Archivo de la categoría: Abuse

Temas de Abuse

XI Reunión del Foro ABUSES

Posted on por
Responder

Los próximos 18 y 19 de Mayo se celebra la ya XI reunión del Foro ABUSES. En ella nos reuniremos los equipos abuse y administradores de correo electrónico de los principales ISPs españoles. A continuación, la agenda prevista:

18 Mayo 2011 (miércoles)

Esta sesión será cerrada a miembros del Foro ABUSES

09.30h-10.00h Recepción

10.00h-10.45h Bienvenida y presentación Brigada Investigación Tecnológica (BIT)

10.45h-11.00h Descanso, café y tertulia

11.00h-12.00 Propuesta de Objetivos Foro ABUSES
Moderador: Susana Rey

12.00h-13.30h Evolución del Foro para consecución de Objetivo
Moderador: Carlos Olea (Telefónica Internacional)

13.30h-16.00h Comida

16.00h-17.00h Conclusiones sobre evolución del Foro

17.00h-18.00 Propuesta de proyecto colaborativo en la lucha contra la propagación del malware. Roberto (Abbansys)

 

19 Mayo 2011 (jueves)
10.00h-10.45h Experiencias de la Guardia Civil

10.45h-11.00h Descanso, café y tertulia

11.00h-12.30h Temas varios:

Sistema de intercambio de firmas malware. Roberto Navarro (Abansys)
Red de spamtraps de RedIRIS
Caso estudios sobre el último bloqueo de hotmail
Nueva herramienta colaborativa para Foro ABUSES

12.30h-13.00h Próxima reunión

13.30h Comida comunal

ARF – Abuse Reporting Format

Posted on por
1

Supongo que para muchos el asunto no dice mucho, pero a modo de resumen, ARF (Abuse Reporting Format) es un formato que deberá ser estándar en breve (está en su séptimo draft) para los avisos de abusos.

Los ISPs cuando recibimos un ataque, mensaje de spam…etc solemos avisar al propietario de la red en la que se encuentra la IP origen para que resuelvan el problema (esto se indica en el WHOIS de la IP). Hasta ahora, cada ISP tenía su forma de enviar estos mensajes (llamados Feedback Loops pero ahora, en vez de enviar el típico email diciendo «tu IP manda spam, revisa tu servidor en busca de scripts/virus», se está intentando estandarizar el formato de estos avisos para poder hacer más fácil la creación de parsers y herramientas de lectura y procesado; vamos, facilitar la vida a la gente de seguridad/abuse.

La última versión del draft ha sido publicada el 17 de Abril y puede leerse en:

http://www.shaftek.org/publications/drafts/abuse-report/draft-shafranovich-feedback-report-07.txt

Desde hoy mismo, los avisos automáticos de nuestra lista negra, rbl.dns-servicios.com se harán en dicho formato.

Sin embargo, los mensajes ARF de Hostalia tendrán el asunto como el mensaje original (el mensaje de spam) como dice el borrador precedido del texto «Abuse Report for IP X.X.X.X:» para permitir buscar fácilmente por IP, ordenar mensajes…hasta que el ARF sea RFC y los destinatarios hayan actualizado sus filtros y parseadores para permitir ARF.

Actualmente, AOL ( en su portal se puede leer ) y Outblaze envían ya sus avisos en este formato y nosotros nos unimos a esta iniciativa pionera a la espera de que se estandarice.

Para más información: http://postmaster.hostalia.com/arf.es.html

Y para recursos sobre ARF: http://wordtothewise.com/resources/arf.html

McColo Corp. fuera de juego!

Posted on por
3

Esta mañana, al ver las gráficas de conexiones entrantes, mensajes rechazados…etc en nuestros relays de entrada, he notado un bajón importante en cuanto a spam recibido. La gráfica siguiente lo muestra claramente, cómo a partir de última hora de ayer empiezan a bajar los rechazos por listas negras (línea negra, rosa y verde):

Sigue leyendo →

Los contactos del WHOIS

Posted on por
2

Tras un rediseño del sistema de notificaciones enviadas cuando una IP cae en nuestra lista negra RBL.DNS-SERVICIOS.COM, ahora el mensaje incluye una de las evidencias por la cuál ha sido listada. Con ella el ISP responsable de dicha IP podrá buscar el origen del mensaje de spam. Por ejemplo:

http://rbl.dns-servicios.com/ids/evidence.txt

Es curioso, no obstante, el «desastre» con el que uno se encuentra al enviar mensajes de este tipo a los contactos que aparecen en el WHOIS de las IPs:

mail.local: /var/mail/f/fkchung: Disc quota exceeded

Authentication required (in reply to MAIL FROM command)

Relay access denied (in reply to RCPT TO command)

Database disk quota exceeded

The user(s) account is temporarily over quota.

Reason: Over quota

Unable to deliver message to the following recipients, because
the message was forwarded more than the maximum allowed
times. This could indicate a mail loop.

Recipient address rejected: User unknown in local recipient
table (in reply to RCPT TO command)

Command rejected (in reply to end of DATA command)

Los hay incluso mejores, que pasan directamente de lo que pueda haber o salir de sus redes:


We would point out that, within its activity as a provider of
electronic communication services, XXXX merely provides its
clients with access to the Internet, which entails the activity
of simply transporting information over the network.

No obstante, también se reciben comentarios de agradecimiento por la información facilitada. Por ello y por ayudar a la erradicación de estas fuentes de spam, seguiremos con esta política.

VII Reunión del Foro ABUSES (Equipos Abuse)

Posted on por
1

Una nueva edición del Foro Abuses, esta vez en León, en la sede de INTECO, los días 2 y 3 de Octubre.

La agenda:

Día 2 de Octubre (jueves)

10.00-10.30 Bienvenida
10.30-11.30h Presentación INTECO
12.00-14.00h
Sobre la «Obligación por ley de almacenar los registros de actividad del servicio de correo electrónico.
…
16.00-18.00h Sesión2 (tarde): Intercambio de experiencias entre miembros del Foro
Sesión acerca de «Experiencias sobre la gestión (dinámica, herramientas, estadísticas etc) de incidentes abuse@ y seguridad en un ISP»

Día 3 de Octubre (viernes)

10.00-11.30h Sesión3 (mañana): Asuntos internos Foro ABUSES
Propuesta, evaluación y aprobación de documentos del Foro ABUSES:

Propuesta: «Recomendación de Listas Negras»
Propuesta: «Compartir rangos IP dinamicos»
Propuesta: «ListaBlanca de dominios»
Propuesta: «Intercambio de incidentes en Foro ABUSES»

13.00-13.30h Sesión 4: Conclusiones y próxima reunión
14.00h Comida despedida

Seguro que sacamos conclusiones interesantes :-)

Resumen MAAWG

Posted on por
Responder

La semana pasada volví del MAAWG tras varios días en Heidelberg(Alemania).

El congreso como tal dio mucho de sí y se hablaron de cosas muy interesantes. Estaban presentes todos los «grandes» del mundo de Internet y del correo electrónico, tales como Microsoft, AOL, AT&T, ComCast, Yahoo, SpamHaus, IronPort, Cisco, Symantec…etc y la agenda del evento estuvo repleta de charlas y conferencias. A continuación un mini-resumen de alguna de ellas.

Sigue leyendo →

Messaging Anti-Abuse Working Group

Posted on por
Responder

Gracias a Vicente Martínez Gil y a CloudMark, la semana que viene (10-12 de Junio) asistiré al MAAWG («Messaging Anti-Abuse Working Group») un congreso del estilo del Foro Abuses pero a nivel internacional que se celebra en Heidelberg, Alemania. A dicho congreso asiste la elite mundial del correo electrónico para hablar y tratar de temas de abuso de dicho servicio, spam y todo lo que gira alrededor de esto; no hay más que ver el listado de miembros.

CloudMark es una empresa creada por Vipul Ved Prakash, creador a su vez de Razor, un programa de detección de spam en base a checksums de mensajes muy utilizado, sobre todo desde SpamAssassin. Uno de los servicios de pago de Cloudmark, es similar a dicho programa pero con muchas más funcionalidades y con la ventaja de que la base de datos de checksums de mensajes son bajados al servidor. La verdad, tras las pruebas realizadas, da muy buen resultado en detección de spam.

En cuanto al MAAWG, ciertamente, pinta muy bien; la agenda es privada pero puedo adelantar que existen diversas conferencias de gente de Sendmail, AOL, Comcast, SpamHaus, Ironport o Symantec. Las botnets y la reputación de IPs parecen que van a ser importantes puntos a tratar. A la vuelta podré contar más al respecto y todo lo que ha dado de sí.

Tschüss! ;-)

VI Reunión del Foro ABUSES

Posted on por
1

Los días 22 y 23 de Abril en la UPC de Barcelona, se celebrará la sexta reunión del Foro Abuses.

Básicamente, el Foro ABUSES es un espacio para técnicos de Operadores (telcos o ISPs) que gestionan o están interesados en solucionar incidentes de seguridad y abusos en Internet. En estas reuniones del Foro ABUSES se pretende mejorar la confianza entre ISPs españoles a través de reuniones participativas que generen conclusiones y acciones. En pasadas reuniones por ejemplo, se acordó el impulso de SPF desde todos los ISPs; dicho acuerdo se vio reflejado cuando Hostalia implantó SPF en más de 25000 dominios hace unos meses. Se realizó una nota de prensa que tuvo repercusión en diversos medios.

La agenda de la reunión, es la siguiente:

Dia 22 (martes)

10.00-10.30 Bienvenida
10.30-14.00h Sesión1 (mañana): Presentaciones y debate sobre:

GSMA Launches Mobile Alliance Against Child Sexual Abuse: Telefónica España
Improving E-mail Deliverability into MSN Hotmail and Windows Live Mail. Microsoft España
Cert Caixa
Telefonica Empresas

16.00-18.00h Sesión2 (tarde): Intercambio de experiencias entre miembros del Foro

TusProfesionales
Hostalia
CCN-cert
esCERTupc
INTECO-cert
y mas…

Día 23 (miércoles)

10.00-11.30h Sesión3 (mañana): Asuntos internos Foro ABUSES

ListaBlanca: Overview Interface de gestión
Spamtraps
Politica postmaster
Resultados encuesta
Otros

12.00-13.00h Sesión 4 (mañana): Clasificación e intercambio de incidentes

Clasificación y protocolo de intercambio de incidentes entre miembros del Foro ABUSES

13.00-13.30h Sesión final: Conclusiones y próxima reunión

Interesante :-) Contaré los puntos que se puedan hacer públicos de esta sexta reunión.

Solicitudes en abuse

Posted on por
Responder

Al buzón de correo de abuse de todo ISP, suelen llegar bastantes quejas sobre los alojamientos, servidores, dominios…etc de los que dicho ISP es responsable. La mayoría de avisos suelen ser por mensajes de spam enviados de una determinada IP, quejas sobre ataques UDP o contra páginas web que tengan como origen algún servidor al que le hayan colado algún tipo de malware o por webs fraudulentas de phishing, que están alojadas sin el consentimiento del propietario de un dominio. De hecho, últimamente están llamando por teléfono bastante, por ejemplo desde la RSA, para informar telefónicamente de la existencia de una web de phishing en un determinado servidor y solicitar la inmediata suspensión del sitio web, para agilizar los trámites.

En todos estos casos, cuya naturaleza es clara, la política a seguir es:

1.- Contactar con el cliente
2.- Suspensión del sitio web
3.- Guardado de evidencias y eliminación de todo rastro
4.- Aplicar las medidas necesarias para que no se repita
5.- Habilitar de nuevo el alojamiento

Este tipo de quejas son, como decía, sobre situaciones de las que el cliente no tiene conocimiento y no es culpable directo de lo sucedido.

El problema reside en otro tipo de quejas o avisos que no son tan claros y que requieren una actuación más directa contra el cliente. Por ejemplo, una queja de un sitio web que pueda ser ofensivo contra una o varias personas, o que diga que contiene material con copyright y que está siendo usado sin permiso…etc. Ante este tipo de casos, lo que se hace es solicitar al emisor de la queja que ponga una denuncia en la comisaría de policía más cercana :) Solo se podrá actuar contra un cliente nuestro con una orden judicial de por medio, como ya nos ha sucedido alguna vez.

Todo esto viene a raíz de que hay mucha gente que piensa que por enviar a abuse una queja, ya automáticamente debemos de actuar. Esto no es así, y como decía, para realizar ciertas acciones contra un cliente con el cuál tenemos un contrato, hace falta una orden judicial.

Creo además que es la forma correcta de hacer las cosas, no hace falta recordar el polémico artículo 17bis que iba a permitir a las sociedades de gestión de derechos de autor cerrar páginas web sin orden judicial alguna y que finalmente, fue rechazado.