да вроде скульный синтаксис, но при том, что эти логи в базу пишутся
для smtp что-то вроде этого
SELECT EXTRACT_PREFIX([remote-endpoint],0,':') as IP, EXTRACT_PREFIX([data],0,' SIZE=') as mailfrom
FROM '[LOGFILEPATH]'
WHERE data like '%MAIL FROM:%'
GROUP BY mailfrom,IP
Но тут уже с попыткой аутентификации. Я не совсем поняла, что именно нужно