目次
Defender for Office 365 とは？
Microsoft 365 の利用が進む中で、以下のような悩みを抱える組織も多いのではないでしょうか？
- 社内外からのフィッシングメールが多く、ユーザーがだまされないか心配
- Teams や SharePoint を使っているが、セキュリティ対策が十分かわからない
- マルウェアやランサムウェアの被害に遭う前に、何か対策をしておきたい
こうした課題に対応するために提供されているのが「Microsoft Defender for Office 365」です。
Microsoft Defender for Office 365（旧称：Office 365 Advanced Threat Protection）は、Microsoft 365 環境におけるメールやコラボレーションツールに対する 高度な脅威対策サービス です。フィッシング、マルウェア、ゼロデイ攻撃といった 進化する脅威 に対し、予防・検出・対応を提供します。
Microsoft Defender for Office 365（旧称：Office 365 Advanced Threat Protection）は、Microsoft 365 環境におけるメールやコラボレーションツールに対する 高度な脅威対策サービス です。フィッシング、マルウェア、ゼロデイ攻撃といった 進化する脅威 に対し、予防・検出・対応を提供します。
導入のメリット
- フィッシングやマルウェアからの保護：AIベースでリアルタイムに脅威を検出。
- 自動調査と修復（P2）：脅威発見後、関連メールやユーザーへの影響範囲を自動で調査。
- セキュリティ意識向上：シミュレーション機能で社内トレーニングも可能。
導入後のデメリット
デメリットと考えられやすい点記、載しています。
| 項目 | 説明 |
|---|---|
| ライセンスコスト | Exchange Online Protection (EOP) に比べてコストが高い |
| 導入負荷 | 機能が多く、ポリシー設計に一定の知識が必要 |
| 誤検知対応 | 高度なフィルタで正規メールがブロックされることも |
Defender for Office 365 P1 / P2 機能比較
Defender for Office 365 には、P1とP2という2種類のライセンスプランが存在します。P2はP1の上位プランにあたり、機能がすべて含まれているうえで、高度な分析や自動対応機能が追加されます。以下の表で両者の主な違いを比較します。
| 機能カテゴリ | Defender for Office 365 P1 | Defender for Office 365 P2 |
|---|---|---|
| セーフリンク | ○ | ○ |
| セーフアタッチメント | ○ | ○ |
| なりすまし保護 | ○ | ○ |
| Threat Explorer（手動分析） | ✗ | ○ |
| 自動調査と修復 | ✗ | ○ |
| 攻撃シミュレーション | ✗ | ○ |
| インシデントビュー | ✗ | ○ |
※P1の機能はP2にも含まれます。
Defender for Office 365 の主な機能詳細
P1 ライセンスで利用できる機能
セーフリンク
ユーザーがメール内のURLをクリックした際に、リンク先が安全かどうかをリアルタイムでチェックする機能です。クリック時に一時的にMicrosoftのプロキシサーバーを経由し、悪意あるURLかどうかを確認します。これにより、ユーザーがうっかりフィッシングサイトなどにアクセスしてしまうリスクを軽減できます。また、アクセスブロック時には警告ページが表示され、管理者はレポートでアクセス履歴を追跡可能です。
セーフアタッチメント
メールに添付されたファイルを、Microsoft の仮想環境（サンドボックス）上で実行して安全性を評価する機能です。ファイルに潜むマルウェアやランサムウェアを動作させて検知し、リスクがある場合は配信前にブロックします。これにより、ゼロデイ攻撃や未知の脅威に対しても高い防御力を発揮します。特定の種類の添付ファイルだけを対象にしたポリシー設定も可能です。
なりすまし（スプーフィング）対策
送信元メールアドレスやドメインが、本物のものを装っていないかを検証する機能です。SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARC（Domain-based Message Authentication, Reporting, and Conformance）といった認証技術を活用し、正当な送信者かどうかを判断します。不正と判断されたメールは隔離されるか、ユーザーに警告が表示されます。これにより、詐欺メールのリスクが大幅に軽減されます。
P2 ライセンスで追加される機能
Threat Explorer
Defender for Office 365 P2 の中核機能のひとつであり、脅威となるメールの送信元、宛先、URL、添付ファイルの情報をグラフィカルに可視化できるツールです。管理者はこのツールを使用して、攻撃の経路や影響範囲を迅速に把握できます。フィルタや検索機能を活用することで、特定の時間帯やユーザーに絞った分析も可能です。手動による調査でも、従来より圧倒的に短時間で詳細な脅威分析ができるようになります。
自動調査と修復（AIR）
Defender for Office 365 P2 の強みである AIR（Automated Investigation and Response）は、脅威が検知された際に自動で影響範囲を調査し、修復措置を行う機能です。たとえば、マルウェア付きメールを受信した他のユーザーや、同様の攻撃を受けたアカウントを自動で特定し、関連メールを削除、端末を隔離するなどの処理が実行されます。人手による調査が不要になるため、セキュリティ担当者の負荷軽減にもつながります。
インシデントビュー
インシデントビューは、発生した脅威に関連する情報を時系列で一覧表示できる機能です。対象となったメール、ユーザー、デバイス、検出された脅威の内容などを1つのダッシュボード上で確認することができます。これにより、攻撃の全体像や組織内での影響を素早く把握でき、的確な初動対応が可能になります。Threat Explorerと連携し、詳細分析へスムーズに移行できます。
シミュレーションアタック
ユーザーのセキュリティ意識を高めるための模擬攻撃訓練ツールです。フィッシングメールの疑似送信やマルウェア添付ファイルの送信を模した訓練を実施し、誰がクリックしたか、誰が添付を開いたかなどの行動を可視化できます。これにより、教育すべき対象者を特定し、対策強化に役立てることができます。Microsoft 365 Attack Simulator との連携で柔軟なトレーニング設計が可能です。
Defender for Office 365 P1 導入における検討項目
Defender for Office 365 P1 を導入する際には、運用設計やユーザー教育を含む複数の視点からの検討が必要です。以下の表は、その主な検討項目と概要です。
| 検討項目 | 解説 |
|---|---|
| 既存メールフローの把握 | 現在の受信メール経路に影響があるか要確認 |
| ポリシー設計 | セーフリンク、セーフアタッチメントの動作範囲設定 |
| レポート体制 | フィルタ結果を定期的にレビューする仕組みの構築 |
| 誤検知対応手順 | 検知結果の精査とユーザーへの展開方法 |
| ユーザー教育 | フィッシング回避や添付ファイルの注意喚起の周知 |
ライセンスと他サービス（EOP / Defender for Endpoint / Purview）との違い
Defender for Office 365 は、他のMicrosoft 365 セキュリティ製品と連携することで、より強固な多層防御を構築できます。以下の表では、各製品のカバー領域や特徴を比較しています。
| サービス | 主な対象領域 | メール保護 | 自動修復 | 情報保護（DLP） | エンドポイント保護 |
|---|---|---|---|---|---|
| EOP (Exchange Online Protection) | Exchange Online の基本セキュリティ | ○ | ✗ | ✗ | ✗ |
| Defender for Office 365 P1 | 高度なメール・リンク・添付保護 | ◎ | ✗ | ✗ | ✗ |
| Defender for Office 365 P2 | P1 + 自動修復・可視化強化 | ◎ | ◎ | ✗ | ✗ |
| Defender for Endpoint | デバイス・OSレベルの脅威検出と保護 | ✗ | △（連携可） | ✗ | ◎ |
| Microsoft Purview | データ保護・コンプライアンス | ✗ | ✗ | ◎ | ✗ |
導入事例・活用シナリオ（業種別）
教育機関：生徒のフィッシング対策
Safe Links により、フィッシングサイトへのアクセスをブロック。シミュレーションアタック機能（P2）で訓練を実施。
製造業：Teams での外部共有保護
Defender が Teams 内の添付ファイルもスキャン。機密ラベルや DLP（Purview連携）で情報漏洩対策を強化。
医療機関：添付ファイル内のマルウェア検出と対処
Safe Attachments により、添付ファイルを仮想環境で実行・評価。Defender for Endpoint と連携して端末を隔離。
インシデント対応フローの詳細解説＋ケーススタディ
ケース：偽装請求メールの添付ファイルを開封してしまった
1. インシデントの検出
Defender for Office 365 により添付ファイルにマルウェアの兆候を検知。ユーザーからも「変な画面が出た」と報告が入る。
2. 初動対応
Threat Explorer で当該メールの受信者を特定し、注意喚起メールを一斉送信。
3. 調査と分析
添付ファイルに含まれていたマクロの動作内容を分析。Defender for Endpoint によりPC上に不審なファイルの作成を確認。
4. 修復と対処
自動修復機能（AIR）で当該メールを全社から削除。該当ユーザーの端末は自動的に隔離。
5. 再発防止
添付ファイル付きのメールは Safe Attachments でスキャンするようポリシー変更。同様の手口に関するフィッシング訓練を実施。
まとめ
Defender for Office 365 は、ただのウイルス対策ではなく、Microsoft 365 環境における 最前線のセキュリティ対策 を担う存在です。P1 でも多くの脅威に対応できますが、組織規模やリスク耐性によっては P2 の導入も積極的に検討したいところです。導入にはポリシー設計やユーザー教育など、検討すべきポイントが多くありますが、うまく設計できれば 高いセキュリティと業務効率の両立 が可能になります。
わかりやすい セキュリティ用語集
（Defender for Office 365 関連）
本記事で登場するセキュリティ用語について、初心者から中級者の方にもわかりやすく噛み砕いて説明しています。これらの用語は、Defender for Office 365 を導入・運用する上で理解しておくと非常に役立ちます。
| 用語 | わかりやすい説明 |
|---|---|
| フィッシング（Phishing） | 実在する企業や知人を装ったメールなどでユーザーをだまし、パスワードやカード情報を入力させる詐欺のことです。URLリンクを踏ませて情報を盗みます。 |
| マルウェア（Malware） | パソコンやスマホに悪影響を及ぼす「悪いソフト」の総称。ウイルス、スパイウェア、ランサムウェアなどが含まれます。 |
| Safe Links（セーフリンク） | メールやチャット内のリンクを事前にチェックして、安全でないリンクをブロックしてくれる機能です。うっかりクリックしてしまうリスクを減らせます。 |
| Safe Attachments（セーフアタッチメント） | メールに添付されたファイルを、開く前に仮想環境で安全確認してくれる機能です。ウイルスが隠れていても先回りでブロックします。 |
| Threat Explorer | メールに含まれる脅威の傾向や、誰がどんな攻撃を受けたかをグラフや一覧で見られる管理者向けツールです。P2ライセンスで使えます。 |
| 自動調査と修復（AIR） | 脅威を検知すると、自動的に関連するユーザーやメールを調べて、必要に応じて隔離・削除してくれる「おまかせ調査＆対処」機能です。 |
| インシデントビュー | セキュリティ事故（インシデント）が起きたときに、どこで何が起きたのかをまとめて一覧で表示してくれる機能です。 |
| DLP（Data Loss Prevention） | 個人情報や企業の機密情報などが外に漏れないようにするための仕組みです。送信前にチェックして止めてくれます。 |
| Defender for Endpoint | パソコンやスマホなどの端末を守るためのセキュリティサービスです。マルウェア感染や不審な動きを検知してくれます。 |
| Zero-day攻撃 | まだ対策が取られていないソフトの弱点（ゼロデイ脆弱性）を使った攻撃。非常に危険で対処が難しいです。 |
| なりすまし（スプーフィング） | 他人のふりをしてメールを送ってくる手口です。信頼できる人になりすまして、だまそうとします。 |
| 隔離（Quarantine） | 危険だと判断されたメールを、受信トレイに入れず別の場所（隔離フォルダ）に一時保管する仕組みです。 |
| インシデントレスポンス | セキュリティの問題が起きたときに、検出・調査・修復・再発防止までを行う一連の対応作業のことです。 |