土曜日, 11月 24, 2007

偽陽性判定の見つけ方の説明を修正

 拒絶ログソーティングスクリプトのページの「活用法」の節で、「連続して表示されたアクセスが次のすべての条件を満たすならば、クライアントはおそらく、ホワイトリストに登録すべき正当なメールサーバです」と説明しているが、その条件の説明を修正した。

●再試行間隔が1分以上、4時間以下である。(ただし、一人の送信者が一人の受信者に複数のメッセージを送信したならば、見かけ上の再試行間隔が短くなることがあります。)
●送信者アドレスのドメイン名が実在する。
●受信者アドレスが正しい。

これに

●再試行が30分以上続いている。

という条件を加えた。今までの経験から、スパムアクセスが25分以上リトライすることはまれであることがわかっており、また、正当なメールアクセスが30分未満で止まったのを見つけたことはないからである。
 一方、

●HELOアドレスがFQDNであり、それの順引きがクライアントIPアドレスに一致する。(ただし、正当だけれどもHELOアドレスの設定が不備なメールサーバがあるかもしれません。)
●クライアントにSMTPアクセスすると、PostfixやsendmailなどのMTA(Mail Transfer Agent)が応答する。(ただし、この条件を満たさない正当なメール送信サーバがあります。)

という記述は削除した。私自身、ホワイトリスト登録の際にHELOアドレスの順引き検査とSMTPアクセスの試験はしていないからである。HELOアドレスは、受信側のドメインまたはIPアドレスを名乗るという違法なものでない限り、不備なものだからといって送信元が不正だとは断定できない。また、送信元がSMTPアクセスに応答しないからといって、送信専用サーバからと思われるアクセスを受け入れないわけにはいかない。
 リトライが1分以上の間隔で30分以上続いていたら、送信元はボットでなくメールサーバだと思ってほぼ間違いない。もっとも、受信するメールがメールサーバを経由したスパムであることはあるけれども。

0 件のコメント: