2026年セキュリティ脅威・SCSへの対応提案ガイドを公開中

近年、ランサムウェアや標的型攻撃をはじめとするサイバー攻撃は高度化しており、従来のアンチウイルス製品だけでは十分な対策が難しくなっています。
会社の PC やサーバーが侵害された場合、攻撃者は内部ネットワーク上で活動し、機密情報の奪取や他端末への感染拡大を試みます。

こうした脅威に対応するため、Microsoft はエンドポイント向けの包括的なセキュリティソリューションとして Microsoft Defender for Endpoint を提供しています。

本記事では、Microsoft Defender for Endpoint の概要や Plan 1 と Plan 2 の違い、Plan 2 の主要機能、そして基本的な操作方法をご紹介します。

Microsoft Defender for Endpoint とは

Microsoft Defender for Endpoint は、組織で利用される PC やモバイル デバイスなどのエンドポイントを保護するためのクラウドベースのセキュリティソリューションです。

デバイス上で発生するさまざまなアクティビティを収集・分析し、サイバー攻撃や不審な挙動を検知するとともに、セキュリティ担当者による調査や対応を支援します。

従来のウイルス対策製品が既知のマルウェアの検知・防御を中心としていたのに対し、Defender for Endpoint では侵害後の不審な活動も監視し、攻撃の早期発見と被害拡大の防止を実現します。

Microsoft Defender XDR と連携することで、エンドポイントに加え、メール、ID、クラウド アプリケーションなどのシグナルを横断して分析できます。
ただし、各ワークロードの統合分析には、対応する Defender 製品のライセンス、コネクタ設定、データ連携が必要です。

対応する OS や利用可能な機能はプラットフォームによって異なります。
また、Windows Server などのサーバーを保護する場合は、Microsoft Defender for Servers またはサーバー向け Defender for Endpoint ライセンスなど、別途ライセンス要件をご確認ください。

Defender for Endpoint Plan 2 とは

Defender for Endpoint Plan 2 は、攻撃を防ぐだけでなく、攻撃を見つけて調査・対応し、被害拡大を防ぐための製品です。

一般的なアンチウイルス製品との違いは、攻撃の発生後も継続して監視・対応できる点です。

例えば、次のような攻撃の兆候を検知し、攻撃の発生から被害拡大に至るまでの流れを時系列で可視化できます。

• 不審な PowerShell 実行
• 権限昇格
• 不正な外部通信
• ランサムウェアの実行

Plan 1 と Plan 2 の違い

Defender for Endpoint には Plan 1 と Plan 2 が用意されています。

Plan 1 は「攻撃を防ぐ」ための機能が中心であり、Plan 2 は Plan 1 に加え 「見つける・調べる・対応する」ための機能があります。

機能	Plan 1	Plan 2
次世代保護（Microsoft Defender Antivirus）	○	○
攻撃面の削減（ASR）、Web 保護、ネットワーク保護、デバイス制御	○	○
EDR（Endpoint Detection and Response） (攻撃の痕跡を記録・追跡する機能)	―	○
インシデント調査、デバイス タイムライン	―	○
自動調査と修復（AIR） (不審な挙動を自動調査)	―	○
Advanced Hunting (管理者が詳細ログを検索・分析)	―	○
Threat Analytics (最新の攻撃手法や流行している脅威の分析情報を確認)	―	○
Defender Vulnerability Management のコア機能 (OS やアプリの脆弱性確認)	―	○

Defender for Endpoint Plan 2 の主な機能

1. エンドポイント保護

マルウェアやランサムウェアなどの脅威からデバイスを保護します。

• Microsoft Defender Antivirus
• クラウド保護
• リアルタイム保護

などの機能を利用できます。

2. EDR（Endpoint Detection and Response）

MDE P2 の中核機能です。
端末上で発生したイベントを継続的に収集し、攻撃の痕跡を記録します。

例えば以下のような内容を確認できます。

• 実行されたプロセス (プログラム)
• 接続先 IP アドレス
• ファイル変更履歴
• ユーザー操作

攻撃発生時には時系列での調査ができます。

3. 自動調査・修復

自動調査と修復（AIR）は、アラートに関連するファイル、プロセス、レジストリ キー、サービスなどを調査し、設定された自動化レベルに応じて修復アクションを提案または実行します。

例えば、悪意のあるファイルの隔離や削除などの修復アクションを支援します。

なお、デバイスの隔離、ライブ応答、ファイルの収集といった対応アクションは、インシデントの影響度を確認したうえで、担当者がポータルから実行する運用が一般的です。

4. 脆弱性管理

Plan 2 では、Microsoft Defender Vulnerability Management のコア機能を利用して、OS やソフトウェアの脆弱性、露出状況、セキュリティ推奨事項を確認できます。

一部の高度な脆弱性管理機能は、追加ライセンスが必要になる場合があります。必要な機能範囲は、導入前に最新のライセンス条件で確認してください。

それでは、実際の基本設定についてみていきましょう。

基本設定手順

Step 1. ライセンス確認

以下いずれかのライセンスが割り当てられていることを、Microsoft 365 管理センター (https://admin.microsoft.com) で確認します。

• Microsoft Defender for Endpoint Plan 2
• Microsoft 365 E5
• Microsoft 365 E5 Security

ライセンスは、保護対象となるユーザーまたはデバイスに適切に割り当てる必要があります。共有端末、サーバー、教育・政府向け SKU、Microsoft Defender for Cloud 経由で保護するサーバーなどでは条件が異なる場合があります。

今回は Microsoft 365 E5 にて設定を行っていきます。

Step 2. Defender ポータルへアクセス

本手順を実施するアカウントには、少なくとも Microsoft Defender 管理ポータルへアクセスできる Microsoft Entra ID のアカウントが必要です (グローバル管理者、セキュリティ管理者)。

※Defender 管理ポータルの操作には、必要な Microsoft Entra ID ロールおよび Defender のロールベース アクセス制御（RBAC）権限が必要です。初期設定ではセキュリティ管理者やグローバル管理者が利用されることがありますが、日常運用では最小権限の原則に基づき、必要なロールを割り当ててください。

今回はグローバル管理者でサインインします。

2-1. Web ブラウザーで、次の URL にアクセスします。
https://security.microsoft.com/

2-2. Microsoft Defender ポータルのホーム画面が表示されることを確認します。トップ画面では、アクティブ インシデント、アラート数、保護デバイス数、脅威の状況などを確認できます。

2-3. サインイン後、左側のナビゲーションには、環境や権限に応じて、例えば次のようなメニューが表示されます。

• インシデントとアラート
• ハンティング
• エンドポイント
• 脆弱性管理
• 資産
• システム
• 設定

2-4. Microsoft Defender for Endpoint の設定では、主に [エンドポイント] を使用します。また、オンボード済み端末や検知状況の確認では、[資産]、[インシデントとアラート]、[脆弱性管理] などを使用します。

Step 3. デバイスのオンボーディング

Microsoft Defender for Endpoint を利用するには、管理対象のデバイスをサービスへオンボーディングする必要があります。
オンボーディングとは、デバイスを Microsoft Defender for Endpoint の管理対象として登録し、セキュリティ情報を収集できる状態にする作業です。

本記事では、一般的な Windows クライアント デバイスを例に、オンボーディング手順をご紹介します。
Windows クライアント デバイスのオンボーディング方法には、主に次の 2 つがあります。

• Defender 展開ツールを利用して個別にオンボーディングする方法
• Microsoft Intune を利用して一元的にオンボーディングする方法

まずは、Defender 展開ツールを利用してデバイスごとにオンボーディングする方法から見ていきます。

3-1. 展開ツールを使用して、端末ごとにオンボーディングを実行する方法

3-1-1. ポータルのナビゲーションから、[システム] > [設定] から [エンドポイント]を選択します。

3-1-2. その後の画面から [デバイス管理] セクションの [オンボーディング] を選択します。

3-1-3. 展開を開始するオペレーティング システムの選択から対象の OS を選択し、デバイスの登録方法を選択します。今回はWindows デバイスを登録するため、Windows を選択します。

3-1-4. 一覧から Defender 展開ツールの [オンボード] ボタンを選択します。

3-1-5. 展開ツールの名前と有効期限を指定し、[生成] ボタンを選択します。

端末でのツール実行時に必要となる展開ツール用のキーが表示されます。
※この画面でこのキーを必ずキーをコピーして保管してください。画面を閉じると再表示できません。
展開ツール用のキーはオンボーディングに使用する重要な情報です。チャット、メール、共有フォルダーなどへの平文保存は避けましょう。

3-1-6. キーがコピー出来たら [展開ツールのダウンロード] ボタンを選択し、ツールをダウンロードします。.zip と .exe が選択できますが、今回は .exe をダウンロードします。

3-1-7. Windows デバイス (クライアント) 側で展開ツールを実行してみます。
今回は展開ツールをローカル環境で実行します。展開ツールの実行には、管理者特権が必要なため、ローカルの管理者 (Administrators) 権限を持ったユーザーで実行してください。
また、インターネット接続が必要ですのでご注意ください。

3-1-8. 展開ツールが起動します。[続行] を選択します。

3-1-9. 先ほど保存した展開ツールのキーを入力します。
正しいキーを入力した場合は [有効] と表示されます。
[続行] ボタンを選択します。

3-1-10. オンボーディングが開始されます。

3-1-11. オンボーディングが完了すると、以下のような画面となります。

展開ツールによるオンボーディングは、以上です。

参考：Windows デバイス (クライアント) 側で Microsoft Defender for Endpoint の関連サービスの動作確認

[Windows] キー + [R] キーで [ファイル名を指定して実行] ダイアログを表示します。
[ファイル名を指定して実行] ダイアログの [名前:] に Services.msc と入力し、OK を選択します。
サービスの管理コンソールが表示されます。サービス一覧から、Windows Defender Advanced Threat Protection Service が実行中となっていれば、関連サービスが動作していることになります。

次に、オンボーディングのもう一つの方法である、Microsoft Intune を利用したオンボーディングの操作を行ってみましょう。
こちらは前述の「展開ツール」 のように一台ずつ手作業で実行する必要がありませんので、Microsoft Intune をご利用の場合はこちらの方法を利用されるとよいでしょう。

3-2. Intune を利用したオンボーディング

3-2-1. Microsoft 365 Defender ポータル (https://security.microsoft.com/) にアクセスします。

3-2-2. 左のナビゲーションから、[システム] > [設定] > [エンドポイント] を選択します。

3-2-3. [オプション機能] の [Microsoft Intune 接続] をオンに設定します。[ユーザー設定の保存] を選択します。

3-2-4. Microsoft Intune 管理センター (https://intune.microsoft.com) へアクセスします。

3-2-5. [エンドポイント セキュリティ] > [Microsoft Defender for Endpoint] を選択し、下記の機能を [オン] に設定し、[保存] を選択します。

• Microsoft Defender for Endpoint によるエンドポイント セキュリティの構成の実施を許可する (プレビュー)
  • Intune で管理はしていないが、Microsoft Defender for Endpoint にはオンボードしているデバイスのセキュリティ設定を Intune で一元管理します。
• コンプライアンス ポリシーの評価
  • Microsoft Defender for Endpoint をオンボードしたいデバイスを [オン] に設定します。Microsoft Defender for Endpoint の脅威検知データ (リスクスコア) を、Microsoft Intune のデバイス コンプライアンス評価に反映させることができます。
  • この手順では、[バージョン 10.0.15063 以上の Windows デバイスを Microsoft Defender for Endpoint に接続します] を有効にしています。

3-2-6. Microsoft Intune 管理センターから、[エンドポイント セキュリティ] > [エンドポイントでの検出と対応] > [ポリシーの作成] を選択します。

3-2-7. [プラットフォーム] を [Windows] (または [Windows 10 以降])、[プロファイル] は [エンドポイントの検出と応答] を選択し、[作成] を選択します。

3-2-8. 任意のポリシー名を入力し、[次へ] を選択します。

3-2-9. 構成設定画面で下記のように設定し、[次へ] を選択します。

• [Microsoft Defender for Endpoint client configuration package type] (または [Microsoft Defender for Endpoint クライアント構成パッケージの種類]) を [Onboard] (または [オンボード]) に設定。
• [Sample Sharing] (または [サンプル共有]) を [All (既定)] (または [すべて (既定)] に設定
• [[Deprecated] Telemetry Reporting Frequency] (または [[非推奨] テレメトリの報告頻度]) を [Normal (既定)] (または [通常 (既定)]) を選択します。

3-2-10. 今回、[スコープ タグ] の設定は既定値のまま [次へ] を選択します。

3-2-11. [Assignments] (または [割り当て]) 画面で、必要に応じてグループの選択を行い、[次へ] を選択します。

3-2-12. 設定内容を確認して [Create] (または [保存]) を選択します。

3-2-13. [エンドポイントでの検出と対応] 画面にて、作成したポリシーが存在することを確認します。

以上で、Intune でのオンボーディング設定は完了です。

Step 4. デバイス登録確認

オンボーディングしたデバイスが正しく登録されているかを確認してみましょう。

4-1. Microsoft Defender 管理ポータル (https://security.microsoft.com) にアクセスします。

4-2. 左ナビゲーションから、[アセット] > [デバイス] を選択します。
オンボード済みのデバイス一覧が表示され、以下の情報を確認できます。

• デバイス名
• OS
• リスクレベル
• 公開状態
• 最終アクティブ日時

4-3. デバイスを選択すると詳細情報を確認できます。

EDR 機能の体験

続いて、Microsoft Defender for Endpoint Plan 2 の中核機能である EDR（Endpoint Detection and Response）を確認してみましょう。

ここでは、Microsoft が提供するデモンストレーション シナリオを利用してアラートを生成し、Defender ポータル上でどのように検知・可視化されるかを確認します。

※本手順は、Microsoft Defender for Endpoint にオンボード済みの Windows デバイスで実施してください。

Step 1. EDR を試すための前準備

1-1. Windows デバイス側で、[Windows] キー + [R] キーを押します。

1-2. [ファイル名を指定して実行] ダイアログが表示されますので、[名前: ] に cmd と入力して [OK] を選択します。
コマンド プロンプトが起動します。

1-3. コマンドプロンプトで、以下のコマンドを入力します。

powershell.exe -NoExit -ExecutionPolicy Bypass -WindowStyle Hidden $ErrorActionPreference='silentlycontinue';(New-Object System.Net.WebClient).DownloadFile('http://127.0.0.1/1.exe', 'C:\test-WDATP-test\invoice.exe');Start-Process 'C:\test-WDATP-test\invoice.exe'

※コマンドをコピーして実行する際は、途中で改行が入らないようご注意ください。

実行後、アラートが生成されるまで数分待ちます。

参考：Microsoft では、Microsoft Defender for Endpoint をテストやデモンストレーションをテストするための、サンプルや疑わしいリンクを公開しています。これらはMicrosoft がテスト目的で提供しているもので、実際のマルウェアをダウンロードするものではありません。
ただし、PowerShell の実行やテスト用アラートの生成を伴うため、本番端末ではなく、検証用に用意したオンボード済み端末で実施してください。

Microsoft Defender for Endpoint – デモンストレーション シナリオ (機械翻訳)

Step 2. Microsoft Defender 管理ポータルで確認

Step 1. で行った操作が検出されているかを確認してみましょう。

2-1. Microsoft Defender 管理ポータル (https://security.microsoft.com) にアクセスします。

2-2. 左メニューから [インシデント] を選択します。”Step 1.” で実施した疑似マルウェア検出のインシデントが表示されています。インシデント名を選択します。

2-3. インシデント名を選択すると、インシデントの詳細画面に遷移します。どのユーザーのどのデバイスで、どのような攻撃が行われたのか追跡が行えます。

その他の機能・操作

最後に、Microsoft Defender for Endpoint のその他の機能について簡単にお伝えしていきます。 以下では、代表的な機能を簡単にご紹介します。

Step 1. セキュリティ推奨事項を確認する

Microsoft Defender 管理ポータルの左ナビゲーションから[露出管理] > [おすすめ候補] を選択します。
端末に対する推奨事項や未対応の脆弱性が一覧表示されます。

優先度順に確認することで、効率的なセキュリティ強化を行えます。

Step 2. インシデントを確認する

Microsoft Defender 管理ポータルの左ナビゲーションから[調査と対応] > [インシデントとアラート] >[アラート] を選択します。
発生したアラートを確認できます。
アラート名を選択すると、以下のような情報を確認できます。

• 発生したアラート
• 影響端末
• 関連ユーザー
• 発生したプロセス (プログラム)

Step 3. Advanced Hunting (高度な追跡調査) を実行する

Microsoft Defender 管理ポータルの左ナビゲーションから[調査と対応] > [追求] > [高度な追求] を選択します。
以下のサンプル クエリ (KQL) を実行してみます。

DeviceInfo
| take 10

正常に実行されると、環境内のデバイス情報が表示されます。

Advanced Hunting は Defender for Endpoint Plan 2 の代表的な機能の一つであり、インシデント調査や脅威分析に活用できます。

KQL（Kusto Query Language）を使用して、エンドポイント、ID、メールなどのデータを横断的に検索・分析できます。

クエリに利用する KQL については、下記の技術文書をご覧ください。
参考：高度な捜索のクエリ言語について学習する

このように、Microsoft Defender for Endpoint Plan 2 では、アラートの検知だけでなく、関連するデバイスやユーザー、実行プロセス、攻撃の流れを一元的に確認できます。これにより、インシデント発生時の初動対応や影響範囲の調査を効率化できます。

まとめ

Microsoft Defender for Endpoint Plan 2 は、単なるアンチウイルス製品ではありません。

次世代保護に加え、EDR による脅威検知と調査、自動調査と修復、脆弱性の可視化、Advanced Hunting などを提供し、侵害の予防から検知、調査、対応までを支援するエンドポイント セキュリティ ソリューションです。

とくに、ランサムウェア対策、インシデント対応の迅速化、ゼロトラストの推進を検討する組織にとって、有力な選択肢となります。

2026年セキュリティ脅威・SCSへの対応提案ガイドを公開中