2026.11.03 セキュリティ

Microsoft Defender for Office 365とは：Plan 1・Plan 2の違いと安全なリンク・添付ファイル・なりすまし対策のPowerShell設定【2026年11月】

Microsoft Defender for Office 365は、Exchange Onlineの標準のフィルターをすり抜けるフィッシングや未知のマルウェアを、URLの検査・添付ファイルの仮想実行・なりすまし検知で止めるMicrosoft 365のメールセキュリティ製品です。この記事では、Plan 1とPlan 2で何が違うのかを2026年11月時点の公式価格と合わせて整理し、Exchange Online PowerShellで安全なリンク、安全な添付ファイル、なりすまし対策のポリシーを作る手順をコマンド付きで示します。最後に、Plan 2まで契約すべき組織と、プリセットのまま運用してよい組織の線引きを言い切ります。

まとめ：Defender for Office 365のプラン選びと最初に入れる設定の結論

ほとんどの組織はPlan 1で足ります。安全なリンク、安全な添付ファイル、役員やドメインのなりすまし検知はPlan 1にすべて含まれ、公式価格は1ユーザーあたり月額299円相当（税抜・年払い）です。Microsoft 365 Business Premiumを契約していれば、すでにPlan 1が付いています。

設定はカスタムポリシーから作り込むより、Standardのプリセットセキュリティポリシーを全員に割り当て、役員の名前だけを偽装保護の対象に足すほうが安全です。Plan 2（月額749円相当）が元を取るのは、侵入後の調査を自社のSOCで回す組織と、攻撃シミュレーション訓練を定期的に実施する組織に限られます。

Defender for Office 365の仕組みとEOPとの差分・プラン別機能

ここではPlan 1・Plan 2の機能範囲を、EOPとの差分から確認します。Exchange Onlineのメールボックスには、Defender for Office 365を契約していなくてもExchange Online Protection（EOP）の保護が付いています。Defender for Office 365はその上に積む追加の層です。

EOPに上乗せされる保護と組み込みの保護プリセットの既定動作

EOPが担うのは、既知のマルウェアとスパムの除去、送信ドメインの偽装（スプーフィング）の判定、隔離です。Defender for Office 365を入れると、メール内のURLをクリック時に検査する安全なリンク、添付ファイルを仮想環境で開いて挙動を確かめる安全な添付ファイル、特定の人物やドメインを名乗る偽装の検知が加わります。Microsoft Learnの概要ページ（2026年5月21日更新）は、この関係をEOP、Plan 1、Plan 2の「保護ラダー」として説明しています。

見落としやすいのは、契約した直後から「組み込みの保護」というプリセットが全受信者に効いている点です。事前設定されたセキュリティポリシーの解説によると、組み込みの保護では元のURLへのクリックが許可され（AllowClickThrough=$true）、URLの書き換えは行われず、社内から社内へのメールには安全なリンクが適用されません。何も設定しないと、この緩い状態のまま運用が続きます。

Plan 1とPlan 2の機能差と2026年11月時点の税抜価格の比較表

価格は公式製品ページの表示（2026年11月3日確認・税抜・年間サブスクリプションの月額相当）、機能はサービス説明書の機能表をもとに整理しました。

項目	Plan 1	Plan 2
月額（1ユーザー・税抜）	299円相当	749円相当
安全なリンク・安全な添付ファイル	あり	あり
ユーザー・ドメインの偽装保護	あり	あり
脅威の調査画面	リアルタイム検出	脅威エクスプローラー
自動調査と対応（AIR）	なし	あり
攻撃シミュレーショントレーニング	なし	あり
Defender XDRの高度なハンティング	なし	あり

差が出るのは「止める機能」ではなく「起きた後に調べて対処する機能」です。自社がどちらを契約しているかは、Defenderポータルの［メールとコラボレーション］に「リアルタイム検出」が出ていればPlan 1、「エクスプローラー」が出ていればPlan 2と見分けられます。Microsoft 365 E5にはPlan 2が含まれ、90日間の無料試用版もあります。

Exchange Online PowerShell接続とポリシー適用状況の確認

接続後は、現在のポリシーが誰に適用されているかを確認します。ポリシーはDefenderポータル（security.microsoft.com）でも作れますが、テナントが複数ある、設定を記録に残したい、という場合はPowerShellで扱うほうが確実です。

ExchangeOnlineManagement 3.10系導入と接続時の管理者ロール

接続にはExchange Online PowerShellへの接続手順にあるExchangeOnlineManagementモジュールを使います。PowerShell Galleryの最新版は2026年11月3日時点で3.10.1です。ポリシーの作成と変更には、Exchange Onlineの「Organization Management」と、メールとコラボレーションの「Organization Management」または「Security Administrator」の両方が必要になります。グローバル管理者で作業するのは避け、Microsoft Entra IDの「セキュリティ管理者」を割り当てたアカウントを使ってください。管理者ロールの分け方はMicrosoft 365管理センターの初期設定と権限設計で整理しています。

組み込みの保護とプリセットの適用先をGet系コマンドで棚卸しする手順

最初に、どのポリシーが誰に効いているかを読み取るだけのコマンドで確認します。変更は加えないので、本番テナントでそのまま実行できます。

# モジュールの導入（初回のみ）と接続
Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser
Connect-ExchangeOnline -ShowBanner:$false

# 組み込みの保護の対象と除外
Get-ATPBuiltInProtectionRule | Format-List Name,State,ExceptIfSentTo,ExceptIfSentToMemberOf

# Standard／Strictプリセットが有効か（未有効ならルール自体が存在しない）
Get-ATPProtectionPolicyRule | Format-Table Name,State,Priority

# カスタムの安全なリンク・安全な添付ファイル・フィッシング対策のルール
Get-SafeLinksRule | Format-Table Name,State,Priority,SafeLinksPolicy
Get-SafeAttachmentRule | Format-Table Name,State,Priority,SafeAttachmentPolicy
Get-AntiPhishRule | Format-Table Name,State,Priority,AntiPhishPolicy

Get-ATPProtectionPolicyRuleが何も返さない場合、Standard／Strictのプリセットは一度も有効化されていません。プリセットのルールは、Defenderポータルで初めて有効にしたときに作られる仕組みです。PowerShellからプリセット配下の個別ポリシーを作ったり書き換えたりすることは公式に禁じられているので、プリセットの初回有効化だけはポータルで行います。

安全なリンクと安全な添付ファイルのポリシーをPowerShellで作成する手順

プリセットでは足りない部署だけに別の設定を当てたいときは、カスタムポリシーを作ります。PowerShellでは「ポリシー（何をするか）」と「ルール（誰に当てるか）」が別のオブジェクトで、2つを作って初めて効きます。

New-SafeLinksPolicyとNew-SafeLinksRuleで全社設定

安全なリンクの設定手順に沿って、全社向けのポリシーと適用先のルールを作成します。メール・Teams・Officeアプリのリンクを検査し、検査が終わるまで配信を待ち、警告ページから元のURLへ進めないポリシーを作ります。

# 1. ポリシー本体（何をするか）
New-SafeLinksPolicy -Name "Corp Safe Links" `
  -EnableSafeLinksForEmail $true `
  -EnableSafeLinksForTeams $true `
  -EnableSafeLinksForOffice $true `
  -ScanUrls $true `
  -DeliverMessageAfterScan $true `
  -EnableForInternalSenders $true `
  -AllowClickThrough $false

# 2. ルール（誰に当てるか）：テナントの承認済みドメイン全部
New-SafeLinksRule -Name "Corp Safe Links" `
  -SafeLinksPolicy "Corp Safe Links" `
  -RecipientDomainIs (Get-AcceptedDomain).Name

# 確認
Get-SafeLinksPolicy -Identity "Corp Safe Links"; Get-SafeLinksRule -Identity "Corp Safe Links"

手順1だけで止めると、ポリシーは誰にも適用されず、Defenderポータルにも表示されません。逆に削除するときは、Remove-SafeLinksPolicyとRemove-SafeLinksRuleを両方実行しないと片方が残ります。新しいポリシーや変更が効くまでには最大6時間かかります。

安全な添付ファイルのAction値の選び方と動的配信を使う場面の判断

安全な添付ファイルは、添付ファイルを仮想環境で開いて挙動を確かめます。安全な添付ファイルの設定手順によると、検査は通常15分以内に終わり、ポリシーの反映は最大30分です。

New-SafeAttachmentPolicy -Name "Corp Safe Attachments" -Enable $true `
  -Action Block `
  -EnableBlockingEncryptedAttachments $true

New-SafeAttachmentRule -Name "Corp Safe Attachments" `
  -SafeAttachmentPolicy "Corp Safe Attachments" `
  -RecipientDomainIs (Get-AcceptedDomain).Name

Actionの既定値で、プリセットも採用しているのはBlockです。DynamicDelivery（動的配信）は本文を先に届け、添付ファイルは検査が終わってから差し込む方式で、見積書や発注書の到着が15分遅れると業務が止まる営業部門に向きます。Allowは検査結果に関係なく届けるため、本番では選びません。パスワード付きZIPのように中身を検査できない添付は、EnableBlockingEncryptedAttachmentsで隔離できます。取引先とのやり取りで暗号化ZIPが多い会社は、先に影響範囲を見てから有効化してください。

なりすまし対策ポリシーで役員の偽装と自社ドメインの偽装を止める設定

請求書の振込先変更を装うビジネスメール詐欺は、URLも添付も含まないため、安全なリンクと安全な添付ファイルでは止まりません。これを受け持つのがフィッシング対策ポリシーの偽装保護です。

New-AntiPhishPolicyで保護対象ユーザー350人枠と組織ドメインを指定

フィッシング対策ポリシーの設定手順では、偽装から守る人物は1ポリシーあたり最大350人です。役員の配布グループから「表示名;メールアドレス」の形を組み立てれば、アドレスを手で書かずに済みます。

# 役員グループのメンバーを「表示名;アドレス」の配列にする
$vip = Get-DistributionGroupMember -Identity "Executives" |
  ForEach-Object { "$($_.DisplayName);$($_.PrimarySmtpAddress)" }

New-AntiPhishPolicy -Name "Corp AntiPhish" `
  -EnableTargetedUserProtection $true -TargetedUsersToProtect $vip `
  -TargetedUserProtectionAction Quarantine `
  -EnableOrganizationDomainsProtection $true `
  -TargetedDomainProtectionAction Quarantine `
  -EnableMailboxIntelligenceProtection $true `
  -MailboxIntelligenceProtectionAction MoveToJmf `
  -PhishThresholdLevel 3

New-AntiPhishRule -Name "Corp AntiPhish" -AntiPhishPolicy "Corp AntiPhish" `
  -RecipientDomainIs (Get-AcceptedDomain).Name

偽装検出時の既定のアクションは「アクションを適用しない」なので、Quarantineなどを明示しないと検知しても何も起きません。PhishThresholdLevelの3はStandardプリセットと同じ値で、Strictは4です。注意点として、ユーザー偽装保護は過去にメールをやり取りした相手からの送信には働きません。取引先のアカウントが乗っ取られて届く詐欺メールは、この機能の対象外です。

DMARCの判定結果を優先させる設定とSPF・DKIMを先に整える理由

フィッシング対策ポリシーのHonorDmarcPolicyは既定で$trueで、送信元がDMARCでp=quarantineを宣言していれば隔離、p=rejectなら拒否します。ただし、これは相手のドメインが正しく設定している場合に限られます。自社ドメインが偽装されるのを防ぐには、自社側でSPF・DKIM・DMARCを公開しておくことが前提です。レコードの書き方はDMARCの仕組みとレコードの書き方、ポリシーをp=rejectまで上げる手順はフィッシング対策ガイドライン2026年度版のDMARC要件にまとめています。DMARCを整えた先で、受信側に自社ロゴを出すBIMIのMicrosoft 365環境での設定にも進めます。

ポリシーが効いているかを確かめる検証手順と優先順位の落とし穴

作ったポリシーが実際に当たっているかは、送って確かめるのが確実です。

テスト用URLで安全なリンクの動作を確かめる手順と反映待ちの時間

安全なリンクには、スパム判定テスト用のGTUBE文字列に相当するテスト用URLが用意されています。公式手順に記載されたhttp://spamlink.contoso.comを本文に書いたメールを社外のアカウントから送り、クリックすると警告ページが出れば安全なリンクが効いています。反映には最大6時間かかるので、作成した当日の夕方以降に試してください。警告ページで「元のURLへ進む」が表示される場合は、AllowClickThroughが$trueのまま、つまり組み込みの保護が当たっている状態です。

Strict・Standard・カスタム・組み込みの順で最初の1件だけが効く仕組み

同じ人に複数のポリシーが当たる場合、適用順はStrictプリセット、Standardプリセット、評価ポリシー、カスタムポリシー（Priorityの数値が小さい順）、組み込みの保護と既定ポリシーの順です。安全なリンクも安全な添付ファイルも、最初に一致したポリシーだけが適用され、残りは無視されます。Standardプリセットに全員を入れたうえで役員向けのカスタムポリシーを作っても、役員にはStandardが当たり続けます。役員だけ厳しくしたいなら、Strictプリセットに役員を割り当てるか、Standard側で役員を除外してからカスタムを当ててください。

Plan 2を契約すべき組織と、Plan 1やプリセットで止めてよい場面の判断

機能表を並べると、Plan 2を選びたくなります。ただ、差額の月額450円相当を全ユーザー分払うかどうかは、調査を担う人がいるかで決まります。

Plan 2が投資に見合うのはSOC運用と攻撃シミュレーションを回す組織

Plan 2を選ぶのは、次のどちらかに当てはまる場合です。1つは、セキュリティ担当者が脅威エクスプローラーや自動調査と対応（AIR）で、届いてしまったフィッシングの影響範囲を毎週調べる体制がある場合。Microsoft SentinelやDefender XDRでメール以外のログとつないで追う組織も、ここに入ります。もう1つは、攻撃シミュレーショントレーニングで模擬フィッシングを年に数回配信し、クリック率を下げていく計画がある場合です。どちらの体制もないまま契約すると、Plan 1と同じ使い方で差額だけを払い続けることになります。

カスタムポリシーを作らずStandardプリセットで済ませてよい条件

従業員300人以下で、部署ごとに隔離の扱いを変える理由がない組織は、カスタムポリシーを作らずStandardプリセットを全員に当てて運用してください。Microsoftもこの構成を推奨しています。カスタムポリシーを増やすほど、上の優先順位の重なりで誰に何が効いているか分からなくなり、退職者の除外漏れや新設ドメインの登録漏れが起きます。作るのは、営業部門の動的配信のように業務上の理由が説明できる場合だけに絞るのが安全です。

反対に、導入するかどうか自体を迷っている場合は、Defender for Office 365を単体で検討する前に、Microsoft 365のプラン構成から見直すほうが早道です。Microsoft 365に含まれるサービスの整理を確認し、Business PremiumやE5への切り替えで含めるか、アドオンで足すかを比べてください。テナントの初期設定からセキュリティポリシーの設計までを外部に相談したい場合は、一創のMicrosoft 365・Copilot導入支援で、現状のポリシーの棚卸しから対応しています。

よくある質問：Defender for Office 365のライセンスと設定の疑問

導入と設定の場面でよく出る質問に答えます。

Defender for Office 365は全ユーザー分のライセンスが必要ですか？

保護を受けるユーザーの分が必要です。組み込みの保護はライセンスの数に関係なくテナント全員に効きますが、公式は全員分の購入を推奨しています。一部のユーザーだけに買う場合は、プリセットやカスタムポリシーの適用先をライセンスを持つ人のグループに絞り、ライセンスのない人を組み込みの保護から除外します。サービス説明書には、テナント全体に効き利用者を絞れない機能があると明記されているため、Plan 2は全員分そろえる前提で見積もってください。

Microsoft 365 Business PremiumやE5を使っていれば追加購入は不要ですか？

Business PremiumにはPlan 1が、Microsoft 365 E5・A5・G5にはPlan 2が含まれるため、追加購入は要りません。公式の概要ページではMicrosoft 365 E3にもPlan 1が含まれると案内されています。契約中のプランに何が含まれるかは、Microsoft 365管理センターの［課金情報］→［お使いの製品］で、サービスプランの一覧に「Microsoft Defender for Office 365」があるかで確かめられます。

安全なリンクでURLが長く書き換わるのを止められますか？

止められます。安全なリンクポリシーで「URLを書き換えない、SafeLinks APIのみを使用してチェックを行う」（DisableUrlRewrite）を有効にすると、URLは元のまま届き、対応するOutlookではクリック時にAPI経由で検査されます。ただし、Outlook以外のメールソフトやスマートフォンの標準メールアプリでは検査が働きません。社用端末をOutlookに統一できていない組織では、書き換えを残すほうが安全です。

Teamsのメッセージや共有ファイルも保護の対象になりますか？

Teamsのメッセージや共有ファイルも保護の対象です。安全なリンクはTeamsのチャット内のリンクにも効き、この設定が有効になるまでの所要時間は最大24時間です。SharePoint、OneDrive、Teamsにアップロードされたファイルの検査は、ポリシーではなく「安全な添付ファイル」のグローバル設定で有効にします。Teamsのメッセージに対するゼロアワー自動消去（ZAP）もPlan 1から使えます。

Defender for Office 365を入れればメールのセキュリティ対策は十分ですか？

受信メールの防御としては十分な水準ですが、アカウント乗っ取りは別の対策が要ります。パスワードを盗まれたアカウントから送られる社内メールは、正規の送信者として扱われるためです。多要素認証、とくにフィッシングに強い認証方式の導入と、Exchange Onlineの監査ログで不審なルールやファイルの大量ダウンロードを追える状態を合わせて整えてください。