邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: kerio的auth日志是否可以再详细点？ [打印本页]

作者: justkiding 时间: 2008-6-12 15:11
标题: kerio的auth日志是否可以再详细点？
auth日志分两部分，认证成功日志和认证失败日志，现在kerio只有认证失败日志，而且内容太精简了。
[12/Jun/2008 15:04:01] Failed POP3 login from 192.1.1.1

1、有没办法记录认证成功日志？
2、认证失败日志是否可以输出认证失败的账号？

作者: tdk 时间: 2008-6-12 16:34
http://bbs.5dmail.net/thread-175073-1-1.html
看看这个贴有用吗

作者: justkiding 时间: 2008-6-12 17:53
感谢斑竹！

我也设置了一下debug，开启了POP和auth日志，产生了以下信息。

[12/Jun/2008 17:48:46][20122] {pop3s} POP3 server session begin; client connected from 1.1.1.1:4349
[12/Jun/2008 17:48:47][20122] {pop3s} Command: USER aaaaaa
[12/Jun/2008 17:48:47][20122] {pop3s} Command: PASS <password>
[12/Jun/2008 17:48:47][20122] {auth} keriomail: Starting authentication for user aaaaaa
[12/Jun/2008 17:48:47][20122] {pop3s} User aaaaaaa@bbb..com logged in

但是处理起来还是挺麻烦的。

能否得到类似以下的输出啊：
[12/Jun/2008 17:48:46][20122] {pop3s} POP3 server session begin; client connected from 1.1.1.1:4349,user aaaa,failed

如果是这样的信息，我们就可以很方便的使用shell或者perl处理日志以发现是否账号的异常登陆行为了。
1、账号登陆成功异常，比如AAA的账号5分钟前在北京登陆成功，现在突然在广州登陆成功，这个时候这个账号的邮件肯定被人窃取了。
2、账号登陆失败异常，比如AAA的账号在5分钟之内登陆失败500次，那么我们就认为这个时候有人在暴力破解这个账号的密码。

kerio mail server 在smtp审计和防破解方面做的不错，具体可以看admin-configuration--smtpserver--security options，里面的ip based limits就做的不错，但很可惜，pop没做类似的限制，真是一大败笔。
为什么说是败笔呢，pop认证的过程相对smtp来说是相对标准的，所以一般破解账号都是跑POP协议而不是SMTP，并且kerio有smtp delay的功能，要跑起来也很费劲。

信息安全现在已经越来越受到企业的关注，邮件服务器里的东西又是很敏感的，邮件账号安全所以就是非常关键的，希望kerio在这块不要落后了。

[ 本帖最后由 justkiding 于 2008-6-12 18:02 编辑 ]

作者: tdk 时间: 2008-6-12 22:49
很有见地。
对于针对kerio的二次开发好像不太好做，kms 好像没有专用的接口。
一起研究吧

欢迎光临邮件服务器-邮件系统-邮件技术论坛(BBS) (http://bbs.5dmail.cn/)