Microsoft Defender for Office 365 の安全なリンク

Microsoft Defender for Office 365を持つ組織では、安全なリンク スキャンによって、フィッシングやその他の攻撃で使用される悪意のあるリンクからorganizationが保護されます。 具体的には、安全なリンクは、メール フロー中の受信電子メール メッセージの URL スキャンと書き換え、電子メール メッセージ、Teams、およびサポートされているOffice 365 アプリ内の URL とリンクのクリック時検証を提供します。 安全なリンクスキャンは、通常の スパム対策 と マルウェア対策 保護に加えて行われます。

Microsoft Defender for Office 365 のセーフ リンクを使用して悪意のあるリンクから保護する方法について、この短いビデオをご覧ください。

安全なリンクによる安全なリンク保護ポリシーは、次の場所で使用できます。

• Email メッセージ: 電子メール メッセージ内のリンクに対する安全なリンク保護。

  メール メッセージの安全なリンク保護の詳細については、この記事で後述する「電子メール メッセージの安全なリンク設定」セクションを参照してください。

  注:

  • 安全なリンクは、メールが有効なパブリック フォルダーでは機能しません。
  • セーフ リンクでは、リッチ テキスト形式 (RTF) メール メッセージの URL を保護できません。
  • 安全なリンクでは、HTTP 形式と FTP 形式のみがサポートされます。
  • 安全なリンクは、S/MIME 署名付きメッセージを無視します。
  • 安全なリンクは、SharePoint Online サイトを指す URL をラップしなくなりました。 SharePoint URL は、安全なリンク サービスによって引き続き処理されます。 この変更により、テナントが受け取る保護が低下することはありません。 これは、SharePoint URL の読み込みのパフォーマンスを向上させることを目的としています。
  • Defender for Office 365の前に別のサービスを使用してリンクをラップすると、リンクのラップ、爆発、またはその他の方法でリンクの "悪意" の検証など、安全なリンクが処理されない可能性があります。

• Microsoft Teams: Teams の会話、グループ チャット、またはチャネルからのリンクに対する安全なリンク保護。

  Teams の安全なリンク保護の詳細については、この記事で後述する「Microsoft Teams の安全なリンク設定」セクションを参照してください。

• Office アプリ: サポートされている Office デスクトップ、モバイル、Web アプリの安全なリンク保護。

  Office アプリの安全なリンク保護の詳細については、この記事で後述する「Office アプリの安全なリンク設定」セクションを参照してください。

次の表では、Defender for Office 365 を含む Microsoft 365および Office 365 組織の安全なリンクのシナリオについて説明します (ライセンスの不足は、この例では問題になることはありません)。

安全なリンク ポリシーの受信者フィルター

受信者フィルターでは、条件と例外を使用して、ポリシーが適用される内部受信者を識別します。 少なくとも 1 つの条件が必要です。 条件と例外には、次の受信者フィルターを使用できます。

• ユーザー: organization内の 1 つ以上のメールボックス、メール ユーザー、またはメール連絡先。
• グループ:
  • 指定した配布グループまたはメールが有効なセキュリティ グループのメンバー (動的配布グループはサポートされていません)。
  • 指定した Microsoft 365 グループ。
• ドメイン: Microsoft 365 で構成 されている承認済みドメインの 1 つ以上。 受信者のプライマリ メール アドレスは、指定したドメイン内にあります。

条件または例外は 1 回だけ使用できますが、条件または例外には複数の値を含めることができます。

• 同じ条件または例外の複数の値は、<OR ロジック (recipient1> や <recipient2> など) を使用します。

  • 条件: 受信者が指定した値 のいずれかに 一致する場合、ポリシーが適用されます。
  • 例外: 受信者が指定した値 のいずれかに 一致する場合、ポリシーは適用されません。

• 異なる種類の例外では、OR ロジック (recipient1 や <group1 のメンバー、domain1><>のメンバーなど) が使用されます。 <> 受信者が指定した例外値 のいずれかに 一致する場合、ポリシーは適用されません。

• さまざまな 種類の条件で AND ロジックが使用されます。 受信者は、ポリシーを適用するために、指定 されたすべての 条件に一致する必要があります。 たとえば、次の値を使用して条件を構成します。

  • ユーザー： romain@contoso.com
  • グループ: エグゼクティブ

  ポリシーは、エグゼクティブ グループのメンバーでもある場合にのみ適用romain@contoso.comされます。 それ以外の場合、ポリシーは適用されません。

メール メッセージの安全なリンク設定

安全なリンクは、受信メールをスキャンして、悪意のあるハイパーリンクを検出します。 スキャンされた URL は、Microsoft 標準 URL プレフィックス https://<DataCenterLocation>.safelinks.protection.outlook.com ( など) を使用して書き換えられたりラップhttps://nam01.safelinks.protection.outlook.comされたりします。 リンクを書き換えた後、潜在的な悪意のあるコンテンツがないか分析します。

安全なリンクが URL を書き換えた後、メッセージが 手動で 転送または返信された場合でも、URL が書き換えられます。 折り返しは、メッセージ受信者 (内部受信者と外部受信者の両方) ごとに行われます。 転送または返信されたメッセージに追加された追加のリンクも書き換えられます。

受信トレイルールまたは SMTP 転送による 自動 転送の場合、次のいずれかのステートメントが当てはまる 場合を除き 、最終的な受信者を対象としたメッセージ内の URL は書き換えられません。

• 受信者は、安全なリンクでも保護されます。
• URL は、以前の通信で既に書き換えられました。

安全なリンク保護が有効になっている限り、URL が書き換えられたかどうかに関係なく、メッセージ配信前にスキャンされます。 サポートされているバージョンの Outlook (Windows、Mac、Outlook on the web) では、ラップされていない URL は、クリック時にクライアント側の API 呼び出しによってセーフ リンクに対してチェックされます。

メール メッセージに適用される安全なリンク ポリシーの設定については、次のリストを参照してください。

• オン: 安全なリンクは、ユーザーがメール内のリンクをクリックしたときに、既知の悪意のあるリンクのリストを確認します URL は既定で書き換えられます。: 電子メール メッセージの安全なリンクスキャンをオンまたはオフにします。 推奨値は選択 (オン) で、次のアクションが実行されます。

  • Windows の Outlook (C2R) で安全なリンクのスキャンが有効になっています。
  • URL は書き換えられ、ユーザーがメッセージ内の URL をクリックすると、安全なリンク保護によってルーティングされます。
  • クリックすると、既知の悪意のある URL の一覧に対して URL がチェックされます。
  • 有効な評価が指定されていない URL は、バックグラウンドで非同期に生成されます。

  次の設定は、安全なリンクのスキャンがメール メッセージ内で有効になっている場合にのみ使用できます。

  • 組織内で送信されるメール メッセージに安全なリンクを適用します: 同じ Exchange Online 組織内の内部送信者と内部受信者の間で送信されるメッセージに対する安全なリンクのスキャンを有効または無効にします。 推奨値は選択 (オン) です。

  • 疑わしいリンクやファイルを指すリンクのリアルタイム URL スキャンを適用します: ダウンロード可能なコンテンツを指しているメール メッセージ内のリンクなど、リンクのリアルタイム スキャンを有効にします。 推奨値は選択 (オン) です。

    • URL スキャンが完了するまで待ち、その後でメッセージを配信します:
      • 選択 (オン): URL を含むメッセージは、スキャンが完了するまで保持されます。 メッセージは、URL が安全であることが確認された後にのみ配信されます。 これは推奨値です。
      • 未選択 (オフ): URL スキャンを完了できない場合には、メッセージが配信されます。

  • URL を書き換えないでください。SafeLinks API のみを使用してチェックを行います。この設定がオンの場合、URL の折り返しは行われませんが、URL はメッセージ配信の前にスキャンされます。 サポートされているバージョンの Outlook (Windows、Mac、Outlook on the web) では、安全なリンクは URL クリック時に API 経由でのみ呼び出されます。

  安全なリンク ポリシーの標準および厳格なポリシー設定の推奨値の詳細については、「セーフ リンク ポリシーの設定」を参照してください。

メール メッセージでの安全なリンクのしくみ

高レベルでは、メール メッセージ内の URL に対する安全なリンク保護は次のように機能します。

1. すべてのメールは EOP を通過します。この EOP では、メッセージが受信者のメールボックスに配信される前に、インターネット プロトコル (IP) とエンベロープ フィルター、署名ベースのマルウェア対策、スパム対策、マルウェア対策フィルターが適用されます。

2. ユーザーはメールボックスでメッセージを開き、メッセージ内の URL をクリックします。

3. 安全なリンクは、Web サイトを開く前に URL をすぐに確認します。

   • URL が悪意のある Web サイトを指している場合、悪意のある Web サイトの警告 ページ (または別の警告ページ) が開きます。

   • URL がダウンロード可能なファイルを指し、不審なリンクや、ファイルを指しているリンクに対してリアルタイム URL スキャンを適用する 設定がユーザーに適用されるポリシーで有効になっている場合、ダウンロード可能なファイルがチェックされます。

   • URL が安全であると判断された場合は、その Web サイトが開きます。

Microsoft Teams の安全なリンク設定

安全なリンク ポリシーで Microsoft Teams の安全なリンク保護を有効または無効にします。 具体的には、[オン: 安全なリンク] を使用すると、ユーザーがMicrosoft Teams内のリンクをクリックしたときに、既知の悪意のあるリンクの一覧がチェックされます。[Teams] セクションの URL 設定は書き換えされません。 推奨される値はオン (選択) です。

Teams の URL は、保護されたユーザーがリンク (クリック時の保護) をクリックすると、既知の悪意のあるリンクの一覧に対してチェックされます。 URL は書き換えられません。 悪意のあるリンクが見つかった場合、ユーザーには次のエクスペリエンスがあります。

• Teams の会話、グループ チャット、またはチャネルからリンクがクリックされた場合、スクリーンショットに示すように警告ページが既定の Web ブラウザーに表示されます。
• ピン留めされたタブからリンクがクリックされた場合は、そのタブ内の Teams インターフェイスに警告ページが表示されます。Web ブラウザーでリンクを開くオプションは、セキュリティ上の理由から無効になっています。
• ポリシーの [ユーザーが元の URL をクリックできるようにする ] 設定がどのように構成されているかに応じて、ユーザーは元の URL へのクリックが許可されているか 、許可されていません (スクリーンショットの [続行] (推奨されません) )。 [ユーザーが元の URL へクリック スルーするのを許可する] 設定を有効にすることをお勧めします。

リンクを送信したユーザーは Teams 保護が有効になっている安全なリンク ポリシーで保護されていない場合、自分のコンピューターまたはデバイス上の元の URL を自由にクリック スルーすることができます。

警告ページの [ 戻る ] ボタンをクリックすると、ユーザーは元のコンテキストまたは URL の場所に戻ります。 ただし、元のリンクをもう一度クリックすると、安全なリンクが URL を再スキャンするため、警告ページが再び表示されます。

Teams での安全なリンクのしくみ

高レベルでは、Microsoft Teams の URL に対する安全なリンク保護は次のように機能します。

1. ユーザーが Teams アプリを起動します。

2. Microsoft 365 は、ユーザーの組織に Microsoft Defender for Office 365 が含まれていること、およびユーザーが Microsoft Teams の保護が有効になっているアクティブな安全なリンク ポリシーに含まれていることを確認します。

3. URL は、チャット、グループ チャット、チャネル、タブでユーザーのクリック時に検証されます。

Office アプリの安全なリンク設定

Office アプリの安全なリンク保護では、メール メッセージ内のリンクではなく、Office ドキュメント内のリンクがチェックされます。 ただし、ドキュメントを開いた後は、メール メッセージ内の添付 Office ドキュメントのリンクを確認できます。

安全なリンク ポリシーで Office アプリの安全なリンク保護を有効または無効にします。 具体的には、[オン: 安全なリンク] を使用すると、ユーザーが Microsoft Office アプリのリンクをクリックしたときに既知の悪意のあるリンクの一覧が確認されます。URL は、[Office 365 アプリ] セクションの設定で書き換えられていません。 推奨される値はオン (選択) です。

Office アプリの安全なリンク保護には、次のクライアント要件があります。

• Microsoft 365 AppsまたはMicrosoft 365 Business Premium:

  • Windows、Mac、または Web ブラウザーでの Word、Excel、PowerPoint の現在のバージョン。
  • iOS または Android デバイス上の Office アプリ。
  • Windows 上の Visio。
  • Web ブラウザーでの OneNote。
  • 保存されたEMLまたはMSGファイルを開くときのWindows 用Outlook。

• サポートされている Office アプリと Microsoft 365 サービスは、先進認証を使用するように構成されています。 詳細については、「Office 2013 クライアント アプリと Office 2016 クライアント アプリでの先進認証のしくみ」を参照してください。

• ユーザーは職場または学校のアカウントを使用してサインインします。 詳細については、「Office へのサインイン」を参照してください。

Standard および Strict ポリシー設定の推奨値の詳細については、「 安全なリンクポリシー設定」を参照してください。

Office アプリでの安全なリンクのしくみ

高レベルでは、Office アプリの URL に対する安全なリンク保護は次のように機能します。 サポートされている Office アプリについては、前のセクションで説明されています。

1. ユーザーは、Microsoft 365 Apps または Microsoft 365 Business Premium を含む組織内の職場または学校アカウントを使用してサインインします。

2. ユーザーは、サポートされている Office アプリで Office ドキュメントのリンクを開いてクリックします。

3. 安全なリンクは、ターゲット Web サイトを開く前に URL をすぐに確認します。

   • URL が悪意のある Web サイトを指している場合、悪意のある Web サイトの警告 ページ (または別の警告ページ) が開きます。

   • URL がダウンロード可能なファイルを指しており、ユーザーに適用される安全なリンク ポリシーがダウンロード可能なコンテンツへのリンクをスキャンするように構成されている場合 (ファイルを指す疑わしいリンクとリンクをリアルタイムで URL スキャンする)、ダウンロード可能なファイルがチェックされます。

   • URL が安全と見なされると、Web サイトに移動します。

   • 安全なリンクのスキャンを完了できない場合、安全なリンク保護はトリガーされません。 Office デスクトップ クライアントでは、対象の Web サイトに進む前にユーザーに警告が表示されます。

安全なリンク ポリシーで保護の設定をクリックする

これらの設定は、メール、Teams、Office アプリの安全なリンクに適用されます。

• ユーザーのクリックを追跡する: クリックされた URL の安全なリンク クリック データの保存を有効または無効にします。 この設定はオンのままにすることをお勧めします。

  Office アプリの安全なリンクでは、この設定はデスクトップ バージョンの Word、Excel、PowerPoint、Visio に適用されます。

  この設定を選択すると、以下の設定が使用できます。

  • ユーザーが元の URL をクリックできるようにする: ユーザーが 警告ページ をクリックして元の URL をクリックできるかどうかを制御します。 推奨値が選択されていません (オフ)。

    Office アプリの安全なリンクでは、この設定はデスクトップ バージョンの Word、Excel、PowerPoint、Visio で元の URL に適用されます。

  • 組織のブランディングを通知と警告のページに表示します: このオプションは、組織のブランドを警告ページに表示します。 ブランド化は、ユーザーが正当な警告を識別するのに役立ちます。これは、既定の Microsoft 警告ページが攻撃者によってよく使用されるためです。 カスタマイズされたブランド化の詳細については、「組織で使用する Microsoft 365 のテーマをカスタマイズする」を参照してください。

安全なリンク ポリシーの優先度

複数のポリシーを作成した後、適用する順序を指定できます。 同じ優先度を持つポリシーは 2 つなく、最初のポリシーが適用された後にポリシー処理が停止します (その受信者の優先度が最も高いポリシー)。 組み込みの保護 ポリシーは常に最後に適用されます。 事前設定された 標準 セキュリティ ポリシーおよび 厳格 セキュリティ ポリシーに関連付けられている安全なリンク ポリシーは、常にカスタムセーフ リンク ポリシーの前に適用されます。

優先順位と複数のポリシーの評価と適用方法の詳細については、「事前設定されたセキュリティ ポリシーとその他のポリシーの優先順位」と「メール保護の順序と優先順位」を参照してください。

安全なリンクポリシーの「次の URL を書き換えない」リスト

各安全なリンク ポリシーには、安全なリンクスキャンによって 書き換えられていない URL を 指定するために使用できる[次の URL を書き換えない] リストが含まれています。 さまざまな安全なリンク ポリシーで、異なるリストを構成できます。 ポリシーの処理は、最初の (最も優先度が高い) ポリシーがユーザーに適用された後に停止します。 そのため、複数のアクティブな安全なリンク ポリシーに含まれているユーザーには、「次の URL を書き換えない」リストが 1 つだけ適用されます。

新規または既存の安全なリンク ポリシーのリストにエントリを追加するには、「安全なリンク ポリシーの作成」または「安全なリンクポリシーの変更」を参照してください。

注意:

• 次のクライアントは、安全なリンク ポリシーの 「次の URL を書き換えない」のリストを認識しません。 ポリシーに含まれるユーザーは、次のクライアントでの安全なリンク スキャンの結果に基づいて、URL へのアクセスをブロックできます。

  • Microsoft Teams
  • Office Web Apps

  あらゆる場所で許可される URL の真のユニバーサル リストについては「テナントの許可/禁止リストの管理」を参照してください。 ただし、テナント許可/ブロック リストの URL 許可エントリは、安全なリンクの書き換えから除外されません。

• ユーザー エクスペリエンスを向上させるために、一般的に使用される内部 URL をリストに追加することを検討してください。 たとえば、Skype for Business や SharePoint などのオンプレミス サービスがある場合は、それらの URL を追加してスキャンから除外できます。

• 既に「安全なリンク ポリシーの次の URL を書き換えない」エントリがある場合は、必ずリストを確認し、必要に応じてワイルドカードを追加してください。 たとえば、リストに https://contoso.com/a のようなエントリがあり、後で https://contoso.com/a/b のようなサブパスを含めることにしたとします。 新しいエントリを追加する代わりに、既存のエントリにワイルドカードを追加して、https://contoso.com/a/* になるようにします。

• URL エントリごとに最大 3 つのワイルドカード (*) を含めることができます。 ワイルドカードには、プレフィックスまたはサブドメインが明示的に含まれます。 たとえば、指定したドメイン内のサブドメインとパスにアクセスできるため*.contoso.com/*、エントリcontoso.comは と同じ*.contoso.com/*ではありません。

• URL で HTTP から HTTPS への自動リダイレクト (たとえば、http://www.contoso.com から https://www.contoso.com への 302 リダイレクト) を使用し、同じ URL の HTTP エントリと HTTPS エントリの両方をリストに入力しようとすると、2 番目の URL エントリが最初の URL エントリに置き換わる場合があります。 この動作は、URL の HTTP バージョンと HTTPS バージョンが完全に分離されている場合には発生しません。

• HTTP バージョンと HTTPS バージョンの両方を除外するために、http:// または https:// (つまり、contoso.com) を指定しないでください。

• *.contoso.comは、contoso.com をカバーしないので、指定されたドメインと子ドメインの両方をカバーするには両方を除外する必要があります。

• contoso.com/* のみ contoso.com をカバーしているため、contoso.comとcontoso.com/*の両方を排除する必要はありません。contoso.com/*だけで十分です。

• ドメインのすべてのイテレーションを除外するには、contoso.com/* と *.contoso.com/*、2 つの除外エントリが必要です。 これらのエントリを組み合わせて、HTTP と HTTPS、メイン ドメイン contoso.com、および任意の子ドメイン、および終了部分 (たとえば、contoso.com と contoso.com/vdir1 の両方が対象) を除外します。

「次の URL を書き換えない」のエントリ構文リスト

入力できる値とその結果の例を次の表に示します。

安全なリンクからの警告ページ

このセクションには、URL をクリックしたときに安全なリンク保護によってトリガーされるさまざまな警告ページの例が含まれています。

スキャンが進行中の通知

クリックされた URL は、安全なリンクによってスキャンされています。 リンクを再試行する前に、しばらく待つ必要がある場合があります。

疑わしいメッセージの警告

クリックされた URL は、他の疑わしいメッセージに似たメール メッセージに含まれています。 サイトに進む前に、メール メッセージを再確認することをお勧めします。

フィッシング詐欺の試行に関する警告

クリックされた URL は、フィッシング攻撃として識別されたメール メッセージに含まれています。 その結果、メール メッセージ内のすべての URL がブロックされます。 サイトに進まないことをお勧めします。

悪意のある Web サイトの警告

クリックされた URL は、悪意のあるサイトを指しています。 サイトに進まないことをお勧めします。

エラー警告

何らかのエラーが発生したため、URL を開くことができません。