Było o missus w nagłowkach to teraz jak zwrócono uwagę w komentarzach o mimus. czyli w Received jest mimus i w naszym spanie. Oto reguła
header ZABOJCASPAMU_MIMUS Received=~/from mimus\d+\.[a-z]+\.(pl|eu)/ describe ZABOJCASPAMU_MIMUS Host wysyłający z mimus score ZABOJCASPAMU_MIMUS 3