Transfert et triage des e-mails du Bouton d'alerte phishing

Vous pouvez configurer le SoSafe Phishing Report Button pour transférer les e-mails signalés (y compris le fichier .EML) vers une boîte aux lettres d'abus, MS Defender et/ou l'outil de triage interne de SoSafe - Threat Inbox.

Boîte aux lettres d'abus

Compatibilité

• Outlook : toutes les API sont prises en charge
• Google Workspace : non pris en charge

Fonctionnement

Lorsque les utilisateurs signalent des e-mails suspects, le Phishing Report Button peut transférer ces messages vers une boîte aux lettres d'abus définie. Le système sandbox de votre choix peut ensuite surveiller cette boîte aux lettres et analyser les e-mails entrants pour détecter des menaces telles que des liens de phishing ou des logiciels malveillants. Si une menace est détectée, elle peut automatiquement mettre en quarantaine l'e-mail correspondant et supprimer les copies transférées des boîtes de réception des utilisateurs.

Configuration

1. Configurez une boîte aux lettres d'abus dans votre solution de sécurité. Pour obtenir des instructions détaillées, consultez la documentation de votre fournisseur.

2. Dans le SoSafe Manager, accédez à Phishing Report Button / Report handling et faites défiler jusqu'à la section Set up abuse mailbox. Activez le bouton bascule.

   

    

    

3. Saisissez l'adresse de votre boîte aux lettres d'abus et sélectionnez Save pour confirmer.

Détails techniques

• Les e-mails transférés incluent des en-têtes spéciaux (references et in-reply-to) qui renvoient à l'e-mail d'origine. Cela permet aux outils de sécurité de suivre les conversations et d'analyser la chaîne de messages.

• L'e-mail transféré ne contient pas l'e-mail d'origine en pièce jointe.

• L'e-mail transféré contient à la place des métadonnées en texte brut de l'e-mail d'origine.

MS Defender

Vous pouvez intégrer le Phishing Report Button à Microsoft Defender pour la gestion des signalements. Ainsi, les e-mails signalés via le PRB apparaissent dans le tableau de bord des soumissions de votre équipe SOC dans Defender. Si vous disposez de Microsoft Defender for Office 365 Plan 2, vous pouvez également déclencher une investigation et réponse automatisées (AIR) pour l'analyse de l'e-mail signalé et des suggestions de remédiation. Pour en savoir plus sur cette fonctionnalité, consultez https://learn.microsoft.com/en-us/defender-office-365/air-auto-remediation.

Conditions requises et limitations

Toutes les API disponibles pour le PRB sont prises en charge. Toutefois, Exchange Web Services (EWS) limite la taille des pièces jointes à 500 Ko, ce qui signifie que nous ne pouvons pas joindre l'e-mail d'origine en tant que fichier .eml s'il est trop volumineux. Dans ces cas, bien que les signalements soient envoyés à la boîte de réception des soumissions utilisateurs, ils n'apparaîtront pas dans le tableau de bord des soumissions utilisateurs de Microsoft Defender. Nous ne recommandons donc pas d'utiliser cette intégration avec l'API EWS.

Les soumissions Microsoft Defender ne fonctionnent pas lorsque les signalements sont envoyés depuis une boîte aux lettres sur site ou depuis l'extérieur de l'organisation. Les personnes effectuant un signalement doivent se trouver sur la même instance Azure de MS Defender.

Configuration dans Microsoft Defender

1. Accédez au portail Microsoft Defender. Naviguez vers System / Settings / Email & collaboration / User reported settings. Vous pouvez également accéder directement à cette page : https://security.microsoft.com/userSubmissionsReportMessage
2. Assurez-vous que la case Monitor reported messages in Outlook est cochée.
3. Sélectionnez Use a non-Microsoft add-in button.

4. Sous Reported message destinations, assurez-vous que Send reported messages to: est défini sur Microsoft and my reporting mailbox.
5. Sous Add an exchange online mailbox to send reported messages to:, saisissez la boîte de réception que vous souhaitez utiliser.

Configuration dans le SoSafe Manager

Dans le SoSafe Manager, accédez à Phishing Report Button / Report handling et trouvez la section Microsoft Defender emails. Sélectionnez le bouton bascule pour l'activer et saisissez la même boîte de réception que celle indiquée précédemment. Sélectionnez Save pour confirmer.

Les e-mails signalés par les utilisateurs seront désormais transférés vers votre tableau de bord des soumissions utilisateurs dans Defender (accédez à Investigation & response / Actions & submissions / Submissions). Pour en savoir plus sur les actions disponibles, consultez les pages d'assistance de Microsoft. Les e-mails de phishing simulés envoyés par SoSafe ne seront pas transférés.

Threat Inbox

Threat Inbox est votre hub central pour le triage des signalements soumis par vos utilisateurs via le SoSafe Phishing Report Button (PRB). Plutôt que de gérer les signalements via une boîte de réception e-mail standard, Threat Inbox fournit un environnement dédié pour rechercher, filtrer, examiner et classer les menaces potentielles, agir en conséquence et donner aux employés qui les ont signalées un feedback pertinent qui renforce les comportements sécurisés dans toute votre organisation.

Threat Inbox peut également traiter votre file d'attente à votre place. L'analyse par IA suggère une étiquette pour chaque signalement dès son arrivée. La remédiation de la boîte aux lettres déplace un e-mail signalé hors de la boîte de réception du destinataire et, sur Google Workspace, peut également bloquer l'expéditeur. Ces deux fonctions sont facultatives et restent désactivées tant que vous ne les activez pas.

Fonctionnalités principales

Threat Inbox vous permet d'effectuer des investigations approfondies sur les e-mails signalés directement dans le SoSafe Manager.

• Vues détaillées : accédez à des informations de contexte générales, notamment l'identité de l'auteur du signalement, l'horodatage et toutes les informations sur l'expéditeur.

• Analyses techniques approfondies : examinez les en-têtes complets de l'e-mail, les destinations des liens et les détails des pièces jointes.

• Inspection des fichiers : pour les e-mails contenant des pièces jointes, vous pouvez consulter rapidement les détails des fichiers et copier leurs empreintes (hashes) afin de les recouper dans vos outils de sécurité internes.

• Analyse par IA : si vous avez activé l'analyse par IA, chaque signalement arrive avec une étiquette suggérée (Safe, Spam ou Malveillant) que vous pouvez examiner. Les suggestions sont données à titre indicatif. La décision finale vous revient.

• Explication en langage clair : ouvrez un signalement pour lire pourquoi l'IA est parvenue à cette suggestion. L'explication est rédigée en langage simple et propre à cet e-mail.

• Remédiation de la boîte aux lettres : si vous avez connecté une intégration Google Workspace ou Microsoft, vous pouvez agir sur l'e-mail lui-même plutôt que seulement sur son enregistrement. Déplacez-le hors de la boîte de réception du destinataire vers le dossier spam ou la corbeille de votre fournisseur et, avec Google Workspace, bloquez l'expéditeur ou le domaine d'envoi.

• Charge de travail réduite pour les e-mails signalés : si vous hésitiez auparavant à déployer le SoSafe Phishing Report Button, vous pouvez désormais le faire en sachant qu'il existe un moyen clair de gérer les e-mails signalés sans créer de charge supplémentaire.

Filtrage intelligent et triage

Pour aider votre équipe à rester organisée, Threat Inbox propose plusieurs vues pour vous aider à hiérarchiser les menaces les plus critiques. Vous pouvez également trier la file d'attente, y effectuer des recherches et agir sur plusieurs signalements à la fois.

Recherche. Recherchez dans la file d'attente par objet de l'e-mail, par adresse e-mail de l'auteur du signalement ou par date.

Résolution groupée. Sélectionnez plusieurs signalements et résolvez-les tous en une seule action, sans ouvrir chacun d'eux. La sélection de tous les éléments s'applique uniquement aux signalements correspondant au filtre actuellement actif, et non à l'ensemble de la file d'attente. Vous voyez combien de signalements sont sélectionnés et vous confirmez avant l'application de l'action. Un e-mail de feedback est envoyé à chaque auteur de signalement lorsque le feedback est activé, et tout commentaire que vous ajoutez est inclus dans chacun de ces e-mails. Vous pouvez toujours modifier la classification d'un signalement après sa résolution, ce qui envoie un nouvel e-mail de feedback à son auteur. Vous pouvez également toujours télécharger le fichier .EML après la résolution.

Filtrer par analyse IA. Si vous avez activé l'analyse par IA, vous pouvez également filtrer la file d'attente par étiquette et accéder directement à tous les signalements étiquetés Malveillant. Ces filtres n'apparaissent que lorsque l'analyse par IA est activée. Si vous la désactivez, les filtres disparaissent et les vues ci-dessus fonctionnent exactement comme auparavant.

Lorsque vous activez l'analyse par IA, Threat Inbox traite l'ensemble de votre arriéré et ajoute l'analyse par IA aux signalements existants.

L'analyse par IA est facultative et reste désactivée tant que vous ne l'activez pas.

Lorsqu'elle est activée, les informations permettant d'identifier une personne sont d'abord supprimées de l'e-mail signalé. Plusieurs données du contenu restant, notamment l'expéditeur, les liens et les éventuelles pièces jointes, sont recoupées avec des bases de données de renseignements sur les menaces conformes aux standards du secteur. Dans la plupart des cas, cela suffit pour déterminer si un e-mail est Safe, Spam ou Malveillant.

Une couche d'IA respectueuse de la confidentialité examine ensuite le résultat afin d'apporter davantage de fiabilité lorsque les seules données de réputation ne sont pas concluantes.

Le résultat est toujours une suggestion : une étiquette Safe, Spam ou Malveillant. Votre équipe l'examine et la confirme lorsque vous résolvez le signalement. Si vous n'êtes pas d'accord, classez vous-même le signalement.

Boucle de retour

Fournir un feedback aux utilisateurs transforme un ticket clôturé en occasion d'apprentissage et les encourage à effectuer d'autres signalements. Lorsque vous sélectionnez Resolve sur un signalement, vous classez l'e-mail dans l'une des trois catégories suivantes : Safe, Spam ou Malveillant.

Si l'analyse par IA est activée, chaque signalement de votre file d'examen comporte une étiquette suggérée lorsque vous l'ouvrez : Safe, Spam ou Malveillant. Cette étiquette est une suggestion de l'IA et n'a pas été confirmée. Une fois le signalement résolu, la classification relève de vous. Vous pouvez accepter la suggestion ou en choisir une autre.

• Feedback automatisé : chaque classification est associée à un e-mail de feedback unique qui explique la classification à l'employé. Les e-mails de feedback utilisent un ensemble standard de modèles, et vous pouvez ajouter un commentaire à l'attention de l'auteur du signalement lors de la résolution.

• Renforcement comportemental : l'envoi de ces mises à jour permet aux utilisateurs de se sentir écoutés et valorisés, ce qui améliore le taux de signalement futur et la qualité des données.

• Flexibilité pour les administrateurs : le feedback est envoyé automatiquement par défaut afin de faire gagner du temps à votre équipe, mais vous pouvez facilement le désactiver pour certains cas en décochant la case Send feedback email.

Classer un signalement enregistre une décision. La remédiation de la boîte aux lettres agit sur l'e-mail lui-même.

Les possibilités de la remédiation de la boîte aux lettres dépendent de l'utilisation de Microsoft 365 ou de Google Workspace par votre organisation. Toutes les actions ci-dessous ne sont donc pas disponibles dans tous les environnements. À partir d'un signalement dans Threat Inbox, vous pouvez :

• Déplacer l'e-mail hors de la boîte de réception du destinataire. Les e-mails classés Spam sont déplacés vers le dossier de courrier indésirable de votre fournisseur (Spam dans Gmail, Courrier indésirable dans Outlook). Les e-mails classés Malveillant sont déplacés vers la corbeille de votre fournisseur (Corbeille dans Gmail, Éléments supprimés dans Outlook). SoSafe ne crée pas ses propres dossiers. L'e-mail est déplacé et non supprimé par SoSafe, mais les règles habituelles de votre fournisseur pour ce dossier s'appliquent ensuite, y compris tout nettoyage automatique.

• Bloquer l'expéditeur*, afin que les prochains e-mails provenant de cette adresse n'atteignent plus vos utilisateurs.

• Bloquer le domaine d'envoi*, afin que les prochains e-mails provenant de ce domaine n'atteignent plus vos utilisateurs.

*Google Workspace uniquement.

Il est utile de connaître une limite avant de vous fier à cette fonction. La remédiation de la boîte aux lettres agit sur la copie qui a été signalée et ne constitue pas un nettoyage à l'échelle de l'organisation. Si le même e-mail a été remis à cinquante personnes et qu'une seule l'a signalé, la remédiation agit uniquement sur la copie de cette personne.

La remédiation de la boîte aux lettres est déclenchée par vous, sur chaque signalement individuel.

Configuration. Connectez la remédiation de la boîte aux lettres sous Paramètres / Intégrations. Vous ne pouvez connecter qu'une seule intégration de remédiation de la boîte aux lettres à la fois. Les autorisations nécessaires s'affichent sur l'écran de consentement de votre environnement de messagerie lorsque vous approuvez la connexion. Utilisation. Lorsque vous résolvez un signalement, depuis la fenêtre de résolution ou la vue détaillée du signalement, cochez les actions de remédiation de la boîte aux lettres souhaitées. La remédiation ne s'exécute que sur les signalements pour lesquels vous la sélectionnez.

La remédiation de la boîte aux lettres n'est pas la même chose que le paramètre Delete emails permanently after reporting, disponible sous Phishing Report Button / General settings. Ce paramètre agit sur chaque signalement au moment de son envoi, et il supprime. La remédiation de la boîte aux lettres agit sur un seul signalement après son examen, et elle déplace. Si vous transférez également les signalements vers une boîte aux lettres d'abus, vérifiez que votre sandbox peut toujours accéder aux dossiers spam et corbeille de votre fournisseur.

Si vous désactivez Threat Inbox, tous les e-mails signalés et tous les enregistrements de classification sont définitivement supprimés. Une confirmation vous sera demandée avant que cela ne se produise.

Pour accéder au hub, accédez à Phishing Report Button / Threat Inbox dans le SoSafe Manager. Si la fonctionnalité n'est pas encore active, vous trouverez un bouton bascule d'activation directement sur cette page.

Bien que Threat Inbox soit conçu pour être une solution d'investigation complète, nous comprenons que de nombreuses équipes utilisent des systèmes de tickets externes. Si vous préférez trier les signalements via des outils tels que Jira ou ServiceNow, vous pouvez configurer ces connexions sous Settings / Integrations.