Sendmail로 구축한 메일 서버 운영시 별도의 방화벽 정책이나 Relay 설정을 하지 않았다면 로컬 계정의 패스워드 취약점을 이용하여
스팸 메일 발송에 악용 당하는 경우가 종종 발생 합니다.
어떤 IP에서 어떤 메일 계정에 접속하여 스팸을 발송 하는지 아래와 같은 방법으로 확인 해볼 수 있습니다.
1. 메일 계정별 접속 횟수 통계로 확인
# zgrep “authid=” /var/log/maillog* | awk ‘{print $8}’ | sort | uniq -c | grep authid | sort -r
79897 authid=tony,
16 authid=bob,
7 authid=sam,
5 authid=tomas,
위 명령어는 메일 로그상 아웃룩 같은 메일 클라이언트 에서 정상적으로 계정에 로그인한 정보를 추출하여 각 계정별로 횟수를 측정하는 방법입니다.
결과에서 보이듯이 79897번의 접속이 측정된 tony 계정이 해킹 당한 것으로 추측할 수 있습니다.
2. IP별 접속 횟수 통계로 확인
# zgrep “authid=” /var/log/maillog* | awk ‘{print $7}’ | sort | grep relay | uniq -c | sort -r
79944 relay=[174.136.57.35],
74 relay=[61.130.119.48],
4 relay=[121.135.253.58],
3 relay=[121.135.253.95],
위 명령어는 1번과 비슷한 방식으로 IP 정보만 추출하여 접속 횟수를 측정 하는 방법입니다.
결과에서 보이듯이 174.136.57.35 IP에서 79944번의 접속이 이루어 졌음을 알 수 있습니다.
이제 스팸 발송 계정과 원인이 되는 Source IP를 찾았으니, 해당 계정의 패스워드 변경 및 원인 IP 차단 등의 조치를 진행 합니다.