需要帮助确定垃圾邮件的来源

Question

作为快速背景，我们有垃圾邮件与我们的域名一起发送。因此，我们已将 SPF 记录添加到我们的域 DNS，现在显然这将有助于确保不会发送此垃圾邮件，但问题是此垃圾邮件是否实际上来自我们的服务器。我们收到了来自我们的主机提供商的滥用报告，其中包含以下标题

Received: from mx.poczta.onet.pl (unresolved [10.174.34.83]:53105)
    by ps15.m5r2.onet (Ota) with LMTP id 6B66CFF656749
    for <x>; Fri, 10 Mar 2017 23:36:17 +0100 (CET)
Received: from www.mydomain.com (unknown [xxx.xxx.xxx.xxx])
    by mx.poczta.onet.pl (Onet) with ESMTP id 3vg2DJ4tX1z92
    for <x>; Fri, 10 Mar 2017 23:36:16 +0100 (CET)
Date: Fri, 10 Mar 2017 17:36:15 -0500
To: x
From: Bethany <bethany@mydomain.com>
Subject: [SPAM] Do you want to give your man a strong...?
Message-ID: <8399________________________58f3@www.mydomain.com>
X-Priority: 3
MIME-Version: 1.0
Content-Type: multipart/alternative;
    boundary="b1_8399a58bdbb7157cb3aeb3dc3e3f58f3"
Content-Transfer-Encoding: 8bit
X-ONET_PL-MDA-SEGREGATION: 0
X-ONET_PL-MDA-Version: 1.0.25
X-ONET_PL-MDA-Info: 015 35161 6B66CFF656749 1.000000
X-ONET_PL-MDA-From: bethany@mydomain.com
X-ONET_PL-MDA-Spam: YES

注意：我已将包含我的域的所有地方与“mydomain.com”和我的服务器实际 IP 与 xxx.xxx.xxx.xxx 配音。我所知道的所有其他未经审查的信息与我无关。

我对 SMTP 标头的理解是，只有第一行“收到”是真实的，而下面的任何“收到”都是伪造的。如果是这种情况，这是否意味着垃圾邮件实际上来自垃圾邮件发送者@“10.174.34.83”而不是我自己的 IP xxx.xxx.xxx.xxx？

可能还值得注意的是 Bethany@mydomain.com 也不是有效的电子邮件并且不存在。我们将 GSuite 用于我们的电子邮件。

Answer 1

请不要混淆您的服务器的身份。无法检查 DNS 配置以帮助您。

您认为所有收到的都是伪造的，这是错误的。但是，它们可能是。鉴于您提供的标头，如果第二个标头上的 IP 正确并且该 IP 未通过 rDNS 验证，则它很可能来自您的网络。我假设 IP 不是来自您的邮件服务器，因为它的 IP 地址应该已经通过了 rDNS 验证。

您可以做以下几件事：

• 查找服务器上运行的意外软件，IP 地址位于第二个标头中。
• 阻止除邮件服务器之外的所有服务器的端口 25 上的所有 Internet 流量。
• DMARC为您的域调查实施。如果您真的是垃圾邮件的来源以及它的来源 IP 地址，这应该会给您一个快速的指示。
• 在您的邮件服务器上，阻止端口 25 上所有来自用户 ID 的外发流量，而不是您的邮件服务器运行的用户 ID。
• 确保您的 SPF 策略结束-all，并且只列出您的外发邮件服务器。
• 将 SPF 记录添加到所有非邮件源域（例如 www），指定-all.
• 将 SPF 记录添加到您的邮件服务器域，指定策略 A -all
• 确保您的邮件服务器不会转发来自 Internet 的邮件，除非用户已通过身份验证。这应该只允许在提交端口 (587) 上。对于给定的标头，除非您在发送邮件时删除收到的标头，否则不应出现这种情况。
• 制定和实施电子邮件政策，例如我的。