Deteksi trojan Spam dengan Mikrotik RouterOS

Sekarang kita telah membahas beberapa pendekatan untuk memperbaiki masalah, dan bahkan dibahas jenis perilaku yang bisa kita harapkan untuk melihat dari kedua "normal" klien dan orang yang terinfeksi dengan trojan spambot, mari kita lihat pada beberapa solutions. saya ingin mengungkapkan juga, bahwa sementara saya membahas dua pendekatan ini secara terpisah, mereka tidak, tentu, saling exclusive. Hal ini dapat diterima, dan kadang-kadang berguna, untuk mengambil potongan-potongan dari kedua untuk membangun solusi lengkap untuk menyesuaikan keseluruhan policy.

/ip firewall filter
add chain=forward protocol=tcp dst-port=25 \
    src-address-list=suspectedspambot \
    action=drop comment="Drop traffic from those on the suspect list"

add chain=forward protocol=tcp dst-port=25 \
    connection-limit=10,32 \
    action=add-src-to-address-list \
    address-list=suspectedspambot \
    address-list-timeout=2d \
    comment="More than 10 simultaneous connections looks spammy"


add chain=forward protocol=tcp dst-port=25 \
       src-address-list=smtpservers action=accept \
       comment="Allow known smtp servers to send email"

Hal ini akan memungkinkan server mail Anda dikenal untuk mengirim email tanpa takut "tertangkap" dan ditandai sebagai spam source.Satu komentar lebih lanjut tentang rules. ini Ini seperangkat aturan tidak memperhitungkan lalu lintas smtp yang akan ke email Anda server. aku akan meninggalkan memperbaiki itu sebagai latihan untuk reader. Jika salah satu dari pelanggan Anda "tagged" sebagai 

spambot dicurigai, Anda akan menemukan alamat IP mereka dalam daftar alamat dan dapat mulai mengatasi masalah dari sana.

/ip firewall address-list
add list=APPROVED_SMTP_SERVERS address=192.168.10.1 \
    comment="An email server INSIDE the network" \
    disabled=no
add list=VALID_SMTP address=192.168.11.1 \
    comment="Valid email server OUTSIDE your network" \
    disabled=no

/ip firewall filter
add chain=forward protocol=tcp dst-port=25 \
    src-address-list=APPROVED_SMTP_SERVERS action=accept \
    comment="Allow email from our approved SMTP senders list regardless of destination"
add chain=forward protocol=tcp dst-port=25 \
    dst-address-list=APPROVED_SMTP_SERVERS action=accept \
    comment="Allow email from our approved SMTP senders list regardless of destination"
add chain=forward protocol=tcp dst-port=110 \
    action=add-dst-to-address-list
    address-list=VALID_SMTP \
    comment="Checking POP3" address-list-timeout=48h
add chain=forward protocol=tcp dst-port=143 \
    action=add-dst-to-address-list
    address-list=VALID_SMTP \
    comment="Checking POP3" address-list-timeout=48h
add chain=forward protocol=tcp dst-port=25 \
    dst-address-list=VALID_SMTP action=accept \
    comment="Allow SMTP going to known servers"
add chain=forward protocol=tcp dst-port=25 \
    action=add-src-to-address-list \
    address-list=POSSIBLE_TROJAN \
    address-list-timeout=1h \
    comment="These will be users using SMTP servers that are not on our approved list"
add chain=forward protocol=tcp dst-port=25 \
    action=drop \
    comment="Drop traffic to invalid SMTP servers"

Dalam hal kegunaan, yang  ini memiliki beberapa hal yang harus diperhatikan Pertama, tidak semua admin email menggunakan alamat yang  sama untuk POP dan SMTP. Jika hal ini terjadi, Anda mungkin harus menambahkan alamat IP server mail ke daftar VALID_SMTP manually. Juga, Anda

 akan memiliki daftar yang disebut "POSSIBLE_TROJANS"  Daftar ini tidak menetapkan batas pada pengguna, tetapi semacam "log" yang dapat Anda gunakan  ketika masalah masalah email pengguna. Jika mereka menggunakan server SMTP "tidak sah" atau "disetujui", IP mereka akan berada di daftar itu