Como desmascarar remetente de alto volume (Dovecot e Sendmail no Red Hat Linux)

Question

Recentemente, uma das minhas caixas começou a enviar um grande volume de mensagens, o que, em troca, aumentou minha porcentagem de carga na minha caixa Linux. Eu tenho o SPLUNK vinculado à minha caixa que captura tudo o que a caixa lê/grava. Aqui está uma instância de um log extraído do /var/log/maillog. Este tipo de log é constante. De 5 a 10 mensagens são enviadas por segundo com diferentes msgids. O problema que tenho é desmascarar o arquivo from=<>. Geralmente from tem a forma [email protected]ou [email protected].

2 de novembro 11:31:50 mx5 sm-mta[30933]: uA2GVonP030933: de=<>, tamanho=10022, classe=0, nrcpts=1, msgid=<[e-mail protegido]>, proto=ESMTP, daemon=MTA, relay=sendmail.domain.com [meu IP interno] host = mx5 source = /var/log/maillog sourcetype = sendmail_syslog

• mx5: servidor de roteamento de correio
• [e-mail] é o servidor de origem
• relay: sendmail.domain.com

Mascarei minhas caixas para mantê-las confidenciais.

Existe uma maneira de desmascarar from=<>através do ID da mensagem no servidor de origem ou através do uA2GVonP030933exemplo mailQueueID do log acima?

Answer 1

Um campo vazio fromsignifica que nenhum remetente foi especificado no envelope. Isso geralmente é usado para alguns tipos de devoluções, quando não havia um remetente "real", mas também pode ser algum outro aplicativo.

Se o servidor em que você está não registrou nenhuma informação adicional sobre a entrega (ou mantém os e-mails na fila, certifique-se de verificar as filas de entrega locais), tudo o que você pode fazer é tentar encontrar algumas informações no servidor de envio. .