用途：保护 Exchange Online 邮件流与 Microsoft 365 协作负载（Teams、SharePoint、OneDrive），防御钓鱼、恶意软件、欺骗和商业邮件欺诈。适用于计划与预设策略决策、控制配置、漂移检测及邮件事件的 SOC 运营。不适用于终端防护（defender-for-endpoint）、跨负载调查（defender-xdr）或 Copilot 上线前的 SharePoint 过度共享（purview-copilot-oversharing）。
主要能力：预设策略、Safe Attachments 引爆、Safe Links 点击时 URL 保护、投递后检测与狩猎（Threat Explorer + AIR）、攻击模拟训练。计划方面，MDO Plan 1 含 Safe Links、Safe Attachments、反钓鱼、反垃圾邮件、反恶意软件；Plan 2 额外含 Threat Explorer、实时检测、AIR、攻击模拟训练与自动调查。
使用方式：先确认许可与邮件流，再启用 SPF、DKIM、DMARC（从 p=none 监控到 quarantine、reject）；对所有用户应用 Standard 预设，对高管、财务、IT 管理员等高危组应用 Strict 预设；配置模拟保护（5-15 个具名用户与 1-3 个受信域）；谨慎使用租户允许/阻止列表（TABL），允许条目最长 30 天并每周审查；每月用 Configuration analyzer 检查漂移；通过 Submissions 门户与 Threat Explorer 运营；启用 AIR 自动分诊；按季度开展攻击模拟训练，仅对点击者分配培训。
限制与护栏：预设优于自定义策略；不要为体验禁用 Safe Links 重写；模拟保护名单不宜过大；TABL 允许条目为临时；DMARC 目标为 reject；前置第三方 SEG 时需配置 Enhanced Filtering；不要用邮件流规则绕过 MDO。常见反模式包括长期 p=none、永久允许供应商域、全员模拟保护、全员季度培训等。具体命令与配置细节以 Microsoft Learn 文档为准。