EOP 中的反惡意代碼保護

在擁有 Exchange Online 信箱的 Microsoft 365 組織中或是沒有 Exchange Online 信箱的獨立 Exchange Online Protection (EOP) 組織中，EOP 會自動保護電子郵件，防止反惡意程式碼郵件。 惡意程式碼的主要類別有：

• 病毒 會感染其他程式和數據，並散佈在您的電腦或網路中，以尋找要感染的程式。
• Spyware 會收集您的個人資訊，例如登入資訊和個人資料，並將它傳回給其作者。
• 勒索軟體，其會將您的資料加密並要求您支付贖金，才能解密。 反惡意代碼軟體無法協助您解密加密的檔案，但可以偵測與勒索軟體相關聯的惡意代碼承載。

EOP 提供多層式惡意代碼保護，其設計目的是在 Windows、Linux 和 Mac 中攔截進出組織的所有已知惡意代碼。 下列選項協助提供反惡意程式碼保護：

• 針對惡意程式碼的分層防護：多個反惡意程式碼掃描引擎可協助防護已知和未知威脅。 這些引擎包括功能強大的啟發式偵測，即使是在惡意程式碼爆發初期也能提供保護。 此多引擎方法已顯示為提供比只使用一個反惡意代碼引擎更多的保護。
• 實時威脅回應：在某些暴發期間，反惡意代碼小組可能有足夠的病毒或其他形式惡意代碼相關信息，可撰寫複雜的原則規則來偵測威脅，甚至是在服務所使用的任何掃描引擎提供定義之前。 這些規則每隔 2 小時會發佈到全域網路，為您的組織提供額外的保護層以抵禦攻擊。
• 快速的反惡意代碼定義部署：反惡意代碼小組與開發反惡意代碼引擎的合作夥伴保持密切關係。 因此，服務可以在惡意程式碼定義和修補程式公開發行之前，先接收和整合惡意程式碼定義和修補程式。 我們與這些合作夥伴的連線通常也可讓我們開發自己的補救措施。 服務會每小時一次檢查所有反惡意程式碼引擎是否有更新的定義。

在 EOP 中，會隔離^*在任何附件中找到包含惡意代碼的訊息。 收件者是否可以檢視隔離郵件，或以其他方式與隔離郵件互動，是由 隔離原則所控制。 根據預設，由於惡意代碼而隔離的訊息只能由系統管理員檢視和釋放。 不論系統管理員所設定的任何可用設定為何，使用者都無法釋放自己的隔離惡意代碼訊息。 如需詳細資訊，請參閱下列文章：

^* 在進階傳遞原則中識別的 SecOps 信箱上會略過惡意代碼篩選。 如需詳細資訊， 請參閱設定第三方網路釣魚模擬和電子郵件傳遞至 SecOps 信箱的進階傳遞原則。

• 隔離原則的結構
• 在 EOP 中以系統管理員身分管理隔離的郵件和檔案。

反惡意代碼原則也包含 常見的附件篩選。 包含指定檔案類型的訊息會 自動 識別為惡意代碼。 For more information, see the Common attachments filter in anti-malware policies section later in this article.

如需反惡意代碼保護的詳細資訊，請參閱 反惡意代碼保護常見問題。

若要設定預設的反惡意代碼原則，以及建立、修改和移除自定義反惡意代碼原則，請參閱 設定反惡意代碼原則。 在標準和嚴格 預設安全策略中，反惡意代碼原則設定已設定且無法修改，如 EOP 反惡意代碼原則設定中所述。

反惡意程式碼原則

反惡意代碼原則可控制惡意代碼偵測的可設定設定和通知選項。 下列小節說明反惡意代碼原則中的重要設定。

反惡意代碼原則中的收件者篩選

收件者篩選條件會使用條件和例外狀況來識別套用原則的內部收件者。 自定義原則至少需要一個條件。 默認原則中沒有條件和例外狀況， (默認原則會套用至所有收件者) 。 您可以使用下列收件者篩選條件和例外狀況：

• 用戶：組織中的一或多個信箱、郵件使用者或郵件聯繫人。
• 群組:
  • ) 不支援指定通訊群組的成員或啟用郵件功能的安全組 (動態通訊群組。
  • 指定的 Microsoft 365 群組。
• 網域：Microsoft 365 中一或多個已設定的 已接受網域 。 收件者的主要電子郵件地址位於指定的網域中。

您只能使用條件或例外狀況一次，但條件或例外狀況可以包含多個值：

• 相同條件或例外狀況的多個值使用 OR 邏輯 (例如 recipient1<> 或 <recipient2>) ：

  • 條件：如果收件者符合 任何 指定的值，則會將原則套用至這些值。
  • 例外狀況：如果收件者符合 任何 指定的值，則不會套用原則。

• 不同類型的例外狀況會使用 OR 邏輯 (例如，<recipient1 或 group1>>的成員或 domain1) 的成員。<>< 如果收件者符合 任何 指定的例外狀況值，就不會套用原則。

• 不同 類型的條件 會使用 AND 邏輯。 收件者必須符合 所有 指定的條件，原則才能套用到這些條件。 例如，您可以使用下列值來設定條件：

  • 使用者： romain@contoso.com
  • 群組：主管

  只有在他也是主管群組的成員時，原則才會套用至 romain@contoso.com 。 否則，原則不會套用到他。

反惡意代碼原則中的常見附件篩選

您真的不應該透過電子郵件 (傳送特定類型的檔案，例如可執行檔) 。 當您還是應該全部封鎖這些類型的檔案時，為什麼要費心掃描這些類型的檔案來尋找惡意代碼？ 這就是常用附件篩選條件的來源。 您指定的檔案類型會自動識別為惡意代碼。

默認檔類型清單會用於預設反惡意代碼原則、您建立的自定義反惡意代碼原則，以及標準和嚴格 預設安全策略中的反惡意代碼原則。

在 Microsoft Defender 入口網站中，您可以從其他文件類型清單中選取，或在 Microsoft Defender 入口網站中建立或修改反惡意代碼原則時新增自己的值。

• 默認檔案類型： ace, ani, apk, app, appx, arj, bat, cab, cmd, com, deb, dex, dll, docm, elf, exe, hta, img, iso, jar, jnlp, kext, lha, lib, library, lnk, lzh, macho, msc, msi, msix, msp, mst, pif, ppa, ppam, reg, rev, scf, scr, sct, sys, uif, vb, vbe, vbs, vxd, wsc, wsf, wsh, xll, xz, z。

• 要在 Defender 入口網站中選取的其他文件類型： 7z, 7zip, a, accdb, accde, action, ade, adp, appxbundle, asf, asp, aspx, avi, bas, bin, bundle, bz, bz2, bzip2, caction, cer, chm, command, cpl, crt, csh, css, der, dgz, dmg, doc, docx, dos, dot, dotm, dtox [sic], dylib, font, fxp, gadget, gz, gzip, hlp, Hta, htm, html, imp, inf, ins, ipa, isp, its, js, jse, ksh, Lnk, lqy, mad, maf, mag, mam, maq, mar, mas, mat, mau, mav, maw, mda, mdb, mde, mdt, mdw, mdz, mht, mhtml, mscompress, msh, msh1, msh1xml, msh2, msh2xml, mshxml, msixbundle, o, obj, odp, ods, odt, one, onenote, ops, os2, package, pages, pbix, pcd, pdb, pdf, php, pkg, plg, plugin, pps, ppsm, ppsx, ppt, pptm, pptx, prf, prg, ps1, ps1xml, ps2, ps2xml, psc1, psc2, pst, pub, py, rar, rpm, rtf, scpt, service, sh, shb, shs, shtm, shx, so, tar, tarz, terminal, tgz, tmp, tool, url, vhd, vsd, vsdm, vsdx, vsmacros, vss, vssx, vst, vstm, vstx, vsw, w16, workflow, ws, xhtml, xla, xlam, xls, xlsb, xlsm, xlsx, xlt, xltm, xltx, xnk, zi, zip, zipx。

當一般附件篩選器偵測到檔案時，您可以選擇拒絕含有 非傳遞報告的郵件， (NDR) 或 隔離郵件。

一般附件篩選條件中的 True 類型比對

不論擴展名為何，一般附件篩選都會使用最佳的 true 類型比對來偵測檔類型。 True 類型比對會使用檔案特性來判斷實際的檔類型 (例如，檔案) 中的前置和尾端位元組。 例如，如果 exe 以擴展名重新命名 txt 檔案，一般附件篩選會將檔案偵測為 exe 檔案。

一般附件篩選條件中的 True 類型比對支援下列檔案類型：

7zip, ace, adoc, ani, arc, arj, asf, asice, avi, bmp, bz, bz2, cab, cda, chm, deb, dex, dll, dmg, doc, docm, docx, dot, dotm, dotx, dwg, eml, eps, epub, excelml, exe, fluid, gif, gzip, heic, heif, html, hyper, icon, ics, infopathml, jar, javabytecode, jnlp, jpeg, json, lib, lnk, lzh, lzma, macho, mhtml, mp3, mp4, mpeg, mpp, msaccess, mscompress, msg, msp, musx, nws, obd, obj, obt, odbcexcel, odc, odf, odg, odi, odm, odp, ods, odt, one, otc, otf, otg, oth, oti, otp, ots, ott, pal, pcx, pdf, pfb, pfile, pif, png, pointpub, pot, potm, potx, powerpointml, ppam, pps, ppsm, ppsx, ppt, pptm, pptx, ps, pub, qcp, quicktime, rar, rar4, riff, rmi, rpm, rpmsg, rtf, smime, swf, tar, tiff, tlb, tnef, ttf, txt, vcf, vcs, vdw, vdx, vsd, vsdm, vsdx, vss, vssm, vssx, vst, vstm, vstx, vsx, vtt, vtx, wav, webp, whiteboard, wmf, woff, woff2, word2, wordml, xar, xlam, xlb, xlc, xls, xlsb, xlsm, xlsx, xlt, xltm, xltx, xml, xps, xz, z, zip, zoo

如果 true 類型比對失敗或檔類型不支援，則會使用簡單的擴展名比對。

反惡意代碼原則中的零時差自動清除 (ZAP)

適用於惡意代碼的 ZAP 會在郵件傳遞至 Exchange Online 信箱之後，隔離找到包含惡意代碼的郵件。 根據預設，會開啟適用於惡意代碼的 ZAP，建議您將它保持開啟。 如需詳細資訊，請 參閱惡意代碼的零時差自動清除 (ZAP) 。

隔離反惡意代碼原則中的原則

隔離原則會定義使用者可以對隔離郵件執行哪些操作，以及使用者是否收到隔離通知。 根據預設，收件者不會收到被隔離為惡意代碼之郵件的通知，而且不論系統管理員設定的任何可用設定為何，使用者都無法釋出自己的隔離惡意代碼訊息。 如需詳細資訊， 請參閱隔離原則的結構。

管理員 反惡意代碼原則中的通知

您可以指定額外的收件者 (系統管理員) 接收來自內部或外部寄件者的郵件中偵測到的惡意代碼通知。 您可以自訂內部和外部通知的寄件者 位址、 主旨和 消息正文 。

根據預設，這些設定不會在預設的反惡意代碼原則中設定，也不會在標準或嚴格 預設安全策略中設定。

反惡意代碼原則的優先順序

如果 已開啟，則會先套用標準和嚴格預設安全策略，再套用任何自定義的反惡意代碼原則或默認原則 (Strict 一律會先) 。 如果您建立多個自定義反惡意代碼原則，您可以指定套用這些原則的順序。 套用第一個原則之後，會停止原則處理， (該收件者) 的最高優先順序原則。

如需優先順序順序以及如何評估多個原則的詳細資訊，請參閱 電子郵件保護的順序和優先順序 ，以及 預設安全策略和其他原則的優先順序順序。

默認反惡意代碼原則

每個組織都有名為 Default 的內建反惡意代碼原則，具有下列屬性：

• 此原則是預設的 (IsDefault 屬性具有True值)，且您無法刪除此項預設原則。
• 原則會自動套用至組織中的所有收件者，而且您無法將其關閉。
• 原則一律會在優先 順序 值為 [最低 ] (最後套用，而且您無法變更) 。