ネットワーク保護を有効にする

適用対象: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2, Microsoft Defender Antivirus

ネットワーク保護は、ユーザーが任意のアプリケーションを使用して、インターネット上でフィッシング詐欺、悪用、その他の悪意のあるコンテンツをホストする可能性のある危険なドメインにアクセスするのを防ぐのに役立ちます。この記事では、Microsoft Defender for Endpointセキュリティ設定管理、Microsoft Intune、グループポリシー、PowerShell、モバイルデバイス管理 (MDM) を使用してネットワーク保護を有効にして構成する方法について説明します。テスト環境でネットワーク保護を監査して、ネットワーク保護を有効にする前にブロックされるアプリを確認できます。

重要

Windows Serverでは、Network Protection はオプトイン機能です。 Defender、Intune、またはSCCMからポリシーを有効にする前に、オペレーティングシステムは AllowNetworkProtectionOnWinServer 設定を使用して機能を明示的に許可する必要があります。この前提条件がないと、Defender エージェントは、正常に展開された場合でも、ネットワーク保護の構成を無視し、その結果、機能が適用されていないように表示されます。

ネットワークフィルター設定の詳細については、「ネットワークフィルターの構成オプション」を参照してください。

前提条件

サポートされるオペレーティングシステム

ネットワーク保護は、次のオペレーティングシステムでサポートされています。

Windows
Linux (「Linuxのネットワーク保護」を参照)
macOS (「 macOS のネットワーク保護」を参照)

ネットワーク保護を有効にする

ネットワーク保護を有効にするには、Microsoft Defender for Endpointセキュリティ設定管理、Microsoft Intune、グループポリシー、PowerShell、Microsoft Configuration Manager、またはモバイルデバイス管理 (MDM) を使用できます。

エンドポイントセキュリティ設定管理のDefenderを使用してネットワーク保護を有効にする

ヒント

この方法には、Microsoft Entra IDのセキュリティ管理者ロールが必要です。

エンドポイントセキュリティポリシーを作成する

ネットワーク保護を有効にするエンドポイントセキュリティポリシーを作成するには、次の手順に従います。

https://security.microsoft.comのMicrosoft Defender ポータルで、[エンドポイント>構成管理>Endpoint セキュリティポリシー] に移動します。または、[ エンドポイントセキュリティポリシー] ページに直接移動するには、 https://security.microsoft.com/policy-inventoryを使用します。
[エンドポイントセキュリティ ポリシー] ページの [Windows ポリシー] タブで、[新しいポリシーの作成] を選択します。
開 いた [新しいポリシーの作成 ] ポップアップで、次の設定を構成します。
- [プラットフォームの選択]: [Windows] を選択します。
- テンプレートの選択: Microsoft Defender Antivirus を選択します。
[ポリシーの作成] を選択します。
[新しいポリシーの作成] ウィザードが開きます。 [ 基本 ] タブで、次の設定を構成します。
- [名前]: わかりやすい一意のポリシー名を入力します。
- 説明: 省略可能な説明を入力します。
[次へ] を選択します。
[ 構成設定 ] タブで、[ Defender ] を展開し、[オペレーティングシステムに基づいて ネットワーク保護を有効にする] の値を選択します。
- Windows クライアントと Windows サーバー: 使用可能な値は次のとおりです。
  - 有効 (ブロックモード) : IP アドレス/URL インジケーターと Web コンテンツフィルタリングをブロックするには、ブロックモードが必要です。
  - 有効 (監査モード)
  - 無効 (既定値)
  - 未設定
- Windows Server 2016と R2 のWindows Server 2012: [脅威の重大度の既定のアクション] セクションの [ネットワーク保護のダウンレベルを許可する] 設定も構成する必要があります。使用できる値は次のとおりです。
  - ネットワーク保護はダウンレベルで有効になります
  - ネットワーク保護はダウンレベルで無効になります。 (既定)
  - 未構成
- Windows クライアントと Windows サーバーのオプションのネットワーク保護設定:
  - Win Server でデータグラム処理を許可する: 使用可能な値は次のとおりです。
    - Windows Serverでのデータグラム処理が有効になっている
    - Windows Serverでのデータグラム処理が無効になっています (既定値) : 大量の UDP トラフィックを生成するサーバーロールには、この値を強くお勧めします。例:
      - ドメインコントローラー
      - Windows DNS サーバー
      - Windows ファイルサーバー
      - Microsoft SQL サーバー
      - Microsoft Exchange サーバー
      これらのサーバーでデータグラム処理を無効にすると、ネットワークの安定性が維持され、需要の高い環境でのシステムリソースの使用が向上します。これらのサーバーでデータグラム処理を有効にすると、ネットワークのパフォーマンスと信頼性が低下します。
    - 未構成
  - TCP 解析で DNS を無効にする
    - TCP 解析経由の DNS が無効になっている
    - DNS over TCP 解析が有効になっている (既定値)
    - 未構成
  - HTTP 解析を無効にする
    - HTTP 解析が無効になっている
    - HTTP 解析が有効になっている (既定値)
    - 未構成
  - SSH 解析を無効にする
    - SSH 解析が無効になっている
    - SSH 解析が有効になっている (既定値)
    - 未構成
  - TLS 解析を無効にする
    - TLS 解析が無効になっている
    - TLS 解析が有効になっている (既定値)
    - 未構成
  - [非推奨]DNS シンクホールを有効にする
    - DNS シンクホールが無効になっている
    - DNS シンクホールが有効になっています。 (既定)
    - 未構成
[ 構成設定 ] タブが完了したら、[ 次へ] を選択します。
[ 割り当て ] タブで、検索ボックスをクリックするか、グループ名の入力を開始し、結果から選択します。

[ すべてのユーザー ] または [ すべてのデバイス] を選択できます。

カスタムグループを選択すると、そのグループを使用してグループメンバーを含めたり除外したりできます。

[ 割り当て ] タブが完了したら、[ 次へ] を選択します。
[ 確認と作成 ] タブで設定を確認し、[保存] を選択 します。

Microsoft Intuneでネットワーク保護を有効にする

セキュリティベースライン、ウイルス対策ポリシー、またはデバイス構成プロファイルのいずれかの方法を使用して、Microsoft Intuneでネットワーク保護を有効にすることができます。

Microsoft Defender for Endpointベースラインメソッド

重要

セキュリティベースラインは、Microsoft が推奨する幅広い設定をデバイスに適用します。ネットワーク保護は、多くの設定の 1 つです。デバイスがまだベースライン管理されていない場合は、ネットワーク保護のみを有効にするためにベースラインをデプロイすると、他のすべてのベースライン設定も適用され、既存の構成と競合する可能性があります。ネットワーク保護のみを構成するには、代わりにウイルス対策ポリシーメソッドまたはデバイス構成プロファイルメソッドを使用します。

Microsoft Intuneのセキュリティベースラインの一部としてネットワーク保護を構成するには、「セキュリティベースラインのプロファイルを作成する (Intune ドキュメントの新しいタブで開く)」を参照してください。セキュリティベースラインプロファイルを作成するときは、次の設定を使用します。

ベースライン: Microsoft Defender for Endpoint セキュリティベースライン
構成設定: [Defender] を展開し、[ネットワーク保護の有効化] を [有効] (ブロックモード) または [有効 ( 監査モード)] に設定します。

Microsoft Intuneのセキュリティベースラインの詳細については、「Windows デバイスのIntuneセキュリティベースラインについて」を参照してください。

セキュリティベースラインプロファイルを作成して割り当てた後、レジストリエディターを使用してネットワーク保護が有効になっているかどうかを確認して、 EnableNetworkProtection の値が 1 (オン) または 2 (監査) に設定されていることを確認して、デプロイを確認します。

ウイルス対策ポリシーの方法

Microsoft Intune エンドポイントセキュリティ ウイルス対策ポリシーを使用してネットワーク保護を構成するには、「エンドポイントセキュリティポリシーを作成する (Intune ドキュメントの新しいタブで開く)」を参照してください。ポリシーを作成するときは、次の設定を使用します。

ポリシーの種類: ウイルス対策
プラットフォーム: Windows
プロファイル: Microsoft Defender ウイルス対策
構成設定: 適用するには ネットワーク保護を有効にする を 有効 (ブロックモード) に設定し、適用前に影響を評価するには 有効 (監査モード) に設定します

Microsoft IntuneのMicrosoft Defenderウイルス対策プロファイルの詳細については、「エンドポイントセキュリティのウイルス対策ポリシー」を参照してください。

ウイルス対策ポリシーを作成して割り当てた後、レジストリエディターを使用してネットワーク保護が有効になっているかどうかを確認して、 EnableNetworkProtection の値が 1 (オン) または 2 (監査) に設定されていることを確認して、展開を確認します。

デバイス構成プロファイルメソッド

Microsoft Intune デバイス構成プロファイルを使用してネットワーク保護を構成するには、「Intuneでのエンドポイント保護設定の追加」を参照してください (Intune ドキュメントの新しいタブで開きます)。デバイス構成プロファイルを作成するときは、次の設定を使用します。

[プラットフォーム]: Windows 10 以降
プロファイルの種類: エンドポイント保護 > テンプレート
構成設定: Microsoft Defender Exploit Guard>ネットワークフィルターを展開し、ネットワーク保護を有効または監査に設定します

ネットワーク保護の設定と使用可能な値の詳細については、「エンドポイント保護のネットワークフィルター設定」を参照してください。

デバイス構成プロファイルを作成して割り当てた後、レジストリエディターを使用してネットワーク保護が有効になっているかどうかを確認して、 EnableNetworkProtection の値が 1 (オン) または 2 (監査) に設定されていることを確認して、展開を確認します。その他の展開オプションについては、グループポリシー、 PowerShell、または MDM のセクションを参照してください。

モバイルデバイス管理 (MDM) でネットワーク保護を有効にする

ネットワーク保護Microsoft Defenderオンまたはオフにする前に、マルウェア対策プラットフォームを最新バージョンに更新します。
EnableNetworkProtection 構成サービスプロバイダー (CSP) を使用して、ネットワーク保護をオンまたはオフにするか、監査モードを有効にします。

グループポリシーを使用してネットワーク保護を有効にする

ドメインに参加しているコンピューターまたはスタンドアロンコンピューターでネットワーク保護を有効にするには、次の手順に従います。

スタンドアロンコンピューターで、[ スタート] に移動し、「 グループポリシーの編集」と入力して選択します。

-または-

ドメインに参加しているグループポリシー管理コンピューターで、グループポリシー管理コンソール (GPMC) を開きます。構成するグループポリシーオブジェクトを右クリックし、[編集] を選択します。
[グループポリシー管理エディター] で、[コンピューターの構成] に移動し、[管理用テンプレート] を選択します。
ツリーを Windows コンポーネント>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>ネットワーク保護 に展開します。

以前のバージョンの Windows では、グループポリシーパスに Windows Defender Antivirus が Microsoft Defender Antivirus の代わりに表示される場合があります。
[ 危険な Web サイトにユーザーとアプリがアクセスできないようにする ] 設定をダブルクリックし、オプションを [有効] に設定します。 [オプション] セクションで、次のいずれかのオプションを指定する必要があります。
- ブロック: ユーザーは悪意のある IP アドレスとドメインにアクセスできません。
- 無効 (既定値): ネットワーク保護機能が機能しません。ユーザーは悪意のあるドメインへのアクセスをブロックされません。
- 監査モード: ユーザーが悪意のある IP アドレスまたはドメインにアクセスすると、Windows イベントログにイベントが記録されます。ただし、ユーザーはアドレスへのアクセスをブロックされません。
重要

ネットワーク保護を完全に有効にするには、グループポリシーオプションを [有効] に設定し、[オプション] ドロップダウンメニューで [ブロック] を選択する必要があります。
(この手順は省略可能です)。「ネットワーク保護が有効になっているかどうかを確認する」の手順に従って、グループポリシー設定が正しいことを確認します。

Microsoft Configuration Managerでネットワーク保護を有効にする

次の手順を使用して、Configuration Managerでネットワーク保護を有効にする Exploit Guard ポリシーを作成して展開します。

Configuration Manager コンソールを開きます。
[資産とコンプライアンス>Endpoint Protection>Windows Defender Exploit Guard に移動します。
リボンから [ Exploit Guard Policy の作成 ] を選択して、新しいポリシーを作成します。
既存のポリシーを編集するには、ポリシーを選択し、リボンまたは右クリックメニューから [プロパティ ] を選択します。 [ネットワーク保護] タブから [ネットワーク保護の構成] オプションを編集します。
[ 全般 ] ページで、新しいポリシーの名前を指定し、[ ネットワーク保護 ] オプションが有効になっていることを確認します。
[ ネットワーク保護 ] ページで、[ ネットワーク保護の構成 ] オプションに対して次のいずれかの設定を選択します。
- ブロック
- 監査
- 無効
[ 概要 ] ページで設定を確認し、[ 次へ ] を選択してポリシーを作成します。ウィザードが完了したら 、[閉じる] を選択します。
リボンから [ 展開 ] を選択して、ポリシーをコレクションに展開します。

PowerShell でネットワーク保護を有効にする

PowerShell を使用して、デバイスのネットワーク保護を有効、監査、または無効にします。

Windows デバイスで [スタート] を選択し、「powershell」と入力し、[Windows PowerShell] を右クリックして、[管理者として実行] を選択します。
次のコマンドレットを実行して、悪意のあるドメインまたは疑わしいドメインへの接続を防ぐブロックモードでネットワーク保護を有効にします。
```
Set-MpPreference -EnableNetworkProtection Enabled
```

Windows Serverの場合は、次の追加コマンドを使用します。

Windows Server のバージョン	コマンド
Windows Server 2019 以降	`Set-MpPreference -AllowNetworkProtectionOnWinServer $true`
Windows Server 2016 Microsoft Defender for Endpoint 用の統合エージェントを使用する Windows Server 2012 R2	`Set-MpPreference -AllowNetworkProtectionDownLevel $true` `Set-MpPreference -AllowNetworkProtectionOnWinServer $true`

重要

[AllowDatagramProcessingOnWinServer] 設定を無効にします。この設定を無効にすることは、ドメインコントローラー、Windows DNS サーバー、Windows ファイルサーバー、Microsoft SQL サーバー、Microsoft Exchange サーバーなどの大量の UDP トラフィックを生成するロールにとって重要です。このような場合にデータグラム処理を有効にすると、ネットワークのパフォーマンスと信頼性が低下する可能性があります。これを無効にすると、ネットワークの安定性が維持され、需要の高い環境でのシステムリソースの使用が向上します。

(この手順は省略可能です)。悪意のあるドメインへの接続のイベントをブロックせずにログに記録する監査モードにネットワーク保護を設定するには、次のコマンドレットを使用します。
```
Set-MpPreference -EnableNetworkProtection AuditMode
```
ネットワーク保護をオフにするには、DisabledまたはAuditModeの代わりに Enabled パラメーターを使用します。

ネットワーク保護が有効になっているかどうかを確認する

レジストリエディターを使用して、ネットワーク保護の状態をチェックできます。

レジストリエディターを開きます (たとえば、 regedit.exeを実行します)。
次のパスに移動します: HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows Defender>Policy Manager

そのパスが存在しない場合は、 HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows Defender>Windows Defender Exploit Guard>Network Protection に移動します。
[EnableNetworkProtection] を選択して、デバイスのネットワーク保護の現在の状態を確認します。
- 0 は オフです
- 1 は オンです
- 2 は監査モードです

デバイスからの Exploit Guard 設定の削除に関する重要な情報

Configuration Managerを使用して Exploit Guard ポリシーを展開すると、後で展開を削除した場合でも、設定はクライアントに残ります。デプロイが削除された場合、クライアントログDeleteExploitGuardHandler.log ファイルではサポートされません。

Exploit Guard の設定を正しく削除するには、 SYSTEM コンテキストで次の PowerShell スクリプトを使用します。このスクリプトでは、DEFENDERと Exploit Guard MDM ポリシー値 (攻撃面の減少ルール、フォルダーアクセスの制御、ネットワーク保護を含む) を WMI 経由でデバイス上で直接クリアします。

$defenderObject = Get-WmiObject -Namespace "root/cimv2/mdm/dmmap" -Class "MDM_Policy_Config01_Defender02" -Filter "InstanceID='Defender' and ParentID='./Vendor/MSFT/Policy/Config'"

$defenderObject.AttackSurfaceReductionRules = $null

$defenderObject.AttackSurfaceReductionOnlyExclusions = $null

$defenderObject.EnableControlledFolderAccess = $null

$defenderObject.ControlledFolderAccessAllowedApplications = $null

$defenderObject.ControlledFolderAccessProtectedFolders = $null

$defenderObject.EnableNetworkProtection = $null

$defenderObject.Put()

$exploitGuardObject = Get-WmiObject -Namespace "root/cimv2/mdm/dmmap" -Class "MDM_Policy_Config01_ExploitGuard02" -Filter "InstanceID='ExploitGuard' and ParentID='./Vendor/MSFT/Policy/Config'"

$exploitGuardObject.ExploitProtectionSettings = $null

$exploitGuardObject.Put()

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-29

ネットワーク保護を有効にする

前提条件

サポートされるオペレーティング システム

ネットワーク保護を有効にする

エンドポイント セキュリティ設定管理のDefenderを使用してネットワーク保護を有効にする

エンドポイント セキュリティ ポリシーを作成する

Microsoft Intuneでネットワーク保護を有効にする

Microsoft Defender for Endpointベースラインメソッド

ウイルス対策ポリシーの方法

デバイス構成プロファイルメソッド

モバイル デバイス管理 (MDM) でネットワーク保護を有効にする

グループ ポリシーを使用してネットワーク保護を有効にする

Microsoft Configuration Managerでネットワーク保護を有効にする

PowerShell でネットワーク保護を有効にする

ネットワーク保護が有効になっているかどうかを確認する

デバイスからの Exploit Guard 設定の削除に関する重要な情報

関連項目

フィードバック

その他のリソース

サポートされるオペレーティングシステム

エンドポイントセキュリティ設定管理のDefenderを使用してネットワーク保護を有効にする

エンドポイントセキュリティポリシーを作成する

モバイルデバイス管理 (MDM) でネットワーク保護を有効にする

グループポリシーを使用してネットワーク保護を有効にする