オンプレミスのExchange・自社メールサーバーで標的型メール訓練をするときのポイント

オンプレミスの Exchange・自社のメールサーバーで訓練するときのポイント：概要

オンプレミスとは、メールサーバーを自社の設備（社内やデータセンター）で運用している形のことです。Exchange Server のほか、ほかの製品で自社のメールサーバーを運用している組織もあります。

クラウドのメールと比べて、訓練で気をつけたいのは次の3点です。

点	内容
届ける	迷惑メール対策が、メールサーバー・その手前の装置・クラウドのフィルターなど、何か所にも分かれていることが多い
報告	Microsoft 365 向けに用意されている標準の報告ボタンが、そのままでは使えないことがある
記録	途中の装置がリンクを検査すると、押していないのに「クリック」と記録されることがある

最初に、インターネットから社員の受信トレイまで、メールがどの装置を通るかを図にしておくと、設定の漏れを防げます。

訓練メールを確実に届ける設定

Exchange Server の迷惑メール対策

Exchange Server 2016・2019・Subscription Edition には、標準の迷惑メール対策があります。Microsoft は、エッジ トランスポート サーバー（社外との境目に置く中継用のサーバー）がない組織や、ほかの迷惑メール対策を通していない組織では、メールボックス サーバーで迷惑メール対策を有効にするのが通常だとしています。どちらで判定しているかで、訓練メールを通す設定の場所が変わります。

公式ドキュメントに書かれている仕組みのうち、訓練メールを通すときに関係するものは次のとおりです。

仕組み	考え方
IP 許可リスト（接続フィルター）	登録したメールサーバーのIPアドレスからのメールは、ほかの迷惑メール対策の処理から外される。有効期限を付けられる。エッジ トランスポート サーバーで使う機能
メールフロールール	条件に合うメールの「スパム信頼度（SCL）」を、迷惑メールの判定を通す値（-1）に設定できる
マルウェア対策	マルウェアと判定したメールは既定で削除される。添付ファイルを使う訓練では、事前テストで確かめる

IP 許可リストに有効期限を付けておくと、訓練が終わったあとに登録が残り続けることを防げます。どの仕組みにどの値を登録するかは、利用する訓練サービスの提供会社の案内に従ってください。設定の手順は、上記の公式ドキュメントにあります。

Exchange の手前にある装置

Exchange Server の手前に、迷惑メール対策の装置やクラウドのメールフィルターを置いている場合は、その装置の許可リストにも登録が必要です。どこで止まったかわからないときは、メールのヘッダーに付く「スパム対策スタンプ」（判定の結果を記録した情報）を見ると、原因を調べる手がかりになります。

自社のメールサーバーが Exchange 以外の製品の場合も、考え方は同じです。製品の公式マニュアルで、送信元を許可する方法を確認します。

報告ボタンの対応

Microsoft が案内している Outlook の組み込みの［報告］ボタンは、Exchange Online にメールボックスがある組織向けの機能です。オンプレミスの Exchange だけで運用している場合は、標準の報告ボタンを前提にせず、次のような報告の方法を決めておきます。

• 訓練サービスが用意する報告ボタン（Outlook のアドインなど）を使う
• 決めた報告用アドレスに、不審なメールを転送してもらう

転送で報告を受ける場合は、転送の手順（添付として転送するかなど）も決めておきます。報告の窓口づくりは「不審メールの報告が上がらない組織の対策」も参考にしてください。訓練サービスごとの対応状況は、このページの下の表にまとめています。

注意点

ハイブリッド構成

メールボックスの一部を Microsoft 365 に移した「ハイブリッド構成」では、注意が必要です。Microsoft は、Microsoft 365 の手前で Exchange Server を経由してメールが届く構成などで、訓練メールを通すための「高度な配信ポリシー」がそのままでは働かない場合があると説明しています。対策として、専用の受信コネクタを作る方法や、訓練メールを Microsoft 365 に直接届ける方法が示されています。

Microsoft の訓練機能の記録

Microsoft Defender の攻撃シミュレーション トレーニングは、オンプレミスのメールボックスにも使えます。ただし、メールを読んだ・転送した・削除したかどうかや、報告した人数は、オンプレミスのメールボックスでは記録されないとされています。

押していないのに「クリック」と記録される

Microsoft は、メールのセキュリティ製品や端末のウイルス対策ソフトが訓練メールを検査すると、予期しないクリックが記録されることがあると説明しています。メールが途中の装置を通る場合は、配信直後にクリックが集中していないか、テスト配信で確かめます。事前テストの進め方は「訓練のやり方」で解説しています。

まとめ

• まず、インターネットから受信トレイまでメールが通る装置を洗い出す
• Exchange Server では、IP 許可リスト（エッジ トランスポート サーバー）やメールフロールールの SCL で、訓練メールを通せる。値は提供会社の案内に従う
• 手前の迷惑メール対策の装置やクラウドのフィルターにも登録する。止まった原因はスパム対策スタンプで調べる
• Outlook の組み込みの［報告］ボタンは Exchange Online 向け。オンプレミスでは報告の方法を別に決める
• ハイブリッド構成では、訓練メールを通す設定が働かない場合がある。Microsoft の案内を確認する