什么是 Microsoft Defender for Office 365 计划 1 / 计划 2？梳理 E3/E5 的邮件防护

关于本文
本文是通过利用生成式 AI 的自动生成流程创建的。已于 2026-09-18 重新确认微软官方信息，并结合 2026 年 7 月起 E3 的变更进行了梳理。

验证状态：📘 微软官方信息已确认・真机未验证

Microsoft Defender for Office 365 (MDO) 是一项保护电子邮件和 Teams 等协作工具免受网络钓鱼、恶意 URL 和附件等威胁侵害的服务。安全链接 (Safe Links)是检查链接目标的保护功能，安全附件 (Safe Attachments)是检查附件的保护功能。

2026 年 7 月 E3 发生变更

根据微软官方服务说明，自 2026 年 7 月 1 日起，Defender for Office 365 计划 1 将包含在 Office 365 E3 和 Microsoft 365 E3 中。 Microsoft 365 E5 包含计划 2。过去“MDO 仅限 E5”的说法已不适用于现在的 E3。

flowchart LR
  MSG[メール/リンク/添付] --> EOP[基本保護]
  EOP --> P1[P1: 予防・検知]
  P1 --> P2[P2: 調査・自動対応・訓練]
  P2 --> XDR[Defender XDR]

首先尝试：在不作更改的情况下查看检测状况

在 Defender 门户中打开当前许可证可用的页面（如资源管理器/实时检测等），确认网络钓鱼/恶意软件/垃圾邮件、目标用户、检测时间以及判定原因。在首次确认时，请勿执行删除或修正 (remediation) 操作。

成功条件是能够读取目标期间的检测状况，并说明正在查看的是 P1 还是 P2 的功能。如果只更改一处，则仅将时间范围筛选器更改为最近 24 小时。

普通用户、行政人员和 IT 部门的视角

普通用户需要掌握举报可疑邮件的方法。行政人员需要制定识别类似于发票、共享通知等日常业务钓鱼邮件的步骤。IT 部门则需要将预设安全策略 (Preset security policies)、安全链接/附件、例外情况、用户报告和 SOC 调查设计为一个统一的运维流程。

即使 E3 中新增了 P1，也并不意味着设计自动完成

即使增加了许可证，也仍需确认策略、覆盖范围、例外情况、与第三方网关的共存以及报告流程。在 P2 中，谁来使用 AIR（自动调查与响应）以及允许自动处理到何种程度至关重要。

管理员需要确认的事项

• 是否已反映 2026 年 7 月 1 日之后的 E3 = P1 变更

• 是否已在最新的服务说明中确认了与 E5 = P2 的差异

• 安全链接 / 安全附件的覆盖范围

• 预设安全策略与自定义策略

• AIR/修正 (remediation) 的权限与审批

• 与第三方邮件安全的双重处理

• Teams SKU 的差异需将 Teams 本身的使用权与 MDO 保护对象分开确认

微软官方一手信息

• Defender for Office 365 服务说明 (Defender for Office 365 service description)

• 为什么我需要 Defender for Office 365？ (Why do I need Defender for Office 365?)

针对 2026 年的 E3，“Defender for Office 365 仅限 E5”这种记忆方式已不再安全。请结合当前的运维流程一并确认 P1/P2。