Microsoft 365には、セキュリティ管理者が悪意のあるメールを調査するための「SecOpsメールボックス」という仕組みがあります。
本記事では、SecOpsメールボックスの概要と設定方法、メールフロールールとの違いを解説します。
SecOpsメールボックスとは
SecOps（Security Operations）メールボックスとは、マルウェアやフィッシングメールなどを、通常のセキュリティフィルタリングをバイパスして受信し、調査・分析するためのメールボックスです。
通常、Microsoft 365では、Exchange Online Protection（EOP）やMicrosoft Defender for Office 365によって、悪意のあるメールがブロック・検疫されます。
しかし、セキュリティ管理者が攻撃メールの内容や添付ファイルなどを分析する場合、フィルタリングされていないメールを受信する必要があります。
そのような場合にSecOpsメールボックスを使用します。
SecOpsメールボックスの仕組み
SecOpsメールボックスに指定されたメールボックスでは、Microsoft 365の一部のセキュリティ保護機能がバイパスされます。
主な動作は以下のとおりです。
| セキュリティ機能 | SecOpsメールボックスでの動作 |
|---|---|
| スパム・フィッシング対策 | フィルタリングをバイパス |
| マルウェア対策 | フィルタリングをバイパス |
| Safe Attachments | 添付ファイルの動的解析を実施しない |
| Safe Links | クリック時にURLをブロックせず、動的解析も実施しない（URLの書き換えは行われる） |
| ZAP（ゼロ時間自動消去） | スパム・フィッシング・マルウェアに対する配信後の自動対処を実施しない |
このように、通常は検疫される悪意のあるメールも受信できるため、攻撃メールを分析できます。
メールフロールールでは代用できない？
Exchange Onlineには、メールフロールール（トランスポートルール）を使って、メールのフィルタリングをバイパスする機能があります。
例えば、メールフロールールでSCL（Spam Confidence Level）を「-1」に設定することで、スパムフィルタリングをバイパスできます。
しかし、メールフロールールでは、マルウェアのフィルタリングをバイパスできず、高信頼度フィッシングのフィルタリングも原則としてバイパスできません。
両者の違いは以下のとおりです。
| セキュリティ機能 | メールフロールール（SCL=-1） | SecOpsメールボックス |
|---|---|---|
| スパムフィルタリング | バイパス可能 | バイパス可能 |
| マルウェアフィルタリング | バイパス不可 | バイパス可能 |
| 高信頼度フィッシングのフィルタリング | 原則バイパス不可 | バイパス可能 |
そのため、悪意のあるメールをフィルタリングせずに受信して調査する用途では、メールフロールールではなくSecOpsメールボックスを使用します。
SecOpsメールボックスの設定方法
SecOpsメールボックスは、Microsoft Defenderポータルの「高度な配信ポリシー」で設定します。
- Microsoft Defenderポータルにアクセスします。
- 「メールとコラボレーション」→「ポリシーとルール」→「脅威ポリシー」を開きます。
- 「高度な配信」（Advanced delivery）を選択します。こちらのリンクから直接開くこともできます。
- 「SecOpsメールボックス」タブを開きます。
- 「追加」を選択し、対象のExchange Onlineメールボックスを指定します。既に登録がある場合は「編集」を選択します。
- 「追加」（編集の場合は「保存」）を選択し、保存完了の表示を確認して「閉じる」を選択します。
既存のExchange OnlineメールボックスをSecOpsメールボックスとして登録できます。配布グループは指定できません。設定には、セキュリティ管理者などの適切な管理権限が必要です。
なお、この設定だけで組織内のすべての悪意のあるメールが自動収集されるわけではありません。
高度な配信ポリシーは、指定したメールボックス宛てのメールについてフィルタリングをバイパスする設定です。
例えば、secops@contoso.comを登録した場合、このアドレス宛てのメールが対象になります。一般ユーザー宛てのメールは、通常どおりフィルタリングされます。
そのため、一般ユーザー宛てのメールも調査対象として収集したい場合は、別途メールを収集・転送する仕組みが必要です。
なお、SecOpsメールボックスは悪意のあるメールを受信することが想定されるため、通常業務で利用するメールボックスとは分離して運用することが推奨されます。
まとめ
SecOpsメールボックスは、Microsoft 365のセキュリティフィルタリングをバイパスしてメールを受信できる仕組みです。
メールフロールールでもスパムフィルタリングはバイパスできますが、マルウェアのフィルタリングはバイパスできず、高信頼度フィッシングのフィルタリングも原則としてバイパスできません。
そのため、悪意のあるメールを調査・分析する用途ではSecOpsメールボックスが適しています。
ただし、危険なメールが届くことを前提とするため、アクセス権限を適切に制限し、安全な分析環境で取り扱う必要があります。
コメント