メッセージトレースやSMTPログを調査していて、こんなドメインを見かけたことはありませんか?
*.messagelabs.com clusterXout.us.messagelabs.com clusterXa.us.messagelabs.com
「これは何のサーバー？」「うちはMicrosoft 365しか使っていないはずなのに？」と戸惑うExchange Online管理者は少なくありません。
実はこれ、日本のIT業界で古くから「messagelabs (メッセージラボ)」の愛称で親しまれてきた、あるメールセキュリティサービスの痕跡です。
この記事では、Microsoft 365標準の EOP (Exchange Online Protection) との違いを、メールヘッダー調査のポイントも交えて解説します。
- MessageLabs(メッセージラボ)とは何か？
- 主な機能は？
- メールの流れ
- SMTPログ・メールヘッダーで見分けるポイントは？
- EOPとの一番大きな違いとは？
- 機能比較表
- EOPのメリットは？
- MessageLabsのメリット
- 現在の主流構成
- まとめ
MessageLabs(メッセージラボ)とは何か？
MessageLabs(メッセージラボ)は、もともと MessageLabs 社が提供していたクラウド型メールセキュリティサービスです。
その後 Symantecに買収され、現在は Broadcom 傘下の Symantec Email Security.cloud として提供されています。
IT管理者の間では、現在でもサービス名やホスト名(例: *.messagelabs.com)から「MessageLabs」と呼ばれることが多くあります。
日本のIT業界では昔から「メッセージラボ」「シマンテック メッセージラボ」という略称が非常に一般的で販売代理店や導入企業の担当者同士でも今なおこの呼び方が使われ続けています。
主な機能は？
MessageLabs/Email Security.cloudが提供する主な機能は次の5つです。
| 機能 | 内容 |
|---|---|
| アンチスパム | 受信メールをクラウド上で検査し、スパムを隔離・ブロック |
| アンチウイルス | 添付ファイルやメール本文をスキャンし、マルウェアを検出・遮断 |
| 標的型攻撃対策 | フィッシングメールやゼロデイ攻撃など高度な脅威への対策 |
| 情報漏洩対策(Content Control) | メール本文・添付ファイルを検査し、機密情報の送信を制御 |
| メールアーカイブ | 送受信メールの長期保管・コンプライアンス対応 |
メールの流れ
一般的な構成では、受信メールは次のような流れになります。
Internet ↓ MessageLabs (Email Security.cloud) ↓ Exchange Online ↓ 受信者
受信メールはまず MessageLabs のクラウドで検査され、安全と判断されたもののみExchange Online やオンプレミス環境へ配送されます。
送信メールについても同様に、Exchange Online → MessageLabs → Internet の経路を通すことで、送信メールの監査や情報漏洩対策を実施できます。
SMTPログ・メールヘッダーで見分けるポイントは？
メール調査の際は、以下のようなヘッダーが付与されていないかを確認しましょう。
- Received: ヘッダーに
messagelabs.com - X-Spam系のSymantecヘッダー
- X-StarScan
- X-MSG-...
これらが見つかった場合、「Symantecのクラウドセキュリティゲートウェイを経由した」と判断できます。
Exchange Onlineのメッセージトレースやログ解析中に messagelabs.com が出てきたら、旧Symantec MessageLabs(現Email Security.cloud)を疑うとよいでしょう。
判別の実例は次のとおりです。
| 経路 | ヘッダー例 |
|---|---|
| EOPのみ | Received: from *.protection.outlook.com |
| MessageLabs経由 | Received: from *.messagelabs.com や clusterXa.us.messagelabs.com |
EOPとの一番大きな違いとは？
EOP (Exchange Online Protection) は、Microsoft 365に標準で組み込まれているメール保護機能です。
Internet ↓ EOP ↓ Exchange Online
一方MessageLabsは、Exchange Onlineの前段に設置する独立したメールゲートウェイです。
Internet ↓ MessageLabs ↓ EOP ↓ Exchange Online
つまり、
EOP = Microsoft 365の一部
MessageLabs = Microsoft 365の外側に置く第三者製SEG(Secure Email Gateway)
という違いがあります。両者はどちらも Secure Email Gateway 製品として位置付けられており、目的は共通していますが、「誰が提供し、どこに配置されるか」が根本的に異なります。
機能比較表
| 項目 | EOP | MessageLabs |
|---|---|---|
| 提供元 | Microsoft | Broadcom(旧Symantec) |
| ライセンス | 多くのM365プランに含まれる | 別契約 |
| スパム対策 | ○ | ○ |
| ウイルス対策 | ○ | ○ |
| ポリシーベース制御 | ○ | ○ |
| DLP | 一部はPurview連携 | ○ |
| メール暗号化 | Microsoft Purview Message Encryption | Symantec独自機能 |
| メールアーカイブ | Exchange Online Archive | Symantec Archive |
| M365との統合 | 非常に高い | 限定的 |
| MX変更 | 不要 | 必要 |
| 第三者メール環境保護 | △ | ○ |
EOPのメリットは？
1. 管理が楽
Exchange 管理センターや Microsoft Defender Portal で一元管理できます。メッセージ追跡、隔離メール、SPF/DKIM/DMARC、Anti-Spam、Anti-Phishが同じ管理画面で確認できるのは大きな強みです。
2. Microsoft Defender for Office 365と連携
Safe Links、Safe Attachments、Threat Explorerなどがそのまま利用できます。Microsoft 365を中心に運用する企業であれば、非常に相性が良い構成です。
MessageLabsのメリット
1. Microsoft障害の影響を受けにくい
MessageLabsはMicrosoftとは別基盤で動作しています。例えば Exchange Online 側で障害が発生していても、Internet → MessageLabsまでは受信可能な状態を維持できます。
2. マルチクラウド対応
保護対象がExchange Online、Gmail、オンプレExchange、Notesなど混在していても、同じポリシーで運用できます。これはEOPが苦手とする領域です。
3. 入口でメールを遮断できる
MessageLabsが前段にあるため、Internet → MessageLabsで遮断 → EOP → Exchange Onlineという構成になります。つまり、危険なメールをMicrosoft365テナントまで到達させずに遮断できるのが強みです。
現在の主流構成
最近のMicrosoft 365導入では、Exchange Online + EOP + Microsoft Defender for Office 365の構成で十分と判断する企業が増えています。
一方で、金融・官公庁・製造業・大規模グローバル企業などでは、MessageLabs + EOP + Microsoft Defender for Office 365のような多層防御を採用するケースも根強く残っています。業界特性やコンプライアンス要件によって、この判断は大きく分かれるポイントです。
まとめ
Exchange Online管理者目線で一言でいうと、
EOPは「Microsoft純正のメール保護」、MessageLabsは「Exchange Onlineの前段に置く独立したメールセキュリティゲートウェイ」
です。
- MessageLabs(メッセージラボ)はSymantec買収後、現在はBroadcom傘下のSymantec Email Security.cloudとして提供されている
- アンチスパム、アンチウイルス、標的型攻撃対策、DLP、アーカイブなどEOPと重なる機能を多く持つ
- EOPはMicrosoft 365内蔵、MessageLabsは外側に置く第三者製SEGという配置の違いがある
- メールヘッダーに
*.messagelabs.comが見えるかどうかが、経由有無を判断する最大のポイント - 金融・官公庁・大規模企業では多層防御としてMessageLabs+EOPの併用構成も根強い
メッセージトレースやSMTPログの調査中に見慣れないドメインが出てきたときは、まず落ち着いて「どのセキュリティゲートウェイを経由しているか」を切り分けることが、原因究明への一番の近道です。
