Microsoft 365 A5/E5/G5 またはMicrosoft Defender スイートの安全なドキュメント

安全なドキュメントは、Microsoft Defender for Endpointのクラウド バックエンドを使用して、保護ビューまたは Application Guard for Office で開いている Office ドキュメントをスキャンするプレミアム機能です。

ユーザーは、安全なドキュメント保護を取得するために、ローカル デバイスに Defender for Endpoint をインストールする必要はありません。 次のすべての要件が満たされている場合、ユーザーは安全なドキュメント保護を受けます。

• 安全なドキュメントは、この記事で後述する安全なドキュメントの構成手順を使用して、組織内で有効になります。

• ユーザーには、Office 365 SafeDocs サービス プランを含むライセンス プランのライセンスが割り当てられます。

  安全なドキュメントは、Office 365 SafeDocs (または SAFEDOCS または bf6f5520-59e3-4f82-974b-7dbbc4fd27c7) サービス プランによって制御されます。 このサービス プランは、次の製品で利用できます。

  • Microsoft 365 A5
  • Microsoft 365 E5
  • Microsoft 365 Government Community Cloud (GCC) G5
  • Microsoft 365 GCC High G5
  • Microsoft Defender スイート

  安全なドキュメントは、Microsoft Defender for Office 365 プラン 1またはプラン 2 には含まれません。

• ユーザーは、Microsoft 365 Apps for enterprise (旧称 Office 365 ProPlus) バージョン 2004 以降を使用しています。

はじめに把握しておくべき情報

• 「https://security.microsoft.com」で Microsoft Defender ポータルを開きます。 [安全な添付ファイル] ページに直接移動するには、https://security.microsoft.com/safeattachmentv2 を使用します。

• Exchange Online PowerShell へ接続するには、「Exchange Online PowerShell に接続する」を参照してください。

• この記事の手順を実行する前に、アクセス許可を割り当てる必要があります。 以下のオプションがあります。

  • Microsoft Defender XDR 統合ロールベースのアクセス制御 (RBAC) ([メールとコラボレーション]>[Defender for Office 365] でアクセス許可が [アクティブ] の場合。PowerShell ではなく、Defender ポータルにのみ影響): 承認と設定/セキュリティ設定/コア セキュリティ設定 (管理) または承認と設定/セキュリティ設定/コア セキュリティ設定 (読み取り)。

  • Exchange Online のアクセス許可:

    • 安全なドキュメントの設定を構成する: 組織の管理 または セキュリティ管理者 の役割グループのメンバーシップ。
    • [安全なドキュメント] 設定への読み取り専用アクセス: グローバル閲覧者、 セキュリティ閲覧者、または 表示のみの組織管理 役割グループのメンバーシップ。

  • Microsoft Entra のアクセス許可: グローバル管理者^*またはセキュリティ管理者、グローバル閲覧者、またはセキュリティ閲覧者の役割内のメンバーシップにより、Microsoft 365 の必要なアクセス許可およびその他の機能のアクセス許可をユーザーに付与します。

    重要

    ^* Microsoft では、最小限のアクセス許可の原則を強くお勧めします。 アカウントにタスクを実行するために必要な最小限のアクセス許可のみを割り当てることは、セキュリティ リスクを軽減し、組織の全体的な保護を強化するのに役立ちます。 グローバル管理者は非常に特権的な役割であり、既存のロールを使用できない場合の緊急時に限定する必要があります。

Microsoft はデータをどのように処理しますか?

保護を維持するために、安全なドキュメントは分析のためにファイル情報をMicrosoft Defender for Endpointクラウドに送信します。 Microsoft Defender for Endpoint がお客様のデータをどのように処理するかの詳細については、Microsoft Defender for Endpoint のデータの保存とプライバシーを参照してください。

安全なドキュメントによって送信されたファイル情報は、分析に必要な時間 (通常は 24 時間未満) を超えて Defender for Endpoint に保持されません。

Microsoft Defender ポータルを使用して安全なドキュメントを構成する

Microsoft Defender ポータルで安全なドキュメントを構成するには、次の手順に従います。

1. Microsoft Defender ポータルで、 にある https://security.microsoft.com ページに移動します。ポリシー セクションで、>>>安全な添付ファイル に移動します。 [安全な添付ファイル] ページに直接移動するには、https://security.microsoft.com/safeattachmentv2 を使用します。

2. [ 安全な添付ファイル] ページで、[ グローバル設定] を選択します。

3. 開いた [グローバル設定] ポップアップで、次の設定を確認または構成します。

   • Office クライアントの安全なドキュメントを有効にする: トグルを右に移動して機能を有効にする: 。
   • 安全なドキュメントでファイルが悪意があると特定された場合でも、保護ビューをクリックできるようにします。このオプションは、 オフのままにすることをお勧めします。

   [グローバル設定] ポップアップが完了したら、[保存] を選択します。

   

PowerShell Exchange Online使用して安全なドキュメントを構成する

PowerShell を使用して安全なドキュメントを構成する場合は、PowerShell Exchange Onlineで次の構文を使用します。

Set-AtpPolicyForO365 -EnableSafeDocs <$true | $false> -AllowSafeDocsOpen <$true | $false>

• EnableSafeDocs パラメーターは、organization全体のセーフ ドキュメントを有効または無効にします。
• AllowSafeDocsOpen パラメーターを使用すると、ドキュメントが悪意のあると識別された場合に、ユーザーが保護ビュー (つまりドキュメントを開く) から離れることを許可または禁止できます。

この例では、organization全体の安全なドキュメントを有効にし、ユーザーが保護ビューから悪意があると識別されたドキュメントを開くのを防ぎます。

Set-AtpPolicyForO365 -EnableSafeDocs $true -AllowSafeDocsOpen $false

構文とパラメーターの詳細については、「 Set-AtpPolicyForO365」を参照してください。

安全なドキュメントへの個々のアクセスを構成する

安全なドキュメント機能へのアクセスを選択的に許可またはブロックする場合は、次の手順に従います。

1. Microsoft Defender ポータルで Safe Documents を有効にする (「Microsoft Defender ポータルを使用して Safe Documents を構成する」で説明されているとおり) か、Exchange Online PowerShell で有効にします (「Exchange Online PowerShell を使用して Safe Documents を構成する」で説明されているとおり)。
2. 「特定のライセンス プランの特定のユーザーに対して特定の Microsoft 365 サービスを無効にする」の説明に従って、 特定のユーザーの安全なドキュメントを無効にするには、Microsoft Graph PowerShell を使用します。

PowerShell で無効にするサービス プランの名前は SAFEDOCS です。

詳細については、次の記事を参照してください。

• PowerShell を使用して Microsoft 365 のライセンスとサービスを表示する
• PowerShell を使用して Microsoft 365 アカウントのライセンスとサービスの詳細を表示する
• ライセンスのための製品名とサービス プラン識別子

Microsoft Defender for Endpoint サービスにオンボードして監査機能を有効にする

監査機能を有効にするには、ローカル デバイスにMicrosoft Defender for Endpointがインストールされている必要があります。 Microsoft Defender for Endpointをデプロイするには、デプロイのさまざまなフェーズを実行する必要があります。 オンボード後、Microsoft Defender ポータルで監査機能を構成できます。

詳細については、「Microsoft Defender for Endpoint サービスへのオンボード」を参照してください。 サポートが必要な場合は、「Microsoft Defender for Endpoint のオンボーディングの問題のトラブルシューティング」を参照してください。

この手順がうまくいったかどうかは、どうすればわかりますか？

安全なドキュメントを正常に有効にして構成したことを確認するには、次のいずれかの手順を実行します。

• Microsoft Defender ポータルで、 にある https://security.microsoft.com/safeattachmentv2 ページに移動し、[グローバル設定] を選択して、[Office クライアント向けのセーフ ドキュメントを有効にする] と [セーフ ドキュメントでファイルが悪意があると識別された場合でも、保護ビューをクリックして先に進めるようにする] の設定を確認します。

• Exchange Online PowerShell で次のコマンドを実行し、プロパティ値を確認します。

  Get-AtpPolicyForO365 | Format-List *SafeDocs*
  

• 安全なドキュメント保護をテストするには、次のファイルを使用できます。 これらのファイルは、マルウェア対策およびウイルス対策ソリューションをテストするための EICAR.TXT ファイルに似ています。 ファイルは有害ではありませんが、安全なドキュメント保護をトリガーします。

  • SafeDocsDemo.docx
  • SafeDocsDemo.pptx
  • SafeDocsDemo.xlsx