Defender for Office 365 P1/P2 怎么选

简短回答： Plan 1 偏防护：为邮件、Teams、SharePoint 和 OneDrive 提供 Safe Links、Safe Attachments 和更强的反钓鱼。Plan 2 包含 Plan 1 的全部功能，再加上调查与响应：Threat Explorer、自动调查与响应、攻击模拟培训和高级搜寻（Advanced hunting）。只需要防护、没人会去调查告警，就买 Plan 1；确实会有人使用调查和培训工具，才买 Plan 2。先查清现有授权：Business Premium，以及自 2026 年 7 月 1 日起的 Microsoft 365 E3 和 Office 365 E3，已经包含 Plan 1。

本文写给被要求在 Plan 1 和 Plan 2 之间做决定的 Microsoft 365 管理员或企业主，或者想知道现有订阅已经覆盖了什么的人。你会得到以列表呈现的功能差异、各计划包含在哪些授权里，以及一条选择规则。已于 2026 年 10 月 28 日对照 Microsoft Learn 核对。微软价格会变动，所以本文不写价格；请到微软的 Defender for Office 365 页面查看最新价格。

两个计划在哪个位置

微软把防护描述成三级阶梯：

所有云邮箱的内置安全功能（常称 Exchange Online Protection，即 EOP）：反恶意软件、反垃圾邮件、针对欺骗的反钓鱼、连接筛选、隔离区和租户允许/阻止列表。只要订阅里含云邮箱就包含。
Defender for Office 365 Plan 1： 增加对零日恶意软件、钓鱼和商务邮件欺诈（BEC）的预防与检测。
Defender for Office 365 Plan 2： 增加钓鱼模拟、入侵后调查、搜寻、响应和自动化。

如果内置这一层还没调好，先调它。见 Exchange Online Protection 设置。

逐项功能

每一行按同样顺序写出微软列出的 Plan 1 和 Plan 2 情况。

防护与检测

邮件中的 Safe Attachments： Plan 1 有；Plan 2 有。
SharePoint、OneDrive 和 Microsoft Teams 的 Safe Attachments： Plan 1 有；Plan 2 有。
邮件、Office 应用和 Teams 中的 Safe Links： Plan 1 有；Plan 2 有。
带用户和域名仿冒保护、邮箱智能和钓鱼邮件阈值的反钓鱼： Plan 1 有；Plan 2 有。
Teams 域名和地址的租户允许/阻止列表，以及用户报告的 Teams 项目： Plan 1 有；Plan 2 有。
攻击模拟培训（对员工做钓鱼模拟）： Plan 1 没有；Plan 2 有。
优先账户保护： Plan 1 没有；Plan 2 有。（Plan 1 包含用户标记，其中有 Priority account 标记。）

调查

实时检测（Real-time detections）： Plan 1 有；Plan 2 由 Threat Explorer 取代。
Threat Explorer： Plan 1 没有；Plan 2 有。
Threat Trackers 和 Campaigns： Plan 1 没有；Plan 2 有。
邮件实体页、URL 跟踪和 Defender for Office 365 报告： Plan 1 有；Plan 2 有。
高级搜寻（Advanced hunting）（含 Teams 消息）： Plan 1 没有；Plan 2 有。

响应与自动化

Teams 的零小时自动清除（ZAP）： Plan 1 有；Plan 2 有。
自动调查与响应（AIR）： Plan 1 没有；Plan 2 有。
在 Teams 消息实体面板中把用户从 Teams 聊天移除： Plan 1 没有；Plan 2 有。
告警与事件： Plan 1 包含 Email & collaboration 告警；Plan 2 增加在 Microsoft Defender XDR 中调查事件和告警。

Safe Documents 是另一项功能。微软说明它随 Microsoft 365 E5/A5 或 Microsoft Defender Suite 授权提供，两个 Defender for Office 365 计划都不含。

快速判断租户用的是哪个计划：在 Defender 门户的 Email & collaboration 下，Plan 1 显示 Real-time detections，Plan 2 显示 Explorer。

哪些授权已经包含

微软的服务说明列出：

Plan 1： 单独的 Plan 1 授权、Microsoft 365 Business Premium、Microsoft 365 E3/G3 和 Office 365 E3/G3（自 2026 年 7 月 1 日起，2026 年 8 月 1 日前完成推出）、Microsoft 365 E5/A5/G5、Office 365 E5/A5/G5、Microsoft Defender Suite，以及一线员工版 Microsoft Defender + Purview Suite。
Plan 2： 单独的 Plan 2 授权、Microsoft 365 E5/A5/G5、Office 365 E5/A5/G5、Microsoft Defender Suite，以及一线员工版 Microsoft Defender + Purview Suite。

Defender for Office 365 也作为附加订阅，卖给许多含云邮箱的 Microsoft 365 订阅。

Business Premium 包含的 Microsoft Defender for Business 是终端防护，与 Defender for Office 365 是不同的产品。

要知道的授权规则

微软的授权条款说明，以下对象需要授权：

每个访问受 Defender for Office 365 保护的邮箱的用户，以及受益的共享邮箱；
如果开启了 SharePoint、OneDrive、Teams 的 Safe Attachments 保护，所有使用这些服务的用户；
启用 Safe Links 后，所有使用 Microsoft 365 应用或 Teams 的用户。

你可以把策略限定到有授权的用户。微软还介绍了“内置保护（Built-in protection）”预设策略，它为有 Defender for Office 365 授权的组织里的用户提供基础的 Safe Attachments 和 Safe Links 防护，但建议购买足够的授权覆盖所有用户。

怎么选

先查你拥有什么。 Business Premium，以及自 2026 年 7 月 1 日起的 Microsoft 365 E3 和 Office 365 E3，含 Plan 1；E5 系列含 Plan 2。如果你用的是 E3，要决定的是要不要加 Plan 2。
Business Premium 之类的订阅，主要是拦截坏邮件： 通常 Plan 1 就够。打开 Standard 预设安全策略，用好已有的功能。
会有人去调查和响应： Plan 2 增加 Threat Explorer、AIR 和搜寻，但只有当有人或你的管理型IT外包服务商真的去用，才物有所值；否则就是为没人用的工具付费。
想用钓鱼模拟培训员工： 包含攻击模拟培训的是 Plan 2。
一小群人长期被盯上（财务、管理层）： Plan 2 带来优先账户保护。先对照上面的授权条款，看清谁必须有授权，再决定是否只为这一组人授权。
还没想好： 微软在 Defender 门户的试用中心提供 90 天 Plan 2 试用，购买前可以用自己的邮件看看 Threat Explorer 和 AIR。

常见错误

没调好内置防护就先买计划。 应先做好 SPF、DKIM、DMARC 和反钓鱼设置。
买了 Plan 2 却从不打开 Threat Explorer。 多出的费用买的是调查和响应，要指定负责人。
以为 Safe Links 和 Safe Attachments 已经开了。 到 Email & collaboration > Policies & rules > Threat policies > Preset Security Policies 检查，并打开 Standard protection。
把 Defender for Business 当成 Defender for Office 365。 一个管终端，一个管邮件和协作。
只给部分用户授权，却想保护所有人。 微软的授权条款说明了谁需要授权。把策略限定到有授权的用户，或者给所有受覆盖的人授权。
直接相信网上的对比表，不查自己的租户。 授权组合会变，请查 Your products。

如何确认生效

在 Microsoft Defender 门户（security.microsoft.com）打开 Email & collaboration，看到的是 Real-time detections 还是 Explorer。
进入 Email & collaboration > Policies & rules > Threat policies > Preset Security Policies，确认 Standard protection 已开启并指定了正确的收件人。
在 Threat policies 下打开 Safe Links 和 Safe Attachments，确认有一条策略适用于你有授权的用户。
一个月后，看有没有人打开过 Threat Explorer 或 AIR。没有的话，重新考虑 Plan 2。

FAQ

Defender for Office 365 Plan 1 和 Plan 2 有什么区别？

Plan 1 提供防护与检测：Safe Attachments、Safe Links、带仿冒保护的反钓鱼和实时检测。Plan 2 包含这一切，并增加 Threat Explorer、Threat Trackers、Campaigns、自动调查与响应、攻击模拟培训、优先账户保护和高级搜寻（Advanced hunting）。

Defender for Office 365 Plan 1 包含在 E3 里吗？

含，自 2026 年 7 月 1 日起。微软的 Defender for Office 365 功能服务说明写明：Plan 1 包含在 Office 365 E3 和 Microsoft 365 E3 中，E3 客户只获得 Plan 1 的功能。微软说明在 2026 年 8 月 1 日前完成推出，并至少提前 30 天在消息中心通知，所以如果你的租户还没收到，请查看 Your products。