【Outlook】添付ファイルZIP内の.exe送信を許可する管理者設定

Outlookで添付ファイルとしてZIP形式のファイルを送信しようとした際、その中に.exeファイルが含まれているとブロックされてしまうことがあります。これはセキュリティ上の理由から既定で設定されている動作です。しかし業務上やむを得ず許可したいケースもあるでしょう。本記事では管理者がExchange OnlineまたはExchange Serverの設定でZIP内の.exe送信を許可する手順をご紹介します。

なぜOutlookはZIP内の.exeをブロックするのか

OutlookおよびExchange Onlineは、セキュリティを強化するために特定のファイル拡張子を添付ファイルとしてブロックします。ブロックされる拡張子の一覧は既定で用意されており、.exeや.bat、.vbsなど実行可能ファイルが含まれます。ZIPファイル自体はブロックされませんが、その中にこれらの実行可能ファイルが含まれている場合、Exchange Onlineのマルウェア対策ポリシーやトランスポートルールが検出してブロックします。これは受信者のコンピューターをマルウェアから守るための重要な機能です。

しかし企業の業務では、例えば自社開発のソフトウェアを顧客に配布するため、やむを得ずZIP内の.exeを送信しなければならないケースがあります。このような場合、管理者がExchangeの設定を変更してブロックを回避できます。ただし、許可すると組織全体のセキュリティが低下する可能性があるため、影響範囲を十分に考慮する必要があります。

ZIP内の.exe送信を許可する管理者設定手順

ここではExchange管理センター(EAC)とExchange Online PowerShellの2つの方法を説明します。どちらの方法でも、特定の条件に一致するメッセージについて添付ファイルのブロックをスキップできます。

1. Exchange管理センター(EAC)にサインインします。
   https://admin.exchange.microsoft.com にアクセスし、管理者アカウントでログインします。
2. [メールフロー] の [ルール] を開きます。
   左側のナビゲーションから [メールフロー] を展開し、[ルール] をクリックします。
3. [+新しいルール] をクリックし、[ルールの作成] を選択します。
   ルール作成ウィザードが表示されます。名前を「ZIP内.exe許可」などと入力します。
4. 条件を設定します。
   [条件の追加] から [送信者] または [受信者] を選択し、許可したいユーザーやドメインを指定します。例えば [送信者が次のユーザーである] に特定のメールアドレスを設定します。
5. アクションを設定します。
   [アクションの追加] から [添付ファイルの種類] を選択し、[ファイル拡張子のブロックをバイパスする] を選びます。拡張子リストに「exe」を追加します。また、必要に応じて [ZIPアーカイブ内のファイルもチェックする] のチェックを外します。
6. ルールのモードを [適用] に設定し、[保存] をクリックします。
   ルールが作成され、すぐに有効になります。必要に応じて [優先度] を調整してください。

PowerShellを使用する場合は、次のコマンド例を参考にしてください。管理者権限でExchange Online PowerShellに接続し、以下のコマンドを実行します。

New-TransportRule -Name "Allow EXE in ZIP" -From "user@contoso.com" -SetHeaderName "X-Allow-Exe" -SetHeaderValue "true" -ExceptIfAttachmentExtensionMatchesWords "exe"

ただし、このコマンドは一例です。実際の環境に合わせて条件やアクションを調整してください。

落とし穴1: ルールの優先順位を誤るとブロックが解除されない

Exchange Onlineでは複数のルールが適用されます。ブロックするルールより優先度の高いルールで許可設定を行わないと、ブロックが解除されません。ルール作成後は、必ずテストメールを送信して動作を確認してください。

落とし穴2: すべてのユーザーに適用するとセキュリティリスクが高まる

許可範囲を広げすぎると、悪意のある内部関係者や乗っ取られたアカウントからマルウェアが送信されるリスクが大きくなります。送信者や宛先を特定のグループやドメインに制限することが推奨されます。

落とし穴3: テスト環境で検証しないと本番で思わぬ影響が出る

ルールの設定ミスにより、本来ブロックすべきファイルが許可されたり、許可すべきファイルがブロックされたりする可能性があります。テスト用のメールボックスを使って十分に検証を行ってから本番反映してください。

設定方法の比較

Exchange管理センター、PowerShell、そしてサードパーティ製ツールを使用する方法の比較です。

どの方法を選ぶにしても、組織のセキュリティポリシーに合致しているか確認することが重要です。

よくある質問

Q1: ZIP内の.exeだけでなく、他の実行可能ファイル(.bat、.cmdなど)も許可したいです。どうすればよいですか?
A1: ルール内の添付ファイル拡張子リストにブロックをバイパスする拡張子として「bat」「cmd」「vbs」などを追加することで対応できます。ただし、セキュリティリスクは拡大します。

Q2: 許可設定を行ったのに、まだブロックされます。なぜですか?
A2: 考えられる原因として、ルールの優先順位の問題、条件が正しく設定されていない、またはExchange Onlineのマルウェア対策ポリシーが別途ブロックしている可能性があります。マルウェア対策ポリシーでもZIP内の.exeをブロックする設定がないか確認してください。

Q3: 外部の受信者にのみ.exeを含むZIPを送信したいのですが、設定は可能ですか?
A3: 可能です。ルールの条件で [受信者ドメインが次のいずれかである] を選択し、外部ドメインを指定してください。ただし、組織外への送信は特にリスクが高いため、許可範囲を最小限に留めてください。

まとめ

OutlookでZIP内の.exeファイルを送信するには、管理者がExchangeのトランスポートルールを構成する必要があります。設定はExchange管理センターまたはPowerShellで行えますが、セキュリティリスクを十分に理解した上で、許可範囲を限定することが大切です。特に、すべてのユーザーに適用するのではなく、必要なケースにのみ限定することで、リスクを最小限に抑えられます。設定後は必ずテストを行い、意図した動作になっているか確認してください。