1. Introduction |
|
|
Back to TopMailFlow Analyzer intègre un moteur de gestion et remontée d’alertes temps réel. Les alertes peuvent s’appuyer sur le contenu des messages traversant l'infrastructure de messagerie, le temps de distribution des messages (SLA) ou sur les valeurs des documents statistiques (Infrastructure, Population, Cross-Population, Server, Cross-Server, User, Group of Users, NAB Groups et Mail Rules).
Les Alertes sont utilisées pour signaler immédiatement des comportements déviants, non conformes aux règles et normes en vigueur dans l’entreprise ou pour signaler un comportement inhabituel au niveau de l’infrastructure, comme une volumétrie ou un trafic anormal. Quelques exemples :
Alertes sur les contenus de message : Remontée d'une alerte si un message comporte plus de 30 destinataires et / ou possède une taille de plus de 10 Mo.
Alertes sur les SLA : Remontée d'une alerte pour les messages mettant plus de 30 minutes entre l'envoi et la destination finale (Routeur de messagerie).
Alertes sur les statistiques Mail Flow : Levée d'une alerte lorsque le nombre de messages transférés sur un serveur de messagerie dépasse de 30% du nombre relevé habituellement.
Chaque Alerte levée fait l'objet d’une remontée immédiate par mail, par alerte SNMP ou par un enregistrement dans les logs de la base Mail Flow Log
2. Présentation des documents Alertes |
|
|
Paramétrage des alertes
La gestion des Alertes se fait depuis les vues Alerts, depuis la base principale MailFlow.nsf. La vue Alert Setup affiche les documents Alert utilisés pour le paramétrage des alertes :
Il est possible d'activer ou de désactiver
les Alertes existantes en utilisant les boutons
et
de la vue.
Pour créer une nouvelle alerte dans la base MailFlow.nsf, il suffit de cliquer sur le bouton et de remplir les champs suivants :
Le paramétrage des critères déclenchant l'Alerte est décrit dans la documentation relative aux trois types d'alertes :
- Création des alertes basées sur le Contenu des messages
- Création des alertes basées sur les SLA des messages
- Création des alertes basées sur les Statistiques
Statistiques de levée des alertes
Mail Flow conserve pour chaque Alerte le nombre de fois où celle-ci a été levée. Les statistiques sont consultables dans la vue Alerts / Alerts / Alert Statistics, avec un découpage pour la journée en cours, le mois en cours, l'année en cours et le total général :
Ces documents peuvent être ouverts afin accéder aux détails des statistiques établies sur des périodes glissantes (7 derniers jours, 4 dernières semaines, 12 derniers mois, 5 dernières années) et obtenir un graphique d'évolution sur les derniers mois :
Ces documents Alerts Statistics peuvent être utilisés dans des Rapports afin d'y insérer les informations relatives au nombre d'Alertes levées sur une période.
Consultation des alertes
Si l'option Create an Alert record in the Mail Flow Log database a été cochée au niveau de l'onglet Notification options des documents Alert de type Message Content ou Message SLA, chaque message qui va lever une alerte sera conservé dans la base MailFlow Log, au niveau des vue Alerts / By Name et Alerts / By Date.
Vous pouvez également accéder à ces vues directement depuis la base MailFlow, via Alerts / Alerts / Raised Alerts by Name ou Alerts / Alerts / Raised Alerts by Date.
Le niveau de détail des messages conservés dans la base MailFlow Log dépend de l'option Record Type choisie :
- Create Alert document with full message data : Le document est conservé dans son intégralité
- Append 1 Alert Event line with message summary : On ne conserve que certains champs (Expéditeur, Date, Sujet, Taille...)
3. Création des alertes basées sur le Contenu des Messages |
|
|
Les Alertes de type Message Content sont utilisées pour surveiller tous les messages traversant l'Infrastructure de messagerie. On recherche dans le contenu du message (expéditeur, destinataires, fichiers attachés, taille du message...) tout contenu qui peut nuire au bon fonctionnement de la messagerie (envoi d'exécutable, message de taille trop importante...).
On peut comparer les Alertes basées sur le contenu du message à un module de Recherche en Temps réel. Le paramétrage des critères de levée d'une Alerte de type Message Content est très proche de celui des Requêtes du Module de Recherche de Mail Flow.
Mail Flow Analyzer va analyser tous les messages traversant l'infrastructure de messagerie et va leur appliquer les critères de recherche des Alertes de type Message Content. Les différents critères de recherche respectent les règles suivantes :
Exemples d'alertes basées sur le Contenu des Messages
Recherche de Fichiers Exécutable dans les Mails
Objectif : On souhaite être notifié de la présence de fichiers exécutables dans les Mails car ceux-ci représentent un danger pour la sécurité des postes.
- Paramétrage de l'Alerte :
- Les jours valides pour cette Alerte sont tous les jours de la semaine (All days).
- On ne fait tourner l'alerte toute la journée (All the day).
- On s'intéresse aux noms des fichiers attachés du message. On saisit donc dans le champ Attach File Names les extensions connues comme étant celles de fichiers pouvant être exécutés sur un poste (.exe, .msi, .com, .scr...).
Recherche des Messages envoyés dont la taille dépasse 50 MB
Objectif : On souhaite être notifié de la tentative d'envoi de fichiers de taille importante. Même si le message risque en final d'être rejeté par le serveur, il aura quand même circulé entre le poste client et la base mail.box du serveur de messagerie de l'utilisateur. On soutaite être notifié de tels essais car il est ainsi possible de proposer à ces utilisateurs des méthodes alternatives de partages de fichiers de grande taille.
- Paramétrage de l'Alerte :
- Les jours valides pour cette Alerte sont tous les jours de la semaine (All days).
- On ne fait tourner l'alerte toute la journée (All the day).
- On s'intéresse à la taille totale des fichiers attachés du message. On utilise donc l'opérateur > et la valeur 51200 KB (=50 MB).
4. Création des alertes basées sur les SLA des Messages |
|
|
Les Alertes de type Message SLA sont utilisées pour identifier tous les messages traversant l'Infrastructure de messagerie dont le temps de distribution total est trop important. Mail Flow Analyzer calcule, pour chaque message, la durée totale de routage (= SLA) du message entre le moment où il a été capté pour la première fois sur un serveur et la dernière fois où il a été traité par une des tâches des serveurs Domino. Cette valeur devrait rester faible (quelques secondes) et tout message ayant un SLA trop important pourrait indiquer un problème dans l'infrastructure de messagerie (temps de traitement trop long par un anti-virus, congestion dans la mail.box d'un des serveurs...).
La configuration d'une Alerte de type Message SLA est assez basique car cela consiste à fournir la valeur du SLA à partir de laquelle on souhaite lever une alerte.
5. Création des alertes basées sur les Statistiques |
|
|
Les alertes de type Statistic Documents sont utilisées pour surveiller les valeurs stockées dans les documents de statistiques présents dans la bases MailFlowServer (Infrastructure, Population, Cross-Population, Server, Cross-Server), MailFlowUser (User, Group of Users, NAB Groups) et MailFlow (Mail Rules Statistics). A chaque mise d'un document de Statistique, le moteur de traitement passe en revues les Alertes de type Statistic Document et vérifie si une alerte doit être levée. Le critère de levée d'une alerte passe par l'évaluation d'une @Formula dans le contexte du document de statistique. Les alertes de type Statistic Documents servent à détecter des fluctuations anormales des messages traités par l'infrastructure de messagerie (arrivée massive de messages venant d'internet, utilisateur envoyant des volumétrie anormale...).
Exemples d'alertes basées sur les Statistiques
Vérification du flux Internet
Objectif : On souhaite vérifier, tous les matins à 10h, que l'on a reçu au moins 1000 mails venant d'Internet. Si ce n'était pas le cas, cela pourrait signifier un problème au niveau de la passerelle SMTP entrante.
Paramétrage de l'Alerte :
- Les jours valides pour cette Alerte sont les jours ouvrés de la semaine (Monday -> Friday).
- On ne fait tourner l'alerte que à 10h le matin, on sélectionne donc 10 comme Valid Hours et No more than Once Every 1 Day(s) comme fréquence.
- On s'intéresse aux messages reçus par l'Infrastructure de messagerie sur la journée. On sélectionne donc Infrastructure comme type de document de statistique et Day comme période. On veut le jour courant, on sélectionne donc Current. Comme il n'existe qu'un document pour l'Infrastructure globale, l'ID est généralement le 00000001 (Global).
- On veut tester le nombre de Mails reçus d'Internet, on utilise donc le champ RI_Total_Nb du document Infrastructure et on le compare à la valeur souhaitée (ici 1000). La @Formula s'écrit donc comme suit :
@If(RI_Total_Nb < 1000; "1"; "")
Si le nombre de mail reçus d'Internet est inférieur à 1000, l'Alerte est déclenchée.
Vérification du trafic entrant+sortant des BALS des Utilisateurs
Objectif : On souhaite vérifier qu'un utilisateur ne reçoit ou n'envoie pas plus de 200 messages par jour. Si c'était le cas, cela pourrait signifier un problème au niveau d'une règle de re-routage automatique des messages dans sa BAL ou une campagne de SPAM ciblée.
Paramétrage de l'Alerte :
- Les jours valides pour cette Alerte sont tous les jours de la semaine (All days).
- On ne fait tourner l'alerte toute la journée (All the day), une fois par heure (No more than Once Every 1 Hour(s)).
- On s'intéresse aux messages envoyés et reçus par les utilisateurs. On sélectionne donc User comme type de document de statistique. On veut surveiller tous les utilisateurs, on choisit donc All au niveau de Document Selection.
- On veut tester le nombre de Mails reçus + envoyés, on utilise donc le champ D_Nb du document User et on le compare à la valeur souhaitée (ici 200). Comme le champ D_Nb est un tableau de nombres, on sélectionne la première entrée du tableau (nombre de messages du jour) au moyen de l'opérateur [1]. La @Formula s'écrit donc comme suit :
@If(D_Nb[1] > 200; "1"; "")
Si le nombre de mail reçus + envoyés est supérieur à 200, l'Alerte est déclenchée.
Commentaires
0 commentaire
Cet article n'accepte pas de commentaires.