Re: [SAde] BAYES_00 spukt dazwischen ...

Michael Vogel schrieb:
> Hi!
>=20
> Ich habe mir meine eigenen Regeln f=FCr MYDOOM geschrieben, die einfach=
=20
> auf den Hinweistext (Unicode can not be displayed ...) matchen und eine=
=20
> Score von 4.6 verteilt.
>=20
> Jetzt kommen aber dennoch einige Mails durch:
>=20
> -----------------------------------------
> From: Systemadministrator <postmaster-zCBrFmojYZTqOZqJ5tac4VaTQe2KTcn/@public.gmane.org>
> Subject: Unzustellbar: HELLO
> Date: Fri, 30 Jan 2004 09:44:21 +0100
> MIME-Version: 1.0
> X-Mailer: Internet Mail Service (5.5.2653.19)
> X-MS-Embedded-Report:
> Content-Type: multipart/mixed;
>     boundary=3D"----_=3D_NextPart_000_01C3E70D.415400E2"
> X-UIDL: bD;"!=3D7"#!FJc"!&W##!
> X-Spam-Checker-Version: SpamAssassin 2.60 (1.212-2003-09-23-exp) on
>     zhad.dabo.de
> X-Spam-Status: No, hits=3D1.6 required=3D5.0 tests=3DBAYES_00,MYDOOM,
>     NO_DNS_FOR_FROM autolearn=3Dno version=3D2.60
> -----------------------------------------
>=20
> Wieso setzt BAYES_00 die Score so hoch und was tue ich dagegen? (Au=DFe=
r=20
> f=FCr diese Regel die Score anzupassen) Ich habe mich mit dieser Regel=20
> noch nicht besch=E4ftigt.
>=20
> Tschau!
>=20
> Michael
>=20

Hi Michael,

1) BAYES_00-BAYES_99 haben die Bedeutung: "Der Bayes-Filter ist sicher,=20
dass das HAM ist" bzw. "..., dass das SPAM ist". Offenbar hast Du=20
returned mails u.dgl. (MyDoom sieht ja so aus) nie als SPAM lernen=20
lassen, daher denkt der Bayes-Filter, die Mails w=E4ren HAM und verteilt=20
entsprechend negative Scores drauf (offenbar -3). Das ist eine gute=20
Sache =3D> Score NICHT runter setzen, setz Deine MYDOOM-Regel halt auf=20
+20.0 oder was.

2) SpamAssassin ist nicht wirklich das richtige Tool, um Viren zu=20
filtern, aber anscheinend brauchst Du ja keinen Virenscanner, der das=20
f=FCr Dich erledigt (Linux oder Mac, nehme ich an). In dem Fall w=FCrde i=
ch=20
die Mails im Client (wie auch immer) oder MTA (filter-Skript) oder MDA=20
(procmail-Recipe) anhand der Markierung als MYDOOM l=F6schen, nicht anhan=
d=20
der Markierung als Spam in den Spam-Ordner verschieben (oder was auch=20
immer). Als Markierung f=FCrde ich dann aber so was wie=20
VIRUSMAIL___KOMPLETT_UNSINNIGES_ZEUGS_DAS_NIE_IN_EINER_MAIL_VORKOMMT=20
benutzen, falls eine Filterung nach "X-Spam-Status: .*MYDOOM" nicht=20
m=F6glich ist (kann ja sein ... ;-)).

Gruss,
Wolfram



-------------------------------------------------------
The SF.Net email is sponsored by EclipseCon 2004
Premiere Conference on Open Tools Development and Integration
See the breadth of Eclipse activity. February 3-5 in Anaheim, CA.
http://www.eclipsecon.org/osdn