Sécuriser serveur mail

[Flyraiders]

Bonjour à tous.

Je viens pour vous demander votre aide pour un soucis que j'ai au boulot :
Un de nos serveurs mails est utilisé par de vils personnes , à qui nous n'avons guère autorisé l'accès, pour rebondir et renvoyer des spams qui mettent notre serveur en blacklist de pleins d'opérateurs. Cela créé en plus d'autres soucis lié au mail de vérification de l'état des autres serveurs.

Comme ce n'est pas moi, ni mon tuteur qui avons config le serveur je m'en remet à vous et votre savoir !

Pour le serveur j'essaierai au maximum de vous fournir les informations.

C'est un serveur sous Debian, le service mail est géré par Postfixe. Il est dans le lan DMZ. J'ai un accès root au serveur.

N'hésitez pas en cas de questions.

Merci d'avance.

Cordialement [Ades]

[mactux]

Sécuriser serveur mail

Au delà du serveur mail, il existe des rootkit qui infecte directement le serveur web et exploite la partie postfix pour envoyer des spams.

Les modules du serveur sont-ils tous à jour ?
Existe t'il une solution anti malware sur le serveur ?
Depuis quand t'es tu aperçu du problème ?

Souvent la nature du spam peut donner une idée de l'origine du mal, as-tu des exemples concret ?

[Flyraiders]

Tout d'abord merci de cette réponse rapide.

Ensuite pour répondre à tes questions :

Les modules sont normalement mis à jours
Pour l'antimalware, il y a notre firewall qui s'occupe de ça je crois.
Le problème date d'apparemment quelques semaines (2 ou 3).

Pour la nature du spam c'est aléatoire : des pubs plus ou moins bizarre.

Pour le rootkit sur le(s) serveur(s) comment vérifié?

Je dispose d'un skype au cas où.

[MadHatter]

Le firewall a une prérogative limitée liée à sa mission principale : contrôler la légitimité des connexions entrantes et sortantes.
Il ne s'occupe donc pas des infections par malwares, cette mission est dévolue à l'antivirus. Il n'y a donc que lui qui peut effectuer un scan de la machine et neutraliser/supprimer les éventuelles menaces détectées ; c'est donc de cette manière que tu dois vérifier la présence potentielle de rootkits. A noter que cette vérification doit être effectuée sur le serveur web, comme le précise mactux.

[_47]

Salut, pour analyser ton serveur linux tu as RKhunter, aussi ClamAV

Ensuite pour le serveur mail peut-être que ceci pourra t'aider.

Et concernant le serveur web ces 2 post pourront surment te venir en aide:
- Securisation de votre serveur dédié
- Quelles étapes pour sécuriser un serveur web sur Debian ?

[mactux]

Sécuriser serveur mail

Je confirme bien les dires de MadHatter, le firewall est comme un mec de la sécu qui gère les entrées-sorties, sont rôle s'arrête là.
Essaye le tool de _47, il m'a déjà donné de bons résultats par le passé. Il est important de mettre en place un dispositif sur le serveur, les postes ne sont plus les seuls à être vulnérable aux menaces de type malware.

[Flyraiders]

D'accord, de ce fait, si j'utilise vos tools et méthode je serais en mesure d'identifier la source et/ou de la rayer du serveur?

Merci grandement pour vos explications.

[Flyraiders]

Je relance le sujet pour une autre question : Lors d'envoie de scan sur le serv on peut remarqué un "relay acces denied" lorsqu'il tente de se connecté à la machine. Nous avons des problèmes de mails/fax également. Savez-vous d'où cela peut-il se produire? (cela ne viens pas my_networks)


Merci d'avance.

[Flyraiders]

Petite histoire : En interne, j'ai deux serveurs a et b qui lorsque c'est en .fr envoient sur le serveur y. lorsque c'est en .com les serveurs a et b envoie tout seuls le mail. On vient de reboot le serveur y (c'est lui qui bug ! on l'a vu via les logs et plusieurs test). Et on commence à recevoir des mails, en .fr, datant de plusieurs heures/jours donc ça ce débloque.

Si on voit qu'au final ça ne s'est pas débloqué comme on voulait. Comment fait-on pour que les serveurs a et b arrêtent d'envoyer sur le serveur y lorsque c'est du .fr ?

A noté que j'ai dis .fr c'est pour faire simple, c'est selon le nom de domaine.