参考 Postfix/Mail/Mailx 日志分析及邮件取证最佳实践

邮件日志是诊断投递问题、追踪安全事件的核心数据源。现代邮件系统的日志分析已从纯手动 grep 演进为使用结构化日志和 SIEM 集成的自动化方案。

Postfix 日志解析

日志位置

Postfix 日志通常位于 /var/log/maillog（RHEL/CentOS）或 /var/log/mail.log（Debian/Ubuntu）。日志格式由 syslog 定义，每个日志行包含时间戳、主机名、进程名和 PID。

关键事件模式

# 邮件接收（提交）
postfix/smtpd[10101]: connect from unknown[192.0.2.10]
postfix/smtpd[10101]: 9A1B2C3D4E: client=unknown[192.0.2.10]
postfix/cleanup[10102]: 9A1B2C3D4E: message-id=<20260730.example.com>

# 邮件投递
postfix/qmgr[10100]: 9A1B2C3D4E: from=<sender@example.com>, size=12345, nrcpt=1
postfix/smtp[10103]: 9A1B2C3D4E: to=<recipient@target.com>, relay=mx.target.com[203.0.113.5]:25, delay=2.1, status=sent (250 OK)

# 投递失败
postfix/smtp[10103]: 9A1B2C3D4E: to=<recipient@target.com>, relay=mx.target.com[203.0.113.5]:25, delay=15.3, status=deferred (lost connection with mx.target.com[203.0.113.5])

# 认证失败
postfix/smtpd[10101]: warning: SASL authentication failure: no mechanism available
postfix/smtpd[10101]: lost connection after AUTH from unknown[192.0.2.10]

日志分析工具

pflogsumm（Postfix 日志汇总）

pflogsumm 是 Postfix 最常用的日志分析工具。它会生成摘要统计表：

• 每日收发量统计
• 主机的连接、发送、拒绝统计
• 延迟分布（delay 统计：<1s, <5s, <10s, <60s, >60s）
• 退信分类（用户未知、邮箱满、被拒等）

使用方式：pflogsumm /var/log/maillog -d today --problems-first

SIEM 集成方案

企业环境中的邮件日志应发送到 SIEM（如 Splunk、ELK、Wazuh）进行集中分析。SIEM 的优势：

• 支持跨数据源（邮件日志+防火墙+AD 认证日志）关联分析
• 实时告警：检测异常的高频发送模式、失败的 SMTP 认证尝试
• 可视化仪表板：退信率趋势、认证失败率、延迟分布图

邮件头取证

邮件头取证在以下场景中尤其重要：

• BEC 攻击溯源：通过 Received 链追踪到攻击者的原始 IP
• 内部调查：确认邮件是否由某人发出、是否经过转发
• 合规审计：生成邮件的完整传输链作为电子证据