La règle d’or de l’analyse d’emails est la confiance zéro (Zero Trust). L’analyste ne doit jamais présumer de l’innocuité de l’échantillon ni double-cliquer sur le fichier dans un environnement de travail standard.
cat, less) pour inspecter la structure MIME brute.Les en-têtes (headers) constituent la source de vérité absolue pour retracer l’origine d’un message. Ils documentent le chemin exact emprunté par l’email sur Internet. Les en-têtes doivent être lus de bas en haut.
Received:)Localiser la série d’en-têtes Received:. Le premier en-tête Received: (celui situé le plus bas dans le bloc d’en-têtes) révèle généralement l’adresse IP source originale de l’expéditeur.
Localiser l’en-tête Authentication-Results. Celui-ci contient le verdict du premier serveur de réception de confiance (ex: Microsoft 365 ou Google Workspace).
SPF (Sender Policy Framework)
Vérifie si l’IP expéditrice est autorisée par le propriétaire du domaine. Un spf=fail ou softfail indique un expéditeur non autorisé. Note : SPF vérifie le domaine du Return-Path, et non l’adresse visible dans le champ From:.
DKIM (DomainKeys Identified Mail)
Garantit l’intégrité du message. Un dkim=fail signifie que la signature cryptographique est invalide, suggérant que l’email a été altéré en transit ou que la clé de signature est falsifiée.
DMARC (Domain-based Message Authentication)
Lie les vérifications SPF et DKIM à l’adresse visible dans le champ From:. Un dmarc=fail est l’indicateur technique le plus fort d’une tentative d’usurpation de domaine (spoofing). Vérifier la politique appliquée (ex: p=quarantine ou p=reject).
Les adversaires manipulent souvent les adresses d’affichage pour tromper le destinataire. Comparer les champs suivants :
From: l’adresse affichée à l’utilisateur final.Return-Path: l’expéditeur de l’enveloppe (MAIL FROM), utilisé pour les messages de rebond et les vérifications SPF.Reply-To: l’adresse à laquelle la réponse de la victime sera réellement envoyée.From: est pdg@votre-entreprise.com, mais que le Return-Path est attaquant@domaine-russe.ru et le Reply-To est une adresse webmail gratuite, il s’agit d’une campagne d’usurpation confirmée.https://banque-securisee.com) avec la véritable destination du href (http://domaine-phishing-malveillant.com).emlAnalyzer) pour extraire la pièce jointe sans l’exécuter.Une fois l’analyse conclue, les IOCs extraits doivent être militarisés pour balayer l’environnement de l’entreprise et éradiquer la menace.
// Recherche de tous les emails reçus de l'IP malveillante ou contenant l'URL piégéeEmailEvents| where SenderIPv4 == "198.51.100.42" or SenderMailFromAddress == "attaquant@evil.com"| join kind=inner EmailUrlInfo on NetworkMessageId| where Url contains "domaine-phishing-malveillant.com"| project Timestamp, Subject, SenderFromAddress, RecipientEmailAddress, DeliveryAction# Recherche dans les journaux de la passerelle de messagerie pour l'expéditeur ou le hash de la pièce jointeindex=email sourcetype=cisco:esa OR sourcetype=proofpoint(src_ip="198.51.100.42" OR sender="*@evil.com" OR file_hash="e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855")| table _time, recipient, sender, subject, action, file_nameSi les requêtes de chasse révèlent qu’un utilisateur a cliqué avec succès sur le lien ou téléchargé la pièce jointe, basculez immédiatement vers lePlaybook de triage d’alerte EDR pour contenir le terminal compromis.