Rspamd kurz und gut: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
 
(8 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
−
= Schulung: Mailserver-Erweiterung (Postfix, Rspamd, Dovecot & Sieve) =
+
= Rspamd + ClamAV Integration (Postfix) =
  
−
== Zielsetzung ==
+
== Ziel ==
−
* Aufbau eines transparenten Mailflows
+
* Integration eines Spam- und Virenfilters in eine bestehende Mailserver-Umgebung.
−
* Spam-Erkennung mit Rspamd
+
* Am Ende können Spam (GTUBE), Viren (EICAR) und SPF-Bewertungen demonstriert werden.
−
* Zustellung via Dovecot LMTP
 
−
* Automatische Sortierung in Junk via Sieve
 
  
−
== Architektur ==
+
== Schritt 1: Aufräumen (Tabula Rasa) ==
−
* Postfix nimmt Mail an
+
* Alte Rspamd- und ClamAV-Komponenten werden entfernt, um Konflikte zu vermeiden.
−
* Übergabe an Rspamd (Milter)
+
* Dadurch wird sichergestellt, dass keine alten Konfigurationen das Verhalten beeinflussen.
−
* Rspamd bewertet Spam-Score und setzt Header
 
−
* Postfix übergibt an Dovecot (LMTP)
 
−
* Dovecot führt Sieve-Regeln aus
 
−
* Spam wird in Junk einsortiert
 
  
−
== Schritt: Paketinstallation ==
+
systemctl stop rspamd clamav-daemon 2>/dev/null || true
−
* In diesem Schritt werden alle notwendigen Komponenten für Spamfilter, Cache und serverseitige Filterregeln installiert.
+
service rspamd stop 2>/dev/null || true
−
* Redis dient als schneller Speicher für Rspamd, während Dovecot-Sieve die spätere Mailverarbeitung ermöglicht.
+
service clamav-daemon stop 2>/dev/null || true
−
  apt update
+
apt -y purge rspamd clamav clamav-daemon || true
−
  apt install -y rspamd redis-server dovecot-sieve dovecot-managesieved
+
apt -y autoremove
 +
apt -y autoclean
 +
rm -rf /etc/rspamd
 +
rm -rf /var/lib/rspamd
 +
rm -rf /var/log/rspamd
  
−
== Schritt: Rspamd Vorbereitung (Passwort & UI) ==
+
== Schritt 2: Installation ==
−
* Für die Administration wird das Webinterface von Rspamd aktiviert und mit einem Passwort geschützt.
+
* Die benötigten Pakete für Spam- und Virenfilter werden installiert.
−
* Der erzeugte Hash wird in die Konfiguration übernommen und ermöglicht später den Zugriff über den Browser.
+
* Rspamd übernimmt die Analyse, ClamAV die Virenerkennung.
−
  rspamadm pw -p xinux123
 
  
−
Datei: /etc/rspamd/local.d/worker-controller.inc
+
apt update
−
<pre>
+
apt -y install rspamd clamav clamav-daemon
−
password = "$6$HASH_EINFUEGEN";
+
 
−
bind_socket = "0.0.0.0:11334";
+
== Schritt 3: Virensignaturen aktualisieren ==
−
</pre>
+
* ClamAV benötigt aktuelle Signaturen, um zuverlässig Viren zu erkennen.
 +
* Der Befehl lädt die neuesten Definitionen herunter.
 +
 
 +
freshclam || true
 +
 
 +
== Schritt 4: Grundkonfiguration ==
 +
* Das Verzeichnis für lokale Rspamd-Konfigurationen wird angelegt.
 +
* Hier werden alle eigenen Anpassungen gespeichert.
 +
 
 +
mkdir -p /etc/rspamd/local.d
 +
 
 +
== Schritt 5: ClamAV Integration ==
 +
* Rspamd wird so konfiguriert, dass eingehende Mails an ClamAV übergeben werden.
 +
* Wird ein Virus erkannt, wird die Mail sofort abgelehnt.
 +
 
 +
cat <<EOF > /etc/rspamd/local.d/antivirus.conf
 +
<pre>
 +
clamav {
 +
  action = "reject";
 +
  symbol = "CLAM_VIRUS";
 +
  type = "clamav";
 +
  servers = "127.0.0.1:3310";
 +
}
 +
</pre>
 +
EOF
 +
 
 +
== Schritt 6: Aktionen ==
 +
* Die Schwellwerte bestimmen, ab wann eine Mail abgelehnt oder markiert wird.
 +
* Für Schulungen sind die Werte bewusst niedrig gewählt.
 +
 
 +
cat <<EOF > /etc/rspamd/local.d/actions.conf
 +
<pre>
 +
reject = 5;
 +
add_header = 3;
 +
greylist = 4;
 +
</pre>
 +
EOF
 +
 
 +
== Schritt 7: Webinterface ==
 +
* Das Webinterface ermöglicht die Analyse der Mailbewertung.
 +
* Ein festes Passwort erlaubt den Zugriff.
 +
 
 +
cat <<'EOF' > /etc/rspamd/local.d/worker-controller.inc
 +
<pre>
 +
password = "$2$kKqzF3cH9x7L9u1w0ZJ8R.Hp9m2l8pG6yVv8eR6m3yY1p2Q3w4e5G";
 +
enable_password = "$2$kKqzF3cH9x7L9u1w0ZJ8R.Hp9m2l8pG6yVv8eR6m3yY1p2Q3w4e5G";
 +
bind_socket = "0.0.0.0:11334";
 +
</pre>
 +
EOF
 +
 
 +
== Schritt 8: Postfix anbinden ==
 +
* Postfix wird so konfiguriert, dass jede Mail durch Rspamd geprüft wird.
 +
* Dies erfolgt über das Milter-Interface.
 +
 
 +
postconf -e "milter_protocol = 6"
 +
postconf -e "milter_default_action = accept"
 +
postconf -e "smtpd_milters = inet:127.0.0.1:11332"
 +
postconf -e "non_smtpd_milters = inet:127.0.0.1:11332"
 +
 
 +
== Schritt 9: Dienste starten ==
 +
* Die Dienste werden gestartet oder neu geladen.
 +
* Fallbacks sorgen dafür, dass das Script auch ohne systemd funktioniert.
 +
 
 +
systemctl restart clamav-daemon 2>/dev/null || clamd &
 +
systemctl restart rspamd 2>/dev/null || rspamd -d
 +
systemctl restart postfix 2>/dev/null || service postfix restart
 +
 
 +
== Ergebnis ==
 +
* Rspamd filtert Spam und bewertet Mails anhand verschiedener Kriterien.
 +
* ClamAV blockiert schädliche Anhänge zuverlässig.
 +
 
 +
== Webinterface ==
 +
* Zugriff über den Browser zur Analyse der Mails.
 +
 
 +
http://SERVER-IP:11334
 +
 
 +
* Passwort: xinux123
 +
 
 +
 
 +
 
 +
= Rspamd / ClamAV Tests =
 +
 
 +
== Ziel ==
 +
* Überprüfung der Mail-Filterung
 +
* Nachweis von Spam-Erkennung (GTUBE)
 +
* Nachweis von Virus-Erkennung (ClamAV / EICAR)
 +
* Sichtbarkeit von SPF-Bewertung
 +
 
 +
== Vorbereitung ==
 +
* Zielbenutzer: thomas@it213.int
 +
* Mailserver lokal erreichbar (127.0.0.1)
 +
* swaks installiert
 +
 
 +
== Test Spam (GTUBE) ==
 +
===Test===
 +
* Der GTUBE-String ist ein standardisierter Test für Spamfilter und wird immer erkannt
 +
* Die Mail muss durch Rspamd blockiert oder als Spam markiert werden
 +
 
 +
swaks --to thomas@it213.int --server 127.0.0.1 --data "Subject: spam test XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X"
  
−
Datei: /etc/rspamd/local.d/redis.conf
+
=== Prüfung ===
−
<pre>
+
* Live-Logs beobachten um zu sehen ob Rspamd eingreift
−
servers = "127.0.0.1";
 
−
</pre>
 
  
−
Datei: /etc/rspamd/local.d/milter_headers.conf
+
journalctl -f -u rspamd -u postfix -u clamav-daemon
−
<pre>
 
−
extended_spam_headers = true;
 
−
use = ["x-spam-status", "x-spam-score", "x-spam"];
 
−
</pre>
 
  
−
Datei: /etc/rspamd/local.d/classifier-bayes.conf
+
=== Erwartung ===
−
<pre>
+
* Rspamd erkennt den GTUBE-String
−
backend = "redis";
+
* Postfix lehnt die Mail über den Milter ab
−
servers = "127.0.0.1";
+
* Die Mail wird nicht zugestellt
−
</pre>
+
* In den Logs erscheint:
  
−
== Schritt: Postfix - Milter und LMTP ==
+
milter-reject: END-OF-MESSAGE
−
* Postfix wird so konfiguriert, dass jede eingehende Mail zur Bewertung an Rspamd weitergereicht wird.
+
Gtube pattern
−
* Nach der Analyse erfolgt die Zustellung nicht lokal, sondern über das LMTP-Protokoll an Dovecot.
 
−
Datei: /etc/postfix/main.cf
 
−
<pre>
 
−
smtpd_milters = inet:localhost:11332
 
−
non_smtpd_milters = $smtpd_milters
 
−
milter_protocol = 6
 
−
milter_default_action = accept
 
  
−
virtual_transport = lmtp:unix:private/dovecot-lmtp
+
=== Ergebnis ===
−
</pre>
+
* Mail wird abgelehnt
 +
* Beispiel Log:
  
−
== Schritt: Dovecot - LMTP Socket ==
 
−
* Dovecot stellt einen lokalen Socket bereit, über den Postfix die Mails zustellen kann.
 
−
* Die Berechtigungen werden so gesetzt, dass Postfix Zugriff erhält, ohne die Sicherheit zu gefährden.
 
−
Datei: /etc/dovecot/conf.d/10-master.conf
 
 
<pre>
 
<pre>
−
service lmtp {
+
Mar 20 14:14:06 mail.it213.int postfix/cleanup[30205]: 04BC8C0995: milter-reject: END-OF-MESSAGE from localhost[127.0.0.1]: 5.7.1 Gtube pattern; from=<root@mail.it213.int> to=<thomas@it213.int> proto=ESMTP helo=<mail.it213.int>
−
  unix_listener /var/spool/postfix/private/dovecot-lmtp {
+
Mar 20 14:14:06 mail.it213.int postfix/cleanup[30205]: 04BC8C0995: removed (canceled)
−
    mode = 0600
+
Mar 20 14:18:59 mail.it213.int postfix/cleanup[30218]: CDDD8C0995: milter-reject: END-OF-MESSAGE from localhost[127.0.0.1]: 5.7.1 Gtube pattern; from=<root@mail.it213.int> to=<thomas@it213.int> proto=ESMTP helo=<mail.it213.int>
−
    user = postfix
+
Mar 20 14:18:59 mail.it213.int postfix/cleanup[30218]: CDDD8C0995: removed (canceled)
−
    group = postfix
 
−
  }
 
−
}
 
 
</pre>
 
</pre>
  
−
== Schritt: Dovecot - Sieve aktivieren ==
+
=== Interpretation ===
−
* Das Sieve-Plugin wird im LMTP-Kontext aktiviert, damit eingehende Mails direkt verarbeitet werden können.
+
* Rspamd läuft korrekt
−
* Dadurch lassen sich serverseitige Filterregeln anwenden, bevor der Benutzer die Mail sieht.
+
* Milter-Anbindung funktioniert
−
Datei: /etc/dovecot/conf.d/20-lmtp.conf
+
* Spam wird aktiv geblockt
−
<pre>
+
* System verhält sich wie erwartet
−
protocol lmtp {
 
−
  mail_plugins = $mail_plugins sieve
 
−
}
 
−
</pre>
 
  
−
== Schritt: Junk-Mailbox sicherstellen ==
+
== Test Virus (EICAR) ==
−
* Damit Spam korrekt einsortiert werden kann, muss der Junk-Ordner existieren oder automatisch erstellt werden.
+
=== Test ===
−
* Die special_use-Markierung sorgt dafür, dass Mailclients den Ordner korrekt als Spam-Ordner erkennen.
+
* Die EICAR-Testsignatur simuliert einen Virus und wird von ClamAV erkannt
−
Datei: /etc/dovecot/conf.d/15-mailboxes.conf
+
* Die Mail darf nicht zugestellt werden
−
<pre>
 
−
namespace inbox {
 
−
  mailbox Junk {
 
−
    auto = create
 
−
    special_use = \Junk
 
−
  }
 
−
}
 
−
</pre>
 
  
−
== Schritt: Globale Sieve-Regel ==
+
echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > eicar.txt
−
* Es wird eine globale Filterregel definiert, die für alle Benutzer gilt und sofort aktiv ist.
 
−
* Die Regel prüft auf Spam-Header und verschiebt entsprechende Mails automatisch in den Junk-Ordner.
 
−
  mkdir -p /var/lib/dovecot/sieve/
 
  
−
Datei: /var/lib/dovecot/sieve/default.sieve
+
swaks --to thomas@it213.int --server mail.it213.int --attach eicar.txt
−
<pre>
 
−
require ["fileinto"];
 
  
−
if header :contains "X-Spam" "Yes" {
+
=== Prüfung ===
−
  fileinto "Junk";
+
* Live-Logs beobachten um zu sehen ob ClamAV/Rspamd eingreift
−
  stop;
 
−
}
 
−
</pre>
 
  
−
Datei: /etc/dovecot/conf.d/90-sieve.conf
+
journalctl -f -u rspamd -u postfix -u clamav-daemon
−
<pre>
 
−
plugin {
 
−
  sieve_before = /var/lib/dovecot/sieve/default.sieve
 
−
}
 
−
</pre>
 
  
−
== Schritt: Kompilieren und Rechte ==
+
=== Erwartung ===
−
* Die Sieve-Regel wird in ein binäres Format kompiliert, damit sie effizient verarbeitet werden kann.
+
* ClamAV erkennt die EICAR-Signatur
−
* Anschließend werden die Berechtigungen gesetzt, damit Dovecot Zugriff auf die Dateien hat.
+
* Rspamd setzt das Symbol CLAM_VIRUS
−
  sievec /var/lib/dovecot/sieve/default.sieve
+
* Postfix lehnt die Mail über den Milter ab
−
  chown -R dovecot:dovecot /var/lib/dovecot/sieve/
+
* Die Mail wird nicht zugestellt
 +
* In den Logs erscheint:
  
−
== Schritt: Dienste starten ==
+
CLAM_VIRUS
−
* Alle beteiligten Dienste werden neu gestartet, damit die Konfiguration aktiv wird.
+
milter-reject
−
* Die Reihenfolge stellt sicher, dass Abhängigkeiten korrekt initialisiert sind.
 
−
  systemctl restart redis-server rspamd dovecot postfix
 
  
−
== Demonstration ==
+
=== Ergebnis ===
−
* Zunächst wird eine normale Mail gesendet, um den unveränderten Mailfluss zu zeigen.
+
* (abhängig vom aktuellen Zustand des Systems)
−
* Anschließend wird eine Test-Spam-Mail verwendet, um die Filterung sichtbar zu machen.
+
* Wenn korrekt konfiguriert:
−
* Mail ohne Spam senden → landet in INBOX
 
−
* Mail mit GTUBE senden
 
  
−
GTUBE-String:
 
 
<pre>
 
<pre>
−
XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X
+
milter-reject: END-OF-MESSAGE ... CLAM_VIRUS
 
</pre>
 
</pre>
  
−
== Analyse ==
+
=== Interpretation ===
−
* Die Logs zeigen den kompletten Verarbeitungsweg der Mail durch alle Komponenten.
+
* ClamAV ist korrekt an Rspamd angebunden
−
* So lässt sich nachvollziehen, an welcher Stelle die Entscheidung für Spam getroffen wird.
+
* Virenerkennung funktioniert
−
  journalctl -f
+
* Infizierte Mails werden aktiv geblockt
 +
* System verhält sich wie erwartet
 +
 
 +
== Test 3: SPF ==
 +
* Es wird eine Mail mit gefälschtem Absender erzeugt.
 +
* SPF wird durch Rspamd bewertet und beeinflusst den Score.
 +
 
 +
swaks --to thomas@it213.int --server 127.0.0.1 \
 +
--from fake@gmail.com
 +
 
 +
* Erwartung: SPF_FAIL erscheint in den Logs oder im Rspamd Webinterface und erhöht den Spam-Score.
  
−
* Erwartete Logs:
+
== Live-Beobachtung ==
−
* Rspamd: symbol: GTUBE (1000.00)
+
* Die Verarbeitung der Mails kann live verfolgt werden.
−
* Dovecot: lmtp(...): Saved
 
−
* Sieve: stored mail into mailbox 'Junk'
 
  
−
== Optional: Manuelles Training ==
+
journalctl -f
−
* Rspamd kann durch gezieltes Lernen weiter verbessert werden.
 
−
* Dabei werden Mails explizit als Spam oder Ham klassifiziert und im Bayes-Filter gespeichert.
 
−
  rspamc learn_spam < mail.eml
 
−
  rspamc learn_ham < mail.eml
 
  
−
== Fazit ==
+
* Erwartung:
−
* Zentrale Spam-Erkennung mit Rspamd
+
* Spam: "Gtube pattern" oder "milter-reject"
−
* Automatische Einsortierung durch Sieve
+
* Virus: "CLAM_VIRUS"
−
* Keine Benutzerinteraktion notwendig
+
* SPF: "SPF_FAIL"
−
* Live-Auswertung im Web-UI (Port 11334)
 

Aktuelle Version vom 20. März 2026, 13:40 Uhr

Rspamd + ClamAV Integration (Postfix)

Ziel

  • Integration eines Spam- und Virenfilters in eine bestehende Mailserver-Umgebung.
  • Am Ende können Spam (GTUBE), Viren (EICAR) und SPF-Bewertungen demonstriert werden.

Schritt 1: Aufräumen (Tabula Rasa)

  • Alte Rspamd- und ClamAV-Komponenten werden entfernt, um Konflikte zu vermeiden.
  • Dadurch wird sichergestellt, dass keine alten Konfigurationen das Verhalten beeinflussen.
systemctl stop rspamd clamav-daemon 2>/dev/null || true
service rspamd stop 2>/dev/null || true
service clamav-daemon stop 2>/dev/null || true
apt -y purge rspamd clamav clamav-daemon || true
apt -y autoremove
apt -y autoclean
rm -rf /etc/rspamd
rm -rf /var/lib/rspamd
rm -rf /var/log/rspamd

Schritt 2: Installation

  • Die benötigten Pakete für Spam- und Virenfilter werden installiert.
  • Rspamd übernimmt die Analyse, ClamAV die Virenerkennung.
apt update
apt -y install rspamd clamav clamav-daemon

Schritt 3: Virensignaturen aktualisieren

  • ClamAV benötigt aktuelle Signaturen, um zuverlässig Viren zu erkennen.
  • Der Befehl lädt die neuesten Definitionen herunter.
freshclam || true

Schritt 4: Grundkonfiguration

  • Das Verzeichnis für lokale Rspamd-Konfigurationen wird angelegt.
  • Hier werden alle eigenen Anpassungen gespeichert.
mkdir -p /etc/rspamd/local.d

Schritt 5: ClamAV Integration

  • Rspamd wird so konfiguriert, dass eingehende Mails an ClamAV übergeben werden.
  • Wird ein Virus erkannt, wird die Mail sofort abgelehnt.
cat <<EOF > /etc/rspamd/local.d/antivirus.conf

 clamav {
   action = "reject";
   symbol = "CLAM_VIRUS";
   type = "clamav";
   servers = "127.0.0.1:3310";
 }
 
EOF

Schritt 6: Aktionen

  • Die Schwellwerte bestimmen, ab wann eine Mail abgelehnt oder markiert wird.
  • Für Schulungen sind die Werte bewusst niedrig gewählt.
cat <<EOF > /etc/rspamd/local.d/actions.conf

 reject = 5;
 add_header = 3;
 greylist = 4;
 
EOF

Schritt 7: Webinterface

  • Das Webinterface ermöglicht die Analyse der Mailbewertung.
  • Ein festes Passwort erlaubt den Zugriff.
cat <<'EOF' > /etc/rspamd/local.d/worker-controller.inc

 password = "$2$kKqzF3cH9x7L9u1w0ZJ8R.Hp9m2l8pG6yVv8eR6m3yY1p2Q3w4e5G";
 enable_password = "$2$kKqzF3cH9x7L9u1w0ZJ8R.Hp9m2l8pG6yVv8eR6m3yY1p2Q3w4e5G";
 bind_socket = "0.0.0.0:11334";
 
EOF

Schritt 8: Postfix anbinden

  • Postfix wird so konfiguriert, dass jede Mail durch Rspamd geprüft wird.
  • Dies erfolgt über das Milter-Interface.
postconf -e "milter_protocol = 6"
postconf -e "milter_default_action = accept"
postconf -e "smtpd_milters = inet:127.0.0.1:11332"
postconf -e "non_smtpd_milters = inet:127.0.0.1:11332"

Schritt 9: Dienste starten

  • Die Dienste werden gestartet oder neu geladen.
  • Fallbacks sorgen dafür, dass das Script auch ohne systemd funktioniert.
systemctl restart clamav-daemon 2>/dev/null || clamd &
systemctl restart rspamd 2>/dev/null || rspamd -d
systemctl restart postfix 2>/dev/null || service postfix restart

Ergebnis

  • Rspamd filtert Spam und bewertet Mails anhand verschiedener Kriterien.
  • ClamAV blockiert schädliche Anhänge zuverlässig.

Webinterface

  • Zugriff über den Browser zur Analyse der Mails.
http://SERVER-IP:11334
  • Passwort: xinux123


Rspamd / ClamAV Tests

Ziel

  • Überprüfung der Mail-Filterung
  • Nachweis von Spam-Erkennung (GTUBE)
  • Nachweis von Virus-Erkennung (ClamAV / EICAR)
  • Sichtbarkeit von SPF-Bewertung

Vorbereitung

  • Zielbenutzer: thomas@it213.int
  • Mailserver lokal erreichbar (127.0.0.1)
  • swaks installiert

Test Spam (GTUBE)

Test

  • Der GTUBE-String ist ein standardisierter Test für Spamfilter und wird immer erkannt
  • Die Mail muss durch Rspamd blockiert oder als Spam markiert werden
swaks --to thomas@it213.int --server 127.0.0.1 --data "Subject: spam test XJS*C4JDBQADN1.NSBN3*2IDNEN*GTUBE-STANDARD-ANTI-UBE-TEST-EMAIL*C.34X"

Prüfung

  • Live-Logs beobachten um zu sehen ob Rspamd eingreift
journalctl -f -u rspamd -u postfix -u clamav-daemon

Erwartung

  • Rspamd erkennt den GTUBE-String
  • Postfix lehnt die Mail über den Milter ab
  • Die Mail wird nicht zugestellt
  • In den Logs erscheint:
milter-reject: END-OF-MESSAGE
Gtube pattern

Ergebnis

  • Mail wird abgelehnt
  • Beispiel Log:
Mar 20 14:14:06 mail.it213.int postfix/cleanup[30205]: 04BC8C0995: milter-reject: END-OF-MESSAGE from localhost[127.0.0.1]: 5.7.1 Gtube pattern; from=<root@mail.it213.int> to=<thomas@it213.int> proto=ESMTP helo=<mail.it213.int>
Mar 20 14:14:06 mail.it213.int postfix/cleanup[30205]: 04BC8C0995: removed (canceled)
Mar 20 14:18:59 mail.it213.int postfix/cleanup[30218]: CDDD8C0995: milter-reject: END-OF-MESSAGE from localhost[127.0.0.1]: 5.7.1 Gtube pattern; from=<root@mail.it213.int> to=<thomas@it213.int> proto=ESMTP helo=<mail.it213.int>
Mar 20 14:18:59 mail.it213.int postfix/cleanup[30218]: CDDD8C0995: removed (canceled)

Interpretation

  • Rspamd läuft korrekt
  • Milter-Anbindung funktioniert
  • Spam wird aktiv geblockt
  • System verhält sich wie erwartet

Test Virus (EICAR)

Test

  • Die EICAR-Testsignatur simuliert einen Virus und wird von ClamAV erkannt
  • Die Mail darf nicht zugestellt werden
echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > eicar.txt

swaks --to thomas@it213.int --server mail.it213.int --attach eicar.txt

Prüfung

  • Live-Logs beobachten um zu sehen ob ClamAV/Rspamd eingreift
journalctl -f -u rspamd -u postfix -u clamav-daemon

Erwartung

  • ClamAV erkennt die EICAR-Signatur
  • Rspamd setzt das Symbol CLAM_VIRUS
  • Postfix lehnt die Mail über den Milter ab
  • Die Mail wird nicht zugestellt
  • In den Logs erscheint:
CLAM_VIRUS
milter-reject

Ergebnis

  • (abhängig vom aktuellen Zustand des Systems)
  • Wenn korrekt konfiguriert:
milter-reject: END-OF-MESSAGE ... CLAM_VIRUS

Interpretation

  • ClamAV ist korrekt an Rspamd angebunden
  • Virenerkennung funktioniert
  • Infizierte Mails werden aktiv geblockt
  • System verhält sich wie erwartet

Test 3: SPF

  • Es wird eine Mail mit gefälschtem Absender erzeugt.
  • SPF wird durch Rspamd bewertet und beeinflusst den Score.

swaks --to thomas@it213.int --server 127.0.0.1 \ --from fake@gmail.com

  • Erwartung: SPF_FAIL erscheint in den Logs oder im Rspamd Webinterface und erhöht den Spam-Score.

Live-Beobachtung

  • Die Verarbeitung der Mails kann live verfolgt werden.

journalctl -f

  • Erwartung:
  • Spam: "Gtube pattern" oder "milter-reject"
  • Virus: "CLAM_VIRUS"
  • SPF: "SPF_FAIL"
Abgerufen von „http://wiki.ixheim.de/index.php?title=Rspamd_kurz_und_gut&oldid=67580“