Passerelles de messagerie sécurisées et contrôles antispam

Une passerelle de courrier électronique sécurisée (SEG) est un dispositif de sécurité ou un service infonuagique qui se trouve sur le chemin du flux de courrier, soit comme destination d’un enregistrement MX, soit comme relais, et qui inspecte tous les courriers électroniques entrants et sortants avant leur remise. Contrairement à SPF/DKIM/DMARC, qui vérifient l’identité de l’expéditeur, un SEG effectue une inspection du contenu : analyse des pièces jointes à la recherche de logiciels malveillants, détection des URL d’hameçonnage, identification des schémas de spam et prévention de la fuite de données sensibles de l’Organization par courrier électronique (DLP). Parmi les principaux fournisseurs de SEG figurent Proofpoint, Mimecast et Microsoft Defender for Office 365.

Les SEG peuvent être déployés selon deux modèles principaux. Dans le modèle MX en ligne, les enregistrements MX de l’Organization pointent vers le SEG, qui reçoit tous les courriers entrants, les inspecte, puis relaie les courriers exempts de menace vers le Server de courrier de l’Organization. Le courrier sortant est acheminé par le SEG au moyen d’une configuration d’hôte intelligent. Dans le modèle d’intégration par API (de plus en plus courant pour le courrier électronique infonuagique), le SEG se connecte à la plateforme de courrier par API (Microsoft 365 Graph API, Google Workspace API), inspecte les courriers déjà remis, puis rétracte les messages malveillants après leur remise : il s’agit d’une approche de « nettoyage » plutôt que d’un filtrage avant remise.

Les SEG utilisent plusieurs techniques pour identifier le spam. Reputation IP : vérifier l’adresse IP d’envoi par rapport aux listes noires (Spamhaus, SURBL). Filtrage fondé sur le contenu : effectuer une analyse bayésienne des schémas de mots connus pour apparaître dans le spam. Analyse des en-têtes : rechercher des en-têtes falsifiés ou malformés, un routage inhabituel ou des en-têtes d’authentification absents. Limitation du débit : signaler les expéditeurs qui envoient des volumes anormalement élevés sur de courtes périodes. Greylisting : rejeter temporairement les messages provenant d’expéditeurs inconnus ; les serveurs légitimes réessaient, contrairement à de nombreux robots de spam. La combinaison de plusieurs techniques offre une meilleure précision que n’importe quelle méthode utilisée seule.

Les SEG analysent les pièces jointes des courriers électroniques à la recherche de logiciels malveillants au moyen de plusieurs moteurs. L’analyse fondée sur les signatures compare les fichiers à des empreintes de logiciels malveillants connus. L’analyse statique examine les macros de documents, les scripts intégrés et la structure des fichiers sans exécuter le contenu. L’analyse dynamique (bac à sable) exécute les pièces jointes suspectes dans un environnement isolé et observe leur comportement : modifications du système de fichiers, connexions réseau et création de processus. Le bac à sable détecte les logiciels malveillants qui échappent à l’analyse par signatures et à l’analyse statique, au prix d’un délai de remise de 1 à 5 minutes. La réécriture des URL au moment du clic exécute les URL au moment où l’utilisateur clique, et non au moment de la remise, ce qui permet de détecter les URL inoffensives lors de la remise, mais transformées ultérieurement en armes.

Les SEG inspectent également le courrier électronique sortant afin de prévenir les pertes de données. Les règles DLP analysent les messages sortants à la recherche de schémas indiquant des données sensibles : numéros de cartes de crédit (correspondance par expression régulière), numéros de sécurité sociale, mots-clés tels que « confidentiel » ou étiquettes de classification de fichiers. Lorsqu’une règle correspond, le SEG peut : bloquer le message, le chiffrer automatiquement avant sa remise, le placer en quarantaine pour examen par un responsable ou alerter l’équipe de sécurité. Le DLP sortant est essentiel pour la conformité HIPAA et PCI-DSS : un seul courrier électronique accidentel contenant des PHI ou des données de titulaires de cartes déclenche des obligations de notification de violation.

Le chiffrement du courrier électronique protège les messages en transit et au repos. Le TLS opportuniste chiffre la connexion SMTP entre les serveurs de courrier lorsque les deux la prennent en charge, ce qui protège contre l’écoute du réseau, mais ne vérifie pas l’identité du Server destinataire (STARTTLS peut être supprimé par un attaquant de type MitM). MTA-STS (sécurité stricte du transport des agents de transfert de courrier) et DANE (authentification fondée sur DNS des entités nommées) imposent TLS et la validation du certificat du Server, empêchant les attaques par suppression de TLS. S/MIME et PGP chiffrent le contenu des messages de bout en bout, indépendamment de la sécurité de la transmission.

Le Business Email Compromise (BEC) est l’un des types d’attaque les plus coûteux : les attaquants se font passer pour des cadres dirigeants ou des fournisseurs afin de déclencher des virements frauduleux ou de voler des identifiants. Le BEC contourne souvent les filtres anti-spam, car les courriers électroniques ne contiennent ni logiciel malveillant ni URL d’hameçonnage. Les défenses contre le BEC fondées sur un SEG comprennent : la détection de l’usurpation du nom affiché (le nom affiché du CEO, mais une adresse de courrier électronique différente), la détection des domaines ressemblants (company1.com par rapport à companyI.com), le marquage des courriers électroniques des cadres dirigeants (les messages externes imitant les noms de cadres affichent une bannière) et les contrôles du processus de paiement (exiger une double approbation pour les virements).

Les analystes de sécurité examinent les en-têtes des courriers électroniques pour retracer l’origine des messages et détecter les usurpations. En-têtes clés : les en-têtes Received: indiquent le chemin suivi par le message à travers les serveurs de courrier (à lire de bas en haut). Return-Path: est l’adresse From de l’enveloppe utilisée par SPF. Authentication-Results: affiche les verdicts SPF, DKIM et DMARC du Server destinataire. X-Originating-IP: peut révéler l’adresse IP d’origine de l’attaquant. Message-ID: doit correspondre au domaine d’envoi. Les incohérences entre ces en-têtes, comme un domaine d’entreprise revendiqué associé à une adresse IP non professionnelle dans les en-têtes Received, indiquent une usurpation.

Les SEG qui détectent des courriers électroniques potentiellement suspects, mais pas certainement malveillants, les dirigent vers une quarantaine où les Users peuvent les examiner et les libérer. Les portails de quarantaine accessibles aux Users affichent l’objet du message, l’expéditeur, la raison de la détection ainsi que les options de libération et de suppression. La gestion des faux positifs, lorsque des courriers légitimes sont placés à tort en quarantaine, nécessite l’autorisation explicite de l’expéditeur ou l’ajustement des règles. Les SEG génèrent des rapports détaillés : tendances de volume, principaux expéditeurs bloqués, répartition par catégorie de détection et nombre de correspondances avec les policy DLP. Ces rapports alimentent les indicateurs de sécurité et les éléments de preuve de conformité.

Les SEG génèrent des données de télémétrie de sécurité à forte valeur qui doivent être transmises au SIEM. Lorsque le SEG bloque une campagne d’hameçonnage visant 500 employés, ces données sont mises en corrélation avec la télémétrie des terminaux afin d’identifier les 3 Users qui ont cliqué avant l’application du blocage. Les SEG prennent également en charge la réponse aux incidents par courrier électronique : les fonctions de recherche de menaces permettent aux analystes de rechercher tous les messages contenant une URL ou une empreinte de pièce jointe donnée, puis de les placer rétroactivement en quarantaine dans toutes les boîtes aux lettres, même s’ils ont déjà été remis avant l’identification de la menace. Cette capacité de correction rétroactive réduit considérablement le temps de présence de l’attaquant.

Une policy anti-spam efficace doit trouver un équilibre entre sécurité et facilité d’utilisation. Une policy trop agressive, qui place trop de messages légitimes en quarantaine, détruit la confiance des Users, les incite à chercher des contournements et surcharge le service d’assistance. Approche recommandée : configurer des seuils pour les courriers électroniques en masse (marketing légitime ou spam), définir des policies de graymail (infolettres auxquelles les Users se sont inscrits), créer des listes d’expéditeurs autorisés pour les partenaires connus, créer des listes de domaines autorisés pour les fournisseurs critiques et ajuster les seuils de score du spam en fonction d’un examen hebdomadaire des faux positifs. Un « sprint d’ajustement » au cours des 30 premiers jours suivant le déploiement est essentiel avant de considérer la policy comme stable.

Vérifiez votre compréhension des notions de CompTIA Security+ (SY0-701) présentées dans cette leçon.

Dans cette leçon, vous avez appris que les passerelles de courrier électronique sécurisées inspectent les courriers entrants et sortants au moyen de la Reputation IP, de l’analyse du contenu, de l’analyse anti-logiciels malveillants et du bac à sable ; que le DLP sortant empêche les données sensibles de quitter l’Organization par courrier électronique grâce à la correspondance par expressions régulières et par mots-clés ; et que la prévention du BEC nécessite la détection des noms affichés et des domaines ressemblants, en complément du filtrage anti-spam standard. Nous allons maintenant étudier le filtrage du contenu Web et les puits DNS.