Kam vajadzīgs e-pasta drošības žurnāls
- Saprast lēmumu. Klients sūdzas, ka vēstule tā arī nav pienākusi: žurnāls pasaka, vai tā noraidīta, ievietota karantīnā vai piegādāta, un kāda iemesla dēļ.
- Pierādīt, ka vēstule tika apturēta. Pēc krāpšanas mēģinājuma uzņēmums var parādīt, ka vēstule tika bloķēta un kad.
- Izmeklēt pēc incidenta. Kas uzņēmumā saņēma to pašu kampaņu? Kopš kura laika raksta šis līdzīgais domēns?
- Padot datus SIEM. Drošības uzraudzības rīks salīdzina filtra lēmumus ar pieteikšanām, darbstacijām un tīklu.
Filtrēšanas žurnāls. Filtra lēmumu ieraksts: datums, sūtītāja domēns, vērtējums, iemesls, lēmums. Tas nav pasta kopija. Pašu vēstuļu glabāšana ir e-pasta sistēmas un, ja vajadzīgs, juridiskās arhivēšanas uzdevums.
Kas ir lēmumā
Klytic MTA katrs lēmums ir izskaidrots. Vērtējums un iemesls ir piegādātās vēstules galvenēs ar Klytic specifiskiem nosaukumiem: X-KlyticMTA-Status lēmumam, X-KlyticMTA-Score vērtējumam, X-KlyticMTA-Reason iemeslam. Tātad administrators pašā vēstulē var izlasīt, kāpēc tā tika piegādāta. Tas attiecas uz abiem piedāvājumiem.
Piedāvājums Advanced pievieno žurnālus, kas raksturoti kā atbilstoši CIS un NIST standartiem un ko var eksportēt uz jūsu SIEM. Atšķirība starp abiem piedāvājumiem ir skaidra:
- Essential: lēmums ir izskaidrots katrai vēstulei galvenēs.
- Advanced: lēmumi papildus veido žurnālu, ko varat nosūtīt uz savu rīku, lai to glabātu un salīdzinātu ar citiem avotiem.
Šo lēmumu ikdienas lasīšana ir aprakstīta rakstā Kā izlasīt un eksportēt filtra lēmumu.
Divi pulksteņi, ko nedrīkst jaukt
Filtra tehniskais pulkstenis
To nosaka produkts, un tas ir zināms. Klytic MTA gadījumā:
| Dati | Termiņš |
|---|
| Sūtītājs, saņēmēji, temats, saturs, pielikumu nosaukumi pēc parastas piegādes | Dzēsti pēc 2 dienām pēc noklusējuma; termiņu var iestatīt |
| Laika zīmogs, sūtītāja domēns, vērtējumi, lēmums, analīzes metadati | Saglabāti pēc dzēšanas |
| Bīstama vēstule karantīnā | Pilnīga un šifrēta atbrīvošanas saites derīguma laikā – 7 dienas |
| Vēstule rindā (pastkastu serveris nav sasniedzams) | Šifrēta līdz piegādei vai termiņa beigām |
Praktiskas sekas: mēnesi pēc notikuma filtrs zina, ka vēstule no konkrēta domēna tika ievietota karantīnā, ar kādu vērtējumu un iemeslu. Tas vairs nezina, kas to sūtīja kam, ne to, kas tajā bija rakstīts. Ja pārbaude meklē saturu, tas jāmeklē pastkastē vai arhīvā.
Uzmanību, bieži sastopams pārpratums: Klytic Mail pastkastēm paziņotā 30 dienu rezerves kopēšana attiecas uz pastkastēm, nevis vārtejas žurnāliem. Tie ir divi pakalpojumi un divi termiņi.
Uzņēmuma izvēlētais pulkstenis
Tas ir atkarīgs no mērķa. Neviens tiesību akts nenosaka vienotu termiņu e-pasta filtrēšanas žurnālam. Ietvars ir VDAR: glabā tik ilgi, cik to attaisno mērķis, un to dokumentē.
Noderīgs orientīrs: piekļuves un darbību reģistrēšanai personas datu apstrādē CNIL iesaka termiņu no sešiem mēnešiem līdz gadam, atsevišķos pamatotos gadījumos ilgāk. Šis ieteikums nav saistošs, un tas galvenokārt attiecas uz piekļuves žurnāliem, nevis filtrēšanas žurnālu. Tas arī atgādina, ka žurnālos datus nevajadzētu glabāt ilgāk par termiņu, kas paredzēts pašiem datiem.
Praksē ilgais termiņš attiecas uz eksportu jūsu SIEM: tur jūs nosakāt glabāšanu, piekļuvi un dzēšanu. Filtrs pats glabā maz.
Piemērs: trīs mēnešus pēc krāpšanas mēģinājuma
Hipotētisks gadījums. Janvārī vairāki uzņēmuma darbinieki saņem viltotu vēstuli no sava vadītāja. Aprīlī apdrošinātājs jautā, kas notika. Ko var parādīt?
- Filtrā: datumu, līdzīgo domēnu, kas rakstīja, vērtējumu, iemeslu (līdzīgs domēns, attēlojamā vārda viltojums) un karantīnas lēmumu katrai vēstulei. Vairs ne saņēmēju adreses, ne tekstu, kas sen dzēsti.
- SIEM, ja uzņēmumam ir piedāvājums Advanced un tas eksportu glabā ilgāk: to pašu žurnālu ar to, ko uzņēmuma politika nolēmusi paturēt, salīdzinātu ar tā laika pieteikšanām.
- Pastkastēs: neko, jo vēstules tika apturētas iepriekš.
Tātad pierādījums balstās uz lēmumu, nevis saturu. Ja uzņēmums vēlas glabāt vairāk, tas jāizlēm pirms incidenta, nosakot eksporta glabāšanas termiņu.
Kam ir piekļuve žurnāliem
- Klytic MTA administrators lasa savu domēnu lēmumus un piedāvājumā Advanced saņem eksportu uz SIEM.
- Lietotājs redz savu karantīnu, izmantojot saņemto saiti, neatkarīgi no tā, vai viņam ir Klytic pastkaste: skatiet Karantīna, kļūdaini pozitīvi rezultāti un ziņošana.
- Jūsu SIEM piemēro jūsu piekļuves noteikumus: ierobežojiet lasīšanu ar personām, kas atbild par drošību.
Drošības žurnāls pats satur personas datus, kaut vai domēnus un laikus: tas jāaizsargā un jādzēš tāpat kā tie.
Labā prakse
- Rakstiski noteikt mērķi: diagnostika, pierādījumi, izmeklēšana, uzraudzība.
- Atbilstoši noteikt eksporta glabāšanas termiņu un ierakstīt to apstrādes darbību reģistrā.
- Ierobežot piekļuvi un reģistrēt pašu žurnālu skatīšanu.
- Nepārvērst žurnālu par pasta arhīvu: glabāt metadatus, nevis vēstuļu saturu.
- Pārbaudīt reālu meklēšanu: atrast lēmumu, kas pieņemts par vēstuli pirms trīs mēnešiem.
Uz zvanu ierakstīm attiecas cita loģika un citi termiņi: skatiet cik ilgi glabāt zvanu ierakstus.
Biežāk uzdotie jautājumi
Vai var atrast pirms mēneša filtrētas vēstules saturu?
Ne filtrā, ja vēstule tika piegādāta: saturs tiek dzēsts pēc īsā termiņa. Meklējiet to pastkastē vai arhīvā.
Cik ilgi jāglabā žurnāli?
Atkarībā no mērķa, kas jādokumentē. CNIL ieteikums par reģistrēšanu žurnālos dod orientējošu termiņu no sešiem mēnešiem līdz gadam.
Vai eksports uz SIEM ir iekļauts piedāvājumā Essential?
Nē, tas ir daļa no Advanced. Essential izskaidro katru lēmumu galvenēs.
Vai šiem žurnāliem vajadzīgs Klytic Mail?
Nē. Tos veido Klytic MTA neatkarīgi no tā, kāda e-pasta sistēma atrodas aiz tā.
Kur ir Klytic
Klytic MTA izskaidro katru lēmumu ar vērtējumu un iemeslu galvenēs gan piedāvājumā Essential, gan Advanced. Advanced pievieno žurnālus, ko var eksportēt uz jūsu SIEM, un DMARC konsoli.
Tehniskā glabāšana ir ierobežota: piegādātā vēstule netiek glabāta ilgstoši, analīzes personiskie dati tiek dzēsti pēc noklusējuma pēc 2 dienām, bīstama vēstule tiek glabāta šifrēta atbrīvošanas saites derīguma laikā, rinda ir šifrēta. Ilgstoša glabāšana, ja tā jums vajadzīga, notiek jūsu rīkā, izmantojot eksportu.
Pakalpojums ir pieejams bez Klytic Mail. To izvieto Klytic mākonī, īpaši paredzētā instancē vai jūsu serveros.
Šajā lapā aprakstīts vispārīgs ietvars. Jūsu organizācijai piemērojamais glabāšanas termiņš ir atkarīgs no jūsu mērķiem un, ja attiecas, no nozares pienākumiem.
Juridiskā situācija 2026. gada 11. oktobrī. Neviens no izlasītajiem tiesību aktiem nenosaka īpašu glabāšanas termiņu e-pasta filtrēšanas žurnāliem. CNIL 2021. gada 18. novembra ieteikums par reģistrēšanu žurnālos nav saistošs.
Avoti
Skatīti 2026. gada oktobrī.
- CNIL, „La CNIL publie une recommandation relative aux mesures de journalisation” (2021. gada 18. novembris): ieteicamais glabāšanas termiņš no sešiem mēnešiem līdz gadam apstrādes piekļuves reģistrēšanai, iespējami pagarinājumi, ja tie pamatoti, ieteikums nav saistošs. cnil.fr
- Klytic, lapa Klytic MTA: lēmums izskaidrots galvenēs (Essential un Advanced), CIS / NIST žurnāli, ko var eksportēt uz SIEM (Advanced), piedāvājumu Essential un Advanced moduļi, papildiespējas, izvietošanas veidi, ieviešana ar MX. klytic.com
