Why email security needs its EDR moment to move beyond prevention

Évolution de la Sécurité de la Messagerie : Vers une Approche Post-Compromission

Les méthodes actuelles de sécurité de la messagerie, similaires aux antivirus d’il y a dix ans, se concentrent principalement sur la prévention. Cependant, l’évolution des menaces, telles que le hameçonnage sophistiqué, la compromission de la messagerie professionnelle (BEC) et l’abus de jetons OAuth, montre que la prévention seule est insuffisante. Ces approches traditionnelles, comme les passerelles de messagerie sécurisées (SEG) et les filtres anti-spam, peinent à contrer les nouvelles techniques d’attaque qui contournent les défenses basées sur les signatures ou les analyses périmétriques.

L’analogie avec la transition de l’antivirus (AV) vers la détection et la réponse sur point d’extrémité (EDR) est pertinente. L’AV, initialement axé sur le blocage des fichiers malveillants connus, a montré ses limites face aux menaces polymorphes et rapides. L’EDR a complété l’AV en apportant visibilité, détection comportementale, capacités d’investigation et outils de remédiation, instaurant ainsi une résilience face aux intrusions inévitables.

L’application de ce principe à la sécurité de la messagerie implique d’aller au-delà de la simple prévention. Cela signifie adopter des contrôles post-compromission pour gérer les incidents une fois qu’ils se produisent. L’inbox, de plus en plus pivot pour les attaquants, donne accès à des données sensibles et à d’autres applications cloud. Par conséquent, une approche “EDR pour la messagerie” est nécessaire pour assurer la sécurité de l’écosystème des outils de productivité.

Points Clés :

• La sécurité de la messagerie doit évoluer des méthodes de prévention uniquement vers une approche de résilience.
• Les menaces modernes (BEC, OAuth abuse) contournent les défenses traditionnelles basées sur les signatures.
• L’inbox est un point d’entrée critique vers d’autres applications et données sensibles.
• Une transition similaire à celle de l’AV vers l’EDR est nécessaire pour la messagerie.

Vulnérabilités et Risques :

• Hameçonnage et BEC : Les attaques de phishing et de BEC continuent de contourner les filtres.
• Abus de Jetons OAuth : L’exploitation des autorisations accordées aux applications tierces.
• Comptes Usurpés : L’accès non autorisé aux boîtes de réception existantes.
• Fuites de Données : L’accès non autorisé à des informations sensibles (financières, PII) stockées dans les e-mails.
• Augmentation du “Blast Radius” : Un compte de messagerie compromis peut entraîner un accès étendu aux applications SaaS (calendrier, stockage cloud, documents).

Recommandations (Contrôles Post-Compromission) :

• Visibilité accrue : Savoir qui accède aux e-mails, quand et d’où.
• Réponse aux incidents : Capacités de révocation rétroactive de l’accès aux contenus sensibles en cas de compromission.
• Contrôles d’accès granulaires : Restriction de l’accès aux e-mails contenant des données sensibles, y compris pour les utilisateurs internes.
• Gestion des politiques de rétention : Vérification et ajustement des durées de conservation des e-mails pour limiter l’exposition.
• Renforcement de l’identité : Gouvernance stricte des connexions OAuth et des inscriptions à des applications par e-mail.
• Architecture de sécurité intégrée : Extension des contrôles de sécurité au-delà de la messagerie, couvrant l’ensemble de la suite de productivité (M365, Google Workspace).
• Changement de modèle mental : Passer d’une prévention binaire à une résilience multicouche, de l’inspection périmétrique à la visibilité et au contrôle post-compromission, et des outils ponctuels à une architecture de sécurité unifiée.

Source