Co Państwo otrzymują
| Narzędzie | Essential | Advanced |
|---|
| Wynik i powód każdej decyzji w nagłówkach wiadomości | W pakiecie | W pakiecie |
| Decyzja widoczna przy zwalnianiu wiadomości z kwarantanny | W pakiecie | W pakiecie |
| Kategoria newsletterów i promocji w nagłówku | W pakiecie | W pakiecie |
| Dzienniki zgodne z CIS / NIST, z możliwością eksportu do SIEM | Nie | W pakiecie |
| Konsola DMARC: raporty, alerty i wskazówki dotyczące poprawek | Nie | W pakiecie |
Ten odczyt odbywa się w Klytic MTA. Nie zależy od Klytic Mail: działa również przed Microsoft 365, Google Workspace, Exchange czy każdym innym serwerem.
Kto może to zrobić
- Administrator Klytic MTA odczytuje decyzje, organizuje eksport dzienników i śledzi konsolę DMARC, jeśli wykupiono pakiet Advanced.
- Użytkownik może odczytać nagłówki własnych wiadomości i widzi decyzję w chwili zwalniania wiadomości z kwarantanny.
- Klytic podłącza wraz z Państwem eksport do systemu SIEM i odpowiada na pytania dotyczące decyzji.
Odczyt nagłówków dostarczonej wiadomości
Nagłówki to wiersze techniczne towarzyszące każdej wiadomości. Większość programów pocztowych pozwala je wyświetlić, pod różnymi nazwami: pełne nagłówki, źródło lub oryginał wiadomości. Klytic MTA dodaje do nich własne wiersze, które zaczynają się od X-KlyticMTA.
| Nagłówek | Co oznacza |
|---|
| X-KlyticMTA-Status | Decyzję zastosowaną wobec wiadomości. |
| X-KlyticMTA-Score | Wynik obliczony na podstawie zestawienia sygnałów analizy. |
| X-KlyticMTA-Reason | Powód lub powody, które wpłynęły na decyzję. |
| X-KlyticMTA-Category | Kategorię poczty szarej, newsletterów lub promocji, jeśli ma zastosowanie. |
Powód należy czytać jako wyjaśnienie: wskazuje, która grupa kontroli przeważyła, na przykład uwierzytelnienie nadawcy, reputacja, treść, załącznik lub podszywanie się. W przypadku wiadomości o niejednoznacznym wyniku rozstrzygnięcie przez AI uzupełnia pozostałe sygnały, w obu pakietach; jeśli AI nie odpowie, filtr i tak podejmuje decyzję. Działanie tego mechanizmu wyjaśnia przewodnik AI w filtrowaniu e-maili i to, co opuszcza firmę.
Państwa system pocztowy może dodawać własne nagłówki filtrowania. Tylko te, które zaczynają się od X-KlyticMTA, pochodzą z Klytic MTA.
Przykład. Księgowa dziwi się, że faktura od stałego dostawcy dotarła z wysokim wynikiem. Administrator wyświetla nagłówki: powód dotyczy uwierzytelnienia domeny nadawcy. Dostawca zmienił narzędzie do wysyłki, nie aktualizując rekordu SPF. Poprawka leży po jego stronie. Do tego czasu administrator może ustawić regułę nadawcy dla tej domeny, po potwierdzeniu zmiany telefonicznie u znanej osoby kontaktowej.
Wiadomość w kwarantannie lub odrzucona
Wiadomość w kwarantannie nie znajduje się jeszcze w skrzynce. Jej decyzja jest widoczna w chwili zwalniania: procedurę opisano w praktycznym przewodniku Kwarantanna, fałszywe alarmy i zgłoszenia.
Odrzucona wiadomość nie dociera. Nie ma więc nagłówków do odczytania. Jej ślad techniczny pozostaje w dziennikach bramki. W pakiecie Advanced znajdą go Państwo w eksportowanych dziennikach; w przeciwnym razie proszę zwrócić się do działu wsparcia Klytic, podając przybliżoną godzinę i domenę nadawcy.
Eksport dzienników do systemu SIEM
W pakiecie Advanced Klytic MTA tworzy dzienniki zgodne z CIS / NIST, które można eksportować do Państwa systemu SIEM, czyli narzędzia centralizującego zdarzenia bezpieczeństwa w Państwa systemie informatycznym. Decyzje bramki znajdą się tam obok innych monitorowanych zdarzeń.
Podłączenie przygotowuje się wspólnie z Klytic. Przed rozmową proszę zebrać:
- miejsce docelowe eksportu, czyli punkt zbierania danych Państwa systemu SIEM;
- formaty i sposoby odbioru akceptowane przez Państwa SIEM;
- okres przechowywania, który chcą Państwo stosować po swojej stronie. Zależy on od Państwa polityki, a nie od bramki: zob. Przechowywanie i analiza dzienników bezpieczeństwa poczty e-mail.
Konsola DMARC
Konsola DMARC również jest częścią pakietu Advanced. Nie dotyczy otrzymywanej przez Państwa poczty, lecz Państwa własnych domen: zbiera raporty DMARC, sygnalizuje nieprawidłowości i proponuje wskazówki dotyczące poprawek w konfiguracji SPF, DKIM i DMARC. Znaczenie tych mechanizmów wyjaśnia przewodnik SPF, DKIM i DMARC: co chronią, a czego nie.
Czego audyt już nie zawiera
Klytic MTA nie przechowuje kopii Państwa korespondencji. Po normalnym dostarczeniu dane osobowe z analizy są usuwane po krótkim czasie, domyślnie po 2 dniach:
- usuwane: adres nadawcy, odbiorcy, temat, treść wiadomości, nazwy załączników;
- zachowywane: znacznik czasu, domena nadawcy, wyniki, decyzja i dane techniczne analizy.
Wyjątkiem są dwa przypadki, wyłącznie przez niezbędny czas: niebezpieczna wiadomość w kwarantannie pozostaje kompletna przez okres ważności linku do jej zwolnienia, czyli 7 dni; wiadomość oczekująca, ponieważ Państwa serwer nie odpowiada, pozostaje zaszyfrowana do chwili dostarczenia lub upływu terminu.
Kontrola, która szukałaby w bramce treści wiadomości otrzymanej miesiąc temu, jej nie znajdzie. Sama wiadomość znajduje się w skrzynce odbiorcy oraz, w stosownych przypadkach, w kopii zapasowej Państwa poczty. Bramka przechowuje dowód decyzji, a nie korespondencję.
Szczegóły tych okresów i ich różnicę w stosunku do prawnego okresu przechowywania omówiono w przewodniku Przechowywanie i analiza dzienników bezpieczeństwa poczty e-mail.
