Le rapport Protection & Posture Insights de Microsoft Defender for Office 365 s'enrichit : le 6 novembre 2026, Microsoft annonce un insight URL Protection, un insight Filtering Overrides et un accès Go hunt élargi. Reste à savoir quoi en faire. Ce tutoriel montre comment générer le rapport, le lire et convertir ses constats en actions de durcissement vérifiables.
Microsoft avait présenté ce rapport plus tôt en 2026 dans son annonce initiale : une vue à la demande, propre à votre tenant, des menaces e-mail et collaboration, de l'efficacité de la protection et des points de configuration à renforcer.
Licence et prérequis : qui peut générer le rapport
La documentation Microsoft Learn précise que le rapport exige Defender for Office 365 Plan 2. Il couvre les 30 derniers jours et un nouveau rapport peut être généré toutes les 24 heures.
30 jours
Période couverte par le rapport
Microsoft Learn
24 h
Intervalle minimal entre deux générations
Microsoft Learn
60 min
Attente avant de réessayer après un échec
Microsoft Learn
Plan 1 inclus dans E3, mais pas suffisant
Depuis le 1er juillet 2026, Defender for Office 365 Plan 1 est inclus dans Office 365 E3 et Microsoft 365 E3, selon la description de service Microsoft. Cela n'apporte pas les fonctions du Plan 2 : le rapport reste réservé au Plan 2, par exemple via Microsoft 365 E5.
Avant de générer le rapport
- Au moins une licence Defender for Office 365 Plan 2 attribuée dans le tenant
- Accès au portail Microsoft Defender avec un compte autorisé à consulter les rapports e-mail et collaboration
- Accès en lecture au centre d'administration Microsoft Entra pour résoudre les comptes prioritaires
- Un emplacement d'archivage pour conserver chaque version du rapport
Générer le rapport en quatre étapes
La génération prend quelques minutes pour un tenant disposant du Plan 2.
Ouvrir les rapports e-mail et collaboration
Dans le portail Microsoft Defender, allez dans Reports, puis Email & collaboration reports. Vous pouvez aussi ouvrir directement la page des rapports du portail Defender.
Lancer la génération
Sur la carte Protection & Posture Insights report, sélectionnez Generate. Si la génération échoue, la documentation impose d'attendre 60 minutes avant de réessayer.
Ouvrir ou exporter le rapport
Le rapport s'ouvre dans le portail Defender ou se télécharge en HTML. Une impression en PDF est possible pour le partage avec la direction ou l'audit.
Archiver la version
La fenêtre d'analyse est de 30 jours : conservez chaque génération datée pour comparer l'évolution d'un cycle de durcissement à l'autre.
Lire la couverture des politiques et les comptes prioritaires
La couverture des politiques repose sur les messages traités par Safe Attachments et Safe Links. Selon Microsoft Learn, le seuil de classement d'un utilisateur est le suivant :
| Statut | Messages traités | Lecture recommandée |
|---|---|---|
| Protégé | Plus de 95 % | Rien à corriger, suivre l’évolution |
| Partiellement protégé | Entre 10 % et 95 % | Vérifier l’affectation des stratégies et les exceptions |
| Non protégé | Moins de 10 % | Priorité : contrôler que la stratégie cible bien ces utilisateurs |
Un utilisateur partiellement protégé ou non protégé mérite une vérification de l'affectation des stratégies. Rapprochez-le ensuite de l'insight Filtering Overrides : une exception peut expliquer qu'un message échappe au traitement.
Les identités des comptes prioritaires sont masquées. Le rapport affiche des GUID Microsoft Entra, qu'il faut résoudre pour retrouver l'utilisateur.
Copiez le GUID depuis le rapport, puis recherchez-le dans le centre d'administration Microsoft Entra pour retrouver l'utilisateur correspondant.
URL Protection : mesurer les clics sur tous les canaux
Les liens malveillants n'arrivent plus seulement par e-mail : ils apparaissent aussi dans Teams, les fichiers Office et les réponses de Microsoft 365 Copilot, et beaucoup paraissent inoffensifs jusqu'après la livraison. Defender vérifie les liens au moment du clic. Le nouvel insight URL Protection indique combien de clics ont été contrôlés, combien de tentatives d'accès à des sites malveillants ont été bloquées, et la répartition entre e-mail, applications Office, Teams et Microsoft 365 Copilot.
Cette répartition sert à prioriser. Un canal qui concentre les blocages révèle où vos utilisateurs sont exposés, donc où concentrer la sensibilisation et la vérification de la stratégie Safe Links. Une illustration : si les blocages viennent surtout de Teams alors que votre communication interne porte sur le phishing par e-mail, ajustez le message.
Filtering Overrides : transformer les exceptions en plan de durcissement
Listes d'autorisation et règles de transport sont parfois nécessaires à la continuité d'activité, mais chaque exception affaiblit la protection. L'insight Filtering Overrides montre combien de messages de hameçonnage, de malware et de spam ont été autorisés par des exceptions au niveau de l'organisation ou de l'utilisateur, et quels types d'exception en sont responsables. Il signale aussi les exceptions appliquées à des messages que Defender avait déjà classés comme sains : un bon signal qu'elles peuvent être retirées.
Voici une grille de lecture qui convertit chaque constat en action. Elle relève de notre recommandation, pas d'une prescription Microsoft.
| Constat dans le rapport | Action de durcissement | Vérification |
|---|---|---|
| Exceptions sur des messages déjà classés sains | Retirer l’exception, elle n’apporte rien | Le volume correspondant tombe à zéro à la génération suivante |
| Phish ou malware autorisés par une règle de transport large | Remplacer la règle par une entrée de la Tenant Allow/Block List ciblée | Le type d’exception disparaît de la répartition |
| Exceptions utilisateur nombreuses | Recenser le propriétaire et la justification de chacune | Liste d’exceptions documentée et relue |
| Autorisations sans date de fin | Imposer une expiration à chaque entrée | Audit TABL sans entrée permanente injustifiée |
Pourquoi la Tenant Allow/Block List plutôt qu'une règle de transport
Microsoft recommande la Tenant Allow/Block List (TABL) quand une exception est réellement requise : elle offre plus de visibilité, d'audit et de contrôle. Selon Microsoft Learn, les entrées d'autorisation créées depuis les soumissions expirent par défaut 45 jours après leur dernière utilisation, ce qui limite les exceptions oubliées. Cette méthode est aussi celle qui permet de passer outre les verdicts de malware et de hameçonnage à haute confiance. Une entrée est active en 5 minutes environ.
| Licence | Limite totale | Autorisations | Blocages |
|---|---|---|---|
| Defender for Office 365 Plan 2 | 15 000 entrées par catégorie | 5 000 | 10 000 |
| Sans Defender for Office 365 | 1 000 entrées | 500 | 500 |
Supprimer une règle de transport touche tout le tenant
Retirer ou désactiver une règle de transport large modifie le flux de messagerie de toute l'organisation. Identifiez d'abord quels flux légitimes elle couvre, créez les entrées TABL de remplacement, attendez leur activation (environ 5 minutes), puis seulement retirez la règle.
Pour croiser le résultat, la carte « Tenant allow types » du tableau de bord Overview de Defender for Office 365 complète l'insight en aidant à repérer les autorisations risquées.
Go hunt : partir de la requête exacte de l'insight
Le bouton Go hunt ouvre Advanced Hunting avec la requête qui alimente l'insight, que vous pouvez explorer et adapter. Il est désormais disponible sur davantage d'insights, dont URL Protection, Filtering Overrides et Detection Trends. La documentation Microsoft Learn précise que d'autres requêtes sont ajoutées avec le temps.
Partez de la requête fournie plutôt que d'en écrire une : elle garantit que vos résultats restent cohérents avec le chiffre affiché dans le rapport. Enregistrez ensuite la version adaptée (filtre sur un domaine, une population ou une période) pour la rejouer à chaque cycle.
Mise en œuvre
Deux scripts en lecture seule couvrent les étapes qui nécessitent un outil : résoudre les GUID des comptes prioritaires et auditer les autorisations de la TABL. Aucun ne modifie le tenant.
Prérequis : PowerShell 7 ou Windows PowerShell 5.1, et les modules installés avec les commandes suivantes.
1# Modules nécessaires : Microsoft Graph (utilisateurs) et Exchange Online2Install-Module Microsoft.Graph.Users -Scope CurrentUser3Install-Module ExchangeOnlineManagement -Scope CurrentUserRésoudre les GUID des comptes prioritaires
Permission minimale : le scope délégué User.Read.All de Microsoft Graph. Le script renvoie, pour chaque GUID, l'identifiant, le nom, l'UPN et l'état du compte.
1param(2 [Parameter(Mandatory = $true)]3 [string[]]$UserId # GUID Microsoft Entra relevés dans le rapport4)5 6# Connexion avec le scope de lecture seule7Connect-MgGraph -Scopes 'User.Read.All' -NoWelcome8 9foreach ($id in $UserId) {10 try {11 # Lecture de l'utilisateur et des propriétés utiles12 Get-MgUser -UserId $id -Property 'Id,DisplayName,UserPrincipalName,AccountEnabled' |13 Select-Object Id, DisplayName, UserPrincipalName, AccountEnabled14 }15 catch {16 Write-Warning ('GUID introuvable ou accès refusé : {0}' -f $id)17 }18}Enregistrez-le sous Resolve-PriorityGuid.ps1, puis lancez-le avec -UserId suivi de vos GUID séparés par des virgules.
Auditer les autorisations de la Tenant Allow/Block List
Le script liste les entrées d'autorisation d'URL et d'expéditeur, signale celles sans date d'expiration et exporte le tout en CSV. Utilisez un compte disposant uniquement de droits de lecture sur la TABL, selon le principe du moindre privilège.
1# Connexion à Exchange Online2Connect-ExchangeOnline -ShowBanner:$false3 4$resultat = foreach ($type in 'Url', 'Sender') {5 # Lecture des seules entrées d'autorisation de chaque catégorie6 Get-TenantAllowBlockListItems -ListType $type -Allow |7 Select-Object @{ n = 'Categorie'; e = { $type } }, Value, ExpirationDate, Notes8}9 10# Affichage trié par date d'expiration11$resultat | Sort-Object ExpirationDate | Format-Table -AutoSize12 13# Entrées sans date d'expiration : candidates à une revue14$sansExpiration = $resultat | Where-Object { -not $_.ExpirationDate }15Write-Host ('{0} autorisation(s) sans expiration sur {1}' -f @($sansExpiration).Count, @($resultat).Count)16 17# Export pour le suivi du plan de durcissement18$resultat | Export-Csv -Path .\tabl-autorisations.csv -NoTypeInformation -Encoding UTF819 20Disconnect-ExchangeOnline -Confirm:$falseVérifier le résultat
Régénérez le rapport au bout de 24 heures minimum et comparez-le à la version archivée : le volume d'exceptions responsables de passages de phish ou de malware doit baisser, et les utilisateurs « Partiellement protégé » ou « Non protégé » doivent reculer. Gardez en tête que la fenêtre est de 30 jours : les effets se lissent progressivement.
Dépannage
| Symptôme | Cause probable | Résolution |
|---|---|---|
| La carte du rapport est absente ou la génération impossible | Licence Defender for Office 365 Plan 2 non attribuée | Vérifier l’attribution de la licence : le Plan 1 inclus dans E3 ne suffit pas |
| La génération échoue | Échec de génération côté service | Attendre 60 minutes avant de réessayer |
| Impossible de relancer un rapport | Un rapport a été généré il y a moins de 24 heures | Attendre 24 heures entre deux générations |
| Les comptes prioritaires apparaissent sous forme de GUID | Identités masquées volontairement dans le rapport | Résoudre les GUID dans le centre d’administration Entra ou avec le script Graph |
| Une entrée TABL ne produit pas encore d’effet | Délai d’activation d’environ 5 minutes | Patienter quelques minutes puis retester |
| Une autorisation TABL a disparu | Expiration par défaut 45 jours après la dernière utilisation (entrées issues des soumissions) | Recréer l’entrée si le besoin persiste, en documentant sa justification |
Questions fréquentes
Le rapport est-il disponible avec Microsoft 365 E3 ?
Non. Depuis le 1er juillet 2026, Defender for Office 365 Plan 1 est inclus dans Office 365 E3 et Microsoft 365 E3, mais sans les fonctions du Plan 2. Le rapport Protection & Posture Insights reste réservé au Plan 2, par exemple Microsoft 365 E5.
À quelle fréquence puis-je générer le rapport ?
Une fois toutes les 24 heures. Il couvre les 30 derniers jours. En cas d'échec de génération, la documentation demande d'attendre 60 minutes avant de réessayer.
Comment retrouver un compte prioritaire affiché sous forme de GUID ?
Le rapport masque ces identités et affiche des GUID Microsoft Entra. Recherchez-les dans le centre d'administration Entra, ou interrogez Microsoft Graph avec le script de la section « Mise en œuvre ».
Combien d'entrées la Tenant Allow/Block List accepte-t-elle ?
Avec Defender for Office 365 Plan 2, jusqu'à 15 000 entrées par catégorie (5 000 autorisations et 10 000 blocages). Sans Defender for Office 365, la limite est de 1 000 entrées (500 autorisations et 500 blocages).
Un plan de durcissement en cinq actions
Actions à planifier après la première génération
- Générer et archiver le rapport, puis noter les valeurs de départ (couverture, volumes de clics bloqués, exceptions)
- Résoudre les GUID des comptes prioritaires et contrôler leur couverture Safe Links et Safe Attachments
- Exécuter l'audit TABL et fixer une expiration aux autorisations sans date de fin
- Retirer les exceptions signalées sur des messages déjà classés sains, puis remplacer les règles de transport trop larges par des entrées TABL
- Régénérer le rapport après au moins 24 heures et comparer à la version archivée
Si votre tenant n'a que le Plan 1, commencez par l'audit TABL et par un inventaire de vos règles de transport : ils ne dépendent pas du rapport. Si vous disposez du Plan 2, traitez d'abord Filtering Overrides, car chaque exception supprimée réduit immédiatement la surface d'exposition.
Pour situer ces réglages dans l'ensemble de la suite, consultez notre guide complet des composants de Microsoft 365 Defender et notre article sur l'optimisation et la configuration de Microsoft Defender.
Pour aller plus loin
- Rapport Protection & posture insights sur Microsoft Learn : licence, fréquence de génération, sections du rapport, calcul de la couverture et FAQ.
- Autoriser ou bloquer des URL avec la Tenant Allow/Block List : création, expiration et audit des exceptions.
- Tableau de bord Overview de Defender for Office 365 : la carte « Tenant allow types », complément de l'insight Filtering Overrides.
- Microsoft Defender : optimisation et configuration : les réglages de base à valider avant d'exploiter le rapport.
