Del via

Anbefalede indstillinger for EOP og Microsoft Defender for Office 365 sikkerhed

Tip

Vidste du, at du kan prøve funktionerne i Microsoft Defender XDR til Office 365 Plan 2 gratis? Brug den 90-dages Defender for Office 365 prøveversion på Microsoft Defender portalen med prøveversionshubben. Få mere at vide om, hvem der kan tilmelde dig og prøvevilkår i Prøv Microsoft Defender for Office 365.

Exchange Online Protection (EOP) er kernen i sikkerheden for Microsoft 365-abonnementer og hjælper med at forhindre ondsindede mails i at nå ud til dine medarbejderes indbakker. Men med nye, mere sofistikerede angreb, der opstår hver dag, er forbedret beskyttelse ofte påkrævet. Microsoft Defender for Office 365 Plan 1 eller Plan 2 indeholder yderligere funktioner, der giver flere lag af sikkerhed, kontrol og undersøgelse.

Selvom vi gør det muligt for sikkerhedsadministratorer at tilpasse deres sikkerhedsindstillinger, er der to sikkerhedsniveauer i EOP og Microsoft Defender for Office 365, som vi anbefaler: Standard og Strict. Selvom kundemiljøer og -behov er forskellige, hjælper disse filtreringsniveauer med at forhindre uønskede mails i at nå ud til medarbejdernes indbakke i de fleste situationer.

Hvis du vil anvende standard- eller strenge indstillinger automatisk på brugere, skal du se Forudindstillede sikkerhedspolitikker i EOP og Microsoft Defender for Office 365.

I denne artikel beskrives standardindstillingerne og de anbefalede Standard- og Strict-indstillinger for at beskytte dine brugere. Tabellerne indeholder indstillingerne i Microsoft Defender-portalen og PowerShell (Exchange Online PowerShell eller enkeltstående Exchange Online Protection PowerShell til organisationer uden Exchange Online postkasser).

Bemærk!

Modulet Office 365 Advanced Threat Protection Recommended Configuration Analyzer (ORCA) til PowerShell kan hjælpe administratorer med at finde de aktuelle værdier for disse indstillinger. Cmdlet'en Get-ORCAReport genererer især en vurdering af indstillinger for anti-spam, anti-phishing og andre indstillinger for meddelelseshygiejne. Du kan downloade ORCA-modulet på https://www.powershellgallery.com/packages/ORCA/.

I Microsoft 365-organisationer anbefaler vi, at du lader filteret for uønsket mail i Outlook være angivet til Ingen automatisk filtrering for at forhindre unødvendige konflikter (både positive og negative) med spamfiltreringsdomme fra EOP. Du kan finde flere oplysninger i følgende artikler:

Anti-spam, antimalware og beskyttelse mod phishing i EOP

Anti-spam, anti-malware og anti-phishing er EOP-funktioner, der kan konfigureres af administratorer. Vi anbefaler følgende Standard- eller Strict-konfigurationer.

Politikindstillinger for EOP-antimalware

Hvis du vil oprette og konfigurere politikker for antimalware, skal du se Konfigurer politikker for antimalware i EOP.

Karantænepolitikker definerer, hvad brugerne kan gøre for at sætte meddelelser i karantæne, og om brugerne modtager karantænemeddelelser. Du kan få flere oplysninger under Anatomi af en karantænepolitik.

Politikken med navnet AdminOnlyAccessPolicy gennemtvinger de historiske funktioner for meddelelser, der er sat i karantæne som malware, som beskrevet i tabellen her.

Brugerne kan ikke frigive deres egne meddelelser, der er sat i karantæne som malware, uanset hvordan karantænepolitikken er konfigureret. Hvis politikken giver brugerne mulighed for at frigive deres egne karantænemeddelelser, har brugerne i stedet tilladelse til at anmode om frigivelse af deres karantænelagrede malwaremeddelelser.

Navn på sikkerhedsfunktion Standard Standard Streng Kommenter
Beskyttelsesindstillinger
Aktivér filteret for fælles vedhæftede filer (EnableFileFilter) Valgt ($true)* Valgt ($true) Valgt ($true) Du kan se en liste over filtyper i filteret for almindelige vedhæftede filer under Filter for fælles vedhæftede filer i politikker til antimalware.

* Det almindelige filter for vedhæftede filer er som standard slået til i nye politikker for antimalware, som du opretter på Defender-portalen eller i PowerShell, og i standardpolitikken for antimalware i organisationer, der er oprettet efter den 1. december 2023.
Almindelige filtermeddelelser om vedhæftede filer: Når disse filtyper findes (FileTypeAction) Afvis meddelelsen med en rapport om manglende levering (NDR) (Reject) Afvis meddelelsen med en rapport om manglende levering (NDR) (Reject) Afvis meddelelsen med en rapport om manglende levering (NDR) (Reject)
Aktivér automatisk fjernelse på nul timer for malware (ZapEnabled) Valgt ($true) Valgt ($true) Valgt ($true)
Karantænepolitik (QuarantineTag) AdminOnlyAccessPolicy AdminOnlyAccessPolicy AdminOnlyAccessPolicy
Administration meddelelser
Giv en administrator besked om ikke-leverede meddelelser fra interne afsendere (EnableInternalSenderAdminNotifications og InternalSenderAdminAddress) Ikke markeret ($false) Ikke markeret ($false) Ikke markeret ($false) Vi har ingen specifik anbefaling til denne indstilling.
Giv en administrator besked om ikke-leverede meddelelser fra eksterne afsendere (EnableExternalSenderAdminNotifications og ExternalSenderAdminAddress) Ikke markeret ($false) Ikke markeret ($false) Ikke markeret ($false) Vi har ingen specifik anbefaling til denne indstilling.
Tilpas meddelelser Vi har ingen specifikke anbefalinger til disse indstillinger.
Brug tilpasset meddelelsestekst (CustomNotifications) Ikke markeret ($false) Ikke markeret ($false) Ikke markeret ($false)
Fra navn (CustomFromName) Hvid Hvid Hvid
Fra-adresse (CustomFromAddress) Hvid Hvid Hvid
Tilpas meddelelser for meddelelser fra interne afsendere Disse indstillinger bruges kun, hvis Giv en administrator besked om ikke-leverede meddelelser fra interne afsendere er valgt.
Emne (CustomInternalSubject) Hvid Hvid Hvid
Meddelelse (customInternalBody) Hvid Hvid Hvid
Tilpas meddelelser for meddelelser fra eksterne afsendere Disse indstillinger bruges kun, hvis Giv en administrator besked om ikke-leverede meddelelser fra eksterne afsendere er valgt.
Emne (CustomExternalSubject) Hvid Hvid Hvid
Meddelelse (customExternalBody) Hvid Hvid Hvid

Politikindstillinger for EOP-antispam

Hvis du vil oprette og konfigurere politikker til bekæmpelse af spam, skal du se Konfigurer politikker til bekæmpelse af spam i EOP.

Uanset hvor du vælger Karantænemeddelelse som handlingen for en dom for et spamfilter, er feltet Vælg karantænepolitik tilgængeligt. Karantænepolitikker definerer, hvad brugerne kan gøre for at sætte meddelelser i karantæne, og om brugerne modtager karantænemeddelelser. Du kan få flere oplysninger under Anatomi af en karantænepolitik.

Hvis du ændrer handlingen for en dom for filtrering af spam til Karantænemeddelelse , når du opretter politikker mod spam på Defender-portalen, er feltet Vælg karantænepolitik som standard tomt. En tom værdi betyder, at standard karantænepolitikken for den pågældende dom for spamfiltrering bruges. Disse standard karantænepolitikker gennemtvinger de historiske funktioner for den dom for spamfilteret, der har sat meddelelsen i karantæne som beskrevet i tabellen her. Når du senere får vist eller redigerer indstillingerne for politik til bekæmpelse af spam, vises navnet på karantænepolitikken.

Administratorer kan oprette eller bruge karantænepolitikker med mere restriktive eller mindre restriktive egenskaber. Du kan finde instruktioner under Opret karantænepolitikker på Microsoft Defender-portalen.

Navn på sikkerhedsfunktion Standard Standard Streng Kommenter
Grænseværdi for massemail & egenskaber for spam
Grænseværdi for massemail (BulkThreshold) 7 6 5 Du kan finde flere oplysninger under Samlet klageniveau (BCL) i EOP.
Massemailsam (MarkAsSpamBulkMail) (On) (On) (On) Denne indstilling er kun tilgængelig i PowerShell.
Øg scoreindstillinger for spam Alle disse indstillinger er en del af Advanced Spam Filter (ASF). Du kan få flere oplysninger i afsnittet om asf-indstillinger i politikker til bekæmpelse af spam i denne artikel.
Markér som spamindstillinger De fleste af disse indstillinger er en del af ASF. Du kan få flere oplysninger i afsnittet om asf-indstillinger i politikker til bekæmpelse af spam i denne artikel.
Indeholder bestemte sprog (EnableLanguageBlockList og LanguageBlockList) Fra ($false og Tom) Fra ($false og Tom) Fra ($false og Tom) Vi har ingen specifik anbefaling til denne indstilling. Du kan blokere meddelelser på bestemte sprog baseret på dine forretningsbehov.
Fra disse lande (EnableRegionBlockList og RegionBlockList) Fra ($false og Tom) Fra ($false og Tom) Fra ($false og Tom) Vi har ingen specifik anbefaling til denne indstilling. Du kan blokere meddelelser fra bestemte lande/områder baseret på dine forretningsbehov.
Testtilstand (TestModeAction) Ingen Ingen Ingen Denne indstilling er en del af ASF. Du kan få flere oplysninger i afsnittet om asf-indstillinger i politikker til bekæmpelse af spam i denne artikel.
Handlinger
Handling til registrering af spam (SpamAction) Flyt meddelelse til mappen Uønsket mail (MoveToJmf) Flyt meddelelse til mappen Uønsket mail (MoveToJmf) Karantænemeddelelse (Quarantine)
Karantænepolitik for spam (SpamQuarantineTag) DefaultFullAccessPolicy¹ DefaultFullAccessPolicy DefaultFullAccessWithNotificationPolicy Karantænepolitikken giver kun mening, hvis spamregistreringer er sat i karantæne.
Handling til registrering af spam med høj genkendelsessikkerhed (HighConfidenceSpamAction) Flyt meddelelse til mappen Uønsket mail (MoveToJmf) Karantænemeddelelse (Quarantine) Karantænemeddelelse (Quarantine)
Karantænepolitik for spam med høj tillid (HighConfidenceSpamQuarantineTag) DefaultFullAccessPolicy¹ DefaultFullAccessWithNotificationPolicy DefaultFullAccessWithNotificationPolicy Karantænepolitikken giver kun mening, hvis spamregistreringer med høj tillid er sat i karantæne.
Phishing-registreringshandling (PhishSpamAction) Flyt meddelelse til mappen Uønsket mail (MoveToJmf)* Karantænemeddelelse (Quarantine) Karantænemeddelelse (Quarantine) * Standardværdien er Flyt meddelelse til mappen Uønsket mail i standardpolitikken for spam og i nye politikker til bekæmpelse af spam, som du opretter i PowerShell. Standardværdien er Karantænemeddelelse i nye politikker mod spam, som du opretter på Defender-portalen.
Karantænepolitik for phishing (PhishQuarantineTag) DefaultFullAccessPolicy¹ DefaultFullAccessWithNotificationPolicy DefaultFullAccessWithNotificationPolicy Karantænepolitikken giver kun mening, hvis phishing-registreringer er sat i karantæne.
Handling til registrering af phishing med høj genkendelsessikkerhed (HighConfidencePhishAction) Karantænemeddelelse (Quarantine) Karantænemeddelelse (Quarantine) Karantænemeddelelse (Quarantine) Brugerne kan ikke frigive deres egne meddelelser, der er sat i karantæne som phishing med høj tillid, uanset hvordan karantænepolitikken er konfigureret. Hvis politikken giver brugerne mulighed for at frigive deres egne karantænemeddelelser, har brugerne i stedet tilladelse til at anmode om frigivelse af deres phishing-meddelelser med høj genkendelsessikkerhed i karantæne.
Karantænepolitik for phishing med høj genkendelsessikkerhed (HighConfidencePhishQuarantineTag) AdminOnlyAccessPolicy AdminOnlyAccessPolicy AdminOnlyAccessPolicy
BCL-niveauet (Bulk compliant level) opfyldt eller overskredet (BulkSpamAction) Flyt meddelelse til mappen Uønsket mail (MoveToJmf) Flyt meddelelse til mappen Uønsket mail (MoveToJmf) Karantænemeddelelse (Quarantine)
Karantænepolitik for BCL(Bulk compliant level) opfyldt eller overskredet (BulkQuarantineTag) DefaultFullAccessPolicy¹ DefaultFullAccessPolicy DefaultFullAccessWithNotificationPolicy Karantænepolitikken giver kun mening, hvis masseregistreringer er sat i karantæne.
Meddelelser inden for organisationen, der skal udføres handlinger på (IntraOrgFilterState) Standard (standard) Standard (standard) Standard (standard) Værdien Standard er den samme som at vælge Phishing-meddelelser med høj genkendelsessikkerhed. I øjeblikket er værdien Standard den samme som at vælge Ingen i amerikanske offentlige organisationer (Microsoft 365 GCC, GCC High og DoD).
Bevar spam i dette antal dage (QuarantineRetentionPeriod) 15 dage 30 dage 30 dage Denne værdi påvirker også meddelelser, der er sat i karantæne af politikker til bekæmpelse af phishing. Du kan få flere oplysninger under Opbevaring af karantæne.
Aktivér tip til spamsikkerhed (InlineSafetyTipsEnabled) Valgt ($true) Valgt ($true) Valgt ($true)
Aktivér automatisk fjernelse på nul timer (ZAP) for phishing-meddelelser (PhishZapEnabled) Valgt ($true) Valgt ($true) Valgt ($true)
Aktivér ZAP for spammeddelelser (SpamZapEnabled) Valgt ($true) Valgt ($true) Valgt ($true)
Tillad & blokliste
Tilladte afsendere (AllowedSenders) Ingen Ingen Ingen
Tilladte afsenderdomæner (AllowedSenderDomains) Ingen Ingen Ingen Tilføjelse af domæner til listen over tilladte domæner er en meget dårlig idé. Personer med ondsindede hensigter kan sende dig en mail, der ellers ville blive filtreret væk.

Brug indsigt i spoof intelligence og listen over tilladte/blokerede lejere til at gennemse alle afsendere, der forfalsker afsendermailadresser i organisationens maildomæner eller spoofing-mailadresser til afsendere i eksterne domæner.
Blokerede afsendere (BlockedSenders) Ingen Ingen Ingen
Domæner for blokeret afsender (BlockedSenderDomains) Ingen Ingen Ingen

¹ Som beskrevet i Tilladelser med fuld adgang og karantænemeddelelser bruger din organisation muligvis NotificationEnabledPolicy i stedet for DefaultFullAccessPolicy i standardsikkerhedspolitik eller i nye brugerdefinerede sikkerhedspolitikker, som du opretter. Den eneste forskel mellem disse to karantænepolitikker er, at karantænemeddelelser er slået til i NotificationEnabledPolicy og slået fra i DefaultFullAccessPolicy.

ASF-indstillinger i politikker mod spam

Du kan få flere oplysninger om avancerede indstillinger for spamfilter i politikker til bekæmpelse af spam under Avancerede indstillinger for spamfilter i EOP.

Navn på sikkerhedsfunktion Standard Anbefalet
Standard		 Anbefalet
Streng		 Kommenter
Billedlinks til fjernwebsteder (IncreaseScoreWithImageLinks) Af Af Af
Numerisk IP-adresse i URL-adresse (IncreaseScoreWithNumericIps) Af Af Af
URL-omdirigering til anden port (IncreaseScoreWithRedirectToOtherPort) Af Af Af
Links til websteder med .biz eller .info (IncreaseScoreWithBizOrInfoUrls) Af Af Af
Tomme meddelelser (MarkAsSpamEmptyMessages) Af Af Af
Integrer koder i HTML (MarkAsSpamEmbedTagsInHtml) Af Af Af
JavaScript eller VBScript i HTML (MarkAsSpamJavaScriptInHtml) Af Af Af
Formularkoder i HTML (MarkAsSpamFormTagsInHtml) Af Af Af
Ramme- eller iframe-koder i HTML (MarkAsSpamFramesInHtml) Af Af Af
Webfejl i HTML (MarkAsSpamWebBugsInHtml) Af Af Af
Objektkoder i HTML (MarkAsSpamObjectTagsInHtml) Af Af Af
Følsomme ord (MarkAsSpamSensitiveWordList) Af Af Af
SPF-post: hard fail (MarkAsSpamSpfRecordHardFail) Af Af Af
Det lykkedes ikke at filtrere afsender-id'et (MarkAsSpamFromAddressAuthFail) Af Af Af
Backscatter (MarkAsSpamNdrBackscatter) Af Af Af
Testtilstand (TestModeAction) Ingen Ingen Ingen I forbindelse med ASF-indstillinger, der understøtter Test som en handling, kan du konfigurere testtilstandshandlingen til Ingen, Tilføj standardtekst i X-header eller Send Bcc-meddelelse (None, AddXHeadereller BccMessage). Du kan finde flere oplysninger under Aktivér, deaktiver eller test ASF-indstillinger.

Bemærk!

ASF føjer X-CustomSpam: X-headerfelter til meddelelser , når meddelelserne er blevet behandlet af Exchange-regler for mailflow (også kaldet transportregler), så du kan ikke bruge regler for mailflow til at identificere og reagere på meddelelser, der er filtreret af ASF.

Politikindstillinger for eOP-udgående spam

Hvis du vil oprette og konfigurere politikker for udgående spam, skal du se Konfigurer filtrering af udgående spam i EOP.

Du kan få flere oplysninger om standardgrænserne for afsendelse i tjenesten under Afsendelse af grænser.

Bemærk!

Politikker for udgående spam er ikke en del af Standard- eller Strict-forudindstillede sikkerhedspolitikker. Værdierne Standard og Strict angiver vores anbefalede værdier i standardpolitikken for udgående spam eller brugerdefinerede politikker for udgående spam, som du opretter.

Navn på sikkerhedsfunktion Standard Anbefalet
Standard		 Anbefalet
Streng		 Kommenter
Angiv en ekstern meddelelsesgrænse (RecipientLimitExternalPerHour) 0 500 400 Standardværdien 0 betyder, at du skal bruge tjenestestandarderne.
Angiv en intern meddelelsesgrænse (RecipientLimitInternalPerHour) 0 1000 800 Standardværdien 0 betyder, at du skal bruge tjenestestandarderne.
Angiv en daglig meddelelsesgrænse (RecipientLimitPerDay) 0 1000 800 Standardværdien 0 betyder, at du skal bruge tjenestestandarderne.
Begrænsning, der er placeret på brugere, der når meddelelsesgrænsen (ActionWhenThresholdReached) Begræns brugerens adgang til at sende mails indtil den følgende dag (BlockUserForToday) Begræns brugerens adgang til at sende mail (BlockUser) Begræns brugerens adgang til at sende mail (BlockUser)
Regler for automatisk videresendelse (AutoForwardingMode) Automatisk - Systemstyret (Automatic) Automatisk - Systemstyret (Automatic) Automatisk - Systemstyret (Automatic)
Send en kopi af udgående meddelelser, der overskrider disse grænser, til disse brugere og grupper (BccSuspiciousOutboundMail og BccSuspiciousOutboundAdditionalRecipients) Ikke markeret ($false og Tom) Ikke markeret ($false og Tom) Ikke markeret ($false og Tom) Vi har ingen specifik anbefaling til denne indstilling.

Denne indstilling fungerer kun i standardpolitikken for udgående spam. Det fungerer ikke i brugerdefinerede politikker for udgående spam, som du opretter.
Giv disse brugere og grupper besked, hvis en afsender er blokeret på grund af afsendelse af udgående spam (NotifyOutboundSpam og NotifyOutboundSpamRecipients) Ikke markeret ($false og Tom) Ikke markeret ($false og Tom) Ikke markeret ($false og Tom) Standardbeskedpolitikken med navnet Bruger, der er begrænset til at sende mail, sender allerede mailmeddelelser til medlemmer af lejeradministratorgruppen (medlemmer af den globale administrator), når brugerne blokeres, fordi grænserne i politikken overskrides. Vi anbefaler på det kraftigste, at du bruger beskedpolitikken i stedet for denne indstilling i politikken for udgående spam til at give administratorer og andre brugere besked. Du kan finde instruktioner under Kontrollér beskedindstillingerne for begrænsede brugere.

Indstillinger for EOP-politik for anti-phishing

Du kan få flere oplysninger om disse indstillinger under Spoof-indstillinger. Hvis du vil konfigurere disse indstillinger, skal du se Konfigurer anti-phishing-politikker i EOP.

Spoof-indstillingerne er indbyrdes relaterede, men indstillingen Vis sikkerhedstip til første kontakt er ikke afhængig af spoof-indstillinger.

Karantænepolitikker definerer, hvad brugerne kan gøre for at sætte meddelelser i karantæne, og om brugerne modtager karantænemeddelelser. Du kan få flere oplysninger under Anatomi af en karantænepolitik.

Selvom værdien Anvend karantænepolitik vises fravalgt, når du opretter en anti-phishing-politik på Defender-portalen, bruges karantænepolitikken med navnet DefaultFullAccessPolicy¹, hvis du ikke vælger en karantænepolitik. Denne politik gennemtvinger de historiske funktioner for meddelelser, der blev sat i karantæne som spoof som beskrevet i tabellen her. Når du senere får vist eller redigerer indstillingerne for karantænepolitik, vises navnet på karantænepolitikken.

Administratorer kan oprette eller bruge karantænepolitikker med mere restriktive eller mindre restriktive egenskaber. Du kan finde instruktioner under Opret karantænepolitikker på Microsoft Defender-portalen.

Navn på sikkerhedsfunktion Standard Standard Streng Kommenter
Tærskel for phishing & beskyttelse
Aktivér spoof intelligence (EnableSpoofIntelligence) Valgt ($true) Valgt ($true) Valgt ($true)
Handlinger
Honor DMARC-postpolitik, når meddelelsen registreres som spoof (HonorDmarcPolicy) Valgt ($true) Valgt ($true) Valgt ($true) Når denne indstilling er slået til, styrer du, hvad der sker med meddelelser, hvor afsenderen ikke foretager eksplicitte DMARC-kontroller , når politikhandlingen i DMARC TXT-posten er angivet til p=quarantine eller p=reject. Du kan få flere oplysninger under Spoof Protection og DMARC-politikker for afsendere.
Hvis meddelelsen registreres som spoof, og DMARC-politikken er angivet som p=quarantine (DmarcQuarantineAction) Sæt meddelelsen i karantæne (Quarantine) Sæt meddelelsen i karantæne (Quarantine) Sæt meddelelsen i karantæne (Quarantine) Denne handling giver kun mening, når Honor DMARC-postpolitik, når meddelelsen registreres som spoof , er slået til.
Hvis meddelelsen registreres som spoof, og DMARC-politikken er angivet som p=reject (DmarcRejectAction) Afvis meddelelsen (Reject) Afvis meddelelsen (Reject) Afvis meddelelsen (Reject) Denne handling giver kun mening, når Honor DMARC-postpolitik, når meddelelsen registreres som spoof , er slået til.
Hvis meddelelsen registreres som spoof af spoof intelligence (AuthenticationFailAction) Flyt meddelelsen til modtagernes mapper med uønsket mail (MoveToJmf) Flyt meddelelsen til modtagernes mapper med uønsket mail (MoveToJmf) Sæt meddelelsen i karantæne (Quarantine) Denne indstilling gælder for spoofede afsendere, der automatisk blev blokeret som vist i indsigten spoof intelligence eller manuelt blokeret på listen over tilladte/blokerede lejere.

Hvis du vælger Sæt meddelelsen i karantæne som handlingen for spoof-dommen, er feltet Anvend karantænepolitik tilgængeligt.
Karantænepolitik for Spoof (SpoofQuarantineTag) DefaultFullAccessPolicy¹ DefaultFullAccessPolicy DefaultFullAccessWithNotificationPolicy Karantænepolitikken giver kun mening, hvis spoof-registreringer er sat i karantæne.
Vis sikkerhedstip til første kontakt (EnableFirstContactSafetyTips) Ikke markeret ($false) Valgt ($true) Valgt ($true) Du kan få flere oplysninger under Første kontaktsikkerhedstip.
Vis (?) for ikke-godkendte afsendere til spoof (EnableUnauthenticatedSender) Valgt ($true) Valgt ($true) Valgt ($true) Føjer et spørgsmålstegn (?) til afsenderens foto i Outlook for uidentificerede upooferede afsendere. Du kan få flere oplysninger under Ikke-godkendte afsenderindikatorer.
Vis tagget "via" (EnableViaTag) Valgt ($true) Valgt ($true) Valgt ($true) Føjer en via-kode (chris@contoso.com via fabrikam.com) til Fra-adressen, hvis den er forskellig fra domænet i DKIM-signaturen eller MAIL FROM-adressen .

Du kan få flere oplysninger under Ikke-godkendte afsenderindikatorer.

¹ Som beskrevet i Tilladelser med fuld adgang og karantænemeddelelser bruger din organisation muligvis NotificationEnabledPolicy i stedet for DefaultFullAccessPolicy i standardsikkerhedspolitik eller i nye brugerdefinerede sikkerhedspolitikker, som du opretter. Den eneste forskel mellem disse to karantænepolitikker er, at karantænemeddelelser er slået til i NotificationEnabledPolicy og slået fra i DefaultFullAccessPolicy.

Microsoft Defender for Office 365 sikkerhed

Der følger flere sikkerhedsfordele med et Microsoft Defender for Office 365 abonnement. Du kan se de seneste nyheder og oplysninger under Nyheder i Defender for Office 365.

Vigtigt!

Hvis dit abonnement omfatter Microsoft Defender for Office 365, eller hvis du har købt Defender for Office 365 som et tilføjelsesprogram, skal du angive følgende Standard- eller Strict-konfigurationer.

Politikindstillinger for anti-phishing i Microsoft Defender for Office 365

EOP-kunder får grundlæggende anti-phishing som tidligere beskrevet, men Defender for Office 365 indeholder flere funktioner og kontrol, der kan hjælpe med at forhindre, registrere og afhjælpe angreb. Hvis du vil oprette og konfigurere disse politikker, skal du se Konfigurer politikker til bekæmpelse af phishing i Defender for Office 365.

Avancerede indstillinger i politikker til bekæmpelse af phishing i Microsoft Defender for Office 365

Du kan få flere oplysninger om denne indstilling under Avancerede tærskler for phishing i politikker til bekæmpelse af phishing i Microsoft Defender for Office 365. Hvis du vil konfigurere denne indstilling, skal du se Konfigurer politikker til anti-phishing i Defender for Office 365.

Navn på sikkerhedsfunktion Standard Standard Streng Kommenter
Grænseværdi for phishingmail (PhishThresholdLevel) 1 – Standard (1) 3 - Mere aggressiv (3) 4 - Mest aggressive (4)

Repræsentationsindstillinger i politikker til bekæmpelse af phishing i Microsoft Defender for Office 365

Du kan få flere oplysninger om disse indstillinger under Repræsentationsindstillinger i politikker til bekæmpelse af phishing i Microsoft Defender for Office 365. Hvis du vil konfigurere disse indstillinger, skal du se Konfigurer anti-phishing-politikker i Defender for Office 365.

Uanset hvor du vælger Sæt meddelelsen i karantæne som handlingen for en efterligningssafsigelse, er feltet Anvend karantænepolitik tilgængeligt. Karantænepolitikker definerer, hvad brugerne kan gøre for at sætte meddelelser i karantæne, og om brugerne modtager karantænemeddelelser. Du kan få flere oplysninger under Anatomi af en karantænepolitik.

Selvom værdien Anvend karantænepolitik vises fravalgt, når du opretter en anti-phishing-politik på Defender-portalen, bruges karantænepolitikken med navnet DefaultFullAccessPolicy, hvis du ikke vælger en karantænepolitik. Denne politik gennemtvinger de historiske funktioner for meddelelser, der blev sat i karantæne som repræsentation som beskrevet i tabellen her. Når du senere får vist eller redigerer indstillingerne for karantænepolitik, vises navnet på karantænepolitikken.

Administratorer kan oprette eller bruge karantænepolitikker med mere restriktive eller mindre restriktive egenskaber. Du kan finde instruktioner under Opret karantænepolitikker på Microsoft Defender-portalen.

Navn på sikkerhedsfunktion Standard Standard Streng Kommenter
Tærskel for phishing & beskyttelse
Beskyttelse af brugerrepræsentation: Giv brugerne mulighed for at beskytte (EnableTargetedUserProtection og TargetedUsersToProtect) Ikke markeret ($false og ingen) Selected ($true og <liste over brugere>) Selected ($true og <liste over brugere>) Vi anbefaler, at du tilføjer brugere (afsendere af meddelelser) i nøgleroller. Internt kan beskyttede afsendere være din administrerende direktør, økonomidirektør og andre overordnede ledere. Eksterne, beskyttede afsendere kan omfatte rådsmedlemmer eller din bestyrelse.
Beskyttelse mod repræsentation af domæner: Aktivér domæner for at beskytte Ikke markeret Valgte Valgte
Medtag domæner, jeg ejer (EnableOrganizationDomainsProtection) Fra ($false) Valgt ($true) Valgt ($true)
Medtag brugerdefinerede domæner (EnableTargetedDomainsProtection og TargetedDomainsToProtect) Fra ($false og ingen) Selected ($true og <liste over domæner>) Selected ($true og <liste over domæner>) Vi anbefaler, at du tilføjer domæner (afsenderdomæner), som du ikke ejer, men som du ofte interagerer med.
Tilføj afsendere og domæner, der er tillid til (ExcludedSenders og ExcludedDomains) Ingen Ingen Ingen Afhængigt af din organisation anbefaler vi, at du tilføjer afsendere eller domæner, der fejlagtigt identificeres som repræsentationsforsøg.
Aktivér postkasseintelligens (EnableMailboxIntelligence) Valgt ($true) Valgt ($true) Valgt ($true)
Aktivér intelligens til repræsentationsbeskyttelse (EnableMailboxIntelligenceProtection) Fra ($false) Valgt ($true) Valgt ($true) Denne indstilling tillader den angivne handling for repræsentationsregistreringer af mailbox intelligence.
Handlinger
Hvis der registreres en meddelelse som bruger repræsentation (TargetedUserProtectionAction) Anvend ikke nogen handling (NoAction) Sæt meddelelsen i karantæne (Quarantine) Sæt meddelelsen i karantæne (Quarantine)
Karantænepolitik for brugerpræsentation (TargetedUserQuarantineTag) DefaultFullAccessPolicy¹ DefaultFullAccessWithNotificationPolicy DefaultFullAccessWithNotificationPolicy Karantænepolitikken giver kun mening, hvis registrering af brugerrepræsentation er sat i karantæne.
Hvis der registreres en meddelelse som domænerepræsentation (TargetedDomainProtectionAction) Anvend ikke nogen handling (NoAction) Sæt meddelelsen i karantæne (Quarantine) Sæt meddelelsen i karantæne (Quarantine)
Karantænepolitik for domænerepræsentation (TargetedDomainQuarantineTag) DefaultFullAccessPolicy¹ DefaultFullAccessWithNotificationPolicy DefaultFullAccessWithNotificationPolicy Karantænepolitikken giver kun mening, hvis registreringer af domænerepræsentation er sat i karantæne.
Hvis mailbox intelligence registrerer en repræsenteret bruger (MailboxIntelligenceProtectionAction) Anvend ikke nogen handling (NoAction) Flyt meddelelsen til modtagernes mapper med uønsket mail (MoveToJmf) Sæt meddelelsen i karantæne (Quarantine)
Karantænepolitik for repræsentation af postkasseintelligens (MailboxIntelligenceQuarantineTag) DefaultFullAccessPolicy¹ DefaultFullAccessPolicy DefaultFullAccessWithNotificationPolicy Karantænepolitikken giver kun mening, hvis registrering af postkasseintelligens er sat i karantæne.
Vis sikkerhedstip til brugerrepræsentation (EnableSimilarUsersSafetyTips) Fra ($false) Valgt ($true) Valgt ($true)
Vis sikkerhedstip til repræsentation af domæne (EnableSimilarDomainsSafetyTips) Fra ($false) Valgt ($true) Valgt ($true)
Vis sikkerhedstip til usædvanlig brugerrepræsentation (EnableUnusualCharactersSafetyTips) Fra ($false) Valgt ($true) Valgt ($true)

¹ Som beskrevet i Tilladelser med fuld adgang og karantænemeddelelser bruger din organisation muligvis NotificationEnabledPolicy i stedet for DefaultFullAccessPolicy i standardsikkerhedspolitik eller i nye brugerdefinerede sikkerhedspolitikker, som du opretter. Den eneste forskel mellem disse to karantænepolitikker er, at karantænemeddelelser er slået til i NotificationEnabledPolicy og slået fra i DefaultFullAccessPolicy.

Indstillinger for EOP-politik til anti-phishing i Microsoft Defender for Office 365

Dette er de samme indstillinger, som er tilgængelige i politikindstillinger for anti-spam i EOP.

Indstillinger for vedhæftede filer, der er tillid til

Sikre vedhæftede filer i Microsoft Defender for Office 365 indeholder globale indstillinger, der ikke har nogen relation til politikker for vedhæftede filer, der er tillid til, og indstillinger, der er specifikke for hver politik for Sikre links. Du kan få flere oplysninger under Vedhæftede filer, der er tillid til i Defender for Office 365.

Selvom der ikke er nogen standardpolitik for sikre vedhæftede filer, giver den forudindstillede sikkerhedspolitik for indbygget beskyttelse beskyttelse af vedhæftede filer til alle modtagere, der ikke er defineret i standard- eller strenge forudindstillede sikkerhedspolitikker eller i brugerdefinerede politikker for vedhæftede filer, der er tillid til. Du kan få flere oplysninger under Forudindstillede sikkerhedspolitikker i EOP og Microsoft Defender for Office 365.

Globale indstillinger for sikre vedhæftede filer

Bemærk!

De globale indstillinger for Sikre vedhæftede filer angives af den forudindstillede sikkerhedspolitik for indbygget beskyttelse , men ikke af standard- eller strenge forudindstillede sikkerhedspolitikker. Uanset hvad kan administratorer når som helst ændre disse globale indstillinger for vedhæftede filer, der er tillid til.

Kolonnen Standard viser værdierne før eksistensen af den forudindstillede sikkerhedspolitik indbygget beskyttelse . Kolonnen Indbygget beskyttelse viser de værdier, der er angivet af den forudindstillede sikkerhedspolitik for indbygget beskyttelse , som også er vores anbefalede værdier.

Hvis du vil konfigurere disse indstillinger, skal du se Slå vedhæftede filer, der er tillid til, til for SharePoint, OneDrive og Microsoft Teams og sikre dokumenter i Microsoft 365 E5.

I PowerShell skal du bruge Set-AtpPolicyForO365-cmdlet'en til disse indstillinger.

Navn på sikkerhedsfunktion Standard Indbygget beskyttelse Kommenter
Slå Defender for Office 365 til for SharePoint, OneDrive og Microsoft Teams (EnableATPForSPOTeamsODB) Fra ($false) Den ($true) Hvis du vil forhindre brugere i at downloade skadelige filer, skal du se Brug SharePoint Online PowerShell til at forhindre brugere i at downloade skadelige filer.
Slå Sikre dokumenter til for Office-klienter (EnableSafeDocs) Fra ($false) Den ($true) Denne funktion er kun tilgængelig og meningsfuld med licenser, der ikke er inkluderet i Defender for Office 365 (f.eks. Microsoft 365 A5 eller Microsoft 365 E5 Sikkerhed). Du kan få flere oplysninger under Sikre dokumenter i Microsoft 365 A5 eller E5 Security.
Tillad, at personer klikker gennem beskyttet visning, selvom sikre dokumenter har identificeret filen som skadelig (AllowSafeDocsOpen) Fra ($false) Fra ($false) Denne indstilling er relateret til sikre dokumenter.

Politikindstillinger for vedhæftede filer, der er tillid til

Hvis du vil konfigurere disse indstillinger, skal du se Konfigurer politikker for vedhæftede filer, der er tillid til i Defender for Office 365.

I PowerShell skal du bruge cmdlet'erne New-SafeAttachmentPolicy og Set-SafeAttachmentPolicy til disse indstillinger.

Bemærk!

Som beskrevet tidligere, selvom der ikke er nogen standardpolitik for sikre vedhæftede filer, giver den forudindstillede sikkerhedspolitik for indbygget beskyttelse beskyttelse af vedhæftede filer til alle modtagere, der ikke er defineret i den forudindstillede standardsikkerhedspolitik, den forudindstillede sikkerhedspolitik Strict eller i brugerdefinerede politikker for vedhæftede filer, der er tillid til.

Standarden i den brugerdefinerede kolonne refererer til standardværdierne i de nye politikker for vedhæftede filer, du opretter. De resterende kolonner angiver (medmindre andet er angivet) de værdier, der er konfigureret i de tilsvarende forudindstillede sikkerhedspolitikker.

Karantænepolitikker definerer, hvad brugerne kan gøre for at sætte meddelelser i karantæne, og om brugerne modtager karantænemeddelelser. Du kan få flere oplysninger under Anatomi af en karantænepolitik.

Politikken med navnet AdminOnlyAccessPolicy gennemtvinger de historiske funktioner for meddelelser, der er sat i karantæne som malware, som beskrevet i tabellen her.

Brugerne kan ikke frigive deres egne meddelelser, der er sat i karantæne som malware af Sikre vedhæftede filer, uanset hvordan karantænepolitikken er konfigureret. Hvis politikken giver brugerne mulighed for at frigive deres egne karantænemeddelelser, har brugerne i stedet tilladelse til at anmode om frigivelse af deres karantænelagrede malwaremeddelelser.

Navn på sikkerhedsfunktion Standard i brugerdefineret Indbygget beskyttelse Standard Streng Kommenter
Sikre vedhæftede filer ukendt malwaresvar (aktivér og handling) Fra (-Enable $false og -Action Block) Block (-Enable $true og -Action Block) Block (-Enable $true og -Action Block) Block (-Enable $true og -Action Block) Når parameteren Enable er $false, betyder værdien af parameteren Action ikke noget.
Karantænepolitik (QuarantineTag) AdminOnlyAccessPolicy AdminOnlyAccessPolicy AdminOnlyAccessPolicy AdminOnlyAccessPolicy
Vedhæftet omdirigering med registrerede vedhæftede filer : Aktivér omdirigering (Redirect og RedirectAddress) Ikke valgt, og der er ikke angivet nogen mailadresse. (-Redirect $false og RedirectAddress er tom) Ikke valgt, og der er ikke angivet nogen mailadresse. (-Redirect $false og RedirectAddress er tom) Ikke valgt, og der er ikke angivet nogen mailadresse. (-Redirect $false og RedirectAddress er tom) Ikke valgt, og der er ikke angivet nogen mailadresse. (-Redirect $false og RedirectAddress er tom) Omdirigering af meddelelser er kun tilgængelig, når den ukendte værdi for sikre vedhæftede filer er Monitor (-Enable $true og -Action Allow).

Du kan få flere oplysninger om beskyttelse af sikre links under Sikre links i Defender for Office 365.

Selvom der ikke er nogen standardpolitik for Sikre links, giver den forudindstillede sikkerhedspolitik indbygget beskyttelse af Sikre links til alle modtagere, der ikke er defineret i den forudindstillede standardsikkerhedspolitik, den forudindstillede sikkerhedspolitik Strict eller i brugerdefinerede safe links-politikker. Du kan få flere oplysninger under Forudindstillede sikkerhedspolitikker i EOP og Microsoft Defender for Office 365.

Hvis du vil konfigurere politikindstillinger for sikre links, skal du se Konfigurer politikker for sikre links i Microsoft Defender for Office 365.

I PowerShell skal du bruge cmdlet'erne New-SafeLinksPolicy og Set-SafeLinksPolicy til politikindstillinger for Sikre links.

Bemærk!

Standarden i den brugerdefinerede kolonne refererer til standardværdierne i de nye politikker for sikre links, som du opretter. De resterende kolonner angiver (medmindre andet er angivet) de værdier, der er konfigureret i de tilsvarende forudindstillede sikkerhedspolitikker.

Navn på sikkerhedsfunktion Standard i brugerdefineret Indbygget beskyttelse Standard Streng Kommenter
URL-adresse & klik på beskyttelsesindstillinger
E-mail Indstillingerne i dette afsnit påvirker omskrivning af URL-adresser og tidspunktet for klikbeskyttelse i mails.
On: Safe Links kontrollerer en liste over kendte, skadelige links, når brugerne klikker på links i en mail. URL-adresser omskrives som standard. (EnableSafeLinksForEmail) Valgt ($true) Valgt ($true) Valgt ($true) Valgt ($true)
Anvend sikre links på mails, der sendes i organisationen (EnableForInternalSenders) Valgt ($true) Ikke markeret ($false) Valgt ($true) Valgt ($true)
Anvend scanning af URL-adresser i realtid for mistænkelige links og links, der peger på filer (ScanUrls) Valgt ($true) Valgt ($true) Valgt ($true) Valgt ($true)
Vent på, at scanningen af URL-adressen fuldføres, før meddelelsen leveres (DeliverMessageAfterScan) Valgt ($true) Valgt ($true) Valgt ($true) Valgt ($true)
Undlad at omskrive URL-adresser. Kontroller kun via API'en Til sikre links (DisableURLRewrite) Valgt ($false)* Valgt ($true) Ikke markeret ($false) Ikke markeret ($false) * I nye politikker for sikre links, som du opretter på Defender-portalen, er denne indstilling valgt som standard. I nye Safe Links-politikker, som du opretter i PowerShell, er $falsestandardværdien for parameteren DisableURLRewrite .
Omskriv ikke følgende URL-adresser i mail (DoNotRewriteUrls) Hvid Hvid Hvid Hvid Vi har ingen specifik anbefaling til denne indstilling.

Bemærk! Adresser på listen "Omskriv ikke følgende URL-adresser" scannes eller ombrydes ikke af Sikre links under mailflow. Rapportér URL-adressen, da jeg har bekræftet, at den er ren , og vælg derefter Tillad, at denne URL-adresse føjer en tilladelsespost til listen over tilladte lejere/blokeringer, så URL-adressen ikke scannes eller ombrydes af Sikre links under et mailflow og på tidspunktet for klik. Du kan finde instruktioner under Rapportér gode URL-adresser til Microsoft.
Teams Indstillingen i dette afsnit påvirker tidspunktet for klikbeskyttelse i Microsoft Teams.
On: Safe Links kontrollerer en liste over kendte, skadelige links, når brugerne klikker på links i Microsoft Teams. URL-adresser omskrives ikke. (EnableSafeLinksForTeams) Valgt ($true) Valgt ($true) Valgt ($true) Valgt ($true)
Office 365 apps Indstillingen i dette afsnit påvirker tidspunktet for klikbeskyttelse i Office-apps.
On: Safe Links kontrollerer en liste over kendte, skadelige links, når brugerne klikker på links i Microsoft Office-apps. URL-adresser omskrives ikke. (EnableSafeLinksForOffice) Valgt ($true) Valgt ($true) Valgt ($true) Valgt ($true) Brug Sikre links i understøttede Office 365 skrivebords- og mobilapps (iOS og Android). Du kan få flere oplysninger under Indstillinger for sikre links til Office-apps.
Klik på beskyttelsesindstillinger
Spor brugerklik (TrackClicks) Valgt ($true) Valgt ($true) Valgt ($true) Valgt ($true)
Lad brugerne klikke sig igennem til den oprindelige URL-adresse (AllowClickThrough) Valgt ($false)* Valgt ($true) Ikke markeret ($false) Ikke markeret ($false) * I nye politikker for sikre links, som du opretter på Defender-portalen, er denne indstilling valgt som standard. I nye Safe Links-politikker, som du opretter i PowerShell, er $falsestandardværdien for parameteren AllowClickThrough .
Vis organisationsbranding på meddelelses- og advarselssider (EnableOrganizationBranding) Ikke markeret ($false) Ikke markeret ($false) Ikke markeret ($false) Ikke markeret ($false) Vi har ingen specifik anbefaling til denne indstilling.

Før du slår denne indstilling til, skal du følge vejledningen i Tilpas Microsoft 365-temaet for din organisation for at uploade dit virksomhedslogo.
Meddelelse
Hvordan vil du give brugerne besked? (CustomNotificationText og UseTranslatedNotificationText) Brug standardmeddelelsesteksten (Tom og $false) Brug standardmeddelelsesteksten (Tom og $false) Brug standardmeddelelsesteksten (Tom og $false) Brug standardmeddelelsesteksten (Tom og $false) Vi har ingen specifik anbefaling til denne indstilling.

Du kan vælge Brug brugerdefineret meddelelsestekst (-CustomNotificationText "<Custom text>") til at angive og bruge tilpasset meddelelsestekst. Hvis du angiver brugerdefineret tekst, kan du også vælge Brug Microsoft Translator til automatisk lokalisering (-UseTranslatedNotificationText $true) for automatisk at oversætte teksten til brugerens sprog.