10-logging.conf steuert die Ausführlichkeit:
log_path = /var/log/dovecot.log
info_log_path = /var/log/dovecot-info.log
debug_log_path =
login_log_format = "%u: %m"
login_log_format_elements = "user=<%u> method=%m rip=%r lip=%l mpid=%e %c"
mail_log_events = delete undelete expunge copy mailbox_delete mailbox_rename
plugin {
mail_log_fields = uid box msgid size
}
Das Plugin mail_log (laden über mail_plugins = mail_log notify) schreibt Audit-Zeilen für zerstörende Ereignisse. Entscheidend für Compliance (HIPAA, Finanzdienstleistungen).
An ein SIEM weiterleiten: Schieben Sie /var/log/dovecot.log mit rsyslog oder vector nach Loki, Elastic, Splunk. Kennzeichnen Sie nach mpid (Mail-Prozess-ID), um Ereignisse pro Sitzung zusammenzufassen.
Anmeldungen von neuen IPs verfolgen: Kombinieren Sie mail_log mit einem fail2ban-Filter oder einem eigenen Skript, das Benutzer per E-Mail benachrichtigt, wenn eine Anmeldung aus einem unbekannten ASN kommt.
Melden Sie sich an, um festzuhalten, was Sie gelesen haben.