Lecture des résultats
Stoik Email Security surveille vos boîtes mail pour deux types de menaces : les e-mails suspects et les comptes compromis. Toutes les menaces détectées sont répertoriées dans Stoik Protect et examinées par le Stoik SOC.
Menaces par e-mail
Les menaces par e-mail sont des e-mails suspects ou malveillants détectés dans vos boîtes mail, de deux types :
Fraude : tentatives de fraude financière, comme la fraude à la facture ou l’usurpation de l’identité d’un contact connu.
Hameçonnage : e-mails renvoyant vers une page qui usurpe l’identité d’une marque connue pour voler des identifiants.
Elles sont listées sur l’ écran des e-mails suspects sous Email Security dans la barre latérale.
Chaque ligne du tableau affiche :
Objet : la ligne d’objet de l’e-mail
Criticité : Faible, moyenne, élevée ou critique
Utilisateur protégé : la boîte mail qui a reçu ou envoyé l’e-mail
Date de détection : quand l’e-mail a été reçu
Statut : Ouvert ou fermé
Validité : Indéfinie, faux positif ou vrai positif
Actions : Aucune, bannière et/ou quarantaine
Cliquez sur n’importe quelle menace par e-mail pour ouvrir une page complète avec tous les détails.
Informations sur l’alerte
La section Informations affiche les métadonnées de l’e-mail signalé :
Date de détection -- quand l’e-mail a été reçu
Utilisateur protégé -- la boîte mail qui a reçu ou envoyé l’e-mail
Trafic -- entrant ou sortant
Boîte mail -- Microsoft 365 ou Google Workspace
Type -- le type de menace : fraude ou hameçonnage
Motifs -- les raisons pour lesquelles l’e-mail a été signalé (par ex. usurpation d’identité de l’utilisateur, informations bancaires suspectes)
Actions -- les actions prises par le SOC (par ex. e-mail déplacé en quarantaine, bannière d’avertissement ajoutée)
Statut -- si la menace est ouverte ou fermée
Validité -- Vrai positif ou faux positif
Verdict
Une bannière colorée en haut résume l’évaluation globale. La couleur de la bannière et le titre correspondent à la criticité de l’alerte :
Critique
Tentative de fraude critique détectée
Élevée
Tentative de fraude à haut risque détectée
Moyenne
Activité suspecte détectée
Faible
Anomalies mineures détectées
Un bref résumé sous le titre fournit un contexte supplémentaire. Les alertes Email Security sont gérées par le Stoik SOC : aucune action n’est requise de votre côté.
Informations sur l’attaquant
La section Attaquant est fermée par défaut ; lorsqu’elle est ouverte, elle affiche des informations concernant l’expéditeur telles que :
Nom de l’expéditeur
Domaine de l’expéditeur
Adresse e-mail de l’expéditeur
Activité
La section Activité est une chronologie en ordre antéchronologique de tout ce qui s’est produit pour une alerte. Chaque entrée inclut sa date et son heure. L’événement le plus récent apparaît en premier.
Gestion de l’alerte
Création de l’alerte
Quand l’e-mail a été initialement reçu.
Confirmation de l’alerte
Quand l’alerte a été ingérée et confirmée dans le système Stoik.
Traitement de l’alerte
Quand un analyste SOC a commencé à enquêter sur l’alerte.
Fermeture de l’alerte
Quand l’alerte a été résolue et fermée.
Création de l’alerte et Confirmation de l’alerte apparaissent toujours. Traitement de l’alerte et Fermeture de l’alerte apparaissent au fur et à mesure que l’alerte progresse.
Actions du SOC et mises à jour de l’alerte
La chronologie consigne les actions effectuées par le SOC. Celles-ci incluent l’ajout d’une bannière d’avertissement et le déplacement d’un e-mail en quarantaine.
Elle consigne aussi les mises à jour de l’alerte. Par exemple, la validité peut passer de Indéfinie à Vrai positif ou Faux positif.
Vérifications des signaux
Trois vérifications de signaux apparaissent dans la chronologie. Chaque vérification affiche un point coloré :
Un problème a été trouvé
Une anomalie a été détectée
La vérification a réussi
Identité de l’expéditeur
Vérifie si l’expéditeur usurpe l’identité d’un contact connu de votre organisation.
Historique des communications
Vérifie si cet expéditeur a déjà communiqué avec votre organisation.
Réputation de l’expéditeur
Vérifie le domaine et l’adresse e-mail de l’expéditeur dans les bases de données de menaces connues.
Échanges d’e-mails
La chronologie inclut les e-mails échangés entre Stoïk et votre organisation. Ces entrées montrent comment l’alerte a été communiquée et résolue.
Notes de l’analyste
Certaines alertes incluent des notes d’analyste rédigées par le SOC de Stoik. Ces notes fournissent un contexte supplémentaire sur la manière dont l’alerte a été enquêtée et résolue.
Toutes les alertes n’ont pas de notes d’analyste ; elles sont ajoutées lorsque l’équipe SOC estime qu’un contexte supplémentaire est pertinent.
Contenu de l’e-mail
La section Contenu de l’e-mail intègre directement l’e-mail d’origine signalé dans le panneau latéral, afin que vous puissiez voir exactement ce qui est arrivé dans la boîte de réception et comprendre le verdict dans son contexte.
Elle inclut :
Expéditeurs l’adresse ou les adresses depuis lesquelles l’e-mail a été envoyé
Destinataires la ou les boîtes mail auxquelles l’e-mail a été envoyé
Objet la ligne d’objet de l’e-mail
Date d’envoi quand l’e-mail a été envoyé
Bannière d’avertissement lorsqu’elle est ajoutée par le SOC de Stoik, la bannière affichée aux utilisateurs finaux en haut de l’e-mail
Corps le contenu complet de l’e-mail, avec la mise en forme, les images et les liens d’origine
Cliquez sur Développer pour ouvrir l’e-mail dans une fenêtre contextuelle plus grande et le lire plus facilement.
Si l’e-mail contient des pièces jointes, elles sont listées dans une section Pièces jointes ci-dessous. Stoïk analyse les pièces jointes (telles que les PDF) à la recherche d’indices d’hameçonnage et de fraude, par exemple des liens intégrés ou des IBAN, mais n’analyse pas leur contenu à la recherche de logiciels malveillants. Les fichiers téléchargés ne sont donc pas garantis exempts de logiciels malveillants : la protection contre les fichiers malveillants repose sur la solution de sécurité installée sur vos appareils.
Comptes compromis
Les comptes compromis sont des boîtes mail présentant des signes d’accès non autorisé ou d’activité suspecte. Ils sont listés sur le Comptes compromis sous Email Security dans la barre latérale.
Chaque ligne inclut une Signaux détectés colonne, qui répertorie les signaux à l’origine de l’alerte, regroupés par type avec leur nombre d’occurrences (par ex. 3 déplacements impossibles · 2 comportements anormaux).
Cliquez sur n’importe quel compte compromis pour ouvrir un écran complet avec tous les détails.
Informations sur l’alerte
La section Informations affiche :
Date de détection : quand la compromission a été détectée
Statut : si l’alerte est ouverte ou fermée
Validité : Vrai positif ou faux positif
Utilisateur protégé : la boîte mail ciblée
Actions : aucune, réinitialisation MFA, réinitialisation du mot de passe, etc.
Criticité : Faible, moyenne, élevée ou critique
Profil utilisateur
Une base de référence de ce qui est normal pour cet utilisateur, calculée à partir des 13 dernières semaines de son activité de connexion. Utilisez-la comme point de référence en lisant la chronologie ci-dessous.
Emplacement habituel
Les principaux pays depuis lesquels cet utilisateur se connecte (avec la part de connexions pour chacun).
Appareil habituel
Le système d’exploitation et le navigateur que l’utilisateur utilise habituellement.
Schéma de connexion habituel
Une carte thermique hebdomadaire montrant quand l’utilisateur est normalement actif.
Utilisation d’un VPN
À quelle fréquence cet utilisateur se connecte via un VPN.
Débit d’e-mails
Combien d’e-mails cet utilisateur envoie en moyenne par jour, avec son pic historique.
Couverture
Le nombre de connexions sur lequel la base de référence est calculée.
Activité
La section Activité est une chronologie en ordre antéchronologique des signaux qui ont déclenché l’alerte et des actions entreprises par le SOC de Stoik. Les événements sont regroupés par jour. Chaque entrée affiche l’heure, une icône et une brève explication.
Signaux détectés
La chronologie affiche les signaux qui ont conduit à l’alerte :
Déplacement impossible détecté — deux connexions trop éloignées compte tenu du temps écoulé entre elles.
Connexion depuis un pays à haut risque — connexion depuis un pays signalé dans notre base de menaces.
Connexion depuis un emplacement / réseau / appareil / navigateur inhabituel — l’utilisateur s’est connecté depuis un contexte qu’il n’utilise généralement pas.
Connexion à une heure inhabituelle — connexion en dehors des heures de travail normales de l’utilisateur.
Accès automatisé détecté — connexion provenant d’un navigateur sans interface graphique ou d’un outil d’automatisation.
Accès à une application suspecte — accès depuis un outil souvent utilisé par les attaquants (par ex. Graph Explorer, Azure CLI).
Volume d’e-mails élevé détecté — l’utilisateur a envoyé significativement plus d’e-mails que d’habitude en 24 heures.
Règle de boîte de réception suspecte créée — une règle a été créée sur la boîte mail pour supprimer automatiquement, transférer ou masquer des messages.
Méthode d’authentification ajoutée ou supprimée — une méthode MFA a été modifiée sur le compte.
Connexion depuis une IP malveillante connue — connexion depuis une IP répertoriée dans notre flux de menaces.
VPN utilisé — connexion via VPN, par un utilisateur qui en utilise rarement.
Session réutilisée sur plusieurs appareils — le même identifiant de session a été observé depuis deux combinaisons système d’exploitation/navigateur différentes.
Microsoft Entra a signalé un niveau de risque élevé — la protection d’identité de Microsoft a elle-même généré une alerte.
Échec d’une tentative MFA — un défi MFA a échoué.
Actions du SOC
Le SOC de Stoik peut prendre les actions suivantes pour contenir un compte compromis :
Réinitialiser le mot de passe — forcer un nouveau mot de passe temporaire. L’utilisateur doit le changer lors de la prochaine connexion.
Réinitialiser la session — révoquer toutes les sessions de connexion actives. Chaque appareil doit se réauthentifier.
Supprimer les règles de boîte de réception — supprimer une règle de boîte mail spécifique, comme une règle de transfert ou de suppression automatique.
Supprimer les applications — révoquer une attribution d’application spécifique pour l’utilisateur.
Supprimer la méthode MFA — supprimer une méthode d’authentification spécifique.
Supprimer l’appareil — supprimer définitivement un appareil appartenant à l’utilisateur ou enregistré par lui.
Gestion de l’alerte
La chronologie suit également la manière dont l’alerte a été traitée :
Création de l’alerte
Quand la compromission a été détectée.
Confirmation de l’alerte
Quand l’alerte a été ingérée et confirmée dans le système Stoik.
Traitement de l’alerte
Quand un analyste SOC a commencé à enquêter sur l’alerte.
Fermeture de l’alerte
Quand l’alerte a été résolue et fermée.
Création de l’alerte et Confirmation de l’alerte apparaissent toujours. Traitement de l’alerte et Fermeture de l’alerte apparaissent au fur et à mesure que l’alerte progresse.
Notes de l’analyste
Certaines alertes incluent des notes d’analyste rédigées par le SOC de Stoik. Ces notes fournissent un contexte supplémentaire sur la manière dont l’alerte a été enquêtée et résolue.
Toutes les alertes n’ont pas de notes d’analyste ; elles sont ajoutées lorsque l’équipe SOC estime qu’un contexte supplémentaire est pertinent.
Échange d’e-mails
Certaines alertes incluent des échanges d’e-mails liés au traitement de l’alerte. Lorsqu’ils sont disponibles, ces échanges sont affichés dans le panneau latéral, vous offrant le contexte complet de la manière dont l’alerte a été communiquée et résolue.
Cette section n’apparaît que lorsqu’il existe des e-mails associés
Mis à jour
Ce contenu vous a-t-il été utile ?