今年も開催します！ISPメール運用者の皆さんによる運用ノウハウ・苦労話など、COVID-19時代におけるサービス／システムの安定運用に欠かせない話題を共有します。 三浦 敏孝氏 フリービット株式会社

1. Spammer対策3分クッキング
したい
フリービット株式会社 技術本部 クラウドサービス部
三浦敏孝

2. 自己紹介
2
• フリービット株式会社: ISPサービスをOEM提供など
• 割と何でも屋に近い、開発もする運用担当
• 1999/4～ DTI
• ISPのサーバサービス全般
• DNS, Radius, WWW, Mail, … (NWと顧客DB以外何でも)
• 調達関係、対外接触、データセンタ構築運用
• 2007/8～ フリービットに買収され、遊撃隊仕事
• その中でGmail対抗メールサービスの開発・構築・運用
• 2015/5～ フリービットに転籍
• 現在はOEM向けメールサービスとDTIのISPサーバサービス運用担当
FreeBit Co., Ltd.

3. 乗っ取りspammer: 長い話題
3
• もう10年くらいずっと同じ話をしてる
• 対策の決め手がないので
• いや、ないわけではないんだが……
• ひとつの対策では効果が低くて、spammerのワークフロー全
体に対する打ち手が必要
• そのひとつひとつの打ち手にも結構手がかかる
• 作らないとない部品もある
⇒ 低体力事業者は打ち手が遅れがち
• サービス仕様変更のユーザ告知などはまた別の話
FreeBit Co., Ltd.

4. 総合的対策: やること多い
4
段階 問題の性質 ありうる対策 項番
ID窃取 弱いパスワード パス変画面で強さバリデーション
既存の弱いパスワードはロック
(1)
ID名前空間狭い 認証IDをメールアドレスに (2)
共通 アクセス元分布 ID数/IP数比ペナルティ、GeoIPで重み
付け、国間移動ペナルティ
(3)
ユーザ認知 ログイン事実通知、多要素認証 (4)
送信 送信の量自体 検知してIDロック、ID毎流量制限、
エラー率ペナルティ
(5)
ブロックリスト 出口分離、リストチェック、
IPローテーション
(6)
FreeBit Co., Ltd.

5. 技術の普及にはレシピが必要
5
• 業界団体が各種技術的提案してきたが、普及に時間かかる
• 送信ドメイン認証: SPF, DKIM, DMARC, ARC, …
• 明らかなspammerに対するバウンス抑制
• 送信流量制限
• POP before SMTP廃止
• ドメイン認証したら次はドメインレピュテーション
• などなど
• 箱や計算リソース追加はだいたいお金に帰着: それはそれ
• 現場の運用担当: 話はわかったが、どこにどう設定する?
• 先行事業者はどうやってる?
FreeBit Co., Ltd.

6. みんなで車輪の再発明してるのが問題
6
• すぐ試せる設定レシピの有無が普及を左右する
⇒ レシピ集を作りませんか。
• 迷惑メール対策委員会ってそういう活動してないの?
• サイトに技術情報はあるが個別の実装系の情報はない
• 手法検討には戦況分析が表裏一体: 通秘かー orz
• 防御手段を開示すると初手から対策される?
⇒ では秘密結社でやろうか?
MAAWG ISP-closed みたいな
FreeBit Co., Ltd.

7. 例: リスト攻撃対策
7
• アカウント奪取: 窃用型spammerの最初のステップ
• pop/imapへのbrute force/リスト攻撃を止めたい
• あるいは、認証成功しちゃったIDへの対策
• ログイン前後に何か挟みたい
• ログ集計より効率化・即応
• Dovecotにはpost-login scriptingがある
• 認証失敗時に使えるフックあったっけ?
FreeBit Co., Ltd.

8. 例: 送信流量制限
8
• sendmailでの実装方法はいくつかあるが、どれも面倒
• sendmail.cf: check_mail/check_rcptルールでauthidを
拾って数える
• データベースマップarithで数は数えられる
• 改造してデータベースマップ追加してもいい
• milter: 接続/認証/RCPTイベントのコールバックで数える
• sendmail以外にpostfixでも使える
• 冗長化・負荷分散が難しいのでロードバランサツールが欲しい
FreeBit Co., Ltd.

9. 例: GeoIPの結合
9
• sendmailのデータベースマップになってくれたら
• 現状は改造必須
• Progマップで分離: 都度プロセス起動は重い
• 多数のメールサーバにMMDBファイル配布するのか?
• なんかAPIで包みたい
• NginxのモジュールでラップしたAPIは存在するらしい
• DNSでラップしてくれたら汎用性高まるのに
FreeBit Co., Ltd.

10. ほかにもいろいろ
10
• MLドライバにDKIM再署名とかARC検証/署名とか
• Spamチェックスコア参照して出口分離とか
• 「ちょっと流量多すぎ落ち着け」の400応答とか
FreeBit Co., Ltd.

11. 開発体制: 分業は可能か?
11
• 攻撃者側は分業が進んでる
• アカウント収集業者
• メール送信業者
• Botnet時間貸し業者
• 広告主
• など
• 我々も分業したらやりやすくなるかな?
• 戦況分析とツール需要提言は密室から
• ツール開発と設定レシピ作りはオープンで
• GitHubにプレースホルダでも作ろうか?
FreeBit Co., Ltd.

12. まとめ
12
• 技術の普及にはポン付けできるレシピが必要
• アクセス頻度や流量を制御しようとすると作るものは多い
• 分業で開発だけでもオープン化できないか?
FreeBit Co., Ltd.

13. Thank you