セキュリティの最近のブログ記事

以前書いたように、SpamAssassinをProcmail経由で処理させているときの話。
SpamAssassinを複数プロセス立ち上げても、どうも並列処理はされないし速度も速くならなくて、メーリングリストなどで大量のメールが送られてくると、ProcmailでSpamAssassinを立ち上げるところでボトルネックになってしまいます。

実はPostfixは、デフォルトではメールボックスの処理を同時に1通しか処理しないようになっています。
確かに、並列処理してしまうと、時系列順にメールボックスに入らなくなったりする可能性がありますので、このようになっているのだと思います。
それにあわせて「mailbox_command」にProcmailを指定して処理させているときも、1通ずつしかメールを処理してくれません。
そうするとおのずと、SpamAssassinも1通づつしかメールを処理しません。

今日夕方頃から急にメールサーバーがメールを弾くようになってしまいました。
原因はどうも、PostfixでRBLサーバーに指定している「dynablock.wirehub.net」のようでした。
ただ調べてみると、どうもこの「dynablock.wirehub.net」はすでに活動を終了しているようなのです。

さらに調べるとこのような記事が。
「ORDB.org の DNSBL による広域メールブロックについて」
別なRBLサーバーでのことなのですが、これと同じ症状が今回起こった可能性がありますね。
「dynablock.wirehub.net」は削除しておいた方が良いかもしれません。

FreeBSDには標準でnewsyslogというログローテーションツールが入っています。ただ、このnewsyslogは、バックアップしたログファイルに日付を入れることができません。
たとえばWebサーバーのログなどでは、日付繰上げでログを保存するようになっていると、ログ解析のときにファイルの管理が面倒になることがあります。
そこで、Linux標準のlogrotateをFreeBSDでも使ってみたいと思います。

トラックバックスパムやお行儀の悪いサーチエンジンを、Apacheのレベルでアクセス制限をかけることができますので、その手法をご紹介します。

SpamAssassinというspamメールフィルターソフトがあります。このソフトはとても強力で、設定しだいで95%以上の確率で正しくメールを振り分けることができる優れものです。
今回はこのSpamAssassinをFreeBSDサーバーに導入してみます。
実は私もだいぶ昔、SpamAssassinが有名になる前に、自己学習式のspamメールフィルターを作っていたのですが、なかなか処理が面倒だなぁ、と思っていたものです。

amavisd-new(A Mail Virus Scanner)というメールフィルターがあります。このソフトは、SMTPで取り扱うメールをspamチェッカーやウィルスチェッカーに送ってチェックするためのフィルターです。
このソフトとClam AntiVirusを組み合わせて、ウィルスメールフィルターを設定したいと思います。

MTAはpostfixを使用している前提で書いています。
ちなみに、spamフィルターまで入れてしまうと、自分がお客さんなどに送信するメールまでspam扱いされる可能性もありますので、amavisd-newではspamメールフィルターは使わないようにします。

「Clam AntiVirus(略してclamav)」は、オープンソースで開発されているウィルスチェッカーです。
機能も、またウィルスパターンも商用のものより少ないとはいえ日々更新されており、基本的な機能としては必要十分です。
また、メールのウィルスチェックにも利用されることから、UNIX環境では良く使われているようです。

テスト用や、自分で使うサーバーでは、アラートが出ても自己証明書でかまわないというケースが多いと思いますが、いろいろな作り方があってややこしいので、OpenSSLを使って最も簡単にできるやり方をまとめてみました。

前回「POP over SSL」をFreeBSDサーバーにセットアップする方法を解説しましたが、今度はSMTPの方です。
あわせてSMTP Authも導入することで、外部から特定の人だけメールを送信をすることができるようになり、利便性の向上と悪用を避けることが同時にできます。

POPとSMTPの両方が暗号化されれば、メールの内容やID・パスワード情報の漏洩を防ぎ、安全にメールのやり取りができるようになります。
(ただし、外部サーバーに送られるメールは平文のままです。暗号化されるのはクライアント＝サーバー間だけです)

一般的に、メールで使われているPOPやSMTPは、平文がそのままネットワークに流れます。
ログイン時のIDやパスワードまで平文で流れるので、パケットモニタリングすると覗き見されてしまいます。

Web(HTTP)についてはSSLを使って暗号化通信を実現していますが、SSLはPOPやSMTPにも利用可能です。
このSSLを使ったメールの暗号化通信は、実はThunderbird等のメーラーでも対応しているため、サーバー側が対応すればすぐ利用可能、と言うことも多いと思います。

ここでは、POPをSSL越しに利用する「POP over SSL」をFreeBSDサーバーにセットアップする方法を解説します。