技術 - ClamAV安裝與使用說明－讓你的郵件主機也具有防毒能力

[飛鳥]

http://www.mailscanner.info/downloads.shtml

mailscanner又有新版本了，不知道要怎麼升級，有空k一下q&a

[Chin-Wei]

Sendamil+MailScanner+Camav+SpamAssassin 終於裝起來了XD
但是對於MailScanner的設定還不熟悉,先啃完man再來決定要怎麼佈署到server上

http://www.mailscanner.info/MailScanner.conf.index.html

http://www.fsl.com/support/MailScann...sion-1.0.5.pdf



==
與spam的戰爭,依然持續中 = =+

[飛鳥]

加油

spam只是評分，通常是被呼叫的

#spamassassin -t /tmp/123.txt

像用spamassassin -t指令就可呼叫spam作評分

會出現各評分條件分數

先做一個文字檔在/tmp/123.txt

1231231231231
tall me name

使用spamassassin

# spamassassin -t /tmp/123.txt
X-Spam-Checker-Version: SpamAssassin 3.1.0 (2005-09-13) on windmusic.com.tw
X-Spam-Level: ****
X-Spam-Status: No, score=4.4 required=5.0 tests=BAYES_50,MISSING_HB_SEP,
MISSING_SUBJECT,NO_RECEIVED,NO_RELAYS,TO_CC_NONE autolearn=no
version=3.1.0
1231231231231
tall me name
Spam detection software, running on the system "xxxxx.com.tw", has
identified this incoming email as possible spam. The original message
has been attached to this so you can view it (if it isn't spam) or label
similar future email. If you have any questions, see
y for details.

Content preview: [...]

Content analysis details: (4.4 points, 5.0 required)

pts rule name description
---- ---------------------- --------------------------------------------------
-0.0 NO_RELAYS Informational: message was not relayed via SMTP
2.5 MISSING_HB_SEP Missing blank line between message header and body
0.0 BAYES_50 BODY: Bayesian spam probability is 40 to 60%
[score: 0.5298]
1.8 MISSING_SUBJECT Missing Subject: header
-0.0 NO_RECEIVED Informational: message has no Received headers
0.1 TO_CC_NONE No To: or Cc: header

[Chin-Wei]

感謝阿鳥老大的指導 ^^a

自己啃man學雖然可以掌握到個大概，但大部份的man都寫的很不人性化，都是以作者(hacker)自己的角度來寫說明文件，很多東西都會假設這是你應該要知道的，當遇到不懂的東西就只好自己上google狂查資料 XD

以下這二篇是偶目前看到 "最簡易" 的安裝教學，有需要的版友可參考看看：

http://phorum.vbird.org/viewtopic.ph...sassin&start=0

http://cha.homeip.net/blog/archives/...il_mailsc.html


==

MailScanner 的 Manual 終於啃完了....



準備把它部署到測試機上test一下，沒問題再部署到正式的機子上



BUT，man 有幾個地方搞不太懂，可能要再試一下。就是那個：
Still Deliver Silent Viruse = no
Deliver Cleaned Messages = yes

結果偶測試寄病毒信還是會被discard掉(丟進/dev/null)
不管它，反正不重要XXXXXDDDDDDD

[Chin-Wei]

剛才檢查了一下之前佈署的 sendmail+clamd+clamav-milter+dnsbl+spamassassin
成效還不錯,才二天就discard 掉 5000 千多封spam,掃掉500多封病毒信。
真是無法想像以前是怎麼在沒有anti-spam機制下生存下來的XXXDDDDD

[飛鳥]

MailScanner有好幾個相關設定檔要注意的

不允許通過的附件的副檔名-設定檔(可禁止寄公司機密文章檔,ex:doc,pdf,xls....)
filename.rules.conf

不允許通過的附件的檔案類型-設定檔(可禁止寄影片檔)
filetype.rules.conf

不會被設成廣告信的寄件者名單-(像電子報的)
rules/spam.whitelist.rules
這是在MailScanner.conf裡設呼叫的檔案路徑

作者: MailScanner.conf

Is Definitely Not Spam = %rules-dir%/spam.whitelist.rules

那一樣可設一定是spam來源domain
spam.lists.conf

多設這幾個，對是不是廣告信，是不是危險檔案，更能一手掌握

[Chin-Wei]

阿鳥老大真是未卜先知啊

小老弟剛才在測試的時候，就出了類似的狀況。
偶從自己的server寄出去的信居然被打上 "{這可能是廣告信}" = =+
再測試寄病毒，果然也是被打上 "{這可能是病毒}"" XXXDDDDD
真是無言........

現在正在試看能不能讓 MailScanner 只過濾 Incoming Mail，不過濾Outgoing Mail
但好像不能，只能夠對各別的偵測項目寫白名單
but，項目很多耶
每個都要改白名單啊....XXXXXXXXDDDDDDDDDDD




==
man 好像說舊版的有類似選項可以用，新版的就取消了，只能改用白名單

[Chin-Wei]

已經佈署完畢,只剩下最後一點小問題: 貝氏演算法的 database 有辦法合併嗎?

不然每台 mail server 都要各別 train 過,很沒效率。不知有無方法可以將多台 mail server 的 bayes database 整合起來 ^^

hint:
NFS + bayes_path ????????

[Chin-Wei]

Re:Bayes question
http://article.gmane.org/gmane.mail.....general/60376

Now, that being said, lets say you did an analysis and found that the
two databases had no overlap, or at least very little (I have no idea
what very little would mean in this case). You could probably
convince yourself, and it's math and statistics so I'm horrible at it
but I'd beat some folks on this list could provide a formula, that the
amount of overlap is statistically insignificant. If you could do
that then you could combine the databases, in which case I leave it as
an exercise to the reader.

找到這一篇，作者說最好不要這樣搞.... XXXXDDDD

只好乖乖地 train 每台機器 = =+

[飛鳥]

我小公司，一台sendmail就夠用

如果是多台，我會寫shell scripts

用scp指令，每更新一次，就執行一次這個shell scripts，做list檔的同步，這樣就方便多了

(ps:唉~忙公司的電話系統中……)

[Chin-Wei]

作者: 飛鳥

我小公司，一台sendmail就夠用
如果是多台，我會寫shell scripts
用scp指令，每更新一次，就執行一次這個shell scripts，做list檔的同步，這樣就方便多了
(ps:唉~忙公司的電話系統中……)

雖然小老弟手上有三台 mail server 要處理，但其實真正重要的也是只有其中一台
另外二台使用率低，不特定去train應該也沒關係
總之，決定 bayes_auto_learn 給它 ON
(讓它自動學習 )


阿鳥老大怎麼會在忙電話系統呢？難道是 Service Center




==
原先的目標：
Sendamil+MailScanner+Camav+SpamAssassin+DNSBL+gray-list

就剩下一個 gray-list，把這個搞定，小老弟的Anti-Spam戰線就算是完全建立完成了。估計是要從sendmail 的milter 著手，比較麻煩的是在MailScanner把sendmail分成二個Process，不知道針對不同的process是否要套用不同的設定檔?(一個加掛milter、一個不要，不然MailScanner發出去的信可能也會被曙光三百秒......)

[Chin-Wei]

安裝 MailScanner-MRTG 中，但是有些圖形跑不出來 and BOSS 說要偶用一台機器監控全部的server..... XXXXDDDDDD

看了一下 MailScanner-MRTG 的設定檔，有點小複雜；要用一台監控全部似乎不容易，要研究一下。因為小老弟對 SNMP protocol "完全不熟"，所以之前是用 Bash + Apache + ACL，自己想辦法work around，硬是用一台機器監控所有的server，包含cpu,ram,load,http線上人數，apache負載，流量等 = =+

看了看 MailScanner-MRTG 的設定檔，似乎是採用 SNMP 協定取得相關資料，難到接下來要開始啃 SNMP 的 Manual ？





==
與spam的奮戰，似乎還不到落幕的時候 = =+

[飛鳥]

那個mailscanner-mrtg有好幾個圖都會預設跑不出東西來，我cpu那個圖是用手動寫一部份出來的，所以要改一些東西，有空我再打出來要改和新增那一些部份吧

最近學校要期未了，要準備期未考……

[Chin-Wei]

阿鳥老大 ^^
偶找到解決方法囉~

在 MailScanner.conf 中，要把 Log 功能開啟：
Log Speed = no
Log Spam = no
Log Silent Viruses = no

－－－－－－－－－－－－－－－－－－－－－－－－－

在 /etc/snmp/snmp.conf 中，要修改下列幾行(改成跟下面一樣)
com2sec local localhost public
com2sec mynetwork 192.168.0.0/24 public
group MyRWGroup v1 local
group MyROGroup v1 mynetwork
group MyRWGroup v2c local
view systemview included .1.3.6.1.2.1.1
view systemview included .1.3.6.1.2.1.25.1.1
view all included .1 80
access MyROGroup "" any noauth prefix all none none
access MyRWGroup "" any noauth prefix all all all
syslocation Unknown (edit /etc/snmp/snmpd.conf)
syscontact Root (configure /etc/snmp/snmp.local.conf)
pass .1.3.6.1.4.1.4413.4.1 /usr/bin/ucd5820stat
view systemview included .1.3.6.1.2.1.2
#mem use
view systemview included .1.3.6.1.4.1.2021.4
#cpu use
view systemview included .1.3.6.1.4.1.2021


==
這樣子圖就可以出來了
接下來要處理單一主機監控的問題

(學校！？　阿鳥老大還有在上學 )

[Chin-Wei]

本來想用 tarball 安裝 mailscanner,但是沒想到居然有這麼多的相依套件 =.=
(等偶一個一個裝完可能都民國100年了 )

POSIX (ships with perl 5)
Sys::Syslog (ships with perl 5)
Net-CIDR (I used version 0.08)
IO-stringy (I used version 2.108)
MIME-Base64 (I used version 2.12)
MailTools (I used version 1.50)
File-Spec (I used version 0.82)
HTML-Tagset (I used version 3.03)
HTML-Parser (I used version 3.26)
MIME-tools with an important security patch,
and a 2nd important security patch,
and a 3rd important security patch,
and a 4th important security patch
(version 5.411, I used version 5.411 and I advise against any of the newer versions)
Note: To make life easier for you, here is a copy already patched.
File-Temp (at least version 0.12)
Convert-TNEF (at least version 0.17)
Net-CIDR
Compress-Zlib
Archive-Zip
Convert-BinHex

好家在作者有提供速成安裝法: install.sh
根本就是windows 的setup了嘛 XXXXDDDDDDDD
很好用,不過有點小問題,不知道它抓不抓得到偶用 tarball 裝的 clamav =.=
試試看.....不然的話,就要去抓 src.rpm 回來 compile =<>=




==
實在是很不想重裝 clamav,milter都設好了說
反正 procmail + spamassassin + clamd + clamav-milter + sendmail + dnsbl 好像也不錯，就此打住？

考慮一下XD