71 lines
2.1 KiB
Markdown
71 lines
2.1 KiB
Markdown
# Email Outbound Monitoring
|
|
|
|
Мониторинг исходящей почты в `AWatch-rus` реализован отдельным Windows-коллектором:
|
|
|
|
- `windows/email-outbound-collector.ps1`
|
|
|
|
Это production-компонент DLP-контура, а не экспериментальный proof-of-concept.
|
|
|
|
## Что собирается
|
|
|
|
Поддерживаются два режима:
|
|
|
|
- `outlook` — через Outlook COM и папку `Sent Items`
|
|
- `smtp` — через наблюдение SMTP/TCP-соединений
|
|
- `both` — оба режима одновременно
|
|
|
|
Коллектор пишет:
|
|
|
|
- `aw-email-monitor_<host>` — email-события и heartbeat
|
|
- `aw-dlp-incidents_<host>` — инциденты при срабатывании DLP-правил
|
|
|
|
## Что умеет DLP
|
|
|
|
Email-правила живут в секции:
|
|
|
|
- `endpoint.email[]`
|
|
|
|
Поддерживаются типовые условия:
|
|
|
|
- `subjectRegex`
|
|
- `recipientRegex`
|
|
- `senderRegex`
|
|
- `attachmentRegex`
|
|
- `minAttachments`
|
|
- `minBodyLength`
|
|
- `externalOnly`
|
|
- `internalDomain`
|
|
|
|
Поддерживаемые действия:
|
|
|
|
- `alert`
|
|
- `block`
|
|
|
|
Практическая граница важна:
|
|
|
|
- полноценный `block` работает в `Outlook mode`
|
|
- в `SMTP mode` система честно фиксирует инцидент и уведомление, но не делает inline network-block
|
|
|
|
## Где используется
|
|
|
|
Компонент нужен для:
|
|
|
|
- DLP по исходящей почте
|
|
- расследований и case path
|
|
- ИБ-дашбордов
|
|
- operator review
|
|
|
|
## Развёртывание
|
|
|
|
Коллектор рассчитан на user-session запуск и обычно входит в Windows deployment toolkit:
|
|
|
|
- `windows/deploy-single-user.ps1`
|
|
- `windows/deploy-domain-users.ps1`
|
|
- `windows/ActivityWatch.Windows.Common.psm1`
|
|
|
|
## Канонические документы
|
|
|
|
- [Основной документ по коллектору](../email-outbound-collector.md)
|
|
- [Установка Windows collectors](Windows-Installation)
|
|
- [DLP Правила](DLP-Rules)
|