.

It should be noted that when spam email originates from a sender other than a (spoofed) verified recipient, that these anti-spam features work as expected.

Any ideas?

Thanks, 

 - RB


This thread was automatically locked due to age.
Parents
  • 0

    Spam rejection percentages

    Like Sascha, I don't recommend Greylisting.  Here are some statistics from our SMTP Proxy.  We have about 2.4% of incoming mail that is quarantined, 81.7% is rejected and the rest (about 7 for every mail that was quarantined) is delivered.  You can see that very little spam even gets to the point where its "signature" is calculated and checked against CYREN's cloud service.

    I bet an experiment would show that no email that would fail greylisting would get past all of the following rejection tests (presented, I think, in the order in which they are checked): 

    RHDS/HELO   33.8%

    RBL         48.0%

    BATV         0.5%

    Rcpt Verif  17.5%

    SPF          0.2%


    Cheers - Bob
    PS Did disabling Greylisting stop the problem you were seeing with delivered spams?

     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Reply
  • 0

    Spam rejection percentages

    Like Sascha, I don't recommend Greylisting.  Here are some statistics from our SMTP Proxy.  We have about 2.4% of incoming mail that is quarantined, 81.7% is rejected and the rest (about 7 for every mail that was quarantined) is delivered.  You can see that very little spam even gets to the point where its "signature" is calculated and checked against CYREN's cloud service.

    I bet an experiment would show that no email that would fail greylisting would get past all of the following rejection tests (presented, I think, in the order in which they are checked): 

    RHDS/HELO   33.8%

    RBL         48.0%

    BATV         0.5%

    Rcpt Verif  17.5%

    SPF          0.2%


    Cheers - Bob
    PS Did disabling Greylisting stop the problem you were seeing with delivered spams?

     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Children
  • 0 in reply to BAlfson
    That's a great explanation, Sascha, and it makes good sense as to why greylist operations are able to jump IP's.

    We once considered greylisting to be the equivalent a blunt instrument.  Where its proven effective for us, is those dozen or so new random /24's that seem to spring up almost daily, spewing spam from servers up and down the last octet.  The spammers are dumb enough to practice "fire and forget" practices, yet smart enough to include rDNS in their IP's.  Therefore, rDNS tests are satisfied, there is no SPF listing, (still considered optional by RFC), and send addresses are new enough that they haven't hit the RBL's quite yet.  Greylisting stops all this spam activity cold.  The exception list we employ (as described previously) eliminates the delay from well known sources, vendors and clients.  Yes, new mail from outside this scope will be delayed, but in comparison, it represents a small percentage of legitimate incoming email and the delay in these cases is not inordinate.  For our situation, the anti-spam benefits of greylisting outweigh the downside.  We used to blacklist these /24's manually in UTM's Blocked Hosts/Networks, once identified, although they they ultimately would be added to global RBL's, so our efforts were the equivalent of whack-a-mole.  Greylisting (with appropriate exceptions) resolved this issue.

    We used to use Strict rDNS rules, but abandoned this after too many user complaints of high priority incoming mail being bounced.  (It seems there are many large companies who run their own mail domains that don't believe that all RFC's apply to them...)

    We haven't really seen any repeat performance of the Joe Jobs since removing secondary domain sources that were erroneously included in the exception list.  Could be coincidental or contributory.  If the behavior returns, we'll drop a trouble ticket with Sophos (thanks for the suggestion, Bob), and post our findings back here on the Sophos BB.

    Regards,

     -- Ron
Unfiltered HTML