我受到了僵尸网络的攻击,我发现了这一点,因为我从 mailer-daemon 收到了这封电子邮件,告诉我设备上没有剩余空间。mail.log 充满了类似的消息
Dec 5 01:56:14 ip-xxx-xxx-xxx postfix/smtpd[9634]: NOQUEUE: reject: RCPT from xxx-xxx-xxx-xxx.dynamic.hinet.net[xxx.xxx.xxx.xxx]: 554 5.7.1 <[email protected]>: Relay access denied; from=<[email protected]> to=<[email protected]> proto=SMTP helo=<xxx.xxx.xxx.xxx>
我写了一个僵尸网络杀手脚本。该脚本使用 iptables 禁止具有太多 IP 地址的网络范围试图通过我的服务器发送消息,从而在日志文件中生成上述消息。
我确信这会扼杀合法的流量。我决定我需要这个流量如下:
S0 - standard traffic - <1 mail per minute
S1 - increased traffic - 1+ mail per minute
S2 - suspicious traffic - 10+ mails per minute
S3 - potentially unwanted traffic - 1+ mails per second
S4 - attack - 5+ mails per second
...处理如下:
S0: No action
S1: Log
S2: Log&MailReport (to postmaster@localhost)
S3: Log&MailReport&AutoBounce (solve capcha at http://myhost.tld/anti-spam )
S4: Log&MailReport&AutoBounce (you were temporarily blocked by the mailserver)
S5: Log&MailReport&AutoBounce&AutoAbuseReport (User [email protected] is abusing our server)
有没有办法使用后缀来完成这个?如果没有 - 有没有更好的邮件服务器呢?
谢谢
编辑:我已经完全重写了这个问题,因为人们感到困惑并认为这是一个开放的中继