Microsoft Intuneでのエンドポイント セキュリティのウイルス対策ポリシー

Intuneエンドポイント セキュリティウイルス対策ポリシーは、セキュリティ管理者が管理対象デバイスの個別のウイルス対策設定グループの管理に集中するのに役立ちます。

ウイルス対策ポリシーには、いくつかのプロファイルが含まれています。 各プロファイルには、macOS および Windows デバイスのMicrosoft Defender for Endpointウイルス対策、または Windows デバイス上のWindows セキュリティ アプリのユーザー エクスペリエンスに関連する設定のみが含まれます。

Microsoft Intune管理センターの [エンドポイント セキュリティ] ノードで、[管理] の下にあるウイルス対策ポリシーを見つけます。

ウイルス対策ポリシーには、検出されたエンドポイント保護またはデバイス構成ポリシーのデバイス制限テンプレートと同じ設定が含まれます。 ただし、これらのポリシーの種類には、ウイルス対策とは無関係な設定の他のカテゴリが含まれます。 追加の設定により、ウイルス対策ワークロードを構成するタスクが複雑になります。 また、macOS のウイルス対策ポリシーにある設定は、他のポリシーの種類では使用できません。 macOS ウイルス対策プロファイルは、 .plist ファイルを使用して設定を構成する必要性を置き換えます。

適用対象:

• Linux
• macOS
• Windows
• Windows Server (Microsoft Defender for Endpoint セキュリティ設定管理シナリオを使用)

重要

2025 年 10 月 14 日、Windows 10サポート終了に達し、品質と機能の更新プログラムを受け取りません。 Windows 10は、Intuneで許可されているバージョンです。 このバージョンを実行しているデバイスは引き続きIntuneに登録し、適格な機能を使用できますが、機能は保証されないため、異なる場合があります。

ウイルス対策ポリシーの前提条件

Intune (MDM) 登録済みデバイスのサポート:

• macOS

  • サポートされている macOS のバージョン
  • Intuneデバイスでウイルス対策設定を管理するには、そのデバイスに Defender for Endpoint をインストールする必要があります。 macOS 用のMicrosoft Defender for Endpointを参照してください (Defender for Endpoint のドキュメント)。

• Windows

  • 追加の前提条件は必要ありません。

Microsoft Configuration Manager クライアントのサポート:

このシナリオはプレビュー段階であり、現在のブランチ バージョン 2006 以降Configuration Manager使用する必要があります。

• Configuration Manager デバイスのテナントアタッチを設定する - Configuration Managerによって管理されるデバイスへのウイルス対策ポリシーの展開をサポートするには、テナントアタッチを構成します。 テナントアタッチのセットアップには、Intuneからのエンドポイント セキュリティ ポリシーをサポートするデバイス コレクションConfiguration Manager構成が含まれます。

  テナントアタッチを設定するには、「 エンドポイント保護ポリシーをサポートするようにテナントアタッチを構成する」を参照してください。

Defender for Endpoint クライアントのサポート:

• Defender for Endpoint セキュリティ設定管理 - Defender for Endpoint によって管理されているが、Intuneに登録されていないデバイスにウイルス対策ポリシーを展開するためのサポートを構成するには、「Microsoft Intuneを使用したデバイスでのMicrosoft Defender for Endpointの管理」を参照してください。 この記事には、この機能でサポートされるプラットフォームに関する情報と、それらのプラットフォームでサポートされるポリシーとプロファイルも含まれています。

役割ベースのアクセス制御 (RBAC)

ウイルス対策ポリシーを管理するための適切なレベルのアクセス許可と権限Intune割り当てる方法については、「エンドポイント セキュリティのためのロールベースのアクセス制御」を参照してください。

改ざん防止の前提条件

Intuneでは、次のいずれかのオペレーティング システムを実行するデバイスでの改ざん防止の管理がサポートされています。

• macOS (サポートされているバージョン)
• Windows 10 と 11 (エンタープライズ マルチセッションを含む)
• Windows Server 2016 以降
• Windows Server バージョン 1803 以降
• Windows Server 2012 R2 (最新の統合ソリューションを使用)

Defender for Endpoint では、Intune ポリシーを通じて管理可能なプラットフォーム以外の追加プラットフォームでの改ざん防止がサポートされています。 完全な一覧については、「 改ざん防止の前提条件」を参照してください。

注:

デバイスは、Microsoft Defender for Endpoint (P1 または P2) にオンボードする必要があります。 以前にMicrosoft Defender for Endpointにオンボードされていない場合、デバイスで改ざん防止が有効になる遅延が発生する可能性があります。 改ざん防止は、Microsoft Defender for Endpointにオンボードした後、最初のデバイスチェックで有効になります。

保護されている設定やトラブルシューティング オプションなど、改ざん防止の動作の詳細については、Defender for Endpoint のドキュメントの「 改ざん防止とは」 を参照してください。

Intuneを使用して、Windows セキュリティ エクスペリエンス プロファイル (ウイルス対策ポリシー) の一部として Windows デバイスの改ざん防止を管理できます。 これには、Intuneで管理するデバイスと、テナント接続シナリオを通じてConfiguration Managerで管理するデバイスの両方が含まれます。 Azure Virtual Desktop でも改ざん防止を利用できるようになりました。

マネージド デバイスのIntune

Intuneによって管理されるデバイスの改ざん防止をサポートするための前提条件:

• お使いの環境は、Intuneで改ざん防止を管理するための要件を満たしている必要があります
• デバイスはMicrosoft Defender for Endpoint (P1 または P2) にオンボードされます

Microsoft Intuneによって管理されるデバイスの改ざん防止をサポートするウイルス対策ポリシーのプロファイル:

• プラットフォーム: Windows

  • プロファイル: Windows セキュリティ エクスペリエンス

  注:

  2022 年 4 月 5 日、Windows 10以降のプラットフォームは Windows プラットフォームに置き換えられました。

  Windows プラットフォームは、Microsoft IntuneまたはMicrosoft Defender for Endpointを介してIntuneと通信するデバイスをサポートします。 これらのプロファイルでは、ネイティブにMicrosoft IntuneによってサポートされていないWindows Server プラットフォームのサポートも追加されます。

  この新しいプラットフォームのプロファイルでは、設定カタログにある設定形式が使用されます。 この新しいプラットフォームの新しいプロファイル テンプレートにはそれぞれ、置き換えられる古いプロファイル テンプレートと同じ設定が含まれています。 この変更により、古いプロファイルの新しいバージョンを作成できなくなります。 古いプロファイルの既存のインスタンスは、引き続き使用および編集できます。

また、デバイス構成ポリシーのエンドポイント保護プロファイルを使用して、Intuneによって管理されるデバイスの改ざん防止を構成することもできます。

テナント接続シナリオを通じて管理されるクライアントConfiguration Manager

これらのプロファイルを使用した改ざん防止の管理をサポートするための前提条件:

• 環境は、Defender for Endpoint のドキュメントで詳しく説明されているように、Intuneで改ざん防止を管理するための要件を満たしている必要があります。
• 現在のブランチ 2006 以降Configuration Manager使用する必要があります。
• エンドポイント保護ポリシーをサポートするようにテナントアタッチを構成する必要があります。 これには、Intuneとの同期Configuration Managerデバイス コレクションの構成が含まれます。
• デバイスはMicrosoft Defender for Endpoint (P1 または P2) にオンボードされます

Configuration Managerによって管理されるデバイスの改ざん防止をサポートするウイルス対策ポリシーのプロファイル:

• プラットフォーム: Windows (ConfigMgr)
  • プロファイル: Windows セキュリティ エクスペリエンス (プレビュー)

Microsoft Defender設定の制御された構成 (プレビュー)

制御された構成では、Microsoft Intuneをデバイスのセキュリティ設定の権限のある 1 つのソースMicrosoft Defenderすることで、改ざん防止が拡張されます。 改ざん防止はセキュリティ設定をセキュリティで保護された既定値にロックしますが、制御された構成は、適用されるすべての設定をIntuneで構成された値にロックすることでさらに進みます。 構成されていない設定は、セキュリティで保護されたプラットフォームの既定値にフォールバックします。

Microsoft Defender for Endpointを展開する組織は、グループ ポリシー、Configuration Manager、サード パーティ製ツール、ローカル管理者スクリプトなど、複数の管理チャネルがクラウド配信の設定をオーバーライドすると、不確定なデバイス状態に直面する可能性があります。 これらの競合により、Defender 構成が予測不能になり、トラブルシューティングが困難になります。

制御された構成は、 権限の明確な優先順位を確立します。 デバイスで制御された構成が有効になっている場合、IntuneまたはMicrosoft Defender for Endpointセキュリティ設定管理によって配信される設定が排他的に優先されます。 グループ ポリシー、Configuration Manager、ローカルの変更など、他のすべてのチャネルの設定がオーバーライドされます。 他のチャネルでも設定を配信できますが、Intune構成された値が常に優先されます。

この機能は、次の 2 つの一般的なシナリオで役立ちます。

• 概念実証の展開 - 組織は、従来の GPO またはサード パーティ製ツールの競合を特定して修復する必要なく、Defender 構成を迅速に展開して検証できます。
• 定常状態管理 — 管理者は、他のすべての管理チャネルを監視またはポリシー処理することなく、決定的で監査可能な Defender 構成を維持できます。

制御された構成を有効にする

制御された構成は、ウイルス対策ポリシーのWindows セキュリティ エクスペリエンス プロファイルの専用設定として使用できます。 [ Defender ] セクションの [ 制御された構成 (デバイス)] 設定では、次の値がサポートされています。

値	説明
未構成	デバイスの現在の状態に変更はありません。
オフ (既定値)	制御された構成と改ざん防止の両方をオフにします。
改ざん防止 (オン)	改ざん防止を有効にし、改ざん保護された設定をセキュリティで保護された既定値に適用します。 これは、既存の改ざん防止の動作です。
制御された構成 (オン)	制御された構成をオンにします。 Intune配信された設定が排他的に優先されます。構成されていない設定では、セキュリティで保護された既定値が使用されます。

制御された構成を有効にするには、Windows セキュリティ エクスペリエンス プロファイルを使用するウイルス対策ポリシーを作成または編集します。 [ 制御された構成 (デバイス)] を [制御された構成 ] (オン) に設定し、保護するデバイスにポリシーを展開します。

• CSP: Defender CSP > 構成/改ざん保護

注:

制御された構成には、 改ざん防止と同じ前提条件があります。

重要

制御された構成は、デバイスごとのレベルで動作します。 これらのデバイスを対象とするポリシーの [ 制御された構成 (デバイス)] の値を変更することで、制御された状態の個々のデバイスを選択できます。 制御された構成から改ざん防止 (またはオフ) への切り替えは、次のポリシー チェックに有効になります。

スコープと制限事項

プレビュー中に、制御された構成では、次のエンドポイント セキュリティ ポリシー テンプレートを使用して構成された設定が適用されます。

• ウイルス対策
• 攻撃面の縮小 (ASR)

デバイスが制御された構成状態にある場合、これらのテンプレートを介して配信される Defender 設定は権限があります。 他のチャネルを介して配信されるのと同じ Defender コンポーネントの設定がオーバーライドされます。

制御された構成で明示的に構成されていない設定は、既定値に戻ります。 制御された構成では、そのポリシーで定義されている設定のみがロックされるため、ローカル ユーザーは引き続きこれらの設定を変更できます。

制御された構成は、次 の場合 には適用されません。

• エンドポイントでの検出と応答 (EDR)
• ファイアウォールの設定
• エンドポイント セキュリティ エクスペリエンスの外部で作成されたポリシー (設定カタログ ポリシーなど)
• アカウント保護など、Defender コンポーネントで使用されないエンドポイント セキュリティ ポリシーの種類

制御された構成を使用したレポート

デバイスが制御された構成状態にある場合、そのデバイスのレポート動作は変更されます。

• 制御された構成 (ウイルス対策、ASR) をサポートするテンプレートを使用して構成されたポリシーの場合、設定ごとの状態レポートには、想定どおりに適用された構成が反映されます。
• 制御された構成ポリシーと重複する設定を含む設定カタログ ポリシーなどの制御されていない構成ポリシーの場合、重複する設定は、そのデバイスに 適用されない と報告されます。 制御された構成ポリシーは、他のポリシーで構成された値に関係なく、これらの設定に優先されます。
• 異常なエンドポイント (エンドポイント セキュリティ>Antivirus>Unhealthy エンドポイント) およびウイルス対策エージェントの状態 (Reports>Antivirus>Antivirus agent status) レポートで、[改ざん防止] 列の名前が [制御された構成] に変更されます。 この値は、MDM に登録されたデバイスに対して制御された構成が有効か無効かを反映します。 Defender に登録されたデバイスは、これらのレポートには含まれません。
• デバイスが競合するIntuneポリシー (制御された構成を有効にし、もう 1 つは改ざん防止を無効または有効にする) を受け取ると、制御された構成ポリシーが優先されます。

改ざん防止と制御された構成の拡張方法の詳細については、「 改ざん防止によるセキュリティ設定の保護」を参照してください。

ウイルス対策プロファイル

エンドポイント セキュリティ プロファイルを作成するためのガイダンスについては、「 エンドポイント セキュリティ ポリシーを作成する」を参照してください。

Microsoft Intuneによって管理されるデバイス

Intuneで管理するデバイスでは、次のプロファイルがサポートされています。

Linux

• プラットフォーム: Linux

  • プロファイル: Microsoft Defenderウイルス対策 - Linux デバイスのウイルス対策設定を管理します。
  • プロファイル: Microsoft Defenderウイルス対策の除外 - パス、拡張機能、プロセスのウイルス対策の除外を定義するMicrosoft Defenderウイルス対策の設定を管理します。

  ウイルス対策の除外は、Microsoft Defenderウイルス対策ポリシーによって管理されます。これには、除外の同じ設定が含まれます。また、Intuneのエンドポイント検出と応答プロファイルなどの他のポリシー (EDR とウイルス対策の除外の両方を含むLinuxの Microsoft Defender グローバル除外 (AV+EDR)) によって管理されます。 複数のソースからの設定はポリシーのマージの対象となり、該当するデバイスとユーザーに対してスーパー セットの除外が作成されます。

  重要

  Microsoft Defender グローバル除外 (AV+EDR) プロファイルは、Microsoft Defender for Endpointセキュリティ設定管理シナリオを通じて Defender によって管理されるLinux デバイスに対してのみサポートされます。

  Linux除外の詳細については、Microsoft Defenderドキュメントの「LinuxでのMicrosoft Defender for Endpointの除外の構成と検証」を参照してください。

macOS

• プラットフォーム: macOS

  • プロファイル: ウイルス対策 - macOS の ウイルス対策ポリシー設定 を管理します。

    Microsoft Defender for Endpoint for Mac を使用する場合は、.plist ファイルを使用して設定を構成するのではなく、Intuneを使用して管理対象の macOS デバイスにウイルス対策設定を構成して展開できます。

Windows

• プラットフォーム: Windows
  このプラットフォームのプロファイルは、Intuneに登録されているデバイスと、Microsoft Defender for Endpointのセキュリティ管理によって管理されるデバイスで使用できます。

  注:

  2022 年 4 月 5 日、Windows 10以降のプラットフォームは Windows プラットフォームに置き換えられました。

  Windows プラットフォームは、Microsoft IntuneまたはMicrosoft Defender for Endpointを介してIntuneと通信するデバイスをサポートします。 これらのプロファイルでは、ネイティブにMicrosoft IntuneによってサポートされていないWindows Server プラットフォームのサポートも追加されます。

  この新しいプラットフォームのプロファイルでは、設定カタログにある設定形式が使用されます。 この新しいプラットフォームの新しいプロファイル テンプレートにはそれぞれ、置き換えられる古いプロファイル テンプレートと同じ設定が含まれています。 この変更により、古いプロファイルの新しいバージョンを作成できなくなります。 古いプロファイルの既存のインスタンスは、引き続き使用および編集できます。

  • プロファイル: Microsoft Defenderウイルス対策 - Windows デバイスのウイルス対策ポリシー設定を管理します。

    Defender ウイルス対策は、Microsoft Defender for Endpointの次世代の保護コンポーネントです。 次世代保護は、機械学習やクラウド インフラストラクチャなどのテクノロジを組み合わせて、エンタープライズ organization内のデバイスを保護します。

    Microsoft Defenderウイルス対策プロファイルは、デバイス構成ポリシーのデバイス制限プロファイルにあるウイルス対策設定の別のインスタンスです。

    デバイス制限プロファイルのウイルス対策設定とは異なり、これらの設定は共同管理されているデバイスで使用できます。 これらの設定を使用するには、Endpoint Protection の共同管理ワークロード スライダーを Intune に設定する必要があります。

  • プロファイル: Microsoft Defenderウイルス対策の除外 - ウイルス対策の除外のみの管理ポリシー設定。

    このポリシーを使用すると、ウイルス対策の除外を定義する次のMicrosoft Defenderウイルス対策構成サービス プロバイダー (CSP) の設定を管理できます。

    • Defender/ExcludedPaths
    • Defender/ExcludedExtensions
    • Defender/ExcludedProcesses

    ウイルス対策の除外に関するこれらの CSP は、Microsoft Defenderウイルス対策ポリシーによって管理されます。これには、除外に対して同じ設定が含まれます。 ポリシーの種類 (ウイルス対策 と ウイルス対策の除外) の両方の設定は 、ポリシーのマージの対象となり、該当するデバイスとユーザーに対してスーパー セットの除外を作成します。

    警告

    除外を定義すると、Microsoft Defender ウイルス対策によって提供される保護が低下します。 除外の実装に関連するリスクを常に評価してください。 悪意のないことがわかっているファイルのみを除外します。

    詳細については、Microsoft Defenderドキュメントの「除外の概要」を参照してください。

  • プロファイル: Windows セキュリティ エクスペリエンス - エンド ユーザーがMicrosoft Defender セキュリティ センターで表示できるWindows セキュリティ アプリ設定と、受信する通知を管理します。

    Windows セキュリティ アプリは、コンピューターの正常性とセキュリティに関する通知を提供するために、多くの Windows セキュリティ機能によって使用されます。 セキュリティ アプリの通知には、ファイアウォール、ウイルス対策製品、Windows Defender SmartScreen などが含まれます。

  • プロファイル: Defender Update コントロール - DefenderCSP から直接取得される次の設定を含む、Microsoft Defenderの更新設定を管理します。

    • エンジン Updates チャネル
    • プラットフォーム Updates チャネル
    • セキュリティ インテリジェンス Updates チャネル

Configuration Managerによって管理されるデバイス

ウイルス対策

テナントアタッチを使用する場合は、Configuration Managerデバイスのウイルス対策設定を管理します。

ポリシー パス:

• エンドポイント セキュリティ >ウイルス対策> Windows (ConfigMgr)

プロファイル:

• Microsoft Defender ウイルス対策 (プレビュー)
• Windows セキュリティ エクスペリエンス (プレビュー)

必要なバージョンのConfiguration Manager:

• Configuration Manager現在のブランチ バージョン 2006 以降

サポートされているConfiguration Managerデバイス プラットフォーム:

• Windows 8.1 (x86、x64)、Configuration Manager バージョン 2010 以降
• Windows
• Windows Server 2012 R2 (x64)、Configuration Manager バージョン 2010 以降
• Windows Server 2016 以降 (x64)

重要

2025 年 10 月 14 日、Windows 10サポート終了に達し、品質と機能の更新プログラムを受け取りません。 Windows 10は、Intuneで許可されているバージョンです。 このバージョンを実行しているデバイスは引き続きIntuneに登録し、適格な機能を使用できますが、機能は保証されないため、異なる場合があります。

重要

2022 年 10 月 22 日、Microsoft Intune は Windows 8.1 を実行しているデバイスのサポートを終了しました。 これらのデバイスでは技術サポートや自動更新は利用できません。

設定のポリシーのマージ

一部のウイルス対策ポリシー設定では 、ポリシーのマージがサポートされています。 ポリシーのマージは、複数のポリシーが同じデバイスに適用され、同じ設定を構成するときに競合を回避するのに役立ちます。 Intuneは、適用されるすべてのポリシーから取得したユーザーまたはデバイスごとに、ポリシーのマージでサポートされる設定を評価します。 これらの設定は、ポリシーの単一のスーパーセットにマージされます。

たとえば、異なるウイルス対策ファイル パスの除外を定義する 3 つの個別のウイルス対策ポリシーを作成します。 最終的には、3 つのポリシーすべてが同じユーザーに割り当てられます。 Microsoft Defender ファイル パス除外 CSP ではポリシーのマージがサポートされているため、Intuneはユーザーに適用されるすべてのポリシーからのファイル除外を評価して結合します。 除外はスーパーセットに追加され、除外の 1 つのリストがユーザーのデバイスに配信されます。

ポリシーのマージが設定でサポートされていない場合、競合が発生する可能性があります。 競合すると、ユーザーまたはデバイスが設定のポリシーを受け取らない可能性があります。 たとえば、ポリシーのマージでは、一致するデバイス ID のインストールを防止するための CSP はサポートされていません (PreventInstallationOfMatchingDeviceIDs)。 この CSP の構成はマージされないため、個別に処理されます。

個別に処理すると、ポリシーの競合は次のように解決されます。

1. 最も安全なポリシーが適用されます。
2. 2 つのポリシーが等しくセキュリティで保護されている場合、最後に変更されたポリシーが適用されます。
3. 最後に変更されたポリシーが競合を解決できない場合、ポリシーはデバイスに配信されません。

ポリシーのマージをサポートする設定と CSP

次の設定では、ポリシーのマージがサポートされています。

• 除外されたプロセス - CSP: Defender/ExcludedProcesses
• 除外された拡張機能 - CSP: Defender/ExcludedExtensions
• 除外パス - CSP: Defender/ExcludedPaths

ウイルス対策ポリシー レポート

ウイルス対策ポリシー レポートには、エンドポイント セキュリティのウイルス対策ポリシーとデバイスの状態に関する状態の詳細が表示されます。 これらのレポートは、Microsoft Intune管理センターのエンドポイント セキュリティ ノードで使用できます。

レポートを表示するには、Microsoft Intune管理センターで [エンドポイント セキュリティ] に移動し、[ウイルス対策] を選択します。 [ウイルス対策] を選択すると、[概要] ページが開きます。 追加のレポート ビューと状態ビューは、追加のページとして使用できます。

次のセクションで詳しく説明するレポートに加えて、Intune レポートの記事に記載されているように、Microsoft Intune管理センターの [レポート] ノードには、Microsoft Defender ウイルス対策の追加レポートがあります。

• Antivirus agent status (ウイルス対策エージェントの状態) レポート (組織)
• Detected malware (検出されたマルウェア) レポート (組織)

概要

[ 概要 ] ページでは、 新しいポリシーを作成 し、以前に作成したポリシーの一覧を表示できます。 この一覧には、ポリシーに含まれるプロファイル (ポリシーの種類) と、ポリシーが割り当てられているかどうかに関する概要の詳細が含まれます。

一覧からポリシーを選択すると、そのポリシー インスタンスの [概要 ] ページが開き、詳細が表示されます。 このビューからタイルを選択すると、使用可能な場合Intuneそのプロファイルの追加の詳細が表示されます。

異常なエンドポイント

[ 異常なエンドポイント ] ページでは、MDM で管理されている Windows デバイスのウイルス対策状態に関する情報を表示できます。 この情報は、デバイス上で実行される Windows Defender ウイルス対策から脅威エージェントの状態として返されます。 このページで、[ 列] を選択して、レポートで使用できる詳細の完全な一覧を表示します。

このビューには、問題が検出されたデバイスのみが表示されます。 このビューには、クリーンとして識別されるデバイスの詳細は表示されません。

このレポートの情報は、Windows クライアント管理ドキュメントに文書化されている、次の CSP から入手できる詳細に基づいています。

• Defender CSP
• WindowsAdvancedThreatProtection CSP。

次の手順

エンドポイント セキュリティ ポリシーを構成する

非推奨のWindows 10以降のプラットフォームの非推奨プロファイルの Windows 設定の詳細を表示します。

• ウイルス対策ポリシー設定
• ウイルス対策の除外
• アプリ設定のWindows セキュリティ