中小企業のMicrosoft Defender活用ガイド｜無料機能だけで実現するウイルス対策・デバイス制御・脅威レポートの設定手順

「Microsoft Defenderがインストールされているから大丈夫」と思っていませんか？インストールされているだけで設定を見直したことがない環境は、攻撃者から見ると「鍵は付いているが開けっ放し」と同じ状態です。

Windows標準搭載のMicrosoft Defenderは、正しく設定すれば市販のセキュリティ製品に引けを取らない保護を提供します。この記事では、追加費用ゼロで実現できるウイルス対策・ランサムウェア防御・デバイス制御の設定手順を、中小企業の情シス担当者向けに具体的に解説します。

Microsoft Defenderとは？Windowsに標準搭載されたセキュリティ機能の全体像

Microsoft Defender（旧称Windows Defender）は、Windows 10・11に標準搭載されているエンドポイント保護ツールです。近年のバージョンでは単純なウイルス対策にとどまらず、ランサムウェア防御・デバイス制御・クラウド連携による脅威情報活用など、多層的な防御機能を無償で利用できます。

・リアルタイム保護: ファイルアクセス・プロセス起動時にマルウェアをリアルタイムで検出してブロック
・クラウドベース保護: Microsoftのセキュリティインテリジェンスネットワーク（MAPS）と連携して未知の脅威に対応
・制御されたフォルダーアクセス: 重要フォルダーへの不正な書き込みをブロックし、ランサムウェア被害を最小化
・デバイス制御: USBメモリなど外部メディアの接続を制限して感染経路と情報漏洩経路を塞ぐ
・タンパープロテクション: マルウェアがDefender自体を無効化しようとする攻撃を防ぐ改ざん防止機能
・定期スキャン: スケジュール設定でフルスキャンを自動実行し、潜伏型マルウェアを検出

多くの中小企業では「デフォルトでオン」になっているリアルタイム保護に頼るだけで、ランサムウェア防御やデバイス制御は未設定のままです。この状態では、攻撃者が多用する手法（メール添付・USB持ち込み感染・フィッシング誘導）に対して十分な防御ができません。

攻撃者が狙う「設定放置」のリスク

Microsoft Defenderの設定を見直したことがない環境では、次のような弱点が残ります。

・クラウド保護がオフ: 新種マルウェアへの対応速度が低下し、定義ファイルの更新間隔に依存した空白が生まれる
・制御されたフォルダーアクセスが未設定: ランサムウェアがドキュメント・デスクトップ・業務データフォルダーを自由に暗号化できる
・USBが無制限: 未検査のUSBメモリからのマルウェア持ち込みを防げない。業務データの社外持ち出しリスクも高い
・除外リストの放置: 過去に「動作が重い」を理由でC:\Usersフォルダー全体が除外設定に追加されたままになっているケースは珍しくありません
・タンパープロテクションがオフ: マルウェアがDefenderを無効化してから本命の攻撃を行う手口が通用してしまう

特に「制御されたフォルダーアクセス」と「USB制御」は明示的に設定しないと有効にならない機能です。デフォルトでオフになっていることを念頭に置いてください。

今日からできる設定手順（5ステップ）

以下の手順はWindows 10 バージョン1903以降・Windows 11で実行できます。PowerShellを使う手順では管理者権限が必要です。

1. リアルタイム保護と定義ファイルの更新状況を確認する

まず現状把握から始めます。PowerShellで次のコマンドを実行してください。

# 現在の保護ステータスを確認
Get-MpComputerStatus | Select-Object `
  RealTimeProtectionEnabled, `
  AntivirusEnabled, `
  TamperProtectionSource, `
  AntivirusSignatureLastUpdated

# 除外設定の棚卸し
Get-MpPreference | Select-Object `
  ExclusionPath, `
  ExclusionProcess, `
  ExclusionExtension

RealTimeProtectionEnabled が True、定義ファイルの更新日時が3日以内であることを確認します。除外リストに不明なパスが含まれていれば、理由が分からないものはいったん削除を検討してください。

2. クラウドベース保護（MAPSへの参加）を有効化する

クラウドベース保護はMicrosoftのセキュリティインテリジェンス（MAPS）と通信し、未知の脅威を数秒で判定します。デフォルトでも有効ですが、設定レベルを上げることで保護精度が向上します。

# クラウドベース保護を上級レポートに設定
Set-MpPreference -MAPSReporting Advanced

# クラウドブロックレベルをHighに設定
Set-MpPreference -CloudBlockLevel High

# クラウド判定待機時間（秒）の設定
Set-MpPreference -CloudExtendedTimeout 20

# 設定確認
Get-MpPreference | Select-Object MAPSReporting, CloudBlockLevel, CloudExtendedTimeout

CloudBlockLevel High に設定すると疑わしいファイルを積極的にブロックします。設定後1週間は検出履歴を確認し、正規業務ファイルへの誤検知がないかモニタリングしてください。

3. 制御されたフォルダーアクセスでランサムウェアを防ぐ

制御されたフォルダーアクセスは、信頼されていないアプリが重要フォルダーに書き込むことをブロックします。ランサムウェア対策として最も効果的な無償機能です。

# まず監査モードで有効化（ブロックせずイベントログに記録するだけ）
Set-MpPreference -EnableControlledFolderAccess AuditMode

# 1週間後、問題なければ本番モードに切り替え
# Set-MpPreference -EnableControlledFolderAccess Enabled

# 業務フォルダーを保護対象に追加（例）
# Add-MpPreference -ControlledFolderAccessProtectedFolders "C:\BusinessData"

# 業務アプリがブロックされた場合は許可リストに追加
# Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\MyApp\myapp.exe"

# 現在の設定確認
Get-MpPreference | Select-Object EnableControlledFolderAccess, `
  ControlledFolderAccessProtectedFolders

いきなり本番モード（Enabled）にすると会計ソフト・ERPなどの業務アプリがブロックされることがあります。まず AuditMode で1週間運用し、Windowsセキュリティの「ランサムウェア対策」→「ブロック履歴」でブロックされたアプリを洗い出してから本番適用するのが安全です。

4. デバイス制御でUSBストレージを制限する

USBメモリは感染経路であり情報持ち出しの経路でもあります。Active Directoryドメイン環境ではグループポリシーでの管理が推奨されますが、スタンドアロン端末ではレジストリで制御できます。

# USBストレージデバイスを無効化
$regPath = "HKLM:\SYSTEM\CurrentControlSet\Services\USBSTOR"
Set-ItemProperty -Path $regPath -Name "Start" -Value 4

# 設定確認（4=無効、3=手動、2=自動起動）
Get-ItemProperty -Path $regPath -Name "Start"

# 元に戻す場合
# Set-ItemProperty -Path $regPath -Name "Start" -Value 3

USB制限は全端末に同じポリシーを適用するのが原則です。例外が必要な場合（特定の担当者が定期的にUSBを使う業務など）は、その端末のみ許可設定を行い、理由を管理台帳に記録してください。

5. タンパープロテクションの有効化を確認する

タンパープロテクションは、マルウェアがDefenderの設定を無効化しようとする操作を防ぐ機能です。GUIから確認するのが最も確実です。

・Windowsセキュリティ（スタートメニューから検索）を開く
・「ウイルスと脅威の防止」→「ウイルスと脅威の防止の設定」→「設定の管理」をクリック
・「改ざん防止」がオンになっていることを確認

PowerShellからも状態を確認できます。

# タンパープロテクションの状態確認
Get-MpComputerStatus | Select-Object TamperProtectionSource
# TamperProtectionSource が "Signatures" または "ATP" なら有効

中小企業でも今日からできること

「必須」の3項目が未設定の端末は今日中に対応を優先してください。「高」の2項目は来週中を目処に設定し、本番適用前に数台の検証機で動作確認を行うことをおすすめします。

Windowsパッチが未適用の状態ではDefenderの効果が限定的です。月次のパッチ管理と組み合わせることで保護効果が最大化されます。パッチ管理の手順は中小企業のWindowsパッチ管理実践ガイドを参照してください。

また、Defenderが検出・ブロックしたイベントはWindowsイベントログ（イベントID 1116・1117など）にも記録されます。定期的なログ確認の方法は中小企業のWindowsイベントログ監視入門で解説しています。

Active Directoryドメイン環境では、グループポリシーを使ってDefenderの設定を全端末に一括適用できます。AD環境のセキュリティ管理については中小企業のActive Directoryセキュリティ対策も参考にしてください。

よくある誤解と注意点

「Defenderが入っているから有料製品は不要」は半分正解
一般的な脅威への防御はMicrosoft Defenderで十分です。ただし、MDMとの統合・詳細なインシデント調査・ネットワーク監視・SOC連携が必要な規模になってきたら、Microsoft Defender for Endpoint（有償版）やサードパーティEDR製品の導入を検討するのが現実的な段階的強化策です。

「グループポリシーとPowerShellの設定が競合する」
Active Directoryドメイン環境ではグループポリシーが優先されるため、PowerShellで変更してもポリシー更新（通常90分間隔）で元に戻ります。ドメイン環境での変更はGPO側で行ってください。スタンドアロン端末の場合はPowerShellの変更が有効です。

「制御されたフォルダーアクセスは不安定だからOFFにしてよい」
一般的に「業務アプリが動かなくなるから」という理由で無効化されることがありますが、許可リストへの追加で多くの問題は解決します。無効化する前に、まず監査モードで問題のあるアプリを特定する手順を試してください。

「除外設定を広げると管理が楽になる」
除外設定の範囲を広げると、その領域がマルウェアの隠れ場所として利用されるリスクが上がります。除外は最小限のスコープ（特定プロセス名・特定ファイル拡張子）に絞り、設定した理由を必ず記録してください。

本記事のまとめ

Microsoft Defenderは適切に設定することで、追加費用なしに中小企業のエンドポイントを多層的に保護します。本記事でカバーした5つのポイントを確認してください。

・リアルタイム保護・定義ファイル更新: 基本中の基本。毎月1回は更新状況を確認する
・クラウドベース保護（MAPS）: 未知マルウェアへの対応速度を大幅に改善する
・制御されたフォルダーアクセス: ランサムウェアによる業務データ暗号化を直接防ぐ
・USBデバイス制限: 物理的な感染経路と情報持ち出しを両方塞ぐ
・タンパープロテクション: Defender自体を無効化する攻撃を防ぐ最後の砦

設定変更は本番展開前に必ず少数の端末で動作検証を行い、業務への影響がないことを確認してから全社展開してください。