soul^keeper

Administrateur

Niveau : 5
N° de Membre : 1

Ancienneté : 100% Participation : 19% Inscription: 22 Feb 2002
Localisation: Paris
Age: 48
Messages: 16611
Sujets Lancés : 2412

tu parles des campagnes de spam (des vrais massmailings)

mais pour tout ce qui est virus/worms sur les stations de travail, la technique de l'utilisation du carnet d'adresse pour constituer des bases de FROM et TO aléatoires a encore de beaux jours devant elle ... et pour ça le SPF marche nickel puisque ce sont pas les champs SPF des spammeurs, mais les tiens (enfin le mien en l'occurence) qui sont intérrogés

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 92 Jours, 18 Heures, 34 Minutes, 34 Secondes en ligne

Schoubi

Guru

Niveau : 5
N° de Membre : 566

Ancienneté : 100% Participation : 15% Inscription: 10 Mar 2002
Localisation:
Age: 47
Messages: 12627
Sujets Lancés : 1428

Sauf si le carnet d'adresses vérolé est dans ton domaine, là c'est l'arroseur arrosé

__________________

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 48 Jours, 18 Heures, 48 Minutes, 8 Secondes en ligne

soul^keeper

Administrateur

Niveau : 5
N° de Membre : 1

Ancienneté : 100% Participation : 19% Inscription: 22 Feb 2002
Localisation: Paris
Age: 48
Messages: 16611
Sujets Lancés : 2412

non parce que si t'es un administrateur qui se respecte, ton firewall empêche tes stations de travail d'émettre directement du mail vers internet donc tes MX ne sont pas joignables de tes stations, seulement de ton serveur SMTP, or celui là, il log, donc au pire, sur le ver attaque ton SMTP officiel, t'as vite fait d'identifier toute activité suspecte.

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 92 Jours, 18 Heures, 34 Minutes, 34 Secondes en ligne

Schoubi

Guru

Niveau : 5
N° de Membre : 566

Ancienneté : 100% Participation : 15% Inscription: 10 Mar 2002
Localisation:
Age: 47
Messages: 12627
Sujets Lancés : 1428

Oui, mais tu n'empêcheras pas des milliers de mails/spam de partir de ton smtp avec le champ SPF correct...D'où la relative inutilité de ce truc...Bon je crois qu'on a bien détourné le topic là

__________________

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 48 Jours, 18 Heures, 48 Minutes, 8 Secondes en ligne

soul^keeper

Administrateur

Niveau : 5
N° de Membre : 1

Ancienneté : 100% Participation : 19% Inscription: 22 Feb 2002
Localisation: Paris
Age: 48
Messages: 16611
Sujets Lancés : 2412

T'es quand même supposé avoir des antivirus sur tes stations et surveiller ton parc. Comment peux tu imaginer laisser des vagues de spam passer A TRAVERS ton smtp officiel sans t'en rendre compte ? (rien que l'antivirus devrait déjà t'empêcher d'avoir des worms sur tes stations)
T'es supposé regarder tes logs, faire des stats dessus... savoir quelles IP balancent des mails et en quelle quantité ... si une station balance 1000 mails, je la grille direct la journée même... (et là je te parle pas de stations de travail, je te parle des SMTP de l'opérateur pour lequel je bosse... donc ce sont des milliers de clients professionnels qui passent dessus... c'est encore pire)

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 92 Jours, 18 Heures, 34 Minutes, 34 Secondes en ligne

Schoubi

Guru

Niveau : 5
N° de Membre : 566

Ancienneté : 100% Participation : 15% Inscription: 10 Mar 2002
Localisation:
Age: 47
Messages: 12627
Sujets Lancés : 1428

Certes, mais tu ne peux pas empêcher le gars qui arrive en invité avec son beau portable tout vérolé qui se branche sur le wifi et bing. Pile poil dans ton quart d'heure de pose, c'est balot
Et le temps de réaction en surveillant les logs, à moins de rester les yeux plantés dessus à longueur de temps, je dirais que c'est de l'ordre du quart d'heure....Et j'ai déjà vu un ordi vérolé envoyer 500mails/minute ....

__________________

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 48 Jours, 18 Heures, 48 Minutes, 8 Secondes en ligne

soul^keeper

Administrateur

Niveau : 5
N° de Membre : 1

Ancienneté : 100% Participation : 19% Inscription: 22 Feb 2002
Localisation: Paris
Age: 48
Messages: 16611
Sujets Lancés : 2412

Normalement ton cas ne peut pas arriver

Car dans un réseau bien conçu, un gars qui se branche "à la sauvage" sur ton réseau au mieux atterit dans un LAN de transition (avec droits hyper limités), au pire n'obtient même pas d'adresse IP... dans tous les cas, des produits existent pour alerter immédiatement l'administrateur du branchement d'une machine "pirate" sur le réseau.

A chaque faille une solution, mais je te l'accorde, on commence à arriver à des infra assez complexes là ... Mais je peux encore continuer longtemps, la sécurité ça me botte bien ;-)

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 92 Jours, 18 Heures, 34 Minutes, 34 Secondes en ligne

capitaine-lamar

Expert

Niveau : 3
N° de Membre : 4329

Ancienneté : 98% Participation : 3% Inscription: 09 Sep 2002
Localisation:
Messages: 2452
Sujets Lancés : 78

puisque la sécurité ça te botte. Y a-t- il moyen que le nom du serveur n'apparaisse pas dans l'entête des messages ?
on voit le nom local du serveur du style : serveur.domaine.local
Il me semblait que l'on pouvait faire en sorte de ne faire apparaitre que le nom associé à l'ip publique comme mail.domaine1.fr

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 29 Jours, 21 Heures, 27 Minutes, 23 Secondes en ligne

soul^keeper

Administrateur

Niveau : 5
N° de Membre : 1

Ancienneté : 100% Participation : 19% Inscription: 22 Feb 2002
Localisation: Paris
Age: 48
Messages: 16611
Sujets Lancés : 2412

ben ça c'est le reverse DNS *LOCAL* de ton serveur qui fait ça... à toi de faire en sorte que ça résolve par le FQDN public... donc check tes DNS...

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 92 Jours, 18 Heures, 34 Minutes, 34 Secondes en ligne

capitaine-lamar

Expert

Niveau : 3
N° de Membre : 4329

Ancienneté : 98% Participation : 3% Inscription: 09 Sep 2002
Localisation:
Messages: 2452
Sujets Lancés : 78

merci de ta réponse.
Après avoir fait une autoformation rapide sur le pix 501 (ça y est, j'ai enfin ma connexion avec ip fixe) je vais en faire une sur les dns.
La journée de demain va être chargée.

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 29 Jours, 21 Heures, 27 Minutes, 23 Secondes en ligne

soul^keeper

Administrateur

Niveau : 5
N° de Membre : 1

Ancienneté : 100% Participation : 19% Inscription: 22 Feb 2002
Localisation: Paris
Age: 48
Messages: 16611
Sujets Lancés : 2412

oublie pas de virer le FIXUP SMTP sur le PIX ... sinon gros problèmes pour dialoguer avec d'autres SMTP (selon leur stratégie de sécurité)

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 92 Jours, 18 Heures, 34 Minutes, 34 Secondes en ligne

capitaine-lamar

Expert

Niveau : 3
N° de Membre : 4329

Ancienneté : 98% Participation : 3% Inscription: 09 Sep 2002
Localisation:
Messages: 2452
Sujets Lancés : 78

ça sert à quoi exactement le fixup ?
Il est déclaré dans la config par défaut, je n'y ai pas touché.

J'ai ouvert et redirigé le port 25 et ça semble fonctionner.

edit: j'ai trouvé ça
et effectivement je ne peux pas ouvrir une session telnet sur le port 25.

Edité par capitaine-lamar le 27-07-2007 à 07:57

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 29 Jours, 21 Heures, 27 Minutes, 23 Secondes en ligne

soul^keeper

Administrateur

Niveau : 5
N° de Membre : 1

Ancienneté : 100% Participation : 19% Inscription: 22 Feb 2002
Localisation: Paris
Age: 48
Messages: 16611
Sujets Lancés : 2412

le fixup c'est tout simplement un inspecteur de protocole... ça permet de s'assurer que ce sera bien CE protocole et aucun autre qui transitera sur le port 25 (donc à la base, ça permet de sécuriser un peu plus)

Sauf que pour le SMTP, le fixup du PIX pose plus de problème qu'il n'en résout : c'est vrai qu'il surveille les commandes SMTP en live, mais ça a plein d'effet de bord : d'une part ça merdouille dans certains cas (sessions SMTP bloquées à tort par le pix), un autre problème est que la bannière SMTP est maquillée, et ça, certains serveurs SMTP n'aiment pas du tout (je pense à AOL notamment.. encore et toujours) : la RFC 2821 stipule que le serveur doit accueillir avec un format standard "220-smtp.mondomaine.com" ... or avec le PIX on obtient un truc du genre "220*******************************************************0*2******0***********************" comme t'as vu dans ta KB microsoft ... et du coup des serveurs partent du principe que c'est une connexion fantaisiste ou usurpée et paf t'es bloqué....
Effectivement j'avais aussi oublié les pb d'incompatibilité PIX/Exchange (enfin avec du microsoft...)..
Bref pour toutes ces raisons, je ne saurai que trop te conseiller de désactiver le fixup (pour le SMTP uniquement hein).

Signaler ce message à un modérateur | IP: Logguée
Temps en ligne : 92 Jours, 18 Heures, 34 Minutes, 34 Secondes en ligne