Core Antispam Engine blockt legitime E-Mails

[david]

Hi,

bei uns werden zur Zeit viele E-Mails, vorwiegend von t-online.de, blockiert da "Core Antispam Engine" ein SCL von 4 vergibt mit der Begründung: Classified as Spam.
Woran erkenne ich warum die E-Mail so bewertet wird. Die Meldung "5.7.1 This email was rejected because it violates our security policy" hilft nicht wirklich weiter.
Viele der E-Mails sind auch kein Spam und kommen teilweise von bekannten Absendern.

 

[eisback]

Hi, dasselbe Problem haben wir auch aktuell bei verschiedenen Kunden. NSP Version 14.0.5.39. Im konkreten Fall handelt es sich um E-Mails von Gmail... wir empfehlen dann immer eine E-Mail an den Empfänger zu schicken um Vertrauenspunkte zu generieren!

 

[Andy1860]

Hi,

bei uns werden zur Zeit viele E-Mails, vorwiegend von t-online.de, blockiert da "Core Antispam Engine" ein SCL von 4 vergibt mit der Begründung: Classified as Spam.
Woran erkenne ich warum die E-Mail so bewertet wird. Die Meldung "5.7.1 This email was rejected because it violates our security policy" hilft nicht wirklich weiter.
Viele der E-Mails sind auch kein Spam und kommen teilweise von bekannten Absendern.

Wir haben ebenfalls verdächtig viele "False positives" mit der "Core AntiSpam Engine" und finden leider keine Begründung für die Spam Klassifizierung. Das macht es unserem Helpdesk momentan sehr schwer mit der Pflege von Allow-Listen und eine Erklärung dem Kunden gegenüber abzugeben. Wir sind bereits mit dem NoSpamProxy Support in Kontakt und hoffen auf baldige Besserung.

 

[Andy1860]

Hi, dasselbe Problem haben wir auch aktuell bei verschiedenen Kunden. NSP Version 14.0.5.39. Im konkreten Fall handelt es sich um E-Mails von Gmail... wir empfehlen dann immer eine E-Mail an den Empfänger zu schicken um Vertrauenspunkte zu generieren!

Diese Aktion funktioniert aber nur, wenn auch Vertrauenspunke für Freemailer vergeben werden, was nicht der Standard-Einstellung bzw. Empfehlung entspricht.

 

[donquichotte]

Auch wir beobachten bei unseren Kunden viele "False positives" mit der "Core AntiSpam Engine". Scheint in erster Linie gmx, Gmail und ähnliche zu betreffen.
Gibts eigentlich ne Möglichkeit alle Bewertungen der "Core AntiSpam Engine" herauszufiltern in der Nachrichtenverfolgung (oder powershell) um zu entscheiden was eine Deaktivierung (eventuell nur für bestimmte Domains) für Folgen hätte?

 

[Thore.Mo]

Gleiche Problematik. Mittlerweile auch auf der Website vermerkt. Bzw. schon seit April

Verändertes Meldeverfahren für False Positives & False Negatives | NoSpamProxy

Wie bei der alten Cyren-Engine auch, führen die Analysen der Core Antispam Engine sowie von 32Guards hin und wieder zu False Positives und False Negatives. Wir geben Handlungsempfehlungen.

www.nospamproxy.de

 

[eisback]

Diese Aktion funktioniert aber nur, wenn auch Vertrauenspunke für Freemailer vergeben werden, was nicht der Standard-Einstellung bzw. Empfehlung entspricht.

Meinst Du die Einstellung unter Konfiguration -> Erweiterte Einstellungen -> Level-of-Trust -> Boni -> Gewähre keinen Bonus für E-Mails, die von bekannten Anbietern...? Damit sind m.E. nicht GMX, GMAIL und Co. gemeint. Diese Einstellung ist bei uns aktiv und es werden Boni für Absender bei Freemailern vergeben! Ich vermute die kuratierte Liste enthält Einträge wie trash-mail.com usw. also Wegwerf-Adressen!

 

[Andy1860]

Meinst Du die Einstellung unter Konfiguration -> Erweiterte Einstellungen -> Level-of-Trust -> Boni -> Gewähre keinen Bonus für E-Mails, die von bekannten Anbietern...? Damit sind m.E. nicht GMX, GMAIL und Co. gemeint. Diese Einstellung ist bei uns aktiv und es werden Boni für Absender bei Freemailern vergeben! Ich vermute die kuratierte Liste enthält Einträge wie trash-mail.com usw. also Wegwerf-Adressen!

Ja genau diese Einstellung meine ich. Wir haben diese Einstellung auch aktiv und bei uns werden dadurch keine Boni für GMX, Gmail, Freenet, iCloud.com und wie sie alle heißen vergeben. Im Nachrichtenlog ist dies ebenfalls unter "Überprüfung / Level of Trust / Details" sichtbar:
0 SCL für die Absenderdomäne gmx.de . Die Domäne gehört zu einem kostenlosen E-Mail-Anbieter.
0 SCL für die Absenderdomäne freenet.de . Die Domäne gehört zu einem kostenlosen E-Mail-Anbieter.
0 SCL für die Absenderdomäne icloud.com . Die Domäne gehört zu einem kostenlosen E-Mail-Anbieter.
0 SCL für die Absenderdomäne gmail.com . Die Domäne gehört zu einem kostenlosen E-Mail-Anbieter.

 

[eisback]

Für die gesamte Absenderdomäne wird auch kein Boni vergeben, aber für einzelne Absender schon!

 

[Andy1860]

Für die gesamte Absenderdomäne wird auch kein Boni vergeben, aber für einzelne Absender schon!

Das stimmt natürlich.

 

[MatthiasUe]

Auch wir haben das beschriebe Problem, gibt es seitens NSP-Support schon Neuigkeiten?
Meine Lösung war jetzt erst einmal den SCL-Schwellenwert auf 5 zu setzen, da die CAE ja immer 4 Punkte vergibt. Somit muss min. noch ein weiterer Filter etwas finden damit die Mail als Spam erkannt wird. Alle Absender in Allowlists zu packen, finde ich nicht wirklich praktikabel.

Kann man vielleicht irgendwo einstellen wie viele punkte die CAE vergibt? Den Wert auf 3 zu stellen, würde vermutlich auch schon helfen. Ich kann ja leider nur den Multiplikator anpassen.

MfG
Matthias

 

[JanJäschke]

Hallo Matthias,

Bist du ebenfalls primär von Freemailern betroffen?
Wir sind grade mit dem Hersteller zusammen an der Analyse.

Dein beschriebener Weg über SCL 5 ist aktuell ersteinmal die einfachste und global nützlichste Lösung. Ein heruntersetzen der CAE auf 3 könnte per Konfig Datei gehen, das müsste ich aber selbst erst einmal testen

Gruß
Jan

 

[MatthiasUe]

Moin Jan,
ich würde sagen zu 90% sind es Freemailer, aber auch ein paar normale Adressen. Wobei ich gar nicht genau sagen kann welche das sind. Freemailer fallen aber definitiv eher auf.

Es wäre super, wenn du es mit der Konfig Datei prüfen könntest. Wenn es geht, wäre ich an einer Anleitung definitiv interessiert Nur als Info, wir nutzen zwei Gateway Server.

Gruß
Matthias

 

[Andy1860]

Moin Jan,
ich würde sagen zu 90% sind es Freemailer, aber auch ein paar normale Adressen. Wobei ich gar nicht genau sagen kann welche das sind. Freemailer fallen aber definitiv eher auf.

Es wäre super, wenn du es mit der Konfig Datei prüfen könntest. Wenn es geht, wäre ich an einer Anleitung definitiv interessiert Nur als Info, wir nutzen zwei Gateway Server.

Gruß
Matthias

Die Lösung mit SCL 3 und der Konfig-Datei würde mich auch interessieren.

Wir haben uns als Workaround so beholfen, dass wir den Multiplikator für jeden Filter (außer für die Core AntiSpam Engine) verdoppelt haben und den SCL Grenzwert auf 8 eingestellt haben. Somit werden E-Mails die ausschließlich von der Core AntiSpam Engine erkannt werden nicht mehr geblockt.

 

[869288141]

Hallo Jan,

n heruntersetzen der CAE auf 3 könnte per Konfig Datei gehen, das müsste ich aber selbst erst einmal testen

Ich wünsche mir die Möglichkeit den Wert in der GUI zu setzen. Alles andere ist doch Basteln und führt früher oder später zu einer möglichen Fehlerquelle, die man auch nicht mehr dem Schirm hat - außer man hat eine Logbuch.

Den Fehler habt ihr vor 6 Jahren schon mal gemacht... ;-)


Gruß,
Daniel

 

[MatthiasUe]

Moin @JanJäschke,
gibt es schon etwas neues entweder Richtung finaler Lösung oder Anpassung der Konfig-Datei?

Gruß
Matthias

 

[JanJäschke]

Hallo Matthias,

leider ist die Analyse hier grade etwas schleppend, da wir auf Daten eines Kunden Warten.
(Falls du bereit wärst ggf. ein erweitertes logging zu machen gib mir per PN Bescheid, vlt hilft uns das direkt weiter)

Bezüglich der Konfig habe ich es grade einmal getestet:
Du kansnt in der Intranet Role.config "C:\ProgramData\Net at Work Mail Gateway\Configuration\Intranet Role.config" für jede Regel den wert "spamDetentionPoints" für den entsprechenden Filter ändern.
Danach dann in der NCC die Regel auf machen und z.B. mit geändertem Namen speichern. (Kannst sie danach auch wieder zurück benennen, hier werde ich noch schauen ob meine Testumgebung ein Problem hatte oder warum ein simples "Speichern und schließen" nicht ausreicht).

Danach am besten auf dem Gateway in der Konfig prüfen ob der Wert richtig übertragen wurde, beachte dabei, dsas das GW die Konfig auch erneut gespeichert hat. Das passiert alle x-Minuten =)

Danach werden dann 3 statt 4 SCL Punkte vergeben.

Gruß
Jan

 

[MatthiasUe]

Hallo @JanJäschke,
danke für die Anleitung, ich werde es hier mal testen. Bzgl. erweitertes Logging, werde ich mit meinem Teamleiter sprechen und mich dann per PN bei dir melden.

Gruß
Matthias

 

[MatthiasUe]

Moin @JanJäschke,
ich habe versucht die SCL Punkte, nach der Anleitung, anzupassen. Leider übernimmt das System die Änderungen nicht. Ich ändere die Konfig-Datei auf dem Intranet Server inkl. Namensänderung und warte bis es übertragen wird. Der neue Name steht dann auch im GW aber die Spampunkte bleiben bei 4. Muss ich während der Anpassung die Intranet-Rolle ausschalten?

Gruß
Matthias

 

[JanJäschke]

Hallo Matthias,

interessant.
Dann Stop mal vor dem bearbeiten die Intranet Rolle und versuche es noch einmal.
Ggf. war es bei mir ein glücklicher Zufall das es ohne funktioniert hat.

Gruß
Jan