はじめに
このガイドは、ESAが予期しない、または不要な送信メールを送信しているインシデントを調査して解決するのに役立ちます。送信元を特定し、動作を停止するための実用的な手順とコマンドの概要を示します。
前提条件
使用するコンポーネント
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
トラブルシュート
どのアカウントがスパムを送信しているかがわかっている場合は、そのアカウントをすぐにロックダウンすることをお勧めします。アカウントが不明な場合は、ESAを使用して調査を行い、責任アカウントを特定してから、ロックダウンに進みます。
ワークキューチェック
ワークキュー内の電子メールの数が多く、受信電子メールのレートが発信レートを大幅に超える場合は、ワークキューに問題があることを示しています。workqueueコマンドを使用すると、ステータスと詳細を確認できます。
C370.lab> workqueue status
Status as of: Thu Feb 06 12:48:02 2014 GMT
Status: Operational
Messages: 48654
C370.lab> workqueue rate 5
Type Ctrl-C to return to the main prompt.
Time Pending In Out
12:48:04 48654 48 2
12:48:09 48700 31 0
ワークキュー内の電子メールの送信者または件名がわかっている
ワークキューに影響を与える電子メールの送信者または件名がわかっている場合は、メッセージフィルタを使用することをお勧めします。メッセージフィルタを適用すると、ESAはワークキューの早い段階でこれらの電子メールを処理して処理を行い、削除をより効率的に行うことができます。
これを行うには、次のフィルタを使用できます。
C370.lab> filters
Choose the operation you want to perform:
- NEW - Create a new filter.
- DELETE - Remove a filter.
- IMPORT - Import a filter script from a file.
- EXPORT - Export filters to a file
- MOVE - Move a filter to a different position.
- SET - Set a filter attribute.
- LIST - List the filters.
- DETAIL - Get detailed information on the filters.
- LOGCONFIG - Configure log subscriptions used by filters.
- ROLLOVERNOW - Roll over a filter log file.
[]> new
Enter filter script. Enter '.' on its own line to end.
FilterName:
if (mail-from == 'user@example.com')
{
drop();
}
.
OR
FilterName:
if (subject == "^SUBJECT NAME$")
{
drop();
}
.
配信キューチェック
tophostsコマンドは、現在影響を受けているホストを表示します。ライブ環境では、受信者のホスト(example.comなど)の配信キューにアクティブな受信者が多数含まれていることに気付くことがあり、これが影響を与えていることを示しています。
C370.lab> tophosts
Sort results by:
1. Active Recipients
2. Connections Out
3. Delivered Recipients
4. Hard Bounced Recipients
5. Soft Bounced Events
[1]> 1
Status as of: Thu Feb 06 12:52:17 2014 GMT
Hosts marked with '*' were down as of the last delivery attempt.
Active Conn. Deliv. Soft Hard
# Recipient Host Recip. Out Recip. Bounced Bounced
1 example.com 321550 50 440 75568 8984
2 the.euq.queue 0 0 0 0 0
3 the.euq.release.queue 0 0 0 0 0影響を受けるホストが不明な受信者ドメインであり、すべての電子メールを削除する前に詳細な情報が必要な場合は、showrecipients、showmessage、およびdeleterecipientsのコマンドを使用できます。showrecipientscommandは、メッセージID(MID)、メッセージサイズ、配信試行回数、エンベロープ送信者、エンベロープ受信者、電子メールの件名などの詳細を提供します。
C370.lab> showrecipients
Please select how you would like to show messages:
1. By recipient host.
2. By Envelope From address.
3. All.
[1]> 1
Please enter the hostname for the messages you wish to show.
> example.com
配信キューに疑わしいMIDが正規のものである場合、処理を行う前に、showmessageコマンドを使用してメッセージソースを表示できます。
C370.lab> showmessage
Enter the MID to show.
[]> 123456789
電子メールがスパムとして確認されたら、deleterecipientscommandを使用して削除できます。このコマンドでは、エンベロープ送信者、受信者ホスト、または配信キュー内のすべての電子メールという、配信キューから電子メールを削除するための3つのオプションが提供されます。
C370.lab> deleterecipients
Please select how you would like to delete messages:
1. By recipient host.
2. By Envelope From address.
3. All.
[1]> 2
Please enter the Envelope From address for the messages you wish to delete.
[]> user@example.com
予防的なモニタリングとアクション
ヘッダー繰り返しルール
ヘッダーリピートルールは、1時間以内に次のいずれかの基準を満たす指定の数のメッセージが検出された場合、trueと評価されます。
- 彼らは同じ問題を抱えている。
- 同じエンベロープ送信者からのものです。
ルールの構文は次のとおりです。header-repeats(<target>, <threshold> [, <direction>])
このルールを使用するには、CLIにログインし、適切なフィルタを展開します。たとえば、定義されたしきい値に達したときに、電子メールをドロップしたり、管理者に通知したりするフィルタを作成できます。
C370.lab> filters
Choose the operation you want to perform:
- NEW - Create a new filter.
- DELETE - Remove a filter.
- IMPORT - Import a filter script from a file.
- EXPORT - Export filters to a file
- MOVE - Move a filter to a different position.
- SET - Set a filter attribute.
- LIST - List the filters.
- DETAIL - Get detailed information on the filters.
- LOGCONFIG - Configure log subscriptions used by filters.
- ROLLOVERNOW - Roll over a filter log file.
[]> new
Enter filter script. Enter '.' on its own line to end.
FilterName:
if header-repeats('mail-from',1000,'outgoing')
{
drop();
}
.
OR
FilterName:
if header-repeats('subject',1000,'outgoing')
{
notify('admin@example.com');
}
.
関連情報
フィードバック