O 10-logging.conf controla o nível de detalhe:
log_path = /var/log/dovecot.log
info_log_path = /var/log/dovecot-info.log
debug_log_path =
login_log_format = "%u: %m"
login_log_format_elements = "user=<%u> method=%m rip=%r lip=%l mpid=%e %c"
mail_log_events = delete undelete expunge copy mailbox_delete mailbox_rename
plugin {
mail_log_fields = uid box msgid size
}
O plugin mail_log (carregado via mail_plugins = mail_log notify) grava linhas de auditoria para eventos destrutivos. Essencial para conformidade (HIPAA, serviços financeiros).
Encaminhe para um SIEM: use rsyslog ou vector para enviar o /var/log/dovecot.log para Loki, Elastic, Splunk. Marque pelo mpid (ID do processo de e-mail) para agrupar os eventos por sessão.
Acompanhe logins de IPs novos: combine o mail_log com um filtro do fail2ban ou um script próprio que envia e-mail aos usuários quando chega um login de um ASN desconhecido.
Entre para acompanhar o que você já leu.