Exchange Online Protectionの設定：フィッシング・スパム対策の推奨値とSPF・DKIM・DMARC

要点： 最も手早く安全な進め方は、全ユーザーにStandardの事前設定済みセキュリティポリシーを、リスクの高いアカウントにStrictを適用し、送信ドメインごとにSPF・DKIM・DMARCを公開することです。プリセットの対象外で手動設定が必要なのは、主に送信スパムの上限と自動転送です。最後にConfigurationアナライザー（Configuration analyzer）で、StandardやStrictより弱い設定を洗い出します。

Microsoft 365テナントの管理者向けに、Exchange Online Protection（EOP）でどの設定を使い、どう適用するかを説明します。Microsoftは現在EOPを「すべてのクラウドメールボックスの組み込みセキュリティ機能（built-in security features for all cloud mailboxes）」と呼んでおり、最新のLearnではこの名称が使われています。記載の値は2026年10月28日にMicrosoft Learnで確認しました。

EOPが対象とする範囲

組み込みの保護は、すべてのクラウドメールボックスで既定で有効です。マルウェア対策、受信・送信のスパム対策、接続フィルター、フィッシング（スプーフィング）対策、そして配信後に不審メールを取り除くゼロアワー自動消去（ZAP）が含まれます。既定の脅威ポリシーは無効にできませんが、プリセットまたはカスタムのポリシーで上書きできます。インパーソネーション対策、フィッシングメールのしきい値、Safe Links、Safe AttachmentsにはMicrosoft Defender for Office 365が必要です（Defender for Office 365 Plan 1とPlan 2の違いを参照）。

SPF・DKIM・DMARCは先に、または並行して整えてください。Microsoftは、これらが欠けている、または誤っていると、推奨のポリシー設定でも正規のメールが迷惑メールや隔離に入る場合があると注意しています。

手順1：事前設定済みセキュリティポリシーを有効にする

1. Microsoft Defenderポータル（security.microsoft.com）を開きます。
2. Email & collaboration > Policies & rules > Threat policies > Preset Security Policies（Templated policiesセクション）に進みます。
3. 初回はStandard protectionとStrict protectionがオフになっているのが通常です。Standard protectionのトグルをOnにし、Manage protection settingsを選んでウィザードを開始します。Apply Exchange Online ProtectionのページでAll recipientsを選びます。
4. 任意：Strict protectionをオンにし、役員、経理、IT管理者など少人数にだけ割り当てます。Microsoftの適用順は、Strict、Standard、既定・カスタムポリシーの順です。

必要な権限は、Organization ManagementまたはSecurity Administratorロールグループです。閲覧のみならGlobal Readerで足ります。

プリセットの設定の大半は編集できません。別の値が必要な場合は、カスタムポリシーを作り、下記の推奨値を使ってください。

手順2：カスタムポリシーを作る場合の推奨値

値は「既定、Standard、Strict」の順で、Microsoftの推奨設定ページによります。

スパム対策ポリシー（Anti-spam）

• Bulk email threshold（バルクメールのしきい値）：7、6、5。
• Spam（スパム）の処理：迷惑メールフォルダーへ移動、迷惑メールフォルダーへ移動、隔離。
• High confidence spam（高信頼度スパム）の処理：迷惑メールフォルダーへ移動、隔離、隔離。
• Phishing（フィッシング）の処理：迷惑メールフォルダーへ移動（既定ポリシー）、隔離、隔離。
• High confidence phishing（高信頼度フィッシング）の処理：3つとも隔離。ユーザーは高信頼度フィッシングを自分でリリースできません。
• Bulk complaint level（BCL）に達した場合の処理：迷惑メールフォルダーへ移動、迷惑メールフォルダーへ移動、隔離。
• スパムの隔離保持期間：15日、30日、30日。
• スパムとフィッシングのゼロアワー自動消去：3つともオン。

マルウェア対策ポリシー（Anti-malware）

• Common attachments filter（一般的な添付ファイルのフィルター）：3つともオン。
• これらのファイルの種類が見つかった場合：3つとも「配信不能レポート（NDR）付きでメッセージを拒否」。
• マルウェアのゼロアワー自動消去：3つともオン。
• 隔離ポリシー：3つともAdminOnlyAccessPolicy。

フィッシング対策ポリシー（スプーフィング、全メールボックス対象）

• Enable spoof intelligence（スプーフインテリジェンス）：3つともオン。
• Honor DMARC record policy（DMARCレコードのポリシーに従う）：3つともオン。送信元のDMARCがp=quarantineなら隔離、p=rejectなら拒否します。
• スプーフインテリジェンスでスプーフィングと判定された場合：迷惑メールフォルダーへ移動、迷惑メールフォルダーへ移動、隔離。
• Show first contact safety tip（初めての連絡先の安全ヒント）：既定はオフ、StandardとStrictはオン。
• Show (?) for unauthenticated sendersとShow "via" tag：3つともオン。

送信スパムポリシー（プリセットの対象外）

• 1時間あたりの外部宛てメッセージ上限：Standard推奨は500、Strict推奨は400。
• 1時間あたりの社内宛てメッセージ上限：Standardは1000、Strictは800。
• 1日あたりのメッセージ上限：Standardは1000、Strictは800。
• 上限に達したユーザーへの制限：メール送信を制限する。
• Automatic forwarding rules（自動転送ルール）：Off - Forwarding is disabled（転送を無効）。既定はシステム制御です。

手順3：SPF・DKIM・DMARC

これらはDNSのホスティング先で公開します。Microsoft 365にはSPFやDMARCレコードを管理する画面がありません。

SPF

送信ドメインごとに、ルートにTXTレコードを1つ作ります。メールの送信元がMicrosoft 365だけの場合：

v=spf1 include:spf.protection.outlook.com -all

Microsoftのルールは、ドメインまたはサブドメインごとにSPFレコードは1つだけ、DNSルックアップは10回未満、TTLは3600秒以上です。メールを送るサブドメインには、それぞれSPFレコードが必要です。メールを送らないドメインにはv=spf1 -allを公開します。

DKIM

1. DefenderポータルでEmail & collaboration > Policies & rules > Threat policies > Email authentication settingsを開き、DKIMタブを選びます。
2. 対象のカスタムドメインを選ぶと公開すべき2つのCNAME値が表示されます。PowerShellでも取得できます。

Connect-ExchangeOnline
Get-DkimSigningConfig -Identity contoso.com | Format-List Name,Enabled,Status,Selector1CNAME,Selector2CNAME
# ドメインの構成がまだない場合：
New-DkimSigningConfig -DomainName contoso.com -Enabled $false

1. DNSで、selector1._domainkeyとselector2._domainkeyのCNAMEを、表示された値に向けて作成します。例の値ではなく、自社テナントの値を使ってください。
2. DNSが反映されたら署名を有効にします。DKIMタブでドメインの詳細フライアウトを開き、Sign messages for this domain with DKIM signaturesをオンにします。MicrosoftがCNAMEレコードを検出するまで、ステータスはCnameMissingと表示され、数分以上かかることがあります。またはSet-DkimSigningConfig -Identity contoso.com -Enabled $trueを実行します。

DMARC

Microsoftの推奨どおり段階的に進めます。ホスト名は_dmarc、レコードの種類はTXTです。

1. まずv=DMARC1; p=none; pct=100; rua=mailto:dmarc-reports@contoso.comで集計レポートを確認します。
2. p=quarantineに上げ、pctを10、25、50、75、100と段階的に増やします。
3. 正規の送信元がすべて通ることをレポートで確認できたらp=rejectにします。

レポートの宛先は、個人の受信トレイではなく共有メールボックスかグループにします。自社で管理できないサードパーティの送信サービスにはサブドメインを使います。

手順4：Configurationアナライザーで確認する

Email & collaboration > Policies & rules > Threat policies > Configuration analyzerを開くか、security.microsoft.com/configurationAnalyzerに直接アクセスします。Standard recommendationsタブにはStandardより弱い設定が、Strict recommendationsタブにはStrictより弱い設定が一覧表示されます。行を選ぶと理由が表示され、項目によってはApply recommendation（推奨を適用）も使えます。Configuration drift analysis and historyタブでは最大90日間の変更を確認でき、統合監査が有効である必要があります。

主要な値をPowerShellで読み出すには次のようにします。

Get-HostedContentFilterPolicy | Format-List Name,BulkThreshold,SpamAction,HighConfidenceSpamAction,PhishSpamAction,QuarantineRetentionPeriod
Get-MalwareFilterPolicy | Format-List Name,EnableFileFilter,FileTypeAction,ZapEnabled
Get-AntiPhishPolicy | Format-List Name,HonorDmarcPolicy,DmarcQuarantineAction,DmarcRejectAction

よくある失敗

1. 既定ポリシーを編集して、プリセットのほうが優先されることを忘れる。 ユーザーがプリセットの対象なら、カスタムポリシーはそのユーザーに適用されません。
2. SPFレコードを2つ公開する。 1つのドメインに2つあると永続エラーになります。1つにまとめてください。
3. いきなりDMARCをp=rejectにする。 p=noneから始め、レポートを見て漏れている送信元を追加します。
4. SPFを~allで終えてDMARCが働くと期待する。 Microsoftは-allを推奨しています。SPFに失敗しDKIM署名もないメールにDMARCが作用できるようにするためです。
5. 送信上限と自動転送を既定のままにする。 この2つはプリセットの対象外なので手動で設定します。
6. 例に載っているDKIMのCNAME値をそのまま使う。 必ず自社テナントに表示された値をコピーします。

動作の確認方法

1. Preset security policiesページで、Standardがオンで、想定した受信者が表示されていることを確認します。
2. Microsoftが示すテスト方法：スパム（高信頼度ではないもの）は、Standardのユーザーでは迷惑メールフォルダー、Strictのユーザーでは隔離になります。
3. Microsoftが示すバルクメールのテスト：BCLが6以上のバルクメールはStandardで迷惑メールフォルダー、BCLが5以上はStrictで隔離されます。
4. 社外のメールボックスへ送信し、ヘッダーでspf=pass、dkim=pass、dmarc=passを確認します。
5. Configurationアナライザーを再実行し、要対応の件数が減っていることを確認します。
6. ポリシーを厳しくしている間は、DMARCの集計レポートを週に一度確認します。

FAQ

「this message is protected with Microsoft information protection」とは何ですか。

送信者がMicrosoft Purviewのメッセージ暗号化または権限保護をかけたという意味です。受信者は認証しないと読めず、転送などが制限されている場合もあります。Outlookで暗号化メールを送る方法をご覧ください。

Microsoft 365にExchange Online Protectionは含まれますか。

Microsoftは、組み込みの保護はクラウドメールボックスを持つすべての組織に含まれるとしています。オンプレミスのメールボックス向けには、別途の組み込みセキュリティ サブスクリプションもあります。価格はMicrosoftの料金ページで確認してください。

EOPとDefender for Office 365の違いは何ですか。

EOPは、スパム対策、マルウェア対策、スプーフィングに対するフィッシング対策、接続フィルター、ZAPを提供します。Defender for Office 365はSafe Links、Safe Attachments、インパーソネーション対策、フィッシングメールのしきい値を加え、Plan 2では調査やシミュレーションのツールも加わります。

フィッシング対策ポリシーはどう設定すべきですか。

スプーフインテリジェンスとHonor DMARC record policyをオンにし、p=quarantineなら隔離、p=rejectなら拒否、初めての連絡先の安全ヒントを表示します。最も簡単なのは、全員にStandardのプリセットポリシーを割り当てることです。

Exchange Online ProtectionはMicrosoft 365で何をしますか。

すべてのクラウドメールボックスに備わる組み込み保護の一式で、スパム対策、マルウェア対策、スプーフィングに対するフィッシング対策、接続フィルター、ゼロアワー自動消去を含みます。Microsoftは現在これを「すべてのクラウドメールボックスの組み込みセキュリティ機能」と呼んでいます。自社の設定を確認するには、前述のConfigurationアナライザーを使います。

あわせてMicrosoft 365セキュリティチェックリストとMicrosoft Secure Score・CIS Benchmark・SCuBAGearの比較もご覧ください。

テナント設定を第三者の目で確認したい場合は、これらの設定を点検するMicrosoft 365セキュリティ監査をご利用ください。

着手前に本格的な監査の料金を知りたい場合は、Microsoft 365 セキュリティ監査の費用で人数別の固定料金をまとめています。