Hva vi gjør med virus og e-post ormer ved HiO

Hva vi gjør med virus og e-post ormer ved HiO.

Antivirus

Selvlaget løsning basert på sendmail filter bygget på den såkalte milter teknologien.

Filteret sjekker innkommende mail for virus med kommersiell virus-skanner.
Denne virus-scanneren holdes automatisk og løpende oppdatert.

Vi kan ikke utelukkende blokkere virus og ormer med denne spesielle teknikken, fordi det alltid tar en del tid fra et virus dukker opp til virusleverandøren har en signatur som gjenkjenner viruset.

Derfor blokkerer vi windows kjørbare vedlegg, uansett. Dette er filer med filtype .exe, .bat, pif, .scr etc og liknende. Listen over forbudte filtyper er identisk med Microsoft sin egen anbefalte liste.

Dette stopper oftest nye virus effektivt, før
antivirus definisjonen blir oppdatert og viruset som sådant gjenkjent.

Blokkering av forfalsket epost

Vi bruker SPF for å avvise mail som kommer fra steder som den ikke skal kunne komme ifra. Det er eier av et domene som selv bestemmer hva som er gyldige adresser. Ved HiO tar denne sjekken svært mye virus adressert til oss.

Videre har HiO vært plaget av at spammere misbruker adressene våre til å sende spam. Klager og misnøye havner da hos oss. Med SPF så kan oppegående organisasjoner avvise slike meldinger automatisk basert på informasjonen HiO publiserer for SPF.

Antispam

Dette betyr blokkering av uønsket e-post, såkalt spam.

Her står man selvsagt overfor et dillemma: Hvordan stoppe uønsket e-post og samtidig slippe all ønsket post gjennom?

Her vi HiO har vi valgt en ganske streng linje, det vil si vi stopper ganske meget innkommende post. Det er lite ved våre erfaringer som tyder på at dette har medført særlige problemer for legitim e-post. (Andre institusjoner har ofte valgt en annen linje der alt slipper gjennom og de enkelte brukere må forholde seg til mer spam. Dette garanterer at epost alltid kommer fram, hvis man får øye på de riktige meldingene
innimellom alt det andre?)

Her bruker vi ved HiO en rekke teknikker:

a) Distribuerte svartelister

Dette er nettsteder der en kan slå opp og se om avsenderen av en e-post er kjent for å sende ut spam. Hvis dette er tilfelle, blokkeres e-posten. Listen over svartelister som brukes endrer seg over tid avhengig av omstendigheter.

b) Lokale svartelister basert på domene og/eller IP-blokk.

Dette er lister som vi vedlikeholder selv, basert på mottatt spam og observerte plageånder.

c) Sperre mot korte e-post adresser

Korte adresser av typen perespen@hio.no blir ofte angrepet ved at den som spammer bruker en liste med navn, og så prøver alle muligheter.

De fleste slike adresser aksepteres derfor kun fra HiO sitt interne nettverk.

d) Store multimedia filer (lyd, bilde) blokkeres.

Innholdet er uniformt ikke-faglig og muligens ulovlig tidvis.

Hvis noen har et legitimt behov for å overføre slike filer må de bruke andre teknikker enn e-post, for eksempel FTP eller web, eller de kan ta kontakt med IT-tjenesten for å få hjelp.

e) HiO's interne postlister

De fleste interne e-post-listene tar ikke imot e-post som ikke kommer fra avsender på HiO sitt nettverk. Det styres via en database om en liste er sperret eksternt slik eller ikke.

f) Spamassassin

Meldinger filtereres igjennom et filter, Spamassassin. Vi bruker Spamassassin sine egne regler, lokalt utviklete regler samt ekstra regler utviklet og vedlikeholdt av andre
spamassassin brukere.

g) Blokkering av utgående epost med "gale" adresser

Når noen først får et virus på sin pc så vil dette oftest prøve å maile seg til alt og alle, med falske avsender-adresser. Ved HiO blir mail, med avsender-adresser som ikke er fra HiO, blokkert dersom den sendes fra vanlige pc'er. Dette har vist seg effektivt flere ganger. Dette tiltaket har også  stoppet trojanere  som har prøvd å sende store mengder spam til andre steder på internett.

h) Meldinger vi ikke stopper.

Det er noen meldinger, som åpenbart skriver seg fra spam, men som vi ikke stopper fordi det ville føre til at ønskede meldinger forsvant. Dette gjelder innkommende meldinger om at en e-postmelding sendt fra en avsender ved HiO, ikke kan leveres fordi det er feil med adressen.

Ofte er den meldingen man får feilmelding på slett ikke sendt fra HiO, i stedet er det et virus som benytter seg av falsk avsenderadresse. Den institusjonen som får meldingen kan ikke vite at avsenderadressen er falsk, og sender sin feilmelding til HiO. Spamassassin filterne tar mange, men slett ikke alle slike falske meldinger. Det regnes nå som svært dårlig praksis å la et epost-system sende slike meldinger når det skyldes forekomst av et virus, men det stopper ikke mange fra å gjøre dette allikevel.

Generelle råd om antispam

Mange ledende IT-selskaper har utgitt en rapport om tiltak som bedrifter
og personer kan gjennomføre for å bidra i kampen mot spam.

Spørsmål om e-post og spam ved HiO rettes til postmaster@hio.no

[Per Steinar Iversen]