Cómo desenmascarar al remitente de gran volumen (Dovecot y Sendmail en Red Hat Linux)

Question

Recientemente, uno de mis buzones comenzó a enviar un gran volumen de correo, lo que a cambio aumentó mi porcentaje de carga en mi buzón Linux. Tengo SPLUNK atado a mi caja que captura todo lo que lee/escribe la caja. A continuación se muestra un ejemplo de un registro extraído de /var/log/maillog. Este tipo de registro es constante. Se envían de 5 a 10 mensajes por segundo con diferentes msgs. El problema que tengo es desenmascarar el from=<>. Generalmente from tiene la forma [email protected]o [email protected].

2 de noviembre 11:31:50 mx5 sm-mta[30933]: uA2GVonP030933: desde=<>, tamaño=10022, clase=0, nrcpts=1, msgid=<[correo electrónico protegido]>, proto=ESMTP, demonio=MTA, relé=sendmail.domain.com [mi IP interna] host = mx5 fuente = /var/log/maillog tipo de fuente = sendmail_syslog

• mx5: servidor de enrutamiento de correo
• [e-mail] es el servidor de origen
• relay: enviarcorreo.dominio.com

He enmascarado mis cajas para mantenerlas confidenciales.

¿Hay alguna forma de desenmascarar from=<>mediante el ID del mensaje en el servidor de origen o mediante el uA2GVonP030933ejemplo de mailQueueID del registro anterior?

Answer 1

Un fromcampo vacío significa que no se especificó ningún remitente en el sobre. Esto se utiliza a menudo para algunos tipos de rebotes, cuando no había un remitente "real", pero también podría ser alguna otra aplicación.

Si el servidor en el que se encuentra no registró más información sobre la entrega (o mantiene los correos en su cola, asegúrese de revisar sus colas de entrega locales), todo lo que puede hacer es intentar encontrar información en el servidor de envío. .