HMA を入れたオンプレ Exchange でも EWS の NTLM と OWA のフォーム認証は MFA を通らない
ハイブリッドモダン認証（HMA）で Outlook に MFA を掛けても、EWS への NTLM 認証や OWA のフォーム認証（FBA）は Entra ID を経由しないので、MFA が一度も評価されない。インシデント調査では、Thunderbird を名乗る EWS 要求 66,610 件がすべて NTLM で成功していた。
見つけ方
- IIS ログではユーザーエージェント（Thunderbird）は目立つが、認証方式はわからない。Exchange の HttpProxy ログで EWS 要求の認証方式（NTLM／OAuth）を確認する。
- 同じメールボックスに正規クライアントが OAuth で、別の送信元が NTLM で来ていれば要注意。
対策
- 認証ポリシーでレガシー認証を遮断する（Exchange 2019 CU1 以降の HMA 環境）。EWS 向けは
BlockLegacyAuthWebServicesで NTLM・Kerberos・Basic を利用者ごと、または組織の既定として止める。 - 既定を厳しくしても、緩いポリシーを個別に割り当てたアカウントは守られない。 個別割り当てを一覧して見直す。
- OWA・ECP に HMA は自動適用されない。Exchange 2019 CU14＋2024 年 4 月の Hotfix Update 以降を当て、既存の認証方式を無効にしてから OAuth を有効にする個別設定が必要。
- IMAP・POP・Outlook Anywhere など HMA 非対応クライアントは接続できなくなるので、遮断前に利用状況を洗い出す。
- リバースプロキシーや WAF を前に置くだけでは Entra ID の MFA は掛からない。