open relay abuse

Nadużycie otwartego przekaźnika to wykorzystanie źle skonfigurowanego serwera do masowej wysyłki cudzej korespondencji.

Jak działa otwarty przekaźnik SMTP

Open relay abuse oznacza nadużycie serwera pocztowego skonfigurowanego jako otwarty przekaźnik SMTP. Taki serwer przyjmuje wiadomość od nadawcy, który nie został uwierzytelniony i nie znajduje się w zaufanej sieci, a następnie przekazuje ją do dowolnego serwera pocztowego w Internecie. Samo przekazywanie wiadomości przez serwer nie jest błędem: jest podstawową funkcją protokołu SMTP opisanego między innymi w RFC 5321. Problem pojawia się wtedy, gdy serwer nie ogranicza tego działania do własnych domen, autoryzowanych użytkowników albo określonych adresów sieciowych.

W poprawnie skonfigurowanym środowisku należy rozróżnić odbiór poczty dla własnych domen od relaying, czyli przekazywania wiadomości dalej. Serwer może przyjmować pocztę kierowaną do obsługiwanej domeny, ale nie powinien pozwalać anonimowemu klientowi na wysyłkę wiadomości do obcych domen. W praktyce decyzja jest podejmowana na podstawie adresu IP klienta, wyniku uwierzytelnienia SMTP, domeny nadawcy, domeny odbiorcy oraz reguł określających dozwolone trasy przekazywania.

Przebieg i skutki open relay abuse

Atakujący zwykle wyszukuje publicznie dostępne serwery SMTP, korzystając ze skanowania portów, informacji DNS lub gotowych baz błędnie skonfigurowanych hostów. Następnie wysyła przez znaleziony serwer dużą liczbę wiadomości, często z fałszywym adresem nadawcy w polu SMTP MAIL FROM albo w nagłówku From. Do takiej korespondencji mogą być dołączane linki phishingowe, złośliwe pliki lub treści reklamowe. Serwer pośredniczący staje się wtedy narzędziem dystrybucji wiadomości, mimo że właściciel infrastruktury nie jest ich rzeczywistym autorem.

Skutki obejmują gwałtowny wzrost kolejki pocztowej, obciążenie procesora, pamięci masowej i łącza sieciowego oraz zwiększenie liczby połączeń SMTP. Zewnętrzni operatorzy mogą zacząć odrzucać wiadomości pochodzące z adresu IP serwera, a adres może trafić na listy reputacyjne używane do filtrowania spamu. W logach pojawiają się wtedy powtarzalne sesje z wielu adresów IP, nietypowe domeny odbiorców, duża liczba wiadomości wysyłanych w krótkim czasie oraz rozbieżność między użytkownikami znanymi administratorowi a faktycznymi nadawcami połączeń.

Ograniczenie relaying i analiza śladów w logach

Podstawową ochroną jest wyłączenie anonimowego przekazywania poczty do domen zewnętrznych. Dostęp do funkcji relay powinien być przyznawany wyłącznie po spełnieniu jasno określonego warunku, na przykład po poprawnym uwierzytelnieniu SMTP albo z adresu IP należącego do zaufanej sieci. Należy również oddzielić port przeznaczony do serwerowej komunikacji SMTP od portu submission używanego przez klientów pocztowych. Dla submission stosuje się uwierzytelnianie, ograniczenia liczby prób oraz szyfrowanie połączenia, zazwyczaj z wykorzystaniem TLS.

Diagnoza powinna rozpocząć się od sprawdzenia konfiguracji reguł relay, list dozwolonych sieci, wyjątków dla hostów lokalnych oraz sposobu obsługi nieznanych domen odbiorców. W logach warto porównać czas połączenia, adres źródłowy, wynik uwierzytelnienia, komendy SMTP, liczbę odbiorców i status dostarczenia. Sama obecność dużej liczby wiadomości nie dowodzi jeszcze istnienia open relay, ponieważ legalny ruch również może być intensywny. Rozstrzygający jest fakt, czy nieautoryzowany klient może skutecznie przekazać wiadomość do domeny, której serwer nie obsługuje lokalnie. Test należy wykonywać kontrolowanie, z własnym adresem testowym i bez generowania masowej korespondencji.

Postępowanie po wykryciu nadużycia

Po potwierdzeniu problemu należy tymczasowo ograniczyć ruch wychodzący SMTP, zatrzymać nieautoryzowane zadania w kolejce i zmienić reguły relay. Następnie trzeba przejrzeć logi pod kątem wykorzystanych kont, adresów źródłowych, czasu rozpoczęcia nadużycia oraz liczby zaakceptowanych wiadomości. Jeżeli użyto prawidłowego konta, konieczne jest unieważnienie jego aktywnych sesji i zmiana poświadczeń. Warto także sprawdzić, czy na komputerach korzystających z tego konta nie ma programu przechwytującego hasło albo konfiguracji automatycznie wysyłającej pocztę.

Po usunięciu przyczyny należy opróżnić pozostałą kolejkę zgodnie z zasadami środowiska, zweryfikować poprawność dostarczania zwykłej poczty i obserwować logi po ponownym otwarciu ruchu. Rekordy SPF, podpis DKIM i polityka DMARC pomagają oceniać autentyczność domeny oraz ograniczać skutki podszywania się pod nadawcę, ale nie zastępują kontroli relay. W przypadku komputera, z którego rozpoczęto nadużycie, diagnostyka może obejmować analizę procesów, połączeń sieciowych, konfiguracji klienta pocztowego i oznak niepożądanego oprogramowania. W środowisku firmowym skuteczna naprawa wymaga zachowania kopii logów oraz udokumentowania każdej zmiany konfiguracji, aby można było odtworzyć przebieg zdarzenia i potwierdzić, że serwer nie przyjmuje już anonimowych żądań przekazywania.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę lokalnych przyczyn nadużycia konta pocztowego.