Insight d’emprunt d’identité dans Defender for Office 365

Conseil

Saviez-vous que vous pouvez essayer gratuitement les fonctionnalités de Microsoft Defender XDR pour Office 365 Plan 2 ? Utilisez la version d’évaluation Defender for Office 365 de 90 jours sur le hub d’essais du portail Microsoft Defender. Découvrez qui peut s’inscrire et les conditions d’essai ici.

L’emprunt d’identité est lorsque l’expéditeur d’un e-mail ressemble à l’adresse e-mail d’un expéditeur réel ou attendu. Les attaquants utilisent souvent des adresses e-mail d’expéditeur usurpées d’identité dans le hameçonnage ou d’autres types d’attaques pour gagner la confiance du destinataire. Il existe deux types de base d’emprunt d’identité :

  • Emprunt d’identité de domaine : contient des différences subtiles dans le domaine. Par exemple, lila@ćóntoso.com emprunte l’identité lila@contoso.com.
  • Emprunt d’identité de l’utilisateur : contient des différences subtiles dans l’alias de messagerie. Par exemple, rnichell@contoso.com emprunte l’identité michelle@contoso.com.

L’emprunt d’identité de domaine est différent de l’usurpation d’identité de domaine, car le domaine emprunté est souvent un domaine enregistré réel, mais avec l’intention de tromper. Les messages des expéditeurs dans le domaine emprunté peuvent passer des vérifications d’authentification régulières par e-mail qui identifieraient les messages comme des tentatives d’usurpation (SPF, DKIM et DMARC).

La protection contre l’emprunt d’identité fait partie des paramètres de stratégie anti-hameçonnage qui sont exclusifs à Microsoft Defender pour Office 365. Pour plus d’informations sur ces paramètres, consultez Paramètres d’emprunt d’identité dans les stratégies anti-hameçonnage dans Microsoft Defender pour Office 365.

Les administrateurs peuvent utiliser l’insight d’emprunt d’identité dans le portail Microsoft Defender pour identifier rapidement les messages des expéditeurs ou des domaines d’expéditeurs qui sont spécifiés dans la protection contre l’emprunt d’identité dans les stratégies anti-hameçonnage.

Ce qu'il faut savoir avant de commencer

Ouvrez l’insight d’emprunt d’identité dans le portail Microsoft Defender

Dans le portail Microsoft Defender à l’adresse https://security.microsoft.com, accédez à Email & Stratégies de collaboration>& Règles>Stratégies> de menaceAnti-hameçonnage dans la section Stratégies. Ou, pour accéder directement à la page Anti-hameçonnage , utilisez https://security.microsoft.com/antiphishing.

Dans la page Anti-hameçonnage , l’insight d’emprunt d’identité ressemble à ceci :

Informations sur l’emprunt d’identité dans la page Stratégie anti-hameçonnage du portail Microsoft Defender.

L’insight a deux modes :

  • Mode Insight : si la protection contre l’emprunt d’identité est activée et configurée dans des stratégies anti-hameçonnage, l’insight indique le nombre de messages détectés provenant de domaines d’emprunt d’identité et d’utilisateurs (expéditeurs) au cours des sept derniers jours. Le nombre indiqué correspond au total de toutes les tentatives d’emprunt d’identité détectées à partir de toutes les stratégies anti-hameçonnage.
  • Mode What if : si la protection contre l’emprunt d’identité n’est pas activée et configurée dans les stratégies anti-hameçonnage actives, l’insight indique le nombre de messages qui auraient été détectés par la protection contre l’emprunt d’identité au cours des sept derniers jours.

Pour afficher des informations sur les détections d’emprunt d’identité, sélectionnez Afficher les emprunts d’identité dans l’insight d’emprunt d’identité pour accéder à la page Informations d’emprunt d’identité .

Afficher des informations sur les détections d’emprunt d’identité de domaine

La page https://security.microsoft.com/impersonationinsightInformations d’emprunt d’identité sur est disponible lorsque vous sélectionnez Afficher les emprunts d’identité dans l’insight d’emprunt d’identité sur la page Anti-hameçonnage.

Dans la page Informations d’emprunt d’identité , vérifiez que l’onglet Domaines est sélectionné.

Vous pouvez trier les entrées en cliquant sur un en-tête de colonne disponible. Les colonnes suivantes sont disponibles :*

  • Domaine de l’expéditeur : domaine d’emprunt d’identité, qui est le domaine utilisé pour envoyer le message électronique.
  • Nombre de messages : nombre de messages provenant de l’emprunt d’identité du domaine de l’expéditeur au cours des sept derniers jours.
  • Type d’emprunt d’identité : cette valeur indique l’emplacement détecté de l’emprunt d’identité (par exemple, Domaine dans l’adresse).
  • Domaine(s) emprunté(s) : domaine protégé par la protection contre l’emprunt d’identité de domaine, qui doit ressembler au domaine de l’expéditeur.
  • Type de domaine : cette valeur est Domaine d’entreprise pour les domaines acceptés ou Domaine personnalisé pour les domaines personnalisés.
  • Stratégie : stratégie anti-hameçonnage qui a détecté le domaine emprunté.
  • Autorisation d’emprunter l’identité : une des valeurs suivantes :
    • Oui : le domaine a été configuré en tant que domaine approuvé (une exception pour la protection contre l’emprunt d’identité) dans la stratégie anti-hameçonnage qui a détecté le message. Les messages provenant du domaine emprunté ont été détectés, mais autorisés.
    • Non : le domaine a été configuré pour la protection contre l’emprunt d’identité dans la stratégie anti-hameçonnage qui a détecté le message. L’action pour les détections d’emprunt d’identité de domaine dans la stratégie anti-hameçonnage est effectuée sur le message.

* Pour afficher toutes les colonnes, vous devrez probablement effectuer une ou plusieurs des étapes suivantes :

  • Faites défiler horizontalement dans votre navigateur web.
  • Réduisez la largeur des colonnes appropriées.
  • Zoom arrière dans votre navigateur web.

Pour modifier la liste des détections d’emprunt d’identité de domaine de normal à espacement compact, sélectionnez Modifier l’espacement de liste en compact ou normal, puis sélectionnez Liste compacte.

Utilisez la zone Recherche et une liste de valeurs séparées par des virgules pour rechercher des détections d’emprunt d’identité de domaine spécifiques.

Utilisez Exporter pour exporter la liste des détections d’emprunt d’identité de domaine vers un fichier CSV.

Afficher les détails d’une détection d’emprunt d’identité de domaine

Sous l’onglet Domaines de la page Informations d’emprunt d’identité à l’emplacement https://security.microsoft.com/impersonationinsight?type=Domain, sélectionnez l’une des détections d’emprunt d’identité en cliquant n’importe où dans la ligne autre que la zone case activée.

Les informations suivantes sont disponibles dans le menu volant détails :

  • Pourquoi avons-nous attrapé ça ?

  • Que devez-vous faire ?

  • Résumé du domaine : domaine détecté comme emprunt d’identité.

  • Données Whois : contient des informations sur le domaine :

    • Emplacement de l’expéditeur
    • Date de création du domaine
    • Date d’expiration du domaine
    • Déclarant

  • Explorer investigation : sélectionnez le lien permettant d’ouvrir le Explorer des menaces ou détections en temps réel pour plus de détails sur l’expéditeur.

  • Email de l’expéditeur : cette section présente les informations suivantes sur les messages similaires provenant d’expéditeurs dans le domaine :

    • Date
    • Destinataire
    • Sujet
    • Sender
    • IP de l’expéditeur
    • Action de remise

Conseil

Pour afficher des détails sur les autres entrées d’emprunt d’identité de domaine sans quitter le menu volant de détails, utilisez l’élément Précédent et l’élément suivant en haut du menu volant.

Pour empêcher les expéditeurs d’un domaine détecté d’être identifiés en tant qu’emprunt d’identité de domaine, consultez la sous-section suivante.

Exempter les expéditeurs d’un domaine détecté des futures vérifications d’emprunt d’identité de domaine

Sous l’onglet Domaines de la page Informations d’emprunt d’identité à l’adresse https://security.microsoft.com/impersonationinsight?type=Domain, procédez comme suit pour exempter les expéditeurs d’un domaine détecté d’être identifiés comme emprunt d’identité de domaine :

Sélectionnez l’entrée dans la liste en cliquant n’importe où dans la ligne autre que la zone case activée.

Dans le menu volant de détails qui s’ouvre, utilisez les paramètres Sélectionner la stratégie d’emprunt d’identité pour modifier et Ajouter aux paramètres de liste d’emprunt d’identité autorisés en haut du menu volant. Ces paramètres fonctionnent ensemble pour ajouter le domaine à la liste Expéditeurs et domaines approuvés dans la stratégie qui a identifié de manière incorrecte le message en tant qu’emprunt d’identité de domaine :

  • Sélectionnez la stratégie anti-hameçonnage dans la liste déroulante. La stratégie anti-hameçonnage chargée de détecter le message s’affiche dans la valeur Stratégie sous l’onglet Domaine .

  • Faites glisser le bouton bascule sur activé : pour ajouter le domaine à la liste Expéditeurs et domaines approuvés dans la stratégie sélectionnée.

    Pour supprimer le domaine de la liste Expéditeurs et domaines approuvés , faites glisser le bouton bascule vers

Lorsque vous avez terminé dans le menu volant des détails, sélectionnez Fermer.

Afficher des informations sur les détections d’emprunt d’identité d’utilisateur

La page https://security.microsoft.com/impersonationinsightInformations d’emprunt d’identité sur est disponible lorsque vous sélectionnez Afficher les emprunts d’identité dans l’insight d’emprunt d’identité sur la page Anti-hameçonnage.

Dans la page Informations d’emprunt d’identité , sélectionnez l’onglet Utilisateurs .

Vous pouvez trier les entrées en cliquant sur un en-tête de colonne disponible. Les colonnes suivantes sont disponibles :*

  • Expéditeur : adresse e-mail de l’expéditeur qui emprunte l’identité qui a envoyé le message électronique.
  • Nombre de messages : nombre de messages de l’expéditeur qui emprunte l’identité au cours des sept derniers jours.
  • Type d’emprunt d’identité : par exemple, Utilisateur dans le nom d’affichage.
  • Utilisateur(s) emprunt(s) d’identité : nom d’affichage et adresse e-mail de l’expéditeur protégés par la protection contre l’emprunt d’identité, qui ressemble à l’adresse e-mail de l’expéditeur.
  • Type d’utilisateur : type de protection appliqué (par exemple, Utilisateur protégé ou Intelligence de boîte aux lettres).
  • Stratégie : stratégie anti-hameçonnage qui a détecté l’expéditeur usurpé l’identité.
  • Autorisation d’emprunter l’identité : une des valeurs suivantes :
    • Oui : L’expéditeur a été configuré en tant qu’utilisateur approuvé (une exception pour la protection contre l’emprunt d’identité) dans la stratégie anti-hameçonnage qui a détecté le message. Les messages de l’expéditeur emprunté ont été détectés, mais autorisés.
    • Non : l’expéditeur a été configuré pour la protection contre l’emprunt d’identité dans la stratégie anti-hameçonnage qui a détecté le message. L’action pour les détections d’emprunt d’identité d’utilisateur dans la stratégie anti-hameçonnage est effectuée sur le message.

* Pour afficher toutes les colonnes, vous devrez probablement effectuer une ou plusieurs des étapes suivantes :

  • Faites défiler horizontalement dans votre navigateur web.
  • Réduisez la largeur des colonnes appropriées.
  • Zoom arrière dans votre navigateur web.

Pour modifier la liste des détections d’emprunt d’identité d’utilisateur de normal à l’espacement compact, sélectionnez Modifier l’espacement de liste en compact ou normal, puis sélectionnez Liste compacte.

Utilisez la zone Recherche et une liste de valeurs séparées par des virgules pour rechercher des détections d’emprunt d’identité d’utilisateur spécifiques.

Utilisez Exporter pour exporter la liste des détections d’emprunt d’identité d’utilisateur dans un fichier CSV.

Afficher les détails d’une détection d’emprunt d’identité d’utilisateur

Sous l’onglet Utilisateurs de la page Informations d’emprunt d’identité à l’emplacement https://security.microsoft.com/impersonationinsight?type=User, sélectionnez l’une des détections d’emprunt d’identité en cliquant n’importe où dans la ligne autre que la zone case activée.

Les informations suivantes sont disponibles dans le menu volant détails :

  • Pourquoi avons-nous attrapé ça ?

  • Que devez-vous faire ?

  • Résumé de l’expéditeur : expéditeur détecté comme emprunt d’identité.

  • Explorer investigation : sélectionnez le lien permettant d’ouvrir le Explorer des menaces ou détections en temps réel pour plus de détails sur l’expéditeur.

  • Email de l’expéditeur : cette section présente les informations suivantes sur les messages similaires de l’expéditeur :

    • Date
    • Destinataire
    • Sujet
    • Sender
    • IP de l’expéditeur
    • Action de remise

Conseil

Pour afficher des détails sur les autres entrées d’emprunt d’identité utilisateur sans quitter le menu volant des détails, utilisez l’élément Précédent et l’élément suivant en haut du menu volant.

Pour empêcher l’identification d’un expéditeur détecté en tant qu’emprunt d’identité d’utilisateur, consultez la sous-section suivante.

Exempter un expéditeur détecté des futures vérifications d’emprunt d’identité d’utilisateur

Sous l’onglet Utilisateurs de la page Informations d’emprunt d’identité à l’adresse https://security.microsoft.com/impersonationinsight?type=User, procédez comme suit pour exempter les expéditeurs détectés d’être identifiés en tant qu’emprunt d’identité d’utilisateur :

Sélectionnez l’entrée dans la liste en cliquant n’importe où dans la ligne autre que la zone case activée.

Dans le menu volant de détails qui s’ouvre, utilisez les paramètres Sélectionner la stratégie d’emprunt d’identité pour modifier et Ajouter aux paramètres de liste d’emprunt d’identité autorisés en haut du menu volant. Ces paramètres fonctionnent ensemble pour ajouter l’expéditeur à la liste Des expéditeurs et domaines approuvés dans la stratégie qui a identifié incorrectement le message en tant qu’emprunt d’identité utilisateur :

  • Sélectionnez la stratégie anti-hameçonnage dans la liste déroulante. La stratégie anti-hameçonnage chargée de détecter le message s’affiche dans la valeur Stratégie sous l’onglet Domaine .

  • Faites glisser le bouton bascule sur : pour ajouter l’expéditeur à la liste Expéditeurs et domaines approuvés dans la stratégie sélectionnée.

    Pour supprimer l’expéditeur de la liste Expéditeurs et domaines approuvés , faites glisser le bouton bascule vers

Lorsque vous avez terminé dans le menu volant des détails, sélectionnez Fermer.