Was Sie erhalten
| Werkzeug | Basis | Erweitert |
|---|
| Score und Begründung jeder Entscheidung in den Headern der Nachricht | Enthalten | Enthalten |
| Entscheidung sichtbar bei der Freigabe einer Nachricht aus der Quarantäne | Enthalten | Enthalten |
| Kategorie von Newslettern und Werbung in einem Header | Enthalten | Enthalten |
| CIS-/NIST-konforme Protokolle, in ein SIEM exportierbar | Nein | Enthalten |
| DMARC-Konsole: Berichte, Warnungen und Korrekturhinweise | Nein | Enthalten |
Diese Auswertung erfolgt mit Klytic MTA. Sie hängt nicht von Klytic Mail ab: Sie gilt auch vor Microsoft 365, Google Workspace, Exchange oder jedem anderen Server.
Wer das tun kann
- Der Administrator von Klytic MTA liest die Entscheidungen, organisiert den Export der Protokolle und verfolgt die DMARC-Konsole, wenn das Angebot Erweitert gebucht ist.
- Der Benutzer kann die Header seiner eigenen Nachrichten lesen und sieht die Entscheidung, wenn er eine Nachricht aus der Quarantäne freigibt.
- Klytic richtet den Export in Ihr SIEM gemeinsam mit Ihnen ein und beantwortet Fragen zu einer Entscheidung.
Die Header einer zugestellten Nachricht lesen
Header sind die technischen Zeilen, die jede Nachricht begleiten. Die meisten E-Mail-Programme können sie anzeigen, unter wechselnden Bezeichnungen: vollständige Header, Quelltext oder Original der Nachricht. Klytic MTA fügt eigene Zeilen hinzu, die alle mit X-KlyticMTA beginnen.
| Header | Was er angibt |
|---|
| X-KlyticMTA-Status | Die auf die Nachricht angewandte Entscheidung. |
| X-KlyticMTA-Score | Der durch Abgleich der Analysesignale berechnete Score. |
| X-KlyticMTA-Reason | Die Begründung(en), die für die Entscheidung ausschlaggebend waren. |
| X-KlyticMTA-Category | Die Kategorie der Graymail, Newsletter oder Werbung, sofern zutreffend. |
Lesen Sie die Begründung als Erklärung: Sie gibt an, welche Prüfkategorie ausschlaggebend war, zum Beispiel die Authentifizierung des Absenders, die Reputation, der Inhalt, ein Anhang oder ein Identitätsmissbrauch. Bei Nachrichten mit mehrdeutigem Score ergänzt eine KI-Arbitrage die übrigen Signale, in beiden Angeboten; antwortet sie nicht, entscheidet der Filter trotzdem. Die Funktionsweise wird in KI in der E-Mail-Filterung und was das Unternehmen verlässt erklärt.
Ihr E-Mail-System kann eigene Filter-Header hinzufügen. Nur die mit X-KlyticMTA beginnenden stammen von Klytic MTA.
Beispiel. Eine Buchhalterin wundert sich, dass eine Rechnung eines bekannten Lieferanten mit einem hohen Score angekommen ist. Der Administrator zeigt die Header an: Die Begründung betrifft die Authentifizierung der Absenderdomain. Der Lieferant hat sein Versandwerkzeug gewechselt, ohne seinen SPF-Eintrag zu aktualisieren. Die Korrektur liegt bei ihm. Bis dahin kann der Administrator eine Absenderregel für die Domain setzen, nachdem er die Änderung telefonisch mit einem bekannten Ansprechpartner bestätigt hat.
Eine Nachricht in Quarantäne oder abgewiesen
Eine Nachricht in Quarantäne ist noch nicht im Postfach. Ihre Entscheidung ist bei der Freigabe sichtbar: Das Vorgehen ist in Quarantäne, Fehlalarme und Meldungen beschrieben.
Eine abgewiesene Nachricht kommt nicht an. Sie hat also keine Header, die man lesen könnte. Ihre technische Spur bleibt in den Protokollen des Gateways. Mit dem Angebot Erweitert finden Sie sie in den exportierten Protokollen; andernfalls wenden Sie sich an den Klytic-Support und nennen die ungefähre Uhrzeit und die Domain des Absenders.
Protokolle in ein SIEM exportieren
Im Angebot Erweitert erzeugt Klytic MTA CIS-/NIST-konforme Protokolle, die in Ihr SIEM exportierbar sind, das Werkzeug, das die Sicherheitsereignisse Ihres Informationssystems zentralisiert. Dort finden Sie die Entscheidungen des Gateways neben den anderen Ereignissen, die Sie überwachen.
Die Anbindung wird mit Klytic vorbereitet. Halten Sie vorher bereit:
- das Ziel des Exports, also den Erfassungspunkt Ihres SIEM;
- die Formate und Empfangsarten, die Ihr SIEM akzeptiert;
- die Aufbewahrungsdauer, die Sie auf Ihrer Seite anwenden wollen. Sie ist Sache Ihrer Richtlinie, nicht des Gateways: siehe Sicherheitsprotokolle von E-Mails aufbewahren und auswerten.
Die DMARC-Konsole
Die DMARC-Konsole gehört ebenfalls zum Angebot Erweitert. Sie betrifft nicht die E-Mails, die Sie empfangen, sondern Ihre eigenen Domains: Sie bündelt die DMARC-Berichte, meldet Auffälligkeiten und schlägt Korrekturen Ihrer SPF-, DKIM- und DMARC-Konfiguration vor. Zur Bedeutung dieser Mechanismen lesen Sie SPF, DKIM und DMARC: Was schützen sie, und was nicht?.
Was das Audit nicht mehr enthält
Klytic MTA behält keine Kopie Ihrer E-Mails. Nach einer normalen Zustellung werden die personenbezogenen Analysedaten nach kurzer Frist gelöscht, standardmäßig nach 2 Tagen:
- gelöscht: die Absenderadresse, die Empfänger, der Betreff, der Nachrichtentext, die Namen der Anhänge;
- aufbewahrt: der Zeitstempel, die Domain des Absenders, die Scores, die Entscheidung und die technischen Daten der Analyse.
Zwei Fälle bilden eine Ausnahme, nur für die notwendige Zeit: Eine gefährliche Nachricht in Quarantäne bleibt während der Gültigkeit ihres Freigabelinks vollständig erhalten, 7 Tage; eine Nachricht, die wartet, weil Ihr Server nicht antwortet, bleibt verschlüsselt bis zu ihrer Zustellung oder dem Ablauf der Frist.
Eine Prüfung, die im Gateway den Text einer vor einem Monat empfangenen Nachricht sucht, wird ihn nicht finden. Die Nachricht selbst liegt im Postfach des Empfängers und gegebenenfalls im Backup Ihres E-Mail-Systems. Das Gateway bewahrt den Nachweis der Entscheidung auf, nicht die E-Mail.
Die Einzelheiten dieser Fristen und ihr Unterschied zu einer rechtlichen Aufbewahrungsdauer finden Sie in Sicherheitsprotokolle von E-Mails aufbewahren und auswerten.
