UCEPROTECT Blacklist Policy LEVEL 3
Kurzbeschreibung: Drakonisch
Level 3 listet den IP Space der schlimmsten ASN's.

Diese Liste ist für Hardliner bestimmt. Sie kann möglicher Weise Kollateralschäden anrichten, wenn Sie sie als Blocker benutzen.

UCEPROTECT-Level 3 listet automatisch alle einer AS-Nummer zugewiesenen IP's sobald ihr SPAMSCORE 50 oder höher ist, und (um zu vermeiden, daß Mini Provider wegen 1 oder 2 Spammern gelistet werden) mindestens 50 Impacts von IP's die der AS-Nummer zugewiesenen sind, in den letzten 7 Tagen im Level 1 gelistet wurden.

Der SPAMSCORE errechnet sich nach folgender Formel:
(Level 1 Impacts aus diesem ASN / Totale IP's in diesem ASN) * 100000
Die resultierende Zahl wird auf eine Nachkommastelle gerundet.

Wir geben Ihnen ein paar Beispiele:
Sie haben es geschafft, 55 Impacts innerhalb 7 Tagen zu bekommen, und Ihr ASN hat insgesamt 1024 IP's allokiert, dann ist Ihr SPAMSCORE 5371.09375 gerundet also 5371.1 was nichts anderes bedeutet als daß man Ihr Netz vom Internet abklemmen sollte...
Haben Sie dagegen 160 Impacts innerhalb 7 Tagen, aber in Ihrer ASN sind insgesamt 34025472 IP's allokiert, dann wäre Ihr SPAMSCORE 0.47023594558 gerundet also 0.5 was bedeutet, Sie sind ein sehr sauberer und professioneller Provider...

Zur Vermeidung von False Positives werden jedoch einzelne IP's, die bei ips.whitelisted.org registriert sind, grundsätzlich vom Level 3 ausgenommen.

Wie Sie jetzt wahrscheinlich gesehen haben, hört sich die Formel viel dramatischer an, als sie es in Wirklichkeit ist, seriöse Provider bringen es im Normalfall auf einen SPAMSCORE von weniger als 10 pro Woche.
Rein rechnerich entspricht dies bereits bei winzigen Providern schon mindestens 50, bei mittelgroßen Providern mehreren hundert, und bei großen Providern mehreren tausend Impacts.
Da Level 1 Einträge und mit ihnen auch die gezählten Impacts 7 Tage nachdem von Ihnen der letzte Abuse ausging automatisch entfernt werden, und die Größe des Providers ebenfalls berücksichtigt wird, ist es für seriöse Provider praktisch nicht möglich im UCEPROTECT-Level 3 zu enden.

Wir finden Provider und Carrier müssen sich ihrer Verantwortung für das Medium E-Mail bewusst werden, und konsequent handeln, bevor eine derartige Anzahl Impacts innerhalb 7 Tage auf Level 1 gelistet wird.

Eine Eskalation auf Level 3 ist fast immer ein Indikator dafür, daß Provider nicht schnell genug gegen Mißbrauch vorgehen.
Um zu verhindern, daß verantwortungsbewusste Provider in Level 3 landen, haben wir einen Providerschutz installiert.
Bei neuen Einträgen in Level 1 wird zunächst der 4-Stunden-Providerschutz wirksam.
Das bedeutet, daß zunächst keine weiteren Impacts von dieser IP für 4 Stunden gezählt werden.
Dies gibt dem Provider 4 Stunden Zeit, um geeignete Maßnahmen zu ergreifen, bevor weitere IMPACTS von dieser IP gezählt werden.
Der Impact Zähler kann daher bei neuen Level 1-Listings nur um maximal 1 pro 4 Stunden erhöht werden.
Auf jeden Fall ist unsere Geduld begrenzt. Wenn 24 Stunden nach Eintrag im Level 1 immer noch Missbrauch von der IP festgestellt wird, reduziert sich der Providerschutz auf eine Stunde.
Sollte auch 48 Stunden, nachdem die IP im Level 1 gelistet wurde, noch Mißbrauch von ihr ausgehen, wird der Providerschutz entfernt und unbegrenzt jeder Impact gezählt.
Provider sollten daher bei jedem Eintrag im Level 1 sofort handeln, um zu verhindern, daß bereits eine relativ überschaubare Anzahl missbräuchlicher IP's ihr komplettes AS auf Level 3 bringt, wenn der Impact Zähler unkontrolliert steigt.

Manuell und permanent werden unabhängig vom Level 1 Listings und Impacts ASN's im Level 3 gelistet, bei denen der Verdacht besteht, daß sie extra zum Spammen eingerichtet wurden.
Dieser Verdacht ist grundsätzlich gegeben wenn:
- Der Provider Spammer / Abuser innerhalb seiner ASN rotiert.
- Der Provider IP Adressen oder Netzbereiche von Blacklisten blockiert, um zu erreichen, daß Spammer unter dem Radar von Blacklisten bleiben (Umgehungstatbestand).
- Die ASN einem bekannten Spammer / Spamsupporter / Listwasher / Botnet Operator / Malware Distributor / Phisher / Betrüger gehört.
- Ein auffälliges Mißverhältnis zwischen regulären Mails und Spams besteht.

Sie werden mit Level 3 also vorwiegend spammerfreundliche und lernresistente Provider oder Carrier sowie deren Kunden treffen.

Natürlich ist es dabei möglich, daß auch erwünschte Mail abgewiesen kann.
BESCHWEREN SIE SICH NICHT BEI UNS - WIR HABEN SIE GEWARNT!.

Vorsichtigen Usern empfehlen wir, UCEPROTECT Level 3 in einem Scoring System zu verwenden, und z.B. 2 Punkte zu vergeben, vorausgesetzt daß 5 der Schwellenwert für die Spamerkennung ist.

UCEPROTECT Level 3 als BLOCKER zu verwenden wird ausdrücklich nur solchen Personen empfohlen, die auf Provider und Carrier den nötigen DRUCK ausüben wollen, Abuser zügig abzuklemmen, und denen es egal ist, ob dadurch auch gelegentlich die eine oder andere Mail abgewiesen wird.

Falls Sie ein echter BOFH sind, empfehlen wir Ihnen natürlich, auf allen 3 UCEPROTECT-Leveln zu blocken.

Um eine Vorstellung von der Performance unseres UCEPROTECT-Levels 3 und anderer Blacklisten innerhalb der letzten 4 Wochen zu erhalten, empfehlen wir Ihnen sich die Statistiken einiger unserer Kunden aus dem öffentlichen Dienst anzusehen.

Es gibt weltweit etwa 105000 Provider. Die Statistik über unseren Level 3 kann somit tatsächlich so interpretiert werden, daß die wenigen schwarzen Schafe unter den Providern, welche es dauernd schaffen in unserem Level 3 zu enden, für 50 bis 75% des globalen Spams verantwortlich sind, während so gut wie keine reale Mail aus deren Netzwerken versendet wurde.