Résoudre les problèmes courants de stratégie anti-courrier indésirable

Conseil

Saviez-vous que vous pouvez essayer gratuitement les fonctionnalités de Microsoft Defender pour Office 365 Plan 2 ? Utilisez la version d’évaluation de 90 jours de Defender pour Office 365 dans le hub d’évaluation du portail Microsoft Defender. Découvrez qui peut s’inscrire et les conditions d’essai sur Essayer Microsoft Defender pour Office 365.

Utilisez les informations suivantes pour diagnostiquer et résoudre les problèmes courants de stratégie anti-courrier indésirable :

  • Conflits de priorité de stratégie.
  • Des filtres inattendus de spam qui dépassent les choses.
  • Faux positifs dus aux paramètres du filtre anti-spam avancé (ASF).

Conseil

Diagnostic des stratégies de protection contre les menaces par e-mail pour un destinataire

Répertoriez les stratégies de menace dans les fonctionnalités de sécurité intégrées pour toutes les boîtes aux lettres cloud et dans Microsoft Defender for Office 365 qui s’appliquent à un message reçu ou à un destinataire, et identifiez le connecteur entrant utilisé pour le message.

Problèmes de priorité de stratégie

Les stratégies anti-courrier indésirable sont évaluées dans un ordre spécifique. Seule la première règle correspondante (priorité la plus élevée) s’applique à un destinataire. Les stratégies anti-courrier indésirable sont traitées dans l’ordre suivant :

Priorité Stratégie Remarques
1 (plus élevé) Stratégie de sécurité prédéfinie stricte Appliqué en premier si activé. Les paramètres ne peuvent pas être modifiés.
2 Stratégie de sécurité standard prédéfinie Appliqué ensuite si activé. Les paramètres ne peuvent pas être modifiés.
3 Stratégies anti-courrier indésirable personnalisées Appliqué dans l’ordre de priorité (0 = priorité la plus élevée).
4 (plus bas) Stratégie anti-courrier indésirable par défaut A toujours la priorité la plus basse. S’applique aux destinataires non couverts par une autre stratégie. Impossible de supprimer ou de renommer.

Important

La protection anti-courrier indésirable s’arrête pour un destinataire après l’application de la première stratégie. Si un utilisateur est couvert par la stratégie de sécurité prédéfinie Strict, les paramètres de stratégie anti-courrier indésirable personnalisés et par défaut sont ignorés pour cet utilisateur.

Pour obtenir le modèle de précédence complet pour toutes les fonctionnalités de protection, consultez Ordre et priorité de la protection des e-mails.

Problème : les paramètres de stratégie personnalisés ne sont pas appliqués

Symptôme : Vous avez configuré une politique anti-spam personnalisée avec des paramètres spécifiques (par exemple, un seuil de niveau de plainte en masse (BCL) plus élevé ou une action de spam différente), mais ces paramètres ne s’appliquent pas à certains utilisateurs.

Cause probable : les utilisateurs concernés sont également inclus dans une stratégie de sécurité prédéfinie (Standard ou Strict), qui est prioritaire sur les stratégies personnalisées.

Comment diagnostiquer :

  1. Dans le portail Microsoft Defender, à l’adresse , sur la page https://security.microsoft.com/presetSecurityPolicies, vérifiez si les stratégies de sécurité prédéfinies Standard ou Strict sont activées et quels utilisateurs, groupes ou domaines sont inclus.
  2. Comparez l’étendue du destinataire de la stratégie prédéfinie à votre stratégie personnalisée.

Résolution :

  • Si vous avez besoin de paramètres personnalisés pour des utilisateurs spécifiques, effectuez l’une des étapes suivantes :
    • Ajoutez ces utilisateurs en tant qu’exclusions dans les stratégies de sécurité prédéfinies.
    • Utilisez des affectations d’utilisateurs ou de groupes spécifiques pour les stratégies de sécurité prédéfinies et les stratégies personnalisées afin de vous assurer que les utilisateurs ciblés sont affectés uniquement à la stratégie personnalisée.

Dans Exchange Online PowerShell, exécutez la commande suivante pour vérifier quelle stratégie anti-spam s’applique à un utilisateur spécifique :

Get-HostedContentFilterRule | Where-Object {$_.State -eq 'Enabled'} | Format-Table Name, Priority, SentTo, SentToMemberOf, RecipientDomainIs

Problème : Deux stratégies personnalisées se chevauchent et une stratégie incorrecte s’applique

Symptôme : un utilisateur correspond aux conditions de destinataire de deux stratégies anti-courrier indésirable personnalisées, mais les paramètres de stratégie incorrects s’appliquent.

Cause probable : la stratégie que vous souhaitez appliquer a une priorité inférieure (numéro de priorité plus élevé) que l’autre stratégie.

Comment diagnostiquer :

  1. Sur la page Stratégies anti-courrier indésirable du portail Defender à l’adresse https://security.microsoft.com/antispam, examinez la colonne Priorité pour les stratégies anti-courrier indésirable de courrier entrant.
  2. Vérifiez les conditions de destinataire (utilisateurs, groupes, domaines) des deux stratégies.

Résolution :

Réorganisez les stratégies afin que la stratégie plus spécifique ait une priorité plus élevée (numéro de priorité inférieur). Pour obtenir des instructions, consultez Utiliser le portail Microsoft Defender pour définir la priorité des stratégies anti-courrier indésirable personnalisées ou Utiliser PowerShell pour définir la priorité des règles de filtrage du courrier indésirable.

Conseil

Concevez vos stratégies de la plus spécifique à la moins spécifique. Utilisez des étendues de destinataires étroites pour les stratégies spécialisées (utilisateurs ou groupes spécifiques) et des étendues plus larges pour les stratégies générales.

Problème : La stratégie par défaut a des paramètres inattendus

Symptôme : les utilisateurs non couverts par une autre stratégie reçoivent un comportement de filtrage du courrier indésirable inattendu.

Cause probable : la stratégie anti-courrier indésirable par défaut a été modifiée à partir de ses paramètres d’origine, ou vous vous attendez à ce que la stratégie par défaut se comporte comme une stratégie personnalisée.

Résolution :

Comportement de dérogation de verdict par spam

Certains mécanismes peuvent passer outre le verdict de spam sur un message, comme les règles de flux de messagerie ou le filtrage de connexion. Ces dérogations peuvent affecter si les messages sont envoyés dans la boîte de réception, le dossier des courriels indésirables ou la quarantaine. Dans les organisations cloud, le filtrage du spam classe les messages et agit en utilisant la catégorisation des messages et d’autres signaux.

Les mécanismes suivants peuvent passer outre le verdict attribué par le filtrage anti-spam. Leur comportement et leurs limitations affectent la résolution des problèmes :

Mécanisme de remplacement Résultat Limitations Détails
Règles de flux de messagerie (règles de transport) Régler le niveau de confiance en spam (SCL) à -1 (contournement) ou 0-9 (pour les actions dans les environnements Exchange sur site) Impossible de contourner les programmes malveillants ou le filtrage d’hameçonnage à haute confiance. SCL -1 remplace uniquement le filtrage du courrier indésirable. Utiliser des règles de flux de courrier pour définir le seuil SCL
Liste d’adresses IP autorisées (filtrage des connexions) Contourner la plupart des filtrages pour les messages provenant des IP autorisées Ne contourne pas l’analyse des logiciels malveillants ni la détection de l’hameçonnage à forte probabilité. Ne remplace pas les échecs DMARC. Configuration du filtrage des connexions
Expéditeurs/domaines autorisés (stratégie anti-courrier indésirable) Contourne le filtrage du courrier indésirable pour les expéditeurs ou domaines spécifiés Risque élevé : les attaquants peuvent usurper des domaines autorisés. Ne contourne pas les logiciels malveillants ni les tentatives d’hameçonnage à forte probabilité. Créer des listes d’expéditeurs approuvés
Liste d’autorisation/de blocage du locataire Autorise ou bloque des expéditeurs, des domaines, des URL ou des fichiers spécifiques Les entrées d’autorisation sont temporaires par défaut. Les entrées de blocage priment sur les entrées autorisées. Liste d’autorisation/de blocage du locataire
Expéditeurs approuvés Outlook (au niveau de l’utilisateur) Contourne le filtrage anti-spam pour les messages provenant des expéditeurs dans la liste des expéditeurs sûrs de l’utilisateur Ne contourne pas les logiciels malveillants ni les tentatives d’hameçonnage à forte probabilité. Crée un risque d’usurpation ciblée. Agrégation de listes fiables
Stratégie de livraison avancée Contourne le filtrage des boîtes aux lettres SecOps et des messages de simulation de hameçonnage Spécialement conçu pour des scénarios spécifiques. Ne l’utilisez pas pour les listes d’autorisation générales. Configurer une stratégie de remise avancée
Filtrage amélioré pour les connecteurs (liste ignorée ) Conserve l’adresse IP source d’origine pour des vérifications SPF/authentification précises Ne contourne pas le filtrage, mais affecte la façon dont le filtrage évalue la source du message. Filtrage amélioré pour les connecteurs
  • Un SCL de -1 est une instruction pour contourner le filtrage du spam, pas nécessairement la valeur SCL estampillée sur le message. Un message qui saute le filtrage anti-spam peut toujours être scanné et estampillé avec un SCL de 0 ou 1 pour indiquer qu’il a été évalué et jugé ne pas être du spam.
  • Même lorsqu’un message contourne le filtrage anti-spam, les protections suivantes ne sont jamais contournées :
    • Analyse des programmes malveillants : les messages contenant des programmes malveillants sont toujours mis en quarantaine.
    • Hameçonnage à haute confiance (HPHSH) : Les messages identifiés comme un hameçonnage à haute confiance sont toujours mis en quarantaine (sauf si l'enregistrement MX ne pointe pas vers Microsoft 365 et qu'une règle de -1 SCL est en place).

Prudence

Définir SCL sur -1 via une règle de flux de messagerie crée un risque significatif si les conditions ne sont pas soigneusement délimitées. Utilisez toujours les conditions les plus étroites possibles.

Problème : La règle de flux de courrier SCL -1 remet le courrier indésirable dans la boîte de réception

Symptôme : les utilisateurs reçoivent du courrier indésirable ou des messages d’hameçonnage dans leur boîte de réception au lieu d’une Email ou d’une mise en quarantaine.

Cause probable : une règle de flux de messagerie définit SCL sur -1 pour une étendue trop large. Par exemple, tous les messages d’un domaine ou d’une plage d’adresses IP spécifiques, ou tous les messages acheminés via un connecteur.

Comment diagnostiquer :

  1. Dans la page Règles du Centre d’administration Exchange à l’adresse https://admin.exchange.microsoft.com/#/transportrules, recherchez des règles avec l’action Définir le niveau de confiance du courrier indésirable (SCL) sur Ignorer le filtrage du courrier indésirable ou -1.
  2. Passez en revue les conditions. Sont-ils trop larges ?

Résolution :

  • Restreindre les conditions : ajoutez d’autres conditions à la règle (par exemple, adresse de l’expéditeur + valeur d’en-tête spécifique).
  • Utilisez plutôt le filtrage amélioré pour les connecteurs : si la règle existe parce que le courrier est acheminé via un service non-Microsoft, configurez le filtrage amélioré pour les connecteurs et supprimez la règle SCL -1.
  • Utiliser la stratégie de remise avancée : pour les boîtes aux lettres SecOps ou les simulations de hameçonnage, utilisez la stratégie de remise avancée au lieu des règles de flux de messagerie.

Problème : les entrées de la liste d’autorisation ne fonctionnent pas

Symptôme : vous avez ajouté un expéditeur à la liste des expéditeurs autorisés dans la stratégie anti-courrier indésirable, mais les messages de cet expéditeur sont toujours filtrés.

Cause probable : une stratégie de sécurité prédéfinie couvre l’utilisateur et remplace les paramètres de stratégie anti-courrier indésirable personnalisés. Ou bien, le filtrage des programmes malveillants ou le filtrage de l’hameçonnage à forte probabilité bloque le message, et les listes d’autorisation ne peuvent pas passer outre ces verdicts.

Comment diagnostiquer :

  1. Vérifiez les en-têtes du message pour l’en-tête X-Forefront-Antispam-Report et recherchez la valeur SFV (résultat du filtrage du courrier indésirable) :
    • SFV:SKA = Le message a été autorisé (filtrage ignoré en raison d’une entrée dans une liste d’autorisation).
    • SFV:SPM = Le message a été marqué comme courrier indésirable (la liste verte n’a pas été appliquée).
  2. Vérifiez si les programmes malveillants ou le filtrage par hameçonnage ont intercepté le message au lieu du filtrage du courrier indésirable.

Résolution :

Déterminez quel composant a filtré le message

Lorsque vous dépannez un comportement inattendu de filtrage anti-spam, identifiez quel composant a filtré le message ou a outrepassé le filtrage. Plusieurs composants dans le pipeline de filtrage Exchange Online peuvent influencer le résultat : filtrage anti-spam, règles de flux de messagerie, filtrage de connexion, listes d’expéditeurs autorisés/bloqués, et paramètres du filtre avancé contre le spam (ASF).

Les étapes suivantes montrent comment utiliser les en-têtes X des messages pour tracer la décision de filtrage.

Étape 1 : Obtenir les en-têtes de message

Pour analyser comment le message a été filtré, vous avez besoin des en-têtes de message internet complets du message concerné :

  • Outlook (version de bureau) : ouvrez le message, puis sélectionnez >Fichier>Propriétés. Les en-têtes apparaissent dans la zone En-têtes Internet .
  • Outlook sur le web : ouvrez le message>, sélectionnez ... (Autres actions) >Afficher afficher>les détails du message.
  • Administration (Suivi des messages) : dans la page Suivi des messages dans le Centre d’administration Exchange, https://admin.exchange.microsoft.com/#/messagetracerecherchez le message et affichez les détails de l’en-tête.

Conseil

Copiez et collez les en-têtes complets dans l’outil Analyseur d’en-tête de message pour les analyser dans un format lisible.

Étape 2 : Rechercher les en-têtes X clés

Les X-headers suivants contiennent les informations nécessaires pour retracer la décision de filtrage :

En-tête Objectif
X-Forefront-Antispam-Report Contient le verdict de filtrage anti-spam (SFV), le verdict IP (IPV), la catégorie de menace (CAT) et d’autres décisions de filtrage.
X-Microsoft-Antispam Contient le niveau de plainte en bloc (BCL) et d’autres champs de diagnostic.
X-CustomSpam Uniquement présent lorsqu’un paramètre de l’ASF a signalé le message. Identifie la règle ASF déclenchée.
Authentication-Results Contient les résultats SPF, DKIM, DMARC et l’authentification composite (compauth).

Pour plus d’informations sur tous les champs d’en-tête, consultez En-têtes de message anti-courrier indésirable dans les organisations cloud.

Étape 3 : lire le verdict du filtrage du courrier indésirable

Le champ SFV (Verdict du filtrage du courrier indésirable) dans l’en-tête X-Forefront-Antispam-Report est le principal indicateur du composant qui a déterminé le sort du message :

Valeur SFV Composant Signification
SFV:BLK Liste des expéditeurs bloqués par l’utilisateur Le message a été bloqué, car l’expéditeur se trouve dans la liste Des expéditeurs bloqués Outlook du destinataire.
SFV:NSPM Filtre anti-spam (filtre de contenu) Le filtrage du courrier indésirable a déterminé que le message n’était pas du courrier indésirable.
SFV:SFE Liste des expéditeurs approuvés par l’utilisateur Le filtrage a été ignoré, car l’expéditeur figure dans la liste des expéditeurs approuvés Outlook du destinataire.
SFV:SKA Liste des expéditeurs/domaines autorisés de la stratégie anti-spam Le filtrage du courrier indésirable a été ignoré, car l’expéditeur ou le domaine figure dans la liste des expéditeurs/domaines autorisés.
SFV:SKB Liste des expéditeurs/domaines bloqués par la stratégie anti-courrier indésirable Le message a été marqué comme courrier indésirable, car l’expéditeur ou le domaine figure dans la liste des expéditeurs/domaines bloqués.
SFV:SKI Liste d’adresses IP autorisées/bloquées (filtrage des connexions) Le message a ignoré le filtrage du courrier indésirable, car l’adresse IP source se trouvait dans la liste d’adresses IP autorisées.
SFV:SKN Règle du flux de courrier Le système a respecté la demande de contourner le filtrage du spam d’une règle avec la fonction Définir l’action du niveau de confiance du spam (SCL) sur Contourner le filtrage du spam (-SetSCL -1).
SFV:SKQ Sortie de quarantaine Le message a été libéré de la quarantaine et remis aux destinataires prévus.
SFV:SKS Règle du flux de courrier ou Exchange sur site Le message a été marqué comme spam avant que le filtrage anti-spam ne le traite, et Secure a par défaut respecté la demande. La source est soit une règle de flux de courrier qui définit le niveau de confiance en le spam (SCL), soit une décision anti-spam transmise depuis Exchange sur site dans un déploiement hybride. La demande de marquer le message comme spam est une entrée au filtrage, pas une décision finale, donc SFV:SKS n’apparaît que lorsque la demande est acceptée.
SFV:SPM Filtre anti-spam (filtre de contenu) Le filtrage du courrier indésirable a marqué le message comme courrier indésirable en fonction de l’analyse du contenu.

Étape 4 : Vérifier le champ IPV pour les décisions au niveau de la connexion

Le champ IPV (verdict IP) indique si le filtre de connexion a pris une décision concernant l’adresse IP source :

Valeur IPV Signification
IPV:CAL L’adresse IP source se trouve dans la liste d’adresses IP autorisées de la stratégie de filtre de connexion. Le filtrage du courrier indésirable a été ignoré.
IPV:NLI L’adresse IP n’a été trouvée dans aucune liste de réputation IP. Aucun remplacement au niveau de la connexion ne s’est produit.

Étape 5 : Vérifier s’il existe des surcharges ASF

Si un paramètre ASF a marqué le message, un en-tête distinct X-CustomSpam est ajouté qui identifie la règle ASF déclenchée. Par exemple :

X-CustomSpam: Web bug

Pour la liste complète des paramètres, X-CustomSpam valeurs et effets de filtrage anti-spam des ASF, consultez les paramètres du filtre anti-spam avancé (ASF) dans les politiques anti-spam.

Remarque

ASF ajoute l’en-tête X-CustomSpamaprès que les règles de flux de messagerie ont traité le message. Vous ne pouvez pas utiliser de règles de flux de messagerie pour identifier ou agir sur les messages que l’ASF signale.

Étape 6 : Vérifier l’implication de la règle de flux de courrier

Si SFV:SKN ou SFV:SKS apparaît dans l’en-tête, une règle de flux de courrier affectait le message avant que le filtrage anti-spam ne le traite : SFV:SKN pour une règle contournant le filtrage anti-spam (SCL -1), ou SFV:SKS pour une règle marquant le message comme spam (SCL 5-9). Dans un déploiement hybride, SFV:SKS cela peut aussi provenir d’une décision de spam Exchange sur site. Ces actions sont des entrées au filtrage, pas des décisions finales, et Secure par défaut pourrait ne pas les honorer.

Pour identifier la règle de flux de courrier responsable :

  1. Dans la page Règles du Centre d’administration Exchange, https://admin.exchange.microsoft.com/#/transportrulesrecherchez des règles avec l’action Définir le niveau de confiance du courrier indésirable (SCL).
  2. Recoupez les conditions de la règle avec le message affecté.

Sinon, utilisez la trace de messages dans le centre d’administration Exchange center (EAC). La sortie détaillée de la trace des messages affiche un événement AGENTINFO qui indique quelle règle a été déclenchée.

Trouver toutes les règles de flux de messagerie définissant SCL

Pour lister toutes les règles de flux de courrier qui définissent le SCL, connectez-vous à Exchange Online PowerShell et exécutez la commande suivante :

Get-TransportRule | Where-Object {$_.SetSCL -ne $null} | Format-Table Name, State, Priority, @{N='SetSCL';E={$_.SetSCL};Alignment='Right'}, @{N='Conditions';E={($_.Conditions -join ', ') -replace 'Microsoft\.Exchange\.MessagingPolicies\.Rules\.Tasks\.','' -replace 'Predicate',''}} -AutoSize -Wrap

Arbre de décision : Tracer la décision de filtrage

Utilisez le flux de travail suivant pour identifier systématiquement quel composant a filtré le message. Commencez par lire l’en-tête X-Forefront-Antispam-Report :

  1. Vérifiez la valeur SFV :

    • SFV:BLK: liste des expéditeurs bloqués de l’utilisateur.
    • SFV:NSPM: Filtre anti-spam (filtre de contenu) marqué comme Non spam.
    • SFV:SFE: liste des expéditeurs approuvés de l’utilisateur.
    • SFV:SKA: liste des expéditeurs/domaines autorisés par la stratégie antispam.
    • SFV:SKB: liste des expéditeurs/domaines bloqués par la stratégie anti-courrier indésirable.
    • SFV:SKI : le filtre de connexion (liste d’adresses IP autorisées) a contourné le filtrage. Vérifiez que IPV:CAL est également présent.
    • SFV:SKN: La règle du flux de courrier a contourné le filtrage.
    • SFV:SKS: Une règle de flux de mails ou un Exchange sur site (en hybride) marquait le message comme spam avant le filtrage (respecté par Secure par défaut).
    • SFV:SPM: Filtre anti-spam (filtre de contenu) marqué comme Spam. Vérifiez la valeur du type de menace dans CAT et l’en-tête X-CustomSpam pour les déclencheurs ASF.

  2. Vérifiez l’en-tête X-CustomSpam (s’il est présent) : un paramètre ASF a été activé. Identifiez le paramètre et désactivez-le si le message est un faux positif.

  3. Vérifiez Authentication-Results (compauth) :

    • compauth=fail reason=000: Échec explicite DMARC (peut entraîner un verdict de spam).
    • compauth=fail reason=001: Échec de l’authentification implicite (intelligence contre l’usurpation d’identité).

Exemples d’en-têtes réels

Les exemples suivants montrent comment interpréter les en-têtes de messages pour identifier quel composant a filtré le message.

  • Message filtré par filtrage anti-spam :

    X-Forefront-Antispam-Report: CIP:198.51.100.50;CTRY:US;LANG:en;
  SFV:SPM;IPV:NLI;SRV:;H:mail.adatum.com;PTR:mail.adatum.com;
  CAT:SPM;SFTY:;DIR:INB;

    Le filtrage anti-spam a marqué le message comme Spam (SFV :SPM, CAT :SPM). Aucun remplacement ne s’est produit (IPV :NLI).

  • Filtrage contourné par une règle de flux de courrier :

    X-Forefront-Antispam-Report: CIP:203.0.113.10;CTRY:GB;LANG:en;
  SFV:SKN;IPV:NLI;SRV:;H:partner-mail.contoso.com;
  CAT:NONE;DIR:INB;

    SFV:SKN indique qu’une règle de flux de mails a sauté le filtrage du spam pour le message. Vérifiez vos règles de flux de courrier pour voir si vous êtes la condition correspondante.

  • Filtrage contourné par la liste d’autorisations IP :

    X-Forefront-Antispam-Report: CIP:192.0.2.25;CTRY:DE;LANG:de;
  SFV:SKI;IPV:CAL;SRV:;H:smtp.fabrikam.de;
  CAT:NONE;DIR:INB;

    L’adresse IP source (192.0.2.25) se trouve dans la liste d’adresses IP autorisées (SFV :SKI, IPV :CAL). Le filtrage de connexion a contourné le filtrage du spam.

  • Message marqué comme spam par un réglage ASF :

    X-Forefront-Antispam-Report: CIP:198.51.100.99;CTRY:US;LANG:en;
  SFV:SPM;IPV:NLI;SRV:;H:bulk.adatum.com;
  CAT:HSPM;DIR:INB;
X-CustomSpam: Web bug

    Le message correspondait aux bugs Web dans le paramètre HTML ASF (X-CustomSpam : Web bug), ce qui le marquait comme spam à haute confiance (CAT :HSPM). Le message contient probablement un pixel de suivi 1x1. Si le message est un bulletin d’informations légitime, désactivez le MarkAsSpamWebBugsInHtml paramètre ASF.

  • Message marqué comme spam par un échec DMARC :

    X-Forefront-Antispam-Report: CIP:198.51.100.77;CTRY:US;LANG:en;
  SFV:SPM;IPV:NLI;SRV:;CAT:SPOOF;DIR:INB;
Authentication-Results: spf=fail (sender IP is 198.51.100.77)
  smtp.mailfrom=fabrikam.com; dkim=none;
  dmarc=fail action=quarantine header.from=fabrikam.com;
  compauth=fail reason=000

    Le message a échoué au DMARC (compauth=raison d’échec=000), et la politique DMARC de l’expéditeur spécifiait la quarantaine. L’application de l’anti-usurpation (DMARC) a marqué le message comme spam (CAT :SPOOF), et non le filtre anti-spam (filtre de contenu).

  • Filtrage contourné par les expéditeurs sûrs pour les utilisateurs :

    X-Forefront-Antispam-Report: CIP:203.0.113.55;CTRY:IN;LANG:en;
  SFV:SFE;IPV:NLI;SRV:;CAT:NONE;DIR:INB;

    L’expéditeur figure dans la liste des expéditeurs approuvés du destinataire (SFV :SFE). Le filtrage du courrier indésirable a été ignoré. Pour vérifier, connectez-vous à Exchange Online PowerShell et vérifiez la configuration des courriels indésirables de l'utilisateur :

    Get-MailboxJunkEmailConfiguration -Identity "user@contoso.com" | Select-Object TrustedSendersAndDomains

Référence rapide pour la décision de filtrage

Preuve d’en-tête Composant Action d’administration
CAT:HPHSH Détection d’hameçonnage avec une fiabilité élevée Les listes d’autorisation ne peuvent pas remplacer ce verdict.
compauth=fail reason=000 + CAT:SPOOF DMARC/anti-usurpation d’identité Examiner la politique DMARC de l’expéditeur ; vérifiez la configuration de la chaîne de réception authentifiée (ARC).
SFV:BLK Expéditeurs bloqués par l’utilisateur (Outlook) Vérifiez BlockedSendersAndDomains depuis Get-MailboxJunkEmailConfiguration.
SFV:SFE Expéditeurs approuvés par l’utilisateur (Outlook) Vérifiez TrustedSendersAndDomains depuis Get-MailboxJunkEmailConfiguration.
SFV:SKA Stratégie anti-courrier indésirable (liste des expéditeurs/domaines autorisés) Consultez les expéditeurs autorisés dans la politique anti-spam.
SFV:SKB Stratégie anti-courrier indésirable (liste des expéditeurs/domaines bloqués) Consultez les expéditeurs bloqués dans la politique anti-spam.
SFV:SKI + IPV:CAL Filtre de connexion (liste d’adresses IP autorisées) Vérifiez IPAllowList depuis Get-HostedConnectionFilterPolicy.
SFV:SKN (contourner le filtrage anti-spam) Règle du flux de courrier Trouver toutes les règles de flux de messagerie définissant SCL
SFV:SKS (signalé comme spam avant le filtrage anti-spam) Règle du flux de courrier ou Exchange sur site Trouvez toutes les règles de flux de courriels définissant SCL. Dans les déploiements hybrides, vérifiez également les décisions de spam sur site.
SFV:SPM + X-CustomSpam: en-tête présent Paramètre ASF Identifiez et désactivez le réglage ASF problématique.
SFV:SPM ou SFV:NSPM, non X-CustomSpam Filtre anti-spam (filtre de contenu) Examiner les actions de la stratégie antipourriel ; signaler les faux positifs.
SRV:BULK + Valeur BCL dans X-Microsoft-Antispam Détection des e-mails en bloc (seuil BCL) Ajustez le seuil BCL dans la politique anti-spam.

Paramètres ASF qui provoquent des faux positifs

Les paramètres du filtre anti-courrier indésirable avancé (ASF) marquent les messages comme courrier indésirable en fonction de propriétés de message spécifiques. Bien que ces paramètres ciblent des caractéristiques couramment trouvées dans le courrier indésirable, ils peuvent provoquer des faux positifs lorsque les messages légitimes contiennent les mêmes propriétés.

Remarque

L’activation d’un ou de plusieurs paramètres ASF est une approche agressive du filtrage du courrier indésirable. Vous ne pouvez pas signaler à Microsoft les messages que les paramètres ASF indiquent comme faux positifs. Microsoft ne recommande plus d’activer les paramètres ASF, car les fonctionnalités sont déjà couvertes par d’autres couches de la pile de filtrage.

Les tableaux suivants identifient les paramètres ASF qui provoquent généralement des faux positifs et fournissent des conseils sur le moment où les désactiver.

Augmenter les paramètres de score de courrier indésirable

Ces paramètres augmentent le score de spam des messages correspondants, ce qui augmente la probabilité que le message reçoive un verdict de filtre anti-spam ainsi que l’action correspondante dans les politiques anti-spam. Tous les messages correspondant à ces conditions ne sont pas marqués comme spam.

Paramètre ASF Paramètre PowerShell Pourquoi cela provoque des faux positifs Recommandation
Liens d’image vers des sites web distants IncreaseScoreWithImageLinks Signale les messages contenant des liens de <Img> balise HTML vers des sites distants. Certains e-mails HTML légitimes incluent des images distantes. Désactivez si vous recevez des e-mails légitimes avec des liens d’image distants.
Adresse IP numérique dans l'URL IncreaseScoreWithNumericIps Signale les messages contenant des URL avec des adresses IP numériques (par exemple, http://192.168.1.1/). Certains systèmes internes légitimes ou applications partenaires utilisent des URL basées sur IP. Désactivez si vous avez des expéditeurs légitimes qui utilisent des URL basées sur IP.
Redirection de l'URL vers un autre port IncreaseScoreWithRedirectToOtherPort Signale les messages contenant des URL qui redirigent vers des ports TCP autres que 80 (HTTP), 8080 (HTTP de remplacement) ou 443 (HTTPS). Certaines applications web légitimes utilisent des ports non standard. Désactivez si les messages légitimes contiennent des liens vers des ports non standard.
Liens vers des sites web .biz ou .info IncreaseScoreWithBizOrInfoUrls Signale les messages contenant des URL .biz ou .info. De nombreuses entreprises légitimes utilisent ces TLD. Désactiver si vous communiquez avec des expéditeurs légitimes qui utilisent des domaines .biz ou .info.

Marquer comme paramètres de courrier indésirable

Les paramètres suivants pour marquer comme spam marquent les messages détectés avec un verdict de filtre anti-spam à haute confiance et l’action correspondante dans les politiques anti-spam :

Paramètre ASF Paramètre PowerShell Pourquoi cela provoque des faux positifs Recommandation
Messages vides MarkAsSpamEmptyMessages Signale les messages sans objet, sans corps de message et sans pièces jointes. Certaines notifications automatisées ou alertes système peuvent être vides. Désactivez si vous recevez des notifications système vides légitimes.
Balises incorporées au format HTML MarkAsSpamEmbedTagsInHtml Signale les messages contenant des <embed> balises HTML. Certains e-mails HTML légitimes utilisent des balises incorporées pour le contenu multimédia. Désactivez si vous recevez des e-mails HTML légitimes avec un média incorporé.
JavaScript ou VBScript dans le code HTML MarkAsSpamJavaScriptInHtml Signale les messages contenant JavaScript ou VBScript. Certains bulletins d’informations ou plateformes marketing légitimes incluent des scripts. Désactivez cette option, sauf si votre organisation exige spécifiquement le blocage des scripts dans les e-mails.
Balises de formulaire en HTML MarkAsSpamFormTagsInHtml Signale les messages contenant des balises HTML <form>. Les invitations à l’enquête légitimes ou les e-mails interactifs peuvent utiliser des étiquettes de formulaire. Évaluer au cas par cas. Laissez activé pour les environnements hautement sécurisés.
Balises frame ou iframe en HTML MarkAsSpamFramesInHtml Signale les messages comportant les balises HTML <frame> ou <iframe>. Certains e-mails légitimes issus d’anciens systèmes utilisent des cadres. Désactivez si vous recevez des e-mails légitimes avec des cadres.
Bogues web dans le code HTML MarkAsSpamWebBugsInHtml Signale les messages contenant des pixels de suivi (images 1×1). Presque tous les e-mails et bulletins de marketing modernes contiennent des pixels de suivi. Désactivez. Ce paramètre provoque un taux très élevé de faux positifs , car les pixels de suivi sont standard dans les e-mails marketing légitimes.
Tags Object dans le code HTML MarkAsSpamObjectTagsInHtml Signale les messages contenant des balises HTML <object>. Rare dans les e-mails légitimes. Peut généralement être laissé activé, sauf si vous recevez des cas précis de faux positifs.
Mots sensibles MarkAsSpamSensitiveWordList Signale les messages contenant des mots de la liste de mots sensibles de Microsoft. Peut signaler des communications RH, médicales ou financières légitimes. Désactivez cette option si vous rencontrez des faux positifs dans les communications professionnelles impliquant du contenu médical, financier ou lié aux ressources humaines.
Enregistrement SPF : échec sévère MarkAsSpamSpfRecordHardFail Signale les messages pour lesquels SPF renvoie un échec définitif. Les expéditeurs légitimes avec des enregistrements SPF mal configurés ou des messages transférés déclenchent ce paramètre. Le mode test n’est pas disponible pour ce paramètre. Désactivez cette option , sauf si vous avez vérifié que tous les expéditeurs légitimes ont des enregistrements SPF corrects. Utilisez plutôt l’application DMARC.

Les paramètres suivants pour marquer comme spam marquent les messages détectés avec un verdict de filtre anti-spam et l’action correspondante dans les politiques anti-spam :

Paramètre ASF Paramètre PowerShell Pourquoi cela provoque des faux positifs Recommandation
Filtrage Sender ID : échec définitif MarkAsSpamFromAddressAuthFail Signale les messages qui échouent aux vérifications de l’ID de l’expéditeur. L’ID de l’expéditeur est un protocole déconseillé que de nombreux expéditeurs légitimes ne prennent pas en charge. Le mode test n’est pas disponible pour ce paramètre. Désactivez. L’ID de l’expéditeur est obsolète. Utilisez SPF/DKIM/DMARC à la place.
Rétrodiffusion de rapport de non-remise MarkAsSpamNdrBackscatter Signale les rapports de non-remise (NDR) qui semblent être des messages de retour générés pour des messages que l’utilisateur n’a pas envoyés. Peut marquer des messages de rebond légitimes. Le mode test n’est pas disponible pour ce paramètre. Désactivez, à moins que vous ne rencontriez une rétrodiffusion importante. Les NDR légitimes provenant de systèmes de messagerie valides peuvent être signalés de manière incorrecte.

Comment identifier les faux positifs dus à ASF

Lorsqu’un paramètre ASF marque un message, un en-tête X X-CustomSpam est ajouté au message. La valeur d’en-tête identifie le paramètre ASF déclenché. Pour obtenir la liste complète des valeurs d’en-tête X-CustomSpam et leurs paramètres ASF correspondants, consultez Paramètres du filtre anti-courrier indésirable avancé (ASF) dans les stratégies anti-courrier indésirable.

Comment désactiver les paramètres ASF

Vous pouvez désactiver les paramètres ASF dans le portail Microsoft Defender ou dans Exchange Online PowerShell. Pour obtenir des instructions détaillées, consultez Activer, désactiver ou tester les paramètres ASF.

Conseil

Utilisez le mode test (disponible pour la plupart des paramètres Increase spam score et Mark as spam) avant d’activer les paramètres ASF en production. En mode test, le paramètre ASF ajoute l’en-tête X correspondant X-CustomSpam au message, mais n’effectue aucune action. Cette approche vous permet d’identifier les messages affectés à l’aide de la trace des messages ou de l’analyse d’en-tête avant de valider le paramètre.

Le mode test n’est pas disponible pour les paramètres ASF suivants : enregistrement SPF : échec définitif (MarkAsSpamSpfRecordHardFail), filtrage Sender ID : échec définitif (MarkAsSpamFromAddressAuthFail), et rétrodiffusion NDR (MarkAsSpamNdrBackscatter).

Résolution des problèmes de flux de travail

Utilisez le workflow suivant pour diagnostiquer les problèmes de stratégie anti-courrier indésirable :

  1. Identifier quel composant a filtré le message : Utilisez les en-têtes de message pour déterminer si le filtrage anti-spam, une règle de flux de mail, le filtrage de connexion ou un autre composant a filtré le message. Pour des étapes détaillées, voir Déterminer quel composant a filtré le message.

  2. Vérifier les problèmes de priorité des stratégies :

    • L’utilisateur est-il inclus dans les politiques de sécurité prédéfinies Standard ou Strict ? Le strict s’applique avant le standard, qui est appliqué avant toute politique personnalisée.
    • Plusieurs stratégies personnalisées correspondent-elles ? La politique de priorité la plus élevée (numéro de priorité la plus basse) l’emporte.
    • Aucune stratégie personnalisée ne correspond ? La stratégie par défaut s’applique.

  3. Vérifier la présence de faux positifs ASF :

    • Recherchez l’en-tête X-CustomSpam dans les en-têtes du message. La valeur d’en-tête identifie le paramètre ASF déclenché.
    • Désactivez le paramètre ASF problématique ou utilisez le mode test.

Commandes PowerShell de diagnostic

Connectez-vous à Exchange Online PowerShell et utilisez les commandes suivantes pour diagnostiquer rapidement les problèmes de configuration de stratégie anti-courrier indésirable.

# List all anti-spam policies with their priority and state
Get-HostedContentFilterRule | Sort-Object Priority | Format-Table Name, Priority, State, SentTo, SentToMemberOf, RecipientDomainIs

# Check for SCL-setting mail flow rules
Get-TransportRule | Where-Object {$_.SetSCL -ne $null} | Format-Table Name, State, SetSCL, Priority

# Check connection filter (IP Allow/Block lists)
Get-HostedConnectionFilterPolicy | Format-List IPAllowList, IPBlockList

# View the full settings of a specific policy
Get-HostedContentFilterPolicy -Identity "Default" | Format-List

# Check if any ASF settings are enabled
Get-HostedContentFilterPolicy | Format-Table Identity, MarkAsSpam*, IncreaseScoreWith* -AutoSize

# Check allowed/blocked senders in anti-spam policies
Get-HostedContentFilterPolicy | Format-Table Identity, AllowedSenders, AllowedSenderDomains, BlockedSenders, BlockedSenderDomains

Contenu connexe

  • Dernière mise à jour :