このガイドでは、Defendの使用を開始する方法を説明します。Defendは、高度化する外部の脅威から組織を保護する強力なサイバーセキュリティツールです。Defendは、メールが配信される前にそのフローを分析し、ユーザーと機密データを安全に保護します。Defendコンソールを使用することで、セキュリティ設定をカスタマイズできるほか、検知されたフィッシングメールやユーザーから報告されたメールについて詳細な調査を行うことができます。
Defendコンソールにアクセスするには、まずデプロイメントセンターを使用して、組織にDefendを導入する必要があります。
デプロイメントセンター
Defendデプロイメントセンターは、管理者がDefend機能を簡単に設定して組織に導入できるようにする包括的なウィザードです。管理者はガイドに従ってデプロイメントプロセスの各ステップを進めることができ、進捗は各ステップで保存されます。デプロイメントセンターでの設定が完了すると、管理者はDefendコンソールにアクセスできるようになり、さらにカスタマイズすることが可能になります。
前提条件
デプロイメントセンターのプロセスを正常に完了するには、以下の前提条件を満たしていることを確認します。
- Microsoft 365テナントがあること
- Microsoft 365テナントでグローバル管理者ロールがあること
デプロイメントセンターでの操作ステップ
デプロイメントセンターで、以下のステップを完了します。
-
検証：現在利用しているメールシステムが、 デプロイできる状態であることを 確認します。Defendは、デプロイメントプロセスおよびDefendサービスとの互換性を確認するために、 メールシステムを分析します。
-
ドメインとSEG：プライマリドメイン、業界、 およびSEGプロバイダを確認します。[ドメインとSEG]ページのフィールドの詳細については、 以下の一覧を参照してください。
- [Primary Domain]（プライマリドメイン）：Defendは 内部ドメインを検出し、 そのリストを表示します。リストを確認し、 組織のプライマリドメインを選択します。
- [Industry]（業界）：このドロップダウンメニューから、 自社に最も近い 業界を選択します。業界情報は、 Defendが業界固有の脅威に対応するために使用されます。
- [Secure Email Gateway (SEG)]（セキュアメールゲートウェイ）：組織でSEGを利用しているかどうかを 選択します。
-
[Impersonation]（なりすまし）：組織に関連するドメインやブランド名を指定することで、 なりすましへの対策をカスタマイズできます。 [Impersonation]（なりすまし）ページの各フィールドの詳細については、 以下のリストを参照してください。
![セカンダリドメインやブランド名を指定できる[Protect Your Brand from Impersonation Attacks]（なりすまし攻撃からの企業の保護）フォーム](https://helpimg.s3.us-east-1.amazonaws.com/Defend/Deployment+Center/DC+Impersonation.png)
- [Secondary Domains]（セカンダリドメイン）：セカンダリドメインを適切に登録することで、 Defend は組織が保有するすべてのドメインに保護を拡張し、 これらを悪用したなりすまし攻撃の防止に役立ちます。
- [Brand Names]（ブランド名）：ブランド名を把握することで、 Defend は組織の信頼されたアイデンティティを多様な形で偽装するブランドなりすまし攻撃を検知し、 ブロックすることが可能になります。可能な限り多くのブランド名を登録することが、 こうしたなりすまし攻撃に対する 保護効果を最大化するために 重要です。
警告：[Brand Names] （ブランド名）フィールドを空のままにすると、 なりすまし攻撃に対するリスクが 高まります。 -
[Linguistic Analysis]（言語的な分析）：誤検知を防ぐために、 組織内で広く使用されている件名の語句を登録します。[Linguistic Analysis] （言語的な分析）ページの 各フィールドの詳細については、 以下のリストを参照してください。
![自社でよく使用する件名の語句を指定できる[Linguistic Analysis]（言語的な分析）ページ](https://helpimg.s3.us-east-1.amazonaws.com/Defend/Deployment+Center/DC+Linguistic.png)
- [Custom Subject Phrases]（カスタム件名フレーズ）：組織で一般的に使用されるメール件名の語句を把握することで、 Defend は正規のコミュニケーションと、 組織のメッセージパターンを模倣した高度なフィッシング攻撃を、 より適切に識別できるようになります。
-
[Admins]（管理者）：Defend コンソールを管理するグローバル管理者を指定します。
-
[ユーザーグループ]：Defend の機能を利用できるユーザーを制御するために使用する Microsoft 365 グループを 作成または指定します。テスト目的で、 Defendバナーをユーザーが表示できるようにするバナー上書きグループを作成または指定します。[User Groups] （ユーザーグループ） ページのフィールドの 詳細については、 以下のリストを参照してください。
![Defendデプロイメントセンターの[User Group]（ユーザーグループ）画面](https://helpimg.s3.us-east-1.amazonaws.com/Defend/Deployment+Center/DC+Groups.png)
- [User Group Name]（ユーザーグループ名）：Defend が保護する全てのユーザーを含む グループ名を指定します。
- [Override Group Name]（オーバーライドグループ名）：組織の他のユーザーを サイレントモードにしたまま、 Defend の機能をテストするのに使用する グループの名前を指定します。
-
[Deployment Summary]（デプロイメントサマリ）：デプロイする前に入力した情報を 確認して編集します。続行する準備ができたら、 [Next] （次へ）を選択してから、[Deploy Defend] （Defendをデプロイ）ボタンを選択します。 [Deploy Defend]（Defendをデプロイ）を選択すると、[Deploy]（デプロイ）ページが開き、Defend がMicrosoft 365 テナントに必要なアプリ登録を作成します。
![[Deployment Summary]（デプロイメントサマリ）ページ](https://helpimg.s3.us-east-1.amazonaws.com/Defend/Deployment+Center/DC+Summary.png)
-
[Grant App Registration Consent]（アプリ登録の同意を付与）：アプリ登録が 作成されたら、[Grant App Consent Permissions]（アプリの同意に必要な許可を付与）を選択します。 アプリの同意が必要である理由を説明するウィンドウが、 Defend が要求する許可リストと共に表示されます。
![[Deployment Summary]（デプロイメントサマリ）ページ](https://helpimg.s3.us-east-1.amazonaws.com/Defend/Deployment+Center/DC_Grant_App_Reg_Consent.png)
- 要求される許可を確認してから、 [Accept]（許可） を選択して、合意に必要な許可を付与します。
- 合意に必要な許可が付与されたら、[Next]（次へ） ボタンを選択して、Defend をデプロイします。
-
[Health Check]（ヘルスチェック）：テストユーザーを Defend のユーザーグループに追加し、そのユーザーに対してヘルスチェックを実行して、デプロイが正常に完了していることを確認します。
![Defendデプロイメントセンターの[Health check]（ヘルスチェック）画面](https://helpimg.s3.us-east-1.amazonaws.com/Defend/Deployment+Center/DC+Health+Check.png)
![[Deployment Summary]（デプロイメントサマリ）ページ](https://helpimg.s3.us-east-1.amazonaws.com/Defend/Deployment+Center/DC_Permissions_Requested.png)
デプロイが完了したら、Microsoft 365のDefendユーザーグループに必要なユーザーを追加して、Defendの機能を組織全体に展開できます。
変更内容の概要
デプロイが正常に完了すると、Defendの機能が適切に動作するように、Microsoftテナントに以下の変更が加えられます。
Defendは、Microsoft 365テナントに承認済みのドメインを自動的に追加します。各Defendテナントには、ランダムに生成された一意のドメインが割り当てられます。
例えば「aaaaa.c.us1.defend.com」のようなフォーマットの「aaaaa」は各Defend顧客に割り当てられる固有のランダムな文字列です。
この機能よって以下が可能になります。
- Microsoft 365の受信コネクタは、Defendから送信されるメールを検証し、これれらをお客様のMicrosoft 365テナントに属するメールとして識別します。DefendからMicrosoft 365へメールを送信する際に使用される証明書は、テナント上の承認済みドメインと一致している必要があります。これにより、メールフローが中断されずに維持されます。
- Defendは、すべてのメールにDKIM署名を適用して、Microsoft 365テナントに返送します。セキュリティ上の理由から、この署名はテナントごとに一意となり、専用のドメインが使用されます。
| コネクタ | アクション |
|---|---|
| Microsoft 365からDefend | メールをDefendにルーティングして処理します。 |
| DefendからMicrosoft 365 | メールをMicrosoft 365へ戻してルーティングし、ユーザーへ配信します。 |
Defendユーザーグループ
Defendユーザーグループのデフォルト名は「Defend_User_Group」です。このグループに含まれるユーザーのメールは、Defendによって処理されます。
動的な式を使用して、全てのユーザーを「Defend_User_Group」に自動的に追加できます。動的な式の例は以下のとおりです。
- (user.mail -ne null)
- (user.userType -eq "Member")
デプロイメントセンター経由で新規にデプロイする場合、Defendユーザーグループには、以下で説明する従来のグレーメールグループおよびスパムグループが含まれます。
従来のグループ
以前のDefendデプロイメントツールを使用していた場合、以下のグループがMicrosoftテナントに存在している場合があります。
- [Graymail User Group]（グレーメールユーザーグループ）：グレーメールグループには、Defendのグレーメール機能にアクセスできるユーザーが含まれます。Defendの[Settings]（設定）ページの[Graymail User Group]（グレーメールユーザーグループ）フィールドで、カスタムグループ名を指定できます。グレーメールユーザーグループの管理および有効化の詳細については、「Defend - グレーメール管理」の記事を参照してください。
- [Spam User Group]（スパムユーザーグループ）：スパムグループには、Defendのスパム対策機能を利用するユーザーが含まれます。[Spam User Group]（スパムユーザーグループ）フィールドで、カスタムグループ名を指定できます。詳細については、「Defend - スパム管理」の記事を参照してください。
これらの従来のグループは現在も有効であり、通常どおり使用できます。
POVグループ
POVのデプロイメントでは、以下の2つの別のグループを利用できます。
- Defend_Banners_Override Group：Defendがサイレントモードの場合でも、バナーが表示される特定のユーザーを管理者が追加できるようになります。この機能により、IT管理者はDefendの機能を検証しながら、ユーザートレーニングを自社のペースで進めることができます。
- Defend_Graph_Users Group：SMTPトランスポートルールが有効になっていないPOV（概念実証）環境で使用される、Graph API専用のグループです。このグループに含まれるユーザーについては、全てのDefend機能がMicrosoft Graph APIを通じて動作します。
| トランスポートルール | アクション |
|---|---|
| Defend Add Internal Header（専用の内部ヘッダーを追加）* | このルールにより管理者は、内部メールを別のDefendユーザーに転送する際に、バナーや書き換えられたリンクを保持できるようになります。このルールの処理は、Defendコンソールで[Retain banners on internal forwards]（内部転送でバナーを保持）オプションが有効になっている場合にのみ適用されます。 |
| Defend Add Outbound Header（専用の送信ヘッダーを追加）* | このルールは、メッセージの方向をDefendプラットフォームに示すためのDefend専用ヘッダーを追加します。 |
| Defend Add Domain Header（専用のドメインヘッダーを追加）* | このルールは、テナントメッセージの帰属を識別するためのDefend専用ヘッダーを追加します。 |
| Defend Disable ATP Dynamic Scanning（ATPの動的スキャンを無効化） | このルールは、Defendにメールを送信する際に、添付ファイルに対する高度な脅威対策（ATP）の処理を無効化します。ATPをバイパスするわけではありません。除外設定により、メールがDefendからMicrosoft 365に返送されるときにも、ATPが引き続き動作するようにします。 |
| Defend Banner Active Override（バナー有効化のオーバーライド） | サイレントモード時、このルールはオーバーライドグループに含まれるユーザーに特定のヘッダーを付与し、そのグループに対してのみバナーを有効にします。 |
| Incoming Emails via Defend（Defendからの受信メール） | ループ防止のため、Defendを利用している外部組織との間には例外設定が設けられています。認証の一手段として、共有シークレット識別子がヘッダーに追加されます。 |
| Internal Emails via Defend（Defendからの内部メール） | このルールは、内部メールをDefendへルーティングします。この機能により、Defendはスレッド内に以前追加されたHTMLバナーやリンクの書き換えを削除できます。このルールは、「X-Egress-Defend」ヘッダーに「SK」「Domain」「Direction」の値を設定します。 |
| Outgoing Emails via Defend（Defendからの送信メール） | このルールは、送信メールをDefendへルーティングします。この機能により、Defendはスレッド内に以前追加されたHTMLバナーを削除できます。 |
| Defend Microsoft Spam（Microsoftのスパム信頼度を保持） | このルールは、メッセージに付与されたMicrosoftの元のスパム信頼度を保持します。 |
| Defend Microsoft Strong Spam（Microsoftのスパム信頼度（高）を保持） | このルールは、メッセージに付与されたMicrosoftの元のスパム信頼度を保持します。 |
| Defend Microsoft Not Spam（Microsoftのスパム信頼度（ゼロ）を保持） | このルールは、メッセージに付与されたMicrosoftの元のスパム信頼度を保持します。 |
| Defend Remove Sk Header（Skヘッダーを削除）* | このルールは、「X-Egress-Defend-Sk」の値が組織外に送信されるのを防ぎます。 |
| Defend Quarantine（隔離） | このルールは、Defendがリスクが高いと判断したメールをMicrosoftの隔離領域に送信します。 |
*これらは従来のDefendルールであり、新しいDefendをデプロイした場合に表示されない場合があります。
[App Registration]（アプリ登録） セクションでは、 権限を詳細なレベルまで分類し、 それぞれの権限について、 その理由と要求内容を記載しています。
| App Registration（アプリ登録） | 必要な権限 | 正当性 |
|---|---|---|
| User Analysis（ユーザー分析） |
|
組織内のユーザーや グループの理解を深め、 過去のメールを 分析して 有効性を向上させます。 |
| Admin Features（管理機能） |
|
管理者が Defend コンソールでメールを閲覧し、受信トレイから危険なフィッシングメールを対処（削除・修復）できるようにします。 |
| Egress ESI OpenID |
|
OpenID の権限は、 Defend がユーザーを認証し、 基本的なアイデンティティにアクセスするとともに、 セッション間でシームレスなユーザー体験を提供しながらアクセスを継続できるようにする、 一般的な認証用スコープです。 |
| KnowBe4 Onboard（KnowBe4オンボード）* |
|
このアプリ登録は 最初のオンボーディング段階を処理し、 ドメインの検証および利用開始のための読み取りアクセスに加え、 初回のユーザーログインと認証に必要な 基本的な認証スコープを必要とします。 |
| KnowBe4 Deploy（KnowBe4デプロイ）* |
|
このプライマリアプリ登録は、 デプロイメントセンター用です。 メールフローの設定に必要な書き込み権限を要求し、 Defend 用にMicrosoft Exchange でトランスポートルールやコネクタを作成します。また、必要な処理グループの管理、 クエリの実行、 保護ポリシー対象となる全ユーザーを検証し、 SCIM プロビジョニングを有効化します。 |
| KnowBe4 Collaboration Security（KnowBe4コラボレーションセキュリティ） |
|
DefendがMicrosoft Teamsを監視して脅威を検出し、 管理ポータルにデータを提供できるようにします。
|
*これらのアプリ登録はDefendをデプロイしている期間のみ必要であり、インストール完了後は削除できます。
Defendコンソール
デプロイが完了し、Microsoft 365のDefendユーザーグループに必要なユーザーを追加して、Defendを組織全体に展開したら、Defendコンソールにアクセスできます。
コンソールは、以下のページで構成されています。
- [Dashboard]（ダッシュボード）
- ダッシュボードでは、Defendが観測したメールアクティビティの概要を確認できます。ダッシュボードの情報は、見やすいグラフやチャートで表示されます。
- 詳細については、「Defend - ダッシュボード」の記事を参照してください。
- [Recent Emails]（最近のメール）
- [Recent Emails]（最近のメール）ページでは、管理者がDefendによって処理されたメールを表示および分析できます。
- 詳細については、「Defend - 最近のメール」の記事を参照してください。
- [Abuse Mailbox]（不正メールの受信箱）
- [Abuse Mailbox]（不正メールの受信箱）ページでは、不正なメールの受信箱に送信された全てのメールと、その分析ステータスが表示されます。
- 詳細については、「Defend - 不正メールの受信箱の自動処理」の記事を参照してください。
- [Allow or Deny List]（許可または拒否リスト）
- これらのリストでは、指定したメールアドレス、ドメイン、またはIPアドレスから組織内のユーザーにメールが送信された場合の処理方法を設定できます。
- 詳細については、「Defend - 許可または拒否リスト」の記事を参照してください。
- [Event Notifications]（イベント通知）
- イベント通知を使用すると、特定のアクションが発生した際に管理者へ通知できます。
- 詳細については、「Defend - イベント通知」の記事を参照してください。
- [Settings]（設定）
- [Settings]（設定）ページでは、管理者が組織のニーズに合わせてDefendの設定をカスタマイズできます。
- 詳細については、「Defend - 設定」の記事を参照してください。
- [URL Rewriting or Decoding]（URLの書き換えまたはデコード）
- Defendがリンクを書き換えないようにするURLの例外を追加します。デコードツールを使用して、Defendによって書き換えられたURLを元の形式で表示できます。
- 詳細については、「Defend - URL書き換えの例外」と「Defend - URLデコード」の記事を参照してください。
- [User Management]（ユーザー管理）
- [User Management]（ユーザー管理）では、Defend管理者を追加、編集、削除できます。
- 詳細については、「Defend - ユーザー管理」の記事を参照してください。
- [Audit Log]（監査ログ）
- 全ての管理者によってDefendコンソールで行われた変更を確認できます。