Sophos Phish Threat : Gestion des campagnes

Dans Sophos Fusion (anciennement Sophos Central), la gestion des campagnes regroupe les brouillons et les campagnes Sophos Phish Threat planifiées, actives ou passées. Leur état détermine les actions possibles : une campagne planifiée peut encore être modifiée directement, une campagne en cours doit être mise en pause avant toute modification et une campagne terminée ne peut plus être modifiée.

Le chemin d’accès principal est My Products > Phish Threat > Campaigns. Cette page permet de rechercher et filtrer les campagnes, de gérer leur cycle de vie et d’exporter les données d’une campagne ouverte.

Trouver rapidement des campagnes

La barre de recherche permet de rechercher une campagne par son nom. De plus, le filtre par type de campagne restreint la liste :

All Campaigns affiche toutes les campagnes.
Phishing affiche les campagnes d’attaque de phishing simulées.
Credential Harvesting affiche les campagnes de collecte d’identifiants.
Attachment affiche les campagnes avec des pièces jointes malveillantes simulées.
Training affiche uniquement les campagnes de formation.

Le filtre par type n’est pas identique au statut de la campagne. La page classe également les campagnes selon leur cycle de vie :

Rubrique	Signification	Action suivante typique
Active Campaigns	La campagne est déjà en cours.	La mettre en pause, la vérifier, la modifier si nécessaire ou la reprendre.
Upcoming Campaigns	La campagne démarre à l’heure configurée.	Vérifiez la configuration et le calendrier avant le démarrage.
Past Campaigns	La campagne est terminée ou achevée.	Exporter, cloner ou supprimer ; ne plus modifier.
Campaign Drafts	La création n’a pas encore été terminée.	Finish ou Discard.

Une campagne en pause porte, à côté de son nom, l’indication Paused. Cela permet de distinguer un envoi intentionnellement arrêté d’une campagne simplement planifiée ou terminée.

Finaliser ou abandonner les brouillons

Un assistant de configuration inachevé apparaît sous Campaign Drafts. Sélectionnez Finish pour poursuivre la configuration ou Discard pour supprimer le brouillon.

Avant de l’abandonner, vérifiez si le brouillon contient des modèles personnalisés, une sélection importante de destinataires ou un calendrier déjà convenu. Abandonner un brouillon ne revient pas à le mettre en pause : il est supprimé et ne peut pas être repris comme une campagne en cours. Pour conserver sa configuration, finalisez-le ou documentez-le au préalable.

Rappeler aux administrateurs sept jours avant le lancement

Sophos peut avertir certains administrateurs sept jours avant le début d’une campagne Sophos Phish Threat. Les destinataires de ce rappel administratif sont définis au niveau global :

Ouvrez l’icône Global Settings.
Allez à Products and Services > Sophos Phish Threat > Campaign Reminders.
Sélectionnez les administrateurs qui doivent recevoir un rappel sept jours avant le lancement d’une campagne.

Ce paramètre rappelle les administrateurs avant le lancement de la campagne. Il ne contrôle ni les rappels de formation aux participants ni les messages configurés à l’intérieur d’une campagne à destination des utilisateurs.

Après une modification, il convient de vérifier les comptes administrateurs sélectionnés et leurs adresses e-mail actuelles. Pour une campagne qui commence dans moins de sept jours, on ne doit pas supposer qu’un rappel préalable sera déclenché ultérieurement.

Ouvrir la campagne et vérifier les actions possibles

Ouvrez sous My Products > Phish Threat > Campaigns la campagne souhaitée. Selon l’état, Edit, Delete, Clone, Pause, Resume et Export sont disponibles.

Modifier la campagne

Une campagne à venir peut être modifiée avant son lancement. Pour une campagne déjà en cours, suivre cette procédure prudente :

Ouvrez la campagne active et sélectionnez Pause.
Vérifiez que la campagne est marquée comme Paused.
Sélectionnez Edit. L’assistant de configuration s’ouvre en mode édition.
Ajustez les valeurs requises dans l’assistant.
Vérifiez la nouvelle configuration avant de sélectionner Resume.

Dans une campagne mise en pause, les paramètres peuvent être modifiés à deux exceptions près : Campaign Type et Campaign Start Date ne peuvent pas être modifiés. Les destinataires peuvent être ajoutés ou supprimés. Cependant, un destinataire auquel l’e-mail de la campagne a déjà été envoyé ne peut plus être supprimé.

Les Past Campaigns ne peuvent pas être modifiées. Même une campagne déjà terminée ne peut pas être prolongée par une nouvelle date de fin. Si la même configuration est nécessaire à nouveau, la campagne est clonée et planifiée comme une nouvelle campagne.

Cloner la campagne

Clone reprend les détails de la campagne dans une nouvelle entrée sous Campaign Drafts. Le nom du clone contient la date de création. Ouvrez le brouillon et vérifiez au moins le nom, les destinataires, les modèles, la formation ainsi que les dates de début et de fin avant de l’activer.

Un clone est une nouvelle campagne et non une continuation rétroactive de l’original. Il ne reprend donc pas les événements déjà survenus de ce dernier. C’est la méthode appropriée lorsque l’on souhaite relancer une campagne terminée avec un calendrier ou un public adapté.

Supprimer la campagne

Ouvrez la campagne et choisissez en haut à droite Delete. Sophos autorise également la suppression d’une campagne terminée.

Mettre la campagne en pause et la reprendre

Pause interrompt l’envoi des e-mails d’attaque, de formation et de rappel encore en attente. Les e-mails déjà délivrés restent chez les destinataires. Selon l’aide de Sophos, les actions des utilisateurs sur les e-mails déjà délivrés continuent d’être enregistrées et mises à jour dans le rapport de la campagne. Cependant, pour les campagnes ayant envoyé tous les e-mails immédiatement, la FAQ de Sophos indique au contraire que les actions et le comportement des utilisateurs ne sont plus mis à jour après la mise en pause. Si ces données sont pertinentes pour la décision, vérifiez d’abord le comportement avec une campagne de test dans votre propre tenant.

La mise en pause est particulièrement appropriée lorsque :

Les e-mails de campagne ne sont pas correctement livrés et le serveur de messagerie doit d’abord être corrigé,
une erreur dans un modèle doit être corrigée,
une autre leçon de formation doit être utilisée,
les destinataires pour l’envoi encore en attente doivent être ajoutés.

Si la campagne a envoyé tous les e-mails immédiatement, une mise en pause ultérieure ne peut pas rappeler ces messages. En cas d’envoi par intervalles, les e-mails encore non planifiés ne seront pas envoyés. Notez également dans le cas d’un envoi immédiat la contradiction décrite ci-dessus avec la mise à jour ultérieure des événements.

Avant Resume, à la fois la campagne et un serveur de messagerie éventuellement corrigé sont vérifiés. Ensuite, la campagne redevient active : les e-mails d’attaque restants suivent le calendrier établi ; les e-mails de formation et de rappel associés sont envoyés aux destinataires concernés.

Les modifications ne prennent effet que dans la mesure du possible

Les modifications apportées à une campagne en pause s’appliquent au déroulement restant de la campagne. Elles ne réécrivent pas les événements déjà survenus.

Si l’utilisateur A a déjà reçu l’ancien e-mail d’attaque, un nouveau modèle ne remplace pas ce message. Seuls les destinataires auxquels aucun message n’a encore été envoyé reçoivent la nouvelle version.
Si l’utilisateur A a déjà été attribué à une formation et que l’administrateur remplace ensuite le cours, un lien de formation ouvert plus tard conduit au nouveau cours.
Les e-mails déjà envoyés et les événements utilisateur existants ne sont pas annulés en cas d’arrêt, de modification ou de reprise. Il n’est pas uniformément documenté si Sophos enregistre encore de nouvelles actions pour les e-mails déjà livrés après un arrêt, dans le cas d’un envoi immédiat.

Cette limite doit figurer dans chaque plan de changement. Avant un changement majeur, il convient donc de noter quels destinataires ont déjà été contactés et lesquels restent à contacter. Sinon, un état délibérément mixte peut se créer au sein de la même campagne.

Une action administrative distincte est Clear campaign events dans les résultats de la campagne. Cela permet de supprimer les événements d’un utilisateur des résultats. Les événements Email sent restent présents ; Sophos enregistre la suppression dans Audit Log. Cette fonction ne modifie aucun message envoyé et est indépendante de l’arrêt, de la modification ou de la reprise d’une campagne.

Terminer une série de campagnes

Une série de campagnes active est ouverte et arrêtée avec End this series. Cela n’empêche toutefois pas nécessairement toute campagne future déjà visible : dans la section Upcoming Campaigns, des campagnes de la série peuvent toujours apparaître si Sophos les a déjà générées avant la fin de la série.

Vérifiez donc toujours Upcoming Campaigns après avoir terminé. Une telle campagne individuelle ne peut être terminée que dans la semaine précédant sa date prévue. La fin de la série et la fin des campagnes individuelles déjà créées sont donc deux étapes de travail distinctes.

Exporter les données de la campagne au format PDF ou CSV

Ouvrez la campagne concernée et sélectionnez Export. Sophos fournit les données de la campagne sous forme de PDF ou CSV.

Pour la documentation des modifications, l’exportation est effectuée avant une suppression irréversible et enregistrée avec le nom de la campagne, la date d’exportation et l’objectif. Le fichier CSV convient à un traitement structuré, tandis que le fichier PDF documente un état lisible. L’interprétation du contenu des résultats de campagne ne fait pas partie de ce manuel.

Valider la modification et connaître les possibilités de retour arrière

Après chaque action administrative, vérifiez non seulement le message de confirmation, mais aussi l’état visible de la campagne :

Revenez à My Products > Phish Threat > Campaigns.
Recherchez la campagne par son nom exact.
Vérifiez la section appropriée : brouillon, à venir, active ou passée.
Vérifiez l’étiquetage Paused en cas d’arrêt.
Ouvrez la campagne et comparez le calendrier, les destinataires, le modèle et la formation avec l’état des modifications approuvé.
Avant Resume, vérifiez quels destinataires ont déjà reçu un e-mail et quelle modification ne s’applique plus qu’aux destinataires restants.
Après la fin d’une série, vérifiez également Upcoming Campaigns.
Ouvrez un export PDF ou CSV généré à titre de test avant que la campagne soit supprimée.

Les possibilités de retour arrière dépendent de l’action :

Une campagne en pause peut être reprise après une vérification réussie.
Une campagne encore active peut être mise en pause à nouveau et corrigée pour la durée restante.
Une modification incorrecte sur des contenus non encore envoyés peut être corrigée en les modifiant à nouveau.
Mettre en pause, modifier et reprendre ne modifient pas les événements déjà enregistrés. Via Clear campaign events, les événements des utilisateurs peuvent être supprimés séparément ; les événements Email sent restent et l’opération est enregistrée dans le Audit Log.
Les campagnes supprimées ne peuvent pas être restaurées. Une exportation sert de documentation, mais pas de sauvegarde importable.
Les campagnes terminées ne peuvent ni être prolongées ni modifiées. À la place, un clone est créé comme nouvelle campagne.
Une série terminée n’est pas réactivée pour revenir en arrière. Les campagnes individuelles déjà créées et à venir doivent être vérifiées séparément et, le cas échéant, terminées dans la fenêtre de temps autorisée.