Mimecast Defense Cloud : nos retours d'usage sur la détection comportementale

Mimecast a renforcé sa plateforme Defense Cloud sur la partie analyse comportementale et threat intelligence en 2024-2025. Six mois après l'avoir déployée sur cinq périmètres clients dans des contextes variés (industrie, services financiers, secteur public), voici notre bilan honnête.

Ce qui fonctionne très bien

Détection des compromis d'identité externe

Mimecast excelle désormais à repérer les emails légitimes envoyés depuis des comptes Microsoft 365 ou Google Workspace compromis chez des partenaires. Sur deux clients, nous avons stoppé en septembre des tentatives de fraude au président qui passaient les filtres traditionnels parce que l'expéditeur était... le vrai expéditeur (mais piloté par l'attaquant).

Le scoring contextuel

L'outil agrège la fréquence des échanges, l'historique du destinataire, la cohérence linguistique avec les exchanges passés. Le résultat : moins de faux positifs sur les communications fournisseurs habituels, et plus de détections sur les premiers échanges suspects.

Intégration SIEM

Le connecteur natif vers Splunk fonctionne sans hack, avec une cardinalité de logs raisonnable. Nous avons construit en deux semaines des règles de corrélation email + endpoint qui détectent les pivots typiques post-phishing.

Ce qui reste perfectible

• Le tuning initial est long. Comptez 4 à 6 semaines de baseline avant que la détection comportementale soit calibrée pour une organisation. Pendant cette période, attendez-vous à des faux positifs sur les nouveaux échanges légitimes.
• Coût du sandboxing universel. Activer le sandbox sur 100 % des liens explose les coûts. Une politique de sandboxing différencié reste nécessaire.
• La partie post-delivery clawback sur Microsoft 365. Fonctionnelle, mais avec une latence parfois de 30 minutes. Pendant ce délai, l'utilisateur a souvent déjà cliqué.

Notre verdict : Mimecast Defense Cloud reste un excellent choix pour les organisations qui ne peuvent pas tout standardiser sur Microsoft Defender for Office (multi-tenancy, contraintes de souveraineté, besoin de réelle indépendance). La plateforme est mature, l'intégration avec un SOC tiers est propre. Elle ne remplace pas une stratégie globale anti-phishing, mais elle constitue une couche solide.