Defender for Office 365 P1 vs P2 (2026)

Aktualizováno: 7. září 2026

Microsoft Defender for Office 365 Plan 1 chrání e-mail v reálném čase – Safe Attachments, Safe Links a anti-phishing s impersonation ochranou – zatímco Plan 2 přidává vyšetřovací a preventivní vrstvu: Automated Investigation and Response (AIR), Threat Explorer, Advanced Hunting a Attack Simulation Training. Pokud řešíte hlavně blokování škodlivých příloh a odkazů, stačí P1 (2,00 USD/uživatel/měsíc). Pokud po incidentu potřebujete odpovědět na otázku „koho ještě to zasáhlo?“ do 15 minut, kupujte P2 (5,00 USD/uživatel/měsíc).

Plan 1 je čistě preventivní (Safe Attachments, Safe Links, anti-phish, real-time detections); Plan 2 přidává post-breach nástroje – AIR, Threat Explorer, Advanced Hunting a Attack Simulation Training.
Cena v roce 2026: P1 stojí 2,00 USD/uživatel/měsíc, P2 stojí 5,00 USD/uživatel/měsíc. Microsoft 365 E5 a Office 365 E5 obsahují P2 v ceně; Business Premium obsahuje P1.
Exchange Online Protection (EOP) je součástí každé Exchange Online licence – Defender for Office 365 EOP nenahrazuje, staví nad něj.
Preset security policies (Standard, Strict) zapnou 90 % doporučeného nastavení jedním klikem – neconfigurujte anti-phish a Safe Links ručně, když nemusíte.
Attack Simulation Training v P2 nahrazuje třetí strany typu KnowBe4 pro většinu mid-market scénářů; nezahrnujte to do rozpočtu dvakrát.
Po Business Email Compromise (BEC) potřebujete P2 – bez Threat Exploreru vyšetřujete hledáním v mailboxových auditech, což trvá hodiny místo minut.

Rychlé srovnání: P1 vs P2 v jedné tabulce

Když finance zavolají a ptají se, proč M365 bill najednou vyskočil o 30 %, dostanou nejčastěji jednu ze dvou odpovědí: buď někdo v HR přiobjednal E5 pro celou účetnárnu, nebo se tam připočítal Defender for Office 365 Plan 2. Rozdíl mezi P1 a P2 se v praxi točí kolem toho, jestli máte nástroje na to reagovat na incident, nebo jen na to zabránit mu. Následující tabulka shrnuje funkční rozdíly, které mi ve třech BEC vyšetřováních v roce 2024 opakovaně určily, kolik hodin trvala forenzní část.

Funkce	Plan 1	Plan 2
Safe Attachments (detonace v sandboxu)	Ano	Ano
Safe Links (přepis URL při kliknutí)	Ano	Ano
Anti-phishing s impersonation ochranou	Ano	Ano
Real-time detections	Ano	Ano
Threat Explorer (30denní historie, filtrování)	Ne	Ano
Automated Investigation and Response (AIR)	Ne	Ano
Attack Simulation Training	Ne	Ano
Advanced Hunting (KQL nad EmailEvents)	Ne	Ano
Campaign Views	Ne	Ano
Cena (samostatný add-on, 2026)	2,00 USD/uživatel/měsíc	5,00 USD/uživatel/měsíc
Obsaženo v	Microsoft 365 Business Premium, Office 365 E3 add-on	Microsoft 365 E5, Office 365 E5, Microsoft 365 A5

Co je Microsoft Defender for Office 365?

Defender for Office 365 (dřív pod jménem Office 365 Advanced Threat Protection nebo ATP) je Microsoftova cloudová ochrana proti hrozbám, které přicházejí přes e-mail, Teams, SharePoint a OneDrive. Sedí nad Exchange Online Protection – EOP je základní filtrace spamu a známého malwaru, kterou dostane každý mailbox v Exchange Online zdarma. Defender for Office 365 přidává detonační sandbox, přepisování URL, ochranu proti impersonation a v případě P2 celou vyšetřovací sadu, kterou byste jinak řešili buď třetí stranou (Proofpoint, Mimecast) nebo ručně pomocí Message Trace a auditních logů.

Za posledních dva roky Microsoft posunul většinu inovací do P2 – konkrétně Advanced Hunting nad tabulkou EmailEvents, integraci s BitLocker recovery workflow v Entra ID a Intune pro forenzní extrakci klíčů z kompromitovaných zařízení a Copilot for Security jako add-on. P1 dostává hlavně údržbové aktualizace anti-phish enginu; nová funkcionalita chodí do P2 a odtud postupně (někdy) padá dolů do P1. Podle oficiálního srovnání funkcí P1 vs P2 v Microsoft Learn je hranice mezi plány „prevention vs detection & response“, což přesně odpovídá tomu, co v praxi vidíme.

Co obsahuje Defender for Office 365 Plan 1

Plan 1 řeší čtyři konkrétní vektory útoku, které EOP sám o sobě nechytá: přílohy typu zero-day (Safe Attachments), škodlivé URL v e-mailech (Safe Links), impersonation typu „CEO fraud“ (anti-phishing s user/domain impersonation) a live pohled na to, co právě proletělo skrz filtry (Real-time detections). Většina helpdesků, které nasazují M365 poprvé, začne tady – a upřímně řečeno, pro firmy pod 200 uživatelů to většinou stačí.

Safe Attachments

Safe Attachments odesílá každou přílohu, která neprošla EOP signaturovou detekcí, do detonačního sandboxu ve Microsoft cloudu. Sandbox otevře soubor v izolované VM, sleduje chování a rozhodne, jestli je bezpečný, škodlivý nebo neurčitý. Nastavení „Dynamic Delivery“ doručí tělo e-mailu okamžitě a přílohu doplní po dokončení detonace (typicky 20–60 sekund), takže uživatel není blokován. Používám to všude, kde není striktní zákaz „e-mail musí přijít kompletní nebo vůbec“.

Safe Links

Safe Links přepíše každou URL v e-mailu na wrapper typu https://safelinks.protection.outlook.com/?url=.... Když uživatel klikne, Microsoft URL v ten okamžik zvaliduje proti aktuální reputaci – takže když se legitimní odkaz kompromituje 3 hodiny po doručení, klik je stále blokován. Klíčová věc, kterou lidi zapomínají: Safe Links funguje i uvnitř Teams a Office aplikací, ale musíte to explicitně zapnout v policy (pole „Protect for Office 365 apps“).

Anti-phishing s impersonation ochranou

Klasický anti-spam pozná Nigerijského prince. Impersonation ochrana v P1 pozná, když někdo pošle e-mail z [email protected] a předstírá vašeho CEO – nebo hůř, když použije display name „Jan Novák (CEO)“ ale poštu odesílá z gmailu. V policy definujete až 350 chráněných uživatelů a až 50 chráněných domén (interních i externích partnerů). Doporučené akce: „Move to Junk“ pro user impersonation a „Quarantine“ pro domain impersonation, ne mazání – potřebujete auditní stopu.

Co Plan 2 přidává navíc

Plan 2 přidává čtyři velké oblasti, které jsou v podstatě „SOC v boxu“ pro e-mail: Threat Explorer, AIR, Advanced Hunting a Attack Simulation Training. Když jsem v roce 2024 čistil ty tři BEC případy, tak přesně tyhle nástroje určily, jestli forenzní část trvala 4 hodiny nebo 3 dny. Bez nich prohledáváte mailboxové audity ručně pomocí Search-MailboxAuditLog a jenom rekonstrukce toho, kdo přeposlal jaký e-mail komu, zabere odpoledne.

Threat Explorer a Real-time detections

Threat Explorer (v P2) drží 30 dní e-mailové telemetrie s možností filtrovat podle odesílatele, URL, souboru, IP, verdiktu, ZAP akcí a tuctu dalších polí. Real-time detections v P1 je jeho odlehčená verze – jenom detekce, jenom aktuální den, žádné retrospektivní pátrání. Rozdíl je zásadní: když vám v pondělí přijde tiket „ve čtvrtek jsem klikl na něco divného“, s Explorer to vyhledáte za tři kliky. S Real-time detections nemáte data.

Automated Investigation and Response (AIR)

AIR spustí playbook, jakmile se objeví alert typu „user clicked malicious URL“, „email reported by user“ nebo „ZAP detonated malware“. Playbook automaticky sesbírá související e-maily, vyhodnotí, jestli jsou další uživatelé postiženi, a připraví akce (delete, move to junk, block sender). Admin je jenom potvrdí. Podle oficiální dokumentace k AIR zvládne playbook dokončit iniciální investigaci typicky do 15 minut – to jsou v BEC scénáři minuty, které rozhodují, jestli útočník stihl přeposlat druhý e-mail.

Attack Simulation Training

Nativní phishingový trénink integrovaný do M365 admin centra. Máte katalog šablon (Credential Harvest, Malware Attachment, Link in Attachment, Drive-by URL, OAuth Consent Grant), plánovací kalendář a přiřazení trainingů podle toho, kdo klikl. Pro mid-market klienty pod 1000 uživatelů to typicky nahrazuje samostatnou KnowBe4 nebo Cofense licenci – ne funkčně 1:1, ale dost blízko na to, aby se to vyplatilo, když už P2 platíte.

Advanced Hunting nad EmailEvents

Advanced Hunting je KQL rozhraní v Microsoft Defender portálu, které dovolí dotazovat se přímo do syrových tabulek – EmailEvents, EmailAttachmentInfo, EmailUrlInfo, UrlClickEvents. Následující dotaz najde všechny e-maily za posledních 7 dní od odesílatelů, kteří poprvé v tenantu odeslali víc než 5 zpráv – klasický indikátor kompromitovaného účtu nebo phishing kampaně:

// Advanced Hunting KQL – detekce anomálního objemu od nových odesílatelů
EmailEvents
| where Timestamp > ago(7d)
| where EmailDirection == "Inbound"
| summarize
    TotalEmails = count(),
    FirstSeen = min(Timestamp),
    UniqueRecipients = dcount(RecipientEmailAddress)
    by SenderFromAddress
| where FirstSeen > ago(7d)  // nový odesílatel v tenantu
| where TotalEmails > 5
| where UniqueRecipients >= 3
| order by TotalEmails desc

Dotaz vrátí seznam odesílatelů, kteří se v tenantu objevili poprvé za posledních 7 dní a už poslali víc než 5 zpráv aspoň třem různým příjemcům. Bez Advanced Hunting tenhle report neuděláte – v Threat Exploreru filtrujete, ale neagregujete přes vlastní kritéria.

Kolik stojí Defender for Office 365 v roce 2026?

Ceníkové ceny k září 2026 (zdroj: Microsoft 365 Enterprise pricing sheet, EA seznam):

Defender for Office 365 Plan 1 – 2,00 USD/uživatel/měsíc jako samostatný add-on
Defender for Office 365 Plan 2 – 5,00 USD/uživatel/měsíc jako samostatný add-on
Microsoft 365 Business Premium – obsahuje P1 v ceně (22,00 USD/uživatel/měsíc, limit 300 uživatelů)
Microsoft 365 E5 / Office 365 E5 – obsahuje P2 v ceně
Microsoft 365 A5 / A3 – obsahuje P2 (A3 pouze pro fakultu, ne studenty)

Pár věcí, které v pricing kalkulacích lidi přehlížejí: (1) EA smlouvy typicky mají 10–20 % diskont, u CSP partnera (jako CDW nebo Insight) záleží na volumu. (2) Nemusíte licencovat úplně všechny uživatele – Microsoft to sice v EULA doporučuje, ale technicky nasazujete policies per user/group. V praxi ale kdyžnácté podnicete non-licenced uživatele jako spam vektor, tak úspora nestojí za to. (3) Přechod z Business Premium (P1) na E3+P2 add-on je často levnější než rovnou skok na E5, když nepotřebujete Power BI Pro a Defender for Endpoint P2 zvlášť.

Nahrazuje Defender for Office 365 službu EOP?

Ne. Exchange Online Protection zůstává základní vrstvou pod Defenderem for Office 365 a je součástí každé Exchange Online licence – nemusíte ho zvlášť kupovat ani zapínat. EOP dělá SPF, DKIM, DMARC vyhodnocení, connection filtering, spam filtering, malware filtering (signaturové) a bulk mail detection. Defender for Office 365 přidává další vrstvy nad tímto základem – detonační sandbox, URL rewriting, impersonation detekci, ZAP (Zero-hour Auto Purge) v pokročilé formě, a v P2 celou investigation/response vrstvu.

V praxi to znamená, že když si koupíte E1 nebo E3 bez add-onů, máte EOP a to je všechno. E-mail s škodlivou přílohou, kterou signatury zatím neznají, projde. Odkaz, který je čistý při doručení ale kompromitovaný o hodinu později, projde. Impersonation e-mail od „CEO“ z lookalike domény projde, pokud nemáte tight DMARC policy na svojí straně. Právě proto Microsoft doporučuje P1 jako minimum pro každý produkční tenant – EOP je nutná, ale nikoliv dostatečná vrstva.

Kdy potřebujete Plan 2 místo Plan 1?

Existuje pět jasných indikátorů, kdy P1 nestačí a je čas jít na P2:

Máte compliance požadavek na retenci e-mailových detekcí delší než 24 hodin. Real-time detections v P1 drží data jenom aktuální den. Threat Explorer v P2 drží 30 dní. Pokud auditor chce vidět, co se v tenantu dělo minulý týden, potřebujete P2.
Řešíte první nebo druhý BEC případ. Bez Threat Exploreru a Advanced Huntingu je forenzní část BEC vyšetřování násobně delší – měřeno hodinami práce, ne minutami. Jeden vážný BEC případ zaplatí P2 licence pro celou firmu na několik let dopředu.
Nemáte SIEM ani XDR platformu. AIR je pro tenanty bez SOC nejjednodušší způsob, jak dostat auto-response na phishing. Alternativou je Sentinel + custom playbooky, což je řádově dražší a náročnější na provoz.
Platíte za samostatný phishing training nástroj (KnowBe4, Cofense, Proofpoint PSAT). Attack Simulation Training v P2 vám ušetří tenhle rozpočet – nezruší tréninkovou strategii úplně, ale pro většinu mid-market je funkčně dostatečný.
Chystáte se nasazovat Copilot for Security. Copilot for Security se skill packem pro Defender for Office 365 potřebuje P2 telemetrii – bez ní má co dotazovat.

Pokud ani jeden z těchto pěti bodů neplatí a máte pod 200 uživatelů, P1 stačí. Kupujte P2, až když víte, proč ho kupujete, ne preventivně proto, že „security tým chce E5“.

Jak zapnout Preset security policies

Nejrychlejší cesta k funkčnímu nasazení Defender for Office 365 je použít Preset security policies – dva přednastavené templaty (Standard, Strict), které nakonfigurují anti-phish, anti-malware, anti-spam, Safe Attachments a Safe Links s Microsoftem doporučenými hodnotami. Rozdíl je v agresivitě: Standard je vhodný pro celou organizaci, Strict pro vysoce cílené uživatele (management, finance, IT admins).

Zapnutí přes Microsoft Defender portál:

Otevřete security.microsoft.com a jděte na Email & collaboration → Policies & rules → Threat policies → Preset Security Policies.
V sekci „Standard protection“ klikněte na Manage protection settings.
Vyberte scope – doporučuji „All recipients“ pro celou organizaci, s výjimkou pilotní skupiny.
Přidejte doménu(y) k impersonation ochraně a klíčové uživatele (CEO, CFO, IT admin group).
Uložte a nechte 15–30 minut na propagaci.

Pro Strict pak opakujte to samé s užším scopem (typicky Azure AD group „VIP Users“). Jednu věc dělejte pořadně: nekonfigurujte custom anti-phish policies zároveň s Presety. Preset má vyšší prioritu a custom policy se buď ignoruje, nebo se aplikuje jen tam, kde Preset nesahá, což vede k debug hodinám nad Message Trace, když se něco chová nečekaně.

Kdo preferuje PowerShell, tak zapnutí Preset Standard přes Exchange Online PowerShell vypadá takto:

# Připojení do Exchange Online (moderní auth, MFA-friendly)
Connect-ExchangeOnline -UserPrincipalName [email protected]

# Aktivace Preset "Standard protection" pro celý tenant
Enable-ATPProtectionPolicyRule -Identity "Standard Preset Security Policy"
Enable-EOPProtectionPolicyRule -Identity "Standard Preset Security Policy"

# Ověření stavu
Get-ATPProtectionPolicyRule | Format-Table Name, State, Priority
Get-EOPProtectionPolicyRule | Format-Table Name, State, Priority

# Rozšíření impersonation ochrany na chráněné uživatele
$ProtectedUsers = @(
    "[email protected]",
    "[email protected]"
)
Set-AntiPhishPolicy -Identity "Standard Preset Security Policy1662663010" `
    -TargetedUsersToProtect $ProtectedUsers `
    -EnableTargetedUserProtection $true

Pozn.: ID policy (Standard Preset Security Policy1662663010) je unikátní per tenant – vytáhněte si ho přes Get-AntiPhishPolicy | Where-Object { $_.RecommendedPolicyType -eq "Standard" }. Detailní parametry a přednastavené hodnoty najdete v Microsoft Learn dokumentaci k Preset security policies.

Časté chyby při nasazení, kterých se vyvarovat

Za sedm let v CDW jsem viděl stejné chyby opakovat u desítek klientů. Šest z nich vás bude bolet nejvíc:

Zapnutí Safe Links bez „Do not track user clicks“. Default je trackovat kliky, což je fajn pro forenziku, ale některé newslettery a marketing platformy (HubSpot, Mailchimp) mají vlastní URL wrappery a dvojité wrap-owání rozbije klik. Vyřazujte trusted marketing domény z Safe Links scanning skrz „Do not rewrite the following URLs“.
Ignorování Quarantine notifications. Když uživatel dostane zprávu do karantény, defaultně o ní neví. Zapněte end-user spam notifications s daily digest – jinak vám za dva týdny stojí HR na krku, protože jim odešel offer letter do karantény a kandidát dal výpověď.
Vyloučení admin účtů z policies. Klasická „bezpečnostní“ výmluva – admin přece nepotřebuje ochranu. Ve skutečnosti jsou to nejcílenější účty. Nikdy nevyjímejte admin z Defender policies; místo toho použijte samostatný break-glass účet chráněný SSPR a MFA.
Nezapnutí protection pro Teams a SharePoint. Safe Attachments pro SharePoint/OneDrive/Teams se zapíná v jiném policy panelu než klasický e-mail Safe Attachments. Bez toho útočník obejde e-mailovou ochranu tím, že soubor sdílí přes Teams chat.
Konfigurace policies pro celý tenant naráz. Vždycky pilotujte na malé skupině (10–20 uživatelů IT + friendly power users) 7–14 dní před rolloutem na celou firmu. False positives, které vylezou v pilotu, se dají opravit; false positives na 2000 uživatelích jsou incident.
Zapomenutí na MFA gap na service účtech. Defender for Office 365 chrání e-mail, ale nedokáže zabránit AiTM (Adversary-in-the-Middle) útoku, když má service účet MFA bypass. Auditujte přes zamykání účtů v Active Directory a stopování zdroje pro sync accounts a všude, kde vidíte anomální login patterny.

Často kladené otázky

Je Defender for Office 365 součástí Microsoft 365 E3?

Ne. Microsoft 365 E3 obsahuje pouze Exchange Online Protection (EOP). Defender for Office 365 Plan 1 nebo Plan 2 si musíte přikoupit jako add-on. Defender for Office 365 P2 je zahrnut až v Microsoft 365 E5 / Office 365 E5.

Jaký je rozdíl mezi ATP a Defender for Office 365?

Žádný funkční rozdíl neexistuje – Microsoft službu v roce 2020 přejmenoval z „Office 365 Advanced Threat Protection“ (ATP) na „Microsoft Defender for Office 365“. V dokumentaci a starších skriptech ještě uvidíte cmdlety s prefixem ATP- (např. Enable-ATPProtectionPolicyRule), ale jde o tu samou službu.

Chrání Defender for Office 365 i Microsoft Teams?

Ano, ale jen Safe Attachments a Safe Links, a musíte to explicitně zapnout v policy („Safe Attachments for SharePoint, OneDrive, and Microsoft Teams“ + „Protect for Office 365 apps“ v Safe Links). Anti-phishing a impersonation ochrana Teams komunikace primárně necílí – ta zůstává pro e-mail.

Kolik uživatelů musím licencovat?

Microsoft požaduje licenci pro každého uživatele, jehož schránku Defender for Office 365 skenuje. V praxi to znamená všechny aktivní mailboxy – shared mailboxy pod 50 GB nevyžadují licenci vlastní, ale škálování a některé features u nich neběží stejně jako u licenced. Licenční kompliance kontroluje Microsoft skrz reporty v Admin Center; enforcement je zatím manuální.

Můžu mít Defender for Office 365 Plan 1 pro část uživatelů a Plan 2 pro zbytek?

Ano, mixované licencování je podporováno a v praxi častější, než se zdá. Typický pattern: P2 pro VIP a security-sensitive role (management, finance, IT, právní), P1 pro zbytek. Policies aplikujete per user/group, takže Threat Explorer, AIR i Attack Simulation Training vidíte jen pro P2-licenced uživatele.