クラウドで守る! Exchange Online の最新セキュリティ対策

1. Session ID:
本情報の内容（添付文書、リンク先などを含む）は、Microsoft Tech Summit 開催日（2016年11月1－2日）時点のものであり、予告なく変更される場合があります。

2. 数字で見る メールに関する脅威
１か月間に送られる
迷惑メールの総数
約70%
マルウェアの数は
１年で600% 増
1か月間に
Office 365 が受信
するメールの総数
550
億
600
%
800
億

3. 3.5 億円
企業が被るデータ侵害の
平均コストは350 万ドルで
す
200 日以上
攻撃者が検出されるまでに
被害者のネッワーク内に
潜伏している平均日数は
200 日を超える
76%
全ネットワーク侵入件数の
76% がユーザー資格情報の
不正アクセスによるもの
50兆円
世界経済に対するサイバー
犯罪の総コストは50兆円
ドルに上る
【特徴】不特定多数を狙った攻撃、攻撃されていることが分かる
【対策】ウイルスソフト、ファイアーウォールによる防御が有効
【被害】Webサーバーの書き換えや大量のメール送信など
【ウイルス】Nimda, CodeRed, Blaster, LOVELETTER etc
マス型
【特徴】特定の企業や個人を攻撃、攻撃されていることに気づかない
【対策】多層的なセキュリティ対策と高度な検知機能が必要
【被害】特定の企業、政府機関などの機密情報
標的型攻撃の脅威を理解し、適切な対策をとること
が重要です。

4. 出典：警察庁 平成27年におけるサイバー空間をめぐる脅威の情勢について
x2 x9
増加するメールによる標的型攻撃

5. 侵入 潜伏
探索
搾取
拡散
攻撃者は脆弱性や不正プロ
グラムを使用してユーザー
の資格情報を搾取し、ネッ
トワークやサーバーに侵入
を試みます。
攻撃者はメールやWebを
使って攻撃対象に接触を
試みます。攻撃者が攻撃
ツールやウイルスを使っ
てくることはなく正規の
ITツール使って接触。
重要なファイルや顧客
データ情報を入手し外部
のサーバーに送信を試み
ます。
攻
撃
の
ス
テ
ッ
プ
対
処
法
検知・駆除 監視・検知・
防止
防止・追跡・
抑止必要とされる技術
•効率的なスパムの駆除
•なりすまし防止
•仮想実行領域を利用した
未知の攻撃からの保護
•悪意のあるサイトへのリ
ダイレクトを防止
必要とされる技術
•通常行動と異常行動の分
析による検知機能の実装
•既知の攻撃および問題の
検出
•不正プログラムの実行を
阻止することが可能な環
境の構築
必要とされる技術
•永続的なアクセス権の付与
•後追いでのアクセス権剥奪
•ファイル閲覧場所の追跡
Azure Rights
Management Premium
Exchange Online
EOP/ATP
Microsoft ATA
Windows10 Security
マイクロソフトが提供するソリューション

6. エッジブロック
Exchange Online Protection (EOP)
ウィルス
スキャン
アンチ ウィルス
エンジン1
アンチ ウィルス
エンジン2
アンチ ウィルス
エンジン３
スパム防御
差出人/宛先セーフリスト
ポリシーの
強制
カスタム
トランスポート
ルール
コンテンツ スキャン
バルクメール
フィルター
SPF & Sender ID
フィルター
検疫
海外からのスパム
高度なスパム管理
誤検知に対する
フィードバック
IPベースの
エッジブロック
エンベロープブロッ
ク
ディレクトリベース
のエッジブロック
Advanced
Threat
Protection
(ATP)
Safe Attachment
Safe Link
スパムの分析
Realtime Blackhole List
(RBL)
EOPデータセンター
受信者の
メール
ボックス
多層防御が重要
MXレコードの解決により電子メールが
EOP データセンターにルーティング
(contoso-com.mail.protection.outlook.com)

7. 接続フィルター
マイクロソフトで管理している
ブロックリスト
Realtime Blackhole List
(RBL)
お客様で設定している
ブロックリスト
インターネット
いずれかのリストに登録されたホストからの接続を拒否
IP 許可/拒否リストを使用して全スパムの 80% をブロック
 Realtime Blackhole List (RBL) スパム メールの発信源を登録している外部のデータベース
 マイクロソフトで管理しているブロックリスト
 管理者が設定しているブロックリスト

8. Microsoft Tech Summit

9. 社内の複合機、スキャナな
どになりすます
なりすまし = Spoofing 攻撃

10. Sender ID/Sender Policy Framework (SPF)
認証
メッセージを送信することが認められる？
外部 DNS サーバー
送信者
Fail
"v=spf1
include:spf.messaging.microsoft.com
ip4:127.0.0.1 ip4:127.0.0.2 ip4:127.0.0.3 -all"
送信元の IP
アドレス
他にDKIM, DMARC

11. Anti-spoofing protection の強化 – SPF等の設定不要
送信者
Fail
同じ送信者から過去にどれくらいのメールを受信しているのか？
送信者は Fromに書かれたユーザーの代理人の権限を与えられているか？
IP レピュテーションシの結果は？
などなど・・・機械学習を利用して分析・社内ユーザーへのなりすましを防止
機械学習

12. Safety Tips - メッセージの安全度を通知
不審 (Suspicious)
信頼できる (Trusted)
不明 (Unknown)

13. Microsoft Tech Summit

14. 新機能：Zero-hour Auto Purge: ZAP
従来のスパムフィルタ
A
A = スパムと認定
A
A
ユーザーの
メールボックス

15. 新機能：Zero-hour Auto Purge: ZAP
ZAP
A
A = スパムと認定
A
A
A
A
ユーザーの
メールボックス

16.  ゼロデイ攻撃・長期に渡る執拗な攻撃など、ハッカーによる攻撃はより高度化
し、より検出が困難になっています。
スパム・ウイルス攻撃の進化
最近の攻撃はゼロデイ攻撃・長期間による攻撃が
増えている。従来のアンチウイルス・アンチスパ
ム対策では、気づかれることなく行われるゼロデ
イ攻撃を包括的に防ぐことが出来ない。
短期間のスパム攻撃は数分から数時間に及び、多彩な
攻撃が連続的に数時間ごとに繰り返される。攻撃者は
メッセージ内のリンクを配信後も簡単に変えることが
できる。

17. エッジブロック
Exchange Online Protection (EOP)
ウィルス
スキャン
アンチ ウィルス
エンジン1
アンチ ウィルス
エンジン2
アンチ ウィルス
エンジン３
スパム防御
差出人/宛先セーフリスト
ポリシーの
強制
カスタム
トランスポート
ルール
コンテンツ スキャン
バルクメール
フィルター
SPF & Sender ID
フィルター
検疫
海外からのスパム
高度なスパム管理
誤検知に対する
フィードバック
IPベースの
エッジブロック
エンベロープブロッ
ク
ディレクトリベース
のエッジブロック
Advanced
Threat
Protection
(ATP)
Safe Attachment
Safe Link
スパムの分析
受信者のメールボックス
Realtime Blackhole List
(RBL)
EOPデータセンター

18. Exchange Online Advanced Threat Protection 概要
未知の
マルウェア・
ウイルス
に対する保護
• マシンラーニングによる
行動分析
• 管理者アラート
悪意のある URL
に対する
クリック時の
リアルタイム保護
• 悪意のある URL に対する
リアルタイム保護
• 無数の URL への対応
リッチな
レポート作成機能
および
URL トレース機能
• 埋め込み URL 追跡
• 進化した脅威に対する
レポート

19. Safe Attachments - ゼロデイ攻撃からの保護
Sandbox
Executable
ファイルを開き
悪意のある動作を検出
仮想 OS の
保護された領域

20. Microsoft Tech Summit

21. Safe Link – 悪意あるURLからの保護
URLの書き換え
EOP ウェブサーバーへ
リダイレクト
ウェブサーバによる
URLのチェック
https://apac01.safelinks.protection.outlook.com/?url=
http%3A%2F%2Fwww.spamlink.contoso.com%2F&dat
a=01%7C01%7Csfuruma%40msworks.onmicrosoft.co
m%7Ce88932de0e024062f0c708d3fe5b4138%7C86a0
26b3822b408496adf254a0b50855%7C1&sdata=XHzA
qQ2yxd3SIP67FgyWtlIBpC5fJW3F4gveirRlglw%3D&res
erved=0

22. Microsoft Tech Summit

23. メッセージの書き換えを行う Safe Links 機能によって既存の DKIM 署
名は書き換えられてしまいます。
一度メッセージが書き換えられてしまうと DKIM は意味を成しませんが、URL の
書き換えを行う前に EOP が DKIM 署名を確認し、その結果を Authentication
Results ヘッダーにテキストとして書き込みます。そのため、Safe Links 機能下で
は DKIM 署名の確認はこのヘッダーを元に行われます。
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=contoso.com;
h=Received:Received:Date:From:To:Message-ID:Subject:MIME-Version:
Content-Type; s=s1024; bh=<body hash>; b=<signed content>
Authentication-results: protection.outlook.com; spf=pass
(sender IP is xx.xx.xx.xx) smtp.mailfrom=user@contoso.com
dkim=pass (signature was verified) header.d=contoso.com;
dmarc=fail action=quarantine header.from=contoso.com;
DKIM ヘッダー例：

24. Microsoft Tech Summit

25. 不明なマルウェアが検出された場合の対応
オフ ：添付ファイルのマルウェアをスキャンしません。添付ファイルでマルウェアはスキャンされま
せん。
ブロック ：マルウェアが検出された現在および今後のメールと添付ファイルをブロックします。今後、
マルウェアが検出されたメールおよび添付ファイルをブロックします。
モニター ：マルウェアの検出後もメッセージの配信を続行し、スキャン結果を追跡します。マルウェ
アの検出後、メッセージの配信を続けて、スキャン結果を追跡します。
置換 ： マルウェアが検出された添付ファイルをブロックし、メッセージの配信を続行します。

28. 新機能：Dynamic Delivery
Sand Box
添付ファイルの安全性の確認
ユーザーの
メールボックス

29. K
50K
100K
150K
200K
250K
300K
350K
400K
450K
500K
12-Jun
16-Jun
20-Jun
24-Jun
28-Jun
2-Jul
6-Jul
10-Jul
14-Jul
18-Jul
22-Jul
26-Jul
30-Jul
3-Aug
7-Aug
11-Aug
15-Aug
19-Aug
23-Aug
27-Aug
31-Aug
4-Sep
8-Sep
O365 Catch After 3rd Party Filtering
(192 tenants sampled)
EOP Catch

31. Safe Attachments in SharePoint Online
Safe
Attachmentsによる保護を適用
Safe Links in Office Clients
Linked Content Detonation
Safe LinkとSafe Attachment を統合し、
リンクについてもサンドボックスで安全を
確認