クラウド組織の事前設定されたセキュリティ ポリシー

ヒント

Microsoft Defender for Office 365 プラン 2 の機能を無料で試すことができることをご存知でしたか? Microsoft Defender ポータル試用版ハブで、90 日間の Defender for Office 365 試用版を使用します。 サインアップできるユーザーと試用版の条件については、「Microsoft Defender for Office 365 を試す」を参照してください。

事前設定されたセキュリティ ポリシー を使用すると、推奨設定に基づいて多くの電子メール保護機能をユーザーに適用できます。 無限に構成可能なカスタム脅威ポリシーとは異なり、事前設定されたセキュリティ ポリシーの設定のほとんどすべてが構成可能ではなく、データセンターでの監視に基づいています。 事前設定されたセキュリティ ポリシーの脅威ポリシー設定は、不要な中断を回避しながら、有害なコンテンツをユーザーから遠ざけることのバランスを取ります。

organizationに応じて、事前設定されたセキュリティ ポリシーには、すべてのクラウド メールボックスとOffice 365のMicrosoft Defenderの組み込みセキュリティ機能で使用できる保護機能の多くが用意されています。

次の事前設定されたセキュリティ ポリシーを使用できます。

  • Standard事前設定されたセキュリティ ポリシー。
  • 厳密な 事前設定されたセキュリティ ポリシー。
  • 組み込みの保護 プリセット セキュリティ ポリシー。 Defender for Office 365の基本的な安全な添付ファイルと安全なリンク保護を、次のユーザー全員に提供します。
    • 組み込み保護から除外されません。
    • Standardまたは厳密な事前設定されたセキュリティ ポリシーには含まれません。
    • カスタムの安全な添付ファイルまたは安全なリンク ポリシーには含まれません。

プロファイル、ポリシー、設定、および優先順位の詳細については、「 付録: 事前設定されたセキュリティ ポリシーのプロファイル、設定、およびポリシーの優先順位」を参照してください。

事前設定されたセキュリティ ポリシーを構成するには、「 標準および厳格な事前設定のセキュリティ ポリシーをユーザーに割り当てる 」および「 組み込みの保護プリセット セキュリティ ポリシーに除外を追加する」を参照してください。

はじめに把握しておくべき情報

  • 「https://security.microsoft.com」で Microsoft Defender ポータルを開きます。 [事前設定されたセキュリティ ポリシー] ページに直接移動するには、https://security.microsoft.com/presetSecurityPoliciesを使用します。

  • Exchange Online PowerShell へ接続するには、「Exchange Online PowerShell に接続する」を参照してください。

  • この記事の手順を実行する前に、アクセス許可を割り当てる必要があります。 以下のオプションがあります。

    • Microsoft Defender XDR 統合ロールベースのアクセス制御 (RBAC) ([メールとコラボレーション]>[Defender for Office 365] でアクセス許可が [アクティブ] の場合。PowerShell ではなく、Defender ポータルにのみ影響): 承認と設定/セキュリティ設定/コア セキュリティ設定 (管理) または承認と設定/セキュリティ設定/コア セキュリティ設定 (読み取り)。

    • Exchange Online のアクセス許可:

      • 事前設定されたセキュリティ ポリシーの構成: 組織の管理 または セキュリティ管理者 の役割グループのメンバーシップ。
      • 事前設定されたセキュリティ ポリシーへの読み取り専用アクセス: グローバル閲覧者 ロール グループのメンバーシップ。

    • Microsoft Entra のアクセス許可: グローバル管理者*、セキュリティ管理者、または グローバル閲覧者 ロールのいずれかに所属しているユーザーには、必要なアクセス許可とMicrosoft 365 の他の機能に対するアクセス許可が付与されます。

      重要

      * Microsoft では、最小限のアクセス許可の原則を強くお勧めします。 アカウントにタスクを実行するために必要な最小限のアクセス許可のみを割り当てることは、セキュリティ リスクを軽減し、組織の全体的な保護を強化するのに役立ちます。 グローバル管理者は非常に特権的な役割であり、既存のロールを使用できない場合の緊急時に限定する必要があります。

Microsoft Defender ポータルを使用して、Standardと厳格な事前設定されたセキュリティ ポリシーをユーザーに割り当てる

Microsoft Defender ポータルでユーザーに Standard または Strict の事前設定されたセキュリティ ポリシーを割り当てるには、次の手順に従います。

  1. https://security.microsoft.com の Microsoft Defender ポータルで、テンプレート化されたポリシー セクションの >>>プリセット セキュリティ ポリシー に移動します。 または、[ 事前設定されたセキュリティ ポリシー ] ページに直接移動するには、 https://security.microsoft.com/presetSecurityPoliciesを使用します。

  2. [事前設定されたセキュリティ ポリシー] ページに初めてアクセスすると、Standard保護と厳密な保護が オフになっている可能性があります。

    構成するトグルを On にスライドし、[ 保護設定の管理 ] を選択して構成ウィザードを開始します。

  3. [Exchange Online Protectionの適用] ページで、すべてのクラウド メールボックスの組み込みセキュリティ機能を受け取る内部受信者を特定します (受信者の条件)。

    • すべての受信者

    • 特定の受信者: 表示される次のいずれかの受信者条件を構成します。

      • ユーザー: 指定されたメールボックス、またはメール ユーザー。
      • グループ:
        • 指定した配布グループまたはメールが有効なセキュリティ グループのメンバー (動的配布グループはサポートされていません)。
        • 指定したMicrosoft 365 グループ (Microsoft Entra ID の動的メンバーシップ グループはサポートされていません)。
      • ドメイン: 指定された承認済みドメイン内のプライマリ メール アドレスを持つ組織内のすべての受信者。

      ヒント

      サブドメインは、明示的に除外しない限り、自動的に含まれます。 たとえば、contoso.com を含むポリシーには、marketing.contoso.com を除外しない限り、marketing.contoso.com も含まれます。

    適正なボックスをクリックし、値の入力を開始し、結果で希望する値を選択します。 必要な回数だけこの処理を繰り返します。 既存の値を削除するには、値の横にある を選択します。

    ユーザーやグループには、ほとんどの識別子 (名前、表示名、エイリアス、メールアドレス、アカウント名など) を使用できますが、対応する表示名が結果に表示されます。 ユーザーまたはグループの場合、アスタリスク (*) を単独で入力すると、使用可能なすべての値が表示されます。

    条件は一度しか使用できませんが、条件には複数の値を含めることができます。

    • 同じ条件の複数の値は、OR ロジック (たとえば、<recipient1>、または <recipient2>) を使用します。 受信者が指定した値のいずれかに一致する場合、ポリシーが適用されます。

    • さまざまな種類の条件は、AND ロジックを使用します。 受信者は、ポリシーを適用するために指定されたすべての条件と一致する必要があります。 たとえば、次の値を使用して条件を構成します。

      • ユーザー: romain@contoso.com
      • グループ: 役員

      そのユーザーが役員グループのメンバーでもある場合romain@contoso.comのみ、このポリシーが適用されます。 それ以外の場合、ポリシーは適用されません。

    • なし

    • これらの受信者を除外する: [すべての受信者 ] または [ 特定の受信者] を選択した場合は、このオプションを選択して受信者の例外を構成します。

      例外は一度だけ使用できますが、例外には複数の値を含めることができます。

      • 同じ例外の複数の値は、OR ロジック (たとえば、<recipient1>、または <recipient2>) を使用します。 受信者が指定した値のいずれかに一致する場合、ポリシーは適用されません。
      • 異なる種類の例外 は OR ロジックを使用します (例: <recipient1>、または <group1 のメンバー>、または <domain1 のメンバー>)。 受信者が指定した例外値のいずれかに一致する場合、ポリシーは適用されません。

    [Exchange Online Protectionの適用] ページが終了したら、[次へ] を選択します。

    注:

    Defender for Office 365のない組織では、[次へ] を選択すると、[レビュー] ページに移動します (手順 9)。

  4. [Defender for Office 365 保護を適用] ページで、Defender for Office 365 の保護が適用される内部受信者 (受信者の条件)、または適用されない内部受信者 (受信者の例外) を指定します。

    設定と動作は、手順 3 で説明した [Exchange Online Protectionの適用] ページと同じです。

    [Exchange Online Protectionの適用] ページで選択したのと同じ受信者を使用するには、[以前に選択した受信者] を選択することもできます。

    [Defender for Office 365保護の適用] ページが完了したら、[次へ] を選択します。

    ヒント

    organizationのすべてのユーザーが Defender for Office 365 ライセンスを持っているわけではない場合は、次の方法を使用して、対象ユーザーにのみ Defender for Office 365保護を適用できます。

    • [指定された受信者] を使用して、Office 365保護の対象となるユーザーまたはグループを特定します。
    • [これらの受信者を除外する>特定の受信者] を使用して、Defender でOffice 365保護を受ける資格のないユーザーまたはグループを特定します。

  5. [ 偽装保護 ] ページで、[ 次へ] を選択します。

  6. [ 攻撃者による偽装時にフラグを設定する電子メール アドレスの追加] ページで 、 ユーザー偽装保護によって保護されている内部送信者と外部送信者を追加します。

    注:

    すべての受信者は、事前設定されたセキュリティ ポリシーで メールボックス インテリジェンス から偽装保護を自動的に受け取ります。

    Standardまたは厳密な事前設定されたセキュリティ ポリシーでは、ユーザー偽装保護に最大 350 人のユーザーを指定できます。

    送信者と受信者が以前に電子メールで通信した場合、ユーザー偽装保護は機能しません。 送信者と受信者がメールで通信しなかった場合、メッセージは偽装の試みとして識別できます。

    各エントリは、表示名と電子メール アドレスで構成されます。

    • 内部ユーザー: [有効なメールの追加 ] ボックスをクリックするか、ユーザーのメール アドレスの入力を開始します。 表示 される [推奨される連絡先 ] ドロップダウン リストでメール アドレスを選択します。 ユーザーの表示名が [ 名前の追加 ] ボックスに追加されます (変更できます)。 ユーザーの選択が完了したら、[ 追加] を選択します。

    • 外部ユーザー: [有効な電子 メールの追加] ボックスに完全なメール アドレスを入力し、表示される [ 推奨される連絡先 ] ドロップダウン リストでメール アドレスを選択します。 電子メール アドレスは、[ 名前の追加 ] ボックスにも追加されます (表示名に変更できます)。

    必要な回数だけこれらの手順を繰り返します。

    追加したユーザーは、[ 表示名 ] と [ 送信者のメール アドレス] でページに一覧表示されます。 ユーザーを削除するには、エントリの横にある [ ] を選択します。

    [ 検索 ] ボックスを使用して、ページ上のエントリを検索します。

    [Defender for Office 365保護の適用] ページが完了したら、[次へ] を選択します。

  7. [ 攻撃者によって偽装されたときにフラグを設定するドメインの追加] ページで 、ドメイン偽装保護によって保護されている内部ドメインと外部 ドメインを追加します。

    注:

    所有するすべてのドメイン (承認済みドメイン) は、事前設定されたセキュリティ ポリシーでドメイン偽装保護を自動的に受け取ります。

    Standardまたは厳密な事前設定されたセキュリティ ポリシーでは、ドメイン偽装保護に最大 50 個のカスタム ドメインを指定できます。

    [ドメインの 追加 ] ボックスをクリックし、ドメイン値を入力し、Enter キーを押すか、ボックスの下に表示される値を選択します。 ボックスからドメインを削除してやり直すには、ドメインの横にある [ ] を選択します。 ドメインを追加する準備ができたら、[追加] を選択 します。 必要な回数だけこの手順を繰り返します。

    追加したドメインがページに表示されます。 ドメインを削除するには、値の横にある [ ] を選択します。

    追加したドメインがページに表示されます。 ドメインを削除するには、エントリの横にある [ ] を選択します。

    リストから既存のエントリを削除するには、エントリの横にある [ ] を選択します。

    [ 攻撃者が偽装したときにフラグを設定するドメインの追加] が完了したら、[ 次へ] を選択します。

  8. [ 偽装としてフラグを付けないように信頼されたメール アドレスとドメインを追加 する] ページで、偽装保護から除外する送信者のメール アドレスとドメインを入力します。 これらの送信者からのメッセージは偽装攻撃としてフラグが設定されることはありませんが、送信者は引き続き Microsoft 365 と Defender for Office 365の他のフィルターによるスキャンの対象となります。

    注:

    信頼されたドメイン エントリには、指定したドメインのサブドメインは含まれません。 サブドメインごとにエントリを追加する必要があります。

    ボックスにメール アドレスまたはドメインを入力し、Enter キーを押すか、ボックスの下に表示される値を選択します。 ボックスから値を削除してやり直すには、値の横にある [ ] を選択します。 ユーザーまたはドメインを追加する準備ができたら、[追加] を選択 します。 必要な回数だけこの手順を繰り返します。

    追加したユーザーとドメインは、[ 名前] と [ 種類] でページに一覧表示されます。 エントリを削除するには、エントリの横にある [ ] を選択します。

    [ 信頼できるメール アドレスとドメインを偽装としてフラグを付けないように追加する ] ページが完了したら、[ 次へ] を選択します。

  9. [ 変更の確認と確認 ] ページで、設定を確認します。 ウィザードで [ 戻る ] または特定のページを選択して、設定を変更できます。

    [ 変更の確認と確認 ] ページが完了したら、[確認] を選択 します。

  10. 標準保護が更新されました ページまたは 厳密な保護が更新されました ページで、完了 を選択します。

Microsoft Defender ポータルを使用して、Standardと厳密な事前設定されたセキュリティ ポリシーの割り当てを変更する

Standard Protection または Strict Protection プリセット セキュリティ ポリシーの割り当てを変更するには、「Microsoft Defender ポータルを使用して Standard と Strict のプリセット セキュリティ ポリシーをユーザーに割り当て、必要に応じて既存のポリシーの割り当てを更新する」の手順に従います。

既存の条件と例外を保持したまま、Standard保護または厳密な保護の事前設定されたセキュリティ ポリシーを無効にするには、トグルを Off にスライドします。 ポリシーを有効にするには、トグルを On にスライドします。

Microsoft Defender ポータルを使用して、組み込みの保護プリセットセキュリティ ポリシーに除外を追加する

ヒント

組み込みの保護プリセット セキュリティ ポリシーは、Defender for Office 365の任意の数のライセンスを持つ組織内のすべてのユーザーに適用されます。 この保護の適用は、管理者が Defender をOffice 365保護用に特別に構成するまで、最も広範なユーザーセットをセキュリティで保護する精神にあります。 組み込み保護は既定で有効になっているため、お客様は製品ライセンス条項に違反することを心配する必要はありません。 ただし、すべてのユーザーに対して組み込みの保護が継続されるように、Office 365 ライセンスに対して十分な Defender を購入することをお勧めします。

組み込みの保護プリセット セキュリティ ポリシーは、Standardまたは厳密な事前設定されたセキュリティ ポリシー、またはカスタムの安全なリンクまたは安全な添付ファイル ポリシーで定義されている受信者には影響しません。 そのため、安全なリンクと安全な添付ファイルの保護の対象ではないユーザー (Defender for Office 365 ライセンスを持たないユーザー) を除外する場合を除き、通常、組み込みの保護プリセットセキュリティ ポリシーの例外はお勧めしません。

  1. https://security.microsoft.com の Microsoft Defender ポータルで、テンプレート化されたポリシー セクションの >>>プリセット セキュリティ ポリシー に移動します。 または、[ 事前設定されたセキュリティ ポリシー ] ページに直接移動するには、 https://security.microsoft.com/presetSecurityPoliciesを使用します。

  2. [既定のセキュリティ ポリシー] ページで、[組み込み保護] セクションで [除外の追加 (推奨されません)] を選択します。

  3. 開いた [ 組み込みの保護から除外する ] ポップアップで、組み込みの安全なリンクと安全な添付ファイルの保護から除外される内部受信者を特定します。

    • Users
    • グループ:
      • 指定した配布グループまたはメールが有効なセキュリティ グループのメンバー (動的配布グループはサポートされていません)。
      • 指定したMicrosoft 365 グループ (Microsoft Entra ID の動的メンバーシップ グループはサポートされていません)。
    • ドメイン

    適切なボックスをクリックし、値の入力を開始し、ボックスの下に表示される値を選択します。 必要な回数だけこの処理を繰り返します。 既存の値を削除するには、値の横にある を選択します。

    ユーザーやグループには、ほとんどの識別子 (名前、表示名、エイリアス、メールアドレス、アカウント名など) を使用できますが、対応する表示名が結果に表示されます。 ユーザーの場合、アスタリスク (*) を単独で入力すると、使用可能なすべての値が表示されます。

    例外は一度だけ使用できますが、例外には複数の値を含めることができます。

    • 同じ例外の複数の値は、OR ロジック (たとえば、<recipient1>、または <recipient2>) を使用します。 受信者が指定した値のいずれかに一致する場合、ポリシーは適用されません。
    • 異なる種類の例外 は OR ロジックを使用します (例: <recipient1>、または <group1 のメンバー>、または <domain1 のメンバー>)。 受信者が指定した例外値のいずれかに一致する場合、ポリシーは適用されません。

  4. [ 組み込みの保護から除外 する] ポップアップが完了したら、[保存] を選択 します。

これらの手順が正常に機能したことをどうやって確認できますか？

Standard保護または厳格な保護セキュリティ ポリシーがユーザーに正常に割り当てられたことを確認するには、既定値が [厳密な保護] 設定とは異なるStandard保護設定とは異なる保護設定を使用します。

たとえば、スパム (信頼度の高くないスパム) として識別されたメールの場合、メッセージがStandard保護ユーザーの迷惑メール Email フォルダーに配信され、厳格な保護ユーザーに対して検疫されていることを確認します。

または、一括メールの場合は、BCL 値が 6 以上では 標準保護 ユーザーのメッセージが迷惑メール フォルダーに配信され、BCL 値が 5 以上では 厳格な保護 ユーザーのメッセージが隔離されることを確認します。

Exchange Online PowerShell の事前設定されたセキュリティ ポリシー

PowerShell では、事前設定されたセキュリティ ポリシーは次の要素で構成されます。

  • 個々の脅威ポリシー: マルウェア対策ポリシー、スパム対策ポリシー、フィッシング対策ポリシー、安全なリンク ポリシー、安全な添付ファイル ポリシーなどです。 これらのポリシーは、Exchange Online PowerShell の標準ポリシー管理コマンドレットを使用して表示されます。

    警告

    事前設定されたセキュリティ ポリシーに関連付けられている個々の脅威ポリシーを作成、変更、または削除しないでください。 Standardまたは厳密な事前設定されたセキュリティ ポリシーの個々の脅威ポリシーを作成するためにサポートされる唯一の方法は、Microsoft Defender ポータルで既定のセキュリティ ポリシーを初めて有効にすることです。

  • 規則: Standardの事前設定されたセキュリティ ポリシー、厳密な事前設定されたセキュリティ ポリシー、および組み込みの保護の事前設定されたセキュリティ ポリシーには、個別の規則が使用されます。 ルールは、ポリシー (ポリシーが適用されるユーザー) の受信者の条件と例外を定義します。 これらの規則は、Exchange Online PowerShell で次のコマンドレットを使用して管理します。

    Standardおよび厳密な事前設定されたセキュリティ ポリシーの場合、これらの規則は、Microsoft Defender ポータルで事前設定されたセキュリティ ポリシーを初めて有効にするときに作成されます。 事前設定されたセキュリティ ポリシーをオンにしていない場合、関連付けられている規則は存在しません。 事前設定されたセキュリティ ポリシーをオフにしても、関連付けられているルールは削除されません。

サポートされているシナリオについては、「 PowerShell を使用して既定のセキュリティ ポリシーで個々の脅威ポリシーを表示する」、 PowerShell を使用して事前設定されたセキュリティ ポリシーのルールを表示する、 PowerShell を使用して事前設定されたセキュリティ ポリシーをオンまたはオフにする、 PowerShell を使用してプリセットセキュリティ ポリシーの受信者の条件と例外を指定する方法を参照してください。

Exchange Online PowerShell へ接続するには、「Exchange Online PowerShell に接続する」を参照してください。

PowerShell を使用して、事前設定されたセキュリティ ポリシー内の個々の脅威ポリシーを表示する

Microsoft Defender ポータルでStandardの事前設定されたセキュリティ ポリシーまたは厳密な事前設定されたセキュリティ ポリシーをオンにしていない場合は、事前設定されたセキュリティ ポリシーに関連する脅威ポリシーは存在しません。

  • 組み込み保護プリセット セキュリティ ポリシー: 関連ポリシーの名前は Built-In Protection Policy です。 これらのポリシーの IsBuiltInProtection プロパティの値は True です。

    組み込みの保護プリセット セキュリティ ポリシーの個々の脅威ポリシーを表示するには、次のコマンドを実行します。

    Write-Output -InputObject ("`r`n"*3),"Built-in protection Safe Attachments policy",("-"*79);Get-SafeAttachmentPolicy -Identity "Built-In Protection Policy" | Format-List; Write-Output -InputObject ("`r`n"*3),"Built-in protection Safe Links policy",("-"*79);Get-SafeLinksPolicy -Identity "Built-In Protection Policy" | Format-List

  • Standard事前設定されたセキュリティ ポリシー: 関連付けられている脅威ポリシーには、Standard Preset Security Policy<13-digit number>という名前が付けられます。 たとえば、「 Standard Preset Security Policy1622650008019 」のように入力します。 ポリシーの RecommendPolicyType プロパティ値がStandard。

    • すべてのクラウド メールボックス専用の組み込みのセキュリティ機能を持つ組織のStandard事前設定されたセキュリティ ポリシーの個々の脅威ポリシーを表示するには、次のコマンドを実行します。

      Write-Output -InputObject ("`r`n"*3),"Standard anti-malware policy",("-"*79);Get-MalwareFilterPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Standard"; Write-Output -InputObject ("`r`n"*3),"Standard anti-spam policy",("-"*79);Get-HostedContentFilterPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Standard"; Write-Output -InputObject ("`r`n"*3),"Standard anti-phishing policy",("-"*79);Get-AntiPhishPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Standard"

    • Defender for Office 365を使用する組織のStandard事前設定されたセキュリティ ポリシーの個々の脅威ポリシーを表示するには、次のコマンドを実行します。

      Write-Output -InputObject ("`r`n"*3),"Standard anti-malware policy",("-"*79);Get-MalwareFilterPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Standard"; Write-Output -InputObject ("`r`n"*3),"Standard anti-spam policy",("-"*79);Get-HostedContentFilterPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Standard"; Write-Output -InputObject ("`r`n"*3),"Standard anti-phishing policy",("-"*79);Get-AntiPhishPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Standard"; Write-Output -InputObject ("`r`n"*3),"Standard Safe Attachments policy",("-"*79);Get-SafeAttachmentPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Standard"; Write-Output -InputObject ("`r`n"*3),"Standard Safe Links policy",("-"*79);Get-SafeLinksPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Standard"

  • 厳密な事前設定されたセキュリティ ポリシー: 関連付けられている脅威ポリシーには、 Strict Preset Security Policy<13-digit number>という名前が付けられます。 たとえば、「 Strict Preset Security Policy1642034872546 」のように入力します。 ポリシーの RecommendPolicyType プロパティ値は Strict です。

    • すべてのクラウド メールボックス専用の組み込みのセキュリティ機能を持つ組織の厳密な事前設定されたセキュリティ ポリシーの個々の脅威ポリシーを表示するには、次のコマンドを実行します。

      Write-Output -InputObject ("`r`n"*3),"Strict anti-malware policy",("-"*79);Get-MalwareFilterPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Strict"; Write-Output -InputObject ("`r`n"*3),"Strict anti-spam policy",("-"*79);Get-HostedContentFilterPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Strict"; Write-Output -InputObject ("`r`n"*3),"Strict anti-phishing policy",("-"*79);Get-AntiPhishPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Strict"

    • Defender for Office 365を使用する組織の厳密な事前設定されたセキュリティ ポリシーの個々の脅威ポリシーを表示するには、次のコマンドを実行します。

      Write-Output -InputObject ("`r`n"*3),"Strict anti-malware policy",("-"*79);Get-MalwareFilterPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Strict"; Write-Output -InputObject ("`r`n"*3),"Strict anti-spam policy",("-"*79);Get-HostedContentFilterPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Strict"; Write-Output -InputObject ("`r`n"*3),"Strict anti-phishing policy",("-"*79);Get-AntiPhishPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Strict"; Write-Output -InputObject ("`r`n"*3),"Strict Safe Attachments policy",("-"*79);Get-SafeAttachmentPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Strict"; Write-Output -InputObject ("`r`n"*3),"Strict Safe Links policy",("-"*79);Get-SafeLinksPolicy | Where-Object -Property RecommendedPolicyType -eq -Value "Strict"

PowerShell を使用して、事前設定されたセキュリティ ポリシーのルールを表示する

Microsoft Defender ポータルでStandardの事前設定されたセキュリティ ポリシーまたは厳密な事前設定されたセキュリティ ポリシーをオンにしていない場合は、それらのポリシーに関連付けられている規則は存在しません。

  • 組み込みの保護プリセット セキュリティ ポリシー: ATP Built-In 保護規則という名前の規則は 1 つだけです。

    現在の組み込み保護規則を表示し、プリセット ポリシーが有効かどうか、およびスコープの設定方法を確認するには、次のコマンドを実行します。

    Get-ATPBuiltInProtectionRule

  • Standard事前設定されたセキュリティ ポリシー: 関連付けられている規則には、プリセット セキュリティ ポリシー Standardという名前が付けられます。

    次のコマンドを使用して、Standard事前設定されたセキュリティ ポリシーに関連付けられている規則を表示します。

    • Standard プリセット セキュリティ ポリシー内のすべてのクラウド メールボックスの組み込みセキュリティ機能に関連付けられているルールを表示するには、次のコマンドを実行します。

      Get-EOPProtectionPolicyRule -Identity "Standard Preset Security Policy"

    • Standardの事前設定されたセキュリティ ポリシーで Defender for Office 365保護に関連付けられている規則を表示するには、次のコマンドを実行します。

      Get-ATPProtectionPolicyRule -Identity "Standard Preset Security Policy"

    • 両方のルールを同時に表示するには、次のコマンドを実行します。

      Write-Output -InputObject ("`r`n"*3),"EOP rule - Standard preset security policy",("-"*79);Get-EOPProtectionPolicyRule -Identity "Standard Preset Security Policy"; Write-Output -InputObject ("`r`n"*3),"Defender for Office 365 rule - Standard preset security policy",("-"*79);Get-ATPProtectionPolicyRule -Identity "Standard Preset Security Policy"

  • 厳密な事前設定されたセキュリティ ポリシー: 関連付けられている規則は、厳密な事前設定されたセキュリティ ポリシーという名前です。

    次のコマンドを使用して、Strict プリセット セキュリティ ポリシーに関連付けられているルールを表示します。

    • 厳密な事前設定された セキュリティ ポリシー内のすべてのクラウド メールボックスの組み込みセキュリティ機能 に関連付けられているルールを表示するには、次のコマンドを実行します。

      Get-EOPProtectionPolicyRule -Identity "Strict Preset Security Policy"

    • 厳密な事前設定されたセキュリティ ポリシーで Defender for Office 365保護に関連付けられている規則を表示するには、次のコマンドを実行します。

      Get-ATPProtectionPolicyRule -Identity "Strict Preset Security Policy"

    • 両方のルールを同時に表示するには、次のコマンドを実行します。

      Write-Output -InputObject ("`r`n"*3),"EOP rule - Strict preset security policy",("-"*79);Get-EOPProtectionPolicyRule -Identity "Strict Preset Security Policy"; Write-Output -InputObject ("`r`n"*3),"Defender for Office 365 rule - Strict preset security policy",("-"*79);Get-ATPProtectionPolicyRule -Identity "Strict Preset Security Policy"

PowerShell を使用して、事前設定されたセキュリティ ポリシーをオンまたはオフにする

PowerShell でStandardまたは厳密な事前設定されたセキュリティ ポリシーを有効または無効にするには、ポリシーに関連付けられている規則を有効または無効にします。 ルールの State プロパティの値は、ルールが [有効] または [無効] のどちらであるかを示します。

組織にすべてのクラウド メールボックス向けの組み込みセキュリティ機能のみがある場合は、そのルールを無効または有効にできます。

organizationに Defender for Office 365がある場合は、すべてのクラウド メールボックスの組み込みセキュリティ機能のルールと、Office 365保護用の Defender のルール (両方のルールを有効または無効にする) の規則を有効または無効にします。

  • すべてのクラウド メールボックス専用の組み込みのセキュリティ機能を持つ組織:

    • 次のコマンドを実行して、Standardと厳密な事前設定されたセキュリティ ポリシーの規則が現在有効か無効かを判断します。

      Write-Output -InputObject ("`r`n"*3),"EOP protection rule",("-"*50); Get-EOPProtectionPolicyRule -Identity "Standard Preset Security Policy" | Format-Table Name,State; Write-Output -InputObject ("`r`n"*3),"EOP protection rule",("-"*50); Get-EOPProtectionPolicyRule -Identity "Strict Preset Security Policy" | Format-Table Name,State

    • 次のコマンドを実行して、Standardプリセットセキュリティポリシーをオフにします。

      Disable-EOPProtectionPolicyRule -Identity "Standard Preset Security Policy"

    • 次のコマンドを実行して、Strict プリセット セキュリティ ポリシーをオフにします。

      Disable-EOPProtectionPolicyRule -Identity "Strict Preset Security Policy"

    • 次のコマンドを実行して、Standardの事前設定されたセキュリティ ポリシーを有効にします。

      Enable-EOPProtectionPolicyRule -Identity "Standard Preset Security Policy"

    • 次のコマンドを実行して、Strict プリセット セキュリティ ポリシーを有効にします。

      Enable-EOPProtectionPolicyRule -Identity "Strict Preset Security Policy"

  • Defender for Office 365を持つ組織:

    • 次のコマンドを実行して、Standardと厳密な事前設定されたセキュリティ ポリシーの規則が現在有効か無効かを判断します。

      Write-Output -InputObject ("`r`n"*3),"EOP protection rule",("-"*50);Get-EOPProtectionPolicyRule -Identity "Standard Preset Security Policy" | Format-Table Name,State; Write-Output -InputObject `r`n,"Defender for Office 365 protection rule",("-"*50);Get-ATPProtectionPolicyRule -Identity "Standard Preset Security Policy" | Format-Table Name,State; Write-Output -InputObject ("`r`n"*3),"EOP protection rule",("-"*50);Get-EOPProtectionPolicyRule -Identity "Strict Preset Security Policy" | Format-Table Name,State; Write-Output -InputObject `r`n,"Defender for Office 365 protection rule",("-"*50);Get-ATPProtectionPolicyRule -Identity "Strict Preset Security Policy" | Format-Table Name,State

    • 次のコマンドを実行して、Standardプリセットセキュリティポリシーをオフにします。

      Disable-EOPProtectionPolicyRule -Identity "Standard Preset Security Policy"; Disable-ATPProtectionPolicyRule -Identity "Standard Preset Security Policy"

    • 次のコマンドを実行して、Strict プリセット セキュリティ ポリシーをオフにします。

      Disable-EOPProtectionPolicyRule -Identity "Strict Preset Security Policy"; Disable-ATPProtectionPolicyRule -Identity "Strict Preset Security Policy"

    • 次のコマンドを実行して、Standardの事前設定されたセキュリティ ポリシーを有効にします。

      Enable-EOPProtectionPolicyRule -Identity "Standard Preset Security Policy"; Enable-ATPProtectionPolicyRule -Identity "Standard Preset Security Policy"

    • 次のコマンドを実行して、Strict プリセット セキュリティ ポリシーを有効にします。

      Enable-EOPProtectionPolicyRule -Identity "Strict Preset Security Policy"; Enable-ATPProtectionPolicyRule -Identity "Strict Preset Security Policy"

PowerShell を使用して、事前設定されたセキュリティ ポリシーの受信者の条件と例外を指定する

受信者の条件または例外は 1 回だけ使用できますが、条件または例外には複数の値を含めることができます。

  • 同じ条件や例外に複数の値がある場合は、OR ロジック (たとえば、<recipent1> または <recipent2>) を使用します:

    • 条件: 受信者が指定した値のいずれかに一致する場合、ポリシーが適用されます。
    • 例外: 受信者が指定した値のいずれかに一致する場合、ポリシーは適用されません。

  • 異なる種類の例外 は OR ロジックを使用します (例: <recipient1>、または <group1 のメンバー>、または <domain1 のメンバー>)。 受信者が指定した例外値のいずれかに一致する場合、ポリシーは適用されません。

  • さまざまな種類の条件は、AND ロジックを使用します。 受信者は、ポリシーを適用するために指定されたすべての条件と一致する必要があります。 たとえば、次の値を使用して条件を構成します。

    • ユーザー: romain@contoso.com
    • グループ: 役員

    そのユーザーが役員グループのメンバーでもある場合romain@contoso.comのみ、このポリシーが適用されます。 それ以外の場合、ポリシーは適用されません。

組み込みの保護プリセット セキュリティ ポリシーでは、受信者の例外のみを指定できます。 すべての例外パラメーター値が空 ($null) の場合、ポリシーに例外はありません。

Standardと厳密な事前設定されたセキュリティ ポリシーでは、すべてのクラウド メールボックスの組み込みセキュリティ機能の受信者条件と例外を指定し、Defender for Office 365の保護を行うことができます。 すべての条件と例外パラメーター値が空 ($null) の場合、Standardまたは厳密な事前設定されたセキュリティ ポリシーに対する受信者の条件や例外はありません。

  • 組み込みの保護プリセット セキュリティ ポリシー:

    次の構文を使用してください。

    Set-ATPBuiltInProtectionRule -Identity "ATP Built-In Protection Rule" -ExceptIfRecipientDomainIs <"domain1","domain2",... | $null> -ExceptIfSentTo <"user1","user2",... | $null> -ExceptIfSentToMemberOf <"group1","group2",... | $null>

    この例では、以前に構成したすべての受信者の例外を組み込みの保護プリセットセキュリティ ポリシーから削除するため、ポリシーは再びすべての受信者に適用されます。

    Set-ATPBuiltInProtectionRule -Identity "ATP Built-In Protection Rule" -ExceptIfRecipientDomainIs $null -ExceptIfSentTo $null -ExceptIfSentToMemberOf $null

    構文とパラメーターの詳細については、「 Set-ATPBuiltInProtectionRule」を参照してください。

  • 標準または厳格のプリセット セキュリティ ポリシー

    次の構文を使用してください。

    <Set-EOPProtectionPolicyRule | SetAtpProtectionPolicyRule> -Identity "<Standard Preset Security Policy | Strict Preset Security Policy>" -SentTo <"user1","user2",... | $null> -ExceptIfSentTo <"user1","user2",... | $null> -SentToMemberOf <"group1","group2",... | $null> -ExceptIfSentToMemberOf <"group1","group2",... | $null> -RecipientDomainIs <"domain1","domain2",... | $null> -ExceptIfRecipientDomainIs <"domain1","domain2",... | $null>

    この例では、Standard プリセット セキュリティ ポリシー内のすべてのクラウド メールボックスの組み込みセキュリティ機能から Executives 配布グループのメンバーを除外するため、これらのメンバーは Standard 保護の対象になりません。

    Set-EOPProtectionPolicyRule -Identity "Standard Preset Security Policy" -ExceptIfSentToMemberOf Executives

    この例では、指定されたセキュリティ操作 (SecOps) メールボックスを、厳密な事前設定されたセキュリティ ポリシーのDefender for Office 365保護から除外します。SecOps メールボックスでは、通常、セキュリティ調査のために異なる処理が必要になるためです。

    Set-ATPProtectionPolicyRule -Identity "Strict Preset Security Policy" -ExceptIfSentTo "SecOps1","SecOps2"

    構文とパラメーターの詳細については、「 Set-EOPProtectionPolicyRule 」および 「Set-ATPProtectionPolicyRule」を参照してください。

付録: 事前設定されたセキュリティ ポリシーのプロファイル、設定、およびポリシーの優先順位

事前設定されたセキュリティ ポリシーは、次の要素で構成されます。

これらの要素については、次のセクションで説明します。

さらに、事前設定されたセキュリティ ポリシーが他のポリシーとの 優先順位 にどのように適合するかを理解することが重要です。

事前設定されたセキュリティ ポリシーのプロファイル

プロファイルは、保護のレベルを決定します。 次のプロファイルは、事前設定されたセキュリティ ポリシーで使用できます。

  • 標準保護: ほとんどのユーザーに適した基本プロファイル。
  • 厳密な保護: 選択したユーザー (高い値のターゲットまたは優先順位のユーザー) に対して、より積極的なプロファイル。
  • 組み込みの保護 (Office 365専用Microsoft Defender): 安全なリンクと安全な添付ファイルにのみ既定の脅威ポリシーを効果的に提供します。

一般に、厳格な保護プロファイルは、標準保護プロファイルよりも、害の少ないメール（たとえば、バルク メールやスパム）を隔離しない傾向がありますが、両方のプロファイルの設定の多くは同じです（特に、マルウェアやフィッシングのような明らかに有害なメールに関する設定）。 設定の違いの比較については、 事前設定されたセキュリティ ポリシーのポリシー設定の表を参照してください。

プロファイルをオンにしてユーザーを割り当てるまで、Standardと厳密な事前設定されたセキュリティ ポリシーは誰にも割り当てされません。 一方、組み込みの保護プリセットセキュリティ ポリシーは、既定ですべての受信者に割り当てられますが、例外を構成できます。

重要

組み込みの保護プリセット セキュリティ ポリシーに例外を構成しない限り、organizationのすべての受信者は安全なリンクと安全な添付ファイルの保護を受け取ります。

プリセット セキュリティ ポリシー内のポリシー

事前設定されたセキュリティ ポリシーでは、すべてのクラウド メールボックスの組み込みセキュリティ機能と、Office 365のMicrosoft Defenderに対して、個々の脅威ポリシーの特別なバージョンが使用されます。 これらの個々の脅威ポリシーは、標準保護または厳格な保護の事前設定されたセキュリティ ポリシーをユーザーに割り当てた後に作成されます。

  • すべてのクラウド メールボックスの組み込みのセキュリティ機能の脅威ポリシー: これらのポリシーは、クラウド メールボックスを持つすべての組織にあります。

    注:

    送信スパム ポリシーは、事前設定されたセキュリティ ポリシーの一部ではありません。 既定の送信スパム ポリシーは、事前設定されたセキュリティ ポリシーのメンバーを自動的に保護します。 または、カスタム送信スパム ポリシーを作成して、事前設定されたセキュリティ ポリシーのメンバーの保護をカスタマイズすることもできます。 詳細については、「 送信スパム フィルターの構成」を参照してください。

  • Microsoft Defender for Office 365 における脅威ポリシー: これらのポリシーは、Microsoft 365 E5 または Defender for Office 365 アドオン サブスクリプションを利用している組織で使用できます。

    • Defender for Office 365のフィッシング対策ポリシーには、Standard事前設定されたセキュリティ ポリシーと厳密な事前設定されたセキュリティ ポリシーという名前が付けられています。これには、次のものが含まれます。
    • Safe Links ポリシーという名前のStandard Preset Security Policy、Strict Preset Security Policy、およびBuilt-in Protection Policy。
    • Safe Attachments ポリシーのうち、Standard プリセット セキュリティ ポリシー、Strict プリセット セキュリティ ポリシー、および 組み込みの保護ポリシーという名前のポリシー。

すべてのクラウド メールボックスの組み込みのセキュリティ機能を、Defender for Office 365保護とは異なるユーザーに適用することも、すべての保護を同じ受信者に適用することもできます。

事前設定されたセキュリティ ポリシーのポリシー設定

事前設定されたセキュリティ保護プロファイルの個々の脅威ポリシーを変更することはできません。 事前設定されたセキュリティ ポリシーは既定またはカスタムの脅威ポリシーよりも優先順位が高いため、厳密な事前設定されたセキュリティ ポリシーが 常に最初に 適用され、その後に標準の事前設定セキュリティ ポリシーが適用され、次に既定またはカスタムの脅威ポリシーが適用されます。 詳細については、事前設定されたセキュリティ ポリシーとその他の脅威ポリシーの優先順位に関するページを参照してください。

ただし、Defender for Office 365 で偽装保護を受け取るために、個々のユーザー (送信者) とドメインを構成する必要があります。 それ以外の場合、事前設定されたセキュリティ ポリシーは、次の種類の偽装保護を自動的に構成します。

Standardの事前設定されたセキュリティ ポリシーと厳密な事前設定されたセキュリティ ポリシーの意味のあるポリシー設定の違いを次の表にまとめます。

  Standard 厳格
マルウェア対策ポリシー 違いはありません 違いはありません
迷惑メール対策ポリシー
   バルク準拠レベル (BCL) に達したか超えた場合の検出アクション (BulkSpamAction) 迷惑メール Email フォルダーにメッセージを移動する (MoveToJmf) 隔離メッセージ (Quarantine)
   一括メールのしきい値 (BulkThreshold) 6 5
   スパム 検出アクション (SpamAction) 迷惑メール Email フォルダーにメッセージを移動する (MoveToJmf) 隔離メッセージ (Quarantine)
フィッシング対策ポリシー
   スプーフィング インテリジェンスによってメッセージがスプーフィングとして検出された場合 (AuthenticationFailAction) 迷惑メール Email フォルダーにメッセージを移動する (MoveToJmf) 隔離メッセージ (Quarantine)
最初の接触安全ヒントを表示 する (EnableFirstContactSafetyTips) 選択済み ($true) 選択済み ($true)
   メールボックス インテリジェンスが偽装ユーザーを検出した場合 (MailboxIntelligenceProtectionAction) 迷惑メール Email フォルダーにメッセージを移動する (MoveToJmf) 隔離メッセージ (Quarantine)
   フィッシングメールのしきい値 (PhishThresholdLevel) 3 - より強力 (3) 4 - 最も積極的 (4)
安全な添付ファイルに関するポリシー 違いはありません 違いはありません
安全なリンク ポリシー 違いはありません 違いはありません

組み込みの保護、標準、および厳格プリセット セキュリティ ポリシーにおける Safe Attachments と Safe Links の設定の違いを、次の表にまとめています。

  内蔵の保護機能 標準と厳格
安全な添付ファイルに関するポリシー 違いはありません 違いはありません
安全なリンク ポリシー
   ユーザーが元の URL をクリックできるようにする (AllowClickThrough) 選択済み ($true) [未選択] ($false)
   URL を書き換えない、安全なリンク API のみを使用してチェックを行う (DisableURLRewrite) 選択済み ($true) [未選択] ($false)
   organization内で送信された電子メール メッセージに安全なリンクを適用する (EnableForInternalSenders) [未選択] ($false) 選択済み ($true)

これらの設定の詳細については、「 クラウド組織の推奨メールとコラボレーションの脅威ポリシー設定」の機能テーブルを参照してください。

事前設定されたセキュリティ ポリシーとその他の脅威ポリシーの優先順位

受信者が複数のポリシーで定義されている場合、ポリシーは次の順序で適用されます。

  1. 厳密な事前設定されたセキュリティ ポリシー。
  2. 標準のプリセット セキュリティ ポリシー。
  3. Defender for Office 365評価ポリシー
  4. ポリシーの優先順位に基づくカスタム脅威ポリシー (数値が小さい方が優先度が高いことを示します)。
  5. 安全なリンクと安全な添付ファイルの組み込みの保護プリセット セキュリティ ポリシー。マルウェア対策、スパム対策、フィッシング対策の既定の脅威ポリシー。

この順序は、Defender ポータルの個々の脅威ポリシーのページに表示されます (ポリシーはページに表示されている順序で適用されます)。

たとえば、管理者は、Standardの事前設定されたセキュリティ ポリシーと、同じ受信者を持つカスタムスパム対策ポリシーを構成します。 Standardの事前設定されたセキュリティ ポリシーのスパム対策ポリシー設定は、カスタムスパム対策ポリシーまたは既定のスパム対策ポリシーの設定ではなく、ユーザーに適用されます。

Standardまたは厳密な事前設定されたセキュリティ ポリシーをユーザーのサブセットに適用し、organization内の他のユーザーにカスタム脅威ポリシーを適用することを検討してください。 この要件を満たすために、次の方法を検討してください。

  • 例外が不要になるように、Standardの事前設定されたセキュリティ ポリシー、厳密な事前設定されたセキュリティ、およびカスタム脅威ポリシーで明確なグループまたは受信者のリストを使用します。 この方法を使用すると、同じユーザーに適用される複数のポリシーと優先順位の影響を考慮する必要はありません。
  • 複数のポリシーが同じユーザーに適用されないようにできない場合は、次の方法を使用します。
    • Strict プリセット セキュリティ ポリシーで例外として、Standard プリセット セキュリティ ポリシーおよびカスタム脅威ポリシーの設定を適用する受信者を構成します。
    • カスタム脅威ポリシーの設定を、Standardの事前設定されたセキュリティ ポリシーの例外として取得する必要がある受信者を構成します。
    • 組み込みの保護プリセットセキュリティ ポリシーまたは既定の脅威ポリシーの設定をカスタム脅威ポリシーの例外として取得する受信者を構成します。

組み込みの保護プリセットセキュリティ ポリシーは、既存の安全なリンクポリシーまたは安全な添付ファイル ポリシーの受信者には影響しません。 Standard保護、厳密な保護、カスタムの安全なリンク ポリシー、またはカスタムの安全な添付ファイル ポリシーを既に構成している場合、これらのポリシーは常に組み込み保護の前に適用されます。

詳細については、「メール保護の順序と優先順位」を参照してください。

  • Last updated on