D'humeur joyeuse, j'ai décidé de faire quelques analyses sur la quantité de spam reçu sur l'un des serveurs de messagerie que j'administre.
Voici le top 8 des raison de rejet sur plus de 113 000 messages considérés comme spam :
Top mail rejection reasons by message count
-------------------------------------------
Messages Mail rejection reason
61119 Rejected RCPT: Unrouteable address
30085 Spamassassin, score > 5
13099 SMTP protocol synchronization error
5653 Rejected RCPT: Sender verify failed
1615 Rejected RCPT: Spoofed EHLO/HELO
715 Connection refused
446 Rejected HELO/EHLO: syntactically invalid argument
417 Rejected RCPT: Too many bad recipients, now wait!
La première cause est assez facile à expliquer puisqu'elle résulte des robots spammeurs et leurs attaques par dictionnaire.
Le deuxième meilleur filtre reste le vénérable Spamassassin qui est configuré pour rejeter les messages lorsque le score dépasse les 5 points. Auparavant, le seuil était plus haut, autour de 8, mais au fur et à mesure, les spammeurs se sont adaptés et essayent désormais d'avoir un score le plus bas possible, si on analyse la distribution des scores, on obtient la figure suivante. Elle représente en ordonnée le nombre de messages qui ont été rejetés pour un score donné.
[[!img static/spamassassin-score.png ]]
Dommage que je n'ai plus accès aux logs d'il y a quelques années, je suis sûr qu'on aurait observé un glissement vers la droite de la courbe.
Les autres filtres sont beaucoup moins efficaces, en partie car ils ne sont matchés que lorsque le client a un comportement non légal avec les RFC :
Problème de synchronisation : les clients sont censés attendre la bannière EHLO avant de se présenter eux-mêmes. Les robots spammeurs n'ont pas cette politesse et envoient tout le plus vite possible.
Sender verify : c'est ce qu'on appelle un callout, à la réception d'un mail, vérifier que l'expéditeur pourrait bien recevoir une réponse (en gros, c'est vérifier que l'adresse existe bien).
Usurpations d'identité dans les présentations, le client se fait passer pour nous.
Trop de connexions simultanées depuis le même client
Syntaxe invalide des clients
Le client a généré trop d'erreurs de destinations (bruteforce)