Czwartek, 11 III 2010

wersja do druku

Wytyczne dla ISP z białym kapeluszem^[1.]

Tekst oryginalny: Abuse department best practices, Shmuel (Seymour J.) Metz, 2004.
Tłumaczenie i adaptacja: Dominik 'Rathann' Mierzejewski

Wstęp - od tłumacza

Zdaję sobie sprawę, że w polskich warunkach nie wszystko z zamieszczonego poniżej poradnika można realizować, ale też trzeba sobie zdawać sprawę, że takich praktyk jak niżej opisane mogą od nas oczekiwać nasi sąsiedzi z innych państw, nie znający 'polskiej specyfiki'. Dlatego na razie można ten poradnik traktować jako opis tego, jak funkcjonują operatorzy internetu w USA, oraz w jakim kierunku zapewne będą zmierzać operatorzy w Europie, w tym - również w Polsce.

Wytyczne

Zakładam, że interesują cię informacje, jak chronić siebie, nie jak chronić resztę sieci. Część moich sugestii ma na celu uchronienie cię przed "spaleniem" przez spamerów.

"Uncja zapobiegliwości jest warta funta lekarstw." Pierwszy krok to superszczelny regulamin. Szczegóły powinieneś omówić z prawnikiem, ale generalnie interesują nas sformułowania, które:

1. Uczynią twoje usługi nieatrakcyjnymi dla spamerów.
2. Uczynią naruszenia regulaminu kosztownymi.
3. Uchronią cię przed utratą reputacji lub klientów.
4. Pozwolą odzyskać koszta poniesione z powodu naruszenia regulaminu.

Ogólnie zalecałbym co następuje:

1. Wymóg ujawnienia wszystkich uprzednich przypadków utraty konta.
2. Wymóg ujawnienia jakiegokolwiek zaangażowania w spamowanie, obecnie lub w przeszłości, nie ograniczając się do samej wysyłki.
3. Zakaz używania twojej sieci do wspierania spamerskiej działalności, włączając w to DNS, skrzynki pocztowe, serwery poczty czy WWW.
4. Zakaz używania twojej sieci do jakichkolwiek nielegalnych celów.
5. Wymóg zgody od działu abuse (abuse staff) na przyjęcie danego klienta, po zapoznaniu się przez pracowników działu z ujawnionymi przez niego informacjami, a przed podpisaniem umowy z klientem.
6. Możliwość natychmiastowego zawieszenia świadczenia usług z powodu naruszenia regulaminu, np. z powodu podania niekompletnych lub fałszywych informacji w punktach 1 i 2.
7. Wysokie opłaty za naprawę szkód, jakie wyrządził spamujący klient oraz za każdy przypadek spamu.
8. Możliwość upubliczniania informacji o wszelkich naruszeniach regulaminu.
9. Możliwość odzyskania kosztów prawnych w przypadku naruszenia regulaminu.
10. Jeśli klient twierdzi, że masowa wysyłka była zamówiona, musi on przedstawić na to dowody w postaci zarówno prośby subskrybenta, jak i potwierdzenia subskrypcji.
11. Masz prawo blokować lub przycinać porty na serwerze klienta, dopóki klient nie udowodni, że serwer jest odpowiednio zabezpieczony.
12. Jeśli naruszenie wystąpiło nieumyślnie (z powodu zaniedbania) i zdecydujesz się nie pozbywać klienta, musi on zapłacić za naprawę szkód i przejść kontrolę zabezpieczeń zanim konto zostanie przywrócone.

Następny krok to upewnienie się, że skargi docierają do ciebie. Zalecałbym:

1. Upewnić się, że w każdej ze swoich domen masz działające adresy abuse, postmaster i security. Nie oznacza to, że musisz mieć oddzielne serwery pocztowe. Wszystkie MXy mogą wskazywać na ten sam serwer, jeśli tylko rozpoznaje on wszystkie potrzebne adresy i poprawnie obsługuje ruch. To samo odnosi się do pozostałych adresów z RFC 2142; jedynym wymaganiem jest to, aby można było wysłać na nie pocztę.
2. Stosowanie bezpiecznego oprogramowania do obsługi skarg. Musi ono potrafić czytać i analizować załączniki bez automatycznego uruchamiania skojarzonych z nimi aplikacji. Część poprawnych zgłoszeń będzie dotyczyła ataków robaków i wirusów, a nie chciałbyś chyba zarazić się lub odrzucać poprawnych skarg bez czytania.
3. Sprawdzenie wszystkich wymaganych kont systemowych (role accounts), wysyłając na nie pocztę spoza swojej sieci. Sprawdź również wszystkie adresy, które podajesz we WHOIS.
4. Wyłączenie filtrowania po zawartości dla kont systemowych. W przeciwnym razie ryzykujesz odrzucanie poprawnych zgłoszeń i możesz trafić na czarne listy.
5. Rozważ wystawienie serwera FTP, na który można byłoby wrzucać spam. Dodatkowo twoi klienci mogliby w ten sposób prosić o analizę "karmy dla filtrów".

Teraz musisz upewnić się, że twoja polityka jest realizowana. Zalecałbym wewnętrzne zasady, które zapewniają, że:

1. Decyzje działu abuse nie mogą być zmieniane bądź odwoływane przez dział sprzedaży i/lub marketingu.
2. Dział sprzedaży traci premie za przyjęcie spamerów.
3. Dział abuse musi sprawdzić klienta po pierwszej skardze i zawiesić po pierwszym potwierdzonym naruszeniu regulaminu. Od momentu potwierdzenia zawieszenie powinno nastąpić raczej w ciągu kilku godzin niż kilku dni.
4. Dział abuse musi mieć wystarczające uprawnienia, zasoby, ludzi oraz wyszkolenie, aby wykonywać swoją pracę.
5. Dział abuse powinien wystawić swoje własne spamtrapy na zewnątrz i monitorować je w poszukiwaniu spamu od klientów.
6. Dział abuse powinien monitorować odpowiednie fora, np. mordplik, NANA*, SPAM-L.
7. Próby nacisku ze strony działu sprzedaży powinny być podstawą do zwolnienia pracownika działu sprzedaży.

Wreszcie mamy PR. Przedstawianie siebie w dobrym świetle nie naprawi złej reputacji, ale jeśli prowadzisz porządną sieć i chcesz powiedzieć o tym światu, polecałbym:

1. Uczestnictwo w odpowiednich forach, np. mordplik, NANA*, NANOG, SPAM-L.
2. Wysyłanie powiadomień o odłączeniu klientów na mordplik.
3. W ramach systemu śledzenia zgłoszeń wysyłanie informacji o odłączeniu w odpowiedzi na kolejne skargi. Można to zautomatyzować, ale jeśli skarg jest mało, wysyłanie osobistych odpowiedzi w stylu afterburnera jest mile widziane.

Od tłumacza

A na koniec, dla zwolenników jednego ostrzeżenia, zacytuję Setha i Godwina:

Odnośniki

1. Responsible ISP Acceptable Use Policies ("AUP") - przykłady zapisów antyspamowych w regulaminach kilku największych operatorów Internetu.

Przypisy

^[1.]Co to takiego "biały kapelusz"?

Za spamfaq.net:

Data ostatniej modyfikacji: 12 V 2004

wersja do druku