@ all IQ Suite Nuzter

[hallo.dirk]

Hallo,

hat jemand interresse an einem Erfahrungsaustausch zu diesem Produckt?

Ich meine die IQ Suite kann sehr viel und ich setze sie auch wo es nur geht ein, aber vielleicht habe ich ja noch etwas vergessen oder könnte sie noch besser nutzen.....

Oder gibt es gar schon eine Group Community ?

[MOD]

Hi,

Interesse habe ich schon. Wie soll den der Erfahrungsaustausch aussehen (Modulbezogen?)?

  MOD

[hallo.dirk]

Ja ich denke das macht Sinn, da ja nicht jeder alle Module im Einsatz hat...

Ich hab auch nich so recht die Ahnung wie man sowas beginnt


Aber da ich damit angefangen habe, versuche ich mal eine Auflistung zu machen:
Dann hat man evtl. etwas zum Diskutieren.

Also erstmal ich betreibe bis zum Internet eine pure Domino Infrastruktur.
Lizenzen haben wir für:
Watchdog
Wall
Crypt
Safe
Trailer
Clerk


Ich fange mal bei den E-Mail Relays an, wo neben den Domino SMTP Einstellungen die meisten IQ Suite Jobs laufen:

Watchdog

[li]Limitierung der ein und ausgehenden E-Mails[/li]
[li]Blocken von VBS, Pif usw. Endungen (Würmer), ohne Benachrichtung der User[/li]
[li]Virenscan mit Sophos[/li]
[li]Filterung ausführbarer Dateien, mit Benachrichtigung der internen User[/li]
[li]Filterung Video Dateien , mit Benachrichtigung der Absender[/li]
[/list]

Wall
[li]Überprüfung gültige Syntax im from Feld[/li]
[li]löschung von 0k grossen Mails im Body, defekte Viren[/li]
[li]Test vom Flooding, hier muss ich noch Tunen[/li]
[li]Div. Core und DCC Filter für die einzelnen Standorte[/li]
[li]Blacklist von Absender Adressen[/li]
[li]Experiment : Filter von Scripten innerhalb einer Mail, das klappt aber so nicht wie ich mir das vorstelle....[/li]
[/list]

Crypt
[li]Entschlüsseln von Mails mit GPG[/li]
[li]Verschlüsseln mit PGP[/li]
[li]Verschlüsseln mit GPG[/li]
[li]S-Mime könnten wir, aber ich habe keinen der das braucht (mittlerweile hab ich hier auch schon Know-How verloren....[/li]
[/list]

Trailer
[li]Legal Disclaimer unter alle ausgehende E-mails[/li]
[/list]

Save
[li]Alle Ein und Ausgehenden Mails in eine Db zur Archivierung kopieren(Nscale)[/li]
[/list]

Action ich liebe diese Teil
[li]div. Jobs zum beeinflussen des Mailroutings, z.B. Felder maskieren[/li]
[/list]

insgesammt 47 Jobs....

Sonst währe da noch:

• Auf dem zentralen Hub Gateway laufen die ganzen User Quarantäne DB Jobs. So schön bunt mit Link zum öffnen der Q. von Notes und Browser.
• Auf dem Mailserver der Clerk mit der OoO Funktion
• Natürlich auf allen Server einl Virenscanner Jobs

Das ist ersteinmal meine Konfig.

Was mich noch so Interressieren würde, währen 3 Dinge:

• Hat noch jemand mehr Ideen für die SPAm/Viren Front
• Wie ist so das Mail flooding eingestellt?
• Hat schon mal jemand versucht gefähliche Script commandos zu erkennen, mehr dazur hier:
  http://www.heise.de/security/dienste/emailcheck/demos/go.shtml?mail=javascript
  http://www.heise.de/security/dienste/emailcheck/demos/go.shtml?mail=webbug
  http://www.heise.de/security/dienste/emailcheck/demos/go.shtml?mail=link_faelschung

Gruss
Dirk

[MOD]

Ich glaube - sehr persönliche Einschätzung -, dass eine reine iQ Suite Lösung für die Vermeidung von SPAM oder Viren nicht ausreicht.
Wir setzen zusätzlich ein IDS ein. Nur in Verbindung mit diesem System haben wir einen größt möglichen Schutz vor SPAM oder Viren.
Die iQ Suite setzt m.E. zu spät an.

Wir können uns aber gerne über die Jobs austauschen.

  MOD

[Driri]

Einen Austausch fände ich auch interessant. Wäre halt die Frage, wie man das am besten gestaltet.

Für die Gedys-Intraware-Produkte gab es hier im Forum ja auch schon mal den Ansatz, Gedys-Intraware hat daraufhin ein Forum zur Verfügung gestellt und nach meinem letzten Kenntnisstand ist da nicht viel draus geworden. Ich denke, für einen offenen Meinungs- und Erfahrungsaustausch unter Anwendern ist das auch nicht gerade ideal.

[hallo.dirk]

Ich glaube - sehr persönliche Einschätzung -, dass eine reine iQ Suite Lösung für die Vermeidung von SPAM oder Viren nicht ausreicht.
Wir setzen zusätzlich ein IDS ein. Nur in Verbindung mit diesem System haben wir einen größt möglichen Schutz vor SPAM oder Viren.
Die iQ Suite setzt m.E. zu spät an.

Wir können uns aber gerne über die Jobs austauschen.

  MOD

Einen Austausch fände ich auch interessant. Wäre halt die Frage, wie man das am besten gestaltet.

Für die Gedys-Intraware-Produkte gab es hier im Forum ja auch schon mal den Ansatz, Gedys-Intraware hat daraufhin ein Forum zur Verfügung gestellt und nach meinem letzten Kenntnisstand ist da nicht viel draus geworden. Ich denke, für einen offenen Meinungs- und Erfahrungsaustausch unter Anwendern ist das auch nicht gerade ideal.

Aber wieso es auf ein Produkt Beschränken? Letzendlich kommt man doch über einen Gedankenaustausch über Produkte zu einer Meinung. Es fällt zwar schwer, zumindest geht es mir so, sich in schriftlicher Form so intensiv auszutauschen, aber es ist ein Ansatz.
Ich kann 100 Berater zu einem Problem befragen und jeder sagt mir etwas anderes.
Letzendlich muss ich mir aus diesen Befragungen das, für mich, Beste raussuchen.
Ob das immer die Richtige oder mittlerweile überholte Entscheidung ist, bekomme ich nur über eine stetige Diskussion raus.
Diesen Aufruf nutze ich eben dazu, evtl. haben ja andere auch etwas davon.....

Aber Back @Topic
IDS zu verwenden ist schon mal ein Ansatz, dem ich bisher (aus meiner "Applikationsbrillen Sicht") noch nicht viel Bedeututung zugemessen habe. Hier währe schon mal ein Punkt den ich mit meinen Firewall Kollegen besprechen sollte, aber vielleicht hast Du ja mal Zeit da etwas näher drauf einzugehen, damit ich mich weiter vom meinem Domino Tellerrand entfernen kann.

Von der reinen Domino Seite aus gesehen, habe ich aber mit diesem Produkt eine Lösung, die es mir vorallem gestattet, verschiedene Ansätze mit (und das ist für mich ein entscheidener Faktor) einer einzigen Hook Task auf einem Server abhandeln kann.

Dass es bessere Lösungen in jedem Einzelsegmet der Suite Module gibt will ich nicht bezweifeln.
Aber wenn ich schon sehe was meine USA Kollegen für Probleme haben auf ihrem Domino SMTP Server Spamsentinel und einen Virenscanner so zu trennen, dass diese sich nicht darum streiten wer nun die Mail zuerst bearbeiten darf, dann beruhigt mich die Suite hier schon mal ganz schön;)
Solche Probleme kenne ich nicht!
Letzendlich bin ich heute noch froh darüber diese Produkt, damals gekauft zu haben.

Jaaaa, zu dem Einstaz der verschiedenen Module und wie man sich darüber austauscht weiss ich auch nicht so recht wie man das angeht, aber hier ist ja schon einam ein Anfang
Und so lange hier etwas reingeschrieben wird, geht es doch weiter....

[Driri]

Also wir haben den WatchDog schon seit Jahren im Einsatz. Wir haben auch noch nie wirkliche Probleme mit Virenbefall gehabt, da auf sämtlichen Systemen (Server und Clients) Virenscanner laufen. Selbst wenn also ein Virus über SMTP reinkommt, haben wir immer noch Systeme, die das abfangen können. Darum verwenden wir auch unterschiedliche Virenscanner, da jede Scanengine so ihre Vor- und Nachteile bei der Erkennung und Säuberung hat.

Dem Thema Spam widmen wir uns erst seit ca. einem halben Jahr. Wir haben bisher auch nur einen Pattern- und einen Wortlisten-Job auf der Wall aktiv. Die Core-Komponente hat meine Kollegin jetzt getestet und eingerichtet und damit wollen wir demnächst starten.

Wir haben momentan eh noch das Problem, daß noch durch die Fusion Ende 2004 zwei SMTP-Server existieren. Auf dem zweiten landen noch Mails an einen Teil der alten Domänen und da wird kein Spamfilter gepflegt (läuft zwar, aber eben so wie er 2004 zuletzt angepaßt wurde). Das soll sich dann innerhalb der nächsten 1-2 Monate auch ändern und erst dann werden wir überhaupt halbwegs aussagekräftige Zahlen haben, um mal sehen zu können, was überhaupt so hängen bleibt.

[MOD]

IDS zu verwenden ist schon mal ein Ansatz, dem ich bisher (aus meiner "Applikationsbrillen Sicht") noch nicht viel Bedeututung zugemessen habe. Hier währe schon mal ein Punkt den ich mit meinen Firewall Kollegen besprechen sollte, aber vielleicht hast Du ja mal Zeit da etwas näher drauf einzugehen, damit ich mich weiter vom meinem Domino Tellerrand entfernen kann.

Für mich sind die SPAM Abwehr Möglichkeiten der iQ-Suite sehr auf den Inhalt bezogen. Über das IDS können wir überprüfen, dass ein Mailversender auch tatsächlich existiert und z.B. Mail ablehnen wenn ein Absender an 100 verschiedene Empfänger unserer Firma eine Mail versendet. Das sind aber nur Beispiele die die iQ-Suite insbesondere CORE nicht abdeckt.

Zusätzlich haben wir einen zwei-/dreifach Virenschutz nur beim Erhalt einer Mail. Einmal das IDS und zusätzlich zwei unterschiedliche Virenscanner auf dem SMTP Server. Hinzu kommen noch die Virenscanner auf den Mailservern der Anwender und den Virenscannern auf den Clients / Datenservern.

  MOD

[hallo.dirk]

Wir haben bisher auch nur einen Pattern- und einen Wortlisten-Job auf der Wall aktiv.

Ist bestimmt sehr Pflegebedürftig, oder ?
Ich habe erst mit dem Erscheinen der Core und dem DCC Filter für alle User den Filter eingeschaltet.
Am besten gefällt mir aber der Berichstjob ist mittlerweile ein schönes Dokument geworden, den auch Browser User nutzen können um ihre Q Mails aufzumachen.
Ich hänge morgen mal ein Bild rein....

Zusätzlich haben wir einen zwei-/dreifach Virenschutz nur beim Erhalt einer Mail.

Wir haben auch noch nie wirkliche Probleme mit Virenbefall gehabt, da auf sämtlichen Systemen (Server und Clients) Virenscanner laufen. Selbst wenn also ein Virus über SMTP reinkommt, haben wir immer noch Systeme, die das abfangen können. Darum verwenden wir auch unterschiedliche Virenscanner, da jede Scanengine so ihre Vor- und Nachteile bei der Erkennung und Säuberung hat.

Also wir haben 2, Mailsystem + Lokaler Scanner.
Ich bin den Weg gegangen, sämtliche ausführbare Dateien in eine Q zu legen.
Der User wird Informiert und kann ggf. sich diese vom Helpdesk zusenden lassen.
Somit kann ich so gut wie immer die Zeit überbrücken, die ein Virenscanner benötigt um aktuell zu sein.
Sophos ist ja schnell, aber selbst 1 Stunde kann manchmal nicht reichen, ausserdem hat dieses noch einen netten Nebeneffekt:
Nur dienstliche Dateien werden von den Usern angefordert, der Rest verbleibt in der Q. (Ist schon Lustig zu sehen wie einige versuchen diesen Filter zu umgehen )

Über das IDS können wir überprüfen, dass ein Mailversender auch tatsächlich existiert und z.B. Mail ablehnen wenn ein Absender an 100 verschiedene Empfänger unserer Firma eine Mail versendet.

Ist das eine standard Funktion einer IDS? Hast Du evtl mal eine Statistik was eine IDS schon vorher Blockt ?
Laut meiner Statistik, halte ich durchschnittlich 150.000 E-Mails im Monat zurrück, wenns einen neuen Wurm gibt, auch schon mal 300.000. Das sind ca 70% des gesammten Eingangs, wenn Sie micht schon vorher von Domino Blacklistet wurden

Da Fällt mir dann auch gleichzeitig noch ein anderes Thema ein, das Greylisting. Nicht das von Domino sondern die Technik einem unbekannten Mailrelais ein (mir Fällt jetzt der Code nicht ein) "Please try again later" zu geben um die Zustellung zu verzögern.
Ein richtiges Mail Relais wird es brav noch einmal probieren ein Spammer nicht. Beim 2. Versuch wird diese Relais dann auf die Liste gesetzt und die Mail wir aktzetiert. Wie ich finde ein spannender Ansatz, der allerdings auch Nachteile bietet.

[Driri]

st bestimmt sehr Pflegebedürftig, oder ?
Ich habe erst mit dem Erscheinen der Core und dem DCC Filter für alle User den Filter eingeschaltet.
Am besten gefällt mir aber der Berichstjob ist mittlerweile ein schönes Dokument geworden, den auch Browser User nutzen können um ihre Q Mails aufzumachen.

Die Wortlisten ? Eigentlich nicht. Wir haben nicht alle mitglieferten Wortlisten verwendet und auch in den verwendeten noch Worte rausgeschmissen und eigentlich ist die False-Positive-Rate ziemlich gut. Was da als False-Positive hängenbleibt, sind meistens schmutzige Witze 

Mit Pattern meinte ich die DCC Filter.

Den Berichtsjob testen wir z.Zt. intern. Ich denke auch, daß wir den demnöchst dann freigeben, denn das ist das ideale Werkzeug, um nicht selber immer die Quarantäne durchforsten zu müssen.

Ich bin den Weg gegangen, sämtliche ausführbare Dateien in eine Q zu legen.
Der User wird Informiert und kann ggf. sich diese vom Helpdesk zusenden lassen.
Somit kann ich so gut wie immer die Zeit überbrücken, die ein Virenscanner benötigt um aktuell zu sein.
Sophos ist ja schnell, aber selbst 1 Stunde kann manchmal nicht reichen, ausserdem hat dieses noch einen netten Nebeneffekt:
Nur dienstliche Dateien werden von den Usern angefordert, der Rest verbleibt in der Q. (Ist schon Lustig zu sehen wie einige versuchen diesen Filter zu umgehen Evil

Das machen wir auch so. Bei uns werden neben ausführbaren Dateien zusätzlich VB-Klamotten und sämtliche bekannte Multimedia-Formate geblockt. Da kann man sich Freitags nachmittags immer nen vergnüglichen Start ins Wochenende mit bescheren 


Mal ne Frage zu der Q : Ich verstehe das so, daß ihr mehrere Q-Datenbanken habt. Eine für die Spams und eine für die gefilterten Anhänge ?
Wir haben momentan eine Q-DB und das ist sicherlich nicht die ideale Lösung, wenn wir die für die User freigeben. Dann können wir uns das Filtern von Multimedia-Dateien auch gleich sparen.

[SomeoneYouKnow]

Ich glaube - sehr persönliche Einschätzung -, dass eine reine iQ Suite Lösung für die Vermeidung von SPAM oder Viren nicht ausreicht.
Wir setzen zusätzlich ein IDS ein. Nur in Verbindung mit diesem System haben wir einen größt möglichen Schutz vor SPAM oder Viren.
Die iQ Suite setzt m.E. zu spät an.

Würde ich so nicht unterschreiben wollen... wir haben seit mehreren Jahren Watchdog mit 2 verschiedenen Scannern im Einsatz (am Client gibts dann natürlich einen dritten Scanner, wieder von einem anderen Anbieter) und hatten bisher keinen Virenvorfall, der durch eine nicht erkannte Mail entstanden wäre. Insofern sehe ich was Viren angeht keinen Bedarf, zusätzlich eine IDS einzusetzen.
Im Gegenteil: momentan habe ich EINE zentrale Quarantäne... nämlich die von GROUP... wenn ein Anhang geblockt wurde o.ä. weiss ich, dass sie genau DORT liegt.

Wir hatten vor ein paar Monaten eine Leihstellung von einer IDS im Hause... mein Kollege vom Netzwerkmanagement war natürlich begeistert und hat gleich vorgeschlagen, alle Mails, die ein .pif oder .scr-File als Attachment haben direkt an der IDS zu filtern und sofort wegzuschmeißen.
Klingt im ersten Moment nett... allerdings geht das genau so lange gut, bis wir mal wieder einen Firmen-Screensaver von einer externen Agentur erstellen und uns schicken lassen. Und ich möchte dann nicht einem Vorstand erklären müssen "Öhh... wie jetzt... Screensaver? Ja... den haben wir nicht angenommen... der ist weg". So guck ich in meine GROUP Quarantäne, klick einmal Resend und gut ist 

Was das Thema SPAM angeht: ich bin mit der Wall (haben wir jetzt gut ein Jahr im Einsatz) eigentlich recht zufrieden. Wir nutzen die Wall 3-stufig: Blacklist, Wortfilter und CORE.
Trotz relativ wenig Nachtraining (alle 2-3 Monate trainiere ich die CORE mit ein paar neuen Mails) ist die Erkennungsrate sehr überzeugend... false positives liegen bei uns deutlich unter einem Prozent. Und selbst bei denen sind die meisten irgendwelche Newsletter. Und da hat man nunmal das Problem: der eine sieht Newsletter als SPAM, der andre will ihn haben.

[MOD]

Was das Thema SPAM angeht: ich bin mit der Wall (haben wir jetzt gut ein Jahr im Einsatz) eigentlich recht zufrieden.

Wir sind auch mit der iQ.Suite zufrieden. Es wird dort jedoch ein anderer Ansatz verfolgt. Bei der iQ.Suite habe ich die Mail bereits im "Hause". Bei einem (unserem) IDS-System wird die Annahme bereits bei einigen Kriterien unterbunden. Und dadurch habe ich weniger Datenmüll in nur einer Datenbank. Die Mails werden einfach abgelehnt.

Zum Thema Virenschutz muss ich sagen, dass zwei verschiedene Virenscanner bei uns in der Firma nicht als doppelter Virenschutz angesehen werden. Wir setzten auch zwei unterschiedliche Virenscanner ein. Ein mehrfacher Virenschutz existiert bei uns nur auf unterschiedlichen Systemen. Daher haben wir nur ein doppelten Virenschutz durch die Nutzung des IDS. Danach gibt es dann wieder einen Virenschutz bei der Auslagerung auf den Client bzw. einem anderen Datenspeicher. Ist halt so und von uns leider nicht zu ändern.

  MOD

[hallo.dirk]

ui nun gehts aber ab

Also ich hab euch mal ein Screenshot von unserem Q-Bricht angehängt.

Mal ne Frage zu der Q : Ich verstehe das so, daß ihr mehrere Q-Datenbanken habt. Eine für die Spams und eine für die gefilterten Anhänge ?
Wir haben momentan eine Q-DB und das ist sicherlich nicht die ideale Lösung, wenn wir die für die User freigeben. Dann können wir uns das Filtern von Multimedia-Dateien auch gleich sparen.

Ja das ist einer der Gründe weshalb ich meherere Q's habe und diese Portal lösung nicht einsetze.
Ausserdem hat es auch was mit der grösse der Q zu tun, sie würde schlichtweg zu gross sein.
Filemässig habe ich 2 Q's:
Eine wo Mails landen, z.B.  mails mit vbs' Scripts, die auch nicht rein repliziert wird (der Helpdesk kommt nicht in die DMZ).
Die zweite wo der Helpdesk Mails freisetzen kann.

Und dann noch eine spam Q pro Mailserver. Hätte ich eine grosse, müssten alle User auf meinen Hub Server zugreifen und das will ich nicht ! Ausserdem hätten dann die ausländischen USer auch ein Problem, also repliziere ich die spam-Q für das jeweilige Land auf deren Server und der Bericht zeigt auf diese Q.

Wenn Du willst kann ich den Code ja mal Posten....

Das einzig Blöde daran ist, dass ich für meine Statistiken jede Db seperat öffnen muss um die Einzelwerte dann zu Addieren, aber bei dem Release 9 kann mann ja Original-Q von der Berichts-Q trennen. Aber eins nach dem anderen 6. März ist Notes 7 Update

Wir hatten vor ein paar Monaten eine Leihstellung von einer IDS im Hause... mein Kollege vom Netzwerkmanagement war natürlich begeistert und hat gleich vorgeschlagen, alle Mails, die ein .pif oder .scr-File als Attachment haben direkt an der IDS zu filtern und sofort wegzuschmeißen.

Also da währe ich auch Vorsichtig, aber spammer davon abzuhalten Mails abzusetzen, klingt ganz nett.
Aber da bräuchte ich noch mehr Input, damit ich meine FW Kollegen begeistern kann.
Denn "billig" ist ne gescheite IDS ja auch nicht....

[hallo.dirk]

Mir fällt grade, wo ich mal unser Mailarchiv durchforste, noch was ein:

Sollte man Mails die nicht dem aktuellen Datum enstprechen, blocken ?

Ich finde hier Mails von 1601 bis 2150.......

[hallo.dirk]

Hat sich einer von euch schon mal mit dem Store Modul beschäftigt?

Klingt ganz nett und wer eine Filearchivierung hat könnte diese mit Nutzen....

[blizzard]

führen wir gerade eine zur mailarchivierung...

Weiss eigentlich jemand wo das DCC Pattern abgefragt wird? Ich kann in meiner Konfig nirgends finden, wo und worüber das gecheckt wird?

[Driri]

Schau mal unter "Utilities" -> "Text Analyzer". Da müßte es einen Eintrag "DCC Analyzer" geben und dort ist als Parameter der/die Server eingetragen.

[blizzard]

Was setzt ihr denn so zur Zeit an Antispam bei der Group ein?
Hab diese Woche nen bissel rumgebastelt und bin mit dem Ergebnis sehr zufrieden.

Wenn jemand infos zu dem Store dingens braucht, dann gerne... die bauen das Ding gerade für uns so um wie es später mal aussehen soll.

[hallo.dirk]

Alles was geht 

Siehe weiter oben.....

Was setzt ihr denn für eine Archivlösung ein?

[blizzard]

für die user oder für das unternehmen gesamt ?