Spamassassin und Amavis 98% negative Scores

[diespeedy]

Hallo zusammen,

so langsam werde ich wahnsinnig, weil meine Konfiguration (unter Ubunut mit Spamassassin und Amavis) massiv viel Spam einfach negativ bewertet. Ich weiß langsam nicht mehr wo ich gucken soll. Hilfe!

Hier ein Beispiel eines Headers ( vielleicht hilft das jmd, um schon zu sagen, wo ich hingucken muss?):

Return-Path: <Nakeiahk@concretoslima.com>
Delivered-To: meinemail@mydomain.de
Received: by sub.mydomain.de (Postfix, from userid 2001)
    id DDDB060090; Mon,  6 Mar 2023 20:21:41 +0100 (CET)
X-Spam-Status: No, score=-6.9 required=4.0 tests=BAYES_00,DKIM_SIGNED,
    DKIM_VALID,DKIM_VALID_AU,HTML_MESSAGE,MIME_HTML_ONLY,RCVD_IN_DNSWL_HI,
    SPF_HELO_NONE,SPF_PASS,URIBL_BLOCKED autolearn=ham autolearn_force=no
    version=3.4.4
X-Spam-Level:
X-Spam-Checker-Version: SpamAssassin 3.4.4 (2020-01-24) on mydomain.de
Received-SPF: Pass (mailfrom) identity=mailfrom; client-ip=198.98.57.69; helo=smtp13.concretoslima.com; envelope-from=nakeiahk@concretoslima.com; receiver=<UNKNOWN>
Received: from smtp13.concretoslima.com (smtp13.concretoslima.com [198.98.57.69])
    by sub.mydomain.de (Postfix) with ESMTPS id EED6B5FE64
    for <meinemail@mydomain.de>; Mon,  6 Mar 2023 20:21:37 +0100 (CET)
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; s=root; d=concretoslima.com;
 h=Date:To:From:Subject:Message-ID:MIME-Version:Content-Transfer-Encoding:
 Content-Type; i=Nakeiahk@concretoslima.com;
 bh=TJrDgRSrkRoL92vHhNmpIpzTGJfgMgRq6ojNLCni+mM=;
 b=dqknoeNUHEH4sqtETVw4/pxsETD6BFS6Rqu0yjUkAv8OaJwo4at9cVR6+iXULPgHf0YpZC+a3Liu
   dkyvyJ8KYhW3J4pcUfNTtZA1eeQ4GHZeXsNUZfmXgpYPSnyg/uzry3A1XL7C6qBzXly8GN2XN95D
   IV1iXMzGQ8T1HG8VgtI=
Received: from tischlerei-fruehling.de (tischlerei-fruehling.de [98.1.45.122])
    by tischlerei-fruehling.de (8aQoOEINh) with ESMTP ID: gEZq_xYL
    Mon, 06 Mar 2023 20:21:35 +0100
Date: Mon, 06 Mar 2023 20:21:35 +0100
To: "mir" <meinemail@mydomain.de>
From: "Die Nr. 1 bei Sixx" <Nakeiahk@concretoslima.com>
Subject: du und ich Covid und Sex?
Message-ID: <oyko_f_M76xcvII0K7Ed5DK6qLuU3UB702JO134u6SO057@tischlerei-fruehling.de>
MIME-Version: 1.0
Content-Transfer-Encoding: 8bit
Content-Type: text/html; charset=utf-8

Hat jemand eine Idee? Wenn Ihr eher Konfigs braucht, um mich hier ggf. zu unterstützen, lasst mich bitte wissen welche. Es sind sooo viele.

Danke vorab für jede Anregung!

LG
DieSpeedy

 

[greystone]

Schau mal da:

https://forum.iredmail.org/topic18941-spam-scores-distorted-by-rcvdindnswlhi5.html

Da gibt's Empfehlungen für Dein Problem.

Grundsätzlich würde ich mir da mal mehr die einzelnen Score-Werte (BAYES_00,DKIM_SIGNED,DKIM_VALID,DKIM_VALID_AU,HTML_MESSAGE,MIME_HTML_ONLY,RCVD_IN_DNSWL_HI, SPF_HELO_NONE,SPF_PASS,URIBL_BLOCKED) der Amavis-Regeln anschauen. Die Whitelist-Regel ist da jetzt nur die erste, die mir ins Auge stach. Aber bei -6.9 muss da noch mehr sein, was als positiv(=Nicht-Spam) gewertet wird.

Ist vielleicht in Deinem Mail-Log protokolliert.

 

[diespeedy]

Hi greystone,

danke für den Hinweis. Probiere das gerade aus.
Leider ist irgendwas vor ein paar Wochen passiert, was meine ganze Spamkonfiguration scheinbar ausgehebelt hat. Seidem loggt das System auch irgendwie nicht mehr, was eigentlich gedacht war. Daher werde ich trotz Konfigänderung zum Logging einfach aus nichts mehr schlau.

Aber mal sehen, vielleicht bringt mich das konfigurieren der Scores weiter.

 

[greystone]

Die Score-Effekte siehst Du auch direkt in den Spamassassin-Regeln mit dem hier aufgeführten Namen.

Ansonsten: Wenn da irgendwie die Konfiguration kaputt ist, dann wäre es vielleicht gut, die Konfiguration nochmal komplett neu zu machen und für den Fall ab sofort auch ein Backup einzurichten, dass man bei Bedarf wieder herstellen kann.

Für den Fall "Ich habe die Konfig kaputt gespielt, und krieg's nicht mehr zurück gesetzt" eignet sich ganz gut der etckeeper: Eine Versionsverwaltung für /etc.

Ansonsten sieht es so aus, dass Dein Spamfilter sich gemäß der Konfiguration selbst kaputt trainiert hat. In der gezeigten Mail - eine Spam-Mail - steht "autolearn=ham". D. h. den Bayes-Filter kannst Du in Spamassassin mal direkt deaktivieren("use_bayes 0" in local.cf), weil der vermutlich den Score aller Spams kontraproduktiv senkt (BAYES_00?). Kaputt trainiert heisst dabei, dass der autolearning-Prozess mit jeder Menge Spams gefüttert wurde und diese Spams als Beispiel für Nicht-Spam gelernt hat. D. h. die ganzen Worte, die darin vorkommen(Sex, Porn, Viagra, ...) sind jetzt Triggerwörter für gute Mails.

 

[serone]

Keine der IP-Adressen aus Deinen Received-Headern ist auf dnswl.org gelistet, dennoch wird RCVD_IN_DNSWL_HI getriggert. Hast Du einen Received-Header weggelassen oder IP-Adressen anonymisiert, so wie "mydomain.de"? Üblicherweise sind RBL-Checks kaputt, wenn "trusted_networks" im SpamAssassin nicht korrekt konfiguriert sind.