はじめに
「うちのテナントはちゃんとスパム対策ポリシーもフィッシング対策ポリシーもカスタマイズ済みだから安心」そう思っていても、実はMicrosoft Defenderの「既定のセキュリティポリシー」がこっそり有効化されていて、そちらが優先されているというケースがあります。
しかもこの機能、優先順位の仕組みを知らないと「なぜかカスタムポリシーの設定が反映されない」という不可解な現象として現れます。自分も最初に知ったときは「そんな仕組みがあったのか」と驚いたので、要点を整理してみました。PowerShellでの詳しい確認コマンドは元記事にまとめています。
元記事: [【Microsoft365参考書】既定のセキュリティポリシーとは？]
既定のセキュリティポリシーとは
Exchange Online上のスパム対策・フィッシング対策・マルウェア対策フィルターのセキュリティレベルを一括で切り替える機能です。有効化すると、それまで迷惑メールフォルダーに振り分けられていたメッセージが、いきなり検疫領域(隔離)に移動するようになる、といった挙動の変化が起きます。
自動的に用意されているのは次の2種類です。
- Standard Preset Security Policy(標準的な保護)
- Strict Preset Security Policy(厳重な保護)
Microsoft 365 Defenderの「ポリシーとルール」→「脅威ポリシー」→「既定のセキュリティポリシー」から状態を確認できます。
一番の落とし穴:自分で作ったポリシーより優先される
ここが今回一番伝えたいポイントです。
標準的な保護・厳重な保護は、スパム対策・フィッシング対策・マルウェア対策の既定ポリシーやカスタムポリシーよりも優先されます。
つまり、せっかく自社の運用に合わせてスパム対策ポリシーを細かくチューニングしていても、既定のセキュリティポリシーが対象ユーザーに適用されていれば、そちらの設定が実際には効いているという状態になり得ます。「設定を変えたのに挙動が変わらない」という問い合わせの原因が、実はここにあった、という話は意外とありそうです。
ただし既定では無効化されているため、有効化して初めて対象ユーザーへ適用される、という順序である点は補足しておきます。
もう一つの「既定」:組み込みの保護(Built-In Protection Policy)
さらにもう一段、**組み込みの保護(Built-In Protection Policy)**という仕組みもあります。こちらは「安全な添付ファイル」「安全なリンク」のカスタムポリシーが適用されていないユーザー全員に、自動的に最小限の保護をかけてくれる機能です。
面白いのは、この組み込みの保護は無効化ができないという点です。適用対象から外したい場合は、除外設定でユーザー・グループ・ドメイン単位で個別に除外するしかありません。「知らないうちに勝手に保護がかかっていた」という現象があれば、これが正体である可能性があります。
自分のテナントの状態を確認する方法(概要)
管理画面での確認手順に加え、PowerShellでも次のようなコマンドレットで各ポリシーの適用対象(対象ユーザー・グループ・ドメイン、除外設定)を一覧化できます。
# 組み込みの保護
Get-ATPBuiltInProtectionRule
# 標準的な保護
Get-EOPProtectionPolicyRule -Identity "Standard Preset Security Policy"
# 厳重な保護
Get-EOPProtectionPolicyRule -Identity "Strict Preset Security Policy"
具体的な実行例や出力結果の見方は元記事に詳しくまとめていますので、自社テナントで実際に有効化されているか気になった方はぜひチェックしてみてください。
おわりに
「カスタムポリシーを作ったから安心」で終わらせず、Microsoft側の既定のセキュリティポリシーが優先的に効いていないかを一度確認しておくと、思わぬ設定ミスの発見につながります。関連する「安全なリンク」の仕様や、Microsoft Defender for Office 365全体の機能については元記事および関連記事で詳しく解説されているので、興味を持った方はぜひブログ本体もじっくり読んでみてください。
- 元記事: 社畜の所業「既定のセキュリティポリシーとは？」
- ブログ全体: 社畜の所業(Microsoft365解説ブログ) — Exchange Online・PowerShell・セキュリティまわりのTipsを500本以上ストックしている実務者向けブログです
