Zimbra: Cek Kesesuaian antara From dengan Return-Path Menggunakan Spamassassin Plugin

Spamassassin From field must match with Return-Path mungkin adalah kalimat yang tepat untuk menjelaskan arti judul artikel ini dalam bahasa inggris.
Spam memang merupakan momok yang sangat menyebalkan sekaligus menjadi tantangan untuk sysadmin yang mengelola banyak domain dengan ratusan atau ribuan akun email.
Sebagai pengguna mail server ZIMBRA artikel berikut mengenai cara-cara memerangi spam seperti Improving Anti-SPAM System dan Anti-spam Strategies pastinya sudah tuntas di baca dan di implementasikan kedalam system kita masing-masing, tapi yang namanya spam tetap saja bisa menerobos ke dalam system dengan berbagai macam teknik yang bisa mereka gunakan.
Sebagai informasi versi zimbra yang saya pakai adalah Zimbra 8.8.12 berjalan di atas OS centos 7 64bit.

Berikut salah satu contoh spam yang sering masuk kedalam system saya, sengaja domain dan ip address mereka tidak saya hidden sebagai pembelajaran kepada para spammer kalau cara mereka berbisnis merugikan orang lain.

Terlihat di contoh email spam image di atas terlihat bahwa Return-Path dan From tidak sesuai.
Return-Path: <[email protected]om>
From: “Guard My Gutter Promotion” <[email protected]>
Dan berusaha masking seolah-oleh dari dalam domain internal.

Kali ini saya akan melakukan teknik pre-check email headers untuk mencocokan Return-path address dengan From address jika kedua variable diatas tidak match maka spamassassin akan memberikan score tinggi dan email tersebut akan ditandai sebagai spam email.
Untuk bisa melakukan proses check header kita akan menambahkan satu buah plugin ke dalam spamassasin.
Plugin bisa di download di FromNotReplyTo, sebenarnya plugin ini untuk mengecek kecocokan antar FROM dengan REPLY-TO hanya sedikit saya modifikasi menjadi FROM dengan RETURN-PATH.

Sebagai root buat berkas baru di /opt/zimbra/common/lib/perl5/Mail/SpamAssassin/Plugin/ dengan nama FromNotReturnPath.pm

package Mail::SpamAssassin::Plugin::FromNotReturnPath;

use strict;

use Mail::SpamAssassin;
use Mail::SpamAssassin::Plugin;
our @ISA = qw(Mail::SpamAssassin::Plugin);


sub new {
        my ($class, $mailsa) = @_;
        $class = ref($class) || $class;
        my $self = $class->SUPER::new( $mailsa );
        bless ($self, $class);
        $self->register_eval_rule ( 'check_for_from_not_return_path' );

        return $self;
}


# Often spam uses different From: and Return-Path:
# while most legitimate e-mails does not.
sub check_for_from_not_return_path {
        my ($self, $msg) = @_;

        my $from = $msg->get( 'From:addr' );
        my $returnpath = $msg->get( 'Return-Path:addr' );

        #Mail::SpamAssassin::Plugin::dbg( "FromNotReturnPath: Comparing '$from'/'$returnpath" );

        if ( $from ne '' && $returnpath ne '' && $from ne $returnpath ) {
                return 1;
        }

        return 0;
}

Selanjutnya login sebagai user zimbra edit berkas v310.pre /opt/zimbra/data/spamassassin/localrules/v310.pre tambahkan di akhir baris.

# EDITED BY AGUSPRASETIA
# Check matching between FROM with RETURN-PATH
loadplugin Mail::SpamAssassin::Plugin::FromNotReturnPath

Masih sebagai user zimbra edit /opt/zimbra/conf/salocal.conf.in Sebelum baris “normalize_charset 1” dan masukan variable dibawah ini.

ifplugin Mail::SpamAssassin::Plugin::FromNotReturnPath

  header FROM_NOT_RETURNPATH eval:check_for_from_not_return_path()
  score FROM_NOT_RETURNPATH  4.0
  describe FROM_NOT_RETURNPATH From: does not match Return-Path:

endif

Restart Amavisd service

[zimbra]$ zmamavisdctl restart

Periksa apakah plugin FromNotReturnPath sudah aktif.

[zimbra]$ cat /var/log/zimbra.log | grep plugins
Oct 12 12:33:55 ip-host amavis[1715]: SpamAssassin loaded plugins:
AskDNS, AutoLearnThreshold, Bayes, BodyEval, Check, DCC, DKIM, DNSEval,
FreeMail, FromNotReturnPath, HTMLEval, HTTPSMismatch, Hashcash, HeaderEval,
ImageInfo, MIMEEval, MIMEHeader, Pyzor, Razor2, RelayEval, ReplaceTags,
Rule2XSBody, SPF, SpamCop, URIDNSBL, URIDetail, URIEval, VBounce, WLBLEval, WhiteListSubject

Tanpa menunggu lama jika mail server kita memang menjadi target spammer sudah ada email spam yang terjaring oleh antispam system, buka akun anda melalui web client periksa di folder SPAM atau JUNK.
Klik kanan salah satu email di folder tersebut dan klik ‘Show Original”.

Nilai maximal untuk scoring yang masuk ke dalam kategori spam adalah 6.6, dari gambar diatas nilai yang di dapat 8.254 dan kontribusi tertinggi dihasilkan oleh plugin FROM_NOT_RETURNPATH yang memberikan nilai 5.

Masih banyak plugin-plugin yang bisa kita manfaatkan untuk menghadang spam seperti contoh https://github.com/extremeshok/spamassassin-extremeshok_fromreplyto.
Silahkan gunakan dan pastikan dicoba di non-production server sampai kita yakini plugin bisa berjalan dengan baik dan tidak menggangu sistem secara keseluruhan.
Untuk memeriksa apakah ada error maupun warning di program spamassassin kita bisa gunakan perintah:

[zimbra]$ spamassassin -D --lint 2>&1 | grep -i failed

Semoga bermanfaat, Salam.