什么是 Microsoft Defender for Office 365 计划 1 / 计划 2？梳理 E3/E5 的邮件防御
关于本文
本文是通过利用生成式 AI 的自动化生成流程创建的。已于 2026 年 9 月 17 日确认了 Microsoft Learn 的 Defender for Office 365 服务说明，并整理了包括 2026 年 7 月起 E3 变更在内的内容。验证状态：📘 已确认微软官方信息・未进行实机验证
Microsoft Defender for Office 365 除了 Exchange Online Protection 的基本防御外，还提供保护电子邮件和协作内容免受网络钓鱼、零日恶意软件、恶意 URL/附件等威胁的服务。计划 1 加强了预防和检测，而计划 2 则进一步扩展了面向 SOC 的功能，如攻击模拟、威胁狩猎、调查和自动响应等。
2026 年需要注意 E3 的定位
在微软当前的服务说明中，明确指出自 2026 年 7 月 1 日起，Defender for Office 365 计划 1 将包含在 Office 365 E3 和 Microsoft 365 E3 中由于旧的比较文章可能写着“E3 不包含 MDO P1”，因此在 2026 年及以后的设计中，请务必确认信息的时间。
Microsoft 365 E5 则被引导为包含计划 2 的配置。
| 层级 | 核心思路 |
|---|---|
| 基本保护 | 针对大量、已知攻击的基本防御 |
| 计划 1 | Safe Links、Safe Attachments、增强的反网络钓鱼、实时检测等 |
| 计划 2 | P1 + 攻击模拟训练（Attack Simulation Training）、Threat Explorer、AIR、高级狩猎（advanced hunting）等 |
由于功能会不断更新，在做出签约决策时，请查阅最新的服务说明和产品条款（Product Terms）。
首先尝试：在不修改设置的情况下查看检测情况
在许可和权限范围内，打开 Microsoft Defender 门户中的邮件相关仪表板或 Explorer/Real-time detections。首先不要修改策略或删除邮件，而是确认以下内容：
网络钓鱼 / 恶意软件 / 垃圾邮件的趋势
Safe Links / Safe Attachments 相关的检测
目标用户 / 邮件
检测时间
判定原因
重点关注此处
计划 1 和计划 2 可用的调查与响应功能有所不同。不仅要看界面上是否有相应项目，还要确认当前用户分配了哪个服务计划。
尝试修改一处
仅缩短时间筛选器，将其限定在最近 24 小时等。确认条目减少，并理解筛选器与实际数据之间的关系。切勿从一开始就执行邮件删除或补救（remediation）操作。
计划 2 中扩展的调查功能
在计划 2 中，范围将扩展到入侵后和检测后的调查与改进，例如 Threat Explorer、自动化调查和响应（AIR）、攻击模拟训练以及 Defender XDR 的高级狩猎（advanced hunting）等。
即使使用 KQL，也请从读取和确认少量结果开始。邮件相关表格的可用性请通过许可证和数据部署情况进行确认。
如果在工作中实际使用
在 E3 环境中，不能仅仅因为 2026 年 7 月后包含 P1，就自动替代现有的邮件安全设计。需要确认 Safe Links/Safe Attachments 的策略、目标范围、例外情况、与现有网关的双重处理、用户报告以及 SOC 的调查流程。
对于 E5/P2，比起“功能丰富”，由谁来使用 Threat Explorer 和 AIR、以及允许到何种程度的自动修复，在运维上更为重要。攻击模拟也不应设计成收集实际凭据的演练，而应包含内部规章制度以及对受训人员的关怀。
管理员需要确认的要点
是否已反映 2026 年 7 月 1 日之后的 E3=P1 变更
是否已通过最新服务说明确认与 E5/P2 的差异
预设安全策略（Preset security policies）与自定义策略的优先关系
Safe Links / Safe Attachments 的目标对象
用户报告流程
AIR 和补救（remediation）的权限
与第三方邮件安全产品的共存设计
官方信息・一手资料
Defender for Office 365 服务说明： https://learn.microsoft.com/en-us/office365/servicedescriptions/office-365-advanced-threat-protection-service-description
为什么我需要 Defender for Office 365？： https://learn.microsoft.com/en-us/defender-office-365/mdo-about
在 2026 年的 E3 中，“Defender for Office 365 仅限 E5”这种记忆方式已不再安全。必须从当前的合同和运维目标两个方面来确认计划 1 和计划 2 的边界。
