Spoofing Mails - wie ist das möglich?

[NorbertFe 1.804]

Wenn ich das richtig verstehe ereicht man mit diesem SPF Record aber lediglich das man keine gefälschen Mails erhält die die eigene Domäne verwenden, oder?

Ja und wenn jeder Eigentümer seiner Domain sowas hätte, wäre das schon ziemlich praktisch, oder? ;)

 

Aber ander Spam-Mails die ebenfalls eine gefälsche Domäne verwenden kommen dennoch durch, oder?

Wenn jeder Eigentümer seiner Domain sowas hätte, kämen zumindest keine spoofed Sender mehr vor (oder deutlich weniger). Und darum gings hier ja.

 

Mich wundert es ja sehr, das es da noch keine neuerung gibt, ein SMTPv2 oder soewas, was eben auch das fälschen der Absenderdomäne nicht mehr möglich macht.

Kannst ja DE-MAIL nutzen. :p

 

das ist doch höhst ärgerlich soetwas. Nicht selten gibt es kunden, die die Absenderdomäne kennen, sich zwar wundern was das für eine komische mail ist - diese aber dann dennoch öffnen, weil eben der absender bekannt ist :-/

Auch SMTPv2 würde Brain 1.0 nicht überflüssig machen. Da bin ich mir sicher.

 

 

gibt es den echt keinen schutz gegen diese Spam-Mails wo laufend irgendwelche invoice rechnungen drin sind als zip datei, oder als doc-dokument? Einer der größten deutschen Antivieren-Programm entwickler (Gdata) sagt das es dagegen keinen schutz gibt, weil sich der inhalt der dateien ständig ändern, und die dateien selber nicht das Virus sind, sondern das Virus erst damit heruntergeladen wird :(

Man kann damit Geld verdienen, also haben die die sowas entwickeln natürlich immer den Vorteil die Reaktionsmöglichkeiten zum aktuellen Zeitpunkt bereits zu kennen. ;)

 

Bye

Norbert

[monstermania 53]

gibt es den echt keinen schutz gegen diese Spam-Mails wo laufend irgendwelche invoice rechnungen drin sind als zip datei, oder als doc-dokument? Einer der größten deutschen Antivieren-Programm entwickler (Gdata) sagt das es dagegen keinen schutz gibt, weil sich der inhalt der dateien ständig ändern, und die dateien selber nicht das Virus sind, sondern das Virus erst damit heruntergeladen wird :(

Das typische Henne-Ei-Problem.  :D

Haben wir hier auch Jedes mal, wenn eine neue Welle von Spam-, Phishing-, Trojanermails umgeht. Dauert immer etwas (bis zu einige Stunden), bis sich die Filteranbieter auf die geänderte Datei eingestellt haben. Wir nutzen 2 unterschiedliche Produkte (1 x UTM, 1 x Mailgateway). Trotzdem kommt immer wieder was durch auf den Exchange.

Auf dem Exchange haben wir per Transportregeln eingestellt, dass externe Emails mit Office-Anhängen, usw. erstmal per se als Spam klassifiziert und bei den Usern im Spam-Ordner landen. Da kann der User dann schon mal nicht einfach per Doppelklick den Anhang öffnen, sondern muss etwas nachdenken... 

Den ganzen komprimierten Kram mit Anhang ala ZIP, ACE, usw. leiten wir in ein eigenes Postfach um, auf das nur die IT Zugriff hat. Da schauen wir 1-2 mal am Tag rein.

Klingt Alles komplizierter als es eigentlich ist. In der täglichen Anwendung gibt es da keine Probleme und das Aufkommen der zweifelhaften Mails ist minimal. Aber eben leider vorhanden.

Die 100%ige Lösung wird es wohl auch nie geben. Na ja, einfach WAN-Leitung abtrennen hilft!

 

Generell versuchen wir unsere Mitarbeiter so gut als möglich für die Problematik zu sensibilisieren. Dazu gehören u.a. regelmäßige Brandmails an die Mitarbeiter.

Mittlerweile haben wir die User wirklich soweit, dass Sie im Zweifel nachfragen bevor eine zweifelhafte Mail geöffnet wird. Leider lässt diese Einsicht nach, je 'höher' die Position des Mitarbeiters im Unternehmen ist.  :rolleyes:

Inzwischen kommen teilweise wirklich toll gemachte Trojaner-Emails bei uns an! Da merkt man richtig, dass sich die Absender wirklich mit dem Empfängerunternehmen beschäftigt haben (Branche, Produkte, usw.).  :(

 

PS: Natürlich kann keiner unserer Mitarbeiter ausführbare Dateien aus dem Internet laden. Ist auch nochmal ein zusätzlicher Schutz, da fast alle Trojaner versuchen den eigentlichen Schadcode/Schadprogramm nachzuladen.

[PowerShellAdmin 169]

Bzgl. SPF fällt mir Paypal ein :), das Thema Softfail ist am SPF Design auch nicht zu ignorieren.

Damit hebt man zwar die Echtheit der definierten Server an, schließt den Rest aber nicht aus.

Beispiel ist oder war zumindest Paypal, hier war halt nur ein ~ und nicht - ..., was leider diverse Anbieter machen um Probleme / schlechte Pflege zu umgehen

 

Ich würde:

Hardfail: Rejecten

Softfail: wenigstens Spamzuordnung/Junkmail

 

 

Bzgl.Office Thematik und Dateianhänge:

-Reject all oder wenigstens ausführbare und gefährliche (html, js, Ps,bat uvm.) Endungen, dazu eine Whitelist setzen: Docx & co sind nunmal keine so großen Monster wie die veralteten Vorgänger, Docm & co sollte man natürlich aussperren.

Wer eine Qurantäne nutzen möchte, muss auch die Einhaltung des Datenschutz prüfen ( wurden private Emails untersagt?).

Zusätzlich kommen die Anhänge ja mittlerweile auch indirekt über Links und Verweise - Hier muss man die Benutzer warnen.

 

Dazu sollte man auch die Backups überdenken, z.B. die Sicherung von Freigaben über Syncronisation mit Versionierung und einiges mehr.

 

Zum Thema -  einfaches Spoofing konnte man doch bereits mit Boardmitteln vom Exchange aussperren - Hier muss man schauen, dass externe Anwendungen natürlich die Exchange Organisation zum Mailversand nutzen.

 

http://www.packetland.net/microsoft/exchange-server/123-how-to-prevent-internal-spam-from-your-own-domain-on-exchange-2010.html

bearbeitet 4. November 2016 von PowerShellAdmin

[NorbertFe 1.804]

Ich hab softfail = hardfail aktiviert. Immer wieder lustig, die Diskussionen. ;)

[PowerShellAdmin 169]

Ich hab softfail = hardfail aktiviert. Immer wieder lustig, die Diskussionen. ;)

 

Die meisten Programme bieten hier ja nur eingeschränkte Konfiguration.

Ich meine im ORF war auch nur die Option, dass man das Ganze bereits bereits ab Softfail aktiviert. Eine richtige Differenzierung ging da aber auch nicht.

 

Eset Mail Security hat es erst diesen Sommer hinbekommen, eine SPF Verarbeitung zu integrieren ........

Hier kann man es aber lediglich aktivieren, der deutsche Support war mit meiner Frage ob das auf Soft- oder Hardfails reagiert überfordert (gehe nur vom letzteren aus).

 

Wird ORF eigentlich momentan weiter entwickelt? Die 5er wurde ja für 2013 released, ist aber supported für 2016.

Gibt auch bei dem kleinen feinen Tool potential führ Erweiterungen :) - ich will es ja eigentlich immer noch ....

 

So ich ruf jetzt mal wieder bei Eset an ... Seit 3 Wochen nen Call offen (Mailsecurity Hosts lizenzieren sich beim Lizenzserver ständig neu - mehrfach).

bearbeitet 4. November 2016 von PowerShellAdmin

[NorbertFe 1.804]

Die meisten Programme bieten hier ja nur eingeschränkte Konfiguration.

Ich meine im ORF war auch nur die Option, dass man das Ganze bereits bereits ab Softfail aktiviert. Eine richtige Differenzierung ging da aber auch nicht.

Ja ORF bietet das für Softfail. Was genau meinst du mit "richtiger" Differenzierung?

 

Eset Mail Security hat es erst diesen Sommer hinbekommen, eine SPF Verarbeitung zu integrieren ........

Hier kann man es aber lediglich aktivieren, der deutsche Support war mit meiner Frage ob das auf Soft- oder Hardfails reagiert überfordert (gehe nur vom letzteren aus).

Kannst du doch sehr schnell testen. ;)

 

 

Wird ORF eigentlich momentan weiter entwickelt? Die 5er wurde ja für 2013 released, ist aber supported für 2016.

Ja klar wird das weiterentwickelt. Die 5.4 ist übrigens grad erst knapp über 1 Jahr alt. Und klar, die haben keinen Rapid Release Zyklus. Lohnt sich auch nicht. Aber ich weiß, dass die noch an einigen interessanten Funktionen feilen.

 

Gibt auch bei dem kleinen feinen Tool potential führ Erweiterungen :)

Die Entwickler sind da eigentlich ganz Ohr, wenn man mit Feature Requests kommt. Falls es dir um was Konkretes geht, kannst du das über die Webseite einkippen, oder mir schicken. Kann auch gern nachfragen.

 

- ich will es ja eigentlich immer noch ....

Also auch, wenn die die Preise etwas erhöht haben, geht an denen sicher keine Firma pleite. Hindert also niemanden. ;)

 

 

So ich ruf jetzt mal wieder bei Eset an ... Seit 3 Wochen nen Call offen (Mailsecurity Hosts lizenzieren sich beim Lizenzserver ständig neu - mehrfach).

Viel Erfolg.

 

Bye

Norbert

[NorbertFe 1.804]

Ja klar wird das weiterentwickelt. Die 5.4 ist übrigens grad erst knapp über 1 Jahr alt. Und klar, die haben keinen Rapid Release Zyklus. Lohnt sich auch nicht. Aber ich weiß, dass die noch an einigen interessanten Funktionen feilen.

Kaum spricht man drüber ;)

https://vamsoft.com/beta/

 

Bye

Norbert

[NorbertFe 1.804]

Heute kam r02 der Beta. Falls hier jemand am Testen sein sollte.