September 2008 - NLNOG - mailman3.nlnog.net

NLWhitelist in dnswl
by marks＠bit.nl 25 Sep '08

25 Sep '08

Goeieavond, sinds vandaag is de nlwhitelist opgenomen in dnswl.org. Dat is een whitelist die wat meer internationaal gebruikt wordt (ook in spamassassin bijvoorbeeld). http://www.dnswl.org/search.pl?s=1002 Al met al wel handig, komt mail nog wat vaker aan. ;) PS: Er staan nog wat zaken op de NLWhitelist die opgeruimd moeten worden. Dat zal in de komende weken gaan gebeuren. -- Mark Schouten, Unix/NOC-engineer BIT BV | info at bit.nl | +31 318 648688 MS8714-RIPE | B1FD 8E60 A184 F89A 450D A128 049B 1B19 9AD6 17FF

1 0

Atrivo/Intercage brandje naar ams-ix ?
by marcoh＠marcoh.net 24 Sep '08

24 Sep '08

Mogguh, Lijkt erop de intercage brand is overgeslagen naar NL, een deel van de machines duikt nu op achter een ams-ix poort. Iemand die hier meer van weet, misschien zelfs ECATEL die iets kan toelichten ? Begin forwarded message: > From: "Paul Ferguson" <fergdawgster at gmail.com> > Date: September 24, 2008 6:42:53 AM GMT+02:00 > To: "Russell Mitchell" <russm2k8 at yahoo.com> > Cc: nanog at nanog.org > Subject: Re: YAY! Re: Atrivo/Intercage: NO Upstream depeer > > -----BEGIN PGP SIGNED MESSAGE----- > Hash: SHA1 > > It may be true that Estdomains has moved a couple of the external- > facing a > hosting hosts into the a Netherlands hosting provider in conjunction > with > this whole situation -- folks are watching very carefully. > > estdomains.com A 94.102.49.3 > storefront.estdomains.com A 94.102.49.5 > www.estdomains.com A 94.102.49.4 > www.estsecure.com A 94.102.49.5 > > AS | IP | AS Name > 29073 | 94.102.49.3 | ECATEL-AS AS29073, Ecatel Network > > % Information related to '94.102.48.0 - 94.102.63.255' > > inetnum: 94.102.48.0 - 94.102.63.255 > netname: NL-ECATEL-20080829 > descr: Ecatel LTD > country: NL > org: ORG-EL38-RIPE > admin-c: RvE16-RIPE > tech-c: RvE16-RIPE > status: ALLOCATED PA > mnt-by: RIPE-NCC-HM-MNT > mnt-lower: ECATEL-MNT > mnt-routes: ECATEL-MNT > source: RIPE # Filtered > > organisation: ORG-EL38-RIPE > org-name: Ecatel LTD > org-type: LIR > address: Ecatel LTD > Reinier van Eeden > P.O.Box 19533 > 2521 CA The Hague > NETHERLANDS > phone: +31702204015 > fax-no: +31702204015 > e-mail: r.eeden at ecatel.net > admin-c: RvE16-RIPE > mnt-ref: ECATEL-MNT > mnt-ref: RIPE-NCC-HM-MNT > mnt-by: RIPE-NCC-HM-MNT > source: RIPE # Filtered > > > DNSLogger: > > estdomains.com A 94.102.49.3 > estdomains.com A 216.255.176.238 > estdomains.com NS ans1.esthost.com > estdomains.com NS ans2.esthost.com > estdomains.com NS temp1.estdomains.com > estdomains.com NS ns1.estdomains.com > estdomains.com NS temp2.estdomains.com > estdomains.com NS ns2.estdomains.com > > http://www.bfk.de/bfk_dnslogger.html > > Thanks, > > - - ferg MarcoH

5 14

Atrivo/Intercage brandje naar ams-ix ?
by jeroen＠easyhosting.nl 24 Sep '08

24 Sep '08

Aantal verhelderende artikeltjes over Intercage / Atrivo http://www.spamhaus.org/news.lasso?article=636 http://www.securityfocus.com/news/5654 At 09:54 24-9-2008, Raymond Dijkxhoorn wrote: >Hi! > >Wat me op niet verbaasd, kan iemand zich nog Iquarus herinneren? Ja daar >is ook en NL-NOG thread over geweest. Diezelfde meneer van Eeden zat daar >toen ook achter. En host nu kennelijk Atrivo. Ik vind dit meer dan toeval. Met vriendelijke groet, Jeroen Wunnink, EasyHosting B.V. Systeembeheerder systeembeheer at easyhosting.nl telefoon:+31 (035) 6285455 Postbus 48 fax: +31 (035) 6838242 3755 ZG Eemnes http://www.easyhosting.nl http://www.easycolocate.nl

2 1

Virbl, de NLWhitelist en telefoontjes
by teun＠teun.tv 22 Sep '08

22 Sep '08

Hoi, Op verzoek van m'n collega Mark, die (nog?) geen post rechten heeft op deze lijst stuur ik jullie even een mailtje van hem door over Virbl: Concullegae, Sinds een week of drie is er nieuw leven in Virbl geblazen. In de afgelopen twee jaar heeft Virbl een beetje in een stoffig hoekje gelegen, maar dat is niet meer. Virbl doet weer volledig mee, dat is ook te zien aan het aantal hosts dat er inmiddels op staat; 6368 stuks. En dat het werkt kun je ook nog wel zien op [1]. Notificatie naar de AS-beheerders vanuit Virbl zal in de komende weken weer gaan werken, zodat iedereen kan aangeven of en wanneer hij wil weten dat hosts in zijn netwerk gelist zijn. Gelist staan op Virbl is niet leuk, kunnen we opmaken uit mailtjes die we op virbl at bit.nl krijgen. Voor de Nederlandse ISP is daar een prima workaround voor, de NLWhitelist [2]. Die wordt door Virbl als 'exclude' gebruikt. We zijn nog bezig met het ontwikkelen van een systeem om automatisch valide mailservers te herkennen op basis van mailtjes die bij ons afgeleverd worden en die wij probleemloos kunnen afleveren bij klanten, maar dat is nog WIP. Als je nog niet op de NLWhitelist staat, kijk dan even op [2] voor de voorwaarden en mail dnsbl at bit.nl daarover. Vanmorgen kreeg ik opmerkingen van onze support-afdelings-chief dat ze vrij veel gebeld worden over Virbl, ondanks de meldingen op de site en in de autoreply dat je hierover niet kunt/mag bellen. Het is niet geheel onverwachts dat mensen het toch proberen, maar hij wist me ook te melden in een aantal gevallen mensen door hun ISP naar ons verwezen werden. Ik wil iedereen verzoeken om dat niet te doen, maar te verwijzen naar de website [3]. We zullen nooit telefonisch reageren op opmerkingen/vragen/verzoeken over Virbl. Als je wilt doorverwijzen, verwijs dan alsjeblieft naar diegene die Virbl gebruikt. Nog even wat anders. Virbl ondersteunt IPv6. Dat wil zeggen, Virbl kan het aan en in de txt- en bind-versie van de exports kom je eventueel geliste hosts (dat zijn d'r nog niet zoveel ;)) tegen. Nu kun je met IPv6 twee dingen doen: 1: Op een aparte list zetten. Bijvoorbeeld ipv6.virbl.dnsbl.bit.nl 2: Gewoon mixen met virbl.dnsbl.bit.nl Mijn voorkeur gaat uit naar optie twee, en zeker gezien het feit dat we in Virbl geen wildcard-dingen doen is dat ook niet echt een issue. Maar als de gebruikers het niet willen schiet mijn mening ook niet echt op. Dus, wat is wijsheid? ;) Andere opmerkingen/verbeterpunten over Virbl, ascc, of de NLWhitelist zijn uiteraard van harte welkom op dnsbl at bit.nl! [1]: http://virbl.bit.nl/why.php [2]: http://noc.bit.nl/dnsbl/nlwhitelist/ [3]: http://virbl.bit.nl/ -- Mark Schouten, Unix/NOC-engineer BIT BV | info at bit.nl | +31 318 648688 MS8714-RIPE | B1FD 8E60 A184 F89A 450D A128 049B 1B19 9AD6 177FF:1

7 14

Virbl, logins
by marks＠bit.nl 18 Sep '08

18 Sep '08

Goeiemorgen, Ik heb nog een beetje verder getyped aan de Virbl login area. Je kunt daar nu een aantal zaken: * Mooi grafiekje zien met de stats van je eigen AS * Zien welke hosts in je AS gelist zijn * Evidence bekijken van de hosts die we gezien hebben We hebben hier gisteren even overlegd en besloten dat we delisting vanuit die login-area toestaan. Let wel, dat is eenmalig per week, per host. Als je een host delist en hij komt weer terug, dan ben je gewoon het lul. :) Je hebt nu dus nog een extra functie aldaar: * Suspenden van hosts Have fun! https://virbl.bit.nl/login/ -- Mark Schouten, Unix/NOC-engineer BIT BV | info at bit.nl | +31 318 648688 MS8714-RIPE | B1FD 8E60 A184 F89A 450D A128 049B 1B19 9AD6 177FF

3 2

Virbl, de NLWhitelist en telefoontjes
by marks＠bit.nl 12 Sep '08

12 Sep '08

On Fri, Sep 12, 2008 at 11:25:53AM +0200, Michiel Klaver wrote: > 404 Not Found > > The requested URL /login/hekkert.php was not found on this server. Als je hier uitkomt voldoet je username niet aan: ^[0-9]+$ en je wachtwoord niet aan ^[0-9a-z]+$. Hij redirect nu naar logerror.php, die iets descriptiever werkt. ;) -- Mark Schouten, Unix/NOC-engineer BIT BV | info at bit.nl | +31 318 648688 MS8714-RIPE | B1FD 8E60 A184 F89A 450D A128 049B 1B19 9AD6 17FF

1 0

Virbl, de NLWhitelist en telefoontjes
by jeroen＠easyhosting.nl 11 Sep '08

11 Sep '08

Scheelt dat we 't vak al 8 jaar doen, maar goed, om even niet te gaan gifpuiten even een constructieve suggestie: Nu krijgen we van klanten te horen dat er een server is geblacklist en is het kwaad dus al uren dan al niet meer als een dag geleden geschied. Er word door jullie zo gehamerd op een 'goede abuse policy', waarom worden er dan geen mails gestuurd naar de abuse e-mail die bij RIPE staat van de betreffende range of AS ? Waarom geen methode als spamcop hanteert, stuur een mail met de betreffende nodige headers, kunnen wij de klant welke de bron van de virusuitbraak is aanspreken dat 'ie geinfecteerd is of actie ondernemen om de abuser uit te schakelen. De abuse desk reageert vervolgens via een link in de gegenereerde E-mail van virbl welke actie is ondernomen, de listing word niet toegepast of per direct verwijderd, wij blij, klant blij, rest van internet blij ? Zo benadeel je actieve abuse niet, bij herhaling komt de listing gewoon terug, dus dan lijkt me dit de gulden middenweg ? Nu is 't voor ons ook een raadsel door wie de listing komt. mvg. Jeroen --------- Original Message -------- From: Alex Bik <alex(a)bit.nl> To: Jeroen Wunnink <jeroen at easyhosting.nl> Cc: nlnog at nlnog.net Subject: Re: [Nlnog] Virbl, de NLWhitelist en telefoontjes Date: 10/09/08 19:50 > On Wed, 10 Sep 2008, Jeroen Wunnink wrote: > > > Poeh... Dat hosten is eigenlijk helemaal niet zo easy he? > > -- > Met vriendelijke groet, > Alex Bik, > BIT BV > AB2298-RIPE > > ________________________________________________ Message sent using UebiMiau 2.7.10

3 2

Virbl, de NLWhitelist en telefoontjes
by jeroen＠easyhosting.nl 11 Sep '08

11 Sep '08

Dat het weer actief is, is goed te merken, er komen namelijk een flinke hoeveelheid klachten binnen op de helpdesk bij ons ook. Wij zijn inmiddeld begonnen met klanten naar de provider te sturen die de blacklist gebruikt, onze shared (directadmin) hosting servers kunnen blijkbaar niet op de whitelist worden gezet omdat ze 'shared' zijn met als advies van bit 'gebruik maar een smarthost of installeer een virusscanner' Wij hebben gisteren getest door de virbl aan te zetten op een server waar veel mailverkeer overheen gaat en er word VEEL legitieme mail geblokkeerd bij gebruik van deze blacklist service. Maar wellicht is het doorverwijzen naar BIT ook wel een goede optie zolang er geen mogelijkheid bestaat de gewenste 'shared' servers te laten whitelisten. At 16:21 10-9-2008, you wrote: >Hoi, > >Op verzoek van m'n collega Mark, die (nog?) geen post rechten heeft op >deze lijst stuur ik jullie even een mailtje van hem door over Virbl: > Met vriendelijke groet, Jeroen Wunnink, EasyHosting B.V. Systeembeheerder systeembeheer at easyhosting.nl telefoon:+31 (035) 6285455 Postbus 48 fax: +31 (035) 6838242 3755 ZG Eemnes http://www.easyhosting.nl http://www.easycolocate.nl

6 10

Virbl, de NLWhitelist en telefoontjes
by alex＠bit.nl 11 Sep '08

11 Sep '08

On Wed, 10 Sep 2008, Jeroen Wunnink wrote: > Wat is het verschil dan tussen een smarthost die gewhitelist staat maar niet > scant en een lijst met shared mailserver IP's die gewhitelist worden ? Dit > voelt meer als het doordrukken van een BIT policy/visie aan andere providers > 'omdat wij vinden dat het zo hoort' Denk je echt dat wij in de positie zijn onze mening door te drukken? BIT is een hele kleine partij, we hebben alleen een redelijk aktief anti-abuse beleid. We geven onze mening. Onze mening over dit onderwerp is al jaren hetzelfde en gezien het grote aantal providers wat VIRBL als blacklist gebruikt, wordt onze mening blijkbaar gedeeld. Wat het verschil is? In ieder geval een whitelist die het halve internet bevat, en daarom door niemand meer gebruikt zal worden, het voor handen hebben van abuse contact adressen, en de (wellicht onterechte) veronderstelling dat de relay servers van een ISP die aan de NL-Whitelist criteria voldoet waarschijnlijk door capabele mensen beheerd zal worden. Wat denk je dat er gebeurt als het halve internet op de NL-Whitelist zou staan? Zou die lijst dan nog erg nuttig zijn, denk je? Probeer het eens wat groter te bekijken dan je eigen eilandje. Heel vervelend hoor, dat mail van jou en/of je klanten niet aankomt terwijl het heel valide is. Maar wat denk je hoeveel last de rest van het internet heeft van de virussen die je geforward hebt? En dan heb ik het niet alleen over de mensen die besmet zijn, maar ook de mensen die daarvandaan weer besmet zijn, de mensen die van het net geDOSt worden, de mensen wiens creditcardgegevens gestolen worden, de mensen die per dag 1000 spammetjes ontvangen die door botnets verstuurd zijn, ... Zie overigens ook Mark's opmerkingen over het in de maak zijn van een systeem om valide mailservers automagisch te herkennen. -- Met vriendelijke groet, Alex Bik, BIT BV AB2298-RIPE

6 7

Virbl, de NLWhitelist en telefoontjes
by alex＠bit.nl 10 Sep '08

10 Sep '08

On Wed, 10 Sep 2008, Jeroen Wunnink wrote: > Neem een Directadmin / Plesk server met 1000 domeinen er op, 1 klant > is geinfecteerd en stuurt een reeks virussen via de default uitgaande > mailserver van outlook express, server word geblacklist, 999 andere > klanten zijn dan de sigaar. Klopt. En hoeveel mensen denk je dat de 'sigaar' zijn door de verspreiding van dat virus? Nogmaals: Je moet het wat groter zien dan je eigen eilandje. > Oh nee wacht, we hebben een smarthost die alle uitgaande mail > afhandelt en geblacklist staat, dus nu zijn ALLE klanten de sigaar. Ik > vind 't idee van een of twee centrale smarthosts niet zo'n heel > prettig idee in een omgeving waar veel shared web/mailservers in > staan, 't word wel erg makkelijk om compleet van internet geblacklist > te worden dan. Poeh... Dat hosten is eigenlijk helemaal niet zo easy he? -- Met vriendelijke groet, Alex Bik, BIT BV AB2298-RIPE

1 0