邮件日志分析与审计

邮件日志是安全运维的"黑匣子"——从 SMTP 握手到邮件投递完成，每一次交互都被忠实地记录在 maillog 中。但许多运维团队仅将日志视为故障排查的"最后手段"，而非主动防御的"前线哨兵"。事实上，通过系统化的日志分析和异常检测，可以在攻击发生的早期阶段（甚至攻击尝试阶段）就发现威胁信号。本文将深入解析 Postfix maillog 的字段结构、构建多维度异常检测规则，并介绍将邮件日志接入 SIEM/SOAR 平台的实战方案，帮助团队实现从"被动查日志"到"主动防御"的转变。

一、Postfix maillog 字段完全解析

Postfix 每一条日志都包含时间戳、主机名、进程名[PID]、队列ID和具体事件信息。理解每个字段的含义是日志分析的基础：

# 标准 Postfix maillog 条目解剖
Jul  3 10:15:22 mail postfix/smtpd[19283]: A1B2C3D4E5:
  client=unknown[203.0.113.45], sasl_method=LOGIN,
  sasl_username=user@domain.com

# 字段解读：
# Jul 3 10:15:22        = 时间戳（syslog格式，精确到秒）
# mail                  = 主机名
# postfix/smtpd[19283]  = 进程名/PID（smtpd=接收,smtp=发送,cleanup=预处理,
#                         qmgr=队列管理,lmtp=本地投递,local=本地邮箱,
#                         pipe=管道投递,virtual=虚拟域）
# A1B2C3D4E5            = 队列ID（邮件唯一标识，用于关联多行日志）
# client=unknown[...]   = 客户端主机名和IP地址
# sasl_method=LOGIN     = SASL认证方式
# sasl_username=...     = 认证用户名

关键字段速查表：

• queue_id：每条邮件的唯一标识符，形如 A1B2C3D4E5（11位十六进制）。同一封邮件从接收（smtpd）到投递（smtp/lmtp/local）的所有日志条目共享同一 queue_id，这是追踪邮件生命周期的核心关联键。

• status=sent/deferred/bounced：邮件最终状态。"sent"表示成功投递；"deferred"表示投递延迟（临时故障，将重试）；"bounced"表示永久退信。

• dsn=2.0.0：投递状态通知码。2.x.x = 成功，4.x.x = 临时失败（重试），5.x.x = 永久失败（退信）。

• message-id=：邮件的全局唯一标识符（Message-ID 头字段），不同于 queue_id。

• from=/to=：信封发件人和收件人地址（注意：信封地址可能与邮件头 From/To 不同，这是 BCC 实现的基础）。

• relay=：下一跳服务器的域名或IP地址。对入站邮件而言这是来源服务器，对出站邮件而言这是目标服务器。

二、异常检测规则体系

基于 maillog 字段构建多维度异常检测规则，覆盖邮件投递异常、认证安全、流量异常三大类：

规则1：SASL 认证暴力破解检测

同一 IP 在短时间窗内出现大量 SASL 认证失败（sasl_username 尝试不同的用户名）

# 5分钟内同一IP的SASL失败次数
grep "SASL.*authentication failed" /var/log/maillog | \
  awk -F'[\\[\\]]' '{print $2}' | sort | uniq -c | \
  sort -rn | awk '$1 > 20 {print "ALERT:", $1, "attempts from", $2}'

# 结合时间窗口过滤（过去5分钟）
awk -v cutoff="$(date -d '5 minutes ago' '+%s')" '{
    ts = $1" "$2" "$3;
    gsub(/:/, " ", ts);
    split(ts, a);
    epoch = mktime("2026 07 "a[2]" "a[3]" "a[4]" "a[5]);
    if (epoch >= cutoff && /SASL.*authentication failed/) {
        match($0, /[0-9]+\\.[0-9]+\\.[0-9]+\\.[0-9]+/);
        ip[substr($0,RSTART,RLENGTH)]++;
    }
} END { for (i in ip) if (ip[i]>10) print "ALERT:", ip[i], "failures from", i }' \
/var/log/maillog

规则2：异常外发流量检测

单一用户在短时间内发送大量邮件或向大量不同域发送邮件（账号被盗的特征行为）

# 每用户每小时的发件量统计
grep "sasl_username=" /var/log/maillog | \
  sed -n 's/.*sasl_username=\\([^ ,]*\\).*/\\1/p' | \
  sort | uniq -c | sort -rn | \
  awk '$1 > 200 {print "HIGH VOLUME:", $1, "mails from", $2}'

# 每用户每小时发送到的不同域数量（横向扩散指标）
grep "sasl_username=" /var/log/maillog | \
  sed -n 's/.*sasl_username=\\([^ ,]*\\).*to=<[^@]*@\\([^>]*\\).*/\\1 \\2/p' | \
  sort -u | awk '{user[$1]++} END {for(u in user) if(user[u]>30) print "LATERAL:", user[u], "domains by", u}'

规则3：邮件队列异常积压检测

active/deferred 队列大幅增长可能意味着垃圾邮件爆发或被用作开放中继

#!/bin/bash
# 活跃队列告警阈值脚本
ACTIVE=$(postqueue -p | grep -c "^[A-F0-9]")
DEFERRED=$(postqueue -p | grep -c "!")
if [ "$ACTIVE" -gt 500 ]; then
    echo "ALERT: Active queue count: $ACTIVE"
fi
if [ "$DEFERRED" -gt 1000 ]; then
    echo "ALERT: Deferred queue count: $DEFERRED"
fi

三、Dovecot IMAP/POP3 日志分析

Dovecot 日志记录了用户邮件访问行为，对检测账号被盗至关重要：

# Dovecot 登录事件提取
grep "Login:" /var/log/dovecot-info.log | \
  awk '{
    ip=""; user="";
    for(i=1;i<=NF;i++){
      if($i~/^rip=/){split($i,a,"=");ip=a[2]}
      if($i~/^user=/){split($i,a,"=");user=a[2]}
    }
    if(ip && user) printf "%s | %s | %s\\n", $1" "$2, user, ip
  }'

# 检测异地登录（同用户短时间内从不同IP登录）
grep "Login:" /var/log/dovecot-info.log | \
  awk '{
    split($1,ts,"T");
    split($(NF-1),ip,"=");
    for(i=1;i<=NF;i++) if($i~/^user=/) {split($i,u,"=");user=u[2]}
    key=user"|"ip[2];
    login[key]++;
  } END {for(k in login) print k, login[k]}' | \
  awk -F'|' '{
    ips[$1]=ips[$1]" "$2;
    cnt[$1]+=$3
  } END {for(u in ips) if(cnt[u]>2) print u, ips[u]}'

四、SIEM 集成方案

将邮件日志接入 SIEM 平台（如 Splunk、ELK、Wazuh、Security Onion）是实现自动化安全运营的关键步骤。推荐采用 syslog-ng 或 rsyslog 统一转发架构：

# rsyslog 配置：将 maillog 转发至 SIEM 收集器
# /etc/rsyslog.d/60-mail-siem.conf
$ModLoad imfile
$InputFileName /var/log/maillog
$InputFileTag postfix:
$InputFileStateFile postfix-maillog-state
$InputFileSeverity info
$InputFileFacility mail
$InputRunFileMonitor

# 转发到 SIEM（通过TCP/TLS）
*.* @@siem-collector.internal:5140;RSYSLOG_SyslogProtocol23Format

# 或转发到 ELK（通过 Filebeat）
# filebeat.inputs:
# - type: log
#   paths:
#     - /var/log/maillog
#   fields:
#     log_type: postfix_maillog
#     hostname: ${HOSTNAME}

SIEM 关联规则示例（Splunk SPL）：

-- SASL暴力破解检测（1小时内同一IP失败>30次）
index=mail sourcetype=postfix "SASL.*authentication failed"
| rex field=_raw "\[(?<src_ip>\d+\.\d+\.\d+\.\d+)\]"
| bucket _time span=1h
| stats count by _time src_ip
| where count > 30
| eval severity="HIGH"
| table _time src_ip count severity

-- 异常外发流量检测（单用户1小时>100封）
index=mail sourcetype=postfix "sasl_username=" "status=sent"
| rex "sasl_username=(?<user>\S+)"
| bucket _time span=1h
| stats count by _time user
| where count > 100

五、审计合规与日志留存

邮件日志是安全审计和合规检查的核心证据。根据等保2.0和GDPR等法规要求，邮件日志应至少保留6个月（推荐12个月），并确保日志的完整性和防篡改性。建议实施措施包括：日志集中存储到独立的日志服务器（与邮件服务器物理/逻辑隔离）、启用日志完整性校验（如使用 rsyslog 的签名功能或在日志归档时计算 SHA256 哈希）、定期将归档日志写入 WORM 介质（一次写入多次读取）以防止事后篡改。审计时，除了按关键字搜索外，还需支持完整的邮件链路回溯能力——从一封邮件开始，通过 queue_id 串联起全部投递日志。

六、日志分析可视化与 Dashboard

构建邮件日志仪表盘让运维团队直观掌握系统运行状态和威胁态势。建议的 Dashboard 指标包括：邮件吞吐量趋势（接收/发送/WL）、投递成功率与延迟分布（sent/deferred/bounced 比例）、SASL 认证统计（成功/失败比例、暴力破解IP Top10）、发件量 Top 用户（异常值高亮）、SPF/DKIM/DMARC 认证结果分布、垃圾邮件与病毒邮件拦截统计、队列深度实时监控、退信原因分类统计（按 DSN 码聚合）。

参考来源：Postfix Official Documentation - Logging; Syslog RFC 5424; NIST SP 800-92 Guide to Computer Security Log Management; Splunk Common Information Model (CIM); OWASP Logging Cheat Sheet; 中国等保2.0 GB/T 22239-2019 安全审计要求。

邮件日志分析与审计

相关文章

📦 相关产品与方案