ヒント
Microsoft Defender for Office 365 プラン 2 の機能を無料で試すことができることをご存知でしたか? Microsoft Defender ポータル試用版ハブで、90 日間の Defender for Office 365 試用版を使用します。 サインアップできるユーザーと試用版の条件については、「Microsoft Defender for Office 365 を試す」を参照してください。
クラウド メールボックスを持つすべての組織は、信頼された送信者からの受信メールを許可する複数の方法を提供します。 まとめると、これらのオプションは 許可リストと考えることができます。
次の一覧には、送信者を許可するために使用できる方法が、推奨度の高い順に記載されています。
- テナント許可/ブロック リストでドメインとメール アドレス (なりすまし送信者を含む) のエントリを許可します。
- Exchange メール フロー ルール (トランスポート ルールとも呼ばれます)。
- Outlook の差出人セーフ リスト (そのメールボックスにのみ影響を与える各メールボックスの差出人セーフ リスト)。
- 既定の接続フィルター ポリシーの IP 許可リスト。
- スパム対策ポリシーで許可されている送信者リストまたは許可されたドメイン リスト。
次のセクションでは、テナント許可/ブロック リスト、メール フロー ルール、Outlook差出人セーフ リスト、IP 許可リスト、スパム対策ポリシーの許可された送信者またはドメイン リストなど、各許可リストメソッドについて詳しく説明します。
重要
マルウェア* または信頼度の高いフィッシングとして識別されるメッセージは、使用する許可リスト オプションに関係なく、常に検疫されます。 詳細については、「Office 365で既定でセキュリティで保護する」を参照してください。
* 高度な配信ポリシーで識別される SecOps メールボックスでは、マルウェアのフィルター処理はスキップされます。 詳細については、「 Microsoft 以外のフィッシング シミュレーションと SecOps メールボックスへの電子メール配信の高度な配信ポリシーを構成する」を参照してください。
許可された送信者または許可されたドメイン リストを使用して、スパム フィルター処理の例外 を 注意深く監視してください。
分析のために、許可リスト内のメッセージを常に Microsoft に送信します。 手順については、「 Microsoft に適切なメールを報告する」を参照してください。 メッセージまたはメッセージ ソースが問題ないと判断された場合、Microsoft は自動的にメッセージのブロックを停止でき、独自の許可リストでエントリを手動で管理する必要はありません。
メールを許可する代わりに、 ブロックされた送信者リストを使用して特定のソースからのメールをブロックするオプションがいくつかあります。 詳細については、「 送信者ブロックリストの作成」を参照してください。
テナント許可/ブロックリストで許可エントリを使用する
送信者またはドメインからのメールを許可するための推奨オプションの 1 つは、テナント許可/ブロック リストです。 手順については、「 ドメインとメール アドレスの許可エントリを作成する」および 「 なりすまし送信者の許可エントリを作成する」を参照してください。
何らかの理由でテナント許可/ブロック リストの許可エントリを使用できない場合は、他の許可方法 (メール フロー ルール、Outlook差出人セーフ リスト、IP 許可リスト、またはスパム対策ポリシーの許可された送信者/ドメイン リスト) のみを考慮してください。
メール フロー ルールを使用する
注:
メッセージ ヘッダーとメール フロー ルールを使用して、内部送信者を信頼できる差出人として指定することはできません。 このセクションの手順は、外部送信者に対してのみ適用します。
Exchange Onlineのメール フロー ルールでは、条件と例外を使用してメッセージを識別し、それらのメッセージに対して何を行う必要があるかを指定するアクションを使用します。 詳細については、「Mail flow rules (transport rules) in Exchange Online」を参照してください。
スパムフィルタリングを回避するメールフロールールを作成するには、「 メールフロールールを使ってメッセージのスパム信頼度レベル(SCL)を設定する」の手順に従ってください。 送信者を安全に許可するために、このセクションで説明されている条件と手順をご利用ください。
次の例では、contoso.com からのメールが、スパム フィルターをスキップする必要があると想定しています。 以下の設定を構成します。
次の場合にこのルールを適用します (条件): 送信者>ドメインが> contoso.com である。
次のいずれかの設定を構成します。
次の場合、この規則を適用 (追加条件): メッセージ ヘッダーに>これらのいずれかの単語が含まれる:
- テキスト (ヘッダー名) を入力します。
Authentication-Results -
単語 (ヘッダー値) を入力します。
dmarc=passまたはdmarc=bestguesspass(両方の値を追加します)。
この条件は、送信メール ドメインの電子メール認証状態をチェックして、送信ドメインがスプーフィングされていないことを確認します。 電子メール認証の詳細については、「Email認証」を参照してください。
- テキスト (ヘッダー名) を入力します。
IP 許可リスト: 既定の接続フィルター ポリシーでソース IP アドレスまたはアドレス範囲を指定します。 手順については、「 接続フィルターの構成」を参照してください。
送信ドメインで電子メール認証が使用されていない場合は、この設定を使用します。 IP 許可一覧のソース IP アドレスに関しては、可能な限り制限を厳しくしてください。 IP アドレスの範囲は /24 以下 (低い方が良い) をお勧めします。 コンシューマー サービス (outlook.com など) または共有インフラストラクチャに属する IP アドレス範囲は使用しないでください。
重要
スパム フィルターをスキップする条件として送信者ドメインのみを使用して、メール フロー ルールを構成しないでください。 これを行うと、攻撃者が次のことが可能な可能性が 大幅 に高くなります。
- 送信ドメインのなりすまし (または完全なメール アドレスを偽装する)。
- すべてのスパム フィルター処理をスキップします。
- 送信者認証チェックをスキップして、メッセージが受信者の受信トレイに到着するようにします。
所有しているドメイン (承認済みドメインとも呼ばれます) や一般的なドメイン (microsoft.com など) をメール フロー ルールの条件として使用しないでください。 これにより、攻撃者が電子メールを送信する機会が生じ、それ以外の場合はフィルター処理されます。
ネットワーク アドレス変換 (NAT) ゲートウェイの背後にある IP アドレスを許可する場合は、NAT プールに関係するすべてのサーバーを把握する必要があります。 IP アドレスと NAT 参加者は変更できます。 標準メンテナンス手順の一部として、IP 許可リスト エントリを定期的にチェックします。
オプション条件:
- 送信者>は内部/外部>組織外: この条件は暗黙的なものですが、正しく構成されていない可能性があるオンプレミスのメール サーバーを考慮するために使用してもかまいません。
- 件名または本文>件名または本文には、これらの単語のいずれかが含まれます><keywords>: 件名行またはメッセージ本文のキーワードまたはフレーズによってメッセージをさらに制限できる場合は、それらの単語を条件として使用できます。
次の操作 ( アクション): ルールで次の両方のアクションを構成します。
メッセージのプロパティを変更する>スパム信頼度レベル (SCL) を設定する>スパム フィルター処理をスキップする。
メッセージのプロパティを変更します>メッセージ ヘッダーを設定します。
-
テキスト (ヘッダー名) を入力します。たとえば、
X-ETR。 -
単語 (ヘッダー値) を入力します。たとえば、
Bypass spam filtering for authenticated sender 'contoso.com'。
複数のドメインを含むメール フロー ルールの場合は、必要に応じてヘッダー テキストをカスタマイズできます。
-
テキスト (ヘッダー名) を入力します。たとえば、
メール フロー ルールが原因でメッセージがスパム フィルター処理をスキップすると、値 SFV:SKN値が X-Forefront-Antispam-Report ヘッダーにスタンプされます。 メッセージが IP 許可一覧にあるソースからのメッセージの場合、値 IPV:CALも追加されます。 これらの値は、トラブルシューティングに役立ちます。
Outlook の信頼できる差出人を使用する
注意
この方法では、攻撃者がフィルター処理される電子メールを正常に配信するリスクが高くなります。 マルウェアまたは信頼度の高いフィッシングであると判断されたメッセージがフィルター処理されます。 詳細については、「ユーザーとorganizationの設定が競合する場合」を参照してください。
組織の設定の代わりに、ユーザーまたは管理者は、メールボックスの信頼できる差出人リストに送信者のメール アドレスを追加できます。 メールボックス内の差出人セーフ リスト エントリは、そのメールボックスにのみ影響します。 ユーザーの手順については、「 差出人セーフ リストにメール メッセージの受信者を追加する」を参照してください。 管理者の手順については、「 クラウド メールボックスで迷惑メール設定を構成する」を参照してください。
送信者はフィルター 処理スタックの一部をバイパスするため、ほとんどの場合、このメソッドは望ましくありません。 送信者は信頼できる場合でも、送信者が侵害され、悪意のあるコンテンツを送信する可能性があります。 すべてのメッセージをフィルターチェックし、誤った場合は誤検知/負のメッセージを Microsoft に報告する必要があります。 フィルタリング スタックをバイパスすると、ゼロ時間の自動削除 (ZAP) にも影響します。 許可リストエントリが期待どおりに機能しない場合は、「 スパム対策ポリシーに関する一般的な問題のトラブルシューティング」を参照してください。
ユーザーの差出人セーフ リスト内のエントリが原因でメッセージがスパム フィルター処理をスキップすると、 X-Forefront-Antispam-Report ヘッダー フィールドに SFV:SFE値が含まれます。これは、スパム、なりすまし、フィッシング (高信頼フィッシングではない) のフィルター処理がバイパスされたことを示します。
- Exchange Onlineでは、差出人セーフ リストのエントリが機能するかどうかは、メッセージを識別したポリシーの判定とアクションによって異なります。
- [迷惑メール Email フォルダーにメッセージを移動する]: ドメイン エントリと送信者のメール アドレス エントリが優先されます。 これらの送信者からのメッセージは、迷惑メール Email フォルダーに移動されません。
-
検疫: ドメイン エントリは受け入れられません (これらの送信者からのメッセージは検疫されます)。 次のいずれかのステートメントが true の場合、Emailアドレス エントリが受け入れられます (これらの送信者からのメッセージは検疫されません)。
- メッセージは、マルウェアまたは高信頼フィッシングとして識別されません (マルウェアと高信頼フィッシング メッセージは検疫されます)。
- 電子メール メッセージ内のメール アドレス、URL、またはファイルは、[ テナントの許可/ブロック] リストのブロック エントリにも含まれません。
- ブロックされた送信者とブロックされたドメインのエントリが受け入れられます (これらの送信者からのメッセージは迷惑メール Email フォルダーに移動されます)。 安全なメーリング リストの設定は無視されます。
既定の接続フィルター ポリシーで IP 許可リストを使用する
注意
他の検証 (メール フロー ルールの使用など) がない場合、IP 許可リストのソースからのメールは、スパム フィルター処理と送信者の電子メール認証 (SPF、DKIM、DMARC) をスキップします。 この方法では、攻撃者がフィルター処理される電子メールを正常に配信するリスクが高くなります。 マルウェアまたは信頼度の高いフィッシングであると判断されたメッセージがフィルター処理されます。 詳細については、「ユーザーとorganizationの設定が競合する場合」を参照してください。
既定の接続フィルター ポリシーの IP 許可一覧にソース 電子メール サーバーを追加することもできます。 詳細については、「 接続フィルターの構成」を参照してください。
- 許可される IP アドレスの数を最小限に抑える必要があるため、可能な限り IP アドレス範囲全体を使用しないようにしてください。
- コンシューマー サービス (outlook.com など) または共有インフラストラクチャに属する IP アドレス範囲は使用しないでください。
- IP 許可一覧のエントリを定期的に確認し、不要になったエントリを削除します。
スパム対策ポリシーで許可されている送信者リストまたは許可されたドメイン リストを使用する
注意
この方法では、攻撃者がフィルター処理される電子メールを正常に配信するリスクが高くなります。 マルウェアまたは信頼度の高いフィッシングであると判断されたメッセージがフィルター処理されます。 詳細については、「ユーザーとorganizationの設定が競合する場合」を参照してください。
許可されるドメイン リストで一般的なドメイン (microsoft.com など) を使用しないでください。
通常、カスタムスパム対策ポリシーまたは既定のスパム対策ポリシーでは、許可された送信者リストまたは許可されたドメイン リストを使用しないようにする必要があります。 送信者はすべてのスパム、スプーフィング、フィッシング保護 (高信頼フィッシングを除く)、送信者認証 (SPF、DKIM、DMARC) をバイパスするため、 可能な限 りこのオプションを回避する必要があります。 この方法は、一時的なテストのみに最適です。 許可された送信者リストまたは許可されたドメイン リストを構成する詳細な手順については、「 スパム対策ポリシーの構成」を参照してください。
これらのリストの上限は約 1,000 エントリですが、Microsoft Defender ポータルには最大 30 個のエントリを入力できます。 PowerShell を使用して、30 を超えるエントリを追加します。
注:
2022 年 9 月の時点で、organizationの承認済みドメインで許可されている送信者、ドメイン、またはサブドメインは、スパム フィルター処理をスキップするために電子メール認証チェックに合格する必要があります。
バルク メールに関する考慮事項
標準の SMTP 電子メール メッセージには、「インターネット メールで 認証が必要な理由」で説明されているように、さまざまな送信者の電子メール アドレスを含めることができます。 他のユーザーに代わってメールが送信されると、アドレスが異なる場合があります。 この条件は、多くの場合、一括メール メッセージに対して発生します。
たとえば、Blue Yonder Airlines がマーギーの Travel を雇って広告メール メッセージを送信したとします。 受信トレイで受信するメッセージには、次のプロパティがあります。
- MAIL FROM アドレス（
5321.MailFromアドレス、P1 送信者、またはエンベロープ送信者とも呼ばれます）はblueyonder.airlines@margiestravel.comです。 - 差出人アドレス (
5322.Fromアドレスまたは P2 送信者とも呼ばれます) がblueyonder@news.blueyonderairlines.com。これは Outlook に表示されます。
スパム対策ポリシーの安全な送信者リストとセーフ ドメイン リストは、差出人アドレスのみを検査します。 この動作は、差出人アドレスを使用する Outlook の安全な送信者に似ています。
このメッセージがフィルター処理されないようにするには、次の手順を実行します。
-
blueyonder@news.blueyonderairlines.com(差出人アドレス) を Outlook の差出人セーフ リストとして追加します。 -
メール フロー ルールは、
blueyonder@news.blueyonderairlines.com(From アドレス)、blueyonder.airlines@margiestravel.com(MAIL FROM アドレス)、またはその両方からメッセージを検索する条件で使用します。