EOP および Microsoft Defender for Office 365 セキュリティの推奨設定

Exchange Online Protection (EOP) は、Microsoft 365 サブスクリプションのセキュリティの中核であり、悪意のあるメールが従業員の受信トレイに届かないようにするのに役立ちます。 しかし、新しい、より高度な攻撃が毎日出現する中で、多くの場合、保護の強化が必要になります。 Microsoft Defender for Office 365プラン 1 またはプラン 2 には、セキュリティ、制御、調査のレイヤーを増やす追加の機能が含まれています。

セキュリティ管理者はセキュリティ設定をカスタマイズできますが、EOP には 2 つのセキュリティ レベルがあり、推奨されるMicrosoft Defender for Office 365は Standard と Strict です。 顧客の環境とニーズは異なりますが、これらのレベルのフィルター処理は、ほとんどの状況で不要なメールが従業員の受信トレイに到達するのを防ぐのに役立ちます。

標準または厳格な設定をユーザーに自動的に適用するには、「EOP とMicrosoft Defender for Office 365のセキュリティ ポリシーを事前設定する」を参照してください。

この記事では、既定の設定と、ユーザーを保護するために推奨される標準設定と厳密な設定について説明します。 テーブルには、Microsoft Defender ポータルと PowerShell (Exchange Online PowerShell またはスタンドアロン Exchange Online Protection PowerShell for organization for Exchange Online メールボックス) の設定が含まれています。

EOP でのスパム対策、マルウェア対策、フィッシング対策の保護

スパム対策、マルウェア対策、フィッシング対策は、管理者が構成できる EOP 機能です。 次の標準または厳密な構成をお勧めします。

EOP マルウェア対策ポリシー設定

マルウェア対策ポリシーを作成して構成するには、「 EOP でマルウェア対策ポリシーを構成する」を参照してください。

検疫ポリシーは、検疫されたメッセージに対してユーザーが実行できる操作と、ユーザーが検疫通知を受け取るかどうかを定義します。 詳細については、「 検疫ポリシーの構造」を参照してください。

AdminOnlyAccessPolicy という名前のポリシーでは、 次の表に示すように、マルウェアとして検疫されたメッセージの履歴機能が適用されます。

検疫ポリシーの構成方法に関係なく、ユーザーはマルウェアとして検疫された独自のメッセージを解放できません。 ポリシーでユーザーが独自の検疫済みメッセージを解放できる場合、ユーザーは代わりに検疫されたマルウェア メッセージのリリースを 要求 できます。

「EOP のスパム対策ポリシーの設定」

スパム対策ポリシーを作成して構成するには、「 EOP でスパム対策ポリシーを構成する」を参照してください。

スパム フィルター判定のアクションとして [検疫メッセージ ] を選択した場合は、[ 検疫ポリシーの選択 ] ボックスを使用できます。 検疫ポリシーは、検疫されたメッセージに対してユーザーが実行できる操作と、ユーザーが検疫通知を受け取るかどうかを定義します。 詳細については、「 検疫ポリシーの構造」を参照してください。

Defender ポータルでスパム対策ポリシーを作成するときにスパム フィルター判定のアクションを検疫メッセージに変更した場合、既定では [検疫ポリシーの選択] ボックスは空白になります。 空白の値は、そのスパム フィルター判定の既定の検疫ポリシーが使用されることを意味します。 これらの既定の検疫ポリシーでは、 次の表に示すように、メッセージを検疫したスパム フィルター判定の履歴機能が適用されます。 後でスパム対策ポリシー設定を表示または編集すると、検疫ポリシー名が表示されます。

管理者は、制限の厳しい機能または制限の少ない機能を持つ検疫ポリシーを作成または使用できます。 手順については、「Microsoft Defender ポータルで検疫ポリシーを作成する」を参照してください。

¹ フル アクセス許可と検疫通知で説明されているように、organizationでは、既定のセキュリティ ポリシーまたは作成した新しいカスタム セキュリティ ポリシーで DefaultFullAccessPolicy ではなく NotificationEnabledPolicy を使用する場合があります。 これら 2 つの検疫ポリシーの唯一の違いは、検疫通知が、NotificationEnabledPolicy ではオンになり、DefaultFullAccessPolicy ではオフになっている点です。

スパム対策ポリシーの ASF 設定

スパム対策ポリシーの高度なスパム フィルター (ASF) 設定の詳細については、「 EOP の高度なスパム フィルター (ASF) 設定」を参照してください。

EOP 送信スパム ポリシー設定

送信スパム ポリシーを作成して構成するには、「 EOP で送信スパム フィルター処理を構成する」を参照してください。

サービスの既定の送信制限の詳細については、「 送信制限」を参照してください。

EOP フィッシング対策ポリシー設定

これらの設定の詳細については、「 スプーフィング設定」を参照してください。 これらの設定を構成するには、「 EOP でフィッシング対策ポリシーを構成する」を参照してください。

スプーフィング設定は相互に関連していますが、[ 最初の連絡先の安全ヒントを表示 する] 設定には、スプーフィング設定に依存しません。

検疫ポリシーは、検疫されたメッセージに対してユーザーが実行できる操作と、ユーザーが検疫通知を受け取るかどうかを定義します。 詳細については、「 検疫ポリシーの構造」を参照してください。

Defender ポータルでフィッシング対策ポリシーを作成すると、[ 検疫ポリシーの適用 ] の値は選択されていませんが、検疫ポリシーを選択しない場合は DefaultFullAccessPolicy¹ という名前の検疫ポリシーが使用されます。 このポリシーでは、 次の表に示すように、スプーフィングとして検疫されたメッセージの履歴機能が適用されます。 検疫ポリシー設定を後で表示または編集すると、検疫ポリシー名が表示されます。

管理者は、制限の厳しい機能または制限の少ない機能を持つ検疫ポリシーを作成または使用できます。 手順については、「Microsoft Defender ポータルで検疫ポリシーを作成する」を参照してください。

¹ フル アクセス許可と検疫通知で説明されているように、organizationでは、既定のセキュリティ ポリシーまたは作成した新しいカスタム セキュリティ ポリシーで DefaultFullAccessPolicy ではなく NotificationEnabledPolicy を使用する場合があります。 これら 2 つの検疫ポリシーの唯一の違いは、検疫通知が、NotificationEnabledPolicy ではオンになり、DefaultFullAccessPolicy ではオフになっている点です。

セキュリティMicrosoft Defender for Office 365

追加のセキュリティ上の利点には、Microsoft Defender for Office 365 サブスクリプションが付属しています。 最新のニュースと情報については、Defender for Office 365の新機能に関するページを参照してください。

サブスクリプションにMicrosoft Defender for Office 365が含まれている場合、またはアドオンとしてDefender for Office 365を購入した場合は、次の Standard または Strict 構成を設定します。

Microsoft Defender for Office 365のフィッシング対策ポリシー設定

EOP のお客様は、前述のように基本的なフィッシング対策を行いますが、Defender for Office 365には、攻撃の防止、検出、修復に役立つより多くの機能と制御が含まれています。 これらのポリシーを作成して構成するには、「Defender for Office 365でフィッシング対策ポリシーを構成する」を参照してください。

Microsoft Defender for Office 365のフィッシング対策ポリシーの詳細設定

この設定の詳細については、「Microsoft Defender for Office 365のフィッシング対策ポリシーの高度なフィッシングしきい値」を参照してください。 この設定を構成するには、「Defender for Office 365でフィッシング対策ポリシーを構成する」を参照してください。

Microsoft Defender for Office 365のフィッシング対策ポリシーの偽装設定

これらの設定の詳細については、「Microsoft Defender for Office 365のフィッシング対策ポリシーの偽装設定」を参照してください。 これらの設定を構成するには、「Defender for Office 365でフィッシング対策ポリシーを構成する」を参照してください。

偽装判定のアクションとして [メッセージの検疫 ] を選択した場合は、[ 検疫ポリシーの適用 ] ボックスを使用できます。 検疫ポリシーは、検疫されたメッセージに対してユーザーが実行できる操作と、ユーザーが検疫通知を受け取るかどうかを定義します。 詳細については、「 検疫ポリシーの構造」を参照してください。

Defender ポータルでフィッシング対策ポリシーを作成すると、[ 検疫ポリシーの適用 ] の値は選択されていませんが、検疫ポリシーを選択しない場合は DefaultFullAccessPolicy という名前の検疫ポリシーが使用されます。 このポリシーでは、 次の表に示すように、偽装として検疫されたメッセージの履歴機能が適用されます。 検疫ポリシー設定を後で表示または編集すると、検疫ポリシー名が表示されます。

管理者は、制限の厳しい機能または制限の少ない機能を持つ検疫ポリシーを作成または使用できます。 手順については、「Microsoft Defender ポータルで検疫ポリシーを作成する」を参照してください。

¹ フル アクセス許可と検疫通知で説明されているように、organizationでは、既定のセキュリティ ポリシーまたは作成した新しいカスタム セキュリティ ポリシーで DefaultFullAccessPolicy ではなく NotificationEnabledPolicy を使用する場合があります。 これら 2 つの検疫ポリシーの唯一の違いは、検疫通知が、NotificationEnabledPolicy ではオンになり、DefaultFullAccessPolicy ではオフになっている点です。

Microsoft Defender for Office 365の EOP フィッシング対策ポリシー設定

これらは、 EOP のスパム対策ポリシー設定で使用できる設定と同じです。

安全な添付ファイルの設定

Microsoft Defender for Office 365の安全な添付ファイルには、安全な添付ファイル ポリシーとは関係のないグローバル設定と、各安全なリンク ポリシーに固有の設定が含まれています。 詳細については、「Defender for Office 365の安全な添付ファイル」を参照してください。

既定の安全な添付ファイル ポリシーはありませんが、 組み込みの保護 プリセット セキュリティ ポリシーは、標準または厳密な事前設定されたセキュリティ ポリシーまたはカスタムの安全な添付ファイル ポリシーで定義されていないすべての受信者に安全な添付ファイル保護を提供します。 詳しくは、「EOP と Microsoft Defender for Office 365 の事前設定されたセキュリティ ポリシー」を参照してください。

安全な添付ファイルのグローバル設定

これらの設定を構成するには、「Microsoft 365 E5で SharePoint、OneDrive、Microsoft Teamsおよび安全なドキュメントの安全な添付ファイルを有効にする」を参照してください。

PowerShell では、これらの設定に Set-AtpPolicyForO365 コマンドレットを使用します。

安全な添付ファイル ポリシー設定

これらの設定を構成するには、「Defender for Office 365で安全な添付ファイル ポリシーを設定する」を参照してください。

PowerShell では、これらの設定に New-SafeAttachmentPolicy コマンドレットと Set-SafeAttachmentPolicy コマンドレットを使用します。

検疫ポリシーは、検疫されたメッセージに対してユーザーが実行できる操作と、ユーザーが検疫通知を受け取るかどうかを定義します。 詳細については、「 検疫ポリシーの構造」を参照してください。

AdminOnlyAccessPolicy という名前のポリシーでは、 次の表に示すように、マルウェアとして検疫されたメッセージの履歴機能が適用されます。

検疫ポリシーの構成方法に関係なく、安全な添付ファイルによってマルウェアとして検疫された独自のメッセージをユーザーが解放することはできません。 ポリシーでユーザーが独自の検疫済みメッセージを解放できる場合、ユーザーは代わりに検疫されたマルウェア メッセージのリリースを 要求 できます。

セーフ リンク ポリシーの設定

安全なリンク保護の詳細については、「Defender for Office 365の安全なリンク」を参照してください。

既定の安全なリンク ポリシーはありませんが、 組み込みの保護 プリセット セキュリティ ポリシーは、標準の事前設定されたセキュリティ ポリシー、厳密な事前設定されたセキュリティ ポリシー、またはカスタムの安全なリンク ポリシーで定義されていないすべての受信者に安全なリンク保護を提供します。 詳しくは、「EOP と Microsoft Defender for Office 365 の事前設定されたセキュリティ ポリシー」を参照してください。

安全なリンクポリシー設定を構成するには、「Microsoft Defender for Office 365で安全なリンク ポリシーを設定する」を参照してください。

PowerShell では、 安全なリンク ポリシー設定に New-SafeLinksPolicy コマンドレットと Set-SafeLinksPolicy コマンドレットを使用します。

関連記事

• Exchange メール フロー ルール (トランスポート ルールとも呼ばれます) のベスト プラクティスをお探しですか? Exchange Onlineでメール フロー ルールを構成するためのベスト プラクティスに関するページを参照してください。

• 管理者とユーザーは、分析のために、誤検知 (不適切とマークされた良好なメール) と誤検知 (不適切なメール許可) を Microsoft に送信できます。 詳細については、「メッセージとファイルを Microsoft に報告する」を参照してください。

• Windows のセキュリティ ベースラインについては、次のページを参照してください。GPO/オンプレミス オプションのセキュリティ ベースラインはどこで入手できますか。セキュリティ ベースラインを使用して、Intune ベースのセキュリティをIntuneで Windows デバイスを構成します。 最後に、Microsoft Defender for EndpointとMicrosoft Intuneのセキュリティ ベースラインの比較は、「Microsoft Defender for Endpointと Windows Intuneセキュリティ ベースラインの比較」で確認できます。