Microsoft 365で標的型メール訓練をするときのポイント：届ける設定と報告ボタン

Microsoft 365 で訓練するときのポイント：概要

Microsoft 365 では、メールボックスが Exchange Online（Microsoft のクラウドのメールサーバー）にあり、社員は Outlook でメールを読みます。訓練で押さえたいのは次の3点です。

点	内容
届ける	訓練メールがフィルターに止められないよう、Microsoft が用意している訓練用の登録先を使う
報告	Outlook の標準の［報告］ボタンを使うか、訓練サービスのボタンを使うかを決める
記録	セキュリティ製品のリンク検査で、押していないのに「クリック」と記録されることがある

Microsoft 365 には、Microsoft 365 E5 など対象のライセンスで使える標準の訓練機能として、Microsoft Defender の「攻撃シミュレーション トレーニング」があります。ほかの訓練サービスを使う場合は、次の「届ける設定」が特に関係します。サービスの種類の違いは比較表で確認してください。

訓練メールを確実に届ける設定

普通の許可リストだけでは足りないことがある

Microsoft は、マルウェアや「高確度フィッシング」と判定されたメッセージについて、許可リストへの登録やフィルターの回避を認めていません。攻撃メールに似せた訓練メールは、この判定に当たることがあります。

高度な配信ポリシー（Microsoft 以外のフィッシング シミュレーション）

そこで Microsoft は、ほかの訓練サービスのメールのために、「高度な配信ポリシー」に「フィッシング シミュレーション」という登録先を用意しています。登録したメールは、次のように扱われます。

• Microsoft 365 のフィルターが、メッセージに対して処理をしない
• 配信後に危険なメールを自動で取り除く仕組み（ゼロ時間自動消去、ZAP）の対象にならない
• 安全なリンク（Safe Links）が、クリックされたときに訓練のURLをブロックしない
• 安全な添付ファイルが、添付ファイルを検査のために開かない

登録には、訓練メールの送信元のドメインと送信元のIPアドレスを使います。値は、利用する訓練サービスの提供会社の案内に従ってください。設定の手順は Microsoft の公式ドキュメントにあります。メールが Microsoft 365 より先に別のメールゲートウェイを通る構成では、追加の設定が必要になる場合があるとされています。

Microsoft 365 の外にある製品

ファイアウォールや Web フィルターが訓練のURLを止めることもあります。Microsoft は、Chrome のセーフ ブラウジングが訓練用URLを止める場合があるとして、配信前にブラウザで開けるか確かめるよう勧めています。事前テストの進め方は「訓練のやり方」で解説しています。

報告ボタンの対応

Exchange Online にメールボックスがある組織では、Outlook に組み込まれた［報告］ボタンから［フィッシング詐欺の報告］を選べます。Windows 用の新しい Outlook、Web 上の Outlook、Outlook for Mac、Outlook for iOS・Android など、対応するバージョンが公開されています。フィッシングとして報告したメールは削除されます。

報告されたメールの届け先は、管理者が「ユーザーが報告した設定」で決めます。

• 報告先：組織の報告用メールボックス、Microsoft、またはその両方
• ボタン：組み込みの［報告］ボタンか、Microsoft 以外のアドインのボタンか

報告用メールボックスは、高度な配信ポリシーで「SecOps メールボックス」として登録しておきます。Microsoft は、登録しないと、報告されたメールによって訓練製品のトレーニングの割り当てが起きてしまうおそれがあるとしています。また、訓練として登録したメールを［報告］ボタンで報告しても、警告や調査は作られず、管理画面の報告の一覧に表示されます。

訓練サービスごとの対応状況は、このページの下の表にまとめています。報告の数字の見方は「報告率」で解説しています。

注意点

押していないのに「クリック」と記録される

Microsoft は、ほかのセキュリティ製品が訓練メールを検査すると、予期しないクリックが記録されることがあると説明しています。例は、メールを検査する Outlook のアドイン、メールのセキュリティ製品、端末のウイルス対策ソフト、報告されたメールを自動で処理する仕組みです。配信から数秒でクリックが記録され、接続元が自社や社員のものでない場合は、ほかの製品が検査した可能性があるとされています。こうした製品では、訓練メールを検査の対象から外します。

返信・転送されたメール

攻撃シミュレーション トレーニングでは、訓練メールを返信・転送すると通常のメールとして安全なリンクの検査が入り、それが本人のクリックとして記録されると説明されています。

スマートフォンの Outlook

Outlook for iOS・Android でも、対応するバージョンなら［報告］ボタンを使えます。古いバージョンの Outlook では、安全なリンクの設定によって訓練のリンクが脅威と扱われる場合があるとされています。

まとめ

• Microsoft 365 では、マルウェアや高確度フィッシングと判定されたメールは、普通の許可リストでは通せない
• ほかの訓練サービスを使うときは、高度な配信ポリシーの「フィッシング シミュレーション」に、送信元のドメインとIPアドレスを登録する。値は提供会社の案内に従う
• Outlook の組み込みの［報告］ボタンは対応バージョンで使える。報告用メールボックスは SecOps メールボックスとして登録する
• ほかのセキュリティ製品のリンク検査や、返信・転送で、押していないクリックが記録されることがある。配信前のテストで確かめる