Va-t-on en finir une fois pour toutes avec le ‘spam’ ?

Le volume des ‘spams’ (qui représente entre 80 et 90% du courrier électronique entrant de l’entreprise) crée une spirale infernale au niveau des coûts. En effet, il est absolument nécessaire désormais de gérer la connexion aux e-mails, et cela dès la source afin de réduire la charge de traitement et la mise en quarantaine des courriers douteux. L’idée est de prendre en compte des

profils de trafic. Certaines techniques, par exemple, celles recherchant la ‘réputation’ de l’auteur du courrier, vont apporter une couche essentielle de protection supérieure, en tous cas, à une simple authentification-vérification de la signature. Par ailleurs, rien de plus détestable pour un administrateur de se faire pointer du doigt parce qu’il subit un nombre croissant d’attaques de ‘spoofing’ et de ‘phishing’. Ceci explique tous les débats actuels concernant la nécessité ou non d’un cryptage des e-mails. En outre, on constate un accroissement de la complexité de la tâche de l’administrateur lorsqu’il s’agit de filtrer le courrier sortant (qui peuvent véhiculer des vers chevaux de Troie, par exemple, provenant de PC portables connectés à l’extérieur, etc.). D’autres facteurs entrent aussi en compte, dont notamment la messagerie instantanée, le Webmail, les ‘spywares’. Bref, l’année n’est pas rose pour les administrateurs de courrier électronique. D’autant moins que les utilisateurs finaux ne se privent pas de leur remonter les bretelles lorsqu’ils pensent qu’on leur a bloqué des e-mails pourtant légitimes alors qu’une tonne de ‘spams’ continuent à se déverser dans leur boîte aux lettres. Pour corser le tout, les virus n’ont rien arrangé à la situation, puisqu’ils utilisent souvent des techniques de ‘spamming’ pour véroler des attachements habituellement acceptés. Bien que les utilisateurs de messagerie aient depuis longtemps l’habitude de vérifier l’authenticité des signatures électroniques, ces solutions ne sont plus valables à elles seules. En effet, il faut désormais apporter des réponses plus pertinentes et notamment développer des stratégies de blocage. Les attaques de ‘spoofing’ et de ‘phishing’ sont également devenues un problème majeur pour certaines entreprises dont les noms de domaine sont régulièrement ‘spoofés’. Il en est de même lorsque la société désire protéger ses propres utilisateurs internes ou sa clientèle de tels ‘scams’. Qui plus est, la fourniture par e-mail d’adresses URL inappropriées pose un indéniable problème de sécurité. Anti spam : un fusil à deux coups Pour répondre à toutes ces attentes, il convient de mettre en place une stratégie en deux temps. Tout d’abord, pour mieux sécuriser le courrier entrant il faut gérer plus finement la connexion à la messagerie tout en filtrant au mieux le spam. Il faut aussi disposer d’une authentification plus forte tout en prévenant les intrusions. Ensuite, toute l’attention doit être portée sur le courrier sortant qui doit être préalablement filtré et si possible chiffré. Mais comment gérer tout ça sans trop perdre de temps ? Rappelons en premier lieu que le ‘spam’ est un contenu adressé une personne précise de l’entreprise. Il est donc bon de travailler la main dans la main avec le département juridique et les différentes divisions pour déterminer ce qui constitue vraiment du ‘spam’ et quelles actions doivent être prises en fonction du degré de ‘spamming’ des messages. S’agissant des utilisateurs, c’est une autre paire de manches ! En effet la raison qui amène à l’implantation d’une technologie anti spam est bien de désencombrer la boîte à des utilisateurs. D’où la nécessité d’une responsabilisation de ces derniers dans le cadre de la lutte contre le ‘spam’. Or, à l’expérience, on s’aperçoit que la plupart des utilisateurs, s’ils savent certes reconnaître une publicité pour une pilule contre l’impuissance (Viagra, Cialis!…), n’ont pas vraiment toujours les bons réflexes pour ne pas écarter certaines publicités qui n’ont rien d’un ‘spam’ ou d’autres types de messages, souvent bien tournés et racoleurs, mais eux aussi ont une autre vocation que celle d’aller grossir une boîte aux lettres électronique. D’où la nécessité d’une formation ou sensibilisation de ce public, ce qui évitera de jeter aux orties le bon grain avec l’ivraie. Logiciels ‘anti-spam’ : attention aux sirènes ! Il reste à traiter le plan technologique. Dans ce cadre, il est bon de séparer le mode d’implantation et de fonctionnement de l »anti-spam’ de la sélection du produit. Une fois le mode de fonctionnement déterminé (externalisé, fondé sur des prémisses ou en mode hybride), on évaluera la technologie. Bien souvent, on s’apercevra que les fonctionnalités sexy sont pour la plupart inadaptées et que les éditeurs se copient les uns les autres ! Bref, si l’entreprise veut s’en tirer, elle devra traiter elle-même les messages suspects avec la même diligence que tous les autres types de messages (c’est-à-dire savoir si elle les accepte ou si elle les rejette, ceci étant établi à travers une procédure qui compare la valeur potentielle du message aux risques qu’il fait encourir à l’utilisateur). À ce niveau, le Gartner Group recommande de déployer le filtrage de ‘spams’ sur « la couche la plus extérieure » de l’environnement messagerie (ceci pour éviter de dépenser des ressources réseaux et stockage importantes). Certaines entreprises ainsi que quelques éditeurs ont tenté une approche mult-niveaux pour assurer le filtrage du ‘spam’ en se fondant sur le modèle de la détection des virus. Si cela marche bien en matière de détection virale du fait des nombreux facteurs d’infection, en matière de ‘spam’, comme le seul point d’entrée est Internet, cela revient à vouloir tuer une mouche avec une massue. Bien sûr, il y a quelques exceptions. Ainsi, une approche de type coupe-feu fonctionne parfaitement pour les petites entreprises (jusqu’à 750 utilisateurs) ayant peu de trafic Internet. Toutefois, la majorité des entreprises ferait mieux de séparer leur filtrage de ‘spams’ de leurs produits pare-feu (‘firewall’). Lorsqu’il s’agit de développer des procédures utilisateurs, il est préférable de les implanter soit au niveau du bureau soit sur certains serveurs de messagerie (e.g. Microsoft Exchange 2003). Néanmoins, ne il faut pas oublier qu’un nombre croissant de solutions externes commencent, elles aussi, à prendre en compte des procédures définies par les utilisateurs. Encore quelques années de soucis en perspective ! Bref, le futur n’est pas rose, sauf pour les éditeurs. D’ici 2006, tels des dinosaures, les produits ‘anti-spam’ stand-alone (= dissociés d’autres applications ou appliances de sécurité) devraient disparaître au profit de progiciels associant anti-virus, filtrage anti-spam, prévention des intrusions… Le syndrome moissonneuse-batteuse-lieuse en quelque sorte ! Un syndrome d’ailleurs lié (sic) à la consolidation du marché qui devrait ne compter qu’une dizaine d’entreprises crédibles d’ici à fin 2005, prévoit déjà le Gartner. Toutefois, sur 2006 et pour 75% des entreprises de 1.500 utilisateurs et plus, le filtrage d’e-mail d’URL et de messages instantanés ne s’effectuera pas encore à travers un seul et même produit. En 2007, 70% des entreprises devraient encore assurer le filtrage des ‘spams’ au niveau du client de messagerie. Le ‘spam’ va donc encore nous embêter pendant au moins trois ans !