Microsoft メッセージングは安全に見えても、実は安全ではないとき ― Thomas Stensitzki [MVP] と語る Exchange Server、ハイブリッド、Microsoft 365 のセキュリティ

Microsoft Exchange と Microsoft 365 では強力なメッセージング環境を構築できますが、メールをクラウドに移行しただけでは自動的にセキュアになるわけではありません。M365 Show のこのエピソードでは、ホストの Mirko Peters [MVP] が Thomas Stensitzki [MVP] と対談し、Exchange Server、Exchange Online、ハイブリッド環境に潜んでいる可能性のあるセキュリティ上の盲点について話し合います。25 年以上のメッセージング経験を踏まえ、Thomas は、ID 保護、慎重な構成、安全なメールフロー、運用上の規律が組み合わさって組織のメールを守る仕組みを解説します。


Exchange Server からハイブリッドおよび Exchange Online まで
Thomas は、自身が Exchange を中心にキャリアを築いてきた経緯と、メールがビジネスにとって今なお不可欠である理由を語ります。オンプレミスの Exchange Server と Exchange Online を接続するハイブリッド構成について、メッセージング、ネットワーク、セキュリティの各チームが綿密に計画する必要がある理由を説明します。Microsoft 365 は既定の設定で動作するサービスを提供しますが、組織のニーズに合わせて、アンチスパム、アンチマルウェア、アンチフィッシングなどの保護機能を構成する必要があります。

ID、管理者アクセス、そしてブレークグラス アカウント
ID セキュリティが最優先であり、サービス アカウントなどの人間以外の ID も含まれます。Thomas は、機密性の高い Exchange 管理者ロール、特権アクセス管理、そして管理者が日常業務で強い特権を持つアカウントを使うべきでない理由について議論します。また、緊急用の「ブレークグラス」アカウントを保護する方法も説明し、FIDO セキュリティ キーの役割や、障害発生時に管理者がアクセスを回復する方法を計画しておく必要性に触れます。

レガシー SMTP、フィッシング、侵害されたアカウント
古いアプリケーションやデバイスは、依然として基本認証やレガシー SMTP に依存している場合があります。Thomas は、可能であればそれらの方式を避けるよう推奨し、最新の認証を使えないシステムからのメッセージをオンプレミスのリレーでルーティングする方法を説明します。また、悪意のあるメールから認証情報の窃取、不正アクセスに至る攻撃経路をたどりながら、メール フィルタリング、管理用アカウントの分離、サインインのアクティビティ監視の重要性を強調します。

メール フロー、SPF、DKIM、DMARC
特にゲートウェイ、Exchange Server、Exchange Online Protection、Microsoft Defender を組み合わせた複雑な環境では、メールが辿る経路全体を理解することが不可欠です。Thomas は、組織のドメインから送信されるメッセージを認証する SPF、DKIM、DMARC の役割を解説します。また、マーケティング プラットフォームや CRM システムなどのサードパーティ サービスには専用のサブドメインを使うこと、そして DMARC レポートを使って正規の送信元と不審な送信元を見分けることを勧めています。

Microsoft Defender とセキュリティ監視
Thomas は、Microsoft Defender for Office 365 の Safe Links について議論し、ユーザーが URL をクリックした際にリンク保護がどのように URL を評価できるかを説明します。また、Entra のサインイン ログ、不審なサインイン、そして「移動不可能な距離（impossible travel）」のアラートについても取り上げます。セキュリティ ツールやスコアは判断の指針になりますが、管理者はそれらが何を測定しているのか、ライセンスに何が含まれているのか、そして組織が実際に必要とする保護は何かを理解しておく必要があります。

構成、ガバナンス、運用上の規律
議論は個々のセキュリティ設定を超えて、構成管理、プログラムによるツールに対する最小権限のアクセス、API やエージェントを通じて Microsoft 365 のコンテンツを公開することのリスクへと広がります。Thomas は、構成のエクスポートがチームによる変更の追跡にどのように役立つかを説明します。さらに、Microsoft Purview の機密ラベルとデータ損失防止（DLP）について論じ、これらの制御は本番環境で一度導入すると変更が難しいため、組織は展開を慎重に計画すべきだと勧めます。

事業継続、AI、そして Exchange を安全に保つために
Microsoft 365 テナント、ドメイン、構成へのアクセスを失った場合、バックアップだけでは不十分なことがあります。Thomas は、インシデントが発生する前に事業継続を計画することの重要性を強調します。また、AI が防御側と攻撃側の双方に役立つ可能性を考察し、Exchange Server 環境の更新や Exchange Online またはハイブリッド構成への移行を支援するコンサルティング業務についても紹介します。

ラピッドファイア質問と最終的なセキュリティ アドバイス
ラピッドファイアのラウンドで、Thomas は Exchange Server、長期的なハイブリッド アーキテクチャ、PowerShell を選びます。また、Exchange Server の証明書管理についても話し、次回のゲストとして Manfred Huber を推薦します。締めくくりのアドバイスはシンプルです。Exchange 環境を最新の状態に保ち、Exchange Product Group のブログをフォローし、パッチを適用し、既定の構成の変更に注意を払い、Exchange Online における Exchange Web Services の非推奨化に備えることです。

このポッドキャストのサポーターになる: https://www.spreaker.com/podcast/m365-fm-a-microsoft-mvp-podcast-by-mirko-peters--6704921/support