Debian邮件服务器如何审计

在 Debian 上做邮件服务器审计，通常要从 日志、配置、访问控制、传输安全、用户行为、合规 等多个层面入手。下面给你一套可落地的审计思路，适用于常见的 Debian + Postfix / Exim + Dovecot 架构。

一、明确审计目标

先想清楚你要审计什么：

✅ 谁发了/收了邮件？
✅ 是否有垃圾邮件、钓鱼、恶意外发？
✅ 是否有账号被盗用？
✅ 邮件是否加密传输？
✅ 是否符合合规（等保、GDPR、企业内控）？

二、核心日志审计（最重要）

1️⃣ Postfix / Exim 日志

Debian 默认路径：

/var/log/mail.log
/var/log/mail.err

常用审计点：

发信人 / 收信人
发信时间
客户端 IP
是否中继（relay）
是否被拒绝（reject）

示例审计命令：

# 查看外发邮件
grep "status=sent" /var/log/mail.log

# 查看被拒绝的邮件
grep "reject" /var/log/mail.log

# 查看某用户发信记录
grep "from=<user@domain>" /var/log/mail.log

✅ 建议：日志长期保留（≥6 个月或按合规要求）

2️⃣ Dovecot（IMAP/POP3）日志

/var/log/mail.log
/var/log/dovecot.log

重点审计：

登录成功 / 失败
登录 IP
登录时间
是否暴力破解

示例：

grep "imap-login" /var/log/mail.log
grep "pop3-login" /var/log/mail.log

三、用户行为审计

1️⃣ 登录审计

last
lastlog

结合邮件日志判断是否异常登录。

2️⃣ 发信量异常审计

grep "from=" /var/log/mail.log | awk '{print $7}' | sort | uniq -c | sort -nr

用于发现：

单个用户大量发信
疑似账号被盗

四、配置安全审计（非常关键）

1️⃣ 是否开放中继

postconf | grep relay

❌ 禁止：

mynetworks = 0.0.0.0/0

✅ 正确：

mynetworks = 127.0.0.0/8

2️⃣ 是否强制认证

postconf smtpd_relay_restrictions

应包含：

permit_sasl_authenticated
reject_unauth_destination

3️⃣ 明文协议检查

postconf smtpd_tls_security_level

✅ 应为：

encrypt

IMAP：

doveconf | grep ssl

五、传输与内容审计

1️⃣ TLS 审计

postconf -n | grep tls

检查：

是否启用 TLS
是否禁用弱加密

2️⃣ 邮件内容审计（可选）

⚠️ 注意法律与隐私风险

方式：

邮件网关扫描
归档系统（如 MailArchiva）
内容过滤（Amavis、SpamAssassin）

六、账号与权限审计

1️⃣ 系统账号

cat /etc/passwd
cat /etc/shadow

2️⃣ 虚拟邮箱

查看：

虚拟用户表
邮箱目录权限

ls -l /var/mail/

七、入侵与异常检测

1️⃣ 暴力破解检测

grep "Failed password" /var/log/auth.log

或使用：

fail2ban ✅（强烈推荐）

2️⃣ 文件完整性

apt install aide
aideinit

八、合规与审计建议（企业级）

✅ 建议实施：

日志集中收集（rsyslog / ELK）
日志不可篡改
定期审计脚本
邮件归档
操作记录（谁改了配置）

九、自动化审计脚本（示例）

#!/bin/bash
echo "=== 外发邮件 TOP 10 ==="
grep "status=sent" /var/log/mail.log | awk '{print $7}' | sort | uniq -c | sort -nr | head

十、如果你愿意，我可以帮你：

✅ 针对 Postfix / Exim / Dovecot 单独细化
✅ 做 等保/合规检查清单
✅ 写 完整审计脚本
✅ 分析 真实日志

你可以直接告诉我：

“我用的是 Postfix + Dovecot，想做等保审计”