セキュリティログの実装が終わりましたので、自サーバーに適用してテスト運用中です。

書式は CSV 形式で
"日付時刻","プロトコル","リモートIP","リモートホスト","内容"
というフォーマットに決定しました。

内容については、SMTPで 25種、POP3/IMAP4 各4種づつになります。



今まで SMTP認証やPOP3認証にアタックしてくるのはログを見て確認していましたが、こうして合わせてみると、同じIPからほぼ同時にアタックしてくることがわかります。
また、IMAP4 ではまったく記録されませんので、アタックツールが IMAP4 には対応していないということも見えてきます。

また原則として接続関連のみのログにしようと思いましたが、SMTPフィルタ関連のログも記録するようにしました。

SMTPログからログ解析でどのフィルタにどれくらいヒットしているかはわかるのですが、こちらにも記録することで、どういうフィルタがどれくらいの頻度で適用されているか確認ができるようにもなります。

対応した 2.03a は２，３日中にリリースできると思います。