Re: [SAde] Hilfe bei 5 Regeln gesucht

[email protected] wrote:

> etwas begrenzt. Ich habe zwar den Friedl (Reguläre Ausrücke), aber nie
> die Zeit ihn
> mal richtig durchzuarbeiten.

Wenn Du Regeln schreiben willst wirst Du kaum darum herumkommen, Dir
die richtige Syntax anzueignen. 

> header 		USER_EMAIL1	Subject =~ /*max\.mustermann*/

  header USER_EMAIL1  Subject =~ /\bmax\.mustermann\b/i

"\b" beschreibt die Grenze zwischen [a-zA-Z0-9_] und dem Gegenteil
und wird auch "Wortgrenze" genannt.
"*" hat bei regulären Ausdrücken in Perl _nicht_ die Bedeutung wie z.B.
im cmd.exe von Windows oder einer Shell eines Unixsystems wo es für
eine beliebige Zeichenfolge steht.

Eine passende Regel gibt es schon in SA 2.55:

  USERNAME_IN_SUBJECT Benutzername der Empfängeradresse steht am Anfang
                      des Betreffs

> header 		USER_EMAIL2	From =~ /*max\.mustermann\@aol\.com*/

Siehe obige Bemerkungen zu "*" und "\b". Vielleicht noch ein "i" hinter
den letzten Schrägstrich, um auch "Max.MusterMann" zu erkennen (i wie
"case _i_nsensitive").

> header 		USER_EMAIL3	Recipient =~
> /*\@aol\.com*\@aol\.com*\@aol\.com*\@aol\.com*\@aol\.com*/

Das sollte durch die Regel

  SUSPICIOUS_RECIPS Empfängeradressen sind sich ähnlich

erfasst werden. Dein Versuch mit "*" hätte nicht funktioniert. Eventuell
aber so:

  To =~ /.*?\@aol\.com,.*?\@aol\.com,.*?\@aol\.com,.*?\@aol\.com,.*?\@aol\.com/i
und
  Cc =~ /.*?\@aol\.com,.*?\@aol\.com,.*?\@aol\.com,.*?\@aol\.com,.*?\@aol\.com/i

Eine Kopfzeile "Recipient" kenne ich nicht.


> uri		WWW_SPAMDOMAIN_A
> /(aberbid\.com|amazinghealthteam\.com|artauction\.com|artcompendium\.com|artists-
> server\.com|awsomehealthteam?\.com)/i
> describe	WWW_SPAMDOMAIN_A	Links to to SPAM domain
> score		WWW_SPAMDOMAIN_A	10
> 
> Das Ganze gibt es dann für alle mir bekannten Spam-Domains. Könnte man das
> eleganter über eine eigene Blacklist-Datei lösen, in die nur die Domainnamen
> eingetragen werden müssen?

Dazu braucht es dann eine Erweiterung des Programms SpamAssassin, die
diese Datei liest und die Nachricht auf diese Domainnamen prüft. 
Ich habe keine Ahnung, ob das etwas bringen würde. Mir ist noch nie
aufgefallen, daß bestimmte Namen öfter vorkommen und dann auch noch
mehrere in einer einzigen Spamnachricht.

> 5. Alle Links auf .BIZ sind schon mal verdächtig, das gibt eine Strafe:
> uri		_BIZ	/*http\:*\.biz\//i
> describe	_BIZ	Links to .biz domain
> score		_BIZ	1.0

Bitte benutze keinen "_" am Anfang eines Regelnamens.

 uri   CM_BIZ    /http:\/\/(?:[\-\w]+\.)+biz\b/i

ciao
     Klaus


-------------------------------------------------------
This SF.Net email sponsored by: Parasoft
Error proof Web apps, automate testing & more.
Download & eval WebKing and get a free book.
www.parasoft.com/bulletproofapps1