Sécuriser par défaut dans les organisations cloud

« Sécurisé par défaut » est un terme utilisé pour définir les paramètres par défaut les plus sécurisés possible.

Toutefois, la sécurité doit être équilibrée avec la productivité. Ce solde comprend les éléments suivants :

• Facilité d’utilisation : les paramètres ne doivent pas entraver la productivité des utilisateurs.
• Risque : la sécurité peut bloquer des activités importantes.
• Paramètres hérités : certaines configurations pour les anciens produits et fonctionnalités peuvent devoir être conservées pour des raisons professionnelles, même si de nouveaux paramètres modernes sont améliorés.

Toutes les organisations disposant de boîtes aux lettres cloud reçoivent automatiquement la protection des e-mails. Cette protection inclut :

• Email avec des programmes malveillants suspects est automatiquement mis en quarantaine. La stratégie de mise en quarantaine utilisée par la stratégie anti-programme malveillant contrôle si les destinataires sont avertis. Pour plus d’informations, consultez Configurer des stratégies anti-programme malveillant.
• Email identifié comme hameçonnage à haut niveau de confiance est mis en quarantaine par défaut.

Pour plus d’informations, consultez Fonctionnalités de sécurité intégrées pour toutes les boîtes aux lettres cloud.

Étant donné que Microsoft veut protéger nos clients par défaut, certains remplacements définis par l’organisation ne s’appliquent pas aux logiciels malveillants ni au hameçonnage avec un niveau de confiance élevé. Ces remplacements sont les suivants :

• Listes d’expéditeurs autorisés ou listes de domaines autorisés dans les stratégies anti-courrier indésirable.
• Expéditeurs approuvés Outlook.
• Liste d’adresses IP autorisées dans la stratégie de filtre de connexion par défaut.
• Règles de flux de messagerie Exchange (également appelées règles de transport).

Utilisez les soumissions d’administrateur pour autoriser temporairement des messages spécifiques bloqués par Microsoft 365.

Pour plus d’informations sur ces remplacements, consultez Créer des listes d’autorisation d’expéditeurs.

La sécurité par défaut n’est pas un paramètre que vous pouvez activer ou désactiver. C’est ainsi que notre filtrage conserve les messages potentiellement dangereux ou indésirables hors de vos boîtes aux lettres. Les programmes malveillants et les messages d’hameçonnage à haute confiance doivent être mis en quarantaine. Par défaut, seuls les administrateurs peuvent gérer les messages mis en quarantaine en tant que programmes malveillants ou hameçonnage à haut niveau de confiance, et ils peuvent également signaler les faux positifs à Microsoft à partir de la quarantaine. Pour plus d’informations, consultez Gérer les messages et les fichiers mis en quarantaine en tant qu’administrateur.

Plus d’informations

La sécurité par défaut signifie que nous prenons la même action sur les messages que si vous saviez que le message était malveillant, même si vous avez configuré des exceptions qui autoriseraient la remise du message. Nous avons toujours utilisé cette approche sur les programmes malveillants, et nous étendons maintenant cette approche aux messages d’hameçonnage à haute confiance.

Nos données indiquent qu’un utilisateur est 30 fois plus susceptible de cliquer sur un lien malveillant dans les messages dans le dossier Email indésirable que la mise en quarantaine. Nos données indiquent également que le taux de faux positifs (bons messages marqués comme mauvais) pour les messages d’hameçonnage à confiance élevée est faible. Les administrateurs peuvent traiter les faux positifs grâce aux soumissions des administrateurs.

Nous avons également déterminé que l’expéditeur autorisé et les listes de domaines autorisés dans les stratégies anti-courrier indésirable et les expéditeurs approuvés dans Outlook étaient trop larges et causaient plus de dommages que de bien.

Autrement dit, en tant que service de sécurité, nous agissons en votre nom pour empêcher les utilisateurs d’être compromis.

Exceptions

Vous ne devez envisager de recourir à des dérogations que dans les scénarios suivants :

• Simulations d’hameçonnage : les attaques simulées peuvent vous aider à identifier les utilisateurs vulnérables avant qu’une attaque réelle n’affecte votre organization. Pour empêcher le filtrage des messages de simulation de hameçonnage, consultez Configurer des simulations d’hameçonnage autres que Microsoft dans la stratégie de distribution avancée.
• Boîtes aux lettres Security/SecOps : boîtes aux lettres dédiées utilisées par les équipes de sécurité pour obtenir des messages non filtrés (bons et mauvais). Les équipes peuvent ensuite vérifier si elles contiennent du contenu malveillant. Pour plus d’informations, consultez Configurer des boîtes aux lettres SecOps dans la stratégie de remise avancée.
• Filtres non-Microsoft : La sécurité par défaut s’applique uniquement lorsque l’enregistrement MX de votre domaine pointe vers Microsoft 365 (par exemple, contoso.mail.protection.outlook.com). Si l’enregistrement MX de votre domaine pointe vers un service ou un appareil non-Microsoft, des stratégies incluant, mais sans s’y limiter, les scénarios suivants peuvent entraîner la remise de messages détectés comme hameçonnage à haut niveau de confiance par les stratégies anti-courrier indésirable :
  • Règles de flux de messagerie Exchange pour contourner le filtrage du courrier indésirable.
  • Expéditeurs identifiés dans la liste des expéditeurs approuvés des boîtes aux lettres des utilisateurs.
  • Entrées d’autorisation dans la liste verte/bloquée du locataire
  • Expéditeurs figurant dans la liste des expéditeurs autorisés et la liste des domaines autorisés dans les stratégies anti-spam.
  • Adresses IP sources autorisées par la stratégie de filtre de connexion.
• Faux positifs : pour autoriser temporairement certains messages que Microsoft 365 a bloqués, utilisez les soumissions d’administrateur. Par défaut, les entrées autorisées pour les domaines et les adresses de messagerie, les fichiers et les URL existent pendant 30 jours. Pendant ces 30 jours, Microsoft se base sur les entrées d’autorisation et les supprime ou prolonge automatiquement leur durée de validité. Par défaut, les entrées autorisées pour les expéditeurs usurpés n’expirent jamais.