Microsoft Defender for Endpointやグループポリシーで「管理ポリシーの変更に成功」と表示されたのに、Windows端末のウイルス対策設定が変わらない場合は、まず**改ざん防止（Tamper Protection）**の状態を確認してください。
改ざん防止が有効な端末では、リアルタイム保護やクラウド保護などの重要な設定変更が阻止されます。このとき、管理ツール側では処理が成功したように見えても、端末上の実際の設定値は変わらないことがあります。管理者権限があっても、通常動作中に自由に上書きできる仕組みではありません。([Microsoft Learn][1])
解決するときは、レジストリを強制的に書き換えるのではなく、変更対象と実値を記録し、改ざん防止の対象かを確認したうえで、必要な場合だけ公式のトラブルシューティング モードを使用します。
管理ポリシーが成功でも設定が変わらない理由
管理ツールに表示される「成功」と、端末上で有効になっている設定値は、同じものとは限りません。
実務上は、次のように分けて考えると切り分けやすくなります。
| 確認対象 | 何を表しているか |
|---|---|
| ポリシーの作成・保存 | 管理画面で設定内容を登録できたか |
| ポリシーの割り当て | 対象ユーザーや端末にポリシーを割り当てられたか |
| 管理ツールの処理結果 | 管理経路上で処理が正常に進んだか |
| 端末の実効値 | Windows端末で実際に有効になっている設定 |
| 改ざん防止の状態 | 保護対象設定の変更が許可される状態か |
たとえば、グループポリシーからリアルタイム保護を無効化する設定を配布した場合、グループポリシー側では正常に処理されたように見えることがあります。しかし、端末で改ざん防止が有効になっていれば、Microsoft Defender Antivirusが変更を阻止します。Microsoftも、改ざん防止が有効な環境では、管理ツールからの変更が成功したように見える場合があると説明しています。([Microsoft Learn][1])
つまり、成功表示だけでは設定変更の完了を証明できません。最後に端末上の実効値を確認する必要があります。
改ざん防止で保護される主な設定
Windowsで改ざん防止が有効になると、Microsoft Defender Antivirusの重要な保護機能が無効化・変更されないように制御されます。
主な保護対象は次のとおりです。
| 分類 | 保護される設定の例 |
|---|---|
| マルウェア対策 | ウイルスと脅威の防止、Microsoft Defender Antivirus |
| 常時監視 | リアルタイム保護、動作監視 |
| クラウド機能 | クラウド提供の保護 |
| 更新 | セキュリティ インテリジェンスの更新 |
| 検出後の処理 | 検出された脅威に対する自動処理 |
| スキャン | アーカイブファイルのスキャン |
| 通知 | Windows セキュリティに表示される通知 |
| 除外 | 条件を満たす組織管理環境での除外設定 |
| レジストリ | Defender Antivirus設定に対するレジストリ変更 |
すべてのDefender設定が同じように保護されるわけではありません。また、除外設定の保護には、対応するプラットフォーム、端末の管理状態、中央管理された除外設定などの条件があります。([Microsoft Learn][1])
変更しようとしている項目が保護対象かどうかを確認せずに、同期や再起動だけを繰り返しても解決しない可能性があります。
Defenderの設定変更が反映されないときの改ざん防止確認
変更した内容と管理経路を記録する
最初に、「何を、どこから、どの端末へ変更したのか」を整理します。
最低限、次の項目を記録してください。
| 記録項目 | 内容 |
|---|---|
| 対象端末 | 端末名、デバイスID、OS |
| 変更日時 | ポリシーを変更・配布した日時 |
| 設定名 | リアルタイム保護、クラウド保護、除外設定など |
| 変更内容 | 有効から無効、値の追加・削除など |
| 管理手段 | Intune、Defenderポータル、グループポリシー、スクリプトなど |
| 管理画面の結果 | 成功、競合、エラー、保留など |
| 変更前の実値 | 端末上で確認した値 |
| 変更後の実値 | 同期後に端末上で確認した値 |
| 改ざん防止 | 有効、無効、確認不能 |
| 関連イベント | Event ID 5013など |
たとえば、「ウイルス対策設定を変更した」とだけ記録するのではなく、「グループポリシーからリアルタイム保護の無効化を配布したが、端末では有効のまま」と具体化します。
この記録がないと、ポリシー配布の問題、設定の競合、改ざん防止による阻止を区別できません。
端末で改ざん防止と実効値を確認する
Windows端末では、管理者として起動したPowerShellから、改ざん防止とリアルタイム保護の状態を確認できます。
Get-MpComputerStatus |
Select-Object IsTamperProtected, RealTimeProtectionEnabled表示される値の意味は次のとおりです。
| 項目 | True | False |
|---|---|---|
IsTamperProtected | 改ざん防止が有効 | 改ざん防止が無効 |
RealTimeProtectionEnabled | リアルタイム保護が有効 | リアルタイム保護が無効 |
Microsoftは、Get-MpComputerStatusによる改ざん防止とリアルタイム保護の状態確認を案内しています。一方、通常動作中にPowerShellから改ざん防止そのものを自由に変更することはできません。([Microsoft Learn][2])
リアルタイム保護以外の設定値を確認するときは、対象項目に応じてWindows セキュリティ、管理ポータル、Get-MpPreferenceなどを使います。Get-MpPreferenceは、Defenderのスキャンや更新に関する設定値を取得するコマンドです。対象項目によってプロパティ名が異なるため、変更した設定名と対応する値を照合してください。([Microsoft Learn][3])
Get-MpPreference管理画面の「成功」と比較するのは、ポリシーの入力値ではなく、こうして確認した端末上の実効値です。
Event ID 5013を確認する
改ざん防止によってMicrosoft Defender Antivirusの設定変更が阻止された場合、Event ID 5013が記録されることがあります。
Event ID 5013は、改ざん防止がDefenderの設定変更をブロックしたことを示し、変更対象となった設定の特定に役立ちます。([Microsoft Learn][4])
イベント ビューアーでは、次のログを確認します。
アプリケーションとサービス ログ
└ Microsoft
└ Windows
└ Windows Defender
└ Operational確認時には、次の情報を記録しておくと調査しやすくなります。
- イベントの発生日時
- Event ID
- 対象となった設定
- 実行したユーザーやプロセス
- ポリシーを配布した時刻
- 端末が同期した時刻
Event ID 5013がポリシー変更と同じ時間帯に記録されていれば、配布そのものよりも、改ざん防止による阻止を優先して調べるべきです。
管理経路と設定の優先順位も確認する
設定が変わらない原因は、改ざん防止だけとは限りません。同じ端末を複数の管理経路から設定している場合は、優先順位も確認します。
改ざん防止を管理するポリシーは、Microsoft Defenderポータルの組織全体設定より優先されます。また、管理ポリシーやポータル側の設定は、端末のローカル管理者がWindows セキュリティから行う設定より優先されます。Intuneで改ざん防止が管理されている場合、Defenderポータル側のスイッチを変更しても、Intuneで管理された状態は変わりません。([Microsoft Learn][2])
次のような構成では、管理元の確認が特に重要です。
- Intuneとグループポリシーの両方からDefenderを設定している
- DefenderポータルとIntuneで異なる設定を指定している
- Configuration ManagerとIntuneを併用している
- ローカルスクリプトで中央管理設定を変更しようとしている
- Windows セキュリティから手動変更しようとしている
まず「どの管理経路が最終的な管理元なのか」を明確にしてください。複数の画面に同じような設定が表示されていても、すべてが同じ優先順位で適用されるわけではありません。
端末がMicrosoft Defender for Endpointにオンボードされていない場合、改ざん防止の状態が「該当なし」と表示されることがあります。この場合は、設定変更より先にオンボード状態を確認します。([Microsoft Learn][4])
正当な診断にはトラブルシューティング モードを使う
改ざん防止の対象設定を一時的に変更しなければ原因を確認できない場合は、組織のセキュリティ管理者が、Microsoft Defender for Endpointのトラブルシューティング モードを使用するか判断します。
トラブルシューティング モードは、ポリシーで保護されたMicrosoft Defender Antivirus設定を、一時的に変更して診断するための公式機能です。性能問題、アプリケーションとの互換性、誤検知などの調査に利用できます。([Microsoft Learn][5])
使用前に確認すること
トラブルシューティング モードを使用する前に、少なくとも次の点を確認します。
- 対象端末がDefender for Endpointに正常に登録されている
- 対象端末がオンラインである
- 必要な管理権限がある
- 対象OSやDefenderプラットフォームが要件を満たしている
- 変更理由、対象設定、作業時間を記録している
- 作業後に元の保護状態を確認する担当者が決まっている
トラブルシューティング モードを有効にする操作は、Microsoft Defenderポータルのデバイス詳細画面から行います。公式手順では、対象端末の詳細を開き、「その他のオプション」からトラブルシューティング モードを有効にします。反映には最大15分かかる場合があり、モードは通常4時間で自動的に終了します。([Microsoft Learn][5])
一時的に改ざん防止を無効化する
トラブルシューティング モードが有効になったことを確認した後、管理者として起動したPowerShellで次のコマンドを実行できます。
Set-MPPreference -DisableTamperProtection $true状態は次のコマンドで確認します。
Get-MpComputerStatus |
Select-Object IsTamperProtectedFalseになっていれば、トラブルシューティング モード中の一時的な改ざん防止無効化が反映されています。このコマンドは、通常動作中に改ざん防止を無効化するためのものではなく、トラブルシューティング モードが有効な場合に限って機能します。([Microsoft Learn][2])
改ざん防止を一時的に無効化すると端末のセキュリティリスクが高まるため、対象端末と作業時間を必要最小限に限定してください。
モード中のポリシー変更に注意する
トラブルシューティング モード中に管理ポリシーから配布された設定変更は、モードが終了するまで反映されない場合があります。
そのため、次の二つを同時に行うと、結果を誤って判断しやすくなります。
- 端末上で一時的な設定変更を行う
- 同じ時間帯にIntuneなどから新しいポリシーを配布する
診断中は検証対象を一つに絞り、ポリシー配布テストはトラブルシューティング モード終了後に分けて実施するのが安全です。([Microsoft Learn][5])
モードが終了すると、一時的な変更は破棄され、設定は以前のポリシー管理値に戻ります。改ざん防止も、開始前に有効だった場合は有効な状態へ戻ります。([Microsoft Learn][5])
レジストリ書き換えやDefender停止を解決策にしない
改ざん防止によって設定変更が阻止されているときに、次のような方法を恒常的な解決策にしてはいけません。
- レジストリ値を繰り返し強制変更する
- Defender関連サービスを強制停止する
- セキュリティエージェントのファイルを変更する
- ローカルスクリプトで保護設定を上書きし続ける
- 改ざん防止を組織全体で無期限に無効化する
Windowsでは、改ざん防止の対象となるDefender設定へのレジストリ変更もブロックされます。管理者権限があっても、通常動作中の保護を回避するための権限としては扱われません。([Microsoft Learn][1])
恒久的な設定変更が必要な場合は、ローカル端末を強制変更するのではなく、正規の管理ポリシーを見直します。業務上どうしても対象端末を改ざん防止の適用外にする必要がある場合も、対象、期間、理由、復旧方法を明確にしたうえで、組織の管理者が判断してください。
controlled configurationの表示にも注意する
管理画面によっては、従来のTamper Protectionに代わって、Controlled Configuration (Device)などの名称が表示される場合があります。
controlled configurationは、改ざん防止を基礎としながら、クラウド管理ポリシーをDefender Antivirus設定の基準とする、より広い構成制御です。有効な環境では、IntuneやDefender for Endpointから配布されたポリシーが優先され、グループポリシー、スクリプト、Configuration Manager、ローカル管理者による変更が無視されます。([Microsoft Learn][6])
ただし、画面上の名称がcontrolled configurationに変わっただけで、新しい保護機能が自動的に有効になるわけではありません。Microsoft Learnでも、名称変更だけではcontrolled configurationの保護は有効にならず、IntuneまたはDefender for Endpointのセキュリティ設定管理からポリシーを配布する必要があると説明されています。([Microsoft Learn][1])
また、controlled configurationは現時点でプレビューとして案内されており、すべての組織や端末で利用できるとは限りません。管理画面の表示だけで判断せず、端末の対応状況と実効状態を確認してください。([Microsoft Learn][6])
対応環境では、次のように状態を確認できます。
Get-MpComputerStatus |
Select-Object ControlledConfigurationState,
IsTamperProtected,
TamperProtectionSource確認する主な項目は次のとおりです。
| 項目 | 確認内容 |
|---|---|
ControlledConfigurationState | controlled configurationの実効状態 |
IsTamperProtected | 改ざん防止が有効か |
TamperProtectionSource | 現在の状態を強制している管理元 |
これらのプロパティが表示されない場合は、端末のDefenderプラットフォーム、管理方式、機能の提供状況を確認します。([Microsoft Learn][6])
Windows・macOS・Linuxでは保護モードが異なる
改ざん防止の動作はOSごとに異なります。Windows向けの手順を、そのままmacOSやLinuxへ当てはめないようにしてください。
| OS | 主なモード | 動作 |
|---|---|---|
| Windows | 無効、有効 | 有効時は保護対象設定の変更を阻止 |
| macOS | 無効、監査、ブロック | 監査では記録のみ、ブロックではエージェント停止やファイル変更などを阻止 |
| Linux | 監査 | 対象となる変更を検出・報告するが、現時点では阻止しない |
Microsoft Learnでは、Linuxの改ざん防止はプレビューで、監査モードのみとされています。また、トラブルシューティング モードはWindowsとmacOSで利用できますが、Linuxでは利用できず、macOSでは同モードから改ざん防止を無効化できません。([Microsoft Learn][1])
複数OSを管理している組織では、「改ざん防止が有効」という表示だけでなく、各OSでどのモードが適用され、実際にブロックされるのかを確認する必要があります。
症状別の切り分け方
| 症状 | 主な確認ポイント | 次に行うこと |
|---|---|---|
| 成功表示だが端末の値が変わらない | IsTamperProtected、Event ID 5013 | 保護対象設定か照合する |
| 改ざん防止が「該当なし」になる | Defender for Endpointへのオンボード状態 | オンボード完了後に再確認する |
| Defenderポータルで変更しても反映されない | Intuneポリシーの有無 | 優先されている管理元を確認する |
| グループポリシーだけ反映されない | 改ざん防止またはcontrolled configuration | 正規のクラウド管理経路を確認する |
| トラブルシューティング中にポリシーが反映されない | モードの有効期間 | モード終了後に同期して確認する |
| controlled configurationの名称だけ表示される | ポリシー配布と端末の対応状況 | 実効状態をPowerShellで確認する |
| 一部端末だけ結果が異なる | OS、Defenderバージョン、管理状態 | 差分を端末単位で記録する |
特に重要なのは、「ポリシーが届いたか」と「端末の実効値が変わったか」を分けて調べることです。
調査後に保護状態を再確認する
診断や一時変更が終わったら、次の項目を必ず確認します。
- トラブルシューティング モードが終了している
- 改ざん防止が元の状態へ戻っている
- 対象となったウイルス対策設定が意図した値になっている
- 管理ポリシーの割り当て対象が正しい
- 不要な除外設定や一時設定が残っていない
- Defenderポータルのデバイスタイムラインを確認した
- Windows Defenderのイベントログを確認した
- 作業日時、担当者、変更内容、復旧結果を記録した
Windows端末では、最後に次のコマンドを再実行します。
Get-MpComputerStatus |
Select-Object IsTamperProtected, RealTimeProtectionEnabled改ざん防止を有効にして運用していた端末なら、作業後のIsTamperProtectedがTrueになっていることを確認します。
管理ポリシーの変更が成功したのにウイルス対策設定が変わらない場合は、同期を繰り返す前に、改ざん防止、実効値、管理元、イベントログの順で確認してください。正当な診断で一時変更が必要な場合だけトラブルシューティング モードを使用し、作業後は保護状態が元に戻ったことまで確認することが重要です。
[1]: https://learn.microsoft.com/en-us/defender-endpoint/tamper-protection-overview “Tamper protection overview – Microsoft Defender for Endpoint | Microsoft Learn”
[2]: https://learn.microsoft.com/en-us/defender-endpoint/tamper-protection-windows-configure “Configure tamper protection for Microsoft Defender Antivirus on Windows – Microsoft Defender for Endpoint | Microsoft Learn”
[3]: https://learn.microsoft.com/en-us/powershell/module/defender/get-mppreference?view=windowsserver2025-ps “Get-MpPreference (Defender) | Microsoft Learn”
[4]: https://learn.microsoft.com/en-us/defender-endpoint/tamper-protection-troubleshoot “Troubleshoot problems with tamper protection – Microsoft Defender for Endpoint | Microsoft Learn”
[5]: https://learn.microsoft.com/en-us/defender-endpoint/troubleshooting-mode-enable “Enable and use troubleshooting mode in Microsoft Defender for Endpoint – Microsoft Defender for Endpoint | Microsoft Learn”
[6]: https://learn.microsoft.com/en-us/defender-endpoint/secure-controlled-configuration “Controlled configuration in Microsoft Defender for Endpoint – Microsoft Defender for Endpoint | Microsoft Learn”
コメント