Microsoft Defender for Endpoint での誤検知/検出漏れへの対処

適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

エンドポイント保護ソリューションにおいて、 誤検知 とはファイル、プロセス、またはその他のエンティティが誤って悪意と特定されたことを指します。 偽陰性とは、ソリューションが検出できない悪意ある存在のことです。誤検知や誤陰性は、Microsoft Defender for Endpointを含むあらゆる脅威保護ソリューションで起こり得ます。

この記事のワークフローを使って、検出源を特定し、アラートを分類・抑制し、修復アクションを確認し、除外を設定し、ファイルを分析のために提出し、疑わしい誤陰性の調査を行います。 Microsoft Defenderポータルでポータル手順を完了してください。 Microsoft Defender XDRを使用している場合は、まずMicrosoft Defender XDRの「Investigate alerts」で説明されているアラートソースを特定してください。警告ソースがDefender for Endpointの場合はこの記事を続けてください。

前提条件

サポートされるオペレーティングシステム

Windows。

検出ソースを特定する

偽陽性の場合は、まず検出源を特定します。ソースを使用して適切な回答を選びましょう。

検出ソース	推奨される応答
エンドポイントでの検出と対応 (EDR)	誤検知をMicrosoft Security Intelligence提出ポータルに提出してください。 EDR除外を追加したり、アラートを調整したりすることもできます。
Microsoft Defender ウイルス対策	Microsoft Defender Antivirusがアクティブモードの場合は、誤検知をMicrosoft Security Intelligence提出ポータルに提出してください。一時的な対策として、ファイル許可インジケーターやアンチウイルス除外を設定すると良いでしょう。 Microsoft Defender Antivirusがパッシブモードの場合、EDRがブロックモードで脅威を検知することがあります。
カスタム脅威情報	ファイルのハッシュ、IPアドレスやURL、証明書のカスタムインジケーターを確認しましょう。更新は「インジケーター管理」をご覧ください。 `CustomEnterpriseBlock`検出は以下からも発生します: 1. 自動調査および修復。誤検知はMicrosoft Security Intelligence提出ポータルに提出するか、自動化フォルダの除外設定を行ってください。 2. 高度な狩猟に基づくカスタム検出ルール。カスタム検出ルールを管理してください。 3. EDRのブロックモード、ライブレスポンス、または望ましくないアプリケーション保護。誤検知をMicrosoft Security Intelligence提出ポータルに提出してください。一時的な対策として、ファイル許可インジケーターやアンチウイルス除外を設定すると良いでしょう。
Microsoft Defender SmartScreen	安全でないサイトを報告するか、ネットワーク保護検出を送信してください。詳細については、「Microsoft Defender SmartScreen」を参照してください。

誤検知とその対処方法

以下の5つのステップからなるワークフローを使って誤検知に対応し、今後の再発を減らしましょう。

パート 1: アラートを確認して分類する

アラートが誤ってエンティティを悪意あるまたは疑わしいものと識別した場合は、そのアラートを分類し、同様のアラートを抑制することを検討してください。また、組織にとって重要でないイベントに対して正確なアラートを抑制することも可能です。

アラートを分類することで脅威保護が向上し、時間とともに誤検知や偽陰性を減らすことができます。抑制ルールはキューのノイズを減らし、セキュリティチームがより優先度の高い作業に集中できるようにします。

アラートが正確かどうかを判断する

アラートを分類または抑制する前に、アラートが正確か、偽陽性か、無害であるかを判断します。

https://security.microsoft.com/alertsのDefenderポータルのアラートページでアラートを選択してください。
アラートの詳細を確認しましょう。詳細については、Defender for Endpointの「Review alerts」をご覧ください。

アラートの状態に応じて、次の表に示す手順を実行します。

警戒評価	対処方法
アラートは正確です	アラートを割り当て、さらに調査します。
アラートは偽陽性です	1. 偽陽性としてアラートを分類します。 2. アラートを抑制します。 3. Microsoft Defender for Endpoint のインジケーターを作成します。 4. 分析用に Microsoft にファイルを提出します。
アラートは正確ですが、問題ありません (重要ではありません)	真陽性としてアラートを分類し、次にアラートを抑制します。

アラートを分類する

Defenderポータルでは、アラートを誤検知または真陽性として分類してください。分類機能はDefender for Endpointを改善し、時間をかけてより正確なアラートを得られるようにします。

https://security.microsoft.com/alertsのDefenderポータルのアラートページでアラートを選択してください。
選択したアラートで、[ アラートの管理] を選択します。ポップアップウィンドウが開きます。
分類の中から、 真陽性、 情報活性、期待活性、 偽陽性を選択します。

ヒント

アラートの抑制について詳しくは、「Defender for Endpoint アラートの管理」を参照してください。もし組織がセキュリティ情報・イベント管理(SIEM)サーバーを使用している場合は、そこで抑制ルールも定義してください。

アラートを抑制する

誤検知や重要でない出来事に対する正確なアラートを抑制し、アラートキューのノイズを減らしましょう。

https://security.microsoft.com/alertsのDefenderポータルのアラートページで、抑制したいアラートを選択します。
詳細ペインで省略点を選択し(...)、次に抑制ルールを作成してください。
抑制ルールを設定し、その後「保存」を選択します。

ヒント

抑制ルールに関するヘルプが必要な場合は、「アラートを抑制し、新しい抑制ルールを作成する」を参照してください。

パート 2: 修復処理を確認する

ファイルの隔離やプロセスの停止などの修復アクションは、脅威として検出されたエンティティに適用されます。自動調査とMicrosoft Defender Antivirusは、以下のアクションを自動的に実行できます:

ファイルを隔離しろ。
レジストリキーを削除してください。
プロセスを停止します。
サービスを止めてください。
ドライバーを無効にしてください。
予定されたタスクを削除しましょう。

アンチウイルススキャンの開始や調査パッケージの収集など、他の操作は手動またはライブレスポンスで行われます。ライブレスポンスで行った行動は元に戻せません。

アラートを確認した後は、是正措置も見直してください。誤検知によるほとんどの操作は元に戻すことができます:

アクションセンターから隔離されたファイルを復元してください。
複数のアクションを一度に元に戻す。
複数のデバイスで隔離からファイルを削除してください。
隔離からファイルを復元してください。

誤検知による操作を確認し取り消した後、除外事項を見直すか定義してください。

完了した処理を確認する

完了した修復作業を確認するには、アクションセンターの履歴をご覧ください:

https://security.microsoft.com/action-centerのDefenderポータルのアクションセンターページで、「履歴」タブを選択してください。
完了した修復作業の詳細を見るには項目を選択してください。

アクションセンターから隔離されたファイルを復元する

アクションセンターの単一のファイルの隔離アクションを元に戻す:

https://security.microsoft.com/action-centerのDefenderポータルのアクションセンターページで、履歴タブを選択し、元に戻したいアクションを選択します。
ポップアップウィンドウで [元に戻す] を選択します。動作が元に戻せない場合は、 元に戻 すボタンは使えません。詳細については、「完了したアクションを元に戻す」をご覧ください。

複数の処理を一度に元に戻す

アクションセンターから複数の完成したアクションをまとめて取り消す:

https://security.microsoft.com/action-centerのDefenderポータルのアクションセンターページで、履歴タブを選択し、取り消したいアクションを選択します。
ポップアップウィンドウで [元に戻す] を選択します。

複数のデバイスで隔離からファイルを削除する

同じ隔離ファイルの他のインスタンスにも元に戻すアクションを適用します:

https://security.microsoft.com/action-centerのDefenderポータルのアクションセンターページで、履歴タブを選択し、アクションタイプ値の隔離ファイルを選択します。
ポップアップウィンドウで、[このファイルの X 個のインスタンスに適用] を選択し、[元に戻す] を選択します。

検疫されたメッセージを確認する

Exchangeメッセージトレースで隔離されたメールメッセージを確認してください:

https://security.microsoft.com/messagetraceのDefenderポータルのExchangeメッセージトレースページでメッセージを選択してください。
メッセージの詳細を確認しましょう。

隔離からファイルを復元する

調査で隔離されたファイルが安全と判断された場合、影響を受けた各デバイスで復元してください。

以下のコマンドは、最新のMicrosoft Defender Antivirusプラットフォームフォルダを開き、指定された脅威名のファイルを復元します。管理者 として実行を選択して開いたコマンドプロンプトウィンドウで実行してください:

ヒント

最初のコマンドは、ディレクトリを < の最新バージョンの >antimalware プラットフォームバージョン%ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>に変更します。そのパスが存在しない場合は、 %ProgramFiles%\Windows Defenderに移動します。

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -Restore -Name EUS:Win32/CustomEnterpriseBlock -All

詳細については、「MpCmdRun コマンドラインツールを使用してMicrosoft Defenderウイルス対策を構成および管理する」を参照してください。

重要

シナリオによっては、 ThreatName が EUS:Win32/CustomEnterpriseBlock!clとして表示される場合があります。 Defender for Endpoint は、過去 30 日間にこのデバイスで検疫されたすべてのカスタムブロックされたファイルを復元します。

潜在的なネットワークの脅威として検疫されたファイルは回復できない可能性があります。

隔離されたファイルは、システムがファイル位置のネットワーク認証情報を持たなくなるとアクセスできなくなることがあります。この問題は通常、システムや共有フォルダへの一時的なサインインのアクセストークンが期限切れであることに起因します。

パート 3: 除外を確認または定義する

注意

除外を定義する前に、Microsoft Defender for EndpointおよびMicrosoft Defender Antivirusの除外管理をご確認ください。除外はあなたの保護レベルを下げます。

除外とは、ファイルやURLのように、修復措置から除外されるエンティティのことです。 Defender for Endpointはエンティティを検出できますが、停止や隔離、削除、その他の変更はしません。

Defender for Endpointの除外を定義するには、以下のタスクを実行します。

Microsoft Defender for Endpoint の許可インジケーターを作成しましょう。
Microsoft Defender Antivirusの除外事項を定義してください。
攻撃面の縮小 (ASR) ルールの場合は、グローバル ASR ルールの除外または ASR ルールごとの除外を構成します。

注:

Microsoft Defenderのウイルス対策の除外はウイルス対策にのみ適用され、他のDefender for Endpointの機能には適用されません。ファイルをより多くの機能から除外するには、Defender for EndpointのカスタムインジケーターやMicrosoft Defender Antivirusの除外機能を使いましょう。

ASRルールはグローバルルール除外、ルールごとの除外、Microsoft Defenderのウイルス対策除外をサポートし、カスタムインジケーターで定義されたインジケーターも許可しています。

このセクションの手順では、インジケーターと除外を定義する方法について説明します。

Defender for Endpoint のインジケーター

インジケーター、特に侵害の兆候(IoC)は、セキュリティ運用チームがエンティティの検出、防止、排除を制御できるようにします。例えば、特定のファイルをスキャンや修復から除外したり、ファイル、IPアドレス、URLに対してアラートを生成したりできます。

Defender for Endpointでエンティティを除外するには、許可インジケーターを作成してください。次世代の保護および自動調査・修復にインジケーターを適用できるようにします。

以下の許可指標を作成できます:

Files
IP アドレス、URL、ドメイン
アプリケーション証明書

ファイルのインジケーター

実行ファイルなどのファイルに対して許可インジケーターを作成することで、Defender for Endpointが組織内の信頼ファイルをブロックするのを防ぐことができます。対応ファイルには、 .exe ファイルや .dll ファイルなどのポータブル実行ファイル(PE)が含まれます。

ファイルのインジケーターを作成する前に、次の要件を満たしていることを確認してください。

Microsoft Defender Antivirusはクラウドベースの保護機能を有効にしています。詳細については、「クラウドベースの保護を管理する」を参照してください。
アンチマルウェアクライアントのバージョンは4.18.1901.x以降です。
クライアントデバイスはWindows 11またはWindows 10、バージョン1703以降のものを使用しています。
サーバーデバイスはWindows Server 2016以降のものを使用しています。
Windows Server 2012 R2デバイスはモダンな統一ソリューションを使用しています。
ブロックまたは許可機能はオンにしています。
デバイスはAzure Stack HCI OSのバージョン23H2以降で動作しています。

IP アドレス、URL、またはドメインのインジケーター

IPアドレス、URL、ドメインの許可インジケーターを作成することで、Defender for Endpointが信頼できるネットワーク宛先をブロックするのを防ぐことができます。

IP アドレス、URL、またはドメインのインジケーターを作成する前に、次の要件を満たしていることを確認してください。

Defender for Endpointのネットワーク保護はブロックモードで有効化されています。詳細については、「ネットワーク保護を有効にする」を参照してください。
アンチマルウェアクライアントのバージョンは4.18.1906.x以降です。
デバイスはWindows 10、バージョン1709以降、またはWindows 11で動作します。

カスタムネットワークインジケーターはMicrosoft Defender XDRで有効にしています。詳細については、「高度な機能」を参照してください。

アプリケーション証明書のインジケーター

アプリケーション証明書の許可インジケーターを作成することで、Defender for Endpointが社内で開発されたアプリケーションなど信頼できるアプリケーションをブロックするのを防ぐことができます。サポートされているファイル拡張子は .CER と .PEMです。

アプリケーション証明書のインジケーターを作成する前に、次の要件を満たしていることを確認してください。

Microsoft Defender Antivirusはクラウドベースの保護機能を有効にしています。詳細については、「クラウドベースの保護を管理する」を参照してください。
アンチマルウェアクライアントのバージョンは4.18.1901.x以降です。
デバイスは以下のいずれかのオペレーティングシステムを実行します:
- Windows 10、バージョン1703以降、またはWindows 11。
- Windows Server 2012 R2以降のモダン統一ソリューションを搭載しています。
- Azure Stack HCI OS、バージョン23H2またはそれ以降。
ウイルスおよび脅威保護の定義は最新です。

ヒント

インジケーターを個別に作成することも、複数のインジケーターを同時にインポートすることも可能です。各組織は最大15,000の指標をサポートしています。インジケーターを作成する前にファイルハッシュなどの詳細を集める必要があるかもしれません。

Microsoft Defender ウイルス対策の除外

一般的に、Microsoft Defenderのウイルス対策の除外は必要ありません。除外は控えめに定義し、誤検知を引き起こすファイル、フォルダ、プロセス開いたファイルのみに限定してください。除外事項を定期的に見直しましょう。アンチウイルスの除外設定にはMicrosoft Intuneの使用をおすすめします。グループポリシーなど他の方法も利用できます。詳細については、「Manage Microsoft Defender for Endpoint」をご覧ください。

サポートされた設定方法や詳細な手順については、「Microsoft Defender Antivirusの除外設定と検証」をご覧ください。

パート 4: 分析用にファイルを提出する

ファイルやファイルレス検出、その他のエンティティをMicrosoftに提出して分析してもらうことができます。 Microsoftのセキュリティ研究者は、Defender for Endpointの脅威保護を改善するための提出物を分析しています。投稿サイトにサインインして、投稿履歴を追跡してください。

分析のためにハッシュを送信する

Microsoft Security Intelligence提出ポータルを利用して最大100個のハッシュを分析のために提出してください。ブログ記事やセキュリティ記事など、各侵害の指標(IoC)の出典を含めてください。

分析用にファイルを提出する

Defender for Endpointがファイルを誤って検出または見落とした場合は、そのファイルを分析のために提出してください:

「分析用にファイルを提出する」のガイドラインを確認してください。
Defender for Endpointでファイルを提出するか、Microsoft Security Intelligenceの提出サイトから提出してください。

分析のためにファイルレス検出を送信する

Defender for Endpointが挙動に基づいてマルウェアを検出し、提出するファイルがない場合は、代わりにMpSupportFiles.cab診断ファイルを提出してください。 Windows 10またはWindows 11のMpCmdRunコマンドラインツールを使って.cabファイルを生成してください。

C:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cabで説明されているように、を生成します。
「分析用にファイルを提出する」のガイドラインを確認してください。
.cab ファイルは、Microsoft Security Intelligence submission site を通じて送信してください。

ファイルの提出後に何が行われますか?

Microsoftシステムはあなたの提出を即座にスキャンし、アナリストがケースを審査する前に最新の判断結果を提供します。もしアナリストがすでにファイルを処理していれば、すぐに判断結果が出るかもしれません。

Microsoftは未処理の提出を以下のように優先順位付けしています:

多くのデバイスに影響を及ぼす可能性のあるファイルは、より高い優先度が与えられます。
認証済み顧客、特に有効なソフトウェア保証ID(SAIDs)を持つエンタープライズ顧客からの提出は、より高い優先度が与えられます。
SAID保有者によって優先度が高いとされた提出書類には、直ちに対応が行われます。

投稿の状況を確認するには、Microsoft Security Intelligenceの投稿サイトにサインインしてください。

ヒント

詳細については、「分析用にファイルを提出する」を参照してください。

パート 5: 脅威に対する保護の設定を確認して調整する

多くの誤検知を受け取った場合は、以下の脅威保護設定を確認してください。

クラウドによる保護
望ましくない可能性のあるアプリケーションに対する修復
調査と修復の自動化

クラウドによる保護

Microsoft Defender Antivirusのクラウド配信保護レベルを確認してください。デフォルトのポリシー設定は「 設定されていません」ですが、クラウド配信保護の有効化を推奨します。設定手順については、「Microsoft Defender Antivirusでクラウド保護の設定」をご覧ください。

もしあなたの組織にMicrosoft Intuneがあれば、クラウド配信保護の設定に利用できます。 Intuneは別の製品で、すべてのサブスクリプションに含まれているわけではありません。ライセンスの詳細については、Microsoft Intune ライセンスをご覧ください。また、設定記事で説明されている他の方法、例えばグループポリシーを使うこともできます。

望ましくない可能性のあるアプリケーションに対する修復

潜在的不要アプリケーション(PUA)とは、デバイスの動作を遅くしたり、予期しない広告を表示させたり、その他の予期せぬソフトウェアをインストールする可能性のあるソフトウェアのことです。例としては、セキュリティ製品が存在すると異なる挙動を示す広告、バンドル、回避ソフトウェアがあります。 PUAはマルウェアではありませんが、セキュリティ製品は一部のソフトウェアをその挙動や評判に基づいてPUAとして分類します。

PUA の詳細については、「望ましくない可能性のあるアプリケーションを検出してブロックする」を参照してください。

PUA保護設定が、組織で使っているアプリに対して誤検知を引き起こす可能性があります。必要に応じて、PUA保護を監査モードで一時的に実行するか、一部のデバイスに適用してください。 Microsoft EdgeやMicrosoft Defender Antivirusに対してPUA保護を設定できます。

御社にMicrosoft Intuneがある場合は、PUA保護の設定に使うことをおすすめします。 Intuneは別の製品で、すべてのサブスクリプションに含まれているわけではありません。ライセンスの詳細については、Microsoft Intune ライセンスをご覧ください。 Intuneをお持ちでない場合は、Microsoft Defender AntivirusのPUA保護設定でグループポリシーなどの別の方法を使いましょう。

調査と修復の自動化

自動調査・修復 (AIR)はアラートを調査し、漏洩を即座に解決するための対応を行います。自動調査の際、AIRは各証拠に「 悪意のあるもの」「 疑わしいもの」「脅威なし」と評決を付けます。

組織の自動化レベルやその他のセキュリティ設定に応じて、AIRは悪意あるまたは 疑わしい 判定を受けたアーティファクトを自動、手動、またはセキュリティ運用チームの承認後に修正できます。

自動化レベルを見直しましょう。
Defender for Endpoint で AIR 機能を構成します。

重要

調査と修復の自動化には、完全自動化を使用することをお勧めします。誤検知でAIRをオフにしないでください。代わりに、例外を許容インジケーターで定義し、AIRを適切なアクションを自動的に取るように設定してください。自動化レベルのガイダンスに従うことで、セキュリティオペレーションチームが扱うアラートの数を減らすことができます。

偽陰性とそれへの対処法

偽陰性は、ファイル、プロセス、ネットワーク接続などの悪意ある存在が Defender for Endpoint によって検出されなかった場合に発生します。偽陰性は、古いセキュリティインテリジェンス、誤設定された機能、既存のシグネチャを回避する脅威などが原因となることがあります。

注:

このセクションのいくつかの機能はあなたの計画によって異なります。高度なハンティング、調査パッケージの収集、ブロックモードでのEDRにはMicrosoft Defender for Endpoint Plan 2が必要です。デバイスタイムラインにはDefender for Endpoint Plan 2またはMicrosoft Defender for Businessが必要です。これらの機能はDefender for Endpoint Plan 1には提供されていません。

偽陰性の疑いを検証

誤陰性を報告する前に、その不審な活動が対応する検出なしに発生したことを必ず確認してください。端末のタイムライン上のエンドポイント動作と、Defenderポータルの高度なハンティング結果を比較してください。

のDefenderポータルのhttps://security.microsoft.com/machinesページで、影響を受けたデバイスを選択します。
開いたデバイスエンティティのページで「 タイムライン 」タブを選択し、疑わしい活動に対応するイベント(例:ファイル作成、プロセス実行、ネットワーク接続など)を探します。
https://security.microsoft.com/v2/advanced-huntingのDefenderポータルのAdvanced Huntingページで、環境全体の活動に関する関連するテーブルを検索してください。例えば、以下のクエリは特定のファイルハッシュのファイル作成イベントを検出します:
```
DeviceFileEvents
| where SHA1 == "<hash>"
| where ActionType == "FileCreated"
```
以下のクエリは、疑わしいドメインのネットワーク活動を検出します。
```
DeviceNetworkEvents
| where RemoteUrl has "<suspicious-domain>"
```
ログに活動内容が記載されていて、Defender for Endpointでアラートが発生しない場合は、エスカレーションの証拠を集めましょう。

偽陰性エスカレーションの証拠を集める

Microsoft に見逃しを報告する前に、次のフォレンジックデータを収集してください。

エンドポイントサポートファイル:診断パッケージをアドレベルドコマンドプロンプトで実行してC:\ProgramData\Microsoft\Windows Defender\Support\MpSupportFiles.cabMpCmdRun.exe -GetFiles生成します。手順については、「Microsoft Defender Antivirus の診断データを収集する」を参照してください。
プロセス実行の詳細:疑わしい活動に関連するプロセスツリー、コマンドラインパラメータ、親プロセスを文書化してください。これらの詳細はデバイスタイムラインで見つけるか、高度な狩猟で DeviceProcessEvents テーブルを検索できます。
ネットワークフローデータ:脅威がネットワーク接続に関わる場合は、 DeviceNetworkEvents テーブルから関連する接続情報(リモートIP、ドメイン、ポート)を取得します。
メモリダンプやサンドボックストレース:可能であれば、影響を受けたデバイスからメモリダンプやサンドボックス実行トレースをキャプチャし、Microsoftが脅威の挙動を分析するのを助けてください。また、Defenderポータルのデバイスから調査パッケージを受け取ることも可能です。
生のイベントデータ:Microsoft DefenderポータルのAdvanced Huntingから関連イベントをエクスポートし、提出書類に含めてください。

分析のために偽陰性を提出してください

証拠を集めた後は、以下のいずれかの方法で偽陰性をMicrosoftに提出してください。

Defenderポータルの投稿ページ(https://security.microsoft.com/reportsubmission):
- ファイルタブ:完全な手順については、Microsoft Defender for Endpointでファイルを提出する際の説明を参照してください。
- URLsタブ:完全な手順は「疑わしいURLを報告」をMicrosoftにご参照ください。
ハッシュやファイルはMicrosoft Security Intelligenceの提出サイトに直接送信してください。詳細については、「分析のためにファイルを送信する」を参照してください。

分析待ちの脅威を軽減する

偽陰性を提出した後も、その脅威はあなたの環境で依然として有効である可能性があります。 Defender for Endpointのカスタムインジケーターを使って、Microsoftが検出結果を更新するまで既知の悪意ある存在をブロックしてください:

ファイルハッシュ:悪意のあるファイルハッシュ用のブロックインジケーターを作成します。「ファイルのインジケーターを作成する」を参照してください。
IPアドレスとドメイン:悪意のあるIPやドメインに対してブロックインジケーターを作成しましょう。「IP と URL/ドメインのインジケーターを作成する」を参照してください。

カスタムインジケーターは組織全体に適用され、Microsoftが提出物を分析する間、即時の保護を提供します。

エンドポイントの健康状態と設定の確認

古いセキュリティインテリジェンスや無効化された保護機能が誤検知を引き起こすことがあります。影響を受けたデバイスのエンドポイントの健康状態を確認してください:

次のコマンドをPowerShellウィンドウで実行し、エンジンとセキュリティインテリジェンスのバージョンを確認してください:
```
Get-MpComputerStatus | Select-Object AMServiceVersion, AMProductVersion, AMEngineVersion, AntispywareSignatureVersion, AntivirusSignatureVersion
```
セキュリティ情報の最新情報が最新であることを確認してください。バージョンが古い場合は、以下のコマンドを実行して更新してください:
```
Update-MpSignature
```
注:

また、 MpCmdRun.exe -SignatureUpdateを実行することで、昇格されたコマンドプロンプトからセキュリティインテリジェンスの更新を確認することもできます。詳細については、「コマンドラインを使ってMicrosoft Defender Antivirusを管理する」をご覧ください。
キー保護機能が有効になっているか確認してください。以下の機能が無効化または誤設定されている場合、偽陰性が発生することがあります:
デバイスプラットフォームとOSが最新かどうかも確認してください。古いビルドでは、新しいバージョンで利用可能な検出機能が搭載されていない場合があります。

さらにヘルプが必要ですか?

この記事のワークフローを完了しても問題が解決しない場合は、Microsoftサポートに連絡してください。

Defenderポータルの右上https://security.microsoft.comで、クエスチョンマーク(?)を選択し、Microsoftサポートを選択します。
[サポートアシスタント] ウィンドウで、問題について説明し、メッセージを送信します。これで、お問い合わせを開くことができます。

フィードバック

このページはお役に立ちましたか?

最終更新: 2026-09-02