Solutions de sécurité des e-mails: Acronis, Sophos & Barracuda

L'e-mail est l'un des points d'entrée les plus courants des cyberattaques, et les protections intégrées ne suffisent plus à gérer les menaces ciblées. Nous avons testé trois plateformes de sécurité des e-mails dans le cloud (Acronis, Sophos et Barracuda) avec 100 tests répartis sur 11 catégories de menaces.

Résultats du benchmark des solutions de sécurité des e-mails dans le cloud

Lisez la méthodologie du benchmark des solutions de sécurité des e-mails pour découvrir comment nous avons testé ces outils et mesuré les résultats.

Comparaison des solutions de sécurité des e-mails basée sur les catégories de verdicts

Acronis Advanced Email Security

• Acronis affiche le score de détection global le plus élevé (122/200) et obtient les meilleurs résultats contre le phishing GenAI avec 100 %. Les dix prétextes professionnels soignés ont été bloqués, y compris les faux dossiers de pré-lecture du conseil, les flux de re-consentement Microsoft 365 et les fausses NDA juridiques.
  • C'est la catégorie la plus difficile du benchmark, avec une difficulté moyenne de 8.2/10. Le fait d'avoir détecté les dix suggère qu'Acronis a bien traité les indices sémantiques et contextuels du phishing dans ce benchmark, plutôt que de dépendre d'indices évidents de grammaire ou de formatage.
• Les catégories F et D confortent également ce constat : Acronis a obtenu 89 % en matière d'usurpation de marque/domaine et 90 % sur le phishing par URL, y compris un BLOCK lors du test d'injection d'en-tête authentication-results. Les résultats agrégés suggèrent une gestion solide des cas d'usurpation et d'analyse d'URL.
• L'absence totale de faux positifs est opérationnellement significative. Aucun des huit messages de contrôle n'a été bloqué, ce qui signifie que le taux de détection de 67 % n'entraîne aucun coût compensatoire en perte d'e-mails légitimes.
• Les points faibles se concentrent sur les niveaux de difficulté plus faibles. Le spam basique (catégorie A, 44 %) est inférieur à celui d'autres outils, avec des ratés sur le spam pharmaceutique, les arnaques à la loterie et une arnaque sentimentale basique aux niveaux de difficulté 1 à 2. Cet écart suggère qu'Acronis privilégie les attaques sophistiquées par rapport au trafic massif à faible effort.

Sophos Email Security

• Sophos affiche le deuxième score global le plus élevé (105.5/200). Il a atteint 100 % à la catégorie B (variantes de malware EICAR), en détectant toutes les variantes d'archives imbriquées, les ZIP protégés par mot de passe et le test de tolérance au décalage.
• Les faiblesses les plus visibles de Sophos sont le phishing par URL (catégorie D, 58 %) et les techniques d'évasion (catégorie J, 22 %). L'écart sur le phishing par URL est notable, car les liens figurent parmi les mécanismes de diffusion les plus courants du phishing, et la catégorie D teste plusieurs façons réalistes dont les attaquants les masquent ou les acheminent. 
• Le score de 58 % de Sophos, comparé aux 90 % d'Acronis, suggère que sa couche d'analyse d'URL était moins cohérente sur les redirections, l'obscurcissement et les placements d'URL hors du corps du message.

Barracuda Email Protection

• Le score de détection de 60/200 de Barracuda est inférieur à celui des deux autres produits. La catégorie I (phishing GenAI) a donné 0 % de détection, et la catégorie A (spam : 33 %) affiche le score le plus bas parmi les concurrents. Cela suggère que Barracuda a été moins efficace dans cette configuration contre les scénarios de spam, de phishing GenAI et d'ingénierie sociale du benchmark.
• La catégorie B (détection de malwares connus via des chaînes de test EICAR, 89 %) et la catégorie C (types de fichiers porteurs tels que les PDF avec JavaScript embarqué, le HTML smuggling et les raccourcis LNK, 70 %) sont compétitives par rapport aux autres fournisseurs.
• Les résultats de Barracuda dans la catégorie J (techniques d'évasion, 44 %) sont les meilleurs des trois fournisseurs. Cela suggère que le moteur d'inspection de contenu sous-jacent gère raisonnablement bien les caractéristiques telles que les caractères de largeur nulle, les sujets encodés et les homoglyphes.
• Les faiblesses sont plus marquées dans les catégories qui comptent le plus pour la protection moderne contre les menaces. Le phishing par QR code (catégorie E, 13 %), l'usurpation de marque (catégorie F, 11 %), le BEC (catégorie G, 11 %) et l'extorsion (catégorie H, 22 %) sont tous bien en deçà de la comparaison.
• Sur les onze tests de niveau difficile, Barracuda en a bloqué un et a raté les dix autres.

Top 3 des solutions de sécurité des e-mails dans le cloud

Acronis Advanced Email Security analyse détaillée

Lorsque nous sélectionnons Acronis Email Security dans le menu de gauche de l'interface Acronis Cyber Protect Cloud, nous voyons l'écran suivant. Nous cliquons ensuite pour accéder à la console Email Security.

Comme nous n'avons encore effectué aucune configuration, notre tableau de bord affiche les éléments de menu :

• Incidents : Détecte les incidents de sécurité et l'activité d'attaque.
  • Incident Response : Outils d'investigation et de réponse aux incidents.
  • Trafic : Visibilité sur les modèles de trafic e-mail ou web analysés.
  • Rapports périodiques : Rapports de sécurité et de protection planifiés.
• Opérations de sécurité : Contrôles de sécurité opérationnels et outils de surveillance.
• Configuration de la détection : Configuration des règles de détection, de l'analyse et des paramètres de protection.

Depuis le menu Paramètres à gauche, nous accédons aux actifs de messagerie protégés.

Comme il n'y a encore aucun actif, le système nous redirige vers le flux de configuration. Nous cliquons sur Configurer la protection des e-mails. Le système nous demande une adresse e-mail d'escalade pour signaler les problèmes et nous demande quel service de messagerie nous utilisons.

Pour ce test, nous allons procéder avec un fournisseur personnalisé via MX. Nous procédons ainsi afin de pouvoir comparer directement les fournisseurs, sans être affectés par les protections intégrées de Microsoft 365 ou de Google Workspace.

Nous sélectionnons le service de messagerie et choisissons la méthode de connexion Inline. Cela signifie qu'Acronis analyse et bloque les e-mails malveillants avant leur livraison.

Nous ajoutons également un contact d'escalade qu'Acronis peut utiliser en cas de prise de contrôle de compte, de problème de sécurité ou de connexion. L'étape suivante consiste à activer l'application Google Workspace, qui prend en charge l'intégration, le comptage précis des utilisateurs pour la facturation et les actions de remédiation, comme la suppression des e-mails malveillants livrés par erreur.

Nous ajoutons le domaine connecté, aimultiple.com, et le système récupère automatiquement les enregistrements MX.

Nous définissons également la méthode de calcul des licences sur « Selon les sièges déclarés » et saisissons 100 sièges. Après ces réglages, nous poursuivons avec Suivant pour continuer la configuration MX.

Le système nous demande d'ajouter un enregistrement TXT pour vérifier la propriété du domaine. Nous ajoutons l'enregistrement et attendons la vérification.

Nous pouvons également gérer les serveurs de destination SMTP configurés, confirmer que TLS est activé et utiliser l'action Vérifier pour confirmer que l'enregistrement TXT a été correctement publié. Cette page nous permet aussi de modifier les paramètres du serveur et de TLS ou de supprimer le domaine si nécessaire.

Nous avons envoyé un total de 100 e-mails pouvant être considérés comme malveillants ou spam. Le tableau de bord affiche désormais des statistiques telles que le nombre d'e-mails analysés, le nombre classés comme spam, le nombre classés comme malveillants et le nombre d'e-mails reçus par type d'attaque. Une statistique montre également quelles adresses e-mail ont été le plus fréquemment attaquées.

Dans le menu Analyses, nous pouvons voir les statistiques d'analyse de tous les e-mails entrants. La répartition par type de fichier est également un détail utile. De plus, dans toute l'application, nous pouvons ajuster la plage de dates en cliquant sur Dernier jour en haut de la page.

Le filtrage dans la section Analyses est très détaillé. Voici quelques-unes des options :

• Adresse/domaine/IP de l'expéditeur : Les principaux indicateurs pour identifier les expéditeurs malveillants ou usurpés.
• Nom d'affichage usurpé : Cible directement l'une des techniques de phishing les plus courantes, où le nom visible semble légitime, mais pas l'adresse réelle.
• Adresse de réponse (Reply-to) : Un autre signal d'alarme important en matière de phishing. Lorsque l'adresse de réponse diffère de l'adresse de l'expéditeur, cela signale souvent une tentative de rediriger les réponses vers une boîte de réception contrôlée par l'attaquant.
• Action (mis en quarantaine/livré) : Essentielle pour comprendre si une menace a été interceptée ou a atteint le destinataire.
• Objet : Pour identifier les campagnes de phishing qui utilisent des lignes d'objet identiques ou quasi identiques sur plusieurs cibles.
• Adresse du destinataire : Essentielle pour déterminer l'ampleur d'une attaque. Indique combien d'utilisateurs ont été ciblés et si des personnes à forte valeur (dirigeants, finances) figuraient parmi eux.
• Charge utile (pièces jointes/URL) : Restreint la recherche aux e-mails transportant les mécanismes de diffusion de malwares les plus courants.

Lorsque nous accédons à Opérations de sécurité depuis le menu de gauche, nous arrivons à la section Analyses. Depuis cet écran, nous pouvons accéder aux détails liés aux analyses. Toutes les analyses y sont répertoriées, et nous pouvons également voir les catégorisations résultantes, telles que propre, spam et malveillant.

Lorsque nous ouvrons les détails d'un e-mail, nous pouvons voir comment le système l'a évalué et son statut actuel. Nous pouvons également changer son statut en :

• Approuver le verdict (gérer) : Accepter le verdict actuel et traiter l'e-mail en conséquence.
• Marquer l'e-mail comme restreint : Classer l'e-mail comme restreint ou non conforme à la politique.
• Marquer l'e-mail comme spam : Classer l'e-mail comme indésirable ou non sollicité.
• Marquer l'e-mail comme suspect : Signaler l'e-mail comme potentiellement risqué et nécessitant de la prudence.
• Marquer l'e-mail comme propre (FP) : Marquer l'e-mail comme sûr et indiquer qu'il s'agissait d'un faux positif.

La vue ci-dessous est la vue compacte. Lorsque nous cliquons sur l'onglet Détaillé dans le coin supérieur droit, nous pouvons voir de nombreux détails supplémentaires.

Dans la vue compacte, nous pouvons voir les détails d'analyse d'un e-mail de phishing malveillant mis en quarantaine par Acronis. Il comprend une synthèse générée par IA expliquant pourquoi l'e-mail est considéré comme malveillant et montrant des indicateurs tels qu'un domaine d'expéditeur suspect, un comportement de bombardement d'e-mails et une URL risquée. Dans la section Détails, nous pouvons vérifier le canal, l'action effectuée, l'heure d'analyse, le temps de traitement, l'organisation et le statut IR.

Dans l'inspecteur d'e-mails, nous pouvons examiner les métadonnées du message, notamment l'objet, l'expéditeur, le destinataire, l'heure, le chemin de retour et l'IP source. Le corps de l'e-mail est également affiché, ce qui nous permet d'évaluer directement la tentative d'ingénierie sociale.

Les critères d'évaluation des incidents sont clairs et transparents. Pour un incident, nous pouvons également cliquer sur le bouton Demander une enquête, sélectionner « Je pense que cet e-mail est propre » et l'envoyer à l'équipe d'Acronis pour examen. Nous pouvons consulter les analyses précédentes liées au même e-mail.

Avec le bouton Captures d'écran, nous pouvons voir la version rendue de l'e-mail, ce qui est une fonctionnalité utile. Notamment, le système ne rend pas l'e-mail en HTML dans le navigateur, de sorte qu'une vulnérabilité non détectée dans l'e-mail ne peut pas déclencher une compromission pendant l'examen.

Toutes les actions des utilisateurs peuvent être journalisées, et nous pouvons consulter ces enregistrements dans le Journal d'audit depuis le menu de gauche. Certains de ces enregistrements sont :

• Voir les captures d'écran d'analyse
• Gérer l'analyse
• Action de l'interface utilisateur

Chaque journal enregistre l'horodatage, l'action, la description, l'administrateur ou l'équipe, l'organisation cible, ainsi que l'e-mail ou l'objet cible associé.

Dans Configuration de la détection du menu de gauche, nous pouvons gérer en détail les listes d'autorisation et de blocage, ce qui est une fonctionnalité très utile :

• Liste d'autorisation des adresses/domaines d'expéditeurs : Les e-mails provenant d'adresses ou de domaines figurant sur cette liste sont toujours considérés comme fiables et contournent les filtres anti-spam/menaces. Cela peut être utile pour mettre en liste blanche des partenaires connus ou des systèmes internes susceptibles de déclencher autrement des faux positifs.
• Liste d'autorisation des adresses e-mail des destinataires : Spécifie les adresses de destinataires internes qui doivent recevoir tout le courrier entrant sans filtrage. Cela garantit que certains utilisateurs (par exemple, une boîte de réception fourre-tout) reçoivent toujours les e-mails, même d'expéditeurs inconnus.
• Liste de blocage des adresses/domaines d'expéditeurs : Les e-mails provenant d'adresses ou de domaines figurant sur cette liste sont automatiquement rejetés ou mis en quarantaine. Elle peut être utilisée pour bloquer en permanence les sources de spam connues, les domaines malveillants ou les expéditeurs en masse indésirables.
• Liste d'autorisation des IP d'expéditeurs : Les serveurs de messagerie dont les IP figurent sur cette liste sont considérés comme fiables, et leurs e-mails ignorent les contrôles de réputation basés sur l'IP. Peut être utilisée pour des services de messagerie tiers fiables ou des relais de messagerie sur site.
• Liste de blocage des IP d'expéditeurs : Les connexions provenant de ces IP sont bloquées, quelle que soit l'adresse de l'expéditeur. Cela peut être efficace contre les serveurs de messagerie malveillants connus ou les infrastructures compromises.

• Liste d'autorisation d'URL : Les liens correspondant à ces URL ou domaines dans le corps des e-mails sont considérés comme sûrs et ne seront pas signalés.
• Liste de blocage d'URL : Les e-mails contenant ces URL sont signalés, bloqués ou mis en quarantaine.
• Liste d'autorisation de hachages : Les pièces jointes correspondant à ces hachages cryptographiques sont traitées comme sûres et passent sans alertes d'analyse.
• Liste de blocage de hachages : Les pièces jointes dont le hachage correspond à une entrée de cette liste sont bloquées immédiatement. Cela fournit un blocage précis, basé sur les signatures, des fichiers malveillants connus, même s'ils sont renommés ou déguisés.

Certaines fonctionnalités méritent d'être mentionnées, mais nous ne les avons pas spécifiquement testées :

Dans la configuration de la détection :

• Renseignements sur les menaces : Extrait des indicateurs de sources externes de renseignements sur les menaces. Cette fonctionnalité aide à détecter les malwares courants largement répandus, les URL malveillantes et les campagnes d'attaque actives.
• Bannières : Ajoute des bannières personnalisables aux e-mails entrants en fonction des politiques et des règles.
• Utilisateurs VIP : Permet aux administrateurs de tenir à jour une liste d'utilisateurs à forte valeur (dirigeants, personnel financier, etc.).

Dans les opérations de sécurité :

Prise de contrôle de compte (ATO) : Détecte les boîtes aux lettres compromises de Microsoft 365. La fonctionnalité est conçue pour intercepter les attaquants qui utilisent des comptes détournés à des fins de fraude, de phishing interne et d'exfiltration de données.

Le moteur signale les règles de boîte aux lettres suspectes (transfert, redirection, déplacement ou suppression d'e-mails), les connexions impossibles en termes de déplacement, et les connexions depuis des emplacements ou des appareils inconnus. Lorsqu'il repère l'un de ces signaux, il ouvre un dossier dans la console, et l'équipe de réponse aux incidents contacte l'administrateur pour enquêter ensemble.

Sophos Email Security analyse détaillée

Pour commencer avec Sophos, nous créons un lien d'essai et sommes redirigés vers l'écran suivant. À l'instar de Barracuda, Sophos nous demande de sélectionner une région.

Le système nous demande ensuite quel produit nous voulons installer. Nous sélectionnons Email Security. Parmi les autres produits pouvant être configurés figurent Endpoint Protection, Server Protection, Phish Threat, DNS Protection, Zero Trust Network Access, Protected Browser, Mobile, Wireless, Device Encryption, Firewall Management, Cloud Optix et Switches.

Nous allons envoyer 100 e-mails, et l'image ci-dessous montre le tableau de bord. Il comprend des statistiques telles que le nombre total d'e-mails entrants analysés, les menaces potentielles et les types de menaces détectés. Il existe également des statistiques pour les e-mails sortants, mais nous ne testons pas la sécurité des e-mails sortants dans ce benchmark.

Nous pouvons également voir d'autres éléments du tableau de bord tels que les tendances d'activité des e-mails, les synthèses de menaces et les indicateurs de statut de sécurité.

Nous avons cliqué sur Configurer les paramètres de la passerelle de messagerie. Le système nous demande de vérifier notre domaine. Nous observons ensuite un paramètre utile qui permet de choisir entrant uniquement ou à la fois entrant et sortant. Il vérifie également les e-mails sortants pour prévenir les problèmes de sécurité.

Le système affiche l'enregistrement DNS que nous devons saisir. Nous l'ajoutons ensuite et poursuivons.

Nous ajoutons l'enregistrement TXT au DNS public du domaine. La valeur TXT est un token de vérification de domaine Sophos, et le TTL est défini sur 600. Après l'ajout de l'enregistrement DNS, nous attendons la propagation, puis nous cliquons sur Vérifier afin que Sophos puisse confirmer que nous possédons le domaine.

Nous avons ajouté l'enregistrement et vérifié notre domaine. Pour la destination entrante, nous avons sélectionné MX et saisi l'enregistrement MX de Google Workspace : aspmx.l.google.com.

Comme Barracuda, Sophos exige un routage MX. Contrairement à Sophos et Barracuda, Acronis a géré ce processus proprement via une API, et nous n'avons eu besoin de modifier aucun paramètre. Ces types de modifications de configuration MX ou similaires peuvent poser des problèmes aux administrateurs système. Cependant, à des fins de test, nous passons à l'étape suivante.

Nous avons terminé les paramètres MX et envoyé un e-mail de test, mais il n'est pas parti. Après quelques recherches, nous avons vu que l'erreur était : « Cette adresse e-mail est introuvable », ce qui était inattendu.

Nous devons accéder au panneau, ouvrir la section Boîtes aux lettres dans le menu de gauche et ajouter manuellement les utilisateurs un par un. C'est un problème d'ergonomie qui nuit à l'expérience globale, car Acronis et Barracuda fonctionnaient immédiatement. Pour le test, nous avons ajouté notre propre adresse e-mail et poursuivi les tests via ce compte.

La section Rapports se trouve dans le menu de gauche. Voici quelques-uns des rapports que nous pouvons créer :

• Synthèse des messages : Volume et statut globaux des e-mails.
• Rapport d'analyse SophosLabs : Verdicts des messages signalés par les utilisateurs/administrateurs.
• Synthèse des menaces Intelix : Analyse des menaces pour les e-mails entrants.
• Synthèse de l'heure du clic : Rapport d'activité des clics sur les liens.
• Utilisateurs à risque : Employés les plus vulnérables.
• Synthèse du contrôle des données : Correspondances avec les politiques de prévention des pertes de données.
• Synthèse post-livraison : E-mails supprimés après la livraison.
• Synthèse de l'utilisation des licences : Utilisation des licences de sécurité des e-mails.

Lorsque nous accédons à Email Security > Historique des messages, nous pouvons voir tous les e-mails entrants et la manière dont chacun a été classé. Ce rapport d'historique des messages répertorie les e-mails individuels traités par Sophos Email Security. Voici quelques champs clés :

• Expéditeur : De qui l'e-mail semblait provenir.
• Destinataires : Qui a reçu le message.
• Type : Comment l'e-mail est entré dans le système, généralement Passerelle.
• Objet : La ligne d'objet de l'e-mail.
• Dernier statut : Ce que Sophos en a fait, par exemple Livré, Supprimé ou Mis en quarantaine.
• Date : Quand l'e-mail a été traité.
• Catégorie : Classification de Sophos, par exemple Légitime, Spam, Malware, Menace Intelix ou Authentification.

Voici quelques exemples tirés des catégories :

• Légitime : E-mails normaux qui ont été autorisés.
• Spam : E-mails suspects ou indésirables ; beaucoup sont mis en quarantaine.
• Malware : E-mails dangereux contenant du contenu malveillant ; ceux-ci sont supprimés.
• Menace Intelix : E-mails analysés par Sophos Intelix qui ont été jugés suspects ou menaçants.
• Mis en quarantaine : L'e-mail a été bloqué et placé en quarantaine pour examen.
• Supprimé : L'e-mail a été supprimé au lieu d'être livré.

Les filtres ci-dessous permettent aux utilisateurs d'affiner le journal des e-mails par catégorie de message :

• Légitime : E-mails normaux autorisés.
• Message sécurisé : E-mails chiffrés ou protégés.
• Contrôle des données : E-mails correspondant aux règles de sécurité/perte de données.
• Échec d'authentification : Échecs des contrôles SPF, DKIM ou DMARC.
• Usurpation : Usurpation possible de l'expéditeur ou fraude d'identité.
• Masse : Marketing de masse ou e-mails automatisés.
• Spam : E-mails indésirables ou suspects.
• URL/QR Code : E-mails avec des liens risqués ou des QR codes.
• Menace Intelix : E-mails signalés par l'analyse des menaces de Sophos.
• Non analysable : E-mails que Sophos n'a pas pu inspecter entièrement.
• Malware : E-mails contenant des fichiers ou du contenu malveillants.
• Bloqué par l'entreprise : E-mails bloqués par la politique de l'entreprise.

Le menu Boîtes aux lettres affiche les boîtes aux lettres surveillées. En ouvrant une boîte aux lettres, nous pouvons sélectionner les politiques à appliquer. Sous Politique de base – Email Security, les paramètres suivants sont disponibles :

L'authentification comprend des contrôles d'authentification des e-mails pour les messages entrants. Nous pouvons configurer la manière dont Sophos gère les échecs DMARC, SPF et DKIM, y compris des actions telles que se conformer à la politique de l'expéditeur ou ajouter un avertissement à la ligne d'objet.

Elle comprend également des contrôles de l'expéditeur pour les anomalies d'en-tête et de domaine, qui aident à détecter les e-mails semblant provenir de votre propre domaine ou de domaines suspects sans enregistrements DNS appropriés. Nous pouvons aussi activer des bannières destinées aux utilisateurs finaux pour indiquer aux destinataires le niveau de confiance des messages entrants et nous aider à décider d'autoriser ou de bloquer les expéditeurs.

L'anti-malware gère l'analyse anti-malware entrante des messages électroniques. Nous pouvons choisir l'action par défaut pour les détections de malwares, comme Supprimer, et activer l'analyse renforcée des malwares pour une analyse plus approfondie du contenu et des fichiers.

Il permet également de contrôler les e-mails non analysés et l'analyse des menaces Intelix, où Sophos peut utiliser une analyse statique et dynamique pour classer les messages suspects. En fonction du verdict, nous pouvons définir des actions telles que supprimer, livrer ou traiter différemment les e-mails malveillants et suspects.

L'anti-spam gère la façon dont Sophos traite le spam et les e-mails en masse. Nous pouvons définir des actions pour des catégories telles que Spam confirmé et Masse, notamment la mise en quarantaine des messages et le choix de leur apparition dans la quarantaine de l'utilisateur final.

Il comprend également un curseur personnalisable de taux de détection du spam, où les niveaux plus élevés augmentent l'agressivité de la détection du spam.

Nouveau domaine/expéditeur inclut des protections pour les domaines nouvellement enregistrés et les nouveaux expéditeurs. Nous pouvons activer des contrôles pour les e-mails envoyés depuis des domaines récemment créés, souvent utilisés dans les campagnes de phishing.

Il permet également d'afficher une bannière Nouvel expéditeur lorsqu'un destinataire n'a jamais reçu d'e-mails de cet expéditeur auparavant.

Le pays d'origine permet de contrôler les e-mails en fonction du pays de l'expéditeur. Des pays spécifiques peuvent être sélectionnés dans une liste, et les e-mails correspondants peuvent être mis en quarantaine ou traités autrement conformément à la politique.

Il existe également une option pour vérifier chaque saut de message, ce qui aide à inspecter l'itinéraire emprunté par un e-mail avant d'atteindre le destinataire.

La langue gère le filtrage par langue du message. Nous pouvons sélectionner des langues spécifiques que nous voulons interdire et choisir l'action que Sophos doit entreprendre, comme la mise en quarantaine des messages correspondants.

La fonctionnalité de protection contre l'usurpation permet d'effectuer des contrôles pour les tentatives d'usurpation de VIP, de marque et d'usurpation générale.

Pour la protection des URL et des QR codes, nous pouvons rechercher des URL malveillantes et des QR codes dans les e-mails. Sophos peut analyser les liens et extraire les URL des QR codes pour détecter les menaces avant que les utilisateurs n'interagissent avec eux.

Il gère également la protection des URL au moment du clic, où les liens sont réécrits et vérifiés lorsque l'utilisateur clique dessus.

Dans le menu de gauche, la section Messages en quarantaine affiche tous les e-mails dans lesquels une menace a été détectée. Nous pouvons filtrer par :

• Anti-malware : E-mails signalés lors de l'analyse des malwares. Cela inclut les messages avec des pièces jointes dangereuses, du contenu malveillant ou des éléments que Sophos n'a pas pu inspecter entièrement :
  • Malware : E-mails confirmés comme contenant des fichiers, des liens ou du contenu malveillants. Ils sont généralement supprimés ou mis en quarantaine.
  • Non analysable : E-mails que Sophos n'a pas pu inspecter correctement, par exemple en raison d'un chiffrement, d'une corruption, de pièces jointes protégées par mot de passe ou de types de fichiers non pris en charge.
• Anti-spam : E-mails classés selon les règles de détection du spam :
  • Masse : E-mails envoyés en masse, comme les newsletters, les campagnes marketing ou les notifications automatisées.
  • Spam confirmé : E-mails identifiés avec certitude comme du spam. Ils sont généralement mis en quarantaine ou bloqués.
  • Spam suspecté : E-mails qui semblent suspects mais ne sont pas confirmés comme spam. Ils peuvent être mis en quarantaine, étiquetés ou livrés selon la politique.
  • Usurpation : E-mails pouvant prétendre provenir d'une personne de confiance, d'une marque, d'un domaine ou d'un expéditeur interne.
  • Pays non autorisé : E-mails bloqués ou mis en quarantaine parce qu'ils proviennent d'un pays restreint par la politique.
  • Langue non autorisée : E-mails bloqués ou mis en quarantaine parce que la langue détectée n'est pas autorisée par la politique.
  • BATV : E-mails liés à la validation d'adresse de rebond (Bounce Address Tag Validation), utilisée pour détecter les messages de rebond falsifiés ou le spam de rebond.
  • Nouveau domaine/NRD : E-mails provenant de domaines nouvellement enregistrés, souvent utilisés dans les campagnes de phishing ou d'attaques éphémères.
• Authentification : E-mails filtrés sur la base de contrôles d'authentification de l'expéditeur tels que les échecs SPF, DKIM ou DMARC.

Lorsque nous cliquons sur un e-mail, nous pouvons voir les messages expliquant pourquoi il a été mis en quarantaine. Nous pouvons le supprimer et bloquer l'expéditeur, libérer le message de la quarantaine, ou le libérer et autoriser les messages similaires à l'avenir.

Dans la section En-tête brut, nous pouvons consulter toutes les informations d'en-tête de l'e-mail. Nous pouvons également voir ses pièces jointes et les URL contenues dans le message. Cela ne nous a pas semblé suffisamment détaillé dans notre évaluation. Acronis et Barracuda offraient une expérience plus complète et plus informative à cet égard.

Dans l'onglet Message, nous pouvons consulter le contenu de l'e-mail tel quel, ce qui peut être dangereux. Il serait préférable de pouvoir voir le contenu de l'e-mail sous forme de capture d'écran, comme nous l'avons observé chez Acronis.

Il y a 23 e-mails ici, car ceux-ci ont été marqués comme spam, tandis que d'autres ont été directement rejetés. En bref, le système met en quarantaine les e-mails marqués comme spam.

Lorsque nous voulons exporter tous les e-mails entrants, nous ne pouvons pas le faire directement depuis les écrans de rapports. Il faut créer un rapport personnalisé à partir des journaux d'e-mails, l'ouvrir, sélectionner Générer un rapport, choisir CSV, puis exporter le tout en CSV. Ce flux de travail semble inutilement indirect et peu convivial.

Barracuda Email Protection analyse détaillée

Après avoir obtenu un essai auprès de Barracuda, nous avons accédé au panneau, cliqué sur Ouvrir pour Email Protection, puis poursuivi.

Sous Disponible dans votre essai, nous pouvons voir les principaux produits inclus :

• Protection des e-mails : Prévient les menaces par e-mail, sécurise les e-mails avant et après la livraison et automatise la réponse aux incidents de messagerie.
• Sauvegarde cloud à cloud : Sauvegarde les données de Microsoft 365.
• Inspecteur de données : Détecte les données sensibles et les malwares non détectés dans OneDrive et SharePoint.
• Formation à la sensibilisation à la sécurité : Forme les employés aux menaces de sécurité des e-mails.
• Service d'archivage cloud : Applique la conservation des e-mails pour la conformité et la découverte électronique.

Comme nous n'avions pas encore configuré de domaines ni de paramètres associés, le système nous a dirigés directement vers l'assistant de configuration, ce qui est utile pour configurer les paramètres de messagerie.

Lorsque nous avons cliqué sur Suivant, le système nous a obligés à connecter un compte Microsoft 365. Or, nous utilisons Google Workspace et nous évaluons le service pour cet environnement.

Nous avons découvert plus tard que Barracuda prend en charge Google Workspace. Nous avons poursuivi avec la configuration standard.

Le système nous a demandé de sélectionner une région de données. C'est une fonctionnalité importante pour la conformité au RGPD ; nous avons donc sélectionné l'Allemagne et continué.

Barracuda nous a ensuite demandé de saisir une adresse e-mail appartenant à notre domaine et de vérifier nos enregistrements MX. Nous avons cliqué sur le bouton de vérification et n'avons effectué aucune action supplémentaire. Le système a vérifié les enregistrements avec succès.

Lors des étapes ultérieures de notre configuration, nous avons constaté que Barracuda ne proposait pas d'intégration native avec Google Workspace. Au lieu de cela, il nous a donné de nouveaux enregistrements MX pour remplacer les nôtres. Lorsque nous mettons à jour ces enregistrements MX, les e-mails entrants semblent d'abord arriver chez Barracuda.

Barracuda filtre ensuite les e-mails inappropriés et transfère ceux qui sont acceptables. Exiger des modifications d'enregistrements MX pour l'intégration de Google Workspace est une mauvaise approche.

Après cela, nous avons mis à jour les enregistrements MX et les avons vérifiés. Nous avons terminé la configuration et commencé à envoyer des e-mails.

Lors de l'envoi des e-mails, nous avons observé que Barracuda rejetait certaines requêtes SMTP et refusait certaines pièces jointes. Lorsque nous avons effectué le même test avec Acronis, tous les e-mails ont été livrés et étaient visibles dans le système. Ici, Barracuda rejette certains e-mails avant qu'ils n'apparaissent dans le tableau de bord.

Bien qu'il les rejette parce qu'ils sont réellement malveillants, nous perdons en visibilité à cause de ce processus automatisé. En d'autres termes, nous pourrions même ne pas savoir si une attaque est arrivée et a été rejetée. C'est un problème pour l'utilisation de Barracuda en matière de sécurité des e-mails, car la visibilité est essentielle dans les contextes de sécurité. Si un produit rejette arbitrairement des incidents et les rend invisibles, cela nuit à l'équipe de sécurité.

Malgré ces difficultés, tous les e-mails de test ont été envoyés. Dans le tableau de bord de Barracuda, nous sommes redirigés vers l'écran Journal des messages, où tous les e-mails analysés sont répertoriés.

La section Journal des messages comprend une zone de filtrage en haut. Voici les options de filtrage :

• Recherche : Recherche textuelle dans les messages, les destinataires, les expéditeurs et d'autres champs.
• Domaines : Filtre les résultats en fonction du domaine sélectionné.
• Direction : Filtre selon la direction de l'e-mail ; Entrant ou Sortant.
• Plage de date/heure : Limite les résultats à une fenêtre temporelle spécifique.
• Action effectuée : Filtre selon l'action effectuée, par exemple Autorisé, Bloqué, Différé.
• Statut de livraison : Filtre selon que l'e-mail a été livré, a échoué, a été mis en quarantaine, etc.
• Raison : Filtre selon la raison de détection ayant déclenché une action (par exemple, Score, DMARC, Antivirus, Contenu protégé).
• Résultats : Contrôle nombre d'enregistrements affichés par page.

Nous pouvons le signaler comme étant mal classé. Par exemple, l'e-mail ci-dessous est sûr mais incorrectement classé comme dangereux. Nous avons signalé l'e-mail comme sûr.

L'e-mail ci-dessous est bloqué, mais le tableau de bord ne fournit aucun détail supplémentaire. Par conséquent, Barracuda est insuffisant dans ce domaine. Il serait plus utile de pouvoir voir davantage d'informations sur la raison du blocage du message, en plus du score de blocage.

Dans la section Domaines à gauche, nous pouvons consulter, ajouter et supprimer les domaines que nous souhaitons inclure dans la protection de la messagerie, ce sont des fonctions standard.

Dans le menu Entrant à gauche, Barracuda propose les filtres utilisés pour ces contrôles. Nous pouvons configurer ces filtres.

Par exemple, sous les paramètres Anti-spam/antivirus, nous pouvons configurer :

• Utiliser la liste de blocage de réputation Barracuda : Vérifie le courrier entrant par rapport à la base de données de Barracuda des expéditeurs malveillants connus. Peut être réglé sur Block, Mettre en quarantaine ou Désactivé.
• Analyser les e-mails pour détecter les virus : Active ou désactive l'analyse antivirus sur tous les e-mails entrants.
• Utiliser le système en temps réel de Barracuda : Croise les e-mails avec le flux de renseignements sur les menaces en direct de Barracuda. Peut être bloqué, mis en quarantaine ou désactivé. Envoie éventuellement le contenu suspect à Barracuda Central pour une analyse plus approfondie.
• Activer cloudscan : Délègue l'évaluation du spam au moteur cloud de Barracuda. Les scores vont de 1 à 10 ; les e-mails dépassant le seuil déclenchent l'action configurée.
• Catégorisation des e-mails : Classe les e-mails entrants par type et applique une action par catégorie. Les catégories incluent les e-mails d'entreprise, les e-mails transactionnels, les documents marketing et les newsletters, les listes de diffusion et les réseaux sociaux, chacune réglée indépendamment sur Autoriser, Mettre en quarantaine, Block ou Désactivé.
• Détection des e-mails en masse : Détecte et agit sur les e-mails envoyés en masse. Lorsque ce paramètre est désactivé, les e-mails en masse ne sont pas filtrés séparément.
• Exemptions d'e-mails en masse : Permet à des adresses e-mail ou à des domaines spécifiques de contourner la détection des e-mails en masse, définis par expéditeur ou destinataire.

Les pages de limitation de débit définissent le nombre d'e-mails qu'une adresse IP d'expéditeur peut envoyer pendant chaque période de 30 minutes, ce qui est un paramètre utile. Cela peut prévenir les abus de messagerie et les attaques soudaines à volume élevé provenant d'une seule IP d'expéditeur.

En limitant le nombre d'e-mails qu'une adresse IP peut envoyer en 30 minutes, le système peut réduire l'impact :

• Campagnes de spam
• Rafales de phishing
• Distribution de malwares
• Comptes ou serveurs d'expéditeurs compromis
• Inondation d'e-mails de type déni de service

Sur la page Liste blanche/noire d'IP, nous pouvons contourner l'analyse pour les e-mails provenant d'adresses IP spécifiques ou les bloquer directement.

Dans les politiques régionales, nous pouvons appliquer un blocage géographique ou une mise en liste blanche. Nous pouvons également bloquer ou autoriser les e-mails en fonction de la langue du contenu.

Dans les politiques des destinataires, nous pouvons configurer des règles d'analyse ou de contournement basées sur l'adresse e-mail du destinataire.

Barracuda propose également des politiques similaires pour les expéditeurs. Nous pouvons appliquer des exceptions en fonction de l'expéditeur.

Il existe également un tableau de bord où nous pouvons définir des exceptions basées sur des contrôles de sécurité des e-mails standard tels que DMARC, DKIM et SPF.

Dans les politiques de contenu, nous pouvons configurer l'analyse ou le contournement des e-mails en fonction du nom ou du type de fichier. Nous pouvons également définir des règles d'analyse ou de contournement basées sur le contenu du corps du message à l'aide d'expressions régulières.

Barracuda propose Advanced Threat Protection en tant qu'abonnement en plus de l'analyse antivirus classique. Advanced Threat Protection (ATP) est un service d'analyse basé sur le cloud qui analyse les pièces jointes des e-mails dans un environnement cloud sécurisé pour détecter les menaces que les antivirus standard peuvent manquer. Il s'applique aux messages entrants et prend en charge la plupart des types de fichiers MIME.

Il existe trois modes dans ATP :

1. Livrer d'abord, puis analyser tente d'analyser la pièce jointe en temps réel à l'arrivée de l'e-mail. Si l'analyse se termine à temps et qu'une menace est détectée, l'e-mail est bloqué. Si l'analyse ne se termine pas à temps, l'e-mail est livré immédiatement sans attendre le résultat. L'analyse continue de s'exécuter en arrière-plan, et si une menace est détectée par la suite, le destinataire en est informé, mais l'e-mail a déjà atteint sa boîte de réception. Cela signifie que le destinataire pourrait ouvrir une pièce jointe infectée avant que la menace ne soit identifiée.
2. Analyser d'abord, puis livrer analyse la pièce jointe avant la livraison. Si une menace est détectée, l'e-mail est bloqué. S'il est propre, il est livré. Les e-mails en attente d'analyse apparaissent dans le Journal des messages avec « Analyse en attente » comme raison. Si un message reste différé plus de quatre heures, il est mis en quarantaine. Ce mode est plus sûr mais peut retarder la livraison.
3. Désactivé : ATP est entièrement désactivé.

Le compromis clé ici se situe entre rapidité et sécurité. « Livrer d'abord » privilégie la rapidité de livraison mais introduit une fenêtre de risque. « Analyser d'abord » élimine ce risque mais peut retarder ou différer les messages avec pièces jointes.

Dans la section Rapports, Barracuda crée des rapports détaillés sur la sécurité des e-mails :

• Synthèse du trafic entrant/sortant : Aperçu de toute l'activité de messagerie entrante et sortante, répartie par différé, bloqué, mis en quarantaine et autorisé.
• Répartition des e-mails entrants bloqués : Répartition détaillée des raisons du blocage des e-mails entrants.
• Principaux expéditeurs/destinataires des e-mails entrants : Affiche les expéditeurs/destinataires les plus fréquents des e-mails entrants.
• Répartition des principaux expéditeurs entrants bloqués : Répertorie les expéditeurs dont les e-mails sont le plus souvent bloqués, avec les raisons.
• Répartition des principaux destinataires entrants bloqués : Affiche les destinataires internes les plus fréquemment ciblés par des e-mails bloqués.
• Principaux expéditeurs d'e-mails sortants : Aperçu des utilisateurs internes envoyant le plus grand volume d'e-mails sortants.
• Principaux expéditeurs sortants bloqués : Affiche les utilisateurs internes dont les e-mails sortants sont le plus souvent bloqués.

De plus, nous pouvons planifier des rapports automatisés, ce qui est une fonctionnalité utile. Au lieu de se connecter à plusieurs reprises pour consulter les tableaux de bord, nous pouvons recevoir des synthèses régulières des menaces, des messages mis en quarantaine, des tendances du spam, des détections de malwares, des tentatives d'usurpation, des actions de politique et du risque utilisateur. Les rapports planifiés peuvent également aider les utilisateurs à identifier des schémas de manière précoce, comme une augmentation des e-mails de phishing, des attaques répétées contre des utilisateurs spécifiques ou une hausse des pièces jointes malveillantes bloquées.

Le menu Syslog à gauche nous permet de transférer tous ces enregistrements vers un serveur de journaux de notre choix. C'est une fonctionnalité utile pour les intégrations SIEM.

Dans l'ensemble, le produit offre un large éventail de fonctionnalités, mais il est moins performant en matière de détection des menaces. Une grande partie de la configuration est laissée à l'utilisateur, ce qui soulève la question de savoir si la valeur ajoutée justifie la charge, en particulier pour les organisations qui utilisent Google Workspace ou le Centre de conformité Microsoft 365.

Fonctionnalités clés des solutions de sécurité des e-mails dans le cloud

Les solutions de sécurité des e-mails dans le cloud analysent le comportement des utilisateurs, détectent les anomalies contextuelles, automatisent la réponse et la remédiation aux menaces et s'intègrent à l'écosystème de sécurité plus large. Les fonctionnalités clés incluent :

Détection des menaces basée sur l'IA

Les systèmes de sécurité des e-mails dans le cloud analysent le contexte du message, l'historique de l'expéditeur et l'intention pour signaler les attaques de phishing et les tentatives d'usurpation qui semblent légitimes en apparence. Cela inclut l'identification de signes subtils tels que des domaines similaires ou des schémas temporels inhabituels.

En suivant les habitudes de communication normales, ces systèmes peuvent détecter des anomalies, comme un employé du service financier qui reçoit soudainement des demandes de paiement urgentes d'un nouvel expéditeur externe. Cette approche est particulièrement importante pour détecter la fraude au président (BEC), où il n'y a aucun malware à analyser et aucun signal d'alarme évident.

Architecture de protection multicouche

Les plateformes de sécurité des e-mails dans le cloud combinent plusieurs couches d'inspection pour détecter les menaces qui passent à travers un contrôle.

• L'analyse statique vérifie les indicateurs connus, tandis que le sandboxing dynamique observe le comportement des pièces jointes dans un environnement contrôlé. 
• L'inspection des URL joue également un rôle clé, en particulier pour identifier les liens malveillants qui s'activent après la livraison.
• Les protocoles d'authentification tels que SPF, DKIM et DMARC aident à valider l'identité de l'expéditeur, réduisant ainsi le risque d'usurpation. 

Together, ces couches créent un système où chaque composant compense les limites des autres.

Protection contre les menaces émergentes

Les attaquants s'appuient de plus en plus sur la tromperie plutôt que sur des exploits techniques. Les tactiques d'ingénierie sociale sont conçues pour pousser les utilisateurs à prendre des décisions rapides, en usurpant souvent des cadres dirigeants ou des fournisseurs de confiance.

Cela inclut des campagnes ciblées telles que le spear phishing, où les messages sont adaptés à une personne ou un rôle spécifique. Des scénarios plus avancés impliquent des messages vocaux deepfake ou des tentatives de fraude à la facture.

Ces menaces avancées ne reposent pas sur des fichiers malveillants. Au contraire, elles exploitent la confiance, ce qui rend la détection dépendante du contexte et de l'intention plutôt que des signatures.

Détection en temps réel & réponse automatisée

Une fois qu'un message malveillant atteint une boîte de réception, la fenêtre de dégâts est limitée. Les systèmes de sécurité analysent les e-mails dès leur arrivée et agissent immédiatement lorsqu'une menace est confirmée.

L'automatisation réduit la charge des équipes de sécurité en supprimant les messages dangereux dans toutes les boîtes aux lettres concernées, même après la livraison. Cela limite la propagation des attaques qui reposent sur le transfert interne ou les chaînes de réponses.

Les flux de travail de réponse peuvent également déclencher des actions plus larges, comme l'isolement des comptes ou la mise à jour des règles de détection sur la base de nouveaux renseignements.

Surveillance continue & protection post-livraison

Le filtrage initial ne détecte pas tout. Les techniques d'attaque évoluent, et certaines menaces ne sont reconnues qu'après l'apparition de nouveaux indicateurs.

• La surveillance continue permet aux systèmes de réexaminer les messages livrés et de supprimer les menaces nouvellement identifiées. C'est essentiel pour les attaques qui utilisent des charges utiles différées ou une livraison par étapes.
• La remédiation post-livraison garantit que les e-mails précédemment manqués ne restent pas dans les boîtes de réception une fois classés comme malveillants.

Continuité & résilience de la messagerie

La sécurité ne consiste pas seulement à bloquer les menaces. La disponibilité compte également. Si l'accès à la messagerie est perturbé, les opérations de l'entreprise peuvent s'arrêter.

Les fonctionnalités de continuité basées sur le cloud offrent un accès de secours en cas de panne et soutiennent une récupération rapide des messages et des comptes. Cela garantit que la messagerie d'entreprise reste disponible même en cas de perturbations de service ou d'attaques.

Capacités différenciatrices des plateformes de sécurité des e-mails dans le cloud

Sécurité centrée sur l'utilisateur (couche humaine)

De nombreux incidents commencent par une action de l'utilisateur. C'est pourquoi les plateformes modernes de sécurité des e-mails incluent des outils qui guident le comportement plutôt que de se contenter du filtrage.

• Des bannières d'avertissement contextuelles peuvent alerter les utilisateurs lorsqu'un message semble suspect. 
• La formation devient également plus adaptative. Au lieu de simulations génériques, les utilisateurs reçoivent des conseils adaptés à leurs habitudes d'interaction.

Sécurité unifiée & intégration de plateforme

L'e-mail n'existe pas isolément. Il fait partie d'un environnement plus large comprenant les terminaux, les identités et les applications. L'intégration avec les systèmes de terminaux et d'identité permet des réponses coordonnées. Par exemple, si un e-mail entraîne un vol d'identifiants, le système peut déclencher des actions au-delà de la boîte de réception.

Les tableaux de bord centralisés donnent aux équipes une vision plus claire de leur posture de sécurité globale, réduisant les problèmes de communication entre les outils.

Protection des données, chiffrement & conformité

Les e-mails contiennent souvent des contrats, des détails financiers et d'autres données sensibles. La protection de ces informations exige plus que la simple détection des menaces.

• Le chiffrement garantit que les messages restent confidentiels en transit et au repos. Les politiques de prévention des pertes de données aident à empêcher le partage non autorisé, qu'il soit accidentel ou intentionnel.
• Les fonctionnalités de conformité soutiennent les exigences réglementaires, notamment les pistes d'audit et les politiques de conservation. Cela est particulièrement pertinent pour les organisations qui opèrent au-delà des frontières et traitent des données soumises à des règles légales ou sectorielles strictes.

Ne manquez pas nos benchmarks et analyses basées sur les données. Le bouton ouvre Google ; sélectionner AIMultiple confirme que vous souhaitez voir AIMultiple plus souvent dans les résultats de recherche Google.

Ajouter comme source préférée

Méthodologie du benchmark de la sécurité des e-mails dans le cloud

Nous avons évalué trois produits de sécurité des e-mails : Acronis Advanced Email Security (propulsé par Perception Point), Sophos Email Security et Barracuda Email Protection.

Le benchmark comprenait 100 tests de bout en bout et suivait quatre principes.

1. Axé sur la couverture : Chaque test correspond à une capacité que le fournisseur affirme publiquement fournir.
2. Pondéré par la difficulté : Manquer un test simple de 1/10 signale une lacune produit sérieuse. Manquer un test de 9/10 est plus compréhensible, car ces cas reflètent des problèmes de détection de niveau expert. La méthode de notation sépare ces cas plutôt que de traiter tous les échecs de la même manière.
3. Reproductible : Le benchmark est exécuté avec un harnais de test PHP autonome et vérifié par une suite de vérification distincte. Avant l'envoi de tout e-mail de test, le vérificateur effectue plus de 1 800 contrôles pour confirmer que les charges utiles de test sont complètes, valides et correctement configurées.
4. Éthique : Les tests de malwares utilisent la chaîne de test antivirus EICAR. Les URL de phishing pointent vers une infrastructure canari inerte ou inexistante. Toutes les boîtes aux lettres de test appartiennent à l'équipe de test.

Nous avons sélectionné les tests de sorte que les affirmations publiques de chaque fournisseur soient au moins une fois mises à l'épreuve. La priorité était de tester les menaces que les trois fournisseurs affirment détecter, ce qui maintient l'équité de la comparaison directe. Nous avons également inclus un plus petit nombre de cas spécifiques à un fournisseur lorsqu'ils étaient pertinents. Par exemple, le détournement de conversation est une affirmation centrale de Barracuda, la détection du phishing par QR code est explicitement revendiquée par Acronis Advanced Email Security, et les leurres GenAI de type deepfake sont le plus souvent mis en avant par les fournisseurs axés sur l'IA.

Le benchmark est organisé en onze catégories. Chaque catégorie teste un mécanisme de détection différent. Le nombre de tests est indiqué entre parenthèses, avec 100 tests au total.

Catégorie A : Spam (9 tests)

Cette catégorie couvre les publicités pharmaceutiques en masse, les e-mails de pump-and-dump de cryptomonnaies, les arnaques à la loterie, les prêts sur salaire, les accroches de plateformes de rencontres et la prospection à froid B2B en SEO.

La plupart des tests de cette catégorie sont volontairement faciles. Deux tests, le marketing gris (graymail) et la prospection à froid B2B, se situent plus près de la limite des faux positifs, car un filtrage agressif peut bloquer des e-mails professionnels légitimes.

Catégorie B : Malwares connus utilisant la chaîne de test EICAR (9 tests)

Cette catégorie teste la livraison d'EICAR dans des formats de pièces jointes courants et imbriqués :

• Pièce jointe .txt simple,
• ZIP standard,
• ZIP protégé par mot de passe avec le mot de passe inclus dans le corps de l'e-mail,
• ZIP imbriqué dans un autre ZIP,
• EICAR avec une extension .exe pour tester la gestion des discordances entre extension et contenu,
• .tar.gz, archive récursive à trois niveaux,
• Fichier .gz unique sans conteneur tar,
• EICAR avec quatre kilo-octets de données parasites préfixées pour tester la tolérance au décalage.

Ces tests mettent à l'épreuve le dépaquetage des archives, la prise en charge des formats et l'extraction des mots de passe depuis le corps de l'e-mail. Ce sont des capacités de base pour les passerelles de messagerie modernes.

Catégorie C : Types de fichiers porteurs (10 tests)

Cette catégorie teste les formats de fichiers couramment utilisés pour transporter ou déclencher un comportement malveillant. L'ensemble comprend :

• PDF avec JavaScript embarqué et un déclencheur OpenAction,
• HTML smuggling utilisant URL.createObjectURL sur un blob encodé en Base64,
• SVG avec un script onload et XHR distant,
• Raccourci Windows .lnk avec une charge utile PowerShell dans le bloc d'arguments,
• Fichier polyglotte PDF/ZIP,
• Application HTML .hta avec VBScript,
• Dropper JavaScript Windows Script Host utilisant XMLHTTP et ADODB.Stream,
• Image ISO 9660 contenant EICAR,
• Fichier de raccourci Internet .url,
• Fichier de requête Internet Excel .iqy.

C'est l'une des catégories les plus discriminantes, car les résultats des produits varient considérablement selon ces types de fichiers porteurs.

Catégorie D : Phishing par URL (10 tests)

Cette catégorie mesure l'analyse des URL sur les liens directs, les redirections, l'obscurcissement et les emplacements hors du corps du message. Elle comprend :

• URL de phishing directe sur un TLD suspect,
• Destination raccourcie Bitly,
• Chaîne de redirections à sauts multiples via l'open redirector de Google et t.co,
• Homoglyphe IDN punycode utilisant le « а » cyrillique dans раypal.com,
• URL masquée en HTML utilisant des caractères de largeur nulle et un texte blanc d'un pixel,
• URL présente dans une annotation PDF,
• URI transportant du HTML encodé en Base64 avec un lien de phishing,
• URL extrêmement longue avec l'hôte réel enfoui dans la chaîne de requête,
• Paramètre de redirection ouverte sur un hôte d'apparence légitime,
• URL de cache AMP de Google qui masque la destination de phishing derrière google.com/amp/s/.

Catégorie E : Phishing par QR code (8 tests)

Cette catégorie teste si les produits peuvent extraire et inspecter les URL de phishing cachées dans les QR codes. L'ensemble comprend :

• QR codes PNG en ligne pour la réinscription MFA,
• Signature DocuSign,
• Accès au bulletin de paie,
• Avis de nouvelle livraison d'un colis
• Accès à la messagerie vocale
• Réinitialisation de la 2FA bancaire.

Elle comprend également des variantes d'évasion : un QR code intégré dans un PDF sans contenu QR dans le corps de l'e-mail, un QR code livré sous forme d'image enveloppée dans un SVG, et un QR code défini comme URI de données d'image de fond CSS au lieu d'une balise <img>.

Ces cas testent si le scanner examine les images en dehors des conteneurs HTML les plus évidents.

Catégorie F : Usurpation de marque et de domaine (9 tests)

Cette catégorie teste l'usurpation d'expéditeur, de domaine, de marque et d'en-tête, et comprend :

• Usurpation du nom d'affichage depuis un compte Gmail générique,
• Domaine par typosquatting utilisant m1crosoft-account.com,
• Homoglyphe IDN punycode pour Apple
• Abus de sous-domaine via microsoft.support-team-portal.tk
• Imitation du kit de marque Microsoft utilisant le vrai logo et le style Segoe UI
• Discordance entre les en-têtes Sender et From
• Usurpation d'une banque locale
• Typosquatting d'une entreprise de commerce électronique
• Injection d'en-tête Authentication-Results où l'attaquant ajoute des valeurs falsifiées spf=pass, dkim=pass et dmarc=pass au message.

Le dernier cas teste si les analyseurs en aval font confiance aux en-têtes d'authentification fournis par l'attaquant au lieu de valider les résultats réels en amont.

Catégorie G : BEC et spear phishing sans charges utiles (9 tests)

Cette catégorie se concentre sur l'ingénierie sociale sans pièces jointes ni liens malveillants, et comprend :

• Demande de virement du PDG envoyée depuis un compte Gmail,
• Prétexte de changement bancaire dans le cadre d'une compromission d'e-mail fournisseur,
• Redirection de salaire en libre-service par un employé,
• Arnaque aux cartes-cadeaux en ligne par un imitateur du directeur financier
• Détournement de conversation utilisant un objet Re:Re: et des en-têtes In-Reply-To falsifiés,
• Demande de preuves confidentielles d'un faux cabinet d'avocats,
• Prise de contact d'un chasseur de têtes externe avec un CV en pièce jointe,
• Prétexte de prise de contrôle de l'authentification à deux facteurs WhatsApp,
• Prétexte d'initié en fusions et acquisitions combinant un langage de confidentialité et l'urgence.

Catégorie H : Extorsion et escroqueries (9 tests)

Cette catégorie couvre les schémas courants d'escroquerie et d'extorsion. Les tests incluent :

• E-mail utilisant un ancien mot de passe divulgué,
• Fausse facture avec un lien de paiement malveillant dans un PDF,
• Lettre de frais anticipés,
• Menace de confiscation de l'administration fiscale,
• Extorsion DDoS contre un site web,
• Fausse notification de verrouillage iCloud d'Apple avec un lien de déverrouillage,
• Escroquerie aux frais de douane par un service de messagerie
• Extorsion par divulgation de données (doxing),
• Escroquerie au proche bloqué à la douane.

Catégorie I : Phishing de qualité GenAI (10 tests)

Cette catégorie teste des e-mails de phishing soignés qui éliminent les indices évidents sur lesquels les anciens systèmes s'appuient souvent. L'ensemble comprend :

• E-mail de re-vérification du support informatique avec des étapes structurées et un bouton de marque,
• Faux dossier de pré-lecture du conseil avec un langage de confidentialité et un lien vers un espace de travail,
• Mise à jour de la politique du locataire Microsoft 365 exigeant un nouveau consentement sous sept jours,
• Demande de signature électronique du code de conduite des RH,
• Suivi de la réussite client après une réunion fictive,
• Usurpation de compte rendu de réunion,
• NDA juridique d'une contrepartie fictive,
• Alerte critique CVE style RSSI,
• Aperçu des résultats des relations investisseurs avec langage d'embargo,
• Résolveur de conflit d'agenda exigeant une connexion SSO unique.

Chaque e-mail de cette catégorie a été rédigé pour se lire comme un message professionnel compétent en anglais natif. Les tests évitent délibérément les anciens indices de phishing tels qu'une grammaire cassée, des formulations maladroites et des discordances de marque évidentes.

Catégorie J : Techniques d'évasion (9 tests)

Cette catégorie teste l'obscurcissement qui peut mettre en échec une inspection de contenu superficielle, et comprend :

• Caractères Unicode de largeur nulle dans des mots déclencheurs,
• Contournement de l'OCR où tout le message de phishing est rendu sous forme de PNG sans texte corporel analysable,
• Caractère de substitution droite-à-gauche dans un nom de fichier de pièce jointe,
• Nom de fichier à double extension,
• Leurre masqué en CSS où le texte rendu semble bénin tandis que le DOM contient le contenu de phishing,
• Objet encodé selon la RFC 2047,
• URL avec des caractères encodés en hexadécimal dans l'hôte,
• Homoglyphe dans l'objet utilisant le « е » cyrillique pour le « e » latin,
• URL cachée dans un attribut HTML data-* et récupérée au moment du clic par du JavaScript en ligne.

Catégorie K : Ensemble de contrôle et tests de faux positifs (8 tests)

L'ensemble de contrôle contient des e-mails professionnels légitimes qui devraient passer sans avertissement, et comprend :

• Notifications internes d'équipe,
• Notes de frais mensuelles,
• Suivis de réunion,
• Synthèses hebdomadaires,
• Fichiers ZIP protégés par mot de passe utilisés pour un partage interne légitime,
• Rappels de formation,
• Avis de maintenance informatique,
• E-mails de planification en tête-à-tête.

Tout produit qui signale l'un de ces messages reçoit une pénalité de faux positif.

Architecture à deux expéditeurs

De nombreux tests de sécurité des e-mails négligent une distinction importante entre les attaques axées sur le contenu et celles axées sur l'identité de l'expéditeur. Certaines menaces sont dangereuses en raison du corps de leurs messages ou de leurs pièces jointes, quel que soit leur expéditeur. D'autres sont dangereuses parce que l'e-mail prétend provenir d'une personne qu'il ne représente pas. Ces deux classes nécessitent des configurations d'envoi différentes.

Nous avons divisé le benchmark en deux groupes d'expéditeurs.

• Groupe L, légitime, 38 tests : Ces e-mails sont envoyés depuis un service SMTP authentifié. SPF, DKIM et DMARC s'alignent correctement pour le domaine d'envoi. Le nom d'affichage change selon le test, comme Finance, Support informatique ou le vrai nom du testeur, mais l'adresse From reste l'adresse d'expéditeur authentifiée.
  • Le groupe L est utilisé pour les catégories axées sur le contenu : K, B, C, J et les deux tests de phishing par URL, où l'URL constitue la menace quel que soit l'expéditeur.
• Groupe S, usurpé, 62 tests : Ces e-mails sont envoyés via un relais SMTP permissif qui n'impose pas l'alignement du domaine From. L'adresse From est celle spécifiée par le cas de test, de sorte que l'alignement SPF et DMARC échoue par conception.
  • Le groupe S est utilisé pour les catégories axées sur l'identité de l'expéditeur : A, la plupart des tests de D, E, F, G, H et I.

Cette division reflète le comportement réel des attaquants. Les opérateurs de phishing utilisent souvent des serveurs virtuels bon marché et des domaines jetables, car les services SMTP cloud grand public, tels que Gmail, Office 365 et AWS SES, avec des domaines vérifiés, empêchent l'envoi d'e-mails avec un en-tête From non aligné.

Figure 1 : Figure montrant le fonctionnement d'un serveur relais SMTP. Un serveur relais SMTP est un serveur de messagerie tiers qui reçoit les e-mails d'un expéditeur et les transmet aux serveurs destinataires en dehors du domaine du fournisseur de messagerie de l'expéditeur.

Pondération de la difficulté

Chaque test a une note de difficulté comprise entre 1 et 10. La note indique à quel point un produit de sécurité des e-mails compétent devrait trouver le test difficile.

• 1 à 2, trivial : Ce sont des signatures classiques sans obscurcissement significatif. Les manquer indique une lacune de détection fondamentale. Les exemples incluent le spam pharmaceutique, un EICAR simple dans un ZIP et une lettre nigériane 419.
• 3 à 4, bien connu : Ce sont des schémas familiers que les produits modernes devraient détecter. Les exemples incluent le JavaScript PDF, la sextorsion par mot de passe divulgué et l'usurpation du nom d'affichage d'un PDG.
• 5 à 6, intermédiaire : Ces cas nécessitent une analyse plus poussée, comme l'IA moderne, le sandboxing ou la vision par ordinateur, y compris le HTML smuggling, les URL homoglyphes IDN et le phishing par QR code en ligne.
• 7 à 8, avancé : Ce sont des cas limites que les produits les plus robustes gèrent de manière cohérente, comme les polyglottes PDF/ZIP, les chaînes de redirection à sauts multiples, l'usurpation visuelle de kit de marque et les leurres de contournement d'OCR en image seule.
• 9 à 10, expert : Ce sont des cas réellement difficiles où la détection est un excellent résultat et où l'échec est courant dans l'ensemble du secteur. Les exemples incluent le détournement de conversation par fil falsifié, un suivi client de qualité GenAI et une fausse NDA juridique d'une contrepartie inconnue jusqu'alors.
• Tests de contrôle : Les messages de la catégorie K doivent passer. Toute détection dans cette catégorie compte comme un faux positif.

Les moyennes des catégories suivent la courbe de difficulté prévue : le spam A est en moyenne de 2.2/10, B EICAR de 2.8/10, H extorsion de 3.8/10, C fichiers porteurs de 5.0/10, F usurpation de marque et J évasion de 5.6/10, D phishing par URL de 5.8/10, E phishing par QR code de 6.8/10, G BEC de 6.8/10, et I phishing GenAI de 8.2/10.

Notation du benchmark

Chaque produit reçoit l'un des cinq verdicts par test :

• BLOCK : Le message est mis en quarantaine ou rejeté (2 points).
• WARN : Le produit injecte une bannière, envoie l'e-mail dans les indésirables ou supprime la pièce jointe (0.5 point). 
• LATE : Le message est d'abord livré, puis supprimé après la livraison (1 point).
• MISS : Le message atteint la boîte de réception sans avertissement (0 point).
• FP : Un message de l'ensemble de contrôle est signalé à tort (pénalité de -2 points).

Le taux de détection est calculé comme le total des points divisé par le score maximal possible pour les tests d'attaque, puis exprimé en pourcentage. Le score maximal possible est égal au nombre de tests d'attaque multiplié par deux.

Le taux de faux positifs est rapporté séparément. Un produit qui atteint 90 % de détection en bloquant du courrier légitime présente plus de risques opérationnels qu'un produit qui atteint 80 % de détection sans faux positifs.

Reproductibilité et outillage

Le benchmark s'exécute à partir d'un unique script PHP autonome. Le script construit 100 messages MIME en mémoire avec un générateur multipart personnalisé. Il génère les charges utiles localement, notamment des ZIP, des ZIP chiffrés AES-256, des fichiers tar.gz, des fichiers .gz à fichier unique, des PDF avec des actions JavaScript, des échantillons de HTML smuggling, des fichiers SVG avec JavaScript onload, des fichiers Windows .lnk avec le bon CLSID Shell Link et le bloc d'arguments UTF-16LE, ainsi qu'une image disque ISO 9660 minimale.

Le script envoie chaque test via le bon chemin SMTP en fonction de son groupe d'expéditeur.

Chaque message inclut des en-têtes de traçabilité : X-Bench-Id, X-Bench-Run, X-Bench-Product, X-Bench-Category, X-Bench-Case et X-Bench-Group. Ces en-têtes rendent chaque test traçable à travers les boîtes de réception, les consoles de quarantaine et les journaux produits.

Un harnais de vérification distinct exécute plus de 1 800 contrôles de cohérence avant la transmission. Il valide que chaque test possède les champs requis, que chaque note de difficulté se situe dans [1, 10] ou zéro pour les contrôles, et que l'EICAR est présent et récupérable depuis chaque pièce jointe de la catégorie B, y compris les archives protégées par mot de passe et triplement imbriquées.

Le vérificateur contrôle également que les PDF contiennent des en-têtes %PDF- valides et des marqueurs %%EOF, que les PNG contiennent des signatures valides et des blocs IEND, que les SVG se parsent comme du XML bien formé, que le fichier LNK possède le bon CLSID Shell Link et la chaîne d'arguments PowerShell attendue, que le descripteur de volume principal ISO 9660 apparaît au secteur 16 avec la bonne signature \x01CD001, et que l'inférence de groupe correspond à la répartition documentée Groupe L et Groupe S.

Un troisième script traite les CSV par produit après la saisie manuelle des verdicts. Il produit un rapport comparatif avec un tableau de verdicts côte à côte par test, des taux de détection par catégorie, des scores totaux, des pourcentages de taux de détection, des compteurs de faux positifs et trois sous-tableaux d'investigation :

1. cas triviaux mais manqués, définis comme une difficulté ≤ 2 avec au moins un MISS
2. cas difficiles mais détectés, définis comme une difficulté ≥ 8 avec au moins un BLOCK
3. tous les incidents de faux positifs

Éthique et contraintes opérationnelles

Aucun malware réel n'a été créé ou transmis. Les pièces jointes malveillantes utilisent soit la chaîne de test antivirus EICAR, un document de test de 68 caractères défini par l'Institut européen de recherche sur les antivirus informatiques, soit des démonstrateurs bénins. Les exemples incluent un PDF dont le JavaScript appelle app.alert, une page HTML qui utilise URL.createObjectURL sur la chaîne EICAR et un SVG dont l'onload appelle un point de terminaison inexistant.

Aucune infrastructure de phishing en direct n'a été utilisée. Les URL de test aboutissent à l'une des trois destinations sûres : le TLD réservé .invalid défini dans la RFC 2606, des domaines .tk de substitution sous notre contrôle qui renvoient une 404, ou des hôtes parodiques tels que m1crosoft-account.com et xn--pple-43d.com enregistrés pour le benchmark et ne diffusant aucun contenu.

Aucune page de collecte d'identifiants n'a été déployée. Toutes les boîtes aux lettres de test appartiennent à l'équipe de test et sont surveillées. Les identifiants SMTP sont limités au benchmark et renouvelés après chaque engagement.

Limites du benchmark de sécurité des e-mails

Nous avons exclu plusieurs catégories, car elles nécessitent une infrastructure ou des conditions allant au-delà d'un benchmark ponctuel :

• Bascule d'URL au moment du clic : Cette attaque délivre une URL qui semble bénigne au moment de la livraison, puis redirige vers une destination de phishing. La tester nécessiterait un serveur HTTP avec état qui modifie son contenu, plus une action de clic côté utilisateur.
• Prise de contrôle de compte et phishing latéral : Cela nécessiterait le contrôle d'une boîte aux lettres interne, ce qui sortait du cadre du benchmark.
• Malwares dynamiques sensibles au sandbox : Les vrais échantillons polymorphes qui détectent la virtualisation et évitent la détonation ont été exclus pour des raisons éthiques.
• Pages de destination de kits de phishing en direct : Toutes les URL aboutissent à des hôtes inertes. Le benchmark ne teste pas l'expérience après le clic.

L'expéditeur du Groupe S nécessite un relais SMTP qui autorise des en-têtes From non alignés. Les services SMTP cloud rejettent généralement ces tests au niveau du réseau. Lorsqu'un relais permissif n'est pas disponible, le benchmark se dégrade vers le Groupe L, ce qui laisse 38 tests axés sur le contenu.

FAQ

Citez ce benchmark

Choisissez le format qui correspond à votre lieu de publication. Coller la version avec lien dans votre CMS préserve le lien retour.

@misc{dogan2026,
  author = {Dogan, Sedat},
  title  = {{Solutions de sécurité des e-mails: Acronis, Sophos & Barracuda}},
  year   = {2026},
  month  = jun,
  howpublished    = {\url{https://aimultiple.com/email-security-solutions}},
  note   = {AIMultiple. Consulté le 22 Juin 2026}
}

Sedat Dogan

CTO

Suivre

Sedat est un leader en technologie et en sécurité de l’information avec 20 ans d’expérience en développement logiciel, infrastructure réseau et cybersécurité. Sedat :
- A 20 ans d’expérience en tant que hacker white-hat et gourou du développement, avec une expertise approfondie des langages de programmation et des architectures de serveurs.
- Est conseiller d’administration auprès d’un VC qui investit dans des entreprises technologiques en phase de démarrage et chez Ödeal, une plateforme de paiement numérique régionale servant 125 000 commerçants.
- A dirigé l’infrastructure technologique et la cybersécurité de sept élections nationales, et a été reconnu au Hall of Fame de la cybersécurité par des leaders technologiques mondiaux dont Twitter.

Voir le profil complet

Soyez le premier à commenter

Votre adresse courriel ne sera pas publiée. Tous les champs sont obligatoires. Les commentaires sont laissés dans leur langue d'origine.

Nom

Adresse email

Commentaire

0/450

Publier un commentaire