У нас имеется домен domain.com. Для него существуют A запись:
$ nslookup -q=A domain.com 8.8.8.8
Server: 8.8.8.8
Address: 8.8.8.8#53
Non-authoritative answer:
Name: domain.com
Address: 11.22.33.44
и MX-запись:
$ nslookup -q=MX domain.com 8.8.8.8
Server: 8.8.8.8
Address: 8.8.8.8#53
Non-authoritative answer:
domain.com mail exchanger = 10 mx.domain.com.
Authoritative answers can be found from:
$ nslookup -q=A mx.domain.com 8.8.8.8
Server: 8.8.8.8
Address: 8.8.8.8#53
Non-authoritative answer:
Name: mx.domain.com
Address: 11.22.33.44
Настроена обратная запись для IP:
$ nslookup -q=PTR 11.22.33.44 8.8.8.8
Server: 8.8.8.8
Address: 8.8.8.8#53
Non-authoritative answer:
44.33.22.11.in-addr.arpa name = mx.domain.com.
Authoritative answers can be found from:
Настроены SPF и DKIM:
$ nslookup -q=TXT domain.com 8.8.8.8
Server: 8.8.8.8
Address: 8.8.8.8#53
Non-authoritative answer:
domain.com text = "v=spf1 +mx -all"
Authoritative answers can be found from:
nslookup -q=TXT default._domainkey.domain.com 8.8.8.8
Server: 8.8.8.8
Address: 8.8.8.8#53
Non-authoritative answer:
default._domainkey.domain.com text = "v=DKIM1\; k=rsa\; t=y\; p=MIGdHA6GSCqdR1PQBP2fp15XeeKThBFr1unKcVEg6sBMU/8Mtsm3RNLBOqnzMeCBbVN1VUaJ4qVMACfYijOGRgNsirleWxGnavmohn965It2su5E2EHWCGHm3EFbfvCHwhraBNIio9aDOHkpeuk7TU5e1jhULme9w0tuihdo0xoqZi5aQhvCr9cOCVZgnvnwoV6uoctxr5fFyDiOJ0FlEkD8l3o0CNRDJPy"
Authoritative answers can be found from:
Тем не менее, какой-то левый сервак начал рассылать от нашего имени вредоносные письма. Я попробовал так же с левого сервака отправлять от нашего имени письма на подконтрольные мне ящики из популярных доменов, типа mail.ru, yandex.ru и пр. И во всех случаях письма попадают в спам. Однако, многие владельцы собственных почтовых серверов получают такие письма во входящие.
Вот заголовки вредоносных писем. IP реальные, адреса получателя и отправителя изменены:
Return-Path: <it@domain.com>
X-Spam-Status: No, hits=0.8 required=10.0
tests=BAYES_00: -1.665,EXTRA_MPART_TYPE: 1,HTML_IMAGE_ONLY_20: 1.546,
HTML_MESSAGE: 0.001,TOTAL_SCORE: 0.882,autolearn=no
X-Spam-Level:
Received: from mail.pr-lg.ru ([193.105.37.96])
by mail.recipient.ru (Kerio Connect 7.4.3)
for r@recipient.ru;
Mon, 13 Oct 2014 04:43:09 +0400
Received: from gbergbetgbetrbergb (unknown [78.46.243.247])
by mail.pr-lg.ru (Postfix) with ESMTPA id 1A888EAB55
for <r@recipient.ru>; Mon, 13 Oct 2014 04:45:33 +0400 (GMT-4)
Message-ID: <2FD59C30934769FA26236AD7339678C0@gbergbetgbetrbergb>
Reply-To: =?koi8-r?B?5sXExdLBzNjOwdEg88zV1sLBIPPVxMXCztnIIPDSydPU?=
=?koi8-r?B?wdfP1w==?= <vkumskasu@mail.ru>
From: =?koi8-r?B?5sXExdLBzNjOwdEg88zV1sLBIPPVxMXCztnIIPDSydPU?=
=?koi8-r?B?wdfP1w==?= <it@domain.com>
To: <r@recipient.ru>
Что в таком случае можно щё предпринять, чтобы уверить принимающий сервер, что письма не наши?
Каким образом к таким атакам устойчивы сервисы mail.ru, yandex.ru? Ведь у них тоже только SPF и DKIM. Большего я не нашёл
