Pièces jointes et liens fiables dans Defender pour Office 365 : ce qui affaiblit vraiment la protection
Safe Attachments et Safe Links font partie des fonctions les plus utiles de Defender pour Office 365. Pourtant, dans nos audits, elles sont souvent actives sur le papier et contournées en pratique : exclusions accumulées, stratégies personnalisées moins strictes que la protection intégrée, listes d'URL jamais réécrites. Voici comment s'y retrouver.
Deux fonctions complémentaires
Safe Attachments ouvre les pièces jointes dans un environnement d'analyse avant de les remettre, afin de détecter des comportements malveillants que les moteurs à signatures ne voient pas. Safe Links vérifie les URL au moment du clic, et non seulement à la réception : un lien inoffensif à 9 heures peut pointer vers une page d'hameçonnage à 11 heures.
Ces deux fonctions nécessitent Defender pour Office 365 (Plan 1 ou Plan 2, ou une offre qui les inclut). Les noms et le périmètre exact des licences évoluent ; vérifiez ce qui est réellement attribué dans votre locataire avant de conclure qu'une fonction est disponible.
Stratégies prédéfinies, personnalisées et protection intégrée
Trois niveaux coexistent, appliqués dans un ordre de priorité précis :
- les stratégies de sécurité prédéfinies Strict puis Standard, dont Microsoft maintient les paramètres ;
- les stratégies personnalisées, dans l'ordre de priorité défini par l'administrateur ;
- la protection intégrée, qui couvre par défaut tous les destinataires non concernés par une autre stratégie.
Un destinataire ne reçoit qu'une seule stratégie par type de protection : la première qui le concerne. C'est là que se cache un piège fréquent. Une stratégie personnalisée créée il y a des années, avec des réglages moins stricts, ciblant « tous les utilisateurs du domaine », prend le pas sur la protection intégrée. Le locataire semble protégé, mais avec des paramètres dégradés.
Notre recommandation par défaut : appliquer la stratégie prédéfinie Standard à l'ensemble des utilisateurs et Strict aux comptes les plus exposés (dirigeants, finance, administrateurs), et ne garder de stratégies personnalisées que pour des besoins documentés.
Safe Attachments : les choix de remise
Pour les messages, l'action de Safe Attachments détermine l'expérience utilisateur :
- Bloquer : le message est retenu pendant l'analyse puis mis en quarantaine s'il est malveillant ;
- Remise dynamique : le corps du message est remis immédiatement, avec un espace réservé à la place de la pièce jointe, qui est rattachée une fois l'analyse terminée ;
- Surveiller : le message est remis et la détection seulement journalisée ;
- Désactivé : aucune analyse.
La remise dynamique répond à la principale objection des utilisateurs, le délai de remise. Elle ne fonctionne que pour les boîtes aux lettres hébergées dans Exchange Online. Le mode « Surveiller », souvent choisi lors d'un test puis oublié, revient en pratique à laisser passer les pièces jointes malveillantes.
SharePoint, OneDrive et Teams. Safe Attachments pour ces services se règle dans un paramètre global distinct des stratégies de messagerie. Vérifiez qu'il est activé et que les utilisateurs ne peuvent pas télécharger un fichier détecté comme malveillant. Documents sécurisés, qui protège l'ouverture des fichiers en mode protégé dans les applications Office, dépend d'une licence plus élevée.
Safe Links : les réglages qui comptent
Dans une stratégie Safe Links, plusieurs options font la différence :
- la couverture des messages, de Teams et des applications Office, qui se règle séparément ;
- l'attente de la fin de l'analyse des URL avant remise ;
- l'application aux messages internes, utile lorsqu'un compte interne est compromis et sert de relais ;
- la possibilité pour l'utilisateur de passer outre l'avertissement et d'accéder à l'URL d'origine, qu'il est préférable de désactiver ;
- le suivi des clics, indispensable pour savoir qui a cliqué lors d'une campagne.
Les exclusions qui vident la protection
La faiblesse la plus courante que nous relevons n'est pas une fonction désactivée, mais une accumulation d'exceptions :
- la liste « ne pas réécrire les URL suivantes », remplie au fil des demandes, parfois avec des domaines de partage de fichiers ou de formulaires très utilisés par les attaquants ;
- des destinataires ou groupes exclus des stratégies, souvent des comptes de direction « pour ne pas les gêner » ;
- des règles de flux de messagerie qui ajoutent des en-têtes de contournement pour des outils de simulation ou des passerelles tierces, au lieu d'utiliser la remise avancée ;
- des stratégies personnalisées ciblant un seul domaine accepté, laissant les autres sur une protection minimale.
Chaque exception doit avoir un motif écrit et une date de révision. Une exclusion de dirigeant n'est presque jamais justifiable : ce sont justement les cibles prioritaires.
Ce qu'un audit vérifie
- Les licences Defender pour Office 365 réellement attribuées et la population couverte.
- L'application des stratégies prédéfinies et l'ordre de priorité effectif des stratégies personnalisées.
- L'action Safe Attachments configurée, et l'absence de mode Surveiller ou Désactivé hors test.
- L'activation de Safe Attachments pour SharePoint, OneDrive et Teams.
- La couverture Safe Links de Teams et des applications Office, et l'option de passer outre.
- Le contenu des listes « ne pas réécrire » et les destinataires exclus.
- Les règles de flux qui contournent l'analyse.