За какво служи журналът за сигурност на имейлите
- Да се разбере решение. Клиент се оплаква, че съобщение никога не е пристигнало: журналът показва дали е било отхвърлено, поставено в карантина или доставено, и по каква причина.
- Да се докаже, че съобщение е спряно. След опит за измама дружеството може да покаже, че съобщението е било блокирано и кога.
- Да се разследва инцидент. Кой в дружеството е получил същата кампания? От кога пише този домейн двойник?
- Да се захранва SIEM. Инструмент за наблюдение на сигурността съпоставя решенията на филтъра с влизанията, работните станции и мрежата.
Журнал на филтрирането. Следа от решенията на филтъра: дата, домейн на подателя, оценка, причина, решение. Това не е копие на пощата. Съхраняването на самите съобщения е задача на пощенската система и, ако е нужно, на законосъобразното архивиране.
Какво съдържа едно решение
В Klytic MTA всяко решение е обяснено. Оценката и причината фигурират в заглавните редове на доставеното съобщение, под имена, специфични за Klytic: X-KlyticMTA-Status за решението, X-KlyticMTA-Score за оценката, X-KlyticMTA-Reason за причината. Така администраторът може да прочете в самото съобщение защо то е било доставено. Това важи и за двата плана.
Планът Advanced добавя журнали, представени като съответстващи на рамките CIS и NIST, които могат да се експортират към вашия SIEM. Разликата между двата плана е ясна:
- Essential: решението е обяснено, съобщение по съобщение, в заглавните редове.
- Advanced: решенията формират освен това журнал, който можете да изпращате към собствения си инструмент, за да го съхранявате и съпоставяте с други източници.
Ежедневното четене на тези решения е описано в Четене и експорт на решение на филтъра.
Два часовника, които не бва да се бъркат
Техническият часовник на филтъра
Той е известен и се определя от продукта. За Klytic MTA:
| Данни | Срок |
|---|
| Подател, получатели, тема, тяло, имена на прикачените файлове, след нормална доставка | Изчистват се след 2 дни по подразбиране; срокът е настройваем |
| Времеви маркер, домейн на подателя, оценки, решение, метаданни от анализа | Запазват се след изчистването |
| Опасно съобщение в карантина | Цяло и криптирано докато връзката за освобождаване е валидна, 7 дни |
| Съобщение в опашката (сървърът с кутиите е недостъпен) | Криптирано до доставката или до изтичане на срока |
Практическо следствие: месец след събитията филтърът знае, че съобщение от даден домейн е било поставено в карантина, с каква оценка и по каква причина. Той вече не знае кой го е изпратил до кого, нито какво е пишело в него. Ако при проверка се търси съдържанието, то трябва да се търси в кутията или в архива.
Внимание към често срещано объркване: 30-дневното резервно копие, обявено за кутиите в Klytic Mail, се отнася до кутиите, а не до журналите на шлюза. Това са две услуги и два срока.
Часовникът, избран от дружеството
Той зависи от целта. Нито един нормативен акт не определя единен срок за журнал на филтрирането на електронната поща. Рамката е тази на ОРЗД: данните се съхраняват, докато целта го оправдава, и това се документира.
Полезен ориентир: за журналирането на достъпа и операциите върху обработване на лични данни CNIL препоръчва срок между шест месеца и една година, а в някои обосновани случаи и повече. Тази препоръка не е задължителна и се отнася преди всичко до журналите за достъп, а не до журнал на филтрирането. Тя напомня също, че журналите не бива да съхраняват данни по-дълго от срока, предвиден за самите данни.
На практика дългият срок се прилага към експорта, във вашия SIEM: там определяте съхранението, достъпа и изтриването. Филтърът пази малко.
Пример: три месеца след опит за измама
Хипотетичен случай. През януари няколко служители на дружество получават фалшиво съобщение от своя ръководител. През април застрахователят пита какво е станало. Какво може да се покаже?
- Във филтъра: датата, домейнът двойник, от който е писано, оценката, причината (домейн двойник, подправено показвано име) и решението за карантина за всяко съобщение. Адресите на получателите и текстът вече ги няма, изчистени са отдавна.
- В SIEM, ако дружеството има плана Advanced и съхранява експорта по-дълго: същият журнал с това, което политиката на дружеството е решила да пази, съпоставен с влизанията от същия период.
- В кутиите: нищо, защото съобщенията са спрени преди това.
Доказателството се основава на решението, а не на съдържанието. Ако дружеството иска да пази повече, това решение се взема преди инцидента, като се определи срокът за съхранение на експорта.
Кой има достъп до журналите
- Администраторът на Klytic MTA чете решенията за своите домейни и получава експорта към SIEM в плана Advanced.
- Потребителят вижда собствената си карантина чрез връзката, която получава, независимо дали има кутия в Klytic: вижте Карантина, фалшиви сигнали и докладване.
- Във вашия SIEM се прилагат вашите правила за достъп: ограничете четенето до хората, отговорни за сигурността.
Журналът за сигурност самият съдържа лични данни, дори само домейни и часове: той се защитава и изчиства както тях.
Добри практики
- Запишете целта: диагностика, доказателство, разследване, наблюдение.
- Определете съответно срока на експорта и го впишете в регистъра на дейностите по обработване.
- Ограничете достъпа и регистрирайте прегледа на самите журнали.
- Не превръщайте журнала в архив на пощата: пазете метаданните, не текста на съобщенията.
- Тествайте реално търсене: намерете решението за съобщение отпреди три месеца.
Записите на телефонни разговори се подчиняват на друга логика и други срокове: вижте Колко дълго да се съхраняват записите на телефонни разговори.
Често задавани въпроси
Може ли да се намери съдържанието на съобщение, филтрирано преди месец?
Не и във филтъра, ако е било доставено: съдържанието се изчиства след краткия срок. Търсете го в кутията или в архива.
Колко дълго трябва да се пазят журналите?
Според целта, която трябва да е документирана. Препоръката на CNIL за журналирането дава порядък от шест месеца до една година.
Включен ли е експортът към SIEM в Essential?
Не, той е част от Advanced. Essential обяснява всяко решение в заглавните редове.
Нужен ли е Klytic Mail, за да имаме тези журнали?
Не. Те се създават от Klytic MTA, независимо коя пощенска система стои зад него.
Къде е Klytic
Klytic MTA обяснява всяко решение с оценка и причина в заглавните редове, както в Essential, така и в Advanced. Advanced добавя журналите за експорт към вашия SIEM и DMARC конзолата.
Техническото съхранение е ограничено: няма трайно съхранение на доставеното съобщение, личните подробности от анализа се изчистват след 2 дни по подразбиране, опасното съобщение се пази криптирано, докато връзката за освобождаване е валидна, опашката е криптирана. Дългото съхранение, ако ви е нужно, се прави във вашия инструмент, на базата на експорта.
Услугата съществува и без Klytic Mail. Тя се внедрява в облака на Klytic, в отделна инстанция или на вашите сървъри.
Тази страница описва обща рамка. Срокът за съхранение, приложим за вашата организация, зависи от вашите цели и, когато е приложимо, от секторни задължения.
Правно положение към 11 октомври 2026 г. Нито един прегледан текст не определя срок за съхранение, специфичен за журналите на филтрирането на електронната поща. Препоръката на CNIL от 18 ноември 2021 г. за журналирането не е задължителна.
Източници
Консултирани през октомври 2026 г.
- CNIL, „La CNIL publie une recommandation relative aux mesures de journalisation“ (18 ноември 2021 г.): препоръчителен срок за съхранение от шест месеца до една година за журналирането на достъпа до обработване, възможни удължавания, ако са обосновани, препоръката не е задължителна. cnil.fr
- Klytic, страница Klytic MTA: решение, обяснено в заглавните редове (Essential и Advanced), журнали CIS / NIST за експорт към SIEM (Advanced), модули на плановете Essential и Advanced, опции, начини на внедряване, пускане в действие чрез MX. klytic.com
