「設定して放置」が失敗する理由: Microsoft Defender を生きたシステムとして扱う

By Mirko Peters · 2026-08-11

ポッドキャストと、クラウド環境のセキュリティを掘り下げる連載へようこそ。Microsoft 365 のセキュリティを有効にしているのに、巧妙なフィッシングメールがユーザーの受信トレイに届いてしまい、背筋が寒くなった経験がある方は少なくないはずです。

Automatically translated with AI from the original post. Read the English original

Titelbild: Why 'Set-and-Forget' Fails: Treating Microsoft Defender as a Living System

ポッドキャストと、クラウド環境のセキュリティを掘り下げる連載へようこそ。Microsoft 365 のセキュリティを有効にしているのに、巧妙なフィッシングメールがユーザーの受信トレイに届いてしまい、背筋が寒くなった経験がある方は、決して少なくないはずです。多くの組織では、Microsoft Defender for Office 365 を単なるチェックボックス作業として扱っています。機能をオンにし、設定は既定値のままにして、あとはクラウド事業者が裏側ですべて対応してくれていると考えてしまうのです。しかし残念ながら、この「設定して放置」という考え方こそ、現代の攻撃者が防御をすり抜けるために頼りにしているものなのです。

Microsoft 365 の既定のセキュリティ設定は、あくまで出発点にすぎず、完全な防御ではありません。進化を続けるフィッシング攻撃、ビジネスメール詐欺、悪意のある添付ファイルから組織を本当に守るには、継続的なチューニング、定期的な見直し、そして実効性のあるフィードバックのループが必要です。これらの考え方をさらに詳しく知り、環境のチューニングについて踏み込んだ議論を聞きたい方は、関連エピソードのTune Microsoft Defender for Office 365 Against Phishingもぜひお聴きください。この投稿では、セキュリティのパイプラインが実際にどのように動作しているかを分解し、見落とされがちな設定上の落とし穴を明らかにします。さらに、業務を妨げることなく防御を強化するための実践的な設計図もご紹介します。

本記事で学べること

Safe Links、Safe Attachments、フィッシング対策の機械学習、トランスポートルールが、メール配信パイプライン内でどのように連携しているのか。
標的型フィッシングキャンペーンが依然として防御をすり抜けてしまう、隙間や死角。
管理者が陥りがちな代表的な設定の落とし穴と、それを積極的に回避する方法。
通常のメール業務を妨げることなく Defender の効果を高めるための、ステップバイステップの設計図。

パイプラインの内側: メッセージが防がれる場所と、すり抜ける場所

なぜ既定の設定では不十分なのかを理解するには、まず Microsoft Defender が受信メールをどのように処理しているのか、内部の仕組みを確認する必要があります。Defender は単一の関門ではなく、多層的なセキュリティパイプラインです。これらの各レイヤーが互いに連携するように構成されておらず、適切にチューニングされていなければ、メッセージはその隙間をそのまま通り抜けてしまいます。

Safe Links: 受信メール内の URL を書き換え、メール配信後の数日後であっても、クリックされた時点で URL を検査します。ただし、適用範囲を誤ったポリシーや過度に厳格なブロックは、マーケティングチームやアンケートサービスで使われている正当なリンクを簡単に壊してしまいます。その結果、制限を完全に緩めるよう社内から強い圧力がかかることになりがちです。
Safe Attachments (ATP): この機能は、ファイルをユーザーに届く前に安全なクラウドのサンドボックスで実行して検査します。これがブロックや動的配信ではなく監視モードに設定されている場合、脅威は停止されずに記録されるだけになります。つまり、ユーザーは悪意のあるペイロードを受け取る一方で、セキュリティチームは事後にアラートを受け取るだけになってしまいます。
Anti-Phishing: 高度な機械学習と、なりすまし防止機能を組み合わせたこのレイヤーは、表示名のなりすまし、類似ドメイン、通常と異なる送信者の振る舞いから保護します。しきい値の調整が不適切だと、正当な社外パートナーに対して煩わしい誤検知が発生するか、経営幹部などの重要な対象へのなりすましを見逃すかのどちらかになりかねません。
トランスポートルール: メールフロールールには、保護を丸ごと迂回させたり、メッセージを誤って二重にフィルタリングしたりする危険な力があります。トランスポートルールでパートナーのドメイン全体をホワイトリストに登録すると、攻撃者が喜んで悪用する大きな死角が生まれることがよくあります。

避けるべき設定の落とし穴

多くの組織は、よくある設定の落とし穴に陥ることで、知らないうちに自らのセキュリティ態勢を損なっています。こうした落とし穴を認識することが、回復力のあるメール防御アーキテクチャを構築する第一歩です。

全社一律の画一的なポリシー: 財務チームや経営陣は、マーケティング部門や一般社員とは異なるリスクプロファイルを持っています。ロールベースのポリシーを使用しないと、最も狙われやすい重要な対象の保護が手薄になってしまいます。
監視のみに設定された Safe Attachments: アラートは発生するかもしれませんが、ユーザーには危険なペイロードがそのまま届いてしまいます。動的配信と厳格なブロックのポリシーへ移行する必要があります。
トランスポートルールの許可リスト: ドメイン全体に対して Defender を丸ごとバイパスするのは避けてください。代わりに、スキャンエンジンを有効にしたまま、信頼できる送信者の仕組みを使用してください。
調整されていないなりすまし対策: 経営陣、経理チーム、買掛金担当者を表示名やドメインのなりすましから積極的に保護していない場合、送金詐欺を狙ったフィッシングを自ら招いているのと同じです。
既定値のまま放置: 機械学習モデルには、人によるフィードバックの循環と定期的なしきい値の調整が必要です。初期状態の既定値は、あくまで出発点にすぎません。
フィードバックやレビューの周期がない: 誤検知や検知漏れが一度も修正されなければ、モデルは徐々にずれていき、ユーザーはすぐにセキュリティツールを信頼しなくなります。

実践的な設計図（階層化されたビジネス対応型）

安全な環境を構築するには、強力な保護と業務の生産性のバランスを取る戦略的なアプローチが必要です。ここでは、階層化されビジネスを考慮したセキュリティ体制の構築方法を紹介します。

1) リスクグループ別のポリシー設計

経理・経営陣:

Safe Links: 有効化し、クリック時検証、未知のリンクのブロック、Office アプリおよび Microsoft Teams 全体でのリアルタイムスキャンを有効にします。
Safe Attachments: 動的配信と Block を組み合わせて構成します。
Anti-Phishing: 保護レベルを高に設定し、VIP、社内ドメイン、既知の取引先に似たドメインに対して厳格ななりすまし対策を適用します。

一般スタッフ:

Safe Links: 有効化し、URL の書き換えを維持したうえで、正当なものが誤検知された場合に送信と報告を行える明確な流れを用意します。
Safe Attachments: 動的配信と Block を組み合わせます。
Anti-Phishing: 標準の保護を適用し、ユーザーによる継続的な報告とセキュリティ意識向上のトレーニングを組み合わせます。

リンクを多用するマーケティング／運用業務:

Safe Links: 有効化し、検証済みのプラットフォームに対してのみ慎重に調整した例外を設定します。組織全体を対象とするバイパスは避けてください。
Safe Attachments: 動的配信を適用します。
共有メールボックスまたは SecOps キューを通じて、ブロックされたキャンペーンリンクを迅速かつ体系的に確認できる経路を用意します。

2) 観察するだけでなく、確実に適用する

受動的な監視から積極的な適用へ体制を移行してください。動的配信を利用して Safe Attachments を Block または Replace に設定します。Anti-Phishing ポリシーでは、確度の高いフィッシングは直接隔離に送り、確度が中程度の脅威は迷惑メールフォルダーへ移動させ、確度の低いものだけをセキュリティタグ付きで配信します。

3) バイパス経路を保護する

テナント内のすべてのトランスポートルールを監査し、スパム、マルウェア、フィッシングのフィルターを回避する条件がないか確認してください。ドメイン全体を対象とする広範なバイパスルールは、適切な範囲に限定した信頼できる送信者に置き換え、バックグラウンドスキャンが有効なままであることを確認します。さらに、外部アドレスへの自動電子メール転送に対しても厳格な管理を維持してください。

4) フィードバックの循環と監視

定期的な運用サイクルを確立してください。毎週、隔離ログ、誤検知および検知漏れの報告、Threat Explorer のデータ、メッセージトレースを確認します。ユーザーには Report Message アドインを積極的に使用するよう教育し、セキュリティオペレーションセンターがそれらの報告を許可リストとブロックリストに反映して、機械学習モデルを学習させられるようにします。

5) インシデント対応の型を身につける

フィッシングメッセージが受信トレイに届いてしまうことは避けられないため、チームは迅速かつ正確に行動する必要があります。Threat Explorer を使って組織全体で類似のメールを検索し、一括削除を実行します。リンクがクリックされていた場合は資格情報を強制的にリセットし、OAuth アプリケーションの同意を確認して、問題のあるドメインをアクティブなウォッチリストに追加してください。

クイック構成チェックリスト

監査作業を締めくくる前に、このクイックチェックリストを使用して、Microsoft Defender for Office 365 環境が適切に強化されているか確認してください。

メール、Office アプリ、Teams で Safe Links が有効になっており、クリック時保護が有効になっている。
Safe Attachments が動的配信と Block/Replace に設定されている（監視モードは使用していない）。
Anti-Phishing で、VIP、経理、買掛金担当、社内ドメインに対するなりすまし対策が構成されている。
ドメイン全体を対象とするトランスポートルールのバイパスがゼロで、範囲を限定した信頼できる送信者とアクティブなスキャンに置き換えられている。
経営陣、経理、一般スタッフ、マーケティングごとに、異なるリスクしきい値を持つロールベースのポリシーが設定されている。
ユーザー報告アドインがエンドポイントに展開されており、継続的に監視されている。
Threat Explorer、Quarantine、誤検知/検知漏れ（False Positives/Negatives）、Message Trace について、週次レビューのサイクルを設定しました。
メールボックス内のフィッシング対策、パージ、ベンダーなりすまし対応のための運用手順書を作成し、テスト済みです。

Microsoft Defender を静的なチェックリストではなく、継続的に手を入れ続けるリビングシステムとして扱うことで、セキュリティ体制は受動的なものから能動的なものへと変わります。これらの戦略をさらに深く掘り下げたい方は、Tune Microsoft Defender for Office 365 Against Phishing にアクセスして、ポッドキャストの完全版のディスカッションをお聴きください。引き続きセキュリティを維持し、ポリシーの調整を続けてください。次のエピソードでお会いしましょう。