Rafael Pfister

Consulting

Test d’intrusion e-mail : le flux de messagerie comme surface d’attaque

Les tests d’intrusion généraux examinent les réseaux et les applications web ; le flux de messagerie en est souvent exclu, alors que l’e-mail est l’un des points d’entrée les plus fréquents des attaques contre les entreprises. Je teste votre infrastructure de messagerie avec les méthodes d’un attaquant : si des expéditeurs peuvent être falsifiés, si la passerelle peut être contournée et quels services sont accessibles depuis l’extérieur.

Le conseil est assuré en allemand ou en anglais.

  • Test d’intrusion
  • Usurpation
  • SPF/DKIM/DMARC
  • Contournement de passerelle
  • Exchange
  • Microsoft 365

Domaines de test

  • Usurpation et authentificationVotre domaine peut-il être falsifié depuis l’extérieur ? SPF, DKIM et DMARC sont testés auprès de destinataires réels, y compris les sous-domaines et les domaines d’apparence similaire.
  • Contournement de la passerelleRemise directe à Exchange Online ou au serveur de messagerie en contournant la passerelle en amont, Direct Send, connecteurs et relais insuffisamment sécurisés.
  • Services accessiblesSMTP, OWA, EWS, ActiveSync, Autodiscover et interfaces d’administration des passerelles : versions, vulnérabilités connues, configuration TLS et méthodes d’authentification.
  • Filtrage et distributionComment la passerelle traite les pièces jointes, liens et en-têtes préparés, testé avec des modèles de test inoffensifs plutôt qu’avec de vrais logiciels malveillants.
  • Sécurité des boîtes aux lettres dans Microsoft 365Authentification héritée, transferts externes, consentements d’applications et configuration de l’audit, sous forme de revue de configuration.

Cadre et mandat

Chaque test commence par un mandat écrit : périmètre, fenêtre temporelle, interlocuteurs et systèmes exclus sont définis au préalable. Seuls sont testés les systèmes dont le mandant a le droit de disposer ; pour les tests contre Microsoft 365, les Rules of Engagement de Microsoft pour les tests d’intrusion dans le cloud s’appliquent en plus. Les simulations d’hameçonnage visant les collaborateurs ne font pas partie du périmètre standard et ne sont réalisées qu’après concertation avec les responsables des ressources humaines et de la protection des données.

Déroulement d’une mission

  1. Mandat et périmètreDéfinir par écrit les objectifs, les systèmes, la fenêtre temporelle et le contact d’urgence.
  2. ReconnaissanceÉvaluer les informations publiquement visibles : DNS, MX, certificats, services exposés.
  3. TestsDans la fenêtre temporelle convenue, chaque étape journalisée et traçable.
  4. Rapport et test de contrôleConstats priorisés selon le risque, avec des mesures concrètes ; après la mise en œuvre, un test de contrôle des points critiques.

Exemples tirés de la pratique