Rspamd in plaats van SpamAssassin: een zinvolle vergelijking van moderne spamfilters

Doelstellingen van spamfilters en onvermijdelijke foutieve beslissingen

Een e-mailspamfilter beoordeelt berichten in de e-mailstroom op basis van technische en inhoudelijke kenmerken. Afhankelijk van het product vallen hieronder bijvoorbeeld afzender- en authenticatiegegevens, headers, URL’s, berichttekst, HTML-structuur, statistische classificaties en externe zoekopdrachten. Het doel is niet om de waarheidsgetrouwheid van een e-mail vast te stellen, maar om het risico op aflevering op een inzichtelijke manier in te schatten. Rspamd Het bundelt hiervoor eveneens talrijke testmodules en kan de resultaten samenvoegen tot een besluitvoorstel.

Verschillende stappen moeten daarbij gescheiden blijven: de MTA accepteert een SMTP-bericht eerst of wijst het tijdens de overdracht af. Het filter bepaalt vervolgens of tijdens de verwerking een score. Een markering vult bijvoorbeeld de header aan of verplaatst het bericht via daaropvolgende regels naar een junkmap. Een afwijzing daarentegen beëindigt de acceptatie; het is daarom de maatregel met de grootste gevolgen en niet louter een sterkere markering.

A Vals-positief Dit is het geval wanneer een legitiem bericht ten onrechte als spam wordt aangemerkt. Dit kan bijvoorbeeld gebeuren bij een echte factuur van een leverancier, waarvan de PDF-bijlage, het betalingsverzoek of het ongebruikelijke afzenderdomein meerdere controles in gang zet. Als het bericht alleen wordt gemarkeerd, kan de ontvanger het nog steeds terugvinden; als het wordt geweigerd, komt het helemaal niet in de inbox terecht. Voor zakelijke communicatie is dit verschil cruciaal.

Omgekeerd is een Vals-negatief een spambericht dat door de filter heen glipt. Een typisch voorbeeld is een campagne met licht gewijzigde teksten, wisselende links en headers die technisch correct lijken. Dergelijke berichten verhogen het risico op phishing, schadelijke software of ongewenste reclame, maar betekenen niet automatisch dat elke strenge afwijzing gerechtvaardigd zou zijn. Een e-mailspamfilter zoekt altijd een evenwicht tussen beide soorten fouten, en streeft niet naar een foutloos percentage.

Drempelwaarden zijn daarom een bedrijfsmatige risicobeslissing. Een lage drempelwaarde voor afwijzingen vermindert mogelijk de hoeveelheid spam die doorgelaten wordt, maar verhoogt het risico op verlies van legitieme e-mail. Een hogere drempelwaarde legt meer verantwoordelijkheid bij het markeren, in quarantaine plaatsen en controleren door de gebruiker. Een gefaseerde strategie is zinvol: eerst markeren en observeren, daarna greylisting of strengere maatregelen, maar alleen wanneer logbestanden, feedback en het eigen e-mailverkeer de beslissing ondersteunen.

SpamAssassin: regels, scores en werkingsmodel

SpamAssassin is een uitbreidbaar, op regels en punten gebaseerd filter. Het analyseert onder andere headers, de hoofdtekst, HTML en URL’s; daarnaast zijn er statistische methoden, netwerkverzoeken en plug-ins beschikbaar voor functies zoals Bayes, SPF, DKIM of DMARC. Elke treffer levert punten op voor het resultaat. De som daarvan levert een score op, die kan worden vergeleken met een geconfigureerde drempelwaarde.

Eigen aanpassingen worden traditioneel uitgevoerd in .cf-bestanden. Hiermee kunnen bijvoorbeeld header-, body- en URI-regels met eigen scores worden gedefinieerd. Dit model is bijzonder transparant wanneer een team moet kunnen nagaan waarom een bepaalde regel in werking is getreden. Tegelijkertijd neemt de onderhoudslast toe naarmate er meer uitzonderingen, lokale regelpakketten en verschillende beoordelingen zijn: elke regel vereist een vaktechnische onderbouwing, een gedocumenteerd effect en regelmatige controle.

Bij continu servergebruik wordt de dienst doorgaans spamd testopdrachten ontvangt, terwijl de slanke client spamc berichten aan hem doorgeeft. Deze scheiding voorkomt dat het programma voor elk bericht volledig moet worden opgestart en is bedoeld voor terugkerende controles. De dienst kan bovendien SQL- of LDAP-configuraties en gebruikersspecifieke instellingen verwerken.

Dit is relevant voor hostingomgevingen: een domein kan afwijkende whitelists nodig hebben, terwijl afzonderlijke mailboxen hun eigen voorkeuren of leerniveaus hebben. Dergelijke in de loop der tijd gegroeide structuren zijn geen technisch minpunt, maar ze bemoeilijken een overstap. Voorafgaand aan een omschakeling moet daarom duidelijk zijn welke regels daadwerkelijk bedrijfskritisch zijn, welke alleen uit het verleden zijn overgenomen en welke taken al door de MTA of een andere dienst worden vervuld.

Een goed onderhouden SpamAssassin-installatie hoeft niet alleen vanwege haar leeftijd te worden vervangen. Als de regels begrijpelijk zijn, de integratie stabiel werkt en de administratieve inspanning in verhouding staat tot het e-mailverkeer, kan gerichte onderhoudszorg zinvoller zijn dan een migratie. Omgekeerd is een groot aandeel moeilijk te onderhouden speciale regels geen argument om blindelings te kopiëren: het is een reden om de Standaardvoorraad kritisch op te schonen, ongeacht het filter dat later wordt gekozen.

Rspamd: workers, symbolen en acties

Rspamd werkt volgens een master-worker-model. De master beheert processen en de configuratie, terwijl gewone workers berichten controleren. Een proxy-worker kan onder andere Milter-verzoeken ontvangen en deze naar scanners doorsturen. De controller biedt beheerfuncties en een webinterface, maar mag niet onbeveiligd op het openbare netwerk worden aangesloten. Deze rollen zorgen voor een duidelijkere scheiding tussen e-mailverkeer, verwerking en beheer.

Belangrijk voor de architectuur is de niet-blokkerende invoer en uitvoer. DNS-, Redis- of HTTP-verzoeken kunnen asynchroon worden uitgevoerd. Als een controle wacht op een extern antwoord, hoeft dit niet per se andere scans van dezelfde worker te onderbreken. Hieruit volgt geen algemene prestatiegarantie: de daadwerkelijke resultaten blijven afhankelijk van de regelset, de hardware, DNS-latenties, Redis, de MTA-verbinding en de feitelijke mix van berichten.

Examens aanmaken in Rspamd Symbolen met beoordelingen en aanvullende informatie. Het filter voegt deze samen tot een totaalscore en kan een actie voorstellen, bijvoorbeeld add header, greylist of reject. Deze actie is geen dwingende bezorgbeslissing: pas de configuratie en de concrete integratie in Postfix, Exim of Sendmail bepalen of en hoe de MTA deze actie uitvoert.

Juist daarom mogen bestaande SpamAssassin-drempelwaarden niet als numerieke waarde worden overgenomen. Een score geeft telkens het samenspel weer van de geactiveerde regels, hun weging en de beschikbare gegevensbronnen. Zelfs controles met dezelfde naam kunnen in beide systemen anders worden gewogen, anders worden samengevoegd of op verschillende tijdstippen worden uitgevoerd. Een directe vergelijking van required_score met een Rspamd-drempel zou technisch gezien misleidend zijn.

Voor de organisatie is het een voordeel dat beoordeling en handhaving gescheiden zijn: je kunt eerst de gepubliceerde symbolen en voorgestelde acties in de gaten houden zonder ze meteen af te wijzen. Pas op basis van eigen legitieme berichten, herkende campagnes en feedback kan worden bepaald welke Actiedrempels aanvaardbaar zijn. Zo wordt een technische standaardinstelling een controleerbare bezorgrichtlijn in plaats van een zogenaamd objectieve spamgrens.

Vergelijking voor het dagelijkse e-mailverkeer

De verschillen tussen SpamAssassin en Rspamd zitten niet zozeer in een afzonderlijke detectieregel, maar in het bedrijfsmodel. Beide beoordelen e-mails op basis van talrijke signalen, maar de aanpak op het gebied van configuratie, integratie en gedistribueerde werking verschilt. De volgende vergelijking geeft een overzicht van deze punten als uitgangspunt voor de planning; het is geen vervanging voor een analyse van uw eigen e-mailverkeer.

Voor een kleine, afzonderlijke server is een goed onderhouden SpamAssassin-installatie daarom geen technisch noodgeval. Als de eigen regels begrijpelijk zijn, de dienst stabiel werkt en foutieve classificaties worden verwerkt, kan het behoud ervan minder wijzigingswerk betekenen. Een herinstallatie met Rspamd blijft echter een reële optie als de Milter-koppeling en de centraal gebundelde modules daarvan beter aansluiten bij de geplande omgeving.

In hostingomgevingen met meerdere scanners wordt de Schalen belangrijker dan het loutere aantal geïnstalleerde regels. De proxy-worker van Rspamd kan Milter-verzoeken doorgeven aan andere workers; asynchrone externe verzoeken mogen daarbij niet de gehele worker blokkeren. Hieruit volgt echter geen algemene prestatiegarantie: DNS-vertragingen, regels, hardware en de samenstelling van de berichten bepalen de daadwerkelijke doorvoer.

MTA-koppeling, Redis en op status gebaseerde modules

De technische integratie bepaalt op welke plaats een e-mailspamfilter zijn beoordeling terugstuurt naar de Mail Transfer Agent. Rspamd kan via Milter worden gekoppeld aan Postfix en Sendmail. Exim maakt hiervoor gebruik van zijn integratie via spamd_address. Het filter levert een resultaat op, maar de MTA en de gekozen configuratie blijven bepalen of een bericht wordt gemarkeerd, uitgesteld of geweigerd.

Niet elke controle vereist een gemeenschappelijke toestand. SPF, DKIM en DMARC evalueren authenticatiegegevens; op DNS gebaseerde lijsten en reguliere expressies controleren andere kenmerken van een afzonderlijk bericht. Hoewel dergelijke controles externe DNS-antwoorden kunnen vereisen, houden ze niet automatisch een leergeschiedenis bij. Hun betrouwbaarheid hangt onder andere af van een correcte werking van het DNS en een passende weging binnen het totale regelwerk.

Anders werken op de toestand gebaseerde modules. Bij Bayesiaanse classificatie worden aangeleerde kenmerken opgeslagen, bij greylisting moeten eerdere bezorgpogingen worden herkend en voor rate limits zijn tellers nodig die over meerdere verbindingen heen werken. Rspamd voorziet in Redis binnen de gedocumenteerde architectuur voor Bayesiaanse, neurale classificatie, greylisting en andere statussen. Hierdoor kunnen meerdere instanties toegang krijgen tot gedeelde informatie.

Redis is dus noch een vervangbaar detail, noch een vereiste voor elke afzonderlijke Rspamd-controle. Zonder toegankelijk geheugen kunnen statische modules nog steeds worden gebruikt, terwijl leer- en reputatiefuncties beperkt zijn of uitvallen. Beheerders moeten daarom vóór de ingebruikname de beschikbaarheid, netwerkverbinding, toegangsbeveiliging, back-up en het gedrag bij een Redis-storing vastleggen.

In de praktijk is een scheiding van verantwoordelijkheden zinvol: de MTA neemt SMTP-verbindingen aan en voert de filterbeslissing uit, Rspamd beoordeelt berichten en Redis houdt de benodigde statussen bij. Deze verdeling vergemakkelijkt het opsporen van fouten, maar verhoogt wel het aantal te bewaken diensten. Een trage of onbereikbare afhankelijkheid mag niet worden gecompenseerd door ondoordachte afwijzingen.

Regels en leergegevens gecontroleerd overzetten

Een migratie begint met een inventarisatie, niet met het kopiëren van alle bestanden. Vooral eigen regels verdienen aandacht: ze kunnen zakelijke vereisten weerspiegelen, maar ook verouderde uitzonderingen bevatten. Rspamd biedt een SpamAssassin-module die slechts een deel van de regels verwerkt. De technische gelijkenis van een regel is daarom geen garantie dat deze hetzelfde effect heeft.

De module kan onder andere bepaalde body-, rawbody-, header-, meta- en uri-regels verwerken. Netwerk- en HTML-specifieke plug-ins worden daarentegen niet volledig ondersteund. Het ongecontroleerd laden van omvangrijke externe regelsets kan de configuratie ingewikkeld maken en de verwerking belasten. Het is beter om alleen eigen regels over te nemen waarvan aantoonbaar is dat ze nodig zijn, en de voorkeur te geven aan native modules.

Dit vereist bijzondere zorgvuldigheid Bayes-training. Volgens de Rspamd-documentatie kunnen SpamAssassin-Bayes-databases niet worden geïmporteerd. Voor Rspamd zijn daarom nieuwe, gecontroleerde corpora nodig, bestaande uit gewenste berichten en spam. Verkeerd geclassificeerde facturen, nieuwsbrieven of campagnes sturen de classificatie in de verkeerde richting en kunnen latere foutieve beslissingen versterken.

Ook AWL mag niet worden behandeld als een bestandsoverdracht. Een eerdere afzenderhistorie en een actuele reputatiebeoordeling hebben weliswaar verwante doelstellingen, maar kunnen gebruikmaken van andere gegevensbronnen en wegingen. Documenteer daarom eerst welk effect een bestaande uitzondering of vertrouwensregel moet hebben. Pas daarna kan worden besloten of een native Rspamd-functie of een gerichte eigen regel geschikt is.

Rspamd veilig in parallel gebruik invoeren

Een succesvolle overstap begint niet met het vervangen van het huidige filter, maar met het opmaken van een inventarisatie. Leg de MTA-koppeling, de SpamAssassin-regels, gebruikersspecifieke uitzonderingen, DNS-afhankelijkheden, geaccepteerde afzenders en de huidige afhandeling van verdachte berichten vast. Bepaal bovendien welke kengetallen later van belang zijn: bijvoorbeeld ten onrechte gemarkeerde zakelijke e-mails, doorgelaten campagnes en de handmatige verwerkingsinspanning.

Installeer Rspamd eerst los van het daadwerkelijke e-mailpad en integreer het zodanig dat de beoordeling ervan wordt geregistreerd, maar de bezorging niet wordt gewijzigd. De gedocumenteerde Shadow Mode maakt precies deze observatie mogelijk: Rspamd controleert berichten zonder de voorgestelde acties door te voeren. Zo blijft SpamAssassin tijdens de vergelijkingsfase de enige actieve beslisser.

Bekijk niet alleen de totaalscore, maar vooral de geactiveerde Symbolen en de daaruit voortvloeiende actie. Een hoge score kan het gevolg zijn van authenticatiefouten, URL-kenmerken, reputatiegegevens of lokale regels; deze oorzaken vereisen verschillende correcties. Controleer daarom per opvallend bericht de header, de ontvangersgroep en de door het filter voorgestelde actie, voordat je scores of modules wijzigt.

Een zinvolle vergelijking omvat doelbewust gewenste en ongewenste grensgevallen. Een legitieme factuur van een bekende leverancier kan bijvoorbeeld een PDF-bestand en een externe trackinglink bevatten. Een spamcampagne met veel variaties verandert daarentegen voortdurend het onderwerp, de tekstfragmenten en de afzender, maar behoudt typische URL's of structurele kenmerken. Beide soorten berichten laten zien of afzonderlijke symbolen een begrijpelijke bijdrage leveren of dat een regel te grof is.

Juk Drempelwaarden Pas wanneer er voldoende controleerbare voorbeelden beschikbaar zijn. De scoreschaal van Rspamd is niet gelijk te stellen aan een bestaande SpamAssassin-waarde; een directe overname kan daarom ongewenste acties veroorzaken. Beslis afzonderlijk vanaf wanneer alleen headers moeten worden aangevuld, wanneer er tijdelijk op de grijze lijst moet worden geplaatst en onder welke voorwaarden berichten moeten worden geweigerd. De MTA-integratie bepaalt daarbij of en hoe een actie daadwerkelijk wordt uitgevoerd.

Na een geplande observatiefase vindt de omschakeling op gecontroleerde wijze plaats: Rspamd wordt het actieve filter, terwijl SpamAssassin geïnstalleerd en configureerbaar blijft, maar niet langer beslissingen neemt in de e-mailstroom. Deze overgangsperiode moet bevoegdheden, een gedocumenteerde methode voor terugschakeling en criteria voor een afbreking omvatten. Daarnaast helpt een duidelijk afgebakende firewallconfiguratie; de basisprincipes voor stapsgewijze migraties worden toegelicht in het artikel Netfilter versus nftables.

Bedrijf, logboekregistratie en systematische foutopsporing

Bij een onverwachte afwijzing begint de diagnose met het concrete bericht en de verwerkingsketen daarvan, niet met een algemene versoepeling van de filterdrempel. Controleer het MTA-logboek, het Rspamd-resultaat, de geactiveerde symbolen, de score en de voorgestelde actie. Pas deze toewijzing laat zien of bijvoorbeeld een lokale regel, een op DNS gebaseerde controle of de MTA-afdwinging de afwijzing heeft veroorzaakt.

Spam die is doorgelaten, vereist een omgekeerde analyse. Ga na of het bericht Rspamd überhaupt heeft bereikt, welke symbolen ontbreken en of een geconfigureerde actie vanwege de score niet is uitgevoerd. Als verwachte DNS-resultaten ontbreken, controleer dan de resolvers, de bereikbaarheid en de responstijden voordat je nieuwe inhoudsregels opstelt. Niet elke campagne kan zinvol worden vastgelegd met één enkele drempelwaarde.

Een Redis-storing moet apart worden behandeld, omdat deze van invloed kan zijn op statusgebaseerde functies. Controleer de verbinding van het filter met het geheugen, de logbestanden van de Redis-service en vervolgens welke modules afhankelijk zijn van deze status. Statische controles kunnen nog steeds resultaten opleveren, maar Bayesiaanse training, greylisting of andere statusafhankelijke evaluaties vereisen een goed functionerende gegevensopslag.

Als een verwachte regel niet wordt geactiveerd, controleer dan eerst de daadwerkelijke laadlocatie, de syntaxis en de weergave van het bericht waarop de regel moet worden toegepast. Controles op headers, platte tekst, HTML en URL's hebben betrekking op verschillende soorten gegevens. In SpamAssassin kunnen regelbestanden vóór gebruik worden gecontroleerd met een syntaxiscontrole; het volgende commando controleert de configuratie en heeft geen invloed op de daadwerkelijke e-mailverzending.

spamassassin --lint

Houd voor terugkerende storingen tijdstempels, wachtrijgedrag, DNS-verzoeken en antwoordfouten bij in één overzicht. Zo kun je vaststellen of een vertraagde bezorging te wijten is aan de MTA, aan een extern verzoek of aan het filterproces. Voor uitgebreidere Linux-telemetrie en het monitoren van actieve systemen biedt het aanvullende artikel bpftool voor moderne kernelanalyse technische basisprincipes.

Pas na een enkel incident noch algemene scores, noch uitgebreide regelsets impulsief aan. Sla in plaats daarvan het betreffende bericht op in overeenstemming met de privacywetgeving, vergelijk het met soortgelijke gevallen en documenteer de oorzaak samen met de wijziging. Dit Foutenanalyse zorgt voor begrijpelijke correcties en verkleint het risico dat een uitzonderingsregel later grote hoeveelheden legitieme of ongewenste e-mails verkeerd behandelt.

Een beslissing nemen op basis van het serverprofiel

Het is zinvol om SpamAssassin gericht te blijven gebruiken als de bestaande mailserver betrouwbaar wordt beheerd met zijn eigen regels, instellingen per gebruiker en bedrijfsprocessen. Het systeem kan op basis van regels en punten worden uitgebreid en ondersteunt plug-ins en diverse configuratie- en opslagmethoden. Een overstap louter vanwege de leeftijd van een installatie levert geen technisch voordeel op als er geen concreet operationeel probleem is.

Rspamd is een voor de hand liggende keuze voor een nieuwe opzet wanneer de integratie met Milter, moderne authenticatiecontroles, centrale aansturing en op status gebaseerde modules vanaf het begin samen worden gepland. De architectuur omvat worker-rollen voor verwerking, proxy-koppelingen en beheer; tegelijkertijd moeten DNS en, indien van toepassing, Redis als operationele afhankelijkheden betrouwbaar worden beheerd. Dit is een architecturale keuze, geen algemene prestatiegarantie.

Voor omvangrijke hostingomgevingen met veel uitzonderingsgevallen is de Parallelle werking meestal de meest robuuste optie. Het maakt duidelijk welke eigen SpamAssassin-regels nog nodig zijn, of Rspamd-symbolen de verwachte oorzaken weergeven en welke groepen ontvangers bijzonder gevoelig reageren op verkeerde classificaties. Pas op basis hiervan kan worden besloten of er volledig wordt overgestapt of dat bewust wordt vastgehouden aan de bestaande situatie.

De keuze hangt daarom minder af van het aantal mailboxen op zich dan van de onderhoudscapaciteit en afhankelijkheden. Wie op permanente basis verantwoordelijkheid kan nemen voor Redis, DNS-resolvers, logboekanalyse en updates, kan Rspamd – inclusief de lerende en op status gebaseerde functies – consistent in gebruik houden. Als deze middelen ontbreken, kan een gestroomlijnde, goed gedocumenteerde configuratie met duidelijke regels het minste operationele risico inhouden.

Ongeacht het product geldt: stel de Rspamd-controller niet onbeveiligd beschikbaar op het netwerk. In de documentatie wordt lokale binding of firewallbeveiliging aanbevolen; bij toegang op afstand zijn toegangsbeveiliging en een wachtwoord-hash vereist. Neem bovendien geen regels van derden of historische scores over zonder deze te controleren. Afzonderlijke metingen of opvallende campagnes vormen geen basis voor een algemeen filterbeleid.

De juiste beslissing is dus een Risicoafweging: Bescherming tegen ongewenste berichten staat tegenover de gevolgen van verloren gegane legitieme e-mails. Bepaal voor elke actie wie ervoor verantwoordelijk is, hoe deze wordt gecontroleerd en hoe de vorige toestand kan worden hersteld. Zo blijft het e-mailspamfilter een beheersbaar onderdeel van het e-mailverkeer in plaats van een moeilijk te doorgronden automatisch systeem.