[Postfixbuch-users] Mal 'ne Frage zu eigenen Spamassassin-Regeln

[Daniel Stellwagen]

Guten Morgen Rainer,

Rainer Frey wrote:
> On Wednesday 28 June 2006 10:32, Daniel Stellwagen wrote:
> 
>>> Wie kommst du darauf, dass das Verhalten anders wäre, wenn deine
>>> Regel zuerst geprüft würde[1]? Schick bitte mal die Header einer
>>> geprüften und getaggten Mail (da musst du evtl. erst konfigurieren,
>>> dass Nicht-Spam getaggt wird) mit dem  X-RBL-Check-Header, um zu
>>> sehen, dass die Regel definitiv nicht greift. Ist vielleicht
>>> einfach der Gesamt-Score zu niedrig, trotz den Punkten deiner
>>> Regel?
>> Ich habe nur versucht das beobachte Verhalten zu Umgehen, das meine
>> Prüfung nur benutzt wird, wenn interne Prüfungen erfolgreich
>> angewendet wurden. Hier ein Auszug mit Konfiguration local.cf
>>
>> ....
>> header   X_RBL_CHECKING                ALL =~ /dnsbl\.space\.net/
>> score    X_RBL_CHECKING                6.000 6.000 6.000 6.000
>> ....
>>
>>
>> Content analysis details:   (18.2 points, 8.0 required)
>>
>>   pts rule name              description
> [...]
>>   6.0 X_RBL_CHECKING         X_RBL_CHECKING
> ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
> 
> Deine Regel trifft also zu! Woher hast du das? Manueller Test?
>

Nein. Mail von extern an einen internen Benutzer. Siehe Mailheader 
weiter unten.


>> ------------------------- BEGIN HEADERS -----------------------------
> [snipped]
>> -------------------------- END HEADERS ------------------------------
> 
> Die Mail wurde nicht von SpamAssassin getaggt! Es ist überhapt kein 
> Header vorhanden, der auf SpamAssassin hinweist. Sind das die Header 
> der Mail zu obigem Report?
> 
>>  $sa_tag2_level_deflt = 7.000.
> 
> Also amavisd(-new)? Auch davon sind keine Header zu sehen. Bist du 
> sicher, dass die Mail überhaupt von Amavis geprüft wurde? Es gibt auch 
> keinen Received-Header, der auf Amavis hinweist (das kann aber auch in 
> der Amavis-Konfiguration abgeschaltet sein). Eine als Spam erkannte 
> Mail hat bei mir folgende Header:

Entschuldige ich habe die Information geschickt die an den Admin
($spam_admin)geht.

Hier nochmal eine erfolgreiche Spam-Prüfung nach Header-Eintrag
   X-RBL-Check: dul.dnsbl.sorbs.net
hab jetzt den oben genommen da dieser öfters erscheint als
   X-RBL-Check: dnsbl.space.net

/usr/share/spamassassin/10_misc:
header   X_RBL_CHECKING                ALL =~ /dul\.dnsbl\.sorbs\.net/
score    X_RBL_CHECKING                8.000 8.000 8.000 8.000

Hier eine als Spam gekennzeichnete Mail:

Return-Path: <gginbnuvae at australiamail.com>
Received: from mail.brunata-muenchen.de ([unix socket])
by mail (Cyrus v2.1.15) with LMTP; Wed, 28 Jun 2006 19:09:32 +0200
X-Sieve: CMU Sieve 2.2
Received: from mail.brunata-muenchen.de ([127.0.0.1])
by localhost (mail [127.0.0.1]) (amavisd-new, port 10024) with ESMTP
id 30920-04 for <info-defromat at defromat.de>;
Wed, 28 Jun 2006 19:09:30 +0200 (CEST)
Received: from mail.space.net (mail.space.net [195.30.0.8])
by mail.brunata-muenchen.de (Postfix) with SMTP id A15721077CE
for <info-defromat at defromat.de>; Wed, 28 Jun 2006 19:09:30 +0200 (CEST)
Received: (qmail 49166 invoked from network); 28 Jun 2006 17:09:29 -0000
Received: from bsn-210-219-111.dial-up.dsl.siol.net (195.210.219.111)
by mail.space.net with SMTP; 28 Jun 2006 17:09:29 -0000
X-RBL-Check: dul.dnsbl.sorbs.net
X-RBL-Warning: (bsn-210-219-111.dial-up.dsl.siol.net:195.210.219.111) 
dul.dnsbl.sorbs.net
Received: from amende.kinki-kids.com (unknown [80.76.122.60])
by findwhat.com with SMTP id VZ4WA075VA
for <info-defromat at defromat.de>; Wed, 28 Jun 2006 10:09:31 -0800
From: "Swiss Invest 2006." <ahwucrnuluh at kinki-kids.com>
To: "Info-defromat" <info-defromat at defromat.de>
Importance: Normal
Subject: ***SPAM*** Join us - earn extra cash with us and be prosperous. 
Wed, 28 Jun 2006 14:08:31 -0400
User-Agent: Calypso Version 3.20.01.01 (4)
X-Mailer: Calypso Version 3.20.01.01 (4)
X-Priority: 3 (Normal)
MIME-Version: 1.0
Content-Type: multipart/alternative; boundary="--HWXK6XLNYUZX.2TTFPW3N4"
Message-Id: <20060628170930.A15721077CE at mail.brunata-muenchen.de>
Date: Wed, 28 Jun 2006 19:09:30 +0200 (CEST)
X-Virus-Scanned: by amavisd-new at brunata-muenchen.de
X-Spam-Status: Yes, hits=18.0 tagged_above=5.0 required=7.0 tests=BAYES_99,
  EXTRA_CASH, MSGID_FROM_MTA_ID, UNWANTED_LANGUAGE_BODY, X_RBL_CHECKING
X-Spam-Level: *****************
X-Spam-Flag: YES


Und hier ein Mail-Header einer Mail die nicht als Spam gekennzeichnet 
wurde, trotz meiner Regel und vorhandenem Headereintrag:

Return-Path: <7Gqh8227t7 at mail.ru>
Received: from mail.brunata-muenchen.de ([unix socket])
by mail (Cyrus v2.1.15) with LMTP; Wed, 28 Jun 2006 13:18:13 +0200
X-Sieve: CMU Sieve 2.2
Received: from mail.brunata-muenchen.de ([127.0.0.1])
by localhost (mail [127.0.0.1]) (amavisd-new, port 10024) with ESMTP
id 19573-02 for <info at brunata-muenchen.de>;
Wed, 28 Jun 2006 13:18:12 +0200 (CEST)
Received: from mail.space.net (mail.space.net [195.30.0.8])
by mail.brunata-muenchen.de (Postfix) with SMTP id 504FF1077FC
for <info at brunata-muenchen.de>; Wed, 28 Jun 2006 13:18:12 +0200 (CEST)
Received: (qmail 76947 invoked from network); 28 Jun 2006 11:18:11 -0000
Received: from 221.red-83-53-32.dynamicip.rima-tde.net (83.53.32.221)
by mail.space.net with SMTP; 28 Jun 2006 11:18:11 -0000
X-RBL-Check: dul.dnsbl.sorbs.net
X-RBL-Warning: (221.red-83-53-32.dynamicip.rima-tde.net:83.53.32.221)
dul.dnsbl.sorbs.net
Date: Wed, 28 Jun 2006 11:18:12 -0060
From: "Bart Hudson" <7Gqh8227t7 at mail.ru>
X-Mailer: The Bat! (v3.0.1 RC4) UNREG / 77YIB4V52SDZ8OWANJ
Reply-To: "Bart Hudson" <7Gqh8227t7 at mail.ru>
X-Priority: 3 (Normal)
Message-ID: <22982435.20060628111812 at mail.ru>
To: info at brunata-muenchen.de
Subject: Bart
MIME-Version: 1.0
Content-Type: text/plain; charset=us-ascii
Content-Transfer-Encoding: 7bit
X-Virus-Scanned: by amavisd-new at brunata-muenchen.de


Und das alles bei

$sa_tag_level_deflt  = 5.0;
$sa_tag2_level_deflt = 7.0;



Also mir ist hier die Funktionsweise von Spamassassin nicht ganz klar!?!

Daniel