defender-for-office-365

Microsoft Defender for Office 365

Microsoft Defender for Office 365（MDO）は、フィッシング、マルウェア、なりすまし、ビジネスメール詐欺から、メールおよびコラボレーションのワークロードを保護します。プリセットポリシー、デトネーション（Safe Attachments）、クリック時の URL 保護（Safe Links）、配信後の検出とハンティング（Threat Explorer + AIR）、攻撃シミュレーション トレーニングを提供します。

使用する場面

Exchange Online のメールフローと Microsoft 365 のコラボレーション（Teams、SharePoint、OneDrive）を保護する場合に使用します。プランやプリセットの選択、制御の構成、設定のずれの検出、メールインシデントに関する SOC 運用にこのスキルを使用してください。

このスキルを使用しないでください。エンドポイント保護（defender-for-endpoint）、より広範なワークロード横断調査（defender-xdr）、または Copilot 導入前の SharePoint の過剰共有（purview-copilot-oversharing）には使用しません。

プランを選択してから、プリセットを選択する

必要なもの...	プラン／SKU	備考
Safe Links、Safe Attachments、フィッシング対策、スパム対策、マルウェア対策	MDO Plan 1	M365 Business Premium にバンドル、または E3 アドオンとして提供
Threat Explorer、リアルタイム検出、AIR、攻撃シミュレーション トレーニング、自動調査	MDO Plan 2	M365 E5／MDO P2 にバンドル
テナント間のセキュアなコラボレーション（MDO を使用する B2B／B2C）	MDO P1 または P2	ゲストの送信者にもプリセットを適用

セキュリティ態勢	適用するプリセット	対象
管理負荷を抑えた、標準的で健全なベースライン	Standard preset	ほとんどの企業。すべてのユーザーに適用
標的になりやすい、規制対象、または幹部の比重が大きい環境	Strict preset	Tier-0 管理者、財務部門、幹部のメールボックス
カスタムの例外設定（例：SPF に問題があるベンダー）	プリセットより優先度の高いカスタムポリシー	慎重に使用してください。設定のずれのリスクを記録します

経験則： 全ユーザーにStandard presetを最低限適用し、リスクの高いグループ（幹部、財務部門、IT 管理者、法務部門）にはStrict presetを適用します。カスタムポリシーは、プリセットが実際に適合しない場合にのみ使用してください。カスタムポリシーはどれも、将来の設定ずれの原因になります。

アプローチ

1. ライセンスとメールフローを確認する — 管理センターで MDO P1 と P2 を確認します。Exchange Online がメールを直接受信すること（または上流のゲートウェイ経由で受信すること）を確認します。サードパーティのセキュアメールゲートウェイ（SEG）を前段に置く MDO 構成は一般的ですが、一部の検出精度が低下します。元の送信者 IP を保持するには、コネクタの拡張フィルタリングを使用します。 確認方法：Get-EnhancedFilteringConfig で、受信コネクタが構成されていることを確認します。

2. メール認証を有効にする — すべての送信ドメインに SPF、DKIM、DMARC を設定します。 DMARC は p=none（監視）から始めて、quarantine、次に reject へ移行します。DMARC がなければ、なりすましの検出精度は低下します。 確認方法：DMARC が p=reject に設定され、30 日以上にわたって集計レポートが届いていることを確認します。

3. プリセットのセキュリティポリシーを適用する — すべてのユーザーに Standard プリセットを適用します。対象グループ（経営幹部、財務部門、IT 管理者）には Strict プリセットを適用します。プリセットは Microsoft の推奨設定に合わせて自動更新されますが、カスタムポリシーは更新されません。 確認方法：プリセットポリシーのレポートで、ユーザーの 95％ 以上が Standard または Strict の対象になっていることを確認します。

4. なりすまし対策を構成する — フィッシング対策ポリシー（Strict プリセットにはこの設定が含まれます）で、なりすまし対策の対象に特定のユーザー（経営幹部、CFO、経営幹部のアシスタント）とドメイン（自社ドメイン、なりすましの標的になりやすいパートナードメイン）を追加します。メールボックスインテリジェンスを有効にすると、残りは自動的に学習します。 確認方法：フィッシング対策ポリシーで、保護対象ユーザーが 5～15 人（全員を登録すると検出精度が低下するため、全員は登録しない）、信頼できるドメインが 1～3 個であることを確認します。

5. テナントの許可／ブロックリスト（TABL） — まずブロックし、許可は必要最小限にする — TABL を使って、悪意が確認された送信者、URL、ファイルをブロックします。許可エントリは一時的（最長 30 日間）で、検出を上書きするため、必要最小限にとどめ、毎週確認します。 確認方法：許可リストのエントリが 20 件未満で、リスクの高いドメインに対する恒久的な許可がないことを確認します。

6. 構成アナライザーを毎月実行する — security.microsoft.com → メールとコラボレーション → ポリシーとルール → 構成アナライザーを開きます。Standard／Strict の推奨設定との差異が表示されます。推奨事項を適用するか、適用しない理由を記録します。 確認方法：対象とするプリセットに対する差異スコアが 0 であることを確認します。

7. Submissions と Threat Explorer を使って運用する — ユーザーが報告したフィッシングメールは Submissions ポータルに届きます。毎日トリアージを行い、誤検知に印を付け、テナントの許可／ブロックリストを更新します。Threat Explorer（P2）を使って、必要に応じた調査（例：過去 7 日間に特定の送信者ドメインから届いたすべてのメッセージ）を実施します。

8. AIR と自動トリアージ — ユーザーが報告したフィッシングメールに対して AIR を有効にします。調査プレイブックが類似メッセージを自動的に取得し、ソフト削除を行い、必要に応じてインシデントを作成します。

9. 攻撃シミュレーションのトレーニング — 現在の脅威インテリジェンスに合わせたキャンペーンを四半期ごとに実施します（例：給与支給週には給与をテーマにしたもの、調達サイクルにはベンダーをテーマにしたもの）。トレーニングはリンクをクリックしたユーザーと認証情報を入力したユーザーにのみ割り当てます。一律のトレーニングは参加意欲を損ないます。

ガードレール

• カスタムポリシーよりプリセットを優先します。 プリセットには、Microsoft の調整に関する更新が自動的に適用されます。カスタムポリシーはすべて、継続的なメンテナンスが必要になります。
• 「ユーザーエクスペリエンス」のために Safe Links の書き換えを無効にしないでください。 書き換えそのものが検出機能です。これを取り除くと Safe Links の機能全体が失われます。代わりに、特定の許可リスト登録済みサービスには Do not rewrite リストを使用します。
• なりすまし対策の対象は、具体的な少数のユーザーに限定します。 すべてのユーザーを登録すると検出精度が低下します。保護対象ユーザーは名前を指定した 5～15 人にし、残りはメールボックスインテリジェンスに任せます。
• TABL の許可エントリは一時的なものです。 検出を上書きします。最長 30 日間とし、毎週確認して、削除するか適切な除外設定に置き換えます。
• DMARC の目標は p=none ではなく reject です。 p=none は 30 日間の監視期間を終えるための設定であり、最終目標ではありません。
• MDO とサードパーティの SEG を併用する場合は、拡張フィルタリングを構成します。 そうしないと、MDO は送信者の IP として SEG の IP を認識し、検出精度が低下します。
• メールフロールールで MDO をバイパスしないでください。 「X からのメッセージはフィルタリングをスキップする」といった例外ルールは、攻撃者の侵入経路になります。代わりに TABL またはなりすまし対策の除外設定を使用します。

よくあるアンチパターン

• 「プリセットが厳しすぎるので、カスタムポリシーだけを使う」 - Microsoft による自動チューニングを利用できなくなります。プリセットを適用し、特定の項目を例外として設定してください。
• 「ヘルプデスクへのリンクが壊れるので、Safe Links の書き換えを無効にする」 - 検出機能が失われます。該当する URL を Do not rewrite に追加してください。
• 「このベンダーのドメインを TABL で恒久的に許可する」 - 恒久的な許可は、恒久的なバイパスにつながります。送信者側で根本的な SPF／DKIM／DMARC の問題を解決するか、コネクターレベルで許可してください。
• 「5,000 人のユーザー全員をなりすまし対策に追加する」 - 検出結果がノイズになります。なりすましの標的になりやすい上位 10～50 人のユーザーを指定してください。
• 「DMARC を p=none のまま無期限にする」 - レポートを収集しているだけで、ポリシーを適用できていません。60 日以内に隔離へ、90 日以内に拒否へ移行してください。
• 「ユーザーから報告されたフィッシングメールは、週に一度確認する共有メールボックスに送る」 - Submissions ポータルを使用すれば、AIR と Threat Explorer が作動します。共有メールボックスではツールを利用できません。
• 「四半期ごとに全員へ攻撃シミュレーショントレーニングを割り当てる」 - 参加意欲が低下します。リンクをクリックしたユーザーと認証情報を入力したユーザーだけを対象にしてください。
• 「デフォルト設定のサードパーティ製 SEG の背後に MDO を配置する」 - すべての受信メールが SEG の IP から送信されたように見えます。コネクターの拡張フィルタリングを有効にしてください。

プロンプトの例

• すべてのユーザーに Standard プリセットを、役員と財務部門に Strict プリセットを適用してください。
• ドメインの DMARC を設定してください。90 日以内に p=none から p=reject に移行します。
• CFO とパートナードメインのなりすまし対策を設定してください。
• Configuration analyzer を使用して、現在の MDO 設定と Strict プリセットを比較してください。
• MDO Plan 1 と Plan 2 を比較してください。P2 がない場合、どの脅威ハンティング機能と AIR 機能を利用できなくなりますか？
• Submissions ポータルを通じてユーザーから報告されたフィッシングメールをトリアージし、テナントの許可／ブロックリストを更新してください。
• 給与をテーマにした攻撃シミュレーションを給与支給週に実施し、リンクをクリックしたユーザーだけにトレーニングを割り当ててください。
• コネクターの拡張フィルタリングを設定してください。EXO の前段にサードパーティ製 SEG があります。

Microsoft Learn

• 概要：https://learn.microsoft.com/defender-office-365/mdo-about
• Plan 1 と Plan 2 の比較：https://learn.microsoft.com/defender-office-365/mdo-deployment-guide
• プリセットのセキュリティポリシー：https://learn.microsoft.com/defender-office-365/preset-security-policies
• 推奨設定（Standard／Strict）：https://learn.microsoft.com/defender-office-365/recommended-settings-for-eop-and-office365
• Configuration analyzer：https://learn.microsoft.com/defender-office-365/configuration-analyzer-for-security-policies
• Safe Links：https://learn.microsoft.com/defender-office-365/safe-links-about
• Safe Attachments：https://learn.microsoft.com/defender-office-365/safe-attachments-about
• フィッシング対策となりすまし対策：https://learn.microsoft.com/defender-office-365/anti-phishing-mdo-impersonation-insight
• テナントの許可／ブロックリスト：https://learn.microsoft.com/defender-office-365/tenant-allow-block-list-about
• DMARC：https://learn.microsoft.com/defender-office-365/email-authentication-dmarc-configure
• Submissions ポータル：https://learn.microsoft.com/defender-office-365/submissions-admin
• 攻撃シミュレーショントレーニング：https://learn.microsoft.com/defender-office-365/attack-simulation-training-get-started