AWatch-rus/docs/wiki/Email-Outbound-Monitoring.md

Email Outbound Monitoring

Мониторинг исходящей почты в AWatch-rus реализован отдельным Windows-коллектором:

• windows/email-outbound-collector.ps1

Это production-компонент DLP-контура, а не экспериментальный proof-of-concept.

Что собирается

Поддерживаются два режима:

• outlook — через Outlook COM и папку Sent Items
• smtp — через наблюдение SMTP/TCP-соединений
• both — оба режима одновременно

Коллектор пишет:

• aw-email-monitor_<host> — email-события и heartbeat
• aw-dlp-incidents_<host> — инциденты при срабатывании DLP-правил

Что умеет DLP

Email-правила живут в секции:

• endpoint.email[]

Поддерживаются типовые условия:

• subjectRegex
• recipientRegex
• senderRegex
• attachmentRegex
• minAttachments
• minBodyLength
• externalOnly
• internalDomain

Поддерживаемые действия:

• alert
• block

Практическая граница важна:

• полноценный block работает в Outlook mode
• в SMTP mode система честно фиксирует инцидент и уведомление, но не делает inline network-block

Где используется

Компонент нужен для:

• DLP по исходящей почте
• расследований и case path
• ИБ-дашбордов
• operator review

Развёртывание

Коллектор рассчитан на user-session запуск и обычно входит в Windows deployment toolkit:

• windows/deploy-single-user.ps1
• windows/deploy-domain-users.ps1
• windows/ActivityWatch.Windows.Common.psm1

Канонические документы

• Основной документ по коллектору
• Установка Windows collectors
• DLP Правила