最近の攻撃者は、ウイルスやマルウェアで組織に侵入するために、さまざまな経路を使っています。Microsoft Exchange には Exchange Online Advanced Threat Protection (ATP) というプレミアムサービスがあり、メールやドキュメントに追加のセキュリティ層をもたらす 5 つの明確な機能を提供します。
- Safe Links
- 安全な添付ファイル
- なりすましインテリジェンス
- クォarantine（隔離）
- 高度なフィッシング対策機能
このブログ記事では、これらの機能のうち最初の3つについて説明します。
厳選した関連コンテンツ：
可用性
ATP は、Office 365 Enterprise E5、Office 365 Education A5、または Microsoft 365 Business プランのライセンスを取得しているユーザーにのみ含まれます。これらのプランのいずれかに全員をアップグレードしたくない場合は、ATP をアドオン ライセンスとして、ユーザーあたり月額 2 米ドル（US$2）で購入できます。ATP は、次の Exchange および Office 365 のサブスクリプション プランに追加できます：
- Exchange Online Plan 1
- Exchange Online Plan 2
- Exchange Online キオスク
- Exchange Online Protection
- Office 365 Business Essentials
- Office 365 Business Premium
- Office 365 Enterprise E1
- Office 365 Enterprise E3
- Office 365 Enterprise F1
- Office 365 A1
- Office 365 A3
要件
ATPは、Microsoft Exchange Server 2013 など、あらゆる SMTP メール転送エージェントで使用できます。詳細については、Exchange Admin Center の Exchange Online Protectionにある「Supported browsers」および「Supported languages」のセクションを確認してください。
Safe Links
ATPのSafe Links機能は、電子メールとOfficeドキュメントの両方に含まれる悪意のあるリンクをリアルタイムで防御します。これは、従来のエッジ保護およびWeb保護ファイアウォールの統合脅威管理に似ています。そこでは、ユーザーがクリックしたURLがファイアウォールによってインターセプトされ、コンテンツがネットワークに到達する前にスキャンと衛生（hygiene）処理が行われます。Safe Linksでは、組織に出入りするメールはExchange Online Protection (EOP) を通過し、EOPは既知のスパムやフィッシング メッセージをフィルタリングするとともに、さまざまなアンチマルウェア検知エンジンで各メッセージをスキャンします。
ユーザーが受信トレイに届いたメッセージ内のリンクをクリックすると、ATPサービスがリンクを確認し、次のいずれかを実行します。
- ATPサービスがそのURLを安全と判断した場合は、開くことが許可されます。
- URL が組織の「do not rewrite（書き換えない）」リストに含まれている場合、ユーザーがリンクをクリックすると、Web サイトはそのまま開きます。「do not rewrite」リストは、URL に基づいて特定のアクションを行う社内システムや業務アプリに適しています。たとえば、1 回のクリックで経費精算レポートの承認を行うようなケースです。
- URL が、組織が設定したカスタムのブロック リストに含まれている場合、ユーザーに警告ページが表示されます。
- ATP サービスによって当該 URL が悪意のあるものだと判断された場合、ユーザーに警告ページが表示されます。
- URL がダウンロード可能なファイルを指しており、組織の ATP Safe Links ポリシーでそのようなコンテンツをスキャンするように設定されている場合、ATP サービスはダウンロードの前にファイルをスキャンします。
Safe Links ポリシーを変更するには、次の手順を実行します。
- 次の場所へ移動します: https://protection.office.com 。[脅威管理] の下で、 Policy を選択し、次に Safe Links をクリックします。
- 「組織全体に適用されるポリシー」セクションで Default を選択し、鉛筆ボタンをクリックしてポリシー設定を編集します。
- 「次の URL をブロック」セクションで、組織の誰もアクセスできるべきではないサイトを追加できます。（これは、Web ブラウザーのアドレス バーにそのアドレスを直接入力してアクセスすることは防ぎませんが、電子メールやドキュメント内のリンクをクリックしてアクセスすることは防ぎます。）
- 「電子メール以外のコンテンツに適用される設定」セクションでは、すべての項目をオンのままにします。
- Save をクリックします。
ユーザーが電子メールまたは Office ドキュメント内のリンクをクリックすると、次のようなメッセージが表示されます。
図 1. Safe Links がリンクをスキャンしていることをユーザーに通知する方法
安全な添付ファイル
スキャンエンジンは、未知のマルウェアやウイルスが最初に流行し始めた時点では、まだ分類されておらず、シグネチャが更新されていないため、見逃してしまうことがあります。Safe Attachments では、危険な添付ファイル（既知のシグネチャと一致しないもの）が含まれるメッセージを、サンドボックス化された仮想環境に送信し、そこで安全に開封します。サービスが、ウイルスやマルウェアが実行を試みるなどの疑わしい挙動を検知した場合、そのメッセージは拒否されるか隔離されます。疑わしい挙動が検知されなければ、メッセージはユーザーに解放（配信）されます。
図 2. ATP safe attachments サービスで添付ファイルをスキャンする
Safe Attachments のポリシーを設定するには、次の手順を実行してください。
- 次のサイトへ移動します：https://protection.office.com。左側のペインで「Threat management」の下にある Policy を選択し、次に Safe Attachments をクリックします。「Turn on ATP for SharePoint, OneDrive, and Microsoft Teams」というオプションが表示された場合は、必ずそれを有効にしてください。 （Microsoft のすべてのグローバルな Office 365 データセンターに反映されるまで、少なくとも 30 分ほど待つことをおすすめします。）
- + をクリックして 新しい Safe Attachment Policy を作成し、その後ポリシーの名前と説明を入力します。下の表には、利用可能な設定が説明されています。ほとんどの受信者には動的配信(dynamic delivery)をおすすめします。最も安全で、メール本文の配信が遅れることはなく、常にコンピューターの前にいないユーザーに対してもほぼ見えない形で動作します。
図 3. Safe Attachments ポリシー オプション（画像提供：Microsoft Corporation）
スプーフィング インテリジェンス
スプーフィング インテリジェンス（Spoof intelligence）は、組織のドメインのいずれかに存在するユーザーアカウントから送信されたように見えるメールを検出します。具体的には、From アドレス（またはメッセージのヘッダー内の sender フィールド）が、Office 365 テナントで構成されているドメインのいずれかと一致するメールを検出します。これらのメッセージが正当な場合もあります。たとえば、Aweber や Mailchimp のような別サービスからマーケティングニュースレターを送信することがあるかもしれません。または、複合機やスキャナーがテナントにメールを送信し、その中に「From」アドレスがテナント側のものとして含まれている場合もあります。 しかし別のケースでは、誰かが社内ユーザーをなりすまして、人々をだまして、偽の請求書の支払いのために小切手を送らせたり、海外送金（電信送金）を開始させたりするなどの行為を目的としていることがあります。
Spoof intelligence は、メール フロー内で検出した疑わしい送信者をすべて収集し、便利な 1 か所にまとめて表示します。ここで、テナントにメールを送信することを許可する送信者と、ブロックすべき送信者を決めることができます。この一覧を確認するには、Security and Compliance ページに移動して次をクリックします。 Anti-spam settings。
結論
ATP はすべての悪意ある攻撃を阻止できるわけではありませんが、未知のマルウェアやウイルスに対して堅牢なゼロデイ保護を提供する優れたツールです。機密データを保護するのに役立つ他の Office 365 サービスについて学ぶ準備ができているなら、この Managing Office 365 Data Loss Prevention のブログ記事をご覧ください。
よくある質問（FAQ）
Microsoft Defender for Office 365 とは？
Microsoft Defender for Office 365（旧称 Advanced Threat Protection）は、ゼロデイのマルウェア、フィッシング、ビジネスメール侵害（BEC）などの高度な脅威から保護するクラウドベースのメールセキュリティ サービスです。Safe Attachments、Safe Links、脅威調査機能などの高度な機能により、Exchange Online Protection を拡張します。Safe Attachments はメール添付ファイルを仮想環境で開き、配信前に悪意のある挙動を検知します。Safe Links は、ユーザーがクリックした際に URL を書き換えて、Microsoft の脅威インテリジェンス データベースと照合します。このサービスはさらに、スプーフィング インテリジェンス、なりすまし防止、および詳細な脅威分析も提供します。Plan 1 はメール保護をカバーし、Plan 2 では脅威ハンティング、自動調査、対応機能が追加されます。攻撃者は「侵入」するのではなく「ログイン」してくるという現実に対応するため、組織のデータとアイデンティティを守るうえでメールセキュリティは非常に重要です。
Exchange Online Protection を設定するには？
Exchange Online Protection を構成するには、Microsoft 365 セキュリティ センターへの管理者アクセス権と適切なライセンスが必要です。まずは protection.office.com で Security & Compliance Center にアクセスし、Threat Management のポリシーへ移動してください。スパムの信頼度レベル、隔離（quarantine）アクション、許可/ブロックする送信者リストを設定するために、アンチスパム ポリシーを構成します。添付ファイルのフィルタリング、マルウェア検知時の対応、管理者通知を定義するために、アンチマルウェア ポリシーを設定してください。外部メールの警告や添付ファイルのブロックなど、特定のシナリオを処理するためのメール フロー ルールを作成します。接続フィルタリングを構成して、特定の IP アドレスを許可またはブロックし、ディレクトリベースのエッジ ブロックを有効化します。Microsoft の標準のポリシー テスターを使って構成をテストし、脅威防止ステータスのダッシュボードを監視してください。隔離されたメッセージに対するユーザー通知を設定し、ユーザーが隔離内容を確認できるよう教育することも忘れないでください。定期的なポリシー見直しにより、保護が進化する脅威に追随できる状態を維持できます。
Microsoft Defender for Office 365 を有効にするには？
Microsoft 365 のセキュリティ センターを通じて、Microsoft Defender for Office 365 を有効にするには、適切なライセンスと構成が必要です。まず、Microsoft 365 管理センターでユーザーに Defender for Office 365 のライセンスが割り当てられていることを確認します。security.microsoft.com でセキュリティ センターにアクセスし、[Email & Collaboration] ポリシーに移動してください。保護するユーザーを定義し、添付ファイルのスキャン アクション（ブロック、置換、または動的配信）とタイムアウト設定を指定して、Safe Attachments ポリシーを作成します。メールと Office ドキュメント内の悪意のある URL から保護するために Safe Links ポリシーを構成し、リアルタイムの URL スキャンとユーザーのクリック保護を有効にします。ドメインやユーザーになりすます試み（impersonation）を検出するために、なりすまし防止ポリシー（impersonation protection）を設定します。なりすまし送信者から保護するために、spoof intelligence を有効化します。構成アナライザー（configuration analyzer）を使用してポリシーをテストし、Microsoft の攻撃シミュレーション トレーニングで攻撃をシミュレートします。脅威防止のステータス レポート（threat protection status reports）で防護の有効性を監視し、組織の要件や脅威の状況の変化に応じてポリシーを調整してください。
Exchange Online Protection は Office 365 に含まれていますか？
Exchange Online Protection（EOP）は、追加料金なしで、すべての Exchange Online サブスクリプションおよび大半の Microsoft 365 プランに自動的に含まれます。このベースラインの保護により、すべてのメール トラフィックに対して迷惑メール（anti-spam）およびマルウェア（anti-malware）のフィルタリングが提供されます。ただし EOP は、先進機能に対して別途ライセンスが必要な Microsoft Defender for Office 365 と比べると、提供される保護は基本的です。EOP には、接続フィルタリング、受信者フィルタリング、送信者ポリシー フレームワーク（sender policy framework）の検証、および基本的な anti-phishing（フィッシング対策）が含まれます。EOP には、Defender for Office 365 にある Safe Attachments、Safe Links、または高度な脅威ハンティング機能は含まれていません。標準的なセキュリティ要件の組織では EOP で十分であることが多い一方、高度な脅威に直面している、またはコンプライアンス機能が必要な組織では Defender for Office 365 の高度な機能が必要です。この違いを理解することで、不要なライセンスを過剰に購入せずに、適切な保護レベルを選択できます。
Safe Attachments が機能しない場合のトラブルシューティング方法は？
Safe Attachments のトラブルシューティングには、ポリシー設定、ユーザーのライセンス、メール フローを体系的に確認する必要があります。まず、影響を受けているユーザーに Defender for Office 365 のライセンスが割り当てられており、ポリシーが正しく適用されていることを確認してください。セキュリティ センターで Safe Attachments のポリシー設定を確認し、正しいアクションが設定されていることを確かめます（ブロック、置換、または動的配信）。添付ファイルの種類がスキャン対象から除外されていないこと、またファイル サイズ制限を超えていないことを確認してください。メッセージ ヘッダーの X-MS-Exchange-Organization-SkipSafeAttachmentProcessing を確認して、バイパスされたメッセージを特定します。トランスポート ルールやその他のメール フロー ルールが Safe Attachments の処理に干渉していないか確認してください。添付ファイルが処理されていることを確認するため、脅威防止のステータス レポートを監視します。問題が継続する場合は、メッセージ トレースを使用して、保護パイプラインを通過する特定のメールを追跡してください。Safe Attachments は処理時間を追加するため、動的配信を使うことでセキュリティとユーザー体験のバランスを取るのに役立ちます。既知の悪意のあるファイルでテストし、保護が正しく機能していることを確認してください。
共有する
もっと詳しく
著者について
Jonathan Hassell
コンサルタント
幅広い IT トピックに関する著者、コンサルタント、講演者。Jonathan は Windows Server および関連製品に関する書籍を執筆しており、ネットワーキングやセキュリティから Windows の管理まで、さまざまなテーマについて世界各地で講演を行っています。