使用租戶允許/封鎖清單來允許或封鎖 URL

提示

你知道你可以免費試用 適用於 Office 365 的 Microsoft Defender Plan 2 的功能嗎？ 請於 Microsoft Defender 入口試用中心使用 適用於 Office 365 的 Defender 的 90 天試用版。 了解 試用 適用於 Office 365 的 Microsoft Defender 的可註冊對象及試用條款。

在所有擁有雲端信箱的組織中，管理員可以建立並管理租戶允許/封鎖清單中的 URL 條目。 欲了解更多關於租戶允許/封鎖清單的資訊，請參閱 「管理租戶允許/封鎖清單中的允許與封鎖」。

注意事項

若要允許來自非 Microsoft 網路釣魚模擬的網路釣魚 URL，請使用進階傳遞原則設定指定這些 URL。 不要使用租戶允許/封鎖名單。

本文說明管理員如何在 Microsoft Defender 入口網站及 Exchange Online PowerShell 中管理 URL 條目。

開始之前有哪些須知？

  • 你可以在 https://security.microsoft.com. 開啟 Microsoft Defender 入口網站。 要直接進入 租戶允許/封鎖名單 頁面，請使用 https://security.microsoft.com/tenantAllowBlockList。 若要直接進入 投稿 頁面，請使用 https://security.microsoft.com/reportsubmission。

  • 若要連線至 Exchange Online PowerShell，請參閱連線至 Exchange Online PowerShell。

  • 關於 URL 輸入語法，請參見 租戶允許/封鎖清單的 URL 語法。

    • 網址的存取限制：
    • 沒有 適用於 Office 365 的 Defender 的 Microsoft 365 組織：最多可有 1000 個 URL 條目：
      • 允許入場人數：最多500人。
      • 區塊參賽次數：最多500人。
    • 具有 適用於 Office 365 的 Defender Plan 1 的 Microsoft 365 組織 (內含或作為附加訂閱的一部分)：URL 項目總數上限為 2000 個：
      • 允許參賽人數：最多1000人。
      • 封鎖項目：最多 1000 項。
    • 具有適用於 Office 365 的 Defender 方案 2 (內含或透過附加元件訂用帳戶) 的 Microsoft 365 組織：URL 項目總數上限為 15000 個：
      • 允許參賽人數：最多5000人。
      • 區塊項目：最多 10000 個。

  • 網址條目最多可輸入 250 個字元。

  • 報名應在5分鐘內生效。

  • 您必須已獲派權限，才能進行本文中的程序。 您有下列選項：

    • Microsoft Defender 全面偵測回應 統一角色型存取控制 (RBAC)（若 Email & collaboration>適用於 Office 365 的 Defender 權限為 啟用。僅影響 Defender 入口網站，不影響 PowerShell）：

      • 新增及移除租戶允許/封鎖清單中的條目：成員權限如下：
        • 授權與設定/安全設定/偵測調整 (管理)
      • 租用戶允許/封鎖清單的唯讀存取權限：
        • 授權與設定/安全設定/唯讀。
        • 授權與設定/安全設定/核心安全設定 (讀) 。

    • Exchange Online 權限：

      • 新增或移除租戶允許/封鎖清單中的條目：加入以下角色群組之一：
        • 組織管理 或 安全管理員 (安全管理員角色) 。
        • 安全性操作員 (Tenant AllowBlockList Manager 角色)：此權限僅在 Exchange 系統管理中心的 https://admin.exchange.microsoft.com>角色>系統管理員角色中直接指派時才有效。
      • 租用戶允許/封鎖清單的唯讀存取權限：為下列其中一個角色群組的成員：
        • 全球讀者
        • 安全性讀卡機
        • 僅限檢視組態
        • 僅限檢視組織管理

    • Microsoft Entra內建角色：加入全域管理員*、安全管理員、全域閱讀器或安全閱讀器角色，讓使用者擁有Microsoft 365中其他功能的必要權限。

      重要事項

      * Microsoft 強烈主張最小權限原則。 僅分配執行任務所需的最低權限，有助於降低安全風險並強化組織整體防護。 全域管理員是一個高度特權的職位，應該限制在緊急情境或無法使用其他角色時使用。

建立 URL 的允許項目

不必要的允許條目會讓組織暴露於系統本可過濾的惡意郵件，因此直接在租戶允許/封鎖清單中建立允許條目有限制。

要建立允許的 URL 條目，請使用以下任一種方法：

  • 從位於 的提交頁面上的 https://security.microsoft.com/reportsubmission?viewid=url 索引標籤。 當你提交被封鎖的 URL 時，我已確認它是乾淨的，你可以在租戶允許/封鎖清單頁面的 URL 標籤中選擇「允許此 URL 新增」並允許該 URL 輸入。 相關說明請參見 「向 Microsoft 報告良好網址」。

    若要覆寫惡意程式碼和高信賴度網路釣魚判定，必須使用此方法。

  • 請依以下步驟，從租戶允許/阻擋清單頁面的 URLs 標籤或 PowerShell 中操作。

    此方法僅可用於覆蓋以下判決：

    • 批量
    • 垃圾郵件
    • 高信賴度的垃圾郵件
    • 網路釣魚 (非高信賴度網路釣魚)

提示

在郵件流程期間，會根據判定訊息為惡意的篩選條件，新增來自提交項目的允許項目。 例如，如果訊息中的寄件者電子郵件地址和 URL 被判定為惡意，系統就會為寄件者（電子郵件地址或網域）以及該 URL 建立允許項目。

在郵件流程期間或使用者點擊連結時，如果包含允許項目所列實體的訊息通過篩選堆疊中的其他檢查，系統就會遞送這些訊息（會略過與允許實體相關的所有篩選器）。 例如，如果一則訊息通過 電子郵件認證檢查、URL 過濾和檔案過濾，則來自允許寄件人電子郵件地址的訊息也會被送達，前提是該郵件也是允許的寄件人。

預設情況下， 網域、電子郵件地址、 檔案和 網址 的允許條目會在過濾系統判定該實體無瑕後保留45天，然後移除允許條目。 或者你可以設定允許條目在建立後最多30天內過期。 偽造寄件者的允許項目永不過期。

點擊時，URL 允許進入會覆蓋所有與 URL 實體相關的篩選條件，讓使用者能存取該 URL。

URL 允許項目不會阻止該 URL 被適用於 Office 365 的 Defender 中的安全連結保護所包裝。 欲了解更多資訊，請參閱 SafeLinks 中的「請勿重寫清單」。

使用 Microsoft Defender 入口網站，為租戶允許/封鎖清單中的網址建立允許條目

  1. 在 Microsoft Defender 入口網站 https://security.microsoft.com 中，移至 Email & 協作>原則與規則>威脅原則>規則 區段中的 >租用戶允許/封鎖清單。 或者，要直接進入 租戶允許/封鎖名單 頁面，請使用 https://security.microsoft.com/tenantAllowBlockList。

  2. 在 租戶允許/封鎖名單 頁面，選擇 網址標籤 。

  3. 在 網址 標籤中，選擇 新增，然後選擇 允許。

  4. 在開啟的 「允許網址」 飛出視窗中，請設定以下設定：

    • 新增萬用字碼網址：每行輸入一個網址，最多可輸入20個。 關於 URL 條目的語法細節，請參見 租戶允許/封鎖清單的 URL 語法。

    • 在此之後移除允許進入：從下列值中選取：

      • 最後使用日期後45天 (預設)
      • 1 天
      • 7 天
      • 具體日期：最高價值為自今日起30天。

    • 備註：請輸入說明你為何允許這些網址。

    在 「允許 URL」 飛出視窗中完成操作後，選取 新增。

回到 網址 標籤，該條目已被列出。

使用 PowerShell 為租戶允許/封鎖清單中的 URL 建立允許條目

在 Exchange Online PowerShell 中，請使用以下語法為租戶允許/封鎖清單中的 URL 建立允許條目：

New-TenantAllowBlockListItems -ListType Url -Allow -Entries "Value1","Value2",..."ValueN" [-RemoveAfter 45]  [-Notes <String>]

此範例會為 URL abc.contoso.com 和所有電子郵件地址新增一個允許項目 (例如 xyz@abc.contoso.com)。 因為我們沒有使用到期日或 RemoverAfter 參數，該條目會在最後使用日期起計 45 天後失效。

New-TenantAllowBlockListItems -ListType Url -Allow -Entries abc.contoso.com

如需詳細語法與參數資訊，請參閱 New-TenantAllowBlockListItems。

建立 URL 的封鎖項目

包含租用戶允許/封鎖清單中封鎖項目 URL 的電子郵件訊息，會以高信賴度網路釣魚的形式遭到封鎖。 包含被封鎖網址的訊息會被隔離。

要建立 URL 的封鎖條目，請使用以下任一方法：

使用 Microsoft Defender 入口網站，為租戶允許/封鎖清單中的 URL 建立封鎖條目

請執行以下步驟，在 Microsoft Defender 入口網站建立 URL 的封鎖條目。

  1. 在 Microsoft Defender 入口網站 https://security.microsoft.com 中，移至 Email & 協作>原則與規則>威脅原則>規則 區段中的 >租用戶允許/封鎖清單。 或者，要直接進入 租戶允許/封鎖名單 頁面，請使用 https://security.microsoft.com/tenantAllowBlockList。

  2. 在 租戶允許/封鎖名單 頁面，選擇 網址標籤 。

  3. 在 網址 標籤中，選擇 新增，然後選擇 封鎖。

  4. 在開啟的 「封鎖網址」 飛出視窗中，請設定以下設定：

    • 新增萬用字碼網址：每行輸入一個網址，最多可輸入20個。 關於 URL 條目的語法細節，請參見 租戶允許/封鎖清單的 URL 語法。

    • 移除區塊條目後：從以下數值中選擇：

      • 永不過期
      • 1 天
      • 7 天
      • 30天 (預設)
      • 具體日期：最高價值為從今天起90天內。

    • 備註：請輸入說明你封鎖網址的原因。

    當你在 「封鎖 URLS 」跳出視窗完成後，選擇 新增。

回到 網址 標籤，該條目已被列出。

使用 PowerShell 為租戶允許/封鎖清單中的 URL 建立封鎖條目

在 Exchange Online PowerShell 中，請使用以下語法為租戶允許/封鎖清單中帶有有效期限或無有效期限的 URL 建立封鎖條目：

New-TenantAllowBlockListItems -ListType Url -Block -Entries "Value1","Value2",..."ValueN" <-ExpirationDate <Date> | -NoExpiration> [-Notes <String>]

此範例會為 URL contoso.com 及其所有子網域新增封鎖項目（例如 contoso.com 和 xyz.abc.contoso.com）。 因為我們沒有使用「到期日」或「無到期日」的參數，條目會在 30 天後失效。

New-TenantAllowBlockListItems -ListType Url -Block -Entries *contoso.com

如需詳細語法與參數資訊，請參閱 New-TenantAllowBlockListItems。

使用 Microsoft Defender 入口網站查看租戶允許/封鎖清單中的 URL 條目

在 Microsoft Defender 入口網站中的https://security.microsoft.com，前往Email & 共同作業>原則與規則>威脅原則>租用戶允許/封鎖清單（位於規則區段中）。 或者，要直接進入 租戶允許/封鎖名單 頁面，請使用 https://security.microsoft.com/tenantAllowBlockList。

選擇 網址 標籤。

在 網址 標籤中，你可以點擊可用的欄位標頭來排序條目。 以下欄位可供參考：

  • 價值：網址。
  • 行動：可用的數值為 允許 或 封鎖。
  • 覆寫判決：可用的數值為：
    • 最高至惡意程式碼適用於封鎖項目。
    • 最高至一般信賴度網路釣魚適用於直接從租用戶允許/封鎖清單建立的允許項目。
    • 最高至惡意程式碼適用於透過提交項目建立的允許項目。 透過提交項目建立的允許項目，會自動更新直接建立的允許項目。
  • 修改者
  • 上次更新
  • 最後使用日期：該條目最後一次在篩選系統中被用來覆寫判決的日期。
  • 移除日期：到期日。
  • 附註

要篩選條目，請選擇篩選。 以下篩選器可在開啟的 篩選 器飛出視窗中提供：

  • 動作：可用的數值為 允許 與 封鎖。
  • 永不過期： 或
  • 最後更新：選擇 「開始日期」 和 「結束日期」。
  • 最後使用日期：選取 開始 和 結束 日期。
  • 移除日期：選取從和到日期。
  • 修改者：提供不完整或完整的電子郵件地址以進行搜尋。

在 篩選 彈出式窗格中完成操作後，選取 套用。 要清除篩選條件，請選擇 清除篩選器。

使用 搜尋 框及相應的數值來尋找特定條目。

要將這些條目分組，請選擇 「群組 」，然後選擇 「動作」。 要將這些條目解組，請選擇「無」。

使用 PowerShell 查看租戶允許/封鎖清單中的 URL 條目

在 Exchange Online PowerShell 中，請使用以下語法從租戶允許/封鎖清單中擷取 URL 條目，並可依動作、URL 值或到期日進行篩選：

Get-TenantAllowBlockListItems -ListType Url [-Allow] [-Block] [-Entry <URLValue>] [<-ExpirationDate <Date> | -NoExpiration>]

此範例回傳所有允許與被封鎖的網址。

Get-TenantAllowBlockListItems -ListType Url

此範例依據被封鎖的網址來篩選結果。

Get-TenantAllowBlockListItems -ListType Url -Block

如需詳細語法與參數資訊，請參見 Get-TenantAllowBlockListItems。

請使用 Microsoft Defender 入口網站修改租戶允許/封鎖清單中 URL 的條目

在現有的網址條目中，你可以更改到期日並備註。

  1. 在 Microsoft Defender 入口網站 https://security.microsoft.com 中，移至 Email & 協作>原則與規則>威脅原則>規則 區段中的 >租用戶允許/封鎖清單。 或者，要直接進入 租戶允許/封鎖名單 頁面，請使用 https://security.microsoft.com/tenantAllowBlockList。

  2. 選擇 網址 標籤

  3. 在 URLs 索引標籤上，勾選第一欄旁的核取方塊，從清單中選取該項目，然後選取隨即出現的 編輯 動作。

  4. 在開啟的 編輯網址 飛出中，有以下設定可供選擇：

    • 區塊條目：
      • 移除區塊條目後：從以下數值中選擇：
        • 1 天
        • 7 天
        • 30 天
        • 永不過期
        • 具體日期：最高價值為從今天起90天內。
      • 備註
    • 允許入場：
      • 於下列時間後移除允許進入：從下列值中選取：
        • 1 天
        • 7 天
        • 30 天
        • 最後使用日期後45天
        • 具體日期：最高價值為自今日起30天。
      • 備註

    當你在 編輯網址 的飛出視窗完成後，選擇 儲存。

提示

在網址分頁中某個條目的詳細資料彈出窗內，使用彈出窗頂端的檢視提交，即可前往提交頁面上對應條目的詳細資料。 如果是由提交項目建立租用戶允許/封鎖清單中的項目，則可使用此動作。

使用 PowerShell 修改租戶允許/封鎖清單中 URL 的條目

在 Exchange Online PowerShell 中，請使用以下語法修改租戶允許/封鎖清單中的現有 URL 項目（例如更改到期日或備註）：

Set-TenantAllowBlockListItems -ListType Url <-Ids <Identity value> | -Entries <Value>> [<-ExpirationDate Date | -NoExpiration>] [-Notes <String>]

此範例會改變指定 URL 封鎖條目的到期日。

Set-TenantAllowBlockListItems -ListType Url -Entries "~contoso.com" -ExpirationDate "9/1/2022"

欲了解詳細語法與參數資訊，請參閱 Set-TenantAllowBlockListItems。

使用 Microsoft Defender 入口網站，將 URL 從租戶允許/封鎖名單中移除

  1. 在 Microsoft Defender 入口網站 https://security.microsoft.com 中，移至 Email & 協作>原則與規則>威脅原則>規則 區段中的 >租用戶允許/封鎖清單。 或者，要直接進入 租戶允許/封鎖名單 頁面，請使用 https://security.microsoft.com/tenantAllowBlockList。

  2. 選擇 網址 標籤。

  3. 在 網址 標籤中，請執行以下步驟之一：

    • 選取第一欄旁的核取方塊，從清單中選取該項目，然後選取隨即顯示的刪除動作。

    • 點擊清單中除勾選框外的任意位置即可選擇該條目。 在開啟的詳細資料浮出視窗中，選取位於浮出視窗頂端的刪除。

      提示

      若要在不離開詳細資料飛出窗格的情況下查看其他條目的詳細資料，請使用飛出窗格頂端的上一項目和下一項目。

  4. 在開啟的警告對話框中，選擇 刪除。

回到 網址 標籤，該條目已不再列出。

提示

你可以選擇每個勾選方塊來選擇多個項目，或是選擇 Value 欄標題旁的勾選框來選擇所有項目。

使用 PowerShell 從租戶允許/封鎖清單中移除 URL 的條目

在 Exchange Online PowerShell 中，請使用以下語法依條目 ID 或 URL 值從租戶允許/封鎖清單中移除 URL 項目：

Remove-TenantAllowBlockListItems -ListType Url <-Ids <Identity value> | -Entries <Value>>

此範例將該 URL 的封鎖條目從租戶允許/封鎖清單中移除。

Remove-TenantAllowBlockListItems -ListType Url -Entries "*cohovineyard.com

如需詳細語法與參數資訊，請參閱 Remove-TenantAllowBlockListItems。

租戶允許/封鎖清單的網址語法

  • IPv4 和 IPv6 位址是被允許的，但 TCP/UDP 埠口不行。

  • 不允許使用檔案副檔名（例如：test.pdf）。

  • Unicode 不被支援。 Punycode 只允許在一般 ASCII 頂級域之前的主機名稱標籤中使用。

  • 若以下所有陳述皆為真，則允許使用主機名稱：

    • 主機名稱包含句點。
    • 句點左側至少要有一個字元。
    • 句點右側至少要有兩個字元。

    例如， t.co 是允許的; .com 或 contoso. 是不允許。

  • 允許項目不會隱含子路徑。

    例如， contoso.com 不包含 contoso.com/a。

  • 在以下情境下允許使用萬用牌 (*) ：

    • 若要指定子網域，左側萬用字元後面必須接句點。 (僅適用於區塊條目)

      例如， *.contoso.com 是允許的; *contoso.com 是不允許的。

    • 若要指定路徑，右側萬用字元必須接在正斜線 (/) 之後。

      例如， contoso.com/* 是允許的; contoso.com* 或 contoso.com/ab* 是不允許。

    • *.com* 無效（不是可解析的網域，且右側的萬用字元未緊接在正斜線後面）。

    • IP 位址中不允許使用萬用字元。

  • 波狀符號 (~) 字元可用於下列案例：

    • 左波浪符號表示一個網域及其所有子網域。

      例如， ~contoso.com 包含 contoso.com 和 *.contoso.com。

  • 使用者名稱或密碼不被支援或強制要求。

  • 引號 (」或「) 是無效字元。

  • 網址應盡可能包含所有重定向。

URL 輸入情境

以下情境描述有效的 URL 條目及其在允許與阻擋動作中的匹配結果。

情境：頂層網域封鎖

條目： *.<TLD>/*

  • 方塊賽：
    • a.TLD
    • TLD/abcd
    • b.abcd.TLD
    • TLD/contoso.com
    • TLD/q=contoso.com
    • www.abcd.com\xyz.TLD
    • www.abcd.com\xyz.TLD?q=1234
    • www.abcd.TLD
    • www.abcd.TLD/q=a@contoso.com

案例：無萬用字元

條目： contoso.com

  • 允許配對：contoso.com

  • 允許不相符：

    • abc-contoso.com
    • contoso.com/a
    • abc.xyz.contoso.com/a/b/c
    • payroll.contoso.com
    • fabrikam.com.com/contoso.com
    • fabirkam.com/q=contoso.com
    • www.contoso.com
    • www.contoso.com/q=a@contoso.com

  • 方塊賽：

    • contoso.com
    • contoso.com/a
    • abc.xyz.contoso.com/a/b/c
    • payroll.contoso.com
    • fabrikam.com/contoso.com
    • fabrikam.com/q=contoso.com
    • www.contoso.com
    • www.contoso.com/q=a@contoso.com

  • 方塊未匹配： abc-contoso.com

案例：左側萬用字元 (子網域)

提示

只有進階傳遞原則設定支援此模式的允許項目。

條目： *.contoso.com

  • 允許配對 與 阻擋配對：

    • www.contoso.com
    • xyz.abc.contoso.com

  • 允許未比對項目 與 封鎖未比對項目：

    • 123contoso.com
    • contoso.com
    • fabrikam.com/contoso.com
    • www.contoso.com/abc

案例：路徑最上層的右側萬用字元

條目： contoso.com/a/*

  • 允許配對 與 阻擋配對：

    • contoso.com/a/b
    • contoso.com/a/b/c
    • contoso.com/a/?q=joe@t.com

  • 允許未比對項目 與 封鎖未比對項目：

    • contoso.com
    • contoso.com/a
    • www.contoso.com
    • www.contoso.com/q=a@contoso.com

案例：左側波狀符號

提示

只有進階傳遞原則設定支援此模式的允許項目。

條目： ~contoso.com

  • 允許配對 與 阻擋配對：

    • contoso.com
    • www.contoso.com
    • xyz.abc.contoso.com

  • 允許未比對項目 與 封鎖未比對項目：

    • 123contoso.com
    • contoso.com/abc
    • www.contoso.com/abc

案例：右側萬用字元後置字元

條目： contoso.com/*

  • 允許配對 與 阻擋配對：

    • contoso.com/?q=whatever@fabrikam.com
    • contoso.com/a
    • contoso.com/a/b/c
    • contoso.com/ab
    • contoso.com/b
    • contoso.com/b/a/c
    • contoso.com/ba

  • 允許不相符與封鎖不相符：contoso.com

案例：左側萬用字元子網域與右側萬用字元後置字元

提示

只有進階傳遞原則設定支援此模式的允許項目。

條目： *.contoso.com/*

  • 允許配對 與 阻擋配對：

    • abc.contoso.com/ab
    • abc.xyz.contoso.com/a/b/c
    • www.contoso.com/a
    • www.contoso.com/b/a/c
    • xyz.contoso.com/ba

  • 允許不相符與封鎖不相符：contoso.com/b

案例：左側與右側波狀符號

提示

只有進階傳遞原則設定支援此模式的允許項目。

條目： ~contoso.com~

  • 允許配對 與 阻擋配對：

    • contoso.com
    • contoso.com/a
    • www.contoso.com
    • www.contoso.com/b
    • xyz.abc.contoso.com
    • abc.xyz.contoso.com/a/b/c
    • contoso.com/b/a/c
    • fabrikam.com/contoso.com

  • 允許未比對項目 與 封鎖未比對項目：

    • 123contoso.com
    • contoso.org
    • fabrikam.com/q=contoso.com

情境：IP 位址

條目： 1.2.3.4

  • 允許配對 與 阻擋配對： 1.2.3.4

  • 允許未比對項目 與 封鎖未比對項目：

    • 1.2.3.4/a
    • 11.2.3.4/a

含有右側萬用字元的 IP 位址

條目： 1.2.3.4/*

  • 允許配對 與 阻擋配對：
    • 1.2.3.4/b
    • 1.2.3.4/baaaa

無效條目的範例

以下條目無效：

  • 缺少或無效的網域值：

    • contoso
    • *.contoso.*
    • *.com
    • *.pdf

  • 文字上的萬用字元或不含分隔字元：

    • *contoso.com
    • contoso.com*
    • *1.2.3.4
    • 1.2.3.4*
    • contoso.com/a*
    • contoso.com/ab*

  • 帶有埠口的 IP 位址：

    • contoso.com:443
    • abc.contoso.com:25

  • 非描述性的萬用字元：

    • *
    • *.*

  • 中間萬用字元：

    • conto\*so.com
    • conto~so.com

  • 雙萬用字元

    • contoso.com/**
    • contoso.com/*/*
  • 上次更新時間：