Che cosa ottiene
| Strumento | Essential | Advanced |
|---|
| Punteggio e motivo di ogni decisione nelle intestazioni del messaggio | Incluso | Incluso |
| Decisione visibile al rilascio di un messaggio in quarantena | Incluso | Incluso |
| Categoria di newsletter e promozioni in un’intestazione | Incluso | Incluso |
| Log conformi CIS / NIST, esportabili verso un SIEM | No | Incluso |
| Console DMARC: report, avvisi e indicazioni di correzione | No | Incluso |
Questa lettura si effettua con Klytic MTA. Non dipende da Klytic Mail: vale anche davanti a Microsoft 365, Google Workspace, Exchange o qualsiasi altro server.
Chi può farlo
- L’amministratore di Klytic MTA legge le decisioni, organizza l’esportazione dei log e segue la console DMARC se ha sottoscritto l’offerta Advanced.
- L’utente può leggere le intestazioni dei propri messaggi e vede la decisione nel momento in cui rilascia un messaggio in quarantena.
- Klytic collega con lei l’esportazione verso il suo SIEM e risponde alle domande su una decisione.
Leggere le intestazioni di un messaggio consegnato
Le intestazioni sono le righe tecniche che accompagnano ogni messaggio. La maggior parte dei programmi di posta permette di visualizzarle, con un nome che varia: intestazioni complete, sorgente o originale del messaggio. Klytic MTA vi aggiunge le proprie righe, che iniziano tutte con X-KlyticMTA.
| Intestazione | Che cosa indica |
|---|
| X-KlyticMTA-Status | La decisione applicata al messaggio. |
| X-KlyticMTA-Score | Il punteggio calcolato incrociando i segnali di analisi. |
| X-KlyticMTA-Reason | Il motivo o i motivi che hanno pesato sulla decisione. |
| X-KlyticMTA-Category | La categoria della posta grigia, newsletter o promozioni, quando si applica. |
Legga il motivo come una spiegazione: indica quale famiglia di controlli ha pesato, per esempio l’autenticazione del mittente, la reputazione, il contenuto, un allegato o un’usurpazione. Per i messaggi con un punteggio ambiguo, una valutazione tramite IA completa gli altri segnali, in entrambe le offerte; se non risponde, il filtro decide comunque. Il funzionamento è spiegato in L’IA nel filtraggio delle e-mail e ciò che esce dall’azienda.
Il suo servizio di posta può aggiungere proprie intestazioni di filtraggio. Solo quelle che iniziano con X-KlyticMTA provengono da Klytic MTA.
Esempio. Una contabile si stupisce che la fattura di un fornitore abituale sia arrivata con un punteggio elevato. L’amministratore visualizza le intestazioni: il motivo riguarda l’autenticazione del dominio mittente. Il fornitore ha cambiato strumento di invio senza aggiornare il suo record SPF. La correzione spetta a lui. Nel frattempo, l’amministratore può impostare una regola sul mittente per il dominio, dopo aver confermato il cambiamento per telefono con un interlocutore conosciuto.
Un messaggio in quarantena o rifiutato
Un messaggio in quarantena non è ancora nella casella. La sua decisione è visibile al momento del rilascio: la procedura è descritta in Quarantena, falsi positivi e segnalazioni.
Un messaggio rifiutato non arriva. Non ha quindi intestazioni da leggere. La sua traccia tecnica resta nei log del gateway. Con l’offerta Advanced la ritrova nei log esportati; altrimenti si rivolga al supporto Klytic indicando l’ora approssimativa e il dominio del mittente.
Esportare i log verso un SIEM
Nell’offerta Advanced, Klytic MTA produce log conformi CIS / NIST, esportabili verso il suo SIEM, lo strumento che centralizza gli eventi di sicurezza del suo sistema informativo. Vi ritrova le decisioni del gateway accanto agli altri eventi che monitora.
Il collegamento si prepara con Klytic. Prima di parlarne, raccolga:
- la destinazione dell’esportazione, cioè il punto di raccolta del suo SIEM;
- i formati e le modalità di ricezione che il suo SIEM accetta;
- la durata di conservazione che vuole applicare dal suo lato. Dipende dalla sua policy, non dal gateway: veda Conservare e rileggere i log di sicurezza delle e-mail.
La console DMARC
Anche la console DMARC fa parte dell’offerta Advanced. Non riguarda la posta che lei riceve, ma i suoi domini: raccoglie i report DMARC, segnala le anomalie e propone indicazioni per correggere la sua configurazione SPF, DKIM e DMARC. Per il significato di questi meccanismi, veda SPF, DKIM e DMARC: che cosa proteggono e che cosa non proteggono.
Che cosa l’audit non contiene più
Klytic MTA non conserva una copia della sua posta. Dopo una consegna normale, i dati personali dell’analisi vengono eliminati dopo un breve periodo, 2 giorni per impostazione predefinita:
- eliminati: l’indirizzo del mittente, i destinatari, l’oggetto, il corpo del messaggio, i nomi degli allegati;
- conservati: la marca temporale, il dominio del mittente, i punteggi, la decisione e i dati tecnici dell’analisi.
Due casi fanno eccezione, solo per il tempo necessario: un messaggio pericoloso in quarantena resta completo per la durata di validità del suo link di rilascio, 7 giorni; un messaggio in attesa perché il suo server non risponde resta cifrato fino alla consegna o alla scadenza del termine.
Un controllo che cercasse nel gateway il testo di un messaggio ricevuto un mese fa non lo troverà. Il messaggio stesso si trova nella casella del destinatario e, se del caso, nel backup del suo servizio di posta. Il gateway conserva la prova della decisione, non la posta.
Il dettaglio di queste durate, e la loro differenza rispetto a una durata di conservazione giuridica, è in Conservare e rileggere i log di sicurezza delle e-mail.
Domande frequenti
Serve l’offerta Advanced per capire una decisione?
No. Il punteggio e il motivo sono nelle intestazioni già con Essential. Advanced aggiunge l’esportazione dei log e la console DMARC. Veda l’offerta Klytic MTA.
Come correggere una decisione che si ripete?
Con una regola sul mittente del dominio. Veda Chi regola il filtro in Klytic MTA.
Posso ritrovare l’oggetto di un messaggio ricevuto il mese scorso?
Non nel gateway: viene eliminato dopo 2 giorni per impostazione predefinita. Veda Conservare e rileggere i log di sicurezza delle e-mail.
Che cosa verifica DMARC sui miei messaggi?
Veda SPF, DKIM e DMARC.
