Microsoft 365 は、Defender for Office 365、Defender for Endpoint、Defender for Identity、Defender for Cloud Apps などの個別のセキュリティサービスが動作するための仕組みを提供しています。
メールやデバイス、ユーザーのサインイン情報、クラウドアプリといった、組織で利用される幅広い情報を組み合わせて扱えるように設計されています。
サービス同士が連携することで、脅威の検出や防止、調査を効率的に進められます。
※マイクロソフトでは、複数のセキュリティサービスをまとめて扱う仕組みを「Microsoft Defender XDR」と呼びます。
※マイクロソフトでは、世界中から集めた攻撃データを分析し、防御に生かすための情報を「脅威インテリジェンス」と呼びます。
Microsoft 365 のセキュリティが必要とされる背景
クラウドサービスの利用が進み、組織が扱うデータの範囲が広がっています。
メール、Teams、SharePoint、OneDrive など、日常業務の中で多くのサービスが併用されています。
このような環境では、フィッシング、ビジネスメール詐欺、資格情報の盗難、横移動攻撃のように高度化した脅威が増えています。
個別のツールだけで対策する方法は限界があり、複数の情報源を組み合わせて脅威を把握する必要があります。
そのため、Microsoft 365 では防御の仕組みを統合する方向で機能が整備されています。
Microsoft Defender XDR: 脅威保護の仕組み
Microsoft Defender XDR は、複数の Defender 製品をまとめて扱うための統合プラットフォームです。
メール、デバイス、ID、クラウドアプリの情報をあわせて分析し、攻撃の流れを理解できるようにする考え方が採用されています。
この仕組みでは、攻撃前に不審な動作を検出してブロックし、侵害後には原因調査や修復につなげるというように、両方の対応を行えます。
Microsoft が Azure、Office 365、Windows から収集する膨大なデータをもとに防御が更新されるため、新しい攻撃に備えやすくなっています。
Defender の主なサービスと役割
Microsoft Defender には、守る対象に応じた複数のサービスがあります。
これらはそれぞれ独立したサービスですが、Defender XDR 内で情報がまとめられ、攻撃の流れを一つの画面で追いやすくなります。
Defender for Office 365
メール、Teams、SharePoint、OneDrive に届くフィッシングやマルウェアを検出し、危険なリンクや添付ファイルを開く前にブロックします。
Defender for Endpoint
デバイス上の不審な動きを検出し、ランサムウェアなどの脅威を封じ込めるために自動で隔離や修復を行います。
Defender for Identity
Active Directory の動きを監視し、盗まれた資格情報の使用や横移動攻撃を検出します。
Defender for Cloud Apps
クラウドアプリの利用状況を可視化し、承認されていないサービスの利用やデータ持ち出しを検出します。
Microsoft Purview との連携によるデータ保護
Microsoft Purview は、組織内のデータがどこにあり、どのように扱われているかを管理するためのサービス群です。
外部からの攻撃への対策が中心となる Defender とは目的が異なり、組織内部の情報管理を整えることに重点が置かれています。
Purview では機密度ラベルやデータ損失防止（DLP）の機能を利用でき、機密性の高い文書にラベルを自動で付与したり、外部共有を制限したりできます。
組み合わせて利用すると、外部脅威への対策と、内部での情報の扱いの両方を整えることができます。
Microsoft 365 の脅威保護機能について
Microsoft 365 には、攻撃が多いメールやコラボレーションツールを守るための基本機能が備わっています。
主な機能としてフィッシング対策やマルウェア対策、スパム対策、メールフロールールが挙げられます。
危険な URL の検査や、悪意のある添付ファイルのブロック、迷惑メールの分類などが含まれます。
これらの機能は Exchange Online だけでなく、Teams や SharePoint、OneDrive にも適用されます。
フィッシング対策のしくみ
フィッシング攻撃では、送信者を装ったメールや類似ドメインを利用したメールが届きます。
Microsoft 365 では送信者の偽装検出や、URL のリアルタイム検査を行い、危険なサイトへのアクセスを防ぎます。
マルウェア対策とゼロ時間自動削除（ZAP）
マルウェアはメール添付ファイルや共有ファイルから侵入する可能性があります。
そのため、Microsoft 365 では複数の検出エンジンを利用し、Exchange Online、SharePoint、OneDrive、Teams に保存されたファイルを自動で検査しています。
ゼロ時間自動削除（ZAP）は、最新の脅威情報や検出エンジンの更新結果に基づき、配信済みのメールを再評価し、後から危険と判定されたメールを自動で削除する仕組みです。
最初の検査では見つからなかったマルウェアにも対応しやすくなる点が特長です。
スパム対策とメールフロールール（Exchange Online / 管理者機能）
Microsoft 365 のスパム対策では、機械学習や送信元の評判情報を利用し、迷惑メールを分類する仕組みが用意されています。
メールの分類精度は、ユーザーによる迷惑メールの操作内容からも継続的に学習されるため、時間の経過とともに改善される特長があります。
管理者は、メールフロールール（Exchange Online の管理者機能）を利用して、組織の方針に合わせたより細かい制御を追加できます。
メールフロールールの一例
- 外部からの特定の件名のメールをブロック
- 添付ファイルの種類に応じてメールを隔離
- 特定の部署へ届くメールを別のアドレスへ転送
- 機密情報を含むメールを自動で暗号化
- 迷惑メールの条件を細かく制御
Microsoft 365 の脅威インテリジェンス
脅威インテリジェンスでは、攻撃の手口や傾向、影響を把握し、防御に生かすための情報を扱います。Microsoft 365 はクラウド、エンドポイント、ID の多様なデータをもとに分析し、防御機能への反映を行います。
Microsoft 脅威インテリジェンスセンター（MSTIC）
Microsoft 脅威インテリジェンスセンター（MSTIC）は、世界中から集める攻撃情報を分析する専門チームの名称です。
彼らは、クラウドサービスや Windows の動き、ダークウェブの情報を監視し、国家レベルの攻撃者や大規模攻撃の分析を行っています。
分析結果は Defender の検出強化に活用されます。
脅威エクスプローラーでのリアルタイム調査
Threat Explorer は、Defender for Office 365 の一部で利用できる調査ツールです。
届いたメールに含まれる脅威を確認し、送信者や件名、URL、ファイルハッシュから攻撃の範囲を調査できます。危険なメールの一括削除も行えます。
Threat Analytics
Threat Analytics は Microsoft Defender XDR ポータルの中に用意された機能です。
MSTIC が集めて分析した脅威情報を、組織が利用しやすい形でまとめたページになっています。
攻撃の手口や影響範囲、取るべき対策などをわかりやすいレポートとして確認できます。
まとめ
Microsoft 365 は、Defender シリーズのセキュリティサービスを動かすための仕組みを提供し、メール、デバイス、ID、クラウドアプリを横断した防御を実現しています。
Defender XDR による統合分析や脅威インテリジェンスの活用により、単体ツールでは見えにくい攻撃の流れが見えやすくなります。
Microsoft Purview のデータ保護機能と組み合わせることで、外部脅威への対策と内部でのデータ管理を両立し、安全な環境を整えやすくなります。
参考リンク（Microsoft公式）
- Microsoft Defender XDR
- Microsoft Defender for Office 365
- Microsoft Defender for Endpoint
- Microsoft Defender for Identity
- Microsoft Defender for Cloud Apps
- Microsoft Purview
- Microsoft Threat Intelligence
- Threat Explorer
- Threat Analytics
用語の補足
- Microsoft Defender XDR
複数の Defender 製品をまとめて扱う統合プラットフォーム - 脅威インテリジェンス
世界中の攻撃データを分析し、防御に生かすための情報 - MSTIC
Microsoft 脅威インテリジェンスセンター - ゼロ時間自動削除（ZAP）
配信済みメールを再評価し、危険と判定されたメールを削除する仕組み