Category Archives: Information Security

Comment ajouter une bannière d’avertissement de courriel externe dans Office 365?

| 2024-05-26 | Français, Information Security, Nudges

Si vous voulez aider vos collègues, vos collaborateurs ou vos clients à détecter des emails de phishing, une action simple à mettre en oeuvre est d’ajouter une ou plusieurs bannières d’alerte aux courriels provenant de l’extérieur de l’entreprise. Cela permet de rendre les tentatives d’usurpation d’identité plus facile à détecter. Si vous utilisez Microsoft Office 365 et Exchange, vous pouvez faire cela de plusieurs manières:

1. Configurer un indicateur dans l’objet des e-mails

Pour commencer, nous pouvons facilement ajouter un indicateur [External] ou [Externe] à l’objet de tous les e-mails externes. Connectons-nous d’abord au portail d’administration et allons au centre d’administration Exchange (https://admin.exchange.microsoft.com/).

Dans le menu de gauche, nous cliquons sur le menu déroulant « Flux de courrier » puis nous cliquons sur Règles.

Cliquez sur + Ajouter une règle et sélectionnez Créer une nouvelle règle dans la liste. Donnez un nom à votre règle puis sélectionnez L’expéditeur dans la liste déroulante sous Appliquer cette règle si. Ensuite, sélectionnez est externe/interne dans la liste déroulante de droite et cliquez sur En dehors de l’organisation dans la fenêtre contextuelle.

Sous Faire ce qui suit, sélectionnez Ajouter à l’objet du message le préfixe spécifié. Remplissez le champ Préfixe de l’objet spécifié avec [External] (ou tout autre message d’avertissement).

Si nous avons des domaines tiers envoyant des e-mails internes en notre nom, nous devons utiliser l’option Sauf si en cliquant sur L’expéditeur puis sur domaine est dans la prochaine boîte déroulante. Une fenêtre contextuelle apparaîtra, nous pouvons y ajouter tous les domaines envoyant des e-mails en notre nom (ceux en lesquels nous avons confiance). Nous enregistrons ensuite et activons la règle.

Emmanuel Nicaise <john.doe@somethingveryshady.com>[EXTERNE] Qu’avez-vous fait? Today, 11.30

2. Configurer un avertissement dans les messages de courriels externes

Nous pouvons utiliser le même principe pour ajouter un avertissement, une bannière à l’intérieur du message.
Connectez-vous d’abord au portail d’administration et allez au centre d’administration Exchange (https://admin.exchange.microsoft.com/).

Dans le menu de gauche, cliquez sur le menu déroulant « Flux de courrier » puis cliquez sur Règles.

Cliquez sur + Ajouter une règle et sélectionnez Créer une nouvelle règle dans la liste. Donnez un nom à votre règle puis sélectionnez L’expéditeur dans la liste déroulante sous Appliquer cette règle si. Ensuite, sélectionnez est externe/interne dans la liste déroulante de droite et cliquez sur En dehors de l’organisation dans la fenêtre contextuelle.

Sous Faire ce qui suit, sélectionnez Appliquer un avertissement au message puis ajouter un avertissement. Remplissez le champ Spécifier le texte de l’avertissement avec le code HTML suivant (ou toute autre bannière d’avertissement que vous souhaitez utiliser) :

<table style="border: 1px solid black; border-collapse: collapse;">
  <tr>
    <td style="background-color: red; color: white; font-weight: bold; padding: 5px;">
      ATTENTION:
    </td>
    <td style="color: red; font-weight: bold; padding: 5px;">
      Ce courriel provient d'une adresse externe à l'organisation.
    </td>
  </tr>
</table>

Cela devrait donner une bannière comme celle-ci:

ATTENTION: Ce courriel provient d’une adresse externe à l’organisation.

Si vous avez des domaines tiers envoyant des courriels internes en votre nom, vous devez utiliser l’option Sauf si en cliquant sur L’expéditeur puis domaine est dans la prochaine boîte déroulante. Une fenêtre contextuelle apparaîtra, vous pouvez y ajouter tous les domaines envoyant des e-mails en votre nom (et en lesquels vous avez confiance). Nous l’enregistrons puis activons la règle.

Si nous voulons utiliser la configuration incluant l’image des yeux, nous devons d’abord convertir l’image (de préférence au format JPG, 32 pixels de hauteur) en Base64 (il existe de nombreux convertisseurs gratuits en ligne disponibles sur Internet) et inclure l’image dans le tableau. Le code devient alors :

<table style="border: 1px solid black; border-collapse: collapse;">
  <tr>
    <td style="padding: 0; vertical-align: bottom; border: none; margin: 0;">
      <img src="data:image/jpeg;base64,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" border=0 style="display: block; width: auto; height: 32px; padding: 0;border: none;"></td>
    <td style="background-color: #D81E5B; color: white; font-family: Arial, Helvetica, sans-serif;font-weight: bold; font-size:15px;padding: 4px;height:24px;">
     ATTENTION:  Ce courriel provient d'une adresse externe à l'organisation.
    </td>
  </tr>
</table>

Ce qui donnera ceci:

ATTENTION: Ce courriel provient d’une adresse externe à l’organisation.

Comme notre cerveau est programmé pour suivre la direction d’un regard, cette petite image augmente notre attention à cette bannière.

ecops.be fermé en toute discrétion depuis le 17 juillet 2015

| 2015-07-26 | Français, Information Security

eCops.be était, depuis 2007, le point de contact en ligne où vous pouviez, en tant qu’utilisateur d’Internet, signaler des délits commis sur ou via l’Internet. Vous ne deviez pas vous soucier de savoir qui est compétent: eCops veillait à ce que votre demande soit traitée par le service compétent.

Malheureusement, pour une raison qui n’est pas explicitée sur le site ni dans les journaux (ou ce fut très discret), ecops.be est fermé depuis le 17 juillet 2015. Le site renvoie vers la police locale ou vers le SPF économie.

Peut-être est-ce encore une autre conséquence de la décentralisation de la police vers les zones locales (et surtout les régions?) mais ce n’est pas vraiment ce qui va aider à luter contre les nombreuses arnaques sur Internet.

URL http://www.ecops.be/

Toi aussi amuses-toi avec les consignes de sécurité…

| 2014-10-25 | Communication, Français, Information Security, Security Governance, Videos

Les responsables sécurité ont rarement la réputation de joyeux lurons. En général, un « security officer » qui débarque dans une réunion est souvent perçu comme l’empêcheur de tourner en rond. Si c’est le cas, il a du travail à faire car, à mon humble avis, il devrait être perçu comme la personne qui va permettre de faire avancer l’entreprise et ses projets en les sécurisants et en les rendant pérenne.

On ne le répétera jamais assez, aucun plan de sécurité, aucune politique, n’a d’utilité si elle n’est pas communiquée, comprise et appliquée par toutes les personnes concernées. Dans la plupart des entreprises, la sécurité est l’affaire de tous. Trop fréquemment, malheureusement, les campagnes de sensibilisation à la sécurité sont peu imaginative, incompréhensible, peu attirante (pour ne pas dire moche) et certaines vont même jusqu’à favoriser des comportements opposé à ses objectifs grâce à une communication et à un message inadapté.

Les compagnies aériennes n’échappent pas à la règle. Afin d’assurer la sécurité de leurs passagers, ceux-ci sont priés d’écouter au début de chaque vol les consignes de sécurité leur rappelant de boucler leur ceinture, de ranger leurs bagage à main et de respirer dans le masque à oxygène si celui-ci venait soudainement à apparaître devant eux. Si vous avez un jour pris l’avion, vous vous en souvenez peut-être. Vous vous rappelez probablement aussi que c’est un moment légèrement barbant (surtout si vous voyagez souvent en avion). Je ne sais pas si certaines enquêtes ont montré que la plupart des passagers ne se souviennent pas de ces règles élémentaires mais il semble que certaines compagnies (ou parfois certaines hôtesses ou steward) investissent dans une communication plus agréable de leurs consignes.

Il serait intéressant d’évaluer si ces initiatives augmentent la mémorisation des règles de sécurité et surtout la concordance des comportements des passagers avec ces règles. Il est fort probable que le principal avantage de ces initiatives est de donner une meilleure image de l’entreprise, plus sympathique. Il y a cependant une leçon à tirer de cela, surtout pour les responsables sécurité qui sont perçus comme barbant (tout comme leurs règles): avec un peu de créativité, on peut changer l’image, la perception des règles et aussi, probablement, augmenter la « compliance » à celle-ci. Voici donc quelques exemples de créativité en la matière. Si les aspects de communication persuasive ne sont pas toujours pris en compte, au moins, c’est amusant et ça correspond déjà plus à l’une des règles essentielles: KISSS (Keep it Simple, Stupid & Sexy).