PhishER de KnowBe4 est une plateforme SOAR (Security Orchestration, Automation, and Response - Orchestration, automatisation et réponse en matière de sécurité) qui gère les e-mails signalés par vos utilisateurs. PhishER permet à votre organisation d’identifier les menaces potentielles contenues dans les e-mails afin de renforcer vos mesures de sécurité et votre plan de défense en profondeur.
PhishER est disponible en tant que plateforme autonome, mais son fonctionnement est optimal lorsqu’elle est utilisée avec la console KSAT. PhishER peut également s’intégrer à des outils d’analyse tiers tels que VirusTotal et Syslog pour fournir à votre organisation des évaluations et des analyses de sécurité.
Flux de travail PhishER
Vous trouverez ci-dessous un schéma représentant le flux de travail PhishER. Nous vous recommandons de consulter ce flux de travail avant de commencer afin de mieux comprendre PhishER.
Pour en savoir plus sur ce flux de travail, reportez-vous à la liste ci-dessous :
- Lorsque vos utilisateurs signalent des e-mails suspects, ces e-mails sont envoyés à la boîte de réception PhishER.
- À l’aide de vos règles personnalisées, PhishER analyse les composants de l’e-mail à la recherche de contenu malveillant ou de signaux d’alarme. PhishER attribue ensuite des tags aux e-mails qui répondent aux critères de vos règles.
- Les tags déclenchent l’exécution par PhishER de vos actions spécifiques. En fonction des actions et des règles personnalisées de votre organisation, PhishER identifiera automatiquement chaque e-mail. L’identification vous permet de hiérarchiser les e-mails signalés et de réagir rapidement aux véritables attaques par hameçonnage.
- Si vous avez activé PhishER Blocklist, vous pouvez utiliser les informations des e-mails malveillants ou autres courriers indésirables pour empêcher tout e-mail similaire d’arriver dans la boîte de réception de vos utilisateurs. Si vous disposez d’un abonnement PhishER Plus et avez activé Global Blocklist, vous pouvez utiliser des informations collectées de façon participative pour bloquer des e-mails similaires.
- Si vous avez activé PhishRIP, vous pouvez supprimer les e-mails malveillants ou indésirables similaires déjà présents dans la boîte de réception de vos utilisateurs. Si vous disposez d’un abonnement PhishER Plus et avez activé Global BlocklistRIP, vous pouvez utiliser des informations collectées de façon participative pour supprimer des e-mails similaires.
- Si vous avez activé PhishFlip, vous pouvez réutiliser les e-mails signalés pour créer des campagnes et des modèles d’hameçonnage KSAT. PhishFlip supprime tout élément malveillant des e-mails signalés avant d’envoyer les tests d’hameçonnage à vos utilisateurs.
Prérequis
Lorsque vous utilisez PhishER et KSAT conjointement, vous devez acheter le même nombre de postes pour les deux produits. Si vous achetez des postes supplémentaires pour l’un des produits pendant la durée de votre abonnement, vous devez le faire pour l’autre également.
Tous les clients PhishER devront disposer d’un système de redirection des e-mails pour transférer tous les e-mails signalés par les utilisateurs vers votre boîte de réception PhishER à des fins d’analyse. Nous vous recommandons d’installer le Phish Alert Button (bouton d’alerte hameçonnage) pour votre organisation, mais vous pouvez également permettre à vos utilisateurs de transférer manuellement les e-mails à une adresse e-mail de signalement. Pour en savoir plus sur ces méthodes, consultez notre Manuel de produit du Phish Alert Button ainsi que l’article Paramètres PhishER.
Création de votre compte
Tout d’abord, vous devez créer un compte PhishER.
Pour créer votre compte, procédez comme suit :
- Connectez-vous à votre compte KnowBe4.
- Cliquez sur votre nom dans le coin supérieur droit de la page. Dans le menu déroulant qui s’ouvre, sélectionnez Paramètres du compte.
- Accédez à Intégrations du compte > PhishER.
- Cliquez sur le bouton Créer un compte PhishER.
Accès à PhishER
Une fois le compte PhishER de votre organisation créé et PhishER activé dans votre compte, le bouton Accéder à PhishER s’affiche sur la page Paramètres du compte de KnowBe4. Si vous cliquez sur ce bouton, vous serez directement dirigé vers votre plateforme PhishER. Vous pouvez sinon accéder à votre plateforme PhishER en vous rendant à l’adresse URL correspondante à votre adresse KnowBe4. Pour en savoir plus, consultez la capture d’écran et la liste ci-dessous :
- États-Unis : https://phisher.knowbe4.com
- Canada : https://ca.phisher.knowbe4.com
- Union européenne : https://eu.phisher.knowbe4.com
- Allemagne : https://de.phisher.knowbe4.com
- Royaume-Uni : https://uk.phisher.knowbe4.com
Définition des adresses e-mail de signalement
Vous devez configurer au moins une adresse e-mail de signalement pour transférer les e-mails vers votre boîte de réception. Si votre organisation utilise le PAB, vous devez configurer une adresse e-mail de signalement pour chaque instance de PAB.
Pour définir des adresses e-mail de signalement, procédez comme suit :
- Connectez-vous à votre compte KnowBe4.
- Cliquez sur votre nom dans le coin supérieur droit de la page. Dans le menu déroulant qui s’ouvre, sélectionnez Paramètres du compte.
- Accédez à Intégrations du compte > Phish Alert et ouvrez les paramètres d’une instance de PAB.
- Dans le champ Transférer les e-mails d’hameçonnage non simulés à, saisissez vos adresses e-mail de signalement. Pour en savoir plus sur ce champ, consultez la section Activation et configuration du Phish Alert Button du Manuel de produit du Phish Alert Button.
- Cliquez sur le bouton Enregistrer les paramètres de Phish Alert.
- Au bas de la page, cliquez sur le bouton Enregistrer les modifications.
Dashboard (Tableau de bord)
Lorsque vous ouvrez votre plateforme PhishER, la page Dashboard (Tableau de bord) s’affiche. Sur cette page, vous pouvez afficher un rapide aperçu de votre plateforme PhishER. Pour en savoir plus sur cette page, consultez la capture d’écran et la liste ci-dessous :
- Rechercher : vous pouvez saisir des requêtes Lucene dans cette barre de recherche pour filtrer votre tableau de bord. Le tableau de bord affichera un aperçu des informations sur tous les messages correspondant aux critères.
-
Edit Dashboard Layout (Modifier la disposition du tableau de bord) : vous pouvez cliquer sur cette icône pour ajouter ou supprimer des widgets de votre tableau de bord. Vous pouvez faire glisser, déposer et redimensionner chaque widget pour créer une disposition personnalisée. Lorsque vous cliquez sur cette icône, les boutons Reset Dashboard Layout (Réinitialiser la disposition du tableau de bord) et Add Widget (Ajouter un widget) s’affichent.
-
Last 30 days (30 derniers jours) : par défaut, le tableau de bord présente les données et l’activité des 30 derniers jours. Toutefois, vous pouvez régler l’affichage du tableau de bord pour obtenir une autre plage de dates en cliquant sur le bouton Last 30 days (30 derniers jours). Si vous cliquez sur ce bouton, la fenêtre contextuelle de plage de dates s’ouvre.
- Reported Messages (Messages signalés) : cette section présente le nombre de messages signalés qui ont été transférés vers votre boîte de réception PhishER.
- Automatically Resolved (Résolution automatique) : cette section présente le nombre de messages qui ont été identifiés en fonction de vos actions et règles activées.
- Manually Resolved (Résolution manuelle) : cette section présente le nombre de messages qui ont été identifiés sans vos actions et règles actives.
- Unresolved (Sans résolution) : cette section présente le nombre de messages qui n’ont pas été identifiés.
- Received Messages (Messages reçus) : cet histogramme présente le nombre de messages signalés transférés vers votre boîte de réception PhishER. Les données affichent le nombre de messages signalés par jour ou par heure.
- Messages Summary (Résumé des messages) : ce graphique circulaire fournit une comparaison des messages présentant les statuts Automatically Resolved (Résolution automatique), Manually Resolved (Résolution manuelle) et Pending Review (En attente de révision).
- Reported Messages by Category (Messages signalés par catégorie) : ce graphique linéaire présente la manière dont les messages ont été identifiés. Les messages peuvent être identifiés comme Clean (Sûr), Spam (Courrier indésirable) ou Threat (Menace). Par défaut, chaque message est identifié comme Unknown (Inconnu) jusqu’à ce que PhishER ou qu’un administrateur l’identifie dans l’une des autres catégories.
- Categories (Catégories) : ce graphique circulaire présente une comparaison des messages identifiés.
- Reported Messages by Priority (Messages signalés par priorité) : ce graphique linéaire présente la priorité des messages signalés. Un message peut se voir attribuer l’une des priorités suivantes : Unknown (Inconnue), Low (Faible), Medium (Moyenne), High (Élevée) ou Critical (Critique). Les données affichent le nombre de messages signalés par jour ou par heure pour chaque type de priorité.
- Priorities (Priorités) : ce graphique circulaire présente une comparaison de la manière dont les messages sont hiérarchisés.
Rooms (Salles)
L’onglet Rooms (Salles) contient plusieurs vues filtrées des messages dans votre boîte de réception PhishER. Chaque vue filtrée sera basée sur vos requêtes enregistrées et sur les filtres générés par le système. Vous pouvez afficher une version filtrée de votre boîte de réception, tableau de bord ou rapport en cliquant sur les icônes situées à côté de chaque filtre généré par le système.
Si vous cliquez sur un groupe de messages spécifique dans une salle, vous verrez une vue filtrée de votre boîte de réception qui affichera tous les messages du groupe. Un groupe de messages est créé dans une salle si au moins deux messages répondent à ses critères.
Pour en savoir plus sur les salles, consultez notre article Comment créer des salles PhishER et les gérer.
Inbox (Boîte de réception)
Vous pouvez afficher tous les messages signalés de vos utilisateurs à partir de l’onglet Inbox (Boîte de réception). Ces messages incluent tous les e-mails que vos utilisateurs ont signalés à l’aide du Phish Alert Button ou en transférant manuellement les e-mails à une adresse e-mail de signalement. À partir de cet onglet, vous pouvez filtrer les messages et enregistrer des paramètres de filtre personnalisés en tant que salle. Vous pouvez également effectuer des actions et modifier l’identification des messages.
Grâce à des outils d’analyse tiers, PhishER organise les messages en fonction des différents éléments qui le composent, notamment les données brutes, les en-têtes, les pièces jointes et le corps. Lorsque vous cliquez sur un message individuel, la page Message Details (Détails du message) affiche des informations détaillées relatives au message, telles que ses composants. Cette page vous permet également d’effectuer des actions sur un message et d’utiliser la fonctionnalité Discussion pour en parler avec vos administrateurs.
Pour en savoir plus sur la boîte de réception, consultez notre article Comment utiliser votre boîte de réception PhishER.
Rules (Règles)
Vous pouvez afficher toutes vos règles PhishER à partir de l’onglet Rules (Règles). Une règle est une expression logique utilisée pour identifier des e-mails transférés vers la boîte de réception PhishER. Pour identifier des e-mails, toutes les règles doivent suivre la logique de règle YARA.
En fonction de cette règle, un tag est ajouté aux e-mails au moment où ils sont transférés vers la boîte de réception PhishER. L’onglet Rules (Règles) inclut la page Rules List (Liste des règles), qui comporte les sous-onglets suivants :
- Custom Rules (Règles personnalisées) : ce sous-onglet répertorie les règles entièrement créées par votre organisation à l’aide de l’éditeur de règles PhishER.
- System Rules (Règles système) : ce sous-onglet répertorie l’ensemble de règles par défaut fournies par KnowBe4.
- Global Variables (Variables globales) : ce sous-onglet répertorie les variables globales créées par votre organisation pour les règles personnalisées. Si vous utilisez plusieurs règles avec les mêmes chaînes, vous pouvez utiliser des variables globales pour mettre à jour toutes ces règles en même temps.
Pour en savoir plus sur les règles, consultez notre article Comment créer des règles PhishER et les gérer.
Actions
Vous pouvez afficher toutes vos actions PhishER à partir de l’onglet Actions. Lorsqu’un tag est attribué à un message, il indique la manière dont le message doit être traité dans PhishER. L’action lance ensuite les étapes de ce processus. Par exemple, vous pouvez créer une action pour attribuer une catégorie Courrier indésirable à tous les messages correspondants. L’onglet Actions inclut la page Actions List (Liste des actions), dans laquelle vous pouvez créer et gérer toutes les actions sur votre plateforme PhishER.
Pour en savoir plus sur les actions, consultez notre article Comment créer des actions PhishER et les gérer.
Reports (Rapports)
Vous pouvez afficher tous vos rapports PhishER dans l’onglet Reports (Rapports). Chaque sous-onglet présente un rapport contenant les informations les plus courantes contenues dans les e-mails signalés par vos utilisateurs. Par défaut, chaque rapport présente les données et les activités des 30 derniers jours, mais vous pouvez modifier cette plage de dates en cliquant sur le bouton Last 30 Days (30 derniers jours) dans le coin supérieur droit de la page.
L’onglet Reports (Rapports) inclut les sous-onglets suivants :
- Attachments (Pièces jointes) : ce sous-onglet présente les types de pièces jointes les plus courants dans les e-mails signalés par les utilisateurs.
- Reporters (Informateurs) : ce sous-onglet présente les utilisateurs qui signalent le plus les e-mails.
- Senders (Expéditeurs) : ce sous-onglet présente les domaines d’expéditeur les plus courants associés aux e-mails signalés par les utilisateurs.
- Domains and URLs (Domaines et URL) : ce sous-onglet présente les URL et les domaines les plus courants dans les e-mails signalés par les utilisateurs.
- Tags : ce sous-onglet présente les tags les plus courants appliqués aux e-mails signalés par les utilisateurs.
Pour en savoir plus sur les rapports, consultez notre article Comment utiliser les rapports PhishER.
Blocklist
La fonctionnalité PhishER Blocklist permet à votre serveur de messagerie Microsoft 365 d’empêcher les e-mails malveillants ou indésirables d’atteindre les boîtes de réception de vos utilisateurs. Vous pouvez afficher toutes les entrées de votre blocklist en ouvrant l’onglet Blocklist, puis le sous-onglet Your Syncing Entries (Vos entrées en cours de synchronisation). Lorsque vous examinez les e-mails signalés par les utilisateurs, vous pouvez mettre à jour votre blocklist afin d’envoyer des informations relatives aux menaces ou aux courriers indésirables à votre serveur de messagerie.
Pour plus d’informations sur les blocklists, consultez notre article Comment utiliser PhishER Blocklist.
PhishRIP
PhishRIP est une fonctionnalité PhishER de mise en quarantaine des e-mails qui permet à votre organisation de rechercher les e-mails signalés par les utilisateurs dans toutes les boîtes de réception connectées à votre instance Microsoft 365 ou Google Workspace. Vous pouvez afficher tous vos résultats de recherche PhishRIP, ou requêtes, dans l’onglet PhishRIP. PhishRIP permet de prévenir les attaques par hameçonnage actives en supprimant les menaces potentielles des boîtes de réception de vos utilisateurs.
Lorsque vous sélectionnez un message individuel dans votre boîte de réception et que vous cliquez sur le menu déroulant Run (Exécuter), vous pouvez déclencher des actions qui s’exécuteront sur les messages identifiés par les requêtes PhishRIP.
Pour plus d’informations sur PhishRIP, consultez notre article Comment utiliser PhishRIP.
PhishFlip
PhishFlip est une fonctionnalité PhishER qui permet à votre organisation de réutiliser les e-mails signalés par les utilisateurs dans le cadre de campagnes d’hameçonnage dans votre console KSAT. PhishFlip supprime tout contenu malveillant des e-mails signalés, de sorte que ceux-ci peuvent être envoyés en toute sécurité à vos utilisateurs en tant que modèles d’hameçonnage.
Une fois PhishFlip activé sur votre plateforme PhishER, vous pouvez créer des modèles d’hameçonnage KSAT à partir des e-mails signalés par les utilisateurs. Vous pouvez ensuite utiliser ces modèles d’hameçonnage pour créer des campagnes d’hameçonnage dans votre console KSAT. Vous pouvez également créer des campagnes PhishFlip automatiques contenant des e-mails signalés spécifiques à partir de votre plateforme PhishER.
Pour en savoir plus sur PhishFlip, consultez notre article Comment utiliser PhishFlip.