Какво получавате
| Инструмент | Essential | Advanced |
|---|
| Оценка и причина за всяко решение в заглавните редове на съобщението | Включено | Включено |
| Решение, видимо при освобождаване на съобщение от карантина | Включено | Включено |
| Категория на бюлетините и промоциите в заглавен ред | Включено | Включено |
| Журнали в съответствие с CIS / NIST, за експорт към SIEM | Не | Включено |
| DMARC конзола: отчети, предупреждения и насоки за корекция | Не | Включено |
Това четене се прави с Klytic MTA. То не зависи от Klytic Mail: важи и когато шлюзът е пред Microsoft 365, Google Workspace, Exchange или всеки друг сървър.
Кой може да го направи
- Администраторът на Klytic MTA чете решенията, организира експорта на журналите и следи DMARC конзолата, ако е заявен планът Advanced.
- Потребителят може да чете заглавните редове на собствените си съобщения и вижда решението, когато освобождава съобщение от карантина.
- Klytic свързва експорта с вашия SIEM заедно с вас и отговаря на въпроси за дадено решение.
Четене на заглавните редове на доставено съобщение
Заглавните редове (headers) са техническите редове, които придружават всяко съобщение. Повечето пощенски програми позволяват да се покажат под различно име: пълни заглавни редове, изходен код или оригинал на съобщението. Klytic MTA добавя свои редове, които всички започват с X-KlyticMTA.
| Заглавен ред | Какво показва |
|---|
| X-KlyticMTA-Status | Решението, приложено към съобщението. |
| X-KlyticMTA-Score | Оценката, изчислена чрез комбиниране на сигналите от анализа. |
| X-KlyticMTA-Reason | Причината или причините, които са повлияли на решението. |
| X-KlyticMTA-Category | Категорията на „сивата“ поща – бюлетини или промоции, когато е приложима. |
Четете причината като обяснение: тя показва кой вид проверка е имала тежест, например удостоверяването на подателя, репутацията, съдържанието, прикачен файл или представяне за друг. При съобщения с нееднозначна оценка арбитраж с ИИ допълва останалите сигнали, и в двата плана; ако той не отговори, филтърът все пак взима решение. Как работи това, е обяснено в ИИ във филтрирането на имейли и какво напуска дружеството.
Вашата пощенска система може да добавя свои заглавни редове за филтриране. Само тези, които започват с X-KlyticMTA, идват от Klytic MTA.
Пример. Счетоводителка се чуди защо фактура от постоянен доставчик е пристигнала с висока оценка. Администраторът показва заглавните редове: причината е в удостоверяването на домейна на подателя. Доставчикът е сменил инструмента си за изпращане, без да актуализира SPF записа си. Корекцията е при него. Дотогава администраторът може да зададе правило за подателя за домейна, след като потвърди промяната по телефона с познат събеседник.
Съобщение в карантина или отхвърлено
Съобщение в карантина още не е в кутията. Решението за него се вижда при освобождаването: процедурата е описана в Карантина, фалшиви сигнали и докладване.
Отхвърлено съобщение не пристига. Затова няма заглавни редове за четене. Техническата му следа остава в журналите на шлюза. С плана Advanced я намирате в експортираните журнали; в противен случай се обърнете към поддръжката на Klytic, като посочите приблизителния час и домейна на подателя.
Експорт на журналите към SIEM
В плана Advanced Klytic MTA създава журнали в съответствие с CIS / NIST, които могат да се експортират към вашия SIEM – инструмента, който централизира събитията за сигурност в вашата информационна система. Там намирате решенията на шлюза до другите събития, които следите.
Връзката се подготвя с Klytic. Преди да го обсъдите, съберете:
- дестинацията на експорта, т.е. точката за събиране на вашия SIEM;
- форматите и начините на приемане, които вашият SIEM приема;
- срока на съхранение, който искате да прилагате от ваша страна. Той е въпрос на вашата политика, а не на шлюза: вижте Съхранение и преглед на журналите за сигурност на имейлите.
DMARC конзолата
DMARC конзолата също е част от плана Advanced. Тя не се отнася до пощата, която получавате, а до собствените ви домейни: събира DMARC отчетите, сигнализира за аномалии и предлага насоки за корекция на вашата конфигурация на SPF, DKIM и DMARC. За смисъла на тези механизми вижте SPF, DKIM и DMARC: какво защитават и какво не.
Какво вече не съдържа одитът
Klytic MTA не пази копие от вашата поща. След нормална доставка личните данни от анализа се изчистват след кратък срок, по подразбиране 2 дни:
- изтрити: адресът на подателя, получателите, темата, тялото на съобщението, имената на прикачените файлове;
- запазени: времевият печат, домейнът на подателя, оценките, решението и техническите данни от анализа.
Има два изключения, само за необходимото време: опасно съобщение в карантина остава пълно, докато е валидна връзката за освобождаването му, 7 дни; съобщение, което чака, защото вашият сървър не отговаря, остава криптирано до доставянето му или до изтичане на срока.
Проверка, която търси в шлюза текста на съобщение, получено преди месец, няма да го намери. Самото съобщение е в кутията на получателя и, ако има такова, в резервното копие на вашата поща. Шлюзът пази доказателството за решението, а не пощата.
Подробности за тези срокове и разликата им спрямо юридическия срок на съхранение има в Съхранение и преглед на журналите за сигурност на имейлите.
