Stratégies anti-hameçonnage de Defender pour Office 365 : au-delà des réglages par défaut
Les attaques de fraude au président et de détournement de paiement reposent rarement sur une pièce jointe malveillante. Elles imitent un dirigeant ou un fournisseur. Defender pour Office 365 sait les détecter, à condition de lui dire qui protéger.
Ce qu'apporte chaque niveau
Exchange Online Protection (EOP), inclus dans tous les abonnements, fournit une stratégie anti-hameçonnage avec l'intelligence d'usurpation (spoof intelligence) et le conseil de sécurité « premier contact ». Defender pour Office 365 (plan 1 ou 2) ajoute la protection contre l'emprunt d'identité, l'intelligence de boîte aux lettres et des seuils d'hameçonnage avancés. La stratégie par défaut existe, mais la protection contre l'emprunt d'identité n'y est pas configurée avec vos utilisateurs sensibles.
Protection contre l'emprunt d'identité
Deux volets complémentaires :
- utilisateurs protégés : dirigeants, direction financière, comptabilité fournisseurs, assistants de direction. Un message venant d'une adresse externe dont le nom ressemble à l'un d'eux est détecté. Le nombre d'utilisateurs protégés par stratégie est plafonné : vérifiez la limite actuelle ;
- domaines protégés : vos propres domaines acceptés et ceux de partenaires clés (banque, principaux fournisseurs), pour détecter les domaines similaires comme une lettre doublée ou substituée.
Définissez l'action sur mettre en quarantaine plutôt que sur une simple remise dans les courriers indésirables, et ajoutez les expéditeurs légitimes récurrents à la liste des expéditeurs de confiance pour éviter les faux positifs.
Intelligence de boîte aux lettres
L'intelligence de boîte aux lettres apprend les habitudes de correspondance de chaque utilisateur. Elle distingue ainsi un vrai contact d'un expéditeur qui s'en rapproche. Activez-la, ainsi que la protection contre l'emprunt d'identité qui s'appuie sur elle, avec une action de quarantaine ou de déplacement vers les courriers indésirables selon votre tolérance.
Intelligence d'usurpation et conseils de sécurité
L'intelligence d'usurpation traite les messages dont l'expéditeur ne passe pas l'authentification (SPF, DKIM, DMARC). L'aperçu dédié dans le portail Defender permet d'autoriser ou bloquer les paires expéditeur/infrastructure, en lien avec la liste d'autorisation/blocage du locataire. Activez aussi les conseils de sécurité : emprunt d'utilisateur, emprunt de domaine, caractères inhabituels, ainsi que l'indicateur d'expéditeur non authentifié. Le conseil de premier contact signale un expéditeur jamais rencontré, signal simple mais efficace contre la fraude fournisseur.
Recommandation. Les stratégies de sécurité prédéfinies Standard et Strict appliquent un ensemble cohérent de réglages maintenus par Microsoft. Pour la plupart des organisations, affecter tout le monde à Standard et les profils exposés à Strict vaut mieux que des stratégies personnalisées jamais revues.
Stratégies prédéfinies ou personnalisées
Les stratégies prédéfinies ont priorité sur les stratégies personnalisées et évoluent avec les recommandations de Microsoft. Leur limite : la liste des utilisateurs et domaines protégés reste à renseigner par vos soins dans la configuration de la stratégie prédéfinie. Les stratégies personnalisées se justifient pour des besoins précis, mais doivent être documentées et comparées régulièrement aux valeurs recommandées.
Ce qu'un audit vérifie
- la présence d'utilisateurs et de domaines protégés contre l'emprunt d'identité ;
- l'activation de l'intelligence de boîte aux lettres et des conseils de sécurité ;
- des actions de quarantaine plutôt que de simple remise ;
- l'affectation effective des stratégies prédéfinies Standard ou Strict ;
- les exceptions de la liste d'autorisation, souvent trop larges.