Giden Spam Nasıl Engellenir? Sunucu ve Hosting Rehberi

Giden spam, kendi sunucunuzdan ya da kullanıcı hesaplarınızdan dışarıya istenmeyen e-posta gönderilmesidir ve çoğu zaman sizin değil, sistemlerinize sızan birinin işidir. Önlemenin yolu kimlik doğrulamasız gönderimi kapatmak, hesap başına limitler koymak ve olağan dışı trafiği teslim edilmeden önce yakalayıp bekletmektir.

Giden spam neden bu kadar zararlı?

Gelen spam bir rahatsızlıktır; giden spam ise doğrudan sizin itibarınızı tüketir. Sunucunuzdan çıkan birkaç saatlik bir spam dalgasının sonuçları şunlardır:

• Gönderen IP kara listelere girer ve tüm kullanıcıların postaları reddedilmeye başlar.
• Alan adınızın itibarı düşer, meşru postalar spam klasörüne gider.
• Hosting veya veri merkezi sağlayıcınızdan kötüye kullanım (abuse) bildirimleri gelir.
• Destek ekibi günlerce teslimat sorunlarıyla uğraşır.

Listeye girdikten sonra izlenecek yolu kara listeden çıkma rehberinde anlattık; ancak en ucuz yol, o noktaya hiç gelmemektir.

Giden spam nereden kaynaklanır?

Ele geçirilmiş e-posta hesapları

En yaygın kaynak budur. Saldırgan; oltalama postalarıyla çalınan, başka sitelerden sızan ya da zayıf olduğu için tahmin edilen bir parolayla sunucunuza meşru bir kullanıcı gibi bağlanır ve SMTP kimlik doğrulamasıyla gönderim yapar. Trafik yetkili göründüğü için basit röle kuralları bunu durdurmaz. Tipik izleri ele geçirilmiş e-posta hesabı belirtileri yazısında bulabilirsiniz.

Zafiyetli CMS eklentileri ve web betikleri

WordPress gibi içerik yönetim sistemlerindeki güncellenmemiş eklentiler ve korumasız iletişim formları, saldırganların sunucuya posta gönderen betikler yüklemesine ya da formu toplu gönderim aracı olarak kullanmasına imkân tanır. PHP'nin mail() işlevi üzerinden yapılan bu gönderimler çoğu zaman kimlik doğrulamasından geçmez ve kaynağı bulmak zordur.

Zararlı yazılım bulaşmış bilgisayarlar

Ofis ağındaki bulaşmış bir bilgisayar, bir botnetin parçası olarak doğrudan 25 portu üzerinden spam gönderebilir ya da posta istemcisinde kayıtlı parolaları kullanarak sunucunuz üzerinden gönderim yapabilir.

Hatalı yapılandırmalar

Kimlik doğrulaması olmadan herkese röle yapan bir sunucu (açık röle) ya da güvenilir ağlar listesinin gereğinden geniş tanımlanması, saldırganların hiçbir hesap çalmadan sunucunuzu kullanmasına izin verir.

Giden spama karşı teknik kontroller

Postfix'te gönderen adresi eşleştirmesi için örnek bir yapılandırma:

# /etc/postfix/main.cf (veya yalnızca submission servisi için master.cf)
smtpd_sender_login_maps = hash:/etc/postfix/sender_login
smtpd_sender_restrictions = reject_sender_login_mismatch

# /etc/postfix/sender_login
[email protected]      [email protected]
[email protected]    [email protected], [email protected]

Bu ayarla kimliği doğrulanmış bir kullanıcı yalnızca kendisine tanımlı adreslerle gönderim yapabilir. Postfix'te istemci başına hız sınırları yerleşik ayarlarla tanımlanabilir; kullanıcı başına kota gibi daha ayrıntılı limitler için ise genellikle bir politika servisi (policy daemon) kullanılır.

Giden içerik filtrelemesi neden gerekli?

Limitler ve kimlik doğrulama kimin gönderdiğine bakar; içerik filtrelemesi ise neyin gönderildiğine. Gelen postayı tarayan spam ve virüs motorlarının giden postaya da uygulanması, ele geçirilmiş bir hesaptan çıkan oltalama iletilerini ve bulaşmış bir bilgisayarın eklediği zararlı dosyaları alıcıya ulaşmadan yakalar. Bu tarama, saldırganın alan adınızı kullanarak iş ortaklarınıza zarar vermesini de zorlaştırır; sahte fatura saldırıları çoğu zaman güvenilen bir firmanın gerçek hesabından gönderilir.

Anomali tespiti: şüpheli postayı teslimattan önce yakalamak

Limitler kaba bir emniyet kemeridir; anomali tespiti ise neyin olağan dışı olduğunu hesabın kendi geçmişine göre değerlendirir. İzlenmesi gereken sinyaller şunlardır:

• Hesabın olağan hacminin birkaç katına çıkan ani gönderim.
• Tek iletide çok sayıda alıcı ya da daha önce hiç yazışılmamış alan adlarına yoğun gönderim.
• Geri dönen iletilerde ve "kullanıcı bulunamadı" hatalarında ani artış.
• Mesai dışı saatlerde ya da alışılmadık ülkelerden açılan oturumlarla başlayan gönderimler.
• Aynı konu satırının yüzlerce kez tekrarlanması.

Doğru tepki postayı silmek değil, bekletmektir. Şüpheli iletiler kuyrukta tutulur, yönetici bilgilendirilir ve hesap parolası sıfırlanana kadar gönderim durdurulur; meşru olduğu anlaşılan postalar ise serbest bırakılır.

MXZilla'de müşteri başına saatlik ve günlük gönderim limitleri uygulanır; ele geçirilmiş hesap belirtisi taşıyan veya olağan dışı hacimdeki giden postalar otomatik olarak bekletmeye alınır.

Hosting firmasının bakış açısı

Paylaşımlı hosting'de yüzlerce müşteri aynı sunucudan ve çoğu zaman aynı IP adresinden posta gönderir. Tek bir müşterinin güncellenmemiş eklentisi, diğer herkesin postalarının reddedilmesine yol açabilir. Hosting firmaları için öne çıkan önlemler şunlardır:

• Alan adı ve hesap başına saatlik gönderim sınırı koymak; cPanel gibi paneller bunun için ayar sunar.
• PHP'nin mail.add_x_header ayarını açarak iletiyi gönderen betiğin başlığa yazılmasını sağlamak; kaynağı bulmak böylece çok kolaylaşır.
• Kötüye kullanım bildirimlerine hızlı yanıt veren bir süreç işletmek ve geri bildirim döngülerine kaydolmak.
• Riskli veya yeni müşterileri ayrı bir IP havuzunda tutmak, kritik müşterilere izole IP vermek.
• Tüm giden postayı limitli ve izlenen bir smarthost üzerinden göndermek.

Kötüye kullanımla mücadele süreçlerini kurarken sektörün ortak deneyimini yansıtan M3AAWG belgeleri iyi bir başvuru kaynağıdır.

Bu korumayı müşterilerine kendi markasıyla sunmak isteyen firmalar hosting firmaları için white label spam filtresi yazısına da göz atabilir.

Olay anında ne yapmalı?

1. Kayıtlardan kaynağı belirleyin: hangi hesap, hangi betik ya da hangi IP?
2. Hesabı kilitleyin, parolayı sıfırlayın ve açık oturumları sonlandırın.
3. Kuyruktaki spam iletileri inceleyip temizleyin; kuyruğu Postfix'te postqueue -p, Exim'de exim -bp komutuyla listeleyebilirsiniz.
4. Zararlı betiği veya eklentiyi kaldırın, sistemi güncelleyin.
5. IP adreslerinizi kara listelere karşı kontrol edin, gerekiyorsa kaldırma sürecini başlatın.
6. Olayın tekrarlanmaması için limit, anomali tespiti ve iki adımlı doğrulama ayarlarını gözden geçirin.

Sonuç

Giden spamla mücadele, olay yaşandıktan sonra temizlik yapmaktan çok, olayın etkisini dakikalar içinde sınırlayacak kontrolleri önceden kurmaktır. Alan adınızın SPF, DKIM ve DMARC durumunu ücretsiz güvenlik kontrolü ile denetleyebilir, limitli smarthost ve izole IP seçeneklerini paketler bölümünde inceleyebilirsiniz.

Sık sorulan sorular

Giden spam nasıl fark edilir?

En erken işaretler posta kuyruğunun beklenmedik biçimde büyümesi, geri dönen iletilerde ani artış ve tek bir hesaptan gelen olağan dışı hacimdir. Kullanıcıların hiç yazmadıkları alıcılardan teslim edilemedi bildirimleri alması da yaygın bir belirtidir. Kara liste uyarıları çoğu zaman bu belirtilerden sonra gelir.

Kimlik doğrulamalı gönderim tek başına yeterli mi?

Hayır. Kimlik doğrulama açık röleyi kapatır ama çalınmış bir parolayla yapılan gönderimi durdurmaz. Bu yüzden limitler, anomali tespiti ve iki adımlı doğrulamayla birlikte uygulanmalıdır.

Gönderim limiti meşru kullanıcıları engeller mi?

Limitler hesabın olağan kullanımına göre belirlenirse günlük işleri etkilemez. Toplu duyuru gibi istisnai ihtiyaçlar için geçici limit artışı tanımlamak ya da bu gönderimleri ayrı bir hizmet üzerinden yapmak en sağlıklı yoldur.

Web sitesinin iletişim formu spam gönderebilir mi?

Evet. Doğrulama içermeyen formlar, alıcı adresini veya başlıkları manipüle eden isteklerle toplu gönderim aracına dönüşebilir. Formlara doğrulama ve hız sınırı eklemek, form postalarını da kimlik doğrulamalı SMTP üzerinden göndermek bu riski azaltır.

Paylaşımlı hosting'de bir müşterinin spam göndermesi diğerlerini etkiler mi?

Evet, aynı IP adresini kullanan tüm müşteriler etkilenir; çünkü kara listeler müşteriyi değil IP'yi listeler. Bu nedenle hosting firmalarının müşteri başına limit, anomali tespiti ve gerektiğinde izole IP gibi önlemleri birlikte kullanması gerekir.