Sentinel Audit365 by SF2i
Demander un audit EN
Menu

Sécurité de la messagerie Microsoft 365 : l'audit Exchange Online

Ce que nous contrôlons pour sécuriser Exchange Online : authentification de vos domaines, anti-phishing, Defender for Office 365, accès hérités, redirections et traçabilité.

Tester ma messagerie gratuitement

Pourquoi auditer la messagerie en premier

L'e-mail est le canal préféré des attaquants : hameçonnage pour voler des identifiants, usurpation de votre domaine pour tromper vos clients, fraude au virement, pièces jointes piégées. Une seule boîte compromise suffit souvent à rebondir vers le reste du tenant.

C'est pourquoi Exchange Online représente 45 % du score de protection calculé par Sentinel Audit365, devant Entra ID (37 %). Une messagerie mal protégée fait baisser le score global, même si tout le reste est en ordre : le détail est expliqué dans notre méthode de calcul.

SPF, DKIM et DMARC : empêcher l'usurpation de votre domaine

Ces trois enregistrements DNS empêchent un tiers d'envoyer des e-mails en se faisant passer pour vous.

  • SPF (Sender Policy Framework) liste les serveurs autorisés à envoyer des e-mails pour votre domaine. Il doit être unique et se terminer par -all, ou par ~all si DMARC est en rejet.
  • DKIM (DomainKeys Identified Mail) signe chaque e-mail sortant. Dans Microsoft 365, il s'active domaine par domaine, avec deux enregistrements selector1 et selector2.
  • DMARC dit aux destinataires quoi faire d'un e-mail qui échoue à SPF et DKIM : le laisser passer (p=none), le mettre en quarantaine ou le rejeter (p=reject). Il permet aussi de recevoir des rapports sur qui envoie en votre nom.

L'objectif est un DMARC en p=reject sur chaque domaine, y compris ceux qui n'envoient pas d'e-mails. L'audit vérifie les trois enregistrements pour chaque domaine du tenant CIS 2.1.8CIS 2.1.9CIS 2.1.10ANSSI n°24.

Ces trois points sont publics : n'importe qui peut les lire. Testez votre domaine gratuitement, en quelques secondes.

Anti-phishing, antispam et antimalware

Exchange Online Protection filtre chaque e-mail entrant. Encore faut-il que ses politiques soient réglées au bon niveau. L'audit vérifie notamment :

  • Seuil de sensibilité anti-phishing CIS 2.1.7ANSSI n°24
  • Protection des utilisateurs et des domaines ciblés par usurpation CIS 2.1.7
  • Intelligence de boîte aux lettres et conseils de sécurité CIS 2.1.7
  • Filtre des types de pièces jointes dangereux CIS 2.1.2ANSSI n°24
  • Notification des administrateurs (malware interne, spam sortant) CIS 2.1.3CIS 2.1.6
  • Listes d'adresses IP et de domaines autorisés qui contournent le filtrage CIS 2.1.12CIS 2.1.14

Defender for Office 365 : Safe Links et Safe Attachments

Microsoft Defender for Office 365, inclus dans Microsoft 365 Business Premium, ajoute deux protections précieuses : Safe Links vérifie les liens au moment du clic, et Safe Attachments ouvre les pièces jointes dans un environnement isolé avant de les livrer.

  • Présence et périmètre des règles Safe Links (e-mail, Office, Teams) CIS 2.1.1ANSSI n°24
  • Analyse des URL au clic, blocage du clic au-delà de l'avertissement CIS 2.1.1
  • Action Safe Attachments et protection de SharePoint, OneDrive et Teams CIS 2.1.4CIS 2.1.5
  • Protection des comptes prioritaires CIS 2.4.1

Authentification héritée, SMTP AUTH et accès aux boîtes

Les anciens protocoles (IMAP, POP3, SMTP AUTH, EWS en authentification basique) ne supportent pas le MFA. Ils restent la cible favorite des attaques par pulvérisation de mots de passe.

  • Authentification moderne activée CIS 6.5.1ANSSI n°21
  • SMTP AUTH désactivé au niveau de l'organisation CIS 6.5.4ANSSI n°21
  • Comptes utilisant encore l'authentification héritée CIS 5.2.2.3
  • Connexion directe aux boîtes partagées CIS 1.2.2
  • Fournisseurs de stockage tiers dans Outlook sur le web CIS 6.5.3

Redirections et règles de transport

Une règle qui transfère automatiquement les e-mails d'une boîte vers une adresse externe est un grand classique après une compromission : l'attaquant lit tout, discrètement. Les règles de transport qui exemptent certains domaines du filtrage sont, elles, une porte ouverte au hameçonnage.

  • Redirections automatiques vers l'extérieur CIS 6.2.1ANSSI n°24
  • Règles de transport avec domaines en liste blanche CIS 6.2.2
  • Identification des e-mails externes dans Outlook CIS 6.2.3

Journalisation et audit des boîtes aux lettres

En cas d'incident, il faut pouvoir reconstituer ce qui s'est passé. L'audit vérifie que la journalisation est active partout et qu'aucune boîte n'y échappe.

  • Journal d'audit unifié Microsoft 365 CIS 3.1.1ANSSI n°36
  • Audit activé sur toutes les boîtes aux lettres CIS 6.1.1CIS 6.1.2
  • Contournement d'audit sur certaines boîtes CIS 6.1.3

Quotas, boîtes partagées et listes de distribution

Côté gouvernance, l'audit repère les boîtes proches de leur quota (seuil de 80 %), les boîtes partagées qui consomment inutilement une licence, les listes de distribution obsolètes et la durée de rétention des éléments supprimés. Ces points n'entrent pas dans le score, mais ils améliorent l'hygiène et les coûts.

Sécuriser Exchange Online : par où commencer

  1. Publiez SPF, DKIM et DMARC sur tous vos domaines, puis faites évoluer DMARC jusqu'à p=reject.
  2. Désactivez SMTP AUTH et l'authentification héritée, en traitant les exceptions une par une.
  3. Bloquez les redirections automatiques vers l'extérieur.
  4. Renforcez l'anti-phishing : protection contre l'usurpation des dirigeants et de vos domaines.
  5. Vérifiez la journalisation, pour être prêt le jour où il faudra enquêter.

Questions fréquentes sur la sécurité de la messagerie

Qu'est-ce que DMARC ?

DMARC est un enregistrement DNS qui indique aux serveurs destinataires quoi faire d'un e-mail qui prétend venir de votre domaine mais échoue aux vérifications SPF et DKIM : le laisser passer (p=none), le mettre en quarantaine (p=quarantine) ou le rejeter (p=reject).

Une politique DMARC p=none suffit-elle ?

Non. p=none sert à observer : les usurpations sont signalées mais pas bloquées. C'est une étape de démarrage, qui doit évoluer vers p=quarantine puis p=reject une fois les expéditeurs légitimes identifiés.

Faut-il désactiver SMTP AUTH dans Exchange Online ?

Oui, au niveau de l'organisation, sauf besoin applicatif justifié (imprimante, application métier). SMTP AUTH repose sur un mot de passe et ne supporte pas le MFA. Les exceptions se gèrent boîte par boîte.

Defender for Office 365 est-il nécessaire ?

Il apporte Safe Links et Safe Attachments, qui analysent les liens au moment du clic et les pièces jointes avant livraison. Il est inclus dans Microsoft 365 Business Premium et disponible en option. L'audit vérifie sa configuration quand il est présent, et signale son absence sinon.

Prêt à voir ce que cache votre tenant ? Premier rapport sous 48 h.

Un abonnement, un audit automatique chaque mois, sans rien à lancer. Un premier échange suffit pour démarrer. Nous intervenons en Nouvelle-Calédonie, en Polynésie française et en France.

Demander un audit Tester ma messagerie