Prevention: Email Defenses

Nous avons déjà abordé la question de la défense des e-mails à la fois dans le domaine Security Fundamentals et dans le domaine de l'analyse du phishing dans la section Mesures défensives. Cette leçon abordera plus en détail les défenses classiques des e-mails et expliquera comment elles protègent l'organisation contre les attaques. Récapitulons les contrôles de sécurité classiques pour vous protéger contre les e-mails, les URL et les pièces jointes malveillants.

SPF, DIM, DMARC

Les enregistrements de domaine (DNS) peuvent être utilisés à des fins très diverses, par exemple pour permettre à un serveur de messagerie d'utiliser un domaine personnalisé, héberger un site Web et également offrir la possibilité de configurer des enregistrements anti-usurpation d'identité. Comme de nombreuses cyberattaques proviennent d'e-mails de phishing et d'usurpation d'identité, ces enregistrements de domaine aident à protéger les noms de domaine personnalisés contre l'exploitation par un attaquant. Les trois types d'enregistrement suivants, SPF, DKIM et DMARC, peuvent être utilisés conjointement pour renforcer la sécurité du service de messagerie d'une organisation.

Cadre de politique pour les expéditeurs (SPF) :

Un enregistrement SPF (Sender Policy Framework) est un type d'enregistrement DNS (TXT) qui permet d'empêcher la falsification d'une adresse e-mail. Cet enregistrement est établi pour identifier les noms d'hôte ou les adresses IP autorisés à envoyer des e-mails pour votre domaine personnalisé. Lorsqu'un enregistrement SPF est spécifié sur votre domaine, cela permet d'empêcher un acteur malveillant d'usurper votre domaine. L'enregistrement SPF TXT comprend trois parties : la déclaration du type d'enregistrement, les adresses IP et les domaines externes qui peuvent être envoyés au nom de votre domaine, ainsi qu'une règle d'application.

Courrier identifié par clés de domaine (DKIM) :

Le courrier identifié par clé de domaine (DKIM) est une méthode d'authentification des e-mails qui vérifie de manière cryptographique si un e-mail a été envoyé par ses serveurs de confiance et n'a pas été falsifié lors de sa transmission sur Internet. Le protocole DKIM fonctionne comme suit : lorsque le serveur de messagerie envoie un e-mail, un hachage crypté du contenu de l'e-mail est généré à l'aide d'une clé privée, puis il ajoute ce hachage à l'en-tête de l'e-mail en tant que signature DKIM. Le serveur de réception sera en mesure de vérifier si le contenu du courrier électronique n'a pas été falsifié en recherchant la clé publique correspondante dans les enregistrements DNS du domaine. Une fois que le serveur de messagerie de réception déchiffre l'e-mail avec la clé publique, il calcule un nouveau hachage et vérifie si le hachage d'origine et le nouveau hachage correspondent pour garantir l'intégrité du message électronique.

Authentification, rapports et conformité des messages basés sur le domaine (DMARC) :

Le protocole DMARC (Domain-based Message Authentication, Reporting & Conformance) est un protocole d'authentification, de politique et de reporting des e-mails. Le DMARC repose en grande partie sur des concepts tirés du SPF et du DKIM, mais il apporte plusieurs améliorations à ces protocoles. Ce type d'enregistrement permet au propriétaire du domaine de spécifier ce qui doit se passer si les e-mails échouent aux contrôles SPF et DKIM. Le serveur de messagerie peut choisir trois options de base : aucune, mise en quarantaine et rejet.

Marquage des e-mails externes

Les employés doivent comprendre les risques liés aux e-mails externes. Bien qu'ils puissent provenir d'entités telles que des clients, des adresses e-mail personnelles d'employés, des fournisseurs et des clients potentiels, la majorité des e-mails de phishing proviennent d'adresses externes. Sur des plateformes telles que Microsoft Exchange ou Office365, il est possible de modifier l'objet ou le corps du texte d'une adresse e-mail qui entre dans l'organisation afin d'avertir le destinataire que cet e-mail n'est pas une communication interne et qu'il peut potentiellement être malveillant. Ce simple avertissement peut inciter les employés à réfléchir à deux fois avant d'interagir avec un e-mail externe, par exemple en ouvrant une pièce jointe ou en cliquant sur un lien hypertexte.

Une bonne idée est d'appliquer une règle selon laquelle tout e-mail provenant d'un expéditeur externe à l'organisation est accompagné d'un message très court, tel que « [EXTERNAL] » ou « [EXT] ». L'ajout de messages aux lignes d'objet peut s'avérer contre-productif et empêcher les employés de lire les lignes d'objet en un coup d'œil. Certaines entreprises choisissent donc d'ajouter un message en haut du corps du message en utilisant une couleur de police claire, telle que le rouge, afin qu'il se démarque et que les employés ne le ratent pas.

Filtre anti-spam

Les filtres anti-spam ont été créés en pensant à l'utilisateur final. Depuis l'essor de la messagerie électronique et d'Internet dans les années 1990, de plus en plus de cyberattaques peuvent souvent être transmises par le biais des services de messagerie. Les tentatives de phishing, l'ingénierie sociale et les charges utiles envoyées par e-mail peuvent tous être interceptés par un filtre anti-spam, en fonction du type de filtre et de la façon dont ils sont configurés. En raison de la pléthore de filtres, trois principaux types de filtres anti-spam peuvent être utilisés :

1. Filtres anti-spam Gateway : filtres situés derrière le pare-feu local d'un réseau. Ils peuvent

souvent être utilisés par les grandes entreprises, et la passerelle de sécurité de la messagerie Barracuda est un exemple de filtre de passerelle.

2. Filtres anti-spam hébergés : ce sont ceux qui sont hébergés dans le cloud. Ils fonctionnent de

manière très similaire aux filtres anti-spam de passerelle, mais ils peuvent être mis à jour plus rapidement que certains filtres locaux. SpamTitan est un exemple de filtre hébergé.

3. Filtres anti-spam pour ordinateur de bureau : ces filtres sont installés par l'utilisateur et sont

généralement utilisés dans les scénarios SOHO. L'un des principaux inconvénients de ces types de filtres est qu'ils peuvent parfois être classés dans la catégorie « Freeware » et que vous ne savez peut-être pas exactement ce que l'application installe sur votre système.

Prévention des pertes de données

La prévention des pertes de données, ou DLP, est une combinaison de contrôles conçus pour empêcher les informations de quitter une organisation par e-mail, ou du moins pour informer quelqu'un que des documents potentiellement sensibles ont été envoyés via des pièces jointes ou du texte dans le corps du message.

Ces solutions peuvent signaler les e-mails en fonction de mots clés tels que « confidentiel », « propriétaire » et bien d'autres, afin de donner à l'équipe de sécurité une visibilité sur les fuites de données potentielles, qu'elles soient intentionnelles ou accidentelles.

Sandboxing

Les pièces jointes malveillantes passent par les passerelles de messagerie. Cela est souvent dû au fait que des règles et des configurations prédéfinies sont utilisées pour bloquer des types de fichiers ou des conventions de dénomination spécifiques, ce qui signifie que des fichiers qui semblent légitimes, tels que des documents Microsoft Office contenant des macros malveillantes, peuvent naviguer et atterrir dans les boîtes aux lettres des employés. C'est là qu'intervient le sandboxing des pièces jointes : les e-mails contenant des pièces jointes sont extraits et analysés, et les fichiers explosent (exécutés) dans un environnement virtuel, où tout est surveillé pour voir ce qui se passe réellement lorsqu'un fichier est exécuté. Si des indicateurs malveillants sont observés, par exemple si vous essayez de télécharger des fichiers supplémentaires à partir d'un domaine malveillant ou si vous essayez de créer ou de modifier des processus existants, la pièce jointe est considérée comme malveillante et l'e-mail ne sera pas remis.

Restrictions de pièce

Ce n'est pas une bonne idée de bloquer purement et simplement les pièces jointes : les employés auront du mal à envoyer des documents légitimes en interne et en externe. La manière la plus appropriée d'aborder cette situation consiste à déterminer quels types de fichiers sont souvent

utilisés à des fins malveillantes, quels types de fichiers l'organisation traite régulièrement et si leur blocage aurait un impact négatif sur l'entreprise. Les types de fichiers les plus courants utilisés pour des activités malveillantes sont les suivants :

• .exe (Exécutable)
• .vbs (script Visual Basic)
• .js (JavaScript)
• .iso (image sur disque optique)
• .bat (fichier batch Windows)
• .ps/.ps1
• .htm/.html

Formation de sensibilisation à la sécurité

Les employés doivent régulièrement suivre une formation de sensibilisation à la sécurité, qui leur rappelle leur rôle dans la protection de l'organisation, car c'est l'affaire de tous. Cette formation doit se concentrer sur les politiques que les employés doivent respecter, mais également aborder des sujets liés au phishing, tels que la manière de repérer un e-mail et la marche à suivre en cas de détection d'un e-mail suspect. Ce type de formation vise à lutter contre le phishing au niveau humain, étant donné qu'il s'agit d'une attaque d'ingénierie sociale et qu'il faut qu'un employé en soit victime pour que l'attaque réussisse. Des campagnes de phishing simulées de routine doivent être menées contre les employés afin de recueillir des statistiques basées sur le nombre d'employés qui ont signalé que les e-mails étaient malveillants et sur le nombre d'employés qui ont cliqué sur le lien. Les employés qui ont malheureusement succombé à une attaque de phishing devraient bénéficier d'une formation et d'un temps supplémentaires pour être en mesure de détecter ces attaques et d'y répondre à l'avenir.