RBL Nedir? DNSBL Kara Listeleri Nasıl Çalışır?

RBL nedir? Kısaca RBL ya da DNSBL, spam veya zararlı trafik kaynağı olduğu tespit edilen IP adreslerinin DNS üzerinden sorgulanabilen kara listesidir. Posta sunucuları gelen her bağlantının IP adresini bu listelerde anında sorgular ve sonuca göre bağlantıyı reddeder ya da iletiye spam puanı ekler.

RBL ile DNSBL aynı şey mi?

Pratikte evet. RBL adı, 1990'ların sonunda MAPS'in yayımladığı "Realtime Blackhole List" hizmetinden gelir ve zamanla tüm DNS tabanlı kara listeler için genel bir terime dönüştü. Teknik literatürde daha doğru terim DNSBL'dir. Bu listelerin işleyişi, 2010'da yayımlanan RFC 5782 ile belgelenmiştir. Aynı belge, güvenilir göndericileri listeleyen DNSWL'leri (beyaz listeler) ve IP yerine alan adı listeleyen RHSBL'leri de kapsar.

DNSBL sorgusu nasıl yapılır?

Sorgu sıradan bir DNS sorgusudur. 192.0.2.99 adresini Spamhaus ZEN listesinde sorgulamak için:

1. IP adresinin oktetleri ters çevrilir: 99.2.0.192
2. Sonuna listenin alan adı eklenir: 99.2.0.192.zen.spamhaus.org
3. Bu ad için A kaydı sorgulanır.
4. Yanıt gelmezse (NXDOMAIN) adres listede değildir; 127.0.0.x biçiminde bir yanıt listelendiğini gösterir.
5. İsteğe bağlı olarak TXT kaydı sorgulanarak listelenme nedeni öğrenilir.

dig +short 99.2.0.192.zen.spamhaus.org A
dig +short 99.2.0.192.zen.spamhaus.org TXT

IPv6 adreslerinde aynı mantık, adresin 32 onaltılık basamağının (nibble) ters sırayla yazılmasıyla uygulanır. RFC 5782'ye göre IPv4 listeleri test amacıyla 127.0.0.2 adresini listelemek, 127.0.0.1 adresini ise listelememek zorundadır; bu, kurulumunuzu doğrulamanın kolay bir yoludur.

Posta sunucuları bu sorguları her bağlantıda yaptığı için yanıtlar DNS önbelleğinde tutulur ve liste sağlayıcısının belirlediği süre dolana kadar aynı IP için yeniden sorgu gönderilmez. Bu yüzden bir listeden çıkarıldığınızda etkinin tüm alıcı sunuculardan kalkması biraz zaman alabilir.

Yanıt kodları ne anlama gelir?

Birden çok listeyi birleştiren DNSBL'ler, hangi alt listede eşleşme olduğunu yanıt koduyla bildirir. Spamhaus ZEN örneğinde başlıca kodlar şunlardır:

PBL bir spam listesi değil, politika listesidir. Bu yüzden yalnızca doğrudan bağlanan IP adresine uygulanmalı, kimliği doğrulanmış kullanıcılarınızın gönderimlerine uygulanmamalıdır.

Hangi listeler yaygın kullanılır?

Spamhaus, ticari ya da yüksek hacimli kullanım için anahtar tabanlı Data Query Service (DQS) hizmetini önerir. Bu listelerin dışında bütün ağ bloklarını toplu listeleyen daha agresif listeler de vardır; bunları doğrudan reddetme için kullanmak meşru postayı kaybetme riskini artırır. Bir listeyi seçerken listeleme ölçütlerini, listeden çıkış sürecini ve kullanım koşullarını birlikte değerlendirin.

DNS sorgu politikası neden önemli?

Spamhaus gibi büyük listeler, Google Public DNS ya da Cloudflare'in 1.1.1.1 hizmeti gibi genel çözümleyicilerden gelen sorguları engeller ve gerçek sonuç yerine 127.255.255.254 hata kodunu döndürür. Aşırı sorgu için 127.255.255.255, hatalı liste adı için 127.255.255.252 kodları kullanılır. Bu kodları listeleme sanan bir yapılandırma, gelen postanın tamamını reddetmeye başlayabilir. SpamAssassin'de URIBL_BLOCKED gibi kurallar sorgunun engellendiğini haber verir.

İpucu: Posta sunucunuzda genel DNS çözümleyicileri yerine kendi önbellekli çözümleyicinizi (örneğin Unbound) çalıştırın ve yazılımınızın 127.255.255.x hata kodlarını listeleme olarak değerlendirmediğinden emin olun.

Doğrudan reddetmek mi, puanlamak mı?

DNSBL sonuçları iki şekilde kullanılabilir: SMTP aşamasında bağlantıyı reddetmek ya da sonucu diğer sinyallerle birlikte puanlamak.

Postfix'in postscreen bileşeni ağırlıklı puanlamayı destekler:

postscreen_dnsbl_sites = zen.spamhaus.org*3, b.barracudacentral.org*2, bl.spamcop.net*1
postscreen_dnsbl_threshold = 3
postscreen_dnsbl_action = enforce

Bu örnekte ZEN'deki bir listeleme tek başına reddetmeye yeter, diğer iki liste ise ancak birlikte eşleştiğinde eşiğe ulaşır. postscreen_dnsbl_action ayarının varsayılan değeri ignore olduğundan, reddetme için açıkça enforce seçilmelidir. SpamAssassin tarafında ise RCVD_IN_SBL veya RCVD_IN_XBL gibi kurallar iletinin spam skoruna puan ekler. Proxmox Mail Gateway de aynı postscreen mekanizmasını DNSBL siteleri ve eşik değeri ayarlarıyla sunar.

URI kara listeleri: DBL, SURBL ve URIBL

Bazı listeler IP adresini değil, iletinin gövdesindeki bağlantıların alan adlarını hedefler. Spamhaus DBL, SURBL ve URIBL bu türün en bilinen örnekleridir. Ele geçirilmiş bir hesap gibi temiz bir kaynaktan gönderilen oltalama iletisi IP kara listelerinden geçebilir; ancak içindeki sahte giriş sayfasının alan adı listelenmişse yakalanır. SpamAssassin bu kontrolleri URIBL_DBL_SPAM gibi kurallarla yapar. Bu yönüyle URI listeleri oltalama saldırılarına karşı önemli bir katmandır.

Yanlış listelemeler neden olur?

Her listeleme bir spam göndericisine işaret etmez. Meşru kurumların listeye girme nedenleri arasında şunlar sayılabilir:

• Paylaşımlı barındırmada aynı IP'yi kullanan başka bir müşterinin spam göndermesi (özel ve paylaşımlı IP farkı)
• Ele geçirilmiş bir e-posta hesabı ya da kötüye kullanılan bir web formu
• IP adresinin daha önce kötü niyetli birine tahsis edilmiş olması
• Son kullanıcı IP aralığından doğrudan posta gönderilmesi
• Sahte gönderen adreslerine geri dönen ileti üretilmesi (backscatter)
• PTR kaydının eksik ya da genel (generic) olması

Listeden çıkmak için önce hangi listede olduğunuzu geri dönen iletiden belirleyin, sorunun kaynağını giderin, ardından listenin kendi kaldırma sürecini izleyin. Adımlar kara listeden çıkma rehberinde, listelenmenin uzun vadeli etkisi ise IP itibarı yazısında anlatılıyor.

MXZilla, giden posta için kullandığı IP adreslerini DNS kara listelerine karşı sürekli izler; listelenen bir IP havuzdan çekilir.

Sonuç

DNSBL'ler, düşük maliyetle büyük miktarda spamı bağlantı aşamasında durduran güçlü araçlardır; doğru çözümleyici, doğru liste ve dengeli bir reddetme politikasıyla kullanıldıklarında yanlış engelleme riski de azalır. Gönderici olarak listelere girmemenin temeli doğru yapılandırmadır; alan adınızın SPF, DKIM, DMARC ve MX kayıtlarını ücretsiz güvenlik kontrolü ile inceleyebilir, itibarı izlenen gönderim seçeneklerini paketler bölümünde görebilirsiniz.

Sık sorulan sorular

IP adresimin bir RBL'de olup olmadığını nasıl anlarım?

IP adresinizin oktetlerini ters çevirip liste alan adına ekleyerek dig ya da nslookup ile sorgulayabilirsiniz; 127.0.0.x yanıtı listelendiğinizi gösterir. Sorguyu genel bir DNS çözümleyicisi yerine kendi çözümleyicinizden yapmanız gerekir. Listelerin kendi web sitelerindeki sorgulama sayfaları ise neden listelendiğinizi de açıklar.

RBL'de olmak e-postalarımın hiç teslim edilmeyeceği anlamına mı gelir?

Gelmez. Sonuç, alıcı sunucunun hangi listeyi nasıl kullandığına bağlıdır: bazı sunucular doğrudan reddeder, bazıları yalnızca spam puanı ekler, bazıları o listeyi hiç sorgulamaz. Yine de Spamhaus gibi yaygın listelerde yer almak teslim edilebilirliğinizi ciddi biçimde etkiler.

Hangi RBL'leri kullanmalıyım?

Doğrudan reddetme için yanlış pozitif riski düşük ve iyi yönetilen listeleri, örneğin Spamhaus ZEN'i tercih edin. Diğer listeleri ağırlıklı puanlama ya da içerik skoru için kullanmak daha güvenlidir. Her listenin kullanım koşullarını, özellikle ticari kullanım ve sorgu hacmi sınırlarını mutlaka okuyun.

Neden genel DNS çözümleyicisiyle RBL sorgusu yapılmamalı?

Büyük listeler genel çözümleyicilerden gelen sorguları engeller ve gerçek sonuç yerine hata kodu döndürür. Bu durumda listeleme bilgisi alınamaz ya da hata kodu yanlış yorumlanarak meşru posta reddedilebilir. Posta sunucusunda kendi önbellekli çözümleyicinizi çalıştırmak bu sorunu ortadan kaldırır.

Kara listeden çıkmak için ücret ödemek gerekir mi?

Spamhaus, Barracuda ve SpamCop gibi yaygın listelerden çıkmak için ücret ödenmez. Bazı listeler ücretli hızlı kaldırma seçeneği sunar, ancak sorunun kaynağı giderilmediyse adres kısa sürede yeniden listelenir. Kaynağı bulup düzeltmek her zaman ilk adımdır.