tcpdump: как отслеживать злоупотребление трафиком SMTP из локальной сети?

Question

Я - администратор малого предприятия.

Наша компания имеет довольно свободные правила безопасности, несмотря на мои многочисленные рекомендации ... :-) Я не могу контролировать, что установлено на клиентских компьютерах.

Я хотел бы настроить монитор как минимум - предупредил (например, по электронной почте), что спам-письмо происходит из нашего домена ... (проблема уже произошла в прошлом ... :-()

Я в настоящее время приходят на эту команду:.

tcpdump -v -s 1500 -i eth0 port 25 2> /dev/null | grep --line-buffered 'smtp: S' | perl -MPOSIX -pe 'print strftime "%F %T", localtime; print " "; s/(.*?\)) (.*?)\.\d+ \>(.*)/$2/;' 

который просто печатает каждое соединение с портом 25 (метку времени и имя клиента)

есть ли надежная проверка я могу выполнять на этом выходе идентифицировать злоупотребление SMTP?

Или есть ли более эффективные подходы к решению этой проблемы?

Answer 1

Мы просто блокируем SMTP на брандмауэре, за исключением известных почтовых серверов. Затем все электронные письма, покидающие сеть, должны проходить через почтовый сервер и быть аутентифицированы каким-либо пользователем. Если локальный сервер не размещен локально, вы можете просто заблокировать SMTP для всего и сделать это. На почтовом сервере вы можете более легко судить о том, кто отправляет спам, если вы получаете отчет в этом отношении, используя заголовки, которые они предоставляют.