Posta Loglarını Aranabilir Yapmak: Postfix Loglarını ELK ve Loki ile Soruşturmak

Bir müşteri "gönderdiğim mail karşı tarafa ulaşmadı" diye yazdığında, elinizde sadece /var/log/mail.log varsa saat işlemeye başlar. O tek mailin izi log dosyasında beş ayrı satıra, üç farklı process'e (smtpd, cleanup, qmgr, smtp) ve çoğu zaman birbirinden saniyeler hatta dakikalar uzaklıktaki zaman damgalarına dağılmıştır. Hepsini birbirine bağlayan tek şey 10-11 karakterlik bir queue_id. grep ile bu ipin ucunu bulmak mümkün, ama bir bounce fırtınası, spoof denemesi ya da ele geçirilmiş bir hesabın outbound spam'i sırasında binlerce satır arasında korelasyon kurmak elle yapılabilir bir iş olmaktan çıkar.

Çözüm log satırlarını düz metin olmaktan çıkarıp queue_id etrafında yapılandırılmış, indekslenmiş olaylara dönüştürmek. Bu yazıda Postfix/Dovecot/OpenDMARC loglarını Loki veya ELK'ya aktarmanın gerçek konfigürasyonlarını, hangi durumda hangisini seçeceğinizi ve bir maili uçtan uca izlemekten credential stuffing tespitine kadar somut soruşturma sorgularını göstereceğim.