Два набора правил для фильтрации mail-вирусов в Postfix (mail postfix filter example)
Ключевые слова: mail, postfix, filter, example, (найти похожие документы)
From: opennet.ru
Subj : Два набора правил для фильтрации mail-вирусов в Postfix
________________________________________________________________________________
Postfix body_checks для наиболее популярных червей:
/(filename|name)=".*\.(asd|chm|dll|hlp|hta|js|ocx|pif)"/ REJECT
/(filename|name)=".*\.(scr|shb|shs|vb|vbe|vbs|wsf|wsh)"/ REJECT
/(filename|name)="(Happy99|Navidad|prettypark)\.exe"/ REJECT
/(filename|name)="(pretty park|zipped_files|flcss)\.exe"/ REJECT
/(filename|name)="(Msinit|wininit|msi216)\.exe"/ REJECT
/(filename|name)="(Avp_updates|Qi_test|Anti_cih)\.exe"/ REJECT
/(filename|name)="(Emanuel|kmbfejkm|NakedWife)\.exe"/ REJECT
/(filename|name)="(Seicho_no_ie|JAMGCJJA|Sulfnbk)\.exe"/ REJECT
/(kak|day)\.(reg|hta)/ REJECT
-------------------------------------------------------------------------
Или другой body_checks, более жесткий, вариант:
/^begin \d\d\d .*\.(vbe|vbs|shs|vbx|chm)/ REJECT
/^begin \d\d\d .*(creative|emmanuel|navidad|myjuliet|myromeo)\.(chm|exe)/ REJECT
/^Content-(Disposition|Type):.*name="?.*\.(vbe|vbs|shs|vbx|chm)/ REJECT
/^Content-(Disposition|Type):.*name="?.*(creative|navidad|emmanuel|myjuliet|myromeo)\.(chm|exe)/ REJECT
/\t(file)name="?.*\.(vbe|vbs|shs|vbx|chm)/ REJECT
/\t(file)name="?.*(creative|navidad|emmanuel|myjuliet|myromeo)\.(chm|exe)/ REJECT
/\tname="?.*\.(vbe|vbs|shs|vbx|chm)/ REJECT
/\tname="?.*(creative|navidad|emmanuel|myjuliet|myromeo)\.(chm|exe)/ REJECT
/^(file)name="?.*\.(vbe|vbs|shs|vbx|chm)/ REJECT
/^(file)name="?.*(creative|navidad|emmanuel|myjuliet|myromeo)\.(chm|exe)/ REJECT
/^begin [0-9]{3} .*\.(bat|exe|cmd|scr|shb|vbs|vba|pif|dll|hlp|hta|reg|js|ocx|vxd|wsf|wsh)/ REJECT
-------------------------------------------------------------------------
Фильтры подключаются добавлением в mail.cf строки:
body_checks = regexp:/etc/postfix/body_checks
PS. Постоянно пополняющийся архив фильтров для Postfix можно найти по адресу http://www.mrbill.net/postfix/
