Email Security Pour la défense : sécuriser les échanges interdomaines avant que les risques n'atteignent la boîte de réception

Pour les organismes de défense, le courrier électronique constitue un outil de travail permettant la coordination des missions, la collaboration au sein de la chaîne d'approvisionnement, les échanges avec les coalitions et les partenaires, ainsi que la transmission de documents opérationnels sensibles entre différents domaines de sécurité.

Cette réalité modifie la question que les responsables de la sécurité doivent se poser. La question ne se limite plus à « Cet e-mail est-il malveillant ? », mais devient : « Ce contenu est-il autorisé, correctement classifié et peut-il être transféré en toute sécurité d'un environnement à un autre ? »

Les contrôles traditionnels des e-mails sont conçus pour identifier les indicateurs de compromission connus, les expéditeurs suspects et les charges utiles malveillantes. Ces contrôles revêtent une grande importance, mais dans les environnements de défense, ils ne constituent qu'un élément parmi d'autres dans la prise de décision.

Un fichier peut paraître inoffensif tout en présentant un risque si son niveau de classification, ses métadonnées intégrées, son libellé ou son contenu sensible ne correspondent pas au domaine de destination. C'est là que la sécurité des e-mails est étroitement liée à la politique de diffusion, à la prévention des pertes de données, à la sécurité inter-domaines, à l'auditabilité et à la garantie de la mission.

Les pirates savent exactement où les processus de travail éprouvés constituent un point de vulnérabilité. Un message provenant d’un fournisseur connu, d’un partenaire de mission ou d’un compte interne peut comporter un expéditeur usurpé, une identité compromise, une pièce jointe chiffrée, une macro malveillante ou un leurre visant à soutirer des identifiants, le tout présentant un aspect suffisamment banal pour se propager rapidement au sein de l’organisation.

Pour les équipes de sécurité, la préoccupation concrète est de savoir si une pièce jointe d’apparence fiable peut faire entrer des informations sensibles dans un flux de travail inapproprié avant que quiconque ne dispose d’un contexte suffisant pour l’en empêcher. Le contenu entrant doit être inspecté avant sa diffusion, et le contenu sortant doit faire l’objet d’une décision d’autorisation avant de quitter le domaine. Dès que le contenu franchit une frontière, l’incident passe d’un niveau purement technique à un niveau opérationnel, probatoire et régi par des politiques.

IBM a constaté que la détection et la remontée d’information, ainsi que la perte d’activité, représentaient 63 % du coût moyen d’une violation de données, lequel a augmenté de 12 % par rapport à l’année dernière pour atteindre le chiffre record de 4,99 millions de dollars américains. Dans le contexte de la défense, les questions les plus épineuses sont souvent plus spécifiques : Qu’est-ce qui a été déplacé ? Où a-t-il été déplacé ? Quelle politique de classification ou de diffusion l’a autorisé ? La décision a-t-elle été consignée ? Et l’organisation est-elle en mesure de l’expliquer lors d’un audit, d’une procédure d’autorisation ou d’un examen post-incident ?

Une approche axée sur la prévention consiste tout d’abord à considérer chaque message sortant et chaque pièce jointe comme une décision de validation, et chaque message entrant comme une décision de remise. Quelle est la classification ? Le contenu comporte-t-il des secrets, des données réglementées ou des informations à accès restreint ? La pièce jointe contient-elle du contenu actif, du code malveillant ou un comportement caché ? Doit-elle être bloquée, mise en quarantaine, nettoyée ou validée ?

La solution MetaDefender™ Email Gateway Security met en œuvre des contrôles à plusieurs niveaux sur le contenu des e-mails, les métadonnées et les pièces jointes, en combinant des fonctionnalités telles que la classification de sécurité, Proactive DLP™, Metascan™ Multiscanning, Adaptive Sandbox, et la technologie Deep CDR™ pour aider les équipes à faire respecter les politiques avant que le contenu n'atteigne les utilisateurs ou ne franchisse les domaines.

La sécurité des e-mails dans le domaine de la défense doit s'adapter au mode de fonctionnement réel des équipes de mission. Cela implique des échanges sécurisés entre les organisations, les fournisseurs et les partenaires de la coalition, avec des règles appliquées aux limites de classification, ainsi que des solutions interdomaines accréditées. Cela implique des contrôles capables de fonctionner aussi bien dans des environnements sur site que dans des environnements isolés ou en « air gap ». Cela implique l'analyse des pièces jointes chiffrées et protégées par mot de passe avant leur acheminement vers la boîte de réception. Et cela implique de réduire le tri manuel grâce à une validation basée sur des règles, tout en conservant des traces de chaque décision.

1. La couche de sécurité des e-mails est-elle capable d'identifier les mentions « OFFICIAL », « SECRET » et « TOP SECRET » dans les pièces jointes ?
2. Le contenu des e-mails, leurs métadonnées et leurs pièces jointes font-ils l'objet d'une vérification visant à détecter la présence d'informations confidentielles, de données soumises à une réglementation et de violations des politiques de diffusion avant qu'ils ne quittent le domaine ?
3. Est-il possible de reconstruire et de nettoyer les pièces jointes afin que les documents liés à la mission puissent continuer à circuler en réduisant les risques liés au contenu actif ?
4. Est-il possible d'analyser les fichiers chiffrés, protégés par mot de passe, de type « zero-day » et évasifs avant qu'ils n'atteignent les boîtes de réception, sans recourir à un seul moteur de détection ?
5. Chaque décision de blocage, de mise en quarantaine, de désinfection ou de levée de restriction peut-elle être consignée à des fins d'audit, d'autorisation et de vérification ?