Einleitung
Dieser Leitfaden hilft Ihnen bei der Untersuchung und Behebung von Vorfällen, bei denen Ihre ESA unerwartete oder unerwünschte ausgehende E-Mails sendet. Es beschreibt praktische Schritte und Befehle, um die Quelle zu identifizieren und das Verhalten zu stoppen.
Voraussetzungen
Verwendete Komponenten
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.
Fehlerbehebung
Wenn Sie wissen, welches Konto Spam versendet, wird empfohlen, dieses Konto sofort zu sperren. Wenn das Konto nicht bekannt ist, führen Sie eine Untersuchung mit der ESA durch, um das verantwortliche Konto zu identifizieren, und sperren Sie es dann.
Arbeitswarteschlangen-Prüfungen
Wenn Sie eine hohe Anzahl von E-Mails in der Arbeitswarteschlange beobachten und die Rate der eingehenden E-Mails die Rate der ausgehenden E-Mails deutlich übersteigt, weist dies auf ein Problem mit der Arbeitswarteschlange hin. Sie können den Status und die Details mit dem Befehl workqueue überprüfen.
C370.lab> workqueue status
Status as of: Thu Feb 06 12:48:02 2014 GMT
Status: Operational
Messages: 48654
C370.lab> workqueue rate 5
Type Ctrl-C to return to the main prompt.
Time Pending In Out
12:48:04 48654 48 2
12:48:09 48700 31 0
Absender oder Betreff der E-Mails in der Arbeitswarteschlange ist bekannt
Wenn Sie den Absender oder Betreff der E-Mails kennen, die sich auf die Arbeitswarteschlange auswirken, wird empfohlen, einen Nachrichtenfilter zu verwenden. Durch die Anwendung eines Nachrichtenfilters kann die ESA diese E-Mails früher in der Arbeitswarteschlange verarbeiten und entsprechende Maßnahmen ergreifen, um das Entfernen effizienter zu gestalten.
Sie können dazu den folgenden Filter verwenden:
C370.lab> filters
Choose the operation you want to perform:
- NEW - Create a new filter.
- DELETE - Remove a filter.
- IMPORT - Import a filter script from a file.
- EXPORT - Export filters to a file
- MOVE - Move a filter to a different position.
- SET - Set a filter attribute.
- LIST - List the filters.
- DETAIL - Get detailed information on the filters.
- LOGCONFIG - Configure log subscriptions used by filters.
- ROLLOVERNOW - Roll over a filter log file.
[]> new
Enter filter script. Enter '.' on its own line to end.
FilterName:
if (mail-from == 'user@example.com')
{
drop();
}
.
OR
FilterName:
if (subject == "^SUBJECT NAME$")
{
drop();
}
.
Überprüfung der Zustellungswarteschlange
Der Befehl tophosts zeigt die aktuell betroffenen Hosts an. In einer Live-Umgebung stellen Sie möglicherweise fest, dass ein Empfängerhost (z. B. example.com) eine große Anzahl aktiver Empfänger in seiner Zustellungswarteschlange hat, was auf die Auswirkungen hinweist.
C370.lab> tophosts
Sort results by:
1. Active Recipients
2. Connections Out
3. Delivered Recipients
4. Hard Bounced Recipients
5. Soft Bounced Events
[1]> 1
Status as of: Thu Feb 06 12:52:17 2014 GMT
Hosts marked with '*' were down as of the last delivery attempt.
Active Conn. Deliv. Soft Hard
# Recipient Host Recip. Out Recip. Bounced Bounced
1 example.com 321550 50 440 75568 8984
2 the.euq.queue 0 0 0 0 0
3 the.euq.release.queue 0 0 0 0 0Wenn der betroffene Host eine unbekannte Empfängerdomäne ist und Sie vor dem Entfernen aller E-Mails weitere Informationen benötigen, können Sie die Befehle showempfängern, showmessage und deleterecipients verwenden. Der Befehl showReceivers liefert Details wie die Nachrichten-ID (MID), die Nachrichtengröße, die Anzahl der Zustellversuche, den Absender des Umschlags, den bzw. die Empfänger des Umschlags und den Betreff der E-Mail.
C370.lab> showrecipients
Please select how you would like to show messages:
1. By recipient host.
2. By Envelope From address.
3. All.
[1]> 1
Please enter the hostname for the messages you wish to show.
> example.com
Falls die verdächtige MID in der Zustellungswarteschlange als legitim angesehen wird, können Sie den Befehl showmessage verwenden, um die Nachrichtenquelle anzuzeigen, bevor Sie eine Aktion ausführen.
C370.lab> showmessage
Enter the MID to show.
[]> 123456789
Sobald die E-Mails als Spam bestätigt wurden, können Sie sie mit dem Befehl deleterecipientsentfernen. Dieser Befehl bietet drei Optionen zum Löschen von E-Mails aus der Zustellungswarteschlange: nach Umschlagabsender, Empfängerhost oder allen E-Mails in der Zustellungswarteschlange.
C370.lab> deleterecipients
Please select how you would like to delete messages:
1. By recipient host.
2. By Envelope From address.
3. All.
[1]> 2
Please enter the Envelope From address for the messages you wish to delete.
[]> user@example.com
Proaktive Überwachung und Aktion
Überschrift Wiederholungsregel
Die Header Repeats-Regel wird als true ausgewertet, wenn innerhalb eines Zeitraums von einer Stunde eine bestimmte Anzahl von Nachrichten erkannt wird, die eines der folgenden Kriterien erfüllen:
- Sie haben das gleiche Thema.
- Sie stammen vom gleichen Umschlagabsender.
Die Regelsyntax lautet: header-repeats(<Ziel>, <Schwellenwert> [, <Richtung>])
Melden Sie sich zur Verwendung dieser Regel bei der CLI an, und stellen Sie den entsprechenden Filter bereit. Sie können beispielsweise einen Filter erstellen, um E-Mails zu löschen oder einen Administrator zu benachrichtigen, sobald der festgelegte Schwellenwert erreicht ist.
C370.lab> filters
Choose the operation you want to perform:
- NEW - Create a new filter.
- DELETE - Remove a filter.
- IMPORT - Import a filter script from a file.
- EXPORT - Export filters to a file
- MOVE - Move a filter to a different position.
- SET - Set a filter attribute.
- LIST - List the filters.
- DETAIL - Get detailed information on the filters.
- LOGCONFIG - Configure log subscriptions used by filters.
- ROLLOVERNOW - Roll over a filter log file.
[]> new
Enter filter script. Enter '.' on its own line to end.
FilterName:
if header-repeats('mail-from',1000,'outgoing')
{
drop();
}
.
OR
FilterName:
if header-repeats('subject',1000,'outgoing')
{
notify('admin@example.com');
}
.
Zugehörige Informationen
Feedback