Data/Locales/checks/ja/M365ExchangeChecks.json
|
{ "_family": "M365ExchangeChecks.json", "M365EXO-001": { "name": { "value": "迷惑メール対策ポリシーの監査", "status": "machine-draft" }, "description": { "value": "Exchange Online Protection の迷惑メール対策ポリシーは、受信および送信メールをフィルタリングして、未承諾メッセージや迷惑メールを利用したフィッシングキャンペーンをブロックします。構成が不適切な、または既定の迷惑メール対策設定では十分な保護が得られず、悪意のあるメールがユーザーの受信トレイに到達する可能性があります。適切なしきい値とアクションを設定したカスタムの迷惑メールフィルターポリシーは、エンドユーザーに配信される脅威の量を減らすうえで不可欠です", "status": "machine-draft" }, "recommendedValue": { "value": "高確度の迷惑メールを検疫するカスタム迷惑メール対策ポリシー。一括メールのしきい値を 6 以下に設定する。送信迷惑メールのアラートを有効にする", "status": "machine-draft" }, "remediationSteps": { "value": "Exchange Online のすべての迷惑メール対策ポリシーを確認し、高確度の迷惑メールおよび高確度のフィッシングが迷惑メールフォルダーへの配信ではなく検疫に設定されていることを確認します。一括メールのしきい値を 6 以下に構成して攻撃的な一括送信者を捕捉し、送信迷惑メール検出の通知を有効にします。カスタムポリシーをすべての受信者ドメインに適用し、組織のポリシーを弱めるユーザーレベルの上書きがないことを確認します", "status": "machine-draft" } }, "M365EXO-002": { "name": { "value": "フィッシング対策ポリシーの監査", "status": "machine-draft" }, "description": { "value": "フィッシング対策ポリシーは、メールボックスインテリジェンスとなりすまし検出を使用して、信頼された送信者やドメインを偽装するメールを識別します。適切に構成されたフィッシング対策ポリシーがないと、攻撃者は役員、パートナー、信頼されたドメインになりすまして、ビジネスメール詐欺 (BEC) や資格情報の窃取攻撃を行うことができます。ユーザーおよびドメインのなりすまし保護を含む高度なフィッシング対策設定は、標的型フィッシングキャンペーンを防御するうえで極めて重要です", "status": "machine-draft" }, "recommendedValue": { "value": "役員および VIP に対してユーザーなりすまし保護を有効にする。すべての組織ドメインに対してドメインなりすまし保護を有効にする。メールボックスインテリジェンスを有効にする", "status": "machine-draft" }, "remediationSteps": { "value": "役員、財務チームのメンバー、IT 管理者などの価値の高い標的に対して、なりすまし保護を含むフィッシング対策ポリシーを構成します。すべての組織ドメインおよび主要なパートナードメインに対してドメインなりすまし保護を有効にし、なりすましメッセージを検疫するようアクションを設定します。メールボックスインテリジェンスとなりすましインテリジェンスを有効にし、なりすましの可能性がある送信者についてユーザーに警告する適切な安全に関するヒントを設定します", "status": "machine-draft" } }, "M365EXO-003": { "name": { "value": "マルウェア対策ポリシーの監査", "status": "machine-draft" }, "description": { "value": "Exchange Online のマルウェア対策ポリシーは、配信前にメールの添付ファイルをスキャンして既知のマルウェア、ウイルス、悪意のあるコンテンツを検出します。既定のマルウェア対策設定ではすべての危険なファイルの種類をブロックできない場合があり、実行可能ファイルやスクリプトなど攻撃で一般的に使用される特定の添付ファイルの種類がフィルタリングされずに通過する可能性があります。一般的な添付ファイルの種類のフィルタリングを備えた包括的なマルウェア対策ポリシーは、メール経由のマルウェア配信を防止するうえで不可欠です", "status": "machine-draft" }, "recommendedValue": { "value": "実行可能ファイルやスクリプトのファイルの種類をブロックする一般的な添付ファイルの種類フィルターを有効にする。zero-hour auto purge を有効にする。マルウェア検出について管理者通知を有効にする", "status": "machine-draft" }, "remediationSteps": { "value": "マルウェア対策ポリシーを確認し、一般的な添付ファイルフィルターを有効にして、exe、vbs、js、ps1、bat、cmd などの実行可能形式を含む危険なファイルの種類をブロックします。zero-hour auto purge (ZAP) を有効にして、すでに配信されたメッセージ内で検出されたマルウェアを事後的に削除します。マルウェアが検出された際にセキュリティチームに通知するよう管理者通知を構成し、ポリシーが組織内のすべての受信者に適用されていることを確認します", "status": "machine-draft" } }, "M365EXO-004": { "name": { "value": "安全な添付ファイルポリシー", "status": "machine-draft" }, "description": { "value": "Microsoft Defender for Office 365 の安全な添付ファイルは、メールの添付ファイルをサンドボックス環境で実行 (デトネーション) し、シグネチャベースのスキャンでは識別できないゼロデイマルウェアや高度な脅威を検出します。安全な添付ファイルを有効にしないと、メールの添付ファイルとして配信される新しいマルウェアの亜種が従来のマルウェア対策フィルターを回避する可能性があります。この防御層は、カスタムまたはポリモーフィックなマルウェアを使用する高度な攻撃者に狙われる組織にとって極めて重要です", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのユーザーに対して Dynamic Delivery モードで安全な添付ファイルを有効にする。SharePoint、OneDrive、Teams のグローバル設定を有効にする", "status": "machine-draft" }, "remediationSteps": { "value": "安全な添付ファイルポリシーを作成または更新して Dynamic Delivery モードを使用します。このモードは添付ファイルをスキャンしている間にメール本文を即座に配信するため、保護を維持しつつユーザーへの影響を最小限に抑えます。グローバル設定で SharePoint、OneDrive、Teams の安全な添付ファイルを有効にし、ファイルのデトネーション保護をメール以外にも拡張します。ポリシーをすべてのユーザーに割り当て、脅威エクスプローラーで検出を監視してポリシーの有効性を検証します", "status": "machine-draft" } }, "M365EXO-005": { "name": { "value": "安全なリンクポリシー", "status": "machine-draft" }, "description": { "value": "Microsoft Defender for Office 365 の安全なリンクは、メールメッセージや Office ドキュメント内の悪意のあるリンクからユーザーを保護するため、クリック時に URL を検証します。攻撃者は、配信時には無害だがメールが初回スキャンを通過した後に悪意のあるサイトを指すように変更する遅延型フィッシング手法を一般的に使用します。安全なリンクがないと、配信後にこれらの武器化された URL をクリックするユーザーは保護されません", "status": "machine-draft" }, "recommendedValue": { "value": "メールおよび Office アプリに対して安全なリンクを有効にする。URL の書き換えを有効にする。悪意のある URL へのクリックスルーを許可しない。リアルタイムスキャンを有効にする", "status": "machine-draft" }, "remediationSteps": { "value": "すべてのユーザーに適用され、メールメッセージおよび Microsoft Office アプリケーションに対して URL スキャンを有効にした安全なリンクポリシーを構成します。検出された悪意のある URL へのユーザーのクリックスルーをブロックする設定を有効にし、疑わしいリンクのリアルタイム URL スキャンを有効にします。書き換え対象外リストに広範な URL の例外を追加せず、既存の例外を確認して依然として必要であり、セキュリティ上の隙間を生じさせないことを確認します", "status": "machine-draft" } }, "M365EXO-006": { "name": { "value": "DKIM/DMARC/SPF の検証", "status": "machine-draft" }, "description": { "value": "DKIM、DMARC、SPF は、送信者の身元を検証してドメインのなりすましを防止するメール認証プロトコルです。この 3 つのプロトコルすべてが適切に構成されていないと、攻撃者は組織のドメインから発信されたように見えるメールを送信でき、従業員、顧客、パートナーに対して非常に説得力のあるフィッシングキャンペーンを可能にします。完全なメール認証は、ビジネスメール詐欺 (BEC) やドメインなりすましに対する基本的な防御です", "status": "machine-draft" }, "recommendedValue": { "value": "-all (ハードフェイル) で終わる SPF レコード。すべてのドメインで DKIM 署名を有効にする。DMARC ポリシーを reject または quarantine に設定し、集約レポートを有効にする", "status": "machine-draft" }, "remediationSteps": { "value": "各組織ドメインに、認可されたすべての送信元を含み -all (ハードフェイル) で終わる有効な SPF レコードがあることを確認します。すべてのカスタムドメインについて Exchange Online で DKIM 署名を有効にし、DKIM の CNAME レコードを DNS に公開します。各ドメインについて DMARC レコードを公開し、まず監視のために p=none のポリシーで開始し、正当な送信元が確認できたら段階的に quarantine、最終的に reject へと移行し、継続的な可視性のために集約レポートを構成します", "status": "machine-draft" } }, "M365EXO-007": { "name": { "value": "自動転送ポリシー", "status": "machine-draft" }, "description": { "value": "外部アドレスへのメールの自動転送は、攻撃者がメールボックスを侵害した後に使用する一般的なデータ流出手法です。攻撃者は自動転送ルールを設定して、受信するすべてのメールを外部アドレスへ密かにコピーし、アクセスが取り消された後も機密性の高い通信への永続的なアクセスを維持できます。組織は既定で外部への自動転送をブロックし、既存の転送ルールを監査する必要があります", "status": "machine-draft" }, "recommendedValue": { "value": "送信迷惑メール対策ポリシーを通じて外部への自動転送をブロックする。既存の転送ルールを監査して承認する", "status": "machine-draft" }, "remediationSteps": { "value": "送信迷惑メールフィルターポリシーを構成し、自動転送を「Automatic - System-controlled」または「Off」に設定して、トランスポートレベルで外部への自動転送をブロックします。既存のすべてのメールボックス転送ルールおよび SMTP 転送構成を監査し、侵害の兆候となり得る不正な外部転送を特定します。承認されていない転送ルールを削除し、統合監査ログを使用して新しい転送ルールの作成を検出する監視アラートを導入します", "status": "machine-draft" } }, "M365EXO-008": { "name": { "value": "トランスポートルールのインベントリと分析", "status": "machine-draft" }, "description": { "value": "Exchange Online のトランスポートルール (メールフロールール) は、転送中のメールメッセージを処理し、ヘッダーの変更、メッセージのリダイレクト、免責事項の追加、またはセキュリティ制御のバイパスを行うことができます。悪意のある、または構成を誤ったトランスポートルールは、メールを密かにリダイレクトしたり、セキュリティヘッダーを除去したり、特定の送信者について迷惑メールフィルタリングをバイパスしたりする可能性があります。セキュリティを弱めたりデータ流出を助長したりする可能性のあるルールを特定するには、すべてのトランスポートルールの包括的な監査が必要です", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのトランスポートルールを業務上の正当性とともに文書化する。明示的な承認なしに迷惑メールフィルタリングやセキュリティ制御をバイパスするルールが存在しない", "status": "machine-draft" }, "remediationSteps": { "value": "すべての Exchange Online トランスポートルールをエクスポートして確認し、迷惑メールフィルタリングをバイパスするルール、メールを外部アドレスへリダイレクトするルール、メッセージヘッダーを変更するルールに特に注意を払います。文書化された業務上の正当性がないルール、またはその後に侵害された、もしくは無効化されたアカウントによって作成されたルールを削除または無効にします。トランスポートルールの作成および変更に変更管理プロセスを導入し、トランスポートルールの変更について監査ログアラートを設定します", "status": "machine-draft" } }, "M365EXO-009": { "name": { "value": "メールボックス監査の有効化", "status": "machine-draft" }, "description": { "value": "メールボックス監査は、メールボックスの所有者、代理人、管理者がメールボックスの内容に対して実行したアクションを記録し、セキュリティ調査中に重要なフォレンジック証拠を提供します。メールボックス監査は Microsoft 365 で既定で有効になっていますが、組織が特定のメールボックスで無効にしている場合や、既定の監査アクションが十分であることを確認していない場合があります。メールボックス監査がないと、不正なメールボックスアクセスやデータ流出を検出または調査できません", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのメールボックスでメールボックス監査を有効にする。既定の監査アクションに、すべてのログオンの種類について MailItemsAccessed、Send、SoftDelete を含める", "status": "machine-draft" }, "remediationSteps": { "value": "すべてのメールボックスで AuditDisabled パラメーターが False に設定されていることを確認し、メールボックス監査が組織全体で有効になっていることを確認します。各ログオンの種類 (Owner、Delegate、Admin) について監査対象のアクションを確認し、MailItemsAccessed、Send、SoftDelete、HardDelete、UpdateFolderPermissions などの重要なアクションが記録されていることを確認します。監査が無効になっているメールボックスについては、監査を再度有効にし、悪意のある改ざんを排除するために無効になっていた理由を調査します", "status": "machine-draft" } }, "M365EXO-010": { "name": { "value": "外部送信者の警告", "status": "machine-draft" }, "description": { "value": "外部送信者の識別は、メールが組織外から発信された場合にユーザーが認識するのに役立ち、なりすましやソーシャルエンジニアリング攻撃の効果を低減します。目に見える外部送信者の表示がないと、ユーザーは社内の同僚と、社内の表示名を偽装する外部送信者を区別できない可能性があります。外部送信者タグやメールヒントを構成することで、ユーザーに追加の注意を促す視覚的な手がかりが提供されます", "status": "machine-draft" }, "recommendedValue": { "value": "外部送信者からのメールを視覚的に識別する外部送信者タグまたはメールヒントを有効にする", "status": "machine-draft" }, "remediationSteps": { "value": "Exchange Online のフィッシング対策ポリシーで外部送信者識別機能を有効にし、外部送信者からのメールに視覚的なインジケーターを表示します。組織外からの受信メールの件名に「[External]」を付加するトランスポートルールを追加の視覚的な警告として導入することを検討します。変更をエンドユーザーに周知し、疑わしい外部メールを識別して対応する方法についてガイダンスを提供します", "status": "machine-draft" } }, "M365EXO-011": { "name": { "value": "OAuth/SMTP AUTH のメールボックス単位の監査", "status": "machine-draft" }, "description": { "value": "SMTP AUTH などのレガシー認証プロトコルは、ユーザー名とパスワードのみを使用したメールボックス認証を許可し、多要素認証や条件付きアクセス制御をバイパスします。フィッシングやパスワードスプレーによってメールボックスの資格情報を取得した攻撃者は、SMTP AUTH を使用して MFA チャレンジを発生させずにメールにアクセスできます。それを必要としないメールボックスで SMTP AUTH とレガシー OAuth フローを無効にすることで、重大な認証バイパス経路を封鎖できます", "status": "machine-draft" }, "recommendedValue": { "value": "SMTP AUTH を組織全体で無効にし、文書化されたサービスアカウントについてのみメールボックス単位の例外を設ける。レガシー OAuth を無効にする", "status": "machine-draft" }, "remediationSteps": { "value": "Set-TransportConfig を使用して組織レベルで SMTP AUTH を無効にし、その後アプリケーション統合に SMTP AUTH を必要とする特定のサービスアカウントメールボックスについてのみ選択的に有効にします。SMTP AUTH が有効なすべてのメールボックスを監査し、文書化された業務上の正当性があること、および資格情報が安全に管理されていることを確認します。サインインログを監視して SMTP AUTH の使用状況を確認し、潜在的な資格情報の悪用を検出するとともに、レガシーアプリケーションのモダン認証への移行を計画します", "status": "machine-draft" } }, "M365EXO-012": { "name": { "value": "リモートドメインの自動転送設定", "status": "machine-draft" }, "description": { "value": "Exchange Online のリモートドメイン設定は、外部ドメインへのメッセージ形式や不在通知の配信を制御し、ドメインごとに自動転送を許可するかどうかを含みます。既定のリモートドメイン (*) が自動転送を許可するように構成されている場合、送信迷惑メールポリシーを上書きし、メールボックス転送ルールを通じたデータ流出を可能にします。この設定は、一貫した外部転送制御を確保するため、送信迷惑メールフィルターとは独立して監査する必要があります", "status": "machine-draft" }, "recommendedValue": { "value": "明示的に必要とされない限り、既定のリモートドメイン (*) およびすべてのカスタムリモートドメインで自動転送を無効にする", "status": "machine-draft" }, "remediationSteps": { "value": "既定のリモートドメイン (*) の構成を確認し、AutoForwardEnabled を False に設定して、すべての外部ドメインへの自動転送を防止します。カスタムリモートドメインのエントリを監査し、特定のパートナードメインについて文書化された業務要件がない限り自動転送を無効にします。リモートドメイン設定が送信迷惑メールポリシーの自動転送構成と整合し、両方の制御層で一貫した適用が行われることを確認します", "status": "machine-draft" } }, "M365EXO-013": { "name": { "value": "外部ドメインへの自動転送を無効化 (MS.EXO.1.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.1.1 は、外部ドメインへの自動転送を無効にすることを要求します。Exchange Online のリモートドメイン構成は、テナント外へメールを自動転送できるかどうかを管理します。既定のリモートドメイン (*) が自動転送を許可している場合、侵害されたメールボックスは受信するすべてのメールを攻撃者が管理する外部アドレスへ密かに流出させ、資格情報がリセットされた後もアクセスを維持できます", "status": "machine-draft" }, "recommendedValue": { "value": "特定のパートナー統合が文書化されていない限り、既定のリモートドメイン (*) およびすべてのカスタムリモートドメインで AutoForwardEnabled を False に設定する", "status": "machine-draft" }, "remediationSteps": { "value": "Exchange 管理センターの [メールフロー] で [リモートドメイン] を開き、既定 (*) のエントリを編集して自動転送を許可しないように (AutoForwardEnabled = False) します。クロステナントの自動転送について文書化された業務上の必要性がないすべてのカスタムリモートドメインについて、同じ操作を繰り返します。送信迷惑メールポリシーの自動転送設定が整合しており、両方の制御層が同じ制限を適用していることを確認します", "status": "machine-draft" } }, "M365EXO-014": { "name": { "value": "承認済み送信 IP リストの維持 (MS.EXO.2.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.2.1 は、メール送信を承認された IP アドレスのリストを維持することを要求します。これは正確な SPF レコードの基盤となります。承認済み送信者リストは、各ドメインについてどのホストが正当にメールを送信できるかを決定する信頼できる入力です。維持されたリストがないと、SPF ポリシーを正しく範囲設定できず、なりすまし送信者をブロックできないか、正当な送信者をブロックしてしまいます", "status": "machine-draft" }, "recommendedValue": { "value": "ドメインごとの承認されたすべての送信元 (Exchange Online の include に加え、あらゆるサードパーティ送信者) の、文書化された最新のリスト。これを公開された SPF レコードに反映する", "status": "machine-draft" }, "remediationSteps": { "value": "承認された各ドメインの代わりに正当にメールを送信するすべてのシステム (Exchange Online (spf.protection.outlook.com)、マーケティングプラットフォーム、チケットシステム、オンプレミスのリレーなど) をインベントリ化します。この承認済み送信者リストを信頼できる情報源として記録し、公開された SPF レコードがまさにそれらの送信元を参照するようにします。新しい送信サービスの導入や廃止のたびにリストを見直し、SPF レコードを正確に保ちます", "status": "machine-draft" } }, "M365EXO-015": { "name": { "value": "各ドメインで SPF ポリシーを公開 (MS.EXO.2.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.2.2 は、各ドメインについて SPF ポリシーを公開し、承認されたアドレスのみを送信者として指定し、それ以外をすべて失敗させることを要求します。SPF は Exchange Online の設定ではなく DNS TXT レコードとして公開されます。SPF レコードが欠落している、または +all もしくは ?all で終わる場合、攻撃者は組織から発信されたように見えるメールの FROM フィールドをなりすますことができ、説得力のあるフィッシングを可能にします", "status": "machine-draft" }, "recommendedValue": { "value": "ドメインごとに、承認されたすべての送信者を列挙し -all (ハードフェイル) で終わる単一の SPF TXT レコード", "status": "machine-draft" }, "remediationSteps": { "value": "承認された各ドメインについて、承認されたすべての送信元を列挙し、認可されていない送信者をハードフェイルさせるために -all で終わる単一の SPF TXT レコードを公開します。RFC 7208 に違反し検証を失敗させる原因となる、重複した SPF レコードを削除します。SPF の適用を無効化する +all および ?all を避け、公開後に DNS ルックアップでレコードを検証します", "status": "machine-draft" } }, "M365EXO-016": { "name": { "value": "すべてのドメインで DKIM を有効化 (MS.EXO.3.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.3.1 は、すべてのドメインで DKIM を有効にすることを推奨します。DKIM はメッセージヘッダーに暗号署名を追加し、受信者がメッセージの整合性と真正性を検証できるようにします。DKIM がないと、受信者はなりすましメールを検出するための手がかりが 1 つ少なくなり、DMARC アライメントが DKIM に依存できなくなるため、全体的なメール認証が弱まります", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのカスタムドメインで DKIM 署名を有効にし、対応するセレクター CNAME レコードを DNS に公開する", "status": "machine-draft" }, "remediationSteps": { "value": "すべてのカスタムドメインについて Exchange Online で DKIM 署名を有効にし、サービスが生成する 2 つのセレクター CNAME レコードをドメインの DNS に公開します。CNAME レコードが伝播したら署名構成が有効な状態を報告することを確認します。キーを定期的にローテーションし、新たに追加されたドメインについてドメイン導入の一環として DKIM が有効になっていることを確認します", "status": "machine-draft" } }, "M365EXO-017": { "name": { "value": "各ドメインで DMARC ポリシーを公開 (MS.EXO.4.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.4.1 は、すべてのセカンドレベルドメインについて DMARC ポリシーを公開することを要求します。DMARC は _dmarc.<domain> に置かれる DNS TXT レコードであり、SPF および DKIM を通過しなかったメールを受信者がどう扱うか、およびレポートをどこに送るかを伝えます。DMARC レコードがないと、受信者は認証失敗を一貫性なく処理し、なりすましメールが受信トレイに到達することを許してしまいます", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのセカンドレベルドメインについて _dmarc に公開された DMARC TXT レコード", "status": "machine-draft" }, "remediationSteps": { "value": "すべてのセカンドレベルドメインについて _dmarc.<domain> に DMARC TXT レコードを公開します。セカンドレベルドメインのレコードはそのサブドメインを保護します。まず p=none で開始して配信に影響を与えずに集約レポートを収集し、正当な送信元が SPF または DKIM でアライメントすることを検証してから、適用レベルを引き上げます。DNS ルックアップを使用してレコードが正しく解決されることを確認します", "status": "machine-draft" } }, "M365EXO-018": { "name": { "value": "DMARC の適用を p=reject に設定 (MS.EXO.4.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.4.2 は、DMARC のメッセージ拒否オプションを p=reject に設定することを要求します。3 つのポリシー値 (none、quarantine、reject) のうち、reject は認証されていないメールを受信者にただちに破棄するよう指示することで最も強力な保護を提供します。none または quarantine のポリシーでは、なりすましメールがユーザーの受信トレイに到達する、またはその近くに届く余地が残ります", "status": "machine-draft" }, "recommendedValue": { "value": "各ドメインの DMARC レコードに p=reject を含める", "status": "machine-draft" }, "remediationSteps": { "value": "監視下ですべての正当な送信者が SPF または DKIM のアライメントを通過することを確認した後、各ドメインの DMARC レコードを p=reject に更新し、認証に失敗したメールを受信者が破棄するようにします。正当なメールの中断を避けるため、まず p=none および p=quarantine を経て移行します。reject を適用した後も集約レポートを引き続き監視し、まだアライメントしていない新たに導入された送信者を捕捉します", "status": "machine-draft" } }, "M365EXO-019": { "name": { "value": "DMARC 集約レポートの連絡先を構成 (MS.EXO.4.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.4.3 は、連邦行政機関について DMARC 集約レポートの連絡先 (RUA) に reports@dmarc.cyber.dhs.gov を含めること、およびより一般的には集約レポートの送信先を構成することを要求します。集約レポートは、ドメイン所有者に対して誰が自ドメインとしてメールを送信しているかの可視性を提供し、これは p=reject へ安全に進めること、およびなりすましキャンペーンを検出することに不可欠です", "status": "machine-draft" }, "recommendedValue": { "value": "DMARC レコードに rua= 集約レポートの送信先を含める。連邦行政機関は reports@dmarc.cyber.dhs.gov を含める", "status": "machine-draft" }, "remediationSteps": { "value": "各 DMARC レコードに rua= タグを追加し、監視対象のメールボックスまたはレポート処理サービスを指すようにして、集約レポートが収集され確認されるようにします。連邦行政の各省庁は、BOD 18-01 に従って RUA フィールドに reports@dmarc.cyber.dhs.gov を含める必要があります。なりすましの傾向に対処できるよう、受信メールボックスまたはサービスが積極的に監視されていることを確認します", "status": "machine-draft" } }, "M365EXO-020": { "name": { "value": "SMTP AUTH を組織全体で無効化 (MS.EXO.5.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.5.1 は、SMTP AUTH を無効にすることを要求します。SMTP AUTH は、ユーザー名とパスワードで認証し、多要素認証を強制できないレガシーの送信プロトコルです。これをテナントの既定として有効なままにしておくと、攻撃者が MFA および条件付きアクセスをバイパスしながら、盗んだ資格情報を使用してメールを送信する経路を与えてしまいます", "status": "machine-draft" }, "recommendedValue": { "value": "SMTP AUTH を組織の既定として無効にする (SmtpClientAuthenticationDisabled = True)。文書化されたサービスアカウントについてのみメールボックス単位の例外を設ける", "status": "machine-draft" }, "remediationSteps": { "value": "トランスポート構成で SmtpClientAuthenticationDisabled を True に設定し、SMTP AUTH をグローバルの既定として無効にします。特定のサービスアカウントが SMTP AUTH を真に必要とする場合は、その個別のメールボックスでのみ有効にし、正当性を文書化します。サインインテレメトリを監視して SMTP AUTH の使用状況を確認し、レガシーアプリケーションをモダン認証へ移行します", "status": "machine-draft" } }, "M365EXO-021": { "name": { "value": "連絡先フォルダーの共有をすべてのドメインに開放しない (MS.EXO.6.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.6.1 は、連絡先フォルダーをすべてのドメインと共有しないことを要求します。Exchange Online の共有ポリシーは、送信される連絡先共有に対する既定の制限を緩和できます。連絡先をすべてのドメインと共有するポリシー (ワイルドカードドメイン '*' のエントリ) は、ディレクトリおよび連絡先データを広範に公開し、データ流出の経路を作り、ソーシャルエンジニアリングのための偵察を助けます", "status": "machine-draft" }, "recommendedValue": { "value": "ワイルドカードドメイン (*) に連絡先共有を付与する共有ポリシールールが存在しない。共有を特定の承認済みドメインのみに限定する", "status": "machine-draft" }, "remediationSteps": { "value": "すべての Exchange Online 共有ポリシーを確認し、連絡先フォルダーをワイルドカードドメイン (*) と共有するルールを削除します。外部の連絡先共有が真に必要な場合は、すべてのドメインではなく特定の指定されたパートナードメインに範囲を限定します。既定の共有ポリシーが全ドメインの連絡先共有を密かに再有効化しないことを検証します", "status": "machine-draft" } }, "M365EXO-022": { "name": { "value": "予定表の詳細共有をすべてのドメインに開放しない (MS.EXO.6.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.6.2 は、予定表の詳細をすべてのドメインと共有しないことを要求します。共有ポリシーは外部への予定表の詳細共有を許可でき、ワイルドカードドメイン (*) を対象とするルールは、会議の件名、場所、出席者情報を任意の外部関係者に公開します。これは標的型フィッシングや物理的な偵察を支援する組織活動を漏洩させます", "status": "machine-draft" }, "recommendedValue": { "value": "ワイルドカードドメイン (*) に予定表の詳細共有 (CalendarSharing*) を付与する共有ポリシールールが存在しない。共有を特定の承認済みドメインに限定し、理想的には空き時間情報のみとする", "status": "machine-draft" }, "remediationSteps": { "value": "すべての Exchange Online 共有ポリシーを確認し、予定表の詳細をワイルドカードドメイン (*) と共有するルールを削除します。外部の予定表共有が必要な場合は、特定の指定されたドメインに限定し、完全な詳細ではなく空き時間情報のみのレベルを優先します。既定の共有ポリシーが予定表の詳細をすべてのドメインに公開しないことを確認します", "status": "machine-draft" } }, "M365EXO-023": { "name": { "value": "外部送信者の警告を実装 (MS.EXO.7.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.7.1 は、外部送信者の警告を実装することを要求します。組織外から発信されたメールをマークすることで、ユーザーがなりすましやソーシャルエンジニアリングの試みを認識しやすくなります。これは、ネイティブの外部送信者タグ (Set-ExternalInOutlook) を通じて、または受信する外部メールの件名に [External] などのインジケーターを付加するメールフロールールを通じて提供できます", "status": "machine-draft" }, "recommendedValue": { "value": "ネイティブの外部送信者識別を有効にする (Get-ExternalInOutlook Enabled = True)、または受信する外部メールに外部マーカーを付加するメールフロールール", "status": "machine-draft" }, "remediationSteps": { "value": "ネイティブの外部送信者識別機能を有効にして、Outlook が組織外からのメールに External タグを表示するようにします。あるいはそれに加えて、組織外から受信したメールの件名に [External] などのマーカーを付加する、有効なメールフロールールを作成します。インジケーターの意味を理解できるよう、変更をユーザーに周知します", "status": "machine-draft" } }, "M365EXO-024": { "name": { "value": "データ損失防止ソリューションの使用 (MS.EXO.8.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.8.1 は、ネイティブの Microsoft ソリューションと同等のサービスを提供する DLP ソリューションを使用することを要求します。DLP は Exchange Online のメール内の機密情報を検出し、不正な開示を防止します。DLP がないと、ユーザーは自動的な検出やブロックなしに、意図せず、または悪意を持って機密データを組織外へ送信してしまう可能性があります", "status": "machine-draft" }, "recommendedValue": { "value": "Exchange Online ワークロードを対象とする、少なくとも 1 つの有効な DLP ポリシー", "status": "machine-draft" }, "remediationSteps": { "value": "Exchange Online のメールワークロードをカバーする DLP ソリューションを展開し、少なくとも 1 つのポリシーが有効になり適用されていることを確認します。ネイティブの Microsoft DLP 機能を使用する場合は、コンプライアンスポータルで Exchange のメールを対象とするポリシーを作成します。開示が実際にブロックされるよう、ポリシーがテストのみではなく適用モードになっていることを検証します", "status": "machine-draft" } }, "M365EXO-025": { "name": { "value": "DLP による PII および機密データ型の保護 (MS.EXO.8.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.8.2 は、DLP ソリューションが PII および機密情報を保護し、少なくともクレジットカード番号、納税者識別番号 (TIN)、社会保障番号 (SSN) のメールでの共有を制限することを要求します。存在してもこれらの価値の高い識別子を検出しない DLP ソリューションは、最も被害の大きい種類の意図しない開示を防止できません", "status": "machine-draft" }, "recommendedValue": { "value": "DLP ポリシーに、クレジットカード番号、TIN、SSN をカバーする機密情報の種類を含め、メールに対して制限/ブロックのアクションを設定する", "status": "machine-draft" }, "remediationSteps": { "value": "Exchange Online をカバーする DLP ポリシーを構成し、クレジットカード番号、納税者識別番号 (TIN)、社会保障番号 (SSN) の機密情報の種類、および機関が定義した追加の PII を検出します。これらの識別子を含む送信メールをブロックまたは制限するようにルールのアクションを設定します。サンプルデータでテストして検出を確認し、ユーザー通知とインシデントレポートが生成されることを確認します", "status": "machine-draft" } }, "M365EXO-026": { "name": { "value": "添付ファイルの種類によるメールのフィルタリング (MS.EXO.9.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.9.1 は、一般的な添付ファイルフィルターと同等の、添付ファイルの種類によるメールのフィルタリングを要求します。多くのマルウェアペイロードはクリックで実行される添付ファイルとして到着します。添付ファイルの種類で受信メールをフィルタリングすることで、危険なファイルの種類がユーザーに到達する前にブロックし、誤って実行される可能性を減らします", "status": "machine-draft" }, "recommendedValue": { "value": "一般的な添付ファイルの種類フィルターを有効にしたマルウェア/マルウェア対策ポリシー (EnableFileFilter = True)", "status": "machine-draft" }, "remediationSteps": { "value": "マルウェア対策ポリシーで一般的な添付ファイルフィルターを有効にして、受信メールを添付ファイルの種類でフィルタリングします。ポリシーがサブセットに限定されず、すべての受信者に適用されていることを確認します。同等のサードパーティゲートウェイがこのフィルタリングを提供する場合は、それが有効であり、同じ危険なファイルの種類をカバーしていることを検証します", "status": "machine-draft" } }, "M365EXO-027": { "name": { "value": "添付ファイルフィルターによる真のファイル種別の評価 (MS.EXO.9.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.9.2 は、添付ファイルフィルターが真のファイル種別を判別し、ファイル拡張子を評価することを推奨します。攻撃者は危険な種類を偽装するためにファイル名を変更します (例: 実行可能ファイルを .txt に変更する)。真のファイル種別の検出は、拡張子が実際のファイル内容と一致しない不一致を捕捉し、一般的な回避手法を封じます", "status": "machine-draft" }, "recommendedValue": { "value": "ファイル拡張子のみに依存するのではなく、真のファイル種別を検査するように添付ファイルフィルタリングを構成する", "status": "machine-draft" }, "remediationSteps": { "value": "添付ファイルフィルタリングソリューションが、ファイル拡張子を信頼するのではなく実際のファイル内容を検査して真の種別を判別することを確認します。ネイティブソリューションでは、これは一般的な添付ファイルフィルターの種別検出によって提供されます。有効になっていることを確認します。サードパーティゲートウェイの場合は、名前を変更された危険なファイルも捕捉されるよう、真のファイル種別またはコンテンツベースの検査が構成されていることを確認します", "status": "machine-draft" } }, "M365EXO-028": { "name": { "value": "許可しない添付ファイルの種類を設定 (MS.EXO.9.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.9.3 は、許可しないファイルの種類を決定して設定し、少なくとも .exe、.cmd、.vbe などのクリックで実行されるファイルをブロックすることを要求します。有効になっていてもブロックリストが空、または不十分な添付ファイルフィルターは、実質的な保護を提供しません。組織は、リスク許容度に応じてブロックする拡張子のリストを定義し、維持する必要があります", "status": "machine-draft" }, "recommendedValue": { "value": "少なくとも exe、cmd、vbe、vbs、js、ps1、bat を含む実行可能/クリック実行の種類を、添付ファイルフィルターのブロックリストに登録する", "status": "machine-draft" }, "remediationSteps": { "value": "組織がメールで受け入れないファイルの種類を添付ファイルフィルターのブロックリストに登録し、少なくとも exe、cmd、vbe、vbs、js、ps1、bat などのクリックで実行される実行可能ファイルが含まれるようにします。現在の脅威動向と組織のリスク許容度に照らしてリストを見直します。リストが空でなく、すべての受信者に適用されていることを確認します", "status": "machine-draft" } }, "M365EXO-029": { "name": { "value": "メールのマルウェアスキャン (MS.EXO.10.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.10.1 は、メールをマルウェアについてスキャンすることを要求します。メールは主要なマルウェア配信経路であり、受信メールをスキャンすることで既知の悪意のあるコンテンツがユーザーに到達する前に検出します。有効なマルウェア対策ポリシーがない組織は、マルウェアを含む添付ファイルにユーザーを直接さらしてしまいます", "status": "machine-draft" }, "recommendedValue": { "value": "すべての受信者に適用された、少なくとも 1 つの有効なマルウェア対策ポリシー", "status": "machine-draft" }, "remediationSteps": { "value": "少なくとも 1 つのマルウェア対策ポリシーが有効であり、すべての受信者に適用されて受信メールがマルウェアについてスキャンされることを確認します。同等のサードパーティソリューションを使用する場合は、それが有効であり、すべての受信メールをカバーしていることを検証します。スキャンが機能していることを確認するため、検出テレメトリを定期的に確認します", "status": "machine-draft" } }, "M365EXO-030": { "name": { "value": "マルウェアメールの検疫または破棄 (MS.EXO.10.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.10.2 は、マルウェアを含むと識別されたメールを検疫または破棄することを要求します。悪意のあるメッセージが依然として配信される場合、検出だけでは不十分です。マルウェア対策ポリシーは、マルウェアを含むと判明したメッセージにユーザーが操作できないよう、削除アクションを実行する必要があります", "status": "machine-draft" }, "recommendedValue": { "value": "マルウェアと識別されたメッセージをマルウェア対策ポリシーが検疫または破棄する (警告付き配信アクションを設定しない)", "status": "machine-draft" }, "remediationSteps": { "value": "マルウェアを含むと識別されたメッセージが配信されるのではなく検疫または破棄されるよう、マルウェア対策ポリシーを構成します。マルウェアが陽性のメッセージを警告のみで配信するように設定されたポリシーがないことを確認します。検出時にセキュリティチームに通知されるよう、管理者通知が有効になっていることを確認します", "status": "machine-draft" } }, "M365EXO-031": { "name": { "value": "配信後のマルウェアスキャンを有効化 (MS.EXO.10.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.10.3 は、メールスキャンが配信後のメールを確認できることを要求します。マルウェアシグネチャは継続的に更新されるため、配信時には無害だったメッセージが後で悪意のあるものと認識されることがあります。zero-hour auto purge (ZAP) は、そのようなメッセージをメールボックスから事後的に削除し、露出の時間枠を縮小します", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのマルウェア対策ポリシーで zero-hour auto purge (ZAP) を有効にする (ZapEnabled = True)", "status": "machine-draft" }, "remediationSteps": { "value": "すべてのマルウェア対策ポリシーで zero-hour auto purge (ZAP) を有効にして、後でマルウェアと識別されたメッセージが配信後にメールボックスから削除されるようにします。既定のポリシーだけでなく、すべてのポリシーで ZAP が有効になっていることを確認します。同等のサードパーティソリューションを使用する場合は、同等の配信後の修復を提供することを検証します", "status": "machine-draft" } }, "M365EXO-032": { "name": { "value": "なりすまし保護チェックを有効化 (MS.EXO.11.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.11.1 は、なりすまし保護チェックを使用することを推奨します。なりすまし保護は、送信者アドレスを既知のユーザーおよびドメインと比較し、類似したアドレス (例: exmple.com と example.com) にフラグを立てます。それがないと、ユーザーはほぼ同一の送信者アドレスを手動で区別しなければならず、信頼性に欠け、フィッシングの成功率を高めます", "status": "machine-draft" }, "recommendedValue": { "value": "ユーザーおよび/またはドメインのなりすまし保護を有効にし、価値の高い標的に適用したフィッシング対策ポリシー", "status": "machine-draft" }, "remediationSteps": { "value": "フィッシング対策ポリシーでユーザーおよびドメインのなりすまし保護を有効にし、役員、財務、IT などの価値の高い標的、および組織ドメインと主要なパートナードメインに適用します。なりすましメッセージのアクションを検疫に設定します。なりすまし保護には Defender for Office 365 プランが必要である点に注意し、利用できない場合は同等のサードパーティ機能を評価します", "status": "machine-draft" } }, "M365EXO-033": { "name": { "value": "ユーザー向けの安全に関するヒント/警告を表示 (MS.EXO.11.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.11.2 は、EOP の安全に関するヒントと同等のユーザー警告を表示することを推奨します。安全に関するヒントは、自動化されたシグナル (FROM アドレス内の異常な文字、初回接触の送信者) をクライアントに直接表示し、リスクのある瞬間に注意を促します。これはユーザーから検出作業を軽減し、フィッシングの成功を減らします", "status": "machine-draft" }, "recommendedValue": { "value": "初回接触の安全に関するヒント、およびなりすまし/偽装の安全に関するヒントを有効にしたフィッシング対策ポリシー", "status": "machine-draft" }, "remediationSteps": { "value": "フィッシング対策ポリシーで、初回接触の安全に関するヒント、およびなりすましと偽装の安全に関するヒントを含む安全に関するヒントのオプションを有効にして、ユーザーがクライアント内で警告を受け取るようにします。ポリシーをすべてのユーザーに適用します。同等のサードパーティソリューションを使用する場合は、同等の受信者向け警告を表示することを確認します", "status": "machine-draft" } }, "M365EXO-034": { "name": { "value": "AI ベースのフィッシング検出の使用 (MS.EXO.11.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.11.3 は、EOP メールボックスインテリジェンスと同等の AI ベースのフィッシング検出ツールを推奨します。メールボックスインテリジェンスは、ユーザーの通常の通信相手のモデルを構築し、ルールベースのフィルターが見逃す異常な送信者を検出します。AI ベースの層がないと、新しい、または高度に標的化されたフィッシングが検出を回避する可能性が高くなります", "status": "machine-draft" }, "recommendedValue": { "value": "メールボックスインテリジェンスを有効にし (EnableMailboxIntelligence = True)、保護アクションを構成したフィッシング対策ポリシー", "status": "machine-draft" }, "remediationSteps": { "value": "フィッシング対策ポリシーでメールボックスインテリジェンスを有効にし、検出されたなりすましを処理するようメールボックスインテリジェンスの保護アクションを構成します。ポリシーをすべてのユーザーに適用します。メールボックスインテリジェンスには Defender for Office 365 プランが必要です。利用できない場合は、同等の AI ベースのサードパーティフィッシング検出機能を評価します", "status": "machine-draft" } }, "M365EXO-035": { "name": { "value": "接続フィルターに IP 許可リストを設定しない (MS.EXO.12.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.12.1 は、IP 許可リストを作成しないことを推奨します。接続フィルターの許可リストにあるアドレスは、迷惑メールフィルタリング、SPF、DKIM、DMARC、FROM アドレスの適用をバイパスします。このリストのエントリはすべて、そのアドレスから送信できる攻撃者が、すべての受信セキュリティ制御をスキップするメールを配信できる穴となります", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのポリシーで接続フィルターポリシーの IPAllowList を空にする", "status": "machine-draft" }, "remediationSteps": { "value": "接続フィルターポリシーを編集し、許可された IP アドレスのリストからすべてのエントリを削除して、迷惑メールフィルタリングと認証チェックをバイパスする送信者がないようにします。誤検知を避けるために送信者を許可する必要がある場合は、IP 許可リストよりも範囲を狭く限定した許可送信者エントリを優先します。カスタムの接続フィルターポリシーが許可リストのエントリを再導入していないことを検証します", "status": "machine-draft" } }, "M365EXO-036": { "name": { "value": "接続フィルターのセーフリストを無効化 (MS.EXO.12.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.12.2 は、セーフリストを有効にしないことを推奨します。接続フィルターのセーフリストは、サードパーティを情報源とする動的な「既知の良好な」送信者のリストであり、そのメールは迷惑メールフィルタリングと送信者認証をバイパスします。このリストは外部で管理されているため、有効にすると、組織が管理していない情報源にセキュリティバイパスの判断を委ねることになります", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのポリシーで接続フィルターポリシーの EnableSafeList を False に設定する", "status": "machine-draft" }, "remediationSteps": { "value": "接続フィルターポリシーを編集し、セーフリストのオプションがオフ (EnableSafeList = False) になっていることを確認して、外部を情報源とする「既知の良好な」送信者が迷惑メールおよび認証チェックをバイパスしないようにします。既定およびすべてのカスタム接続フィルターポリシーで設定を検証します。既知の悪意のある送信者をブロックするために、接続フィルターの IP ブロックリストは引き続き使用できます", "status": "machine-draft" } }, "M365EXO-037": { "name": { "value": "メールボックス監査を組織全体で有効化 (MS.EXO.13.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.13.1 は、メールボックス監査を有効にすることを要求します。メールボックス監査は、所有者、代理人、管理者がメールボックスの内容に対して行ったアクションを記録し、侵害の調査に不可欠なフォレンジック証拠を提供します。既定で有効ですが、この制御は組織レベルでの意図しない、または悪意のある無効化を防ぎます", "status": "machine-draft" }, "recommendedValue": { "value": "組織の AuditDisabled = False にして、メールボックス監査をテナント全体で有効にする", "status": "machine-draft" }, "remediationSteps": { "value": "組織構成で AuditDisabled が False であることを確認し、メールボックス監査が組織全体で有効になっていることを確認します。監査が無効になっている場合は再度有効にし、改ざんを排除するために無効になっていた理由を調査します。既定の監査対象アクションが、ログオンの種類全体で MailItemsAccessed、Send、SoftDelete、HardDelete をカバーしていることを確認します", "status": "machine-draft" } }, "M365EXO-038": { "name": { "value": "受信迷惑メールフィルターを有効化 (MS.EXO.14.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.14.1 は、ネイティブの迷惑メールフィルタリングと同等の迷惑メールフィルターを有効にすることを要求します。迷惑メールはメールボックスを乱雑にし、生産性を低下させ、しばしば悪意のあるリンクや添付ファイルを含みます。有効な受信迷惑メールポリシーがない組織は、未承諾で潜在的に悪意のあるメールの全量にユーザーをさらしてしまいます", "status": "machine-draft" }, "recommendedValue": { "value": "すべての受信者に適用された、少なくとも 1 つの有効なホストされたコンテンツ (迷惑メール対策) フィルターポリシー", "status": "machine-draft" }, "remediationSteps": { "value": "少なくとも 1 つの受信迷惑メール対策 (ホストされたコンテンツフィルター) ポリシーが有効であり、すべての受信者に適用されていることを確認します。同等のサードパーティゲートウェイを使用する場合は、すべての受信メールに対して有効になっていることを検証します。攻撃的な一括送信者や迷惑メール送信者がフィルタリングされるよう、迷惑メールのアクションのしきい値を確認します", "status": "machine-draft" } }, "M365EXO-039": { "name": { "value": "迷惑メールを迷惑メールフォルダーまたは検疫にルーティング (MS.EXO.14.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.14.2 は、迷惑メールおよび高確度の迷惑メールを迷惑メールフォルダーまたは検疫のいずれかに移動することを要求します。迷惑メールを受信トレイに配信すると、フィルタリングの目的が損なわれ、悪意のあるコンテンツへの露出が増加します。迷惑メール対策ポリシーのアクションは、誤検知のユーザーレビューを維持しつつ、検出された迷惑メールを受信トレイから遠ざける必要があります", "status": "machine-draft" }, "recommendedValue": { "value": "SpamAction および HighConfidenceSpamAction を MoveToJmf (迷惑メール) または Quarantine に設定する。受信トレイへの配信には決して設定しない", "status": "machine-draft" }, "remediationSteps": { "value": "迷惑メール対策ポリシーを構成し、迷惑メールおよび高確度の迷惑メールのアクションが、メッセージを受信トレイに配信するのではなく迷惑メールフォルダーまたは検疫に移動するようにします。いずれのアクションもヘッダーを追加して配信するように設定されていないことを確認します。迷惑メールのルーティングが一貫するよう、ポリシーがすべての受信者に適用されていることを確認します", "status": "machine-draft" } }, "M365EXO-040": { "name": { "value": "迷惑メール対策ポリシーで許可ドメインを設定しない (MS.EXO.14.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.14.3 は、受信迷惑メール対策ポリシーに許可ドメインを追加しないことを要求します。ドメイン全体を許可すると、そのドメインのすべての送信者が迷惑メール保護をバイパスでき、一般的なドメインはなりすまされて例外を悪用される可能性があります。個々の送信者を許可することは許容されますが、ドメイン全体の許可エントリは広範なバイパスを生み出します", "status": "machine-draft" }, "recommendedValue": { "value": "すべての迷惑メール対策 (ホストされたコンテンツフィルター) ポリシーで AllowedSenderDomains を空にする", "status": "machine-draft" }, "remediationSteps": { "value": "すべての迷惑メール対策ポリシーを確認し、許可された送信者ドメインのリストからすべてのエントリを削除します。誤検知に対処する必要がある場合は、ドメイン全体ではなく特定の許可送信者を追加します。特に一般的なドメインについて、カスタムの迷惑メール対策ポリシーが許可ドメインのエントリを再導入していないことを確認します", "status": "machine-draft" } }, "M365EXO-041": { "name": { "value": "URL ブロックリストとの照合を有効化 (MS.EXO.15.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.15.1 は、ブロックリストとの URL 照合を有効にすることを推奨します。クリック時の URL 保護は、リンクをブロックリストや既知の悪意のあるサイトのリストと照合し、ユーザーが危険な宛先に到達する前に止めます。それがないと、配信後に武器化されたリンクはクリック可能なまま保護されません", "status": "machine-draft" }, "recommendedValue": { "value": "URL スキャンを有効 (EnableSafeLinksForEmail = True) にして、メールに対して安全なリンク (または同等) のポリシーを有効にする", "status": "machine-draft" }, "remediationSteps": { "value": "メールに対して安全なリンクまたは同等の URL 保護ポリシーを有効にし、クリック時にリンクをブロックリストおよび既知の悪意のあるサイトのリストと照合してスキャンします。ポリシーをすべてのユーザーに適用し、広範な書き換え対象外の URL の例外を避けます。安全なリンクには Defender for Office 365 プランが必要です。利用できない場合は、同等のサードパーティのリンク保護機能を評価します", "status": "machine-draft" } }, "M365EXO-042": { "name": { "value": "直接ダウンロードリンクのマルウェアスキャン (MS.EXO.15.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.15.2 は、直接ダウンロードリンクをマルウェアについてスキャンすることを推奨します。メール内のリンクはマルウェアのダウンロードを直接指す可能性があります。ユーザーが直接ダウンロードリンクをクリックした際に宛先ファイルをリアルタイムでスキャンすることで、マルウェアが検出された場合にダウンロードをブロックし、デバイスの感染を防止します", "status": "machine-draft" }, "recommendedValue": { "value": "リアルタイムの URL/ファイルスキャンを有効 (ScanUrls = True) にした安全なリンク (または同等) のポリシー", "status": "machine-draft" }, "remediationSteps": { "value": "安全なリンクまたは同等のポリシーで URL および直接ダウンロード先のリアルタイムスキャンを有効にして、クリック時にリンクの背後にあるファイルをマルウェアについてスキャンします。ポリシーをすべてのユーザーに適用します。保護を最大化するため、適切な場合はスキャン完了後にのみ配信するオプションが構成されていることを検証します", "status": "machine-draft" } }, "M365EXO-043": { "name": { "value": "ユーザークリック追跡を有効化 (MS.EXO.15.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.15.3 は、ユーザークリック追跡を有効にすることを推奨します。クリック追跡は、ユーザーがメール内のリンクをクリックしたときを記録し、悪意のあるリンクが訪問された可能性があるかどうかについて事後的な可視性を提供します。これはフィッシングリンクに関わるインシデントの範囲特定と対応に不可欠です", "status": "machine-draft" }, "recommendedValue": { "value": "クリック追跡を有効 (DoNotTrackUserClicks = False) にした安全なリンク (または同等) のポリシー", "status": "machine-draft" }, "remediationSteps": { "value": "安全なリンクまたは同等のポリシーでユーザークリック追跡が有効になっており、メール内のリンクへのクリックが記録される (追跡しないオプションがオフである) ことを確認します。ポリシーをすべてのユーザーに適用します。インシデント調査のために、クリックテレメトリが関連するレポート画面で利用可能であることを確認します", "status": "machine-draft" } }, "M365EXO-044": { "name": { "value": "必須の Exchange Online アラートを有効化 (MS.EXO.16.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.16.1 は、疑わしいメール送信パターン、疑わしいコネクタアクティビティ、疑わしいメール転送アクティビティ、メッセージの遅延、プロビジョニングされていないメールの送信をテナントが制限された、メールの送信をテナントが制限された、悪意のある可能性のある URL クリックの検出を含む、最小限のアラートセットを有効にすることを要求します。これらのアラートは、管理者に発生の可能性が高いセキュリティインシデントについてリアルタイムの洞察を提供します", "status": "machine-draft" }, "recommendedValue": { "value": "必須の 7 つのアラートポリシーを有効にする: 疑わしい送信パターン、疑わしいコネクタアクティビティ、疑わしい転送、メッセージの遅延、プロビジョニングされていないメール送信のテナント制限、メール送信のテナント制限、悪意のある URL クリック", "status": "machine-draft" }, "remediationSteps": { "value": "必須の 7 つのアラートポリシーがそれぞれ有効になっていることを確認します: 疑わしいメール送信パターン、疑わしいコネクタアクティビティ、疑わしいメール転送アクティビティ、メッセージが遅延した、プロビジョニングされていないメールの送信をテナントが制限された、メールの送信をテナントが制限された、悪意のある可能性のある URL クリックが検出された。無効になっているものを有効にします。同等のサードパーティのアラートソリューションを使用する場合は、同等の条件をカバーしていることを確認します", "status": "machine-draft" } }, "M365EXO-045": { "name": { "value": "アラートを監視対象の宛先にルーティング (MS.EXO.16.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.16.2 は、アラートを監視対象のアドレスに送信するか、SIEM に組み込むことを推奨します。発報しても監視されていない場所に配信されるアラートは対処可能ではなく、疑わしいイベントが未対応のまま残り、インシデントの影響を増大させます。必須の各アラートポリシーは、監視対象の受信者に通知するか、SIEM にフィードする必要があります", "status": "machine-draft" }, "recommendedValue": { "value": "有効な各アラートポリシーで、通知の受信者を監視対象のメールボックスに設定するか、SIEM に取り込む", "status": "machine-draft" }, "remediationSteps": { "value": "有効な各アラートポリシーを、監視対象のメールボックスまたは配布リストを指す 1 つ以上の通知受信者で構成するか、アラートを SIEM へ転送します。アラートが速やかにトリアージされるよう、宛先が積極的に監視されていることを確認します。サードパーティのアラートソリューションを使用する場合は、そのアラートが同じ監視対象の宛先または SIEM に到達することを検証します", "status": "machine-draft" } }, "M365EXO-046": { "name": { "value": "Purview 監査 (標準) ログを有効化 (MS.EXO.17.1)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.17.1 は、Microsoft Purview 監査 (標準) ログである統合監査ログを有効にすることを要求します。統合監査ログは Microsoft 365 全体のユーザーおよび管理者のアクティビティを取得し、インシデント対応と脅威検出の基盤となります。統合監査ログの取り込みが無効になっていると、アクティビティの証拠が収集されず、調査が著しく妨げられます", "status": "machine-draft" }, "recommendedValue": { "value": "統合監査ログの取り込みを有効にする (UnifiedAuditLogIngestionEnabled = True)", "status": "machine-draft" }, "remediationSteps": { "value": "統合監査ログの取り込みが有効 (UnifiedAuditLogIngestionEnabled = True) であることを確認し、ユーザーおよび管理者のアクティビティが Microsoft 365 監査ログに取得されるようにします。無効になっている場合は、監査ログ構成を通じて有効にします。有効化後に最近のイベントを照会して、ログ記録がアクティブであることを確認します", "status": "machine-draft" } }, "M365EXO-047": { "name": { "value": "Purview 監査 (Premium) ログを有効化 (MS.EXO.17.2)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.17.2 は、Microsoft Purview 監査 (Premium) ログを有効にすることを要求します。Premium 監査は、標準には含まれない価値の高いイベントの種類 (MailItemsAccessed など) とより長い既定の保持期間を追加し、調査時の可視性を大幅に向上させます。Premium 監査には E5/G5 または同等のアドオンライセンスが必要です", "status": "machine-draft" }, "recommendedValue": { "value": "E5/G5 またはアドオンライセンスを条件に、Premium 監査のイベントの種類 (例: MailItemsAccessed) と監査保持機能を有効にする", "status": "machine-draft" }, "remediationSteps": { "value": "Microsoft Purview 監査 (Premium) 機能を有効にして、MailItemsAccessed などの追加のイベントの種類が取得されるようにします。テナントに必要な E5/G5 ライセンスまたはコンプライアンスアドオンがあることを確認します。ライセンスがない場合、この制御は満たすことができず、合格ではなく未評価として追跡する必要があります。有効化後に価値の高い監査イベントが記録されていることを検証します", "status": "machine-draft" } }, "M365EXO-048": { "name": { "value": "監査ログの保持が最小要件を満たす (MS.EXO.17.3)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.17.3 は、OMB M-21-31 (付録 C) が定める最小期間、少なくともアクティブストレージで 12 か月間、監査ログを保持することを要求します。既定の保持期間は必要な期間より短い場合があり、必要なときに利用できないログは古いインシデントの調査を妨げます。明示的な監査ログ保持ポリシーは、必要な期間を強制します", "status": "machine-draft" }, "recommendedValue": { "value": "統合監査ログを (OMB M-21-31 付録 C に従い) 少なくともアクティブストレージで 12 か月間保持する監査ログ保持ポリシー", "status": "machine-draft" }, "remediationSteps": { "value": "OMB M-21-31 付録 C で要求されているとおり、統合監査ログを少なくともアクティブストレージで 12 か月間保持し、該当する場合は追加のコールドストレージ保持を行う監査ログ保持ポリシーを作成します。テナントのライセンスがカスタム監査保持 (E5/G5 またはアドオン) をサポートしていることを確認します。ライセンスがない場合は、合格ではなく未評価として追跡します。ポリシーの範囲が関連する Exchange および統合監査ログのレコードの種類をカバーしていることを検証します", "status": "machine-draft" } }, "M365EXO-049": { "name": { "value": "実行可能な添付ファイルの種類をブロック (MS.EXO.9.5)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.9.5 は、クリックで実行される実行可能ファイルの種類 (例: .exe、.cmd、.vbe) をメールゲートウェイでブロックすることを要求します。Microsoft Defender for Office 365 は、マルウェア対策ポリシーの一般的な添付ファイルフィルターを通じてこれを適用し、コンテンツスキャンに関係なく、記載されたファイルの種類を運ぶメッセージをただちに拒否します。実行可能な添付ファイルは主要なマルウェア配信経路です。高リスクの種類を拡張子でブロックすることで、デトネーションが必要になる前に最も一般的なペイロードを止めます。このチェックはすべてのマルウェア対策ポリシーを検査し、一般的な添付ファイルフィルターが有効であり、少なくとも .exe、.cmd、.vbe をカバーしていることを確認します", "status": "machine-draft" }, "recommendedValue": { "value": "すべてのマルウェア対策ポリシーで一般的な添付ファイルフィルターを有効にし、少なくとも .exe、.cmd、.vbe をブロックする", "status": "machine-draft" }, "remediationSteps": { "value": "Microsoft Defender ポータルの [メールとコラボレーション] > [ポリシーとルール] > [脅威ポリシー] > [マルウェア対策] で、各ポリシーの一般的な添付ファイルフィルターを有効にし、ブロックされるファイルの種類のリストにクリックで実行される実行可能ファイル (.exe、.cmd、.vbe および関連する種類) が含まれるようにします。これを既定で有効にする標準または厳格のプリセットセキュリティポリシーを優先します。ポリシーがすべての受信者に適用されていることを確認します", "status": "machine-draft" } }, "M365EXO-050": { "name": { "value": "DLP が SSN、ITIN、クレジットカード番号の共有を制限 (MS.EXO.8.4)", "status": "machine-draft" }, "description": { "value": "SCuBA MS.EXO.8.4 は、データ損失防止ソリューションが少なくとも、クレジットカード番号、米国個人納税者識別番号 (ITIN)、米国社会保障番号 (SSN) のメールでの共有を制限することを要求します。このチェックは、テナントから収集された DLP コンプライアンスルールを検査し、それら 3 つの機密情報の種類をそれぞれ参照する有効なルールが少なくとも 1 つあることを確認します。これはポリシーだけでなく DLP ルールを読み取ります。Get-DlpComplianceRule は、構成されていない DLP ソリューションと読み取れなかったものを区別できないため、ルールセットが存在しないか空の場合は、失敗や合格ではなく未評価として報告されます。FAIL は、ルールが存在するが必須の 3 つの種類のいずれかを明らかにカバーしていない場合にのみ返されます", "status": "machine-draft" }, "recommendedValue": { "value": "米国 SSN、米国 ITIN、クレジットカード番号の機密情報の種類ごとに、Exchange のメールを対象とする有効な DLP ルールを少なくとも 1 つずつ設定する", "status": "machine-draft" }, "remediationSteps": { "value": "Microsoft Purview コンプライアンスポータルの [データ損失防止] > [ポリシー] で、Exchange のメールの場所を対象とし、クレジットカード番号、米国社会保障番号 (SSN)、米国個人納税者識別番号 (ITIN) の機密情報の種類を検出するルールを持つポリシーを作成または拡張し、外部共有をブロックまたは制限するアクションを設定します。ルールが適用されるよう、ポリシーを (テストモードではなく) 有効にします", "status": "machine-draft" } } } |