Zimbra - Historial de revisiones

Mikel: /* SOPHOS FIREWALL EN MODO MTA */

2022-11-23T15:07:40Z

‎SOPHOS FIREWALL EN MODO MTA

Mikel: /* Guia Eliminación de colas en FW Sophos */

2022-11-23T15:06:24Z

‎Guia Eliminación de colas en FW Sophos

Mikel: /* SOPHOS FIREWALL EN MODO MTA */

2022-11-23T15:05:33Z

‎SOPHOS FIREWALL EN MODO MTA

Mikel en 14:59 23 nov 2022

2022-11-23T14:59:27Z

Mikel en 14:30 23 nov 2022

2022-11-23T14:30:56Z

Mikel: Protegió «Zimbra» ([Editar=Solo administradores] (indefinido) [Trasladar=Solo administradores] (indefinido))

2022-11-22T15:50:26Z

Protegió «Zimbra» ([Editar=Solo administradores] (indefinido) [Trasladar=Solo administradores] (indefinido))

Mikel en 15:49 22 nov 2022

2022-11-22T15:49:37Z

Mikel: Página creada con «/* Guía para detectar y neutralizar ataques de una cuenta de correo institucional comprometida */ ==Guía para detectar y neutralizar ataques de una cuenta de correo ins...»

2022-11-22T15:49:21Z

Página creada con «‎Guía para detectar y neutralizar ataques de una cuenta de correo institucional comprometida: ==Guía para detectar y neutralizar ataques de una cuenta de correo ins...»

Página nueva

/* Guía para detectar y neutralizar ataques de una cuenta de correo institucional comprometida */

==Guía para detectar y neutralizar ataques de una cuenta de correo institucional comprometida==

Comandos útiles:

Ver que cuentas han sido comprometidas desde el log histórico:

'''less /var/log/zimbra.log | grep sasl_username'''

Se podrá identificar las cuentas comprometidas visualizando múltiples conexiones desde una IP externa

[[image:cuenta_vulnerada.jpg|800x600px]]

Luego de identificada la cuenta de correo se procede a cambiar la contraseña y cerrar la cuenta comprometida.

Cambiar contraseña cuenta

'''zmprov sp correo.vulnerado@fcdarwin.org.ec contraseñasegura'''

Cerrar cuenta zimbra
'''zmprov ma correo.vulnerado@fcdarwin.org.ec zimbraAccountStatus closed'''

@@ Línea 27: / Línea 27: @@
 ====SOPHOS FIREWALL EN MODO MTA====
-Revisar Colas de correo en Firewall
+=====Revisar Colas de correo en Firewall=====
   '''exim -bp    // mostrar la cola de correos'''
@@ Línea 38: / Línea 38: @@
 Consultas en Base de datos de cola de correos (dashboard web)
   '''psql -U nobody -d iviewdb -p 5433 -c "select count(*) from tblmailspool where (mail_from LIKE 'usuario@dominio.com.ec%' AND time_stamp::date <= '2022-02-03')";'''
 Eliminar correos encolados de la Base de Datos (dashboard web)
   '''psql -U nobody -d iviewdb -p 5433 -c "DELETE from tblmailspool where mail_from =''";'''
@@ Línea 50: / Línea 52: @@
 Listar el top N de correos  en cola (dashboard view)
 Top Remitentes:

@@ Línea 25: / Línea 25: @@
-===SOPHOS FIREWALL EN MODO MTA===
+====SOPHOS FIREWALL EN MODO MTA====
 Revisar Colas de correo en Firewall
@@ Línea 68: / Línea 68: @@
   '''Buscar Destinatario:		rcpt_to '''
-Script para la eliminación de emails en cola real del correo:
+====Script para la eliminación de emails en cola real del correo:====
 [[Medio:script.docx]]

← Revisión anterior		Revisión del 15:05 23 nov 2022
Línea 70:		Línea 70:
	Script para la eliminación de emails en cola real del correo:		Script para la eliminación de emails en cola real del correo:

−	[[Medio:~~scriptSophos~~.~~txt~~]]	+	[[Medio:script.docx]]

← Revisión anterior		Revisión del 14:59 23 nov 2022
Línea 69:		Línea 69:

	Script para la eliminación de emails en cola real del correo:		Script para la eliminación de emails en cola real del correo:
		+
		+	[[Medio:scriptSophos.txt]]

← Revisión anterior		Revisión del 14:30 23 nov 2022
Línea 21:		Línea 21:
	Cerrar cuenta zimbra		Cerrar cuenta zimbra
	'''zmprov ma correo.vulnerado@fcdarwin.org.ec zimbraAccountStatus closed'''		'''zmprov ma correo.vulnerado@fcdarwin.org.ec zimbraAccountStatus closed'''
		+
		+	==Guia Eliminación de colas en FW Sophos==
		+
		+
		+	===SOPHOS FIREWALL EN MODO MTA===
		+
		+	Revisar Colas de correo en Firewall
		+
		+	'''exim -bp // mostrar la cola de correos'''
		+
		+	'''exim -bpc // contar los correos en cola'''
		+
		+	'''exim -ql -v // liberar la cola de correos (despachar) [cu ele]'''
		+
		+
		+
		+
		+	Consultas en Base de datos de cola de correos (dashboard web)
		+
		+	'''psql -U nobody -d iviewdb -p 5433 -c "select count(*) from tblmailspool where (mail_from LIKE 'usuario@dominio.com.ec%' AND time_stamp::date <= '2022-02-03')";'''
		+
		+
		+	Eliminar correos encolados de la Base de Datos (dashboard web)
		+
		+	'''psql -U nobody -d iviewdb -p 5433 -c "DELETE from tblmailspool where mail_from =''";'''
		+
		+	'''psql -U nobody -d iviewdb -p 5433 -c "DELETE from tblmailspool where id in (select id from tblmailspool where (mail_from LIKE 'usuario@dominio.com.ec%' AND time_stamp::date <= '2022-02-03'))";'''
		+
		+
		+	Listar el top N de correos en cola (dashboard view)
		+
		+	Top Remitentes:
		+
		+	'''psql -U nobody -d iviewdb -p 5433 -c "select mail_from, count(*) from tblmailspool group by mail_from order by count desc limit 10";'''
		+
		+	Top Destinatarios:
		+
		+	'''psql -U nobody -d iviewdb -p 5433 -c "select rcpt_to, count(*) from tblmailspool group by rcpt_to order by count desc limit 10"'''
		+
		+
		+
		+	Parámetros a configurar
		+
		+	'''Fecha en formato: 2022-02-29 '''
		+	'''Buscar Remitente: mail_from '''
		+	'''Buscar Destinatario: rcpt_to '''
		+
		+	Script para la eliminación de emails en cola real del correo:

← Revisión anterior	Revisión del 15:50 22 nov 2022
(Sin diferencias)

← Revisión anterior		Revisión del 15:49 22 nov 2022
Línea 1:		Línea 1:
−	~~/* Guía para detectar y neutralizar ataques de una cuenta de correo institucional comprometida */~~
−
	==Guía para detectar y neutralizar ataques de una cuenta de correo institucional comprometida==		==Guía para detectar y neutralizar ataques de una cuenta de correo institucional comprometida==