MENU
日程Fit｜「いつ空いてますか？」の往復はもう不要。候補日を選んでURLを送るだけ｜登録不要｜今すぐ無料で使う →

Microsoft Defender for EndpointのStreamlined Connectivityとは？影響範囲と管理者対応

Windows Defender

Microsoft Defender for Endpointの「Streamlined Connectivity」は、端末の保護機能を入れ替える更新ではなく、オンボーディング時に使用するクラウド接続先を簡素化する仕組みです。

結論からいうと、既存のStandard接続端末を直ちに再オンボードする必要はありません。一方で、商用環境では*.endpoint.security.microsoft.comへの通信を許可し、TLSインスペクションやユーザー認証付きプロキシが介在していないか確認する必要があります。Microsoftは既存URLを廃止する予定はないとしていますが、Standard接続を継続する端末を含め、新しい統合ドメインへの到達性を確保するよう案内しています。(Microsoft Learn)

2026年7月8日時点の公式情報を基に、保護対象、対応OS、管理者設定、監査・検知への影響、移行の優先順位を整理します。

日程Fit。無料・登録不要。「いつ空いてる？」を、ひとつのリンクで。リンクを送って、○△×でかんたん日程調整。無料で日程を作る。
目次

Microsoft Defender for EndpointのStreamlined Connectivityとは

Streamlined Connectivityは、Microsoft Defender for Endpointが利用する複数の接続先を、主に1つのワイルドカードドメインへ集約する接続方式です。

日本企業の一般的な商用テナントでは、次のドメインを使用します。

*.endpoint.security.microsoft.com

米国政府クラウドでは*.endpoint.security.microsoft.usが使用されますが、公式情報ではプレビューとして案内されています。(Microsoft Learn)

StandardとStreamlinedの違いを整理すると、次のようになります。

比較項目StandardStreamlined
主な接続先サービスごとに複数のURLを許可統合ドメインまたは専用IP範囲を使用
Defenderの保護機能従来どおりStandardと同じ
新規端末の導入Standard用パッケージを使用Streamlined用パッケージを使用
既存端末への反映そのまま継続可能再オンボードと再起動などが必要
自動移行なし既存端末は自動で切り替わらない
旧URLの扱い引き続き利用可能移行完了後に段階的な整理が可能

Streamlined Connectivityによって変わるのは、基本的に通信先のURLやIPアドレスです。Defender for Endpointの機能やエンドユーザーの操作体験が変わるわけではありません。(Microsoft Learn)

統合ドメインに集約されるサービス

*.endpoint.security.microsoft.comには、次の主要サービスが集約されます。(Microsoft Learn)

サービス主な役割通信できない場合に想定される影響
クラウド提供の保護クラウド側の保護機能との通信クラウドを利用した判定や保護が十分に機能しない可能性
マルウェアサンプル送信ストレージ不審ファイルのサンプル送信詳細なクラウド分析に必要なサンプルを送信できない可能性
Auto-IRサンプルストレージ自動調査・修復で使用するサンプルの処理自動調査・修復の一部処理に影響する可能性
Defender for Endpointのコマンド＆コントロール端末とクラウド間の制御通信応答操作や状態確認が遅延・失敗する可能性
サイバーおよび診断データEDRテレメトリや診断情報の送信デバイスのタイムラインや調査データが欠落・遅延する可能性

重要なのは、すべてのMicrosoft関連通信が統合ドメインだけで完結するわけではない点です。

証明書失効リスト、Windows Update、Microsoft Defender SmartScreenなどは、環境や構成に応じて別の接続先が必要です。統合ドメインを許可した直後に既存の許可URLをすべて削除すると、一部機能だけ通信できなくなるおそれがあります。(Microsoft Learn)

影響を受けるライセンスと端末

公式ページでは、Streamlined Connectivityの対象として次のサービスが挙げられています。(Microsoft Learn)

  • Microsoft Defender for Endpoint Plan 1
  • Microsoft Defender for Endpoint Plan 2
  • Microsoft Defender for Business
  • Microsoft Defender Vulnerability Management

対応OSと例外

すべてのDefender for Endpoint端末を同じ方法で移行できるわけではありません。特に古いWindowsとMicrosoft Monitoring Agentを使用しているサーバーは、事前の分類が必要です。(Microsoft Learn)

端末・OSStreamlined対応管理者が確認すべき点
Windows 11対応センサー、Defender Antivirus、Windows Updateの適用状況を確認
Windows 10 バージョン1809以降対応必要な更新プログラムとコンポーネント要件を確認
Windows Server 2019以降対応サーバー用オンボーディングパッケージを使用
Windows Server 2012 R2／2016条件付き対応Defender for Endpointのモダン統合ソリューションが必要
macOS対応サポート対象OSとMDE製品バージョンを確認
Linux対応サポート対象ディストリビューションとMDE製品バージョンを確認
Azure Stack HCI OS 23H2以降対応ネットワーク経路と更新状態を確認
Windows 10 バージョン1607～1803制限あり長いURLリストが必要。既存端末は再オンボードではなく、いったんオフボードが必要
MMAを使用する旧OS・サーバー非対応StandardまたはMMA用の接続方式を継続

Windows Server 2012 R2やWindows Server 2016を運用している場合、「OS名だけを見て対応」と判断してはいけません。MMAのままなのか、モダン統合エージェントへ移行済みなのかによって対応が分かれます。

Windows端末の最低コンポーネント要件

公式情報では、Windows端末について次の最低要件が示されています。(Microsoft Learn)

コンポーネント最低要件
SENSE10.8040.*、または2022年3月8日以降の対応更新
Antimalware Client4.18.2211.5
エンジン1.1.19900.2
セキュリティインテリジェンス1.391.345.0

これらはあくまでStreamlined Connectivityを利用するための技術的な最低ラインです。実運用では、サポート期間内のOSを使用し、月例更新やDefenderコンポーネントを最新状態に保つことが前提になります。

管理者が確認すべきネットワーク設定

統合ドメインを全対象端末から到達可能にする

最優先で確認したいのは、次のドメインにTCP 443で接続できることです。

*.endpoint.security.microsoft.com

Microsoftは、Standard接続を継続する場合でも、現在および将来の機能のために、この統合ドメインへ到達できる状態を求めています。既存端末をすぐに移行しない場合でも、ファイアウォールやプロキシの許可リスト確認は必要です。(Microsoft Learn)

TLSインスペクションをバイパスする

Defender for Endpointのサービス接続ではTLSと証明書ピンニングが使用されるため、通信内容を復号するHTTPSインスペクションはサポートされません。

また、接続はユーザーではなく端末から開始されます。プロキシでユーザー認証を必須にすると、サインイン前の端末やサービスアカウントで動作する通信が失敗する可能性があります。(Microsoft Learn)

ネットワーク担当者には、単に「Microsoftのドメインを許可する」と依頼するのではなく、次の条件をまとめて伝えることが重要です。

  • TCP 443の送信通信を許可する
  • TLS／HTTPSインスペクションの対象外にする
  • ユーザー認証付きプロキシを経由させない
  • DNSでワイルドカード配下のホスト名を解決できるようにする
  • 拠点、VPN、リモートアクセス、クラウドプロキシなど経路ごとに確認する

ワイルドカードを使えない場合はIP方式を検討する

ネットワーク製品がワイルドカードドメインに対応していない場合は、Defender for Endpoint専用の静的IP範囲やAzureサービス タグを利用できます。

主に使用するサービス タグは次の2つです。(Microsoft Learn)

サービス タグ対象
MicrosoftDefenderForEndpointクラウド保護、サンプル送信、Auto-IR、コマンド＆コントロール
OneDsCollectorDefender for Endpointのサイバーおよび診断データ

IP方式では、EDRのサイバーおよび診断データを扱うOneDsCollectorを別途許可しなければなりません。

また、OneDsCollectorの通信はDefender for Endpointだけに限定されず、他のMicrosoftサービスの診断データを含む場合があります。許可範囲を厳密に管理している組織では、セキュリティ部門とネットワーク部門で影響を確認してから採用してください。(Microsoft Learn)

静的IPを設定ファイルへ直接書き続けるより、更新されるサービス タグを基準にルールを管理する方が、将来のIP変更へ対応しやすくなります。

対応要否を判断する基準

既存端末を一斉に移行する必要はありません。自社の状態を次の表に当てはめて、優先順位を決めます。

現在の状況対応優先度推奨する対応
新しい端末を近くオンボードする高ネットワークを検証し、Streamlinedパッケージの利用を検討
*.endpoint.security.microsoft.comを遮断している最優先Standard継続の端末を含めて許可ルールを追加
TLSインスペクションを適用している最優先Defender関連通信を復号対象から除外
ユーザー認証付きプロキシのみ許可している最優先端末・サービス通信が認証なしで到達できる経路を用意
Standard接続で問題なく稼働している中統合ドメインを許可し、計画的にパイロット移行
URL許可リストの保守負担が大きい中～高Streamlinedへの移行効果が高い
MMA端末が残っている中すぐにStreamlinedへ移行せず、統合エージェントへの移行計画を作成
ワイルドカードドメインを許可できない高IP範囲とサービス タグ方式を設計
閉域網や厳格なプロキシ環境で運用している高本番展開前に拠点・経路別の接続試験を実施

既存のStandard接続端末は自動ではStreamlinedへ切り替わりません。また、旧URLの廃止予定も示されていないため、「通知を受けたら全端末を緊急再オンボードする」という判断は適切ではありません。(Microsoft Learn)

Streamlined Connectivityへ移行する手順

現在の接続方式を棚卸しする

Microsoft DefenderポータルのAdvanced Huntingでは、DeviceInfoテーブルのConnectivityType列から接続方式を確認できます。

次のクエリを使うと、デバイスごとの最新状態を一覧化できます。

DeviceInfo
| summarize arg_max(
    Timestamp,
    DeviceName,
    OSPlatform,
    OSVersion,
    ConnectivityType
  ) by DeviceId
| project
    Timestamp,
    DeviceName,
    OSPlatform,
    OSVersion,
    ConnectivityType
| order by ConnectivityType asc, DeviceName asc

ConnectivityTypeには、主に次の値が表示されます。

値意味
StreamlinedStreamlined方式でEDRのコマンド＆コントロール通信に成功
StandardStandard方式で接続
空欄再オンボードを試行していない端末など

空欄は必ずしも異常を意味しません。また、Streamlinedパッケージを配布しただけでは移行完了とは判断できません。EDRのコマンド＆コントロールチャネルへ正常に接続した後、Streamlinedとして記録されます。(Microsoft Learn)

ネットワークを先に変更する

オンボーディングパッケージを配布する前に、統合ドメイン、残存する必須サービス、プロキシ、TLSインスペクションの設定を変更します。

順序を逆にすると、再オンボード直後に端末がクラウドへ接続できなくなる可能性があります。

代表端末でパイロット展開する

最初から全端末へ配布せず、次の条件を含む小規模なテストグループを作成します。

  • Windowsクライアント
  • Windows Server
  • macOSまたはLinux
  • 本社ネットワーク
  • 拠点ネットワーク
  • VPNや在宅勤務環境
  • 認証プロキシやクラウドプロキシを経由する端末
  • VDIや非永続端末

各OS・各通信経路から2～5台程度を選ぶと、問題の切り分けがしやすくなります。

既存のオンボーディングポリシーと新しいStreamlinedポリシーを同じ端末へ重複適用しないよう、テスト端末を従来ポリシーの割り当て対象から除外してください。Microsoftも、小規模な端末から検証し、既存ポリシーとの競合を避けながら段階展開することを推奨しています。(Microsoft Learn)

Streamlined用パッケージを取得する

Microsoft Defenderポータルで、次の順に移動します。

System
  > Settings
  > Endpoints
  > Device management
  > Onboarding

対象OSを選択し、Connectivity typeでStreamlinedを指定して、利用する展開方法に対応したオンボーディングパッケージを取得します。(Microsoft Learn)

Intune、グループポリシー、Microsoft Configuration Manager、ローカルスクリプトなど、現在の管理方式に合わせてパッケージを展開します。

再起動またはサービス再起動を実施する

既存端末をStreamlined方式へ切り替える場合、OSごとに次の処理が必要です。(Microsoft Learn)

OS移行後の処理
Windows端末を再起動
macOS端末を再起動、またはDefender for Endpointサービスを再起動
Linuxsudo systemctl restart mdatpを実行

Windows 10 バージョン1607、1703、1709、1803は通常の再オンボードに対応しません。これらの端末を移行する場合は、完全にオフボードしてからStreamlinedパッケージでオンボードする必要があります。(Microsoft Learn)

移行後の監査・検知を確認する方法

Streamlined Connectivityそのものは、Defender for Endpointの検知ルールや保護機能を変更するものではありません。正常に通信できていれば、機能やエンドユーザー体験は従来と同じです。(Microsoft Learn)

ただし、ネットワーク設定を誤ると、EDRテレメトリ、クラウド保護、サンプル送信、応答コマンド、自動調査などに影響する可能性があります。そのため、単にポリシーの配布成功だけを見るのではなく、実際の通信とデータフローを確認する必要があります。

MDE Client Analyzerで事前確認する

未オンボード端末でStreamlined方式をテストする場合は、Streamlined用オンボーディングパッケージの情報を読み込ませて実行します。

mdeclientanalyzer.cmd -o <path-to-onboarding-cmd>

未オンボード端末で通常どおりClient Analyzerを実行すると、Standard方式のURLセットがテストされます。Streamlined方式を検証するには、-oまたはテナント地域を指定する-gオプションが必要です。日本の管理者が地域指定を誤るリスクを避けるには、オンボーディングパッケージを読み込む-oの使用が分かりやすい方法です。(Microsoft Learn)

Advanced Huntingで実際の接続方式を確認する

パイロット端末のConnectivityTypeがStreamlinedへ変化していることを確認します。

ポリシーを配布済みでも、Standardのまま、または空欄の場合は、再起動、ポリシー競合、プロキシ、ファイアウォール、コンポーネント要件を確認してください。

Windowsイベントログを確認する

Windowsでは、次のログを確認します。

Applications and Services Logs
  > Microsoft
  > Windows
  > SENSE
  > Operational

SENSEのイベントID 4は、Defender for Endpointのコマンド＆コントロールチャネルへの正常な接続を記録します。メッセージ内の接続先にendpoint.security.microsoft.comが含まれているか確認してください。

イベントID 5には、該当する接続エラーが記録されます。(Microsoft Learn)

ポータル上のデータフローを確認する

移行後は、少なくとも次の項目を確認します。

  • デバイスがDevice Inventoryに継続して表示されている
  • 移行前後でDevice IDが変わっていない
  • デバイスのTimelineへ新しいイベントが届いている
  • Microsoftの検知テストが成功する
  • Live Responseへ接続できる
  • 自動調査・修復を利用する環境では関連機能が動作する
  • クラウド提供の保護が正常に通信できる

Microsoftも、Device Inventory、Timeline、Live Response、自動調査・修復、クラウド保護などを使った移行後の確認を案内しています。(Microsoft Learn)

失敗しやすいポイント

統合ドメイン以外のURLをすぐに削除する

Streamlined方式でも、SmartScreen、証明書失効リスト、Windows Updateなどの接続先が別途必要になる場合があります。

旧URLを削除するのは、全対象端末の移行と機能検証が完了してからにしてください。

Advanced Featuresを有効にすれば既存端末も移行すると考える

IntuneやMicrosoft Defender for Cloud向けのStreamlined設定を有効にしても、既存端末が自動で再オンボードされるわけではありません。

既存端末には、新しいオンボーディングポリシーやスクリプトの適用が必要です。(Microsoft Learn)

パッケージを配布した時点で移行成功と判断する

ポリシーの配布成功は、クラウド接続の成功を保証しません。

ConnectivityType、Client Analyzer、SENSEイベント、ポータルのTimelineまで確認して、初めて移行完了と判断します。

StandardとStreamlinedのポリシーを重複させる

同じ端末に複数のオンボーディングポリシーを割り当てると、設定の競合や結果の判定ミスにつながります。

パイロット端末は従来ポリシーから除外し、どのパッケージが適用されているか追跡できる状態にします。(Microsoft Learn)

TLSインスペクションの除外を忘れる

URLが許可されていても、途中でTLS通信を復号して再暗号化すると、証明書ピンニングの検証に失敗する可能性があります。

ファイアウォールの許可ログだけでなく、プロキシやSecure Web Gatewayの復号設定も確認してください。

MMA端末を一括移行の対象に含める

Windows Server 2012 R2やWindows Server 2016では、モダン統合ソリューションへ移行済みの端末と、MMAを使用している端末が混在しやすくなります。

OSバージョンだけではなく、エージェント方式を棚卸ししてから移行対象を決定してください。(Microsoft Learn)

管理者が優先すべき対応

今回の情報に対して、管理者が優先すべき作業は次の順番です。

優先順位対応
最優先*.endpoint.security.microsoft.comへの到達性を確認する
最優先TLSインスペクションとユーザー認証付きプロキシの除外を確認する
高Advanced Huntingで現在のConnectivityTypeを棚卸しする
高MMA、古いWindows、統合エージェント利用端末を分類する
中各OS・各ネットワーク経路からパイロット端末を選ぶ
中Streamlined用パッケージを小規模展開する
中Client Analyzer、イベントログ、Timeline、検知テストで検証する
低～中全端末の検証後、不要になった旧URLルールを段階的に整理する

既存のStandard端末が正常に動作している場合、緊急の全台移行は不要です。まず統合ドメインへの通信とTLSインスペクション除外を確認し、接続方式を棚卸ししてください。

その後、代表端末でStreamlined Connectivityを検証し、ConnectivityTypeと実際のテレメトリを確認しながら段階的に展開するのが、安全性と運用効率を両立できる進め方です。

Windows Defender
Microsoft Defender for Endpoint セキュリティ運用 オンボーディング Streamlined Connectivity

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次