Sober vs. BKA vs. Serverlast

Heute ist mal wieder so ein Tag, wo ich kein Mailserver sein wöllte. Schließlich sind diese heute extremer Last ausgesetzt. Der Grund ist mal wieder ein nerviger Sober-Wurm, der massiv durch das Netz geistert. Die Mails gaukeln vor, man hätte illegale Kopien im Netz gesaugt und das BKA wäre einem auf die Spur gekommen (siehe heise.de - Meldung) - ja ne, is klar Einem meiner Kollegen wurde zu seinem neuem eBay-Account "pipi01" oder sowas gratuliert, auch nicht schlecht. Eben erhielt ich noch ein Thawte SSL-Zertifikat, was aber dann doch eine .exe war

Wir konnten in den Morgenstunden einen ~75% höheren Mail-Traffic als an normalen Tagen feststellen. Auf einigen Mailknoten sieht es da laut Nagios eben mal so aus:

CRITICAL - load average: 94.76, 87.40, 71.91
CRITICAL - 1117 processes running

Dabei handelt es sich i.d.R. um ClamAV-Prozesse, da die Mails ja alle gescannt werden müssen. Aber Linuxserver mit mehreren CPU's können das schon ab

Auf meinen privaten Servern mit postfix blocke ich derartige anhänge direkt via RegExp:

/filename=\"?(.*)\.(bat|chm|cmd|com|cpl|do|exe|hta|jse|rm|scr|pif|vbe|vbs|vxd|xl|zip)\"?$/
REJECT For security reasons we reject attachments of this type
/^\s*Content-(Disposition|Type).*name\s*=\s*"?(.+\.
(lnk|asd|hlp|ocx|reg|bat|c[ho]m|cmd|exe|dll|vxd|pif|scr|hta|jse?|sh[mbs]|vb[esx]|ws[fh]|wav|mov|wmf|xl|zip))"?\s*$/
REJECT Attachment type not allowed. File "$2" has the unacceptable extension "$3"

Wenn man damit leben kann keine Zip's etc. mehr zu bekommen, stellt das wohl die beste Lösung dar!