Spam Mails Problem mit TrendMicro InterScanVirusWall

[Hanghuhn 10]

Hallo,

 

wir verwenden bei einem Kunden die „TrendMicro InterScanVirusWall“ als ALLinOne Lösung ( auf einem Win 2003 Server + Exchange ). Nach einer Laufzeit von ca. 3 Wochen sind die SPAM Mails kaum noch unter Kontrolle zu bekommen. Der SPAM Filter wurde bereits auf „High“ gestellt, aber leider lässt dieser noch zu viele Mails durch die eigentlich SPAM sind. Nun wurden schon von uns viele Domainen zur Blacklist von Hand hinzugefügt. Aber dies ist eine sehr mühselige Angelegenheit.

 

Weiß jemand von Euch ob von Trend Micro eine Blacklist bereit gestellt wird, mit bekannten Emailadressen / Domains die betroffen sind. Oder kennt jemand bestimmt Einstellungen auf den man besonders Achten sollte bei der „Inter Scan Virus Wall“.

 

Vielen Dank im Voraus

 

Hanghuhn

[MikeKellner 10]

Welche Version der ISVW in welcher Build setzt ihr ein?

Sind die Spam Pattern aktuell?

Welche Einstellungen sind bisher gesetzt worden (ausser des out of box filters)?

Wird jede Domain angenommen?

Was passiert mit unbekannten usern am Exchange?

Was fuer spam komt durch?

 

 

Zur all in one Loesung: gibts keinen DB scanner?

[Hanghuhn 10]

Welche Version der ISVW in welcher Build setzt ihr ein?

Product version: 5.0-1109

 

Sind die Spam Pattern aktuell?

3.841.00, last updated 10/12/2006 15:00:58

 

Welche Einstellungen sind bisher gesetzt worden (ausser des out of box filters)?

benötigtst Du jetzt jede einzelne Einstellung vom Mail (SMTP) Reiter ( Virus Scan, Anti Spam, Content Filter, Quarantine, Configuration ) ?

 

Wird jede Domain angenommen?

nein, es sind nur die registrieren Domainen für den Kunden

 

Was fuer spam komt durch?

viele Mails mit html Code, z.B. new PHAaznRMA, tideland, The best Replica!, Re: Hi

[MikeKellner 10]

Hallo Hanghuhn,

 

das Pattern 3.841.00 ist das AV Pattern.

 

Bei Spam ist momentan aktuell

 

Anti-spam rules (Full) 14748

Anti-spam rules (Delta) 14748.001

Anti-spam engine 3.6.1039

 

Interesant wären mal die Einstellungen vom Anti Spam und SMTP Konfiguration (Screenshot geht auch mikekellner@arcor.de)

Wie werden die Mails zugestellt; Popconnector oder SMTP?

Was passiert mit unbekannten Benutzern?

[MikeKellner 10]

Weiß jemand von Euch ob von Trend Micro eine Blacklist bereit gestellt wird, mit bekannten Emailadressen / Domains die betroffen sind.

 

Ja, nennt sich Network Reputation Service.

Lässt sich aber nicht in eine 5.0 SMB einbinden. Dafür müste eine IMSS oder die IMSA beschafft werden.

 

Warum kommt eigentlich kein Datenbankscanner auf dem Exchange zum Einsatz? Habt ihr die ISVW Standalone gekauft oder in einer Suite?

 

Du könntest noch Patch 4 - Build 1249 installieren.

[Hanghuhn 10]

Hallo Hanghuhn,

 

das Pattern 3.841.00 ist das AV Pattern.

 

Bei Spam ist momentan aktuell

 

Anti-spam rules (Full) 14748

Anti-spam rules (Delta) 14748.001

Anti-spam engine 3.6.1039

 

 

Unser SPAM Rules:

Anti-spam rules 14748 14748 10/12/2006 20:46:14

Anti-spam engine 3.6.1039 3.6.1039 10/12/2006 20:46:14

[MikeKellner 10]

Hallo Hanghuhn,

 

interessant währe mal die Anzahl der Postfächer und wieviel Mails insgesamt so täglich über die Maschiene laufen. Besonderes Augenmerk solltest Du dabei auf die gesamte Anzahlder Mails zu den erkannten Spammails legen. Ich denke, dass die Domains die a bedient werden einfach beschossen werden und Du da mit der ISVW 5.0 einfach falsch beraten bist. Wenn ich mit Deine Konf so ansehe, dann kann ich bis auf die vielen unnötigen Notify Einstellungen (z.B. outgoing: Virus Free) nichts aussergewöhnliches feststellen. Ich würde daher alle unnötigen Domains erstmal austragen (wer braucht schon meinefirma.co.jp wenn die emailadressen meinefirma.de lauten). Dann würde ich das Konstrukt umstellen. Du nimmst momentan alles mit der ISVW an und gibst es an den Exchange weiter. Ich würde alles an den Exchange übergeben und dort erstmal mit Exchange Boardmitteln reverse DNS und unbekannte Benutzer abweisen. Dann würde ch von dort alles an die ISVW leiten und dann wieder zum Exchange. Du wirst bei der Anzahl der Spams die ich da sehe nur glück haben, wenn Du schon im SMTP aufbau blockst.

[Hanghuhn 10]

Hallo Mike,

 

Vielen Dank für Deine Info. Es sind ca 50 Userpostfächer die aktiv sind. Ob alle eingetragen Domains noch benötigt werden muss ich nächste Woche erstmal mit dem Kunden abklären. Vielleicht kann ich doch welche löschen.

Wie kann ich den Gesamtmailverkehr Protokollieren der an der Exchange geschickt wird. Dazu bräuchte ich mal einen Denkanstoß….

[MikeKellner 10]

Hallo Hanghuhn,

 

ich würde dazu die Summary Status Page der ISVW verwenden. Du musst dabei aber beachten das dieser nicht nach Datum sondern nach ..since service Enabled" loggt. Halte dazu den Dienst einmal an und notiere Dir die Zeit. Dann würde ich mal ein Spam Logfile Abfrage auf den ganzen Zeitraum starten und das ganze als CSV exportieren. Dann kannst Du in Excel mal nach Empängern und Empänger Domänen sortieren/filtern. So könntest Du der betreffenden Domain etwas näher auf den Pelz rücken und auch sehen was mit für User besonders im Fokus der Spammer sind.

[MikeKellner 10]

... und, was ist daraus geworden?

[Hanghuhn 10]

... und, was ist daraus geworden?

 

Hi,

 

das SPAM Problem musste erstmal bissel zurück gestellt werden weil alles eskaliert ist. Seid ca einer Woche beklagt sich der Kunde darüber, dass Emails doppelt, dreifach bis zu 10-fach an die User zugestellt werden mit ein und dem selben Datum / Uhrzeit. Das ist ja nicht gerade im Sinnen des Kunden ,-)) Das lang wahrscheinlich daran, dass der Trend Micro ScanMail for Microsoft Exchange 7.0. abgelaufen war und auch die Übergangsfrist. Nun wurde das Update auf „Client Server Messaging Suite German Windows SMB 5.0“ kurzfristig vorgezogen. Morgen werden wir sehen ob es was gebracht hat. Ich hoff auch dass wir damit dann das SPAM Problem in den Griff bekommen.

 

Danke und Gruß

Hanghuhn

[User7070 10]

Hallo,

 

ich kann mir zwar nicht erklären, was eine abgelaufene Lizenz mit mehrfachen Mails zu tun haben soll - hier vielleicht ein anderer Ansatz:

 

Duplicate messages arrive in the ScanMail for Exchange (SMEX) 7.0 user’s mailbox

 

Wenn das Spam-Problem auch mit der Neuinstallation weiterhin besteht, würde ich mir mal Gedanken über ein Produkt direkt am Gateway machen, welches die Spam Mails dort beim Empfang prüft und ggf. ablehnt.

 

User7070