10-logging.conf regelt hoe uitgebreid er gelogd wordt:
log_path = /var/log/dovecot.log
info_log_path = /var/log/dovecot-info.log
debug_log_path =
login_log_format = "%u: %m"
login_log_format_elements = "user=<%u> method=%m rip=%r lip=%l mpid=%e %c"
mail_log_events = delete undelete expunge copy mailbox_delete mailbox_rename
plugin {
mail_log_fields = uid box msgid size
}
De plugin mail_log (laden via mail_plugins = mail_log notify) schrijft auditregels voor destructieve acties. Cruciaal voor compliance (HIPAA, financiële dienstverlening).
Doorsturen naar een SIEM: gebruik rsyslog of vector om /var/log/dovecot.log naar Loki, Elastic of Splunk te sturen. Tag op mpid (het ID van het mailproces) om events per sessie te groeperen.
Volg logins vanaf nieuwe IP-adressen: combineer mail_log met een fail2ban-filter of een eigen script dat gebruikers mailt als er een login binnenkomt vanaf een onbekend ASN.
Log in om bij te houden wat je gelezen hebt.