Re: Postfix - clamav - Ausnahmen für OLE2BlockMacros möglich?
Hey Carsten,
vielen Dank für die Anleitung, wobei ich Walter absolut Recht gebe (und
meine eigene Einstellung teilt), wenn er schreibt:
Zitat:
"auch wenn es gehen sollte, eine Gegenfrage: kannst garantieren,
dass Mails dieser speziellen Kunden nicht das Ergebnis ein
Infiltration und damit dann sicher Schadsoftware sind?
soll heißen, derartiges auf keinen Fall zu tun;
Zitat - Ende
Ich als Admin möchte diese strikte Linie natürlich auch in Zukunft
unbedingt beibehalten, und hoffe, dass ich das nie umsetzen muss.
Aber für den Fall, dass alle noch so überzeugenden Argumente eines
Admins und die vielen Medienberichte über die Auswirkungen solcher
Makros von höherer Stelle ungehört blieben, möchte ich vorbereitet sein.
Danke für eure Anleitungen und Meinungen,
VG, Andi
Am 29.11.2021 um 10:26 schrieb Carsten Rosenberg:
Hey,
du kannst im Rspamd Virenmeldungen via Pattern Regex ein eigenes
Symbol zuweisen:
clamav {
...
patterns {
CLAM_HEUR_OLE2_VBA_MACRO =
"^(Heuristics\.OLE2\.ContainsMacros.*|File contains macros)";
}
}
Das nutzen wir sehr intensiv um auch die Unofficial Signaturen zu
kategorisieren.
Wenn du jetzt den Reject nicht im Plugin sondern via force_actions
machst, kannst du in einem Settings-Profil darauf Einfluss nehmen.
force_actions.conf:
rules {
VIRUS_REJECT {
action = "reject";
expression = "CLAMAV_VIRUS | CLAM_HEUR_OLE2_VBA_MACRO";
message = "REJECT - virus found";
}
}
Und deaktivieren via settings.conf
internal_systems {
id = "internal_systems";
priority = high;
# remote client ip
ip = "172.16.0.1/32";
apply {
symbols_disabled = [
"CLAM_HEUR_OLE2_VBA_MACRO",
];
groups_disabled = [
];
}
}
Viele Grüße
Carsten
On 29.11.21 09:06, Andreas Wass - Glas Gasperlmair wrote:
Hallo zusammen,
wir verwenden Postfix in Kombination mit ClamAV (über rspamd
eingebunden) mit der Einstellung "OLE2BlockMacros true"
(/etc/clamav/clamd.conf).
Ist es möglich, diese Einstellung für spezielle Kunden IP-Adressen zu
umgehen und deren E-Mails mit Macros in Dokumenten zuzulassen?
vg, Andi
Re: Postfix - clamav - Ausnahmen für OLE2BlockMacros möglich?
Hey,
du kannst im Rspamd Virenmeldungen via Pattern Regex ein eigenes Symbol
zuweisen:
clamav {
...
patterns {
CLAM_HEUR_OLE2_VBA_MACRO =
"^(Heuristics\.OLE2\.ContainsMacros.*|File contains macros)";
}
}
Das nutzen wir sehr intensiv um auch die Unofficial Signaturen zu
kategorisieren.
Wenn du jetzt den Reject nicht im Plugin sondern via force_actions
machst, kannst du in einem Settings-Profil darauf Einfluss nehmen.
force_actions.conf:
rules {
VIRUS_REJECT {
action = "reject";
expression = "CLAMAV_VIRUS | CLAM_HEUR_OLE2_VBA_MACRO";
message = "REJECT - virus found";
}
}
Und deaktivieren via settings.conf
internal_systems {
id = "internal_systems";
priority = high;
# remote client ip
ip = "172.16.0.1/32";
apply {
symbols_disabled = [
"CLAM_HEUR_OLE2_VBA_MACRO",
];
groups_disabled = [
];
}
}
Viele Grüße
Carsten
On 29.11.21 09:06, Andreas Wass - Glas Gasperlmair wrote:
Hallo zusammen,
wir verwenden Postfix in Kombination mit ClamAV (über rspamd
eingebunden) mit der Einstellung "OLE2BlockMacros true"
(/etc/clamav/clamd.conf).
Ist es möglich, diese Einstellung für spezielle Kunden IP-Adressen zu
umgehen und deren E-Mails mit Macros in Dokumenten zuzulassen?
vg, Andi
Re: Postfix - clamav - Ausnahmen für OLE2BlockMacros möglich?
Andreas, * Andreas Wass - Glas Gasperlmair : > Hallo zusammen, > > wir verwenden Postfix in Kombination mit ClamAV (über rspamd eingebunden) > mit der Einstellung "OLE2BlockMacros true" (/etc/clamav/clamd.conf). > > Ist es möglich, diese Einstellung für spezielle Kunden IP-Adressen zu > umgehen und deren E-Mails mit Macros in Dokumenten zuzulassen? Postfix und ClamAV können das mit ihren Bordmitteln nicht. Du kannst amavis dazwischen schalten und dann per recipient domain den "normalen" oder den clamAV-Socket "mit OLE2BlockMacros" ansteuern. p@rick -- [*] sys4 AG https://sys4.de, +49 (89) 30 90 46 64 Schleißheimer Straße 26/MG,80333 München Sitz der Gesellschaft: München, Amtsgericht München: HRB 199263 Vorstand: Patrick Ben Koetter, Marc Schiffbauer, Wolfgang Stief Aufsichtsratsvorsitzender: Florian Kirstein
Postfix - clamav - Ausnahmen für OLE2BlockMacros möglich?
Hallo zusammen, wir verwenden Postfix in Kombination mit ClamAV (über rspamd eingebunden) mit der Einstellung "OLE2BlockMacros true" (/etc/clamav/clamd.conf). Ist es möglich, diese Einstellung für spezielle Kunden IP-Adressen zu umgehen und deren E-Mails mit Macros in Dokumenten zuzulassen? vg, Andi
