Microsoft 365 / Vérifier les stratégies contre le phishing, les logiciels malveillants et le spam

Pour examiner la protection contre le phishing et les courriels malveillants dans Microsoft 365, vérifiez à qui chaque stratégie s'applique, sa priorité, ainsi que la quarantaine et les notifications résultantes—et pas seulement si un interrupteur est activé. Des stratégies de protection par défaut existent déjà. Les stratégies de sécurité prédéfinies Standard et Strict ainsi que les stratégies personnalisées offrent des options de configuration supplémentaires en fonction des fonctionnalités disponibles du produit.

Distinguer les types de protection

Le guide de Microsoft sur les stratégies de sécurité prédéfinies explique le lien entre les stratégies par défaut, les profils Standard et Strict et les stratégies personnalisées. Lorsque plusieurs stratégies concernent un même destinataire, leur priorité peut entraîner l’application de paramètres différents de ceux attendus. Tous les abonnements Microsoft 365 ne comprennent pas toutes les fonctions.

Enregistrer les fonctionnalités disponibles et les paramètres actuels

Distinguer la protection de base des e-mails d’Exchange Online des fonctionnalités supplémentaires de Defender pour Office 365. Par exemple, si des liens sûrs, des pièces jointes sécurisées ou certaines fonctionnalités de protection contre l’usurpation sont nécessaires, vous devez vérifier les droits du service pour les utilisateurs auxquels elles seront appliquées. Un menu visible ne prouve pas que chaque destinataire a droit à chaque fonctionnalité. La protection intégrée est automatiquement appliquée dans les organisations disposant de licences Defender pour Office 365 ; cette base ne signifie pas que tous les destinataires disposent d’une licence pour chaque fonctionnalité de Defender ou fonctionnalité de politique personnalisée.

L’autorisation de lire les paramètres d’une stratégie ne donne pas nécessairement le droit de les modifier. Utilisez les droits de sécurité ou d’administration de la messagerie approuvés pour relever le nom, l’état d’activation, les destinataires, les exclusions, la priorité et l’action de quarantaine de chaque stratégie. Consultez la configuration réelle du tenant plutôt que de supposer les valeurs par défaut. Chaque exception liée au fonctionnement de l’entreprise doit conserver un responsable et un motif documenté.

Comprenez quelle politique a la priorité

Pour un type de protection donné, les paramètres de la politique ne sont pas fusionnés : seule la première politique correspondante s'applique à un destinataire. L'ordre est Strict → Standard → politiques d'évaluation, si activées → politiques personnalisées → politiques par défaut ou protection intégrée. Les politiques d'évaluation couvrent les fonctionnalités prises en charge de Defender pour Office 365 ; elles ne constituent pas une politique d'évaluation distincte pour chaque type de protection. Parmi les politiques personnalisées du même type, un numéro de priorité inférieur a la priorité. La protection intégrée fournit la protection par défaut Safe Links et Safe Attachments dans Defender pour Office 365 ; les politiques par défaut anti-malware, anti-spam et anti-phishing sont des politiques distinctes.

Par exemple, si un utilisateur de test est inclus à la fois dans le préréglage Standard et dans une politique de spam personnalisée, même si vous augmentez la priorité de la politique personnalisée à 0, la protection correspondante du Standard sera appliquée en premier. Si un utilisateur reçoit des résultats inattendus, vérifiez d'abord le préréglage dans lequel la personne est incluse. Vous ne devez pas non plus confondre l'ordre d'inspection des différents types de protection comme les logiciels malveillants et le spam avec la priorité des politiques du même type.

Utilisez les règles de priorité de politique ci-dessus pour vérifier la politique effective d'un destinataire pour chaque type de protection. Ne supposez pas que les paramètres les plus stricts de plusieurs politiques seront combinés : les paramètres d'une politique de priorité inférieure du même type peuvent être totalement ignorés.

Passez en revue les politiques actuelles

1. Dans le portail Microsoft Defender, ouvrez Courrier et collaboration → Stratégies et règles → Stratégies de menace. Les menus peuvent varier en fonction de la langue de l'écran et du type de licence.
2. Vérifiez le statut d'activation et les cibles d'application des politiques de sécurité prédéfinies. Vérifiez également si des politiques distinctes sont appliquées aux cadres ou aux comptes de travail sensibles.

3. Passez en revue les exceptions et les listes autorisées pour les politiques de phishing, de logiciels malveillants et de spam. Assurez-vous que les anciennes exceptions commerciales ne sont pas excessivement larges.
4. Si le même destinataire est inclus dans plusieurs politiques, la politique réellement applicable est déterminée conformément à la procédure de priorité des politiques de Microsoft.
5. Vérifiez que les résultats attendus correspondent aux messages réellement mis en quarantaine ou aux e-mails de test préparés en toute sécurité. Vérifiez également si des notifications sont envoyées aux utilisateurs et qui peut libérer un message mis en quarantaine.

Protection Standard ou Strict en mode pilote

La protection Standard sert de point de départ pour examiner les normes de protection générales, tandis que Strict est un ensemble de paramètres pour les cibles nécessitant une protection plus stricte. Strict ne signifie pas qu'il convient automatiquement à tous les rôles. Comme la plupart des valeurs de détail prédéfinies sont gérées par Microsoft, contrairement aux politiques personnalisées que les utilisateurs peuvent ajuster librement, évaluez si la sélection de la politique et la portée des cibles répondent à vos exigences avant de rechercher des options individuelles.

1. Ouvrez Stratégies de menace → Stratégies de sécurité prédéfinies et enregistrez l'état actuel Standard ou Strict, les destinataires et les exclusions. Pour configurer un profil, sélectionnez Gérer les paramètres de protection ; s’il est désactivé, le flux de configuration documenté le bascule d'abord sur Activé. Examinez attentivement la portée des destinataires de l'assistant avant de confirmer les modifications.
2. Pour la protection que vous souhaitez modifier, spécifiez les utilisateurs ou groupes de test et passez en revue les exceptions. Si l'assistant affiche la portée de la protection de base et de la protection Defender séparément, comparez chacune avec les cibles et les licences.
3. Comparez les éléments nécessitant une saisie, tels que les utilisateurs et les domaines à protéger contre l'usurpation, avec les informations organisationnelles réelles. Vérifiez non seulement les noms affichés mais aussi les comptes et les domaines que vous souhaitez protéger.
4. Vérifiez le récapitulatif et confirmez uniquement les paramètres approuvés. Contrôlez ensuite les paramètres enregistrés et les destinataires concernés. Si vous modifiez un profil existant, vérifiez que les destinataires extérieurs au groupe pilote ne sont pas modifiés involontairement.
5. Vérifiez la livraison, le dossier de courrier indésirable, la quarantaine et les notifications en utilisant des e-mails envoyés par les canaux commerciaux normaux et critiques. N'incluez pas de pièces jointes malveillantes ni de sites de phishing réels dans les e-mails de test généraux.

Les tests simples d'envoi et de réception d'e-mails normaux ne permettent pas de vérifier toutes les capacités de détection des attaques. Des tests de sécurité réels doivent être effectués séparément en utilisant des outils et dans le cadre approuvé par l'organisation. L'objectif de cette vérification est de confirmer que les objectifs de la politique, l'impact sur l'entreprise, la mise en quarantaine et les notifications correspondent aux attentes.

Vérifier la quarantaine et les notifications des utilisateurs

Les stratégies de quarantaine définissent les messages visibles par les destinataires et leurs droits de libération ou de demande d’approbation. Une notification ne donne pas, à elle seule, le droit de libérer un message. Les utilisateurs ne peuvent pas libérer directement leurs messages classés comme logiciels malveillants par une stratégie antimalware, comme logiciels malveillants ou phishing par Safe Attachments, ou comme phishing détecté avec une confiance élevée par une stratégie antispam, quel que soit le droit de libération configuré. Dans ces cas, un droit de libération normalement accordé devient un droit de demande de libération. Vérifiez la stratégie attribuée et le circuit d’approbation par l’administrateur.

L’administrateur vérifie le motif de détection, la stratégie appliquée et l’état des actions automatiques, puis détermine qui approuvera une libération. Les messages envoyés dans le courrier indésirable, mis en quarantaine ou rejetés par le serveur nécessitent des suivis différents. Interprétez ces informations avec les résultats du suivi des messages.

Si un courrier légitime est bloqué

Ne désactivez pas la protection contre le phishing pour l'ensemble de l'organisation simplement parce qu'il y a un problème de livraison avec des e-mails légitimes. Vérifiez le statut à l'aide de la traçabilité des messages et examinez la raison de la mise en quarantaine, les résultats de l'authentification de l'expéditeur et la politique réellement appliquée. S'il s'agit d'un faux positif, restreignez et modifiez les conditions de l'expéditeur et de la politique affectés, et vérifiez que le courrier légitime prévu peut arriver sans créer un contournement trop large pour les messages dangereux. À l'inverse, si le phishing atteint la boîte de réception, examinez les listes d'autorisation, les paramètres de priorité et les réglages d'authentification de domaine.

N’autorisez pas tout un domaine au seul motif que l'expéditeur le demande. Vérifiez la véritable source d'envoi et les résultats du Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) et Domain-based Message Authentication, Reporting and Conformance (DMARC). Ajouter une adresse à la liste des expéditeurs sûrs d'une boîte aux lettres ne contourne pas la détection de logiciels malveillants ou de phishing détecté avec une confiance élevée ; un contact du carnet d'adresses est un concept distinct. Pour les faux positifs nécessitant une soumission ou une entrée autorisée, utilisez la méthode de soumission officielle prise en charge pour ce type de détection et enregistrez la cible, la date d'expiration et la justification.

Après avoir modifié une politique, retestez le même chemin d'envoi légitime et vérifiez les lacunes de protection affectant d'autres destinataires. Gardez une trace de la politique, des destinataires et des exclusions afin de pouvoir restaurer uniquement les modifications problématiques à leurs valeurs précédentes. Assignez un responsable pour examiner ou supprimer les entrées d'autorisation temporaire avant leur expiration. Ne considérez pas un problème comme résolu simplement parce qu'un courriel est arrivé après que la protection a été affaiblie.