業務で使っているファイルがMicrosoft Defender for Endpointにマルウェアとして検知された場合、リアルタイム保護を停止したり、フォルダー全体を除外したりする必要はありません。
まず検知内容とファイルの用途を記録し、Defenderポータルの統合された提出機能から、ファイル本体またはファイルハッシュをMicrosoftへ提出します。正当な業務ファイルであると判断している場合は、提出時の区分に「Clean（false positive）」を選び、誤検知の可能性があるファイルとして審査を依頼できます。
この機能を利用するには、Microsoft Defender XDRまたはMicrosoft Defender for Endpoint Plan 2を含む契約と、提出または閲覧に必要な権限が必要です。([Microsoft Learn][1])
Defenderの誤検知は保護を止めずに調査する
正規の業務ファイルがマルウェアとして検知される現象を、一般に「誤検知」または「false positive」と呼びます。
ただし、ファイル名や入手元が正規に見えるだけでは、安全とは判断できません。正規ソフトウェアに見せかけたファイルや、正規ファイルが改変されている可能性もあるためです。
そのため、次の順序で対応します。
- 検知内容と業務影響を記録する
- ファイルを実行せず、安全な状態を維持する
- ファイルまたはハッシュをMicrosoftへ提出する
- 提出結果を確認する
- 組織として安全性を確認した後、復元や許可を判断する
Microsoftも、除外設定や許可インジケーターは保護範囲に空白を作る可能性があるため、原因を確認してから使用するよう案内しています。誤検知が疑われる場合は、Microsoftへの分析依頼を先に検討するのが基本です。([Microsoft Learn][2])
提出前に記録しておく情報
Microsoftへ提出する前に、最低限の状況を記録しておきます。提出時の説明だけでなく、社内のインシデント管理や利用再開の判断にも役立ちます。
| 記録項目 | 確認する内容 |
|---|---|
| 検知名 | Defenderに表示された脅威名やアラート名 |
| ファイル名 | 拡張子を含む正確なファイル名 |
| 保存場所 | 端末内のパス、共有フォルダー、ダウンロード元など |
| 入手元 | 開発元、取引先、社内システム、メール添付など |
| 業務上の用途 | どの業務で、誰が、何のために使用するか |
| 対象端末 | デバイス名、利用者、所属部署 |
| 発生日時 | 最初に検知された日時 |
| 検知後の処理 | 隔離、削除、プロセス停止などの実施状況 |
| バージョン情報 | 製品名、ファイルのバージョン、配布日など |
| ハッシュ値 | 確認できる場合はSHA-256などの値 |
特に重要なのは、「正規の入手経路」と「業務上必要な理由」を説明できることです。
「以前から使っている」「利用者が安全だと言っている」だけでは、誤検知と判断する根拠として不十分です。提供元の公式サイト、社内の配布システム、ソフトウェアベンダーからの案内など、第三者が確認できる情報を残します。
安全性が確定するまで避ける操作
調査中は、次の操作を避けます。
- ファイルを再実行する
- 隔離から復元してすぐに利用する
- リアルタイム保護を停止する
- 検知されたフォルダー全体を除外する
- 同じファイルを複数端末へ配布する
- 拡張子単位で広範囲な除外を設定する
- 安全性を確認せず、利用者へ再ダウンロードを指示する
Microsoft Defenderの除外設定は、指定したファイルやフォルダーなどに対する保護を弱めます。Microsoftのドキュメントでも、除外を作成する前に検知内容や修復処理を確認し、必要に応じてファイルを分析へ提出する流れが示されています。([Microsoft Learn][3])
ファイル提出とファイルハッシュ提出の違い
Defenderポータルでは、提出方法として「Files」と「File hash」を選択できます。
| 提出方法 | 提出するもの | 適している場面 | 主な注意点 |
|---|---|---|---|
| Files | ファイル本体 | Microsoftへファイルを提供して調査を依頼できる場合 | 機密情報や個人情報を含む場合は、組織内の承認が必要 |
| File hash | ファイルを識別するハッシュ値 | ファイル本体を直接選択せず、対象ファイルをハッシュで指定したい場合 | ハッシュ値の取り違えに注意する |
Filesを選ぶ場合
「Files」では、対象となるファイルを選択して提出します。
Microsoftの案内では、1回の提出で選択できるファイルの合計サイズは最大500MBです。また、アーカイブファイルを暗号化する場合は、パスワードとしてinfectedを使用するよう示されています。([Microsoft Learn][1])
ファイル本体を提出する前に、次の点を確認してください。
- 顧客情報や職員情報が含まれていないか
- パスワード、秘密鍵、接続情報が含まれていないか
- 契約上、外部サービスへの提供が制限されていないか
- 組織の情報セキュリティ規程上、承認が必要ではないか
- Microsoftへ共有する範囲を担当部署が理解しているか
業務システムのデータファイルや、個人情報を内包した文書そのものが検知された場合は、担当者だけで提出を判断せず、情報セキュリティ担当者やシステム管理者へ確認します。
File hashを選ぶ場合
「File hash」では、ファイル本体を選択する代わりに、対象ファイルのハッシュ値を入力します。
複数のハッシュを入力する場合は、1件入力するごとにEnterキーを押します。誤ったファイルのハッシュを送信しないよう、ファイル名、保存場所、更新日時を照合してから登録してください。([Microsoft Learn][1])
ハッシュ提出を選んだ場合も、備考欄には次の情報を記載すると状況が伝わりやすくなります。
- ファイルの正式名称
- 開発元または提供元
- 製品やシステムのバージョン
- 検知名
- 業務上の用途
- 検知された端末数
- 同一ファイルを使用している他端末の有無
統合された提出機能の利用条件
Defenderポータルの統合された提出機能は、対応する契約と権限を持つ管理者向けの機能です。
Microsoftの案内では、Microsoft Defender XDRまたはMicrosoft Defender for Endpoint Plan 2を含むサブスクリプションが対象とされています。([Microsoft Learn][1])
Microsoft Defender for Endpointの権限を使用している場合
| 操作 | 必要な権限 |
|---|---|
| ファイルまたはハッシュの提出 | Alerts investigation、またはManage security settings in Security Center |
| 提出内容の閲覧 | View Data – Security operations |
Microsoft Defenderの統合RBACを使用している場合
| 操作 | 必要な権限 |
|---|---|
| ファイルまたはハッシュの提出 | Alerts（Manage）、またはCore security settings（manage） |
| 提出内容の閲覧 | Security data basics（read） |
提出画面が表示されない場合は、ブラウザーの問題と決めつけず、最初に次の点を確認します。
- 対象テナントへサインインしているか
- 必要なライセンスが割り当てられているか
- 提出権限が付与されているか
- 統合RBACを使用しているか
- 閲覧権限だけで提出しようとしていないか
権限を追加した直後は、組織の運用に従ってサインイン状態や権限反映を確認してください。
Defenderポータルから誤検知を提出する手順
Submissions画面を開く
Microsoft Defenderポータルへサインインし、次の順に移動します。
Investigation & response
→ Actions & submissions
→ Submissions
「Submissions」画面を開いたら、「Files」タブを選択します。続いて「Add new submission」を選択します。([Microsoft Learn][1])
画面の表示言語やMicrosoft側の更新により、日本語表示やメニュー名が異なる場合があります。その場合は、「調査と対応」「アクションと提出」「提出」など、対応する項目を確認してください。
提出方法を選ぶ
「Submit items to Microsoft for review」の画面が開いたら、提出方法を選択します。
- ファイル本体を提出する場合：
Files - ハッシュ値を提出する場合：
File hash
Filesを選んだ場合の入力項目
「Files」を選択した場合は、次の内容を設定します。
Browse filesから対象ファイルを選択する- 「The file should have been categorized as」で判断区分を選択する
- 必要に応じて優先度を選択する
- 「Notes for Microsoft」に説明を入力する
- Microsoftと共有する内容およびプライバシーに関する表示を確認する
- 内容を確認して提出する
正当な業務ファイルが誤って検知されたと考えている場合は、判断区分として次を選びます。
Clean（false positive）
これは「すでに安全性が確定した」という結果ではありません。提出者が、どの区分であるべきと考えているかをMicrosoftへ伝える入力項目です。
ほかには、未検知のマルウェアを報告する「Malware（false negative）」や、「Unwanted software」が用意されています。([Microsoft Learn][1])
優先度の選び方
ファイル提出では、次の優先度が示されています。
| 優先度 | 用途 |
|---|---|
| Low | 一括提出など |
| Medium | 通常の提出 |
| High | 即時の注意が必要な提出 |
Microsoftの案内では、Highは1日最大3件です。優先度をHighに設定しても、特定時間内の回答や、必ず誤検知が解除されることを保証するものではありません。([Microsoft Learn][1])
通常の業務ファイルで、緊急対応の必要性を説明できない場合は、安易にHighを選ばないようにします。
File hashを選んだ場合の入力項目
「File hash」を選択した場合は、次の手順で入力します。
- ハッシュ値を入力する
- Enterキーを押して登録する
- 必要に応じて複数のハッシュを追加する
- 判断区分を選択する
- 「Notes for Microsoft」に説明を入力する
- 共有内容を確認する
Submitを選択する
誤検知として審査を依頼する場合は、ファイル提出と同じく「Clean（false positive）」を選びます。([Microsoft Learn][1])
Notesに記載する内容の例
備考欄には、「業務ファイルです。確認してください」だけでなく、正規ファイルと判断した根拠を簡潔に記載します。
以下は説明用の入力例です。
This file is used by our internal accounting application.
Product:
Example Accounting Client
Publisher:
Example Software Co., Ltd.
Version:
5.2.1
Detection name:
[Defenderに表示された検知名]
Source:
Downloaded from the vendor's official distribution page.
Business purpose:
Required for monthly accounting processing.
Affected devices:
3 managed Windows devices
We believe this is a legitimate business file and request a review as a possible false positive.日本語で記載する場合は、次のように整理できます。
社内の会計業務で使用している正規アプリケーションのファイルです。
製品名：
開発元：
バージョン：
検知名：
入手元：
業務上の用途：
影響端末数：
開発元の正規配布元から入手したファイルであり、誤検知の可能性があるため確認を依頼します。説明欄へ、顧客名、個人番号、パスワード、秘密鍵などの不要な機密情報は記載しないでください。
提出一覧から結果を確認する
提出後は、「Submissions」画面の「Files」タブに提出内容が表示されます。
詳細を確認する場合は、対象行のチェックボックス以外の部分を選択します。画面横に詳細ペインが開き、提出内容を確認できます。([Microsoft Learn][1])
ここで重要なのは、次の3段階を分けて管理することです。
| 段階 | 意味 |
|---|---|
| 提出済み | Microsoftへファイルまたはハッシュを送信した |
| 審査結果を確認 | Microsoft側の分析結果を確認した |
| 端末で利用可能 | 隔離解除、復元、許可設定などが完了した |
提出一覧に表示されたことは、ファイルが安全と確認されたことを意味しません。
また、審査結果が正当なファイルを示す内容になった場合でも、隔離済みのファイルが自動的にすべての端末へ復元されるとは限りません。検知後に行われた修復処理を確認し、必要に応じてAction centerなどで復元や取り消しを判断します。Microsoftも、誤検知の確認と、隔離などの修復アクションを元に戻す操作を別の手順として案内しています。([Microsoft Learn][3])
アラート画面から直接提出する方法
対象ファイルに関するアラートがDefenderポータルに残っている場合は、アラート画面から提出する方法もあります。
移動先は次のとおりです。
Investigation & response
→ Incidents & alerts
→ Alerts
対象アラートを開き、詳細画面のメニューから「Submit items to Microsoft for review」を選択します。
アラート画面から提出する場合は、「Include alert story」を選択し、Microsoftの調査に役立つJSONファイルを添付できる場合があります。提出された内容は、Submissions画面のFilesタブでも確認できます。([Microsoft Learn][1])
アラートとファイルの関係が明確な場合は、調査情報をまとめやすい方法です。
結果が出るまでの安全な待機方法
審査中は、業務を止めないための代替策と、端末を守るための制限を分けて考えます。
検知ファイルを実行しない
ファイルが正規の名称や署名を持っていても、調査が終わるまでは実行しません。
隔離されていないコピーが残っている場合も、利用者に開かせず、アクセス権を制限した場所で管理します。
影響端末を確認する
同じファイルが配布された端末を確認します。
- 同じ検知が発生していないか
- 同じハッシュのファイルが存在しないか
- ファイルの実行履歴がないか
- 関連するアラートが発生していないか
- 自動調査や修復が実行されていないか
特定の1台だけで発生している場合は、その端末上のファイルだけが改変されている可能性も考慮します。
業務の代替手段を用意する
調査中も業務を継続する必要がある場合は、次のような代替策を検討します。
- 組織内で安全性を確認済みの旧バージョンを使用する
- ベンダーへ別の配布ファイルを依頼する
- 対象処理だけを別システムや別手順で実施する
- 情報システム部門が確認済みの端末で代替処理する
- 処理期限や影響範囲を業務部門と共有する
「業務が止まるから保護を無効化する」のではなく、保護を維持したまま業務継続手段を用意することが重要です。
誤検知対応で避けたい失敗
| 失敗しやすい対応 | 問題点 |
|---|---|
| Defenderを組織全体で停止する | 別の脅威まで検知できなくなる |
| フォルダー全体を除外する | 同じ場所へ置かれた不正ファイルも保護対象外になる可能性がある |
.exeなどの拡張子を除外する | 影響範囲が広すぎる |
| 提出した直後に復元する | 提出完了と安全確認を混同している |
| ファイル名だけで正規品と判断する | 改変や偽装を見落とす可能性がある |
| 機密ファイルを無断で提出する | 組織の情報管理規程や契約に抵触するおそれがある |
| 別バージョンのハッシュを提出する | 実際に検知されたファイルを調査できない |
| Highを常用する | 緊急性の高い案件との区別がつかなくなる |
| 誤検知と決めつけてアラートを閉じる | 本物の侵害を見逃す可能性がある |
Microsoftは、除外設定を行うたびに保護レベルが低下すると注意を示しています。許可や除外が必要な場合でも、対象をできるだけ限定し、原因調査後に実施します。([Microsoft Learn][3])
一般家庭向けMicrosoft Defenderとの違い
この記事で扱っているのは、組織向けのMicrosoft Defender for EndpointとMicrosoft Defenderポータルです。
個人向けMicrosoft Defenderアプリや、Windowsの「Windows セキュリティ」に表示される画面とは操作手順が異なります。
次の条件に当てはまるか確認してください。
- 組織のMicrosoft Defenderポータルへサインインできる
- 管理対象端末がDefender for Endpointへオンボードされている
- 対応する契約がある
- ファイル提出または提出内容の閲覧権限がある
個人用PCで検知されたファイルを、この記事の管理者向け画面から提出できるとは限りません。
よくある疑問
Cleanを選べばすぐに検知されなくなりますか
「Clean（false positive）」は、正当なファイルとして審査してほしいという提出者側の判断区分です。
選択しただけで安全性が確定したり、検知が即時解除されたりするわけではありません。提出結果を確認し、組織として復元や許可を判断する必要があります。
提出すれば隔離ファイルは自動的に戻りますか
提出と隔離解除は別の処理です。
ファイルが隔離されている場合は、審査結果と端末上の修復履歴を確認した後、必要に応じて復元やアクションの取り消しを行います。([Microsoft Learn][3])
審査にはどのくらいかかりますか
審査時間は案件や提出内容によって異なる可能性があります。特定の時間内に結果が出ると決めつけず、業務部門には「提出済み」「審査結果確認済み」「利用再開済み」を分けて報告してください。
必ず誤検知として解除されますか
解除される保証はありません。
Microsoft側の分析で脅威と判断される可能性もあります。また、Microsoft側の判定とは別に、組織独自のインジケーター、ASRルール、アプリケーション制御などがファイルをブロックしている場合があります。
ファイルとハッシュのどちらを選ぶべきですか
ファイル本体をMicrosoftへ提供できる場合はFiles、ファイル本体の外部提出に制約がある場合やハッシュで対象を指定したい場合はFile hashを検討します。
ただし、機密性だけで機械的に決めず、組織の情報管理規程と調査に必要な情報を踏まえて判断してください。
保護を維持したまま調査を進めるための確認事項
業務ファイルがマルウェア扱いされた場合は、次の順に対応します。
- 検知名、入手元、用途、対象端末を記録する
- 安全性が確定するまでファイルを実行しない
- 全面的な保護停止や広範囲な除外を避ける
- DefenderポータルのSubmissions画面を開く
- FilesまたはFile hashを選択する
- 誤検知の可能性がある場合はClean（false positive）を選択する
- 正規ファイルと考える根拠をNotesへ記載する
- 機密ファイルの提出は組織内の承認を得る
- 提出一覧で結果を確認する
- 審査結果と端末での利用再開を別々に管理する
最初に行うべきことは、保護を止めることではありません。対象を特定し、証拠を残し、Microsoftへ提出し、結果を確認してから必要最小限の対応を行うことが、安全性と業務継続を両立させる基本です。
[1]: https://learn.microsoft.com/en-us/defender-endpoint/admin-submissions-mde “Submit files in Microsoft Defender for Endpoint – Microsoft Defender for Endpoint | Microsoft Learn”
[2]: https://learn.microsoft.com/en-us/defender-endpoint/defender-endpoint-exclusions-overview “Overview of exclusions and indicators in Microsoft Defender for Endpoint – Microsoft Defender for Endpoint | Microsoft Learn”
[3]: https://learn.microsoft.com/en-us/defender-endpoint/defender-endpoint-false-positives-negatives “Address false positives/negatives in Microsoft Defender for Endpoint – Microsoft Defender for Endpoint | Microsoft Learn”
コメント