この記事でわかること

  • Microsoft Defender for Office 365 Plan 2 とは：メールや Teams、SharePoint、OneDrive を狙う脅威に対し、「防御」だけでなく「調査」「対応」「教育」まで支援するセキュリティソリューション。
  • Plan 1 との違いと追加機能：Plan 1のメール保護機能に加え、Threat Explorerによる詳細調査、自動調査と対応（AIR）、攻撃シミュレーション トレーニング、脅威分析などの高度なセキュリティ運用機能を利用できます。
  • 基本的な設定・運用方法：Microsoft Defender ポータルでの脅威確認、Safe Links・Safe Attachmentsの設定と検証、攻撃シミュレーションの実施方法など、導入後の基本的な運用手順を紹介します。

2026年セキュリティ脅威・SCSへの対応提案ガイドを公開中

サプライチェーンリスク、AI活用に伴う情報漏えい対策、コンプライアンス強化など、企業が直面する新たなセキュリティ課題に対し、Microsoft 365 Business Premiumを中心に、Defender、Purview、Entra、バックアップ、SIEMを組み合わせた段階的なセキュリティ強化の考え方を解説。TD SYNNEXが提案する実践的なソリューションモデルをまとめたガイドです。

資料をダウンロードする

フィッシングメールや悪意のある URL、マルウェア付き添付ファイルは、多くの組織にとって主要なセキュリティリスクのひとつです。
さらに、メールだけでなく Microsoft Teams、SharePoint、OneDrive といった日常的なコラボレーション環境も、攻撃者に狙われる対象になっています。

Microsoft Defender for Office 365 Plan 2 は、Microsoft 365 のメールおよびコラボレーション環境を狙う脅威に対し、防御だけでなく調査・対応・教育まで支援するセキュリティソリューションです。

Safe Links (安全なリンク) や Safe Attachments (安全な添付ファイル) による脅威の防止に加え、エクスプローラー (Threat Explorer) を活用した詳細調査、自動調査と対応 (AIR) による運用効率化、攻撃シミュレーション トレーニングによる利用者教育を行えます。

本記事では、Microsoft Defender for Office 365 Plan 2 の概要と、管理者が押さえておきたい基本操作を紹介します。

Microsoft Defender for Office 365 とは

Microsoft Defender for Office 365 Plan 1 について

Microsoft Defender for Office 365 Plan 1 は、Microsoft 365 のメールおよび対応するコラボレーション環境を、悪意のある URL、添付ファイル、フィッシング、ビジネスメール詐欺（BEC）などから保護するための機能を提供します。 

従来のシグネチャベースの検知だけでは、未知または巧妙化した脅威への対応に限界があります。Microsoft Defender for Office 365 は、脅威インテリジェンス、機械学習、レピュテーション、サンドボックス分析などを活用し、未知の脅威を含むメールおよび URL のリスク低減を支援します。 

また、企業になりすましたフィッシングメールや標的型攻撃の検知にも対応しています。
近年は攻撃の多くがゼロデイ攻撃や未知のマルウェアを利用しているため、パターンファイルだけでは十分な防御が難しくなっています。Defender for Office 365 Plan 1 は、こうした最新の脅威に対応するためのメールセキュリティ対策を提供します。

主に、下記のゼロデイ攻撃や、未知のマルウェアに対応する機能があります。

  • Safe Attachments 機能：疑わしい添付ファイルを仮想環境で分析し、悪意のあるコンテンツを検知・ブロックする
  • Safe Links 機能：転送サービスによって危険なサイトにリダイレクトされるような場合も含め、悪意のあるインターネット アクセスからの保護に対応
  • フィッシング対策機能：実在するドメインやユーザーに偽装したメールを検知

期待される効果

  • 未知のマルウェア・ウイルスに対する保護
  • 悪意のあるURLに対するクリック時のリアルタイム保護
  • 偽装を利用したビジネスメール詐欺（BEC）からの保護

Microsoft Defender for Office 365 Plan 1 と Plan 2 の違い

Plan 2 では、メール脅威対策の基本機能に加え、脅威の調査・分析・自動対応・教育に関する高度な機能を利用できます。

収集したセキュリティデータはダッシュボード上で自動的に可視化され、収集したメールおよびコラボレーション関連のセキュリティ シグナルは、Microsoft Defender ポータルで可視化できます。
管理者は、脅威メール、URL、添付ファイル、影響を受けたユーザー、検知状況などを横断的に確認し、脅威の傾向や影響範囲を把握できます。

これにより、情シス担当者はセキュリティ対策状況のレポートを容易に作成でき、テナントの設定見直しや監査対応の効率化につなげられます。
また、テスト用フィッシングメールを活用した攻撃シミュレーターにより、ユーザーのセキュリティ意識の評価や教育・トレーニングも実施できます。

脅威対策を「メールを止めること」だけでなく、以下のような運用に発展させたい組織には Plan 2 が適しています。

  • インシデント発生時、同種のメールが誰に届いたかを迅速に確認したい
  • 調査・隔離・削除などの対応を効率化したい
  • セキュリティ担当者のアラート対応負荷を下げたい
  • フィッシング訓練を通じて、従業員の対応力を高めたい
  • 経営層に対して脅威状況や対策効果を可視化したい
機能概要活用場面Plan 1Plan 2
Safe Attachments添付ファイルを分析し、悪意あるファイルから保護マルウェア、ランサムウェア対策〇〇
Safe Linksメールや Teams などに含まれる URL をクリック時に検査フィッシングサイト、悪性 URL 対策〇〇
エクスプローラー (Threat Explorer)メッセージ、URL、添付ファイル、受信者、判定結果などを横断して検索・調査インシデント調査、影響範囲の特定、ハンティング制限あり〇
自動調査と対応 (AIR)検知した脅威を自動的に調査し、推奨または対応を実行初動対応の迅速化、運用負荷の軽減　〇
攻撃シミュレーション トレーニングフィッシングなどを模した訓練を実施し、利用者の耐性を確認セキュリティ教育、啓発施策　〇
脅威分析・キャンペーンビュー攻撃キャンペーンや脅威トレンドを把握警戒強化、対策の優先順位付け　〇

それでは、実際の基本操作についてみていきましょう。

基本操作

Step 1. 脅威の状況を確認する

まずは、Microsoft Defender ポータルでセキュリティ状況を確認します。

1-1. https://security.microsoft.com にアクセスします。

1-2. 左ナビゲーション メニューから ［メールとコラボレーション］ > ［エクスプローラー］を選択します。

表示されている画面から [マルウェア] タブを選択します。
マルウェアに関連するメッセージが検出されている場合は、一覧で確認できます。表示内容は、選択した期間、フィルター、検出・処理状況によって変わります。

そのほか、Explorer では、たとえば次のような調査ができます。

  • 特定の不審メールを受信したユーザーの確認
  • 同じ件名・送信元・URL を含むメールの検索
  • 不審な添付ファイルの配信状況の確認
  • メールが迷惑メール、隔離、受信トレイのどこに配信されたかの確認
  • URL クリックや脅威判定に関する情報の確認
ユースケース：不審な請求書メールが報告された場合

利用者から「不審な請求書メールを受信した」と報告があった場合、以下のように調査します。

  1. Explorer でメールの件名、送信者、受信日時を指定して検索する
  2. 同じメールを受信したユーザーを確認する
  3. 添付ファイルや URL の脅威判定を確認する
  4. 必要に応じて、関連メールを隔離・削除する
  5. 同じ攻撃が継続していないか、キャンペーン情報やアラートを確認する

Step 2. Safe Links (安全なリンク) と Safe Attachments (安全な添付ファイル) の設定と機能を確認

Defender for Office 365 の保護を有効にするうえで、まず確認したいのが Safe Attachments (安全な添付ファイル) とSafe Links (安全なリンク) です。

2-1. Safe Attachments (安全な添付ファイル) とは

Safe Attachments は、メール添付ファイルを分析し、悪意ある可能性があるファイルへの対策を行う機能です。
添付ファイルをサンドボックス (仮想環境) で実際に実行し、マルウェアを検知します。

Safe Attachments の仕組み

設定時には、以下を検討します。

  • 添付ファイルの検査対象
  • 検査中のメールを一時的に保留するか
  • 悪性ファイルを検知した場合の処理
  • 既存のメールフローや業務上の添付ファイル利用への影響

2-2. Safe Links  (安全なリンク) とは

Safe Links (安全なリンク) は、メール本文などに含まれる URL を保護する機能です。攻撃メールが配信された時点では問題がなかった URL が、後から悪性サイトに変わるケースにも対応しやすくなります。

メールに記載されたリンクをクリックした際に、そのウェブサイトが安全かどうかをその場でチェックします。悪意のあるサイトや偽サイト(フィッシング詐欺) と判定された場合、警告画面を表示してアクセスを止めます。

Safe Links ポリシーの対象となるメール内 URL は、通常、safelinks.protection.outlook.com を含む URL に書き換えられ、クリック時に再評価されます。実際の書き換え・保護の挙動は、ポリシー、対象ユーザー、除外設定、利用クライアントなどによって異なります。

書き換えられた URL の例
https://〇〇〇.safelinks.protection.outlook.com/?url=…

Safe Links の仕組み

設定時には、以下を確認しましょう。

  • 保護対象にするユーザー・グループ
  • メールだけでなく Teams などのコラボレーション環境も対象にするか
  • 悪意ある URL を検出した場合の利用者画面・通知
  • 利用者が警告を回避できる設定になっていないか

いきなり全社へ厳格なポリシーを適用するのではなく、まずは IT 部門や限定グループで検証し、業務影響を確認しながら展開することをおすすめします。

それでは Safe Links  (安全なリンク) と、Safe Attachments (安全な添付ファイル) の設定操作を見ていきましょう。

まずは、Safe Attachments が正しく動作するのかを検証していきましょう。

2-3. Safe Attachments (安全な添付ファイル) ポリシーをテスト作成し、実際の動作を確認

2-3-1. Microsoft Defender 管理ポータル (https://security.microsoft.com) を開きます。

2-3-2. 左ナビゲーション メニューから、[メールとコラボレーション] > [ポリシーとルール] から ［脅威ポリシー］ を開きます。

2-3-3. [安全な添付ファイル] を選択します。

2-3-4. [作成] を選択します。

2-3-5. ポリシー名を入力し、[次へ] を選択します。

2-3-6. 対象ユーザーを指定します。ここでは検証用ユーザーだけを対象にするのがおすすめです。指定ができたら [次へ] を選択します。

2-3-7. 次の設定では、動的配信 (Dynamic Delivery) を選択してみます。
Dynamic Delivery では、添付ファイルの分析中にメール本文を先に配信し、添付ファイル部分には一時的なプレース ホルダーを表示します。分析の結果、安全と判断されれば添付ファイルを利用できるようになり、悪意があると判断された場合はブロックまたは隔離されます。

[次へ] を選択します。

2-3-8. 設定内容の確認が表示されます。[送信] を選択してテスト用ポリシーの設定は完了です。

2-4. Safe Attachments (安全な添付ファイル) ポリシーの動作をテストしてみる

2-4-1. 前述の手順で作成したSafe Attachments ポリシーで指定した対象ユーザーを宛先にしたメールを作成します。
件名と本文は任意のもので構いません。適当な Zip 形式のファイルを添付します。
この例では、サイズが 8 MB のファイルを用意してみました (検証用には、業務データを含まない無害な添付ファイルを使用します。分析時間はファイルの種類、サイズ、サービスの処理状況などにより変動するため、添付ファイルがすぐに利用可能にならない場合もあります)。

Web 版 Outlook でのメール作成例

2-4-2. 対象のユーザーがメールを受信できているかを確認します。
メールの添付ファイルの部分が Safe Attachments 検証中という事が確認できます。

Web 版 Outlook での例

時間が経過して検証が完了すると、添付ファイルが遅れて届いたことが確認できます。

2-4-3. 次に、管理ポータル側の確認を行ってみましょう。
Microsoft Defender 管理ポータル (https://security.microsoft.com) へアクセスします。
左ナビゲーション メニューから、[メールとコラボレーション] > [エクスプローラー] を選択します。

2-4-4. エクスプローラー画面を下にスクロールすると、メッセージ (メール) の一覧があります。
先ほど送信した添付ファイル付きのメールの件名を選択します。

2-4-5. メールの詳細が表示されます。詳細最下部に添付ファイルの詳細についての情報があります。サンドボックスで検証した結果、脅威やマルウェアが存在しなかったことが確認できます。

Safe Attachments の確認はここまでです。
次は Safe Links について見ていきましょう。

2-5. Safe Links  (安全なリンク) ポリシーをテスト作成し、実際の動作を確認

2-5-1. Microsoft Defender 管理ポータル (https://security.microsoft.com) へアクセスします。
左ナビゲーション メニューから、[メールとコラボレーション] > [ポリシーとルール] から ［脅威ポリシー］ を開きます。

2-5-2. [安全なリンク] を選択します。

2-5-3. [作成] を選択します。

2-5-4. ポリシーの名前を入力します。

2-5-5. 対象ユーザーを指定します。ここでは検証用ユーザーだけを対象にするのがおすすめです。指定ができたら [次へ] を選択します。

2-5-6. [URL とクリックに対する保護の設定] の画面では、下記のようにします。

  • [ユーザーが元の URL へクリック スルーするのを許可する] : チェックをオフ
  • その他の項目: チェックをオン

それ以外をすべてチェック オンにします。[次へ] を選択します。

  • この設定により、メール、Teams、Office 365 Apps が Safe Links 保護の対象となります。クリック スルーを不許可にすることで、危険な URL をクリックした際にユーザーが無理やり先へ進めなくなります。
ポイント

実際の本番運用では、少なくとも以下を確認するようにします。

  • メールメッセージ内の URL のクリック時保護を有効にする
  • Teams、Office アプリの URL 保護は、自組織の利用状況に応じて有効化する
  • 悪意のある URL へのクリック スルーは、原則として許可しない
  • URL の除外設定が過度に広くなっていないことを確認する

2-5-7. 通知は既定のままにします。[次へ] を選択します。

2-5-8. 設定内容の確認が表示されます。[送信] を選択してテスト用ポリシーの設定は完了です。

2-6. Safe Links  (安全なリンク) ポリシーの動作をテストしてみる

2-6.1. 前述の手順で作成したSafe Links ポリシーで指定した対象ユーザーを宛先にしたメールを作成します。
件名は任意で構いません。本文は下記を記載してみます。

※ 下記に記載のフィッシング テストとマルウェア テストの URL は、マイクロソフトが公開しているテスト用 URL です。実際は無害ですので、ご安心ください。なお、マイクロソフトのテスト用 URL を公開しているページは、下記となります。
参考：URL 評価のデモンストレーション

＜メール本文設定内容ここから＞

----------------------------------------

安全なサイト

https://jp.tdsynnex.com

スパム リンク

http://spamlink.contoso.com

----------------------------------------

＜メール本文設定内容ここまで＞

Web 版 Outlook でのメール作成例

2-6-1. メールを送信し、宛先側でメールが受信されているかを確認します。

Web 版 Outlook の例

2-6-2. 一番上のリンクをコピーしてメモ帳に貼り付けていただくと、Safe Links の機能によって、リンクが “https://〇〇〇.safelinks.protection.outlook.com/?url=” といった URL に書き換えられていることが判ります。

Web 版 Outlook の例
コピーしたリンクをメモ帳に貼り付けた結果

2-6-3. メール本文の安全なサイトのリンクを選択してみましょう。Safe Links の検証の結果、安全なサイトと判断され、TD SYNNEX のサイトが表示されます。

2-6-4. 次に、スパム リンクを選択してみます。
ブロックがされ、警告が表示されます。Safelinks が動作していることが判ります。
警告内容を確認し、警告のウインドウを閉じます。

2-6-5. Microsoft Defender 管理ポータル側でクリック履歴を確認してみましょう。
Microsoft Defender 管理ポータル (https://security.microsoft.com) へアクセスし、左ペイン メニューから [メールとコラボレーション] > [エクスプローラー] を選択します。
[エクスプローラー] から、[URL のクリック] タブを選択します。

2-6-6. 下にスクロールし、URL のクリック履歴の一覧を確認します。
メールの URL をクリックした履歴の中に、先ほどブロックされたリンクの履歴があることが判ります。
このように、Safe Links の利用により、危険なリンクをクリックした場合、いつ、どのユーザーが何のメールで、何のリンクをクリックしたのかが確認することができます。
Safe Links のテストは以上です。

Step 3. 攻撃シミュレーターを利用する

ここでは Microsoft Defender for Office 365 Plan 2 の攻撃シミュレーターの機能を試してみます。

技術的な対策だけでは、すべてのフィッシング攻撃を防ぐことは困難です。最終的にメールを開き、URL をクリックするのは利用者であるため、継続的な教育も重要になります。

Microsoft Defender for Office 365 の Plan 2 の攻撃シミュレーション トレーニングでは、フィッシングなどを模したシナリオを使い、利用者の反応を確認できます。

では、実際の設定動作をしてみましょう。

ポイント

攻撃シミュレーションを本番実施する際は、情報システム部門、セキュリティ部門、人事・法務部門、対象部門の責任者などと、対象範囲・実施時期・通知方針・結果の取り扱いを事前に合意しておくことが重要です。
実際の攻撃と誤認した利用者からの問い合わせに備え、ヘルプデスクへの事前連絡や対応フローの整備も有効です。

3-1. Microsoft Defender 管理ポータル (https://security.microsoft.com) にアクセスし、左ナビゲーションメニューから [メールとコラボレーション] >［攻撃シミュレーション トレーニング］ を選択します。

3-2. [シミュレーション] タブを選択し、[シミュレーションの開始] を選択します。

3-3. [技法の選択] ページにて、シミュレーションの種類を選択します。

今回は [資格情報収集] を選択します。これは資格情報の奪取を狙うフィッシングをシミュレートするものです。
[次へ] を選択します。

3-4. シミュレーションの名前を指定し、[次へ] を選択します。

3-5. [ペイロードとログインの選択] ページが表示されます。

ここではシミュレーション送信する悪意あるメールの内容を選んでいきます。あらかじめ多数用意されていますが、自身で作成することもできます。今回はあらかじめ用意された内容を選んでいきましょう。一覧右の [フィルター] を選択します。

3-6. フィルターの [検索言語] の [日本語] にチェックを入れ、[適用] を選択します。

3-7. 一覧から [QR code payloads: Undelivered Email] をチェックし、[次へ] を選択します

ポイント

[QR code payloads: Undelivered Email] Office 365 からのメール未配信通知に似せた疑似フィッシングメールを送信するものです。詳細な内容は、この一覧画面の [QR code payloads: Undelivered Email] のタイトルを選択すると確認できます。

詳細確認画面の例

※ 画面に表示されるペイロード、テンプレートは、Microsoft により更新される場合があります。

3-8. シミュレーションの対象ユーザーを指定します。

必要に応じて任意のユーザーやグループを追加してください。
この例では、テスト用のユーザーを 1 つ追加しています。[次へ] を選択します。

3-9. ターゲットとして指定したユーザーの中から除外したいユーザーがいる場合は指定します。

ここでは指定はせずに [次へ] を選択します。

3-10. シミュレーションで正しくないアクション (メール内のリンクをクリックした、資格情報を入力してしまった) を行ったユーザーに対して、ビジネスメール詐欺 (BEC) を割り当てるかの設定を行います。

今回は、既定の状態 (マイクロソフトの推奨トレーニングを割り当て、30 日以内に受講するようにする) にします。
[次へ] を選択します。

3-11. 次にフィッシングのランディング ページの選択画面です。

シミュレーション メールのリンクをクリックしたユーザーに訓練であることを表示するためのWeb ページをどのようにするかの設定です。
[ライブラリのランディング ページを利用する] ラジオ ボタンを選択し、ランディングページの一覧から [Microsoft Landing Page Template 1] を選択します。
[既定の言語の選択] が表示されますので、[日本語] を選択しておきましょう。

ポイント

ランディングページ一覧画面のタイトルを選択すると、詳細内容を確認できます。

[Microsoft Landing Page Template 1] 詳細の例

※ 画面に表示されるランディング ページテンプレートは、Microsoft により更新される場合があります。

3-12. ユーザーへの通知の有無、通知の送信方法の選択です。

正しくフィッシングメールを報告したユーザーに対しての励ましの通知の送信や、シミュレーションに不合格となったユーザーにトレーニングのリマインダー メールを送信するための設定になります。

今回は推奨値である [Microsoft の既定の通知 (推奨)] を選択しておきます。言語は日本語を選択します。
通知メールの配信頻度の設定についても設定しておきます。[Microsoft default positive reinforcement notification] の配信は [シミュレーション終了後に配信する] を設定し、[Microsoft default training reminder notification] の配信は [週に 2 回] を選択します。

この設定により、正しい行動を行ったユーザーには、シミュレーション終了後に励ましの通知が行われ、不合格ユーザーには、週 2 回トレーニング受講のリマインド メールが配信されます。

ポイント

エンドユーザー通知一覧画面の参照ボタンを選択すると、通知内容の詳細が確認できます。

※ 画面に表示される通知テンプレートは、Microsoft により更新される場合があります。

3-13. いつシミュレーションを開始するかの設定です。

今回は既定 (今すぐシミュレーションを開始する状態) のまま進めます。
翌日開始したいなどの場合は、この設定を編集してください。

3-14. 設定内容の最終確認画面となります。

ここで自身にテスト メールを送信することもできます。最後に [送信] ボタンを選択して、設定完了です。

3-15. 実際にユーザーへシミュレーション メールが届いているか確認してみましょう。

対象ユーザーのメールボックスに疑似フィッシング メールが配信されています。
以上で攻撃シミュレーションの設定操作は完了です。

まとめ

メールを起点としたサイバー攻撃は、フィッシングメールやビジネスメール詐欺（BEC）、悪意のある URL など手口が巧妙化しており、「受信を防ぐだけ」の対策では十分とはいえません。

Microsoft Defender for Office 365 Plan 2 は、Safe Links や Safe Attachments による脅威の防御に加え、Threat Explorer を活用した調査、自動調査と対応（AIR）、攻撃シミュレーション トレーニングによる利用者教育までを支援します。

メール脅威対策を単なる「防御」に留めるのではなく、「調査」「対応」「教育」を含めた継続的なセキュリティ運用へ発展させたい企業にとって、Microsoft Defender for Office 365 Plan 2 は有力な選択肢のひとつといえるでしょう。

2026年セキュリティ脅威・SCSへの対応提案ガイドを公開中

サプライチェーンリスク、AI活用に伴う情報漏えい対策、コンプライアンス強化など、企業が直面する新たなセキュリティ課題に対し、Microsoft 365 Business Premiumを中心に、Defender、Purview、Entra、バックアップ、SIEMを組み合わせた段階的なセキュリティ強化の考え方を解説。TD SYNNEXが提案する実践的なソリューションモデルをまとめたガイドです。

資料をダウンロードする