Section 1 — Description de l’e-mail et artefacts collectés
Artefacts de l’en-tête
| Champ | Valeur |
|---|---|
| Adresse d’envoi | [expediteur@domaine.com] |
| Reply-To | [reponse@domaine.com — si différente de l’expéditeur] |
| Objet | [Objet de l’e-mail] |
| Date et heure | [JJ mois AAAA, HH:MM] |
| Destinataire(s) | [user1@org.com, user2@org.com, …] |
| IP du serveur d’envoi | [x.x.x.x] |
| DNS inverse | [résultat rDNS — nom du fournisseur] |
Artefacts web (le cas échéant)
| Champ | Valeur |
|---|---|
| URL complète (neutralisée) | hxxps://malicious[.]domain/path/page.php? |
| Domaine racine | hxxps://malicious[.]domain |
Artefacts de pièce jointe (le cas échéant)
| Champ | Valeur |
|---|---|
| Nom du fichier | [fichier.ext] |
| Hash MD5 | [valeur du hash] |
Description de l’e-mail
[Décrire ce que l’e-mail prétend être, qui il usurpe, quelle action il demande au destinataire, et les techniques d’ingénierie sociale utilisées : urgence, peur, autorité, logo et charte d’une marque, etc.]
Section 2 — Analyse des artefacts
Vérification de la passerelle e-mail [Un destinataire a-t-il répondu à l’expéditeur ? Vérifier les e-mails sortants vers l’adresse d’envoi.]
Analyse du DNS inverse [L’IP du serveur d’envoi correspond-elle au domaine annoncé par l’expéditeur ? Confirmer l’origine réelle de l’e-mail.]
Analyse de l’URL / du domaine (URL2PNG, VirusTotal) [Qu’héberge l’URL ? Le domaine est-il signalé comme malveillant ? Du typosquatting ou des astuces de sous-domaine pour paraître légitime ?]
Vérification SIEM / EDR [Des employés se sont-ils connectés au domaine malveillant ou ont-ils exécuté la pièce jointe ? Des alertes se sont-elles déclenchées ?]
Analyse de la pièce jointe (le cas échéant) [Recherche du hash MD5 sur VirusTotal. Quel type de malware ? S’est-il exécuté sur une machine ?]
Section 3 — Mesures défensives proposées
Blocage de l’expéditeur — passerelle e-mail
[Expliquer pourquoi bloquer l’adresse de l’expéditeur est approprié. Indiquer qu’il n’y a pas d’impact négatif pour l’activité. Si bloquer tout le domaine est excessif (une seule boîte observée), justifier le blocage de l’adresse seule et pas du domaine.]
✅ Blocage de l’expéditeur (passerelle e-mail) « [expediteur@domaine.com] » le [JJ mois AAAA] à [HH:MM] par [nom de l’analyste]
Blocage du domaine — proxy web
[Expliquer pourquoi le domaine est malveillant d’après VirusTotal et l’analyse de l’URL. Confirmer qu’aucun besoin métier ne justifie que les employés le visitent. Toujours bloquer le domaine racine, pas seulement le chemin complet de l’URL.]
✅ Blocage du domaine (proxy web) « hxxps://malicious[.]domain » le [JJ mois AAAA] à [HH:MM] par [nom de l’analyste]
Blocage du hash — EDR (le cas échéant)
[Bloquer le hash du fichier dans l’EDR / l’AV pour empêcher son exécution sur toute machine ayant pu recevoir la pièce jointe.]
✅ Blocage du hash (EDR) « [hash MD5] » le [JJ mois AAAA] à [HH:MM] par [nom de l’analyste]