DNSBL

DNSBL (DNS blocklist) — списки хостов, хранимые с использованием системы архитектуры DNS. Обычно используются для борьбы со спамом. Почтовый сервер обращается к DNSBL и проверяет в нём наличие IP-адреса клиента, с которого он принимает сообщение. При положительном ответе считается, что происходит попытка приёма спам-сообщения. Серверу отправителя сообщается ошибка 5xx (неустранимая ошибка) и сообщение не принимается. Почтовый сервер отправителя создаёт «отказную квитанцию» отправителю о недоставке почты.

Типы DNSBL

• Списки открытых релеев — база данных почтовых серверов, неправильно сконфигурированных, которые позволяют пересылать через себя почтовые сообщения для всех желающих. Как правило данные хосты автоматически сканируются в Интернете, поэтому попадание такого хоста в руки людей, рассылающих спам, происходит очень быстро (не более 4 дней). При использовании данных списков существует наименьшая опасность блокирования обычной почты, так как сервер попадает в список, только после проверки его специальным почтовым роботом.

• Списки спам-серверов — база данных серверов, через которые было замечено прохождение спам-сообщений. Данные списки составляются на основе показаний пользователей, получивших спам с какого-либо сервера, поэтому они могут содержать устаревшую или просто неверную информацию.

• Список Dialup-адресов — список ip-адресов провайдеров, используемых ими для организации сервиса удалённого доступа, и, следовательно, которые не могут быть адресами почтовых серверов. Использование данных списков практически безопасно для легальной почты.

• Список открытых прокси-серверов HTTP/Socks без контроля доступа, позволяющие любому пользователю совершать неавторизованные действия, скрывая свой реальный IP-адрес, незаконные действия включают не только рассылку спама, но и многочисленные иные варианты.

DRBL — Distributed Realtime Blocking List

После 31 июля 2001, когда MAPS LLC прекратило предоставлять сервис публично, была разработана альтернатива — DRBL (Distributed Realtime Blocking List). На смену проприетарного подхода MAPS LLC к ведению и контролю над списком блокируемых IP-адресов в DRBL пришёл иной подход — распределённый, позволяющий организациям и частным лицам не просто собирать свою базу (в том числе методами, описанными выше), но и обмениваться этими списками с коллегами. Каждый участник (node) имеет в своём распоряжении все доступные ему возможности составления списков блокируемых IP для публикации их посредством DRBL (своей DRBL-зоны). В DRBL-зоне принято публиковать то, что сам участник блокирует на своём почтовом сервере. К примеру, происходит обработка почтовой корреспонденции на стороне сервера, где выявленный спам не просто не пропускается в ящики пользователей, но и IP источника этого спама немедленно публикуется в DRBL-зоне провайдера. Почтовые сервера других компаний, настроенные на работу с этой DRBL-зоной, немедленно смогут воспользоваться этой информацией и отвергнуть корреспонденцию от источника спама (по IP) ещё до её приёма, без дополнительной обработки спам-сообщения. Такой подход позволяет значительно снизить накладные расходы сервера на обработку спам-сообщений для всех участников сети. Провайдеры обычно публикуют IP-адрес источника спама на короткое время в их DRBL-зоне. Частные лица, держатели DRBL-node’ов, обычно отличаются более экстремистским подходом, вплоть до ручной блокировки (навечно) целых сетей /8, по географическому признаку (Китай, Япония). Зачастую DRBL-зона частного лица не подходит для использования интернет-сервис-провайдерами в силу слишком редкого её обновления.

DRBL предусматривает критерии оценки веса информации, полученной от каждой конкретной DRBL-зоны, что позволяет не блокировать всё подряд и доверять информации, полученной из разных источников по-разному. В России этой системой пользуются многие Интернет-провайдеры. Эффективность публикуемого посредством DRBL-зоны списка IP-адресов тем выше, чем оперативнее участник заносит в список новые IP-адреса, являющиеся, по его мнению, источниками спама и исключает оттуда устаревшие. Политика каждой DRBL-зоны публикуется её держателем. Вы вольны выбирать и подключать те зоны, чья политика кажется Вам вменяемой, методы, используемые для сбора и исключения адресов, — оперативными, а обновление DRBL-зоны — достаточно частым.

Проверка

Чтобы проверить, заблокирован ли IP-адрес каким-либо DNSBL-списком, надо указать проверяемый IP в нотации DNS PTR (задом наперёд) и добавить имя домена DNSBL-сервера. Если ответ будет получен, то данный адрес заблокирован (находится в списке):

$ host -tA 71.60.206.220.bl.spamcop.net
220.206.60.71.bl.spamcop.net has address 127.0.0.2

Полученный IP-адрес может оказаться любым, важен лишь факт его наличия (отсутствия) в ответе на запрос. Именно поэтому сам IP можно использовать для описания, скажем, типа источника, по которому искомый адрес был добавлен в список. К примеру, 127.0.0.1 — открытые релеи, 127.0.0.2 — источники portscan’ов, и т. п. По той же причине полезно использовать host с опцией -t any, в ответ на которую вы можете получить дополнительный комментарий в поле типа «текст» (TXT RR):

$ host -t any 116.47.136.151.vote.drbl.sandy.ru
151.136.47.116.vote.drbl.sandy.ru descriptive text "070715:Spam in progress"
151.136.47.116.vote.drbl.sandy.ru has address 127.0.0.2

Пример адреса, которого нет в DNSBL-списке.122.235.215.212

$ host -tA 72.205.229.181.bl.spamcop.net
Host 181.229.205.72.bl.spamcop.net not found: 3(NXDOMAIN)

Существует ряд веб-сервисов, поддерживающих проверку заданного IP-адреса в большом количестве действующих на данных момент DNSBL- и RHSBL-списков (200 и более). Например, проверить блокировку 71.60.206.220 в 259 списках (англ.).

Использование

Существует 2 метода использования данной технологии.

1) Однозначная блокировка — отклонение сообщений, которые пришли с IP-адреса, находящегося в DNSBL

2) Взвешенный подход. При таком подходе сообщение, пришедшее с IP-адреса, находящегося в DNSBL, не блокируется, но этот факт учитывается при классификации «спамности» письма.

При использовании первого подхода все письма с IP-адресов, попавших в DNSBL, однозначно отклоняются. Независимо от того, попал ли IP-адрес в чёрный список заслуженно или же по ошибке (что всё чаще и чаще встречается на практике). Использование второго подхода отлично иллюстрируется opensource-спам-фильтром spamassassin. Когда для классификации сообщения применяется взвешенный подход, то есть анализ по множеству критериев. В таком случае нахождение IP-адреса отправителя в чёрном списке не является единственным и результирующим фактором, который влияет на решение о классификации сообщения, что в свою очередь означает снижение количества ложных срабатываний фильтра в тех случаях, когда IP-адрес отправителя попал в чёрный список по нелепой случайности.

На данный момент (2023 год) использование технологии DNSBL по первому принципу приносит проблемы в виде невозможности доставки чистой почты. Некоторые организации, поддерживающие DNSBL, стали вносить в списки целые диапазоны и даже автономные системы.

Второй подход используют крупные почтовые системы, такие как Yandex или Mail.ru.

См. также

• Открытый релей
• DNSWL — аналогичный по технологии белый список почтовых отправителей.

Ссылки

• DNSBL.SMTP.BZ — Проверка IP по 100+ DNSBL-спискам (англ.)
• DNSBL Lookup (Check IP against the most active DNSBLs) (англ.)
• Multiple DNSBL lists check (total 69 lists) (англ.)
•  (недоступная ссылка с 02-09-2016 [2985 дней])Список DNSBL-списков
•  (недоступная ссылка с 02-09-2016 [2985 дней])Проверка по большому количеству DNSBL-списков
• Почему я не использую DNSBL. В помощь начинающему постмастеру, WOLAND’s blog, 2008
• RBL: вред или польза? / Securelist, 3 сен 2003
• Ещё раз про RBL’и / Securelist, 2 июн 2005
•  (недоступная ссылка с 02-09-2016 [2985 дней])Проверка репутации DNS-сервера — проверить, был ли IP-адрес зарегистрирован в базе DNSBL
• RBLDNS.RU — российский проект ведения базы IP-адресов, замеченных в рассылке спама. Для распространения базы адресов используется технология RBL DNS или DNS BL.