重要なお知らせ：GoogleとYahooは2024年4月よりDMARCを義務付けます。
続きを読む
PowerDMARC

DMARCに失敗したインバウンドメールをMicrosoft 365はどのように処理するのですか？

Ahona Rudra
Microsoft 365はDMARCに失敗したインバウンドメールをどのように扱うか？

Microsoft 365はDMARCに失敗したインバウンドメールをどのように扱うか？

読書時間 5 分

DMARCに失敗したMicrosoft 365の受信メールは、DMARCポリシーが「p=reject」に設定されていても拒否されません。これは、送信者側のメールセキュリティポリシーによって送信中に紛失する可能性のある正当なメールをブロックしないようにするためです。

Microsoft 365がDMARC失敗メールを拒否しないのはなぜですか？

Microsoft 365は、DMARCチェックに失敗したメールを順番に拒否することはありません。

このため、Microsoft 365のメールセキュリティは、メッセージを完全に拒否するのではなく、スパムとしてマークする方が良いと判断している。ユーザーは、マイクロソフトを活用することで、これらのメールを受信トレイで受信することができる： 

  1. 差出人セーフリストの作成 
  2. Exchange メールフロールールとして知られるトランスポートルールの作成

正規のメールがDMARCに引っかかることは心配かもしれませんが、この手法では、悪意のあるメールがDMARCのチェックを回避してユーザーの受信箱に入り込んでしまう可能性があります。 

この資料は、以下の方法で確認することができます。 マイクロソフト 365による、Exchange Online プラットフォームにおける受信 DMARC の設定に関する文書をご覧ください。

未承認の受信メールを隔離するMicrosoft 365トランスポートルールを作成する方法とは？

Office 365 DMARC の展開に関するこれらの懸念に対処するため、送信者のメッセージヘッダーを使用して Exchange Mail Flow/ Transport ルールを作成することができます。 

ケース1：内部ドメインからの受信メールを隔離するトランスポートルールの設定

Fromアドレスに内部ドメインが含まれるメールを受信した場合、そのメールを隔離するためのトランスポートルールを設定することができます。これにより、メールは受信箱ではなく、ユーザーの隔離フォルダにロッジされます。 

ルールで検証しています。 

これによって、どのようなアクションが必要なのかが決まる。

注意 このルールを設定する前に、制限されたユーザーベースに導入し、大規模な展開を行う前に土壌をテストすることをお勧めします。DMARCを通過しない場合、設定に誤りがあることになり、正当な電子メールの損失につながる可能性があります。

ルールを設定するには、以下の手順で行います。 

  1. Exchange Online の管理センターにログインします。 
  2. メールフロー > ルール
  3. 追加]アイコン > [新規ルール作成]を選択して、新規ルールを作成します。
  4. メッセージ内の送信者アドレスの一致」を「ヘッダー」に設定する。
  5. Apply this rule if...では、このルールを適用したい条件をドロップダウンメニューから選択します。ここでは、DMARC認証の結果が「fail」で、かつ「From」ドメインが自分のドメイン名と一致する場合にルールを設定します。
  6. 以下を実行...で、アクションを選択し、"メッセージをホストされた検疫所に配信する "に設定することができるようになりました。 
  7. 保存］をクリックします。

ケース2：外部ドメインからの受信メールを隔離するトランスポートルールの設定

DMARCに不合格となった組織の範囲外のドメイン（外部ドメイン）からのメールを受信した場合、フィッシングの可能性や悪意があることをユーザーに警告する免責事項を設定することができます。 

注意 DMARCに失敗した外部ドメインに対する免責事項を記述することは、電子メールを完全に制限したくない場合に有効です。送信者側のプロトコルの設定に誤りがあると、認証チェックに失敗することがよくあります。

ルールを設定するには、以下の手順で行います。 

  1. Exchange Online の管理センターにログインします。 
  2. メールフロー > ルール
  3. 追加]アイコン > [新規ルール作成]を選択して、新規ルールを作成します。
  4. メッセージ内の送信者アドレスの一致」を「ヘッダー」に設定する。
  5. Apply this rule if...」では、このルールを適用したい条件をドロップダウンメニューから選択します。ここでは、DMARC認証の結果が「fail」である場合のルールを設定したいと思います。 
  6. Do following...で、アクションを選択し、「Prepend disclaimer...」に設定し、希望のdisclaimerを設定することができます。
  7. Fromヘッダーがドメイン名と一致する場合のように、このルールに例外を追加することができます。
  8. 保存］をクリックします。

未承認の受信メールを拒否するMicrosoft 365トランスポートルールを作成する方法とは？

メールフロールールを保存します。変更処理に数分かかる場合がありますが、これで完了です。

重要な注意点

  1. DMARCは、偽装されたそっくりさんドメインからは保護されず、直接ドメイン詐称やフィッシング攻撃に対してのみ有効です
  2. DMARCポリシーが「none」に設定されている場合、DMARCに失敗したメールを隔離または拒否することはできず、p=reject/quarantineのみがスプーフィングから保護することができる。
  3. DMARCの拒否は、正当なメールを失う可能性があるため、軽視できない。 
  4. より安全な導入のために DMARCレポートアナライザーを設定し、メールチャネルと認証結果を日次で監視します。

最新記事 by Ahona Rudra(全て見る)
モバイル版を終了する