Solutions de sécurité des emails: Acronis, Sophos & Barracuda

L'email est l'un des points d'entrée les plus courants pour les cyberattaques, et les protections intégrées ne suffisent plus à gérer les menaces ciblées. Nous avons testé trois plateformes de sécurité des emails dans le cloud (Acronis, Sophos et Barracuda) avec 100 tests dans 11 catégories de menaces.

Résultats du benchmark des solutions de sécurité des emails dans le cloud

Lisez la méthodologie du benchmark des solutions de sécurité des emails pour découvrir comment nous avons testé ces outils et mesuré les résultats.

Comparaison des solutions de sécurité des emails basée sur les catégories de verdict

Acronis Advanced Email Security

• Acronis a le score de détection global le plus élevé (122/200) et est le plus performant contre le phishing GenAI à 100%. Les dix prétextes professionnels soignés ont été bloqués, y compris les faux dossiers de pré-lecture pour le conseil d'administration, les flux de re-consentement Microsoft 365 et les NDA juridiques fictifs.
  • Il s'agit de la catégorie la plus difficile du benchmark, avec une difficulté moyenne de 8,2/10. Le fait de tous les attraper suggère que Acronis a bien géré les indices sémantiques et contextuels de phishing dans ce benchmark, plutôt que de dépendre de signaux évidents de grammaire ou de mise en forme.
• La catégorie F et la catégorie D soutiennent également ce tableau : Acronis a obtenu 89% sur l'usurpation de marque/domaine et 90% sur le phishing par URL, y compris un BLOCAGE au test d'injection d'en-tête authentication-results. Les résultats agrégés suggèrent une forte gestion des cas d'usurpation et d'analyse d'URL.
• Le bilan propre en faux positifs est significatif sur le plan opérationnel. Aucun des huit messages de contrôle n'a été bloqué, ce qui signifie que le taux de détection de 67% n'implique aucun coût compensatoire en perte de courrier légitime.
• Les points négatifs se concentrent sur les niveaux de difficulté inférieurs. Le spam de base (Catégorie A, 44%) est inférieur à celui des autres outils, avec des échecs sur le spam pharmaceutique, les arnaques à la loterie et une arnaque sentimentale de base aux niveaux de difficulté 1 à 2. L'écart suggère que Acronis donne la priorité aux attaques sophistiquées plutôt qu'au trafic de masse à faible effort.

Sophos Email Security

• Sophos a le deuxième score global le plus élevé (105,5/200). Il a atteint 100% dans la catégorie B (variantes de logiciels malveillants EICAR), attrapant chaque variante d'archive imbriquée, ZIP protégé par mot de passe et test de tolérance de décalage.
• Les faiblesses les plus visibles de Sophos sont le phishing par URL (Catégorie D, 58%) et les techniques d'évasion (Catégorie J, 22%). L'écart en phishing par URL est notable car les liens sont parmi les mécanismes de diffusion de phishing les plus courants, et la catégorie D teste plusieurs façons réalistes dont les attaquants les cachent ou les acheminent.
• Le score de 58% de Sophos, comparé à 90% d'Acronis, suggère que sa couche d'analyse d'URL était moins cohérente face aux redirections, à l'obfuscation et aux placements d'URL hors du corps du message.

Barracuda Email Protection

• Le score de détection de Barracuda de 60/200 est inférieur à celui des deux autres produits. La catégorie I (phishing GenAI) a donné 0% de détection, et la catégorie A (Spam : 33%) a le score le plus bas parmi les concurrents. Cela suggère que Barracuda a été moins efficace dans cette configuration contre les scénarios de spam, de phishing GenAI et d'ingénierie sociale de ce benchmark.
• La catégorie B (détection de logiciels malveillants connus via les chaînes de test EICAR, 89%) et la catégorie C (types de fichiers porteurs tels que les PDF avec JavaScript intégré, la contrebande HTML et les raccourcis LNK, 70%) sont compétitives par rapport aux autres éditeurs.
• Les résultats de Barracuda dans la catégorie J (techniques d'évasion, 44%) sont les meilleurs des trois éditeurs. Cela suggère que le moteur d'inspection de contenu sous-jacent peut gérer raisonnablement bien des fonctionnalités telles que les caractères de largeur nulle, les sujets encodés et les homoglyphes.
• Les faiblesses sont plus prononcées dans les catégories qui comptent le plus pour la protection moderne contre les menaces. Le phishing par QR code (Catégorie E, 13%), l'usurpation de marque (Catégorie F, 11%), la BEC (Catégorie G, 11%) et l'extorsion (Catégorie H, 22%) sont tous bien en dessous de la comparaison.
• Parmi les onze tests de niveau difficile, Barracuda en a bloqué un et a manqué les dix autres.

Top 3 des solutions de sécurité des emails dans le cloud

Analyse détaillée d'Acronis Advanced Email Security

Lorsque nous sélectionnons Acronis Email Security dans le menu de gauche de l'interface Acronis Cyber Protect Cloud, nous voyons l'écran suivant. Nous cliquons ensuite pour accéder à la console Email Security.

Comme nous n'avons encore effectué aucune configuration, notre tableau de bord affiche les éléments de menu :

• Incidents : Incidents de sécurité détectés et activité d'attaque.
  • Réponse aux incidents : Outils pour enquêter et répondre aux incidents.
  • Trafic : Visibilité sur les modèles de trafic d'emails ou web analysés.
  • Rapports périodiques : Rapports de sécurité et de protection planifiés.
• Opérations de sécurité : Contrôles de sécurité opérationnels et outils de surveillance.
• Configuration de la détection : Configuration des règles de détection, de l'analyse et des paramètres de protection.

Depuis le menu Paramètres à gauche, nous allons dans Actifs de messagerie protégés.

Comme il n'y a pas encore d'actifs, le système nous redirige vers le flux de configuration. Nous cliquons sur Configurer la protection des emails. Le système nous demande une adresse email d'escalade pour signaler les problèmes et nous demande quel service de messagerie nous utilisons.

Pour ce test, nous allons procéder avec un fournisseur personnalisé via MX. Nous faisons cela pour pouvoir comparer directement les éditeurs, sans être affectés par les protections intégrées de Microsoft 365 ou de Google Workspace.

Nous sélectionnons le service d'email et choisissons la méthode de connexion Inline. Cela signifie qu'Acronis analyse et bloque les emails malveillants avant leur distribution.

Nous ajoutons également un contact d'escalade qu'Acronis peut utiliser pour les problèmes de prise de contrôle de compte, de sécurité ou de connexion. L'étape suivante consiste à activer l'application Google Workspace, qui prend en charge l'intégration, le comptage précis des utilisateurs pour la facturation et les actions de remédiation, telles que la suppression des emails malveillants livrés par erreur.

Nous ajoutons le domaine connecté, aimultiple.com, et le système récupère automatiquement les enregistrements MX.

Nous définissons également la méthode de calcul des licences sur « According to Reported seats » et entrons 100 sièges. Après ces paramètres, nous procédons avec Suivant pour continuer la configuration MX.

Le système nous demande d'ajouter un enregistrement TXT pour vérifier la propriété du domaine. Nous ajoutons l'enregistrement et attendons la vérification.

Nous pouvons également gérer les serveurs de destination SMTP configurés, confirmer que TLS est activé et utiliser l'action Vérifier pour vérifier que l'enregistrement TXT a été publié correctement. Cette page nous permet également de modifier les paramètres du serveur et TLS ou de supprimer le domaine si nécessaire.

Nous avons envoyé un total de 100 emails qui pourraient être considérés comme malveillants ou spam. Le tableau de bord affiche désormais des statistiques telles que le nombre d'emails analysés, le nombre classé comme spam, le nombre classé comme malveillant et le nombre d'emails reçus par type d'attaque. Il y a aussi une statistique montrant quelles adresses email ont été attaquées le plus fréquemment.

Dans le menu Analyses, nous pouvons voir les statistiques d'analyse pour tous les emails entrants. La répartition par type de fichier est également un détail utile. De plus, dans toute l'application, nous pouvons ajuster la plage de dates en cliquant sur Dernier jour en haut de la page.

Le filtrage dans la section Analyses est très détaillé. Voici quelques-unes des options :

• Adresse/domaine/IP de l'expéditeur : Les principaux indicateurs pour identifier les expéditeurs malveillants ou usurpés.
• Nom d'affichage usurpé : Cible directement l'une des techniques de phishing les plus courantes, où le nom visible semble légitime, mais l'adresse réelle ne l'est pas.
• Adresse de réponse : Un autre signal d'alarme important pour le phishing. Lorsque l'adresse de réponse diffère de l'adresse de l'expéditeur, cela signale souvent une tentative de rediriger les réponses vers une boîte de réception contrôlée par l'attaquant.
• Action (mis en quarantaine/livré) : Essentiel pour comprendre si une menace a été interceptée ou a atteint le destinataire.
• Sujet : Pour identifier les campagnes de phishing qui utilisent des lignes de sujet identiques ou quasi identiques sur plusieurs cibles.
• Adresse du destinataire : Essentiel pour déterminer la portée d'une attaque. Montre combien d'utilisateurs ont été ciblés et si des personnes de grande valeur (cadres, finances) en faisaient partie.
• Charge utile (pièces jointes/URL) : Limite la recherche aux emails transportant les mécanismes de diffusion de logiciels malveillants les plus courants.

Lorsque nous allons dans Opérations de sécurité depuis le menu de gauche, nous atteignons la section Analyses. Depuis cet écran, nous pouvons accéder aux détails liés aux analyses. Toutes les analyses sont répertoriées ici, et nous pouvons également voir les catégorisations résultantes, telles que propre, spam et malveillant.

Lorsque nous ouvrons les détails d'un email, nous pouvons voir comment le système l'a évalué et son état actuel. Nous pouvons également changer son état en :

• Approuver le verdict (Traiter) : Accepter le verdict actuel et traiter l'email en conséquence.
• Marquer l'email comme restreint : Classer l'email comme restreint ou en violation de la politique.
• Marquer l'email comme Spam : Classer l'email comme indésirable ou non sollicité.
• Marquer l'email comme Suspect : Signaler l'email comme potentiellement risqué et nécessitant de la prudence.
• Marquer l'email comme Propre (FP) : Marquer l'email comme sûr et indiquer qu'il s'agissait d'un faux positif.

La vue ci-dessous est la vue compacte. Lorsque nous cliquons sur l'onglet Détail dans le coin supérieur droit, nous pouvons voir de nombreux détails supplémentaires.

Dans la vue compacte, nous pouvons voir les détails d'analyse d'un email de phishing malveillant qui a été mis en quarantaine par Acronis. Il comprend un résumé généré par l'IA expliquant pourquoi l'email est considéré comme malveillant et montrant des indicateurs tels qu'un domaine d'expéditeur suspect, un comportement de bombardement d'emails et une URL risquée. Dans la section Détails, nous pouvons vérifier le canal, l'action entreprise, l'heure d'analyse, le temps de traitement, l'organisation et le statut IR.

Dans l'Inspecteur d'emails, nous pouvons examiner les métadonnées du message, y compris le sujet, l'expéditeur, le destinataire, l'heure, le chemin de retour et l'IP source. Le corps de l'email est également affiché, afin que nous puissions évaluer directement la tentative d'ingénierie sociale.

Les critères d'évaluation des incidents sont clairs et transparents. Pour un incident, nous pouvons également cliquer sur le bouton Demander une enquête, sélectionner « Je pense que cet email est propre » et l'envoyer à l'équipe Acronis pour examen. Nous pouvons consulter les analyses précédentes liées au même email.

Avec le bouton Captures d'écran, nous pouvons voir la version rendue de l'email, ce qui est une fonctionnalité utile. Notamment, le système ne rend pas l'email en HTML dans le navigateur, de sorte qu'aucune vulnérabilité non détectée dans l'email ne peut déclencher une brèche pendant l'examen.

Toutes les actions des utilisateurs peuvent être journalisées, et nous pouvons consulter ces enregistrements dans le Journal d'audit depuis le menu de gauche. Certains de ces enregistrements sont :

• Voir les captures d'écran d'analyse
• Traiter l'analyse
• Action UI

Chaque journal enregistre l'horodatage, l'action, la description, l'administrateur ou l'équipe, l'organisation cible et l'email ou l'objet cible associé.

Dans Configuration de la détection dans le menu de gauche, nous pouvons gérer en détail les listes d'autorisation et les listes de blocage, ce qui est une fonctionnalité très utile :

• Liste d'autorisation d'adresse email/domaine de l'expéditeur : Les emails provenant d'adresses ou de domaines sur cette liste sont toujours considérés comme fiables et contourneront les filtres de spam/menaces. Cela peut être utile pour mettre sur liste blanche les partenaires connus ou les systèmes internes qui pourraient autrement déclencher des faux positifs.
• Liste d'autorisation d'adresse email du destinataire : Spécifie les adresses de destinataires internes qui doivent recevoir tous les courriers entrants sans filtrage. Cela garantit que certains utilisateurs (par exemple, une boîte de réception globale) reçoivent toujours les emails, même d'expéditeurs inconnus.
• Liste de blocage d'adresse email/domaine de l'expéditeur : Les emails provenant d'adresses ou de domaines sur cette liste sont automatiquement rejetés ou mis en quarantaine. Elle peut être utilisée pour bloquer définitivement les sources de spam connues, les domaines malveillants ou les expéditeurs de masse indésirables.
• Liste d'autorisation d'IP de l'expéditeur : Les serveurs de messagerie avec des IP sur cette liste sont considérés comme fiables, et leurs emails évitent les vérifications de réputation basées sur l'IP. Peut être utilisé pour les services de messagerie tiers de confiance ou les relais de messagerie sur site.
• Liste de blocage d'IP de l'expéditeur : Les connexions provenant de ces IP sont bloquées, quelle que soit l'adresse de l'expéditeur. Cela peut être efficace contre les serveurs de messagerie malveillants connus ou les infrastructures compromises.

• Liste d'autorisation d'URL : Les liens correspondant à ces URL ou domaines dans le corps des emails sont considérés comme sûrs et ne seront pas signalés.
• Liste de blocage d'URL : Les emails contenant ces URL sont signalés, bloqués ou mis en quarantaine.
• Liste d'autorisation de hachage : Les pièces jointes correspondant à ces hachages cryptographiques sont traitées comme sûres et passent sans alerte d'analyse.
• Liste de blocage de hachage : Les pièces jointes dont le hachage correspond à une entrée de cette liste sont bloquées immédiatement. Cela fournit un blocage précis, basé sur les signatures, des fichiers malveillants connus, même s'ils sont renommés ou déguisés.

Certaines des fonctionnalités qui méritent d'être mentionnées, mais que nous n'avons pas spécifiquement testées, sont :

Sous configuration de la détection :

• Renseignement sur les menaces : Récupère des indicateurs provenant de sources externes de renseignement sur les menaces. Cette fonctionnalité aide à détecter les logiciels malveillants courants généralisés, les URL malveillantes et les campagnes d'attaque actives.
• Bannières : Ajoute des bannières personnalisables aux emails entrants en fonction des politiques et des règles.
• Utilisateurs VIP : Permet aux administrateurs de maintenir une liste d'utilisateurs de grande valeur (cadres, personnel financier, etc.).

Sous opérations de sécurité :

Prise de contrôle de compte (ATO) : Détecte les boîtes mail Microsoft 365 compromises. La fonctionnalité est conçue pour attraper les attaquants qui utilisent des comptes piratés pour la fraude, le phishing interne et l'exfiltration de données.

Le moteur signale les règles de boîte aux lettres suspectes (transfert, redirection, déplacement ou suppression d'emails), les connexions de voyage impossible et les connexions depuis des emplacements ou des appareils inhabituels. Lorsqu'il repère l'un de ces signaux, il ouvre un dossier dans la console, et l'équipe de réponse aux incidents contacte l'administrateur pour enquêter ensemble.

Analyse détaillée de Sophos Email Security

Pour commencer avec Sophos, nous créons un lien d'essai et sommes dirigés vers l'écran suivant. Comme Barracuda, Sophos nous demande de sélectionner une région.

Le système demande ensuite quel produit nous voulons installer. Nous sélectionnons Email Security. D'autres produits pouvant être configurés incluent Endpoint Protection, Server Protection, Phish Threat, DNS Protection, Zero Trust Network Access, Protected Browser, Mobile, Wireless, Device Encryption, Firewall Management, Cloud Optix et Switches.

Nous allons envoyer 100 emails, et l'image ci-dessous montre le tableau de bord. Il comprend des statistiques telles que le nombre total d'emails entrants analysés, les menaces potentielles et les types de menaces détectés. Il existe également des statistiques pour les emails sortants, mais nous ne testons pas la sécurité des emails sortants dans ce benchmark.

Nous pouvons également voir d'autres éléments du tableau de bord tels que les tendances de l'activité des emails, les résumés des menaces et les indicateurs d'état de sécurité.

Nous avons cliqué sur Configurer les paramètres de la passerelle de messagerie. Le système nous demande de vérifier notre domaine. Ensuite, nous observons un paramètre utile dans lequel nous pouvons choisir entrant uniquement ou à la fois entrant et sortant. Il vérifie également les emails sortants pour prévenir les problèmes de sécurité.

Le système affiche l'enregistrement DNS que nous devons entrer. Nous l'ajoutons ensuite et continuons.

Nous ajoutons l'enregistrement TXT au DNS public du domaine. La valeur TXT est un jeton de vérification de domaine Sophos, et le TTL est défini sur 600. Après avoir ajouté l'enregistrement DNS, nous attendons la propagation, puis cliquons sur Vérifier pour que Sophos puisse confirmer que nous possédons le domaine.

Nous avons ajouté l'enregistrement et vérifié notre domaine. Pour la destination entrante, nous avons sélectionné MX et entré l'enregistrement MX Google Workspace : aspmx.l.google.com.

Comme Barracuda, Sophos nécessite un routage MX. Contrairement à Sophos et Barracuda, Acronis a géré ce processus proprement via une API, et nous n'avons pas eu besoin de modifier les paramètres. Ces types de changements de configuration MX ou similaires peuvent causer des problèmes aux administrateurs système. Cependant, à des fins de test, nous passons à l'étape suivante.

Nous avons terminé les paramètres MX et envoyé un email de test, mais il n'est pas passé. Après quelques recherches, nous avons vu que l'erreur était : « Cette adresse email est introuvable », ce qui était inattendu.

Nous devons aller dans le panneau, ouvrir la section Boîtes aux lettres depuis le menu de gauche, et ajouter manuellement les utilisateurs un par un. C'est un problème d'utilisabilité qui nuit à l'expérience globale, car Acronis et Barracuda ont fonctionné immédiatement. Pour le test, nous avons ajouté notre propre adresse email et continué les tests via ce compte.

La section des rapports se trouve dans le menu de gauche. Voici quelques-uns des rapports que nous pouvons créer :

• Résumé des messages : Volume global et statut des emails.
• Rapport d'analyse SophosLabs : Verdicts des messages signalés par l'utilisateur/l'administrateur.
• Résumé des menaces Intelix : Analyse des menaces pour les emails entrants.
• Résumé du moment du clic : Rapport d'activité de clic sur les liens.
• Utilisateurs à risque : Employés les plus vulnérables.
• Résumé du contrôle des données : Correspondances de politique de perte de données.
• Résumé post-distribution : Emails supprimés après distribution.
• Résumé de l'utilisation des licences : Utilisation des licences de sécurité des emails.

Lorsque nous allons dans Email Security > Historique des messages, nous pouvons voir tous les emails entrants et comment chacun a été classé. Ce rapport d'historique des messages répertorie les emails individuels traités par Sophos Email Security. Quelques champs clés sont :

• Expéditeur : De qui l'email semblait provenir.
• Destinataires : Qui a reçu le message.
• Type : Comment l'email est entré dans le système, généralement Passerelle.
• Sujet : La ligne de sujet de l'email.
• Dernier statut : Ce que Sophos en a fait, comme Livré, Supprimé ou Mis en quarantaine.
• Date : Quand l'email a été traité.
• Catégorie : La classification de Sophos, telle que Légitime, Spam, Logiciel malveillant, Menace Intelix ou Authentification.

Quelques exemples des catégories sont :

• Légitime : Emails normaux qui ont été autorisés à passer.
• Spam : Emails suspects ou indésirables ; beaucoup sont mis en quarantaine.
• Logiciel malveillant : Emails dangereux contenant du contenu malveillant ; ceux-ci sont supprimés.
• Menace Intelix : Emails analysés par Sophos Intelix qui ont été jugés suspects ou menaçants.
• Mis en quarantaine : L'email a été bloqué et placé en quarantaine pour examen.
• Supprimé : L'email a été supprimé au lieu d'être livré.

Les filtres ci-dessous permettent aux utilisateurs d'affiner le journal des emails par catégorie de message :

• Légitime : Emails normaux autorisés.
• Message sécurisé : Emails chiffrés ou protégés.
• Contrôle des données : Emails correspondant aux règles de perte de données/sécurité.
• Échec d'authentification : Échec des vérifications SPF, DKIM ou DMARC.
• Usurpation : Usurpation possible de l'expéditeur ou fraude d'identité.
• Bulk : Marketing de masse ou emails automatisés.
• Spam : Emails indésirables ou suspects.
• URL/QR Code : Emails avec des liens ou des QR codes risqués.
• Menace Intelix : Emails signalés par l'analyse des menaces Sophos.
• Non analysable : Emails que Sophos n'a pas pu inspecter complètement.
• Logiciel malveillant : Emails contenant des fichiers ou du contenu malveillant.
• Bloqué par l'entreprise : Emails bloqués par la politique de l'entreprise.

Le menu Boîtes aux lettres montre les boîtes aux lettres surveillées. En ouvrant une boîte aux lettres, nous pouvons sélectionner les politiques à appliquer. Sous Politique de base – Email Security, les paramètres suivants sont disponibles :

L'authentification comprend des vérifications d'authentification des emails pour les messages entrants. Nous pouvons configurer la façon dont Sophos gère les échecs DMARC, SPF et DKIM, y compris des actions telles que se conformer à la politique de l'expéditeur ou marquer la ligne de sujet avec un avertissement.

Elle comprend également des vérifications de l'expéditeur pour les anomalies d'en-tête et les anomalies de domaine, qui aident à détecter les emails qui semblent provenir de votre propre domaine ou de domaines suspects sans enregistrements DNS appropriés. Nous pouvons également activer des bannières pour l'utilisateur final afin de montrer aux destinataires le niveau de confiance des messages entrants et nous aider à décider d'autoriser ou de bloquer les expéditeurs.

L'anti-malware gère l'analyse anti-malware entrante pour les messages électroniques. Nous pouvons choisir l'action par défaut pour les détections de logiciels malveillants, comme Supprimer, et activer l'analyse améliorée des logiciels malveillants pour une analyse plus approfondie du contenu et des fichiers.

Il permet également le contrôle des emails non analysés et l'analyse des menaces Intelix, où Sophos peut utiliser l'analyse statique et dynamique pour classer les messages suspects. Sur la base du verdict, nous pouvons définir des actions telles que supprimer, livrer ou traiter différemment les emails malveillants et suspects.

L'anti-spam gère la façon dont Sophos traite le spam et les emails en masse. Nous pouvons définir des actions pour des catégories comme Spam confirmé et Bulk, y compris la mise en quarantaine des messages et décider s'ils apparaissent dans la quarantaine de l'utilisateur final.

Il comprend également un curseur de taux de capture de spam personnalisable, où des niveaux plus élevés augmentent l'agressivité de la détection du spam.

Nouveau domaine/expéditeur comprend des protections pour les domaines nouvellement enregistrés et les nouveaux expéditeurs. Nous pouvons activer les vérifications pour les emails envoyés depuis des domaines récemment créés, qui sont souvent utilisés dans les campagnes de phishing.

Il permet également d'afficher une bannière Nouvel expéditeur lorsqu'un destinataire n'a pas encore reçu d'emails de cet expéditeur.

Le pays d'origine permet de contrôler les emails en fonction du pays de l'expéditeur. Des pays spécifiques peuvent être sélectionnés dans une liste, et les emails correspondants peuvent être mis en quarantaine ou autrement traités conformément à la politique.

Il existe également une option pour vérifier chaque saut de message, ce qui aide à inspecter l'itinéraire qu'un email a emprunté avant d'atteindre le destinataire.

La langue gère le filtrage par langue du message. Nous pouvons sélectionner des langues spécifiques que nous voulons interdire et choisir l'action que Sophos doit entreprendre, comme la mise en quarantaine des messages correspondants.

La fonction de protection contre l'usurpation permet des vérifications pour les tentatives d'usurpation de VIP, de marque et générales.

Pour la protection des URL et des QR codes, nous pouvons vérifier les emails à la recherche d'URL et de QR codes malveillants. Sophos peut analyser les liens et extraire les URL des QR codes pour détecter les menaces avant que les utilisateurs n'interagissent avec eux.

Il gère également la protection des URL au moment du clic, où les liens sont réécrits et vérifiés lorsque l'utilisateur clique dessus.

Dans le menu de gauche, la section Messages en quarantaine affiche tous les emails dans lesquels une menace a été détectée. Nous pouvons filtrer par :

• Anti-malware : Emails signalés lors de l'analyse des logiciels malveillants. Cela inclut les messages avec des pièces jointes dangereuses, du contenu malveillant ou des éléments que Sophos n'a pas pu inspecter complètement :
  • Logiciel malveillant : Emails confirmés comme contenant des fichiers, des liens ou du contenu malveillant. Ceux-ci sont généralement supprimés ou mis en quarantaine.
  • Non analysable : Emails que Sophos n'a pas pu inspecter correctement, par exemple, en raison de chiffrement, de corruption, de pièces jointes protégées par mot de passe ou de types de fichiers non pris en charge.
• Anti-spam : Emails qui sont classés par les règles de détection de spam :
  • Bulk : Emails envoyés en masse tels que des newsletters, des campagnes marketing ou des notifications automatisées.
  • Spam confirmé : Emails identifiés avec confiance comme spam. Ceux-ci sont généralement mis en quarantaine ou bloqués.
  • Spam suspecté : Emails qui semblent suspects mais ne sont pas confirmés comme spam. Ils peuvent être mis en quarantaine, marqués ou livrés selon la politique.
  • Usurpation : Emails qui peuvent prétendre provenir d'une personne de confiance, d'une marque, d'un domaine ou d'un expéditeur interne.
  • Pays non autorisé : Emails bloqués ou mis en quarantaine parce qu'ils proviennent d'un pays restreint par la politique.
  • Langue non autorisée : Emails bloqués ou mis en quarantaine parce que leur langue détectée n'est pas autorisée par la politique.
  • BATV : Emails liés à la validation de l'étiquette d'adresse de rebond, utilisée pour aider à détecter les messages de rebond falsifiés ou le spam de rétrodiffusion.
  • Nouveau domaine/NRD : Emails provenant de domaines nouvellement enregistrés, qui sont souvent utilisés dans le phishing ou les campagnes d'attaque de courte durée.

• Authentification : Emails filtrés sur la base de vérifications d'authentification de l'expéditeur telles que les échecs SPF, DKIM ou DMARC.

Lorsque nous cliquons sur un email, nous pouvons voir les messages expliquant pourquoi il a été mis en quarantaine. Nous pouvons le supprimer et bloquer l'expéditeur, libérer le message de la quarantaine, ou le libérer et autoriser les messages similaires à l'avenir.

Dans la section En-tête brut, nous pouvons voir toutes les informations d'en-tête de l'email. Nous pouvons également voir ses pièces jointes et les URL contenues dans le message. Cela n'a pas semblé suffisamment détaillé dans notre évaluation. Acronis et Barracuda ont fourni une expérience plus complète et informative à cet égard.

Dans l'onglet Message, nous pouvons voir le contenu de l'email tel quel, ce qui peut être dangereux. Il serait préférable de pouvoir voir le contenu de l'email sous forme de capture d'écran, comme nous l'avons observé chez Acronis.

Il y a 23 emails ici parce que ceux-ci ont été marqués comme spam, tandis que certains autres ont été directement rejetés. En bref, le système met en quarantaine les emails marqués comme spam.

Lorsque nous voulons exporter tous les emails entrants, nous ne pouvons pas le faire directement depuis les écrans de rapport. Nous devons créer un rapport personnalisé à partir des Journaux d'emails, puis l'ouvrir, sélectionner Générer un rapport, choisir CSV, et enfin tout exporter en CSV. Ce flux de travail semble inutilement indirect et peu convivial.

Analyse détaillée de Barracuda Email Protection

Après avoir obtenu un essai de Barracuda, nous avons navigué vers le panneau, cliqué sur Ouvrir pour Email Protection, et continué.

Sous Disponible dans votre essai, nous pouvons voir les principaux produits inclus :

• Protection des emails : Prévention des menaces par email, sécurisation des emails avant et après distribution, et automatisation de la réponse aux incidents par email.
• Sauvegarde cloud-to-cloud : Sauvegarde des données Microsoft 365.
• Inspecteur de données : Trouve les données sensibles et les logiciels malveillants non détectés dans OneDrive et SharePoint.
• Formation à la sensibilisation à la sécurité : Forme les employés aux menaces de sécurité par email.
• Service d'archivage cloud : Applique la rétention des emails pour la conformité et l'e-discovery.

Comme nous n'avions pas encore configuré de domaines ou de paramètres associés, le système nous a emmenés directement à l'assistant de configuration, ce qui est une fonctionnalité utile pour configurer les paramètres de messagerie.

Lorsque nous avons cliqué sur Suivant, le système nous a obligés à connecter un compte Microsoft 365. Cependant, nous utilisons Google Workspace et évaluons le service pour cet environnement.

Nous avons découvert plus tard que Barracuda prend en charge Google Workspace. Nous avons continué avec la configuration standard.

Le système nous a demandé de sélectionner une région de données. C'est une fonctionnalité importante pour la conformité GDPR, nous avons donc sélectionné Allemagne et continué.

Barracuda nous a ensuite demandé d'entrer une adresse email appartenant à notre domaine et de vérifier nos enregistrements MX. Nous avons cliqué sur le bouton de vérification et n'avons effectué aucune action supplémentaire. Le système a vérifié les enregistrements avec succès.

Au cours des étapes ultérieures de notre configuration, nous avons constaté que Barracuda manquait d'une intégration native avec Google Workspace. Au lieu de cela, il nous a donné de nouveaux enregistrements MX pour remplacer ceux existants. Lorsque nous mettons à jour ces enregistrements MX, les emails entrants semblent d'abord atteindre Barracuda.

Barracuda filtre ensuite les emails inappropriés et transfère ceux qui sont acceptables. Exiger des changements d'enregistrement MX pour l'intégration de Google Workspace est une mauvaise approche.

Après cela, nous avons mis à jour les enregistrements MX et les avons vérifiés. Nous avons terminé la configuration et commencé à envoyer des emails.

Pendant l'envoi des emails, nous avons observé que Barracuda rejetait certaines requêtes SMTP et refusait certaines pièces jointes. Lorsque nous avons effectué le même test avec Acronis, tous les emails ont été livrés et visibles dans le système. Ici, Barracuda rejette certains emails avant qu'ils n'apparaissent dans le tableau de bord.

Bien qu'il les rejette parce qu'ils sont véritablement malveillants, nous perdons la visibilité à la suite de ce processus automatisé. En d'autres termes, nous pourrions même ne pas savoir si une attaque est arrivée et a été rejetée. C'est un défi pour l'utilisation de Barracuda pour la sécurité des emails, car la visibilité est primordiale dans les contextes de sécurité. Si un produit rejette arbitrairement des incidents et les rend invisibles, cela nuit à l'équipe de sécurité.

Malgré ces défis, tous les emails de test ont été envoyés. Dans le tableau de bord Barracuda, nous sommes dirigés vers l'écran Journal des messages, où tous les emails analysés sont répertoriés.

La section Journal des messages comprend une zone de filtrage en haut. Voici les options de filtrage :

• Recherche : Recherche textuelle parmi les messages, les destinataires, les expéditeurs et d'autres champs.
• Domaines : Filtre les résultats par le domaine sélectionné.
• Direction : Filtre par direction de l'email ; Entrant ou Sortant.
• Plage de date/heure : Limite les résultats à une fenêtre temporelle spécifique.
• Action entreprise : Filtre par l'action entreprise, par exemple, Autorisé, Bloqué, Différé.
• Statut de livraison : Filtre selon que l'email a été livré, a échoué, mis en quarantaine, etc.
• Raison : Filtre par la raison de détection qui a déclenché une action (par exemple, Score, DMARC, Antivirus, Contenu protégé).
• Résultats : Contrôle nombre d'enregistrements affichés par page.

Nous pouvons le signaler comme incorrectement classé. Par exemple, l'email ci-dessous est sûr mais incorrectement classé comme dangereux. Nous avons signalé l'email comme sûr.

L'email ci-dessous est bloqué, mais le tableau de bord ne fournit aucun détail supplémentaire. Par conséquent, Barracuda est insuffisant dans ce domaine. Il serait plus utile de pouvoir voir plus d'informations sur la raison pour laquelle le message est bloqué, en plus du score de blocage.

Dans la section Domaines à gauche, nous pouvons afficher, ajouter et supprimer les domaines que nous souhaitons inclure dans la protection des emails, ce qui sont des fonctions standard.

Dans le menu Entrant à gauche, Barracuda fournit les filtres utilisés pour ces contrôles. Nous pouvons configurer ces filtres.

Par exemple, sous les paramètres Anti-spam/antivirus, nous pouvons configurer :

• Utiliser la liste de blocage de réputation Barracuda : Vérifie le courrier entrant par rapport à la base de données Barracuda des expéditeurs malveillants connus. Peut être défini sur Block, Quarantaine ou Désactivé.
• Analyser les emails pour les virus : Active ou désactive l'analyse antivirus sur tous les emails entrants.
• Utiliser le système en temps réel Barracuda : Croise les emails avec le flux de renseignement sur les menaces en direct de Barracuda. Peut être bloqué, mis en quarantaine ou désactivé. Envoie éventuellement le contenu suspect à Barracuda Central pour une analyse plus approfondie.
• Activer cloudscan : Délègue la notation du spam au moteur cloud de Barracuda. Les scores vont de 1 à 10 ; les emails dépassant le seuil déclenchent l'action configurée.
• Catégorisation des emails : Classe les emails entrants par type et applique une action par catégorie. Les catégories incluent Email d'entreprise, Email transactionnel, Marketing Matériel et Newsletters, Listes de diffusion et Médias sociaux, chacun réglé indépendamment sur Autoriser, Quarantaine, Block ou Désactivé.
• Détection des emails en masse : Détecte et agit sur les emails en masse/envoyés en masse. Lorsqu'il est défini sur Désactivé, les emails en masse ne sont pas filtrés séparément.
• Exemptions pour les emails en masse : Permet à des adresses email ou des domaines spécifiques de contourner la détection des emails en masse, défini par expéditeur ou destinataire.

Les pages de limitation de débit définissent le nombre d'emails qu'une adresse IP d'expéditeur peut envoyer dans chaque période de 30 minutes, ce qui est un paramètre utile. Cela peut empêcher les abus d'emails et les attaques soudaines à haut volume depuis une seule IP d'expéditeur.

En limitant le nombre d'emails qu'une adresse IP peut envoyer dans une période de 30 minutes, le système peut réduire l'impact de :

• Campagnes de spam
• Rafales de phishing
• Distribution de logiciels malveillants
• Comptes d'expéditeurs ou serveurs compromis
• Inondation d'emails de type déni de service

Sur la page Liste blanche/Liste noire d'IP, nous pouvons contourner l'analyse pour les emails provenant d'adresses IP spécifiques ou les bloquer directement.

Dans les politiques régionales, nous pouvons appliquer le blocage géographique ou la liste blanche. Nous pouvons également bloquer ou autoriser les emails en fonction de la langue du contenu.

Dans les politiques de destinataires, nous pouvons configurer des règles d'analyse ou de contournement basées sur l'adresse email du destinataire.

Barracuda fournit également des politiques similaires pour les expéditeurs. Nous pouvons appliquer des exceptions basées sur l'expéditeur.

Il existe également un tableau de bord où nous pouvons définir des exceptions basées sur des contrôles de sécurité des emails standard tels que DMARC, DKIM et SPF.

Dans les politiques de contenu, nous pouvons configurer s'il faut analyser ou contourner les emails en fonction du nom de fichier ou du type de fichier. Nous pouvons également définir des règles d'analyse ou de contournement basées sur le contenu du corps du message en utilisant des expressions régulières.

Barracuda fournit la protection avancée contre les menaces en tant qu'abonnement en plus de l'analyseur de virus standard. La protection avancée contre les menaces (ATP) est un service d'analyse basé sur le cloud qui analyse les pièces jointes des emails dans un environnement cloud sécurisé pour détecter les menaces que les analyseurs de virus standard pourraient manquer. Elle s'applique aux messages entrants et prend en charge la plupart des types de fichiers MIME.

Il existe trois modes dans ATP :

1. Livrer d'abord, puis analyser tente d'analyser la pièce jointe en temps réel à l'arrivée de l'email. Si l'analyse se termine à temps et qu'une menace est détectée, l'email est bloqué. Si l'analyse ne se termine pas à temps, l'email est livré immédiatement sans attendre le résultat. L'analyse continue de s'exécuter en arrière-plan, et si une menace est détectée par la suite, le destinataire est averti, mais l'email a atteint sa boîte de réception. Cela signifie que le destinataire pourrait ouvrir une pièce jointe infectée avant que la menace ne soit identifiée.
2. Analyser d'abord, puis livrer analyse la pièce jointe avant la livraison. Si une menace est détectée, l'email est bloqué. S'il est propre, il est livré. Les emails en attente d'analyse apparaissent dans le journal des messages avec « Analyse en attente » comme raison. Si un message reste différé pendant plus de quatre heures, il est mis en quarantaine. Ce mode est plus sécurisé mais peut retarder la livraison.
3. Désactivé : ATP est entièrement désactivé.

Le compromis clé ici est entre la vitesse et la sécurité. « Livrer d'abord » donne la priorité à la vitesse de livraison mais introduit une fenêtre de risque. « Analyser d'abord » élimine ce risque mais peut retarder ou différer les messages avec des pièces jointes.

Dans la section Rapports, Barracuda crée des rapports détaillés sur la sécurité des emails :

• Résumé du trafic entrant/sortant : Aperçu de toute l'activité des emails entrants et sortants, ventilé par différé, bloqué, mis en quarantaine et autorisé.
• Répartition des emails entrants bloqués : Répartition détaillée des raisons pour lesquelles les emails entrants ont été bloqués.
• Principaux expéditeurs/destinataires d'emails entrants : Affiche les expéditeurs/destinataires les plus fréquents d'emails entrants.
• Répartition des principaux expéditeurs bloqués entrants : Répertorie les expéditeurs dont les emails sont le plus fréquemment bloqués, avec justification.
• Répartition des principaux destinataires bloqués entrants : Affiche les destinataires internes les plus fréquemment ciblés par des emails bloqués.
• Principaux expéditeurs d'emails sortants : Aperçu des utilisateurs internes envoyant le plus grand volume d'emails sortants.
• Principaux expéditeurs bloqués sortants : Affiche les utilisateurs internes dont les emails sortants sont le plus fréquemment bloqués.

De plus, nous pouvons planifier des rapports automatisés, ce qui est une fonctionnalité utile. Au lieu de se connecter régulièrement pour vérifier les tableaux de bord, nous pouvons recevoir des résumés réguliers des menaces, des messages en quarantaine, des tendances de spam, des détections de logiciels malveillants, des tentatives d'usurpation, des actions de politique et des risques utilisateur. Les rapports planifiés peuvent également aider les utilisateurs à identifier les modèles tôt, comme une augmentation des emails de phishing, des attaques répétées contre des utilisateurs spécifiques ou une augmentation des pièces jointes malveillantes bloquées.

Le menu Syslog à gauche nous permet de transférer tous ces enregistrements vers un serveur de journaux de notre choix. C'est une fonctionnalité utile pour les intégrations SIEM.

Dans l'ensemble, le produit offre un large éventail de fonctionnalités, mais il est moins performant dans la détection des menaces. Une partie importante de la configuration est laissée à l'utilisateur, ce qui soulève la question de savoir si la valeur ajoutée justifie les frais généraux, en particulier pour les organisations qui utilisent Google Workspace ou Microsoft 365 Compliance Center.

Fonctionnalités clés des solutions de sécurité des emails dans le cloud

Les solutions de sécurité des emails dans le cloud analysent le comportement des utilisateurs, détectent les anomalies contextuelles, automatisent la réponse et la remédiation aux menaces, et s'intègrent à l'écosystème de sécurité plus large. Les fonctionnalités clés incluent :

Détection des menaces alimentée par l'IA

Les systèmes de sécurité des emails dans le cloud analysent le contexte du message, l'historique de l'expéditeur et l'intention pour signaler les attaques de phishing et les tentatives d'usurpation qui semblent légitimes en surface. Cela inclut l'identification de signes subtils tels que les sosies de domaine ou les modèles de timing inhabituels.

En suivant les habitudes de communication normales, ces systèmes peuvent détecter des anomalies, comme un employé des finances recevant soudainement des demandes de paiement urgentes d'un nouvel expéditeur externe. Cette approche est particulièrement importante pour détecter la compromission des emails professionnels (BEC), où il n'y a pas de logiciel malveillant à analyser et aucun signal d'alarme évident.

Architecture de protection multicouche

Les plateformes de sécurité des emails dans le cloud combinent plusieurs couches d'inspection pour attraper les menaces qui échappent à un seul contrôle.

• L'analyse statique vérifie les indicateurs connus, tandis que le sandboxing dynamique observe le comportement des pièces jointes dans un environnement contrôlé.
• L'inspection des URL joue également un rôle clé, en particulier pour identifier les liens malveillants qui s'activent après la livraison.
• Les protocoles d'authentification tels que SPF, DKIM et DMARC aident à valider l'identité de l'expéditeur, réduisant ainsi le risque d'usurpation.

Together, ces couches créent un système où chaque composant compense les limitations des autres.

Protection contre les menaces émergentes

Les attaquants s'appuient de plus en plus sur la tromperie plutôt que sur les exploits techniques. Les tactiques d'ingénierie sociale sont conçues pour pousser les utilisateurs à prendre des décisions rapides, imitant souvent les cadres ou les fournisseurs de confiance.

Cela inclut des campagnes ciblées telles que le spear phishing, dans lesquelles les messages sont adaptés à un individu ou un rôle spécifique. Des scénarios plus avancés impliquent des messages vocaux deepfake ou des tentatives de fraude à la facture.

Ces menaces avancées ne reposent pas sur des fichiers malveillants. Au lieu de cela, elles exploitent la confiance, rendant la détection dépendante du contexte et de l'intention plutôt que des signatures.

Détection en temps réel et réponse automatisée

Une fois qu'un message malveillant atteint une boîte de réception, la fenêtre de dommages est limitée. Les systèmes de sécurité analysent les emails à leur arrivée et agissent immédiatement lorsqu'une menace est confirmée.

L'automatisation réduit la charge des équipes de sécurité en supprimant les messages dangereux dans toutes les boîtes aux lettres affectées, même après la livraison. Cela limite la propagation des attaques qui reposent sur le transfert interne ou les chaînes de réponse.

Les workflows de réponse peuvent également déclencher des actions plus larges, telles que l'isolement des comptes ou la mise à jour des règles de détection basées sur de nouveaux renseignements.

Surveillance continue et protection post-distribution

Le filtrage initial ne détecte pas tout. Les techniques d'attaque évoluent, et certaines menaces sont reconnues après l'apparition de nouveaux indicateurs.

• La surveillance continue permet aux systèmes de revoir les messages livrés et de supprimer les menaces nouvellement identifiées. Ceci est essentiel pour les attaques qui utilisent des charges utiles différées ou une livraison échelonnée.
• La remédiation post-distribution garantit que les emails précédemment manqués ne restent pas dans les boîtes de réception une fois qu'ils sont classés comme malveillants.

Continuité et résilience des emails

La sécurité ne consiste pas seulement à bloquer les menaces. La disponibilité compte également. Si l'accès aux emails est perturbé, les opérations commerciales peuvent s'arrêter.

Les fonctionnalités de continuité basées sur le cloud fournissent un accès de secours pendant les pannes et prennent en charge la récupération rapide des messages et des comptes. Cela garantit que la messagerie professionnelle reste disponible même pendant les perturbations de service ou les attaques.

Capacités différenciatrices des plateformes de sécurité des emails dans le cloud

Sécurité centrée sur l'utilisateur (couche humaine)

De nombreux incidents commencent par une action de l'utilisateur. C'est pourquoi les plateformes modernes de sécurité des emails incluent des outils qui guident le comportement plutôt que de s'appuyer uniquement sur le filtrage.

• Les bannières d'avertissement contextuelles peuvent alerter les utilisateurs lorsqu'un message semble suspect.
• La formation devient également plus adaptative. Au lieu de simulations génériques, les utilisateurs reçoivent des conseils adaptés à leurs modèles d'interaction.

Sécurité unifiée et intégration de plateforme

L'email n'existe pas isolément. Il fait partie d'un environnement plus large qui inclut les terminaux, les identités et les applications. L'intégration avec les systèmes de terminaux et d'identité permet des réponses coordonnées. Par exemple, si un email conduit à un vol d'identifiants, le système peut déclencher des actions au-delà de la boîte de réception.

Les tableaux de bord centralisés donnent aux équipes une vue plus claire de leur posture de sécurité globale, réduisant les problèmes de communication entre les outils.

Protection des données, chiffrement et conformité

L'email transporte souvent des contrats, des détails financiers et d'autres données sensibles. La protection de ces informations nécessite plus que la détection des menaces.

• Le chiffrement garantit que les messages restent privés en transit et au repos. Les politiques de prévention des pertes de données aident à empêcher le partage non autorisé, qu'il soit accidentel ou intentionnel.
• Les fonctionnalités de conformité prennent en charge les exigences réglementaires, y compris les pistes d'audit et les politiques de conservation. Ceci est particulièrement pertinent pour les organisations qui opèrent au-delà des frontières et traitent des données soumises à des règles légales ou sectorielles strictes.

Ne manquez pas nos benchmarks et analyses basées sur les données. Le bouton ouvre Google ; sélectionner AIMultiple confirme que vous souhaitez voir AIMultiple plus souvent dans les résultats de recherche Google.

Ajouter comme source préférée

Méthodologie du benchmark de sécurité des emails dans le cloud

Nous avons évalué trois produits de sécurité des emails : Acronis Advanced Email Security (propulsé par Perception Point), Sophos Email Security et Barracuda Email Protection.

Le benchmark comprenait 100 tests de bout en bout et a suivi quatre principes.

1. Axé sur la couverture : Chaque test correspond à une capacité que l'éditeur affirme publiquement fournir.
2. Pondéré par la difficulté : Manquer un test simple de 1/10 signale une lacune grave du produit. Manquer un test de 9/10 est plus compréhensible car ces cas reflètent des problèmes de détection de niveau expert. La méthode de notation sépare ces cas plutôt que de traiter tous les échecs de manière égale.
3. Reproductible : Le benchmark est exécuté avec un harnais de test PHP autonome et vérifié par une suite de vérification séparée. Avant l'envoi de tout email de test, le vérificateur effectue plus de 1 800 vérifications pour confirmer que les charges utiles de test sont complètes, valides et correctement configurées.
4. Éthique : Les tests de logiciels malveillants utilisent la chaîne de test antivirus EICAR. Les URL de phishing pointent vers une infrastructure canarienne inerte ou inexistante. Toutes les boîtes aux lettres de test appartiennent à l'équipe de test.

Nous avons sélectionné les tests de manière à ce que les affirmations publiques de chaque éditeur soient exercées au moins une fois. La priorité était de tester les menaces que les trois éditeurs prétendent détecter, ce qui maintient la comparaison directe équitable. Nous avons également inclus un plus petit nombre de cas spécifiques aux éditeurs lorsqu'ils étaient pertinents. Par exemple, le détournement de conversation est une affirmation centrale de Barracuda, la détection de phishing par QR code est explicitement revendiquée par Acronis Advanced Email Security, et les leurres GenAI de type deepfake sont le plus souvent promus par les éditeurs axés sur l'IA.

Le benchmark est organisé en onze catégories. Chaque catégorie teste un mécanisme de détection différent. Le nombre de tests est indiqué entre parenthèses, avec 100 tests au total.

Catégorie A : Spam (9 tests)

Cette catégorie couvre les publicités pharmaceutiques en masse, les emails de pump-and-dump de cryptomonnaie, les arnaques à la loterie, les prêts sur salaire, les ouvertures de plateformes de rencontre et la prospection à froid B2B SEO.

La plupart des tests de cette catégorie sont intentionnellement faciles. Deux tests, le marketing de courrier gris et la prospection à froid B2B, se situent plus près de la frontière des faux positifs car un filtrage agressif peut bloquer les emails professionnels légitimes.

Catégorie B : Logiciels malveillants connus utilisant la chaîne de test EICAR (9 tests)

Cette catégorie teste la livraison EICAR dans des formats de pièces jointes courants et imbriqués :

• Pièce jointe .txt simple,
• ZIP standard,
• ZIP protégé par mot de passe avec le mot de passe inclus dans le corps de l'email,
• ZIP imbriqué dans un autre ZIP,
• EICAR avec une extension .exe pour tester la gestion des incohérences d'extension et de contenu,
• .tar.gz, archive récursive à trois niveaux,
• .gz à fichier unique sans enveloppe tar,
• EICAR avec quatre kilo-octets de données inutiles ajoutées pour tester la tolérance de décalage.

Ces tests exercent le dépaquetage d'archives, la prise en charge des formats et l'extraction de mots de passe à partir du corps de l'email. Ce sont des capacités de base pour les passerelles de messagerie modernes.

Catégorie C : Types de fichiers porteurs (10 tests)

Cette catégorie teste les formats de fichiers couramment utilisés pour transporter ou déclencher un comportement malveillant. L'ensemble comprend :

• PDF avec JavaScript intégré et un déclencheur OpenAction,
• Contrebande HTML utilisant URL.createObjectURL sur un blob encodé en Base64,
• SVG avec un script onload et XHR distant,
• Raccourci Windows .lnk avec une charge utile PowerShell dans le bloc d'arguments,
• Fichier polyglotte PDF/ZIP,
• Application HTML .hta avec VBScript,
• Dropper JavaScript Windows Script Host utilisant XMLHTTP et ADODB.Stream,
• Image ISO 9660 contenant EICAR,
• Fichier de raccourci Internet .url,
• Fichier de requête Internet Excel .iqy.

C'est l'une des catégories les plus discriminantes car les résultats des produits varient considérablement selon ces types de porteurs.

Catégorie D : Phishing par URL (10 tests)

Cette catégorie mesure l'analyse d'URL à travers les liens directs, les redirections, l'obfuscation et les emplacements hors du corps. Elle comprend :

• URL de phishing directe sur un TLD suspect,
• Destination raccourcie par Bitly,
• Chaîne de redirection multi-sauts via le redirecteur ouvert de Google et t.co,
• Homoglyphe IDN Punycode utilisant le « а » cyrillique dans раypal.com,
• URL masquée en HTML utilisant des caractères de largeur nulle et du texte blanc d'un pixel,
• URL présente dans une annotation PDF,
• URI transportant du HTML encodé en Base64 avec un lien de phishing,
• URL extrêmement longue avec l'hôte réel caché dans la chaîne de requête,
• Paramètre de redirection ouverte sur un hôte d'apparence légitime,
• URL de cache Google AMP qui cache la destination de phishing derrière google.com/amp/s/.

Catégorie E : Phishing par QR code (8 tests)

Cette catégorie teste si les produits peuvent extraire et inspecter les URL de phishing cachées dans les QR codes. L'ensemble comprend :

• QR codes PNG en ligne pour la réinscription MFA,
• Signature DocuSign,
• Accès au bulletin de paie,
• Avis de nouvelle livraison d'expédition
• Accès à la messagerie vocale
• Réinitialisation bancaire 2FA.

Elle comprend également des variantes d'évasion : un QR code intégré dans un PDF sans contenu QR dans le corps de l'email, un QR code livré sous forme d'image enveloppée en SVG et un QR code défini comme une URI de données d'image d'arrière-plan CSS au lieu d'une balise <img>.

Ces cas testent si l'analyseur examine les images en dehors des conteneurs HTML les plus évidents.

Catégorie F : Usurpation de marque et de domaine (9 tests)

Cette catégorie teste l'usurpation de l'expéditeur, du domaine, de la marque et des en-têtes et comprend :

• Usurpation du nom d'affichage à partir d'un compte Gmail générique,
• Domaine typosquatté utilisant m1crosoft-account.com,
• Homoglyphe IDN punycode pour Apple
• Abus de sous-domaine via microsoft.support-team-portal.tk
• Imitation du kit de marque Microsoft utilisant le vrai logo et le style Segoe UI
• Incohérence entre l'expéditeur et l'en-tête From
• Usurpation de banque locale
• Typosquatting d'une entreprise de commerce électronique
• Injection d'en-tête Authentication-Results où l'attaquant ajoute des valeurs forgées spf=pass, dkim=pass et dmarc=pass au message.

Le dernier cas teste si les analyseurs en aval font confiance aux en-têtes d'authentification fournies par l'attaquant plutôt que de valider les résultats réels en amont.

Catégorie G : BEC et spear phishing sans charges utiles (9 tests)

Cette catégorie se concentre sur l'ingénierie sociale sans pièces jointes ni liens malveillants et comprend :

• Demande de virement bancaire du PDG envoyée depuis un compte Gmail,
• Prétexte de changement bancaire de compromission d'email de fournisseur,
• Redirection de salaire en libre-service par un employé,
• Arnaque aux cartes-cadeaux en ligne d'un imitateur du CFO
• Détournement de conversation utilisant un sujet Re:Re: et des en-têtes In-Reply-To forgés,
• Demande de preuves confidentielles d'un faux cabinet d'avocats,
• Prospection de chasseur de têtes externe avec un CV en pièce jointe,
• Prétexte de prise de contrôle d'authentification à deux facteurs WhatsApp,
• Prétexte d'initié M&A qui combine un langage de confidentialité avec de l'urgence.

Catégorie H : Extorsion et escroqueries (9 tests)

Cette catégorie couvre les modèles courants d'escroquerie et d'extorsion. Les tests comprennent :

• Email utilisant un ancien mot de passe divulgué,
• Fausse facture avec un lien de paiement malveillant dans un PDF,
• Lettre de frais anticipés,
• Menace de confiscation de l'administration fiscale,
• Extorsion DDoS contre un site web,
• Faux avis de verrouillage Apple iCloud avec un lien de déverrouillage,
• Arnaque aux frais de douane du coursier
• Extorsion par doxing,
• Arnaque au parent bloqué à la douane.

Catégorie I : Phishing de qualité GenAI (10 tests)

Cette catégorie teste les emails de phishing soignés qui suppriment les indices évidents sur lesquels les anciens systèmes s'appuient souvent. L'ensemble comprend :

• Email de re-vérification du helpdesk IT avec des étapes structurées et un bouton de marque,
• Faux dossier de pré-lecture pour le conseil d'administration avec un langage de confidentialité et un lien d'espace de travail,
• Mise à jour de la politique de locataire Microsoft 365 nécessitant un re-consentement dans les sept jours,
• Demande de signature électronique du Code de conduite RH,
• Suivi de la réussite client après une réunion fictive,
• Usurpation de récapitulatif de réunion,
• NDA juridique d'une contrepartie fictive,
• Avis de CVE critique de style CISO,
• Aperçu des résultats des relations avec les investisseurs avec un langage d'embargo,
• Résolveur de conflit de calendrier nécessitant une connexion SSO unique.

Chaque email de cette catégorie a été rédigé pour se lire comme un message d'affaires compétent en anglais natif. Les tests évitent délibérément les signes révélateurs de phishing plus anciens tels que les fautes de grammaire, les formulations maladroites et les inadéquations évidentes de marque.

Catégorie J : Techniques d'évasion (9 tests)

Cette catégorie teste l'obfuscation qui peut briser l'inspection de contenu superficielle et comprend :

• Caractères Unicode de largeur nulle dans les mots déclencheurs,
• Contournement OCR où tout le message de phishing est rendu sous forme de PNG sans texte de corps analysable,
• Caractère de remplacement de droite à gauche dans un nom de fichier de pièce jointe,
• Nom de fichier à double extension,
• Leurre caché en CSS où le texte rendu semble bénin tandis que le DOM contient le contenu de phishing,
• Sujet encodé selon RFC 2047,
• URL avec des caractères encodés en hexadécimal dans l'hôte,
• Homoglyphe de sujet utilisant le « е » cyrillique pour le « e » latin,
• URL cachée dans un attribut HTML data-* et récupérée au moment du clic par du JavaScript en ligne.

Catégorie K : Ensemble de contrôle et test de faux positifs (8 tests)

L'ensemble de contrôle contient des emails professionnels légitimes qui devraient passer sans avertissement et comprend :

• Notifications d'équipe interne,
• Rapports de dépenses mensuels,
• Suivis de réunion,
• Résumés hebdomadaires,
• Fichiers ZIP protégés par mot de passe utilisés pour le partage interne légitime,
• Rappels de formation,
• Avis de maintenance IT,
• Emails de planification de réunions individuelles.

Tout produit qui signale l'un de ces messages reçoit une pénalité de faux positif.

Architecture à deux expéditeurs

De nombreux tests de sécurité des emails négligent une distinction importante entre les attaques axées sur le contenu et celles axées sur l'identité de l'expéditeur. Certaines menaces sont dangereuses en raison de leur corps de message ou de leurs pièces jointes, indépendamment de qui les envoie. D'autres sont dangereuses parce que l'email prétend provenir de quelqu'un qu'il ne représente pas. Ces deux classes nécessitent des configurations d'envoi différentes.

Nous avons divisé le benchmark en deux groupes d'expéditeurs.

• Groupe L, Légitime, 38 tests : Ces emails sont envoyés depuis un service SMTP authentifié. SPF, DKIM et DMARC s'alignent correctement pour le domaine d'envoi. Le nom d'affichage change selon le test, comme Finance, Helpdesk IT ou le vrai nom du testeur, mais l'adresse From reste l'adresse de l'expéditeur authentifié.
  • Le groupe L est utilisé pour les catégories axées sur le contenu : K, B, C, J et les deux tests de phishing par URL, où l'URL est la menace indépendamment de l'expéditeur.
• Groupe S, Usurpation, 62 tests : Ces emails sont envoyés via un relais SMTP permissif qui n'applique pas l'alignement du domaine From. L'adresse From est ce que le cas de test spécifie, donc l'alignement SPF et DMARC échoue par conception.
  • Le groupe S est utilisé pour les catégories axées sur l'identité de l'expéditeur : A, la plupart de D, E, F, G, H et I.

Cette division reflète le comportement réel des attaquants. Les opérateurs de phishing utilisent souvent des serveurs virtuels bon marché et des domaines jetables parce que les services SMTP cloud grand public, tels que Gmail, Office 365 et AWS SES, avec des domaines vérifiés, empêchent l'envoi de courrier avec un en-tête From désaligné.

Figure 1 : Figure montrant comment fonctionne un serveur de relais SMTP. Un serveur de relais SMTP est un serveur de messagerie tiers qui reçoit les emails d'un expéditeur et les transfère aux serveurs destinataires en dehors du domaine du fournisseur de messagerie de l'expéditeur.

Pondération par difficulté

Chaque test a une note de difficulté de 1 à 10. La note indique le degré de difficulté qu'un produit de sécurité des emails compétent devrait trouver pour le test.

• 1 à 2, trivial : Ce sont des signatures classiques sans obfuscation significative. Les manquer indique une lacune fondamentale de détection. Les exemples sont le spam pharmaceutique, EICAR en clair dans un ZIP et une lettre nigériane 419.
• 3 à 4, bien connu : Ce sont des modèles familiers que les produits modernes devraient attraper. Les exemples incluent JavaScript dans un PDF, sextorsion avec mot de passe divulgué et usurpation du nom d'affichage du PDG.
• 5 à 6, intermédiaire : Ces cas nécessitent une analyse plus poussée, comme l'IA moderne, le sandboxing ou la vision par ordinateur, y compris la contrebande HTML, les URL homoglyphes IDN et le phishing par QR code en ligne.
• 7 à 8, avancé : Ce sont des cas limites que les produits plus robustes traitent de manière cohérente, comme les polyglottes PDF/ZIP, les chaînes de redirection multi-sauts, l'usurpation visuelle de kit de marque et les leurres de contournement OCR par image seule.
• 9 à 10, expert : Ce sont des cas véritablement difficiles où attraper est un bon résultat et manquer est courant dans l'industrie. Les exemples incluent le détournement de conversation par fil de discussion forgé, un suivi de réussite client de qualité GenAI et un faux NDA juridique d'une contrepartie inconnue.
• Tests de contrôle : Les messages de la catégorie K doivent passer. Toute détection dans cette catégorie compte comme un faux positif.

Les moyennes des catégories suivent la courbe de difficulté prévue : A spam moyenne 2,2/10, B EICAR moyenne 2,8/10, H extorsion moyenne 3,8/10, C fichiers porteurs moyenne 5,0/10, F usurpation de marque et J évasion moyenne 5,6/10, D phishing par URL moyenne 5,8/10, E phishing par QR code moyenne 6,8/10, G BEC moyenne 6,8/10, et I phishing GenAI moyenne 8,2/10.

Notation du benchmark

Chaque produit reçoit l'un des cinq verdicts par test :

• BLOQUÉ : Le message est mis en quarantaine ou rejeté (2 points).
• AVERTISSEMENT : Le produit injecte une bannière, envoie l'email dans les indésirables ou supprime la pièce jointe (0,5 points).
• TARDIF : Le message est d'abord livré, puis supprimé après livraison (1 point).
• MANQUÉ : Le message atteint la boîte de réception sans avertissement (0 point).
• FP : Un message de l'ensemble de contrôle est incorrectement signalé (pénalité de -2 points).

Le taux de détection est calculé comme le total des points divisé par le score maximal possible pour les tests d'attaque, puis exprimé en pourcentage. Le score maximal possible est égal au nombre de tests d'attaque multiplié par deux.

Le taux de faux positifs est rapporté séparément. Un produit qui atteint 90% de détection en bloquant le courrier légitime présente plus de risque opérationnel qu'un produit qui atteint 80% de détection sans faux positifs.

Reproductibilité et outillage

Le benchmark s'exécute à partir d'un seul script PHP autonome. Le script construit 100 messages MIME en mémoire avec un constructeur multipartie personnalisé. Il génère les charges utiles localement, y compris les ZIP, les ZIP chiffrés AES-256, les fichiers tar.gz, les fichiers .gz à fichier unique, les PDF avec actions JavaScript, les échantillons de contrebande HTML, les fichiers SVG avec JavaScript onload, les fichiers Windows .lnk avec le bon CLSID Shell Link et le bloc d'arguments UTF-16LE, et une image disque ISO 9660 minimale.

Le script envoie chaque test via le chemin SMTP correct en fonction de son groupe d'expéditeurs.

Chaque message inclut des en-têtes de trace : X-Bench-Id, X-Bench-Run, X-Bench-Product, X-Bench-Category, X-Bench-Case et X-Bench-Group. Ces en-têtes rendent chaque test traçable dans les boîtes de réception, les consoles de quarantaine et les journaux de produits.

Un harnais de vérification séparé exécute plus de 1 800 vérifications de cohérence avant la transmission. Il valide que chaque test a les champs requis, que chaque note de difficulté est dans [1, 10] ou zéro pour les contrôles, et que l'EICAR est présent et récupérable à partir de chaque pièce jointe de la catégorie B, y compris les archives protégées par mot de passe et triplement imbriquées.

Le vérificateur vérifie également que les PDF contiennent des en-têtes %PDF- et des marqueurs %%EOF valides, que les PNG contiennent des signatures valides et des segments IEND, que les SVG s'analysent comme du XML bien formé, que le fichier LNK a le bon CLSID Shell Link et la chaîne d'argument PowerShell attendue, que le descripteur de volume principal ISO 9660 apparaît au secteur 16 avec la bonne signature \x01CD001, et que l'inférence de groupe correspond à la division documentée du groupe L et du groupe S.

Un troisième script traite les CSV par produit après l'entrée manuelle du verdict. Il produit un rapport comparatif avec un tableau de verdict côte à côte par test, des taux de détection par catégorie, des scores totaux, des pourcentages de taux de détection, des comptes de faux positifs et trois sous-tableaux médico-légaux :

1. les cas triviaux mais manqués, définis comme difficulté ≤ 2 avec au moins un MANQUÉ
2. les cas de haute difficulté mais attrapés, définis comme difficulté ≥ 8 avec au moins un BLOQUÉ
3. tous les incidents de faux positifs

Contraintes éthiques et opérationnelles

Aucun logiciel malveillant réel n'a été créé ou transmis. Les pièces jointes malveillantes utilisent soit la chaîne de test antivirus EICAR, un document de test de 68 caractères défini par l'Institut européen de recherche antivirus informatique, soit des démonstrateurs bénins. Les exemples incluent un PDF dont le JavaScript appelle app.alert, une page HTML qui utilise URL.createObjectURL sur la chaîne EICAR et un SVG dont onload appelle un point de terminaison inexistant.

Aucune infrastructure de phishing en direct n'a été utilisée. Les URL de test se résolvent vers l'une des trois destinations sûres : le TLD réservé .invalid défini dans la RFC 2606, les domaines .tk sous notre contrôle qui servent une 404, ou les hôtes parodiques tels que m1crosoft-account.com et xn--pple-43d.com enregistrés pour le benchmark et ne servant aucun contenu.

Aucune page de collecte d'identifiants n'a été déployée. Toutes les boîtes aux lettres de test appartiennent à l'équipe de test et sont surveillées par celle-ci. Les identifiants SMTP sont limités au benchmark et renouvelés après chaque engagement.

Limitations du benchmark de sécurité des emails

Nous avons exclu plusieurs catégories car elles nécessitent une infrastructure ou des conditions au-delà d'un benchmark ponctuel :

• Basculement d'URL au moment du clic : Cette attaque délivre une URL qui semble bénigne au moment de la livraison et redirige ensuite vers une destination de phishing. La tester nécessiterait un serveur HTTP avec état qui mute son contenu, plus une action de clic côté utilisateur.
• Prise de contrôle de compte et phishing latéral : Cela nécessiterait le contrôle d'une boîte aux lettres interne, ce qui était hors de la configuration du benchmark.
• Logiciel malveillant dynamique conscient du sandbox : Les vrais échantillons polymorphes qui détectent la virtualisation et évitent la détonation ont été exclus pour des raisons éthiques.
• Pages de destination de kits de phishing en direct : Toutes les URL se résolvent vers des hôtes inertes. Le benchmark ne teste pas l'expérience post-clic.

L'expéditeur du groupe S nécessite un relais SMTP qui autorise les en-têtes From désalignés. Les services SMTP cloud rejettent généralement ces tests au niveau du réseau. Lorsqu'un relais permissif n'est pas disponible, le benchmark se dégrade au groupe L, ce qui laisse 38 tests axés sur le contenu.

FAQ

Citer cette recherche

Choisissez le format qui correspond à votre lieu de publication. Coller la version avec lien dans votre CMS préserve le lien retour.

@misc{dogan2026,
  author = {Dogan, Sedat},
  title  = {{Solutions de sécurité des emails: Acronis, Sophos & Barracuda}},
  year   = {2026},
  month  = jun,
  howpublished    = {\url{https://aimultiple.com/email-security-solutions}},
  note   = {AIMultiple. Consulté le 22 Juin 2026}
}

Sedat Dogan

CTO

Suivre

Sedat est un expert en technologies et sécurité de l'information, fort d'une expérience en développement logiciel, collecte de données web et cybersécurité. Sedat : - Possède 20 ans d'expérience en tant que hacker éthique et expert en développement, avec une vaste expertise des langages de programmation et des architectures serveur. - Conseille les dirigeants et membres du conseil d'administration d'entreprises dont les opérations technologiques critiques et à fort trafic sont telles que les infrastructures de paiement. - Allie un sens aigu des affaires à son expertise technique.

Voir le profil complet

Soyez le premier à commenter

Votre adresse courriel ne sera pas publiée. Tous les champs sont obligatoires. Les commentaires sont laissés dans leur langue d'origine.

Nom

Adresse email

Commentaire

0/450

Publier un commentaire