「Block at first sight」という名前のスイッチがWindows セキュリティに見当たらなくても、異常ではありません。Windows セキュリティには同名の独立したスイッチがなく、「クラウド提供の保護」と「サンプルの自動送信」を有効にし、Microsoft Defender Antivirusを最新の状態に保つことで機能する仕組みです。組織の管理端末では、利用者が画面から変更するのではなく、Intuneやグループポリシーなどの管理ポリシーを確認します。([Microsoft Learn][1])
Block at first sightのスイッチがない理由
Block at first sightは、単独で動作する保護機能ではありません。
Microsoft Defender Antivirusが未確認の疑わしいファイルを検出すると、クラウド保護サービスへ問い合わせ、ヒューリスティック、機械学習、自動分析などを使って判定します。そのため、Windows セキュリティでは「Block at first sight」というスイッチではなく、クラウド保護とサンプル送信に関する設定として表示されます。([Microsoft Learn][1])
つまり、次のように考えると分かりやすくなります。
| 探している設定 | 実際に確認する設定 |
|---|---|
| Block at first sight | クラウド提供の保護 |
| Block at first sight | サンプルの自動送信 |
| Block at first sight | Defenderのプラットフォームや定義ファイルの更新状態 |
グループポリシーには「Configure the ‘Block at First Sight’ feature」という明示的な項目があります。一方、Windows セキュリティやMicrosoft Configuration Managerには、同じ名前の独立した設定がない場合があります。管理方法によって表示名や設定項目が異なるため、スイッチ名だけで探さないことが重要です。([Microsoft Learn][1])
Block at first sightが働くために必要な3つの条件
Microsoftの公式資料では、Block at first sightが有効になる前提として、次の3点が示されています。([Microsoft Learn][1])
| 必要な条件 | 確認内容 |
|---|---|
| クラウド提供の保護 | 有効になっていること |
| サンプルの自動送信 | 安全なサンプル、またはすべてのサンプルを自動送信する設定であること |
| Defenderの更新 | Microsoft Defender Antivirusのマルウェア対策プラットフォームなどが最新であること |
このうち1つでも欠けると、「画面上ではDefenderが動いているように見えるが、Block at first sightの前提を満たしていない」という状態になる可能性があります。
特に注意したいのがサンプル送信です。「常に確認する」や「送信しない」に設定すると、クラウド側で迅速な追加分析を行えず、保護状態が下がります。「送信しない」はBlock at first sightの動作を妨げます。([Microsoft Learn][1])
最初に個人管理端末か組織管理端末かを確認する
設定を変更する前に、そのWindows端末が誰によって管理されているかを確認します。
| 端末の状態 | 対応 |
|---|---|
| 個人所有で、組織の管理を受けていない | Windows セキュリティから確認する |
| 会社や自治体、学校から支給されている | Intuneやグループポリシーなどの管理設定を確認する |
| 設定項目が灰色になっている | 利用者側で変更せず、管理者へ確認する |
| 設定を変更しても元に戻る | 管理ポリシーとの競合や再適用を確認する |
グループポリシーで管理されている設定は、Windows セキュリティ上で灰色になり、ローカルでは変更できません。また、管理ポリシーを変更しても、端末へ反映されるまでWindows セキュリティの表示が更新されないことがあります。([Microsoft Learn][1])
組織の管理端末で灰色のスイッチを見つけた場合、レジストリ編集やローカルポリシー変更で無理に解除するのは避けてください。Intune、グループポリシー、Microsoft Defenderポータルなど、実際に端末を管理している仕組みから変更する必要があります。
個人管理端末で設定を確認する手順
組織のポリシーで管理されていない端末では、Windows セキュリティから確認できます。
- スタートメニューから「Windows セキュリティ」を開きます。
- 「ウイルスと脅威の防止」を選択します。
- 「ウイルスと脅威の防止の設定」にある「設定の管理」を開きます。
- 「クラウド提供の保護」をオンにします。
- 「サンプルの自動送信」をオンにします。
Windows セキュリティに「Block at first sight」という項目が表示されなくても、この2項目が有効であれば、画面上の設定条件は満たしています。([Microsoft Learn][1])
設定項目が表示されない、または操作できない場合は、次の点を確認します。
- 「組織によって管理されています」などの表示がないか
- Microsoft Defender Antivirusが無効化されていないか
- 別の管理ポリシーが適用されていないか
- Windows Updateや組織の更新配布が停止していないか
単にスイッチをオンにするだけでなく、Defenderの更新とクラウドへの通信が正常であることも必要です。
PowerShellで現在の設定値を確認する
管理者は、画面表示だけでなくPowerShellから実際の設定値を確認できます。
管理者としてPowerShellを開き、次のコマンドを実行します。
Get-MpPreference |
Select-Object MAPSReporting, SubmitSamplesConsent, DisableBlockAtFirstSeenBlock at first sightが有効な状態では、公式資料上、次の値になっていることを確認します。([Microsoft Learn][1])
| 項目 | 有効と判断する値 | 意味 |
|---|---|---|
MAPSReporting | 2 | クラウド保護がAdvancedとして有効 |
SubmitSamplesConsent | 1 | 安全なサンプルを自動送信 |
SubmitSamplesConsent | 3 | すべてのサンプルを自動送信 |
DisableBlockAtFirstSeen | False | Block at first sightを無効化していない |
出力例は次のようになります。
MAPSReporting SubmitSamplesConsent DisableBlockAtFirstSeen
------------- -------------------- -----------------------
2 1 Falseこれは説明用の例です。実際の確認では、自分の端末から出力された値を判断してください。
値が異なる場合の見方
MAPSReportingが2でなければ、必要なクラウド保護設定を満たしていない可能性があります。
SubmitSamplesConsentが1または3でなければ、自動サンプル送信の設定を確認します。公式資料では、「常に確認する」は保護状態を下げ、「送信しない」はBlock at first sightの動作を妨げるとされています。([Microsoft Learn][1])
DisableBlockAtFirstSeenがTrueの場合は、Block at first sightが明示的に無効化されています。
ただし、組織の管理端末では、端末上のSet-MpPreferenceだけで恒久的に変更しないようにしてください。Intuneやグループポリシーが再適用される環境では、管理元の設定を修正する必要があります。
Intuneで必要な設定を配布する
Microsoft Intuneで管理している場合は、エンドポイントセキュリティのウイルス対策ポリシーを使用します。
基本的な設定場所は次のとおりです。
- Microsoft Intune管理センターを開きます。
- 「エンドポイント セキュリティ」を開きます。
- 「ウイルス対策」を選択します。
- 既存のポリシーを編集するか、新しいポリシーを作成します。
- プラットフォームにWindowsを指定します。
- プロファイルにMicrosoft Defender Antivirusを指定します。
必要な設定は次のとおりです。
| Intuneの設定 | 設定値 |
|---|---|
| Allow cloud protection | Allowed |
| Submit samples consent | Send safe samples automatically または Send all samples automatically |
Microsoftの公式資料でも、IntuneからBlock at first sightを有効にする場合、この2項目を設定するよう示されています。([Microsoft Learn][1])
すでにDefenderのウイルス対策ポリシーを配布している場合は、新しいポリシーを増やす前に既存ポリシーを確認してください。複数のポリシーから同じ設定を配布すると、競合の切り分けが難しくなります。
変更後は、端末へのポリシー反映を待ち、再度PowerShellで3項目を確認します。管理画面で「成功」と表示されていても、最終的には端末側の実効値を確認することが重要です。
グループポリシーで設定する場合
Active Directoryのグループポリシーを利用している場合は、次の場所を確認します。
コンピューターの構成
└ 管理用テンプレート
└ Windows コンポーネント
└ Microsoft Defender Antivirus
└ MAPSBlock at first sightに関係する主な設定は次の2つです。
| グループポリシー項目 | 設定 |
|---|---|
| Configure the ‘Block at First Sight’ feature | Enabled |
| Send file samples when further analysis is required | Enabled |
サンプル送信方法には、次のいずれかを指定します。
- Send safe samples
- Send all samples
「Always prompt」は保護状態を下げます。「Never send」はBlock at first sightを機能させないため、有効化を目的とする場合には選択しません。([Microsoft Learn][1])
ポリシー変更後は、対象OU、セキュリティフィルター、WMIフィルター、ポリシーの優先順位なども確認します。設定項目を有効にしただけで、目的の端末へ適用されていないケースがあるためです。
設定値が正しくても動作しない場合の確認項目
3つのPowerShell値が正しくても、更新や通信の問題によってクラウド判定を利用できないことがあります。
Defenderの更新状態
Microsoft Defender Antivirusは、セキュリティインテリジェンスだけでなく、エンジンやマルウェア対策プラットフォームも更新されます。Block at first sightの前提には、最新のDefenderマルウェア対策プラットフォームを使用することが含まれます。([Microsoft Learn][1])
個人端末ではWindows Updateを確認します。組織端末では、Windows Update for Business、WSUS、Microsoft Configuration Managerなど、実際に利用している更新経路を確認してください。
定義ファイルだけが新しくても、プラットフォーム更新が長期間止まっている場合があります。更新トラブルを調べる際は、セキュリティインテリジェンス、エンジン、プラットフォームを分けて確認するのがポイントです。
クラウド保護サービスへの通信
クラウド提供の保護には、インターネットへの有効な接続が必要です。プロキシ、ファイアウォール、SSL検査、名前解決などによってMicrosoft Defenderのクラウドサービスへの接続が遮断されていないか確認します。([Microsoft Learn][2])
特に管理端末では、ブラウザでWebサイトを閲覧できることと、Defenderのサービス通信が許可されていることは同じではありません。組織のネットワーク担当者は、Microsoftが公開するDefenderのネットワーク接続要件に沿って確認する必要があります。
サンプル送信に関する組織ルール
「Send safe samples automatically」と「Send all samples automatically」では、送信対象の考え方が異なります。
安全なサンプルの自動送信では、多くのサンプルが自動送信されますが、個人情報を含む可能性があるファイルについて追加確認が行われる場合があります。すべてのサンプルを自動送信する設定は判断を自動化しやすい一方、組織の情報管理ルールとの整合を確認する必要があります。([Microsoft Learn][2])
機密情報を扱う端末では、保護機能だけを見て「すべて送信」に決めるのではなく、情報セキュリティポリシー、個人情報の取り扱い、業務データの分類を踏まえて選択してください。
Block at first sightの適用範囲と限界
Block at first sightは、端末上にあるすべての未知ファイルを無条件に遮断する機能ではありません。
公式資料では、最新のDefenderマルウェア対策プラットフォームを実行しているWindowsまたはWindows Server上で、実行可能ファイルに加え、JavaScript、VBScript、マクロなどの非PEファイルも対象になり得るとされています。クラウド保護による初回確認は、インターネットからダウンロードされたファイルや、インターネットゾーンに由来するファイルに対して利用されます。([Microsoft Learn][1])
そのため、次のような理解は正確ではありません。
- 未知のファイルなら、入手経路に関係なく必ずブロックされる
- Block at first sightを有効にすれば、すべての未知の脅威を防げる
- スイッチがオンなら、更新や通信状態を確認しなくてもよい
- サンプル送信を無効にしても同じ保護を受けられる
Block at first sightは、新しいマルウェアへの判定時間を短縮するための重要な保護機能ですが、検出や阻止を保証するものではありません。リアルタイム保護、セキュリティインテリジェンス更新、攻撃面の縮小ルール、アプリケーション制御など、ほかの防御策と組み合わせて運用します。
スイッチを探すより3つの実効値を確認する
Block at first sightのスイッチがWindows セキュリティに見当たらないのは、仕様上の正常な状態です。
非管理端末では、「クラウド提供の保護」と「サンプルの自動送信」をオンにし、Defenderを最新に保ちます。管理端末では、まず次のコマンドで実効値を確認します。
Get-MpPreference |
Select-Object MAPSReporting, SubmitSamplesConsent, DisableBlockAtFirstSeen確認すべき値は、MAPSReportingが2、SubmitSamplesConsentが1または3、DisableBlockAtFirstSeenがFalseです。
値が異なる場合は、端末利用者がローカル設定を無理に変更するのではなく、Intune、Microsoft Defenderポータル、グループポリシーなど、現在使っている管理方法から修正します。そのうえで、Defenderの更新状態とクラウドサービスへの通信を確認するのが、最も確実な切り分け手順です。
[1]: https://learn.microsoft.com/en-us/defender-endpoint/configure-block-at-first-sight-microsoft-defender-antivirus “Configure block at first sight in Microsoft Defender Antivirus – Microsoft Defender for Endpoint | Microsoft Learn”
[2]: https://learn.microsoft.com/en-us/defender-endpoint/cloud-protection-configure “Configure cloud protection in Microsoft Defender Antivirus – Microsoft Defender for Endpoint | Microsoft Learn”
コメント