El "spam"

Como es sabido, los envíos masivos de mensajes de propaganda no solicitada (el "correo basura" o "spam") constituyen una de las molestias más graves que han de sufrir los usuarios de correo eléctronico en Internet (ver, p.e. http://es.wikipedia.org/wiki/Spam ).

En un intento de limitar el impacto de esta plaga, los servidores de correo de la Universidad analizan mediante varios filtros todos los mensajes antes de entregarlos. Estos filtros tratan de detectar y marcar automáticamente los mensajes que estiman pueden ser "spam".

Otros filtros, presentes también en los servidores pero no accesibles a los usuarios, detectan comportamientos anómalos de los servidores remitentes y rechazan las entregas sospechosas.

Filtros anti-propaganda para usuarios de la UV

Filtro por contenido [SPAM?]

El primero de los filtros anti-spam es un "filtro por contenido" (un filtro que estudia el contenido de los mensajes). Se trata del "Spamassassin".

El Spamassasin

El Spamassasin es un filtro semi-inteligente que aplica toda una serie de reglas -de inteligencia artificial- para decidir si un mensaje es o no un mensaje indeseado, con propaganda no solicitada.

¿Qué hace el Spamassasin?

Si decide que un mensaje es un "spam", el spamassasin añade dos cabeceras ( "X-Spam-Status:" y "X-Spam-Level:") al mensaje. Ejemplo:

X-Spam-Status: LOW ; 63
X-Spam-Level: xxxxxx+++

Estas cabeceras normalmente no son visibles por los lectores de correo, pero pueden utilizarse en los filtros de correo definibles por el usuario. El usuario puede entonces decidir qué hacer con el mensaje.

Las cabeceras contienen además una "puntuación" (número de "x" en el texto de "X-Spam-Level:") que califica el mensaje como spam con mayor o menor seguridad según estima el spamassasin.

Por otro lado, para que la calificación como "spam" sea visible claramente por el usuario, el spamassasin modifica el "asunto" del mensaje, poniéndole al principio la etiqueta "[SPAM?]".

No usar el "[SPAM?]" del asunto como objeto de los filtros, pues puede confundirlos.

¿Es eficaz el Spamassasin?

El filtro no es eficaz al 100%, y tenía un alto porcentaje de aciertos (2003) cuando se instaló. Actualmente su eficacia ha descendido en gran manera debido a que los spammers han "adaptado" sus mensajes para que sea muy difícil detectarlos con este tipo de filtros. Aún así, el filtro es eficaz (actualmente alrededor del 30% de aciertos - junio 2005) y dá muy pocos "falsos positivos" (es extremadamente raro que califique de spam un mensaje que no lo es). Sigue detectando mensajes de spam que no son detectados por los otros filtros, por lo que sigue siendo recomendable tenerlo activado.

¿Porqué el spamassasin me califica este mensaje como "spam"?

Puedes pedirle al Spamassasin que analice un mensaje concreto y te explique (en inglés) sus razones.

El formulario solicita el texto del mensaje COMPLETO con todas las cabeceras. Para ello, lo más sencillo es utilizar Postman. Abrir el mensaje y pulsar en el icono de volcar (una flecha roja hacia abajo que aparece en la cabecera "fecha"). "Cortar y pegar" en su totalidad el texto obtenido dentro del formulario del comprobador y pulsar "¡comprobar!".

Filtro por lista negra (RBL)

Existen en Internet listas que registran los ordenadores que han sido utilizados muy recientemente para generar spam. Otras registran ordenadores que tienen el servicio de correo mal configurados y son muy suceptibles de ser explotados por spammers.

Estas "listas negras" son mantenidas por multitud de entidades, siendo incluso algunas de pago, y son utilizadas habitualmente por la gran mayoría de servidores de correo para calificar como "probable spam" todo aquello que es emitido por los ordenadores presentes en las listas.

¿Que hace el filtro por lista negra?

El filtro por lista negra averigua, mirando en las cabeceras de los mensajes, quién es el ordenador que ha emitido el mensaje. Si este ordenador está registrado en alguna de las listas negras (actualmente cuatro de ellas) que consulta, lo marca como "posible spam" añadiendo una cabecera "X-RBL-Warning" por cada una de las listas negras en las que se halle el mensaje.

En la cabecera añadida se indica qué lista es la que ha producido el aviso y el ordenador (su número IP) sospechoso. Ejemplo:

X-RBL-Warning: Warning: (211.240.40.237) listed as open relay by
    sbl-xbl.spamhaus.org - checked with rbl-milter

¿Es eficaz el filtro por lista negra?

El filtro por lista negra es extremadamente eficaz. Filtra actualmente (junio 2005) del orden del 90% o más del spam que recibimos.

Un amigo me ha enviado un mensaje y ha sido filtrado por RBL...

Comunícaselo enseguida a tu corresponsal, indicándole en qué lista negra (indicada en la cabecera X-RBL-Warning) está su servidor. Sus administradores de correo deberán tomar las medidas inmediatas necesarias para asegurarse de que no emitirán (ni aún accidentalmente, por infección, etc...) más propaganda indeseada y luego utilizarán los formularios de la lista negra para darse de baja de la misma (o esperar unos días a ser dados de baja automáticamente).

Filtro LAVADORA DE REDIRIS [PosibleSPAM]

Desde Enero de 2015 todo el correo ENTRANTE a los servidores de correo de la UV son filtrados previamente por el sistema anti-spam de RedIris.

http://www.rediris.es/lavadora/tech.html

RedIris aplica un conjunto de filtros propios (Por lista negra o reputación, Por contenido, Antivirus, de flujo, SPF, heurísticos,...) que se suman a los propios de los servidores UV.

Los correos maliciosos detectados por este nuevo sistema llevan la etiqueta [PosibleSPAM] al principio del asunto. Por lo tanto, si el usuario lo desea, puede configurarse un filtro que redirija estos mensajes a su buzón "SPAM" (definir en Postman/CorreoClásico un filtro que mande al buzón SPAM los mensajes cuyo asunto contiene "PosibleSPAM". NO incluir los corchetes).

Nota: Desde enero 2019 los filtros de reputación/RBL de RedIris ya NO rechazan directamente los mensajes detectados, sino que los envían con la etiqueta [PosibleSPAM]. Esto hará que los usuarios detecten un incremento de spam si no tiene configurado un filtro para PosibleSPAM.

Nota: Antes de Junio 2020 la etiqueta que ponía Lavadora era "[SPAM-RED]". Si tenías filtros configurados tienes que modificarlos y sustitur el "SPAM-RED" por "PosibleSPAM".

Otras acciones de Lavadora

Marcado de asunto con [BULK]

Además de marcar los mensajes maliciosos, Lavadora también detecta y marca los mensajes que considera son "legales" pero "masivos" (generalmente propaganda aceptable). La marca que pone en este caso en el asunto es "[BULK]".

Reescritura de URL's

Una de las herramientas más potentes de la nueva versión de Lavadora (Oct 2022) es la reescritura de los URL's que detecta en los mensajes de correo. De esta forma la comprobación de la "no-peligrosidad" de las URL's embebidas en un mensaje se hace en el momento de "picar" en ellas, lo que permite aplicar políticas de protección incluso después de que hayas recibido el mensaje.

Las URL's reescritas por lavadora empiezan todas por "https://urldefense.com/". Es decir, los enlaces de tus mensajes de correo que vengan con este dominio no son sospechosos de por sí y serán comprobados por Lavadora al picar en ellos. Lo que no quiere decir que no debas mirarlas bien antes de picar en ellas: Lavadora no es infalible.

Informes a Lavadora de fallos

Las direcciones para avisar a Lavadora de posibles falsos positivos o negativos son:

submitspam@fortinet.com o submitvirus@fortinet.com

Es imperativo que el mensaje problemático se envíe en formato .eml.

SOGo genera un .zip con el .eml del mensaje si se usa "botón derecho+guardar como..." en un mensaje.

Activación del filtrado

El usuario puede decidir redireccionar los mensajes de spam a otro buzón distinto del de entrada (para revisarlos posteriormente), o simplemente descartarlos. Para ello, basta definir unos filtros de correo en el servidor utilizando los mecanismos habituales para ello: FiltrosDeCorreo.

Observar que NUNCA se debe decidir "rechazar" los mensajes de spam, pues lo usual (99% de los casos) es que el remite sea falso (dirección inexistente o de alguien que no tiene nada que ver) y lo único que se consigue es saturar aún más los servidores y, lo que es peor, molestar a personas inocentes.

Para facilitar la tarea de definir los filtros anti-spam, se han añadido dos botones al formulario de definición de filtros, uno para crear automáticamene el filtro por contenido y otro para crear automáticamente el filtro por lista negra.

Pasos para activar el filtro por contenido

• Entrar en http://correo.uv.es con usuario y contraseña.
• Pulsar 'Configuracion'
• Pulsar 'Filtros' en el apartado 'Correo'
• En 'Crear filtro Anti-Spam predefinido:' pulsar en "Por contenido"
• Eso hará que aquellos mensajes calificados con al menos un nivel de SPAM 4 (xxxx) vayan a un buzón del servidor llamado SPAM. Este buzón es accesible como un buzón remoto más desde el Postman o cualquier otro programa cliente de correo (IMAP).
• En caso de que nuestra confianza en el Spamassasin sea muy elevada, podemos eliminar los mensajes en lugar de depositarlos en ese buzón. Esto se hace seleccionando el filtro "antispam", pulsando 'Modificar' y seleccionando 'Borrar' en lugar de 'Mover mensajes a'.
• Pulsar 'Guardar'.

Pasos para activar el filtro por lista negra

• Para activar el filtro por lista negra, seguir exactamente los mismos pasos que para el filtro por contenido, pero pulsando en 'Crear filtro Anti-Spam predefinido' pulsar "Por lista negra".
• Para modificarlo, modificar "antispam_rbl".

Pasos para activar el filtro por Lavadora

Para redirigir los mensajes detectados por Lavadora a un buzón aparte, simplemente crear un filtro por el asunto "[PosibleSPAM]". P.e. para archivarlos en el buzón "SPAM":

• Entrar en http://correo.uv.es con usuario y contraseña.
• Pulsar 'Configuracion'
• Pulsar 'Filtros' en el apartado 'Correo'
• Pulsar 'Crear' y rellenar:
• 'Nombre:' Lavadora (o cualquiera que prefiramos)
• 'el Tema: contiene:' PosibleSPAM
• 'Mover mensajes a: SPAM' (el buzón remoto "SPAM" debe haber sido previamente creado)
• Pulsar 'Guardar'

Filtros en el servidor

Otros filtros contra el spam están configurados en el propio servidor y no se pueden activar/desactivar a voluntad del usuario o bien sólo se pueden desactivar temporalmente. Los más importantes son:

Filtro de flujo por IP

El filtro de flujo detiene los intentos de entregar en nuestros servidores un excesivo flujo de mensajes. Deniega el acceso durante varios minutos a todo aquel que intente enviar más de XX (p.e. 110) mensajes o haga más de XX (p.e. 20) conexiones al servidor en un período de 5 minutos. Este filtro únicamente autoriza a algunos servidores conocidos a sobrepasar estos límites. Las estadísticas diarias del filtro de flujo se pueden consultar en /wikisiuv/cas/seri/correo/solouv/EstadisticasCriba.wiki .

Los límites actuales del filtro (2 Nov 2015) son de 110 mensajes cada 5 minutos y/o 20 conexiones cada 5 minutos.

El filtro actúa por intervalos de 5 minutos. Por ejemplo, si te pasas de 110 mensajes, te bloquea todos los envíos hasta los siguientes 5 minutos. De esta manera si se trata de un MTA que reintenta automáticamente, los mensajes van entrando poco a poco.

El filtro de flujo por IP se puede desactivar temporalmente para dispositivos de la Universitat de València acudiendo a https://filtros.uv.es/prot/user

Filtro de flujo por remitente

El filtro de flujo por remitente bloquea a todo remitente que envía más de 400 mensajes en 24h al exterior de la UV. Se entiende por remitente un usuario (la conexión SMTP es autenticada) o el valor de la cabecera "From:" de los mensajes.

Hasta el 8 de abril de 2016, el filtro bloqueaba los envíos al exterior durante 24h.

Esto causaba graves molestias a los usuarios que inadvertidamente superaban el límite, pues les impedía del todo seguir enviando correo.

Se ha "relajado" el "castigo", de forma que el filtro siga sirviendo para evitar el spam masivo desde la UV, pero no bloquee del todo al remite afectado.

En caso de más de 400 mensajes en 24h al exterior de la UV, el filtre LIMITA EL FLUJO del remitente A 5 MSG/HORA (al exterior de la UV).

Eso sí, todos los mensajes enviados al exterior siguen contando a la hora de sumar el total durante 24h. El filtro volverá al flujo de 400/mensajes día sólo si durante 24h no se supera este total.

Se puede comprobar el estado del filtro de control de flujo para un remitente dado con la utilidad de consulta del sistema de filtros: http://filtros.uv.es/cgi-bin/userfluxcheck

El filtro de flujo por remitente se puede desactivar temporalmente para remitentes concretos de la Universitat de València acudiendo a https://filtros.uv.es/prot/user

Filtro de dominios válidos

Sólo unos pocos dominios @xxx.uv.es están registrados como dominios (servidores) de correo válidos para recibir mensajes. Para instalar un nuevo servidor de correo es necesario, pues, contactar con el SIUV para registrarlo.

Es decir, si un usuario instala un PC con un servidor SMTP (muy usual en Linux), no debe esperar poder recibir mensajes con él. En los PCs individuales se presupone que se utilizarán clientes de correo (Thunderbird, pine, Mail, Outlook, ...), no servidores (Sendmail, Postfix, Exchange,...).

Filtro 'zombies'

Si un usuario envía más de 100 mensajes al día desde más de 10 ordenadores distintos se le bloqueará el envío. Tanto en ese caso como en el siguiente (Filtro por Paises) se deberá solicitar a Operación Central del SIUV el desbloqueo. Previamente el usuario ha de cambiar de contraseña pues seguramente se la han robado.

Filtro por países

Este filtro comprueba todos los meses si un determinado usuario se ha conectado al correo desde más de dos países distintos y no europeos (o EE.UU) durante ese mes. Si es así, se bloquea el envío autenticado por parte del usuario y se le envía un aviso.

Este filtro ayuda a detectar las cuentas cuyas contraseñas han sido robadas (phishing o gusanos) y evita que sean usadas para enviar masivamente spam desde redes de ordenadores "zombis". Si eres muy viajero, puedes solicitar que se te incluya en la lista blanca del filtro en el CAU.

Filtro SPF

Ver FiltroSpf.

Otros filtros

Aparte de los arriba mencionados, otros filtros activos contra el spam son:

• El filtro "toloc" que evita que entren en nuestra red mensajes para usuarios no existentes.
• El filtro "oquota" que rechaza de entrada los mensajes cuyos buzones destino están llenos (que no admiten más mensajes).
• El filtro "scamback", que comprobar la validez de una dirección dirigida a servidores internos de la UV.