TeamsのSecurity detections reportとは？不審メッセージ・URL・ファイルの調査手順

Microsoft Teamsで不審なチャットやファイル共有が見つかったとき、「どの管理画面で調べればよいのか分からない」と感じる管理者は少なくありません。

Microsoftは、Teams管理センターに「Security detections report（セキュリティ検出レポート）」を用意しました。このレポートでは、Teamsのセキュリティ保護が検出したなりすましの可能性、悪意のあるURL、武器化可能なファイルを一元的に確認できます。検出件数の推移だけでなく、送信者、受信者、検出日時、受信者の対応状況なども調査可能です。(Microsoft Learn)

ただし、最初に押さえておきたいのは、Security detections reportが「ユーザーから通報されたメッセージの一覧」ではない点です。ユーザー通報は「User reported security submissions report」で確認し、Teamsの保護機能による判定をSecurity detections reportで照合するのが実務的な使い方です。(Microsoft Learn)

TeamsのSecurity detections reportとは

Security detections reportは、組織内のTeams通信に対して生成されたセキュリティ検出を、Teams管理センターから確認するためのレポートです。

主な用途は次のとおりです。

Teamsで検出された脅威の件数を把握する
不審なメッセージの送信者と受信者を特定する
なりすまし警告に対してユーザーが取った行動を確認する
CSVに出力してインシデント調査や傾向分析に利用する
Sender MRIやThread IDを使って、ブロックやeDiscovery調査へつなげる

レポートには、期間内の検出件数を表示するグラフと、個々の検出を表示するテーブルがあります。グラフとテーブルは別々にエクスポートでき、テーブルのCSVには画面上に表示されない調査用の識別子も含まれます。(Microsoft Learn)

Security detections reportで確認できる3種類の検出

Microsoftの公式情報では、Security detections reportで扱う代表的な検出として、次の3種類が示されています。(Microsoft Learn)

検出の種類	内容	最初に確認するポイント
Impersonation	偽装、なりすましの可能性がある会話	送信者、受信者、受信者アクション
Malicious URL	悪意があると判定されたURLを含むメッセージ	送信日時、対象ユーザー、実際のクリック有無
Weaponizable File	攻撃に悪用される可能性があるファイル形式	ファイル共有の業務上の必要性、送信者、対象範囲

Impersonationは受信者の判断まで確認できる

Impersonationでは、なりすましの可能性がある会話に対して、受信者がどのような行動を取ったかを確認できます。

表示される可能性がある値は次のとおりです。

Accepted：会話を受け入れた
Blocked：会話をブロックした
Unblocked：ブロックを解除した

受信者アクションには、操作が行われた日時も記録されます。ただし、この項目が表示されるのはImpersonation検出だけです。Malicious URLやWeaponizable Fileでは空欄になります。(Microsoft Learn)

運用上は、AcceptedまたはUnblockedとなっている検出を優先して確認するとよいでしょう。ただし、Acceptedは「会話を受け入れた」という意味であり、URLをクリックしたことやファイルを実行したことまで示すものではありません。

Malicious URLの検出とクリック履歴は別に考える

Security detections reportにMalicious URLが記録されていても、それだけではユーザーがURLをクリックしたかどうかまでは判断できません。

クリックの有無や、クリックが許可されたのかブロックされたのかを調べる場合は、対応するライセンス環境でMicrosoft DefenderポータルのThreat ExplorerにあるURL clickタブや、Advanced HuntingのUrlClickEventsなどを利用します。(Microsoft Learn)

調査では、次の情報を分けて扱うことが重要です。

確認したい内容	主な確認先
悪意あるURLとして検出されたか	Security detections report
ユーザーがURLをクリックしたか	Threat ExplorerのURL click
クリックが許可・ブロックされたか	`UrlClickEvents`
同じURLがほかのTeamsメッセージにも含まれるか	Advanced Hunting

Weaponizable Fileはマルウェア確定を意味しない

Weaponizable Fileは、日本語の公式文書では「武器化可能なファイル」と表現されています。

Teamsのファイル保護では、exe、bat、cmd、dll、lnk、vbs、docm、isoなど、攻撃に悪用されやすい拡張子を識別し、対象となるメッセージをブロックします。判定はファイル形式を基準とするため、Weaponizable Fileの検出は「マルウェア感染が確定した」という意味ではありません。(Microsoft Learn)

反対に、拡張子が許可されているから安全とも限りません。ファイルの内容に関する追加調査が必要な場合は、Microsoft DefenderのContent malware情報や、SharePoint、OneDrive、Teams向けのマルウェア検出と組み合わせて確認します。(Microsoft Learn)

Security detections reportの表示手順

Security detections reportはTeams管理センターから開きます。

Teams管理センターにサインインします。
左側のメニューからAnalytics & reportsを開きます。
Protection reportsを選択します。
View reportsタブを開きます。
Report欄でSecurity detectionsを選択します。
Date rangeで確認したい期間を選択します。
Run reportを選択します。

公式文書では、期間の例として「過去7日間」と「過去30日間」が示されています。レポートを実行すると、選択期間内にトリガーされたセキュリティ検出がグラフとテーブルに表示されます。(Microsoft Learn)

日本語表示ではメニュー名の翻訳が統一されていない場合があります。見つからないときは、Protection reportsやSecurity detectionsという英語表記も目印にしてください。

レポート項目の見方

Security detections reportには、主に次の情報が表示されます。(Microsoft Learn)

項目	内容	実務での使い方
Detection date	検出がトリガーされた日時	ユーザーから申告された時刻と照合する
Sender name	送信者の表示名	なりすまし名や不審な外部ユーザーを確認する
Sender email	送信者のメールアドレス	ドメインや外部ユーザーかどうかを調べる
Detection type	検出の種類	なりすまし、URL、ファイルを切り分ける
Recipient	検出に関連する受信者	影響を受けたユーザーを確認する
Recipient action	受信者が取った行動	なりすまし警告後の対応を確認する

Sender emailが空欄でも障害とは限らない

送信者が個人向けTeamsを利用している場合、プライバシー設定によってSender emailが取得できないことがあります。

そのため、メールアドレスが空欄でも、直ちにレポート不具合と判断しないようにしてください。表示名だけで送信者を断定せず、CSVに含まれるSender MRIや会話情報も利用して特定します。(Microsoft Learn)

グループチャットやチャネルでは受信者全員が表示されない

1対1のチャットでは受信者を確認しやすい一方、グループチャット、チャネル、会議では、Recipient欄に受信者全員ではなく会話の種類が表示されます。

影響範囲を詳しく調べる場合は、CSVのThread IDを使って会話を特定するか、Microsoft Purview eDiscoveryやDefenderの調査機能へ進みます。(Microsoft Learn)

CSVエクスポートで追加される調査項目

Security detections reportには、グラフとテーブルで別々のエクスポート機能があります。

エクスポート	含まれる内容	向いている用途
グラフのエクスポート	選択期間内の集計データ	月次報告、傾向分析
テーブルのエクスポート	個々の検出レコードと追加項目	インシデント調査、影響範囲確認

テーブルをCSV出力すると、画面に表示される項目に加えて、次の情報を取得できます。(Microsoft Learn)

Sender MRI
Recipient email
Recipient ID
Thread ID

Sender MRI

Sender MRIは、送信者を識別するMicrosoft Resource Identifierです。

外部ユーザーをブロックする必要がある場合は、この値を使ってTeams管理センターのExternal Accessページで対象を指定できます。表示名やメールアドレスが不明確なケースでも、識別子を使って対象を絞り込める点が重要です。(Microsoft Learn)

Thread ID

Thread IDは、Teamsの会話スレッドを識別するための値です。

Security detections reportの公式な列一覧には、メッセージ本文、URL文字列、ファイル名などは含まれていません。レポートだけで内容を確認できない場合は、Thread IDを使ってMicrosoft Purview eDiscoveryなどで該当する会話を検索します。(Microsoft Learn)

CSVにはメールアドレスや一意の識別子が含まれるため、インシデント管理番号、出力日時、調査担当者を記録し、組織の情報管理ルールに従って保管してください。

ユーザーから不審なTeamsメッセージの報告を受けたときの確認先

Security detections reportとUser reported security submissions reportは、似ているようで役割が異なります。

レポート・機能	データの起点	主な用途
Security detections report	Teamsのセキュリティ保護による検出	システム判定と受信者アクションの確認
User reported security submissions report	ユーザーがTeamsから行った通報	通報者、対象メッセージ、外部ユーザーの確認
DefenderのUser reported	Teamsから送信された通報情報	アラート、提出内容、Microsoftへの分析依頼
Threat Explorer、Advanced Hunting	Defenderが保持する脅威イベント	URLクリック、ZAP、関連メッセージの深掘り

User reported security submissions reportでは、通話、チャットとチャネル、外部ユーザーの3カテゴリーを確認できます。ただし、対象が表示されるのは、ユーザーがTeamsの組み込み報告機能を使って通報し、必要な設定が有効になっている場合です。(Microsoft Learn)

ヘルプデスクへの連絡とTeamsの通報機能を区別する

ユーザーから「怪しいチャットが来た」と連絡を受けたら、最初に報告方法を確認します。

TeamsのReport this messageから通報した
外部ユーザーのプロフィールや招待画面から報告した
メールや電話、ヘルプデスクのチケットで連絡した

Teamsの組み込み機能を使っていない場合、User reported security submissions reportには自動的に記録されません。

その場合は、報告者から次の情報を集め、Security detections reportで照合します。

メッセージを受信した日時
送信者の表示名
1対1、グループチャット、チャネル、会議チャットのどれか
表示された警告の内容
URLやファイルが含まれていたか
会話を受け入れたか、ブロックしたか
URLを開いたか、ファイルをダウンロードしたか

調査のためにユーザーへURLの再クリックやファイルの再ダウンロードを依頼するのは避けてください。

不審メッセージを調査する実務フロー

通報内容を特定する

まず、通報者、発生時刻、送信者、会話の種類を記録します。

Teamsの組み込み報告機能から通報されている場合は、Teams管理センターの次の場所を確認します。

Analytics & reports → Protection reports → User reported security submissions

Report categoryは、通常の不審メッセージであればChats and channelsを選択します。(Microsoft Learn)

Security detections reportでシステム判定を照合する

同じ日時と送信者を条件に、Security detections reportを確認します。

一致する検出があれば、次の順で優先度を判断します。

Detection typeを確認する
送信者が内部ユーザーか外部ユーザーかを確認する
Recipient actionを確認する
同じ送信者による検出が複数ないか確認する
CSVを出力してSender MRIとThread IDを取得する

Security detections reportに記録がなかったとしても、「安全」とは断定できません。レポートにない場合は、未検出のメッセージ、単なる迷惑行為、ユーザー報告のみの事象なども考えられます。

影響範囲を確認する

単一ユーザーへの接触なのか、複数ユーザーを狙った攻撃なのかを確認します。

特に優先して調べたいのは、次のようなケースです。

同じSender MRIから複数の検出が発生している
複数のユーザーが同じ送信者を報告している
なりすまし検出後に会話がAcceptedまたはUnblockedになっている
悪意あるURLのクリック履歴がある
社内ユーザーのアカウントから不審なメッセージが送られている
業務上通常使用しない実行形式やスクリプト形式のファイルが共有されている

DefenderまたはPurviewで深掘りする

対応するMicrosoft Defender for Office 365環境では、Teamsのユーザー通報からアラートが生成され、DefenderのインシデントやSubmissionsページのUser reportedタブから詳細を確認できます。

ただし、Teamsのユーザー通報に関するアラートは、現時点では自動調査および対応であるAIRを自動的に開始しません。管理者またはセキュリティ担当者によるトリアージ手順を用意しておく必要があります。(Microsoft Learn)

調査対象に応じて、次の機能を使い分けます。

メッセージや通報の詳細：DefenderのUser reported
URLクリック：Threat ExplorerのURL click
Teamsメッセージの横断検索：Advanced Hunting
ファイルのマルウェア検出：Content malware
会話内容の保全・検索：Microsoft Purview eDiscovery
外部送信者の識別：Sender MRI

必要なブロックと是正を行う

Security detections reportは、調査の起点となるレポートです。レポート内だけで、すべての削除、隔離、ブロックが完了するわけではありません。

調査結果に応じて、別の管理機能から対処します。

外部送信者をTeamsのExternal Accessでブロックする
不審なURLをTenant Allow/Block Listへ登録する
ファイルのSHA-256ハッシュをブロックする
ZAPで隔離されたTeamsメッセージを確認する
社内送信者の場合はアカウント侵害の有無を調査する
誤検出の場合はDefenderからMicrosoftへ分析を依頼する

Microsoft Defenderでは、URLやファイルをTenant Allow/Block Listでブロックでき、TeamsでのURLブロックはSafe Linksとの統合時にクリック時点で適用されます。(Microsoft Learn)

ユーザー通報が表示されないときに確認する設定

Teamsのユーザー通報は、Teams管理センターとMicrosoft Defenderポータルの設定が関係します。

Teams管理センターの設定

チャットやチャネルの不審メッセージをユーザーが報告できるようにするには、メッセージングポリシーのReport a security concernを有効にします。

誤って危険と判定されたメッセージをユーザーが報告できるようにするには、メッセージング設定のReport incorrect security detectionsを有効にします。(Microsoft Learn)

Microsoft Defenderポータルの設定

DefenderのUser reportedタブへTeamsの通報を正しく表示するには、次の設定も確認します。

Settings → Email & collaboration → User reported settings → Monitor reported items in Microsoft Teams

この設定は新しいテナントでは既定で有効ですが、既存テナントでは有効化が必要な場合があります。Teams管理センター側の報告機能が無効であれば、Defender側だけを有効にしてもユーザーはTeamsから通報できません。(Microsoft Learn)

Security detections report運用で注意したいポイント

検出件数がゼロでも安全とは断定しない

Security detections reportに表示されるのは、Teamsのセキュリティ保護によって検出された事象です。

件数がゼロであることは、選択期間内にレポート対象の検出がなかったことを示すにすぎません。未検出の攻撃、ユーザーが感じた違和感、コンテンツを伴わないソーシャルエンジニアリングなどは、別途調査が必要です。

Weaponizable Fileとマルウェアを混同しない

Weaponizable Fileは、攻撃に悪用されやすいファイル形式の検出です。

ファイルが実際にマルウェアであるかを判断するには、Defenderのファイル分析やContent malwareなどを併用します。一方で「マルウェア確定ではない」という理由だけで放置せず、業務上そのファイル形式を共有する必要があったのかを送信者へ確認してください。

受信者アクションをURLクリックと解釈しない

Recipient actionは、なりすまし警告が表示された会話に対するユーザー操作です。

Acceptedであっても、悪意あるURLを開いた証拠にはなりません。URLクリックはThreat ExplorerやAdvanced Huntingで別に確認します。

画面確認だけで調査を終了しない

インシデント対応では、画面上の表示だけでなく、テーブルのCSVを保存することが重要です。

CSVにはSender MRIやThread IDが含まれます。後から送信者をブロックしたり、eDiscoveryで会話を特定したりするときに必要になるため、重大度が高い検出では早めに出力しておきましょう。(Microsoft Learn)

Security detections reportを定常運用に組み込む方法

Security detections reportは、ユーザーから問い合わせがあったときだけ開くのではなく、定期確認に組み込むと効果的です。

おすすめの運用は次のとおりです。

週1回、過去7日間のSecurity detections reportを実行する
なりすまし、URL、ファイルの検出件数を確認する
ImpersonationのAcceptedとUnblockedを優先確認する
テーブルをCSV出力する
同じSender MRIによる繰り返し検出を確認する
User reported security submissionsと照合する
月単位でグラフを保存し、増減を確認する

ユーザー報告とシステム検出を別々に管理すると、通報されたのにシステムでは検出されなかった「偽陰性」と、正常なメッセージが危険と判定された「偽陽性」の双方を把握しやすくなります。

Teamsの不審メッセージ調査は2つのレポートを使い分ける

TeamsのSecurity detections reportにより、なりすましの可能性、悪意あるURL、武器化可能なファイルの検出を、Teams管理センターから確認できるようになりました。

実務では、次のように使い分けます。

ユーザーが何を通報したかはUser reported security submissions reportで確認する
Teamsの保護機能が何を検出したかはSecurity detections reportで確認する
URLクリックやファイルの詳細はMicrosoft Defenderで調べる
会話の特定や証拠保全にはCSVのThread IDとPurview eDiscoveryを使う
外部送信者のブロックにはSender MRIを利用する

まずTeams管理センターで過去30日間のSecurity detections reportを実行し、テーブルをCSV出力してください。そのうえで、ユーザー通報の確認担当者、調査期限、Defenderへのエスカレーション条件を決めておくと、不審なチャットが報告された際に迷わず対応できます。

この記事を書いた人

佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

TeamsのSecurity detections reportとは？不審メッセージ・URL・ファイルの調査手順

TeamsのSecurity detections reportとは