Audit- und Enforce-Modus für MailGuard-Richtlinien
Audit- und Enforce-Modus in MailGuard: Regeln erst beobachten, dann durchsetzen. Rollout ohne Zustellbruch, Schadsoftware wird immer blockiert.
Jede Richtlinie läuft in einem von zwei Modi. Der Audit-Modus beobachtet, der Enforce-Modus setzt durch. Diese Trennung erlaubt einen Rollout ohne Zustellbruch, weil sich das Verhalten einer Regel erst prüfen lässt, bevor sie aktiv eingreift.
Moduswahl entscheidet über Beobachten oder Blocken.
Enforce: durchsetzen
Im Enforce-Modus werden Verstöße blockiert, in Quarantäne verschoben oder markiert, genau wie in der Richtlinie konfiguriert. Das ist der Zielzustand für den produktiven Schutz.
Audit: nur beobachten
Im Audit-Modus werden Verstöße nur erkannt und protokolliert. Die Nachrichten werden unverändert zugestellt. Treffer landen im Tracing und lassen sich dort auswerten, ohne dass ein Nutzer eine Änderung bemerkt.
Eine Ausnahme gilt unabhängig vom Modus: Bestätigte Schadsoftware wird immer blockiert, auch im Audit-Modus.
Rollout ohne Zustellbruch
Der Audit-Modus ist der sichere Einstieg für eine neue oder verschärfte Regel. Bewährt hat sich dieses Vorgehen.
- Neue Richtlinie im Audit-Modus aktivieren.
- Treffer im Tracing über einige Tage beobachten.
- Schwellenwerte und Ausnahmen anhand echter Nachrichten justieren.
- Auf Enforce umstellen, sobald keine legitime Post mehr betroffen ist.
So werden Fehlklassifikationen sichtbar, bevor sie den Geschäftsbetrieb stören. Das gilt auch für die DLP-Regeln, die ebenfalls einen Audit-Modus kennen.
Weiterführend
Welche Nachrichten eine Richtlinie erfasst, steuert das Scoring auf der Seite Spam und Phishing. Zurückgehaltene Nachrichten zeigt die Quarantäne. Zum Überblick führt MailGuard, zur Einordnung die Produktseite MailGuard.