Rapports sur les exercices de simulation d’attaque

Dans Formation de simulation d’attaque dans Microsoft Defender pour Office 365 Plan 2 ou Microsoft 365 E5, Microsoft fournit des rapports à partir des résultats des simulations et des formations correspondantes. Ces informations vous tiennent informé de la progression de la préparation aux menaces de vos utilisateurs, ainsi que des prochaines étapes recommandées pour mieux préparer vos utilisateurs aux attaques futures.

Les rapports sont disponibles aux emplacements suivants sur la page Exercice de simulation d’attaque du portail Microsoft Defender :

• Résumés des rapports :
  • L’onglet Vue d’ensemble sur https://security.microsoft.com/attacksimulator?viewid=overview.
  • L’onglet Rapports sur https://security.microsoft.com/attacksimulator?viewid=reports.
• Rapports complets :
  • Page rapport de simulation d’attaque à l’adresse https://security.microsoft.com/attacksimulationreport:
    • Onglet Efficacité de l’entraînement
    • Onglet couverture utilisateur
    • Onglet Fin de la formation
    • Onglet des récidivistes
  • Rapports sur les simulations en cours et terminées et les campagnes de formation : pour plus d’informations, consultez Rapport de simulation d’attaque.

Le reste de cet article décrit les rapports disponibles pour la Formation de simulation d’attaque.

Pour obtenir des informations sur la prise en main de Attack simulation training, consultez Prise en main de Attack simulation training.

Résumés des rapports sous les onglets Vue d’ensemble et Rapports dans Exercice de simulation d’attaque

Pour accéder à l’onglet Vue d’ensemble, ouvrez le portail Microsoft Defender à l’adresse https://security.microsoft.com, accédez à Email & collaboration>Exercice de simulation d’attaque :

• Onglet Vue d’ensemble : vérifiez que l’onglet Vue d’ensemble est sélectionné (il s’agit de la valeur par défaut). Ou, pour accéder directement à l’onglet Vue d’ensemble , utilisez https://security.microsoft.com/attacksimulator?viewid=overview.
• Onglet Rapports : sélectionnez l’onglet Rapports . Ou, pour accéder directement à l’onglet Rapports , utilisez https://security.microsoft.com/attacksimulationreport.

La distribution des résumés des rapports sur les onglets est décrite dans le tableau suivant :

Le reste de cette section décrit les informations disponibles sous les onglets Vue d’ensemble et Rapports de la formation de simulation d’attaque.

Carte des simulations récentes

La carte Simulations récentes sous l’onglet Vue d’ensemble affiche les trois dernières simulations que vous avez créées ou exécutées dans votre organisation.

Vous pouvez sélectionner une simulation pour afficher les détails.

Si vous sélectionnez Afficher toutes les simulations , vous accédez à l’onglet Simulations .

Sélectionner Lancer une simulation démarre le nouvel assistant de simulation. Pour plus d’informations, consultez Simuler une attaque par hameçonnage dans Defender pour Office 365.

Carte de recommandations

La carte Recommandations sous l’onglet Vue d’ensemble suggère différents types de simulations à exécuter.

Sélectionner Lancer maintenant démarre le nouvel assistant de simulation avec le type de simulation spécifié automatiquement sélectionné sur la page Sélectionner une technique. Pour plus d’informations, consultez Simuler une attaque par hameçonnage dans Defender pour Office 365.

Carte de couverture des simulations

La carte Couverture de simulation dans les onglets Vue d’ensemble et Rapports affiche le pourcentage d’utilisateurs de votre organization qui ont reçu une simulation (utilisateurs simulés) par rapport aux utilisateurs qui n’ont pas reçu de simulation (utilisateurs non simulés). Vous pouvez pointer sur une section du graphique pour voir le nombre réel d’utilisateurs dans chaque catégorie.

Si vous sélectionnez Afficher le rapport de couverture de simulation, vous accédez à l’onglet Couverture utilisateur du rapport de simulation d’attaque.

La sélection de Lancer la simulation pour les utilisateurs non simulés démarre le nouvel Assistant de simulation, où les utilisateurs qui n’ont pas reçu la simulation sont automatiquement sélectionnés dans la page Utilisateur cible . Pour plus d’informations, consultez Simuler une attaque par hameçonnage dans Defender pour Office 365.

Carte de fin de formation

La carte Achèvement de la formation dans les onglets Vue d’ensemble et Rapports organise les pourcentages d’utilisateurs ayant reçu des formations en fonction des résultats des simulations dans les catégories suivantes :

• Terminé
• En cours
• Incomplet

Vous pouvez pointer sur une section du graphique pour voir le nombre réel d’utilisateurs dans chaque catégorie.

Si vous sélectionnez Afficher le rapport d’achèvement de l’entraînement , vous accédez à l’onglet Achèvement de l’entraînement pour le rapport de simulation d’attaque.

Carte des récidivistes

La carte récidivistes sous les onglets Vue d’ensemble et Rapports affiche les informations sur les récidivistes. Un utilisateur récidiviste est un utilisateur qui a été compromis lors de simulations successives. Le nombre par défaut de simulations consécutives est de deux, mais vous pouvez modifier la valeur dans l’onglet Paramètres de Exercice de simulation d’attaque à l’adresse https://security.microsoft.com/attacksimulator?viewid=setting. Pour plus d’informations, consultez Configurer le seuil de récidive.

Le graphique organise les données de récidivistes par type de simulation :

• Tout
• Pièce jointe malveillante
• Lien vers un programme malveillant
• Collecte des informations d’identification
• Lien dans les pièces jointes
• URL de téléchargement furtif

Si vous sélectionnez Afficher le rapport sur les récidivistes, vous accédez à l’onglet Récidivistes pour le rapport de simulation d’attaque.

Impact du comportement sur la carte du taux de compromission

La carte Impact du comportement sur le taux de compromission sous les onglets Vue d’ensemble et Rapports montre comment vos utilisateurs ont répondu à vos simulations par rapport aux données historiques dans Microsoft 365. Vous pouvez utiliser ces informations pour suivre la progression du niveau de préparation des utilisateurs face aux menaces en exécutant plusieurs simulations sur les mêmes groupes d’utilisateurs.

Les données du graphique affichent les informations suivantes :

• Taux de compromission réel : pourcentage réel de personnes qui ont été compromises par la simulation (utilisateurs réels compromis / nombre total d’utilisateurs dans votre organization qui ont reçu la simulation).
• Taux de compromission prédit : données historiques dans Microsoft 365 qui prédisent le pourcentage de personnes qui seront compromises par cette simulation. Pour en savoir plus sur le taux de compromission prédit (PCR), consultez Taux de compromission prédit.

Si vous pointez sur un point de données dans le graphique, les valeurs de pourcentage réelles sont affichées.

Pour afficher un rapport détaillé, sélectionnez Voir le rapport sur les simulations et l’efficacité de l’entraînement. Ce rapport est expliqué plus loin dans cet article.

Rapport de simulation d’attaque

Vous pouvez ouvrir le rapport de simulation d’attaque à partir de l’onglet Vue d’ensemble en sélectionnant l’action Afficher... le rapport, disponible sur certaines des cartes des onglets Vue d’ensemble et Rapports décrits dans cet article. Pour accéder directement à la page rapport de simulation d’attaque , utilisez https://security.microsoft.com/attacksimulationreport

Onglet Efficacité de la formation pour le rapport de simulation d’attaque

L’onglet Efficacité de l’entraînement est sélectionné par défaut dans la page rapport de simulation d’attaque. Cet onglet fournit les mêmes informations que celles disponibles dans la carte Impact du comportement sur le taux de compromission, avec plus de contexte à partir de la simulation elle-même.

Le graphique montre le taux de compromission réel et le taux de compromission prédit. Si vous pointez sur une section du graphique, les valeurs de pourcentage réelles sont affichées.

Le tableau de détails sous le graphique présente les informations suivantes. Vous pouvez trier les simulations en cliquant sur un en-tête de colonne disponible. Sélectionnez Personnaliser les colonnes pour modifier les colonnes affichées. Par défaut, toutes les colonnes disponibles sont sélectionnées.

• Nom de la simulation
• Technique de simulation
• Tactiques de simulation
• Taux de compromission prédit
• Taux de compromission réel
• Nombre total d’utilisateurs ciblés
• Nombre d’utilisateurs ayant cliqué

Utilisez la zone de recherche pour filtrer les résultats par nom de simulation ou technique de simulation. Les caractères génériques ne sont pas pris en charge.

Utilisez le bouton Exporter le rapport pour enregistrer les informations dans un fichier CSV. Le nom de fichier par défaut est Attack simulation report - Microsoft Defender.csv, et l’emplacement par défaut est le dossier Téléchargements local. Si un rapport exporté existe déjà à cet emplacement, le nom de fichier est incrémenté (par exemple, rapport de simulation d’attaque - Microsoft Defender (1).csv).

Onglet Couverture utilisateur pour le rapport de simulation d’attaque

Dans l’onglet Couverture utilisateur, le graphique affiche les utilisateurs simulés et les utilisateurs non simulés. Si vous pointez sur un point de données dans le graphique, les valeurs réelles sont affichées.

Le tableau de détails sous le graphique présente les informations suivantes. Vous pouvez trier les informations en cliquant sur un en-tête de colonne disponible. Sélectionnez Personnaliser les colonnes pour modifier les colonnes affichées. Par défaut, toutes les colonnes disponibles sont sélectionnées.

• Username
• Adresse de messagerie
• Inclus dans la simulation
• Date de la dernière simulation
• Dernier résultat de simulation
• Nombre de clics
• Nombre d’éléments compromis

Utilisez la zone De recherche pour filtrer les résultats par nom d’utilisateur ou adresse Email. Les caractères génériques ne sont pas pris en charge.

Utilisez le bouton Exporter le rapport pour enregistrer les informations dans un fichier CSV. Le nom de fichier par défaut est Attack simulation report - Microsoft Defender.csv, et l’emplacement par défaut est le dossier Téléchargements local. Si un rapport exporté existe déjà à cet emplacement, le nom de fichier est incrémenté (par exemple, rapport de simulation d’attaque - Microsoft Defender (1).csv).

Onglet d’achèvement de la formation pour le rapport de simulation d’attaque

Sous l’onglet Achèvement de la formation, le graphique affiche le nombre de simulations Terminées, En cours et Incomplètes. Si vous pointez sur une section du graphique, les valeurs réelles s’affichent.

Le tableau de détails sous le graphique présente les informations suivantes. Vous pouvez trier les informations en cliquant sur un en-tête de colonne disponible. Sélectionnez Personnaliser les colonnes pour modifier les colonnes affichées. Par défaut, toutes les colonnes disponibles sont sélectionnées.

• Username
• Adresse de messagerie
• Inclus dans la simulation
• Date de la dernière simulation
• Dernier résultat de la simulation
• Nom de la formation la plus récente terminée
• Date d’achèvement
• Toutes les formations

Sélectionnez Filtrer pour filtrer le graphique et la table de détails en fonction des valeurs de Statut des formations : Terminé, En cours ou Tout.

Lorsque vous avez terminé de configurer les filtres, sélectionnez Appliquer, Annuler ou Effacer les filtres.

Utilisez la zone De recherche pour filtrer les résultats par nom d’utilisateur ou adresse Email. Les caractères génériques ne sont pas pris en charge.

Si vous sélectionnez le bouton Exporter le rapport , la progression de la génération du rapport s’affiche sous la forme d’un pourcentage d’exécution. Dans la boîte de dialogue qui s’ouvre, vous pouvez choisir d’ouvrir le fichier .csv, d’enregistrer le fichier .csv et de mémoriser la sélection.

Onglet Récidives pour le rapport de simulation d’attaque

Un utilisateur récidiviste est un utilisateur qui a été compromis lors de simulations successives. Le nombre par défaut de simulations consécutives est de deux, mais vous pouvez modifier la valeur sous l’onglet Paramètres de Exercice de simulation d’attaque à l’adresse https://security.microsoft.com/attacksimulator?viewid=setting. Pour plus d’informations, consultez Configurer le seuil de récidive.

Sous l’onglet Récidivistes, le graphique indique le nombre d’utilisateurs récidivistes et d’utilisateurs simulés.

Si vous pointez sur un point de données dans le graphique, les valeurs réelles sont affichées.

Le tableau de détails sous le graphique présente les informations suivantes. Vous pouvez trier les informations en cliquant sur un en-tête de colonne disponible. Sélectionnez Personnaliser les colonnes pour modifier les colonnes affichées. Par défaut, toutes les colonnes disponibles sont sélectionnées.

• Utilisateur : nom de l’utilisateur.

• Types de simulation : type de simulations où l’utilisateur a été impliqué.

• Simulations : nom des simulations dans lesquelles l’utilisateur a été impliqué.

• adresse e-mail: adresse e-mail de l’utilisateur.

• Dernier nombre de récidives : dernier nombre de compromissions pour les utilisateurs classés comme récidivistes. Par exemple, si le seuil de récidive est défini sur 3 et qu’un utilisateur a été compromis dans trois simulations consécutives, le nombre actuel de récidives est 3. Si l’utilisateur a été compromis dans quatre simulations consécutives, le dernier compteur de répétition est de 4. Si l’utilisateur a été compromis dans deux simulations consécutives, la valeur est N/A. Le dernier nombre de répétitions est réglé à 0 (N/A), chaque fois qu’un indicateur de récidiviste est réinitialisé (ce qui signifie que l’utilisateur réussit une simulation).

• Récidives : inclut le nombre de fois où un utilisateur a été classé comme récidiviste. Par exemple :

  • L’utilisateur a été classé comme récidiviste lors des premières simulations (il a été compromis trois fois consécutives, le seuil de récidiviste étant de 2).
  • L’utilisateur a été classé comme « sain » après avoir passé une simulation.
  • L’utilisateur a été classé comme récidiviste dans les simulations suivantes (ils ont été compromis quatre fois consécutives, le seuil de récidiviste étant de 2).

  Dans ce cas, le nombre de récidives est défini sur 2. Le nombre est mis à jour chaque fois qu’un utilisateur est considéré comme un récidiviste.

• Nom de la dernière simulation

• Dernier résultat de simulation

• Dernière formation attribuée

• Dernier état de l’entraînement

Sélectionnez Filtrer pour filtrer le graphique et la table de détails par une ou plusieurs valeurs de type de simulation :

• Hameçonnage d’identifiants
• Pièce jointe malveillante
• Lien dans la pièce jointe
• Lien vers un programme malveillant

Lorsque vous avez terminé de configurer les filtres, sélectionnez Appliquer, Annuler ou Effacer les filtres.

Utilisez la zone De recherche pour filtrer les résultats en fonction de l’une des valeurs de colonne. Les caractères génériques ne sont pas pris en charge.

Utilisez le bouton Export report pour enregistrer les informations dans un fichier CSV. Le nom de fichier par défaut est Attack simulation report - Microsoft Defender.csv, et l’emplacement par défaut est le dossier Téléchargements local. Si un rapport exporté existe déjà à cet emplacement, le nom de fichier est incrémenté (par exemple, rapport de simulation d’attaque - Microsoft Defender (1).csv).

Rapport de simulation de l’Entraînement à la simulation d’attaque

Le rapport de simulation affiche les détails des simulations en cours ou terminées (la valeur État est En cours ou Terminé). Pour afficher le rapport de simulation, utilisez l’une des méthodes suivantes :

• Sous l’onglet Vue d’ensemble de la page Exercice de simulation d’attaque à l’emplacement https://security.microsoft.com/attacksimulator?viewid=overview, sélectionnez une simulation dans l’carte Simulations récentes.

  

• Sous l’onglet Simulations de la page Formation de simulation d’attaque à l’emplacement https://security.microsoft.com/attacksimulator?viewid=simulations, sélectionnez une simulation en cliquant n’importe où dans la ligne autre que la case à cocher en regard du nom. Pour plus d’informations, consultez Afficher les rapports de simulation.

  • Sous l’onglet Formation de la page Formation de simulation d’attaque à l’adresse https://security.microsoft.com/attacksimulator?viewid=trainingcampaign, sélectionnez la campagne d’entraînement à l’aide de l’une des méthodes suivantes :
  • Cliquez n’importe où dans la ligne ailleurs que sur la case à cocher en regard du nom.
  • Sélectionnez la case à cocher en regard du nom, puis sélectionnez Afficher le rapport.

  Pour plus d’informations, consultez Afficher les rapports de campagne de formation.

La page de rapport qui s’ouvre contient les onglets Rapport, Utilisateurs et Détails qui contiennent des informations sur la simulation. Le reste de cette section décrit les informations disponibles sous l’onglet Rapport .

Les sections de l’onglet Rapport d’une simulation sont décrites dans les sous-sections suivantes.

Pour plus d’informations sur les onglets Utilisateurs et Détails , consultez les liens suivants.

• Simulations:

  • Onglet Utilisateurs

    Astuce

    Si la propriété Département dans Microsoft Entra ID est remplie pour les utilisateurs, vous pouvez exporter les informations de l'onglet Utilisateurs pour identifier les départements les plus vulnérables aux simulations d’hameçonnage effectuées.

  • Onglet Détails

• Campagnes de formation :
  • Onglet Utilisateurs
  • Onglet Détails

Rapports pour les simulations de code QR

Vous pouvez sélectionner des contenus de codes QR à utiliser dans les simulations. Le code QR remplace l’URL de hameçonnage comme charge utile utilisée dans le message électronique de simulation. Pour plus d’informations, consultez contenu des codes QR.

Étant donné que les codes QR sont un type différent d’une URL de hameçonnage, les événements utilisateur autour des événements de lecture, de suppression, de compromission et de clic restent les mêmes. Par exemple, le fait de scanner le code QR ouvre l’URL de hameçonnage, de sorte que l’événement est suivi en tant qu’événement de clic. Les mécanismes existants pour le suivi des événements de compromission, de suppression et de signalement restent les mêmes.

Si vous exportez un rapport de simulation vers un fichier CSV, la colonne EmailLinkClicked_ClickSource est disponible avec les valeurs suivantes :

• PhishingURL: l’utilisateur a cliqué sur le lien d’hameçonnage dans l’e-mail de simulation.
• QRCode: l’utilisateur a scanné le code QR dans l’e-mail de simulation.

D’autres métriques telles que les lectures, les compromissions, les suppressions et les messages signalés continuent d’être suivies sans aucune autre mise à jour. Pour plus d’informations, consultez la section Annexe plus loin dans cet article.

Rapport de simulation pour les simulations

Cette section décrit les informations contenues dans le rapport de simulation pour les simulations régulières (pas les Training campaigns).

Section Impact de la simulation dans le rapport pour les simulations

La section Impact de la simulation sous l’onglet Rapport ** d’une simulation indique le nombre et le pourcentage d’utilisateurs compromis et d’utilisateurs ayant signalé le message.

Si vous pointez sur une section du graphique, les nombres réels de chaque catégorie s’affichent.

Sélectionnez Afficher les utilisateurs compromis pour accéder à l’onglet Utilisateurs dans le rapport où les résultats sont filtrés par Compromis : Oui.

Sélectionnez Voir les utilisateurs qui ont signalé pour accéder à l’onglet Utilisateurs dans le rapport où les résultats sont filtrés par Message signalé : Oui.

Section Toutes les activités des utilisateurs dans le rapport pour les simulations

La section Toutes les activités des utilisateurs sous l’onglet Rapport ** d’une simulation affiche des nombres pour les issues possibles de la simulation. Les informations varient en fonction du type de simulation. Par exemple :

• Lien du message cliqué ou lien de la pièce jointe cliqué ou Pièce jointe ouverte
• Identifiants fournis
• Lire le message
• Message supprimé
• A répondu au message
• Message transféré
• Absent du bureau

Sélectionnez Afficher tous les utilisateurs pour accéder à l’onglet Utilisateurs dans le rapport où les résultats ne sont pas filtrés.

Section du statut de livraison dans le rapport pour les simulations

La section Statut de remise sous l’onglet Rapport** d’une simulation affiche les nombres des états de remise possibles pour le message de simulation. Par exemple :

• Message reçu avec succès
• Message de renforcement positif envoyé
• Message de simulation remis

Sélectionnez Afficher les utilisateurs auxquels la remise des messages n’a pas pu être remise pour accéder à l’onglet Utilisateurs dans le rapport où les résultats sont filtrés par Simulation de remise de message : Échec de remise.

Sélectionnez Afficher les utilisateurs ou groupes exclus pour ouvrir un menu volant Utilisateurs ou groupes exclus qui affiche les utilisateurs ou groupes exclus de la simulation.

Section d’achèvement de la formation dans le rapport pour les simulations

La section Achèvement de la formation de la page de détails de la simulation affiche les formations requises pour la simulation et le nombre d’utilisateurs qui ont terminé les formations.

Si aucune formation n’a été incluse dans la simulation, la seule valeur de cette section est Les formations ne faisaient pas partie de cette simulation.

Section de la première instance et de l'instance moyenne dans le rapport pour les simulations

La section First & average instance sous l’onglet Report** d’une simulation affiche des informations sur le temps nécessaire pour effectuer des actions spécifiques dans la simulation. Par exemple :

• Premier lien sélectionné
• Clics moyens sur les liens
• Premier identifiant saisi
• Identifiant moyen saisi

Section des recommandations dans le rapport pour les simulations

La section Recommandations sous l’onglet Rapport** d’une simulation affiche des recommandations pour utiliser la formation de simulation d’attaque afin de renforcer la sécurité de votre organisation.

Rapport de simulation pour les campagnes de formation

Cette section décrit les informations contenues dans le rapport de simulation pour les campagnes de formation (et non simulations).

Section Classification de l’achèvement de la formation dans le rapport sur les campagnes de formation

La section Classification de l’achèvement de la formation sous l’onglet Rapport ** d’une campagne de formation affiche des informations sur les modules de formation terminés dans la campagne de formation.

Section Résumé de l’achèvement de la formation dans le rapport sur les campagnes de formation

La section Résumé de l’achèvement de la formation sous l’onglet Rapport ** pour une campagne de formation utilise des graphiques à barres montrant la progression des utilisateurs assignés à l’ensemble des modules de formation de la campagne (nombre d’utilisateurs/nombre total d’utilisateurs) :

• Terminé
• En cours
• Non démarrée
• Non terminée
• Attribué précédemment

Vous pouvez pointer sur une section du graphique pour voir le pourcentage réel dans chaque catégorie.

Section de toutes les activités des utilisateurs dans le rapport pour les campagnes de formation

La section Toutes les activités des utilisateurs dans l’onglet Rapport ** d’une campagne de formation utilise un graphique à barres pour indiquer comment la plupart des utilisateurs ont reçu une notification de formation (nombre d’utilisateurs/nombre total d’utilisateurs).

Vous pouvez pointer sur une section du graphique pour afficher les nombres réels dans chaque catégorie.

Annexe

Lorsque vous exportez des informations à partir des rapports, le fichier CSV contient plus d’informations que ce qui est affiché dans le rapport, même si toutes les colonnes sont affichées. Les champs sont décrits dans le tableau suivant.

Signaux d’activité utilisateur

La façon dont les signaux d’activité utilisateur sont capturés est décrite dans le tableau suivant.

¹ Le lien cliqué peut être une URL sélectionnée ou un code QR numérisé.

Comportement du déclencheur d’affectation de formation par technique

Lorsque vous choisissez Sélectionner moi-même des cours et des modules de formation pour les affectations de formation dans les simulations et les automatisations de simulation, vous pouvez utiliser les déclencheurs suivants pour attribuer une formation :

• Tous les utilisateurs
• Charge utile cliquée
• Compromise

Mais tous les déclencheurs d’affectation de formation ne s’appliquent pas tous à toutes les techniques d’ingénierie sociale. Le tableau suivant récapitule les déclencheurs d’affectation d’entraînement disponibles et recommandés par technique :

Liens connexes

Commencer à utiliser la formation à la simulation d’attaque

Créer une simulation d’attaque par hameçonnage

créer une charge utile pour la formation de vos équipes