defender-for-office-365

Microsoft Defender for Office 365

Microsoft Defender for Office 365（MDO）可保护电子邮件和协作工作负载免受网络钓鱼、恶意软件、欺骗和商务电子邮件入侵的侵害。它提供预设策略、文件引爆（Safe Attachments）、点击时 URL 保护（Safe Links）、投递后检测与搜寻（Threat Explorer + AIR）以及攻击模拟培训。

适用场景

保护 Exchange Online 邮件流和 Microsoft 365 协作服务（Teams、SharePoint、OneDrive）。在决定计划或预设、配置控件、检测配置漂移以及执行电子邮件事件的 SOC 运维时，使用此技能。

请勿将此技能用于终端保护（defender-for-endpoint）、更广泛的跨工作负载调查（defender-xdr），或 Copilot 推出前的 SharePoint 过度共享问题（purview-copilot-oversharing）。

先选择计划，再选择预设

如果你需要……	计划 / SKU	说明
Safe Links、Safe Attachments、反网络钓鱼、反垃圾邮件、反恶意软件	MDO Plan 1	与 M365 Business Premium 捆绑，并可作为 E3 附加项
Threat Explorer、实时检测、AIR、攻击模拟培训、自动调查	MDO Plan 2	与 M365 E5 / MDO P2 捆绑
跨租户安全协作（使用 MDO 的 B2B/B2C）	MDO P1 或 P2	也为来宾发件人应用预设

安全状况	要应用的预设	适用对象
默认的健康基线，管理开销低	Standard preset	大多数企业——应用于所有用户
高风险目标、受监管或高管占比较高的组织	Strict preset	Tier-0 管理员、财务人员、高管邮箱
自定义例外（例如 SPF 配置有问题的供应商）	优先级高于预设的自定义策略	谨慎使用——记录配置漂移风险

**经验法则：**将 Standard preset 应用于所有用户作为基础，将 Strict preset 应用于高风险群组（高管、财务人员、IT 管理员、法务）作为上限。仅在预设确实不适用时才使用自定义策略——每个自定义策略都可能成为未来的配置漂移源。

方法

1. 确认许可证和邮件流 — 在管理中心确认 MDO P1 还是 P2。确认 Exchange Online 直接接收邮件（或通过上游网关接收）。在 MDO 前部署第三方安全邮件网关（SEG）是常见模式，但会降低部分检测能力——使用 连接器的增强筛选 保留原始发件人 IP。 验证：Get-EnhancedFilteringConfig 显示已配置入站连接器。

2. 启用电子邮件身份验证 — 为每个发送域配置 SPF、DKIM 和 DMARC。 DMARC 从 p=none（监控）开始，随后设为 quarantine，再设为 reject。如果没有 DMARC，欺骗检测能力会较弱。 验证：DMARC 已设为 p=reject，且汇总报告已连续接收 30 天以上。

3. 应用预设安全策略 — 为所有用户应用 Standard 预设。为特定群组（高管、财务、IT 管理员）应用 Strict 预设。预设会自动更新为 Microsoft 的建议配置；自定义策略则不会。 验证：预设策略报告显示 Standard 或 Strict 覆盖了 ≥ 95% 的用户。

4. 配置冒充防护 — 在反钓鱼策略中（Strict 预设包含此设置），将特定用户（高管、CFO、高管助理）和域（自有域、常被冒充的合作伙伴域）添加到冒充防护中。邮箱智能会自动学习其余对象。 验证：反钓鱼策略显示受保护用户为 5-15 人（不要列出所有人，否则会削弱检测能力），受信任域为 1-3 个。

5. 租户允许/阻止列表（TABL）——优先阻止，谨慎允许 — 使用 TABL 阻止已确认的恶意发件人、URL 或文件。允许条目是临时的（最长 30 天），且会覆盖检测结果，因此应谨慎使用并每周审查。 验证：允许列表中少于 20 个条目，且没有针对高风险域的永久允许条目。

6. 每月使用配置分析器 — 在 security.microsoft.com → Email & collaboration → Policies & rules → Configuration analyzer 中查看与 Standard/Strict 的偏差。应用建议，或记录未应用的原因。 验证：相对于目标预设的偏差评分 = 0。

7. 通过 Submissions 和 Threat Explorer 开展运营 — 用户报告的钓鱼邮件会进入 Submissions 门户。每天进行分类处理，标记误报，并更新租户允许/阻止列表。使用 Threat Explorer（P2）开展临时调查（例如，查找过去 7 天内来自某个发件人域的所有邮件）。

8. AIR + 自动化分类处理 — 为用户报告的钓鱼邮件启用 AIR。调查手册会自动查找类似邮件、软删除这些邮件，并在必要时创建事件。

9. 攻击模拟培训 — 根据当前威胁情报开展季度活动（例如，发薪周开展薪资主题活动，采购周期开展供应商主题活动）。仅向点击链接或提交凭据的用户分配培训——面向所有人的培训会降低参与度。

防护措施

• 预设 > 自定义策略。 预设会自动获取 Microsoft 的调优更新。每个自定义策略都意味着一项维护工作。
• 不要为了“用户体验”而禁用 Safe Links 重写。 重写本身就是检测机制——移除重写就会彻底移除 Safe Links。对于特定的允许列表服务，请改用 Do not rewrite 列表。
• 仅为少量特定对象启用冒充防护。 列出所有用户会削弱检测能力。指定 5-15 名受保护用户；其余对象交由邮箱智能处理。
• TABL 中的允许条目是临时的。 它们会覆盖检测结果。最长 30 天，每周审查，并移除或替换为适当的排除项。
• 目标是将 DMARC 设为 reject，而不是 p=none。 p=none 是为期 30 天的监控阶段，不是最终目标。
• MDO + 第三方 SEG = 配置增强筛选。 否则 MDO 会将 SEG 的 IP 视为发件人 IP，导致检测能力下降。
• 不要通过邮件流规则绕过 MDO。 例外规则（“跳过来自 X 的邮件的筛选”）会让攻击者有机可乘。请改用 TABL 或冒充排除项。

常见反模式

• “只使用自定义策略，因为预设策略过于严格”——这会让你无法使用 Microsoft 的自动调整功能。应用预设策略；针对特定情况设置例外。
• “禁用 Safe Links 重写，因为它会导致帮助台链接失效”——这会移除检测功能。将特定 URL 添加到 Do not rewrite。
• “永久允许此供应商域名通过 TABL”——永久允许 = 永久绕过。请在发件方修复底层 SPF/DKIM/DMARC 问题，或使用连接器级别的允许设置。
• “将所有 5,000 名用户添加到身份冒充防护中”——检测结果会变成噪声。仅针对最常被冒充的 10-50 名指定用户。
• “DMARC 永远设置为 p=none”——你在收集报告，却从未执行策略。60 天内改为隔离，90 天内改为拒绝。
• “用户举报的钓鱼邮件发到我们每周查看一次的共享邮箱”——请使用 Submissions 门户，以便触发 AIR 和 Threat Explorer。共享邮箱无法使用这些工具。
• “每季度为所有人分配攻击模拟培训”——参与度会大幅下降。只针对点击链接或提交凭据的用户。
• “MDO 位于默认配置的第三方 SEG 后面”——所有入站邮件看起来都像是来自 SEG IP。请为连接器启用 Enhanced Filtering。

示例提示词

• Apply the Standard preset to all users and Strict preset to executives and finance.
• Configure DMARC for our domain - go from p=none to p=reject in 90 days.
• Set up impersonation protection for our CFO and partner domains.
• Compare current MDO settings against the Strict preset using configuration analyzer.
• Plan MDO Plan 1 vs Plan 2 - what hunting and AIR capabilities do we lose without P2?
• Triage user-reported phish via the Submissions portal and update tenant allow/block list.
• Run a payroll-themed attack simulation in pay-week and assign training to clickers only.
• Configure Enhanced Filtering for Connectors - we have a third-party SEG in front of EXO.

Microsoft Learn

• 概述：https://learn.microsoft.com/defender-office-365/mdo-about
• Plan 1 与 Plan 2 对比：https://learn.microsoft.com/defender-office-365/mdo-deployment-guide
• 预设安全策略：https://learn.microsoft.com/defender-office-365/preset-security-policies
• 推荐设置（Standard/Strict）：https://learn.microsoft.com/defender-office-365/recommended-settings-for-eop-and-office365
• 配置分析器：https://learn.microsoft.com/defender-office-365/configuration-analyzer-for-security-policies
• Safe Links：https://learn.microsoft.com/defender-office-365/safe-links-about
• Safe Attachments：https://learn.microsoft.com/defender-office-365/safe-attachments-about
• 反钓鱼与身份冒充：https://learn.microsoft.com/defender-office-365/anti-phishing-mdo-impersonation-insight
• 租户允许/阻止列表：https://learn.microsoft.com/defender-office-365/tenant-allow-block-list-about
• DMARC：https://learn.microsoft.com/defender-office-365/email-authentication-dmarc-configure
• Submissions 门户：https://learn.microsoft.com/defender-office-365/submissions-admin
• 攻击模拟培训：https://learn.microsoft.com/defender-office-365/attack-simulation-training-get-started