SecurityGateway für E-Mail-Server v10.0

Die Graue Liste ist eine Abwehrmaßnahme gegen Spam, die den Mailserver des Absenders informiert, dass während der Zustellung ein vorübergehender Fehler aufgetreten ist, und dass die Zustellung etwas später erneut versucht werden soll. Bei dieser Maßnahme geht man davon aus, dass Spammer üblicherweise keinen erneuten Zustellversuch unternehmen, wenn eine Nachricht nicht zugestellt werden kann, legitime Absender aber durchaus weitere Zustellversuche unternehmen. Geht bei aktivierter Grauer Liste eine Nachricht ein, die nicht von einem Absender auf der Freigabeliste oder einem sonst bereits bekannten Absender stammt, so werden der Absender, der Empfänger und die IP-Adresse des Absenders protokolliert. Danach wird die Nachricht während der SMTP-Verbindung mit der Begründung abgewiesen, es liege ein vorübergehender Fehler vor. Während einer festgelegten Zeitspanne werden auch weitere Zustellversuche mit einem vorübergehenden Fehler abgewiesen. Da Spammer üblicherweise keine weiteren Zustellversuche unternehmen, nachdem eine Nachricht abgewiesen wurde, kann die Graue Liste die Zahl der Spam-Nachrichten verringern, die Ihren Benutzern zugehen. Selbst wenn aber ein Spammer später die Zustellung erneut versucht, ist der Spammer zu diesem Zeitpunkt möglicherweise bereits identifiziert, und wird durch andere Abwehrmaßnahmen gegen Spam (wie etwa die Sperrliste für DNS) erfolgreich blockiert.

Die Graue Liste kann zwar die Zahl der Spam-Nachrichten verringern, man muss sich dabei aber darüber im klaren sein, dass sie die Zustellung legitimer und sogar wichtiger Nachrichten verzögern kann. Legitime Nachrichten werden jedoch anzunehmenderweise später noch zugestellt, nachdem die Sperrdauer der Grauen Liste abgelaufen ist. Es treten für die einmal erfasste Kombination aus Server, Absender und Empfänger erst dann wieder Verzögerungen ein, wenn der Absender für einen in Tagen festgelegten Zeitraum keine weiteren Nachrichten an den Empfänger mehr gesendet hat. Es ist auch wichtig, zu beachten, dass sich nicht vorhersagen lässt, wie lange der Server eines Absenders wartet, bis er die Zustellung erneut versucht. Das Abweisen einer Nachricht mit einem vorübergehenden Fehler kann die Zustellung der Nachricht um wenige Minuten, aber auch um einen ganzen Tag verzögern. Wegen dieser und anderer möglicher Schwierigkeiten ist die Graue Liste in SecurityGateway per Voreinstellung abgeschaltet. Es stehen jedoch eine Reihe von Optionen zur Verfügung, die diese möglichen Schwierigkeiten begrenzen.

Zunächst nutzen einige Domänen einen Pool von Mailservern für den Versand abgehender Nachrichten. Da jeder Zustellversuch durch einen anderen Mailserver aus dem Pool durchgeführt werden kann, würde die Graue Liste jeden Zustellversuch wie einen neuen erstmaligen Zustellversuch einer neuen Nachricht, nicht aber wie einen erneuten Zustellversuch für dieselbe Nachricht behandeln. Hierdurch kann sich die Zeit, während der die Graue Liste die Zustellung einer Nachricht verhindert, vervielfachen. Die Prüfung des Absenders über das Sender Policy Framework (SPF) kann dieses Problem für Domänen lösen, deren SPF-Daten veröffentlicht sind. Außerdem steht eine Option zur Verfügung, die bewirkt, dass die IP-Adresse des übermittelnden Mailservers für die Graue Liste überhaupt außer Betracht bleibt. Diese Option verringert zwar den Wirkungsgrad der Grauen Liste, sie löst aber das Problem in Verbindung mit Server-Pools.

Weiter setzt eine Graue Liste üblicherweise eine große Datenbank voraus, da jede eingehende Verbindung nachverfolgt werden muss. SecurityGateway verringert die Notwendigkeit, diese Verbindungen nachzuverfolgen, indem die Verarbeitung durch die Graue Liste bereits während der SMTP-Verarbeitung stattfindet. Falls eine der zahlreichen anderen Sicherheitsmaßnahmen in SecurityGateway bereits vorher angeschlagen hat, kann die Nachricht schon abgewiesen sein, bevor sie überhaupt in die Phase eintritt, in der die Graue Liste sie üblicherweise verarbeiten würde. Aufgrund dieser Maßnahmen verringert sich die Datenbankgröße der Grauen Liste deutlich, und sie verringert die Systemleistung nur unmerklich.

Schließlich stehen noch mehrere Optionen zur Verfügung, die die Wirkungen der Grauen Liste auf legitime Nachrichten verringern; dazu gehören Optionen für den Ausschluss von Nachrichten, die von Absendern auf der Freigabeliste stammen oder über Verbindungen mit Echtheitsbestätigung übermittelt wurden. Nachrichten, die durch einen Ihrer Mailserver der Domäne übermittelt wurden, sind immer ausgenommen.

Nähere Informationen über die Graue Liste enthalten die folgenden Artikel:

http://de.wikipedia.org/wiki/Greylisting (Artikel in deutscher Sprache)

http://en.wikipedia.org/wiki/Greylisting (Artikel in englischer Sprache)

Konfiguration

Graue Liste aktivieren

Diese Option aktiviert die Graue Liste. Die Graue Liste ist per Voreinstellung abgeschaltet.

Ersten Zustellversuch mit Fehler 451 für diese Zeitdauer verzögern: [xx] Minuten

Mithilfe dieser Option legen Sie die Dauer in Minuten fest, für die jede Kombination aus Server, Absender und Empfänger (zusammenfassend auch als "Dreiergruppe" bezeichnet) nach dem ersten Zustellversuch in der Grauen Liste verbleibt. Während dieser Zeit werden auch weitere Zustellversuche mit derselben Dreiergruppe mit einem vorübergehenden Fehlerkode abgewiesen. Nach Ablauf dieser Zeit werden für diese Dreiergruppe keine weiteren Verzögerungen in der Zustellung wirksam, solange der Eintrag der Dreiergruppe in der Datenbank der Grauen Liste nicht abläuft. Die Voreinstellung für diese Option beträgt 15 Minuten.

Zeitdauer, bis ungenutzte Einträge in der Grauen Liste verfallen: [xx] Tag(e/n)

Sobald die erste Verzögerungsdauer in der Grauen Liste für eine Dreiergruppe abgelaufen ist, werden für diese Dreiergruppe während der hier angegebenen Zeitdauer keine weiteren Verzögerungen in der Zustellung mehr wirksam. Ist hier beispielsweise ein Wert von 10 Tagen eingetragen, so werden für die Dreiergruppe keine Verzögerungen mehr wirksam, solange mindestens alle 10 Tage eine Nachricht eingeht, die zu dieser Dreiergruppe passt. Geht in diesem Zeitraum jedoch einmal keine Nachricht ein, so läuft der Eintrag ab und wird aus der Datenbank entfernt. Bei der nächsten Nachricht, die auf die Dreiergruppe passt, wird dann die Verzögerung für den ersten Zustellversuch wieder wirksam, und erst nach dieser Verzögerung treten, wiederum für den hier angegebenen Zeitraum, keine weiteren Verzögerungen mehr auf. Die Voreinstellung für diese Option beträgt 10 Tage.

IP-Adressen für die Graue Liste ignorieren (nur MAIL- und RCPT-Werte nutzen)

Diese Option bewirkt, dass die IP-Adresse des übermittelnden Servers nicht als eines der Daten in die Graue Liste aufgenommen wird. Hierdurch wird das mögliche Problem im Zusammenhang mit Server-Pools gelöst, es verringert sich aber auch der Wirkungsgrad der Grauen Liste. Diese Option ist per Voreinstellung abgeschaltet.

IP-Adressen aus Verbindungen ignorieren, die SPF-Prüfung bestehen

Diese Option bewirkt, dass nur der Absender und der Empfänger in die Graue Liste eingetragen werden und die IP-Adresse des übermittelnden Servers ignoriert wird, falls für den Server die Prüfung durch das SPF erfolgreich verläuft. Diese Option ist per Voreinstellung aktiv.

Ausschlüsse

Nachrichten von Absendern auf der Freigabeliste ausnehmen

Per Voreinstellung sind Nachrichten von Absendern auf der Freigabeliste von der Grauen Liste ausgenommen, sodass die Zustellung ihrer Nachrichten nicht verzögert wird. Falls Sie die Graue Liste auch auf Absender auf der Freigabeliste anwenden wollen, deaktivieren Sie diese Option.

Nachrichten aus echtheitsbestätigten Verbindungen ausnehmen

Per Voreinstellung sind Nachrichten von der Grauen Liste ausgenommen, die über Verbindungen mit Echtheitsbestätigung übermittelt wurden. Falls Sie die Graue Liste auch auf solche Nachrichten anwenden wollen, deaktivieren Sie diese Option.

Nachrichten von Mailservern der Domäne ausnehmen

Nachrichten, die durch Ihre Mailserver der Domäne übermittelt werden, sind von der Grauen Liste immer ausgenommen.

Ausnahmen - Domänen

Falls Sie in der Auswahlliste "Für Domäne:" am oberen Seitenrand eine Domäne auswählen, wenn Sie diese Einstellungen konfigurieren, so wird nach dem Speichern der Einstellungen diese Domäne im Feld angezeigt. Klicken Sie auf die Verknüpfung Anzeigen/Bearbeiten für die jeweilige Domäne, um die Einstellungen für die Graue Liste für diese Domäne anzuzeigen und zu bearbeiten. Um die Domäne auf die systemweiten Voreinstellungen zurückzusetzen, klicken Sie auf Zurücksetzen.