Bac à sable de messagerie

Définition

Le bac à sable de messagerie, ou email sandbox, est un environnement d'exécution isolé qui analyse dynamiquement les pièces jointes et les liens contenus dans les courriels avant leur remise à l'utilisateur final. Contrairement à l'analyse antivirale classique fondée sur des signatures connues, le bac à sable exécute réellement le fichier suspect dans une machine virtuelle instrumentée, technique appelée détonation, et observe son comportement : création de processus, connexions réseau sortantes, modifications du registre, tentatives de chiffrement de fichiers ou d'élévation de privilèges. Cette approche comportementale permet de détecter des menaces inconnues, dites zero-day, et des malwares polymorphes qui échappent aux moteurs de détection par signatures, en identifiant des techniques référencées MITRE ATT&CK comme l'exécution via macro (T1204) ou le téléchargement de charge additionnelle (T1105). Le bac à sable de messagerie s'intègre généralement au sein d'une passerelle de messagerie sécurisée, en amont de la remise, retardant légèrement la livraison du message le temps de l'analyse, généralement quelques secondes à quelques minutes. Certains attaquants sophistiqués intègrent des techniques d'évasion de sandbox, détectant l'environnement virtualisé pour retarder l'exécution malveillante et contourner l'analyse. Les éditeurs répondent par des sandbox multi-systèmes d'exploitation et des délais d'observation prolongés. Cette technologie constitue une couche complémentaire essentielle du filtrage anti-hameçonnage dans une stratégie de défense en profondeur contre les menaces véhiculées par e-mail.